JP5287198B2 - 情報処理装置 - Google Patents

Description

本発明は、ロックステップ方式により、複数の演算手段のうち少なくとも一部の異常を検出可能な情報処理装置に関する。

従来、複数の演算手段（ＣＰＵ等）が同一のクロック入力に基づいて並行処理を実行し、出力の相違に基づいて各演算手段の不具合や同期外れを検出可能な情報処理装置についての研究が進められ、実用化が図られている。ここで、同期外れとは、近年のクロック周波数の高周波化によって複数の演算手段の処理が完全に同期しないことを意味する。

これに関連し、ＩＯ命令を発行する複数のＣＰＵユニットと、前記ＩＯ命令に基づいてＩＯ処理を行うＩＯユニットと、を有してなるフォールトトレラントコンピュータにおいて、前記複数のＣＰＵユニットの各々から発行されるＩＯ命令を入力し、入力されたＩＯ命令が一致するか否かを比較し、一致すれば一致信号を出力し、不一致であれば不一致信号を出力するＩＯ比較部と、前記ＩＯ比較部から不一致信号が出力された場合、先に入力されたＩＯ命令の発行元のＣＰＵユニットの信頼性を表す優先度が前記複数のＣＰＵユニットの中で最も高いか否かを判定し、最も高ければ高優先信号を出力し、最も高くなければ低優先信号を出力するＦＴ制御部と、前記ＩＯ比較部から一致信号が出力された場合、前記ＩＯユニットにＩＯ命令を転送し、前記ＩＯ比較部から不一致信号が出力された場合、前記ＦＴ制御部から高優先信号が出力されれば、前記ＩＯユニットにＩＯ命令を転送するＩＯ制御部と、を有するフォールトトレラントコンピュータについての発明が開示されている（例えば、特許文献１参照）。

また、それぞれ予め決められた処理を実行する複数の処理部と、前記複数の処理部にそれぞれ設けられ、前記複数の処理部の異常を検出して異常検出信号を生成する複数の異常検出回路と、前記複数の異常検出回路のいずれかからの前記異常検出信号に応答して、前記複数の処理部のうちの、異常状態にある異常処理部以外の、正常状態にある少なくとも１つの正常処理部を、異常救済処理を実行するように制御する異常監視制御部とを具備する処理装置についての発明が開示されている（例えば、特許文献２参照）。この特許文献２に記載の装置の如き異常時処理を行なうことで、単なる同期外れでない演算手段の不具合等についての対処を行なうことが可能となる。
特開２００８−２２５７５２号公報 特開２００７−０１１４２６号公報

ところで、この種の情報処理装置が車両に搭載された場合等を考慮すると、例えばアクセサリ的な重要度の低い処理に関する演算手段の異常が検出された場合、当該演算手段が行なっている、より重要度の高い処理を停止させるのは好ましくない。

この点、上記特許文献１に記載の装置では、ＣＰＵユニットの信頼性を表す優先度に基づいて命令転送の停止等を行なっているが、行なっている処理の重要度に基づくものでないため、重要度の低い処理に関する演算手段の異常によって、より重要度の高い処理が停止される場合がある。

また、上記特許文献２に記載の装置の如き手法によって異常が生じた演算手段の処理を正常な演算手段で代替しようとしても、処理負荷の関係で代替処理を行なうことができない場合がある。

本発明はこのような課題を解決するためのものであり、重要度の高い処理が停止してしまう事態の発生を抑制することが可能な情報処理装置を提供することを、主たる目的とする。

上記目的を達成するための本発明の一態様は、
複数の演算手段を有し、ロックステップ方式により前記複数の演算手段のうち少なくとも一部の異常を検出可能な情報処理装置であって、
前記複数の演算手段の出力を比較し、前記複数の演算手段の出力が相違しているときに、前記複数の演算手段が行なっている処理の重要度が所定程度以上である場合に記憶手段における所定のアドレスにエラー情報を書き込み、前記複数の演算手段が行なっている処理の重要度が所定程度未満である場合に、前記記憶手段における所定のアドレス以外のアドレスにエラー情報を書き込む出力比較手段と、
前記記憶手段における所定のアドレスにエラー情報が書き込まれた場合に所定のエラー処理を行なうエラー処理手段と、
を備える情報処理装置である。

