DD210775A1

DD210775A1 - METHOD AND CIRCUIT ARRANGEMENT FOR TIMELY PROGRAM MONITORING OF MICROPROCESSOR-CONTROLLED EQUIPMENT

Info

Publication number: DD210775A1
Application number: DD24386682A
Authority: DD
Inventors: Wolfgang Kontschinsky; Guenter Schade
Original assignee: Wetron Weida Betrieb D Kom Veb
Priority date: 1982-10-08
Filing date: 1982-10-08
Publication date: 1984-06-20

Abstract

Die Erfindung betrifft Verfahren und Schaltungsanordnung zur Ueberwachung von Programmablaeufen bei Systemen mit Mikroprozessoren auf Ueberschreitung einer maximalen Taktzahl oder Zeit. Ziel der Erfindung ist es, derartige Mikroprozessorsysteme stoersicher zu machen und damit fuer den Einsatz unter Industriebedingungen auszuruesten. Erfindungsgemaess wird ein Zeitglied durch Kontrollimpulse an sich wiederholenden Programmstellen rueckgesetzt. Wird der normale Programmablauf aufgrund von Stoerungen verlassen, so erreicht das Zeitglied die Endlage und loest einen Interrupt hoechster Prioritaet aus, wobei innerhalb der Interruptroutine der Test auf systematische Fehler oder stochastische Stoerungen durchgefuehrt wird. Bei stochastischen Stoerungen erfolgt zeitverzoegert ein Hardware-Reset und damit die Synchronisation, waehrend bei Systemfehlern eine Fehlerausgabeschleife den sicheren Zustand initiiert.The invention relates to methods and circuit arrangement for monitoring program sequences in systems with microprocessors to exceed a maximum number of cycles or time. The aim of the invention is to make such microprocessor systems Stoersicher and thus ausuruesten for use under industrial conditions. According to the invention, a timer is reset by control pulses at repetitive program positions. If the normal program sequence is left due to errors, the timer reaches the end position and triggers a highest priority interrupt, whereby the test is carried out for systematic errors or stochastic disturbances within the interrupt routine. In the case of stochastic disturbances, a hardware reset and thus synchronization take place in a time-delayed manner, while in the case of system errors an error output loop initiates the safe state.

Description

-ή--ή-

Titel der Erfindung:Title of the invention:

Verfahren und Schaltungsanordnung aur zeitlichen ProgrammUberwachung von mikroprozessorgesteuerten EinrichtungenMethod and circuit arrangement for temporal program monitoring of microprocessor-controlled devices

Field of application of the invention;

Die Erfindung betrifft ein Verfahren zur Überwachung von Programmabläufen bei Systemen mit Mikroprozessoren auf Überschreitung einer maximalen Taktzahl oder Zeit in Unterprogrammen und die zur Realisierung des Verfahrens vorgeschlagene Schaltungsanordnung· Der Einsatz derartiger Schaltungsanordnungen und Verfahren erfolgt in industriellen Automatisierungsanlagen, bei denen kleinere Mikroprozessorsysteme in stark störverseuchter Umgebung zur Anwendung kommen·The invention relates to a method for monitoring program sequences in systems with microprocessors to exceed a maximum number of cycles or time in subroutines and the proposed circuit for implementing the method · The use of such circuits and methods is carried out in industrial automation systems in which smaller microprocessor systems in highly Störverseuchter environment are used ·

Aber auch für größere Mikroprozessorsysteme für die Industrieautomation ist das erfindungsgemäße Verfahren anwendbar.But also for larger microprocessor systems for industrial automation method of the invention is applicable.

