DE19541734C2 - Schaltungsanordnung zur Durchführung eines Reset - Google Patents

Description

Die Erfindung betrifft eine Schaltungsanordnung zur Durchführung eines Reset einer Rechnereinheit, insbe­ sondere für ein elektronisches Steuergerät eines Kraftfahrzeugs, nach dem Oberbegriff des Anspruchs 1.

Stand der Technik

Schaltungsanordnungen der gattungsgemäßen Art sind bekannt. So werden in sogenannten elektronischen Steuergeräten in Kraftfahrzeugen Rechnereinheiten eingesetzt, die vielfältige Steuer- und/oder Überwa­ chungsfunktionen für elektronische und/oder elek­ trische Aggregate des Kraftfahrzeugs übernehmen. Das elektronische Steuergerät besitzt hierzu zu den Aus­ gängen zugeordnete Endstufen, über die eine An­ steuerung der Aggregate erfolgt. Durch eine zunehmen­ de Ausstattung sicherheitsrelevanter Bausteine des Kraftfahrzeugs mit über das elektronische Steuergerät angesteuerten Elektronikbauelementen kommt einer auf­ einander abgestimmten Reaktion, insbesondere in einem Störfall, besondere Bedeutung zu. Insbesondere bei einem erforderlichen Zurücksetzen, dem sogenannten Reset, der Rechnereinheit muß ein kontrolliertes wiederfreigeben der Rechnereinheit erfolgen.

Aus der GB 22 41 361 ist ein Computersystem mit zwei Rechnern 10, 20 offenbart, wobei die Rechner jeweils einen Output 37, 50 und einen Reset-Eingang 44, 66 aufweisen. Durch Signale am jeweiligen Output 37, 50 können sich die Rechner gegenseitig resetieren. Aus der DE 34 10 257 ist ein Rechner mit einem Reset bekannt, wobei durch die Reset-Zustände dem Rechner nachgeschaltete Endstufen sicher abgeschaltet werden. Aus der Zeitschrift "Elektronik" 11/25. Mai 1990 S. 92-94 ist ein Reset durch eine Watchdog-Schaltung bekannt. Aus der DE 32 43 760 C3 ist ein Funktionsrechner bekannt, der von Sicherheitsmodulen überwacht wird. Der Funktionsrechner weist dabei einen nicht maskierbaren Interrupteingang und einen Reseteingang auf.

Der Erfindung liegt die Aufgabe zugrunde eine Schaltungsanordnung anzugeben bei der alle Schreib- und Lesevorgänge beendet werden bevor das eigentliche Resetsignal erfolgt. Es wird so gewährleistet, daß beim Auftreten von Fehlern in einen klar definierten Zustand gegangen wird, so daß ein nachfolgendes, Wiederanlaufen des Funktionsrechners wieder zu einem definierten Betriebszustand führt.

Dadurch, daß die Rechnereinheit einen Funktionsrechner und ein mit dem Funktionsrechner über eine Schnittstelle verbundenes Sicherheitsmodul, insbesondere einen Sicherheitsrechner aufweist, die beide mit der Resetstufe verbunden sind und von dieser zwingend in den Resetzustand versetzbar sind, ist es vorteilhaft möglich, eine äußerst effektive und wirksame Fehlerunterdrückung für sicherheitsrelevante Systeme durch permanente, intelligente gegenseitige Überwachung des Funktionsrechners und des Sicherheitsrechners sowie eine Softwareüberwachung des Funktionsrechners mit einfachem Schaltungsaufwand zu erreichen.

Vorteilhafte Ausgestaltung der Erfindung ergeben sich aus den in den Unteransprüchen genannten Merkmalen.

