JP2000155703A - 単一プロセッサシステム - Google Patents

Abstract

(57)【要約】 【課題】 比較的わずかな費用で実現可能な誤り反応手
段を含み、これらの誤り反応手段が、誤りを確認した際
にシステムを所定の誤り反応状態に移すことが可能であ
り、かつ所定の範囲において故障に対して安全に動作す
る、単一プロセッサシステムを提供する。 【解決手段】 １．単一プロセッサシステム ２．１．本発明は、必要なシステム機能を果たすプロセ
ッサユニット（１）を有し、かつ誤り反応手段を有し、
この誤り反応手段が、生じる誤りに関してシステムを監
視し、かつ誤りが確認された際に、システムを所定の誤
り反応状態に移す、必要なシステム機能を果たす、とく
に安全にとって危険な制御機能を実行する単一プロセッ
サシステムに関する。２．２．本発明によれば、誤り反
応手段は、誤り監視のためにプロセッサユニット（１）
に付属した互いに独立の２つのウオッチドッグユニット
（ＷＤ１，ＷＤ２）を含み、これらのウオッチドッグユ
ニットは、誤りを確認した際に、誤り反応状態へのシス
テムの移行を引起こす。２．３．例えば自動車の制御装
置における利用。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、必要なシステム機
能を果たすプロセッサユニットを有し、かつ誤り反応手
段を有し、この誤り反応手段が、生じるシステム誤りに
関してプロセッサシステムを監視し、かつ誤り監視のた
めにプロセッサユニットに付属の少なくとも２つのウオ
ッチドックユニットを有し、これらのウオッチドックユ
ニットが、誤りが確認された際に、プロセッサシステム
を所定の誤り反応状態に移す、必要なシステム機能を果
たす、とくに安全にとって危険な制御機能を実行する単
一プロセッサシステムに関する。

【０００２】

【従来の技術】単一プロセッサシステムとは、ここで
は、所定のシステム課題において複数のプロセッサユニ
ットが並列に動作する、例えばヨーロッパ特許出願公開
第００８６６０１号明細書、同第０６３５７８４号明細
書及びドイツ連邦共和国特許出願公開第３５０２７２１
号明細書に記載されたようなマルチプロセッサシステム
とは相違して、所定のシステム機能を果たすために１つ
のプロセッサだけしか設けられていないシステムのこと
である。その他の機能を果たすために、この単一プロセ
ッサシステムにおいて、別のプロセッサユニットを設け
てもよいことは明らかである。

【０００３】所定のシステム機能を果たすために１つの
プロセッサユニットしか利用しないということは、マル
チプロセッサシステムに対して、わずかな実現費用の利
点を有する。なぜなら後者は、追加的なプロセッサユニ
ット、及び複数のプロセッサユニットの衝突のない並列
動作のための処置を必要とするからである。しかし単一
プロセッサシステムの困難は、プロセッサユニットの部
分的又は完全な故障の際に、場合によってはもはやシス
テム機能が果たされず、かつシステムが定義されない状
態に至ることがあるという点にある。このことは、例え
ば安全にとって危険な制御機能を実行する自動車技術に
おける利用の際のように、とくに安全にとって危険な用
途において不所望である。

【０００４】この困難を取り除く周知の処置は、冗長な
システム構成にあり、ここでは少なくとも２つの並列の
プロセッサユニットがマルチプロセッサシステムを形成
しており、このマルチプロセッサシステムは、一方のプ
ロセッサユニットの故障の際にも、まだ動作能力を有す
る他方のプロセッサユニットによって必要なシステム機
能を果たすことを保証している。しかしこのことは、再
び相応する実現費用に結び付いている。

