JP2017191375A

JP2017191375A - Control device

Info

Publication number: JP2017191375A
Application number: JP2016079004A
Authority: JP
Inventors: 坂本　浩; Hiroshi Sakamoto; 浩坂本
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2016-04-11
Filing date: 2016-04-11
Publication date: 2017-10-19
Anticipated expiration: 2036-04-11
Also published as: JP6512156B2

Abstract

【課題】ソフトウェアの異常要因を解析可能な制御装置において、メモリ容量を低減しつつ、処理負荷を低減すること。【解決手段】ＲＯＭの異常要因アドレス領域のアドレスは、異常要因ごとに割り振られており、各アドレスには、ＥＣＣ機能部による照合時にＥＣＣエラーが生じるべく、データ及び誤り訂正符号が予め記憶されている。ソフトウェアの異常が生じると、ＣＰＵは、異常要因に対応するアドレスへジャンプし、ジャンプ先のアドレス、すなわち異常要因に対応するアドレスのデータを読み出す。ＥＣＣ機能部は、読み出したデータに基づいて誤り訂正符号を生成する。そして、生成した誤り訂正符号と、データとともに異常要因アドレス領域に記憶されている誤り訂正符号とを照合する。誤り訂正符号は必ず一致しないため、ＥＣＣ機能部は、ＥＣＣエラーが生じたと判定し、エラーアドレス確認レジスタに、ＥＣＣエラーが発生したアドレスを記憶する。【選択図】図６[PROBLEMS] To reduce a processing load while reducing a memory capacity in a control device capable of analyzing an abnormal factor of software. An address in an error factor address area of a ROM is allocated for each error factor, and data and an error correction code are stored in advance in each address so that an ECC error occurs when collation is performed by an ECC function unit. Yes. When software abnormality occurs, the CPU jumps to the address corresponding to the abnormality factor, and reads the data of the jump destination address, that is, the address corresponding to the abnormality factor. The ECC function unit generates an error correction code based on the read data. Then, the generated error correction code is collated with the error correction code stored in the abnormality factor address area together with the data. Since the error correction codes do not always match, the ECC function unit determines that an ECC error has occurred, and stores the address where the ECC error has occurred in the error address confirmation register. [Selection] Figure 6

Description

この明細書における開示は、制御装置に関する。 The disclosure in this specification relates to a control device.

特許文献１には、異常の要因（種別）ごとにメモリにフラグを設け、異常の要因に対応するフラグをオンさせることで、異常を検出する技術が開示されている。 Patent Document 1 discloses a technique for detecting an abnormality by providing a flag in a memory for each abnormality factor (type) and turning on a flag corresponding to the abnormality factor.

特許第３７２１５６８号公報Japanese Patent No. 3721568

ソフトウェアを実行することで所定の制御を実現する制御装置においても、上記した技術が用いられる。たとえば、メモリとしてのＲＡＭ上に、異常要因に対応してフラグが設けられる。これにより、ソフトウェアの異常が生じたときに、フラグに基づいて異常要因を解析することができる。 The technique described above is also used in a control device that realizes predetermined control by executing software. For example, a flag is provided on a RAM serving as a memory in correspondence with an abnormality factor. Thereby, when a software abnormality occurs, the abnormality factor can be analyzed based on the flag.

しかしながら、フラグを必要とする上に、フラグの初期化処理、異常発生時のフラグ設定処理などが必要となる。したがって、メモリ容量が大きくなる。また、初期化やフラグ設定処理が必要であるため、処理負荷が増加する。 However, in addition to requiring a flag, a flag initialization process, a flag setting process when an abnormality occurs, and the like are required. Therefore, the memory capacity is increased. Further, since initialization and flag setting processing are required, the processing load increases.

本開示はこのような課題に鑑みてなされたものであり、ソフトウェアの異常要因を解析可能な制御装置において、メモリ容量を低減しつつ、処理負荷を低減することを目的とする。 The present disclosure has been made in view of such a problem, and an object of the present disclosure is to reduce a processing load while reducing a memory capacity in a control device capable of analyzing an abnormality factor of software.

本開示は、上記目的を達成するために以下の技術的手段を採用する。なお、括弧内の符号は、ひとつの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、技術的範囲を限定するものではない。 The present disclosure employs the following technical means to achieve the above object. In addition, the code | symbol in parenthesis shows the corresponding relationship with the specific means as described in embodiment mentioned later as one aspect | mode, Comprising: The technical scope is not limited.

