DE112010005400T5

DE112010005400T5 - System für gegenseitige Überwachung von Mikrocomputern und ein Verfahren für gegenseitige Überwachung von Mikrocomputern

Info

Publication number: DE112010005400T5
Application number: DE112010005400T
Authority: DE
Inventors: Masaaki Murao
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2010-03-18
Filing date: 2010-03-18
Publication date: 2013-04-18
Also published as: JP5163807B2; CN102782655A; WO2011114493A1; CN102782655B; JPWO2011114493A1; US20110246820A1; US8495433B2

Abstract

Die vorliegende Erfindung bezieht sich auf ein System für gegenseitige Überwachung von Mikrocomputern, in dem gegenseitige Überwachung zwischen einem ersten Mikrocomputer 11 und einem zweiten Mikrocomputer 12 durchgeführt wird, dadurch gekennzeichnet, dass, wenn ein Rücksetzen des zweiten Mikrocomputers aufgrund eines Auftretens eines abnormalen Ereignisses in dem zweiten Mikrocomputer durchgeführt wird, das Überwachen des ersten Mikrocomputers durch eine alternative Überwachungsfunktion 142 durchgeführt wird, die in dem ersten Mikrocomputer beinhaltet ist, anstatt des Überwachens des ersten Mikrocomputers durch eine Überwachungsfunktion des zweiten Mikrocomputers während des Rücksetzens. Mit dieser Anordnung kann das System für gegenseitige Überwachung von Mikrocomputern, das verringerter Marktfähigkeit vorbeugen kann, während es Systemverlässlichkeit beibehält, erlangt werden.

Description

TECHNISCHES GEBIET
Die vorliegende Erfindung bezieht sich auf ein System für gegenseitige Überwachung von Mikrocomputern, in dem gegenseitige Überwachung zwischen einem ersten Mikrocomputer und einem zweiten Mikrocomputer durchgeführt wird, ein Verfahren für gegenseitige Überwachung von Mikrocomputern usw.
STAND DER TECHNIK
JP 07-64930 A offenbart ein Verfahren für gegenseitige Überwachung von Mikrocomputern in einem CPU-Datensicherungssystem (Backupsystem), in dem zwei CPUs als eine Haupt-CPU und eine Datensicherungs-CPU verwendet werden, um sich gegenseitig zu ergänzen. Gemäß diesem Verfahren für gegenseitige Überwachung von Mikrocomputern beginnt die Datensicherungs-CPU ausgehend von der Verarbeitung der Aufgabe (task), die in Bearbeitung ist, zu operieren, wenn die Haupt-CPU aufgrund eines Fehlers der Haupt-CPU während der Verarbeitung in einen Nichtbetriebszustand übergeht.
Des Weiteren offenbart JP Patent 4003420 eine Verarbeitungsvorrichtung, die konfiguriert ist, um einen Hauptmikrocomputer und einen Sub-Mikrocomputer durch Stoppen eines Betriebstaktsignals rückzusetzen, wenn der Sub-Mikrocomputer nicht jede Steuererarbeitung einer Berechnungsüberwachungsverarbeitung innerhalb einer entsprechenden Verarbeitungszeit ausführen kann.
In einem System, das zwei Mikrocomputer beinhaltet (hier als ein Hauptmikrocomputer und ein Sub-Mikrocomputer bezeichnet) überwachen sich diese gegenseitig, und wenn ein Mikrocomputer ein abnormales Ereignis des anderen Mikrocomputers erfasst, setzt er den anderen Mikrocomputer zurück, um einen Versuch zum Wiederherstellen von diesem durchzuführen.
Im Allgemeinen wird der Hauptmikrocomputer außer der Überwachung durch den Sub-Mikrocomputer einer Betriebstaktüberprüfung durch einen Überwachungsschaltkreis wie beispielsweise einer Betriebstaktüberprüfung, einer Kommunikationsüberprüfung oder einer ALU-Berechnungsüberprüfung unterworfen; da jedoch ein Erfordernis für den Überwachungsschaltkreis zum Implementieren der ALU-Berechnungsüberprüfung usw. zu kompliziert ist, werden die ALU-Berechnungsüberprüfung usw. nicht während des Rücksetzens des Sub-Mikrocomputers durchgeführt.
Insbesondere ist in vergangenen Jahren der Grad funktionaler Integration von ECUS mit dem Ziel der Kostenreduzierung ansteigend, und es gibt einen Fall, in dem das Rücksetzen des Sub-Mikrocomputers erwünscht ist, wenn Steuersoftware, die in dem Sub-Mikrocomputer installiert ist, ein Fehlerereignis erfasst. Zu diesem Zeitpunkt ist es, sogar wenn eine zu erfüllende Bedingung zum Rücksetzen des Mikrocomputers sich für die entsprechenden installierten Systeme unterscheidet, notwendig, den Sub-Mikrocomputer als ein Ganzes rückzusetzen, wenn irgendein installiertes System rückgesetzt werden muss, da es aufgrund einer Mikrocomputerkonfiguration nicht möglich ist, nur einen Teil des Sub-Mikrocomputers rückzusetzen.