【０００５】それ故にいわゆるウオッチドックユニット
によって単一のプロセッサユニットを監視することも、
すでに周知であり、このウオッチドックユニットは、ハ
ードウエア又はソフトウエアにおいて構成することがで
き、かつプロセッサユニットによって実行されるプログ
ラムシーケンスを場合によっては生じる誤りについてチ
ェックする。このことは、所定の位置におけるプロセッ
サユニットのプログラムシーケンス内に、ウオッチドッ
クユニットのコールが、すなわち制御部が設けられてい
ることによって行なわれる。このコールが、正規に、例
えばウオッチドックユニット内のクロック発生器によっ
て計数される期間内に行なわれないとき、ウオッチドッ
クユニットは、プロセッサユニットにリセット命令を送
出し、かつそれによりこれを定義された初期状態に移
す。しかしながらこの処置は、とくに安全にとって危険
な用途に対して、まだ常に満足すべきものではない。な
ぜならこれは、例えばウオッチドックユニットの故障の
際に、もはや保証されておらず、かつ加えて誤りの生じ
た際にかなりの場合、プロセッサユニットのリセットの
他に、なお少なくとも１つの別の誤り反応処置が望まれ
ることがあるからである。例えばプロセッサユニットに
よる安全にとって危険なアクチュエータの制御の場合、
誤りが生じた際にプロセッサユニットをその定義された
初期状態にリセットするだけでなく、追加的にアクチュ
エータを定義された安全状態に移すことが望まれること
がある。

【０００６】ドイツ連邦共和国特許出願公開第４３３０
９４０号明細書に、初めに述べたような単一プロセッサ
システムが開示されており、ここでは２つのウオッチド
ックユニットは、その入力が両方のウオッチドックユニ
ットに対して同一でありかつマイクロプロセッサから発
生されるプログラム管理信号によって作用を受けるよう
に、それにより監視されるマイクロプロセッサに並列に
連結されている。追加的に両方のウオッチドッグユニッ
トは、その動作能力についてマイクロプロセッサによっ
てチェックされることができ、そのためにマイクロプロ
セッサは、第２の入力端子を介してそれぞれ監視される
ウオッチドッグユニットに、正規でないプログラム管理
信号に相当する妨害テスト信号を加える。

【０００７】ドイツ連邦共和国特許出願公開第４４３０
１７７号明細書に、プロセッサのための監視装置が記載
されており、この監視装置は、観察回路を含み、この観
察回路は、正しいプロセッサ動作を監視し、かつ制御可
能なスイッチによって装置に通じるプロセッサ出力線内
にループ接続されていることによって、誤りを含むプロ
セッサ出力信号をプロセッサによって制御される装置に
加えることを阻止する。プロセッサの誤りのないことを
認識した際にだけ、観察回路は、プロセッサ出力信号を
装置に通過させる。

【０００８】

【発明が解決しようとする課題】本発明の基礎とする技
術的な問題は、比較的わずかな費用で実現可能な誤り反
応手段を含み、これらの誤り反応手段が、誤りを確認し
た際にシステムを所定の誤り反応状態に移すことが可能
であり、かつ所定の範囲において故障に対して安全に動
作する、初めに挙げたような単一プロセッサシステムを
提供することにある。

【０００９】

【課題を解決するための手段】本発明は、特許請求の範
囲第１項の特徴を有する単一プロセッサシステムを提供
することによって、この問題を解決する。このシステム
において少なくとも２つのウオッチドックユニットは、
互いに独立にプロセッサユニットに付属しており、すな
わちこれらのウオッチドックユニットのために、プロセ
ッサユニットからプログラムシーケンスに依存して送出
される互いに異なったウオッチドックコールが設けられ
ている。

【００１０】本発明によるこのシステムは、マルチプロ
セッサシステムの費用を回避し、かつそれでもなお両方
の並列のウオッチドッグシステムによって、とくにこれ
らのウオッチドッグユニットのうちの一方の機能故障に
対して確実な故障安全性を提供する。後者は、その基本
方式について従来のウオッチドッグユニットのように構
成することができ、その際、用途に応じて追加的な動作
能力を実行することができる。両方のウオッチドッグユ
ニットが互いに独立していることは、ここではこれらが
両方とも同一のシステム誤りによって故障しないので、
これに関して確実性を高める所望のウオッチドッグ冗長
度が与えられていることを意味する。

