JP3357514B2 - 暴走検出復帰方式 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、制御を行う処理装
置としてＣＰＵ（マイクロコンピュータ）を利用した機
器、特にヒータ等の加熱装置、モータ等の駆動装置、カ
ールソンプロセスを用いた高圧部を備えた複写機（アナ
ログ、デジタルを含む）、レーザープリンタ、レーザー
ファクシミリ、およびその複合機等の画像形成装置に対
して、ＣＰＵの暴走を検出して自動復帰させる暴走検出
復帰方式に関する。

【０００２】

【従来の技術】ＣＰＵを使用する機器において、そのＣ
ＰＵの暴走は本来制御すべき対象を見失うことにより、
場合によっては重大な事態を招く。例えば複写機等にお
いて、その定着用のヒータ制御を行うＣＰＵの暴走によ
り制御が不可能となったとき、ヒータが異常加熱を起こ
し、制御機器およびその周辺部の焼損、焼失という事態
を招くことが予想される。

【０００３】また、多くの可動部を有する複写機では、
高速に往復動を繰り返す部材が有り、ＣＰＵの暴走によ
りこの部材を制御できなくなった場合、機器そのものを
破壊してしまうこともあり、操作している人体にも危険
が及ぶ可能性がある。さらに、回転部材の多くはモータ
により駆動伝達機構を介して駆動されており、ＣＰＵの
暴走によりモータの制御ができなくなった場合、複写機
の使用者に対し、不用意に手を挟んでしまう等の危害が
及ぶ可能性がある。

【０００４】以上の状況が可能性としてでもある場合
は、ＣＰＵ制御（プログラム制御）だけでなく、何等か
のフェイルセーフ機構を有するのが普通であり、暴走そ
のものだけで上記被害を受けることがないようになって
いる。すなわち、ヒータには異常加熱により焼損、焼失
を防止するための温度ヒューズがあり、モータ部の異常
電流を検知する回路を設けたり、駆動部に不用意に手が
触れられない構造にしたりしている。

【０００５】また、ＣＰＵの暴走に対しても何等かの検
出手段を設け、機器の制御を自動的に正常復帰させよう
とする提案もなされている。例えば、特開平２ー２６４
３４１号公報は、ＣＰＵの暴走を検出して初期状態に復
帰させるＣＰＵの暴走検出復帰方式に関するものであ
り、（１）独立した複数のソフトウェアモジュールを一
定の順序で実行して特定の処理を行うとき、各ソフトウ
ェアモジュールには実行順序に対応するモジュール番号
を付与する一方、各ソフトウェアモジュールの実行毎に
付与されたモジュール番号を識別するモジュール番号識
別手段と、各ソフトウェアモジュールの実行回数を計数
するハードウェアにより構成された計数手段と、その計
数手段の計数値と前記モジュール識別手段により識別さ
れたモジュール番号とを比較する比較手段と、その比較
手段による照合結果が不一致の場合にＣＰＵをリセット
するＣＰＵリセット手段とを備えたものである。また、
（２）同一ソフトウェアモジュールを繰り返し実行する
場合には、前記計数手段による計数動作を行わないよう
にしている。

【０００６】さらに、上記の検出手段以外に、従来より
ＣＰＵの暴走を検出する手段として、ウォッチドッグタ
イマがよく使用されている。このウォッチドッグタイマ
として、例えば、各処理の制御プログラム内に、一定時
間周期でメモリの特定エリアに所定のデータを書き込む
プログラムを付加すると共に、別の手段によりそのメモ
リエリアのデータを常時チェックして、所定データでな
くなった場合に、ＣＰＵの暴走と判定するものがよく知
られている。

【０００７】一般に、ウォッチドッグタイマは、上記の
ように一定の処理ルーチンが所定の時間内に実行されて
いるかどうかを検出することにより、異常状態を判定す
るものである。

【０００８】ＣＰＵの異常状態を検出する手段として、
ウォッチドッグタイマ以外にも様々なものがある。以下
にその代表的なものを列記すると、 （１）未定義命令実行検出 ＣＰＵ自身に実装されている命令の内、定義されていな
い命令がＣＰＵに読み込まれたとき、これをＣＰＵ自身
が検出し、異常状態として処理する。ＣＰＵ自身がこの
機能を有し、異常状態検知時には最優先割り込み（内部
割り込み）を実行するのが一般的である。

【０００９】（２）特権命令違反 ＣＰＵの持つ命令体系を複数のランクに分け、ある操作
をしないとランクを越えた命令を実行しないようにした
ものであり、ランクの高い特権命令をランクの低い状態
からの特定の操作を経ることなく、特権命令の実行命令
が読み込まれた場合、これを検出し、異常状態として処
理する。これも（１）と同様にＣＰＵ自身に実装される
のが一般的である。

【００１０】（３）メモリ境界アクセス違反 ＣＰＵがアクセスできるメモリ境界をあらかじめ設定し
ておき、その設定境界を越えてメモリをアクセスしよう
としたとき、これを検出し、異常状態として処理する。
さらにＣＰＵのアクセス可能なメモリ領域に対し、書き
込みのみ／読み込みのみの設定ができるようにし、設定
に対して違反した場合（書き込みのみの領域に対し読み
出そうとした場合、あるいは読み込みのみの領域に対し
て書き込もうとした場合）にこれを検出し、異常状態と
して処理する、等があり、いずれの場合も検出手段とし
ては、ＣＰＵ外部のハードウェアによるもの、ＣＰＵ自
身に実装されたハードウェアによるもの等となってい
る。

【００１１】また、その異常状態の復帰のための手段と
しては、 （１）異常判定時にＣＰＵに外部からリセットをかけ、
強制的に初期動作から復帰させるハードウェアによるも
の （２）異常判定時にＣＰＵに割り込みをかけ、割り込み
処理として行うソフトウェアにより強制的に初期動作か
ら復帰させるもの （３）上記（２）のソフトウェアを介し、外部に設けた
ハードウェアによりＣＰＵ自身にリセットをかけ、強制
的に初期動作から復帰させるもの 等が挙げられる。

【００１２】ハードウェアとして上記を実現させている
代表的なものとして、近年多くのウォッチドッグタイマ
内蔵のリセットＩＣが市場に出てきている（この場合の
タイマはリセット解除後自動的にスタートし、タイムア
ップ前にＣＰＵからリセットＩＣにアクセスすることに
より、タイマを再セットするのが一般的である）。これ
は、電源投入時あるいは電源が所定電圧以下になったと
きにＣＰＵをリセットさせるリセット回路にウォッチド
ッグタイマを付加したものであり、ウォッチドッグタイ
マにて暴走検出されたときには、電源が正常であっても
ＣＰＵに対して電源投入時と同様なリセット信号を発生
させるものである。したがって、ＣＰＵは電源投入時と
同じ処理を実行することになり、特に暴走検出時の処理
等を有することはない。

【００１３】上記リセットＩＣを利用する以外には、ウ
ォッチドッグタイマによる暴走検出手段からの出力がＣ
ＰＵの割り込み端子に接続され、ＣＰＵ自身による割り
込みプログラムで対応するのが一般的であるが、その処
理内容としては、上記公報に記載されているように、リ
セット処理と同じ自動復帰手段をとるのが通例であっ
た。

【００１４】また、上記ウォッチドッグタイマをＣＰＵ
自身に内蔵し、暴走検知がなされた場合、ＣＰＵ自身に
強制割り込み（内部割り込み）をかけるものもあるが、
この場合も割り込み処理としては、上記の如くリセット
処理と同じ手段がとられているのが通例であった。

【００１５】

【発明が解決しようとする課題】ところで、ＣＰＵの暴
走は、 （１）内部原因による場合 プログラムのバグ等に代表されるソフトウェアに起因す
るもの、ＣＰＵ周辺のＩＣの不良等に代表されるハード
ウェアに起因するもの、またまれにＣＰＵ自身の回路の
欠陥によりＣＰＵ自身の暴走が惹起される場合もある。

【００１６】（２）外部原因による場合 外来ノイズに代表される環境に起因するものといった種
々の原因により引き起こされ、上記の原因によるものが
大半であり、あるいは複合した原因によりＣＰＵの暴走
が発生する場合もある。さらにＣＰＵの暴走が傾向的に
発生する場合、あるいは突発的（偶発的）に発生する場
合もあり、さらにまたそれが複合的に発生する場合もあ
り、その発生の予測が困難であった。

【００１７】また、ＣＰＵの暴走により種々の障害が発
生し、特に機器を制御しているものにおいては、火災発
生等の致命的となる可能性がある。しかしながら、従来
ではその暴走の原因を特定するよりもＣＰＵの暴走を確
実に検出することに重点が置かれることが多かった。そ
して、異常検出後の復帰手段としては、ＣＰＵのリセッ
トによって行うのが大半であり、暴走の原因の除去には
あまり関心がなく、復帰しても再度暴走する危険性が常
につきまとっていた。

