JP2010113388A - 処理結果を照合する比較器を有するマルチコアマイコン - Google Patents

Abstract

【課題】複数のＣＰＵが夫々異なるプログラムを実行して全体としての処理性能を向上できるととともに、安全性が必要な処理について複数のＣＰＵが同じ処理を実行した結果を評価することで異常を検出できるマイクロコントローラを提供する。
【解決手段】ＣＰＵ（１，４）とメモリからなる処理系を複数有し、処理系毎にＣＰＵが出力するデータをＣＰＵ毎に別々に圧縮器（７，８）で圧縮して記憶する。圧縮された記憶データは比較器（９）で比較され、比較結果の不一致によって処理の異状を検出可能にする。複数のＣＰＵが非同期で同じ処理を実行するとき同じ処理結果を得るタイミングが異なっても、圧縮器により圧縮を行うから、双方の処理結果を容易に比較可能になり、また、全てのＣＰＵから比較許可が与えられることによって比較器の比較が有効になるから、複数の圧縮器による圧縮結果が確定するタイミングを基準に比較動作結果を得ることができる。
【選択図】図１

Description

本発明は、複数のＣＰＵ（中央処理装置）を備えたマイクロコントローラに係り、例えば自動車の制御システムに適用して有効な技術に関する。

マイクロコントローラ（以下単に「マイコン」とも称する）は、家電製品、ＡＶ機器、携帯電話、自動車、産業機械等の機器に組み込まれ、メモリに記憶されているプログラムにしたがって処理を行うことで、それぞれの機器の制御を行う半導体集積回路である。

自動車では、制御装置の故障が事故につながる可能性があるため、マイコンを含む部品に高い信頼性が求められるとともに、故障が発生した場合にはこれを検出して自動車が危険な状態にならないように安全機能を働かせるように設計されている。マイコンはセンサやアクチュエータの診断を行ってこれらの故障を検出するだけでなく、マイコン自身の故障も検出する必要がある。

マイコンの故障検出には様々な方法があるが、ＣＰＵを２重化して同一の処理を行わせ、バスの値を常時比較する方法がしばしば用いられている。非特許文献１には、マスターＣＰＵと比較用ＣＰＵが同一の処理を同時に実行し、それぞれの結果を比較回路で比較する方法が示されている。

特許文献１には、２つのメモリと２つのＣＰＵを有し、ＣＰＵの入出力信号を比較する技術について記載されている。即ち、これに記載されたデュアルコアマイコンにおいて、命令を実行して演算やデータ転送などの処理を行う第１ＣＰＵと第１ＣＰＵが実行する命令および処理するデータを記憶する第１メモリが第１バスに接続され、同じく命令を実行して演算やデータ転送などの処理を行う第２ＣＰＵと第２ＣＰＵが実行する命令および処理するデータを記憶する第２メモリが第２バスに接続される。第１ＣＰＵと第２ＣＰＵは完全に同期して同一の処理を行うように動作され、第１バスと第２バスの状態を比較器が比較し、その比較結果が外部でモニタ可能にされると共に、不一致の比較結果が第１ＣＰＵ及び第２ＣＰＵに割り込み信号を発生させる。

Ｆａｕｌｔ Ｔｏｌｅｒａｎｃｅ Ａｃｈｉｅｖｅｄ ｉｎ ＶＬＳＩ、ＩＥＥＥ ＭＩＣＲＯ Ｄｅｃｅｍｂｅｒ １９８４ 特開平１０−２６１７６２号公報

従来の技術は、第１ＣＰＵと第２ＣＰＵが同一の処理を完全に同じタイミングで実行しており、処理性能はＣＰＵが１つの場合と変わらない。自動車制御のうちエンジン制御やトランスミッション制御などのパワートレイン制御では、燃費性能および排気性能を向上させるために多数のセンサを用いた演算処理と多数のアクチュエータ制御を行う必要があるため、高い処理性能が要求される。そのため、単に動作の信頼性を高めるだけでなく、処理性能も向上させるためにも、２つのＣＰＵを有するデュアルコアマイコンや、３つ以上のＣＰＵを有するマルチコアマイコンを使用したいという要求が高まっている。

しかしながら、処理性能を向上させるには複数のＣＰＵは非同期で別々の制御動作を行うことになり、その途上で信頼生を要する処理が必要になったとき、上記従来技術を単に適用するだけでは、双方のＣＰＵに同一の処理を完全に同じタイミングで実行させることはできない。もともと非同期でデータ処理を行なっていた複数のＣＰＵに全く同じ状態で同じ処理を完全同期で実行させることは難しい。完全同期にために、その都度システムリセットを行ったのではシステの安定性が損なわれる虞がある。

本発明の目的は、複数のＣＰＵが夫々異なるプログラムを実行して全体としての処理性能を向上することができるととともに、安全性が必要な処理については複数のＣＰＵが同じ処理を実行した結果を評価することによって異常を検出することができるマルチＣＰＵ形態のマイクロコントローラを提供することにある。

本発明の前記並びにその他の目的と新規な特徴は本明細書の記述及び添付図面から明らかになるであろう。

本願において開示される発明のうち代表的なものの概要を簡単に説明すれば下記の通りである。

すなわち、ＣＰＵとメモリからなる処理系を複数有し、処理系毎にＣＰＵが出力するデータをＣＰＵ毎に別々に圧縮器で圧縮して記憶する。圧縮された記憶データは比較器で比較され、比較結果の不一致によって処理の異状を検出可能にする。比較器による比較動作は夫々のＣＰＵから比較許可が与えられることによって有効にされる。前記圧縮器により圧縮を行うことにより、複数のＣＰＵが非同期で同じ処理を実行するとき同じ処理結果を得るタイミングが異なっても、双方の処理結果を容易に比較することが可能になる。複数のＣＰＵが非同期で同じ処理を実行するとき、全てのＣＰＵから比較許可が与えられることによって比較器の比較が有効になることにより、複数の圧縮器による圧縮結果が一致するタイミングを明確化でき、正常な比較動作結果が得られることを保証することができる。したがって、複数のＣＰＵに異なるアプリケーションを実行させて高性能な処理を行わせることができると同時に、複数のＣＰＵが安全性の要求される同じアプリケーションを非同期で実行して異なるタイミングで出力する結果の照合が可能になって特定アプリケーションによる処理の安全性を高めることが可能になる。

