DE3243760C2

DE3243760C2 - Einrichtung zur Funktionsüberwachung eines Prozessors

Info

Publication number: DE3243760C2
Application number: DE19823243760
Authority: DE
Inventors: Dieter Dipl.-Ing.(FH) 6143 Lorsch Angermann; Klaus Dipl.-Ing.(FH) 6800 Mannheim Ell; Günter Dipl.-Ing.(FH) 6943 Birkenau Lehr
Original assignee: BBC Brown Boveri AG Germany
Current assignee: BBC Brown Boveri AG Germany
Priority date: 1982-11-26
Filing date: 1982-11-26
Publication date: 1989-04-27
Also published as: DE3243760A1

Abstract

Die unter der Bezeichnung "Watchdog" bekannte Einrichtung zur Funktionsüberwachung von Prozessoren besteht aus einem Oszillator (1) und einem Zähler (2) mit mehreren Ausgängen und einem dynamischen Rücksetzeingang. Die verschiedenen Zählerausgänge werden für eine gestufte Reaktion auf Fehlfunktionen und für eine Überprüfung der Überwachungseinrichtung (1, 2) durch den Prozessor (4) benutzt. Die Fehlerreaktion umfaßt einen Interrupt, einen Hardware-Reset und ein prozessorunabhängiges Meldesignal.

Description

45

Die Erfindung bezieht sich auf eine Einrichtung zur Funktionsüberwachung eines Prozessors gemäß dem Oberbegriff des Anspruchs 1.

Für Einrichtungen, die die Funktion eines Prozessors, insbesondere die Verarbeitungszeit für bestimmte so Programmteile überwachen, Ist In der Fachsprache die Bezeichnung »Watchdog« eingeführt. Mit solchen Einrichtungen können fehlerhafte Funktionen des Prozessors erkannt werden, die z. B. durch Netzstörungen, Bauelementeausfälle, Taktausfall oder fehlerhafte Programme verursacht sind.

Es ist bekannt, In Watchdog-Schaltungen nachtriggerbare monostabile Kippglieder zu verwenden. Es werden auch zeitlich gestufte Reaktionen auf Fehler mit Neustart des Programmablaufs über den nichtmasklerbaren Software-Interrupt bzw. Inaktivschalten des Prozessors beschrieben. Solche Lösungen sind in dem Aufsatz »Watchdog-Schaltungen erkennen Mikroprozessor-Systemstörungen«, ELEKTRONIK 1980, Heft 4, Seite 92 bis 94 beschrieben, sowie in Elektronlkpraxis Juni 1978, Seiten 16 und 18. Allerdings arbeiten monostabile Kippglieder, insbesondere in der Ausführung als integrierter Schaltkreis nicht immer zuverlässig. Außerdem ist In den bekannten Schaltungen der Ausfall des Watchdog nicht erkennbar.

Aus der DE-OS 29 46081 ist eine Anordnung zur Überwachung der Funktion eines Mikroprozessors bekannt, bei der mittels eines Zählers eine gegenseitige Rücksetzung sowohl des Mikroprozessors als auch des Zählers erfolgt. Aus der Zeitschrift »Regelungstechnische Praxis«, Heft 8, 1981, Seite 268, 273, 274 ist eine eigene Taktversorgung und eine Alarmauslösung durch den watch-dog-tlmer bekannt, während die Zeitschrift »mc«, 2/1982, Seite 56 einen Neustart des Programmablaufs mittels eines durch eine Zeitüberwachungseinrichtung ausgelösten Software-Interrupts und einen Hardware-Reset offenbart.

Es ist Aufgabe der Erfindung, eine zuverlässige arbeitende Einrichtung zur Funktionsüberwachung eines Prozessors zu schaffen, die dazu beiträgt, die Funktion des Prozessors im Fehlerfall möglichst lange aufrechtzuerhalten.

Erfindungsgemäß wird dies durch die Merkmale des Hauptanspruchs gelöst. Vorteilhafte Ausgestaltungen sind in den Unteransprüchen angegeben.

Ein Vorteil der erfindungsgemäßen Lösung besteht insbesondere darin, daß aufgrund der gestuften Reaktion auf Fehlfunktionen vorübergehende Störungen nicht zu einem Ausfall der gesamten Baueinheit oder des Systems führen, sondern selbsttätig korrigiert werden. Die Überwachungseinrichtung arbeitet unabhängig vom Systemtakt des Prozessorsystems; ihre Funktion wird jedoch durch den Prozessor überprüft. Prozessor und Watchdog überwachen sich also gegenseitig.

Ein Ausführungsbeispiel Ist in der Zeichnung dargestellt und wird nachstehend beschrieben.

Ein Prozessor 4, der durch einen Oszillator 3 getaktet wird, ist mit einer Überwachungseinrichtung (Watchdog) verbunden, die aus einem Zähler 2 und einem Oszillator 1 besteht.

Der Zähler 2 mit χ Stufen hat einen dynamisierten Rücksetzeingang. Damit wird erreicht, daß der Zähler bei einer statischen Störung des Rücksetzsignals nicht festgehalten wird.

