(57)【要約】【課題】冗長化された故障検出装置を備えた、簡易な構成で故障検出装置自身の故障を検出できる「処理装置」を提供する。【解決手段】第１故障検出ブロック２１は、所定の状態から第１のレベル以上逸脱したときに本来機能ブロック１の故障を検出し、第２故障検出ブロック２２は、所定の状態から第１のレベルより大きい第２のレベル以上大きく逸脱したときに本来機能ブロック１の故障を検出する。故障処置ブロック２３は、第１故障検出ブロック２１と第２故障検出ブロック２２のいずれかが故障を検出したときに、本来機能ブロック１の故障を処置する処理を実行する。また、故障処置ブロック２３は、故障処置ブロック２３は、第１故障検出ブロック２１が故障を検出することなく、第２故障検出ブロック２２が故障を検出したときに、第１故障検出ブロック２１の故障を検出する。【選択図】図１
2018097697.tif 000002
【特許請求の範囲】
【請求項１】
所定の機能を果たす機能ブロックを備えた処理装置であって、
前記機能ブロックの故障を検出する第１故障検出手段と、
前記機能ブロックの故障を検出する第２故障検出手段と、
故障処置手段とを有し、
前記第１故障検出手段は、前記第２故障検出手段よりも厳しい基準で前記機能ブロックの故障を検出し、
前記第２故障検出手段は、前記第１故障検出手段よりも緩い基準で前記機能ブロックの故障を検出し、
前記故障処置手段は、
前記第１故障検出手段が故障を検出したときに、前記機能ブロックの故障に対処する所定の処理を行い、
前記第１故障検出手段が故障を検出せずに、前記第２故障検出手段が故障を検出したときに、前記機能ブロックの故障に対処する所定の処理を行うと共に、前記第１故障検出手段の故障を検出することを特徴とする処理装置。
【請求項２】
請求項１記載の処理装置であって、
前記第１故障検出手段は、前記機能ブロックの状態の所定の状態からの第１のレベル以上の逸脱を、前記機能ブロックの故障として検出し、
前記第２故障検出手段は、前記機能ブロックの状態の前記所定の状態からの、前記第１のレベルより大きい第２のレベル以上の逸脱を、前記機能ブロックの故障として検出することを特徴とする処理装置。
【請求項３】
請求項１または２記載の処理装置であって、
前記故障処置手段は、前記第１故障検出手段の故障を検出したときに、前記第１故障検出手段の故障に対処する予め定められた処理を行うことを特徴とする処理装置。
【請求項４】
請求項３記載の処理装置であって、
前記故障処置手段は、前記第１故障検出手段の故障に対処する予め定められた処理として、前記第１故障検出手段の故障が発生したことの履歴を保存する処理を行うことを特徴とする処理装置。
【請求項５】
請求項１、２、３または４記載の処理装置であって、
前記機能ブロックは電源を生成する電源装置であって、
前記第１故障検出手段は、前記電源装置の生成する電源の電圧の所定の電圧からの第１のレベル以上の逸脱を、前記電源装置の故障として検出し、
前記第２故障検出手段は、前記電源装置の生成する電源の電圧の所定の電圧からの、前記第１のレベルより大きい第２のレベル以上の逸脱を、前記電源装置の故障として検出することを特徴とする処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、故障を検出する技術に関するものである。
【背景技術】
【０００２】
故障を検出する技術としては、電子機器において当該電子機器本来の機能の少なくとも一部を担うCPUの故障を検出する安全機構が知られている（たとえば、特許文献１）。
