半导体器件的制作方法

半导体器件
1.相关申请的交叉引用
2.于2020年5月25日提交的日本专利申请号2020
‑
090225的公开内容，包括说明书、附图和摘要，通过整体引用并入本文。
技术领域
3.本发明涉及一种半导体器件。


背景技术：

4.在车载低功率半导体器件中，检测逻辑故障和电源故障以确保安全性。另外，由于对低功率的需求，通过电源开关执行对核心的电源切断。例如，专利文献1公开了如下技术：通过锁定步骤配置来检测逻辑故障，该锁定步骤配置具有用于比较主核心和检查核心的比较电路。另一方面，通过使用电压监测器测量连接到电源的电源节点的电压来检测电源故障。
5.下面列出了已经公开的技术。
6.[专利文献1]日本未审查专利申请公开号2010
‑
283230


技术实现要素：

[0007]
但是，在专利文献1的配置中，由于需要对于主核心和检查核心分别进行电压监测，因此电压监测的面积增加。
[0008]
从本说明书的描述和附图，其他问题和新颖特征将很清楚。
[0009]
鉴于上述情况做出了本发明，并且本发明的目的之一是提供一种在确保安全性的同时抑制芯片面积增加的半导体器件。
[0010]
以下将简单描述本技术中公开的典型发明。一种典型的半导体器件包括：被配置为从电源接收功率的多个核心；针对每个核心而设置的并且被配置为控制被供应给对应核心的功率的多个电源开关电路；被配置为从电源接收功率并且比较多个核心的输出数据的比较电路；以及被配置为监测连接电源和比较电路的节点的电压的核心电压监测电路。
[0011]
将简单描述通过本技术中公开的典型发明而获取的效果，如下。根据典型的半导体器件，可以在确保安全性的同时抑制芯片面积的增加。
附图说明
[0012]
图1是示出根据本发明的第一实施例的车载半导体器件的示例的配置图；
[0013]
图2是具体示出与半导体器件中的故障检测有关的电路配置的示例的图；
[0014]
图3是用于描述故障检测方法的时序图；
[0015]
图4是示出控制器和电源开关电路的连接关系的示例的图；
[0016]
图5是示出控制器的示例的配置图；
[0017]
图6是示出控制器和电源开关电路的连接关系的另一示例的图；
[0018]
图7是示出控制器的另一示例的配置图；
[0019]
图8是示出监测电路的示例的图；
[0020]
图9是示出监测电路的另一示例的图；
[0021]
图10是示出电源开关电路、电源开关控制器、监测电路，以及控制它们的系统控制器之间的关系的框图；
[0022]
图11是用于描述通过监测请求信号和电源切断恢复信号对电源开关电路的故障检测的方法图；
[0023]
图12是用于描述在使用小型驱动系统的情况下通过施密特电路对电源开关电路的故障检测的方法图；
[0024]
图13是示出故障检测中的每个信号电平与电源开关电路的状态之间的相关性的图；
[0025]
图14是示出核心电压监测电路的配置示例的图；
[0026]
图15是示出根据本发明的第一实施例的具有错误处理功能的半导体器件的示例的配置图；
[0027]
图16是根据本发明的第一实施例的错误处理的流程图；
[0028]
图17是示出根据本发明的第二实施例的车载半导体器件的示例的配置图；
[0029]
图18是示出掩蔽处理的示例的时序图；
[0030]
图19是示出根据本发明的第三实施例的半导体器件的示例的配置图；
[0031]
图20是根据本发明的第三实施例的错误处理的流程图；以及
[0032]
图21是示出常规半导体器件的示例的配置图。
具体实施方式
[0033]
关于问题的补充描述将在下面给出。图21是示出常规半导体器件的示例的配置图。半导体器件1000包括电源切断域1010和常开域1050，电源切断域1010的来自电源pow_1001的功率被控制为接通和断开，来自电源pow_1001的功率被恒定地供应给常开域1050。电源切断域1010和常开域1050的电源是电源pow_1001。
[0034]
另外，半导体器件1000包括：控制电源切断域1010的电源的“接通”和“断开”的电源开关电路sw_1010、控制电源开关电路sw_1010的电源开关控制器cnt_1010、监测连接电源开关电路sw_1010和电源切断域1010的节点的电压的监测电路mon_1010、以及监测连接电源pow_1001和常开域1050的节点的电压的监测电路mon_1050。
[0035]
如图21所示，电源切断域1010包括主核心1011、检查核心1021和比较电路1031。主核心1011和检查核心1021具有相同的电路配置，并且相同的数据被输入到主核心1011和检查核心1021中的每个。主核心1011和检查核心1021各自基于输入数据向比较电路1031输出预定输出数据。比较电路1031比较从主核心1011和检查核心1021输出的每个输出数据。如果确定这些输出数据彼此不同并且已经发生某种故障，则比较电路1031输出错误。
[0036]
如图21所示，主核心1011、检查核心1021和比较电路1031布置在相同的电源切断域1010中。即，经由相同的电源开关电路sw_1010向主核心1011、检查核心1021和比较电路1031提供功率。如果电源开关电路sw_1010或电源开关控制器cnt_1010没有故障，则预定电压被供应给主核心1011、检查核心1021和比较电路1031。在这种情况下，主核心1011、检查
核心1021和比较电路1031正常操作，并且通过比较电路1031来检测在主核心1011或检查核心1021中发生的故障。
[0037]
另一方面，当由于电源开关电路sw_1010等的故障而在被供应给电源切断域1010的功率中发生电位下降时，担心主核心1011、检查核心1021和比较电路1031不能正常操作。在这种情况下，尽管在主核心1011中没有故障发生，但是比较电路1031仍会错误地检测到故障发生；或是尽管实际发生故障，但是检查核心1021或比较电路1031仍确定没有故障发生。
[0038]
因此，在常规配置中，需要通过使用监测电路mon_1010监测电源开关电路sw_1001的所提供的功率来检测电源的故障。此外，为了检测给常开域1050供电的电源pow_1001的电源故障，必须提供电压监测器mon_1050。即，在常规配置中，必须为同一电源pow_1001提供多个监测电路mon_1010和mon_1050。因此，当需要具有不同控件的多个电源切断域时，必须安装与每个电源切断域相对应的电压监测器，从而导致芯片面积增大的问题。
