DE3914003C2 - Anordnung zur Überwachung des Programmablaufes einer zumindest einen Mikroprozessor enthaltenden Steuerungsbaugruppe - Google Patents

Description

Die Erfindung bezieht sich auf eine Anordnung zur Überwachung des Programmablaufes in einer neben einem Mikroprozessor auch Programm- und Arbeitsspeichereinheiten aufweisenden Steue­ rungsbaugruppe, insbesondere für eine in einem speicherpro­ grammierten digitalen Kommunikationssystem eingesetzte Steue­ rungsbaugruppe, unter Verwendung einer Zeitstufe, die durch im Rahmen einer ordnungsgemäßen Programmablauffolge generier­ te Impulse jeweils rückstellbar ist und bei fehlenden Rück­ stellimpulsen mit Erreichen des für die Zeitstufe vorgegebe­ nen Zeitwertes eine zumindest die Reihenfolge des Programm­ ablaufes beeinflussende Steuerinformation für den Mikropro­ zessor abgibt.

Solche Mikrocomputersysteme können zur Erfüllung der unter­ schiedlichsten Steuerungsaufgaben eingesetzt werden. Dies kann auch beispielsweise in Form der Mehrprozessor-Konfigura­ tion erfolgen, wodurch bei einem umfassenden Problem dieses in übersichtliche und einfacher zu handhabende Teilaufgaben aufgespaltet werden kann, wobei dann diese Teilaufgaben auf die einzelnen Mikrocomputer des Gesamtsystems verteilt wer­ den. Dies ist beispielsweise auch bei neuzeitlichen Kommuni­ kationssystemen der Fall, in denen z. B. die zentrale Steuer­ einrichtung mittels eines Mikroprozessorsystems realisierbar ist. Die Bearbeitung der Peripherie, zu der insbesondere be­ stimmte Teilnehmeranschlußeinrichtungen als Schnittstellen zu den angeschalteten Endgeräten und Leitungen gehören, wird durch mit der zentralen Steuereinrichtung kommunizierende Mi­ kroprozessor-Steuerungsbaugruppen übernommen. Vom zentralen Prozessor werden unter anderem bestimmte Überwachungsfunktio­ nen und sicherheitstechnische Vorgänge zentral gesteuert.

Durch geeignete Hardware-Komponenten erfolgt mit einem als "Watch Dog" bezeichneten Verfahren eine Programmablaufüberwa­ chung. Dies ist beispielsweise der britischen Patentanmeldung GB 21 20 428 A zu entnehmen. Diese erwähnte Programmablauf­ überwachung kann in der Weise vorgenommen werden, daß mit Hilfe von Zeitstufen festgestellt wird, ob innerhalb einer vorgegebenen Zeit bestimmte Steuerimpulse eintreffen. Diese Steuerimpulse werden jeweils durch die Software immer dann generiert, wenn ein bestimmter Schritt im Programmablauf er­ reicht wird. Mit jedem der auch aus unterschiedlichen zykli­ schen Programmabläufen generierten Impulse erfolgt dann eine Zurücksetzung der jeweils benutzten Zeitstufe. Wird innerhalb der vorgegebenen Zeit kein Impuls generiert, so wird dies als fehlerhafter Programmablauf gewertet und führt zu bestimmten Folgefunktionen. Durch die Veröffentlichung in Elektronik 1980, Heft 4, Seiten 92 bis 94, "Watch-Dog" - Schaltungen erkennen "µP-Systemstörungen" von Huse Horst ist es bekannt, zwei Zeitstufen zu verwenden. Nach dem nicht erfolgten Rück­ setzen der ersten Zeitstufe wird die zweite Zeitstufe gestar­ tet. Bleibt der Restart-Versuch erfolglos, so wird nach Ab­ lauf der zweiten Zeitstufe ein "Hold" ausgelöst, der das Sy­ stem blockiert. Grundsätzlich werden diese bekannten Pro­ grammablaufüberwachungen dann jeweils an die spezifische Software angepaßt.

Es ist die Aufgabe der Erfindung, eine Programmablaufüberwa­ chung so flexibel auszubilden, daß sie problemlos für die un­ terschiedlichsten Mikroprozessoren und deren unterschiedli­ chen Einsatzgebiete verwendet werden kann.

