具体实施方式

本发明的一些实施例和实施方式涉及中断控制器，特别涉及中断控制器操作的管理，并且特别涉及被包含在安全微控制器内的中断控制器，安全微控制器被配置成处理安全故障信号。

图1图示了示出电子设备DIS的一个实施例的框图，电子设备DIS包括链接到控制电路CC的中断控制器CI。

根据一个方面，电子设备包括：中断控制器，拥有输出以及用于接收控制器时钟信号的输入，并且被配置成在控制器时钟信号存在的情况下，在输出上递送输出中断信号；以及控制电路，具有输入接口，用于接收有可能从设备外部的至少一项装备发出的至少一个中断信号，并且具有时钟输入，用于接收外部时钟信号，以及控制器，连接到输入接口和时钟输入，并且被配置成在至少一个中断信号存在的情况下直到递送对应的输出中断信号为止，根据外部时钟信号自动生成控制器时钟信号。

换句话说，根据这个方面，外部时钟信号(并且因此，控制器时钟信号)自动地(也就是说，用户无需编程任何东西)递送给中断控制器，其将使得中断控制器能够递送输出中断信号，输出中断信号例如旨在用于处理器，并且一旦输出中断信号已被递送，对控制器时钟信号的递送就会停止。

因此，借助于控制电路，中断控制器在以下时段之间接收形成控制器时钟的时钟信号：由控制电路对中断信号的接收、与由中断控制器对对应的输出中断信号的递送。因此，在限制中断控制器的消耗的同时，没有中断信号被遗漏。

根据一个实施例，输入接口被配置成接收分别有可能从多项不同的外部装备发出的多个中断信号，并且控制器被配置成在中断信号中的至少一个中断信号存在的情况下，根据外部时钟信号自动生成控制器时钟信号。

因此，输入接口可以接收多个中断信号，多个中断信号使得控制器能够生成控制器时钟信号以用于由输入接口接收的每个中断信号。

例如，输入接口包括或门，或门的输入被配置成接收不同的中断信号，并且或门的输出连接到控制器。实际上，或门的每个输入可以连接到不同的多项外部装备。因此，如果仅一个中断信号由输入接口的或门的输入中的仅一个输入接收，则或门的输出将发出一信号，该信号使得控制器能够生成控制器时钟信号。

根据一个实施例，控制器包括逻辑，该逻辑拥有被连接到输入接口的第一输入，并且具有被连接到时钟输入的第二输入，并且该逻辑被配置成通过门控外部时钟信号来进行控制，以通过使外部时钟信号的不中断或中断，来自动生成或不生成控制器时钟信号。

因此，控制器时钟信号是根据外部时钟信号生成的，并且因此逻辑使得可以通过外部时钟信号门进行控制(该技术通常被称为“时钟门控”)而不中断或中断控制器时钟信号。例如，逻辑包括与门，该与门耦合到第一输入和第二输入。

一些中断控制器可以在控制器时钟信号的一个周期中生成输出中断信号。其他中断控制器要求控制器时钟信号的多个周期来生成输出中断信号。

根据一个实施例，其中中断控制器被配置成在控制器时钟信号的一个周期中递送输出中断信号，并且逻辑的第一输入直接连接到输入接口，以便在中断信号的发生期间，在第一输入上递送至少一个中断信号从而授权生成控制器时钟信号，并且在中断信号的发生之后，通过外部时钟信号的中断来禁止递送控制器时钟信号。

因此，直接连接到输入接口的逻辑使得能够自动生成仅一个控制器时钟周期。

根据一个备选实施例，其中中断控制器被配置成在控制器时钟信号的多个周期中递送输出中断信号，控制器包括控制级，控制级连接在输入接口、逻辑的第一输入以及中断控制器的输出之间。

控制级可以被配置成在至少一个中断信号的发生期间，只要对应的输出中断信号尚未被递送，就在逻辑的第一输入上递送逻辑信号从而授权生成控制器时钟信号，以及一旦该输出中断信号已被递送，就通过中断外部时钟信号来禁止递送控制器时钟信号。

