DE3243760A1

DE3243760A1 - Verfahren und einrichtung zur ueberwachung der funktion eines prozessors

Info

Publication number: DE3243760A1
Application number: DE19823243760
Authority: DE
Inventors: Dieter Dipl.-Ing.(FH) 6143 Lorsch Angermann; Klaus Dipl.-Ing.(FH) 6800 Mannheim Ell; Günter Dipl.-Ing.(FH) 6943 Birkenau Lehr
Original assignee: Brown Boveri und Cie AG Germany; BBC Brown Boveri AG Germany
Current assignee: BBC Brown Boveri AG Germany
Priority date: 1982-11-26
Filing date: 1982-11-26
Publication date: 1984-05-30
Also published as: DE3243760C2

Description

Verfahren und Einrichtung zur Uberwachung der Funktion
eines Prozessors Die Erfindung betrifft ein Verfahren zur tiberwachung der Funktion eines Prozessors sowie eine Einrichtung zur Durchführung eines solchen Verfahrens.
Für Einrichtungen, die die Funktion eines Prozessors, insbesondere die Verarbeitungszeit für bestimmte Programmteile überwachen, ist in der Fachsprache die Bezeichnung «Watchdog eingeführt. Mit solchen Einrichtungen können fehlerhafte Funktionen des Prozessors erkannt werden, die z.B. durch Netzstörungen, Bauelementeausfälle, Taktausfall oder fehlerhafte Programme verursacht sind.
Es ist bekannt, in Watchdog-Schaltungen nachtriggerbare monostabile Kippglieder zu verwenden. Solche Lösungen sind in dem Aufsatz Watchdoa-Schaltunaen erkennen Mikroprozessor-Systemstörunen, ELEKTRONIK 1980, Heft lt, Seite 92 bis q4 beschrieben, sowie in E7ektronikpraxis Juni 1978, Seite 16 bis 18. Allerdings arbei- ten monostabile Kippglieder, in#sbesondere in der Ausfilhrung als integrierter Schaltkreis nicht immer zuverlässig. Außerdem ist in den bekannten Schaltungen der Ausfall des Watchdog nicht erkennbar.
Weiterhin sind z.B. aus Electronic Design 5. Aug. 1982, Seite 165 bis 173, insbesondere Seite 172, links oben, Watchdog-Schaltungen bekannt, die einen Zähler enthalten. Diese bekannten Schaltungen benutzen jedoch den Systemtakt bzw. eine software-abhängige Zählfunktion oder Voreinstellung. Das bedeutet, daß die Uberwachungs schaltung nicht mehr arbeitet, wenn der Systemtakt ausfällt, oder wenn der Zähler vom Prozessor aufgrund eines Softwarefehlers falsche Vorgaben bekommt.
Besonders bei Anwendungen in der Automatisierungstechnik werden berwachungsschaltunaen benötigt, die zuverlässig arbeiten und durch eine abgestufte Reaktion auf Fehler dazu beitragen, die Funktion des Automatisierungssystems möglichst lange aufrechtzuerhalten. Die einwandfreie Funktion der ffberwachunasschaltunq soll durch den Prozessor überprüft werden können.
Es ist Aufgabe der Erfindung, unter Vermeidung der Nachteile bekannter Watchdog-Schaltungen eine Lösung anzugeben, die den vorgenannten Anforderungen entspricht.
Diese Aufgabe wird durch das im Anspruch 1 angegebene Verfahren gelöst.
Ausgestaltungen und eine Einrichtung zur Durchführung des Verfahrens sind in den Unteransprüchen angegeben.
Ein Vorteil der erfindungsgemäßen Lösung besteht insbesondere darin, daß aufgrund der gestuften Reaktion auf Fehlfunktionen vorübergehende Störungen nicht zu einem Ausfall der gesamten Baueinheit oder des Systems führen, sondern selbsttätig korrigiert werden. Die Uberwachungseinrichtung arbeitet unabhängig vom Systemtakt des Prozessorsystems; ihre Funktion wird jedoch durch den Prozessor überprüft. Prozessor und Watchdog überwachen sich also gegenseitig.
Ein Ausführungsbeispiel ist in der Zeichnung dargestellt und wird nachstehend beschrieben.
Ein Prozessor lt, der durch einen Oszillator 3 getaktet wird, ist mit einer flberwachungseinrichtung (Watchdog) verbunden, die aus einem Zähler 2 und einem Oszillator 1.
besteht.
Der Zähler 2 mit x Stufen hat einen dynamisierten Rücksetzeingang. Damit wird erreicht, daß der Zähler bei einer statischen Störung des Rücksetzsignals nicht festgehalten wird.
Die Frequenz des frei schwingenden Oszillators 1 wird durch die erforderliche Uberwachungszeit und durch die Zahl x der verfügbaren Zählerstufen bestimmt. Die Art des Oszillators 1 ist abhängig von der geforderten Genauigkeit. Bei hohen Genauigkeitsfprderungen kann z.B.
ein Quarzoszillator verwendet werden.
Die gestufte Fehlerreaktion läuft wie folgt ab.
Der Zähler 2 wird durch den Oszillatortakt hochgezählt.
Bei richtiger Programmsequenz wird der Zähler 2 vom Prozessor 4 durch ein Hardware-Signal, das durch eine entsprechende Anweisung im Programm erzeugt wird, dynamisch auf den Wert 0 zurückgesetzt, bevor die Stufe n erreicht ist. Bei falscher oder unterbrochener Programmsequenz wird der Zähler 2 nicht rechtzeitig zurückgesetzt, so daß die Stufe n erreicht wird. Dadurch wird eine Pro- gramm-Unterbrechung (Interrupt) ausgelöst, wobei es sich möglichst um einen software-unabhängigen (non maskable) Interrupt handeln sollte. Durch die Ausführung der Interrupt-Service-Routine wird ein Neustart des Programmlaufs oder ein Sprung an eine bestimmte Programmstelle veranlaßt. Außerdem wird der Zähler 2 zurückgesetzt.
Wenn der Prozessor 4 nicht auf den Interrupt-Befehl reagiert und somit auch nicht den Zähler 2 zurücksetzt, erreicht der Zähler 2 die Stufe s. Damit wird ein Rücksetzen (Hardware-Reset) des Prozessors 4 ausgelöst, das zwangsweise einen Neustart wie beim Zuschalten der Versorgungsspannung zur Folge hat und außerdem den Zähler 2 zurücksetzt.
Reagiert der Prozessor lt auch auf die Zählerstufe s nicht, z.B. infolge eines Totalausfalls, so läuft der Zähler 2 weiter bis zur Stufe x, mit der ein prozessorunabhängiges Meldesignal erzeugt wird, mit dem u.a. auch der Prozessor inaktiv geschaltet werden kann.
Die berprüfung der Funktion der fiberwachungseinrichtung 1, 2 durch den Prozessor lt erfolgt mit Hilfe einer Zählerstufe m, die vor der Zählerstufe n liegt. Ein llberwachungsprogramm im Prozessor 4 prüft dabei ob jeweils nach einem Riieksetzbefehl innerhalb der durch den Oszillatortakt und die Zählerstufe m gegebenen Zeitspanne ein Signalwechsel an der Stufe m auftritt.

