JPH08503802A - マイクロコンピュータ - Google Patents

Abstract

(57)【要約】 本発明によれば、マイクロコンピュータにて少なくとも２つの異なる動作状態が可能であり、該マイクロコンピュータは、第１の動作状態において不揮発性メモリ内のプログラムを実行し、さらに第２の動作状態において揮発性メモリ内のプログラムを実行し、さらに前記マイクロコンピュータは、監視信号を抑圧するための手段を有しており、前記監視信号はマイクロコンピュータが第２の動作状態で動作している場合には常に活性化されるように構成される。

Description

【発明の詳細な説明】 マイクロコンピュータ 従来の技術 本発明によるマイクロコンピュータは、請求の範囲第１項の上位概念によるマ イクロコンピュータから出発する。例えばモトローラ社のデータブック“ＭＣ６ ８Ｆ３３３ＴＳ／Ｄ，１９９２”からは次のようなマイクロコンピュータが公知 である。すなわち中央処理装置の外にプログラミング可能な不揮発性メモリ（フ ラッシュ−ＥＥＰＲＯＭ）と、入出力構成要素と、監視回路（Ｗａｔｃｈｄｏｇ −ｔｉｍｅｒ）と、揮発性メモリ（Ｃｏｄｅ−ＲＡＭ）をも有しているマイクロ コンピュータが公知である。前記揮発性メモリには中央処理装置の命令カウンタ によってアクセス可能なプログラムデータが書き込み可能である。前記全ての構 成要素は１つのチップに集積化されている。マイクロコンピュータは次のように 構成される。すなわちプログラミング可能な不揮発性メモリ内に格納されるプロ グラムデータがアクセスできるだけでなく、揮発性メモリ内に格納されるプログ ラムも実行し得るように構成される。この２つの場合では監視回路が作動される 。すなわち監視回路は、正常なプログラムフローの際に適時にリセットされるよ うに保証されなければならな い。なぜならそうしないと監視回路がマイクロコンピュータのリセットを実行す ることになるからである。このマイクロコンピュータにおける欠点は、揮発性メ モリ内のメモリ内容のランダムな変化によって（例えばＥＭＣ−障害放射）、プ ログラムフローが異常であるにもかかわらず監視回路が適時にリセットされるプ ログラムループが生じ得ることである。 発明の利点 それに対して請求の範囲第１項の特徴部分に記載の本発明によるマイクロコン ピュータは次のような利点を有する。すなわち当該のマイクロコンピュータ内部 において、プログラミング可能な不揮発性メモリ内のプログラムの実行（ＲＯＭ モード）と揮発性メモリ内のプログラムの実行（ＲＡＭモード）との間で分離が 行われることである。この分離は、第２の動作状態（ＲＡＭモード）における監 視回路のリセットを完全に不可能にすることからなる。監視回路のリセットは第 １の作動状態（ＲＯＭモード）においてしか行うことができない。それにより、 ＥＭＣ−放射に起因するプログラムループ（このループにおいてはプログラムフ ローに障害があっても監視回路の適時のリセットが生じる）の形成は阻止される 。 本発明の別の有利な実施例及び改善例は従属請求項に記載される。 本発明は一方では、マイクロコンピュータの異なる 少なくとも２つの動作状態の選択がアドレス空間の復号化によって暗黙的（ｉｍ ｐｌｉｃｉｔ）に行われる利点がある。それによりプログラミングの手間が僅か に維持される。また他方では、異なる少なくとも２つの動作状態の選択がマイク ロコンピュータの動作モードの明示的（ｅｘｐｌｉｃｉｔ）な切換によって行わ れる利点がある。それにより２つの動作状態の有利な分離が達成され、動作状態 のより一層良好なコントロールが得られる。 さらに有利には、マイクロコンピュータがプログラムフローカウンタを含んで いる。このカウンタは少なくとも次のような場合に作動する。すなわちマイクロ コンピュータが第２の動作状態（ＲＡＭモード）にて動作している場合に作動す る。このプログラムフローカウンタによってプログラムフローの付加的な監視が 可能となる。前記プログラムフローカウンタは正常なプログラムフローのもとで プログラムコマンドの所定の数の後でそれぞれ所定のようにセットされる。 さらに有利には、マイクロコンピュータが次のような手段を有している。