JP2007079839A - 電子機器、監視装置、監視方法およびコンピュータプログラム - Google Patents

Abstract

【課題】 中央処理装置（ＣＰＵ）が暴走したときに、機器の異常状態を検出し、機器に対する致命的な影響を抑える電子機器を提供する。
【解決手段】 ＣＰＵ１１内に、スタック領域１０３のアドレスの上限値と下限値とを予め記憶しておく。ループ処理内の適当なタイミングで、スタックポインタ１０２のその時点での値が上限値と下限値との間に位置しているか否かを判別し、位置していなければ、異常であると判別する。
【選択図】図１

Description

本発明は、中央処理装置（ＣＰＵ；Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）が正常に動作しているか否かを判別することができる電子機器、監視装置、監視方法およびコンピュータプログラムに関する。

静電気、電気ノイズ、熱などの原因で、電子機器に組み込まれたＣＰＵが暴走することがあることが知られている。ＣＰＵが暴走状態で処理を続けると、電子機器の設定状態が破壊されたり、過電流が流れることで機器が壊れたりするなどの致命的な状態が発生することがある。
そこで、ウォッチドッグタイマを用意し、ウォッチドッグタイマがＣＰＵの暴走を検出するとＣＰＵをリセットする動作を行うことで、ＣＰＵが暴走している状態を中止させる技術が知られている（たとえば、特許文献１参照）。
平０５−００２６５４公報

ウォッチドッグタイマがＣＰＵの暴走状態を検知して、ＣＰＵをリセットするまでに、通常は、数十ミリ秒〜数百ミリ秒かかる。この間に、電子機器の設定状態が破壊されたり、過電流が流れることで電子機器が壊れたりすることなどの致命的な状態が発生することがある。

本発明は、上記問題に鑑みてなされたもので、機器の異常を短時間で検出することを可能とすることを目的とする。

上記課題を解決するため、本発明の第１の観点に係る電子機器は、
ループした処理を実行する中央処理装置を有する処理装置であって、
前記中央処理装置は、
スタック及びスタックポインタを備え、当該スタック及び当該スタックポインタを用いてループした処理を実行し、
さらに、
前記スタックのアドレスの上限値と下限値とを記憶するアドレス上・下限値記憶手段と、
所定のタイミングにおける前記スタックポインタの値が、前記アドレス上・下限値記憶手段に記憶されている前記上限値と前記下限値との間の範囲にあるか否かを判別し、前記スタックポインタの値が前記上限値と前記下限値との間の範囲に無いときに、前記中央処理装置が異常動作をしていることを判別する第１の異常判別手段と、
を備える、ことを特徴とする。

前記中央処理装置は、
前記ループした処理の所定の位置における前記スタックポインタの基準値を記憶する記憶手段と、
前記ループした処理の実行中に前記所定の位置において前記スタックポインタの値を取得し、当該スタックポインタの値が前記記憶手段に記憶した前記基準値と異なることを検出すると、前記中央処理装置が異常動作をしていることを判別する第２の異常判別手段と、
を備えるようにしてもよい。

前記第１の異常判別手段は、定期的に、前記スタックポインタの値が前記上・下限値記憶手段に記憶されている前記上限値と前記下限値との間の範囲にあるか否かを判別するようにしてもよい。

前記第１の異常判別手段及び前記第２の異常判別手段の少なくとも一の手段が、前記中央処理装置が異常動作をしていることを判別すると、所定のエラー信号の発生及び前記中央処理装置のリセットの少なくとも一の動作を実行するようにしてもよい。

また、この発明の第２の観点に係る監視装置は、
スタック及びスタックポインタを備え当該スタック及び当該スタックポインタを用いてループした処理を実行する中央処理装置を有する機器の動作を監視する監視装置であって、
前記中央処理装置の前記スタックのアドレスの上限値と下限値とを記憶するアドレス上・下限値記憶手段と、
所定のタイミングにおける前記中央処理装置の前記スタックポインタの値が、前記アドレス上・下限値記憶手段に記憶されている前記上限値と前記下限値との間の範囲にあるか否かを判別し、前記スタックポインタの値が前記上限値と前記下限値との間の範囲に無いときに、前記中央処理装置が異常動作をしていることを判別する異常判別手段と、
を備える、ことを特徴とする。