本開示のひとつは、ソフトウェアを実行することで所定の制御を実現する制御装置であって、
ソフトウェアの異常を検出する異常検出部（Ｓ１０，Ｓ１１）と、
ソフトウェアの異常の要因ごとに特定のアドレスが割り振られ、該アドレスに、ＥＣＣ（Error Correction Code）エラーが生じるようにデータ及び誤り訂正符号が記憶されてなる異常要因アドレス領域を有するメモリ（２２，２３）と、
異常検出部により検出されたソフトウェアの異常の要因に基づき、異常の要因に対応するアドレスへジャンプし、該アドレスに記憶されたデータを読み出すジャンプ処理部（Ｓ１２）と、
読み出されたデータの誤りを誤り訂正符号に基づいて検出するとともに、誤りが検出されたアドレスを記憶するＥＣＣ機能部（２４）と、
を備える。 One of the present disclosure is a control device that realizes predetermined control by executing software,
An anomaly detector (S10, S11) for detecting an anomaly in the software;
A specific address is assigned to each cause of software abnormality, and a memory (22, 23) having an abnormality cause address area in which data and an error correction code are stored so that an ECC (Error Correction Code) error occurs at the address. )When,
A jump processing unit (S12) that jumps to an address corresponding to the cause of the abnormality and reads data stored in the address based on the cause of the abnormality of the software detected by the abnormality detection unit;
An ECC function unit (24) for detecting an error of the read data based on the error correction code and storing an address where the error is detected;
Is provided.

これによれば、制御装置が備えるＥＣＣ機能部を利用し、ソフトウェアの異常要因に対応するアドレスを記憶することができる。したがって、記憶されたアドレスから、異常要因を解析することができる。 According to this, it is possible to store an address corresponding to a software abnormality factor by using the ECC function unit provided in the control device. Therefore, the cause of abnormality can be analyzed from the stored address.

また、メモリに異常要因アドレス領域を設け、ジャンプ処理を実施することで、メモリ上の異常要因フラグ領域や、フラグの初期化処理、フラグ設定処理を不要とすることができる。このため、フラグを用いる構成に較べて、メモリの容量を低減することができる。また、処理負荷を低減することができる。 Further, by providing an abnormality factor address area in the memory and performing jump processing, it is possible to eliminate the abnormality factor flag area, flag initialization processing, and flag setting processing on the memory. For this reason, the capacity of the memory can be reduced as compared with the configuration using the flag. In addition, the processing load can be reduced.

第１実施形態に係る制御装置の概略構成を示す図である。It is a figure which shows schematic structure of the control apparatus which concerns on 1st Embodiment. ＲＯＭに記憶されている情報を示す図である。It is a figure which shows the information memorize | stored in ROM. 異常要因とＲＯＭのアドレスとの関係を説明するための図である。It is a figure for demonstrating the relationship between an abnormality factor and the address of ROM. ＲＯＭの異常要因アドレス領域に記憶された情報を示す図である。It is a figure which shows the information memorize | stored in the abnormality factor address area | region of ROM. ＣＰＵが実行する処理を示すフローチャートである。It is a flowchart which shows the process which CPU performs. ＣＰＵ及びＥＣＣ機能部が実行する処理を示すシーケンス図である。It is a sequence diagram which shows the process which CPU and an ECC function part perform. 本実施形態の効果を示す図である。It is a figure which shows the effect of this embodiment.

図面を参照しながら、複数の実施形態を説明する。複数の実施形態において、機能的に及び／又は構造的に対応する部分には同一の参照符号を付与する。 A plurality of embodiments will be described with reference to the drawings. In several embodiments, functionally and / or structurally corresponding parts are given the same reference numerals.

（第１実施形態）
先ず、図１に基づき、本実施形態に係る制御装置の概略構成を説明する。この制御装置は、車両に搭載される。制御装置は、車両に搭載された各種センサや他の制御装置から、車両情報を取得する。そして、取得した車両情報に基づいて、車両における制御対象の制御を実行する。たとえば表示部の制御を実行する。 (First embodiment)
First, a schematic configuration of a control device according to the present embodiment will be described based on FIG. This control device is mounted on a vehicle. The control device acquires vehicle information from various sensors and other control devices mounted on the vehicle. And based on the acquired vehicle information, control of the control object in a vehicle is performed. For example, the display unit is controlled.

図１に示すように、制御装置１０は、マイコン２０を中心に構成されている。マイコン２０は、ＣＰＵ２１、ＲＡＭ２２、ＲＯＭ２３、ＥＣＣ機能部２４、リセット部２５、電源回路２６などを備えている。ＲＡＭ２２及びＲＯＭ２３が、メモリに相当する。ＣＰＵ２１、ＲＡＭ２２、ＲＯＭ２３、及びリセット部２５は、バス２７を介して通信可能に接続されている。 As shown in FIG. 1, the control device 10 is configured around a microcomputer 20. The microcomputer 20 includes a CPU 21, a RAM 22, a ROM 23, an ECC function unit 24, a reset unit 25, a power supply circuit 26, and the like. The RAM 22 and the ROM 23 correspond to a memory. The CPU 21, RAM 22, ROM 23, and reset unit 25 are communicably connected via a bus 27.

