DE3644631C2 - - Google Patents

Description

Die vorliegende Erfindung betrifft einen Mikrocomputer nach dem Oberbegriff des Anspruchs 1.

Ein solcher Mikrocomputer kann im allgemeinen eine Mehrzahl von in dem Speicher gespeicherten Steuerpro­ grammen durch den Zentralprozessor über einen Datenbus in einer vorbestimmten Folge auslesen und in der vorbe­ stimmten Folge verarbeiten. Die Programme werden jedoch fehlerhaft nicht in der vorbestimmten Folge verarbeitet, wenn Rauschen oder eine andere Störung auftritt.

Um diese Fehler zu vermeiden, ist nach der US-PS 42 87 565 ein Mikrocomputer mit einem Überwachungszeit­ geber versehen worden, der die Verarbeitung der Steuer­ programme überwacht, um zu ermitteln, ob die Steuer­ programme korrekt ablaufen. Ein solcher Überwachungs­ zeitgeber kann nach der DE-PS 29 43 133 in Antwort auf ein Unterbrechungssignal zurückgesetzt werden, das durch einen Generator zur Einleitung der Verarbeitung des Unter­ brechungsprogramms erzeugt wird. Wenn das Unterbrechungs­ signal nicht erzeugt wird, wird der Unterbrechungszeit­ geber nicht rückgesetzt. Er läuft dann nach einer längeren Zeitdauer während der Verarbeitung eines Unterbrechungsprogramms aus. Wenn dies eintritt, nimmt der Mikrocomputer an, daß ein Fehler vorliegt. Der Zen­ tralprozessor wird dann neu gestartet und ein Warnsig­ nal ausgegeben oder eine Reservesteuerschaltung in Be­ trieb genommen.

Fehler können jedoch auch auftreten, wenn die Verarbei­ tung des Unterbrechungsprogramms fortgesetzt oder häufig erfolgt, weil ein Fehler in dem die Unterbrechungs­ signale erzeugenden Generator vorliegt oder weil die Unterbrechungssignale durch Rauschen überlagert werden oder weil eine Schleife, die das Rücksetzsignal für den Überwachungszeitgeber erzeugt, endlos geworden ist. Wenn ein solcher Fehler auftritt, wird der Überwachungs­ zeitgeber fortwährend rückgesetzt, und läuft niemals aus, obwohl der Fehler vorliegt. Aus diesem Grunde wer­ den dann die oben erwähnten Sicherheitsmaßnahmen nicht ausgeführt.

Nach der DE-OS 30 12 425 ist ein Mikrocomputer zur Ver­ arbeitung eines Normalprogramms und mehrerer Unterbre­ chungsprogramme bekannt, in dem, wenn eine Verarbeitung eines zweiten Unterbrechungsprogramms während der Ver­ arbeitung eines ersten Unterbrechungsprogramms einge­ leitet wird, die Unterbrechungssignale also gehäuft auftreten, die Verarbeitung des zweiten Unterbrechungs­ programms nach der Beendigung der Verarbeitung des ersten Unterbrechungsprogramms erfolgt. Rauschen soll in nicht näher beschriebener Weise durch Pegeländerung der Nutzsignale, Abschalten, Umschalten auf ein Notpro­ gramm und/oder Abgabe eines Warnsignals begegnet werden.

Aufgabe der vorliegenden Erfindung ist es, einen Mikro­ computer nach dem Oberbegriff des Anspruchs 1 anzuge­ ben, der auch bei solchen Fehlern die oben erwähnten Sicherheitsmaßnahmen bewirken kann.

Die Lösung dieser Aufgabe ist im Anspruch 1 angegeben.

Nach der Erfindung wird der zweite Wert des Kennzeich­ nungssignals in den Speicher während der Verarbeitung des Normalprogramms gesetzt.

Treten die Unterbrechungssignale fortwährend auf, wird das Normalprogramm nicht mehr verarbeitet, und daher werden keine Rücksetzsignale mehr an den Überwachungs­ zeitgeber gegeben, so daß der Überwachungszeitgeber ausläuft, ein Rücksetzsignal an den Zentralprozessor gibt und gegebenenfalls weitere Sicherheitsmaßnahmen bewirkt.

Entfallen die Unterbrechungssignale, werden schon aus diesem Grunde keine Rücksetzsignale mehr an den Über­ wachungszeitgeber gegeben, so daß der Überwachungszeit­ geber ausläuft, ein Rücksetzsignal an den Zentralpro­ zessor gibt und gegebenenfalls weitere Sicherheitsmaß­ nahmen bewirkt.

