DE2903638C2 - - Google Patents

Description

Die Erfindung geht aus von einer Überwachungseinrichtung nach der Gattung des Hauptanspruches.

Es ist bekannt, bei programmgesteuerten Vorrichtungen Über­ wachungseinrichtungen vorzusehen, die einen ordnungsgemäßen Ablauf des Programms überwachen. Hierzu ist es beispiels­ weise bekannt, sogenannte Testprogramme ablaufen zu lassen, bei denen alle Funktionen der programmgesteuerten Vorrich­ tung nachgebildet werden. Je nach Art des dabei auftreten­ den Fehlersignales ist es dann möglich, den Fehler im Pro­ gramm zu lokalisieren. Diese Art der Überwachung hat je­ doch den Nachteil, daß die programmgesteuerte Vorrichtung für die Dauer der Überwachung durch das Testprogramm voll­ ständig beansprucht wird, was insbesondere bei solchen Vor­ richtungen, bei denen eine ununterbrochene Verarbeitung der Daten von Wichtigkeit ist, zu Schwierigkeiten führen kann.

Es ist weiterhin bekannt, programmgesteuerte Vorrichtungen derart zu überwachen, daß bei jedem Programmdurchlauf ein Kontrollimpuls gesetzt wird, um ein vollständiges Durch­ laufen des Programms anzuzeigen. Verwendet man jedoch ein derartiges Kontrollsignal zur laufenden Überwachung der Vorrichtung, kann dies ohne Einsatz weiterer Mittel dazu führen, daß die Vorrichtung auch bei kurzzeitigen Störun­ gen außer Betrieb gesetzt wird.

Dies ist jedoch insbesondere bei solchen programmge­ steuerten Vorrichtungen von Nachteil, die in stark stör­ verseuchter Umgebung arbeiten, beispielsweise von Mikro­ prozessoren gesteuerten Systemen in Kraftfahrzeugen. Bei diesen müssen aus Sicherheitsgründen Überwachungseinrich­ tungen vorgesehen werden, die eine Fehlererkennung auf­ weisen, die bei Ausfall oder Störung der Steuerung des Fahrzeuges durch Auslösen von Sicherungen einen sicheren Betriebszustand des Kraftfahrzeuges herbeiführen und even­ tuell für nicht sicherheitskritische Systemfunktionen eine Notfunktion starten, die eine Weiterfahrt zur nächsten Werk­ statt gestatten. Da dieser Störfall mit erheblichen Kosten für den Anwender verbunden ist, ist es notwendig, das An­ sprechen derartiger Überwachungseinrichtungen auf die Fälle zu beschränken, in denen das Steuergerät nicht mehr funktions­ fähig ist. Der Ausfall eines der eingangs geschilderten Kon­ trollimpulse ist hierfür jedoch kein sicheres Kriterium, da aufgrund der in Kraftfahrzeugen auftretenden unverhält­ nismäßig hohen Störpegel kurzzeitige, nicht systembedingte Betriebsstörungen und damit Ausfälle von Kontrollimpulsen möglich sind, die ihre Ursache jedoch nicht in einer Funk­ tionsunfähigkeit des Steuergerätes haben.

Aus der Zeitschrift Elektronik-Praxis, Nr. 6, Juni 1978, Seiten 16, 18 ist eine Überwachungsschaltung bekannt, mit der es möglich ist, dann einen Rücksetzimpuls für den Mikroprozessor abzugeben, wenn während eines Programmdurchlaufs wenigstens ein Kontrollsignal aus­ bleibt. Durch das Rücksetzsignal wird dann ein neuer Programmdurch­ lauf gestartet. Eine so ausgebildete Überwachung ist zwar in vielen Fällen hinreichend, erfüllt jedoch nicht immer alle Anforderungen, die an eine Überwachungseinrichtung, insbesondere in Kraftfahrzeugen, gestellt wird.

Aus der das Zusatzverhältnis begründenden Hauptanmeldung (DE-OS 28 42 392) ist eine Überwachungseinrichtung bekanntgeworden, bei der die erneute Aus­ lösung des Programmdurchlaufs in Abhängigkeit von dem Signal eines mit dem System verbundenen Bezugsmarkengebers durchführbar ist.