マイコン（マイクロコンピュータ）２０において、ＣＰＵ（Central Processing Unit）２１が、ＲＡＭ（Random Access Memory）２２や図示しないレジスタなどの一時記憶機能を利用しつつ、ＲＯＭ（Read Only Memory）２３に予め記憶された制御プログラム、図示しない通信線を介して各種センサや他の制御装置から取得したデータに応じて、信号処理を行う。また、この信号処理で得られた信号を、通信線を介してマイコン２０の外部に出力したりする。このようにして、マイコン２０は、各種機能を実行する。 In the microcomputer 20, a CPU (Central Processing Unit) 21 is stored in advance in a ROM (Read Only Memory) 23 using a temporary storage function such as a RAM (Random Access Memory) 22 or a register (not shown). Signal processing is performed in accordance with the control program and data acquired from various sensors and other control devices via a communication line (not shown). Further, the signal obtained by this signal processing is output to the outside of the microcomputer 20 via the communication line. In this way, the microcomputer 20 executes various functions.

本実施形態では、図１に示すように、ＲＯＭ２３が、ＥＣＣ機能部２４を有している。すなわち、ＥＣＣ機能付きのＲＯＭ２３となっている。ＥＣＣ機能部２４は、メモリに生じるビットエラーを検出又は訂正する周知の回路（ハードウェア）である。 In this embodiment, as shown in FIG. 1, the ROM 23 has an ECC function unit 24. That is, the ROM 23 has an ECC function. The ECC function unit 24 is a known circuit (hardware) that detects or corrects a bit error occurring in the memory.

ＲＯＭ２３の所定アドレスにデータ（プログラム）を書き込む際、ＥＣＣ機能部２４は、書き込むデータに基づいて誤り訂正符号を生成する。生成された誤り訂正符号は、データに対応付けられて、ＲＯＭ２３に書き込まれる。データ及び誤り訂正符号は、たとえば同じアドレスに書き込まれる。誤り訂正符号は、ＥＣＣ（Error Correction Code）と称される。 When writing data (program) to a predetermined address in the ROM 23, the ECC function unit 24 generates an error correction code based on the written data. The generated error correction code is written in the ROM 23 in association with the data. The data and the error correction code are written at the same address, for example. The error correction code is called ECC (Error Correction Code).

一方、ＣＰＵ２１がＲＯＭ２３から所定アドレスのデータを読み出す際、ＥＣＣ機能部２４は、読み出したデータに基づいて誤り訂正符号（ＥＣＣ１）を生成する。そして、生成したＥＣＣ１と、データとともにＲＯＭ２３に記憶されている誤り訂正符号（ＥＣＣ２）とを照合する。ＥＣＣ機能部２４は、ＥＣＣ１とＥＣＣ２が一致する場合に、データが正常であると判定する。 On the other hand, when the CPU 21 reads data at a predetermined address from the ROM 23, the ECC function unit 24 generates an error correction code (ECC1) based on the read data. Then, the generated ECC1 is collated with the error correction code (ECC2) stored in the ROM 23 together with the data. The ECC function unit 24 determines that the data is normal when ECC1 and ECC2 match.

ＲＯＭ２３のデータにデータ化け等が生じると、ＥＣＣ１とＥＣＣ２が一致しなくなる。ＥＣＣ機能部２４は、ＥＣＣ１とＥＣＣ２が一致しない場合、データに誤りが生じた、すなわちＥＣＣエラーが生じたと判定する。 If data in the ROM 23 is corrupted, ECC1 and ECC2 do not match. If the ECC1 and the ECC2 do not match, the ECC function unit 24 determines that an error has occurred in the data, that is, an ECC error has occurred.

ＥＣＣ機能部２４は、ＥＣＣエラーの発生後においてＥＣＣエラーが発生したアドレスを確認できるように、周知のエラーアドレス確認レジスタ２４ａを有している。ＥＣＣエラーが生じたと判定した場合、ＥＣＣ機能部２４は、エラーアドレス確認レジスタ２４ａに、ＥＣＣエラーが発生したアドレスを記憶する。 The ECC function unit 24 has a known error address confirmation register 24a so that the address where the ECC error has occurred can be confirmed after the ECC error has occurred. If it is determined that an ECC error has occurred, the ECC function unit 24 stores the address where the ECC error has occurred in the error address confirmation register 24a.

