DE4111072C3 - Verfahren zum Feststellen einer Störung in einem Mikrocomputersystem - Google Patents

Description

Die Erfindung betrifft ein Verfahren zum Feststellen einer Störung in einem Mikrocomputersystem, und betrifft insbesondere ein Verfahren zum Feststellen von Störungen, welche einen anormalen Betriebszustand, wie einen Systemabsturz, einen nicht programmierten Systemstop u. ä. während einer Multitasking-Verarbeitung in einem Mikrocomputersystem be­ wirken.

Aus der Zeitschrift "IBM Technical Disclosure Bulletin" Vol. 30, Nr. 11, April 1988, Seiten 272 bis 276 ist es bekannt, zur Überwachung der normalen Ausführung von Aufgaben einen Überwachungszeitgeber zu verwenden.

Überwachungszeitgeber werden ferner auch bei Mikrocomputersystemen verwendet, um eine Störung oder eine anormale Programmausführung festzustellen, die wahrscheinlich einen Systemabsturz, einen nichtprogrammierten Systemstop oder etwas ähnliches bewirken. In Abhängigkeit von den Umständen ist es manchmal jedoch schwierig mit Hilfe eines Überwachungszeitgebers zwischen einer normalen und einer anormalen Programmausführung zu unterscheiden, da bei der herkömmlichen Methode, bei welcher der Überwachungszeitgeber verwendet wird, eine anormale Programmausführung festgestellt wird, indem die Erzeugung eines Rücksetzimpulses nur auf der Basis davon gesteuert wird, ob ein bestimmter Schritt in dem Programm durchgeführt wurde oder nicht. Folglich erfordert die herkömmliche Methode eine zusätzliche komplizierte Hardware u. ä., um genauer zwischen einer normalen und einer anormalen Programmausführung zu unterscheiden.

Zur Überwindung dieses Nachteils ist in der JP 58-1 54 052 A ein Feststellverfahren vorgeschlagen, bei welchem eine vorherbestimmte arithmetische Berechnung jedesmal dann durchgeführt wird, wenn ein Verarbeitungsschritt, welcher unter einer Anzahl Verarbeitungsschritte, welche ein gewünschtes Programm bilden, entsprechend ausgewählt worden ist, durchgeführt wird, ein impulsförmiges Signal jedesmal dann erzeugt wird, wenn die arithmetische Berechnung ein vorgeschriebenes Ergebnis erzeugt, und dann auf der Basis des Zustands des impulsförmigen Signals unterschieden wird, ob ein anormaler Zustand bei der Ausführung des Programms aufgetreten ist oder nicht.

Aus der DE 29 39 194 A1 ist ein Verfahren und eine Schal­ tungsanordnung zum Überwachen des ordnungsgemäßen Ablaufs eines Programms bekannt, welches aus einer Reihe von gegebe­ nenfalls mehrfach auszuführenden Unterprogrammen besteht, wobei ein Fehlermeldesignal bei Feststellung eines fehler­ haften Programmablaufs in einer im Echtzeitbetrieb arbeiten­ den Datenverarbeitungsanlage erzeugt wird, wobei in die Folge auszuführender Programmbefehle Prüfbefehle eingefügt werden, deren Auftreten überwacht wird.

Das wesentliche dieses bekannten Verfahrens besteht darin, daß lediglich die Übergangsstellen von einem Unterprogramm zu einem anderen Unterprogramm der im Zuge der jeweiligen Programmabwicklung auszuführenden Unterprogramme jeweils durch ein eine Parameterangabe über die Ebene des zugehöri­ gen Unterprogramms in bezug auf sämtliche gegebenenfalls abzuwickelnden Unterprogramme und eine Angabe über die Häu­ figkeit, in der das jeweilige Unterprogramm im Zuge des Programmablaufs benutzt wird, aufweisendes Prüfbefehlswort gekennzeichnet werden, und daß die im Zuge der jeweiligen Programmabwicklung tatsächlich ermittelten Prüfbefehle als Ist-Befehle für einen Vergleich mit einer vorgegebenen Soll- Befehlsfolge bereitgestellt werden.

