JP4505057B2

JP4505057B2 - データ処理回路を監視する方法と回路

Info

Publication number: JP4505057B2
Application number: JP52883296A
Authority: JP
Inventors: ツィデック、ミヒャエル; フェイ、ボルフガング; ツィンケ、オラフ; エンゲルマン、マリオ
Original assignee: アイティーティー・オートモーティブ・ヨーロップ・ゲーエムベーハー
Priority date: 1995-03-31
Filing date: 1996-02-21
Publication date: 2010-07-14
Anticipated expiration: 2016-02-21
Also published as: US6115832A; DE19511842A1; EP0817975A1; JPH11502652A; DE59602876D1; EP0817975B1; WO1996030775A1

Description

本発明は、ジョイント・チップ（a joint chip）上に搭載されデータ・ラインによって接続されたマイクロプロセッサ、マイクロコンピュータなどのデータ処理システムを２つまたはそれ以上有するデータ処理回路を監視する方法に関する。本方法を実施するための回路もまた本発明に含まれる。
マイクロプロセッサ、マイクロコンピュータおよび他のプログラムされた回路システムを含むデータ処理回路の特有の、無失敗（fail-free）の動作は，当該分野で知られているように，監視されなければならない。これは、該回路がセフティ・クリティカルな制御システムの一部を形成する場合にとくに適用される。セフティ・クリティカルな応用の１例は、例えば，アンチロック制御や牽引スリップの制御やドライビング安定性制御の目的のために、自動車のブレーキ・システムにおける制御である。データ処理回路の誤動作が検出されると、制御装置は非活動的にされるか、または、エラー発生にもかかわらずなお動作可能であり安全性の点から見てよりクリティカルでない動作モードに切り替えられる。
このような監視動作にとっては、該誤動作が迅速にそして高い信頼性で検出されることが重要である。この目的を達成するために、ドイツ特許第３２３４６３７号（ｐ．５２４８）では、ホイール・センサー中に発生した入力データは、２つの並列な、同じ設計および同じプログラミングを施された互いに依存しない２つのマイクロコントローラ中で処理される。次に、この２つのマイクロコントローラからの出力信号は、その相関関係がチェックされる。誤動作を示す差が発生したら、電子制御装置が不能にされ、こうしてブレーキ機能が維持される。このように、先行技術による制御回路は２つの完全システム中における冗長データ処理に基づいており、この冗長さの唯一の目的は、このような場合に制御システムが不能にされるように、発生したエラーを高い信頼性で識別することである。発生した差を識別し、評価する監視回路と該活動的にするエレクトロニクスはまた、実質的に冗長な設計となっている。このように、より複雑になることは，安全のためには許容されねばならない。
さらに、ドイツ特許出願第４１３７１２４号（ｐ．７２５５）に、入力信号が、別々の設計とプログラムを持つ２つの並列マイクロコントローラ中で処理される回路が開示されている。この２つのマイクロコントローラの内の１つのみが、完全で複雑な信号処理動作を実行する。第２のマイクロコントローラは主として監視目的で用いられ、この目的のために、入力信号は、調整された後および時間導関数（time derivatives）が生成された後で、簡略化された制御アルゴリズムおよび簡略化された制御哲学に基づいてさらに処理される。上記の先行技術の回路と比較して、監視用のマイクロコントローラにおける簡略化されたデータ処理動作のために複雑さは減じられる。
