Brevet FR2710765A1 — publié le 19950407

CIRCUIT ELECTRONIQUE DE SURVEILLANCE D'UN PROCESSEUR L'invention concerne un dispositif comportant un processeur et un circuit électronique de surveillance pour contrôler que le processeur fonctionne correctement et empêcher qu'il délivre un signal de sortie incorrect à un appareil associé, ledit circuit comportant un commutateur branché entre la sortie du processeur et l'appareil associé. Dans certaines applications, il est important de surveiller le fonctionnement d'un processeur pour détecter un fonctionnement incorrect. Dans un système duplex, une détection de fonctionnement défectueux peut être utilisée pour déclencher le processeur défectueux et enclencher un autre processeur. Un fonctionnement incorrect du processeur peut être contrôlé au moyen d'un circuit de surveillance du type contrôleur de séquence. Ce circuit de surveillance est excité périodiquement par le processeur et, si ce n'est pas le cas, il agit pour arrêter ou réinitialiser le processeur. Il peut en résulter un signal de sortie indéterminé du processeur pendant que le circuit de surveillance opère, donc la création d'un état d'insécurité jusqu'à ce que le processeur reprenne son fonctionnement normal. La présente invention a pour but de fournir un dispositif perfectionné par rapport à l'art antérieur mentionné ci-dessus. Dans ce but, l'invention concerne un dispositif du genre indiqué en préambule, caractérisé en ce que le circuit de surveillance comporte un comparateur et un circuit produisant un premier code qui est délivré à une première entrée du comparateur, en ce que le processeur est agencé pour délivrer périodiquement et alternativement à une seconde entrée du comparateur un second code, qui est nominalement identique au premier code et dépend du fonctionnement correct du processeur, et un signal de réenclenchement qui diffère du second code, de sorte que le signal de sortie du comparateur alterne entre deux états différents, et en ce que le commutateur opère en réponse au signal de sortie du comparateur et autorise la délivrance du signal de sortie du processeur à l'appareil associé seulement pour autant que le signal de sortie du comparateur alterne dans une gamme prédéterminée de fréquences. De préférence, le commutateur comporte un circuit monostable, déclenché par le signal de sortie du comparateur, et une porte commandée par un signal de sortie du circuit monostable. Le commutateur peut comporter un premier circuit monostable produisant une impulsion de courte durée quand il est déclenché, un second circuit monostable recevant le signal de sortie du premier circuit monostable, le second circuit monostable ayant une sortie raccordée à la porte, de sorte que lorsque le signal de sortie du comparateur alterne à une cadence qui produit un signal de sortie continu du premier circuit monostable, le second circuit monostable ne produit qu'une impulsion et la porte empêche par conséquent le passage de signaux du processeur à l'appareil associé. Le circuit produisant le premier code est de préférence un circuit câblé. Le processeur peut comporter une unité d'altération et produire le signal de réenclenchement par passage du second code à travers cette unité d'altération. Une forme préférée du dispositif se caractérise en ce que le circuit de surveillance comporte un second comparateur et un circuit produisant un troisième code qui est délivré à une première entrée du second comparateur, en ce que le processeur est agencé pour délivrer périodiquement et alternativement à une seconde entrée du second comparateur un quatrième code, qui est nominalement identique au troisième code et dépend du fonctionnement correct du processeur, et un signal de réenclenchement qui diffère du troisième code, de sorte que le signal de sortie du second comparateur alterne entre deux états différents, en ce que le circuit de surveillance comporte une porte ayant des entrées qui reçoivent respectivement les signaux de sortie du premier et du second comparateur, et en ce que ladite porte a une sortie raccordée au commutateur. On décrira ci-dessous une forme de réalisation d'un dispositif comportant un processeur et un circuit électronique de surveillance selon la présente invention, en référence au dessin annexé qui représente schématiquement le dispositif. Le dispositif représenté comporte un processeur 1 dont la sortie est raccordée à un appareil associé 2 par l'entremise d'un circuit de surveillance 3. Le circuit de surveillance 3 surveille le fonctionnement correct du processeur 1 et, lorsqu'il détecte un fonctionnement défectueux, empCche