-
Die
Erfindung betrifft ein Computersystem mit einer angeschlossenen
Watchdog-Vorrichtung zur Überwachung
des Betriebs des Computersystems.
-
Bekannte
Watchdog-Einrichtungen sind Werkzeuge zur Überwachung von Computern und insbesondere
zur Überwachung
der Funktionen von Personal Computern (PC). Wird eine normale (störungsfreie)
Funktion bzw. Arbeitsweise des PC ermittelt, dann erfolgt durch
eine Watchdog-Einrichtung eine allgemeine Freigabe des Betriebs.
Ist jedoch der Betrieb des PC gestört oder tritt eine entsprechende Störung von
außen
auf, beispielsweise durch ein Ausfallen einer Leistungsversorgung,
dann wird dies durch die Watchdog-Einrichtung erfasst und es werden
Maßnahmen
zur Weiterführung
des Betriebs des PC ergriffen. Insbesondere erfolgt ein Rücksetzen und
ein Neustart bzw. ein Warmstart des PC. Gleichzeitig wird für den Anwender
zur Information eine Fehlermeldung ausgegeben.
-
Im
Allgemeinen werden den Schaltungseinrichtungen einer Watchdog-Einrichtung
Daten aus den angeschlossenen und zu überwachenden PC periodisch
zugeführt
und nach vorbestimmten Kriterien entsprechend ausgewertet.
-
Watchdog-Einrichtungen
stellen nach Erkennen einer Fehlfunktion ganz oder teilweise automatisierte
Wiederinbetriebnahme-Maßnahmen
zur Verfügung,
die insbesondere geeignet sind, Computersysteme nach einer Fehlfunktion
oder nach einem Absturz erneut in Betrieb zu nehmen, wenn derartige Computersysteme
nicht unmittelbar von einem Bedienpersonal überwacht werden (Server).
-
Die
Watchdog-Einrichtung wird periodisch durch den zu überwachenden
PC entsprechend einem vorbestimmten Programm angesprochen bzw. angesteuert,
wobei innerhalb der Watchdog-Einrichtung
ein interner Zeitgeber bzw. ein Zeitzähler durch diese periodische
Ansteuerung zurückgesetzt
wird. Der Zeitzähler
ist in der Weise ausgelegt, dass bei Überschreiten einer vorbestimmten
Zeitdauer, in der keine Ansteuerung der Watchdog-Einrichtung durch den
zu überwachenden
PC erfolgt, ein Fehlerzustand erkannt oder angenommen wird und Maßnahmen
zur Wiederinbetriebnahme des überwachten
PC durch die Watchdog-Einrichtung durchgeführt werden.
-
Die
Watchdog-Einrichtung arbeitet im Allgemeinen im Hintergrund und
bildet eine Überwachungseinrichtung
für eine
ständige Überwachung. Es
werden entsprechende Signale zur Wiederinbetriebnahme bezüglich des
Rücksetzens
und des Neustartens des zu überwachenden
PC erzeugt und dem PC zugeführt.
Bei den bekannten Watchdog-Einrichtungen tritt jedoch das Problem
auf, dass neben einem gravierenden Fehler, der beispielsweise durch
einen Ausfall der Leistungsversorgung verursacht ist, auch Fehler
bei der Bearbeitung eines Programms auftreten. Erfolgt keine Ansteuerung
der Watchdog-Einrichtung,
dann wird durch diese der zu überwachende
PC vollständig
zurückgesetzt
und neu gestartet. Dies ist jedoch nicht immer erforderlich und mit
erheblichem Zeitaufwand und möglicherweise
mit einem Datenverlust verbunden.
-
Betrifft
das Computersystem beispielsweise in Prozessabläufen, Steuerungen für Sicherheitsanwendungen
(zum Beispiel Brennersteuerungen), dann ist es erforderlich, dass
im Fehlerfall sicher abgeschaltet wird, da hierbei ein sicherer
Betrieb trotz eines Fehlers nicht zwingend erforderlich ist. Eine derartige
Steuerung kann beispielsweise als eingebettete Mikrocontrollersteuerung,
als SPS oder auch als PC ausgeführt
sein.
-
Die
Druckschrift
DE 37
14 630 C2 betrifft eine Vorrichtung zur Überwachung
elektronischer Geräte,
wobei insbesondere elektronische Schaltungen der Geräte überwacht
werden können,
die ein periodisches Signal ausgeben. Ein erstes R-C-Glied wird
mittels der Signale des elektronischen Gerätes entladen, und ein Schwingkreis
umfasst ein zweites R-C-Glied, das in Abhängigkeit von dem Betriebszustand
des ersten R-C-Glieds ein Rücksetzsignal
erzeugt. Die Rücksetzsignale
können
dem elektronischen Gerät
zugeführt
werden. Mittels eines dritten R-C-Glieds kann das Tastverhältnis des
periodischen Rücksetzsignals
eingestellt werden, und es kann der Schwingkreis eine Einrichtung
aufweisen, die ein invertiertes Signal ausgibt. Das zweite und dritte R-C-Glied
können
dabei denselben Kondensator zur Verminderung des Schaltungsaufwands
verwenden. Das bekannte Erfassungskonzept der Vorrichtung zur Überwachung
elektronischer Geräte
beruht somit auf der Verwendung von Impulsen, wobei jedoch der Mikrocomputer
keine Regelung durchführt.