最近では、複数の完全データ処理システム、例えば２つのマイクロコンピュータを１つの単一チップ上に収納して、その双方のマイクロコンピュータに同一の入力データを供給してその双方のシステムのデータ処理結果を比較して、システムが適切に動作しているか否かチェックすることも基本的に可能である。しかしながら、電子システムが構造的にこの傾向と結び付いる場合、双方のシステムに対して等しい影響を持つ明瞭な回路の欠陥や誤動作に関して，たとえエラーが存在しても正しい監視信号を充分高い信頼性をもって生成することはできない。
従来タイプの監視動作に関して，１つの単一データ処理システムに基づいた回路では、充分高い信頼性で誤動作を検出することはまったく期待できない。
最後に、ドイツ特許出願第４００４７８２号（ｐ．６８９２）には、予め定められた周波数および予め定められた変動を持つ交番信号を表す監視信号を双方が発生する２つのマイクロコントローラを持つアンチロック・システムが開示されている。安全回路が、その交番信号をマイクロコントローラの作動クロックに依存しないクロック・ジェネレータから派生した時間基準と比較する。この時間基準の誤動作と共にこの交番信号の変動は、アンチロック制御を非活動的に導く。パルスが予め定められた時間ウインドウから落ちると、制御装置は不能となる。この回路はまた、冗長動作をする２つのマイクロコントローラの使用に基づいている。
本発明の目的は、１つの単一チップ上に搭載された２つまたはそれ以上のプロセッサを有するデータ処理回路または他のデータ処理システムを監視すること，および高度の安全度と信頼性で誤動作が検出されて通信されるようにすることである。さらに、本発明による方法を実現するに要する費用およびそれに応じた回路は最小化されるべきである。
本発明は請求項１に記載の方法によって達成されることが判明している。上記の方法の特別の特徴には、複数のデータ処理システムが一緒になって、別のチップに搭載されている監視回路に予め定められた時間に送信され、監視回路によって個々のデータ・ワードの内容および生成時間に関してチェックされるデータ・ワードおよびデータ・ワード・シーケンスを生成することが含まれる。
本発明の好ましい観点において，データ・ワード・シーケンスを生成する個別のデータ・ワードの一部は、データ処理システム中で生成され、該パートワード（part words）は複数のデータ処理システムの内の１つの中で完全なワードに結合され、これは全体として監視回路に送信される。
パートワードは各々のデータ処理システム中で異なったアルゴリズムに従って生成されるので安全性はかなり高まる。すべてのデータ処理システムに関して影響を持つような誤作動においては、結合された後で正しいデータ・ワードとなるような正しいパートワードが生成されることは期待できない。
データ・ワード・シーケンスの個々のワードが、監視回路中で生成されたワードについての内容および時間と相関関係があるか否か、さらに、差が生起すると、すなわち差が予め定められた制限値を超えると，エラー検出信号および／または非活性信号がトリガされるか否かをチェックすると，特に効果があることが分かっている。例えば、少しのタイミング差であれば許容される。
パートワードもまた、監視回路中で生成され、結合されて完全なワードとなり、このパートワードは次に別のアルゴリズムにしたがって生成され得るようにするのが適切である。
