JPH05204681A - ソフトウェアの異常検出装置 - Google Patents

Abstract

(57)【要約】 電子出願以前の出願であるので 要約・選択図及び出願人の識別番号は存在しない。

Description

【発明の詳細な説明】 ［概要］ データ処理装置におけるソフトウェアの異常動 作を検出するソフトウェアの異常検出装置に関 し、 ソフトウェアの誤動作の検出を確実に行えるよ うにすることを目的とし、 所定の設定時間をタイムアップした時に異常検 出信号を出力するタイマと、エントリされたソフ トウェアに関してタスク制御タスクが逐次実行す るタスクのタスク識別番号を保持する入力タスク 記憶回路と、エントリされるソフトウェアに関し て正常動作時に実行が予定される１以上のタスク の実行予定タスク識別番号を予め保持する実行予 定タスク記憶回路と、入力タスク記憶回路から現 に実行中の現タスク識別番号を逐次に取り出して 実行予定タスク記憶回路に保持された実行予定タ スク識別番号と比較し、現タスク識別番号が全て の実行予定タスク識別番号と一致したことを判定 してタイマリセット信号を発生しタイマに与える 比較判定回路とを備えたものである。

［産業上の利用分野］ 本発明はデータ処理装置におけるソフトウェア の異常動作を検出するソフトウェアの異常検出装 置に関する。

［従来の技術］ 従来、データ処理装置において実行されるプロ グラムの誤動作等の異常を検出するソフトウェア の異常検出装置としてはウォッチドッグタイマが よく知られている。ウォッチドッグタイマはハー ドウェアで設定されたタイマが所定の設定時間を タイムアウトするまでに、ソフトウェアが一定監 視時間毎にそのタイマをリセットすることを繰り 返すものである。したがってこのハードウェアタ イマはソフトウェアが正常に動作している間はタ イムアウトすることがなく、それによりソフトウ ェアの正常性を判断できる。一方、ハードウェア タイマがタイムアウトした時にはソフトウェアの 異常と判断する。この異常時にはハードウェアで システムにリスタートをかけたり、ノンマスカブ ル割込み（ＮＭＩ）を上げたりして異常処理シー ケンスを実行している。

［発明が解決しようとする課題］ ウォッチドッグタイマによるソフトウェアの異 常検出方式では、次のようなソフトウェアの暴走 が発生した場合には異常検出を行えない。

すなわち、ソフトウェアは、実際のアプリケー ションソフトウェアがタスク制御タスク（タスク コントロールタスク）にエントリされて、幾つか のアプリケーションタスクが交互に実行されるこ とにより、その機能を果たしていくものである。

ここでタスク制御タスクはアプリケーションソフ トウェアがエントリされて、その実行する順序を 決めるタスクである。

ところが、ソフトウェアの実際のアプリケー ションプログラムがタスク制御タスクにエントリ されておらず、しかもウォッチドッグタイマのリ セットタスクのみは正常にエントリされているよ うな場合には、アプリケーションソフトウェアが 実行されないので機能上は動作していないにもか かわらず、リセットタスクでウォッチドッグタイ マはリセットされ続けるので、異常検出ができな い状態になってしまう。

本発明は、ソフトウェアがアプリケーションソ フトの動作順序を定めているタスク制御タスクを ハードウェアによって監視するという構想に基づ いて、ソフトウェアの誤動作の検出をタスクレベ ルで確実に行うことができるソフトウェアの異常 検出装置を提供することを目的とする。

［課題を解決するための手段］ 第１図は本発明に係る原理説明図である。

本発明に係るソフトウェアの異常検出装置は、 第１図［Ａ］に示されるように、一つの形態とし て、所定の設定時間をタイムアップした時に異常 検出信号を出力するタイマ１０１と、エントリさ れたソフトウェアに関してタスク制御タスクが逐 次実行するタスクのタスク識別番号を保持する入 力タスク記憶回路１０２と、エントリされるソフ トウェアに関して正常動作時に実行が予定される １以上のタスクの実行予定タスク識別番号を予め 保持する実行予定タスク記憶回路１０３と、入力 タスク記憶回路１０２から現に実行中の現タスク 識別番号を逐次に取り出して実行予定タスク記憶 回路１０３に保持された実行予定タスク識別番号 と比較し、現タスク識別番号が全ての実行予定タ スク識別番号と一致したことを判定してタイマリ セット信号を発生しタイマ１０１に与える比較判 定回路１０４とを備えてなる。

