DE112008001590T5

DE112008001590T5 - Prozessorbetriebsinspektionssystem und Betriebsinspektionsschaltung

Info

Publication number: DE112008001590T5
Application number: DE112008001590T
Authority: DE
Inventors: Makoto Honda
Original assignee: Toyota Motor Corp; Toyota InfoTechnology Center Co Ltd
Current assignee: Toyota Motor Corp
Priority date: 2007-06-13
Filing date: 2008-06-13
Publication date: 2010-04-29
Anticipated expiration: 2028-06-14
Also published as: WO2008153214A1; CN101681287A; JP2008310516A; US8060793B2; JP4359632B2; US20100107005A1; DE112008001590B4; CN101681287B

Abstract

Prozessorbetriebsinspektionssystem, das einen Prozessor und eine Betriebsinspektionsschaltung umfasst, die einen Betrieb des Prozessors inspiziert, wobei
der Prozessor umfasst:
eine Zustandsschaltsignalausgabeeinheit, die ein Zustandsschaltsignal, das einen Zustandsübergang angibt, zu der Betriebsinspektionsschaltung zu dem Zeitpunkt eines Übergangs von einem vordefinierten Zustand zu einem anderen Zustand ausgibt; und
eine Zustandsausgabeeinheit, die ein Zustandssignal, das einen momentanen Zustand angibt, zu der Betriebsinspektionsschaltung ausgibt; und
die Betriebsinspektionsschaltung umfasst:
eine Zustandsschaltsignaleingabeeinheit, die eine Eingabe des Zustandsschaltsignals empfängt;
eine Zustandssignaleingabeeinheit, die eine Eingabe des Zustandssignals empfängt;
eine Zustandsspeichereinheit, die einen Zustand des Prozessors speichert;
einer Zustandsberechnungseinheit, die einen neuen, durch den Prozessor anzunehmenden Zustand aus dem in der Zustandsspeichereinheit gespeicherten Zustand des Prozessors und dem Zustandsschaltsignal berechnet; und
eine Inspektionseinheit, die den Betrieb des Prozessors durch Anstellen eines Vergleichs zwischen dem neuen, durch den Prozessor anzunehmenden Zustand, der durch die Zustandsberechnungseinheit berechnet wurde, und dem durch die Zustandssignaleingabeeinheit...

Description

GEBIET DER ERFINDUNG
Die vorliegende Erfindung bezieht sich auf eine Technik zum Inspizieren, ob ein Prozessor normal läuft.
VERWANDTER STAND DER TECHNIK
Herkömmlicherweise wurde eine Wachhundzeitgeber-(WDT, „watchdog timer”)-Technologie zum Zwecke des Erfassens eines Versagens eines Mikroprozessors verwendet (zum Beispiel die japanische Patentanmeldungsoffenlegung Nr. 2003-150280 ). Kommt ein Signal zum Erliegen, das mit einem vorbestimmten Intervall von einem Prozessor gesendet wird, dann gibt ein Wachhundzeitgeber einen Rücksetzimpuls zu dem Prozessor aus. Empfängt der Prozessor diesen Rücksetzimpuls, dann setzt er sich selbst zurück, um seine Funktion wiederherzustellen. Auf diese Art und Weise ist es unter Verwendung der Wachhundzeitgebertechnologie möglich, zu erfassen, dass die Verarbeitung des Prozessors auf Grund ei nes Fehlers usw. angehalten wurde. Zudem ist es in einem derartigen Fall für den Prozessor möglich, die Wiederherstellung von dessen Funktion durchzuführen.
Ebenso ist, als eine Technologie zum Durchführen von Prüfungen (Entstörung) ohne die Verwendung von echten Schaltungen, eine virtuelle Prüfertechnologie bekannt (zum Beispiel die japanische Patentanmeldungsoffenlegung Nr. 2005-32191 ). Ein virtueller Prüfer ist eine Technologie, die Prüfungen durch Simulation auf einem Computer unter Verwendung eines Modells eines zu prüfenden Programms, das durch eine Hardwarebeschreibungssprache (HDL, „hardware description language”) modelliert wird, ohne Verwendung einer echten Maschine oder eines echten Systems durchführt.
Zudem ist ebenso eine Technik bekannt, bei der an Stelle des Erstellens einer eingebauten Schaltung zum Überwachen eines FPGA (feldprogrammierbarer Gatearray, „field programmable gate array”) in kleinem Maßstab, ein Speichermodul in großem Maßstab außerhalb des FPGA vorgesehen wird und mit diesem durch eine Hochgeschwindigkeitsübertragungsleitung verbunden ist ( japanische Patentanmeldungsoffenlegung Nr. 2003-271412 ). Mit dieser Maßnahme ist es möglich, den Betrieb des FPGA ohne Rücksichtnahme auf dessen Schaltungsmaßstab zu überwachen.
Jedoch traten in dem Fall der vorstehend beschriebenen herkömmlichen Technologien die nachstehenden Probleme auf.
Zuerst kann mit einer Technologie unter Verwendung eines virtuellen Prüfers, wie in der japanischen Patentanmeldungsoffenlegung Nr. 2005-32191 beschrieben ist, der Betrieb eines echten Systems nicht inspiziert werden. Zudem kann mit einer Technologie unter Verwendung eines Wachhundzeitgebers, wie in der japanischen Patentanmeldungsoffenlegung Nr. 2003-150280 beschrieben ist, überprüft werden, dass ein Prozessor läuft, aber es kann nicht verifiziert werden, ob der Prozessor korrekt oder normal läuft.
Der anormale Betrieb eines Prozessors kann die nachstehenden Ursachen haben. Die erste ist ein Defekt (Störung) eines Programms, und besteht darin, dass der Prozessor nicht gemäß seinen Spezifikationen läuft.
