DD239680B1 - Schaltungsanordnung zur programmueberwachung von mikroprozessorgesteuerten einrichtung - Google Patents

Description

Anwendungsgebiet der Erfindung

Die Erfindung betrifft eine Schaltungsanordnung zur Überwachung von abzuarbeitenden Programmsystemen bei Anordnungen mit Mirkoprozessoren, wobei gewährleistet ist, daß das Mikroprozessorsystem bei stochastisch auftretendenFehlfunktionen an genau definierten Stellen unterbrochen bzw. in einen genau definierten Zustand gebracht wird.

Charakteristik der bekannten technischen Lösungen

In den zu betrachtenden Rechnersystemen werden im allgemeinen die abzuarbeitenden Programmsysteme in Festwert- und Operativspeicher abgelegt. Dabei setzen sich die einzelnen Befehle bzw. Daten aus Bitkombination zusammen, die durch den Zentralprozessor sequentiell in einem oder mehreren Zyklen abgearbeitet werden. Treten in den Befehlslese- und/oder Datenlese/Schreiboperationen Fehlfunktionen auf, so kann das Programmsystem nicht mehr ordnungsgemäß abgearbeitet werden, und somit ist auch das Mikroprozessorsystem fehlerbehaftet. Diese so fehlerbehafteten Systeme können einen durch sie gesteuerten Prozeß gefährden. Fehlerursachen sind erfahrungsgemäß sporadisch auftretende Störsignaleinstreuungen auf Teile des Prozeß-, Daten- und/oder Steuerbusses, wobei auch Kontaktschwierigkeiten eine gewisse Rolle spielen. Aus dem Stand der Technik sind mehrere Veröffentlichungen bekannt, bei denen es darum geht, die beschriebenen Auswirkungen zu vermeiden.

Eine Möglichkeit des Überwachens eines Computers wird in der DE-OS 3232513 beschriebenen der mit Hilfe einer Überwachungszeitgeberschaltung die Länge der Zeit zwischen aufeinanderfolgenden Impulsen aus einem Ausgabekanal des Computers gemessen wird. Mittels Rücksetzknopf wird das Programm im Computer neu gestartet und als Schaltung rückgesetzt.

In der DE-OS 2943133 wird eine Schaltungsanordnung vorgestellt, die bei Auftreten von Fehlern Rücksetzimpulse erzeugt und diese so lange wiederholt in Verbindung mit der Überwachung der Auftritthäufigkeit, bis der Computer ein in einem bestimmten Zeitintervall erstes Signal liefert. Bei Ausbleiben dessen wird der Computer rückgesetzt.

Aus der DE-OS 2946081 ist bekannt, daß über einen Impuls vom Computer ein Zähler rückgesetzt wird, wobei das Ausbleiben eines Impulses die Bildung eines Restart-Signals für den Computer zur Folge hat.

In der DE-OS 2903638 wird das Restart-Signal für den Computer über eine monostabile Kippstufe gebildet, wobei diese Schaltungsanordnung zwischen einmaligem oder mehrmaligem Ausfall des Signals vom Computer innerhalb der größten Standzeit eines zweiten Monoflops unterscheidet.

Mit der DD210775 wird eine Lösung vorgeschlagen, bei der ein Zeitgeberschaltkreis zyklisch rückgesetzt wird, wobei ein Nichtrücksetzen der Abgabe eines Interrupts zur Folge hat. Die Möglichkeit der zusätzlichen Abgabe eines Restart-Signals in Abhängigkeit der Fehlerursache wird dem Betriebssystem gegeben.

Diesen hier aufgezeigten bekannten technischen Lösungen haften im allgemeinen folgende Mängel an: 1. Softwareabhängige Zähler/Zeitgeberschaltkreise

— Diese Zähler/Zeitgeberschaltkreise benötigen neben der von der Software zyklisch auszugehenden Zeitkonstante noch . Initialisierungsdaten (^ softwareabhängige Zähler/Zeitgeberschaltkreise) nach einem Rücksetzsignal, bevor sie in Funktion treten. Bleiben diese Initialisierungsdaten nach dem Rücksetzsignal auf Grund der obengenannten Fehlerursachen (Störsignaleinstreuungen, Kontaktproblem u.a.) aus, kann demzufolge eine solche Überwachungsfunktion nicht arbeiten und auch keine Fehlermeldungen absetzen.