【００１８】具体的に暴走検知手段としてウォッチドッ
グタイマを用いた従来技術について考察してみると、ま
ず、 （１）ハードウェア構成 ＣＰＵの暴走検出手段としてウォッチドッグタイマを装
備し、暴走検出時にはＣＰＵに対して最優先の割り込み
手段を有するもの（すなわち、割り込み要求があればＣ
ＰＵが必ず割り込み処理にはいるようになっているも
の）とする。制御対象機器は、プリンタや複写機等であ
り、ヒータ等の加熱部を有し、さらにＣＰＵはスキャナ
等の可動部の制御を行っている。

【００１９】（２）暴走検出時の割り込み処理 機器の自動復帰を行うため、自身ＣＰＵのリセット手段
を有し、割り込み処理としては、このリセット手段によ
りＣＰＵをリセットするものとする。ＣＰＵは、リセッ
トされた場合、電源投入時と同じシーケンスにて機器を
制御する、ものとする。このような従来技術において、
以下のような問題がある。

【００２０】（１）暴走原因の特定が困難 暴走検出は可能であるが、その原因の特定が困難であ
り、原因除去の手段が無く、再度暴走検出する可能性が
常にある。プログラムのバグ等により、ある条件下にお
いて常にＣＰＵの暴走が発生する場合でも、検知後リセ
ット解除してしまうため、その原因を推定する手段がな
くなってしまっていた。

【００２１】（２）自動復帰手段が不適切な場合の対処
ができない 暴走の原因が除去されぬままＣＰＵのリセットによる自
動復帰のため、暴走検出→自動復帰→暴走検出の繰り返
しになる可能性がある。（１）のプログラムのバグ等に
よる場合、その再現性を含め典型的な例と言える。

【００２２】（３）暴走原因の除去が困難 暴走検出しても、ＣＰＵをリセットしてしまうため、ど
のような条件下で発生したかの特定が困難であり、その
原因除去が難しくなる。特に暴走の原因が外部にある場
合、暴走検出により致命的な事故を防げたとしても、暴
走発生が不定期であることがほとんどであり、その後の
安全処置をとることが困難である場合が多い。また、
（１）の例のように暴走の原因が内部にあり、定期的に
発生する場合においても、条件を特定する手段がないた
め、やはり暴走原因の除去は困難である。

【００２３】（４）暴走検出しない可能性が高くなる ウォッチドッグタイマのみの暴走検出手段であると、そ
の検出にかからないＣＰＵの暴走が発生する可能性が高
くなる。すなわち、暴走検出→自動復帰の繰り返しが多
くなってくると、その発生原因の種類により暴走検出手
段によるＣＰＵの暴走検出が不可能な暴走が発生する確
率が高くなってくることが予想される。上記状況を避け
るためには、より確実な暴走検出手段を新たに設ける
か、追加することが必要となる。

【００２４】（５）メモリ破壊に至る場合がある ＣＰＵが暴走し、それを検出するまでにはある一定の時
間を要するため、その間に（不揮発性のメモリに記憶さ
れた）データを破壊してしまう可能性がある。ある機器
の制御が前提であるＣＰＵに対し、その制御データを失
ってしまうことは、新たな暴走の原因になるばかりでな
く、たとえプログラムが正常に機能したとしても、機器
としては、もはや正常な動作を望めなくなってしまう場
合がある。

【００２５】本発明は、上記に鑑み、安全度の高い自動
復帰を可能にして機器の制御を安全に行える暴走検出復
帰方式の提供を目的としている。また、ＣＰＵの暴走に
対しても安全にメモリを保護できる暴走検出復帰方式の
提供を目的としている。

【００２６】

【課題を解決するための手段】本発明による課題解決手
段は、機器の制御を行うＣＰＵといった処理装置と、前
記機器の動作のシーケンシャル制御プログラムの異常を
監視する暴走検知手段と、暴走検知手段によって検知さ
れた暴走関連情報を記憶する記憶手段と、新たな暴走が
検知されたとき記憶された暴走関連情報に応じてＣＰＵ
を自動復帰させるかあるいは動作制御を停止させるかを
判別する判別手段とを備えたものである。

【００２７】ここで、暴走検知手段は、ウォッチドッグ
タイマ、未定義命令実行検出、特権命令違反、メモリ境
界アクセス違反といった検知手段とされ、いずれもＣＰ
Ｕの割り込みとして処理されるため、過去の暴走履歴と
いった暴走関連情報を得ることができる。したがって、
暴走の原因を推定できるとともに、自動復帰が不適切な
場合にも対処でき、適切な処理を行って暴走の繰り返し
を回避できる。また、原因の推定が可能なため、原因の
除去を行えたり、危険性を予測して事前に回避すること
もできる。さらに、自動復帰がメモリ破壊に至る場合に
は、暴走検知時にチェックを行えるので、自動復帰を避
けて、メモリを保護できる。

【００２８】暴走関連情報が暴走検知回数とされ、暴走
検知回数が所定回数以下の場合は自動復帰を行い、所定
回数以上の場合は機器の動作制御を停止させるものであ
る。

【００２９】暴走検知手段による検知があった場合、そ
の回数をカウントして回数に応じて自動復帰か否か判断
することにより、再度の暴走の発生を防止している。

【００３０】暴走関連情報が暴走検知時の動作モードと
され、同一動作モードにおける暴走検知回数が所定回数
以下の場合は自動復帰を行い、所定回数以上の場合は異
常表示を行って自動復帰を行うか、あるいは機器の動作
制御を停止させるものである。

【００３１】これによって、ＣＰＵの暴走を動作モード
と関連付け、各モードに対応する暴走の原因を推定する
ことができる。また、逆に動作モードに関係なく暴走が
検知される場合は、突発的な外部要因によるものと推定
できる。

【００３２】暴走関連情報が暴走検知時の動作モードと
され、同一動作モードにおける暴走検知回数が所定回数
以上の場合、自動復帰を行って前記動作モードを記憶し
ておき、該動作モードが選択されたとき機器の動作を禁
止するものである。

【００３３】ここでは、特定の動作モードが選択された
ときのみ動作を禁止し、他の動作モードの場合は動作さ
せても差し支えないので通常通り動作させる。これによ
って、機器のダウンタイムを最小に抑えることができ
る。

【００３４】暴走関連情報が暴走の発生度合とされ、発
生度合が所定レベル以下の場合は自動復帰を行い、所定
レベル以上の場合は機器の動作制御を停止させるもので
ある。

【００３５】ここで、暴走の発生度合とは、再度暴走が
発生するか否かの発生確率、あるいは前回の暴走発生時
に求めた発生確率と今回の暴走発生時に求めた発生確率
とに基づいて得られる発生頻度であり、危険度を表して
いる。そして、過去の暴走の履歴から暴走検知時の状況
により突発的なものに対しては軽く、機器にとって致命
的になると予想されるものに対しては重くといった重み
付けを行って、発生度合のレベルを求める。これによっ
て、次回に発生するであろう暴走の発生度合を求め、そ
れがどのような暴走であるかを予測して、その発生度合
のレベルに応じて自動復帰するか否かを判断する。さら
に、発生度合のレベルを複数に分け、そのレベルにより
どのような処理をするかを決定してもよい。

【００３６】また、暴走検知手段によって検知された暴
走関連情報を記憶する第１の記憶手段と、動作関連情報
を記憶する第２の記憶手段と、第２の記憶手段に記憶さ
れた情報を確認する検査手段と、第２の記憶手段に記憶
された情報が異常であるとき第１の記憶手段に記憶され
た暴走関連情報の内容に応じて自動復帰させるか否かを
判別する判別手段とを備えたものである。

【００３７】これによって、第２の記憶手段に記憶され
た動作関連情報に異常があるとき、暴走関連情報から過
去の暴走によって引き起こされたものか、あるいは別の
突発的な原因によるものかを判断でき、その後の自動復
帰を行うか否かが決まる。したがって、自動復帰によっ
て再び記憶された情報に異常を発生させる可能性を皆無
にでき、情報の消失を防ぎ得る。

【００３８】

【発明の実施の形態】本発明の暴走検出復帰方式を備え
た機器として、ここでは原稿自動送り装置を備えたアナ
ログ複写機を例にとる。図２に複写機の外観図、図３に
開扉状態の正面図、図４に操作パネルの平面図を示す。
図中、１は両面原稿送り装置（ＲＡＤＦ）、２は操作パ
ネル、３は原稿台、４は手差し給紙トレイ、５は補助ト
レイ、６は電源スイッチ、７は前カバー、８はトナー回
収容器収納部、９は左側面カバー、１０はトナーボック
ス、１１は原稿セット台、１２，１３，１４は給紙トレ
イ、１５は定着部、１６は感光体（ＯＰＣ）、１７は帯
電チャージャ、１８は両面トレイ部、１９は特別機能キ
ー、２０はコピー枚数表示部、２１はスタートキー、２
２はクリア／ストップキー、２３は枚数セットキー、２
４はトレイ選択キー、２５はＬＣＤ表示部、２６は倍率
選択キー、２７は濃度切替キー、２８は原稿コピー選択
キーである。

