FR3015151A1

FR3015151A1 - Dispositif et procede de surveillance d'un generateur d'horloge

Info

Publication number: FR3015151A1
Application number: FR1462650A
Authority: FR
Inventors: Hartmut Schumacher; Ruediger Karner
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2013-12-18
Filing date: 2014-12-17
Publication date: 2015-06-19
Anticipated expiration: 2034-12-17
Also published as: JP2018173990A; WO2015091059A1; GB2540278A; FR3015151B1; JP2017507384A; GB201612285D0; US9919665B2; CN106062720A; DE102013226429A1; US20160339856A1; JP6416912B2

Abstract

Dispositif (WD+) pour surveiller un générateur d'horloge (µC Clock), générant un signal périodique de cadence (ECLK). Le dispositif comporte des moyens pour surveiller la durée de l'impulsion (Tpeclkd) du signal d'horloge (ECLK).

Description

Domaine de l'invention La présente invention se rapporte à un dispositif et un procédé de surveillance d'un générateur d'horloge, et un dispositif pour surveiller un générateur d'horloge, le générateur d'horloge générant un signal périodique de cadence. Etat de la technique Les systèmes de sécurité actuels équipant les véhicules ont des composants de surveillance à plusieurs niveaux appelés « chiens de garde » (Watchdog). On distingue entre les « chiens de garde » de circuits et les « chiens de garde » de programmes. Dans le premier niveau, un « chien de garde » surveille la fréquence d'un générateur d'horloge de système qui fournit à partir d'un microprocesseur (pC), par exemple par division de la fréquence de son propre générateur d'horloge d'interface, en synchronisme, d'autres composants internes ou externes, électriques ou électroniques ou numériques. Dans d'autres étages, il faut répondre correctement aux « questions » du « chien de garde » vers le microprocesseur. Les questions peuvent être, par exemple des requêtes telles que des missions de calcul déterminées. Les ressources de microprocesseurs nécessaires pour répondre aux interrogations ou requêtes peuvent être composées individuellement, notamment à partir des fonctions de microprocesseurs utilisés dans les applications dans des plans de programmes correspondants. La programmation de l'exigence de « chiens de garde » garantit que la réponse correcte aux questions ne peut se faire que par un déroulement correct de programmes d'application. On a ainsi des niveaux de « chiens de garde » pour chaque plan de programme (programme en temps réel, programme d'arrière plan etc.). Selon une variante plus précise, les réponses correctes du microprocesseur sont fournies aux différents étages de « chiens de garde » (programme en temps réel, programme d'arrière plan etc.) dans une certaine fenêtre de temps prédéfinie. Les systèmes qui prennent des décisions dans le temps le plus court, c'est-à-dire notamment en moins de deux millisecondes, tels que par exemple des systèmes de commande de moyen de protection de personnes équipant un véhicule doivent déceler à temps les défauts qui pourraient conduire à un comportement erroné, par exemple le déclenchement non voulu des moyens de protection de personnes. Cela se fait actuellement par la surveillance de la fréquence du générateur d'horloge du système du microprocesseur par un chien de garde. Tout défaut de l'oscillateur dans le microprocesseur est ainsi décelé. L'oscillateur peut se présenter sous la forme d'un quartz ou d'un résonateur. But de l'invention La présente invention a pour but de remédier aux incon- vénients des systèmes connus et à leur complexité et se propose de dé- velopper une surveillance supplémentaire du rapport de travail du générateur d'horloge du système à l'aide d'un « chien de garde » de circuit. Exposé et avantages de l'invention La solution de l'invention a l'avantage que les défauts qui peuvent entraîner une modification de la durée d'impulsion, du rapport de travail/rapport cyclique tel que l'amortissement du signal fourni par le générateur d'horloge de système soit détecté sur le chemin de transmission du générateur de signal qui est, de manière caractéristique, le microprocesseur vers les composants de circuits associés (par exemple le circuit ASIC), les composants d'interface ou composants analogues, avec des fonctions redondantes (par exemple une interface à plusieurs canaux vers des capteurs externes) peuvent entraîner un défaut de fonctionnement de composants séparés ou de plusieurs