JP5386403B2 - 検査装置及び方法並びにプログラム - Google Patents

Description

本発明は、検査装置及び方法並びにプログラムに関するものである。

従来、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）の暴走を監視する装置として、ＷＤＴ（ウォッチドッグタイマ）が知られている。例えば、ＷＤＴは、定期的にＣＰＵから出力されるＷＤＴのカウンタクリア信号を監視し、カウンタクリア信号を検出できなかった場合にＣＰＵが暴走状態であると判定する。また、判定後ＷＤＴはＣＰＵに対して、リセット信号を出力してＣＰＵを復帰させる、ソフトウェアからマスク不能割り込みを実行する等の処理をするべく異常通知をし、ＣＰＵの暴走に対処する。

また、ＣＰＵ側からＷＤＴの機能の異常有無を検査（テスト）する方法として、例えば、車載用の電子制御装置のようにＣＰＵを停止せずに検査する方法が提案されている。特許文献１では、ＣＰＵがＷＤＴの検査を行う場合には、ＷＤＴからＣＰＵに異常通知を送出する経路とは異なる経路によってＷＤＴテスト結果を返すべく異常を通知し、ＷＤＴのテスト中にＣＰＵがリセットされることのない技術が開示されている。特許文献２では、２つのＷＤＴを設け、各ＷＤＴの検査を片方ずつ行うことによりＣＰＵを停止せずにＷＤＴの検査を行うとともに、ＣＰＵは、両ＷＤＴから（もしくは、片方のＷＤＴテスト中に、非テスト側のＷＤＴから）異常通知を取得した場合に、ＣＰＵのリセットを行う技術が開示されている。

特開平５−２１６７１１号公報 特開２００３−１３１９０６号公報

しかしながら、上記特許文献１の方法では、ＷＤＴのテスト実行中は、ＷＤＴからＣＰＵに異常通知する経路が使用されないので、経路上に異常があっても、経路の異常（例えば、断線等）を検出できないという問題があった。また、上記特許文献２の方法では、両ＷＤＴの検出結果が論理結合回路によって接続され、両ＷＤＴから異常通知が検出される状態でないとＣＰＵに対する異常通知が送信されないので、ＷＤＴからＣＰＵへの異常通知をする経路に異常（例えば、断線等）があっても、テスト実行中は経路の異常を検出できないという問題があった。また、２つのＷＤＴが必要となるためコストが増加するという問題があった。

本発明は、このような事情に鑑みてなされたものであって、ＣＰＵを停止せずにウォッチドッグタイマの検査を行うとともに、ウォッチドッグタイマからＣＰＵに対する異常通知ラインの検査ができる検査装置及び方法並びにプログラムを提供することを目的とする。

上記課題を解決するために、本発明は以下の手段を採用する。
本発明は、プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備し、前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とを有し、前記プロセッサは、前記テスト期間において、前記クリア信号を出力せず、前記ウォッチドッグタイマに備えられる前記カウンタのカウント値を前記所定期間満了の直前のカウント値にさせる情報をテスト信号とし、前記ウォッチドッグタイマから前記異常通知を出力させるべく前記ウォッチドッグタイマに前記テスト信号を出力し、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記ウォッチドッグタイマの異常を検出する検査装置を提供する。

このような構成によれば、ウォッチドッグタイマにおいて、カウンタをリセットさせるクリア信号が、所定期間内にプロセッサから取得されない場合に、ウォッチドッグタイマからプロセッサに対して、プロセッサの異常が通知される。また、プロセッサが通常のプログラム処理を実行させる期間である通常期間と、プロセッサのプログラム処理に支障を来たさない期間であるテスト期間とのうち、テスト期間において、ウォッチドッグタイマの異常が検査される。このように、プロセッサのプログラム処理に支障を来たさないテスト期間中において、プロセッサによるウォッチドッグタイマの異常有無が検査されるので、ウォッチドッグタイマの検査のために、プロセッサにおけるプログラム処理が中断されることがない。また、プロセッサのプログラム処理の中断なくオンラインで検知できることにより、ＥＮ５０１５６等の安全関連規格に準拠が必要なアプリケーションにも適用できる。

また、テスト期間中に、プロセッサから出力されるテスト信号に応じたウォッチドッグタイマからの異常通知が、プロセッサで取得されない場合に、ウォッチドッグタイマの異常として検出される。このように、ウォッチドッグタイマのテスト期間中であっても、ウォッチドッグタイマからプロセッサへの異常通知を検出することによって、ウォッチドッグタイマまたはウォッチドッグタイマとプロセッサとの経路のテストが行え、異常通知を行う経路に異常が生じている場合には、その異常を検出することができる。これにより、より広範囲の故障検知が可能となる。また、異常通知とは、例えば、優先度の高いマスク可能割込み、もしくは、ソフトウェアからマスク不能割り込み（ＮＭＩ：Ｎｏｎ−Ｍａｓｋａｂｌｅ Ｉｎｔｅｒｒｕｐｔ）を実行する割り込み信号等である。さらに、ウォッチドッグタイマは１つあればよいので、複数のウォッチドッグタイマを用いる場合と比較してコストを低減することができる。