Bei einer Konfiguration, in der die Verarbeitung des Hauptmikrocomputers ungeachtet dessen, dass sie nicht in der Lage ist, den Hauptmikrocomputer während des Rücksetzens des Sub-Mikrocomputers zu überwachen, fortfährt, gibt es ein Problem, dass Systemverlässigkeit reduziert ist.
Andererseits kann eine Konfiguration vorgesehen sein, in der die Verarbeitung des Hauptmikrocomputers während des Rücksetzens des Sub-Mikrocomputers unter Berücksichtigung, dass es nicht möglich ist, den Hauptmikrocomputer zu überwachen, aufhört. Jedoch besteht bei einer derartigen Konfiguration, da der Hauptmikrocomputer ungeachtet dessen, ob der Hauptmikrocomputer abnormal oder normal ist, zurückgesetzt wird, ein Problem schlechterer Marktfähigkeit.
ZUSAMMENFASSUNG DER ERFINDUNG
Daher ist es eine Aufgabe der vorliegenden Erfindung, ein System für gegenseitige Überwachung von Mikrocomputern und ein Verfahren für gegenseitige Überwachung von Mikrocomputern usw. zur Verfügung zu stellen, das verringerte Marktfähigkeit vermeiden kann, während Systemverlässlichkeit aufrechterhalten wird.
Um die vorstehend erwähnten Probleme zu lösen, wird ein System für gegenseitige Überwachung von Mikrocomputern bereitgestellt, in dem gegenseitige Überwachung zwischen einem ersten Mikrocomputer und einem zweiten Mikrocomputer durchgeführt wird, in dem, wenn ein Rücksetzen des zweiten Mikrocomputers aufgrund eines Auftretens eines abnormalen Ereignisses in dem zweiten Mikrocomputer durchgeführt wird, das Überwachen des ersten Mikrocomputers durch eine alternative Überwachungsfunktion, die in dem ersten Mikrocomputer eingebunden ist, anstatt des Überwachens des ersten Mikrocomputers durch eine Überwachungsfunktion des zweiten Mikrocomputers während des Rücksetzens durchgeführt wird.
Gemäß einem weiteren Aspekt der vorliegenden Erfindung wird ein Mikrocomputer bereitgestellt, der durch einen zweiten Mikrocomputer überwacht wird, in dem
der Mikrocomputer eine alternative Überwachungsfunktion beinhaltet,
wenn ein Rücksetzen des zweiten Mikrocomputers durchgeführt wird, die alternative Überwachungsfunktion konfiguriert ist, um darüber unterrichtet zu werden, und
die alternative Überwachungsfunktion konfiguriert ist, um die Überwachung des Mikrocomputers, wenn sie die Unterrichtung empfängt, durchzuführen.
Gemäß noch einem weiteren Aspekt der vorliegenden Erfindung wird ein Verfahren für gegenseitige Überwachung von Mikrocomputern bereitgestellt, in dem gegenseitige Überwachung zwischen einem ersten Mikrocomputer und einem zweiten Mikrocomputer durchgeführt wird, umfassend:
einen Schritt zum Erfassen eines abnormalen Ereignisses;
einen Rücksetzschritt zum Durchführen eines Rücksetzers des zweite Mikrocomputers, wenn das abnormale Ereignis des zweiten Mikrocomputers erfasst wird; und
einen Schritt zum Durchführen von Überwachung des ersten Mikrocomputers durch eine alternative Überwachungsfunktion, die in dem ersten Mikrocomputer beinhaltet ist, anstatt des Überwachens des ersten Mikrocomputers durch eine Überwachungsfunktion des zweiten Mikrocomputers während des Rücksetzschritts.
Gemäß der vorliegenden Erfindung können ein System für gegenseitige Überwachung von Mikrocomputern und ein Verfahren für gegenseitige Überwachung von Mikrocomputern, die verminderte Marktfähigkeit vermeiden können, während sie Systemverlässlichkeit aufrechterhalten, erlangt werden.