Bei diesem bekannten Verfahren kann nach der jeweiligen Ausführung eines Ausführungsprogramms nicht mit Hilfe einer Abfrage unterschieden werden, ob die Verarbeitung des Auf­ gabenprogramms normal ausgeführt wurde oder nicht. Es wird lediglich nach jeder Ausführung eines Unterprogramms eine Zählerstandsänderung ausgeführt.

Aus der DE 33 22 074 A1 ist eine Notlaufeinrichtung für mikrocomputer-gesteuerte Systeme bekannt, um eine Leerlauf- Füllungsregelung in einem Kraftfahrzeug durchzuführen. Der dabei verwendete Mikrocomputer weist Eingänge für Betriebs­ parametern entsprechende Signal auf, ferner einen Signal­ ausgang zur Abgabe von im Mikrocomputer erzeugten Steuersi­ gnalen, sowie einen weiteren Ausgang zur Abgabe von regel­ mäßigen Impulsen bei normalem Betrieb des Systems, wobei die Impulse in einer Schaltung auf regelmäßiges Auftreten über­ prüft werden. Es ist ferner ein Funktionsgenerator vorgese­ hen, der ebenfalls Steuersignale abgibt und eine Logik in Abhängigkeit von der Schaltung dem System die Steuersignale des Mikrocomputers oder die Steuersignale des Funktionsgene­ rators zuleitet. Das wesentliche dieser bekannten Notlauf­ einrichtung besteht darin, daß die regelmäßigen Impulse als Ausfall-Sicherheitsimpulse verwendet werden, und zwar zur ständigen Überwachung der Steuerung, wobei die Schaltung einen Reset-Eingang des Mikrocomputers im Störungsfall mit einem Ausfallsicherheits-Signal ansteuert und wobei die Steuersignale des als Notlauf-Funktionsgenerators verwende­ ten Funktionsgenerators als Notlaufsignale dem System zu­ geführt werden.

Aus der DE 30 08 036 A1 ist eine Überwachungseinrichtung für programmgesteuerte Vorrichtungen bekannt, bei der an ver­ schiedenen Stellen des Programms, insbesondere nach Teilpro­ grammen, Kontroll-Bits bzw. Kontroll-Codeworte abgegeben und in Registern eines Rechners eingespeichert werden. Am Ende des Gesamtprogramms werden die Registerinhalte mit den In­ halten von Norm-Registern oder Festwerten verglichen und bei Nicht-Übereinstimmung ein Neustart des Prozesses ausgelöst. Weiter kann bei dieser bekannten Überwachungseinrichtung zur Erkennung von einem falschen bzw. richtigen Programmdurch­ lauf ein Kontrollimpuls erzeugt werden.

In neuen Mikrocomputer-Systemen ist häufig ein sogenanntes Multitasking angewendet, bei welchem ein Auftrag in eine Anzahl Aufgaben aufgeteilt wird, und Programme für die jeweiligen Aufgaben zu verschiedenen Zeiten aktiviert werden und zu verschiedenen Zeitabschnitten ablaufen. Da jedoch in einem Multitasking-System die Programme für die jeweiligen Aufgaben durch ein Unterbrechungs-Verarbeitungsprogramm aktiviert werden, können anormale Ausführungen, welche in einem oder mehreren der Programme für die Aufgaben auftreten, nicht festgestellt werden, wenn nicht die anormale Durchführung oder Störung in dem Programm unter der Überwachung eines Überwachungszeitgebers vorkommt.

Es soll daher ein Verfahren zum Feststellen einer Störung in einem Mikrocomputer-System geschaffen werden, bei welchem eine Störungsfeststellung in dem Mikrocomputer-System sicher gewährleistet werden kann, welches ein Programm durch Multitasking ausführt.

Gemäß der Erfindung ist dies bei einem Verfahren zum Feststellen einer Störung in einem Mikrocomputer-System durch die Merkmale im kennzeichnenden Teil des Anspruchs 1 erreicht. Vorteilhafte Weiterbildungen und Ausgestaltungen der Erfindung ergeben sich aus den Unteransprüchen.