Dies wird dadurch erreicht, daß eine erste, mit Beginn der maßgeblichen Programmabläufe aktivierte Überwachungszeitstufe vorgesehen ist, daß deren Zeitwerte in Abhängigkeit von dem jeweiligen Betriebszustand des von der Steuerungsbaugruppe gesteuerten Systems durch den Mikroprozessor innerhalb eines definierten Zeitbereiches auswählbar sind und die diesem variabel ausgewählten Zeitwert jeweils entsprechende Vorein­ stellung der ersten Überwachungszeitstufe bewirkt wird, daß bei ausbleibenden Rückstellimpulsen mit dem Erreichen des eingestellten Zeitwertes ein Reset-Impuls für den Mikropro­ zessor erzeugt wird, daß dieser Reset-Impuls gleichzeitig die Startinformation für eine nachgeordnete zweite Überwachungs­ zeitstufe mit einem fest vorgegebenen Zeitwert bildet, daß der Mikroprozessor und gegebenenfalls weitere Baueinheiten des gesteuerten Systems mit dem Erreichen dieses fest vorge­ gebenen Zeitwertes als Steuerinformation erzeugten Signal in den Bearbeitungs- und Steuervorgänge unterbindenden Haltezu­ stand gebracht wird, daß diese zweite Überwachungszeitstufe durch eine auftretende Rückstellinformation bis zur erneuten Bildung einer Startinformation in die Ausgangslage zurückge­ stellt wird.

Aufgrund der Programmierbarkeit der ersten Stufe der insgesamt zweistufigen Überwachungsanordnung kann diese unabhängig von der Software für die Überwachung des Programmablaufes einer be­ liebigen mikroprozessorgesteuerten Baugruppe eingesetzt werden.

Ihr Einsatz ist also nicht auf einen bestimmten Prozessortyp beschränkt. Es ist durch die programmierbare Überwachungsstufe eine Anpassung an alle Software-Gegebenheiten möglich und die Überwachungszeit kann je nach Betriebszustand bestimmt werden.

So kann beispielsweise - gesteuert durch den Mikroprozessor - während der Initialisierungsphase eines Programmes eine lange Überwachungszeit und während des laufenden Programmes dann ei­ ne wesentlich kürzere Überwachungszeit vorgegeben werden. Durch die gewählte Zweistufigkeit wird verhindert, daß der Mikropro­ zessor und die angeschlossenen Peripheriebausteine von dem von der ersten Stufe abgegebenen Reset-Impuls unbestimmt oft perio­ disch zurückgesetzt werden. Durch die zweite Stufe wird nämlich eine bestimmte Zeit fest vorgegeben, in welcher eine Rückset­ zung der beiden Überwachungszeitstufen durch die bei bestimmten Programmschritten abgeleiteten Rückstellimpulse erfolgen mußte. Geschieht dies nicht, so wird der Mikroprozessor in den die Un­ terbrechung des Programmablaufes bewirkenden Haltezustand ge­ bracht. Mit einem dauerhaften Reset-Signal können dann alle am Mikroprozessorbus befindlichen Peripheriebausteine zurückge­ setzt werden. Ein Verlassen dieses Zustandes ist gemäß einer Weiterbildung der Erfindung nur durch einen manuellen Eingriff - wie beispielsweise die Betätigung einer entsprechenden Taste - möglich.

Gemäß einer Weiterbildung der Erfindung wird der Zeitwert als ein ganzzahliges Vielfaches der Impulszeit eines oder eines von mehreren möglichen Grundzeittakten gebildet. Vom Mikroprozessor werden je nach Betriebszustand des zu steuernden Systems sowohl der jeweilige Grundzeittakt als auch das jeweilige ganzzahlige Vielfache in Form der in einer entsprechenden Tabelle abgespei­ cherten möglichen Multiplikationskonstanten ausgewählt. Es kann damit also in einfacher Weise eine Überwachungszeit bestimmt werden, die am besten an den Programmablauf angepaßt ist.

Die Einstellung der Zeitwerte, bis zu deren Ablauf ein Rück­ stellimpuls aus der Software übermittelt werden muß, kann da­ durch erfolgen, daß der ausgewählte Grundzeittakt einer diese Taktimpulse zählenden Zählstufe, die durch diese Rückstellim­ pulse jeweils zurückgestellt wird, zugeführt wird und daß wei­ terhin der der Zählstellung entsprechende Zählwert einem Ver­ gleicher übermittelt wird, der diesen Wert mit dem Wert der ausgewählten und in einem Register abgelegten Multiplikations­ konstanten vergleicht und daß bei einer festgestellten Überein­ stimmung ein Reset-Impuls für den Mikroprozessor erzeugt wird. Es läßt sich also damit in einfacher Weise die Programmierbar­ keit der verwendeten ersten Überwachungszeitstufe erreichen. Um die vorgesehenen Zeittakte innerhalb der Überwachungsanordnung zur Verfügung stellen zu können, sind diese in einer zugehöri­ gen Taktwandleranordnung aus einem einzigen zugeführten Takt ab­ zuleiten.

