JPH10513286A - プログラム制御回路の機能をモニタするための処理及び回路構成 - Google Patents

Abstract

(57)【要約】 マイクロプロセッサ、マイクロコントローラ又は他のプログラム制御回路（１〜５；１５）の正しい機能をモニタするために、データ処理結果（Ｗ1）は稼動サイクル中に、該モニタされる回路とは独立して及びそのプログラムとは独立してモニタ回路内で生成されたデータ（Ｗ2）に一致するかモニタ回路（７〜１４；１７〜３０）内でチェックされる。誤動作を示す差異が発生した場合、ディセーブル信号（Ｏｆｆ）が生成される。これを目的として、データワード又はデータワードシーケンス（Ｗ1）が、モニタされる回路（１〜５：１５）のプログラム実行時に生成され、所定時間（Ｔ1）にモニタ回路（７〜１４；１７〜３０）に転送される。データワード（Ｗ1）の内容及びデータワード（Ｗ2）の適時な出現（Ｔ1）がモニタ回路によりモニタされる。

Description

【発明の詳細な説明】 プログラム制御回路の機能をモニタするための処理及び回路構成 本発明は、マイクロプロセッサ、マイクロコンピュータ、マイクロコントロー ラ等のプログラム制御された電子回路の正しい機能をモニタする処理であり、稼 動サイクル(working cycle)において、データ処理結果は、モニタされる回路及 び実行されているプログラムとは独立してモニタ回路内で生成されたデータと部 分的又は完全に一致するかチェックされ、動作不良を示す誤差が発生すると、エ ラー信号又はディセーブル信号が発生される処理を目的とする。又、この処理を 実施するための回路構成も本発明に含まれる。 マイクロコンピュータ及び他のプログラム制御電子回路の正しい動作は、特に 回路が安全性を重要視する制御システムに用いられる場合にモニタされなければ ならない。安全性が重要視される用途の例としては、自動車のブレーキシステム 内の調停、とりわけアンチロック制御、トラクション滑り制御、操縦安定性に要 求される制御等がある。電子回路ユニットの誤動作が検出されると、従来のブレ ーキシステム内電子制御は、アンチロック制御を行わずに少なくともブレーキ機 能を維持するために切り離された。又、定義された誤動作が発生した場合に、制 御を部分的に停止し、遅延によりそれを切り離すか又は危険な状態を回避するよ うそれをスイッチングすることが知られている。 このようなモニタ方法では、誤動作は高い信頼性をもって即座に認識されるこ とが重要である。このため、ドイツ特許 Ｎｏ．３２ ３４ ６３７に開示され た回路では、ホイールセンサにより生成された入力データは制御回路内で、同一 に設計され同一にプログラムされたマイクロコントローラにより別々に並列処理 された。２つのマイクロプロセッサの出力信号は一致するかチェックされた。誤 動作を示す誤差が生じたとき、ブレーキ機能を保証するために電子制御は停止さ れる。従って従来の制御回路は、２つの完全に制御された回路内での冗長な信号 処理に基づいている。この場合、冗長処理の唯一の目的は、制御を停止するため に高い信頼性をもってエラーを認識することである。冗長機構そのものも実質的 に冗長である。従って安全のため比較的多くの研究及び装置が必要であった。 ドイツ特許出願 Ｎｏ．４１ ３７ １２４に開示されているような他の従来 構成では、センサ信号すなわち入力信号は２つの並列処理マイクロコントローラ で処理される。しかし一方のマイクロコントローラのみが改良された完全な信号 処理を実行した。第２の回路は主にモニタリング用に使用された。従って、入力 信号は調整及び派生信号の生成の後、簡略制御アルゴリズム及び簡略手法により 更に処理された。前述の従来回路に比べ、研究及び装置規模はモニタマイクロプ ロセッサ内の簡略された処理により減少した。 最近では、単一チップ上に複数例えば２つのマイクロコンピュータのような完 全な回路システムを設け、それら回路に全く同一の入力データを供給し、正しい 機能をモニタするために、異なる回路システムのデータ処理結果を比較すること が可能である。しかし、このような電子回路設計では、両回路システムのデータ 処理結果が一致してなくとも、すなわち一方の回路システムに不具合が生じてい る場合でも、正しいモニタリング信号（ワッチドック信号：watchdog signal） が回路内の不具合によって生じ、これを十分高い程度で又は信頼性をもって除外 することはできない。 