【００３９】また、図５に画像読み取り装置としての光
学部の構成図を示す。図中、３０はコピーランプ、３１
はレフレクター、３２，３３，３４はミラー、３５は固
定焦点レンズ、３６，３７，３８はミラー、３９はコピ
ーランプユニット、４０，４１はミラーベースユニッ
ト、４２はレンズ駆動モータ、４３はミラーベース駆動
モータ、４４はミラーモータである。光学部は、光源移
動によるスリット露光方式により原稿台３上の原稿をス
キャンし、感光体１６上に露光する。画像の濃淡は、コ
ピーランプ光量を制御することにより行われ、画像読み
取り時には、画像の濃淡を検知する自動露光センサ４５
からの出力に基づいて、均一のコピー画像が得られるよ
うにコピーランプ３０の光量を制御している。

【００４０】そして、この複写機は、間接静電複写機で
あって、画像を潜像として感光体１６に形成するカール
ソンプロセスが採用されており、コピー用紙Ｐに普通紙
を用い、図６の如く、帯電、露光、現像、転写、除電の
５つの基本工程と、感光体１６を繰り返し使用するため
に、転写後、感光体１６表面を清掃するクリーニング工
程の６工程とによって、繰り返し使用可能な感光体１６
表面に静電潜像を作り、現像して可視像（トナー像）と
してコピー用紙Ｐに転写し、間接的にコピーをとる。

【００４１】感光体１６は、ドラム状であって光導電体
（Photoconductor）または光半導体と呼ばれるもので構
成されており、特に光半導体としてＯＰＣ（有機光半導
体）を使用しており、光を照射しないときは絶縁体で、
光を照射すると電気抵抗が下がり導電性になる性質（光
導電現象）を持っている。なお、感光体１６は、アルミ
ニウム製ドラム５０の上に顔料層５１およびＯＰＣ層５
２が順次積層されてなる。

【００４２】次に、画像作成プロセスについて詳細に説
明する。まず、帯電工程では、感光体１６の表面を均一
に一定の電位まで帯電させるスコロトロン方式を採用し
ており、図７の如く、帯電チャージャ１７のマイナスコ
ロナ放電により感光体１６表面に均一な負電荷を与え
る。また、感光体１６の表面電位は、スクリーングリッ
ドの電圧によりコントロールされ、グリッド電圧に等し
い電位が保持される。図中、５３は高圧ユニットであ
る。

【００４３】露光工程では、コピーランプ３０により原
稿の光像をミラー３２，３３，３４，３６，３７，３８
およびレンズ３５を通して感光体１６に投影し、図８の
如く、光の当たった部分（原稿の明部）Ａにおいては感
光体１６の表面抵抗値が減少し、負電荷を除電する。光
の当たらない部分（原稿の暗部）Ｂにおいては負電荷が
残留する。すなわち、感光体１６の表面には原稿の明暗
に対応する静電潜像が形成されることになる。

【００４４】現像工程では、２成分磁気刷子現像方式に
よるもので、図９の如く、ＭＧローラ５５からキャリア
にマイナスのバイアス電圧を加えており、トナーは回転
しているキャリアとの摩擦によりプラスに帯電され、感
光体１６表面に形成された静電潜像をトナーにより可視
像にする。

【００４５】転写工程では、図１０の如く、コピー用紙
Ｐの裏面から転写チャージャ５６によりマイナスコロナ
をかけて、感光体１６表面上の可視像を形成しているト
ナーをコピー用紙Ｐに転写する。図中、５７は高圧ユニ
ット、５８はペーパーガイドである。

【００４６】そして、転写後のコピー用紙Ｐおよび感光
体１６共に負帯電しているが、感光体１６の負電位の方
が高いので、感光体・コピー用紙間には吸引力が働く。
そこで、図１１の如く、剥離チャージャ５９によりコピ
ー用紙ＰにＡＣコロナをかけることによって、コピー用
紙Ｐの電位を感光体１６の表面電位と同じ電位にまで下
げる。これにより、感光体・コピー用紙間には吸引力が
働かなくなり、コピー用紙Ｐは紙の腰により自然に剥離
する。剥離チャージャ５９によって剥離がなされない場
合は、剥離爪６０により機械的に強制剥離が行われる。
図中、６１は高圧ユニットである。

【００４７】クリーニング工程では、図１２の如く、ク
リーニングブレード６２により感光体１６上の残留トナ
ーをクリーニングして、残留トナーを回収する。

【００４８】除電工程では、図１３の如く、除電ランプ
６３の光を感光体１６上に照射し、電気抵抗を低下させ
ることにより残留電荷を消去する。

【００４９】上記の工程にしたがってコピー用紙Ｐは、
図１４に示すように搬送される。すなわち、複数の給紙
トレイ１２，１３，１４のうち１つから給紙ローラ６５
によってコピーサイクル毎に１枚づつ給紙され、レジス
トローラ６６まで搬送される。搬送されたコピー用紙Ｐ
はレジストローラ６６にて一時停止した後、感光体１６
上の現像された可視像と同期がとられ、適当なタイミン
グにて転写部６７へと搬送され、転写チャージャ５６に
より画像がコピー用紙Ｐに転写されていく。転写後、感
光体１６より剥離されたコピー用紙Ｐはサクション部６
８により吸引されながら搬送され、定着部６９へと導か
れる。

【００５０】定着部６９において、熱と圧力によりコピ
ー用紙Ｐ上のトナーをコピー用紙Ｐに定着する定着工程
が実行される。定着ローラ７０に内蔵されたヒータラン
プ７１は別制御の機構により加熱され、ローラ圧着によ
りコピー用紙Ｐ上にトナーが定着される。定着工程にお
いても定着ローラ７０の表面温度が一定になるようにヒ
ータランプ７１が制御される。

【００５１】定着部６９を通過したコピー用紙Ｐは、排
紙部７２に搬送され、排紙トレイ７３上に排出される。
また、場合によっては、この後コピー用紙Ｐは丁合装置
に搬送され、丁合いされることもある。

【００５２】そして、複写機には、図１の如く、画像形
成を行うためにセンサ、スイッチ等の入力手段８０から
の出力に基づいてモータ、クラッチ、ソレノイド等の出
力手段８１のシーケンシャル制御を行う処理装置が設け
られている。処理装置は、マイクロコンピュータからな
り、ＣＰＵ８２、制御プログラムを格納したＲＯＭ８３
およびデータの一時退避等のためのＲＡＭ８４、入力手
段８０および出力手段８１をＣＰＵ８２に接続する入力
ポート８５および出力ポート８６を備え、操作パネル２
が接続されている。

【００５３】また、画像形成のシーケンシャル制御プロ
グラムの異常を監視する暴走検知手段と、暴走検知手段
によって検知された暴走関連情報を記憶する第１の記憶
手段と、画像形成関連情報を記憶する第２の記憶手段と
を備え、各記憶手段は、不揮発性の半導体メモリ８７で
あり、本体の電源がオフであってもメモリ内容（デー
タ）は保持される。そして、ＣＰＵ８２は、新たな暴走
が検知されたとき記憶された暴走関連情報に応じて画像
形成のシーケンシャル制御を自動復帰させるか否かを判
別する判別機能を有している。また、ＣＰＵ８２には、
電源投入時のＣＰＵ８２のリセット処理を実行する電源
監視、リセット生成回路８８が接続されている。

【００５４】暴走検知手段としては、ウォッチドッグタ
イマ８９が用いられている。これ以外に、未定義命令実
行検出による方法、特権命令違反の検出による方法、メ
モリ境界アクセス違反の検出による方法があり、これら
の暴走検出手段はＣＰＵ８２の外部割込要求端子に接続
されている。このような少なくとも１つ以上の暴走検知
手段からの暴走検出による割り込み要求があると、ＣＰ
Ｕ８２では割り込み要求にしたがって各割り込み処理を
プログラムによって実現する。

【００５５】ウォッチドッグタイマの一例を図１５に示
す。ハードウェアとしてはワンショットマルチバイブレ
ータ９０で実現しており、これは、入力端子にある一定
の入力を与えると（トリガを与えると）、コンデンサＣ
ｅｘｔと抵抗Ｒｔで規定された長さ分だけパルスを発生
するものであり、パルス発生中にさらにトリガを与える
と、その与えたタイミングからさらに一定の長さ分だけ
パルスを発生するものである。

【００５６】図１６の如く、通常電源投入時にはリセッ
ト端子は一定レベル（Ｌレベル）であり、リセット解除
後からＣＰＵはその処理にはいるのが一般的であり、ウ
ォッチドッグタイマもリセット期間中はその機能は停止
している。

【００５７】リセット解除後、ワンショットマルチバイ
ブレータ９０が動作を開始し、一定パルス期間内にさら
にトリガ入力がない場合、そのパルスは終了し、結果と
して出力が反転するものであり、これをウォッチドッグ
タイマ出力として利用する。

【００５８】すなわち、リセット解除後、一定パルス期
間内にウォッチドッグタイマに所定のトリガを与えない
と、ウォッチドッグタイマの出力が反転し、それを検出
することによりＣＰＵの暴走検出とするものである。な
お、使用しているＩＣについて、参考としてデータシー
トを図１７に示す。