Die zweite ist eine Abänderung eines Programms durch eine bösgläubige dritte Partei. In den vergangenen Jahren wurde häufig ein rekonfigurierbarer Prozessor, wie ein FPGA usw., als ein Prozessor verwendet. Anhand eines FPGA kann der Betrieb des Prozessors durch Ändern von Schaltungsinformationen (Programm) geändert werden. Demgemäß kann im Falle einer Versionsaktualisierung des Programms oder dergleichen der Betrieb des Prozessors leicht durch Vorsehen eines neuen Programms für den Prozessor geändert werden. Ein von außen vorgesehenes Programm kann jedoch durch eine dritte Partei umgeschrieben worden sein. In einem derartigen Fall wird ein anderer Betrieb als von einem Hersteller beabsichtigt durchgeführt.
Die dritte ist ein weicher Fehler. Der weiche Fehler ist ein Fehler, der aus den in einem Speicher gehaltenen Daten herrührt, die unter dem Einfluss von Strahlung, wie hochenergetischen Neutronen, invertiert werden. Die Wahrscheinlichkeit des Auftretens von weichen Fehlern wird gemäß der Miniaturisierung von LSI-(hochgradige Integration, „large scale integration”)-Entwurfsregeln in den vergangenen Jahren erhöht. Obwohl diesem unter Verwendung eines Speichers mit einer Fehlerkorrekturfunktion Rechnung getragen werden kann, ist es auf Grund eines Kostenanstiegs schwierig, einen Speicher mit einer Fehlerkorrekturfunktion anzuwenden.
OFFENBARUNG DER ERFINDUNG
Somit umfasst der anormale Betrieb eines Prozessors eine Vielfalt von Arten von Anomalien, die sich von der Tatsache unterscheiden, dass die Verarbeitung des Prozessors einfach anhält, und es ist erforderlich, derartige Anomalien zu erfassen.
Die Erfindung wurde in Anbetracht der vorstehend beschriebenen Umstände angefertigt, und ihr liegt die Aufgabe zu Grunde, eine Technologie vorzusehen, die inspizieren kann, ob ein Prozessor normal läuft.
Zur Erreichung der vorstehend beschriebenen Aufgabe wird in der Erfindung der Betrieb eines Prozessors durch die nachstehende(n) Einrichtung(en) oder Verarbeitung verifiziert.
Die Erfindung ist ein Prozessorbetriebsinspektionssystem, das einen Prozessor und eine Betriebsinspektionsschaltung zum Inspizieren eines Betriebs des Prozessors umfasst.
Der Prozessor interpretiert und führt ein in einem Speicher gespeichertes Programm aus. Die Verarbeitung des Programms wird ausgeführt, während sie vordefinierte Zustände durchläuft. Zudem weist der Prozessor eine Zustandsschaltsignalausgabeeinheit auf, die ein Zustandsschaltsignal ausgibt, um der Betriebsinspektionsschaltung einen Zustandsübergang zu dem Zeitpunkt mitzuteilen, zu dem diese von einem Zustand zu einem anderen Zustand wechselt. Ebenso weist der Prozessor eine Zustandsausgabeeinheit auf, die ein Zustandssignal ausgibt, um der Betriebsinspektionsschaltung seinen momentanen Zustand mitzuteilen.
Hierbei sei darauf hingewiesen, dass ein „Zustand” ein Zustand des auf dem Prozessor ausgeführten Programms ist, aber in der Beschreibung der Erfindung wird er ebenso einfach als „ein Zustand des Prozessors” bezeichnet.
Hierbei kann die Art der Einheit (Granularität), die zum Definieren eines Zustands verwendet wird, geeignet gewählt werden. Das Zustandsschaltsignal ist ein vordefiniertes Signalmuster, das einen Übergang eines Zustands angibt. Somit teilt der Prozessor zu dem Zeitpunkt eines Zustandsübergangs den Übergang der Betriebsinspektionsschaltung mit, und teilt zu dem gleichen Zeitpunkt der Betriebsinspektionsschaltung einen momentanen Zustand mit.
Die Betriebsinspektionsschaltung weist eine Zustandsschaltsignaleingabeeinheit, eine Zustandssignaleingabeeinheit, eine Zustandsspeichereinheit, eine Zustandsberechnungseinheit und eine Inspektionseinheit auf. Die Zustandsschaltsignaleingabeeinheit empfängt eine Eingabe eines Zustandsschaltsignals von dem Prozessor. Die Zustandssignaleingabeeinheit empfängt eine Eingabe eines Zustandssignals von dem Prozessor. Die Zustandsspeichereinheit speichert den Zustand des Prozessors. Die Zustandsberechnungseinheit berechnet einen neuen, durch den Prozessor anzunehmenden Zustand aus dem in der Zustandsspeichereinheit gespeicherten Zustand des Prozessors und dem Zustandsschaltsignal. Die Zustandsspeichereinheit und die Zustandsberechnungseinheit sind ein Zustandsautomat, der einen Zustandsübergang simuliert, und sind gemäß den Spezifikationen des Prozessors entworfen. Die Inspektionseinheit inspiziert den Betrieb des Prozessors durch Anstellen eines Vergleichs zwischen dem neuen, durch den Prozessor anzunehmenden Zustand, der durch die Zustandsberechnungseinheit berechnet wurde, und dem durch die Zustandsschaltsignaleingabeeinheit eingegebenen Zustand des Prozessors. In Fällen, in denen der durch die Zustandsberechnungseinheit berechnete Zustand von dem momentanen Betrieb des Prozessors verschieden ist, bestimmt die Inspektionseinheit, dass ein Fehler bei dem Betrieb des Prozessors vorlag.
