JPH0612294A

JPH0612294A - 監視装置

Info

Publication number: JPH0612294A
Application number: JP4168933A
Authority: JP
Inventors: Ryosuke Ashizuka; 良介芦塚
Original assignee: Sekisui Chemical Co Ltd
Current assignee: Sekisui Chemical Co Ltd
Priority date: 1992-06-26
Filing date: 1992-06-26
Publication date: 1994-01-21

Abstract

(57)【要約】【目的】コンピュータのソフトウエアが無限ループに陥
る等の障害が発生したときに、先ずはシステムを停止せ
ずにプログラムの再実行処理を試み、それでも回復しな
い場合には、外部へ異常状態を示す信号を出力する監視
回路を提供すること。【構成】コンピュータユニット１から定期的なタイマリ
セット信号が出力されなければ第１のウオッチドッグタ
イマ３がタイムアップし、回復処理プログラムを作動さ
せる。回復処理プログラムが作動しても回復しなけれ
ば、より長い時間に設定されたフェイルタイマ４がタイ
ムアップしてフェイル出力Ｓ４を出力する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、コンピュータによって
制御される装置において、そのソフトエウア上の欠陥
や、外来のノイズ等によるエラーに起因して、当該コン
ピュータのソフトウエアが無限ループに陥る等の障害を
検知するための監視回路に関するものである。

【０００２】

【従来の技術】従来より、コンピュータによって制御さ
れる作業ロボット等の被制御機器は、コンピュータから
の指令に基づいて作動するように設定されているので、
何らかの原因によって、コンピュータの動作に障害が発
生すると、異常な制御指令が出力されて、作業ロボット
等の被制御機器が異常な動作をする危険性がある。

【０００３】そのような異常事態の原因は、コンピュー
タを制御するソフトウエアの予期しない欠陥の場合や、
外来のノイズによるソフトウエアの暴走等の場合があ
る。いずれにしても、予期できない事態であり、ソフト
ウエアそのものに発生する障害であるので、ソフトウエ
ア上だけの対策では不十分である。このような問題に対
する手段として、ウオッチドッグタイマを用いる技術が
ある。

【０００４】これは、所定の時定数にセットされたワン
ショットマルチ等のタイマのタイムアップ出力を、コン
ピュータのリセット信号若しくは割り込み要求信号等の
入力端子に接続し、前記タイマがタイムアップする前
に、コンピュータからタイマのリセット信号を出力する
ように構成したものである。即ち、このソフトウエア
は、前記タイマの時定数より短い時間毎に、タイマへ対
するリセット信号を出力するように構成さているもので
ある。

【０００５】このような、ウオッチドッグタイマによる
障害監視回路によれば、コンピュータのソフトウエアが
正常に走っているかぎり、所定の時間毎にタイマへ対す
るリセット信号が出力されるので、タイマがタイムアッ
プして、コンピュータがリセットされたり、割り込み処
理が作動することはない。しかし、ソフトウエアの予期
しない欠陥や、外来のノイズによって、ソフトウエアが
暴走し、無限ループへ陥る等の異常な処理を開始した場
合には、タイマへ対するリセット信号が出力されないの
で、タイマがタイムアップして、コンピュータへ異常発
生信号を出力する。この信号によって、コンピュータ
は、リセット処理若しくは割り込み処理を行い、プログ
ラムの再実行処理や外部への警報信号等を出力する。

【０００６】異常発生信号が入力される度に、プログラ
ムを再実行するように設定する場合と、異常発生信号が
一回でも入力されると外部への警報信号を出力するよう
に設定する場合がある。このようにして、ウオッチドッ
グタイマによって、障害の発生を検出し、プログラムの
暴走による被制御機器の異常動作を防止することが行わ
れていた。

