DE69222705T2

DE69222705T2 - CPU-Fehlerdetektionssystem

Info

Publication number: DE69222705T2
Application number: DE69222705T
Authority: DE
Inventors: Masahiro C O Nec Sait Ishigami; Motoyoshi Komoda
Original assignee: NEC Corp; Nippon Electric Co Ltd
Current assignee: NEC Corp
Priority date: 1991-07-19
Filing date: 1992-07-17
Publication date: 1998-03-26
Anticipated expiration: 2012-07-18
Also published as: CA2074103A1; EP0524014A3; EP0524014A2; US5398332A; AU2041492A; JP2758742B2; EP0524014B1; AU661493B2; DE69222705D1; JPH0528005A; KR930002937A

Description

Die vorliegende Erfindung betrifft ein System zum Detektieren der Fehlfunktion einer CPU (Central Processing Unit) und insbesondere ein System, welches es einer Person ermöglicht, die Anzahl von Malen zu sehen, bei denen die CPU eine Fehlfunktion aufwies.
Die Voraussetzung bei einer Vorrichtung, welche eine hohe Zuverlässigkeit benötigt, besteht darin, daß die Fehlfunktion der Vorrichtung detektiert wird, um eine dem Ergebnis der Detektion entsprechende Bearbeitung zu ermöglichen. Ein Automobiltelefon muß beispielsweise hoch zuverlässig sein, da es öffentliche elektromagnetische Wellen verwendet. Es bei Automobiltelefonen allgemeine Praxis, eine CPU mit einer Diagnosefunktion vorzusehen. Wenn die von der CPU gesteuerte Schaltung einer Fehlfunktion aufweist, unterbricht die mit der Diagnosefunktion versehene CPU den normalen Betrieb und verhindert damit eine Benutzung des Telefons bis die Ursache der Fehlfunktion beispielsweise durch eine Reparatur in einer Wartungsabteilung beseitigt wird. Beispielsweise zeigt die CPU, wenn eine Fehlfunktion in einer Sendeschaltung auftritt, dann eine Meldung wie etwa "SENDER-Fehler" auf einer Anzeigeeinrichtung an und beendet die Annahme aller anderen Befehle als des Energie-Abschaltungsbefehls. Ferner kann die Fehlfunktion der CPU selbst den öffentlichen Funkverkehr durch unübliche elektromagnetische Wellen beeinträchtigen. Diesbezüglich ist das Automobiltelefon ebenfalls mit einem Mechanismus versehen, um eine Fehlfunktion der CPU zu verhindern. Diese Art von Mechanismus wird üblicherweise als Fehlertoleranz -Mechanismus bezeichnet.
Das Automobiltelefon begegnet der Fehlfunktion der CPU durch den Einbau einer Zeitüberwachungseinrichtung ("watchdog timer") darin. Nachdem die Zeitüberwachungseinrichtung von der CPU zurückgesetzt wurde, unterbricht sie die CPU nach der Detektion des Ablaufs einer vorgegebenen Zeitperiode auf der Basis eines Zeittaktes, welcher von einem an die CPU angelegten Zeittakt unabhängig ist. Insbesondere setzt die CPU die Zeitüberwachungseinrichtung mit einer Periode zurück, welche kürzer als die vorstehend erwähnte Zeitperiode ist, so daß sie unterbrochen werden kann, sobald sie eine Fehlfunktion aufweist. Wenn die CPU eine Fehlfunktion aufweist, und von der Zeitüberwachungseinrichtung unterbrochen wird, beendet sie die laufende Verarbeitung und führt statt dessen eine vorgegebene Unterbrechungsroutine aus. Die Fehlfunktion der CPU ist zum Teil einer Störung oder einer ähnlichen Ursache, welche selten auftreten, zuzuschreiben und zum Teil einem CPU-Ausfall oder einer ähnlichen Ursache zuzuschreiben, welche relativ häufig auftreten. Es ist daher schwierig die Ursache der Fehlfunktion der CPU herauszufinden. Dieses führt zusammen mit dem Umstand, daß die Wahrscheinlichkeit einer Fehlerreproduktion extrem niedrig ist, dazu, daß die Unterbrechungsbearbeitung lediglich die Hardware des Automobiltelefons zurücksetzt
