DE102007004794A1

DE102007004794A1 - Controllerbaustein mit einer Überwachung durch einen Watchdog

Info

Publication number: DE102007004794A1
Application number: DE200710004794
Authority: DE
Inventors: Stefan Dr. Steinke
Original assignee: Leopold Kostal GmbH and Co KG
Current assignee: Kostal Automobil Elektrik GmbH and Co KG
Priority date: 2007-01-31
Filing date: 2007-01-31
Publication date: 2008-08-07
Anticipated expiration: 2027-02-01
Also published as: DE102007004794B4; WO2008092846A1

Abstract

Beschrieben wird ein Controllerbaustein mit einer Überwachung durch einen Watchdog, wobei zum Controllerbaustein eine Recheneinheit und ein adressierbarer Portbaustein gehören, die beide jeweils mit einem controllerinternen Adressbus und mit einem controllerinternen Datenbus verbunden sind, wobei innerhalb einer Komponente des Controllerbausteins mindestens eine Rechenaufgabe abgelegt ist, die als Ergebniswert die Adresse des Portbausteins ergibt, wobei die Recheneinheit die Rechenaufgabe zyklisch berechnet und den Ergebniswert auf den Adressbus gibt und wobei die Recheneinheit einen Datenwert auf den Datenbus gibt, der bei korrekt adressiertem Portbaustein am Ausgang des Portbausteins als ein Signal zum Zurücksetzen des Watchdogs erscheint.