Es ist Aufgabe der Erfindung, die vorbekannte Überwachungs­ einrichtung so weiterzubilden, daß die Betriebssicherheit von mikro­ prozessorgesteuerten Systemen, insbesondere in Kraftfahrzeugen, weiter erhöht wird. Diese Aufgabe wird durch die im Anspruch 1 gekenn­ zeichneten Merkmale gelöst.

Die Überwachungseinrichtung gemäß vorliegender Zusatzanmeldung ist in Abwandlung gegenüber dem Hauptpatent nun auch bei Ausblei­ ben des Signals eines mit dem System verbundenen Bezugsmarken­ gebers der programmgesteuerten Vorrichtung aktivierbar.

Die erfindungsgemäße Überwachungseinrichtung mit den kennzeichnenden Merkmalen des Hauptanspruchs hat demgegebenüber den Vorteil, daß auch beim Fehlen des Signals eines Bezugsmarkengebers das System in einen definierten Zustand bringbar ist. Eine fehlerhafte Auswertung kann dadurch behoben werden oder z. B. eine Notschalteinrichtung betätigt werden.

Drei Ausführungsbeispiele der Erfindung sind in der Zeich­ nung dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt

Fig. 1 eine Schaltungsausfüh­ rung eines ersten Ausführungsbeispiels einer Überwachungs­ einrichtung mit Restart-Auslösung,

Fig. 2 eine Schaltungs­ ausführung eines zweiten Ausführungsbeispiels einer Über­ wachungseinrichtung mit Restart-Auslösung und

Fig. 3 eine Schaltungsausführung eines dritten Ausführungsbeispiels einer Überwachungseinrichtung mit Interrupt-Auslösung.

In Fig. 1 ist eine programmgesteuerte Vorrichtung 10, bei­ spielsweise ein von Mikroprozessoren gesteuertes System in einem Kraftfahrzeug, dargestellt. Die programmgesteuerte Vorrichtung 10 weist eine zu jedem Zeitpunkt setzbare mono­ stabile Kippstufe (sogenanntes retriggerbares Monoflop) 101 auf. Eine derartige monostabile Kippstufe 101 hat die Eigenschaft, im gesetzten Zustand zu verharren, wenn während der Standzeit weitere Setzimpulse angelegt werden. Dabei wird von jedem neuen Setzimpuls die monostabile Kippstufe 101 wie­ derum für die gesamte Standzeit gesetzt. Dies bedeutet, daß die monostabile Kippstufe 101 nur dann abfällt, wenn während einer Zeit, die größer als die Standzeit ist, einmal kein neuer Setzimpuls angelegt wird. Der invertierte Ausgang der monostabilen Kippstufe 101 ist mit dem Setzeingang S einer weiteren monostabilen Kippstufe 11 sowie dem Takteingang eines JK-Flipflops 13, das als Koinzidenzschaltung 12 dient, verbunden. Der Ausgang des JK-Flipflops 13 ist an einen Eingang eines ODER-Gatters 14 angeschlossen, mit dessen Ausgang eine Notschalteinrichtung 15, im dargestellten Ausführungsbeispiel ein Schalter 16 mit Ruhekontakt, an­ steuerbar ist. Der J-Eingang des JK-Flipflops 13 ist an den Ausgang Q der weiteren monostabilen Kippstufe 11 ange­ schlossen, der gleichzeitig mit einem invertierten Ein­ gang eines UND-Gatters 17 verbunden ist. Ein weiterer invertierter Eingang des UND-Gatters 17 ist mit dem Aus­ gang Q der monostabilen Kippstufe 101 verbunden. Dieser ist weiterhin über ein RC-Glied 18, 19 an einen Eingang eines NAND- Gatters 20 gelegt, dessen zweiter Eingang mit dem inver­ tierten Ausgang Q der monostabilen Kippstufe 101 verbunden ist. Der Ausgang des NAND-Gatters 20 ist mit einem Eingang (Restart-Eingang) 102 der programmgesteuerten Vorrichtung 10 verbunden, über den dieser Schaltbefehle für einen erneuten Durchlauf des Programms zuführbar sind. Es ist weiterhin ein aus einem RC-Glied 22, 23 bestehendes Zeitglied vorgesehen, das über eine Klemme 21 mit der Versorgungsspannung der Überwachungseinrichtung beschalt­ bar ist und dessen Ausgang über einen Invertierer 24 mit einem dritten invertierten Eingang des UND-Gatters 17 sowie dem Reset-Eingang R des JK-Flipflops 13 verbunden ist. Schließlich ist ein dritter Eingang des ODER-Gatters 14 auf eine Klemme 25 geführt.

