DE102004045756B4

DE102004045756B4 - Integrierter programmierbarer Baustein für sicherheitskritische Anwendungen

Info

Publication number: DE102004045756B4
Application number: DE102004045756A
Authority: DE
Inventors: Ralf Wagner; Bernhard Fuessl; Arthur Kreutzer
Original assignee: Texas Instruments Deutschland GmbH
Current assignee: Texas Instruments Deutschland GmbH
Priority date: 2004-09-21
Filing date: 2004-09-21
Publication date: 2010-11-04
Anticipated expiration: 2024-09-22
Also published as: US7573830B2; DE102004045756A1; US20060109841A1

Abstract

Integrierter programmierbarer Baustein, der eine Mehrzahl an Signaleingängen (P1–P3) und eine Mehrzahl an Schaltungselementen (S1–S3) umfasst, von denen jedes mit einem anderen der Signaleingänge (P1–P3) verbunden ist, um unter Steuerung durch einen Steuerkreis (15) zumindest einen der Signaleingänge (P1–P3) zur Weiterleitung eines ausgewählten Eingangssignals auszuwählen; wobei der Steuerkreis (15) ein Kanalauswahlsignal (16) empfängt, das einen auszuwählenden Signaleingang anzeigt, und eine Mehrzahl an Freigabeleitungen (E1–E3) zur selektiven Aktivierung der Schaltungselemente (S1–S3) in Übereinstimmung mit dem Kanalauswahlsignal (16) umfasst; und der gekennzeichnet ist dadurch, dass er ferner eine Mehrzahl an Rückkopplungsschienen (F1–F3) umfasst, die je mit einer anderen der Freigabeleitungen (E1–E3) zur Lieferung einer Kanalrückkopplung verbunden sind, die anzeigt, welche Schaltungselemente (S1–S3) freigegeben sind.

