DE3704318A1 - Verfahren und anordnung zur ueberwachung der funktion eines mikroprozessors - Google Patents

Description

Die Erfindung betrifft ein Verfahren zur Überwachung der Funktion eines Mikroprozessors und Anordnungen zur Durchführung des Verfahrens.

Bei elektronischen Steuergeräten mit einem Mikropro­ zessor ist es wichtig, die ordnungsgemäße Funktion des Mikroprozessors zu überwachen. Dieses trifft insbesondere für Steuergeräte in Kraftfahrzeugen zu, die sicherheitsrelevante Funktionen ausführen.

Eine bekannte Schaltungsanordnung zur Überwachung eines Mikroprozessors besteht darin, daß eine mono­ stabile Kippschaltung mit einem Ausgang verbunden ist, über welchen der Mikroprozessor bei ordnungsge­ mäßer Funktion innerhalb vorgegebener Zeitintervalle Impulse abgibt. Unterbleibt ein Impuls, so gerät die Kippschaltung in ihren stabilen Zustand, worauf ein Fehlersignal erzeugt, ein Reset des Mikroprozessors durchgeführt oder auf ein redundantes System umge­ schaltet werden kann.

Bei dieser bekannten Schaltungsanordnung kann es - beispielsweise durch Störungen beim Programmablauf - vorkommen, daß die rechtzeitige Abgabe von Impulsen an die monostabile Kippschaltung erfolgt, obwohl eine Funktionsstörung des Steuergerätes vorliegt. Eine solche Störung wird von der bekannten Überwa­ chungsschaltung nicht erfaßt.

Aufgabe der vorliegenden Erfindung ist es daher, die Sicherheit bei der Überwachung eines Mikroprozessors zu erhöhen.

Das erfindungsgemäße Verfahren ist dadurch gekenn­ zeichnet, daß in einem Programm für den Mikroprozes­ sor Prüfstellen vorgesehen sind, welche bei ordnungs­ gemäßem Programmablauf innerhalb vorgegebener Zeitab­ stände durchlaufen werden und an denen vom Mikropro­ zessor vorgegebene Daten abgegeben werden, und daß durch eine Prüfeinrichtung bei Erreichen jeweils einer Prüfstelle die dann abgegebenen Daten mit ge­ speicherten Daten verglichen werden.

Das erfindungsgemäße Verfahren weist den Vorteil auf, daß weitgehend der gesamte Programmablauf über­ wacht wird.

Eine Weiterbildung des erfindungsgemäßen Verfahrens besteht darin, daß die vorgegebenen Daten von Prüf­ stelle zu Prüfstelle verschieden sind, daß die Prüf­ stellen bei ordnungsgemäßem Programmablauf in einer festgelegten Reihenfolge durchlaufen werden und daß bei Erreichen der Prüfstellen jeweils ein Impuls vom Mikroprozessor abgegeben wird.

Das erfindungsgemäße Verfahren hat ferner den Vor­ teil, daß es mit einem geringen zusätzlichen Schal­ tungsaufwand durchführbar ist. Eine Anordnung zur Durchführung des erfindungsgemäßen Verfahrens ist dadurch gekennzeichnet, daß an Ausgänge des Mikropro­ zessors eine erste Gruppe von Eingängen einer Ver­ gleichsschaltung und an einen weiteren Ausgang des Mikroprozessors eine Zählschaltung angeschlossen ist, daß Ausgänge der Zählschaltung mit Adressenein­ gängen eines Nur-Lese-Speichers (PROM) verbunden sind, daß Ausgänge des Nur-Lese-Speichers an eine zweite Gruppe von Eingängen der Vergleichsschaltung angeschlossen sind und daß ein Ausgang der Ver­ gleichsschaltung über eine Torschaltung mit dem Aus­ gang der Anordnung verbunden ist, wobei einem weite­ ren Eingang der Torschaltung der vom weiteren Aus­ gang des Mikroprozessors abgegebene Impuls zugeführt ist.

