JPH1055316A

JPH1055316A - 制御装置

Info

Publication number: JPH1055316A
Application number: JP8211087A
Authority: JP
Inventors: Tatsuhiro Matsuki; 達広松木
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 1996-08-09
Filing date: 1996-08-09
Publication date: 1998-02-24

Abstract

(57)【要約】【課題】多数決用のＥＥＰＲＯＭの記憶内容および多
数決回路の機能チェックを実施できるようにする。【解決手段】多数決用のＥＥＰＲＯＭ１３〜１５はバ
ッファ７〜９からデータバス３を介してＣＰＵ２やＲＡ
Ｍ４と接続されると共に多数決回路１６に接続される。
多数決回路１６は、ＥＥＰＲＯＭ１３〜１５からの入力
の多数決演算をしてバッファ６を介して出力する。選択
スイッチ２３がオフ状態のときには、ＣＰＵ２は、外部
装置２１からインタフェイス回路２２を介して制御プロ
グラムを読み込んでＲＡＭ４に記憶させ、各ＥＥＰＲＯ
Ｍ１３〜１５を順次選択してその記憶内容と比較する。
また、記憶内容が正しい場合には、ＣＰＵ２は多数決回
路１６の出力とＲＡＭ４の記憶内容とを比較して機能を
チェックする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、記憶素子に記憶さ
れている制御プログラムを多数決演算手段を介して読出
して実行するようにした制御装置に関する。

【０００２】

【発明が解決しようとする課題】この種の制御装置は、
高信頼度が要求されるシステムに対応して考えられたも
ので、例えば記憶素子として書き換え可能なＲＯＭ（Ｅ
ＥＰＲＯＭなど）に同じ制御プログラムを記憶させた状
態で配設し、実行時にはこれらから読出した内容を多数
決演算を行うことにより、例えばそのうちの１つのＲＯ
Ｍにビットエラーが発生している場合でも他の２つの正
しい記憶内容を持ったＲＯＭのデータによって正しい制
御プログラムとして読出すことができるようにしたもの
である。

【０００３】これは、ＥＥＰＲＯＭのような電気的に書
き換え可能な記憶素子においては、電源オフの状態では
記憶内容を保持しているが、使用状態ではビット抜けの
ようなソフトエラーによる誤動作が生ずることがあるか
らであり、記憶素子として故障あるいは破壊していない
場合でもこのようなソフトエラーによって誤った記憶内
容に変化してしまう場合には、それによってデータが変
化してしまうとソフト的に修復不能な状態となって誤動
作の発生が予想される。

【０００４】このような不具合に対して、高信頼度が要
求されるシステムにおいては、複数のメモリを設けてそ
れぞれに同一の内容を記憶させ、読出すときには各メモ
リに記憶された内容の多数決を演算することにより多重
化を図り、一部が故障した場合でも正常に動作させるこ
とができるのである。複数のメモリの記憶内容のうち同
じアドレスのデータが同時にビットエラーを発生する確
率が極めて低くなることが想定されるので、このような
構成を採用することにより信頼性を大きく向上させるこ
とができるのである。

【０００５】ところで、このように高信頼度を有する構
成を設けることは、通常のシステムに比べると部品点数
が増えるため、一部が故障した状態で使用し続けること
は、非多重化システムよりもかえって非効率的になると
共に信頼性が低下してしまう性質を有する。したがっ
て、このような多重化システムを採用する場合には多重
化部分が正常であるか否かを診断することが重要な課題
となってくる。

【０００６】このような課題に対して、従来の技術で
は、多重化システムにおける故障検知の構成として、例
えば、特公昭６０−４４７０８号公報や特開昭６４−５
７５３７号公報に示されるように、不一致回路を採用し
て行うことが一般的であり、また、メモリに関しては、
例えば、特開平５−２１６７７６号公報に示されるよう
に、チェックビット（チェックＳＵＭ）を用いるものが
ある。

【０００７】しかしながら、上述のような従来方式のも
のでは、２個（ビット）までのメモリ異常は検知できる
が、３個（ビット）のメモリ異常を検知することはでき
ないという不具合があり、また、多数決回路そのものが
故障した場合には、メモリの故障との識別ができないた
めに、全てのメモリが異常と判断してしまう場合が生じ
得る不具合がある。

【０００８】さらに、メモリ再書き込み処理をしてメモ
リ復旧をする場合に、２個（ビット）メモリ異常が発生
している場合には、多数決演算の結果で異常のあるメモ
リ内容が正しい内容として判断されることになるので、
結果として間違った内容のデータに書き換えてしまうこ
とになり、メモリの復旧を確実に行えなくなる不具合が
ある。

