JPH01312638A - マイクロプロセッサの異常監視リトライ制御装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 （産業上の利用分野） 本発明は、マイクロプロセッサを使用するシステムにお
いて、プログラムの暴走が生じた際にシステムを初期化
して再起動するためのマイクロプロセッサの異常監視リ
トライ制御装置に関する。

（従来の技術） マイクロプロセッサ応用システムにおいては、ハードウ
ェアの故障、ソフトウェアのバグ等のシステム自体が有
する修復不可能な原因により、或いはノイズ等の一過性
の外乱等によりプログラムが暴走することがある。この
ようなプログラムの暴走は、誤出力の発生、これに原因
する周辺ハードウェアの誤動作、暴走等を招き、システ
ム全体に悪影響を与える。このため、プログラム暴走時
のシステム保護対策として、従来からウォッチドッグタ
イマ監視装置が知られている。第２図は上記ウォッチド
ッグタイマ監視装置の原理を説明するためのタイムチャ
ート（同図（ａ））及びフローチャート（同図（ｂ））
であり、この監視装置は、処理プログラムの実行周期（
同図（ａ）参照）をタイマ等を用いて常時監視するもの
である。

すなわち、正常な状態では一定の監視期間Ｔｗより短い
プログラム実行周期でタイマリセット信号ＷＤＴＲを出
力し、タイマを繰返しリセットするので、ウォッチドッ
グタイマ監視装置はプログラムに異常が発生したとは判
断しない。これに対し、監視期間Ｔｖをオーバーしても
前記タイマがリセットされないときには、ウォッチドッ
グタイマ監視装置はマイクロプロセッサシステムのソフ
トウェア或いはハードウェアに異常が生じたちのと判断
し、マイクロプロセッサシステムにプログラムの割込を
かけ、異常処理（例えば、異常が生じた原因を調査し、
デイスプレィ等において警告する）を行う（ステップＳ
　１０１）一方、ソフト的にマイクロプロセッサを停止
させる（ステップＳ　１０２）。

ところで、前記異常処理プログラムそのものが暴走によ
り既に破壊されてしまっている場合やアドレスバス、メ
モリ、レジスタなどの障害等、各種のハードウェアに生
じた異常により異常処理プログラム自体が正常に機能で
きない場合も生じ得るので、上記原理に基づくウォッチ
ドッグタイマ監視装置では適確な監視を行うことができ
ない。

このような事態に対処するための監視装置の構成及び動
作を、第３図〜第５図により説明する。

第３図において、マイクロプロセッサシステム２１に対
し監視期間がそれぞれＴｗＡ、ＴＶｓ（ＴｗＡ＜Ｔｗａ
）であるウォッチドッグタイマ（以下ｒＷＤＴ回路」と
いう）２２Ａ、２２Ｂを使用し、各ＶＤＴ回路２２Ａ。

２２Ｂの出力である割込信号ｉＲＴ及び停止信号μ５Ｔ
ＯＰをそれぞれマイクロプロセッサシステム２１の割込
入力、停止入力とする構成となっている。

この監視装置の動作を第４図により説明すると。

まず、正常時においては、プログラム実行周期ごとにマ
イクロプロセッサシステム２１はタイマリセット信号Ｗ
ＤＴＲを出力しているので、ＶＤＴ回路２２Ａ、２２Ｂ
のいずれも割込信号ｉＲＴ或いは停止信号μ５ＴＯＰを
出力しない。

一方、マイクロプロセッサシステム２１に異常が生じて
プログラムが暴走すると、マイクロプロセッサシステム
２１はＷＤＴＲを出力しなくなる（第４図参照。但し、
同図においてはＷＤＴＲとして示しである）。このため
、ＶＤＴ回路２２Ａのタイマ（図示せず）はリセットさ
れないので、カウント開始から予め設定されている一定
時間Ｔｗ＾経過後に第１のカウントアツプ信号である割
込信号ｉＲＴを出力する。このｉＲＴの入力によりマイ
クロプロセッサシステム２１内部では異常処理が行われ
る。　この動作と並行してＶＤＴ回路２２Ｂはカウント
開始から時間Ｔｗｓを経過するとマイクロプロセッサシ
ステム２１に第２のカウントアツプ信号である停止信号
μ５ＴＯＰを出力し、ハード的にマイクロプロセッサシ
ステム２１の動作を停止させる。

