CN101910959A - 用于评估对安全性至关重要的传感器变量的计算机系统 - Google Patents

用于评估对安全性至关重要的传感器变量的计算机系统 Download PDF

Info

Publication number
CN101910959A
CN101910959A CN2009801015247A CN200980101524A CN101910959A CN 101910959 A CN101910959 A CN 101910959A CN 2009801015247 A CN2009801015247 A CN 2009801015247A CN 200980101524 A CN200980101524 A CN 200980101524A CN 101910959 A CN101910959 A CN 101910959A
Authority
CN
China
Prior art keywords
variable
sensor
function
computing machine
computer system
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2009801015247A
Other languages
English (en)
Other versions
CN101910959B (zh
Inventor
扬·埃德尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Leopold Kostal GmbH and Co KG
Original Assignee
Leopold Kostal GmbH and Co KG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Leopold Kostal GmbH and Co KG filed Critical Leopold Kostal GmbH and Co KG
Publication of CN101910959A publication Critical patent/CN101910959A/zh
Application granted granted Critical
Publication of CN101910959B publication Critical patent/CN101910959B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Hardware Redundancy (AREA)
  • Testing Or Calibration Of Command Recording Devices (AREA)
  • Arrangements For Transmission Of Measured Signals (AREA)
  • Safety Devices In Control Systems (AREA)
  • Debugging And Monitoring (AREA)
  • Measurement Of The Respiration, Hearing Ability, Form, And Blood Characteristics Of Living Organisms (AREA)

Abstract

本发明描述了一种用于对安全性至关重要的传感器变量的计算机系统，该计算机系统具有至少一个输出第一传感器变量的第一传感器并且具有输出第二传感器变量的第二传感器，该计算机系统具有计算机并且具有独立于计算机的比较器，其中，计算机借助第一函数由第一传感器变量计算出输出变量，其中，计算机借助第二函数由输出变量计算出比较变量，并且其中，在比较器的输入端上输入比较变量和第二传感器变量。在此，第二传感器变量不是计算机的输入变量并且通过其量上的值区别于第一输入变量。通过计算机的计算并且在必要时通过比较器的计算由所算出的输出变量来确定针对第二传感器变量的预期的比较变量，并且通过比较器来检验两个变量是否一致。由此可以发现计算机的确定的内部错误。

