JPH02302833A - マイクロプロセッサのための動作機能チェック装置および方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 ［産業上の利用分野］ 本発明は、構造体に致命的な破損がないことを充分な厳
密さで保証するための固有のセルフテスト能力を提供す
る単一マイクロプロセッサをベースとした制御アーキテ
クチャを提供するための装置および方法に関する。

［従来の技術］ 最近、マイクロプロセッサがほとんど全ての電子機器の
設計の分野で使用され始めてきている。

この傾向は、マイクロプロセッサが万能であり、低価格
であり、使用が容易でありかつ強力であるため進展して
きている。マイクロプロセッサを利用できなかった多く
のエレクトロニクスの領域もある。これらの領域は、厳
格な信頼性またはシステムの不適切な動作の検出および
禁止のための能力またはシステムの致命的な部分を要求
する指令および制御の用途を含む。一般的な困難性は、
マイクロプロセッサの自己内蔵型特性に由来しており、
このため、セルフテストにより、プロセッサおよびそれ
に関連するサポート装置（ＲＡＭ、ＲＯＭなど）が適正
に動作しているか否かを判定することが非常に困難とな
っている。

この問題に対する従来の解決法は、同じプログラムを同
時に実行する２つの完全に分離されたマイクロプロセッ
サシステムを設け、かつ２つのシステムの選択された出
力における比較技術により適正な動作を確認するもので
あった。

〔発明が解決しようとする課題〕

しかしながら、この方法はマイクロプロセッサ、ＲＡＭ
ＳＲＯＭ、そして入力／出力機能を含むシステムの全て
の機能を二重化する費用、および比較回路の価格および
複雑性を含む極めて大きな問題を有している。プロセッ
サを二重化することによる他の困難性は２つのマイクロ
プロセッサの同期の問題である。マイクロプロセッサは
２つのシステムの比較される出力が全く同時に生じるよ
う同期されなければならない。もしそれらが同時に起こ
らなければ、比較論理がエラーを宣言するであろう。し
たがって、マイクロプロセッサの同期を保証するための
回路が設けられなければならない。また、電源線のトラ
ンジェントに対する免疫性を提供するため適切な予防措
置が取られなければならない。

本発明の目的は、マイクロプロセッサおよび関係するシ
ステムの動作機能をチェックするための新しいかつ改良
された装置および方法を提供することにある。

本発明の他の目的は、構造体が実質的に損傷を受けてい
ないことを保証するために充分な厳密さを有する固有の
セルフテスト能力を提供する単一マイクロプロセッサを
ベースとした制御アーキテクチャを提供することにある
。

本発明のさらに他の目的は、プロセッサに関連する電子
回路の実質的な部分を二重化することなく、マイクロプ
ロセッサおよびマイクロプロセッサシステムをチェック
するための装置および方法を提供することにある。

−９＝ ［課題を解決するための手段］ 本発明は、マイクロプロセッサシステムの正しい動作を
監視しかつ確認するための方法および装置に関する。本
発明は、チェック機能を達成するため４つの回路を使用
する。これらの回路は、マイクロプロセッサのアドレス
およびデータ線を監視するための並列巡回冗長チェッカ
（ｃｙｃｌｅｒｅｄｕｎｄａｎｃｙ　ｃｈｅｃｋｅｒ　
：　ＣＲＣ）　、パワーアップシーケンスに対する適正
な応答を確認するための単純ウォッチドッグタイマ（ｓ
ｉｍｐｌｅ　ｗａｔｃｈｄｏｇｔｆｍｅｒ　）　、適正
なマイクロプロセッサの実行時間を確認するための精密
実行時間ウォッチドッグタイマ（ｅｘａｃｔ　ｅｘｅｃ
ｕｔｉｏｎ　ｔｉｌｌｅ　ｗａｔｃｈｄｏｇ　ｔｉｍｅ
ｒ）、そしてプログラムＲＯＭとともに使用され該プロ
グラムＲＯＭが有効なデータをマイクロプロセッサに提
供していることを確認するパリティＲＯＭである。