-
Die
Druckschrift
DE 32
40 707 A1 betrifft eine Schaltungsanordnung zur Überwachung
von elektronischen Rechenbausteinen, wobei der Schaltungsanordnung
regelmäßige (periodische)
Signale des zu überwachenden
Rechenbausteins zugeführt
werden. Ein Kondensator mit veränderlichem
Ladezustand ist vorgesehen zur Erfassung eines erlaubten minimalen
oder maximalen Signalabstands. Mittels der periodischen Signale
wird der Kondensator jeweils in einen festen Ladezustand versetzt.
Der Ladezustand wird auf einen zweiten Kondensator übertragen,
dessen Ladezustand kontinuierlich veränderbar ist, und bei Erreichen
eines festgelegten Spannungswerts, der mittels Komparatoren erfasst
wird, wird ein Rücksetzen
mittels eines Rücksetzsignals
ausgelöst.
Auf diese Weise wird eine Information gespeichert, sodass hierauf
außerhalb
eines vorgeschriebenen Zeitfensters zugegriffen werden kann.
-
Des
weiteren offenbart die Druckschrift
DE 33 22 242 A1 eine Einrichtung zur Funktionsüberwachung
elektronischer Geräte,
und insbesondere von Mikroprozessoren, wobei mittels eines aufladbaren und
entladbaren Kondensators die von dem zu überwachenden Gerät ausgegebenen
Kontrollimpulse erfasst werden. Vergleiche mit Schwellenwerten dienen
dazu, unregelmäßiges Auftreten
der im Normalbetrieb periodischen Kontrollimpulse zu erfassen. Ein Rücksetzsignal
wird bei erfasster Unregelmäßigkeit ausgegeben.
-
Schließlich offenbart
die Druckschrift
DE
31 06 869 A1 eine Schaltung zur Auflösung der Rückstellung eines Mikroprozessors,
wobei ein Kondensator aufgeladen wird und ein eine Rückstellung durchführendes
Halbleiterelement mittels der am Kondensator auftretenden Spannung
geschaltet wird. Nach Erreichen eines Grenzwerts wird die Ladung
des Kondensators periodisch verändert
und dadurch ein Rückstellsignal
von vorbestimmter Dauer im Halbleiterelement erzeugt. Das Rückstellsignal wird
nach Ablauf der Dauer unterdrückt.
-
Der
Erfindung liegt dem gegenüber
die Aufgabe zugrunde, ein Computersystem mit einer daran angeschlossenen
Watchdog- Vorrichtung
derart auszugestalten, dass das Computersystem durch die Watchdog-Vorrichtung
sicher überprüft werden
kann und eine Überprüfung der
Watchdog-Vorrichtung selbst durch das zu überwachende Computersystem gewährleistet
ist.
-
Erfindungsgemäß wird diese
Aufgabe durch ein Computersystem mit einer daran angeschlossenen
Watchdog-Vorrichtung gemäß den im
Patentanspruch 1 angegebenen Mitteln gelöst.
-
Gemäß der vorliegenden
Erfindung wird durch das zu überwachende
Computersystem eine an einem Kondensator auftretende Spannung erfasst und
es wird eine zyklische Aufladung und Entladung des Kondensators
bewirkt. Das Computersystem umfaßt ferner einen Komparator
zum Vergleichen der erfassten Spannung an dem Kondensator mit vorbestimmten
ersten Schwellenwerten zur Steuerung der Spannung am Kondensator
bei der Aufladung und Entladung innerhalb der ersten Schwellenwerte.
Ein in der Watchdog-Vorrichtung angeordneter Komparator dient zur
Erfassung der durch das Computersystem gesteuerten Spannung am Kondensator,
zum Vergleichen der Spannung mit zweiten vorbestimmten Schwellenwerten,
und zum Ausgeben eines Signals zum Bewirken einer ersten vorbestimmten
Maßnahme,
wenn die mittels des Komparators erfasste Spannung am Kondensator
die vorbestimmten zweiten Schwellenwerte überschreitet. Die auf diese
Weise gesteuerte Spannung am Kondensator dient der mit dem zu überwachenden
Computersystem verbundenen Watchdog-Vorrichtung als Erfassungsspannung
zur Bestimmung, ob das Computersystem korrekt arbeitet, und insbesondere
ob eine korrekte Programmverarbeitung vorliegt. Der Betrieb des Computersystems
kann somit auf einfache Weise und sicher überwacht werden.
-
Weitere
Ausgestaltungen sind in den Unteransprüchen angegeben.
