-
Überwachungseinrichtung- für programmgesteuerte Vorrichtungen
-
Stand der Technik Die Erfindung geht aus von einer Überwachungseinrichtung
nach der Gattung des Hauptanspruches.
-
Es ist bekannt, bei programmgesteuerten Vorrichtungen Überwachungseinrichtungen
vorzusehen, die einen ordnungsgemäßen Ablauf des Programms überwachen. Hierzu ist
es beispielsweise bekannt, sogenannte Testprogramme ablaufen zu lassen, bei denen
alle Funktionen der programmgesteuerten Vorrichtung nachgebildet werden. Je nach
Art des dabei auftretenden Fehlersignales ist es dann möglich, den Fehler im Programm
zu lokalisieren. Diese Art der Überwachung hat jedoch den nachteil, daß die programmgesteuerte
Vorrichtung
für die Dauer der Überwachung durch das Testprogramm
vollständig beansprucht wird, was insbesondere bei solchen Vorrichtungen, bei denen
eine ununterbrochene Verarbeitung der Daten von Wichtigkeit ist, zu Schwierigkeiten
führen kann.
-
Es ist weiterhin bekannt, programmgesteuerte Vorrichtungen derart
zu überwachen, daß bei jedem Programmdurchlauf ein Kontrollimpuls gesetzt wird,
um ein vollständiges Durchlaufen des Programmes anzuzeigen. Verwendet man jedoch
ein derartiges Kontrollsignal zur laufenden Überwachung der Vorrichtung, kann dies
ohne Einsatz weiterer Mittel dazu führen, da5 die Vorrichtung auch bei kurzzeitigen
Störungen außer Betrieb gesetzt wird.
-
Dies ist jedoch insbesondere bei solchen programmgesteuerten Vorrichtungen
vom Nachteil, die in stark störverseuchter Umgebung arbeiten, beispielsweise von
Mikroprozessoren gesteuerten Systemen in Kraftfahrzeugen. Bei diesen müssen aus
Sicherhe it sgrii nden Uberwachungseinrichtungen vorgesehen werden, die eine Fehlererkennung
aufweisen, die bei Ausfall oder Störung der Steuerung des Fahrzeuges durch Auslösen
von Sicherungen einen sicheren Betriebszustand des Kraftfahrzeuges herbeiführen
und eventuell für nicht sicherheitskritische Systemfunktionen eine Notfunktion starten,
die eine Weiterfahrt zur nächsten Werkstatt gestatten. Da dieser Störfall mit erheblichen
Kosten für den Anwender verbunden ist, ist es notwendig, das Ansprechen derartiger
Überwachungseinrichtungen auf die Fälle zu beschränken, in denen das Steuergerät
nicht mehr funktionsfähig ist. Der Ausfall eines der eingangs geschilderten Kontrollimpulse
ist hierfür jedoch kein sicheres -Kriterium, da aufgrund der in Kraftfahrzeugen
auftretenden unverhältnismäßig hohen Störpegel kurzzeitige, nicht systembedingte
Betriebsstörungen
und damit Ausfälle von Kontrollimpulsen möglich sind, die ihre Urache jedoch nicht
in einer Funktionsunfähigkeit des Steuergerätes haben.
-
Vorteile der Erfindung Die erfindungsgemäße Überwachungseinrichtung
mit den kennzeichnenden Merkmalen des Hauptanspruches hat demgegenüber den Vorteil,
auftretende Fehler im Programmablauf, je nachdem ob sie durch kurzzeitige Störungen
oder durch Systemausfälle verursacht worden sind, zu unterscheiden und damit ein
verläßliches Kriterium z.B.
-
für die Betätigung einer Notschalteinrichtung zu schaffen Ein durch
einen kurzzeitigen Fehler gestoppter oder fehlerhafter Programmablauf wird wieder
durch Rücksetzen auf den Programmbeginn ordnungsgemäß in Gang gebracht.
-
Zeichnung Drei Ausführungsbeispiele der Erfindung sind in der Zeichnung
dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigen: Fig.
1 eine Schaltungsausführung eines ersten Ausführungsbeispiels einer Uberwachungseinrichtung
mit Restart-Auslösung, Fig. 2 eine Schaltungsausführung eines zweiten Ausführungsbeispiels
einer über wachungseinrichtung mit Restart-Auslösung und Fig. 3 eine Schaltungsausführung
eines dritten Aus führungsbeispiels einer Überwachungseinrichtung mit Interrupt-Auslösung.