Gemäß einer Weiterbildung der Erfindung sind neben den aus dem Programmablauf generierten Rückstellimpulsen zumindest für die zweite Zeitüberwachungsstufe deren entsprechenden Eingang auch aus anderen Ereignissen (wie Tastenbetätigung, Informationen aus anderen Überwachungseinheiten) erzeugte Rückstellimpulse zuführbar.

Gemäß einer Weiterbildung der Erfindung werden die zu einem Re­ set führenden Ereignisse in einem externen Statusregister abge­ speichert. Damit wird in einfacher Weise eine gezielte Abfrage nach der Reset-Ursache möglich. Es kann also nach jedem Reset für den Mikroprozessor bzw. für die Baugruppe die Software in Abhängigkeit von dieser festgestellten Reset-Ursache unter­ schiedliche Programme bearbeiten. Es sind beispielsweise nach einem durch Spannungsausfall bedingten Reset andere Maßnahmen notwendig als bei einem Reset, der durch das Ablaufen der Über­ wachungszeitstufen bedingt war.

Weitere vorteilhafte Ausgestaltungen sind den restlichen Unter­ ansprüchen zu entnehmen.

Die Erfindung wird in einem Ausführungsbeispiel näher erläutert, wobei in der Figur lediglich die wesentlichen, zum Verständnis der Erfindung notwendigen Schalt- und Steuereinheiten als Block­ schaltbild dargestellt sind. Die den Mikroprozessor MP enthalten­ de Steuerungsbaugruppe kann beispielsweise die zentrale Steue­ rung eines Kommunikationssystems darstellen. Diese würde dann im wesentlichen die vermittlungstechnischen Aufgaben, wie z. B. die Ermittlung der Koppelfeldeinstellung aufgrund der abgegebe­ nen Teilnehmerrufnummern durchführen. Der Mikroprozessor MP dieser Steuerungsbaugruppe ist über einen Daten-/Adreßbus AD mit einem Arbeitsspeicher AS und einem die einzelnen Ablaufpro­ gramme enthaltenden Programmspeicher PS sowie mit einer Überwa­ chungsanordnung UW verbunden. Diese dient als sogenannte "Watch Dog"-Anordnung zur Überwachung des Programmablaufes der mikro­ prozessorgesteuerten Baugruppe. Sie besteht neben einer ersten Überwachungszeitstufe WD1 und einer nachgeordneten zweiten Über­ wachungszeitstufe WD2 aus einigen Verknüpfungsgliedern, der Adressendecodiereinheit AS und der Einheit TW zur Taktumwand­ lung. Über die Selektionsleitungen S1 . . . S5 werden durch die Adressendecodiereinheit AS die einzelnen Bausteine ausgewählt, so daß dann die entsprechende Dateninformation eingeschrieben bzw. ausgelesen werden kann. Diese Übermittlung des Einschreib­ bzw. des Auslesebefehls ist durch die Verbindung zwischen den angedeuteten Ausgängen RD/W bzw. WR/W der Überwachungsanordnung UW mit den entsprechenden Anschlüssen RD bzw. WR des Mikropro­ zessors MP angedeutet.

