DE3704318C2 - Anordnungen zur Überwachung der Funktion eines Mikroprozessors - Google Patents

Description

Die Erfindung betrifft Anordnungen zur Überwachung der Funktion eines Mikroprozesses gemäß dem Oberbegriff der Patentansprüche 1, 2 und 9.

Bei elektronischen Steuergeräten mit einem Mikroprozessor ist es wichtig, die ordnungsgemäße Funktion des Mikroprozessors zu überwachen. Dieses trifft insbesondere für Steuergeräte in Kraftfahrzeugen zu, die sicherheits­ relevante Funktionen ausführen.

Eine bekannte Schaltungsanordnung zur Überwachung eines Mikroprozes­ sors besteht darin, daß eine monostabile Kippschaltung mit einem Ausgang verbunden ist, über welchen der Mikroprozessor bei ordnungsgemäßer Funktion innerhalb vorgegebener Zeitintervalle Impulse abgibt. Unterbleibt ein Impuls, so gerät die Kippschaltung in ihren stabilen Zustand, worauf ein Fehlersignal erzeugt, ein Reset des Mikroprozessors durchgeführt oder auf ein redundantes System umgeschaltet werden kann.

Bei dieser bekannten Schaltungsanordnung kann es - beispielsweise durch Störungen beim Programmablauf - vorkommen, daß die rechtzeitige Abgabe von Impulsen an die monostabile Kippschaltung erfolgt, obwohl eine Funk­ tionsstörung des Steuergerätes vorliegt.

In der DD 2 23 845 A1 ist eine Anordnung zur Erkennung von Fehlern in der Funktionsweise eines Mikrorechners bekannt. Dabei ist der Mikrorechner mit einer intelligenten Einheit verbunden, wobei die intelligente Einheit anlie­ gende Codierungen mit abgespeicherten Daten vergleicht.

Aus der DE 35 02 387 A1 ist es bekannt, daß eine Zentraleinheit mit einer Kontrolleinheit verbunden ist, die mehrere Speichereinheiten aufweist und welche die Kennung aller Kontrollpunkte mit der abgespeicherten erlaubten Kennung vergleicht. Wie dies im einzelnen realisiert wird, ist nicht zu ent­ nehmen.

Aufgabe der vorliegenden Erfindung ist es daher, die Sicherheit bei der Überwachung eines Mikroprozessors zu erhöhen.

Erfindungsgemäß wird die Aufgabe dadurch gelöst, daß an Ausgänge des Mikroprozessors eine erste Gruppe von Eingängen der Vergleichsschaltung und an einen weiteren Ausgang des Mikroprozessors eine Zählschaltung angeschlossen ist, daß Ausgänge der Zählschaltung mit Adressenein­ gängen eines Nur-Lese-Speichers (PROM) verbunden sind, in welchem die Solldaten enthalten sind, daß Ausgänge des Nur-Lese-Speichers an eine zweite Gruppe von Eingängen der Vergleichsschaltung angeschlossen sind und daß ein Ausgang der Vergleichsschaltung über eine UND-Schaltung mit dem Ausgang der Anordnung verbunden ist, wobei einem weiteren Eingang der UND-Schaltung der vom weiteren Ausgang des Mikroprozessors abgege­ bene Impuls zugeführt ist.

Der Speicher für die vorgegebenen Daten und die Vergleichsschaltungen können jedoch auch in vorteilhafter Weise gemäß einer anderen Ausbil­ dung dadurch realisiert werden, daß an Ausgänge des Mikroprozessors Ein­ gänge einer programmierbaren Logikschaltung und an einen weiteren Aus­ gang des Mikroprozessors eine Zählschaltung angeschlossen ist, daß Aus­ gänge der Zählschaltung mit weiteren Eingängen der Logikschaltung verbun­ den sind und daß ein Ausgang der Logikschaltung mit dem Ausgang der An­ ordnung verbunden ist.

