DE3345863C2

DE3345863C2 -

Info

Publication number: DE3345863C2
Application number: DE3345863A
Authority: DE
Inventors: Akio Hosaka; Akito Yokohama Kanagawa Jp Yamamoto
Original assignee: Nissan Motor Co Ltd
Current assignee: Nissan Motor Co Ltd
Priority date: 1982-12-21
Filing date: 1983-12-19
Publication date: 1987-10-29
Also published as: DE3345863A1; JPS59114652A; JPH0346854B2; US4956807A

Description

Die Erfindung betrifft eine Überwachungs-Zeitschaltung (Watchdog-Timer) gemäß dem Oberbegriff des Hauptanspruches.

Eine derartige Überwachungs-Zeitschaltung, die dazu dient, die Ausführung eines Programms durch einen Rechner zu überwachen, ist aus der DE-OS 25 49 467 bekannt.

Bei der in der DE-OS 25 49 467 beschriebenen Überwachungs- Zeitschaltung für einen Rechner gibt der Rechner abwechselnd periodisch, abhängig von einem gespeicherten Selbstprüfprogramm, zwei unterschiedliche Datenwerte ab, die jeweils mehrere Bits aufweisen. Die Datenwerte werden durch Vergleicher mit einem Bezugsdatenwert, der mit einem der beiden wechselnden Datenwerte übereinstimmt, verglichen. Bei Übereinstimmung des Bezugsdatenwertes mit dem aktuellen Datenwert wird mit Ablauf eines Zeitintervalls, das dem zeitlichen Sollabstand zweier aufeinanderfolgender Datenwerte entspricht, ein Ausgangssignal abgegeben, das eine weitere Abarbeitung des Programms ermöglicht. Bleibt das Ausgangssignal infolge einer Fehlfunktion des Rechners aus, wird die Fehlfunktion angezeigt und die Abarbeitung des Programms unterbrochen.

Eine Fehlfunktion des Rechners in der Art, daß die Datenwerte in kürzerer Wechselperiode als der vorgegebenen Wechselperiode abgegeben werden, wird mit dieser Schaltung nicht erkannt.

Eine Überwachungs-Zeitschaltung, die dies erkennt, ist aus der DE-OS 29 46 081 bekannt. Diese arbeitet nicht mit Datenwerten, sondern mit Takten, die von einem Taktgenerator an einen Zähler abgegeben werden. Der Taktzähler wird durch ein Ausgangssignal (CLEAR) des Rechners periodisch zurückgesetzt, welches Signal nach jedem Programmdurchlauf vom Rechner abgegeben wird. Verzögert sich dieses Signal oder bleibt es ganz aus, überschreitet der Taktzähler einen vorgegebenen Zählwert und gibt ein erstes Rücksetzsignal (RESET) an den Rechner ab, woraufhin das Programm neu gestartet wird. Der Rechner wird durch ein anderes Rücksetzsignal zurückgesetzt, wenn ein CLEAR-Signal des Rechners auf das vorhergehende mit einem kleineren Abstand folgt, als er der minimalen Programmlaufdauer entspricht.

Der Erfindung liegt die Aufgabe zugrunde, eine Überwachungs- Zeitschaltung (Watchdog-Timer) gemäß dem Oberbegriff des Hauptanspruchs anzugeben, die so aufgebaut ist, daß eine Schwankung der Wechselperiode, mit welcher Periode die zwei Datenwerte vom Rechner abgegeben werden, als eine Fehlfunktion des Rechners festgestellt wird und der Rechner in seinem initialisierten Ausgangszustand rückgesetzt wird.

Die Erfindung ist durch die Merkmale von Patentanspruch 1 gegeben. Vorteilhafte Weiterbildungen sind in den Patentansprüchen 2 und 3 angegeben.