本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば下記のとおりである。

すなわち、複数のＣＰＵが夫々異なるプログラムを実行して全体としての処理性能を向上することができるととともに、安全性が必要な処理については複数のＣＰＵが同じ処理を実行した結果を評価することによって異常を検出することができる。

１．実施の形態の概要
先ず、本願において開示される発明の代表的な実施の形態について概要を説明する。代表的な実施の形態についての概要説明で括弧を付して参照する図面中の参照符号はそれが付された構成要素の概念に含まれるものを例示するに過ぎない。

〔１〕本発明に係るマイクロコントローラ（ＭＣＵ１，ＭＣＵ２）は、夫々が命令を実行する複数のデータ処理部（ＤＰＵ）と、前記データ処理部が生成する情報を前記データ処理部毎に圧縮して保持する複数の圧縮器（７，８，１７）と、複数のデータ処理部が同じ処理を非同期で行なったとき夫々の圧縮器が保持するデータを比較してデータ処理部の異常を検出する検出部（ＤＴＵ）と、を有する。前記検出部は、前記夫々のデータ処理部から許可信号が出力されることを条件に前記比較器の比較結果を取り込む。

前記圧縮器により圧縮を行うことにより、複数のデータ処理部が非同期で同じ処理を実行するとき同じ処理結果を得るタイミングが異なっても、双方の処理結果を容易に比較することが可能になる。複数のデータ処理部が非同期で同じ処理を実行するとき、全てのデータ処理部から比較許可が与えられることによって比較器の比較が有効になることにより、複数の圧縮器による圧縮結果が一致するタイミングを明確化でき、正常な比較動作結果が得られることを保証することができる。したがって、複数のデータ処理部に異なるアプリケーションを実行させて高性能な処理を行わせることができると同時に、複数のデータ処理部が安全性の要求される同じアプリケーションを非同期で実行して異なるタイミングで出力する結果の照合が可能になって特定アプリケーションによる処理の安全性を高めることが可能になる。

〔２〕項１のマイクロコントローラにおいて、夫々のデータ処理部は命令を実行する中央処理装置（１，４，１４）を有し、一のデータ処理部の中央処理装置は前記同じ処理を実行するとき他のデータ処理部の夫々の中央処理装置に前記同じ処理を実行させる指示を与える。

〔３〕項２のマイクロコントローラにおいて、前記同じ処理を実行させる指示は一のデータ処理部の中央処理装置が他のデータ処理部の中央処理装置に出力する割り込み要求（１０１）である。

〔４〕項１のマイクロコントローラにおいて、前記夫々のデータ処理部の中央処理装置は相互に異なる別の処理を並列に実行可能であり、前記同じ処理は前記相互に異なる別の処理よりも高い信頼性が要求される処理である。

〔５〕本発明の別の観点によるマイクロコントローラ（ＭＣＵ１，ＭＣＵ２）は、中央処理装置（１，４，１４）とメモリ（２，５，１５）を有する複数のデータ処理部（ＤＰＵ）と、前記データ処理部が生成する情報を前記データ処理部毎に圧縮して保持する複数の圧縮器（７，８，１７）と、前記複数の圧縮器が保持するデータを比較する比較器（９）と、前記比較器の比較結果を保持する比較結果レジスタ（ＦＲ）と、を有する。一のデータ処理部の中央処理装置は第１の処理を実行するとき他のデータ処理部の夫々の中央処理装置に前記第１の処理を実行させる指示を与える。前記比較結果レジスタは、前記夫々のデータ処理部の中央処理装置から許可信号が出力されることを条件に前記比較器の比較結果を取り込む。

前記圧縮器により圧縮を行うことにより、複数の中央処理装置が非同期で同じ処理を実行するとき同じ処理結果を得るタイミングが異なっても、双方の処理結果を容易に比較することが可能になる。複数の中央処理装置が非同期で同じ処理を実行するとき、全ての中央処理装置から比較許可が与えられることによって比較器の比較が有効になることにより、複数の圧縮器による圧縮結果が一致するタイミングを明確化でき、正常な比較動作結果が得られることを保証することができる。したがって、複数の中央処理装置に異なるアプリケーションを実行させて高性能な処理を行わせることができると同時に、複数の中央処理装置が安全性の要求される同じアプリケーションを非同期で実行して異なるタイミングで出力する結果の照合が可能になって特定アプリケーションによる処理の安全性を高めることが可能になる。

〔６〕項５のマイクロコントローラにおいて、前記夫々のデータ処理部の中央処理装置は相互に異なる別の処理を並列に実行可能である。

〔７〕項５のマイクロコントローラにおいて、前記第１の処理を実行させる指示は一のデータ処理部の中央処理装置が他のデータ処理部の中央処理装置に出力する割り込み要求（１０１）である。

〔８〕項５のマイクロコントローラにおいて、夫々の前記圧縮器は、対応するデータ処理部の中央処理装置のアドレス空間に配置されたデータレジスタ（７４）を有し、当該中央処理装置がアドレスを指定してデータレジスタに書き込んだデータの圧縮を行う。

〔９〕項８のマイクロコントローラにおいて、夫々の前記圧縮器は、前記データレジスタに書き込まれたデータと中央処理装置から出力されるデータを入力して圧縮する圧縮回路（７２）、前記圧縮回路の出力データ又は対応する中央処理装置の出力データを選択して入力し出力を前記データレジスタに与えるセレクタ（７３）を更に有し、前記データレジスタはアキュムレータとして機能される。

〔１０〕項５のマイクロコントローラは、夫々の前記中央処理装置が出力する許可信号毎に許可情報が設定される取り込み許可レジスタ（ＣＲ０−ＣＲ２）を更に有し、全ての許情報が取り込み許可にされたとき、前記比較結果レジスタが前記比較器の比較結果を取り込む。

〔１１〕項１０のマイクロコントローラにおいて、前記取り込み許可レジスタは、全ての許情報が取り込み許可にされたとき、比較結果レジスタへの比較結果の取り込みが指示された後に、取り込み不許可の状態に反転される。