Charakteristik der bekannten technischen Lösungen: C characteristic of the known technical solutions:

Aus DE-OS 2946081 ist bekannt, daß die überwachung der Funktion eines Mikroprozessors dadurch erfolgt, indem bei jedem Programmdurchlauf ein Kontrollimpuls vom Mikroprozessor einen Zähler rücksetzt« Bei gestörtem . Programmablauf und damit Ausbleiben des Kontrollimpulses erreicht der Zähler einen unzulässigen Zählerstand, der durch eine Auswerteschaltung zur Erzeugung eines Restart-Signals für den Mikroprozessor benutztFrom DE-OS 2946081 it is known that the monitoring of the function of a microprocessor is effected by a control pulse from the microprocessor resets a counter at each program run «In disturbed. Program flow and thus failure of the control pulse reaches the counter an illegal meter reading, which uses an evaluation circuit to generate a restart signal for the microprocessor

η i. ηη i. η

wird. Nachteil dieser Anordnung ist es, daß selbst bei systematischen Störungen, z* B. Systemdefekt oder stark störverseuchter Umgebung, ständig das Restart-Signal für den Mikroprozessor kommt und damit zyklisch eine normale Funktion vorgetäuscht wird, ohne daß das System in einen sicheren Betriebszustand übergeht· Ebenfalls aus DB-OS 2903638 ist eine Lösung zur Überwachung der Laufzeit eines MikrorechnerProgramms bekannt. Hierbei wird eine zu jedem Zeitpunkt durch den Kontrollimpuls des Mikroprozessors setabare monostabile Kippstufe (sogenanntes retriggerbares Monoflop) ständig im gesetzten Zustand gehalten· Bleibt der Kontrollimpuls aufgrund eines gestörten Programmablaufes aus, so ist das Monoflop nach Ablauf der ; Haltezeit rückgesetzt und löst damit ein Restart-Signal für den Mikroprozessor aus· Wahlweise kann auch ein Interrupt durch die Überwachungsschaltung ausgelöst werden· Die Schaltungsanordnung unterscheidet zwischen einmaligem oder mehrmaligen Ausfall des Kontrollimpulses innerhalb der größeren Standzeit eines zweiten Monoflops» Nachteil dieser Anordnung ist es, daß die Häufigkeit pro Zeiteinheit der zugelassenen Störungen von einer Hardware-Schaltungsanordnung (zweites Monoflop) und nicht von einer leicht änderbaren Software-Zeitkonstante bzw. -Fehlerzahl abhängt· Damit wäre bei Anpassung an unterschiedliche Prozesse eine Änderung der Zeitkonstante des zweiten Monoflops durch Schaltungsänderung erforderlich· Bei dieser Schaltungsanordnung ist keine Auslösung von Interrupt und Restart nacheinander möglich· Damit kann bei Fehlerdiagnose innerhalb der Interruptroutine in Abhängigkeit von der Art und Priorität des Fehlers gegebenenfalls kein hardwaremäßiger Restart ausgelöst werden, wodurch auch alle Peripheriebausteine in den Anfangszustand zurückgesetzt würden·becomes. Disadvantage of this arrangement is that even with systematic disturbances, z * B. system defect or highly polluted environment, constantly the restart signal for the microprocessor comes and thus cyclically a normal function is simulated without the system goes into a safe operating condition · Also from DB-OS 2903638 a solution for monitoring the runtime of a microcomputer program is known. In this case, a monostable multivibrator (so-called retriggerable monostable multivibrator) which is always set by the control pulse of the microprocessor is kept in the set state at all times. If the control pulse remains off due to a faulty program sequence, then the monoflop is at the end of the period; Reset time and thus triggers a restart signal for the microprocessor · Optionally, an interrupt can be triggered by the monitoring circuit · The circuit distinguishes between one or more failure of the control pulse within the greater life of a second monoflop »Disadvantage of this arrangement is that the frequency per unit time of the allowed disturbances depends on a hardware circuit arrangement (second monoflop) and not on an easily changeable software time constant or error number. This would require a change of the time constant of the second monoflop due to a circuit change when adapting to different processes With this circuit arrangement, interrupt and restart can not be triggered one after the other. This means that no hardware-related resta may be possible during error diagnostics within the interrupt routine, depending on the type and priority of the error rt, which would also reset all I / O modules to their initial state ·

Aim of the invention;

