[发明专利]使用修改的监视计时器的安全系统的质问和响应

说明书

背景技术

现代的车辆包括用于诸如气囊、动力方向盘、制动、引擎管理、变速箱控制和许多其它之类的系统的传感器、电子控制单元和致动器的巨大阵列。通常，这些电子组件自身包含有具有微控制器的嵌入式系统，所述微控制器配置为通过有选择地处理从传感器接收的数据来控制致动器的操作。对于工作在安全关键系统和其它系统中的微控制器，这样的微控制器必须能够处理起因于硬件和软件异常的稳定性问题。

因为嵌入式系统通常不让用户出面来重置微控制器，所以经常使用监视计时器来保证微控制器在适当地工作。监视计时器包含连续地增加它们的值的计数器。当正确地工作时，微控制器周期性地重置计数器以阻止其到达违反阈值的值。然而，当发生故障时（例如，在代码崩溃的情况下），微控制器不重置计数器，并且它的值最终到达阈值。在到达阈值时，监视计时器将重置微控制器以更正错误。

附图说明

图1A是常规的监视计时器的框图。

图1B是图示常规的监视计时器的操作的时序图。

图2A是配置为执行在计数器刷新的中间时间校验的所公开的监视计时器的一些实施例的框图。

图2B是图示图2A的所公开的监视计时器的示例性操作的时序图。

图3A-3B图示了配置为执行自动密码排序的所公开的监视计时器的一些实施例。

图4A-4B图示了具有监视管脚的所公开的监视计时器的一些实施例，所述监视管脚配置为向外部监控设备提供简单的输出信号以保证监视计时器的适当的操作。

图5A-5B图示了包括多个监视计时器的微处理器的一些实施例，所述多个监视计时器由外部监控设备监控以保证监视计时器的适当的操作。

图6A-6B图示了包括监视计时器的微控制器的一些实施例，所述监视计时器配置为在一个任务接一个任务的基础上监控微处理器的操作。

图7是操作监视计时器的示例性方法的流程图。

具体实施方式

现在参考附图描述所要求的主题，其中，贯穿全文相似的附图标记用来指代相似的元件。在以下的描述中，为了解释的目的，提出许多具体的细节，以便提供对所要求的主题的透彻的理解。然而，可以明白的是，可以在没有这些具体的细节的情况下实践所要求的主题。

图1A是常规的嵌入式系统100的框图。嵌入式系统100包括具有监视计时器104a和104b以及微处理器106a和106b的微控制器102。每个监视计时器104配置为监控对应的微处理器106的操作以保证微处理器106在正确地工作。

图1B图示了流程图112，所述流程图112图示了监视计时器104的操作以当它到达阈值V_TH时重置微处理器106。将理解的是，虽然时序图112将监视计时器104图示为增加它的值，但是监视计时器可以替换地减少它的值以在零的阈值V_TH处强制重置。

在第一监视周期WP₁期间，监视计时器104内的计数器108在时间t₀处从初始值C_init开始增加它的值。计数器108继续增加它的值直至在时间t₁处用来自微处理器106的刷新序列而被修正（serviced）。在用来自微处理器106的刷新序列而被修正时，从初始值C_init开始重启计数器108以避免重置微处理器106。

只要监视计时器104周期性地被修正，它就连续地增加它的值。然而，如果微处理器106遭遇难题（例如，代码崩溃），则它将不能够修正监视计时器104，并且监视计时器104当它到达阈值V_TH时将重置微处理器106。例如，在第二监视周期WP₂期间，计数器108在时间t₁处从初始值C_init开始增加它的值。在时间t₂处，微处理器106中出现阻止它刷新监视计时器104的错误。因为微处理器106不能够刷新监视计时器104，所以计数器108继续增加它的值，直至它违反阈值V_TH。在违反阈值V_TH时，监视计时器104向微处理器106发送重置信号，所述重置信号重置微处理器106。