JPH05158745A - プログラム暴走停止装置 - Google Patents

Abstract

(57)【要約】 【目的】電磁波ノイズ等により、プログラムの一部のみ
が暴走した場合にも、リセットをかけて、再起動させる
ことのできるプログラム暴走停止装置を提供する。 【構成】コンピュータのプログラム実行動作が暴走した
とき、コンピュータにリセットをかけるウォッチドッグ
タイマ回路において、符号付き１バイトのカウンタCWDP
を設け、プログラムの各処理の入り口にて、このカウン
タCWDPにある値を加算し（ステップＳ２等）、処理の出
口において入り口にて加算した値と同じ値を減算させる
（ステップＳ４等）。プログラムが暴走していなけれ
ば、各々の処理の始めにおけるカウンタCWDPと終わりに
おけるカウンタCWDPの値は、同じであり変化しないが、
プログラムの一部に暴走が起きた場合には、カウンタの
絶対値は大きくなる。カウンタが所定の値を越えたとき
ウォッチドッグパルスの発生を禁止する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、自動車用内燃機関等を
制御する制御コンピュータのプログラム暴走停止装置に
関する。

【０００２】

【従来の技術】従来より、自動車用内燃機関等を制御す
る制御装置には、コンピュータのプログラム実行動作が
暴走したとき、コンピュータにリセットをかけるウォッ
チドッグタイマ回路が設けられている。この暴走の起こ
る理由は以下の通りである。

【０００３】コンピュータは、メモリ内に記憶されてい
る命令をプログラムカウンタの値に応じたアドレスから
読み込み、その命令を解読し、その命令が必要とする同
じくメモリに記憶されているデータを用いて処理を実行
する。メモリには、命令とデータとが記憶されていて、
プログラムが正常に動作している場合には、命令を読み
込み次の演算処理を行なうが、電磁波ノイズ等によりプ
ログラムカウンタが誤動作し、プログラムカウンタの値
に応じたアドレスのメモリに記憶されている内容が命令
ではなくデータの場合には、コンピュータは命令ではな
くデータを読み込んでこれを命令として解読して、処理
を実行してしまう。このような動作が繰り返される結
果、プログラムが暴走するのである。

【０００４】上記ウォッチドッグタイマ回路の構成を図
１２に示す。図１２において、マイクロコンピュータ
（以下、ＭＣＵと称す）１０１は、メモリ１０２に記憶
された制御プログラムに従って、種々の処理を行なう。
この制御プログラムの中には、制御プログラムの暴走を
検出する暴走検出プログラムが内蔵されている。

【０００５】制御プログラムが正規の順序で実行されて
いるときには、ＭＣＵ１０１は、出力ポート１０３から
ＭＣＵリセット信号発生回路２０１にウォッチドッグパ
ルスと呼ばれる所定周期の連続パルス信号を出力してい
る。ＭＣＵリセット信号発生回路２０１は、ウォッチド
ッグパルスが入力されている間は、ＭＣＵリセット信号
を出力しない。

【０００６】しかしながら、制御プログラムが、外部か
らの電磁波ノイズや点火ノイズ等の影響により暴走した
場合には、制御プログラムは正規の順序で実行されなく
なり、この結果、暴走検出プログラムが作動して、出力
ポート１０３からのウォッチドッグパルスの出力が停止
する。

【０００７】ＭＣＵリセット信号発生回路２０１は、ウ
ォッチドッグパルスが入力されなくなると、一定時間経
過した後、ＭＣＵリセット信号を出力し、ＭＣＵ１０１
にリセットをかける。ＭＣＵ１０１にリセットがかかる
ことにより、制御プログラムは暴走状態から脱し、電源
ＯＮ時におけるリセット状態からの動作と同じく、初期
状態から再起動される。

【０００８】図１３に、上記自動車用内燃機関等を制御
する制御装置の制御プログラムおよび暴走検出プログラ
ムの構成を示す。制御プログラムは、ステップＳ１にお
けるイニシャルプログラムと、メインプログラム等とか
らなる。メインプログラムは、要求処理速度により、ス
テップＳ１０２における最速処理と、ステップＳ１１１
における処理１と、ステップＳ１１２における処理２
と、ステップＳ１１３における処理３等とに分かれてい
る。最速処理は該制御プログラムで行われる処理の内で
最も速く行われる処理であり、不定周期であるが、例え
ば１ms以内の間隔で実施される。

