JP2557809Y2

JP2557809Y2 - 暴走監視装置

Info

Publication number: JP2557809Y2
Application number: JP1991104444U
Authority: JP
Inventors: 学平尾
Original assignee: 日本電気ホームエレクトロニクス株式会社
Priority date: 1991-12-18
Filing date: 1991-12-18
Publication date: 1997-12-17
Anticipated expiration: 2006-12-18
Also published as: JPH0552945U

Description

【考案の詳細な説明】

【０００１】

【産業上の利用分野】この考案は、第１のＣＰＵと第２
のＣＰＵとが相互に監視し合うことで暴走監視機能を高
めた暴走監視装置に関する。

【０００２】

【従来の技術】図３に示す暴走監視装置１は、衝突事故
にさいして車両の乗員を保護するエアバッグ装置に搭載
されたＣＰＵ２の暴走を監視するための装置である。Ｃ
ＰＵ２は、車両の速度変化や加速度変化を総合的に判断
し、車両の衝突を判定したときに即座にエアバッグを展
開動作させる使命を帯びており、衝突判定のためのプロ
グラムを消化実行する。ただし、車両が衝突してもいな
いときにＣＰＵ２が暴走してエアバッグの展開信号を出
力することがないよう、ＣＰＵ２の動作は常に厳重に監
視する必要があり、このためＣＰＵ２を診断して監視す
るためのウォッチドッグ回路３が、一定の周期でもって
ＣＰＵ２の診断を繰り返すよう構成してある。

【０００３】本例に示したウォッチドッグ回路３はカウ
ンタ４を内蔵しており、まず車載電源の投入を受けて、
ウォッチドッグ回路３は内蔵するカウンタ４が零から計
数動作を開始する。そして、カウンタ４の計数値が一定
値に達した時点で桁上がりを示すキャリーアウト信号を
出力する。ウォッチドッグ回路３のキャリーアウト出力
端子は、監視対象であるＣＰＵ２の強制割り込み入力端
子（ＮＭＩバー）に接続されているため、キャリーアウ
ト信号を受けたＣＰＵ２は、メインルーチンの処理動作
を中断して応答動作に入る。ここでは、ウォッチドッグ
回路３内のカウンタ４をＣＰＵ２がクリアすることで応
答する構成としてあり、カウンタ４の計数値をクリアで
きるのはＣＰＵ２からのクリアパルスに限られる。この
ため、ＣＰＵ２が正常に動作している場合は、カウンタ
４がオーバフローする前にＣＰＵ２が出力するクリアパ
ルスによりカウンタ４はクリアされる。しかし、ＣＰＵ
２の動作に異常が発生した場合、すなわち暴走が発生し
た場合は、ＣＰＵ２はクリアパルスを出力しないため、
カウンタ４はオーバフローしてしまい、オーバフローと
同時にウォッチドッグ回路３からＣＰＵ２に対して動作
停止命令が出力される。

