DE4039355A1

DE4039355A1 - Vorrichtung zur pruefung einer watchdog-schaltung

Info

Publication number: DE4039355A1
Application number: DE4039355A
Authority: DE
Inventors: Werner Dipl Phys Nitschke; Margit Dipl Ing Angerbauer; Michael Dipl Ing Hofsaess; Harald Dipl Ing Schweren
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1990-12-10
Filing date: 1990-12-10
Publication date: 1992-06-11
Anticipated expiration: 2010-12-11
Also published as: JPH04268646A; US5522040A; JP3280684B2; DE4039355C2

Description

Stand der Technik

Die Erfindung geht aus von einer Vorrichtung zur Prüfung einer Watchdog-Schaltung nach der Gattung des Hauptanspruchs. Bei Verwen dung einer Watchdog-Schaltung zur Überwachung einer Pulssequenz ei nes Mikrocomputers geht man davon aus, daß der Mikrocomputer während des Programmlaufes an einem Programmschritt "hängenbleibt" und die Watchdog-Schaltung nach Ablauf einer bestimmten Zeit einen Resetbe fehl an den Mikrocomputer abgibt. Dabei wird vorausgesetzt, daß die Watchdog-Schaltung stets fehlerfrei arbeitet. Aus der DE-OS 37 90 886 ist schon eine Watchdog-Schaltung bekannt, mit deren Hilfe im wesentlichen rechnergesteuerte Stellglieder sowie der Ausgang des Mikrocomputers überprüft werden. Eine Überwachung der Watchdog-Schaltung selbst findet jedoch nicht statt.

Eine zuverlässige Überwachung der Watchdog-Schaltung in Verbindung mit dem Mikrocomputer ist insbesondere bei zuverlässigkeits- und sicherheitsrelevanten Systemen erforderlich. Ein Beispiel hierfür sind Zündschaltungen oder Sicherheitseinrichtungen in Kraftfahrzeu gen wie Antiblockiersysteme oder passive Rückhaltesysteme wie Airbag oder Sicherheitsgurte, die im Moment des Aufpralls in Funktion tre ten müssen. Da jedoch nicht nur diese Systeme, sondern auch die Watchdog-Schaltung selbst fehlerhaft sein kann, ist es erforderlich, deren Funktionssicherheit in bestimmten Zeitabständen zu überprüfen und im Fehlerfall eine Alarmmeldung auszugeben. Bei Ausfall der Überwachungsvorrichtung bzw. der Watchdog-Schaltung könnte ein Feh ler im Mikrocomputer oder im Stellglied nicht mehr erkannt werden, so daß es zu einer Fehlfunktion kommen kann, was insbesondere in einem sicherheitsrelevanten System kritisch sein kann.

Vorteile der Erfindung

Die erfindungsgemäße Vorrichtung mit den kennzeichnenden Merkmalen des Hauptanspruchs hat demgegenüber den Vorteil, daß bei einem Test zyklus anhand der vorgegebenen Impulsfolge die einwandfreie Funktion der Watchdog-Schaltung überprüfbar ist. Denn bei Über- oder Unter schreiten von vorgegebenen Grenzwerten für die Impulsfolge muß die Watchdog-Schaltung ein Fehlersignal abgeben. Bleibt dieses Signal aus, dann ist dieses ein Zeichen für eine fehlerhafte Funktion der Watchdog-Schaltung.

Durch die in den Unteransprüchen aufgeführten Maßnahmen sind vor teilhafte Weiterbildungen und Verbesserungen der im Hauptanspruch angegebenen Vorrichtung möglich. Besonders vorteilhaft ist, daß die Impulsfolge schrittweise änderbar ist, da dadurch die Ansprechgrenze für die Watchdog-Schaltung exakt ermittelt werden kann.

Ein weiterer Vorteil ist darin zu sehen, daß das Signal der Watch dog-Schaltung einen Reset des Mikrocomputers auslöst. Dadurch wird der Programmlauf des Mikrocomputers unterbunden und der Mikrocompu ter auf die Startposition zurückgesetzt.