Um das Normalprogramm sogleich erneut zu verarbeiten, wenn es nicht durch die Verarbeitung eines Unterbre­ chungsprogramms unterbrochen worden ist, ist bevorzugt eine Ausbildung gemäß Anspruch 2 vorgesehen.

Die Vorteile der Ausbildungen gemäß Anspruch 3 und 4 werden in der folgenden Figurenbeschreibung begründet.

Die Erfindung wird im folgenden an einer Ausführungs­ form unter Hinweis auf die Zeichnungen er­ läutert.

Fig. 1 zeigt ein Blockschaltbild der Ausführungsform des Mikrocomputers.

Fig. 2 zeigt ein Ablaufdiagramm der Verarbeitung eines Unterbrechungsprogramms in dem Zentral­ prozessor der Fig. 1.

Fig. 3 zeigt ein Ablaufdiagramm der Verarbeitung eines Normalprogramms in dem Zentralprozessor der Fig. 1.

Fig. 1 zeigt ein Blockschaltbild eines Mikrocomputers, der in ein Kraftfahrzeug eingebaut ist. Der Mikrocompu­ ter enthält einen Zentralprozessor 1, mit dem ein Speicher 2 zur Speicherung von durch den Zentralprozes­ sor 1 zu verarbeitenden Steuerprogrammen und zur Speiche­ rung von verschiedenen anderen Daten verbunden ist. Der Mikrocomputer enthält außerdem einen Generator 3 zur Erzeugung von eine Unterbrechung der Verarbeitung eines Normalprogramms durch ein Unterbrechungsprogramm im Zentralprozessor 1 einleitenden Unterbrechungssignalen U in vorbestimmten Zeitintervallen (z. B. alle 10 msec). Mit dem Normalprogramm wird z. B. eine Kraftstoffpumpe in dem Kraftfahrzeug oder eine Anzeigeeinrichtung in dem Kraftfahrzeug gesteuert, mit dem Unterbrechungspro­ gramm z. B. eine Abgasrückführungseinrichtung in dem Kraftfahrzeug oder die Leerlaufzahl einer Brennkraft­ maschine in dem Kraftfahrzeug. In Antwort auf ein Unterbrechungssignal U unterbricht der Zentralprozessor 1 die Verarbeitung des Normalprogramms, um das Unter­ brechungsprogramm mit höherer Priorität zu verarbeiten.

Mit der Zentralprozessoreinheit 1 ist über eine Ausgabe­ einheit 5 ein Überwachungszeitgeber 4 verbunden, der durch ein von der Ausgabeeinheit 5 abgegebenes Rücksetz­ signal R zurückzusetzen ist. Der Überwachungszeitgeber 4 gibt nach Ablauf einer vorbestimmten Zeitperiode (z. B. nach 60 msec) ab dem Zeitpunkt, zu dem er rück­ gesetzt wurde, ein Rücksetzsignal A an den Zentralpro­ zessor 1, um diesen neu zu starten. Das Rücksetzsignal R wird von dem Zentralprozessor 1 jedesmal dann erzeugt, wenn ihm zuvor ein Unterbrechungssignal U zugeführt wurde, sofern keine weiter unten beschriebene Unregel­ mäßigkeit vorliegt. Der Überwachungszeitgeber 4 läuft daher normalerweise nicht die vorbestimmte Zeitperiode (z. B. 60 msec) und gibt daher normalerweise keine Rücksetzsignale A an den Zentralprozessor 1. Wenn je­ doch eine weiter unten beschriebene Unregelmäßigkeit vorliegt, gibt der Überwachungszeitgeber 4 an den Zentralprozessor 1 ein Rücksetzsignal A. Mit dem Zen­ tralprozessor 1 ist über die Ausgabeeinheit 5 ein Zähler 6 zum Zählen der Anzahl der Rücksetzsignale A verbunden. Wenn diese Anzahl eine vorbestimmte Anzahl überschreitet, betrachtet der Zähler 6 dies als die Anzeige eines Hardware-Fehlers und schaltet einen Schalter 8 auf eine Reservesteuerschaltung 7 um.

Der Überwachungszeitgeber 4 kann ein digitaler Zeit­ geber sein. Da jedoch ein digitaler Zeitgeber, wenn dem ihm zugeführten Eingangssignal ein Rauschen überlagert ist, nicht richtig zählt, wird die Verwendung eines analogen Zeitgebers bevorzugt.