-
Die
Erfindung wird nachstehend anhand von Ausführungsbeispielen unter Bezugnahme
auf die Zeichnungen näher
beschrieben. Es zeigen:
-
1 ein
Blockschaltbild der Watchdog-Vorrichtung in Verbindung mit einem
zu überwachenden Computersystem,
und
-
2 Signalzeitverläufe von
in der Watchdog-Vorrichtung auftretenden Signalen.
-
BESCHREIBUNG
DER BEVORZUGTEN AUSFÜHRUNGSBEISPIELE
-
1 zeigt
ein Blockschaltbild eines zu überwachenden
Computersystems 1, das mit einer Watchdog-Vorrichtung 2 (Watchdog-Schaltung, nachstehend
vereinfacht als WD-Schaltung bezeichnet) verbunden ist. Die WD-Schaltung 2 ist über Anschlüsse WDout
und WDin mit dem zu überwachenden
Computersystem 1 verbunden. Das Computersystem 1 kann
ein Personal Computer (PC), ein Server, ein Mikroprozessor (μP) oder dergleichen
sein. Ferner kann das Computersystem 1 mit einer Sicherheitseinrichtung
verbunden sein, die im Rahmen einer Prozesssteuerung (beispielsweise
eines Prozessablauf oder der Steuerung eines Brenners) ein sicheres
Abschalten (Abschaltfunktion) in einem Fehlerfall erfordert.
-
Die
WD-Schaltung umfasst einen mit einem weiteren Verbindungspunkt 25 potentialgleichen
Verbindungspunkt 24, der mittels eines Widerstands R1 mit
einer ersten vorbestimmten Spannung Uan (Analogspannung) und andererseits
mittels eines Widerstands R2 mit dem Anschluss WDout des Computersystems 1 verbunden
ist. Das Potential der Verbindungspunkte 24 und 25 wird
ferner einem Resetsignalgenerator 21 und einem Komparator 22 zugeführt. Der
Verbindungspunkt 25 ist ferner mit dem Computersystem 1 über den
Anschluss WDin und zu einem Massepotential über einen Kondensator C verbunden.
Die erste vorbestimmte Spannung Uan sowie eine zweite vorbestimmte
Spannung Udig werden dem Komparator 22 zugeführt, und
es wird dem Computersystem 1 ebenfalls die zweite vorbestimmte
Spannung Udig zugeführt.
Der Resetsignalgenerator 21 gibt an einen Anschluss 26 ein
Rücksetzsignal RESET
aus, das dem zu überwachenden
Computersystem 1 zugeführt
werden kann. Das Ausgangssignal des Komparators 22 wird
einem Zeitgeber 23 zugeführt, das ein Signal FREIG-SPERR
an einem Anschluss 27 abgibt. Das Signal dient zum Sperren oder
Freigeben der Sicherheitsfunktion des Computersystems 1,
wobei ein Rückmeldesignal
der Sicherheitseinrichtung dem Computersystem 1 zugeführt wird.
-
Die
Wirkungsweise der WD-Schaltung 2 in Verbindung mit dem
zu überwachenden
Computersystem 1 sowie die Interaktionen zwischen dem Computersystem 1 und
der WD-Schaltung 2 werden nachstehend beschrieben.
-
Das
Computersystem 1 bewirkt eine Ansteuerung der WD-Schaltung 2 immer
dann, wenn bei der Verarbeitung eines Programms durch das Computersystem 1 ein
entsprechender Programmteil die Ansteuerung der WD-Schaltung 2 anweist.
Die Ansteuerung erfolgt entsprechend dem Programm zyklisch in vorbestimmten
zeitlichen Abständen,
d.h. mit einer vorbestimmten zeitlichen Häufigkeit. Insbesondere wird
die WD-Schaltung 2 entsprechend einer in dem mittels des
Computersystems 1 zu verarbeitenden Programm enthaltenen
Programmschleife angesteuert bzw. bedient, wenn in der Programmschleife
alle Sicherheitsbedingungen erfüllt
sind und somit die Ansteuerung der WD-Schaltung 2 an der
Reihe ist.
-
Die
Ansteuerung der WD-Schaltung 2 mittels des zu überwachenden
Computersystems 1 bewirkt über den Anschluss WDin des
Computersystems 1 eine Messung (Erfassung) der an den Verbindungspunkten 24 und 25 anliegenden
Spannung, die gleich der Auflade- oder Entladespannung des Kondensators
C im Vergleich zum Massepotential ist. Der Kondensator C wird über den
Widerstand R1 und den Verbindungspunkt 24 mittels der ersten
vorbestimmten Spannung Uan aufgeladen. Erfasst das Computersystem
an dem Verbindungspunkt 25 über den Anschluss WDin eine
an dem Kondensator C anliegende Spannung, die vorbestimmte erste
Schwellenwerte überschreitet,
dann erfolgt eine jeweilige Entladung der am Kondensator C anliegenden
Spannung über
die Verbindungspunkte 25 und 24, den Widerstand
R2 und den Anschluss WDout des Computersystems 1, oder
es erfolgt eine Aufladung des Kondensators C mittels der ersten
vorbestimmten Spannung Uan über
den Widerstand R1 und die Verbindungspunkte 24 und 25.