Ziel der Erfindung ist die zeitliche Programmüberwachung auf Einhaltung einer maximalen Anzahl von Systemtakten, die von einem Vorteiler (Zeitgeber) mit beliebigem Tastverhältnis abgenommen werden können, bzw, auf Einhaltung einer maximalen Laufzeit, wobei jeder Programmdurchlauf einen Kontrollimpuls zum Rücksetzen der Laufzeitüberwachung erzeugteThe aim of the invention is the temporal program monitoring for compliance with a maximum number of system clocks, which can be removed by a preserver (timer) with any duty cycle, or to maintain a maximum delay, each program run generated a control pulse to reset the runtime monitoring

Das Anliegen des erfindungsgemäßen Verfahrens besteht darin, eine Unterscheidbarkeit zwischen nicht systembedingten Störungen und häufiger auftretenden Störungen bzw. Systemdefekten zu ermöglichen und damit derartig ausgerüstete Mikroprozessorsysteme speziell für den Einsatz unter kritischen Industriebedingungen hinsichtlich der Störsicherheit anzupassen»The aim of the method according to the invention is to make it possible to distinguish between non-system-related faults and more frequently occurring faults or system defects, and thus to adapt microprocessor systems equipped in this way especially for use under critical industrial conditions with regard to interference immunity ".

Darlegung des Wesens der ErfindungExplanation of the essence of the invention

Um eine einwandfreie Funktion eines Mikroprozessorsystems zu gewährleisten, ist es erforderlich, zwischen stochastischen Störimpulsen und Systemfehlern zu unterscheiden· Dabei muß das Programm bei zufälligen StörungenIn order to ensure proper operation of a microprocessor system, it is necessary to distinguish between stochastic glitches and system errors

z. B. über ein Restart-Signal wieder neu synchronisiert werden, während bei systembedingten Programmablaufstörungen ein Fehlermeldesignal als Dauersignal an eine übergeordnete Steuerung weitergegeben wird» Je nach System kann diese Steuerung dann einen gefahrlosen Zustand erzwingen« Außerdem erscheint es sinnvoll, im Rahmen eines Interruptprogramms, welches im Fehlerfall aufgerufen wird, den Fehlerort und die Art des aufge-• tretenen Fehlers zu ermitteln· Erfindungsgemäß werden von einem Zeitglied (Zeitgeberschaltkreis) Impulse gezählt, welche vom Systemtakt des Mikroprozessorsystems abgeleitet werden und damit exakt reproduzierbare Werte für die ProgrammdurchlaufZeitüberwachung liefern, wobei das Zeitglied bei Erreichen eines wählbaren Zählerendwertes eine Programmunterbrechung über einen Interrupt höchster Priorität auslöst und eine 2· Zeitstufe star-such. B. be re-synchronized via a restart signal again, while system-related program flow disturbances an error message signal is transmitted as a continuous signal to a higher-level control »Depending on the system, this control then enforce a safe state« It also makes sense, as part of an interrupt program, which In accordance with the invention, pulses are counted by a timer (timer circuit) which are derived from the system clock of the microprocessor system and thus deliver exactly reproducible values for the program cycle time monitoring, the timer when a selectable counter end value is reached, a program interrupt is triggered via a highest priority interrupt and a 2 × time step is triggered.