本発明の別の態様によると、個々のデータ・ワードは、８ビット長を有し，互いに等しい長さを持つ２つのパートワードから成っている。本発明のさらに別の観点によれば、パートワードは監視回路中で、ハードウエアによって、すなわち、マスク・プログラムされた回路技術によって、さらに、データ処理システム中では、ソフトウエアによって、すなわち、対応するプログラミングによって生成される。パートワードの内の１つは、関係（Ｇ１．１）にしたがって生成される：
ＷＤ_n（２）からＷＤ_n+1（３）
ＷＤ_n（１）からＷＤ_n+1（２）
ＷＤ_n（０）からＷＤ_n+1（１）
［ＷＤ_n-1（３）ＸＯＲＷＤ_n（１）］ＸＯＲＷＤ_n（０）からＷＤ_n+1（０）そして，他のパートワードは関係（Ｇ１．２）にしたがって生成される：
ＷＤ_n（２）からＷＤ_n+1（３）
ＷＤ_n（１）からＷＤ_n+1（２）
ＷＤ_n（０）からＷＤ_n+1（１）
ＷＤ_n（３）ＸＯＲＷＤ_n（２）からＷＤ_n+1（０）
ここで、（０．．．３）．．．は、４ビットパートワードの個別の位置である，
ｎ．．．．は、作動クロック中での時点である，
ＸＯＲ．．．は、論理結合の「排他的論理和」である，
から．．．は、「・・に起因する」を意味する。
本発明による方法を実施する回路の好ましい実施例の内の一部はサブクレーム中に記述されている。このような実施例の内の１つによると、各々が完全なデータ処理システムを表し、データ・ラインで相互接続されている２つの集積回路は、１つのジョイント・チップ（joint chip）上に搭載され、１つのパートワードが、この２つのデータ処理システムの各々中で生成される。その内の一方のシステムがパートワードを完全データ・ワードに結合させ、それを監視回路に送信する役目を担う。他方のデータ処理システムは、監視回路へのこのワード送信を制御する。この「タスク・シェアリング」は、本発明による監視の概念に基づいた回路安全性をさらに向上させる。
本発明のさらなる特徴、長所および可能な応用例は、本発明の実施態様を通して以下に示す詳細な説明で明かにされる。
図１は、本発明による回路の基本設計の略図；
図２は、監視回路のさらなる詳細を含む、図１の回路の略図；
図２Ａは、監視回路の入力部に現れるさまざまな信号；
図３は、図２の監視回路の１実施態様。
図１は、本発明が基礎とする監視の概念の説明に用いられる。この実施例では、２つの完全マイクロプロセッサＭＰ１とＭＰ２、マイクロコンピュータおよび他のデータ処理システムは、シリコン・チップＩＣ１上に搭載されている。これらのマイクロプロセッサは、アンチロック制御システム（ＡＢＳ）、牽引スリップ制御システム（ＴＣＳ）やドライブ安定性制御システム（ＤＳＣ）などの自動車制御システムの電子部品中での２つのマイクロプロセッサであってもよい。この２つのプロセッサまたはデータ処置システムＭＰ１とＭＰ２はデータ・ライン１で相互接続されている。監視回路４は、「ウオッチドッグ（watchdog）」（ＷＤ）と呼ばれるが、シリアル・インタフェースＳＳＩＯによって２つのプロセッサの内の１つ（この場合はプロセッサＭＰ２）に接続されている。出力”ＯＵＴ”は、制御装置を非活動的にし，転換させ、および／または、監視回路がエラーを識別するとエラー検出信号を発生する安全性スイッチに入力される。
最後に、図１は、データ処理システムＭＰ１から監視回路４に伸長する信号ラインＣＳＮを示す。信号ラインＣＳＮは、以下に詳述される、プロセッサＭＰ２から監視回路４へのデータ送信を制御するために使用される。
この２つのプロセッサＭＰ１とＭＰ２が適切に動作しているか否か監視するために備えられている内でこれらの手段及び回路部分だけを図示して説明する。実際のデータ処理動作に必要とされるステップは図示されない。
