DE3336977A1

DE3336977A1 - Ausfallsicheres verfahren fuer einen fahrzeugcomputer

Info

Publication number: DE3336977A1
Application number: DE19833336977
Authority: DE
Inventors: Yoshikazu Tokyo Hirao; Shigeo Saitama Umesaki
Original assignee: Honda Motor Co Ltd; Oki Electric Industry Co Ltd
Current assignee: Honda Motor Co Ltd; Oki Electric Industry Co Ltd
Priority date: 1982-10-12
Filing date: 1983-10-11
Publication date: 1984-04-12
Also published as: GB2129587A; US4587655A; GB8327203D0; JPS5968004A; DE3336977C2; GB2129587B

Description

Beschreibung Ausfallsicheres Verfahren für einen Fahrzeugcomputer

IQ Die Erfindung bezieht sich auf ein ausfallsicheres Verfahren für Fahrzeugcomputer und insbesondere auf ein ausfallsicheres Verfahren für einen Fahrzeugeomputer, der den Betrieb einer Brennkraftmaschine steuert, die in einem Fahrzeug, wie z.B. einem Auto oder dergl., eingebaut ist.

Der Begriff "ausfallsicher" bedeutet ganz allgemein, daß das ganze System auf einer sicheren Seite arbeitet, wenn eine Fehlfunktion eines Geräts auftritt. Die Ausfallsicherheit ist bei Fahrzeugen, wie z.B. bei elektrischen Zügen und Autos, bei denen eine Funktionsstörung direkt zu einem ernsten Unfall führen kann, unerläßlich.

Zur Steuerung des Betriebs einer Brennkraftmaschine, die in einem Fahrzeug, wie z.B. in einem Auto oder dergl. eingebaut ist und die die Steuerung der Kraftstoffeinspritzung sowie des Zündzeitpunkts umfaßt, was bei der vorliegenden Erfindung beabsichtigt ist, ist das sogenannte elektronische Steuersystem, welches einen speicherprogrammierten Rechner bzw. Computer verwendet, in der Praxis eingeführt worden. Das Umfeld der Geräte, die in ein Auto eingebaut sind, ist jedoch ganz allgemein sehr schlecht, und die Geräte werden durch Vibrationen, Temperaturen, Störungen von außen, etc. beeinflußt.

Insbesondere dann, wenn die Störung, die zum Zeitpunkt der Zündung- einer Zündkerze hervorgerufen wird, auf einer Busleitung, etc. als elektrische Störung auftritt, kann dies dazu führen, daß, wenn siaae Zentraleinheit (auch CPU genannt) aus einem Speicher liest, der Lese-Befehl (READ) durch die Störung in einen HALT-Befehl geändert wird, so daß der normale Ablauf des Programms durch den Rechner gestoppt wird, obwohl er fortgesetzt werden sollte. Dabei wird insbesondere dann, wenn der HALT-Befehl während eines Ünterbrechungssperrzustands ausgeführt wird, der auf Software beruhende Wiederanlauf undurchführbar, und die Funktion des Rechners ist vollkommen verloren, was eine ernste Behinderung für den Betrieb des kontrollierten Systems mit sich bringt. 15

Um das oben genannte Problem, das durch eine Störung verursacht wurde, zu beseitigen, wurde bisher eine Methode angewandt, wie dies in Fig. 2 veranschaulicht ist. Im einzelnen bezeichnet in Fig. 2, die eine Systemkonfiguration eines Fahrzeugcomputers veranschaulicht, das Bezugszeichen 1 eine Fahrzeugcomputereinheit, die in der Hauptsache durch eine Zentraleinheit 2, einen Speicher 3 und eine Ein-ZAusgabeeinrichtung 4 gebildet ist. Diese Einrichtungen 2, 3 und 4 sind über Busleitungeh 5, 6 und 7 miteinander verbunden. Der Speicher 3 speichert ein Steuerprogramm zur Steuerung des Betriebs beispielsweise einer Brennkraftmaschine sowie verschiedene Daten, etc. Die Ein-/Ausgabeeinrichtung 4 hat die Aufgabe, Daten von außen einzugeben und Verarbeitungsergebnisse nach außen abzugeben. Die Zentraleinheit 2, aie aus einem Rechenverarbeitungsbereich, einem Registerbereich und einem Steuerbereich besteht, führt verschiedene Rechnungen aus und nimmt die Durchführung des Programms Vor.
35