ここで、この安全機構は、二つのウオッチドックタイマでそれぞれCPUの故障を検出する冗長構成を備えている。また、この安全機構は、さらに、ウオッチドックタイマを監視する診断回路を各ウオッチドッグタイマに対してそれぞれ設けることにより、個々のウオッチドッグタイマの故障も検出するようにしている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１２-２２３６４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
上述した技術によれば、CPUの故障を検出する故障検出装置であるウオッチドッグタイマの故障も検出できるようになるが、ウオッチドッグタイマ毎に診断回路を設ける必要があるため構成が煩雑化し、このことが、電子機器のコストアップや小型化を妨げる要因となる。
【０００５】
そこで、本発明は、冗長化された故障検出装置を備えた安全機構において、故障検出装置自身の故障の検出を簡易な構成で実現することを課題とする。
ことを課題とする
【課題を解決するための手段】
【０００６】
前記課題達成のために、本発明は、所定の機能を果たす機能ブロックを備えた処理装置に、前記機能ブロックの故障を検出する第１故障検出手段と、前記機能ブロックの故障を検出する第２故障検出手段と、故障処置手段とを備えたものである。ここで、前記第１故障検出手段は、前記第２故障検出手段よりも厳しい基準で前記機能ブロックの故障を検出し、前記第２故障検出手段は、前記第１故障検出手段よりも緩い基準で前記機能ブロックの故障を検出する。そして、前記故障処置手段は、前記第１故障検出手段が故障を検出したときに、前記機能ブロックの故障に対処する所定の処理を行い、前記第１故障検出手段が故障を検出せずに、前記第２故障検出手段が故障を検出したときに、前記機能ブロックの故障に対処する所定の処理を行うと共に、前記第１故障検出手段の故障を検出する。
【０００７】
ここで、このような処理装置は、前記第１故障検出手段において、前記機能ブロックの状態の所定の状態からの第１のレベル以上の逸脱を、前記機能ブロックの故障として検出し、前記第２故障検出手段において、前記機能ブロックの状態の前記所定の状態からの、前記第１のレベルより大きい第２のレベル以上の逸脱を、前記機能ブロックの故障として検出するように構成してもよい。
【０００８】
また、この場合には、前記故障処置手段において、前記第１故障検出手段の故障を検出したときに、前記第１故障検出手段の故障に対処する予め定められた処理を行うようにしてもよい。また、この場合、前記故障処置手段において、前記第１故障検出手段の故障に対処する予め定められた処理として、前記第１故障検出手段の故障が発生したことの履歴を保存する処理を行うようにしてもよい。
【０００９】
また、以上のような処理装置において、前記機能ブロックを、電源を生成する電源装置とし、前記第１故障検出手段において、前記電源装置の生成する電源の電圧の所定の電圧からの第１のレベル以上の逸脱を、前記電源装置の故障として検出し、前記第２故障検出手段において、前記電源装置の生成する電源の電圧の所定の電圧からの、前記第１のレベルより大きい第２のレベル以上の逸脱を、前記電源装置の故障として検出するようにしてもよい。
【００１０】
以上のような処理装置によれば、機能ブロックの故障を検出する構成として、前記第１故障検出手段と前記第２故障検出手段との冗長化された構成を備える処理装置において、第１故障検出手段の故障を検出するための特段の構成を備えることなく、当該第１故障検出手段の故障を検出することができるようになる。
【発明の効果】
【００１１】
以上のように、本発明によれば、冗長化された故障検出装置を備えた安全機構において、故障検出装置自身の故障の検出を簡易な構成で実現することができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の第１実施形態に係る安全機構の構成を示すブロック図である。