KURZBESCHREIBUNG DER ZEICHNUNGEN
1 ist ein Diagramm zum Darstellen eines Hauptbereichs einer Hardwarekonfiguration eines Systems 10 für gegenseitige Überwachung von Mikrocomputern gemäß einer Ausführungsform der vorliegenden Erfindung;
2 ist ein Diagramm zum Darstellen einer Hauptfunktion (eine Softwarekonfiguration) des Systems 10 für gegenseitige Überwachung von Mikrocomputern; und
3 ist ein Ablaufdiagramm eines Verfahrens für gegenseitige Überwachung von Mikrocomputern, das durch das System 10 für gegenseitige Überwachung von Mikrocomputern gemäß der vorliegenden Ausführungsform ausgeführt wird.
Bezugszeichenliste

10: System für gegenseitige Überwachung von Mikrocomputern
11: Hauptmikrocomputer
12: Sub-Mikrocomputer
13: Überwachungsschaltkreis
14: Haupt-CPU
14a: ALU in Hauptmikrocomputer
15: ROM in Hauptmikrocomputer
16: RAM in Hauptmikrocomputer
17: Sub-CPU
18: ROM in Sub-Mikrocomputer
19: RAM in Sub-Mikrocomputer
141: ALU-Berechnungsfunktion in Hauptmikrocomputer
142: alternative Überwachungsfunktion in Hauptmikrocomputer
143: Berechnungsüberwachungsfunktion in Hauptmikrocomputer
144: Abnormalitätsbestimmungsausfallsicherungsfunktion in Hauptmikrocomputer
145: Rücksetzfunktion in Hauptmikrocomputer
146: zusätzliche Überwachungsfunktion in Hauptmikrocomputer
171: ALU-Berechnungsfunktion in Sub-Mikrocomputer
173: Berechnungsüberwachungsfunktion in Sub-Mikrocomputer
174: Abnormalitätsbestimmungsausfallsicherungsfunktion in Sub-Mikrocomputer
175: Rücksetzfunktion in Sub-Mikrocomputer
176: zusätzliche Überwachungsfunktion in Sub-Mikrocomputer

BEVORZUGTE AUSFÜHRUNGSFORM DER ERFINDUNG
Nachfolgend wird die bevorzugte Ausführungsform der vorliegenden Erfindung mit Bezug auf die Zeichnungen im Detail beschrieben.
1 ist ein Diagramm zum schematischen Darstellen eines Hauptbereichs einer Hardwarekonfiguration eines Systems 10 für gegenseitige Überwachung von Mikrocomputern gemäß einer Ausführungsform der vorliegenden Erfindung.
Das System 10 für gegenseitige Überwachung von Mikrocomputern beinhaltet einen Hauptmikrocomputer 11, einen Sub-Mikrocomputer 12 und einen Überwachungsschaltkreis 13. Es zu beachten, dass der Hauptmikrocomputer 11 und der Sub-Mikrocomputer 12 Einchipmikrocomputer sein können. Der Überwachungsschaltkreis 13 kann durch einen IC (ein Energieversorgungs-IC, der beispielsweise einen Watchdog-Timer bzw. Überwachungszeitgeber beinhaltet) etc. konfiguriert sein.
Der Hauptmikrocomputer 11 wird zur Verfügung gestellt, um Fahrzeugsteuerungen durchzuführen, und beinhaltet eine Haupt-CPU 14, einen ROM 15, einen RAM 16 usw. Der Hauptmikrocomputer 11 führt wiederholt eine Hauptsteuerungsroutine zum Durchführen von Fahrzeugsteuerungen zu jedem vorbestimmten Prozesszyklus (beispielsweise 500 μs) unter Verwendung einer Zeitgeberunterbrechung (timer interrupt) durch. Die Fahrzeugsteuerung kann beliebig sein und kann beispielsweise, wenn das Fahrzeug ein Hybridfahrzeug ist, eine Steuerung eines Hybridsystems sein.
Der Sub-Mikrocomputer 12 wird zur Verfügung gestellt, um zu Überwachen, ob Berechnungsverarbeitungen, die der Hauptmikrocomputer 11 ausführt, in den entsprechenden Steuerverarbeitungen der Hauptsteuerroutine normal ausgeführt werden. Der Sub-Mikrocomputer 12 beinhaltet eine Sub-CPU 17, deren Verarbeitungsfähigkeit niedriger ist als die des Hauptmikrocomputers 11, einen ROM 18, einen RAM 19 usw. Der Sub-Mikrocomputer 12 kann wiederholt nur eine Berechnungsüberwachungsroutine zum Überwachen der Berechnungsinhalte des Hauptmikrocomputers 11 in jedem vorbestimmten Verarbeitungszyklus (beispielsweise 5 ms), der länger ist als der Verarbeitungszyklus der Hauptsteuerroutine, ausführen. Jedoch kann der Sub-Mikrocomputer 12 zusätzlich zur Überwachungsfunktion für den Hauptmikrocomputer 11 eine weitere Funktion wie beispielsweise eine Fahrzeugsteuerfunktion implementieren.
