Часть2 (Рябов В.Т. - Комплексная разработка механических, электронных и программных компонентов ТО), страница 11

Он может вместо кода команды считать операнд, они совершенно неразличимы, интерпретировать операнд, как команду и что начнетсядалее, предсказать очень трудно.Поэтому ключевым вопросом обеспечения надежности функционирования МК являются пассивные и активные способы защиты от помех и сбоев счетчика команд.

Пассивныеметоды защиты препятствуют проникновению помех от линий связи непосредственно к выводам микроконтроллера.Основы проектирования устройств связи с объектом и линий связи, защищенных отвоздействия внешних помех и, в свою очередь, не порождающих помехи, будет рассмотренов разделе 4.3.

В этом разделе рассмотрим защиту от помех на границе раздела «вычислительное ядро – устройства связи с объектом управления» и активные методы защиты, локализующие действие помех, все же проникших в вычислительное ядро.Для защиты от проникновения помех от УСО в вычислительное ядро следует обеспечивать раздельное питание и гальваническую развязку вычислительного ядра микроконтроллера и периферийной части, поддерживающей работу линий связи с объектом управления.На рис.4.1. гальваническую развязку конечного выключателя SA1 и ключа на МОПтранзисторе обеспечивают оптопары DA1 и DA2.

Выключатель SA1 установлен на объекте,управляемым микроконтроллером и может быть соединен с ним достаточно протяженнойлинией связи. Внешние электромагнитные поля при непосредственном присоединении вывода порта МК к линии связи, могут вызвать появление ложных сигналов срабатывания выключателя. Если же между портом МК и источником сигнала ДК включить светодиод оптопары, мощности электромагнитной помехи не хватит, чтобы вызвать его срабатывание. Наэто требуется около 16 мВт (10 мА*1,6В).При выдаче дискретного управления оптопара обеспечивает только передачу сигнала34от светодиода на ключ VT1.

Если ключ VT1 с помощью оптопары не будет гальваническиразвязан от порта микроконтроллера, на порт через линию связи будут воздействовать внешние электромагнитные поля и ЭДС самоиндукции при включении и выключении индуктивной нагрузки.

При наличии оптопары эти помехи не пройдут далее фототранзистора, если несмогут повысить напряжение между фототранзистором и светодиодом более 1,5 .. 2 кВ, чтоочень маловероятно. Расчет и выбор элементов оптронных развязок будет рассмотрен в разделе 4.3.Активные методы защиты заключаются в локализации сбоев МК, вызванных помехами. Важно не допустить превращения этих сбоев (даже сбоев в счетчике команд) в отказ всейсистемы. Для реализации активных методов защиты были разработаны специальные интегральные схемы – супервизоры.Супервизорные схемы микроконтроллеров. Функции супервизораМАХ-691Супервизорные схемы относятся к классу последовательностных схем и предназначены для обеспечения условий и наблюдения за работой микропроцессоров и однокристальных микроконтроллеров. Образно говоря, они выполняют функции заботливой няньки,точнее дядьки при микроконтроллере.

Почему не просто няньки, а дядьки? Потому что онивооружены дубинкой и не дают микроконтроллеру делать свою работу плохо. Они так зарекомендовали себя, что в современные микроконтроллеры их просто интегрируют с другимиштатными устройствами, такими, как таймеры, приемопередатчики, аналого-цифровые ицифроаналоговыми преобразователями.Разберем работу схем этого типа на примере схемы МАХ-691, являющейся супервизором для знакомого нам семейства MCS-51.

Функциональная схема супервизора приведенана рис. 4.2. Микросхема способна выполнять следующие две укрупненные функции: мониторинг за напряжением питания МК и защиту от программных сбоев микроконтроллера.Мониторинг за напряжением питания МК. Одной из основных причин сбоев в работе МК является снижениенапряжения питания ниже установленного уровня. Такимпорогом для для ИС семейства MCS-51 является 4.65В.Функции мониторинга включают:1.