Die Erfindung wird nachfolgend in Ausführungsbei­ spielen anhand der zugehörigen Zeichnungen näher erläutert. Es zeigen:

Fig. 1 eine Gesamtübersicht der erfindungsgemäßen Schaltungsanordnung;

Fig. 2 ein Schaltbild eines Teils der Schaltungsanordnung gemäß Fig. 1;

Fig. 3 eine Ausführungsvariante der Schaltungs­ anordnung gemäß Fig. 2;

Fig. 4 die erfindungsgemäße Schaltungsanordnung in einer weiteren Ausführungsvariante;

Fig. 5 die erfindungsgemäße Schaltungsanordnung in einer weiteren Ausführungsvariante und

Fig. 6 bis 10 Taktdiagramme einzelner Signalabläufe.

Beschreibung der Ausführungsbeispiele

Die Fig. 1 zeigt eine insgesamt mit 10 bezeichnete Schaltungsanordnung zur Durchführung eines Reset ei­ ner Rechnereinheit 12. Die Rechnereinheit 12 umfaßt hierbei einen Funktionsrechner 14 und einen Sicher­ heitsrechner 16, deren Transmitter- bzw. Reciver-Aus­ beziehungsweise Eingänge über eine serielle Schnitt­ stelle 18 miteinander verbunden sind. Die serielle Schnittstelle 18 kann eine synchrone serielle 2- Draht-Schnittstelle oder eine asynchrone serielle 1- Draht-Schnittstelle sein. Ferner weist die Schal­ tungsanordnung 10 einen Resetbaustein 20 auf, der beispielsweise ein Stabi-Resetbaustein sein kann. Der Stabi-Resetbaustein hängt an der Batteriespannung (Dauerversorgung) und kann über das Signal UBRE (K1. 15 Ein) aktiviert werden. Er versorgt die Schaltung mit der Betriebsspannung V_cc und generiert bei Unter­ spannung einen Reset 22. Im Nachlauf (UBRE 3V) kann der Baustein über das Signal Nl weiter aktiviert werden. Der Resetausgang 22 ist mit dem ersten Ein­ gang eines ersten Und-Gliedes 24 und dem ersten Ein­ gang eines zweiten Und-Gliedes 26 verbunden. Der zweite Eingang des ersten Und-Gliedes 24 ist mit ei­ nem Software-Reset-Ausgang 28 (SWRST) des Sicher­ heitsrechners 16 verbunden. Das UND-Glied 24 besitzt ein dem zweiten Eingang zugeordnetes Zeitglied 30 mit unsymmetrischer Wirkungsweise. Der Ausgang des UND- Gliedes 24 ist mit dem NMI-Eingang 32 des Funk­ tionsrechners 14 verbunden. Weiterhin ist der Ausgang des UND-Gliedes 24 über eine nichtinvertierende Schaltstufe 34 mit dem Reset-Eingang 36 des Funk­ tionsrechners 14 verbunden. Der Schaltstufe 34 ist ein Zeitglied 38 zugeordnet. Der Ausgang der Schalt­ stufe 34 ist ferner mit einem RAM-Baustein 40 und einem EEPROM-Baustein 42 verbunden.

Der Reset-Ausgang 44 (RESOUT) des Funktionsrechners 14 ist mit dem zweiten Eingang des UND-Gliedes 26 verbunden. Der Ausgang des UND-Gliedes 26 ist einer­ seits mit dem Reset-Eingang 46 des Sicherheitsrech­ ners 16 und andererseits mit einem ersten Eingang eines UND-Gliedes 48 verbunden. Ferner ist der Aus­ gang des UND-Gliedes 26 mit einem CAN-Baustein 50 verbunden. Der zweite Eingang des UND-Gliedes 48 ist mit dem Endstufenabschalt-Ausgang 52 (ESENSR) des Sicherheitsrechners 16 verbunden. Der Ausgang des UND-Gliedes 48 ist mit Endstufen 54 verbunden. Der Ausgang 56 des Funktionsrechners 14, an dem das DC- Enable-Signal des Funktionsrechners 14 sowie der Aus­ gang 58 des Sicherheitsrechners 16, an dem das DC- Enable-Signal des Sicherheitsrechners 16 anliegt, sind mit einem Logikeingangbaustein 60 eines EGAS- Moduls 62 verbunden. Auf die weiteren Verbindungen der Schaltungsanordnung 10 soll im Rahmen der vorlie­ genden Beschreibung nicht weiter eingegangen werden.