2 ist ein Diagramm zum Darstellen einer Hauptfunktion (einer Softwarekonfiguration) des Systems 10 für gegenseitige Überwachung von Mikrocomputern. In 2 sind primäre Informations-/Signalausgaben, die zwischen dem Hauptmikrocomputer 11 und dem Sub-Mikrocomputer 12 ausgetauscht werden, und primäre Signalausgaben zwischen dem Hauptmikrocomputer 11 und dem Überwachungsschaltkreis 13 ebenso dargestellt.
Der Hauptmikrocomputer 11 beinhaltet eine ALU-Berechnungsfunktion 141, eine alternative Überwachungsfunktion 142, eine Berechnungsüberwachungsfunktion 143, eine Abnormalitätsbestimmungsausfallsicherungsfunktion 144, eine Rücksetzfunktion 145 und eine zusätzliche Überwachungsfunktion 146. Diese unterschiedlichen Funktionen können implementiert sein, wenn die Haupt-CPU 14 des Hauptmikrocomputers 11 verschiedene Teile von Software ausführt, die in dem ROM 15 des Hauptmikrocomputers 11 gespeichert ist.
Der Sub-Mikrocomputer 12 beinhaltet eine ALU-Berechnungsfunktion 171, eine Berechnungsüberwachungsfunktion 173, eine Abnormalitätsbestimmungsausfallsicherungsfunktion 174, eine Rücksetzfunktion 175 und eine zusätzliche Überwachungsfunktion 176. Diese unterschiedlichen Funktionen können implementiert sein, wenn die Sub-CPU 17 des Sub-Mikrocomputers 12 verschiedene Teile von Software, die in dem ROM 18 des Sub-Mikrocomputers 12 gespeichert ist, ausführt.
Das System 10 für gegenseitige Überwachung von Mikrocomputern beinhaltet die folgenden zwei Funktionen als hauptcharakterisierende Funktionen.

(1) Es unterrichtet die alternative Überwachungsfunktion 142 über einen Rücksetzstatus des Sub-Mikrocomputers 12.
(2) Die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 überwacht den Hauptmikrocomputer 11, bis der Sub-Mikrocomputer 12 nach dem Rücksetzen des Sub-Mikrocomputers 12 wiederhergestellt ist.

In dem in 2 dargestellten Beispiel wird die folgende konkrete Konstruktion zum Implementieren der vorstehend erläuterten Funktion (1) bereitgestellt. Die zusätzliche Überwachungsfunktion 176 setzt den Sub-Mikrocomputer 12 zurück, wenn sie einen abnormalen Zustand des Sub-Mikrocomputers 12 erfasst. Zu diesem Zeitpunkt stellt die zusätzliche Überwachungsfunktion 176 der alternativen Überwachungsfunktion 142 des Hauptmikrocomputers 11 eine Unterrichtung über das Rücksetzen des Sub-Mikrocomputers 12 bereit, bevor das Rücksetzen durchgeführt wird (vgl. einen Pfeil Y1 in 2). Ferner setzt die Rücksetzfunktion 145, wenn die Berechnungsüberwachungsfunktion 143 des Hauptmikrocomputers 11 usw. abnormale Ereignisse des Sub-Mikrocomputers 12 (abnormale Ereignisse von Betriebstakten, Kommunikation und ALU-Berechnungen) erfasst, den Sub-Mikrocomputer 12 mittels der Abnormalitätsbestimmungsausfallsicherungsfunktion 144 des Hauptmikrocomputers 11 zurück. Zu diesem Zeitpunkt versorgt die Abnormalitätsbestimmungsausfallsicherungsfunktion 144 des Hauptmikrocomputers 11 die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 mit einer Unterrichtung darüber, dass sie das Rücksetzen des Sub-Mikrocomputers 12 durchführen wird (vgl. einen Pfeil Y2 in 2).
in dem in 2 dargestellten Beispiel wird die folgende konkrete Konstruktion zum Implementieren der vorstehend erläuterten Funktion (2) bereitgestellt. Sobald die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 die Unterrichtung über das Rücksetzen von der zusätzlichen Überwachungsfunktion 176 des Sub-Mikrocomputers 12 oder gespeicherte Information über das Rücksetzen des Sub-Mikrocomputers 12 von der Software in dem Hauptmikrocomputer 11 empfängt, implementiert die alternative Überwachungsfunktion 142 die Überwachungsfunktion des Hauptmikrocomputers 11 anstatt der Berechnungsüberwachungsfunktion 173 des Sub-Mikrocomputers 12 (welcher aufgrund des Rücksetzens nicht in Betrieb ist).
