(57)【要約】【課題】従来の半導体装置では、動作電源の異常の検出するための演算部の演算リソースの消費量が多い問題があった。【解決手段】一実施の形態によれば、半導体装置は、第２の制御部１２に供給する第１の動作電源ＰＷＲａを出力する第１の電源監視装置１３と、第１の制御部１１に供給する第２の動作電源ＰＷＲｂを出力する第２の電源監視装置１４と、を有し、第１の電源監視回路１３は、第１の制御部１１により与えられた第１の設定値Ｄｒｅｇａに基づき自律的に第２の動作電源ＰＷＲｂの異常の有無を検証して周期的に検証結果を第１のエラー情報ＥＲＲ＿ｉｎｆｏ＿ａとして第２の制御部１２に送信し、第２の電源監視回路１４は、第２の制御部１２により与えられた第２の設定値Ｄｒｅｇｂに基づき自律的に第１の動作電源ＰＷＲａの異常の有無を検証して周期的に検証結果を第２のエラー情報ＥＲＲ＿ｉｎｆｏ＿ｂとして第１の制御部１１に送信する。【選択図】図１
2019101515.tif 000002
【特許請求の範囲】
【請求項１】
第１の動作電源を外部電源に基づき生成する第１の電源回路を含む第１の電源監視装置と、
第２の動作電源を前記外部電源に基づき生成する第２の電源回路を含む第２の電源監視装置と、を有し、
前記第１の動作電源は、前記第２の電源監視装置の動作内容を示す第２の設定値を前記第２の電源監視装置に与える第２の制御部に与えられ、
前記第２の動作電源は、前記第１の電源監視装置の動作内容を示す第１の設定値を前記第１の電源監視装置に与える第１の制御部に与えられ、
前記第１の電源監視装置は、レジスタに格納された前記第１の設定値に基づき周期的に前記第２の動作電源の電圧と電流の少なくとも１つを監視し、監視するパラメータが予め設定した基準範囲から外れた場合に第１のエラー情報を前記第２の制御部に出力し、
前記第２の電源監視装置は、レジスタに格納された前記第２の設定値に基づき周期的に前記第１の動作電源の電圧と電流の少なくとも１つを監視し、監視するパラメータが予め設定した基準範囲から外れた場合に第２のエラー情報を前記第１の制御部に出力する半導体装置。
【請求項２】
前記第１の電源監視装置は、前記第１の電源回路が出力する第１の内部電源で動作する第１の監視処理部を有し、
前記第２の電源監視装置は、前記第２の電源回路が出力する第２の内部電源で動作する第２の監視処理部を有し、
前記第１の監視処理部及び前記第２の監視処理部は、それぞれ、
監視対象の動作電源の異常を検出して検出結果を通知する判定信号と、前記動作電源を異常状態と判定する通常判定値に基づき前記動作電源の異常を検出する通常モードの動作と、正常な前記動作電源に対してもエラーとなるテスト判定値に基づき前記動作電源の状態を判定するテストモードの動作と、のうち現在の動作モードを通知する動作モード通知信号と、を出力する電源監視回路と、
前記動作モード通知信号と、前記電源監視回路による監視結果を通知する判定信号と、に基づきエラー情報を生成するステータス自動送信回路と、を有し、
前記第１の監視処理部は、前記エラー情報を前記第１のエラー情報として出力し、
前記第２の監視処理部は、前記エラー情報を前記第２のエラー情報を出力する請求項１に記載の半導体装置。
【請求項３】
前記ステータス自動送信回路は、
カウンタと、
前記エラー情報を出力する周期を前記カウンタのカウント値として格納する送信周期レジスタと、
前記カウンタのカウント値を格納するクロックカウント値格納レジスタと、
前記カウンタがカウントするクロックの分周比を設定するカウンタソースクロックレジスタと、
周期的な前記エラー情報の出力機能を有効とするか無効とするかを切り替える送信制御レジスタと、を有し、
前記カウンタは、前記カウント値が前記送信周期レジスタに格納された値に達したときにカウント値をリセットする請求項２に記載の半導体装置。
【請求項４】
前記ステータス自動送信回路は、前記エラー情報として、送信周期の度に値が循環的に切り替わる送信カウントデータが格納される送信カウントデータフィールドを含む請求項２に記載の半導体装置。
【請求項５】
前記ステータス自動送信回路は、前記エラー情報として、前記判定信号の情報が格納される判定信号データフィールドと、前記動作モード通知信号の情報が格納される動作モードデータフィールドとを含む請求項２に記載の半導体装置。
【請求項６】
前記電源監視回路は、前記通常モードの動作と、前記テストモードの動作と、を周期的に切り替える請求項２に記載の半導体装置。
【請求項７】
前記ステータス自動送信回路は、所定の周期で動作モード通知信号の論理レベルを切り替えるタイマーを有し、
前記電源監視回路は、前記通常モードの動作と、前記テストモードの動作と、を前記動作モード通知信号に基づき切り替える請求項２に記載の半導体装置。
【請求項８】
前記第１の監視処理部及び前記第２の監視処理部は、それぞれ、
自装置が監視対象とする動作電源を外部に出力するか否かを前記動作モード通知信号と前記判定信号に基づき切り替える電源遮断制御回路を有する請求項２に記載の半導体装置。
【請求項９】
前記電源遮断制御回路は、
前記通常モードを示す前記動作モード通知信号と共に受信した前記判定信号の値を格納するエラーステータスレジスタと、
前記動作電源を遮断すべき故障要因を定義する電源要因イネーブルレジスタと、
を有する請求項８に記載の半導体装置。
【請求項１０】
前記第１の監視処理部及び前記第２の監視処理部は、それぞれ、
自装置内のレジスタに設定値の送信元となる装置の動作状態を監視するウォッチドッグタイマを有し、
前記ウォッチドッグタイマは、前記動作モード信号と前記判定信号に対応する信号を出力する請求項２に記載の半導体装置。
【請求項１１】
前記第１の監視処理部及び前記第２の監視処理部は、それぞれ、
前記動作電源以外の監視対象信号をモニタし、レジスタに格納された期待値との比較を行うことで前記監視対象信号を入出力する装置の異常を検出する信号監視回路を有する請求項２に記載の半導体装置。
【請求項１２】
第１の電源配線と、
第２の電源配線と、
前記第１の電源配線に出力する第１の動作電源を外部電源に基づき生成する第１の電源回路を含む第１の電源監視装置と、
前記第２の電源配線に出力する第２の動作電源を前記外部電源に基づき生成する第２の電源回路を含む第２の電源監視装置と、
前記第２の動作電源に基づき動作し、前記第１の電源監視装置の動作を規定する第１の設定値を前記第１の電源監視装置内のレジスタに与える第１の制御部と、
前記第１の動作電源に基づき動作し、前記第２の電源監視装置の動作を規定する第２の設定値を前記第２の電源監視装置内のレジスタに与える第２の制御部と、を有し、
前記第１の電源監視装置は、自装置内のレジスタに格納された前記第１の設定値に基づき周期的に前記第２の動作電源の電圧と電流の少なくとも１つを監視し、監視するパラメータが予め設定した基準範囲から外れた場合に第１のエラー情報を前記第２の制御部に出力し、
前記第２の電源監視装置は、自装置内のレジスタに格納された前記第２の設定値に基づき周期的に前記第１の動作電源の電圧と電流の少なくとも１つを監視し、監視するパラメータが予め設定した基準範囲から外れた場合に第２のエラー情報を出力する半導体装置。
前記第１の制御部は、前記第２のエラー情報に基づき前記第１の動作電源の異常を検出し、
前記第２の制御部は、前記第１のエラー情報に基づき前記第２の動作電源の異常を検出する半導体装置。
【請求項１３】
前記第１の制御部及び前記第２の制御部は、同一の監視対象回路の異常の有無を監視し、前記監視対象回路において異常が発生した場合には、前記監視対象回路に対して異常に対処するためのエラー処理を実施する請求項１２に記載の半導体装置。
【請求項１４】
前記第１の制御部は、前記第２のエラー情報に基づき前記第１の動作電源の異常を検出した場合には、前記監視対象回路に対して異常に対処するためのエラー処理を実施し、
前記第２の制御部は、前記第２のエラー情報に基づき前記第１の動作電源の異常を検出した場合には、前記監視対象回路に対して異常に対処するためのエラー処理を実施する請求項１２に記載の半導体装置。
【請求項１５】
前記第１の電源監視装置は、
前記第１の制御部の動作を監視する第１のウォッチドッグタイマと、
前記第１のウォッチドッグタイマにより前記第１の制御部の動作異常が検出された場合に前記第２の動作電源の前記第１の制御部への供給を停止する第１の電源遮断制御回路と、を有し、
