特許 7105635 電力をインタフェースカードに提供するための方法および安全状態コントローラ

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-07-14

(45)【発行日】2022-07-25

(54)【発明の名称】電力をインタフェースカードに提供するための方法および安全状態コントローラ

(51)【国際特許分類】

   G06F 1/30 20060101AFI20220715BHJP

   H02J 1/00 20060101ALI20220715BHJP

   H02J 7/00 20060101ALI20220715BHJP

【ＦＩ】

G06F1/30

H02J1/00 309H

H02J7/00 S

H02J7/00 302A

H02J1/00 309F

【請求項の数】 13

【外国語出願】

(21)【出願番号】P 2018124753

(22)【出願日】2018-06-29

(65)【公開番号】P2019012525

(43)【公開日】2019-01-24

【審査請求日】2021-03-30

(31)【優先権主張番号】17179045.4

(32)【優先日】2017-06-30

(33)【優先権主張国・地域又は機関】EP

(73)【特許権者】

【識別番号】518128182

【氏名又は名称】ドゥアゴン アクチエンゲゼルシャフト

【氏名又は名称原語表記】ｄｕａｇｏｎ ＡＧ

【住所又は居所原語表記】Ｒｉｅｄｓｔｒａｓｓｅ １２， ＣＨ－８９５３ Ｄｉｅｔｉｋｏｎ， Ｓｗｉｔｚｅｒｌａｎｄ

(74)【代理人】

【識別番号】100114890

【弁理士】

【氏名又は名称】アインゼル・フェリックス＝ラインハルト

(74)【代理人】

【識別番号】100098501

【弁理士】

【氏名又は名称】森田 拓

(74)【代理人】

【識別番号】100116403

【弁理士】

【氏名又は名称】前川 純一

(74)【代理人】

【識別番号】100135633

【弁理士】

【氏名又は名称】二宮 浩康

(74)【代理人】

【識別番号】100162880

【弁理士】

【氏名又は名称】上島 類

(72)【発明者】

【氏名】ラジェシュ ナイル

(72)【発明者】

【氏名】マルコ クナウス

(72)【発明者】

【氏名】ミハル ラタイスキ

(72)【発明者】

【氏名】ダーフィト ロイエンベアガー

(72)【発明者】

【氏名】マーク ローベアト

【審査官】豊田 真弓

(56)【参考文献】

【文献】特開平０８－１４９６８４（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１２／００８３９３６（ＵＳ，Ａ１）

【文献】特開２０１４－２０６９０１（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１５／００５８６５２（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ １／２６

Ｈ０２Ｊ １／００

Ｈ０２Ｊ ７／００

(57)【特許請求の範囲】

【請求項1】

インタフェースカード（２）に提供される電力を制御するための方法であって、
前記インタフェースカード（２）は、１つまたは複数のホストデバイス（３）を１つまたは複数のネットワークデバイス（４）に通信ネットワーク内で接続し、前記方法は、
（ａ）接続デバイス（５）を提供し、前記接続デバイス（５）は、通常動作モードでは、前記インタフェースカード（２）を電源（６）に接続し、それによって、電力を前記インタフェースカード（２）に提供し、
（ｂ）不具合検出ユニット（７ａ；７ｂ）を提供し、前記不具合検出ユニット（７ａ；７ｂ）は、前記接続デバイス（５）に少なくとも間接的に結合され、
（ｃ）深刻度が低い不具合および／または深刻度が高い不具合を前記不具合検出ユニット（７ａ；７ｂ）により検出すると、前記接続デバイス（５）は、安全状態モードに変化し、前記安全状態モードでは、前記接続デバイス（５）は、前記電源（６）を前記インタフェースカード（２）から切り離 し、
エネルギー蓄積ユニット（８）は、前記接続デバイス（５）に接続され、
前記通常動作モードでは、前記エネルギー蓄積ユニット（８）は、放電されている、または、放電され、
前記安全状態モードでは、前記エネルギー蓄積ユニット（８）は、少なくとも閾値電圧が前記接続デバイス（５）に提供され、前記電源（６）を前記インタフェースカード（２）から切り離すまで、充電されている、または、充電される、
方法。

【請求項2】

前記安全状態モードは、第１の安全状態モードを含み、前記第１の安全状態モードにより、前記接続デバイス（５）は、前記電源（６）を前記インタフェースカード（２）に再接続し、それによって、電力を前記インタフェースカード（２）に提供することができる、
請求項１に記載の方法。

【請求項3】

第１の安全状態回路（９）は、第１の半導体スイッチングデバイス（１０）を含み、深刻度が低い不具合を前記不具合検出ユニット（７ａ）により検出すると、前記第１の半導体スイッチングデバイス（１０）は、それによって電力供給される、
請求項２に記載の方法。

【請求項4】

前記第１の半導体スイッチングデバイス（１０）に対する前記電力は、再び取り去られ、それによって、前記第１の安全状態回路（９）を停止し、前記接続デバイス（５）を通常動作モードに戻す、
請求項３に記載の方法。