［実施例］ 次に図面を参照すると、第１図は、本発明の一実施例に
関わる、マイクロプロセッサのパヮーアツブにおける正
確な初期化、正しい実行シーケンス、正しい実行タイミ
ング、そして正しい命令実行機能をチェックするための
動作機能チェック装置を示す簡単化されたブロック図で
ある。第１図は、マイクロプロセッサ１０とは分離して
示されているが、実際にはマイクロプロセッサ１０の一
部でもよい制御回路１２を示している。即ち、マイクロ
プロセッサ１０は必要とされる制御インパルスを供給す
ることができる。制御回路１２は、マイクロプロセッサ
が書込むことができかつ後にさらに明細書中で説明され
る命令を提供するための１個以上のビットを利用するこ
とができる単純なラッチでもよい。制御回路１２はマイ
クロプロセッサ１０のアドレスバス１６、データバス１
７およびクロック１８に結合された入力を有し、かつス
タート出力１３、リセット出力１４、そしてストップ出
力１５を有している。

エラー論理回路７０に結合されたエラー出力２１　　　
　　１を有する、並列巡回冗長チェッカ（ＣＲＣ）２０
はマイクロプロセッサ１０のアドレスバス１６、データ
バス１７、そしてクロック１８に結合されている。並列
ＣＲＣ２０は、スタート入力を有し、これはさらに制御
回路］２のスタート出力１３に結合されている。

そのエラー出力３２がエラー論理回路７０に結合された
、単純ウオッチドックタイマ３０は、その入力でマイク
ロプロセッサ１０のクロック１８および制御回路１２の
リセット出力１４に結合されている。

エラー論理回路７０に結合されたエラー出力４２および
並列ＣＲＣ２０のストップ入力に結合されたダン（ｄｏ
ｎｅ）出力４４を有する、精密時間ウォッチドッグタイ
マ４０は、マイクロプロセッサ１０のクロック１８に結
合されかつ制御回路１２のスタート出力１３に結合され
たスター］・入力および制御回路１２のストップ出力１
５に結合されたストップ入力を有している。

パリティチェッカ回路４９は、この特定の実施例におい
ては、エラー論理回路７０に結合されたエラー出力５２
を有するパリティチェッカ５０からなるが、該パリティ
チェッカ５０はマイクロプロセッサ１０のデータバス１
７およびクロック１８に結合されている。パリティＲＯ
Ｍ６０は、パリティチェッカ５０のパリティ入力に結合
されたパリティ出力６２を有し、かつマイクロプロセッ
サ１０のアドレスバス１６に結合されたアドレス入力を
有している。

マイクロプロセッサ１０のクロック１８は、制御ライン
と称され、かつ全てのプロセッサに存在しまた基準のフ
レームを設定しかつプロセッサにより供給される情報を
有効にする。タイマ３０および４０はこのクロックを使
用して各命令サイクルに対するクロック遷移を計数する
。

エラー論理回路７０はプロセッサ１０でエラーが検出さ
れたときアクティブとなり、したがってエラー論理回路
７０は、簡単な例では、論理的ＯＲ機能を達成するデバ
イスをあられす。エラー論理回路７０は、エラーを通知
し、あるいはそれは全システム（図示せず）を動作不能
（ｄｉｓａｂ！ｅ　）にし、あるいはエラーが検出され
たとき第２のシステム（図示せず）に切換えてもよい。

したがって、エラー論理回路７０はプロセッサの応用に
したがって種々の応答をするよう構成できる。

並列ＣＲＣ２０は、マイクロプロセッサ１０がそのプロ
グラムを実行しているときに、データおよびアドレスバ
ス１７および１６上のＣＲＣを累積するために使用され
る。並列ＣＲＣ２０は！’７えられた数のプロセッサの
サイクルタイムの開動作しかつ次にＣＲＣの結果が知ら
れた値と比較される。この知られた値はプログラムによ
りメモリに格納されてもよ（あるいは本発明の製造過程
でＲＯＭに格納されてもよい。

