JPH0552945U - 暴走監視装置 - Google Patents

Abstract

(57)【要約】 【目的】 主ＣＰＵと従ＣＰＵが相互監視することで暴
走監視機能を高める。 【構成】 主ＣＰＵ１２が、従ＣＰＵ１３が内蔵する切
り替えスイッチ１７に対し診断モードを指定し、カウン
タ１６の計数動作の外に計数動作のクリアの成否及び計
数限界を示すキャリーアウト信号の出力の有無を診断
し、異常があれば異常検出信号を出力し、診断モードの
指定を解除したあとは、カウンタ１６のキャリーアウト
信号が出力される前に計数動作をクリアする。一方、従
ＣＰＵ１３は、主ＣＰＵ１２により診断モードを指定さ
れたときは、カウンタ１６のキャリーアウト信号を主Ｃ
ＰＵ１２に供給するとともに、診断モードを解除された
ときは、カウンタ１６のキャリーアウト信号を異常検出
信号として出力する。停止回路１４は、いずれの異常検
出信号によっても、主ＣＰＵ１２と従ＣＰＵ１３の動作
を強制的に停止させる。

Description

【考案の詳細な説明】

【０００１】

【産業上の利用分野】

この考案は、第１のＣＰＵと第２のＣＰＵとが相互に監視し合うことで暴走監 視機能を高めた暴走監視装置に関する。

【０００２】

【従来の技術】

図３に示す暴走監視装置１は、衝突事故にさいして車両の乗員を保護するエア バッグ装置に搭載されたＣＰＵ２の暴走を監視するための装置である。ＣＰＵ２ は、車両の速度変化や加速度変化を総合的に判断し、車両の衝突を判定したとき に即座にエアバッグを展開動作させる使命を帯びており、衝突判定のためのプロ グラムを消化実行する。ただし、車両が衝突してもいないときにＣＰＵ２が暴走 してエアバッグの展開信号を出力することがないよう、ＣＰＵ２の動作は常に厳 重に監視する必要があり、このためＣＰＵ２を診断して監視するためのウォッチ ドッグ回路３が、一定の周期でもってＣＰＵ２の診断を繰り返すよう構成してあ る。

【０００３】 本例に示したウォッチドッグ回路３はカウンタ４を内蔵しており、まず車載電 源の投入を受けて、ウォッチドッグ回路３は内蔵するカウンタ４が零から計数動 作を開始する。そして、カウンタ４の計数値が一定値に達した時点で桁上がりを 示すキャリーアウト信号を出力する。ウォッチドッグ回路３のキャリーアウト出 力端子は、監視対象であるＣＰＵ２の強制割り込み入力端子（ＮＭＩバー）に接 続されているため、キャリーアウト信号を受けたＣＰＵ２は、メインルーチンの 処理動作を中断して応答動作に入る。ここでは、ウォッチドッグ回路３内のカウ ンタ４をＣＰＵ２がクリアすることで応答する構成としてあり、カウンタ４の計 数値をクリアできるのはＣＰＵ２からのクリアパルスに限られる。このため、Ｃ ＰＵ２が正常に動作している場合は、カウンタ４がオーバフローする前にＣＰＵ ２が出力するクリアパルスによりカウンタ４はクリアされる。しかし、ＣＰＵ２ の動作に異常が発生した場合、すなわち暴走が発生した場合は、ＣＰＵ２はクリ アパルスを出力しないため、カウンタ４はオーバフローしてしまい、オーバフロ ーと同時にウォッチドッグ回路３からＣＰＵ２に対して動作停止命令が出力され る。

【０００４】

【考案が解決しようとする課題】

上記従来の暴走監視装置１は、ウォッチドッグ回路３がカウンタ４の計数周期 でもってＣＰＵ２を監視する構成であるため、ウォッチドッグ回路３内のカウン タ４が正常に動作している場合は、ＣＰＵ２の異常をクリアパルスの出力が途絶 えたことをもって検出することができる。しかし、ＣＰＵ２を診断監視する立場 にあるウォッチドッグ回路３の側でなんらかの異常が発生し、カウンタ４の計数 動作が停止してしまった場合は、キャリーアウト信号がＣＰＵ２に供給されなく なるため、ＣＰＵ２がクリアパルスを出力しなくともカウンタ４がオーバフロー に至ることはなく、そのためにウォッチドッグ回路３はＣＰＵ２に対する監視機 能を放棄したに等しい状態に陥ってしまう。従って、こうした状況下で仮にＣＰ Ｕ２が暴走した場合には、ウォッチドッグ回路３の異常に気付かないままＣＰＵ ２の暴走も看過されてしまうために、いざというときにエアバッグが展開せず、 高価なシステムが人命保護にまったく役立たないことがあるといった課題を抱え ていた。また、エアバッグ装置に限らず、人命に拘わるような高い信頼性が要求 される他のシステムにおいても、ＣＰＵ２とその動作を監視するウォッチドッグ 回路３について同様の課題を抱えていた。