composants reliés et ainsi la défaillance éventuelle de l'ensemble du système. Cela est notamment important si les composants de circuits, liés, utilisent à la fois le flanc montant et le flanc descendant du signal du générateur d'horloge de systèmes externes dans les machines d'état numériques, des fonctions de transfert de données, des unités de détection ou des moyens analogues. Le dispositif selon l'invention comporte des moyens pour surveiller la durée d'impulsion d'un signal d'horloge ou signal de cadence. Le signal de cadence surveillé est fourni par un générateur d'horloge, notamment pour un dispositif de gestion des moyens de pro- tection de personnes dans un véhicule qui génère un signal de cadence périodique. La surveillance supplémentaire de la durée d'impulsion du signal de cadence (signal d'horloge) est entre-autre important si des composants numériques utilisent pour fonctionner à la fois le flanc montant et le flanc descendant du signal d'horloge ou signal de ca- s dence. La durée d'impulsion est le temps compris entre le flanc montant et le flanc descendant du signal de cadence. Selon un développement avantageux de l'invention, le dispositif génère un signal de blocage, notamment pour bloquer les 10 moyens de protection de personnes en fonction du signal de surveillance. La réalisation avantageuse de l'invention permet d'éviter efficacement qu'un défaut ne génère un fonctionnement défectueux tel que l'activation de moyens de protection de personnes ou encore la mise 15 en danger de personnes ou d'un bien. De façon avantageuse, le dispositif comporte des moyens de saisie de la durée d'impulsion. Ces moyens de saisie de la durée d'impulsion comportent un compteur. Le compteur est commandé en cadence par un générateur d'horloge distinct et il saisit la durée com- 20 prise entre le flanc montant et le flanc descendant du signal de cadence ou signal périodique d'horloge surveillé, par exemple en démarrant un compteur (par exemple par le flanc montant) et en arrêtant le compteur (par exemple par le flanc descendant) du signal de cadence ou signal d'horloge surveillé. A la fin d'une longueur d'impulsion, on compare 25 l'état de comptage à un seuil. Selon un développement avantageux, on compare l'état de comptage à un seuil supérieur prédéfini et à un seuil inférieur prédéfini. Le ou les seuils dépendent de la durée d'impulsion normalisée, prévisible du générateur d'horloge. Cela permet de surveiller le générateur d'horloge de manière simple et économique. 30 Selon une variante, le dispositif comporte un condensa- teur et un comparateur notamment un comparateur avec une fenêtre pour saisir la durée d'impulsion. Ce développement avantageux constitue un mode de réa- lisation simple et économique de l'invention. L'utilisation de composants électroniques simples (condensateur et comparateur ou comparateurs à fenêtre) se traduit par un dispositif robuste. Cette variante de réalisation repose sur le fait que le ni- veau de charge du condensateur est comparé par un comparateur à une tension de référence. Selon un développement avantageux de cette forme de réalisation, le comparateur est un comparateur à fenêtre comparant la charge ou niveau de charge du condensateur à au moins deux tensions de référence. Les deux tensions de référence correspondent par exemple à un niveau de charge prévisible inférieur et un niveau de charge prévi- sible supérieur. En commençant par exemple par le flanc montant du signal d'horloge surveillé, fourni par le générateur d'horloge, on charge le condensateur qui se décharge immédiatement au début de la pause d'impulsion. La position du comparateur ou du comparateur à fenêtre qui indique si l'état de charge du condensateur de référence (équivalent à la durée d'impulsion) est inférieur ou supérieur à un niveau prévisible (tension de référence) ou s'il se situe à l'intérieur ou à l'extérieur de la fenêtre de surveillance constituée par les deux tensions de référence, est mis en mémoire par le flanc descendant du signal de cadence fourni par le générateur d'horloge. Si le niveau de charge du condensateur de réfé- rence se situe par rapport à au moins un seuil (tension de référence) alors la durée d'impulsion correspond à la durée minimale prévisible et la surveillance du générateur d'horloge correspond à un résultat positif vis-à-vis de la longueur minimale de la durée d'impulsion.