Ein einfaches Rücksetzen der Hardware wie oben erwähnt ist nicht wunschenswert, da der Benutzer des Automobiltelefons nicht die Fehlfunktion der CPU erkennen kann, und demzufolge auch nicht sehen kann, ob sich die CPU in einem stabilen Zustand befindet. Ferner können bezüglich CPU-Fehlern der Art, welche nicht öfter als mit einer vorbestimmten Häufigkeit auftreten, deren Ursachen auch in einer Wartungsabteilung nicht leicht gefunden werden. Somit wird dann, wenn das Produkt zu einer Wartungsabteilung gebracht wird, um die Ursache einer anderen CPU-Fehlerart zu beseitigen, dieses oft an den Benutzer zurückgegeben, ohne daß die die Fehlfunktion der CPU betreffende Ursache beseitigt ist.
In den Patent Abstracts of Japan, Vol 7, Nr. 96 (P-193) [1241] vom 22. April 1983 befindet sich eine Zusammenfassung einer vorgeschlagenen Programmüberwachungsschaltung, welche in der Japanischen Patentanmeldung Nr. 56-122726 vom 4. August 1981 und in dem Japanischen Patent Nr. 58-22462, veröffentlicht am 2. Februar 1983, beschrieben wurde. Die vorgeschlagene Schaltung enthielt eine Programm-Zeitüberwachungseinrichtung, deren Ausgangssignal an einen Nachlaufzähler und eine monostabile Schaltung geliefert wurde. Die Ausgangssignale aus dem Zähler und der monostabilen Schaltung, wurden an ein Gatter angelegt, welches ein CPU-Rücksetzsignal zum Anlegen an eine CPU ausgab. Eine nicht einwandfreie Ausführung eines Programms, welche zu einem Ausfall eines Auslösevorgangs zu bestimmten Intervallen führte, führte dazu, daß ein Eingangssignal von der Programm-Zeitüberwachungseinrichtung an den Nachlaufzähler mit dem Ergebnis gesendet wurde, daß die CPU zurückgesetzt und das Programm neu gestartet wurde. Bei einem Ausfallzustand zeichnete der Zähler die Rücksetzhäufigkeit auf, und das System wurde angehalten, wenn ein vorgeschriebener Zählerstand erreicht wurde.
In der Beschreibung des U.S. Patentes Nr. 3,566,368, welches am 23. Februar 1971 veröffentlicht wurde, wurde ein Delta-Zeittaktsystem mit einer Unterbrechungslogik vorgeschlagen. Das System zeigte an, ob eine spezifische Aufgabe eine vorgegebene Zeitbeschränkung überschritt, und enthielt eine zusätzliche Neustartzeit, welche verwendet wurde, wenn der Zeittakt zum ersten Male eine Überschreitung zeigte. Zu diesem Zeitpunkt wurde eine "weiche" Unterbrechungsanforderung erzeugt. Beim zweiten Male einer Zeittaktüberschreitung, erfolgte eine "harte" Unterbrechungsanforderung und wenn ein Fehlerverriegelungssignal vorlag, wurde ein Stopsignal gesendet.
Ein Merkmal einer Anordnung, die nachstehend noch als ein die Erfindung veranschaulichendes Beispiel zu beschreiben ist, besteht darin, daß es dem Benutzer ermöglicht wird, leicht zu sehen, ob sich die CPU in einem stabilen Zustand befindet, und es auch der Wartungsabteilung ermöglicht wird, das Vorliegen einer möglichen Ursache der Fehlfunktion zu sehen.