すな わちプログラムフローカウンタの状態を検査し、プログラムフローカウンタの検 査によって異常なプログラムフローが明らかになった場合には監視信号の出力を 抑圧する手段を有している。それによりＥＭＣ障害に起因するプログラムループ （このループのもとでは異常なプログラムフローにも かかわらず監視信号が適時に出力される）の形成が実質的に除外される。 プログラムカウンタの状態の簡単な検査に対して有利には、マイクロコンピュ ータが基準カウンタを有し、この基準カウンタはプログラムカウンタの状態の各 検査前に増分され、さらにマイクロコンピュータは１つの手段を有し、該手段は プログラムフローカウンタの実際の計数状態を基準カウンタの実際の計数状態と 比較してプログラムカウンタと基準カウンタとの間の計数状態の不一致が生じた 場合には、プログラムフローの異常を検出する。 監視信号抑圧の最も簡単な実現に対して有利には、マイクロコンピュータにお いてコンフィギュレーションレジスタが設けられる。このコンフィギュレーシヨ ンレジスタでは動作状態の切換（ＲＯＭモードからＲＡＭモードへの）があった 場合にフラグがコンフィギュレーションレジスタにおいてセットされる。これに より電子装置は監視信号の伝送のための線路が遮断されるようにスイッチングさ れる。 図面 本発明の実施例は図面に示されており、以下の明細書で詳細に説明される。 図１は本発明による実施例の概略的なブロック回路図である。図２は本発明に よるマイクロコンピュータのブロック回路図である。図３は本発明によるマイク ロコンピュータのＣＰＵの細部断面図である。図４は本発明によるマイクロコン ピュータにおいて実行するプログラムの第１のフローチャートである。図５は本 発明によるマイクロコンピュータにおいて実行するプログラムの第２のフローチ ャートである。図６は本発明によるマイクロコンピュータにおいて実行するプロ グラムの第３のフローチャートである。 実施例の説明 図１には符号１０でマイクロコンピュータが示されている。このマイクロコン ピュータには開発コンピュータ９が接続されている。このマイクロコンピュータ １０と開発コンピュータ９との間の接続はシリアルなデータ伝送線路８を用いて 実現される。この実施例は制御装置の適用範囲に関するものである。ここでは制 御装置はエンジン制御装置を表わす。この制御装置においてはわかりやすくする ためにマイクロコンピュータ１０しか示されていない。制御装置の開発のアプリ ケーションフェーズ期間中は、特に制御装置に対する最適なプログラムフローが 求められるべきである。それに対しては制御装置のプログラムフローが時折何度 も変化せしめられる。この変化の影響は制御装置のテスト実行によって求められ る。プログラムフローの変化は主にプログラムフローの所定のプラグ部分に関す る。従ってそのたび毎に完全に新たなプログラムをマイクロコンピュータのメモ リにプログラミングする必 要はない。制御装置ないし制御装置のマイクロコンピュータがＣｏｄｅ−ＲＡＭ を有している場合にはこのＣｏｄｅ−ＲＡＭは有利にはアプリケーションに用い られ得る。このＣｏｄｅ−ＲＡＭには、プログラミング可能な不揮発性メモリの 比較的長いプログラミング操作の実行を要さずに簡単な形式で新しいプログラム を書き込むことが可能である。そのようなエンジン制御装置の構造は公知の技術 から周知である。このエンジン制御装置は、エンジンの入力特性量（入力変数） を基にして例えば燃料噴射時間や内燃機関の個々のシリンダに対する点火時期を 算出する。これらの制御値の計算は公知の計算アルゴリズムによって行われる。 しかしながら計算アルゴリズムに対して種々異なる手段がある。ここではエンジ ンに対して最適な計算アルゴリズムを求めるために、次に記載するアプリケーシ ョンシステムが用いられる。制御装置に対するプログラムフローの最適化の際に は制御値計算の精度とそれに求められる所要の計算時間との間の妥協を見つける ことが試みられる。 可及的に正確な計算結果を得るために有利には頻繁に、可及的に多くの内燃機 関パラメータ（例えば回転数、エンジントルク、エンジン温度、空気温度、バッ テリ電圧等）が用いられる。また他方では燃料噴射時間と点火時期の計算に対し てはエンジントルクと回転数のみで既にパラメータとして十分である。最初の制 御値は既にこの２つの特性量から頻繁に算出される。