JP2013187715A - クロック監視装置 - Google Patents

Abstract

【課題】クロック異常を適切に検出することができるクロック監視装置を提供する。
【解決手段】ＡＳＩＣ１内には、ＡＳＩＣクロック信号ＣＬＫ１を生成する発振子１１と、ＭＣＵクロック信号ＣＬＫ２の異常を監視するＭＣＵクロック監視部１３とを設ける。ＭＣＵ２内には、ＭＣＵクロック信号ＣＬＫ２を生成する発振子２１と、ＡＳＩＣクロック信号ＣＬＫ１の異常を監視するＡＳＩＣクロック監視部２３とを設ける。このように、クロック監視機能を外部の独立なチップで実行し、ＥＣＵ内部クロックの相互監視を可能とする。
【選択図】 図１

Description

本発明は、ＥＣＵ等の内部クロックの異常を監視するクロック監視装置に関する。

従来のクロック診断方法としては、例えば特許文献１，２に記載の方法がある。これらの方法は、メインクロックの監視用にサブクロックを設け、メインクロックとサブクロックとの比較によりメインクロックの異常を監視するものである。
ここで、特許文献１に記載の方法では、メインクロック異常が検出された場合に、メインクロックからサブクロックに切り替えるようにしている。
特許文献２に記載の方法では、メインクロック信号に基づいてサブクロック信号の発振周波数を補正し、サブクロック信号に基づいてメインクロック信号の発振状態を監視している。

特開２００３−０９１３２９号公報 特開２００４−２１３１９７号公報

しかしながら、上記特許文献１に記載の技術にあっては、サブクロックが常に正常であることが前提となる。すなわち、サブクロック自体が異常となると、異常誤検出が発生し、正常なメインクロックを異常なサブクロックに切り替えてしまうといった問題が生じる。
また、上記特許文献２に記載の技術にあっては、サブクロック精度を向上するために補正機能が追加される一方、補正機能の追加により監視機能は限定されている。ここでは、メインクロックの周期がサブクロックの周期よりも低いという異常モードしか検出できない。
さらに、これらの技術では、クロック異常監視機能の独立性を考慮していないので、監視機能が発振機能と同じ共通要因に影響され、監視機能喪失、異常誤検出となるおそれがある。
そこで、本発明は、クロック異常を適切に検出することができるクロック監視装置を提供することを課題としている。

上記課題を解決するために、本発明に係るクロック監視装置は、第１チップに搭載され、該第１チップの動作クロック信号として第１クロック信号を生成する第１発振部と、前記第１チップとは物理的な独立性を有する第２チップに搭載され、該第２チップの動作クロック信号として第２クロック信号を生成する第２発振部と、前記第２チップに搭載され、前記第１発振部で生成した第１クロック信号を監視対象クロック信号として、当該監視対象クロック信号の異常を前記第２チップの動作クロック信号を用いて監視する第１クロック監視部と、前記第１チップに搭載され、前記第２発振部で生成した第２クロック信号を監視対象クロック信号として、当該監視対象クロック信号の異常を前記第１チップの動作クロック信号を用いて監視する第２クロック監視部と、を備えることを特徴としている。

このように、２つの内部クロックを相互に監視するため、何れか一方に異常が発生した場合には、適切にその異常を検出することができる。また、内部クロックの異常を監視する監視機能を、外部の独立なチップで実行するため、監視機能が監視対象のクロックを生成する発振部と共通の要因に影響されるのを抑制することができる。したがって、監視対象のクロックを生成している発振部と監視機能とを一体的に設計する場合と比較して、監視機能喪失や異常誤検出を抑制することができる。