Die Wirkungsweise der in Fig. 1 dargestellten Vor­ richtung ist wie folgt:

Wie bereits ausgeführt, ist die monostabile Kippstufe 101 der programm­ gesteuerten Vorrichtung 10 als retriggerbares Monoflop ausgebildet, d. h., daß in ordnungsgemäßem Betrieb der programmgesteuerten Vorrichtung 10 dem Setzeingang S bei jedem Programmdurchlauf wenigstens ein Kontrollimpuls zugeführt wird, wobei die Standzeit der monostabilen Kippstufe 101 größer als die Zykluszeit der Kontrollimpulse bemessen ist, so daß die monostabile Kippstufe 101 bei störungsfreiem Betrieb im gesetzten Zustand statisch verharrt. Am Ausgang Q liegt dann ein positives logisches Signal an, am inver­ tierten Ausgang liegt ständig logisch 0. Fällt nun aufgrund irgendeiner Störung ein Kontrollimpuls aus, fällt die monostabile Kippstufe 101 ab und am invertierten Ausgang liegt logisch 1. Dadurch wird der Takteingang des JK-Flip­ flops 13 angesteuert und die weitere monostabile Kippstufe 11 gesetzt. Aufgrund der Verzögerung mit der das Signal logisch 1 am Ausgang Q der weiteren monostabilen Kippstufe 11 erscheint, wird das JK-Flipflop 13 jedoch nicht gesetzt. Die Standzeit der weiteren monostabilen Kippstufe 11 ist wesentlich größer bemes­ sen als die der monostabilen Kippstufe 101. Typischerweise beträgt beispielsweise die Zykluszeit der Kontrollimpulse 8 ms, die Standzeit der monostabilen Kippstufe 102 12 ms und die Standzeit der weiteren monostabilen Kippstufe 11 50 ms. Beim Abfallen der monostabilen Kipp­ stufe 101 wird über das Funktionsglied, bestehend aus dem RC-Glied 18, 19 sowie dem NAND-Gatter 20, ein kurzer nega­ tiver Impuls erzeugt, der dem Eingang 102 der programm­ gesteuerten Vorrichtung 10 zugeführt wird und ein erneutes Starten des Programms bewirkt. Wird das Programm beim erneuten Durchlauf fehlerfrei durchlaufen, wird die monostabile Kipp­ stufe 101 wieder gesetzt. Tritt jedoch ein erneuter Aus­ fall eines Kontrollimpulses während der durch die weitere monostabile Kippstufe 11 bestimmten Standzeit von beispielsweise 50 ms auf, erscheint am invertierten Ausgang der monostabile Kippstufe 101 eine Schaltflanke und das JK-Flipflop 13 wird nun umge­ schaltet. In diesem Fall wird über das ODER-Gatter 14 die Notschalteinrichtung 15 betätigt. Beispielsweise kann der Schalter 16 mit einem Ruhekontakt aufgetrennt werden, der in der Stromversorgung der programmgesteuerten Vorrichtung 10 angeordnet ist.

Es ist jedoch auch möglich, daß nach erneutem Starten des Programms überhaupt kein weiterer Kontrollimpuls mehr auftritt. In diesem Falle bleibt der Ausgang Q der monostabilen Kippstufe 101 statisch auf 0, der Ausgang Q der weiteren monostabilen Kippstufe 11 geht nach deren Standzeit ebenfalls auf 0. Dies bedeutet, läßt man einmal den dritten invertierten Eingang außer Betracht, daß das UND-Gatter 17 durchschal­ tet und ebenfalls über das ODER-Gatter 14 die Notschalt­ funktion auslöst.

