[發明專利]用于控制工業工藝的多芯片模塊和方法

有效

• 申請號: 201310066308.1
• 申請日: 2013-03-01
• 公開（公告）號: CN103294022B
• 公開（公告）日: 2017-10-20
• 發明（設計）人: 薩姆·格南阿·薩芭帕蒂;亞歷山大·泰薩格洛
• 申請（專利權）人: 德州儀器公司
• 主分類號: G05B19/418
• 分類號: G05B19/418
• 代理公司: 北京律盟知識產權代理有限責任公司11287
• 代理人: 王璐

技術領域

本發明涉及用于控制工業工藝的多芯片模塊和方法。

背景技術

工業工藝由與安全和風險減輕有關的國際標準控制。舉例來說，IEC 61508致力于例如用于控制工業工藝的微控制器或其它計算機等電學、電子和可編程電子裝置的功能安全。IEC 61508基于特定裝置的概率分析定義安全完整性等級(SIL)。為實現給定的SIL，裝置必須滿足最大“危險故障”概率和最小“安全故障分數”的目標。“危險故障”的概念是以應用特定為基礎來定義，但基于針對其在工業系統或應用的開發期間的完整性而證實的要求約束。“安全故障分數”決定系統的自動防故障程度且將安全故障的可能性與危險故障的可能性進行比較。最終，電子裝置依據特定SIL的認證要求電子裝置提供特定故障恢復水平以及使工業工藝能夠在故障后轉變到安全狀態。

當前電子裝置經由處理器的輸入/輸出(I/O)接口控制工業工藝的各方面(例如，馬達、比如DC/DC轉換系統或能量轉換系統(例如，太陽能或風力)等功率轉換裝置)。舉例來說，微控制器的處理器經由其I/O接口從馬達接收位置、速度和/或扭矩的指示。處理器接著使用所述信息來產生(例如)脈寬調制(PWM)信號以控制將功率提供到馬達的開關，并將此信號經由I/O接口發射到所述開關。因此，馬達以特定應用所需的方式操作。

然而，處理器(且特定來說其I/O接口)可在操作期間經歷故障。舉例來說，處理器可暴露于超出容限的電壓或電流，輻射可引起晶體管中不可接受的泄漏電流從而致使邏輯元件翻轉，或I/O接口本身可由于其與相對于處理器經歷的電壓或偏壓的較大外部電壓或偏壓的交互而發生故障。如果處理器或I/O接口發生故障，那么沒有辦法確保正控制的工業工藝(馬達，在以上實例中)可轉變到安全狀態。換句話說，不能保證自動防故障操作，這對于某些SIL認證是不可接受的。

某些控制器利用多個冗余處理器來控制工業工藝，每一處理器具有其自身的I/O接口。此增加在至少一個處理器發生故障(例如，歸因于超出容限的電壓或電流)的事件中另一處理器保持起作用的可能性。因此，具有其自身的I/O接口的功能處理器可致使工 業工藝轉變到安全狀態。然而，具有多個處理器的控制器要求板(例如，插口和互連)上的額外組件，這成本較高且增加板設計的復雜性。此外，例如外部輻射等故障原因可類似地且同時影響所有處理器，這將防止將工業工藝轉變到安全狀態。

發明內容

本發明提供一種多芯片模塊(圖1，100)，其包括：

第一裸片(104)，其包括：

控制處理器(104)，其產生信號以控制工業工藝(108)；以及

輸入/輸出接口；

第二裸片(102)，其包括：

監督處理器(102)；以及

輸入/輸出接口；且

其中所述控制處理器和所述監督處理器的一者的處理器故障由所述控制處理器和所述監督處理器的另一者檢測，且檢測所述故障的所述處理器經配置以經由其輸入/輸出接口斷言信號以致使工業工藝響應于所述故障轉變到安全狀態；且

其中所述第一和第二裸片使用不同工藝技術(102、104)產生。

本發明還提供一種用于控制工業工藝的方法(圖3，300)，其包括：

產生信號以控制所述工業工藝(302)；

通過多芯片模塊的第一裸片上的處理器檢測所述多芯片模塊的第二裸片上的處理器的故障(304)；以及

通過檢測所述故障的所述處理器斷言信號以致使所述工業工藝響應于檢測所述故障而轉變到安全狀態(306)；

其中所述第一和第二裸片使用不同工藝技術產生。

附圖說明

為詳細描述本發明的示范性實施例，現將參看附圖，附圖中：

圖1展示根據各個實施例用以控制工業工藝的多芯片模塊；

圖2展示根據各個實施例用以控制工業工藝的另一多芯片模塊；以及

圖3展示根據各個實施例的方法流程圖。

具體實施方式

符號和命名