JPH03269738A - マイクロコンピュータの異常処理装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 （産業上の利用分野） 本発明はマイクロコンピュータの異常処理装置に関する
ものであり、特に、プログラムの暴走をウォッチドッグ
タイマによって監視するように構成されているマイクロ
コンピュータの異常処理装置に関する。

（従来の技術） マイクロコンピュータ（以下、マイコンという）におい
ては、ハードウェアの故障およびソフトウェアのバグ、
またはノイズなどに起因する異常が発生することがあり
、これらの要因によってアドレスやデータの内容が狂い
、プログラムの暴走を引起こすことがある。

上記のような異常が発生した場合に備えて対策が講じら
れている。ウォッチドッグタイマによる異常監視システ
ムもその対策の一つである。ウォッチドッグタイマによ
る異常監視システムでは、ウォッチドッグタイマのタイ
ムアツプ以前にウォッチドッグタイマがクリアされるよ
うに、予定の周期でＣＰＵからウォッチドッグタイマに
トリが信号（クリア信号）が発せられる。ウォッチドッ
グタイマは予定時間が経過してもクリア信号が入力され
ないとタイムアツプ信号を出力し、該信号によってＣＰ
Ｕがリセットされてプログラムの暴走が解除されるよう
になっている。プログラムか正常に走っている場合は、
トリガ信号によってタイマのカウント値はクリアされ、
タイムアツプ信号が出力されないので、ＣＰＵはリセッ
トされない。一方、プログラムが暴走している場合は、
予定時間以上経過してもトリガがかからない。したがっ
て、ウォッチドッグタイマはタイムアンプしてＣＰＵに
リセット信号を出力するようになっている。

このように、プログラムが正常に走っている場合は、予
定時間毎にウォッチドッグタイマにトリがかかかるので
ＣＰＵはリセットされないが、プログラムが暴走したり
、永久ループに入ったりすると、予定時間毎にトリガが
かからなくなってＣＰＵがリセットされ、正常状態に復
帰することができる。

（発明が解決しようとする課８） ところで、上記のウォッチドッグタイマによる異常監視
システムには次のような問題点があった。

すなわち、プログラムの暴走の種類によっては、前記ト
リガを予定時間毎に発生させるためのタイマルーチンは
通るものがある。この場合には、プログラムが暴走して
いるにもかかわらず、ウォッチドッグタイマをクリアす
るトリガ信号は予定時間以内に発生されるので、該ウォ
ッチドッグタイマはタイムアツプされない。その結果、
ウォッチドッグタイマからＣＰＵに対するリセット信号
が出力されず暴走状態を正常に復帰させられないという
問題点がある。

従来のウォッチドッグタイマを使用した異常処理装置で
は、上記のトリガ信号を発生させるタイマルーチンを通
るようなプログラムの暴走状態の異常を検出できないた
め、高い信頼性を要求されるシステムの異常処理装置と
しては不十分であった。

本発明の目的は、上記の問題点を解消し、従来検出でき
なかったプログラムの暴走状態を検出できるようにして
、異常時にはＣＰＵを確実にリセットさせることができ
るマイコンの異常処理装置を提供することにある。

（課題を解決するための手段および作用）前記の課題を
解決し、目的を達成するための本発明は、予定の周期で
トリガ信号を発生させるため、マイクロコンピュータに
複数のタイマルーチンを設定し、該複数のタイマルーチ
ンによって発せられる複数のトリガ信号のうち、少なく
とも一つが予定時間内に出力されない場合にウォッチド
ッグタイマからＣＰＵのリセット信号を出力するように
構成した点に特徴がある。

上記構成を有する本発明では、複数のタイマルーチンか
ら出力されるべきトリガ信号の少なくとも一方が予定時
間以内に出力されない場合に、ウォッチドッグタイマは
クリアされずにタイムアツプしてＣＰＵをリセットする
ことができる。すなわち、一方のタイマルーチンを通る
ようなプログラムの暴走があってトリガ信号を予定周期
で出力しても、他のタイマルーチンは前記暴走によって
トリガ信号を出力しなくなるので、ウォッチドッグタイ
マはＣＰＵのリセット信号を出力する。

（実施例） 以下、図面を参照して本発明の詳細な説明する。

まず、本発明の第１実施例を説明する。第１図は第１実
施例のブロック図である。

第１図において・、ウォッチドッグタイマ５は、予定時
間以内にクリアされない場合にＣＰＵ系１にリセット信
号ｓ１を出力する。ＣＰＵ系１には前記ウォッチドッグ
タイマ５をクリアするためのトリガ信号発生用タイマル
ーチンが設けられ、そこで発生したトリガ信号をウォッ
チドッグタイマ５に供給するようにしている。