-
Beschreibung.der Ausführungsbeispieie In Fig. 1 ist eine programmgesteuerte
Vorrichtung 10, beispielsweise ein von Mikroprozessoren gesteuertes System in einem
Kraftfahrzeug, dargestellt. Die programmgesteuerte Vorrichtung 10 weist eine zu
jedem Zeitpunkt setzbare monostabile Kippstufe (sogenanntes retriggerbares Monoflop)
(101) auf. Eine derartige monostabile Kippstufe hat die Eigenschaft, im gesetzten
Zustand zu verharren, wenn während der Standzeit weitere Setzimpulse angelegt werden.
-
Dabei wird von jedem neuen Setzimpuls die Kippstufe wiederum für die
gesamte Standzeit gesetzt. Dies bedeutet,
daß die Kippstufe nur
dann abfällt, wenn während einer Zeit, die größer als die Standzeit ist, einmal
kein neuer Setzimpuls angelegt wird. Der invertierte Ausgang der kippstufe 1b1 ist
mit dem Setzeingang einer weiteren monostabilen Kippstufe 11 sowie dem Takteingang
eines JK-Flipflops 13, das als Koinzidenzschaltung 12 dient, verbunden. Der Ausgang
des JK-Fliflops 13 ist an einen Eingang eines ODER-Gatters 14 angeschlossen, mit
dessen Ausgang eine Notschalteinrichtung 15, im dargestellten Ausführungsbeispiel
ein Schalter 16 mit Ruhekontakt, ansteuerbar ist. Der J-Eingang des JK-Flipflops
13 ist an den Ausgang der weiteren monostabilen Kippstufe 11 angeschlossen, der
gleichzeitig mit einem invertierten Eingang eines UND-Gatters 27 verbunden ist.
Ein weiterer invertierter Eingang des UND-Gatters 17 ist mit dem Ausgang der Kippstufe
101 verbunden. Dieser ist weiterhin über ein RC-Glied 18, 19 an einen Eingang eines
NAND-Gatters 20 gelegt, dessen zweiter Eingang mit dem invertierten Äusgang der
Kippstufe 101 verbunden ist. Der Ausgang des NAND-Gatters 20 ist mit einem Eingang
102 der programmgesteuerten Vorrichtung 10 verbunden, über den der Vorrichtung Schaltbefehle
für einen erneuten Durchlauf des Programmes (RESTART) zuführbar sind. Es ist weiterhin
ein aus einem RC-Glied 22, 23 bestehendes Zeitglied vorgesehen, das über eine Klemme
21 mit der Versorgungsspannung der Überwachungseinrichtung beschaltbar ist und dessen
Ausgang über einen Invertierer 24 mit einem dritten invertierten Eingang des UND-Gatters
17 sowie dem Reset-Eingang des JK-Flipflops 13 verbunden ist. Schließlich ist ein
dritter Eingang des ODER-Gatters 14 auf eine Klemme 25 geführt.
-
Die Wirkungsweise der in Figur 1 dargestellten Vorrichtung ist wie
folgt:
Wie bereits ausgerührt, ist die Kippstufe 101 der programmgesteuerten
Vorrichtung 10 als retriggerbares Monoflop ausseoildet, d.h., daß in ordnungsgemäßem
Betrieb der programmgesteuerten Vorrichtung 10 dem Setzeingang bei jedem Programmdurchlauf
wenigstens ein Kontrollimpuls zugeführt wird, wobei die Standzeit der Kippstufe
101 größer als die Zykluszeit der Kontrollimpulse bemessen ist, so daß die Kippstufe
101 bei störungsfreiem Betrieb im gesetzten Zustand statisch verharrt. Am Ausgang
Q liegt dann ein positives logisches Signal- an, am invertierten Ausgang Q liegt
ständig logisch 0. Fällt nun aufgrund irgendeiner Störung ein Kontrollimpuls aus,
fällt die Kippstufe 101 ab und am invertierten Ausgang X liegt logisch 1. Dadurch
wird der Takteingang des JK-Flipflops 13 angesteuert und die weitere Kippstufe 11
gesetzt.
