DE3728561A1 - Verfahren zur ueberpruefung einer ueberwachungseinrichtung fuer einen mikroprozessor - Google Patents

Description

Die Erfindung betrifft ein Verfahren zur Überprüfung einer Überwachungseinrichtung für einen Mikroprozes­ sor, welche bei Ausfall eines ansonsten regelmäßig vom Mikroprozessor abgegebenen Signals ein Fehlersig­ nal abgibt.

Insbesondere in mit Mikroprozessoren ausgerüsteten Steuergeräten für Kraftfahrzeuge kommt der ordnungs­ gemäßen Funktion des Mikroprozessors eine zentrale Bedeutung zu, da Fehler zu gefährlichen Fahrzustän­ den führen können. Es werden daher bei bekannten Steuergeräten zur Überwachung der ordnungsgemäßen Funktion des Mikroprozessors Überwachungseinrichtun­ gen - sogenannte "Watch-dog-Schaltungen" - verwen­ det. Fällt jedoch eine derartige Überwachungseinrich­ tung aus, so wird ein Programmfehler oder ein defek­ ter Mikroprozessor nicht mehr erkannt. Dabei kann es zu kritischen Fahrzuständen kommen.

Aufgabe der vorliegenden Erfindung ist es daher, einen Ausfall einer Überwachungseinrichtung bereits zu erkennen, bevor durch einen Ausfall oder eine feh­ lerhafte Funktion des Mikroprozessors ein Gefahren­ zustand eintritt.

Das erfindungsgemäße Verfahren ist dadurch gekenn­ zeichnet, daß vom Mikroprozessor die Signalabgabe an die Überwachungseinrichtung wiederholt unterbrochen wird, daß vom Mikroprozessor überprüft wird, ob die Überwachungseinrichtung ein Fehlersignal abgibt, und daß bei vorhandenem Fehlersignal das Fehlersignal beendet wird und bei nicht vorhandenem Fehlersignal ein Fehler der Überwachungseinrichtung festgestellt wird.

Eine Weiterbildung des erfindungsgemäßen Verfahrens, bei welcher ein elektro-mechanisches Stellglied vom Mikroprozessor gesteuert und bei vorhandenem Fehler­ signal in eine Sicherheitsstellung gebracht wird, sieht vor, daß das Fehlersignal so schnell beendet wird, daß das Stellglied während dieser Zeit seine Position praktisch nicht verändert.

Durch diese Weiterbildung wird erreicht, daß einer­ seits wiederholt Fehlersignale ausgelöst werden kön­ nen und daß andererseis das zu steuernde Stellglied nicht unnötigerweise verstellt wird, wenn es sich bei dem vorhandenen Fehlersignal um ein lediglich zu Zwecken der Überprüfung ausgelöstes Fehlersignal handelt.

Ein hohes Maß an Sicherheit wird gemäß einer anderen Weiterbildung dadurch erreicht, daß bei Feststellung eines Fehlers der Überwachungseinrichtung vom Mikro­ prozessor ein weiteres Fehlersignal abgegeben wird, das ebenfalls das Stellglied in die Sicherheitsstel­ lung bringt. Es ist jedoch im Rahmen der Erfindung nicht ausgeschlossen, daß bei Feststellung eines Feh­ lers der Überwachungseinrichtung andere Maßnahmen, beispielsweise eine optische oder akustische War­ nung, ergriffen werden.

Damit das Fehlersignal, welches zu Überwachungs­ zwecken ausgelöst ist, unverzüglich vom Mikroprozes­ sor verarbeitet werden kann, ist gemäß einer anderen Weiterbildung vorgesehen, daß das Fehlersignal im Mikroprozessor eine nichtmaskierbare Programmunter­ brechung (Interrupt) auslöst.

Gemäß einer anderen Weiterbildung erfolgt das Unter­ brechen der Signalabgabe an die Überwachungseinrich­ tung in regelmäßigen Zeitabständen.

Schließlich besteht eine Weiterbildung des erfin­ dungsgemäßen Verfahrens darin, daß bei der Unterbre­ chung der Signalabgabe ein Codewort in einem Schreib- Lese-Speicher eingeschrieben wird, daß bei Auftreten des Fehlersignals geprüft wird, ob das Codewort im Schreib-Lese-Speicher eingeschrieben ist, und daß bei eingeschriebenem Codewort eine ordnungsgemäße Funktion der Überwachungsschaltung und bei nicht eingeschriebenem Codewort ein Fehler im Mikroprozes­ sor festgestellt wird. Dadurch wird mit großer Sicherheit ein durch eine Überprüfung entstandenes Fehlersignal von einem echten Fehlersignal unter­ schieden.

