(57)【特許請求の範囲】
【請求項１】
少なくとも１つのアプリケーションを対象とすると共に、コントロールシステムと関連付けられた、少なくとも１つのマイクロコントローラユニットの動作監視方法であって、前記マイクロコントローラユニットのリセットが実行された事実が前記マイクロコントローラユニットに関連付けられた少なくとも１つの監視モジュールへと送信された少なくとも１つの確認信号を用いて承認される動作監視方法において、
前記マイクロコントローラユニットの動作に関して、リセット源情報を用いて異なるリセットの生起の間で区別が行なわれること、および
前記異なるリセットの生起が異なる確認信号を用いて前記監視モジュールに対して承認されること、を特徴とする動作監視方法。
【請求項２】
前記少なくとも１つのアプリケーションは、自動車エレクトロニクス、特にモーター車両のエレクトロニクスにおける少なくとも１つのアプリケーションであることを特徴とする請求項１に記載された動作監視方法。
【請求項３】
少なくとも１つのアプリケーションを対象とする少なくとも１つのマイクロコントローラユニットの動作を監視するベースチップ、特にシステムベースチップであって、前記マイクロコントローラユニットをリセットするために前記マイクロコントローラユニットに接続された少なくとも１つのリセットユニットと、前記マイクロコントローラユニットと関連付けられると共に前記マイクロコントローラユニットのリセットが実行された事実が少なくとも１つの確認信号を用いて承認される少なくとも１つの監視モジュールと、を備えるベースチップにおいて、
前記監視モジュールは少なくとも１つのインタフェースユニットをトリガーとして用いて始動されることが可能であり、
前記監視モジュールへの個別のアクセス間の区別を行なうために異なるリセットの生起が異なるトリガー値によって表示区分されることが可能であり、
前記マイクロコントローラユニットをリセットすることが前記確認信号を用いて一度も承認されなかった場合、および、前記ベースチップが以前にリセットの実行されていない状態で前記確認信号を受信する場合の少なくとも何れかの場合に、特に電力消費が通常動作のときよりも低下するフェールセーフモードに、前記ベースチップが移行することを特徴とするベースチップ。
【請求項４】
異なるリセットの生起を記録するために設けられた少なくとも１つの情報ユニットと、前記マイクロコントローラに接続された少なくとも１つの電源ユニットと、を備えることを特徴とする請求項３に記載されたベースチップ。
【請求項５】
前記監視モジュールと前記マイクロコントローラユニットとの間に、前記確認信号を送信するための少なくとも１つの信号ラインが設けられることを特徴とする請求項３または請求項４に記載されたベースチップ。
【請求項６】
前記少なくとも１つのアプリケーションは、自動車エレクトロニクス、特にモーター車両のエレクトロニクスにおける少なくとも１つのアプリケーションであることを特徴とする請求項３ないし請求項５の何れかに記載されたベースチップ。
【請求項７】
少なくとも１つのアプリケーションを対象とする少なくとも１つのマイクロコントローラユニットと、
請求項３ないし請求項５の何れかに記載されたベースチップと、
を備えると共に、特に制御システムを含むことを特徴とするシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、少なくとも一つのアプリケーションを対象とし、システムと関連付けられた、少なくとも一つのマイクロコントローラユニットの動作を監視する方法に関する。
【０００２】
本発明は、また、少なくとも一つのアプリケーションを対象とする少なくとも一つのマイクロコントローラユニットの動作を監視するベースチップ、特に、システムベースチップ、および、関連したシステム、特に、制御システムに関する。
【背景技術】
【０００３】
制御ユニットにおける最も重要なハードウェア信号の一つはリセット信号であり、このリセット信号の目的はシステム障害の際にアプリケーションハードウェアをリセットすることである。ある種のアプリケーションでは、ハードウェアをリセットするための準備、たとえば、規定の順序付けられた状態のソフトウェアを備えたマイクロコントローラ内でプログラムの一部を開始させるための準備がユーザによって意図的に行われる。
【０００４】
しかし、上記のリセット処理に関する限り、既存のアプリケーションにおいて、マイクロコントローラのリセット処理が実際に行われたかどうか、または、たとえば、マイクロコントローラへのリセットラインに断線があるかどうかについてのフィードバックがない。したがって、従来技術において、リセットラインのこの種の断線を検出することは不可能である。
【０００５】
この点について、既存のシステムチップが備えているいわゆる「ウォッチドッグ」機能でさえも役に立たない。たとえば、システムチップが進行中の動作にリセットをトリガーしたにもかかわらず、当該リセット信号がラインの断線のためマイクロコントローラへ到達しないならば、マイクロコントローラは、単にシステムチップ内で監視モジュール（いわゆる「ウォッチドッグ」ユニット）を動作させ続けるだけであり、ソフトウェアは、この場合には全くリセットがなかったかのよう動き続ける。その結果として、アプリケーションソフトウェアおよび監視モジュールは互いに同期が外れた状態で動き、システムが安全であり、かつ、信頼できることを全く保証できなくなる。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