Somit kann das Verhalten des Prozessors durch Bilden eines Zustandsautomaten in der Betriebsinspektionsschaltung und durch Durchführen von aufeinander folgenden Inspektionen des Zustandsübergangs überwacht werden.
In Fällen, in denen bestimmt wird, dass ein Fehler bei dem Betrieb des Prozessors vorlag, kann die Inspektionseinheit dem Prozessor einen neuen, durch den Prozessor anzunehmenden Zustand mitteilen. Dann kann der Prozessor, der diese Mitteilung empfing, eine Wiederherstellung aus einem inkorrekten Zustand zu dem Normalzustand durchführen.
Kann eine Wiederherstellung zu einem von der Betriebsinspektionsschaltung mitgeteilten, korrekten Zustand auf diese Art und Weise durchgeführt werden, dann kann der Prozessor verglichen mit dem Fall, in dem der Prozessor rückgesetzt wird, schnell wiederhergestellt werden.
Zudem kann in Fällen, in denen der Prozessor in der Lage ist, eine Vielzahl von Tasks auszuführen, das erfindungsgemäße Prozessorbetriebsinspektionssystem eine Vielzahl von Betriebsinspektionsschaltungen umfassen, die jeweils der Vielzahl von Tasks entsprechen. In diesem Fall umfasst das Prozessorbetriebsinspektionssystem ferner eine Schalteinheit, die unter der Vielzahl von Betriebsinspektionsschaltungen gemäß einem Task schaltet, der durch den Prozessor ausgeführt wird, so dass eine der Betriebsinspektionsschaltungen zum Inspizieren des Betriebs des Prozessors zu verwenden ist.
In Fällen, in denen der Prozessor ein Multitaskingsystem oder dergleichen ist, das zu einem Ausführen einer Vielzahl von Tasks in der Lage ist, ist es für eine einzelne Betriebsinspektionsschaltung schwierig, die Zustandsübergänge aller Tasks zu inspizieren. Folglich ist es durch Vorsehen einer Betriebsinspektionsschaltung für jeden Task möglich, den Fall zu bewältigen, in dem eine Vielzahl von Tasks ausgeführt wird.
Zudem ist es in Fällen, in denen der Prozessor zu einem Ausführen einer Vielzahl von Tasks in der Lage ist, ebenso vorzuziehen, dass eine Betriebsinspektionsschaltung aus einem rekonfigurierbaren Prozessor aufgebaut ist, und dass die Betriebsinspektionsschaltung gemäß einem durch den Prozessor ausgeführten Task rekonfiguriert wird. Im Einzelnen ist es vorzuziehen, dass das erfindungsgemäße Prozessorbetriebsinspektionssystem ferner eine Schaltungsinformationsspeichereinheit, die Schaltungsinformationen von jeweils der Vielzahl von Tasks entsprechenden Betriebsinspektionsschaltungen speichert, und eine Steuereinheit umfasst, die die dem Task entsprechenden Schaltungsinformationen auf den rekonfigurierbaren Prozessor gemäß einem Task lädt, der durch den Prozessor ausgeführt wird. Ein FPGA (feldprogrammierbares Gatearray) ist in dem rekonfigurierbaren Prozessor umfasst.
Mit einer derartigen Konfiguration ist es möglich, den Prozessor zu bewältigen, der eine Vielzahl von Tasks durchführt. Zudem kann die Vielzahl von Tasks durch Umschreiben des Programms des rekonfigurierbaren Prozessors bewältigt werden, so dass eine Chipfläche verringert werden kann.
Hierbei sei darauf hingewiesen, dass die Erfindung ebenso als ein Prozessorbetriebsinspektionsverfahren, das zumindest einen Teil der vorstehend beschriebenen Verarbeitung umfasst, oder als ein Programm zum Erreichen eines derartigen Verfahrens angesehen werden kann. Zudem kann die Erfin dung ebenso als eine Betriebsinspektionsschaltung zum Inspizieren eines Betriebs des vorstehend beschriebenen Prozessors angesehen werden. Jede der vorstehend beschriebenen Einheiten und Prozesse kann mit anderen im möglichen Ausmaß kombiniert werden, um die Erfindung zu erreichen.
Zum Beispiel liegt eine Betriebsinspektionsschaltung als eine Ausgestaltung der Erfindung in einer Betriebsinspektionsschaltung zum Inspizieren eines Betriebs eines Prozessors mit: einer Zustandsschaltsignaleingabeeinheit, die eine Eingabe eines von dem Prozessor ausgegebenen Zustandsschaltsignals empfängt, das einen Übergang eines Zustands des Prozessors angibt; einer Zustandssignaleingabeeinheit, die eine Eingabe eines von dem Prozessor ausgegebenen Zustandssignals empfängt, das einen momentanen Zustand des Prozessors angibt; einer Zustandsspeichereinheit, die den Zustand des Prozessors speichert; einer Zustandsberechnungseinheit, die einen neuen, durch den Prozessor anzunehmenden Zustand aus dem in der Zustandsspeichereinheit gespeicherten Zustand des Prozessors und dem Zustandsschaltsignal berechnet; und einer Inspektionseinheit, die den Betrieb des Prozessors durch Anstellen eines Vergleichs zwischen dem neuen, durch den Prozessor anzunehmenden Zustand, der durch die Zustandsberechnungseinheit berechnet wurde, und dem durch die Zustandssignaleingabeeinheit eingegebenen Zustand des Prozessors inspiziert.
