DE2842392A1 - Ueberwachungseinrichtung fuer programmgesteuerte vorrichtungen - Google Patents

Description

• Überwachungseinrichtung für programmgesteuerte Vorrichtungen
• Stand der Technik Die Erfindung geht aus von einer Überwachungseinrichtung nach der Gattung des Hauptanspruches.
• Es ist bekannt, bei programmgesteuerten Vorrichtungen Überwachungseinrichtungen vorzusehen, die einen ordnungsgemäßen Ablauf des Programms überwachen. Hierzu ist es beispielsweise bekannt, sogenannte Testprogramme ablaufen zu lassen, bei denen alle Funktionen der programmgesteuerten Vorrichtung nachgebildet werden. Je nach Art des dabei auftretenden Fehlersignales ist es dann möglich, den Fehler im Programm zu lokalisieren. Diese Art der Überwachung hat jedoch den Nachteil, daß die programmgesteuerte Vorrichtung für die Dauer der Überwachung durch das Testprogramm vollständig beansprucht wird, was insbesondere bei solchen Vorrichtungen, bei denen eine ununterbrochene Verarbeitung der Daten von Wichtigkeit ista zu Schwierigkeiten führen kann.
• Es ist weiterhin bekannt, programmgesteuerte Vorrichtungen derart zu überwachen, daß bei jedem Programmdurchlauf ein Kontrollimpuls gesetzt wird, um ein vollständiges Durchlaufen des Programmes anzuzeigen. Verwendet man jedoch ein derartiges Kontrollsignal zur laufenden Überwachung der Vorrichtung, kann dies ohne Einsatz weiterer Mittel dazu führen, daß die Vorrichtung auch bei kurzzeitigen Störungen außer Betrieb gesetzt wird.
• Dies ist jedoch insbesondere bei solchen programmgesteuerten Vorrichtungen vom Nachteil, die in stark störverseuchter Umgebung arbeiten, beispielsweise von Mikroprozessoren gesteuerten Systemen in Kraftfahrzeugen. Bei diesen müssen aus Sicherheitsgründen Überwachungseinrichtungen vorgesehen werden, die eine Fehlererkennung aufweisen, die bei Ausfall oder Störung der Steuerung des Fahrzeuges durch Auslösen von Sicherungen einen sicheren Betriebszustand des Kraftfahrzeuges herbeiführen und eventuell für nicht sicherheitskritische Systemfunktionen eine Notfunktion starten, die eine Weiterfahrt zur nächsten Werkstatt gestatten. Da dieser Störfall mit erheblichen Kosten für den Anwender verbunden ist, ist es notwendig, das Ansprechen derartiger Überwachungseinrichtungen auf die Fälle zu beschränken, in denen das Steuergerät nicht mehr funktionsfähig ist. Der Ausfall eines der eingangs geschilderten Kontrollimpulse ist hierfür jedoch kein sicheres Kriterium, da aufgrund der in Kraftfahrzeugen auftretenden unverhältnismäßig hohen Störpegel kurzzeitige, nicht systembedingte Betriebsstörungen und damit Ausfälle von Kontrollimpulsen möglich sind, die ihre Ursache jedoch nicht in einer Funktionsunfähigkeit des Steuergerätes haben.
• Vorteile der Erfindung Die erfindungsgemäße Überwachungseinrichtung mit den kennzeichnenden Merkmalen des Hauptanspruches hat demgegenüber den Vorteil, auftretende Fehler im Programmablauf, je nachdem ob sie durch kurzzeitige Störungen oder durch Systemausfälle verursacht worden sind, zu unterscheiden und damit ein verläßliches Kriterium für die Betätigung einer Notschalteinrichtung zu schaffen.
• Zeichnung Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigen: Figur 1 den Stromlaufplan einer Überwachungseinrichtung; Fig. 2 den Stromlaufplan einer RESTART-Schaltung.
• Beschreibung der Ausführungsbeispiele In Figur 1 ist mit 10 eine programmgesteuerte Vorrichtung, beispielsweise ein von Mikroprozessoren gesteuertes System in einem Kraftfahrzeug, dargestellt. Die programmgesteuerte Vorrichtung 10 weist eine zu jedem Zeitpunkt setzbare monostabile Kippstufe (sogenanntes retriggerbares Monoflop) (101) auf. Eine derartige monostabile Kippstufe hat die Eigenschaft, im gesetzten Zustand zu verharren, wenn während der Standzeit weitere Setzimpulse angelegt werden.
• Dabei wird von jedem neuen Setzimpuls die Kippstufe wiederum für die gesamte Standzeit gesetzt. Dies bedeutet, daß die Kippstufe nur dann abfällt, wenn während einer Zeit, die größer als die Standzeit ist, einmal kein neuer Setzimpuls angelegt wird. Der invertierte Ausgang der Kippstufe 101 ist mit dem Setzeingang einer weiteren monostabilen Kippstufe 11 sowie dem Takteingang eines JK-Flipflops 13, das als Koinzidenzschaltung 12 dient, verbunden. Der Ausgang des JK-Fliflops 13 ist an einen Eingang eines ODER-Gatters 14 angeschlossen, mit dessen Ausgang eine Notschalteinrichtung 15, im dargestellten Ausführungsbeispiel ein Schalter 16 mit Ruhekontakt, ansteuerbar ist. Der J-Eingang des JK-Flipflops 13 ist an den Ausgang der weiteren monostabilen Kippstufe 11 angeschlossen, der gleichzeitig mit einem invertierten-Eingang eines UND-Gatters 17 verbunden ist. Ein weiterer invertierter Eingang des UND-Gatters 17 ist mit dem Ausgang der Kippstufe 101 verbunden. Dieser ist weiterhin über ein RC-Glied 18, 19 an einen Eingang eines NAND-Gatters 20 gelegt, dessen zweiter Eingang mit dem invertierten Ausgang der Kippstufe 101 verbunden ist. Der Ausgang des NAND-Gatters 20 ist mit einem Eingang 102 der programmgesteuerten Vorrichtung 10 verbunden, über den der Vorrichtung Schaltbefehle für einen erneuten Durchlauf des Programmes (RESTART) zuführbar sind. Es ist weiterhin ein aus einem RC-Glied 22, 23 bestehendes Zeitglied vorgesehen, das über eine Klemme 21 mit der Versorgungsspannung der Überwachungseinrichtung beschaltbar ist und dessen Ausgang über einen Invertierer 24 mit einem dritten invertierten Eingang des UND-Gatters 17 sowie dem-Reset-Eingang des JK-Flipflops 13 verbunden ist. Schließlich ist ein dritter Eingang des ODER-Gatters 14 auf eine Klemme 25 geführt.
• Die Wirkungsweise der in Figur 1 dargestellten Vorrichtung ist wie folgt: Wie bereits ausgeführt, ist die Kippstufe 101 der programmgesteuerten Vorrichtung 10 als retriggerbares Monoflop ausgebildet, d.h., daß in ordnungsgemäßem Betrieb der programmgesteuerten Vorrichtung 10 dem Setzeingang bei jedem Programmdurehlauf wenigstens ein Kontrollimpuls zugeführt wird, wobei die Standzeit der Kippstufe 101 größer als die Zyklus zeit der Kontrollimpulse bemessen ist, so daß die Kippstufe 101 bei störungsfreiem Betrieb im gesetzten Zustand statisch verharrt. Am Ausgang Q liegt dann ein positives logisches Signal an, am invertierten Ausgang Q liegt ständig logisch 0. Fällt nun aufgrund irgendeiner Störung ein Kontrollimpuls aus, fällt die Kippstufe 101 ab und am invertierten Ausgang Q liegt logisch 1. Dadurch wird der Takt eingang des JK-Flipflops 13 angesteuert und die weitere Kippstufe 11 gesetzt.
• Aufgrund der Verzögerung mit der das Signal logisch 1 am Ausgang der weiteren Kippstufe 11 erscheint, wird das JK-Flipflop 13 jedoch noch nicht gesetzt. Die Standzeit der weiteren Kippstufe 11 ist wesentlich größer bemessen als die der Kippstufe 101. Typischerweise beträgt beispielsweise die Zykluszeit der Kontrollimpulse 8 ms,.
• die Standzeit der Kippstufe 101 12 ms und die Standzeit der weiteren Kippstufe 11 50 ms. Beim Abfallen der Kippstufe 101 wird über ein Funktionsglied, bestehend aus dem RC-Glied 18, 19 sowie dem NAND-Gatter 20 ein kurzer negativer Impuls erzeugt, der dem Eingang 102 der programmgesteuerten Vorrichtung 10 zugeführt wird und ein erneutes Starten des Programmes bewirkt. Wird das Programm beim erneuten Durchlauf fehlerfrei durchlaufen, wird die Kippstufe 101 wieder gesetzt. Tritt jedoch ein erneuter Ausfall eines Kontrollimpulses während der durch die weitere Kippstufe 11 bestimmten Standzeit von beispielsweise 50 ms auf, erscheint am invertierten Ausgang Q der Kippstufe 101 eine Schaltflanke und das JK-Flipflop 13 wird nun umgeschaltet. In diesem Fall wird über das ODER-Gatter 14 die Notschalteinrichtung 15 betätigt. Beispielsweise kann ein Schalter 16 mit einem Ruhekontakt aufgetrennt werden, der in der Stromversorgung der programmgesteuerten Vorrichtung 10 angeordnet ist.
• Es ist jedoch auch möglich, daß nach erneutem Starten des Programms überhaupt kein weiterer Kontrollimpuls mehr auftritt. In diesem Falle bleibt der Ausgang Q der Kippstufe 101 statisch auf 0, der Ausgang Q der weiteren Kippstufe 11 geht nach deren Standzeit ebenfalls auf 0.
• Dies bedeutet, läßt man einmal den dritten invertierten Eingang außer Betracht, daß das UND-Gatter 17 durchschaltet und ebenfalls über das ODER-Gatter 14 die Notschaltfunktion auslöst.
• Handelt es sich jedoch beim ersten Ausfall des Kontrollimpulses um eine vorübergehende Störung, und treten während der Standzeit der weiteren Kippstufe 11 keine weiteren Ausfälle mehr auf, werden beide Eingänge des JK-Flipflops 13 mit 0 beaufschlagt, so daß dieses nicht mehr umschaltet und auch die beiden ersten Eingänge des UND-Gatters 17 werden mit einem 0- bzw. 1-Signal beaufschlagt, so daß auch über das UND-Gatter 17 kein Auslösesignal mehr auf die Notschalteinrichtung 15 gelangt. Die Uberwachungseinrichtung, die durch den Ausfall des ersten Kontrollimpulses gesetzt wurde, wird demnach in diesem Betriebsfall nach Ablauf der Standzeit der weiteren monostabilen Kippstufe 11 von selbst desaktiviert. Es ist außerdem möglich, eine Klemme 25 einem weiteren Eingang des ODER-Gatters 14 oder dem PRESET-Eingang des JK-Flipflops 13 zuzuführen, um die Notschalteinrichtung 15 in Abhängigkeit von anderen Kriterien anzusteuern.
• Um zu vermeiden, daß die erfindungsgemäße Überwachungseinrichtung bei jeder Inbetriebnahme der programmgesteuerten Vorrichtung 10 anspricht, wird die Versorgungsspannung auf die Klemme 21 geführt und erzeugt über das Zeitglied, bestehend aus dem RC-Glied 22, 23 und dem Invertierer 24 für eine kurze Zeit ein positives logisches Signal. Dies bewirkt einerseits, daß das JK-Flipflop 13 über den Reset-Eingang R angesteuert wird und damit nicht umgeschaltet werden kann, andererseits ist durch einen dritten invertierten Eingang des UND-Gatters 17 gewährleistet, daß auch dieses während der Einschaltphase nicht umgeschaltet werden kann. Nach einer durch das RC-Glied 22, 23 bestimmten Zeit verschwindet das Signal am Ausgang des Invertierers 24 und die Überwachungseinrichtung kann in der oben beschriebenen Weise ausgelöst werden.
• Fig. 2 zeigt den Stromlaufplan einer RESTART-Schaltung, wie sie bei einer erfindungsgemäßen Uberwachungseinrichtung verwendet werden kann. Ein die Kontrollimpulse führender Ausgang der programmgesteuerten Vorrichtung 10 ist an ein Differenzierglied, bestehend aus einem Kondensator 30 und einem Widerstand 31 angeschlossen, das mit der Basis eines Transistors 32 verbunden ist. Der Kollektor.
• dieses Transistors 32 liegt über einen Widerstand 33 an einem RC-Glied, bestehend aus einem Kondensator 34 und einem Widerstand 35, die in Serie mit einem Widerstand 36 zwischen Masse und eine an eine Klemme y gelegte Bezugsspannung geschaltet sind. Die Reihenschaltung von Kondensator 34 und Widerstand 35 ist einmal mit einer Zenerdiode und zum anderen mit einem Kondensator 39 überbrückt. Der Verbindungspunkt von Kondensator 34 und Widerstand 35 ist über eine Diode 40 mit der Basis eines Transistors 41 verbunden, der mit einem weiteren Transistor 42 in Reihe zwischen Masse und den einen neuen Programmdurchlauf bewirkenden Eingang 102 (RESTART-Eingang) der programmgesteuerten Vorrichtung 10 geschaltet ist.
• Die Wirkungsweise der in Fig. 2 dargestellten Schaltung ist wie folgt: Die bei ordnungsgemäßem Betrieb periodisch auftretenden Kontrollimpulse der programmgesteuerten Vorrichtung 10 werden differenziert und gelangen auf die Basis des Transistors 32, der dadurch periodisch durchgeschaltet wird und den Kondensator 34, der aus der an der Klemme 37 anliegenden Bezugsspannung aufladbar ist, periodisch entlädt. Die Kondensatorspannung überschreitet daher bei ordnungsgemäßem Betrieb der programmgesteuerten Vorrichtung 10 einen bestimmten Pegel nicht. Zum Schutz des RC-Gliedes 34, 35 gegen Störspannungsspitzen sind der Widerstand 36 sowie die Zenerdiode 38 und der Kondensator 39 vorgesehen. Die Spannung am Kondensator 34 wird über die Diode 40 auf die Basis des Transistors 41 übertragen. Bei ordnungsgemäßem Betrieb der programmgesteuerten Vorrichtung 10 ist der Transistor 41 gesperrt. Fällt jedoch ein Kontrollimpuls aus, steigt die Spannung am Kondensator 34 soweit an, daß der Transistor 41 durchgesteuert wird. Für einen erneuten Durchlauf des Programmes ist ein kurzer negativer Impuls am RESTART-Eingang 102 erforderlich. Dies wird beispielsweise in einer programmgesteuerten Vorrichtung 10 in einem Kraftfahrzeug dadurch bewirkt, daß von dem Bezugsmarkengeber 43 kurzzeitig ein Impuls auf den Transistor 42 übertragen wird. Ist der Transistor 41 aufgrund des Ausbleibens eines Kontrollimpulses durchgeschaltet, und wird der Transistor 42 durch Bezugsmarkengeber 43 ebenfalls kurzzeitig durchgeschaltet, wird der RESTART-Eingang 102 kurzfristig mit Masse verbunden. Dies bewirkt einen erneuten Durchlauf des Programms in der programmgesteuerten Vorrichtung 10.

Claims (9)

1. Ansprüche überwachungseinrichtung für programmgesteuerte Vorrichtungen, insbesondere von Mikroprozessoren gesteuerte Systeme in Kraftfahrzeugen, bei denen während eines jeden Programmdurchlaures wenigstens ein Kontrollimpuls abnehmbar ist, dadurch gekennzeichnet, daß bei Ausbleiben eines Kontrollimpulses ein erneuter Programmdurchlauf ausgelöst wird (RESTART).
2. 2. Überwachungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß ein Zeitglied gesetzt wird, dessen Ausgang an eine mit der programmgesteuerten Vorrichtung (10) verbundene Koinzidnzstufe (12) derart angeschlossen ist, daß die Koinzidenzstufe (12) dann umgeschaltet wird, wenn während der Standzeit des Zeitgliedes ein weiterer Kontrollimpuls ausbleibt und daß die Koinzidenzstufe (12) mit einer Notschalteinrichtung (15) verbunden ist.
3. 3. Überwachungseinrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die programmgesteuerte Vorrichtung (10) eine zu jedem Zeitpunkt setzbare monostabile Kippstufe (retriggerbarer Monoflop) (101) enthält, die von den Kontrollimpulsen ansteuerbar ist und daß deren invertierter Ausgang mit dem Setzeingang einer weiteren monostabilen Kippstufe (11) und dem Takteingang eines JK-Flipflops (13) verbunden ist, dessen J-Eingang mit dem Ausgang der weiteren monostabilen Kippstufe (11), dessen K-Eingang mit Masse und dessen Ausgang mit der Notschalteinrichtung (15) verbunden ist.
4. 4. Überwachungseinrichtung nach Anspruch 3, dadurch gekennzeichnet, daß der monostabilen Kippstufe (101) ein Funktionsglied (18, 19, 20) nachgeschaltet ist, das bei Umschalten der monostabilen Kippstufe (101) einen kurzzeitigen Impuls erzeugt, der einem Eingang (RESTART-Eingang) (102) der programmgesteuerten Vorrichtung (10) zuführbar ist, um einen erneuten Programmdurchlauf zu bewirken.
5. 5. Überwachungseinrichtung nach Anspruch 3 oder 4, dadurch gekennzeichnet, daß die Ausgänge der monostabilen Kippstufen (101, 11) mit invertierten Eingängen eines UND-Gatters (17) verbunden sind, dessen Ausgang mit der Notschalteinrichtung (15) in Wirkungsverbindung steht.
6. 6. Überwachungseinrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß Schaltmittel vorgesehen sind, die bei Inbetriebnahme der programmgesteuerten Vorrichtung (10) die Überwachungseinrichtung für eine vorbestimmte Zeit außer Betrieb setzen.
7. 7. Überwachungseinrichtung ach Anspruch 5, dadurch gekennzeichnet, daß bei Einschalten der Versorgungsspannung ein RC-Glied (22, 23) angesteuert wird, dessen Ausgang auf den Rücksetzeingang (R) des JK-Flipflops (13) und einen weiteren Eingang des UND-Gatters (17) einwirkt.
8. 8. Überwachungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Kontrollimpulse ersten Schaltmitteln (30, 31, 32, 33) zur Umladung eines aus einer Bezugsspannung aufladbaren Kondensators (34) zugeführt werden und daß die Kondensatorspannung zweite Schaltmittel (40, 41, 42) steuert, die mit einem einen erneuten Programmdurchlauf bewirkenden Eingang (102) (RESTART-Eingang) der programmgesteuerten Vorrichtung (10) in Wirkungsverbindung steht.
9. 9. Überwachungseinrichtung nach Anspruch 8, dadurch gekennzeichnet, daß die zweiten Schaltmittel als Serienschaltung zweier Transistoren (41, 42) ausführt sind, von denen einer von der Spannung am Kondensator (34) und der andere durch einen Bezugsmarkengeber (43) der programmgesteuerten Vorrichtung (10) steuerbar ist.