【０００４】

【考案が解決しようとする課題】上記従来の暴走監視装
置１は、ウォッチドッグ回路３がカウンタ４の計数周期
でもってＣＰＵ２を監視する構成であるため、ウォッチ
ドッグ回路３内のカウンタ４が正常に動作している場合
は、ＣＰＵ２の異常をクリアパルスの出力が途絶えたこ
とをもって検出することができる。しかし、ＣＰＵ２を
診断監視する立場にあるウォッチドッグ回路３の側でな
んらかの異常が発生し、カウンタ４の計数動作が停止し
てしまった場合は、キャリーアウト信号がＣＰＵ２に供
給されなくなるため、ＣＰＵ２がクリアパルスを出力し
なくともカウンタ４がオーバフローに至ることはなく、
そのためにウォッチドッグ回路３はＣＰＵ２に対する監
視機能を放棄したに等しい状態に陥ってしまう。従っ
て、こうした状況下で仮にＣＰＵ２が暴走した場合に
は、ウォッチドッグ回路３の異常に気付かないままＣＰ
Ｕ２の暴走も看過されてしまうために、いざというとき
にエアバッグが展開せず、高価なシステムが人命保護に
まったく役立たないことがあるといった課題を抱えてい
た。また、エアバッグ装置に限らず、人命に拘わるよう
な高い信頼性が要求される他のシステムにおいても、Ｃ
ＰＵ２とその動作を監視するウォッチドッグ回路３につ
いて同様の課題を抱えていた。また、特開平１−１０３
７５０号「マイクロコンピュータの暴走検出回路の試験
方法」には、マイクロコンピュータが動作開始時に故意
に正常な周波数範囲から逸脱した周波数の信号を出力
し、暴走検出回路がリセット信号を出力するか否かを試
験するようにした試験方法が開示されている。しかしな
がら、この方法は、動作開示時にだけ暴走検出回路の異
常の有無をチェックするだけであり、マイクロコンピュ
ータの動作期間中に定期的に暴走検出回路の異常の有無
をチェックすることはできない等の課題を抱えるもので
あった。また、マイクロコンピュータが暴走検出回路に
出力する信号は、アンチスキッド装置に用いるポンピン
グ信号と呼ばれる３０Ｈｚの信号であり、このポンピン
グ信号が２０Ｈｚ以下或いは４０Ｈｚ以上となったとき
にマイクロコンピュータに異常が発生したものとしてリ
セット信号を発するため、周波数弁別精度が低下したと
きに診断精度自体も低下するといった課題を抱えるもの
であった。また、特開昭６２−７２０３８号「プログラ
ム暴走検出装置の試験方法」には、計算機の稼働状態に
影響を与えることなく計算機暴走監視用のウォッチドッ
グタイマの試験を可能にした装置が開示されている。こ
のものは、暴走監視時間として２秒間が設定されたウォ
ッチドッグタイマが、プログラムが暴走していないとき
は０〜０．１秒のカウントを繰り返すが、プログラムが
暴走したときは、計算機がウォッチドッグタイマのリス
タートプログラムが実行できなくなったことを受け、２
秒後にプログラムの暴走を検出するようになっている。
すなわち、ウォッチドッグタイマの計時機能によりリス
タートプログラムの繰り返し周期を監視しているが、ウ
ォッチドッグタイマの試験に関しては、６０秒単位で実
行するテストプログラムを実行する必要があり、しかも
その場合に切替装置を切り替えることで、ウォッチドッ
グタイマの出力信号を計算機状態表示器や自動起動装置
を迂回させて計算機に帰還させるようにする必要があ
り、このためウォッチドッグタイマの出力を計算機に迂
回帰還させるための手段として切替装置と信号入力装置
が必要であり、かつまた切替装置のための切り替え信号
を出力する切り替え信号出力装置も必要であるため、装
置全体の構成が複雑化しやすいといった課題を抱えるも
のであった。また、ウォッチドッグタイマの試験は、故
意にリスタートプログラムを実行しないことで暴走検出
信号を出力させる方法によっており、しかも２秒経過後
に暴走検出信号が得られれば問題なしとしているため、
例えばウォッチドッグタイマの計時動作自体の劣化で１
０秒経過後に暴走検出信号が得られた場合でも、ウォッ
チドッグタイマに異常無しと判断してしまう危険がある
等の課題があった。また、特開平３−２０４０４０号
「マイクロコンピュータ用暴走監視回路の診断装置」に
は、マイクロコンピュータから所定周期で出力されるプ
ログラムラン信号が途絶えたときにリセット信号を出力
する暴走監視回路について、例えば電源投入時等の診断
時には、暴走監視回路の出力端子とマイクロコンピュー
タのリセット端子の接続を遮断し、マイクロコンピュー
タにリセットがかからないようにした上で、マイクロコ
ンピュータから通常のプログラムラン信号に代えて診断
用プログラムラン信号を暴走監視回路に与え、このとき
の暴走監視回路の出力を読み込んで暴走監視回路の異常
の有無を診断するようにした装置が開示されている。し
かしながら、このものは、暴走監視回路は暴走監視のた
めだけに存在するものであり、マイクロコンピュータの
仕事を分担して処理するものではないため、マイクロコ
ンピュータと暴走監視回路がそれぞれの稼働期間におい
て定期的に相互監視するといった必然性は存在せず、暴
走監視回路の診断は電源投入時に行えば十分であり、ま
た暴走監視回路の診断にしても、プログラムラン信号の
周期をＴとしたときに、周期Ｔの下限許容値と上限許容
値の間の診断用プログラムラン信号に対して暴走監視回
路がリセット信号を出力せず、また下限許容値に満たな
いか又は上限許容値を越える周期の診断用プログラムラ
ン信号に対してリセット信号を出力する場合に正常であ
ると判断するだけであり、周期が異なる３種類の診断用
プログラムラン信号を用意する必要があるため、診断動
作が複雑で面倒である等の課題を抱えるものであった。
さらにまた、特開平２−７３４５１号「制御装置」に
は、複数のＣＰＵの動作状態を他のＣＰＵに監視させる
ことにより、最終的に１つのリセット手段によりシステ
ムリセット信号を発生させ、パルス検出回路を省略する
ようにした装置が開示されている。しかしながら、この
ものは、４基のＣＰＵに主従関係をもたせ、主ＣＰＵか
ら従ＣＰＵに向けてパルス信号を出力して順繰りに監視
するだけであり、従ＣＰＵがウォッチドッグタイマの役
割を果たしているに過ぎず、主ＣＰＵと従ＣＰＵとが診
断信号をキャッチボールしながら相互診断するものでな
いため、迅速できめ細かな診断ができない等の課題を抱
えるものであった。