【図２】本発明の第１実施形態に係る故障処理を示すフローチャートである。
【図３】本発明の第２実施形態に係る安全機構の構成を示すブロック図である。
【図４】本発明の第２実施形態に係る故障処理を示すフローチャートである。
【図５】本発明の第２実施形態に係る安全機構の動作例を示す図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施形態について説明する。
まず、第１の実施形態について説明する。
図１に本第１実施形態に係る処理装置の構成を示す。
図示するように、本実施形態に係る処理装置は、処理装置本来の機能を遂行する本来機能ブロック１と、本来機能ブロック１の故障の検出や故障の処置を行う安全機構２を備えている。
【００１４】
そして、安全機構２は、本来機能ブロック１の故障を検出する第１故障検出ブロック２１、本来機能ブロック１の故障を検出する第２故障検出ブロック２２、検出された故障に対する、故障発生通知や処理装置の保安動作などの処置を行う故障処置ブロック２３を備えている。
なお、故障とは正常な働きが損なわれていることを指す。
【００１５】
ここで、第１故障検出ブロック２１は、本来機能ブロック１の故障を第２故障検出ブロック２２よりも厳しい基準で検出して故障処置ブロック２３に通知し、第２故障検出ブロック２２は、本来機能ブロック１の故障を第１故障検出ブロック２１よりも緩い基準で検出して故障処置ブロック２３に通知する。
【００１６】
すなわち、たとえば、第１故障検出ブロック２１は、本来機能ブロック１の状態が所定の状態から第１のレベル以上逸脱したときに本来機能ブロック１の故障を検出し、故障を検出している期間中、故障検出信号を故障処置ブロック２３に出力し、第２故障検出ブロック２２は、本来機能ブロック１の状態が所定の状態から第１のレベルより大きい第２のレベル以上大きく逸脱したときに本来機能ブロック１の故障を検出し、故障を検出している期間中、故障検出信号を故障処置ブロック２３に出力する。
【００１７】
したがって、第１故障検出ブロック２１と第２故障検出ブロック２２が正常であるときには、第２故障検出ブロック２２が本来機能ブロック１の故障を検出するときには、それ以前に第１故障検出ブロック２１によって本来機能ブロック１の故障が必ず検出される。
【００１８】
次に、本第１実施形態において故障処置ブロック２３が行う故障処置処理について説明する。
ここで、この故障処置処理は処理装置が起動されると実行が開始され、処理装置の稼働中、その実行が継続される処理である。
図２に、この故障処置処理の手順を示す。
図示するように、故障処置ブロック２３は、故障処置処理において第１故障検出ブロック２１が本来機能ブロック１の故障を検出中であるかどうか（ステップ２０２）と、第２故障検出ブロック２２が本来機能ブロック１の故障を検出中であるかどうか（ステップ２０４）とを監視する。ここで、第１故障検出ブロック２１が本来機能ブロック１の故障を検出中であるかどうかは、第１故障検出ブロック２１が出力する故障検出信号に基づいて識別し、第２故障検出ブロック２２が本来機能ブロック１の故障を検出中であるかどうかは、第２故障検出ブロック２２が出力する故障検出信号に基づいて識別する。
【００１９】
そして、第１故障検出ブロック２１が本来機能ブロック１の故障を検出中であれば（ステップ２０２）、本来機能ブロック１の故障処置処理を開始し（ステップ２０６）、本来機能ブロック１の故障処置処理が終了したならば（ステップ２０８）、ステップ２０２、２０４の監視に戻る。
【００２０】
ここで、本来機能ブロック１の故障処置処理としては、本来機能ブロック１の故障発生の通知や本来機能ブロック１の安全状態化などの処理を行う。