ＣＲＣチェック、ストップ信号の発生および正しいＣＲ
Ｃと実際のＣＲＣの間における比較は全てマイクロプロ
セッサの外部のハードウェアにおいて行われるが、それ
はマイクロプロセッサ１０が正しく動作しているかどう
かわからないからである。もし正しく動作していなけれ
ば、マイクロプロセッサ１０は正確な結果を得るために
頼ることができないであろう。

並列ＣＲＣ２ＣＩは、アドレス線の全ての状態およびデ
ータ線の全ての状態を含むシグネチャ解析（ｓｉｇｎａ
ｔｕｒｅ　ａｎａｌｙｓｉｓ）を生成する。このシグネ
チャは次に先にあらかじめ定められたシグネチャと比較
され、アドレス線とデータ線が適正な情報を含んでいる
ことおよびその情報が適正なシーケンスで発生している
ことを確認する。このチェックはマイクロプロセッサ１
０がプログラム命令を適正なシーケンスで実行している
ことを確認する。

マイクロプロセッサの命令の各々を実行しかつその命令
の結果をメモリ空間のアドレスに書込むことにより、並
列ＣＲＣ２０はマイクロプロセッサが達成できる命令の
全てが正確に実行されていることを確認するであろう。

例えば、もしプログラムがマイクロプロセッサが達成で
きる算術演算の全てがそれらの入力として定数データと
ともに使用されるように書かれていたものとすると、か
つもし出力がメモリ空間に書かれるものとすると、並列
ＣＲＣ２０は結果のメモリへの書込みを監視しかつ、も
し結果が誤っておれば、ＣＲＣは誤りであろう。他の例
はジャンプ命令のテストである。

もしプログラムがジャンプがＲＯＭのメモリ空間の全て
につき行われるように書かれていれば、もし特定のジャ
ンプが不正になされたものとすると、ＣＲＣの結果が誤
りとなりかつＣＲＣテスＩ・が失敗になるであろう。

したがって並列ＣＲＣ２０は与えられた量のコード内の
命令がＲＯＭまたはＲＡＭから適正に読まれていること
、プログラムの流れが適正に進行していること、そして
メモリに書込まれている情報が正しいことを確認するた
めに使用される。

第２図は、並列ＣＲＣ２０の概略的ブロック図である。

第２図は、並列ＣＲＣ２０の一実施例を示し、データバ
ス１７、アドレスバス１６、およびクロック１８に結合
された並列ＣＲＣ発生器２２を具備する。ＣＲＣ２０は
さらに、期待結果レジスタ２４およびその入力が並列Ｃ
ＲＣ発生器２２および期待結果レジスタ２４に接続され
た比較器２６を含む。ＣＲＣ２０はさらに、出力が比較
器２６の入力に接続されかつ入力がスタート出力＝　１
６− １３およびストップ出力４４に結合された比較タイミン
グ回路２８を含む。期待結果レジスタ２４はＣＲＣ発生
の期待された結果を格納するために使用される。期待結
果レジスタ２４はＣＲＣの発生が開始される前にマイク
ロプロセッサ１０によりロードされる。比較器２６はＣ
ＲＣチェックが完了した後、期待結果レジスタ２４に格
納されている結果を比較するために使用される。比較器
２６は次に実際の結果が期待結果レジスタ２４に格納さ
れた値と異なる場合にはエラー信号を発生する。

並列ＣＲＣ２０を使用している場合、データバス１７お
よびアドレスバス１６は予測できるものでなければなら
ない。プログラムの実行はテストが行われるとき毎に同
じアドレスおよびデータバスの活動（ａｃｔｆｖｆｔｙ
）を生じなければならない。

これは、各場合に同じＣＲＣを達成するためにＣＲＣテ
ストは矛盾のないデータを必要とするからである。この
ことはプログラムが走る各場合ごとにプログラムが全く
同じ分岐をとること、プログラムが走る各場合に計算の
各々の結果が全く同じであること、そして各場合に読取
られる任意のメモリが全く同じデータを含むことを意味
する。これらの制約は、マイクロプロセッサ１０が連続
的に仕事を実行している場合を除き並列ＣＲＣ２０がマ
イクロプロセッサ１０を連続的に監視するために使用さ
れることを防止する。大部分の用途においては、ＣＲＣ
テストは連続的なテストとして行われる代わりに、マイ
クロプロセッサ１０の「ヘルスチェック」として周期的
に行われる。マイクロプロセッサ１Ｄの特定の応用にお
いては、テストが行われるべき頻度が指示されるであろ
う。

