DE3728561C2 - Verfahren zur Überprüfung einer Überwachungseinrichtung für einen Mikroprozessor - Google Patents

Description

Die Erfindung betrifft ein Verfahren zur Überprüfung einer Überwachungseinrich­ tung für einen Mikroprozessor, welche bei Ausfall eines ansonsten regelmäßig vom Mikroprozessor abgegebenen Signals ein Fehlersignal abgibt.

Insbesondere in mit Mikroprozessoren ausgerüsteten Steuergeräten für Kraft­ fahrzeuge kommt der ordnungsgemäßen Funktion des Mikroprozessors eine zentrale Bedeutung zu, da Fehler zu gefährlichen Fahrzuständen führen können. Es werden daher bei bekannten Steuergeräten zur Überwachung der ordnungs­ gemäßen Funktion des Mikroprozessors Überwachungseinrichtungen - soge­ nannte "Watch-dog-Schaltungen" - verwendet. Fällt jedoch eine derartige Über­ wachungseinrichtung aus, so wird ein Programmfehler oder ein defekter Mikro­ prozessor nicht mehr erkannt. Dabei kann es zu kritischen Fahrzuständen kommen.

Aus H. Hölscher/J. Rader "Mikrocomputer in der Sicherheitstechnik", Verlag TÜV Rheinland, 1984, Seiten 7-73 bis 7-74 ist es bekannt, eine solche Überwa­ chungsschaltung regelmäßig auf die Fähigkeit zur Abschaltung zu testen.

Die DE 32 43 760 C2 offenbart eine Einrichtung zur Funktionsüberwachung eines Prozessors, bei welchem eine gestufte Fehlerreaktion abläuft. Dabei gibt die Überwachungseinrichtung in bekannter Art und Weise ein Fehlersignal ab, wenn ein ansonsten regelmäßig vom Mikroprozessor abgegebenes Signal fällt. Die Überwachungsschaltung ist so ausgebildet, daß über einen separaten Ausgang eine Eigenüberwachung der Überwachungseinrichtung über den Mikroprozessor erfolgt. Es wird also ein gesondertes Fehlersignal ausgegeben.

Gemäß der gattungsgemäßen DD 2 42 697 A1 wird überprüft, ob zur Provozie­ rung des Fehlersignals die Signalabgabe des Mikroprozessors an die Überwa­ chungseinheit wiederholt unterbrochen wird.

Aufgabe der vorliegenden Erfindung ist es daher, ohne Beeinflussung der normalen Funktion des Steuergerätes einen Ausfall einer Überwachungseinrich­ tung bereits zu erkennen, bevor durch einen Ausfall oder eine fehlerhafte Funk­ tion des Mikroprozessors ein Gefahrenzustand eintritt.

Das erfindungsgemäße Verfahren ist durch die Merkmale des Anspruchs 1 charakterisiert.

Der Vorteil der Erfindung besteht darin, daß einerseits wiederholt Fehlersignale ausgelöst werden können und daß andererseits das zu steuernde Stellglied nicht unnötigerweise verstellt wird wenn es sich bei dem vorhandenen Fehlersignal um ein lediglich zu Zwecken der Überprüfung ausgelöstes Fehlersignal handelt.

Ein hohes Maß an Sicherheit wird gemäß einer Weiterbildung dadurch erreicht, daß bei Feststellung eines Fehlers der Überwachungseinrichtung vom Mikro­ prozessor ein weiteres Fehlersignal abgegeben wird, das ebenfalls das Stellglied in die Sicherheitsstel­ lung bringt. Es ist jedoch im Rahmen der Erfindung nicht ausgeschlossen, daß bei Feststellung eines Feh­ lers der Überwachungseinrichtung andere Maßnahmen, beispielsweise eine optische oder akustische War­ nung, ergriffen werden.

Damit das Fehlersignal, welches zu Überwachungs­ zwecken ausgelöst ist, unverzüglich vom Mikroprozes­ sor verarbeitet werden kann, ist gemäß einer anderen Weiterbildung vorgesehen, daß das Fehlersignal im Mikroprozessor eine nichtmaskierbare Programmunter­ brechung (Interrupt) auslöst.

Gemäß einer anderen Weiterbildung erfolgt das Unter­ brechen der Signalabgabe an die Überwachungseinrich­ tung in regelmäßigen Zeitabständen.

Schließlich besteht eine Weiterbildung des erfin­ dungsgemäßen Verfahrens darin, daß bei der Unterbre­ chung der Signalabgabe ein Codewort in einem Schreib- Lese-Speicher eingeschrieben wird, daß bei Auftreten des Fehlersignals geprüft wird, ob das Codewort im Schreib-Lese-Speicher eingeschrieben ist, und daß bei eingeschriebenem Codewort eine ordnungsgemäße Funktion der Überwachungsschaltung und bei nicht eingeschriebenem Codewort ein Fehler im Mikroprozes­ sor festgestellt wird. Dadurch wird mit großer Sicherheit ein durch eine Überprüfung entstandenes Fehlersignal von einem echten Fehlersignal unter­ schieden.