Si le niveau de charge du condensateur de référence est, dans la bande de surveillance, définie par une tension de référence supérieure à une tension de référence inférieure, alors la durée de l'impulsion se situe entre la limite de surveillance supérieure et la limite de surveillance inférieure de sorte que la surveillance du générateur d'horloge donne un résultat positif pour la durée d'impulsion. La réalisation de l'invention par le procédé est importante. Le procédé selon l'invention peut être appliqué par un élément de commande et notamment le dispositif de pilotage des moyens de protection de personnes du véhicule. Un programme est enregistré dans l'élément de commande qui est appliqué par un calculateur notamment un microprocesseur ou un processeur de signal et applique le procédé de l'invention. L'invention est ainsi réalisée par le programme enregistré dans l'élément de commande de sorte que cet élément de commande fonctionnant avec ce programme applique de la même manière l'invention que le procédé en tant que tel pour la mise en oeuvre du pro- gramme. L'élément de commande peut notamment appliquer un support de mémoire électrique par exemple une mémoire morte. Dessins La présente invention sera décrite, ci-après, de manière lo plus détaillée à l'aide d'exemples de dispositifs de surveillance selon l'invention représentés dans les dessins annexés dans lesquels : - la figure 1 est un schéma par blocs d'un dispositif avec un générateur d'horloge, - la figure 2 est un schéma par blocs d'un dispositif de vérification 15 d'un générateur d'horloge selon l'état de la technique, - la figure 3 est un schéma par blocs d'un premier mode de réalisation du dispositif de vérification ou de contrôle d'un générateur d'horloge selon l'invention, - la figure 4 est un schéma par blocs d'une variante de réalisation du 20 dispositif de vérification d'un générateur d'horloge selon l'invention, - la figure 5 montre très schématiquement un ordinogramme du procédé de l'invention. Description de modes de réalisation de l'invention La figure 1 montre un schéma par blocs d'un dispositif 25 comportant un générateur d'horloge. Le générateur d'horloge en forme d'oscillateur du mode de réalisation représenté est associé à un micro-contrôleur pC. Le générateur d'horloge en forme d'oscillateur transforme les oscillations mécaniques du cristal (par exemple un quartz ou en variante un résonateur) en une oscillation électrique et génère ainsi 30 la fréquence de base appelée horloge de base. A partir de cette horloge de base, on forme un signal de cadence ECLK par exemple par division de fréquence. Ce signal d'horloge est souvent appelé « horloge externe ». Le microcontrôleur pC fournit le signal de cadence ECLK ainsi formé à des composants numériques, par exemple à un composant de sécurité 35 SCON pour la commande numérique synchrone. Dans le mode de réali- sation représenté, le composant de sécurité SCON comporte des interfaces, par exemple SPI, PSI et un « chien de garde » de circuit WD. Le « chien de garde » de circuit comporte également un générateur d'horloge WD en forme d'oscillateur, par exemple un oscillateur RC dont la fréquence est définie par une résistance externe reliée à la masse. Le « chien de garde » de circuit WD comporte des fonctions pour bloquer le déclenchement des moyens de protection de personnes (étage de blocage de puissance). Des capteurs externes xIS sont reliés aux interfaces PSI. Dans, cette présentation x peut être remplacé par exemple par S ou F ce qui donne SIS = capteur d'impact latéral, c'est-à-dire un capteur qui détecte des chocs latéraux et FIS, c'est-à-dire un capteur d'impact frontal, c'est-à-dire un capteur qui détecte des collisions frontales. La figure 2 montre un schéma par blocs d'un dispositif de vérification (ou de contrôle) d'un générateur d'horloge selon l'état de la technique. Le générateur d'horloge à vérifier et le générateur interne pC Clock du microcontrôleur pC. Le générateur d'horloge interne pC Clock donne un signal de cadence périodique ECLK à partir duquel le générateur d'horloge (par exemple un quartz, un résonateur ou un moyen analogue) avec une fréquence par exemple de n MHz. Le signal de cadence ECLK à vérifier ayant une certaine durée de période (ou plus simple- ment "période") Teclk est appliqué à un dispositif de surveillance WD. Celui-ci comporte habituellement un diviseur amont pour diviser le signal de cadence ECLK de manière appropriée pour l'adapter aux conditions aux limites du dispositif à surveiller WD (par exemple pour la vitesse maximale de traitement etc). Le diviseur amont peut recevoir habituellement des valeurs comprises entre 1 et 1 024. Le dispositif de surveillance WD est le plus sensible pour la valeur 1. La durée de la période Teclkd du signal de cadence ECLK divisé par le diviseur amont est appelé « ECLKd » ; ce signal est ensuite mesuré par un compteur WD Counter qui est commandé en cadence par un oscillateur de référence WD CLOCK. La durée de la période Twd du compteur WD Counter est dépendante dans le présent exemple de réalisation de la durée prévisible de la période du générateur d'horloge. Le compteur WD Counter dispose d'une logique de traitement avec la fonction « START » pour dé- marrer le compteur WD Counter, la fonction « STOP » pour arrêter le compteur WD Counter, la fonction « RESET » pour remettre à zéro le compteur WD Counter et la fonction « READ » pour lire l'état de comptage du compteur WD Counter. Après chaque période ECLKd, on compare (Compare) l'état de comptage à une valeur limite supérieure (WD smax) ou une valeur limite inférieure (WD smin). Ces valeurs li- mites se trouvent dans une mémoire appropriée ou dans un dispositif câblé. Le compteur est ensuite remis à l'état initial (RESET) pour être de nouveau démarré « START ». Si l'état de comptage est extérieur à la borne de surveillance pour le signal de cadence divisé ECLKd, on peut bloquer les fonctions concernant la sécurité. La figure 3 est un schéma par blocs d'un mode de réalisation selon l'invention du dispositif de surveillance d'un générateur d'horloge WD+ (= durée de période chien de garde + durée d'impulsion chien de garde). En plus de l'état de la technique (durée de période) on mesure la durée de l'impulsion du signal de cadence ou signal d'horloge ECLK. La durée de l'impulsion est le temps compris entre un flanc montant et un flanc descendant du signal d'horloge. Pour cela, on mesure la durée d'impulsion de Tpelckd du signal de cadence divisé ECLKd avec un compteur commandé en ca- dence par un oscillateur de référence à la fréquence WD+. Après chaque durée d'impulsion ECLKd, on effectue la comparaison (COMPARE) de l'état de comptage avec une valeur limite supérieure ou une valeur limite inférieure qui définissent une bande de tolérance (WD+ smin, WD+ smax) autour de la durée d'impulsion prévisible Tpeclkd. Puis on remet à l'état initial ou à zéro le compteur WD Counter (RESET) et on démarre de nouveau selon le mode de réalisation représenté, avec le flanc positif suivant. Si l'état de comptage du compteur WD+ est dans la bande de surveillance pour la durée d'impulsion Teclkd et si l'état de comptage du compteur WD est dans la bande de surveillance de la durée de pé- riode Teclkd, et il n'y a pas blocage des fonctions concernant la sécurité car la fréquence et la durée d'impulsion et ainsi le cycle de travail (rapport de travail = durée d'impulsion/durée de période) du générateur d'horloge sont corrects.

