(57)【要約】少なくとも一つのアプリケーションを対象とし、システム１００と関連付けられた、少なくとも一つのマイクロコントローラの動作を監視する方法およびベースチップ２００をさらに発展させて、リセット機能の障害が確実に検出可能であり、システムに関係した理由によって出されるべき結論を出すことができるようにする。この目的のため、マイクロコントローラユニット３００が少なくとも一つの監視モジュール１０と関連付けられ、  マイクロコントローラユニット３００のリセットが行われた事実が少なくとも一つの確認信号を用いて監視モジュールに認識される。
2005529403.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも一つのアプリケーションを対象とし、システムと関連付けられた、少なくとも一つのマイクロコントローラの動作を監視する方法であって、
前記マイクロコントローラユニットが少なくとも一つの監視モジュールと関連付けられ、
前記マイクロコントローラユニットのリセットが行われた事実が少なくとも一つの確認信号を用いて前記監視モジュールに認識される、
方法。
【請求項２】
前記確認信号が前記マイクロコントローラユニットの通常の動作とは異なる少なくとも一つのトリガー信号またはトリガーコードにより形成され、および／または、
前記確認信号が前記監視モジュールによって１回だけ許可される、
請求項１に記載の方法。
【請求項３】
前記マイクロコントローラユニットの動作に関して、異なるリセット事象間の区別が行われ、
これらの異なるリセット事象が、異なる確認信号を用いて前記監視モジュールに認識される、
請求項１または２に記載の方法。
【請求項４】
少なくとも一つのアプリケーションを対象とする少なくとも一つのマイクロコントローラの動作を監視するベースチップ、特に、システムベースチップであって、
前記マイクロコントローラユニットをリセットするための、前記マイクロコントローラユニットに接続された少なくとも一つのリセットユニットと、
前記マイクロコントローラユニットと関連付けられ、前記マイクロコントローラユニットのリセットが行われた事実が少なくとも一つの確認信号を用いて認識させられる、少なくとも一つの監視モジュールと、
を備えたベースチップ。
【請求項５】
異なるリセット事象を可能にさせるため少なくとも一つの情報ユニットが設けられ、
少なくとも一つの電源ユニットが前記マイクロコントローラユニットに接続される、
請求項４に記載のベースチップ。
【請求項６】
少なくとも一つのインタフェースユニットを介して前記監視モジュールをトリガーすることが可能であり、
前記監視モジュールへの個別のアクセス間の区別を行うため、異なるリセット事象を異なるトリガー値によってマークすることが可能である、
請求項４または５に記載のベースチップ。
【請求項７】
前記マイクロコントローラユニットのリセット処理が前記確認信号を用いて一度も認識されなかった場合に、および／または、
当該ベースチップが以前にリセットが行われていない状態で前記確認信号を受信する場合に、
特に電流消費が通常動作のときよりも低下するフェールセーフモードに移行する、請求項４から６のいずれか一項に記載のベースチップ。
【請求項８】
前記監視モジュールと前記マイクロコントローラユニットとの間に、前記確認信号、特に、前記マイクロコントローラユニットの通常の動作とは異なる前記トリガー信号またはトリガーコードを伝送する少なくとも一つの信号ラインが設けられる、請求項４から７のいずれか一項に記載のベースチップ。
【請求項９】
少なくとも一つのアプリケーションを対象とする少なくとも一つのマイクロコントローラユニットと、
請求項４から８のいずれか一項に記載の少なくとも一つのベースチップと、
を備えたシステム、特に、制御システム。
【請求項１０】
自動車エレクトロニクス、特に、モーター車両のエレクトロニクスにおける少なくとも一つのアプリケーションを対象とする少なくとも一つのマイクロコントローラユニットの動作を監視する、請求項１から３のいずれか一項に記載の方法、および／または、請求項４から８のいずれか一項に記載の少なくとも一つのベースチップ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、少なくとも一つのアプリケーションを対象とし、システムと関連付けられた、少なくとも一つのマイクロコントローラユニットの動作を監視する方法に関する。
【０００２】
本発明は、また、少なくとも一つのアプリケーションを対象とする少なくとも一つのマイクロコントローラユニットの動作を監視するベースチップ、特に、システムベースチップ、および、関連したシステム、特に、制御システムに関する。
【背景技術】
【０００３】
制御ユニットにおける最も重要なハードウェア信号の一つはリセット信号であり、このリセット信号の目的はシステム障害の際にアプリケーションハードウェアをリセットすることである。ある種のアプリケーションでは、ハードウェアをリセットするための準備、たとえば、規定の順序付けられた状態のソフトウェアを備えたマイクロコントローラ内でプログラムの一部を開始させるための準備がユーザによって意図的に行われる。
【０００４】
しかし、上記のリセット処理に関する限り、既存のアプリケーションにおいて、マイクロコントローラのリセット処理が実際に行われたかどうか、または、たとえば、マイクロコントローラへのリセットラインに断線があるかどうかについてのフィードバックがない。したがって、従来技術において、リセットラインのこの種の断線を検出することは不可能である。