Ein Überwachungsverfahren, das bei der alternativen Überwachungsfunktion 142 des Hauptmikrocomputers 11 verwendet wird, kann beliebig sein, solange es angemessen die abnormalen Ereignisse des Hauptmikrocomputers 11 (abnormale Ereignisse der ALU-Berechnungen usw.) erfassen kann. Beispielsweise wird die Überwachung durch Auslesen einer Berechnungsfrage (einer Rechengleichung), die vorab in dem ROM 15 gespeichert wird, Berechnen der ausgelesenen Berechnungsfrage mit der ALU 14a des Hauptmikrocomputers 11 und Vergleichen eines Berechnungsergebnisses derselben mit einer entsprechenden Antwort, die vorab in dem ROM 15 gespeichert wird, implementiert. Die Berechnungsfrage und die entsprechende Antwort können ursprünglich für die alternative Überwachungsfunktion 142 vorbereitet werden oder können, wenn sie zum Überwachen des Sub-Mikrocomputers 12 vorbereitet sind (d. h. für die Berechnungsüberwachungsfunktion 143 vorbereitet), geteilt werden. In diesem Fall kann eine Serie von mehreren Sätzen der Berechnungsfrage und der entsprechenden Antwort vorbereitet werden, und die entsprechende Antwort kann eine vorsätzlich falsche sein, wie in JP Patent 4003420 offenbart ist.
In einer weiteren bevorzugten Ausführungsform des Überwachungsverfahrens, das bei der alternativen Überwachungsfunktion 142 verwendet wird, können die entsprechenden gespeicherten Werte der Berechnungsfrage und der Antwort, die vorab für das Überwachen des Hauptmikrocomputers 11 verwendet werden (d. h. das Überwachen, das durch die Berechnungsüberwachungsfunktion 173 des Sub-Mikrocomputers 12 durchgeführt wird), verwendet werden. Konkret werden, während die Berechnungsüberwachungsfunktion 173 des Sub-Mikrocomputers 12 in Betrieb ist, die Berechnungsfrage, die in dem Hauptmikrocomputer 11 berechnet wird, und das Berechnungsergebnis davon (d. h. das Berechnungsergebnis, das an den Sub-Mikrocomputer 12 übertragen wird) in einem Speicher (beispielsweise dem RAM 16) derart gespeichert, dass sie miteinander verknüpft sind (vgl. einen Pfeil Y3 in 2). Während des Rücksetzens des Sub-Mikrocomputers 12 wird die Berechnungsfrage, die in dem Speicher gespeichert ist, berechnet, und das Berechnungsergebnis davon wird mit dem verknüpften Berechnungsergebnis, das in dem Speicher gespeichert ist, verglichen (vgl. einen Pfeil Y4 in 2). Es ist zu beachten, dass, während die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 funktioniert, die Berechnungsfrage und das Berechnungsergebnis davon nicht in dem Speicher gespeichert werden. Hier entspricht eine Periode, in der die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 funktioniert, einer Situation, in der der Hauptmikrocomputer 11 selbst nicht rückgesetzt wird. Somit ist es während einer derartigen Periode wahrscheinlich, dass das Berechnungsergebnis des Hauptmikrocomputers 11, das durch die Berechnungsüberwachungsfunktion 173 des Sub-Mikrocomputers 12 überwacht wird, korrekt ist. In anderen Worten ist das Berechnungsergebnis des Hauptmikrocomputers 11 aufgrund der Tatsache, dass, wenn das Berechnungsergebnis des Hauptmikrocomputers 11, in einer Situation, in der der Hauptmikrocomputer 11 nicht rückgesetzt wird, abnormal ist, der Hauptmikrocomputer 11 hätte zurückgesetzt werden müssen, wahrscheinlich das richtige. Somit ist es durch Verwenden der Berechnungsfrage und des Berechnungsergebnisses, das erlangt wird, wenn der Sub-Mikrocomputer 12 normal ist, möglich, den Hauptmikrocomputer 11 angemessen und effizient zu überwachen.
Die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 vergleicht das Berechnungsergebnis der ALU 14a des Hauptmikrocomputers 11 mit der entsprechenden Antwort. Stimmt das Berechnungsergebnis mit der entsprechenden Antwort überein, fährt die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 fort, die Betriebstakte an den Überwachungsschaltkreis 13 auszugeben. Andererseits, wenn das Berechnungsergebnis der ALU 14a des Hauptmikrocomputers 11 nicht mit der entsprechenden Antwort übereinstimmt, stoppt die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 das Ausgeben der Betriebstakte an den Über wachungsschaltkreis 13 (vgl. einen Pfeil Y5 in 2). In diesem Fall führt der Überwachungsschaltkreis 13 eine Ausfallsicherung wie beispielsweise ein Rücksetzen des Hauptmikrocomputers 11 usw. durch (vgl. einen Pfeil Y6 in 2).