所定期間満了の直前のカウント値がテスト信号としてウォッチドッグタイマに入力されるので、速やかにカウンタが所定期間満了の状態となる。また、テスト期間中はカウンタをリセットするクリア信号が出力されることがないので、確実にカウンタは所定期間満了の状態となる。このように、ウォッチドッグタイマのカウント値がどのタイミングであっても、速やかに所定期間満了の状態に移行させることができるので、ウォッチドッグタイマから異常通知を出力させるまでにかかる時間を低減することができる。

本発明は、プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備し、前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とを有し、前記プロセッサは、前記テスト期間において、前記クリア信号を出力せず、前記ウォッチドッグタイマから前記異常通知を出力させるべく前記ウォッチドッグタイマにテスト信号を出力し、前記ウォッチドッグタイマは、前記テスト信号を取得した場合に、前記カウンタのカウント値を前記所定期間満了の直前の値にし、前記プロセッサは、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記ウォッチドッグタイマの異常を検出する検査装置を提供する。

このような構成によれば、ウォッチドッグタイマにおいて、カウンタをリセットさせるクリア信号が、所定期間内にプロセッサから取得されない場合に、ウォッチドッグタイマからプロセッサに対して、プロセッサの異常が通知される。また、プロセッサが通常のプログラム処理を実行させる期間である通常期間と、プロセッサのプログラム処理に支障を来たさない期間であるテスト期間とのうち、テスト期間において、ウォッチドッグタイマの異常が検査される。このように、プロセッサのプログラム処理に支障を来たさないテスト期間中において、プロセッサによるウォッチドッグタイマの異常有無が検査されるので、ウォッチドッグタイマの検査のために、プロセッサにおけるプログラム処理が中断されることがない。また、プロセッサのプログラム処理の中断なくオンラインで検知できることにより、ＥＮ５０１５６等の安全関連規格に準拠が必要なアプリケーションにも適用できる。
また、テスト期間中に、プロセッサから出力されるテスト信号に応じたウォッチドッグタイマからの異常通知が、プロセッサで取得されない場合に、ウォッチドッグタイマの異常として検出される。このように、ウォッチドッグタイマのテスト期間中であっても、ウォッチドッグタイマからプロセッサへの異常通知を検出することによって、ウォッチドッグタイマまたはウォッチドッグタイマとプロセッサとの経路のテストが行え、異常通知を行う経路に異常が生じている場合には、その異常を検出することができる。これにより、より広範囲の故障検知が可能となる。また、異常通知とは、例えば、優先度の高いマスク可能割込み、もしくは、ソフトウェアからマスク不能割り込み（ＮＭＩ：Ｎｏｎ−Ｍａｓｋａｂｌｅ Ｉｎｔｅｒｒｕｐｔ）を実行する割り込み信号等である。さらに、ウォッチドッグタイマは１つあればよいので、複数のウォッチドッグタイマを用いる場合と比較してコストを低減することができる。
ウォッチドッグタイマは、テスト信号の取得に基づいてカウンタのカウント値を所定期間満了の直前の値とするので、速やかにカウンタが所定期間満了の状態となる。また、テスト期間中はカウンタをリセットするクリア信号が出力されることがないので、確実にカウンタは所定期間満了の状態となる。このように、ウォッチドッグタイマのカウント値がどのタイミングであっても、速やかに所定期間満了の状態に移行させることができるので、ウォッチドッグタイマから異常通知を出力させるまでにかかる時間を低減することができる。

本発明は、プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備し、前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とを有し、前記所定期間の許容範囲が設定されている場合に、前記プロセッサは、前記テスト期間において、前記ウォッチドッグタイマから前記異常通知を出力させるべく、前記ウォッチドッグタイマに対し、前記カウンタのカウント値を前記許容範囲に入る前のカウント値にする情報をテスト信号として出力した直後に、テスト用の前記クリア信号を出力し、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記ウォッチドッグタイマの異常を検出する検査装置を提供する。
このような構成によれば、ウォッチドッグタイマにおいて、カウンタをリセットさせるクリア信号が、所定期間内にプロセッサから取得されない場合に、ウォッチドッグタイマからプロセッサに対して、プロセッサの異常が通知される。また、プロセッサが通常のプログラム処理を実行させる期間である通常期間と、プロセッサのプログラム処理に支障を来たさない期間であるテスト期間とのうち、テスト期間において、ウォッチドッグタイマの異常が検査される。このように、プロセッサのプログラム処理に支障を来たさないテスト期間中において、プロセッサによるウォッチドッグタイマの異常有無が検査されるので、ウォッチドッグタイマの検査のために、プロセッサにおけるプログラム処理が中断されることがない。また、プロセッサのプログラム処理の中断なくオンラインで検知できることにより、ＥＮ５０１５６等の安全関連規格に準拠が必要なアプリケーションにも適用できる。
また、テスト期間中に、プロセッサから出力されるテスト信号に応じたウォッチドッグタイマからの異常通知が、プロセッサで取得されない場合に、ウォッチドッグタイマの異常として検出される。このように、ウォッチドッグタイマのテスト期間中であっても、ウォッチドッグタイマからプロセッサへの異常通知を検出することによって、ウォッチドッグタイマまたはウォッチドッグタイマとプロセッサとの経路のテストが行え、異常通知を行う経路に異常が生じている場合には、その異常を検出することができる。これにより、より広範囲の故障検知が可能となる。また、異常通知とは、例えば、優先度の高いマスク可能割込み、もしくは、ソフトウェアからマスク不能割り込み（ＮＭＩ：Ｎｏｎ−Ｍａｓｋａｂｌｅ Ｉｎｔｅｒｒｕｐｔ）を実行する割り込み信号等である。さらに、ウォッチドッグタイマは１つあればよいので、複数のウォッチドッグタイマを用いる場合と比較してコストを低減することができる。
ウォッチドッグタイマのカウンタは、所定期間の許容範囲に入る前のカウント値にされた直後に、テスト用のクリア信号を取得することで、所定期間の許容範囲外でクリア信号を取得することとなるので、プロセッサに対して異常通知を出力する。これにより、カウンタの早すぎるリセットタイミングを検出することができる。