Mit der Zentraleinheit 2 ist ein t)"kerraschungS-zeitgeber 8, der auch als

Zeitüberwachungseinheit bezeichnet wird, verbunden, welcher den Betrieb der Zentraleinheit 2 zu jeder Zeit überwacht. Der Zeitgeber 8 weist die oben erwähnte Ausfallsicherheitsfunktion auf, die die Zentraleinheit 2 in den normalen Zustand zurückführt, wenn eine Störung auftritt. Im einzelnen wird ein Rücksetzsignal a, das synchron mit dem Taktimpuls der Zentraleinheit 2 ist und das z.B. von einem Rücksetzausgangsanschluß RO der Zentraleinheit abgegeben wird, dem Zeitgeber 8 zugeführt. Für den Zeitgeber 8 wird ein Zählzustand für eine Zeitspanne, die langer ist als die des Rücksetzsignals a, festgesetzt, so daß dann, wenn sich die Zentraleinheit 2 im Normalzustand befindet, das Zählen des Zeitgebers 8 fortgesetzt wird, um mit dem Rücksetzsignal a zurückgesetzt zu werden. Beim Auftreten einer Störung aber wird die Ausgabe des Rücksetzsignals a gestoppt, so daß der Zeitgeber 8 den vorher eingestell-

ten Zeitpunkt erreicht und ein Initialisiersignal b abgibt, und zwar z„B. an einen Rücksetzeingangsanschluß RI der Zentraleinheit 2, um die Zentraleinheit· in den Anfangszustand zurückzuführen.

Ein solches konventionelles Verfahren erfordert jedoch eine zusätzliche Einrichtung einer Schaltungseinheit des Zeitgebers 8, was infolgedessen zu einem Anstieg der Kosten und der Größe der Rechnereinheit sowie zur Verschlechterung der Betriebssicherheit,die durch eine kompliziertere Schaltungsanordnung verusacht wird, und zu einer stärkeren Softwarebelastung führt, die den Zeitgeber 8 zurücksetzen muß, was ein weiteres Anwachsen der Kosten verursacht.

Der Erfindung liegt demgemäß die Aufgabe zugrunde, ein ausfallsicheres Verfahren für einen Fahrzeugcomputer zu schaffen, der den Betrieb beispielsweise einer Brennkraftmaschine steuert, wobei die oben genannten Nach-

teile des beim Stand der Technik angewandten Verfahrens beseitigt sein sollen.

Der Kernpunkt des Verfahrens gemäß der Erfindung beruht darauf, daß der oben genannte Rechner, insbesondere die Zentraleinheit, die Ausführung eines HALT-Befehls mit Hilfe einer Verknüpfungsschaltung, wie z.B. mittels einer NOR-Schaltung, ermittelt, die vom Rechner bereitgestellte Statusinformationen heranzieht, und daß dieser Rechner eine Unterbrechung in der höchsten Prioritätsebene in Übereinstimmung mit dem Ergebnis der Ermittelung vornimmt, um den betreffenden Rechner in den Anfangszustand zurückzusetzen.

Anhand von Zeichnungen wird die Erfindung nachstehend beispielsweise näher erläutert.

Fig. 1 zeigt in einem Diagramm die Systemkonfiguration eines Fahrzeugscomputers, bei dem die vorliegende Erfindung angewandt ist.

Fig. 2 zeigt in einem Diagramm die Systemkonfiguration eines konventionellen Fahrzeugcomputers.

In Fig. 1 ist mit dem Bezugszeichen 9 eine Fahrzeugcomputereinheit bezeichnet, die hauptsächlich durch eine Zentraleinheit 10, einen Speicher 11 und eine Ein-/Ausgabeeinrichtung 12 gebildet ist. Did Zentraleinheit 10 und der Speicher 11, die Zentraleinheit 10 und die Ein-/ Ausgabeeinrichtung 12 sowie der Speicher 11 und die Ein-/ Ausgabeeinrichtung 12 sind durch Busleitungen 13» I** und 15 zur Übertragung von Informationen miteinander verbunden.

Der Speicher 11 ist der gliche wie der in Fig. 2 gezeigte Speicher 3· Bei dem Ausführungsbeispiel wird ein Schreib-/

Lese-Speicher (RAM), wie z.B. ein IC-Speicher, verwendet. Der Speicher 11 speichert ein Steuerprogramm zur Durchführung beispielsweise der Steuerung des Betriebs einer Brennkraftmaschine, sowie verschiedene Daten und Ergebnisse von von der Zentraleinheit 10 durchgeführten arithmetischen Berechnungen. Die Ein-/Ausgabeeinrichtung 12, die die gleiche wie die in Fig. 2 gezeigte Ein-/Ausgabeeinrichtung 4 ist, hat die Aufgabe, erfaßte Daten von verschiedenen Sensoren, die an verschiedenen Punkten beispielsweise der Brennkraftmaschine angebracht sind, in die Zentraleinheit 10 einzugeben und Steuersignale . den verschiedenen Betätigungseinrichtungen im Kraftstoffversorgungssystem, Zündungssystem, etc. zuzuführen, und zwar in Übereinstimmung mit den Ergebnissen der von der Zentraleinheit 10 durchgeführten Berechnungen.