Erfindungsgemäß wird es möglich, zu inspizieren, ob ein Prozessor normal läuft.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Es zeigen:
1A eine Ansicht des Gesamtaufbaus eines Mikroprozessorbetriebsinspektionssystems gemäß einem ersten Ausführungsbeispiel der Erfindung, und 1B eine Ansicht von Signalen, die zwischen einem Mikroprozessor und einer Betriebsinspektionsschaltung ausgetauscht werden;
2 eine Ansicht des Gesamtaufbaus des Mikroprozessorbetriebsinspektionssystems gemäß dem ersten Ausführungsbeispiel der Erfindung;
3 ein Zustandsübergangsdiagramm eines Programms, das durch den Mikroprozessor ausgeführt wird;
4 ein Diagramm (Gitterdiagramm) in einer Zeitabfolge des Zustandsübergangs des Programms, das durch den Mikroprozessor ausgeführt wird;
5 eine Ansicht eines Zeitdiagramms von Daten, die von dem Mikroprozessor zu der Betriebsinspektionsschaltung ausgegeben werden, und der Ausführung einer Verarbeitung in dem Mikroprozessorbetriebsinspektionssystem gemäß dem ersten Ausführungsbeispiel der Erfindung;
6 ein Ablaufdiagramm eines Beispiels des Betriebs des Mikroprozessorbetriebsinspektionssystem gemäß dem ersten Ausführungsbeispiel der Erfindung;
7 eine Ansicht des Aufbaus einer Betriebsinspektionsschaltung in einem Mikroprozessorbetriebsinspektionssystem gemäß einem zweiten Ausführungsbeispiel der Erfindung;
8 eine Ansicht eines Zeitdiagramms von Daten, die von einem Mikroprozessor zu der Betriebsinspektionsschaltung ausgegeben werden, und der Ausführung einer Verarbeitung in dem Mikroprozessorbetriebsinspektionssystem gemäß dem zweiten und dritten Ausführungsbeispiel der Erfindung; und
9 eine Ansicht des Aufbaus der Betriebsinspektionsschaltung in dem Mikroprozessorbetriebsinspektionssystem gemäß dem dritten Ausführungsbeispiel der Erfindung.
BESTE AUSFÜHRUNGSART ZUM AUSFÜHREN DER ERFINDUNG
Nachstehend werden bevorzugte Ausführungsbeispiele dieser Erfindung ausführlich und beispielhaft unter Bezugnahme auf die beiliegenden Zeichnungen beschrieben.
(Erstes Ausführungsbeispiel)
<Aufbau>
1 und 2 zeigen Ansichten des Gesamtaufbaus eines Mikroprozessorbetriebsinspektionssystems gemäß einem ersten Ausführungsbeispiel der Erfindung. 1A zeigt den Aufbau eines Mikroprozessors 1, und 1B zeigt Signale, die zwischen dem Mikroprozessor 1 und einer Betriebsinspektionsschaltung 2 ausgetauscht werden. Der Mikroprozessor 1 umfasst einen Speicher 11, eine ALU (Arithmetik- und Logikeinheit, „arithmetic logic unit”) 12, einen PLL (Phasenregelkreis, „phase-locked loop”) 13 und einen Datenweg 14. 2 zeigt eine Ansicht des Aufbaus der Betriebsinspektionsschaltung 2.
Es wird ein Programm in den Speicher 11 geladen, und wird dieses Programm durch die ALU 12 ausgeführt. In diesem Programm ist zuvor eine Vielzahl von Zuständen definiert und kann ein Übergang unter den Zuständen in einem Programm umfasst werden. In 2 ist schematisch durch ein Zustandsübergangdiagramm und ein Ablaufdiagramm gezeigt, dass das Programm des Mikroprozessors 1 Zustände A bis D annehmen kann. Es versteht sich jedoch von selbst, dass in der Praxis das Programm viele Zustände mehr annehmen kann.
Hierbei kann beliebig sein, welche Art von Einheit als ein Zustand definiert wird. Zum Beispiel kann eine Gruppe von Verarbeitungsroutinen zwischen einer Möglichkeitsverzweigung und der nachfolgenden Möglichkeitsverzweigung als ein Zustand definiert werden. Zudem kann ebenso eine Unterroutine, eine Funktion oder dergleichen als ein Zustand definiert werden. Hierbei wird eine Beschreibung unter der Annahme gegeben, dass eine Gruppe von Verarbeitungsroutinen zwischen Möglichkeitsverzweigungssätzen als ein Zustand definiert wird.
Der Mikroprozessor 1 führt ein Zustandsschaltsignal 32 zu der Betriebsinspektionsschaltung 2 zu, wenn ein Übergang seines Zustands stattfindet. In diesem Ausführungsbeispiel ist das Zustandsschaltsignal 32 Daten, in denen die Bedingung eines Möglichkeitsverzweigungssatzes, wie eine Wenn-Dann-Aussage oder dergleichen, codiert ist. Das Zustandsschaltsignal 32 kann jedoch irgendetwas sein, solange es Daten (Signal) ist, die (das) einen Übergang des Zustands mitteilen können (kann).
Der Mikroprozessor 1 führt ebenso ein Zustandssignal 33 zu, das der Betriebsinspektionsschaltung 2 seinen momentanen Zustand mitteilt.
Eine Signalausgabe von dem Mikroprozessor 1 wird durch Schreiben in einen Ein-/Ausgabeanschluss des Mikroprozessors 1 durchgeführt. Zudem wird eine Signalausgabe in den Mikroprozessor 1 durch Lesen eines Signals bei dessen Ein-/Ausgabeanschluss durchgeführt. Das heißt, die Ein-/Ausgabeanschlüsse des Mikroprozessors 1 und der Betriebs inspektionsschaltung 2 entsprechen verschiedenen Arten von Signaleingabeeinheiten und Signalausgabeeinheiten.