Claims

Ansprüche Verfahren zur berwachung der Funktion eines Prozessors mit Hilfe einer tlberwachungseinrichtung, die einen Zähler mit mehreren Ausgängen enthält, dadurch gekennzeichnet, daß a) ein Ausgangssignal (m) zur Eigenüberwachung der Uberwachungseinrichtung (1,2) mit Hilfe des Prozessors (4) genutzt wird, b) weitere Ausgangssignale (n,s,x) für eine gestufte Reaktion auf Fehler verwendet werden, c) der Zähler (2) von einem nur ihm zugeordneten Taktoszillator (1) gesteuert wird und d) der Prozessor (4) ein dynamisches Rücksetzsignal an den Zähler (2) gibt.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die gestufte Fehlerreaktion in der Weise erfolgt, daß a) ein Signal an einem Zählerausgang (n) im Prozessor einen vorzugsweise nichtmaskierbaren Interrupt auslöst, dessen Service-Routine einen Neustart des Programmlaufs oder die Fortsetzung des Programmlaufs an einer bestimmten Programmstelle veranlaßt und den Zahler (4) zurücksetzt, b) ein Signal an einem Zählerausgang (s) im Prozessor (lot) einen Hardware-Reset auslöst, der einen Neustart des Programmlaufs zur Folge hat und den Zähler (4) zurücksetzt und c) ein Signal an einen Zählerausgang (x) ein prozessorunabhängiges Meldesignal liefert.
3. f]berwachungseinrichtung zur Durchführung des Verfahrens nach Anspruch 1 oder 2, die einen Zähler mit mehreren Ausgängen enthält, dadurch gekennzeichnet, daß a) der Takteingang des Zählers (2) mit einem nur ihm zugeordneten Taktoszillator (1) verbunden ist und b) der Zähler (2) einen dynamischen Rücksetzeingang hat.