別のパラメータを計算に算 入し得るためには、先に算出された制御値の補正のみがしばしば行われる。本実 施例は付加的動作パラメータとしてのエンジン温度に基づいた、６気筒内燃機関 の個々のシリンダに対する点火角度と燃料噴射時間に対する先におおまかに計算 された制御値の補正に関する。 制御装置のマイクロコンピュータ１０は、図２に示されているような構造を有 している。この図では符号１１でマイクロコンピュータのＣＰＵが示されている 。符号１２では監視回路が示されている。この監視回路１２は公知文献における ウオッチドッグタイマの概念のもとでも周知である。符号１３ではプログラミン グ可能な不揮発性メモリが示されている。符号１４では揮発性メモリ（Ｃｏｄｅ −ＲＡＭ）が示されている。このメモリは、ＣＰＵ１１に対するプログラムメモ リとして構成され得る特徴を有している。最後に符号１６ではマイクロコンピュ ータの入出力構成要素が示されている。この構成要素にはシリアルインターフェ ースが含まれていてもよい。 図３にはマイクロコンピュータ１０の中央処理装置１１の細部断面図が示され ている。この中央処理装置１１内にはコンフィギュレーションレジスタ２０が設 けられている。このコンフィギュレーシヨンレジスタ２０は多数のフラグからな る。ここでは特に２つのフ ラグがクローズアップされる。フラグ２１は、マイクロコンピュータ１０が第１ の動作状態（ＲＯＭモード）で動作している場合、つまりマイクロコンピュータ が不揮発性メモリ内のプログラムを実行している場合には常にセットされる。こ れに対してマイクロコンピュータが第２の動作状態（ＲＡＭモード）で動作して いる場合にはフラグ２１はセットされない。このフラグ２１の状態は線路２３を 介してＡＮＤゲート２４の第１の入力側に供給される。フラグ２２の状態は、Ａ ＮＤゲート２４の第２の入力側に供給される。このフラグ２２はマイクロコンピ ュータ１０のサブルーチンによって短期間だけセットされる。すなわち監視回路 １２に監視信号が出力されるべき場合にのみセットされる。この監視信号はフラ グ２１がセットされている場合にのみ監視回路１２に到達し得る。その他ではＡ ＮＤゲート２４はこの信号を阻止する。 監視回路１２ではマイクロコンピュータ１０の作動中にタイムカウンタがカウ ントアップされる。このタイムカウンタがオーバフローを生ぜしめた場合には直 ちに監視回路１２の内部論理回路によってマイクロコンピュータ１０のリセット が引き起こされる。図３ではこのリセット信号は線路１８を介して中央処理装置 １１に出力される。監視回路１２は次のように機能する。すなわちタイムカウン タがオーバフローを生ぜしめる前に内部タイムカウンタが順次リセットされなけ ればならないように機能する。このリセットが適時に行われた場合にのみマイク ロコンピュータ１０のリセットが行われない。それ故にプログラマは、正常なプ ログラムフローのもとでは適時に監視回路１２のリセットが行われることに注意 を払わなければならない。これに対してプログラマは所定のプログラム位置にお いて相応のコマンドをプログラムに挿入する。 次にマイクロコンピュータ１０内のプログラムフローを図４、図５、図６に基 づいて以下に詳細に説明する。 図４では符号３０でプログラムのスタートが示されている。プログラム開始３ ０の後ではマイクロコンピュータ１０の初期化がプログラムステップ３１におい て行われる。プログラムステップ３２では外部の開発コンピュータ９がマイクロ コンピュータ１０に接続されているか否かの問合せが行われる。この問合せ結果 がイエスならばプログラムステップ３３においてアプリケーション機能がマイク ロコンピュータ１０のＣｏｄｅ−ＲＡＭ１４にロードされる。開発コンピュータ ９がマイクロコンピュータ１０に接続されていない場合には、プログラムステッ プ３３は行われない。その後プログラムステップ３４において制御過程に対する 動作パラメータの検出が行われる。ここではとりわけエンジン回転数とエンジン 負荷が求められる。プログラムステップ３５では、検出された動作パラメータ、 すなわちエンジン回転数とエンジン負荷に基づいて大まかな制御値が算出される 。プログラムステップ３６では、先にＣｏｄｅ−ＲＡＭ１４にロードされたアプ リケーション機能が実行される。引き続いてプログラムステップ３７において制 御機能の実行が行われる。