In einem spezifischen System zur Detektion der Fehlfunktion einer CPU, das nachstehend als ein Beispiel zur Veranschaulichung der Erfindung zu beschreiben ist, unterbricht eine Zeitüberwachungseinrichtung die CPU, und ein nichtflüchtiger Speicher zeichnet die kumulative Anzahl von Malen auf, bei denen die CPU eine Fehlfunktion aufwies. Die CPU inkrementiert die kumulative Anzahl der in dem nicht-flüchtigen Speicher gespeicherten Male, jedesmal dann, wenn die CPU von der Zeitüberwachungseinrichtung unterbrochen wird.
Ein spezielles Verfahren zum Detektieren der Fehlfunktion einer CPU, welches nachstehend als ein Beispiel zur Veranschaulichung der Erfindung zu beschreiben ist, enthält die Schritte: Aufzeichnen der kumulativen Anzahl von Malen, bei denen die CPU eine Fehlfunktion aufwies, Unterbrechen der CPU bei der Detektion einer Fehlfunktion der CPU, und Inkrementieren der kumulativen Anzahl aufgezeichneter Male.
Die nachstehende Beschreibung und die Zeichnungen offenbaren im Rahmen von Beispielen die Erfindung, welche in den beigefügten Ansprüchen charakterisiert ist, deren Begriffe den durch diese verliehenen Schutzumfang bestimmen.
In den Zeichnungen ist:
Fig. 1 ein schematisches Blockschaltbild, welches ein CPU-Fehlfunktion-Detektionssystem darstellt;
Fig. 2 ein schematisches Blockschaltbild, welches einen spezifischen Aufbau einer Zeitüberwachungseinrichtung darstellt, und
Fig. 3 ein Flußdiagramm, welches einen spezifischen Betriebsablauf einer CPU darstellt.
In Fig. 1 von den Zeichnungen ist ein die vorliegende Erfindung verkörperndes CPU-Fehlfunktion-Detektionssystem dargestellt und besteht aus einer CPU 1, einer Zeitüberwachungseinrichtung 2, einem nicht-flüchtigen Speicher 3 und einer Anzeigeeinrichtung 4. Die CPU 1 führt eine vorgegebene Softwareverarbeitung aus, während der sie ein Zeitüberwachungseinrichtung-Rücksetzsignal 51 an die Zeitüberwachungseinrichtung 2 sendet. Unter der Annahme, daß die CPU 1 beispielsweise in einem Automobiltelefon eingebaut ist, führt sie eine für ein Automobiltelefonsystem spezifische Softwareverarbeitung aus. Nach dem Empfang eines Unterbrechungssignals 52 aus der Zeitüberwachungseinrichtung 2 startet die CPU 1 mit einer vorgegebenen Unterbrechungsverarbeitung. Die Zeitüberwachungseinrichtung 2 wird mit einem Zeittakt betrieben, welcher von einem an die CPU 1 angelegten Zeittakt unabhängig ist. Wenn das Zeitüberwachungseinrichtung-Rücksetzsignal 51 von der CPU 1 nicht an die Zeitüberwachungseinrichtung 2 gesendet wird, sendet die letztere das Unterbrechungssignal 52 in vorgegebenen Zeitintervallen an die erstere. Mit dem Empfang des Unterbrechungssignals 52 beispielsweise an einem Hardware-Rücksetzanschluß, setzt die CPU 1 einen Programmzähler auf die Adresse #0 zurück, nimmt die Verarbeitung wieder auf und initialisiert die periphere Schaltung. Während der Ausführung einer normalen Verarbeitung sendet die CPU 1 ein Zeitüberwachungseinrichtung-Rücksetzsignal 51 in kürzeren Zeitintervallen als die Unterbrechungssignale 52 an die Zeitüberwachungseinrichtung 2. Demzufolge setzt die CPU 1 die Zeitüberwachungseinrichtung 2 zurück, bevor letztere das Unterbrechungssignal 51 an die erstere sendet.