ただし、本来機能ブロック１の故障処置処理として、処理装置のリセットや再起動を含む本来機能ブロック１の安全状態化の処理を行う場合には、本来機能ブロック１の故障処置処理の実行をもって故障処置処理は終了し、処理装置のリセット後や再起動後に故障処置処理の実行が開始される。
【００２１】
一方、第２故障検出ブロック２２が本来機能ブロック１の故障を検出中であれば（ステップ２０４）、現在、第１故障検出ブロック２１が本来機能ブロック１の故障を検出していないこと、すなわち、第２故障検出ブロック２２の本来機能ブロック１の故障の検出前に、第１故障検出ブロック２１の本来機能ブロック１の故障の検出が発生していないことを表しているので、第１故障検出ブロック２１の故障を検出する（ステップ２１０）。
【００２２】
そして、本来機能ブロック１の故障処置処理と第１故障検出ブロック２１の故障処置処理を開始し（ステップ２１２）、両処理が終了したならば（ステップ２１４）、ステップ２０２、２０４の監視に戻る。ただし、本来機能ブロック１の故障処置処理として、処理装置のリセットや再起動を含む本来機能ブロック１の安全状態化の処理を行う場合には、本来機能ブロック１の故障処置処理の実行をもって故障処置処理は終了する。
【００２３】
ここで、第１故障検出ブロック２１の故障処置処理としては、たとえば、第１故障検出ブロック２１の故障の通知や、第１故障検出ブロック２１の故障履歴の保存などを行う。
以上、故障処置ブロック２３が行う故障処置処理について説明した。
このように本第１実施形態によれば、本来機能ブロック１の故障を第１故障検出ブロック２１と第２故障検出ブロック２２による冗長化した故障検出機構で検出する安全機構２において、第１故障検出ブロック２１の故障を検出するための新たな構成を付加することなく第１故障検出ブロック２１の故障も検出することができる。
【００２４】
以下、本発明の第２の実施形態について説明する。
本第２実施形態は、第１実施形態で示した安全機構２を電源装置の安全機構２として適用した場合についてのものである。
図３に、本第２実施形態に係る装置の構成を示す。
図示するように、本第２実施形態に係る処理装置は、電源ＩＣ３１、異常電圧検出ＩＣ３２、マイクロコンピュータ３３、不揮発性メモリ３４、その他の各種デバイス３５を備えている。
【００２５】
また、電源ＩＣ３１は、電源生成ブロック３１１と異常電圧検出ブロック３１２を備えている。
このような構成において、各種デバイス３５とマイクロコンピュータ３３と不揮発性メモリ３４は電源ＩＣ３１の電源生成ブロック３１１が生成した電源Ｖで動作する。
そして、電源ＩＣ３１の異常電圧検出ブロック３１２は、異常電圧検出ＩＣ３２よりも厳しい基準で、電源ＩＣ３１の電源生成ブロック３１１が生成した電源Ｖの過電圧、低電圧の異常を検出し、異常電圧検出ＩＣ３２は電源ＩＣ３１の異常電圧検出ブロック３１２よりも緩い基準で、電源ＩＣ３１の電源生成ブロック３１１が生成した電源Ｖの過電圧、低電圧の異常を検出する。
【００２６】
すなわち、電源ＩＣ３１の異常電圧検出ブロック３１２は、電源生成ブロック３１１が生成した電源Ｖの電圧が所定の設計電源電圧から第１のレベル以上離れているしている期間中、電源Ｖの異常を検出し、電圧異常検出信号ＤＥＴ１をマイクロコンピュータ３３に出力し、異常電圧検出ＩＣ３２は、電源生成ブロック３１１が生成した電源Ｖの電圧が設計電源電圧から第２のレベル以上離れている期間中、電源Ｖの異常を検出し、電圧異常検出信号ＤＥＴ２をマイクロコンピュータ３３に出力する。なお、電源Ｖの電圧の異常は、電源ＩＣ３１の電源生成ブロック３１１の故障を表している。
【００２７】