3 ist ein Ablaufdiagramm eines Verfahrens für gegenseitige Überwachung von Mikrocomputern, das durch das System 10 für gegenseitige Überwachung von Mikrocomputern gemäß der vorliegenden Ausführungsform ausgeführt wird.
In Schritt 300 wird bestimmt, ob die Unterrichtung, dass ein Rücksetzen des Sub-Mikrocomputers 12 durchzuführen ist, der alternativen Überwachungsfunktion 142 des Hauptmikrocomputers 11 von der zusätzlichen Überwachungsfunktion 176 des Sub-Mikrocomputers 12 zur Verfügung gestellt wird. Gibt es die Unterrichtung über das Rücksetzen des Sub-Mikrocomputers 12, fährt die Verarbeitungsroutine mit Schritt 308 fort. Liegt die Unterrichtung über das Rücksetzen des Sub-Mikrocomputers 12 nicht vor, fährt die Verarbeitungsroutine mit Schritt 302 fort.
In Schritt 302 wird bestimmt, ob die Berechnungsüberwachungsfunktion 143 des Hauptmikrocomputers 11 usw. ein abnormales Ereignis des Sub-Mikrocomputers 12 (ein abnormales Ereignis von Betriebstakten, Kommunikation und ALU-Berechnungen) erfassen. Wird das abnormale Ereignis des Sub-Mikrocomputers 12 erfasst, fährt die Verarbeitungsroutine mit Schritt 306 fort. Andererseits, wenn das abnormale Ereignis des Sub-Mikrocomputers 12 nicht erfasst wird, fährt die Verarbeitungsroutine mit Schritt 304 fort.
In Schritt 304 wird ein ALU-Überwachungsverfahren auf ein gewöhnliches Verfahren festgelegt.
In Schritt 306 wird ein Rücksetzen des Sub-Mikrocomputers 12 durchgeführt.
in Schritt 308 wird das ALU-Überwachungsverfahren auf ein alternatives Verfahren festgelegt.
in Schritt 310 wird bestimmt, ob das ALU-Überwachungsverfahren auf das gewöhnliche Verfahren oder das alternative Verfahren festgelegt wird. Wird das ALU-Überwachungsverfahren auf das gewöhnliche Verfahren in Schritt 304 festgelegt, fährt die Verarbeitungsroutine mit Schritt 312 fort. Wird das ALU-Überwachungsverfahren in Schritt 308 auf das alternative Verfahren festgelegt, fährt die Verarbeitungsroutine mit Schritt 318 fort.
In Schritt 312 berechnet die ALU 14a des Hauptmikrocomputers 11, um sich für das Überwachen durch die Berechnungsüberwachungsfunktion 173 des Sub-Mikrocomputers 12 vorzubereiten, eine Rechengleichung, die durch den Sub-Mikrocomputer 12 bereitgestellt wird. Es ist zu beachten, dass die Rechengleichungen von dem Sub-Mikrocomputer 12 vorab in dem ROM 18 des Sub-Mikrocomputers 12 gespeichert werden und nacheinander ausgelesen und bereitgestellt werden.
in Schritt 314 werden zur Vorbereitung für die Überwachung, die künftig durch die alternative Überwachungsfunktion 142 ausgeführt werden kann, die Rechengleichung, die in Schritt 312 erlangt wird, und das Berechnungsergebnis davon miteinander verknüpft und in dem Speicher (beispielsweise dem RAM 16) des Hauptmikrocomputers 11 gespeichert. Dieses Speichern eines Paars aus der Rechengleichung und dem Berechnungsergebnis kann mit einem FIFO-Verfahren so ausgeführt werden, dass immer die neueste vorbestimmte Anzahl von Paaren aufrechterhalten wird, oder kann gestoppt werden, nachdem die vorbestimmte Anzahl von Paaren gespeichert wurde. Es ist zu beachten, dass die Rechengleichung und das Berechnungsergebnis, die in dem Speicher des Hauptmikrocomputers 11 gespeichert sind, entsprechen gelöscht werden, wenn der Hauptmikrocomputer 11 rückgesetzt wird.
