JP2002041493A - マイクロコンピュータ - Google Patents

Abstract

(57)【要約】 【課題】 暴走監視装置を備えたマイクロコンピュータ
において、初期化処理に要する時間が長くなっても暴走
監視装置を正常に動作させることができ、しかも、初期
化処理が正規の順序で実行されない場合に確実に再起動
できるようにする。 【解決手段】 ウォッチドッグタイマを備えたマイコン
において、スタートアップルーチンでは、実行すべき処
理を複数の単位処理に分けて実行する(S120,S170,S22
0)。そして、各単位処理の実行時にフラグchkflgに各単
位処理の実行過程を記憶し(S110,S160,S210)、各単位処
理の実行後に、パススルーフラグchkflgから今回実行し
た単位処理は異常ジャンプによるものかを判定し(S130,
S180,S230)、異常ジャンプによるものであればマイクロ
コンピュータを再起動し(S140,S190,S240)、各単位処理
が正規の順序で実行されていれば、ウォッチドッグタイ
マ６の計時時間をクリア(S150,S200,S250)した後、次の
処理に移行する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ソフトウェアの暴
走を監視する暴走監視装置を備えたマイクロコンピュー
タに関する。

【０００２】

【従来の技術】従来より、マイクロコンピュータにおい
て、ソフトウェアの暴走時に、その旨を検出して、マイ
クロコンピュータを自動的に再起動（リセット）する暴
走監視装置として、ウォッチドッグタイマが知られてい
る。

【０００３】ウォッチドッグタイマは、入力クロックを
カウントすることにより時間を計時し、その計時時間が
暴走監視時間に達したときに、リセット信号を発生する
ことで、マイクロコンピュータを再起動させるものであ
る。そして、ウォッチドッグタイマを備えたマイクロコ
ンピュータに各種処理を実行させるためのソフトウェア
（プログラム）は、マイクロコンピュータから、ウォッ
チドッグタイマに対して、周期的或いはマイクロコンピ
ュータが所定の処理を実行する度に間欠的にクリア信号
を出力させることにより、ウォッチドッグタイマによる
計時時間をクリアするように設定される。

【０００４】つまり、マイクロコンピュータがＲＯＭ等
に記憶されたソフトウェアに従い正常に処理を実行して
いるときには、マイクロコンピュータからウォッチドッ
グタイマに周期的或いは間欠的にクリア信号を出力する
ことで、ウォッチドッグタイマによる計時時間が暴走監
視時間に達してマイクロコンピュータがリセットされる
のを防止し、マイクロコンピュータが何らかの原因で正
常に処理を実行できなくなった際には、マイクロコンピ
ュータからウォッチドッグタイマにクリア信号が出力さ
れなくなって、ウォッチドッグタイマの動作により、マ
イクロコンピュータを自動的に再起動できるようにして
いるのである。

【０００５】ところで、マイクロコンピュータが実行す
べきソフトウェアには、マイクロコンピュータに対して
所望の演算処理を実行させるための通常処理用プログラ
ムの他に、起動直後にレジスタやメモリの初期化を実行
させるための初期化用プログラムがある。

【０００６】そして、この初期化用プログラムは、通常
処理用プログラムとは異なり、マイクロコンピュータの
起動直後に一回だけ実行されるものであり、また、マイ
クロコンピュータ起動直後に速やかに通常処理を開始で
きるように、実行時間が短く設定されることから、初期
化用プログラムには、通常、ウォッチドッグタイマにク
リア信号を出力する処理は含まれていない。

【０００７】

【発明が解決しようとする課題】ところが、近年では、
マイクロコンピュータを用いた各種制御装置の多機能化
に伴い、マイクロコンピュータの入出力端子の数やマイ
クロコンピュータに組み込まれるメモリ（ＲＯＭ，ＲＡ
Ｍ等）の容量が大きくなり、マイクロコンピュータの起
動直後に初期化用プログラムにより実行させるべき初期
化処理の時間（入出力端子やメモリをチェックするため
の処理時間）が長くなりつつある。

