JP2005529405A - マイクロコントローラユニットの動作を監視するための方法およびベースチップ - Google Patents

Abstract

少なくとも１つのアプリケーションを対象とし且つシステム（１００）に関連付けられた少なくとも１つのマイクロコントローラユニット（３００）の動作を監視するための方法およびベースチップ（２００）を更に開発することにより、シリアルシステムに関連付けられたマイクロコントローラユニット（３００）の動作を監視して、誤った動作、特にバッテリを放電する故障動作を確実に防止できるようにするため、マイクロコントローラユニット（３００）は、それに関連付けられた少なくとも１つの不揮発性メモリ領域（１０）を有し、メモリ領域（１０）は、マイクロコントローラユニット（３００）によって読み取ることができおよび／または書き込むことができ、マイクロコントローラユニット（３００）の動作に関する少なくとも一組の統計データ、特に故障統計値の組を、メモリ領域（１０）によって保持できることを提案する。

Description

本発明は、少なくとも１つのアプリケーションを対象とし且つシステムに関連付けられる少なくとも１つのマイクロコントローラの動作を監視する方法に関する。

また、本発明は、少なくとも１つのアプリケーションを対象とする少なくとも１つのマイクロコントローラの動作を監視するベースチップ、特にシステムベースチップ、および、対応するシステム、特に制御システムに関する。

例えば、自動車エレクトロニクスにおける今日の制御ユニットにおいて、永久的に予めプログラムされたマイクロコントローラを使用することは、もはや一般的ではない。これは、固定されたプリセットプログラムでは、現行の大量生産の過程で或いはエンドユーザによって変更を行なうことができないからである。したがって、自動車製造メーカは、マイクロコントローラにおいていわゆる揮発性メモリまたはフラッシュメモリを使用するということが益々慣行化してきている。この種の揮発性メモリによって、プログラムコードを常に上書きすることができ、また、これは、例えば検査の一部として、製造および修理店の両方で行なうことができる。

この種のフラッシュメモリを使用して非常に不利であると普通に感じられることは、基本的に、自動車の寿命の間にプログラムの一部または全体が失われる可能性が存在し、したがって、ある任意の時点で、焼き付けられたソフトウェアがクラッシュする虞があるということである。この種のプログラムクラッシュにより、その電流消費量が低いレベルにある状態へと制御ユニットをもはや適切に変更することができなくなる虞がある。そのため、駐車した状態であっても、すなわち、点火スイッチがＯＦＦの状態であっても、自動車の電流消費量が持続的に高くなる。これにより、自動車のバッテリが放電し、最悪の場合には、自動車を始動させることができなくなる。

全ての制御ユニットは互いに直列に接続されているため、前述した種類の故障の重大性が非常に大きくなる虞がある。相互接続により、障害のあるフラッシュメモリを有する故障した制御ユニットは、自動車全体を永久的に「起こす」場合があり、このようにして、極端な電力消費が生じる。

ほぼ同じ問題は、周期的に発生して制御ユニットを絶えずリセットする他の全ての故障、例えば給電における短絡等（負荷のスイッチＯＮによって引き起こされる不足電圧を生じる）によって引き起こされる。

従来技術では、制御ユニット内のいわゆる「ウォッチドッグ」（クロック信号が独立したソースから得られる構造化可能なタイマ）によってシステムの動作を検出しようとする試みが成されている。これに関連してこの用語「ウォッチドッグ」が一般に意味されるところは、装置、接続、または、ソフトウェアを周期的に監視するために使用される技術として理解されている。ソフトウェアの一部がソフトウェアによって定められた順序経路にもはやしたがっていない場合、ウォッチドッグは、マイクロコントローラをリセットすることにより、プログラムの実行をその予定された経路に戻そうとする。

しかしながら、ウォッチドッグは、例えば不足電圧に起因して、プログラムのある任意の時点で、ソフトウェアのクラッシュまたはリセットが繰り返し起こる場合には、助ける力がなく、ウォッチドッグまたは不足電圧検出器は、制御ユニットをリセットし、その後、ソフトウェアの同じポイントにおけるその後のある時点で、不足電圧を再びクラッシュし或いは引き起こす。これにより、制御ユニットが逃げることができるエンドレスループが生じる。