2. Rechnergebundene Taktversorgung bzw. RC-Kombinationen

— Der Ausfall des Rechnertaktes bzw. die geringere Lebensdauer von RC-Kombinationen gegenüber quarzgebundenen Taktzentralen hat den Ausfall dieser Überwachungsfunktion zur Folge, und demzufolge ist auch keine Fehlermeldung an den Computer bzw. an übergeordnete Zentralen möglich.

3. Softwareabhängige Meldesignale -

In einem Zyklus, in dem keine Signale vom Computer an das Überwachungssystem gelangen, kommt es zur Bildung von Signalen zum Computer, die entweder durch die Software maskierbar sind und demzufolge in den o. g. Fehlerfällen durch den Zentralprozessor nicht akzeptiert werden und somit durch ihn nicht bearbeitbar sind, oder der Computer wird bei Ausbleiben des Signals zum Überwachungssystem sofort rückgesetzt, was bei Rechensystemen, die im Echtzeitbetrieb arbeiten und schnelle Prozesse steuern, zu kritischen Situationen führen kann.

4. Keinen definierten Computerstop

Befindet sich ein Computersystem in einem Zustand, in dem der Prozessor auf abgesetzte Signale des Überwachungssystems Undefiniert oder überhaupt nicht mehr reagiert, erfolgt kein „Computer-Stop", obwohl eine Weiterarbeit des Rechensystems nicht mehr als sinnvoll zu betrachten ist.

Ziel der Erfindung

Ziel der Erfindung ist es, eine Schaltungsanordnung zu entwickeln, die mit niedrigem Bauelementeaufwand zu einer wesentlichen Zuverlässigkeitssteigerung eines Mikrocorr^tersystems beiträgt.

Darlegung des Wesens der Erfindung '

Aufgabeder Erfindung ist es, die bei den bekannten technischen Lösungen aufgezeigten Mängel in bezug auf softwareabhängige Zähler/Zeitgeberschaltkreise, rechnergebundene Taktversorgung, softwareabhängige Meldesignale und keinen definierten Computerstop durch Entwicklung einer Schaltungsanordnung zu beseitigen.