Der Rechner gibt ein Signal ab, das zwei unterschiedliche, periodisch wechselnde Datenwerte aus jeweils mehreren Bits aufweist. Diese Datenwerte werden gemäß einem im Rechner gespeicherten Programm abgegeben. Ein Register speichert die zwei unterschiedlichen wechselnden Datenwerte. In einer Vergleichseinrichtung ist ein Bezugsdatenwert gespeichert, der einem der zwei unterschiedlichen Datenwerte entspricht. Der Vergleicher vergleicht den Bezugsdatenwert mit den im Register gespeicherten wechselnden Datenwerten und gibt bei Übereinstimmung ein Ausgangssignal ab. Ein erster Zähler zählt Taktpulse und gibt ein Rücksetzsignal über ein ODER-Gatter an den Rechner, wenn ein vorgegebener Zählwert erreicht ist. Der erste Zähler wird durch das Ausgangssignal vom Vergleicher rückgesetzt. Das Zeitintervall, das der erste Zähler benötigt, um bis zum vorgegebenen Wert zu zählen, ist so ausgewählt, daß es länger ist als das normale Intervall zwischen den Ausgangssignalen vom Vergleicher, was dazu führt, daß der erste Zähler das Rücksetzsignal nicht an den Rechner abgibt. Wenn jedoch das Rechnerprogramm außer Kontrolle gerät, gibt der Vergleicher nicht mehr periodisch sein Ausgangssignal ab. Dadurch kann das Zeitintervall zwischen zwei aufeinanderfolgenden Ausgangssignalen vom Vergleicher länger werden als diejenige Zeit, die der erste Taktzähler erfordert, um bis zum vorgegebenen Wert zu zählen. Dann gibt der erste Zähler das Rücksetzsignal über das ODER-Gatter an den Rechner, um diesen rückzusetzen.

Ein zweiter Zähler zählt ebenso wie Zähler 1 die vom Rechner abgegebenen Taktimpulse und gibt beim Erreichen des vorgegebenen Zählwerts ein Signal an einen dritten Zähler ab, und löscht den Zählstand des dritten Zählers. Der dritte Zähler zählt die von der Vergleichsschaltung abgegebenen Ausgangssignale. Erreicht der Zählstand des dritten Zählers einen vorgegebenen Wert, wird ein Rücksetzsignal über das ODER-Gatter an den Rechner abgegeben, sofern nicht der Zählstand des dritten Zählers durch das Ausgangssignal des zweiten Zählers vorher gelöscht wurde. Der vorgegebene Zählwert des dritten Zählers ist so gewählt, daß die Zeitspanne bis zum Absenden des Rücksetzsignales kleiner ist als die Zeitspanne, die der zweite Zähler aufgrund seines vorgegebenen Zählwerts benötigt, um das Löschsignal an den zweiten Zähler abzusenden. Dadurch ist es möglich, daß der Rechner über den dritten Zähler rückgesetzt wird, falls eine Fehlfunktion des Rechners in der Art vorliegt, daß das Vergleichs-Ausgangssignal bereits nach kürzerer Zeit als der vorgegebenen Wechselperiode auftritt.

Die Erfindung wird im folgenden anhand von Figuren näher veranschaulicht. Es zeigt

Fig. 1 ein Blockdiagramm eines mit einem Rechner zusammengeschalteten anmeldegemäßen Watchdog- Timers;

Fig. 2 einen gegenüber dem in Fig. 1 verwendeten Vergleicher abgeänderten Vergleicher; und

Fig. 3 einen Zähler, wie er in einem anmeldegemäßen Watchdog-Timer, z. B. dem von Fig. 1, vorhanden ist.

In Fig. 1 ist der Zusammenhang zwischen Rechner und Watchdog-Timer dargestellt. Der Rechner weist eine CPU 20, ein ROM 30, ein RAM 40 und eine I/O-Einheit 50 auf, die in bekannter Weise über einen Bus 90 miteinander verbunden sind. Der Watchdog-Timer 100 weist ein mit dem Bus 90 verbundenes Register, eine mit dem Ausgang des Registers 60, dem eine vorgegebene Adresse zugeordnet ist, verbundene Vergleichsschaltung 70 und einen Taktzähler 80 auf, der mit dem Ausgangsanschluß der Vergleichsschaltung 70 verbunden ist. Der in Fig. 3 näher dargestellte Taktzähler 80 besteht aus drei Zählern (82, 83, 84), die jeweils einen Takteingang CLK, einen Löscheingang CLR und einen Übertragungsausgang CAR aufweisen. Die CPU liest Datenwerte, die Eingangssignalen 51, 52, 53... entsprechen, über eine I/O-Einheit 50, abhängig von Befehlen, die im ROM 30 gespeichert sind, führt arithmetische Funktionen mit den gelesenen Daten aus und gibt Ausgangssignale 56, 57, 58... über die I/O-Einheit 50 ab. Die Daten und aus ihnen berechnete Größen werden im RAM 40 zwischengespeichert.