因此，在中断外部时钟信号之前，控制级使得能够等待待被递送输出中断信号。然后，控制器时钟信号在多个周期期间生成，从而使得控制器能够递送输出中断信号。

根据一个实施例，控制级包括存储器(例如锁存器)，存储器由外部时钟信号控制，并且被配置成在存储器中存储至少一个中断信号的存在，直到生成输出中断信号为止。

根据一个实施例，控制级包括与门，该与门具有连接到中断控制器的输出的第一反相输入，并且具有连接到存储器的输出的第二输入。

根据一个实施例，中断控制器是安全中断控制器，并且至少一个中断信号是至少一个安全故障信号。

根据另一方面，提出了一种微控制器，其包括：包含有不安全处理核的不安全域，不安全处理核包含不安全程序代码；包含有至少一个安全处理核的安全域，安全处理核包含安全程序代码(诸如上面描述的设备)，其被配置成将潜在的(多个)输出中断信号递送给安全处理核；以及设备外部的至少一项不安全装备；以及控制模块，与至少一项外部安全装备相关联，并且被配置成在由不安全处理核尝试访问至少一项安全装备的情况下，将安全故障信号递送给设备。

根据另一方面，一种用于管理中断控制器的方法，包括：接收至少一个中断信号；接收外部时钟信号；在中断控制器的输入上递送控制器时钟信号，在控制器时钟信号存在的情况下，中断控制器递送输出中断信号。在至少一个中断信号存在的情况下，直到输出中断信号被递送为止，控制器时钟信号可以根据外部时钟信号自动生成。

根据一个实施方式，该方法包括：分别接收多个中断信号，以及在中断信号中的至少一个中断信号存在的情况下，根据外部时钟信号自动生成控制器时钟信号。

根据一个实施方式，该方法包括生成或不生成控制器时钟信号，包括：通过门控外部时钟信号来不中断或中断外部时钟信号，从而进行控制。

根据一个实施方式，该方法包括：中断控制器在控制器时钟信号的一个周期中递送输出中断信号，并且在中断信号的发生期间，通过不中断外部时钟信号来生成控制器时钟信号，以及在中断信号的发生之后，通过中断外部时钟信号来禁止递送控制器时钟信号。

根据一个实施方式，该方法包括：在至少一个中断信号的发生期间，只要对应的输出中断信号尚未被递送，通过不中断外部时钟信号，中断控制器在控制器时钟信号的多个周期中递送输出中断信号和控制器时钟信号；以及一旦该输出中断信号已被递送，则通过中断外部时钟信号来禁止递送控制器时钟信号。

控制电路CC被配置成：取决于是否接收到源自多项外部装备EQ1、EQ2、EQ3中的至少一项外部装备的中断信号ILACin，在中断控制器CI的输入EC上递送或不递送控制器时钟信号CLK-CI。

在由控制电路CC接收到中断信号ILACin之后，在该实施例中，中断控制器CI能够在控制器时钟信号CLK-CI的仅一个周期中，在输出SC上递送输出中断信号ILACout。

在这方面，设备的中断控制器CI可以是例如与STMicroelectronics的以STM32L5来指代的中断控制器类似的类型。

输出中断信号ILACout随后旨在例如被递送给处理核CPU，诸如微处理器。

处理核CPU可以是安全处理核，其被配置成处理从安全装备发出的诸如安全故障的中断信号。图5图示的实施例将在下文进行描述。

如果再次参考图1，可以看出，控制电路CC包括输入接口PL1，输入接口PL1连接到外部装备EQ1、EQ2、EQ3。由此可以理解，可以存在连接到控制电路CC的输入接口的任意数目项外部装备。

多项外部装备中的至少一项外部装备被配置成发出中断信号ILACin，该中断信号ILACin由控制电路CC的输入接口接收。输入接口在此包括以PL1来指代的或门，或门的每个输入连接到多项外部装备EQ1、EQ2、EQ3中的一项外部装备。

通常，控制电路CC包括控制器，用于在至少一个中断信号ILACin存在的情况下，根据外部时钟信号CLK自动生成控制器时钟信号CLK-CI，该外部时钟信号CLK在控制电路CC的时钟输入ECK上被接收，例如由石英或锁相环递送。