【０００５】

【課題を解決するための手段】

この考案は、上記課題を解決したものであり、所定のプログラムの実行に伴い 所定のタイミングでクリアパルスを発生する第１のＣＰＵと、前記クリアパルス によりリセットされたのち計数動作を開始し、計数値が所定の上限値に達するま でに前記クリアパルスが再度入力されない場合は、前記第１のＣＰＵが異常であ るとしてキャリーアウト信号を発生する第２のＣＰＵと、前記クリアパルス発生 後に前記第１のＣＰＵが前記第２のＣＰＵの異常を検出したときに出力される異 常検出信号か又は前記キャリーアウト信号が供給されたときに、前記第１のＣＰ Ｕと第２のＣＰＵを強制的に停止させる停止回路とを具備することを特徴とする ものである。

【０００６】

【作用】

この考案は、第１のＣＰＵが所定のプログラムの実行に伴い所定のタイミング でクリアパルスを発生する一方、第２のＣＰＵは前記クリアパルスによりリセッ トされたのち計数動作を開始し、計数値が所定の上限値に達するまでに前記クリ アパルスが再度入力されない場合は、前記第１のＣＰＵが異常であるとしてキャ リーアウト信号を発生し、クリアパルス発生後に第１のＣＰＵが第２のＣＰＵの 異常を検出したときに出力される異常検出信号か又は前記キャリーアウト信号が 停止回路に供給されたときに、前記第１のＣＰＵと第２のＣＰＵを強制的に停止 させることにより、第１のＣＰＵと第２のＣＰＵが相互に暴走を監視し合う。

【０００７】

【実施例】

以下、この考案の実施例について、図１，２を参照して説明する。図１は、こ の考案の暴走監視装置の一実施例を示す回路構成図、図２は、図１に示した主Ｃ ＰＵと従ＣＰＵの動作を説明するためのフローチャートである。

【０００８】 図１に示す暴走監視装置１１は、第１のＣＰＵとしての主ＣＰＵ１２の動作を 監視するため従来のウォッチドッグ回路に代えて、第２のＣＰＵとして従ＣＰＵ １３を設け、主従の関係にあるこれら一対のＣＰＵ１２，１３を相互監視させる とともに、両ＣＰＵ１２，１３に停止信号を入力するための停止回路１４を設け たものである。主ＣＰＵ１２は、例えば車載用エアバッグ装置を動作させるため のプログラムを含むメインルーチンを実行するものであり、対する従ＣＰＵ１３ は、主ＣＰＵ１２の動作を補完する立場にあり、主ＣＰＵ１２の管轄外の仕事に 対して所定のメインルーチンを実行する。

【０００９】 実施例に示した主ＣＰＵ１２は、従ＣＰＵ１３側から供給される計数出力を監 視し、計数動作に異常があれば異常検出信号を出力する。また、従ＣＰＵ１３に 対し診断モードを指定し、計数動作の外に計数動作のリセットの成否及び計数限 界を示すキャリーアウト信号の出力の有無を診断し、異常があれば異常検出信号 を出力するとともに、診断モードの指定を解除したあとは、従ＣＰＵ１３側から キャリーアウト信号が出力される前にクリアパルスを発生して計数動作をリセッ トする。