Erfindungsgemäß wird die Aufgabe dadurch gelöst, daß'ein erster Hardwarezähler eingangsseitig mit einem Rücksetzsignal, einer eigenen Taktversorgung, dem Datenbus und einem Ladesignal beaufschlagt wird und ein weiter Hardwarezähler eingangsseitig mit dem gleichen Rücksetzsignal und dem Datenbus und außerdem mit einem weiteren Ladesignal und einem nichtmaskierbaren Interrupt höchster Priorität beaufschlagt wird. Ausgangsseitig weist der erste Hardwarezähler einen nichtmaskierbaren Interrupt höchster Priorität und der zweite Hardwarezähler ein Zustandssignal auf, das außerdem mit der Taktversorgung in Verbindung steht. Diese Taktversorgung und der nichtmaskierbare Interrupt höchster Priorität sind weiterhin an eine Überwachungsschaltung angeschlossen, die als Ausgang ein Ladesignal erzeugt. Anschließend soll die erfindungsgemäße Schaltungsanordnung kurz in Funktion beschrieben werden. Ein erster software.unabhängiger Hardwarezähler, der über eine eigene Taktversorgung verfügt, wird über ein zentrales Rücksetzsignal, welches aus der Spannungszuschaltung an das Rechnersystem resultiert, so voreingestellt, daß sie der größtmöglichen von der Software auszugebenden Zeitkonstante entspricht. Dieser Hardwarezähler, welcher im Laufzustand des Rechners zyklisch mit einer beliebigen Zeitkonstante über den Datenbus des Rechnersystems und einem weiteren Ladesignal geladen werden muß, hat die Aufgabe, einen softwaremäßig nichtmaskierbaren Interrupt höchster Priorität beim Nulldurchgang seines Zählerstandes als Meldesignal an den Prozessor des Rechnersystems abzusetzen. Gleichzeitig bildet dieses Meldesignal ein Taktsignal für einen zweiten softwareunabhängigen Hardwarezähler, welcher durch das zentrale Rücksetzsignal, welches ebenfalls aus der Spannungszuschaltung resultiert, so voreingestellt wurde, daß es der kleinsten von der Software auszugebenden Zeitkonstante entspricht bzw. im Laufzustand des Rechners über den Datenbus des Rechnersystems und einem weiteren Ladesignal mit einer beliebigen Zeitkonstante geladen werden kann, wobei diese Zeitkonstante von dem jeweils zu beeinflussenden technologischen Prozeß abhängig ist. Dieser zweite Hardwarezähler hat die Aufgabe, beim Nulldurchgang seines Zählerstandes das Rechnersystem in einen definierten Zustand zu versetzen. Dieser definierte Zustand bewirkt, daß keine Weiterarbeit durch den Prozessor des Rechnersystems mehr möglich ist. Weiterhin wird durch Erreichen dieses definierten Zustandes die Taktversorgung des ersten Zählers außer Betrieb gesetzt. Das durch den ersten Hardwarezähler erzeugte Interruptsignal stößt eine Überwachungsschaltung an, die mit Hilfe eines Taktsignals der Taktversorgung die Reaktion des Prozessors des Rechnersystems auf das abgesetzte Interrupt-Signal überwacht, wobei bei ausbleibender Reaktion des Prozessorsauf das Interrupt-Signal ein Rücksetzsignal für das Rechnersystem gebildet wird. Dieses Rücksetzsignal beeinflußt dabei nicht die Zählerstände der beiden Hardwarezähler. Sie arbeiten in Erwartung auf eine durch die Software auszugebende Konstante weiter.

Ausführungsbeispiel

Anschließend soll die erfindungsgemäße Schaltungsanordnung an einem Ausführungsbeispiel näher erläutert werden. Dabei zeigen:

Fig. 1: Blockschaltbild der erfindungsgemäßen Schaltungsanordnung

Fig.2: Ausführungsbeispiel für eine Schaltungsanordnung zur Realisierung der zeitlichen Programmüberwachung

Die Beschreibung wurde wegen der Übersichtlichkeit in fünf Betriebszustände eines Mikrocomputersystems

a) Reehnersystemanlauf nach Zuschalten der Betriebsspannung

b) Laufzustand des Rechnersystems

c) FehlerfalM—NMI ^; .^

d) Fehlerfall 2 — NMI S₆ und

e) Fehlerfall 3 — NMI, Rücksetzsignal S₆ Zustand Z aufgeteilt.

— Rechnersystemanlauf nach Zuschalten der Betriebsspannung

Beim Anlegen der Betriebsspannung an das Rechnersystem wird das Rücksetzsignal S₄ am Rechnerbus gebildet, und dieses gelangt über das Tor Ti als zentrales Rücksetzsignal S₁ an die Rücksetzeingänge R der Hardwarezähler HZ 1 und HZ 2, wodurch diese Zähler mit einer Konstante von.,,0" hardwaremäßig geladen werden.

Über den so inaktiv geschalteten Ausgang Ur „Übertrag Rückwärts" des Hardwarezählers HZ 2 wird die quarzgesteuerte Taktzentrale TV freigeschaltet und der Zustand Z inaktiviert. Die Taktzentrale TV liefert über den Eingang Er „Zählrichtung Rückwärts" des Hardwarezählers HZ 1 die entsprechenden Taktimpulse, wobei mit dem Tor T₃ genau der erste Impuls vom Ausgang Ur „Übertrag Rückwärts" des Hardwarezählers HZ 1 abgefangen werden muß, weitere Übertragungsimpulse werden durchgeschaltet. Somit wird der Software der größtmögliche Zeitfonds bis zur Übergabe der freiwählbaren Zeitkonstante für die Hardwarezähler HZ 1 und HZ 2 zur Verfügung gestellt.