Die zyklische Ansteuerung bzw. das zyklische Bedienen der WD-Schaltung 2 bewirkt
ein zyklisches Aufladen und Entladen des Kondensators C in Verbindung
mit der ersten vorbestimmten Spannung Uan. Durch die Wahl unterschiedlicher
Widerstandswerte für
die Widerstände R1
und R2 ist die Zeit zum Aufladen und Entladen des Kondensators ungleich
(unsymmetrisch), damit bei einem Ansteuerungsfehler die am Kondensator
C anliegende Spannung nicht gleich bleibt. Es ergeben sich somit
durch die unterschiedlichen Widerstandswerte der Widerstände R1 und
R2 in Verbindung mit dem Kapazitätswert
des Kondensators C unterschiedliche Zeitkonstanten bei der Aufladung
und der Entladung und damit unterschiedliche Signalzeitverläufe.
-
Die
Zeiten zum Aufladen und Entladen des Kondensators sind derart bemessen,
dass jeweils bei jedem Auflade- und Entladevorgang des Kondensators
C eine Vielzahl von Messungen bzw. Erfassungen der am Kondensator
C anliegenden Spannung seitens des Computersystems 1 am
Anschluss WDin über
den Verbindungspunkt 25 durchgeführt werden kann. Die Vielzahl
der Messungen jeweils während des
Auflade- oder Entladevorgangs wird mittels des Computersystems 1 ausgewertet,
wobei auf diese Weise eine Steuerung bzw. eine Regelung der Kondensatorspannung,
d.h. der an dem Verbindungspunkt 25 auftretenden Spannung
bewirkt wird.
-
Die
Steuerung bzw. Regelung der am Kondensator C auftretenden Spannung
betrifft somit das zyklische Aufladen und Entladen des Kondensators C,
wobei dessen Spannung, d.h. die an den potentialgleichen Punkten 24 und 25 anliegende
Spannung bei einem normalen (fehlerfreien) Betrieb des Computersystems 1 innerhalb
vorgegebener erster Schwellenwerte gehalten wird. Entsprechend dem mehrfach
erfassten Spannungswert an dem Verbindungspunkt 25 über den
Anschluss WDin des Computersystems 1 wird eine erforderliche
Aufladung oder Entladung des Kondensators jeweils über die Widerstände R1 und
R2 bewirkt.
-
Zur
Auswertung der am Kondensator C anliegenden Spannung während der
Aufladung und der Entladung umfasst das Computersystem 1 einen systemeigenen
(nicht gezeigten) internen Analog/Digital-Wandler (A/D-Wandler),
der die erfassten analogen Spannungswerte in digitale Signale umwandelt, und
einen (nicht gezeigten) Komparator zum Vergleichen der digitalisierten
Spannungswerte mit den ersten vorbestimmten Schwellenwerten. Die
Steuerung der Spannung an dem Kondensator C mittels des Computersystems 1 wird
in Abhängigkeit
von einem Vergleich der jeweils bei der Aufladung und der Entladung
erfassten und digitalisierten Spannungswerte durchgeführt.
-
Durch
die wiederholte Messung der Spannung am Kondensator C mittels des
Computersystems 1 über
den Anschluss WDin und durch die Steuerung der Spannung am Kondensator
C mittels des Anschlusses WDout wird ebenfalls der interne (nicht gezeigte)
A/D-Wandler des Computersystems 1 überprüft und es wird sichergestellt,
dass der interne A/D-Wandler korrekt arbeitet und Programmcodes
im Computersystem 1 richtig ausgeführt werden. Hierfür werden
die Ausgangssignale des A/D-Wandlers mit den internen ersten Schwellenwerten
verglichen.
-
Mit
der regelmäßigen Ansteuerung
der WD-Schaltung 2 entsprechend einem in dem Computersystem 1 verarbeiteten
Programm bei zyklischer Anweisung durch das Programm (Programmschleife)
wird sichergestellt, dass die Laufzeit des Programms nicht zu lang
wird und die WD-Schaltung 2 bei einem korrekten (normalen)
Betrieb der entsprechenden Programmschleife angesteuert wird. In diesem
Fall wird die entsprechende Programmschleife zur Ansteuerung der
WD-Schaltung 2 regelmäßig durchlaufen.
Die Ansteuerung der WD-Schaltung 2 erfolgt
somit über
die Steuerung des Aufladens und Entladens des Kondensators C innerhalb
des zulässigen
Bereichs der ersten vorgegebenen Schwellenwerte (Spannungsgrenzwerte).