【０００５】

【課題を解決するための手段】この考案は、上記課題を
解決したものであり、それぞれが固有の動作プログラム
に従って動作する第１のＣＰＵと第２のＣＰＵが相互に
監視し合い、いずれか少なくとも一方のＣＰＵに異常が
発生したときに停止回路が両ＣＰＵを強制的に停止させ
る暴走監視装置において、前記第１のＣＰＵは、所定の
プログラムの実行に伴い所定のタイミングでクリアパル
スを発生するとともに、前記第２のＣＰＵの計数動作を
一定の診断期間を指定して診断し、該計数動作に異常が
ある場合に異常検出信号を出力し、前記第２のＣＰＵ
は、前記クリアパルスによりリセットされたのち計数動
作を開始し、計数値が所定の上限値に達するまでに前記
クリアパルスが再度入力されない場合は、前記第１のＣ
ＰＵが異常であることを示すキャリーアウト信号を出力
し、前記停止回路は、前記第１のＣＰＵから異常検出信
号が供給されるか又は前記第２のＣＰＵが前記キャリー
アウト信号が供給されたときに、該両ＣＰＵを強制的に
停止させることを特徴とするものである。さらに、本発
明は、前記第１のＣＰＵが、前記第２のＣＰＵに対し診
断モードを指定し、前記第２のＣＰＵから供給される計
数出力を監視することによって、前記第２のＣＰＵの計
数動作と該計数動作のリセット及び計数限界を示すキャ
リーアウト信号の出力の有無を診断し、前記診断モード
の指定を解除したあとは、前記第２のＣＰＵが前記キャ
リーアウト信号を出力する前にクリアパルスを発生して
前記計数動作をリセットし、前記第２のＣＰＵが、前記
第１のＣＰＵにより前記診断モードを指定されたとき
は、前記キャリーアウト信号を前記第１のＣＰＵに供給
するとともに、前記診断モードを解除されたときは、前
記キャリーアウト信号を異常検出信号として前記停止回
路に出力することを特徴とするものである。

【０００６】

【作用】この考案は、それぞれが固有の動作プログラム
に従って動作する第１のＣＰＵと第２のＣＰＵが相互監
視し、第１のＣＰＵが所定のプログラムの実行に伴い所
定のタイミングでクリアパルスを発生する一方、第２の
ＣＰＵは前記クリアパルスによりリセットされたのち計
数動作を開始し、計数値が所定の上限値に達するまでに
前記クリアパルスが再度入力されない場合は、前記第１
のＣＰＵが異常であるとしてキャリーアウト信号を発生
し、クリアパルス発生後に第１のＣＰＵが一定の診断期
間を指定して第２のＣＰＵの計数動作を診断し、計数動
作の異常を検出したときに出力される異常検出信号か又
は前記キャリーアウト信号が停止回路に供給されたとき
に、両ＣＰＵを強制的に停止させる。

