JPH05158750A - マイクロコンピュータの誤動作防止回路 - Google Patents

Abstract

(57)【要約】 【目的】従来、リセットスタート信号Ｒによりマイコン
１が起動後、初期処理を終える迄はＲＳフリップフロッ
プ３の出力Ｓのリセット“Ｌ”によりＡＮＤゲート８を
阻止し、ウォッチドッグタイマとしてのモノステーブル
タイマ２の機能を無効とし、初期処理後マイコン１がト
リガ信号Ｔを出力して２と３とをトリガし信号Ｓをセッ
ト“Ｈ”としてウォッチドッグタイマを有効とする従来
の系では該タイマが無効化されている間にマイコンが暴
走し書き込み要求信号ｗで外部出力回路６を不正アクセ
スする惧れが有ったことを改善する。 【構成】ＲＳフリップフロップ３のリセット中はＡＮＤ
ゲート１３を阻止し書き込み要求信号ｗが外部出力回路
６に入ることを防ぐ。またこの不正アクセス信号ｗをＡ
ＮＤゲート１２、ＯＲゲート１１を介し検出し、マイコ
ン１に割り込みを発生させて暴走保護処理を行わせ、又
はマイコンをリセットする。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明はマイクロコンピュータの
暴走監視用のウォッチドッグタイマ回路を備えた制御装
置等のマイクロコンピュータシステムにおいて、マイク
ロコンピュータの暴走に基づく誤動作を防止する回路に
関する。なお以下各図において同一の符号は同一もしく
は相当部分を示す。

【０００２】

【従来の技術】マイクロコンピュータによって制御され
る制御装置等のシステムにおいて、マイクロコンピュー
タの暴走を監視する手段として、いわゆるウォッチドッ
グタイマが使用される。ウォッチドッグタイマはアナロ
グのモノステーブルタイマ（ワンショットタイマ）ある
いはディジタルのタイマカウンタ等で構成され、タイマ
時限以下の一定の周期または所定の時限以内で起動され
るプログラムで繰り返しトリガするようにしている。プ
ログラムの暴走等でプログラムが正常に稼動しなくな
り、ウォッチドッグタイマがトリガされなくなるとタイ
マがタイムアップすることを用いてシステムの異常を検
知しようというものである。従って、このようなウォッ
チドッグタイマを用いたシステムにおいては、一度ウォ
ッチドッグタイマを稼動すると、それ以後、システムが
正常であり続けるためにウォッチドッグタイマを周期的
にトリガしなくてはならない。

【０００３】ところで、システムのＲＡＳ機能としてウ
ォッチドッグタイマ回路や他のＲＡＳ機能が正常である
ことを検証する場合や、ウォッチドッグタイマの設置目
的が信頼性の低いアプリケーションプログラムの暴走監
視用であって、マイクロコンピュータのリセットスター
トからそのアプリケーションプログラムが起動されるま
での間はウォッチドッグタイマ回路が機能しないほうが
好ましい場合がある。

【０００４】しかしながら、ウォッチドッグタイマ回路
機能をプログラムで容易に停止／稼働できるようにする
ことは、プログラムの暴走によりウォッチドッグタイマ
の機能を停止してしまう可能性がある。そこで従来は図
２のブロック回路図に示すように、マイクロコンピュー
タ１のリセットスタート時点では、一時、ウォッチドッ
グタイマの機能を停止しておき、一度、ウォッチドッグ
タイマが起動されると、以後はウォッチドッグタイマの
機能が停止できないようにしている。

【０００５】なおここで図２の構成と動作を説明する。
同図において、１はマイクロコンピュータ（マイコンと
も略記する）、２はウォッチドッグタイマとなるモノス
テーブルタイマ、３はリセット・セットフリップフロッ
プ（ＲＳフリップフロップとも記す）、４はパワーオン
リセット信号出力回路、５はマイコン１の暴走等を表示
する表示器、６はマイコン１から外部へデータを出力す
る際のインタフェースとなる外部出力回路、７はシステ
ムリセットスイッチ、８はＡＮＤゲート、９はＯＲゲー
ト、１０はシステムバスである。