tet, wenn nicht vorher das Zeitglied von einem vom Mikroprozessor ausgesandten Kontrollimpuls rückgesetzt wurde. Bei korrektem Programmablauf wird das Zeitglied immer vor Erreichen des Zählerendwertes rückgesetzt«, Liegt eine Störung des Programmdurchlaufes vor, so wird innerhalb der vom Zeitglied ausgelösten Programmunterbrechungsroutine die Störungsart diagnostiziert· Bei erkannten Systemdefekten bzw«, häufig auftretenden Störungen , die eine normale Arbeitsweise nicht mehr zulassen, besteht die Möglichkeit, die 2· Zeitstufe noch vor Ablauf ihrer Haltezeit durch einen Kontrollimpuls rückzusetzen, so daß ein Programmneustart verhindert wird und der Mikroprozessor innerhalb einer Fehlermeldelind -anzeigeschleife arbeitet. Zur Erzeugung der Mindestdauer der Impulse für das Zeitglied werden die zu kurzen, vom Takt des Mikroprozessors abgeleiteten, Impulse mittels eines Torteilers in eine Rechteckspannung der halben Frequenz und mit einem tastverhältnis 1 s 1 umgeformt· Der ebenfalls zu kurze Kontrollimpuls zum Rücksetzen des Zeitgliedes wird von einem RS-KLip-Flop bis zum nächsten Taktimpuls abgespeichert und kann damit auf die erforderliche Impulsdauer gebracht werden·' Bei Ausnutzung des internen Oszillators des Zeitgeberschal tkreises als Taktgenerator kann mittels externer RC-Beschaltung ein in weiten Grenzen wählbarer Takt erzeugt werden» der unabhängig vom Mikroprozessorsystemtakt ist β Das Zählvolumen des Zeitgliedes kann durch hardwaremäßige Auswahl des Ausganges des Zeitgliedes und Vorgabe der entsprechenden Zählimpulse oder mittels externer RC°»Beschaltang am Oszillator des Zeitgeberschaltkreises in weiten Grenzen an die zu überwachende Progransmdurchlaufzeit und damit die Wiöderholrate des Kontrollimpulses angepaßt werden« Zur Vorgabe der Zeit von der Programmunterbrechung bis zum Heustart des Programms dient die 2* Zeitstufe, die weitgehend auf der Schaltungsanordnung zum Starten des Prozessors bei Zuschalten der Versorgungsspannung beruht·tet, if not before the timer was reset by a control pulse sent by the microprocessor. If the program execution is correct, the timer is always reset before reaching the counter end value. If there is a program execution error, the type of fault is diagnosed within the program interruption routine triggered by the timer · For detected system faults or frequently occurring faults that no longer permit normal operation , it is possible to reset the 2 · time stage before the expiry of their holding time by a control pulse, so that a program restart is prevented and the microprocessor operates within a Fehlereldelind display loop. To generate the minimum duration of the pulses for the timer, the too short, derived from the clock of the microprocessor, impulses by means of a gate divider into a square wave voltage of half the frequency and with a Tastverhältnis 1 s 1 · The too short control pulse for resetting the timer is from an RS-flip-flop stored until the next clock pulse and can thus be brought to the required pulse duration · 'Utilization of the internal oscillator of the timer scarf circuit as a clock generator can be generated by external RC circuit a selectable within wide limits clock »independent of Microprocessor system clock is β The counting volume of the timer can be determined by hardware selection of the output of the timer and setting of the corresponding counts or by external RC ° »Beschaltang the oscillator of the timer circuit within wide limits to be monitored Progransmlaufzeit and thus the Wiö The time interval from the program interruption to the startup of the program is determined by the 2 * time stage, which is largely based on the circuit arrangement for starting the processor when the supply voltage is switched on.

Embodiment:

Figur 1 zeigt das Ausführungsbeispiel der Schaltungsanordnung zur Programmüberwachung von mikroprozessorgesteuerten Einrichtungen·FIG. 1 shows the exemplary embodiment of the circuit arrangement for program monitoring of microprocessor-controlled devices.