[0039]
下面将参考附图详细描述本发明的实施例。注意，在用于描述实施例的所有附图中，相同的组件由相同的附图标记表示，并且将省略其重复描述。
[0040]
(第一实施例)
[0041]
<半导体器件的配置>
[0042]
图1是示出根据本发明的第一实施例的半导体器件的示例的配置图。图2是具体示出与半导体器件中的故障检测有关的电路配置的示例的图。如图1所示，本实施例的半导体器件dev包括电源切断域10和20以及常开域50，电源切断域10和20的来自电源pow_1的功率被控制为接通和断开，来自电源pow_1的功率被恒定地供应给常开域50。电源pow_2是核心电压监测电路cvm等的电源。电源切断域10和20以及常开域50的电源是电源pow_1。
[0043]
半导体器件dev包括：控制电源切断域10的电源的“接通”和“断开”的电源开关电路sw_10、控制电源开关电路sw_10的电源开关控制器cnt_10、以及监测连接电源开关电路sw_10和电源开关控制器cnt_10的节点的电压的监测电路mon_10。
[0044]
此外，半导体器件dev包括：控制电源切断域20的电源的“接通”和“断开”的电源开关电路sw_20、控制电源开关电路sw_20的电源开关控制器cnt_20、以及监测连接电源开关电路sw_20和电源开关控制器cnt_20的节点的电压的监测电路mon_20。此外，半导体器件dev包括监测连接电源pow_1和常开域50的节点的电压的核心电压监测电路cvm。换言之，核心电压监测电路cvm监测连接电源pow_1和比较电路com_50的节点的电压。
[0045]
在下文中，电源开关控制器cnt_10和cnt_20可以被称为电源开关控制器cnt。此外，电源开关电路sw_10和sw_20可以被称为电源开关电路sw。
[0046]
如图1和图2所示，电源切断域10包括主核心11和触发器电路12。注意，触发器电路12可以被包括在主核心11中。尽管电源开关电路sw_10被包括在图2中的电源切断域10中，但是不限于此配置。
[0047]
电源切断域20包括检查核心21、触发器电路22和反相器电路23。检查核心21和触发器电路22分别具有与电源切断域10中的主核心11和触发器电路12相同的配置。因此，当没有故障发生时，从反相器电路23输出的输出数据是从电源切断域10中的触发器电路12输出的输出数据的反相数据。注意，触发器电路22和反相器电路23可以被包括在检查核心21中。尽管在图2中电源开关电路sw_20被包括在电源切断域20中，但是不限于此配置。
[0048]
常开域50包括比较电路com_50和系统控制器sysc。比较电路com_50例如由图2所示的eor(“异或”)电路构成。当电源切断域10(触发器电路12)的输出数据和电源切断域20(反相器电路23)的输出数据匹配时，比较电路com_50输出错误。即，当触发器电路12的输出数据和触发器电路22的输出数据不匹配时，比较电路com_50输出错误。
[0049]
更具体地，如果未发生故障，则主核心11和检查核心21的输出数据具有基本相同的波形。此外，检查核心21的输出数据被反相器电路23反相。因此，当触发器电路12的输出数据和反相器电路23的输出数据不同时，比较电路com_50不输出错误，而当这些输出数据匹配时，比较电路com_50输出错误。
[0050]
图3是用于描述故障检测方法的时序图。图3示出了图2中的每个节点a至f的数据。节点a的数据是到主核心11和检查核心21的输入数据。节点b的数据是检查核心21的输出信号。节点c的数据是触发器电路22的输出数据。节点d的数据是主核心11的输出数据。节点e的数据是触发器电路12的输出数据。节点f的数据是比较电路com_50的输出数据，即，故障检测结果。
[0051]
注意，在图3中假定：用于电源切断域10的电源开关电路sw_10或电源开关控制器cnt_10中发生故障，并且被供应给主核心11的功率中发生电位下降。
[0052]
到检查核心21的输入数据(节点a)在触发器电路22(节点b、节点c)中被正常延迟之后输出。从反相器电路23输出的输出数据被供应给比较电路com_50。
[0053]
另一方面，在主核心11中，由于电位下降(节点d)，输入数据(节点a)以比通常更大的延迟被输出。在图3的示例中，“数据1”受到电位下降的影响。因此，“数据0”以通常延迟被输出，但是“数据1”以比通常更大的延迟被输出。因此，由于主核心11不能在预定定时以正常延迟输出“数据1”，因此下一级中的触发器电路12不能在预定定时接收“数据1”。因此，触发器电路12由于设置冲突(节点e)而输出错误数据。当从触发器电路12输出错误数据时，比较电路com_50输出错误。例如，发出错误标志。
[0054]
如上所述，通过分别执行到包括主核心11的电源切断域10的电源的“接通”和“断开”，以及到包括检查核心21的电源切断域20的电源的“接通”和“断开”，包括电源开关电路sw_10和sw_20以及电源开关控制器cnt_10和cnt_20的电源路径中的故障可以被检测为由于电位下降而导致的逻辑故障。结果，不需要电压监测器，用于检测连接电源开关和对应电源切断域的电源节点的异常，并且可以减小布置电压监测器所需要的面积。
[0055]
系统控制器sysc控制多个电源开关控制器cnt。即，系统控制器sysc是与用于控制电源开关控制器cnt_10和cnt_20的电源有关的高级别装置。系统控制器sysc通过对公共请求信号req进行断言/取消，来同时执行由电源开关控制器cnt_10进行的对电源开关电路sw_10的“接通”/“断开”控制、以及由电源开关控制器cnt_20进行的对电源开关电路sw_20的“接通”/“断开”控制。
[0056]
备选地，系统控制器sysc可以通过分别对与电源开关控制器cnt_10和cnt_20相对应的独立请求信号req进行断言/取消，来分别执行由电源开关控制器cnt_10进行的对电源开关电路sw_10的“接通”/“断开”控制，以及由电源开关控制器cnt_20进行的对电源开关电路sw_20的“接通”/“断开”控制。
[0057]
