JP2004514215A - プロセッサを監視するための装置 - Google Patents

Abstract

本発明では、プロセッサを監視するための装置が提供される。この装置は、ウォッチドッグがシステムクロック、ソフトウェア基本機能およびプロセッサのシステムコンポーネントのテストを監視することを特徴とする。エラーが識別されると、このエラーはプロセッサにウォッチドッグによって通報され、エラーカウンタが増分され、プロセッサに接続された少なくとも１つの機器がロックされる。エラーカウンタが所定の値に達すると、本発明の装置がスイッチオフされるまでロックされる。ロック時間内に別のエラーが識別されると、ロック時間が延長される。

Description

【０００１】
従来の技術
本発明は、独立請求項の上位概念による、プロセッサを監視するための装置に関する。
【０００２】
すでに、マイクロコントローラシステムに対してウォッチドッグを設けることが公知である。このウォッチドッグは所定の時間間隔でトリガされ、ウォッチドッグ自身は所定の時間窓内でのトリガを待ち受ける。このようなウォッチドッグは、ウィンドウウォッチドッグと称される。ウォッチドッグが窓外でトリガされると、マイクロコントローラシステムのリセット（再始動）が引き起こされてしまう。
【０００３】
本発明の利点
これに対して、独立請求項の特徴を有する、プロセッサを監視するための本発明の装置は、ウォッチドッグのタスクを別個に相互に独立して、しかも並行して処理できるという利点を有する。このことによって主なエラーだけでなく、タスクの各処理時に生じるすべてのエラーが識別される。このタスクには、システムクロック監視、システム関連のソフトウェア基本機能の正確なシーケンスの監視、およびシステムコンポーネントの自己テスト（Ｂｕｉｌｔ−Ｉｎ−Ｓｅｌｆ−Ｔｅｓｔ）の監視が属する。前記システムコンポーネントは、たとえば記憶モジュールまたはプロセッサ内部の他のコンポーネントである。
【０００４】
さらに有利には、リセット機能が省略される。エラーが識別された場合にはむしろエラーメッセージがプロセッサ、つまりマイクロコントローラに通報され、場合によってはエラーカウンタが増分される。このことによって、プロセッサが常にウォッチドッグと、プロセッサが設けられている制御装置の周辺とも通信することができる。
【０００５】
従属請求項に記載された手段によって、独立請求項に記載された、プロセッサを監視するための装置を有利に改善することができる。
【０００６】
特に有利には、ウォッチドッグはテスト問い合わせをプロセッサに伝送することによってソフトウェア検査を実行する。その際、ウォッチドッグはプロセッサによって、相応の応答を正確さについて検査し、この応答が正確な時点で受信されたか否かが検査される。こうすることによって、プロセッサの関連のソフトウェア基本機能が正確な機能について検査される。
【０００７】
さらにシステムコンポーネントの検査が、ウォッチドッグからプロセッサへのテスト命令によって開始されると有利である。その際、ウォッチドッグは相応の命令確認を、命令確認受信が正確であるか否か、および時点が適切であるか否かという観点で検査する。
【０００８】
有利には、エラーが識別された場合、プロセッサに接続された機器、有利にはエアバッグを点火するための出力段のロックが、所定の時間にわたってウォッチドッグによって直接実行される。このロック時間内に別のエラーが識別されると、ロックが相応に延長される。エラーによってロックが引き起こされると、エラーカウンタが増分される。エラーカウンタが所定の値と等しくなると、ロックはウォッチドッグのスイッチオフまで実行される。このロック時間は自動車では、走行サイクルが終了するまでの時間、つまり車両がスイッチオフされるまでの時間である。
【０００９】
さらに有利には、本発明の装置がスイッチオンされると、まずプロセッサに接続された機器のロックが実行される。このロックは、システムクロック、プロセッサのソフトウェアおよびシステムコンポーネントにエラーが存在しない場合のみ終了される。こうすることによって、プロセッサが正常に動作している場合のみプロセッサに接続された機器を駆動することができる。