Die in der Fig. 1 gezeigte Schaltungsanordnung 10 übt folgende Funktion aus:
Im Resetfall liegen entweder das Signal vom Resetbau­ stein 20 oder das Software-Reset-Signal 28 am UND- Glied 24 an und bewirken am NMI-Eingang 32 des Funktionsrechners ein NMI-Signal. Das Software-Reset- Signal SWRST wird hierbei über das unsymmetrisch wir­ kende Zeitglied 30 geführt. Hierdurch wird berück­ sichtigt, daß der Funktionsrechner 14 zur internen Abarbeitung einer vollständigen Resetroutine eine von der internen Quarzfrequenz abhängige Mindestresetzeit benötigt. Das Zeitglied 30 verzögert das Aufheben des Software-Resets SWRST des Sicherheitsrechners 16 zum Funktionsrechner 14. Somit wird verhindert, daß wenn ein Software-Reset vom Sicherheitsrechner ausgelöst wird, dieses Signal nur an der noch zu erläuternden Schaltstufe 34 verzögert wird und dann über die Ver­ knüpfung des am Ausgang 44 anliegenden Reset- Aus­ gangssignals RESOUT und des Resetsignals RESET über das UND-Glied 26 der Sicherheitsrechner 16 sofort resetiert wird, wobei das Software-Resetsignal SWRST aufgehoben würde und der Funktionsrechner 14 über die Schaltstufe 34 gleich wieder aus dem Reset geholt würde und die Mindestresetzeit nicht ablaufen könnte.

Das am Ausgang des UND-Gliedes 24 anliegende NMI- Signal wird einerseits direkt an dem NMI-Eingang 32 des Funktionsreohners 14 und andererseits über die nichtinvertierende Schaltstufe 34 als Reseteingangs­ signal RSTIN an den Reseteingang 36 des Funktions­ reohners 14 geführt. Hierdurch wird es möglich, Funk­ tionsrechner 14 zu verwenden, die bei einem Reset­ eingangssignal RSTIN sofort stehenbleiben und alle Ports in den Tri-State-Modus gehen und selbst ange­ fangene Lese- oder Schreibroutinen unterbrochen wer­ den. Dies würde zu einem fehlerhaften Beschreiben von RAM-Zellen des Funktionsrechners 14 führen. Durch das der Schaltstufe 34 zugeordnete Zeitglied 38 wird das Reseteingangssignal RSTIN soweit verzögert, daß das an dem Eingang 32 anliegende NMI-Signal den Funk­ tionsrechner 14 zum vollständigen Abarbeiten des ge­ rade aufgerufenen Befehls in eine spezielle Reset­ routine zwingt. Nachdem der Funktionsrechner 14 in diese Resetroutine geschalten ist, wird über den Reseteingang 36 der Funktionsrechner 14 resetiert. Das am Ausgang der Schaltstufe 34 anliegende Reset­ eingangssignal RSTIN wird gleichzeitig zum Sperren eventuell vorgesehener RAM-Bausteine 40 beziehungs­ weise EEPROM-Bausteine 42 genutzt.

Der Sicherheitsrechner 16 wird durch das UND-Glied 26 resetiert. Entweder wenn das Resetsignal 22 vom Resetbaustein 20 oder das RESOUT-Signal 44 vom Funk­ tionsrechner 14 (low-) aktiv sind. Dieses Signal liegt am Reseteingang 46 des Sicherheitsrechners 16 an. Gleichzeitig kann das Resetsignal für den Sicher­ heitsrechner 16 zum Abschalten der Endstufen 54 eingesetzt werden. Hierzu wird es über das UND-Glied 48 mit dem Endstufenabschaltsignal ESENSR des Sicher­ heitsrechners 16 verknüpft und den Reseteingängen der Endstufen 54 zugeführt. Das Resetsignal für den Si­ cherheitsrechner 16 kann ferner zur Resetierung ge­ gebenfalls vorhandener CAN-Bausteine 50 verwendet werden.