また本発明に係るソフトウェアの異常検出装置 は、第１図［Ｂ］に示されるように、他の形態と して、エントリされたソフトウェアに関してタス ク制御タスクが実行するタスクのタスク識別番号 が２の累乗数に選ばれたデータ処理装置における ものであって、所定の設定時間をタイムアップし た時に異常検出信号を出力するタイマ１１１と、 エントリされたソフトウェアに関してタスク制御 タスクが逐次実行するタスクのタスク識別番号を 保持する入力タスク記憶回路１１２と、タスク識 別番号の各ビット対応に設けられ、タスクの実行 に際して入力タスク記憶回路１１１から逐次取り 出される現に実行中の現タスク識別番号の対応 ビットによりそれぞれセットされる複数のセット 回路１１３と、全てのセット回路１１３がセット された時にタイマリセット信号を発生してタイマ １１１に与える判定回路１１４とを備えてな る。

また本発明に係るデータ処理装置は、上述の何 れかの形態のソフトウェアの異常検出装置を備 え、この異常検出装置からの異常検出信号により 中央処理装置がリスタートされるように構成され たものである。

［作用］ ソフトウェアの正常動作時には、実行予定タス ク記憶回路１０３に保持されている全ての実行予 定タスク識別番号は、ある時間内に少なくとも１ 度は実行される。

したがって第１図［Ａ］の異常検出装置におい ては、比較判定回路１０４によって、入力タスク 記憶回路１０２からタスク実行に際して取り出さ れる現タスク識別番号を実行予定タスク識別番号 と逐次に比較し、その結果、全ての実行予定タス ク識別番号と一致したと判定されたならば、タイ マリセット信号を発生したタイマ１０１に与え る。よってソフトウェアが正常動作していればタ イマ１０１はタイムアップしないので、異常検出 信号は出力されないが、もしソフトウェアに異常 があって現実に実行されない実行予定タスク識別 番号があると、タイマ１０１がリセットされずタ イムアップして異常検出が行われることにな る。

また第１図［Ｂ］の異常検出装置においては、 タスク識別番号が２つの累乗数に選ばれており、し たがってタスク識別番号は２進数表示の複数ビッ トのうちの１ビットのみが“１”となるデータ構 造となる。このタスク識別番号の各ビット対応に セット回路１１３を設け、現に実行される現タス ク識別番号中の“１”のビットでセット回路を セットする。これにより一つの現タスク識別番号 によりそれに対応した１つのセット回路１１３の みがセットされることになり、全てのセット回路 がセットされた時にはソフトウェアが正常動作し たと判定されて、タイマがリセットされる。

更に、上述の異常検出装置の異常検出信号を用 いてデータ処理装置中の中央処理装置をリスター トするようにすれば、ソフトウェアの異常時にお けるシステムのリスタートに大いに役立つ。

