JPS63183254A - ２つのプロセッサからなる自動車のコンピュータシステムを監視する装置 - Google Patents

２つのプロセッサからなる自動車のコンピュータシステムを監視する装置

Info

Publication number
JPS63183254A
JPS63183254A JP63002662A JP266288A JPS63183254A JP S63183254 A JPS63183254 A JP S63183254A JP 63002662 A JP63002662 A JP 63002662A JP 266288 A JP266288 A JP 266288A JP S63183254 A JPS63183254 A JP S63183254A
Authority
JP
Japan
Prior art keywords
processor
processors
data
signal
output terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP63002662A
Other languages
English (en)
Other versions
JP2880165B2 (ja
Inventor
ハラルト・ビューレン
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Robert Bosch GmbH
Original Assignee
Robert Bosch GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Robert Bosch GmbH filed Critical Robert Bosch GmbH
Publication of JPS63183254A publication Critical patent/JPS63183254A/ja
Application granted granted Critical
Publication of JP2880165B2 publication Critical patent/JP2880165B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2038—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant with a single idle spare processing component
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/24—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means
    • F02D41/26—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor
    • F02D41/266—Electrical control of supply of combustible mixture or its constituents characterised by the use of digital means using computer, e.g. microprocessor the computer being backed-up or assisted by another circuit, e.g. analogue
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/10—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time using counting means or digital clocks
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F16—ENGINEERING ELEMENTS AND UNITS; GENERAL MEASURES FOR PRODUCING AND MAINTAINING EFFECTIVE FUNCTIONING OF MACHINES OR INSTALLATIONS; THERMAL INSULATION IN GENERAL
    • F16H—GEARING
    • F16H61/00—Control functions within control units of change-speed- or reversing-gearings for conveying rotary motion ; Control of exclusively fluid gearing, friction gearing, gearings with endless flexible members or other particular types of gearing
    • F16H61/12—Detecting malfunction or potential malfunction, e.g. fail safe ; Circumventing or fixing failures
    • F16H2061/122—Avoiding failures by using redundant parts
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F16—ENGINEERING ELEMENTS AND UNITS; GENERAL MEASURES FOR PRODUCING AND MAINTAINING EFFECTIVE FUNCTIONING OF MACHINES OR INSTALLATIONS; THERMAL INSULATION IN GENERAL
    • F16H—GEARING
    • F16H61/00—Control functions within control units of change-speed- or reversing-gearings for conveying rotary motion ; Control of exclusively fluid gearing, friction gearing, gearings with endless flexible members or other particular types of gearing
    • F16H61/12—Detecting malfunction or potential malfunction, e.g. fail safe ; Circumventing or fixing failures
    • F16H2061/1256—Detecting malfunction or potential malfunction, e.g. fail safe ; Circumventing or fixing failures characterised by the parts or units where malfunctioning was assumed or detected
    • F16H2061/126—Detecting malfunction or potential malfunction, e.g. fail safe ; Circumventing or fixing failures characterised by the parts or units where malfunctioning was assumed or detected the failing part is the controller
    • F16H2061/1268—Electric parts of the controller, e.g. a defect solenoid, wiring or microprocessor
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F16—ENGINEERING ELEMENTS AND UNITS; GENERAL MEASURES FOR PRODUCING AND MAINTAINING EFFECTIVE FUNCTIONING OF MACHINES OR INSTALLATIONS; THERMAL INSULATION IN GENERAL
    • F16H—GEARING
    • F16H61/00—Control functions within control units of change-speed- or reversing-gearings for conveying rotary motion ; Control of exclusively fluid gearing, friction gearing, gearings with endless flexible members or other particular types of gearing
    • F16H61/12—Detecting malfunction or potential malfunction, e.g. fail safe ; Circumventing or fixing failures
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/0757—Error or fault detection not based on redundancy by exceeding limits by exceeding a time limit, i.e. time-out, e.g. watchdogs
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2048—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant where the redundant components share neither address space nor persistent storage

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Chemical & Material Sciences (AREA)
  • Combustion & Propulsion (AREA)
  • Mechanical Engineering (AREA)
  • Hardware Redundancy (AREA)
  • Debugging And Monitoring (AREA)
  • Combined Controls Of Internal Combustion Engines (AREA)
  • Multi Processors (AREA)