Weiterbildungen der erfindungsgemäßen Anordnung verhindern ein Abge­ ben einer Fehlermeldung, die dadurch entstehen kann, daß die Zählschal­ tung während des gesamten Intervalls zwischen zwei Impulsen konstant die gleichen Daten an die Eingänge der Kippschaltung gibt, während an den Ausgängen des Mikroprozessors laufend wechselnde Werte anliegen. Dem­ entsprechend kann vorgesehen sein, daß der weitere Ausgang des Mikro­ prozessors mit einem weiteren Eingang der Logikschaltung verbunden ist.

Es kann jedoch anstelle dessen vorgesehen sein, daß an den Ausgang der Logikschaltung ein erster Eingang einer ODER-Schaltung angeschlossen ist und daß der weitere Ausgang des Mikroprozessors gegebenenfalls über ei­ nen Impulsformer mit einem zweiten Eingang der ODER-Schaltung verbun­ den ist.

Als weitere Möglichkeit kann die erfindungsgemäße Anordnung derart wei­ tergebildet sein, daß die Ausgänge des Mikroprozessors über Zwischenspei­ cher an die Eingänge der Logikschaltung angeschlossen sind.

Eine andere Weiterbildung der erfindungsgemäßen Anordnung besteht darin, daß ferner eine an sich bekannte Schaltung zur Überwachung eines Mikroprozessors mit einer monostabilen Kippschaltung vorgesehen ist.

Zweckmäßige Ausgestaltungen sehen vor, daß die Logikschaltung von ei­ nem Nur-Lese-Speicher (PROM) gebildet ist.

Die zu vergleichenden Daten entsprechen denjenigen Daten, die zusammen mit dem Programm im Programmspeicher (ROM) des Mikroprozessors abgelegt sind und von Prüfstelle zu Prüfstelle aufgerufen werden. Dabei ist es möglich, jeweils einem Programm ein PROM mit Vergleichsdaten zuzuordnen. Dieses hat jedoch den Nachteil, daß zu jedem Typ eines bereits programmier­ ten Gerätes ein spezielles PROM für die Überwachung geliefert und als Ersatzteil bereitgehalten werden muß. Dieser Nachteil kann dadurch vermieden werden, daß ein PROM mit Vergleichsdaten programmiert wird, welche bezüglich ihrer Anzahl, ihres Wertes und ihrer Reihenfolge bei verschiedenen Programmen für den Mikroprozessor berücksichtigt werden.

Sollte dieses im Einzelfall nicht zweckmäßig sein, kann gemäß einer anderen Ausbildung der Erfindung vorgesehen sein, daß an Ausgänge des Mikroprozessors eine erste Gruppe von Eingängen einer Vergleichs­ schaltung und an einen weiteren Ausgang des Mikropro­ zessors eine Zählschaltung angeschlossen ist, daß Ausgänge der Zählschaltung mit Adresseneingängen eines Schreib-Lese-Speichers (RAM) verbunden sind, daß Ausgänge des Schreib-Lese-Speichers an eine zwei­ te Gruppe von Eingängen der Vergleichsschaltung ange­ schlossen sind und daß in einem dem Mikroprozessor zugeordneten Nur-Lese-Speicher gespeicherte Daten beim Start des Programms in den Schreib-Lese-Spei­ cher einschreibbar sind.

Mit einer anderen Weiterbildung der Erfindung können unterschiedliche Laufzeiten von Prüfstelle zu Prüf­ stelle bei der Überwachung berücksichtigt werden. Diese sieht vor, daß im Nur-Lese-Speicher ferner den Prüfstellen zugeordnete vorgegebene Zeitabstände abgelegt sind, daß ein weiterer Zähler mit vom Mikro­ prozessor unabhängig erzeugten Zählimpulsen versorgt ist, daß von jedem vom weiteren Ausgang des Mikropro­ zessors abgegebenen Impuls der weitere Zähler auf einen dem zugehörigen Zeitabstand entsprechenden Wert gesetzt wird und daß Mittel zur Abgabe eines Signals vorgesehen sind; wenn der Zählerstand des weiteren Zählers einen vorgegebenen Wert erreicht.

