JP2000187600A

JP2000187600A - ウオッチドッグタイマ方式

Info

Publication number: JP2000187600A
Application number: JP10365044A
Authority: JP
Inventors: Atsuya Yamashita; 敦也山下
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 1998-12-22
Filing date: 1998-12-22
Publication date: 2000-07-04
Also published as: CA2292991C; CN1258042A; CA2292991A1; CN1109976C; US6212134B1

Abstract

(57)【要約】【課題】システムの異常性を、プログラムの実行状態
に合わせて割り当てた値の変化として捉えることによっ
て、より確実な異常性チェック機能を持つウオッチドッ
グタイマ方式を提供する。【解決手段】プロセッサ（ＣＰＵ）１から、プログラ
ムの実行状態に合わせて定義された実行状態データを、
カウンタ（ＷＤＴＣ）がオーバーフローしない前にレジ
スタ５に保持する。その保持された実行状態データとあ
らかじめＲＯＭ６に保持されているプログラムの状態系
列を示す状態系列データとを比較器９で比較し、相違し
ていた時、リセット信号を発生させる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、産業用計算機及び
フォールトトレラント計算機における、ソフト／ハード
での障害監視機能として一般的に用いられるウオッチド
ッグタイマ方式に関し、その機能の一部として状態比較
及び状態一致の機能を設けたことを特徴としている。

【０００２】

【従来の技術】ウオッチドッグタイマ（Ｗａｔｃｈ−Ｄ
ｏｇ−Ｔｉｍｅｒ）機能は、特に産業用計算機や、機械
や製品の制御用コントローラ等のように停止してはなら
ない計算機に対し、プログラムのバグ等で計算機の停止
の検出のために用いられている。

【０００３】このような、ウオッチドッグタイマ機能
は、一般的に有益であり、近年ワンチップＣＰＵなどで
は１つのＬＳＩ内に混載されることもある。しかし、こ
れは「計算機が一定時間にウオッチドッグタイマをクリ
アすること＝プログラムが正常に動作している」、とい
うように計算機の異常性を定義しているためである。例
えば、バグによりプログラムがウオッチドッグタイマの
クリアを含むような永久ループに入り込んだ場合、前述
の定義には当てはまらないため、このバグを検出するこ
とができない。

【０００４】また、ハード的な障害があったとき、計算
されるべき値に異常が発生したがそれがシステム内で取
り得る値であったため、異なる動作をしてしまったとい
うような場合が存在する。これらのより高度な計算機の
異常性を検出することが要求されている。

【０００５】この要請に応えるために、例えば、特開平
４−２４１６４２号公報に開示されているように、通過
状態表示レジスタを用いて「チェックポイントをクリ
ア」なおかつ「ウオッチドッグタイマをクリアする」こ
とを正常として定義し、異常性の検出を行うことが提案
されている。

【０００６】この先行技術文献に開示された手法では、１．明確に「プログラムの実行状態」を定義していな
い。２．通るべきチェックポイントの時間的順序は検出しな
い。３．通過状態表示レジスタセット命令とウオッチドッグ
タイマクリア命令の複数の命令を使用するので、プログ
ラム作成が複雑化する。

【０００７】

【発明が解決しようとする課題】このため、先行技術文
献の手法は、チェックポイントを設定する通過状態表示
レジスタセット命令とウオッチドッグタイマクリア命令
を含む永久ループの検出が行えない。また、プログラム
を作成する時に、チェックポイントとしての通過状態表
示レジスタセット命令を、ウオッチドッグタイマクリア
命令に比較してどれくらい時間的な差を付けるべきなの
か、が明確となっていない点や、通過状態表示レジスタ
セット命令を実行するプログラムルートとウオッチドッ
グタイマクリア命令のあるプログラムルートが一致する
ように、条件分岐等で考慮してプログラムを作る必要が
ある点といった、プログラマにとって使いにくいといっ
た欠点がある。