Für die Überwachungszeitstufe WD1 sind verschiedene Überwachungs­ zeitwerte programmierbar, so daß bei dem gewählten zweistufigen Überwachungsprinzip eine spezielle Anpassung an den Mikropro­ zessor MP nicht erforderlich ist, sondern ein von den Software- Gegebenheiten abhängiger Einsatz möglich ist. Impulse, die wäh­ rend eines Programmablaufes zu Prüfzwecken generiert werden, gelangen entweder zu dem Triggerregister RG1 oder zu dem der zweiten Überwachungszeitstufe WD2 zugehörigen Triggerregister RG2. Sie werden aus dem Triggerregister RG1 über das ODER-Glied OD1 der Zählstufe Z1 bzw. aus dem Triggerregister RG2 über das ODER-Glied OD3 der Zählstufe Z2 zugeführt. Durch sie wird dann jeweils die Rückstellung dieser Zählstufen in die Ausgangslage bewirkt. Zur Bestimmung des Zeitwertes für die erste Überwa­ chungszeitstufe WD1 wird durch den Mikroprozessor MP durch eine entsprechende Einstellung der Zeitbasiseinheit ZB aus den an­ liegenden Grundzeittakten T1 . . . Tx ein Zeittakt ausgewählt, der dann zum Zähleingang der Zählanordnung Z1 gelangt und diese ent­ sprechend hochzählt. Die erwähnten Grundzeittakte können ebenso wie der Grundzeittakt ty für die Zählanordnung Z2 extern aus vorhandener Hardware zugeführt werden oder sie können auch durch die Taktwandlereinheit TW aus einem einzigen zugeführten externen Zeittakt tz abgeleitet werden. Je nach Betriebszustand wird durch den Mikroprozessor MP ein bestimmter Faktor, der aus einer Tabelle, in der die möglichen Faktoren abgespeichert sind, ausgewählt und es wird veranlaßt, daß dieser ausgewählte Faktor in das Konstantenregister KR eingeschrieben wird. Dieser neben dem ausgewählten Zeittakt für die Bestimmung des Zeitwertes der ersten Überwachungszeitstufe WD1 maßgebende Faktor wird als ent­ sprechende Information einem Vergleicher V zugeführt, der die­ sen Wert mit dem ihm gleichfalls zugeführten Wert des Zähler­ standes der Zählanordnung Z1 vergleicht. Der maßgebende Zeit­ wert entspricht also dem durch den ausgewählten im Register KR eingeschriebenen Faktor bestimmten Vielfachen der Taktimpuls­ zeit des jeweils ausgewählten Grundzeittaktes. Es sind also ei­ ne große Anzahl von Zeitwerten festlegbar. Ändert man z. B. auch die Taktfrequenz des der Taktwandleranordnung TW zugeführ­ ten externen Taktes, so ergibt dies eine weitere Variationsmög­ lichkeit in den einzustellenden Zeitwerten.

Falls das zu überwachende Programm ordnungsgemäß abläuft, wird innerhalb des festgelegten Zeitbereiches die Zählanordnung Z1 durch den bestimmungsgemäß gelieferten Impuls aus dem Trigger­ register RG1 zurückgestellt. Dieser Impuls wird aus einem oder auch aus mehreren sich zyklisch wiederholenden Programmabläufen generiert. Wird der diesen Impuls verursachende Programmschritt nicht durchlaufen, so wird also der Zählanordnung Z1 ein ent­ sprechender Rückstellimpuls infolge eines fehlerhaften Zustan­ des im Programmablauf nicht zugeführt. In einem solchen Fall er­ reicht dann die Zählanordnung Z1 einen Zählerwert, der mit dem Wert des der Vergleichseinheit V übermittelten Faktors überein­ stimmt. Wird diese Tatsache durch die Vergleichseinheit V fest­ gestellt, so wird ein Ausgangssignal erzeugt, das der bistabi­ len Kippstufe FF1 zugeführt wird. Diese erzeugt einen Impuls von einer ganz bestimmten Dauer der über das ODER-Glied OD2 dem Reset-Eingang R des Mikroprozessors MP zugeführt wird und gleich­ zeitig als Rückstellinformation für die Zählanordnung Z1 dient.

Der an den Mikroprozessor MP abgegebene Reset-Impuls bewirkt eine Rücksetzung der mikroprozessorinternen Einheiten auf einen definierten Ausgangszustand. Dies kann dann auch für die mit ihm verbundenen peripheren Einheiten erfolgen.

Der in der ersten programmierbaren Zeitüberwachungsstufe WD1 in der geschilderten Weise erzeugte Reset-Impuls führt über das Trigger-Register RG2 dazu, daß die Zähleranordnung Z2 aktiviert wird. Mit ihr werden die Taktimpulse des Zeittaktes ty gezählt.

Dieser Zeittakt wird in der Regel eine kleinere Impulsfolgefre­ quenz aufweisen als die für die erste Zeitüberwachungsstufe maßgebenden Zeittakte. Das bedeutet, daß mit der zweiten Zeit­ überwachungsstufe WD2 eine größere Überwachungszeit als für die erste Stufe maximal festgelegt ist. Diese Zeit ist fest vor­ gegeben und läuft mit dem Erreichen einer bestimmten Zähler­ stellung ab. In den Fällen, in denen ein ordnungsgemäßer Pro­ grammablauf vorliegt, wird diese Zählerstellung nicht erreicht, da durch die während eines Programmablaufes generierten Impul­ se eine gezielte Zurückstellung der Zähleranordnung Z2 erfolgt.