前述した不利および欠点を出発点として、また、前述した従来技術において当然与えられるべき割り当てをもって、本発明の目的は、最初の段落で詳述した種類の方法および２番目の段落で詳述した種類のベースチップを更に開発して、１つのアプリケーションを対象とし且つ前述した種類のシリアルシステムに関連付けられたマイクロプロセッサの動作を監視することにより、故障動作、特にバッテリを放電させる故障動作を簡単に回避できるようにすることである。

この目的は、請求項１で特定された特徴を有する方法により、また、請求項５で特定された特徴を有するベースチップにより達成される。本発明の有利な実施形態および有用な改良は、従属請求項の各組に記載されている。

したがって、本発明は、監視方法の提供を基本とするだけでなく、故障統計データをサポートするシステムチップの提供も基本としている。この目的のため、本発明の教示下においては、アプリケーションソフトウェアが故障統計データを保持できるようにする少なくとも１つの不揮発性メモリを、アプリケーション内、特にシステムチップ内に設けることを提案する。

このメモリ領域は、有利にはマイクロコントローラの外側に配置されなければならず、また、記録された統計データの損失がマイクロコントローラに対する供給電圧の短絡によって引き起こされないように独立の給電を有しているべきである。また、独立に給電されるこの種のメモリ領域は、マイクロコントローラに、介在期間に、電流供給が無い状態でも統計データを失うことがない予定された動作モード（いわゆる「スリープモード」）を利用させる。

本発明の特に有利な改良において、メモリ領域に対する書き込みアクセスは、リセットプロセス後にシステムが再び起動する場合にのみ許容される。このようにすると、例えば障害のあるソフトウェアによって動作中に誤ってメモリ領域が上書きされる可能性を排除できる。一方、システムの診断をいつでも行なえるように、読み取りアクセスは常に可能でなければならない。

本発明による方法およびベースチップの両方においては、リセットイベントの原因を検出できるとともに、必要な時にマイクロコントローラを利用できるようにすることが好ましい。このようにすれば、異なるリセットイベントを検出して別個に処理することができる。

例えば、揮発性メモリの故障に起因してウォッチドッグがタイムアウトする場合には、このリセットイベントがマイクロコントローラに知らされ、アプリケーションソフトウェアは、この情報を、本発明にしたがって設けられる不揮発性メモリ内に記憶する。この種の各リセットイベントにおいて、ソフトウェアは、この故障したメモリを例えばインクリメントするとともに、ある所定のカウントに達すると、もはや正常に起動しないが、電流消費量が低いフェイルセーフ状態に移行しても良い。

特に本発明の実施形態においては、少なくとも１つのＳＢＣ（システムベースチップ）を使用することにより、マイクロコントローラおよびウォッチドッグの両方に電圧を供給できるとともに、リセットハードウェアに不足電圧検出機能を設けることができる。

電池によって永久的に給電されるそのようなシステムベースチップ内では、所定のメモリ領域をＲＡＭ（ランダムアクセスメモリ）の形態で設けることが容易である。なぜなら、この場合、電圧を絶えず利用できるからである（ＥＥＰＲＯＭ（電気的消去・プログラム可能型読取専用メモリ）を超える費用便益を与える）。

また、ＳＢＣ（システムベースチップ）自体がシステムリセットのチェックを担うため、ＳＢＣ（システムベースチップ）内でリセットイベントの検出を有利に行なって、その検出をＳＢＣに記憶することもできる。したがって、ＳＢＣ（システムベースチップ）自体がシステムの起動をチェックし且つ順調な起動後にメモリ領域を遮断することができるため、システムベースチップは、最適な方法で、不揮発性メモリ内のメモリビットのロックを行なうこともできる。

本発明においては、フェイルセーフシステムを開発するために必要な構成要素の全てがユーザに利用可能である。特に有利なことは、この手法の自由度である。これは、ＳＢＣ（システムベースチップ）内に組み込まれなければならない固定されたプリセット自動機能が無いからである。これにより、アプリケーションのための安全な方式を、最適な形態で適合・調整できるとともに、任意の望ましい方法でユーザにより規定および／またはスケーリングすることができる。