Insgesamt ist mit der in der Fig. 1 gezeigten Schal­ tungsanordnung 10 ein Resetkonzept geschaffen, bei dem mittels einer störsicheren Resetstufe im Störfall eine Endstufenabschaltung, insbesondere bei der An­ steuerung von sicherheitsrelevanten Systemen, über die Endstufen 54 möglich ist. Durch die Aufteilung der Rechnereinheit 12 in den Funktionsrechner 14 und den Sicherheitsrechner 16, die über die serielle Schnittstelle 18 miteinander kommunizieren, können die Rechner getrennt voneinander agieren (jeder Rech­ ner verfügt über einen eigenen Taktgeber), und diese werden dennoch über eine Resetstufe 20 angesteuert. Die Schaltungsanordnung 10 ist so aufgebaut, daß bei jedem über die Resetstufe 20 bereitgestellten Reset­ signal RESET sowohl der Funktionsrechner 14 als auch der Sicherheitsrechner 16 zwingend in den Resetzu­ stand versetzt werden. Während der gesamten Reset­ phase der Rechnereinheit 12 sind sämtliche Endstufen 54 inaktiv, das heißt stromlos. Durch die Kopplung des Funktionsrechners 14 mit dem Sicherheitsrechner 16 wird die Resetphase des Sicherheitsrechners 16 erst nach der Initialisierung des Funktionsrechners 14 beendet. Die Endstufen 54 werden erst wieder frei­ gegeben, nachdem der Sicherheitsrechner 16 seiner­ seits ebenfalls die Resetphase beendet hat. Hierzu beginnt der Sicherheitsrechner 16 nach seiner Ini­ tialisierung über die serielle Schnittstelle 18 eine Kommunikation mit dem Funktionsrechner 14 und gibt die Endstufen 54 erst nach erfolgter Kommunikation frei. Der Funktionsrechner 14 und der Sicherheits­ rechner 16 überwachen sich somit gegenseitig über die serielle Schnittstelle 18 auf Plausibilität und Funk­ tionalität und können im Fehlerfall gegenseitig einen Software-Reset auslösen. Dieser erlaubt quasi eine interne Programmüberwachung, die bei einer Programm­ laufstörung den Software-Reset auslöst. Der Funk­ tionsrechner 14 kann zusätzlich einen internen Watchdog aktivieren, der bei festgestellter Programm­ laufstörung ebenfalls einen Reset auslöst.

Durch die an den Ausgängen 56 des Funktionsrechners 14 beziehungsweise 58 des Sicherheitsrechners 16 an­ liegenden DCENFR- und DCENSR-Signale ist es zur wei­ teren Erhöhung der Sicherheit möglich, die EGAS-End­ stufe 62 sowohl vom Funktionsrechner 14 als auch vom Sicherheitsrechner 16 getrennt auszuschalten, jedoch nur gemeinsam einzuschalten

In der Fig. 2 sind die für das Resetkonzept wesent­ lichen Bauelemente nochmals dargestellt, wobei glei­ che Teile wie in Fig. 1 mit gleichen Bezugszeichen versehen und nicht nochmals erläutert sind.

Es wird deutlich, daß die gesamte Schaltungsanordnung zur Durchführung des Reset im wesentlichen aus den vier UND-Gliedern 24, 34, 26 und 48 besteht. Zur Ver­ deutlichung der Verknüpfung der UND-Glieder unter­ einander sind die Signaleingänge beziehungsweise Signalausgänge mit den bereits in Fig. 1 bezeichne­ ten Signalen gekennzeichnet.