Description

用于评估对安全性至关重要的传感器变量的计算机系统
技术领域
本发明涉及一种根据权利要求1或2前序部分的用于评估对安全性至关重要的传感器变量的计算机系统。
背景技术
IEC 61508是用于完成电气、电子和可编程的电子系统的国际标准，该标准实现安全功能。该标准由国际电子技术委员会(IEC)发布。IEC 61508针对安全完整性等级3规定了确定的硬件技术最小值，例如针对FIT(计次失效率，failure in time)和SFF(安全失效分数，safe failurefraction)，这些硬件技术最小值通常仅能通过附加的软件技术措施来实现。尤其是用于对发生CPU计算错误进行防护的验证是安全完整性的总验证的重要部分。
迄今，为了对发生计算错误进行防护而应用两个不同的微控制芯片或在一个芯片上的至少两个并行运行的计算路径(Rechenpfade)。有时也使用反向运行的计算路径，例如在德国公开文献DE 4219457A1中所述。双芯片解决方案在批量生产中造价昂贵，而通过迄今在单芯片上的解决方案，功能安全性只会受到限制或者要借助于附加的硬件来验证功能安全性，这是因为在内部错误的情况下，CPU在并行运行的或反向运行的计算路径中均以同样的方式错误地计算。因此，CUP错误可能会保持未被发现。缺少对如下问题的简单验证，即：CPU没有在两种计算路径中同样错误地进行计算，并且不存在两个相同的但却错误的结果来用于对所述结果的比较，或者在反向计算路径的情况下，CPU由于错误例如略过两个计算路径并且直接对两个输入变量进行比较。
发明内容
本发明的目的在于，完成一种用于评估对安全性至关重要的传感器变量的计算机系统，该计算机系统以可验证的方式实现CPU的超高安全完整性，而可以不用指派单独的、高成本的CPU检测。
依据本发明，该任务分别通过权利要求1和权利要求2所表明的特征得以解决。
依据本发明设置，至少两个传感器从属于计算机系统，这两个传感器在待获取的系统状态下输出在质上或者至少在量上不同的传感器变量。假设：两个传感器的输出变量之间存在已知的函数关联。
在计算机的输入端上输入第一传感器的传感器变量，该计算机由该传感器变量计算出输出变量，该输出变量可供用于实践中有用的目的，例如用作针对调节环节的控制变量。在下一步中，由该输出变量计算出比较变量，该比较变量与第二传感器的预期的传感器变量相对应。该比较变量由计算机给到外部比较器上，该比较器将比较变量与第二传感器的对计算机来说完全未知的、实际的传感器变量作比较看是否一致。在此，为正的比较结果表明CPU的安全完整性是好的并且表明输出变量和比较变量的计算运行正确。同时，维持由现有技术公知的关于所参与的传感器功能正确的验证，该验证原则上由比较器提供。
以本发明为基础的思路因此在于，使用在质上或者还有仅在量上不同的传感器，这些传感器提供不同的测量变量或至少不同的值并且因此在处理期间，不依赖于所应用的算法(并行(parallel)/求反(invertieren)/求逆(invers)/求补
Figure BPA00001168116100021
/倒退推算(zurückrechnen))，在任何时候始终负责不同的数据水平(Datenniveaus)。
CPU不能以其他方式(例如通过对第一传感器变量进行复制)来提供比较变量，除了通过正确运行的计算结果。对于验证CPU安全完整性，现在意义重大的是比较变量与第二传感器变量的比较。被比较的(必要时在对可能的偏差例如传感器不精确度进行补偿的公差带内)是比较变量和附加独立数据源的、对计算机来说迄今未知的值。该值通过第二传感器给出。
因为第二传感器变量只是未经加工地、即未经CPU利用地并且绝对未经处理地存在，所以在该位置上所进行的比较提供仅依赖于计算机系统(芯片(Chip))CPU完整性的结果。在这里假设两个传感器的无错性或者其自身CPU的无错性，该无错性可以仅通过独立的措施得到确保和验证。
附图说明
本发明的具有优点的构造形式和改进方案由从属权利要求和下列结合附图对实施例的说明得知。其中：
图1和2示出依据本发明的计算机系统的各一个实施例，