Der Speicher für die vorgegebenen Daten und die Ver­ gleichsschaltungen können jedoch auch in vorteilhaf­ ter Weise gemäß einer anderen Weiterbildung dadurch realisiert werden, daß an Ausgänge des Mikroprozes­ sors Eingänge einer Logikschaltung und an einen wei­ teren Ausgang des Mikroprozessors eine Zählschaltung angeschlossen ist, daß Ausgänge der Zählschaltung mit weiteren Eingängen der Logikschaltung verbunden sind und daß ein Ausgang der Logikschaltung mit dem Ausgang der Anordnung verbunden ist.

Weiterbildungen der erfindungsgemäßen Anordnung ver­ hindern ein Abgeben einer Fehlermeldung, die dadurch entstehen kann, daß die Zählschaltung während des gesamten Intervalls zwischen zwei Impulsen konstant die gleichen Daten an die Eingänge der Kippschaltung gibt, während an den Ausgängen des Mikroprozessors laufend wechselnde Werte anliegen. Dementsprechend kann vorgesehen sein, daß der weitere Ausgang des Mikroprozessors mit einem weiteren Eingang der Logik­ schaltung verbunden ist.

Es kann jedoch anstelle dessen vorgesehen sein, daß an den Ausgang der Logikschaltung ein erster Eingang einer Torschaltung angeschlossen ist und daß der weitere Ausgang des Mikroprozessors gegebenenfalls über einen Impulsformer mit einem zweiten Eingang der Torschaltung verbunden ist.

Als weitere Möglichkeit kann die erfindungsgemäße Anordnung derart weitergebildet sein, daß die Ausgän­ ge des Mikroprozessors über Zwischenspeicher an die Eingänge der Logikschaltung angeschlossen sind.

Eine andere Weiterbildung der erfindungsgemäßen Anordnung besteht darin, daß ferner eine an sich bekannte Schaltung zur Überwachung eines Mikroprozes­ sors mit einer monostabilen Kippschaltung vorgesehen ist.

Zweckmäßige Ausgestaltungen sehen vor, daß die Logik­ schaltung eine programmierbare Logikschaltung (PLA, PLD, PAL) ist oder von einem Nur-Lese-Speicher (PROM) gebildet ist.

Die zu vergleichenden Daten entsprechen denjenigen Daten, die zusammen mit dem Programm im Programmspei­ cher (ROM) des Mikroprozessors abgelegt sind und von Prüfstelle zu Prüfstelle aufgerufen Herden. Dabei ist es möglich, jeweils einem Programm ein PROM mit Vergleichsdaten zuzuordnen. Dieses hat jedoch den Nachteil, daß zu jedem Typ eines bereits programmier­ ten Gerätes ein spezielles PROM für die Überwachung geliefert und als Ersatzteil bereitgehalten werden muß. Dieser Nachteil kann dadurch vermieden werden, daß ein PROM mit Vergleichsdaten programmiert wird, welche bezüglich ihrer Anzahl, ihres Wertes und ihrer Reihenfolge bei verschiedenen Programmen für den Mikroprozessor berücksichtigt werden.

Sollte dieses im Einzelfall nicht zweckmäßig sein, kann gemäß einer anderen Weiterbildung der Erfindung vorgesehen sein, daß an Ausgänge des Mikroprozessors eine erste Gruppe von Eingängen einer Vergleichs­ schaltung und an einen weiteren Ausgang des Mikropro­ zessors eine Zählschaltung angeschlossen ist, daß Ausgänge der Zählschaltung mit Adresseneingängen eines Schreib-Lese-Speichers (RAM) verbunden sind, daß Ausgänge des Schreib-Lese-Speichers an eine zwei­ te Gruppe von Eingängen der Vergleichsschaltung ange­ schlossen sind und daß in einem dem Mikroprozessor zugeordneten Nur-Lese-Speicher gespeicherte Daten beim Start des Programms in den Schreib-Lese-Spei­ cher einschreibbar sind.