-
Aufgrund der Verzögerung mit der das Signal logisch 1 am Ausgang der
weiteren Kippstufe 11 erscheint, wird das JK-Flipflop 13'jedoch noch nicht gesetzt.
Die Standzeit der weiteren Kippstufe 11 ist wesentlich größer bemessen als die der
Kippstufe 101. Typischerweise beträgt beispielsweise die Zykluszeit der Kontrollimpulse
8 ms, die Standzeit der Kippstufe 101 12 ms und die Standzeit der weiteren Kippstufe
11 50 ms. Beim Abfallen der Kippstufe 101 wird über ein Funktionsglied,- bestehend
aus dem RC-Glied 18, 19 sowie dem NAND-Gatter 20 ein kurzer negativer Impuls erzeugt,
der dem Eingang 102 der programmgesteuerten Vorrichtung 10 zugeführt wird und ein
erneutes Starten des Programmes bewirkt. Wird das Programm beim erneuten Durchlauf
fehlerfrei durchlaufen, wird die Kippstufe 101 wieder gesetzt. Tritt jedoch ein
erneuter Ausfall eines Kontrollimpulses während der durch die weitere Kippstufe
11 bestimmten Standzeit von beispielsweise 50 ms auf, erscheint am invertierten
Ausgang Q der Kippstufe 101
eine Schaltflanke und das JK-Flipflop
13 wird nun umgeschaltet. in diesem Fall wird über das ODER-Gatter 14 die Notschalteinrichtung
15 betätigt. Beispielsweise kann ein.
-
Schalter 16 mit einem Ruhekontakt aufgetrennt werden, der in der Stromversorgung-der
programmgesteuerten Vorrichtung 10 angeordnet ist.
-
Es ist jedoch auch möglich, daß nach erneutem Starten des Programms
überhaupt kein weiterer Kontrollimpuls mehr auftritt. In diesem Falle bleibt der
Ausgang Q der Kippstufe 101 statisch auf 0, der Ausgang Q aer weiteren Kippstufe
11 geht nach deren Standzeit ebenfalls auf 0.
-
Dies bedeutet, läßt-man einmal den dritten invertierten Eingang außer
Betracht, daß das UND-Gatter 17 durchschaltet und ebenfalls über das ODER-Gatter
14 die Notschaltfunktion auslöst.
-
Handelt es sich jedoch beim ersten Ausfall des Kontrollimpulses um
eine vorübergehende Störung, und treten während der Standzeit der weiteren Kippstufe
11 keine weiteren Ausfälle mehr auf, werden beide Eingänge des JK-Flipflops 13 mit
0 beaufschlagt, so daß dieses nicht mehr umschaltet und auch die beiden ersten-Eingänge
des UND-Gatters 17 werden mit einem 0- bzw. 1-Signal beaufschlagt, so daß auch über
das UND-Gatter 17 kein Auslösesignal mehr auf die Natschalteinrichtung 15 gelangt.-Die
Überwachungseinrichtung, die durch den Ausfall des ersten Kontrollimpulses gesetzt
wurde, wird demnach in diesem Betriebs fall nach Ablauf der Standzeit der weiteren
monostabilen Kippstufe 11 von selbst desaktiviert. Es ist außerdem möglich, eine
Klemme 25 einem weiteren Eingang des ODER-Gatters 14 oder dem PRESET-Eingang des
JK--Flipflops 13 zuzurühren, um die Notschalteinrichtung 15 in Abhängigkeit von
anderen Kriterien anzusteuern.
-
Um zu vermeiden, daß die erfindungsgemäße überwachungseinrichtung
bei jeder Inbetriebnahme der programmgesteuerten
Vorrichtung 10
anspricht, wird die Versorgungsspannung auf die Klemme 21 geführt und erzeugt über
das Zeitglied, bestehend aus dem RC-Glied 22, 23 und dem Invertierer 24 für eine
kurze Zeit ein positives logisches Signal. Dies bewirkt einerseits, daß das JK-Flipflop
13 über den Reset-Eingang R angesteuert wird und damit nicht umgeschaltet werden
kann, andererseits ist durch einen dritten invertierten Eingang des UND-Gatters
17 gewährleistet, daß auch dieses während der Einschaltphase nicht umgeschaltet
werden kann. Nach einer durch das RC-Glied 22, 23 bestimmten Zeit verschwindet das
Signal am Ausgang des Invertierers 24 und die Überwachungseinrichtung kann in der
oben beschriebenen Weise ausgelöst werden.