图3和4示出计算机系统的各一个实施例，根据现有技术，
图5示出针对计算机系统的应用实例。
具体实施方式
图3示出根据现有技术的计算机系统。在这里示出的是，在德国公开文献DE 4219457A1的图3中所说明的计算机系统的超简化示意图。在此仅示出用于阐述产生本发明而带来的问题所必需的部件。
图3中可见的是单芯片计算模块(Ein-Chip-Rechenbaustein)，即微机或微控制器，该微机或微控制器下面仅简略地标记为计算机MC。计算机MC接收到由两个传感器(S1、S2)导入的传感器变量(e、eR)。在这里将传感器变量(e、eR)假设为数字值，但是其中，传感器(S1、S2)原则上可以提供模拟信号，该模拟信号在计算机MC内部被数字化。
计算机MC借助函数f1由第一传感器S 1的传感器变量e计算出输出变量a，该输出变量a被输出到计算机MC的输出端上，并且例如可以被应用于对未示出的调节环节进行控制。
在下一步中，计算机MC借助函数f2由输出变量a计算出比较变量e′。因为DE 42 19 457 A1将函数f2描述为关于第一输入变量e的、相对于第一函数f1的反函数
Figure BPA00001168116100041
所以在计算机MC功能正确的情况下便得出比较变量e′，该比较变量e′与第一传感器S1的原始输入变量e一致。
这可以在计算机内部通过变量e和e′的比较(e＝e′？)来检验。此外，提出对第一和第二传感器变量的一致性(e＝eR？)进行检验。因此假设，被认为是冗余的传感器(S1、S2)输出在量上类似的传感器变量(e、eR)。
因为不正确运行的计算机MC原则上也会提供错误的比较，所以此外设置有关于计算机MC在外部的比较器V。该比较器V将第二传感器S2的传感器变量eR与计算出的比较变量e′作比较。由于上述假设的同一性(e＝eR且e＝e′)，该比较也必须确认，在正确运行的传感器(S1、S2)和无错地工作的计算机MC的情况下，所比较的变量(e′、eR)的同一性。
问题在于，在此计算机系统的确定的错误可能是隐藏的。如图4示意性表示的那样，当第一传感器变量e在未执行计算的情况下作为假想地计算出的比较变量e′抵达计算机MC的输出端时，出现问题。这例如可能通过如下方式发生，即，第一传感器变量e被读入计算机MC的寄存器，并且从该寄存器在滞后的时间点上作为假想地计算出的比较变量e′而被读出并且给到计算机MC的输出端上，而在实际上没有借助函数f1和f2进行计算。
因为两个传感器变量e和eR在输入端侧就已经设置成相同的，因此，由比较器V执行的对e′和eR的比较现在提供的同样是一致的。因此比较器V不能揭示所述的计算错误。
另一种错误场景通过如下方式产生，即，计算机MC不仅在函数f1的计算中而且在函数f2的计算中各出现一个错误，并且这些错误相互抵消。在这里，无论是计算机内部的还是计算机外部的比较都无法识别存在的错误。
为此，拿出现的系统符号错误来举例，该符号错误在两次有错误的计算步骤之后又被抵消。在此，通过第一计算步骤计算出的输出变量a却仍旧是有错误的，这会以对安全性至关重要的方式产生影响。
该错误可能性通过依据本发明的计算机系统予以排除，如下面借助图1所要阐述的那样。为了说明与前述现有技术的共同点和区别，部分地保留图3和4中的附图标记。
首先重要的是，传感器(S1、S2)虽然输出冗余的传感器变量(e1、e2)，也就是说独立的信号，这些信号关于待获取的系统状态具有类似的信息内容，但这些信号的信号值决不相同。传感器S1和S2的传感器变量(e1、e2)处于公知的函数关联中，该函数关联通过函数g给予。函数g可以几乎是任意的，但不能是恒等函数，这是因为这又会导致已描述的问题的发生。
此外，第二传感器变量e2仅针对外部比较而设置并且因此不被给到计算机MC上。
第三个要求是，用于计算比较变量v的函数f2不是通过相对于第一函数f1的反函数而产生，而是考虑到第一与第二传感器变量(e1、e2)之间的函数关联。在此，函数f2具有优点地作为相对于函数f1的反函数
Figure BPA00001168116100061