【００１０】
その際に有利には、プロセッサはその時点のエラーカウンタ状態および個々のエラーをウォッチドッグから読み出すことができる。このことによって、エラーを正確に分析することができる。またこのことによって、診断、補正のための指示、警告も形成することができる。
【００１１】
最後に、プロセッサの命令確認ないしは応答の受信時点がウォッチドッグの内部カウンタによって検出されると有利である。この受信時点を上回るかまたは下回ると、エラーであると判定される。
【００１２】
図面
本発明の実施例が図面に示されており、以下の明細書においてより詳細に説明される。図１は本発明による装置のブロック回路図を示しており、図２は本発明による装置の方法のフローチャートを示している。図３はウォッチドッグのブロック回路図を示しており、このブロック回路図には個々の検査に対する各機能ブロックが示されている。
【００１３】
実施例の説明
今日のウォッチドッグはプロセッサを監視するために、種々のタスクを実行しなければならない。その際プロセッサとして、しばしばマイクロコントローラがセーフティクリティカルシステムにおいて使用される。しかし、他のプロセッサタイプも使用することができる。このセーフティクリティカルシステムはたとえば、自動車の乗員拘束システムである。それゆえ、負傷に繋がるおそれのあるエアバッグの誤ったトリガを阻止するため、制御するプロセッサの検査が必要である。このようなプロセッサはウォッチドッグとともに、乗員拘束システムのための制御装置内に設けられている。
【００１４】
本発明では、種々のタスクに対してそれぞれ固有のハードウェアをウォッチドッグ内に有する装置が使用されるので、本発明ではタスクの並行処理が実行される。さらに本発明の装置は、エラーが存在する場合に周辺と、たとえば外部診断ソフトウェアと通信することができるという利点を有する。というのも、再始動、つまりリセットが行われないからである。ウォッチドッグは以下のタスクを同時にかつ相互に独立して実行する：
プロセッサのシステムクロックの監視。
【００１５】
プロセッサにおけるソフトウェアの検査。
【００１６】
プロセッサのシステムコンポーネント、たとえばメモリモジュール（ＲＡＭ）のテストの監視。
【００１７】
これら３つのタスクの各々に対して、固有のブロックがハードウェアに設けられている。この固有のブロックは、プロセッサが各タスクに対して相応の演算時間を割り当てるのであれば、択一的にプロセッサ上でも動作することができる。問い合わせないしは命令は、ウォッチドッグからプロセッサへ伝送される。問い合わせは、プロセッサのソフトウェア基本機能において動作する小さなウォッチドッグ機能によって処理される。命令によって、テストルーティンがバックグラウンドで開始される。このテストによって、たとえばＲＡＭ、ＲＯＭおよび／または他のシステムコンポーネントが検査される。
【００１８】
エラーが識別されると、ウォッチドッグによって、プロセッサに接続された機器がロックされる。こうすることにより、プロセッサの誤動作によってたとえば乗員拘束システムである機器がトリガされるのが阻止される。
【００１９】
図１には、プロセッサを監視するための本発明による装置のブロック回路図が示されている。ウォッチドッグ４はウィンドウウォッチドッグ５、クロック発生器６およびカウンタ７というコンポーネントを有している。ウィンドウウォッチドッグ５は論理回路を有している。プロセッサ１は第１のデータ入出力端を介してメモリ２に接続されている。このメモリ２は、プロセッサ１内に組み込むこともできる。プロセッサ１は第２のデータ入出力端を介して乗員拘束システム３に接続されている。この接続はバスを介して行うこともできる。第３のデータ入出力端を介して、プロセッサ１はウィンドウウォッチドッグ５に接続されている。プロセッサ１のデータ出力端はウィンドウウォッチドッグ５の第１のデータ入力端に接続されている。場合によっては、ウィンドウウォッチドッグ５内部にクロック分周器が設けられており、このクロック分周器によってクロックが相応に分周される。