前記第２の電源監視装置は、
前記第２の制御部の動作を監視する第２のウォッチドッグタイマと、
前記第２のウォッチドッグタイマにより前記第２の制御部の動作異常が検出された場合に前記第１の動作電源の前記第２の制御部への供給を停止する第２の電源遮断制御回路と、を有する請求項１２に記載の半導体装置。
【請求項１６】
前記第１の電源監視装置は、
前記第１の制御部が入出力する第１の監視対象信号を監視し、前記第１の制御部から与えられた期待値に基づき前記第１の監視対象信号の正当性を検証する第１の入出力監視回路を有し、
前記第２の電源監視装置は、
前記第２の制御部が入出力する第２の監視対象信号を監視し、前記第２の制御部から与えられた期待値に基づき前記第２の監視対象信号の正当性を検証する第２の入出力監視回路を有する請求項１２に記載の半導体装置。
【請求項１７】
第１の制御部と第２の制御部とを用いて同一の監視対象回路の動作を監視するシステムにおいて前記第１の制御部と前記第２の制御部とに供給される動作電源の異常を検出する電源監視方法であって、
第１の電源監視装置と、第２の電源監視装置と、を配置し、
前記第１の電源監視装置により外部電源から前記第２の制御部に供給する第１の動作電源を生成し、
前記第２の電源監視装置により前記外部電源から前記第１の制御部に供給する第２の動作電源を生成し、
前記第１の電源監視装置により前記第２の動作電源の異常を監視し、
前記第２の電源監視装置により前記第１の動作電源の異常を監視し、
前記第１の電源監視装置は、前記第１の制御部から与えられる第１の設定値に基づき前記監視結果を自律的かつ周期的に前記第２の制御部に送信し、
前記第２の電源監視装置は、前記第２の制御部から与えられる第２の設定値に基づき前記監視結果を自律的かつ周期的に前記第１の制御部に送信する電源監視方法。
【請求項１８】
前記第１の電源監視装置は、
前記第１の制御部の動作を監視し、
監視の結果、前記第１の制御部の動作異常が検出された場合に前記第２の動作電源の前記第１の制御部への供給を停止し、
前記第２の電源監視装置は、
前記第２の制御部の動作を監視し、
監視の結果、前記第２の制御部の動作異常が検出された場合に前記第１の動作電源の前記第２の制御部への供給を停止する請求項１７に記載の電源監視方法。
【請求項１９】
前記第１の電源監視装置は、
前記第１の制御部が入出力する第１の監視対象信号を監視し、
前記第１の制御部から与えられた期待値に基づき前記第１の監視対象信号の正当性を検証し、
前記第２の電源監視装置は、
前記第２の制御部が入出力する第２の監視対象信号を監視し、
前記第２の制御部から与えられた期待値に基づき前記第２の監視対象信号の正当性を検証する請求項１７に記載の電源監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は半導体装置に関し、例えば、多重化構成により、高い信頼性を実現するために利用され、多重化された構成におけるエラーを検出する半導体装置に関する。
【背景技術】
【０００２】
近年、システムの信頼性を向上させるために、システムの動作を複数の監視系統を用いて監視することが行われている。このように、構成として安全の為の機能をシステムに組み込むことを機能安全と称する。このような複数の監視系統の監視する例が特許文献１に開示されている。
【０００３】
特許文献１に記載の制御装置では、第１のＭＰＵと第２のＭＰＵを用い、第２のＭＰＵで出力回路を動作させ、その結果を第１のＭＰＵで観測する。このとき、特許文献１に記載の制御装置では、第１のＭＰＵと第２のＭＰＵとの間でクロスコミュニケーションを行い、出力回路異常を判定する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−３０２６１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１のように２つの演算装置間で互いのエラーを検証する構成では、その検証処理により演算装置の演算能力が消費されてしまい、演算装置の処理能力を十分に発揮できない問題があった。
【０００６】
その他の課題と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。
【課題を解決するための手段】
【０００７】
一実施の形態によれば、半導体装置は、第２の制御部に供給する第１の動作電源を出力する第１の電源監視装置と、第１の制御部に供給する第２の動作電源を出力する第２の電源監視装置と、を有し、第１の電源監視回路は、第１の制御部により与えられた第１の設定値に基づき自律的に第２の動作電源の異常の有無を検証して周期的に検証結果を第１のエラー情報として第２の制御部に送信し、第２の電源監視回路は、第２の制御部により与えられた第２の設定値に基づき自律的に第１の動作電源の異常の有無を検証して周期的に検証結果を第２のエラー情報として第１の制御部に送信する。
【発明の効果】
【０００８】
前記一実施の形態によれば、半導体装置は、制御部の演算能力の消費量を低減しながら制御部に与えられる動作電源の異常を早期に検出することができる。
【図面の簡単な説明】
【０００９】
【図１】実施の形態１にかかる半導体装置のブロック図である。
【図２】実施の形態１にかかるステータス自動送信回路の動作設定値を格納するレジスタの定義情報の一例である。
【図３】実施の形態１にかかるステータス自動送信回路が出力するエラー情報のデータフォーマットの一例である。
【図４】実施の形態１にかかる半導体装置の動作を説明するフローチャートである。
【図５】実施の形態２にかかる半導体装置のブロック図である。
【図６】実施の形態２にかかる半導体装置の動作を説明するフローチャートである。
【図７】実施の形態３にかかる半導体装置のブロック図である。
【図８】実施の形態３にかかるウォッチドッグタイマの動作設定値を格納するレジスタの定義情報の一例である。
【図９】実施の形態３にかかる電源遮断制御回路の動作設定値を格納するレジスタの定義情報の一例である。
【図１０】実施の形態３にかかる半導体装置の動作を説明するフローチャートである。
【図１１】実施の形態４にかかる半導体装置のブロック図である。
【図１２】実施の形態４にかかる入出力信号監視回路のブロック図である。
【図１３】実施の形態４にかかる入出力信号監視回路の動作設定値を格納するレジスタの定義情報の一例である。
【図１４】実施の形態４にかかる半導体装置の動作を説明するフローチャートである。
【発明を実施するための形態】
【００１０】
説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、様々な処理を行う機能ブロックとして図面に記載される各要素は、ハードウェア的には、ＣＰＵ、メモリ、その他の回路で構成することができ、ソフトウェア的には、メモリにロードされたプログラムなどによって実現される。したがって、これらの機能ブロックがハードウェアのみ、ソフトウェアのみ、またはそれらの組合せによっていろいろな形で実現できることは当業者には理解されるところであり、いずれかに限定されるものではない。なお、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。
【００１１】
また、上述したプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（ｎｏｎ−ｔｒａｎｓｉｔｏｒｙ  ｃｏｍｐｕｔｅｒ  ｒｅａｄａｂｌｅ  ｍｅｄｉｕｍ）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（ｔａｎｇｉｂｌｅ  ｓｔｏｒａｇｅ  ｍｅｄｉｕｍ）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ−ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Ｐｒｏｇｒａｍｍａｂｌｅ  ＲＯＭ）、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ  ＰＲＯＭ）、フラッシュＲＯＭ、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（ｔｒａｎｓｉｔｏｒｙ  ｃｏｍｐｕｔｅｒ  ｒｅａｄａｂｌｅ  ｍｅｄｉｕｍ）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
