DE4330940A1 - Verfahren zum Überwachen einer programmgesteuerten Schaltung - Google Patents

Description

Die Erfindung betrifft ein Verfahren zum Überwachen einer programmgesteuerten Schaltung, die bei störungsfreiem Be­ trieb programmgemäß ein Programmkontrollsignal abgibt, - bei dem das Programmkontrollsignal dem Eingang einer Überwachungseinheit zugeführt wird, die bei nicht ordnungs­ gemäßem Programmkontrollsignal ein auf die Schaltung einwirkendes Signal abgibt.

Aus der DE-A1-32 40 704 ist ein derartiges Verfahren zum Überwachen einer programmgesteuerten Schaltung (elektronischer Rechenbaustein) bekannt. Zur Funktionsüber­ wachung gibt die programmgesteuerte Schaltung nach dem Einschalten der Versorgungsspannung und nach Erreichen eines definierten Betriebszustandes ein Programmkontroll­ signal ab, das aus diskreten, in einem vorgegebenen Rhythmus und in bestimmten Zeitfenstern auftretenden Einzelimpulsen besteht. Bei gestörter Funktion der Schal­ tung tritt ein gestörtes, nicht ordnungsgemäßes Programm­ kontrollsignal auf, bei dem die Einzelimpulse z. B. in un­ korrekten zeitlichen Abständen auftreten und/oder gänzlich unterbleiben. Das gestörte Programmkontrollsignal wird von einer Überwachungseinheit (Watch-Dog) erkannt, die ein auf die Schaltung zurückwirkendes Signal erzeugt. Das Signal kann einen Reset- oder Interrupt-Eingang der programmge­ steuerten Schaltung beaufschlagen und so als Reset-Signal wirken, das den momentanen Programmablauf stoppt und erneuten Programmstart vom Programmbeginn aus bewirkt.

Die Überwachungseinheit (Watch-Dog) kann nur beim Ein­ schalten und während gezielt vorzunehmender Schaltungstests überprüft werden. Eine fehlerhafte Funktion der Überwachungseinheit während des Betriebes der programmge­ steuerten Schaltung (Programmlauf) kann nicht erkannt werden. Es besteht daher ein Restrisiko, daß im Störfall (z. B. durch Ausfall der Versorgungsspannung oder bei endlosen Programmschleifen) die programmgesteuerte Schaltung nicht an den Programmbeginn zurückgesetzt wird.

Die Aufgabe der Erfindung besteht daher in der Schaffung eines Verfahrens, bei dem ohne Beeinträchtigung der Funk­ tionsüberwachung der programmgesteuerten Schaltung auch während des Programmlaufs eine Überprüfung der Überwa­ chungseinheit möglich ist.

Diese Aufgabe wird bei dem Verfahren der eingangs genannten Art erfindungsgemäß dadurch gelöst,

• - daß der Überwachungseinheit alternierend mit dem Programmkontrollsignal ein Störungstestsignal zugeführt wird, das einem nicht ordnungsgemäßen Programmkontrollsi­ gnal entspricht,
• - daß dem Eingang einer weiteren Überwachungseinheit gegensinnig alternierend zu der einen Überwachungseinheit das Störungstestsignal und das Programmkontrollsignal zugeführt wird und
• - daß die jeweils mit dem Störungstestsignal beaufschlagte Überwachungseinheit auf die Abgabe eines Teststeuersignals aufgrund des Störungstestsignals überwacht wird, während die Überwachung der Schaltung von der jeweils anderen mit dem Programmkontrollsignal beaufschlagten Überwachungsein­ heit übernommen wird.

Bei dem erfindungsgemäßen Verfahren wird alternierend jeweils die eine Überwachungseinheit überprüft, während die andere Überwachungseinheit auf ein nicht ordnungsgemäßes Programmkontrollsignal mit einem auf die Schaltung einwirkenden Signal reagiert. Die durch die weitere Überwachungseinheit entstehende Redundanz vermindert nicht nur insgesamt die Gefahr eines Ausfalls der Schaltungs­ überwachung, sondern erlaubt in vorteilhafter Weise auch eine fortlaufende Überprüfung der Überwachungseinheiten während des Programmlaufs bei gleichzeitiger Schaltungs­ überwachung. Das erfindungsgemäße Verfahren erhöht dadurch wesentlich die Zuverlässigkeit der Schaltungsüberwachung.