Mit einer anderen Weiterbildung der Erfindung können unterschiedliche Laufzeiten von Prüfstelle zu Prüf­ stelle bei der Überwachung berücksichtigt werden. Diese sieht vor, daß im Nur-Lese-Speicher ferner den Prüfstellen zugeordnete vorgegebene Zeitabstände abgelegt sind, daß ein weiterer Zähler mit vom Mikro­ prozessor unabhängig erzeugten Zählimpulsen versorgt ist, daß von jedem vom weiteren Ausgang des Mikropro­ zessors abgegebenen Impuls der weitere Zähler auf einen dem zugehörigen Zeitabstand entsprechenden Wert gesetzt wird und daß Mittel zur Abgabe eines Signals vorgesehen sind, wenn der Zählerstand des weiteren Zählers einen vorgegebenen Wert erreicht.

Die Erfindung läßt zahlreiche Ausführungsformen zu. Drei davon sind schematisch in der Zeichnung an Hand mehrerer Figuren dargestellt und nachfolgend be­ schrieben. Es zeigt:

Fig. 1 ein erstes Ausführungsbeispiel mit einer Vergleichsschaltung,

Fig. 2 ein zweites Ausführungsbeispiel mit einer Logikschaltung,

Fig. 3 ein drittes Ausführungsbeispiel ebenfalls mit einer Logikschaltung und

Fig. 4 ein viertes Ausführungsbeispiel, bei welchem auch verschiedene Zeitabstände zwischen den Prüfstellen überwacht werden.

Gleiche Teile sind in den Figuren mit gleichen Bezugszeichen versehen.

Die Figuren stellen Blockschaltbilder dar und dienen im wesentlichen dazu, die Erfindung zu erläutern. Eine Abwandlung im Rahmen des Fachmännischen ist durchaus möglich, beispielsweise können die einzel­ nen Baugruppen je nach Gegebenheiten im Einzelfall (beispielsweise die Breite der Bitströme) durch ein oder mehrere käufliche Bauelemente realisiert wer­ den.

Der zu überwachende Mikroprozessor 1 ist mit anderen Baugruppen Teil eines nicht dargestellten Steuersy­ stems. Als Beispiel für andere Baugruppen sind ledig­ lich ein Nur-Lese-Speicher 2, der zur Speicherung des für den Mikroprozessor 1 vorgesehenen Programms dient, sowie ein Schreib-Lese-Speicher 3 und eine Ein/Ausgabeeinheit 4 dargestellt, welche durch ein Bussystem 5 verbunden sind. Der Übersichtlichkeit halber wurde lediglich ein Bussystem dargestellt, das den Adressenbus, den Datenbus und einen Steuer­ bus umfaßt.

Das Bussystem 5 stellt Ausgänge dar, die zur Durch­ führung des erfindungsgemäßen Verfahrens mit einer ersten Gruppe 6 von Eingängen eines Komparators 7 verbunden sind.

Ein weiterer Ausgang 8 des Mikroprozessors 1 ist mit dem Zähleingang eines Zählers 9 verbunden, dessen parallele Ausgänge 10 mit Adreßeingängen eines Nur- Lese-Speichers (PROM) 11 verbunden sind. Ausgänge des Nur-Lese-Speichers 11 sind an eine zweite Gruppe 12 von Eingängen der Vergleichsschaltung 7 ange­ schlossen. Ein Ausgang der Vergleichsschaltung 7, der bei Abweichungen der Signale an beiden Gruppen von Eingängen eine Eins abgibt, ist einem ersten Ein­ gang einer UND-Schaltung 13 zugeführt, deren Ausgang über eine ODER-Schaltung 18 mit einem Flip-Flop 14 verbunden ist, dessen einer Ausgang den Ausgang 15 der Anordnung bildet. Ein zweiter Eingang der UND- Schaltung 13 ist über einen Impulsformer 16 mit dem Ausgang 8 des Mikroprozessors 1 verbunden. Außerdem ist an den Ausgang 8 des Mikroprozessors in an sich bekannter Weise eine monostabile Kippschaltung 17 angeschlossen, deren Ausgangssignal mit Hilfe einer ODER-Schaltung 18 mit dem Ausgangssignal der UND- Schaltung 13 verknüpft wird.