Wenn das Programm normal läuft, werden zwei unterschiedliche, vorgegebene Datenwerte, die jeweils aus mehreren Bits bestehen, abwechselnd in das Register 60 mit einem vorgegebenen Intervall T geschrieben. Einer der beiden vorgegebenen Datenwerte stimmt mit einem zuvor im Vergleicher 70 gespeicherten Datenwert überein. Er kann z. B. AA (10101010) in 8-Bit hexadezimaler Notation sein. Der Vergleicher 70, der zwei hintereinander geschaltete 4-Bit Digitalvergleicher aufweisen kann, vergleicht das 8-Bit Bezugssignal mit dem Ausgangsdatenwert 61 vom Register 60, der durch die CPU geschrieben wird. Wenn der Registerausgangswert mit dem Bezugsdatenwert übereinstimmt, gibt der Komparator das Signal 1, anderenfalls das Signal 0 ab. Dadurch schaltet der Vergleicher zwischen den Zuständen der Übereinstimmung und des Nichtübereinstimmens im vorgegebenen Intervall T um und gibt die entsprechenden Signale an den Löscheingang CLK eines Zählers 82. Der Zähler 82 kann aus einem mehrstufigen Flip-Flop bestehen. Er zählt über den Bus 90 zugeführte Taktimpulse. Wenn ein vorgegebenes Zeitintervall T′ (= t _c × 2ⁿ) verstrichen ist, wobei t _c die Periode der Taktpulse 91 und n die Zahl der Stufen des Flip-Flops ist, wird ein Übertragungssignal 81 über ein ODER-Gatter 88 abgegeben, das die CPU 20 rücksetzt.

Es sei nun angenommen, daß 2T kleiner ist als T′. Normalerweise wird der Zähler 80 durch die ansteigende Flanke des Vergleicherausgangssignales 71 rückgesetzt, bevor die Rücksetzzeit T′ verstrichen ist, so daß kein Übertragungsausgangssignal oder Rücksetzsignal erzeugt wird, und dadurch die CPU 20 ihr Programm weiter ausführt. Wenn das Programm fehlläuft, so daß keine weiteren Daten mehr in das Register 60 geschrieben werden, oder daß das Ausgangssignal vom Register 60 immer mit dem Bezugsdatenwert übereinstimmt, selbst wenn Daten in das Register geschrieben werden, liegt das Ausgangssignal 71 des Vergleichers fest bei entweder 1 oder 0. Dadurch wird kein Signal mit ansteigender Flanke erzeugt, so daß die CPU 20 nach der Zeit T′ nach der letzten ansteigenden Flanke rückgesetzt wird. Dann läuft das Programm wieder vom initialisierten Zustand aus an, so daß der Rechner nach der durch ein Störsignal hervorgerufenen Fehlfunktion wieder zu normaler Funktion zurückkehrt. Wenn der Fehlzustand auf Grund eines Fehlers im System anhält, wird die Rücksetzfunktion so lange ausgeübt, bis der Rechner wieder normal arbeitet, wodurch verhindert wird, daß falsche Signale ausgegeben werden. Ein Rücksetzsignal kann auch an die I/O-Einheit abgegeben werden, wenn sowohl diese wie auch die CPU rückgesetzt werden müssen, was jedoch nicht dargestellt ist.