［実施例］ 以下、図面を参照して本発明の実施例を説明す る。

本発明の一実施例としてのソフトウェアの異常 検出装置が第２図に示される。１は入力タスク バッファであり、これにはメモリ空間としてのＲ ＡＭ領域の一部が割り当てられており、この入力 タスクバッファ１には、第３図［Ａ］に示される ように、タスク制御タスクによって、タスクの識 別番号（ＩＤ番号）がタスクの実行順に保持さ れ、これらが順次に読み出されるようになってい る。すなわち入力タスクバッファ１の先頭アドレ ス“００００”には現在実行中のソフトウェアの タスク識別番号「０１２３」が保持され、アドレ ス“０００２”には次に動作するソフトウェアの タスク識別番号「２３４５」が、さらにアドレス “０００４”には次の次に動作するソフトウェア のタスク識別番号「４５６７」が、というような 形でタスク識別番号が保持されている。ここで現 在実行中のソフトウェア、すなわちタスク識別番 号「０１２３」のタスクが終了すると、入力タス クバッファ１の先頭アドレス“００００”には、 第３図［Ｂ］に示されるように、次に動作するソ フトウェアのタスク識別番号「２３４５」がスト アされる。このようにこの入力タスクバッファ１ はその先頭アドレス“００００”に常に現在実行 中のソフトウェアのタスク識別番号が保持される ように構成されている。

２はハードウェア回路からなるモニタリング用 のレジスタであり、入力タスクバッファ１の先頭 アドレス“００００”と同一のアドレスを持ち、 入力タスクバッファ１の先頭アドレス“０００ ０”から逐次に読み出される現在動作中のソフト ウェアのタスク識別番号を逐次に保持するように 構成されている。

３〜３▲ｎ▼は比較回路である。これらの比較回 路３〜３▲ｎ▼はレジスタ部をそれぞれ有し、この レジスタ部には、ソフトウェアが正常動作したと 仮定した時にそのソフトウェアに関して実行が予 定されるタスクのタスク識別番号（例えば前述の 「０１２３」、「２３４５」、・・・など：以 下、実行予定タスク識別番号と称する）が予め保 持されており、各比較回路３〜３▲ｎ▼はこの予め 保持された実行予定タスク識別番号とレジスタ２ から入力される現在実行中のタスクの現タスク識 別番号とを比較し、それらが一致した時に一致信 号を発生して、比較回路３〜３▲ｎ▼のそれぞれに 対応して設けられたタイマリセット用レジスタ４ 〜４▲ｎ▼に与える。

タイマリセット用レジスタ４〜４▲ｎ▼はフリッ プフロップで構成されており、対応する比較回路 ３〜３▲ｎ▼からの一致信号でそれぞれセットさ れ、その出力をタイマリセット条件判定用のＮＡ ＮＤ回路５にそれぞれ与える。また各レジスタ４ 〜４▲ｎ▼はこのＮＡＮＤ回路５から出力されるタ イマリセット信号によってリセットされるように 構成される。

６はカウンタからなるタイマ回路であり、８は このタイマ回路６にクロックを供給するクロック 源である。タイマ回路６は設定回路７により設定 された所定のタイマ設定値のカウントをタイム アップすると、異常検出信号を発生して、これを 異常処理回路９に与えるように構成されてい る。

この実施例装置の動作が以下に説明される。

入力タスクバッファ１の先頭番地“００００” からは現在実行中のタスクの現タスク識別番号が 読み出され、これがレジスタ２に保持される。比 較回路３〜３▲ｎ▼はレジスタ２に保持された現在 実行中の現タスク識別番号を、それぞれ自己に保 持する実行予定タスク識別番号と比較する。各比 較回路３〜３▲ｎ▼に保持されている実行予定タス ク識別番号はソフトウェアが正常動作している時 に単位時間内に少なくとも１度は実行が予定され ているタスク識別番号である。したがって所定の 単位時間内に、比較回路３〜３▲ｎ▼に保持された 実行予定タスク識別番号の全てが少なくとも一度 は動作することが予定されており、動作しなかっ た場合にはソフトウェアに異常があると判断する ことができる。

このように各比較回路３〜３▲ｎ▼は入力タスク バッファ１の先頭アドレスでモニタリングしてい る現タスク識別番号を予め保持している実行予定 タスク識別番号と比較し、一致した場合には対応 するタイマリセット用レジスタ４〜４▲ｎ▼（実行 予定タスク識別番号によって割り当てられたビッ トに相当）をＯＮする。この結果、全ての実行予 定タスク識別番号が少なくとも１度実行された時 には、全てのタイマリセット用レジスタ４〜４ ▲ｎ▼はセット状態となり、従ってＮＡＮＤ回路５の タイマリセット判定条件が成立し、ＮＡＮＤ回路 ５からタイマリセット信号がタイマ６に与えられ る。