【０００７】

【発明が解決しようとする課題】しかし、異常発生信号
が入力される度に、プログラムを再実行するように設定
すると、再実行処理によっても正常な処理が行えずに再
び異常発生信号が出力される場合には、永久に再実行処
理を繰り返すという不都合がある。また、異常発生信号
が一回でも入力されると外部への警報信号を出力するよ
うに設定すると、プログラムの再実行によって回復可能
な程度の障害であっても、警報信号が出力されるので、
この信号によってシステム全体が停止するという不都合
がある。

【０００８】そこで、本発明は、異常発生信号が出力さ
れても、先ずはシステムを停止せずにプログラムの再実
行処理を試み、それでも回復することができない場合に
は、外部へ異常状態を示す信号を出力してシステムを安
全に停止することができる監視回路を提供することを目
的としてなされたものである。

【０００９】

【課題を解決するための手段】本発明においては、所定
のプログラムに基づいて作動するコンピュータに異常が
発生したときにウオッチドッグタイマによって異常の発
生を検出する監視装置において、所定の時間間隔で、タ
イマリセット信号を出力するリセット信号出力手段と、
タイマリセット信号が入力されてから、前記所定の時間
より長く設定された第１の設定時間経過後に第１段階の
異常信号を出力する第１のウオッチドッグタイマと、第
１の異常信号によって回復処理を行う回復処理手段と、
タイマリセット信号が入力されてから、前記第１の設定
時間より長く設定された第２の設定時間経過後に第２段
階の異常信号を出力する第２のウオッチドッグタイマと
を設けるという手段を講じた。

【００１０】

【作用】本発明においては、コンピュータが正常に作動
している間は、リセット信号出力手段から定期的にタイ
マリセット信号が出力されるので、第１のウオッチドッ
グタイマから第１段階の異常信号が出力される前に、リ
セットされ続ける。よって、第１段階の異常信号は出力
されない。

【００１１】以上が正常な場合の説明である。しかし、
コンピュータの作動に軽度の異常が生じて、リセット信
号出力手段からタイマリセット信号が出力されないと、
第１のウオッチドッグタイマからは第１段階の異常信号
が出力される。この第１段階の異常信号によって、所定
の異常処理プログラムが作動し、正常に作動すれば、タ
イマリセット信号が出力されるので、第１のウオッチド
ッグタイマも第２のウオッチドッグタイマもリセットさ
れる。

【００１２】以上が軽度な異常の場合の説明である。

【００１３】しかし、この第１段階の異常信号に基づい
て、回復処理手段が回復処理を試みても、回復すること
ができなければ、タイマリセット信号が出力されないの
で、第１のウオッチドッグタイマからは再び第１段階の
異常信号が出力されるとともに、第２のウオッチドッグ
タイマは作動を継続する。そして、タイマリセット信号
が出力されずに、第２の設定時間が経過すると、第２の
ウオッチドッグタイマから第２段階の異常信号が出力さ
れる。

【００１４】このようにして、第２段階の異常信号が出
力されることによって、回復処理手段では回復不可能な
障害が発生したことを知ることができるのである。以上
が重度な障害の場合の説明である。

【００１５】

【実施例】以下に、本発明の障害監視装置の実施例を図
面に基づいて詳細に説明する。図において、１はコンピ
ュータユニット、２はＩ／Ｏポート、３は第１のウオッ
チドッグタイマ、４は第２のウオッチドッグタイマとし
てのフェイルタイマ、５は被制御機器としてのヒータ等
への制御信号を出力するゲートである。

【００１６】図１，２，３において、Ｐ１は、前記コン
ピュータユニット１の制御プログラムＰに含まれるタイ
マリセット手段としてのタイマリセット出力用プログラ
ムステップである。Ｓ１は所定の時間間隔ｔ１で出力さ
れるタイマリセット信号であり、Ｉ／Ｏポート２を介し
て第１のウオッチドッグタイマ３とフェイルタイマ４の
タイマリセット端子３１，４１に入力されている。