〔１２〕項１０のマイクロコントローラは、前記比較結果レジスタに取り込まれた比較結果が不一致のとき中央処理装置毎に割り込みの発生の許可情報が設定される割り込み許可レジスタ（ＣＲ３）を更に有し、前記一の中央処理装置が割り込み許可レジスタの設定を行う。

〔１３〕項５のマイクロコントローラは、前記比較結果レジスタへ比較結果が取り込まれたこと及び取り込まれた比較結果を外部に出力する出力回路（１２）を更に有する。

〔１４〕項１１のマイクロコントローラにおいて、前記比較結果レジスタは何れの中央処理装置からもクリア可能とされる。

〔１５〕自動車制御装置（１９）は項６のマイクロコントローラを搭載し、当該マイクロコントローラにおける前記第１の処理は前記相互に異なる別の処理よりも高い信頼性が要求される自動車制御用処理である。

〔１６〕本発明の別の観点によるマイクロコントローラは、夫々が命令を実行する複数のデータ処理部と、前記データ処理部が生成する情報を前記データ処理部毎に保持する複数のデータバッファと、複数のデータ処理部が同じ処理を非同期で行なったとき夫々のデータバッファが保持するデータを比較してデータ処理部の異常を検出する検出部と、を有する。前記検出部は、前記夫々のデータ処理部から許可信号が出力されることを条件に前記比較器の比較結果を取り込む。

〔１７〕項１６のマイクロコントローラにおいて、夫々のデータ処理部は命令を実行する中央処理装置を有する。一のデータ処理部の中央処理装置は前記同じ処理を実行するとき他のデータ処理部の夫々の中央処理装置に前記同じ処理を実行させる指示を与える。

〔１８〕項１７のマイクロコントローラにおいて、前記同じ処理を実行させる指示は一のデータ処理部の中央処理装置が他のデータ処理部の中央処理装置に出力する割り込み要求である。

〔１９〕項１６のマイクロコントローラにおいて、前記夫々のデータ処理部の中央処理装置は相互に異なる別の処理を並列に実行可能である。前記同じ処理は前記相互に異なる別の処理よりも高い信頼性が要求される処理である。

〔２０〕本発明の別の観点によるマイクロコントローラは、中央処理装置とメモリを有する複数のデータ処理部と、前記データ処理部が生成する情報を前記データ処理部毎に保持する複数のデータバッファと、前記複数のデータバッファが保持するデータを比較する比較器と、前記比較器の比較結果を保持する比較結果レジスタと、を有する。一のデータ処理部の中央処理装置は第１の処理を実行するとき他のデータ処理部の夫々の中央処理装置に前記第１の処理を実行させる指示を与える。前記比較結果レジスタは、前記夫々のデータ処理部の中央処理装置から許可信号が出力されることを条件に前記比較器の比較結果を取り込む。

〔２１〕項２０のマイクロコントローラにおいて、前記夫々のデータ処理部の中央処理装置は相互に異なる別の処理を並列に実行可能である。

〔２２〕項２０のマイクロコントローラにおいて、前記第１の処理を実行させる指示は一のデータ処理部の中央処理装置が他のデータ処理部の中央処理装置に出力する割り込み要求である。

〔２３〕項２０のマイクロコントローラにおいて、夫々の前記データバッファは、対応するデータ処理部の中央処理装置のアドレス空間に配置された１つ以上のデータレジスタを有し、当該中央処理装置がアドレスを指定してデータレジスタに書き込んだデータの保持を行う。

〔２４〕項２３のマイクロコントローラにおいて、夫々の前記データバッファは、前記データレジスタに書き込まれたデータを書き込まれた順番に出力するＦＩＦＯとして機能される。

〔２５〕項２０のマイクロコントローラにおいて、夫々の前記中央処理装置が出力する許可信号毎に許可情報が設定される取り込み許可レジスタを更に有し、全ての許情報が取り込み許可にされたとき、前記比較結果レジスタが前記比較器の比較結果を取り込む。

〔２６〕項２５のマイクロコントローラにおいて、前記取り込み許可レジスタは、全ての許情報が取り込み許可にされたとき、比較結果レジスタへの比較結果の取り込みが指示された後に、取り込み不許可の状態に反転される。

〔２７〕項２５のマイクロコントローラにおいて、前記比較結果レジスタに取り込まれた比較結果が不一致のとき中央処理装置毎に割り込みの発生の許可情報が設定される割り込み許可レジスタを更に有し、前記中央処理装置が割り込み許可レジスタの設定を行う。

〔２８〕項２０のマイクロコントローラにおいて、前記比較結果レジスタへ比較結果が取り込まれたこと及び取り込まれた比較結果を外部に出力する出力回路を更に有する。

〔２９〕項２６のマイクロコントローラにおいて、前記比較結果レジスタは何れの中央処理装置からもクリア可能とされる。

〔３０〕項１７のマイクロコントローラを搭載し、前記第１の処理は前記相互に異なる別の処理よりも高い信頼性が要求される自動車制御用処理である。

２．実施の形態の詳細
実施の形態について更に詳述する。

図１は本発明を適用した第１の実施の形態に係るマイクロコントローラの構成を例示する。ここに示されるマイクロコントローラＭＣＵ１は２つのＣＰＵを有するデュアルコアマイコンとして構成され、図では、ＣＰＵが安全性の要求される同じアプリケーションを非同期で実行して異なるタイミングで出力する結果の照合を可能とする構成を主に示してある。

１は命令を実行して演算やデータ転送などの処理を行うＣＰＵである。２はＣＰＵ１が実行する命令および処理するデータを記憶するメモリである。３はＣＰＵ１がメモリ２などの装置をアクセスするためのバスである。４は命令を実行して演算やデータ転送などの処理を行うＣＰＵである。５はＣＰＵ４が実行する命令および処理するデータを記憶するメモリである。６はＣＰＵ４がメモリ５などの装置をアクセスするためのバスである。ＣＰＵ１とＣＰＵ４は異なるアプリケーションを実行することができるが、安全性が要求される処理（以下、安全処理と記す）を共に実行して出力を照合することによって故障を検出する。安全処理の起動はＣＰＵ１とＣＰＵ４のどちらからもかけることができるが、本実施の形態ではＣＰＵ１が安全処理の起動をかけ、割り込み信号１０１によってＣＰＵ４に安全処理を開始させるとする。ＣＰＵ１、メモリ２及びバス３は一つのデータ処理部ＤＰＵを構成し、ＣＰＵ４、メモリ５及びバス６は別のデータ処理部ＤＰＵを構成する。