【００１１】請求の範囲第２項にしたがって変形された
単一プロセッサシステムは、プロセッサユニットによっ
て制御されるアクチュエータを含んでいる。この時、ウ
オッチドッグユニットは、生じた誤りを認識した際に、
安全にとって危険な範囲において動作するアクチュエー
タの場合にとくに危険でない安全状態であることができ
る所定の状態にアクチュエータを移すように構成されて
いる。追加的にウオッチドッグユニットは、誤りを認識
した際に、プロセッサユニットをその定義された初期状
態にリセットすることを考慮することができる。請求の
範囲第３項によれば、この処置の別の構成において、ア
クチュエータは、誤りを認識するウオッチドッグユニッ
トによって、これがプロセッサユニットからエネーブル
情報を受取るまで、所定の状態に維持し、このエネーブ
ル情報の受信の後に、ウオッチドッグユニットは、アク
チュエータを再び通常動作のためにエネーブルする。

【００１２】請求の範囲第４項にしたがって変形された
単一プロセッサユニットにおいて、ウオッチドックのコ
ールは、プロセッサユニットによって実行されるプログ
ラムシーケンスの１つ又は複数の定義された位置に設け
られており、その際、それぞれのウオッチドッグコール
は、どのプログラムシーケンス位置からこれを開始する
かに関する情報を含むことができる。ウオッチドックユ
ニットは、適当なシーケンステスト手段を含み、これら
のシーケンステスト手段は、コールを評価し、かつそれ
によりプロセッサユニットがプログラムを正規に実行す
るかどうか、又はシステム誤りが存在するかどうかを認
識することができる。ウオッチドッグユニットの相応し
てインテリジェントな構成は、とくにプロセッサユニッ
トがなお完全なプログラムシーケンスの一部分だけしか
周期的に通過しない誤りの認識を可能にすることができ
る。このプログラム部分に及びその他のプログラム部分
に、このようなインテリジェントなウオッチドッグユニ
ットのそれぞれ１つのコールが存在すれば、ウオッチド
ッグユニットは、十分に短い時間間隔で制御されるが、
これは、それにもかかわらずもはや片付けられない残り
のプログラムの生じなかったコールに基づいて誤りを認
識する。

【００１３】

【発明の実施の形態】本発明の有利な構成は、図面に示
されており、かつ次に説明する。

【００１４】図１に示された単一プロセッサシステム
は、マイクロプロセッサユニット１、及びこれにより制
御線２を介して制御可能なアクチュエータ３を含み、か
つ例えば安全にとって危険な機能を有する自動車制御装
置に組込むことができる。特徴的にその他にシステム
は、２つの並列のウオッチドッグユニットＷＤ１、ＷＤ
２を有する。図示した例において両方のウオッチドッグ
ユニットＷＤ１、ＷＤ２は、プロセッサユニット１に連
結された相応するウオッチドッグ回路の形の外部構成ユ
ニットとして実現されているが、その代わりにこれら
は、ソフトウエアにして実現することができ、かつ一方
又は両方のウオッチドッグユニットＷＤ１、ＷＤ２は、
必要な場合には、従来のウオッチドッグユニットにとっ
てそれ自体周知のようにプロセッサユニット１内に統合
してもよい。

【００１５】両方のウオッチドッグユニットＷＤ１、Ｗ
Ｄ２は、一方において従来のウオッチドッグ機能を果た
す。そのためにこれらは、プロセッサユニット１によっ
て実行されるプログラムシーケンスにおける相応するウ
オッチドッグコールによってこれがトリガされるとき常
に、所属の制御線４ａ、４ｂを介してプロセッサユニッ
ト１によって制御される。プロセッサユニット１からの
このような制御信号が、ウオッチドッグユニットＷＤ
１、ＷＤ２に構成されたクロック発生器によって計数さ
れる所定の期間よりも長く現われない場合、当該のウオ
ッチドッグユニットＷＤ１、ＷＤ２は、システム誤りと
推論し、かつリセット線５ａ、５ｂを介してリセット信
号を送出し、このリセット信号によってプロセッサユニ
ット１は、所定の初期状態にリセットされる。