Die Zentraleinheit 10, die eine Recheneinrichtung, eine Registereinrichtung und eine Steuereinrichtung umfaßt, verwendet einen einzigen Großintegrations-Schaltkreis (8O85A, ein Produkt der Firma Intel Co.). Die Zentraleinheit 10 führt verschiedene arithmetische Berechnungen und das Programm aus. Grundsätzlich kann sie die gleiche Zentraleinheit wie die in Fig. 2 gezeigte Zentraleinheit 2 sein.

Wie oben erwähnt, besteht die Zentraleinheit 10 gewöhnlich aus einer einzigen Großintegrations-(LSl)-Anordnung. Diese Anordnungsart besitzt in der Regel eine Vielzahl von Statussignalausgangsanschlüssen, um den Status der Zentraleinheit nach außen anzuzeigen. Bei dieser Ausführungsform sind ^wei Statussignalausgangsanschlüsse S_ und S₁ verwendet,

Die Statussignalsugangsanschlüsse S^ und S₁ sind mit einer NOR-Schaltung 16 verbunden, deren Ausgangsanschluß

ι mit einem TRAP-Anschluß, der die höchste Priorität hat, verbunden ist. Die Statussignalausgangsanschlüsse S^ und S₁ können so eingestellt sein, daß irgendwelche Ausgangssignale bereitgestellt werden. Bei dieser Ausführungsform werden Statussignale gemäß der folgenden Wahrheitstabelle erzeugt.

Wahrheitstabeile

	Status	^so	0	NOR-Aus- gangssignal
(a)	Speicher oder Ein-/ Ausgabe-Speichern	1	1	O
(b)	Speicher oder Ein-/ Ausgabe-Lesen	0	1	O
(c)	Operationscode ab rufen oder Trap	1	0	O
(d)	HALT	0	1

Durch Decodieren des Zustands S_Q, S₁ = "0", "0" ist es möglich festzustellen, daß der HALT-Befehl ausgeführt wird. Gewöhnlich wird diese Status- bzw. Zustandsinformation verwendet, um den Zustand der Anordnung nach außen anzuzeigen; in der vorliegenden Erfindung wird diese Zustandsinformation aber dazu verwendet, die Ausfallsicherheit zu gewährleisten.

Darüber hinaus ist gewöhnlich eine Vielzahl von Unterbrechungsabfrageanschlüssen vorgesehen; nachdem aber der Ausgangsanschluß der NOR-Schaltung 16 mit dem TRAP-Anschluß, der ein Unterbrechungsabfrageanschluß höchster Prioritatsebene ist, verbunden ist, ist es möglich , eine Unterbrechung unabhängig davon zu bewirken, in welchem Zustand bzw. Status der Zentraleinheit 10 eine Fehlfunktion auftreten kann, z.B. sogar dann, wenn diese sich in einem Unterbrechungssperrzustand befindet.

Die Funktionsweise der Fahrzeugcomputereinheit 9> deren Aufbau oben beschrieben wurde, wird nunmehr beschrieben werden.

Im Normalzustand wird die Computereinheit 9 in einen der Zustände (a), (b) und (c) gehalten, so daß das Ausgangssignal der NOR-Schaltung 16 "0" ist bzw. einen niedrigen Pegel führt.

In dem Fall, daß der HALT-Befehl aufgrund einer Störung ausgeführt wird, die durch eine Störung von außen oder dergl. verursacht wurde, obwohl die Computereinheit selbst im Normalzustand ist, wird das Ausgangssignal der NOR-Schaltung 16 "1" bzw. führt einen hohen Pegel.

Da der TRAP-Anschluß ein Unterbrechungsabfrageanschluß in der Ebene höchster Priorität ist, wird die Unterbrechung sanf orderung folglich ohne Rücksicht auf den Zu- !stand der Computereinheit 9 angenommen, und zwar sogar, wenn z.B. der HALT-Befehl ausgeführt wird.

Eine derartige Unterbrechung ist dazu bestimmt, einen Sprung zu einer bestimmten Adresse zu bewirken; wenn unter bzw. nach dieser Adresse zunächst ein Programm gespeichert ist, das den Rechner in den Anfangszustand zurücksetzt, oder ein Sprung- bzw. JUMP-Befehl zur Adresse "0000", die die Anfangsadresse ist, wenn der Strom eingeschaltet wird, dann ist es möglich, das Steuerprogramm wieder anzufangen bzw. wieder zu star-, ten.

Demgemäß kehrt bei dieser Ausführungsform der Rechner bei der Ausführung des HALT-Befehls zum Anfangszustand zurück, womit es unmöglich wird, den HALT-Befehl im normalen Steuerprogramm unterzubringen; bei der Steuerung einer Brennkraftmaschine ist es aber gewöhnlich nicht notwendig, einen HALT-Befehl auszuführen. Wenn

-ιοί eine solche Ausführung aber nötig ist, kann ein JUMP-Befehl zum Springen zu einer vorbestimmten Adresse ausgenutzt verden.

Obwohl bei der oben beschriebenen Ausführungsform das Ausgangssignal der NOR-Schaltung i6 dem Unterbrechungsabfrageanschluß der höchsten Prioritätsebene zugeführt wird, kann es auch dem Rücksetζeingangsanschluß RI, wie in Fig. 2 gezeigt, zugeführt werden, um den Rechner in den Anfangszustand zurückzuführen; sogar in diesem Fall erzielt man die gleiche Wirkung. Obwohl darüber hinaus die oben beschriebene Ausführungsform sich auf vier Zustandsarten des Rechners und die Ausnutzung von zwei Zustandssignalanschlüssen, d.h. auf Zwei-Bit-Informationen bezieht, ist das Verfahren gemäß der vorliegenden Erfindung auf einen Rechner anwendbar, der eine Mehrzahl von Statussignalanschlüssen aufweist, und zwar unter Verwendung einer Verknüpfungsschaltung zur Ermittelung der Ausführung des HALT-Befehls.

Bei dem ausfallsieheren Verfahren gemäß der vorliegenden Erfindung für einen Fahrzeugcomputer werden Statusinformationen verwendet, die gewöhnlich zum Anzeigen des Zustands eines Rechners gebraucht werden, wie dies aus der obigen Beschreibung ersichtlich wird. Von diesem Rechner wird die lai fende Durchführung eines HALT-Befehls erfaßt; der Rechner wird aufgrund des erfaßten Ergebnisses in den Anfangszustand zurückgesetzt. Die Detektoreinrichtung zum Ermitteln solcher Zustandsinformationen kann aus einer sehr einfachen Schaltungsanordnung, wie z.B. einer NOR-Schaltung, bestehen, ohne daß eine Ermittelungs-Software, die bisher üblich war, gebraucht wird. Folglich ist es wegen einer vereinfachten Schaltungsanordnung möglich, eine Verminderung der Kosten zu erreichen und einen exakten Betrieb zu garantieren, d.h., daß ein zuverlässigeres ausfallsicheres Verfahren bereitgestellt werden kann.

P$.tentanvfalt -

. '41* .

Leerseite

Claims

Honda Giken Kogyo Kabushiki Kaisha 27-8, Jingumae ö-chome,
;Shibuya-ku, Tokyo, Japan

Patentansprüche

Ausfallsicheres Verfahren für einen Fahrzeugcomputer, dadurch gekennzeichnet, daß die Ausführung eines HALT-Befehls auf der Grundlage von Statusinformationen ermittelt wird, die der Computer (9) liefert, und daß in Übereinstimmung mit dem ermittelten Ergebnis eine solche Unterbrechung in der höchsten" Prioritätsebene durchgeführt wird, daß der Computer (9) in seinen Anfangszustand zurückgesetzt wird.
2. Verfahren nach Anspruch !,dadurch gekennzeichnet , daß die Ausführung eines HALT-Befehls mit Hilfe einer mit den Statusausgangs-

-Z-

anschlüssen (S , S ) des Computers (9) verbundenen Verknüpfungsschaltung (16) bewirkt wird.
3. Verfahren nach Anspruch 1,dadurch g e kennzeichnet, daß als Verknüpfungsschaltung (16) eine NOR-Schaltung verwendet wird.

k. Verfahren nach Anspruch 1,dadurch gekennzeichnet , daß die Unterbrechung in der höchsten Prioritätsebene mit einem Sprung-Befehl (JUMP) zu einer bestimmten Adresse, unter der ein Programm gespeichert ist, das den Computer (9) in seinen Anfangszustand zurücksetzt, vorgenommen wird.

5· Verfahren nach Anspruch 1,dadurch gekennzeichnet , daß die Unterbrechung in der höchsten Prioritätsebene mit einem Sprung-Befehl (JUMP) zur Startadresse auf eine Stromzuführung hin vorgenommen wird,