上記検査装置において、前記通常期間と前記テスト期間との期間が規定され、各前記期間のタイミングを切り替えるスケジューラ手段を具備することとしてもよい。
スケジューラ手段によって通常期間とテスト期間との切り替えが行われるので、簡便にタイミングの切り替えが行われる。

上記検査装置の前記ウォッチドッグタイマは、複数の前記カウンタを具備し、一方の前記カウンタのカウント値が前記テスト信号に基づいて調整された場合であっても、他方の前記カウンタのカウント値を調整せず、前記テスト期間から前記通常期間に移行する場合に、一方の前記カウンタのカウント値を他方の前記カウンタのカウント値に一致させることとしてもよい。
これにより、テスト信号によってカウント値が調整され、カウンタの計測タイミングにずれが生じる場合であっても、速やかに本来のカウント値に戻すことができ、プロセッサ
からのリセット信号の監視が正確に実施できる。

本発明は、プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査方法であって、前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とが規定されている場合に、前記テスト期間において、前記クリア信号を出力させず、前記ウォッチドッグタイマに備えられる前記カウンタのカウント値を前記所定期間満了の直前のカウント値にさせる情報をテスト信号とし、前記ウォッチドッグタイマから前記異常通知を出力させるべく、前記プロセッサから前記ウォッチドッグタイマに前記テスト信号を出力する過程と、前記テスト信号に応じた前記ウォッチドッグタイマからの前記異常通知が、前記プロセッサに取得されない場合に、前記プロセッサにおいて前記ウォッチドッグタイマの異常を検出する過程とを有する検査方法を提供する。

本発明は、プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査プログラムであって、前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とが規定されている場合に、前記テスト期間において、前記クリア信号を出力させず、前記ウォッチドッグタイマに備えられる前記カウンタのカウント値を前記所定期間満了の直前のカウント値にさせる情報をテスト信号とし、前記ウォッチドッグタイマから前記異常通知を出力させるべく、前記プロセッサから前記ウォッチドッグタイマに前記テスト信号を出力させる処理と、前記テスト信号に応じた前記ウォッチドッグタイマからの前記異常通知が、前記プロセッサに取得されない場合に、前記プロセッサにおいて前記ウォッチドッグタイマの異常を検出させる処理とをコンピュータに実行させるための検査プログラムを提供する。
本発明は、プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査方法であって、前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とが規定されている場合に、前記テスト期間において、前記クリア信号を出力させず、前記ウォッチドッグタイマから前記異常通知を出力させるべく前記ウォッチドッグタイマに前記プロセッサからテスト信号を出力させる過程と、前記ウォッチドッグタイマが前記テスト信号を取得した場合に、前記カウンタのカウント値を前記所定期間満了の直前の値にさせ、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記プロセッサにより前記ウォッチドッグタイマの異常を検出させる過程とを有する検査方法を提供する。
本発明は、プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査プログラムであって、前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とが規定されている場合に、前記テスト期間において、前記クリア信号を出力させず、前記ウォッチドッグタイマから前記異常通知を出力させるべく前記ウォッチドッグタイマに前記プロセッサからテスト信号を出力させる処理と、前記ウォッチドッグタイマが前記テスト信号を取得した場合に、前記カウンタのカウント値を前記所定期間満了の直前の値にさせ、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記プロセッサにより前記ウォッチドッグタイマの異常を検出させる処理とをコンピュータに実行させるための検査プログラムを提供する。
本発明は、プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査方法であって、前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とを有し、前記所定期間の許容範囲が設定されている場合に、前記テスト期間において、前記ウォッチドッグタイマから前記異常通知を出力させるべく、前記プロセッサから前記ウォッチドッグタイマに対し、前記カウンタのカウント値を前記許容範囲に入る前のカウント値にする情報をテスト信号として出力させる過程と、前記テスト信号を出力した直後に、テスト用の前記クリア信号を出力させ、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記ウォッチドッグタイマの異常を検出させる過程とを有する検査方法を提供する。
本発明は、プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査プログラムであって、前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とを有し、前記所定期間の許容範囲が設定されている場合に、前記テスト期間において、前記ウォッチドッグタイマから前記異常通知を出力させるべく、前記プロセッサから前記ウォッチドッグタイマに対し、前記カウンタのカウント値を前記許容範囲に入る前のカウント値にする情報をテスト信号として出力させる処理と、前記テスト信号を出力した直後に、テスト用の前記クリア信号を出力させ、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記ウォッチドッグタイマの異常を検出させる処理とをコンピュータに実行させるための検査プログラムを提供する。