Bei der in Fig. 1 dargestellten Schaltungsanordnung liegt am Ausgang des UND-Gliedes 48 ein ESEN-Signal für Endstufen 54 mit einem Aktiv-Low-Reset an. Sollen Endstufen mit einem Aktiv-High-Reset abgeschaltet werden, wird das am Ausgang des UND-Gliedes 48 anlie­ gende ESEN-Signal über eine zusätzliche invertierende Schaltstufe 64 geführt und so neben dem Reset-Low- Signal RST(L) ein Reset-High-Signal RST(H) gebildet.

Weiterhin kann ein zusätzlicher Schaltungsbestandteil zur Bildung eines Reset-Flash-Signals RST FL vorge­ sehen sein. Dieses Reset-Flash-Signal ist notwendig, da bei Rechnereinheiten 12 mit Flash-Speichern der Flash-Speicher später als der Rechner resetiert wird und die Aufhebung des Resetzustandes früher als beim Rechner erfolgen soll. Hierdurch werden irreguläre Zustände am Bus-System des Rechners vermieden. Das Reset-Flash-Signal wird vom NMI-Signal über eine Diode DF und vom Resetausgangssignal RSTOUT des Funk­ tionsrechners 14 gebildet. Das NMI-Signal wird über die Diode DF schnell aufgehoben, während das Reset­ ausgangssignal RSTOUT über einen Widerstand RF und einen Kondensator CF verzögert wird.

In der Fig. 2 ist weiterhin ein Programmiersignal PROG dargestellt, das extern angelegt wird und über einen Analogschalter 66 verhindert, daß das Reset­ signal vom Baustein 26 an den Sicherheitsrechner (der gerade programmiert wird) gelangt.

Anhand der Fig. 3 wird der Aufbau der bereits in Fig. 2 gezeigten Schaltung in einer möglichen Aus­ führungsvariante verdeutlicht.

Hier wird deutlich, daß die UND-Glieder 24, 26 und 48 von Doppeldioden mit nachgeschalteten Komparatoren K1, K2, K3 und K4 gebildet werden können.

Damit beim Einschalten, das heißt beim Aufbau der Vcc-Versorgung an die Rechnereinheit 12, keine Reset­ spikes auftreten, muß die Ausgangsschaltung des das NMI-Signal bereitstellenden Komparators K1 und des das RSTIN-Signal bereitstellenden Komparators K2 ein­ deutig sein. Hierzu ist vorgesehen, daß der negative EINGANG U_T der Komparatoren K1, K2, K3, K4 aus der Dauerspannungsversorgung V_STDBY abgeleitet wird. Hierdurch wird ein eindeutiges Potential vor dem Anstieg des Vcc-Potentials durch den Reset definiert.

Weiterhin wird die Einschaltspannung UBRE des Reset­ bausteins 20 über einen Schutzwiderstand R_V und eine Diode D_V auf die Komparatorversorgung U_K geschaltet. Hierdurch wird erreicht, daß die Komparatoren K1, K2, K3, K4 vor einem Anstieg des Vcc-Potentials be­ triebsfähig sind, da in den Resetbaustein 20 eine hier nicht dargestellte Verzögerung von dem Anliegen der Einschaltspannung UBRE bis zum Anstieg des Vcc- Potentials integriert ist.

Damit beim Ausschalten, das heißt beim Abfall des Vcc-Potentials, keine Reset-Spikes auftreten, ist die Versorgung der Komparatoren K1, K2, K3, K4 über einen zusätzlichen Pufferkondensator C_V gepuffert. Dies ist erforderlich, da beim Abschalten des Resetbausteins 20 nach Beendigung des Nachlaufes die Spannung U_B1 schneller abfällt als die Spannung V_cc und die Kompa­ ratoren K1, K2, K3, K4 sonst keine Versorgungsspan­ nung U_K=UC_V mehr zur Verfügung hätten. Der Puffer­ kondensator C_V wird über die Diode D_V von der Span­ nung U_B1 aufgeladen und ist parallel zu den Kompa­ ratoren K1, K2, K3, K4 geschaltet. Der Pufferkonden­ sator C_V ist so dimensioniert, daß er eine genügend hohe Versorgungsspannung UC_V an den Komparatoren K1, K2, K3, K4 länger aufrechterhält, als der Abfall der Spannung dauert.