【０００７】

【実施例】以下、この考案の実施例について、図１，２
を参照して説明する。図１は、この考案の暴走監視装置
の一実施例を示す回路構成図、図２は、図１に示した主
ＣＰＵと従ＣＰＵの動作を説明するためのフローチャー
トである。

【０００８】図１に示す暴走監視装置１１は、第１のＣ
ＰＵとしての主ＣＰＵ１２の動作を監視するため従来の
ウォッチドッグ回路に代えて、第２のＣＰＵとして従Ｃ
ＰＵ１３を設け、主従の関係にあるこれら一対のＣＰＵ
１２，１３を相互監視させるとともに、両ＣＰＵ１２，
１３に停止信号を入力するための停止回路１４を設けて
構成したものである。主ＣＰＵ１２は、例えば車載用エ
アバッグ装置を動作させるためのプログラムを含むメイ
ンルーチンを実行するものであり、対する従ＣＰＵ１３
は、主ＣＰＵ１２の動作を補完する立場にあり、主ＣＰ
Ｕ１２の管轄外の仕事に対して所定のメインルーチンを
実行する。

【０００９】実施例に示した主ＣＰＵ１２は、従ＣＰＵ
１３側から供給される計数出力を監視し、計数動作に異
常があれば異常検出信号を出力する。また、従ＣＰＵ１
３に対し診断モードを指定し、計数動作の外に計数動作
のリセットの成否及び計数限界を示すキャリーアウト信
号の出力の有無を診断し、異常があれば異常検出信号を
出力するとともに、診断モードの指定を解除したあと
は、従ＣＰＵ１３側からキャリーアウト信号が出力され
る前にクリアパルスを発生して計数動作をリセットす
る。

【００１０】従ＣＰＵ１３は、主ＣＰＵ１２に対し計数
出力とキャリーアウト信号を供給する計数手段１５を内
蔵する。この計数手段１５は、８ビットのカウンタ１６
とカウンタ１６のキャリーアウト信号の出力先を切り替
える切り替えスイッチ１７からなる。カウンタ１６は、
主ＣＰＵ１２から送り込まれるクリアパルスによって計
数値を零にリセットされ、８ビットの計数出力をデータ
バスを介して主ＣＰＵ１２に送り出す。切り替えスイッ
チ１７は、主ＣＰＵ１２から送り込まれる診断モードパ
ルスによって切り替えられ、診断モードにあっては主Ｃ
ＰＵ１２側の接点に切り替わり、カウンタ１６が出力す
るキャリーアウト信号を主ＣＰＵ１２に送り出す。ま
た、これとは逆に診断モードを解除されたときは、切り
替えスイッチ１７は停止回路１４側の接点に切り替わ
り、キャリーアウト信号を異常検出信号として停止回路
１４に供給する。

【００１１】停止回路１４は、主ＣＰＵ１２が出力する
異常検出信号と従ＣＰＵ１３が出力する異常検出信号を
受信し、これらの異常検出信号のいずれか少なくとも一
方を受信したときに主ＣＰＵ１２と従ＣＰＵ１３の各強
制割り込み入力端子（ＮＭＩバー）に停止信号を送り込
み、主ＣＰＵ１２と従ＣＰＵ１３の動作を強制的に停止
させる働きをする。

【００１２】ここで、図２のステップ（１００）におい
て電源を投入すると、主ＣＰＵ１２と従ＣＰＵ１３は、
それぞれステップ（１０１）以下と（２０１）以下に示
すフローに沿って診断動作を実行する。まず、主ＣＰＵ
１２側から従ＣＰＵ１３を診断するため、ステップ（１
０１）において、診断モードパルスのアクティブ出力を
送り出す。一方、従ＣＰＵ側では、ステップ（２０１）
に示したように、電源の投入を受けてカウンタ１６をセ
ットし、カウンタ１６による計数動作を開始し、続くス
テップ（２０２）に示したように、主ＣＰＵ１２から診
断モードパルスが供給されるのを待つ。