【０００６】またＲはＯＲゲートから出力されるリセッ
トスタート信号、Ｔはマイコン１からシステムバス１０
を介してモノステーブルタイマ２およびＲＳフリップフ
ロップ３に与えられるトリガ信号、Ｅはモノステーブル
タイマ２のタイムアップ時にこのタイマ２からＡＮＤゲ
ート８に与えられる出力信号、ＳはＲＳフリップフロッ
プ３の出力信号としてのウォッチドッグタイマ起動／停
止信号、ｆ１はモノステーブルタイマのタイムアップに
基づいてＡＮＤゲート８から出力されるウォッチドッグ
タイマ故障信号である。またｗおよびｄは夫々、マイク
ロコンピュータ１から外部出力回路６に出力される書き
込み要求信号および書き込みデータ、Ｄは外部出力回路
６から外部に出力されるデータ信号である。

【０００７】次に図２の動作を説明する。リセットスタ
ート信号Ｒは制御電源投入時にパワーオンリセット信号
出力回路４から出力される信号４ａ、またはシステムリ
セットスイッチ７の出力信号７ａの論理和として、ＯＲ
ゲート９より出力される。このリセットスタート信号Ｒ
によりマイクロコンピュータ１はリセットシーケンスを
起動し、また外部出力回路６はフェイルセイフとなる所
定の初期状態を示す信号Ｄ０を出力する状態にセットさ
れる。そしてさらにＲＳフリップフロップ３はこのリセ
ットスタート信号Ｒによりリセットされ、その出力信号
Ｓは“Ｌ”になる。

【０００８】このリセットスタート時点におけるモノス
テーブルタイマ２の出力信号Ｅの状態は不定であり、少
なくともモノステーブルタイマ２の設定時間Ｔ_WDT 時間
後に、その出力信号Ｅは故障状態を表わす“Ｌ”となる
が、ＲＳフリップフロップ３の出力信号Ｓが“Ｌ”（リ
セット状態）であるため、ＡＮＤゲート８は閉じてお
り、モノステーブルタイマの出力信号Ｅは阻止され（Ａ
ＮＤゲート８の出力は“Ｌ”を保ち）、従って故障信号
ｆ１は出力されず、故障とは判定されない。 ここで表
示器５は、ＲＳフリップフロップ３の出力信号Ｓが
“Ｌ”（リセット状態）であることからマイクロコンピ
ュータ１がアプリケーションプログラムの実行状態にな
っていないこと、またウォッチドッグタイマ故障信号ｆ
１が“Ｌ”であることからウォッチドッグタイマ故障状
態でないことをシステム外部に対して表示する。

【０００９】次に、マイクロコンピュータ１はアプリケ
ーションプログラムの実行開始に際して、モノステーブ
ルタイマ２およびＲＳフリップフロップ３をトリガすべ
くトリガ信号Ｔを出力する。モノステーブルタイマ２は
トリガ信号Ｔにより設定時間Ｔ_WDT の計測を開始して、
設定時間Ｔ_WDT の間、その出力信号Ｅを“Ｈ”（正常状
態）に保つ。またＲＳフリップフロップ３の出力信号Ｓ
は前記のトリガ信号Ｔにより、“Ｈ”にセットされ、以
後、リセットスタート信号Ｒでリセットされるまで
“Ｈ”を保つ。

【００１０】これによりモノステーブルタイマ２のウォ
ッチドッグタイマとしての機能は有効となる。従ってマ
イクロコンピュータ１がアプリケーションプログラムの
実行中、タイマ２のタイムアップ以前に正常にトリガ信
号Ｔの出力を繰返す限りはタイマ２の出力信号Ｅは
“Ｈ”であり、従って故障信号ｆ１は“Ｌ”のままで有
効とはならず、故障とは判定されない。しかしマイクロ
コンピュータ１が暴走しトリガ信号Ｔを出力しなくなる
と、モノステーブルタイマ２のタイムアップにより、そ
の出力信号Ｅは“Ｌ”（故障状態）、従って故障信号ｆ
１は“Ｈ”となり、表示器５はこの故障を表示する。ま
たマイクロコンピュータ１はこの故障信号ｆ１に基づい
て暴走に対応する所定の割り込み処理を実行する。