【０００５】
この点について、既存のシステムチップが備えているいわゆる「ウォッチドッグ」機能でさえも役に立たない。たとえば、システムチップが進行中の動作にリセットをトリガーしたにもかかわらず、当該リセット信号がラインの断線のためマイクロコントローラへ到達しないならば、マイクロコントローラは、単にシステムチップ内で監視モジュール（いわゆる「ウォッチドッグ」ユニット）を動作させ続けるだけであり、ソフトウェアは、この場合には全くリセットがなかったかのよう動き続ける。その結果として、アプリケーションソフトウェアおよび監視モジュールは互いに同期が外れた状態で動き、システムが安全であり、かつ、信頼できることを全く保証できなくなる。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上記の不都合および欠点を出発点として利用し、概説された従来技術を十分に考慮して、本発明の目的は、最初の段落に記載された種類の方法と、２番目の段落に記載された種類のベースチップをさらに発展させ、リセット機能の障害が確実に検出可能であり、システムに関係した理由によって出されるべき結論を出すことができるようにすることである。
【課題を解決するための手段】
【０００７】
上記の目的は、請求項１に記載された特徴を有する方法と、請求項４に記載された特徴を有するベースチップとによって達成される。本発明の有利な実施形態および有用な改良点はそれぞれの従属請求項の組に記載されている。
【０００８】
したがって、本発明は、少なくとも一つの監視モジュールが関連付けられたマイクロコントローラに基づき、マイクロコントローラユニットのリセットが行われたという事実が少なくとも一つの確認信号を用いてこの監視モジュールに認識させられ、または、示唆される。
【０００９】
本発明の教示に基づいて、少なくとも一つの監視モジュールをアプリケーションに設け、特に、少なくとも一つのベースチップに、具体的には、少なくとも一つのＳＢＣ（システムベースチップ）に設けることがさらに提案される。本発明によれば、このようにして、リセットハンドシェーク、すなわち、リセット機能のための承認手段を有するシステムチップが存在する。
【００１０】
本発明の好適な一実施形態において、ウォッチドッグ監視モジュールをトリガーするため異なる信号または異なるコードを使用することが提案される。リセットを発生させた履歴に応じて、アプリケーションマイクロコントローラは、そのアプリケーションマイクロコントローラが適切なリセットを行った旨をシステムチップへ確認するため異なる信号または異なるコードを使用しなければならない。
【００１１】
ウォッチドッグユニットへの通常の周期的アクセスは、かくして、リセット事象が行われた後のアクセスとは異なる。したがって、たとえば、システムチップがリセット信号をアプリケーションへ伝送するならば、アプリケーションは、特殊な異なる信号またはコードで１回応答しなければならない。アプリケーションがその応答に失敗したならば、アプリケーションへのリセットラインに断線があるか、または、さもなければ、ラインが妨害されていると推定することができる。システムチップは、たとえば、次に、電流消費が低下するフェールセーフモードに入る。
【００１２】
本発明の好適な実施形態において、ウォッチドッグユニットは実際には様々な方法でトリガーすることが可能である。最も簡単な場合、周期的にウォッチドッグユニットへ供給されるパルスを有するハードウェア信号がマイクロコントローラユニットからウォッチドッグユニットへ直接的に利用される。一方、より複雑なシステムチップでは、少なくとも一つのシリアルインタフェースユニットがウォッチドッグタイマをトリガーするため利用される。
【００１３】
トリガー方式のタイプとは無関係に、本発明によれば、トリガー事象を区別することが可能である。ハードウェア信号が使用されるとき、パルスの符号化を利用することが有効である。また、複数のトリガー信号ラインを切り替えることも可能である。シリアルインタフェースを具備したシステムチップの場合に考えられる一つの可能性は、ウォッチドッグアクセス間の区別をするため異なるシリアルワードを使用することである。
【００１４】
本発明によれば、フェールセーフシステムを開発するために必要なすべてのコンポーネントがユーザに公開される。本アプローチの特に有利な点は、ＳＢＣ（システムベースチップ）に組み込まなければならない固定のプリセット自動機能がないため、フレキシビリティがあることである。これは、アプリケーションを最適な形で適応、調整し、ユーザが希望の形でアプリケーションを定義および／または拡大縮小するための安全なスキームを可能にする。
【００１５】
最後に、本発明は、自動車エレクトロニクス、特に、モーター車両のエレクトロニクスにおける、少なくとも一つのアプリケーションを対象とするマイクロコントローラユニットの動作を監視する上記の種類の方法、および／または、少なくとも上記の種類のベースチップの使用に関する。
【００１６】
既に説明したように、本発明の教示は様々な態様で有利に具現化し改良することが可能である。一方で、この点に関して、特に、請求項１と請求項４に従属する請求項を参照することが可能であり、他方で、本発明のさらなる形態、特徴および効果は、図１に示され、以下に記述された一例としての実施形態から明白であり、この実施形態を参照して解明される。