単一プロセッサ手法、すなわち一般的なモニタ回路を有する単一のプログラム 回路に限定することは、十分信頼性のある誤動作の認識を行うことは全くできな い。 更に、ドイツ特許出願Ｎｏ．４０ ０４ ７８２は、所定周波数及び所定シー ケンスの相互信号を示すモニタリング信号を共に発生する２つのマイクロコント ローラを有するＡＢＳシステムを開示している。安全回路はこの相互信号と、マ イクロコントローラの稼動サイクルとは独立しているクロック発生器から得られ た時間標準とを比較する。この相互信号の変化ならびに時間標準の間違いは、ア ンチロック制御の停止につながる。パルスが所定時間ウインドウから外れたとき 、制御は停止される。このように従来の回路構成は冗長動作を含む２つのマイク ロコントローラの使用に基づいている。 本発明の目的はシステムを危険のない状態に切り換える、すなわちブレーキシ ステムの制御を停止するために、モニタ回路と共に単一プログラム制御回路のみ が使用され、誤動作を高い安全性及び信頼性をもって認識できる最初に引用した 形式の方法を提供することである。 この目的は請求項１に示した処理により達成できる事が判明した。従って、本 発明処理の特徴は、モニタされる回路のプログラム実行において発生され、所定 時間にモニタ回路に送信されるデータワードを含む。更に、データワードの内容 及びデータワードが現れる時間は、モニタ回路により詳細すなわち所定データワ ード及び所定時間と比較される。 本発明の特徴によれば、モニタされる回路のプログラム実行において生成され るデータワードは、所定シーケンスのワード、即ち定義されたシーケンスの所定 ワードを提供し、これはモニタ回路により、対応する詳細すなわち対応するワー ドシーケンスとの一致関係が比較される。 本発明によれば、単なるワッチドック信号すなわち稼動サイクルで発生された パルスをモニタする代わりに、定義されたデータワードがプログラムの実行にお いて生成される。このデータワードは内容及び時間に関する詳細との一致関係が なければならない。このモニタ回路はプログラムの実行において生成されたデー タワードの内容だけではなく、そのデータワードの出現の時間もチェックする。 従って、データワード又はデータワードシーケンスを解析することにより、モニ タ信号の時間的特徴がチェックされ、マイクロコントローラ即ちモニタされる回 路の機能をより正確に判断することができる。 所定ワードシーケンスが、モニタされる回路とモニタ回路とで異なるアルゴリ ズムに従って好適に生成される。本発明の他の特徴によれば、モニタ回路はメモ リからデータワードを取り出し、これはモニタされる回路内で生成されたデータ ワードと比較される。 この発明処理の更なる特徴は従属請求項内で説明されている。 本発明の処理を実施する回路構成は、プログラム制御回路及びモニタ回路を含 む。所定アルゴリズムに従って、モニタされる回路のプログラムの実行において 生成されたデータワードシーケンスは、稼動サイクル中に本回路内でモニタ回路 に転送される。モニタ回路はコンパレータを有し、このコンパレータは、転送さ れたデータワードシーケンスと所定（例えば記憶された）データワードシーケン スが内容及び時間的に一致するか比較し、転送されたデータワードシーケンスが 所定シーケンスと異なっている場合、エラー認識信号及びスイッチ信号を発生す る。この種の回路構成は、モニタされる回路が単一チップマイクロコントローラ として構成され、ホイールセンサにより得られた入力信号が解析に用いられ、ブ レーキ圧制御信号を発生する電子制御ブレーキシステムに好適に適用できる。 本発明の更なる詳細を添付図面を参照して以下の実施例にて説明する。 図において、 図１は本発明処理の基本動作を示すフローチャート。 図２は本発明の回路構成の一実施例の概略を示す図。 図１の左側には、フローチャートすなわちプログラムシーケンス設計として複 数動作２〜５が示されている。動作２〜５は、本発明のモニタ処理に必要な定義 されたデータワードシーケンスの計算に用いられる。動作２〜５はモニタされる プログラム制御回路のサブプログラムのステップを示し、この動作はスタート信 号”リセット”１により開始する。次にアルゴリズムＡ1に基づく計算動作２が 行われ、ワードＷ1がステップ３で発生され、ステップ４で定義時間Ｔ1の後に提 出される。次にステップ５では所定時間にワードＷ1をモニタ回路に転送する。 