【００１２】
実施の形態１
まず、図１に実施の形態１にかかる半導体装置１のブロック図を示す。図１に示すように、実施の形態１にかかる半導体装置１は、監視対象回路１０、第１の安全制御回路１１、第２の安全制御回路１２、第１の電源監視装置１３、第２の電源監視装置１４を有する。実施の形態１にかかる半導体装置１では、第１の安全制御回路１１、第２の安全制御回路１２、第１の電源監視装置１３、第２の電源監視装置１４を個別の半導体チップ上に形成する。なお、第１の安全制御回路１１及び第２の安全制御回路１２を１つの半導体チップ上に形成し、第１の電源監視装置１３及び第２の電源監視装置１４を第１の安全制御回路１１及び電源回路２１とは異なる１つの半導体チップ上に形成してもよい。また、監視対象回路１０は、例えば、センサ等の信号の入出力を行う素子、スイッチ等の制御信号の入力を受ける素子、その他の半導体装置等を含む所定のシステムである。
【００１３】
実施の形態１にかかる半導体装置１では、監視対象回路１０に設けられたチェックポイントから得られる監視信号Ｓｍｏｎｉを第１の安全制御回路１１及び第２の安全制御回路１２により二重で検証する。また、第１の安全制御回路１１及び第２の安全制御回路１２は、例えば、ＭＣＵ（Micro Controller Unit）のようなプログラムを実行可能な演算部と、アナログデジタル変換回路、デジタルアナログ変換回路、タイマー等の演算部が利用する周辺回路と、を含む半導体装置である。
【００１４】
また、実施の形態１にかかる半導体装置１では、異なる電源回路で生成された動作電源をそれぞれ第１の安全制御回路１１及び第２の安全制御回路１２に供給する。具体的には、第１の安全制御回路１１には、第２の電源監視装置１４で生成された第２の動作電源ＰＷＲｂを供給し、第２の安全制御回路１２には、第１の電源監視装置１３で生成された第１の動作電源ＰＷＲａを供給する。また、実施の形態１にかかる半導体装置１では、第１の安全制御回路１１が第１の設定値（例えばレジスタ設定値Ｄｒｅｇａ）を第１の電源監視装置１３に与えることにより第１の電源監視装置１３の動作を規定する。実施の形態１にかかる半導体装置１では、第２の安全制御回路１２が第２の設定値（例えば、レジスタ設定値Ｄｒｅｇｂ）を第２の電源監視装置１４に与えることにより第２の電源監視装置１４の動作を規定する。
【００１５】
そして、実施の形態１にかかる半導体装置１では、第１の電源監視装置１３が、第２の電源監視装置１４により生成され、かつ、第１の安全制御回路１１に供給される第２の動作電源ＰＷＲｂの異常をレジスタ設定値Ｄｒｅｇａに基づき自律的に検出する。また。実施の形態１にかかる半導体装置１では、第２の電源監視装置１４が、第１の電源監視装置１３により生成され、かつ、第２の安全制御回路１２に供給される第１の動作電源ＰＷＲａの異常をレジスタ設定値Ｄｒｅｇｂに基づき自律的に検出する。別の観点では、第１の電源監視装置１３は、レジスタに格納されたレジスタ設定値Ｄｒｅｇａに基づき周期的に第２の動作電源ＰＷＲｂの電圧と電流の少なくとも１つを監視し、監視するパラメータが予め設定した基準範囲から外れた場合に第１のエラー情報ＥＲＲ＿ｉｎｆｏ＿ａを第２の制御部（例えば、第２の安全制御回路１２）に出力する。第２の電源監視装置１４は、レジスタに格納されたレジスタ設定値Ｄｒｅｇｂに基づき周期的に第１の動作電源ＰＷＲａの電圧と電流の少なくとも１つを監視し、監視するパラメータが予め設定した基準範囲から外れた場合に第２のエラー情報ＥＲＲ＿ｉｎｆ＿ｂを第１の制御部（例えば、第１の安全制御回路１１）に出力する。
【００１６】
実施の形態１にかかる半導体装置１では、第１の電源監視装置１３が第２の動作電源ＰＷＲｂの異常を検証した結果を用いて第１のエラー情報ＥＲＲ＿ｉｎｆｏ＿ａを生成し、第１のエラー情報ＥＲＲ＿ｉｎｆｏ＿ａを第２の安全制御回路１２に出力する。また、実施の形態１にかかる半導体装置１では、第２の電源監視装置１４が第１の動作電源ＰＷＲａの異常を検証した結果を用いて第２のエラー情報ＥＲＲ＿ｉｎｆｏ＿ｂを生成し、第２のエラー情報ＥＲＲ＿ｉｎｆｏ＿ｂを第１の安全制御回路１１に出力する。
【００１７】
実施の形態１にかかる半導体装置１では、第１の電源監視装置１３が第１の電源回路（例えば、電源回路２１ａ）を有し、電源回路２１ａにより第１の内部電源ｉＰＷＲａを生成する。そして、第１の電源監視装置１３は、第１の内部電源ｉＰＷＲａを用いて監視処理部２２ａを動作させる。また、実施の形態１にかかる半導体装置１では、第２の電源監視装置１４が第２の電源回路（例えば、電源回路２１ｂ）を有し、電源回路２１ｂにより第２の内部電源ｉＰＷＲｂを生成する。そして、第２の電源監視装置１４は、第２の内部電源ｉＰＷＲｂを用いて監視処理部２２ｂを動作させる。つまり、実施の形態１にかかる第１の電源監視装置１３及び第２の電源監視装置１４は、監視する動作電源は異なる内部電源の供給を受けて動作電源の監視処理を行う。
【００１８】
このように、実施の形態１にかかる半導体装置１では、一方の系統で生成した第１の動作電源ＰＷＲａを他方の系統で利用及び監視し、他方の系統で生成した第２の動作電源ＰＷＲｂを一方の系統で利用及び監視する相互監視構成をとるという構成に特徴の１つを有する。このようなシステム構成とすることで、一方の系統で生成した動作電源に不具合が生じた場合に、当該不具合を他方の系統で検出して、正常に動作している他方の系統で当該不具合に適切に対処することが可能になる。
【００１９】
より具体的には、実施の形態１にかかる半導体装置１では、第１の電源監視装置１３で生成した第１の動作電源ＰＷＲａに不具合が生じた場合、第１の動作電源ＰＷＲａの供給を受ける第２の電源監視装置１４の動作が不安定になる。このとき、実施の形態１にかかる半導体装置１では、第１の動作電源ＰＷＲａとは異なる電源で動作する第２の電源監視装置１４が第１の動作電源ＰＷＲａの不具合を検出して、正常な第２の動作電源ＰＷＲｂに基づき動作する第１の安全制御回路１１に第１の動作電源ＰＷＲａの不具合状況を通知する。これにより、実施の形態１にかかる半導体装置１では、第２の安全制御回路１２に供給される第１の動作電源ＰＷＲａの不具合によりシステムの動作が不安定な状態となるような状況に適切に対処することが可能になる。
【００２０】
また、実施の形態１にかかる半導体装置１では、第１の電源監視装置１３及び第２の電源監視装置１４が自立的に動作電源の異常を監視する点に特徴の１つを有する。また、実施の形態１にかかる半導体装置１では、第１の電源監視装置１３及び第２の安全制御回路１２がそれぞれ自装置内の電源回路で生成された内部電源に基づき動作する点も特徴の１つである。そこで、以下では、特に第１の電源監視装置１３及び第２の電源監視装置１４について詳細に説明する。
【００２１】
図１に示すように、実施の形態１にかかる第１の電源監視装置１３は、第１の電源回路（例えば、電源回路２１ａ）、第１の監視処理部（例えば、監視処理部２２ａ）を有する。監視処理部２２ａは、第１のレジスタ制御回路（例えば、レジスタ制御回路３１ａ）、第１の電源監視回路（例えば、電圧・電流監視回路３２ａ）、第１のステータス自動送信回路（例えば、ステータス自動送信回路３６ａ）を有する。なお、電圧・電流監視回路３２ａには、上限電圧監視部３３ａ、下限電圧監視部３４ａ、上限電流監視部３５ａが含まれる。
【００２２】
また、実施の形態１にかかる第２の電源監視装置１４は、第２の電源回路（例えば、電源回路２１ｂ）、第２の監視処理部（例えば、監視処理部２２ｂ）を有する。監視処理部２２ｂは、第２のレジスタ制御回路（例えば、レジスタ制御回路３１ｂ）、第２の電源監視回路（例えば、電圧・電流監視回路３２ｂ）、第２のステータス自動送信回路（例えば、ステータス自動送信回路３６ｂ）を有する。なお、電圧・電流監視回路３２ｂには、上限電圧監視部３３ｂ、下限電圧監視部３４ｂ、上限電流監視部３５ｂが含まれる。
【００２３】