本実施例では、２段階に分けて前記トリガ信号を発生さ
せるように、すなわち互いに時間差を有する２つのトリ
ガ信号を発生させるように２つのタイマルーチンがＣＰ
Ｕ系１に設けられる。該２つのタイマルーチンによって
発生されるトリガ信号ｓ３．ｓ４はＡＮＤゲート４に供
給される。したがって、ウォッチドッグタイマ５のタイ
ムアツプ時間以内の予定時間以内に２つのトリガ信号ｓ
３．ｓ４が供給されるとＡＮＤゲート４はウォッチドッ
グタイマ５にクリア信号Ｓ２を出力する。

ワンショットタイマ３によって一方のトリガ信号Ｓ３は
予定時間保持される。該ワンショットタイマ３の回路例
を第１図（ｂ）に示す。同図において、ワンショットタ
イマ３の入力信号（トリガ信号）Ｓ３に対して、コンデ
ンサＣと抵抗Ｒとの時定数に応じて決定される時間Ｔた
け、出力Ｓ５は保持される。

プログラムの暴走の種類によっては、トリガ信号を発生
させるタイマルーチンが実行されるような暴走もあり得
るが、暴走状態において、２つのタイマルーチンが予定
通り実行されるような確率は非常に低くなる。したがっ
て、プログラムの暴走時、一方のタイマルーチンによっ
てトリガ信号が発生されることがあっても、他方のタイ
マルーチンは暴走に際しても依然として予定時間でトリ
ガ信号を発生するということはほとんどないので、ウォ
ッチドッグタイマ５はクリアされずにタイムアツプし、
ＣＰＵ系１のリセット信号Ｓ１が出力され、プログラム
は正常に復帰される。

次に、第２図を参照して本実施例の動作タイミングを説
明する。

まず、トリガ信号Ｓ３が出力されなくなった場合の説明
をする。第２図（ａ）において、プログラムが正常に実
行され、ワンショットタイマ３の時定数で決定される時
間Ｔより短い、予定時間以内でトリガ信号ｓ３が出力さ
れている間は、ワンショットタイマ３の出力Ｓ５は“ハ
イ（Ｈ）”に維持される。そして、トリガ信号Ｓ４が出
力される毎にＡＮＤゲート４の出力Ｓ２は“Ｈｌになっ
てウォッチドッグタイマ５はクリアされ、ウォッチドッ
グタイマ５の出力ｓ１は“ロー（Ｌ）″に維持される。

プログラムの暴走によってトリガ信号Ｓ３が前記時時間
以内に出力されなくなると、ワンショットタイマ３の出
力Ｓ５は“Ｌ″に変化し、ＡＮＤゲート４の出力ｓ２も
“Ｌ”に変化する。その結果、ウォッチドッグタイマ５
はタイムアツプしてその出力ｓ１が“Ｈ”に転じ、ＣＰ
Ｕ系１はリセットされる。

一方、トリガ信号Ｓ４が出力されなくなった場合は次の
ように動作する。第２図（ｂ）に示したように、予定時
間以内に供給されるトリガ信号Ｓ３によってワンショッ
トタイマ３の出力は“Ｈｏに保持されたままであるが、
トリガ信号Ｓ４が出力されなくなった以後はＡＮＤゲー
ト４の出力ｓ２は“Ｈ”に変化せず、したがって、ウォ
ッチドッグタイマ５はタイムアツプしてその出力が“Ｈ
”に転じ、ＣＰＵ系１はリセットされる。

次いで、本発明の第２実施例を説明する。第３図は２つ
のＣＰＵ系を有するシステムの例を示すブロック図であ
り、第１図と同符号は同一または同等部分を示す。

同図において、第１ＣＰＵ系１および第２ＣＰＵ系２は
シリアル通信用インタフェースを介し、送信線６および
受信線７を使用して相互に通信することができ、第２Ｃ
ＰＵ系２は第１ＣＰＵ系１から供給されるデータに従っ
て予定の動作を行う。

第１ＣＰＵ系１および第２ＣＰＵ系２には、ウォッチド
ッグタイマ５をクリアするためのトリガ信号を発生させ
るタイマルーチンがそれぞれ設けられる。すなわち、第
１ＣＰＵ系１はワンショットタイマ２を介してＡＮＤゲ
ート４にトリガ信号ｓ３を予定時間毎に供給し、第２Ｃ
ＰＵ系２はＡＮＤゲート４にトリガ信号ｓ４を予定時間
毎に供給する。

第１　ＣＰＵ系１に暴走が発生した場合には、暴走した
プログラムの実行で得られたエラーを含むデータが、第
１ＣＰＵ系１から第２ＣＰＵ系２に転送される。そして
、そのデータに基づいて実行されたＣＰＵ系２のプログ
ラムは期待されたとおりに実行されない。したがって、
第２ＣＰＵ系２のトリガ発生用タイマルーチンによって
は予定された周期でトリガ信号ｓ４が出力されなくなる
。