本発明によれば、２つのマイクロプロセッサＭＰ１とＭＰ２は、監視目的のデータ・ワードおよびデータ・ワード・シーケンスを生成させる。これらデータ・ワードおよびデータ・ワード・シーケンスは，監視回路４に送信され、予め定められたデータ・ワード・シーケンスまたは個別のデータ・ワードとの相関関係をチェックされる。個別のデータ・ワードとの内容に関する相関関係と個別のデータ・ワードのタイミングとの双方が監視される。差が生成すると、すなわち差が予め定められた制限値を超えると、これはエラーと判定され、ＯＵＴ出力で通信される。
本発明によれば、データ・ワード・シーケンスの個別のワードは、パートワード（データ・ワードの一部のワード）を生成させることによって生成され、次に完全なワードに結合される。この結合動作は、マイクロプロセッサＭＰ１とＭＰ２中ではソフトエウアまたはマイクロプロセッサの対応するプログラミングによって実行される。これに対応するデータ・ワードは、図３を参照にして以下に説明するように、監視回路４中で配線された回路電子系統によって生成される。
この個別のデータ・ワードは本発明の実施例中では８ビット長となっている。データ・ワードは、各々が４ビット長の２つのパートワードから成っている。このパートワードは、マイクロプロセッサＭＰ１とＭＰ２中で生成される。図１を見ると、一方のマイクロプロセッサ、すなわちマイクロプロセッサＭＰ２は、２つのパートワードを結合してその完全ワードをシリアル・インタフェースＳＳＩＯを介して監視回路４に送信する役目をする。他方のマイクロプロセッサ、すなわちＭＰ１は、パートワードの結合には与らないが、信号ライン２ＣＳＮ（ＣＳ：ｃｈｉｐ−ｓｅｌｅｃｔ、Ｎ：負論理）を介してのマイクロプロセッサＭＰ２から監視回路４への完全ワードの送信を支配する。１つの完全データ・ワードは、７ｍｓ台の１動作クロック・サイクル中で生成され、送信される。次のデータ・ワードは次のクロック・サイクル中で発生、送信される。本発明の場合は、以下に説明するように、１つのワード・シーケンスは、１つのエンドレス・シーケンス中にある２１０の互いに異なったワードから成っている。
プロセッサＭＰ１とＭＰ２中で生成されたこの２つのパートワードは、本発明による別のアルゴリズムに基づいて生成される。これは、本発明による方法を応用する上で、安全性やエラー検出性にとって非常に重要である。
データ・ワードは次のように生成される：
図１の実施例中では、最初に、データ・ワード・ハーフが各々のプロセッサＭＰ１とＭＰ２内で、そのプログラム・メモリに対する読み出しアクセスによって生成される。マイクロプロセッサＭＰ１内で生成されたこのワード・ハーフは次に、並列データ接続１によってマイクロプロセッサＭＰ２に送信され、そこで結合されて完全データ・ワードとなる。マイクロプロセッサＭＰ２がワード・ハーフの結合に際して失敗すると、完全データ・ワードは誤ったものとなる。こうして、データ・ワードの発生が完了する。次に、ワードは監視回路４に送信され、シリアル・インタフェースＳＳＩＯを介して、例えば作動クロックが満了したその正確な時点で、別のチップ（ＩＣ２）上に搭載される。データ・ワードは、監視回路４のシフト・レジスタに付与される。この際の送信は、ＣＳＮ信号がライン２に出力されると同時に実行される。ＣＳＮは、監視回路４内でシフト・レジスタを開放する信号である。
