DE10243789A1

DE10243789A1 - Verfahren und Schaltungsanordnung zum Überwachen der Funktion eines Prozessors

Info

Publication number: DE10243789A1
Application number: DE2002143789
Authority: DE
Inventors: Oliver Lehner; Richard Merl
Original assignee: Siemens AG
Current assignee: Vitesco Technologies GmbH
Priority date: 2002-09-20
Filing date: 2002-09-20
Publication date: 2004-04-01
Anticipated expiration: 2022-09-21
Also published as: DE10243789B4

Abstract

Ein Prozessor sendet ein zyklisch sich wiederholendes Triggersignal an eine Watchdogschaltung, das eine Triggerinformation enthält. Die Watchdogschaltung überprüft, sowohl das zeitlich korrekte Eintreffen des Triggersignals, als auch die im Triggersignal enthaltene Triggerinformation. Falls das Triggersignal ausbleibt, zeitlich nicht korrekt eintrifft oder die im Triggersignal entahltene Triggerinformation nicht mit einer erwarteten Information übereinstimmt, so wird ein Resetsignal an den Prozessor ausgesandt.

Description

Die Erfindung betrifft ein Verfahren und eine Schaltungsanordnung zum Überwachen der Funktion eines Prozessors, insbesondere einer Hardware-Watchdogschaltung in einem Kraftfahrzeug.
Eine bekannte Watchdogschaltung ( DE 197 12 375 A1 ) überwacht die Funktion eines Prozessors. Der Prozessor sendet zyklisch sich wiederholende Testsignale an die Watchdogschaltung. Die Watchdogschaltung sendet ein Resetsignal an den Prozessor, falls das Testsignal nicht in einem von der Watchdogschaltung vorgegebenen Zeitfenster eintrifft.
Diese Watchdogschaltung überwacht zwar, ob ein auf dem Prozessor ablaufendes Programm zu langsam oder zu schnell abläuft, es wird jedoch nicht überwacht, ob der funktionelle Ablauf des auf dem Prozessor ablaufenden Programms korrekt ist. Das Programm kann sich somit in einer Endlosschleife befinden, die zwar noch das Aussenden des Testsignals möglich macht, nicht jedoch die übrigen Funktionen sicherstellt.
Es ist Aufgabe der Erfindung, ein Verfahren und eine Schaltungsanordnung zu schaffen, die sowohl den zeitlichen als auch den funktionellen Ablauf eines auf einem Prozessor ablaufenden Programms überwachen.
Diese Aufgabe wird erfindungsgemäß durch ein Verfahren mit den Merkmalen des Patentanspruchs 1 und eine Vorrichtung mit den Merkmalen des Patentanspruchs 4 gelöst.
Zur Lösung der Aufgabe der Erfindung wird eine Watchdogschaltung eingesetzt, die einen Eingang für einen von dem zu über wachenden Prozessor kommendes Triggersignal und einen Ausgang zum Senden eines Reetsignals an den Prozessor aufweist.
Der Prozessor gibt bei korrekter Funktionalität ein zyklisch sich wiederholendes Triggersignal ab, das zusätzlich eine Triggerinformation enthält.
Die Watchdogschaltung überwacht das Eintreffen des Triggersignals und vergleicht die darin enthaltene Triggerinformation mit einem Wert, der die erwartete Triggerinformation enthält. Bleibt nun dieses Triggersignal aus oder stimmt die in einem ankommenden Triggersignal enthaltene Triggerinformation nicht mit der erwarteten Information überein, so sendet die Watchdogschaltung ein Resetsignal an den Prozessor. Dieses Resetsignal setzt den Prozessor in einen vorab bestimmten Zustand zurück.
Dies hat den Vorteil, dass neben dem zeitlichen Programmablauf vielmehr auch noch der funktionelle Ablauf des auf dem Prozessor ablaufenden Programms überwacht wird.
Vorteilhafte Ausgestaltungen der Erfindung sind in den Unteransprüchen beschrieben.
So kann die Triggerinformation einen Zählerstand enthalten, der beim Aussenden eines Triggersignals jeweils um ein Inkrement erhöht oder um ein Dekrement erniedrigt wird. Die Watchdogschaltung beinhaltet dann ebenfalls einen Zähler, dessen Zählerstand beim Eintreffen eines Triggersignals jeweils auch um das selbe Inkrement erhöht wird.
Stimmen nun der interne Zählwert der Watchdogschaltung mit der im Triggersignal enthaltenen Triggerinformation überein und trifft das Triggersignal auch in dem zeitlichen vorbestimmten Rahmen ein, so wird die Funktion des Prozessors und der Programmablauf als korrekt bewertet.
Stimmen jedoch der Wert des internen Zählers mit dem in der Triggerinformation enthaltenen Wert nicht überein, so sendet die Watchdogschaltung ein Resetsignal an den Prozessor.