第５図は、第３図のプログラム異常監視装置を具体的に
示す回路図である。正常時においては、マイクロプロセ
ッサシステム２（第３図におけるマイクロプロセッサシ
ステム２１に相当する）は−定の処理プログラム実行周
期でＶＤＴ回路１（第３図におけるＷＤＴ回路２２Ａ、
２２Ｂに相当する）に対してＷＤＴＲを出力しており、
このＷＤＴＲはＮＯＲゲート３を介してＶＤＴ回路１の
リセット端子Ｒ３Ｔにリセット信号として入力される。

ＷＤＴ回路１内部の図示しないタイマは、ＷＤＴＲの反
転信号であるＲ８Ｔが入力されるとタイマのカウントを
解除し、カウントをゼロから再開する。このとき、Ｒ３
Ｔは監視期間ＴｖＡ、ＴｗＢ（第４図参照）より短い周
期で入力されるので、ＶＤＴ回路１はマイクロプロセッ
サシステム２に対しｉＲＴ或いはμ５ＴＯＰを出力する
こともない。

一方、プログラム暴走時においては、マイクロプロセッ
サシステム２はＷＤＴＲを出力しないので、ＷＤＴ回路
１にはＲ８Ｔが入力されない。このため、ＷＤＴ回路１
はその内部のタイマが監視期間Ｔｗ＾を経過するとプロ
グラムが暴走したと判断し、第１のカウントアツプ信号
ｉＲＴをマイクロプロセッサシステム２の割込端子ｉＲ
Ｔに出力し、監視期間Ｔｖｓを経過するとμ５ＴＯＰに
よりマイクロプロセッサシステム２のシステムリセット
端子Ｒ５ＴにＮＯＲゲート８を介し第２のカウントアツ
プ信号である内部リセット信号１ＲＳＴを出力する。

これにより、マイクロプロセッサシステム２は監視期間
Ｔｗ＾の経過後であって監視期間ＴνＢの経過前に異常
処理を行い、監視期間ＴｗＢを経過後にシステムをハー
ド的に停止させる。

なお、第５図において、ＮＯＲゲート３，８の一端子に
入力されるｅＲ３Ｔはシステムの起動時等に使用する外
部リセット信号である。

（発明が解決しようとする課題） ところで、マイクロプロセッサシステムによっては、プ
ログラムの暴走等の異常により一時的にシステムが停止
状態になったとしても、システムの再起動時に全体の動
作に致命的な影響を与えないときには再起動した方が好
ましい場合もある。

例えば、プログラムの暴走の原因がノイズなどの一過性
の外乱によるものである場合においては、ＣＲＴ表示部
の機能が一時停止し、或いはキーボード処理部の機能が
一時停止しても、システムを再度初期化して再起動した
場合においては、画面表示が一時的に乱れ、停止するだ
けで、或いは一時的にキー人力が不能になるだけでシス
テム全体としては致命的な影響を受けないので、システ
ムの停止を回避することが好ましい。

一方、プログラムの暴走の異常の原因がハードウェアの
故障、ソフトウェアのバグなどの復旧不可能なものにつ
いては、システムを停止させてシステム全体を保護する
必要がある。

しかし、従来のシステム保護装置においては、プログラ
ムに暴走が生じた場合におけるシステム保護を、暴走の
原因が一過性のものであろうと復旧不可能なものであろ
うと、これらを俊別することなく基本的にシステムの停
止によって行うこととしているので、上記要請に応えら
れないという不都合があった。

更に、第２図に動作原理を示した監視装置では、異常処
理のためのプログラム自体が破壊されると該装置の保護
機能が正常に働かず、また、プログラムの暴走により周
辺ハードウェアが誤モードに陥ったときには、ハードウ
ェアのリセット以外に復旧の手段がない場合にはシステ
ムは上記暴走に対応できない。更に、第３図及び第５図
に示した監視装置では、一過性の異常によりプログラム
が暴走した場合においてもハードウェアの停止信号を自
動的に解除する手段がなかった。

本発明は、上記問題点を解決するために提案されたもの
であって、プログラムの暴走時において、マイクロプロ
セッサ停止信号を発生させてシステムをハード的に停止
させて前記暴走によるシステムへの悪影響を最小限とす
ると共に、前記停止から一定時間経過後にマイクロプロ
セッサ停止信号を解除してシステムをハード的、ソフト
的に初期化し再起動することによりシステムの継続運転
を可能とし、更にプログラムの暴走が復旧不可能な原因
に基づく場合には、マイクロプロセッサ停止信号を解除
せずにシステムの停止状態を継続させることで、プログ
ラム暴走による障害の波及を防止するようにしたマイク
ロプロセッサの異常監視リトライ制御装置を提供するこ
とを目的とする。