In Schritt 316 wird das Berechnungsergebnis, das in Schritt 312 erlangt wird, dem Sub-Mikrocomputer 12 bereitgestellt. Es ist zu beachten, dass, wenn das Berechnungsergebnis bereitgestellt wird, die Berechnungsüberwachungsfunktion 173 des Sub-Mikrocomputers 12 das Berechnungsergebnis, das zu diesem Zeitpunkt bereitgestellt wird, mit einer Antwort, die der Rechengleichung, die in Schritt 312 bereitgestellt wird, entspricht, vergleicht. Wenn sie übereinstimmen, wird bestimmt, dass der Hauptmikrocomputer 11 normal ist, wodurch die Ausfallsicherung wie beispielsweise Rücksetzen usw. nicht durchgeführt wird. Andererseits, wenn das Berechnungsergebnis der ALU 14a der Hauptmikrocomputers 11 nicht mit der entsprechenden Antwort übereinstimmt, setzt die Rücksetzfunktion 175 den Hauptmikrocomputer 11 mittels der Abnormalitätsbestimmungsausfallsicherungsfunktion 174 des Sub-Mikrocomputers 12 zurück.
In Schritt 318 liest die ALU 14a des Hauptmikrocomputers 11 die Rechengleichung, die in dem Speicher gespeichert ist (vgl. Schritt 314), aus und berechnet die ausgelesene Rechengleichung.
In Schritt 320 liest die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 die Antwort (das vergangene Berechnungsergebnis, vgl. Schritt 314) entsprechend der Rechengleichung, die in Schritt 318 ausgelesen wird, aus.
In Schritt 322 vergleicht die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 das Berechnungsergebnis, das in Schritt 318 erlangt wird, mit der Antwort, die in Schritt 320 ausgelesen wird. Als Ergebnis des Vergleichs, wenn das Berechnungsergebnis, das in Schritt 318 erlangt wird, zu der Antwort, die in Schritt 320 ausgelesen wird, passt, fährt die Verarbeitungsroutine mit Schritt 324 fort. Passt das Berechnungsergebnis, das in Schritt 318 erlangt wird, nicht zu der Antwort, die in Schritt 320 ausgelesen wird, fährt die Verarbeitungsroutine mit Schritt 326 fort.
In Schritt 324 fährt die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 fort, die Betriebstakte des Überwachungsschaltkreises 13 auszugeben.
In Schritt 326 stoppt die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 das Ausgeben der Betriebstakte an den Überwachungsschaltkreis 13. In diesem Fall führt der Überwachungsschaltkreis 13 die Ausfallsicherung durch Rücksetzen des Hauptmikrocomputers 11 usw. durch.
Gemäß der vorliegenden Ausführungsform, die vorstehend beschrieben ist, kann der folgende Effekt neben anderen Effekten erlangt werden.
Sogar während des Rücksetzens des Sub-Mikrocomputers 12 kann der Hauptmikrocomputer 11 im Wesentlichen dieselbe ALU-Abnormalitätsüberprüfung selbst implementieren. Somit ist es möglich, Verlässlichkeit und Sicherheit eines Systems ohne Stoppen der Verarbeitung des Hauptmikrocomputers 11 sogar während des Rücksetzens des Sub-Mikrocomputers 12 sicherzustellen.
Des Weiteren können die alternative Überwachungsfunktion 142 des Hauptmikrocomputers 11 und andere damit verwandte Funktionen nur durch Software, ohne externe spezifische Hardwareschaltkreise, ICs usw. zu erfordern, implementiert werden.
Des Weiteren wird es durch Verwendung der entsprechenden gespeicherten Werte der Berechnungsfrage und des Berechnungsergebnisses, die erlangt werden, wenn der Sub-Mikrocomputer 12 normal ist und den Hauptmikrocomputer 11 angemessen überwachen kann, möglich, Verlässlichkeit in dem Hauptmikrocomputer 11 zum Überwachen desselben auf effiziente Weise sicherzustellen.
Die vorliegende Erfindung ist mit Bezug auf die bevorzugten Ausführungsformen offenbart. Jedoch sollte verstanden werden, dass die vorliegende Erfindung nicht auf die vorstehend beschriebenen Ausführungsformen beschränkt ist und dass Variationen und Modifikationen möglich sind, ohne vom Umfang der vorliegenden Erfindung abzuweichen.
Beispielsweise werden in den vorstehend beschriebenen Ausführungsformen die alternative Überwachungsfunktion 142 und damit verwandte Funktionen in dem Hauptmikrocomputer 11 installiert Jedoch können zusätzlich dazu oder stattdessen eine ähnliche alternative Überwachungsfunktion und damit verwandte Funktionen in dem Sub-Mikrocomputer 12 installiert werden. In anderen Worten kann der Sub-Mikrocomputer 12 eine alternative Überwachungsfunktion zum Überwachen des Sub-Mikrocomputers 12 selbst anstatt der Berechnungsüberwachungsfunktion 143 des Hauptmikrocomputers 11 während des Rücksetzens des Hauptmikrocomputers 11 aufweisen. Eine derartige Konfiguration eignet sich für einen Fall, in dem der Sub-Mikrocomputer 12 eine Steuerfunktion (eine Fahrzeugsteuerfunktion usw.) zusätzlich zur Überwachungsfunktion für den Hauptmikrocomputer 11 aufweist. Das kommt daher, da sogar während des Rücksetzens des Hauptmikrocomputers 11 es möglich wird, Verlässlichkeit und Sicherheit eines Systems ohne Stoppen der Steuerfunktion sicherzustellen.