Description

Die vorliegende Erfindung betrifft einen Controllerbaustein mit einer Überwachung durch einen Watchdog, wobei zum Controllerbaustein eine Recheneinheit und ein adressierbarer Portbaustein gehören, die beide jeweils mit einem controllerinternen Adressbus und mit einem controllerinternen Datenbus verbunden sind.
Aus dem japanischen Patent Abstract JP 02281343 A ist eine Anordnung bekannt, bei der eine Recheneinheit über einen Adressbus und einen Datenbus mit einer Vergleichsschaltung verbunden ist, die Werte auf dem Adress- und dem Datenbus mit Referenzwerten vergleicht, und bei erfolgreichem Vergleich einen Watchdog-Timer zurücksetzt.
Viele Einrichtungen des täglichen Lebens sind heute mit einem Mikrocontroller versehen. Bei besonders wichtigen oder sicherheitskritischen Einrichtungen wird die korrekte Funktion des Mikrocontrollers durch besondere Maßnahmen sichergestellt, wie beispielsweise durch einen mehrfachen und damit redundanten Einbau von sicherheitskritischen Komponenten. Hierdurch entsteht ein relativ hoher Kostenaufwand.
Vielfach ist zur Überwachung eines Controllerbausteins ein sogenannter Watchdog vorgesehen. Dabei handelt es sich um einen durch Hardware oder Software realisierten Zähler oder Timer, der innerhalb regelmäßiger Zeitabläufe durch ein Signal zurückgesetzt wird, und der, falls das Signal ausbleibt, eine Sicherheitsfunktion auslöst, etwa durch das Zurücksetzen des Controllerbausteins oder durch Abschalten von mehr oder weniger großen Teilen der überwachten Einrichtung.
Ein Watchdog überprüft somit, ob ein zurücksetzendes Signal regelmäßig auftritt. Wie zuverlässig damit Fehler erkannt werden, hängt besonders von der Art und Weise ab, wie das zurücksetzende Signal gewonnen wird. So kann bei einem ansonsten regelmäßigen Programmablauf einer Recheneinheit oftmals nicht erkannt werden, wenn die Recheneinheit arithmetische Operationen fehlerhaft ausführt. Um auch derartige Fehler aufzudecken, werden häufig zwei unabhängig voneinander arbeitende Recheneinheiten vorgesehen, die ihre Rechenergebnisse gegenseitig überprüfen. Dies erfordert allerdings einen erheblichen Kostenaufwand.
Es stellte sich die Aufgabe, einen Controllerbaustein zu schaffen, bei dem insbesondere in einer Recheneinheit auftretende arithmetische Fehler auf einfache und kostengünstige Weise zuverlässig erkannt werden können.
Diese Aufgabe wird erfindungsgemäß dadurch gelöst, dass innerhalb einer Komponente des Controllerbausteins mindestens eine Rechenaufgabe abgelegt ist, die als Ergebniswert die Adresse des Portbausteins ergibt, dass die Recheneinheit die Rechenaufgabe zyklisch berechnet und den Ergebniswert auf den Adressbus gibt und dass die Recheneinheit einen Datenwert auf den Datenbus gibt, der bei korrekt adressiertem Portbaustein am Ausgang des Portbausteins als ein Signal zum Zurücksetzen des Watchdogs erscheint.
Der erfindungsgemäße Controllerbaustein führt somit Rechenaufgaben, und zwar insbesondere numerische Rechenaufgaben durch, deren Ergebnisse zur Überprüfung der korrekten Funktion der Recheneinheit verwendet werden.
Vorteilhafte Ausgestaltungen und Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen angeführt. Im folgenden wird ein Ausführungsbeispiel der Erfindung anhand der Zeichnung dargestellt und näher erläutert. Die einzige Figur zeigt ein stark vereinfachtes Blockschaltbild eines erfindungsgemäßen Controllerbausteins.
Der Controllerbaustein (CB) weist zumindest eine Recheneinheit (CPU) und einen Portbaustein (IO) auf. Der Portbaustein (IO) kann dabei beispielsweise ein serieller oder paralleler Eingabe-/Ausgabebaustein sein. Die Recheneinheit (CPU) und der Portbaustein (IO) stehen über einen Adressbus (AB) und einen Datenbus (DB) miteinander in Verbindung, wobei die Recheneinheit (CPU) den Portbaustein (IO) über den Adressbus (AB) ansprechen kann. Über den Datenbus (DB) können Datenwerte von der Recheneinheit (CPU) zum Portbaustein (IO), und umgekehrt, übertragen werden.
Des weiteren weist der Controllerbaustein (CB) eine interne Komponente (SP) auf, realisiert beispielsweise als Speicherbaustein (SP), in der zumindest eine Rechenaufgabe (RA) und vorzugsweise mehrere Rechenaufgaben (RA) abgelegt sind. Der Begriff Rechenaufgabe (RA) steht dabei allgemein für einen algorithmischen Ablauf, der von der Recheneinheit (CPU) ausgeführt werden kann und als Ergebnis einen numerischen Ergebniswert liefert. Die mindestens eine Rechenaufgabe (RA) ist dabei so vorgegeben, dass sie als Ergebniswert die Adresse des Portbausteins (IO) liefert.
Vorgesehen ist außerdem ein Watchdog (WD) in Hardware- oder Softwareausführung, der einen zurücksetzbaren Zähler oder Timer enthält. Der Watchdog (WD), der hier als ein externes Bauelement dargestellt ist, kann alternativ auch als eine in den Controllerbaustein (CB) integrierte Komponente ausgeführt sein.
Erfolgt das Zurücksetzen des Watchdogs (WD) nicht regelmäßig innerhalb eines Zeitfensters oder vor Ablauf einer Maximalzeit, so generiert dieser ein Ausgangssignal, welches hier einem Rücksetzeingang (RESET) des Controllerbausteins (CB) zugeführt wird und ein Neustarten des Controllerbausteins (CB) bzw. der Recheneinheit (CPU) mit definierten Anfangsbedingungen bewirkt. Alternativ kann das Ausgangssignal des Watchdogs (WD) auch ein Abschalten des durch den Controllerbaustein (CB) gesteuerten Gerätes bewirken.
Der beschriebene Aufbau hat insbesondere den Zweck, die Funktionsfähigkeit des Controllerbausteins (CB) und speziell der Recheneinheit (CPU), regelmäßig zu überprüfen und damit sicherzustellen. Dabei ist es wesentlich, dass besonders auch die arithmetischen Funktionen, also das „korrekte Rechnen" der Recheneinheit (CPU), überwacht werden.
Zur Überprüfung bearbeitet die Recheneinheit (CPU) innerhalb des üblichen Programmablaufs Rechenaufgaben (RA), die beispielsweise in einem internen Speicherbaustein (SP) abgelegt sind und die die Recheneinheit (CPU) aus diesem Speicherbaustein (SP) abruft. Die Recheneinheit (CPU) berechnet hieraus einen numerischen Ergebniswert.
Die Recheneinheit (CPU) kann diesen Ergebniswert allerdings nicht selbst zuverlässig auf Korrektheit überprüfen, da bei einem fehlerhaften Ergebniswert es zumindest nicht auszuschließen ist, dass die Überprüfung des Ergebniswertes ebenfalls fehlerbehaftet wäre.
Die Lösung dieses Problems besteht darin, das Ergebnis extern, also außerhalb der Recheneinheit (CPU) zu überprüfen. Hierzu könnte eine Berechnung derselben Rechenaufgabe durch eine zweite, unabhängige Recheneinheit oder ein Abruf des gespeicherten Ergebnisses, und ein Vergleich der beiden Ergebniswerte vorgesehen werden. Ein solcher Aufbau wäre aber sehr aufwendig.
Statt dessen erfolgt die externe Überprüfung dadurch, dass der Ergebniswert zur Adressierung eines Portbausteins (IO) verwendet wird. Die mindestens eine im Speicherbaustein (SP) abgelegte Rechenaufgabe (RA) ist so gebildet, dass sie als Ergebniswert die Adresse des Portbausteins (IO) liefert. Die Recheneinheit (CPU) gibt daraufhin das Ergebnis der Berechnung auf den Adressbus (AB). Ist das Rechenergebnis korrekt, so wird der Portbaustein (IO) angesprochen. Ein anschließend von der Recheneinheit (CPU) auf den Datenbus (DB) gegebener Datenwert gelangt somit auf den Portbaustein (IO), welcher darauf ein diesem Datenwert entsprechendes Signal an seinem Ausgang ausgibt, welches ein Zurücksetzen des Watchdogs (WD) bewirkt.
Berechnet dagegen die Recheneinheit (CPU) den Ergebniswert fehlerhaft, so wird der Portbaustein (IO) nicht adressiert und der Portbaustein (IO) gibt entsprechend kein Signal zum Zurücksetzen des Watchdogs (WD) aus. In diesem Fall erzeugt der Watchdog (WD) ein Ausgangssignal für den Rücksetzeingang (RESET) des Controllerbausteins (CB).
Die Sicherheit der Überprüfung kann weiter erhöht werden, wenn auch der Datenwert, den die Recheneinheit (CPU) auf den Datenbus (DB) gibt, zuvor von der Recheneinheit (CPU) als Ergebnis einer Rechenaufgabe (RA) bestimmt wird.
In dieser Hinsicht ist es auch vorteilhaft, wenn die Recheneinheit (CPU) nicht immer die gleiche Rechenaufgabe (RA) zur Bestimmung der Adresse des Portbausteins (IO) löst, sondern mehrere unterschiedliche Rechenaufgaben (RA) nacheinander, vorzugsweise in zufälliger Reihenfolge. Hierdurch wird die Recheneinheit (CPU) in einem größeren Umfang getestet, so dass mit einer größeren Sicherheit auch kleinere und spezifischere Fehler der Recheneinheit (CPU) aufgedeckt werden können.

AB: Adressbus
CB: Controllerbaustein
CPU: Recheneinheit
DB: Datenbus
IO: Portbaustein
RA: Rechenaufgabe(n)
RESET: Reset-Eingang
SP: Komponente (Speicherbaustein)
WD: Watchdog

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- JP 02281343 A [0002]

Claims

Controllerbaustein mit einer Überwachung durch einen Watchdog, wobei zum Controllerbaustein eine Recheneinheit und ein adressierbarer Portbaustein gehören, die beide jeweils mit einem controllerinternen Adressbus und mit einem controllerinternen Datenbus verbunden sind, dadurch gekennzeichnet, dass innerhalb einer Komponente (SP) des Controllerbausteins (CB) mindestens eine Rechenaufgabe (RA) abgelegt ist, die als Ergebniswert die Adresse des Portbausteins (IO) ergibt, dass die Recheneinheit (CPU) die Rechenaufgabe (RA) zyklisch berechnet und den Ergebniswert auf den Adressbus (AB) gibt und dass die Recheneinheit (CPU) einen Datenwert auf den Datenbus (DB) gibt, der bei korrekt adressiertem Portbaustein (IO) am Ausgang des Portbausteins (IO) als ein Signal zum Zurücksetzen des Watchdogs (WD) erscheint.
Controllerbaustein nach Anspruch 1, dadurch gekennzeichnet, dass innerhalb einer Komponente des Controllerbausteins (CB) mehrere Rechenaufgaben (RA) abgelegt sind, die die Recheneinheit (CPU) zyklisch nacheinander berechnet.
Controllerbaustein nach Anspruch 1, dadurch gekennzeichnet, dass innerhalb einer Komponente (SP) des Controllerbausteins (CB) mehrere Rechenaufgaben (RA) abgelegt sind, die die Recheneinheit (CPU) in zufälliger Reihenfolge nacheinander berechnet.
Controllerbaustein nach einem der vorgenannten Ansprüche, dadurch gekennzeichnet, dass die Recheneinheit (CPU) den Datenwert ebenfalls durch Berechnung einer Rechenaufgabe (RA) bestimmt.
Controllerbaustein nach Anspruch 1, dadurch gekennzeichnet, dass der Watchdog (WD) eine controllerinterne Komponente oder eine controllerexterne Vorrichtung ist.
Controllerbaustein nach Anspruch 1, dadurch gekennzeichnet, dass der Controllerbaustein (CB) mit mehreren Watchdogs verbunden ist.
Controllerbaustein nach Anspruch 6, dadurch gekennzeichnet, dass wenigstens ein Watchdog eine controllerinterne Komponente und wenigstens ein Watchdog (WD) eine controllerexterne Vorrichtung ist.
Controllerbaustein nach Anspruch 1, dadurch gekennzeichnet, dass wenigstens ein Watchdog (WD) ein Zurücksetzen des Controllerbausteins (CB) ausführen kann.
Controllerbaustein nach Anspruch 1, dadurch gekennzeichnet, dass wenigstens ein Watchdog eine Abschaltung einer durch den Controllerbaustein gesteuerten Vorrichtung ausführen kann.