Die Betriebsinspektionsschaltung 2 besteht aus rekonfigurierbarer Hardware, wie einem FPGA oder dergleichen. In diesem FPGA ist eine Schaltung als ein Zustandsautomat implementiert, die ein durch den Mikroprozessor 1 ausgeführtes Programm simuliert. Der Zustandsautomat ist eine sequenzielle Schaltung und besteht aus einer Kombinationslogikschaltung 21 und einem Zustandsregister 22. Der Zustandsautomat ist unter Verwendung einer HDL (Hardwarebeschreibungssprache) zur Implementierung in dem FPGA entworfen, während er sich auf die Spezifikationen eines Anwendungsprogramms und den Quellcode des Programms bezieht. Der letzte Zustand des Mikroprozessors 1 wird in dem Zustandsregister 22 gespeichert. Und, wenn die in dem Zustandsregister 22 gespeicherten Daten und das von dem Mikroprozessor 1 eingegebene Zustandsschaltsignal 32 in die Kombinationslogikschaltung 21 eingegeben werden, dann tritt ein neuer Zustand auf, der in dem Zustandsregister 22 gespeichert wird. Das heißt, die Kombinationslogikschaltung 21 entspricht einer Zustandsberechnungseinheit der Erfindung, und das Zustandsregister 22 entspricht Zustandsspeichereinheit der Erfindung.
Die Vergleichsschaltung 23 entspricht einer Inspektionseinheit der Erfindung und bestimmt, ob der Wert des Zustandsregisters 22 mit dem von dem Mikroprozessor 1 eingegebenen Zustandssignal 33 übereinstimmt, durch Anstellen eines Vergleichs zwischen diesen. Stimmen sie miteinander überein, dann teilt die Vergleichsschaltung dem Mikroprozessor 1 ein Bestimmungsergebnis 34 mit, das angibt, dass der Zustand des Mikroprozessors 1 normal ist. Bei Empfang einer Normalnachricht als das Bestimmungsergebnis tätigt der Mikropro zessor 1 einen Übergang seines Zustands und führt den nachfolgenden Zustand durch.
Stimmen demgegenüber der Wert des Zustandsregisters 22 und das von dem Mikroprozessor 1 eingegebene Zustandssignal 33 nicht miteinander überein, dann kann dem entnommen werden, dass ein Fehler oder Versagen in dem Mikroprozessor 1 auftrat. In diesem Fall wird dem Mikroprozessor 1 ein Bestimmungsergebnis 34 mitgeteilt, das angibt, dass der Zustand des Mikroprozessors 1 anormal ist. Da der Zustand, den der Mikroprozessor 1 ursprünglich annehmen sollte, in dem Zustandsregister 22 gespeichert ist, wird zudem dieser Normalzustand als ein Normalzustand 35 zu dem Mikroprozessor 1 ausgegeben. Der Mikroprozessor 1 versucht, seinen Zustand aus dem inkorrekten oder anormalen Zustand zu dem normalen Zustand durch Bezugnahme auf diesen Normalzustand wiederherzustellen.
3 zeigt ein Zustandsübergangsdiagramm eines Beispiels eines Übergangs des Zustands des Programms, das durch den Mikroprozessor 1 ausgeführt wird. 4 zeigt ein Diagramm (Gitterdiagramm) des Zustandsübergangs von 3 in einer Zeitabfolge. In diesem Beispiel sind die vier Zustände A bis D als annehmbare Zustände definiert, und werden Übergänge unter diesem Zuständen vorbestimmt. Zum Beispiel wird ein Übergang von Zustand A lediglich zu Zustand A oder B getätigt, und wird ein Übergang von Zustand B lediglich zu Zustand C oder D getätigt. Hierbei sei darauf hingewiesen, dass jeder Übergang durch Ij bezeichnet wird.
Auf diese Art und Weise wird der Zustand des Mikroprozessors 1 vorab aus den Spezifikationen des Programms usw. bestimmt, so dass ermittelt wird, dass ein Übergang von Zustand D zu Zustand C solange nicht stattfindet, wie der Mikroprozessor 1 einen normalen Betrieb durchführt, wie in einer gestrichelten Linie in 3 gezeigt ist. Entsteht demgemäß ein derartiger unvorhergesehener Zustandsübergang, dann wird ermittelt, dass ein Fehler in dem Mikroprozessor 1 auftrat. Zudem wird ebenso zum Beispiel in Fällen, in denen der Zustand des Mikroprozessors 1 von Zustand B zu Zustand C trotz des Auftretens eines Übergangs I3 in dem Zustand B (korrekterweise soll der Mikroprozessorzustand von Zustand B zu Zustand D wechseln) wechselte, dann wird in ähnlicher Art und Weise ermittelt, dass ein Fehler in dem Mikroprozessor 1 auftrat.
5 zeigt eine Ansicht eines Zeitdiagramms der Daten, die von dem Mikroprozessor 1 zu der Betriebsinspektionsschaltung 2 ausgegeben werden, und der Ausführung von dessen Verarbeitung. Zu dem Zeitpunkt, zu dem der Mikroprozessor 1 seinen Zustand ändert, beginnt er die Verarbeitung eines neuen Zustands (sj) nach einem Ausgeben eines Übergangs Ij und eines nachfolgenden Zustands sj zu der Betriebsinspektionsschaltung 2 als Zustandsschaltsignale. 5 zeigt ein Beispiel in dem Fall, in dem der Zustand des Mikroprozessors 1 in der Reihenfolge A–B–C gewechselt wird, bei dem nach Vollendung der Verarbeitung in dem Zustand A, I2, das einen Übergang von Zustand A zu Zustand B angibt, als ein Zustandsschaltsignal, und bei dem Übergang zu dem Zustand B ein Zustandsschaltsignal ausgegeben wird, das den Zustand B angibt. Zu eben dem gleichen Zeitpunkt wird der Zustand von Zustand B zu Zustand C geändert.