【０００８】そして、このように初期化処理に要する時
間が長くなると、初期化処理実行中に、ウォッチドッグ
タイマの動作によって、マイクロコンピュータがリセッ
トされてしまう虞がある。つまり、ウォッチドッグタイ
マが計時動作を開始してからリセット信号を発生するま
での暴走監視時間は、通常処理実行時に生じるソフトウ
ェアの暴走を監視するためのものであることから、初期
化処理の実行時間とは関係なく設定される。このため、
上記のように初期化処理に要する時間が長くなると、初
期化処理実行中に、ウォッチドッグタイマによる計時時
間が暴走監視時間に達し、ウォッチドッグタイマからリ
セット信号が出力されて、マイクロコンピュータがリセ
ットされてしまうことがあるのである。

【０００９】一方、こうした問題を防止する方法として
は、マイクロコンピュータが初期化処理を実行している
ときにウォッチドッグタイマが計時する暴走監視時間
を、通常処理実行時の暴走監視時間よりも長くするか、
或いは、通常処理実行時だけでなく、初期化処理実行時
にも、ウォッチドッグタイマに対してクリア信号を出力
することが考えられる。

【００１０】しかし、上記前者のように、初期化処理実
行時と通常処理実行時とでウォッチドッグタイマの暴走
監視時間を切り換えるようにした場合、初期化処理実行
時にウォッチドッグタイマからリセット信号が出力され
るのを防止できるものの、ウォッチドッグタイマの暴走
監視時間をソフト的に切り換えることができるようにし
なければならず、ウォッチドッグタイマの構成が複雑に
なり、また、制御が煩雑になる問題がある。また、ウォ
ッチドッグタイマをこのように構成した場合、マイクロ
コンピュータの誤動作によって、ウォッチドッグタイマ
の設定時間が本来設定すべき時間とは異なるものとな
り、ウォッチドッグタイマが正常に機能しなくなること
も考えられる。

【００１１】これに対して、上記後者のように、通常処
理実行時だけでなく、初期化処理実行時にも、ウォッチ
ドッグタイマに対して間欠的にクリア信号を出力するよ
うにした場合には、ウォッチドッグタイマの暴走監視時
間を切り換える必要がないので、ウォッチドッグタイマ
に暴走監視時間の切り換え機能を持たない従来のものを
そのまま使用でき、しかも、暴走監視時間がマイクロコ
ンピュータの誤動作によって切り換えられることもない
ので、上記前者の対策に比べて、マイクロコンピュータ
の信頼性を確保できる。

【００１２】ところが、このように初期化処理実行時に
ウォッチドッグタイマへクリア信号を出力するようにし
た場合、マイクロコンピュータが通常処理を実行してい
る時に、異常ジャンプ命令等によってマイクロコンピュ
ータの処理が初期化処理に移行し、初期化用プログラム
中の狭小ループに入ってしまうと、ウォッチドッグタイ
マへのクリア信号の出力によって、ウォッチドッグタイ
マによる暴走監視機能が働かず、マイクロコンピュータ
をリセットできなくなってしまうという問題が発生す
る。

【００１３】本発明は、こうした問題に鑑みなされたも
のであり、ウォッチドッグタイマ等の暴走監視装置を備
えたマイクロコンピュータにおいて、初期化処理に要す
る時間が暴走監視時間よりも長くなっても暴走監視装置
を正常に機能させることができ、しかも、初期化処理が
異常ジャンプ命令等によって正規の手順で実行されない
場合にはその旨を検出してマイクロコンピュータを再起
動できるようにすることを目的とする。

【００１４】

【課題を解決するための手段】かかる目的を達成するた
めになされた請求項１記載のマイクロコンピュータにお
いては、起動直後には、記憶媒体に記憶された初期化用
プログラムに従い初期化処理を実行し、初期化処理が終
了すると、記憶媒体に記憶された通常処理用プログラム
に従い、暴走監視装置による計時時間を間欠的にクリア
する処理を含む通常処理を実行する。