Fig. 2 zeigt ein Ablaufdiagramm für die Verarbeitung eines Unterbrechungsprogramms mit einer höheren Prio­ rität. In einem Schritt 1 wird durch den Zentralpro­ zessor 1 in Antwort auf ein Unterbrechungssignal U das Unterbrechungsprogramm verarbeitet und in einem Schritt 2 durch den Zentralprozessor 1 ein Kennzeichnungssignal FWDT aus dem Speicher 2 ausgelesen, auf einen logischen Wert "1" gesetzt und wieder in den Speicher gegeben, bis das Unterbrechungsprogramm beendet ist.

Fig. 3 zeigt ein Ablaufdiagramm für die Verarbeitung eines Normalprogramms mit einer niedrigeren Priorität. Der Zentralprozessor 1 verarbeitet das Normalprogramm als Hintergrundprogramm, wenn er nicht das Unterbre­ chungsprogramm verarbeitet. Nach Auslösung verarbeitet er dabei in einem Schritt 11 das Normalprogramm einmal und stellt dann in einem Schritt 12 fest, ob das Kenn­ zeichnungssignal FWDT im Speicher 2 auf den logischen Wert "1" gesetzt wurde. Wenn die Antwort "JA" lautet, was bedeutet, daß ein Unterbrechungsprogramm abgelau­ fen ist, erzeugt der Zentralprozessor 1 ein Rücksetz­ signal R, das die Ausgabeeinheit 5 an den Überwachungs­ zeitgeber 4 gibt und setzt dann in einem Schritt 14 das Kennzeichnungssignal FWDT auf den logischen Wert "0". Dann verarbeitet er in einem Schritt 15 das Normalpro­ gramm erneut. Wenn die Antwort im Schritt 12 "NEIN" lautete, wenn also das Kennzeichnungssignal FWDT im Speicher 2 den logischen Wert "0" hatte, was bedeutet, daß seit dem letzten Normalprogramm kein Unterbrechungs­ programm abgelaufen war, verarbeitet er das Normalpro­ gramm im Schritt 15 erneut, ohne daß er ein Rücksetz­ signal R an den Überwachungszeitgeber 4 gibt.

Das Kennzeichnungssignal im Speicher 2 wird also immer dann auf "1" gesetzt, wenn ein Unterbrechungsprogramm entsprechend dem Ablaufdiagramm der Fig. 2 verarbeitet worden ist und das Rücksetzsignal R immer dann an den Überwachungszeitgeber 4 gegeben, wenn nach der Verar­ beitung eines Normalprogramms entsprechend dem Ablauf­ diagramm der Fig. 3 festgestellt worden ist, daß das Kennzeichnungssignal FWDT den logischen Wert "1" hat.

Wenn die Verarbeitung des Unterbrechungsprogramms nicht ausgeführt wird, weil das Unterbrechungssignal U in­ folge einer Störung des Generators 3 oder aus anderen Gründen nicht erzeugt wird, bleibt das Kennzeichnungs­ signal FWDT auf dem logischen Wert "0", auf den es von Beginn an oder nach der letzten Verarbeitung des Unter­ brechungsprogramms im Schritt 14 der Fig. 3 gesetzt wurde. Das Rücksetzsignal R wird daher nicht erneut an den Überwachungszeitgeber 4 gegeben. Der Überwachungs­ zeitgeber gibt demgemäß nach der vorgegebenen Zeitdauer (z. B. 60 msec) ein Rücksetzsignal A an den Zentralpro­ zessor 1.

Wenn der das Unterbrechungssignal U erzeugende Genera­ tor 3 fehlerhaft arbeitet oder wenn dem Unterbrechungs­ signal U ein Rauschen überlagert wird, so daß eine Ver­ arbeitung des Unterbrechungsprogramms fortwährend oder häufig eingeleitet wird, ohne daß zu der Verarbeitung des Normalprogramms gemäß Fig. 3 zurückgekehrt wird, wird das in dem Speicher 2 gespeicherte Kennzeichnungs­ signal FWDT beim Schritt 2 gemäß Fig. 2 fortlaufend auf "1" gesetzt. Da jedoch die Verarbeitung des Normalpro­ gramms gemäß Fig. 3 nicht ausgeführt wird, wird, weil die Schritte 12 und 13 gemäß Fig. 3 nicht ausgeführt werden, von dem Zentralprozessor 1 kein Rücksetzsignal R für den Überwachungszeitgeber 4 erzeugt. Daher gibt der Überwachungszeitgeber 4 nach der vorgegebenen Zeit­ dauer (z. B. 60 msec) ein Rücksetzsignal A an den Zentralprozessor 1.