-
Mittels
des Komparators 22 überprüft die WD-Schaltung 2,
ob das Computersystem 1 die während des zyklischen Aufladens
und Entladens des Kondensators C auftretenden Spannungen innerhalb der
vorbestimmten Grenzen liegen, ob somit die Steuerung der Spannung
am Kondensator C durch das Computersystem 1 bezüglich des
erlaubten Bereichs der am Kondensator C auftretenden Spannungen
korrekt durchgeführt
wird.
-
Wird
durch die WD-Schaltung 2 ermittelt, dass die durch das
Computersystem 1 bewirkte und gesteuerte Aufladung und
Entladung des Kondensators C zu Spannungen am Verbindungspunkt 25 führt, die
außerhalb
des erlaubten Bereichs liegen und somit die vorbestimmten Schwellenwerte überschreiten,
erfolgt durch die WD-Schaltung 2 ein Sperren einer Sicherheitsfunktion
und gegebenenfalls ein Rücksetzen
(Reset) des Computersystems 1. Dies wird nachstehend unter
Bezugnahme auf 2 im Einzelnen beschrieben.
-
2 zeigt
Signalzeitverläufe
von in der WD-Schaltung 2 auftretenden Signalen.
-
Eine
analoge Spannung Uan wird dem Widerstand R1 sowie dem Komparator 22 zugeführt, und
dient in Verbindung mit dem Widerstand R1 zur Aufladung des Kondensators
C, sofern dies durch das zu überwachende
Computersystem 1 angewiesen wird. Eine Entladung des Kondensators
C erfolgt durch eine entsprechende Ansteuerung des Anschlusses WDout
des Computersystems 1 über
den zweiten Widerstand R2. Die Abtastwerte des im Computersystem 1 angeordneten
internen A/D-Wandlers
veranschaulichen den Zeitverlauf der Auflade- und Entladespannung
am Kondensator C. Erste Schwellenwerte (oberer Schwellenwert Syst. A/D,
unterer Schwellenwert Syst. A/D) sind Schwellenwerte, mittels denen
die Ausgangssignale des (nicht gezeigten) A/D-Wandlers des Computersystems 1 ausgewertet
werden. Im Einzelnen werden die während der Aufladung oder Entladung
des Kondensators C am Verbindungspunkt 25 auftretenden Spannungen
zyklisch abgetastet, in digitale Signale umgewandelt und mit den
ersten Schwellenwerten im Computersystem 1 zur Durchführung der
Steuerung der Spannungen am Kondensator C verglichen. Die vorstehend
beschriebene Steuerung der am Kondensator C und an den Verbindungspunkten 24 und 25 auftretenden
Spannung innerhalb der ersten Schwellenwerte bewirkt, dass im Wesentlichen
die Spannungen innerhalb der ersten Schwellenwerte gehalten werden,
wenn ein ungestörter
normaler Betrieb des Computersystems 1 vorliegt. Da das
Computersystem 1 fehlerfrei arbeitet, erfolgt ebenfalls eine
fehlerfreie Ansteuerung (Aufladung und Entladung des Kondensators)
der WD-Schaltung 2. Die ersten Schwellenwerte sind in 2 angegeben,
innerhalb denen sich die sägezahnähnliche
Auflade- und Entladekennlinie der am Kondensator C auftretenden
Spannung im fehlerfreien Betrieb bewegt.
-
2 zeigt
ebenfalls zweite Schwellenwerte (oberer Schwellenwert Komp., unterer
Schwellenwert Komp.), die zur Bestimmung durch die WD-Schaltung 2 dienen,
ob die am Kondensator C (Verbindungspunkt 25) auftretende
Spannung innerhalb der zweiten Schwellenwerte liegen. Die dem Komparator 22 zugeordneten
zweiten Schwellenwerte bestimmen einen zulässigen Bereich der am Kondensator
C auftretenden Spannung, der größer ist
als der durch die ersten Schwellenwerte bestimmten zulässigen Bereich,
und wobei der zulässige
Bereich der ersten Schwellenwerte vollständig in dem zulässigen Bereich
der zweiten Schwellenwerte liegt, wie dies in 2 angegeben
ist. Es ist ferner auch möglich,
die jeweiligen unteren und oberen Schwellenwerte der ersten und
zweiten Schwellenwerte gleich zu wählen.
-
Überschreitet
die am Kondensator C anliegende Spannung die zweiten, auf den Komparator 22 bezogenen
Schwellenwerte (jeweils oberer und unterer Schwellenwert), dann
gibt der Komparator 22 an, dass eine Überschreitung aufgetreten ist.
In diesem Fall erfolgt keine Freigabe der Sicherheitsfunktion, d.h.
es erfolgt eine Sperrung der Sicherheitsfunktion, beispielsweise
durch einen niedrigen Pegel des Signals FREIG-SPERR gemäß 2. Ein Überschreiten
der zweiten Schwellenwerte durch die am Kondensator C beim Aufladen
oder Entladen auftretenden Spannungen löst somit ein Ansprechen der WD-Schaltung 2 und
entsprechende Maßnahmen aus,
die im vorliegenden Fall, wie es zu den Zeitpunkten ta und tb in 2 angegeben
ist, das Sperren der Sicherheitsfunktion betreffen.
