DE3836870A1

DE3836870A1 - Method of monitoring a watchdog timer which monitors a microprocessor, and device to implement the method

Info

Publication number: DE3836870A1
Application number: DE19883836870
Authority: DE
Inventors: Dietmar Manz; Franz-Josef Wertenbruch
Original assignee: Joh Vaillant GmbH and Co
Current assignee: Vaillant GmbH
Priority date: 1987-11-06
Filing date: 1988-10-27
Publication date: 1989-05-18

Abstract

Method of monitoring a watchdog timer which monitors a microprocessor, where the watchdog timer has a monostable trigger circuit which is controlled by pulses from the microprocessor. The watchdog timer (12) is tested cyclically as follows. The pulses (40) of the microprocessor (11) are suppressed, and the time (tWD) from the suppression (T1) until the monostable trigger circuit outputs a reset pulse (41) is measured. This time (tWD) is compared to a tolerance band (Tmax - Tmin), of which the shorter time (Tmin) is equal to or greater than the time between two pulses (40) of the microprocessor, and the longer time is selected depending on the fault tolerance time of the system which is controlled by the microprocessor. <IMAGE>

Description

Die vorliegende Erfindung bezieht sich auf ein Verfahren zum Überwachen eines einen Mikroprozessor überwachenden Watchdog-Timers sowie auf eine Vorrichtung zur Durchfüh rung des Verfahrens gemäß den Oberbegriffen der unabhän gigen Ansprüche 1 und 4.The present invention relates to a method for monitoring a microprocessor monitor Watchdog timers and a device for execution Procedure according to the generic terms of the independent claims 1 and 4.

Es ist bekannt, einem Mikrocomputer beispielsweise zur Steuerung einer brennstoffbeheizten Wärmequelle einen Watchdog-Timer zuzuordnen, der die Funktion des Mikropro zessors überwacht. Dies geschieht normalerweise mit Hilfe einer retriggerbaren monostabilen Kippstufe, die vom Programm des Mikrocomputers zyklisch Retrigger-Impulse erhält und im Falle des Ausbleibens dieser Impulse ein Rücksetzen des Mikrocomputers bewirkt, so daß dieser das von ihm überwachte Gerät neu in Betrieb nehmen muß.It is known to use a microcomputer, for example Control of a fuel-heated heat source Assign watchdog timer that the function of the Mikropro monitored. This is usually done with the help a retriggerable monostable multivibrator, which from Program of the microcomputer cyclically retrigger pulses receives and in the absence of these impulses Resetting the microcomputer causes so that this the device monitored by him must be put into operation again.

Soll nun eine Mikrocomputersteuerung zum Beispiel in ei nem Umlaufwasserheizer auch sicherheitsrelevante Funk tionen übernehmen, zum Beispiel die des Feuerungsautoma ten, so ist eine Überwachung der Funktionstüchtigkeit des Watchdog-Timers erforderlich.Now is a microcomputer control, for example in egg circulating water heater also safety-relevant radio take over, for example that of the furnace automation ten, is a monitoring of the functionality of the Watchdog timers required.

Der vorliegenden Erfindung liegt daher die Aufgabe zu grunde, ein Verfahren anzugeben, mit dem diese Überwachung möglich ist. Darüber hinaus soll eine Vor richtung aufgezeigt werden, die diese Überwachung durchführt.The present invention is therefore based on the object reasons to specify a method by which this Monitoring is possible. In addition, a pre direction to be shown that this monitoring carries out.

Die Lösung der Aufgabe liegt erfindungsgemäß darin, daß der Watchdog-Timer zyklisch getestet wird, indem die Im pulse des Mikroprozessors unterdrückt und die Zeit ab der Unterdrückung gemessen wird, bis die monostabile Kipp stufe einen Resetimpuls abgibt, und daß diese Zeit mit einem Toleranzzeitband verglichen wird, dessen kürzeste Zeit gleich oder größer ist als die Dauer zwischen zwei Impulsen des Mikroprozessors und dessen längere Zeit in Abhängigkeit der Fehlertoleranzzeit des von dem Mikropro zessor gesteuerten Systems gewählt ist.The solution to the problem is that the watchdog timer is tested cyclically by the Im pulse of the microprocessor is suppressed and the time from Suppression is measured until the monostable tilts stage emits a reset impulse, and that this time with a tolerance time band is compared, the shortest Time is equal to or greater than the duration between two Impulses of the microprocessor and its longer time in Dependency of the fault tolerance time of the micropro processor-controlled system is selected.

