DE2946081C2

DE2946081C2 -

Info

Publication number: DE2946081C2
Application number: DE2946081A
Authority: DE
Inventors: Gerhard 3000 Hannover De Ruhnau; Karl-Heinz 3007 Gehrden De Hesse; Klaus Grubert; Rudolf 3000 Hannover De Auding
Original assignee: Wabco Westinghouse Fahrzeugbremsen GmbH
Current assignee: ZF CV Systems Hannover GmbH
Priority date: 1979-11-15
Filing date: 1979-11-15
Publication date: 1990-08-09
Anticipated expiration: 1999-11-16
Also published as: JPS5688546A; FR2470987A1; IT1129860B; DE2946081C3; US4405982A; IT8068753A0; GB2065939B; FR2470987B1; DE2946081A1; GB2065939A

Description

Die Erfindung bezieht sich auf eine Schaltungsanordnung zur Überwachung der Funktion eines Mikroprozessors gemäß den Merkmalen des Oberbegriffs des Anspruchs 1.

Störpegel auf der Versorgungsspannung eines solchen Schaltkreises können dazu führen, daß die Programmzähler- und Registerinhalte eines Mikroprozessors oder Mikrocomputers derart verändert werden, daß das im Festwertspeicher vorhandene Programm nicht mehr richtig abgearbeitet werden kann und nur noch willkürliche Operationen durchgeführt werden. Dieser Zustand kann nur durch eine RESET-Funktion, d. h. ein Rücksetzen des Mikrocomputers oder Mikroprozessors in den Anfangszustand mit anschließendem Wiederstart des Programms beendet werden.

Denkbar ist es, bei Mikroprozessoren die Datenleitungen auf das Auftreten illegaler Operationen zu überprüfen und beim Vorliegen solcher Operationen Maßnahmen zu ergreifen, die auf den Wiederstart des Programms abzielen.

Dieses Verfahren erfordert jedoch eine umfangreiche Dekodierschaltung zur Erkennung der illegalen Operationen und ist außerdem für Mikrocomputer nicht anwendbar, wenn bei diesen die Datenleitungen nicht extern zugänglich sind.

Aus der US 40 72 852 ist eine Schaltungsanordnung gemäß dem Oberbegriff des Anspruchs 1 bekannt, die dazu dient, einen Computer derart zu überwachen, daß durch einen Detektor periodische Ausgangsimpulse des Computers überwacht werden, die im Programm eingebaut sind. Falls einer oder mehrere dieser Ausgangsimpulse ausfallen, wird ein Fehler des Computers angenommen. Die zugehörige Schaltung ist relativ kompliziert aufgebaut.

Aus H. W. Lawson, Jr., H. Berndt, G. Hermanson, Large Scale Integration. In: Tagungsbericht, 17. bis 19. Oktober 1978, München, S. 74 bis 79, ist weiter bekannt, einen Computer dadurch zu überwachen, daß die vorher bekannte Laufzeit des Programms und die tatsächliche Laufzeit verglichen werden. Falls sich eine übermäßige Abweichung ergibt, wird ein Fehler-Signal ausgegeben. Die hierzu angegebene Testschaltung ist ebenfalls relativ kompliziert aufgebaut. Eine Einrichtung zum Wiederstart des Computers ist nicht vorgesehen.

Der Erfindung liegt die Aufgabe zugrunde, eine Schaltungsanordnung anzugeben, mit der die ordnungsgemäße Funktion von Mikroprozessoren überwacht und nach dem Auftreten einer vorübergehenden Störung wieder hergestellt werden kann. Ein größerer Aufwand zur Erkennung von illegalen Operationen soll dabei vermieden werden.

Diese Aufgabe wird durch die im Patentanspruch 1 angegebene Erfindung gelöst.

Grundlage der erfindungsgemäßen Schaltungsanordnung ist, daß von einem Mikroprozessor oder einem Mikrocomputer nach jedem Durchlauf seines Programmes ein CLEAR-Signal abgegeben wird, welches den Inhalt eines Zählers auf den Wert Null zurücksetzt. Dieser Zähler wird mit einer festen Frequenz getaktet, d. h. er zählt mit konstanter Geschwindigkeit aufwärts. Wird nun der Mikroprozessor oder Mikrocomputer derart gestört, daß er das vorgesehene Nutzprogramm nicht mehr abarbeiten kann, dann wird auch das CLEAR-Signal nicht mehr erzeugt, und der Zähler erreicht einen Zählerstand, der bei normaler Folgefrequenz des CLEAR-Signals nicht möglich ist. Dieser unzulässige Zählerstand wird in den Anordnungen gemäß der Erfindung ausgewertet, um den Fehler zu erkennen, den Mikroprozessor oder Mikrocomputer in den Ausgangszustand zurückzusetzen und das Programm neu zu starten.

In der Zeichnung sind in Form von Blockschaltbildern Ausführungsbeispiele der Erfindung dargestellt.