La figure 4 est un schéma par blocs d'une variante de réalisation du dispositif selon l'invention pour vérifier un générateur d'horloge. Dans ce cas, on charge un condensateur Cref avec un courant constant I pendant la phase linéaire haute ECLKd et on décharge avec le début de la pause d'impulsion ECLKd par une décharge brutale (décharge rapide). Avec un comparateur à fenêtre, on vérifie la tension uc aux bornes du condensateur Cref pour déterminer si la charge se situe dans la bande définie par Vref u et Vref o. La référence Vref u repré- sente la charge minimale et Vref o représente la charge supérieure maximale du condensateur. L'état à l'instant du flanc descendant d'impulsion du signal ECLKd est mémorisé dans une mémoire FlipFlop FF (si dans la bande on a : Q = 1 ; si en dehors de la bande on a : Q = 0). Si la tension uc du condensateur Cref à l'instant du flanc des- cendant de l'impulsion est à l'extérieur de la bande, cela signifie que la durée d'impulsion du signal de cadence ECLK du générateur d'horloge n'est pas correcte et ainsi, même si la fréquence du signal d'horloge ECLK est adéquate, le rapport de travail (durée d'impulsion/durée de période) n'est pas bon. La fréquence du signal d'horloge est ainsi sur- veillée, par exemple avec le dispositif de surveillance d'un générateur d'horloge connu selon l'état de la technique (voir fig. 1) de sorte que ce moyen n'est pas représenté à la figure 4. La figure 5 est un ordinogramme très schématique de l'application du procédé. Dans l'étape 501, le générateur d'horloge pC Clock génère un signal de cadence (ou signal d'horloge). Dans l'étape 502, on surveille la durée de l'impulsion du signal de cadence.30 NOMENCLATURE DES ELEMENTS PRINCIPAUX pC Microcontrôleur pC Clock Générateur d'horloge interne COMPAR Comparaison Cref Condensateur FF FlipFlop ECLK Signal de cadence/Signal d'horloge ECLKd Signal de cadence divisé FIS Capteur d'impact ou de collision frontale RESET Remise à zéro du compteur SCON Composant de sécurité SPI, PSI Interface(s) SIS Capteur d'impact latéral START Démarrage du compteur STOP Arrêt du compteur Teclk Durée de période Twd Durée de période uc Tension aux bornes du condensateur Vref_U Limite inférieure de la bande de tension Vref_O Limite supérieure de la bande WD Chien de garde de circuit WD smax Valeur limite supérieure de l'état de comptage WD smin Valeur limite inférieure de l'état de comptage25