【００１６】この従来の動作様式を越えて両方のウオッ
チドッグユニットＷＤ１、ＷＤ２は、それ以上の動作特
性を有し、そのためにこれらは、相応してインテリジェ
ントなウオッチドッグユニットとして構成されている。
これらそれ以上の特性は、一方において両方のウオッチ
ドッグユニットＷＤ１、ＷＤ２がプロセッサユニット１
によって実行されるプログラムシーケンスのどの位置か
らそれぞれのウオッチドッグコールが出たかを認識する
ことができる能力を含んでいる。そのためにプロセッサ
ユニット１からそれぞれのウオッチドッグユニットに送
信されるコールは、プログラムシーケンス内のコールの
位置に関する相応する出所情報を含んでいる。そのため
にウオッチドッグユニットＷＤ１、ＷＤ２は、適切なシ
ーケンステスト手段を含み、これらのシーケンステスト
手段は、この出所情報を評価し、かつそれによりシステ
ムが正規に動作しているか又は誤りが存在するかどうか
を推論することができる。これらのシーケンステスト手
段は、従来のように、例えば前にファイルされたテーブ
ルを含むことができ、このテーブル内に当該のウオッチ
ドッグユニットＷＤ１、ＷＤ２に対するコールの認識ラ
ベルが、正規のプログラムシーケンスの際のこのコール
の順序でリストアップされている。その代わりにシーケ
ンステスト手段は、カウンタ及び所定の時間値からなる
ことができ、これらの時間値は、正規のプログラムシー
ケンスの際に当該のウオッチドッグユニットＷＤ１、Ｗ
Ｄ２の連続する２つのコールの間に高々経過する期間を
表わしている。連続する２つのコールの間にカウンタに
よって計数される期間がさらに長いと、ウオッチドッグ
ユニットは、このことを誤りと解釈する。その際、連続
する異なったコールに対する時間値を必要な場合には異
なって選定することができ、１つのプログラムサイクル
内において、例えば第１と第２のコールの間の時間値に
対して第２と第３のコールの間のものとは異なるように
選定することができる。

【００１７】ウオッチドッグユニットＷＤ１、ＷＤ２の
別の特性は、誤りが認識された際にプロセッサユニット
１をリセットできるだけでなく、加えてアクチュエータ
をそのためにシステム誤りが生じた際にあらかじめ与え
られる定義された状態に移すその能力にあり、その際、
とくに危険でない安全状態を問題にすることができる。
そのためにそれぞれのウオッチドッグユニットＷＤ１、
ＷＤ２からアクチュエータ３に相応するアクチュエータ
制御線６ａ、６ｂが通じている。ウオッチドッグユニッ
トＷＤ１、ＷＤ２は、これらにより認識される誤りが生
じた際に、そのために使われるエネーブル線７ａ、７ｂ
を介してプロセッサ１からエネーブル情報を受取るま
で、アクチュエータ３をこの定義された状態に保持する
ように構成されている。プロセッサユニット１は、シス
テムが再び動作準備されていることを認識するとすぐ
に、このエネーブル情報７ａ、７ｂを送出し、かつエネ
ーブル情報は、ウオッチドッグユニットＷＤ１、ＷＤ２
内において、これらが、当該の制御線６ａ、６ｂを介し
てアクチュエータ３を、再びプロセッサユニット１から
所属の制御線２を介して引起こされる通常の動作に対し
てエネーブルするようにする。

【００１８】図２は、プロセッサユニット１により周期
的に実行されるプログラムシーケンスの例として選ばれ
た最初の部分によって、ウオッチドッグユニットＷＤ
１、ＷＤ２の機能を説明している。プログラムサイクル
のスタートの後に（ステップ１０）、まず第１のプログ
ラム部分ＰＴ１が実行され、このプログラム部分は、と
りわけアクチュエータのエネーブルを含んでいる（ステ
ップ１１）。この第１のプログラム部分ＰＴ１の最後
に、前後して両方のウオッチドッグユニットＷＤ１、Ｗ
Ｄ２のそれぞれのそれぞれ１つのコールが設けられてい
る。まず第１のウオッチドッグユニットＷＤ１に対する
第１のコールＡＲ１が行なわれ、その際、このコールＡ
Ｒ１は、前記のように、これがプログラムシーケンス内
において第１のプログラム部分ＰＴ１の最後に構成され
ていることに関する情報を含み、かつこのようにして第
１のウオッチドッグユニットＷＤ１に対する第１のコー
ルをプログラムサイクル内に形成する（ステップ１
２）。