Fig. 2 stellt einen spezifischen Aufbau der Zeitüberwachungseinrichtung 2 dar. Gemäß Darstellung weist die Zeitüberwachungseinrichtung 2 eine Oszillationsschaltung 21, ein Schieberegister 22, ein D-Flipflop-Schaltung 23 und eine Differenzierschaltung 24 auf. Das Zeitintervall der Zeitüberwachungseinrichtung 2 wird von der Oszillationsschaltung 21 und dem Schieberegister 22 bestimmt. Insbesondere wird die feste Oszillationsfrequenz der Oszillationsschaltung 21 von dem Schieberegister 22 geteilt, um jedes gewunschte Zeitintervall zu erzeugen. Mit dem Einschalten einer Energieversorgungsquelle wird die Flipflop-Schaltung 23 von einer als eine Kondensator- und Widerstand-(CR)-Schaltung implementierten Integrationsschaltung zurückgesetzt, was einen negativen Pegel an einem Q-Ausgang davon erzeugt. Nach dem Ablauf eines vorgegebenen Zeitintervalls wird die Flipflop-Schaltung 23 jedoch von einem von dem Schieberegister 22 zugeführten Taktsignal gesetzt, um dadurch das Unterbrechungssignal 52 mit positiven Pegel an dem Q-Ausgang zu erzeugen. Die Differenzierungsschaltung 24 differenziert das Zeitüberwachungseinrichtung- Rücksetzsignal 51 aus der CPU 1 und führt das differenzierte Signal 51 dem Schieberegister 22 und der Flipflop-Schaltung 23 zu, um diese zurückzusetzen Daraus folgt, daß das Unterbrechungssignal 52 solange nicht auftritt, wie die CPU 1 normal arbeitet und das Zeitüberwachungseinrichtung-Rücksetzsignal 51 in kürzeren Zeitintervallen als das Unterbrechungssignal 52 ausgibt.
Die CPU 1 liefert an den nicht-flüchtigen Speicher 3 Daten 53, welche die Anzahl der Male darstellt, bei denen die CPU 1 eine Fehlfunktion aufwies. Der nicht-flüchtige Speicher 3 speichert den kumulativen Wert solcher Häufigkeiten. Ferner führt die CPU 1 der Anzeigeeinrichtung 4 ein Anzeigesignal 54 zu, um eine Alarmmeldung oder ähnliche Meldung anzuzeigen.
Unter Bezugnahme auf Fig. 3 wird nun ein den Betriebsablauf der Ausführungsform darstellender spezifischer Betriebsablauf der CPU 1 beschrieben. Mit dem Einschalten der Energieversorgung (Schritt 101) setzt die CPU 1 die Zeitüberwachungseinrichtung 2 (Schritt 102) zurück, um dadurch das Zeitintervall in den Anfangszustand zu bringen. Anschließend führt die CPU 1 eine Hauptroutine 11 aus. Insbesondere in der Hauptroutine 11 führt die CPU 1 einen vorgegebenen Steuerungsablauf (Schritt 110) aus, der für ein Automobiltelefon spezifisch ist und das Verarbeiten entsprechender Tastatureingaben, das Verarbeiten empfangener Daten und zu sendender Daten, und die Konversationsverarbeitung und den Rücksetzverarbeitungsablauf (Schritt 111) der Zeitüberwachungseinrichtung zum Senden des Zeitüberwachungseinrichtung-Rücksetzsignals 51 an die Zeitüberwachungseinrichtung 2 einschließt.
Wenn die CPU 1 normal arbeitet und das Zeitüberwachungseinrichtung-Rücksetzsignal 51 an die Zeitüberwachungseinrichtung 2 in kürzeren Zeitintervallen als das Unterbrechungssignal 52 sendet, tritt das Unterbrechungssignal 52 nicht auf, und demzufolge setzt die CPU 1 die Hauptroutine 11 fort. Es werde nun angenommen, daß die CPU 1 aufgrund irgendeiner Ursache eine Fehlfunktion zeigt und es unterläßt, das Zeitüberwachungseinrichtung-Rücksetzsignal 51 an die Zeitüberwachungseinrichtung 2 zu senden. Dann sendet die Zeitüberwachungseinrichtung 2 das Unterbrechungssignal 52 an die CPU 1. Mit dem Empfang des Unterbrechungssignals 52 wird die CPU 1 dazu veranlaßt, eine einer Unterbrechungsroutine 12 zugeordnete Adresse in einem Programmzähler einzustellen. Dann startet die Unterbrechungsroutine 1 mit der Unterbrechungsroutine 12.