【００１５】また、初期化用プログラムは、マイクロコ
ンピュータに対して、初期化処理全体をマイクロコンピ
ュータが暴走監視時間よりも短い時間で実行可能に分割
してなる複数の単位処理を順次実行させると共に、マイ
クロコンピュータが各単位処理を実行する度に暴走監視
装置に信号を出力して計時時間をクリアさせ、更に、各
単位処理の実行時に当該単位処理を実行した旨を表す経
過情報を記憶させ、次の単位処理への移行時には、その
経過情報からそれまでに実行されるべき各単位処理が正
常に実行されたか否かを判定して、正常に実行されてい
ない場合には暴走監視装置による計時時間をクリアしな
い、といった手順で初期化処理を実行させるように構成
されている。

【００１６】このため、本発明によれば、マイクロコン
ピュータよる初期化処理の実行時間が、暴走監視装置の
暴走監視時間よりも長くなったとしても、初期化処理実
行中に出力される信号により暴走監視装置による計時時
間をクリアできることになり、初期化処理実行時に暴走
監視装置の動作によってマイクロコンピュータが再起動
されるのを確実に防止できる。

【００１７】また、初期化処理実行時には、初期化処理
を複数に分割した各単位処理が正常に実行されたか否か
を判定して、正常に実行されていなければ暴走監視装置
による計時時間をクリアしないようにされているので、
例えば、通常処理実行時の異常ジャンプ命令等によっ
て、マイクロコンピュータの処理が通常処理から初期化
処理に移行し、初期化処理が正規の手順で実行されない
場合に、暴走監視手段による計時時間をクリアしてしま
うのを防止し、マイクロコンピュータを再起動させるこ
とができる。

【００１８】よって、本発明のよれば、マイクロコンピ
ュータにて実行すべき初期化処理の時間が長くなって
も、暴走監視装置によるソフトウェアの暴走監視機能を
正常に機能させることができると共に、マイクロコンピ
ュータの処理が通常処理から初期化処理へ移行した際に
マイクロコンピュータを再起動できなくなるのを防止
し、マイクロコンピュータの信頼性を向上することが可
能となる。

【００１９】ここで、通常処理実行時の異常ジャンプ命
令等によって初期化処理が正規の手順で実行されない場
合にマイクロコンピュータを再起動できるようにするに
は、暴走監視装置による計時時間をクリアするのを禁止
するだけでもよい（この場合、暴走監視装置がマイクロ
コンピュータを再起動することになる）が、こうした異
常時に、より速やかにマイクロコンピュータを再起動で
きるようにするには、請求項２に記載のように、初期化
用プログラムを、経過情報からそれまでに実行されるべ
き各単位処理が正常に実行されていない場合に、マイク
ロコンピュータを直接再起動させるように構成するとよ
い。

【００２０】

【発明の実施の形態】以下に本発明の実施例を図面と共
に説明する。図１は、本発明が適用されたマイクロコン
ピュータ（以下単にマイコンという）１０の構成を表す
ブロック図である。

【００２１】本実施例のマイコン１０は、例えば、自動
車に搭載されて、自動車各部を制御するために用いられ
るものであり、図１に示すように、ＣＰＵ，ＲＯＭ，Ｒ
ＡＭ等からなる演算処理部２と、制御対象となる自動車
各部の状態や乗員からの指令を表す検出信号を演算処理
部２に入力すると共に演算処理部２での演算結果に応じ
た制御信号を各種アクチュエータ出力する入出力部４
と、演算処理部２で実行されるソフトウェアの暴走を監
視するウォッチドッグタイマ６と、を備える。

【００２２】ウォッチドッグタイマ６は、本発明の暴走
監視装置に相当するものであり、外部から入力される計
時用のクロック信号ＣＬＫ１をカウントすることにより
時間を計時し、その計時時間が予め設定された暴走監視
時間に達すると、演算処理部２にリセット信号を出力し
て、演算処理部２（延いてはマイコン１０）を再起動さ
せる。また、ウォッチドッグタイマ６は、演算処理部２
からクリア信号を受けると、それまで計時していた時間
をクリアして、クロック信号ＣＬＫ１に基づく計時を再
開する。