Description

Gebiet der Erfindung
Die vorliegende Erfindung bezieht sich auf das Gebiet der Elektronik und konkreter auf einen integrierten programmierbaren Baustein für sicherheitskritische Anwendungen und auf ein Verfahren zur Steuerung der Funktion eines integrierten programmierbaren Bausteins.
Hintergrund der Erfindung
In Kfz-Anwendungen werden immer mehr Funktionen eher durch programmierbare Bausteine und zugehörige Anwendungssoftware als durch dedizierte Schaltungsbauteile implementiert. Dies gilt auch für bestimmte sicherheitskritische Anwendungen, wie zum Beispiel das elektronische Stabilitätsprogramm (ESP) oder die Airbag-Steuerungs- und Freigabefunktion. Für solche sicherheitskritischen Funktionen ist es absolut zwingend, eine korrekte Funktion des programmierbaren Bausteins und seiner zugehörigen Anwendungssoftware sicherzustellen.
Da programmierbare Bausteine natürlich gemeinsam für mehrere verschiedene Anwendungen verwendet werden, werden Schaltergruppen oder Multiplexer verwendet, um dem programmierbaren Baustein selektiv die verschiedenen Eingangssignale für die entsprechenden Anwendungen zuzuführen. Für sicherheitskritische Anwendungen ist es zwingend erforderlich, sicherzustellen, dass die richtigen Eingangssignale von der Schaltergruppe oder vom Multiplexer ausgewählt und dem programmierbaren Baustein zugeführt werden. Fehlfunktionen der zugehörigen Umschaltsteuerlogik hätten zur Folge, dass von den festgelegten Eingangssignalen abweichende Signale durch die Schaltergruppe geleitet würden.
Hardware- und Softwarehersteller sind heute mit dem Problem konfrontiert, wie sichergestellt werden kann, dass der Ausgang der Schaltergruppe oder des Multiplexers tatsächlich mit dem gewählten Eingangskanal übereinstimmt. Bis jetzt können nur Plausibilitätsprüfungen der weitergeleiteten Signale durchgeführt werden, um festzustellen, ob es sich um das festgelegte Signal handelt oder nicht, aber Plausibilitätsprüfungen sind für sicherheitskritische Anwendungen eindeutig nicht zufrieden stellend.
Die gattungsbildende DE 102 54 390 A1 offenbart eine Schaltungsanordnung zur Verarbeitung von Messsignalen mit mehreren Messsignaleingängen, die über einen Multiplexer wahlweise an eine Testleitung gelegt werden können. JP 11205139 A offenbart eine Signalverarbeitungsschaltung mit einem Multiplexer zum Weiterleiten von Wechselspannungssignalen, wobei eine an einen Signaleingang angelegte Gleichspannung zum Überprüfen der Kanalschaltfunktion des Multiplexers dient.
Es ist daher ein Ziel der vorliegenden Erfindung, einen integrierten programmierbaren Baustein zu liefern, der es ermöglicht, auf zuverlässige Weise die korrekte Funktion des Eingangskanal-Auswahlverfahrens zu verifizieren.
Zusammenfassung der Erfindung
Diese und andere Ziele, die unten auftauchen, werden durch einen integrierten programmierbaren Baustein erreicht, der eine Mehrzahl an Signaleingängen aufweist, die mit einer Mehrzahl an Schaltungselementen entsprechend verbunden sind. Jedes Schaltungselement hat eine zugehörige Freigabeleitung. Ein Steuerkreis aktiviert über diese Freigabeleitungen ausgewählte Signaleingänge in Übereinstimmung mit einem Kanalauswahlsignal. Jede Freigabeleitung hat eine zugehörige Rückkopplungsschiene zur Lieferung einer Kanalrückkopplung, die anzeigt, welche Signaleingänge tatsächlich freigegeben wurden. So lange die Kanalrückkopplung mit dem Kanalauswahlsignal übereinstimmt, wird die Funktion des Steuerkreises als korrekt festgestellt. Andernfalls wird eine Fehlerbehandlung eingeleitet.
Der Vergleich des Kanalauswahlsignals und der Kanalrückkopplung kann durch eine Vergleichslogikschaltung durchgeführt werden, und/oder die Kanalrückkopplung kann in einem dedizierten Register oder Speicherbereich, auf das bzw. den ein den Vergleich durchführendes Softwareprogramm zugreifen kann, gespeichert werden.