また、上記において、前記第１クロック監視部及び前記第２クロック監視部の何れか一方で監視対象クロック信号の異常を検出したとき、異常が検出されたクロック信号を動作クロック信号としているチップにおいて、当該動作クロック信号を、前記第１クロック信号及び前記第２クロック信号のうち異常が非検出である正常クロック信号に切り替え、バックアップ状態とする動作クロック切替部を備えることを特徴としている。
これにより、第１クロック信号及び第２クロック信号の何れか一方が異常であると診断された場合、異常側では自らの内部クロックを相手の正常クロックに切り替えることができる。このように、自らの内部クロックが異常となっても、相手側の内部クロックが正常である場合には元機能を維持することができる。

さらに、上記において、前記第１チップ及び前記第２チップとは物理的な独立性を有し、第３クロック信号を生成する第３発振部を備え、前記第１クロック監視部及び前記第２クロック監視部は、前記第３クロック信号に基づいて設定された所定期間内における自身の監視対象クロック信号のパルス数をカウントする第１パルスカウンタと、前記所定期間おける自身が搭載されたチップの動作クロック信号のパルス数をカウントする第２パルスカウンタと、前記第１パルスカウンタでカウントしたパルス数と前記第２パルスカウンタでカウントしたパルス数とに基づいて、自身の監視対象クロック信号、自身が搭載されたチップの動作クロック信号及び前記第３クロック信号のうち、異常が発生しているクロック信号を判定する異常判定部と、をそれぞれ備えることを特徴としている。

このように、クロック異常の監視に際し、外部の独立性を持つ第３クロック信号を用いて第１クロック信号及び第２クロック信号の正常／異常の判断を行う。そのため、異常発生時には、これら上記の判断結果を踏まえて異常元を特定することができる。したがって、適切にバックアップ状態とすることができる。

また、上記において、前記動作クロック切替部によるバックアップ状態では、前記第１クロック監視部及び前記第２クロック監視部の何れか一方は、前記第１パルスカウンタでカウントしたパルス数に基づいて、前記正常クロック信号の監視を継続することを特徴としている。
このように、第１クロック信号及び第２クロック信号の何れか一方がクロック異常となっても、第３クロック信号を用いて残りの正常クロックの監視を継続することができる。したがって、クロック切り替え後のバックアップ状態における残り正常クロックの信頼性を確保することができる。

さらにまた、上記において、前記動作クロック切替部によるバックアップ状態で、前記第１クロック監視部及び前記第２クロック監視部の何れか一方で前記正常クロック信号の異常を検出したとき、前記第１チップ及び前記第２チップの作動を停止する作動停止部を備えることを特徴としている。
このように、第１クロック信号及び第２クロック信号が共に異常となった場合や、第３クロック信号が異常となって第１クロック信号及び第２クロック信号が共に異常であると診断された場合には、第１チップ及び第２チップの動作を停止してフェイルセーフ状態とすることができる。

また、上記において、前記第１チップはＡＳＩＣであり、前記第２チップはＭＣＵであることを特徴としている。
これにより、ＡＳＩＣとＭＣＵの内部クロックの異常を適切に監視することができ、ＥＣＵの動作の信頼性を向上させることができる。

本発明によれば、２つの内部クロックを相互に監視することができる。また、内部クロックの監視機能を外部の物理的に独立なチップで実行することが可能となる。したがって、監視対象と監視機能とを一体的に設計した場合と比較して、共通要因から受ける影響が少なく、異常誤検出を抑制することができる。

本実施形態に係るクロック監視装置の概略構成を示す図である。 ＭＣＵクロック監視部のクロック監視機能の構成を示す図である。 入力クロック信号の一例を示す図である。

以下、本発明の実施の形態を図面に基づいて説明する。
図１は、本実施形態に係るクロック監視装置の概略構成を示す図である。
この図１に示すように、ＥＣＵ１００は、互いに物理的な独立性を有するＡＳＩＣ（Application Specific Integrated Circuit）１とＭＣＵ（Micro Controller Unit）２とを含んで構成されている。
ＡＳＩＣ１は、発振子１１と、ＡＳＩＣクロック切替部１２と、ＭＣＵクロック監視部１３と、応用機能部１４とを備える。また、ＭＣＵ２は、発振部２１と、ＭＣＵクロック切替部２２と、ＡＳＩＣクロック監視部２３と、応用機能部２４とを備える。