【００２３】一方、演算処理部２は、外部から入力され
るマシンクロックＣＬＫ０を受けて動作し、記憶媒体と
してのＲＯＭに記憶されたソフトウェアに従い各種演算
処理を実行するものである。そして、本実施例のマイコ
ン１０は自動車用のものであることから、ＲＯＭには、
通常処理用プログラムとして、入出力部４から検出信号
を取り込み車両各部の制御量を算出して入出力部４から
制御信号を出力させる車両制御のための制御プログラム
が記憶されており、演算処理部２は、この制御プログラ
ムに従い車両制御のための演算処理（通常処理）を実行
する。

【００２４】尚、この制御プログラムは、演算処理部２
が、制御プログラムに従い車両制御のための通常処理を
実行しているときに、ウォッチドッグタイマ６による暴
走監視時間よりも短い時間間隔で、ウォッチドッグタイ
マ６に対して間欠的にクリア信号を出力するクリア処理
を実行するように構成されている。

【００２５】この結果、演算処理部２がＲＯＭに記憶さ
れた制御プログラムに従い車両制御のための通常処理を
正常に実行している際には、ウォッチドッグタイマ６に
よる計時時間が間欠的にクリアされ、ウォッチドッグタ
イマ６からリセット信号が出力されて演算処理部２（延
いてはマイコン１０）がリセット（再起動）されること
はない。

【００２６】また、ＲＯＭには、車両制御のための制御
プログラムに加えて、演算処理部２（延いてはマイコン
１０）が電源投入により起動された直後（パワーオンリ
セット時）やリセット信号により再起動された直後（リ
セット時）に、演算処理部２に対して、内部のＲＡＭや
図示しないレジスタを初期化したり入出力部４をチェッ
クする初期化処理（以下に説明するスタートアップルー
チン）を実行させるための初期化用プログラムも記憶さ
れている。

【００２７】そして、演算処理部２は、マイコン１０の
起動直後に、一回だけ、この初期化用プログラムに従い
初期化処理としてのスタートアップルーチンを実行し、
その後、上記制御プログラムに従い車両制御のための通
常処理を実行する。以下、演算処理部２が初期化プログ
ラムに従い実行するスタートアップルーチンを、図２に
示すフローチャートを用いて説明する。

【００２８】尚、このスタートアップルーチンでは、マ
イコン１０の起動直後に実行すべき処理を、演算処理部
２がウォッチドッグタイマ６の暴走監視時間よりも短い
時間で実行可能な複数の単位処理（本実施例では処理
１，処理２，処理３）に分けて順に実行するようにされ
ている。

【００２９】図２に示すように、スタートアップルーチ
ンが開始されると、まずＳ１１０（Ｓはステップを表
す）にて、スタートアップルーチンでの単位処理の実行
過程を表す経過情報を記憶するために予め設定されてい
るｎビットのパススルーフラグchkflgに、初期値「０」
を設定する。

【００３０】次に、続くＳ１２０では、最初に実行すべ
き単位処理である「処理１」を実行し、「処理１」が終
了すると、続くＳ１３０にて、パススルーフラグchkflg
が初期値「０」になっているか否かを判定する。そし
て、Ｓ１３０にて、パススルーフラグchkflgが初期値
「０」になっていないと判定された場合には、今回実行
した「処理１」は他の処理からの異常ジャンプにより実
行されたものと判定して、Ｓ１４０に移行し、リセット
信号を発生して、マイコン１０を再起動させる。

【００３１】一方、Ｓ１３０にて、パススルーフラグch
kflgが初期値「０」になっていると判断された場合に
は、今回実行した「処理１」は、マイコン１０の起動直
後に正規の手順で実行されたものと判断できることか
ら、続くＳ１５０に移行して、ウォッチドッグタイマ６
（図ではＷＤＴと記載）にクリア信号を出力すること
で、ウォッチドッグタイマ６の計時時間をクリアする。

【００３２】また次に、続くＳ１６０では、パススルー
フラグchkflgの最下位ビット（所謂ＬＳＢ）を値「０」
から値「１」に書き換えることにより、Ｓ１２０での
「処理１」を正常に実行できた旨を記憶し、Ｓ１７０に
移行して、次に実行すべき「処理２」を実行する。