【００１９】このコールＡＲ１について、第１のウオッ
チドッグユニットＷＤ１に相応してプログラム監視が行
なわれる（ステップ１３）。そのためにこのウオッチド
ッグユニットは、同様に前記のように、到来したコール
が適正な時間における適正なコールであるかどうか、及
びそれ故に正規のプログラムシーケンスに相当するか又
はしないかをテストする（ステップ１４）。そうでない
場合、第１のウオッチドッグユニットＷＤ１によってア
クチュエータ３は、定義された状態に移され、例えば遮
断される（ステップ１５）。同時にウオッチドッグユニ
ットＷＤ１は、プロセッサユニット１をリセットする。
それからプロセッサユニット１において誤り処理を行な
うことができる。誤り除去の後に、プロセッサユニット
１は、それからエネーブル線７ａ、７ｂを介してウオッ
チドッグユニットＷＤ１、ＷＤ２にエネーブル信号を送
信し、これらのウオッチドッグユニットは、それから再
びアクチュエータ動作をエネーブルする。

【００２０】それに反して第１のウオッチドッグユニッ
トＷＤ１におけるウオッチドッグ監視が、正規の第１の
コールを、したがってその点においてこれまで誤りのな
いプログラムシーケンスを確認すると、プログラムシー
ケンス内の次のステップとして、第２のウオッチドッグ
ユニットＷＤ２のための第１のコールＡＲ２が続く（ス
テップ１６）。第２のウオッチドッグユニットＷＤ２の
この活性化によって（ステップ１７）、これにより行な
われるプログラムシーケンスのウオッチドッグ監視は、
このコールＡＲ２が適正な順序で又はそのために設けら
れた期間内において到来するかどうか、かつプログラム
シーケンス内の適正な位置から出たかどうか（ステップ
１８）をチェックすることによって行なわれる。これが
そうでない場合、第２のウオッチドッグユニットＷＤ２
は、システム誤りを推論し、アクチュエータ３をそのた
めに設けられた定義された状態に制御し、例えばこれを
遮断することによって制御し、かつ同時にプロセッサユ
ニット１のリセットを引起こし（ステップ１５）、この
プロセッサユニットは、それから誤り除去の後にプログ
ラムサイクルを再び改めてスタートする。

【００２１】それに反して第２のウオッチドッグユニッ
トＷＤ２も、第１のプログラム部分ＰＴ１の最後におけ
るその第１のコールＡＲ２の際に、これまで正規のプロ
グラムシーケンスを推論すると、プロセッサユニット１
は、それに続く第２のプログラム部分ＰＴ２の実行によ
ってプログラムシーケンスを継続する（ステップ１
９）。この処置様式は、プログラムサイクルの最後まで
繰返され、その際、それぞれ適当なプログラム位置にお
いて、両方のウオッチドッグユニットＷＤ１、ＷＤ２に
対して新たなコールが設けられている。

【００２２】したがってコールが、一方においてプロセ
ッサユニット１の不所望なリセットを引起こさないため
に、十分に頻繁に制御されるように、かつ他方において
十分に細かいプログラム実行の管理を保証するように、
両方のウオッチドックユニットＷＤ１、ＷＤ２のために
プログラムシーケンスの相応する位置に設けられている
ことは、目的に合っている。プログラムサイクル内に設
けられたコール位置が少ないほど、ウオッチドッグユニ
ットＷＤ１、ＷＤ２が、コールの順序を評価せずに、連
続したコールの間の時間間隔だけに反応するとき、誤り
認識安全度は高くなる。なぜなら存在するコール位置が
少ないほど、プロセッサユニット１が、全プログラムサ
イクルを片付けることなく、誤りに基づいて周期的に通
過するプログラム部分内に、このようなコールが存在す
る確率は、低くなるからである。それに反してウオッチ
ドッグユニットＷＤ１、ＷＤ２が、コール順序も評価で
きるように構成されている場合、これらのウオッチドッ
グユニットは、常になお同一のプログラム位置に所属の
コールだけが到来し、かつもはやプログラムサイクル内
に設けられたすべてのコールが順に到来しないことにつ
いて、このような誤りをわけなく認識することができ
る。