また、この発明の第３の観点に係る監視方法は、
スタック及びスタックポインタを備え当該スタック及び当該スタックポインタを用いてループした処理を実行する中央処理装置を有する機器の動作を監視する監視方法であって、
前記スタックのアドレスの上限値と下限値とを記憶し、
前記処理を実行中の前記スタックポインタの値を取得し、
取得した前記スタックポインタの値が、前記上限値と前記下限値との間の範囲にあるか否かを判別し、前記上限値と前記下限値との間の範囲に無いときに、前記中央処理装置が異常動作をしていると判別する、
ことを特徴とする。

また、この発明の第４の観点に係るコンピュータプログラムは、
スタック及びスタックポインタを備え当該スタック及び当該スタックポインタを用いてループした処理を実行する中央処理装置に、
前記スタックのアドレスの上限値と下限値とを記憶し、
前記処理を実行中の前記スタックポインタの値を取得し、
取得した前記スタックポインタの値が、前記上限値と前記下限値との間の範囲にあるか否かを判別し、前記上限値と前記下限値との間の範囲に無いときに、前記中央処理装置が異常動作をしていると判別する、
処理を実行させることを特徴とする。

本発明によれば、スタックポインタの値が本来取るはずのない値にあることを検出すると、中央処理装置の異常を判別する。従って、電子機器の異常を短時間で迅速に検出することができる。

本発明の実施形態に係る電子機器１について、図１を参照して説明する。

図１に示すように、電子機器１は、制御部２と制御部２の制御に従って動作することにより全体として所期の機能を実現する被制御部３とから構成される。被制御部３の構成及び機能は任意である。

制御部２は、ＣＰＵ（中央処理装置；Central Processing Unit）１１、ＲＯＭ１２、ＲＡＭ１３、Ｉ／Ｏ装置１４、タイマ１５、バス１６、等を備える。

ＣＰＵ１１は、ＲＯＭ１２に格納されている動作プログラムを実行し、様々な制御処理を行うと共に自己チェックを行う。ＣＰＵ１１の動作の詳細については後述する。

ＲＯＭ１２は、ＣＰＵ１１の動作を制御するための動作プログラム及び固定データを記憶する。動作プログラムは、この電子機器の所期の機能を実現するためのプログラムと、ＣＰＵ１１の動作を監視し、異常動作を検出するプログラムを含む。プログラムの詳細については、後述する。また、ＲＯＭ１２には、図２を参照して後述するように、スタック領域１０３のアドレスの最大値と最小値とが格納されている。

ＲＡＭ１３は、ＣＰＵ１１のワークエリア等として機能する。
Ｉ／Ｏ装置１４は、ＣＰＵ１１と被制御部３との間で情報の交換を可能とする。

タイマ１５は、動作クロックをはじめとする種々のクロック信号をＣＰＵ１１に供給する。また、タイマ１５は、予め設定されている種々の周期でタイマ割込信号をＣＰＵ１１に出力する。ＣＰＵ１１は、タイマ１５からのタイマ割込信号に応答して、対応する割込処理を実行する。
バス１６は、各部を接続し、データ通信を可能とする。

制御部２の主要部を構成するＣＰＵ１１は、処理部１０１と、スタックポインタ１０２と、スタック領域１０３と、ウォッチドッグタイマ１０４を備える。

処理部１０１は、スタックポインタ１０２，スタック領域１０３，等を用いて、ＲＡＭ１３を主メモリ及びワークエリアとして、ＲＯＭ１２に記憶されている動作プログラムに従った動作を実行することにより、この電子機器１全体の所期の機能を実現すると共に自己監視機能を実現する。

スタック領域１０３は、通常知られているように、処理部１０１がプログラムを実行する際などに利用するFirst In Last Out（ＦＩＬＯ）型の記憶領域又は記憶素子である。