Entsprechend dem erfindungsgemäßen Verfahren wird in dem Fall, daß ein gegebener Auftrag in eine Anzahl Aufgaben aufgeteilt wird, und die Programme für diese Aufgaben, welche nachstehend als "Aufgaben-Programme" bezeichnet sind, in der Art eines Multitasking durchgeführt werden, eine Prüfung durchgeführt, um zu bestimmen, ob jedes der Aufgaben-Programme normal durchzuführen ist oder nicht. Datensetzeinrichtungen sind beispielsweise in allen entsprechenden Aufgaben-Programmen außer einem vorgeschriebenen Aufgaben-Programm vorgesehen, und der Inhalt jeder Datensetzeinrichtung wird entsprechend der Ausführungsbedingung des zugeordneten Aufgaben-Programms geändert. Zu dem Zeitpunkt, an welchem das vorgeschriebene Aufgaben-Programm ausgeführt wird, werden die Inhalte aller Datensetzeinrichtungen geprüft, um zu bestimmen, ob alle Aufgaben-Programme normal durchzuführen sind oder nicht.

Jedes Aufgaben-Programm ist selbst imstande zu unterscheiden, ob es normal durchgeführt worden ist oder nicht, und der Inhalt der zugeordneten Datensetzeinrichtung wird in Abhängigkeit von dem Ergebnis dieser Unterscheidungsoperation geändert. Die Inhalte aller Datensetzeinrichtungen werden zum Zeitpunkt der Ausführung des vorgeschriebenen Aufgaben-Programms geprüft.

Die Spezifikationen der einzelnen Aufgaben-Programme, wie ihre Aktivierungshäufigkeit, ihr Aktivierungstiming u. ä., sind im voraus bekannt. Daher ist es durch Prüfen der Änderungen in den Inhalten der Datensetzeinrichtungen auf der Basis der bekannten Spezifikationen möglich, zu unterscheiden, ob die jeweiligen Aufgaben-Programme normal ausgeführt wurden oder nicht. Folglich wird ein doppeltes Prüfen durchgeführt, um die anormale Ausführung der Aufgaben-Programme mit hoher Zuverlässigkeit festzustellen.

Nachfolgend wird die Erfindung anhand von bevorzugten Ausführungsformen unter Bezugnahme auf die anliegenden Zeichnungen im einzelnen erläutert. Es zeigt

Fig. 1 eine schematische Darstellung einer Ausfüh­ rungsform eines Verbrennungsmotor-Steuersy­ stems für Fahrzeuge, in welchem die Ausführung eines Steuerprogramms entsprechend dem erfin­ dungsgemäßen Verfahren geprüft wird, und

Fig. 2 ein Flußdiagramm eines Steuerprogramms, wel­ ches in einem Mikrocomputer ausgeführt wird, welcher in dem Steuersystem der Fig. 1 vorge­ sehen ist.

In Fig. 1 ist ein Verbrennungsmotor-Steuersystem 1 zum elektro­ nischen Steuern des Betriebs eines Verbrennungsmotors 3 dar­ gestellt, welchem Kraftstoff von einer Einspritzpumpe 2 einge­ spritzt wird. Das System 1 hat einen Mikrocomputer 4. Ein Be­ schleunigungsfühler 5 ist mit einem Gaspedal 6 verbunden, um ein Beschleunigungssignal A zu erzeugen, welches das Betäti­ gen (Drücken) des Gaspedals 6 anzeigt, und es ist ein Kühlmittel­ temperaturfühler 7 vorgesehen, welcher ein Kühlmitteltempera­ tur-Signal W erzeugt, welches die Temperatur des Motorkühl­ mittels anzeigt. Ein Kraftstofftemperatur-Fühler 8 erzeugt ein Kraftstofftemperatur-Signal F, welches die Temperatur des Kraftstoffs in einem (nicht dargestellten) Kraftstoffbehälter anzeigt, und ein Drehzahlfühler 9 erzeugt ein Drehzahlsignal N, welches die Drehzahl des Verbrennungsmotors 3 anzeigt.