【０００８】さらには、チェックポイントのチェックと
なっているため、フォールトトレラント計算機の設計の
ような複数の計算機間での比較を行えないという問題も
ある（チェックポイントの値の設定と、その確認が分割
されているため）。

【０００９】本発明の主な目的は、システムの異常性
を、プログラムの実行状態に合わせて割り当てた値の変
化として捉えることによって、より確実な異常性チェッ
ク機能を持つウオッチドッグタイマ方式を提供すること
にある。

【００１０】

【課題を解決するための手段】本発明は、カウンタの値
がオーバーフローすることで計算機全体にリセットを発
生させるウオッチドッグタイマ方式において、計算機の
プロセッサから、プログラムの実行状態に合わせて定義
された実行状態データを、カウンタがオーバーフローし
ない前に保持する実行状態保持手段と、その保持された
実行状態データとプログラムの状態系列を示す状態系列
データとを比較し、相違していた時、リセット信号を発
生させる比較手段とを有することを特徴とする。

【００１１】プログラムの状態系列があらかじめ決まっ
ている場合には、状態系列データをあらかじめＲＯＭ等
の状態系列保存手段に保存しておき、これを順次読み出
して実行状態データと比較すれば良い。

【００１２】柔軟なプログラムの状態遷移に対応する場
合には、実行状態保持手段に保持された実行状態データ
からステートマシンにて状態系列データを生成する。

【００１３】複数の計算機との間で異常検知を行う場合
には、他の計算機から送られてくる状態系列データを選
択手段で選択して比較手段に入力すれば良い。

【００１４】

【発明の実施の形態】次に、本発明の実施の形態を図面
に基づいて詳述する。

【００１５】図１に示すように、本発明を適用した計算
機システムは、マイクロプロセッサ（以下、「ＣＰＵ」
と記す）１と、メモリ（以下、「ＭＥＭ」と記す）２
と、外部入出力装置（以下、「Ｉ／Ｏ」と記す）３と、
各々を接続するバス（以下、「ＢＵＳ」と記す）という
一般的な計算機の構成に対し、本発明によるウオッチド
ッグタイマ機能を持ったＬＳＩ（以下、「ＷＤＴ−ＬＳ
Ｉ」と記す）４を設けている。

【００１６】ＣＰＵ（１）は、ＭＥＭ（２）からプログ
ラムを取り出し、解釈、実行する。その命令によりＣＰ
Ｕ（１）は、ＭＥＭ（２），Ｉ／Ｏ（３）からデータを
取り出したり、処理し、出力する。この時、そのプログ
ラムの実行状態（例えば、初期化処理中、入力処理中、
処理中、出力中など）に対して、一意に決定された値を
定義しておく。

【００１７】ＷＤＴ−ＬＳＩ（４）は、図２を用いて後
ほど詳述するように、内部に一定のカウンタ（以下、こ
のカウンタを「ＷＤＴＣ」と記す）７を持ち、そのカウ
ンタ値がオーバーフローすることで計算機全体にリセッ
トを発生する機能を持つ。つまり、この計算機では、一
定時間ごとにＣＰＵ等がＷＤＴＣ（７）をクリアする必
要があり、これが行われない場合、計算機は異常動作を
行っているとして再起動をかける仕組みとなっている。

【００１８】そのため、ＣＰＵ（１）は、プログラムの
実行に従って、その実行状態をＷＤＴ−ＬＳＩ（４）へ
ＷＤＴＣ（７）がオーバーフローしない程度の間隔で通
知する。

【００１９】さらに、本発明では、ＣＰＵ等がＷＤＴＣ
クリアの時に一意の値をＷＤＴ−ＬＳＩ（４）へ、あら
かじめ時系列にあわせて設定された数列として書き込ま
なければカウンタはクリアされない、という動作を実行
する。

