DE2842392A1

DE2842392A1 - Microprocessor controlled vehicle system - is monitored using control pulse whose first absence causes restart and second emergency action

Info

Publication number: DE2842392A1
Application number: DE19782842392
Authority: DE
Inventors: Joerg Ing Grad Birmelin; Georg Haubner; Guenther Dipl Ing Hoenig; Uwe Dr Ing Kiencke; Akfred Dipl Ing Schulz; Manfred Dipl Phys Dr Schwab; Juergen Dipl Ing Wesemeyer
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1978-09-29
Filing date: 1978-09-29
Publication date: 1980-04-17
Also published as: JPS5569810A; DE2842392C2

Abstract

A monitoring device for program controlled devices, esp. microprocessor controlled vehicle systems, involves detecting a control pulse during each program cycle. It differentiates between faults arising during a program cycle, deciding whether they result from temporary faults or system failure. This enables use of a reliable criterion for operating an emergency switch. If no control pulse is detectd a new program cycle is initiated. A time element drives a coincidence circuit connected to the device so taht the coincidence circuit is switched when no further pulse is detected during the timer rest period.

Description

Überwachungseinrichtung für programmgesteuerte VorrichtungenMonitoring device for program-controlled devices

Stand der Technik Die Erfindung geht aus von einer Überwachungseinrichtung nach der Gattung des Hauptanspruches.PRIOR ART The invention is based on a monitoring device according to the genre of the main claim.

Es ist bekannt, bei programmgesteuerten Vorrichtungen Überwachungseinrichtungen vorzusehen, die einen ordnungsgemäßen Ablauf des Programms überwachen. Hierzu ist es beispielsweise bekannt, sogenannte Testprogramme ablaufen zu lassen, bei denen alle Funktionen der programmgesteuerten Vorrichtung nachgebildet werden. Je nach Art des dabei auftretenden Fehlersignales ist es dann möglich, den Fehler im Programm zu lokalisieren. Diese Art der Überwachung hat jedoch den Nachteil, daß die programmgesteuerte Vorrichtung für die Dauer der Überwachung durch das Testprogramm vollständig beansprucht wird, was insbesondere bei solchen Vorrichtungen, bei denen eine ununterbrochene Verarbeitung der Daten von Wichtigkeit ista zu Schwierigkeiten führen kann.It is known to use monitoring devices in program-controlled devices to ensure that the program is running properly. This is it is known, for example, to run so-called test programs in which all functions of the program-controlled device can be simulated. Depending on With the type of error signal that occurs, it is then possible to identify the error in the program to locate. However, this type of monitoring has the disadvantage that the program-controlled contraption for the duration of the monitoring by the test program is fully claimed, which is particularly true for those devices in which Uninterrupted processing of the data is important to difficulties can lead.

Es ist weiterhin bekannt, programmgesteuerte Vorrichtungen derart zu überwachen, daß bei jedem Programmdurchlauf ein Kontrollimpuls gesetzt wird, um ein vollständiges Durchlaufen des Programmes anzuzeigen. Verwendet man jedoch ein derartiges Kontrollsignal zur laufenden Überwachung der Vorrichtung, kann dies ohne Einsatz weiterer Mittel dazu führen, daß die Vorrichtung auch bei kurzzeitigen Störungen außer Betrieb gesetzt wird.It is also known to use program-controlled devices in this way to monitor that a control pulse is set with each program run, to display a complete run through of the program. However, one uses Such a control signal for ongoing monitoring of the device can do this without the use of other means lead to the fact that the device even with short-term Faults is put out of operation.