最後に、本発明は、車両のエレクトロニクス、特に自動車のエレクトロニクスにおいて、少なくとも１つのアプリケーションを対象とするマイクロコントローラユニットの動作を監視する前述したタイプの方法の使用および／または前述したタイプの少なくとも１つのベースチップの使用に関するものである。

既に述べたように、本発明の教示内容を有利に具体化して改良できる様々な想定し得る方法がある。一方、これに関しては、特に請求項１および５に従属する請求項を参照することができる。また、他方で、本発明の他の態様、特徴、利点は、図１に示される後述する例示的な実施形態から明らかであり、また、この実施形態を参照しながら、本発明の他の態様、特徴、利点について説明する。

制御システム１００が図１に概略的に示されている。この制御システム１００は、供給ユニット３１０（ＶＤＤを供給する）と、リセットユニット３２０と、Ｉ／Ｏ（入力／出力）モジュール３３０とを有するマイクロコントローラユニット３００と共に、マイクロコントローラユニット３００の動作を監視するためのいわゆるＳＢＣ（システムベースチップ）２００を有している。前記マイクロコントローラユニット３００は、１つのアプリケーションを対象にしている。

この目的のため、システムチップ２００は、特に、不揮発性メモリ領域１０（＝「汎用メモリ」）を有しており、このメモリ領域１０によって、マイクロコントローラユニット３００の動作に関する故障統計値を生成して記録することができる。システムチップ２００は、システム１００が起動している間だけ、自由にプログラム可能なメモリユニット１０のビットに対する書き込みアクセスを許容して、誤った書き込みアクセスが動作中に生じることを防止する。一方、メモリユニット１０の自由にプログラム可能なビットに対する読み取りアクセスは、常に可能である。

システムチップ２００は、異なるリセットイベント間で行われるべき区別およびアプリケーションコントローラ３００がアクセスできる異なるイベントを許容するため、システムチップ２００は、様々なリセットイベントを許容するべく設けられた情報ユニット２０（リセットソース情報用）と、（マイクロコントローラユニット３００のリセットユニット３２０に向かう）接続部４２によってマイクロコントローラユニット３００に接続されるリセットユニット４０（システムリセット用）とを有している。

情報、特に故障統計値データの交換を可能にするため、メモリ領域１０および情報ユニット２０は、前方に（マイクロコントローラユニット３００のＩ／Ｏ（入力／出力）モジュール３３０に給電する）インタフェースユニット３０が挿入されている。

また、図１から明らかなように、メモリ領域１０、および、接続部５２によってマイクロコントローラユニット３００に接続されたマイクロコントローラ給電ユニット５０は、少なくとも１つのバッテリユニット４００と永久的に繋がっている。アプリケーションに利用可能なメモリユニット１０のメモリビットは、バッテリ４００から永久的に電力の供給を受ける一方で、マイクロコントローラ給電ユニット５０は、スイッチ５４によってＯＮおよびＯＦＦに切換え可能であり、これにより、マイクロコントローラ給電ユニット５０を介して、マイクロコントローラユニット３００に対しエネルギを一時的に供給することができる（マイクロコントローラユニット３００のＶＤＤ供給ユニット３１０に給電する）。

したがって、要するに、図１に示されるシステムベースチップ２００は、ＥＣＵ（電子制御ユニット）の周期的な故障状態を検出して監視することにより、制御システム１００による任意の持続的な高い電力消費がこの種の周期的故障状態によって引き起こされることを防止しようとしていると言える。

システムベースチップ２００の一部を形成するとともに連続的に給電されるメモリユニット１０の特定のビット（＝いわゆる「汎用ビット」）は、アプリケーションソフトウェアを使用して前述した故障イベントを記憶することができるとともに、特に、低エネルギ動作または故障に起因してアプリケーションコントローラ３００に供給される電力が（殆ど）無い場合であっても、記憶によって得られた統計的な情報を利用可能な状態にしておくことができる。

これに関連して、システムベースチップ２００内に特に設けられたログまたはレジスタは、このようにして監視される様々な周期的な問題と様々な故障イベントと区別することができる。ユーザ定義閾値を越えると、アプリケーションは、本発明にしたがって、（再）起動せずに低エネルギモードへ進むことを決定することができる。