このように、図１に示した例では、第１の電源監視装置１３及び第２の電源監視装置１４は、同一の回路構成を有する。そこで、以下では、第１の電源監視装置１３を例に第１の電源監視装置１３及び第２の電源監視装置１４について詳細に説明する。なお、図１では、第１の電源監視装置１３に含まれる回路ブロックの符号の末尾にａを付し、第２の電源監視装置１４に含まれる回路ブロックの符号の末尾にｂを付した。
【００２４】
電源回路２１ａは、外部から供給される入力電源を昇圧又は降圧して、第１の動作電源ＰＷＲａと第１の内部電源ｉＰＷＲａを生成する。第１の内部電源ｉＰＷＲａは第１の電源監視装置１３から引き出されて第２の安全制御回路１２に供給されると共に、電圧及び電流の少なくとも一方が第２の電源監視装置１４により監視される。第１の内部電源ｉＰＷＲａは、監視処理部２２ａに供給され、監視処理部２２ａは、第１の内部電源ｉＰＷＲａに基づき動作する。
【００２５】
レジスタ制御回路３１ａは、第１の安全制御回路１１から受信したレジスタ設定値Ｄｒｅｇａを電圧・電流監視回路３２ａ内のレジスタ及びステータス自動送信回路３６ａ内のレジスタに格納する。
【００２６】
電圧・電流監視回路３２ａは、監視対象の動作電源（例えば、第２の動作電源ＰＷＲｂ）の異常を検出して検出結果を通知する判定信号ＤＥＴａを出力する。また、電圧・電流監視回路３２ａは、第２の動作電源ＰＷＲｂを異常状態と判定する通常判定値に基づき第２の動作電源ＰＷＲｂの異常を検出する通常モードの動作と、正常な第２の動作電源ＰＷＲｂに対してもエラーとなるテスト判定値に基づき第２の動作電源ＰＷＲｂの状態を判定するテストモードの動作と、のうち現在の動作モードを通知する動作モード通知信号Ｄｍｄａと、を出力する。なお、電圧・電流監視回路３２ａにおける通常判定値、テスト判定値、及び動作モードを示す値は、電圧・電流監視回路３２ａ内のレジスタに格納される。また、電圧・電流監視回路３２ａにおける動作モードの切り替えは、第１の安全制御回路１１からのレジスタ設定により適宜切り替えられる。
【００２７】
また、電圧・電流監視回路３２ａは、上限電圧監視部３３ａ、下限電圧監視部３４ａ、上限電流監視部３５ａを有する。上限電圧監視部３３ａは、電圧・電流監視回路３２ａ内のレジスタに格納された上限電圧判定値と第２の動作電源ＰＷＲｂの電圧とを比較して、第２の動作電源ＰＷＲｂの電圧が上限電圧判定値を上回った場合に判定信号ＤＥＴａによりエラー状態を出力する。下限電圧監視部３４ａは、電圧・電流監視回路３２ａ内のレジスタに格納された下限電圧判定値と第２の動作電源ＰＷＲｂの電圧とを比較して、第２の動作電源ＰＷＲｂの電圧が下限電圧判定値を下回った場合に判定信号ＤＥＴａによりエラー状態を出力する。上限電流監視部３５ａは、電圧・電流監視回路３２ａ内のレジスタに格納された上限電流判定値と第２の動作電源ＰＷＲｂに流れる電流とを比較して、第２の動作電源ＰＷＲｂに流れる電流量が上限電流判定値を上回った場合に判定信号ＤＥＴａによりエラー状態を出力する。
【００２８】
ステータス自動送信回路３６ａは、動作モード通知信号Ｄｍｄａと、電圧・電流監視回路３２ａによる監視結果を通知する判定信号ＤＥＴａと、に基づきエラー情報を生成する。具体的には、ステータス自動送信回路３６ａは、周期的に、収集した動作モード通知信号Ｄｍｄａと判定信号ＤＥＴａとに基づいたエラー情報の生成と、生成したエラー情報の第２の安全制御回路１２への送信と、を行う。ステータス自動送信回路３６ａでは上記の周期的な、動作モード通知信号Ｄｍｄａ及び判定信号ＤＥＴａの収集と、エラー信号の出力をステータス自動送信回路３６ａ内のレジスタに格納された設定値に基づき行う。なお、ステータス自動送信回路３６ａは、内部にクロック信号（不図示）をカウントするカウンタ（不図示）を有し、当該カウンタのカウント値とレジスタに格納された設定値に基づき周期的な送信動作を行う。そこで、ステータス自動送信回路３６ａ内のレジスタについて以下で説明する。
【００２９】
図２に実施の形態１にかかるステータス自動送信回路３６ａの動作設定値を格納するレジスタの定義情報の一例を示す。図２に示すように、ステータス自動送信回路３６ａは、送信制御レジスタ、送信周期レジスタ、クロックカウント値格納レジスタ、カウンタソースクロックレジスタを有する。なお、図２に示したステータス自動送信回路３６ａ内のレジスタは、一例であり、図２に示したレジスタのビット数、或いは、種類は仕様に応じて適宜変更することが可能で有り、また、その他のレジスタがあっても構わない。
【００３０】
送信制御レジスタは、ステータス自動送信回路３６ａの送信機能の有効と無効とを切り替えるレジスタである。図２に示す例は、送信制御レジスタは、８ビットの領域のうち８〜２ビット目は値が無視される設定無効領域として定義され、１ビット目に入る値に応じて、送信機能の有効と無効とを示す。例えば、送信制御レジスタの１ビット目が０であれば送信機能は無効にされ、１であれば送信機能が有効になる。
【００３１】
送信周期レジスタは、エラー情報を自動送信する周期を設定するレジスタである。より具体的には、送信周期レジスタは、エラー情報を出力する周期をカウンタのカウント値として格納する。図２に示す例では、送信周期レジスタは、８ビットの領域を有し、８ビットの値を用いて００’ｈ〜ＦＦ’ｈの値が格納される。
【００３２】
クロックカウント値格納レジスタは、カウンタのカウント値を格納する。カウンタは、クロックカウント値格納レジスタに格納された値が送信周期レジスタに格納された値に達した時点でカウント値をリセットする。また、ステータス自動送信回路３６ａは、クロックカウント値格納レジスタに格納された値が送信周期レジスタに格納された値に達した時点でそのときに準備されているエラー情報を第２の安全制御回路１２に送信する。なお、ステータス自動送信回路３６ａの送信機能が無効な場合、カウンタは停止状態となる。
【００３３】
カウンタソースクロックレジスタは、カウンタがカウントするクロックの分周比を設定する。図２に示す例では、８ビットのうち上位４ビットが値が無視される設定無効領域に設定され、下位４ビットの値に応じて選択するクロックの分周比を指定する分周比設定領域となる。例えば、分周比設定領域の値が”００００”であればカウンタは基本クロックを２分周したクロックをカウントする。分周比設定領域の値が”０００１”であればカウンタは基本クロックを４分周したクロックをカウントする。分周比設定領域の値が”１１１１”であればカウンタは基本クロックを６５５３６分周したクロックをカウントする。
【００３４】
続いて、ステータス自動送信回路３６ａが出力するエラー情報のフォーマットについて説明する。図３に実施の形態１にかかるステータス自動送信回路が出力するエラー情報のデータフォーマットの一例を示す。実施の形態１にかかるステータス自動送信回路３６ａは、パラレルデータとして電圧・電流監視回路３２ａから受信した動作モード通知信号及び判定信号の値をシリアルデータに変換して出力する。
【００３５】
図３に示すように、実施の形態１にかかるエラー情報は、８ビットのシリアルデータとなる。そして、エラー情報は、送信カウントデータフィールド、判定信号データフィールドと、動作モードデータフィールドの３つのデータフィル-ドが定義される。図２に示す例では、送信カウントデータフィールドは２ビット、判定信号データフィールドは３ビット、動作モードデータフィールドは３ビットで定義される。送信カウントデータフィールドには、送信周期の度に値が循環的に切り替わる送信カウントデータが格納される。つまり、送信カウントデータフィールドに格納される値は、エラー情報が送信される度に値が００〜１１の間で変化する。判定信号データフィールドには、判定信号の情報をシリアルデータとした情報が格納される。動作モードデータフィールドには、動作モード通知信号の情報をシリアルデータとした情報が格納される。
【００３６】
続いて、実施の形態１にかかる半導体装置１の動作について説明する。そこで、図４に実施の形態１にかかる半導体装置の動作を説明するフローチャートを示す。ここでは、第１の安全制御回路１１、第２の安全制御回路１２、第１の電源監視装置１３の動作を中心に説明する。第２の電源監視装置１４の動作は第１の電源監視装置１３と同様の動作であるため、ここでは説明を省略する。
【００３７】