另外，系统控制器sysc接收通过多个监测电路mon进行的对包括电源开关电路的电源路径的监测结果，并且基于监测结果来控制电源开关控制器cnt。
[0058]
<<电源开关电路的控制方法(1)>>
[0059]
接下来，将描述电源开关的控制方法。图4是示出控制器和电源开关电路的连接关系的示例的图。图5是示出控制器的示例的配置图。
[0060]
图4的开关电路sw包括多个开关元件swa(swa_0至swa_n+1)，并且具有以下配置：多个开关元件swa并联布置在电源与电源切断域(主核心11或检查核心21)之间。此外，每个缓冲器buf(buf_0至buf_n)布置在相邻开关元件swa的栅极之间。在电源开关控制器cnt侧的第一级处的开关元件swa_0的栅极直接连接到电源开关控制器cnt。另一方面，开关元件swa_1至swa_n+1经由缓冲器buf连接到电源开关控制器cnt。
[0061]
如图5所示，电源开关控制器cnt包括例如状态机fsm(有限状态机)和驱动电源开关电路sw的缓冲驱动器dri。
[0062]
当请求信号req从系统控制器sysc被断言时，状态机fsm进行以下的状态转变(“接通”控制)：从停止电源开关电路sw的模式到驱动电源开关电路sw的模式，并且状态机fsm向缓冲驱动器dri输出电源控制信号(例如，低电平)。缓冲驱动器dri执行电源控制信号的电流放大，并且向电源开关电路sw输出经过电流放大的电源控制信号。从缓冲驱动器dri输出的电源控制信号被供应给开关元件swa_0的栅极，并且开关元件swa_0接通。结果，功率经由开关元件swa_0被供应给电源切断域。
[0063]
另外，从缓冲驱动器dri输出的电源控制信号也被供应给缓冲器buf_0。被供应给缓冲器buf_0的电源控制信号以预定延迟被输出。
[0064]
从缓冲器buf_0输出的电源控制信号被供应给开关元件swa_1和缓冲器buf_1的栅极。当电源控制信号被供应给开关元件swa_1的栅极时，开关元件swa_1接通。结果，功率也经由开关元件swa_1被供应给电源切断域。
[0065]
由于电源控制信号在缓冲器buf_0中被延迟，因此开关元件swa_1被接通的定时被延迟了从开关元件swa_0在缓冲器buf_0中的延迟时间。关于开关元件swa_2、swa_3、
……
、swa_n+1，每个开关元件接通的定时分别被延迟了从紧接在前的开关元件swa_1、swa_2、
……
、swa_n在紧接在前的缓冲器buf_1、buf_2、
……
、buf_n中的延迟时间。
[0066]
如上所述，在图4的示例中，通过利用缓冲进行的延迟按顺序地改变多个开关元件swa接通的定时，可以抑制电源开关电路sw中的浪涌电流。在图4的示例中，可以通过例如图5所示的简单逻辑电路来抑制浪涌电流。
[0067]
<<电源开关电路的控制方法(2)>>
[0068]
接下来，作为电源开关电路的另一控制方法，在此将描述在提供功率的同时切换具有不同能力的缓冲驱动器的方法。
[0069]
图6是示出控制器和电源开关电路的连接关系的另一示例的图。图6还示出了监测电路mon。
[0070]
在图6的电源开关电路sw中，在相邻开关元件swa的栅极之间未设置缓冲器，并且所有开关元件swa的栅极连接到电源开关控制器cnt。因此，从电源开关控制器cnt输出的电源控制信号几乎同时被供应给电源开关电路sw中包括的所有开关元件swa的栅极。
[0071]
图7是示出控制器的另一示例的配置图。图7的电源开关控制器cnt包括状态机fsm、断开驱动器dri_off、具有较低容量的小型驱动器dri_sma，以及具有与小型驱动器dri_sma相比较高容量的大型驱动器dri_lar。
[0072]
状态机fsm处于停止电源开关电路sw的模式，直到请求信号req从系统控制器sysc被断言。在停止电源开关电路sw的模式下，状态机fsm接通该断开驱动器dri_off、断开小型驱动器dri_sma，并且断开大型驱动器dri_lar。因此，高电平被供应给所有开关元件swa的栅极，并且所有开关元件swa进入“断开”状态。结果，电源开关电路sw停止向对应电源切断域的功率供应。
[0073]
然后，当请求信号req从系统控制器sysc被断言时，状态机fsm进行状态转变到驱动小型驱动器dri_sma的模式。在驱动小型驱动器dri_sma的模式下，状态机fsm断开该断开驱动器dri_off、接通小型驱动器dri_sma，并且将大型驱动器dri_lar保持在“断开”状态。
[0074]
因此，小型驱动器dri_sma拉出开关元件swa的栅极电压。然而，由于小型驱动器dri_sma的容量较低，所以开关元件swa的栅极电压逐渐被拉出，使得开关元件swa逐渐进入“接通”状态。因此，开关元件swa的电阻较大，并且浪涌电流量得到抑制。
[0075]
然后，当浪涌电流充分流动时，状态机fsm进行状态转变到驱动大型驱动器dri_lar的模式。在驱动大型驱动器dri_lar的模式下，状态机fsm将断开驱动器dri_off保持在“断开”状态，将小型驱动器dri_sma保持在“接通”状态，并且接通大型驱动器dri_lar。结果，开关元件swa的栅极电压被立即拉出至低电平，并且电源开关电路sw进入完全“接通”状态。因此，开关元件swa的电阻变得足够小，并且电源开关电路sw可以以低电阻向电源切断域提供功率。
[0076]
如上所述，状态机fsm被配置为分两步来控制开关元件swa的栅极电压，使得电源开关电路sw可以在抑制浪涌电流的同时提供功率。此外，状态机fsm接通了断开驱动器dri_off，由此电源开关电路sw可以停止向电源切断域的功率供应。
[0077]
如图6所示，监测电路mon布置在相对于电源开关电路sw与电源开关控制器cnt相对的一侧。监测电路mon监测位于距电源开关控制器cnt最远的位置处的开关元件swa的栅极电压。如上所述，期望监测电路mon监测位于距电源开关控制器cnt最远的一端的开关元件swa的栅极电压。这使得可以提高检测灵敏度。
[0078]
图8是示出监测电路的示例的图。如图8所示，监测电路mon包括施密特电路sch、比较器(监测比较器)com_mon等。施密特电路sch监测开关元件swa的栅极电压，以检测小型驱动器dri_sma的浪涌电流是否已经完全流动。即，当小型驱动器dri_sma接通并且大型驱动器dri_lar断开时，施密特电路sch监测开关元件swa的栅极电压。