<Verarbeitungsablauf>
6 zeigt ein Ablaufdiagramm eines Beispiels des Betriebs eines Prozessorbetriebsinspektionssystems gemäß diesem Ausführungsbeispiel. Zuerst wird eine Energiezufuhr eingeschaltet, und wird eine Initialisierungsverarbeitung (S01) des Mikroprozessors 1 und der Betriebsinspektions schaltung 2 ausgeführt. Dann empfängt die Betriebsinspektionsschaltung 2 eine Eingabe des Zustandsschaltsignals 32 von dem Mikroprozessor 1 (S02). Die Kombinationslogikschaltung 21 berechnet einen neuen Zustand aus dem momentanen Inhalt des Zustandsregisters 22 und dem so eingegebenen Zustandsschaltsignal 32, und speichert diesen in das Zustandsregister 22 (S03). Zudem empfängt die Betriebsinspektionsschaltung 2 eine Eingabe des Zustandssignals 33 von dem Mikroprozessor 1 (S04). Dann stellt die Vergleichsschaltung 23 einen Vergleich zwischen dem Inhalt des Zustandsregisters 22 des Zustandsautomaten und dem eingegebenen Zustand des Mikroprozessors 1 (Zustandssignal 33) an (S05). Es wird bestimmt, ob diese miteinander übereinstimmen (S06), und liegt eine Übereinstimmung zwischen ihnen vor (S06: JA), dann wird ermittelt, dass der Zustand des Mikroprozessors 1 normal ist. Die Betriebsinspektionsschaltung 2 gibt dieses Bestimmungsergebnis 34 zu dem Mikroprozessor 1 aus und kehrt zu Schritt S02 zurück, in dem sie die Inspektion fortsetzt.
Stimmen demgegenüber der Inhalt des Zustandsregisters 22 des Zustandsautomaten und der eingegebene Zustand des Mikroprozessors 1 nicht miteinander überein (S06: NEIN), dann wird ermittelt, dass der Zustand des Mikroprozessors 1 anormal ist. Die Betriebsinspektionsschaltung 2 gibt dieses Bestimmungsergebnis 34 zu dem Mikroprozessor 1 aus, und gibt zu dem gleichen Zeitpunkt einen Zustand, der in dem Zustandsregister 22 gespeichert ist, als einen Normalzustand zu dem Mikroprozessor 1 aus (S07). Der Mikroprozessor 1, der diesen empfängt, interpretiert den Registerinhalt, korrigiert einen Programmzähler und versucht, diesen zu einem Normalzustand wiederherzustellen. Hierbei kann der Programmzähler in Fällen rückgesetzt werden, in denen die Wiederherstellung durch Korrigieren des Programmzählers nicht getätigt werden kann.
Auf diese Art und Weise kann der Betrieb des Mikroprozessors 1 unter Verwendung der Betriebsinspektionsschaltung 2 inspiziert werden.
<Betrieb/Wirkung dieses Ausführungsbeispiels>
Gemäß dem Mikroprozessorbetriebsinspektionssystem dieses Ausführungsbeispiels ist es möglich, Anomalien des Mikroprozessors auf Grund des Einflusses eines Fehlers oder weichen Fehlers durch Simulieren des Zustandsübergangs des Programms des Mikroprozessors mit dem Zustandsautomaten der Betriebsinspektionsschaltung zu erfassen. Zudem ist es zu jenem Zeitpunkt durch Mitteilen eines korrekten Zustands an den Mikroprozessor von der Betriebsinspektionsschaltung ebenso möglich, den Zustand des Mikroprozessors zu dem korrekten Zustand wiederherzustellen. Dies weist einen Vorteil auf, dass die Wiederherstellung schneller getätigt werden kann, als eine Wiederherstellung durch ein Rücksetzsignal.
(Zweites Ausführungsbeispiel)
7 zeigt eine Ansicht des Aufbaus einer Betriebsinspektionsschaltung 2 in einem Betriebsinspektionssystem gemäß einem zweiten Ausführungsbeispiel der Erfindung. In diesem Ausführungsbeispiel wird ein Mikroprozessor 1 als ein Prozessor angenommen, der eine Multitaskingverarbeitung durchführt. Wie in dieser Figur gezeigt ist, sind Zustandsautomaten 2a bis 2c gemäß einer Vielzahl von Tasks implementiert. Hierbei sind drei Zustandsautomaten implementiert, aber die Anzahl der einzusetzenden Zustandsautomaten kann beliebig sein.
8 zeigt eine Ansicht eines Zeitdiagramms der Daten, die von dem multitaskingfähigen Mikroprozessor 1 zu der Be triebsinspektionsschaltung 2 ausgegeben werden, und der Ausführung von dessen Verarbeitung. Dieses Zeitdiagramm ist im Wesentlichen das gleiche wie jenes des ersten Ausführungsbeispiels (5) während der Ausführungszeit eines Tasks. Es unterscheidet sich jedoch darin, dass eine Taskzahl (Ti) zu dem Zeitpunkt ausgegeben wird, zu dem der durchzuführende Task geändert wird.