また、ＥＣＣ機能部２４は、ＥＣＣエラーが生じたと判定すると、その旨を示すＥＣＣエラー信号をリセット部２５に出力する。 When the ECC function unit 24 determines that an ECC error has occurred, the ECC function unit 24 outputs an ECC error signal indicating that to the reset unit 25.

リセット部２５は、異常を検出した際に、電源回路２６に対して、検出した異常に対応するリセット信号を出力する。リセット部２５は、たとえばＥＣＣエラー信号を取得することで異常を検出すると、ＣＰＵ２１をリセットさせるためのリセット信号を、電源回路２６に出力する。 When detecting an abnormality, the reset unit 25 outputs a reset signal corresponding to the detected abnormality to the power supply circuit 26. For example, if the reset unit 25 detects an abnormality by acquiring an ECC error signal, the reset unit 25 outputs a reset signal for resetting the CPU 21 to the power supply circuit 26.

電源回路２６は、車両に搭載されたバッテリから供給されるバッテリ電圧ＶＢに基づいて、ＣＰＵ２１の動作する動作電圧Ｖｃｐｕ、ＲＡＭ２２の動作するＶｒａｍ、及びＲＯＭ２３の動作するＶｒｏｍをそれぞれ生成する。電源回路２６は、たとえばＣＰＵ２１をリセットさせるためのリセット信号を取得すると、ＣＰＵ２１の動作電圧Ｖｃｐｕを一時的に遮断した後、動作電圧Ｖｃｐｕの供給を再開する。これにより、ＣＰＵ２１がリセットされる。 The power supply circuit 26 generates an operating voltage Vcpu operated by the CPU 21, a Vram operated by the RAM 22, and a Vrom operated by the ROM 23 based on the battery voltage VB supplied from the battery mounted on the vehicle. For example, when the power supply circuit 26 acquires a reset signal for resetting the CPU 21, the power supply circuit 26 temporarily cuts off the operating voltage Vcpu of the CPU 21 and then restarts the supply of the operating voltage Vcpu. As a result, the CPU 21 is reset.

次に、図２〜図６に基づき、ソフトウェア（プログラム）の異常検出時に、制御装置１０が実行する処理について説明する。 Next, processing executed by the control device 10 when software (program) abnormality is detected will be described with reference to FIGS.

先ず、ソフトウェアの異常検出のために、ＲＯＭ２３に記憶されている情報について説明する。図２に示すように、ＲＯＭ２３は、情報の格納領域として、ＣＰＵ２１が実行するジャンプ処理のプログラムが記憶されたジャンプ処理の領域２３ａと、異常要因アドレス領域２３ｂを有している。 First, information stored in the ROM 23 for software abnormality detection will be described. As shown in FIG. 2, the ROM 23 has, as information storage areas, a jump processing area 23a in which a program for jump processing executed by the CPU 21 is stored, and an abnormality factor address area 23b.

ジャンプ処理の領域２３ａには、ソフトウェアの異常が検出された場合に、異常の要因（以下、異常要因と示す）に対応する特定のアドレスへジャンプし、ジャンプ先のアドレスのデータを読み出すジャンプ処理のプログラムが記憶されている。 In the jump processing area 23a, when a software abnormality is detected, jump processing is performed to jump to a specific address corresponding to the cause of the abnormality (hereinafter referred to as an abnormality factor) and to read out data at the jump destination address. The program is stored.

異常要因アドレス領域２３ｂは、上記ジャンプ処理によるジャンプ先の領域である。ソフトウェアの異常要因としては、たとえばＲＯＭサムチェック異常、ＲＡＭチェック異常、状態遷移異常などがある。本実施形態では、図３に示すように、異常要因ごとに特定のアドレスが割り振られている。そして、図４に示すように、異常要因に対応する各アドレスの情報（データ及び誤り訂正符号）が、ＥＣＣエラーが生じるように予め記憶されている。 The abnormality factor address area 23b is a jump destination area by the jump processing. Examples of software abnormality factors include ROM sum check abnormality, RAM check abnormality, and state transition abnormality. In the present embodiment, as shown in FIG. 3, a specific address is assigned for each abnormality factor. As shown in FIG. 4, information (data and error correction code) of each address corresponding to the abnormality factor is stored in advance so that an ECC error occurs.