【請求項5】

前記安全状態モードは、第２の安全状態モードを含み、前記第２の安全状態モードでは、前記接続デバイス（５）は、前記電源（６）を前記インタフェースカード（２）に再接続することができない、
請求項１から４のいずれかに記載の方法。

【請求項6】

第２の安全状態回路（１１）は、第２の半導体スイッチングデバイス（１２）を含み、
深刻度が高い不具合を前記不具合検出ユニット（７ｂ）により検出すると、前記第２の半導体スイッチングデバイス（１２）は、電力供給され、それによって、前記第２の安全状態モードを起動し、
前記第２の安全状態回路（１１）を起動すると、ヒューズ（１３）はとばされ、それによって、前記接続デバイス（５）を前記第２の安全状態モードに維持する、
請求項５に記載の方法。

【請求項7】

インタフェースカード（２）に提供される電力を制御するための安全状態コントローラ（１）であって、
前記安全状態コントローラ（１）は、接続デバイス（５）を備え、
前記接続デバイス（５）は、通常動作モードでは、前記インタフェースカード（２）を電源（６）に接続し、それによって、電力を前記インタフェースカード（２）に提供し、
前記接続デバイス（５）は、不具合検出ユニット（７ａ；７ｂ）に少なくとも間接的に結合可能であり、
前記接続デバイス（５）は、安全状態モードに切り替え可能であり、
前記安全状態モードでは、深刻度が低い不具合および／または深刻度が高い不具合を前記不具合検出ユニット（７ａ；７ｂ）により検出すると、前記接続デバイス（５）は、前記電源（６）を前記インタフェースカード（２）から切り離 し、
前記接続デバイス（５）は、前記通常動作モードと前記安全状態モードとの間で、エネルギー蓄積ユニット（８）から提供される電圧によって切り替え可能であり、
前記通常動作モードでは、前記エネルギー蓄積ユニット（８）は、放電されている、または、放電されるように構成され、
前記安全状態モードでは、前記エネルギー蓄積ユニット（８）は、少なくとも閾値電圧が前記接続デバイス（５）に提供されるまで、充電されている、または、充電されるように構成される、
安全状態コントローラ（１）。

【請求項8】

前記接続デバイスは、ｐチャネルＭＯＳＦＥＴ（１５）であり、前記ＭＯＳＦＥＴ（１５）は、前記エネルギー蓄積ユニット（８）に接続されているゲート（１６）と、前記電源（６）に接続可能であるソース（１７）と、前記インタフェースカード（２）に接続可能であるドレイン（１８）と、を備える、
請求項７に記載の安全状態コントローラ（１）。

【請求項9】

前記安全状態モードは、第１の安全状態モードを含み、第１の安全状態回路（９）が提供され、
前記第１の安全状態回路（９）は、通常動作モードでは起動されず、深刻度が低い不具合を検出すると起動され、それによって、前記接続デバイス（５）を前記第１の安全状態モードに可逆的に変化する、
請求項７または８に記載の安全状態コントローラ（１）。

【請求項10】

前記第１の安全状態回路（９）は、第１の半導体スイッチングデバイス（１０）を備え、
前記第１の半導体スイッチングデバイス（１０）は、深刻度が低い不具合を前記不具合検出ユニット（７ａ）により検出すると、前記第１の安全状態回路（９）を起動するように構成される、
請求項９に記載の安全状態コントローラ（１）。

【請求項11】

前記安全状態モードは、第２の安全状態モードを含み、第２の安全状態回路（１１）が提供され、
前記第２の安全状態回路（１１）は、通常動作モードでは起動されず、深刻度が高い不具合を検出すると起動され、それによって、前記接続デバイス（５）を前記第２の安全状態モードに不可逆的に切り替える、
請求項７から１０のいずれかに記載の安全状態コントローラ（１）。

【請求項12】

前記第２の安全状態回路（１１）は、第２の半導体スイッチングデバイス（１２）を備え、
前記第２の半導体スイッチングデバイス（１２）は、深刻度が高い不具合を前記不具合検出ユニット（７ｂ）により検出すると、前記第２の安全状態回路（１１）を起動するように構成される、
請求項１１に記載の安全状態コントローラ（１）。

【請求項13】

前記安全状態モードは、可逆の第１の安全状態モードおよび不可逆の第２の安全状態モードを含み、
ヒューズ（１３）が提供され、前記ヒューズ（１３）は、前記第２の安全状態モードではとばされるように構成され、前記第１の安全状態モードではとばされないように構成される、
請求項７から１２のいずれかに記載の安全状態コントローラ（１）。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、インタフェースカードに提供される電力を制御するための方法に関するものであり、インタフェースカードに提供される電力を制御するための安全状態コントローラに関するものである。特に、本発明は、列車通信ネットワーク（ＴＣＮ）内で用いられる方法および安全状態コントローラに関するものである。ＴＣＮは、通常、異なる通信ネットワークのオプション、特にワイヤ列車バス（ＷＴＢ）および多機能車両バス（ＭＶＢ）から構成される。さらに、コントローラ・エリア・ネットワーク（ＣＡＮｂｕｓ）および／またはイーサネット（ＥＴＨ）が提供されてもよい。