ベースチップおよびマイクロコントローラを有する本発明によるシステムの一実施形態のブロック図である。

符号の説明

１００ システム、特に制御システム
１０ メモリ領域
２０ 情報ユニット
３０ インタフェースユニット
４０ リセットユニット
４２ リセットユニット４０とマイクロコントローラユニット３００との間の接続部
５０ マイクロコントローラ給電ユニット
５２ 給電ユニット５０とマイクロコントローラユニット３００との間の接続部
５４ 給電ユニット５０のスイッチ
２００ ベースチップ、特にシステムベースチップ
３００ マイクロコントローラユニット、特にアプリケーションマイクロコントローラ
３１０ マイクロコントローラユニット３００のための給電ユニット
３２０ マイクロコントローラユニット３００のためのリセットユニット
３３０ マイクロコントローラユニット３００のＩ／Ｏ（入力／出力）モジュール
４００ バッテリユニット

Claims (10)

1. 少なくとも１つのアプリケーションを対象とし且つシステムに関連付けられた少なくとも１つのマイクロコントローラユニットの動作を監視する方法であって、
   −前記マイクロコントローラユニットは、それに関連付けられた少なくとも１つの不揮発性メモリ領域を有し、
   −前記メモリ領域は、前記マイクロコントローラユニットによって読み取ることができおよび／または書き込むことができ、
   −前記マイクロコントローラユニットの動作に関する少なくとも一組の統計データ、特に故障統計値の組を、前記メモリ領域によって保持することができる、
   方法。
2. 前記メモリ領域は、少なくとも１つのバッテリユニットによって永久的に給電されることを特徴とする請求項１に記載の方法。
3. −前記マイクロコントローラユニットの動作に関し、様々なリセットイベント間で区別を行なうことができ、
   −これらの様々なリセットイベントに前記マイクロコントローラユニットがアクセスできるようにすることを特徴とする請求項１または２に記載の方法。
4. 前記メモリ領域は、
   −常に読み取ることができ、および／または
   −リセット後のみ、または、前記システムが再起動している間だけ、書き込むことができることを特徴とする請求項１から３のいずれか一項に記載の方法。
5. 少なくとも１つのアプリケーションを対象とする少なくとも１つのマイクロコントローラユニットの動作を監視するためのベースチップ、特にシステムベースチップであって、前記マイクロコントローラユニットによって読み取ることができ、および／または書き込むことができる少なくとも１つのメモリ領域を備え、このメモリ領域により、前記マイクロコントローラユニットの動作に関して、少なくとも一組の統計データ、特に少なくとも一組の故障統計値を生成することができる、ベースチップ。
6. −様々なリセットイベントを許容するべく設けられた少なくとも１つの情報ユニットと、
   −前記マイクロコントローラユニットをリセットするとともに、前記マイクロコントローラユニットに接続された少なくとも１つのリセットユニットと、
   −前記マイクロコントローラユニットに接続された少なくとも１つの給電ユニットと、
   を備えていることを特徴とする請求項５に記載のベースチップ。
7. −前記メモリ領域および前記給電ユニットは、少なくとも１つのバッテリユニットに永久的に繋がれ、
   −前記マイクロコントローラユニットは、前記給電ユニットを介して、それに関連付けられた少なくとも１つの一時的なエネルギ供給を受けることを特徴とする請求項６に記載のベースチップ。
8. 前記メモリ領域および／または前記情報ユニットの前には、前記マイクロコントローラユニットとデータをやりとりするための少なくとも１つのインタフェースユニットが挿入されていることを特徴とする請求項５から７のいずれか一項に記載のベースチップ。
9. 少なくとも１つのアプリケーションを対象とする少なくとも１つのマイクロコントローラユニットと、請求項５から８のいずれか一項に記載の少なくとも１つのベースチップとを備えている、特に制御システムであるシステム。
10. 車両のエレクトロニクス、特に自動車のエレクトロニクスにおいて、少なくとも１つのアプリケーションを対象とする少なくとも１つのマイクロコントローラユニットの動作を監視するために、請求項１から４のいずれか一項に記載の方法および／または請求項５から８のいずれか一項に記載の少なくとも１つのベースチップの使用。

Images