さらに、ＥＣＵ１００は、ＡＳＩＣ１及びＥＣＵ２とは物理的に独立性を持つ外部クロック信号ＣＬＫ３を生成する発振子３１を備える。
発振子１１は、ＡＳＩＣクロック信号ＣＬＫ１を生成し、発振子２１は、ＭＣＵクロック信号ＣＬＫ２を生成する。
ＡＳＩＣクロック切替部１２は、通常は発振子１１が生成するＡＳＩＣクロック信号ＣＬＫ１を、ＡＳＩＣ１の動作の基準となるＡＳＩＣ動作クロック信号ＣＬＫ１´として出力する。ＡＳＩＣ動作クロック信号ＣＬＫ１´は、ＭＣＵクロック監視部１３と応用機能部１４とに対して出力される。このＡＳＩＣクロック切替部１２は、後述するＡＳＩＣクロック監視部２４からのクロック切替信号Ｓ２に基づいて、ＡＳＩＣ動作クロック信号ＣＬＫ１´を、ＡＳＩＣクロック信号ＣＬＫ１からＭＣＵクロック信号ＣＬＫ２へ切替可能となっている。

同様に、ＭＣＵクロック切替部２２は、通常は、発振子２１が生成するＭＣＵクロック信号ＣＬＫ２を、ＭＣＵ２の動作の基準となるＭＣＵ動作クロック信号ＣＬＫ２´として出力する。ＭＣＵ動作クロック信号ＣＬＫ２´は、ＡＳＩＣクロック監視部２３と応用機能部２４とに対して出力される。このＭＣＵクロック切替部２２は、後述するＭＣＵクロック監視部１３からのクロック切替信号Ｓ１に基づいて、ＭＣＵ動作クロック信号ＣＬＫ２´を、ＭＣＵクロック信号ＣＬＫ２からＡＳＩＣクロック信号ＣＬＫ１へ切替可能となっている。
ＭＣＵクロック監視部１３は、ＡＳＩＣクロック切替部１２が出力したＡＳＩＣ動作クロック信号ＣＬＫ１´と、発振子２１が生成したＭＣＵクロック信号ＣＬＫ２と、発振子３１が生成した外部クロック信号ＣＬＫ３とを入力する。そして、これら３つのクロック信号の異常を監視する。

図２は、ＭＣＵクロック監視部１３のクロック監視機能の構成を示す図である。
ＭＣＵクロック監視部１３は、分周器１３ａと、第１カウンタ１３ｂと、第２カウンタ１３ｃと、異常判定部１３ｄとを備える。
分周器１３ａは、発振子３１が生成した外部クロック信号ＣＬＫ３を所定の分周比で分周し、分周後の外部クロック信号ＣＬＫ３´を第１カウンタ１３ｂ及び第２カウンタ１３ｃに出力する。

第１カウンタ１３ｂは、外部クロック信号ＣＬＫ３´をカウンタの起動／終了を制御する信号として用い、監視対象であるＭＣＵクロック信号ＣＬＫ２のパルスをカウントする。
すなわち、図３に示すように、外部クロック信号ＣＬＫ３´の立ち上がり時点Ｔ１で第１カウンタ１３ｂがスタートし、ＭＣＵクロック信号ＣＬＫ２のカウントを開始する。そして、外部クロック信号ＣＬＫ３´の立ち下がり時点Ｔ２で第１カウンタ１３ｂを停止し、ＭＣＵクロック信号ＣＬＫ２のカウントを終了する。この図３に示す入力信号例では、第１カウンタ１３ｂは、ＭＣＵクロック信号ＣＬＫ２のパルス数＝８をカウントすることになる。