Die Signale A, W, F und N werden zum Umwandeln in eine digitale Form an einen Analog-Digital-Umsetzer (A/D-) 10 abgegeben, und die entsprechenden digitalen Daten DA, DW, DF und DN, die von dem A/D-Umsetzer 10 erhalten worden sind, werden in den Mikrocomputer 4 als Daten eingegeben, welche die Betriebspa­ rameter des Verbrennungsmotors 3 darstellen.

Der Mikrocomputer 4 herkömmlicher Ausführung weist eine Zen­ traleinheit (CPU) 11, einen Festwertspeicher (ROM) 12, einen Randomspeicher (RAM) 13 und eine Ein-/Ausgabeeinheit (E/A) 14 auf, welche durch einen Bus 15 miteinander verbunden sind. Ein Steuerprogramm 20 (das nachstehend anhand von Fig. 2 er­ läutert wird) zum Steuern des Betriebs des Verbrennungsmotors 3 ist in dem ROM 12 gespeichert, und das Steuerprogramm wird in dem Mikrocomputer 4 in der Art von Multitasking durchge­ führt.

Als Ergebnis der Durchführung des Steuerprogramms wird ein Steuersignal CS von dem Mikrocomputer 4 erzeugt und an ein Stellglied 18 zum Betätigen eines Kraftstoffeinstellteils 2a der Einspritzpumpe 2 angelegt, wodurch die Menge an Kraft­ stoff, welche von der Einspritzpumpe 2 eingespritzt worden ist, gesteuert wird.

Wie in dem Flußdiagramm der Fig. 2 dargestellt, wird das Steu­ erprogramm 20 von n Aufgaben- bzw. Task-Programmen P₁ bis P_n für Aufgaben 1 bis n gebildet. Die Aufgaben-Programme P₁ bis P_n werden jeweils wiederholt mit einem eigenen Aktivierungs­ zyklus und einer Aktivierungs-Zeitsteuerung ausgeführt, wo­ durch der Betrieb des Verbrennungsmotors 3 entsprechend dem Steuerprogramm 20 gesteuert wird, das in der Art von Multi­ tasking ausgeführt wird.

Nach der Aktivierung des Aufgaben-Programms P₁ wird die Ver­ arbeitung der Aufgabe 1 zuerst bei einem Schritt 21 durchge­ führt, und es wird auf einen Schritt 22 übergegangen, bei welchem eine Unterscheidung getroffen wird, ob das Programm zum Durchführen der Aufgabe 1 beim Schritt 21 normal durchge­ führt wurde oder nicht. Die herkömmliche Prüfmethode kann für die beim Schritt 22 durchgeführte Unterscheidung angewendet werden, und die Entscheidung beim Schritt 22 ist ja, wenn die Verarbeitung der Aufgabe 1 normal durchgeführt wurde. Folg­ lich geht in diesem Fall die Operation auf den Schritt 23 über, bei welchem der Zählerstand eines Zählers C1 um eins erhöht wird, und die Ausführung des Aufgaben-Programms P₁ ist beendet. In dieser Ausführungsform wirkt der Zähler C1 als eine Datensetzeinrichtung, deren Inhalt entsprechend der Aus­ führung des Aufgaben-Programms P₁ geändert wird. Andererseits wird die Ausführung des Aufgaben-Programms P₁ ohne die Aus­ führung des Schritts 23 beendet, wenn die Entscheidung beim Schritt 22 nein ist.

Folglich wird eine Inkrementierung oder Erhöhung des Zähler­ stands des Zählers C1 in demselben Zeitintervall wie demjeni­ gen zwischen aufeinanderfolgenden Aktivierungen des Aufgaben- Programms P₁ durchgeführt.

Die Disposition oder Anordnung des Aufgaben-Programms P₂ für die Aufgabe 2 ist ähnlich derjenigen des Aufgaben-Programms P₁ für die Aufgabe 1. Insbesondere wird, nachdem der Prozeß für die Aufgabe 2 beim Schritt 31 durchgeführt ist, beim Schritt 32 unterschieden, ob die Ausführung des Aufgaben-Pro­ gramms P₂ normal durchgeführt wurde oder nicht. Es wird dann auf einen Schritt 33 übergegangen, bei welchem der Zähler­ stand eines Zählers C2, welcher als eine Datensetzeinrichtung wirkt, deren Inhalt entsprechend der Ausführungsbedingung des Aufgaben-Programms P₂ geändert wird, nur um eins erhöht wird, wenn das Programm zum Verarbeiten der Aufgabe 2 normal durch­ geführt wurde.

