JPH03246638A - プログラム暴走検出方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔概　要〕 プロセス制御等のリアルタイムシステムにおいて、プロ
グラムの暴走を検出するプログラム暴走検出方式に関し
、 モジュール単位で最長走行時間と実際の走行時間の比較
（最大走行ステップ数と実際の走行ステップ数の比較）
を行うことができることを目的とし、 モジュールごとに、最長走行時間あるいは最大走行ステ
ップ数に対応する最大処理量を示す情報ヲ有シ、各モジ
ュールの走行に応じて、その走行時間あるいは走行ステ
ップ数に対応する処理量を計測する計測手段と、モジュ
ールの走行開始に応じて、計測手段の初期設定を行い、
制御転送時に計測手段が示す計測値を退避し、また制御
復帰時に退避した計測値を計測手段に設定する制御回路
と、計測手段の計測値が、走行モジュールの最大処理量
を越えるときにプログラムの暴走を検出する検出回路と
を備えて構成される。

〔産業上の利用分野〕

本発明は、プロセス制御等のリアルタイムシステムにお
いて、プログラムの暴走を検出するプログラム暴走検出
方式に関する。

プロセス制御を行うリアルタイムシステムでは、外部か
らの入力条件に応じて処理の実行順序を変更したり、外
部出力の制御量（時間）を変化させる必要があり、外部
入力条件に応じてソフトウェア処理が影響を受ける。複
雑なプロセス制御では、全ての外部入力条件に対応した
試験を実施することが不可能であるため、プログラムの
暴走を検出する機構を組み込み、不測の事態によりプロ
グラムが暴走したときの安全対策を講しる必要がある。

〔従来の技術〕

プログラムの実行時間を監視し、プログラム暴走を検出
する方式として、ウォッチ・ドッグ・タイマを用いた方
式が広く用いられている。この方式では、ウォッチ・ド
ッグ・タイマをリセットする処理を設け、本処理をウォ
ッチ・ドッグ・タイマの設定時間より短い時間周期で起
動する。他の処理が実行権を放棄しないために、この処
理が起動されず、ウォッチ・ドッグ・タイマの時間が設
定時間を経過するときには、割り込み等により、ＣＰＵ
にプログラム暴走が通知される。

〔発明が解決しようとする課題〕

ところで、リアルタイム・システムでは、優先処理によ
るタスク管理が一般的によく使用されている。この優先
処理によるタスク管理を行うシステムでは、低レベルの
プログラムが暴走中のときでも、高レベルのプログラム
が割込んで動作することが起こり得る。

このようなとき、上述したウォッチ・ドッグ・タイマに
よる方式では、異常検出割込みが異常のあるプログラム
の走行中に発生するとは限らず、異常のあるプログラム
を特定することができない。

したがって、プログラム暴走発生時には、異常な制御が
継続して実行されることを回避するため□に、システム
全体を停止させていた。また、異常発生後の原因調査に
おいても、異常が発生した直接の原因となるプログラム
を見つけるための情報が残らず、原因調査に手間取って
いた。

一方、プログラムの暴走を検出する手段とじては、監視
対象となるプログラムが正常に動作した場合の最長走行
時間と実際の走行時間とを比較する方法、あるいは監視
対象となるプログラムが正常に動作した場合の最大走行
ステップ数と実際の走行ステップ数とを比較する方法が
ある。この方法をプログラム単位で行うときには、最長
走行時間あるいは最大走行ステップ数の設定にプログラ
ムの構造を考慮する必要があり、その設定方法が容易で
はない。

したがって、何れか一方の比較を制御転送の単位となる
モジュール単位で行うことができれば、上述した問題点
を解決することができる。

本発明は、モジュール単位で最長走行時間と実際の走行
時間の比較、あるいは最大走行ステップ数と実際の走行
ステップ数の比較を行うことができるプログラム暴走検
出方式を提供することを目的としている。