スタックポインタ１０２は、スタック領域１０３のどの記憶エリアをアクセスするかを指示するポインタである。スタックポインタ１０２の指定するアドレス値（記憶値）は、スタック領域１０３の先頭（一番浅い）記憶エリアのアドレス値（下限値）と、最終（一番深い）記憶エリアのアドレス値（上限値）との間の値をとる。従って、スタックポインタ１０２の指示するアドレス値が上限値と下限値との間の範囲に無い場合は、スタックポインタ１０２又はスタック領域１０３が壊れており、ＣＰＵ１１、制御部２，さらに、電子機器１に何らかの問題が生じている可能性が高いことを意味する。ＲＯＭ１２には、図２に示すように、スタック領域１０３のアドレスの上限値と下限値とが格納されている。

ウォッチドッグタイマ１０４は、カウンタから構成され、タイマ１５からのクロック信号が供給され、このクロックをカウントし続け、カウント値が所定値に達すると、処理部１０１に対し内部割込を発生し、異常を通知する。通常動作状態では、処理部１０１が周期的にウォッチドッグタイマ１０４をリフレッシュ（リセット）し、そのカウンタ値が所定値に達することはない。しかし、処理部１０１の動作に異常が発生し、ウォッチドッグタイマ１０４をリフレッシュできなくなると、カウント値が所定値に達し、処理部１０１に内部割込が発生する。処理部１０１はこの内部割込に応答して、所定の異常対応処理を実行する。

次に、上記構成を有する電子機器１の動作を、ＣＰＵ１１の動作を中心に説明する。
電子機器１の電源が投入されると、ＣＰＵ１１にも電力が供給され、ＣＰＵ１１は、ＲＯＭ１２に格納されている動作プログラムに従って図３のフローチャートに示す動作（メイン動作）を開始する。

まず、ＣＰＵ１１（より詳細には、処理部１０１）は、初期化処理を行い、スタックポインタ１０２やスタック領域１０３を含む各部を初期化する（ステップＳ１１）。

処理部１０１は、初期化処理を完了すると、スタックポインタ１０２の記憶値をＲＡＭ１３に基準値として記憶する（ステップＳ１２）。

続いて、処理部１０１は、ループ処理の実行状態に入り、まず、ウォッチドッグタイマ１０４をリフレッシュする（ステップＳ１３）。

続いて、処理部１０１は、スタックポインタ１０２の内容（記憶しているアドレス値）を読み出し（ステップＳ１４）、今回読み出した値がステップＳ１２で記憶した基準値と一致するか否かを判別する（ステップＳ１５）。ループ処理の開始点でのスタックポインタ１０２の値は、正常に動作している限りは、毎回一致するはずである。そこで、一致していなければ（ステップＳ１５；Ｎｏ）、何らかの問題が発生しているものとして、異常対応処理を実行する（ステップＳ１６）。

この異常対応処理において、処理部１０１は、例えば、Ｉ／Ｏ装置１４を介して被制御部３に異常検出信号を送信し、異常を報知するための警報をユーザに発生させる。或いは、ＣＰＵ１１自身をリセットして初期化する。

一方、ステップＳ１５で、スタックポインタ１０２の今回の値が基準値に一致すると判別されれば（ステップＳ１５；Ｙｅｓ）、電子機器１の所期の機能を実現するための処理１〜処理Ｎの処理（ステップＳ１７〜Ｓ１９）を実行する。

処理１〜処理Ｎ（ステップＳ１７〜Ｓ１９）は、それぞれ、電子機器１に要求される様々な機能を実現するための処理であり、各処理はサブルーチン化されている。

図４に示すように、ＣＰＵ１１は、各サブルーチンを開始すると、まず、スタックポインタ１０２の値を読み出し（ステップＳ２１）、これが、ＲＯＭ１２に格納されている上限値と下限値との間にあるか否かを判別する（ステップＳ２２）。

スタックポインタ１０２の指示する位置が、スタック領域１０３のアドレスの上限値と下限値との間の範囲に無い場合（ステップＳ２２；Ｎｏ）、スタックポインタ１０２がスタック領域１０３以外のエリアを指定しており、何らかの異常が発生している。そこで、処理部１０１は、異常対応処理を行う（ステップＳ２３）。この異常処理の内容は、図３のステップＳ１６の処理と同様でよく、例えば、例えば、異常検出信号を出力して被制御部３から警報を発したり、ＣＰＵ１１をリセットしたりする、等の処理を行う。