第２カウンタ１３ｃは、上述した第１カウンタ１３ｂと同様に、外部クロック信号ＣＬＫ３´をカウンタの起動／終了を制御する信号として用い、ＡＳＩＣ動作クロック信号ＣＬＫ１´のパルスをカウントする。すなわち、図３に示す入力信号例では、第２カウンタ１３ｃは、ＡＳＩＣ動作クロック信号ＣＬＫ１´のパルス数＝８をカウントすることになる。

異常判定部１３ｄは、第１カウンタ１３ｂでカウントしたＭＣＵクロック信号ＣＬＫ２のパルス数と、第２カウンタ１３ｃでカウントしたＡＳＩＣ動作クロック信号ＣＬＫ１´のパルス数とを踏まえて、クロック異常が発生しているかを判定する。このとき、異常発生していると判定した場合には、異常元を判定する。
この異常判定部１３ｄでは、第１カウンタ１３ｂ及び第２カウンタ１３ｃから受けたパルス数を、それぞれデフォルト値と比較し、予め設定した正常値範囲を超えたクロック信号を異常と判定する。
さらに、この異常判定結果を踏まえて異常元を判定する。異常元判定ロジックを表１に示す。

表１に示すように、異常判定部１３ｄは、第１カウンタ１３ｂでカウントしたＭＣＵクロック信号ＣＬＫ２のパルス数に基づいて、ＭＣＵクロック信号ＣＬＫ２が正常（ＭＣＵクロック信号＝正常）であると判定し、第２カウンタ１３ｃでカウントしたＡＳＩＣ動作クロック信号ＣＬＫ１´のパルス数に基づいて、ＡＳＩＣ動作クロック信号ＣＬＫ１´が異常（ＡＳＩＣクロック信号＝異常）であると判定した場合は、異常元がＡＳＩＣクロック信号、即ち発振子１１であると判断する。

一方、異常判定部１３ｄは、ＭＣＵクロック信号ＣＬＫ２が異常（ＭＣＵクロック信号＝異常）で、ＡＳＩＣ動作クロック信号ＣＬＫ１´が正常（ＡＳＩＣクロック信号＝正常）であると判定した場合は、異常元がＭＣＵクロック信号、即ち発振子２１であると判断する。
また、異常判定部１３ｄは、ＭＣＵクロック信号ＣＬＫ２とＡＳＩＣ動作クロック信号ＣＬＫ１´とが共に異常（ＭＣＵクロック信号＝異常、ＡＳＩＣクロック信号＝異常）であると判定した場合は、異常元が外部クロック信号、即ち発振子３１であると判断する。

そして、異常判定部１３ｄは、ＭＣＵクロック信号ＣＬＫ２とＡＳＩＣ動作クロック信号ＣＬＫ１´とが共に正常（ＭＣＵクロック信号＝正常、ＡＳＩＣクロック信号＝正常）であると判定した場合は、異常元は無いと判断する。
このように、ＡＳＩＣクロック信号の正常／異常の判定結果と、ＭＣＵクロック信号の正常／異常の判定結果とのパターンに対して上記表１の異常元判定ロジックを参照すれば、異常元を特定することができる。
なお、上記表１に示す異常元判定ロジックは、複数クロックが同時に異常とはならないことを前提としている。複数クロック同時異常の発生率は、単一異常発生と比較して桁違いであるため、当該判定ロジックを用いて十分運用可能である。

異常判定部１３ｄは、異常元が相手のクロック信号（監視対象であるＭＣＵクロック信号ＣＬＫ２）であると判定した場合に、クロック切替信号Ｓ１をＭＣＵクロック切替部２２に出力する。これにより、ＭＣＵクロック切替部２２は、ＭＣＵ動作クロック信号ＣＬＫ２´を、異常が発生しているＭＣＵクロック信号ＣＬＫ２から、正常なＡＳＩＣクロック信号ＣＬＫ１へ切り替えて出力するバックアップ状態とする。