〔課題を解決するための手段〕

第１図は、本発明の原理ブロック図である。

請求項（１）に記載の発明では、モジュールごとに、最
長走行時間あるいは最大走行ステップ数に対応する最大
処理量を示す情報を有する。

計測手段１１は、各モジュールの走行に応じて、その走
行時間あるいは走行ステップ数に対応する処理量を計測
する。

制御回路１３は、モジュールの走行開始に応じて、計測
手段１１の初期設定を行い、制御転送時に計測手段１１
が示す計測値を退避し、また制御復帰時に退避した計測
値を計測手段１１に設定する。

検出回路１５は、計測手段１１の計測値が、走行モジュ
ールの最大処理量を越えるときにプログラムの暴走を特
徴する 請求項（２）に記載の発明では、請求項（１）に記載の
発明の制御回路１３は、モジュールの走行開始に応じて
計測手段１１に初期設定する値をそのモジュールの最大
処理量に対応する値とする。

計測手段１１は、モジュールの走行に応じて初期設定さ
れた値を減算する構成とする。

検出回路１５は、計測手段１１の計測値が「１」から「
０」に変化したときにプログラムの暴走を検出する構成
とする。

請求項（２）に記載の発明では、以上の構成において、
制御回路１３は、プログラムの異常の監視不要時には、
計測手段１１に初期設定する値を「０」とする。

〔作　用〕

請求項（１）に記載の発明では、モジュールの走行開始
時に、走行時間あるいは走行ステップ数に応じた処理量
を計測する計測手段１１に初期設定し、モジュールの走
行に並行してこれを更新する。制御転送時には、制御転
送元モジュールの処理量に対応する計測値は、復帰アド
レスとともに退避される。

計測手段１１は、制御転送先モジュールの走行開始時に
初期設定され、その処理量が計測される。

制御転送先モジュールの処理が終了し、制御転送元モジ
ュールへ制御が復帰するときには、退避されていた計測
値が計測手段１１に設定され、制御転送前の計測値から
更新が再開される。この計測手段１１の計測値は、走行
中のモジュールの他のモジュールの呼び出し処理および
割込み処理等を含まない実際の処理量に対応する。

検出回路１５は、計測手段１１を監視し、計測値が走行
モジュールの最大処理量を越えるときにプログラム暴走
を検出する。

すなわち、最大処理量（最大走行時間、最大走行ステッ
プ数）と実際の処理量（走行時間、走行ステップ数）と
の比較をモジュール単位で行うことができる。

請求項（２）に記載の発明では、モジュールの走行開始
に応じて計測手段１１に最大処理量に応じた値を設定し
、モジュールの走行に応じて減算を行い、計測値がｒｌ
Ｊから「０」に変化するときにプログラムの暴走を検出
する。プログラムの監視不要時には、計測手段１１を「
０」で初期設定することにより、プログラム暴走検出処
理を停止することが可能になる。

〔実施例〕

以下、図面に基づいて本発明の実施例について詳細に説
明する。

第２図は、本発明の実施例構成を示すブロック図である
。

なお、本実施例のプログラム暴走検出は、プログラムが
正常に動作した場合の最長走行時間と実際の走行時間と
を比較する方法に対応する。

図において、制御回路（ＭＰＵ）１３には、カウンタ２
１が接続される。すなわち、制御回路１３は、モジュー
ルの走行開始に応じて、カウンタ初期値をカウンタ２１
に設定し、制御転送時には、復帰アドレスとともに、カ
ウンタ２１の計測値をスタックに退避する構成とする。

カウンタ２１およびクロック発生回路２３は、計測手段
１１として設けられ、カウンタ２１に設定される値をク
ロック発生回路２３から出力されるクロック信号に応じ
て、カウント・ダウンする構成とする。ここで、カウン
タ２１は、計測値が「０」になったときには、計測値の
更新を行わなず、クロック発生回路２３は、走行時間を
計測するために、１ｍｓの時間周期でクロック信号をカ
ウンタ２１に出力するものとする。

カウンタ２１には、検出回路１５が接続される。

検出回路１５は、カウンタ２１の計測値が「１」から「
０」に変化したときに、制御回路１３にＮＭ　Ｉ　（Ｎ
ｏｎ　　Ｍａｓｋａｂｌｅ　Ｉｎｔｅｒｒｕｐｔ）割込
みをかける構成とする。