【００１０】 従ＣＰＵ１３は、主ＣＰＵ１２に対し計数出力とキャリーアウト信号を供給す る計数手段１５を内蔵する。この計数手段１５は、８ビットのカウンタ１６とカ ウンタ１６のキャリーアウト信号の出力先を切り替える切り替えスイッチ１７か らなる。カウンタ１６は、主ＣＰＵ１２から送り込まれるクリアパルスによって 計数値を零にリセットされ、８ビットの計数出力をデータバスを介して主ＣＰＵ １２に送り出す。切り替えスイッチ１７は、主ＣＰＵ１２から送り込まれる診断 モードパルスによって切り替えられ、診断モードにあっては主ＣＰＵ１２側の接 点に切り替わり、カウンタ１６が出力するキャリーアウト信号を主ＣＰＵ１２に 送り出す。また、これとは逆に診断モードを解除されたときは、切り替えスイッ チ１７は停止回路１４側の接点に切り替わり、キャリーアウト信号を異常検出信 号として停止回路１４に供給する。

【００１１】 停止回路１４は、主ＣＰＵ１２が出力する異常検出信号と従ＣＰＵ１３が出力 する異常検出信号を受信し、これらの異常検出信号のいずれか少なくとも一方を 受信したときに主ＣＰＵ１２と従ＣＰＵ１３の各強制割り込み入力端子（ＮＭＩ バー）に停止信号を送り込み、主ＣＰＵ１２と従ＣＰＵ１３の動作を強制的に停 止させる働きをする。

【００１２】 ここで、図２のステップ（１００）において電源を投入すると、主ＣＰＵ１２ と従ＣＰＵ１３は、それぞれステップ（１０１）以下と（２０１）以下に示すフ ローに沿って診断動作を実行する。まず、主ＣＰＵ１２側から従ＣＰＵ１３を診 断するため、ステップ（１０１）において、診断モードパルスのアクティブ出力 を送り出す。一方、従ＣＰＵ側では、ステップ（２０１）に示したように、電源 の投入を受けてカウンタ１６をセットし、カウンタ１６による計数動作を開始し 、続くステップ（２０２）に示したように、主ＣＰＵ１２から診断モードパルス が供給されるのを待つ。

【００１３】 判断ステップ（２０３）において、診断モードパルスがいつまでたってもアク ティブとならず、カウンタ１６がオーバフローした場合は、従ＣＰＵ１３は、判 断ステップ（２０４）において、オーバフローとともに異常検出信号を停止回路 １４に送り込む。その結果、ステップ（３００）において停止回路１４から主Ｃ ＰＵ１２と従ＣＰＵ１３に対しそれぞれ停止信号が出力され、システムは動作を 停止する。一方、主ＣＰＵ１２からの診断モードパルスがアクティブになった場 合は、判断ステップ（２０３）に続くステップ（２０５）において、切り替えス イッチ１７が主ＣＰＵ１２側の接点に切り替わり、これによりカウンタ１６のキ ャリーアウト信号が、切り替えスイッチ１７を介して主ＣＰＵ１２に供給される ようになる。

【００１４】 診断モードパルスをアクティブ出力し、従ＣＰＵ１３に対し診断モードを指定 した主ＣＰＵ１２は、ステップ（１０２）において、まずカウンタ１６のリセッ ト機能を診断する。すなわち、主ＣＰＵ１２からカウンタ１６に対してクリアパ ルスを供給したときに、カウンタ１６の計数出力が零に切り替わるかをチェック するのである。また、続くステップ（１０３）において、カウンタ１６の計数機 能を診断する。すなわち、零リセットされたカウンタ１６の計数値が歩進的に増 加するかどうかをチェックする。さらに、続くステップ（１０４）において、カ ウンタ１６の桁上げ機能を診断する。すなわちカウンタ１６が計数限界において キャリーアウト信号を出力するかどうかチェックする。そして、これら３種類の 診断の結果、カウンタ１６のリセット機能と計数機能及び桁上げ機能になんら問 題がない場合は、判断ステップ（１０５）に続くステップ（１０６）において、 診断モードパルスをノンアクティブに切り替え、従ＣＰＵ１３に対する診断モー ドの指定を解除する。ただし、上記３種類の機能のうち、いずれか一つでも機能 に異常が検出された場合は、主ＣＰＵ１２から停止回路１４に対して異常検出信 号が供給され、ステップ（３００）においてシステムは動作停止する。