圧縮器７はＣＰＵ１が出力するデータを圧縮して記憶する。圧縮アルゴリズムとしては、線形帰還シフトレジスタ（ＬＦＳＲ）や巡回冗長検査（ＣＲＣ）などを利用できる。ＣＰＵ１は実行する安全処理のプログラムに従ってバス３に圧縮器７のアドレスと書き込みデータを出力する。圧縮器７に書き込むデータは例えば制御フローのチェックポイントの信号が考えられる。あるいはアクチュエータに出力するデータであっても良い。圧縮器８は同様にＣＰＵ４が出力するデータを圧縮して記憶する。前記圧縮器７，８により圧縮を行うことにより、複数のＣＰＵ１，４が非同期で同じ安全処理を実行するとき同じ処理結果を得るタイミングが異なっても、双方の処理結果を比較器９で容易に比較することが可能になる。

比較器９は圧縮器７の出力信号７０１と圧縮器８の出力信号８０１を比較し、結果信号９０１を出力する。結果信号９０１は例えば一致であれば“０”、不一致であれば“１”とする。

レジスタ回路１０は比較制御レジスタＣＲと比較フラグレジスタＦＲを有する。比較制御レジスタＣＲにはＣＰＵ１およびＣＰＵ４が比較制御の設定を行い、比較器９の結果信号９０１が比較フラグレジスタＦＲに保持される。比較制御レジスタＣＲに全てのＣＰＵ１，４から比較許可が設定されることによって比較器９に比較動作結果が比較フラグレジスタＦＲに反映される。

複数のＣＰＵ１，４が非同期で同じ安全処理を実行するとき、全てのＣＰＵ１，４から比較許可が与えられることによって比較器９の比較動作結果が有効にされる。即ち、その比較結果が比較フラグレジスタＦＲに反映される。これにより、複数の圧縮器７，８による圧縮結果が一致するタイミングを明確化でき、正常な比較動作結果を得ることが保証される。

割り込み発生回路１１は割り込み許可信号１００２に従い、比較フラグ信号１００１が不一致を示す場合に、ＣＰＵ１への割り込み信号１１０１およびＣＰＵ４への割り込み信号１１０２を発生する。割り込みが受け付けられたＣＰＵ１，４は例えば障害に対処する例外処理を実行する。

比較状態端子出力回路１２は、比較フラグ信号１００１および比較フラグレジスタ書き込み信号１００３を入力し、比較状態信号１２０１を端子出力する。要するに比較状態端子出力回路１２は、前記比較フラグレジスタＦＲへ比較結果が取り込まれたこと及び取り込まれた比較結果を外部に出力する出力回路として機能される。外部から比較結果のモニタが可能になる。

以上より、マイクロコントローラＭＣＵ１によれば、複数のＣＰＵに異なるアプリケーションを実行させて高性能な処理を行わせることができると同時に、複数のＣＰＵが安全性の要求される同じアプリケーションを非同期で実行して異なるタイミングで出力する結果の照合が可能になって特定アプリケーションによる処理の安全性を高めることが可能になる。図示はしないが、バス３，６にはその他に、所要の周辺回路や入出力回路が夫々接続されていてよい。

比較器９、レジスタ回路１０、割り込み発生回路１１、及び比較状態端子出力回路１２は、複数のＣＰＵ１，４が同じ処理を非同期で行なったとき夫々の圧縮器７，８が保持するデータを比較してデータ処理部の異常を検出する検出部ＤＴＵとして機能される。

図２は図１における圧縮器７の内部構成を示す。デコーダ７１はバス３のコマンド３０１とアドレス３０２を解読し、当該圧縮器７への読み出しまたは書き込みの場合に制御を行う。圧縮器７の機能は、バス３の書き込みデータ３０３をセレクタ７３経由でデータレジスタ７４へ格納、書き込みデータ３０３とデータレジスタ７４からの圧縮データ７２０１を圧縮回路７２で計算してデータレジスタ７４へ格納、データレジスタ７４のデータをデータドライバ７５経由でバス３に読み出しデータ３０４として出力することである。書き込みデータ３０３をデータレジスタ７４へ格納する場合は、デコーダ７１がセレクタ７３の制御信号７１０１をバス書き込みデータ３０３を選択するようにし、データレジスタ書き込み信号７１０２を出力してデータレジスタ７４にセレクタ７３の出力信号７３０１を書き込む。書き込みデータ３０３とデータレジスタ７４から圧縮データ７２０１を計算してデータレジスタ７４へ格納する場合は、デコーダ７１がセレクタ７３の制御信号７１０１を圧縮回路７２の出力信号７２０１を選択するようにする。データレジスタ７４をバス３に読み出す場合はバス３の読み出しデータドライバ７５にドライブ信号７１０３を出力する。安全処理等においてデータレジスタ７４に書き込むデータは当該安全処理のためのアプリケーション（プログラム）に従ってＣＰＵ１が制御する。特に図示はしないが、圧縮器８も同様に構成される。

図３は図１におけるレジスタ回路の比較制御レジスタＣＲを示す。比較制御レジスタＣＲは、３２ビットレジスタとして、あるいは４個の８ビットレジスタ（ＣＲ０、ＣＲ１、ＣＲ２、ＣＲ３）としてアクセスすることができる。ビット３１から２５は予約でありレジスタの実体は無くても良い。読み出す場合には不定値あるいは“０”などの固定値を読み出すようにする。ビット２４は圧縮機７の比較許可設定ビット（ＣＥＡ）である。ＣＰＵ１は圧縮器７への必要な書き込みが全て完了するとＣＥＡを比較許可状態“１”にする。ビット２３から１７は予約である。ビット１６は圧縮機８の比較許可設定ビット（ＣＥＢ）である。ＣＰＵ４は圧縮器８への書き込みが全て完了するとＣＥＢを比較許可状態“１”にする。ビット１５から２は予約である。ビット１は比較結果が不一致の場合のＣＰＵ４への割り込み許可設定である。ビット０は比較結果が不一致の場合のＣＰＵ１への割り込み許可設定である。

