JP5517301B2 - データ処理システム - Google Patents

Description

本発明は、複数個のＣＰＵ（中央処理装置）を有するデータ処理システムにおいてＣＰＵの異常を予知する技術に関し、例えば１チップの半導体集積回路化されたマイクロコンピュータに適用して有効な技術に関する。

複数個のＣＰＵを有するデータ処理システムによって機能分散型システムを構成する場合に、夫々のＣＰＵには夫々に固有の機能が割り当てられる。そのようなＣＰＵ及びプログラムによって実現される機能単位は便宜上ドメインとも称される。夫々のドメインには固有のオペレーティングシステム（ＯＳ）やアクセラレータを含む場合もある。このような機能分散型システムは１チップで半導体集積回路化されることによって、機能増加要求および複数システムの統合によるコスト低減要求に応えることができる。夫々のドメインは夫々に割り当てられた固有のメモリ領域、共有メモリ領域、共有リソースなどを必要に応じてアクセスしながら、相互に通信を行ってデータ処理を行う。

この種のシステムオンチップ（ＳｏＣ）のマイクロコンピュータなどにおいて、一のドメインのデータ処理結果を他のドメインが利用する場合が多々ある。他のドメインのデータ処理が例えばリアルタイム性を要する処理である場合に一のドメインのデータ処理の遅延は当該他のドメインによる正常なデータ処理に致命的な影響を与える場合がある。このような事態に予め対処するには、例えば、第１のドメインから第２のドメインへのリクエストを発行して返信がくるまでの許容時間を設定して、もしこの許容時間を超えても返信が無い場合には、第１のドメイン側で何らかの重大な障害が発生したと判断して、予め対応するエラー処理実行のための指示を発行すればよい。しかしながら、その許容時間を短く設定すると、単に第２のドメイン側で一時的なメモリアクセス集中などの障害が発生している場合でも重大な障害発生と判断されてしまう。また、この許容時間を長く設定すると、第１のドメイン側のリアルタイム制約が破られてしまい、システムとして回復不可能な状態になるまで第２のドメインからの応答を待ってしまうことになる。第２のドメイン側の異常の徴候を事前に検出しておくことができれば、第１のドメイン側のリアルタイム制約を回復可能なレベルで異常時の予防処理を第１のドメイン側で実施でき、システムの安定性に寄与することができる。

ドメインの異常兆候を事前に検出する技術として、例えば、特許文献１にはシステムのヘルスチェック機能として、監視ＣＰＵが被監視ＣＰＵに対して、所定の値を転送し、これに応答して被監視ＣＰＵは転送された値を監視ＣＰＵに返すことで監視ＣＰＵは被監視ＣＰＵが正常であることを判定する技術が記載される。

特許文献２には、タイマのタイムアウトにより被監視ＣＰＵは監視ＣＰＵに対して被監視ＣＰＵで計算した値を転送する。監視ＣＰＵは自分が管理している値と被監視ＣＰＵから転送された値を照合して、一致していたら被監視ＣＰＵが異常である、すなわち、新たに正しい値を計算できなかった、と判別する技術について記載される。

特開平０８−３０５６７５号公報 特開平１１−０３９０３２号公報

しかしながら、特許文献１は、一回のチェックで不一致であればその時点で異常と判定してしまうので、安全な復帰ができないか、あるいは、厳しすぎる制約条件を課してしまうことにもなる。よって、システムの安全性を優先させることと可用性（稼動性）を優先させることとの間に選択の幅が狭くなり、異常徴候の事前検出による実効性を得ることがむずかしいと考えられる。特許文献２についても一回の異常もしくは登録遅れでのみ異常を判定するので、上記同様の問題がある。

本発明の目的は、システムの安全性を優先させることと稼動性を優先させることとの間の選択の幅が広くなるように異常の兆候を検出することができるデータ処理システムを提供することにある。

本発明の前記並びにその他の目的と新規な特徴は本明細書の記述及び添付図面から明らかになるであろう。

本願において開示される発明のうち代表的なものの概要を簡単に説明すれば下記の通りである。

すなわち、ＣＰＵの処理における着目する現象の累積的な履歴に基づいて異常の徴候を検出する予知回路を採用する。予知回路は、前記ＣＰＵからの定期的通知の最新の通知タイミングの情報をそのＣＰＵと対応させて保持すると共に、所定周期毎に前記最新の通知タイミングからの経過時間を取得し、目標値に対する前記経過時間の変化に応ずる履歴情報を前記ＣＰＵに対応させて逐次保持し、保持した履歴情報が所定の閾値に達することを検出することによって異常の兆候ありと判別する。

着目する現象の累積的な履歴に基づいて異常の徴候を検出するから、特定の事象が１回発生することによって異常の徴候があると判別する場合に比べて、異常の兆候を検出する場合にシステムの安全性を優先させることと稼動性を優先させることとの間の選択の幅が広くなる。

本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば下記のとおりである。

すなわち、システムの安全性を優先させることと稼動性を優先させることとの間の選択の幅が広くなるように異常の兆候を検出することができる。

図１は本発明の一実施の形態に係るマイクロコンピュータを示すブロック図である。 図２は中央処理装置に対するメモリ空間のマッピング例を示すアドレスマッピング図である。 図３は割り込みを利用してドメインＤＭＮ０がその一部の処理をドメインＤＭＮ１に負担させる場合の処理フローを例示するフローチャートである。 図４は異常予知回路ＰＲＤＣＴの構成を例示するブロック図である。 図５は図１に即した例としてエントリデータの格納領域とドメインとの対応を例示する説明図である。 図６は図５の場合におけるエントリデータの格納領域に対する初期設定例を示す説明図である。 図７は予知判別制御部ＰＣＮＴによる異常予知判定処理フローを例示するフローチャートである。 図８は予知判別制御部ＰＣＮＴによる判別動作タイミングを例示するタイミングチャートである。 図９は図８の動作にしたがって操作されるエントリデータの変化を例示するタイミングチャートである。 図１０は異常予知フローの別の例を示すフローチャートである。 図１１は異常予知フローの更に別の例を示すフローチャートである。 図１２はシャットダウンによるリカバリ処理の処理フローを例示するフローチャートである。 図１３はリブートによるリカバリ処理の処理フローを例示するフローチャートである。 図１４はメモリ退避によるリカバリ処理の処理フローを例示するフローチャートである。 図１５は分担打ち切りによるリカバリ処理の処理フローを例示するフローチャートである。 図１６はマイクロコンピュータの別の例を示すブロック図である。