Claims

REVENDICATIONS1°) Dispositif (WD+) pour surveiller un générateur d'horloge (pC Clock), qui génère un signal périodique de cadence (ECLK), dispositif caractérisé en ce qu'il comporte des moyens pour surveiller la durée de l'impulsion (Tpeclkd) du signal d'horloge (ECLK).
2°) Dispositif (WD+) selon la revendication 1, caractérisé en ce que le générateur d'horloge (pC Clock) est un générateur de cadence (pC Clock) pour un dispositif de commande d'un moyen de protection de personnes dans un véhicule et le dispositif (WD+) génère un signal de blocage pour bloquer la commande du moyen de protection de personne en fonction de la surveillance.
3°) Dispositif selon la revendication 1, caractérisé en ce qu' il comporte des moyens notamment un compteur (WD+ Counter) pour saisir la durée d'impulsion (Tpeclkd).
4°) Dispositif selon la revendication 3, caractérisé en ce qu' il comporte un second générateur d'horloge (WD+ Clock) et notamment le dispositif (WD+) pilote le compteur (WD+ Counter) à l'aide du second générateur d'horloge (WD+ Clock).
5°) Dispositif selon la revendication 3, caractérisé en ce qu' il comporte des moyens pour saisir la duré d'impulsion (Tpeclkd) d'au moins un condensateur (Cref) et au moins un comparateur, notamment un comparateur à fenêtre.
6°) Dispositif selon la revendication 1, caractérisé en ce qu'il comporte des moyens de comparaison (Compare) de la durée d'impulsion (Tpeclkd) à au moins un seuil (WD+ smin, WD+ smax, Vref u, Vref o).
7°) Dispositif selon la revendication 6, caractérisé en ce qu' il génère un signal de blocage si la durée d'impulsion (Tpeclkd) est inférieure à un seuil inférieure (WD+ smin, Vref u) ou est supérieure à un seuil supérieur (WD+-smax, Vref o).
8°) Procédé (500) de surveillance d'un générateur d'horloge qui, génère (501) un signal de cadence périodique (ECLK), caractérisé en ce qu' on surveille (502) la durée d'impulsion (Tpeclkd) du signal d'horloge.
9°) Procédé (500) selon la revendication 8, caractérisé en ce que le générateur d'horloge (pC Clock) est un générateur d'horloge pour un dispositif de commande d'un moyen de protection de personnes d'un véhicule et en fonction de la surveillance, il génère un signal de blocage pour bloquer la commande des moyens de protection de personnes.
10°) Procédé (500) selon la revendication 8, caractérisé en ce qu' on saisit la durée d'impulsion (Tpeclkd) à l'aide d'un compteur (WD+ Counter).
11°) Procédé (500) selon la revendication 8, caractérisé en ce qu' on saisit la durée d'impulsion (Tpeckld) en fonction de l'état d'au moins un condensateur (Cref).
12°) Procédé (500) selon la revendication 8, caractérisé en ce qu'on compare la durée d'impulsion à au moins un seuil (WD+ smin, WD+ smax, Vref u, Vref o).
13°) Procédé (500) selon la revendication 9, caractérisé en ce qu' on génère un signal de blocage si la durée d'impulsion (Tpeckld) est inférieure à un seuil inférieur (WD+ smin, Vref u) ou supérieur à un seuil supérieur (WD+-smax, Vref o).
14°) Appareil de commande comportant un dispositif (WD+) selon une quelconque des revendications 1 à 7 et/ou configuré pour exécuter un procédé (500) selon l'une des revendications 8 à 13.15