【００５９】次に、ＣＰＵの例外処理について説明す
る。例外処理（エクセプション・プロセッシング）と
は、通常の命令の実行と異なるＣＰＵの動き方のことを
さして言うものであり、通常のＣＰＵの命令実行中に何
等かの要因により、通常の命令を一時中断し別の処理に
移行することを総称して例外処理とするものである。

【００６０】例外処理の要因としては、（１）リセッ
ト、（２）割り込み、（３）トラップ、（４）未実装命
令や不法命令、（５）特権違反、（６）トレース、バス
エラー、アドレスエラー等が挙げられる。

【００６１】なお、例外処理というのは、その要因が発
生してから後の一連のハードウェアの動作を言うのであ
って、割り込みやトラップなどのハンドラとかサービス
ルーチンとか言われるプログラムの実行のことをさして
いるのではない。これらの実行はハード的にみればもち
ろん普通のプログラムの実行に他ならない。すなわち、
要因が発生してからハンドラプログラムがスタートする
までの間にＣＰＵが行うのが例外処理である。

【００６２】（１）リセット リセット入力端子にリセット入力がはいると、ＣＰＵ
は、無条件に所定のアドレスに書かれたデータを読み込
みにいき、そのデータにしたがったアドレスからプログ
ラムを実行しようとする。通常のいわゆる割り込みと異
なるのは、この入力があると、ＣＰＵ自身が持っていた
それまでのデータを放棄し（イニシャライズし）、最初
からプログラムを実行しようとすることである。また、
ＣＰＵによってはＣＰＵ以外の他のデバイスのためにリ
セット出力を出すものもあり、他のデバイスはこれによ
って、いわゆる初期化を実行するものである。

【００６３】（２）割り込み 通常命令実行中に割り込み要因が発生すると、ＣＰＵは
それまでの命令実行を一時中断し、中断したプログラム
のアドレスおよびそのときのデータを一旦定められた記
憶領域に退避する。その後、所定のアドレスに書かれた
データを読み込みにいき、そのデータにしたがったアド
レスからプログラムを実行しようとするものである。こ
の割り込みには、複数のものがあり、さらに要因を細分
化し、各要因毎に所定のデータを読み込みにいくべきア
ドレスが異なっている。したがって、要因毎の割り込み
プログラムを用意することが可能となっている。

【００６４】リセットと異なるのは、その前提が通常命
令実行中の一時中断と、割り込み処理終了後の通常命令
の再開にあり、リセットは電源投入時に代表される初期
化とその後のプログラム実行である。

【００６５】（３）トラップ ソフト的に例外処理を発生させることであり、ＣＰＵの
命令の１つとして定義される。ＣＰＵはトラップ命令に
会うと、割り込み処理と同様にこれまでのプログラム実
行を一時中断し、トラップ割り込み処理を実行しようと
するものである。

【００６６】（４）未実装命令や不法命令 ＣＰＵがプログラムを読み込んで実行しようとしたとき
に、ＣＰＵ自身に実装されていないコードであったと
き、これを未実装命令として例外処理を実行する。

【００６７】また、不法命令とは、”０”除算に代表さ
れるように命令は存在するがその実行が不可能な（実行
すれば結果が不定になる）ものがあったとき、これを不
法命令として例外処理を実行するものである。

【００６８】（５）特権違反 特権違反とは命令の実行に際し、複数のレベルを設け、
低いレベル（状態、ステート）から高いレベルの命令を
実行しようとしたときに発生するものである。

【００６９】（６）トレース、アドレスエラー、バスエ
ラー トレースとは、ソフト的にプログラムを停止し、次に何
等かの指示を与えるまでプログラムをホールドさせるた
めのものであって、主としてプログラムのデバッグに用
いられている。

【００７０】アドレスエラーは、ＣＰＵが命令を読み込
むときにある規則に沿って実行するが、それが何等かの
要因により実行できなかった場合に発生する例外処理で
ある。具体的には、ワード命令が偶数アドレスからの読
み込みしか許されていないとき、それを奇数アドレスか
ら読み込もうとしたときに発生するものがある。

【００７１】バスエラーとは、ＣＰＵが外部デバイスに
アクセスしようとしたときに、外部からエラーとしてＣ
ＰＵに入力されたときに発生するものである。先に述べ
た境界アクセス違反の場合は、外部に境界を越えてＣＰ
ＵがアクセスしようとしたときにＣＰＵに対し、エラー
を帰すようにすることにより実現可能である。

【００７２】以上、（１）〜（６）までの例外処理の内
容について、実際のデバイスにおける参考例を表１およ
び表２に示す。表１は例外処理の種類と優先度を示し、
表２は例外処理ベクタテーブルを示す。なお、表２中に
バスエラーについての記述がないが、これは表中の外部
割込によって実現可能である。

【００７３】

【表１】

【００７４】

【表２】

【００７５】次に、メモリ境界アクセス違反の検出によ
る暴走検出方法について説明する。これは、メモリアク
セスのためのアドレスデコーダを利用したものであり、
ＣＰＵに必要に応じて図１８に示すような暴走検知回路
を設け、メモリの実装されていない領域をＣＰＵがアク
セスしようとしたときに、ＣＰＵに対し割り込み信号を
発生するようにしたものである。

【００７６】図中、ＲＯＭＣＳはプログラムを格納した
ＲＯＭへのアクセス用の信号、ＲＡＭＣＳはデータ等を
一時格納するためのＲＡＭへのアクセス用の信号、Ｉ／
ＯＣＳは入出力ポートへのアクセス用の信号であり、Ｃ
ＰＵからのアドレス信号によりそれぞれが選択される。

【００７７】また、ＲＤはＣＰＵの読み込みアクセス信
号、ＷＲはＣＰＵの書き込み信号であり、通常ＲＯＭＣ
Ｓ、ＲＡＭＣＳ、Ｉ／ＯＣＳへアクセスするとき以外は
有効とならない。ところがＣＰＵの暴走等により上記以
外のアドレスをアクセスする場合が有り、このようなと
きＩＮＴ信号で検出する。

【００７８】なお、メモリ境界アクセス違反検出は、メ
モリ等の実装されていない領域をアクセスしようとした
ときにこれを検出するものであるが、実際にメモリが実
装されている場合でも有効である。

【００７９】次に、暴走検知に対する割り込み処理を図
１９のフローチャートに基づいて説明する。割り込み処
理は各暴走検知からの割り込み要求によって行われる。
まず、ＣＰＵの各暴走検知別による割り込み要求によ
り、その内容を選別する。各割り込み要求毎にベクタが
異なり、各要求毎の処理が可能となっている（ステップ
ｎ１）。アキュムレータａに各割り込み要求毎に設定さ
れた評価点Ａ〜Ｇを代入する。評価点は表３に示すよう
なものであり、各暴走検知の種類により重み付けを行っ
ている（ステップｎ２）。アキュムレータｂにメモリに
記憶されている暴走関連情報である前回の暴走検知時の
評価点をメモリから読み込み、アキュムレータａに代入
された今回の評価点を加え、アキュムレータａに退避し
ておく（ステップｎ３）。暴走検知時の複写機のモード
およびステータスにより評価点Ｈを求め、アキュムレー
タｂに代入する。評価点Ｈの一例を表４に示す。これ
は、各負荷が駆動されているかどうか、コピーのとり方
およびそのときの複写機の状態により求めている（ステ
ップｎ４）。アキュムレータａに退避された評価点に上
記で求めた評価点Ｈを加え、アキュムレータａに退避す
るとともに、新たな暴走関連情報としてメモリに退避し
ておく（ステップｎ５）。

【００８０】アキュムレータａに退避された総合評価点
を予め定められた定数Ｊと比較し、自動復帰の如何を判
定する（ステップｎ６）。上記判定により、総合評価点
が定数Ｊを越える場合、複写機の自動復帰を抑制し、停
止状態とする。また、定数Ｊを越えない場合、図示しな
いリセット自動復帰手段により複写機を自動復帰させる
（ステップｎ７）。

【００８１】

【表３】

【００８２】

【表４】

【００８３】次に、複写機を自動復帰させるためのリセ
ット自動復帰手段である再初期設定動作制御回路の一例
を図２０に示す。これは、ＣＰＵからの出力を出力ポー
トを介して自身のリセット入力ポートに接続するもので
ある。したがって、ＣＰＵの再初期設定動作制御として
行うのは、出力ポートにリセット信号を出力することだ
けであり、プログラム自身はその時点で停止し、リセッ
ト割り込みを待つようにするだけである。すなわち、Ｃ
ＰＵは、電源投入時と同様なリセット動作を実行し、プ
ログラムの最初から再実行させる。

【００８４】また、同様の動作を出力ポートを介さずに
実行することも可能であり、直接リセット初期設定プロ
グラムを示すアドレスへジャンプさせることにより実現
できる。

【００８５】上記回路の動作を図２１に示すタイミング
チャートによって説明する。まず、電源投入時には、イ
ンバータ１００の入力は、ＣＲの時定数により徐々
に”Ｌ”から”Ｈ”へ立上り、インバータ１００の出力
へインバートされて”Ｈ”から”Ｌ”へ出力される。
このとき、インバータ１００は入力の入力判定として
一定のスレッショルドレベルを持っており、このレベル
を越えない限り出力反転しない、という性質があり、そ
れを利用して電源投入時期からインバータ１００の出力
への応答を遅らせる。また、この遅れ時間（ディレイ
タイム）はＣＲの時定数により任意に設定可能である。