上記の不都合および欠点を出発点として利用し、概説された従来技術を十分に考慮して、本発明の目的は、最初の段落に記載された種類の方法と、２番目の段落に記載された種類のベースチップをさらに発展させ、リセット機能の障害が確実に検出可能であり、システムに関係した理由によって出されるべき結論を出すことができるようにすることである。
【課題を解決するための手段】
【０００７】
上記の目的は、請求項１に記載された特徴を有する動作監視方法と、請求項３に記載された特徴を有するベースチップとによって達成される。本発明の有利な実施形態および有用な改良点はそれぞれの従属請求項の組に記載されている。
【０００８】
したがって、本発明は、少なくとも一つの監視モジュールが関連付けられたマイクロコントローラに基づき、マイクロコントローラユニットのリセットが行われたという事実が少なくとも一つの確認信号を用いてこの監視モジュールに認識させられ、または、示唆される。
【０００９】
本発明の教示に基づいて、少なくとも一つの監視モジュールをアプリケーションに設け、特に、少なくとも一つのベースチップに、具体的には、少なくとも一つのＳＢＣ（システムベースチップ）に設けることがさらに提案される。本発明によれば、このようにして、リセットハンドシェーク、すなわち、リセット機能のための承認手段を有するシステムチップが存在する。
【００１０】
本発明の好適な一実施形態において、ウォッチドッグ監視モジュールをトリガーするため異なる信号または異なるコードを使用することが提案される。リセットを発生させた履歴に応じて、アプリケーションマイクロコントローラは、そのアプリケーションマイクロコントローラが適切なリセットを行った旨をシステムチップへ確認するため異なる信号または異なるコードを使用しなければならない。
【００１１】
ウォッチドッグユニットへの通常の周期的アクセスは、このように、リセット事象が行われた後［after a reset event has taken place―出来事としてのリセットが生起してしまった後／以下、「リセットの生起」または「生起されたリセット」とする―］のアクセスとは異なる。したがって、たとえば、システムチップがリセット信号をアプリケーションへ伝送するならば、アプリケーションは、特殊な異なる信号またはコードで１回応答しなければならない。アプリケーションがその応答に失敗したならば、アプリケーションへのリセットラインに断線があるか、または、さもなければ、ラインが妨害されていると推定することができる。システムチップは、たとえば、次に、電流消費が低下するフェールセーフモードに入る。
【００１２】
本発明の好適な実施形態において、ウォッチドッグユニットは実際には様々な方法でトリガーすることが可能である。最も簡単な場合、周期的にウォッチドッグユニットへ供給されるパルスを有するハードウェア信号がマイクロコントローラユニットからウォッチドッグユニットへ直接的に利用される。一方、より複雑なシステムチップでは、少なくとも一つのシリアルインタフェースユニットがウォッチドッグタイマをトリガーするため利用される。
【００１３】
トリガー方式の対応とは無関係に、本発明によれば、トリガーの生起の間において［between triggering events］区別がなされることが可能である。ハードウェア信号が使用されるとき、パルスの符号化を利用することが有効である。また、複数のトリガー信号ラインを切り替えることも可能である。シリアルインタフェースを具備したシステムチップの場合に考えられる一つの可能性は、ウォッチドッグアクセス間の区別をするため異なるシリアルワードを使用することである。
【００１４】
本発明によれば、フェールセーフシステムを開発するために必要なすべてのコンポーネントがユーザに公開される。本アプローチの特に有利な点は、ＳＢＣ（システムベースチップ）に組み込まなければならない固定のプリセット自動機能がないため、フレキシビリティがあることである。これは、アプリケーションを最適な形で適応、調整し、ユーザが希望の形でアプリケーションを定義および／または拡大縮小するための安全なスキームを可能にする。
【００１５】
最後に、本発明は、自動車エレクトロニクス、特に、モーター車両のエレクトロニクスにおける、少なくとも一つのアプリケーションを対象とするマイクロコントローラユニットの動作を監視する上記の種類の方法、および／または、少なくとも上記の種類のベースチップの使用に関する。
【００１６】
既に説明したように、本発明の教示は様々な態様で有利に具現化し改良することが可能である。一方で、この点に関して、特に、請求項１と請求項４に従属する請求項を参照することが可能であり、他方で、本発明のさらなる形態、特徴および効果は、図１に示され、以下に記述された一例としての実施形態から明白であり、この実施形態を参照して解明される。