Dies ist jedoch insbesondere bei solchen programmgesteuerten Vorrichtungen vom Nachteil, die in stark störverseuchter Umgebung arbeiten, beispielsweise von Mikroprozessoren gesteuerten Systemen in Kraftfahrzeugen. Bei diesen müssen aus Sicherheitsgründen Überwachungseinrichtungen vorgesehen werden, die eine Fehlererkennung aufweisen, die bei Ausfall oder Störung der Steuerung des Fahrzeuges durch Auslösen von Sicherungen einen sicheren Betriebszustand des Kraftfahrzeuges herbeiführen und eventuell für nicht sicherheitskritische Systemfunktionen eine Notfunktion starten, die eine Weiterfahrt zur nächsten Werkstatt gestatten. Da dieser Störfall mit erheblichen Kosten für den Anwender verbunden ist, ist es notwendig, das Ansprechen derartiger Überwachungseinrichtungen auf die Fälle zu beschränken, in denen das Steuergerät nicht mehr funktionsfähig ist. Der Ausfall eines der eingangs geschilderten Kontrollimpulse ist hierfür jedoch kein sicheres Kriterium, da aufgrund der in Kraftfahrzeugen auftretenden unverhältnismäßig hohen Störpegel kurzzeitige, nicht systembedingte Betriebsstörungen und damit Ausfälle von Kontrollimpulsen möglich sind, die ihre Ursache jedoch nicht in einer Funktionsunfähigkeit des Steuergerätes haben.However, this is particularly the case with such program-controlled devices from the disadvantage that work in a highly contaminated environment, for example from Microprocessor-controlled systems in motor vehicles. With these have to be For safety reasons, monitoring devices are provided that detect errors have, which in the event of failure or malfunction of the control of the vehicle by triggering of fuses bring about a safe operating condition of the motor vehicle and possibly start an emergency function for non-safety-critical system functions, which allow you to continue your journey to the next workshop. Since this incident with considerable There is a cost associated with the user, it is necessary to address such To restrict monitoring devices to those cases in which the control unit is no longer functional. The failure of one of the control pulses described above However, this is not a reliable criterion for this because it occurs in motor vehicles disproportionately high interference level short-term, not system-related Operational disruptions and thus failures of control pulses are possible, but not their cause in an inoperability of the control unit.

Vorteile der Erfindung Die erfindungsgemäße Überwachungseinrichtung mit den kennzeichnenden Merkmalen des Hauptanspruches hat demgegenüber den Vorteil, auftretende Fehler im Programmablauf, je nachdem ob sie durch kurzzeitige Störungen oder durch Systemausfälle verursacht worden sind, zu unterscheiden und damit ein verläßliches Kriterium für die Betätigung einer Notschalteinrichtung zu schaffen.Advantages of the Invention The monitoring device according to the invention with the characterizing features of the main claim has the advantage over this Occurring errors in the program sequence, depending on whether they are caused by short-term malfunctions or caused by system failures, and thus a to create a reliable criterion for the actuation of an emergency switching device.

Zeichnung Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigen: Figur 1 den Stromlaufplan einer Überwachungseinrichtung; Fig. 2 den Stromlaufplan einer RESTART-Schaltung.Exemplary embodiments of the invention are shown in the drawing and explained in more detail in the following description. They show: figure 1 shows the circuit diagram of a monitoring device; Fig. 2 shows the circuit diagram of a RESTART circuit.

Beschreibung der Ausführungsbeispiele In Figur 1 ist mit 10 eine programmgesteuerte Vorrichtung, beispielsweise ein von Mikroprozessoren gesteuertes System in einem Kraftfahrzeug, dargestellt. Die programmgesteuerte Vorrichtung 10 weist eine zu jedem Zeitpunkt setzbare monostabile Kippstufe (sogenanntes retriggerbares Monoflop) (101) auf. Eine derartige monostabile Kippstufe hat die Eigenschaft, im gesetzten Zustand zu verharren, wenn während der Standzeit weitere Setzimpulse angelegt werden.DESCRIPTION OF THE EXEMPLARY EMBODIMENTS In FIG. 1, 10 is a program-controlled one Device, for example a system controlled by microprocessors in one Motor vehicle shown. The program-controlled device 10 assigns one Monostable multivibrator that can be set at any time (so-called retriggerable monoflop) (101). Such a monostable multivibrator has the property of being set To remain in the state if further setting pulses are applied during the idle time.

