DE10243789B4

DE10243789B4 - Verfahren und Schaltungsanordnung zum Überwachen der Funktion eines Prozessors

Info

Publication number: DE10243789B4
Application number: DE2002143789
Authority: DE
Inventors: Oliver Lehner; Richard Merl
Original assignee: Siemens AG
Current assignee: Vitesco Technologies GmbH
Priority date: 2002-09-20
Filing date: 2002-09-20
Publication date: 2005-01-20
Anticipated expiration: 2022-09-21
Also published as: DE10243789A1

Abstract

Verfahren zum Überwachen der Funktion eines Prozessors, das die folgenden Verfahrensschritte aufweist:
– eine Watchdogschaltung (WD) überwacht, ob in einem vorbestimmten Zeitfenster (Δt) ein Triggersignal (TS) eintrifft,
– die Watchdogschaltung (WD) vergleicht eine im Triggersignal enthaltene Information (Z_TS) mit einer erwarteten Information (Z_I),
– falls im Zeitfenster (Δt) kein Triggersignal (TS) eintrifft, so wird ein erstes Steuersignal (RS1) an den Prozessor ausgesandt,
– falls das Triggersignal (TS) im Zeitfenster (Δt) eintrifft und die im Triggersignal (TS) enthaltene Triggerinformation (Z_TS) nicht mit der erwarteten Information (Z_I) übereinstimmt, so wird ein zweites Steuersignal (RS2) an den Prozessor (μP) ausgesandt, und
– Auslösen eines Notlaufs des Prozessors (μP) aufgrund eines eintreffenden ersten und/oder zweiten Steuersignals (RS1, RS2), wobei der Prozessor (μP) im Notlauf nur noch sicherheitsrelevante Funktionen ausführt.

Description

Die Erfindung betrifft ein Verfahren zum Überwachen der Funktion eines Prozessors, insbesondere mit einer Hardware-Watchdogschaltung in einem Kraftfahrzeug.

Eine bekannte Watchdogschaltung ( DE 197 12 375 A1 ) überwacht die Funktion eines Prozessors. Der Prozessor sendet zyklisch sich wiederholende Testsignale an die Watchdogschaltung. Die Watchdogschaltung sendet ein Resetsignal an den Prozessor, falls das Testsignal nicht in einem von der Watchdogschaltung vorgegebenen Zeitfenster eintrifft.

Diese Watchdogschaltung überwacht zwar, ob ein auf dem Prozessor ablaufendes Programm zu langsam oder zu schnell abläuft, es wird jedoch nicht überwacht, ob der funktionelle Ablauf des auf dem Prozessor ablaufenden Programms korrekt ist. Das Programm kann sich somit in einer Endlosschleife befinden, die zwar noch das Aussenden des Testsignals möglich macht, nicht jedoch die übrigen Funktionen sicherstellt.

Weiter ist ein Verfahren zur Überwachung der Funktion einer programmgesteuerten Schaltung bekannt ( DE 44 46 314 A1 ), ein Mikrocontroller, der ein Datenverarbeitungsergebnis erzeugt und dieses zu einem vorgegebenen Zeitpunkt an die Überwachungsschaltung sendet. Dort wird der Zeitpunkt des Eintreffens überwacht und der Inhalt des Datenworts mit einem vorgegebenen Inhalt verglichen. Im Fehlerfall wird die überwachte Schaltungsanordnung abgeschaltet.

Eine bekannte intelligente, wortorientierte Watchdogschaltung (Elektronik 11/25.05.1990) beschreibt einen Mikrocontroller und eine Watchdogschaltung, die beide eine Pseudo-Zufallszahlenfolge gemäß desselben Algorithmus erzeugen. Die Watchdogschaltung überwacht das Eintreffen des Signals des Mikrocontrollers in einem vorgegebenen Zeitbereich und vergleicht den darin übermittelten Wert mit der in der Watchdogschaltung erzeugten Zufallszahl. Trifft das Signal nicht innerhalb des Zeitfensters oder mit falschem Wert ein, so wird ein Fehlersignal aktiviert.

Ein bekanntes Verfahren zum Synchronisieren einer elektronischen Einrichtung zur Funktionsüberwachung eines Mikroprozessors ( DE 198 00 462 C1 ) beschreibt das Synchronisieren einer Watchdogschaltung beim Hochfahren des zu überwachenden Mikroprozessors. Hierbei erwartet die Watchdogschaltung nach dem Aktivieren während einer vorbestimmten Zeitdauer ein Triggersignal des zu überwachenden Mikroprozessors.

Es ist Aufgabe der Erfindung, ein Verfahren zu schaffen, das sowohl den zeitlichen als auch den funktionellen Ablauf eines auf einem Prozessor ablaufenden Programms überwacht und in einen Fehlerfall einen zumindest eingeschränkten Betrieb der Prozessor erlaubt.