本発明は、ＣＰＵを停止せずにウォッチドッグタイマの検査を行うとともに、ウォチドッグタイマからＣＰＵに対する異常通知ラインの検査ができるという効果を奏する。

本発明の第１の実施形態に係る検査装置の概略構成を示したブロック図である。 本発明の第１の実施形態および第２の実施形態に係る検査装置の機能ブロック図である。 ＷＤＴに備えられるカウンタのカウントアップを説明するための図である。 本発明の第１の実施形態に係る検査装置の動作フローである。 本発明の第２の実施形態に係る検査装置におけるＷＤＴに備えられるカウンタを説明するための図である。 本発明の第３の実施形態に係る検査装置におけるＷＤＴを説明するための図である。

以下に、本発明に係る検査装置及び方法並びにプログラムの一実施形態について、図面を参照して説明する。
〔第１の実施形態〕
以下、本発明の第１の実施形態について、図１を用いて説明する。
図１は、本実施形態に係る検査装置の概略構成を示したブロック図である。
図１に示すように、本実施形態に係る検査装置１０は、コンピュータシステム（計算機システム）であり、ＣＰＵ（中央演算処理装置）１１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等の主記憶装置１２、補助記憶装置１３、キーボードやマウスなどの入力装置１４、及びディスプレイやプリンタなどの出力装置１５、外部の機器と通信を行うことにより情報の授受を行う通信装置１６などで構成されている。
補助記憶装置１３は、コンピュータ読取可能な記録媒体であり、例えば、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等である。この補助記憶装置１３には、各種プログラム（例えば、検査プログラム）が格納されており、ＣＰＵ１１が補助記憶装置１３から主記憶装置１２にプログラムを読み出し、実行することにより種々の処理を実現させる。

また、本実施形態においては、検査装置１０が、コンピュータシステムであることとして説明するが、これに限定されない。例えば、何らかの制御を行う制御装置に設けられることとしてもよく、制御装置に設けられる場合には、入力装置１４は、キーボードやマウスに代えて入力モジュール、出力装置１５は、ディスプレイやプリンタに代えて出力モジュールとされる。

次に、上述した検査装置１０が備える各部において実行される処理内容について図２を参照して説明する。なお、図２に示した各部により実現される後述の各種処理は、ＣＰＵ１１が補助記憶装置１３に記憶されている検査プログラムを主記憶装置１２に読み出して実行することにより実現されるものである。
図２は、検査装置１０が備える機能を展開して示した機能ブロック図である。図２に示されるように、検査装置１０は、ＣＰＵ（プロセッサ）１１、ウォッチドッグタイマ（以下「ＷＤＴ」という）２０、及びスケジューラ部（スケジューラ手段）２１を備えている。

スケジューラ部２１は、通常期間とテスト期間との期間を規定しており、ＣＰＵ１１に対して、各期間の切り替え指示を出力する。具体的には、スケジューラ部２１は、現在の実行処理を管理する管理部（図示略）と、各処理の実行状態を管理しており、スケジューリング順序が記載されたテーブルもしくはスケジューリングアルゴリズムを有し、これに従って、次に実施する処理の決定（スケジューリング）と切り替え（ディスパッチ）を行う。また、スケジューラ部２１は、例えば、外部タイマーから起動されるタイマハンドラや各処理からのシステムコール等により駆動される。
ここで、通常期間は、ＣＰＵ１１に通常のプログラム処理を実行させる期間であり、テスト期間は、ＣＰＵ１１の通常のプログラム処理に支障を来たさない期間であり、検査装置１０の各期間の稼働状態を通常モード及びＷＤＴテストモードという。また、プログラム処理に支障を来たさない期間とは、例えば、定周期処理の空き時間（アイドル期間）である。

ＣＰＵ１１は、通常期間において通常時のプログラムを実行する通常プログラム処理部１１１と、異常時のプログラム及びＷＤＴ２０のテスト用プログラムを含む割込みハンドラを実行する割込処理部１１２とを備えている。
通常プログラム処理部１１１は、通常期間において、ＷＤＴ２０に対し、ＷＤＴ２０に備えられるカウンタ２０１（詳細は後述する）を初期値にさせる信号であるクリア信号を所定間隔で出力する。具体的には、通常期間において、通常プログラム処理部１１１は、実行中のプログラムが暴走または停止等の異常状態でない場合に、クリア信号を所定間隔で出力する。

割込処理部１１２は、ＷＤＴ２０から取得する割込み処理の指令に基づいて、通常期間であれば異常時のプログラムを処理し、テスト期間であればＷＤＴ２０のテスト用プログラムを処理する。割込処理部１１２がＷＤＴ２０のテスト用のプログラムを処理する場合、スケジューラ部２１からのテスト期間の開始指令に基づいて、ＷＤＴ２０の動作の異常有無を検査するＷＤＴ２０のテスト（以下「ＷＤＴテスト」という）をする。具体的には、割込処理部１１２は、ＷＤＴテストモードである旨が通知されるフラグに基づいてテスト期間であることを検出し、ＷＤＴテストモードが開始されたことを検出すると、補助記憶装置１３等に記憶されているＷＤＴ２０のテスト用プログラムを読み出し、クリア信号は出力せず、ＷＤＴ２０から異常通知を出力させるべくＷＤＴ２０にテスト信号を出力する。

