DE4039355C2

DE4039355C2 - Vorrichtung zur Funktionsüberprüfung einer Watchdog-Schaltung

Info

Publication number: DE4039355C2
Application number: DE4039355A
Authority: DE
Inventors: Werner Dipl Phys Nitschke; Margit Dipl Ing Angerbauer; Michael Dipl Ing Hofsaess; Harald Dipl Ing Schweren
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1990-12-10
Filing date: 1990-12-10
Publication date: 1998-07-30
Anticipated expiration: 2010-12-11
Also published as: US5522040A; JPH04268646A; DE4039355A1; JP3280684B2

Description

Die Erfindung betrifft eine Vorrichtung zur Funktionsüberprüfung einer Watchdog-Schaltung. Bei Verwen dung einer Watchdog-Schaltung zur Überwachung einer Pulssequenz ei nes Mikrocomputers geht man davon aus, daß der Mikrocomputer während des Programmlaufs an einem Programmschritt 'hängenbleibt' und die Watchdog-Schaltung nach Ablauf einer bestimmten Zeit einen Resetbe fehl an den Mikrocomputer abgibt. Dabei wird vorausgesetzt, daß die Watchdog-Schaltung stets fehlerfrei arbeitet.

Aus der DE-OS 37 90 886 ist schon eine Watchdog-Schaltung bekannt, mit deren Hilfe im wesentlichen rechnergesteuerte Stellglieder sowie der Ausgang des Mikrocomputers überprüft werden. Eine Überwachung der Watchdog-Schaltung selbst findet jedoch nicht statt.

Eine zuverlässige Überwachung der Watchdog-Schaltung in Verbindung mit dem Mikrocomputer ist insbesondere bei zuverlässigkeits- und sicherheitsrelevanten Systemen erforderlich. Ein Beispiel hierfür sind Zündschaltungen oder Sicherheitseinrichtungen in Kraftfahrzeu gen wie Antiblockiersysteme oder passive Rückhaltesysteme wie Airbag oder Sicherheitsgurte, die im Moment des Aufpralls in Funktion tre ten müssen. Da jedoch nicht nur diese Systeme, sondern auch die Watchdog-Schaltung selbst fehlerhaft sein kann, ist es erforderlich, deren Funktionssicherheit in bestimmten Zeitabständen zu überprüfen und im Fehlerfall eine Alarmmeldung auszugeben. Bei Ausfall der Überwachungsvorrichtung bzw. der Watchdog-Schaltung könnte ein Feh ler im Mikrocomputer oder im Stellglied nicht mehr erkannt werden, so daß es zu einer Fehlfunktion kommen kann, was insbesondere in einem sicherheitsrelevanten System kritisch sein kann.

Die DE 38 36 670 A1 beschreibt die Überwachung eines Watch- Dogs dadurch, daß der Mikrocomputer die Kontrollimpulse, die er an den Watch-Dog schickt, unterdrückt. Sendet der Watch- Dog innerhalb einer vorgegebenen Zeit kein Rücksetzsignal, so wird von einem Fehler des Watch-Dogs ausgegangen. Dadurch wird zwar eine qualitative, nicht jedoch eine quantitative Überprüfung des Watch-Dogs ermöglicht.

Es ist Aufgabe der Erfindung, die Überwachung einer Watch- Dog-Schaltung zu verbessern, wobei die einwandfreie Funktion der Watch-Dog-Schaltung sicher und ohne zusätzlichen Aufwand feststellbar ist.

Dies wird durch die Merkmale des Patentanspruchs 1 erreicht.

Die DE 35 21 081 C2 zeigt einen Mikrocomputer mit Watch-Dog, wobei Maßnahmen vorgesehen sind, diesen Watch-Dog zu überwa chen. Eine Überwachung anhand des vom Mikrocomputer ausge sendeten Impulssignals mit veränderlichem Parameter wird nicht beschrieben.

Die erfindungsgemäße Vorrichtung hat den Vorteil, daß bei einem Test zyklus anhand der vorgegebenen Impulsfolge die einwandfreie Funktion der Watchdog-Schaltung überprüfbar ist. Denn bei Über- oder Unter schreiten von vorgegebenen Grenzwerten für die Impulsfolge muß die Watchdog-Schaltung ein Fehlersignal abgeben. Bleibt dieses Signal aus, dann ist dieses ein Zeichen für eine fehlerhafte Funktion der Watchdog-Schaltung.