一方、ステップＳ２２で、スタックポインタ１０２の値がＲＯＭ１２に格納されている上限値と下限値との間の範囲（正常）であると判断された場合には（ステップＳ２２；Ｙｅｓ）、そのサブルーチンで行いたい本来の処理を実行する（ステップＳ２４）。

処理１〜Ｎの処理を実行して、電子機器１の機能を実現すると、処理はステップＳ１３にリターンする。即ち、ループ処理の先頭に戻り、上述した処理を繰り返す。

このようにして、ＣＰＵ１１は、電子機器１の所期の機能を実現するための処理１〜Ｎ（ステップＳ１７〜Ｓ１９）だけでなく、ウォッチドッグタイマ１０４による異常監視とスタックポインタ１０２の値に基づく異常監視とを二重に行う。従って、異常監視の信頼性が高い。

しかも、スタックポインタ１０２の値に基づく異常監視として、ｉ）ループ処理の所定位置において、毎ループでのスタックポインタ１０２の値が一致するか否かの監視処理（ステップＳ１５）と、ｉｉ）全てのサブルーチンの先頭で実行され、スタックポインタ１０２の値がＲＯＭ１２に格納されている上限値と下限値との間の範囲にあるか否か（スタック領域１０３を指示しているか否か）の監視処理（ステップＳ２２）と、を二重に実行する。スタックポインタ１０２の異常に基づく異常の検出は、１ループ処理内で複数回検出が可能であり、異常の検出までに数ループ分の処理が必要なウォッチドッグタイマ１０４による異常検出に比較して、短時間で迅速に異常を検出することができる。

図３及び図４に示す処理では、スタックポインタ１０２の値が、ＲＯＭ１２に格納されている上限値と下限値との間の範囲に無いという異常検出を各サブルーチンの先頭部分で実行したが、この異常検出処理を実行するタイミングは任意である。例えば、定期的な割込処理でチェックを行ってもよい。

この割込処理は、例えば、タイマ１５から短い周期、例えば１ミリ秒周期で供給される割込信号に応答して実行される。この割込処理において、処理部１０１は、まず、その時点でのスタックポインタ１０２の値を読み（図５、ステップＳ３１）、その値がＲＯＭ１２に格納されている上限値と下限値との間の範囲にあるか否かを判別する（ステップＳ３２）。

スタックポインタ１０２の指示する位置が、スタック領域１０３のアドレスの下限値未満或いは上限値を超える場合、すなわちＲＯＭ１２に格納されている上限値と下限値との間の範囲に無い場合（ステップＳ３２；Ｎｏ）、処理部１０１は、異常対応処理を行う（ステップＳ３３）。この異常処理の内容は、図４のステップＳ２３の処理と同様でよい。例えば、Ｉ／Ｏ装置１４を介して、異常検出信号を出力したり、ＣＰＵ１１をリセットしたりする、等の処理を行う。

一方、ステップＳ３２で、スタックポインタ１０２の値が正常であると判断された場合、すなわちスタックポインタ１０２の値がＲＯＭ１２に格納されている上限値と下限値との間の範囲にある場合には（ステップＳ３２；Ｙｅｓ）、今回の割込処理を終了する。