【０００９】本発明は、上記事情に鑑みてなされたもの
で、その目的は、複数の半導体記憶素子の記憶内容の全
てについてその記憶誤りを確実に診断できるようにする
と共に、多数決演算を実行する手段そのものの故障も診
断できるようにし、さらには、ソフトエラー等により記
憶内容が変化している場合でもこれを確実に復旧できる
ようにした制御装置を提供することにある。

【００１０】

【課題を解決するための手段】請求項１の発明によれ
ば、判定手段は、読込手段に外部からプログラムを読込
ませて一時記憶手段に記憶させ、この後、選択手段によ
り複数個の半導体記憶素子を選択的に指定してそれぞれ
に記憶されているプログラムと一時記憶手段に記憶した
プログラムとを照合して判定するようになる。これによ
り、各半導体記憶素子に記憶されているプログラムを一
時記憶手段に記憶した外部からのプログラムと個別に照
合して判定することができるようになり、複数個の半導
体記憶素子のプログラムの記憶状態を確実に判定するこ
とができるようになるので、エラーが発生している場合
にこれを特定して正しいプログラムを記憶させたりある
いは交換するなどの処理を迅速に対応して行うことがで
きる。

【００１１】請求項２の発明によれば、上述のようにし
て複数個の半導体記憶素子の全てに正しいプログラムが
記憶されている状態が判定された状態では、多数決演算
手段からは必ず正しいプログラムが出力される筈である
が、このとき、一時記憶手段に記憶したプログラムと多
数決演算手段から出力されるプログラムとを照合するこ
とにより、不一致の部分が発生する場合には多数決演算
手段自体に故障があることを判定することができるよう
になる。

【００１２】請求項３の発明によれば、半導体記憶素子
として書き換え可能な不揮発性の記憶素子を用いる場合
には、外部からプログラムを書き込んだりあるいは書き
換えるなどの処理を行うことになるので、動作中にビッ
トエラーなどが発生するおそれがあり、このようなとき
にプログラムの照合を個別に行うことにより、確実なプ
ログラムの読出しを行うことができるようになる。

【００１３】

【発明の実施の形態】以下、本発明の一実施例について
図面を参照しながら説明する。全体の電気的構成を示す
図１において、制御装置１には、内部にＣＰＵ２を中心
とした各種の回路が設けられている。ＣＰＵ２にはデー
タバス３が接続されており、このデータバス３を介して
一時記憶手段としてのＲＡＭ４および診断プログラム記
憶手段としてのＲＯＭ５に接続されると共に、４つのバ
ッファ回路６〜９に接続されている。

【００１４】バッファ回路７〜９は、それぞれデータバ
ス１０〜１２を介して多数決ＲＯＭを構成する半導体記
憶素子としてのＥＥＰＲＯＭ（不揮発性の記憶素子）１
３〜１５に接続されると共に、多数決演算手段としての
多数決回路１６の入力端子に接続されている。多数決回
路１６の出力端子はデータバス１７を介してバッファ回
路６に接続されている。この多数決回路１６は、例えば
三重モジュール冗長性（ＴＭＲ；Triple module redund
ancy）を有するもので、３つの入力信号の多数決を演算
して出力するようになっている。

【００１５】アドレスデコーダ１８およびセレクタ１９
は選択手段として機能するもので、それぞれＣＰＵ２か
らアドレス信号が与えられると共にポート出力信号が与
えられるようになっている。アドレスデコーダ１８およ
びセレクタ１９は、それぞれＡＮＤ回路２０ａ〜２０ｄ
を介してバッファ回路６〜９に接続されており、バッフ
ァ回路６〜９を選択的有効化させるようになっている。

【００１６】外部装置２１は制御装置１のＣＰＵ２に通
信回線などを介して制御プログラムを供給するもので、
ディスプレイやキーボードを備えていて、制御装置１側
からの表示信号によりディスプレイ上に表示されるメッ
セージにしたがってキーボードから入力操作を行うこと
により制御装置１に指示を与えることができるようにな
っている。そして、外部装置２１は、制御装置１のＣＰ
Ｕ２にはインタフェース回路２２を介して接続されるよ
うになっている。また、インタフェース回路２２にはプ
ログラム選択用の選択スイッチ２３が設けられている。

【００１７】次に本実施例の作用について、図２ないし
図４のフローチャートおよび図５をも参照して説明す
る。まず、制御装置１の概略的な動作について説明す
る。選択スイッチ２３は、使用者によって選択設定され
るもので、制御プログラムを実行する場合にはオン状態
に設定して電源を投入し、診断プログラムあるいはロー
ダプログラムを実行する場合にはオフ状態に設定して電
源を投入するようになっている。