Durch die in den Unteransprüchen aufgeführten Maßnahmen sind vor teilhafte Weiterbildungen und Verbesserungen der im Hauptanspruch angegebenen Vorrichtung möglich. Besonders vorteilhaft ist, daß der Parameter der Impulsfolge schrittweise änderbar ist, da dadurch die Ansprechgrenze für die Watchdog-Schaltung exakt ermittelt werden kann.

Auch ist als Vorteil anzusehen, daß die Impulsfolge für den Test zyklus der Watchdog-Schaltung vor Beginn des eigentlichen Arbeits programms abgegeben wird, da dadurch bereits nach dem Einschalten des Mikrocomputers ein Funktionsausfall der Watchdog-Schaltung er kennbar wird.

Um sicherzustellen, daß die Watchdog-Schaltung bei einwandfreier Funktion nicht erneut geprüft wird, ist es vorteilhaft, nach einem Reset-Befehl für den Mikrocomputer ein entsprechendes Codewort in einen Speicher einzuschreiben, das einerseits die Funktionsbereit schaft der Watchdog-Schaltung dokumentiert und andererseits die be reits erfolgte Prüfung erkennen läßt.

Ein weiterer Vorteil ist auch darin zu sehen, daß nach erfolgter Prüfung das Codewort geändert wird. Dadurch ist insbesondere nach dem Einschalten des Mikrocomputers die Möglichkeit gegeben, die Watchdog-Prüfung durchzuführen, wenn das Codewort fehlt. Dagegen unterbleibt die Prüfung, wenn das Codewort vorhanden ist.

Weitere Vorteile der Erfindung sind der Beschreibung entnehmbar.

Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigen Fig. 1 ein Blockschaltbild eines Ausführungsbeispiels, die Fig. 2 ein Pulsdiagramm und die Fig. 3 ein Flußdiagramm.

In Fig. 1 ist ein Blockschaltbild mit einem Mikrocomputer 1 darge stellt, der neben den üblichen bekannten Bestandteilen eines Mikro computersystems wie Eingabe, Arbeitsspeicher und Recheneinheit einen Impulsgeber 11 enthält. Der Impulsgeber 11 entspricht dem bekannten Taktgenerator eines Mikrocomputers, der bei jedem Takt den Mikrocomputer 1 aktiviert. Der Impulsgeber 11 erzeugt beispielsweise positive Rechteckimpulse mit der Amplitude U und der Pulsdauer T_i (Fig. 2). Die Pausendauer zwischen zwei nachfolgenden Impulsen ist T_p. Durch ein im Mikrocomputer 1 gespeichertes Steuerprogramm ist der Impulsgeber 11 in der Lage, die Pausendauer T_p um eine Zeit dauer dt schrittweise zu verlängern, so daß der n-te-Impuls nach der Zeit nxdt folgt. Das bedeutet, daß die Pausendauer T_p von einem Impuls zum nächsten Impuls um eine gewisse Zeit nxdt vergrößert wird. Die Impulsfolge wird über den Ausgang 10 des Mikrocomputers 1 mittels der Leitung 3 auf den Eingang 11 einer Watchdog-Schaltung 4 gegeben. Der Ausgang 12 der Watchdog-Schaltung 4 ist über die Lei tung 5 mit dem Eingang 13 des Mikrocomputers 1 verbunden. Der Ein gang 13 ist als Reset-Eingang für den Mikrocomputer 1 ausgebildet. Desweiteren ist an dem Mikrocomputer 1 eine Anzeige 2 vorgesehen, die beispielsweise als LCD- oder LED-Anzeige ausgebildet ist.

In Fig. 2 ist eine Impulsfolge dargestellt, bei der die Impulse T_i in schrittweise zunehmendem Abstand folgen. Die Amplitude U sowie die Pulsdauer T_i sind konstant. Besonders einfach wirkt die Ansteuerung des Pulsgebers 11 dadurch, daß die kleinste Zeiteinheit für die Pausendauer T_p gleich der Zeit dt entspricht. Dadurch kann durch eine einfache Programmschleife die Pausendauer T_p gleich mäßig erhöht werden.

In weiterer Ausgestaltung der Erfindung ist es vorgesehen, anstelle der Verlängerung der Pausendauer die Pausendauer T_p konstant zu halten und die Pulsdauer T_i in derselben Art und Weise, wie zuvor für die Pausendauer beschrieben wurde, zu verlängern. Es ist jedoch auch vorgesehen, die Puls- bzw. Pausendauer nicht zu verlängern, sondern schrittweise zu verkürzen. In diesem Fall muß von einer maximalen Puls- bzw. Pausendauer ausgegangen werden, die schrittweise verkürzt wird bis zu einem Minimum. Eine schrittweise Veränderung in sowohl Verlängerung als auch Verkürzung des Zeitin tervalls ermöglicht darüberhinaus den Test einer sogenannten Fensterwatchdog-Anordnung, das heißt, einer Watchdogschaltung, die sowohl eine untere als auch eine obere Grenze überwacht.