【００１５】 これに対し、従ＣＰＵ１３側では、ステップ（２０５）において切り替えスイ ッチ１７が主ＣＰＵ１２側の接点に切り替わった後、ステップ（２０６）におい て診断モードパルスがノンアクティブに切り替わるのを待つ。そして、診断モー ドパルスがノンアクティブに切り替わり、診断モードが解除されることで、判断 ステップ（２０７）に続くステップ（２０８）において、カウンタ１６のキャリ ーアウト信号が停止回路１４に供給される状態に復帰する。このため、主ＣＰＵ １２による従ＣＰＵ１３に対する診断が完了したあとは、カウンタ１６の計数出 力を監視する主ＣＰＵ１２が、カウンタ１６が計数限界を越える前にクリアパル スを出力することで、異常検出信号であるキャリーアウト信号の停止回路１４へ の供給が阻止される。ただし、主ＣＰＵ１２に異常が発生した場合は、カウンタ １６のキャリーアウト信号が切り替えスイッチ１７を介して停止回路１４に供給 され、主ＣＰＵ１２も従ＣＰＵ１３もともに動作を停止する。

【００１６】 このように、暴走監視装置１１によれば、主ＣＰＵ１２が、従ＣＰＵ１３が内 蔵する切り替えスイッチ１７に対し診断モードを指定し、カウンタ１６の計数動 作の外に計数動作のリセットの成否及び計数限界を示すキャリーアウト信号の出 力の有無を診断し、異常があれば異常検出信号を出力し、診断モードの指定を解 除したあとは、カウンタ１６のキャリーアウト信号が出力される前にクリアパル スを発生して計数動作をリセットする。一方、カウンタ１６を内蔵する従ＣＰＵ １３は、主ＣＰＵ１２により診断モードを指定されたときは、カウンタ１６のキ ャリーアウト信号を主ＣＰＵ１２に供給するとともに、診断モードを解除された ときは、カウンタ１６のキャリーアウト信号を異常検出信号として出力する。そ して、停止回路１４が、いずれの異常検出信号によっても主ＣＰＵ１２と従ＣＰ Ｕ１３の動作を強制的に停止させる。従って、主ＣＰＵ１２は診断モードを指定 したときに従ＣＰＵ１３が内蔵するカウンタ１６から供給される計数出力とキャ リーアウト信号を監視することで、カウンタ１６の計数機能とリセット機能及び 桁上がり機能を診断することができ、一方また従ＣＰＵ１３は主ＣＰＵ１２が出 力する診断モードを指定する診断モードパルスとカウンタ１６の計数動作をリセ ットするクリアパルスを監視することで、主ＣＰＵ１２の動作を診断することが できる。このため、従ＣＰＵ１３のカウンタ１６がオーバフローする前に主ＣＰ Ｕ１２側からリセットをかけるといった従ＣＰＵ１３による主ＣＰＵ１２の動作 監視と、主ＣＰＵ１２側から診断モードを指定して行う従ＣＰＵ１３の動作監視 がともに可能であり、主ＣＰＵ１２と従ＣＰＵ１３が相互に相手方の動作を診断 して互いに監視し合うため、主ＣＰＵ１２と従ＣＰＵ１３のどちらかが暴走した 場合でも、必ず両ＣＰＵ１２，１３の動作を停止させることができ、これにより システム全体の安全を確保することができる。

【００１７】

【考案の効果】

以上説明したように、この考案は、第１のＣＰＵが所定のプログラムの実行に 伴い所定のタイミングでクリアパルスを発生する一方、第２のＣＰＵは前記クリ アパルスによりリセットされたのち計数動作を開始し、計数値が所定の上限値に 達するまでに前記クリアパルスが再度入力されない場合は、前記第１のＣＰＵが 異常であるとしてキャリーアウト信号を発生し、クリアパルス発生後に第１のＣ ＰＵが第２のＣＰＵの異常を検出したときに出力される異常検出信号か又は前記 キャリーアウト信号が停止回路に供給されたときに、前記第１のＣＰＵと第２の ＣＰＵを強制的に停止させる構成としたから、第１のＣＰＵはクリアパルスを発 生したのち第２のＣＰＵの計数機能を診断することができ、一方また第２のＣＰ Ｕは第１のＣＰＵが出力するクリアパルスを監視することで、第１のＣＰＵの動 作を診断することができ、これにより第２のＣＰＵによる第１のＣＰＵの動作監 視と、第１のＣＰＵ側からの第２のＣＰＵの動作監視がともに可能であり、第１ のＣＰＵと第２のＣＰＵが相互に相手方の動作を診断して互いに監視し合うため 、 第１のＣＰＵと第２のＣＰＵのどちらかが暴走した場合でも、必ず両ＣＰＵの動 作を停止させることができ、これによりシステム全体の安全を確保することがで き、特にＣＰＵの暴走がそのまま災害に結び付くような非常に高い信頼性が要求 されるシステムに好適である等の優れた効果を奏する。