この本発明の一態様によれば、複数の演算手段の出力が相違しているときに、複数の演算手段が行なっている処理の重要度が所定程度以上である場合に記憶手段における所定のアドレスにエラー情報が書き込まれ、複数の演算手段が行なっている処理の重要度が所定程度未満である場合に記憶手段における所定のアドレス以外のアドレスにエラー情報が書き込まれ、記憶手段における所定のアドレスにエラー情報が書き込まれた場合に所定のエラー処理を行なうため、重要度の高い処理がエラー処理等によって停止してしまう事態の発生を抑制することができる。

なお、エラー処理手段は、所定のアドレス以外のアドレスにエラー情報が書き込まれた場合には、エラー処理に相当する処理を何ら行なわないものとしてもよいし、重要度の高い処理に影響を与えない程度の回復処理を行なってもよい。

本発明によれば、重要度の高い処理が停止してしまう事態の発生を抑制することが可能な情報処理装置を提供することができる。

以下、本発明を実施するための最良の形態について、添付図面を参照しながら実施例を挙げて説明する。

以下、本発明の一実施例に係る情報処理装置１について説明する。図１は、本発明の一実施例に係る情報処理装置１のシステム構成例である。情報処理装置１は、主要な構成として、マスターＣＰＵ１０と、検査ＣＰＵ１２と、ＲＯＭ２０と、ＲＡＭ２２と、周辺Ｉ／０３０と、割り込み処理部４０と、出力比較部５０と、一次記憶装置６０と、エラー処理部７０と、を有する。マスターＣＰＵ１０や検査ＣＰＵ１２は、バス８０によってＲＯＭ２０、ＲＡＭ２２、周辺Ｉ／０３０、及び割り込み処理部４０に接続されており、入出力される信号を相互に参照可能となっている。

割り込み処理部４０、出力比較部５０、及びエラー処理部７０は、電子回路又はマイコンとして構成される。

なお、複数の演算手段の例としてマスターＣＰＵ１０と検査ＣＰＵ１２を例示したが、更に他の演算手段を備えてもよい。

マスターＣＰＵ１０及び検査ＣＰＵ１２は、ＡＬＵ（論理演算ユニット）や制御装置、レジスタ等から構成される。マスターＣＰＵ１０及び検査ＣＰＵ１２は、図示しない共通のクロックジェネレータから供給されるクロック信号に基づいて作動する。また、マスターＣＰＵ１０及び検査ＣＰＵ１２には、同一の入力信号が入力される。従って、これらが正常に作動している限りにおいて、同一の出力信号が出力されることとなる。

ＲＯＭ２０には、マスターＣＰＵ１０及び検査ＣＰＵ１２が実行するプログラムが格納されている。ＲＡＭ２２は、マスターＣＰＵ１０及び検査ＣＰＵ１２が上記プログラムを実行する際に処理されるデータが書き込まれる。一次記憶装置６０は、例えばフラッシュメモリ等のＥＥＰＲＯＭ（Electronically Erasable and Programmable Read Only Memory）であり、出力比較部５０によってエラー情報が書き込まれる。

周辺Ｉ／０３０は、外部とのインターフェースとして機能する。情報処理装置１が車載ＥＣＵ（Electronic Control Unit）として用いられる場合、周辺Ｉ／０３０は、車両信号（車速信号、加速度信号、ヨーレート信号、ステアリング操舵角信号等が含まれる）が送受信される多重通信線等に接続され、制御対象（エンジン、ブレーキ装置、ステアリング装置等）との信号の送受信を行なう。

割り込み処理部４０は、マスターＣＰＵ１０及び検査ＣＰＵ１２に対して種々の割り込み指示信号を出力する。

出力比較部５０には、マスターＣＰＵ１０からＲＯＭ２０、ＲＡＭ２２、周辺Ｉ／０３０、割り込み処理部４０に出力される出力信号、及び検査ＣＰＵ１２から出力される検査用の出力信号が入力される。出力比較部５０は、係る構成によって、ロックステップ方式によりマスターＣＰＵ１０及び検査ＣＰＵ１２の異常を検出する。すなわち、マスターＣＰＵ１０及び検査ＣＰＵ１２の出力を比較し、マスターＣＰＵ１０及び検査ＣＰＵ１２の出力が相違しているときに、マスターＣＰＵ１０及び／又は検査ＣＰＵ１２の異常を検知してエラー情報を一次記憶装置６０に書き込む。なお、出力比較部５０にも、マスターＣＰＵ１０や検査ＣＰＵ１２に供給されるクロック信号が入力されてよい。