具体的には、図４に示すデータにより生成される誤り訂正符号、すなわち上記ＥＣＣ１と、データと同じアドレスに記憶されている誤り訂正符号、すなわちＥＣＣ２とが一致しないように、データ及び誤り訂正符号が設定されている。このように、異常要因アドレス領域２３ｂには、図４に示す情報が記憶されている。ＲＯＭ２３には、それ以外にも、周知のように、ソフトウェアの異常を検出するためのプログラム、ＲＯＭサムチェックを実行するためのプログラムなどが記憶されている。 Specifically, the error correction code generated from the data shown in FIG. 4, that is, the ECC1 and the error correction code stored at the same address as the data, that is, the ECC2 so that the data and the error correction code do not match. Is set. Thus, the information shown in FIG. 4 is stored in the abnormality factor address area 23b. In addition to this, the ROM 23 stores a program for detecting a software abnormality, a program for executing a ROM sum check, and the like, as is well known.

次いで、ＣＰＵ２１及びＥＣＣ機能部２４が実行する処理について説明する。図５は、ＲＯＭ２３に記憶されたプログラムにしたがってＣＰＵ２１が実行する処理を示している。ＣＰＵ２１は、図５に示す処理を所定の周期で繰り返し実行する。図６は、ＣＰＵ２１及びＥＣＣ機能部２４が実行する処理を示している。 Next, processing executed by the CPU 21 and the ECC function unit 24 will be described. FIG. 5 shows processing executed by the CPU 21 according to the program stored in the ROM 23. The CPU 21 repeatedly executes the process shown in FIG. 5 at a predetermined cycle. FIG. 6 shows processing executed by the CPU 21 and the ECC function unit 24.

図５に示すように、ＣＰＵ２１は、先ず、ソフトウェアの異常検出処理を実行する（ステップＳ１０）。ＣＰＵ２１は、ＲＯＭサムチェックなどを実行する。 As shown in FIG. 5, the CPU 21 first executes a software abnormality detection process (step S10). The CPU 21 executes ROM sum check and the like.

次いで、ＣＰＵ２１は、ステップＳ１０の結果に基づいて、ソフトウェアの異常が生じているか否かを判定する（ステップＳ１１）。ステップＳ１０，Ｓ１１の処理が、異常検出部に相当する。たとえばＣＰＵ２１は、ＲＯＭ２３における対象領域の総和が所定値とならない場合、ＲＯＭサムチェック異常が生じていると判定する。図６に示すように、ＣＰＵ２１は、時刻ｔ１でソフトウェアの異常を検出する。すなわち、時刻ｔ１で、ステップＳ１０，Ｓ１１の処理を実行する。 Next, the CPU 21 determines whether or not a software abnormality has occurred based on the result of step S10 (step S11). The processes in steps S10 and S11 correspond to an abnormality detection unit. For example, if the sum of the target areas in the ROM 23 does not reach a predetermined value, the CPU 21 determines that a ROM sum check abnormality has occurred. As shown in FIG. 6, the CPU 21 detects a software abnormality at time t1. That is, the processes of steps S10 and S11 are executed at time t1.

異常が生じていると判定した場合、ＣＰＵ２１は、異常要因に対応するアドレスへのジャンプ処理を実行する（ステップＳ１２）。ステップＳ１２の処理が、ジャンプ処理部に相当する。異常が生じていると判定した場合、ＣＰＵ２１は、ＲＯＭ２３のジャンプ処理の領域２３ａに記憶されているプログラムにしたがって、異常要因に対応するアドレスへジャンプする。そして、ジャンプ先のアドレス、すなわち、異常要因に対応するアドレスのデータを読み出す。そして、一連の処理を終了する。図６に示すように、ＣＰＵ２１は、時刻ｔ２で、ジャンプ処理（ジャンプ及び読み出し）を実行する。 When it is determined that an abnormality has occurred, the CPU 21 executes a jump process to an address corresponding to the abnormality factor (step S12). The process of step S12 corresponds to a jump processing unit. If it is determined that an abnormality has occurred, the CPU 21 jumps to an address corresponding to the abnormality factor according to the program stored in the jump processing area 23 a of the ROM 23. Then, the data of the jump destination address, that is, the address corresponding to the abnormality factor is read. Then, a series of processing ends. As shown in FIG. 6, the CPU 21 executes jump processing (jump and read) at time t2.

なお、ＣＰＵ２１は、ステップＳ１１において、ソフトウェアの異常なしと判定した場合、ステップＳ１２の処理を実行せずに、一連の処理を終了する。 If the CPU 21 determines in step S11 that there is no software abnormality, the CPU 21 ends the series of processes without executing the process in step S12.