【背景技術】

【0002】

本発明は、安全関連の機能を有するインタフェースカードと関連して用いられる。安全関連の機能は、例えば、安全関連のホストデバイスをＴＣＮに接続するインタフェースカードに必要になりうる。一例では、安全関連のホストデバイスは、ブレーキコントローラを含むブレーキ制御ホストデバイスである。他の安全関連のホストデバイスは、ドアコントローラを含むドア制御デバイスまたはモータコントローラを含むモータ制御デバイスでもよい。これらの安全関連のホストデバイスのために、不具合（例えば、構成要素の不具合、ソフトエラー等）の場合に採用される安全状態モードに変化する可能性が存在することを確実にしなければならない。

【0003】

不具合の深刻度に応じて、異なる動作が必要になりうる、または、要求されてもよい。それゆえ、不具合は、少なくとも深刻度が低い不具合および深刻度が高い不具合に分類されてもよい。深刻度が低い不具合は、ソフトエラー、例えば、揮発性メモリ内のシングルイベントアップセット（ＳＥＵ）でありえ、ハードウェア構成要素の欠陥に関連しない。深刻度が高い不具合は、構成要素またはハードウェアの不具合でありえ、特にデバイスの過電圧から生じる。この種の深刻度が高い不具合の場合、ホストデバイスをＴＣＮに接続するインタフェースカードが損傷を受けると仮定される。または言い換えると、このシナリオでは、インタフェースカードがもはや適切に動作していないと仮定される。

【発明の概要】

【発明が解決しようとする課題】

【0004】

それゆえ、本発明の目的は、インタフェースカードに提供される電力を制御するための改良された方法を提供すること、および、通信ネットワーク内でインタフェースカードに提供される電力を制御するための改良された安全状態コントローラを提供することである。

【課題を解決するための手段】

【0005】

方法に関する課題は、請求項１に従う方法によって解決される。好適実施形態は、従属請求項において言及される。

【0006】

それゆえ、インタフェースカードに提供される電力を制御するための方法が提供される。インタフェースカードは、１つまたは複数のホストデバイスを１つまたは複数のネットワークデバイスに通信ネットワーク内で、好ましくは、列車通信ネットワーク内で接続する。方法は、接続デバイスを提供するステップを含み、接続デバイスは、通常動作モードでは、インタフェースカードを電源に接続し、それによって、電力をインタフェースカードに提供する。さらに、深刻度が低い不具合用および／または深刻度が高い不具合用の不具合検出ユニットが提供され、不具合検出ユニットは、接続デバイスに少なくとも間接的に結合される。深刻度が低い不具合および／または深刻度が高い不具合を不具合検出ユニットにより検出すると、接続デバイスは、安全状態モードに変化し、安全状態モードでは、接続デバイスは、前記電源の電力をインタフェースカードから切り離す。インタフェースカードおよび安全状態コントローラ、特にその接続デバイスは、１つの部分内に形成されてもよい。

【0007】

一例では、エネルギー蓄積ユニットは、接続デバイスに接続され、通常動作モードでは、エネルギー蓄積ユニットは、放電されている、または、放電される。安全状態モードでは、エネルギー蓄積ユニットは、少なくとも閾値電圧が接続デバイスに提供されるまで、充電されている、または、充電され、それによって、電源をインタフェースカードから切り離す。エネルギー蓄積ユニットの適切な選択に応じて、否定時間は、プラスの影響を受けうる。否定時間は、障害の存在が検出されるときに開始し、安全状態が実行されるときに終了する期間である。したがって、エネルギー蓄積ユニットは、一実施形態では、キャパシタである。他のエネルギー蓄積ユニット、例えば、アキュムレータが用いられてもよい。

【0008】

他の例では、安全状態モードは、第１の安全状態モードを含む。この第１の安全状態モードにより、接続デバイスは、電源をインタフェースカードに再接続し、それによって、電力をインタフェースカードに再び提供することができる。それゆえ、第１の安全状態モードは、一時的切り離しモードとしても知られている。この第１の安全状態モードでは、電力は、一時的にのみインタフェースカードから切り離され、インタフェースカードに再接続されてもよい。

【0009】

さらに他の例では、第１の半導体スイッチングデバイス、例えば、第１のトランジスタを含む第１の安全状態回路が提供される。深刻度が低い不具合を検出ユニットにより検出すると、第１の半導体スイッチングデバイスは、電力供給され、それによって、第１の安全状態モードを起動する。第１の安全状態回路を起動すると、第１の安全状態モードもまた起動される。これは、電子トリガ信号またはトリガ電圧が、半導体スイッチングデバイスに提供され、それによって、第１の安全状態モードを開始しうるという効果を有する。

【0010】

方法は、電力を第１の半導体スイッチングデバイスから取り去る追加のステップを含んでもよく、それによって、第１の安全状態回路を停止し、第１の安全状態モードを停止する。これは、接続デバイス、それゆえ、システム全体を通常動作モードに戻す。さらに他の実施形態では、通常動作モードは、電源を切断するまたは切り、再び電源を再適用するときにのみ得られる。

