CN102209960B - 用于控制在功能计算机和监控模块之间通信的方法和系统 - Google Patents

Abstract

为了在用于通过监控模块来监控功能计算机的监控系统中能够降低错误反应时间，其中该功能计算机可以通过一个接口模块与该总线系统相连接，并且其中由该功能计算机开始一个控制周期，在该控制周期内在该功能计算机与该接口模块之间进行通信，推荐，在该控制周期中检验当前的控制状态，并检验该接口模块（4）是否处理指令，并且如果所述检验得出该接口模块（4）当前不处理指令并且当前的控制状态对应于一个第一状态值，那么就把控制状态设置为一个第二状态值，并在经过一个可预先给定的第一时间段之后开始一个新的控制周期；如果该接口模块（4）当前不处理指令，并且所述控制处于该第二状态中，那么就提供一个应答以通过该总线系统（5）来传输，促使该接口模块（4）传输该应答，并在经过一个可预先给定的第二时间段之后重新开始该控制周期；如果该接口模块（4）当前在处理指令，那么在经过一个可预先给定的第三时间段之后重新开始该控制周期。

Description

用于控制在功能计算机和监控模块之间通信的方法和系统

现有技术

本发明涉及用于控制在功能计算机与监控模块之间通过总线系统的通信的方法和系统，其中该功能计算机可以通过接口模块与该总线系统相连接，并且其中由该功能计算机来启动控制周期，在该控制周期内在该功能计算机与该接口模块之间进行通信。

为了能够识别功能计算机、比如一种所谓的嵌入式系统的错误功能，并为了能够尽可能可靠地再制造所定义的状态，尤其在安全关键的应用中，已知的是设置监控模块。该监控模块比如被称为看门狗，并实现了与该功能计算机的一种询问-应答通信。在此该监控模块周期地发送随机选择的或生成的询问至该功能计算机，该功能计算机由此必须在一个预先给定的时间段内把所期待的应答发送返回至该监控模块。如果该应答与所期待的应答不相对应，那么就输出该功能计算机的错误功能。不期待的应答在此可以是内容不正确的应答，或者在错误的时间点传输到该监控模块的应答。

通过如下方式来实现尤其高的可靠性，即通过该功能计算机来监控该监控模块。为此该功能计算机在固定预先给定的或随机的时间点发送其内容与所期待的内容不相对应的应答或者没有在所期待的时间点被传输到该监控模块的应答。如果该监控模块确定在该功能计算机中的错误，那么其就被显示于该监控模块的一个错误计数器中。在该功能计算机中也可以设置错误计数器，借助该错误计数器来标记在该监控模块中所识别的错误。如果该功能计算机故意把一个不期待的应答发送至该监控模块，并且在该监控模块中的错误计数器不变化，那么该功能计算机就可以推断在该监控模块中的错误功能。为此该功能计算机需要访问该监控模块的错误计数器，这比如如此来进行，即在从该监控模块到该功能计算机的通信期间随着询问来一同传输该错误计数器的当前状态。

为了实现询问-应答通信，经常采用一种总线系统比如所谓的串行外围接口（SPI）总线，其中该功能计算机作为主机并且该监控模块作为从机连接到该总线系统。另外还可以设置其他的外围组件，这些外围组件同样作为从机而连接到该总线系统。该功能计算机通常借助一个接口模块连接到该总线系统，其中该接口模块实现了通过该总线系统对数据的发送和接收、或者应答的发送和询问的接收。

在已公开的用于通信控制的系统中，该功能计算机以周期的间隔、比如为两毫秒来访问该接口模块。这种接口模块通常作为所谓的双端口RAM来构造，其不仅可以由该功能计算机、而且可以由该总线系统来读和写。为此该接口模块具有三个存储区域：一个第一存储区域设置用于由该总线系统所接收的数据、也即比如该监控模块的询问。一个第二存储区域设置用于由该功能计算机通过该总线系统要发送的数据、也即比如要传输到该监控模块的应答。在一个第三存储区域中可以存储来自该功能计算机的控制命令，其中这些控制命令实现了通过该功能计算机对该接口模块的控制。在该第三存储区域中所存储的命令可以作为所谓的队列来解释，其中该队列包含有由该接口模块来处理的命令或指令。