与函数g的复合函数(Verkettung)而产生：
Figure BPA00001168116100062
在正确进行计算时，在输出端上的值v与第二传感器变量e2一致，这通过比较器V来进行检验(v＝e2？)。
在这里，之前所述的错误场景被排除，这是因为第二传感器变量e2在计算的任何位置上都不作为输入值而存在并且因此可以仅作为正确运行的计算的结果而产生。
两个传感器(S1、S2)的传感器变量(e1、e2)之间的函数关联g可以在最简单的情况下通过加常数K得出：
e2＝e1+K
所以例如可以设置，在第二传感器S2的角度传感器中具有相对于第一传感器S1的恒定的角偏移。
可供选择地也可以设置，第二传感器变量e2是第一传感器变量e1的k倍：
e2＝ke1
显然，在传感器变量(e1、e2)之间也可以存在复杂得多的关联。尤其也可以设置两个传感器，这两个传感器根据不同的物理测量原理来测定传感器变量，从而在一开始便在两个传感器变量(e1、e2)之间产生或多或少更复杂的关联。
在图5中示出的是用于获取旋转角的传感机构，在该传感机构中可以具有优点地应用所提出的计算系统。其旋转角应被确定的驱动轮1在这里以不同的半径驱动两个测量轮(2、3)。与每个测量轮(2、3)相连的是磁铁(4、5)，这些磁铁(4、5)可以与各自的测量轮(2、3)一起相对于位置固定地布置的霍尔传感器(6、7)扭转。因此，由两个霍尔传感器(6、7)获取的旋转角以常数因子而不同，该因子由两个测量轮(2、3)相对于驱动轮1的不同的传动比而产生。
图2示意性地示出图1中所示计算机系统的一种具有优点的改进方案。在依据图1的计算机系统中，将处理链的末端上的实际比较器V的安全完整性假设为已给出，或者为此单独地引进符合标准的验证。
假定，第一与第二传感器变量(e1、e2)之间的函数关联可以通过两个函数h和g的复合函数而示出，从而适用的是：
e2＝(hog)(e1)
在计算机MC内部执行已借助图1说明的计算，该计算在这里产生第一比较变量。
Figure BPA00001168116100071
但因为第一与第二传感器变量(e1、e2)之间的函数关联在这里不再通过g而是通过复合函数hog而给出，所以抵达比较器V的第一比较变量v1就不适用于与第二传感器变量e2进行比较。
比较器V因此借助函数h由第一比较变量v1通过关系式
v2＝h(v1)
计算出第二比较变量v2，该第二比较变量v2由于关联
Figure BPA00001168116100081
Figure BPA00001168116100082
Figure BPA00001168116100083
Figure BPA00001168116100084
Figure BPA00001168116100085
在计算机MC和比较器V功能运行正确的情况下必定与第二传感器变量e2一致。
因此，由为正的比较结果可以推断出无论计算机MC还是比较器都执行了正确的计算。由此，这些实施变型方案能够同时不仅实现对计算机MC的功能检验而且实现对比较器V的计算路径的功能检验。
附图标记
MC                  计算机(微控制器)
S1、S2              传感器
V                   比较器
a                   输出变量
e、eR、e1、e2       传感器变量
e′                 比较变量
f1、f2、g、h        函数
Figure BPA00001168116100086
                  反函数(相对于函数f1)
v                   比较变量
v1                  第一比较变量
v2                  第二比较变量
K                   加常数
k                   常数因子
1                 驱动轮
2、3              测量轮
4、5              磁铁
6、7              霍尔传感器