Die Erfindung bietet erhebliche Sicherheitsverbesserungen für programmierbare Bausteine, die selektiv verbundene analoge Eingange haben. Sie kann leicht in bestehende Systeme integriert werden, erfordert weder irgendwelche externe Signale oder Bauteile, noch massiven Software-Overhead.
Kurze Beschreibung der Zeichnungen
Unten wird ein bevorzugtes Ausführungsbeispiel der Erfindung unter Bezugnahme auf die beigefügte Zeichnung beschrieben, in der die einzelne Figur ein Blockdiagramm einer Schaltergruppe und integrierte Vergleichslogik für einen Mikrocontroller zeigt.
Ausführliche Beschreibung der Erfindung
Der in der Figur gezeigte Schaltkreis hat drei Signaleingänge P1, P2 und P3 für analoge Eingangssignale. Jeder Signaleingang ist mit einem Eingangsanschluss eines der drei Schaltungselemente S1, S2 und S3 einer Schaltergruppe 10 verbunden. Jedes Schaltungselement S1–S3 hat eine zugehörige Freigabeleitung E1, E2 und E3, die mit einem Logik-Steuerkreis 15 der Schaltergruppe 10 verbunden ist. Ein Eingang des Steuerkreises 15 ist über eine parallele n-Bit-Leitung 16 mit einer Steuer- und Zustandsablaufsteuerung 50, die durch eine Anwendungssoftware 60 gesteuert wird, verbunden. Die drei Schaltungselemente S1–S3 haben miteinander verbundene Ausgangsanschlüsse, die mit dem Ausgang 11 der Schaltergruppe 10 verbunden sind, die mit einem Eingang einer Abtast-Halte-Schaltung 21 verbunden ist. Die Ausgabe der Abtast-Halte-Schaltung 21 wird einem Analog-Digital-Wandler (A/D-Wandler) 22 zugeführt. Eine parallele n-Bit-Leitung 23 führt vom digitalen Ausgang des A/D-Wandlers 22 zu einem Speicherbereich 33 eines Ergebnisregisters 30.
An jede der Freigabeleitungen E1–E3 ist eine zugehörige Rückkopplungsleitung F1–F3 angeschlossen. Die Rückkopplungsleitungen F1–F3 führen zu einer Vergleichslogikschaltung 40. Die Vergleichslogikschaltung 40 ist auch mit der Leitung 16 verbunden, die von der Steuer- und Zustandsablaufsteuerung 50 kommt. Die Vergleichslogikschaltung 40 gibt das Signalmuster von den Rückkopplungsschienen F1–F3 in einen dedizierten Speicherbereich 31 des Steuerregisters 30 aus. Zusätzlich wird ein Kanalauswahlsignal von der Ablaufsteuerung 50 in einen Speicherbereich 32 des Ergebnisregisters 30 geschrieben.
Der gezeigte Schaltkreis ist Teil eines Mikrocontrollers für Kfz-Anwendungen. Im bevorzugten Ausführungsbeispiel steuert der Mikrocontroller die Airbag- und Chassis-Funktionen eines Fahrzeugs. Zu diesem Zweck sind mehrere analoge Signale von externen Sensoren, wie zum Beispiel Aufprall-, Neigungs- und Beschleunigungssensoren mit den verschiedenen Signaleingängen P1–P3 des Mikrocontrollers verbunden. Die Ablaufsteuerung 50 bestimmt die Reihenfolge, in der die einzelnen Signaleingänge abgefragt werden. Die Ablaufsteuerung 50 gibt somit an der Leitung 16 eine digitale Meldung mit der Kanalidentifikation des entsprechenden abzufragenden Signaleingangs aus. Der Steuerkreis 15, der die digitale Meldung empfangt, erzeugt an der entsprechenden Freigabeleitung E1–E3, die der ausgewählten Eingangsleitung P1–P3 entspricht, ein Freigabesignal für das entsprechende Schaltungselement S1–S3. In Reaktion auf das Freigabesignal wird der entsprechende Schalter S1–S3 geschlossen, um den ausgewählten Signaleingang P1–P3 an den Ausgang 11 der Schaltergruppe 10 weiterzuleiten. Die Abtast-Halte-Schaltung 21 tastet das analoge Signal vom ausgewählten Signaleingang P1–P3 ab, und der A/D-Wandler 22 wandelt den abgetasteten analogen Signalwert in einen digitalen n-Bit-Wert um, der dann über die parallele Leitung 23 in den Speicherbereich 33 des Ergebnisregisters 30 geschrieben wird.