同様に、ＡＳＩＣクロック監視部２３は、ＭＣＵクロック切替部２２が出力したＭＣＵ動作クロック信号ＣＬＫ２´と、発振子１１が生成したＡＳＩＣクロック信号ＣＬＫ１と、発振子３１が生成した外部クロック信号ＣＬＫ３とを入力する。そして、これら３つのクロック信号の異常を監視する。
このＡＳＩＣクロック監視部２３も、図２に示すＭＣＵクロック監視部１３と同様に、外部クロック信号ＣＬＫ３を分周した後の外部クロック信号ＣＬＫ３´をカウンタの起動／終了を制御する信号に用い、ＭＣＵ動作クロック信号ＣＬＫ２´とＡＳＩＣクロック信号ＣＬＫ１とのパルス数をそれぞれカウントする。そして、カウントしたパルス数をそれぞれデフォルト値と比較することで、クロック信号の異常を判定すると共に、その異常判定結果を踏まえて異常元を判定する。

このとき、異常元が相手のクロック信号（監視対象であるＡＳＩＣクロック信号ＣＬＫ１）であると判定した場合には、クロック切替信号Ｓ２をＡＳＩＣクロック切替部１２に出力する。これにより、ＡＳＩＣクロック切替部１２は、ＡＳＩＣ動作クロック信号ＣＬＫ１´を、異常が発生しているＡＳＩＣクロック信号ＣＬＫ１から、正常なＭＣＵクロック信号ＣＬＫ２へ切り替えて出力するバックアップ状態とする。

ＡＳＩＣ１のバックアップ状態では、ＭＣＵクロック監視部１３は、発振子２１の異常診断を継続する。すなわち、外部クロック信号ＣＬＫ３´を用いてカウントしたＭＣＵクロック信号ＣＬＫ２のパルス数と上述したデフォルト値との比較によって、ＭＣＵクロック信号ＣＬＫ２の異常判定を行う。そして、このときＭＣＵクロック信号ＣＬＫ２の異常を検出したら、ＥＣＵ停止信号ＦＳ１＝１を出力する。

同様に、ＭＣＵ２のバックアップ状態では、ＡＳＩＣクロック監視部２３は、発振子１１の異常診断を継続する。すなわち、外部クロック信号ＣＬＫ３´を用いてカウントしたＡＳＩＣクロック信号ＣＬＫ１のパルス数と上述したデフォルト値との比較によって、ＡＳＩＣクロック信号ＣＬＫ１の異常判定を行う。そして、このときＡＳＩＣクロック信号ＣＬＫ１の異常を検出したら、ＥＣＵ停止信号ＦＳ２＝１を出力する。

ＭＣＵクロック監視部１３から出力されるＥＣＵ停止信号ＦＳ１と、ＡＳＩＣクロック監視部２３から出力されるＥＣＵ停止信号ＦＳ２とは、図１に示すようにＯＲ回路に入力される。また、ＯＲ回路の出力はＥＣＵ停止制御部４１に入力される。
ＥＣＵ停止制御部４１は、ＯＲ回路から“１”となる出力信号が入力されると、ＥＣＵ１００を停止するフェイルセーフ状態に移行する。すなわち、ＥＣＵ停止信号ＦＳ１及びＦＳ２の少なくとも一方が“１”であるときに、ＥＣＵ１００がフェイルセーフ状態となる。

また、応用機能部１４は、ＡＳＩＣクロック切替部１２が出力したＡＩＳＣ動作クロック信号ＣＬＫ１´を入力し、ＡＳＩＣ１に関する各種処理を行う。同様に、応用機能部２４は、ＭＣＵクロック切替部２２が出力したＭＣＵ動作クロック信号ＣＬＫ２´を入力し、ＭＣＵ２に関する各種処理を行う。
なお、図１の発振子１１が第１発振部に対応し、発振子２１が第２発振部に対応し、ＡＳＩＣクロック監視部２３が第１クロック監視部に対応し、ＭＣＵクロック監視部１３が第２クロック監視部に対応している。また、ＡＳＩＣクロック切替部１２及びＭＣＵクロック切替部２２が動作クロック切替部に対応している。さらに、発振子３１が第３発振部に対応し、ＥＣＵ停止制御部４１が作動停止部に対応している。
また、図２の第１カウンタ１３ｂが第１パルスカウンタに対応し、第２カウンタ１３ｃが第２パルスカウンタに対応している。