Der Mikroprozessor 1 ist ein multitaskingfähiger Prozessor, der in der Lage ist, eine Vielzahl von Tasks zu verarbeiten, während er ein Schalten unter diesen durchführt. Der Mikroprozessor 1 gibt zusätzlich zu den in dem vorstehend beschriebenen ersten Ausführungsbeispiel beschriebenen Signalen eine Taskzahl 36 aus, die der Betriebsinspektionsschaltung 2 die Zahl der momentanen Tasks in Ausführung mitteilt. Diese Taskzahleingabe wird gegenüber einem Decoder 24 und Multiplexern (MUX) 25, 26 der Betriebsinspektionsschaltung 2 getätigt. Zudem werden Signale (ein Zustandsschaltsignal 32, ein Zustandseingabesignal 33 und ein Taktimpuls 31) gemäß Beschreibung in dem vorstehend beschriebenen ersten Ausführungsbeispiel in die jeweiligen Zustandsautomaten 2a bis 2c eingegeben.
Der Decoder 24 bestimmt abhängig von dem durch den Mikroprozessor 1 ausgeführten Task, welcher Zustandsautomat verwendet wird, um eine Inspektion durchzuführen. Der Multiplexer 25 bestimmt gemäß der Taskzahl in Ausführung, welche der Bestimmungsausgaben, die durch die jeweiligen Zustandsautomaten getätigt wurden, als eine Bestimmungsergebnisausgabe 34 ausgegeben wird. Ebenso bestimmt der Multiplexer 26 gemäß der Taskzahl in Ausführung, welcher der Normalzustände, die durch die jeweiligen Zustandsautomaten bestimmt wurden, als eine Normalzustandsausgabe 35 ausgegeben wird. Auf diese Art und Weise wird durch den Decoder 24 und die Multiplexer 25, 26 geändert, welcher Zustandsauto mat verwendet wird, um den Betrieb des Mikroprozessors 1 zu inspizieren. Das heißt, der Decoder 24 und die Multiplexer 25, 26 entsprechen einer Änderungseinheit der Erfindung.
Gemäß dem Betriebsinspektionssystem dieses Ausführungsbeispiels kann in Fällen, in denen ein Mikroprozessor einen Multitaskbetrieb durchführt, die Inspektion des Betriebs des Mikroprozessors durch Verfolgen des Zustandsübergangs eines jeden Tasks durchgeführt werden.
(Drittes Ausführungsbeispiel)
9 zeigt eine Ansicht des Aufbaus einer Betriebsinspektionsschaltung 2 in einem Betriebsinspektionssystem gemäß einem dritten Ausführungsbeispiel der Erfindung. In diesem Ausführungsbeispiel ist ein Mikroprozessor 1 als ein Prozessor angenommen, der eine Multitaskingverarbeitung durchführt, wie in dem vorstehend beschriebenen zweiten Ausführungsbeispiel. In diesem Ausführungsbeispiel wird lediglich ein Zustandsautomat verwendet. Der Zustandsautomat wird jedoch durch einen rekonfigurierbaren Prozessor implementiert, wie ein FPGA, so dass der Betrieb des Mikroprozessors 1 durch Konfigurieren des FPGA gemäß einem durch den Mikroprozessor 1 ausgeführten Task inspiziert werden kann.
Schaltungsinformationen (Konfigurationsdaten) zum Konfigurieren des Zustandsautomaten auf dem FPGA gemäß eines jeden durch den Mikroprozessor 1 ausgeführten Tasks werden in einem Konfigurationsdatenspeicher 28 gespeichert.
Eine Steuerschaltung 27 bestimmt aus einer Taskzahleingabe, wenn der durch den Mikroprozessor 1 ausgeführte Task geändert wurde. Wird der Task geändert, dann werden die Schaltungsinformationen entsprechend eines geänderten Tasks aus dem Konfigurationsdatenspeicher 28 in den FPGA geladen.
Der Datenspeicher 29 zum Speichern von Registerdaten speichert darin den Wert eines Zustandsregisters 22. Das heißt, der Datenspeicher 29 wird verwendet, um den Wert des Zustandsregisters 22 zu speichern, wenn der durch den Mikroprozessor 1 ausgeführte Task geändert wird, um den Zustandsautomaten umzuschreiben. Schreibt die Steuerschaltung 27 den FPGA um, dann wird zudem der Wert des Zustandsregisters 22 zurückgegeben, der in dem Datenspeicher 29 zum Speichern von Registerdaten gespeichert ist.
Auf diese Art und Weise kann der Zustandsautomat durch einen FPGA implementiert werden, so dass eine erforderliche Schaltungsfläche kleiner gestaltet werden kann.
(Modifizierung)
Die Leistungsfähigkeit des Mikroprozessors 1 kann unter Verwendung des in den vorstehend beschriebenen Ausführungsbeispielen beschriebenen Betriebsinspektionssystems gemessen werden. In diesem Fall wird die Betriebsinspektionsschaltung 2 mit einem Verarbeitungszeitzähler (einer Verarbeitungszeitmesseinheit) versehen, die eine Verarbeitungszeit in jedem Zustand misst. Wird der Zustandsübergang des Mikroprozessors 1 verfolgt, dann misst der Verarbeitungszeitzähler die Aufenthaltszeit eines jeden Zustands durch Zählen von Taktimpulsen und misst die Betriebszeit der Verarbeitung, die in jedem Zustand durchgeführt wird. Dann werden die somit tatsächlich gemessenen Daten der Verarbeitungszeit zu dem Mikroprozessor 1 rückgekoppelt, wodurch der Mikroprozessor gesteuert wird, um dessen Echtzeitleistungsfähigkeit beizubehalten.