図４に示すように、実施の形態１にかかる半導体装置１は、外部から入力電源の供給が開始されると、第１の電源監視装置１３の電源回路２１ａが第１の動作電源ＰＷＲａ及び第１の内部電源ｉＰＷＲａの出力を開始する（ステップＳ１）。これにより、第２の安全制御回路１２及び第１の電源監視装置１３が起動する。なお、ステップＳ１では、第２の電源監視装置１４の電源回路２１ｂが第２の動作電源ＰＷＲｂ及び第２の内部電源ｉＰＷＲｂの出力を開始し、第１の安全制御回路１１及び第２の電源監視装置１４が起動する。
【００３８】
次いで、第１の安全制御回路１１が第１の電源監視装置１３内のレジスタの初期設定を行う（ステップＳ２）。このステップＳ２のレジスタ設定処理では、第１の安全制御回路１１が第１の電源監視装置１３に、図２で説明したステータス自動送信回路３６ａのレジスタの値などをレジスタ設定値Ｄｒｅｇａとして与える。このレジスタの初期設定により、第１の電源監視装置１３が動作を開始する。このステップＳ２までの処理により、第１の電源監視装置１３は動作電源の自律的な監視を開始する。
【００３９】
そして、実施の形態１にかかる半導体装置１では、第２の安全制御回路１２が第１の電源監視装置１３から受信した第１のエラー情報Ｅｒｒｏｒ＿Ｉｎｆｏ＿ａに基づき、第１の電源監視装置１３内でテストモードでの動作が周期的行われているかを第２の安全制御回路１２が確認する（ステップＳ３）。このテストモードへの周期的な切り替えが行われていない場合、第１の電源監視装置１３内の電圧・電流監視回路３２ａの動作モード切り替えを行う第１の安全制御回路１１が故障しているか、または、第１の電源監視装置１３が故障している可能性があると判断し、第２の安全制御回路１２は、監視対象回路１０に対して動作停止させるための処理を行い、安全状態に移行させる（ステップＳ１１）。
【００４０】
一方、ステップＳ３において、第２の安全制御回路１２により第１の電源監視装置１３が予め決められた周期で動作モードをテストモードに切り替えながら動作していることが確認できた場合、第１の電源監視装置１３は、通常モードの周期であれば通常モードで電圧・電流監視回路３２ａを動作させ、テストモードの周期であればテストモードで電圧・電流監視回路３２ａを動作させる（ステップＳ４〜Ｓ６）。
【００４１】
その後、ステータス自動送信回路３６ａが、第１の電源監視装置１３内の出力信号（例えば、電圧・電流監視回路３２ａが出力する動作モード通知信号Ｄｍｄａ及び判定信号ＤＥＴａ）を受信して、第１のエラー情報Ｅｒｒｏｒ＿Ｉｎｆｏ＿ａを生成する（ステップＳ７）。そして、ステータス自動送信回路３６ａは、所定の送信タイミングになった時点で、その時に生成されている第１のエラー情報Ｅｒｒｏｒ＿Ｉｎｆｏ＿ａを第２の安全制御回路１２に送信する（ステップＳ８）。
【００４２】
そして、ステップＳ８において受信した第１のエラー情報Ｅｒｒｏｒ＿Ｉｎｆｏ＿ａに基づき、第２の安全制御回路１２が第２の内部電源ｉＰＷＲｂの異常又は第１の電源監視装置１３内の動作の異常の有無を確認する（ステップＳ１０）。このステップＳ１０において、第２の安全制御回路１２が全ての状態が正常であると判断した場合、ステップＳ３からステップＳ１０までの動作を繰り返す。また、第１の電源監視装置１３に与えられるレジスタ設定値Ｄｒｅｇａの変更タイミングは、ステップＳ３からＳ１０の間において、第１の安全制御回路から適宜変更される。
【００４３】
また、ステップＳ１０で第２の安全制御回路１２が第２の内部電源ｉＰＷＲｂ又は第１の電源監視装置１３内の動作に異常があると判断した場合、第２の安全制御回路１２は、監視対象回路１０に対して動作停止させるための処理を行い、安全状態に移行させる（ステップＳ１１）。
【００４４】
上記説明より、実施の形態１にかかる半導体装置１は、監視対象の動作電源とは異なる系で生成された内部電源で動作する電源監視装置により、監視対象の動作電源の異常を監視することで、動作電源の異常を精度良く検出することができる。また、実施の形態１にかる半導体装置１では、監視対象の動作電源とは異なる系で生成された動作電源で動作する安全制御回路に監視対象の動作電源の異常を通知することで、異常が検出された場合のエラー回避対処を確実に行うことができる。
【００４５】
また、実施の形態１にかかる半導体装置１では、第１の電源監視装置１３が第１の安全制御回路１１から与えられた第１のレジスタ設定値Ｄｒｅｇａに基づき自律的に第２の動作電源ＰＷＲｂの異常を検出し、第２の電源監視装置１４が第２のレジスタ設定値Ｄｒｅｇｂに基づき第１の動作電源ＰＷＲの異常を検出する。これにより、実施の形態１にかかる半導体装置１では、第１の安全制御回路１１及び第２の安全制御回路１２の処理能力を用いることなく監視対象の動作電源の異常を監視することができる。つまり、実施の形態１にかかる半導体装置１では、第１の安全制御回路１１及び第２の安全制御回路１２の処理能力を最大限に引き出した監視対象回路１０の監視動作を行うことができる。
【００４６】
また、実施の形態１にかかる半導体装置１では、第１の電源監視装置１３及び第２の電源監視装置１４の動作条件をレジスタ設定値により適宜変更することができる。これにより、実施の形態１にかかる半導体装置１では、第１の電源監視装置１３及び第２の電源監視装置１４が用いられるシステムの条件に応じた動作を第１の安全制御回路１１及び第２の安全制御回路１２に組み込むソフトウェアからの指示により変更することができるため、適用するシステム毎に動作条件を変更した第１の電源監視装置１３及び第２の電源監視装置１４を準備する必要が無い。また、実施の形態１にかかる第１の電源監視装置１３及び第２の電源監視装置１４は、動作中にシステムの動作状態（例えば、温度等）の条件に合わせて動作条件を変更することも可能になる。
【００４７】
また、実施の形態１にかかる半導体装置１では、電圧・電流監視回路３２ａ及び電圧・電流監視回路３２ｂが所定の周期で擬似的なエラー状態となるテストモード動作を行う。これにより、実施の形態１にかかる半導体装置１では、第１の電源監視装置１３及び第２の電源監視装置１４の内部的な故障を検出することができる。つまり、実施の形態１にかかる第１の電源監視装置１３及び第２の電源監視装置１４を用いることで、システムの信頼性をより向上させることができる。
【００４８】
また、実施の形態１にかかる半導体装置１では、電源監視装置から第安全制御回路に送信するエラー情報に、送信処理が行われることに値が変化する送信カウントデータフィールドを有する。これにより、実施の形態１にかかる半導体装置１では、電源監視装置のステータス自動送信回路の異常或いは電源監視装置内で用いられるクロック信号の異常を安全制御回路で検出することができる。
【００４９】
また、実施の形態１にかかる半導体装置１では、電源監視装置から第安全制御回路に送信するエラー情報に、判定信号データフィールドと動作モードデータフィールドとを含む。これにより、実施の形態１にかかる半導体装置１では、テストモード時のエラーを疑似エラーとして処理しつつ、電圧・電流監視回路が正しく動作しているか否かを第１の安全制御回路で判定することが可能になる。
【００５０】
実施の形態２
実施の形態２では、実施の形態１にかかる第１の電源監視装置１３及び第２の電源監視装置１４の別の形態となる第１の電源監視回路４３及び第２の電源監視回路４４について説明する。なお、実施の形態２の説明では、実施の形態１で説明した構成要素と同じ構成要素については実施の形態１と同じ符号を付して説明を省略する。
【００５１】
図５に実施の形態２にかかる半導体装置２のブロック図を示す。図５に示すように、第１の電源監視回路４３は、ステータス自動送信回路３６ａをステータス自動送信回路４６ａに置き換えたものである。第２の電源監視回路４４は、ステータス自動送信回路３６ｂをステータス自動送信回路４６ｂに置き換えたものである。
【００５２】
ステータス自動送信回路４６ａ及びステータス自動送信回路４６ｂは、ステータス自動送信回路３６ａ及びステータス自動送信回路３６ｂにタイマーを追加したものである。このタイマーは、所定の周期では出力信号の論理レベルが切り替わるものである。実施の形態２にかかる半導体装置２では、タイマーの出力を動作モード通知信号とし、上限電圧監視部、下限電圧監視部、上限電流監視部は、タイマーから与えられた動作モード通知信号に基づき動作モードを切り替える。図５に示す例では、上限電圧監視部３３ａ、３３ｂ、下限電圧監視部３４ａ、３４ｂ、上限電流監視部３５ａ、３５ｂは、タイマーから与えられた動作モード通知信号Ｄｍｄａ、Ｄｍｄｂに基づき動作モードを切り替える。