ウィンドウウォッチドッグ５の第２のデータ入力端にはクロック発生器６が接続されている。このクロック発生器６は、プロセッサ１が使用するクロックに依存しない。第２のデータ入出力端を介して、ウィンドウウォッチドッグ５はカウンタ７に接続されている。クロック発生器６およびカウンタ７はそれぞれ、ウィンドウウォッチドッグ５の構成要素としてもよい。１つのカウンタ７を設ける代わりに、それぞれソフトウェア基本機能を監視するためのカウンタと、システムコンポーネントのテストを監視するためのカウンタとを設けることができる。さらに、ウィンドウウォッチドッグ５はデータ出力端を介して乗員拘束システム３に直接接続されており、こうすることによって、エラーが識別された場合には乗員拘束システム３がロックされる。
【００２０】
プロセッサ１は乗員拘束システム３を制御する。このためにプロセッサ１は、乗員拘束システム３に対するトリガイベントを識別し、場合によっては、保護すべき車両乗員を分類するため、センサに接続されていることもある。プロセッサ１は機能の観点でウィンドウウォッチドッグ５によって検査される。この機能検査は３つのタスクに分類される。これら３つのタスクの１つに、プロセッサ１のシステムクロックの検査がある。この検査によって、システムクロックが所定の値からずれているか否かが検出される。この検査のために、プロセッサ１はシステムクロックをウィンドウウォッチドッグ５へ伝送する。
【００２１】
ウィンドウウォッチドッグ５はこのクロックをカウントし、これを基準クロックと比較する。この基準クロックはクロック発生器６によって発生される。プロセッサ１のシステムクロックとクロック発生器６のクロックとの間の偏差が所定の閾値を上回ると、エラーであると判定される。このエラーはプロセッサ１に指示され、エラーカウンタが増分され、ウィンドウウォッチドッグ５によって直接の線路を介して、乗員拘束システム３が所定の時間にわたってロックされる。この所定の時間内に別のエラーが識別されると、ロックが相応の時間だけ延長される。
【００２２】
ウィンドウウォッチドッグ５はさらに、プロセッサ１のソフトウェア基本機能の能力を検査する。このソフトウェア基本機能は、プロセッサ１の基本的な機能性にとって必要である。
【００２３】
乗員拘束システム３のための制御装置の本来のタスクは、衝突を識別することである。そのため、以下の機能がソフトウェア基本機能として、たとえば５００μｓごとに処理される：
センサ信号の読み込み。
【００２４】
信号の準備処理。
【００２５】
乗員拘束システムを制御するためのアルゴリズムの計算。
【００２６】
衝突時：対応する点火剤の決定、およびこの点火剤の点火。
【００２７】
これらの機能はすべて処理しなければならず、とりわけこの順序を順守しなければならない。たとえば、センサ信号の読み込みが終了しないうちにアルゴリズムを計算することはできない。この検査は、ウィンドウウォッチドッグ５が第１データ入出力端を介して実行する。この検査のために、ウィンドウウォッチドッグ５はテスト問い合わせをプロセッサ１へ伝送し、このテスト問い合わせに対してプロセッサ１は、既存のソフトウェア基本機能によって応答する。この応答をプロセッサ１はウィンドウウォッチドッグ５へ伝送し、ウィンドウウォッチドッグ５はこの応答を、その時点において設定された応答と比較する。ウィンドウウォッチドッグ５はまた、その個々の応答を受信した時点も検出する。応答受信時点をウィンドウウォッチドッグ５は、カウンタ７によって検出する。応答または応答受信時点が所定の値からずれると、図示されているように、相応のエラー処理（乗員拘束システム３のロック）が実行される。プロセッサ１では、ウォッチドッグ５の問い合わせは簡単なウォッチドッグ機能によって変更される。前記ウォッチドッグ機能は、実質的にシフト演算またはマスキング演算である。システム関連のソフトウェア基本機能に分配されたウォッチドッグ機能がすべて処理された後、得られた値が応答としてウォッチドッグへ返送される。ウィンドウウォッチドッグ５によって検査されると、ウォッチドッグ機能の順序およびすべてのウォッチドッグ機能の処理が順守されることが保証される。カウンタ７は、応答が到着するのが速すぎるかまたは遅すぎる場合にエラーが識別されるように構成されている。