次に、本実施形態の動作について詳細に説明する。
初期状態では、ＡＳＩＣ動作クロック信号ＣＬＫ１´は、発振子１１が生成したＡＳＩＣクロック信号ＣＬＫ１であり、ＭＣＵ動作クロック信号ＣＬＫ２´は、発振子２１が生成したＭＣＵクロック信号ＣＬＫ２である。このとき、ＡＳＩＣクロック信号ＣＬＫ１は、ＭＣＵ２に設けられたＡＳＩＣクロック監視部２３によって異常が監視され、ＭＣＵクロック信号ＣＬＫ２は、ＡＳＩＣ１に設けられたＭＣＵクロック監視部１３によって異常が監視される。

このように、ＡＳＩＣ１とＭＣＵ２との両方に、それぞれクロック異常を監視する監視機能を設け、ＡＳＩＣ１の内部クロックをＭＣＵ２の監視機能によって監視し、ＭＣＵ２の内部クロックをＡＳＩＣ１の監視機能によって監視する。すなわち、ＡＳＩＣ１の内部クロックとＭＣＵ２の内部クロックの相互監視を行う。
仮に、内部クロックを自らの監視機能によって監視した場合、監視機能が内部クロックの発振機能と同じ要因に影響され、監視機能が喪失したり、異常誤検出となったりするおそれがあるが、本実施形態では、監視機能が外部の物理的に独立なチップで実行されるため、上記のような共通要因から受ける影響が少ない。そのため、監視機能の喪失や異常誤検出を抑制することができる。

発振子１１，２１，３１が何れも正常に動作している場合、発振子３１が生成した外部クロック信号ＣＬＫ３を用いてカウントしたＡＳＩＣクロック信号ＣＬＫ１及びＭＣＵクロック信号ＣＬＫ２のパルス数は、それぞれ正常値範囲内となる。そのため、ＭＣＵクロック監視部１３及びＡＳＩＣクロック監視部２３は、それぞれＡＳＩＣクロック信号ＣＬＫ１及びＭＣＵクロック信号ＣＬＫ２が正常であると判定し、上記表１に示す異常元判定ロジックに基づいて、異常元は無いと判定する。
したがって、ＡＳＩＣクロック切替部１２は、そのまま発振子１１が生成したＡＳＩＣクロック信号ＣＬＫ１をＡＳＩＣ動作クロック信号ＣＬＫ１´として出力する。また、ＭＣＵクロック切替部２２も、そのまま発振子２１が生成したＭＣＵクロック信号ＣＬＫ２をＭＣＵ動作クロック信号ＣＬＫ２´として出力する。

この正常状態から、例えば発振子２１のみに異常が発生すると、発振子３１が生成した外部クロック信号ＣＬＫ３を用いてカウントしたＭＣＵクロック信号ＣＬＫ２のパルス数が、正常値範囲外となる。この場合、ＭＣＵクロック監視部１３及びＡＳＩＣクロック監視部２３は、それぞれＡＳＩＣクロック信号ＣＬＫ１が正常であり、ＭＣＵクロック信号ＣＬＫ２が異常であると判定する。そのため、上記表１に示す異常元判定ロジックに基づいて、異常元が発振子２１であると判定する。

このように、クロック異常の監視を、単純にＡＳＩＣクロック信号ＣＬＫ１とＭＣＵクロック信号ＣＬＫ２との比較により行うのではなく、外部クロック信号ＣＬＫ３を用いた比較を用いるため、ＡＳＩＣクロック信号ＣＬＫ１及びＭＣＵクロック信号ＣＬＫ２の何れか一方が異常となった場合には、どちらで異常が発生しているかを適切に判定することができる。