Auch ist als Vorteil anzusehen, daß die Impulsfolge für den Test zyklus der Watchdog-Schaltung vor Beginn des eigentlichen Arbeits programms abgegeben wird, da dadurch bereits nach dem Einschalten des Mikrocomputers ein Funktionsausfall der Watchdog-Schaltung er kennbar wird.

Um sicherzustellen, daß die Watchdog-Schaltung bei einwandfreier Funktion nicht erneut geprüft wird, ist es vorteilhaft, nach einem Reset-Befehl für den Mikrocomputer ein entsprechendes Codewort in einen Speicher einzuschreiben, das einerseits die Funktionsbereit schaft der Watchdog-Schaltung dokumentiert und andererseits die be reits erfolgte Prüfung erkennen läßt.

Besonders vorteilhaft ist, daß das Codewort in einem nichtflüchtigen Halbleiterspeicher abgelegt wird, damit es bei einem Spannungabfall nicht verlorengeht.

Ein weiterer Vorteil ist auch darin zu sehen, daß nach erfolgter Prüfung das Codewort geändert wird. Dadurch ist insbesondere nach dem Einschalten des Mikrocomputers die Möglichkeit gegeben, die Watchdog-Prüfung durchzuführen, wenn das Codewort fehlt. Dagegen unterbleibt die Prüfung, wenn das Codewort vorhanden ist.

Weitere Vorteile der Erfindung sind der Beschreibung entnehmbar.

Zeichnung

Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigen

Fig. 1 ein Blockschaltbild eines Ausführungsbeispiels; die Fig. 2 ein Pulsdiagramm und die Fig. 3 ein Flußdiagramm.

Beschreibung des Ausführungsbeispiels

In Fig. 1, ist ein Blockschaltbild mit einem Mikrocomputer 1 darge stellt, der neben den üblichen bekannten Bestandteilen eines Mikro computersystems wie Eingabe, Arbeitsspeicher und Recheneinheit einen Impulsgeber 11 enthält. Der Impulsgeber 11 entspricht dem bekannten Taktgenerator eines Mikrocomputers, der bei jedem Takt den Mikrocomputer 1 aktiviert. Der Impulsgeber 11 erzeugt beispielsweise positive Rechteckimpulse mit der Amplitude U und der Pulsdauer T_i (Fig. 2). Die Pausendauer zwischen zwei nachfolgenden Impulsen ist T_p. Durch ein im Mikrocomputer 1 gespeichertes Steuerprogramm ist der Impulsgeber 11 in der Lage, die Pausendauer T_p um eine Zeit dauer dt schrittweise zu verlängern, so daß der n-te-Impuls nach der Zeit nxdt folgt. Das bedeutet, daß die Pausendauer T_p von einem Impuls zum nächsten Impuls um eine gewisse Zeit nxdt vergrößert wird. Die Impulsfolge wird über den Ausgang 10 des Mikrocomputers 1 mittels der Leitung 3 auf den Eingang 11 einer Watchdog-Schaltung 4 gegeben. Der Ausgang 12 der Watchdog-Schaltung 4 ist über die Lei tung S mit dem Eingang 13 des Mikrocomputers 1 verbunden. Der Ein gang 13 ist als Reset-Eingang für den Mikrocomputer 1 ausgebildet. Desweiteren ist an dem Mikrocomputer 1 eine Anzeige 2 vorgesehen, die beispielsweise als LCD- oder LED-Anzeige ausgebildet ist.

In Fig. 2 ist eine Impulsfolge dargestellt, bei der die Impulse T_i in schrittweise zunehmendem Abstand folgen. Die Amplitude U sowie die Pulsdauer T_i sind konstant. Besonders einfach wirkt die Ansteuerung des Pulsgebers 11 dadurch, daß die kleinste Zeiteinheit für die Pausendauer T_p gleich der Zeit dt entspricht. Dadurch kann durch eine einfache Programmschleife die Pausendauer T_p gleich mäßig erhöht werden.

In weiterer Ausgestaltung der Erfindung ist es vorgesehen, anstelle der Verlängerung der Pausendauer die Pausendauer T_p konstant zu halten und die Pulsdauer _Ti in derselben Art und Weise, wie zuvor für die Pausendauer beschrieben wurde, zu verlängern. Es ist jedoch auch vorgesehen, die Puls- bzw. Pausendauer nicht zu verlängern, sondern schrittweise zu verkürzen. In diesem Fall muß von einer maximalen Puls- bzw. Pausendauer ausgegangen werden, die schrittweise verkürzt wird bis zu einem Minimum. Eine schrittweise Veränderung in sowohl Verlängerung als auch Verkürzung des Zeitin tervalls ermöglicht darüberhinaus den Test einer sogenannten Fensterwatchdog-Anordnung, das heißt, einer Watchdogschaltung, die sowohl eine untere als auch eine obere Grenze überwacht.

Im folgenden wird die Wirkungsweise dieser Schaltungsanordnung be schrieben.

Die Vorrichtung wird zur Funktionsprüfung einer Watchdog-Schaltung verwendet. Bei einem Kaltstart des Mikrocomputers 1, d. h. nach Anle gen der Betriebsspannung und Laden des Arbeitsprogrammes, wird der Mikrocomputer 1 zunächst durch einen Resetbefehl zurückgesetzt und zunächst der Impulsgeber 11 zur Aussendung einer nach Fig. 2 darge stellten Impulsfolge gestartet. Die Watchdog-Schaltung 4 empfängt über ihren Eingang 11 die ausgesandte Impulsfolge und mißt die Pau sendauer T_p. Liegt die Pausendauer T_p unterhalb eines bestimmten Grenzwerts, dann bleibt der Ausgang 12 der Watchdog-Schaltung 4 nicht aktiviert. Überschreitet die Pausendauer T_p den vorgegebenen Grenzwert, was nach einigen Impulsen aufgrund der stetig zunehmenden Pausendauer erreicht ist, dann wird der Ausgang 12 aktiviert und sendet ein entsprechendes Signal an den Eingang 13 des Mikrocompu ters 1. Da der Eingang 13 als Reset-Eingang dient, bewirkt das Signal ein Zurücksetzen des Mikrocomputers. Desweiteren wird aus einer Speicherzelle des Speichers 6 ein Codewort ausgelesen, das die Information für die Überschreitung des vorgegebenen Grenzwertes an gibt. Da das Codewort in Verbindung mit der den Grenzwert über schreitenden Pausendauer T_p das einwandfreie Funktionsverhalten der Watchdog-Schaltung signalisiert, wird nun das Arbeitsprogramm des Mikrocomputers 1 gestartet. Im nächsten Schritt wird jedoch das Codewort in der Speicherzelle des Speichers 6 gelöscht und eine neu trale Information eingeschrieben. Dieses hat den Vorteil, daß bei einem erneuten Kaltstart des Mikrocomputers 1 zunächst die Testfunk tion für die Watchdog-Schaltung 4 gestartet werden muß.

Ein weiteres besonders einfaches Ausführungsbeispiel für den Funk tionstest der Watchdog-Schaltung 4 ist darin zu sehen, daß anstelle der Impulsfolge lediglich ein 0- bzw. 1-Impuls gesendet werden. Diese Impulse sind so lang, daß beim 0-Impuls die Watchdog-Schaltung 4 noch nicht anspricht, während sie bei 1-Impuls auf jeden Fall an spricht. Damit ist auch gewährleistet, daß die Watchdog-Schaltung richtig arbeitet. Die Auswertung des Watchdog-Signals erfolgt in der gleichen Weise, wie es zuvor beschrieben wurde.

Das Flußdiagramm der Fig. 3 zeigt ein weiteres Ausführungsbeispiel der Erfindung, mit dem die Funktion einer Watchdog-Schaltung mit einem Fensterkomparator geprüft werden kann. Dabei wird zur Prüfung des Fensters üblicherweise die Periodendauer einer Pulsfolge auf einen minimalen und maximalen Grenzwert geprüft. Der Einfachheit halber wird angenommen, daß die Pulslänge T_i konstant ist und die Pausendauer T_p schrittweise verlängert bzw. verkürzt wird.

Gemäß der Fig. 3 wird nach dem Einschalten des Mikrocomputers und dem Laden des Programmes ein Reset ausgelöst (Position 29). In Posi tion 30 wird aus dem Speicher 6 das Kennwort 1 ausgelesen und in Position 31 überprüft. Ist es "neutral", dann wird in Position 32 ein Laufzähler auf eine beliebige Kennziffer, zum Beispiel 5, ge setzt. Der Zähler gibt an, wie lang die Impulsfolge zur Prüfung der Watchdog-Schaltung sein soll, d. h. wie viele Perioden mit der gleichen Periodendauer durchlaufen werden sollen. Diese Funktion dient in besonders vorteilhafter Weise einerseits dazu, daß eine Prüfredundanz erfolgt, die frei von Störsignalen oder Fehlmessungen ist. Andererseits wird durch die Wiederholung der Einzelimpulse sichergestellt, daß sich die physikalisch bedingten Schaltzeiten der Hardware-Komponenten auf das Meßergebnis nicht störend auswirken.

In einem Beispiel soll angenommen werden, daß die minimale Grenze für die Pausendauer T_min gleich 3 Millisekunden und die für die maximale Pausendauer T_max gleich 8 Millisekunden lang sei. Der Fenster-Watchdog soll nun jedesmal ein Reset-Signal an den Mikro computer 1 auf der Datenleitung 5 abgeben, wenn die minimale Grenze unterschritten oder die maximale Grenze überschritten ist. Um den Testlauf zu starten, wird daher in Position 33 eine mittlere Pausen dauer T_norm 6 ms angenommen. Dieser Wert wird als Codewort im Speicher 6 abgelegt. In Position 34 wird nun von der Watchdog-Über wachung überprüft, ob die Zeit T_norm zwischen den Grenzwerten 3 und 8 ms liegt. Ist die Bedingung erfüllt, wird der Zähler dekremen tiert, also auf vier reduziert (Position 35). In Position 36 wird geprüft, ob der Zähler den Wert null hat. Da im Zählerregister noch die vier steht, wird ein erneuter Impuls ausgesandt, mit der glei chen Impulslänge T_norm=6 ms ausgesandt, und die Abfrage beginnt wieder in Position 34. Ist nach fünf Zyklen, d. h. sind nun insge samt fünf Impulse T_i bzw. Pausendauer T_p ausgesandt worden, dann hat in Position 36 der Zähler den Wert null. Im nächsten Schritt wird nun in Position 38 der Zähler wieder auf einen Startwert ge setzt, der beispielsweise wieder die 5 sein kann. In Position 37 wird nun die Pausendauer um eine Zeiteinheit dt erhöht, so daß nun die Pausendauer 7 ms beträgt und der neue Wert für die Pausendauer als Codewort 1 im Speicher 6 abgelegt. Anschließend wird wieder in Position 34 abgefragt, ob die vorgegebenen Grenzen über- bzw. unter schritten sind. Nun läuft die Schleife 34 - 35 - 36 - 34 . . . wieder so lange ab, bis der Zähler den Wert null hat. Danach wird wieder in die Schleife 38 - 37 gesprungen und die Pausendauer erneut um eine Einheit auf 8 ms erhöht. Anschließend erfolgt wieder die Abfrage über die Schleife 34 - 35 - 36 - 34 usw. Beim nächsten Durchlauf, wenn die Pausendauer auf 9 ms erhöht wurde, wird die Grenzüber schreitung in Position 34 erkannt und auf Position 29 zurückgesprungen.

In Position 29 wird ein Reset des Mikrocomputers ausgelöst. Wäre die Watchdog-Schaltung nicht in Ordnung, dann würde der Resetbefehl nicht ausgelöst werden und der Mikrocomputer nach einer gewissen Zeit abgeschaltet werden bzw. ein Fehlersignal ausgegeben.

Nach dem Rücksprung in Position 29 wird nun in Position 30 das zuvor eingeschriebene Kennwort 1 ausgelesen und damit in Position 31 er kannt, daß das Kennwort nicht "neutral" ist. In diesem Fall wird das Kennwort 1 auf der Anzeige 51 dargestellt, wodurch man den Wert für die maximale Pausendauer ablesen kann. Danach wird in der zweiten Spalte in Position 39 das Kennwort 2 ausgelesen und in Position 40 überprüft. Das Kennwort 2 entspricht dem unteren Grenzwert T_min Der weitere Prüfablauf erfolgt analog, wie zuvor beschrieben. In Position 41 wird wieder der Zykluszähler auf einen beliebigen Wert, beispielsweise 5 gesetzt und in Position 42 wird eine neue Startzeit T_norm, beispielweise wieder 5 ms, eingegeben und als Codewort 2 im Speicher 6 abgelegt. Die Eingaben für die Startzeiten sind bereits bei der Erstellung der Watchdog-Überwachung festgelegt.

In Position 43 erfolgt nun durch die Watchdog-Überwachung die Abfra ge nach Unterschreitung der minimalen Pausendauer T_min. In Posi tion 44 wird wieder der Zähler auf eine Position zurückgesetzt und in Position 45 der Zählerstand auf den Wert null abgefragt. Es er folgt eine erneute Puls- bzw. Pausenausgabe mit gleicher Länge und ein Rücksprung auf Position 43. Die Schleife 43 - 44 - 45 wiederholt sich so oft, bis der Zähler auf null gesetzt ist. Danach erfolgt ein Sprung auf Position 47, in der der Zähler auf einen neuen Startwert gesetzt wird. In Position 46 wird nun die Pausendauer um eine Zeit einheit reduziert, als Codewort 2 im Speicher 6 abgelegt, und in Position 43 erneut auf den Grenzwert abgefragt. Anschließend wird die Schleife 43 - 44 - 45 - 43 wieder so oft durchlaufen, bis der Zähler den Wert null hat.

Nach dem Start des Mikrocomputers kann dieser nun beide Codeworte 1 und 2 auslesen. Er erkennt, daß beide Codeworte 1, 2 nicht "neutral" sind. Nach der Darstellung des Codeworts 2 auf der Anzeige 52 werden die beiden Speicherzellen (Position 50) wieder auf "neutral" ge setzt, um den Test wieder zu initialisieren. Er springt dann über die Position 31, 39 und 40 in die Startposition seines regulären Arbeitsprogramms (Position 49) und kann dieses Programm abarbeiten. Die Anzeigen 51 und 52 können auch als einzige Anzeige ausgebildet sein.

Für den Fall eines flüchtigen Speichers oder das Löschen des nicht flüchtigen Speichers innerhalb des Arbeitsprogramms von außen (zum Beispiel über Diagnose) kann Schritt 50 so entfallen, wenn man möch te, daß erst beim Ausschalten der Watchdog-Schaltung bzw. des Mikro computers bzw. der Spannungsversorgung des Speichers werden die Codeworte gelöscht, damit beim nächsten Kaltstart des Mikrocomputers ein erneuter Watchdog-Test erfolgen kann. Dann liest der Mikrocompu ter im Warmstart-Fall die nicht neutralen Codeworte 1 und 2 aus und beginnt sofort mit dem Arbeitsprogramm.

Claims

1. Vorrichtung mit einem Mikrocomputer und einer Watchdog-Schaltung, deren Eingang mit einem Impulsausgang des Mikrocomputers und deren Ausgang mit einem Steuereingang eines Mikrocomputers verbunden ist, dadurch gekennzeichnet, daß der Mikrocomputer (1) einen Impulsgeber (11) aufweist, daß der Impulsgeber (11) wenigstens zeitweise eine Impulsfolge mit variabler Pulsdauer (T_i) und/oder Pausendauer (T_p) und/oder Amplitude an die Watchdog-Schaltung (4) abgibt, daß die Watchdog-Schaltung (4) die abgegebene Impulsfolge mit einem vorgegebenen Grenzwert vergleicht und bei deren Über- und/oder Unterschreiten ein Signal an den Mikrocomputer (1) abgibt.

2. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Pulsdauer (T_i) und/oder die Pausendauer (T_p) der Impulsfolge schrittweise veränderbar ist.

3. Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß das Signal einen Reset des Mikrocomputers (1) auslöst.

4. Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Impulsfolge abgegeben wird, bevor das Ar beitsprogramm des Mikrocomputers (1) startet.

5. Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch ge kennzeichnet, daß der Mikrocomputer (1) bei fehlendem Codewort den Prüfzyklus für die Watchdog-Schaltung startet.

6. Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch ge kennzeichnet, daß das Codewort geändert wird, wenn die Prüfung der Watchdog-Schaltung positiv verläuft.