在已公开的接口模块中，该功能计算机周期地把发送数据写入到该第二存储区域中，并把发送命令写入到该第三存储区域中。接着该功能计算机促使通过该接口模块来处理在该第三存储区域中的指令。为此比如该队列通过该功能计算机而被激活。如果该队列被激活，那么该接口模块就自动地处理其中所包含的命令和指令。按照该总线系统的传输速度、在队列中指令的数量以及该接口模块的处理速度，一个队列的处理持续几百微秒。在该应答被传输到该监控模块之后，该监控模块发送一个新的询问，该询问被存储在该接口模块的第一存储区域中。然后该询问可以从那里由该功能计算机来提取。

在所公开的通信系统中，该功能计算机比如以两毫秒的间隔来调用函数以读出在该接口模块中的第一存储区域。接着该功能计算机计算一个应答，等待所期待的时间窗（其中在该时间窗中该应答必须被传输到该监控模块），把该应答数据写入到该第二存储区域中，并激活该队列。

这种被监控的功能计算机比如被应用于用于控制和调节机动车运行的控制设备中。在此必须保证功能计算机的错误功能被如此快速地识别，使得能够可靠地避免错误的力矩构建、也即避免由于故障的功能计算机而造成的不期望的加速。在利用内燃机驱动的机动车中，如果错误功能在从四百到五百毫秒之内能够被识别并且比如能够通过控制设备来导入该功能计算机重启，那么这通常是足够了。

但是借助混合驱动或单纯电驱动来驱动的机动车实现了明显更快速的转矩构建。因此在此必须保证大大缩短的错误反应时间比如五十至七十毫秒，以可靠地避免汽车由于在功能计算机中的错误而比如不期望地从静止状态被移动出去太远。如果询问-应答通信显示出错误，如果在该控制设备中用于功率控制的末级在比如五十至七十毫秒内被断开，那么这才能够被保证。

当今所使用的监控模块比如看门狗芯片CY310、CY315、CY317、CY320具有错误计数器，错误计数器具有为五的一个所谓错误阈值。这意味着，如果在该监控模块中的错误计数器达到值五，那么才由机动车中的监控模块来断开该末级。

本发明的任务是，在用于监控功能计算机的监控系统中通过一种监控模块来实现错误反应时间的降低。尤其应当能够缩短反应时间，而不需要改变已公开的或已有的监控模块。

本发明的公开

该任务通过前述种类的一种方法如此而得到解决，即在由该功能计算机所开始的控制周期中检验当前的控制状态，以及该接口模块当前处理比如存储在该接口模块的第三存储区域中的指令。如果所述检验得出该接口模块当前没有处理指令，并且如果当前的控制状态对应于第一状态值，那么控制状态就被设置为第二状态值，并在可预先给定的第一时间段之后开始新的控制周期。该第一状态值比如表明了该接口模块当前处于如下状态中：在该状态中它可以从该总线系统来接受数据，并尤其可以从该监控模块接收应答，或者已经接收了应答。该第二状态表明该控制现在处于如下运行模式中：在该模式中应当进行从该功能计算机向该监控模块的应答的发送。

如果在所述检验中确定该接口模块当前没有处理指令，并且所述控制处于该第二状态中，那么就提供应答用于通过该总线系统向该监控模块进行传输。另外还促使该接口模块来传输该应答，并在一个可预先给定的第二时间段之后重新开始该控制周期。

相反，如果所述检验得出该接口模块当前处理指令，那么在经过一个可预先给定的第三时间段之后就重新开始该控制周期。

通过上述的检验以及由此所产生的情况差别，能够仅以最小的延迟来实现在该功能计算机与该监控模块之间的通信。这通过如下方式来实现，即根据当前的控制状态或者该接口模块的状态来决定直至重新开始控制周期、或者直至应该通过该功能计算机来进行对该接口模块的重新访问应该等待多久。

所述的控制状态可以有利地借助状态变量而被存储，其中该状态变量的值至少在确定相应的时间段之前就被查询。这样的状态变量比如也可以借助一个唯一的比特来实现，这一方面实现了尤其快速的状态查询，另一方面实现了微小的存储空间要求。

有利地在一个控制周期中首先确定当前的控制状态，并然后检验该接口模块当前是否处理指令。由此实现了对该接口模块的略微延迟的访问，在此期间该接口模块可能已经结束了对该指令队列的处理。