Im folgenden wird die Wirkungsweise dieser Schaltungsanordnung be schrieben.

Die Vorrichtung wird zur Funktionsprüfung einer Watchdog-Schaltung verwendet. Bei einem Kaltstart des Mikrocomputers 1 d. h. nach Anle gen der Betriebsspannung und Laden des Arbeitsprogrammes wird der Mikrocomputer 1 zunächst durch einen Resetbefehl zurückgesetzt und zunächst der Impulsgeber 11 zur Aussendung einer nach Fig. 2 darge stellten Impulsfolge gestartet. Die Watchdog-Schaltung 4 empfängt über ihren Eingang 11 die ausgesandte Impulsfolge und mißt die Pau sendauer T_p. Liegt die Pausendauer T_p unterhalb einem bestimmten Grenzwert, dann bleibt der Ausgang 12 der Watchdog-Schaltung 4 nicht aktiviert. Überschreitet die Pausendauer T_p den vorgegebenen Grenzwert, was nach einigen Impulsen aufgrund der stetig zunehmenden Pausendauer erreicht ist, dann wird der Ausgang 12 aktiviert und sendet ein entsprechendes Signal an den Eingang 13 des Mikrocompu ters 1. Da der Eingang 13 als Reset-Eingang dient, bewirkt das Signal ein Zurücksetzen des Mikrocomputers. Desweiteren wird aus einer Speicherzelle des Speichers 6 ein Codewort ausgelesen, das die Information für die Überschreitung des vorgegebenen Grenzwertes an gibt. Da das Codewort in Verbindung mit der den Grenzwert über schreitenden Pausendauer T_p das einwandfreie Funktionsverhalten der Watchdog-Schaltung signalisiert, wird nun das Arbeitsprogramm des Mikrocomputers 1 gestartet. Im nächsten Schritt wird jedoch das Codewort in der Speicherzelle des Speichers 6 gelöscht und eine neu trale Information eingeschrieben. Dieses hat den Vorteil, daß bei einem erneuten Kaltstart des Mikrocomputers 1 zunächst die Testfunk tion für die Watchdog-Schaltung 4 gestartet werden muß.

Ein weiteres besonders einfaches Ausführungsbeispiel für den Funk tionstest der Watchdog-Schaltung 4 ist darin zu sehen, daß anstelle der Impulsfolge lediglich ein 0- bzw. 1-Impuls gesendet werden. Diese Impulse sind so lang, daß beim 0-Impuls die Watchdog-Schaltung 4 noch nicht anspricht, während sie bei 1-Impuls auf jeden Fall an spricht. Damit ist auch gewährleistet, daß die Watchdog-Schaltung richtig arbeitet. Die Auswertung des Watchdog-Signals erfolgt in der gleichen Weise, wie es zuvor beschrieben wurde.

Das Flußdiagramm der Fig. 3 zeigt ein weiteres Ausführungsbeispiel der Erfindung, mit dem die Funktion einer Watchdog-Schaltung mit einem Fensterkomparator geprüft werden kann. Dabei wird zur Prüfung des Fensters üblicherweise die Periodendauer einer Pulsfolge auf einen minimalen und maximalen Grenzwert geprüft. Der Einfachheit halber wird angenommen, daß die Pulslänge T_i konstant ist und die Pausendauer T_p schrittweise verlängert bzw. verkürzt wird.

Gemäß der Fig. 3 wird nach dem Einschalten des Mikrocomputers und dem Laden des Programmes ein Reset ausgelöst (Position 29). In Posi tion 30 wird aus dem Speicher 6 das Kennwort 1 ausgelesen und in Position 31 überprüft. Ist es 'neutral', dann wird in Position 32 ein Laufzähler auf eine beliebige Kennziffer, zum Beispiel 5, ge setzt. Der Zähler gibt an, wie lang die Impulsfolge zur Prüfung der Watchdog-Schaltung sein soll, d. h. wie viele Perioden mit der gleichen Periodendauer durchlaufen werden sollen. Diese Funktion dient in besonders vorteilhafter Weise einerseits dazu, daß eine Prüfredundanz erfolgt, die frei von Störsignalen oder Fehlmessungen ist. Andererseits wird durch die Wiederholung der Einzelimpulse sichergestellt, daß sich die physikalisch bedingten Schaltzeiten der Hardware-Komponenten auf das Meßergebnis nicht störend auswirken.