Diese Aufgabe wird erfindungsgemäß durch ein Verfahren mit den Merkmalen des Patentanspruchs 1 gelöst.

Zur Lösung der Aufgabe der Erfindung wird eine Watchdogschaltung eingesetzt, die einen Eingang für einen von dem zu über wachenden Prozessor kommendes Triggersignal und einen Ausgang zum Senden eines Steuersignals an den Prozessor aufweist.

Der Prozessor gibt bei korrekter Funktionalität ein zyklisch sich wiederholendes Triggersignal ab, das zusätzlich eine Triggerinformation enthält.

Die Watchdogschaltung überwacht das Eintreffen des Triggersignals und vergleicht die darin enthaltene Triggerinformation mit einem Wert, der die erwartete Triggerinformation enthält. Bleibt nun dieses Triggersignal aus oder stimmt die in einem ankommenden Triggersignal enthaltene Triggerinformation nicht mit der erwarteten Information überein, so sendet die Watchdogschaltung ein Steuersignal an den Prozessor. Dieses Steuersignal setzt den Prozessor in einen vorab bestimmten Zustand in dem nur sicherheitsrelevante Funktionen ausgeführt werden.

Dies hat den Vorteil, dass neben dem zeitlichen Programmablauf vielmehr auch noch der funktionelle Ablauf des auf dem Prozessor ablaufenden Programms überwacht wird.

Vorteilhafte Ausgestaltungen der Erfindung sind in den Unteransprüchen beschrieben.

So kann die Triggerinformation einen Zählerstand enthalten, der beim Aussenden eines Triggersignals jeweils um ein Inkrement erhöht oder um ein Dekrement erniedrigt wird. Die Watchdogschaltung beinhaltet dann ebenfalls einen Zähler, dessen Zählerstand beim Eintreffen eines Triggersignals jeweils auch um das selbe Inkrement erhöht wird.

Stimmen nun der interne Zählwert der Watchdogschaltung mit der im Triggersignal enthaltenen Triggerinformation überein und trifft das Triggersignal auch in dem zeitlichen vorbestimmten Rahmen ein, so wird die Funktion des Prozessors und der Programmablauf als korrekt bewertet.

Stimmen jedoch der Wert des internen Zählers mit dem in der Triggerinformation enthaltenen Wert nicht überein, so sendet die Watchdogschaltung ein Steuersignal (Resetsignal) an den Prozessor.

Des Weiteren kann das Zeitfenster, in dem ein Triggersignal am Eingang der Watchdogschaltung eintrifft in ein „offenes" und ein „geschlossenes" Zeitfenster unterteilt werden. Im „offenen" Zeitfenster wird ein Eintreffen eines Triggersignals erwartet, im „geschlossenen" Zeitfenster nicht. D. h. trifft das Triggersignal im falschen Zeitintervall ein, so läuft das Programm auf dem Mikroprozessor zu schnell oder zu langsam ab. Infolgedessen wird von der Watchdogschaltung ebenfalls ein Resetsignal an den Mikroprozessor gesendet.

Dieses zweite Resetsignal kann sich von dem Resetsignal unterscheiden, das bei einer falschen Triggerinformation ausgesandt wird. Auch kann das zweite Resetsignal über einen zweiten Ausgang gesendet werden.

Im Folgenden wird anhand der schematischen Zeichnung ein Ausführungsbeispiel näher erläutert. Es zeigen:

1 ein Blockschaltbild einer erfindungsgemäßen Schaltungsanordnung und

2 ein Ablaufdiagramm eines erfindungsgemäßen Verfahrens.

Eine Schaltungsanordnung zum Überwachen der Funktion eines Prozessors weist einen Prozessor μP (1) mit einem Triggersignalausgang A_P und einem Resetsignal-Eingang E_P auf.

Im Prozessor ist ein erster Zähler Z₁ enthalten.

Eine den Prozessor μP überwachende Watchdogschaltung (Überwachungsschaltung) WD weist einen Triggersignaleingang E_WD, der mit dem Triggersignalausgang A_P des Prozessors μP verbunden ist und einen Resetsignal-Ausgang A_WD, der mit dem Reset signal-Eingang E_P verbunden ist, auf. In der Watchdogschaltung ist ein zweiter Zähler Z₂ und ein Timer T_WD enthalten.

Im Schritt 100 des in 2 dargestellten Ablaufdiagramms wird die Watchdogschaltung WD initialisiert. Die Initialisierung beinhaltet beispielsweise das Zurücksetzen des zweiten Zählers Z₂ und eines Timers T_WD in der Watchdogschaltung WD.

In Schritt 101 wird überprüft, ob in einem Zeitfenster Δt ein Triggersignal TS eingetroffen ist. Ist dies der Fall, so wird nach Schritt 102 verzweigt und in diesem Schritt überprüft in welchem Unterfenster des Zeitfensters Δt das Triggersignal TS eingetroffen ist.