その後では第１の計算サイクルが終了し、次の計算サ イクルはプログラムステップ３４でスタートする。 図５にはアプリケーション機能のフローチャートが示されている。符号４０で はこのアプリケーション機能の呼出しが示されている。まず初めにプログラムス テップ４１において動作状態の切換（ＲＯＭモードからＲＡＭモードへの切換） が実施される。この場合コンフィギュレーションレジスタ２０のフラグ２１がリ セットされる。そしてプログラムステップ４２においては第１の制御値（内燃機 関の第１シリンダの燃料噴射時間と点火時期）の補正が付加的なアプリケーショ ン機能に基づいて行われる。プログラムステップ４２の後ではプログラムステッ プ４３においてプログラムフローカウンタが１にセットされる。引き続いてプロ グラムステップ４４において監視回路１２のリセットに対するサブルーチンの呼 出しが行われる。このサブルーチン呼出しの後では次なる制御値２（内燃機関の 第２シリンダの燃料噴射時間と点火時期）の補正が行われる。これは図５には詳 細に示されていない。なぜなら実質的にプログラムステップ４２，４３，４４は ここにおいて繰り返されているからである。それ故これらのプログラムステップ の別々の図示は省かれている。最後に制御値１〜５の補正の後ではプログラムス テップ４５において制御値６の補正が行われる。その後再びプログラムステップ ４６でプログラムフローカウンタが新たにセットされ、プログラムステップ４４ にて監視回路１２のリセットに対するサブルーチンが呼び出される。このサブル ーチンが正確に実行された場合は引き続きプログラムステップ４７においてＲＡ ＭモードからＲＯＭモードへの切換が行われる。アプリケーション機能はメイン プログラムへのリターン４８によって終了する。 次に監視回路のリセットを生ぜしめるサブルーチンを図６に基づいて以下で詳 細に説明する。サブルーチン４９の呼出しの後ではプログラムステップ５０にお いて、マイクロコンピュータ１０の動作状態の切換が、すなわちＲＡＭモードか らＲＯＭモードへの切換が行われる。この場合コンフィギュレーションレジスタ ２０のフラグ２１がセットされる。引き続き問合せステップ５２では、プログラ ムフローカウンタが正常なプログラムフローを指示しているか否かが検査される 。それに対しては基準カウンタが使用される。この基準カウンタはプログラムス テップ３６におけるアプリケーション機能の呼出しの際に初期値にセットされ、 ＷＤ−リフレッシュの呼出し毎にカウントアップされる。 この場合前記２つのカウンタ計数状態が比較される。この２つの計数状態が一致 していない場合には異常なプログラムフローが生じている。この場合はここにお いて付加的なタイムカウンタが監視されていることも考えられる。プログラムフ ローカウンタの計数状態が所定のタイムリミット内で変化していなかった場合に は誤りのあるプログラムフローとして判断され得る。問合せステップ５２におい て正常なプログラムフローが検出された場合には、プログラムステップ５３にお いて監視回路１２のリセットが行われる。この場合コンフイギユレーション２０ のフラグ２２が所定の時間に対してセットされ、引き続き再びリセットされる。 そのように生ぜしめられたパルスはＡＮＤゲート２４と接続線路１７を介して監 視回路１２へ転送される。それに続いてプログラムステップ５４においてはマイ クロコンピュータ１０の動作状態の新たな切換、すなわちＲＯＭモードからＲＡ Ｍモードへの切換が行われる。監視回路１２のリセットのためのサブルーチンは ステップ５５のリターンによって終了する。問合せステップ５２において異常な プログラムフローが識別された場合にはプログラムステップ５３が除かれる。そ のため監視回路１２のリセットは何も行われない。短時間の後に監視回路１２は 確かな状態をもたらすためにマイクロコンピュータ１０を完全にリセットする。 本発明によるマイクロコンピュータ１０は自動車用 制御装置への適用に対する利点のみをもたらすものではない。本発明によれば、 マイクロコンピュータがそのＣｏｄｅ−ＲＡＭ１４内にあるプログラムを実行す る場合には常にマイクロコンピュータの確かな動作が保証される。それに対する 別の適用例は、プログラミング可能な不揮発性内部メモリ１３のプログラミング である。