Durch diese Ausgestaltung erreicht man den Vorteil, daß ein relativ einfach aufgebauter Watchdog-Timer auch in sicherheitsrelevanten Steuerungen eingesetzt werden kann. Es ergibt sich die Möglichkeit, die Mikroprozessorsteue rung in Zweikanalbauweise aufzubauen, weil hierbei ein Selbsttest in größeren Zeitabständen ausreicht. Ein Aufbau in Einkanalbauweise ist praktisch unmöglich, weil dann der Mikroprozessor mit dem permanenten Selbsttest ausschließlich beschäftigt wäre.This configuration has the advantage that a relatively simple watchdog timer also in safety-related controls can be used. There is the possibility of microprocessor control to build in two-channel design, because Self-test at longer intervals is sufficient. A Single-channel construction is practically impossible because then the microprocessor with the permanent self-test would only be busy.

Weitere Ausgestaltungen und besonders vorteilhafte Wei terbildungen der Erfindung sind aus den übrigen Unteran sprüchen ersichtlich.Other refinements and particularly advantageous Wei Further developments of the invention are from the remaining subordinate sayings evident.

Anhand der Fig. 1 bis 3 der Zeichnung wird im folgen den ein Ausführungsbeispiel des erfindungsgemäßen Verfah rens und der Vorrichtung näher erläutert.Referring to Figs. 1 to 3 of the drawing the one embodiment of the invention procedural Rens and the device will be explained in more detail to follow.

Es zeigtIt shows

Fig. 1 ein Prinzipschaltbild eines Umlaufwasserheizers, Fig. 1 is a schematic diagram of a circulating water heater,

Fig. 2 ein Blockschaltbild und Fig. 2 is a block diagram and

Fig. 3 ein Diagramm. Fig. 3 is a diagram.

Vorab soll darauf hingewiesen werden, daß die erwähnten Bauelemente sowohl Einzelbauelemente in Digital- oder Analogtechnik sein könnten, Beispiel: die bistabile Kipp stufe, die in Analogtechnik als RC-Glied ausgebildet sein könnte, aber auch Teile eines Mikroprozessors selbst sein könnten. Die bistabile Kippstufe könnte beispielsweise als Zähler dargestellt werden, der mit dem Anstoßimpuls zu zählen beginnt und nach Erreichen seiner eingestellten Schaltschwelle sich selbst wieder zurücksetzt und den Restimpuls abgibt.It should be pointed out in advance that the components mentioned could be both individual components in digital or analog technology, for example: the bistable flip-flop that could be designed as an RC element in analog technology, but could also be part of a microprocessor itself. The bistable flip-flop could, for example, be represented as a counter that begins to count with the trigger pulse and, after reaching its set switching threshold, resets itself and emits the remaining pulse.