【００２３】有利な例の前記の説明によって明らかなよ
うに、本発明による単一プロセッサシステムは、制御装
置、電子装置構造等における安全にとって危険な用途の
ためにも使用することができ、かつシステムが、誤りの
生じた際にそのために前に定義された状態を占めること
を引起こす。有利なようにシステムは、１つのプロセッ
サユニットで十分である。それでもなおアクチュエータ
の用途において、これは、プロセッサユニットの故障の
後にも、定義された状態に移すことができ、とくに遮断
することができ、このことは、本発明によれば、誤りを
認識するウオッチドッグユニットによって引起こされ
る。

【図面の簡単な説明】

【図１】制御されるアクチュエータを有する単一プロセ
ッサシステムのブロック回路図である。

【図２】アクチュエータの制御のために図１におけるプ
ロセッサユニットによって片付けられるプログラムの一
部のフローチャートである。

【符号の説明】

１ プロセッサユニット ３ アクチュエータ ＡＲ１ ウオッチドッグコール ＡＲ２ ウオッチドッグコール ＷＤ１ ウオッチドッグユニット ＷＤ２ ウオッチドッグユニット

───────────────────────────────────────────────────── フロントページの続き (72)発明者 トーマス・マイエル デンマーク国コペンハーゲン・スルゼホル メン８ (72)発明者 エルヴイン・シユミツト ドイツ連邦共和国シユトウツトガルト・ヴ アルブルンネンシユトラーセ18 (72)発明者 ユルゲン・トロースト ドイツ連邦共和国グラーフエンベルグ・ツ イーゲルヴアーゼンシユトラーセ１ (72)発明者 ゲルト・フオルク ドイツ連邦共和国シユトウツトガルト・フ ツゲルシユトラーセ25

Claims (4)

【特許請求の範囲】
1. 【請求項１】 −必要なシステム機能を果たすプロセッ
   サユニット（１）を有し、かつ −誤り反応手段を有し、この誤り反応手段が、生じるシ
   ステム誤りに関してプロセッサシステムを監視し、かつ
   誤り監視のためにプロセッサユニット（１）に付属の少
   なくとも２つのウオッチドックユニット（ＷＤ１，ＷＤ
   ２）を有し、これらのウオッチドックユニットが、誤り
   が確認された際に、プロセッサシステムを所定の誤り反
   応状態に移す、 必要なシステム機能を果たす、とくに安全にとって危険
   な制御機能を実行する単一プロセッサシステムにおい
   て、 −両方のウオッチドックユニットのために、プロセッサ
   ユニットからプログラムシーケンスに依存して送出され
   る互いに異なったウオッチドックコール（ＡＲ１，ＡＲ
   ２）が設けられていることを特徴とする、必要なシステ
   ム機能を果たす、とくに安全にとって危険な制御機能を
   実行する単一プロセッサシステム。
2. 【請求項２】 −プロセッサユニット（１）によって制
   御されるアクチュエータ（３）を含み、かつ −誤り反応状態へのプロセッサシステムの移行が、誤り
   を認識するウオッチドッグユニット（ＷＤ１，ＷＤ２）
   がアクチュエータ（３）をそのために所定の状態に移す
   ことを含むことを特徴とする、請求項１に記載の単一プ
   ロセッサシステム。
3. 【請求項３】 誤りを認識するウオッチドックユニット
   （ＷＤ１，ＷＤ２）が、プロセッサユニット（１）から
   エネーブル情報を受取るまで、アクチュエータ（３）を
   所定の状態に保持することを特徴とする、請求項２に記
   載の単一プロセッサシステム。
4. 【請求項４】 ウオッチドックコール（ＡＲ１，ＡＲ
   ２）が、プロセッサユニット（１）によって実行される
   プログラムシーケンスの１つ又は複数の位置において実
   行されており、かつウオッチドックユニット（ＷＤ１，
   ＷＤ２）が、シーケンステスト手段を含み、これらのシ
   ーケンステスト手段が、それぞれのウオッチドックコー
   ルの誤りのない生起をチェックし、かつ誤りを含んだコ
   ールの際に、生じたシステム誤りを推論することを特徴
   とする、請求項１ないし３の１つに記載の単一プロセッ
   サシステム。