【００５３】
続いて、実施の形態２にかかる半導体装置２の動作について説明する。図６に実施の形態２にかかる半導体装置の動作を説明するフローチャートを示す。図６に示すように、実施の形態２にかかる半導体装置２の動作は、図４で示した実施の形態１にかかる半導体装置１の動作のステップＳ４〜Ｓ６の動作をステップＳ２４〜２６の動作に置き換えたものとなる。
【００５４】
ステップＳ２４は、ステップＳ３のテストモード切替周期の判断処理の後に行われる処理である。ステップＳ２４では、第１の電源監視装置１３内においてステータス自動送信回路４６ａのタイマーが所定時間の計時を終える毎に動作モード通知信号Ｄｍｄを切り替えるため、この動作モードの切り替えにより、現在の動作モードがテストモードであるのか通常モードであるのかを判断する。そして、第１の電源監視装置４３は、通常モードの周期であれば通常モードで電圧・電流監視回路３２ａを動作させ、テストモードの周期であればテストモードで電圧・電流監視回路３２ａを動作させる（ステップＳ２５、Ｓ２６）。
【００５５】
上記説明より、実施の形態２にかかる半導体装置２では、電圧・電流監視回路の動作モードをステータス自動送信回路内に設けたタイマーにより切り替える。つまり、実施の形態２にかかる半導体装置２では、実施の形態１にかかる半導体装置１において、動作モードの切り替えに、安全制御回路から電源監視装置へのレジスタ設定が不要となるため、安全制御回路の演算リソースを低減できる。これにより、実施の形態１よりも安全制御回路の演算リソースを監視対象回路の監視動作に割り当てることができる。
【００５６】
実施の形態３
実施の形態３では、実施の形態１にかかる第１の電源監視装置１３及び第２の電源監視装置１４の別の形態となる第１の電源監視回路５３及び第２の電源監視回路５４について説明する。なお、実施の形態３の説明では、実施の形態１で説明した構成要素と同じ構成要素については実施の形態１と同じ符号を付して説明を省略する。
【００５７】
図７に実施の形態３にかかる半導体装置３のブロック図を示す。図７に示すように、第１の電源監視回路５３は、第１の電源監視装置１３にウォッチドッグタイマ５７ａ及び電源遮断制御回路５８ａを追加したものである。また、第２の電源監視回路５４は、第２の電源監視装置１４にウォッチドッグタイマ５７ｂ及び電源遮断制御回路５８ｂを追加したものである。
【００５８】
ウォッチドッグタイマは、自装置内のレジスタに設定値の送信元となる装置の動作状態を監視する。より具体的には、ウォッチドッグタイマ５７ａは、第１の電源監視回路５３に第１のレジスタ設定値Ｄｒｅｇａを送信する第１の安全制御回路１１の動作を監視する。ウォッチドッグタイマ５７ｂは、第２の電源監視回路５４に第２のレジスタ設定値Ｄｒｅｇｂを送信する第２の安全制御回路１２の動作を監視する。また、ウォッチドッグタイマ５７ａは、電圧・電流監視回路３２ａと同様に動作モード通知信号Ｄｍｄａ及び判定信号ＤＥＴａを出力する。また、ウォッチドッグタイマ５７ｂは、電圧・電流監視回路３２ｂと同様に動作モード通知信号Ｄｍｄｂ及び判定信号ＤＥＴｂを出力する。
【００５９】
ここで、ウォッチドッグタイマ５７ａ、５７ｂは同じものであるため、ここではウォッチドッグタイマ５７ａを例にウォッチドッグタイマ内のレジスタについて説明する。ウォッチドッグタイマ５７ａは、第１の安全制御回路１１で実行されているプログラムの正当性を確認するために、第１の安全制御回路１１の挙動を監視して、その監視結果を判定信号ＤＥＴａとして出力する。ここで、ウォッチドッグタイマ５７ａは、機能の有効と無効の切り替え、カウンタクリア禁止期間のウィンドウ範囲等の設定をレジスタで変更することが可能である。そこで、図８に実施の形態３にかかるウォッチドッグタイマ５７ａの動作設定値を格納するレジスタの定義情報の一例を示す。なお、ウォッチドッグタイマ５７ａは、ダウンカウント式のカウンタを有するものとする。
【００６０】
図８に示すように、ウォッチドッグタイマ５７ａは、ＷＤＴ制御レジスタ、クロックカウント値格納レジスタ、カウンタ設定レジスタ、ウィンドウ設定レジスタ、リフレッシュ設定レジスタ、カウンタソースクロックレジスタを有する。また、図８では、カウンタクリア禁止期間の概略を説明するグラフも示した。
【００６１】
ＷＤＴ制御レジスタは、ウォッチドッグタイマ機能の有効と無効とを切り替えるレジスタである。図８に示す例は、ＷＤＴ制御レジスタは、８ビットの領域のうち８〜２ビット目は値が無視される設定無効領域として定義され、１ビット目に入る値に応じて、ウォッチドッグタイマ機能の有効と無効とを示す。例えば、ＷＤＴ制御レジスタの１ビット目が０であればウォッチドッグタイマ機能は無効にされ、１であればウォッチドッグタイマ機能が有効になる。
【００６２】
カウンタ設定レジスタは、カウンタにアンダーフローを発生させるまでのカウント値を格納するレジスタである。カウンタ設定レジスタは、８ビットの領域を有し、８ビットの値を用いて００’ｈ〜ＦＦ’ｈの値が格納される。
【００６３】
クロックカウント値格納レジスタは、カウンタのカウント値を格納する。ウォッチドッグタイマ５７ａは、カウンタ設定レジスタに格納された値を最大値として、カウント値をカウントダウンし、クロックカウント値格納レジスタの値をカウントダウン動作に従って小さくする。そして、カウント値格納レジスタの値が００’ｈとなった時点でカウンタはアンダーフローを発生させる。ウォッチドッグタイマ５７ａは、アンダーフローが発生っした時点で判定信号ＤＥＴａを正常値から異常値に切り替える。ウォッチドッグタイマ５７ａのウォッチドッグタイマ機能が無効な場合、カウンタは停止状態となる。
【００６４】
ウィンドウ設定レジスタは、クロックカウンタのクリア禁止期間を設定するレジスタである。ウォッチドッグタイマ５７ａは、クロックカウント値格納レジスタの値がウィンドウ設定レジスタの値よりも大きな期間に後述するリセット動作が発生した場合に、判定信号ＤＥＴａを正常値から異常値に切り替える。このリセット動作に伴って判定信号ＤＥＴａを正常値から異常値に切り替える処理を発生させる期間をクリア禁止期間と称す。ウィンドウ設定レジスタは、８ビットの領域を有し、８ビットの値を用いて００’ｈ〜ＦＦ’ｈの値が格納される。
【００６５】
リフレッシュ設定レジスタは、クロックカウンタ値をリフレッシュするか否かを設定素するレジスタである。ウォッチドッグタイマ５７ａでは、クロックカウンタ値をカウンタ設定レジスタの値に書き換えることをリセットと称す。リフレッシュ制御レジスタの１ビット目が０であればリフレッシュ機能は無効にされる。また、リフレッシュ制御レジスタの１ビット目が１である場合、カウンタ設定レジスタの値がクロックカウント値格納レジスタに転送され、カウンタ設定レジスタの値がクロックカウント値格納レジスタに転送された時点で、リフレッシュ制御レジスタの１ビット目は０に戻る。また、ウォッチドッグタイマ５７ａは、クリア禁止期間にリフレッシュ設定レジスタの値が１となった場合、ウォッチドッグタイマ５７ａは、判定信号ＤＥＴａを正常値から異常値に切り替える。
【００６６】
カウンタソースクロックレジスタは、カウンタがカウントするクロックの分周比を設定する。図８に示す例では、８ビットのうち上位４ビットが値が無視される設定無効領域に設定され、下位４ビットの値に応じて選択するクロックの分周比を指定する分周比設定領域となる。例えば、分周比設定領域の値が”００００”であればカウンタは基本クロックを２分周したクロックをカウントする。分周比設定領域の値が”０００１”であればカウンタは基本クロックを４分周したクロックをカウントする。分周比設定領域の値が”１１１１”であればカウンタは基本クロックを６５５３６分周したクロックをカウントする。
【００６７】
電源遮断制御回路は、自装置が監視対象とする動作電源を外部に出力するか否かを動作モード通知信号と判定信号に基づき切り替える。図７に示す例では、第１の電源遮断制御回路５８ａは、第２の動作電源ＰＷＲｂを外部に出力するか否かを動作モード通知信号Ｄｍｄａと判定信号ＤＥＴａに基づき切り替える。第２の電源遮断制御回路５８ｂは、第１の動作電源ＰＷＲａを外部に出力するか否かを動作モード通知信号Ｄｍｄｂと判定信号ＤＥＴｂに基づき切り替える。