Eine vorteilhafte Weiterbildung des erfindungsgemäßen Verfahrens besteht darin, daß von den Überwachungseinheiten auch dann ein Signal erzeugt wird, wenn die Versorgungs­ spannung der Überwachungseinheiten und/oder der Schaltung einen Schwellwert unterschreitet. Durch die fortwährende Überprüfung der Funktion der Überwachungseinheiten ist so auch eine äußerst zuverlässige Kontrolle der Versorgungs­ spannung gewährleistet. Vorzugsweise ist der Schwellwert entsprechend der für den ordnungsgemäßen Betrieb der Schaltung und/oder der Überwachungseinheiten notwendigen Spannung einstellbar.

Eine zur Untersuchung und Auswertung des Ansprechverhaltens der Überwachungseinheiten bevorzugte Ausgestaltung der Er­ findung sieht vor, daß die Zeitspanne zwischen dem Anlegen des Störungstestsignals und der Abgabe des Teststeuer­ signals bestimmt wird.

Die Erfindung wird beispielhaft nachfolgend anhand einer Zeichnung näher erläutert; es zeigen:

Fig. 1 ein Blockschaltbild zur Überwachung einer programm­ gesteuerten Schaltung und

Fig. 2 ein Struktogramm zur Erläuterung des Verfahrensab­ laufs.

Die in Fig. 1 gezeigte Schaltung zur Durchführung des er­ findungsgemäßen Verfahrens enthält zwei Überwachungseinhei­ ten (Watch-Dog) A, B, deren Eingänge 1, 2 jeweils mit einem Programmkontrollsignal beaufschlagbar sind. Das Programm­ kontrollsignal wird von einer programmgesteuerten Schaltung 3 in Form eines Mikroprozessors erzeugt und ist für beide Überwachungseinheiten A, B identisch. Es wird alternierend an Datenausgängen 4, 5 des Mikroprozessors 3 abgegeben und ist nur zur vereinfachten Zuordnung zu den Überwachungseinheiten A, B unterschiedlich (mit WDATRIG, WDBTRIG) bezeichnet. Bei störungsfreiem Programmablauf er­ zeugt der Mikroprozessor 3 programmgemäß diskrete Einzel­ impulse in vorgegebenen zeitlichen Abständen. Die Überwa­ chungseinheiten sind auf das ordnungsgemäße Programm­ kontrollsignal abgestimmt und geben nur bei Abweichungen (z. B. Ausbleiben oder Frequenzerhöhung der Einzelimpulse) von diesem und beim Absinken der Versorgungsspannung unter einen vorgegebenen Schwellwert an ihren Ausgängen 6, 7 ein Signal RESETA, RESETB bzw. (im nachfolgend beschriebenen Testbetrieb) Teststeuersignale RESETA′, RESETB′ ab. Aufbau und Funktionsweise der Überwachungseinheiten A, B entspre­ chen grundsätzlich der aus der DE-A1-32 40 704 bekannten Überwachungseinheit.

Die Signale RESETA, RESETB bzw. RESETA′, RESETB′ beauf­ schlagen die Eingänge eines UND-Gliedes 8, an dessen Ausgang 9 nur dann ein Signal RESET (Steuersignal) anliegt, wenn eingangsseitig die Signale RESETA, RESETB′ oder RESETA′, RESETB anliegen. Das Steuersignal RESET wird auf einen Rücksetzeingang 10 des Mikroprozessors 3 geführt und dient als Rücksetzsignal, das einen Programm-Abbruch und Neustart bewirkt. Die Signale RESETA, RESETB werden außerdem einem ersten 12 und zweiten Flip-Flop-Baustein 14 eingangsseitig zugeführt; deren Rücksetzeingänge R sind mit dem Programmkontrollsignal WDATRIG, WDBTRIG beaufschlagbar. An den Flip-Flop-Bausteinen 12, 14 liegt ausgangsseitig jeweils das Signal RESETA, RESETB bzw. RESETA′, RESETB′ an, das von Dateneingängen 16, 17 des Mikroprozessors 3 abfragbar ist.