Dabei wird von jedem neuen Setzimpuls die Kippstufe wiederum für die gesamte Standzeit gesetzt. Dies bedeutet, daß die Kippstufe nur dann abfällt, wenn während einer Zeit, die größer als die Standzeit ist, einmal kein neuer Setzimpuls angelegt wird. Der invertierte Ausgang der Kippstufe 101 ist mit dem Setzeingang einer weiteren monostabilen Kippstufe 11 sowie dem Takteingang eines JK-Flipflops 13, das als Koinzidenzschaltung 12 dient, verbunden. Der Ausgang des JK-Fliflops 13 ist an einen Eingang eines ODER-Gatters 14 angeschlossen, mit dessen Ausgang eine Notschalteinrichtung 15, im dargestellten Ausführungsbeispiel ein Schalter 16 mit Ruhekontakt, ansteuerbar ist. Der J-Eingang des JK-Flipflops 13 ist an den Ausgang der weiteren monostabilen Kippstufe 11 angeschlossen, der gleichzeitig mit einem invertierten-Eingang eines UND-Gatters 17 verbunden ist. Ein weiterer invertierter Eingang des UND-Gatters 17 ist mit dem Ausgang der Kippstufe 101 verbunden. Dieser ist weiterhin über ein RC-Glied 18, 19 an einen Eingang eines NAND-Gatters 20 gelegt, dessen zweiter Eingang mit dem invertierten Ausgang der Kippstufe 101 verbunden ist. Der Ausgang des NAND-Gatters 20 ist mit einem Eingang 102 der programmgesteuerten Vorrichtung 10 verbunden, über den der Vorrichtung Schaltbefehle für einen erneuten Durchlauf des Programmes (RESTART) zuführbar sind. Es ist weiterhin ein aus einem RC-Glied 22, 23 bestehendes Zeitglied vorgesehen, das über eine Klemme 21 mit der Versorgungsspannung der Überwachungseinrichtung beschaltbar ist und dessen Ausgang über einen Invertierer 24 mit einem dritten invertierten Eingang des UND-Gatters 17 sowie dem-Reset-Eingang des JK-Flipflops 13 verbunden ist. Schließlich ist ein dritter Eingang des ODER-Gatters 14 auf eine Klemme 25 geführt.With each new setting pulse, the flip-flop is in turn for the total service life set. This means, that the tilting stage only then drops if during a time which is greater than the service life, once no new setting pulse is applied. The inverted output of flip-flop 101 is with the set input of a further monostable multivibrator 11 and the clock input a JK flip-flop 13 serving as the coincidence circuit 12. The exit of the JK fliflop 13 is connected to an input of an OR gate 14, with whose output is an emergency switching device 15, in the illustrated embodiment a switch 16 with normally closed contact can be controlled. The J input of the JK flip-flop 13 is connected to the output of the further monostable multivibrator 11, the is connected to an inverted input of an AND gate 17 at the same time. Another inverted input of the AND gate 17 is connected to the output of the flip-flop 101 connected. This is also via an RC element 18, 19 to an input of a NAND gate 20 placed, the second input to the inverted output of the Flip-flop 101 is connected. The output of NAND gate 20 is one input 102 of the program-controlled device 10 connected, via which the device switching commands can be supplied for a new run of the program (RESTART). It is still a timer consisting of an RC element 22, 23 is provided, which via a terminal 21 can be wired to the supply voltage of the monitoring device and its Output via an inverter 24 with a third inverted input of the AND gate 17 and the reset input of the JK flip-flop 13 is connected. Finally is a the third input of the OR gate 14 is fed to a terminal 25.