Folglich wird in diesem Fall die Erhöhung des Zählers C2 in demselben Zeitintervall wie diejenige der Durchführung des Aufgaben-Programms P₂ ausgeführt.

Die Ausführungsbedingung der Aufgaben-Programme P₃, P₄ . . . P_n-1 für die Aufgaben 3, 4, ...., n-1 werden in ähnlicher Weise auf der Basis geprüft, ob die Zählerstände der Zähler C3 bis Cn-1 in denselben Zeitintervallen wie den Aktivierungs­ intervallen der jeweiligen Aufgaben-Programme P₃ bis P_n-1 in­ krementiert werden oder nicht.

Nunmehr wird das Aufgaben-Programm P_n für die Aufgabe n be­ schrieben. Nachdem das Programm für ein Verarbeiten der Auf­ gabe n beim Schritt 101 entsprechend der Aktivierung des Auf­ gaben-Programms P_n durchgeführt worden ist, geht die Opera­ tion bei einem Schritt 102 weiter, bei welchem eine Unter­ scheidung getroffen wird, ob das Programm zum Verarbeiten der Aufgabe n beim Schritt 101 normal durchgeführt wurde oder nicht. Die Entscheidung beim Schritt 102 wird nein, wenn bei dem Schritt 102 festgestellt wird, daß die Operation beim Schritt 101 nicht normal durchgeführt wurde, und die Ausfüh­ rung des Aufgaben-Programms n wird beendet.

Dagegen wird die Entscheidung beim Schritt 102 ja, wenn die Operation beim Schritt 101 normal durchgeführt wurde, und es wird auf einen Schritt 103 ₁ übergegangen, bei welchem der Zählerstand des Zählers C1 auf der Basis der Beziehung zwi­ schen dem Aktivierungsintervall des Aufgaben-Programms P₁ und demjenigen des Aufgaben-Programms P_n geprüft wird.

Insbesondere ist es beispielsweise durch eine einfache Be­ rechnung möglich, im voraus den Wert K1 des Zählers C1 zu kennen, welcher zum Zeitpunkt der Ausführung des Aufgaben- Programms P_n erhalten werden sollte, vorausgesetzt, daß das Aufgaben-Programm P₁ in dem vorgeschriebenen Aktivierungsin­ tervall wiederholt normal durchgeführt wurde. Folglich ist es durch Vergleich des aktuellen Zählerstands des Zählers C1 zu dieser Zeit mit dem Wert K1 möglich zu erkennen, ob das Auf­ gaben-Programm P₁ normal durchgeführt wurde oder nicht.

Beim Schritt 103 ₁ wird entschieden, daß das Aufgaben-Programm P₁ normal durchgeführt wurde, wenn der aktuelle Zählerstand des Zählers C1 gleich dem Wert K1 ist. In diesem Fall wird die Entscheidung beim Schritt 103 ₁ ja, und es wird auf einen Schritt 103 ₂ übergegangen, bei welchem unterschieden wird, ob der Zählerstand des Zählers C2 zu diesem Zeitpunkt gleich dem erwarteten Wert ist oder nicht, welcher auf der Basis der Ak­ tivierungsintervalle der Aufgaben-Programme P₂ und P_n in der­ selben Weise wie beim Schritt 103 ₁ bestimmt worden ist. Die Zählerstände der Zähler C3, C4 . . . Cn-1 der Aufgaben-Program­ me P₃, P₄, . . . P_n-1 werden in ähnlicher Weise bei den Schritten 103 ₃ bis 103 _n-1 geprüft.