Die Vergleichslogikschaltung 40 überwacht über die Rückkopplungsschienen F1–F3 die Freigabesignale auf den Freigabeleitungen E1–E3 und stellt fest, ob ein Freigabesignal an der Freigabeleitung des entsprechenden Schaltungselements S1–S3, das der durch das Kanalauswahlsignal auf Leitung 16 festgelegten Kanalidentifikation entspricht, angelegt ist. Beim Auftreten einer fehlerhaften Paarung setzt die Vergleichslogikschaltung 40 eine Flagge, um eine Fehlerbehandlungsroutine einzuleiten. Alternativ oder zusätzlich hierzu kann ein Unterbrechungssignal erzeugt werden, oder es wird eine beliebige ähnliche Aktion durchgeführt, um eine Fehlerbehandlungsroutine einzuleiten. Zusätzlich schreibt die Vergleichslogikschaltung 40 das Kanalauswahlsignal von der Leitung 16 und die Kanalrückkopplung von den Rückkopplungsleitungen F1–F3 in die Speicherbereiche 32 bzw. 31 des Ergebnisregisters 30, um einen weiteren Vergleich durch Anwendungssoftware zu ermöglichen.
Die in den Speicherbereich 31 des Ergebnisregisters 30 geschriebene Kanalrückkopplung ist ein Abtast-Bitmuster, das anzeigt, an welche der Freigabeleitungen E1–E3 ein hoher bzw. niedriger Signalzustand angelegt ist. Somit hat die Kanalrückkopplung für die drei Freigabeleitungen E1–E3 im beispielhaften Ausführungsbeispiel eine Länge von drei Bit, wobei jedes Bit einer der Freigabeleitungen E1–E3 entspricht und anzeigt, ob sich die entsprechende Freigabeleitung in einem hohen („1”) oder niedrigen („0”) Signalzustand befindet.
Das Ergebnisregister 30 dient als Eingangsregister für einen integrierten Prozessor des Mikrocontrollers (nicht abgebildet), auf dem das Anwendungsprogramm 60 läuft. Auf den Dateninhalt des Ergebnisregisters 30 kann somit vom Anwendungsprogramm 60 zugegriffen werden. Da alle Informationen, einschließlich der digitalisierten Daten vom A/D-Wandler 22, der ausgewählten Kanalidentifikation und der Kanalrückkopplung somit für das Anwendungsprogramm verfügbar sind, kann letzteres Gegenproben dahingehend durchführen, ob die richtige Kanalidentifikation von der Steuer- und Zustandsablaufsteuerung 50 geliefert wurde, und ob der Steuerkreis 15 der Schaltergruppe 10 den festgelegten Signaleingang entsprechend dem Kanalauswahlsignal freigegeben hat. Außerdem können auch zusätzliche Zustandsbits an das Anwendungsprogramm 60 durch das Ergebnisregister 30 weitergeleitet werden.
Die Kanalrückkopplung muss nicht unbedingt im Speicherbereich 31 des Ergebnisregisters 30 gespeichert sein. Sie könnte auch separat von den Ergebnisbits oder, wenn nur die Ausnahmeflagge verwendet wird, überhaupt nicht gespeichert sein.
Ein wie im Ausführungsbeispiel verwendeter Hardwarevergleich wird bevorzugt, da er eine schnelle und zuverlässige Entdeckung von Fehlern bietet. Ein reiner Softwarevergleich bietet jedoch eine größere Flexibilität und kann bei einigen Anwendungen, die nicht zu zeitkritisch sind, bevorzugt werden.
Nachdem ein bevorzugtes Ausführungsbeispiel der Erfindung beschrieben wurde, sollte beachtet werden, dass die Erfindung nicht auf die hierin dargestellten Einzelheiten beschränkt ist. Im Gegenteil werden Fachleute verstehen, dass verschiedene Abänderungen und Ersetzungen vorgenommen werden können, ohne vom Erfindungsgedanken abzuweichen. Konkret sollte es verstanden werden, dass, obwohl im Ausführungsbeispiel der Einfachheit halber nur drei Signaleingänge, Schaltungselemente und Rückkopplungsschienen für externe Eingangskanäle gezeigt wurden, in wirklichen Anwendungen eine beliebige andere passende Anzahl an externen Kanälen verwendet werden würde. Außerdem kann je nach Abhängigkeit von der tatsächlichen Anwendung mehr als ein Signaleingang gleichzeitig benötigt werden, was mehreren Sensoreingängen entspricht. Während die Funktionen der Steuer- und Zustandsablaufsteuerung, die Steuerlogik und die Vergleichslogik prinzipiell durch reine Hardware implementiert werden können, sollte es klar sein, dass diese Funktionen auch durch programmierbare Hardware und entsprechende Firmware implementiert werden können.