Ein Umlaufwasserheizer 1 weist im wesentlichen einen von einem Brenner 2 beheizten Wärmetauscher 3 auf, der an eine Rücklaufleitung 4 und eine mit einem Temperaturfüh ler 5 versehene Vorlaufleitung 6 angeschlossen ist. Der Brenner 2 wird aus einer mit einem Magnetventil 6 ver sehenen Gasleitung 7 gespeist. Eine Spule 8 des Magnet ventils wird über eine Ausgangsleitung 9 einer Steuer- und Regeleinheit 10 gesteuert, wobei letzterer Teil einer Mikroprozessoreinheit 11 ist. Die Mikroprozessoreinheit weist neben der Steuer- und Regeleinheit einen Watchdog- Timer 12 und eine Watchdog-Timer-Überwachungseinheit 13 auf, die beide über eine Leitung 14 miteinander verbunden sind. Der Watchdog-Timer ist über eine Leitung 15 mit der Steuer- und Regeleinheit verbunden. Parallel hierzu be steht eine Leitung 16, die die Leitung 15 zurück mit der Watchdog-Überwachungseinheit verbindet. Es ist ein Lei tungsbündel 17 als Verbindung von der Steuer- und Regel einheit zur Watchdog-Überwachungseinheit vorgesehen, eine weitere Leitung 18 zurück von der Watchdog-Überwachungs einheit zur Steuer- und Regeleinheit. Gemäß Fig. 2 be steht das Leitungsbündel 17 aus wenigstens zwei Leitungen 20 und 21, die zu zwei Eingängen 22 und 23 (negiert) ei nes Und-Gliedes 24 führen, dessen Ausgang die Leitung 14 bildet. Die zu dem negierten Eingang 23 führende Leitung 21 ist über eine Leitung 25 mit einem negierten Löschein gang 26 eines Zählers 27 verbunden. An den Zähler ist ein Oszillator 28 über eine Leitung 29 angeschlossen. Dem Zähler zugeordnet sind zwei Vergleichsstufen V ₁ bezie hungsweise V ₂ mit den Bezugszeichen 30 und 31. Ausgänge 32 und 33 der Vergleichsstufen V ₁ und V ₂ sind vorgesehen. Der Ausgang 32 führt zu einem Verzweigungspunkt 34, von dem die Leitung 18 abgeht. Die Leitung 16 ist zusammen mit dem Ausgang 33 auf zwei Eingänge eines Und-Gliedes 35 geführt, dessen Ausgang 36 mit der Verzweigung 34 verbun den ist.A circulating water heater 1 essentially has a heat exchanger 3 heated by a burner 2 , which is connected to a return line 4 and a flow line 6 provided with a temperature sensor 5 . The burner 2 is fed from a gas line 7 provided with a solenoid valve 6 . A coil 8 of the solenoid valve is controlled via an output line 9 of a control and regulating unit 10 , the latter being part of a microprocessor unit 11 . In addition to the control and regulating unit, the microprocessor unit has a watchdog timer 12 and a watchdog timer monitoring unit 13 , both of which are connected to one another via a line 14 . The watchdog timer is connected to the control and regulating unit via a line 15 . In parallel to this, there is a line 16 which connects line 15 back to the watchdog monitoring unit. There is a line bundle 17 as a connection from the control and regulation unit to the watchdog monitoring unit, another line 18 back from the watchdog monitoring unit to the control and regulating unit. According to FIG. 2, the line bundle 17 consists of at least two lines 20 and 21 which lead to two inputs 22 and 23 (negated) of an AND element 24 , the output of which forms line 14 . The line 21 leading to the negated input 23 is connected via a line 25 to a negated erase input 26 of a counter 27 . An oscillator 28 is connected to the counter via a line 29 . Associated with the counter are two comparison stages V ₁ or V ₂ with the reference numerals 30 and 31 . Outputs 32 and 33 of the comparison stages V ₁ and V ₂ are provided. The output 32 leads to a branch point 34 , from which the line 18 branches. The line 16 is guided together with the output 33 to two inputs of an AND gate 35 , the output 36 is the verbun with the junction 34 .

Zur Funktion der Anordnung nach den Fig. 1 und 2 ist nunmehr die Fig. 3 zu vergleichen, die ein Diagramm zeigt.For the function of the arrangement according to FIGS. 1 and 2, FIG. 3 can now be compared, which shows a diagram.

Es sind Spannungsverläufe auf den Leitungen 15, 20, 21 als Funktion der Zeit aufgetragen.Voltage curves are plotted on lines 15, 20, 21 as a function of time.