In dem Programm des Mikroprozessors 1 sind Prüfstel­ len vorgesehen, an welchen der Mikroprozessor einer­ seits veranlaßt wird über den Ausgang 8 einen Impuls abzugeben und bei welchen andererseits für die jewei­ lige Prüfstelle typische Daten an das Bussystem und damit an die Eingänge 6 der Vergleichsschaltung gege­ ben werden. Bei der Erstellung des Programms ist darauf zu achten, daß einerseits die Prüfstellen innerhalb vorgegebener Zeitabstände durchlaufen wer­ den und daß andererseits unabhängig von Verzweigun­ gen und Schleifen die Reihenfolge der Prüfstellen eingehalten wird. Am besten sind sogenannte struktu­ rierte Programme dafür geeignet.

Der am Ausgang 8 abgegebene Impuls schaltet den Zäh­ ler 9 jeweils um eins weiter, so daß die Ausgangssig­ nale des Zählers 9 die jeweilige Prüfstelle bezeich­ nen und als Adresse für die im Nur-Lese-Speicher 11 gespeicherten Daten dienen.

Der Nur-Lese-Speicher 11 enthält die jeweils für eine Prüfstelle typischen Daten und gibt diese an die Eingänge 12 der Vergleichsschaltung 7. Solange die den Eingängen der Vergleichsschaltung zugeführ­ ten Daten übereinstimmen, gibt die Vergleichsschal­ tung eine Null an die UND-Schaltung 13, so daß kein Signal an den Setzeingang des Flip-Flops 14 gelangt und somit auch kein Fehlersignal am Ausgang 15 an­ liegt. Dabei wird vorausgesetzt, daß die monostabile Kippschaltung 17 in ihrem instabilen Zustand ver­ bleibt, da am Ausgang 8 innerhalb vorgegebener Zeit­ intervalle Impulse auftreten. Ist dieses nicht der Fall, so wird von der monostabilen Kippschaltung 17 über die ODER-Schaltung 18 das Flip-Flop 14 gesetzt und am Ausgang 15 entsteht ein Fehlersignal.

Die Ausführungsbeispiele nach den Fig. 2 und 3 unterscheiden sich vom Ausführungsbeispiel nach Fig. 1 dadurch, daß anstelle des Nur-Lese-Speichers 11 und des Vergleichers 7 eine programmierbare Logik­ schaltung 20 verwendet wird. Diese ist derart pro­ grammiert, daß nur bei einer passenden Kombination des Zählerstandes mit den Daten des Bussystems 5 am Ausgang eine Null ansteht.

Anstelle der programmierbaren Logikschaltung kann bei den Ausführungsbeispielen nach den Fig. 2 und 3 auch ein programmierbarer Nur-Lese-Speicher (PROM) verwendet werden, welchem der Zählerstand und die Daten des Bussystems als Adressen zugeführt werden.

Zur Vermeidung von falschen Fehlermeldungen, die dadurch entstehen, daß nach jedem Zählimpuls die Ausgänge des Zählers 9 ihren Wert bis zum nächsten Impuls behalten, das Bussystem 5 jedoch laufend andere Werte ausgibt, wird der Zählimpuls bei dem Ausführungsbeispiel nach Fig. 2 einem weiteren Ein­ gang der Logikschaltung 20 zugeführt. Die Logikschal­ tung 20 ist derart programmiert, daß zwischen den Zählimpulsen unabhängig von den Werten an den ande­ ren Eingängen eine Null am Ausgang ansteht.

Bei dem Ausführungsbeispiel nach Fig. 3 dient zur Vermeidung von falschen Fehlermeldungen ein Zwischen­ speicher 21, in welchen die Daten des Bussystems 5 mit jedem Zählimpuls eingeschrieben werden und dann ebenso wie der Zählerstand bis zum nächsten Zähl­ impuls an den Eingängen der Logikschaltung 20 anlie­ gen.

Das Ausführungsbeispiel gemäß Fig. 4 ist ähnlich wie das in Fig. 1 dargestellte aufgebaut. Die Reihenfol­ ge der Prüfstellen wird genauso überwacht. Die Über­ wachung bezüglich der vorgegebenen Zeitabstände er­ folgt bei dem Ausführungsbeispiel nach Fig. 4 jedoch dadurch, daß im Nur-Lese-Speicher 23 ferner der jeweils einer Prüfstelle zugeordnete Zeitabstand abgelegt ist.