【0011】

他の例では、安全状態モードは、第２の安全状態モードを含み、第２の安全状態モードでは、接続デバイスは、電源をインタフェースカードに再接続することができない。それゆえ、第２の安全状態モードは、永続的な切り離しモードとしても知られている。これは、インタフェースカードがもはや電力供給されないという効果を有する。ホストデバイスと（列車）通信ネットワークデバイスとの間の信号伝達は、阻害される。

【0012】

一実施形態では、第２の半導体スイッチングデバイス、例えば、第２のトランジスタを含む第２の安全状態回路が提供される。深刻度が高い不具合を不具合検出ユニットにより検出すると、第２の半導体スイッチングデバイスは、電力供給され、それによって、第２の安全状態モードを起動する。第２の安全状態回路を起動すると、ヒューズはとばされる。これは、接続デバイスが第２の安全状態モードに維持されるという効果を有する。それゆえ、この状況では、接続デバイスは、電源をインタフェースカードに再接続することができない。これは、安全関連のホストデバイスと（列車）通信ネットワークデバイスとの間のインタフェースカードを介した信号送信が発生していない、または、今後発生しないであろうことを確実にする。

【0013】

安全状態コントローラに関する課題は、請求項８に従う安全状態コントローラによって解決される。好適実施形態は、従属請求項において言及される。

【0014】

安全状態コントローラは、インタフェースカードに提供される電力を制御し、接続デバイスを備え、接続デバイスは、通常動作モードでは、インタフェースカードを電源に接続し、それによって、電力をインタフェースカードに提供する。接続デバイスは、不具合検出ユニットに少なくとも間接的に結合可能である、または、結合される。接続デバイスは、安全状態モードに切り替え可能である、または、変化可能であり、安全状態モードでは、深刻度が低い不具合および／または深刻度が高い不具合を不具合検出ユニットにより検出すると、接続デバイスは、電源をインタフェースカードから切り離す。この安全状態コントローラを用いて、安全関連のホストデバイスを（列車）通信ネットワークデバイスから切断することができる。これは、不具合を検出すると、エラーを含む信号または誤った信号がインタフェースカードを介して送信されるのを阻害する効果を有する。

【0015】

一例では、接続デバイスは、エネルギー蓄積ユニットから提供される電圧によって、または、当該電圧を用いて、通常動作モードと安全状態モードとの間で切り替え可能である、または、変化可能である。エネルギー蓄積ユニットは、通常動作モードでは、放電されている、または、放電されるように構成される。エネルギー蓄積ユニットは、安全状態モードでは、接続デバイスに提供される少なくとも閾値電圧まで、充電されている、または、充電されるように構成される。閾値電圧を接続デバイスに提供すると、接続デバイスは、導通を停止し、それゆえ、電源をインタフェースカードから切り離す。

【0016】

他の例では、接続デバイスは、ｐチャネルＭＯＳＦＥＴ（金属酸化膜半導体電界効果トランジスタ）である。このＭＯＳＦＥＴは、通常、ソース（Ｓ）、ゲート（Ｇ）、ドレイン（Ｄ）およびボディ（Ｂ）端子を有する４端子デバイスである。一実施形態では、ＭＯＳＦＥＴのボディ（または基板）は、ソース端子に接続され、他の電界効果トランジスタのような３端子デバイスにしている。ＭＯＳＦＥＴのゲートは、エネルギー蓄積ユニットに接続されている。それによって、エネルギー蓄積ユニットは、充電時にソースゲート電圧を提供する。ソースは、電源に接続されている、または、接続可能であり、ドレインは、インタフェースカードに接続されている、または、接続可能である。ＭＯＳＦＥＴがｐチャネルＭＯＳＦＥＴであるので、ＭＯＳＦＥＴは、ゲートソース電圧が所定の閾値電圧未満のとき、導通している。ゲートソース電圧が閾値電圧に達するとき、ＭＯＳＦＥＴは、安全状態モードを開始している、すなわち、非導通になり、それによって、電源をインタフェースカードから切り離す。電力がインタフェースカードに供給されないので、１つまたは複数のホストデバイスと１つまたは複数のネットワークデバイスとの間の信号送信は、もはや存在しない。

【0017】

さらに他の実施形態では、安全状態モードは、第１の安全状態モードを含み、第１の安全状態回路が提供される。この第１の安全状態回路は、通常動作モードでは起動されず、深刻度が低い不具合を検出すると起動され、それによって、接続デバイスを（一時的に）第１の安全状態モードに可逆的に変化する。第１の安全状態回路は、第１のトリガ回路によって別にトリガされてもよい、または、電力供給されてもよい。

【0018】

第１の安全状態回路は、第１のトランジスタのような第１の半導体スイッチングデバイスを備えてもよく、第１のトランジスタのゲートは、（例えば、電流を提供することによって）トリガされてもよい。この第１の半導体スイッチングデバイスは、深刻度が低い不具合を不具合検出ユニットにより検出すると、第１の安全状態回路を起動するように構成される。