Die Mikroprozessoreinheit 11 überwacht den Umlaufwasser heizer 1 in allen seinen Funktionen. Hierzu zählen insbe sondere die Aufgabe als Flammenwächter, als Zünder und als Temperaturregel- und -steuereinrichtung. Neben der Steuer- und Regeleinheit 10, in die diese Funktionen alle integriert sind, ist auch der Watchdog-Timer 12 zu über wachen, und zwar von der Watchdog-Überwachungseinheit 13. Hierzu ist vorgesehen, daß die Steuer- und Regeleinheit 10 fortlaufend Impulse 40 erzeugt, die einen bestimmten Abstand voneinander aufweisen. Der Abstand dieser Impulse 40 hängt vom Programm ab. Diese Impulse erscheinen auf der Leitung 20 und werden über den Eingang 22 dem Und-Glied 24 zugeführt. Auf der Leitung 21 werden von der Steuer- und Regeleinheit 10 in bestimmten Absänden Test impulse abgegeben, die auf der Leitung 21 erscheinen. Diese Impulse schließen zwischen sich eine Zeit von nahe zu 24 Stunden ein. Diese Zeit beruht darauf, daß bei ei nem fortlaufenden Betrieb der Wärmequelle 1 über 24 Stunden hinaus definitionsgemäß ein Dauerbetrieb vor liegt, der zu unterbrechen ist, will man nicht besondere Sicherheits- und Überwachungsfunktionen auf sich nehmen. Immer wenn auf der Leitung 21 kein Impuls vorliegt, läßt das Und-Glied 24 infolge des negierten Eingangs 23 die Impulse auf der Leitung 20 durch und gibt sie auf die Leitung 14, das heißt, der Watchdog-Timer wird mit diesen Impulsen beaufschlagt. Dieser Zustand ist zwischen den Zeitpunkten T ₀ und T ₁ dargestellt. Zum Zeitpunkt T ₁ wird der eben erwähnte Testimpuls auf der Leitung 21 erzeugt, das heißt, die Weitergabe der Impulse 40 auf der Leitung 14 an den Watchdog-Timer unterbleibt. Damit läuft die im Watchdog-Timer 12 vorgesehene monostabile Kippstufe wei ter, bis die in ihr eingestellte Zeit abgelaufen ist. Das ist zum Zeitpunkt T ₂ der Fall, die Ablaufzeit der mono stabilen Kippstufe ist mit t _WD bezeichnet, sie entspricht dem Zeitraum zwischen den Zeitpunkten T ₁ und T ₂. Nach Ablauf dieser Zeit erzeugt der Watchdog-Timer auf der Leitung 15 ein Resetsignal, was sowohl der Watchdog-Über wachungseinheit 13 wie auch der Steuer- und Regeleinheit 10 zugeführt ist. Als Folge von letzterem wird die gesam te Steuer- und Regeleinheit 10 zurückgesetzt, das bedeu tet, daß die brennstoffbeheizte Wärmequelle 1 außer Betrieb geht und im Rahmen eines neuen Programmzyklus wird sie bei Bestehen eines Wärmeanforderungssignals so fort wieder in Betrieb gehen. Parallel hierzu wird die Ablaufzeit der monostabilen Kippstufe mit einem Zeitto leranzband verglichen, was aus einer Mindestzeit und ei ner Maximumzeit zusammengesetzt ist. Die beiden Zeiten sind als T _min und T _max, beginnend vom Zeitpunkt T ₁, in der Fig. 3 dargestellt. Die Größe der Minimalzeit T _min ist so gewählt, daß sie größer ist als der Abstand zweier Impulse 40. Die maximale Zeit T _max ist in Abhängigkeit von der Fehlertoleranzzeit des von dem Mikroprozessor ge steuerten Systems gewählt. Im Falle eines Umlaufwasser heizers entspricht diese Zeit der Zeit, um die die Sicherheitszeit von 10 Sekunden maximal verlängert werden darf. Unter Sicherheitszeit wird die Zeit verstanden, für die das Gasventil 6 bei einem Zündversuch im Maximum freigegeben wird, wenn keine Flamme gemeldet wird. In Normungsentwürfen ist man bestrebt, die Fehlertoleranz zeit auf 