根据一个优选的实施方式，在该控制周期中还检验在该接口模块的一个第一存储区域中所存储的消息是否已经被读出。如果在该控制周期中确定当前的控制状态对应于该第一状态值，那么就至少进行所述检验。如果在该优选的实施方式中确定该消息已经被读出，那么该控制状态就被设置为第二状态值，并在经过该第一时间段之后开始新的控制周期。但是如果该消息还没有被读出，并且该接口模块当前没有处理指令，那么就促使从该第一存储区域中读出该消息。在该实施方式中，从而还考虑了如下的时间：该功能计算机需要该时间以读出在该接口模块中当前由该监控模块所接收的询问。在此尤其还考虑的是，在该询问已经通过该功能计算机从该接口模块中读出并且该控制还处于第一状态中之后，该接口模块不能处理指令，这是因为：总是当数据从该功能计算机传输到该监控模块时，才进行该队列的激活，并从而进行指令的处理。但是只要该接口模块已经把询问传送到该功能计算机，而该功能计算机还没有促使该接口模块传输应答，那么就不通过该接口模块来进行指令的处理。

优选地由该功能计算机在该第二时间段期间来生成针对由该监控模块所获得消息的应答消息。从而该第二时间段对应于该功能计算机为生成该应答所需的最小的、平均的或最大的时间。

优选地该第一时间段在从五至十毫秒的范围中来选择，该第二时间段在从一至二毫秒的范围中来选择，该第三时间段在从一百至一千微秒的范围中来选择。这能够在采用已知的监控模块的情况下也达到尤其短的反应时间，并仍旧不会使该功能计算机在通信的控制花费方面承担负担。

根据一个尤其优选的实施式，根据该监控模块是否应当由该功能计算机来检验而改变该第一时间段。如果是这种情况，那么就通过该功能计算机比如确定在错误时间点的应答。这再次意味着，应当更早或更晚地进行消息的发送，这可以尤其有利地通过改变该第一时间段来实现。

在本发明方法的另一优选的实施方式中，分配给该功能计算机的错误计数器以及分配给该监控模块的错误计数器被分析，并且如果所述错误计数器的和达到或超过可预先给定的值，那么它就去激活分配给该功能计算机的功能模块。

该任务还通过上述种类的用于控制在功能计算机与监控模块之间通信的系统而得到解决，其中该系统设置用于实施根据本发明的方法。

在附图中示出了本发明的其他实施方式和特征。其中：

图1示出了一个控制设备的示意性示图，其中设置有功能计算机，该功能计算机可以由监控模块借助本发明的方法来监控；以及

图2借助流程图示出了本发明方法的一个实施方式的示意性示图。

在图1中示出了一个控制设备1，其具有功能计算机2和监控模块3。给该功能计算机2分配了接口模块4，该接口模块借助总线系统5与该监控模块3相连接。该功能计算机2比如是嵌入式系统，其设置用于实施一个或多个功能。该监控模块3比如是所谓的看门狗。在该接口模块4中设置有第一存储区域6、第二存储区域7和第三存储区域8。该第一存储区域设置用于中间存储由该监控模块3通过该总线系统5传输到该功能计算机2的询问。该第二存储区域7设置用于中间存储应该由该功能计算机2通过该总线系统5传输到该监控模块3的应答。在该第三存储区域8中存储来自该功能计算机2的、能够控制该监控模块4的工作方式的指令。

该总线系统5比如作为SPI总线来构造，其实现了按照所谓主-从原理的同步串行数据通信。该总线系统5在此可以通过三个导线来实现，每个用户都连接到其上，其中一个导线设置用于从该功能计算机到该监控模块的通信，一个导线设置用于从该监控模块到该功能计算机的通信，一个导线设置用于串行时间发生器。显然该总线系统5也可以借助其他已知的多种总线系统来实现。

在该监控模块3中设置有第一错误计数器9，在该功能计算机2中设置有第二错误计数器10。错误计数器9、10比如是二进制计数器，值可以是从零到五。如果该监控模块3确定从该功能计算机2传输到该监控模块3的应答与所期待的应答不相对应，也即比如没有在所期待的时间窗中被传输，或者不具有所期待的内容，那么该监控模块3就促使增加该第一错误计数器9。如果该第一错误计数器9到达一个预先确定的值，那么该监控模块3就促使比如该功能计算机2的复位和/或末级的去激活（在图1中未示出）。