-
Wird
durch die am Kondensator C bei der Aufladung (am Verbindungspunkt 25)
auftretende Spannung größer als
ein dritter Schwellenwert SchwRESET, dann wird dieser Sachverhalt
durch den Resetsignalgenerator 21 erfasst. Es erfolgt somit
gemäß 2 ein
Rücksetzen
(Reset) des Computersystems 1 durch die WD-Schaltung 2 (Bereiche
tc und td in 2). Solange die am Kondensator
C auftretende Spannung innerhalb der zweiten Schwellenwerte liegt
und insbesondere den dritten Schwellenwert SchwRESET nicht überschreitet,
erfolgt kein Rücksetzen
des zu überwachenden
Computersystems 1, da der Resetsignalgenerator 21 kein
RESET-Signal abgibt.
-
Somit überwacht
die WD-Schaltung 2, ob das zu überwachende Computersystem 1 in
der Lage ist, die am Kondensator C bei der Aufladung oder Entladung
auftretende Spannung derart zu steuern, dass sie innerhalb des durch
die zweiten Schwellenwerte bestimmten zulässigen Bereichs liegen. Sollten
die erfassten Spannungen am Kondensator C (Verbindungspunkt 25,
Anschluss WDin) außerhalb des
zulässigen
Bereichs der zweiten Schwellenwerte des Komparators 22 liegen,
dann wird die Sicherheitsfunktion gesperrt.
-
Dies
erfolgt gemäß 2 zu
den Zeitpunkten ta und tb, wobei der dem Komparator 22 nachgeschaltete
Zeitgeber 23 bestimmen kann, dass das Sperren der Sicherheitsfunktion
noch eine kurze vorbestimmte Zeitdauer andauert, auch wenn vor Ablauf dieser
Zeitdauer die am Kondensator C auftretende Spannung wieder in den
mittels der zweiten Schwellenwerte definierten zulässigen Bereich
des Komparators 22 tritt. Der Signalzeitverlauf des Signals FREIG-SPERR
zeigt nach den Zeitpunkten ta und tb an, dass die Sperrung der Sicherheitsfunktion
erst nach einer vorbestimmten Zeitdauer aufgehoben wird, d.h. dass
erst nach Ablauf dieser vorbestimmten Zeitdauer ein Potentialwechsel
dieses Signals auftritt.
-
Wird
durch das Computersystem 1 die WD-Schaltung nicht oder
nicht korrekt angesteuert, wird somit die am Kondensator C auftretende
Spannung nicht innerhalb der zweiten Schwellenwerte des Komparators 22 geregelt,
dann steigt die Kondensatorspannung bei einer Aufladung mit der
ersten Spannung Uan über
den Widerstand R1 erheblich an und löst bei überschreiten des dritten Schwellenwerts SchwRESET
das Rücksetzen
und gegebenenfalls das Neustarten des Computersystems 1 aus.
-
Somit
dient die auf diese Weise gesteuerte Spannung am Kondensator C der
mit dem zu überwachenden
Computersystem 1 verbundenen WD-Schaltung als Erfassungsspannung
zur Bestimmung, ob das Computersystem 1 korrekt arbeitet.
-
Eine
Fehlfunktion des Computersystems 1 kann auftreten, wenn
ein interner Oszillator des Computersystems 1 nicht anschwingt,
wenn nach einem Power-Up-Reset das System nicht korrekt gestartet wird
oder wenn ein Systemabsturz aufgetreten ist. Mittels des durch den
Resetsignalgenerator 21 (am Anschluss 26) in diesem
Fall erzeugten und dem Computersystem 1 zugeführten Rücksetzsignal
RESET wird das Computersystem 1 zurückgesetzt und neu gestartet.
Während
der Zeit des erneuten Startens des Computersystems 1 bleibt
die Sicherheitsfunktion gesperrt. Der Zeitgeber 23 gibt
an eine mit den Computersystem 1 verbundene nicht gezeigte Sicherheitseinrichtung
(zum Bewirken der Abschaltfunktion) ein entsprechendes Signal am
Anschluss 27 aus, wobei die vorstehend angegebene zeitliche Verzögerung der
Freigabe um eine vorbestimmte Zeitdauer durchgeführt werden kann. Das Signal kann
als Rückmeldesignal
der Sicherheitseinrichtung dem Computersystem 1 zugeführt werden.
-
Durch
die WD-Schaltung 2 erfolgt ferner eine indirekte Überwachung
der ersten Spannung Uan und der weiteren Spannung Udig.
-
Einerseits
wird das Komparatorfenster, d.h. der mittels der zweiten Schwellenwerte
bestimmte Zulässigkeitsbereich
des Komparators 22 von diesen Spannungen Uan und Udig abgeleitet, so
dass eine indirekte Überwachung
dieser Spannungen möglich ist.