Die Erfindung läßt zahlreiche Ausführungsformen zu. Eine davon ist schematisch in der Zeichnung anhand mehrerer Figuren dargestellt und nachfolgend be­ schrieben. Es zeigt:

Fig. 1 ein Blockschaltbild einer Schaltungsanordnung zur Durchführung des erfindungsgemäßen Ver­ fahrens,

Fig. 2 und Fig. 3 jeweils ein Flußdiagramm von Pro­ grammteilen, die zur Überprüfung der Über­ wachungsschaltung dienen, und

Fig. 4 eine schematische Darstellung einer elektro­ nischen Gaspedalanlage mit einer Überwa­ chungseinrichtung nach dem erfindungsgemäßen Verfahren.

Gleiche Teile sind in den Figuren mit gleichen Bezugszeichen versehen.

Bei dem Blockschaltbild nach Fig. 1 ist ein Mikropro­ zessor 1 Teil eines im übrigen nicht dargestellten Steuergerätes. Der Mikroprozessor 1 ist in an sich bekannter Weise über ein Bus-System 2 mit einem Nur- Lese-Speicher (ROM) 3 und einem Schreib-Lese-Spei­ cher (RAM) 4 sowie weiteren nicht dargestellten Ein­ heiten verbunden.

Der Takteingang CL eines D-Flip-Flops 5 ist an einen Ausgang WDT1 des Mikroprozessors 1 angeschlossen. Der Ausgang Q des D-Flip-Flops 5 ist mit dem Resetein­ gang eines Zählers 6 verbunden, welcher im wesent­ lichen die Watch-dog-Schaltung bildet. Der Zähler 6 verfügt über einen internen Taktgenerator, zu dem die externen Widerstände 7, 8 und der externe Konden­ sator 9 als frequenzbestimmendes Glied gehören. Der Ausgang Q des Zählers 6 ist mit einem Eingang einer Oder-Schaltung 10 verbunden, deren Ausgang an den Takteingang eines Flip-Flops 11 angeschlossen ist. Der Ausgang des Flip-Flops 11 bildet einen Ausgang 12 der in Fig. 1 dargestellten Schaltungsanordnung, welchem ein Fehlersignal entnehmbar ist, wenn der Mikroprozessor 1 oder die Überwachungsschaltung de­ fekt ist.

Die weiteren Teile der Schaltungsanordnung nach Fig. 1 dienen im wesentlichen zur Erzeugung eines defi­ nierten Zustandes nach dem Einschalten und werden erläutert, nachdem im folgenden die eigentliche Funk­ tion der Schaltungsanordnung erklärt wird.

Ein im Mikroprozessor abgelegtes Programm ist derart ausgelegt, daß in regelmäßigen Abständen, beispiels­ weise nach jeweils 20 msec am Ausgang WDT1 ein Sig­ nal abgegeben wird, das den Zähler zurücksetzt, bevor an seinem Ausgang ein Überlauf angezeigt wird. Der verwendete Zähler darf jedoch nur für eine kurze Zeit zurückgesetzt werden, da er anderenfalls ange­ halten wird. Der vom Mikroprozessor abgegebene Im­ puls wird daher dem flankengetriggerten Flip-Flop 5 zugeführt, das eine logische Eins solange speichert, bis es wieder zurückgesetzt wird. Die Rücksetzzeit ist durch einen Widerstand 13 in Verbindung mit der Eingangskapazität eines Schmitt-Triggers 14 sowie durch die Laufzeit des Schmitt-Triggers 14 defi­ niert. Dabei ist die Rücksetzzeit so lang, daß der Zähler 6 mit Sicherheit zurückgesetzt wird.