【0019】

他の例では、安全状態モードは、追加的または代替的に、第２の安全状態モードを含み、第２の安全状態回路が提供される。この第２の安全状態回路もまた、通常動作モードでは起動されない。第２の安全状態回路は、深刻度が高い不具合を検出すると起動され、それによって、接続デバイスを（永続的な）第２の安全状態モードに不可逆的に変化する。第２の安全状態モードのための典型的状況は、インタフェースカードに提供される過電圧である。これらの状況では、インタフェースカードがもはや適切に動作していなく、安全関連のホストデバイスが（列車）通信ネットワークデバイスから切断されなければならないことが仮定される。第２の安全状態回路は、第２のトリガ回路によって別にトリガされてもよい、または、電力供給されてもよい。

【0020】

一例では、第２の安全状態回路は、第２のトランジスタのような第２の半導体スイッチングデバイスを備え、第２のトランジスタのゲートは、（例えば、電流を提供することによって）トリガされてもよい。第２の半導体スイッチングデバイスは、深刻度が高い不具合を不具合検出ユニットにより検出すると、第２の安全状態回路、それゆえ、第２の安全状態モードを起動するように構成される。

【0021】

さらに他の例示的実施形態では、安全状態モードは、可逆的な第１の安全状態モードおよび不可逆的な第２の安全状態モードを含む。第１の安全状態モードでは、接続デバイスは、電源をインタフェースカードに再接続することができるが、第２の安全状態モードでは、もはや、電力を電源からインタフェースカードに提供することができない。切り離しを実現するために、第２の安全状態モードでとぶように構成されるヒューズが提供される。ヒューズは、第１の安全状態モードではとばされないように構成される。それによって、インタフェースカードは、検出された深刻度が低い不具合がなくなると、電源に再接続されうるが、深刻度が高い不具合を検出すると、インタフェースカードを電源に再接続することはできない。

【0022】

本発明の他の変形例は、添付の図面にて示されるように、例示的実施形態の以下の詳細な説明を考慮して明らかになる。

【図面の簡単な説明】

【0023】

【図1】電源をインタフェースカードに接続する一例の安全状態コントローラを備える安全関連のシステムの簡略な図を表し、インタフェースカードは、１つまたは複数のホストデバイスを１つまたは複数のネットワークデバイスに通信ネットワーク内で接続する。

【図2】安全状態コントローラの他の実施形態の図を表す。

【図3】電源をインタフェースカードに接続する安全状態コントローラのより詳細な図を表す。

【図4】第１の半導体スイッチングデバイスをトリガするためのトリガ回路を表す。

【図5】第２の半導体スイッチングデバイスをトリガするための第２のトリガ回路を表す。

【図6】インタフェースカードに一体に組み込まれる安全状態コントローラを備えるインタフェースカード・システムを表す。

【発明を実施するための形態】

【0024】

図１には、インタフェースカード２を電源６に接続する安全状態コントローラ１が示される。例示的実施形態では、インタフェースカード２は、再構成可能論理デバイス、例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）２１を提供する。ＦＰＧＡ２１の一態様では、ＦＰＧＡ２１は、リアルタイム・オペレーティングシステムを実行するように構成されるＣＰＵ２２を組み込む。さらに、いくつかの埋め込みアプリケーションは、ＦＰＧＡ２１のメモリに格納されてもよく、ＣＰＵ２２にロードされ、ＣＰＵ２２上で実行してもよい。さらに、インタフェースカード２は、デジタル・インタフェースモジュール２３またはフィールドバス・インタフェースを提供する。デジタル・インタフェースモジュール２３は、好ましくは、スイッチであり、スイッチは、インタフェースカード２の他の態様では、３ポート・イーサネットスイッチとして形成される。このスイッチは、１つまたは複数のネットワークデバイス４をインタフェースカード２に接続する。デジタル・インタフェースモジュール２３に提供される信号は、ＣＰＵ２２内で処理され、（処理の後）ネットワーク・インタフェースモジュール２４を介してホストデバイス３に送信されてもよく、ネットワーク・インタフェースモジュール２４は、例示的実施形態では、２チャネル・デジタルアップコンバータである。ホストデバイス３は、ブレーキコントローラを組み込むブレーキデバイスでもよい。他の実施形態では、ホストデバイス３は、ドアコントローラまたはライトコントローラまたは気候システムコントローラ等である。さらに、インタフェースカード２は、他のまたは追加の構成要素２５を備えてもよい。