【００２０】従って、ＣＰＵ（１）は、プログラムの実
行状態に合わせてＷＤＴ−ＬＳＩ（４）へ書き込む値を
決定し、ＷＤＴ−ＬＳＩ（４）へＷＤＴＣ（７）がオー
バーフローする前に値を書き込むことでシステムの正常
性を常に宣言する。また、従来では検出できなかったシ
ステムの異常性を、ＷＤＴ−ＬＳＩ（４）に書き込む値
があらかじめ決定されていた数列から外れた場合につい
て検出することが出来る。

【００２１】例えば、１．従来のウオッチドッグタイマ機能では、「プログラ
ムが、ＷＤＴ−ＬＳＩへのアクセスを含むループにて永
久ループを実行する」という暴走を検出できなかったも
のが検出できる。２．あらかじめ決定されていたシーケンスから外れた動
作をしたことを検出できる（原因解析が出来る）。３．プログラムの実行状態から値が決められることか
ら、従来では困難であったシステム全体の状態の把握が
可能となる。これにより、フォールトトレラント計算機
を構成する計算機の状態一致の検出が行える。という効果が得られる。

【００２２】次に、図２を参照して、ＷＤＴ−ＬＳＩ
（４）の内部構成を詳細に説明する。ＷＤＴ−ＬＳＩ
（４）は、ＣＰＵ（１）からの書き込み値、つまりプロ
グラムの実行状態に対して一意に決定された値を保持す
るレジスタ（５）と、あらかじめ決められた状態系列を
保存するＲＯＭ（６）と、一定のカウンタ（以下、この
カウンタを「ＷＤＴＣ」と記す）（７）と、状態系列保
存用ＲＯＭ（６）のためのステートカウンタ（以下、
「Ｓ＿ＣＮＴ」と記す）（８）と、状態系列保存用ＲＯ
Ｍ（６）のデータとレジスタ（５）の実行状態データと
を比較する比較器（９）と、リセット信号出力のための
ＯＲ回路１０と、全体を制御するコントローラ（以下、
「ＣＴＲＬ」と記す）１１とからなる。

【００２３】ＣＰＵ（１）からの実行状態データに対
し、ＷＤＴ−ＬＳＩ（４）は、状態系列保存ＲＯＭ
（６）のＳ＿ＣＮＴ（８）で示されるアドレスに対して
リードを実行し、その読み出された状態系列データとＣ
ＰＵ（１）からの実行状態データであるレジスタ（５）
の内容とを比較器９で比較し、Ｓ＿ＣＮＴ（８）を１つ
増加させる。この時、Ｓ＿ＣＮＴ（８）がアドレスの上
限値を超えた場合、規定のアドレス値（任意に設定可
能）へＳ＿ＣＮＴ（８）を初期化する。比較した結果、
違っていればＷＤＴ−ＬＳＩ（４）はＣＰＵ（１）以
下、全てにリセットを発生し、初期状態から再実行す
る。

【００２４】かくして、あらかじめ決められた状態遷移
以外の事象が発生した場合、システムの異常として検出
することが出来る。

【００２５】ＷＤＴ−ＬＳＩ（４）は、内部のＷＤＴＣ
（７）がオーバーフローを起こした時、ＲＥＳＥＴ信号
を出し、システム全体をリセットする。しかし、ＣＴＲ
Ｌ（１１）がＣＰＵ（１）からの書き込みを検出し、Ｃ
ＰＵ（１）からの実行状態データをレジスタ（５）に保
持したとき、ＷＤＴＣ（７）はリセットされ、ＲＥＳＥ
Ｔ信号送出は先送りされる。ＣＴＲＬ（１１）は、レジ
スタ（５）に実行状態データを保持するのと同時に、Ｒ
ＯＭ（６）のアドレスとしてＳ＿ＣＮＴ（８）に値を入
力し、リードアクセスを発生させ、ＲＯＭ（６）内の状
態系列データとレジスタ（５）の実行状態データとを比
較器９で比較する。一致していれば、Ｓ＿ＣＮＴ（８）
をインクリメントし、不一致ならば、ＲＥＳＥＴ信号を
出し、システム全体をリセットする。