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 ［産業上の利用分野］ 本発明は２台のプロセッサを有するコンピュータシステ
ムの監視装置に係り、さらに詳しくは２台のプロセッサ
がデータ線及び制御線を介してボートによって互いに接
続されている、特に自動車に用いられる、２台のプロセ
ッサを有するコンピュータシステムの監視装置に関する
ものである。
［従来の技術］ 機能を分担するマルチコンピュータシステムが知られて
おり、障害のない状態を意味する標準駆動においてはメ
インコンピュータによって必要な制御及び調節機能に関
する全コンピュータ出力がまかなわれる。非常用コンピ
ュータ専用に用いられる第２のコンピュータはメインコ
ンピュータが故障した場合に非常機能を果たし、それに
よって少なくとも限定された駆動を維持することができ
る。障害が発生していない場合には、非常用コンピュー
タは一般に使用されないままになる。このようなシステ
ムにおいてはいずれにせよメインコンピュータの監視が
行なわれる。適当な監視装置によって障害あるいは故障
が発見されると、非常用コンピュータがメインコンピュ
ータの仕事の一部あるいは全範囲を肩代わりする。
まだ公開されていないドイツ特許出願Ｐ３５３９４０７
．２においては、内燃機関の特性量を調節する２台のプ
ロセッサを有するコンピュータシステムが記載されてい
る。２台のプロセッサには二重のセンサが設けられてい
て、この二重のセンサの一方からメインコンピュータへ
、他方からは非常用コンピュータへ測定値が供給される
。２台のコンピュータは同じ作業能力を有するように設
定されている。もちろんここで実現される非常機能は主
にセンサ信号を交互に両プロセッサに割り当てることで
あり、ないしは両プロセッサの出力信号をエラー用の出
力段に交互に割り当てることである。関連のプロセッサ
内の監視回路が障害を検知すると、燃料供給量を制御す
る出力段がアンドゲートを介して遮断される。
［発明が解決しようとする課題］ 主機能と非常機能を有する２台の能力の等しいプロセッ
サの監視がどのように行なわれるかについてのそれ以上
の説明は、従来技術では示されていない。特に前記の出
願には、２台が異なる仕事に利用され場合によっては全
く非同期で使用される場合でも複数のプロセッサを互い
に監視させることについては何ら指示が与えられていな
い。
したがって本発明は、２台のプロセッサで作動する燃料
供給量制御製蓋においてできるだけ簡単で強力な安全機
能を設け、しかも特に障害のない状態において両プロセ
ッサがシステム全体の処理能力に関して同じ権利をもっ
てかつ同様に働く場合に、できるだけ簡単で強力な安全
機能を設けることを目的としている。したがって本発明
の目的は、障害が存在しない限りは、２台のプロセッサ
間でデータ交換が行なわれなければならず、かつ行なわ
れるシステムを提供することである。一方のプロセッサ
が故障した場合、あるいはまたデータ伝送にエラーが発
生しただけの場合にシステム全体を機能させることがで
きるようにするためには、発生したエラーを検知するこ
とが必要である。システムを確実に機能させるためには
、エラーを検知した場合にプロセッサはそれぞれ工ラー
の種類に応じて適切に対処しなければならない。
［課題を解決するための手段］ 上記の目的を達成するために本発明によれば、両プロセ
ッサは前記データ線及び制御線を介して周期的にデータ
及び命令を交換するまでは、互いに独立して駆動可能で
あり、それぞれのプロセッサに動的な監視信号を出力す
る専用の第１の出力端子が設けられ、それぞれのプロセ
ッサに静的な監視信号を検知するための専用の第１の入
力端子が設けられ、各プロセッサにソフトウェア信号を
出力するための専用の第２の出力端子が設けられ、各プ
ロセッサのリセット入力端子がそれぞれ関連する論理オ
ア回路の出力端子と接続されており、両オア回路は第１
と第２の入力端子を有しかつ両オア回路の入力端子には
共通に立ち上げるための初期設定パルスが供給され、各
プロセッサの前記第１の出力端子はボンピング回路の入
力端子へ導かれており、ボンピング回路の出力端子はそ
れぞれ他方のプロセッサの前記専用の第１の入力端子へ
導かれており、かつボンピング回路からは前記第１の出
力端子からの動的な監視信号の存在に関係して静的な監
視信号を取り出すことができる、構成が採用されている
。したがって、両プロセッサが同じ権利を持って監視し
合い、この監視が両プロセッサ間で周期的に行なわれる
一連のデータ交換におけるハンド・シェイク駆動の形で
行なわれる。この場合に、たとえば両プロセッサの一方
に作用していた障害が除去された後、あるいは両プロセ
ッサの一方が持続して全面的に故障している場合には、
両プロセッサはそれぞれ互いに起動させ合うことができ
る。
［作　用］ 以上のような構成において、両プロセッサはまた互いに
完全に独立して作動することができ、直接接続すること
あるいは共通のＩ１０バスを利用する必要はなく、さら
に互いに異なるクロック周波数で非同期駆動することが
できる。さらに本発明によれば、エラーが発生したとき
にそのエラーの位置を検出することができるように、２
台のプロセッサが互いに同じ権利をもって監視し合って
いる。したがって本発明装置によればプロセッサが故障
したのかどうか、あるいはプロセッサの周辺のハードウ
ェアにエラーが発生したのかを区別することができる。
このために前述のような両プロセッサ間の周期的なデー
タ交換を監視機能の終了として利用することができる。
［実施例］ 本発明の実施例を図面に示し、以下に詳細に説明する。
図には、データ線及び制御線１フを接続するボート１１
と人出力（Ｉｌｏ）バス１６（一部のみ示されている）
とを有する第１のプロセッサ１０が示されている。同様
に第２のプロセッサ２０にも同じデータ線及び制御線１
フを接続するポート２１とＩ１０バス２６が設けられて
いる。
適当なリード線３３と３４を介して第１のボンピング回
路２７及び第１のアンドゲート２９の第１の入力端子を