que les signaux de sortie du processeur soient délivrés à l'appareil 2. Le circuit de surveillance 3 peut aussi enclencher un processeur de remplacement (non représenté) pour commander l'appareil 2. Le circuit de surveillance 3 comporte une porte logique 30 dans un circuit commutateur 31. La porte 30 a deux entrées dont l'une est raccordée à la sortie du processeur 1. La sortie de la porte 30 constitue l'entrée de l'appareil 2. Le circuit commutateur 31 comporte en outre un montage série de deux circuits monostables 32 et 33 qui fournit l'autre entrée de la porte logique 30. Le premier circuit monostable 32 est raccordé à la sortie d'une porte ET 34 dont les deux entrées sont raccordées à des comparateurs respectifs 35 et 55. Le comparateur 35 a deux entrées 37 et 38 recevant des mots codes respectifs. Le mot code délivré à la première entrée 37 est produit par un circuit 39 qui est indépendant du processeur 1 et constitué de préférence par un simple circuit câblé. Le signal de l'autre entrée 38 est produit par le processeur 1 lui-même, par exemple par un algorithme exécuté par le processeur et représenté par le bloc 40 dans le dessin. Le code produit par l'algorithme 40 est identique à celui de l'autre entrée 37 tant que le processeur 1 fonctionne correctement, mais il diffère du code câblé si le processeur manifeste un défaut. Le résultat de l'algorithme 40 est transmis au comparateur en alternance, tantôt directement et tantôt indirectement en passant par une unité d'altération 41 qui altère le code. L'unité 41 peut consister par exemple en une étape additionnelle à l'algorithme, pour produire le complément du code. De manière similaire, le second comparateur 55 a deux entrées 57 et 58 recevant des mots codes en provenance d'un circuit 59 indépendant du processeur 1 et en provenance du processeur lui- même. Le code délivré au second comparateur 55 est différent de celui délivré au premier comparateur 35 et peut être produit par un algorithme différent 50 ou une modification de l'algorithme 40. Au cours du fonctionnement normal et correct du processeur 1, le processeur délivre deux signaux de sortie respectivement aux secondes entrées 38 et 58 des comparateurs 35 et 55. Les signaux de sortie du processeur 1 changent alternativement entre un état identique à celui des signaux des premières entrées 37 et 57 des comparateurs et un état différent. Ainsi, les deux signaux de sortie des comparateurs 35 et 55 basculent simultanément entre un état haut et un état bas à l'instant o les signaux venant du processeur 1 changent. Ces deux signaux alternés sont délivrés à la porte ET 34, dont le signal de sortie est haut quand les deux signaux d'entrée sont hauts, et reste bas le reste du temps. Par conséquent, en fonctionnement normal, le signal de sortie de la porte 34 est un signal pulsé alternant à la fréquence de changement des signaux venant du processeur. Ce signal est délivré à un premier circuit monostable 32, qui a une courte constante de temps et est déclenché par une transition montante à son entrée. De ce fait, une impulsion est délivrée à la sortie du premier circuit monostable 32 chaque fois que le processeur 1 produit un code correct. L'impulsion revient à zéro si les mots codes venant du processeur 1 sont séparés par un temps supérieur à la constante de temps du monostable 32. Le signal de sortie du premier monostable 32 est délivré à l'entrée du second circuit monostable 33 qui présente une constante de temps plus longue, par exemple plusieurs secondes. Le signal de sortie du second circuit monostable 33 passe à l'état haut quand il reçoit les impulsions de sortie du premier circuit monostable 32 et reste haut tant qu'il reçoit une autre impulsion du premier monostable dans la période définie par sa propre constante de temps. Si l'un ou l'autre des mots codes corrects cesse d'être délivré par le processeur 1, le signal de sortie du comparateur correspondant 35 ou passera à l'état bas et la porte ET 34 se fermera, arrêtant ainsi la délivrance d'impulsions du premier circuit monostable 32 au second 33. Par conséquent, le signal de sortie du second circuit monostable 33 passera à l'état bas après écoulement de sa constante de temps, ceci fermera la porte logique 30 et empêchera la transmission des signaux du processeur 1 à l'appareil associé 2. Si les mots codes corrects sont délivrés par le processeur à une cadence trop rapide, cela peut aussi indiquer un défaut dans le processeur. Ce fait sera aussi détecté par le circuit de surveillance 3 si la fréquence des mots codes provenant du processeur 1 est telle que la période entre