例えば、割込処理部１１２は、ＷＤＴテストが開始されると、クリア信号を出力せず、ＷＤＴ２０のカウンタ２０１が所定期間（例えば、０から５０）満了の直前のカウント値（例えば、４９）の情報と、ＷＤＴテストを開始する通知情報とを含むテスト信号を、ＷＤＴ２０に出力する。また、割込処理部１１２は、テスト信号を出力したにも関わらず、ＷＤＴ２０から異常通知を取得しない場合に、ＷＤＴ２０とＣＰＵ１１との経路またはＷＤＴ２０に異常があると判定する。また、割込処理部１１２は、出力したテスト信号に応じてＷＤＴ２０から異常通知が取得された場合に、ＷＤＴ２０とＣＰＵ１１との経路、およびＷＤＴ２０に異常はないと判定する。

割込処理部１１２が、ＷＤＴ２０とＣＰＵ１１との経路またはＷＤＴ２０に異常があると判定した場合には、異常時とみなしてＣＰＵ１１を終了する。また、割込処理部１１２が、ＷＤＴ２０およびＷＤＴ２０とＣＰＵ１１との経路に異常はないと判定した場合には、ＷＤＴ２０に対し、ＷＤＴテストモードから通常モードへの復帰指令を出力する。
一方、割込処理部１１２が異常時のプログラムを処理する場合、割込処理部１１２は、異常時のプログラムに基づいて処理を実行する。

ＷＤＴ２０は、カウンタ２０１と出力部２０２とを備えている。カウンタ２０１は、ＣＰＵ１１からの処理開始信号に基づいてカウント上昇を開始し（例えば、１ずつカウント値を上昇させる）、時間の計測を開始する。カウンタ２０１は、所定期間内にクリア信号を取得しない場合に、タイムアウトを検出する。出力部２０２は、カウンタ２０１のタイムアウト検出に応じて、ＣＰＵ１１に対し、異常通知を出力する。異常通知は、例えば、優先度の高いマスク可能割り込み、もしくは、ソフトウェアからマスク不能割り込み（ＮＭＩ：Ｎｏｎ−Ｍａｓｋａｂｌｅ Ｉｎｔｅｒｒｕｐｔ）を実行する割り込み信号等である。

また、カウンタ２０１は、テスト期間において、取得したテスト信号に基づいて通常上昇（例えば、１ずつ）されるよりも大きくカウンタ値を上昇させるカウントアップを行い、クリア信号を所定期間内に取得しない場合に、タイムアウトを検出する。出力部２０２は、カウンタ２０１においてタイムアウトが検出されると、ＣＰＵ１１に対して異常通知を出力する。

例えば、図３に示されるように、ＷＤＴテストが開始されると、ＣＰＵ１１から取得したテスト信号（例えば、ＷＤＴテストを開始し、カウント値を４９にするという情報）に基づいてＷＤＴ２０のカウンタ２０１は、カウントアップ（例えば、カウント値４９に変更）され、ＷＤＴ２０がタイムアウトするまでのカウント値を短くする（例えば、テスト期間Ｔにする）。テスト期間においては、ＣＰＵ１１からクリア信号は出力されないので、カウンタ２０１は、所定期間内にクリア信号を検出できない状態となり、カウンタ２０１はタイムアウトを検出することとなる。このように、カウンタ２０１がタイムアウトするまでの時間が短くなるので、出力部２０２から異常通知を出力させるまでにかかる時間を低減することができ、ＷＤＴテストにかかる時間を低減することができる。

次に、本実施形態に係る検査装置１０の作用について図２および図４を用いて説明する。
通常期間からテスト期間に移行される旨が、スケジューラ部２１からＣＰＵ１１に通知されると、ＣＰＵ１１から割込処理部１１２に対し、テストモードフラグが有効にされたテストモードの通知情報が通知される（ステップＳＡ１）。テストモードであることが通知された割込処理部１１２からＷＤＴ２０に対し、テスト信号が出力され、ＷＤＴ２０にＷＤＴテストが開始される旨が通知される（ステップＳＡ２）。ＷＤＴ２０において、ＷＤＴテストの開始が検出されると、カウンタ２０１がカウントアップされ、ＷＤＴ２０のタイムアウトが発生しているか否かが判定される（ステップＳＡ３）。

ＷＤＴ２０のカウンタ２０１においてタイムアウトが検出された場合には、出力部２０２からＣＰＵ１１に対し、割込処理として異常通知ラインを介して、異常通知が出力される（ステップＳＡ４）。ＣＰＵ１１の割込処理部１１２において、異常通知が取得されると、テストモードか否かが判定される（ステップＳＡ５）。ＣＰＵ１１においてテストモードであると判定された場合には、テストモードフラグがクリアされる（ステップＳＡ６）。一定時間経過後、ＣＰＵ１１から割込処理部１１２内（または割り込みハンドラから呼ばれるサブルーチン）内のテストフラグの値が検出される（ステップＳＡ７）。一方、ステップＳＡ３において、ＷＤＴ２０のタイムアウトが発生しているにも関わらず、カウンタ２０１のタイムアウトが検出されない場合には、一定時間経過後にテストフラグの値が検出される（ステップＳＡ７）。