[0079]
在这种状态下，以微小电流执行栅极驱动。因此，使用施密特电路，使得由于干扰噪声引起的栅极电压的波动不会引起故障。当开关元件swa的栅极电压达到如下电压时：小型驱动器dri_sma的浪涌电流已经完全流动，施密特电路sch断言施密特电路检测信号aseb。
[0080]
当施密特电路检测信号aseb被断言时，电源开关控制器cnt断开小型驱动器dri_sma并且接通大型驱动器dri_lar。因此，可以使电流开关电路sw处于低电阻状态，而不会产生浪涌电流。
[0081]
监测电路mon以微小电流监测开关元件swa的栅极电压。因此，当开关元件swa的栅极的一部分被破坏并且该栅极与“电源”侧的电源或“接地”侧的电源短路时，施密特电路检测信号aseb被卡住。结果，开关元件swa不能响应于请求信号req。如上所述，监测电路mon可以以高灵敏度检测栅极电压的异常。
[0082]
由于流过小型驱动器dri_sma的微小驱动电流为ua级，因此监测电路mon可以检测ua级的高电阻短路。此外，比较器com可以检测到在大型驱动器dri_lar被接通之后栅极电压已经充分下降。
[0083]
开关元件swa的栅极电压和参考电压vref被输入到比较器com_mon。参考电压vref由设置在比较器com_mon与“电源”侧的电源或“接地”侧的电源之间的电阻器元件生成。参考电压vref被设置为例如“电源”侧的电源电压(vdd)的11％。
[0084]
当大型驱动器dri_lar接通时，比较器com_mon监测开关元件swa的栅极电压。例如，当开关元件swa的栅极电压变得小于参考电压vref时，比较器com_mon断言电源切断恢复信号ack。电源切断恢复信号ack被输入到例如系统控制器sysc等，诸如电源管理单元等。基于这两种类型的不同系统通过施密特电路sch和比较器com_mon进行的电压检测，避免了常见故障并且提高了安全性。
[0085]
图9是示出监测电路的另一示例的图。在图9的监测电路mon中，施密特电路sch可以通过验证低(l)和高(h)响应来容易地执行自诊断。另一方面，由于比较器com_mon被配置为通过电平感测来执行检测，因此有必要验证其等待时间以进行自诊断，并且因此比较器com_mon的自诊断是困难的。因此，如图9所示，监测电路mon设置有多个比较器(com_mon1、com_mon2)和聚合这些比较器的检测结果的电路，例如仅在它们两个都检测到“接通”时输出检测信号的电路mon_sum(例如，“and”电路)。通过以这种方式多路复用(复制)比较器com_mon，可以降低故障概率并且可以提高安全性。
[0086]
<<电源开关电路的故障检测方法>>
[0087]
将参考10和图11描述使用监测电路通过实时监测来进行的电源开关电路的故障检测方法。图10是示出电源开关电路、电源开关控制器、监测电路和控制它们的系统控制器之间的关系的框图。
[0088]
如图10所示，系统控制器sysc通过对请求信号req进行断言来向电源开关控制器cnt提供电源恢复的指令，并且通过取消请求信号req来向电源开关控制器cnt提供电源切断的指令。
[0089]
当请求信号req被断言时，电源开关控制器cnt通过接通开关元件swa的栅极来接通电源开关电路sw，从而向对应电源切断域提供功率(电源恢复)。另一方面，当请求信号req被取消时，电源开关控制器cnt通过断开开关元件swa的栅极来断开电源开关电路sw，从而停止向对应电源切断域提供功率(电源切断)。
[0090]
当电源恢复完成时，监测电路mon断言电源切断恢复信号ack，并且向系统控制器sysc通知电源恢复的完成。另一方面，当电源切断完成时，监测电路mon取消电源切断恢复信号ack，并且向系统控制器sysc通知电源切断的完成。
[0091]
图11是用于描述通过监测请求信号和电源切断恢复信号对电源开关电路进行故障检测的方法图。图11的情况1示出了正常操作。在情况1下，在请求信号req由系统控制器sysc断言(传输)之后的小于100微秒内，电源开关电路sw接通以完成电源恢复并且电源切断恢复信号ack被断言。在请求信号req被取消之后的小于10微秒内，电源开关电路sw被断开并且电源切断恢复信号ack被取消。
[0092]
在情况2下，从请求信号req被断言到电源切断恢复信号ack被断言花费100微秒以上。在这种情况下，系统控制器sysc将电源开关电路sw的“接通”故障检测为“超时错误”。
[0093]
在情况3下，在请求信号req被断言之后，电源切断恢复信号ack在小于100微秒内被断言，但是在请求信号req的断言期间，电源切断恢复信号ack被取消。在这种情况下，系统控制器sysc检测到电源开关电路sw的“接通”故障。
[0094]
在情况4下，即使通过取消请求信号req来指示电源切断，电源切断恢复信号ack也不会在小于预定时间(10微秒)内被取消。在这种情况下，系统控制器sysc将电源开关电路sw的“断开”故障检测为“超时错误”。
[0095]
在情况5下，在请求信号req未被断言的时段，电源切断恢复信号ack被断言。在这种情况下，系统控制器sysc检测到电源开关电路sw的“断开”错误，其不能维持电源切断。
[0096]
图12是用于描述在使用小型驱动系统的情况下通过施密特电路对电源开关电路进行故障检测的方法图。施密特电路检测信号aseb对请求信号req的响应时间短于对电源切断恢复信号ack的响应时间。因此，在图12中，基于施密特电路检测信号aseb对请求信号req的响应时间是否小于10微秒来执行故障检测。
[0097]
图12中的每种情况对应于图11。在情况1下，在请求信号req由系统控制器sysc断言(传输)之后的小于10微秒内，电源开关电路sw接通，浪涌电流完全流动，并且施密特电路检测信号aseb被断言。同样，在请求信号req被取消之后的小于10微秒内，电源开关电路sw被断开并且电源切断恢复信号ack被取消。
[0098]
在情况2下，从请求信号req被断言到施密特电路检测信号aseb被断言花费100微秒以上。在这种情况下，系统控制器sysc将电源开关电路sw的“接通”故障检测为“超时错误”。
[0099]