Die Wirkungsweise der in Figur 1 dargestellten Vorrichtung ist wie folgt: Wie bereits ausgeführt, ist die Kippstufe 101 der programmgesteuerten Vorrichtung 10 als retriggerbares Monoflop ausgebildet, d.h., daß in ordnungsgemäßem Betrieb der programmgesteuerten Vorrichtung 10 dem Setzeingang bei jedem Programmdurehlauf wenigstens ein Kontrollimpuls zugeführt wird, wobei die Standzeit der Kippstufe 101 größer als die Zyklus zeit der Kontrollimpulse bemessen ist, so daß die Kippstufe 101 bei störungsfreiem Betrieb im gesetzten Zustand statisch verharrt. Am Ausgang Q liegt dann ein positives logisches Signal an, am invertierten Ausgang Q liegt ständig logisch 0. Fällt nun aufgrund irgendeiner Störung ein Kontrollimpuls aus, fällt die Kippstufe 101 ab und am invertierten Ausgang Q liegt logisch 1. Dadurch wird der Takt eingang des JK-Flipflops 13 angesteuert und die weitere Kippstufe 11 gesetzt.The operation of the device shown in Figure 1 is like follows: As already stated, the flip-flop 101 is the program-controlled one Device 10 designed as a retriggerable monoflop, i.e. that in proper Operation of the program-controlled device 10 corresponds to the set input for each program cycle at least one control pulse is supplied, the service life of the flip-flop 101 is larger than the cycle time of the control pulses, so that the trigger stage 101 remains statically in the set state during trouble-free operation. At the exit A positive logic signal is then applied to Q and Q is applied to the inverted output constantly logical 0. If a control pulse fails due to some disturbance, flip-flop 101 drops out and logic 1 is at the inverted output Q. As a result the clock input of the JK flip-flop 13 is controlled and the other flip-flop 11 set.

Aufgrund der Verzögerung mit der das Signal logisch 1 am Ausgang der weiteren Kippstufe 11 erscheint, wird das JK-Flipflop 13 jedoch noch nicht gesetzt. Die Standzeit der weiteren Kippstufe 11 ist wesentlich größer bemessen als die der Kippstufe 101. Typischerweise beträgt beispielsweise die Zykluszeit der Kontrollimpulse 8 ms,.Due to the delay with which the signal is logical 1 at the output of the Another flip-flop 11 appears, the JK flip-flop 13 is not yet set. The service life of the further tilting stage 11 is much longer than that of the Trigger stage 101. Typically, for example, the cycle time of the control pulses 8 ms ,.

die Standzeit der Kippstufe 101 12 ms und die Standzeit der weiteren Kippstufe 11 50 ms. Beim Abfallen der Kippstufe 101 wird über ein Funktionsglied, bestehend aus dem RC-Glied 18, 19 sowie dem NAND-Gatter 20 ein kurzer negativer Impuls erzeugt, der dem Eingang 102 der programmgesteuerten Vorrichtung 10 zugeführt wird und ein erneutes Starten des Programmes bewirkt. Wird das Programm beim erneuten Durchlauf fehlerfrei durchlaufen, wird die Kippstufe 101 wieder gesetzt. Tritt jedoch ein erneuter Ausfall eines Kontrollimpulses während der durch die weitere Kippstufe 11 bestimmten Standzeit von beispielsweise 50 ms auf, erscheint am invertierten Ausgang Q der Kippstufe 101 eine Schaltflanke und das JK-Flipflop 13 wird nun umgeschaltet. In diesem Fall wird über das ODER-Gatter 14 die Notschalteinrichtung 15 betätigt. Beispielsweise kann ein Schalter 16 mit einem Ruhekontakt aufgetrennt werden, der in der Stromversorgung der programmgesteuerten Vorrichtung 10 angeordnet ist.the service life of the trigger stage 101 is 12 ms and the service life of the others Flip-flop 11 50 ms. When the flip-flop 101 drops, a function element consisting of the RC element 18, 19 and the NAND gate 20, a short negative one Pulse generated, which is fed to the input 102 of the program-controlled device 10 and causes a restart of the program. If the program is started again If the pass has been run through without errors, the flip-flop 101 is set again. However, occurs a renewed failure of a control pulse during the through the further flip-flop 11 has a certain idle time of, for example, 50 ms, appears on the inverted Output Q of flip-flop 101 a switching edge and the JK flip-flop 13 is now switched. In this case, the emergency switching device is via the OR gate 14 15 actuated. For example, a switch 16 can be separated with a normally closed contact are arranged in the power supply of the program-controlled device 10 is.