１．実施の形態の概要
先ず、本願において開示される発明の代表的な実施の形態について概要を説明する。代表的な実施の形態についての概要説明で括弧を付して参照する図面中の参照符号はそれが付された構成要素の概念に含まれるものを例示するに過ぎない。

〔１〕＜定期的通知タイミングの履歴に基づく異常予知判定＞
本発明の代表的な実施の形態に係るデータ処理システム（ＭＣＵ）は、複数のＣＰＵ（ＣＰＵ０〜ＣＰＵ３）と、前記ＣＰＵの異常を予知するための判別を行う予知回路（ＰＲＤＣＴ）とを有する。前記予知回路は、前記ＣＰＵからの定期的通知の最新の通知タイミングの情報（Ｔｐ［０］、Ｔｐ［１］、Ｔｐ［２］）をそのＣＰＵと対応させて保持すると共に、所定周期毎に前記最新の通知タイミングからの経過時間（Ｔｄｉｆｆ）を取得し、目標値（Ｔｗ）に対する前記経過時間の変化に応ずる履歴情報（ＣＮＴ，ＡＣＣ）を前記ＣＰＵに対応させて逐次保持し、保持した履歴情報が所定の閾値（Ｃｗ）に達したとき、対応するＣＰＵに対するリカバリ処理を要求する（ＩＲＱ＿Ｒ）。

所定周期毎における前記最新の通知タイミングからの経過時間の変化という着目する現象の累積的な履歴に基づいて異常の徴候を検出するから、特定の事象が１回発生することによって異常の徴候があると判別する場合に比べて、システムの安全性を優先させることと稼動性を優先させることとの間の選択の幅が広くなるように異常の兆候を検出することができる。要するに、前記目標値と閾値の設定しだいで、システムの安定性を優先させるか稼動性を優先させるかの選択を、システム性能やシステムの要求仕様に応じて容易に行うことができるようになる。

〔２〕＜タイマのタイムアウトによる定期的通知＞
項１のデータ処理システムにおいて、前記ＣＰＵからの定期的通知は、第１のタイマ（ＴＭＲ０〜ＴＭＲ３）によるタイムアウト（ＩＲＱ０＿Ｔ〜ＩＲＱ３＿Ｔ）に起因してＣＰＵがプログラム処理を行って前記予知回路に与える通知である。

前記定期的通知を行うタイミングは第１のタイマに対するタイムアウトの設定によってプログラマブルに決めることができる。また、定期的通知の内容はＣＰＵが実行するプログラムによって任意に決めることができる。

〔３〕＜ＣＰＵ毎にプログラマブルなタイムアウト設定＞
項２のデータ処理システムにおいて、前記第１のタイマは、前記ＣＰＵ毎に異なるタイミングでタイムアウトを設定可能な複数のタイマチャネル（ＴＭＲ０〜ＴＭＲ３）を有する。

前記定期的通知を行うタイミングをＣＰＵ毎に設定することができる。

〔４〕＜タイマのタイムアウトによる所定周期の生成＞
項１乃至３のいずれかのデータ処理システムにおいて、前記所定周期は、第２のタイマ（ＴＭＲＨ）のタイムアウト（ＴＯＵＴ）の間隔に応ずる周期である。

前記所定周期は第２のタイマに対するタイムアウトの設定によってプログラマブルに決めることができる。

〔５〕＜定期的通知のタイミングを時刻情報で与える＞
項１乃至４のいずれかのデータ処理システムにおいて、前記通知タイミングの情報は、前記予知回路に前記定期的通知があったときの時刻情報である。

時刻情報とすることにより、前記通知タイミングの情報の取得が容易になる。

〔６〕＜定期的通知が遅延した累積回数による履歴情報＞
項５のデータ処理システムにおいて、前記履歴情報は、前記目標値に対して定期的通知が遅延した累積回数の情報である（図７）。

累積回数の多少は異常の兆候度合に対応し、どの程度の異常の兆候を検出対象とするかは閾値の設定に応じて決めればよい。

〔７〕＜定期的通知が遅延した累積時間による履歴情報＞
項５のデータ処理システムにおいて、前記履歴情報は、前記目標値に対して定期的通知が遅延した累積時間の情報である。

累積時間の多少は異常の兆候度合に対応し、どの程度の異常の兆候を検出対象とするかは閾値の設定に応じて決めればよい。

〔８〕＜定期的通知が間に合った回数と遅延した回数の差分による履歴情報＞
項５のデータ処理システムにおいて、前記履歴情報は、前記目標値に対して定期的通知が間に合った回数と遅延した回数の差分回数の情報である（図１０）。

差分回数は異常の兆候度合が変化する場合に異常の兆候からの回復を評価して異常の兆候度合を把握可能にする。

〔９〕＜定期的通知が間に合った余裕時間と遅延した時間との差分による履歴情報＞
項５のデータ処理システムにおいて、前記履歴情報は、前記目標値に対して定期的通知が間に合った余裕時間と遅延した時間との差分時間の情報である（図１１）。

差分時間は異常の兆候度合が変化する場合に異常の兆候からの回復を評価して異常の兆候度合を把握可能にする。

〔１０〕＜履歴情報などのエントリデータ格納領域＞
項５のデータ処理システムにおいて、前記予知回路はＣＰＵに対応するエントリデータの格納領域（ＥＴＲＹ０〜ＥＴＲＹｎ）を有し、前記エントリデータは前記通知タイミングの情報である時刻情報（Ｔｐ）、履歴情報（ＣＮＴ、ＡＣＣ）、目標値（Ｔｗ）、及び閾値（Ｃｗ）である。