【００８６】インバータ１００の出力は、さらにイン
バータ１０１に入力され、インバータ１０１の出力に
反転されて出力される。インバータ１０１の出力は、
さらにＯＲゲート１０２に入力され、負論理にて処理さ
れ、リセット入力される。このとき、ＣＰＵの出力
は”Ｈ”のままであり、インバータ１０１の出力の出
力がそのままＣＰＵのリセット入力に加えられることに
なる。

【００８７】次に、ＣＰＵ自身の持つ出力ポートを介し
て自身のプログラムにより自身にリセットをかけるとき
のタイミングは、電源投入後、インバータ１０１の出力
は”Ｈ”のままであるとき、ＣＰＵは自身内蔵されて
いる出力ポートを介して”Ｌ”を出力する。該信号はＯ
Ｒゲート１０２に入力され、そのままＣＰＵ自身のリセ
ット入力に加えられる。

【００８８】ＣＰＵのリセット処理として、通常出力ポ
ートは入力設定にされ、出力ハイインピーダンスにな
る。このときＣＰＵ出力は、抵抗により”Ｈ”にプル
アップされているため、その結果ＣＰＵ出力は、”
Ｌ”から”Ｈ”へ遷移することになり、ＣＰＵはリセッ
ト処理が起動されることになる。

【００８９】以上の処理内容を図２２のフローチャート
に示す。それぞれの自動復帰について示したものであ
り、（１）は自身にリセットを発生させる回路を有する
場合であり、ポート出力後ＣＰＵはストップしている。
（２）は、さらに単純に電源投入時の初期設定ルーチン
へジャンプしているだけであり、特に復帰処理としての
処理は行っていない。いずれにせよリセット処理として
は、ＣＰＵはプログラムの最初から再実行するのみであ
る。なお、イニシャライズ内容を図中に示している。

【００９０】したがって、ＣＰＵの複数の暴走検知手段
の動作がいずれもＣＰＵの割り込みとして処理され、Ｃ
ＰＵの内部割り込みのように各種の選別、区別ができる
ようになっている。そのため、どのような検知手段から
の割り込みかを区別できるようになっている。さらに、
ＣＰＵの割り込み処理の中で、複写機のシーケンス処理
のどの段階で割り込み（暴走検出）されたのかをそのと
きの機器の状態・モード等を見ることによって判断する
ことが可能となる。

【００９１】このように、割り込み時（暴走検出時）の
情報と、メモリに記憶されている前回の暴走検出時の情
報とから、複写機を自動復帰させるかどうかを判定する
ことにより、複写機を安全に制御することができる。す
なわち、過去の暴走の履歴を有しているため、その履歴
情報により従来不可能であった自動復帰後の再度ＣＰＵ
の暴走の発生確率が予測でき、さらにその危険度につい
ても予測することが可能となる。

【００９２】ここで、暴走関連情報として、例えば暴走
検知回数、再度暴走するか否かの発生確率、発生頻度、
暴走検知があったときの画像形成モード、暴走検知時の
検知手段の種類が挙げられる。

【００９３】まず、暴走検知回数の場合について説明す
る。上記ステップｎ２の評価点Ａ〜Ｇを全て１とし、ス
テップｎ４を省略した場合に相当する。すなわち、暴走
検知手段からの出力がカウンタに接続され、暴走検知時
のモードおよびステータス等を全て同一として評価し、
例外処理の種類に関係なくその割り込み回数のみをカウ
ントし、かつその回数のみを評価して、カウント数が一
定以下のときにＣＰＵに対してリセット動作を行うこと
になる。

【００９４】この場合、自動復帰の如何を判定するため
の評価点Ｊとして、Ｊ＝１の場合、暴走検知を１回した
だけで自動復帰が抑制されることになり、実質的に自動
復帰禁止であり、自動復帰できなくなるのと同義であ
る。また、突発的（偶発的）な原因による暴走であって
も複写機が停止してしまうことになり、ダウンタイムは
最大となってしまい、少なくとも評価点Ｊは２回以上が
望ましい。

【００９５】Ｊ＝２の場合、１回の暴走検知を許し、２
回目の暴走検知で自動復帰を抑制することになる。通
常、ＣＰＵの暴走の原因は複数の要因が重なって発生す
ることが多く、その発生原因としては複数の場合が多
い。したがって、１回目の暴走検知と２回目の暴走検知
において、同一の原因により暴走が惹起される可能性は
低く、２回とも突発的（偶発的）な要因による場合の確
率の方が高いと予想される。以上のことより、評価点Ｊ
としては３回以上がより正当であると推測される。

【００９６】また、暴走検知手段の出力をＣＰＵの割り
込み端子に入力するようにして、割り込み処理としてＣ
ＰＵ自身が割り込み回数をカウントするようにしてもよ
い。さらに、カウンタを不揮発性メモリにすると、カウ
ント数はこれまでの暴走検知回数を示すことになる。そ
のため、カウンタをクリアするまでは再度暴走の危険か
ら保護することが可能となり、暴走による複写機の致命
的な事故を回避するこができる。

【００９７】暴走関連情報を発生確率、いわゆる危険度
とする場合について説明する。危険度が所定レベル以下
のときは再初期設定動作制御を行って自動復帰させ、危
険度が所定レベル以上のときは異常表示（暴走検知表
示）を行うと共に、複写機の動作制御を停止させる。こ
こで、複写機にはコピー枚数を記憶する機能を有してい
るのが一般的であり、その他の機器においても何らかの
ライフ（使用期間）を計る手段を有している。そこで、
暴走検知したときに、その発生時点でのコピー枚数によ
って以前の暴走検知からの発生間隔を知ることができ、
その間隔を次にＣＰＵの暴走が発生する発生確率として
とらまえる。

【００９８】そして、図１９において、ステップｎ２の
評価点Ａ〜Ｇをその発生時の危険度に応じて、偶発的な
ものは軽く、複写機にとって致命的になると予測される
ものは重くなるように重み付けを行い、またステップｎ
４で表４に示されるような評価を行った後暴走検知時の
複写機の総コピー枚数と暴走検知回数に基づいて危険度
に応じた発生確率を求める。すなわち、ステップｎ５に
おいて、単純加算にてその総合評価点を求める代わり
に、過去からの暴走発生状況からその発生確率を求め、
次回の暴走発生確率を予想する。例えば、暴走検知の発
生間隔が短くなってきたら暴走が発生しやすくなって危
険度が高くなったと予想する。この予想された危険度が
所定レベルに達したとき、複写機の自動復帰を抑制す
る。

【００９９】また、複写機の自動復帰を抑制するとき、
操作パネルに異常表示（暴走検知表示）を行う。その表
示としてＬＣＤによるメッセージ表示を行うが、他のＬ
ＥＤ等の表示あるいは警報でもよい。これは、使用者に
対して警告を与えるためであり、その障害除去を促すこ
とになる。これによって、自動復帰しない理由を明示的
に外部に対して伝達することができ、使用者に対して無
用な不信感を抱かせないようにすることができる。

【０１００】したがって、単純に暴走検知、自動復帰を
繰り返していると、暴走検知されない可能性が高くなっ
てくるため、機器にとって大変危険な状況となる。すな
わち、次に暴走が発生する確率が高い場合、例えば暴走
時の状況が用紙搬送中であり、定着部にて定着を行うた
めにヒータ等の加熱装置の制御中であるといった、次に
同じタイミングで発生しては機器あるいは使用者に対し
て火災等により危険であると予想される場合に、上記の
如く次回の暴走が発生する危険度を予測することによっ
て、不用意にリセットされるのを防止できる。このよう
に、自動復帰に対してより正確な情報が得られるので、
その判定において信頼性が高くなり、機器の安全性を高
めることができる。特に、複数のＣＰＵの暴走検知手段
を持っていると、各手段の情報から暴走の種類により機
器の暴走時の危険度を予測でき、暴走の危険から回避す
ることが可能となる。

【０１０１】ところで、ＣＰＵの暴走は種々の原因によ
って惹起され、突発的な暴走と機器に対して危険度の高
い暴走が複合して（相前後して）発生するといったよう
に原因が複合的であることもしばしばである。そのた
め、所定レベルに達したかどうかだけで判定すると、的
確な制御を行えない場合がある。

【０１０２】そこで、過去の暴走の発生の履歴から危険
度は、突発的（偶発的）なものと予想され、かつ自動
復帰後の発生確率も低いと予想されるもの、突発的
（偶発的）であり、各暴走関連情報に相互に関連なく発
生するが、発生頻度が一定レベルを越えるもの、発生
頻度にかかわりなく危険度が高く、自動復帰の抑制が必
要と判断されるもの、の３つにランク分けすることがで
きるので、各ランクに応じて動作制御を行う。すなわ
ち、危険度が第１の所定レベル以下であるときは再初期
設定動作制御を行い、第１〜第２の所定レベルであると
きは異常表示を行い、危険度が第２の所定レベル以上で
あるときは複写機の動作制御を停止させる。図１９のフ
ローチャートにおけるステップｎ６の判定基準をＪとし
て求めるだけでなく、Ｊ１＜Ｊ２≦Ｊとして、第１〜第
２のレベルをＪ１で、第２のレベル以上かどうかをＪ２
にて評価する。したがって、危険度のランクに応じて的
確な制御を行うことができ、機器の安全性を高めること
ができる。