【００１７】Ｓ２は前記タイマリセット信号Ｓ１が入力
されてから所定の時間ｔ２後、即ち、第１のウオッチド
ッグタイマ３がタイムアップしたときに出力される異常
発生信号であり、コンピュータユニット１の割り込み要
求信号の入力端子１１（例えば NMI端子）に入力されて
いる。但し、前記タイマリセット信号Ｓ１が出力される
時間間隔ｔ１は、前記異常発生信号Ｓ２が出力される時
間ｔ２より短い時間に設定されている。即ちｔ１＜ｔ
２。

【００１８】Ｐ２は回復処理手段としての回復処理用プ
ログラムルーチンであり、作動するときに、各種のチェ
ックをするとともに、回復処理中を示すアラーム出力Ｓ
３を出力する。このプログラムにも、前記タイマリセッ
ト出力用プログラムステップＰ１を備えている。このプ
ログラムの実行が終了すると元の制御プログラムＰを継
続して実行するようにサブルーチン形式になっている。

【００１９】Ｓ４は、フェイルタイマ４がタイムアップ
（第２の設定時間ｔ３が経過）したときに出力されるフ
ェイル出力である。但し、フェイルタイマ４がタイムア
ップする時間ｔ３は、前記第１のウオッチドッグタイマ
３がタイムアップする時間ｔ２より長い時間に設定され
ている。即ちｔ３＞ｔ２。Ｓ５は、制御プログラムＰに
よって出力される制御信号であり、ゲート５を介して、
ヒータ等の被制御機器へ出力される。

【００２０】但し、ゲート５のイネーブル制御端子５１
には前記フェイル出力Ｓ４が接続されているので、前記
フェイル出力Ｓ４が出力されているときは、ゲート５か
ら出力される制御出力Ｓ５は、安全なオフ状態になる。

【００２１】以上のように構成されている本発明の障害
監視装置によれば、制御プログラムＰが正常に走ってい
る状態では、所定の時間間隔ｔ２が経過する前に、タイ
マリセット出力用プログラムステップＰ１が実行され
て、時間ｔ２経過後にタイマリセット信号Ｓ１が出力さ
れる。よって、ウオッチドッグタイマ３がタイムアップ
して異常発生信号Ｓ２を出力することはない。

【００２２】以下に、回復処理プログラムルーチンＰ２
によって回復可能な程度の軽度な障害の場合について説
明する。何らかの障害によって、プログラムの実行が異
常になり、無限ループに陥ったりすると、前記タイマリ
セット出力用プログラムステップＰ１が実行されないの
で、所定の時間間隔ｔ１経過してもタイマリセット信号
Ｓ１は出力されない。よって、時間ｔ２経過後に、ウオ
ッチドッグタイマ３がタイムアップしてしまい、異常発
生信号Ｓ２が出力される。

【００２３】この異常発生信号Ｓ２が割り込み要求信号
の入力端子１１に入力されると、コンピュータユニット
１において回復処理プログラムルーチンＰ２が実行され
る。

【００２４】この回復処理プログラムルーチンＰ２が正
常に実行されると、アラーム出力Ｓ３を出力して、障害
が発生したために回復処理プログラムを実行中であるこ
とを示す。そして、この回復処理プログラムルーチンＰ
２もしくはこれに続く制御プログラムにおいて、タイマ
リセット出力用プログラムステップＰ１が実行される
と、時間間隔ｔ１で、タイマリセット信号Ｓ１が出力さ
れ、ウオッチドッグタイマ３とフェイルタイマ４とは共
にリセットされる。よって、もはや異常発生信号Ｓ２は
出力されず、正常な処理に回復する。

【００２５】以下に、回復処理プログラムルーチンＰ２
によっては回復不可能な重度の障害の場合について説明
する。前記回復処理プログラムルーチンＰ２が作動して
も回復できない場合には、時間ｔ１の経過後にもタイマ
リセット信号Ｓ１は出力されないので、ウオッチドッグ
タイマ３は、時間間隔ｔ２で、繰り返し異常発生信号Ｓ
２を出力するとともに、時間ｔ３が経過すると、フェイ
ルタイマ４までタイムアップする。

