(57)【要約】【課題】シミュレーションを用いた半導体回路装置の故障注入手法が提案されているが、この手法では、電子回路を忠実にモデル化することが難しく、また、実際の製品開発と二重の開発が必要となり、開発期間へ与えるインパクトが大きいという課題があった。【解決手段】  予め想定し得る故障発生箇所に対する故障情報を登録しておくフォルトテーブル記憶部と、故障の更新時刻と更新情報を保有する注入シナリオ記憶部と、フォルトテーブル記憶部を更新するための時刻を計測するタイマと、フォルトテーブル記憶部からの故障情報を外部に通知するフォルト通知制御部とを備え、仮想モード時に設定した故障注入シナリオに従って、通常動作モード時に、フォルトテーブル内のフラグを疑似的にフェール状態にし、かつ、動作状態が変化しないようにプロテクトすることにより、ＥＣＵ内の電子回路の異常状態を認識し、フェールオペレーションを遂行するようにした。【選択図】図１
2020154508.tif 000002
【特許請求の範囲】
【請求項１】
各種機器の制御動作を実行するマイクロ制御ユニット、
予め想定し得る前記各種機器の故障発生箇所に対する故障情報を登録しておくフォルトテーブル記憶部と、故障の更新時刻と更新情報を保有する注入シナリオ記憶部と、前記フォルトテーブル記憶部を更新するための時刻を計測するタイマと、前記フォルトテーブル記憶部からの故障情報を外部に通知するフォルト通知制御部とを有する半導体回路ユニットを備え、前記タイマの時刻が前記注入シナリオ記憶部に記録された時刻に一致すると、前記注入シナリオ記憶部に記録された注入シナリオ状態に前記フォルトテーブル記憶部を更新し、前記フォルトテーブル記憶部の故障情報が異常であれば、前記フォルト通知制御部を介して故障発生事象を前記マイクロ制御ユニットに通知することを特徴とした半導体回路装置。
【請求項２】
前記注入シナリオ記憶部は、注入シナリオの編集を可能とする仮想モードを保有し、前記仮想モードへの移行手順、当該仮想モードから通常動作モードへの移行手順を規定し、通常動作モード時に疑似故障の誘発を防止することを特徴とした請求項１記載の半導体回路装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本願は、半導体回路装置に関するものである。
【背景技術】
【０００２】
近年、自動車に搭載される電気・電子機器において、機能安全規格への取り組みが重要になっており、電子制御ユニット（以下、ＥＣＵ（Electronic Control Unit）と称す）においても自動車用機能安全規格ＩＳＯ２６２６２に見られるように、搭載部品の故障定義や故障判定基準の明確化、故障時の対応、並びに応答性への要求が厳しく求められている。
【０００３】
さらに、自動運転分野に関しては、フェールセーフだけでなく、フェールオペレーショナル措置が求められており、限られた開発期間の中であらゆる故障を発生させ、しかるべき安全措置がなされることを証明するための技術が求められている。
ところで、半導体素子で構成された電子回路に実際に故障を発生させると、電子回路における部品が破壊される場合があること、また、外部から信号を供給して半導体電子回路の内部に故障を発生させることは不可能であることから、シミュレーションを用いた故障注入評価手法が提案されている。（特許文献１参照）
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第６３６３２９７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述の評価手法においては、半導体回路装置を忠実にモデル化することが難しく、特に、購入品の場合には、モデル化した半導体回路装置を入手することが難しいという問題があった。また、仮にモデル化することができたとしても実際の製品開発と二重の開発を必要とし、製品開発期間に与えるインパクトが大きいという課題があった。
本願は、上述のような問題点を解決するための技術を開示するものであり、実際の電子回路を用い、仮想的に故障により発生するエラーを誘発してフェールオペレーションを実行することが可能な半導体回路装置を提供することを目的としている。
【課題を解決するための手段】
【０００６】