【0025】

安全状態コントローラ１は、接続デバイス５を備え、接続デバイス５は、通常動作モードでは、インタフェースカード２を電源６に接続し、それによって、電力をインタフェースカード２に提供する。接続デバイス５はまた、不具合検出ユニット７ａ、７ｂにも結合される。本例では、不具合検出ユニット７ａ、７ｂは、２つの部分、すなわち、深刻度が低い不具合検出（例えば、ソフトエラー）用の不具合検出ユニット７ａおよび深刻度が高い不具合検出（例えば、過電圧）用の不具合検出ユニット７ｂを備える。例示的実施形態では、ＦＰＧＡ２１は、深刻度が低い不具合検出用の不具合検出ユニット７ａを組み込む。深刻度が高い不具合検出用の不具合検出ユニット７ｂもまた、インタフェースカード２の回路基板２６上に提供されるが、ＦＰＧＡ２１とは別に提供される。深刻度が低い不具合および／または深刻度が高い不具合を不具合検出ユニット７ａ、７ｂにより検出すると、接続デバイス５は、安全状態モードに切り替えられる、または、変化され、安全状態モードでは、接続デバイス５は、電源６をインタフェースカード２から切り離す。電源６をインタフェースカード２から切り離すことは、結果として、デジタル・インタフェースモジュール２３および／またはネットワーク・インタフェースモジュール２４の停止につながる。または、換言すれば、デジタル・インタフェースモジュール２３および／またはネットワーク・インタフェースモジュール２４は、安全状態モードでは起動されないように設定される。

【0026】

図２には、代替の不具合検出ユニット７ａ、７ｂを有する安全状態コントローラ１のより簡略な構造が示される。この実施形態では、不具合検出ユニット７は、インタフェースカード２と独立して配置され、深刻度が低い不具合検出（例えば、ソフトエラー）用の不具合検出ユニット７ａおよび深刻度が高い不具合検出（例えば、過電圧）用の不具合検出ユニット７ｂの両方を含む。

【0027】

図３には、例示的な安全状態コントローラ１のより詳細な図が示される。上述したように、この安全状態コントローラ１は、２つの異なるタイプの不具合を検出する、および、当該不具合に反応するように構成される。それゆえ、安全状態コントローラ１は、２つの異なる安全状態モード、すなわち、第１の安全状態モードおよび第２の安全状態モードを組み込む。第１の安全状態モードでは、通常動作モードに戻ることができ、電源６を切るまたは切断し、再び電源６を再適用することによって、接続デバイス５は、電源６をインタフェースカード２に接続する。第２の安全状態モードでは、電源６は、インタフェースカード２から永続的に切り離される。再接続は、人（人間）の介入なしでは、すなわち手動再生なしでは不可能である。

【0028】

以下、通常動作モードは、さらに詳細に記載されている。図３の実施形態では、接続デバイス５は、ゲート１６、ソース１７およびドレイン１８を備えるＰチャネルＭＯＳＦＥＴ１５として形成される。ＭＯＳＦＥＴ１５はまた、ボディダイオード１４を備える。エネルギー蓄積ユニット８は、本実施形態では、キャパシタであり、抵抗１２５を介してＭＯＳＦＥＴ１５のゲート１６に接続されている。通常動作モードでは、エネルギー蓄積ユニット８は、放電されているまたはグラウンド１２１を介して放電される。この構成では、電流は、ヒューズ１３を介してグラウンド１２１に導かれる。それゆえ、ＭＯＳＦＥＴ１５のソース１７とＭＯＳＦＥＴ１５のゲート１６との間には、電圧が提供されない、または、閾値電圧未満の電圧が提供される。それゆえ、通常動作モードでは、ＰチャネルＭＯＳＦＥＴ１５は、そのソース１７とそのドレイン１８との間で導通している。例示的実施形態では、ソース１７は、電源６に接続され、インタフェースカード２は、ＭＯＳＦＥＴ１５のドレイン１８に接続されている。通常動作モードでは、電源６の電力は、接続デバイス５を介してインタフェースカード２に供給される。

【0029】

さらに、安全状態コントローラ１は、第１の安全状態回路９および第２の安全状態回路１１を備える。第１の安全状態回路９は、第１の半導体スイッチングデバイス１０を備え、第１の半導体スイッチングデバイス１０は、第１のトランジスタとして形成され、ベース、コレクタおよびエミッタを備える。第２の安全状態回路１１は、第２の半導体スイッチングデバイス１２を含み、第２の半導体スイッチングデバイス１２は、第２のトランジスタとして形成され、したがって、ベース、コレクタおよびエミッタを含む。通常動作モードでは、両方の安全状態回路９、１１は起動されず、それらの半導体スイッチングデバイス１０、１２は導通していない。

【0030】

以下、第１の安全状態モードは、さらに詳細に記載されている。深刻度が低い不具合が不具合検出ユニット７ａによって検出されるとき、第１の半導体スイッチングデバイス１０は、そのベースにトリガライン１１９を介して電流が提供されることによって、電力供給される。第１の安全状態回路９を起動すると、エネルギー蓄積ユニット８は、充電され、それによって、ＰチャネルＭＯＳＦＥＴ１５のゲート１６で所定の閾値電圧を上回る電圧を提供する。この例示的実施形態では、ＭＯＳＦＥＴ１５のゲート１６とソース１７との間の閾値電圧は－０．５Ｖである。次に、接続デバイス５は、もはや導通しておらず、電源６は、インタフェースカードから切り離される。それによって、デジタル・インタフェースモジュール２３および／またはネットワーク・インタフェースモジュール２４は、起動されないように設定され、インタフェースカード２を介した任意の信号送信を防止する。この例示的実施形態では、第１の半導体スイッチングデバイス１０のベース電流は、第１の安全状態回路９を起動するために、１５０μＡを超えなければならない。

