JPS5975348A - 計算機の異常検出方法およびその装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔従来技術〕 計算機システムではその誤動作を防止するために従来か
ら各種の手段が用いられている。

特に、制御用計算機やプログラマブルコントローラのよ
うに、直接プラント機器類を操作する出力は、誤出力が
プラントのノンコントロール状態や、機器破壊等の重大
事故を引きおこす可能性力；ある。

このようなシステムではＣＰＵの異常をいち早く検出し
、誤出力を防止することが重要である。

一般に、ＣＰＵの誤出力を異常内容で分類すると処理デ
ータそのものが異常になる場合（例えば２−１−３の答
が４になった等）と実行順序が異常となる場合に分かれ
る。前者の場合はデータバスのエラーチェック（パリテ
ィ、ＣＲＣ等）ならびに冗長プログラムにより検出、訂
正が可能であるが、後者の場合はプログラムの実行順序
そのものが意図せぬものとなるだめ、その検出は前者の
場合に比べて相当の困難を伴う。

従来のＣＰ　ＩＩ異常、特に、プログラム暴走を検出す
る方法は、■ウオッチドグタイマによるタイムアウト検
出■未定義命令実行検出■未定義アドレスアクセス検出
等があった。

■ウオッチドグタイマによるタイムアウト検出はプログ
ラムの渋滞を検出するもので、ハードウェアには、一定
期間（通常はソフトウェアにて期間を設定できる）内に
トリガされなければタイムアウトとなるカウンタ又はワ
ンショット・マルチプライヤを設け、ソフトウェアにて
周期的にそのカウンタをトリガするようにしたものであ
る。通常、ウオッチドグタイマをトリガする命令は最も
優先度の低いタスクに置かれる。そうすることにより、
プログラムの暴走等によるループインが発生すると、ウ
オッチドグタイマがトリガされなくなり、ＣＰＵの異常
を検出できる。

■未定義命令実行検出は未定義の命令コードを実行しよ
うとしたことを検出するもので、ＣＰＵが暴走し、デー
タ部分を命令として実行しようとしたとき等に検出され
る。

■未定義アドレスアクセス検出は、実装されていないエ
リアのメモリアクセス又はリードオンリエリアへの書き
込み等を検出するものである。

以上、プログラムの暴走を検出する従来例を挙げたが、
これらはいずれも、プログラムが暴走した後でないと検
出できず、場合によってはメモリ内容の破壊や、外部に
対して誤出力を発生するおそれがある。

すなわち、ウォッチトゲタイムアウト検出はプログラム
が暴走した後、一定時間以上経過しないと検出されない
し、未定義命令検出も暴走の結果、−実行しようしたコ
ードが、たまたま未定義命令コードであったときのみ検
出され、暴走の結果、実行しようとしたコードが命令と
して定義されていれば、その命令を実行してしまい、誤
出力のおそれがある。

さらに、未定義アドレス検出に関しても同様に暴走の結
果として検出されるものであり、メモリ内容の破壊や誤
出力が発生するおそれがある。

そこで通常はメモリのプロテクション機能全付加したり
、プロセス出力側でインターロック機構を設ける等の工
夫を行なって重大事故の発生を防止している。

ところが、このようなアプローチは異常発生時点ヲ捕え
るのではなく、異常現象が外部に現われた時点で捕えよ
うとしているため、たとえ誤出力が防止できたとしても
、再試行等による正常状態への復帰が困難であるばかり
でなく、出力規模が増大するにつれ、外部インターロッ
クは膨大なものとならざるを得ない。

〔発明の目的〕

本発明の目的はプログラムの暴走をその開始時点で補え
、暴走の継続を防止ｌ〜、誤出力を阻止するに良好なＣ
ＰＵ異常検出方法を提供するにある。

〔発明の概要〕

上記の目的を達成するだめには、プログラムが意図した
実行順序で実行されているかどうかを監視する必要があ
るが、実際のプログラムでは、条件分岐や割込等がある
ため実行順序をあらかじめ登録しておくことは不可能に
近い。