異常元が発振子２１であると判定すると、ＭＣＵクロック信号ＣＬＫ２を監視対象としているＭＣＵクロック監視部１３は、クロック切替信号Ｓ１をＭＣＵクロック切替部２２に対して出力する。これにより、ＭＣＵクロック切替部２２は、ＭＣＵ動作クロック信号ＣＬＫ２´を、異常が発生しているＭＣＵクロック信号ＣＬＫ２から正常なＡＳＩＣクロック信号ＣＬＫ１に切り替える。すなわち、ＭＣＵ２は、このＡＳＩＣクロック信号ＣＬＫ１を動作クロックとして代用するバックアップ状態となり、元機能を継続することができる。

このＭＣＵ２のバックアップ状態では、ＡＳＩＣクロック監視部２３は、発振子３１が生成した外部クロック信号ＣＬＫ３を用いてＡＳＩＣクロック信号ＣＬＫ１を監視し続ける。すなわち、外部クロック信号ＣＬＫ３を用いてカウントしたＡＳＩＣクロック信号ＣＬＫ１のパルス数が正常値範囲内であるか否かを判定することで、ＡＳＩＣクロック信号ＣＬＫ１が正常であるか否かを判断する。

このように、本実施形態では、クロック異常の監視を、単純にＡＳＩＣクロック信号ＣＬＫ１とＭＣＵクロック信号ＣＬＫ２との比較により行うのではなく、外部クロック信号ＣＬＫ３を用いた比較を用いるため、ＡＳＩＣクロック信号ＣＬＫ１及びＭＣＵクロック信号ＣＬＫ２の何れか一方が異常となった場合でも、残りの正常クロックの監視を継続させることができる。したがって、この状態からＡＳＩＣクロック信号ＣＬＫ１にも異常が発生すると、ＡＳＩＣクロック監視部２３でこれを適切に検出することができる。
ＭＣＵ２のバックアップ状態で、ＡＳＩＣクロック監視部２３がＡＳＩＣクロック信号ＣＬＫ１の異常を検出すると、当該ＡＳＩＣクロック監視部２３はＥＣＵ停止信号ＦＳ２＝１を出力する。すると、ＥＣＵ停止制御部４１は、これを受けてＥＣＵ１００を停止する。このように、ＥＣＵ１００をフェイルセーフ状態に遷移させることができる。

以上のように、本実施形態では、ＡＳＩＣとＭＣＵの両方がクロック監視機能を持ち、相互に内部クロックを監視する。したがって、監視機能が内部クロックの発振機能と同じ要因に影響されるのを抑制することができる。その結果、監視機能の喪失や異常誤検出を抑制することができる。

また、クロック異常の監視に際し、ＡＳＩＣやＭＣＵとは物理的な独立性を持つ第３の発振子を設け、その第３の発振子が生成した外部クロック信号を参照するため、クロック異常が発生した場合には、その異常が自らのクロック異常であるのか相手のクロック異常であるのかを判定することができる。
そのため、ＡＳＩＣとＭＣＵとのうち、どちらか一方の内部クロックが異常であると診断された場合、異常側にクロック切替指示を出すことで、クロック切替指示の受け側は自らのクロックを内部クロックから外部の正常クロックに切り替えることができる。このように、ＡＳＩＣやＭＣＵは、自らの内部クロックに異常が発生しても、相手のクロックを利用して元機能を維持するバックアップ状態とすることができる。このように、クロック異常の発生元を適切に特定することができるので、信頼性の高いバックアップ機能を実現することができる。

また、ＡＳＩＣとＭＣＵとの何れか一方の内部クロックが異常となっても、バックアップ状態で、残り正常クロックの監視を継続することができる。そして、残り正常クロックの異常を検出した場合には、ＥＣＵの動作を停止するフェイルセーフ状態とすることができる。