Des Weiteren beziehen sich die vorstehend erläuterten Ausführungsformen auf das System für gegenseitige Überwachung zwischen dem Hauptmikrocomputer 11 und dem Sub-Mikrocomputer 12, jedoch kann ein erweitertes System für gegenseitige Überwachung zwischen mehr als drei Mikrocomputern anwendbar sein.
Des Weiteren beziehen sich die vorstehend beschriebenen Ausführungsformen auf das System für gegenseitige Überwachung zwischen dem Hauptmikrocomputer 11 und dem Sub-Mikrocomputer 12. Jedoch kann ein System für gegenseitige Überwachung zwischen zwei CPU-Kernen auf gleiche Weise anwendbar sein. In anderen Worten kann das System für gegenseitige Überwachung zwischen zwei CPU-Kernen in einem Multikernmikrocomputer auf gleiche Weise anwendbar sein.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

JP 07-64930 A [0002]
JP 4003420 [0003, 0028]

Claims

System für gegenseitige Überwachung von Mikrocomputern, in dem gegenseitige Überwachung zwischen einem ersten Mikrocomputer und einem zweiten Mikrocomputer durchgeführt wird, wobei wenn ein Rücksetzen des zweiten Mikrocomputers aufgrund eines Auftretens eines abnormalen Ereignisses in dem zweiten Mikrocomputer durchgeführt wird, das Überwachen des ersten Mikrocomputers durch eine alternative Überwachungsfunktion, die in dem ersten Mikrocomputer eingebunden ist, anstatt des Überwachens des ersten Mikrocomputers durch eine Überwachungsfunktion des zweiten Mikrocomputers während des Rücksetzens durchgeführt wird.
System für gegenseitige Überwachung von Mikrocomputern gemäß Anspruch 1, wobei das System für gegenseitige Überwachung von Mikrocomputern einen Überwachungsschaltkreis beinhaltet, der mit dem ersten Mikrocomputer verbunden ist, und wenn das abnormale Ereignis in dem ersten Mikrocomputer erfasst wird, das Rücksetzen des ersten Mikrocomputers durch den Überwachungsschaltkreis ausgeführt wird.
System für gegenseitige Überwachung von Mikrocomputern gemäß Anspruch 1, wobei die alternative Überwachungsfunktion das Überwachen des ersten Mikrocomputers während dem Rücksetzen des zweiten Mikrocomputers durch Verwenden gespeicherter Daten einer Rechengleichung, die durch den ersten Mikrocomputer zum Zweck des Überwachens des ersten Mikrocomputers durch den zweiten Mikrocomputer berechnet wird, vor dem Rücksetzen des zweiten Mikrocomputers und eines Berechnungsergebnisses davon, und Vergleichen eines Berechnungsergebnisses, das erlangt wird, wenn der erste Mikrocomputer die Rechengleichung in den gespeicherten Daten neu berechnet, mit dem entsprechenden Berechnungsergebnis in den gespeicherten Daten während des Rücksetzens des zweiten Mikrocomputers implementiert.
Mikrocomputer, der durch einen zweiten Mikrocomputer überwacht wird, wobei der Mikrocomputer eine alternative Überwachungsfunktion beinhaltet, wenn ein Rücksetzen des zweiten Mikrocomputers durchgeführt wird, die alternative Überwachungsfunktion konfiguriert ist, um darüber unterrichtet zu werden, und die alternative Überwachungsfunktion konfiguriert ist, um die Überwachung des Mikrocomputers durchzuführen, wenn sie die Unterrichtung empfängt.
Verfahren für gegenseitige Überwachung von Mikrocomputern, in dem gegenseitige Überwachung zwischen einem ersten Mikrocomputer und einem zweiten Mikrocomputer durchgeführt wird, umfassend: einen Schritt zum Erfassen eines abnormalen Ereignisses; einen Rücksetzschritt zum Durchführen eines Rücksetzens des zweiten Mikrocomputers, wenn das abnormale Ereignis des zweiten Mikrocomputers erfasst wird; und einen Schritt zum Durchführen einer Überwachung des ersten Mikrocomputers durch eine alternative Überwachungsfunktion, die in dem ersten Mikrocomputer beinhaltet ist, anstatt des Überwachens des ersten Mikrocomputers durch eine Überwachungsfunktion des zweiten Mikrocomputers während des Rücksetzschritts.