第１図を参照すると、制御回路１２がスタート出力１３
を介してスタート信号を送る。並列ＣＲＣ２０は、与え
られたプログラムが完了したときストップ出力４４を介
してタイマ４０により停止される。ＣＲＣ２０がストッ
プ信号４４を受けると、ＣＲＣ２０はその結果を期待さ
れた結果と比較する。もし２つが整合しなければ、ＣＲ
Ｃ２０によってエラー信号が生成されかつエラー論理回
路７０に送られる。当業者は並列ＣＲＣ発生器２２がク
ロック１８の各クロック期間ごとにデータバス１７およ
びアドレスバス１６の全てのラインに依存するＣＲＣの
値を生成できることを理解するであろう。これは、クロ
ック１８の各クロックサイクルの門並列にｎステップ（
ここでｎはデータバス１７およびアドレスバス１６のラ
インの数の和である）を実行することによりクロック１
８よりも早いクロックを必要とすることなく達成できる
。

ＣＲＣテストはＣＲＣチェックの間における装置の各ロ
ケーションを読取ることによりマイクロプロセッサ１０
により利用されるＲＯＭ、ＲＡＭまたは他の格納装置（
図示せず）の内容を確認するために使用できる。装置の
各ロケーションを読取ることにより装置の内容がデータ
のアドレスとともにデータバスに置かれる。並列ＣＲＣ
２０は次にこれらのデータの各々につきＣＲＣチェック
を行いかつ結果として得られるＣＲＣの値を生成１　　
　　　　する。この値はメモリの特定の部分のシグネチ
ャとして格納することができる。

マイクロプロセッサの確認の第２の部分は単純ウォッチ
ドッグタイマ３０により達成される。この回路はシステ
ムクロック１８からの流出（ｒｕｎＯｆｆ　）であるタ
イマである。ウォッチドッグタイマ３０はマイクロプロ
セッサへのリセット信号が検出されたときハードウェア
によってスタートされる。単純ウォッチドッグタイマが
スタートされたとき、マイクロプロセッサはタイマ３０
がその最終値に到達する前にウォッチドッグタイマ３０
を再スタートしなければならない。もしタイマが制御回
路１０によってリセットされなければ、それはタイムア
ウトしかつエラー信号がエラー論理回路７０に生成され
るであろう。

単純ウォッチドッグタイマ３０は、マイクロプロセッサ
１０がパワーオンリセット信号に正しく応答したこと、
およびそれが少なくともタイマをリセットできるポイン
トまで実行していることを確認するために使用される。

単純ウォッチドッグタイマ３０はまた、マイクロプロセ
ッサ１０により達成される種々の特定の応用機能におけ
るウォッチドッグ機能を達成する。マイクロプロセッサ
１０はタイマ３０を周期的に再スタートさせなければな
らないから、タイマ３０はもしマイクロプロセッサ１０
が再スタートを怠ればエラー信号を発生する。一般に、
この再スタートの欠如はプロセッサが正しく動作してい
ないことを示すものである。

プロセッサ確認試験の第３の部分は精密時間ウォッチド
ッグタイマ４０である。ウォッチドッグタイマ４０はマ
イクロプロセッサが正しいシーケンスで動作を行ってお
り、かつその機能を実行するために通常マイクロプロセ
ッサが必要とする正しい時間量で実行されていることを
確認するために使用される。精密時間ウォッチドッグタ
イマ４０はマイクロプロセッサ１ｏのクロック１８がら
の流出であり、それによりマイクロプロセッサ１０が他
の命令を実行するごとにタイマ４ｏを増分させる。タイ
マ４０がタイムアウトしたとき、それはダン出力４４に
一命令サイクルの長さのパルスを出力する。マイクロプ
ロセッサ１ｏはタイマがタイムアウトしたちょうどその
ときにＩ１０ボートに書込むことによりこのパルスを整
合しなければならない。この好ましい実施例においては
、制御回路１２はＩ１０ポートとして動作しかつ精密ウ
ォッチドッグタイマ４０へのストップ出力１５にストッ
プ命令を出力する。もし制御回路１２からのパルスがタ
イマ４０からの「ダン」パルスと全く同じ時間に生じな
ければ、プログラムが正確なシーケンスを実行していな
いことまたはマイクロプロセッサ１０が正しい時間量で
命令を実行していないことを示すエラー信号が発生する
。いずれの場合でも、プロセッサは正しく動作しておら
ず、かつ信号はエラー出力４２からエラー論理回路７０
に出力される。