【０１０３】これを図２３に示すＭＣＢＦをもとに説明
する。ＭＣＢＦは、総コピー枚数に対するエラーの発生
割合を枚数で表したものであり、枚数が多いほどエラー
発生確率が低いといえる。通常ＭＣＢＦは、複写機の寿
命から推定して定められる。したがって、このＭＣＢＦ
でもって、複写機のエラー発生時の危険度を評価するこ
とが可能となる。以上のＭＣＢＦの考え方から、ＭＣＢ
Ｆで定められる発生確率をもとにして、以上であれば自
動復帰を抑制し、同等であれば警告表示を行い、以下で
あれば自動復帰を行うものとする。

【０１０４】図２３に示すようにＭＣＢＦがＳとして定
められているとき、暴走検知のタイミングにより、
（１）〜（３）に示す場合が予想される。ここでは、Ｍ
ＣＢＦでのエラー発生回数を１回とし、評価するエラー
発生確率は１／Ｓとしている。

【０１０５】（１）Ｓ１＜Ｓ２＜Ｓの場合 ＭＣＢＦに対し、Ｓ１およびＳ２のタイミングで暴走検
知があった場合であり、ＭＣＢＦからみれば複写機の異
常とみなせるものである。このとき、暴走検知の確率
（ＣＰＵの暴走発生確率）は２／Ｓ２と考えられ、２／
Ｓ２＞１／Ｓとなり、発生確率からＭＣＢＦで定められ
た発生確率より高くなり、したがって複写機は自動復帰
を抑制することになる。

【０１０６】（２）Ｓ＜Ｓ１＜Ｓ２の場合 ＭＣＢＦに対し、暴走検知がなかった場合であり、最初
の期間（図中Ｓの期間）に対しては問題なしであるが、
次の期間（図中Ｓ’の期間）に対しては２回ＣＰＵの暴
走が発生していることになる。このとき、暴走発生確率
は（１）の場合と同様の２／２Ｓとなり、一方ＭＣＢＦ
での計算としては、 ２／｛２・（Ｓ＋Ｓ’）｝＝２／２・Ｓ＝１／Ｓ となり、２／Ｓ２＞１／Ｓであるが、Ｓ＜Ｓ１＜Ｓ２＜
２・Ｓであることから、ＭＣＢＦで定められた回数とな
り、複写機は警告表示を行い、自動復帰を行うことにな
る。

【０１０７】（３）Ｓ１＜Ｓ＜Ｓ２の場合 暴走検知での発生確率は１／Ｓ１であり、ＭＣＢＦで
定められた発生確率１／Ｓに対して１／Ｓ１＞１／Ｓと
なり、複写機は警告表示を行い、自動復帰を行うことに
なる。また、次の暴走検知に対しては、その発生確率
は２／２Ｓであり、（２）と同様に２／Ｓ２＞１／Ｓと
なるが、Ｓ＜Ｓ１＜Ｓ２＜２・Ｓであることから、複写
機は警告表示を行い、自動復帰を行うことになる。

【０１０８】暴走関連情報を発生頻度とする場合につい
て説明する。ＣＰＵの暴走は機器に致命的なダメージを
与える他、使用者に対しても被害をもたらす可能性があ
り、暴走を発生させないように機器は設計されている。
したがって、機器におけるＣＰＵの暴走は突発的なもの
が大半であり、その多くは外的要因、特にノイズに起因
する。しかしながら、駆動装置を有する機器では使用状
況（使用寿命）により、経年変化によってノイズ（内部
発生ノイズ）が発生する場合があり、特にモータ軸、シ
ールド用アース板等の部材を有する可動部や摺動部にお
いて顕著である。このような原因によるＣＰＵの暴走
は、その原因を特定することが困難であり、しかもある
時点から暴走が頻繁に発生することになり、機器として
は危険な状況になる。そこで、このような状況を推測す
るために発生頻度を用いる。

【０１０９】そのために、少なくとも１つ以上の暴走検
知手段から暴走検知したときの発生確率を計算して記憶
し、次回暴走検知したときに前回からの発生確率を求
め、記憶されている発生確率と今回の発生確率を比較し
て発生頻度を算出する。そして、発生頻度が所定レベル
以下の場合は再初期設定動作制御を行い、所定レベル以
上の場合は、複写機の動作制御を停止させる。

【０１１０】具体的には、前回の暴走検知時に求めた発
生確率を総合評価点の記憶領域（Ｍ）とは別に記憶領域
（Ｍ１）に記憶するものとし、また各暴走検知時にその
ときの複写機の総コピー枚数も同様に記憶領域（Ｍ２）
に記憶するものとする。記憶領域（Ｍ２）に記憶された
総コピー枚数から各暴走検知時に前回発生したときの総
コピー枚数と今回暴走検知したときの総コピー枚数の差
分を求め、この差分量によって前回からの発生確率を求
めることにより、発生確率の増加分を評価することが可
能となり、前回からの暴走発生確率の頻度の増加分を予
測することができる。

【０１１１】すなわち、図２３に基づいて説明すると、
発生確率によって判定すれば、（２）Ｓ＜Ｓ１＜Ｓ２の
場合と（３）Ｓ１＜Ｓ＜Ｓ２の場合においてその結果が
同じであったが、発生頻度で判定すれば（２）の場合、
次のＭＣＢＦサイクルでみたとき、Ｓ’の期間において
２／（Ｓ２−Ｓ）の確率で発生しており、（Ｓ２−Ｓ）
＜Ｓであることから、同様の判定を行えば自動復帰を抑
制することになる。

【０１１２】したがって、単純に求めた発生確率の上昇
によって動作制御を行う場合とは異なり、発生確率の上
昇の度合いにより動作制御を行うので、急激にその発生
確率が増加したかどうかを（発生頻度が急激に増加した
かどうかを）評価することができ、危険度を即座に判定
することが可能となり、より一層安全な自動復帰を実現
できる。

【０１１３】暴走関連情報を暴走検知があったときの画
像形成モードとする場合について説明する。複写機の動
作制御には様々なものがあるが、その制御方法において
複数の画像形成モードを有するのが一般的であり、各モ
ード毎にまた動作制御が異なるのが普通である。例え
ば、 電源オンからコピーレディまでのウォームアップモー
ドがあり、そのときの制御としては、主として定着ヒー
タ制御、画像形成の準備のための高圧チャージャ制御等
を含む。

【０１１４】コピーモード制御として、原稿画像スキ
ャン制御、用紙給紙／搬送制御、画像形成制御（プロセ
ス制御、高圧チャージャ制御）等がある。また、コピー
の取り方に対していくつかのコピーモードに分ける場合
もある。

【０１１５】各オプション制御（ＲＡＤＦ、ソータ
ー、オーディタ等）があるが、〜を含めて全てを一
般的に画像形成モードという場合もある。

【０１１６】各モードにおいて制御対象が各々異なり、
制御対象によりＣＰＵ暴走時の危険度が大きく異なる。
例えば、原稿画像スキャン中では、通常コピーランプが
点灯しかつ異常点灯（焼失／焼損の可能性）、ミラーベ
ース移動中の暴走では、ミラーベースの破壊等を招く危
険性がある。また、ウォームアップが終了すると、コピ
ー待ちのレディウェイト状態となる。このときの制御対
象はほとんどなく、したがって本体レディ中の暴走であ
れば、その多くは突発的なものとみなされ、リセット復
帰に際しても比較的危険度の少ないものであると推測で
きる。また、このとき、本体はほとんどの場合静止状態
であり、ＣＰＵの暴走の原因としては外部からのノイズ
と推定される場合が多い。

【０１１７】したがって、暴走検出時の画像形成モード
で、自動復帰を判断した方が合理的な場合がある。ま
た、複写機の場合、そのコピーのとり方により使用、制
御される機器および回路が異なり、特定の機器の使用時
にＣＰＵの暴走が惹起される場合があり、コピーのとり
方（画像形成モード）により自身の自動復帰を判断した
方が合理的な場合も想定される。

【０１１８】ところで、画像形成モードにかかわりなく
暴走検出があるとリセット復帰を繰り返すのみである場
合、使用者がＣＰＵの暴走を惹起させる画像形成モード
を選択すると常にＣＰＵの暴走が発生する危険性があっ
た。そこで、同一の暴走検知時の画像形成モードが所定
回数以上となったときに異常表示か、あるいは複写機の
動作制御を停止させるようにする。

【０１１９】図１９に示すフローチャートにおいて、ス
テップｎ２の評価点を全て同一（例えば”１”）とし、
ステップｎ４において表４の如く各モード／ステータス
にて評価するとき、その各モード／ステータス毎に記憶
領域を設け、各モード／ステータス毎にステップｎ７に
おける評価、判定を行う。

