DE102009024095A1

DE102009024095A1 - Integrierte digitale Recheneinheit mit einem Datenbusausgang

Info

Publication number: DE102009024095A1
Application number: DE102009024095A
Authority: DE
Inventors: Marcus Engelhart
Original assignee: Continental Teves AG and Co OHG
Current assignee: Continental Teves AG and Co OHG
Priority date: 2008-06-13
Filing date: 2009-06-06
Publication date: 2009-12-17

Abstract

Integrierte digitale Recheneinheit sowie deren Verwendung mit zumindest einem Datenbusausgang (A_TX, A_TXEN, B_TX, B_TXEN) und einer in der Recheneinheit enthaltenen Einrichtung zur Erzeugung eines Fehlersignals (err), das einen internen Fehler der Recheneinheit signalisiert, wobei in der Recheneinheit ein insbesondere digitales Schaltungsmittel vorgesehen ist, das das Fehlersignal verarbeitet und den Datenbusausgang in einen definierten Zustand versetzt. Die Erfindung betrifft außerdem ein Verfahren zur Fehlerbehandlung.

Description

Die Erfindung betrifft eine integrierte digitale Recheneinheit, insbesondere eine Mikroprozessorschaltung bzw. einen Mikrocontroller, gemäß Oberbegriff von Anspruch 1, deren Verwendung, sowie ein Verfahren zur Fehlerbehandlung in einer digitalen Recheneinheit gemäß Oberbegriff von Anspruch 8.
Es ist üblich, dass digitale Recheneinheiten (in der Regel Steuergeräte) für Kraftfahrzeuge zum Austausch von Daten mit anderen Recheneinheiten standardisierte Datenschnittstellen nutzen. Zu diesem Zweck sind die Kraftfahrzeugdatenbussysteme CAN oder FlexRay^® geeignet. Neben der Kommunikation ist je nach Bedarf der Anwendung auch die Sicherheit der Recheneinheiten ein wichtiges Thema. Nicht nur im Bereich der Kraftfahrzeugbremsenelektronik umfassen die Recheneinheiten zur Regelung des Bremsdrucks zum Teil zusätzliche Sicherheitsschaltkreise zur Erkennung von Fehlern (Prozessorfehler, Speicherfehler etc.) sowie oftmals auch Schaltkreise für Fehlerbehandlungsmaßnahmen. In diesem Zusammenhang gibt es verschiedenste Redundanzprinzipien mit selbstabschaltenden Konzepten oder der Möglichkeit des Notlaufs in mehr als zweifach redundanten Recheneinheiten. Ein gemeinsames Merkmal vieler dieser digitalen Recheneinheiten besteht in der Bereitstellung eines elektrischen Signals (err), welches einen Fehler der Recheneinheit für andere Schaltungsgruppen erkennbar macht. Eine Beschreibung der physikalischen Ebene des FlexRay^®-Busses findet sich beispielsweise im Fachbuch "FlexRay: Grundlagen, Funktionsweise, Anwendung", Mathias Rausch, Hanser Verlag, 2007.
Während des Betriebs eines Mikrocontrollers mit einem Kommunikationskontrollmodul (Flexray^®-Modul) kann der Fall eintreten, dass der Mikrocontroller einen internen Fehler feststellt und sich selbst abschaltet (Failsafe). Dabei besteht die Gefahr, dass der Busausgang am Kommunikationskontrollmodul einen undefinierten Zustand einnimmt kann. Hierdurch können unter Umständen andere mit dem Bus verbundene Steuergeräte in ihrem Betrieb beeinträchtigt oder sogar drastisch gestört werden.
Die Aufgabe der vorliegenden Erfindung besteht nun darin, die zuvor beschriebene Möglichkeit der Beeinträchtigung anderer Busteilnehmer deutlich zu verringern bzw. sogar ganz zu vermeiden.
Diese Aufgabe wird erfindungsgemäß gelöst durch die Recheneinheit gemäß Anspruch 1.
Nach der Erfindung umfasst die integrierte digitale Recheneinheit zumindest einen Datenbusausgang. Weiterhin umfasst diese eine Einrichtung zur Erzeugung eines Fehlersignals (err), das einen insbesondere schwerwiegenden internen Fehler der Recheneinheit signalisiert. In der digitalen Recheneinheit ist außerdem ein insbesondere digitales Schaltungsmittel vorgesehen, das das Fehlersignal verarbeitet und den Datenbusausgang zu einem geeigneten Zeitpunkt in einen definierten Zustand versetzt.