ＩＥＡはＣＰＵ１への割り込み許可ビット、ＩＥＢはＣＰＵ４への割り込み許可ビットであり、ＣＰＵ１，４の何れからも操作可能にされる。

図４は図１におけるレジスタ回路１０の比較フラグレジスタＦＲを示す。フラグレジスタＦＲは例えば８ビットレジスタとしてアクセスされる。ビット７から１は予約であり、ビット０は比較エラービット（ＥＲＲ）である。図３においてＣＥＡとＣＥＢが“１”に設定されると、比較器９の出力信号９０１がＥＲＲビットに格納される。また、ＥＲＲビットに書き込みが行われると比較制御レジスタＣＲが保有する論理回路の動作によってＣＥＡとＣＥＢが“０”にクリアされる。ＣＰＵ１およびＣＰＵ４は比較制御レジスタＣＲを読み出してＣＥＡとＣＥＢをチェックすることによって比較器９による比較が実行されたかどうかを知ることができる。比較フラグレジスタＦＲはＣＰＵ１，４の何れからも操作可能にされる。

図５はＣＰＵ１およびＣＰＵ４の処理フローを示す。ＣＰＵ１とＣＰＵ４はそれぞれ異なるアプリケーション（個別処理１３０１、１３５１）を実行中であるとする。ＣＰＵ１において安全処理を実行するための起動処理１３０２が開始される。ＣＰＵ１はレジスタＣＲのＣＥＡおよびＣＥＢをチェックする（１３０３）。共に“０”であれば前回の安全処理の比較が完了していることを意味するため次のステップ１３０４に進む。共に“０”でなければステップ１３０３を続ける。ステップ１３０４ではレジスタＣＲのＩＥＡビットとＩＥＢビットの設定を行う。続いてＣＰＵ４に安全処理を実行させるために割り込み１３０５を発生する。ＣＰＵ１は安全処理１３０６を開始し、チェックしたいデータを圧縮器Ａ７に書き込んでいく。安全処理が終了するとレジスタＣＲのＣＥＡを“１”にセットし（１３０７）、個別処理に復帰する（１３０８）。一方、ＣＰＵ４は個別処理１３５１を実行中にＣＰＵ１からの割り込みを受け付ける（１３５２）。ＣＰＵ４は安全処理１３５３を開始しチェックしたいデータを圧縮器Ｂ８に書き込んでいく。安全処理が終了するとレジスタＣＲのＣＥＢを“１”にセットし（１３５４）、個別処理に復帰する（１３５５）。

図６はＣＰＵ１およびＣＰＵ４の処理のタイミングチャートを示す。ＣＰＵ１は安全処理起動においてレジスタＣＲを読み出してＣＥＡとＣＥＢの値をチェックする。共に“０”であり前回の安全処理の比較が完了していることを確認すると、ＣＰＵ４に安全処理を行わせるための割り込みを行った後、安全処理に入る。安全処理では圧縮器７にチェックしたいデータＡ１〜Ａ６を書き込んでいく。全てのチェックデータの書き込みが終わるとレジスタＣＲのＣＥＡを“１”にセットして個別処理に復帰する。ＣＰＵ４も同様に安全処理を実行し、圧縮器８にチェックしたいデータＢ１〜Ｂ６を書き込んでいき、全ての書き込みが終わるとレジスタＣＲのＣＥＢを“１”にセットして個別処理に復帰する。レジスタＦＲの比較エラーＥＲＲは前回の比較結果Ｅｎ−１から今回の比較結果Ｅｎに変化する。Ｅｎが“１”（不一致）の場合に割り込みを発生する例を示している。端子出力とは、図１における比較状態端子出力回路１２の出力信号１２０１の例である。比較フラグ書き込み信号と比較結果を１ビットの端子で出力するようにしている。Ｅｎが“０”（一致）の場合は比較フラグへの書き込みが行われたタイミングからある一定時間内（例えばマイコンの外部バスサイクル１つ分）のパルスを出力するようにする。Ｅｎが“１”（不一致）の場合には長いパルスを出力するようにする。これによって１つの端子信号で比較が実行されていることと比較結果を確認することができる。

図７は本発明の第２の実施の形態に係るマイクロコントローラＭＣＵ２が例示される。マイクロコントローラＭＣＵ２は３つのＣＰＵを有するマルチコアマイコンとして構成される。図１のデュアルコアマイコンとの差分について説明する。１４は命令を実行して演算やデータ転送などの処理を行うＣＰＵである。１５はＣＰＵＣ１４が実行する命令および処理するデータを記憶するメモリである。１６はＣＰＵ１４がメモリ１５などの装置をアクセスするためのバスである。１７はＣＰＵ１４が出力するデータを圧縮して記憶する圧縮器である。９は圧縮器７の出力信号７０１と圧縮器８の出力信号８０１と圧縮器１７の出力信号１７０１を比較し、結果信号９０１を出力する比較器である。レジスタ回路１０が有する比較制御レジスタＣＲはＣＰＵ１、ＣＰＵ４およびＣＰＵ１４が比較制御の設定を行い、比較フラグレジスタＦＲは比較器９の結果信号９０１を保持する。割り込み発生回路１１は割り込み許可信号１００２に従い、比較フラグ信号１００１が不一致を示す場合に、ＣＰＵ１への割り込み信号１１０１、ＣＰＵ４への割り込み信号１１０２およびＣＰＵ１４への割り込み信号１１０３を発生する。比較状態端子出力回路１２は、比較フラグ信号１００１および比較フラグレジスタ書き込み信号１００３を入力し、比較状態信号１２０１を外部端子から出力する。