Die Unterbrechungsroutine 12 beginnt mit einem Schritt 120 zum Inkrementieren einer in dem nicht-flüchtigen Speicher 3 gespeicherten Variablen. Hier sei der Anf angswert der Variablen gleich Null. Der nicht-flüchtige Speicher 3 kann durch einen implementiert werden, welcher üblicherweise in einem Automobiltelefon zum Speichern einer Mobileinheitnummer und anderer Nummern (ESN) eingebaut ist. Die CPU 1 vergleicht die inkrementierte Variable in dem Speicher 3 mit einem vorgegebenen Grenzwert (Schritt 121). Wenn die Variable kleiner als der Grenzwert ist (NEIN, Schritt 121), kehrt die CPU 1 zu dem Verarbeitungsablauf zurück, welcher unmittelbar dem Einschalten der Energieversorgung folgt. Insbesondere kehrt die CPU 1 unter der Annahme, daß der Grenzwert gleich N ist, zu einem solchen Verarbeitungsablauf zurück, wenn die inkrementierte Variable gleich N-1 oder kleiner ist. Wenn die inkrementierte Variable gleich dem Grenzwert ist (JA, Schritt 121), erzeugt die CPU 1 eine Alarmmeldung auf der Anzeigeeinrichtung 4, welche den Benutzer auf die Notwendigkeit einer Reparatur (Schritt 122) aufmerksam macht und stoppt dann den Betrieb (Schritt 123). Für die Anzeigeeinrichtung 4 kann von der Anzeigeeinheit Gebrauch gemacht werden, welche üblicherweise in einem Automobiltelefon vorgesehen ist, um den Benutzer eine Telefonnummer und verschiedene Betriebszustände anzuzeigen.
Zusammengefaßt ist zu sehen, daß die vorliegende Erfindung ein Detektionssystem für CPU-Fehlfunktionen bereitstellt, welches die kumulative Anzahl von Fehlfunktionen einer CPU in einem nicht-flüchtigen Speicher speichert und eine Alarmmeldung anzeigt, wenn diese einen vorgegebenen Wert überschreitet. Das System ermöglicht es somit dem Benutzer, ohne weiteres zu sehen, daß die CPU nicht stabil arbeitet, und diese einer Wartungsabteilung zu übergeben.
Sogar dann, wenn ein die CPU enthaltendes Produkt aufgrund einer anderen Ursache als der Fehlfunktion der CPU zu einer Wartungsabteilung gebracht wird, kann ohne weiteres auf der Basis des in dem nicht-flüchtigen Speicher kumulierten Wertes festgestellt werden, ob eine mögliche Ursache einer CPU-Fehlfunktion der Art, die eine Reparatur erfordert, vorliegt oder nicht.
Ferner kann die Wartungsabteilung durch Aufsummieren der in den nicht-flüchtigen Speichern eines Produkttyps gespeicherten Anzahl von Fehlfunktionen und durch Vergleichen der sich ergebenden Daten mit Daten eines anderen Produkttyps sehen, ob Produkte des einen Typs stabiler als Produkte des andem Typs sind. Dieses ist für die Rückführung nützlicher Information an die Entwicklungsabteilung sinnvoll.
Nach den Erhalt der Lehren der vorliegenden Offenbarung werden für den Fachmann auf diesem Gebiet verschiedene Modifikationen möglich sein, ohne von dem Schutzumfang der beigefügten Ansprüche abzuweichen.