予め夫々のＣＰＵに対応するエントリデータの格納領域を設けておくことにより、何れのＣＰＵに対しても異常の兆候を検出することが容易である。

〔１１〕＜エントリデータの初期設定＞
項１０のデータ処理システムにおいて、前記エントリデータの格納領域は所定のＣＰＵによって初期設定可能にされる。

異常の兆候の検出対象とされるＣＰＵによるデータ処理のリアルタイム性や処理速度などの性質に応じて前記目標値及び閾値を設定することができる。要するに、データ処理システムの機能や能力に応じてシステムの異常の兆候を検出可能になる。

〔１２〕＜対応するＣＰＵに対するリカバリ処理の要求＞
項１乃至１１のいずれかのデータ処理システムにおいて、前記対応するＣＰＵに対するリカバリ処理の要求は、リカバリ処理を行うＣＰＵへの割り込み要求（ＩＲＱ＿Ｒ）である。

割り込みを用いることによりリカバリ処理の内容を割り込み処理の内容によって任意に決定することが容易である。

〔１３〕＜割り込みコントローラ＞
項１２のデータ処理システムにおいて、前記割り込み要求に応答してＣＰＵに割り込み信号を出力する割り込みコントローラ（ＩＮＴＣ）を更に有する。

割り込み要求に対する割り込み優先レベルや割り込みベクタなどの制御をリカバリ処理にも容易に適用することができる。

〔１４〕＜シャットダウンによるリカバリ処理＞
項１乃至１３のいずれかのデータ処理システムにおいて、前記リカバリ処理は、対応するＣＰＵに対するシャットダウン処理である（Ｓ５１）。

異常の兆候があるＣＰＵの不所望な動作を完全に排除することができる。

〔１５〕＜リブートによるリカバリ処理＞
項１乃至１３のいずれかのデータ処理システムにおいて、前記リカバリ処理は、対応するＣＰＵに対するリブート処理である（Ｓ６１）。

異常の兆候があるＣＰＵの状態を初期化してから再度利用可能にすることができる。

〔１６〕＜メモリ退避によるリカバリ処理＞
項１乃至１３のいずれかのデータ処理システムにおいて、前記リカバリ処理は、対応するＣＰＵの内部状態をメモリに退避する処理である（Ｓ７１）。

メモリに退避した情報を用いてＣＰＵの状態を再構成可能になる。

〔１７〕＜分担打ち切りのリカバリ処理＞
項１乃至１３のいずれかのデータ処理システムにおいて、前記リカバリ処理は、対応するＣＰＵへの処理の分担を打ち切ってその処理を自ら負担する処理である（Ｓ８１，Ｓ８２）。

自らが処理を負担することによって処理が中断される事態を回避することができる。

〔１８〕＜半導体集積回路化されたマイクロコンピュータ＞
項１乃至１７のいずれかのデータ処理システムは、１個の半導体基板にマイクロコンピュータ（ＭＣＵ）として形成され。

機能分散型の上記データ処理システムを１チップで半導体集積回路化することによって、機能増加要求および複数システムの統合によるコスト低減要求に応えることができる。

２．実施の形態の詳細
実施の形態について更に詳述する。

《マイクロコンピュータ》
図１には本発明の一実施の形態に係るデータ処理システムが例示される。同図に示されるデータ処理システムは、特に制限されないが、例えば、自動車分野の制御系システムとナビゲーションなどの情報系システムをひとつの半導体集積回路上で実現したシステムオンチップ（ＳｏＣ）のマイクロコンピュータ（マクロプロセッサ、データ処理装置）などに適用される。

同図に示されるマイクロコンピュータＭＣＵは、例えば単結晶シリコンなどの１個の半導体基板にＣＭＯＳ集積回路製造技術などによって形成される。マイクロコンピュータＭＣＵは特に制限されないが２個のドメインＤＭＮ０（第１ドメイン），ＤＭＮ１（第２ドメイン）を有する。ドメインＤＭＮ０，ＤＭＮ１はＣＰＵとその動作プログラムによって実現される機能単位であり、ドメインＤＭＮ０は、中央処理装置ＣＰＵ０，中央処理装置ＣＰＵ０のリソースに対するメモリ管理やタスクの管理を行う上位のプログラムであるオペレーティングシステムＯＳ０、及びタスクを規定するためのアプリケーションプログラムＰＧＭ０を有する。同じくドメインＤＭＮ１は、中央処理装置ＣＰＵ１、オペレーティングシステムＯＳ１、及びアプリケーションプログラムＰＧＭ１を有する。

ドメインＤＭＮ０，ＤＭＮ１はシステムバスＢＵＳを共有し、システムバスＢＵＳにはリソースとして代表的に示された、メモリコントローラＭＣＮＴ、電気的に書き換え可能な不揮発性メモリＦＬＳＨ，第１タイマとしてのタイマ回路ＴＭＲ０，ＴＭＲ１、画像処理回路ＧＲＦ、ネットワーク通信回路ＮＥＴ、割り込みコントローラＩＮＴＣ、異常予知回路ＰＲＤＣＴ、及び第２のタイマとしてのタイマ回路ＴＭＲＨを有する。メモリコントローラＭＣＮＴには外部メモリとしてシンクロナスダイナミックランダムアクセスメモリＳＤＲＡＭが接続される。シンクロナスダイナミックランダムアクセスメモリＳＤＲＡＭは画像処理回路ＧＲＦのフレームバッファ、ネットワーク通信回路ＮＥＴの通信バッファ、中央処理装置ＣＰＵのワーク領域などに用いられる。タイマ回路ＴＭＲ０，ＴＭＲ１は割り込みコントローラＩＮＴＣにタイムアウト割り込み要求信号ＩＲＱ０＿Ｔ，ＩＲＱ１＿Ｔを出力する。タイマ回路ＴＭＲＨはタイムアウト信号ＴＯＵＴを異常予知回路ＰＲＤＣＴに出力する。異常予知回路ＰＲＤＣＴは割り込みコントローラＩＮＴＣにリカバリ割り込み要求信号ＩＲＱ＿Ｒを出力する。割り込みコントローラＩＮＴＣはドメインＤＭＮ０の中央処理装置ＣＰＵ０に対する割り込み信号ＩＮＴ０、ドメインＤＭＮ１の中央処理装置ＣＰＵ１に対する割り込み信号ＩＮＴ１を出力する。