在情况3下，施密特电路检测信号aseb在在请求信号req被断言之后的小于100微秒内被断言，但是在请求信号req的断言期间，施密特电路检测信号aseb被取消。在这种情况下，系统控制器sysc检测到电源开关电路sw的“接通”故障。
[0100]
在情况4下，即使通过取消请求信号req来指示电源切断，施密特电路检测信号aseb也不会在小于预定时间(10微秒)内被取消。在这种情况下，系统控制器sysc将电源开关电路sw的“断开”故障检测为“超时错误”。
[0101]
在情况5下，在请求信号req未被断言的时段，施密特电路检测信号aseb被断言。在这种情况下，系统控制器sysc检测到电源开关电路sw的“断开”错误，电源开关电路sw不能维持电源切断。
[0102]
如上所述，可以通过请求信号req和施密特电路检测信号aseb来执行针对与图11情况相同的项目的、使用请求信号req和电源切断恢复信号ack的故障检测。另外，通过使用施密特电路检测信号aseb，可以以高灵敏度进行微小电流的故障检测。
[0103]
图13是示出故障检测中的各个信号电平与电源开关电路的状态之间的相关性的图。图13示出了请求信号req的电平、电源切断恢复信号ack或施密特电路检测信号aseb的电平、以及电源开关电路的状态。
[0104]
在图13的示例中，请求信号req在高电平下被断言，并且示出了其中给出电源恢复指令的状态。另一方面，请求信号req在低电平下被取消，并且示出了其中给出了电源切断指令的状态。
[0105]
电源切断恢复信号ack在高电平下被断言，并且示出了其中通知电源恢复完成的状态。另一方面，电源切断恢复信号ack在低电平下被取消，并且示出了其中通知电源断开
完成的状态。而且，施密特电路检测信号aseb在高电平下被断言，并且示出了其中浪涌电流已完全流动的状态。其中浪涌电流已完全流动的状态对应于电源恢复。另一方面，施密特电路检测信号aseb在低电平下被取消，并且示出了其中电源切断完成的状态。
[0106]
在此，图13中的“trmax”是从请求信号req被断言到电源切断恢复信号ack或施密特电路检测信号aseb被断言所允许的第一故障确定时间(对应于图11中的100微秒和图12中的10微秒)。另外，图13中的“tfmax”是从请求信号req被取消到电源切断恢复信号ack或施密特电路检测信号aseb被取消所允许的第二故障确定时间(对应于图11和图12中的10微秒)。
[0107]
图13的第一行是其中请求信号req被断言并且电源切断恢复信号ack或施密特电路检测信号aseb被断言的状态。即，该状态对应于其中电源开关电路sw被接通的状态。
[0108]
图13的第二行是如下的状态：即使在请求信号req被断言之后经过了第一故障确定时间trma，电源切断恢复信号ack或施密特电路检测信号aseb也尚未被断言。即，该状态对应于其中检测到电源开关电路sw的“接通”故障的状态。
[0109]
图13的第三行是临时状态，在该临时状态下，在请求信号req被断言之后经过第一故障确定时间trmax之前，电源切断恢复信号ack或施密特电路检测信号aseb尚未被断言。即，该状态对应于紧接在电源开关电路sw被接通之前的状态。
[0110]
图13的第四行是临时状态，在该临时状态下，在请求信号req被取消之后经过第二故障确定时间tfmax之前，电源切断恢复信号ack或施密特电路检测信号aseb尚未被取消。即，该状态对应于紧接在电源开关电路sw断开之前的状态。
[0111]
图13的第五行是如下状态：即使在请求信号req被取消之后，经过了第二故障确定时间tfmax，电源切断恢复信号ack或施密特电路检测信号aseb也尚未被取消。即，该状态对应于其中检测到电源开关电路sw的“断开”故障的状态。
[0112]
图13的第六行是其中请求信号req被取消并且电源切断恢复信号ack或施密特电路检测信号aseb被取消的状态。即，该状态对应于其中电源开关电路sw被断开的状态。
[0113]
图14是示出核心电压监测电路的配置示例的图。如图14所示，核心电压监测电路cvm包括比较器com_cvm和参考电压生成电路gen_cvm。
[0114]
核心电压监测电路cvm的端子vsense连接到连接电源pow_1和常开域50的布线。电源pow_1的电压经由该布线被输入到核心电压监测电路cvm。注意，端子vsense可以连接到用于电压检测的另一布线。
[0115]
从端子vsense输入的电源pow_1的电压被供应给比较器com_cvm。参考电压生成电路gen_cvm生成确定在电源pow_1中是否已发生故障的故障检测电压vref_gen，并且将该电压供应给比较器com_cvm。比较器com_cvm将电源pow_1的电压与故障检测电压vref_gen进行比较。当电源pow_1的电压低于故障检测电压vref_gen时，比较器com_cvm检测到电源pow_1的故障并且发出电源错误标志。所发出的标志从端子err_cvm被输出并且被输入到例如系统控制器sysc。
[0116]
<错误处理>
[0117]
接下来，将参考图15和图16描述根据本实施例的错误处理。图15是示出根据本发明的第一实施例的具有错误处理功能的半导体器件的示例的配置图。图15的半导体器件dev_10类似于图1的半导体器件dev。不同之处在于，在半导体器件dev_10的常开域50中设
置有错误收集电路err_50。
[0118]
首先，将描述错误处理的概况。当系统控制器sysc断言或取消请求信号req时，从系统控制器sysc向电源开关控制器cnt请求电源断开或电源恢复。系统控制器sysc被配置为能够通过电源切断恢复信号ack的断言/取消从监测电路mon接收电源切断或电源恢复的完成通知来监测功率控制的状态。
[0119]
当电源开关电路sw处于“接通”状态时，由比较电路com_50发出的、用于锁定步骤的错误标志由错误收集电路err_50收集。当错误标志被发出时，错误收集电路err_50发出中断请求以重新开始对系统控制器sysc的锁定步骤。系统控制器sysc响应于来自错误收集电路err_50的中断请求而执行电源断开序列的错误处理，并且重新启动主核心11和检查核心21。
[0120]