図１の実施例中では、マイクロプロセッサＭＰ２は、ワードが正しく送信されたか否か、すなわちその内容を判断し、さらに、マイクロプロセッサＭＰ１は、そのタイミング、すなわち適切な時間で送信したか否かを判断する。送信されたワードは、監視回路４中で、相関関係を調べるための予め定められたワードと比較される。正しい相関関係が存在したら、個々のクロック・サイクルで、次のワードに切り替わり、このワードは次に、予め定められた時間ウインドウ中で評価される。
もちろん、マイクロプロセッサＭＰ２が、ＣＳＮを含む完全な送信を扱うことも可能である。しかしながら、こうすると、エラー検出の安全性が減じられることになる。
監視回路４の一部であり、ジョイント・チップＩＣ２上に搭載されているアセンブリ・グループを図２に示す。マイクロプロセッサＭＰ１とＭＰ２中で一緒に生成されるデータ・ワード・シーケンスのデータ・ワードは、シリアル・インタフェースを通じて、ＳＳＩＯ入力５の一部を形成するシフト・レジスタおよび中間メモリに送信される。コンパレータ６中で、個別のデータ・ワードＷＤＰＲＯＣは、ジェネレータ７（ＧＥＮ）によって監視回路４中に生成された所定のワードＷＤＧＥＮと比較される。ＲＥＳＥＴ信号を生成する回路８および、作動クロックＷＤＣＬＫを生成する発振器及び分周器９もまた図示されている。
予め定められたデータ・ワード・シーケンスとなるデータ・ワードは、配線された論理回路を通じて監視回路４（ＩＣ２）中で生成される。次に、データ・ワードは、マイクロプロセッサＭＰ１とＭＰ２中のソフトウエアにより生成されたデータ・ワードおよびデータ・ワード・シーケンスとの相関関係を比較され、継いで回路４に送信される。この比較の結果（ＷＤ）は、分析回路１１によって評価される。回路１０には、いわゆる安全カットアウトが含まれる。
図３に、図１および図２の監視回路４の実施例の詳細を示す。その設計と動作の詳細は以下の通りである・
プロセッサ回路（ＩＣ１）中で生成されたデータ・ワードまたはウオッチドッグ・ワードは、決まったインタバルで、すなわち作動クロック・サイクル中で、シリアル・インタフェースＳＳＩＯ（ラインは、ＳＩＮ、ＳＯＵＴ、ＳＣＫ、ＣＳＮ）を通じて、監視回路４の入力５に送信される。接続ＳＩＮに出力されるデータは、クロックＳＣＬＫによって入力回路５の入力シフト・レジスタ中に移される。ローアクテイブ（low-active）のＣＳＮ信号の立ち上がりで、入力シフト・レジスタ中のデータは、中間メモリ（これも入力回路５に包含されている）に書き込まれ、次にバス上にの８ビットのデータ・ワードＷＤＰＲＯＣ（０：７）として評価される。入力回路５が出力する信号ＬＤＷＤは、図２Ａに示すように信号ＣＳＮＷＤとＳＣＬＫから作られる。
次に、マイクロプロセッサＭＰ１とＭＰ２から発するデータ・ワードＷＤＰＲＯＣ（０：７）は、コンパレータ６を通じて監視回路４中で生成されたデータ・ワードＷＤＧＥＮ（０：７）と比較される。コンパレータ６の出力端子に現れる信号ＷＤは、双方のデータ・ワードが等しければ’１’である。
８ビットのデータ・ワードは、プロセッサＭＰ１およびＭＰ２によってまたはチップＩＣ１内で生成されたデータ・ワードと同様に、監視回路４中で、各々が４ビット幅である２つのパートワードから成る。監視回路４内で生成された第１のパートワードＷＤＧＥＮ（０：３）は上位５つのフリップフロップによって生成され、第２のパートワードＷＤＧＥＮ（４：７）は下位４つのフリップフロップおよび個別のＸＯＲフィードバックによって生成される。このウオッチドッグ・ジェネレータは、ＷＤＰパルスをクロックとしてトリガされ、クロックの立ち上がり毎に、現在のデータ・ワードとは無関係に新しいデータ・ワードを生成する。フィードバックのタイプによって、ワード・シーケンスの各ワードおよび長さが決まる。本実施例中では、第１のパートワードのワード・シーケンスは１４の異なった４ビット・ワードから成り、第２のパートワードの長さは１５の異なった４ビット・ワードから成っている。これらのウオッチドッグ・ジェネレータ・ワードであるＷＤＧＥＮは、以下に示すアルゴリズムにしたがって生成される。第１のパートワードＷＤＧＥＮ（０：３）の場合、関係Ｇ１．１が次のように適用される：