制御する２つの出力端子１２．１３がプロセッサ１０に
よって制御される。この場合、出力端子！２から監視信
号、例えばウォッチドッグ（Ｗａｔｃｈ　Ｄｏｇ）信号
が供給され、出力端子１３からはソフトウェア・リセッ
ト信号が供給される。さらにプロセッサ１０には、適当
なリード線３５ないし３６を介して第２のボンピング回
路２８及び第１のオアゲート３２の出力信号によって制
御される２つの入力端子１４と１５が設けられている。
ここで入力端子１４はウォッチ・ドッグ信号を受信する
ものであり、入力端子１５はリセット信号を受信するた
めに設けられている。プロセッサ２０も同様に２つの入
力端子２２と２３を制御し、これら入力端子は適当なリ
ード線３９ないし４０を介して第１のボンピング回路２
７の出力信号ないし第２のオア回路３１の出力信号によ
って制御される。ここで入力端子２２と２３はプロセッ
サｌＯの入力端子１４及び１５と同様にウォッチ・ドッ
グ信号ないしリセット信号の受信に用いられる。プロセ
ッサ１０に対応してプロセッサ２０にも２つの出力端子
２４と２５が設けられており、これらの出力端子はリー
ド線３７ないし３８を介して第２のアンドゲート３ｏの
第１の入力端子ないし第２のボンピング回路２８を作動
させる。第１のボンピング回路２７の出力信号はさらに
第１のアンドゲート２９の第２の入力端子に印加され、
このアンドゲート２９の出力信号はリード線４１を介し
て前記オアゲート３１の第１の入力端子を制御する。同
様に第２のボンピング回路２８の出力信号も第２のアン
ドゲート３゜の第１の入力端子に印加され、このアンド
ゲートの出力信号はリード線４２を介して前記オアゲー
ト３２の第１の入力端子を制御する。システムを作動さ
せたときにオアゲート３１と３２のそれぞれ第２の入力
端子に共通の制御用リード線１８を介して初期設定信号
（パワーオンパルス）を供給することができる。
監視しようとする２つのプロセッサ１ｏと２０は、たと
えば電子燃料供給量制御装置においてマスター・プロセ
ッサとスレイブ・プロセッサとして形成することができ
る。この場合に両プロセッサは非同期で作動し、かつ周
期的なデータ伝達に至るまでは互いに完全に独立して作
動する。互いの監視はそれぞれ信号状態を次のように３
つの並列の信号路で評価することによって行なわれる。
すなわち、プロセッサ２０は３つの信号路すなわちデー
タ線及び制御線１７上での信号の流れとリード線３３上
でのウォッチ・ドッグ信号とリード線３４上でのソフト
ウェア・リセット信号をまとめたものから生じる信号プ
ロトコルを論理的に評価することによってプロセッサ１
０の欠陥を監視し、プロセッサ１０は３つの信号路、す
なわちデータ線及び制御線１７上での信号の流れと、リ
ード線１７上でのウォッチ・ドッグ信号とリード線３８
上でのソフトウェア・リセット信号をまとめたものから
生じる信号プロトコルを論理的に評価することによって
プロセッサ２０の欠陥を監視する。
プロセッサ１０と２０は、固定的なタイム・パターンで
周期的にデータを交換する。このことは、まずプロセッ
サ１０（マスター）がデータ線及び制御線１７を介して
プロセッサ２０（スレイブ）にデータリクエストを行な
い、プロセッサ２０は取り決められた所定のサイクル時
間に基づいてデータリクエストを待機することによって
行なわれる。この観点から予期されるプロセッサ２０か
らプロセッサ１０へのデータ伝達が行なわれない場合に
はそれぞれ該当するプロセッサが、すなわちデータリク
エストに応じてデータ伝達がなされなかった場合にはプ
ロセッサ１０が、他方のプロセッサに欠陥が生じたこと
を、そして所定のサイクルが経過してもプロセッサ１０
からのデータリクエストがなされなかった場合にはプロ
セッサ２０が、他方のプロセッサに欠陥が生じたことを
識別する。したがってデータ線及び制御線１７は、それ
に続いて生じる信号の流れ及びこの信号の流れと基礎に
なっている信号の流れのプロトコルとの比較と共に、因
果関係にある２台のプロセッサを互いに監視させるため
の第１の双方向監視回路を形成する。
プロセッサ１０ないし２０はリード線３３ないし３７を
介して、動的なウォッチ・ドッグ信号（通常は１つのパ
ルス）を、それぞれ他方のプロセッサに向けてボンピン
グ回路２７ないし２８へ出力する。ボンピング回路２７
と２８は所定の最小時間の間に入力パルスがあった場合
に静的な出力信号を発生する装置で年って、したがって
入力にウォッチ・ドッグ信号が印加される限りは正の論
理に基づいてこの種のボンピング回路からは論理的な「
１」が出力される。この静的な出力信号はそれぞれ他方
のプロセッサに読み込まれる（ウォッチ・ドッグ信号の
検知）。したがってリード線３３ないし３７上にウォッ
チ・ドッグ信号がない場合には、プロセッサ２０ないし
１ｏの入力端子２２ないし１４に論理的な論理値「ｏ」
が読み込まれる。ウォッチ・ドッグ信号がないことは、
該当するプロセッサに欠陥が生じていることを示すもの
であって、このようにして一方のプロセッサの欠陥が他
方のプロセッサによって識別される。したがって、両プ
ロセッサのウォッチ・ドッグ信号の状態を評価すること
によって両プロセッサが互いに監視を行なうための第２
の監視回路が形成される。
各プロセッサは、それぞれ他方のプロセッサに障害が発
生した場合にこのプロセッサを再び立ち上げることがで
きる（ソフトウェア・リセット出力）、リード線３４な
いし３８を介してプロセッサ２０ないし１０ヘリセツト
パルスを送るための前提となるのは、プロセッサ２０な
いしＩＯの出力端子２４ないし１２にウォッチ・ドッグ
信号が存在することによフてプロセッサ１０ないし２０
の入力端子１４ないし２２が論理的な「１」を識別する
ことである。欠陥が生じた場合に一方のプロセッサ１０
ないし２０がコントロール外のリセットパルスを他方の
プロセッサ２０ないし１０へ供給することができないよ
うにするために、アンドゲート２９ないし３０がゲート
回路として働き、送出側のプロセッサにウォッチ・ドッ
グ信号が存在する場合にのみそれぞれ他方のプロセッサ
への該当のリセットパルスを通過させる。オアゲート３