图16是根据本发明的第一实施例的错误处理的流程图。在电源被接通之后，核心电压监测电路cvm通过电压来监测功率是否正确地被供应给电源开关电路sw(步骤s1)。如果在步骤s1中电源中存在错误(“是”)，则核心电压监测电路cvm发出电源错误标志(步骤s2)。如果电源没有错误(ok)，则流程进行到用于启动cpu核心(主核心、检查器核心)的初始设置(步骤s3)，并且然后进一步进行到接通主核心11的电源开关电路sw_10的序列(步骤s4)，以及接通检查核心21的电源开关电路sw_20的序列(步骤s10)。
[0121]
当主核心11的电源开关电路sw_10在步骤s4中接通时，系统控制器sysc监测电源切断恢复信号ack和/或监测电路mon_10的施密特电路检测信号aseb的响应时间，并且将其与图13所示的每个要求进行比较(步骤s5)。在步骤s5中，如果系统控制器sysc在启动主核心11(电源开关电路sw_10)时未检测到错误(“通过”)，则流程进行到步骤s14。
[0122]
另一方面，在步骤s5中，如果系统控制器sysc在启动主核心11(电源开关电路sw_10)时检测到错误(“失败”)，则其递增地记录错误计数。然后，系统控制器sysc确定错误计数是否是预定错误允许计数n_10(步骤s6)。
[0123]
在步骤s6中，如果错误计数小于错误允许计数n_10(“否”)，则系统控制器sysc执行断开主核心11的电源开关电路sw_10的序列(步骤s7)。然后，返回到步骤s4，系统控制器sysc重复地执行重新启动主核心11的电源开关电路sw_10的序列。
[0124]
在步骤s6中，如果错误计数与错误允许计数n_10匹配(“是”)，则发出核心启动错误(步骤s8)，并且执行断开主核心11的电源开关电路sw_10的序列(步骤s9)。然后，流程返回到步骤s3。此时，错误计数可以被重置。
[0125]
当检查核心21的电源开关电路sw_20在步骤s10中接通时，系统控制器sysc监测电源切断恢复信号ack和/或监测电路mon_20的施密特电路检测信号aseb的响应时间，并且将其与图13所示的每个要求进行比较(步骤s11)。在步骤s11中，如果系统控制器sysc在启动检查核心21(电源开关电路sw_20)时未检测到错误(“通过”)，则流程进行到步骤s14。
[0126]
另一方面，在步骤s11中，如果系统控制器sysc在启动检查核心21(电源开关电路sw_20)时检测到错误(“失败”)，则其递增地记录错误计数。然后，系统控制器sysc确定错误计数是否是预定错误允许计数n_20(步骤s12)。
[0127]
在步骤s12中，如果错误计数小于错误允许计数n_20(“否”)，则系统控制器sysc执行断开检查核心21的电源开关电路sw_20的序列(步骤s13)。然后，返回到步骤s10，系统控制器sysc重复地执行重新启动检查核心21的电源开关电路sw_20的序列。
[0128]
在步骤s12中，如果错误计数与错误允许计数n_20匹配(“是”)，则发出核心启动错误(步骤s8)，并且执行断开检查核心21的电源开关电路sw_20的序列(步骤s9)。然后，流程返回到步骤s3。此时，错误计数可以被重置。
[0129]
在步骤s14中，主核心11和检查核心21处于激活状态，并且锁定步骤被驱动。然后，在锁定步骤被驱动的同时，比较电路com_50将主核心11的输出数据和检查核心21的输出数据进行比较(步骤s15)。
[0130]
在步骤s15中，如果主核心11的输出数据和检查核心21的输出数据匹配(“通过”)，则比较电路com_50确定没有故障发生。然后，流程返回到步骤s14，并且继续进行输出数据的比较。
[0131]
另一方面，在步骤s15中，如果主核心11的输出数据和检查核心21的输出数据不匹配(“失败”)，则比较电路com_50检测到故障发生并且发出错误标志。错误收集电路err_50收集从比较电路com_50发出的错误标志，并且递增地计数并且记录错误计数。然后，错误收集电路err_50确定错误计数是否是预定错误允许计数n_50(步骤s16)。
[0132]
在步骤s16中，如果错误计数小于错误允许计数n_50(“否”)，则错误收集电路err_50向系统控制器sysc发出中断请求用于执行错误处理(步骤s8)。
[0133]
系统控制器sysc执行断开主核心11的电源开关电路sw_10的序列、以及断开检查核心芯21的电源开关电路sw_20的序列，并且停止锁定步骤(步骤s9)。然后，流程返回到接通电源开关电路之前的初始序列(步骤s3)。
[0134]
此时，系统控制器sysc检查电源切断恢复信号ack和/或每个监测电路mon的施密特电路检测信号aseb的状态，并且确认其是否是由于电源开关电路sw_10和sw_20的故障而引起的锁定步骤错误。如果其不是由于电源开关电路sw_10和sw_20的故障而引起的错误，则重试通过锁定步骤进行的算术运算。
[0135]
注意，电源切断恢复信号ack和/或每个监测电路mon(mon_10、mon_20)的施密特电路检测信号aseb的状态检查，可以通过在保持寄存器中的状态的情况下执行轮询，来以规则间隔执行验证，而不受限于电源断开和电源恢复的定时。通过执行实时错误监测，可以验证是否可以确保维持电源恢复和电源断开的状态。
[0136]
另一方面，在步骤s16中，如果错误计数与允许错误计数n_50匹配(“是”)，则错误收集电路err_50检测出锁定步骤错误，并且向系统控制器sysc通知锁定步骤错误(步骤s17)。
[0137]
<本实施例的主要效果>
[0138]
根据本实施例，主核心11和检查核心21分别设置在不同电源切断域10和20中，并且电源切断域10和20的电源由对应电源开关电路sw_10和sw_20而分离。这使得可以避免由于主核心11和检查核心21的共同故障而导致的从属故障。
[0139]
此外，提供了核心电压监测电路cvm，该核心电压监测电路cvm监测比较电路com_50的电源节点的电压，该比较电路com_50被配置为比较主核心11的输出数据和检查器核心21的输出数据。
[0140]
根据该配置，即使在主核心11和检查核心21的每个电源路径中发生故障，故障也由比较电路com_50检测。此外，电源pow_1本身的故障由核心电压监测电路cvm检测。如上所述，由于不需要在主核心11和检查核心21的每个电源路径中设置核心电压监测电路cvm，因
此能够在确保安全性的同时抑制芯片面积的增加。
[0141]