【００３３】次に、Ｓ１７０での「処理２」が終了する
と、Ｓ１８０に移行して、パススルーフラグchkflgにお
いて最下位ビットだけが値「１」になっているか否かを
判定する。そして、パススルーフラグchkflgにおいて最
下位ビットだけが値「１」になっていれば、今回実行し
た「処理２」は「処理１」に続いて実行されたものであ
り、他の処理からの異常ジャンプによるものではないと
判定して、Ｓ２００に移行し、そうでなければ、「処理
２」は他の処理からの異常ジャンプにより実行されたも
のであるので、Ｓ１９０に移行してリセット信号を発生
することにより、マイコン１０を再起動させる。

【００３４】次に、Ｓ２００では、上記Ｓ１５０と同
様、ウォッチドッグタイマ６にクリア信号を出力するこ
とで、ウォッチドッグタイマ６の計時時間をクリアす
る。そして、続くＳ２１０では、パススルーフラグchkf
lgの下位２ビット目を値「０」から値「１」に書き換え
ることにより、Ｓ１７０での「処理２」を正常に実行で
きた旨を記憶し、Ｓ２２０に移行して、次に実行すべき
「処理３」を実行する。

【００３５】また次に、Ｓ２２０での「処理３」が終了
すると、Ｓ２３０に移行して、パススルーフラグchkflg
において最下位ビットと下位２ビット目だけが値「１」
になっているか否かを判定し、パススルーフラグchkflg
において最下位ビットと下位２ビット目だけが値「１」
になっていれば、今回実行した「処理３」は「処理
１」，「処理２」に続いて実行されたものであり、他の
処理からの異常ジャンプによるものではないと判定し
て、Ｓ２５０に移行する。

【００３６】そして、Ｓ２５０では、上記Ｓ１５０，Ｓ
２００と同様に、ウォッチドッグタイマ６にクリア信号
を出力することで、ウォッチドッグタイマ６の計時時間
をクリアし、当該スタートアップルーチンを終了して、
通常処理に移行する。また、Ｓ２３０にて、パススルー
フラグchkflgにおいて最下位ビットと下位２ビット目だ
けが値「１」になっていない場合には、「処理３」は他
の処理からの異常ジャンプにより実行されたものである
ので、Ｓ２４０に移行してリセット信号を発生すること
により、マイコン１０を再起動させる。

【００３７】以上説明したように、本実施例のマイコン
１０においては、演算処理部２で記憶媒体としてのＲＯ
Ｍに記憶された初期化用プログラムが、スタートアップ
ルーチンで実行すべき初期化処理を、複数（本実施例で
は３つ）の単位処理（処理１〜処理３）に分けて順に実
行するように構成されており、しかも、これら各単位処
理（処理１〜処理３）の実行時には、パススルーフラグ
chkflgに各単位処理（処理１〜処理３）の実行過程を記
憶してゆき、各単位処理（処理１〜処理３）の実行後
に、パススルーフラグchkflgから、今回実行した単位処
理は正規の順序で実行されたものか異常ジャンプにより
実行されたものかを判定して、異常ジャンプによるもの
であれば、そのままマイコン１０を再起動し、更に、各
単位処理（処理１〜処理３）が正規の順序で実行されて
いれば、ウォッチドッグタイマ６の計時時間をクリアし
た後、次の処理に移行するようにされている。

【００３８】このため、本実施例によれば、スタートア
ップルーチンの実行時にウォッチドッグタイマ６の暴走
監視装置の動作によってマイコン１０が再起動されるの
を防止できると共に、車両制御のための通常処理を実行
しているときに、異常ジャンプ命令等によって、マイコ
ン１０の処理がスタートアップルーチンに移行してきた
際には、その旨を速やかに検出して、マイコン１０を再
起動できる。

【００３９】よって、本実施例のマイコン１０によれ
ば、スタートアップルーチンの実行に要する時間が長く
なっても、ウォッチドッグタイマ６の誤動作を防止でき
ると共に、ソフトウェアの異常ジャンプ命令等によって
処理が通常処理からスタートアップルーチンに移行した
際に、マイコン１０を再起動できなくなるのを防止し、
マイコン１０の信頼性を向上することが可能となる。