このワード転送を矢印６に示す。ステップ２〜５を含むサブプログラムは閉ルー プであるから繰り返される。 リセット７によりモニタ回路は開始する。動作（８）の後、計算動作がアルゴ リズムＡ2によりステップ９で実行される。ここでデータワードＷ2が発生され（ １０）、定義時間Ｔ2の後（１１）データワードＷ2は転送されたＷ1と動作１２ で比較される。転送されたワードＷ1とモニタ回路内で決定されたワードＷ2との 間に一致関係があり、及び時間条件Ｔ1＝Ｔ2が満足されていれば、モニタ処理は 継続される。しかし、ステップ１２及び／又はステップ１３で差異が検出される と、その結果として制御は停止する（動作１４に示す）。 スタート信号”リセット”１及び”リセット”２は同一の出来事例えば自動車 エンジンのイグニッションをオンにスイッチングすることにより開始する。好適 なアルゴリズムにより、動作１〜５を実行するモニタされる回路はモニタ回路の 動作７〜１４と同期する必要はない。 図２において、モニタされるプログラム制御回路（ＡＢＳシステムのマイクロ コントローラ）を参照符号１５により示す。このプロセッサは、Ｓout（シリア ルアウト）、Ｓin（シリアルイン）、ＳＣＫ（クロック）及びＣＳ（チップセレ クト）を出力し、これらはシリアルインターフェース１６に導かれる。インター フェース１６の右側に示される構成要素からなるモニタ回路がシリアルインター フェース１６を介して接続されている。 入力スイッチすなわち”バッファ”１７を介して、各データワードはシリアル スライドレジスタ１８に転送され、更に複数ライン１９を介してコンパレータ２ ０に並列に導かれる。コンパレータ２０では、モニタされる回路１５により発せ られライン１９を介して導かれたデータワードＷ1が、参照メモリ２１から取り 出したデータワードＷ2と一致するか判断される。メモリ２１はマルチプレクサ ２２及び複数信号ライン２３を介してコンパレータ２０に接続されている。更に 、モニタ回路は、カウンタ又はデバイダ２４、２つのＡＮＤゲート２５、２６、 インバータ２７、フリップフロップ２８、２９及び反転出力を有するＯＲゲート （ＮＯＲゲート）を含み、このＮＯＲゲートは安全リレー（図示されず）に導か れている。ＮＯＲゲート３０の出力での信号”１”により、安全リレーはスイッ チオン（”ＯＮ”）する。なぜならモニタされる回路及びテスト回路が正常に機 能しているからである。ＮＯＲゲート３０の出力の信号”Ｏ”で制御は中断され る。 次に図２のモニタ回路の動作を説明する。 モニタされる回路１５及びマルチプレクサ２２のリセット入力でのスタート信 号”ＰＯＲ”及びカウンタの入力”ＯＲ”に続いて状態は次のようになっている 。 − ゲート３０の出力での信号”１”（ＯＮ）、 − マルチプレクサ２２はメモリ２１の”ワード１”。 − 最初、データワードＷ1はない。従って”０”がコンパレータ２０の出力に 発生する。 − フリップフロップ２８及び２９は”ＰＯＲ”信号によりリセットされる。 モニタされる回路及びモニタ回路の稼動サイクルは次の例では１０msecである 。 デバイダ２４により予め設定された０から９msecの間、信号”０”がコンパレ ータ２０の出力に出ていなければならない。なぜなら、ＡＮＤゲート２６はこの とき開放されており、コンパレータ２０の出力信号１はフリップフロップ２８を 設定でき、その結果、安全リレーがＯＲゲート３０によりディセーブルされなけ ればならないからである。 次にコンパレータ２０の出力に出力信号１が発生するために、条件Ｗ1＝Ｗ2が 期間９〜１０msecの間に満足されなければならない。次のステップは以下のよう になる。 − カウンタ２４はＯＲゲート２５及び”リセット”入力により駆動され、”０ ”にリセットされる。 − マルチプレクサ２２はメモリ２１から新たなデータワードを取り出す。 − コンパレータ２０の出力は再び”０”となる。 − フリップフロップ２８はＡＮＤゲート２６によって再び開放される。 − このサイクルが繰り返される。 条件Ｗ1＝Ｗ2が満足されていないと、コンパレータ２０の出力信号が値”０” を維持するために、カウンタ２４はオーバーフローする。その結果、１０msec後 、フリップフロップ２９がセットされ、安全リレーはＯＲゲート３０によりＯＦ Ｆにスイッチングされる。これは図２の出力信号ＯＦＦにより示されている。 図２のモニタ回路は特に簡単な例を示している。