【００１８】そして、電源が投入されると、制御装置１
は、図２に示すメインプログラムのフローチャートにし
たがって動作を開始する。この場合、制御装置１は、電
源投入に応じてハード的にこのメインプログラムを実行
するように構成されたものであっても良いし、あらかじ
め記憶されたメインプログラムを読出して実行するよう
にしても良いものである。

【００１９】制御装置１は、プログラムを開始すると、
選択スイッチ２３の設定状態を検出し（ステップＳ
１）、オン状態である場合には制御プログラムの実行を
行うべく、アドレスデコーダ１８およびセレクタ１９に
バッファ回路６を有効化させるアドレス信号およびポー
ト出力を与えて多数決回路１６を起動させるようにする
（ステップＳ２）。続いて、制御装置１は、３個のＥＥ
ＰＲＯＭ１３〜１５のそれぞれから多数決回路１６に制
御プログラムを入力させ、多数決回路１６に多数決演算
を行わせてその結果をバッファ回路６からデータバス３
を介してＣＰＵ２内に読み込むようになり（ステップＳ
３）、制御プログラムを実行する（ステップＳ４）。

【００２０】この場合、多数決回路１６は、３個のＥＥ
ＰＲＯＭ１３〜１５から与えられる制御プログラムのデ
ータが、全て一致しているかあるいは２個のデータが一
致している場合にそれを多数決出力として得るようにな
る。したがって、３個のＥＥＰＲＯ１３〜１５のうちの
１個が何らかの故障によりビットエラーを起こしている
場合でも、他の正しいデータに基づいて得られる多数決
出力によって正しい制御プログラムを読出すことができ
るようになる。

【００２１】次に、選択スイッチ２３がオフ状態に設定
されている場合には、制御装置１は、ＲＯＭ５からロー
ダ・診断プログラムを読出すようになる（ステップＳ
５）。次に、使用者により診断プログラムあるいはロー
ダプログラムのいずれを実施するかが入力されると（ス
テップＳ６）、例えば、診断プログラムが選択された場
合には、読出した診断プログラムを実行し（ステップＳ
７）、ローダプログラムが選択された場合には（ステッ
プＳ８）、ローダプログラムを実行するようになる（ス
テップＳ９）。

【００２２】さて、上述の場合に、診断プログラムは図
３に示すようなフローチャートにしたがって実施される
ようになっている。まず、外部装置２１のディスプレイ
にコマンド入力の表示を行わせてその入力を受け付ける
ようになる（ステップＰ１）。このとき、入力可能なコ
マンドは、図５に示すように、診断プログラムにおいて
は例えば４種類のものが設定されている。そして、診断
プログラムを開始するにあたっては、コマンドＷＲＡＭ
の入力が受け付けられるようになる。

【００２３】コマンドＷＲＡＭが入力されると、制御装
置１は、ＷＲＡＭを実行して制御プログラムのダウンロ
ードを行うようになる（ステップＰ２）。すなわち、外
部装置２１に記憶されている制御プログラムをインタフ
ェース回路２２を介して読出してＲＡＭ４に記憶させる
ようになる。

【００２４】続いて、制御装置１は、コマンドＶＲＯＭ
ｎ（ｎ＝１〜３）の入力を受け付けるようになり（ステ
ップＰ３）、これが入力されるとコマンドＶＲＯＭｎを
実行するようになる（ステップＰ４）。すなわち、制御
装置１は、バッファ回路７〜９を順次有効化させるよう
にアドレスデコーダ１８およびセレクタ１９にアドレス
信号およびポート出力を与えて３個のＥＥＰＲＯＭ１３
〜１５から順次記憶内容を読出してＲＡＭ４内に記憶さ
れている制御プログラムの内容と照合させるようにな
る。次に、３個のＥＥＰＲＯＭ１３〜１５の全ての記憶
内容が正しい場合には（ステップＰ５）、制御装置１
は、照合結果がＯＫであるとして外部装置２１に対して
その結果を表示させる（ステップＰ６）。

【００２５】この後、制御装置１は、３個のＥＥＰＲＯ
Ｍ１３〜１５が正しい制御プログラムを記憶しているこ
とを前提として、多数決回路１６の故障診断を実施する
ようになる。すなわち、制御装置１は、多数決回路１６
の故障診断を行うためのコマンドＶＴＭＲを受け付ける
ようになり（ステップＰ７）、コマンドＶＴＭＲが入力
されると、制御装置１は、照合動作を開始する（ステッ
プＰ８）。