本願に開示される半導体回路装置は、各種機器の制御動作を実行するマイクロ制御ユニット、予め想定し得る前記各種機器の故障発生箇所に対する故障情報を登録しておくフォルトテーブル記憶部と、故障の更新時刻と更新情報を保有する注入シナリオ記憶部と、前記フォルトテーブル記憶部を更新するための時刻を計測するタイマと、前記フォルトテーブル記憶部からの故障情報を外部に通知するフォルト通知制御部とを有する半導体回路ユニットを備え、前記タイマの時刻が前記注入シナリオ記憶部に記録された時刻に一致すると、前記注入シナリオ記憶部に記録された注入シナリオ状態に前記フォルトテーブル記憶部を更新し、前記フォルトテーブル記憶部の故障情報が異常であれば、前記フォルト通知制御部を介して故障発生事象を前記マイクロ制御ユニットに通知することを特徴としたものである。
【発明の効果】
【０００７】
本願に開示される半導体回路装置によれば、電子制御ユニットを用いた安全機構検証時に、故障対象を直接破壊(天絡、地絡等による故障誘発)することなく、また、シミュレーションではなく、実際の半導体電子回路を用い、任意のタイミングで仮想的に故障により発生するエラーを誘発することが可能となり、当該エラーに対するフェールオペレーションを実証することが可能となる。
【図面の簡単な説明】
【０００８】
【図１】本願の実施の形態１に係るＥＣＵの回路構成を示すブロック図である。
【図２】実施の形態１に係るＥＣＵのハードウエア構成の一例を示すブロック図である。
【図３】実施の形態１に係る動作を説明するためのフローチャートである。
【図４】実施の形態１に係る注入シナリオとフォルトテーブルの一例を示す図である。
【図５】実施の形態１に係るフォルトテーブルのプロテクト例を示すブロック図である。
【発明を実施するための形態】
【０００９】
以下、本願における実施の形態について図面を参照して説明する。
実施の形態１．
図において、自動車に搭載される半導体回路装置としての電子制御ユニット（ＥＣＵ）１は、各種機器の制御動作を実行するマイクロ制御ユニット（以下、ＭＣＵ（Micro Control Unit）と称す）１０を有し、このＭＣＵ１０の出力により各種機器に相当する負荷２０を制御するように構成されている。
【００１０】
また、ＥＣＵ１には、電子回路部品に仮想的に故障を注入する半導体回路ユニット３０が設けられており、この半導体回路ユニット３０は、外部ポートまたは内部信号など各種機器における予め想定し得る故障発生箇所に対する故障情報を登録したフォルトテーブル記憶部３１と、フォルトテーブル記憶部３１に登録する故障の更新時刻および更新情報（故障種別に対する状態（正常、異常））を保有した注入シナリオ記憶部３２と、フォルトテーブル記憶部３１を更新するために時刻を計測するタイマ３３と、フォルトテーブル記憶部３１からの故障情報をＭＣＵ１０に通知するフォルト通知制御部３４と、ＭＣＵ１０の出力に基づいてドライバ３６を制御する動作制御部３５とを備え、ドライバ３６によって負荷２０の動作をコントロールするように構成されている。
【００１１】
なお、半導体回路ユニット３０と負荷２０との接続点をモニタポイントＡとし、このモニタポイントＡには閾値判定回路３７および故障判定部３８を介してフォルトテーブル記憶部３１に信号を供給するように構成されている。以下では、このモニタポイントＡに天絡故障が発生するという想定で説明する。
また、図においては、１個の負荷２０が示されているが、ＭＣＵ１０によって制御されるエンジン、変速機、ライト、音響機器など自動車の各種機器が負荷２０として接続されているものである。
【００１２】
このようなＥＣＵ１を構成する半導体回路装置は、ハードウエアの一例を図２に示すように、プロセッサ１００と記憶装置１０１とから構成される。この記憶装置１０１は、図示していないが、ランダムアクセスメモリ等の揮発性記憶装置と、フラッシュメモリ等の不揮発性の補助記憶装置とを具備する。また、フラッシュメモリの代わりにハードディスクの補助記憶装置を具備してもよい。プロセッサ１００は、記憶装置１０１から入力されたプログラムを実行する。この場合、補助記憶装置から揮発性記憶装置を介してプロセッサ１００にプログラムが入力される。また、プロセッサ１００は、演算結果等のデータを記憶装置１０１の揮発性記憶装置に出力してもよいし、揮発性記憶装置を介して補助記憶装置にデータを保存してもよい。
【００１３】
このような構成のもとで、実際の製品における通常の動作モードでは、ＭＣＵ１０からの出力に基づいて動作制御部３５を介してドライバ３６を制御し、これによりモニタポイントＡの電位を変動させて負荷２０に流す電流を制御し、負荷２０に通常の動作を行わせる。