Die Erfindung läßt zahlreiche Ausführungsformen zu. Eine davon ist schematisch in der Zeichnung anhand mehrerer Figuren dargestellt und nachfolgend be­ schrieben. Es zeigt:

Fig. 1 ein Blockschaltbild einer Schaltungsanordnung zur Durchführung des erfindungsgemäßen Ver­ fahrens,

Fig. 2 und Fig. 3 jeweils ein Flußdiagramm von Pro­ grammteilen, die zur Überprüfung der Über­ wachungsschaltung dienen, und

Fig. 4 eine schematische Darstellung einer elektro­ nischen Gaspedalanlage mit einer Überwa­ chungseinrichtung nach dem erfindungsgemäßen Verfahren.

Gleiche Teile sind in den Figuren mit gleichen Bezugszeichen versehen.

Bei dem Blockschaltbild nach Fig. 1 ist ein Mikropro­ zessor 1 Teil eines im übrigen nicht dargestellten Steuergerätes. Der Mikroprozessor 1 ist in an sich bekannter Weise über ein Bus-System 2 mit einem Nur- Lese-Speicher (ROM) 3 und einem Schreib-Lese-Spei­ cher (RAM) 4 sowie weiteren nicht dargestellten Ein­ heiten verbunden.

Der Takteingang CL eines D-Flip-Flops 5 ist an einen Ausgang WDT 1 des Mikroprozessors 1 angeschlossen. Der Ausgang Q des D-Flip-Flops 5 ist mit dem Resetein­ gang eines Zählers 6 verbunden, welcher im wesent­ lichen die Watch-dog-Schaltung bildet. Der Zähler 6 verfügt über einen internen Taktgenerator, zu dem die externen Widerstände 7, 8 und der externe Konden­ sator 9 als frequenzbestimmendes Glied gehören. Der Ausgang Q des Zählers 6 ist mit einem Eingang einer Oder-Schaltung 10 verbunden, deren Ausgang an den Takteingang eines Flip-Flops 11 angeschlossen ist. Der Ausgang des Flip-Flops 11 bildet einen Ausgang 12 der in Fig. 1 dargestellten Schaltungsanordnung, welchem ein Fehlersignal entnehmbar ist, wenn der Mikroprozessor 1 oder die Überwachungsschaltung de­ fekt ist.

Die weiteren Teile der Schaltungsanordnung nach Fig. 1 dienen im wesentlichen zur Erzeugung eines defi­ nierten Zustandes nach dem Einschalten und werden erläutert, nachdem im folgenden die eigentliche Funk­ tion der Schaltungsanordnung erklärt wird.

Ein im Mikroprozessor abgelegtes Programm ist derart ausgelegt, daß in regelmäßigen Abständen, beispiels­ weise nach jeweils 20 msec am Ausgang WDT 1 ein Sig­ nal abgegeben wird, das den Zähler zurücksetzt, bevor an seinem Ausgang ein Überlauf angezeigt wird. Der verwendete Zähler darf jedoch nur für eine kurze Zeit zurückgesetzt werden, da er anderenfalls ange­ halten wird. Der vom Mikroprozessor abgegebene Im­ puls wird daher dem flankengetriggerten Flip-Flop 5 zugeführt, das eine logische Eins solange speichert, bis es wieder zurückgesetzt wird. Die Rücksetzzeit ist durch einen Widerstand 13 in Verbindung mit der Eingangskapazität eines Schmitt-Triggers 14 sowie durch die Laufzeit des Schmitt-Triggers 14 defi­ niert. Dabei ist die Rücksetzzeit so lang, daß der Zähler 6 mit Sicherheit zurückgesetzt wird. Bleibt ein Impuls am Ausgang WDT 1 des Mikroprozes­ sors aus, so läuft der Zähler 6 über und gibt an seinem Ausgang Q eine Eins ab, welche über das Oder- Gatter 10 zum Takteingang 11 gelangt. Dadurch wird das Flip-Flop 11 gesetzt und an seinem Ausgang ein Fehlersignal abgegeben. Dieses erfolgt unabhängig davon, ob die fehlende Signalabgabe am Ausgang WDT 1 des Mikroprozessors 1 aufgrund eines Defekts des Mikroprozessors oder zur Überprüfung der Überwa­ chungseinrichtung erfolgt. Das Fehlersignal wird jedoch außer zum Ausgang 12 auch zu einem Interrupt- Eingang NMI (= non maskable interrupt) des Mikropro­ zessors 1 geleitet. Dort wird festgestellt, ob zuvor zu Überwachungszwecken die Signalabgabe an die Über­ wachungsschaltung unterdrückt wurde. Ist dieses der Fall, so wird beim folgenden Programmdurchlauf das Flip-Flop 5 wieder getriggert, wodurch über die Und-Schaltung 15 das Flip-Flop 11 zurückgesetzt und damit das Fehlersignal beendet wird. Für das Aus­ gangssignal des Flip-Flops 5 ist die Und-Schaltung 15 während dieser Zeit leitend, da von dem Mikropro­ zessor über den Ein-/Ausgang und über den Widerstand 16 eine Eins an den weiteren Eingang der Und-Schaltungn 15 gegeben wird.