【００２６】図１，２のＣＰＵ（１），ＭＥＭ（２），
Ｉ／Ｏ（３）は、当業者にとってよく知られており、ま
た本発明とは直接関係しないので、その詳細な構成は省
略する。

【００２７】以下、本実施例の一連の動作につき説明す
る。まず、ＷＤＴ−ＬＳＩ（４）の動作ついて図３のタ
イミングチャートを用いて説明する。通常、ＷＤＴ−Ｌ
ＳＩ（４）にクリア書き込みをしない場合、ＷＤＴ−Ｌ
ＳＩ（４）は、外部供給クロックにより内部カウンタで
あるＷＤＴＣ（７）をインクリメントするウオッチドッ
グタイマ動作をする。このため、一定のｘ秒（ｘ秒は、
システムで一意の値として、システムごとに設計され
る）書き込みが無い（ＣＰＵからのＷＲ信号が無い）
と、ＷＤＴＣ（７）がオーバーフローを起こし、ＲＥＳ
ＥＴ信号が送出される。

【００２８】一方、ＷＤＴ−ＬＳＩ（４）への実行状態
の書き込み動作（ＷＤＴＣのクリア動作）に付いては、
図４及び図５のタイミングチャートに従って実行され
る。すなわち、ＣＰＵ（１）からのプログラム実行状態
の書き込み動作は、ＣＰＵ−ＷＲ信号とＢＵＳ信号によ
ってＷＤＴ−ＬＳＩ（４）へ通知される。これを受け
て、図２のＣＴＲＬ（１１）は、レジスタ（５）にＢＵ
Ｓ上の値をロードすると同時に、ＷＤＴＣ（７）をクリ
アする。その後、ＲＯＭ（６）からの状態系列データ
（予定されているプログラムの実行状態）と、レジスタ
（５）のデータとが等しいかどうか、比較器（９）が演
算する。その結果が、不等の場合は、システムのリセッ
ト信号を出し、Ｓ＿ＣＮＴ（８）を０クリアする。ま
た、等しい場合は、リセット信号は出さず、Ｓ＿ＣＮＴ
（８）をインクリメントする。

【００２９】ＷＤＴ−ＬＳＩ（４）は、このようなウオ
ッチドッグタイマ機能を備えているので、ＣＰＵ（１）
のプログラムが一定時間、永久ループ等に入り込み、シ
ステムが停止した場合、システム全体のリセットが入
り、正常動作となる。従って、無停止型計算機やフォー
ルトトレラント計算機を構成することができる。

【００３０】さらには、本実施例では、プログラムの実
行状態に対して値を割り振り、ウオッチドッグタイマの
カウンタクリア時に、その値があらかじめ決まった状態
遷移をしているかどうか比較するようになっているの
で、単にシステムが停止していることのみを検出するの
ではなく、異常なプログラム動作のフローに落ち込んで
いることを検出することもできる。

【００３１】しかも、複数の無停止型計算機やフォール
トトレラント計算機があり、各プログラムが同一の場
合、時間的な動作の状態は同じようになっているので、
プログラムの実行状態の値のみの比較によって異常動作
（この場合の異常動作は、ハード的な障害等の発生を原
因とするようなプログラム状態の差異）を検出するとい
う効果もある。また、プログラムのデバッグ時に、あら
かじめ予想していたプログラム実行状態へ遷移すること
を確認／検出するためにも使用することができる。

【００３２】なお、上記実施例では、無停止型計算機と
して、ＷＤＴ−ＬＳＩ（４）はシステム全体にリセット
信号を出力するだけであったが、前述のようなデバッグ
機能として使用する場合、ＣＰＵ（１）の割り込み信号
等に出力するとしてもよい。

【００３３】また、状態系列保存用ＲＯＭ（６）だと、
プログラムの実行状態の変化として常に決まった動作し
か行えないため、大雑把にしかプログラムの実行状態を
把握できない。そこで、ＲＯＭの代わりに、ステートマ
シンを構成し、そこで生成される状態と比較するという
構成を採ることもできる。