（課題を解決するための手段） 上記目的を達成するために、本発明は、マイクロプロセ
ッサシステムのプログラム実行周期ごとのリセット信号
を入力とし、該リセット信号の入力時点からの時間をタ
イマによりカウントし、このカウント値が予め設定した
第１の監視期間または第２の監視期間を超える前に前記
リセット信号が入力されたときは前記タイマのカウント
を解除して新たにカウントをゼロから再開し、前記カウ
ント値が前記第１の監視期間を超えたときは前記システ
ムに異常処理を行わせるための割込信号としての第１の
カウントアツプ信号を出力し、更に。

前記カウント値が前記第２の監視期間を超えたときは第
２のカウントアツプ信号を出力するウオッチドッグタイ
マの如きプログラム異常検出手段と、前記第２のカウン
トアツプ信号により前記システムのハードウェアの動作
を停止する信号を出力して前記システムを停止させ、こ
の後一定時間経過後に該停止信号を解除して前記システ
ムを初期化。

再起動させる微分回路等のシステム停止・再起動手段と
、前記再起動回数が予め設定した回数を超えたときに前
記停止信号の解除を阻止して前記システムの停止を継続
させるカウンタ回路等の再起動回数計数手段とからなる
ものである。

（作用） 本発明においては、プログラム実行周期ごとのリセット
信号をプログラム異常検出手段に入力してその入力時点
からの時間をタイマによりカウントシ、カウント値が予
め設定した第１の監視期間を超える前にリセット信号が
入力されたとき及び該カウント値が予め設定した第２の
監視期間を超える前にリセット信号が入力されたときは
、タイマのカウントをゼロから再開する。

プログラム異常検出手段は、前記カウント値が第１の監
視期間を超えたときはマイクロプロセッサシステムに割
込信号を出力し、前記カウント値が第２の監視期間を超
えてなされたときはシステム停止・再起動手段に第２の
カウントアツプ信号を出力する。この信号を受けたシス
テム停止・再起動手段はマイクロプロセッサシステムに
ハードウェア停止信号を出力し、一定時間後に該停止信
号を解除する。

そして、マイクロプロセッサシステムは前記割込信号の
入力により異常処理を行い、ハードウェア停止信号及び
その解除信号によってシステムの停止及び初期化、再起
動を行い、前記リセット信号の出力を再開する。また、
再起動回数計数手段は、前記再起動回数が設定値を超え
るときは前記解除信号の駆動を停止して、前記システム
の停止を継続させる。

これにより、本発明ではプログラムの暴走が一過性のも
のか復旧不可能なものかを俊別し、一過性のものである
ときはシステムの継続運転を行い、復旧不可能なもので
ある場合にはソフト的、ハード的にシステムを停止させ
ることができる。

（実施例） 以下、本発明の一実施例を第１図の回路図により説明す
る。同図において、マイクロプロセッサシステム２から
出力されるウォッチドッグタイマリセット信号ＷＤＴＲ
は、　ＮＯＲゲート３を介してプログラム異常検出手段
としてのウォッチドッグタイマ（ＶＤＴ回路）１のリセ
ット端子Ｒ３Ｔにリセット信号Ｒ５Ｔとして入力される
ように接続されている。　ＮＯＲゲート３には上記ＶＤ
ＴＨの他、マイクロプロセッサシステム２の起動時等に
おいて外部リセット信号ｅＲＳＴが入力されており、こ
のｅＲ８Ｔが低レベルとなると低レベル信号を出力して
ＶＤＴ回路１をリセットするものである。

ＷＤＴ回路１は、Ｒ５Ｔにより、内部の図示しないタイ
マのカウントを解除してカウントをゼロから再開する一
方、前記タイマによるカウントが予め設定された監視期
間ＴｗＡ（第４図参照）を超えてなされると出力端子ｉ
ＲＴから第１のカウントアツプ信号である割込信号ｉＲ
Ｔを出力し、前記カウントが予め設定された監視期間Ｔ
ｗｓ（同図参照）を超えてなされると、出力端子μ５Ｔ
ＯＰから第２のカウントアツプ信号であるマイクロプロ
セッサシステム停止信号μ５ＴＯＰを出力するように構
成されている。