このような構成とすれば、異常を検出したい任意の周期に割込周期を設定して、迅速にＣＰＵ１１の異常を検出することができる。

また、通常のタイマ割込処理内でスタックポインタ１０２の指示値に基づく監視処理を行ってもよい。図６に示す例では、タイマ１５からの割込信号に応答して、タイマ割込処理を開始すると、まず、スタックポインタ１０２の指示値が正常か否かの判別、すなわちスタックポインタ１０２の指示値がＲＯＭ１２に格納されている上限値と下限値との間の範囲にあるか否かの判別を行う（ステップＳ３１，３２）。スタックポインタ１０２の指示値が正常である、すなわちスタックポインタ１０２の指示値がＲＯＭ１２に格納されている上限値と下限値との範囲にあると判別されれば（ステップＳ３２；Ｙｅｓ）、割込処理で本来行いたい処理を実行する（ステップＳ４１）。一方、スタックポインタ１０２の指示値が異常である、すなわちスタックポインタ１０２の指示値がＲＯＭ１２に格納されている上限値と下限値との間の範囲に無いと判別されれば（ステップＳ３２；Ｎｏ）、ステップＳ３３と同様の異常対応処理を行う。なお、割込周期は、その割込処理が本来予定している処理（ステップＳ４１）の必要に応じてタイマ１５に適宜設定される。

上記実施の形態においては、自己監視機能を備える電子機器１を例にこの発明を説明したが、他の電子機器の動作を監視する監視装置にもこの発明を適用可能である。

例えば、図７に示すように、ＣＰＵ２１を備え、ＣＰＵ２１の制御で動作している監視対象電子機器６の異常を検出するための監視装置５にこの発明を適用することが可能である。

図７に示すように、監視装置５は、監視対象電子機器６が内蔵するＣＰＵ２１のスタック領域２０３のアドレスの上限値と下限値とを予め記憶し、スタックポインタ２０２の内容（値）を適当なタイミングで読み出し、予め記憶している上限値と下限値との間にあるか否かを判別し、上限値と下限値との間になければ、異常状態であると判別する。

このような構成とすれば、他の電子機器の異常動作を監視する監視装置にも、本願発明を適用可能である。

なお、本発明は、上述の実施形態に限らず、種々の態様をとることができる。
例えば、ウォッチドッグタイマ１０４のリセット動作を行うタイミングは任意であり、１つのループ処理内で複数回リセットするようにしてもよい。

また、スタックポインタ１０２の値がＲＯＭ１２に格納されている上限値と下限値との間の範囲にあるか否かの判別をループ処理の先頭部分（ステップＳ１４、Ｓ１５）で実行したが、ループ処理内でスタックポインタ１０２の値が毎回同じ値になる部分が存在するならば、その部分で適宜実行すればよい。また、１ループ処理内で、複数回、それぞれ、今回のループ処理でのスタックポインタ１０２の値と前回のループ処理での対応する値とが一致するか否かを判別するようにしてもよい。

上記実施の形態では、スタックポインタ１０２の上限値及び下限値として、スタック領域１０３の全記憶領域のアドレスの上限値と下限値を用いた。この発明は、これに限定されない。例えば、スタック領域１０３のうちで、正常な動作状態で最大限使用される可能性がある記憶領域の上限値と下限値を予めプログラムを実行・シミュレートすること等により求め、求めた値或いは、それらに基づいて一定の余裕度を持って決定された所定の値を監視用の上限値と下限値として用いてもよい。

また、上述の動作を実行するためのプログラム（割込プログラム等）を、コンピュータが読みとり可能な記録媒体（フレキシブルディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等）に格納して配布し、当該プログラムをコンピュータにインストールすることにより、上述の処理を実行する電子機器等を構成してもよい。また、インターネット等の通信ネットワーク上のサーバ装置が有するストレージに当該プログラムを格納しておき、通常のコンピュータシステムがダウンロード等することで電子機器等を構成してもよい。

また、上述の機能を、オペレーティングシステム（ＯＳ；Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）とアプリケーションの分担、またはＯＳとアプリケーションとの協働により実現する場合などには、アプリケーション部分のみを記録媒体やストレージに格納してもよい。

本発明の実施の形態に係る自己監視機能を備える電子機器の構成を示す図である。 図１のＲＯＭに格納されるスタック領域のアドレスの上限値と下限値の例を示す図である。 電子機器の備えるＣＰＵの処理動作を説明するためのフローチャートである。 図３の処理１〜処理Ｎの詳細を説明するためのフローチャートである。 異常検出専用割り込み処理を説明するためのフローチャートである。 通常タイマ割り込み処理を説明するためのフローチャートである。 本発明の他の実施の形態に係る監視装置を示す図である。