1 bis 2 Sekunden festzuschreiben. Der Abstand zweier Impulse 40 beträgt 100 ms, die Zeit T _min ist zu 200 ms gewählt worden.The microprocessor unit 11 monitors the circulating water heater 1 in all its functions. These include, in particular, the task as a flame monitor, as an igniter and as a temperature control and regulation device. In addition to the control and regulating unit 10 , in which all of these functions are integrated, the watchdog timer 12 is also to be monitored, specifically by the watchdog monitoring unit 13 . For this purpose, it is provided that the control and regulating unit 10 continuously generates pulses 40 which are at a certain distance from one another. The distance between these pulses 40 depends on the program. These pulses appear on line 20 and are fed to the AND gate 24 via the input 22 . On line 21 , the control and regulating unit 10 emits test pulses in certain sections, which appear on line 21 . These impulses include a time of almost 24 hours between them. This time is based on the fact that by continuous operation of the heat source 1 beyond 24 hours there is by definition a continuous operation that must be interrupted if one does not want to undertake special safety and monitoring functions. Whenever there is no pulse on line 21 , the AND gate 24 passes the pulses on line 20 as a result of the negated input 23 and passes them on line 14 , that is to say the watchdog timer is acted on by these pulses. This state is shown between the times T ₀ and T ₁ . At time T ₁ , the test pulse just mentioned is generated on line 21 , that is to say the pulses 40 are not forwarded on line 14 to the watchdog timer. The monostable multivibrator provided in the watchdog timer 12 thus continues to run until the time set in it has expired. This is the case at time T ₂ , the expiry time of the monostable multivibrator is denoted by t _WD , it corresponds to the period between times T ₁ and T ₂ . After this time has elapsed, the watchdog timer generates a reset signal on line 15 , which is fed to both the watchdog monitoring unit 13 and the control unit 10 . As a result of the latter, the entire control and regulation unit 10 is reset, which means that the fuel-heated heat source 1 goes out of operation and as part of a new program cycle it will go into operation again as soon as there is a heat request signal. In parallel, the expiry time of the monostable multivibrator is compared with a time tolerance band, which is composed of a minimum time and a maximum time. The two times are shown as T _min and T _max , starting from time T ₁ in FIG. 3. The size of the minimum time T _min is chosen so that it is greater than the distance between two pulses 40 . The maximum time T _max is chosen depending on the fault tolerance time of the system controlled by the microprocessor. In the case of a circulating water heater, this time corresponds to the maximum time that the safety time of 10 seconds can be extended. The safety time is understood to mean the time for which the gas valve 6 is released to the maximum during an ignition attempt if no flame is reported. In draft standards, efforts are made to fix the fault tolerance time to 1 to 2 seconds. The interval between two pulses 40 is 100 ms, the time T _min has been chosen to be 200 ms.