続いて、ＣＰＵ１１において、テストモードでないか否かが判定され（ステップＳＡ８）、テストモードでない場合には、ＣＰＵ１１からＷＤＴ２０に対し、通常のＷＤＴ２０の動作に復帰させる指令が出力される（ステップＳＡ９）。ＷＤＴ２０は、復帰指令を取得すると、ＷＤＴテストモードから通常モードに復帰し（ステップＳＡ１０）、本処理を終了する。また、ステップＳＡ８においてテストモードでないか否かが判定され、テストモードである場合（例えば、ステップＳＡ３においてＷＤＴのタイムアウトを検出せず、テストモードフラグがクリアされていない場合）には、ＷＤＴ２０とＣＰＵ１１との経路またはＷＤＴ２０に異常があると判定され、ＣＰＵ１１単体で異常終了される（ステップＳＡ１１）。
なお、ステップＳＡ５において、テストモードか否かが判定され、テストモードでないと判定された場合には、ＣＰＵ１１が自身の異常を検出し、ＣＰＵ１１単体で終了され、本処理を終了する（ステップＳＡ１１）。

以上説明してきたように、本実施形態に係る検査装置１０及び方法並びにプログラムによれば、ＣＰＵ１１が通常のプログラム処理を実行させる期間である通常期間と、ＣＰＵ１１の通常のプログラム処理に支障を来たさない期間であるテスト期間とのうち、テスト期間において、ＷＤＴ２０の異常が検査される。このように、ＣＰＵ１１の通常のプログラム処理に支障を来たさないテスト期間中において、ＣＰＵ１１によるＷＤＴ２０の異常有無が検査されるので、ＷＤＴ２０の検査のために、ＣＰＵ１１における通常のプログラム処理が中断されることがない。また、ＣＰＵ１１における通常のプログラム処理が中断されることなくオンラインで検査できるので、ウォッチドッグタイマのような異常検出・保護装置自体の異常も検出できることが要求される、ＥＮ５０１５６等の安全関連規格に準拠が必要なアプリケーションにも適用できる。

また、テスト期間中に、ＣＰＵ１１から出力されるテスト信号に応じてＷＤＴ２０から出力される異常通知が、ＣＰＵ１１で取得されない場合に、ＷＤＴ２０の異常が検出される。このように、ＷＤＴ２０のテスト期間中であっても、ＷＤＴ２０からＣＰＵ１１への異常通知を検出するので、ＷＤＴ２０およびＷＤＴ２０からＣＰＵ１１の経路のテストが行え、異常通知を行う経路に異常が生じている場合には、その異常を検出することができる。これにより、より広範囲の故障検知が可能となる。さらに、ＷＤＴ２０は１つあればよく、複数のＷＤＴ２０を用いる場合と比較してコストを低減することができる。

なお、本実施形態においては、ＣＰＵ１１から出力するテスト信号に、ＷＤＴ２０のカウント値を所定期間満了の直前のカウント値に変更する情報を含むこととしていたが、これに限定されない。例えば、ＣＰＵ１１から出力されるテスト信号は、ＷＤＴテストを開始する通知情報だけを含み、テスト信号を取得したＷＤＴ２０が、テスト信号に基づいて、カウント値を予め規定された所定期間満了の直前のカウント値に変更することとしてもよい。これにより、ＣＰＵ１１から出力するテスト信号を簡易なものとすることができる。

また、本実施形態においては、ＷＤＴ２０が有するカウンタは、カウント値を初期値（例えば、０）から所定値（例えば、５０）まで増加させるカウントアップ方式であったが、これに限定されず、カウント値を初期値（例えば、５０）から所定値（例えば、０）まで減少させるカウントダウン方式であってもよいこととする。

また、本実施形態においては、ＣＰＵ１１とＷＤＴ２０とを同一の装置（コンピュータシステム）内に備えることにより検査装置を構成することとしていたが、これに限定されない。例えば、ＣＰＵ１１が備えられるコンピュータシステムと、ＷＤＴ２０とを通信可能（情報の授受可能）に接続することにより検査装置を構成することとしてもよい。

〔第２の実施形態〕
次に、本発明の第２の実施形態に係る検査装置について、図２および図５を用いて説明する。本実施形態の検査装置が第１の実施形態と異なる点は、所定期間の許容範囲を予め設定している場合に、ＣＰＵ１１から、ＷＤＴ２０のカウント値を許容範囲に入る前の値にするテスト信号を出力する点である。以下、本実施形態の検査装置について、第１の実施形態と共通する点については説明を省略し、異なる点について主に説明する。

本実施形態においては、図５に示されるように、所定期間の許容範囲を２１から６０とし、ＣＰＵ１１から出力するテスト信号に含まれる所定範囲前のカウント値が許容範囲より前の１０に設定されている場合を例に挙げて説明する。なお、許容範囲を２１から６０とし、許容範囲より前のカウント値を１０として説明するが、許容範囲および許容範囲以前のカウント値は、これに限定されない。