符号の説明

１ 自己監視機能を備える電子機器
２ 制御部
３ 被制御部
５ 監視装置
６ 監視対象電子機器
１１ ＣＰＵ
１２ ＲＯＭ
１３ ＲＡＭ
１４ Ｉ／Ｏ装置
１５ タイマ
１６ バス
２１ ＣＰＵ
１０１ 処理部
１０２ スタックポインタ
１０３ スタック領域
１０４ ウォッチドッグタイマ
２０２ スタックポインタ
２０３ スタック領域

Claims (7)

1. ループした処理を実行する中央処理装置を有する処理装置であって、
   前記中央処理装置が、
   スタック及びスタックポインタを備え、当該スタック及び当該スタックポインタを用いてループした処理を実行し、
   さらに、
   前記スタックのアドレスの上限値と下限値とを記憶するアドレス上・下限値記憶手段と、
   所定のタイミングにおける前記スタックポインタの値が、前記アドレス上・下限値記憶手段に記憶されている前記上限値と前記下限値との間の範囲にあるか否かを判別し、前記スタックポインタの値が前記上限値と前記下限値との間の範囲に無いときに、前記中央処理装置が異常動作をしていることを判別する第１の異常判別手段と、
   を備える、ことを特徴とする電子機器。
2. 前記中央処理装置が、
   前記ループした処理の所定の位置における前記スタックポインタの基準値を記憶する記憶手段と、
   前記ループした処理の実行中に前記所定の位置において前記スタックポインタの値を取得し、当該スタックポインタの値が前記記憶手段に記憶した前記基準値と異なることを検出すると、前記中央処理装置が異常動作をしていることを判別する第２の異常判別手段と、
   を備える、ことを特徴とする請求項１に記載の電子機器。
3. 前記第１の異常判別手段が、定期的に、前記スタックポインタの値が前記アドレス上・下限値記憶手段に記憶されている前記上限値と前記下限値との間の範囲にあるか否かを判別する、ことを特徴とする請求項１又は２に記載の電子機器。
4. 前記第１の異常判別手段及び前記第２の異常判別手段の少なくとも一の手段が、前記中央処理装置が異常動作をしていることを判別すると、所定のエラー信号の発生及び前記中央処理装置のリセットの少なくとも一の動作を実行する、ことを特徴とする請求項１乃至３のいずれか１項に記載の電子機器。
5. スタック及びスタックポインタを備え当該スタック及び当該スタックポインタを用いてループした処理を実行する中央処理装置を有する機器の動作を監視する監視装置であって、
   前記中央処理装置の前記スタックのアドレスの上限値と下限値とを記憶するアドレス上・下限値記憶手段と、
   所定のタイミングにおける前記中央処理装置の前記スタックポインタの値が、前記アドレス上・下限値記憶手段に記憶されている前記上限値と前記下限値との間の範囲にあるか否かを判別し、前記スタックポインタの値が前記上限値と前記下限値との間の範囲に無いときに、前記中央処理装置が異常動作をしていることを判別する異常判別手段と、
   を備える、ことを特徴とする監視装置。
6. スタック及びスタックポインタを備え当該スタック及び当該スタックポインタを用いてループした処理を実行する中央処理装置を有する機器の動作を監視する監視方法であって、
   前記スタックのアドレスの上限値と下限値とを記憶し、
   前記処理を実行中の前記スタックポインタの値を取得し、
   取得した前記スタックポインタの値が、前記上限値と前記下限値との間の範囲にあるか否かを判別し、前記上限値と前記下限値との間の範囲に無いときに、前記中央処理装置が異常動作をしていると判別する、
   ことを特徴とする監視方法。
7. スタック及びスタックポインタを備え当該スタック及び当該スタックポインタを用いてループした処理を実行する中央処理装置に、
   前記スタックのアドレスの上限値と下限値とを記憶し、
   前記処理を実行中の前記スタックポインタの値を取得し、
   取得した前記スタックポインタの値が、前記上限値と前記下限値との間の範囲にあるか否かを判別し、前記上限値と前記下限値との間の範囲に無いときに、前記中央処理装置が異常動作をしていると判別する、
   処理を実行させるコンピュータプログラム。
   

Images