確認動作の第４の部分はパリティチェッカ回路４９を使
用するマイクロプロセッサのプログラムＲＯＭにおける
パリティチェックである。このパリティチェックは、プ
ログラムＲＯＭの幅を１ビツト延長する１ビットパリテ
ィＲＯＭ６０の付加によって達成される。パリティＲＯ
Ｍの内容は次に、プログラムＲＯＭにおける命令の各々
に対するパリティを奇数パリティにするためセットされ
る。もし１ビツトのパリティとともに読取られた命令が
偶数パリティを示せば、次にハードウェアはエラー出力
５２を介しエラー論理回路７０にエラーメツセージを発
生するであろう。

［発明の効果］ 以上のように、この発明によれば、適正な動作を確認す
るための能力が極めて重要であるような状況でマイクロ
プロセッサを使用することを可能にする。さらに、並列
冗長マイクロプロセッサアーキテクチャが必要とされな
いため、極めて大きなコストの削減を図ることができる
。

【図面の簡単な説明】

第１図は、本発明の一実施例を示す概略的ブロック回路
図、そして 第２図は、本発明に使用される並列ＣＲＣの実施例を示
す概略的ブロック回路図である。 １０：マイクロプロセッサ、　　１２：制御回路、１３
ニスタート出力、　　１４：リセット出力、１５ニスト
ツプ出力、　　１６：アドレスバス、１７：データパス
、　　１８：クロック、２０：並列ＣＲＣ，２２：並列
ＣＲＣ発生器、２４：期待結果レジスタ、　２６：比較
器、２８：比較タイミング回路、 ３０：単純ウォッチドッグタイマ、 ４０：精密時間ウォッチドッグタイマ、５０：パリティ
チェッカ、 ６０：パリティＲＯＭ。 ７０：エラー論理回路。 出　願　人　モトローラ・インコーホレーテッド代　理
　人　弁理士　　池　　内　　義　　明Ｆ″ＩＧ　２ スタートストップ

Claims (1)