les mots codes est inférieure à la constante de temps du premier circuit monostable 32. Il en résultera un signal de sortie continu haut du premier circuit monostable 32, qui ne déclenchera pas le second monostable plus d'une fois, parce que l'entrée de celui-ci n'aura qu'une seule transition de l'état bas à l'état haut. De ce fait, le circuit commutateur 31 autorise la transmission des signaux du processeur 1 à l'appareil 2 pour autant que les signaux de sortie des comparateurs 35 et 55 alternent dans une gamme prédéterminée de fréquences. La porte 30 pourrait avoir une sortie inverseuse, pour qu'un signal de sortie haut du processeur 1 produise un signal de sortie bas du circuit de surveillance, quand le fonctionnement est correct. La présente invention n'est pas limitée à l'exemple de réalisation décrit ci-dessus, mais elle s'étend à toute modification ou variante évidente pour un homme du métier. Par exemple, le circuit de surveillance pourrait comporter un seul comparateur à la place des deux comparateurs 35 et 55 décrits ci-dessus. REVENDICATIONS 1. Dispositif comportant un processeur et un circuit électronique de surveillance pour contrôler que le processeur fonctionne correctement et empêcher qu'il délivre un signal de sortie incorrect à un appareil associé, ledit circuit comportant un commutateur branché entre la sortie du processeur et l'appareil associé, caractérisé en ce que le circuit de surveillance (3) comporte un comparateur (35) et un circuit (39) produisant un premier code qui est délivré à une première entrée du comparateur (35), en ce que le processeur (1) est agencé pour délivrer périodiquement et alternativement à une seconde entrée du comparateur (35) un second code, qui est nominalement identique au premier code et dépend du fonctionnement correct du processeur, et un signal de réenclenchement qui diffère du second code, de sorte que le signal de sortie du comparateur (35) alterne entre deux états différents, et en ce que le commutateur (31) opère en réponse au signal de sortie du comparateur (35) et autorise la délivrance du signal de sortie du processeur (1) à l'appareil associé (2) seulement pour autant que le signal de sortie du comparateur (35) alterne dans une gamme prédéterminée de fréquences. 2. Dispositif selon la revendication 2, caractérisé en ce que le commutateur (31) comporte un circuit monostable (32), déclenché par le signal de sortie du comparateur (35), et une porte (30) commandée par un signal de sortie du circuit monostable (32). 3. Dispositif selon la revendication 2, caractérisé en ce que le commutateur (31) comporte un premier circuit monostable (32) produisant une impulsion de courte durée quand il est déclenché, un second circuit monostable (33) recevant le signal de sortie du premier circuit monostable et produisant une impulsion de plus longue durée que celle du premier circuit monostable, et en ce que le second circuit monostable (33) a une sortie raccordée à la porte (30), de sorte que lorsque le signal de sortie du comparateur (35) alterne à une cadence qui produit un signal de sortie continu du premier circuit monostable (32), le second circuit monostable (33) ne produit qu'une impulsion et la porte (30) empêche par conséquent le passage de signaux du processeur (1) à l'appareil associé (2). 4. Dispositif selon l'une des revendications précédentes, caractérisé en ce que le circuit (39) produisant le premier code est un circuit câblé. 5. Dispositif selon l'une des revendications précédentes, caractérisé en ce que le processeur (1) comporte une unité d'altération (41) et produit le signal de réenclenchement par passage du second code à travers cette unité d'altération. 6. Dispositif selon l'une des revendications précédentes, caractérisé en ce que le circuit de surveillance (3) comporte un second comparateur (55) et un circuit (59) produisant un troisième code qui est délivré à une première entrée du second comparateur (55), en ce que le processeur (1) est agencé pour délivrer périodiquement et alternativement à une seconde entrée du second comparateur (55) un quatrième code qui est nominalement identique au troisième code et dépend du fonctionnement correct du processeur, et un signal de réenclenchement qui diffère du troisième code, de sorte que le signal de sortie du second comparateur (55) alterne entre deux états différents, en ce que le circuit de surveillance (3) comporte une porte (34) ayant des entrées qui reçoivent respectivement les signaux de sortie du premier et du second comparateur (35, 55), et en ce que ladite porte (34) a une sortie raccordée au commutateur (31).