Hierzu wird das Zeitfenster Δt in ein sogenanntes „offenes" und ein „geschlossenes" Zeitfenster unterteilt. Trifft das Triggersignal TS im „offenen" Fenster ein, so wird der zeitliche Ablauf eines auf dem Prozessor μP ausgeführten Programms als korrekt bewertet.

Trifft das Triggersignal TS jedoch im „geschlossenen" Fenster ein, so wird der zeitliche Ablauf als inkorrekt bewertet und nach Schritt 106 verzweigt, indem die Watchdogschaltung 2 ein Resetsignal RS₂ an den Prozessor μP sendet.

Es wird ein weiteres Resetsignal RS₁ an den Prozessor μP gesendet (Schritt 106) falls im gesamten Zeitfenster Δt kein Triggersignal TS am Eingang E_WD der Watchdogschaltung WD eingetroffen ist.

Trifft das Triggersignal TS im „offenen" Fenster des Zeitfensters Δt ein, so wird im Schritt 103 die im Triggersignal TS enthaltene Triggerinformation Z_TS, hier einem Zählerstand des ersten Zählers Z₁ mit einer erwarteten Information Z_I, hier dem Zählerstand des Zählers Z₂, überein, so wird sowohl der zeitliche, als auch der funktionelle Ablauf des Prozes sors μP und des auf ihm ablaufenden Programms als korrekt bewertet.

Ist dies der Fall, wird der Wert des Zählers Z₂ um ein Inkrement Inc erhöht (Schritt 104). Anschließend wird Timer T_WD zurückgesetzt (Schritt 105), der den Eingang E_WD der Watchdogschaltung WD auf das Eintreffen eines Triggersignals TS in einem Zeitfenster Δt überwacht.

Danach wird nach Schritt 101 verzweigt, wo erneut auf ein Eintreffen eines Triggersignals TS gewartet wird. Die Triggerinformation Z_TS dieses Triggersignals TS ist der Wert des Zählers Z₁, der bei funktionell richtigem Ablauf des Programms auf dem Prozessor μP ebenfalls um das Inkrement Inc erhöht wurde.

Stimmen jedoch die im Triggersignal enthaltene Triggerinformation Z_TS mit der erwarteten Information Z_I nicht überein, so wird aufgrund des damit als funktionell falsch bewerteten Ablaufs des auf dem Prozessor μP ausgeführten Programms ein Resetsignal RS₃ an den Prozessor μP gesendet (Schritt 106).

Die an den Prozessor gesandten Resetsignale RS₁, RS₂ und RS₃ sind hier Steuersignale, die beispielsweise den Prozessor zurücksetzen oder einen Sprung an eine vorbestimmte Stelle des Programms auslösen.

Weiter kann durch ein Steuersignal auch ein Notlauf des Prozessors μP ausgelöst werden, d.h. der Prozessor μP führt nur noch sicherheitsrelevante Funktionen aus.

Claims

Verfahren zum Überwachen der Funktion eines Prozessors, das die folgenden Verfahrensschritte aufweist: – eine Watchdogschaltung (WD) überwacht, ob in einem vorbestimmten Zeitfenster (Δt) ein Triggersignal (TS) eintrifft, – die Watchdogschaltung (WD) vergleicht eine im Triggersignal enthaltene Information (Z_TS) mit einer erwarteten Information (Z_I), – falls im Zeitfenster (Δt) kein Triggersignal (TS) eintrifft, so wird ein erstes Steuersignal (RS1) an den Prozessor ausgesandt, – falls das Triggersignal (TS) im Zeitfenster (Δt) eintrifft und die im Triggersignal (TS) enthaltene Triggerinformation (Z_TS) nicht mit der erwarteten Information (Z_I) übereinstimmt, so wird ein zweites Steuersignal (RS2) an den Prozessor (μP) ausgesandt, und – Auslösen eines Notlaufs des Prozessors (μP) aufgrund eines eintreffenden ersten und/oder zweiten Steuersignals (RS1, RS2), wobei der Prozessor (μP) im Notlauf nur noch sicherheitsrelevante Funktionen ausführt.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Zeitfenster (Δt) in ein erstes Unterfenster und ein zweites Unterfenster unterteilt wird und – falls das Triggersignal (TS) im ersten Unterfenster eintrifft, so wird die Funktion des Prozessors (μP) als richtig bewertet, und – falls das Triggersignal (TS) im zweiten Unterfenster eintrifft, so wird ein drittes Steuersignal (RS3) an den Prozessor (μP) ausgesandt.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet dass die im Triggersignal (TS) enthaltene Triggerinformation (Z_TS) ein Zählerstand ist, der mit einem Zählerstand (Z_I) eines Zählers (Z₂) der Watchdogschaltung (WD) verglichen wird.