【００２８】
さらにウィンドウウォッチドッグ５は、データ入出力端を介してシステムコンポーネントのテストの監視も実行する。この検査のために、ウォッチドッグ５はテスト命令をプロセッサ１へ伝送し、このテスト命令はプロセッサ１によって処理され、相応の命令確認がウィンドウウォッチドッグ５へ返送される。ここでもウィンドウウォッチドッグ５はこの命令確認に基づいて、システムコンポーネントのテストが正常だったか否か、かつ適切な時点で受信されたか否かを監視する。命令確認が正確でないか、または命令確認が到着するのが速すぎるかまたは遅すぎると、エラーであると判定される。テスト命令によってシステムコンポーネントのテストが開始され、このテスト自体が命令確認となる。このことによって、システムコンポーネントのテストがエラーなしで処理された場合のみ、命令確認が所期の命令確認に相応することが保証される。
【００２９】
ウォッチドッグ機能によるソフトウェア基本機能の検査は、プロセッサ１において、システムコンポーネントの検査より高い優先順位で処理される。ここでは所定の時間内では、残り時間だけがシステムコンポーネントの検査に割り当てられる。システムクロック検査、ソフトウェア検査およびシステムクロック検査の３つのタスクのそれぞれに対してウィンドウウォッチドッグ５は、図３に示されているように、論理回路から成る固有のハードウェアコンポーネントを有する。したがってウィンドウウォッチドッグ５の側では、処理が実際に並行して実行される。
【００３０】
ブロック２３はクロックの検査を担当し、ブロック２４はソフトウェア基本機能の検査を担当し、ブロック２５はシステムコンポーネントの検査を担当する。クロック検査部２３の第１入力端にはシステムクロックが印加される。このシステムクロックはクロック検査部２３によって、所定の内部基準クロックとの偏差の観点で検査される。機能ブロック２３の第２入力端にはクロック発生器６が接続されている。エラーが存在する場合、機能ブロック２３の出力端で信号が形成され、この信号はＯＲゲート２６によって機能ブロック２４、２５の出力と結合される。したがって、少なくとも１つのエラーが識別された場合、ＯＲゲート２６の出力端２７においてエラーが指示される。機能ブロック２４は、ソフトウェア基本機能を検査できるように、データ入出力端を介してプロセッサ１のデータ入出力端に接続されている。それに対して機能ブロック２５は、システムコンポーネントをテストできるように、データ入出力端を介してプロセッサ１に接続されている。
【００３１】
プロセッサ１はウィンドウウォッチドッグ５と常に、ロック中でも通信できるので、プロセッサ１はエラーカウンタ状態および個々のエラーを、別の処理のために読み出すことができる。
【００３２】
図２には、本発明の装置の動作経過を示すフローチャートが示されている。ステップ８では本発明による装置がスイッチオンされ、まず乗員拘束システム３のロックがウィンドウウォッチドッグ５によって実行される。ステップ９ａ、９ｂ、９ｃでは、並行してかつ相互に独立して、システムクロック、ソフトウェア基本機能およびシステムコンポーネントが監視される。
【００３３】
ステップ１０では、ＯＲゲート２６において少なくとも１つのエラーが表示されたか否かが検査される。もしそうであれば、ステップ９ａ、９ｂおよび９ｃへ戻り、システムクロック、ソフトウェアおよびシステムコンポーネントがすでに最小時間中に正常になったか否かが検査される。ウィンドウウォッチドッグ５のすべての部分２３、２４、２５は、乗員拘束システムのロックを解除するために、たとえば１秒の間に正常に操作されなければならない。その場合だけエラーが存在しないと判定され、ステップ１０の後にステップ１１へ移行することができ、乗員拘束システム３のロックが終了される。
【００３４】