１と３２によってシステム全体が作動した場合、すなわ
ち例えば本装置が搭載されている装置が作動された場合
に、両プロセッサを同時にリセットすることができる。
したがって両プロセッサ間でソフトウェア・リセット信
号を交換することによって、両プロセッサが互いに監視
し合うための第３の監視回路が形成される。
障害の場所を特定するための上記の３つの監視回路を接
続するために、次のような試験が互いに組み合わされ、
かつ後述するように行なわれる。
例えばプロセッサ１０が、プロセッサ２０ヘデータを要
求してもデータ伝送が行なわれないことを検知し、ある
いはプロセッサ２０が、所定伝送サイクル時間が経過し
ているのにプロセッサ１０からのデータの要求がないこ
とを検知し、さらに両プロセッサが同時に、それぞれ他
方のプロセッサのウォッチ・ドッグ信号の出力をなお検
知しており、それによって作動していることを検知した
場合には、データ線及び制御線１７の制御線に欠陥があ
ると判定される。これに対してデータ線に欠陥がある場
合には、データ伝送はまだ可能である。データ線の欠陥
は、プロセッサ１０がプロセッサ２０ヘキーワードを送
って、それに誤ったキーワードの返事が帰って来ること
によって検知される。このときにプロセッサ１０はプロ
セッサ２０とそこに存在するウォッチ・ドッグ信号によ
ってデータ交換の伝送プロトコルが機能していることを
検知するが、誤ったキーワードを処理することによって
データ線の欠陥であると判定してデータ伝送を打ち切る
ことができる。プロセッサ２０はプロセッサ１０とそこ
に存在するウォッチ・ドッグ信号によって伝送プロトコ
ルが機能していることを検出して、同時にデータ線の欠
陥であると判定する。
たとえばプロセッサ１０が故障した場合には、プロセッ
サ２０は伝送サイクルの経過後にプロセッサ１０からの
データリクエストにエラーがあり、かつそのウォッチ・
ドッグ信号がないことを検知する。両方の状態を関連し
て識別することによって、プロセッサ２０はプロセッサ
１０の故障を検知する。続いてプロセッサ２０からプロ
セッサ１０へソフトウェア・リセットパルスが退出され
る。プロセッサ１０が再び作動するとすぐに、プロセッ
サ１０はウォッチ・ドッグ信号を出力し、再びプロセッ
サ２０にデータを要求する。プロセッサ１０が作動しな
い場合には、プロセッサ１０からウォッチ・ドッグ信号
が出力されずプロセッサ２０へのデータリクエストもな
されないので、プロセッサ２０はプログラムに基づいて
作動する。これはプロセッサ２０についても同様で逆の
手順で故゛障の検出が行なわれる。
たとえばプロセッサ２０からウォッチ・ドッグ信号が出
されない場合には、プロセッサ１０がそれを検知する。
プロセッサ２０がプロセッサ１０からのデータリクエス
トに正確に応答しない場合には、プロセッサ１０はプロ
セッサ２０がまだ作動していてプロセッサ２０のウォッ
チ・ドッグ信号を出力する出力端子２４に欠陥があると
判定する。プロセッサ１０はこの情報をデータ線１７を
介してプロセッサ２０へ伝達する。逆にプロセッサ１０
のウォッチ・ドッグ信号に欠陥が生じた場合には、これ
をプロセッサ２０が検知して該当する情報をプロセッサ
１０へ伝達する。
したがって本発明に係る装置では、２つのプロセッサは
互いに完全に独立して作動するにもかかわらず完壁に監
視し合うことができる。それぞれ欠陥の種類に応じてプ
ロセッサはプログラムされたフェイル・セーフ・ルーチ
ンに基づいて可変に反応することができる。さらにエラ
ーの箇所の確定が行なわれることによって、このエラー
を除去することができ、たとえば一方のプロセッサにエ
ラーが発生した場合にまだ完全に機能している他方のプ
ロセッサによって前記エラーの発生したプロセッサをリ
セットすることができる。全体として、ソフトウェアの
プログラムでエラーが生じた場合の種々の対処方法が形
成されているので、システム全体の機能領域が著しく拡
大される。この種のエラー識別をさらに、たとえば自動
車の運転者に知らせるのに利用することができるのは当
然である。また、本発明装置をダブル・プロセッサ・シ
ステムに使用して図示の例とは異なり、両プロセッサ間
のデータ交換を２つのボート１１と２１を固定的に連絡
する専用のバス１７を介して行なうのではなく、一般に
検出して測定量を読み込みあるいは処理結果を読み出す
システムバスあるいはシステムバスの一部を介して行な
うことも可能である。
また２台のプロセッサの少なくとも一方を、データ線及
び制御線とは関係のないデータバスと接続するようにす
ることもでき、さらに両プロセッサを互いに異なるクロ
ック周波数で駆動することもできる。
さらにデータ線及び制御線を介して供給されるデータ伝
送キーワードを前記データ線及び制御線上での供給方向
に関係して異なるようにすることもできる。
また障害が存在しない限りにおいて、両プロセッサの一
方をマスタープロセッサとして優先的に駆動し、他方を
スレイブプロセッサとして低い順位で駆動するようにし
、障害が検知された場合には両プロセッサの各々を同じ
能力でほぼ同じ非常機能を遂行させることができる。
［発明の効果コ 以上の説明から明らかなように本発明によれば、２台の
プロセッサを有するコンピュータの監視装置において、
故障が発生しない限りにおいては両プロセッサを同じ優
先順位で駆動することができ、故障が発生した場合には
いずれかのプロセッサが非常機能を遂行し、故障の位置
を特定して、かつ故障が除去された際には他方のプロセ
ッサを再び起動させることのできる優れた監視装置を得
ることができる。
【図面の簡単な説明】
第１図は、本発明に係る２台のプロセッサを有する自動
車のコンピュータシステム監視装置のブロック図である
。 １０．２０・・・プロセッサ １１．２１・・・ボート １２．２４・・・ウォッチ・ドッグ出力端子１３．２５
・・・ソフトウェア・リセット出力端子１４．２２・・
・ウォッチ・ドッグ検知端子１５．２３・・・リセット
端子 ２７．２８・・・ポンピング回路 、−′ど一部へ 代理人　弁理士　加　藤　　卓　： ・−二一一、）