【００６８】
ここで、電源遮断制御回路５８ａ及び電源遮断制御回路５８ｂのレジスタについて説明する。電源遮断制御回路５８ａと電源遮断制御回路５８ｂは同じものであるため、ここでは電源遮断制御回路５８ａを例に電源遮断制御回路について説明する。図９に実施の形態３にかかる電源遮断制御回路５８ａの動作設定値を格納するレジスタの定義情報の一例を示す。
【００６９】
図９に示すように、電源遮断制御回路５８ａは、エラーステータスレジスタと電源遮断要因イネーブルレジスタとを有する。エラーステータスレジスタは、通常モードを示す動作モード通知信号と共に受信した判定信号の値を格納する。図９に示す例では、エラーステータスレジスタは、８ビットの領域のうち８〜４ビット目は値が無視される設定無効領域として定義される。また、エラーステータスレジスタは、４ビット目にウォッチドッグタイマ５７ａからの判定信号ＤＥＴａの値を格納し、３ビット目に上限電圧監視部３３ａからの判定信号ＤＥＴａの値を格納し、２ビット目に下限電圧監視部３４ａからの判定信号ＤＥＴａの値を格納し、１ビット目に上限電流監視部３５ａからの判定信号ＤＥＴａの値を格納する。そして、電源遮断制御回路５８ａは、格納された値が０であれば第１の電源監視回路５３において異常は検出されなかったと判定し、第２の動作電源ＰＷＲｂを通過させる。一方、電源遮断制御回路５８ａは、格納された値が０であれば０が格納されたビットに対応する部分で異常が発生したとして第２の動作電源ＰＷＲｂを遮断するか否かを電源遮断要因イネーブルレジスタの設定に応じて判断する。
【００７０】
電源遮断要因イネーブルレジスタは、動作電源を遮断すべき故障要因を定義するレジスタである。図９に示す例では、電源遮断要因イネーブルレジスタは、８ビットの領域のうち８〜４ビット目は値が無視される設定無効領域として定義される。また、電源遮断要因イネーブルレジスタは、４ビット目にウォッチドッグタイマ５７ａからの判定信号ＤＥＴａに基づく電源遮断処理の可否を決定する値を格納し、３ビット目に上限電圧監視部３３ａからの判定信号ＤＥＴａに基づく電源遮断処理の可否を決定する値を格納し、２ビット目に下限電圧監視部３４ａからの判定信号ＤＥＴａに基づく電源遮断処理の可否を決定する値を格納し、１ビット目に上限電流監視部３５ａからの判定信号ＤＥＴａに基づく電源遮断処理の可否を決定する値を格納する。そして、電源遮断制御回路５８ａは、同一のビット位置の値が共に１となった場合に第２の動作電源ＰＷＲｂを遮断する。また、電源遮断制御回路５８ａは、同一のビット位置の値が共に１となった場合でも、第１の電源監視回路３２ａがテストモード動作に設定されて、判定信号が異常値の場合は、第２の動作電源ＰＷＲｂを遮断せずに通過させる。
【００７１】
続いて、実施の形態３にかかる半導体装置３の動作について説明する。そこで、図１０に実施の形態３にかかる半導体装置３の動作を説明するフローチャートを示す。図１０に示すように、実施の形態３にかかる半導体装置３は、実施の形態１にかかる半導体装置１の動作にステップＳ３１〜Ｓ３３の動作を追加したものである。
【００７２】
ステップＳ３１〜Ｓ３３は、ステップＳ７、Ｓ８と並列して行われる。ステップＳ３１では、ステップＳ５又はステップＳ６で得られた判定信号及び動作モード通知信号を電源遮断制御回路５８ａ及び電源遮断制御回路５８ｂが受信する。そして。電源遮断制御回路は、受信した判定信号及び動作モード通知信号に基づき監視対象のパラメータに異常があるか否かを判断する（ステップＳ３２）。そして、ステップＳ３２において異常がないと判断された場合、電源遮断制御回路は次の動作サイクルまで待機する。一方、ステップＳ３２において異常があると判断された場合、電源遮断制御回路は安全制御回路に供給する動作電源を遮断する（ステップＳ３３）。
【００７３】
その後、実施の形態３にかかる半導体装置３では、ステップＳ１０で第１の電源監視回路５３から第２の安全制御回路１２に異常が通知される又は第２の電源監視回路５４から第１の安全制御回路１１に異常が通知される。これにより、異常の発生の通知を受けた安全制御回路が監視対象回路１０に対してエラー拡大を防止する為の処理を行う（ステップＳ１３）。
【００７４】
上記説明より、実施の形態３にかかる半導体装置３では、ウォッチドッグタイマを用いることで、第１の安全制御回路１１及び第２の安全制御回路１２のプログラム実行上の異常を検出することができる。
【００７５】
このような異常が発生した場合、動作電源に異常がなくても監視対象回路１０の監視に支障が発生する可能性がある。そこで、実施の形態３にかかる半導体装置３では、安全制御回路にプログラム実行上の異常が発生した場合には異常が発生した安全制御回への動作電源の供給を停止して、被害の拡大を防ぐ。また、このような異常が発生した場合は、安全制御回路で異常判定データが格納されたエラー情報を受信しても、監視対象回路に対して適切に動作停止処理を実施できない可能性がある。このような場合でも、異常が発生している安全制御回路をウォッチドッグタイマで検出し、その異常判定データが格納されたエラー情報をステータス自動送信回路を経由して異常が発生していない他方の安全制御回路で受信することで、監視対象回路に対して適切に動作停止処理を実施できる。これにより、実施の形態３にかかる半導体装置３は、よりシステムの信頼性を高めることができる。
【００７６】
また、実施の形態３にかかる半導体装置３では、動作電源に異常が発生した場合においても、電源遮断制御回路による動作電源の遮断が行われる。これにより、実施の形態３にかかる半導体装置３では、上記実施の形態よりも早期に異常のある動作電源の供給を停止して、安全制御回路の故障或いは被害の拡大を防止することができる。例えば、動作電源において過電圧状態或いは過電流状態が発生すると安全制御回路を構成する素子が故障する可能性がある。このような場合において早期に動作電源の供給を遮断すれば、このような素子の故障を防止することが可能である場合がある。
【００７７】
実施の形態４
実施の形態４では、実施の形態１にかかる第１の電源監視装置１３及び第２の電源監視装置１４の別の形態となる第１の電源監視回路６３及び第２の電源監視回路６４について説明する。なお、実施の形態４の説明では、実施の形態１で説明した構成要素と同じ構成要素については実施の形態１と同じ符号を付して説明を省略する。
【００７８】
図１１に実施の形態４にかかる半導体装置４のブロック図を示す。図４に示すように、実施の形態４にかかる第１の電源監視回路６３は、実施の形態１の第１の電源監視装置１３に信号監視回路（例えば、入出力信号監視回路６９ａ）を追加したものである。実施の形態４にかかる第２の電源監視回路６４は、実施の形態１にかかる第２の電源監視装置１４に信号監視回路（例えば、入出力信号監視回路６９ｂ）を追加したものである。ここで、入出力信号監視回路６９ａと入出力信号監視回路６９ｂは、同じものであるため入出力信号監視回路６９ａを例に入出力信号監視回路について説明する。
【００７９】
入出力信号監視回路６９ａは、動作電源以外の監視対象信号をモニタし、レジスタに格納された期待値との比較を行うことで監視対象信号を入出力する装置の異常を検出する。より具体的には、入出力信号監視回路６９ａは、第１の安全制御回路１１に入力される監視信号Ｓｍｏｎｉと第１の安全制御回路１１から出力されるエラー制御信号ＥＲＲ＿ｃｏｎｔとを監視対象信号とし、第１の安全制御回路１１から与えられる期待値と監視対象信号とを比較することで第１の安全制御回路１１の異常を検出する。また、実施の形態４にかかる半導体装置４では、監視信号Ｓｍｏｎｉを伝達する経路にスイッチＳＷ１ａが設けられ、エラー制御信号ＥＲＲ＿ｃｏｎｔを伝達する経路にスイッチＳＷ２ａが設けられる。そして、入出力信号監視回路６９ａは、スイッチ制御信号ＳＷ＿ｃｏｎｔによりスイッチＳＷ１ａ及びスイッチＳＷ２ａの開閉状態を制御することで診断モードの動作を行う。なお、詳しくは後述するが、入出力信号監視回路６９ａは動作モードとして、通常モード、テストモード、診断モードの３つの動作モードを有する。
【００８０】