Claims (5)

1.用于评估对安全性至关重要的传感器变量的计算机系统，所述计算机系统具有至少一个输出第一传感器变量(e、e1)的第一传感器(S1)并且具有输出第二传感器变量(eR、e2)的第二传感器(S2)，所述计算机系统具有计算机(MC)并且具有独立于所述计算机(MC)的比较器(V)，
其中，所述计算机(MC)借助第一函数(f1)由所述第一传感器变量(e、e1)计算出输出变量(a)，
其中，所述计算机借助第二函数(f2)由所述输出变量(a)计算出比较变量(e′、v、v1)，
并且其中，在所述比较器(V)的输入端上输入所述比较变量(e′、v、v1)和所述第二传感器变量(eR、e2)，
其特征在于，
所述第二传感器变量(e2)不是所述计算机(MC)的输入变量，
所述第二传感器变量(e2)和所述第一传感器变量(e1)处于通过第三函数(g)给出的关联(e2＝g(e1))中，其中所述第三函数(g)不是恒等函数，
所述第二函数(f2)通过所述第三函数(g)与取反的所述第一函数的复合函数给出
Figure FPA00001168116000012
并且所述比较器(V)将所述比较变量(v)与所述第二传感器变量(e2)作比较。
2.用于评估对安全性至关重要的传感器变量的计算机系统，所述计算机系统具有至少一个输出第一传感器变量(e、e1)的第一传感器(S1)并且具有输出第二传感器变量(eR、e2)的第二传感器(S2)，所述计算机系统具有计算机(MC)并且具有独立于所述计算机(MC)的比较器(V)，
其中，所述计算机(MC)借助第一函数(f1)由所述第一传感器变量(e、e1)计算出输出变量(a)，
其中，所述计算机借助第二函数(f2)由所述输出变量(a)计算出比较变量(e′、v、v1)，
并且其中，在所述比较器(V)的输入端上输入所述比较变量(e′、v、v1)和所述第二传感器变量(eR、e2)，
其特征在于，
所述第二传感器变量(e2)不是所述计算机(MC)的输入变量，
所述第二传感器变量(e2)与所述第一传感器变量(e1)之间的关联能够通过两个相互复合的函数(hog)来表现，其中，所述相互复合的函数(h、g)中的函数并且还有所述传感器变量(e1、e2)之间通过复合函数表现的所述关联(hog)都不通过恒等函数给出，
所述计算机(MC)用所述复合的函数中的一个函数(g)以计算出第一比较变量(v1)，
并且所述比较器(V)借助所述相互复合的函数中的另一函数(h)由所述第一比较变量(v1)计算出第二比较变量(v2)，并且将所述第二比较变量(v2)用于与所述第二传感器变量(e2)作比较。
3.根据权利要1所述的计算机系统，其特征在于，所述第二传感器变量(e2)通过加常数(K)区别于所述第一传感器变量(e1)。
4.根据权利要求1所述的计算机系统，其特征在于，所述第二传感器变量(e2)通过常数因子(k)区别于所述第一传感器变量(e1)。
5.根据权利要求1所述的计算机系统，其特征在于，所述第一传感器(S1)和所述第二传感器(S2)获取不同的物理变量。
CN2009801015247A 2008-01-08 2009-01-08 用于评估对安全性至关重要的传感器变量的计算机系统 Active CN101910959B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE102008003515A DE102008003515A1 (de) 2008-01-08 2008-01-08 Rechnersystem zur Auswertung sicherheitskritischer Sensorgrößen
DE102008003515.7 2008-01-08
PCT/EP2009/050164 WO2009087187A1 (de) 2008-01-08 2009-01-08 Rechnersystem zur auswertung sicherheitskritischer sensorgrössen

Publications (2)

Publication Number Publication Date
CN101910959A true CN101910959A (zh) 2010-12-08
CN101910959B CN101910959B (zh) 2012-10-03

Family

ID=40521493

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2009801015247A Active CN101910959B (zh) 2008-01-08 2009-01-08 用于评估对安全性至关重要的传感器变量的计算机系统

Country Status (7)

Country Link
US (1) US8340938B2 (zh)
EP (1) EP2229609B1 (zh)
CN (1) CN101910959B (zh)
BR (1) BRPI0905386B1 (zh)
DE (1) DE102008003515A1 (zh)
ES (1) ES2392749T3 (zh)
WO (1) WO2009087187A1 (zh)