これに対してもＣｏｄｅ−ＲＡＭ１４が使用される。Ｃｏｄｅ−ＲＡＭ にはプログラムアルゴリズムがファイルされている。プログラミングすべきデー タは、接続されている外部のプログラミング装置からマイクロコンピュータ１０ に伝送される。ＲＡＭモードを周期的に脱せしめなければならないようにするこ とが不都合を生じる場合には、付加的なハードウエア手段によって監視回路１２ の停止を行ってもよい。それにより例えばＲＡＭモードにおいて、プログラミン グ可能な不揮発性メモリ１３（ＥＥＰＲＯＭ）のプログラミング期間中に監視回 路１２が別個のプログラミングピンを介して停止され得る。 本発明においては個々の構成要素を１つのチップ上に集積することは必ずしも 必要ではない。それらは別個のチップ上にも収めてもよい。 また本発明においてはマイクロコンピュータ１０内で動作状態の切換が明示的 に行なわれることも必須ではない。動作状態は例えばアドレスの復号化によって 暗黙に行ってもよい。 さらにプログラムステップ５２に従って異常なプログラムフローが検出された 場合には、選択的にマイクロコンピュータ１０のリセットを直接トリガさせても よい。

Claims (1)

1. 【特許請求の範囲】 1. 中央処理装置と、不揮発性メモリと、揮発性メモリと、入出力ユニットと、 監視回路とを有し、前記不揮発性メモリと揮発性メモリはプログラムメモリとし て使用可能であり、それにより該メモリ内に中央処理装置によって実行可能なプ ログラムが読み込み可能であり、前記監視回路は、所定の期間後に監視信号を何 も受け取らなかった場合にはマイクロコンピュータのリセットを行わせる、マイ クロコンピュータにおいて、 マイクロコンピュータ（１０）にて少なくとも２つの異なる動作状態が可能 であり、該マイクロコンピュータ（１０）は、第１の動作状態において不揮発性 メモリ（１３）内のプログラムを実行し、さらに第２の動作状態において揮発性 メモリ（１４）内のプログラムを実行し、 さらに前記マイクロコンピュータ（１０）は、監視信号を抑圧するための手 段を有しており、前記監視信号はマイクロコンピュータが第２の動作状態で動作 している場合には常にアクティブ状態におかれるものであることを特徴とするマ イクロコンピュータ 2. 前記マイクロコンピュータ（１０）の少なくとも２つの異なる動作状態の選 択はアドレス空間の復号 化によって暗黙的に行われる、請求の範囲第１項記載のマイクロコンピユータ。 3. 前記少なくとも２つの異なる動作状態の選択はマイクロコンピュータ（１０ ）の動作状態の明示的な切換によって行われる、請求の範囲第１項記載のマイク ロコンピュータ。 4. 前記マイクロコンピュータ（１０）はプログラムフローカウンタを有してお り、該プログラムフロー（シーケンス）カウンタは、少なくともマイクロコンピ ュータが第２の動作状態で動作している場合に作動し、さらに正常なプログラム フローの際にプログラムコマンドの所定のシーケンスの後毎に所定のようにセッ トされ、 前記マイクロコンピュータは、プログラムフローカウンタの状態を検査しプ ログラムフローカウンタの検査によって異常なプログラムフローの発生が明らか になった場合に監視信号の出力を抑圧する手段を有している、請求の範囲第１項 〜３項いずれか１項記載のマイクロコンピュータ。 5. 前記マイクロコンピュータは基準カウンタを有し、該基準カウンタは、プロ グラムカウンタの状態の各検査の前にカウントアップされ、さらに前記マイクロ コンピュータは、プログラムフローカウンタの実際の計数状態を基準カウンタの 実際の計数状態と比較してプログラムフローカウンタと基準カウンタの 計数状態の不一致が生じている場合にプログラムフローの異常を検出する、手段 を有している請求の範囲第４項記載のマイクロコンピュータ。 6. 前記マイクロコンピュータはコンフィギュレーションレジスタ（２０）を有 し、さらに前記マイクロコンピュータは、第１の動作状態から第２の動作状態へ の動作状態の切換があった場合に、コンフィギュレーションレジスタ（２０）内 でフラグ（２１）をセットする手段を有しており、これにより電子装置（２４） は、監視回路（１２）への監視信号伝送用の線路が遮断されるようにスイッチン グされる、請求の範囲第１項〜５項いずれか１項記載のマイクロコンピュータ。