Diese Rückstellimpulse werden über das Trigger-Register RG2 und dem ODER-Glied OD3 der Zähleinrichtung Z2 zugeführt. Bleiben diese Impulse infolge eines fehlerhaften Programmablaufes aus, so wird der durch die vorgegebene Zählerstellung definierte Zeitwert von beispielsweise 12 s erreicht, ohne daß eine Rück­ stellung der Zähleranordnung Z2 erfolgt. In einem solchen Fall wird ein Ausgangsimpuls für die bistabile Kippstufe FF2 gelie­ fert, die daraufhin bis zu ihrer Rückstellung einen Dauerimpuls ausgangsseitig abgibt. Dieser wird über das ODER-Glied OD2 ei­ nerseits dem Reset-Eingang R des Mikroprozessors MP zugeführt und andererseits können damit auch periphere Baugruppen beauf­ schlagt werden, wie dies durch den Ausgang H angedeutet ist.

Mit diesem statischen Reset-Signal werden also Peripheriebau­ steine zurückgesetzt und der Mikroprozessor MP in den Halte- Zustand gebracht. Der Programmablauf ist unterbrochen und der Mikroprozessor schaltet sich z. B. von allen Bussystemen ab.

Kann also der Programmablauf während dieser fest vorgegebenen Überwachungszeit der zweiten Überwachungszeitstufe WD2 aus dem registrierten Störfall nicht wieder in den ordnungsgemäßen Pro­ grammablauf übergeführt werden, so wird mit dem einen Halte-Zu­ stand bewirkenden Dauer-Reset-Signal verhindert, daß - wie bei bekannten Überwachungsanordnungen - ständig eine erneute Rück­ setzung über jeweils einen kurzen Reset-Impuls vorgenommen wird.

Der mit der ersten Überwachungszeitstufe WD1 erzeugte Reset- Impuls wird in dem Statusregister RG3 registriert. In diesem Register können dann noch andere Ursachen, die gleichfalls ei­ nen Reset zur Folge haben, abgespeichert werden. Eine solche Information kann beispielsweise aus einer Einheit SU übermit­ telt werden, die die Betriebsspannung überwacht. Es ist eine gezielte Abfrage nach der Reset-Ursache möglich. Davon abhängig können dann unterschiedliche Folgeprogramme bearbeitet werden.

Der Halte-Zustand, der also bewirkt wird, wenn in der durch die zweite Überwachungszeitstufe WD2 vorgegebenen Zeit durch den fehlerhaften Programmablauf die Überwachungszeitstufen nicht zurückgesetzt werden konnten, kann nur durch den manuel­ len Eingriff einer Bedienperson verlassen werden. Dies kann beispielsweise dadurch erfolgen, daß eine Betätigung einer Ta­ ste RT erfolgt. Diese Betätigung führt zum Zurücksetzen der Zählanordnungen Z1 und Z2 sowie zum Zurücksetzen der Kippstufe FF2, so daß damit das Dauer-Reset-Signal entfällt. Die Programm­ ablaufüberwachung kann ausschließlich durch die Betätigung ei­ nes entsprechenden Schalters unwirksam geschaltet werden.

Claims (9)