図２には中央処理装置に対するメモリ空間のマッピング例が示される。ここでは不揮発性メモリＦＬＳＨ及びシンクロナスダイナミックランダムアクセスメモリＳＤＲＡＭ上のメモリマッピングが例示され、Ａ１，Ａ２は中央処理装置ＣＰＵ０だけがアクセス可能にされたメモリ空間、Ｂは中央処理装置ＣＰＵ１だけがアクセス可能にされたメモリ空間、Ｃは双方の中央処理装置ＣＰＵ０、ＣＰＵ１がアクセス可能な共有メモリ空間である。共有メモリ空間ＣはドメインＤＭＮ０とドメインＤＭＮ１との間のデータの受け渡しなどに利用される。

図３には割り込みを利用してドメインＤＭＮ０がその一部の処理をドメインＤＭＮ１に負担させる場合の処理フローが例示される。

ドメインＤＭＮ０の中央処理装置ＣＰＵ０は所定のデータ処理結果を共有メモリ領域Ｃに書き込み（Ｓ１）、そのデータを用いる次のデータ処理をドメインＤＭＮ１の中央処理装置ＣＰＵ１に負担させるために中央処理装置ＣＰＵ０は割り込みコントローラＩＮＴに割り込みを要求する（Ｓ２）。

割り込みコントローラＩＮＴＣはその割り込み要求を受け付けることによって中央処理装置ＣＰＵ１に割り込み信号ＩＮＴ１を出力すると共に、その割り込み要因をバスＢＵＳに出力する（Ｓ１０）。

中央処理装置ＣＰＵ１はその割り込み信号ＩＮＴ１による割り込みが通知されると、命令実行を中断して必要な退避処理を行って（Ｓ２０）、その割り込み要因に対応する割り込み処理プログラムの処理に分岐し（Ｓ２１）、当該割り込み処理プログラムにしたがって共有メモリ領域Ｃのデータを用いて所用のデータ処理を行う（Ｓ２２）。中央処理装置ＣＰＵ１はそれによるデータ処理結果を共有メモリ領域Ｃに書き込み（Ｓ２３）、そのデータを中央処理装置ＣＰＵ０に渡すために割り込みコントローラＩＮＴに割り込みを要求する（Ｓ２４）。

割り込みコントローラＩＮＴＣは、その割り込み要求を受け付けることによって中央処理装置ＣＰＵ０に割り込み信号ＩＮＴ０を出力すると共に、その割り込み要因をバスＢＵＳに出力する（Ｓ１１）。

中央処理装置ＣＰＵ０はその割り込み信号ＩＮＴ０による割り込みが通知されると、命令実行を中断して必要な退避処理を行って（Ｓ３）、その割り込み要因に対応する割り込み処理プログラムの処理に分岐し（Ｓ４）、当該割り込み処理プログラムにしたがって共有メモリ領域Ｃからデータを読み出して所用のデータ処理を行う（Ｓ４）。

中央処理装置ＣＰＵ０は、ステップＳ２で割り込みを要求してからステップＳ１１の割り込み信号ＩＮＴ１を受け取るまでの時間が長すぎる場合、共有メモリ領域Ｃのデータを用いるデータ処理に関するリアルタイム制約を満足できない場合がある。前記異常予知回路ＰＲＤＣＴは、そのような待ち時間が長くなりすぎるような事態を発生させる異常を予知して早期にリカバリ可能とする回路である。以下、異常予知回路ＰＲＤＣＴについて詳述する。

《異常予知回路》
図４には異常予知回路ＰＲＤＣＴの構成が例示される。異常予知回路ＰＲＤＣＴは予知の対象にされる中央処理装置と予知結果に従ってリカバリを行う主体になる中央処理装置との間で機能される。図４に従えば、異常予知回路ＰＲＤＣＴは夫々のドメイン若しくは中央処理装置に対応させたエントリデータの格納領域ＥＴＲＹ０〜ＥＴＲＹｎを有する。ここでは便宜上ｎ＋１のエントリデータの格納領域を備えるものとするが、図１の構成に従えば２個のエントリデータの格納領域ＥＴＲＹ０〜ＥＴＲＹ１を備えれば十分である。エントリデータの格納領域ＥＴＲＹ０〜ＥＴＲＹｎは実際にはランダムアクセスメモリで構成すればよく、異常予知動作において予知判別制御部ＰＣＮＴがエントリデータのリード／ライトを行い、また、システムバスＢＵＳを介してマスタとされる特定の中央処理装置、例えば中央処理装置ＣＰＵ０がエントリデータの初期設定を行う。

エントリデータは、例えば通知時刻情報Ｔｐ、目標値Ｔｗ、閾値Ｃｗ、及び履歴カウント値ＣＮＴとされる。

通知時刻情報Ｔｐは、予知の対象にされる中央処理装置から定期的に行われる通知の最新の通知タイミング情報としての時刻情報である。例えば、ドメインＤＭＮ０に対応するエントリ番号０のエントリデータの格納領域ＥＴＲＹ０における通知時刻情報Ｔｐは次のようにして生成される。すなわち、タイマＴＭＲ０のタイムアウト割り込み要求ＩＲＱ０＿Ｔ毎に中央処理装置ＣＰＵ０が当該割り込みに応答して所定の割り込み処理プログラムを実行し、これによって予知判別制御部ＰＲＣＮＴにエントリ更新信号ＲＮＷ０を与える。エントリ更新信号ＲＮＷ０は中央処理装置ＣＰＵ０に固有の信号であり、例えば予知判別制御部ＰＲＣＮＴ内部の特定レジスタアドレスに対して中央処理装置ＣＰＵ０が書き込みを行う当該中央処理装置ＣＰＵ０の識別コードであってもよい。予知判別制御部ＰＲＣＮＴは、エントリ更新信号ＲＮＷ０を受け取ったときに時刻情報を図示を省略するリアルタイムクロックタイマなどから取得し、エントリ更新信号ＲＮＷ０に対応するエントリ番号０のエントリデータの格納領域ＥＴＲＹ０における通知時刻情報Ｔｐをその時刻情報によって更新する。他のドメインＤＭＮ１に対応するエントリ番号１のエントリデータの格納領域ＥＴＲＹ１における通知時刻情報Ｔｐについても同様である。