In einem Beispiel soll angenommen werden, daß die minimale Grenze für die Pausendauer T_min gleich 3 Millisekunden und die für die maximale Pausendauer T_max gleich 8 Millisekunden lang sei. Der Fenster-Watchdog soll nun jedesmal ein Reset-Signal an den Mikro computer 1 auf der Datenleitung 5 abgeben, wenn die minimale Grenze unterschritten oder die maximale Grenze überschritten ist. Um den Testlauf zu starten, wird daher in Position 33 eine mittlere Pausen dauer T_norm 6 ms angenommen. Dieser Wert wird als Codewort im Speicher 6 abgelegt. In Position 34 wird nun von der Watchdog-Über wachung überprüft, ob die Zeit T_norm zwischen den Grenzwerten 3 und 8 ms liegt. Ist die Bedingung erfüllt, wird der Zähler dekremen tiert, also auf vier reduziert (Position 35). In Position 36 wird geprüft, ob der Zähler den Wert null hat. Da im Zählerregister noch die vier steht, wird ein erneuter Impuls ausgesandt, mit der glei chen Impulslänge T_norm = 6 ms ausgesandt, und die Abfrage beginnt wieder in Position 34. Ist nach fünf Zyklen, d. h. sind nun insge samt fünf Impulse T_i bzw. Pausendauer T_p ausgesandt worden, dann hat in Position 36 der Zähler den Wert null. Im nächsten Schritt wird nun in Position 38 der Zähler wieder auf einen Startwert ge setzt, der beispielsweise wieder die 5 sein kann. In Position 37 wird nun die Pausendauer um eine Zeiteinheit dt erhöht, so daß nun die Pausendauer 7 ms beträgt und der neue Wert für die Pausendauer als Codewort 1 im Speicher 6 abgelegt. Anschließend wird wieder in Position 34 abgefragt, ob die vorgegebenen Grenzen über- bzw. unter schritten sind. Nun läuft die Schleife 34-35-36-34 ... wieder solange ab, bis der Zähler den Wert null hat. Danach wird wieder in die Schleife 38-37 gesprungen und die Pausendauer erneut um eine Einheit auf 8 ms erhöht. Anschließend erfolgt wieder die Abfrage über die Schleife 34-35-36-34 usw. Beim nächsten Durchlauf, wenn die Pausendauer auf 9 ms erhöht wurde, wird die Grenzüber schreitung in Position 34 erkannt und auf Position 29 zurückgesprungen.

In Position 29 wird ein Reset des Mikrocomputers ausgelöst. Wäre die Watchdog-Schaltung nicht in Ordnung, dann würde der Resetbefehl nicht ausgelöst werden und der Mikrocomputer nach einer gewissen Zeit abgeschaltet werden bzw. ein Fehlersignal ausgegeben.

Nach dem Rücksprung in Position 29 wird nun in Position 30 das zuvor eingeschriebene Kennwort 1 ausgelesen und damit in Position 31 er kannt, daß das Kennwort nicht 'neutral' ist. In diesem Fall wird das Kennwort 1 auf der Anzeige 51 dargestellt, wodurch man den Wert für die maximale Pausendauer ablesen kann. Danach wird in der zweiten Spalte in Position 39 das Kennwort 2 ausgelesen und in Position 40 überprüft. Das Kennwort 2 entspricht dem unteren Grenzwert T_min. Der weitere Prüfablauf erfolgt analog, wie zuvor beschrieben. In Position 41 wird wieder der Zykluszähler auf einen beliebigen Wert, beispielsweise 5 gesetzt und in Position 42 wird eine neue Startzeit T_norm, beispielweise wieder 5 ms, eingegeben und als Codewort 2 im Speicher 6 abgelegt. Die Eingaben für die Startzeiten sind bereits bei der Erstellung der Watchdog-Überwachung festgelegt.

In Position 43 erfolgt nun durch die Watchdog-Überwachung die Abfra ge nach Unterschreitung der minimalen Pausendauer T_min.In Posi tion 44 wird wieder der Zähler auf eine Position zurückgesetzt und in Position 45 der Zählerstand auf den Wert null abgefragt. Es er folgt eine erneute Puls- bzw. Pausenausgabe mit gleicher Länge und ein Rücksprung auf Position 43. Die Schleife 43-44-45 wiederholt sich so oft, bis der Zähler auf null gesetzt ist. Danach erfolgt ein Sprung auf Position 47, in der der Zähler auf einen neuen Startwert gesetzt wird. In Position 46 wird nun die Pausendauer um eine Zeit einheit reduziert, als Codewort 2 im Speicher 6 abgelegt, und in Position 43 erneut auf den Grenzwert abgefragt. Anschließend wird die Schleife 43-44-45-43 wieder so oft durchlaufen, bis der Zähler den Wert null hat.