【００４０】以上本発明の一実施例について説明した
が、本発明は、上記実施例に限定されるものではなく、
種々の態様を採ることができる。例えば、上記実施例で
は、暴走監視装置としてのウォッチドッグタイマ６は、
マイコン１０に組み込まれるものとして説明したが、本
発明は、ウォッチドッグタイマ６等の暴走監視装置を外
部に備えたマイクロコンピュータであっても、上記実施
例と同様に適用して、同様の効果を得ることができる。

【００４１】また、上記実施例では、初期化処理（スタ
ートアップルーチン）実行時に、パススルーフラグchkf
lgに基づき、初期化処理が正規の手順で実行されていな
いと判断した際（Ｓ１３０，Ｓ１８０，Ｓ２３０にてＮ
Ｏと判定された際）には、マイコン１０を直接再起動す
る（Ｓ１４０，Ｓ１９０，Ｓ２４０）ものとして説明し
たが、初期化処理が正規の手順で実行されていないと判
断した際には、ウォッチドックタイマ６による計時時間
をクリアする処理（Ｓ１５０，Ｓ２００，Ｓ２５０）を
実行するのを中止して、その次の処理に移行するように
してもよい。

【００４２】つまり、初期化処理（スタートアップルー
チン）をこのように実行するようにした場合には、初期
化処理が正規の手順で実行されないときに、ウォッチド
ッグタイマ６の計時動作が継続され、最終的にはウォッ
チドッグタイマ６の計時時間が暴走監視時間に達して、
ウォッチドッグタイマ６がマイコン１０を再起動するこ
とになる。よって、初期化処理をこのように実行するよ
うにしても、異常ジャンプ命令等によって初期化処理が
正規の手順で実行されない場合に、マイコン１０を確実
に再起動することができるようになり、マイコン１０の
信頼性を向上することができる。

【図面の簡単な説明】

【図１】 実施例のマイクロコンピュータの概略構成を
表すブロック図である。

【図２】 実施例のマイクロコンピュータにおいて初期
化処理として実行されるスタートアップルーチンを表す
フローチャートである。

【符号の説明】

２…演算処理部、４…入出力部、６…ウォッチドッグタ
イマ、１０…マイクロコンピュータ（マイコン）。

Claims (2)

【特許請求の範囲】
1. 【請求項１】 時間を計時し、該計時時間が予め設定さ
   れた暴走監視時間に達した際にマイクロコンピュータを
   再起動させる暴走監視装置と、 マイクロコンピュータに実行させるべきソフトウェアと
   して、少なくとも、起動直後に初期化処理を実行させる
   ための初期化用プログラムと、該初期化処理実行後に、
   前記暴走監視時間よりも短い間隔で前記暴走監視装置に
   信号を出力して前記計時時間をクリアさせる処理を含む
   通常処理を実行させるための通常処理用プログラムと、
   が記憶された記憶媒体と、 を備え、前記記憶媒体に記憶されたソフトウェアに従い
   前記初期化処理及び前記通常処理を実行するマイクロコ
   ンピュータにおいて、 前記初期化用プログラムは、マイクロコンピュータに対
   して、 前記初期化処理全体をマイクロコンピュータが前記暴走
   監視時間よりも短い時間で実行可能に分割してなる複数
   の単位処理を順次実行させると共に、マイクロコンピュ
   ータが前記各単位処理を実行する度に、前記暴走監視装
   置に信号を出力して、前記計時時間をクリアさせ、 更に、前記各単位処理の実行時に当該単位処理を実行し
   た旨を表す経過情報を記憶させ、次の単位処理への移行
   時には、該経過情報からそれまでに実行されるべき前記
   各単位処理が正常に実行されたか否かを判定して、正常
   に実行されていない場合には前記計時時間をクリアしな
   い、 ように構成されていることを特徴とするマイクロコンピ
   ュータ。
2. 【請求項２】 前記初期化用プログラムは、前記経過情
   報からそれまでに実行されるべき前記各単位処理が正常
   に実行されていない場合に、マイクロコンピュータを再
   起動させるように構成されていることを特徴とする請求
   項１記載のマイクロコンピュータ。