【0031】

第１の安全状態モードでは、ヒューズ１３はとばされない。このため、第１の半導体スイッチングデバイス１０および／または第１の安全状態回路９が再び起動されなくなるとき、エネルギー蓄積ユニット８は、ヒューズ１３を介してグラウンド１２１に放電される。ゲートソース電圧は閾値電圧未満に減少し、ｐチャネルＭＯＳＦＥＴ１５は、再び導通を開始し、それによって、電源６をインタフェースカード２に再接続する。それゆえ、第１の安全状態モードは、一時的切り離しモードとしても知られている。

【0032】

以下、第２の安全状態モードは、さらに詳細に記載されている。深刻度が高い不具合の検出の場合、第２の半導体スイッチングデバイス１２は、トリガライン１２０を介して起動される。第２の半導体スイッチングデバイス１２が導通を開始するとき、第２の安全状態回路１１もまた起動する。第２の安全状態回路１１が起動すると、ヒューズ１３はとばされる。本実施形態では、ヒューズ１３は、１２０ｍＡのヒューズ電流によってとばされてもよい。また、エネルギー蓄積ユニット８は、少なくとも、ＰチャネルＭＯＳＦＥＴ１５のゲート１６とソース１７との間の閾値電圧まで充電される。この状態では、接続デバイス５は、導通を停止し、電源６は、インタフェースカード２から切り離される。それによって、デジタル・インタフェースモジュール２３および／またはネットワーク・インタフェースモジュール２４は、起動されないように設定され、インタフェースカード２を介した任意の信号送信を防止する。この例示的実施形態では、第２の半導体スイッチングデバイス１２のベース電流は、第２の安全状態回路１１を起動するために、１５０μＡを超えなければならない。

【0033】

第２の安全状態モードではヒューズ１３がとばされるので、エネルギー蓄積ユニット８がグラウンド１２１を介して再び放電される可能性はない。このようなわけで、安全状態コントローラ１が通常動作モードに復帰する可能性は、もはや存在しない。なぜなら、ＭＯＳＦＥＴ１５のゲートソース電圧は、所定の閾値電圧未満に再び減少しないからである。電源は、インタフェースカード２から永続的に切り離される。それゆえ、第２の安全状態モードは、永続的な切り離しモードとしても知られている。

【0034】

図４では、第１の半導体スイッチングデバイスは、（一実施形態では）トリガライン１１９を介して２つの方法でトリガされてもよい。２つの方法のトリガとは、ＴＥＳＴ＿Ｎをローに引くこと、または、ＣＹＣＬＥ＿Ｎをローに引くこと、のいずれかである。本願明細書では、第１の安全状態モードのための可能な第１のトリガ回路が表される。

【0035】

ＴＥＳＴ＿Ｎがローに引かれるとき、安全状態コントローラ１の自己試験、特に接続デバイス５の自己試験が実行されてもよい。この状態では、第１の半導体スイッチングデバイス１０（図３）は、導通を開始し、それによって、接続デバイス５が導通するのを防止し、それによって、ＴＥＳＴ＿Ｎのための駆動論理を電源から切り離す。その後、第１の半導体スイッチングデバイス１０は、導通を停止し、接続デバイス５を導通モードに戻す。それゆえ、インタフェースカード２は、再び電力供給される。

【0036】

ＣＹＣＬＥ＿Ｎがローに引かれるとき、図４に示されるトランジスタ１２９は、導通を開始し、サイリスタ１３１のゲート１１６はトリガされる。第１の半導体スイッチングデバイス１０（図３）は、導通を開始し、それによって、第１の安全状態モードに変化する。第１の半導体スイッチングデバイス１０およびサイリスタ１３１を流れる電流が存在する限り、第１の安全状態モードは維持される。それゆえ、通常動作モードに戻って切り替わることは、電源６を切るまたは切断し、再び電源６を再適用することによってのみ可能である。

【0037】

ＣＹＣＬＥ＿ＥＮをトリガすることによって、図４に示されるＮチャネルＦＥＴ１３０のゲートは、サイリスタ１３１のトリガ信号を阻害してもよい。これは、スタートアップ手順の間、特定の基板上のモジュールが誤って不具合を示すとき（例えば、電圧監視手段からの低電圧の表示）必要になりうる。これは、所定の期間を残してもよく、所定の期間は、一実施形態では、３０ｍｓより長くてもよい。この所定の期間内で、任意のＣＹＣＬＥ＿Ｎトリガが阻害されてもよい。トリガ信号を阻害することは、接続デバイス５の自己試験を、ＴＥＳＴ＿Ｎを介して実行するときに特に重要である。インタフェースカード２が自己試験の後再び電力供給される場合、誤った不具合の表示は、通常のスタートアップ手順と同様に行われる。

【0038】

図５では、第２の半導体スイッチングデバイス１２は、（さらに他の実施形態では）トリガライン１２０を介してトリガされてもよい。本願明細書では、第２の安全状態モードのための可能なトリガ回路が表される。