Nach dem Start des Mikrocomputers kann dieser nun beide Codeworte 1 und 2 auslesen. Er erkennt, daß beide Codeworte 1, 2 nicht 'neutral' sind. Nach der Darstellung des Codeworts 2 auf der Anzeige 52 werden die beiden Speicherzellen (Position 50) wieder auf "neutral" ge setzt, um den Test wieder zu initialisieren. Er springt dann über die Position 31, 39 und 40 in die Startposition seines regulären Arbeitsprogramms (Position 49) und kann dieses Programm abarbeiten. Die Anzeigen 51 und 52 können auch als einzige Anzeige ausgebildet sein.

Für den Fall eines flüchtigen Speichers oder das Löschen des nicht flüchtigen Speichers innerhalb des Arbeitsprogramms von außen (zum Beispiel über Diagnose) kann Schritt 50 so entfallen, wenn man möch te, daß erst beim Ausschalten der Watchdog-Schaltung bzw. des Mikro computers bzw. der Spannungsversorgung des Speichers die Codeworte gelöscht werden, damit beim nächsten Kaltstart des Mikrocomputers ein erneuter Watchdog-Test erfolgen kann. Dann liest der Mikrocompu ter im Warmstart-Fall die nicht neutralen Codeworte 1 und 2 aus und beginnt sofort mit dem Arbeitsprogramm.

Claims

1. Vorrichtung zur Funktionsüberprüfung einer Watch-Dog- Schaltung (4), mit einem Mikrocomputer (1), dessen Impuls ausgang (10) mit einem Eingang (11) der Watch-Dog-Schaltung (4) und dessen Steuereingang (13) mit einem Ausgang (12) der Watch-Dog-Schaltung (4) verbunden ist, wobei

1. - der Mikrocomputer (1) einen Impulsgeber (11) aufweist, welcher eine Impulsfolge an die Watch-Dog-Schaltung (4) ab gibt,
2. - diese Impulsfolge eine Pulsweite (TI), eine Pulspausenzeit (TP) und eine Amplitude aufweist, wobei wenigstens einer dieser Parameter veränderlich ist,
3. - die Watch-Dog-Schaltung (4) Vergleichsmittel enthält, wel che den wenigstens einen veränderlichen Parameter der Im pulsfolge mit wenigstens einem vorgegebenen Grenzwert ver gleichen und bei dessen Über- bzw. Unterschreiten ein Rück setzsignal an den Mikrocomputer erzeugen,
4. - der Mikrocomputer (1) in einem Funktionsüberprüfungszyklus zur Überprüfung der Funktionsfähigkeit der Watch-Dog- Schaltung (4) eine Impulsfolge an die Watch-Dog-Schaltung (4) abgibt, deren veränderlicher Parameter auf einen Wert verändert wird, der über bzw. unter dem vorgegebenen Grenz wert liegt, und
5. - der Mikrocomputer (1) ein korrektes Arbeiten der Watch-Dog- Schaltung (4) erkennt, wenn er während des Funktionsüberprü fungszyklus ein Rücksetzsignal von der Watch-Dog-Schaltung empfängt.

2. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der Parameter schrittweise verändert wird.

3. Vorrichtung nach einem der vorhergehenden Ansprüche, da durch gekennzeichnet, daß die Impulsfolge abgegeben wird, bevor das Arbeitsprogramm des Mikrocomputers (1) startet.

4. Vorrichtung nach einem der vorhergehenden Ansprüche, da durch gekennzeichnet, daß nach einem Rücksetzsignal ein Code-Wort in einen Speicher eingeschrieben wird, welches die Funktionsbereitschaft der Watch-Dog-Schaltung dokumentiert und die erfolgte Prüfung erkennen läßt, wobei der Mikrocom puter bei fehlendem Code-Wort den Funktionsüberprüfungszyklus für die Watch-Dog-Schaltung startet.

5. Vorrichtung nach Anspruch 4, dadurch gekennzeichnet, daß das Code-Wort geändert wird, wenn die Prüfung der Watch-Dog- Schaltung positiv verläuft.