该功能计算机2不时地向该监控模块3传输其内容与所期待的内容不相对应的应答，或者该功能计算机2没有在所期待的时间点来发送应答。那么如果该功能计算机确定该第一错误计数器9没有被该监控模块3增加，那么该功能计算机2就推断在该监控模块3中有错误，并增加该第二错误计数器10。如果该第二错误计数器10达到一个可预先给定的阈值，那么其同样可以促使该末级的去激活和/或该总线系统和/或该监控模块3的复位。显然也可以考虑其他多种错误处理可能性，并且是市场上已知的。

在图1中示例示出的控制设备1上可以实施本发明的根据如图2所示的第一实施方式的方法。该方法开始于一个步骤100，在该步骤中激活通信控制。这比如可以在该控制设备1的初始化阶段的末尾来进行，其中该初始化阶段比如再次在机动车开动时被实施。在该步骤100中该监控模块3也被初始化。

在步骤101中开始一个控制周期。这比如可以在该初始化阶段之后通过所谓的Alarm-Task（报警任务）来进行。在步骤102中检验当前的通信控制状态。如果该检验得出该状态对应于第一状态值，那么就分支到步骤103。如果当前的状态不对应于该第一状态值，并尤其如果当前的状态对应于第二状态值，那么就分支到步骤109。该第一状态在此表明：在当前的控制周期中该通信控制的进一步处理基于：应当被处理并尤其应当被应答的询问已经从该监控模块3传输到该功能计算机2了。如果该通信控制处于该第二状态中，那么这就意味着，应答已经被计算或者当前被计算，并且该应答——如果可以——应当从该功能计算机2借助该接口模块4传输到该监控模块3。

在步骤103中，检验当前比如在第一存储区域6中所存储的询问是否已经被该功能计算机2读出。这可以如此来实现，即该功能计算机对最后所读出的询问进行分析，并比如验证其是否是在其中还不能传输应答的时间窗中获得。如果该询问已经从该接口模块4的第一存储区域中被读出，那么就不需要访问该接口模块。因此在步骤107中该通信控制的状态被设置为第二状态值，并在步骤108中在一个第一可预先给定的时间段内促使重新激活一个控制周期。该时间段尤其可以是可变的，并取决于该监控模块的功能是否应该被检验。如果应该进行检验，那么该第一时间段就可以有意识地被增大，使得该应答较晚地到达该监控模块3。在开始下一控制周期时，那么就检验在该监控模块3中所分配的错误计数器9是否已经被增加。优选地针对该第一时间段选择了从五到十毫秒的范围，因为这通常是通过该功能计算机2计算该应答所需的时间。

如果在步骤103中所述查询得出该询问还没有从该接口模块4中被读出，那么就必须访问该接口模块4。为此首先在步骤104中检验当前该接口模块4是否忙于处理指令，也即该指令队列是否激活。如果不是这种情况，那么在步骤106中就从该接口模块4中读出该应答，在步骤107中改变状态值，并在步骤108中在第一时间段之后促使进行激活。

但是如果在步骤104中所述查询得出该接口模块4当前处理指令，那么就在步骤105中在一个第三时间段之后促使激活一个新的控制周期。因为该队列的处理或者在该第三存储区域8中所存储的指令的执行通常在0.1和1毫秒之间，所以针对该第三时间段而选择0.1毫秒的范围。从而该接口模块可以被最佳地利用，而不阻塞在该功能计算机2上的其他处理。

如果在步骤102中该通信控制处于第二状态中，那么在步骤109中就检验当前该接口模块4是否处理指令。如果是这种情况，那么就不能访问该接口模块4的该存储区域，并在步骤110中在该第三时间段之后促使实施一个新的控制周期。

但是如果该接口模块4当前不处理命令，那么在步骤111中就促使把所计算的应答转发到该接口模块4。为此所计算的应答比如被写入到该接口模块4的第二存储区域7中。

然后在步骤112中该指令队列被激活。这促使该接口模块4把该应答通过该总线系统5发送到该监控模块。

在步骤113中该通信系统的状态被设置为第一状态值。在步骤14中促使在一个第二时间段之后重新实施该控制周期。该第二时间段比如处于在一和二毫秒之间的范围中，因为其对应于该接口模块4对指令队列的处理时间。