図７のマイクロコントローラＭＣＵ２は図１のマイクロコントローラＭＣＵ１に対してＣＰＵとメモリからなる処理系を３系統有し、処理系毎にＣＰＵ１，４，１４が出力するデータをＣＰＵ１，４，１４毎に別々に圧縮器７，８，１７で圧縮して記憶する。圧縮された記憶データは比較器９で比較され、比較結果の不一致によって処理の異状を検出可能にされる。比較器９による比較動作は夫々のＣＰＵ１，４，１４から比較許可が与えられることによって有効にされる。前記圧縮器７，８，１７により圧縮を行うことにより、複数のＣＰＵ１，４，１４が非同期で同じ安全処理を実行するとき、全てのＣＰＵ１，４，１４から比較許可が与えられることによって比較器９の比較が有効になることにより、複数の圧縮器７，８，１７による圧縮結果が一致するタイミングを明確化でき、正常な比較動作結果が得られることを保証することができる。したがって、複数のＣＰＵ１，４，１４に異なるアプリケーションを並列に実行させて高性能な処理を行わせることができると同時に、複数のＣＰＵ１，４，１４が安全処理としての同じアプリケーションを非同期で実行して異なるタイミングで出力する結果の照合が可能になって特定アプリケーションによる処理の安全性を高めることも可能になる。

図８には本発明に係るマルチコアマイコンとしてのマイクロコントローラを自動車電子制御装置に適用した例が示される。自動車１７において、エンジン１８を電子制御する制御装置１９内に本発明を適用したマルチコアマイコン２０が搭載されている。マルチマイコン２０は前記マイクロコントローラＭＣＮ１又はＭＣＮ２である。

図９は本発明の第３の実施の形態に係るマイクロコントローラＭＣＵ３が例示される。マイクロコントローラＭＣＵ３は２つのＣＰＵを有するデュアルコアマイコンとして構成される。図１のデュアルコアマイコンＭＣＵ１との差分について説明する。図１おける圧縮器７、圧縮器８および比較器２３が、図９においてはＦＩＦＯ２１、ＦＩＦＯ２２および圧縮器２３に置き換えられている。

ＦＩＦＯ２１はＣＰＵ１が出力するデータを圧縮せずに先入れ先出し方式の複数段のレジスタから成るＦＩＦＯレジスタに記憶する。同様にＦＩＦＯ２２はＣＰＵ２が出力するデータを圧縮せずにＦＩＦＯレジスタに記憶する。ＦＩＦＯ２１はＦＩＦＯレジスタの最も古いデータをＦＩＦＯ出力信号２１０１に出力する。またＦＩＦＯ２１はＦＩＦＯ出力信号が有効であることを示すＦＩＦＯ出力有効信号２１０２を出力する。同様にＦＩＦＯ２２はＦＩＦＯ出力信号２２０１とＦＩＦＯ出力有効信号２２０２を出力する。

比較器２３は２つのＦＩＦＯ出力有効信号２１０２と２２０２が共に有効を示すと、２つのＦＩＦＯ出力信号２２０１と２２０２を比較し、レジスタ回路１０に結果信号２３０１を出力する。比較が行われるとそのＦＩＦＯ出力信号は不要となるため、比較実行信号２３０２をＦＩＦＯ２１とＦＩＦＯ２２に出力し、ＦＩＦＯレジスタから最も古いデータを削除させる。ＦＩＦＯレジスタに記憶されている全てのデータが比較器２３で比較されるとＦＩＦＯレジスタは空になり、ＦＩＦＯ出力有効信号は無効を示す値になる。

図１０は図９におけるＦＩＦＯ２１の内部構成を示す。デコーダ２１１はバス３のコマンド３０１とアドレス３０２を解読し、当該ＦＩＦＯへの書き込みの場合に制御を行う。ＦＩＦＯ２１の機能は、バス３の書き込みデータ３０３をＦＩＦＯレジスタ２１３へ格納、ＦＩＦＯレジスタ２１３の最も古いデータをＦＩＦＯ出力信号２１０１として出力、ＦＩＦＯレジスタにデータが格納されていることを示すＦＩＦＯ出力有効信号２１０２を出力、比較実行信号２３０２によりＦＩＦＯレジスタから最も古いデータを削除、ＦＩＦＯレジスタの空きが無くなった場合にＣＰＵのアクセスを停止させるためのウエイト要求信号３０５を出力することである。

図１１は本発明の第４の実施の形態に係るマイクロコントローラＭＣＵ４が例示される。マイクロコントローラＭＣＵ４は２つのＣＰＵを有するデュアルコアマイコンとして構成される。図１のデュアルコアマイコンＭＣＵ１との差分について説明する。図１おける圧縮器７と圧縮器８が、図１１においては圧縮器２４と圧縮器２５に置き換えられている。

圧縮器２４は圧縮器７の機能を全て備えるとともに、ＣＰＵ１からメモリ２へのアクセスを監視し、あらかじめ設定したアドレス範囲へのライトアクセスの場合にそのデータを圧縮器に取り込む機能が追加されている。同様に圧縮器２５はＣＰＵ４からメモリ５へのアクセスを監視し、ライトアクセスのデータを圧縮器に取り込む機能が追加されている。

図１２は図１１における圧縮器２４の内部構成を示す。デコーダ２４１はバス３のコマンド３０１とアドレス３０２を解読し、当該圧縮器２４への読み出しまたは書き込みの場合とＣＰＵ１からメモリ２へのライトアクセスがあらかじめ設定したアドレス範囲である場合に制御を行う。圧縮器２４の機能は、バス３の書き込みデータ３０３をセレクタ２４３経由でデータレジスタ２４４へ格納、バス３の書き込みデータ３０３を開始アドレスレジスタＳＡＲ２４６または終了アドレスレジスタＥＡＲ２４７へ格納、書き込みデータ３０３とデータレジスタ２４４からの圧縮データ２４０１を圧縮回路２４２で計算してデータレジスタ２４４へ格納、データレジスタ２４４またはＳＡＲ２４６またはＥＡＲ２４７のデータをデータドライバ２４５経由でバス３に読み出しデータ３０４として出力することである。書き込みデータ３０３をデータレジスタ２４４へ格納する場合は、デコーダ２４１がセレクタ２４３の制御信号２４１０１をバス書き込みデータ３０３を選択するようにし、データレジスタ書き込み信号２４１０２を出力してデータレジスタ２４４にセレクタ２４３の出力信号２４３０１を書き込む。書き込みデータ３０３とデータレジスタ２４４から圧縮データ２４２０１を計算してデータレジスタ２４４へ格納する場合は、デコーダ２４１がセレクタ２４３の制御信号２４１０１を圧縮回路２４２の出力信号２４２０１を選択するようにする。データレジスタ２４４またはＳＡＲ２４６またはＥＡＲ２４７のデータをバス３に読み出す場合はバス３の読み出しデータドライバ２４５にドライブ信号２４１０３を出力する。このとき、デコーダから出力されるデータ選択信号２４１０６により、セレクタ２４８でデータが選択される。