もし、比較回路３〜３▲ｎ▼のうちの何れかに、 一致が検出されないものがあった場合には、ソフ トウェアに異常があると判断でき、その場合に はタイマリセット用レジスタ４〜４▲ｎ▼のうちに セットされないものが生じて、ＮＡＮＤ回路５に よる判定条件が成立せず、よってＮＡＮＤ回路５ からタイマリセット信号は出力されない。このた め、タイマ回路６はリセットされず、所定のタイ マ設定時間が経過すると、ソフトウェアの異常を 示す異常処理信号が異常処理回路９に出力され、 この異常処理回路９でソフトウェア異常に対する 対策処理シーケンが実行される。

このように上述の実施例では、ソフトウェア実 行レベル（タスク単位レベル）でのハードウェア による異常処理処理が可能となる。

本発明の実施にあたっては種々の変形形態が可 能である。第４図にはかかる変形例としてのソフ トウェアの異常検出装置が示される。前述の実施 例装置では、予め設定された実行予定タスク識別 番号を現在実行中のタスク識別番号と比較するた めに比較回路３〜３▲ｎ▼が必要となるので、ハー ドウェア量が大きなものとなっていた。第４図の 実施例装置はかかる比較回路３〜３▲ｎ▼を不要と することで、ハードウェア量の削減を図ったもの である。

すなわち、この実施例装置が適用されるデータ 処理装置では、タスク識別番号は「０００１」、 「０００２」、「０００４」、・・・「８００ ０」のように２の累乗数からなり、１６ビットで 構成されている。したがって入力タスクバッファ １の先頭アドレス“００００”にラッチされるタ スク識別番号は、第５図に示されるように、その １６ビットのうちの何れか１ビットだけが“１” となるようなデータ構造となっている。

第４図において第２図と同じ参照番号の回路は 同一機能を持った回路である。１０〜１０▲ｎ▼は フリップフロップからなるタイマリセット用レジ スタであり、これらタイマリセット用レジスタ１ ０〜１０▲ｎ▼はレジスタ２から読み出されるタス ク識別番号（１６ビット）の各ビットにそれぞれ 対応して設けられており、タスク識別番号中の対 応する１ビットによりセットされるセット回路を 構成している。

各タイマリセット用レジスタ１０〜１０▲ｎ▼か らの出力信号はＮＡＮＤ回路５に与えられ、ＮＡ ＮＤ回路５はＮＡＮＤ条件によるタイマリセット 判定条件が整うとタイマリセット信号を発生して タイマ回路６に与える。

このように構成すると、入力タスクバッファ１ の先頭アドレスにラッチされたタスク識別番号を 読み出してタスクを実行する度に、そのタスク識 別番号のビットの変化点によって、その実行タス クのタスク識別番号に対応したタイマリセット用 レジスタ１０〜１０▲ｎ▼の一つを順次にセットし ていくことができ、第２図装置における比較回路 ３〜３▲ｎ▼を削減することが可能となる。

第６図には第２図の本発明の実施例装置を備え るデータ装置処理が示される。図中、第２図と同 一の参照番号の回路は同一機能の回路を示す。こ の実施例では、入力タスクバッファ１にはＲＡＭ １１内の一部記憶領域が割り当てられており、こ のＲＡＭ１１はデータバスを介して中央処理装置 （ＣＰＵ）１２とレジスタ２に接続される。また １３はアドレスデコーダであり、ＣＰＵ１２にア ドレスバスを介して接続されており、このアドレ スデコーダ１３はＣＰＵ１２がＲＡＭ１１内の入 力タスクバッファの先頭アドレス“００００”に アクセスした時に、レジスタ２に対してラッチ信 号を与えるように構成されており、それによりＲ ＡＭ１１から読み出したタスク識別番号をレジス タ２に取り込むようになっている。