Die erfindungsgemäße digitale Recheneinheit hat den Vorteil, dass bei einem Fehler in der digitalen Recheneinheit, insbesondere bei Fehlern, die zu deren Abschaltung führen, die zu sendende Nachricht über den nach außen führenden Datenbus noch ohne Beschädigung zu Ende gesendet werden kann. Hierdurch wird ein definiertes Busverhalten bei Fehlern in der Recheneinheit erreicht, was den nach dem Fehlerereignis fortgesetzten Betrieb von an den Bus angeschlossenen weiteren Recheneinheiten oder Steuergeräten sicherer macht.
Die digitale Recheneinheit gemäß der Erfindung kann auch auf anderen bzw. gesonderten Chipbereichen analoge Schaltungsteile, zum Beispiel Leistungsschaltkreise umfassen.
Die digitale Recheneinheit umfasst bevorzugt ein Deaktivierungsmittel, welches in Abhängigkeit des Fehlersignals err die Datenausgabe auf dem Datenbusausgang deaktiviert, wobei vorzugsweise ein Zeitverzögerungsglied vorhanden ist, welches die Deaktivierung verzögert. Das Zeitverzögerungsglied umfasst zur Zeitmessung vorzugsweise einen digitalen Zähler. Die Zeitmessung kann jedoch auch auf andere an sich bekannte Weise durchgeführt werden.
Die Erfindung umfasst weiterhin ein Verfahren zur Fehlerbehandlung in einer digitalen Recheneinheit gemäß Anspruch 8.
Weitere bevorzugte Ausführungsformen ergeben sich aus den Unteransprüchen und der nachfolgenden Beschreibung eines Ausführungsbeispiels an Hand von 1.
1 zeigt vereinfacht die prinzipiellen Elemente einer Logikschaltung zur Vermeidung undefinierter Zustände an den FlexRay^®-Datenbusausgängen A_TX und B_TX. Die Ausgänge A_TX, A_TXEN, B_TX und B_TXEN führen vorzugsweise zu zwei nicht dargestellten herkömmlichen FlexRay^®-Sende- und Empfangsmodulen (Transceiver). Die im FlexRay^®-Standard üblichen Dateneingangsleitungen A_RX und B_RX sind der Einfachheit halber nicht dargestellt. Die Datenausgabe der Kanäle A_TX und B_TX lässt sich mit den Aktivierungsleitungen A_TXEN bzw. B_TXEN stumm schalten, wobei jeweils für Kanäle A und B eine separate Stummschaltung möglich ist. Das heißt, nur wenn die zu den Aktivierungspins A_TXEN und B_TXEN führenden Aktivierungsleitungen einen Low-Pegel aufweisen, sendet das Flex-Ray^®-Sende- und Empfangsmodul Daten über den Datenbus.
Die zum FlexRay^®-Bus gehörenden, nach außen geführten Pins A_TX, B_TX, A_TXEN und B_TXEN werden von den dargestellten Signalen R_MODULE_A_TX_EN_OUT beziehungsweise FR_MODULE_B_TX_EN_OUT des in der Regel dem Standard entsprechenden Flexray^®-Modul 7 angesteuert, wobei zwischen Modul 7 und den besagten Pins Ein-/Ausgabepuffer 8 angeordnet sind. Diese Signale gelten als aktiv, wenn der Signalpegel ”Low” ist (low-aktiv). Vor den Puffern 8, die zu den Aktivierungspins A_TXEN und B_TXEN führen, ist für jede Aktivierungsleitung ein gesondertes ODER-Gatter 3 zwischengeschaltet, wobei jedes der ODER-Gatter 3 zwei Eingänge hat.
Die Deaktivierungslogik in 1 umfasst neben ODER-Gattern 3 auch ein UND-Gatter 1 mit zwei Eingängen, das als Eingangssignale die Ausgänge der beiden ODER-Gatter 3 zugeführt bekommt, so dass jeweils ein Eingang des UND-Gatters 1 mit einem Ausgang eines ODER-Gatters 3 verbunden ist. Der Ausgang des UND-Gatters 1 ist mit dem Aktivierungseingang EN eines von einem Takt FR_uT_CLOCK des FlexRay^®-Moduls 7 (stimmt das?) angetriebenen Zählers 2 verbunden, wobei be vorzugt zusätzlich auch noch eine Verbindung zum Rücksetzeingang RESET (low-aktiv) des Zählers besteht, welche bewirkt, dass bei Nicht-Aktivierung des Zählers dieser im Zustand ”Reset” gehalten wird (entspricht Zählerstand 0). Zähler 2 ist so implementiert, dass er nicht automatisch auf 0 zurückgesetzt wird, wenn er seinen Maximalwert erreicht hat.