Es kann im Einzelnen erfasst werden, ob die Spannungen in fehlerhafter
Weise erheblich voneinander abweichen. So kann im Falle einer erheblichen Abweichung
der Spannungen voneinander der untere Schwellenwert über dem
oberen Schwellenwert liegen oder der obere Schwellenwert kleiner
als der untere Schwellenwert sein. Wird dieser Fall erkannt, dann
ergreift die WD-Schaltung 2 entsprechende Maßnahmen,
und es erfolgt eine Sperrung der Sicherheitsfunktion.
-
Andererseits
kann bei einem sehr starken Abweichen der Spannungen Uan und Udig
voneinander infolge einer Fehlfunktion die Anzahl der Messungen,
die das zu überwachende
Computersystem 1 mittels des Anschlusses WDin bezüglich der
Kondensatorspannung am Verbindungspunkt 25 durchgeführt, nicht
in einem vorbestimmten Bereich liegen. In diesem Fall wird durch
das Computersystem 1, beispielsweise durch ständiges Halten
der am Kondensator C anliegenden Spannung auf einem zu niedrigen
Wert mittels der WD-Schaltung 2 die Sicherheitsfunktion
gesperrt.
-
Des
weiteren kann das zu überwachende Computersystem 1 seinerseits
die korrekte Funktionsweise der WD-Schaltung 2 überprüfen. Zu
diesem Zweck wird die Spannung am Kondensator C, die über den
Anschluss WDin des Computersystems 1 erfasst wird, in der
Weise gesteuert, dass die Spannung gezielt den oberen oder unteren
Schwellenwert der zweiten Schwellenwerte bezüglich des Komparators 22 übersteigt
und damit bei korrekter Arbeitsweise der WD-Schaltung 2 eine
Sperrung der Sicherheitsfunktion auslösen muss. Bei korrekter Arbeitsweise
der WD- Schaltung wird bei Überschreiten
der zweiten Schwellenwerte durch die am Kondensator C auftretende
Spannung, auch bei einem gezielten Überschreiten dieser Spannung
durch eine entsprechende Regelungsmaßnahme des Computersystems 1 die
Sicherheitsfunktion gesperrt. Ist dies der Fall, dann kann von einer
korrekten Arbeitsweise der WD-Schaltung
ausgegangen werden.
-
Das
zu überwachende
Computersystem 1 kann neben der gezielten Auslösung der
Sperre der Sicherheitsfunktion auch die Überprüfung der WD-Schaltung 2 bezüglich des
Rücksetzens
des Computersystems 1 bei korrekter Arbeitsweise durchführen. Eine
Auslösung
der Reset-Funktion, d.h. die Ausgabe des Signals RESET erfolgt,
wenn die Spannung am Kondensator C nicht durch eine entsprechende
Steuerung begrenzt wird sondern weiter ansteigt und den dritten
Schwellenwert RESET übersteigt.
Dies ist gleichbedeutend mit der Wirkung einer fehlenden Ansteuerung
der WD-Schaltung 2 durch das Computersystem 1.
Gemäß der Darstellung
in 2 wird beim Überschreiten
des Schwellenwerts SchwRESET durch die Kondensatorspannung die Ausgabe
des Signals RESET bewirkt, so dass ein Rücksetzen und Neustarten des Computersystems 1 erfolgt
(analog den Zeitpunkten tc und td in 2).
-
Die
vorstehend beschriebene WD-Schaltung wird somit in Verbindung mit
einer Aufladung und Entladung des Kondensators zyklisch angesteuert, wobei
die Aufladung und Entladung des Kondensators C in der Weise gesteuert
wird, dass die hierbei am Kondensator C auftretenden Spannungen
innerhalb vorgegebener (erster) Schwellenwerte liegen. Die Aufladung
und Entladung der Kondensatorspannung erfolgt mit unterschiedlichen
Zeitkonstanten durch unterschiedliche Widerstände R1 (Aufladung) und R2 (Entladung über Anschluss
WDout). Eine korrekte Steuerung bzw. Regelung der Spannung am Kondensator
(Verbindungspunkt 25) bezeichnet eine korrekte Arbeitsweise
des zu überwachenden
Computersystems 1 und insbesondere, ob das Computersystem 1 ein
vorbestimmtes Programm korrekt verarbeitet und ob der richtige Programmablauf
erreicht wird. Ist in dem Computersystem 1 der Programmablauf
gestört,
dann kann dies zu einer zeitweiligen Überschreitung der ersten und
zweiten Schwellenwerte führen,
so dass in genauerer Weise ein Programmablauffehler innerhalb des
Computersystems 1 erkannt werden kann und die WD-Schaltung 2 in entsprechender
Weise mit Gegenmaßnahmen
reagiert. Dies ist vorteilhaft in Systemen mit Ein- oder Zwei-Prozessorschaltungen.