予知判別制御部ＰＣＮＴはタイマＴＭＲＨから所定周期でタイムアウト信号ＴＯＵＴを受け取る毎に、更にはエントリ更新信号を受け取る毎に、最新の通知時刻情報Ｔｐと現在時刻Ｔｈとの差（Ｔｄｉｆｆ）が目標値Ｔｗに達しているか否かを判別する。タイムアウト信号ＴＯＵＴによるタイムアウト周期は、例えばタイマＴＭＲ０（ＴＭＲ１）のタイムアウト割り込み要求ＩＲＱ０＿Ｔ（ＩＲＱ１＿Ｔ）による周期に比べて短くされる。

予知判別制御部ＰＣＮＴは、Ｔｗ≦Ｔｄｉｆｆの判別結果にしたがって履歴カウント値ＣＮＴを操作する。その操作内容は、その判別結果の履歴を何らかの意味で蓄積できる操作であればよく、特に制限されないが、Ｔｗ≦Ｔｄｉｆｆの判別結果を得る毎に履歴カウント値ＣＮＴを＋１する（１インクリメントする）操作であってよい。

予知判別制御部ＰＣＮＴは、履歴カウント値ＣＮＴが閾値Ｃｗに達したとき、対応する中央処理装置に対するリカバリ処理を要求するために割り込み要求信号ＩＲＱ＿Ｒで割り込みコントローラＩＮＴＣに割り込みを要求する。割り込みコントローラＩＮＴＣはこれに応答してリカバリ処理の主体とされるべき中央処理装置ＣＰＵ０（ＣＰＵ１）に割り込み信号ＩＮＴ０（ＩＮＴ１）を出力すると共に対応する割り込み要因を与える。すなわち、ドメインＤＭＮ０に対応するエントリ番号０のエントリデータの格納領域ＥＴＲＹ０における履歴カウント値ＣＮＴがその閾値Ｃｗに達したときには中央処理装置ＣＰＵ１に対する割り込み信号ＩＮＴ１が活性化され、ドメインＤＭＮ１に対応するエントリ番号１のエントリデータの格納領域ＥＴＲＹ１における履歴カウント値ＣＮＴがその閾値Ｃｗに達したときには中央処理装置ＣＰＵ０に対する割り込み信号ＩＮＴ０が活性化される。

図５には図１に即した例としてエントリデータの格納領域とドメインとの対応が例示される。エントリデータの格納領域ＥＴＲＹ０はドメインＤＭＮ０に対応され、エントリデータの格納領域ＥＴＲＹ１はドメインＤＭＮ１に対応される。ここではドメインＤＭＮ０はシステム全体の制御（システム制御）に用いられ、ドメインＤＭＮ１は画像処理や通信処理の制御に用いられる。

図６には図５の場合におけるエントリデータの格納領域に対する初期設定例が示される。図より明らかのように、システム制御に用いるドメインＤＭＮ０のほうが目標値Ｔｗ及び閾値Ｃｗの点で厳しい設定になっている。通知時刻情報Ｔｐについても初期設定することが可能である。

《異常予知フロー》
図７には予知判別制御部ＰＣＮＴによる異常予知判定処理フローが例示される。同図に示される判定処理は、予知判別制御部ＰＣＮＴがタイマＴＭＲＨから所定周期でタイムアウト信号ＴＯＵＴを受け取る毎に、更にはエントリ更新信号ＲＮＷ０，ＲＮＷ１を受け取る毎に開始される。開始されるとまず、予知判別制御部ＰＣＮＴは対応するエントリデータＴｐ，Ｔｗ，Ｃｗ，ＣＮＴを読み込むと共に、現在時刻Ｔｈを取得する（Ｓ３０）。

次いで、予知判別制御部ＰＣＮＴは、最新の通知時刻情報Ｔｐと現在時刻Ｔｈとの差（Ｔｄｉｆｆ）を演算し（Ｓ３１）、その差が目標値Ｔｗに達しているか否かを判別する（Ｓ３２）。Ｔｗ≦Ｔｄｉｆｆの判別結果を得たときは履歴カウント値ＣＮＴを＋１する（Ｓ３３）。

そして予知判別制御部ＰＣＮＴは、履歴カウント値ＣＮＴが閾値Ｃｗに達したか否かを判別し（Ｓ３４）、Ｃｗ≦ＣＮＴでなければＴｐを最新の通知時刻情報に更新し（Ｓ３５）、Ｃｗ≦ＣＮＴであれば対応する中央処理装置に対するリカバリ処理を要求するために割り込み要求信号ＩＲＱ＿Ｒで割り込みコントローラＩＮＴＣに割り込みを要求する（Ｓ３６）。例えば、ドメインＤＭＮ０に対応するエントリ番号０のエントリデータの格納領域ＥＴＲＹ０における履歴カウント値ＣＮＴがその閾値Ｃｗに達したときには中央処理装置ＣＰＵ１に対する割り込み信号ＩＮＴ１が活性化され、ドメインＤＭＮ１に対応するエントリ番号１のエントリデータの格納領域ＥＴＲＹ１における履歴カウント値ＣＮＴがその閾値Ｃｗに達したときには中央処理装置ＣＰＵ０に対する割り込み信号ＩＮＴ０が活性化される。割り込み信号が活性化された中央処理装置は当該割り込みに応答して割り込み処理プログラムに従ってリカバリ処理を行う。リカバリ処理の具体的な内容については後述する。

《異常予知の動作タイミング》
図８には予知判別制御部ＰＣＮＴによる判別動作のタイミングチャートが例示される。図９には図８の動作にしたがって操作されるエントリデータの変化が例示される。ここではドメインＤＭＮ１に対して異常を予知する判定動作が例示される。