このデータ処理装置における異常検出装置の動 作は第２図に関して説明したものと同じなので、 詳細は省略するが、かかる装置によれば、ソフト ウェアのタスクレベルで異常の有無を検出でき、 その動作が保証されるようになるものである。

またタイマ回路６からの異常検出信号（タイマ のキャリ−アウトビットが用いられる）はＣＰＵ １２のリセット入力端子に与えられており、ソフ トウェアの異常が検出された時には、ＣＰＵ１２ をリスタートできるようになっており、ソフト ウェアの異常検出時のリスタートに大いに役立つ ものである。

［発明の効果］ 以上に説明したように、本発明によれば、ソフ トウェアのタスクレベルでソフトウェア異常を検 出することができるようになり、ソフトウェアの 異常検出を確実に行えるようになる。

【図面の簡単な説明】

第１図は本発明に係る原理説明図、 第２図は本発明の一実施例としてのソフトウェ アの異常検出装置を示すブロック図、 第３図は実施例装置における入力タスクバッ ファのデータ格納状態を説明する図、 第４図は本発明の変形例としてのソフトウェア の異常検出装置を示すブロック図、 第５図は第４図の実施例装置で用いられるタス ク識別番号のデータ構成を説明する図、およ び、 第６図は第２図実施例装置を適用したデータ処 理の構成を示すブロック図である。 図において、 １…入力タスクバッファ ２…モニタリング用のレジスタ ３〜３▲ｎ▼…比較回路３〜３▲ｎ▼ ４〜４▲ｎ▼…タイマリセット用レジスタ ５…ＮＡＮＤ回路 ６…タイマ回路 ７…設定回路 ８…クロック源 ９…異常処理回路 １０〜１０▲ｎ▼…タイマリセット用レジスタ １１…ＲＡＭ（ランダムアクセスメモリ） １２…ＣＰＵ １３…アドレスデコーダ

Claims (3)

【特許請求の範囲】
1. 【請求項１】 データ処理装置におけるソフトウェアの
   異常 検出装置であって、 所定の設定時間をタイムアップした時に異常検 出信号を出力するタイマ（１０１）と、 エントリされたソフトウェアに関してタスク制 御タスクが逐次実行するタスクのタスク識別番号 を保持する入力タスク記憶回路（１０２）と、 エントリされるソフトウェアに関して正常動作 時に実行が予定される１以上のタスクの実行予定 タスク識別番号を予め保持する実行予定タスク記 憶回路（１０３）と、 該入力タスク記憶回路（１０１）から現に実行 中の現タスク識別番号を逐次に取り出して該実行 予定タスク記憶回路（１０３）に保持された実行 予定タスク識別番号と比較し、該現タスク識別番 号が該全ての実行予定タスク識別番号を一致した ことを判定してタイマリセット信号を発生し該タ イマ（１０１）に与える比較判定回路（１０４） とを備えたソフトウェアの異常検出装置。
2. 【請求項２】 エントリされたソフトウェアに関してタ
   スク 制御タスクが実行するタスクのタスク識別番号が ２の累乗数に選ばれたデータ処理装置におけるソ フトウェアの異常検出装置であって、 所定の設定時間をタイムアップした時に異常検 出信号を出力するタイマ（１１１）と、 エントリされたソフトウェアに関してタスク制 御タスクが逐次実行するタスクのタスク識別番号 を保持する入力タスク記憶回路（１１２）と、 該タスク識別番号の各ビット対応に設けられ、 タスクの実行に際して該入力タスク記憶回路から 逐次取り出される実行タスク識別番号の対応ビッ トによりそれぞれセットされる複数のセット回路 （１１３）と、 該全てのセット回路（１１３）がセットされた 時にタイマリセット信号を発生して該タイマ（１ １１）に与える判定回路（１１４）とを備えたソ フトウェアの異常検出装置。
3. 【請求項３】 請求項１または２記載のソフトウェアの
   異常 検出装置を備え、 該異常検出装置からの異常検出信号により中央 処理装置がリスタートされるように構成された データ処理装置。