Die Erfindung läßt zahlreiche Ausführungsformen zu. Drei davon sind schematisch in der Zeichnung an Hand mehrerer Figuren dargestellt und nachfolgend be­ schrieben. Es zeigt:

Fig. 1 ein erstes Ausführungsbeispiel mit einer Vergleichsschaltung,

Fig. 2 ein zweites Ausführungsbeispiel mit einer Logikschaltung,

Fig. 3 ein drittes Ausführungsbeispiel ebenfalls mit einer Logikschaltung und

Fig. 4 ein viertes Ausführungsbeispiel, bei welchem auch verschiedene Zeitabstände zwischen den Prüfstellen überwacht werden.

Gleiche Teile sind in den Figuren mit gleichen Bezugszeichen versehen.

Die Figuren stellen Blockschaltbilder dar und dienen im wesentlichen dazu, die Erfindung zu erläutern.

Eine Abwandlung im Rahmen des Fachmännischen ist durchaus möglich, beispielsweise können die einzel­ nen Baugruppen je nach Gegebenheiten im Einzelfall (beispielsweise die Breite der Bitströme) durch ein oder mehrere käufliche Bauelemente realisiert wer­ den.

Der zu überwachende Mikroprozessor 1 ist mit anderen Baugruppen Teil eines nicht dargestellten Steuersy­ stems. Als Beispiel für andere Baugruppen sind ledig­ lich ein Nur-Lese-Speicher 2, der zur Speicherung des für den Mikroprozessor 1 vorgesehenen Programms dient, sowie ein Schreib-Lese-Speicher 3 und eine Ein/Ausgabeeinheit 4 dargestellt, welche durch ein Bussystem 5 verbunden sind. Der Übersichtlichkeit halber wurde lediglich ein Bussystem dargestellt, das den Adressenbus, den Datenbus und einen Steuer­ bus umfaßt.

Das Bussystem 5 stellt Ausgänge dar, die mit einer ersten Gruppe 6 von Eingängen eines Komparators 7 verbunden sind.

Ein weiterer Ausgang 8 des Mikroprozessors 1 ist mit dem Zähleingang eines Zählers 9 verbunden, dessen parallele Ausgänge 10 mit Adreßeingängen eines Nur- Lese-Speichers (PROM) 11 verbunden sind. Ausgänge des Nur-Lese-Speichers 11 sind an eine zweite Gruppe 12 von Eingängen der Vergleichsschaltung 7 ange­ schlossen. Ein Ausgang der Vergleichsschaltung 7, der bei Abweichungen der Signale an beiden Gruppen von Eingängen eine Eins abgibt, ist einem ersten Ein­ gang einer UND-Schaltung 13 zugeführt, deren Ausgang über eine ODER-Schaltung 18 mit einem Flip-Flop 14 verbunden ist, dessen einer Ausgang den Ausgang 15 der Anordnung bildet. Ein zweiter Eingang der UND- Schaltung 13 ist über einen Impulsformer 16 mit dem Ausgang 8 des Mikroprozessors 1 verbunden. Außerdem ist an den Ausgang 8 des Mikroprozessors in an sich bekannter Weise eine monostabile Kippschaltung 17 angeschlossen, deren Ausgangssignal mit Hilfe einer ODER-Schaltung 18 mit dem Ausgangssignal der UND- Schaltung 13 verknüpft wird.

In dem Programm des Mikroprozessors 1 sind Prüfstel­ len vorgesehen, an welchen der Mikroprozessor einer­ seits veranlaßt wird über den Ausgang 8 einen Impuls abzugeben und bei welchen andererseits für die jewei­ lige Prüfstelle typische Daten an das Bussystem und damit an die Eingänge 6 der Vergleichsschaltung gege­ ben werden. Bei der Erstellung des Programms ist darauf zu achten, daß einerseits die Prüfstellen innerhalb vorgegebener Zeitabstände durchlaufen wer­ den und daß andererseits unabhängig von Verzweigun­ gen und Schleifen die Reihenfolge der Prüfstellen eingehalten wird. Am besten sind sogenannte struktu­ rierte Programme dafür geeignet.