Claims

1. System zum Detektieren der Fehlfunktion einer CPU (1 - Zentralverarbeitungseinheit) mit einer Zeitüberwachungseinrichtung (2) zur Verwendung bei der Unterbrechung der CPU (1), dadurch gekennzeichnet, daß die Zeitüberwachungseinrichtung (2) mit einem Zeittaktsignal betrieben wird, welches unabhängig von einem an die CPU angelegten Zeittaktsignal ist, eine Verbindung von der CPU (1) zu der Zeitüberwachungseinrichtung (2) für ein Rücksetzsignal (51) bereitgestellt ist, und eine Verbindung von der Zeitüberwachungseinrichtung (2) zu der CPU (1) für ein Unterbrechungssignal (52) bereitgestellt ist, und dadurch, daß ein mit der CPU (1) verbundener nicht-flüchtiger Speicher (3) bereitgestellt ist, die CPU (1) an den Speicher (3) Daten (53) liefert, die der Anzahl der Male entsprechen, bei denen die CPU (1) eine Fehlfunktion aufwies, der Speicher (3) den inkrementierten Wert der Daten (53) speichert, und ein Komparator in der CPU (1) bereitgestellt ist, um die inkrementierten Daten (3) in dem Speicher (3) mit einem vorgegebenen Grenzwert zu vergleichen und um ein Signal zum Beenden des Betriebs des Systerns zu erzeugen , wenn die inkrementierten Daten den vorgegebenen Grenzwert erreichen.

2. System nach Anspruch 1, mit einer Anzeigeeinrichtung (4), wobei die CPU (1) die Anzeigeeinrichtung (4) zum Anzeigen einer Alarmmeldung veranlaßt, wenn die inkrementierte kumulative Anzahl den vorgegebenen Grenzwert erreicht.

3. System nach Anspruch 2, wobei die Zeitüberwachungseinrichtung (2) aufweist:

eine Oszillationsschaltung (21) mit einer festen Oszillationsfrequenz,

ein Schieberegister (22) zum Teilen der festen Oszillationsfrequenz der Oszillationsschaltung (21), um ein Zeitintervall der Zeitüberwachungseinrichtung (2) festzulegen,

ein Flipflop-Schaltung (23) zum Erzeugen eines Unterbrechungssignals zum Unterbrechen der CPU (1), und

und eine Differenzierschaltung (24) zum Differenzieren eines Zeitüberwachungseinrichtung-Rücksetzsignals aus der CPU (1) und zum Liefern des differenzierten Zeitüberwachungseinrichtung-Rücksetzsignals an das Schieberegister (22) und die Flipflop-Schaltung (23) zum Rücksetzen des Schieberegisters (22) und der Flipflop-Schaltung (23).

4. Verfahren zum Detektieren der Fehlfunktion einer CPU (1 - Zentralverarbeitungseinheit) mit einer Zeitüberwachungseinrichtung (2) zur Verwendung bei der Unterbrechung der CPU (1), wobei das Verfahren dadurch gekennzeichnet ist, daß die Zeitüberwachungseinrichtung (2) mit einem Zeittaktsignal betrieben wird, welches unabhängig von einem an die CPU angelegten Zeittaktsignal ist, dadurch, daß eine Verbindung von der CPU (1) zu der Zeitüberwachungseinrichtung (2) für ein Rücksetzsignal (51) bereitgestellt ist, dadurch, daß eine Verbindung von der Zeitüberwachungseinrichtung (2) zu der CPU (1) für ein Unterbrechungssignal (52) bereitgestellt ist, dadurch, daß ein nicht-flüchtiger Speicher (3) mit der CPU (1) verbunden ist, dadurch, daß die CPU (1) an den Speicher (3) Daten (53) liefert, die der Anzahl der Male entsprechen, bei denen die CPU (1) eine Fehlfunktion aufwies, dadurch, daß der Speicher (3) den inkrementierten Wert der Daten (53) speichert, und dadurch daß ein Komparator in der CPU (1) die inkrementierten Daten (3) in dem Speicher (3) mit einem vorgegebenen Grenzwert vergleicht und den Betrieb des Systems beendet, wenn die inkrementierten Daten den vorgegebenen Grenzwert erreichen.

5. Verfahren nach Anspruch 4, welches das Anzeigen einer Alarmmeldung beinhaltet, wenn die inkrementierten Daten den Grenzwert erreichen.