また、前記出力端子ｉＲＴはマイクロプロセッサシステ
ム２の入力端子ｉＲＴに接続され、前記出力端子μ５Ｔ
ＯＰは、システム停止・再起動手段としての微分回路４
の入力端子及び再起動回数計数手段としてのカウンタ回
路５のクロック端子ＣＫに接続されている他、ＡＮＤゲ
ート７の一入力端子にも接続されている。

微分回路４はμ５ＴＯＰを微分してパルス信号ＤＥＦを
出力するものであり、その出力側はＮＯＲゲート６の一
入力端子に接続されている。

カウンタ回路５はμ５ＴＯＰの立上りをカウントし、該
カウントが予め設定したカウント数Ｎとなったときは高
レベル信号ＣＴＵＰを出力するように構成されており、
その出力端子はＡＮＤゲート７の他の入力端子に接続さ
れている。また、カウンタ回路５にはリセット端子Ｒ３
Ｔが設けられており、該端子Ｒ３Ｔには前記ｅＲ３Ｔが
入力され、このｅＲ８Ｔが低レベルとなるとカウンタ回
路５はリセットされる。

また、ＡＮＤゲート７の出力端子はＮＯＲゲート６の一
入力端子に接続されており、ＮＯＲゲート６の入力端子
には上述したようにＡＮＤゲート７の出力信号及び微分
回路４の出力信号が入力される他、前記ｅＲ３Ｔが入力
され、このｅＲ３Ｔが低レベルになると低レベルの信号
を出力するようになっている。更に、ＮＯＲゲート６の
出力端子はマイクロプロセッサシステム２の内部リセッ
ト端子Ｒ３Ｔに接続されている。

以下、本実施例の作用を説明する。

プログラム正常時においては、マイクロプロセッサシス
テム２はプログラム実行周期でＷＤＴＲを出力する。こ
のＷＤＴＲはＮＯＲゲート３を介して反転され、ＶＤＴ
回路１のリセット端子Ｒ３Ｔに１百了として出力される
。

ＶＤＴ回路１はＲＳＴが入力されると内部タイマのカウ
ントを解除し、カウントをゼロから再開する。このとき
、ＲＳＴは監視期間Ｔ　ＭＡ　、　Ｔ　ｕｓより短い周
期ごとに内部タイマをリセットするので、ＶＤＴ回路１
はマイクロプロセッサシステム２に対しｉＲＴを出力す
ることがなく、また、微分回路４．カウンタ回路５．Ａ
ＮＤゲート７の何れにもμ５ＴＯＰを出力することもな
い。

一方、プログラム暴走時においては、マイクロプロセッ
サシステム２はＷＤＴＲを出力しないのでＷＤＴ回路上
にはＲＳＴが入力されない。このため、ＶＤＴ回路１は
その内部のタイマが監視期間Ｔｗ＾を経過するとプログ
ラムが暴走したと判断してｉＲＴをマイクロプロセッサ
システム２に出力し、監視期間ＴすＢを経過するとμ５
ＴＯＰを微分回路４．カウンタ回路５及びＡＮＤゲート
７に出力する。

カウンタ回路５は、入力したμ５ＴＯＰの立上りでμ５
ＴＯＰの回数をカウントし、カウント値が設定回数Ｎと
なるとＣＴＵＰを出力するが、いま前記カウンタ値がま
だ前記設定回数Ｎになっていないものとすると、ＡＮＤ
ゲート７は低レベルの信号を出力している。

微分回路４は、入力したμ５ＴＯＰを微分し、マイクロ
プロセッサシステム２をリセットするために十分な時間
幅のパルスＤＥＦを生成してＮＯＲゲート６に出力する
。　ＮＯＲゲート６は、μ５ＴＯＰを反転し、１Ｒ３Ｔ
としてマイクロプロセッサシステム２の内部リセット端
子箱に出力する。

これによりマイクロプロセッサシステム２は１Ｒ５Ｔの
立上りでシステムをハード的に停止し、１Ｒ３Ｔの立下
がりでシステムを初期化して再起動する。この再起動に
より、マイクロプロセッサシステム２は再びＷＤＴＲを
出力し始め、ＷＤＴ回路１の出力ｉＲＴ、μ５ＴＯＰを
解除する。