Fig. 1 zeigt eine Schaltungsanordnung zur Überwachung des Programms auf eine zulässige Höchstdauer mittels eines Binärzählers.

Fig. 2 zeigt eine Schaltungsanordnung zur Überwachung des Programms auf eine Mindest- und auf eine Höchstdauer mit einem Binärzähler und einem nachgeschalteten Dekodierer.

Fig. 3 zeigt eine Schaltungsanordnung zur Überwachung des Programms mit einem weiteren Mikrocomputer.

In Fig. 1 ist ein Ausführungsbeispiel der Erfindung dargestellt und wird anhand dieser Figur im folgenden näher beschrieben, welches einen Mikrocomputer oder einen Mikroprozessor mittels einer fest vorgegebenen Logikschaltung überwacht. Diesem Beispiel liegen folgende Werte des programmierten Mikrocomputers zugrunde:

Mittlere Programmdauer TP
= 1,7 msek
Maximale Programmdauer TP _max	= 1,8 msek
Minimale Programmdauer TP _min	= 1,6 msek
Taktfrequenz FZ = 4,4 Mhz

Für einen zu einer Fehlermeldung (zu lange Laufdauer) führenden Zahlenwert ZW gilt:

ZW = TP _max × FZ = 1,8 msek × 4,4 Mhz = 7,920

Die Schaltungsanordnung gemäß Fig. 1 ist wie folgt aufgebaut:
Ein Taktgenerator 11 versorgt einen Mikrocomputer (Mikroprozessor) 1 und über einen Anschluß 10 einen 16-Bit-Binärzähler 7 mit einem Taktsignal. Über den CLEAR-Ausgang 6 des Mikrocomputers 1 (Zählerausgang) wird das mit der Frequenz 1/TP vom Mikrocomputer 1 (Zählerausgang) abgegebene CLEAR-Signal dem Binärzähler 7 (Schaltungsanordnung 2) zugeführt. Kommt das CLEAR-Signal nicht rechtzeitig, dann erreicht der Binärzähler 7 einen Zählerstand, der den oben berechneten Wert von 7,920 übertrifft. Aus diesem Grund ist ein Ausgang (Zählerausgang) Z₁₃ des Binärzählers 7, der einem Zählerstand von 8,192 = 2¹³ entspricht, mit dem RESET-Eingang 5 des Mikrocomputers 1 verbunden. Bei zu langer Laufzeit des Programms geht der Ausgang Z₁₃ des Binärzählers 7 von logisch 0 auf logisch 1 über. Der Ausgang Z₁₃ bleibt nun für die

auf logisch 1 Pegel und damit auch der RESET-Eingang 5 des Mikrocomputers 1. Nach Ablauf von t₁ geht der Zählerausgang Z₁₃ für die

auf logisch 0 Pegel über. Gleichzeitig mit dem Ablauf der Zeit t₁ beginnt aber auch das normale Rechnerprogramm, so daß, wenn keine weitere Störung auftritt, der Binärzähler 7 noch vor Ablauf der Zeit t₀ vom CLEAR-Signal des Mikrocomputers 1 zurückgesetzt und deshalb der Zählerstand 8,192 nicht mehr erreicht wird.

Gemäß Fig. 2 ist die Erfindung derart weitergebildet, daß auch RESET-Signale erzeugt werden, wenn das CLEAR-Signal des Mikrocomputers 1 (Zählerausgang) mit einer größeren Folgefrequenz ausgegeben wird, als es der minimalen Programmdauer TP _min entspricht. Eine derartige, zu hohe Folgefrequenz des CLEAR-Signals deutet ebenfalls auf einen fehlerhaften Programmablauf hin.

In diesem Fall muß durch die Schaltungsanordnung 3 zur Überwachung ein RESET-Signal erzeugt werden, wenn ein CLEAR-Signal auftritt, obwohl der Binärzähler 7 einen bestimmten Mindestwert ZW _min noch nicht erreicht hat, wobei

ZP _min = TP _min × FZ = 1,6 msek × 4,4 Mhz = 7,040

Im Ausführungsbeispiel nach Fig. 2 sind zur Erfassung des Mindestwertes ZW _min = 7,040 die Ausgänge Z₇-Z₁₂ des Binärzählers 7 mit einer Dekodierschaltung 8 verbunden. Solange der Zählerstand des Binärzählers 7 kleiner ist als der Mindestwert ZW _min, liegt der Ausgang der Dekodierschaltung 8 und damit ein Eingang eines UND-Gliedes 14 auf logisch 1 Pegel. Gibt nun der Mikrocomputer 1 über den CLEAR-Ausgang 6 ein CLEAR-Signal (logisch) aus, dann entsteht am Ausgang des UND-Gatters 14 eine positive Signalflanke, die einen nachgeschalteten monostabilen Multivibrator (MMV) 15 triggert, der daraufhin einen Ausgangsimpuls definierter Dauer mit logisch 1 Pegel über ein ODER-Gatter 16 auf den RESET-Eingang 5 des Mikrocomputers 1 abgibt. Die erforderliche Länge dieses RESET-Impulses hängt von der Arbeitsweise und der Programmierung des verwendeten Mikrocomputers 1 ab.