Dieser vorgegebene Zeitabstand ist um einen Toleranz­ wert größer als die bei normaler Funktion des Mikro­ prozessors bis zur folgenden Prüfstelle benötigte Zeit, die von Prüfstelle zu Prüfstelle verschieden sein kann.

Bei jedem Zählimpuls, der vom Mikroprozessor abgege­ ben wird, wird ein weiterer Zähler 24 auf einen dem jeweiligen Zeitabstand entsprechenden Wert gesetzt. Dazu wird einem Enable-Eingang des weiteren Zählers, der als Abwärtszähler ausgebildet ist, über einen Impulsformer 25 der vom Mikroprozessor abgegebene Zählimpuls zugeführt.

Der weitere Zähler 24 wird von einem Signal getak­ tet, das unabhängig vom Mikroprozessor erzeugt wird. Bei normaler Funktion des Mikroprozessors wird der Zähler wieder gesetzt, bevor er den Wert 0 erreicht. Fällt der Mikroprozessor jedoch aus oder bleibt er in einer Programmschleife hängen, so zählt der wei­ tere Zähler 24 bis 0 und an einem Ausgang wird eine 1 abgegeben, die über die ODER-Schaltung 18 zum Aus­ gang geleitet wird.

Bei den Ausführungsbeispielen nach den Fig. 2, 3 und 4 wurde auf eine Speicherung des Fehlersignals verzichtet, wie sie bei dem Ausführungsbeispiel nach Fig. 1 mit Hilfe des Flip-Flops 14 vorgenommen wird. Es ist durchaus möglich, auch kurze Fehlersignale auszuwerten, beispielsweise damit einen Reset des Mikroprozessors 1 durchzuführen, wie es in Fig. 2 mit der gestrichelten Linie angedeutet ist. Es sind verschiedene Reaktionen auf die Fehlermeldung mög­ lich, z. B.:

1. auf ein redundantes System umschalten,

2. das fehlerhafte System ganz abschalten und eine Warnlampe einschalten (dann muß der Anwender ent­ scheiden),

3. Reset des Systems, erneuter Versuch,

4. es kann eine bestimmte Anzahl von Neustartver­ suchen des Systems zugelassen werden.

Claims (12)

1. Verfahren zur Überwachung der Funktion eines Mikroprozessors, dadurch gekennzeichnet, daß in einem Programm für den Mikroprozessor Prüfstellen vorgesehen sind, welche bei ordnungsgemäßem Programm­ ablauf innerhalb vorgegebener Zeitabstände durchlau­ fen werden und an denen vom Mikroprozessor vorgege­ bene Daten abgegeben werden, und daß durch eine Prüfeinrichtung bei Erreichen jeweils einer Prüfstelle die dann abgegebenen Daten mit ge­ speicherten Daten verglichen werden.

2. Verfahren nach Anspruch 1, dadurch gekennzeich­ net, daß die vorgegebenen Daten von Prüfstelle zu Prüfstelle verschieden sind,
daß die Prüfstellen bei ordnungsgemäßem Programmab­ lauf in einer festgelegten Reihenfolge durchlaufen werden und
daß bei Erreichen der Prüfstellen jeweils ein Impuls vom Mikroprozessor abgegeben wird.

3. Anordnung zur Durchführung des Verfahrens nach Anspruch 2, dadurch gekennzeichnet, daß an Ausgänge (5) des Mikroprozessors (1) eine erste Gruppe von Eingängen (6) einer Vergleichsschaltung (7) und an einen weiteren Ausgang (8) des Mikroprozessors (1) eine Zählschaltung (9) angeschlossen ist,
daß Ausgänge der Zählschaltung (9) mit Adressenein­ gängen eines Nur-Lese-Speichers (PROM) (11) verbun­ den sind,
daß Ausgänge des Nur-Lese-Speichers (11) an eine zweite Gruppe von Eingängen (12) der Vergleichsschal­ tung (7) angeschlossen sind und
daß ein Ausgang der Vergleichsschaltung (7) über eine Torschaltung (13) mit dem Ausgang (15) der An­ ordnung verbunden ist, wobei einem weiteren Eingang der Torschaltung (13) der vom weiteren Ausgang (8) des Mikroprozessors (1) abgegebene Impuls zugeführt ist.