Die Deaktivierungslogik umfasst weiterhin ein programmierbares Register COMPARE_VAL sowie einen Digitalkomparator 9 mit zwei Eingängen, wobei ein Eingang mit dem Ausgang des Zählers 2 und der andere Eingang mit Register COMPARE_VAL verbunden ist. Digitalkomparator 9 vergleicht also den Wert des Zählers 2 mit dem Wert, der in Register COMPARE_VAL gespeichert ist.
Außerdem umfasst die Deaktivierungslogik Funktionsblock 4, der einen Fehlereingang FAIL_DETECTED für das Fehlersignal des Mikroprozessors, einen Aktivierungseingang ENABLE 6 und einen Deaktivierungsausgang 5 aufweist.
Nachfolgend wird die Funktionsweise der Schaltung an Hand von zwei unterschiedlichen Fällen erläutert. Im ersten Fall sind beide Flexray^®-Aktivierungssignale FR_MODULE_A_TX_EN_OUT und FR_MODULE_B_TX_EN_OUT gleichzeitig inaktiv (beide haben einen High-Pegel). Bei der gleichzeitigen Inaktivität liegt am Ausgang von UND-Gatter 1 ein High-Pegel an und Zähler 2 beginnt hochzuzählen. Erreicht der Zähler den programmierten Wert des Registers COMPARE_VAL, so wird der erste Eingang ENABLE 6 von Funktionsblock 4 aktiviert. Wenn gleichzeitig ENABLE 6 und das Signal err aktiv sind, wird der Ausgang von Moduls 4 aktiviert (high-aktiv). Das Fehlersignal err wird von einer nicht dargestellten Failsafe-Logik eines nicht dargestellten Mikroprozessors auf an sich bekannte Weise erzeugt. Im vorliegenden Beispiel ist das Signal err als high-aktiv definiert. Die Failsafe-Logik ist beispielgemäß so ausgelegt, dass das Signal err auch dann aktiviert bleibt, wenn kein Fehler mehr vorliegt. Das über Leitung 5 weitergereichte Signal bleibt dann ebenfalls aktiv, so dass die an Leitung 5 angeschlossenen aktivierten Eingänge der ODER-Gatter 3 dazu führen, dass die Deaktivierungssignale FR_MODULE_A_TX_EN_OUT und FR_MODULE_B_TX_EN_OUT nicht an den Busausgang gelangen. Im vorstehend beschriebenen einfachen Fall eines selbsterhaltenden err-Signals kann dann Modul 4 zweckmäßig durch ein einfaches UND-Gatter realisiert werden. In diesem Zustand liegt an den IC-Pins A_TXEN und B_TXEN ein High-Pegel an, so dass auf dem Flex-Ray^®-Bus von dem durch diese Schaltung angesteuerten Knoten nicht mehr gesendet wird.
Für den umgekehrten Fall, bei dem einer oder beide FlexRay^®-Aktivierungssignale FR_MODULE_A_TX_EN_OUT und FR_MODULE_B_TX_EN_OUT aktiv ist/sind, wird Timer 2 ständig zurückgesetzt. Der Ausgang des Komparators wird dann 0 (für den Fall, dass der Wert COMPARE_VAL > 0 programmiert ist). Ein Aktivierung des Signals err führt nicht sofort zur Aktivierung des Ausgangs von Modul 4. Eine anstehende FlexRay^®-Nachricht kann, solange der Zähler hochzählt, noch fertiggesendet werden. Das aktive err-Signal führt erst dann zu einer Aktivierung des Ausgangs von Modul 4, wenn Eingang ENABLE 6 nach Erreichen des Zählerstands COMPARE_VAL aktiviert ist, so dass auf dem FlexRay^®-Bus von dem durch diese Schaltung angesteuerten Knoten nicht mehr gesendet wird.
Mit der obigen Schaltung wird auf einfache Weise erreicht, dass der Flexray^®-Sendeverkehr erst dann deaktiviert wird, wenn gerade keine Nachricht vom FlexRay^®-Modul gesendet wird. Demzufolge wird eine Nachricht, die während des Auftretens eines internen Mikroprozessorfehlers gesendet wird, durch die Fehlerabschaltung nicht beschädigt.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