Ferner ist es beim Abfall der Vcc-Versorgung erfor­ derlich, den Zeitpunkt vom Unterspannungsreset des Resetbausteins 20 bis zum Wirksamwerden des Reset am Funktionsrechner 14, das heißt, das Anliegen des Reseteingangssignals RSTIN am Eingang 36, so kurz wie möglich zu halten, da bei einer zu langen Verzögerung die Vcc-Versorgungsspannung auf Werte sinkt, bei de­ nen die Kernelemente des Funktionsrechners 14 nicht mehr spezifiziert sind. Hierzu ist vorgesehen, die Vcc-Versorgungsspannung über einen ausreichend großen Elektrolytkondensator zu puffern und die Verzöge­ rungszeit des Zeitgliedes 38 so kurz wie möglich zu dimensionieren. Hierdurch ergibt sich bei einer typi­ schen Abfallzeit von Vcc von zirka 5 mV/ms, ausgehend von der Unterspannungs-Reset-Schwelle des Bausteins 20 von 4,5 V, ein Spannungsabfall von maximal 60 mV, das heißt auf 4,44 V, ein Wert, der noch knapp an der Spezifikationsgrenze der Bauelemente (≈ 4,5 V)liegt.

Bei einer Verwendung von CMOS-Komparatoren mit einem geringeren Versorgungsstrom von beispielsweise klei­ ner gleich 100 µA oder bei einem anwendungsmäßig er­ laubten Standby-Strom der Versorgungsspannung V_STDBY von kleiner gleich 2 mA können die Komparatoren K1, K2, K3 und K4 direkt an die Versorgungsspannung U_K=V_STDBY gelegt werden, so daß die Glättung über den Schutzwiderstand R_V, die Diode D_V und den Puffer­ kondensator C_V nicht erforderlich wird (in Fig. 3 gestrichelt dargestellt).

In der Fig. 4 ist eine weitere Variante der Schal­ tungsanordnung 10 gezeigt, bei der gleiche Teile wie in Fig. 1 wiederum mit gleichen Bezugszeichen ver­ sehen und nicht nochmals erläutert sind.

Die in der Fig. 4 dargestellte Schaltungsvariante ist für den Anwendungsfall vorteilhaft, wenn bei der Bereitstellung des NMI-Signals am Eingang 32 und des Reseteingangssignals RSTIN am Eingang 36 des Funk­ tionsrechners 14 auf steile Flanken dieser Signale verzichtet werden kann. Die in Fig. 3 gezeigten Komparatorstufen K1 und K2 zur Bereitstellung dieser Signale können somit entfallen. Das NMI-Signal wird direkt vom am Ausgang 22 des Resetbausteins 20 an­ liegenden Resetsignal RESET und dem Software-Resetsi­ gnal SWRST des Sicherheitsrechners 16 gebildet. Das am Reseteingang 36 des Funktionsrechners 14 anlie­ gende Eingangssignal RSTIN kann durch einen ersten Tiefpaß 68 aus dem Widerstand R2 und der Kapazität C2 gebildet werden. Das Reseteingangssignal für den RAM- Baustein 40 wird über einen zweiten Tiefpaß 70, der aus dem Widerstand R1 und der Kapazität C1 besteht, gebildet. Eine weitere Vereinfachung der Schaltungs­ anordnung 10 besteht darin, die verbliebenen Kompara­ toren K3 und K4 durch einfache UND-Gatter zu er­ setzen. Hierbei ist jedoch zu beachten, daß das am Ausgang 22 des Resetbausteins 20 anliegende Signal RESET (U_SAT 0,4 V) sich beim Abschalten der Versor­ gungsspannung Vcc diesem Potential ab Vcc 1 V an­ schmiegt, da der interne Transistor des Resetbau­ steins 20 nicht mehr sättigen kann. Dem kann dadurch abgeholfen werden, daß beispielsweise die Ausgangs­ stufe des Resetbausteins 20 geändert wird, indem beispielsweise der Resettransistor aus der Versor­ gungsspanung V_STDBY versorgt wird.