Handelt es sich jedoch beim ersten Ausfall des Kontroll­ impulses um eine vorübergehende Störung, und treten während der Standzeit der weiteren monostabilen Kippstufe 11 keine weiteren Aus­ fälle mehr auf, werden beide Eingänge des JK-Flipflops 13 mit 0 beaufschlagt, so daß dieses nicht mehr umschaltet und auch die beiden ersten Eingänge des UND-Gatters 17 werden mit einem 0- bzw. 1-Signal beaufschlagt, so daß auch über das UND-Gatter 17 kein Auslösesignal mehr auf die Notschalteinrichtung 15 gelangt. Die Überwachungseinrich­ tung, die durch den Ausfall des ersten Kontrollimpulses gesetzt wurde, wird demnach in diesem Betriebsfall nach Ablauf der Standzeit der weiteren monostabilen Kippstufe 11 von selbst desaktiviert. Es ist außerdem möglich, ein Signal über die Klemme 25 einem weiteren Eingang des ODER-Gatters 14 oder dem PRESET-Eingang P des JK-Flipflops 13 zuzuführen, um die Notschalteinrichtung 15 in Abhängigkeit von anderen Kri­ terien anzusteuern.

Um zu vermeiden, daß die erfindungsgemäße Überwachungs­ einrichtung bei jeder Inbetriebnahme der programmgesteu­ erten Vorrichtung 10 anspricht, wird die Versorgungs­ spannung auf die Klemme 21 geführt und erzeugt über das Zeitglied, bestehend aus dem RC-Glied 22, 23 und dem Inver­ tierer 24, für eine kurze Zeit ein positives logisches Signal. Dies bewirkt einerseits, daß das JK-Flipflop 13 über den Reset-Eingang R angesteuert wird und damit nicht umgeschaltet werden kann, andererseits ist durch einen dritten invertierten Eingang des UND-Gatters 17 gewähr­ leistet, daß auch dieses während der Einschaltphase nicht umgeschaltet werden kann. Nach einer durch das RC-Glied 22, 23 bestimmten Zeit verschwindet das Signal am Ausgang des Invertierers 24 und die Überwachungseinrichtung kann in der oben beschriebenen Weise ausgelöst werden.

Fig. 2 zeigt den Stromlaufplan einer RESTART-Schaltung, wie sie bei einer erfindungsgemäßen Überwachungseinrich­ tung verwendet werden kann. Ein die Kontrollimpulse füh­ render Ausgang der programmgesteuerten Vorrichtung 10 ist an ein Differenzierglied, bestehend aus einem Kondensator 30 und einem Widerstand 31, angeschlossen, das mit der Basis eines Transistors 32 verbunden ist. Der Kollektor dieses Transistors 32 liegt über einen Widerstand 33 an einem RC-Glied, bestehend aus einem Kondensator 34 und einem Widerstand 35, die in Serie mit einem Widerstand 36 zwischen Masse und eine an eine Klemme 37 gelegte Bezugsspannung geschaltet sind. Die Reihenschaltung von Kondensator 34 und Widerstand 35 ist einmal mit einer Zenerdiode 38 und zum anderen mit einem Kondensator 39 überbrückt. Der Verbindungspunkt von Kondensator 34 und Widerstand 35 ist über eine Diode 40 mit der Basis eines Transistors 41 verbunden, der mit einem anderen Transi­ stor 42 in Reihe zwischen Masse und den einen neuen Pro­ grammdurchlauf bewirkenden Eingang (RESTART-Eingang) 102 der programmgesteuerten Vorrichtung 10 geschaltet ist.