【0039】

ＹＯＬＯ＿Ｎがトリガされる、すなわち、ローに引かれる場合、第２のトリガ回路内に示されるトランジスタ１２９^＊は、導通を開始する。必要なトリガ電圧は、第２のトリガ回路のサイリスタ１３１^＊のゲート１１６^＊に印加される。それによって、電流は、トリガライン１２０を介して第２の半導体スイッチングデバイス１２に提供される。第２の半導体スイッチングデバイス１２が導通を開始するとき、ヒューズ１３（図３）はとばされ、エネルギー蓄積ユニット８は充電され、それによって、電源６をインタフェースカード２から切り離す。ヒューズ１３がとばされるので、パワーサイクルが実行されるときでも、第２の安全状態モードは維持される。

【0040】

図６は、インタフェースカード２に一体に組み込まれる安全状態コントローラ１を有するインタフェースカード・システム２００を表す。安全状態コントローラ１、その接続デバイス５およびインタフェースカード２は、図１～図５の実施形態と同様の特徴を備える。それゆえ、上述した関連する文章が参照される。

【0041】

上述した説明は、例示的であり、制限する性質のものではない。開示された例に対する逸脱および変更は、当業者にとって明らかであろう。これらは、必ずしも、本発明の本質から逸脱するというわけではない。

【符号の説明】

【0042】

１ 安全状態コントローラ
２ インタフェースカード
３ ホストデバイス
４ ネットワークデバイス
５ 接続デバイス
６ 電源（例えば、Ｖ_ＩＮ＝５．５Ｖ）
７ａ 深刻度が低い不具合用の不具合検出ユニット
７ｂ 深刻度が高い不具合用の不具合検出ユニット（電圧監視手段）
８ エネルギー蓄積ユニット
９ 第１の安全状態回路
１０ 第１の半導体スイッチングデバイス
１１ 第２の安全状態回路
１２ 第２の半導体スイッチングデバイス
１３ ヒューズ
１４ ボディダイオード（すなわち過電圧保護デバイス）
１５ ＭＯＳＦＥＴ（ｐチャネルＭＯＳＦＥＴ）
１６ ゲート
１７ ソース
１８ ドレイン
１９ トリガ信号（深刻度が低い不具合）
２０ トリガ信号（深刻度が高い不具合）
２１ ＦＰＧＡ（フィールドプログラマブルゲートアレイ）
２２ ＣＰＵ（中央演算処理装置）
２３ デジタル・インタフェースモジュール（例えば、フィールドバス・インタフェース、例えば、スイッチ、例えば、３ポート・イーサネットスイッチ）
２４ ネットワーク・インタフェースモジュール
２５ 構成要素
２６ 回路基板
１１６ ゲート
１１７ ソース
１１８ ドレイン
１１９ トリガライン（深刻度が低い不具合）
１２０ トリガライン（深刻度が高い不具合）
１２１ グラウンド（０Ｖ）
１２２ 抵抗（例えば、６８Ω）
１２３ 抵抗（例えば、１０ＫΩ）
１２４ 抵抗（例えば、３３０Ω）
１２５ 抵抗（例えば、３３Ω）
１２６ グラウンド（０Ｖ）
１２７ 抵抗（例えば、１ＫΩ）
１２８ 抵抗（例えば、１０ＫΩ）
１２９ トランジスタ（例えば、極性：ＰＮＰ、例えば、Ｐ_ｔｏｔ＝１５０ｍＷ、例えば、Ｖ_ＣＥＯ［最大］＝４５Ｖ、例えば、Ｉ_Ｃ［最大］＝１００ｍＡ、例えば、ｈ_ＦＥ［最小］＝２２０、例えば、ｈＦＥ［最大］＝４７５）
１２９^＊ トランジスタ（例えば、極性：ＰＮＰ、例えば、Ｐ_ｔｏｔ＝１５０ｍＷ、例えば、Ｖ_ＣＥＯ［最大］＝４５Ｖ、例えば、Ｉ_Ｃ［最大］＝１００ｍＡ、例えば、ｈ_ＦＥ［最小］＝２２０、例えば、ｈＦＥ［最大］＝４７５）
１３０ ＦＥＴ（電界効果トランジスタ）
１３１ サイリスタ（例えば、３Ｖまでのサイリスタドロップ、例えば、３ｍＡの保持電流、例えば、ヒューズをとばす電流（ｆｕｓｅ ｋｉｌｌ ｃｕｒｒｅｎｔ）＝１８０ｍＡ）
１３１^＊ サイリスタ（例えば、３Ｖまでのサイリスタドロップ、例えば、３ｍＡの保持電流、例えば、ヒューズをとばす電流＝１８０ｍＡ）
１３２ キャパシタ（例えば、４．７μＦ、２５Ｖ）
１３３ キャパシタ（例えば、１０ｎＦ、５０Ｖ）
１３４ キャパシタ（例えば、２２μＦ、１０Ｖ）
２００ インタフェースカード・システム

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】