１…ＡＳＩＣ、１１…発振子（第１発振部）、１２…ＡＳＩＣクロック切替部（動作クロック切替部）、１３…ＭＣＵクロック監視部（第２クロック監視部）、１３ａ…分周器、１３ｂ…第１カウンタ（第１パルスカウンタ）、１３ｃ…第２カウンタ（第２パルスカウンタ）、１３ｄ…異常判定部、１４…応用機能部、２１…発振子（第２発振部）、２２…ＭＣＵクロック切替部（動作クロック切替部）、２３…ＡＳＩＣクロック監視部（第１クロック監視部）、２４…応用機能部、３１…発振子（第３発振部）、４１…ＥＣＵ停止制御部（作動停止部）、ＣＬＫ１…ＡＳＩＣクロック信号（第１クロック信号）、ＣＬＫ２…ＭＣＵクロック信号（第２クロック信号）、ＣＬＫ３…外部クロック信号（第３クロック信号）、Ｓ１，Ｓ２…クロック切替信号、１００…ＥＣＵ

Claims (6)

1. 第１チップに搭載され、該第１チップの動作クロック信号として第１クロック信号を生成する第１発振部と、
   前記第１チップとは物理的な独立性を有する第２チップに搭載され、該第２チップの動作クロック信号として第２クロック信号を生成する第２発振部と、
   前記第２チップに搭載され、前記第１発振部で生成した第１クロック信号を監視対象クロック信号として、当該監視対象クロック信号の異常を前記第２チップの動作クロック信号を用いて監視する第１クロック監視部と、
   前記第１チップに搭載され、前記第２発振部で生成した第２クロック信号を監視対象クロック信号として、当該監視対象クロック信号の異常を前記第１チップの動作クロック信号を用いて監視する第２クロック監視部と、を備えることを特徴とするクロック監視装置。
2. 前記第１クロック監視部及び前記第２クロック監視部の何れか一方で監視対象クロック信号の異常を検出したとき、
   異常が検出されたクロック信号を動作クロック信号としているチップにおいて、当該動作クロック信号を、前記第１クロック信号及び前記第２クロック信号のうち異常が非検出である正常クロック信号に切り替え、バックアップ状態とする動作クロック切替部を備えることを特徴とする請求項１に記載のクロック監視装置。
3. 前記第１チップ及び前記第２チップとは物理的な独立性を有し、第３クロック信号を生成する第３発振部を備え、
   前記第１クロック監視部及び前記第２クロック監視部は、
   前記第３クロック信号に基づいて設定された所定期間内における自身の監視対象クロック信号のパルス数をカウントする第１パルスカウンタと、
   前記所定期間おける自身が搭載されたチップの動作クロック信号のパルス数をカウントする第２パルスカウンタと、
   前記第１パルスカウンタでカウントしたパルス数と前記第２パルスカウンタでカウントしたパルス数とに基づいて、自身の監視対象クロック信号、自身が搭載されたチップの動作クロック信号及び前記第３クロック信号のうち、異常が発生しているクロック信号を判定する異常判定部と、をそれぞれ備えることを特徴とする請求項２に記載のクロック監視装置。
4. 前記動作クロック切替部によるバックアップ状態では、
   前記第１クロック監視部及び前記第２クロック監視部の何れか一方は、前記第１パルスカウンタでカウントしたパルス数に基づいて、前記正常クロック信号の監視を継続することを特徴とする請求項３に記載のクロック監視装置。
5. 前記動作クロック切替部によるバックアップ状態で、前記第１クロック監視部及び前記第２クロック監視部の何れか一方で前記正常クロック信号の異常を検出したとき、前記第１チップ及び前記第２チップの作動を停止する作動停止部を備えることを特徴とする請求項４に記載のクロック監視装置。
6. 前記第１チップはＡＳＩＣであり、前記第２チップはＭＣＵであることを特徴とする請求項１〜５の何れか１項に記載のクロック監視装置。
   

Images