Zusammenfassung
Ein Prozessorbetriebsinspektionssystem umfasst einen Prozessor (1) und eine Betriebsinspektionsschaltung (2), die einen Betrieb des Prozessors (1) inspiziert. Wechselt ein Programm in Ausführung von einem vordefinierten Zustand in einen anderen Zustand, dann gibt der Prozessor (1) ein Zustandsschaltsignal (32), das einen Übergang seines Zustands angibt, und ein Zustandssignal (33) aus, das einen momentanen Zustand angibt, zu der Inspektionsschaltung (2) aus. Die Inspektionsschaltung (2) umfasst ein Zustandsregister (22), das den Zustand des Prozessors (1) speichert, eine Kombinationslogikschaltung (21), die gemäß dem gespeicherten Zustand des Prozessors (1) und dem Zustandsschaltsignal (32) einen neuen, durch den Prozessor (1) anzunehmenden Zustand berechnet, und eine Vergleichsschaltung, die den Betrieb des Prozessors (1) durch Vergleichen des berechneten neuen Zustands mit dem als das Zustandssignal (33) eingegebenen Zustand des Prozessors (1) inspiziert.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- JP 2003-150280 [0002, 0006]
- JP 2005-32191 [0003, 0006]
- JP 2003-271412 [0004]

Claims

Prozessorbetriebsinspektionssystem, das einen Prozessor und eine Betriebsinspektionsschaltung umfasst, die einen Betrieb des Prozessors inspiziert, wobei der Prozessor umfasst: eine Zustandsschaltsignalausgabeeinheit, die ein Zustandsschaltsignal, das einen Zustandsübergang angibt, zu der Betriebsinspektionsschaltung zu dem Zeitpunkt eines Übergangs von einem vordefinierten Zustand zu einem anderen Zustand ausgibt; und eine Zustandsausgabeeinheit, die ein Zustandssignal, das einen momentanen Zustand angibt, zu der Betriebsinspektionsschaltung ausgibt; und die Betriebsinspektionsschaltung umfasst: eine Zustandsschaltsignaleingabeeinheit, die eine Eingabe des Zustandsschaltsignals empfängt; eine Zustandssignaleingabeeinheit, die eine Eingabe des Zustandssignals empfängt; eine Zustandsspeichereinheit, die einen Zustand des Prozessors speichert; einer Zustandsberechnungseinheit, die einen neuen, durch den Prozessor anzunehmenden Zustand aus dem in der Zustandsspeichereinheit gespeicherten Zustand des Prozessors und dem Zustandsschaltsignal berechnet; und eine Inspektionseinheit, die den Betrieb des Prozessors durch Anstellen eines Vergleichs zwischen dem neuen, durch den Prozessor anzunehmenden Zustand, der durch die Zustandsberechnungseinheit berechnet wurde, und dem durch die Zustandssignaleingabeeinheit eingegebenen Zustand des Prozessors inspiziert.
Prozessorbetriebsinspektionssystem gemäß Anspruch 1, wobei der Prozessor in der Lage ist, eine Vielzahl von Tasks auszuführen; das Prozessorbetriebsinspektionssystem eine Vielzahl von Betriebsinspektionsschaltungen jeweils entsprechend der Vielzahl von Tasks umfasst; und das Prozessorbetriebsinspektionssystem eine Schalteinheit umfasst, die unter der Vielzahl von Betriebsinspektionsschaltungen gemäß einem durch den Prozessor ausgeführten Task schaltet, so dass eine der Betriebsinspektionsschaltungen zum Inspizieren des Betriebs des Prozessors zu verwenden ist.
Prozessorbetriebsinspektionssystem gemäß Anspruch 1, wobei der Prozessor in der Lage ist, eine Vielzahl von Tasks auszuführen; die Betriebsinspektionsschaltung einen rekonfigurierbaren Prozessor umfasst; die Betriebsinspektionsschaltung eine Schaltungsinformationsspeichereinheit umfasst, die Schaltungsinformationen der Betriebsinspektionsschaltungen jeweils entsprechend der Vielzahl von Tasks speichert; und eine Steuereinheit, die die Schaltungsinformationen entsprechend dem Task in den rekonfigurierbaren Prozessor gemäß einem Task lädt, der durch den Prozessor ausgeführt wird.
Betriebsinspektionsschaltung, die einen Betrieb eines Prozessors inspiziert, mit: einer Zustandsschaltsignaleingabeeinheit, die eine Eingabe eines von dem Prozessor ausgegebenen Zustandsschaltsignals empfängt, das einen Übergang eines Zustands des Prozessors angibt; einer Zustandssignaleingabeeinheit, die eine Eingabe eines von dem Prozessor ausgegebenen Zustandssignals empfängt, das einen momentanen Zustand des Prozessors angibt; einer Zustandsspeichereinheit, die den Zustand des Prozessors speichert; einer Zustandsberechnungseinheit, die einen neuen, durch den Prozessor anzunehmenden Zustand aus dem in der Zustandsspeichereinheit gespeicherten Zustand des Prozessors und dem Zustandsschaltsignal berechnet; und einer Inspektionseinheit, die den Betrieb des Prozessors durch Anstellen eines Vergleichs zwischen dem neuen, durch den Prozessor anzunehmenden Zustand, der durch die Zustandsberechnungseinheit berechnet wurde, und dem durch die Zustandssignaleingabeeinheit eingegebenen Zustand des Prozessors inspiziert.
Betriebsinspektionsschaltung gemäß Anspruch 4, wobei der Prozessor in der Lage ist, eine Vielzahl von Tasks auszuführen; die Betriebsinspektionsschaltung einen rekonfigurierbaren Prozessor umfasst; die Betriebsinspektionsschaltung eine Schaltungsinformationsspeichereinheit umfasst, die Schaltungsinformationen der Betriebsinspektionsschaltungen jeweils entsprechend der Vielzahl von Tasks speichert; und mit einer Steuereinheit, die die Schaltungsinformationen entsprechend dem Task in den rekonfigurierbaren Prozessor gemäß einem Task lädt, der durch den Prozessor ausgeführt wird.