【発明を実施するための最良の形態】
【００１７】
図１に概略的に示されているのは、（ＶＤＤ電源を供給する）電源ユニット３１０、リセットユニット３２０およびＩ／Ｏ（入力／出力）モジュール３３０を有しアプリケーションを対象とするマイクロコントローラユニット３００だけではなく、マイクロコントローラユニット３００の動作を監視するいわゆるＳＢＣ（システムベースチップ）２００を備えたコントロールシステム１００である。
【００１８】
この目的のため、システムチップ２００は、監視モジュール（＝ウォッチドッグユニット）１０を有し、マイクロコントローラユニット３００のリセットが生起された事実が確認信号を用いて監視モジュール１０に認識させられ、これにより、いわゆる「リセットハンドシェーク［reset handshake―リセット応答確認―］」機能を実施することができる。換言すると、リセットコマンドが送出されると、このようにして、図１に示された監視モジュール１０は、断線したリセットライン４２を検出し、記録することが可能である。
【００１９】
この点に関連して、システムチップ２００は、リセットの成功をアプリケーションによって確認できるようにするため、通常の動作とは異なるトリガー信号、または、通常の動作とは異なるトリガーコードをサポートする。その結果として、リセット機能の障害が確実に検出可能であり、特に、アプリケーションシステムのためのリセット信号の受信に成功したかどうかとは無関係に検出可能である。
【００２０】
図１に示された実施形態において、リセットコマンドが送出された後、システムチップ２００に異なるトリガー信号を１回だけ許可させるための対策が施される。リセットが、異なるトリガー信号を用いて１回も承認されなかった場合、または、異なるトリガー信号が先行のリセット無しに受信された場合、システムチップ２００は、アプリケーションによるさらなる障害動作の可能性をあらゆる状況下で防止できるようにするため、フェールセーフ状態へ移行する。
【００２１】
システムチップ２００は異なって生起されたリセットの間で区別がなされることとこのリセットの生起がアプリケーション用のマイクロコントローラ３００に対してアクセスを可能にすることを許可するので、システムチップ２００は、異なるリセットの生起の提供を許可する（リセット源情報のための）情報ユニット２０と、（マイクロコントローラユニット３００のリセットユニット３２０まで達する）コネクション４２によってマイクロコントローラ３００に接続された（リセットシステムのための）リセットユニット４０とを有する。
【００２２】
情報と信号の交換を可能にするため、監視モジュール１０および情報ユニット２０は、前方に（マイクロコントローラユニット３００のＩ／Ｏ（入力／出力）モジュール３３０へ繋がる）インタフェースユニット３０が挿入される。
【００２３】
図１に示された事項から明らかであるように、監視モジュール１０と、コネクション５２によってマイクロコントローラユニット３００に接続されたマイクロコントローラ電源ユニット５０は、少なくとも一つのバッテリユニット４００と常に繋がっている。監視モジュール１０はバッテリ４００から常時電源が供給されるが、マイクロコントローラ電源ユニット５０はスイッチ５４によってオンとオフの切り替えが可能であり、これにより、マイクロコントローラ電源ユニット５０を介して一時的なエネルギー電源をマイクロコントローラユニット３００と繋ぐことが可能である（マイクロコントローラ３００のＶＤＤ電源ユニット３１０に給電する）。
【図面の簡単な説明】
【００２４】
【図１】ベースチップおよびマイクロコントローラユニットを有する本発明によるシステムの一実施形態のブロック図である。
【符号の説明】
【００２５】
１００    システム、特に、制御システム
１０      監視モジュール、特に、ウォッチドッグユニット
１２      監視モジュール１０と情報ユニット２０との間のコネクション
２０      情報ユニット
２４      情報ユニット２０とリセットユニット４０との間のコネクション
３０      インタフェースユニット
３２      インタフェースユニット３０とマイクロコントローラユニット３００との間のコネクション、特に、信号ライン
４０      リセットユニット
４２      リセットユニット４０とマイクロコントローラユニット３００との間のコネクション
５０      電源ユニット
５２      電源ユニット５０とマイクロコントローラユニット３００との間のコネクション
５４      電源ユニット５０のスイッチ
２００      ベースチップ、特に、システムベースチップ
３００      マイクロコントローラユニット、特に、アプリケーションマイクロコントローラ
３１０      マイクロコントローラユニット３００用の電源ユニット
３２０      マイクロコントローラユニット３００用のリセットユニット
３３０      マイクロコントローラユニット３００のＩ／Ｏ（入力／出力）モジュール
４００      バッテリユニット
【図１】
0004261476.tif 000002