【００３４】その構成を第２の実施例として図６に示
す。この場合の基本的構成は上記の通りであるが、ＷＤ
Ｔ−ＬＳＩ内部のＲＯＭについて変形を加えている。す
なわち、同図において、図２の状態系列保存用ＲＯＭ
（６）の部分を、状態保存用レジスタと内部フリップフ
ロップの状態を入力とするステートマシン１２として構
成する。すなわち、図２のＲＯＭ（６）の場合だと、プ
ログラムの実行状態が、ＲＯＭ（６）の内容の繰り返し
という遷移以外に対応できない、という問題点がある
が、ステートマシン１２にすることによって、プログラ
ムの任意の状態遷移に対する状態系列データを、レジス
タ（５）に保持された実行状態データから適時に生成す
ることが可能となる。

【００３５】このように、第２の実施例では、さらに、
柔軟なプログラムの状態遷移に対応するという効果が得
られる。

【００３６】本構成において、ステートマシン１２は別
のＣＰＵとプログラムやシーケンサとしてもよい。ま
た、ＷＤＴ−ＬＳＩ（４）の内部のＲＯＭ（６）をＲＡ
Ｍによって構成し、他のＣＰＵ／シーケンサでプログラ
ム実行状態をダイナミックに変更していくということも
可能である。

【００３７】上記各実施例では、１個の無停止型計算機
に対してプログラムの状態を含めたウオッチドッグタイ
マ機能を導入するという作用効果を、本発明によるＷＤ
Ｔ−ＬＳＩ（４）を用いて得ているが、プログラムの実
行状態を規定するということから、複数の無停止型計算
機の間で、どの無停止型計算機が異常状態に落ち込んで
いるかということを検出することが可能となる。

【００３８】また、複数の無停止型計算機やフォールト
トレラント計算機の間の障害検出については、ＷＤＴ−
ＬＳＩ（４）のＲＯＭ（６）を除去し、他のＷＤＴ−Ｌ
ＳＩ内のプログラム実行状態保持レジスタからの入力を
使用することで構成できる。

【００３９】そのための構成を、第３の実施例として図
７，図８に示す。本実施例のフォールトトレラント計算
機では、ｎ台（ｎは自然数）の無停止型計算機からなる
故障検出コントローラをＷＤＴ−ＬＳＩ（４）にて構成
する。このような構成の場合、前述したようなＷＤＴ−
ＬＳＩ（４）内部のＲＯＭ（６）のような形であらかじ
めプログラムの実行状態を記憶しておくことも可能であ
るが、より柔軟に他の無停止型計算機との間でＷＤＴ−
ＬＳＩ（４）に書き込まれたプログラムの実行状態の値
を多数決により比較し、故障装置を検出するという構成
を採ることが出来る。

【００４０】この場合、図８に示すように、ＷＤＴ−Ｌ
ＳＩ（４）の状態保持用レジスタ（５）に対しＣＰＵ
（１）から値書き込みがあった場合に、Ｈとなるｒｅｇ
−ｅｎａｂｌｅ信号をセレクタ１３に入力し、上述した
実施例で述べたようなレジスタ（５）の書き込み時点で
値の比較を行うのではなく、ｎ個のＷＤＴ−ＬＳＩ
（４）のｒｅｇ−ｅｎａｂｌｅ信号が全てＨになった時
点で、レジスタ（５）の中でもっとも一致した数が多い
プログラムの実行状態を正常値として、比較器９で比較
を行うようにする。この時、ｒｅｇ−ｅｎａｂｌｅ信号
が既にＨなのに書き込みがあった場合、ＷＤＴＣ（７）
はクリアするが、値はレジスタ（５）にロードせず、Ｃ
ＰＵ等をＨＡＬＴするように構成することで同期化機能
を付加することができる。

【００４１】従って、ｎ台の無停止型計算機からなるフ
ォールトトレラント計算機について、ウオッチドッグタ
イマ機能と、プログラムの実行状態のチェックという動
作が得られる。