そこで、本発明は命令ゴシーケンシャルに実行されてい
ることを確認する機能と、分岐先を登録しておき、命令
がシーケンシャルでなく実行されようとした場合に分岐
先が登録さねでいるかどうかを監視する機能を設けるこ
とにより、不正な命傭実行順序の変化（すなわち暴走）
の開始時点を検出しようとするものである。

〔発明の実施例〕

以下、本発明の実施例を第１図〜第６図を用いて説明す
る。

第１図は従来の計算機システムのＣＰＵとメモリの接続
を示す。ＣＰＵＩはメモリ２又はメモリ３に対する書き
込み、読み込みをアドレスバス１００およびデータバス
１１０およびタイミングをとるためのストローブ１２０
を用いて行なうものである。

例えば、ＣＰ　ＴＪ　Ｉ　Ａｒメモリ２にデータを書き
込む場合は、書き込み先のアドレスおよび書き込みを表
わす信号をアドレスバス１００上に、書き込むデータを
データバス１１０上に乗せ、それらが確定したタイミン
グでストローブ１２０を送出する。メモリ２はアドレス
バス１００とストローブ１２０により自己のある番地が
選ばれているのを知ると、データバス１１０上のデータ
をその番地にとり込む。

第２図は第１図のシステムに本発明を付加したシステム
を示す。エラー検出部５がプログラムの暴走を検出する
部分である。エラー検出部゛５はＣＰ　Ｕからのストロ
ーブ１２１、メモリアクセスがフェッチか実行時かを示
すフェッチ信号５０１をとり込み、フェッチ時にはその
アドレスを毎回監視し、異常時にはメモリに対するスト
ローブ５０２を禁止し、エラー信号５０３を発生する。

第３図はエラー検出部５の詳細を示したものであり、第
４図ないし第６図は第３図の動作を示すタイムチャート
である。

以下、順を追って第３図の動作を説明する。第３図にお
いて、ゲート５５および５９はフェッチでない場合、Ｃ
Ｐ　ＴＪからのストローブ１２１をメモリへのストロー
ブ５０２として送出するゲートである。ゲート５４およ
び５８はフェッチ時に、ＣＰＵからのストローブ１２１
をメモリへのストローブ５０２として送出するゲートで
あるが、ゲート５８によりコンパレータ５３の一致出力
５１７カ；出力されているときのみ、メモリへのストロ
ーブ５０２が送出される。５１６は不一致出力であり、
アンドゲート６０の入力となる。

ココで、コニ／パレータ５３けメモリフェッチ時のアド
レスが正常かどうかを判定するものであり、アドレスバ
ス１０１とカウンタ５２の出力５１５の一致を検出して
いる。カウンタ５２の出力５１５は正常であろうはずの
フェッチアドレスを示している。すなわち、分岐や割込
がない場合はフェッチ時のメモリアドレスはｎ　、　ｎ
　＋　ｌ　、　ｎ　＋　２　、・・・のように連続した
値になるはずであるから、カウンタ５２のＩＮＣ人力５
１４によりカウンタ５２の出力５１５は更新される。し
たがって、ＣＰＵが正常に働く限り、フェッチ時のアド
レスとカウンタ５２の出力５１５は一致する。（この状
態を第４図のタイムチャートに示す） ところが分岐や割込が発生した場合、フェッチ順序は不
連続となる。このような場合に、その不連続力；正規の
不連続であることを検出するのが連想メモリ５１とゲー
ト５７である。連想メモリ５１には、あらかじめ、分岐
先や割込時の実行開始光を書き込んでおき、フェッチ時
のアドレスバス１０１の内容ガ、あらかじめ書き込んで
おいたアドレスと一致した場合、信号５１２を出力し、
ゲート５７を介しカウンタ５２にロード信号５１３とし
て与えられる。したがって、フェッチ時のアドレスが不
連続となっても、その内容カニあらかじめ登録されたア
ドレスならば、カウンタ５２にその値がロードされコン
パレータ５３の出カ一致信号が出力され、メモリに対す
るストローブ信号５０２が出力される。アンドゲート５
６は、信号５１２がないときカウンタ５２のＩＮＣへの
入力信号５１４を与える。（この状態を第５図のタイム
チャートに示す） さらに、連想メモリ５１の出力５１２が出力されなかっ
たのにかかわらず、カウンタ５２の値とフェッチ時のア
ドレス１０Ｆが一致しなかった場合は、ＣＰＵに異常が
発生したことを示すから、この場合は、ゲート５８によ
りメモリに対するストローブ信号５０２を禁止すると共
にエラー信号５０３を発し、ＣＰＵは異常処理に入る。