【０００９】処理１、処理２、処理３は、ステップＳ１
０５，Ｓ１０６ないしＳ１０７における処理タイミング
生成プログラムにより各々の処理タイミングで実行され
る。例えば、処理１は５ms周期、処理２は４０ms周期、
処理３は８０ms周期といったタイミングをとっている。

【００１０】ステップＳ１０３およびＳ１０４からなる
暴走検出プログラムは、ステップＳ１０２における最速
処理が実行される都度実行され、出力ポート１０３の出
力を２ms毎に反転させて、ウォッチドックパルスを発生
している。ここで、制御プログラムが上記の理由で暴走
した場合、暴走検出プログラムが実行されなくなり、ウ
ォッチドッグパルスの出力が停止する。ＭＣＵリセット
信号発生回路２０１は、ウォッチドッグパルスが入力さ
れなくなると、上述の如く一定時間経過した後、ＭＣＵ
１０１のリセット端子１０５に、ＭＣＵリセット信号を
出力し、ＭＣＵ１０１にリセットをかける。

【００１１】

【発明が解決しようとする課題】しかしながら、プログ
ラムの暴走パターンとして、暴走検出プログラムは正常
に実行されてウォッチドッグパルスが出力され続ける
が、他の一部の処理が暴走して正常な処理が実施されて
いないというパターンが発生する。例えば、ステップＳ
１１１の処理１の途中で、誤動作によりステップＳ１１
２の処理２の途中に進んでしまい、さらに、処理１の途
中に進み、ステップＳ１０２の最速処理に戻るというパ
ターンを辿る場合である。このように、プログラムの一
部のみが暴走した場合には、ＭＣＵ１０１にリセットを
かけられず、正常動作に復帰できないことがあった。

【００１２】本発明は、電磁波ノイズ等により、プログ
ラムの一部のみが暴走した場合にも、リセットをかけ
て、再起動させることのできるプログラム暴走停止装置
を提供することを目的とする。

【００１３】

【課題を解決するための手段】上記目的を達成するた
め、本発明は図１に例示するように、プログラムを実行
するプログラム実行手段と、前記プログラム実行手段に
よるプログラム実行に従って、所定周期の連続パルス信
号を出力する信号出力手段と、前記信号出力手段の前記
連続パルス信号を検出する信号検出手段と、前記信号検
出手段により、所定時間内に前記連続パルス信号が検出
されなかったとき、前記プログラム実行手段を初期状態
にさせるリセット手段と、を備えたプログラム暴走停止
装置において、前記プログラムに含まれる所定の処理単
位毎に、処理が正常に終了したことに応じて、正常終了
を表す情報を生成する動作情報生成手段と、前記動作情
報生成手段の情報が異常の場合には、前記信号出力手段
の出力を停止させる信号出力停止手段と、を備えたこと
を特徴とするプログラム暴走停止装置を要旨とする。

【００１４】

【作用】上記構成を有する本発明のプログラム暴走停止
装置は、プログラム実行手段がプログラムを実行し、該
プログラム実行に従って、信号出力手段が、所定周期の
連続パルス信号を出力し、信号検出手段が、該連続パル
ス信号を検出し、該信号検出手段により、所定時間内に
連続パルス信号が検出されなかったとき、リセット手段
が、プログラム実行手段を初期化させる。

【００１５】そして、動作情報生成手段が、プログラム
に含まれる所定の処理単位毎に、処理が正常に終了した
ことに応じて、正常終了を表す情報を生成し、該動作情
報生成手段の情報が異常の場合には、信号出力停止手段
が、上記信号出力手段の出力を停止させる。

【００１６】

【実施例】以下、本発明の実施例を図面に基づいて説明
する。図２は、本発明の第１の実施例のエンジン制御装
置の構成を示すブロック図である。図２において、各種
センサ１は、制御用コンピュータ（以下、ＥＣＵと称
す）３に接続され、このＥＣＵ３には、アクチュエータ
５が接続される。各種センサ１には、エンジンの回転角
度、吸気管圧力、冷却水温、車速、アイドル状態等を検
出するセンサが含まれる。また、アクチュエータ５に
は、点火コイル、バキュームバルブ、インジェクタ、フ
ューエルポンプ、ウォーニングランプ等のアクチュエー
タ類が含まれる。ＥＣＵ３は、入力波形整形回路３１、
ＭＣＵ３３、出力バッファ３５、ＭＣＵリセット信号発
生回路３７および電源回路３９を備える。