原则上该时间段如此来选择，使得该接口模块4和该总线系统5尽可能高地被加负荷。但另一方面该时间段还如此来选择，使得一方面不进行对该接口模块4的不必要的访问，并另一方面不进行控制周期的不必要的经过。因此该第一时间段和第二时间段比如被选择为如最小的、平均的或最大的所期待的处理时间。该第三时间段在此对应于所期待的处理时间的一个分数，因为这基于在步骤104和109中指令队列的处理是否已经进行。该第三时间段的值因此比如是该接口模块4对指令队列的平均处理时间的1/10。

显然，视功能计算机的、所使用的接口模块的以及该总线系统的处理速度而定，其他的时间段也可以证实是有利的。另外，在此也可以考虑对该功能计算机2进行平均的加负荷。在该功能计算机高负荷的情况下，把该时间段选择为较大可能是有利的，相反，在该功能计算机2仅低负荷的情况下，可以选择较小的时间段。

可以考虑本发明系统的以及本发明方法的其他许多实施方式。比如可以在一个控制周期开始时，首先检验该接口模块4当前是否忙于处理指令。接着才可以检验该通信控制当前处于哪个状态中，然后可以执行其他相应的步骤。

通常借助监控模块3来监控多个功能计算机2或分配给该功能计算机2的外围模块。在此从该监控模块向该功能计算机2传输一个询问。然后其促使该询问也被续传到其他的功能计算机或外围模块。然后每个外围模块根据所获得的询问来计算一个子应答，并将该子应答发送到用作总线系统主机的功能计算机2。然后该功能计算机2由子应答来计算一个总应答，并促使把该总应答传输到该监控模块3。该询问至外围模块的续传比如可以直接或间接地在步骤107之前来进行。从子应答对总应答的计算可以间接或直接地在步骤109之前来进行。

Claims (16)

1.用于控制在功能计算机（2）与监控模块（3）之间通过总线系统（5）的通信的控制方法，其中该功能计算机（2）能通过接口模块（4）与该总线系统（5）相连接，并且其中由该功能计算机（2）开始一个控制周期，在该控制周期内在该功能计算机（2）与该接口模块（4）之间进行通信，

其特征在于，

在该控制周期中由功能计算机（2）检验当前的控制状态并检验该接口模块（4）是否处理指令，和

如果所述检验得出该接口模块（4）当前不处理指令并且当前的控制状态对应于一个第一状态值，那么就把控制状态设置为一个第二状态值，并在经过可预先给定的第一时间段之后开始新的控制周期；

如果该接口模块（4）当前不处理指令并且所述控制状态处于该第二状态中，那么就提供应答以通过该总线系统（5）来传输，促使该接口模块（4）传输该应答，并在经过可预先给定的第二时间段之后重新开始该控制周期；

如果该接口模块（4）当前在处理指令，那么在经过可预先给定的第三时间段之后重新开始该控制周期，

其中该第一时间段和第二时间段被选择为最小的、平均的或最大的所期待的处理时间并且该第三时间段对应于所期待的处理时间的一小部分，

其中该第一状态值表明了该接口模块当前处于如下状态中：在该状态中该接口模块可以从该总线系统来接受数据，并可以从该监控模块接收应答，或者已经接收了应答，以及该第二状态表明控制现在处于如下运行模式中：在该模式中应当进行从该功能计算机向该监控模块的应答的发送。

2.根据权利要求1所述的方法，其特征在于，将所述当前的控制状态存储在状态变量中，并且至少在确定相应时间段之前查询该状态变量的值。

3.根据权利要求1或2所述的方法，其特征在于，首先确定当前的控制状态，并然后检验该接口模块（4）是否处理指令。

4.根据权利要求3所述的方法，其特征在于，如果在一个控制周期中确定当前的控制状态对应于该第一状态值，那么就检验在该接口模块（4）的第一存储区域（6）中所存储的消息是否已经被读出，并且