ここで、入出力信号監視回路６９ａについて、より詳細に説明する。そこで、図１２に実施の形態４にかかる入出力信号監視回路６９ａのブロック図を示す。なお、入出力信号監視回路６９ｂも図１２に示したブロックと同じブロックを有する。
【００８１】
図１２に示すように、実施の形態４にかかる入出力信号監視回路６９ａは、パターン信号出力部７１、入力信号モニタ部７２、出力信号モニタ部７３、信号検証部７４を有する。パターン信号出力部７１は、内部に予め設定されたパターン、或いは、第１の安全制御回路１１から与えられたパターンに従ってスイッチ制御信号ＳＷ＿ｃｏｎｔの倫理レベルを切り替える。
【００８２】
入力信号モニタ部７２は、監視信号Ｓｍｏｎｉを受信して、信号検証部７４に伝達する。ここで、監視信号Ｓｍｏｎｉがアナログ値を有する場合、入力信号モニタ部７２はアナログ値をデジタル値に変換して、変換したデジタル値を信号検証部７４に出力する。出力信号モニタ部７３は、エラー制御信号ＥＲＲ＿ｃｏｎｔを受信して、信号検証部７４に伝達する。第１の安全制御回路１１は、エラー制御信号ＥＲＲ＿ｃｏｎｔとして、デジタル値を出力するため、信号検証部７４にはアナログデジタル変換機能は搭載されていなくても良い。
【００８３】
信号検証部７４は、第１の安全制御回路１１から与えられる期待値と、入力信号モニタ部７２及び出力信号モニタ部７３から受信した計測値とを比較して、信号の正当性検証及び信号の固着判定を行う。
【００８４】
ここで入出力信号監視回路６９のレジスタの設定について説明する。そこで、図１３に実施の形態４にかかる入出力信号監視回路６９ａの動作設定値を格納するレジスタの定義情報の一例を示す。なお、入出力信号監視回路６９ｂについても図１３で示したレジスタと同様のレジスタが備えられているものとする。図１３に示すように、実施の形態４にかかる入出力信号監視回路６９ａは、モード設定レジスタ、結果判定レジスタ、期待値設定レジスタを有する。
【００８５】
モード設定レジスタは、入出力信号監視回路６９ａの動作モードを設定するレジスタである。モード設定レジスタは、８ビットの領域の内上位６ビットが設定無効領域に設定され、２ビット目に通常モードとテストモードとの切り替えを指示する値が格納される。例えば、２ビット目の値が０であれば通常モードを指定し、２ビット目の値が１であればテストモードが指定される。１ビット目には、診断モードと通常モードとを切り替える値が格納される。例えば、１ビットの目の値が０であれば通常モードを指定し、１ビット目の値が１であれば診断モードが指定される。
【００８６】
入出力信号監視回路６９ａは、通常モードでは、スイッチＳＷ１ａ、ＳＷ２ａをオンさせた状態で監視信号Ｓｍｏｎｉ及びエラー制御信号ＥＲＲ＿ｃｏｎｔに関するエラー検出を行う。入出力信号監視回路６９ａは、テストモードでは、本来の期待値とは異なるエラー検出用期待値を期待値とすることで、強制的なエラー状態を作り出す。このテストモードを用いることで入出力信号監視回路６９ａ自体の故障を診断する。診断モードは、第１の安全制御回路１１が、入出力信号経路にパルス信号を印加して固着有無を診断するモードである。診断モードとテストモードは同時に設定することは禁止されるが、同時に設定された場合にはテストモードが優先的に適用されるものとする。また、テストモードと診断モードは、設定された後にその動作を一度実施されると、外部からの設定を行うことなく自動的に通常モードに戻る。
【００８７】
結果判定レジスタは、入出力信号監視回路６９ａの判定結果を示すレジスタである。通常モードでは、入出力信号監視回路６９ａは、入力信号モニタ部７２及び出力信号モニタ部７３を介して取得した値と期待値設定レジスタに格納された値とが一致すれば、結果判定レジスタに１を格納し、２つの値が不一致であれば０を格納する。また、診断モードでは、入出力信号監視回路６９は、パターン信号出力回路の出力信号の値と、入力信号モニタ部７２及びお出力信号モニタ部７３を介して入力される値と、が一致すれば、結果判定レジスタに１を格納し、不一致であれば結果判定レジスタに１を格納する。
【００８８】
期待値設定レジスタは、通常モードにおける入出力信号の期待値を設定するレジスタである、この期待値は、第１の安全制御回路１１から与えられるものである。図１３に示す例では、期待値設定レジスタは、８ビットの領域の内上位６ビットが設定無効領域に設定され、２ビット目に入力信号モニタ部７２から得られる値の期待値が格納される。１ビット目には、出力信号モニタ部７３から得られる信号の期待値が格納される。
【００８９】
なお、入出力信号監視回路６９ａは、結果判定レジスタの値を判定信号ＤＥＴａとして出力し、モード設定レジスタの値を動作モード通知信号Ｄｍｄａとして出力する。
【００９０】
続いて、実施の形態４にかかる半導体装置４の動作について説明する。そこで、図１４に実施の形態４にかかる半導体装置４の動作を説明するフローチャートを示す。図１４に示すように実施の形態４にかかる半導体装置４は、実施の形態１にかかる半導体装置１の動作にステップＳ４１の処理を追加したものである。ステップＳ４１は、ステップＳ５又はステップＳ６の動作に続いて行われる。ステップＳ４１では、入出力信号監視回路６９ａがモード設定レジスタの値に従って通常モード、テストモード、診断モードのいずれかの動作を行う。そして、ステップＳ４１の動作が完了した後に第１の電源監視装置１３は、ステップＳ７の処理、つまり、電圧・電流監視回路３２ａ及び入出力信号監視回路６９ａから出力される動作モード通知信号Ｄｍｄａ及び判定信号ＤＥＴａを受信する。
【００９１】
上記説明より、実施の形態４にかかる半導体装置４では、入出力信号監視回路を有することで、安全制御回路の入出力信号、或いは、安全制御回路の入出力インタフェース回路に生じたエラーを検出することが可能になる。これにより、第１の電源監視回路６３、第２の電源監視回路６４を採用した半導体装置４では、信頼性を更に向上させることができる。
【００９２】
以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は既に述べた実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々の変更が可能であることはいうまでもない。
【符号の説明】
【００９３】
１−４  半導体装置
１０  監視対象回路
１１  第１の安全制御回路
１２  第２の安全制御回路
１３  第１の電源監視装置
１４  第２の電源監視装置
２１  電源回路
２２  監視処理部
３１  レジスタ制御回路
３２  電圧・電流監視回路
３３  上限電圧監視部
３４  下限電圧監視部
３５  上限電流監視部
３６  ステータス自動送信回路
４３  第１の電源監視回路
４４  第２の電源監視回路
４６  ステータス自動送信回路
５３  第１の電源監視回路
５４  第２の電源監視回路
５７  ウォッチドッグタイマ
５８  電源遮断制御回路
６３  第１の電源監視回路
６４  第２の電源監視回路
６９  入出力信号監視回路
７１  パターン信号出力部
７２  入力信号モニタ部
７３  出力信号モニタ部
７４  信号検証部
Ｓｍｏｎｉ  監視信号
ＥＲＲ＿ｃｏｎｔ  エラー制御信号
ＥＲＲ＿ｉｎｆｏ  エラー情報
Ｄｍｄ  動作モード通知信号
ＤＥＴ  判定信号
Ｄｒｅｇ  レジスタ設定値
ＳＷ＿ｃｏｎｔ  スイッチ制御信号
ＰＷＲａ  第１の動作電源
ＰＷＲｂ  第２の動作電源
ｉＰＷＲａ  第１の内部電源
ｉＰＷＲｂ  第２の内部電源
【図１】
2019101515.tif 000003
【図２】
2019101515.tif 000004
【図３】
2019101515.tif 000005
【図４】
2019101515.tif 000006
【図５】
2019101515.tif 000007
【図６】
2019101515.tif 000008
【図７】
2019101515.tif 000009
【図８】
2019101515.tif 000010
【図９】
2019101515.tif 000011
【図１０】
2019101515.tif 000012
【図１１】
2019101515.tif 000013
【図１２】
2019101515.tif 000014
【図１３】
2019101515.tif 000015
【図１４】
2019101515.tif 000016