Bei der dargestellten Ausführungsform werden Bezugsdatenwerte von 8 Bit verwendet. Die Wahrscheinlichkeit, daß ein Datenwert, der mit dem Bezugsdatenwert übereinstimmt, bei Fehlfunktion des Programms ins Register 60 eingeschrieben wird, ist dadurch um den Faktor 1/2⁷ = 1/128 gegenüber der bekannten Ausführungsform verringert. Bei der bekannten Ausführungsform wurde 1 Bit verwendet, also 7 Bits weniger als bei der anmeldegemäßen Ausführungsform. Wenn die Bitkapazität des Registers 16 ist, ist die Wahrscheinlichkeit auf den Wert 1/2¹⁵ = 1/32768 verringert, wodurch die Zuverlässigkeit des Feststellens eines nicht normalen Zustandes des Rechners gegenüber dem Stand der Technik erheblich verbessert ist, also ein hochzuverlässiger Watchdog-Timer erzielt ist.

In Fig. 2 ist eine besondere Ausführungsform der Vergleichsschaltung 70 dargestellt. Sie weist einen ersten Vergleicher 72, einen zweiten Vergleicher 73 und ein R/S Flip-Flop 74 auf. Die Vergleicher beinhalten unterschiedliche Bezugsdatenwerte, z. B. hexadezimal AA (10101010) bzw. 55 (01010101). Die CPU 20 schreibt mit den Bezugsdatenwerten AA und 55 übereinstimmende Datenwerte abwechselnd über den Bus 90 mit einer Periode T in das Register 60. Dadurch wechseln die Ausgangssignale 75 und 76 der beiden Vergleicher abwechselnd zwischen 1 und 0, d. h. wenn der Vergleicher 72 das Ausgangssignal 1 abgibt, gibt der Vergleicher 73 das Ausgangssignal 0 ab und umgekehrt. Dadurch werden im Zeitintervall 2T Impulse an den Setzeingang und den Rücksetzeingang des Flip-Flops 74 gegeben, so daß dessen Ausgangssignal 71 ein Pulssignal mit der Periode 2T ist, das den Taktzähler 82 löscht. Wenn die Ausführung des Programms fehlläuft, so daß keine mit den Bezugsdatenwerten übereinstimmende Datenwerte mehr in einen oder beide der Vergleicher geschrieben werden, bleibt das Flip- Flop gesetzt oder rückgesetzt und gibt damit ein unverändertes Ausgangssignal ab. Dadurch wird ein Rücksetzsignal wie bei der Schaltung gemäß Fig. 3 abgegeben. Bei der Ausführungsform gemäß Fig. 2 muß eine Übereinstimmung mit beiden Bezugsdatenwerten vorliegen, so daß die Zuverlässigkeit für das Feststellen eines Fehlverhaltens weiter verbessert ist.

Die Bezugsdatenwerte sollten möglicherweise von Befehlen und Daten unterschiedlich sein, die im ROM 30 gespeichert sind. Wenn ein von anderen ROM-Datenwerten und -Befehlen völlig unterschiedlicher Wert verwendet wird, ist sicheres Feststellen von Fehlverhalten möglich. Das Benutzen von nicht im Programm benutzten Werten erhöht die Zuverlässigkeit des Feststellens.

Da Programmierer nach dem Herstellen der Rechner-ICs Datenwerte abhängig von den Steuererfordernissen festlegen, ist es oft schwierig, Datenwerte auszuwählen, die nicht mit Programmdaten übereinstimmen. Da jedoch Rechnerbefehlsbytes üblicherweise bereits vor dem Herstellen üblicher ICs bekannt sind, ist es im allgemeinen möglich, Monitordatenwerte auszuwählen, die nicht mit üblichen Befehlswerten übereinstimmen, was schon von vornherein die Zuverlässigkeit der Überwachung verbessert.

Wenn die zwei Bezugsdatenwerte einander entgegengesetzte einzelne Stellen aufweisen, d. h., wenn die Daten zueinander komplementär sind, wie dies bei der besonderen Ausführungsform mit AA und 55 der Fall ist, ist die Wahrscheinlichkeit, einen Fehler nicht feststellen zu können, minimal. Das Bereitstellen von zwei unterschiedlichen Registeradressen, jeweils eine für jeden Vergleicher, in die die Datenwerte getrennt eingeschrieben werden, verbessert die Zuverlässigkeit noch weiter.