Es ist jedoch auch möglich, daß nach erneutem Starten des Programms überhaupt kein weiterer Kontrollimpuls mehr auftritt. In diesem Falle bleibt der Ausgang Q der Kippstufe 101 statisch auf 0, der Ausgang Q der weiteren Kippstufe 11 geht nach deren Standzeit ebenfalls auf 0.However, it is also possible that after restarting the program no further control impulse occurs at all. In this case, the Output Q of flip-flop 101 is static at 0, output Q of the further flip-flop 11 also goes to 0 after its idle time.

Dies bedeutet, läßt man einmal den dritten invertierten Eingang außer Betracht, daß das UND-Gatter 17 durchschaltet und ebenfalls über das ODER-Gatter 14 die Notschaltfunktion auslöst.This means that one leaves the third inverted input out Consider that the AND gate 17 turns on and also through the OR gate 14 triggers the emergency switching function.

Handelt es sich jedoch beim ersten Ausfall des Kontrollimpulses um eine vorübergehende Störung, und treten während der Standzeit der weiteren Kippstufe 11 keine weiteren Ausfälle mehr auf, werden beide Eingänge des JK-Flipflops 13 mit 0 beaufschlagt, so daß dieses nicht mehr umschaltet und auch die beiden ersten Eingänge des UND-Gatters 17 werden mit einem 0- bzw. 1-Signal beaufschlagt, so daß auch über das UND-Gatter 17 kein Auslösesignal mehr auf die Notschalteinrichtung 15 gelangt. Die Uberwachungseinrichtung, die durch den Ausfall des ersten Kontrollimpulses gesetzt wurde, wird demnach in diesem Betriebsfall nach Ablauf der Standzeit der weiteren monostabilen Kippstufe 11 von selbst desaktiviert. Es ist außerdem möglich, eine Klemme 25 einem weiteren Eingang des ODER-Gatters 14 oder dem PRESET-Eingang des JK-Flipflops 13 zuzuführen, um die Notschalteinrichtung 15 in Abhängigkeit von anderen Kriterien anzusteuern.However, if it is the first failure of the control pulse a temporary malfunction, and occur during the idle time of the further flip-flop stage 11 no further failures occur, both inputs of the JK flip-flop 13 are activated 0 is applied, so that this no longer switches and neither does the first two inputs of the AND gate 17 are applied with a 0 or 1 signal, so that over the AND gate 17 no longer triggers the emergency switching device 15. The monitoring device set by the failure of the first control pulse was, accordingly, in this operating case, after the end of the idle time, the further monostable flip-flop 11 deactivated by itself. It is also possible to use a Terminal 25 another input of the OR gate 14 or the PRESET input of the JK flip-flops 13 feed to the emergency switching device 15 depending on others To control criteria.

Um zu vermeiden, daß die erfindungsgemäße Überwachungseinrichtung bei jeder Inbetriebnahme der programmgesteuerten Vorrichtung 10 anspricht, wird die Versorgungsspannung auf die Klemme 21 geführt und erzeugt über das Zeitglied, bestehend aus dem RC-Glied 22, 23 und dem Invertierer 24 für eine kurze Zeit ein positives logisches Signal. Dies bewirkt einerseits, daß das JK-Flipflop 13 über den Reset-Eingang R angesteuert wird und damit nicht umgeschaltet werden kann, andererseits ist durch einen dritten invertierten Eingang des UND-Gatters 17 gewährleistet, daß auch dieses während der Einschaltphase nicht umgeschaltet werden kann. Nach einer durch das RC-Glied 22, 23 bestimmten Zeit verschwindet das Signal am Ausgang des Invertierers 24 und die Überwachungseinrichtung kann in der oben beschriebenen Weise ausgelöst werden.In order to avoid that the monitoring device according to the invention every time the program-controlled Device 10 responds, the supply voltage is fed to terminal 21 and generated via the timing element, consisting of the RC element 22, 23 and the inverter 24 for one a positive logical signal for a short time. On the one hand, this causes the JK flip-flop 13 is controlled via the reset input R and thus cannot be switched can, on the other hand is through a third inverted input of the AND gate 17 ensures that this also does not switch over during the switch-on phase can be. This disappears after a time determined by the RC element 22, 23 Signal at the output of the inverter 24 and the monitoring device can in the triggered in the manner described above.