在这方面，控制器包括逻辑，在此以PL2指代的与门，与门的第一输入E1连接到或门PL1的输出，并且与门的第二输入E2连接到时钟输入ECK。

与门PL2的输出连接到中断控制器CI的输入EC。

现在更具体地参考图2，图2以与根据参考图1描述的实施例的设备DIS的操作有关的定时图的形式，图示了根据本发明的方法的一个实施方式。

根据此处呈现的实施方式，在接收到中断信号ILACin之后，设备DIS的中断电路CI能够在控制器时钟信号CLK-CI的仅一个周期中，递送输出中断信号ILACout。

下文公开了操作设备DIS的步骤。

一旦设备DIS在操作中，外部时钟信号CLK由控制电路CC的时钟输入ECK接收。外部时钟信号因此被连续地递送给与门PL2的第二输入E2。

设备DIS在操作中，中断信号ILACin可以由控制电路CC接收。

此处，由多项外部装备中的一项外部装备发出的中断信号的存在通过在信号ILACin的高状态处的脉冲来进行转换，而中断信号的不存在通过信号ILACin的低状态来进行转换。中断信号ILACin在控制电路CC的输入接口PL1的输入中的一个输入上接收。

一旦中断信号ILACin被接收，中断信号ILACin就被直接传送到与门PL2的第一输入E1。

在中断信号ILACin存在或不存在的情况下，逻辑(这里，与门PL2)分别自动实施对外部时钟信号CLK的不中断或中断(该技术通常被称为“时钟门控”)，以便自动生成或不生成控制器时钟信号CLK-CI。

当输出中断信号ILACout已经被发射时，该信号回落到低状态，这与回落到中断信号ILACin的低状态相一致并且因此外部时钟信号CLK的中断，这是由于信号ILACout在控制器时钟信号CLK-CI的一个周期中被生成。

换句话说，在中断信号ILACin存在的情况下并且直到递送对应的输出中断信号为止，根据外部时钟信号CLK自动生成控制器时钟信号CLK-CI。

图3图示了示出包括中断控制器C1的电子设备的一个实施例的框图，中断控制器C1链接到控制电路CC，但是在该实施例中被配置成在控制器时钟信号CLK-CI的多个周期之后，在输出SCle上递送输出中断信号ILACout。

与图1中的实施例相关，除逻辑门PL2之外，控制电路CC的控制器还包括控制级ETC，控制级ETC连接在输入接口PL1的输出(在此为以PL1指代的或门的输出)与以PL2指代的与门的第一输入E1之间。

在一个实施例中，在一方面，控制级ETC被配置成将从一项外部装备发出的中断信号ILACin的存在存储在存储器中，直到递送对应的输出中断信号ILACout为止，并且在另一方面，被配置成取决于中断信号ILACin的存在、并且根据中断信号ILACin在存储器中的存储，在门PL2的第一输入上递送逻辑信号EN，逻辑信号EN授权门PL2递送控制器时钟信号CLK-CI。

在这方面，控制级ETC包括存储器BSC(在此，锁存器)，使得能够将中断信号ILACin的存在存储在存储器中。存储器被设置到外部时钟信号CLK的速率。

附加地，控制级ETC通过反馈回路连接到中断控制器CI的输出SC。

更具体地，控制级ETC包括以PL3指代的与门，其具有连接到中断控制器CI的输出SC的第一反相输入。与门PL3的第二输入E4连接到存储器BSC的输出SB。

锁存器BSC的输出SB递送信号EN-CTRL。

与门PL3的输出连接到以PL4指代的第一或门的第一输入E5。

第一或门PL4的第二输入E6连接到输入接口PL1的输出。第二第一或门PL4的输出连接到存储器BSC的输入EB。

以PL5指代的第二或门的第一输入E7连接到存储器BSC的输出SB，并且第二或门PL5的第二输入E8连接到输入接口PL1的输出。第二或门PL5的输出连接到与门PL2的第一输入E1。