Claims (1)

  1. 【特許請求の範囲】 １）　２台のプロセッサがデータ線及び制御線（１７）
    を介してポートによって互いに接続されている、２つの
    プロセッサを有するコンピュータシステムの監視装置に
    おいて、 イ）両プロセッサ（１０，２０）は前記データ線及び制
    御線を介して周期的にデータ及び命令を交換するまでは
    、互いに独立して駆動可能であり、 ロ）それぞれのプロセッサに動的な監視信 号を出力する専用の第１の出力端子（１２，２４）が設
    けられ、 ハ）それぞれのプロセッサに静的な監視信 号を検知するための専用の第１の入力端子 （１４，２２）が設けられ、 ニ）各プロセッサにソフトウェア信号を出力するための
    専用の第２の出力端子が設けられ、ホ）各プロセッサの
    リセット入力端子 （１５，２３）がそれぞれ関連する論理オア回路（３１
    ，３２）の出力端子と接続されており、両オア回路は第
    １と第２の入力端子を有しかつ両オア回路の入力端子に
    は共通に立ち上げるための初期設定パルスが供給され、 ヘ）各プロセッサの前記第１の出力端子 （１２，２４）はポンピング回路（２７， ２８）の入力端子へ導かれており、ポンピング回路の出
    力端子はそれぞれ他方のプロセッサの前記専用の第１の
    入力端子（１４，２２）へ導かれており、かつポンピン
    グ回路からは前記第１の出力端子（１２，２４）からの
    動的な監視信号の存在に関係して静的な監視信号を取り
    出すことができる、 ことを特徴とする２つのプロセッサを有するコンピュー
    タシステムの監視装置。 ２）　２台のプロセッサの少なくとも一方が、前記デー
    タ線及び制御線とは関係のないデータバスと接続されて
    いる特許請求の範囲第１項に記載の装置。 ３）　両プロセッサが互いに異なるクロック周波数で駆
    動されている特許請求の範囲第１項に記載の装置。 ４）　前記データ線及び制御線を介して供給されるデー
    タ伝送キーワードが前記データ線及び制御線上での供給
    方向に関係して異なっている特許請求の範囲第４項に記
    載の装置。 ５）　障害が存在しない限りにおいて、両プロセッサの
    一方をマスタープロセッサとして優先的に駆動し、他方
    をスレイブプロセッサとして低い順位で駆動することが
    でき、障害が検知された場合には両プロセッサの各々が
    同じ能力でほぼ同じ非常機能を遂行する特許請求の範囲
    第１項に記載の装置。
JP63002662A 1987-01-15 1988-01-11 ２つのプロセッサからなる自動車のコンピュータシステムを監視する装置 Expired - Fee Related JP2880165B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE3700986.9 1987-01-15
DE3700986A DE3700986C2 (de) 1987-01-15 1987-01-15 Einrichtung zur Überwachung eines Rechnersystems mit zwei Prozessoren in einem Kraftfahrzeug