ここで、実施例の説明に用いるモジュールＡはモジュー
ルＢを呼び出す構成であり、各モジュールの最初の命令
の直前のアドレスにはカウンタ初期値Ａ１、Ｂ１が設定
される。例えば、モジュールＡは、いかなる条件でも１
５０ｍ５未満の時間内に処理を終了し、モジュールＢは
、いかなる条件でも５０ｍ５未満の時間内に処理を終了
するとき、各モジュールＡ、Ｂに対し、走行時間が１５
０ｍ５．５０ｍ５に達するときにプログラム暴走を検出
するには、各モジュールＡ、Ｂのカウンタ初期値Ａｌ、
　Ｂｌとしてｒ１５０Ｊ、「５０」が設定される。

第３図は、計測値の設定を説明する図である。

第４図は、実施例の動作の流れを説明する図である。第
５図は、検出回路の動作の流れを説明する図である。

以下、第２図〜第５図を参照して、実施例の動作につい
て説明する。

制御回路１３は、上位のモジュールからモジュールＡに
制御転送を行い、モジュールＡの最初の命令の直前のア
ドレスに設定されるカウンタ初期値ｒ　１５０４を読み
出し、カウンタ２１に書き込む。

この後、モジュールＡの最初の命令が実行される（第３
図（ａ））。

このモジュールＡの走行と並行して、カウンタ２１は、
クロック発生回路２３から供給されるクロック信号に基
づいて計測値ｒ１５０１からカウント・ダウンを行う。

モジュールＡ内のｒＣＡＬＬＪ命令によりモジュールＢ
が呼び出される。

このとき、カウンタ２１は、カウント・ダウンされて計
測値Ａ２、例えば「８０」になっているものとする。モ
ジュールＢへの制御転送に先立って、モジュールＢを実
行した後のモジュールＡ内の復帰アドレスａがスタック
に退避されるとともに、カウンタ２１のその時点の計測
値「８０」が、スタックに退避される（第３図（ｂ）の
■）。

モジュールＢに制御転送され、その最初の命令の直前の
アドレスに設定されるカウンタ初期値「５０」がカウン
タ２１に書き込まれる（第３図（ｂ）の■） モジュールＢの走行が開始され、これと並行して、カウ
ンタ２１は、計測値ｒ５０」からカウント・ダウンを行
う。

モジュールＢの処理が終了し、モジュールＢのｒＲＥＴ
、命令によりモジュールＡに制御転送が行われるとき、
制御回路１３は、スタックに退避されている制御転送発
生時点の計測値「８０」をカウンタ２１に書き込み、復
帰アドレスａからモジュールＡの処理を再開する（第３
図（Ｃ））。モジュールＡの走行と並行して、カウンタ
２１は、計測値「８０」からカウント・ダウンを再開す
る。

モジュールＡの処理が終了すれば、モジュールＡを呼び
出したさらに上位のモジュールに制御転送が行われる。

上述した処理の間、検出回路１５は、カウンタ２１の計
測値を監視し、計測値が「１」から「０」に変化したと
きに、最長走行時間を越えたとして、プログラムの暴走
を検出し、制御回路１３にＮＭ■割込みをかける。この
割込み処理で、割込み復帰アドレスを手掛かりに異常の
発生したモジュールを特定することができる。

ここで、カウンタ２１は、計測値「０」以降はカウント
・ダウンを行わず、検出回路１５は、計測値が「１」か
ら「０」に変化したときにプログラムの暴走を検出する
構成であることから、各モジュールに設定するカウンタ
初期値を「０」にすることにより、プログラム暴走検出
処理を停止させることができる。

なお、上述した実施例は、ｒＣＡＬＬ、命令により制御
転送が行われる場合であったが、モジュール間の制御転
送が行われる他の場合、例えば、ｒＲＥＴＪ命令、外部
割込み、内部割込み、割込みｒ　ＲＥ　Ｔ、　Ｊ命令等
による処理でも、各処理の最初の命令の直前のアドレス
にカウンタ初期値を設定しておけば、同様にしてプログ
ラム暴走検出を行うことができる。