テスト期間中において、ＣＰＵ１１は、ＷＤＴ２０に対し、許容範囲より前のカウント値１０を設定させるテスト信号を出力する。続いて、ＣＰＵ１１は、テスト用のクリア信号（以下「テストクリア信号」という）を出力する。テストクリア信号は、テスト期間において、ＷＤＴ２０のカウンタ２０１のカウンタ値を初期値にさせる信号である。
時刻ｔ１において、ＷＤＴ２０は、テスト信号とテストクリア信号とを受信すると、テスト期間において、テスト信号に基づいてカウンタ２０１のカウント値を許容範囲より前のカウント値（例えば、カウント値１０）に設定する。また、ＷＤＴ２０は、その直後にテストクリア信号を取得すると、許容範囲外でクリア信号を取得したことを検出し、ＣＰＵ１１に異常通知を出力する。換言すると、ＷＤＴ２０は、ＣＰＵ１１からのクリア信号の出力タイミングが早すぎることを検出し、ＣＰＵ１１に異常通知を出力する。

また、ＷＤＴ２０が、カウンタ２０１のカウント値を許容範囲より前の値に設定した直後に、テストクリア信号を取得しているにも関わらず、ＣＰＵ１１に異常通知を出力していない場合には、ＣＰＵ１１早すぎるリセットタイミングを検出できていないことを意味する。
このように、ＣＰＵ１１は、許容範囲より前のカウント値を設定させるテスト信号を出力し、その直後にカウンタ２０１のクリア信号（テストクリア信号）を出力し、ＷＤＴ２０からの異常通知の有無を検出することによって、早すぎるリセットタイミングを検出できるか否かのＷＤＴテストを実施することができる。

〔変形例〕
また、本実施形態においては、ＣＰＵ１１からＷＤＴ２０に対し、所定範囲より前のカウント値を含む情報をテスト信号としていたが、これに代えて、ＣＰＵ１１からカウンタ２０１のカウント値を初期値（例えば、０）に設定する信号をテスト信号として、早すぎるリセットタイミングを検出することとしてもよい。

〔第３の実施形態〕
次に、本発明の第３の実施形態に係る検査装置について、図６を用いて説明する。本実施形態の検査装置が第１の実施形態、第２の実施形態と異なる点は、ＷＤＴ２０が複数のカウンタを備えている点である。以下、本実施形態の検査装置について、第１、第２の実施形態と共通する点については説明を省略し、異なる点について主に説明する。
ＷＤＴ２０は、複数のカウンタを具備しており、一方のカウンタがテスト信号に基づいてカウント値が調整された場合であっても、他方のカウンタはカウント値を調整せず、テスト期間から通常期間に移行する場合に、一方のカウンタのカウント値を他方のカウンタのカウント値に一致させる。

例えば、図６には、ＷＤＴ２０に、２つのカウンタＣａ，Ｃｂが設けられていることが示されている。カウンタＣａは、通常期間及びテスト期間である場合に、ＷＤＴ２０のカウンタとして使用される。一方、カウンタＣｂは、カウンタＣａがテスト期間から通常期間に移行する場合に参照されるコピー用のカウンタである。図６に示されるように、時刻ｔ２において、ＷＤＴ２０のテストが開始されると、カウンタＣａのカウント値が、ＣＰＵ１１からのテスト信号に基づいてカウントアップ（例えば、所定期間満了の直前のカウント値まで大きく上昇）され、カウンタＣｂのカウント値はテスト期間であっても、通常期間におけるカウント上昇（例えば、１ずつカウント上昇）が継続される。

時刻ｔ３において、ＷＤＴ２０のテストが終了した場合には、ＷＤＴテストモードから通常モードに移行される。このとき、カウンタＣａのカウント値は、時刻ｔ３におけるカウンタＣｂのカウント値を参照し、コピーされる。
このように、カウンタＣａがカウントアップされてカウント値が制御されたことによってカウンタの計測タイミングにずれが生じても、ＷＤＴテストモードから通常モードに移行する場合に修正されるので、テスト期間から通常期間に復帰した場合であっても、ＣＰＵ１１からのリセット信号の監視が正確に実施できる。

本実施形態において、複数のカウンタは、複数のハードウェアタイマを用いて構成することとして説明していたが、これに限定されない。例えば、単一のハードウェアタイマを用いてソフトウェアによって構成されるソフトウェアタイマを用いることとしてもよいし、ハードウェアタイマとソフトウェアタイマとの組み合わせによって構成されることとしてもよい。

１０ 検査装置
１１ ＣＰＵ
２０ ＷＤＴ
２１ スケジューラ部
２０１ カウンタ

Claims (11)