Fig. 2 zeigt den Stromlaufplan einer RESTART-Schaltung, wie sie bei einer erfindungsgemäßen Uberwachungseinrichtung verwendet werden kann. Ein die Kontrollimpulse führender Ausgang der programmgesteuerten Vorrichtung 10 ist an ein Differenzierglied, bestehend aus einem Kondensator 30 und einem Widerstand 31 angeschlossen, das mit der Basis eines Transistors 32 verbunden ist. Der Kollektor.Fig. 2 shows the circuit diagram of a RESTART circuit, as in a monitoring device according to the invention can be used. On the control impulses leading output of the program-controlled device 10 is to a differentiator, consisting of a capacitor 30 and a resistor 31 connected to the the base of a transistor 32 is connected. The collector.

dieses Transistors 32 liegt über einen Widerstand 33 an einem RC-Glied, bestehend aus einem Kondensator 34 und einem Widerstand 35, die in Serie mit einem Widerstand 36 zwischen Masse und eine an eine Klemme y gelegte Bezugsspannung geschaltet sind. Die Reihenschaltung von Kondensator 34 und Widerstand 35 ist einmal mit einer Zenerdiode und zum anderen mit einem Kondensator 39 überbrückt. Der Verbindungspunkt von Kondensator 34 und Widerstand 35 ist über eine Diode 40 mit der Basis eines Transistors 41 verbunden, der mit einem weiteren Transistor 42 in Reihe zwischen Masse und den einen neuen Programmdurchlauf bewirkenden Eingang 102 (RESTART-Eingang) der programmgesteuerten Vorrichtung 10 geschaltet ist.this transistor 32 is connected to an RC element via a resistor 33, consisting of a capacitor 34 and a resistor 35 in series with a Resistor 36 is connected between ground and a reference voltage applied to a terminal y are. The series connection of capacitor 34 and resistor 35 is once with one Zener diode and on the other hand bridged with a capacitor 39. The connection point of capacitor 34 and resistor 35 is via a diode 40 to the base of a Transistor 41 connected to another transistor 42 in series between Ground and the input 102 causing a new program run (RESTART input) the program-controlled device 10 is switched.

Die Wirkungsweise der in Fig. 2 dargestellten Schaltung ist wie folgt: Die bei ordnungsgemäßem Betrieb periodisch auftretenden Kontrollimpulse der programmgesteuerten Vorrichtung 10 werden differenziert und gelangen auf die Basis des Transistors 32, der dadurch periodisch durchgeschaltet wird und den Kondensator 34, der aus der an der Klemme 37 anliegenden Bezugsspannung aufladbar ist, periodisch entlädt. Die Kondensatorspannung überschreitet daher bei ordnungsgemäßem Betrieb der programmgesteuerten Vorrichtung 10 einen bestimmten Pegel nicht. Zum Schutz des RC-Gliedes 34, 35 gegen Störspannungsspitzen sind der Widerstand 36 sowie die Zenerdiode 38 und der Kondensator 39 vorgesehen. Die Spannung am Kondensator 34 wird über die Diode 40 auf die Basis des Transistors 41 übertragen. Bei ordnungsgemäßem Betrieb der programmgesteuerten Vorrichtung 10 ist der Transistor 41 gesperrt. Fällt jedoch ein Kontrollimpuls aus, steigt die Spannung am Kondensator 34 soweit an, daß der Transistor 41 durchgesteuert wird. Für einen erneuten Durchlauf des Programmes ist ein kurzer negativer Impuls am RESTART-Eingang 102 erforderlich. Dies wird beispielsweise in einer programmgesteuerten Vorrichtung 10 in einem Kraftfahrzeug dadurch bewirkt, daß von dem Bezugsmarkengeber 43 kurzzeitig ein Impuls auf den Transistor 42 übertragen wird. Ist der Transistor 41 aufgrund des Ausbleibens eines Kontrollimpulses durchgeschaltet, und wird der Transistor 42 durch Bezugsmarkengeber 43 ebenfalls kurzzeitig durchgeschaltet, wird der RESTART-Eingang 102 kurzfristig mit Masse verbunden. Dies bewirkt einen erneuten Durchlauf des Programms in der programmgesteuerten Vorrichtung 10.The operation of the circuit shown in Fig. 2 is as follows: The program-controlled control pulses that occur periodically during normal operation Device 10 are differentiated and arrive at the base of transistor 32, which is thereby periodically switched through and the capacitor 34, which is from the reference voltage applied to terminal 37 can be charged, periodically discharged. the Capacitor voltage therefore exceeds the program-controlled one when operating properly Device 10 does not have a certain level. To protect the RC element 34, 35 against Interference voltage peaks are the resistor 36 as well as the Zener diode 38 and the capacitor 39 provided. The voltage across the capacitor 34 is applied to the base via the diode 40 of the transistor 41 transmitted. If the program-controlled Device 10, the transistor 41 is blocked. However, if a control pulse fails, the voltage across the capacitor 34 rises to such an extent that the transistor 41 is turned on will. A short negative impulse is used to run the program again required at RESTART input 102. This is done, for example, in a program-controlled Device 10 in a motor vehicle caused by the reference mark transmitter 43 briefly a pulse is transmitted to transistor 42. Is the transistor 41 switched through due to the absence of a control pulse, and the Transistor 42 is also briefly switched through by reference mark generator 43 the RESTART input 102 is briefly connected to ground. This causes another Run-through of the program in the program-controlled device 10.