Der Eingang ist gleichzeitig der Ausgang einer internen Überwachungseinrichtung, die im Falle eines Fehlers im Mikroprozessor auf L (low) gesetzt wird. Dieses wird in einem Schmitt-Trigger 17 invertiert und einem weiteren Eingang der Oder-Schaltung 10 zu­ geführt, wodurch ebenfalls mit Hilfe des Flip-Flops 11 ein Fehlersignal ausgelöst wird.

Der Ein-/Ausgang dient jedoch außerdem dazu, beim Einschalten den Mikroprozessor rückzusetzen. Ein entsprechendes Signal wird von einem im einzel­ nen nicht dargestellten stabilisierten Netzgerät über einen Eingang 18, eine Oder-Schaltung 19 und eine Diode 20 zugeführt. Letztere dient zur Entkopp­ lung des Ein-/Ausgangs vom Ausgang der Oder- Schaltung 19 für den Fall, daß während des Betriebes die interne Überwachungseinrichtung den Ein-/Ausgang auf L setzt. Außerdem ist über einen Schmitt- Trigger 21 der Eingang 18 mit einem Eingang der Und- Schaltung 22 und mit einem Setzeingang des Flip-Flops 5 verbunden, um beim Einschalten beide Flip-Flops zu setzen, wodurch während der Einschaltphase ein Feh­ lersignal abgegeben wird. Erst wenn über den Ausgang WDT 1 ein Signal abgegeben wird und ein weiterer Aus­ gang des Mikroprozessors 1 auf L gesetzt wird, endet das Fehlersignal und gibt somit die Endstufe für das Stellglied (siehe Fig. 4) frei. Das in Fig. 2 dargestellte Programm wird in regelmä­ ßigen Zeitabständen - beispielsweise alle 100 ms durchlaufen. Es wird bei 27 gestartet, worauf bei 28 der Ausgang WDT 1 (Fig. 1) des Mikroprozessors ge­ sperrt wird. Danach wird ein Codewort aus dem Nur- Lese-Speicher 3 (Fig. 1) geladen. Nach einer Verzö­ gerung von 30 ms (Programmteil 29) erfolgt bei 30 eine Verzweigung in Abhängigkeit davon, ob ein nicht­ maskierbarer Interrupt ausgelöst wurde. Wurde kein Interrupt ausgelöst, ist davon auszugehen, daß die Überwachungsschaltung defekt ist, so daß im Programm­ teil 31 ein Unterprogramm zum Abschalten der Endstu­ fe (Fig. 4) aufgerufen wird. Wurde jedoch ein Inter­ rupt ausgelöst, so kann auf eine intakte Überwa­ chungseinrichtung geschlossen werden, so daß bei 32 ohne weitere Maßnahmen in das Hauptprogramm zurück­ gekehrt werden kann. Das Flußdiagramm gemäß Fig. 3 stellt ein Programm dar, welches durch Auslösen eines nichtmarkierbaren Interrupts (NMI) gestartet wird, wenn ein Fehlersig­ nal an den Eingang NMI des Mikroprozessors 1 (Fig. 1) gelangt. Nach dem Start bei 34 wird das im Schreib-Lese-Speicher 4 während des Programms nach Fig. 3 abgelegte Codewort mit dem im Nur-Lese-Spei­ cher befindlichen Codewort verglichen. Besteht Gleichheit, so handelt es sich um einen Test der Überwachungseinrichtung, worauf das Programm nach der Verzweigung 36 bei 37 mit dem Löschen des Code­ worts im Schreib-Lese-Speicher 4 (Fig. 1) fortge­ setzt wird. Danach wird bei 38 ein Signal zum Zurück­ setzen des Zählers 6 (Fig. 1) ausgegeben, worauf das Fehlersignal so frühzeitig beendet wird, daß es zu keiner Störung des Stellgliedes kommt. Bei 39 er­ folgt die Rückkehr in das Hauptprogramm.

Wird jedoch bei 36 keine Übereinstimmung der Code­ worte festgestellt, woraus geschlossen werden kann, daß das Fehlersignal nicht durch einen Test, sondern durch einen Fehler im Mikroprozessor ausgelöst wur­ de, erfolgt im Programmteil 40 die Abschaltung der Endstufe.