【００１３】判断ステップ（２０３）において、診断モ
ードパルスがいつまでたってもアクティブとならず、カ
ウンタ１６がオーバフローした場合は、従ＣＰＵ１３
は、判断ステップ（２０４）において、オーバフローと
ともに異常検出信号を停止回路１４に送り込む。その結
果、ステップ（３００）において停止回路１４から主Ｃ
ＰＵ１２と従ＣＰＵ１３に対しそれぞれ停止信号が出力
され、システムは動作を停止する。一方、主ＣＰＵ１２
からの診断モードパルスがアクティブになった場合は、
判断ステップ（２０３）に続くステップ（２０５）にお
いて、切り替えスイッチ１７が主ＣＰＵ１２側の接点に
切り替わり、これによりカウンタ１６のキャリーアウト
信号が、切り替えスイッチ１７を介して主ＣＰＵ１２に
供給されるようになる。

【００１４】診断モードパルスをアクティブ出力し、従
ＣＰＵ１３に対し診断モードを指定した主ＣＰＵ１２
は、ステップ（１０２）において、まずカウンタ１６の
リセット機能を診断する。すなわち、主ＣＰＵ１２から
カウンタ１６に対してクリアパルスを供給したときに、
カウンタ１６の計数出力が零に切り替わるかをチェック
するのである。また、続くステップ（１０３）におい
て、カウンタ１６の計数機能を診断する。すなわち、零
リセットされたカウンタ１６の計数値が歩進的に増加す
るかどうかをチェックする。さらに、続くステップ（１
０４）において、カウンタ１６の桁上げ機能を診断す
る。すなわちカウンタ１６が計数限界においてキャリー
アウト信号を出力するかどうかチェックする。そして、
これら３種類の診断の結果、カウンタ１６のリセット機
能と計数機能及び桁上げ機能になんら問題がない場合
は、判断ステップ（１０５）に続くステップ（１０６）
において、診断モードパルスをノンアクティブに切り替
え、従ＣＰＵ１３に対する診断モードの指定を解除す
る。ただし、上記３種類の機能のうち、いずれか一つで
も機能に異常が検出された場合は、主ＣＰＵ１２から停
止回路１４に対して異常検出信号が供給され、ステップ
（３００）においてシステムは動作停止する。

【００１５】これに対し、従ＣＰＵ１３側では、ステッ
プ（２０５）において切り替えスイッチ１７が主ＣＰＵ
１２側の接点に切り替わった後、ステップ（２０６）に
おいて診断モードパルスがノンアクティブに切り替わる
のを待つ。そして、診断モードパルスがノンアクティブ
に切り替わり、診断モードが解除されることで、判断ス
テップ（２０７）に続くステップ（２０８）において、
カウンタ１６のキャリーアウト信号が停止回路１４に供
給される状態に復帰する。このため、主ＣＰＵ１２によ
る従ＣＰＵ１３に対する診断が完了したあとは、カウン
タ１６の計数出力を監視する主ＣＰＵ１２が、カウンタ
１６が計数限界を越える前にクリアパルスを出力するこ
とで、異常検出信号であるキャリーアウト信号の停止回
路１４への供給が阻止される。ただし、主ＣＰＵ１２に
異常が発生した場合は、カウンタ１６のキャリーアウト
信号が切り替えスイッチ１７を介して停止回路１４に供
給され、主ＣＰＵ１２も従ＣＰＵ１３もともに動作を停
止する。