Подключение резервной батарей, если основное питаниепадает ниже резервного.2. Сброс МК при включении питания.3. Сброс МК, если питаниениже 4.65В.4. Блокировка линий выборакристалла памяти данных СЕ,если питание ниже 4.65В.5. Выдача предупреждающегопрерывания в начальной фазеснижения напряжения питания.Защита от программных сбоев. Супервизор долРис. 4.2. Функциональная схема супервизоражен обнаружить «зависание»MAX 691.программы и восстановитьработоспособность системы35управления.Рассмотрим работу схемы и назначение его выводов, разбирая выполнение приведенных ранее функций супервизора.Подключение резервной батарей, если питание ниже резервного. На супервизоре предусмотрен вывод Vcc, подключаемый к выходу основного источника питания микроконтроллера и вывод Vout, предназначенный для непосредственной подачи питания на микроконтроллер.

К выводу Vbatt подключается резервная батарея.Супервизор содержит опорный источник напряжения на 4.65В, подключенный к прямомувходу первого компаратора. Как только напряжение основного источника питания МК на выводеVcc становится ниже этого порога, на выводе компаратора появляется высокий уровень. Выходкомпаратора через инвертор подключен к выводу LOW LINE , который сигнализирует о том,что напряжение питания Vcc ниже 4,65В.Второй компаратор супервизора сравнивает напряжение батареи, подключенной к выводуVbatt с напряжением основного питания. Сигналы с обоих компараторов приходят на ячейку«И».

Если основное напряжение Vcc менее 4,65В и меньше напряжения на батарее Vbatt, тоячейка «И» выдает единицу и переключает вывод выходного напряжения Vout с основногона батарейное питание.Нагрузочная способность внутреннего ключа супервизора не превышает 30 мА. Этогодостаточно для k-МОП схем серии MCS-51, но не хватает для n-МОП.

Для них необходимоподключать внешний ключ, для управления которым предусмотрен вывод BATT ON.Сброс МК при включении и если напряжение питание ниже 4.65В. Вывод первогокомпаратора подключен также генератору сброса МК. Генератор сброса, если на него поступает активный высокий уровень, формирует сигнал сброса микроконтроллера. Длительностьи уровень этого сигнала соответствует требуемому сигналу RESET семейства MCS-51 и ончерез повторитель поступает на вывод RESET супервизора. Этот вывод достаточно подключить к выводу RST микроконтроллера и при каждом снижении питающего напряжения ниже4,65В микроконтроллер будет сброшен.

При подаче питания на МК, поскольку Vcc нарастаетот нуля, микроконтроллер каждый раз предварительно будет сбрасываться.Вывод RESET является инверсией сигнала RESET и также предусмотрен в супервизоре для возможности его использования для других МК, сбрасываемых низким уровнем.БлокировкалинийвыборакристаллапамятиданныхСЕ,еслипитание ниже 4.65В. Поддержка работы энергонезависимого ОЗУ. Выводы CE in иCE out предназначены для блокировки линий выбора кристалла внешней памяти данных,если питание будет ниже 4,65В и для сохранения информации в энергонезависимом ОЗУ.Как уже отмечалось, если питание ниже 4,65В, возможны сбои работы МК и в эти моментывероятно несанкционированное обращение к памяти и запись в нее ошибочной информации.Чтобы этого не происходило, сигнал линии выбора кристалла CS или CE , формируемыйдешифратором памяти при выполнении ассемблерных операций записи или чтения пропускаютчерез супервизор, подключая его к выводу CE in . Вывод CS схемы памяти присоединяют квыводу супервизора CE out .

Супервизор содержит внутри себя двунаправленный аналоговыйкоммутатор, управляемый блоком «Управление выходом СЕ». Как только напряжение питания становится ниже порога 4,65В, компаратор активизирует этот блок и линия CE in -CE out размыкается. Одновременно на вывод CE out подается высокий уровень с Vout.Схемы энергонезависимого ОЗУ сохраняют информацию, если на вывод CS подана единица.Если сигнал CS формируется супервизором, то при пропадании или выключении основного36питания на этом выводе будет напряжение батареи, т.е. супервизор будет поддерживать сохранение информации в энергонезависимом ОЗУ.