Fig. 5 zeigt eine weitere Schaltungsvariante, die insbesondere bei elektronischen Steuergeräten ohne Dauerversorgung eingesetzt werden kann. Gleiche Teile wie in den vorhergehenden Figuren sind wiederum mit gleichen Bezugszeichen versehen und nicht nochmals erläutert. Die Schaltungsanordnung läßt sich dadurch vereinfachen, daß das NMI-Signal direkt an das Vcc- Potential gelegt wird. Hierdurch kann die Schaltstufe 24 (Fig. 1) entfallen. Das Reseteingangssignal RSTIN wird hier durch eine Schaltstufe 72 erzeugt, an die das Ausgangssignal des Resetbausteins 20 RESET und das Software-Resetsignal SWRST des Sicherheitsrech­ ners 16 geführt wird. Das Software-Resetsignal RSWRST wird wegen der bereits erläuterten Verzögerung über einen Tiefpaß 74 des Widerstandes R3 und der Ka­ pazität C3 geführt.

In den Fig. 6 bis 10 sind Taktdiagramme darge­ stellt, die den zeitlichen Ablauf der in den vorher­ gehenden Figuren erläuterten Signale verdeutlichen.

In Fig. 6 ist der Aufbau der von dem Resetbaustein 20 bereitgestellten Signale nach Anlegen der Ein­ schaltspannung UBRE an den Resetbaustein 20 gezeigt. Der weitere Aufbau der Signale nach Aktivierung des Resetbausteins 20 erfolgt gemäß den in Fig. 7 ge­ zeigten Zeitdiagrammen.

Fig. 8 zeigt den zeitlichen Verlauf der Signale nach Auslösung eines Software-Reset durch den in den Funk­ tionsrechner 14 integrierten Watchdog, während Fig. 9 den zeitlichen Verlauf der Signale bei einem vom Sicherheitsrechner 16 ausgelösten Software-Reset zeigt.

Anhand Fig. 10 wird schließlich der Ablauf der Signale beim Abschalten der Einschaltspannung UBRE des Resetbausteins verdeutlicht.

Claims (18)

1. Schaltungsanordnung zur Durchführung eines Reset einer Rechnereinheit, insbesondere für ein elektronisches Steuergerät eines Kraftfahrzeuges, mit einer Reset-Stufe und wenigstens einer von der Rechnereinheit angesteuerten Endstufe, wobei die Rechnereinheit (12) einen Funktionsrechner (14) und ein Sicherheitsmodul (16) aufweist, die völlig autark arbeiten und über eine Schnittstelle (18) miteinander verbunden sind, die zum einen beide durch die Reset-Stufe (20) zwingend in den Reset­ zustand versetzt werden und zum anderen sich laufend gegenseitig überwachen und im Fehlerfall sich gegenseitig resetieren können, wobei der Funktionsrechner einen NMI- Eingang (32) (nicht maskierbarer Interrupt) und einen Reset- Eingang (36) aufweist, dadurch gekennzeichnet, daß bei allen Reset-Zuständen alle Endstufen (54) sicher abgeschaltet werden, daß der NMI-Eingang (32) mit dem Ausgang einer Schaltstufe (24) verbunden ist, daß der Reset-Eingang (36) über eine zeitverzögernde Schaltstufe (34) mit dem Ausgang der Schaltstufe (24) verbunden ist, und daß der Reset- Ausgang (22) des Reset-Bausteins (20) mit einem Eingang der Schaltstufe (24) verbunden ist.

2. Schaltungsanordnung nach Anspruch 1, dadurch ge­ kennzeichnet, daß der Sicherheitsmodul (16) ein Rech­ ner ist, der über eine synchrone serielle 2-Draht- Schnittstelle (18) mit dem Funktionsrechner (14) kommuniziert.

3. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß der Sicherheitsmodul (16) ein Rechner ist, der über eine asynchrone serielle 1-Draht-Schnittstelle (18) mit dem Funktionsrechner (14) kommuniziert.

4. Schaltungsanordnung nach Anspruch 1, dadurch ge­ kennzeichnet, daß der Sicherheitsmodul (16) eine intelligente Logikschaltung (z. B. Fenster-Watchdog) ist, die mit dem Funktionsrechner (14) verbunden ist.

5. Schaltstufe nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß ein Eingang der Schaltstufe (24) mit einem Software-Reset-Ausgang (28) des Sicherheitsrechners (16) verbunden ist.

6. Schaltungsanordnung nach Anspruch 5, dadurch ge­ kennzeichnet, daß die Schaltstufe (24) ein dem Software-Reset-Ausgang (28) zugeordnetes Zeitglied (30) aufweist.

7. Schaltungsanordnung nach Anspruch 6, dadurch ge­ kennzeichnet, daß das zugeordnete Zeitglied (30) unsymmetrisch ausgeführt wird.

8. Schaltungsanordnung nach Anspruch 5 und 6, dadurch gekennzeichnet, daß die Schaltstufe (34) eine nicht­ invertierende Schaltstufe mit einem Zeitglied (38) zur Verzögerung des Reseteingangssignals (RSTIN) ge­ genüber dem NMI-Signal (NMI) aufweist.

9. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß ein Resetaus­ gang (44) des Funktionsrechners (14) über eine Schaltstufe (26) mit dem Resetausgang (22) des Reset­ bausteins (20) gekoppelt ist, wobei ein Ausgang der Schaltstufe (26) mit einem Reseteingang (46) des Si­ cherheitsrechners (16) verbunden ist.

10. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Ausgang der Schaltstufe (26) über eine Schaltstufe (48) mit einem Endstufen-Abschaltausgang (52) des Sicherheits­ rechners (16) gekoppelt ist, wobei ein Ausgang der Schaltstufe (48) mit den Endstufen (54) verbunden ist.

11. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Schalt-Ausgänge (56, 58) der Rechner (14, 16) direkt mit einer Endstufe (62) verbunden sind.

12. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Schalt­ stufen (24, 34, 26, 48) von UND-Gliedern gebildet werden.

13. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die UND- Glieder eine Doppeldiodenschaltung und/oder Kompara­ toren (K1, K2, K3, K4) aufweisen.

14. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Ausgang der Schaltstufe (48) zur Bereitstellung eines Reset­ high-Signals (RSTH) mit einer invertierenden Schalt­ stufe (64) verbunden ist.

15. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Ausgang der Schaltstufe (24) über eine Diode (D_F) und der Resetausgang (44) des Funktionsrechners (14) über einen Widerstand (R_F) zur Bildung eines Reset-Flash- Signals (RSTFL) zusammengeschaltet sind.

16. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die in den Schaltstufen (24, 34, 26, 48) vorgesehenen Kompara­ toren (K1, K2, K3, K4) mit ihren positiven Eingängen an der Teilerspannung (U_T) hängen, die aus der Dauer­ versorgung V_STDBY der Schaltungsanordnung (10) gebil­ det wird.

17. Schaltungsanordnung nach Anspruch 12, dadurch ge­ kennzeichnet, daß die Versorgungsspannung (U_T) der Komparatoren (K1, K2, K3, K4) über eine Diode (D_V) und einen Schutzwiderstand (R_V) von der Einschalt­ spannung (UBRE) vorgeladen werden.

18. Schaltungsanordnung nach einem der Ansprüche 12 und 13, dadurch gekennzeichnet, daß die Versorgungs­ spannung (U_T) der Komparatoren (K1, K2, K3, K4) über einen Kondensator (C_V) gepuffert ist.