Publications (2)

Publication Number Publication Date
JPS63183254A true JPS63183254A (ja) 1988-07-28
JP2880165B2 JP2880165B2 (ja) 1999-04-05

Family

ID=6318863

Family Applications (1)

Application Number Title Priority Date Filing Date
JP63002662A Expired - Fee Related JP2880165B2 (ja) 1987-01-15 1988-01-11 ２つのプロセッサからなる自動車のコンピュータシステムを監視する装置

Country Status (3)

Country Link
US (1) US4881227A (ja)
JP (1) JP2880165B2 (ja)
DE (1) DE3700986C2 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2258058A (en) * 1991-07-04 1993-01-27 Fuji Heavy Ind Ltd A control method for a vehicle
JPH0571410A (ja) * 1991-09-09 1993-03-23 Honda Motor Co Ltd 車両用電子制御装置
DE19650104A1 (de) * 1995-12-04 1997-06-05 Toyota Motor Co Ltd Elektronische Steuervorrichtung für ein Kraftfahrzeug
JP2006521968A (ja) * 2003-04-01 2006-09-28 イートン オートモティブ ベスローテン フエンノートシャップ サイドミラーユニットと作動部

Families Citing this family (43)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0814797B2 (ja) * 1988-11-14 1996-02-14 日本電気株式会社 二重化処理装置におけるチェック方法
JP2768791B2 (ja) * 1990-03-09 1998-06-25 三菱自動車工業株式会社 車載用電子制御装置
DE4112334A1 (de) * 1991-04-16 1992-10-22 Bosch Gmbh Robert Mehrrechnersystem in einem kraftfahrzeug
DE4113959A1 (de) * 1991-04-29 1992-11-05 Kloeckner Humboldt Deutz Ag Ueberwachungseinrichtung
DE4114999C2 (de) * 1991-05-08 2001-04-26 Bosch Gmbh Robert System zur Steuerung eines Kraftfahrzeuges
DE4115662C2 (de) * 1991-05-14 2000-09-14 Bosch Gmbh Robert Mehrrechnersystem in einem Kraftfahrzeug
DE4117393A1 (de) * 1991-05-28 1992-12-03 Kloeckner Humboldt Deutz Ag Einrichtung zur steuerung der kraftstoffeinspritzung einer brennkraftmaschine
JPH05128080A (ja) * 1991-10-14 1993-05-25 Mitsubishi Electric Corp 情報処理装置
JPH05225159A (ja) * 1992-02-10 1993-09-03 Fujitsu Ltd 制御情報のバックアップ方式
JPH064353A (ja) * 1992-06-17 1994-01-14 Sumitomo Electric Ind Ltd 複数のマイクロコンピュータの相互監視回路
US5654888A (en) * 1992-06-20 1997-08-05 Robert Bosch Gmbh Control arrangement for vehicles
DE4241319A1 (de) * 1992-12-09 1994-06-16 Ant Nachrichtentech Rechnersystem
DE4302483C2 (de) * 1993-01-29 2002-07-11 Bosch Gmbh Robert Verfahren und Vorrichtung zur Steuerung einer Brennkraftmaschine
JP2880364B2 (ja) * 1993-02-25 1999-04-05 株式会社日立製作所 自動車用エンジン制御装置
KR950008089B1 (ko) * 1993-07-21 1995-07-25 대우전자 주식회사 마이컴의 프로그램 폭주 처리방법 및 장치
DE4327455A1 (de) * 1993-08-16 1995-02-23 Hella Kg Hueck & Co System zur Ansteuerung eines Stellgliedes zur Einstellung der Luftzufuhr eines Kraftfahrzeugmotors
DE4432237A1 (de) * 1994-06-08 1995-12-14 Orenstein & Koppel Ag Steuerung für mobile Arbeitsmaschinen
WO1995034026A1 (de) * 1994-06-08 1995-12-14 O & K Orenstein & Koppel Ag Steuerung für mobile arbeitsmaschinen
DE19541734C2 (de) * 1995-11-09 1997-08-14 Bosch Gmbh Robert Schaltungsanordnung zur Durchführung eines Reset
DE19605606B4 (de) * 1996-02-15 2005-01-27 Robert Bosch Gmbh Einrichtung zum Rücksetzen eines Rechenelements
US6181929B1 (en) * 1996-05-20 2001-01-30 Motorola, Inc. Method for switching cell site controllers
DE19640432C2 (de) * 1996-09-30 2002-09-26 Siemens Ag Verfahren zum Überwachen einer Brennkraftmaschine
US6182171B1 (en) * 1997-06-06 2001-01-30 Nissan Motor Co., Ltd. Information communication system and method applicable to in-vehicle networking architecture