勿論他の同様な構成が可能で ある。 決定されたデータワードからなるデータワードシーケンスは、モニタされるべ きプログラム制御回路１５内で非常に異なるやり方で形成できる。そのデータワ ードシーケンスを生成するために、例えば論議の形式のプログラム制御回路内で 規則的間隔で行われるテストルーチンの結果を評価するのが好ましい。又、モニ タされる回路に関係するメモリから決定されたワードを呼び出し、それらのワー ドをテスト回路のメモリ２１内のワードと比較するとも可能である 従って本発明により、マイクロプロセッサ、マイクロコントローラ又は他のプ ログラム制御回路を、極めて簡単な方法によりモニタすることができる。定義さ れたデータワードシーケンスの出力は追加の研究及び部品を必要としない。以上 説明したモニタ回路は、図面に示したように少ない数の回路要素により実現でき る。

Claims (1)

1. 【特許請求の範囲】 １．マイクロプロセッサ、マイクロコンピュータ、又はマイクロコントローラ等 のプログラム制御回路の正しい機能をモニタする処理であって、モニタされるプ ログラム制御回路の稼動サイクルのデータ処理結果が、該モニタされる回路及び そのプログラムとは独立してモニタ回路内で生成されたデータと部分的又は完全 に一致するかチェックされ、誤動作が生じたことを示す差異が発生した場合、エ ラー信号又はディセーブル信号が発生され、 モニタされる回路のプログラムの実行においてデータワードが生成され（１〜 ５；１５）、該データワードは所定時間にモニタ回路に転送され（７〜１４；１ ７〜３０）、 該データワードの内容及びデータワードの発生時間が前記モニタ回路により、 詳細すなわち所定データワード及び所定時間間隔と比較されることを特徴とする 処理。 ２．前記モニタされる回路のプログラム（１〜５：１５）の実行において生成さ れる前記データワードは、ワードの所定シーケンスすなわち所定ワードの定義さ れたシーケンスを提供し、前記モニタ回路により対応する詳細と一致するか比較 される（７〜１４；１７〜３０）ことを特徴とする請求項１記載の処理。 ３．前記モニタされる回路（１〜５；１５）及び前記モニタ回路（７〜１４；１ ７〜３０）内の前記ワードの所定シーケンスは、異なるアルゴリズムに従って生 成されることを特徴とする請求項２記載の処理。 ４．前記モニタ回路（７〜１４；１７〜３０）は、前記モニタされる回路（１〜 ５；１５）で生成されたデータワードと比較するためのデータワードをメモリ（ ２１）から取り出すことを特徴とする請求項１〜３記載の処理。 ５．前記モニタ回路（７〜１４；１７〜３０）は、連続する２つのデータワード 間の時間間隔が、所定時間間隔に一致するか判断することを特徴とする請求項１ 〜４記載の処理。 ６．前記モニタされる回路（１〜５；１５）及び前記モニタ回路（７〜１４；１ ７〜３０）における前記所定ワードシーケンスの生成は、自動車用エンジンのイ グニッションスイッチのオンのような定期的に繰り返される動作により開始され ることを特徴とする請求項１〜５記載の処理。 ７．請求項１〜６記載の処理を適用する回路構成であって、 プログラム制御回路（１〜５；１５）及び該プログラム制御回路の正しい機能 をモニタするための回路（７〜１４；１７〜３０）、及び前記モニタされる回路 （１〜５；１５）により所定アルゴリズム（Ａ１）に従ったプログラムの実行に て生成されるデータワードシーケンス（Ｗ１）は、前記モニタされる回路の稼動 サイクル内に前記モニタ回路（７〜１４；１７〜３０）に転送され、 前記モニタ回路（７〜１４：１７〜３０）は、前記転送されたデータワードシ ーケンス（Ｗ１）を内容及び発生時間について所定ワードシーケンス（Ｗ２）と 比較するためのコンパレータ（２０）を具備し、 前記モニタ回路（７〜１４；１７〜３０）は、前記転送されたデータワードシ ーケンス（Ｗ１）が前記所定シーケンス（Ｗ２）と異なる場合、エラー認識信号 及びディセーブル信号を発生することを特徴とする回路構成。 ８．前記回路構成は、ＡＢＳシステム、トラクション滑り制御システム、操縦安 定性制御システム等の電子制御ブレーキシステムに適用するために構成され、 前記モニタされる回路（１〜５；１５）は、単一チップマイクロコントローラ として構成され、ホイールセンサによって発生された入力信号を評価しブレーキ 圧制御信号を発生することを特徴とする請求項７記載の回路構成。