ここで、プログラムの暴走がノイズ等の一過性の原因に
よるものである場合には、マイクロプロ　（セッサシス
テム２はこの後、正常な運転を再開することがができる
。

一方、プログラムの暴走がハードウェアの故障、ソフト
ウェアのバグ等による即時復旧可能な原因によるもので
ある場合には、プログラム実行の過程においてＷＤＴＲ
の出力が再度停止されるので。

マイクロプロセッサシステム２は異常処理を行い。

カウンタ回路５はカウント値に１を加算し、マイクロプ
ロセッサシステム２は前記のシステムの停止・初期化を
行う。プログラム暴走時においては上記動作が繰り返さ
れるので、カウンタ回路５のカウント値はやがて設定回
数Ｎに達し、カウンタ回路５はＣＴＵＰを出力する。

これにより、ＡＮＤゲート７は高レベルの信号を出力し
、ＮＯＲゲート６は低レベル１Ｒ３Ｔを継続して出力す
るので、マイクロプロセッサシステム２は停止状態を維
持することとなり、この停止状態は外部リセット信号ｅ
Ｒ５Ｔが入力されるまで続くこととなる。

；発明の効果） 以上のように本発明によれば、プログラムの暴走が生じ
た場合において、その異常をプログラム異常検出手段に
より検出しマイクロプロセッサシステムに割込みをかけ
て異常処理を行わせると共に、システムの停止及び再起
動をシステム停止・再起動手段により行う一方、再起動
の回数を再起動回数計数手段によりカウントし、カウン
ト値が設定値を超えたときはシステムを継続的に停止さ
せるようにしたので、即時復旧不能な原因によるプログ
ラムの暴走とノイズなどの一過性の原因によるプログラ
ムの暴走とを俊別することでき、後者に対しては自動的
にシステムをハード的、ソフト的に初期化して再起動す
ることにより、システムを継続して運転することができ
る。

また、再起動回数の上限値を任意に設定することができ
、異常多発時に再起動回数が前記上限値を超えると復旧
不可能な原因によるプログラム暴走であると判断し、自
動的にマイクロプロセッサシステムを停止状態にするこ
とでハード故障やプログラムのバグ等の復旧不可能な障
害にも適切に対応することができる。

【図面の簡単な説明】

第１図は本発明の一実施例を説明するための回路図、第
２図（ａ）は従来技術を説明するためのタイムチャート
、同図（ｂ）は同じくフローチャート、第３図は従来技
術の構成を説明するためのブロック図、第４図は本発明
の一実施例及び従来技術を説明するためのタイムチャー
ト、第５図は第３図のブロック図に対応する回路図であ
る。 １・・・ウォッチドッグタイマ ２・・・マイクロプロセッサシステム ３．６・・・ＮＯＲゲート　　　　４・・・微分回路５
・・・カウンタ回路　　　　７・・・ＡＮＤゲートＷＤ
ＴＲ・・・ウォッチドッグタイマリセット信号ｉＲＴ・
・・割込信号（第１のカウントアツプ信号）μ５ＴＯＰ
・・・マイクロプロセッサシステム停止信号（第２のカ
ウントアツプ信号） ＤＥＦ・・・微分回路出力信号 ＣＴＵＰ・・・カウンタ回路出力信号 １Ｒ８Ｔ・・・内部リセット信号 ｅＲ８Ｔ・・・外部リセット信号

Claims (1)

1. 【特許請求の範囲】 　マイクロプロセッサシステムのプログラム実行周期ご
   とのリセット信号を入力とし、該リセット信号の入力時
   点からの時間をタイマによりカウントし、このカウント
   値が予め設定した第１の監視期間または第２の監視期間
   を超える前に前記リセット信号が入力されたときは前記
   タイマのカウントを解除して新たにカウントをゼロから
   再開し、前記カウント値が前記第１の監視期間を超えた
   ときは前記システムに異常処理を行わせるための割込信
   号としての第１のカウントアップ信号を出力し、更に、
   前記カウント値が前記第２の監視期間を超えたときは第
   ２のカウントアップ信号を出力するプログラム異常検出
   手段と、 前記第２のカウントアップ信号により前記システムのハ
   ードウエアの動作を停止する信号を出力して前記システ
   ムを停止させ、この後一定時間経過後に該停止信号を解
   除して前記システムを初期化、再起動させるシステム停
   止・再起動手段と、前記再起動回数が予め設定した回数
   を超えたときに前記停止信号の解除を阻止して前記シス
   テムの停止を継続させる再起動回数計数手段と、からな
   ることを特徴とするマイクロプロセッサの異常監視リト
   ライ制御装置。