Bleibt ein Impuls am Ausgang WDT1 des Mikroprozes­ sors aus, so läuft der Zähler 6 über und gibt an seinem Ausgang Q eine Eins ab, welche über das Oder- Gatter 10 zum Takteingang 11 gelangt. Dadurch wird das Flip-Flop 11 gesetzt und an seinem Ausgang ein Fehlersignal abgegeben. Dieses erfolgt unabhängig davon, ob die fehlende Signalabgabe am Ausgang WDT1 des Mikroprozessors 1 aufgrund eines Defekts des Mikroprozessors oder zur Überprüfung der Überwa­ chungseinrichtung erfolgt. Das Fehlersignal wird jedoch außer zum Ausgang 12 auch zu einem Interrupt- Eingang NMI (= non maskable interrupt) des Mikropro­ zessors 1 geleitet. Dort wird festgestellt, ob zuvor zu Überwachungszwecken die Signalabgabe an die Über­ wachungsschaltung unterdrückt wurde. Ist dieses der Fall, so wird beim folgenden Programmdurchlauf das Flip-Flop 5 wieder getriggert, wodurch über die Und-Schaltung 15 das Flip-Flop 11 zurückgesetzt und damit das Fehlersignal beendet wird. Für das Aus­ gangssignal des Flip-Flops 5 ist die Und-Schaltung 15 während dieser Zeit leitend, da von dem Mikropro­ zessor über den Ein-/Ausgang und über den Widerstand 16 eine Eins an den weiteren Eingang der Und-Schaltung 15 gegeben wird.

Der Eingang ist gleichzeitig der Ausgang einer internen Überwachungseinrichtung, die im Falle eines Fehlers im Mikroprozessor auf L (low) gesetzt wird. Dieses wird in einem Schmitt-Trigger 17 invertiert und einem weiteren Eingang der Oder-Schaltung 10 zu­ geführt, wodurch ebenfalls mit Hilfe des Flip-Flops 11 ein Fehlersignal ausgelöst wird.

Der Ein-/Ausgang dient jedoch außerdem dazu, beim Einschalten den Mikroprozessor rückzusetzen. Ein entsprechendes Signal wird von einem im einzel­ nen nicht dargestellten stabilisierten Netzgerät über einen Eingang 18, eine Oder-Schaltung 19 und eine Diode 20 zugeführt. Letztere dient zur Entkopp­ lung des Ein-/Ausgangs vom Ausgang der Oder- Schaltung 19 für den Fall, daß während des Betriebes die interne Überwachungseinrichtung den Ein-/Ausgang RES1 auf L setzt. Außerdem ist über einen Schmitt- Trigger 21 der Eingang 18 mit einem Eingang der Und- Schaltung 22 und mit einem Setzeingang des Flip-Flops 5 verbunden, um beim Einschalten beide Flip-Flops zu setzen, wodurch während der Einschaltphase ein Feh­ lersignal abgegeben wird. Erst wenn über den Ausgang WDT1 ein Signal abgegeben wird und ein weiterer Aus­ gang des Mikroprozessors 1 auf L gesetzt wird, endet das Fehlersignal und gibt somit die Endstufe für das Stellglied (siehe Fig. 4) frei.

Das in Fig. 2 dargestellte Programm wird in regelmä­ ßigen Zeitabständen - beispielsweise alle 100 ms - durchlaufen. Es wird bei 27 gestartet, worauf bei 28 der Ausgang WDT1 (Fig. 1) des Mikroprozessors ge­ sperrt wird. Danach wird ein Codewort aus dem Nur- Lese-Speicher 3 (Fig. 1) geladen. Nach einer Verzö­ gerung von 30 ms (Programmteil 29) erfolgt bei 30 eine Verzweigung in Abhängigkeit davon, ob ein nicht­ maskierbarer Interrupt ausgelöst wurde. Wurde kein Interrupt ausgelöst, ist davon auszugehen, daß die Überwachungsschaltung defekt ist, so daß im Programm­ teil 31 ein Unterprogramm zum Abschalten der Endstu­ fe (Fig. 4) aufgerufen wird. Wurde jedoch ein Inter­ rupt ausgelöst, so kann auf eine intakte Überwa­ chungseinrichtung geschlossen werden, so daß bei 32 ohne weitere Maßnahmen in das Hauptprogramm zurück­ gekehrt werden kann.

Das Flußdiagramm gemäß Fig. 3 stellt ein Programm dar, welches durch Auslösen eines nichtmarkierbaren Interrupts (NMI) gestartet wird, wenn ein Fehlersig­ nal an den Eingang NMI des Mikroprozessors 1 (Fig. 1) gelangt. Nach dem Start bei 34 wird das im Schreib-Lese-Speicher 4 während des Programms nach Fig. 3 abgelegte Codewort mit dem im Nur-Lese-Spei­ cher befindlichen Codewort verglichen. Besteht Gleichheit, so handelt es sich um einen Test der Überwachungseinrichtung, worauf das Programm nach der Verzweigung 36 bei 37 mit dem Löschen des Code­ worts im Schreib-Lese-Speicher 4 (Fig. 1) fortge­ setzt wird. Danach wird bei 38 ein Signal zum Zurück­ setzen des Zählers 6 (Fig. 1) ausgegeben, worauf das Fehlersignal so frühzeitig beendet wird, daß es zu keiner Störung des Stellgliedes kommt. Bei 39 er­ folgt die Rückkehr in das Hauptprogramm.