Zur Überprüfung der Überwachungseinheit B wird wie folgt verfahren: Das Programmkontrollsignal WDATRIG liegt am Ein­ gang 1 der einen Überwachungseinheit A an; bei ordnungsgemä­ ßem Programmkontrollsignal fehlt es am Signal RESETA, so daß kein Steuersignal RESET auftreten kann. In dieser Konstellation wird die Funktionsüberwachung des Mikropro­ zessors 3 also von der Überwachungseinheit A übernommen, während die andere Überwachungseinheit B durch den Mi­ kroprozessor 3 geprüft wird. Dazu wird der Eingang 2 der Überwachungseinheit B mit einem Störungstestsignal WDBTRIC′ beaufschlagt, das einem nicht ordnungsgemäßen (z. B. vollständig fehlenden) Programmkontrollsignal entspricht. Die Abgabe des von der Überwachungseinheit B erzeugten Teststeuersignals RESETB′ als Reaktion auf das Stö­ rungstestsignals WDBTRIG′ an den Flip-Flop-Baustein 14 wird von dem Dateneingang 17 des Mikroprozessors 3 überwacht. Tritt das Teststeuersignal RESETB′ korrekt und rechtzeitig auf, erkennt der Mikroprozessor 3 die Überwachungseinheit B als funktionsfähig.

Ist in dieser Konstellation dagegen das Programmkontroll­ signal WDATRIG nicht ordnungsgemäß, gibt auch die Überwa­ chungseinheit A ein Signal RESETA ab, so daß das Steuersi­ gnal RESET am Ausgang des UND-Gliedes 8 auftritt. In dem Fall, daß die Überwachungseinheit B defekt ist und kein Teststeuersignal RESETB′ abgibt, tritt zwar kein Steuersi­ gnal RESET auf; der Mikroprozessor 3 erkennt aber in diesem Fall den Funktionsfehler und generiert ein Warnsignal
Darauf folgend werden die Überwachungseinheiten A, B alternierend gegensinnig beaufschlagt, so daß nun ent­ sprechend die Überwachungseinheit B zur Signalerzeugung im Störungsfall und damit zur Überwachung des Mikroprozessors 3 mit dem Programmkontrollsignal WDBTRIG beaufschlagt wird, während die Überwachungseinheit A mit dem Störungstestsignal WDATRIG′ beaufschlagt und die entspre­ chende Abgabe des Teststeuersignals RESETA′ vom Mikropro­ zessor 3 über dessen Dateneingang 16 geprüft wird. Im nächsten Zyklus erfolgt wieder eine gegensinnig alter­ nierende Beaufschlagung der Überwachungseinheiten A, B, die der ersten beschriebenen Konstellation entspricht.

Fig. 2 beschreibt detailliert den Verfahrensablauf. Zu Be­ ginn (Einschalten des Geräts) wird bedarfsweise eine Initialisierung durchgeführt, wobei vorzugsweise das Programmkontrollsignal WDATRIG, WDBTRIG gleichzeitig an die Eingänge 1, 2 beider Überwachungseinheiten A, B (Fig. 1) angelegt wird (Verfahrenszweig 20 in Fig. 2).