ＣＰＵ２１によるステップＳ１２の処理、具体的にはデータの読み出し処理をトリガにして、ＥＣＣ機能部２４は、ＥＣＣエラー検出処理を開始する。ＣＰＵ２１が、ＲＯＭ２３の異常要因アドレス領域２３ｂから、検出された異常要因に対応するアドレスのデータを読み出す際、ＥＣＣ機能部２４は、読み出したデータに基づいて誤り訂正符号（ＥＣＣ１）を生成する。そして、生成したＥＣＣ１と、データとともに異常要因アドレス領域２３ｂに記憶されている誤り訂正符号（ＥＣＣ２）とを照合する。 The ECC function unit 24 starts an ECC error detection process triggered by the process of step S12 by the CPU 21, specifically, the data read process. When the CPU 21 reads data at an address corresponding to the detected abnormality factor from the abnormality factor address area 23b of the ROM 23, the ECC function unit 24 generates an error correction code (ECC1) based on the read data. Then, the generated ECC1 is collated with the error correction code (ECC2) stored in the abnormality factor address area 23b together with the data.

上記したように、異常要因アドレス領域２３ｂに記憶されている情報（データ及び誤り訂正符号）は、ＥＣＣエラーが生じるように予め記憶されたものである。したがって、ＥＣＣ１及びＥＣＣ２は必ず一致せず、ＥＣＣ機能部２４は、ＥＣＣエラーが生じたと判定する。このように、ソフトウェアの異常が生じたときには、ＥＣＣエラーが必ず生じるようになっている。図６に示すように、ＣＰＵ２１は、時刻ｔ３で、誤り訂正符号の照合を実施する。 As described above, the information (data and error correction code) stored in the abnormality factor address area 23b is stored in advance so that an ECC error occurs. Therefore, ECC1 and ECC2 do not always match, and the ECC function unit 24 determines that an ECC error has occurred. In this way, when a software abnormality occurs, an ECC error always occurs. As shown in FIG. 6, the CPU 21 checks the error correction code at time t3.

上記したように、ＥＣＣ機能部２４は、エラーアドレス確認レジスタ２４ａを有している。したがって、ソフトウェアの異常によりＥＣＣエラーが生じると、ＥＣＣ機能部２４は、エラーアドレス確認レジスタ２４ａに、ＥＣＣエラーが発生したアドレス、すなわちソフトウェアの異常要因に対応するアドレスを記憶する。 As described above, the ECC function unit 24 includes the error address confirmation register 24a. Therefore, when an ECC error occurs due to software abnormality, the ECC function unit 24 stores the address where the ECC error has occurred, that is, the address corresponding to the software abnormality factor, in the error address confirmation register 24a.

また、ＥＣＣ機能部２４は、ソフトウェアの異常によりＥＣＣエラーが生じると、その旨を示すＥＣＣエラー信号をリセット部２５に出力する。これにより、リセット部２５は、ＣＰＵ２１をリセットさせるためのリセット信号を、電源回路２６に出力する。そして、電源回路２６は、ＣＰＵ２１の動作電圧Ｖｃｐｕを一時的に遮断した後、動作電圧Ｖｃｐｕの供給を再開する。 Further, when an ECC error occurs due to a software abnormality, the ECC function unit 24 outputs an ECC error signal indicating that to the reset unit 25. Thus, the reset unit 25 outputs a reset signal for resetting the CPU 21 to the power supply circuit 26. Then, the power supply circuit 26 temporarily cuts off the operating voltage Vcpu of the CPU 21 and then restarts the supply of the operating voltage Vcpu.

次に、本実施形態に係る制御装置１０及びマイコン２０の効果について説明する。 Next, effects of the control device 10 and the microcomputer 20 according to the present embodiment will be described.

本実施形態によれば、ＲＯＭ２３の異常要因アドレス領域２３ｂのアドレスが、異常要因ごとに割り振られており、各アドレスには、ＥＣＣ機能部２４による照合時にＥＣＣエラーが生じるべく、データ及び誤り訂正符号が予め記憶されている。ＣＰＵ２１は、ソフトウェアの異常が生じると、ＲＯＭ２３における異常要因に対応するアドレスへジャンプし、ジャンプ先のアドレス、すなわち異常要因に対応するアドレスのデータを読み出す。 According to the present embodiment, the address of the error factor address area 23b of the ROM 23 is allocated for each error factor, and data and error correction codes are assigned to each address so that an ECC error occurs when collation is performed by the ECC function unit 24. Is stored in advance. When software abnormality occurs, the CPU 21 jumps to the address corresponding to the abnormality factor in the ROM 23 and reads the jump destination address, that is, the data of the address corresponding to the abnormality factor.