【００４２】しかも、本実施例では、あらかじめプログ
ラムの実行状態の時間系列を制定する必要はないとして
いるので、プログラムが頻繁に変更されるようなプログ
ラムにおいてもＲＯＭの変更を必要としないこと、ま
た、多数決による値の決定を行うためより異常動作の検
出能力が高いという相乗的（格別）な効果を奏する。

【００４３】

【発明の効果】以上述べたように本発明によれば次のよ
うな効果がある。プログラムが一定時間、永久ループ等に入り込み、
システムが停止した場合、システム全体のリセットが入
り、正常動作となるので、無停止型計算機やフォールト
トレラント計算機を構成することができる。

【００４４】プログラムの実行状態に対して値を割
り振り、ウオッチドッグタイマのカウンタクリア時に、
その値があらかじめ決まった状態遷移をしているかどう
か比較するので、単にシステムが停止していることのみ
を検出するのではなく、異常なプログラム動作のフロー
に落ち込んでいることを検出することもできる。

【００４５】複数の無停止型計算機やフォールトト
レラント計算機があり、各プログラムが同一の場合、時
間的な動作の状態は同じようになっているので、プログ
ラムの実行状態の値のみの比較によって異常動作を検出
するという効果もある。

【００４６】プログラムのデバッグ時に、あらかじ
め予想していたプログラム実行状態へ遷移することを確
認／検出するためにも使用することができる。

【００４７】請求項３に係る発明によれば、柔軟な
プログラムの状態遷移に対応できる。請求項４に係る発明によれば、複数の無停止型計算
機の間で、どの無停止型計算機が異常状態に落ち込んで
いるかということを検出することが可能となる。

【図面の簡単な説明】

【図１】本発明を適用する計算機システムの基本構成を
示すブロック図である。

【図２】本発明の第１の実施例を示すブロック図であ
る。

【図３】図２中のＷＤＴ−ＬＳＩの主な動作を示すタイ
ミングチャートである。

【図４】詳細な動作を示すタイミングチャートである。

【図５】同様のタイミングチャートである。

【図６】本発明の第２の実施例を示すブロック図であ
る。

【図７】本発明の第３の実施例の概要構成を示すブロッ
ク図である。

【図８】第３の実施例の詳細構成を示すブロック図であ
る。

【符号の説明】

１マイクロプロセッサ（ＣＰＵ）２メモリ（ＭＥＭ）３外部入出力装置（Ｉ／Ｏ）４ウオッチドッグタイマ機能を持ったＬＳＩ（ＷＤ
Ｔ−ＬＳＩ）５レジスタ６状態系列保存用ＲＯＭ７カウンタ（ＷＤＴＣ）８ステートカウンタ（Ｓ＿ＣＮＴ）９比較器１０ＯＲ回路１１コントローラ（ＣＴＲＬ）１２ステートマシン１３セレクタ

Claims

【特許請求の範囲】

【請求項１】カウンタの値がオーバーフローすることで
計算機全体にリセットを発生させるウオッチドッグタイ
マ方式において、計算機のプロセッサから、プログラム
の実行状態に合わせて定義された実行状態データを、前
記カウンタがオーバーフローしない前に保持する実行状
態保持手段と、その保持された実行状態データとプログ
ラムの状態系列を示す状態系列データとを比較し、相違
していた時、リセット信号を発生させる比較手段とを有
することを特徴とするウオッチドッグタイマ方式。
【請求項２】プログラムの状態系列を示す状態系列デー
タをあらかじめ保存する状態系列保存手段と、その保存
された状態系列データを順次読み出す読出手段とを有す
る請求項１記載のウオッチドッグタイマ方式。
【請求項３】プログラムの状態遷移に対する状態系列デ
ータを、実行状態保持手段に保持された実行状態データ
から生成するステートマシンを有する請求項１記載のウ
オッチドッグタイマ方式。
【請求項４】他の計算機から送られてくる状態系列デー
タを選択して比較手段に入力する選択手段を有する請求
項１記載のウオッチドッグタイマ方式。