したがって、他のモジュールの呼び出しや、割込みによ
る走行時間の増加を考慮することなく、監視対象のモジ
ュールの走行時間を考慮するだけでプログラム暴走検出
の判定基準を設定することができるので、プログラム構
造の変更に柔軟に対処することができる。

なお、プログラム暴走検出を走行時間ではなく走行ステ
ップ数で行うときには、最大走行ステップ数に応じたカ
ウンタ初期値を設定し、一定時間間隔ではなく、命令の
フェッチ信号に応じてクロック発生回路２３からクロッ
ク信号を出力する構成にすればよい。

〔発明の効果〕

本発明によれば、制御転送が行われるときには、そのと
きの計測値を退避し、制御復帰時に退避した計測値を計
測手段に戻して制御転送前の計測値から引き続いて計測
を行い、モジュール単位で実際の走行時間（走行ステッ
プ数）を計測することができる。

したがって、モジュール単位で最長走行時間（最大走行
ステップ数）と実際の走行時間（走行ステップ数）とを
比較し、モジュール単位でプログラムの暴走を検出する
ことができるので、異常検出割込み発生のタイミングを
異常のあるプログラムの走行中とすることができる。

これにより、単一のＣＰＵで行うリアルタイム・システ
ムにおいて、プログラム暴走発生時に、上述した異常の
発生したタスクのみを停止させ、全面的なシステムダウ
ンとはならないシステムを構成することが可能となる。

また、モジュール単位でプログラム異常検出の処理時間
を決定すればよいので、その決定が容易であり、プログ
ラム構造の変更に対する影響もほとんど考慮する必要が
なくなり、汎用的なシステムにも適用できる。

さらに、本方式では、異常発生のモジュールを特定する
ことができるので、障害解析の所要時間を短縮すること
ができる。

【図面の簡単な説明】

第１図は本発明の原理ブロック図、 第２図は実施例構成を示すブロック図、第３図は計測値
の設定を説明する図 案４図は実施例の動作の流れを説明する図、第５図は検
出回路の動作の流れを説明する図である。 図において、 １１は計測手段、 １３は制御回路、 １５は検出回路 ２１はカウンタ、 ２３はクロック発生回路である。 本発明の原理ブロック図 第 図 ［−１１ ８１？Ｉｌり手段 一−□］ ５ 実施例の構成ブロック図 第２図 検出回路の動作の流れを説明する図 （Ｃ） 計測値の設定を説明する図

Claims (2)

【特許請求の範囲】
1. （１）モジュールごとに、最長走行時間あるいは最大走
   行ステップ数に対応する最大処理量を示す情報を有し、 前記各モジュールの走行に応じて、その走行時間あるい
   は走行ステップ数に対応する処理量を計測する計測手段
   （１１）と、 前記モジュールの走行開始に応じて、前記計測手段（１
   １）の初期設定を行い、制御転送時に前記計測手段（１
   １）が示す計測値を退避し、また制御復帰時に退避した
   計測値を前記計測手段（１１）に設定する制御回路（１
   ３）と、 前記計測手段（１１）の計測値が、走行モジュールの最
   大処理量を越えるときにプログラムの暴走を検出する検
   出回路（１５）と を備えたことを特徴とするプログラム暴走検出方式。
2. （２）制御回路（１３）は、モジュールの走行開始に応
   じて計測手段（１１）に初期設定する値をそのモジュー
   ルの最大処理量に対応する値とし、計測手段（１１）は
   、モジュールの走行に応じて初期設定された値を減算す
   る構成とし、 検出回路（１５）は、前記計測手段（１１）の計測値が
   「１」から「０」に変化したときにプログラムの暴走を
   検出する構成とする請求項（１）に記載のプログラム暴
   走検出方式において、 前記制御回路（１３）は、プログラムの異常の監視不要
   時には、前記計測手段（１１）に初期設定する値を「０
   」とする構成である ことを特徴とするプログラム暴走検出方式。