ステップ１２ａ、１２ｂ、１２ｃでは再び、システムクロック、ソフトウェア基本機能およびシステムコンポーネントのテストが実行される。ステップ１３においても、エラーがＯＲゲート２６の出力端に指示されたか否かが検査される。そうでなければステップ１２ａ、１２ｂ、１３ｃへ戻り、再びテストが実行される。しかしエラーが識別された場合、ステップ１４においてこのエラーは、プロセッサ１に対してウィンドウウォッチドッグ５によって通報され、エラーカウンタが増分され、乗員拘束システム３がロックされる。ステップ１５ではさらに、エラーがその間に所定の値に達したか否かが検査される。もしそうであれば、乗員拘束システム３は本発明の装置がスイッチオフされるまで持続的にロックされる。それゆえステップ１６では、ロックがスイッチオフまで持続される。
【００３５】
しかし、所定のカウンタ状態にまだ達していないならば、ステップ１７でロックは所定の時間にわたってセットされる。ステップ１８ａ、１８ｂ、１８ｃでは再びシステムクロック、ソフトウェア基本機能およびシステムコンポーネントが検査され、ステップ２０において、エラーが乗員拘束システム３のロック中に識別されたか否かが検出される。もしそうであれば、ステップ２１においてロックが相応に延長される。もしそうでなければステップ２２において、時間経過後にロックが終了され、ステップ１４へ戻る。
【図面の簡単な説明】
【図１】
本発明による装置のブロック回路図である。
【図２】
本発明による装置の方法のフローチャートである。
【図３】
ウォッチドッグのブロック回路図である。

Claims (10)

1. プロセッサ（１）を監視するための装置であって、
   該プロセッサ（１）は、監視のためウォッチドッグ（５）と接続されている形式のものにおいて、
   ウォッチドッグ（５）は、プロセッサ（１０）のシステムクロックを監視するために内部クロック発生器（６）と接続されており、
   前記ウォッチドッグ（５）は、該プロセッサ（１）のソフトウェア検査のための手段と、該プロセッサ（１）のシステムコンポーネント（２）のテストを監視するための手段とを有し、
   前記ウォッチドッグ（５）は、少なくとも１つのエラーが識別された場合、エラーメッセージをプロセッサ（１）へ伝送し、エラーカウンタを増分することを特徴とする装置。
2. 前記ウォッチドッグ（５）は、ソフトウェア検査時にプロセッサ（１）へテスト問い合わせを伝送し、プロセッサ（１）の応答を正確さおよび時点について監視する、請求項１記載の装置。
3. システムコンポーネント（２）のテストを監視する際、前記ウォッチドッグ（５）はプロセッサ（１）へテスト命令を伝送し、
   該プロセッサ（１）はウォッチドッグ（５）へ命令確認に相応して返送し、
   前記命令確認をウォッチドッグ（５）は、正確さおよび時点の観点で監視する、請求項１または２記載の装置。
4. 前記ウォッチドッグ（５）は、少なくとも１つのエラーが識別された場合、プロセッサ（１）に接続された機器（３）の機能を所定の時間にわたってロックし、
   前記ウォッチドッグ（５）は、前記機器（３）に直接接続されている、請求項１から３までのいずれか１項記載の装置。
5. 前記ウォッチドッグ（５）は、該ウォッチドッグ（５）がロック中に少なくとも１つの別のエラーを検出した場合、機器（３）のロックを延長する、請求項４記載の装置。
6. エラーカウンタが所定の値に達した場合、前記ウォッチドッグ（５）は機器（３）を、該ウォッチドッグ（５）がスイッチオフされるまでロックする、請求項１から５までのいずれか１項記載の装置。
7. 該プロセッサ（１）に接続される機器（３）は乗員拘束システムである、請求項１から６までのいずれか１項記載の装置。
8. 前記ウォッチドッグ（５）はスイッチオン時に、該ウォッチドッグ（５）がシステムクロック、プロセッサ（１）のソフトウェアおよびシステムコンポーネントにおいてエラーが存在しないことを識別するまで、機器（３）をロックする、請求項１から７までのいずれか１項記載の装置。
9. 該プロセッサ（１）によって、エラーカウンタおよび個々のエラーがウォッチドッグ（５）によって読み出される、請求項１から８までのいずれか１項記載の装置。
10. 前記ウォッチドッグ（５）は、プロセッサ（１）の応答時点および命令確認を、少なくとも１つの内部カウンタ（７）によって検出する、請求項２から９までのいずれか１項記載の装置。