1. プロセッサと、
   前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備し、
   前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とを有し、
   前記プロセッサは、
   前記テスト期間において、前記クリア信号を出力せず、前記ウォッチドッグタイマに備えられる前記カウンタのカウント値を前記所定期間満了の直前のカウント値にさせる情報をテスト信号とし、前記ウォッチドッグタイマから前記異常通知を出力させるべく前記ウォッチドッグタイマに前記テスト信号を出力し、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記ウォッチドッグタイマの異常を検出する検査装置。
2. プロセッサと、
   前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備し、
   前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とを有し、
   前記プロセッサは、
   前記テスト期間において、前記クリア信号を出力せず、前記ウォッチドッグタイマから前記異常通知を出力させるべく前記ウォッチドッグタイマにテスト信号を出力し、
   前記ウォッチドッグタイマは、
   前記テスト信号を取得した場合に、前記カウンタのカウント値を前記所定期間満了の直前の値にし、
   前記プロセッサは、
   前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記ウォッチドッグタイマの異常を検出する検査装置。
3. プロセッサと、
   前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備し、
   前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とを有し、
   前記所定期間の許容範囲が設定されている場合に、
   前記プロセッサは、
   前記テスト期間において、前記ウォッチドッグタイマから前記異常通知を出力させるべく、前記ウォッチドッグタイマに対し、前記カウンタのカウント値を前記許容範囲に入る前のカウント値にする情報をテスト信号として出力した直後に、テスト用の前記クリア信号を出力し、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記ウォッチドッグタイマの異常を検出する検査装置。
4. 前記通常期間と前記テスト期間との期間が規定され、各前記期間のタイミングを切り替えるスケジューラ手段を具備する請求項１から請求項３のいずれかに記載の検査装置。
5. 前記ウォッチドッグタイマは、複数の前記カウンタを具備し、
   一方の前記カウンタのカウント値が前記テスト信号に基づいて調整された場合であっても、他方の前記カウンタのカウント値を調整せず、前記テスト期間から前記通常期間に移行する場合に、一方の前記カウンタのカウント値を他方の前記カウンタのカウント値に一致させる請求項１から請求項４のいずれかに記載の検査装置。
6. プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査方法であって、
   前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とが規定されている場合に、
   前記テスト期間において、前記クリア信号を出力させず、前記ウォッチドッグタイマに備えられる前記カウンタのカウント値を前記所定期間満了の直前のカウント値にさせる情報をテスト信号とし、前記ウォッチドッグタイマから前記異常通知を出力させるべく、前記プロセッサから前記ウォッチドッグタイマに前記テスト信号を出力する過程と、
   前記テスト信号に応じた前記ウォッチドッグタイマからの前記異常通知が、前記プロセッサに取得されない場合に、前記プロセッサにおいて前記ウォッチドッグタイマの異常を検出する過程と
   を有する検査方法。
7. プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査プログラムであって、
   前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とが規定されている場合に、
   前記テスト期間において、前記クリア信号を出力させず、前記ウォッチドッグタイマに備えられる前記カウンタのカウント値を前記所定期間満了の直前のカウント値にさせる情報をテスト信号とし、前記ウォッチドッグタイマから前記異常通知を出力させるべく、前記プロセッサから前記ウォッチドッグタイマに前記テスト信号を出力させる処理と、
   前記テスト信号に応じた前記ウォッチドッグタイマからの前記異常通知が、前記プロセッサに取得されない場合に、前記プロセッサにおいて前記ウォッチドッグタイマの異常を検出させる処理と
   をコンピュータに実行させるための検査プログラム。
8. プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査方法であって、
   前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とが規定されている場合に、
   前記テスト期間において、前記クリア信号を出力させず、前記ウォッチドッグタイマから前記異常通知を出力させるべく前記ウォッチドッグタイマに前記プロセッサからテスト信号を出力させる過程と、
   前記ウォッチドッグタイマが前記テスト信号を取得した場合に、前記カウンタのカウント値を前記所定期間満了の直前の値にさせ、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記プロセッサにより前記ウォッチドッグタイマの異常を検出させる過程とを有する検査方法。
9. プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査プログラムであって、
   前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とが規定されている場合に、
   前記テスト期間において、前記クリア信号を出力させず、前記ウォッチドッグタイマから前記異常通知を出力させるべく前記ウォッチドッグタイマに前記プロセッサからテスト信号を出力させる処理と、
   前記ウォッチドッグタイマが前記テスト信号を取得した場合に、前記カウンタのカウント値を前記所定期間満了の直前の値にさせ、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記プロセッサにより前記ウォッチドッグタイマの異常を検出させる処理とをコンピュータに実行させるための検査プログラム。
10. プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査方法であって、
    前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とを有し、前記所定期間の許容範囲が設定されている場合に、
    前記テスト期間において、前記ウォッチドッグタイマから前記異常通知を出力させるべく、前記プロセッサから前記ウォッチドッグタイマに対し、前記カウンタのカウント値を前記許容範囲に入る前のカウント値にする情報をテスト信号として出力させる過程と、
    前記テスト信号を出力した直後に、テスト用の前記クリア信号を出力させ、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記ウォッチドッグタイマの異常を検出させる過程とを有する検査方法。
11. プロセッサと、前記プロセッサから、カウンタをリセットさせるクリア信号を所定期間内に取得しない場合に、前記プロセッサに対して、前記プロセッサの異常を通知する異常通知を出力するウォッチドッグタイマと、を具備する検査装置の検査プログラムであって、
    前記プロセッサに通常のプログラム処理を実行させる期間である通常期間と、前記プロセッサの前記プログラム処理に支障を来たさない期間であるテスト期間とを有し、前記所定期間の許容範囲が設定されている場合に、
    前記テスト期間において、前記ウォッチドッグタイマから前記異常通知を出力させるべく、前記プロセッサから前記ウォッチドッグタイマに対し、前記カウンタのカウント値を前記許容範囲に入る前のカウント値にする情報をテスト信号として出力させる処理と、
    前記テスト信号を出力した直後に、テスト用の前記クリア信号を出力させ、前記ウォッチドッグタイマから前記異常通知が取得できない場合に、前記ウォッチドッグタイマの異常を検出させる処理とをコンピュータに実行させるための検査プログラム。

Images