Nach all dem wird also das Kennzeichnungssignal FWDT mit dem logischen Wert "1" zum Rücksetzen des Über­ wachungszeitgebers 4 beim Ablauf einer in Antwort auf ein Unterbrechungssignal U eingeleiteten Verarbeitung des Unterbrechungsprogramms in dem Speicher 2 gespeichert und der Zentralprozessor 1 erzeugt ein Rücksetzsignal R für den Überwachungszeitgeber 4 in Antwort auf das ge­ speicherte Kennzeichnungssignal FWDT mit dem logischen Wert "1" nach einer Verarbeitung des Normalprogramms, dessen Priorität niedriger ist als diejenige des Unter­ brechungsprogramms. Wenn daher Unterbrechungssignale U fortwährend die Verarbeitung des Unterbrechungsprogramms einleiten, weil eine Störung in dem die Unterbrechungs­ signale U erzeugenden Generator 3 vorliegt oder weil ein Rauschsignal oder eine ähnliche Störung die Unter­ brechungssignale U überlagert, wird einerseits der Zen­ tralprozessor 1 erneut gestartet und andererseits die Unregelmäßigkeit durch den Zähler 6 ermittelt.

Obwohl bei der beschriebenen Ausführungsform ein ge­ trennter Generator 3 zur Erzeugung der Unterbrechungs­ signale U vorgesehen ist, kann ein solcher Generator 3 auch durch ein in dem Zentralprozessor 1 ablaufendes Programm zur Erzeugung der Unterbrechungssignale U verwirklicht sein.

Claims (4)

1. Mikrocomputer mit einem Zentralprozessor (1), einem Überwachungszeitgeber (4), einem Speicher (2) und einem Generator (3) zur Erzeugung von eine Verarbeitung eines Unterbrechungsprogramms ein­ leitenden Unterbrechungssignalen (U), wobei während der Verarbeitung des Unterbrechungsprogramms in dem Speicher (2) ein Kennzeichnungssignal (FWDT) auf einen ersten Wert (FWDT = 1) gesetzt wird, wo­ bei der Überwachungszeitgeber (4) durch ein von dem Zentralprozessor (1) erzeugtes Rücksetzsignal (R) rückgesetzt wird, wenn das Kennzeichnungssig­ nal (FWDT) den ersten Wert (FWDT = 1) aufweist, und wobei der Überwachungszeitgeber (4) bei Ablauf eines vorbestimmten Zeitintervalles (z. B. 60 msec) nach seinem Rücksetzen ein Rücksetzsignal (A) für den Zentralprozessor (1) erzeugt, dadurch gekennzeichnet, daß das Rücksetzsignal (R) für den Überwachungs­ zeitgeber (4) nur während der Verarbeitung eines Normalprogramms, dessen Priorität niedriger ist als die Priorität des Unterbrechungsprogramms, er­ zeugbar ist, und daß nach Feststellung des ersten Wertes (FWDT = 1) des Kennzeichnungssignales (FWDT) ein zweiter Wert (FWDT = 0) des Kennzeich­ nungssignales (FWDT) in den Speicher (2) während der Verarbeitung des Normalprogramms gesetzt wird.

2. Mikrocomputer nach Anspruch 1, dadurch gekennzeichnet, daß nach
einer Verarbeitung des Normalprogramms der Wert (FWDT = 1 bzw. FWDT = 0) des Kennzeichnungssignals (FWDT) festgestellt wird,
daß, wenn dabei der erste Wert (FWDT = 1) festgestellt wird, das Rücksetzsignal (R) für den Überwachungs­ zeitgeber (4) erzeugt wird, dann
der erste Wert (FWDT = 1) durch den zweiten Wert (FWDT = 0) ersetzt wird und dann eine erneute Verarbei­ tung des Normalprogramms erfolgt
und daß, wenn der zeite Wert (FWDT = 0) festge­ stellt wird, sogleich eine erneute Verarbeitung des Normalprogramms erfolgt.

3. Mikrocomputer nach einem der vorhergehenden An­ sprüche, dadurch gekenn­ zeichnet, daß ein die Rücksetzsignale (A) für den Zentralprozessor (1) zählender Zähler (6) nach einer vorgegebenen Anzahl dieser Rück­ setzsignale (A) einen Schalter (8) auf eine Reservesteuerschaltung (7) umschaltet.

4. Mikrocomputer nach einem der vorhergehenden An­ sprüche, dadurch gekenn­ zeichnet, daß der Überwachungs­ zeitgeber (4) ein analoger Zeitgeber ist.