Bei der in Fig. 3 dargestellten Ausführungsform eines Taktzählers 80 liegen drei Zähler 82, 83 und 84 vor, die jeweils einen Takteingang CLK, einen Löscheingang CLR und einen Übertragsausgang CAR aufweisen. Der Zähler 82 erzeugt ein Übertragssignal 86, das einem ODER-Gatter 88 zugeführt wird und als Rücksetzsignal 81 dient, wenn nicht ein Löschsignal 71 innerhalb der Zeit T′ nach dem vorhergehenden Löschsignal 71 zugeführt wird. Der Zähler 84 zählt Taktpulse 91 und gibt nach jeder Zeitperiode T′′ ein Übertragungssignal 85 an den CLR-Eingang des Zählers 83. Der Zähler 83 ist ein m-stufiges Flip-Flop und zählt Löschsignale 71 als Takteingang. Da das Löschsignal 71 die Periode 2T aufweist, gibt der Zähler 83 ein Übertragssignal 87 zu jeder Periode T′′′ = 2T × 2^m ab, wenn er nicht durch das Ausgangssignal 85 vom Zähler 84 gelöscht wird.

Es sei nun angenommen, daß T′′ nur geringfügig kleiner ist als T′′′. Normalerweise erzeugt der Zähler 83 kein Übertragssignal 87, da er nach jedem Zeitablauf T′′ durch das Signal vom Zähler 84 rückgesetzt wird. Wenn das Programm aber so fehlläuft, daß T′′′ kleiner wird als T′′, weil die Periode 2T des Signales 71 abgenommen hat, tritt ein Übertragssignal 87 als Rücksetzsignal 81 über das ODER-Gatter 88 auf. Auf Grund von Programmfehlfunktion kann auch die Periode 2T zunehmen, in welchem Fall der Zähler 82 die CPU 20 rücksetzt. Bei der Ausführungsform gemäß Fig. 3 wird die CPU 20 also immer rückgesetzt unabhängig davon, ob der Wert von T auf Grund von Fehlverhalten größer oder kleiner wird. Das besondere Zählsystem gemäß Fig. 3 kann mit einem einzigen Vergleicher oder zwei Vergleichern gemäß Fig. 2 kombiniert werden, um noch höhere Zuverlässigkeit zu erhalten, oder es kann zusammen mit 1-Bit Daten verwendet werden. Bisher ist beschrieben worden, daß bei Auftreten von Fehlverhalten ein Rücksetzsignal abgegeben wird. Es ist aber auch möglich, ein Warnsignal zusammen mit einem Rücksetzsignal abzugeben, z. B. ein Unterbrechungssignal an die CPU abzugeben, um eine Prioritätsunterbrechung herbeizuführen und dadurch die CPU zu ihrem vorgegebenen Zustand rückzuführen oder sie anzuhalten.

Bei der anmeldegemäßen Überwachungs-Zeitschaltung wird auf nicht normalen Verlauf des Programmes dann geschlossen, wenn die CPU nicht vorgegebene Daten aus mehreren Bits in das Watchdog-Register einschreibt oder falls das Vergleichs-Ausgangssignal bereits nach kürzerer oder längerer Zeit als der vorgegebenen Wechselperiode auftritt. Dadurch ist die Wahrscheinlichkeit, daß der Watchdog- Timer Fehlverhalten irrtümlich für richtige Funktion hält, gegenüber dem Stand der Technik erheblich verringert, was zu einem Mikrocomputersystem mit erhöhter Zuverlässigkeit führt. Das Mikrocomputersystem kann mit einem anmeldegemäßen Watchdog- Timer zufriedenstellend auch in einer Umgebung mit hohen elektrischen Ladungen oder elektromagnetischem Rauschen verwendet werden. Da bei allen beschriebenen Ausführungsformen Digitalschaltungen mit einfachem Aufbau verwendet werden, können sie auf einfache Art und Weise in einem Ein-Chip-Rechner verwendet werden, so daß sie nur schwer durch Rauscheffekte auf Verbindungsleitungen beeinflußt werden können. Wenn in diesem Fall ein sogenannter Open Collector Ausgang am Ein-Chip-Rechner verwendet wird, um diesem das Rücksetzsignal von außen zuzuführen, ist es von Vorteil, ein Netz-Ein-Reset- Signal von außen zuzuführen, wie auch ein internes Signal zum Rücksetzen der äußeren Schaltung zu verwenden.