При включении питания вывод CS также будет блокирован.Выдача предупреждающего прерывания в начальной фазе снижения напряженияпитания. Микросхема содержит также третий компаратор, подключенный к опорному источнику 1,25В. На прямой вход этого компаратора подается напряжение с вывода PFI (Power FailInput), а его выход подключен к выводу PFO (Power Fail Output). Описанное устройство предназначено для выдачи предупреждающего прерывания в начальной фазе снижения напряжения питания.На рис. 4.3 б), показано, что с момента выключения напряжения питания до моментасброса, когда напряжение становится ниже 4,65В проходит некоторое время tR. Оно зависит отемкостей, шунтирующих цепи питания и составляет обычно несколько десятков и даже сотенмиллисекунд. Это, малое по нашим меркам, время весьма заметно для микроконтроллера. Подключим к цепи питания делитель напряжения, настроенный с помощью переменного резистораR3 так, что при Vcc=4,8В, напряжение на PFI составит 1,25В и подключим его к входу PFI супервизора (рис.

4.3, а). Тогда мы сможем зафиксировать момент начала падения напряжения питания с опережением tS в несколько миллисекунд или даже десятков миллисекунд. За это времяМК сможет сделать до 1000 и более коротких операций.Если подключит вывод PFO супервизора к входу внешнего прерывания МК,например INT0, по сигналу супервизора мысможем запустить подпрограмму обслуживания этого прерывания, в которой предусмотрим сохранение критичной информации в энергонезависимом ОЗУ, прежде чеммикроконтроллер будет сброшен.Защита от программных сбоев.Для обнаружения зависаний в супервизореиспользована система «Watch dog» (WD) –сторожевой таймер. Это чрезвычайно эффективная система для защиты от проРис. 4.

3. Подача предупредительного прерыграммных сбоев. Практически во все сования: а) аппаратное исполнение;временные микроконтроллеры такая сисб) снижение напряжения питания во времени.тема бывает встроена.Как она действует? Ведь микроконтроллер сам никогда не сможет обнаружить, что он«завис» при выполнении управляющей программы, как человек сам объективно не сможетоценить адекватность своего поведения.Через определенный период времени некая внешняя система WD пытается сброситьмикроконтроллер. МК, в свою очередь, при нормальной работе должен периодически сбрасывать WD.

Для этого в управляющей программе предусматривается специальный процессили синхроквант. Если управляющая программа «подвисла», упреждающий сигнал на WDпослан не будет и микроконтроллер будет сброшен сторожевым таймером. По сбросу он восстановит исходное значение в своем счетчике команд и начнет управляющую программусначала. Дело программиста написать программу так, чтобы она восстановила состояниеобъекта и продолжила управление, как будто ничего не случилось.В супервизоре предусмотрено специальное устройство «Таймер RESET и WD», задающий длительность стандартного сигнала СБРОС и период «тиков» встроенного сторожевого таймера «Таймер WD».

Исходно «Таймер WD» срабатывает за период около секунды(см. техническую документацию на конкретную схему супервизора). Для упреждающегосброса сторожевого таймера служит «Детектор сигнала WDI», подключенный к выводу WDIсупервизора.37Вывод WDI предназначен для подачи упреждающего сигнала от управляющей программы. Притом сигнал фиксируется детектором как по фронту, так и по спаду, поэтому изуправляющей программы для сброса сторожевого таймера следует периодически подаватьследует то ноль, то единицу. Период следования этого сигнала должен быть меньше периодасрабатывания сторожевого таймера.На вывод WDO будет подан активный низкий уровень, если сторожевой таймер сработает, одновременно будет активизирован генератор сброса и выдан высокий уровень сигнала RESET. Микроконтроллер будет сброшен.