また、出力比較部５０は、マスターＣＰＵ１０及び検査ＣＰＵ１２が行なっている処理の重要度を常時把握しており、この重要度に基づいて一次記憶装置６０における書き込みアドレスを変更している。具体的には、マスターＣＰＵ１０及び検査ＣＰＵ１２が行なっている処理の重要度が所定程度以上である場合には、一次記憶装置６０における所定のアドレス６０Ａにエラー情報を書き込み、マスターＣＰＵ１０及び検査ＣＰＵ１２が行なっている処理の重要度が所定程度未満である場合には、一次記憶装置６０における所定のアドレス６０Ａ以外のアドレス６０Ｂにエラー情報を書き込む。

マスターＣＰＵ１０及び検査ＣＰＵ１２が行なっている処理の重要度の把握は、例えばマスターＣＰＵ１０及び／又は検査ＣＰＵ１２から重要度に関する信号を定期的に送信するようにしてもよいし、実行中のプログラムＩＤ等と重要度を対応付けたテーブルを出力比較部５０が備えるものとしてもよい。

エラー処理部７０は、一次記憶装置６０における所定のアドレス６０Ａにエラー情報が書き込まれた場合に、所定のエラー処理を行なう。所定のエラー処理としては、例えば情報処理装置１全体をシャットダウンして再起動する等の処理が行なわれる。なお、エラー処理部７０自身がこうした処理を行なってもよいし（狭義のエラー処理）、外部にエラー信号を出力して処理を行なわせても構わない。

一方、エラー処理部７０は、一次記憶装置６０における所定のアドレス６０Ａ以外のアドレス６０Ｂにエラー情報が書き込まれた場合には、所定のエラー処理を行なわない。

係る構成及び処理によって、軽微なエラーによってエラー処理が行なわれることにより装置全体が停止し、重要度の高い処理が停止してしまうような事態の発生を抑制することができる。従って、特に車載ＥＣＵとして用いられた場合に、コンテンツ再生等のアクセサリ的処理に関するエラーによって、径路案内等のより重要な処理が停止すること等を防止することができる。

本実施例の情報処理装置１によれば、重要度の高い処理が停止してしまう事態の発生を抑制することができる。

以上、本発明を実施するための最良の形態について実施例を用いて説明したが、本発明はこうした実施例に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

例えば、エラー処理部７０は、一次記憶装置６０における所定のアドレス６０Ａ以外のアドレス６０Ｂにエラー情報が書き込まれた場合には、所定のエラー処理を行なわないものとしたが、重要度の高い処理に影響を与えない程度の回復処理を行なってもよい。

具体的には、アドレス６０Ｂにエラー情報が書き込まれた回数が所定回数に至るまでは回復処理を行なわないが、所定回数に至ると回復処理を行なうものとしてよい。

また、次に重要度の高い処理を行なう際の実行プログラムに、こうした軽微なエラーを回復させるための処理を予め包含させておいてもよい。

本発明は、自動車製造業や自動車部品製造業等に利用可能である。

本発明の一実施例に係る情報処理装置１のシステム構成例である。

符号の説明

１ 情報処理装置
１０ マスターＣＰＵ
１２ 検査ＣＰＵ
２０ ＲＯＭ
２０Ａ、２０Ｂ アドレス
２２ ＲＡＭ
３０ 周辺Ｉ／０
４０ 割り込み処理部
５０ 出力比較部
６０ 一次記憶装置
７０ エラー処理部
８０ バス

Claims (1)

1. 複数の演算手段を有し、ロックステップ方式により前記複数の演算手段のうち少なくとも一部の異常を検出可能な情報処理装置であって、
   前記複数の演算手段の出力を比較し、前記複数の演算手段の出力が相違しているときに、前記複数の演算手段が行なっている処理の重要度が所定程度以上である場合に記憶手段における所定のアドレスにエラー情報を書き込み、前記複数の演算手段が行なっている処理の重要度が所定程度未満である場合に、前記記憶手段における所定のアドレス以外のアドレスにエラー情報を書き込む出力比較手段と、
   前記記憶手段における所定のアドレスにエラー情報が書き込まれた場合に所定のエラー処理を行なうエラー処理手段と、
   を備える情報処理装置。

Images