（この状態を第６図のタイムチャートに示す）本発明の
一実施例によれば従来検出することができなかった暴走
の開始時点を検出することができ、ＣＰＵの異常動作に
よる誤出力を防止することができ、高信頼のオンライン
リアルタイムシステムが実現する。

実施例第３図における連想メモリ５１の内容は固定され
ているとして説明したが、その内容はＣＰ　Ｕから書き
換え可能であってもよく、その場合は、プログラムの修
正が多いシステムや二次記憶が可能なシステムの場合効
果を発揮する。

さらに、前述の実施例では連想メモリ５１には分岐や割
込における分岐先のアドレスを記憶させておいだ力；、
分岐先のみならず分岐元アドレスをも記憶１〜でおき、
割込以外の分岐に関しては分岐元と分岐先の双方があら
かじめ記憶したアドレスと一致したときのみ出力５１２
を発し、割込時には分岐先アドレスのみの一致で出力５
１２を発生するようにしてもよい。この場合は暴走の検
出率がさらに向上する。

〔発明の効果〕

本発明によ引ば、プログラムの暴走をその開始時点で補
え、暴走の継続を防止し、誤出力を阻することができる
。

【図面の簡単な説明】

第１図は従来の計算機の概略構成図、第２図は本発明を
適用した一実施例の構成図、第３図は第２図におけるエ
ラー検出部の詳細図、第４図ないし第６図は第３図の動
作を説明するタイムチャートである。 １・・・ＣＰＵ、２．３・・・メモリ、５・・・エラー
検出部、５１・・・連想メモリ、５２・・・カウンタ、
５３・・・コン第　１　図 第　２　　図 第３　口

Claims (1)

1. 【特許請求の範囲】 １、命令を逐次読み出して実行処理を行なうストアード
   プログラム方式の計算機システムの異常検出方法におい
   て、プログラムを読みだすたびに更新され、かつ、プロ
   グラムが分岐した場合には、分岐先があらかじめ登録し
   ておいだメモリ番地と一致したときのみ分岐先アドレス
   を設定、カウントし、前記計算機からの命令読み出し番
   地と前記カウント値が一致したときのみ正常の命令読み
   出しを行ない、前記計算機からの命令読み出し番地と前
   記カウント値が不一致の場合は、前記計算機の異常とみ
   なし、異常信号を発生することを特徴とするＣＰＵの異
   常検出方法。 ２、命令を逐次読み出して実行処理を行なうストアード
   プログラム方式の計算機システムにおいて、プログラム
   の分岐先を記憶し、かつ、任意のプログラム番地を入力
   するとその番地が記憶された番地か否かを示す信号を出
   力する連想メモリと、プログラムを読み出すたびに更新
   され、かつ、前記連想メモリの出力信号により読み出し
   番地が前記プログラムの分岐先を示している場合にはそ
   の番地が設定されるカウンタと、前記カウンタの値とプ
   ログラム読み出し番地の一致を検出する比較器と、この
   比較器の出力が一致を示すときのみ正常の命令読み出し
   を行ない、前記比較器の出力が不一致のときは前記計算
   機の異常とみなし異常信号を発生する手段とからなるこ
   とを特徴とする計算機の異常検出装置。