具体地，当主核心11和检查核心21属于具有同一电源开关电路的电源切断域时，比较电路com_50不能检测到切断电源的共同故障，并且因此切断电源需要由另一核心电压监测电路监测。核心电压监测电路需要高精度的故障检测电压vref_gen，并且芯片上的面积成本较高。另一方面，本实施例中所示的电源开关控制器cnt和监测电路mon由简单电路构成，并且具有较小面积成本。因此，通过提供本实施例的配置，可以显著降低面积成本。
[0142]
另外，根据本实施例，示出了通过监测电源开关电路的开关元件swa的栅极电压而对切断电源进行故障检测的方法，作为电源开关电路的故障检测方法。该方法是通过系统控制器sysc和电源开关控制器cnt的协作来实现的。
[0143]
另外，由于电源开关控制器cnt被配置为具有较小驱动功能，所以可以提高故障检测灵敏度。
[0144]
另外，通过基于诸如施密特电路sch和比较器com_mon等两种类型的系统来监测开关元件swa的栅极电压，可以进一步提高安全性。
[0145]
此外，通过将监测电路mon与多个比较器(com_mon1、com_mon2)进行多路复用，可以进一步提高安全性。
[0146]
(第二实施例)
[0147]
接下来，将描述第二实施例。在下文中，原则上将省略与上述实施例重复的描述。
[0148]
图17是示出根据本发明的第二实施例的半导体器件的示例的配置图。如图17所示，在本实施例的半导体器件dev_100中，构成锁定步骤的比较电路com_130布置在电源切断域130中。此外，设置电源开关电路(用于比较器的电源开关电路)sw_130、电源开关控制器cnt_130，以及与电源切断域130相对应的监测电路mon_130。由于电源开关电路sw_130、电源开关控制器cnt_130，以及与电源切断域130相对应的监测电路mon_130的配置，和与电源切断域10和20相对应的监测电路mon_10和mon_20的配置相同，因此将省略其详细描述。
[0149]
在本实施例中，需要检测比较电路com_130的电源路径的故障。因此，提供了核心电压监测电路cvm_130。由于核心电压监测电路cvm_130的配置与核心电压监测电路cvm的配置相同，因此将省略其详细描述。
[0150]
顺便提及，当执行比较电路com_130的电源切断时，通过断开电源开关电路来降低比较电路com_130的电源节点的电压。因此，监测电路mon_130错误地检测到比较电路com_130的电源故障。因此，如图17所示，在常开域50中设置有掩蔽电路mas，用以掩蔽监测电路mon_130的输出数据。
[0151]
图18是示出掩蔽处理的示例的时序图。图18示出了与比较器comp_130相对应的电源开关电路sw_130的“接通”/“断开”状态、核心电压监测电路cvm_130的输出数据，以及掩蔽的存在/不存在。
[0152]
如图18所示，由于当电源开关电路sw_130断开时核心电压监测电路cvm_130检测到错误，因此在电源开关电路sw_130断开(“掩蔽”)之前执行对核心电压监测电路cvm_130的掩蔽处理。具体地，系统控制器sysc断言掩蔽信号，从而使核心电压监测电路cvm_130进入掩蔽状态。即，当电源开关电路sw_130处于“断开”状态时，核心电压监测电路cvm_130被掩蔽。
[0153]
另外，当电源开关电路sw_130接通并且电源恢复完成时，系统控制器sysc取消掩
蔽信号，以释放核心电压监测电路cvm_130的掩蔽。
[0154]
根据本实施例，当核心处于“断开”状态时，可以减小比较电路com_130的待机功率，并且因此可以进一步减小功耗。
[0155]
(第三实施例)
[0156]
接下来，将描述第三实施例。在本实施例中，采用多数逻辑，并且在多个核心的多数侧的输出数据是正确数据的假定下执行故障检测。
[0157]
图19是示出根据本发明的第三实施例的半导体器件的示例的配置图。如图19所示，本实施例的半导体器件dev_200包括电源切断域210，220和230以及常开域250，电源切断域210，220和230的来自电源pow_1的功率被控制为接通和断开，功率从电源pow_1被恒定地供应给常开域250。电源切断域210、220和230中分别设置有具有相同配置的核心211、221和231。核心的数目可以是4个或更多个。
[0158]
设置与电源切断域210相对应的电源开关电路sw_210、电源开关控制器cnt_210和监测电路mon_210。设置与电源切断域220相对应的电源开关电路sw_220、电源开关控制器cnt_220和监测电路mon_220。设置与电源切断域230相对应的电源开关电路sw_230、电源开关控制器cnt_230和监测电路mon_230。由于它们的配置和与电源切断域10、20等相对应的电路的配置相同，因此将省略其详细描述。
[0159]
在常开域250中，设置系统控制器sysc、多数逻辑电路maj，以及分别与核心211、221和231相对应的比较电路com_251、com_252和com_253。在本实施例中，核心电压监测电路cvm监测连接电源pow_1和多数逻辑电路maj、比较电路com_251、比较电路com_252或比较电路com_253的节点的电压。
[0160]
多数逻辑电路maj接收核心211、221和231的输出数据作为输入，选择输出相同数据的核心数目最大的数据作为正确数据，并且向比较电路com_251、com_253和com_253输出被确定为多数数据的所选择的数据。
[0161]
比较电路com_251、com_252和com_253将对应核心211、221和231的输出数据与多数数据进行比较。当对应核心211、221和231的输出数据不同于多数数据时，比较电路com_251、com_252和com_253发出错误标志。
[0162]
<错误处理>
[0163]
接下来，将描述根据本实施例的错误处理。图20是根据本发明的第三实施例的错误处理的流程图。
[0164]
图20的步骤s201至s203以及步骤s208和s209分别与图16的步骤s1至s3以及步骤s8和s9相同。与核心211相对应的步骤s211至s214、与核心221相对应的步骤s221至s224、以及与核心231相对应的步骤s231至s234分别与图16的步骤s4至s7或步骤s10至s13相同。
[0165]