すなわち、ＭＣＵ１０からの指示が「Ｌ」の時、ドライバ３６のゲートがオフし、「Ｈ」の時、ドライバ３６のゲートがオンする。ここで、ドライバ３６がオンすると、制御対象に電流を流すために、モニタポイントＡを介して負荷２０に電流が引き込まれる。しかしながら、何らかの異常で負荷２０を介さずモニタポイントＡが電源と直結する、いわゆる天絡故障が発生することになると、ドライバ３６に大電流が流れ、この状態が継続した場合、ドライバ３６が破壊に至ることになる。このため、大電流が流れる状態の継続を回避するため、ドライバ３６がオンしているにも拘らず閾値判定回路３７により閾値を越える電圧を故障判定部３８が検出したとき、フォルトテーブル記憶部３１中の該当フラグに当該発生事象を記録するとともに、フォルト通知制御部３４を介してＭＣＵ１０に通知し、ＭＣＵ１０から動作制御部３５を介してドライバ３６をオフとする。この結果、ドライバ３６の損傷を防止することができる。
【００１４】
一方、半導体回路ユニット３０は、ＭＣＵ１０に異常が発生したことを想定して処理するものであり、図３に示すワークフローにしたがって処理を実行する。
まず、ＥＣＵ１を起動後、例えば特定の入力ピンへ高電圧を印加またはシリアルインタフェースへの特定シーケンス入力によって、新たに設けた仮想モードへ移行させる（ステップＳＴ１）。
この仮想モード状態において、外部インタフェースを使って、注入シナリオ記憶部３２へ故障を発火するシナリオ(時間と故障種別)を書き込む（ステップＳＴ２）。
この注入シナリオ記憶部３２には、図４に示すように、故障注入時刻とフォルトテーブル記憶部３１のアドレスが記憶されており、フォルトテーブル記憶部３１は、当該アドレスが示す故障発生対象部(モニタポイントＡ)と故障種別(例えば天絡、地絡、断線)に関する情報を記録している。
【００１５】
注入シナリオ定義が完了すると、例えば特定ピンへの高電圧解除により通常動作モードへ移行し、通常処理を行う（ステップＳＴ３）。
この通常動作中、注入シナリオ記憶部３２は、タイマ３３の時刻とフォルトテーブル記憶部３１内に定義された時刻の監視を行い、これらが一致すると、ステップＳＴ４でシナリオ発火させ、フォルトテーブル記憶部３１に定義されたアドレスへ「Value」で定義された値(０:正常、１:異常)を書き込む。
注入シナリオ発火後、ステップＳＴ６において、フォルトテーブル記憶部３１に故障情報が書き込まれ、ステップＳＴ７において、フォルトテーブル記憶部３１をプロテクトし（ステップＳＴ７）、フォルト通知制御部３４を介して故障情報がＭＣＵ１０に通知される。なお、フォルト通知制御部３４は、フォルトテーブル記憶部３１の正常状態および異常状態にかかわらず定期的に出力を発生しており、この出力タイミングでＭＣＵ１０は、故障を検知し（ステップＳＴ８）、フエールオペレーション処理を実行する（ステップＳＴ９）。
【００１６】
ここで、注入シナリオについて図４を用いて説明する。
図４の例では、時刻00010000にアドレス0x01、時刻00020000にアドレス0x10、時刻00030000でアドレス0x2fにそれぞれ0x1故障、0x0故障、0xf故障を注入するシナリオとしている。フォルトテーブル中のどのビット(0x0,0x1,…,0xf)がどの故障種別に該当するか、例えば天絡、地絡、断線を予め仕様として決定しておく。また、もし、異常状態を正常状態に復帰させたい場合には、注入シナリオの「Value」テーブルに「０」を登録する。
【００１７】
すなわち、図４の「Index１」におけるアドレス0x01のフォルトテーブルを「Value」テーブルの記載に基づき「１」に上書きする際、「Protect」テーブルに「１」が記載されているため、引き続き下記処理を行う。つまり、上書き対象レジスタが、図５に示すようなＦＦ１（フリップフロップ）で構成された場合、ゲート制御よりＦＦ１のクロック制御回路であるＡＮＤ１（アンド回路）を「０」に固定することによって、ＦＦ１へのクロック供給を断ち、ＦＦ１における「Write」信号による値の更新を行わないように制御する。ただし、ＦＦ１は、そのまま状態を保持しているため、「Read」信号の読み出しは、引き続き可能である。
【００１８】
したがって、フォルトテーブル記憶部３１の故障情報が異常であれば、故障が発生したと判断し、フォルト通知制御部３４を介してＭＣＵ１０にフォルト情報を通知し、これに基づいて、ＭＣＵ１０および半導体回路ユニット３０を含めたＥＣＵ１全体のシステムによって、電子回路の異常状態を認識し、フェールオペレーションを実行することになる。