【００１１】

【発明が解決しようとする課題】ウォッチドッグタイマ
が機能している場合には、プログラムの暴走が発生した
場合でも、いずれはウォッチドッグタイマ機能により、
プログラムの暴走を検知して何らかの保護動作を取り得
る。しかしながら、図２に示されるウォッチドッグタイ
マの方式では、少なくとも１度はＲＳフリップフロップ
３およびウォッチドッグタイマとしてのモノステーブル
タイマ２をトリガしないとウォッチドッグタイマ回路が
機能し始めないために、マイクロコンピュータ１のリセ
ットスタート時点からウォッチドッグタイマが起動され
るまでの間に発生する初期処理のプログラムの暴走につ
いては、ウォッチドッグタイマによる保護動作が期待で
きないことになる。このため、初期処理のプログラムの
暴走に対してシステム自体では保護・復旧動作が行われ
ないことになり、このプログラムの暴走によって外部に
誤った信号が出力されたとしても、誤動作状態が永久に
継続してしまうおそれがある。また、このプログラム暴
走の検出はウォッチドッグタイマではできないという問
題点があった。そこで本発明はこのような問題を解消で
きるマイクロコンピュータの誤動作防止回路を提供する
ことを課題とする。

【００１２】

【課題を解決するための手段】前記の課題を解決するた
めに、請求項１の誤動作防止回路は、マイクロコンピュ
ータ（１など）の起動時点からこのマイクロコンピュー
タが所定の初期処理を終えるまでの間、ウォッチドッグ
タイマ回路（モノステーブルタイマ２など）の機能を
（ＡＮＤゲート８などを介して）停止するようにしたマ
イクロコンピュータ・システムにおいて、前記ウォッチ
ドッグタイマ回路の機能が停止されている状態で、所定
の出力用デバイス（外部出力回路６など）に対し前記マ
イクロコンピュータが出力したアクセス信号（書き込み
信号ｗなど）の到達を阻止する手段（ＡＮＤゲート１３
など）を備えたものとする。

【００１３】また請求項２の誤動作防止回路は、請求項
１に記載の誤動作防止回路において、前記ウォッチドッ
グタイマ回路の機能が停止されている状態で、前記出力
用デバイスに対して前記マイクロコンピュータが出力し
たアクセス信号をこのマイクロコンピュータの暴走を示
す信号（不正アクセス故障信号ｆ２など）として取出す
手段（ＡＮＤゲート１２，ＯＲゲート１１など）を備え
たものとする。

【００１４】

【作用】マイクロコンピュータ１のリセットスタート直
後の初期状態において、ウォッチドッグタイマ回路の動
作を停止させている状態信号（この場合、ＲＳフリップ
フロップ３のリセット状態“Ｌ”の出力信号）Ｓを用い
て、アプリケーションプログラムで使用する外部出力回
路６に対してマイクロコンピュータ１がアクセスできな
いようにする。さらに上記“Ｌ”の状態信号Ｓを用い
て、前記外部出力回路６に対してマイクロコンピュータ
１がアクセスしようとしたことを検出してプログラムの
暴走と判断する。

【００１５】

【実施例】図１は本発明の一実施例としてのシステムの
要部構成を示すブロック回路図で、図２に対応するもの
である。図１においては図２に対しＯＲゲート１１およ
びＡＮＤゲート１２，１３が追加されている。ここでＡ
ＮＤゲート１２，１３は共にＲＳフリップフロップ３の
出力信号（ウォッチドッグタイマ起動／停止信号）Ｓを
１方の入力とし、かつマイクロコンピュータ１からの外
部出力回路６に対する書き込み要求信号１ｗを他方の入
力としている。