如果在步骤s212中启动核心211(电源开关电路sw_210)(“通过”)时未检测到错误，则核心211将根据输入数据向多数逻辑电路maj和比较电路com_251输出数据(步骤s215)。
[0166]
类似地，如果在步骤s222中启动核心221(电源开关电路sw_220)(“通过”)时未检测到错误，则核心221将根据输入数据向多数逻辑电路maj和比较电路com_252输出数据(步骤s225)。
[0167]
类似地，如果在步骤s232中启动核心231(电源开关电路sw_230)(“通过”)时未检
测到错误，则核心231将根据输入数据向多数逻辑电路maj和比较电路com_253输出数据(步骤s235)。
[0168]
在步骤s250中，多数逻辑电路maj接收核心211、221和231的输出数据作为输入，选择输出相同数据的核心数目(相同数据的数目)最大的数据作为多数数据，并且将多数数据输出到比较电路com_251、com_252和com_253。
[0169]
在步骤s251中，比较电路com_251将核心211的输出数据与多数数据进行比较。当这些数据相同(“通过”)时，流程返回到步骤s215，并且重复地执行步骤s215以及步骤s250和s251的处理。
[0170]
另一方面，当这些数据不同时(“失败”)，比较电路com_251发出核心211的错误标志。系统控制器sysc通过基于从比较电路com_251发出的错误标志断开电源开关电路sw_210，来停止核心211(步骤s261)。此外，系统控制器sysc递增错误计数。此外，当第一次检测到核心211的错误时，系统控制器sysc递增故障核心的计数。
[0171]
在步骤s252中，比较电路com_252将核心221的输出数据与多数数据进行比较。当这些数据相同(“通过”)时，流程返回到步骤s225，并且重复地执行步骤s225、s250和s252的处理。
[0172]
另一方面，当这些数据不同时(“失败”)，比较电路com_252发出核心221的错误标志。系统控制器sysc通过基于从比较电路com_252发出的错误标志断开电源开关电路sw_220，来停止核心221(步骤s262)。此外，系统控制器sysc递增错误计数。此外，当第一次检测到核心221的错误时，系统控制器sysc递增故障核心的计数。
[0173]
在步骤s253中，比较电路com_253将核心231的输出数据与多数数据进行比较。当这些数据相同(“通过”)时，流程返回到步骤s235，并且重复地执行步骤s235、s250和s253的处理。
[0174]
另一方面，当这些数据不同时(“失败”)，比较电路com_253发出核心231的错误标志。系统控制器sysc通过基于从比较电路com_253发出的错误标志断开电源开关电路sw_230，来停止核心231(步骤s263)。此外，系统控制器sysc递增错误计数。此外，当第一次检测到核心231的错误时，系统控制器sysc递增故障核心的计数。
[0175]
在步骤s271中，确定发生错误的核心的数目是否大于预定数目n_cor。当其中已发生错误的核心的数目等于或小于预定数目n_cor(“否”)时，流程返回到步骤s215、s225和s235，并且继续进行对每个核心进行错误检测。注意，已经在其中检测到故障的核心已经停止，并且因此它无法输出正确数据，但是由于该数据被多数逻辑排除，因此不会影响多数数据的选择。
[0176]
注意，与其中已经发生错误的核心有关的预定数目n_cor由用户设置为可以通过多数逻辑电路maj来选择多数数据的任意值。例如，在图20的情况下，n_cor被设置为1(n_cor＝1)，但是如果核心的数目较大，则n_cor数目可以设置为较大的值。
[0177]
另一方面，在步骤s271中，当其中已经发生错误的核心的数目大于预定数目n_cor(“是”)时，确定所有核心211、221和231的总错误计数是否大于预定错误允许计数n_250(步骤s272)。
[0178]
当在步骤s272中的总的错误计数等于或小于预定错误允许计数n_250时(“否”)，系统控制器sysc发出中断请求以执行错误处理(步骤s208)。
[0179]
系统控制器sysc通过执行以下序列来停止核心211、221和231(步骤s209)：断开核心211、221和231的电源开关电路sw_210、sw_220和sw_230。然后，流程返回到电源开关电路接通之前的初始序列(步骤s203)。
[0180]
此时，系统控制器sysc检查电源切断恢复信号ack和/或每个监测电路mon的施密特电路检测信号aseb的状态，并且确认错误是否是由于电源开关电路sw_210、sw_220和sw 230的故障而引起的。如果错误不是由于电源开关电路sw_210、sw_220和sw_230的故障而引起的，则执行重试。如上所述，当其中已经发生错误的核心的数目大于预定数目n_cor、并且错误计数等于或小于预定错误允许计数n_250时，所有核心的电源被断开并且然后重新启动。
[0181]
另一方面，当在步骤s272中总错误计数与错误允许计数n_250匹配时(“是”)，系统控制器sysc检测到核心211、221和231(电源开关电路sw_210、sw_220、sw_230)中的错误，并且通过发出错误标记来通知错误(步骤s273)。
[0182]
如上所述，当其中已发生错误的核心的数目大于预定数目n_cor、并且总错误计数大于预定错误允许计数n_250时，系统控制器sysc确定错误不能被初始化并且发出错误标志。
[0183]
<本实施例的主要效果>
[0184]
根据本实施例，可以使用多数逻辑电路maj在电源切断域中执行故障检测。结果，即使在任何核心或核心的电源路径中发生故障，也可以使用由多数逻辑获取的多数数据来继续进行正常操作和错误检测处理。
[0185]
而且，根据本实施例，可以指定输出数据与通过多数逻辑而获取的多数数据不同的核心，并且停止对发生故障的核心进行供电，从而可以抑制功耗的增加。
[0186]
此外，根据本实施例，电源被停止的核心的输出数据与其他核心的输出数据不同，但是该输出数据被多数逻辑排除。因此，可以在抑制功耗增加的同时输出正确数据。
[0187]
以上，基于实施例对发明人的发明进行了详细说明，但本发明不限于上述实施例，而是可以在不脱离其主旨的范围内进行各种修改。