【発明を実施するための最良の形態】
【００１７】
図１に概略的に示されているのは、（ＶＤＤ電源を供給する）電源ユニット３１０、リセットユニット３２０およびＩ／Ｏ（入力／出力）モジュール３３０を有しアプリケーションを対象とするマイクロコントローラユニット３００だけではなく、マイクロコントローラユニット３００の動作を監視するいわゆるＳＢＣ（システムベースチップ）２００を備えたコントロールシステム１００である。
【００１８】
この目的のため、システムチップ２００は、特に、監視モジュール（＝ウォッチドッグユニット）１０を有し、マイクロコントローラユニット３００のリセットが行われた事実が確認信号を用いてこの監視モジュールに認識させられ、これにより、いわゆる「リセットハンドシェーク」機能を実施することができる。換言すると、リセットコマンドが送出されると、ウォッチドッグユニット１０は、アプリケーションからリセット事象の確認情報を受信し、このようにして、図１に示された監視モジュール１０は、断線したリセットライン４２を検出し、記録することが可能である。
【００１９】
この点に関連して、システムチップ２００は、リセットの成功をアプリケーションによって確認できるようにするため、通常の動作とは異なるトリガー信号、または、通常の動作とは異なるトリガーコードをサポートする。その結果として、リセット機能の障害が確実に検出可能であり、特に、アプリケーションシステムのためのリセット信号の受信に成功したかどうかとは無関係に検出可能である。
【００２０】
図１に示された実施形態において、リセットコマンドが送出された後、システムチップ２００に異なるトリガー信号を１回だけ許可させるための対策が施される。リセットが、異なるトリガー信号を用いて１回も承認されなかった場合、または、異なるトリガー信号が先行のリセット無しに受信された場合、システムチップ２００は、アプリケーションによるさらなる障害動作の可能性をあらゆる状況下で防止できるようにするため、フェールセーフ状態へ移行する。
【００２１】
システムチップ２００は異なるリセット事象間の区別を行い、アプリケーションマイクロコントローラ３００から事象にアクセスすることを許可するので、システムチップ２００は、異なるリセット事象を提供することを可能にする（リセット源情報のための）情報ユニット２０と、（マイクロコントローラユニット３００のリセットユニット３２０まで達する）コネクション４２によってマイクロコントローラユニット３００へ接続された（リセットシステムのための）リセットユニット４０とを有する。
【００２２】
情報と信号の交換を可能にするため、監視モジュール１０および情報ユニット２０は、前方に（マイクロコントローラユニット３００のＩ／Ｏ（入力／出力）モジュール３３０へ繋がる）インタフェースユニット３０が挿入される。
【００２３】
図１に示された事項から明らかであるように、監視モジュール１０と、コネクション５２によってマイクロコントローラユニット３００に接続されたマイクロコントローラ電源ユニット５０は、少なくとも一つのバッテリユニット４００と常に繋がっている。監視モジュール１０はバッテリ４００から常時電源が供給されるが、マイクロコントローラ電源ユニット５０はスイッチ５４によってオンとオフの切り替えが可能であり、これにより、マイクロコントローラ電源ユニット５０を介して一時的なエネルギー電源をマイクロコントローラユニット３００と繋ぐことが可能である（マイクロコントローラ３００のＶＤＤ電源ユニット３１０に給電する）。
【図面の簡単な説明】
【００２４】
【図１】ベースチップおよびマイクロコントローラユニットを有する本発明によるシステムの一実施形態のブロック図である。
【符号の説明】
【００２５】
１００    システム、特に、制御システム
１０      監視モジュール、特に、ウォッチドッグユニット
１２      監視モジュール１０と情報ユニット２０との間のコネクション
２０      情報ユニット
２４      情報ユニット２０とリセットユニット４０との間のコネクション
３０      インタフェースユニット
３２      インタフェースユニット３０とマイクロコントローラユニット３００との間のコネクション、特に、信号ライン
４０      リセットユニット
４２      リセットユニット４０とマイクロコントローラユニット３００との間のコネクション
５０      電源ユニット
５２      電源ユニット５０とマイクロコントローラユニット３００との間のコネクション
５４      電源ユニット５０のスイッチ
２００      ベースチップ、特に、システムベースチップ
３００      マイクロコントローラユニット、特に、アプリケーションマイクロコントローラ
３１０      マイクロコントローラユニット３００用の電源ユニット
３２０      マイクロコントローラユニット３００用のリセットユニット
３３０      マイクロコントローラユニット３００のＩ／Ｏ（入力／出力）モジュール
４００      バッテリユニット
【図１】
2005529403.tif 000003
【国際調査報告】
2005529403.tif 000004
2005529403.tif 000005
2005529403.tif 000006