上述のように、本発明によれば、複数のＣＰＵを有するマルチコアマイコンを使用して、それぞれのＣＰＵに異なるアプリケーションを実行させて高性能な処理を行わせることができると同時に、安全性が要求されるアプリケーションをそれぞれのＣＰＵで実行して結果を照合させることによって故障を検出でき、安全性を高めることが可能になる。

以上本発明者によってなされた発明を実施形態に基づいて具体的に説明したが、本発明はそれに限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは言うまでもない。

例えば、本発明に係るマイクロコントローラはエンジン電子制御装置だけでなくブレーキ系統やその他の箇所、そして自動車だけでなく、その他の車両、産業機器、家電製品等、コンピュータ制御の対象になるシステムに広く適用することができる。また、比較許可ビットによる制御形態は、比較器の比較動作それ自体を活性／非活性とする制御形態であってもよい。

図１は本発明を適用した第１の実施の形態に係る２つのＣＰＵを有するデュアルコアマイコンとしてのマイクロコントローラのブロック図である。 図２は図１における圧縮器の内部構成を例示するブロック図である。 図３は図１における比較制御レジスタの構成を例示する説明図である。 図４は図１における比較フラグレジスタの構成を例示する説明図である。 図５は図１のマイクロコントローラによる２個のＣＰＵの処理を例示するフローチャートである。 図６は図１のマイクロコントローラによる２個のＣＰＵの処理を例示するタイミングチャートである。 図７は本発明を適用した第２の実施の稀有鯛に係る３つのＣＰＵを有するマルチコアマイコンとしてのマイクロコントローラのブロック図である。 図８は本発明に係るマイクロコントローラを適用した自動車電子制御装置を搭載する自動社の概略説明図である。 図９は本発明を適用した第３の実施の形態に係る２つのＣＰＵを有するデュアルコアマイコンとしてのマイクロコントローラのブロック図である。 図１０は図９におけるＦＩＦＯの内部構成を例示するブロック図である。 図１１は本発明を適用した第４の実施の形態に係る２つのＣＰＵを有するデュアルコアマイコンとしてのマイクロコントローラのブロック図である。 図１２は図１１における圧縮器の内部構成を例示するブロック図である。

符号の説明

ＭＣＵ１、ＭＣＵ２ マイクロコントローラ
１ ＣＰＵ
２ メモリ
３ バス
４ ＣＰＵ
５ メモリ
６ バス
７，８，２４，２５ 圧縮器
９，２３ 比較器
９０１ 比較結果信号
１０ レジスタ回路
ＣＲ 比較制御レジスタ
ＦＲ 比較フラグレジスタ
１１ 割り込み発生回路
１００１ 比較フラグ信号
１１０１ 割り込み信号
１２ 比較状態端子出力回路
７１ デコーダ
７３ セレクタ
７４ データレジスタ
７２０１ 圧縮データ
７２ 圧縮回路７２
ＣＥＡ 圧縮機７の比較許可設定ビット
ＣＥＢ 圧縮機８の比較許可設定ビット
ＥＲＲ 比較エラービット
１４ ＣＰＵ
１５ メモリ
１６ バス
１７ 圧縮器
１７ 自動車
１９ エンジン電子制御装置
２０ マルチコアマイコン
２１，２２ ＦＩＦＯ
２４６ ＳＡＲ（開始アドレスレジスタ）
２４７ ＥＡＲ（終了アドレスレジスタ）

Claims (30)