【００１７】ＥＣＵ３には、各種センサ１から出力され
る信号が入力される。これらの信号は入力波形整形回路
３１で波形整形されたのち、ＭＣＵ３３に入力される。
ＭＣＵ３３はメモリ３３１に記憶されている制御プログ
ラムにより、出力バッファ３５を介して、アクチュエー
タ５の駆動信号を出力し、図示しないエンジンを制御す
る。

【００１８】また、ＭＣＵ３３は、制御プログラムが正
規の順序で実行されているときには、ＭＣＵリセット信
号発生回路３７にウォッチドッグパルスを出力してい
る。ＭＣＵリセット信号発生回路３７は、ウォッチドッ
グパルスが入力されている間は、リセット信号を出力し
ないが、プログラムが暴走して、ウォッチドッグパルス
が入力されなくなると、一定時間経過後、ＭＣＵ３３に
リセット信号を出力する。

【００１９】尚、ＭＣＵ３３は、プログラム実行手段お
よび信号出力手段に該当し、ＭＣＵリセット信号発生回
路３７は、信号検出手段およびリセット手段に該当す
る。図３に、一般的な制御プログラムの処理の流れを示
す。電源が投入されることにより、イニシャルプログラ
ムが実行され、その後メインプログラムが繰り返し実行
される。メインプログラムは、後述の暴走検出プログラ
ムと、処理タイミング生成プログラムとを含む。メイン
プログラムの実行は、ＥＣＵ３の電源が切られるか、外
部からのリセット信号によりリセットをかけられるまで
繰り返される。ただし、エンジンの回転角度センサ信号
等により割り込み要求がかけられると、割込処理プログ
ラムが実行される。メインプログラムの実行は、割込処
理プログラムの実行が終了するまで中断される。

【００２０】図４にメインプログラムの構成を示し、図
５に、メインプログラムに含まれる暴走検出プログラム
の構成を示し、図６に割込処理プログラムの構成を示
す。メインプログラムは、要求処理速度により、ステッ
プＳ３における最速処理と、ステップＳ１２における処
理１と、ステップＳ１５における処理２と、ステップＳ
１８における処理３とに分かれている。

【００２１】最速処理は該制御プログラムで行われる処
理の内で最も速く行われる処理であり、不定周期である
が、例えば１ms以内の間隔で実施される。処理１、処理
２、処理３は、ステップＳ６，Ｓ７ないしＳ８における
処理タイミング生成プログラムにより各々の処理タイミ
ングで実行される。例えば、処理１は５ms周期、処理２
は４０ms周期、処理３は８０ms周期といったタイミング
をとっている。

【００２２】本実施例では、符号付き１バイトのカウン
タCWDPを設け、各処理の入り口にて、このカウンタCWDP
にある値を加算し、処理の出口において入り口にて加算
した値と同じ値を減算する。プログラムが暴走していな
ければ、各々の処理の始めにおけるカウンタCWDPと終わ
りにおけるカウンタCWDPの値は、同じであり変化しな
い。 図４に示すように、ステップＳ３における最速処
理の前のステップＳ２では、カウンタCWDPを値Ｂだけ加
算する加算処理が行なわれ、最速処理の後のステップＳ
４では、カウンタCWDPを値Ｂだけ減算する減算処理が行
なわれる。

【００２３】ステップＳ１２における処理１の前のステ
ップＳ１１では、カウンタCWDPを値Ｃだけ加算する加算
処理が行なわれ、処理１の後のステップＳ１３では、カ
ウンタCWDPを値Ｃだけ減算する減算処理が行われる。ス
テップＳ１５における処理２の前のステップＳ１４で
は、カウンタCWDPを値Ｄだけ加算する加算処理が行なわ
れ、処理２の後のステップＳ１６では、カウンタCWDPを
値Ｄだけ減算する減算処理が行われる。

【００２４】ステップＳ１８における処理３の前のステ
ップＳ１７では、カウンタCWDPを値Ｅだけ加算する加算
処理が行なわれ、処理３の後のステップＳ１９では、カ
ウンタCWDPを値Ｅだけ減算する減算処理が行われる。ま
た、ステップＳ２２における割込処理の前のステップＳ
２１では、カウンタCWDPを値Ａだけ加算する加算処理が
行なわれ、割込処理の後のステップＳ２３では、カウン
タCWDPを値Ａだけ減算する減算処理が行われる。ここ
で、各処理における加算・減算値Ａ，Ｂ，Ｃ，Ｄ，Ｅの
値は、互いに相等しくない値である。尚、カウンタCWDP
の値は、イニシャルプログラムにてクリアされる。