DE19749068B4 (de) * 1997-11-06 2005-03-10 Bosch Gmbh Robert Verfahren und Vorrichtung zur Überwachung eines Rechnersystems bestehend aus wenigstens zwei Prozessoren
JPH11341020A (ja) * 1998-05-22 1999-12-10 Yazaki Corp 多重通信システム
US6327675B1 (en) * 1998-07-31 2001-12-04 Nortel Networks Limited Fault tolerant system and method
DE19840484A1 (de) * 1998-09-04 2000-03-09 Bosch Gmbh Robert Fahrzeugrechneranordnung
DE19851438A1 (de) 1998-11-09 2000-05-11 Volkswagen Ag Rechnersystem für ein Kraftfahrzeug
JP3939961B2 (ja) * 2001-10-31 2007-07-04 株式会社デンソー 車両用電子制御装置
US7117390B1 (en) * 2002-05-20 2006-10-03 Sandia Corporation Practical, redundant, failure-tolerant, self-reconfiguring embedded system architecture
DE10252990B3 (de) 2002-11-14 2004-04-15 Siemens Ag Steuereinheit zur Auslösung eines Insassenschutzmittels in einem Kraftfahrzeug und Verfahren zur Überwachung der ordnungsgemäßen Funktion einer vorzugsweise solchen Steuereinheit
US8364829B2 (en) * 2004-09-24 2013-01-29 Hewlett-Packard Development Company, L.P. System and method for ascribing resource consumption to activity in a causal path of a node of a distributed computing system
DE102004058288A1 (de) * 2004-12-02 2006-06-08 Robert Bosch Gmbh Vorrichtung und Verfahren zur Behebung von Fehlern bei einem Prozessor mit zwei Ausführungseinheiten
US7424641B2 (en) * 2005-04-06 2008-09-09 Delphi Technologies, Inc. Control system and method for validating operation of the control system
US20070005203A1 (en) * 2005-06-30 2007-01-04 Padma Sundaram Vehicle diagnostic system and method for monitoring vehicle controllers
US20070050687A1 (en) * 2005-08-16 2007-03-01 Disser Robert J Watchdog monitoring circuit and method for controlling energization of the load using the watchdog monitoring circuit
FI123738B (fi) * 2006-08-09 2013-10-15 Sandvik Mining & Constr Oy Kallionporauslaite ja menetelmä kallionporauslaitteen ohjaamiseksi
US7917812B2 (en) * 2006-09-30 2011-03-29 Codman Neuro Sciences Sárl Resetting of multiple processors in an electronic device
DE102008045314A1 (de) * 2008-09-02 2010-03-04 Endress + Hauser Conducta Gesellschaft für Mess- und Regeltechnik mbH + Co. KG Verfahren zum Betreiben eines Gerätes der Prozessautomatisierungstechnik
US9623817B2 (en) * 2010-02-12 2017-04-18 GM Global Technology Operations LLC Method and system for controlling electrical systems of vehicles
DE102011088764A1 (de) * 2011-12-15 2013-06-20 Robert Bosch Gmbh Verfahren zum Betreiben eines Steuergeräts
DE102012224103A1 (de) * 2012-12-20 2014-06-26 Continental Teves Ag & Co. Ohg Vorrichtung zum Ausgeben eines eine physikalische Messgröße anzeigenden Messsignals
KR102450296B1 (ko) 2017-12-26 2022-10-04 삼성전자주식회사 동기식 및 비동기식 혼합 방식의 디지털 인터페이스를 포함하는 장치, 이를 포함하는 디지털 처리 시스템, 및 이들에 의해 수행되는 디지털 처리 방법

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS55116150A (en) * 1979-02-28 1980-09-06 Nec Corp Fault detection system for processor
JPS59170951A (ja) * 1983-03-17 1984-09-27 Toshiba Corp 電子機器
JPS60118941A (ja) * 1983-11-30 1985-06-26 Nec Home Electronics Ltd 暴走制御回路
JPS60144842A (ja) * 1984-01-07 1985-07-31 Fujitsu Ltd 他系中央処理装置の異常判定方式
JPS61117631A (ja) * 1984-11-14 1986-06-05 Fujitsu Ten Ltd マイクロ・コンピユ−タの出力信号制御装置