ここで、第２のレベルは前記第１のレベルより大きく設定されている。すなわち、たとえば、電源生成ブロック３１１が生成する電源Ｖの設計電源電圧5Ｖであれば、異常電圧検出ブロック３１２は、電源Ｖの電圧が4.5Ｖから5.5Ｖの範囲を逸脱したときに電圧異常検出信号ＤＥＴ２をマイクロコンピュータ３３に出力し、異常電圧検出ＩＣ３２は、電源Ｖの電圧が4.3Ｖから5.7Ｖの範囲を逸脱したときに電圧異常検出信号ＤＥＴ２をマイクロコンピュータ３３に出力する。
【００２８】
次に、マイクロコンピュータ３３は、上述した故障処置処理を不揮発性メモリ３４を用いて実行する。
ここで、電源ＩＣ３１の異常電圧検出ブロック３１２、異常電圧検出ＩＣ３２、マイクロコンピュータ３３の故障処置処理を行う部分、不揮発性メモリ３４が、図１の安全機構２に相当する。また、電源ＩＣ３１の異常電圧検出ブロック３１２が、図１の第１故障検出ブロック２１に、異常電圧検出ＩＣ３２が、図１の第２故障検出ブロック２２に相当する。
そして、電源ＩＣ３１の電源生成ブロック３１１、各種デバイス３５、マイクロコンピュータ３３の処理装置の本来の機能達成のための処理を行う部分が、図１の本来機能ブロック１に相当する。
【００２９】
ここで、本第２実施形態においてマイクロコンピュータ３３は、故障処置処理として以下の処理を行う。
図４に、本第２実施形態においてマイクロコンピュータ３３が行う故障処置処理の手順を示す。
図示するように、マイクロコンピュータ３３は故障処置処理において、電源ＩＣ３１の異常電圧検出ブロック３１２が電源生成ブロック３１１から出力される電源Ｖの電圧の異常、すなわち電源生成ブロック３１１の故障を検出中であるかどうかを電圧異常検出信号ＤＥＴ１に基づいて監視すると共に（ステップ４０２）と、異常電圧検出ＩＣ３２が電源生成ブロック３１１から出力される電源Ｖの電圧の異常、すなわち、電源生成ブロック３１１の故障を検出中であるかどうかを電圧異常検出信号ＤＥＴ２に基づいて監視する（ステップ４０４）。
【００３０】
そして、異常電圧検出ブロック３１２が電源生成ブロック３１１から出力される電源Ｖの電圧の異常を検出中であれば（ステップ４０２）、各種デバイス３５やマイクロコンピュータ３３の本来機能のための処理を安全に停止/終了した上で再起動するシャットダウン/再起動処理を行い（ステップ４０６）、故障処置処理を終了する。
【００３１】
一方、異常電圧検出ＩＣ３２が電源生成ブロック３１１から出力される電源Ｖの電圧の異常を検出中であれば（ステップ４０２）、現在、異常電圧検出ブロック３１２が電源Ｖの異常を検出していないこと、すなわち、異常電圧検出ＩＣ３２の電源Ｖの異常の検出前に、異常電圧検出ブロック３１２の電源Ｖの異常の検出が発生していないことを表しているので、異常電圧検出ブロック３１２、電源ＩＣ３１の故障を検出し、不揮発性メモリ３４に異常電圧検出ブロック３１２、電源ＩＣ３１の故障の履歴を登録する（ステップ４０８）。
【００３２】
そして、シャットダウン/再起動処理を行い（ステップ４１０）、故障処置処理を終了する。
以上、マイクロコンピュータ３３が行う故障処置処理について説明した。
なお、異常の故障処置処理において、ステップ４０６、４１０で行うシャットダウン/再起動処理が、第１実施形態における本来機能ブロック１の故障処置処理に相当し、ステップ４０８で行う不揮発性メモリ３４への異常電圧検出ブロック３１２、電源ＩＣ３１の故障の登録が、第１実施形態における第１故障検出ブロック２１の故障処置処理に相当する。
【００３３】
次に、マイクロコンピュータ３３は、処理装置の起動時に、不揮発性メモリ３４に異常電圧検出ブロック３１２、電源ＩＣ３１の故障の履歴が登録されているかどうかを調べ、登録されている場合に、当該故障を通知したり、当該故障の修理を勧告するメッセージを出力する処理も行う。
【００３４】
以下、以上のような処理装置の動作例を図５ａ、ｂに示す。