【００１６】そしてＡＮＤゲート１３は、リセットスタ
ート信号Ｒの出力後、マイクロコンピュータがトリガ信
号Ｔを出力してウォッチドッグタイマ回路を有効化する
以前に（つまり不正に）マイクロコンピュータ１が外部
出力回路６をアクセスする（換言すれば不正な書き込み
要求信号ｗが書込信号Ｗとなって外部出力回路６に入力
される）ことを防ぐ役割を持ち、ＡＮＤゲート１２はこ
の不正なアクセス信号ｗを検出し、不正アクセス故障信
号ｆ２として取出す役割を持つ。そしてＯＲゲート１１
は図２で述べたウォッチドッグタイマ回路が有効化され
て後の故障信号ｆ１と、同じく有効化される以前の上記
の不正アクセス故障信号ｆ２とのＯＲ条件を求め、故障
信号Ｆとしてマイクロコンピュータ１に与える役割を持
つ。

【００１７】次に図１の詳細動作を説明する。図１にお
いてもパリーオンリセット信号出力回路４又はシステム
リセットスイッチ７によってリセットスタート信号Ｒが
出力されてのち、マイクロコンピュータ１からのトリガ
信号Ｔによってウォッチドッグタイマ回路が有効化され
るまでの図２で述べた動作は全く同様に当てはまる。そ
してこののち、ウォッチドッグタイマ故障信号ｆ１が
“Ｌ”（正常状態）を保ち続ける限り、故障とは判定さ
れない。このとき表示器５はＲＳフリップフロップ３の
出力信号Ｓが“Ｈ”（セット状態）であることからマイ
クロコンピュータ１がアプリケーションプログラムの実
行状態になっていること、またウォッチドッグタイマ故
障信号ｆ１が“Ｌ”であることから、ウォッチドッグタ
イマ故障状態でないことをシステム外部に対して表示す
る。

【００１８】この状態において、マイクロコンピュータ
１が正常に動作し、その結果としてモノステーブルタイ
マ２の設定時間Ｔ_WDT 以下の間隔でトリガ信号Ｔにより
モノステーブルタイマ２をトリガし続ける限り、モノス
テーブルタイマ２の出力信号Ｅは“Ｈ”（正常状態）を
保ち続け、ウォッチドッグタイマ故障信号ｆ１も正常状
態である“Ｌ”を保ち続ける。

【００１９】この状態において、マイクロコンピュータ
１が何らかの原因によりプログラムの暴走を始めて正常
なプログラム処理が行われなくなった結果、モノステー
ブルタイマ２の設定時間Ｔ_WDT 以内にモノステーブルタ
イマ２をトリガできないと、モノステーブルタイマ２は
タイムアップし、その出力信号Ｅは“Ｌ”（故障状態）
に変化する。そこで“Ｈ”であるＲＳフリップフロップ
３の出力信号Ｓとモノステーブルタイマ２の出力信号Ｅ
の論理積により、ＡＮＤゲート８が出力するウォッチド
ッグタイマ故障信号ｆ１は“Ｈ”（故障状態）となり、
表示器５を介してシステム外部にウォッチドッグタイマ
故障状態であることを表示するとともに、ＯＲゲート１
１を介して故障信号Ｆがアクティブとなり、マイクロコ
ンピュータ１の割り込み処理を起動してプログラム暴走
に対する保護動作を行う。この保護動作としては、必要
に応じて外部出力回路６を、その出力信号Ｄの状態がフ
ェイルセイフとなるようにセットする。