1. 夫々が命令を実行する複数のデータ処理部と、
   前記データ処理部が生成する情報を前記データ処理部毎に圧縮して保持する複数の圧縮器と、
   複数のデータ処理部が同じ処理を非同期で行なったとき夫々の圧縮器が保持するデータを比較してデータ処理部の異常を検出する検出部と、を有し、
   前記検出部は、前記夫々のデータ処理部から許可信号が出力されることを条件に前記比較器の比較結果を取り込む、マイクロコントローラ。
2. 夫々のデータ処理部は命令を実行する中央処理装置を有し、
   一のデータ処理部の中央処理装置は前記同じ処理を実行するとき他のデータ処理部の夫々の中央処理装置に前記同じ処理を実行させる指示を与える、請求項１記載のマイクロコントローラ。
3. 前記同じ処理を実行させる指示は一のデータ処理部の中央処理装置が他のデータ処理部の中央処理装置に出力する割り込み要求である、請求項２記載のマイクロコントローラ。
4. 前記夫々のデータ処理部の中央処理装置は相互に異なる別の処理を並列に実行可能であり、
   前記同じ処理は前記相互に異なる別の処理よりも高い信頼性が要求される処理である、請求項１記載のマイクロコントローラ。
5. 中央処理装置とメモリを有する複数のデータ処理部と、
   前記データ処理部が生成する情報を前記データ処理部毎に圧縮して保持する複数の圧縮器と、
   前記複数の圧縮器が保持するデータを比較する比較器と、
   前記比較器の比較結果を保持する比較結果レジスタと、を有し、
   一のデータ処理部の中央処理装置は第１の処理を実行するとき他のデータ処理部の夫々の中央処理装置に前記第１の処理を実行させる指示を与え、
   前記比較結果レジスタは、前記夫々のデータ処理部の中央処理装置から許可信号が出力されることを条件に前記比較器の比較結果を取り込む、マイクロコントローラ。
6. 前記夫々のデータ処理部の中央処理装置は相互に異なる別の処理を並列に実行可能である、請求項５記載のマイクロコントローラ。
7. 前記第１の処理を実行させる指示は一のデータ処理部の中央処理装置が他のデータ処理部の中央処理装置に出力する割り込み要求である、請求項５記載のマイクロコントローラ。
8. 夫々の前記圧縮器は、対応するデータ処理部の中央処理装置のアドレス空間に配置されたデータレジスタを有し、当該中央処理装置がアドレスを指定してデータレジスタに書き込んだデータの圧縮を行う、請求項５記載のマイクロコントローラ。
9. 夫々の前記圧縮器は、前記データレジスタに書き込まれたデータと中央処理装置から出力されるデータを入力して圧縮する圧縮回路、前記圧縮回路の出力データ又は対応する中央処理装置の出力データを選択して入力し出力を前記データレジスタに与えるセレクタを更に有し、前記データレジスタはアキュムレータとして機能される、請求項８記載のマイクロコントローラ。
10. 夫々の前記中央処理装置が出力する許可信号毎に許可情報が設定される取り込み許可レジスタを更に有し、全ての許情報が取り込み許可にされたとき、前記比較結果レジスタが前記比較器の比較結果を取り込む、請求項５記載のマイクロコントローラ。
11. 前記取り込み許可レジスタは、全ての許情報が取り込み許可にされたとき、比較結果レジスタへの比較結果の取り込みが指示された後に、取り込み不許可の状態に反転される、請求項１０記載のマイクロコントローラ。
12. 前記比較結果レジスタに取り込まれた比較結果が不一致のとき中央処理装置毎に割り込みの発生の許可情報が設定される割り込み許可レジスタを更に有し、前記中央処理装置が割り込み許可レジスタの設定を行う、請求項１０記載のマイクロコントローラ。
13. 前記比較結果レジスタへ比較結果が取り込まれたこと及び取り込まれた比較結果を外部に出力する出力回路を更に有する、請求項５記載のマイクロコントローラ。
14. 前記比較結果レジスタは何れの中央処理装置からもクリア可能とされる、請求項１１記載のマイクロコントローラ。
15. 請求項２記載のマイクロコントローラを搭載し、前記第１の処理は前記相互に異なる別の処理よりも高い信頼性が要求される自動車制御用処理である、自動車制御装置。
16. 夫々が命令を実行する複数のデータ処理部と、
    前記データ処理部が生成する情報を前記データ処理部毎に保持する複数のデータバッファと、
    複数のデータ処理部が同じ処理を非同期で行なったとき夫々のデータバッファが保持するデータを比較してデータ処理部の異常を検出する検出部と、を有し、
    前記検出部は、前記夫々のデータ処理部から許可信号が出力されることを条件に前記比較器の比較結果を取り込む、マイクロコントローラ。
17. 夫々のデータ処理部は命令を実行する中央処理装置を有し、
    一のデータ処理部の中央処理装置は前記同じ処理を実行するとき他のデータ処理部の夫々の中央処理装置に前記同じ処理を実行させる指示を与える、請求項１６記載のマイクロコントローラ。
18. 前記同じ処理を実行させる指示は一のデータ処理部の中央処理装置が他のデータ処理部の中央処理装置に出力する割り込み要求である、請求項１７記載のマイクロコントローラ。
19. 前記夫々のデータ処理部の中央処理装置は相互に異なる別の処理を並列に実行可能であり、
    前記同じ処理は前記相互に異なる別の処理よりも高い信頼性が要求される処理である、請求項１６記載のマイクロコントローラ。
20. 中央処理装置とメモリを有する複数のデータ処理部と、
    前記データ処理部が生成する情報を前記データ処理部毎に保持する複数のデータバッファと、
    前記複数のデータバッファが保持するデータを比較する比較器と、
    前記比較器の比較結果を保持する比較結果レジスタと、を有し、
    一のデータ処理部の中央処理装置は第１の処理を実行するとき他のデータ処理部の夫々の中央処理装置に前記第１の処理を実行させる指示を与え、
    前記比較結果レジスタは、前記夫々のデータ処理部の中央処理装置から許可信号が出力されることを条件に前記比較器の比較結果を取り込む、マイクロコントローラ。
21. 前記夫々のデータ処理部の中央処理装置は相互に異なる別の処理を並列に実行可能である、請求項２０記載のマイクロコントローラ。
22. 前記第１の処理を実行させる指示は一のデータ処理部の中央処理装置が他のデータ処理部の中央処理装置に出力する割り込み要求である、請求項２０記載のマイクロコントローラ。
23. 夫々の前記データバッファは、対応するデータ処理部の中央処理装置のアドレス空間に配置された１つ以上のデータレジスタを有し、当該中央処理装置がアドレスを指定してデータレジスタに書き込んだデータの保持を行う、請求項２０記載のマイクロコントローラ。
24. 夫々の前記データバッファは、前記データレジスタに書き込まれたデータを書き込まれた順番に出力するＦＩＦＯとして機能される、請求項２３記載のマイクロコントローラ。
25. 夫々の前記中央処理装置が出力する許可信号毎に許可情報が設定される取り込み許可レジスタを更に有し、全ての許情報が取り込み許可にされたとき、前記比較結果レジスタが前記比較器の比較結果を取り込む、請求項２０記載のマイクロコントローラ。
26. 前記取り込み許可レジスタは、全ての許情報が取り込み許可にされたとき、比較結果レジスタへの比較結果の取り込みが指示された後に、取り込み不許可の状態に反転される、請求項２５記載のマイクロコントローラ。
27. 前記比較結果レジスタに取り込まれた比較結果が不一致のとき中央処理装置毎に割り込みの発生の許可情報が設定される割り込み許可レジスタを更に有し、前記中央処理装置が割り込み許可レジスタの設定を行う、請求項２５記載のマイクロコントローラ。
28. 前記比較結果レジスタへ比較結果が取り込まれたこと及び取り込まれた比較結果を外部に出力する出力回路を更に有する、請求項２０記載のマイクロコントローラ。
29. 前記比較結果レジスタは何れの中央処理装置からもクリア可能とされる、請求項２６記載のマイクロコントローラ。
30. 請求項１７記載のマイクロコントローラを搭載し、前記第１の処理は前記相互に異なる別の処理よりも高い信頼性が要求される自動車制御用処理である、自動車制御装置。

Images