【００１６】このように、暴走監視装置１１によれば、
主ＣＰＵ１２が、従ＣＰＵ１３が内蔵する切り替えスイ
ッチ１７に対し診断モードを指定し、カウンタ１６の計
数動作の外に計数動作のリセットの成否及び計数限界を
示すキャリーアウト信号の出力の有無を診断し、異常が
あれば異常検出信号を出力し、診断モードの指定を解除
したあとは、カウンタ１６のキャリーアウト信号が出力
される前にクリアパルスを発生して計数動作をリセット
する。一方、カウンタ１６を内蔵する従ＣＰＵ１３は、
主ＣＰＵ１２により診断モードを指定されたときは、カ
ウンタ１６のキャリーアウト信号を主ＣＰＵ１２に供給
するとともに、診断モードを解除されたときは、カウン
タ１６のキャリーアウト信号を異常検出信号として出力
する。そして、停止回路１４が、いずれの異常検出信号
によっても主ＣＰＵ１２と従ＣＰＵ１３の動作を強制的
に停止させる。従って、主ＣＰＵ１２は診断モードを指
定したときに従ＣＰＵ１３が内蔵するカウンタ１６から
供給される計数出力とキャリーアウト信号を監視するこ
とで、カウンタ１６の計数機能とリセット機能及び桁上
がり機能を診断することができ、一方また従ＣＰＵ１３
は主ＣＰＵ１２が出力する診断モードを指定する診断モ
ードパルスとカウンタ１６の計数動作をリセットするク
リアパルスを監視することで、主ＣＰＵ１２の動作を診
断することができる。このため、従ＣＰＵ１３のカウン
タ１６がオーバフローする前に主ＣＰＵ１２側からリセ
ットをかけるといった従ＣＰＵ１３による主ＣＰＵ１２
の動作監視と、主ＣＰＵ１２側から診断モードを指定し
て行う従ＣＰＵ１３の動作監視がともに可能であり、主
ＣＰＵ１２と従ＣＰＵ１３が相互に相手方の動作を診断
して互いに監視し合うため、主ＣＰＵ１２と従ＣＰＵ１
３のどちらかが暴走した場合でも、必ず両ＣＰＵ１２，
１３の動作を停止させることができ、これによりシステ
ム全体の安全を確保することができる。

【００１７】

【考案の効果】以上説明したように、この考案は、それ
ぞれが固有の動作プログラムに従って動作する第１のＣ
ＰＵと第２のＣＰＵが相互監視し、第１のＣＰＵが所定
のプログラムの実行に伴い所定のタイミングでクリアパ
ルスを発生する一方、第２のＣＰＵは前記クリアパルス
によりリセットされたのち計数動作を開始し、計数値が
所定の上限値に達するまでに前記クリアパルスが再度入
力されない場合は、前記第１のＣＰＵが異常であるとし
てキャリーアウト信号を発生し、クリアパルス発生後に
第１のＣＰＵが一定の診断期間を指定して第２のＣＰＵ
の計数動作を診断し、計数動作の異常を検出したときに
出力される異常検出信号か又は前記キャリーアウト信号
が停止回路に供給されたときに、前記第１のＣＰＵと第
２のＣＰＵを強制的に停止させる構成としたから、第１
のＣＰＵはクリアパルスを発生したのち一定の診断期間
を指定して第２のＣＰＵの計数機能を診断することがで
き、従って診断期間を除いては第１のＣＰＵは本来消化
すべき仕事に専念することができ、一方また第２のＣＰ
Ｕは第１のＣＰＵが出力するクリアパルスを監視するこ
とで、第１のＣＰＵの動作を診断することができ、計数
動作は内蔵カウンタに任せることができ、しかもクリア
パルスの監視はそれ自体格別な負担ではないため、第２
のＣＰＵについても相互監視に労力を奪われて本来消化
すべき仕事に影響が及ぶことはなく、これにより第２の
ＣＰＵによる第１のＣＰＵの動作監視と、第１のＣＰＵ
側からの第２のＣＰＵの動作監視がともに僅かな労力負
担で可能であり、第１のＣＰＵと第２のＣＰＵが常に相
手方の動作を診断して互いに監視し合うため、第１のＣ
ＰＵと第２のＣＰＵのどちらかが暴走した場合でも、必
ず両ＣＰＵの動作を停止させることができ、これにより
システム全体の安全を確保することができ、特にＣＰＵ
の暴走がそのまま災害に結び付くような非常に高い信頼
性が要求されるシステムに好適である等の優れた効果を
奏する。