Der am Ausgang 8 abgegebene Impuls schaltet den Zäh­ ler 9 jeweils um eins weiter, so daß die Ausgangssig­ nale des Zählers 9 die jeweilige Prüfstelle bezeich­ nen und als Adresse für die im Nur-Lese-Speicher 11 gespeicherten Daten dienen.

Der Nur-Lese-Speicher 11 enthält die jeweils für eine Prüfstelle typischen Daten und gibt diese an die Eingänge 12 der Vergleichsschaltung 7. Solange die den Eingängen der Vergleichsschaltung zugeführ­ ten Daten übereinstimmen, gibt die Vergleichsschal­ tung eine Null an die UND-Schaltung 13, so daß kein Signal an den Setzeingang des Flip-Flops 14 gelangt und somit auch kein Fehlersignal am Ausgang 15 an­ liegt. Dabei wird vorausgesetzt, daß die monostabile Kippschaltung 17 in ihrem instabilen Zustand ver­ bleibt, da am Ausgang 8 innerhalb vorgegebener Zeit­ intervalle Impulse auftreten. Ist dieses nicht der Fall, so wird von der monostabilen Kippschaltung 17 über die ODER-Schaltung 18 das Flip-Flop 14 gesetzt und am Ausgang 15 entsteht ein Fehlersignal.

Die Ausführungsbeispiele nach den Fig. 2 und 3 unterscheiden sich vom Ausführungsbeispiel nach Fig. 1 dadurch, daß anstelle des Nur-Lese-Speichers 11 und des Vergleichers 7 eine programmierbare Logik­ schaltung 20 verwendet wird. Diese ist derart pro­ grammiert, daß nur bei einer passenden Kombination des Zählerstandes mit den Daten des Bussystems 5 am Ausgang eine Null ansteht.

Anstelle der programmierbaren Logikschaltung kann bei den Ausführungsbeispielen nach den Fig. 2 und 3 auch ein programmierbarer Nur-Lese-Speicher (PROM) verwendet werden, welchem der Zählerstand und die Daten des Bussystems als Adressen zugeführt werden.

Zur Vermeidung von falschen Fehlermeldungen, die dadurch entstehen, daß nach jedem Zählimpuls die Ausgänge des Zählers 9 ihren Wert bis zum nächsten Impuls behalten, das Bussystem 5 jedoch laufend andere Werte ausgibt, wird der Zählimpuls bei dem Ausführungsbeispiel nach Fig. 2 einem weiteren Ein­ gang der Logikschaltung 20 zugeführt. Die Logikschal­ tung 20 ist derart programmiert, daß zwischen den Zählimpulsen unabhängig von den Werten an den ande­ ren Eingängen eine Null am Ausgang ansteht.

Bei dem Ausführungsbeispiel nach Fig. 3 dient zur Vermeidung von falschen Fehlermeldungen ein Zwischen­ speicher 21, in welchen die Daten des Bussystems 5 mit jedem Zählimpuls eingeschrieben werden und dann ebenso wie der Zählerstand bis zum nächsten Zähl­ impuls an den Eingängen der Logikschaltung 20 anlie­ gen.

Das Ausführungsbeispiel gemäß Fig. 4 ist ähnlich wie das in Fig. 1 dargestellte aufgebaut. Die Reihenfol­ ge der Prüfstellen wird genauso überwacht. Die Über­ wachung bezüglich der vorgegebenen Zeitabstände er­ folgt bei dem Ausführungsbeispiel nach Fig. 4 jedoch dadurch, daß im Nur-Lese-Speicher 23 ferner der jeweils einer Prüfstelle zugeordnete Zeitabstand abgelegt ist.

Dieser vorgegebene Zeitabstand ist um einen Toleranz­ wert größer als die bei normaler Funktion des Mikro­ prozessors bis zur folgenden Prüfstelle benötigte Zeit, die von Prüfstelle zu Prüfstelle verschieden sein kann.

Bei jedem Zählimpuls, der vom Mikroprozessor abgege­ ben wird, wird ein weiterer Zähler 24 auf einen dem jeweiligen Zeitabstand entsprechenden Wert gesetzt. Dazu wird einem Enable-Eingang des weiteren Zählers, der als Abwärtszähler ausgebildet ist, über einen Impulsformer 25 der vom Mikroprozessor abgegebene Zählimpuls zugeführt.

Der weitere Zähler 24 wird von einem Signal getak­ tet, das unabhängig vom Mikroprozessor erzeugt wird. Bei normaler Funktion des Mikroprozessors wird der Zähler wieder gesetzt, bevor er den Wert 0 erreicht. Fällt der Mikroprozessor jedoch aus oder bleibt er in einer Programmschleife hängen, so zählt der wei­ tere Zähler 24 bis 0 und an einem Ausgang wird eine 1 abgegeben, die über die ODER-Schaltung 18 zum Aus­ gang geleitet wird.

Bei den Ausführungsbeispielen nach den Fig. 2, 3 und 4 wurde auf eine Speicherung des Fehlersignals verzichtet, wie sie bei dem Ausführungsbeispiel nach Fig. 1 mit Hilfe des Flip-Flops 14 vorgenommen wird. Es ist durchaus möglich, auch kurze Fehlersignale auszuwerten, beispielsweise damit einen Reset des Mikroprozessors 1 durchzuführen, wie es in Fig. 2 mit der gestrichelten Linie angedeutet ist. Es sind verschiedene Reaktionen auf die Fehlermeldung mög­ lich, z. B.:

• 1. auf ein redundantes System umschalten,
• 2. das fehlerhafte System ganz abschalten und eine Warnlampe einschalten (dann muß der Anwender ent­ scheiden),
• 3. Reset des Systems, erneuter Versuch,
• 4. es kann eine bestimmte Anzahl von Neustartver­ suchen des Systems zugelassen werden.

Claims (10)

1. Anordnung zur Überwachung der Funktion eines Mikroprozessors, bei welcher der Mikroprozessor mit einer Vergleichsschaltung verbunden ist, die vom Mikroprozessor gelieferte Daten mit abgespeicherten Solldaten vergleicht, dadurch gekennzeichnet, daß an Ausgänge (5) des Mikro­ prozessors (1) eine erste Gruppe von Eingängen (6) der Vergleichs­ schaltung (7) und an einen weiteren Ausgang (8) des Mikroprozessors (1) eine Zählschaltung (9) angeschlossen ist, daß Ausgänge der Zähl­ schaltung (9) mit Adresseneingängen eines Nur-Lese-Speichers (PROM) (11) verbunden sind, in welchem die Solldaten enthalten sind, daß Aus­ gänge des Nur-Lese-Speichers (11) an eine zweite Gruppe von Eingän­ gen (12) der Vergleichsschaltung (7) angeschlossen sind und daß ein Ausgang der Vergleichsschaltung (7) über eine UND-Schaltung (13) mit dem Ausgang (15) der Anordnung verbunden ist, wobei einem weiteren Eingang der UND-Schaltung (13) der vom weiteren Ausgang (8) des Mi­ kroprozessors (1) abgegebene Impuls zugeführt ist.

2. Anordnung zur Überwachung der Funktion eines Mikroprozessors, bei welcher der Mikroprozessor mit einer Vergleichsschaltung verbunden ist, die vom Mikroprozessor gelieferte Daten mit abgespeicherten Solldaten vergleicht, dadurch gekennzeichnet, daß an Ausgänge (5) des Mikro­ prozessors (1) Eingänge einer speichernden und vergleichenden pro­ grammierbaren Logikschaltung (20) und an einen weiteren Ausgang (8) des Mikroprozessors (1) eine Zählschaltung (9) angeschlossen ist, daß Ausgänge der Zählschaltung (9) mit weiteren Eingängen der Logikschal­ tung (20) verbunden sind und daß ein Ausgang der Logikschaltung (20) mit dem Ausgang (19) der Anordnung verbunden ist.

3. Anordnung nach Anspruch 2, dadurch gekennzeichnet, daß der wei­ tere Ausgang (8) des Mikroprozessors (1) zur Vermeidung von falschen Fehlermeldungen mit einem weiteren Eingang der Logikschaltung (20) verbunden ist.

4. Anordnung nach Anspruch 2, dadurch gekennzeichnet, daß an den Ausgang der Logikschaltung (20) ein erster Eingang einer ODER- Schaltung (18) angeschlossen ist und daß der weitere Ausgang (8) des Mikroprozessors (1) mit einem zweiten Eingang der ODER-Schaltung (18) verbunden ist.

5. Anordnung nach Anspruch 4, dadurch gekennzeichnet, daß der weitere Ausgang (8) des Mikroprozessors (1) über einen Impulsformer mit dem zweiten Eingang der ODER-Schaltung (18) verbunden ist.

6. Anordnung nach Anspruch 2, dadurch gekennzeichnet, daß die Aus­ gänge (5) des Mikroprozessors (1) zur Vermeidung von falschen Feh­ lermeldungen über Zwischenspeicher (21) an die Eingänge der Logik­ schaltung (20) angeschlossen sind.

7. Anordnung nach einem der Ansprüche 1 bis 6, dadurch gekennzeich­ net, daß ferner eine an sich bekannte Schaltung zur Überwachung eines Mikroprozessors (1) mit einer monostabilen Kippschaltung (17) vorgese­ hen ist.

8. Anordnung nach einem der Ansprüche 2 bis 6, dadurch gekennzeich­ net, daß die programmierbare Logikschaltung (20) von einem program­ mierbaren Nur-Lese-Speicher (PROM) gebildet ist.

9. Anordnung zur Überwachung der Funktion eines Mikroprozessors, bei welcher der Mikroprozessor mit einer Vergleichsschaltung verbunden ist, die vom Mikroprozessor gelieferte Daten mit abgespeicherten Solldaten vergleicht, dadurch gekennzeichnet, daß an Ausgänge (5) des Mikro­ prozessors (1) eine erste Gruppe von Eingängen (6) einer Vergleichs­ schaltung (7) und an einen weiteren Ausgang (8) des Mikroprozessors (1) eine Zählschaltung (9) angeschlossen ist, daß Ausgänge der Zähl­ schaltung (9) mit Adresseneingängen eines Schreib-Lese-Speichers (RAM) verbunden sind, daß Ausgänge des Schreib-Lese-Speichers an eine zweite Gruppe von Eingängen (12) der Vergleichsschaltung (7) an­ geschlossen sind und daß in einem dem Mikroprozessor zugeordneten Nur-Lese-Speicher (2) gespeicherte Daten beim Start des Programms in den Schreib-Lese-Speicher einschreibbar sind.

10. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß im Nur- Lese-Speicher (23) ferner den Prüfstellen zugeordnete vorgegebene Zeitabstände abgelegt sind, daß ein weiterer Zähler (24) mit vom Mikro­ prozessor (1) unabhängig erzeugten Zählimpulsen versorgt ist, daß von jedem vom weiteren Ausgang des Mikroprozessors (1) abgegebenen Impuls der weitere Zähler (24) auf einen dem zugehörigen Zeitabstand entsprechenden Wert gesetzt wird und daß Mittel zur Abgabe eines Si­ gnals vorgesehen sind, wenn der Zählerstand des weiteren Zählers (24) einen vorgegebenen Wert erreicht.