【００２５】暴走検出プログラムは、最速処理が実行さ
れる都度実行される。この暴走検出プログラムでは、図
５に示すように、ステップＳ５１で２ms毎のタイミング
か否かが判定され、該タイミングであれば、ステップＳ
５２でカウンタCWDPの値に基づいて、暴走しているか否
かが判定される。暴走していない場合にはステップＳ５
４に進み、暴走している場合にはステップＳ５３で制御
フラグXWDPが１にセットされる。

【００２６】ステップＳ５４では、制御フラグXWDPが１
であるか０であるかが判定され、０である場合には、ス
テップＳ５５でウォッチドッグパルス反転が行われる。
制御フラグXWDPが１であれば、この反転は行われない。
尚、制御フラグXWDPはイニシャルプログラムでクリアさ
れている。

【００２７】次に、暴走が起きていない場合の動作を説
明する。暴走が起きていない場合には、ステップＳ２に
おける最速処理は、２ms毎に実行される。また、ステッ
プＳ１２における処理１は５ms毎に実行され、ステップ
Ｓ１５における処理２は４０ms毎に実行され、ステップ
Ｓ１８における処理３は８０ms毎に実行される。例え
ば、図７に示すように、プログラムが処理１において、
処理が正常に実行された場合には、図のから入りか
ら出ることになり、カウンタCWDPは、処理１の前後にて
不変である。この場合において、暴走検出プログラムの
ステップＳ５３で制御フラグXWDPが１にセットされるこ
とはないので、ステップＳ５５で２ms毎にウォッチドッ
グパルス反転が行われ、ウォッチドッグパルスがＭＣＵ
リセット信号発生回路３７に出力される。従って、ＭＣ
Ｕリセット信号発生回路３７からＭＣＵ３３にリセット
信号が出力されることはない。

【００２８】次に、暴走が起きた場合の動作について説
明する。まず、最速処理に戻らないような暴走が起きた
場合について説明する。この場合には、ステップＳ５５
におけるウォッチドッグパルス反転が起こらない。従っ
て、ＭＣＵリセット信号発生回路３７は、ウォッチドッ
グパルスが入力されないため、ＭＣＵ３３にリセット信
号を出力する。それにより、ＭＣＵ３３は正常動作に復
帰する。

【００２９】次に、プログラムの一部に暴走が起きた場
合について説明する。例えば、図７に示すように、処理
１以外の処理から処理１のあるいはに来て、から
出た場合、カウンタCWDPの値は元の値に対して加算ある
いは減算された値となる。もし、ステップＳ１５の処理
２の途中から、ステップＳ１２の処理１の途中へ暴走し
たとし、加減算値Ｃ，Ｄを３、５とすれば、カウンタCW
DPが＋２となる。

【００３０】プログラムがいったん暴走すれば、各処理
の前後にて加算、減算の関係が崩れて、このようなこと
がいたるところの処理間で発生する。この結果、図８
（ａ），（ｂ）に示すように、カウンタCWDPの値は、初
期設定値から正の方向か負の方向にずれていく。

【００３１】暴走検出プログラムのステップＳ５２にお
いて、カウンタCWDPの値の絶対値がある暴走判定値以上
になったことが判定された時、ステップＳ５３で制御フ
ラグXWDPがセットされる。制御フラグXWDPがセットされ
ている時は、ステップＳ５５のウォッチドッグパルス反
転が行われない。従って、ＭＣＵリセット信号発生回路
３７は、ウォッチドッグパルスが入力されないため、Ｍ
ＣＵ３３にリセット信号を出力する。それにより、ＭＣ
Ｕ３３はリセットされ、プログラムはイニシャルプログ
ラムから再起動され、制御プログラムの実行は正常な状
態に戻される。

【００３２】尚、ステップＳ２，Ｓ４，Ｓ１１，Ｓ１
３，Ｓ１４，Ｓ１６，Ｓ１７，Ｓ１９，Ｓ２１，Ｓ２３
の処理の実行が動作情報生成手段として働き、ステップ
Ｓ５２ないしＳ５４の処理の実行が信号出力停止手段と
して働く。以上のように本実施例によれば、従来検出さ
れていなかった制御プログラムの一部分で起こるプログ
ラムの暴走を検出して、ＭＣＵ３３をリセットさせるこ
とができる。この結果、アクチュエータ５の作動悪化を
防止することができるという利点がある。