【００１８】 また、この考案は、第１のＣＰＵが、第２のＣＰＵに対し診断モードを指定し 、第２のＣＰＵから供給される計数出力を監視することによって、第２のＣＰＵ の計数動作と該計数動作のリセット及び計数限界を示すキャリーアウト信号の出 力の有無を診断し、診断モードの指定を解除したあとは、第２のＣＰＵがキャリ ーアウト信号を出力する前にクリアパルスを発生して前記計数動作をリセットし 、対する第２のＣＰＵは、第１のＣＰＵにより診断モードを指定されたときは、 キャリーアウト信号を第１のＣＰＵに供給するとともに、診断モードを解除され たときは、キャリーアウト信号を異常検出信号として前記停止回路に出力する構 成としから、第１のＣＰＵは第２のＣＰＵから供給される計数出力とキャリーア ウト信号を監視することで、第２のＣＰＵの計数機能とリセット機能及び桁上が り機能を診断することができ、一方また第２のＣＰＵは第１のＣＰＵが出力する 診断モードを指定するパルスと計数動作をリセットするパルスを監視することで 、第１のＣＰＵの動作を診断することができ、これにより第２のＣＰＵ側の計数 出力がオーバフローする前に第１のＣＰＵ側からクリアをかけるといった第２の ＣＰＵによる第１のＣＰＵの動作監視と、第１のＣＰＵ側から診断モードを指定 して行う第２のＣＰＵの動作監視がともに可能であり、第１のＣＰＵと第２のＣ ＰＵが相互に相手方の動作を診断して互いに監視し合うことで、第１のＣＰＵと 第２のＣＰＵのどちらかが暴走した場合でも、必ず両ＣＰＵの動作を停止させる ことができ、システム全体の安全を確保することができる等の効果を奏する。

【図面の簡単な説明】

【図１】この考案の暴走監視装置の一実施例を示す回路
構成図である。

【図２】図１に示した主ＣＰＵと従ＣＰＵの動作を説明
するためのフローチャートである。

【図３】従来の暴走監視装置の一例を示す回路構成図で
ある。

【符号の説明】

１１ 暴走監視装置 １２ 第１のＣＰＵ（主ＣＰＵ） １３ 第２のＣＰＵ（従ＣＰＵ） １４ 停止回路 １５ 計数手段

Claims (2)

【実用新案登録請求の範囲】
1. 【請求項１】 所定のプログラムの実行に伴い所定のタ
   イミングでクリアパルスを発生する第１のＣＰＵと、前
   記クリアパルスによりリセットされたのち計数動作を開
   始し、計数値が所定の上限値に達するまでに前記クリア
   パルスが再度入力されない場合は、前記第１のＣＰＵが
   異常であるとしてキャリーアウト信号を発生する第２の
   ＣＰＵと、前記クリアパルス発生後に前記第１のＣＰＵ
   が前記第２のＣＰＵの異常を検出したときに出力される
   異常検出信号か又は前記キャリーアウト信号が供給され
   たときに、前記第１のＣＰＵと第２のＣＰＵを強制的に
   停止させる停止回路とを備えたことを特徴とする暴走監
   視装置。
2. 【請求項２】 前記第１のＣＰＵは、前記第２のＣＰＵ
   に対し診断モードを指定し、前記第２のＣＰＵから供給
   される計数出力を監視することによって、前記第２のＣ
   ＰＵの計数動作と該計数動作のリセット及び計数限界を
   示すキャリーアウト信号の出力の有無を診断し、前記診
   断モードの指定を解除したあとは、前記第２のＣＰＵが
   前記キャリーアウト信号を出力する前にクリアパルスを
   発生して前記計数動作をリセットし、前記第２のＣＰＵ
   は、前記第１のＣＰＵにより前記診断モードを指定され
   たときは、前記キャリーアウト信号を前記第１のＣＰＵ
   に供給するとともに、前記診断モードを解除されたとき
   は、前記キャリーアウト信号を異常検出信号として前記
   停止回路に出力することを特徴とする請求項１記載の暴
   走監視装置。