Claims

Claims monitoring device for program-controlled devices, In particular, systems in motor vehicles controlled by microprocessors, in which at least one control pulse can be removed during each program run is, characterized in that in the absence of a control pulse a new one Program run is triggered (RESTART).

2. Monitoring device according to claim 1, characterized in that that a timer is set, the output of which is connected to a program-controlled Device (10) connected coincidence stage (12) is connected such that the Coincidence stage (12) is switched over if during the idle time of the timer there is no further control pulse and that the coincidence stage (12) with a Emergency switching device (15) is connected.

3. Monitoring device according to claim 1 or 2, characterized in that that the program-controlled device (10) is a monostable which can be set at any time Flipper (retriggerable monoflop) (101) contains the control pulses is controllable and that its inverted output with the set input of another monostable multivibrator (11) and the clock input of a JK flip-flop (13) whose J input is connected to the output of the further monostable multivibrator (11), its K input with ground and its output with the emergency switching device (15) connected is.

4. Monitoring device according to claim 3, characterized in that that the monostable flip-flop (101) is followed by a functional element (18, 19, 20) is that when switching the monostable multivibrator (101) a brief pulse generated, the one input (RESTART input) (102) of the program-controlled device (10) can be supplied in order to cause a new program run.

5. Monitoring device according to claim 3 or 4, characterized in that that the outputs of the monostable multivibrators (101, 11) with inverted inputs an AND gate (17) are connected, the output of which with the emergency switching device (15) is in functional connection.

6. Monitoring device according to one of the preceding claims, characterized in that switching means are provided which are activated when starting up the program-controlled device (10) the monitoring device for a predetermined Put time out of operation.

7. Monitoring device according to claim 5, characterized in that that when the supply voltage is switched on, an RC element (22, 23) is activated, its output to the reset input (R) of the JK flip-flop (13) and another The input of the AND gate (17) acts.

8. Monitoring device according to claim 1, characterized in that that the control pulses first switching means (30, 31, 32, 33) for reloading a are supplied from a reference voltage chargeable capacitor (34) and that the capacitor voltage second switching means (40, 41, 42) controls which with a input (102) (RESTART input) of the program-controlled device (10) is in operative connection.

9. Monitoring device according to claim 8, characterized in that that the second switching means is designed as a series connection of two transistors (41, 42) are from which one of the voltage on the capacitor (34) and the others by a reference mark transmitter (43) of the program-controlled device (10) is controllable.