【００１８】また、この考案は、第１のＣＰＵが、第２
のＣＰＵに対し診断モードを指定し、第２のＣＰＵから
供給される計数出力を監視することによって、第２のＣ
ＰＵの計数動作と該計数動作のリセット及び計数限界を
示すキャリーアウト信号の出力の有無を診断し、診断モ
ードの指定を解除したあとは、第２のＣＰＵがキャリー
アウト信号を出力する前にクリアパルスを発生して前記
計数動作をリセットし、対する第２のＣＰＵは、第１の
ＣＰＵにより診断モードを指定されたときは、キャリー
アウト信号を第１のＣＰＵに供給するとともに、診断モ
ードを解除されたときは、キャリーアウト信号を異常検
出信号として前記停止回路に出力する構成としたから、
第１のＣＰＵは第２のＣＰＵから供給される計数出力と
キャリーアウト信号を監視することで、第２のＣＰＵの
計数機能とリセット機能及び桁上がり機能を診断するこ
とができ、一方また第２のＣＰＵは第１のＣＰＵが出力
する診断モードを指定するパルスと計数動作をリセット
するパルスを監視することで、第１のＣＰＵの動作を診
断することができ、これにより第２のＣＰＵ側の計数出
力がオーバフローする前に第１のＣＰＵ側からクリアを
かけるといった第２のＣＰＵによる第１のＣＰＵの動作
監視と、第１のＣＰＵ側から診断モードを指定して行う
第２のＣＰＵの動作監視がともに可能であり、第１のＣ
ＰＵと第２のＣＰＵが常に相手方の動作を診断して互い
に監視し合うことで、第１のＣＰＵと第２のＣＰＵのど
ちらかが暴走した場合でも、必ず両ＣＰＵの動作を停止
させることができ、システム全体の安全を確保すること
ができる等の効果を奏する。

【図面の簡単な説明】

【図１】この考案の暴走監視装置の一実施例を示す回路
構成図である。

【図２】図１に示した主ＣＰＵと従ＣＰＵの動作を説明
するためのフローチャートである。

【図３】従来の暴走監視装置の一例を示す回路構成図で
ある。

【符号の説明】

１１暴走監視装置１２第１のＣＰＵ（主ＣＰＵ）１３第２のＣＰＵ（従ＣＰＵ）１４停止回路１５計数手段

Claims

(57)【実用新案登録請求の範囲】

【請求項１】それぞれが固有の動作プログラムに従っ
て動作する第１のＣＰＵと第２のＣＰＵが相互に監視し
合い、いずれか少なくとも一方のＣＰＵに異常が発生し
たときに停止回路が両ＣＰＵを強制的に停止させる暴走
監視装置において、前記第１のＣＰＵは、所定のプログ
ラムの実行に伴い所定のタイミングでクリアパルスを発
生するとともに、前記第２のＣＰＵの計数動作を一定の
診断期間を指定して診断し、該計数動作に異常がある場
合に異常検出信号を出力し、前記第２のＣＰＵは、前記
クリアパルスによりリセットされたのち計数動作を開始
し、計数値が所定の上限値に達するまでに前記クリアパ
ルスが再度入力されない場合は、前記第１のＣＰＵが異
常であることを示すキャリーアウト信号を出力し、前記
停止回路は、前記第１のＣＰＵから異常検出信号が供給
されるか又は前記第２のＣＰＵが前記キャリーアウト信
号が供給されたときに、該両ＣＰＵを強制的に停止させ
ることを特徴とする暴走監視装置。
【請求項２】前記第１のＣＰＵは、前記第２のＣＰＵ
に対し診断モードを指定し、前記第２のＣＰＵから供給
される計数出力を監視することによって、前記第２のＣ
ＰＵの計数動作と該計数動作のリセット及び計数限界を
示すキャリーアウト信号の出力の有無を診断し、前記診
断モードの指定を解除したあとは、前記第２のＣＰＵが
前記キャリーアウト信号を出力する前にクリアパルスを
発生して前記計数動作をリセットし、前記第２のＣＰＵ
は、前記第１のＣＰＵにより前記診断モードを指定され
たときは、前記キャリーアウト信号を前記第１のＣＰＵ
に供給するとともに、前記診断モードを解除されたとき
は、前記キャリーアウト信号を異常検出信号として前記
停止回路に出力することを特徴とする請求項１記載の暴
走監視装置。