Claims

1. Überwachungs-Zeitschaltung für einen Rechner, der bei ordnungsgemäßem Betrieb des Rechners abwechselnd zwei unterschiedliche Datenwerte mit einer vorgegebenen Wechselperiode abgibt, mit

- einer Vergleichsschaltung, die die Datenwerte mit einem gespeicherten Wert vergleicht, der mit einem der beiden Datenwerte übereinstimmt, und die bei Übereinstimmung ein Vergleichs-Ausgangssignal abgibt, und
- einer Zeitschaltung, die ein Rücksetzsignal zum Rücksetzen des Rechners abgibt, falls sie nicht selbst innerhalb einer vorgegebenen Zeit, die mindestens doppelt so lang ist wie die Wechselperiode, durch das Vergleichs- Ausgangssignal rückgesetzt wird,

gekennzeichnet durch folgende Teile der Zeitschaltung:

- eine erste Zählschaltung (82), die vom Rechner abgegebene Taktimpulse zählt und die auf einen ersten vorgegebenen Zählwert eingestellt ist, der größer ist als diejenige Zahl der Taktimpulse, die der Rechner innerhalb der doppelten Wechselperiode abgibt, so daß der Rechner durch ein Übertragungssignal der ersten Zählschaltung nur rückgesetzt wird, falls ein Vergleichs-Ausgangssignal erst nach längerer Zeit als der doppelten vorgegebenen Wechselperiode auftritt, und
- eine zweite und eine dritte Zählschaltung (84, 83),
- -- wobei die zweite Zählschaltung (84) vom Rechner abgegebene Taktimpulse zählt und beim Erreichen eines vorgegebenen zweiten Zählwertes ein Übertragungssignal an die dritte Zählschaltung (83) abgibt,
- -- wobei die dritte Zählschaltung (83) die Vergleichs- Ausgangssignale zählt und auf einen vorgegebenen dritten Zählwert eingestellt ist und durch das Übertragsignal von der zweiten Zählschaltung (84) rückgesetzt wird, wobei die vorgegebenen Zählwerte der zweiten und der dritten Zählschaltung so gewählt sind, daß dann, wenn die tatsächliche Wechselperiode kleiner ist als die vorgegebene Wechselperiode, die Zeit, die die dritte Zählschaltung (83) zum Zählen bis zu dem dritten vorgegebenen Zählwert benötigt, kleiner ist als die entsprechende Zeit für die zweite Zählschaltung (84),
- -- so daß der Rechner auch rückgesetzt wird, falls ein Vergleichs-Ausgangssignal bereits nach kürzerer Zeit als der vorgegebenen Wechselperiode auftritt.

2. Schaltung nach Anspruch 1, dadurch gekennzeichnet, daß die Vergleichsschaltung (70) nur einen einzigen Vergleicher enthält, der beim Auftreten des nicht passenden Datenwertes das Signal "0" und beim Auftreten des passenden Datenwertes das Signal "1" abgibt, wobei das Vergleichs- Ausgangssignal (71) für die Zeitschaltung die Vorderflanke des Signals "1" ist.

3. Schaltung nach Anspruch 1, dadurch gekennzeichnet, daß

- die Vergleichsschaltung zwei Vergleicher (72, 73) enthält, von denen der eine Vergleicher (72) an einen Setzeingang (S), und der andere Vergleicher (73) an einen Rücksetzeingang eines Flip-Flop (74) mit einem Ausgang (Q) angeschlossen ist, so daß beim Auftreten eines passenden Datenwertes das Flip-Flop entweder gesetzt oder rückgesetzt wird, wobei das Ausgangssignal (71) für die Zeitschaltung durch den Wechsel des Flip-Flop vom gesetzten in den rückgesetzten Zustand oder umgekehrt abgegeben wird.