1. Anordnung zur Überwachung des Programmablaufes in einer neben einem Mikroprozessor auch Programm- und Arbeitsspeicher­ einheiten aufweisenden Steuerungsbaugruppe, insbesondere für eine in einem speicherprogrammierten digitalen Kommunikations­ system eingesetzte Steuerungsbaugruppe, unter Verwendung einer Zeitstufe, die durch im Rahmen einer ordnungsgemäßen Programm­ ablauffolge generierte Impulse jeweils rückstellbar ist und bei fehlenden Rückstellimpulsen mit Erreichen des für die Zeitstufe vorgegebenen Zeitwertes eine zumindest die Reihenfolge des Pro­ grammablaufes beeinflussende Steuerinformation für den Mikro­ prozessor (MP) abgibt (Watch Dog), dadurch gekennzeichnet, daß eine erste mit Beginn der maßgeblichen Programmabläufe ak­ tivierte Überwachungszeitstufe (WD1) vorgesehen ist, daß deren Zeitwerte in Abhängigkeit von dem jeweiligen Betriebszustand des von der Steuerungsbaugruppe gesteuerten Systems durch den Mikroprozessor (MP) innerhalb eines definierten Zeitbereiches auswählbar sind und die diesem variabel ausgewählten Zeitwert jeweils entsprechende Voreinstellung der ersten Überwachungs­ zeitstufe (WD1) bewirkt wird, daß bei ausbleibenden Rückstell­ impulsen mit dem Erreichen des eingestellten Zeitwertes ein Re­ set-Impuls für den Mikroprozessor (MP) erzeugt wird, daß dieser Reset-Impuls gleichzeitig die Startinformation für eine nachge­ ordnete zweite Überwachungszeitstufe (WD2) mit einem fest vor­ gegebenen Zeitwert bildet, daß der Mikroprozessor (MP) und ge­ gebenenfalls weitere Baueinheiten des gesteuerten Systems mit dem bei Erreichen dieses fest vorgegebenen Zeitwertes als Steu­ erinformation erzeugten Signal in den Bearbeitungs- und Steuer­ vorgänge unterbindenden Haltezustand gebracht wird, daß diese zweite Überwachungszeitstufe durch eine auftretende Rückstell­ information bis zur erneuten Bildung einer Startinformation in die Ausgangslage zurückgestellt wird.

2. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Beendigung des Halte-Zustandes und die Aktivierung des normalen Betriebsablaufes für den Mikroprozessor (MP) nur durch eine vermittels eines manuellen Eingriffes (Taste RT) signali­ sierbare Information erfolgt.

3. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß der Zeitwert der ersten Überwachungszeitstufe (WD1) als ein ganzzahliges Vielfaches der Impulszeit eines oder eines von mehreren möglichen Grundzeittakten (t1 . . . tx) gebildet wird, daß vom Mikroprozessor (MP) je nach Betriebszustand des zu steuern­ den Systems sowohl der Grundzeittakt als auch die vorgesehenen ganzzahligen Vielfachen in Form eines in einer entsprechenden Tabelle abgespeicherten Multiplikationsfaktors jeweils ausge­ wählt werden.

4. Anordnung nach Anspruch 3, dadurch gekennzeichnet, daß der ausgewählte Grundtakt (t1 . . . tx) einer seine Taktimpulse zählenden Zählstufe (Z1), die durch die aus dem Programmablauf generierte Rückstellimpulse (aus dem Trigger-Register RG1) je­ weils zurückgestellt wird, zugeführt wird, daß die jeweilige Zählstellung einem Vergleicher (V) übermittelt wird, der diesen Wert mit dem Wert des ausgewählten und in einem Register (K) ab­ gelegten Multiplikationsfaktors vergleicht, daß bei einer Über­ einstimmung ein Reset-Impuls für den Reset-Eingang (R) des Mi­ kroprozessors (MP) erzeugt wird.

5. Anordnung nach Anspruch 3, dadurch gekennzeichnet, daß bei mehreren vorgegebenen Zeittakten (t1 . . . tx, ty) diese durch eine der Anordnung zugehörige Taktwandlereinheit (TW) aus einem einzigen zugeführten Grundzeittakt (tz) abgeleitet werden.

6. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß zumindest in den Fällen, in denen sich der programmierbare maximale Zeitwert des für die erste Zeitüberwachungsstufe (WD1) festgelegten Zeitbereiches wesentlich von dem für die zweite Zeitüberwachungsstufe (WD2) festgelegten konstanten Zeitwert un­ terscheidet, der der zweiten Überwachungszeitstufe (WD2) zuge­ führte Zeittakt (ty) eine wesentlich geringere Taktfrequenz als der der ersten Überwachungszeitstufe (WD1) zugeführte Zeittakt (t1 . . . tx) aufweist.

7. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß die jeweiligen für die einzelnen Überwachungszeitstufen vorgegebenen Zeitwerte zusätzlich durch das Anlegen eines Takts mit einer geänderten Taktfrequenz variabel vorgebbar sind.

8. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß neben den aus dem Programmablauf generierten Rückstellimpul­ sen zumindest der zweiten Überwachungszeitstufe (WD2) auch aus anderen Ereignissen (Tastenbetätigung der Taste RT, andere Über­ wachungseinheit US) erzeugte Rückstellimpulse zuführbar sind.

9. Anordnung nach den Ansprüchen 1 und 8, dadurch gekennzeichnet, daß die zu einem Reset für den Mikroprozessor (MP) führenden Ereignisse in einem Statusregister (RG3) abgespeichert werden.