Wie aus Fig. 2 zu ersehen ist, wird ein Schritt 104 durchge­ führt, und ein Überwachungszeitgeber-Impuls WP wird nur er­ zeugt, wenn festgestellt wird, daß alle Zählerstände, welche in den Aufgaben-Programmen P₁ bis P_n-1 erhalten worden sind, zum Zeitpunkt einer Durchführung des Aufgaben-Programms P_n die richtigen Werte sind. Dagegen wird der Schritt 104 nicht durchgeführt, selbst wenn nur ein Zählerstand unter den Zäh­ lerständen der Zähler C1 bis Cn-1 nicht gleich dem entspre­ chenden vorausgesagten Wert ist. Dementsprechend wird dann der Überwachungszeitgeber-Impuls WP in diesem Fall nicht erzeugt.

Wie in Fig. 1 dargestellt, wird der Überwachungszeitgeber-Im­ puls WP als ein Rücksetzimpuls an den Überwachungszeitgeber 17 bekannter Ausführung in dem Mikrocomputer 4 angelegt. Der Überwachungszeitgeber 17 erhält auch ein Taktimpulssignal CL vorherbestimmter Frequenz von einem Taktimpulsgenerator 16. Der Zählerstand des Überwachungszeitgebers 17 wird jedesmal dann inkrementiert, wenn ein Impuls des Taktimpulssignals CL angelegt wird, und wird entsprechend dem Anlegen des Überwa­ chungs-Impulses WP rückgesetzt. Folglich erscheint ein Über­ laufimpuls als ein System-Rücksetzimpuls RP an der Ausgangs­ leitung 17a des Überwachungszeitgebers 17 in dem Fall, daß ein Überwachungs-Impuls WP nicht an den Überwachungszeitgeber 17 abgegeben wird, bevor der Zählerstand des Überwachungs­ zeitgebers 17 seinen Überlaufzustand erreicht hat.

Da der Überwachungszeitgeber 17 so ausgelegt ist, daß der Zeitabschnitt von dem Zeitpunkt an, an welchem der Überwa­ chungszeitgeber 17 zurückgesetzt wird, bis zu dem Zeitpunkt, bei welchem dessen Zählerstand seinen Überlaufzustand er­ reicht, etwas länger ist als das Zeitintervall zwischen auf­ einanderfolgenden Erzeugungen des Überwachungs-Impulses WP in dem Fall, daß das Steuerprogramm normal ausgeführt wird, wird der System-Rücksetzimpuls RP nicht erzeugt, solange das Steu­ erprogramm normal ausgeführt wird. Jedoch wird der System- Rücksetzimpuls RP beispielsweise wegen einer anormalen Ausfüh­ rung des Steuerprogramms erzeugt, wenn das Zeitintervall zwi­ schen aufeinanderfolgenden Überwachungs-Impulsen WP länger als der Zeitabschnitt von dem Rücksetzzeitpunkt bis zu dem Zeitpunkt des Überlaufs des Überwachungszeitgebers 17 ist. Der System-Rücksetzimpuls RP wird an die Zentraleinheit (CPU) 11 angelegt, um diese zurückzusetzen.

Bei der vorstehend beschriebenen Anordnung entscheidet jedes der Aufgaben-Programme P₁ bis P_n zum Verarbeiten der Aufgaben 1 bis n selbst, ob es normal durchgeführt worden ist oder nicht, und in Abhängigkeit von dem Ergebnis der Entscheidung inkrementiert es einen der zugeordneten Zähler C1 bis Cn-1 oder inkrementiert ihn nicht. Dann werden die Zählerstände der Zähler C1 bis Cn-1 geprüft, wenn die Programme zum Verar­ beiten der Aufgabe n in dem Aufgaben-Programm P_n normal durchgeführt wird, und basierend auf den jeweiligen Zeitakti­ vierungsintervallen der Aufgaben-Programme wird dann unter­ schieden, ob jedes der Aufgaben-Programme richtig durchge­ führt wurde oder nicht.