Der Vergleich geschieht wie folgt:The comparison happens as follows:

Im Moment T ₁ wird über die Leitung 25 der Zähler 27 frei gegeben, so daß er mit dem Zählen beginnt. Seine Rück setzung auf Null erfolgte früher. Er zählt nunmehr die über die Leitung 29 vom Oszillator 28 ausgesendeten Im pulse. In den Vergleichsstufen V ₁ und V ₂ sind die Zeiten T _min und T _max als Zählerstände gespeichert. Der Verglei cher V ₁ vergleicht, ob die in ihm eingestellte Zeit grö ße als die dem Zählerstand des Zählers 27 entsprechende Zeit ist, und die Vergleichsstufe V ₂ vergleicht, ob die in ihr eingesellte Zeit einem Zählerstand des Zählers 27 entspricht, die kleiner als die dort vorliegende Zeit ist. Die Zeit T _max entspricht dem Zählerstand der Vergleichs stufe V ₁, die Zeit T _min dem Zählerstand der Vergleichs stufe V ₂. Nunmehr kann nach Ablauf der Zeit der monostabilen Kippstufe im Zeitpunkt T ₂ festgestellt wer den, ob der zu diesem Zeitpunkt herrschende Zählerstand des Zählers 27 gleich oder größer T _min ist beziehungswei se gleich oder kleiner als T _max ist. Als Ergebnis dieses Vergleichs erscheint, wenn die Rücksetzzeit der monosta bilen Kippstufe größer ist als die Zeit T _min, aber klei ner als die Zeit T _max, kein Ausgangsimpuls. Ist die Zeit hingegen kleiner als T _min, wird das Und-Glied 35 dann aktiviert, wenn zugleich auf der Leitung 16 ein Re setimpuls 41 gegeben wurde. Dann erfolgt über die Leitung 18 eine Störungsmeldung. In diesem Fall erfolgte die Resetmeldung zu früh. Ist die Rückstellzeit der monosta bilen Kippstufe hingegen größer als die Maximumzeit T _max, dann erfolgt die Störungsmeldung auf der Leitung 18 an die Steuer- und Regeleinheit 10, verbunden mit einem Abschalten der brnnstoffbeheizten Wärmequelle 1.At the moment T ₁ , the counter 27 is released via the line 25 , so that it starts counting. It was reset to zero earlier. It now counts the pulse emitted via line 29 from oscillator 28 . The times T _min and T _max are stored as counter readings in the comparison stages V ₁ and V ₂ . The comparator V ₁ compares whether the time set therein is greater than the time corresponding to the counter reading of the counter 27 , and the comparison stage V ₂ compares whether the time set therein corresponds to a counter reading of the counter 27 which is less than that time is there. The time T _max corresponds to the counter reading of the comparison stage V ₁ , the time T _{min to} the counter reading of the comparison stage V ₂ . Now after the expiry of the time of the monostable multivibrator at time T ₂ who can determine whether the prevailing counter reading of the counter 27 is equal to or greater than T _min or is equal to or less than T _max . As a result of this comparison, if the reset time of the monostable multivibrator is greater than the time T _min but less than the time T _max , no output pulse appears. However, if the time is less than T _min , the AND gate 35 is activated when a reset pulse 41 has also been given on line 16 . A fault message is then sent via line 18 . In this case the reset message was given too early. If, on the other hand, the reset time of the monostable multivibrator is greater than the maximum time T _max , the fault is reported on line 18 to the control and regulating unit 10 , in connection with switching off the fuel source 1 heated by fuel.

Abschließend soll darauf hingewiesen werden, daß die Funktion gemäß dem Blockschaltbild der Fig. 2 auch als Software-Programm im Mikroprozessor implementiert werden kann.In conclusion, it should be pointed out that the function according to the block diagram of FIG. 2 can also be implemented as a software program in the microprocessor.

Als Watchdog-Timer ist eine Überwachungsschaltung anzu sehen, die in regelmäßigen Zeitabständen prüft, ob eine von ihr überwachte Schaltung arbeitet beziehungsweise ob ein Programmablauf erfolgt.A monitoring circuit must be activated as a watchdog timer see who periodically checks whether a circuit monitored by it works respectively whether a program is running.

Claims

1. A method for monitoring a microprocessor monitoring watchdog timer, which has a monostable multivibrator controlled by pulses of the microprocessor, characterized in that the watchdog timer ( 12 ) is cyclically tested by the pulses ( 40 ) of the micro processor ( 11 ) suppressed and the time (t _WD ) from the suppression (T ₁ ) is measured until the monostable multivibrator issues a reset pulse ( 41 ), and that this time (t _WD ) with a tolerance band (T _max - T _min ) is compared, the shortest time (T _min ) is equal to or greater than the duration between two pulses ( 40 ) of the microprocessor and its longer time is selected depending on the fault tolerance time of the system controlled by the microprocessor.

2. The method according to claim 1, characterized in that an error message is issued if the measured time (t _WD ) is not within the tolerance band.

3. The method according to claim 1, characterized in that an error message is also given if the reset pulse ( 41 ) is only given after the longer time (T _max ), or not at all.

4. A device for performing the method according to one of claims 1 to 3, characterized in that a watchdog device ( 13 ) is provided which consists of a counter ( 27 ) associated oscillator ( 28 ) be, for comparison of the counter reading with the times (T _min / T _max ) two comparison stages (V ₁ and V ₂ ) are provided, of which one is connected directly to a fault reporting line ( 18 ) and the other is connected to an AND element, the other input of which Reset pulses ( 41 ) leads, and that the output ( 36 ) of this AND element ( 35 ) is connected to the fault signaling line ( 18 ).