Nach Initialisierung wird zur Überprüfung der Überwachungs­ einheit (Watch-dog) A im Verfahrenszweig 21 das Programm­ kontrollsignal WDBTRIG (Verfahrensschritt: trigB) ausgege­ ben. Anschließend wird geprüft, ob das Störungstestsignal (scheinbar gestörtes Programmkontrollsignal) dazu geführt hat, daß die Überwachungseinheit A nach Ablauf einer vorgegebenen Reaktionszeit das Teststeuersignal RESETA′ ausgibt. Im Hinblick auf die in den Überwachungseinheiten eingesetzten, retriggerbaren Zeitglieder ist dieser Verfahrensschritt mit "A abgelaufen" bezeichnet. Die bis zur Ausgabe des Teststeuersignals RESETA′ verstreichende Zeit wird von einem Inkremental-Zähler (Verfahrensschritt: "Zähler inkrementieren") angegeben, der bis zu einem zulässigen Grenzwert hochgezählt wird (Verfahrensschritt: "Grenzwert vom Zähler erreicht?"). Ist der Zählergrenzwert erreicht, ohne daß ein Teststeuersignal der zu überprüfen­ den Überwachungseinheit von dem Mikroprozessor erkannt worden ist, deutet dies auf einen Defekt der Überwachungs­ einheit hin. Bei rechtzeitiger Erzeugung des Teststeuersi­ gnals wird anschließend der Zähler zurückgesetzt. Die Schaltung (Mikroprozessor) 3 wird derweil von der Überwa­ chungseinheit B überwacht, die bei gestörtem Programmkon­ trollsignal WDBTRIG das Signal RESETB erzeugt, das über das UND-Glied 8 (Fig. 1) zusammen mit dem bei korrekt ar­ beitender Überwachungseinheit A vorliegenden Teststeuersi­ gnal RESETA′ das (Rücksetz-) Steuersignal RESET erzeugt.

In entsprechender Weise mit umgekehrter Beaufschlagung der Überwachungseinheiten wird die andere Überwachungseinheit B gemäß Verfahrenszweig 22 geprüft (wenn die Abfrage "Watch- Dog A überprüfen" mit Nein (N) beantwortet wird). Die verbleibende Überwachungseinheit A wird dazu entsprechend mit dem Programmkontrollsignal beaufschlagt (trig A) und die Überwachungseinheit B wie vorstehend analog beschrieben geprüft.

Das erfindungsgemäße Verfahren erlaubt mit geringem schaltungstechnischem Aufwand eine wesentliche Erhöhung der Zuverlässigkeit einer Funktionsüberwachung einer programm­ gesteuerten Schaltung, indem die beiden Überwachungseinhei­ ten gegensinnig alternierend zur Überwachung der Schaltung und zum Selbsttest herangezogen werden.

Claims (3)

1. Verfahren zum Überwachen einer programmgesteuerten Schaltung (3), die bei störungsfreiem Betrieb programmgemäß ein Programmkontrollsignal (WDATRIG) abgibt,

• - bei dem das Programmkontrollsignal (WDATRIG) dem Eingang (1) einer Überwachungseinheit (A) zugeführt wird, die bei nicht ordnungsgemäßem Programmkontrollsignal ein auf die Schaltung (3) einwirkendes Signal (RESETA) abgibt, dadurch gekennzeichnet,
• - daß der Überwachungseinheit (A) alternierend mit dem Programmkontrollsignal (WDATRIG) ein Störungstestsignal (WDATRIG′) zugeführt wird, das einem nicht ordnungsgemäßen Programmkontrollsignal entspricht,
• - daß dem Eingang (2) einer weiteren Überwachungseinheit (B) gegensinnig alternierend zu der einen Überwachungs­ einheit (A) das Störungstestsignal (WDBTRIG′) und das Programmkontrollsignal (WDBTRIG) zugeführt wird und
• - daß die jeweils mit dem Störungstestsignal (WDBTRIG′) be­ aufschlagte Überwachungseinheit (B) auf die Abgabe eines Teststeuersignals (RESETB′) aufgrund des Störungstest­ signals (WDBTRIG′) überwacht wird, während die Überwachung der Schaltung (3) von der jeweils anderen mit dem Programm­ kontrollsignal (WDATRIG) beaufschlagten Überwachungseinheit (A) übernommen wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß von den Überwachungseinheiten (A, B) auch dann ein Signal (RESETA, RESETB) abgegeben wird, wenn die Versorgungsspannung der Überwachungseinheiten A, B und/oder der Schaltung 3 einen Schwellwert unterschreitet.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Zeitspanne zwischen dem Anlegen des Störungstestsignals (WDATRIG′, WDBTRIG′) und der Abgabe des Teststeuersignals (RESETA′, RESETB′) bestimmt wird.