【００３３】次に、本発明の第２の実施例を説明する。
この実施例のハードウエア構成は図２に示すものと同様
であるので、説明を省略する。メインプログラムの構成
を図９に示し、割込処理プログラムの構成を図１０に示
す。暴走検出プログラムは図５に示すものと同様である
ので説明を省略する。

【００３４】上記第１の実施例では、暴走しても加算と
減算の組み合わせによっては、カウンタCWDPの絶対値が
暴走判定値を越えない場合があり得る。そこで、この様
な場合をなくすために第２の実施例では、１バイトのレ
ジスタSVを設け、各処理の始めで、これにある値を代入
し、処理の終わりで、CWDP＝CWDP＋｜SV−設定値｜の演
算をする。

【００３５】ステップＳ３３の最速処理、ステップＳ４
２，Ｓ４５，Ｓ４８における処理１ないし３およびステ
ップＳ６２の割込処理の前後に用いられる値Ａ，Ｂ，
Ｃ，Ｄ，Ｅは、相互に異なる値である。尚、ステップＳ
３２，Ｓ３４，Ｓ４１，Ｓ４３，Ｓ４４，Ｓ４６，Ｓ４
７，Ｓ４９，Ｓ６１，Ｓ６３の処理の実行が動作情報生
成手段として働く。

【００３６】プログラムの暴走が発生した場合、カウン
タCWDPの値は、図１１に示したように漸増し、必ず判定
値を越える。この結果、第１の実施例と同様の効果が得
られる他、暴走検出の精度が更に向上するという利点が
ある。

【００３７】

【発明の効果】以上のように、本発明によれば、従来検
出されていなかったプログラムの一部分で起こるプログ
ラムの暴走を検出して、プログラム実行手段をリセット
させることができる。この結果、プログラムにより所定
の制御系が制御される場合、該制御系の作動悪化を防止
することができるという利点がある。

【図面の簡単な説明】

【図１】本発明の基本的構成を例示するブロック図であ
る。

【図２】本発明の第１の実施例のエンジン制御装置の構
成を示すブロック図である。

【図３】第１実施例における一般的な制御プログラムの
処理の流れを示す説明図である。

【図４】第１実施例におけるメインプログラムの動作を
示すフローチャートである。

【図５】メインプログラムに含まれる暴走検出プログラ
ムの動作を示すフローチャートである。

【図６】第１実施例における割込処理プログラムの動作
を示すフローチャートである。

【図７】暴走のパターンを示す説明図である。

【図８】第１実施例における暴走検出時のカウンタのカ
ウント状況を示す説明図である。

【図９】第２実施例におけるメインプログラムの動作を
示すフローチャートである。

【図１０】第２実施例における割込処理プログラムの動
作を示すフローチャートである。

【図１１】第２実施例における暴走検出時のカウンタの
カウント状況を示す説明図である。

【図１２】従来のウォッチドッグタイマ回路の構成を示
すブロック図である。

【図１３】従来の自動車用内燃機関等を制御する制御装
置の制御プログラムおよび暴走検出プログラムの動作を
示すフローチャートである。

【符号の説明】

３３…ＭＣＵ ３７…ＭＣＵリセット信号発生回路
３３１…メモリ

Claims (1)

【特許請求の範囲】
1. 【請求項１】 プログラムを実行するプログラム実行手
   段と、 前記プログラム実行手段によるプログラム実行に従っ
   て、所定周期の連続パルス信号を出力する信号出力手段
   と、 前記信号出力手段の前記連続パルス信号を検出する信号
   検出手段と、 前記信号検出手段により、所定時間内に前記連続パルス
   信号が検出されなかったとき、前記プログラム実行手段
   を初期状態にさせるリセット手段と、 を備えたプログラム暴走停止装置において、 前記プログラムに含まれる所定の処理単位毎に、処理が
   正常に終了したことに応じて、正常終了を表す情報を生
   成する動作情報生成手段と、 前記動作情報生成手段の情報が異常の場合に、前記信号
   出力手段の出力を停止させる信号出力停止手段と、 を備えたことを特徴とするプログラム暴走停止装置。