- ”FlexRay: Grundlagen, Funktionsweise, Anwendung”, Mathias Rausch, Hanser Verlag, 2007 [0002]

Claims

Integrierte digitale Recheneinheit mit zumindest einem Datenbusausgang (A_TX, A_TXEN, B_TX, B_TXEN) und einer in der Recheneinheit enthaltenen Einrichtung zur Erzeugung eines Fehlersignals (err), das einen internen Fehler der Recheneinheit signalisiert, dadurch gekennzeichnet, dass in der Recheneinheit ein insbesondere digitales Schaltungsmittel vorgesehen ist, das das Fehlersignal verarbeitet und den Datenbusausgang in einen definierten Zustand versetzt.
Recheneinheit nach Anspruch 1, dadurch gekennzeichnet, dass ein Deaktivierungsmittel (3, 4, 5, 6) vorhanden ist, welches in Abhängigkeit des Fehlersignals (err) die Datenausgabe auf Datenbusausgang (A_TX, A_TXEN, B_TX, B_TXEN) deaktiviert, wobei vorzugsweise ein Zeitverzögerungsglied (2, 9, COMPARE_VAL) vorhanden ist, welches die Deaktivierung verzögert.
Recheneinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass eine Busprüfeinrichtung (1) vorgesehen ist, mit der geprüft werden kann, ob der Datenbusausgang vor dem Senden einer Nachricht vollständig inaktiv ist und/oder die gesendete Nachricht zu Ende gesendet worden ist, und dass die Busprüfeinrichtung eine Verbindung zum Deaktivierungsmittel (3, 4, 5, 6) hat, so dass über diese eine direkte oder mit dem vorzugsweise vorhandenen Zeitverzögerungsglied (2, 9, COMPARE_VAL) verzögerte Deaktivierung durchführt wird.
Recheneinheit nach Anspruch 2 oder 3, dadurch gekenn zeichnet, dass das Zeitverzögerungsglied (2) einen Rücksetzeingang (RESET) aufweist, der mit der Busprüfeinrichtung (1) verbunden ist.
Recheneinheit nach mindestens einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, dass die Laufzeit des Zeitverzögerungsglieds (2) durch einen Datenspeicher (COMPARE_VAL) mit einem Datenwert festgelegt ist, wobei bei Überschreitung oder Unterschreitung oder bei Erreichen des Datenwerts ein Aktivierungssignal (6) erzeugt wird.
Recheneinheit nach mindestens einem der Ansprüche 2 bis 5, dadurch gekennzeichnet, dass der Datenbusausgang (A_TX, A_TXEN, B_TX, B_TXEN) aus Datenleitungen (A_TX, B_TX) und Deaktivierungsleitungen (A_TXEN, B_TXEN) gebildet ist.
Recheneinheit nach mindestens einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass das Deaktivierungsmittel (3, 4, 5, 6) ein Fehlerregister (4) mit einem Fehlereingang (err), einen Fehlerausgang (5) und einen Timereingang (6) aufweist.
Verfahren zur Fehlerbehandlung in einer digitale Recheneinheit, die insbesondere die Merkmale von mindestens einem der Ansprüche 1 bis 7 umfasst, bei dem bei Auftreten eines Fehlers in der Funktion der Schaltung ein Fehlersignal (err) erzeugt wird, dadurch gekennzeichnet, dass in Abhängigkeit des Status des Fehlersignals (err) eine Deaktivierung zumindest eines Datenbusausganges durchgeführt wird.
Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass bei einem über das Fehlersignal signalisierten Fehler entweder sofort oder nach Ablauf eines Zeitverzögerungsglieds (2, 9, COMPARE_VAL) der Datenbusausgang insbesondere dauerhaft deaktiviert wird.
Verfahren nach Anspruch 8 oder 9, dadurch gekennzeichnet, dass die sofortige Deaktivierung oder der Start des Zeitverzögerungsglieds (2, 9, COMPARE_VAL) nur dann erfolgt, wenn der Datenbusausgang zuvor nach dem Senden einer Nachricht vollständig inaktiv geworden und/oder die gesendete Nachricht zu Ende gesendet worden ist.
Verfahren nach Anspruch 9 oder 10, dadurch gekennzeichnet, dass das Zeitverzögerungsglied (2, 9, COMPARE_VAL) erneut gestartet wird, sobald der Datenbusausgang vollständig inaktiv wird.
Verfahren nach mindestens einem der Ansprüche 9 bis 11, dadurch gekennzeichnet, dass die Ablaufzeit des Zeitverzögerungsglieds (2, 9, COMPARE_VAL) durch die Recheneinheit vorgegeben werden kann.
Verfahren nach mindestens einem der Ansprüche 9 bis 12, dadurch gekennzeichnet, dass mittels einem Signal auf einer oder mehreren Deaktivierungsleitungen (A_TXEN, B_TXEN), die in Datenbusausgang (A_TX, A_TXEN, B_TX, B_TXEN) enthalten ist/sind, der Bitstrom auf mindestens einer der ebenfalls darin enthaltenen, den Deaktivierungsleitungen entsprechend zugeordneten Datenleitung (A_TX, B_TX) stumm geschaltet wird.
Verfahren nach mindestens einem der Ansprüche 9 bis 13, dadurch gekennzeichnet, dass das Fehlersignal (err) zwischengespeichert wird und erst dann das Fehlersignal (err) zu einer Deaktivierung weitergeführt wird, wenn das Zeitverzögerungsglied (2, 9, COMPARE_VAL) abgelaufen ist.
Verwendung der elektronischen Recheneinheit gemäß mindestens einem der Ansprüche 1 bis 7 in einem Kraftfahrzeugsteuergerät.