[发明专利]用于控制工业工艺的多芯片模块和方法

说明书

技术领域

本发明涉及用于控制工业工艺的多芯片模块和方法。

背景技术

工业工艺由与安全和风险减轻有关的国际标准控制。举例来说，IEC 61508致力于例如用于控制工业工艺的微控制器或其它计算机等电学、电子和可编程电子装置的功能安全。IEC 61508基于特定装置的概率分析定义安全完整性等级(SIL)。为实现给定的SIL，装置必须满足最大“危险故障”概率和最小“安全故障分数”的目标。“危险故障”的概念是以应用特定为基础来定义，但基于针对其在工业系统或应用的开发期间的完整性而证实的要求约束。“安全故障分数”决定系统的自动防故障程度且将安全故障的可能性与危险故障的可能性进行比较。最终，电子装置依据特定SIL的认证要求电子装置提供特定故障恢复水平以及使工业工艺能够在故障后转变到安全状态。

当前电子装置经由处理器的输入/输出(I/O)接口控制工业工艺的各方面(例如，马达、比如DC/DC转换系统或能量转换系统(例如，太阳能或风力)等功率转换装置)。举例来说，微控制器的处理器经由其I/O接口从马达接收位置、速度和/或扭矩的指示。处理器接着使用所述信息来产生(例如)脉宽调制(PWM)信号以控制将功率提供到马达的开关，并将此信号经由I/O接口发射到所述开关。因此，马达以特定应用所需的方式操作。

然而，处理器(且特定来说其I/O接口)可在操作期间经历故障。举例来说，处理器可暴露于超出容限的电压或电流，辐射可引起晶体管中不可接受的泄漏电流从而致使逻辑元件翻转，或I/O接口本身可由于其与相对于处理器经历的电压或偏压的较大外部电压或偏压的交互而发生故障。如果处理器或I/O接口发生故障，那么没有办法确保正控制的工业工艺(马达，在以上实例中)可转变到安全状态。换句话说，不能保证自动防故障操作，这对于某些SIL认证是不可接受的。

某些控制器利用多个冗余处理器来控制工业工艺，每一处理器具有其自身的I/O接口。此增加在至少一个处理器发生故障(例如，归因于超出容限的电压或电流)的事件中另一处理器保持起作用的可能性。因此，具有其自身的I/O接口的功能处理器可致使工 业工艺转变到安全状态。然而，具有多个处理器的控制器要求板(例如，插口和互连)上的额外组件，这成本较高且增加板设计的复杂性。此外，例如外部辐射等故障原因可类似地且同时影响所有处理器，这将防止将工业工艺转变到安全状态。

发明内容

本发明提供一种多芯片模块(图1，100)，其包括：

第一裸片(104)，其包括：

控制处理器(104)，其产生信号以控制工业工艺(108)；以及

输入/输出接口；

第二裸片(102)，其包括：

监督处理器(102)；以及

输入/输出接口；且

其中所述控制处理器和所述监督处理器的一者的处理器故障由所述控制处理器和所述监督处理器的另一者检测，且检测所述故障的所述处理器经配置以经由其输入/输出接口断言信号以致使工业工艺响应于所述故障转变到安全状态；且

其中所述第一和第二裸片使用不同工艺技术(102、104)产生。

本发明还提供一种用于控制工业工艺的方法(图3，300)，其包括：

产生信号以控制所述工业工艺(302)；

通过多芯片模块的第一裸片上的处理器检测所述多芯片模块的第二裸片上的处理器的故障(304)；以及

通过检测所述故障的所述处理器断言信号以致使所述工业工艺响应于检测所述故障而转变到安全状态(306)；

其中所述第一和第二裸片使用不同工艺技术产生。

附图说明

为详细描述本发明的示范性实施例，现将参看附图，附图中：

图1展示根据各个实施例用以控制工业工艺的多芯片模块；

图2展示根据各个实施例用以控制工业工艺的另一多芯片模块；以及

图3展示根据各个实施例的方法流程图。

具体实施方式

符号和命名