4. Anordnung zur Durchführung des Verfahrens nach Anspruch 2, dadurch gekennzeichnet, daß an Ausgänge (5) des Mikroprozessors (1) Eingänge einer Logik­ schaltung (20) und an einen weiteren Ausgang (8) des Mikroprozessors (1) eine Zählschaltung (9) ange­ schlossen ist, daß Ausgänge der Zählschaltung (9) mit weiteren Ein­ gängen der Logikschaltung (20) verbunden sind und daß ein Ausgang der Logikschaltung (20) mit dem Aus­ gang (19) der Anordnung verbunden ist.

5. Anordnung nach Anspruch 4, dadurch gekennzeich­ net, daß der weitere Ausgang (8) des Mikroprozessors (1) mit einem weiteren Eingang der Logikschaltung (20) verbunden ist.

6. Anordnung nach Anspruch 4, dadurch gekennzeich­ net, daß an den Ausgang der Logikschaltung (20) ein erster Eingang einer Torschaltung angeschlossen ist und daß der weitere Ausgang (8) des Mikroprozessors (1) gegebenenfalls über einen Impulsformer mit einem zweiten Eingang der Torschaltung verbunden ist.

7. Anordnung nach Anspruch 4, dadurch gekennzeich­ net, daß die Ausgänge (5) des Mikroprozessors (1) über Zwischenspeicher (21) an die Eingänge der Logik­ schaltung (20) angeschlossen sind.

8. Anordnung nach einem der Ansprüche 3 bis 7, dadurch gekennzeichnet, daß ferner eine an sich be­ kannte Schaltung zur Überwachung eines Mikroprozes­ sors (1) mit einer monostabilen Kippschaltung (17) vorgesehen ist.

9. Anordnung nach einem der Ansprüche 4 bis 8, dadurch gekennzeichnet, daß die Logikschaltung (20) eine programmierbare Logikschaltung (PLA, PLD, PAL) ist.

10. Anordnung nach einem der Ansprüche 4 bis 8, dadurch gekennzeichnet, daß die Logikschaltung (20) von einem Nur-Lese-Speicher (PROM) gebildet ist.

11. Anordnung zur Durchführung des Verfahrens nach Anspruch 2, dadurch gekennzeichnet, daß an Ausgänge (5) des Mikroprozessors (1) eine erste Gruppe von Eingängen (6) einer Vergleichsschaltung (7) und an einen weiteren Ausgang (8) des Mikroprozessors (1) eine Zählschaltung (9) angeschlossen ist,
daß Ausgänge der Zählschaltung (9) Mit Adressenein­ gängen eines Schreib-Lese-Speichers (RAM) verbunden sind,
daß Ausgänge des Schreib-Lese-Speichers an eine zweite Gruppe von Eingängen (12) der Vergleichsschal­ tung (7) angeschlossen sind und
daß in einem dem Mikroprozessor zugeordneten Nur- Lese-Speicher (2) gespeicherte Daten beim Start des Programms in den Schreib-Lese-Speicher (11) ein­ schreibbar sind.

12. Anordnung nach Anspruch 3, dadurch gekennzeich­ net, daß im Nur-Lese-Speicher (23) ferner den Prüf­ stellen zugeordnete vorgegebene Zeitabstände abge­ legt sind,
daß ein weiterer Zähler (24) mit vom Mikroprozessor (1) unabhängig erzeugten Zählimpulsen versorgt ist, daß von jedem vom weiteren Ausgang des Mikroprozes­ sors (1) abgegebenen Impuls der weitere Zähler (24) auf einen dem zugehörigen Zeitabstand entsprechenden Wert gesetzt wird und
daß Mittel zur Abgabe eines Signals vorgesehen sind, wenn der Zählerstand des weiteren Zählers (24) einen vorgegebenen Wert erreicht.