Durch das Vorschalten einer Verzögerungsschaltung 13 vor den RESET-Eingang 12 des Binärzählers 7 wird sichergestellt, daß die Dekodierschaltung 8 den Zählerstand auswerten und das dem Zählerstand entsprechende Signal an das UND-Gatter 14 weiterleiten kann, bevor der Binärzähler 7 zurückgesetzt wird.

Wenn das CLEAR-Signal zu spät kommt (TP _max überschritten), dann wirkt die in Fig. 2 dargestellte Schaltungsanordnung in gleicher Weise wie die in Fig. 1 angegebene Schaltungsanordnung.

Die oben beschriebene Schaltungsanordnung erfordert so wenig Aufwand, daß sie ohne Schwierigkeiten als Nebenfunktion mit in einen Kundenschaltkreis für spezielle Aufgaben integriert werden kann, z. B. in den Eingangsschaltkreis für ein Blockierschutzsystem für die Bremsen eines Fahrzeugs.

In Fig. 3 ist eine weitere Schaltungsvariante der Erfindung angegeben.

Der CLEAR-Ausgang 6 des zu überwachenden Mikrocomputers 1 ist hier mit einem Interrupt-Eingang 17 eines weiteren Mikrocomputers 9 verbunden. Ein CLEAR-Signal bewirkt damit die Aktivierung eines Überwachungsprogrammes im weiteren Mikrocomputer 9.

Dieses Überwachungsprogramm (siehe Fig. 4) ermittelt, ob die Folgefrequenz der CLEAR-Signale im zulässigen Bereich liegt. Ist ZW _max überschritten oder ZW _min unterschritten, dann wird vom weiteren Mikrocomputer 9 (Schaltungsanordnung 4) über einen Ausgang 18 der RESET-Eingang 5 des Mikrocomputers 1 aktiviert und der Mikrocomputer 1 damit in den Ausgangszustand zurückgesetzt. Das Nutzprogramm in diesem Mikrocomputer 1 wird damit neu gestartet.

Das als Zähler arbeitende Register im weiteren Mikrocomputer 9 wird durch ein Zeit-Interruptprogramm des weiteren Mikrocomputers 9 mit konstanter Frequenz inkrementiert.

Die Verwendung bzw. Mitbenutzung eines weiteren Mikrocomputers 9 zur Überwachung des Mikrocomputers 1 bietet sich besonders dann an, wenn in der betroffenen Schaltungsanordnung ohnedies ein zweiter Mikrocomputer vorhanden ist. Dieser enthält dann neben seinem Nutzprogramm das in Fig. 4 dargestellte Überwachungsprogramm.

Claims

1. Schaltungsanordnung zur Überwachung der Funktion eines Mikroprozessors mit einem Taktgenerator, die mit dem RESET-Eingang und dem CLEAR-Ausgang des Mikroprozessors verbunden ist und eine Einrichtung zur Erfassung der Programmdauer enthält, wobei das Programm zyklisch abläuft, dadurch gekennzeichnet, daß die Schaltungsanordnung (2; 3) aus einem Binärzähler (7) besteht, dessen Takteingang (10) an den Taktgenerator (11), dessen RESET-Eingang (12) an den CLEAR-Ausgang (6) des Mikroprozessors (1) und dessen der jeweiligen maximalen Programmdauer zugeordneter Zählerausgang (Z₁₃) an den RESET-Eingang (5) des Mikroprozessors (1) angeschlossen ist (Fig. 1).

2. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß

a) dem RESET-Eingang (12) des Binärzählers (7) ein Verzögerungsglied (13) vorgeschaltet ist,
b) dem Binärzähler (7) eine Dekodierschaltung (8) derart nachgeschaltet ist, daß deren Eingänge mit Zählausgängen des Binärzählers (7) verbunden sind, welche zwischen denen der maximalen und der minimalen Programmdauer entsprechenden zugeordnet sind,
c) der Ausgang der Dekodierschaltung (8) und der CLEAR-Ausgang (6) des Mikroprozessors (1) in einem UND-Glied (14) zusammengefaßt sind,
d) dem UND-Glied (14) ein monostabiler Multivibrator (15) nachgeschaltet ist,
e) der Ausgang des monostabilen Multivibrators (15) und der der maximalen Programmdauer entsprechende Zählausgang (Z₁₃) in einem ODER-Glied (16) zusammengefaßt sind,
f) der Ausgang des ODER-Gliedes (16) mit dem RESET-Eingang (5) des Mikroprozessors (1) verbunden ist (Fig. 2).

3. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß sie als Schaltungsanordnung (4) in Mikroprozessortechnik ausgeführt ist.