Des Weiteren kann das Zeitfenster, in dem ein Triggersignal am Eingang der Watchdogschaltung eintrifft in ein „offenes" und ein „geschlossenes" Zeitfenster unterteilt werden. Im „offenen" Zeitfenster wird ein Eintreffen eines Triggersignals erwartet, im „geschlossenen" Zeitfenster nicht. D. h. trifft das Triggersignal im falschen Zeitintervall ein, so läuft das Programm auf dem Mikroprozessor zu schnell oder zu langsam ab. Infolgedessen wird von der Watchdogschaltung ebenfalls ein Resetsignal an den Mikroprozessor gesendet.
Dieses zweite Resetsignal kann sich von dem Resetsignal unterscheiden, das bei einer falschen Triggerinformation ausgesandt wird. Auch kann das zweite Resetsignal über einen zweiten Ausgang gesendet werden.
Im Folgenden wird anhand der schematischen Zeichnung ein Ausführungsbeispiel näher erläutert. Es zeigen:
1 ein Blockschaltbild einer erfindungsgemäßen Schaltungsanordnung und
2 ein Ablaufdiagramm eines erfindungsgemäßen Verfahrens.
Eine Schaltungsanordnung zum Überwachen der Funktion eines Prozessors weist einen Prozessor μP (1) mit einem Triggersignalausgang A_P und einem Resetsignal-Eingang E_P auf.
Im Prozessor ist ein erster Zähler Z₁ enthalten.
Eine den Prozessor μP überwachende Watchdogschaltung (Überwachungsschaltung) WD weist einen Triggersignaleingang E_WD, der mit dem Triggersignalausgang A_P des Prozessors μP verbunden ist und einen Resetsignal-Ausgang A_W _D, der mit dem Reset signal-Eingang E_P verbunden ist, auf. In der Watchdogschaltung ist zweiter Zähler Z₂ und ein Timer T_WD enthalten.
Im Schritt 100 des in 2 dargestellten Ablaufdiagramms wird die Watchdogschaltung WD initialisiert. Die Initialisierung beinhaltet beispielsweise das Zurücksetzen des zweiten Zählers Z₂ und eines Timers T_W _D in der Watchdogschaltung WD.
In Schritt 101 wird überprüft, ob in einem Zeitfenster Δt ein Triggersignal TS eingetroffen ist. Ist dies der Fall, so wird nach Schritt 102 verzweigt und in diesem Schritt überprüft in welchem Unterfenster des Zeitfensters Δt das Triggersignal TS eingetroffen ist.
Hierzu wird das Zeitfenster Δt in ein sogenanntes „offenes" und ein „geschlossenes" Zeitfenster unterteilt. Trifft das Triggersignal TS im „offenen" Fenster ein, so wird der zeitliche Ablauf eines auf dem Prozessor μP ausgeführten Programms als korrekt bewertet.
Trifft das Triggersignal TS jedoch im „geschlossenen" Fenster ein, so wird der zeitliche Ablauf als inkorrekt bewertet und nach Schritt 106 verzweigt, indem die Watchdogschaltung 2 ein Resetsignal RS₂ an den Prozessor μP sendet.
Es wird ein weiteres Resetsignal RS₁ an den Prozessor μP gesendet (Schritt 106) falls im gesamten Zeitfenster Δt kein Triggersignal TS am Eingang E_W _D der Watchdogschaltung WD eingetroffen ist.
Trifft das Triggersignal TS im „offenen" Fenster des Zeitfensters Δt ein, so wird im Schritt 103 die im Triggersignal TS enthaltene Triggerinformation Z_TS, hier einem Zählerstand des ersten Zählers Z₁ mit einer erwarteten Information Z_I, hier dem Zählerstand des Zählers Z₂, überein, so wird sowohl der zeitliche, als auch der funktionelle Ablauf des Prozes sors μP und des auf ihm ablaufenden Programms als korrekt bewertet.
Ist dies der Fall, wird der Wert des Zählers Z₂ um ein Inkrement Inc erhöht (Schritt 104). Anschließend wird Timer T_WD zurückgesetzt (Schritt 105), der den Eingang E_W _D der Watchdogschaltung WD auf das Eintreffen eines Triggersignals TS in einem Zeitfenster Δt überwacht.
Danach wird nach Schritt 101 verzweigt, wo erneut auf ein Eintreffen eines Triggersignals TS gewartet wird. Die Triggerinformation Z_TS dieses Triggersignals TS ist der Wert des Zählers Z₁, der bei funktionell richtigem Ablauf des Programms auf dem Prozessor μP ebenfalls um das Inkrement Inc erhöht wurde.
Stimmen jedoch die im Triggersignal enthaltene Triggerinformation Z_TS mit der erwarteten Information Z_I nicht überein, so wird aufgrund des damit als funktionell falsch bewerteten Ablaufs des auf dem Prozessor μP ausgeführten Programms ein Resetsignal RS₃ an den Prozessor μP gesendet (Schritt 106).
Die an den Prozessor gesandten Resetsignale RS₁, RS₂ und RS₃ sind hier Steuersignale, die beispielsweise den Prozessor zurücksetzen oder einen Sprung an eine vorbestimmte Stelle des Programms auslösen.
Weiter kann durch ein Steuersignal auch ein Notlauf des Prozessors μP ausgelöst werden, d.h. der Prozessor μP führt nur noch sicherheitsrelevante Funktionen aus.