-
Fig. 2 zeigt den Stromlaufplan einer RESTART-Schaltung, wie sie- bei
einer erfindungsgemäßen Überwachungseinrichtung verwendet werden kann. Ein die Kontrollimpulse
führender Ausgang der programmgesteuerten Vorrichtung 10 ist an ein Differenzierglied,
bestehend aus einem Kondensator 30 und einem Widerstand 31 angeschlossen, das mit
der Basis eines Transistors 32 verbunden ist. Der Kollektor dieses Transistors 32
liegt über einen Widerstand 33 an einem RC-Glied, bestehend aus einem Kondensator
34 und einem Widerstand 35, die in Serie mit einem Widerstand 36~zwischen Masse
und. eine an eine Klemme 3T gelegte Bezugsspannung geschaltet sind. Die Reihenschaltung
von Kondensator 34 und Widerstand 35 ist einmal mit einer Zenerdiode 38 und zum
anderen mit einem Kondensator 39 überbrückt. Der Verbindungspunkt von Kondensator
34 und Widerstand 35 ist über eine Diode 40 mit der Basis eines Transistors 41 verbunden,
der mit einem weiteren Transistor 42 in Reihe zwischen Masse und den einen neuen
Progranindurchlauf bewirkenden Eingang 102 (RESTART-Eingang) der programmgesteuerten
Vorrichtung 10 geschaltet ist.
-
Die Wirkungsweise der in Fig. 2 dargestellten Schaltung ist wie folgt:
:Die bei ordnungsgemäßem Betrieb periodisch auftretenden Kontrollimpulse der programmgesteuerten
Vorrichtung 10 werden differenziert und gelangen auf die Basis des Transistors 32,
der dadurch periodisch durchgeschaltet wird und den Kondensator 34, der aus der
an der Klemme. 37 anliegenden Bezugsspannung aufladbar ist, periodisch entlädt.
Die Kondensatorspannung überschreitet daher bei ordnungsgemäßem Betrieb der programmgesteuerten
Vorrichtung 10 einen bestimmten Pegel nicht. Zum Schutz des RC-Gliedes 34, 35 gegen
Störspannungsspitzen sind der Widerstand 36 sowie die Zenerdiode 38 und der Kondensator
39 vorgesehen. Die Spannung am Kondensator 34 wird über die Diode 40 auf die Basis
des Transistors 41 übertragen. Bei ordnungsgemäßem Betrieb der programmgesteuerten
Vorrichtung 10 ist der Transistor 41 gesperrt. Fällt jedoch ein Kontrollimpuls aus,
steigt die Spannung am Kondensator 34 soweit an, daß der Transistor 41 durchgesteuert
wird. Für einen erneuten Durchlauf des Programmes ist ein kurzer negativer Impuls
am RESTART-Eingang 102 erforderlich. Dies wird beispielsweise in einer programmgesteuerten
Vorrichtung 10 in einem Kraftfahrzeug dadurch bewirkt, daß von einem als Bezugsmarkengeber
ausgebildeter Impulsgenerator 43 kurzzeitig ein Impuls auf den Transistor 42 übertragen
wird. Ist der Transistor 41 aufgrund des Ausbleibens eines Kontrollimpulses durchgeschaltet,
und wird der Transistor 42 durch den Impulsgenerator 43 ebenfalls kurzzeitig durchgeschaltet,
so wird der RESTART-Eingang 102 kurzfristig mit Masse verbunden. Dies bewirkt einen
erneuten Durchlauf des Programms in der programmgesteuerten Vorrichtung 10.
-
Der Impulsgenerator 43 kann alternativ auch als astabiler Multivibrator
ausgebildet sein, so daß nach Ausbleiben eines Kontrollimpulses durch viele Impulse
am-RESTART-Eingang 102 das Programm immer wieder zurückgesetzt wird, bis ein ordnungsgemäßer
Programmdurchlauf erfolgt.