如果该消息已经被读出，那么将所述控制状态设置为第二状态值，并且在经过该第一时间段之后开始一个新的控制周期；

如果该消息还没有被读出，并且该接口模块（4）当前没有处理指令，那么就促使从该第一存储区域（6）中读出该消息。

5.根据权利要求1或2所述的方法，其特征在于，针对由该监控模块（3）所获得消息的应答消息在该第二时间段期间由该功能计算机（2）来生成。

6.根据权利要求1或2所述的方法，其特征在于，该第一时间段在从5至10毫秒的范围中、该第二时间段在从1至2毫秒的范围中和该第三时间段在从0.1至1毫秒的范围中来选择。

7.根据权利要求1或2所述的方法，其特征在于，根据该监控模块（3）是否应当由该功能计算机（2）来检验而改变该第一时间段。

8.根据权利要求1或2所述的方法，其特征在于，对分配给该功能计算机（2）的错误计数器（10）和分配给该监控模块（3）的错误计数器（9）进行分析，并且如果这些错误计数器（9，10）的和超过一个能预先给定的值，那么就去激活至少一个分配给该功能计算机（2）的功能模块。

9.用于控制在功能计算机（2）与监控模块（3）之间通过总线系统（5）的通信的系统，其中该功能计算机（2）能通过接口模块（4）与该总线系统（5）相连接，并且其中由该功能计算机（2）开始一个控制周期，在该控制周期内在该功能计算机（2）与该接口模块（4）之间进行通信，

其特征在于，

用于在该控制周期中由功能计算机（2）检验当前的控制状态并检验该接口模块（4）是否处理指令的装置，和

用于如果所述检验得出该接口模块（4）当前不处理指令并且当前的控制状态对应于一个第一状态值，那么就把控制状态设置为一个第二状态值并在经过可预先给定的第一时间段之后开始新的控制周期的装置；

用于如果该接口模块（4）当前不处理指令并且所述控制状态处于该第二状态中那么就提供应答以通过该总线系统（5）来传输，促使该接口模块（4）传输该应答并在经过可预先给定的第二时间段之后重新开始该控制周期的装置；

用于如果该接口模块（4）当前在处理指令那么在经过可预先给定的第三时间段之后重新开始该控制周期的装置，

其中该第一时间段和第二时间段被选择为最小的、平均的或最大的所期待的处理时间并且该第三时间段对应于所期待的处理时间的一小部分，

其中该第一状态值表明了该接口模块当前处于如下状态中：在该状态中该接口模块可以从该总线系统来接受数据，并可以从该监控模块接收应答，或者已经接收了应答，以及该第二状态表明控制现在处于如下运行模式中：在该模式中应当进行从该功能计算机向该监控模块的应答的发送。

10.根据权利要求9所述的系统，其特征在于，用于将所述当前的控制状态存储在状态变量中并且至少在确定相应时间段之前查询该状态变量的值的装置。

11.根据权利要求9或10所述的系统，其特征在于，用于首先确定当前的控制状态并然后检验该接口模块（4）是否处理指令的装置。

12.根据权利要求11所述的系统，其特征在于，

用于如果在一个控制周期中确定当前的控制状态对应于该第一状态值，那么就检验在该接口模块（4）的第一存储区域（6）中所存储的消息是否已经被读出，并且

用于如果该消息已经被读出，那么将所述控制状态设置为第二状态值，并且在经过该第一时间段之后开始一个新的控制周期；

用于如果该消息还没有被读出，并且该接口模块（4）当前没有处理指令，那么就促使从该第一存储区域（6）中读出该消息的装置。

13.根据权利要求9或10所述的系统，其特征在于，用于针对由该监控模块（3）所获得消息的应答消息在该第二时间段期间由该功能计算机（2）来生成的装置。

14.根据权利要求9或10所述的系统，其特征在于，用于将该第一时间段在从5至10毫秒的范围中、该第二时间段在从1至2毫秒的范围中和该第三时间段在从0.1至1毫秒的范围中来选择的装置。

15.根据权利要求9或10所述的系统，其特征在于，用于根据该监控模块（3）是否应当由该功能计算机（2）来检验而改变该第一时间段的装置。

16.根据权利要求9或10所述的系统，其特征在于，用于对分配给该功能计算机（2）的错误计数器（10）和分配给该监控模块（3）的错误计数器（9）进行分析，并且如果这些错误计数器（9，10）的和超过一个能预先给定的值，那么就去激活至少一个分配给该功能计算机（2）的功能模块的装置。