Claims

Verfahren zum Überwachen der Funktion eines Prozessors, das die folgenden Verfahrensschritte aufweist: – eine Watchdogschaltung (WD) überwacht, ob in einem vorbestimmten Zeitfenster (Δt) ein Triggersignal (TS) eintrifft, – die Watchdogschaltung (WD) vergleicht eine im Triggersignal enthaltene Information (Z_T _S) mit einer erwarteten Information (Z_I), – falls im Zeitfenster (Δt) kein Triggersignal (TS) eintrifft, so wird ein erstes Steuersignal (RS1) an den Prozessor ausgesandt, und – falls das Triggersignal (TS) im Zeitfenster (Δt) eintrifft und die im Triggersignal (TS) enthaltene Triggerinformation (Z_TS) nicht mit der erwarteten Information (Z_I) übereinstimmt, so wird ein zweites Steuersignal (RS2) an den Prozessor (μP) ausgesandt.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Zeitfenster (Δt) in ein erstes Unterfenster und ein zweites Unterfenster unterteilt wird und – falls das Triggersignal (TS) im ersten Unterfenster eintrifft, so wird die Funktion des Prozessors (μP) als richtig bewertet, und – falls das Triggersignal (TS) im zweiten Unterfenster eintrifft, so wird ein drittes Steuersignal (RS3) an den Prozessor (μP) ausgesandt.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet dass die im Triggersignal (TS) enthaltene Triggerinformation (Z_TS) ein Zählerstand ist, der mit einem Zählerstand (Z_I) eines Zählers (Z₂) der Watchdogschaltung (WD) verglichen wird.
Schaltungsanordnung zum Überwachen der Funktion eines Prozessors, insbesondere zum Durchführen eines Verfahrens nach einem der Ansprüche 1 bis 3, – die einen Prozessor (μP) mit zumindest einem Eingang (E_P) und einem Ausgang (A_P) aufweist, – die eine Watchdogschaltung (WD) mit zumindest einem Eingang (E_W _D) und einem Ausgang (A_WD) aufweist, – wobei der Ausgang (A_P) des Prozessors (μP) mit dem Eingang (E_W _D) der Watchdogschaltung (WD)elektrisch verbunden ist und über diesen Ausgang (A_P) ein zyklisch sich wiederholendes Triggersignal (TS), das eine Triggerinformation (Z_TS) enthält, ausgesandt wird, und – der Ausgang (A_W _D) der Watchdogschaltung (WD) mit dem Eingang (E_P) des Prozessors (μP) elektrisch verbunden ist und über diesen Ausgang (A_W _D) ein Steuersignal an den Prozessor (μP) ausgesandt wird, falls das Triggersignal (TS) ausbleibt oder die Triggerinformation (Z_TS) nicht mit einer erwarteten Information (Z_I) übereinstimmt.
Schaltungsanordnung nach Anspruch 4, dadurch gekennzeichnet, dass die Watchdogschaltung (WD) einen Zähler (Z₂) aufweist.
Schaltungsanordnung nach Anspruch 4 oder 5, dadurch gekennzeichnet, dass der Prozessor (μP) einen Zähler (Z₁) aufweist, dessen Zählerstand als Triggerinformation (Z_TS) zur Watchdogschaltung (WD) gesendet wird.