異常要因アドレス領域２３ｂから、検出された異常要因に対応するアドレスのデータを読み出す際、ＥＣＣ機能部２４は、読み出したデータに基づいて誤り訂正符号（ＥＣＣ１）を生成する。そして、生成したＥＣＣ１と、データとともに異常要因アドレス領域２３ｂに記憶されている誤り訂正符号（ＥＣＣ２）とを照合する。上記したように、異常要因アドレス領域２３ｂに記憶されている情報（データ及び誤り訂正符号）は、ＥＣＣエラーが生じるように予め記憶されたものであるため、ＥＣＣ１及びＥＣＣ２は必ず一致せず、ＥＣＣ機能部２４は、ＥＣＣエラーが生じたと判定する。また、ソフトウェアの異常によりＥＣＣエラーが生じると、ＥＣＣ機能部２４は、エラーアドレス確認レジスタ２４ａに、ＥＣＣエラーが発生したアドレス、すなわちソフトウェアの異常要因に対応するアドレスを記憶する。 When reading the data of the address corresponding to the detected abnormality factor from the abnormality factor address area 23b, the ECC function unit 24 generates an error correction code (ECC1) based on the read data. Then, the generated ECC1 is collated with the error correction code (ECC2) stored in the abnormality factor address area 23b together with the data. As described above, since the information (data and error correction code) stored in the abnormality factor address area 23b is stored in advance so that an ECC error occurs, ECC1 and ECC2 do not always match, and ECC The function unit 24 determines that an ECC error has occurred. Further, when an ECC error occurs due to software abnormality, the ECC function unit 24 stores an address where the ECC error has occurred, that is, an address corresponding to a software abnormality factor, in the error address confirmation register 24a.

近年、機能安全対応として、マイコン２０はＥＣＣ機能部２４を備えている。本実施形態では、メモリ、たとえばＲＡＭ２２上に異常要因を解析するためのフラグを設けなくとも、マイコン２０が備えるＥＣＣ機能部２４を利用し、ＥＣＣ機能部２４のエラーアドレス確認レジスタ２４ａに、ソフトウェアの異常要因に対応するアドレスを記憶する。したがって、開発時やディーラーなどでの異常解析時において、エラーアドレス確認レジスタ２４ａに記憶されているアドレスから、どのような要因のソフトウェア異常が生じたかを確認することができる。たとえば、開発時にはエラーアドレス確認レジスタ２４ａに記憶されているアドレスをデバッグの情報とし、ディーラーにおいては上記アドレスをダイアグ情報として扱うことができる。 In recent years, the microcomputer 20 includes an ECC function unit 24 for functional safety. In the present embodiment, even if a flag for analyzing an abnormality factor is not provided on a memory, for example, the RAM 22, the ECC function unit 24 included in the microcomputer 20 is used, and the error address confirmation register 24 a of the ECC function unit 24 is stored in a software Stores the address corresponding to the error factor. Therefore, at the time of development or at the time of abnormality analysis at a dealer or the like, it is possible to confirm what kind of software abnormality has occurred from the address stored in the error address confirmation register 24a. For example, at the time of development, the address stored in the error address confirmation register 24a can be used as debugging information, and the address can be handled as diagnostic information at the dealer.

図７に示すように、本実施形態では、ＲＡＭ２２上に異常要因フラグ領域を設ける必要がない。また、ＲＯＭ２３上には、異常要因アドレス領域２３ｂと、ジャンプ処理のためのプログラムが記憶される領域２３ａが必要となる。たとえば、ソフトウェアの異常要因が１０あるとすると、異常要因アドレス領域として１０ｂｉｔ（２ｂｙｔｅ）、ジャンプ処理の領域２３ａとして４０ｂｙｔｅ程度、必要となる。すなわち、異常要因に関する領域として、ＲＡＭ２２の使用領域が０ｂｙｔｅであり、ＲＯＭ２３の使用領域は４２ｂｙｔｅとなる。異常要因と特定するための情報であるアドレスは、ＥＣＣ機能部２４（ハードウェア）のエラーアドレス確認レジスタ２４ａに記憶される。 As shown in FIG. 7, in the present embodiment, it is not necessary to provide an abnormality factor flag area on the RAM 22. Further, the ROM 23 requires an abnormality factor address area 23b and an area 23a for storing a program for jump processing. For example, if there are 10 software error factors, 10 bits (2 bytes) are required as the error factor address area and about 40 bytes are required as the jump processing area 23a. That is, as the area related to the abnormality factor, the use area of the RAM 22 is 0 byte, and the use area of the ROM 23 is 42 bytes. An address, which is information for identifying an abnormality factor, is stored in an error address confirmation register 24a of the ECC function unit 24 (hardware).