— Laufzustand des Rechnersystems

Während des Laufzustandes des Rechnersystems muß das Betriebssystem, d. h. die Software, so organisiert sein, daß beide Hardwarezähler HZ 1 und HZ 2 vor dem Erreichen ihres Nulldurchgangs mit einer neuen Zeitkonstante über den Datenbus DB des Rechnersystems und den Ladesignalen S2 und S3 geladen werden.

— Fehlerfall 1 — NMI

Erfolgte im Laufzustand des Rechnersystems das Neuladen des Hardwarezählers HZ 1 einmal nicht, bevor dieser Zähler HZ 1 seinen Nulldurchgang erreicht hat, so aktiviert dieser Zähler HZ 1 seinen Ausgang Ur „Übertrag Rückwärts" und bildet über das im Rechnersystemanlauf freigeschaltete Tor T₃ das Meldesignal NMI, welches ein softwaremäßig nichtmaskierbares Interrupt höchster Priorität darstellt, zum Prozessor des Mikroprozessorsystems. Gleichzeitig wird die Konstante des Hardwarezählers HZ 2 um 1 erniedrigt und die Schaltung A aktiviert, welche die Reaktion des Prozessors des Mikroprozessorsystems auf das abgesetzte Meldesignal NMI überwacht. Erfolgt eine auf das Signal NMI abgestimmte Reaktion des Prozessors (z. B. ein Befehlslesen auf einer bestimmten Adresse), welche durch die Schaltung A über den Adreßbus AB und den Steuerbus SB des Rechnersystems analysiert wird, so setzt sich die Schaltung A selbständig wieder in den inaktiven Zustand.

— Fehlerfall 2 —NMIS₆ ·

Wurde die Schaltung A auf Grund eines abgesetzten Meldesignals NMI aktiviert und erfolgte keine in einem bestimmten Zeitintervall meldesignalspezifizierte Reaktion des Prozesses des Rechnersystems, so gibt diese Schaltung A ein Rücksetzsignal Se ab, welches über das Tor T2 als Rücksetzsignal S4 am Systembus des Mikroprozessorsystems wirksam wird, aber über das Tor T₁ auf die Hardwarezähler HZ 1 und HZ 2 keinen Einfluß hat, womit eine weitere Arbeitsweise dieser beiden Zähler garantiert wird. . '

Für diese Reaktionsüberwachung des Prozessors wird die Schaltung A über das Signal S₅ ein Takt der Taktzentrale TV zur Verfügung gestellt.

— Fehlerfall 3 — NMI;Rücksetzsignal S₆, Zustand Zustand Z

Wurde ein Systemzustand eines Rechnersystems, wie im Fehlerfall 2 beschrieben, erreicht und kommt es im folgenden Rechnerablauf zu keiner Ausgabe von entsprechenden Konstanten an die Hardwarezähler HZ 1 und HZ 2, so wird in Abhängigkeit des Zählerstandes des Hardwarezählers HZ 2 der Fehlerfall 2 so oft durchlaufen, bis dieser Zähler HZ 2 seinen Nulldurchlauf hat und demzufolge über den Ausgang Ur „Übertrag Rückwärts" den Zustand Z aktiviert und gleichzeitig die Taktversorgung TV sperrt. Hieraus wird ersichtlicht, daß bei der Überwachung von schnellen technologischen Prozessen die in den Hardwarezähler eingespeicherte Zeitkonstante nicht zu groß sein darf, damit Schaden im technologischen Prozeß vermieden werden und möglichst schnell der definierte Zustand Z hergestellt wird. Der Zustand Z charakterisiert im Ausführungsbeispiel einen Zustand für den Prozessor eines Rechnersystems, indem es dem Prozessor nicht mehr möglich ist, weiter zu arbeiten; d.h., dieser Zustand Z könnte bei einem 8-bit-Prozessor vom Typ U 880 im Rechnersystem K1520 vom VEB Kombinat Robotron die Steuerbussignale/MEMDI,/ΙΟΙ und/WAIT symbolisieren.