【０１２０】例えば、操作パネルによってコピーモード
を選択した場合の処理を図２４に示す。コピーモードの
例として、（１）Ｓ→Ｓ（片面原稿→片面コピー）、
（２）Ｓ→Ｄ（片面原稿→両面コピー）、（３）Ｄ→Ｓ
（両面原稿→片面コピー）、（４）Ｄ→Ｄ（両面原稿→
両面コピー）の４種類がある。

【０１２１】図２４において、各コピーモードにてコピ
ー中にＣＰＵの暴走検知があり、割り込み処理を行うと
き、割り込み処理の最初には、割り込み当時のコピーモ
ードについて解析し、上記（１）〜（４）のコピーモー
ドに対する処理に分岐する（ステップｎ１）。各モード
を示す番号（Ｎｏ．）を記憶し、各モードにおける評価
点Ａ〜Ｄをそれぞれアキュムレータａに退避しておく
（ステップｎ２）。先の番号（Ｎｏ．）に基づいて、番
号毎に用意された記憶領域（Ｍ）にアキュムレータａの
値を加算しておく（ステップｎ３）。先の番号（Ｎ
ｏ．）に基づいて、番号毎の記憶領域にある値を評価点
Ｊにより評価する（ステップｎ４）。評価結果として異
常検知と判定されるとき（（Ｍ）≧Ｊ）、エラー処理を
行い、評価点Ｊより低い場合（（Ｍ）＜Ｊ）は、自動復
帰処理を実施する（ステップｎ５）。

【０１２２】このとき、評価点Ａ〜Ｄを全て”１”とす
れば、各コピーモードでの暴走検知回数を表すのは自明
であり、他のモードに対し評価点に重み付けを行っても
よい。また、評価点Ｊについては、Ｊ＝２とすれば、２
回目の同一のコピーモードにて暴走検知があった場合に
エラー処理が実行されることになり、Ｊ＝３であれば３
回目となるのもまた自明である。

【０１２３】以上のように、各画像形成モードにおいて
暴走検知が発生し、自動復帰が抑制される場合、ＣＰＵ
の暴走と画像形成モードとを関連付けることにより、そ
の画像形成モードについて稼働される負荷あるいはセン
サ等の制御対象の挙動から暴走の原因を追求することは
比較的容易であり、また画像形成モードに対する制御対
象にかかわりない暴走の場合、その原因が突発的（偶発
的）な外的要因によるものであると推定することがで
き、複写機の復旧に際し重要な情報となる。

【０１２４】ここで、特定の画像形成モードにて暴走検
知され、それが所定回数以上であるとき、複写機の動作
制御を停止させると、複写機のダウンタイムが増え、稼
働率が低下する。そこで、特定の画像形成モードにて暴
走検知され、それが所定回数以上であるとき、再初期設
定動作制御を行い、かつその画像形成モードを故障モー
ドとして記憶しておく。そして、その画像形成モードが
選択されたときのみ警告を発し、かつ画像形成動作を禁
止するようにする。

【０１２５】例えば図２４に示すフローチャートにおい
て、そのエラー処理において、各コピーモードにおける
エラー情報をメモリに記憶させた後、自動復帰処理を実
施する。以降、エラー情報に該当するコピーモードが選
択されたとき、その動作を禁止し、警告表示を行う。警
告表示は操作パネル上のメッセージ表示でもよく、ブザ
ー等の音声によってもよい。なお、エラー処理として、
（１）Ｓ→Ｓの場合、コピーモードの基本としてこの場
合においてのみ自動復帰を抑制するようにして、他のコ
ピーモードでは自動復帰さるようにしてもよい。

【０１２６】これによって、特定の画像形成モードは実
行できないが他の画像形成モードは実行できるので、複
写機のダウンタイムを最小に抑えることができ、稼働率
を高めることができる。

【０１２７】暴走関連情報を暴走検知時の検知手段の種
類とする場合について説明する。検知手段には種々のも
のがあるが、それぞれに一長一短があり、危険度が異な
る。例えばウォッチドッグタイマでは、検知にはある一
定の時間を要し、たいてい他の検知手段によって先に検
知されるのが大半である。すなわち、未定義命令実行検
出、特権命令違反、メモリ境界アクセス違反等による。
ここで、メモリ境界アクセス違反による検知では、画像
形成用の各種データが破壊されることを意味しており、
場合によっては修復不可能なダメージを複写機に対して
与えることもあり得る。また、通常各種データが記憶さ
れた記憶領域は読み出しのみ可能に設定されているが、
ＣＰＵの暴走時には設定を無視して、この記憶領域に書
き込みを行おうとする場合があり、複写機にとって危険
な状況となる。このとき、自動復帰を行うことは致命的
であり、各種データのダメージの原因特定にも支障を来
してしまう。したがって、検知手段の種類から推測され
る危険度に応じて判断することにより、安全な自動復帰
を実現することができる。

【０１２８】具体的には、図１９に示すフローチャート
において、ステップｎ２の各暴走検知内容毎に評価点を
記憶する記憶領域を設け、ステップｎ６において各暴走
検知内容毎に評価、判定を行う。すなわち、同一種類の
暴走検知手段により暴走検知された回数を計数し、所定
回数以上となったときに異常表示か、あるいは動作制御
を停止させる。

【０１２９】以上に述べてきたＣＰＵの暴走後の処理に
ついては、電源投入後に暴走検知手段によって検知され
てから実行しているが、複写機自身による自動復帰（リ
セット処理）と使用者による電源再投入時のリセット処
理とはほぼ同一の内容である。そのため、暴走を検知
し、何らかのトラブル処理となったとしても、電源再投
入により先の暴走関連情報を失い、再度ＣＰＵ暴走とな
る可能性があった。そこで、電源再投入による再度のＣ
ＰＵの暴走を回避するために、以前の暴走の履歴を記憶
していることを前提に暴走検知制御を少なくとも複写機
への電源投入時に、あるいは再初期設定動作制御時に行
うようにする。すなわち、過去のＣＰＵの暴走の履歴の
判定動作を自動復帰前に実行するもの以外に、自動復帰
後あるいは電源投入後に判定動作を実行するものであ
る。

【０１３０】そのために、電源オフ時に記憶している内
容を保持できる不揮発性メモリを設け、過去のＣＰＵの
暴走の履歴を記憶させておき、暴走検知時に電源投入時
のＣＰＵのリセット処理と同等のリセット処理を実行
し、リセット処理時に暴走関連情報に応じて動作制御を
停止させるか否かを判定し、ＣＰＵの暴走検知時に暴走
状況を前記メモリに記憶させる。

【０１３１】具体的には図１９に示すフローチャートに
おいて、ステップｎ５を実行した後ステップｎ６の評
価、判定を実行せず、無条件に自動復帰動作を行い、自
動復帰動作時にステップｎ６以降の動作を実行する。す
なわち、自動復帰動作は電源投入時の処理と同等のもの
（ルーチンの共通化）とし、電源投入時には常にステッ
プｎ６以降の評価、判定を実行するものである。

【０１３２】以上のような構成をとることにより、暴走
検知後の判定によって自動復帰が抑制されている場合
に、電源再投入により再度ＣＰＵの暴走を招くことを防
止できる。また、電源投入時に常に前回までの暴走の検
知結果を評価、判定することが可能となり、かつ暴走検
知手段による暴走検知時の処理も全て一旦自動復帰手段
を駆動することになり、処理の統一が可能となる。しか
も、電源投入時と暴走検知時の両方に同一の処理を持た
せる無駄が省けることになり、処理の簡易化を達成でき
る。

【０１３３】ところで、複写機において、その画像形成
関連情報は不揮発性メモリに記憶されてデータとして保
持されている。データの内容は、画像形成に直接かかわ
る調整データであったり、機器のライフ等をみるカウン
タである。いずれにせよ、不用意にデータを消失するこ
とは複写機として致命的なダメージとなり、データの保
持が慎重にならざるを得ない。ところが、実際にはＣＰ
Ｕの暴走等によりデータを消失することがある。そのた
め、データを二重に持たせる等のバックアップシステム
を取って、データ消失の対策としている。このようにし
ていても、カウンタ等のカレントデータについては失わ
れてしまうことを避けられない。また、不用意にデータ
が消失する原因の多くがＣＰＵの暴走によるものであ
り、暴走によるデータ破壊があった場合、無条件に自動
復帰させることは非常に危険を伴う。さらに、ＣＰＵの
暴走以外にも、メモリの不良、あるいは外的要因により
データを消失することがあり、これらは突発的な事故と
みなせる。また、ＣＰＵの暴走に対してメモリの保護と
いう観点から見ても、突発的なものと、再度ＣＰＵの暴
走が予想されるものがある。ところが、データの消失の
原因を特定することができずに自動復帰させることが多
く、保護すべきデータに対して十分な保証を与えること
が困難であった。