【００２６】すなわち、制御装置１は、多数決回路１６
を選択するようにアドレスデコーダ１８およびセレクタ
１９にアドレス信号およびポート出力を与えてバッファ
回路６を有効化させ、多数決回路１６から出力される制
御プログラムの多数決出力とＲＡＭ４の記憶内容とを比
較するようになる。そして、照合結果がＯＫの場合に
は、制御装置１は、多数決回路のチェック結果がＯＫで
ある旨の表示を行って診断プログラムを終了する（ステ
ップＰ９，Ｐ１０）。

【００２７】また、上述のステップＰ５で、照合結果が
ＯＫでない場合には、制御装置１は、外部装置２１のデ
ィスプレイにＥＥＰＲＯＭ１３〜１５のいずれかがビッ
トエラーを発生していることを表示させ（ステップＰ１
１）、この後、そのビットエラーを発生したＥＥＰＲＯ
Ｍの再書き込みを行うか否かの入力を待って（ステップ
Ｐ１２）、コマンドＷＲＯＭｎの入力を受け付けるよう
になっている（ステップＰ１３）。

【００２８】この場合、再書き込みの実施を要否をステ
ップＰ１２で入力させるのは、このような再書き込み処
理を複数回繰り返してもビットエラーが無くならない場
合つまり、そのＥＥＰＲＯＭ１３〜１５がハード的に故
障している場合で、この場合には、何度か実行した後に
ハード的な故障を特定して照合動作を終了させるための
判断を行うためである。

【００２９】そして、制御装置１は、コマンドＷＲＯＭ
ｎが入力されると、ＷＲＯＭｎ（ｎ＝１〜３）を実行
し、前述同様にして、ＲＡＭ４内に記憶されている制御
プログラムをＥＥＰＲＯＭ１３〜１５に転送して記憶さ
せるようになる（ステップＰ１４）。この後、制御装置
１は、再びステップＰ３に戻って記憶させた内容を照合
してその良否の判定を行うようになる。これにより、３
個のＥＥＰＲＯＭ１３〜１５のすべてに正しい制御プロ
グラムを記憶させることができるようになる。

【００３０】なお、前述のステップＰ９で、多数決回路
１６の照合結果がＯＫでない場合には、多数決回路１６
そのものがハード的に故障していることを意味してお
り、この場合には、制御装置１は、外部装置２１のディ
スプレイに多数決回路のチェック結果がＮＧであるこを
表示させて診断プログラムを終了するようになる。使用
者は、この結果を受けて、多数決回路１６を取り替える
等の処置をとることができるようになる。

【００３１】次に、メインプログラムにおいてステップ
Ｓ９のローダプログラムの実行が選択された場合の動作
について図４を参照して簡単に説明する。すなわち、制
御装置１は、まず、コマンドＷＲＡＭを受け付けるよう
になり（ステップＱ１）、入力されるとこれに応じて前
述のようにダウンロードのコマンドＷＲＡＭを実行する
ようになる（ステップＱ２）。これにより、外部装置２
１からインタフェース回路２２を介して制御プログラム
が読み込まれ、これがＲＡＭ４に記憶されるようにな
る。

【００３２】続いて、制御装置１は、ダウンロードが成
功したか否かを確認して（ステップＱ３）、「ＮＯ」の
場合には再びステップＱ２を実行し、「ＹＥＳ」の場合
には、ＥＥＰＲＯＭ１３〜１５への書き込み処理のコマ
ンドＷＲＯＭｎを受け付けるようになる（ステップＱ
３）。制御装置１は、コマンドＷＲＯＭｎが入力される
と、前述同様にして３個のＥＥＰＲＯＭ１３〜１５に対
してそれぞれＲＡＭ４に記憶された制御プログラムを書
き込み処理する（ステップＱ４）。

【００３３】この後、制御装置１は、コマンドＶＲＯＭ
ｎの入力を受け付け、コマンドの入力があると上述の書
き込み処理が正しく行われたか否かを照合して（ステッ
プＱ５）、その照合結果がＯＫの場合には（ステップＱ
６）プログラムを終了し、そうでない場合には再びステ
ップＱ４に戻って書き込み処理を繰り返し実行するよう
になる。これによって、外部装置２１からダウンロード
された制御プログラムが各ＥＥＰＲＯＭ１３〜１５に正
しく書き込み処理されるようになる。

【００３４】このような本実施例によれば、外部装置２
１から制御プログラムをダウンロードする場合に、ＲＡ
Ｍ４に一旦記憶させ、これと３個のＥＥＰＲＯＭ１３〜
１５に記憶している制御プログラムを個別に選択して照
合するようにしたので、ビットエラーの発生を確実に判
定することができる。