ドメインＤＭＮ１に対応する格納領域ＥＴＲＹ１（エントリ番号１）におけるエントリデータの初期値は図９のようにＴｗ＝２０，Ｃｗ＝１０，Ｔｐ＝５，ＣＮＴ＝０である。タイマＴＭＲ１のタイマ割り込みＩＲＱ１＿Ｔの周期をＴＳ、タイマＴＭＲＨによるタイムアウトＴＯＵＴの周期をＴＨとする。Ｔｈ［１］〜Ｔｈ［５］は周期ＴＨ毎の予知判別制御部ＰＣＮＴによる判別動作タイミングである。Ｔｐ（０）、Ｔｐ（１）、Ｔｐ（２）はタイマＴＭＲ１から周期ＴＳで発行される割り込み要求ＩＲＱ１＿Ｔに応答する割り込み処理によって中央処理装置ＣＰＵ１から更新信号ＲＮＷ１が与えられるタイミングである。タイマＴＭＲ１から割り込み要求ＩＲＱ１＿Ｔが発行される周期は周期ＴＳで一定であるが、それに応答して中央処理装置ＣＰＵ１から供給される更新信号ＲＮＷ１の発生タイミングＴｐ（１），Ｔｐ（２）は一定にならない。これは、中央処理装置ＣＰＵ１が割り込み要求ＩＲＱ１＿Ｔに応答して割り込み処理を行おうとするときに当該中央処理装置ＣＰＵ１のデータ処理状況、更新信号ＲＮＷ１を予知判別制御部ＰＣＮＴに与えようとしたときにおけるシステムバスＢＵＳの競合状態などの影響を受けるからである。また、中央処理装置ＣＰＵ1に障害が発生していればその障害の度合いに応じて当該割り込み処理プログラムの実行が遅滞若しくは中断して、更新信号ＲＮＷ１の発生タイミングに影響がでる。イベント１〜イベント４は中央処理装置ＣＰＵ１が更新信号ＲＮＷ１を出力するための割り込み処理の実行開始タイミングを意味する。

Ｔｈ［２］＝２０まではＴｈとＴｐの差がＴｗよりも小さいからＣＮＴは０に維持される。Ｔｈ=25のＴｐ（１）のタイミングでは更新前のＴｐが５であり、Ｔｈ（＝２５）とＴｐ（＝５）の差がＴｗ（＝２０）以上になるからＣＮＴが＋１されて1になる。ＣＮＴの更新と共にＴｐが最新の値２５に更新される。この後のＴｈ［４］まではＴｈとＴｐの差がＴｗよりも小さいからＣＮＴは１に維持される。Ｔｈ［５］ではThとＴｐの差がＴｗ以上になるからＣＮＴは＋１されて2に更新され、次のＴｈ=５５のＴｐ（２）のタイミングでは更新前のＴｐが２５であり、Ｔｈ（＝５５）とＴｐ（＝２５）の差がＴｗ（＝２０）以上になるからＣＮＴが＋１されて３になる。これによってＣＮＴはＣｗ（＝３）以上になるので、予知回路ＰＲＤＣＴはドメインＤＭＮ０の中央処理装置ＣＰＵ０に対してリカバリ処理のための割り込みを要求する。

上記タイミングチャートからも明らかなように、エントリデータとして保持されている最新の通知時刻情報Ｔｐと現在時刻Ｔｈとの所定周期毎ＴＨの差の累積的な履歴であるカウント値ＣＮＴに基づいて異常の徴候を検出するから、特定の事象が１回発生することによって異常の徴候があると判別する場合に比べて、システムの安全性を優先させることと稼動性を優先させることとの間の選択の幅が広くなるように異常の兆候を検出することができる。要するに、前記目標値Ｔｗと閾値Ｃｗの設定しだいで、システムの安定性を優先させるか稼動性を優先させるかの選択を、マイクロコンピュータＭＣＵのシステム性能やシステムの要求仕様に応じて容易に行うことができるようになる。

更新信号ＲＮＷ０，ＲＮＷ１による定期的通知を行うタイミングはタイマＴＭＲ０，ＴＭＲ１に対するタイムアウトの設定によってプログラマブルに決めることができ、また、当該定期的通知の内容はタイマ割り込みに応答して中央処理装置が実行するプログラムによって任意に決めることができる。

また、タイマＴＭＲ０，ＴＭＲ１は中央処理装置毎に異なるタイミングでタイムアウトを設定可能であるから、前記定期的通知を行うタイミングを中央処理装置毎に設定することができる。

周期ＴＨはタイマＴＭＲＨのタイムアウトの間隔に応ずる周期とされるから、その周期ＴＨはタイマＴＭＲＨに対するタイムアウトの設定によってプログラマブルに決めることができる。

履歴情報は、前記目標値に対して定期的通知が遅延した累積回数としてのカウンタ値ＣＮＴであるから、累積回数の多少は異常の兆候度合に対応し、どの程度の異常の兆候を検出対象とするかは閾値Ｃｗの設定に応じて容易に決めることができる。

エントリデータの格納領域を所定の中央処理装置によって初期設定可能にすることにより、異常の兆候の検出対象とされるＣＰＵによるデータ処理のリアルタイム性や処理速度などの性質に応じて前記目標値及び閾値を設定することができる。要するに、データ処理システムの機能や能力に応じてシステムの異常の兆候を検出することが容易になる。

《異常予知フローの変形例》
図１０には異常予知フローの別の例が示される。図７との相違点は、最新の通知時刻情報Ｔｐと現在時刻Ｔｈとの差（Ｔｄｉｆｆ）を演算し（Ｓ３１）、その差が目標値Ｔｗに達しているか否かを判別したとき（Ｓ３２）、Ｔｗ≦Ｔｄｉｆｆの判別結果が得られないときには履歴カウント値ＣＮＴを−１（１デクリメント）する処理（Ｓ４０）を追加したことである。その他の処理は図７と同じであるからその詳細な説明は省略する。

このように、目標値に対して定期的通知が間に合った回数と遅延した回数の差分回数の情報を履歴情報とすることにより、異常の兆候度合が変化する場合に異常の兆候からの回復を評価して異常の兆候度合を把握可能になる。