すなわち、たとえ該プログラムの暴走が、第１ＣＰＵ系
１の前記タイマルーチンを通るようなものであって、暴
走にもかかわらず依然として予定の周期でトリガ信号ｓ
３が出力された場合でも、ＡＮＤゲート４の一方の入力
ｓ４が供給されない（”Ｈ”にならない）ので、ＡＮＤ
ゲート４の出力Ｓ２は“Ｈ”に変化せず、ウォッチドッ
グタイマ５は予定時間以内にクリアされない。その結果
、ウォッチドッグタイマ５から第１　ＣＰＵ系１にリセ
ット信号が出力され、第１ＣＰＵ系１は正常な動作に復
帰する。

該第２実施例における動作タイミングは、第１実施例と
同様であるのでタイミングチャートは省略する。

次に、第３実施例を説明する。第４図は第３実施例のブ
ロック図であり、第３図と同符号は同一または同等部分
を示す。

同図において、その出力によって第１　ＣＰＵ系１をリ
セットするウォッチドッグタイマ５ａおよび５ｂが設け
られている。そして、ウォッチドッグタイマ５ａには第
１ＣＰＵ系１のタイマルーチンによって発生されたトリ
ガ信号Ｓ３が供給され、ウォッチドッグタイマ５ｂには
第２ＣＰＵ系２のタイマルーチンによって発生されたト
リガ信号Ｓ４がそれぞれ供給される。

該第３実施例では、ウォッチドッグタイマ５ａおよび５
ｂのいずれかに対してトリが信号が供給されなくなると
、該ウォッチドッグタイマ５ａまたは５ｂはタイムアツ
プして第２ＣＰＵ系２をリセットする信号Ｓ１を出力す
る（“Ｈ”にする）。

すなわち、プログラムの暴走にもかかわらず、ウォッチ
ドッグタイマにトリガかかかるような場合でも、ウォッ
チドッグタイマ５ａ、５ｂの双方にトリガがかかるよう
な暴走でないかぎり第１ＣＰＵ系１はリセットされる。

該第３実施例では、ウォッチドッグタイマは２つ必要に
なるが、前記ワンショットタイマ３やＡＮＤゲート４は
省略することができる。

上記説明のように、本実施例では、ウォッチドッグタイ
マをそのタイムアツプ時間以内にクリアするトリガを２
つ発生させるように、それぞれのトリガ発生用に別個に
タイマルーチンを設け、少なくとも一方のタイマルーチ
ンによって予定周期でトリガ信号が発生されなかった場
合には第１ＣＰＵ系１がリセットされるようにした。

（発明の効果） 以上の説明から明らかなように、本発明によれば、ＣＰ
Ｕの暴走を監視するウォッチドッグタイマをクリアさせ
る複数のトリガ信号を、それぞれ別々のタイマルーチン
によって発生させるようにし、少なくとも１つのトリガ
信号が発生しなくなった場合にはウォッチドッグタイマ
はクリアされないようにした。したがって、前記タイマ
ルーチンの一方を実行するようなプログラムの暴走が発
生しても、他方のタイマルーチンによって適確に暴走が
検出され、ウォッチドッグタイマはクリアされない。そ
の結果、ウォッチドッグタイマはタイムアツプし、その
出力によってＣＰＵはリセットされる。

暴走時にもかかわらず前記複数のタイマルーチンの全て
を実行するような、異常事態が発生する可能性は非常に
少ないといえるので、高い信頼性を要求されるようなシ
ステムの異常監視機能を満足できるシステム構成ができ
る。

【図面の簡単な説明】

第１図は第１実施例のブロック図、第２図は本実施例の
動作タイミングを示すタイミングチャト、第３図は第２
実施例を示すブロック図、第４図は第３実施例を示すブ
ロック図である。 １・・・第１ＣＰＵ系、２・・・第２ＣＰＵ系、３・・
・ワンショットタイマ、４・・・ＡＮＤ回路、５・・・
ウォッチドッグタイマ

Claims (1)

【特許請求の範囲】
1. （１）ウォッチドッグタイマによる時間監視によってＣ
   ＰＵの暴走を監視し、該ウォッチドッグタイマのタイム
   アップ信号に応答してＣＰＵをリセットするマイクロコ
   ンピュータの異常処理装置において、 前記マイクロコンピュータに設定された複数のタイマル
   ーチンに従ってそれぞれ発生された複数のトリガ信号の
   うち、少なくとも一つが予定時間内に出力されない場合
   にウォッチドッグタイマからＣＰＵのリセット信号を出
   力させるように構成したことを特徴とするマイクロコン
   ピュータの異常処理装置。