Eine nach diesem Prinzip realisierte Softwareüberwachung bringt im Gegensatz zu den bisher bekannten Lösungen erhebliche

Vorteile: .

Die verwendeten Zähler, hier Hardwarezähler genannt, benötigen keine sogenannten Initialisierungsdaten von der Software. Sie sind daher mit dem Zuschalten der Betriebsspannung an das Rechnersystem funktionstüchtig und können so die Anlaufroutine des Rechnersystems nach einem Rücksetzsignal, welches die Gesamtheit der verwendeten Bauelemente in einem ^v Rechnersystem in einen definierten Grundzustand versetzt, voll überwachen. Dabei ist es für dieses Prinzip ohne Bedeutung, ob dieses Rücksetzsignal aus dem Zuschalten der Betriebsspannung entsteht oder ob es einer anderen Quelle — hier z. B.

Rücksetzsignal S₄ genannt — entspringt.

Die der Softwareüberwachung eigene Taktversorgung realisiert auch bei Ausfall der Taktzentrale des Rechnersystems ein sicheres Arbeiten der Zähler und somit ein zuverlässigeres Überwachungskonzept. Dabei ist, um mindestens gleiche Zuverlässigkeitswerte zwischen der Taktzentrale des Rechnersystems und der Taktversorgung der Softwareüberwachung zu erreichen, eine gleichwertige Taktquelle für die Taktversorgung der Softwareüberwachung benutzt worden.

Mit dem gewählten Meldesignal NML, welches ein softwaremäßig nichtmaskierbaren Interrupt höchster Priorität darstellt, ist ein sicheres Unterbrechen des Prozessors eines Rechnersystems in Verbindung mit Softwareunabhängigkeit gewährleistet.

Für Betriebszustände des Prozessors, die eine Reaktion des Prozessors auf das Meldesignal NMI nicht zulassen, ist die Bildung des Rücksetzsignals — hier S₄ genannt — zuständig. Damit wird der Prozessor und die im Rechnersystem befindlichen Bauelemente veranlaßt, einen definierten Grundzustand einzunehmen/womit so eine ordnungsgemäße Weiterarbeit ab diesem Grundzustand gewährleistet wird.

Findet eine, auf Grund des durch die Softwarüberwachung gebildeten Rücksetzsignals, ordnungsgemäße Weiterverarbeitung ab einem definierten Grundzustand nicht statt, wird in Abhängigkeit einerfreiwählbaren Zeiteinheit das Rechnersystem in einem

definierten Stop-Zustand gebracht, hier mit Zustand Z bezeichnet. .

Claims (2)

1. Schaltungsanordnung zur zeitlichen Programmüberwachung von mikroprozessorgesteuerten Einrichtungen, bestehend aus einer Taktversorgung, zwei Hardwarezählern und einer Überwachungsschaltung, wobei die Überwachungsschaltung als Eingänge das NMI-Signal und den externen Takt und als Ausgang ein RESET-Signal aufweist, dadurch gekennzeichnet, daß der erste Hardwarezähler (HZ 1) eingangsseitig mit einem Rücksetzsignal (S 1), der Taktversorgung (TV), dem Datenbus und einem Ladesignal (S₂) beaufschlagt wird, daß der zweite Hardwarezähler (HZ2) eingangsseitig ebenfalls mit dem Rücksetzsignal (S₁) und dem Datenbus und außerdem mit einem Ladesignal (S₃) und dem nichtmaskierbaren Interrupt höchster Priorität (NMI) beaufschlagt wird, daß der erste Hardwarezähler (HZ 1) als Ausgang den nichtmaskierbaren Interrupt höchster Priorität (NMI) und der zweite Hardwarezähler als Ausgang ein Zustandssignal (Z) aufweist, das außerdem mit der Taktversorgung (TV) in Verbindung steht.

   Hierzu
2. 2 Seiten Zeichnungen