一方、従来の構成（図７の比較例）では、ＲＡＭ上に異常要因フラグ領域が必要となる。また、ＲＯＭ２３上には、フラグ初期化処理のためのプログラムが記憶される領域と、フラグを設定する、すなわちフラグをセットするためのプログラムが記憶される領域が必要となる。上記同様、ソフトウェアの異常要因が１０あるとすると、異常要因フラグ領域として１０ｂｉｔ（２ｂｙｔｅ）、フラグ初期化処理の領域として１００ｂｙｔｅ程度、フラグ設定処理の領域として５０ｂｙｔｅ程度、必要となる。すなわち、異常要因に関する領域として、ＲＡＭの使用領域が２ｂｙｔｅであり、ＲＯＭの使用領域は１５０ｂｙｔｅとなる。 On the other hand, the conventional configuration (comparative example in FIG. 7) requires an abnormality factor flag area on the RAM. On the ROM 23, an area for storing a program for flag initialization processing and an area for setting a flag, that is, a program for setting a flag are required. Similarly to the above, if there are 10 software error factors, the error factor flag area requires 10 bits (2 bytes), the flag initialization process area requires about 100 bytes, and the flag setting process area requires about 50 bytes. That is, as the area related to the abnormality factor, the RAM usage area is 2 bytes, and the ROM usage area is 150 bytes.

このように、本実施形態によれば、フラグを用いる従来の構成に較べて、メモリ（ＲＡＭ２２及びＲＯＭ２３）の容量を低減することができる。また、処理の一部をＥＣＣ機能部２４が実行するため、ＣＰＵ２１が実行する処理、すなわち処理負荷を低減することができる。 Thus, according to the present embodiment, the capacity of the memory (RAM 22 and ROM 23) can be reduced as compared with the conventional configuration using a flag. In addition, since a part of the processing is executed by the ECC function unit 24, the processing executed by the CPU 21, that is, the processing load can be reduced.

この明細書の開示は、例示された実施形態に制限されない。開示は、例示された実施形態と、それらに基づく当業者による変形態様を包含する。たとえば、開示は、実施形態において示された要素の組み合わせに限定されない。開示は、多様な組み合わせによって実施可能である。開示される技術的範囲は、実施形態の記載に限定されない。開示されるいくつかの技術的範囲は、特許請求の範囲の記載によって示され、さらに特許請求の範囲の記載と均等の意味及び範囲内でのすべての変更を含むものと解されるべきである。 The disclosure of this specification is not limited to the illustrated embodiments. The disclosure encompasses the illustrated embodiments and variations by those skilled in the art based thereon. For example, the disclosure is not limited to the combination of elements shown in the embodiments. The disclosure can be implemented in various combinations. The technical scope disclosed is not limited to the description of the embodiments. The several technical scopes disclosed are indicated by the description of the claims, and should be understood to include all modifications within the meaning and scope equivalent to the description of the claims. .

ＲＯＭ２３がＥＣＣ機能部２４を有する例を示した。しかしながら、ＲＡＭ２２がＥＣＣ機能部２４を有してもよい。ＲＡＭ２２及びＲＯＭ２３が、ともにＥＣＣ機能部２４を有してもよい。 An example in which the ROM 23 has the ECC function unit 24 is shown. However, the RAM 22 may have the ECC function unit 24. Both the RAM 22 and the ROM 23 may have the ECC function unit 24.

さらには、マイコン２０内において、メモリ以外に、ＥＣＣ機能部２４が設けられてもよい。 Furthermore, in the microcomputer 20, an ECC function unit 24 may be provided in addition to the memory.

１０…制御装置、
２０…マイコン、
２１…ＣＰＵ、
２２…ＲＡＭ、
２３…ＲＯＭ、
２４…ＥＣＣ機能部、
２４ａ…エラーアドレス確認レジスタ、
２５…リセット部、
２６…電源回路、
２７…バス 10 ... Control device,
20 ... Microcomputer,
21 ... CPU,
22 ... RAM,
23 ... ROM,
24 ... ECC function section,
24a: Error address confirmation register,
25. Reset unit,
26 ... power circuit,
27 ... Bus

Claims

A control device that realizes predetermined control by executing software,
An abnormality detection unit (S10, S11) for detecting an abnormality of the software;
A specific address is assigned for each cause of the software abnormality, and a memory (22, 22) having an abnormality cause address area in which data and an error correction code are stored so that an ECC (Error Correction Code) error occurs at the address. 23)
A jump processing unit (S12) that jumps to the address corresponding to the cause of the abnormality and reads the data stored in the address based on the cause of the abnormality of the software detected by the abnormality detection unit;
An ECC function unit (24) for detecting an error of the read data based on the error correction code and storing the address where the error is detected;
A control device comprising: