-
Technisches Gebiet
-
Die vorliegende Erfindung betrifft ein Mehrfach-Interrupt-System und insbesondere ein Erkennen eines anormalen Betriebs, der durch Interrupt-Verarbeitung in einem Mehrfach-Interrupt-System verursacht wird.
-
Hintergrund der Erfindung
-
Um Echtzeitigkeit in einem eingebetteten System oder dergleichen zu garantieren, ist ein System so konfiguriert, dass bei Vorliegen einer Interrupt-Anforderung mit einer höheren Priorität als die Priorität (Ebene) des gerade verarbeiteten Interrupts der gerade verarbeitete Interrupt ausgesetzt wird und der Interrupt mit der höheren Priorität verarbeitet wird und nach Abschluss der Interrupt-Verarbeitung die ausgesetzte Interrupt-Verarbeitung wieder aufgenommen wird. Das System ist ein so genanntes Mehrfach-Interrupt-System oder ein System zum Verschachteln von Interrupts gemäß einer Priorität.
-
Es ist auch ein System vorhanden, das mit einem Watchdog-Zeitgeber (hierin im Folgenden als „WDT“ bezeichnet) als Hardware ausgestattet ist, um zu überwachen, dass das System arbeitet, gleichgültig, ob es sich bei dem System um ein Mehrfach-Interrupt-System handelt.
-
In einem eingebetteten System oder dergleichen arbeitet das System möglicherweise nicht normal trotz der Tatsache, dass der WDT kein Zeitlimit überschritten hat (abgelaufen ist). Es gibt verschiedene Ursachen für anormale Betriebe, und Interrupt-Verarbeitung ist auch mit vielen anormalen Betrieben verbunden. In dem Fall eines Mehrfach-Interrupt-Systems werden automatische Wiederherstellung und Ursachenanalyse oft erschwert.
-
Ein Beispiel des unzureichenden Erkennens eines anormalen Betriebs ist ein Fall, in dem der WDT durch einen Zeitgeber-Interrupt (oder durch alle Interrupts) zurückgesetzt wird (da in normalen Systemen ein WDT vorhanden ist). In diesem Fall kann der WDT nur bestätigen, dass die CPU (und umgebende Hardware) in Betrieb sind. Mit anderen Worten, der WDT bestätigt, dass eine periphere Schaltung eine Interrupt-Anforderung ausgibt, und die CPU akzeptiert die Anforderung. In diesem Zusammenhang wird nicht bestätigt, ob eine von dem System erwartete Operation ausgeführt wird.
-
In der japanischen Patentanmeldung mit der Veröffentlichungs-Nr.
62-175840 wird ein Datenverarbeitungssystem zum Ausführen von mehreren Verarbeitungsprogrammen gemäß den Ebenen in den Ausführungsintervallen eines Verarbeitungsprogramms der höchsten Ebene (höchste Ausführungsprioritätsebene) offenbart. In diesem System werden mehrere WDTs mit Überlaufwerten bereitgestellt, die gemäß den Ebenen der Verarbeitungsprogramme verschieden sind und nach Abschluss der Ausführung von entsprechenden Ausführungsprogrammen zurückgesetzt werden, um das Auftreten eines Fehlers in dem Datenverarbeitungssystem auf der Grundlage des Überlaufs in einem beliebigen WDT zu erkennen.
-
In der japanischen Patentanmeldung mit der Veröffentlichungs-Nr.
10-275097 wird ein Datenverarbeitungssystem zum Ausführen mehrerer Verarbeitungsprogramme in der Prioritätenreihenfolge gemäß den Ebenen offenbart. In diesem System sind mehrere WDTs, die einzeln den jeweiligen mehreren Verarbeitungsprogrammen entsprechen, so angeordnet, dass sie ein Auftreten einer Blockierung des Datenverarbeitungssystems auf der Grundlage der Überläufe dieser mehreren WDTs erkennen.
-
Die
US 2003 / 0 037 172 A1 offenbart einen Anwendungs-Watchdog mit einem dedizierten Watchdog-Zähler in der Hardware-Schicht und einem Watchdog-Treiber, der in der Kernel-Modus-Schicht des Computer-Betriebssystems arbeitet. Der Treiber umfasst einen System-Thread, der dazu konfiguriert ist, eine Vielzahl von benannten Benutzeranwendungen zu überwachen, die im Benutzermodus des Betriebssystems arbeiten, und eine Nachrichtenvermittlungsschnittstelle zum Empfangen von periodischen Signalen von jeder der Benutzeranwendungen. Der Treiber verwendet auch eine Schnittstelle zum Übertragen von Timer-Reset-Befehlen an den dedizierten Watchdog-Zähler. Wenn der System-Thread innerhalb einer vorgegebenen Zeitspanne eine Nachricht von jeder der benannten Benutzeranwendungen empfängt, sendet der Watchdog-Treiber einen Timer-Reset-Befehl an den dedizierten Watchdog-Zähler. Andernfalls empfängt der dedizierte Watchdog-Zähler den Reset-Befehl nicht und gibt anschließend einen System-Reset-Befehl aus. Frühwarnsignale können vor dem System-Reset ausgegeben werden, um das Systemmanagement zu warnen.
-
Die
US 2003 / 0 204 792 A1 offenbart ein System und ein Verfahren zum Erkennen und Behandeln von Fehlern in einem Computersystem. Diese sind jeweils dazu konfigurierbar, eine Auswahl von Zeitlängen- oder Zeitüberschreitungswerten, zugewiesenen Interrupts, die erzeugt werden sollen, und Fehlerwiederherstellungsprozeduren zu ermöglichen, sodass Fehler von Systemereignissen sofort erkannt und eine Wiederherstellung durchgeführt werden können. Der Watchdog-Timer wird mit einem Zeitlängen- oder Zeitüberschreitungswert gestartet und erzeugt einen Interrupt (d.h. wird ausgelöst), wenn die mit der Zeitlänge eingestellte Zeit verstreicht, ohne dass ein Reset erhalten wird. Die Watchdog-Timer-Schnittstelle interagiert und steuert den hardwarebasierten Timer, um diese Watchdog-Timer-Funktionalität zu erhalten. Der hardwarebasierte Timer ist im Allgemeinen ein hochpräziser Zeitgeber, der in der Hardwarearchitektur für ein Computersystem existiert und von Systemsoftware verwendet werden kann. Die Watchdog-Timer-Schnittstelle steuert und setzt verschiedene Parameter und / oder Register des hardwarebasierten Timers, um die gewünschte Funktionalität eines Watchdog-Timers bereitzustellen. Somit kann eine andere Softwarekomponente die Watchdog-Timer-Schnittstelle für ein Systemereignis aufrufen und mit ihr interagieren und die Watchdog-Timer-Schnittstelle als einen Watchdog-Timer betrachten (d.h. der Betrieb des hardwarebasierten Timers ist transparent).
-
Die
US 5 408 643 A offenbart einen Mikrocomputer mit einer zentralen Verarbeitungseinheit, einem Watchdog-Timer, der eine Watchdog-Timer-Verarbeitungsanforderung erzeugt, wenn ein Überlauf im Watchdog-Timer auftritt, und einem Interrupt-Controller, der als nicht maskierbarer Interrupt die vom Watch-Timer erzeugte Watchdog-Timer-Verarbeitungsanforderung verarbeitet. Die zentrale Verarbeitungseinheit erzeugt zu Beginn der Ausführung einer anderen Unterbrechungsverarbeitung durch die zentrale Verarbeitungseinheit ein Voreinstellsignal für den Watchdog-Timer, um den Watchdog-Timer voreinzustellen. Der Interrupt-Controller antwortet auf das Voreinstellsignal zum Annullieren der Watchdog-Timer-Verarbeitungsanfrage, die durch den Watchdog-Timer erzeugt wurde, innerhalb einer Zeitperiode zum Beibehalten der Watchdog-Timer-Verarbeitungsanfrage durch den Interrupt-Controller.
-
Kurzdarstellung der Erfindung
-
Probleme, die durch die Erfindung gelöst werden sollen
-
Das Datenverarbeitungssystem in der Patentliteratur 1 geht davon aus, dass das Ausführen des Verarbeitungsprogramms der höchsten Ebene durch den Zeitgeber gestartet wird und unterstützt keine Interrupt-Verarbeitung zwischen Ebenen, die niedriger als die höchste Ebene sind, oder eine Interrupt-Verarbeitung, wenn mehrere Programme einer Ebene zugewiesen sind. Ferner wird nichts über die Ablaufsteuerung des Startens der WDTs offenbart.
-
Da die mehreren WDTs nicht parallel gestartet werden, können in dem Datenverarbeitungssystem in Patentliteratur 2 die mehreren Interrupts mit verschiedener Priorität nicht parallel verarbeitet (verwaltet) werden.
-
Es ist daher eine Aufgabe der vorliegenden Erfindung, eine Mehrfach-Interrupt-Verarbeitung zu ermöglichen, die fähig ist, einen anormalen Betrieb zu erkennen, der entweder durch eine Interrupt-Verarbeitung verursacht wird, wenn mehrere Interrupts mit verschiedener Priorität parallel auftreten, oder wenn mehrere Interrupts parallel in einer Ebene (Priorität) auftreten.
-
Mittel zum Lösen der Probleme
-
Die vorliegende Erfindung stellt ein Verfahren zum Erkennen eines anormalen Betriebs bereit, der durch Interrupt-Verarbeitung in einem Mehrfach-Interrupt-System verursacht wird. Das Verfahren enthält die Schritte zum: Vorbereiten eines WDT mit einem vordefinierten Zeitlimitüberschreitungswert für jede Interrupt-Priorität; Starten jedes WDT zu dem Zeitpunkt einer Interrupt-Anforderung mit der entsprechende Priorität wird durchgesetzt; und wenn mindestens einer der WDTs das Zeitlimit überschritten hat, Akzeptieren einer Interrupt-Anforderung mit einer Priorität, die mindestens eine oder mehr Ebenen höher ist als die Priorität, die dem WDT entspricht, wobei, wenn mehrere Interrupt-Ursachen einer der Interrupt-Prioritäten in dem Schritt des Akzeptierens der Interrupt-Anforderung zugewiesen werden, derjenigen Interrupt-Anforderung Priorität zugewiesen wird, die durch die Zeitlimitüberschreitung eines WDT mit einer niedrigeren Ebene als die Interrupt-Priorität verursacht wurde, um zu erkennen, dass ein anormaler Betrieb in der Interrupt-Verarbeitung aufgetreten ist, die die niedrigere Ebenenpriorität hat.
-
In einem Aspekt der vorliegenden Erfindung wird ein Controller (eine Steuereinheit) zum Steuern der Interrupt-Verarbeitung in einem Mehrfach-Interrupt-System bereitgestellt. Der Controller enthält: mehrere WDTs, die jeweils einen vordefinierten Zeitlimitüberschreitungswert haben, der für jede Interrupt-Priorität bereitgestellt wird; einen Interrupt-Prioritätsselektor zum Empfangen von Interrupt-Anforderungssignalen von Einheiten und zum Ausgeben eines Aktivierungssignals an den entsprechenden WDT gemäß der Priorität jedes Interrupt-Anforderungssignals; und eine Interrupt-Verarbeitungsschaltung, die, wenn mindestens einer der WDTs ein Zeitlimit überschritten hat, an einen Prozessor ein Interrupt-Anforderungssignal mit einer Priorität ausgibt, die mindestens eine oder mehrere Ebenen höher ist als die Prioritäten, die den WDTs entsprechen. Der Controller ist ferner so konfiguriert, dass, wenn mehrere Interrupt-Ursachen zu einer der Interrupt-Prioritäten zugewiesen werden, die Interrupt-Verarbeitungsschaltung einem Interrupt-Anforderungssignal Priorität einräumt, das durch die Zeitlimitüberschreitung eines WDT mit einer niedrigeren Prioritätsebene als die Interrupt-Priorität verursacht wurde, um zu erkennen, dass ein anormaler Betrieb bei der Interrupt-Verarbeitung aufgetreten ist, die die niedrigere Ebenenpriorität hat .
-
Wenn mehrere Interrupts aufgetreten sind, deren Interrupt-Prioritäten dieselben oder voneinander verschieden sind, kann gemäß der vorliegenden Erfindung und einem Aspekt davon erkannt werden, in welcher Priorität eine Unregelmäßigkeit bei der Interrupt-Verarbeitung aufgetreten ist. Da einer Interrupt-Anforderung Priorität eingeräumt wird, die durch die Zeitlimitüberschreitung eines WDT mit einer niedrigeren Prioritätsebene als die anderen Interrupt-Ursachen in derselben Priorität verursacht wird, die Unregelmäßigkeit der Interrupt-Verarbeitung also zu dem Zeitpunkt des Startens der Interrupt-Verarbeitung erkannt wird (wenn die Interrupt-Verarbeitung der niedrigeren Priorität erwiesenermaßen nicht gestartet worden ist), kann die Genauigkeit (Präzision) einer Unregelmäßigkeitserkennung ferner gemäß der vorliegenden Erfindung eine größere Verbesserung sein als das Erkennen nach einer Zeitlimitüberschreitung eines herkömmlichen WDT.
-
Die der Erfindung zugrunde liegenden Aufgaben werden jeweils mit den Merkmalen der unabhängigen Patentansprüche gelöst. Ausführungsformen der Erfindung sind Gegenstand der abhängigen Patentansprüche.
-
Figurenliste
-
- 1 ist ein Schaubild zum Beschreiben eines Ablaufs eines Verfahrens der vorliegenden Erfindung zum Erkennen eines anormalen Betriebs, der durch Interrupt-Verarbeitung verursacht wurde.
- 2 ist ein Schaubild, das die Konfiguration eines Controllers zum Steuern von Interrupt-Verarbeitung der vorliegenden Erfindung zeigt.
-
Modus zum Ausführen der Erfindung
-
Eine Ausführungsform der vorliegenden Erfindung wird unter Bezugnahme auf die begleitenden Zeichnungen beschrieben. 1 ist ein Schaubild zum Beschreiben eines Ablaufs eines Verfahrens zum Erkennen eines anormalen Betriebs, der durch Interrupt-Verarbeitung in einem Mehrfach-Interrupt-System verursacht wurde. Dieses Verfahren kann im Prinzip in Hardware umgesetzt werden, indem zum Beispiel ein Controller zum Steuern der Interrupt-Verarbeitung der vorliegenden Erfindung in einer Weise verwendet wird, die später beschrieben wird. Es versteht sich jedoch von selbst, dass dieses Verfahren nicht die Umsetzung in einem Programm (Software) ausschließen soll und das Verfahren in beidem unter gegenseitiger Zusammenwirkung umgesetzt werden kann.
-
In Schritt S11 werden mehrere WDTs vorbereitet. Jeder WDT ist so konfiguriert, dass er einen vordefinierten Zeitlimitüberschreitungswert für jede Interrupt-Priorität (Ebene) hat. Der vordefinierte Zeitlimitüberschreitungswert wird gemäß der Priorität und der Interrupt-Ursache eingestellt. Hier ist mit der Interrupt-Ursache der Inhalt gemeint, der durch die CPU zu verarbeiten ist, wie beispielsweise ein zu verarbeitendes Programm oder jede der verschiedenen Eingaben und Ausgaben über eine E/A. Im Allgemeinen wird der Zeitlimitüberschreitungswert mit zunehmender Interrupt-Priorität kürzer eingestellt.
-
In Schritt S12 wird ein WDT mit einer Priorität, für die eine Interrupt-Anforderung erstellt wurde, zum Zeitpunkt des Empfangens der Interrupt-Anforderung gestartet. Wenn mehrere Interrupt-Ursachen zu einer der Interrupt-Prioritäten zugewiesen werden, wird zu diesem Zeitpunkt ein entsprechender WDT gestartet, wenn eine erste Interrupt-Anforderung aus den Interrupt-Ursachen erstellt wird. Der gestartete WDT wird zum Zeitpunkt des Akzeptierens eines Interrupts mit der Priorität zurückgesetzt, d.h. zu dem Zeitpunkt, an dem die Interrupt-Verarbeitung durch einen Prozessor gestartet wird, nachdem eine entsprechende Interrupt-Anforderung akzeptiert wurde (zu dem Zeitpunkt des Startens der Ausführung einer Interrupt-Routine).
-
In Schritt S13 wird ermittelt, ob mindestens ein WDT das Zeitlimit überschritten hat (abgelaufen ist). Insbesondere wird ermittelt, ob der Zählwert des WDT größer oder gleich dem vordefinierten Zeitlimitüberschreitungswert wird (ob der WDT überläuft). Wenn diese Ermittlung „Nein“ ergibt, da die Interrupt-Anforderung ohne Schwierigkeit verarbeitet wird, kehrt die Prozedur zurück, bevor sie mit Schritt S12 fortfährt, um auf die nächste Interrupt-Anforderung zu warten.
-
Wenn die Ermittlung in Schritt S13 „Ja“ ergibt, wird eine Interrupt-Anforderungen mit einer Priorität, die mindestens eine oder mehr Ebenen höher ist (darüber liegt) als die Priorität des WDT ist, der das Zeitlimit überschritten hat, im nächsten Schritt S14 akzeptiert. Gleichzeitig wird der höhere WDT gestartet. Zu diesem Zeitpunkt ist die auszuwählende Priorität nicht auf diese eine Ebene beschränkt, die höher als die Priorität des WDT ist, der das Zeitlimit überschritten hat, und kann eine um zwei oder mehr Ebenen höhere Priorität sein. Ferner ist die Anzahl von auszuwählenden Prioritäten nicht auf eine beschränkt, und es können zwei oder mehr Prioritäten ausgewählt werden. Mit anderen Worten, in Schritt S14, in dem die Interrupt-Anforderung akzeptiert wird, können Interrupt-Anforderungen mit zwei oder mehr Prioritäten akzeptiert werden, die mindestens eine oder mehr Ebenen höher als die Priorität sind, die dem WDT entspricht.
-
Wenn mehrere Interrupt-Ursachen einer von Interrupt-Prioritäten zugewiesen werden, wird in Schritt S14 einer Interrupt-Anforderung Priorität eingeräumt, die durch die Zeitlimitüberschreitung eines WDT mit einer niedrigeren Prioritätsebene als die Interrupt-Priorität verursacht wurde. Selbst wenn beispielsweise die Anzahl von Interrupt-Ursachen mit Prioritätsebene N zwei oder mehr beträgt, wenn eine Zeitlimitüberschreitung eines WDT mit Prioritätsebene (N-1) vorliegt, also eine Ebene niedriger als die Prioritätsebene N, wird der Interrupt-Anforderung mit der Prioritätsebene (N-1) (die so betrachtet wird, als wäre sie eine neue N-Ebene) Priorität eingeräumt, und es wird veranlasst, die Verarbeitung zu unterbrechen. Der Grund für die Verwendung dieses Mechanismus besteht darin, in Schritt 16, der später beschrieben wird, zu erkennen, dass ein anormaler Betrieb in der Interrupt-Verarbeitung mit der niedrigeren Prioritätsebene ((N-1)-Ebene in dem vorgenannten Beispiel) aufgetreten ist.
-
In Schritt S15 wird ermittelt, ob der WDT mit der in Schritt S14 ausgewählten Priorität, die mindestens eine Ebene höher ist, das Zeitlimit überschritten hat (abgelaufen ist). Wie in dem Fall von Schritt S13 wird die spezielle Feststellung getroffen durch Ermitteln, ob der Zählwert des WDT größer oder gleich dem vordefinierten Zeitlimitüberschreitungswert wird (ob der WDT überläuft).
-
Wenn die Ermittlung in Schritt S15 „Nein“ ergibt, d.h. wenn die Interrupt-Verarbeitung gut verläuft, nachdem die Interrupt-Anforderung mit der Priorität, die in Schritt S14 als mindestens eine Ebene höher ausgewählt worden ist, akzeptiert worden ist, wird die Unregelmäßigkeit eines Interrupt in niedrigerer Priorität in Schritt S16 erkannt. Wie im oben erwähnten Schritt S14 beschrieben, wird insbesondere, wenn eine Interrupt-Anforderung durch die Zeitlimitüberschreitung eines WDT niedrigerer Ebene angenommen wird, erkannt, dass eine Unregelmäßigkeit in der Interrupt-Verarbeitung der Zeitlimitüberschreitungspriorität aufgetreten ist. Daher wird in der vorliegenden Erfindung einer Interrupt-Anforderung Priorität eingeräumt, die durch die Zeitlimitüberschreitung eines WDT mit einer niedrigeren Ebenenpriorität verursacht wurde, d.h. die Unregelmäßigkeit der Interrupt-Verarbeitung wird zu dem Zeitpunkt des Startens der Interrupt-Verarbeitung erkannt (wenn die Interrupt-Verarbeitung der niedrigeren Priorität erwiesenermaßen nicht gestartet worden ist). Wie daher aus jedem Beispiel offenkundig wird, das später beschrieben wird, kann die Genauigkeit (Präzision) einer Unregelmäßigkeitserkennung eine größere Verbesserung sein als die Erkennung nach einer Zeitlimitüberschreitung eines herkömmlichen WDT.
-
Wenn die Ermittlung in Schritt S15 „Ja“ ergibt, wird in Schritt S17 ermittelt, ob für einen WDT, der einem Interrupt entspricht, dessen Priorität die höchste ist, das Zeitlimit überschritten worden ist (abgelaufen ist). Wie in dem Fall von Schritt S13 wird die spezielle Feststellung getroffen durch Ermitteln, ob der Zählwert des WDT größer oder gleich dem vordefinierten Zeitlimitüberschreitungswert wird (ob der WDT überläuft). Wenn diese Ermittlung „Nein“ ergibt, kehrt die Prozedur zu Schritt S14 zurück, um eine Interrupt-Anforderung zu akzeptieren, die eine Priorität hat, die mindestens eine oder mehr Ebenen höher ist (darüber liegt) als die Priorität des WDT, der in Schritt S15 das Zeitlimit überschritten hat. Gleichzeitig wird der höhere WDT gestartet.
-
Wenn die Ermittlung in Schritt S17 „Ja“ ergibt, wird das System in Schritt S18 zurückgesetzt. Als Ergebnis des Zurücksetzens des Systems wird die Unregelmäßigkeit der Interrupt-Verarbeitung erkannt.
-
Unter folgender Bezugnahme auf 2 wird ein Controller zum Steuern der Interrupt-Verarbeitung der vorliegenden Erfindung beschrieben. 2 ist ein Schaubild, das die Konfiguration eines Controllers 100 als eine Ausführungsform zeigt. Der Controller 100 ist als Teil eines Mehrfach-Interrupt-Systems oder eines externen Controllers konfiguriert. In 2 wird eine Konfiguration mit drei Interrupt-Prioritäten (Ebenen L1, L2 und L3) als Beispiel gezeigt, doch ist dies nur ein Beispiel. Wenn die Anzahl von frei wählbaren Prioritäten vier oder mehr beträgt, kann die Anzahl der jeweiligen Komponenten, die im Folgenden beschrieben werden, zum Erweitern der Konfiguration erhöht werden.
-
In 2 enthält der Controller 100 die Prioritätsselektoren 11, 12 und 13, die Prioritätsleitungen L1, L2 und L3, die WDTs 21, 22 und 23 und eine Interrupt-Verarbeitungsschaltung 31. Die Ausgänge der Prioritätsselektoren 11, 12 und 13 sind jeweils mit den Prioritätsleitungen L1, L2 und L3 verbunden. Die Prioritätsselektoren 11, 12 und 13 empfangen Interrupt-Anforderungssignale R1, R2 und R3 von jeweiligen Einheiten (nicht gezeigt), und geben jeweilige Anforderungssignale an die entsprechenden Prioritätsleitungen L1, L2 und L3 gemäß der Priorität jedes Interrupt-Anforderungssignals aus. Genauer gesagt teilen die Prioritätsselektoren 11, 12 und 13 jedem Anforderungssignal eine vorher eingestellten Priorität zu gemäß der Interrupt-Ursache, die in jedem der Interrupt-Anforderungssignale R1, R2 und R3 enthalten ist. Dieses Anforderungssignal dient auch als ein Aktivierungssignal für jeden der WDTs 21, 22 und 23. Zu beachten ist, dass die Anzahl von Prioritätsselektoren nicht auf drei beschränkt ist und sie jede Anzahl sein kann, die größer oder gleich zwei ist.
-
Der WDT 21 ist ein WDT, der der Priorität L1 entspricht und dessen Eingang mit der Prioritätsleitung L1 verbunden ist, wobei der Ausgang mit der Prioritätsleitung L2 verbunden ist. Der WDT 21 hat einen vordefinierten Zeitlimitüberschreitungswert T1. Wie bereits in Schritt S11 von 1 beschrieben, wird der vordefinierte Zeitlimitüberschreitungswert der Priorität und der Interrupt-Ursache entsprechend eingestellt. In ähnlicher Weise sind die WDTs 22 und 23 WDTs, die jeweils den Prioritäten L2 und L3 entsprechen und deren Eingang jeweils mit den Prioritätsleitungen L2 und L3 verbunden ist. Der Ausgang des WDT 22 ist mit der Prioritätsleitung L3 verbunden. Die Ausgabe des WDT 23 wird als ein Signal zum Zurücksetzen des Systems auf eine Weise ausgegeben, die später beschrieben wird. Die WDTs 22 und 23 haben jeweils vordefinierte Zeitlimitüberschreitungswerte T2 und T3. Da die Prioritäten zunehmen als L1 < L2 < L3, werden in dem Beispiel von 2 die Zeitlimitüberschreitungswerte umgekehrt immer kleiner als T1 > T2 > T3. Jeder WDT wird durch ein Zurücksetzsignal RS1 von der CPU oder einer separaten Zurücksetzschaltung (nicht gezeigt) zurückgesetzt, wenn eine entsprechende Interrupt-Anforderung an die CPU gesendet wird, und die Interrupt-Verarbeitung wird gestartet.
-
Wenn von den WDTs ein WDT mit der höchsten Interrupt-Priorität von selbst ein Zeitlimit überschritten hat, wird ein Signal zum Zurücksetzen des Systems an eine Zurücksetzschaltung ausgegeben, die in die CPU integriert ist, oder an eine externe Zurücksetzschaltung (nicht gezeigt). Wenn in dem Beispiel von 2 der WDT 23 der höchsten Ebene das Zeitlimit überschritten hat, wird ein Systemzurücksetzsignal RS2 ausgegeben. Als Ergebnis des Zurücksetzens des Systems wird die Unregelmäßigkeit der Interrupt-Verarbeitung erkannt.
-
Die Interrupt-Verarbeitungsschaltung 31 empfängt die Interrupt-Anforderungssignale RL1, RL2 und RL3, die nach Priorität verteilt sind, von den Prioritätsleitungen L1, L2 und L3 und sendet selektiv ein Interrupt-Anforderungssignal zur CPU. Hier bedeutet selektiv senden das Unterdrücken der Ausgabe irgendeines anderen Interrupt-Anforderungssignals mit einer Prioritätsebene, die kleiner oder gleich einer entsprechenden Priorität ist, wenn das Interrupt-Anforderungssignal ausgegeben wird. Wenn zum Beispiel ein Interrupt-Anforderungssignal mit der Prioritätsebene (N-1) ausgegeben wird, wird die Ausgabe von anderen Interrupt-Anforderungssignalen mit Prioritäten unterdrückt, die kleiner oder gleich der Prioritätsebene (N-1) sind, ausgenommen die Interrupt-Anforderungssignale, die größer oder gleich der höheren Prioritätsebene N sind.
-
Wenn mindestens ein WDT das Zeitlimit überschritten hat, gibt die Interrupt-Verarbeitungsschaltung 31 an einen Prozessor ein Interrupt-Anforderungssignal mit einer Priorität aus, die mindestens eine oder mehr Ebenen höher ist als die Priorität, die dem WDT entspricht. Wenn zum Beispiel der WDT 21 in 2 das Zeitlimit überschritten hat, wird das Anforderungssignal RL2 von der Prioritätsleitung L2, die eine Ebene höher ist als die Priorität, selektiv an die CPU gesendet. Zu diesem Zeitpunkt kann zusätzlich zu dem Anforderungssignal RL2 mit der Priorität L2 das Anforderungssignal RL3 mit der Priorität L3, die zwei Ebenen höher ist als die Priorität, selektiv ausgewählt und gesendet werden. Ferner können auch die zwei Anforderungssignale RL2 und RL3 ausgewählt und nacheinander gesendet werden.
-
Wenn mehrere Interrupt-Ursachen einer der Interrupt-Prioritäten zugewiesen werden, wird die Interrupt-Verarbeitungsschaltung 31 so konfiguriert, dass sie einem Interrupt-Anforderungssignal Priorität einräumt, das durch die Zeitlimitüberschreitung eines WDT mit einer Ebene verursacht wird, die niedriger als die Interrupt-Priorität ist. Selbst wenn zum Beispiel in 2 mehrere Interrupt-Ursachen mit der Prioritätsebene L2 vorhanden sind (z.B. R1 und R3), wenn eine Zeitlimitüberschreitung des WDT 21 mit der Prioritätsebene L1 vorliegt, die eine Ebene niedriger ist als die Ebene L2, wird der Interrupt-Anforderung RL1 mit der Prioritätsebene L1 (die so betrachtet wird, als wäre sie eine L2-Ebenenanforderung RL2) Priorität eingeräumt, und es wird veranlasst, die Verarbeitung zu unterbrechen. Der Grund für die Verwendung dieses Mechanismus besteht darin zu erkennen, dass ein anormaler Betrieb in der Interrupt-Verarbeitung mit der niedrigeren Prioritätsebene (im obigen Beispiel Ebene L1) aufgetreten ist.
-
Als Nächstes werden ein Verfahren der vorliegenden Erfindung und Beispiele für eine Unregelmäßigkeitserkennung in der Interrupt-Verarbeitung durch den Controller im Folgenden als Beispiele beschrieben.
-
Beispiel 1
-
<Wenn eine Interrupt-Anforderung mit der Prioritätsebene N andauert, weil die Interrupt-Verarbeitung mit der Prioritätsebene N falsch ist und daher die Interrupt-Ursache nicht beseitigt wird (anormaler Betrieb)>
-
(1) Die Interrupt-Anforderung mit der Prioritätsebene (N-1) kann nicht unbegrenzt akzeptiert werden. Daher überschreitet der WDT mit der Prioritätsebene (N-1) ein Zeitlimit, um eine Interrupt-Anforderung mit der höheren Prioritätsebene N zu erstellen. Diese Interrupt-Anforderung mit der Prioritätsebene N wird akzeptiert. Da zu diesem Zeitpunkt der Interrupt-Verarbeitung, die einem WDT mit der niedrigeren Prioritätsebene entspricht, der das Zeitlimit überschritten hat, wie oben bereits erwähnt die höchste Priorität in Bezug auf die mehrfachen Ursachen des Interrupt eingeräumt wird (einschließlich der Interrupt-Anforderung für einen anormalen Betrieb), wird die Unregelmäßigkeit der Interrupt-Verarbeitung erkannt. Selbst wenn die Ermittlung der Prioritätsebene falsch ist, wird die Interrupt-Verarbeitung auf dieselbe Weise wie unter (1) des später erwähnten Beispiels 2 verarbeitet, um die Unregelmäßigkeit zu erkennen.
-
(2) Wenn eine Interrupt-Anforderung mit einer Prioritätsebene (N-2) oder weniger am Anfang steht, da die WDTs mit jeweiligen Prioritätsebenen das Zeitlimit überschritten haben, so dass WDTs mit höheren Prioritätsebenen gestartet werden und nacheinander das Zeitlimit überschreiten, wird eine Unregelmäßigkeit auf dieselbe Weise erkannt wie oben unter (1) erwähnt (dasselbe gilt in den folgenden Beispielen).
-
Beispiel 2
-
<Wenn Interrupt-Verarbeitung mit der Prioritätsebene N in einer Endlosschleife gefangen ist (anormaler Betrieb)>
-
(1) Die Interrupt-Anforderung mit der Prioritätsebene (N-1) kann nicht unbegrenzt akzeptiert werden. Daher überschreitet der WDT mit der Prioritätsebene (N-1) ein Zeitlimit, um eine Interrupt-Anforderung mit der höheren Prioritätsebene N zu erstellen. Die Interrupt-Anforderung mit der Prioritätsebene N kann ebenfalls nicht unbegrenzt akzeptiert werden. Daher überschreitet der WDT mit der Prioritätsebene N das Zeitlimit, um eine Interrupt-Anforderung auf der höheren Prioritätsebene (N+1) zu erstellen. Da diese Interrupt-Anforderung mit der Prioritätsebene (N+1) akzeptiert wird, wird die Unregelmäßigkeit der Interrupt-Verarbeitung erkannt.
-
(2) Selbst wenn eine (neue) Interrupt-Anforderung mit der Prioritätsebene N am Anfang steht, da der WDT mit der Prioritätsebene N das Zeitlimit überschritten hat, wird eine Unregelmäßigkeit auf dieselbe Weise wie oben unter (1) erwähnt erkannt.
-
Beispiel 3
-
<Wenn Interrupt-Verarbeitung mit der niedrigen Prioritätsebene N wegen einer im Vergleich mit der Verarbeitungsfähigkeit der CPU großen Anzahl von Interrupt-Anforderungen nicht ausgeführt wird, obwohl jede einzelne Interrupt-Verarbeitung normal verarbeitet wird (anormaler Betrieb)>
-
Da die Interrupt-Anforderung mit der Prioritätsebene N nicht akzeptiert wird, überschreitet der WDT das Zeitlimit, und die Interrupt-Anforderung mit der Prioritätsebene (N+1) wird erstellt. Danach läuft dieses Beispiel auf dieselbe Weise ab wie in den obigen Beispielen, um eine Unregelmäßigkeit zu erkennen.
-
Beispiel 4
-
<Wenn alle Interrupts über einen langen Zeitraum während der Interrupt-Verarbeitung deaktiviert sind (anormaler Betrieb)>
-
Ein WDT mit einer beliebigen Prioritätsebene überschreitet das Zeitlimit, um nacheinander Interrupt-Anforderungen mit höheren Prioritätsebenen zu erstellen. Schließlich überschreitet der höchste WDT das Zeitlimit, um das System zurückzusetzen, um eine Unregelmäßigkeit zu erkennen. Selbst wenn ein Interrupt zugelassen wird, bevor das System zurückgesetzt worden ist, wird eine Unregelmäßigkeit durch einen Interrupt erkannt, der einem WDT entspricht, der zu diesem Zeitpunkt der höchste ist.
-
Bezugszeichenliste
-
- 11, 12, 13
- Prioritätsselektor
- 21, 22, 23
- WDT
- 31
- Interrupt-Verarbeitungsschaltung
- 100
- Controller