-
Durch
die Überwachung
der Spannungen Uan und Udig, d.h. einer Spannung zum Aufladen des
Kondensators und der Prozessorspannung, mittels der WD-Schaltung 2 kann
auf einen zusätzlichen Schaltungsaufwand
zur Überwachung
dieser Spannungen verzichtet werden. Bei fehlerhaften Spannungen
und insbesondere bei zu großen
oder zu geringen Spannungen und damit einem erheblichen Abweichen
zwischen den Spannungen wird die WD-Schaltung 2 nicht in
der korrekten erforderlichen Weise angesteuert, so dass die WD-Schaltung 2 die Sicherheitsfunktion
sperrt. Auch kann durch fehlerhafte Spannungen die WD-Schaltung
nicht mehr funktionsfähig
sein, wodurch ebenfalls eine Sperre der Sicherheitsfunktion bewirkt
wird.
-
Tritt
im Computersystem 1 ein erheblicher Fehler auf, entsprechend
dessen die Spannung am Kondensator C auf höhere Werte ansteigt, die über dem
dritten Schwellenwert SchwRESET liegen, dann wird durch die WD-Schaltung 2 ein
Rücksetzen
des Computersystems 1 und ein Neustart bewirkt. Die Sicherheitsfunktion
wird ebenfalls gesperrt.
-
Durch
den Aufbau der WD-Schaltung kann ferner das Computersystem 1 oder
ein einzelner Mikroprozessor gezielt einen eigenen Hardware-Reset durchführen. Dies
kann in verschiedenen Anwendungen von Vorteil sein. In dieser Zeit
ist die Sicherheitsfunktion ebenfalls gesperrt.
-
Das
Computersystem 1 ist somit in Verbindung mit der WD-Schaltung 2 in
der Lage, verschiedene vorstehend angegebene Prüfungen (im Rahmen eines Selbsttests)
durchzuführen.
Insbesondere können
gezielt Spannungen am Kondensator C bewirkt werden, die die ersten
und zweiten Schwellenwerte sowie den dritten Schwellenwert übersteigen und
die entsprechenden Maßnahmen
durch die WD-Schaltung 2 auslösen. Es ist somit durch die
Anordnung der WD-Schaltung 2 in Verbindung mit dem zu überwachenden
Computersystem 1 eine gegenseitige Überwachung gewährleistet.
-
Das
Computersystem 1 und die WD-Schaltung 2 bilden
zusammen eine Steuerungseinheit bzw. einen Regelkreis, wobei das
Computersystem 1 im Einzelnen die am Kondensator C auftretenden Spannungen
beim Aufladen und Entladen steuert bzw. regelt. Solange dies in
korrekter Weise erfolgt, d.h. solange die WD-Schaltung 2 durch
das zu überwachende
Computersystem 1 korrekt angesteuert wird, ist die Sicherheitsfunktion
freigegeben.
-
Die
WD-Schaltung 2 ist somit in der Lage, entsprechend dem
erkannten Fehler im überwachten Computersystem 1,
d. h. in Abhängigkeit
davon, welche Schwellenwerte überschritten
wurden, eine geeignete Maßnahme
zur Aufrechterhaltung der Sicherheit des Betriebs des Computersystems 1 durchzuführen.
-
Die
erfindungsgemäße Watchdog-Vorrichtung 2 in
Verbindung mit dem Computersystem 1 ist ferner in der Lage,
einen korrekten Programmablauf bei der Steuerung durch das Computersystem 1 zu überprüfen. Es
wird als Sicherheitsfunktion ein sicheres Abschalten für dem Computersystem 1 zugeordnete
Sicherheitsstellglieder gewährleistet,
falls ein Fehler im Programmablauf festgestellt wird. Gemäß der vorstehenden
Beschreibung äußert sich
ein Programmablauffehler in einem Überschreiten oder Unterschreiten
eines der Schwellenwerte der Kondensatorspannung, da das Computersystem 1 (beispielsweise
ein Mikrocontroller) im Fehlerfall die Kondensatorspannung nicht
mehr in dem erlaubten Bereich steuern kann. Der Komparator 22 der
Watchdog-Vorrichtung erkennt das Überschreiten der Schwellenwerte
und löst
eine Sicherheitsabschaltung aus (RESET).
-
Die
Watchdog-Vorrichtung ist ferner verwendbar für sämtliche Anwendungen, bei denen
ein sicherer Weiterbetrieb im Fehlerfall oder eine sichere Abschaltung
im Fehlerfall erforderlich ist.
-
Das
Computersystem 1 kann bei einer Anwendung in der Steuerungstechnik
beispielsweise auch mit zwei Mikrocontrollern ausgestattet sein. Sinnvolle
Ausführungen
können
ein Mikrocontroller und eine Watchdog-Vorrichtung, ein Mikrocontroller und
zwei Watchdog-Vorrichtungen oder zwei Mikrocontroller und eine Watchdog-Vorrichtung
sein.