Claims

Integrierter programmierbarer Baustein, der eine Mehrzahl an Signaleingängen (P1–P3) und eine Mehrzahl an Schaltungselementen (S1–S3) umfasst, von denen jedes mit einem anderen der Signaleingänge (P1–P3) verbunden ist, um unter Steuerung durch einen Steuerkreis (15) zumindest einen der Signaleingänge (P1–P3) zur Weiterleitung eines ausgewählten Eingangssignals auszuwählen; wobei der Steuerkreis (15) ein Kanalauswahlsignal (16) empfängt, das einen auszuwählenden Signaleingang anzeigt, und eine Mehrzahl an Freigabeleitungen (E1–E3) zur selektiven Aktivierung der Schaltungselemente (S1–S3) in Übereinstimmung mit dem Kanalauswahlsignal (16) umfasst; und der gekennzeichnet ist dadurch, dass er ferner eine Mehrzahl an Rückkopplungsschienen (F1–F3) umfasst, die je mit einer anderen der Freigabeleitungen (E1–E3) zur Lieferung einer Kanalrückkopplung verbunden sind, die anzeigt, welche Schaltungselemente (S1–S3) freigegeben sind.
Integrierter programmierbarer Baustein gemäß Anspruch 1, bei dem die Rückkopplungsschienen (F1–F3) mit einer Vergleichslogikschaltung (40) verbunden sind, die auch das Kanalauswahlsignal (16) empfängt und dafür geeignet ist, festzustellen, ob eines oder mehrere vom Steuerkreis (15) erzeugte Freigabesignale mit dem Kanalauswahlsignal (16) übereinstimmen, und im Falle einer fehlerhaften Paarung eine Fehlerberhandlung einzuleiten.
Integrierter programmierbarer Baustein gemäß Anspruch 1 oder 2, bei dem die Rückkopplungsschienen (F1–F3) auch mit einem Speicher (30) zur Speicherung der Kanalrückkopplung verbunden sind; wobei ein Softwareprogramm (60) auf den Speicher (30) zugreifen kann, um einen Vergleich mit dem Kanalauswahlsignal (16) durchzuführen.
Integrierter programmierbarer Baustein gemäß einem der vorhergehenden Ansprüche, bei dem die Signaleingänge (P1–P3) analoge Eingänge sind, und bei dem die Schaltungselemente (S1–S3) einen Ausgang haben, der mit einem Eingang einer Abtast-Halte-Schaltung (21) verbunden ist, wobei die Abtast-Halte-Schaltung (21) einen Ausgang hat, der mit einem Eingang eines A/D-Wandlers (22) verbunden ist.
Integrierter programmierbarer Baustein gemäß Anspruch 4, bei dem der A/D-Wandler (22) mit dem Speicher (30) verbunden ist, um darin einen vom ausgewählten Signaleingang abgeleiteten digitalen Wert zu speichern.
Integrierter programmierbarer Baustein gemäß einem der vorhergehenden Ansprüche, bei dem die Schaltungselemente (S1–S3) in einer Schaltergruppe (10) angeordnet sind.
Integrierter programmierbarer Baustein gemäß einem der vorhergehenden Ansprüche, der eine Ablaufsteuerung (50) zur Erzeugung einer Reihe von Kanalauswahlsignalen (16) unter Steuerung eines Softwareprogramms (60) umfasst.
Verfahren zur Steuerung der Funktion eines integrierten programmierbaren Bausteins, der eine Mehrzahl an Signaleingängen und eine Mehrzahl an Schaltungselementen hat, von denen jedes mit einem anderen der Signaleingänge verbunden ist, wobei das Verfahren die folgenden Schritte umfasst: – Empfang einer Mehrzahl an Eingangssignalen (P1–P3) an den Signaleingängen; – Erzeugung eines Kanalauswahlsignals (16), das zumindest eins der auszuwählenden Eingangssignale (P1–P3) festlegt; – Erzeugung eines Freigabesignals in Übereinstimmung mit dem Kanalauswahlsignal (16) durch einen Steuerkreis (15) für zumindest eins der Schaltungselemente (S1–S3); gekennzeichnet durch – Ableitung eines Kanalrückkopplungssignals vom Freigabesignal; und – Vergleich des Kanalrückkopplungssignals mit dem Kanalauswahlsignal (16) und Einleitung einer Fehlerbehandlung im Falle einer fehlerhaften Paarung.