【００２０】一方、マイクロコンピュータ１がリセット
スタート信号Ｒにより、リセットシーケンスを起動して
から最初に（ウォッチドッグタイマ回路を起動するため
に）モノステーブルタイマ２へのトリガ信号Ｔを出力す
るまでの間に、マイクロコンピュータ１が暴走状態にな
った場合、仮にマイクロコンピュータ１が外部出力回路
６に対して書き込み要求信号ｗを出力し、不正なデータ
ｄを出力したとしても、ＲＳフリップフロップ３の出力
信号Ｓはリセットスタート信号Ｒでリセットされ“Ｌ”
のままであることから、ＡＮＤゲート１３の出力条件は
成立せず、このため不正なデータが外部出力回路６にセ
ットされて外部に出力されることはない。また、ＲＳフ
リップフロップ３の出力信号Ｓが“Ｌ”のリセット状態
でマイクロコンピュータ１が外部出力回路６に対して書
き込み要求信号ｗを出力し、アクセスしようとしたこと
でＡＮＤゲート１２の出力条件が成立し、不正アクセス
故障信号ｆ２が“Ｈ”（故障状態）として出力され、外
部出力回路６に対して不正なアクセスが行われようとし
たことがＯＲゲート１１を介してマイクロコンピュータ
１に対し故障割り込み信号Ｆとして通知される。

【００２１】但し、この実施例では、プログラムの暴走
をウォッチドッグタイマ機能等で検知して、これを示す
故障信号Ｆによりマイクロコンピュータに割り込みを発
生させているが、適用するシステムによっては、この故
障信号Ｆをマイクロコンピュータに対するリセット信号
として使用しても何ら差し支えない。また、暴走検知に
基づく割り込み処理においてマイクロコンピュータが実
施する処理内容等については、本発明の直接目的とする
ものではないことから説明を省略する。

【００２２】

【発明の効果】本発明によれば、ウォッチドッグタイマ
回路が機能する以前の状態で、初期処理プログラムの暴
走により外部出力回路６に対する不正なアクセス信号が
出力されても、このアクセス信号が外部出力回路６に達
しないように阻止することとしたので、不正データの外
部出力による誤動作を防ぐことができる。また従来なら
ウォッチドッグタイマ回路が機能していない状態での初
期処理プログラムの暴走が検知できなかったのに対し
て、本発明ではこの状態での外部出力回路６に対する不
正なアクセス信号を取出すようにしたので、初期処理プ
ログラムの暴走を検知することができる。

【図面の簡単な説明】

【図１】本発明の一実施例としてのシステムの要部構成
を示すブロック回路図

【図２】図１に対応する従来の回路図

【符号の説明】

１ マイクロコンピュータ ２ モノステーブルタイマ ３ ＲＳフリップフロップ ４ パワーオンリセット信号出力回路 ５ 表示器 ６ 外部出力回路 ７ システムリセットスイッチ ８ ＡＮＤゲート ９ ＯＲゲート １０ システムバス １１ ＯＲゲート １２ ＡＮＤゲート １３ ＡＮＤゲート Ｔ モノステーブルタイマトリガ信号 Ｅ モノステーブルタイマ出力信号 Ｆ 故障信号 Ｓ ウォッチドッグタイマ起動／停止信号 Ｒ リセットスタート信号 ｗ 外部出力回路書き込み要求信号 ｄ 外部出力回路書き込みデータ Ｄ 外部出力回路出力信号 ｆ１ ウォッチドッグタイマ故障信号 ｆ２ 不正アクセス故障信号 Ｗ 外部出力回路書き込み信号

Claims (2)

【特許請求の範囲】
1. 【請求項１】マイクロコンピュータの起動時点からこの
   マイクロコンピュータが所定の初期処理を終えるまでの
   間、ウォッチドッグタイマ回路の機能を停止するように
   したマイクロコンピュータ・システムにおいて、 前記ウォッチドッグタイマ回路の機能が停止されている
   状態で、所定の出力用デバイスに対し前記マイクロコン
   ピュータが出力したアクセス信号の到達を阻止する手段
   を備えたことを特徴とするマイクロコンピュータの誤動
   作防止回路。
2. 【請求項２】請求項１に記載の誤動作防止回路におい
   て、前記ウォッチドッグタイマ回路の機能が停止されて
   いる状態で、前記出力用デバイスに対して前記マイクロ
   コンピュータが出力したアクセス信号をこのマイクロコ
   ンピュータの暴走を示す信号として取出す手段を備えた
   ことを特徴とするマイクロコンピュータの誤動作防止回
   路。