図５ａ、ｂは、電源ＩＣ３１の電源Ｖの設計電源電圧5Vであり、電源ＩＣ３１の異常電圧検出ブロック３１２が、電源Ｖの電圧が4.5Ｖから5.5Ｖの範囲を逸脱したときに電圧異常検出信号ＤＥＴ２をマイクロコンピュータ３３に出力し、異常電圧検出ＩＣ３２が、電源Ｖの電圧が4.3Ｖから5.7Ｖの範囲を逸脱したときに電圧異常検出信号ＤＥＴ２をマイクロコンピュータ３３に出力する場合についてのものである。
【００３５】
さて、電源ＩＣ３１の異常電圧検出ブロック３１２が正常である場合には、図５ａに示すように、電源ＩＣ３１の電源生成ブロック３１１が生成する電源Ｖの電圧が正常な電圧から降下していき、時刻ｔ１において4.5Ｖまで降下すると、異常電圧検出ブロック３１２から異常電圧検出信号ＤＥＴ１がマイクロコンピュータ３３に出力され、異常電圧検出信号ＤＥＴ１に応答して、マイクロコンピュータ３３によって処理装置のシャットダウン/再起動処理が実行される。また、シャットダウン/再起動処理の終了前に、時刻ｔ２において、電源Ｖの電圧が4.3Ｖまで降下すると、異常電圧検出ＩＣ３２によって異常電圧検出信号ＤＥＴ２がマイクロコンピュータ３３に出力されることとなる。
【００３６】
一方、電源ＩＣ３１の異常電圧検出ブロック３１２が故障している場合には、図５ｂに示すように、電源ＩＣ３１の電源生成ブロック３１１が生成する電源Ｖの電圧が正常な電圧から降下していき、時刻ｔ１において4.5Ｖまで降下しても、異常電圧検出ブロック３１２から異常電圧検出信号ＤＥＴ１がマイクロコンピュータ３３に出力されない。そして、その後、時刻ｔ２において、電源Ｖの電圧が4.3Ｖまで降下したときに、異常電圧検出ＩＣ３２によって異常電圧検出信号ＤＥＴ２がマイクロコンピュータ３３に出力されることとなる。そして、異常電圧検出信号ＤＥＴ２に応答して、マイクロコンピュータ３３によって、異常電圧検出ブロック３１２の故障の検出と、不揮発性メモリ３４への異常電圧検出ブロック３１２、電源ＩＣ３１の故障の履歴の登録と、シャットダウン/再起動処理が実行される。
【００３７】
以上、本発明の第２の実施形態について説明した。
さて、上述した第１実施形態は、第２実施形態で示したように電源装置の安全機構２以外にも、種々の本来機能ブロック１の安全機構２に適用することができる。たとえば、ウオッチドックタイマが故障検出に用いられるCPUのように、所定のイベントの発生時間間隔の基準時間の超過によって故障が検出される本来機能ブロック１に適用する場合には、第１故障検出ブロック２１でイベントの発生時間間隔の第１の基準時間の超過を検出し、第１故障検出ブロック２１でイベントの発生時間間隔の、第１の基準時間よりも長い第２の基準時間の超過を検出するようにすればよい。また、本来機能ブロック１の状態を表す任意の量の超過/不足に基づいて本来機能ブロック１の故障が検出される本来機能ブロック１に適用する場合には、第１故障検出ブロック２１で当該量の絶対値の第１のしきい値よりの超過/不足を、第２故障検出ブロック２２で当該量の第１のしきい値より大きい第２のしきい値よりの超過/不足を検出するようにすればよい。
【符号の説明】
【００３８】
１…本来機能ブロック、２…安全機構、２１…第１故障検出ブロック、２２…第２故障検出ブロック、２３…故障処置ブロック、３１…電源ＩＣ、３２…異常電圧検出ＩＣ、３３…マイクロコンピュータ、３４…不揮発性メモリ、３５…種デバイス、３１１…電源生成ブロック、３１２…異常電圧検出ブロック。
【図１】
2018097697.tif 000003
【図２】
2018097697.tif 000004
【図３】
2018097697.tif 000005
【図４】
2018097697.tif 000006
【図５】
2018097697.tif 000007