Aus einer bestimmten Anzahl von Systemtakten werden von einem Vorteiler Impulse T gebildet, die anschließend ein Teiler 1 im Verhältnis 2 : 1 teilt und dabei die Impulsfolge, auf das Tastverhältnis 1 : 1 bringend, auf den Eingang E des 1. Zeitgliedes 3 legt· Die Impulslänge ist ausreichend, um von dem Zeitglied 3 bis zum Erreichen eines Endwertes des Zählerstandes addiert zu werden* Der Endwert wird durch Auswahl des entsprechenden Teilerausganges A mittels Wahlschalter S festgelegt· Der Takt T und Vorteiler 1 können durch ein RC-Glied ersetzt werden, das an die Anschlüsse E und i¹ des Zeitgliedes 3 geschaltet wird und in Verbindung mit dem Eingangsverstärker 6 als Oszillator wirkt· Jeder Programmdurchlauf erzeugt einen kurzen Kontrollimpuls R, der ein RS-Flip-Flop 2 setzt, welches vom darauffolgenden Takt T wieder rückgesetzt wird· Der entstehende Rücksetzimpuls R¹ löscht über die Steuerlogik das Zeitglied 3 und startet es erneut* Programmtechnisch ist eine Mindestlänge des Rücksetzimpulses R^? zu garantieren· Bleiben die Kontrollimpulse R aus, oder ist der Rücksetzimpuls R* zu kurz, so erreicht das Zeitglied 3 den durch die wirksame Teilerkette 5 vorgegebenen Endwert, löst einen Interrupt höchster Priorität 9 aus und startet ein 2. Zeitglied R 1, R 2, C 1, 4, welches nach Entladung von C 1 über R 1 unter den unteren Schwellwert des Triggers 4 einen üJeustart 8 des Programms veranlaßt, wenn nicht vorher innerhalb des Interruptprogramms das Zeitglied 3 durch Kontrollimpulse R rückgesetzt wurde. Das 2, Zeitglied veranlaßt ebenfalls bei Zuschaltung der Versorgungsspannung einen definierten Neustart des Programms·From a certain number of system clocks pulses T are formed by a prescaler, which then divides a divider 1 in a ratio of 2: 1, thereby applying the pulse sequence to the input E of the first timer 3, bringing it to the duty cycle 1: 1 Pulse length is sufficient to be added by the timer 3 until reaching a final value of the count * The final value is determined by selecting the corresponding divider output A by means of selector switch S. The clock T and 1 prescaler can be replaced by an RC element, the is switched to the terminals E and i ^{1 of} the timer 3 and acts in conjunction with the input amplifier 6 as an oscillator · each program run generates a short control pulse R, which sets an RS flip-flop 2, which is reset by the following clock T · the resulting reset pulse R ¹ deletes, via the control logic, the timer 3 and starts again * program Technically, a Mindestl length of the reset pulse ^R? · If the control pulses R remain off, or if the reset pulse R * is too short, the timer 3 reaches the final value predetermined by the effective divider chain 5, triggers a highest priority interrupt 9 and starts a second timer R 1, R 2 , C 1, 4, which, after discharging C 1 via R 1 below the lower threshold value of the trigger 4, causes a restart 8 of the program, if the timer 3 has not previously been reset by control pulses R within the interrupt program. The timer 2 likewise causes a defined restart of the program when the supply voltage is switched on.

Im Interruptprogramm wird nach dem Prinzip der Autodiagnose auf Vorliegen von systematischen Fehlern bzw« Systemdefekt oder stochastischen Fehlern getestet und die Fehlerart programmtechnisch registriert. Bei stochastisehen Fehlern wird ein Programmneustart veranlaßt, wenn die maximale Fehlerzahl pro Zeiteinheit nicht überschritten ist. Ansonsten arbeitet der Mikroprozessor in einer Fehlerwarteschleife, wobei dann vor Ablauf der Verzögerungszeit des 2, Zeitgliedes das 1, Zeitglied 3 mittels Kontrollimpuls R rückgesetzt werden muß₀ Durch Aktivieren des Eingangs W, Z₀ B· für Prüfzwecke im Schrittest, kann das Zeitglied 3 über den Rücksetzeingang R^fl statisch rückgesetzt werden·In the interrupt program, the principle of auto-diagnosis is used to test for systematic errors or system defects or stochastic errors, and the type of error is registered in the program. For stochastic errors, a program restart is initiated if the maximum number of errors per unit of time is not exceeded. Otherwise, the microprocessor operates in a Fehlerwarteschleife, in which case the 1, timer 3 must be reset by means of control pulse R before expiry of the delay time of the 2, timer ₀ by activating the input W, Z ₀ B · for testing purposes in Schrittest, the timer 3 via the reset input R ^fl be reset static ·

Claims

claims:

A method for monitoring the time of program control of microprocessor-controlled devices, in particular those in which the information-processing element has devices for resetting the system as well as for triggering a highest priority interrupt, and during which control pulses are removable during each program run, characterized in that during each Program cycle a timer (3) is reset even before the timer (3) has completed its cycle time, which was activated by particular system clock pulses (T), and thus no interrupt (9) or «, no reset (8) of the system causes that in system disturbances that cause a leaving of the normal program execution, the control pulse (R) fails and thus after the passage time of the timer (3) an interrupt (9) is triggered, wherein tested within the execution of the interrupt program, the system according to principles of self-diagnosis and depending on the test result, there is a statement as to whether it is stochastic disturbances or systematic errors or a system defect, and that in the case of stochastic disturbances after the delay time of a second timing element has elapsed (R1, R2, 01, (4) ) the system is reset (8), while in systematic errors the timer (3) by means of the control pulse (R) is reset before the delay time "of the second timer (R1, R2, 01, (4)) has expired and thus aas system into a program queue with output of a Pehlersignals goo

2 · circuit arrangement for carrying out the method according to item 1, in particular with microprocessor as information-processing element,

characterized in that a timing element (3) _f consisting of a divider chain (5), an input amplifier (6) and a combinatorial circuit for timer control (7), clock pulses (T), via a prescaler - 2: 1 (1) processed abut at the input (E) of the timer (3), summed and after reaching a final total at the output (A) a signal to the interrupt input (9) of the microprocessor and at the same time, with the output (A) of the timer (3) connected , Input of a second timer (R1, R2, C1, U)), wherein the second timer (R1, R2, 01, (4)), the output side to the reset input (8) of the microprocessor is connected, and further the control pulse (R) is applied via an RS flip-ELop (2) to the reset input (R ^f ) of the timer (3),

3. The circuit arrangement according to item 2, characterized in that the second timer (R1, R2, C1, (4)) is formed simultaneously as a reset circuit for starting the microprocessor when the supply voltage (U _rt _), wherein a delay element, consisting of a against reference potential to the input of a Schmitt trigger (4) connected capacitor (01) and a first 'resistor (R1), the input of the Schmitt trigger (4) to the output (A) of the timer (3) connected is and a second resistor (R2), which is connected from the input of the Schmitt trigger (4) to the supply voltage (ϋ _ΛΛ ), in "conjunction with the

CC

Schmitt trigger (4) both the delay of the reset signal (8) compared to the interrupt signal (9) ala also the delay of the high signal at the reset input (8) of the microprocessor realized when switching on the supply voltage (U _cc ) »

4p Circuitry according to item 2, characterized in that the timer (3) in particular as a timer circuit with Oszillätorverstärker (6), divider chain (5) and control logic (7) is formed and thus instead of the system clock (T) selectable within wide limits clock which can be used by an external RC circuit on the timer circuit, can be used »

5 · Circuit arrangement according to points 2 and 4 », characterized in that the program execution time to be monitored and thus the repetition rate of the control pulse (R) on the one hand determined by the program and on the other hand, the count volume of the timer (3) both by selecting the wiring (S1) the output (A) of the timer (R1, R2, 01, (4)) as well by program selection of the output (A) of the timer (3) can be adapted to the respective repetition rate of the control pulse (R), the way that the counting volume of the timer (3) is greater than the repetition rate of the control pulse (R) and that the programmratechnische choice of the output (A) of the timer (3) by a digital multiplexer with buffer register for the decoder inputs (S1) is realized,

6. Circuit arrangement according to the points 2 to 5 », characterized in that in front of the input (E) of the timer (3), an arbitrary divider (1) is connected der'den system clock (T) down to the required frequency and at the same time a square wave with duty cycle 1 s 1 generated, and that before the reset input (R ") of the timer (3) an RS flip-flop (2) is connected, which stores the relatively short control pulse (R) until the next clock pulse (T) appears.

7 · Circuit arrangement according to items 2 to 6,
characterized in that
for test purposes, when the microprocessor is operating in step mode, the timer (3) remains reset via the second reset input (R ") whenever the wait command signal (W) is active at the microprocessor.