【００２６】よってフェイルタイマ４からフェイル出力
Ｓ４が出力され、重度な障害の発生を外部へ報知するの
である。

【００２７】同時に、フェイル出力Ｓ４はゲート５のイ
ネーブル端子５１に接続されているので、このような重
度な障害が発生すると、制御信号Ｓ５としては異常な制
御信号が出力される危険性が高いので、全ての制御信号
をゲート５において遮断し、危険な制御信号が出力され
ることを防止するのである。当然、ゲート５が遮断され
たときのゲート５の出力信号の状態は、各被制御機器の
動作がより安全な動作をするような信号状態になり、フ
ェイルセイフ機能が作動して、システムが停止するよう
に設定されている。

【００２８】このように、本発明によれば、軽度は障害
の場合には、回復処理プログラムを実行して回復を試み
るとともにアラーム出力Ｓ３を出力する。回復処理プロ
グラムによっても回復できない重度な障害の場合は、フ
ェイル出力Ｓ４を出力するとともに、ゲート５を遮断し
てフェイルセイフ機能が作動するのである。

【００２９】よって、回復処理プログラムによって回復
可能な軽度の障害のときには、システムが停止すること
を防止して、重度な障害のときだけシステムが停止する
とともにフェイルセイフ機能が作動するという、極めて
信頼性の高い制御を行うことができるのである。

【００３０】なお、回復処理手段としては、特定のプロ
グラムでなくて、当該制御プログラムを初めから再実行
するように設定してもよい。このときは、前記異常発生
信号Ｓ２はコンピュータユニット１のリセット信号入力
端子（RESET 端子）に接続すればよい。

【００３１】

【発明の効果】このように、本発明によれば、軽度は障
害によって第１のウオッチドッグタイマが作動したとき
は、回復処理手段によって回復を試みるとともに第１段
階の異常信号を出力し、回復処理手段によっても回復で
きない重度な障害によって、第２のウオッチドッグタイ
マが作動すると、第２段階の異常信号を出力することに
より、軽度の障害と重度の障害とを判別することができ
るので、必要以上にシステムが停止することを防止して
信頼性の高いシステムを構築することができるという効
果が得られる。

【図面の簡単な説明】

【図１】本発明の監視装置の実施例のブロック図であ
る。

【図２】本発明の監視装置の制御プログラムと、タイマ
リセット出力用プログラムステップの概略のフローチャ
ート図である。

【図３】本発明の監視装置の回復処理用プログラムルー
チンの概略のフローチャート図である。

【符号の説明】

１コンピュータユニット２Ｉ／Ｏポート３第１のウオッチドッグタイマ４第２のウオッチドッグタイマ，フェイルタイマＰ制御プログラムＰ１タイマリセット手段，タイマリセット出力用プロ
グラムステップＰ２回復処理手段，回復処理用プログラムルーチンＳ１タイマリセット信号Ｓ２異常発生信号Ｓ３第１段階の異常信号，アラーム出力Ｓ４第２段階の異常信号，フェイル出力ｔ１タイマリセット信号が出力される時間間隔ｔ２第１の設定時間，第１のウオッチドッグタイマの
設定時間ｔ３第２の設定時間，フェイルタイマの設定時間

Claims

【特許請求の範囲】

【請求項１】所定のプログラムに基づいて作動するコン
ピュータに異常が発生したときにウオッチドッグタイマ
によって異常の発生を検出する監視装置において、所定
の時間間隔で、タイマリセット信号を出力するリセット
信号出力手段と、タイマリセット信号が入力されてか
ら、前記所定の時間より長く設定された第１の設定時間
経過後に第１段階の異常信号を出力する第１のウオッチ
ドッグタイマと、第１段階の異常信号によって回復処理
を行う回復処理手段と、タイマリセット信号が入力され
てから、前記第１の設定時間より長く設定された第２の
設定時間経過後に第２段階の異常信号を出力する第２の
ウオッチドッグタイマとを備えたことを特徴とする監視
装置。