Fig. 4 zeigt schematisch als bevorzugtes Anwendungs­ beispiel für das erfindungsgemäße Verfahren eine elektronische Gaspedalanlage. Dabei wird das Aus­ gangssignal eines als Sollwertgeber dienenden Gaspe­ dals 41 einem Eingang eines Steuergerätes 42 zuge­ führt. Das Steuergerät umfaßt unter anderem einen Mikroprozessor 1, der von einer Überwachungseinrich­ tung 43 überwacht wird, welche im wesentlichen der in Fig. 1 dargestellten Schaltung entspricht. Über eine stabilisierte Stromversorgungsschaltung 44 wird das Steuergerät 42 von der positiven Klemme 45 der nicht dargestellten Fahrzeugbatterie mit Betriebs­ spannung versorgt. Einem Ausgang 46 des Steuergerä­ tes wird ein Stellsignal entnommen, das beispiels­ weise von Impulsen gebildet wird, deren Breite modu­ liert ist. Diese werden über eine Endstufe 47 einem elektro-mechanischen Stellglied 48 zugeführt, dessen Abtrieb mit der Welle einer Drosselklappe 49 verbun­ den ist. Zur Erfassung der Drosselklappenstellung ist ein Winkelgeber 50 vorgesehen, dessen Ausgang mit einem weiteren Eingang des Steuergerätes 42 ver­ bunden ist. In an sich bekannter Weise wird dadurch die Stellung des Gaspedals 41 auf die Drosselklappe 49 übertragen. Dabei ist die Endstufe 47 zusammen mit dem Stellglied 48, der Drosselklappe 49 und einer Rückstellfeder 51 derart ausgelegt, daß bei stromloser Endstufe 47 die Drosselklappe 49 in die Leerlaufstellung gebracht wird.

Das über einen weiteren Ausgang 12 des Steuergerätes 42 abgegebene Fehlersignal dient zur Abschaltung der Endstufe 47, worauf im Fehlerfall die Drosselklappe 49 in die Leerlaufstellung gelangt. Wird jedoch kurze Zeit nach dem Auslösen des Fehlersignals - wie im Zusammenhang mit Fig. 3 beschrieben - das Fehler­ signal beendet, so erfolgt wegen der Massenträgheit der Drosselklappe 49 keine merkbare Bewegung der Drosselklappe.

Bei einer praktisch ausgeführten Schaltung nach Fig. 1 haben sich folgende integrierte Schaltungen be­ währt:

Zähler 6
4060
Flip-Flop 5, 11	4013
Schmitt-Trigger 14, 17, 21	4093
Oder-Schaltung 10, 19, 22	4071
Und-Schaltung 15	4081

Claims (6)

1. Verfahren zur Überprüfung einer Überwachungsein­ richtung für einen Mikroprozessor, welche bei Aus­ fall eines ansonsten regelmäßig vom Mikroprozessor abgegebenen Signals ein Fehlersignal abgibt, dadurch gekennzeichnet, daß vom Mikroprozessor die Signal­ abgabe an die Überwachungseinrichtung wiederholt unterbrochen wird, daß vom Mikroprozessor überprüft wird, ob die Überwachungseinrichtung ein Fehlersig­ nal abgibt, und daß bei vorhandenem Fehlersignal das Fehlersignal beendet wird und bei nicht vorhandenem Fehlersignal ein Fehler der Überwachungseinrichtung festgestellt wird.

2. Verfahren nach Anspruch 1, bei welchem ein elektro-mechanisches Stellglied vom Mikroprozessor gesteuert und bei vorhandenem Fehlersignal in eine Sicherheitsstellung gebracht wird, dadurch gekenn­ zeichnet, daß das Fehlersignal so schnell beendet wird, daß das Stellglied während dieser Zeit seine Position praktisch nicht verändert.

3. Verfahren nach Anspruch 2, dadurch gekennzeich­ net, daß bei Feststellung eines Fehlers der Überwa­ chungseinrichtung vom Mikroprozessor ein weiteres Fehlersignal abgegeben wird, das ebenfalls das Stell­ glied in die Sicherheitsstellung bringt.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß das Fehlersignal im Mikroprozessor eine nichtmaskierbare Programmunter­ brechung (Interrupt) auslöst.

5. Verfahren nach einem der vorhergehenden Ansprü­ che, dadurch gekennzeichnet, daß das Unterbrechen der Signalabgabe an die Überwachungseinrichtung in regelmäßigen Zeitabständen erfolgt.

6. Verfahren nach einem der vorhergehenden Ansprü­ che, dadurch gekennzeichnet, daß bei der Unterbre­ chung der Signalabgabe ein Codewort in einem Schreib- Lese-Speicher eingeschrieben wird, daß bei Auftreten des Fehlersignals geprüft wird, ob das Codewort im Schreib-Lese-Speicher eingeschrieben ist, und daß bei eingeschriebenem Codewort eine ordnungsgemäße Funktion der Überwachungsschaltung und bei nicht ein­ geschriebenem Codewort ein Fehler im Mikroprozessor festgestellt wird.