ＷＤ_n（２）からＷＤ_n+1（３）
ＷＤ_n（１）からＷＤ_n+1（２）
ＷＤ_n（０）からＷＤ_n+1（１）
［ＷＤ_n-1（３）ＸＯＲＷＤ_n（１）］ＸＯＲＷＤ_n（０）からＷＤ_n+1（０）そして，他のパートワードには関係Ｇ１．２が適用される。
ＷＤ_n（２）からＷＤ_n+1（３）
ＷＤ_n（１）からＷＤ_n+1（２）
ＷＤ_n（０）からＷＤ_n+1（１）
ＷＤ_n（３）ＸＯＲＷＤ_n（２）からＷＤ_n+1（０）
これらの略字の意味は次の通りである：
ＷＤ＝ＷＤＧＥＮ＝ｗａｔｃｈｄｏｇｄａｔａｗｏｒｄ，ｇｅｎｅｒａｔｅｄｂｙｔｈｅｇｅｎｅｒａｔｏｒＧＥＮ（ジェネレータＧＥＮによって生成されたウオッチドッグ・データ・ワード）；
（０．．．３）．．．４ビットのパートワードの各々の位置；
ｎ．．．作動クロック内の時点
ＸＯＲ．．．論理結合「排他的論理和」；
から．．．「・・・に起因する」を意味する。
したがって、この２つのパートワード発生のためのアルゴリズム（Ｇ１．１，Ｇ１．２）は互いに異なる。個々が合計で１４または１５の異なった４ビット・ワードを発生する２つのパートワードを結合して完全なワードを提供すると、４ビットのパートワードから成る２１０の異なった８ビットのデータ・ワードのエンドスのシーケーンスとなる。この様子を次の表に示す。
初期ワード（１）：１００００００１

この２１０の異なったデータ・ワードから成るエンドレス・シーケンスに対して、次の関係が適用される：
Ｗ_ｎ＝Ｗ_{（n+m・210）}
Ｗ_ｎ＝８ビットのデータ・ワード・シーケンスのｎ番目のワード
ｎ，ｍ＝自然数１，２，３，．．．．
ウオッチドッグ・ジェネレータのフリップフロップは、リセット動作中にワード・シーケンスの初期ワード’１００００００１’で占められる。
監視回路４の作動クロックＷＤＣＬＫの１周期から２周期のインタバルの後で、ＡＮＤゲート１２の入力部に入力されるＤＯＲＥＡＤ信号は、入力回路５から出力されるＬＤＷＤ信号の立ち上がりで’１’になる。その結果は、プロセッサの出力したデータ・ワードＷＤＰＲＯＣ（１：７）と監視回路中で生成されたデータ・ワードＷＤＧＥＮ（１：７）との回路６における比較または比較結果ＷＤが評価されることになる。ＷＤＰは、クロックＷＤＣＬＫの次の立ち上がりで設定される。ＷＤＰは、双方のデータ・ワードに相関関係があれば’１’となる。ウオッチドッグ・ジェネレータは、ＷＤＰ信号のエッジが’０’から’１’に変化するので、次のウオッチドッグ・ワードにスイッチする。この時、ＷＤＰＲＯＣ（０：７）はまだ直前のワード上にある。したがって、ＷＤは’０’となる。ＷＤＰは、クロックＷＤＣＬＫの次の立ち上がりで再度’０’になる。したがって、ＷＤＰは、クロックＷＤＣＬＫの１周期にわたって正確に’１’である。
ウオッチドッグ・パルスＷＤＣＬＫの時間ウインドウは、信号ＴＢ、ＴＡ＿ＮおよびＴＥによって定義される。これらの３つの信号は、ＷＤＣＬＫでクロックされる９ステップのタイマにより生成される。信号ＴＩＭＥＲＲＥＳがタイマをリセットする（ＴＢ＝’１’、ＴＡ＿Ｎ＝’１’、ＴＥ＝’１’）。時間ウインドウは、ＴＡＮが最初に’０’になると同時に始まる。信号ＴＩＭＥＲＲＥＳはパルスＷＤＣＬＫの立ち下がりと同期して出力される（すなわち’０’になる）という事実を考慮すると、この条件はＷＤＣＬＫパルスが正確に１２７．５発だけ出力されると発生する。時間ウインドウは、ＴＢＥが最初に’１’になると同時に（ＷＤＣＬＫパルスが２８７．５発出力されると）終了する。