図１１には異常予知フローの更に別の例が示される。ここではエントリデータのカウンタ値ＣＮＴに代えて時間の累積値ＡＣＣを採用する。図１１では、予知判別制御部ＰＣＮＴは、最新の通知時刻情報Ｔｐと現在時刻Ｔｈとの差（Ｔｄｉｆｆ）を演算し（Ｓ３１）、その差が目標値Ｔｗに達しているか否かを判別したとき（Ｓ３２）、Ｔｗ≦Ｔｄｉｆｆの判別結果を得たときは累積値ＡＣＣにその差分時間Ｔｄｉｆｆと目標値Ｔｗとの差を加算する（Ｓ４１）。一方、Ｔｗ≦Ｔｄｉｆｆの判別結果が得られないときには累積値ＡＣＣに目標値Ｔｗとその差分時間Ｔｄｉｆｆとの差を減算する（Ｓ４２）。その他の処理は図７と同じであるからその詳細な説明は省略する。

累積値ＡＣＣの多少は異常の兆候度合に対応し、どの程度の異常の兆候を検出対象とするかは閾値の設定に応じて決めればよい。累積時間ＡＣＣとして前記目標値に対して定期的通知が間に合った余裕時間と遅延した時間との差分時間を採用することにより、異常の兆候度合が変化する場合に異常の兆候からの回復を評価して異常の兆候度合を把握可能になる。

特に図示はしないが、図１１においてステップＳ４２の処理を省き、目標値に対して定期的通知が遅延した累積時間の情報を履歴情報として採用してもよい。

《リカバリ処理》
上述の説明では、ＣＰＵに対するリカバリ処理の要求として、リカバリ処理を行うＣＰＵへの割り込み要求を用いる。割り込みを用いることによりリカバリ処理の内容を割り込み処理の内容によって任意に決定することが容易である。

図１２にはシャットダウンによるリカバリ処理の処理フローが例示される。ここでは異常の予知が検出される対象を中央処理装置ＣＰＵ１とし、中央処理装置ＣＰＵ０がリカバリ処理を行うものとする。中央処理装置ＣＰＵ１に対して検出された異常の予知が割り込み信号ＩＮＴ０によって中央処理装置ＣＰＵ０に通知されると（Ｓ５０）、中央処理装置ＣＰＵ０はその割り込み要因に応答する割り込み処理プログラムを実行して、中央処理装置ＣＰＵ１のドメインＤＭＮ１をシャットダウンする（Ｓ５１）。これにより、異常の兆候がある中央処理装置ＣＰＵ１の不所望な動作を完全に排除することができる。中央処理装置ＣＰＵ０は中央処理措置ＣＰＵ１を動作させずにシステム動作を継続し、マイクロコンピュータＭＣＵの外部には異常発生を通知し（Ｓ５２）、その後は、外部からの指示に従ってマイクロコンピュータＭＣＵの運用を決定する（Ｓ５３）。

図１３にはリブートによるリカバリ処理の処理フローが例示される。ここでは異常の予知が検出される対象を中央処理装置ＣＰＵ１とし、中央処理装置ＣＰＵ０がリカバリ処理を行うものとする。中央処理装置ＣＰＵ１に対して検出された異常の予知が割り込み信号ＩＮＴ０によって中央処理装置ＣＰＵ０に通知されると（Ｓ６０）、中央処理装置ＣＰＵ０はその割り込み要因に応答する割り込み処理プログラムを実行して、中央処理装置ＣＰＵ１のドメインＤＭＮ１をリブートする（Ｓ６１）。これにより、異常の兆候がある中央処理装置ＣＰＵ１の状態を初期化してから再度利用可能にすることができる。ここでは、リブート後にも、中央処理装置ＣＰＵ０は中央処理措置ＣＰＵ１を動作させずにシステム動作を継続し、マイクロコンピュータＭＣＵの外部には異常発生を通知し（Ｓ６２）、その後は、外部からの指示に従ってマイクロコンピュータＭＣＵの運用を決定する（Ｓ６３）。

図１４はメモリ退避によるリカバリ処理の処理フローが例示される。ここでは異常の予知が検出される対象を中央処理装置ＣＰＵ１とし、中央処理装置ＣＰＵ０がリカバリ処理を行うものとする。中央処理装置ＣＰＵ１に対して検出された異常の予知が割り込み信号ＩＮＴ０によって中央処理装置ＣＰＵ０に通知されると（Ｓ７０）、中央処理装置ＣＰＵ０はその割り込み要因に応答する割り込み処理プログラムを実行して、中央処理装置ＣＰＵ１の内部状態をメモリに退避する（Ｓ７１）。これにより、メモリに退避した情報を用いてＣＰＵの状態を再構成可能になる。中央処理装置ＣＰＵ０は、退避されている情報を用いて中央処理装置ＣＰＵ１の状態を回復し、ドメインＤＭＮ１を再起動して、利用可能にする（Ｓ７２）。

図１５には分担打ち切りによるリカバリ処理の処理フローが例示される。ここでは異常の予知が検出される対象を中央処理装置ＣＰＵ１とし、中央処理装置ＣＰＵ０がリカバリ処理を行うものとする。中央処理装置ＣＰＵ１に対して検出された異常の予知が割り込み信号ＩＮＴ０によって中央処理装置ＣＰＵ０に通知されると（Ｓ８０）、中央処理装置ＣＰＵ０から中央処理装置ＣＰＵ１に処理を依頼しているタスクの終了を待って新たなタスクの追加依頼を中止する（Ｓ８１）。そして、中央処理装置ＣＰＵ１への処理の分担を打ち切った処理を中央処理装置ＣＰＵ０が自ら負担するようにシステムの状態を更新する（Ｓ８２）。これにより、自らが処理を負担することによって処理が中断される事態を回避することができる。中央処理装置ＣＰＵ０は中央処理措置ＣＰＵ１を動作させずにシステム動作を継続し、マイクロコンピュータＭＣＵの外部には異常発生を通知する（Ｓ８３）。