なお、このとき、ＭＣＵ１０からの制御信号により動作制御部３５を介してドライバ３６を遮断(オフ)にすることによって、天絡による電源ショートを回避し、部品破壊を防ぐことができる。
【００１９】
以上のように、本願の半導体回路装置によれば、ＥＣＵ１を用いた安全機構検証時に、故障対象を直接破壊(天絡、地絡等による故障誘発)することなく、また、シミュレーションではなく、実際の電子部品を用い、任意のタイミングで仮想的に故障により発生するエラーを誘発することが可能となり、当該エラーに対するフェールオペレーションを実証することが可能となる。
【００２０】
なお、上述の実施の形態においては、フォルト通知制御部３４からＭＣＵ１０にフォルト情報を通知するように構成したが、他の電子部品との通信を司るためのシリアルインタフェースを用いてもよい。
また、本開示には、例示的な実施の形態が記載されているが、実施の形態に記載された様々な特徴、態様、及び機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合が含まれるものとする。
【符号の説明】
【００２１】
１：電子制御ユニット（ＥＣＵ）、  １０：マイクロ制御ユニット（ＭＣＵ）、
２０：負荷、  ３０：半導体回路ユニット、  ３１：フォルトテーブル記憶部、
３２：注入シナリオ記憶部、  ３３：タイマ、  ３４：フォルト通知制御部、
３５：動作制御部、  ３６：ドライバ、  ３７：閾値判定回路、  ３８：故障判定部。
【図１】
2020154508.tif 000003
【図２】
2020154508.tif 000004
【図３】
2020154508.tif 000005
【図４】
2020154508.tif 000006
【図５】
2020154508.tif 000007
【手続補正書】
【提出日】令和2年7月22日(2020.7.22)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
各種機器の制御動作を実行するマイクロ制御ユニット、
予め想定し得る前記各種機器の故障発生箇所に対する故障情報を登録しておくフォルトテーブル記憶部と、故障の更新時刻と更新情報を保有する注入シナリオ記憶部と、前記フォルトテーブル記憶部を更新するための時刻を計測するタイマと、前記フォルトテーブル記憶部からの故障情報を外部に通知するフォルト通知制御部と、前記各種機器に接続されるモニタポイントの電流を制御するドライバと、前記モニタポイントの電圧が閾値を越えたことを検出して出力を発生する閾値判定回路とを有する半導体回路ユニットを備え、前記タイマの時刻が前記注入シナリオ記憶部に記録された時刻に一致すると、前記注入シナリオ記憶部に記録された注入シナリオ状態に前記フォルトテーブル記憶部を更新し、前記フォルトテーブル記憶部の故障情報が異常であれば、前記フォルト通知制御部を介して故障発生事象を前記マイクロ制御ユニットに通知するとともに、前記閾値判定回路が出力を発生したとき、前記マイクロ制御ユニットを介して前記ドライバをオフとすることを特徴とした半導体回路装置。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００６
【補正方法】変更
【補正の内容】
【０００６】
本願に開示される半導体回路装置は、各種機器の制御動作を実行するマイクロ制御ユニット、予め想定し得る前記各種機器の故障発生箇所に対する故障情報を登録しておくフォルトテーブル記憶部と、故障の更新時刻と更新情報を保有する注入シナリオ記憶部と、前記フォルトテーブル記憶部を更新するための時刻を計測するタイマと、前記フォルトテーブル記憶部からの故障情報を外部に通知するフォルト通知制御部と、前記各種機器に接続されるモニタポイントの電流を制御するドライバと、前記モニタポイントの電圧が閾値を越えたことを検出して出力を発生する閾値判定回路とを有する半導体回路ユニットを備え、前記タイマの時刻が前記注入シナリオ記憶部に記録された時刻に一致すると、前記注入シナリオ記憶部に記録された注入シナリオ状態に前記フォルトテーブル記憶部を更新し、前記フォルトテーブル記憶部の故障情報が異常であれば、前記フォルト通知制御部を介して故障発生事象を前記マイクロ制御ユニットに通知するとともに、前記閾値判定回路が出力を発生したとき、前記マイクロ制御ユニットを介して前記ドライバをオフとすることを特徴としたものである。