ウオッチドッグ回路または監視回路全体が（ＭＲＥＳＥＴ信号によって）リセットされると、信号ＱＷＤは分析回路１１の出力部ではゼロとなる，すなわち、ＱＷＤ＝’０’。安全スイッチは、出力ＯＵＴ次第で、「不能」状態や「エラー検出」状態になったりする。第２のウオッチドッグ信号または第２のデータ・ワードが正しく送信された後のみで，ＱＷＤは、信号ＦＬＡＧＥＮが’１’になって’１’に変わる。
信号Ｉ２はリセットされると’０’になる。したがって、Ｉ２とＩ３の間に配置されているＲＳフリップフロップは、出力側が’０’に設定される。早期ウオッチドッグ・パルスＷＤＰの検出はこのようにして不能にされる。これは、最初のウオッチドッグ・ワードまたはデータ・ワードが、リセットの後に直ちに送出される可能性があることを意味する。時間ウインドウの終了と共にその開始はそれに続くすべてのデータ・ワードに関連するが、この理由は、ＲＳフリップフロップが、先行するウオッチドッグ・パルスＷＤＰによって’１’にリセットされており、’０’にリセットされるのは、時間ウインドウが開始された時だけであるからである。ウオッチドッグ・パルスＷＤＰの入力が早すぎると、すなわちＩ３＝’１’である間に入力されると、ＱＷＤ１は’１’となり、その結果、ＱＷＤは’０’にセットされ、さらに「安全カットアウト」または「エラー検出」となる。
ウオッチドッグ・ワードまたはデータ・ワードが予め定められた時間ウインドウに従って常に正確に送出される場合、該信号ＴＢＥはけっして’１’にはならないが、この理由は、タイマは、時間ウインドウが終点に達する前に、毎回ウオッチドッグ・パルスＷＤＰによって再度リセットされるからである。しかしながら、もし時間ウインドウの終点が過ぎると、ＴＢＥは’１’となり、これによって次段のＲＳフリップフロップが設定される。ＴＢＥＭＯＮが’１’になると、出力フリップフロップがリセットされる。その結果、出力信号ＱＷＤは’０’となり、安全カットアウトがトリガされる。
誤ったウオッチドッグ・ワードやデータ・ワードによって、ウオッチドッグ・パルスＷＤＰが生じることはない。この場合、エラー検出および安全カットアウトは、この誤ったデータ・ワードが送出された時間に応じて、さらに、その誤ったデータ・ワードの後に時間ウインドウ内の正しいデータ・ワードが依然として続いているか否かによって発生する。次の例がこの状態を説明する。
例１：
誤ったデータ・ワードが２つの正しいデータ・ワード間に送出され、第２のデータ・ワードが、時間ウインドウの終点に達する（ＴＢＥ＝’１’）以前に送出される。この場合、信号ＣＬＫＭＯＮは、その第２のデータ・ワードに関するチップ・セレクト信号ＣＳＮＷＤの立ち下がりで値’１’になる。これによって、出力フリップフロップはリセットされる。
例２：
この場合、時間ウインドウが終点（ＴＢＥ＝’１’）に達するまでは正しいデータ・ワードは送出されない。誤ったデータは、ウオッチドッグ・パルスＷＤＰを発生しないので、出力ＴＢＥＭＯＮは値’１’を採る。したがって、エラー検出または安全カットアウトがこのタイムアウトのゆえに発生する。
このように、本発明によれば、データ・ワードは、その内容とタイミングの双方が正しいか否かについて監視回路中でチェックされる。

Claims