《マイクロコンピュータの別の例》
図１６にはマイクロコンピュータの別の例が示される。同図に示されるマイクロコンピュータＭＣＵは、図１に比べて４個のドメインＤＭＮ０〜ＤＭＮ３が設けられ、４個のタイマＴＭＲ０〜ＴＭＲ３が設けられ、夫々にタイマＴＭＲ０〜ＴＭＲ３からタイマ割り込み要求信号ＩＲＱ０＿Ｔ〜ＩＲＱ３＿Ｔが出力され、割り込みコントローラＩＮＴＣから夫々の中央処理装置ＣＰＵ０〜ＣＰＵ３に割り込み信号ＩＮＴ０〜ＩＮＴ３が出力される点が相違される。回路ユニットの数が増えることにとって影響されない回路は図１と同じである。図１６には図示を省略してあるが図１の画像処理回路ＧＲＦ及びネットワーク通信回路ＮＥＴなどが設けられている。

図１と同様に図１６のマイクロコンピュータＭＣＵも１個の半導体基板に集約されて構成される。マイクロコンピュータＭＣＵが１チップで半導体集積回路化されることにより、機能増加要求および複数システムの統合によるコスト低減要求に応えることができる。

以上本発明者によってなされた発明を実施形態に基づいて具体的に説明したが、本発明はそれに限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは言うまでもない。

例えば、中央処理装置の数は２個、４個に限定されず適宜決定することができる。データ処理システムはオペレーティングシステムを利用せずに構成されてもよい。定期的通知や所定周期毎の判別の周期の生成にオンチップタイマを用いたが、それに限定されない。

ＭＣＵ マイクロコンピュータ
ＤＭＮ０〜ＤＭＮ３ ドメイン
ＣＰＵ０〜ＣＰＵ３ 中央処理装置
ＯＳ０〜ＯＳ３ オペレーティングシステム
ＰＧＭ０〜ＰＧＭ３ アプリケーションプログラム
ＢＵＳ システムバス
ＭＣＮＴ メモリコントローラ
ＦＬＳＨ 不揮発性メモリ
ＴＭＲ０〜ＴＭＲ３ タイマ
ＧＲＦ 画像処理回路
ＮＥＴ ネットワーク通信回路
ＩＮＴＣ 割り込みコントローラ
ＰＲＤＣＴ 異常予知回路
ＴＭＲＨ タイマ
ＩＲＱ０＿Ｔ〜ＩＲＱ３＿Ｔタイムアウト割り込み要求信号
ＴＯＵＴ タイムアウト信号
ＩＲＱ＿Ｒ リカバリ割り込み要求信号
Ｃ 共有メモリ空間
ＥＴＲＹ０〜ＥＴＲＹｎ エントリデータの格納領域
ＰＣＮＴ 予知判別制御部
ＲＮＷ０、ＲＮＷ１ エントリ更新信号
Ｔｐ 最新の通知時刻情報
Ｔｈ 現在時刻
Ｔｗ 目標値
ＣＮＴ 履歴カウント値
Ｃｗ 閾値

Claims (18)

1. 複数のＣＰＵと、前記ＣＰＵの異常を予知するための判別を行う予知回路とを有するデータ処理システムであって、
   前記予知回路は、前記ＣＰＵから周期的に供給される定期的通知のうち最後に供給された定期的通知の通知タイミング情報である最新の通知タイミングの情報をそのＣＰＵと対応させて保持すると共に、所定周期毎に前記最新の通知タイミングからの経過時間を取得し、目標値に対する前記経過時間の関係に基づいて蓄積される数値である履歴情報を前記ＣＰＵに対応させて逐次保持し、保持した履歴情報が所定の閾値に達したとき、対応するＣＰＵに対するリカバリ処理を要求する、データ処理システム。
2. 前記ＣＰＵからの定期的通知は、第１のタイマによるタイムアウトに起因してＣＰＵがプログラム処理を行って前記予知回路に与える通知である、請求項１記載のデータ処理システム。
3. 前記第１のタイマは、前記ＣＰＵ毎に異なるタイミングでタイムアウトを設定可能な複数のタイマチャネルを有する、請求項２記載のデータ処理システム。
4. 前記所定周期は、第２のタイマのタイムアウトの間隔に応ずる周期である、請求項１記載のデータ処理システム。
5. 前記通知タイミングの情報は、前記予知回路に前記定期的通知があったときの時刻情報である、請求項１記載のデータ処理システム。
6. 前記履歴情報は、前記目標値に対して定期的通知が遅延した累積回数の情報である、請求項５記載のデータ処理システム。
7. 前記履歴情報は、前記目標値に対して定期的通知が遅延した累積時間の情報である、請求項５記載のデータ処理システム。
8. 前記履歴情報は、前記目標値に対して定期的通知が間に合った回数と遅延した回数の差分回数の情報である、請求項５記載のデータ処理システム。
9. 前記履歴情報は、前記目標値に対して定期的通知が間に合った余裕時間と遅延した時間との差分時間の情報である、請求項５記載のデータ処理システム。
10. 前記予知回路はＣＰＵに対応するエントリデータの格納領域を有し、前記エントリデータは前記通知タイミングの情報である時刻情報、履歴情報、目標値、及び閾値である、請求項５記載のデータ処理システム。
11. 前記エントリデータの格納領域は所定のＣＰＵによって初期設定可能にされる、請求項１０記載のデータ処理システム。
12. 前記対応するＣＰＵに対するリカバリ処理の要求は、リカバリ処理を行うＣＰＵへの割り込み要求である、請求項１記載のデータ処理システム。
13. 前記割り込み要求に応答してＣＰＵに割り込み信号を出力する割り込みコントローラを更に有する、請求項１２記載のデータ処理システム。
14. 前記リカバリ処理は、対応するＣＰＵに対するシャットダウン処理である、請求項１記載のデータ処理システム。
15. 前記リカバリ処理は、対応するＣＰＵに対するリブート処理である、請求項１記載のデータ処理システム。
16. 前記リカバリ処理は、対応するＣＰＵの内部状態をメモリに退避する処理である、請求項１記載のデータ処理システム。
17. 前記リカバリ処理は、対応するＣＰＵへの処理の分担を打ち切ってその処理を自ら負担する処理である、請求項１記載のデータ処理システム。
18. １個の半導体基板にマイクロコンピュータとして形成された、請求項１記載のデータ処理システム。

Images