【００３５】また、ビットエラーが発生しているＥＥＰ
ＲＯＭ１３〜１５の記憶内容をＲＡＭ４に記憶した正し
い制御プログラムに書き換えるので、迅速に書き換え処
理を行うことができる。

【００３６】３個のＥＥＰＲＯＭ１３〜１５の記憶内容
が正しい状態と判定した状態で多数決回路１６の多数決
出力とＲＡＭ４の記憶内容とを照合するようにしたの
で、多数決回路１６そのものの故障を判定することがで
きるようになる。

【００３７】本発明は、上記実施例にのみ限定されるも
のではなく、次のように変形また拡張できる。診断結果
が不一致であったときに、実施例のようにＥＥＰＲＯＭ
の内容を正しい制御プログラムに書き換えること以外
に、ビットエラーが発生しているＥＥＰＲＯＭの記憶内
容を外部装置２１側にアップロードさせて、エラー発生
箇所の解析を行うこともできる。ＥＥＰＲＯＭを３個よ
りも多く設ける構成としても良い。この場合、奇数個の
ＥＥＰＲＯＭを設ければ単純な多数決演算で出力を得る
ことができるし、あるいは偶数個設ける場合でも、重み
付けをした多数決演算を行うことにより実施することが
できる。

【００３８】半導体記憶素子としては、ＥＥＰＲＯＭ以
外に、フラッシュＥＥＰＲＯＭを用いることもできる
し、あるいはＰＲＯＭやＥＰＲＯＭに対して照合動作を
行うことでビットエラーの診断をすることができるし、
さらにはマスクＲＯＭなどの固定的なＲＯＭでも診断と
しては適用することができる。

【図面の簡単な説明】

【図１】本発明の一実施例を示す電気的構成図

【図２】メインプログラムのフローチャート

【図３】診断プログラムのフローチャート

【図４】ローダプログラムのフローチャート

【図５】コマンド一覧と処理内容の対応を示す図

【符号の説明】

１は制御装置、２はＣＰＵ、３はデータバス、４はＲＡ
Ｍ（一時記憶手段）、５はＲＯＭ（診断プログラム記憶
手段）、６〜９はバッファ回路、１３〜１５はＥＥＰＲ
ＯＭ（半導体記憶素子、不揮発性の記憶素子）、１６は
多数決回路、１８はアドレスデコーダ（選択手段）、１
９はセレクタ（選択手段）、２１は外部装置、２２はイ
ンタフェース、２３は選択スイッチである。

Claims

【特許請求の範囲】

【請求項１】同一のプログラムが記憶される複数個の
半導体記憶素子と、これら複数個の半導体記憶素子に記
憶されている前記プログラムを読出しそれらの多数決演
算を行った結果を出力する多数決演算手段と、この多数
決演算手段から出力される前記プログラムを実行するよ
うにした制御装置において、前記プログラムを外部装置から読み込み可能な読込手段
と、この読込手段により読み込まれた内容を一時記憶する一
時記憶手段と、前記複数個の半導体記憶素子を選択的に指定して内部に
記憶された前記プログラムを個別に出力させる選択手段
と、前記読込手段により外部装置から前記プログラムを読込
んで前記一時記憶手段に記憶された記憶内容と前記選択
手段により順次選択される前記複数個の半導体記憶素子
のそれぞれに記憶されている前記プログラムの記憶内容
とを照合する判定動作を実行する判定手段とを備えてい
ることを特徴とする制御装置。
【請求項２】前記選択手段は、前記多数決演算手段の
出力を選択可能に設けられ、前記判定手段は、前記判定動作において前記一時記憶手
段に記憶された記憶内容と前記選択手段により選択され
る前記多数決演算手段の出力とを照合する機能を備えて
いることを特徴とする請求項１記載の制御装置。
【請求項３】前記半導体記憶素子は書き換え可能な不
揮発性の記憶素子であることを特徴とする請求項１また
は２記載の制御装置。
【請求項４】前記判定手段は、前記判定動作を実行し
たときに前記半導体記憶素子の記憶内容が不一致を示す
部分があるときには、その半導体記憶素子の記憶内容を
前記一時記憶手段に記憶された前記プログラムの記憶内
容に書き換えるように構成されていることを特徴とする
請求項３記載の制御装置。
【請求項５】前記判定動作を実施するための診断プロ
グラムが記憶された診断プログラム記憶手段を設けたこ
とを特徴とする請求項１ないし４のいずれかの記載の制
御装置。