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US3898621A (en) * 1973-04-06 1975-08-05 Gte Automatic Electric Lab Inc Data processor system diagnostic arrangement
DE2701924C3 (de) * 1977-01-19 1987-07-30 Standard Elektrik Lorenz Ag, 7000 Stuttgart Steuereinrichtung für spurgebundene Fahrzeuge
US4245315A (en) * 1978-02-27 1981-01-13 The Bendix Corporation Ignition limp home circuit for electronic engine control systems
US4200226A (en) * 1978-07-12 1980-04-29 Euteco S.P.A. Parallel multiprocessing system for an industrial plant
US4270168A (en) * 1978-08-31 1981-05-26 United Technologies Corporation Selective disablement in fail-operational, fail-safe multi-computer control system
DE3003291C2 (de) * 1980-01-30 1983-02-24 Siemens AG, 1000 Berlin und 8000 München Zweikanalige Datenverarbeitungsanordnung für Eisenbahnsicherungszwecke
US4351023A (en) * 1980-04-11 1982-09-21 The Foxboro Company Process control system with improved system security features
US4371754A (en) * 1980-11-19 1983-02-01 Rockwell International Corporation Automatic fault recovery system for a multiple processor telecommunications switching control
US4521871A (en) * 1982-04-12 1985-06-04 Allen-Bradley Company Programmable controller with back-up capability
US4610013A (en) * 1983-11-08 1986-09-02 Avco Corporation Remote multiplexer terminal with redundant central processor units
DE3539407A1 (de) * 1985-11-07 1987-05-14 Bosch Gmbh Robert Rechnersystem mit zwei prozessoren

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS55116150A (en) * 1979-02-28 1980-09-06 Nec Corp Fault detection system for processor
JPS59170951A (ja) * 1983-03-17 1984-09-27 Toshiba Corp 電子機器
JPS60118941A (ja) * 1983-11-30 1985-06-26 Nec Home Electronics Ltd 暴走制御回路
JPS60144842A (ja) * 1984-01-07 1985-07-31 Fujitsu Ltd 他系中央処理装置の異常判定方式
JPS61117631A (ja) * 1984-11-14 1986-06-05 Fujitsu Ten Ltd マイクロ・コンピユ−タの出力信号制御装置

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2258058A (en) * 1991-07-04 1993-01-27 Fuji Heavy Ind Ltd A control method for a vehicle
DE4221815A1 (de) * 1991-07-04 1993-02-11 Fuji Heavy Ind Ltd Steuerungsverfahren fuer ein fahrzeug
GB2258058B (en) * 1991-07-04 1995-06-14 Fuji Heavy Ind Ltd A control method for a vehicle
JPH0571410A (ja) * 1991-09-09 1993-03-23 Honda Motor Co Ltd 車両用電子制御装置
DE19650104A1 (de) * 1995-12-04 1997-06-05 Toyota Motor Co Ltd Elektronische Steuervorrichtung für ein Kraftfahrzeug
DE19650104B4 (de) * 1995-12-04 2004-01-22 Toyota Jidosha K.K., Toyota Elektronische Steuervorrichtung für ein Kraftfahrzeug
JP2006521968A (ja) * 2003-04-01 2006-09-28 イートン オートモティブ ベスローテン フエンノートシャップ サイドミラーユニットと作動部

Also Published As

Publication number Publication date
JP2880165B2 (ja) 1999-04-05
US4881227A (en) 1989-11-14
DE3700986A1 (de) 1988-07-28
DE3700986C2 (de) 1995-04-20

Similar Documents

Publication Publication Date Title
JPS63183254A (ja) ２つのプロセッサからなる自動車のコンピュータシステムを監視する装置
JP3255693B2 (ja) 自動車のマルチコンピュータシステム
JP3358412B2 (ja) 車両用電子制御装置
JPH0792765B2 (ja) 入／出力コントローラ
US6351823B1 (en) Method and device for monitoring a computer system having at least two processors
CN100422951C (zh) 车辆中控制工作进程的方法和装置
KR20160128593A (ko) 중속 디젤 엔진의 이중화 제어 시스템 및 그 방법
US4884204A (en) Microcomputer system for regulating internal combustion vehicular engines
CN117707119A (zh) 基于自动驾驶域控制器的故障监测系统及方法
JP2768693B2 (ja) ２台のプロセッサを有するコンピュータシステムを監視する装置
US5140593A (en) Method of checking test program in duplex processing apparatus
JPS6235917A (ja) 車両用電子制御装置
JP2500217Y2 (ja) Ｉ／ｏカ―ド異常検出システム
US7016995B1 (en) Systems and methods for preventing disruption of one or more system buses
JP2998804B2 (ja) マルチマイクロプロセッサシステム
JP2003106211A (ja) 自動車用内燃機関制御装置
JPH0726762Y2 (ja) バス不一致発生回路
JPH11143783A (ja) コンピュータシステムの二重化メモリ診断方法
JPH06348613A (ja) チャネルボードの自己診断方式
CN119938372A (zh) 基于芯粒架构的车规芯片安全管理方法、系统和车辆
JP2946541B2 (ja) 二重化制御システム
JPH10187355A (ja) ディスク制御システム
JPH02173852A (ja) バス診断装置
JPH0544570A (ja) エンジン制御装置の暴走監視装置
JP2005250524A (ja) コンピュータシステム

Legal Events

Date Code Title Description
LAPS Cancellation because of no payment of annual fees