1. 【特許請求の範囲】 １、マイクロプロセッサと、 エラー論理回路と、 第１および第２の入力および前記エラー論理回路に結合
   された出力を有する並列ＣＲＣ手段と、前記並列ＣＲＣ
   手段の前記第１の入力に結合された前記マイクロプロセ
   ッサのアドレスバスと、前記並列ＣＲＣ手段の前記第２
   の入力に結合された前記マイクロプロセッサのデータバ
   スと、入力と出力とを有する単純ウォッチドッグタイマ
   であって、該入力は前記マイクロプロセッサに結合され
   、かつ該出力は前記エラー論理回路に結合されているも
   のと、 入力と出力とを有する精密時間ウォッチドッグタイマで
   あって、該入力は前記マイクロプロセッサに結合され、
   かつ該出力は前記エラー論理回路に結合されているもの
   と、 入力と出力とを有するパリテイチェッカ回路であって、
   該入力は前記マイクロプロセッサに結合され、かつ該出
   力は前記エラー論理回路に結合されているものと、 を具備することを特徴とするマイクロプロセッサのため
   の動作機能チェック装置。 ２、前記並列ＣＲＣ手段はさらに、 各々前記マイクロプロセッサのデータおよびアドレスバ
   スの１つに結合された第１および第２の入力、および出
   力を有する並列ＣＲＣ発生器、入力および出力を有する
   期待結果レジスタであって、該入力は前記マイクロプロ
   セッサに接続されているもの、および 前記並列ＣＲＣ発生器および前記期待結果レジスタの出
   力に結合された第１および第２の入力を有し、かつ前記
   エラー論理回路に結合された出力を有する比較器、 を具備する請求項１に記載の動作機能チェック装置。 ３、前記パリテイチェッカ回路はさらに、 第１および第２の入力および出力を有するパリテイチェ
   ッカであって、前記マイクロプロセッサの前記データバ
   スは該第１の入力に結合され、かつ前記エラー論理回路
   は該出力に接続されているもの、および 入力および出力を有するパリテイメモリであって、前記
   マイクロプロセッサからの前記アドレスバスは該入力に
   接続されかつ前記パリテイチェッカの前記第２の入力は
   該出力に接続されているもの、 を具備する請求項２に記載の動作機能チェック装置。 ４、エラー論理回路、 マイクロプロセッサに結合され、かつ第１、第２および
   第３の出力を有する制御回路、 各々前記マイクロプロセッサのデータバスおよびアドレ
   スバスの１つに結合された第１および第２の入力、前記
   制御回路の前記第１の出力に結合された第３の入力、第
   ４の入力、および前記エラー論理回路に結合された出力
   を有する並列ＣＲＣ手段、 前記マイクロプロセッサに結合された第１の入力、前記
   制御回路の前記第２の出力に結合された第２の入力、お
   よび前記エラー論理回路に結合された出力を有する単純
   ウォッチドッグタイマ、前記マイクロプロセッサからク
   ロック入力を受けるようにされた第１の入力、前記制御
   回路の前記第１の出力に結合された第２の入力、前記制
   御回路の前記第３の出力に結合された第３の入力、前記
   並列ＣＲＣ手段の第４の入力に結合された第１の出力、
   および前記エラー論理回路に結合された第２の出力を有
   する精密時間ウォッチドックタイマ、 前記マイクロプロセッサからの前記データバスに結合さ
   れた第１の入力、第２の入力、および前記エラー論理手
   段に結合された出力を有するパリテイチェッカ、および 前記マイクロプロセッサの前記アドレスバスに結合され
   た入力、および前記パリテイチェッカの前記第２の入力
   に結合された出力を有するパリテイメモリ、 を具備すること特徴とするマイクロプロセッサのための
   動作機能チェック装置。 ５、マイクロプロセッサを提供する段階、 与えられた数の処理サイクルにわたり前記マイクロプロ
   セッサからのデータおよびアドレスに対する巡回冗長チ
   ェックを累積する段階、 前記累積段階から累積されたＣＲＣを格納されたデータ
   と比較する段階、 前記累積されたＣＲＣと前記格納されたデータとが整合
   しない場合にエラー信号を発生する段階、単純ウォッチ
   ドッグタイマをスタートさせる段階、 カウンタがゼロに到達する前に前記マイクロプロセッサ
   から単純ウォッチドッグタイマにリセット信号を送る段
   階、 カウンタがゼロに到達する前に前記リセット信号が送ら
   れなければエラー信号を発生する段階、精密時間ウォッ
   チドッグタイマをプロセッサの動作開始時にスタートさ
   せ、かつ前記マイクロプロセッサの各命令サイクルを計
   数する段階、所定の計数で前記精密ウォッチドッグタイ
   マを停止させる段階、 前記マイクロプロセッサから前記精密時間ウォッチドッ
   クタイマに、該精密時間ウォッチドッグタイマが停止す
   るのとほぼ同じ時間に停止信号を送る段階、 もし前記停止信号と前記計数の停止とが一致しなければ
   エラー信号を発生する段階、 マイクロプロセッサにより実行されるプログラムを含む
   メモリにパリテイビットを付加する段階、プログラムＲ
   ＯＭに含まれる各命令に対するパリテイが所定のパリテ
   イを有するようにパリテイＲＯＭの内容をプログラムす
   る段階、そして前記所定のパリテイに等しくないパリテ
   イが検出された場合にエラー信号を発生する段階、を具
   備することを特徴とするマイクロプロセッサのための動
   作機能チェック方法。