Die Frequenz des frei schwingenden Oszillators 1 wird durch die erforderliche Überwachungszelt und durch die Zahl χ der verfügbaren Zählerstufen bestimmt. Die Art des Oszillators 1 ist abhängig von der geforderten Genauigkeit. Bei hohen Genauigkeitsforderungen kann z. B. ein Quarzoszillator verwendet werden.

Die gestufte Fehlerreaktion läuft wie folgt ab. Der Zähler 2 wird durch den Oszillatortakt hochgezählt. Bei richtiger Programmsequenz wird der Zähler 2 vom Prozessor 4 durch ein Hard ware-Signal, das durch eine entsprechende Anweisung im Programm erzeugt wird, dynamisch auf den Wert 0 zurückgesetzt, bevor die Stufe η erreicht Ist. Bei falscher oder unterbrochener Programmsequenz wird der Zähler 2 nicht rechtzeitig zurückgesetzt, so daß die Stufe π erreicht wird. Dadurch wird eine Programm-Unterbrechung (Interrupt) ausgelöst, wobei es sich möglichst um einen software-unabhängigen (non maskable) Interrupt handeln sollte. Durch die Ausführung der Interrupt-Service-Routine wird ein Neustart des Programmlaufs oder ein Sprung an eine bestimmte Programmstelle veranlaßt. Außerdem wird der Zähler 2 zurückgesetzt.

Wenn der Prozessor 4 nicht auf den Intcrrupt-Bclch! reagiert und somit auch nicht den Zähler 2 zurücksetzt, erreicht der Zähler 2 die Stufe s. Damit wird ein Rücksetzen (Hardware-Reset) des Prozessors 4 ausgelöst, das zwangsweise einen Neustart wie beim Zuschalten der

Versorgungsspannung zur Folge hat und außerdem den Zahler 2 zurücksetzt.

Reagiert der Prozessor 4 auch auf die Zählerstufe s nicht, z. B. infolge eines Totalausfalls, so läuft der Zahler 2 weller bis zur Stufe .v. mit der ein prozcsrorunabhüngiges Meldcsignal erzeugt wird, mit dem u. a. auch der Prozessor Inaktiv geschaltet werden kann.

Die Überprüfung der Funktion der überwachungseinrichtung 1, 2 durch den Prozessor 4 erfolgt mit Hilfe einer Zählerstufe m, die vor der Zählerstufe η liegt. Ein Überwachungsprogramm im Prozessor 4 prüft dabei ob jeweils nach einem Rücksetzbefehl Innerhalb der durch den Oszillatortakt und die Zählerstufe m gegebenen Zeitspanne ein Signalwechsel an der Stufe m auftritt.

15

Hierzu 1 Blatt Zeichnungen

20

30

35

40

45

50

55

60

65

Claims

Patentansprüche:

1. Einrichtung zur Funktionsüberwachung eines Prozessors durch Überwachung des Programmlaufs mit Hilfe einer Zeitüberwachungseinrichtung, die einen von einem Taktoszillator gesteuerten Zähler mit mehreren Ausgängen enthält, der bei ordnungsgemäßer Funktion des Prozessors durch ein von diesem in periodischen Abständen abzugebendes Rücksetzsignal rückgesetzt wird und der bei dessen nicht zeitgerechten Eintreffen seinerseits im Prozessor ein Hardware-Rest auslöst, der einen Neustart des Programmlaufs bewirkt, dadurch gekennzeichnet, daß die Zeitüberwachungseinrichtung (1, 2) einen eigenen Taktoszillator (1) zum Steuern des Zählers (2) enthält, daß der Zähter (2) einen dynamisierten Rücksetzeingang aufweist, und daß der Zähler (2) Ausgänge (n, s,

x) für die Abgabe einer gestuften Reaktion in Abhängigkeit von der Zeitdauer des Ausbleibens des Rücksetzsignals vom Prozessor (4) aufweist, wobei bei einer ersten Zeitstufe ein am Zählerausgang («) erscheinendes Signal im Prozessor (4) einen Software-Interrupt auslöst, dessen Service-Routine einen Neustart des Programmlaufs oder die Fortsetzung des Programmlaufs an einer bestimmten Programmstelle bewirkt und den Zähler (2) rücksetzt, bei einer zweiten Zeitstufe ein am Zählerausgang (s) erscheinendes Signal im Prozessor (4) den Hardware-Reset auslöst, der neben dem Neustart des Programmlaufs den Zähler (2) rücksetzt, und bei einer dritten Zeitstufe ein am Zählerausgang (x) erscheinendes Signal den Prozessor (4) inaktiv schaltet und/oder Alarm auslöst.

2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der Software-Interrupt nichtmaskierbar ist.

3. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der Zähler (2) einen Ausgang (m) aufweist, durch den eine Eigenüberwachung der Zeitüberwachungseinrichtung (1,2) über den Prozessor (4) erfolgt.