-
Bei dem in Fig. 3 dargestellten Ausführungsbeispiel ist der Verknüpfungspunkt
zwischen dem Kondensator 30 und dem Widerstand 31 über einen Inverter 50 und die
Kathoden-Anoden-Strecke einer dazu in Reihe geschalteten Diode 51 an den Verküpfungspunkt
zwischen dem Kondensator 34 und dem Widerstand 35, 36 angeschlossen. Dieser Verknüpfungspunkt
ist über einen weiteren Inverter 52 und ein dazu in Reihe geschaltetes ODER-Gatter
53 an die Interrupt-Eingangsklmme 103 der programmgesteuerten Vorrichtung 10 angeschlossen.
Jeder Rechner, insbesondere jeder Mikrorechner weist einen solchen Interrupt-Eingang
auf.
-
Ein Bezugsmarkengeber 54, wie er zur Steuerung z.B-. der Zünd- und
Einspritzvorgänge in Kraftfahrzeugen benötigt wird ist über eine weitere Eingangsklemme
104 mit der programmgesteuerten Vorrichtung 10 verbunden, zur Steuerung derselben
in Abhängigkeit des Auftretens von Bezugsmarken. Ein solcher Bezugsmarkengeber 54
ist bei einer Brennkraftmaschine mit der Kurbelwelle gekoppelt. Der Ausgang des
Bezugsmarkengebers 5.4 ist über eine Schaltungsanordnung 56 mit einem weiteren Eingang
des ODER-Gatters 53 verbunden. Diese Schaltungsanordnung 56 entspricht der Schaltungsanordnung
55, die aus den Bauteilen 30, 31, 34 bis 37, 50 bis 52 besetht.
-
Die Wirkungsweise der in Fig. 3 dargestellten Schaltung ist wie folgt:
Wie
bei den beiden ersten Ausführungsbeispielen gelangen die bei ordnungsgemäßem Betrieb
periodisch auftretenden Kontrollimpulse der programmgesteuerten Vorrichtung 10-,
differenziert durch die Bauteile 30, 31, an den Steuereingang eines retriggerbaren
Zeitglieds. Dieses Zeitglied besteht aus den Bauteilen 34 bis 36, sowie 50, 51.
Während eines kurzen Kontrollsignals liegt am Ausgang des Inverters 50 ein O-Signal,
so daß sich der Kondensator 34 über die Diode 51- entladen kann. In der Folgezeit
lädt sich der Kondensator 34 über den- Widerstand 35, 36 auf, bis eine -erneute
Entladung durch das folgende Kontrollsignal stattfindet. Die Bauteile sind dabei
so dimensioniert, daß im regulärem Betrieb die Kondensatorspannung des Kondensators
34 immer unterhalb der Ansprechschwelle des Inverters 52 bleibt. Am Ausgang dieses
Inverters 52 liegt somit ständig ein 1-Signal. Fällt ein Kontrollsignal aus, so
lädt sich der Kondensator 34 weiter auf und überschreitet die Ansprechschwelle des
Inverters 52, an dessen Ausgang dadurch ein O-Signal erzeugt wird, das am Interrupt-Eingang
103 anliegt. Der Interrupt-Eingang wird durch Programmbefehle in regelmäßigen oder
unregelmäßigen Schritten abgefragt. Der zugehörige Programmschritt sieht so aus,
daß bei Anliegen eines 1-Signals ein Übergang zum nächsten Programmschritt und bei
Anliegen eines O-Signals der Sprung zum Programmbeginn erfolgt. Durch eine solche
Überwachungseinrichtung kann sich das Programm unter Verwendung weniger externer
Bauelemente- selbst überwachen und bei Fehlern einen erneuten Programmanlauf einleiten.
-
Ein solches Rücksetzen des Programmes, also praktisch des Programmzählers
.auf seinem Anfang erfolgt auch dann, wenn ein Bezugsmarkensignal ausfällt, was
entweder auf einen Fehler des Bezugsmarkengebers oder auf den Stillstand
desselben
rückzuführen ist. Die der Schaltungsanordnung 55 entsprechende Schaltungsanordnung
56 erzeugt bei Ausbleiben eines solchen Bezugsmarkensignals- ebenfalls ein O-Signal
am Interrupt-Eingang 103, das analog dem zuvor Beschriebenen die Programmrücksetzung
bewirkt.