Die Wirkungsweise der in Fig. 2 dargestellten Schaltung ist wie folgt:

Die bei ordnungsgemäßem Betrieb periodisch auftretenden Kontrollimpulse der programmgesteuerten Vorrichtung 10 werden differenziert und gelangen auf die Basis des Tran­ sistors 32, der dadurch periodisch durchgeschaltet wird und den Kondensator 34, der aus der an der Klemme 37 an­ liegenden Bezugsspannung aufladbar ist, periodisch ent­ lädt. Die Kondensatorspannung überschreitet daher bei ordnungsgemäßem Betrieb der programmgesteuerten Vorrich­ tung 10 einen bestimmten Pegel nicht. Zum Schutz des RC-Gliedes 34, 35 gegen Störspannungsspitzen sind der Widerstand 36 sowie die Zenerdiode 38 und der Kondensa­ tor 39 vorgesehen. Die Spannung am Kondensator 34 wird über die Diode 40 auf die Basis des Transistors 41 über­ tragen. Bei ordnungsgemäßem Betrieb der programmgesteuer­ ten Vorrichtung 10 ist der Transistor 41 gesperrt. Fällt jedoch ein Kontrollimpuls aus, steigt die Spannung am Kondensator 34 soweit an, daß der Transistor 41 durchge­ steuert wird. Für einen erneuten Durchlauf des Programms ist ein kurzer negativer Impuls am RESTART-Eingang 102 erforderlich. Dies wird beispielsweise in einer programm­ gesteuerten Vorrichtung 10 in einem Kraftfahrzeug dadurch bewirkt, daß von einem als Bezugsmarkengeber ausgebilde­ ter Impulsgenerator 43 kurzzeitig ein Impuls auf den anderen Transistor 42 übertragen wird. Ist der Transistor 41 auf­ grund des Ausbleibens eines Kontrollimpulses durchge­ schaltet, und wird der Transistor 42 durch den Impuls­ generator 43 ebenfalls kurzzeitig durchgeschaltet, so wird der RESTART-Eingang 102 kurzfristig mit Masse ver­ bunden. Dies bewirkt einen erneuten Durchlauf des Programms in der programmgesteuerten Vorrichtung 10.

Der Impulsgenerator 43 kann alternativ auch als astabiler Multivibrator ausgebildet sein, so daß nach Ausbleiben eines Kontrollimpulses durch viele Impulse am RESTART- Eingang 102 das Programm immer wieder zurückgesetzt wird, bis ein ordnungsgemäßer Programmdurchlauf erfolgt.

Bei dem in Fig. 3 dargestellten Ausführungsbeispiel ist der Verknüpfungspunkt zwischen dem Kondensator 30 und dem Widerstand 31 über einen Inverter 50 und die Kathoden- Anoden-Strecke einer dazu in Reihe geschalteten Diode 51 an den Verknüpfungspunkt zwischen dem Kondensator 34 und dem Widerstand 35 angeschlossen. Dieser Ver­ knüpfungspunkt ist über einen weiteren Inverter 52 und eine dazu in Reihe geschaltetes ODER-Gatter 53 an eine Eingangsklemme (Interrupt-Eingang) 103 der programmgesteuerten Vorrichtung 10 angeschlossen. Jeder Rechner, insbesondere jeder Mikrorechner, weist einen solchen Interrupt-Eingang 103 auf.

Ein Bezugsmarkengeber 54, wie er zur Steuerung z. B. der Zünd- und Einspritzvorgänge in Kraftfahrzeugen benötigt wird, ist über eine weitere Eingangsklemme 104 mit der programmgesteuerten Vorrichtung 10 verbunden, zur Steu­ erung derselben in Abhängigkeit des Auftretens von Be­ zugsmarken. Ein solcher Bezugsmarkengeber 54 ist bei einer Brennkraftmaschine mit der Kurbelwelle gekoppelt. Der Ausgang des Bezugsmarkengebers 54 ist über eine als Zeitglied arbeitende Schal­ tungsanordnung 56 mit einem weiteren Eingang des ODER- Gatters 53 verbunden. Diese Schaltungsanordnung 56 ent­ spricht der Schaltungsanordnung 55, die aus den Bauteilen 30, 31, 34 bis 37, 50 bis 52 besteht.