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US3219927A (en) * 1958-09-15 1965-11-23 North American Aviation Inc Automatic functional test equipment utilizing digital programmed storage means
US3082374A (en) * 1959-06-12 1963-03-19 Itt Automatic testing system and timing device therefor
US3237100A (en) * 1960-06-24 1966-02-22 Chalfin Albert Computer-controlled test apparatus for composite electrical and electronic equipment
US3321613A (en) * 1961-09-19 1967-05-23 Automation Man Inc Measuring instrument
US3492572A (en) * 1966-10-10 1970-01-27 Ibm Programmable electronic circuit testing apparatus having plural multifunction test condition generating circuits
US3546582A (en) * 1968-01-15 1970-12-08 Ibm Computer controlled test system for performing functional tests on monolithic devices
US4734687A (en) * 1985-01-25 1988-03-29 Smiths Industries Public Limited Company Monitoring
DE4219457A1 (de) 1992-06-13 1993-12-16 Bosch Gmbh Robert Rechnersystem
US6856158B2 (en) * 2002-05-01 2005-02-15 Advantest Corp. Comparator circuit for semiconductor test system
DE10318171C5 (de) * 2003-04-17 2015-12-03 Samson Ag Verfahren zur funktionsüberwachten Bestimmung einer Ventilstellung sowie ein in diesem Verfahren verwendbarer Ventilstellungsaufnehmer und Verwendung desselben
DE102004043052B3 (de) * 2004-09-06 2006-01-19 Siemens Ag Verfahren zur Manipulationserkennung an einer Anordnung mit einem Sensor
DE102006028695B4 (de) * 2005-06-23 2017-11-30 Denso Corporation Elektronisches Steuersystem mit Fehlfunktionsüberwachung
JP5468080B2 (ja) * 2008-10-01 2014-04-09 ローズマウント インコーポレイテッド プロセス制御のための近似的な計算を実行しうるプロセス制御システム

Also Published As

Publication number Publication date
ES2392749T3 (es) 2012-12-13
DE102008003515A1 (de) 2009-07-09
CN101910959B (zh) 2012-10-03
US20100241390A1 (en) 2010-09-23
WO2009087187A1 (de) 2009-07-16
EP2229609A1 (de) 2010-09-22
US8340938B2 (en) 2012-12-25
BRPI0905386B1 (pt) 2020-02-27
EP2229609B1 (de) 2012-08-08
BRPI0905386A2 (pt) 2015-06-30

Similar Documents

Publication Publication Date Title
US9003271B2 (en) Error detecting device and method of a dual controller system
US9417943B2 (en) Safety computing device, safety input device, safety output device, and safety controller
US8423835B2 (en) System and method providing fault detection capability
US11669384B2 (en) Diverse integrated processing using processors and diverse firmware
CN109906357B (zh) 旋转传感器装置和用于确定该装置的故障状态的方法
US20160344429A1 (en) Encoder, controller, method for processing data
US10845210B2 (en) Sensor with interface for functional safety
US9310227B2 (en) Multi-channel rotary encoder
US8793533B2 (en) Method and device for performing failsafe hardware-independent floating-point arithmetic
US20080176530A1 (en) Two-Channel Method For Continuously Determining at Least One Output Signal From Changing Input Signals
CN111290368B (zh) 使用安全机制的传感器系统
CN104482954B (zh) 一种编码器、外部诊断设备及在线诊断与调整方法
JP5855824B2 (ja) 建設機械用の制御システム及びその制御システムの動作方法
CN101910959B (zh) 用于评估对安全性至关重要的传感器变量的计算机系统
CN109073422B (zh) 用于确定在旋转角数值与参考值之间的角度误差的方法
US6058358A (en) Device for direction of rotation recognition and plausibility testing in absolute angular position measuring devices especially with serial transmission of actual positions detected
EP1624290A2 (en) Angle sensor
US10649835B2 (en) Method for determining information on an integrity of signal processing components within a signal path, signal processing circuit and electric control unit
US20220373318A1 (en) Angle sensor with diverse measurement paths and a safety path
CN115574844A (zh) 用于高可用性角度传感器的安全机制
CN112444193B (zh) 旋转角度测量方法和旋转角度测量电路
US11314513B2 (en) Circuit for verifying the content of registers
CN116136386A (zh) 具有对称的几何布置的磁角度传感器
CN117985109A (zh) 方向盘转角测量方法、控制器、车辆及可读存储介质
CN116171413A (zh) 借助于第二处理器监控传感器模块的第一处理器的方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant