Timermodul und Verfahren zur Überprüfung eines Ausgangssignals Stand der Technik

Die Erfindung betrifft ein Timermodul sowie ein Verfahren zur Überprüfung eines Ausgangssignals.

Ein Ausgangssignal, bzw. den Signalverlauf eines Ausgangssignals, für die An- steuerung sicherheitskritischer Anwendungen, z.B. bei der Ansteuerung von Aktoren durch ein Steuergerät im Automotive- Bereich, muss man unter Umständen bezüglich der Dauer einer High- oder Low-Phase des Signals oder einer Periode des Signals oder bezüglich anderer Signalcharakteristika überwachen. Üblich ist es dabei zum Beispiel, bei einer Ansteuerung eines Aktuators den Signalverlauf in dem Aktuator selbst auf Grenzwerte zu überwachen. Dazu ist zusätzliche Hardware und Software notwendig.

Offenbarung der Erfindung

Vorteile der Erfindung

Die vorliegende Erfindung gemäß den unabhängigen Ansprüchen ermöglicht eine effiziente, flexible und sichere Überprüfung eines Ausgangssignals, bzw. bestimmter Signalcharakteristika des Ausgangssignals einer Hardware- Datenverarbeitungseinheit, insbesondere eines Timer-Moduls eines Steuergeräts.

Im Vergleich zu bekannten Verfahren kann Hardware- Einsatz und Software- Einsatz eingespart werden durch die Nutzung bereits in der Hardware- Datenverarbeitungseinheit vorhandener Ressourcen. Durch den Einsatz flexibler Module ist eine flexible Anpassung der Überprüfung (z.B. Schranken der Über- Prüfung oder Art der Überprüfung) auf den jeweiligen Anwendungsfall möglich.

Außerdem ist durch das vorgeschlagene Überprüfungsverfahren bzw. die vorgeschlagene Überprüfungsvorrichtung auch das Einhalten sehr hoher Sicherheitsanforderungen möglich.

Weitere Vorteile und Verbesserungen ergeben sich durch die Merkmale der abhängigen Ansprüche. Die Vorteile ergeben sich dabei sowohl für die Verfahren als auch für die entsprechenden Vorrichtungen. Eine besonders flexible Anpassung der Überprüfung auf den jeweiligen Anwendungsfall ist möglich, wenn die vorgegebenen Vergleichswerte im Logikmodul keine unveränderlichen Werte, sondern durch das Logikmodul und / oder eine externe CPU bzw. Recheneinheit frei konfigurierbare Werte darstellen.

In einer besonders vorteilhaften Ausgestaltung erfolgt ein Lesen von in dem Eingabemodul der Hardware-Datenverarbeitungseinheit festgestellten Signalcharak- teristika durch das den Vergleich zwischen diesen Signalcharakteristika und vorgegebenen Werten durchführenden Logikmoduls der Hardware- Datenverarbeitungseinheit über eine Routingeinheit der Hardware- Datenverarbeitungseinheit. Durch eine solche Routingfunktion kann eine besonders effiziente und flexible Verarbeitung dieser Daten und damit Überprüfung durchgeführt werden.

Für den Vergleich zwischen diesen Signalcharakteristika und vorgegebenen

Werten durch das Logikmodul der Hardware-Datenverarbeitungseinheit ist es vorteilhaft, weil besonders einfach und sicher umsetzbar, wenn die Signalcharakteristika in der Hardware- Datenverarbeitungseinheit, insbesondere im Logikmodul abgespeichert werden.

Besonders vorteilhaft ist es, im Fall eines erfolglosen Vergleichs Maßnahmen wie eine Fehlersignalausgabe und/oder einen Interrupt einer Recheneinheit, mit welcher die Hardware-Datenverarbeitungseinheit in Verbindung steht, vorzusehen.

Damit können Fehlersuche oder Fehlerkorrekturen eingeleitet werden oder auch nur an geeigneter Stelle auf einen Fehler aufmerksam gemacht werden und damit möglicherweise Folgen des Signalfehlers zum Beispiel in der Steuerung durch ein Steuergerät verhindert werden. Zusätzlich kann in einer zweckmäßigen Ausgestaltung auch bei einer / jeder Durchführung des Vergleichs, also zum Beispiel auch unabhängig von Erfolg bzw. Nicht- Erfolg des Vergleichs, ein Aktivitätssignal ausgegeben werden. So kann bereits die erfolgreiche Durchführung des Vergleichs festgestellt bzw. dokumentiert werden und damit Rückschlüsse über die am Vergleich beteiligten Module bzw. Parameter, insbesondere über deren Aktivität, gezogen werden

Besonders vorteilhaft kann die Überwachung für Signallängen des Ausgangssig- nals erfolgen, indem den Signalflanken des Ausgangssignals in dem Eingangsmodul Zeitstempelwerte zugewiesen werden, wodurch eine effiziente und sichere Überprüfung dieses Signal-Charakteristikum erreicht werden kann. Zusätzlich kann dabei auch noch die Differenz der Zeitstempelwerte, neben möglichen Vergleichen gegenüber einem zulässigen Maximalwert, daraufhin überprüft werden, ob die Differenz größer Null ist. Mit diesem besonders effizienten Vorgehen kann man gleichzeitig mit der Überprüfung des Ausgangssignals auch die Aktivität der Zeitbasis überprüfen. Eine inaktive Zeitbasis würde nämlich zu zwei gleichen aufeinanderfolgenden Zeitstempeln und damit zu einer Differenz der Zeitstempelwerte von Null führen.

Es kann also auch vorgesehen sein, neben dem Vergleich mit vorgegebenen Werten für die Signalcharakteristika auch eine Plausibilitätsprüfung durchzuführen, zum Beispiel der beschriebene Vergleich, ob eine Signallänge größer Null ist. Damit können neben den vorgeschriebenen Fehlern auch andere, durch sol- che Plausibilisierung zu erfassende Fehler in die Überwachung aufgenommen werden.

Zeichnungen

Es zeigen

Figur 1 eine schematische Architektur eines Timer-Moduls, Figur 2 eine schematische Architektur eines Logikmoduls eines Timer-

Moduls und Figur 3 ein Verfahren zur Überprüfung eines Ausgangssignals einer

Hardware-Datenverarbeitungseinheit.

Ein Timer- Modul eines Steuergerätes kann vorzugsweise als IP- Block im MikroController eines Steuergeräts, beispielweise eines Fahrzeugsteuergeräts, implementiert werden. Er vereint die Zeit- und gegebenenfalls Winkelfunktionen auf sich, empfängt Signale von der Sensorik des Fahrzeugs (z.B. Drehratensensor eines ESP), bzw. wertet diese aus und wirkt auf die Aktuatoren des Autos (z.B. auf die Fahrdynamik im Falle„Schleudern"). Man könnte einen solchen Timer, wie im Folgenden beschrieben, alternativ auch in eine Endstufe integrieren oder separat vorsehen, er braucht aber immer eine konfigurierende Einheit (z.B. externe Recheneinheit), im Fall seiner Integration im Steuergerät- Mikrocontroller ist das z.B. die bzw. eine Steuergeräte-CPU (bzw. Recheneinheit).

In Fig. 1 ist die Gesamtarchitektur eines beispielhaften Timer-Moduls 100 gezeigt. Vereinfacht weist die Gesamtstruktur des Timer-Moduls eine Signal- Eingabeeinheit(en) 116 auf, die Werte an eine Routing- Einheit 101 ausgibt, diese Werte werden in anderen Modulen verarbeitet und die verarbeiteten Werte werden über die Routing- Einheit 101 an die Ausgabeeinheit 114 weitergeleitet.

Durch die parallele Arbeitsweise der im Folgenden beschriebenen Module kann eine hohe Anzahl von Anforderungen innerhalb kurzer Zeit bedient werden. Sofern bestimmte Module nicht benötigt werden, können diese auch zum Zwecke der Stromersparnis (Leistungsverbrauch, Temperaturreduzierung) abgeschaltet werden.

Kern des Timer-Moduls 100 ist die zentrale Routing- Einheit 101, an welche Eingabe- (z.B. Modul(e) 116), Ausgabe- (z.B. Modul(e) 114), Verarbeitungs- (z.B. Modul 109) und Speichereinheiten (z.B. Modul 120) angeschlossen sind.

Die Routing- Einheit 101 verbindet die Module flexibel und konfigurierbar miteinander und stellt durch das blockierende Anfordern und Senden von Daten ein neues Interruptkonzept für ein Timer-Modul dar. Sie kommt ohne die Implementierung eines Interruptcontrollers aus, was Fläche und damit Chipkosten einspart. Ein zentrales Konzept der Timer-Einheit 100 ist der Routing-Mechanismus der Routing- Einheit 101 für Datenströme. Jedes Modul (bzw. Submodul) des Timer- Moduls 100, welches mit der Routing- Einheit 101 verbunden ist, kann eine beliebige Anzahl an Routing- Einheit-Schreibkanälen (Datenquellen) und eine beliebi- ge Anzahl an Routing- Einheit- Lesekanälen (Datensenken) aufweisen. Das Konzept der Routing- Einheit 101 sieht vor, flexibel und effizient eine beliebige Datenquelle mit einer beliebigen Datensenke zu verbinden. Dies kann über den Datenrouting-Mechanismus realisiert werden, wie er aus der nicht vorveröffentlichten DE 10200900189 bekannt ist.

Das Parameterspeichermodul 120 besteht aus drei Untereinheiten 121, 122 und 123. Die Untereinheit 121 stellt die Schnittstelle zwischen dem FI FO(First In, First Out)-Speicher 122 und Routing- Einheit 101 dar. Die Untereinheit 123 stellt die Datenschnittstelle zwischen den generischen Busschnittstellen der Module, bzw. der Multiplexvorrichtung 112 (siehe unten), und dem FI FO 122 dar. Das Parameterspeichermodul 120 kann als Datenspeicher für eingehende Datencharakteris- tika oder als Parameterspeicher für ausgehende Daten dienen. Die Daten werden in einem Speicher, beispielweise einem RAM, gespeichert, welcher sich lo- gisch innerhalb der FI FO-Untereinheit 122 befindet.

Das Timer- Eingangsmodul 116 (bestehend vorzugsweise aus mehreren Eingängen) ist verantwortlich für die Filterung und die Aufnahme von Eingangssignalen des Timermoduls 100. Verschiedene Charakteristika der Eingangssignale kön- nen innerhalb der Kanäle des Timer-Eingangsmoduls 116 gemessen werden.

Dabei werden im Timer- Eingangsmodul 116 die Signale mit Zeitinformationen und anderen physikalischen Informationen verknüpft und nach der Verarbeitung und ggf. Zwischenspeicherung in der Ausgabeeinheit 114 zur Generierung von Ausgangssignalen benutzt. Die physikalischen Informationen sind beispielsweise der Winkel eines Motors oder auch jede andere physikalische Größe wie Masse,

Temperatur, Pegelstand einer Flüssigkeit, Phasenlage einer Schwingung eine Anzahl von Ereignissen (Kanten) oder die Periodendauer eines Signals. Ein- gangscharakteristika können z.B. Zeitstempelwerte von detektierten steigenden oder fallenden Eingangsflanken zusammen mit dem neuen Signallevel oder die Anzahl der Flanken seit einer Kanal- Freigabe zusammen mit dem aktuellen Zeitstempel oder PWM-Signallängen für eine ganze PWM-Periode umfassen. Die Werte, die einem Eingangssignal zugeordnet werden, wie der Wert der Zeitbasis und der Wert der Winkelbasis zum Zeitpunkt des Eingangsevents, charakterisieren also das Eingangssignal und lassen Berechnungen in weiteren Modulen zu, die an die Routingeinheit 101 angeschlossen sind (z.B. Modul 109) und können dann eine Ausgabeeinheit (Ausgabeeinheit 114) ansprechen, in der in Abhängig- keit von den übermittelten Werten in Verbindung mit den aktuellen Zeit- und/oder Winkelbasis-Werten Ausgangssignale erzeugt werden.

Für fortgeschrittene Datenverarbeitung können die detektierten Eingangs- Charakteristika des Timer- Eingangsmoduls 116 durch die Routing- Einheit 101 zu weiteren Verarbeitungseinheiten des Timer-Moduls 100 geroutet werden.

Die Einheit zur Taktauf bereitung 102 ist verantwortlich für die Takt- Erzeugung der Zähler und des Timer-Moduls 100. Sie stellt konfigurierbare Takte zur Verfügung und die Zeitbasis- Einheit 103 mit sowohl zeit- als auch positionsbezogenen Zählern liefert eine gemeinsame Zeitbasis für das Timer-Modul 100 bzw. stellt aktuelle Zeit- und Positionsinformation (z.B. Winkel) zur Verfügung.

Die Einzelmodule werden mit den Takten und Zeitbasen versorgt und tauschen über die Routing- Einheit 101 Daten miteinander aus. Durch lokal in den Einzelmodulen vorliegende Komparatoren werden die Daten gegenüber der aktuellen Zeit und/oder Position verglichen und dabei getroffene Entscheidungen signalisiert, wie zum Beispiel dem Schalten eines Ausgangssignals.

Bei dem Routen der Daten mittels der Routing- Einheit 101 stellt die Verzweigungseinheit 111 die Daten einer Quelle auch mehreren Datensenken in einem oder verschiedenen Modulen zur Verfügung, da in der Regel ein blockierendes Lesen der Daten vorgesehen ist, das nur das einmalige Lesen eines Datums von einer Quelle erlaubt. Da jede Schreibadresse für die Submodul- Kanäle des Timer-Moduls 100, welche zu der Routing- Einheit 101 schreiben können, nur von einem einzigen Modul gelesen werden kann, ist es unmöglich, einen Datenstrom verschiedenen Modulen parallel zur Verfügung zu stellen. Dies gilt nicht für Quellen, die ihre Daten nicht ungültig machen, nachdem die Daten von einem Empfänger gelesen wurden, wie es zum Beispiel für das DPLL-Modul 104 vorgesehen sein kann. Um dieses Problem für reguläre Module zu lösen, ermöglicht es die Verzweigungseinheit 111, Datenströme mehrmals zu duplizieren. Dieses Submodul 111 stellt Eingangs- und Ausgangskanäle zur Verfügung. Um einen eingehenden Datenstrom zu klonen, kann der entsprechende Eingangskanal auf einen oder mehrere Ausgangskanäle gemappt werden.

Das DPLL(digital phase locked loop)-Modul 104 wird für Frequenzmultiplikation eingesetzt. Zweck dieses Moduls 104 ist es eine größere Genauigkeit der Positi- ons- oder Wert- Information auch im Fall von Anwendungen mit schnell veränderlichen Eingangsfrequenzen zu erreichen. Das DPLL-Modul 104 erzeugt aus posi- tionsbezogenen Eingangssignalen Impulse, die feiner unterteilte Positionsinformationen in der Zeitbasis- Einheit 103 ermöglichen. Damit kann zum Beispiel eine Winkeluhr eine feinere Auflösung eines Drehwinkels anzeigen als die Eingangssignale vorgeben. Darüber hinaus sind in dem DPLL-Modul 104 Informationen über Geschwindigkeit oder Drehzahl verfügbar und es können Voraussagen getroffen werden, wann eine vorgegebene Position auch unter Einbeziehung eines zeitlichen Vorlaufs (z. B. Berücksichtigung der Trägheit des Ansteuermoduls) erreicht sein wird. Die Eingangssignale für das DPLL-Modul 104 werden über das Timer- Eingangsmodul 106 geführt, in einem Eingangsmapping-Modul 105 gefiltert oder auch in einem Sensormuster-Auswertungsmodul 115, beispielsweise insbesondere für die Auswertung von Elektromotoren, kombiniert.

Das Timer- Eingangsmodul 106 hat gegenüber den anderen Timer- Eingangsmodulen 116 also die Besonderheit, dass er aktuelle Filterwerte, mit denen er Eingangssignale filtert, an das Eingangsmapping-Modul 105 und das DPLL-Modul 104 weitergibt, und dort die Filterwerte auf die Zeitstempel der gefilterten Kante angerechnet werden, um eine tatsächliche Kantenzeit zu erhalten.

Das Sensormuster-Auswertungsmodul 115 kann verwendet werden, um die Eingaben von mehreren Hall-Sensoren auszuwerten und um gemeinsam mit dem Timer-Ausgangsmodul 113 (bestehend vorzugsweise aus mehreren Ausgängen) den Betrieb von Gleichstrommaschinen (BLDC, brushless direct current) zu unterstützen. Zusätzlich kann das Sensormuster-Auswertungsmodul 115 zum Beispiel auch verwendet werden, um die Rotationsgeschwindigkeit einer oder zweier elektrischer Maschinen zu berechnen.

Mittels der Ausgangsvergleichs- Einheit 108 können Ausgangssignale bitweise miteinander verglichen werden. Sie ist für den Einsatz in sicherheitsrelevanten

Anwendungen konzipiert. Die Hauptidee ist hierbei, die Möglichkeit zu haben, Ausgänge zu verdoppeln, um in dieser Einheit verglichen werden zu können. Wird dazu zum Beispiel eine einfache EXOR(exclusive OR)- Funktion verwendet, kann es notwendig sein, das Ausgangsverhalten eines kompletten Zyklus der zu vergleichenden Ausgangsmodule sicherzustellen. Wie in Figur 1 gezeigt, ist die

Ausgangsvergleich- Einheit 108 über die mit dem Bezugszeichen 9 angedeutete Verbindung mit der Verbindung zwischen Timer-Ausgangsmodul 113 und dem Pin 12 verbunden.

Die Monitor- Einheit 107 ist ebenfalls für den Einsatz in sicherheitsrelevanten An- Wendungen konzipiert. Die Hauptidee ist dabei, die Möglichkeit zu schaffen, gemeinsam genutzte Schaltkreise und Ressourcen zu überwachen. So wird die Aktivität der Uhren sowie die Grundaktivität der Routing- Einheit 101 überwacht. Die Monitor- Einheit 107 ermöglicht einer externen CPU (central processing unit) bzw. allgemein einer externen Recheneinheit die einfache Überwachung von zentralen Signalen für sicherheitskritische Anwendungen.

Unterbrechungslinien (Interrupt request lines) der Module sind in Figur 1 durch vierstellige Bezugszeichen mit der Endung„2" und den ersten drei Ziffern entsprechend dem Modul gekennzeichnet. Das Unterbrechungskonzentrierungsmo- dul 110 wird eingesetzt, um die Unterbrechungslinien XXX2 der individuellen

Submodule geeignet in Unterbrechungsgruppen zu bündeln und dann an die externe Recheneinheit weiterzuleiten.

Alle Module sind von der Recheneinheit über eine Busschnittstelle (universelle Handshaking-Schnittstelle) konfigurierbar. Über diese Busschnittstelle sind auch

Daten austauschbar. Für das nicht an die Routing- Einheit angeschlossene Ausgabemodul Timer-Ausgangsmodul 113 werden hiermit die Ausgänge zum Beispiel für periodische Abläufe konfiguriert. Das Timer-Ausgangsmodul 113 bietet unabhängige Kanäle, z.B. um PWM(pulse width modulated)-Signale an jedem Ausgangspin zu generieren. Zusätzlich kann an einem Ausgang des Timer-

Ausgangsmodul 113 ein Pulszähler-moduliertes Signal erzeugt werden.

Das mit der Router-Einheit 101 verbundene Timer-Ausgangsmodul 114 ist aufgrund seiner Verbindung mit der Routereinheit 101 in der Lage, komplexe Aus- gangssignale ohne CPU-Interaktion zu erzeugen. Typischerweise werden Aus- gangssignal-Charakteristika über die Verbindung zur Router- Einheit 101 durch mit der Router- Einheit 101 verbundene Submodule wie zum Beispiel das DPLL- Submodul 104, das Mehrkanal-Sequenzer-Modul 109 oder das Parameterspeichermodul 120 zur Verfügung gestellt.

Das Mehrkanal-Sequenzer-Modul 109 ist ein generisches Datenverarbeitungsmodul, welches mit der Routing- Einheit 101 verbunden ist. Eine seiner Hauptan- Wendungen ist es, komplexe Ausgangssequenzen zu berechnen, welche von den Zeitbasis- Werten der Zeitbasis- Einheit 103 abhängen können und welche in Kombination mit dem Modul 114 bearbeitet werden. Jedes Untermodul des mit der Router-Einheit 101 verbundenen Timer-Ausgangsmoduls 114 umfasst Aus- gangskanäle, welche unabhängig von einander in verschiedene konfigurierbaren

Betriebsmodi operieren können.

Der Mikrocontroller-Bus ist in Figur 1 mit dem Bezugszeichen 11, verschiedene Pins (bzw. Pingruppen) sind mit den Bezugszeichen 12-15 bezeichnet.

Das Timermodul ist mit einer generischen Busschnittstelle ausgerüstet, welche vielseitig auf verschiedene SoC- Busse (Soc=System on a chip) angepasst werden kann. Die Anpassung der generischen Busschnittstelle wird typischerweise über ein Brückenmodul erreicht, welches die Signale der generischen Bus- schnittsteile in die Signale des jeweiligen SoC-Busses übersetzt. Die generischen Busschnittstellen der Module sind in Figur 1 durch vierstellige Bezugszeichen mit der Endung„1" und den ersten drei Ziffern entsprechend dem Modul gekennzeichnet. Die Multiplexvorrichtung 112 multiplext die generischen Busschnittstellen. In der Figur 1 sind die Verbindungen zwischen den generischen Busschnittstellen XXXI und der Multiplexvorrichtung 112 mit den Bezugszeichen

1-8 angedeutet.

In Figur 2 ist das Mehrkanal-Sequenzer-Modul 109 aus Figur 1 in einer vorteilhaften Ausführungsform 200 gezeigt. Dabei weist das Mehrkanal-Sequenzer-Modul (MCS) 200 die Stufen RAM-Zugangsdecodierung 201, RAM-Zugang 202, Be- fehlsvordecodierung 203 und Befehlsausführung 204 auf. Die Stufe RAM- Zugangsdecodierung 201 umfasst den RAM-Zugangscodierer 220, die Stufe RAM-Zugang 202 den RAM-Speicher 221, die Stufe Befehlsvorcodierung 203 den Befehlsvordecodierer 222 und die Stufe Befehlsausführung 204 den Be- fehlsdecodierer 223, die arithmetisch-logische Einheit (ALU) 224 sowie die Routingeinheit-Schnittstelle 225.

Der RAM-Zugangsdecoder 220 umfasst einen Eingang 210 für Daten bzw. Adressinformationen seitens der externen Recheneinheit, sowie weitere Eingänge von der Stufe Befehlsausführung 204 sowie Ausgänge zu der Stufe RAM-Zugang

202. Zwischen den Stufen 201 und 202 sind die Register 234 und 235 angeordnet. Das Register 234 ist über die RAM- Dateneingangsverbindung 214 mit einem Eingang des RAM 221 verbunden, das Register 235 über die RAM- Adressverbindung 215 mit einem weiteren Eingang des RAM 221. Der RAM 221 ist über die RAM-Datenausgangsverbindung 216 mit dem Register 236 verbunden, welches zwischen den Stufen 202 und 203 angeordnet ist.

Das Register 236 ist mit einem Eingang des Befehlsvordecodierers 222 verbunden. Der Befehlsvordecodierer 222 verfügt des Weiteren über einen Datenaus- gangverbindung 213 Richtung externe Recheneinheit und über eine Verbindung zum Register 230, welches zwischen den Stufen 203 und 204 angeordnet ist.

Das Register 230 ist mit einem Eingang des Befehlsdecodierers 223 sowie mit einem Eingang des RAM-Zugangsdecodierers 220 verbunden. Ein Eingang des Befehlsdecodierers 223 ist mit einer Verbindung 212 von Seiten der Zeitbasiseinheit 103 aus Figur 1 verbunden. Ebenfalls ist der Befehlsdecodierer 223 mit dem Registerblock 232, bzw. dessen einzelnen Register 2320, 2321, 2322 und 2323, verbunden. Zwei Ausgänge des Befehlsdecodierers 223 sind mit zwei Eingängen der ALU 224 verbunden. Ebenfalls ist der Befehlsdecodierers 223 über die Verbindungen 240 und 241 jeweils mit dem RAM-Zugangsdecoder 220, der

Routereinheitsschnittstelle 225 und dem Registerblock 233 verbunden. Der Registerblock 233 umfasst die Register 2330, 2331, 2337. Die ALU 224 ist über eine Verbindung sowohl mit dem Register 231 als auch mit dem Registerblock 233 verbunden. Das Register 231 ist zwischen der Stufe 204 und der Stufe 201 angeordnet und wiederum mit dem RAM-Zugangsdecoder 220 verbunden. Die

Routereinheitsschnittstelle 225 ist über Verbindungen 242 und 243 mit dem Registerblock 233 verbunden. Außerdem verfügt die Routereinheitsschnittstelle 225 über eine Verbindung 211 zur Routereinheit 101 aus Figur 1. In dem Timer-Modul 100 können wie beschrieben Ausgangssignale in den Modulen 113 und 114 erzeugt werden. Diese Signale können zum Beispiel pulswei- tenmodulierte, aber auch andere Signale sein. Die Ausgangssignale eines solchen Timer-Moduls 100 können zum Beispiel zur Ansteuerung eine Aktuatorik, im Automotive- Bereich beispielsweise eines Ventils, eines Motors oder einer Zündspule, herangezogen werden. Dabei kann es je nach Anwendung unter anderem bedeutsam sein, bestimmte Ansteuerzeiten nicht zu überschreiten oder zu unterschreiten, allgemein, bestimmte Bedingungen für verschiedene Signalcha- rakteristika nicht zu verletzen. Um dies zu gewährleisten, kann eine Überprüfung der Signale vorgesehen oder sogar, beispielsweise durch Normen, zwingend vorgeschrieben sein. Die Signale, die in einer Hardware-Datenverarbeitungseinheit, wie dem in Figur 1 gezeigten Timer-Modul 100, erzeugt und von dieser ausgesendet werden, können dazu - wie in den folgenden Ausführungsbeispielen der Erfindung näher ausgeführt - von der Hardware- Datenverarbeitungseinheit wieder eingelesen werden und von dieser selbst überwacht werden. Dazu wird das zu überwachen- de Ausgangssignal von dem Ausgang (in Figur 1 beispielsweise ein Kanal der

Ausgangsmodule 113 oder 114) zusätzlich auch auf einen Eingang zurückgeführt (in dem Beispiel von Figur 1 beispielweise auf einen speziell dafür vorgesehenen bzw. bei der Konfiguration dafür reservierten Kanal des Eingangsmoduls 116). Dies kann beispielsweise durch eine externe Verbindung / Verdrahtung realisiert werden. Besonders vorteilhaft wird dies für ein Timer-Modul eines Steuergeräts, z.B. für den Einsatz im Automotivebereich, eingesetzt, wo durch das Steuergerät beispielweise Motorfunktionen in einem Kraftfahrzeug gesteuert werden können und das Timer-Modul dazu notwendige Zeit- bzw. Winkelfunktionen übernimmt. Ein solches vorteilhaftes Timer-Modul gibt in seiner Funktion Signale aus, wel- ches gegebenenfalls einer Überprüfung unterzogen werden müssen, und verfügt des Weiteren über die notwendigen Mittel, die Überprüfung wie beschrieben selbst durchzuführen.

In einem ersten Ausführungsbeispiel zur Überprüfung eines Ausgangssignals bezüglich seines Signalcharakteristikum„Signallänge" kann in dem Eingangsmodul 116, bzw. in dem speziell dafür vorgesehenen bzw. reservierten Kanal des Eingangsmoduls 116, jede Flanke des zu überwachenden (Ausgangs-)Signals mit einem Zeitstempel versehen werden. Dieser Zeitstempel wird dadurch generiert, dass eine Zeitbasis von der Zeitbasiseinheit 103 zur Verfügung gestellt wird, deren Wert zum Zeitpunkt der eingehenden Signalflanke von dem Eingangsmodul 116 abgespeichert wird. Dieser Zeitstempel kann nun (wie im Folgenden näher ausgeführt) über die zentrale Routingeinheit 101 an den Multi- Kanal- Sequenzer 109 weitergeleitet und dort verarbeitet werden. Der Vielkanal- Sequenzer 109 (Figur 1) bzw. 200 (Figur 2) ist dabei eine über seine Register und den RAM 221 (z.B. durch die externe Recheneinheit) konfigurierbare und programmierbare Logikeinheit (mit Logikuntereinheiten wie arithmetisch-logische Einheit (ALU) 224 oder (Pre-)Decoder 220, 222, 223), die auch Rechenoperatio- nen und Vergleichsoperationen vornehmen kann. Der Vielkanal-Sequenzer 109 arbeitet ein Programm ab, welches im RAM 221 liegt und dort von der dem Timermodul 100 zugewiesenen externen Recheneinheit abgespeichert wird. Die Überprüfung eines Signals über die oben beschriebenen von dem Eingangsmo- dul 116 zugewiesenen Zeitstempel im Vielkanal-Sequenzer 109 kann beispielsweise mit folgendem Programmablauf realisiert werden:

1. Blockierendes Lesen des Zeitstempels der aktiven (ersten) Flanke aus dem Eingangsmodul 116 durch den Vielkanal-Sequenzer 109 über die Routingeinheit 101 zum Eingang 211 und Abspeichern in einem ersten Register des Vielkanal-

Sequenzer 109, z.B. in einem ersten Register des Registerblocks 233. Unter blockierendem Lesen wird dabei verstanden, dass der Vielkanal-Sequenzer 109 eine Anforderung an das Timer- Eingangsmodul 116 bezüglich Lesen stellt. Diese Leseanforderung wird zyklisch von der Routingeinheit 101 berücksichtigt und da- bei das Timer- Eingangsmodul 116 abgefragt, ob ein gültiger Wert, in diesem

Ausführungsbeispiel ein gültiger Zeitstempel, verfügbar ist. Erst wenn der Wert bzw. Zeitstempel verfügbar ist, wird im Programmablauf des Vielkanal- Sequenzer 109 fortgefahren. Der Vielkanal-Sequenzer bearbeitet alle anderen Aufgaben unabhängig davon, ob für den betrachteten Kanal (die betroffene Task) das Datum verfügbar ist oder nicht (Multi-Tasking).

2. Blockierendes Lesen des Zeitstempels der passiven (zweiten) Flanke aus dem Eingangsmodul 116 durch den Vielkanal-Sequenzer 109 über die Routingeinheit 101 und Abspeichern in einem zweiten Register, z.B. in einem zweiten Register des Registerblocks 233.

3. Differenzbildung zwischen zweitem und erstem Register und Speichern in einem dritten Register, insbesondere durch die ALU 224. 4. Prüfung, ob der Differenzwert im dritten Register den Maximalwert überschreitet, insbesondere durch die ALU 224. Wenn ja, wird ein Fehler signalisiert. Die Signalisierung des Fehlers erfolgt z.B. über ein spezielles Fehlersignal, z.B. an ein weiteres Modul (insbesondere die Monitor- Einheit 107) und/oder durch ein Fehlersignal an extern (d.h. an außerhalb des Timermoduls) und/oder durch Aus- lösung eines Interrupts an die externe Recheneinheit. Die möglichen Fehlersignal- bzw. Interruptleitungen des Multikanal-Sequenzer-Moduls 200 ist in Figur 2 nicht gezeigt, könnten aber zum Beispiel von der die Vergleiche ausführenden ALU 224 ausgehen. Die Fehlersignale bzw. Interrupts können im Folgenden Feh- lerbehandlungs- oder -korrekturs- Routinen triggern oder zum Beispiel die Um- Schaltung eines Steuergeräts, zu welchem das Timer-Modul gehört, in einen Sicherheitsmodus bewirken. Diese verschiedenen, möglichen Fehlersignal- Mechanismen gelten so auch für die übrigen Ausführungsbeispiele.

5. Prüfung, ob der Differenzwert im dritten Register den Minimalwert unterschreitet. Wenn ja, wird ein Fehler signalisiert. Die Signalisierung des Fehlers kann wie zu Schritt 4 beschrieben erfolgen.

6. Gehe zu Schritt 1.

Mit dem dargestellten Programmablauf ist es in einer vorteilhaften Ausgestaltung auch möglich, Toleranzen (z.B. für Verzerrungen auf dem Signalweg) zu berücksichtigen, indem der Toleranzwert in die Bestimmung des oben beschriebenen Maximal- bzw. Minimalwertes mit einberechnet wird. Wenn (nahezu) keine Toleranz zugelassen werden soll, so ist der Maximalwert (nahezu) gleich dem Minimalwert zu wählen.

In einem weiteren Ausgestaltungsbeispiel ist es auch möglich, ein gesendetes PWM-Signal in das Timer-Eingangsmodul 116 zurückzulesen und in dem Timer- Eingangsmodul 116 die PWM-Periode und die Dauer des High-Pegels als Sig- nalcharakteristika auszumessen (anstelle der Zeitstempelzuweisung als Signal- charakteristikum). Diese beiden Werte, Periode und Dauer, werden dann über die Routingeinheit 101 entsprechend dem obigen Programmablauf in das Vielkanal-Sequenzer-Modul 109 übertragen und dort mit vorgegebenen Perioden- und High- Werten verglichen (z.B. wieder Minimal- und Maximalwerte wie im ersten Beispiel beschrieben). Auch dabei können wieder Toleranzen hinzuaddiert oder abgezogen werden, bevor der Vergleich mit einem vorgegebenen Wert erfolgt. Wenn der Vergleich nicht wie erwartet ausfällt, wird wiederum ein Fehlersignal und/oder ein Interrupt generiert (siehe oben).

Wichtig ist es für eine zuverlässige Überwachung auf Signalverläufe dabei generell, dass gemeinsam benutzte Signale, z.B. die Takt- oder Zeitinformationen der Module 102 und 103, überwacht werden, ob sie zum Beispiel noch aktiv sind und nicht ausgefallen sind (z.B. Zeitbasis bleibt stehen), da die Inaktivität dieser ge- meinsam benutzten Signale das Ergebnis der beschriebenen Signalüberprüfungen verfälschen würden.

Für die Überwachung dieser Signale wie Takte oder Zeitbasen könnte z.B. ein GTM-externes Watchdog-Modul benutzt werden, das ein Fehlersignal generiert, wenn sich beispielsweise ein Taktsignal innerhalb einer bestimmten Zeit nicht ändert. In ähnlicher Weise kann die Zeitbasis auch beispielsweise durch Überwachung mittels einer externen Recheneinheit überwacht werden. Diese Aufgabe kann zum Beispiel auch vom in Figur 1 gezeigten Monitor-Modul 107 übernommen werden. Die Takte können dabei in der Einheit 107 auf Aktivität überwacht werden, diese wiederum von der Recheneinheit mehrfach (regelmäßig oder unregelmäßig) abgefragt werden. Auch bei einem Ausfall der Routing- Einheit 101 würden die oben beschriebenen Signalüberprüfungen nicht stattfinden können. Deshalb ist es auch wichtig, die Funktionsfähigkeit der Routing- Einheit 101 zu überwachen.

In einer bevorzugten Ausgestaltung der bisher beschriebenen Ausführungsbeispiele ist es in diesem Zusammenhang möglich, auch für jeden fehlerfreien Vergleich einen Interrupt auszulösen und/oder zusätzlich ein Signal an die Monitor- Einheit 107 zur Abspeicherung zu. Die Recheneinheit empfängt diesen Interrupt (wenn durch die Recheneinheit erwünscht, z.B. deaktivierbar bei zu großer Interrupt-Last an der Recheneinheit) und/oder fragt die Monitoreinheit 107 ab und erfährt damit, dass (überhaupt) ein Vergleich ordnungsgemäß stattgefunden hat. Damit kann die externe Recheneinheit implizit die Funktionsfähigkeit der benutzen Eingangskanäle, z.B. des Eingangsmoduls 116, des Routings über die Routingeinheit 101 und die Aktivität der benutzten Takte bzw. Zeitbasis (Module 102 und 103) feststellen. Insgesamt entsprechen diese Maßnahmen also der Ausgabe eines Aktivitätssignals bei der Durchführung des Vergleichs (unabhängig von seinem Ausgang).

Die Abfragezeitpunkte der Monitoreinheit 107 durch die Recheneinheit können durch die Einbeziehung der Recheneinheit flexibel sein und sich an die aktuellen Bedingungen der Anwendung jeweils anpassen. Das ist vorteilhaft gegenüber dem Einsatz eines externen Watchdogs mit festen Abfragezeiten.

Wenn im ersten Ausführungsbeispiel ein Vergleich des Zeitstempeldifferenzwertes im Multikanal-Sequenzer 109 auch für eine Minimum (minimale Zeitdauer des Eingangssignals) stattfindet, kann dabei zusätzlich auch überprüft werden, dass die Zeitbasis aktiv ist und nicht auf einem festen Wert stehengeblieben ist. Dies kann auch, wenn nur auf ein Maximum überprüft wird, neben einer Überprüfung auf das Maximum als separater Schritt im Programmablauf vorgesehen sein. Ist der Vergleich fehlerfrei (z.B. Maximalwert nicht überschritten), so kann in einer bevorzugten Ausgestaltung zusätzlich geprüft werden, ob die Signaldauer >0 ist. Dadurch kann eben eine möglicherweise nicht weiterlaufende Zeitbasis erkannt werden und über dies wiederum über ein Fehler-Signal gemeldet werden.

Durch diese Ausgestaltungen der Erfindung kann also die externe Recheneinheit in die Überprüfung des Signalvergleichs/ oder in die Signalüberprüfung und implizit in die weitere Überprüfung des GTM, z.B. der Aktivität der Zeitbasis, mit einbezogen werden. Die Recheneinheit besitzt eine eigene Zeitbasis, die üblicherweise durch einen zusätzlichen Watchdog überwacht wird, bleibt also auch im Fall einer fehlerhaften Zeitbasis des Timermoduls handlungsfähig.

Zur zusätzlichen Überprüfung der Signalaktivität am entsprechenden Kanal des Eingangsmoduls 116 kann zusätzlich eine ohnehin im Eingangsmodul 116 vorhandene Timeout- Erkennungseinheit (engl: Timeout Detection Unit, TDU) verwendet werden. Diese Einheit meldet an die Recheneinheit einen Interrupt, wenn sich innerhalb einer voreingestellten Zeitspanne keine Änderung am Signaleingang ergab.

In Figur 3 ist ein beispielhaftes Verfahren zur Überprüfung eines Ausgangssignals einer Hardware- Datenverarbeitungseinheit gezeigt.

In einem ersten Schritt 301 wird ein zu überprüfendes Ausgangssignal aus einer Hardware-Datenverarbeitungseinheit (HW-DV-Einheit) zusätzlich zum Ausgeben über ein Ausgangsmodul der HW-DV-Einheit (z.B. Ausgangsmodule 113 oder 114 in Figur 1) auch wieder in die HW-DV-Einheit eingelesen. Bei der HW-DV- Einheit handelt es sich insbesondere um ein Timer-Modul (z.B. Timer-Modul 100 aus Figur 1) vorzugsweise als Teil eines bzw. in Zusammenarbeit mit einem Au- tomotive-Steuergerät. Das wieder eingelesene Signal wird dabei in ein Eingangsmodul der HW-DV-Einheit (z.B. Eingangsmodul 116 in Figur 1) eingelesen. In einem zweiten Schritt 302 werden wie oben zu Figur für das Eingangsmodul 116 bzw. in den Ausführungsbeispielen beschrieben Signalcharakteristika des wieder eingelesenen Signals bestimmt und diesem zugewiesen. Im folgenden Schritt 303 werden die Signalcharakteristika von einem Logikmodul der HW-DV-Einheit (z.B. programmierbares Logikmodul 109 bzw. 200 in den Figuren 1 bzw. 2), z.B. über eine Routingmodul der HW-DV-Einheit (z.B. Routereinheit 101 in Figur 1), gelesen und gespeichert. Die gelesenen und gespeicherten Informationen über das zu überprüfende Signal werden im Schritt 304 durch das Logikmodul verarbeitet (zum Beispiel Dif- fernzbildung der Zeitstempel der ersten und der zweiten Flanke des Eingangssignals) und mit in den in der HW-DV-Einheit, insbesondere im Logikmodul, gespeicherten Werten verglichen. Der Vergleich kann dabei zum Beispiel mit Ma- ximal- und oder Minimalwerten, beispielsweise auch unter Einbeziehung von zugelassenen Werttoleranzen erfolgen. Insbesondere kann durch einen Zugriff auf die Register des Logikmoduls, in welchem die Vergleichswerte gespeichert werden, eine Konfiguration bzw. Veränderung der Vergleichswerte durch das Logikmodul und / oder die externe Recheneinheit je nach Anwendungsfall oder nach dem Wert bestimmter Parameter erfolgen.

Ist der Vergleich in Schritt 304 erfolgreich, befinden sich die gespeicherten Informationen bzw. Werte also je nach Art des Vergleichs in einem zugelassenen Intervall, unter einem Maximalwert, über einem Minimalwert oder entsprechen ex- akt einem vorgegebenen Wert, so folgt im Verfahren der Schritt 305. Ist der Vergleich dagegen nicht erfolgreich, also eine vorgeschriebene Vergleichsbedingung nicht erfüllt, verzweigt das Verfahren zu Schritt 306.

In Schritt 305 kann je nach Ausgestaltung des Verfahrens z.B. keine weitere Ak- tion erfolgen, da ein zulässiger Vergleich nicht unbedingt eine Handlung notwendig macht. In diesem Fall springt das Verfahren ohne weitere Maßnahme über einen Schritt 307 (Ende des Verfahrens) gegebenenfalls wieder zum Verfahrensbeginn 301. Alternativ können auch andere Handlungsweisen vorgesehen sein, insbesondere dass wie oben beschrieben auch im erfolgreichen Vergleichsfall ein Interrupt an die Recheneinheit geht und/oder eine Mitteilung bzw. Information darüber an ein weiteres Modul der HW-DV-Einheit (z.B. Monitor-Modul 107 in Fig. 1) geht bzw. dort gespeichert wird. Nach Durchführung oder nach Einleiten der vorgesehenen Maßnahmen bei erfolgreichen Vergleich springt gegebenenfalls das Verfahren wiederum über einen Schritt 307 (Ende des Verfahrens) zum Verfahrensbeginn 301. Im Schritt 306 werden im Fall eines erfolglosen Vergleichs die daraus zu resultierenden Maßnahmen ergriffen, bzw. in die Wege geleitet. Es kann dabei zum Beispiel ein Recheneinheit -Interrupt vorgesehen sein, eine Mitteilung bzw. Information über den erfolglosen Vergleich ein weiteres Modul der HW-DV-Einheit (z.B. Monitor-Modul 107 in Fig. 1) gehen bzw. dort abgespeichert werden. Je nach Fehler kann das Verfahren mit Schritt 306 abgeschlossen sein oder wiederum nach Abschluss oder nach Einleitung der Maßnahmen im Fehlerfall über den Schritt 307 (Ende des Verfahrens) gegebenenfalls wieder zum Verfahrensbeginn 301 springen.