Die Wirkungsweise der in Fig. 3 dargestellten Schaltung ist wie folgt:

Wie bei den beiden ersten Ausführungsbeispielen gelangen die bei ordnungsgemäßem Betrieb periodisch auftretenden Kontrollimpulse der programmgesteuerten Vorrichtung 10, differenziert durch die Bauteile 30, 31, an den Steuer­ eingang eines retriggerbaren Zeitglieds. Dieses Zeitglied besteht aus den Bauteilen 34 und 35, sowie 50, 51. Während eines kurzen Kontrollsignals liegt am Ausgang des Inver­ ters 50 ein O-Signal, so daß sich der Kondensator 34 über die Diode 51 entladen kann. In der Folgezeit lädt sich der Kondensator 34 über den Widerstand 35 auf, bis eine erneute Entladung durch das folgende Kontrollsignal stattfindet. Die Bauteile sind dabei so dimensioniert, daß im regulären Betrieb die Kondensatorspannung des Kondensators 34 immer unterhalb der Ansprechschwelle des weiteren Inverters 52 bleibt. Am Ausgang dieses weiteren Inverters 52 liegt somit ständig ein 1-Signal. Fällt ein Kontroll­ signal aus, so lädt sich der Kondensator 34 weiter auf und überschreitet die Ansprechschwelle des weiteren Inverters 52, an dessen Ausgang dadurch ein O -Signal erzeugt wird, das am Interrupt-Eingang 103 anliegt. Der Interrupt-Eingang 103 wird durch Programmbefehle in regelmäßigen oder unregel­ mäßigen Schritten abgefragt. Der zugehörige Programmschritt sieht so aus, daß bei Anliegen eines 1-Signals ein Über­ gang zum nächsten Programmschritt und bei Anliegen eines O-Signals der Sprung zum Programmbeginn erfolgt. Durch eine solche Überwachungseinrichtung kann sich das Programm unter Verwendung weniger externer Bauelemente selbst über­ wachen und bei Fehlern einen erneuten Programmanlauf ein­ leiten.

Ein solches Rücksetzen des Programms, also praktisch des Programmzählers, auf seinen Anfang erfolgt auch dann, wenn ein Bezugsmarkensignal ausfällt, was entweder auf einen Fehler des Bezugsmarkengebers 54 oder auf den Stillstand desselben rückzuführen ist. Die der Schaltungsanordnung 55 entsprechende Schaltungsanordnung 56 erzeugt bei Aus­ bleiben eines solchen Bezugsmarkensignals ebenfalls ein O-Signal am Interrupt-Eingang 103, das analog dem zuvor Beschriebenen die Programmrücksetzung bewirkt.

Claims (3)

1. Überwachungseinrichtung für programmgesteuerte Vorrichtungen für von Mikroprozessoren gesteuerte Systeme, insbesondere Kraftfahr­ zeugen, bei denen während eines Programmdurchlaufs wenigstens ein Kontrollsignal abnehmbar ist und bei denen bei Ausbleiben des Kon­ trollsignals durch Auslösen eines Startsignals der Programmdurchlauf erneut auslösbar ist, dadurch gekennzeichnet, daß die erneute Aus­ lösung des Programmdurchlaufs auch bei Ausbleiben des Signals eines mit dem System verbundenen Bezugsmarkengebers (54) der programmge­ steuerten Vorrichtung (10) durchführbar ist.

2. Überwachungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß das Signal des Bezugsmarkengebers (54) einem setzbaren Zeitglied (56) zugeführt ist, dessen Ausgang mit einem ODER-Gatter (53) verbunden ist, der gleichzeitig das Ausgangssignal einer wei­ teren, auf die Kontrollsignale reagierenden Schaltungsanordnung (55) zugeführt ist und daß der Ausgang des ODER-Gatters (53) mit der programmgesteuerten Vorrichtung (10) verbunden ist.

3. Überwachungseinrichtung nach Anspruch 2, dadurch gekennzeichnet, daß der Ausgang des ODER-Gatters (53) mit einem Inter­ rupt-Eingang (103) der programmgesteuerten Vorrichtung (10) verbunden ist.