【０１３４】そこで、データの保護を図るために、暴走
検知手段によって検知された暴走関連情報を記憶する第
１のメモリおよび画像形成関連情報を記憶する第２のメ
モリを設け、第２のメモリに記憶されたデータを確認
し、第２のメモリに記憶されたデータの異常を検知した
とき、第１のメモリに記憶された暴走関連情報の内容に
応じて不用意にデータ内容が書き換えられたかどうかを
判定して、さらにこの判定結果から第２のデータを補填
後自動復帰させるか、あるいは自動復帰を抑制するかを
判別するようにする。

【０１３５】これによって、メモリのデータ異常である
と判定された場合、直前にＣＰＵの暴走があったかどう
かをそのときの総コピー枚数等により判定した後、暴走
があったと判定されると、ＣＰＵの暴走検知内容がメモ
リに対する異常アクセスであったかどうかを判定する。
もし、メモリ異常アクセスにより暴走検知されていた場
合、暴走によりメモリのデータ異常となった可能性が高
いと判定され、機器の自動復帰は次回にもメモリ異常を
発生させるＣＰＵの暴走が発生する可能性が高いと予想
することができる。したがって、データ異常がＣＰＵの
暴走によって引き起こされたものか、あるいは別の突発
的な原因によるものか判別でき、データの消失の原因を
特定することが可能となり、データの保護を図りながら
複写機の自動復帰を安全に行うことができる。

【０１３６】なお、本発明は、上記実施形態に限定され
るものではなく、本発明の範囲内で上記実施形態に多く
の修正および変更を加え得ることは勿論である。例えば
複写機だけでなく、ＣＰＵを用いた機器に適用すること
もできる。

【０１３７】

【発明の効果】以上の説明から明らかな通り、本発明に
よると、 （１）暴走関連情報によって暴走原因の特定が比較的容
易になる。

【０１３８】（２）例えば、ある一定回数以上の暴走検
出により自動復帰を禁止することが可能であり、再度自
動復帰による暴走検出の繰り返しを避けることが可能に
なる。

【０１３９】（３）暴走の原因の推測が可能となるた
め、例えば、ある特定の動作モードで発生することが推
測できれば、該動作モードの使用を禁止することによ
り、暴走原因の除去が可能となる。

【０１４０】（４）暴走原因がある程度予想あるいは特
定が可能であり、これに基づいて機器に対しその危険度
を予測することが可能であり、事前に回避することがで
きる。また、たとえ発生原因が特定できなくとも、発生
度合が一定レベル以上であると判断できれば、機器の自
動復帰を禁止することが可能であり、不用意な自動復帰
により再度の暴走を招く危険を事前に避けることができ
る。

【０１４１】（５）暴走関連情報によって自動復帰を行
えばメモリに致命的なダメージとなるような場合には不
用意な自動復帰を避けることができ、メモリを保護する
ための特別なハードウェアやソフトウェアが不要にな
る、といった効果をハードウェアに負担をそれほどかけ
ずに達成することができ、安全度の高い自動復帰が可能
となり、機器の制御を安全に行うことができる。

【０１４２】暴走検知回数に応じて処理すれば、暴走検
知後の処理が単純であり、その処理をプログラムで実行
したとしても処理に時間を要することなく、迅速な対応
が可能である。また、カウンタを設ける等のハードウェ
アによっても、ハードウェアにかける負担はそれほど大
きくなく実現できる。

【０１４３】暴走検知時の動作モードに応じて処理すれ
ば、動作モードにおいて制御対象がそれぞれ異なり、制
御対象により暴走時の危険度も異なるため、暴走検知時
の動作モードによって自動復帰させるか判断したほうが
合理的となり、動作モードに応じた対応となり、暴走と
関係ない動作モードは実行可能となって、機器の運転効
率がよくなる。

【０１４４】また、特定の動作モードのみその動作を禁
止することができるので、機器としてのダウンタイムが
最小に抑えられ、より確実に機器を安全に保つことがで
きる。

【０１４５】発生度合に応じて処理すれば、機器にとっ
ての危険度を判断できるので、動作制御に対して適切な
処理を行うことが可能となり、暴走に対して安全な自動
復帰を行うことができ、安全性の向上につながる。

【０１４６】情報の異常の原因が暴走によるものなのか
どうかを判断して、それによって自動復帰の有無を決め
ることができるので、再度の暴走によって記憶された情
報に異常が生じるのを防止でき、情報の保護を図って保
護すべき情報に対して十分な保証を与えることができ
る。

【図面の簡単な説明】

【図１】本発明の複写機の制御ブロック図

【図２】複写機の外観図

【図３】複写機の開扉状態の正面図

【図４】操作パネルの平面図

【図５】光学部の構成図

【図６】画像形成のプロセス図

【図７】帯電工程を説明する図

【図８】（ａ）露光工程を説明する図、（ｂ）露光時の
感光体の表面を示す図

【図９】現像工程を説明する図

【図１０】転写工程を説明する図

【図１１】コピー用紙の剥離を示す図

【図１２】クリーニング工程を説明する図

【図１３】除電工程を説明する図

【図１４】コピー用紙の流れを示す図

【図１５】（ａ）ウォッチドッグタイマの回路図、
（ｂ）マルチバイブレータの特性図

【図１６】ウォッチドッグタイマの動作タイミングチャ
ート

【図１７】ウォッチドッグタイマに使用するＩＣのデー
タシートであり、（ａ）ピン接続図、（ｂ）タイミング
チャート、（ｃ）等価回路図

【図１８】（ａ）アドレスデコーダの構成図、（ｂ）ア
ドレスデコーダの特性図、（ｃ）ピン接続図、（ｄ）論
理回路図

【図１９】暴走検知復帰のフローチャート

【図２０】自動復帰手段の回路図

【図２１】自動復帰手段のタイミングチャート

【図２２】自動復帰のフローチャート

【図２３】ＭＣＢＦと暴走検知タイミングの関係を示す
図

【図２４】コピーモード毎による暴走検知復帰のフロー
チャート

【符号の説明】

８０ 入力手段 ８１ 出力手段 ８２ ＣＰＵ ８３ ＲＯＭ ８４ ＲＡＭ ８７ メモリ ８８ 電源監視、リセット生成回路 ８９ ウォッチドッグタイマ

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ Ｇ０６Ｆ 11/00 ３５０ Ｇ０５Ｂ 19/05 Ｄ (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 11/30 310 G05B 9/02 G05B 19/048 G05B 23/02 G06F 1/00 370 G06F 11/00 350

Claims (6)

(57)【特許請求の範囲】
1. 【請求項１】 機器の制御を行う処理装置と、前記機器
   の動作のシーケンシャル制御プログラムの異常を監視す
   る複数種類の暴走検知手段と、各暴走検知手段によって
   検知された暴走関連情報を記憶する記憶手段と、新たな
   暴走が検知されたとき、その内容を選別して、記憶され
   た暴走関連情報および検知時の機器の動作状態に応じて
   暴走の評価を行い、この評価に基づいて前記処理装置を
   自動復帰させるか否かを判別する判別手段とを備えたこ
   とを特徴とする暴走検出復帰方式。
2. 【請求項２】 暴走関連情報が暴走の発生度合とされ、
   次回に発生するであろう暴走の発生度合を予測して、そ
   の発生度合が所定レベル以下の場合は自動復帰を行い、
   所定レベル以上の場合は機器の動作制御を停止させるこ
   とを特徴とする請求項１記載の暴走検出復帰方式。
3. 【請求項３】 暴走検知の種類により評価の重み付けが
   されたことを特徴とする請求項１または２記載の暴走検
   出復帰方式。
4. 【請求項４】 機器の制御を行う処理装置と、前記機器
   の動作のシーケンシャル制御プログラムの異常を監視す
   る暴走検知手段と、該暴走検知手段によって検知された
   暴走関連情報を記憶する記憶手段と、新たな暴走が検知
   されたとき記憶された暴走関連情報に応じて前記処理装
   置を自動復帰させるか否かを判別する判別手段とを備
   え、暴走関連情報が暴走検知時の動作モードとされ、同
   一動作モードにおける暴走検知回数が所定回数以上の場
   合、自動復帰を行って前記動作モードを記憶しておき、
   該動作モードが選択されたとき機器の動作を禁止するこ
   とを特徴とする暴走検出復帰方式。
5. 【請求項５】 電源投入時に、あるいは暴走を検知した
   とき無条件に自動復帰を行って、この自動復帰動作時
   に、処理装置を自動復帰させるか否かの判別を行うこと
   を特徴とする請求項１〜４のいずれかに記載の暴走検出
   復帰方式。
6. 【請求項６】 機器の制御を行う処理装置と、前記機器
   の動作のシーケンシャル制御プログラムの異常を監視す
   る暴走検知手段と、該暴走検知手段によって検知された
   暴走関連情報を記憶する第１の記憶手段と、動作関連情
   報を記憶する第２の記憶手段と、第２の記憶手段に記憶
   された情報を確認する検査手段と、第２の記憶手段に記
   憶された情報が異常であるとき第１の記憶手段に記憶さ
   れた暴走関連情報の内容に基づいて暴走によって情報の
   異常が引き起こされたかを判定して、前記処理装置を自
   動復帰させるか否かを判別する判別手段とを備えたこと
   を特徴とする暴走検出復帰方式。