因此，控制级在与门PL2的第一输入E1上递送逻辑信号EN。

只要逻辑信号EN处于高状态，门PL2就不中断外部时钟信号CLK，这使得可以生成中断控制器CI的控制器时钟信号CLK-CI。

当逻辑信号EN处于低状态时，门PL2然后中断外部时钟信号CLK，从而禁止递送控制器时钟信号CLK-CI。

现在更具体地参考图4，图4以与根据参考图3描述的实施例的设备的操作有关的定时图的形式，图示了根据本发明的方法的另一实施方式。

根据在此呈现的实施方式，在控制器时钟信号CLK-CI的多个周期之后，中断电路CI递送输出中断信号ILACout。

下文公开了操作设备DIS的步骤。

一旦设备DIS在操作中，外部时钟信号CLK由控制电路CC的时钟输入ECK接收。外部时钟信号被连续递送给与门PL2的第二输入E2。

中断信号ILACin可以由控制电路CC接收。

再次，由多项外部装备中的一项外部装备发出的中断信号的存在通过在信号ILACin的高状态处的脉冲进行转换，而中断信号的不存在通过信号的低状态来进行转换。

当中断信号ILACin由输入接口接收时(信号ILACin的高状态)，逻辑信号EN在或门PL5的输出上改变为高状态。

在外部时钟信号CLK的一个周期之后，存储器BSC在存储器中存储中断信号ILACin的存在，并且信号EN-CTRL改变为高状态，而中断信号ILACin回落到低状态。

此外，由于输出中断信号ILACout尚未被递送，所以门PL3的反相输入E3以与输入E4相同的方式处于高状态。

门PL3的输出处于高状态，这将锁存器BSC的输入EB维持在高状态。

尽管不存在中断信号ILACin，信号EN仍保持高状态，从而不导致外部时钟信号CLK的中断。

随后，在多个控制器时钟周期之后，中断控制器CI递送输出中断信号ILACout。输出中断信号ILACout由与门PL3的反相输入接收，其然后改变为低状态。

然后，锁存器BSC的输入EB变为低状态，并且信号EN-CTRL在一个时钟周期CLK后变为低状态，这与信号ILACout的回落到低状态相一致，并且从而导致信号EN变为低状态，并且因此导致通过与门PL2来中断外部时钟信号CLK。

贯穿在逻辑信号EN处于高状态期间的整个时间，生成控制器时钟信号CLK-CI。

从中断信号ILACin的发生以来，并且只要对应的输出中断信号ILACout尚未被递送，逻辑信号EN就处于高状态。

换句话说，再次，在中断信号ILACin存在的情况下并且直到对应的输出中断信号的递送为止，根据外部时钟信号CLK自动生成控制器时钟信号CLK-CI。

图5图示了微控制器MCU，微控制器MCU特别地包括不安全域和安全域。

微控制器可以是STMicroelectronics中以STM32来指代的微控制器家族。

例如，不安全域在这里包含不安全处理核CPU(诸如微处理器)，不安全处理核CPU包含不安全程序代码以及一项不安全装备EQ2NS(为简单起见，仅示出了一项不安全装备，但当然可以提供多项不安全装备)。

安全域包含至少一个安全处理核CPUS，至少一个安全处理核CPUS以与参考图1或图3描述的设备DIS相同的方式包含安全程序代码，并且包含被认为安全的中断控制器。

安全域还包括一项外部安全装备EQ1S(为简单起见，仅示出了一项安全装备，但当然可以提供多项安全装备)。

处理核CPU、CPUS、设备DIS和多项安全或不安全的外部装备通过常规结构的互连网络ITC互连，并且本身是已知的。

与每项安全或不安全装备相关联的是控制模块MS1、MS2以及寄存器RG1、RG2，寄存器RG1、RG2被配置成包含指示对应项的装备是否安全的信息。

控制模块MS1被配置成在由不安全处理核CPU尝试访问第一项外部安全装备EQ1S的情况下，递送安全故障信号(中断信号)。

实际上，控制模块MS1会将寄存器RG1的内容与旨在用于一项装备EQ1S的事务的字段进行比较，该字段包含表示不安全事务的指示。所发出的安全故障将被发送到设备DIS。设备的安全中断控制器随后将输出中断信号递送给安全处理核CPUS。