Dementsprechend wird der Überwachungszeitgeber-Impuls WP nur erzeugt, wenn jede der Aufgaben 1 bis n normal durchgeführt wurde, und jedes der Aufgaben-Programme P₁ bis P_n wurde wie­ derholt zu dem richtigen Zeitintervall aktiviert. Dagegen wird der Überwachungs-Impuls WP nicht erzeugt, und die Zen­ traleinheit (CPU) 11 wird zurückgesetzt, selbst wenn eines der Programme zum Verarbeiten der Aufgaben 1 bis n nicht nor­ mal durchgeführt wird, und/oder selbst wenn eine Ausführung für die Aufgaben-Programme P₁ bis P_n nicht zu dem richtigen Zeitintervall aktiviert wird.

Hilfsweise können verschiedene andere herkömmliche Methoden angewendet werden, um eine richtige Ausführung der Programme zum Verarbeiten der Aufgaben 1 bis n zu prüfen. Beispielswei­ se kann eine Feststellmethode angewendet werden, bei welcher die zu überprüfende Aufgabe in eine Anzahl Schritte aufge­ teilt wird, eine vorherbestimmte arithmetische Berechnung bei der Beendigung jedes Schritts durchgeführt wird, und, nachdem alle Schritte durchgeführt worden sind, eine Unter- bzw. Ent­ scheidung getroffen wird, ob die Ergebnisse der arithmeti­ schen Berechnungen gleich den Werten sind oder nicht, welche erwartet würden, wenn die Aufgabe normal durchgeführt wird.

Entsprechend der vorerwähnten Anordnung wird zusätzlich zu dem Prüfen, ob jede der Aufgaben 1 bis n richtig durchgeführt wurde oder nicht, ebenfalls auf der Basis der Zeitintervalle für die wiederholte Ausführung der Aufgaben-Programme geprüft, ob die Aufgaben-Programme P₁ bis P_n richtig durchgeführt wur­ den oder nicht. Mittels dieses Doppelprüfsystems kann eine Feststellung, ob das Steuerprogramm normal ausgeführt wird oder nicht, mit hoher Zuverlässigkeit durchgeführt werden.

Claims (4)

1. Verfahren zum Feststellen einer Störung in einem Mikro­ computersystem, in welchem ein gegebener Auftrag in eine An­ zahl Aufgaben aufgeteilt wird, und eine Anzahl Aufgaben-Pro­ gramme für die Aufgaben in der Art Multitasking ausgeführt werden, dadurch gekennzeichnet, daß
unterschieden wird, ob jedes Verarbeiten der Aufgaben nach dessen jeweiliger Ausführung normal ausgeführt wurde oder nicht;
der Inhalt von als Zähler ausgeführten Datensetzeinrich­ tungen, welche für alle Aufgaben-Programme, außer für ein vorgeschriebenes Aufgaben-Programm, vorgesehen sind, entspre­ chend dem Ergebnis des Unterscheidungsschrittes geändert wird, derart, daß der Zählerstand durch einen vorgeschriebe­ nen Wert zu einem Zeitpunkt geändert wird, an welchem be­ stimmt und entschieden wird, daß der Prozeß der entsprechen­ den Aufgabe normal ist, und
der Zählerstand jedes Zählers während der Ausführung des vorgeschriebenen Aufgaben-Programms auf der Basis eines Akti­ vierungsintervalls für eine wiederholte Ausführung der Aufga­ ben-Programme geprüft wird, wobei bestimmt und entschieden wird, ob die Ausführung aller Aufgaben-Programme normal war oder nicht.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß eine vorherbestimmte arithmetische Berechnung zumindest zu einer Zeit bei einem vorherbestimmten Schritt im Verlauf der Ausführung des Aufgaben-Programms durchgeführt wird, und das Ergebnis der arithmetischen Berechnung mit einem Standardwert verglichen wird, um zu unterscheiden, ob die Aufgabe normal verarbeitet wurde oder nicht.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß ein Überwachungszeitgeber-Impuls entsprechend dem Ergebnis des Prüfschrittes erzeugt wird, wenn bestätigt wird, daß alle Aufgaben-Programme normal durchgeführt wurden.

4. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß das vorgeschriebene Aufgaben-Programm einen Schritt aufweist, einen Überwachungszeitgeber-Impuls entsprechend dem Ergebnis des Prüfschrittes zu erzeugen, wenn bestätigt wird, daß alle Aufgaben-Programme normal durchgeführt wurden.