複数のデータ処理システム（ＭＰ１、ＭＰ２）が共同して、別のチップ（ＩＣ２）上に搭載されている監視回路（４）に予め定められた時間に送信され、さらに、それぞれのデータワードの内容および出現時間に関して該監視回路（４）によってチェックされる、データワードおよびデータワード・シーケンス（ＷＤＰＲＯＣ）を生成することを特徴とする、ジョイント・チップ上に搭載され、そしてデータ・ラインで接続されたマイクロプロセッサやマイクロコンピュータなどのデータ処理システムを２つ以上含むデータ処理回路を監視する方法であって、
該データ処理回路は、２つのデータ処理システム（ＭＰ１、ＭＰ２）のそれぞれが、データ・ラインによって相互接続されるように１つのジョイント・チップ（ＩＣ１）上に搭載され、
パートワードが、該２つのデータ処理システム（ＭＰ１、ＭＰ２）のそれぞれにおいて生成され、次に、該２つのデータ処理システムの内の一方（ＭＰ２）が、他方のデータ処理システムで生成されたパートワードを、該一方のデータ処理システムで生成されたパートワードに結合して１つのデータワードとし、さらに、該データワードを該監視回路（４）に送信し、
該監視回路（４）が、該監視装置（４）中のジェネレータ（７）によって、パートワードを別のアルゴリズムに基づいて生成し、該パートワードをデータワード（ＷＤＧＥＮ）に結合し、さらに、それらを、該データ処理システム（ＭＰ１、ＭＰ２）内で生成された該データワード・シーケンスのそれぞれのデータワード（ＷＤＰＲＯＣ）と比較する配線された論理回路として構成されていることを特徴とする方法。
請求項１に記載の方法であって、該データワード・シーケンス（ＷＤＰＲＯＣ）の該それぞれのデータワードが、監視回路（４）内で生成されたデータワード（ＷＤＧＥＮ）の、内容および時間に関する相関関係についてチェックされ、そして、差が発生すると、すなわち該差が予め定められた制限値を超えると、エラー検出信号および／または非活動的信号（“ＯＵＴ”）がトリガされることを特徴とする方法。
請求項１または２のいずれか一項に記載の方法であって、複数のパートワードが該監視回路（４）中で生成され、データワードに結合されることを特徴とする方法。
請求項３に記載の方法であって、該パートワードが、異なったアルゴリズムにしたがって互いに無関係に該監視回路（４）中で生成されることを特徴とする方法。
請求項１ないし４のいずれか一項に記載の方法であって、該パートワードおよび該データワード・シーケンスは、複数の該データ処理システム（ＭＰ１、ＭＰ２）をプログラミングすることによって該データ処理システム（ＭＰ１、ＭＰ２）中で生成されることを特徴とする方法。
請求項１ないし５のいずれか一項に記載の方法であって、該データワード・シーケンスの該それぞれのデータワードが８ビット長であり、互いに等しい長さを持つ２つのパートワードから成ることを特徴とする方法。
請求項６に記載の方法であって、該監視回路（４）中において、そして、該データ処理システム（ＭＰ１、ＭＰ２）を手段として、該パートワードの一方が次の関係（Ｇｌ．１）によって生成され：
ＷＤ_n（２）からＷＤ_n+1（３）
ＷＤ_n（１）からＷＤ_n+1（２）
ＷＤ_n（０）からＷＤ_n+1（１）
［ＷＤ_n-1（３）ＸＯＲＷＤ_n（１）］ＸＯＲＷＤ_n（０）からＷＤ_n+1（０）そして、他のパートワードは関係（Ｇｌ．２）にしたがって生成される：
ＷＤ_n（２）からＷＤ_n+1（３）
ＷＤ_n（１）からＷＤ_n+1（２）
ＷＤ_n（０）からＷＤ_n+1（１）
ＷＤ_n（３）ＸＯＲＷＤ_n（２）からＷＤ_n+1（０）
ここで、
（０．．．３）．．．は、４ビットパートワードの個別の位置である、
ｎ．．．．は、作動クロック中での時点である、
ＸＯＲ．．．は、論理結合の「排他的論理和」であることを特徴とする方法。