Wird jedoch bei 36 keine Übereinstimmung der Code­ worte festgestellt, woraus geschlossen werden kann, daß das Fehlersignal nicht durch einen Test, sondern durch einen Fehler im Mikroprozessor ausgelöst wur­ de, erfolgt im Programmteil 40 die Abschaltung der Endstufe.

Fig. 4 zeigt schematisch als bevorzugtes Anwendungs­ beispiel für das erfindungsgemäße Verfahren eine elektronische Gaspedalanlage. Dabei wird das Aus­ gangssignal eines als Sollwertgeber dienenden Gaspe­ dals 41 einem Eingang eines Steuergerätes 42 zuge­ führt. Das Steuergerät umfaßt unter anderem einen Mikroprozessor 1, der von einer Überwachungseinrich­ tung 43 überwacht wird, welche im wesentlichen der in Fig. 1 dargestellten Schaltung entspricht. Über eine stabilisierte Stromversorgungsschaltung 44 wird das Steuergerät 42 von der positiven Klemme 45 der nicht dargestellten Fahrzeugbatterie mit Betriebs­ spannung versorgt. Einem Ausgang 46 des Steuergera­ tes wird ein Stellsignal entnommen, das beispiels­ weise von Impulsen gebildet wird, deren Breite modu­ liert ist. Diese werden über eine Endstufe 47 einem elektro-mechanischen Stellglied 48 zugeführt, dessen Abtrieb mit der Welle einer Drosselklappe 49 verbun­ den ist. Zur Erfassung der Drosselklappenstellung ist ein Winkelgeber 50 vorgesehen, dessen Ausgang mit einem weiteren Eingang des Steuergerätes 42 ver­ bunden ist. In an sich bekannter Weise wird dadurch die Stellung des Gaspedals 41 auf die Drosselklappe 49 übertragen. Dabei ist die Endstufe 47 zusammen mit dem Stellglied 48, der Drosselklappe 49 und einer Rückstellfeder 51 derart ausgelegt, daß bei stromloser Endstufe 47 die Drosselklappe 49 in die Leerlaufstellung gebracht wird.

Das über einen weiteren Ausgang 12 des Steuergerätes 42 abgegebene Fehlersignal dient zur Abschaltung der Endstufe 47, worauf im Fehlerfall die Drosselklappe 49 in die Leerlaufstellung gelangt. Wird jedoch kurze Zeit nach dem Auslösen des Fehlersignals - wie im Zusammenhang mit Fig. 3 beschrieben - das Fehler­ signal beendet, so erfolgt wegen der Massenträgheit der Drosselklappe 49 keine merkbare Bewegung der Drosselklappe.

Claims (5)

1. Verfahren zur Überprüfung einer Überwachungseinrichtung für einen Mikro­ prozessor, welche bei Ausfall eines ansonsten regelmäßig vom Mikroprozessor abgegebenen Signals ein Fehlersignal abgibt, wobei vom Mikroprozessor ein elektromechanisches Stellglied gesteuert und bei vorhandenem Fehlersignal in eine Sicherheitsstellung gebracht wird, und das Fehlersignal vom Mikroprozes­ sor dahingehend überprüft wird, ob die Überwachungseinrichtung das Fehler­ signal aufgrund der vom Mikroprozessor an die Überwachungseinrichtung wie­ derholt unterbrochenen Signalabgabe abgibt und daß bei einem solchen Fehler­ signal das Fehlersignal so schnell beendet wird, daß das Stellglied während dieser Zeit seine Position praktisch nicht verändert und bei einem solchen nicht vorhandenen Fehlersignal ein Fehler der Überwachungseinrichtung festgestellt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß bei Feststellung eines Fehlers der Überwachungseinrichtung vom Mikroprozessor ein weiteres Fehlersignal abgegeben wird, das ebenfalls das Stellglied in die Sicherheitsstel­ lung bringt.

3. Verfahren nach einem der Ansprüche 1 bis 2, dadurch gekennzeichnet, daß das Fehlersignal im Mikroprozessor eine nichtmaskierbare Programmunter­ brechung (Interrupt) auslöst.

4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeich­ net, daß das Unterbrechen der Signalabgabe an die Überwachungseinrichtung in regelmäßigen Zeitabständen erfolgt.

5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeich­ net, daß bei der Unterbrechung der Signalabgabe ein Codewort in einem Schreib-Lese-Speicher eingeschrieben wird, daß bei Auftreten des Fehlersignals geprüft wird, ob das Codewort im Schreib-Lese-Speicher eingeschrieben ist, und daß bei eingeschriebenem Codewort eine ordnungsgemäße Funktion der Überwachungsschaltung und bei nicht eingeschriebenem Codewort ein Fehler im Mikroprozessor festgestellt wird.