WO2009087187A1 - Rechnersystem zur auswertung sicherheitskritischer sensorgrössen - Google Patents

Rechnersystem zur auswertung sicherheitskritischer sensorgrössen Download PDF

Info

Publication number
WO2009087187A1
WO2009087187A1 PCT/EP2009/050164 EP2009050164W WO2009087187A1 WO 2009087187 A1 WO2009087187 A1 WO 2009087187A1 EP 2009050164 W EP2009050164 W EP 2009050164W WO 2009087187 A1 WO2009087187 A1 WO 2009087187A1
Authority
WO
WIPO (PCT)
Prior art keywords
sensor
variable
computer
function
comparison
Prior art date
Application number
PCT/EP2009/050164
Other languages
English (en)
French (fr)
Inventor
Jan Edel
Original Assignee
Leopold Kostal Gmbh & Co. Kg
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Leopold Kostal Gmbh & Co. Kg filed Critical Leopold Kostal Gmbh & Co. Kg
Priority to EP09700767A priority Critical patent/EP2229609B1/de
Priority to CN2009801015247A priority patent/CN101910959B/zh
Priority to BRPI0905386-7A priority patent/BRPI0905386B1/pt
Priority to ES09700767T priority patent/ES2392749T3/es
Publication of WO2009087187A1 publication Critical patent/WO2009087187A1/de
Priority to US12/785,821 priority patent/US8340938B2/en

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems

Definitions

  • the invention relates to a computer system for evaluating safety-critical sensor sizes according to the preamble of claim 1 or 2.
  • IEC 61508 is an international standard for the creation of electronic, electronic and programmable electronic systems that perform a safety function. It is issued by the International Electrotechnical Commission (IEC). IEC 61508 prescribes certain hardware-technical minimum values for safety integration level 3, eg For example, for FIT (failure in time) and SFF (safe failure fraction), which can usually only be achieved by additional software engineering measures. In particular, the proof of security against calculation errors of the CPU makes up a significant proportion of the overall proof of the safety integrity.
  • IEC 61508 prescribes certain hardware-technical minimum values for safety integration level 3, eg For example, for FIT (failure in time) and SFF (safe failure fraction), which can usually only be achieved by additional software engineering measures. In particular, the proof of security against calculation errors of the CPU makes up a significant proportion of the overall proof of the safety integrity.
  • the aim of the invention is to provide a computer system for evaluating safety-critical sensor sizes, which verifiably achieves a particularly high level of safety integrity of the CPU, without having to rely on a separate, expensive CPU test.
  • the computer system includes at least two sensors which output qualitatively or at least quantitatively different sensor sizes in the case of a system state to be detected. It is assumed that there is a known functional relationship between the outputs of both sensors.
  • the sensor size of a first sensor is applied to an input of a computer, which calculates therefrom an output that is available for practically usable purposes, for example as a control variable for an actuator. From this output variable, a comparison variable is calculated in a further step, which corresponds to the expected sensor size of the second sensor. This comparison variable is given by the computer to an external comparator which displays the comparison quantity with the actual sensor size of the second sensor which is completely unknown to the computer
  • Match compares A positive comparison result speaks for the safety integrity of the CPU and for a correctly running calculation of the output variable and the comparison variable.
  • proof of the correct function of participating sensors obtained, which provides a comparator in principle.
  • the idea on which the invention is based is thus to use qualitatively or else only quantitatively different sensors which supply different measured variables or at least different values and thus during processing, regardless of the algorithm used (parallel / inverting / inverse / complementary / recalculating ), always provide for different data levels at all times.
  • the comparison at this point provides a result that depends solely on the CPU integrity of the computer system (chip). This assumes that the two sensors, or their own CPUs, are fault-free, which can only be ensured and proven by independent measures.
  • FIGS 1 and 2 each an embodiment of an inventive
  • Computer system Figures 3 and 4 each an embodiment of a computer system, according to the prior art
  • Figure 5 shows an application example of a computer system.
  • FIG. 3 shows a computer system according to the prior art. Shown here is a highly simplified representation of the computer system described in FIG. 3 of German Offenlegungsschrift DE 42 19 457 A1. Here, only the components are shown, which are necessary to explain the problem leading to the invention.
  • FIG. 3 shows a single-chip computing component, that is to say a microcomputer or microcontroller, which is referred to below as computer MC for short.
  • the computer MC receives the sensor quantities (e, ⁇ R ) from two sensors (S1, S2).
  • the sensor quantities (e, e R ) are assumed here as digital values, but the sensors (S1, S2) can in principle also supply analog signals which are digitized within the computer MC.
  • Computer MC is output, and can be used for example to control a non-illustrated actuator.
  • the computer MC calculates a comparison variable e by means of a function f2 from the output variable a. Since DE 42 19 457 A1 describes the function f2 as the function fl inverted with respect to the first input variable e to the first function f1, this results in correct function of the computer MC, a comparison quantity e ', which coincides with the original input quantity e of the first sensor S1.
  • FIG. 4 indicates schematically, a problem arises if the first sensor size e, without a calculation being performed, arrives at the output of the computer MC as the supposedly calculated comparison quantity e '. This can be done, for example, by reading the first sensor quantity e into a register of the computer MC and reading it out from this register as a supposedly calculated comparison quantity e 'at a later time and applying it to the output of the computer MC without actually having a Calculation using the functions f 1 and f2 had taken place.
  • the sensors S1, S2 though redundant sensor sizes (ei, e 2) output, that is, independent signals having with respect to the to be detected system state, a similar information content, but their signal values are not identical.
  • the sensor sizes (ei, e 2 ) of the sensors S1 and S2 are in a known functional relationship, which is given by a function g.
  • This function g can be almost arbitrary, but must not be the identity function, as this in turn would lead to the problems already described.
  • the second sensor size e 2 is provided only for an external comparison and is therefore not given to the computer MC.
  • a third requirement is that the function f2 for calculating the comparison variable v does not result from the inverse function to the first function f1, but takes into account the functional relationship g between the first and the second sensor variables (ei, e 2 ).
  • the function f2 results advantageous as concatenation of the function f inverse to f1 with the function g:
  • the second sensor S2 has a constant angular offset with respect to the first sensor S1.
  • the second sensor size e 2 is a multiple k of the first sensor size e 1 :
  • FIG. 5 shows a sensor system for detecting a rotation angle, in which the proposed computer system can advantageously be used.
  • a drive wheel 1, whose rotation angle is to be determined, here drives two measuring wheels (2, 3) with different radii.
  • a magnet (4, 5) is connected, which together with the respective measuring wheel (2, 3) relative to a fixedly arranged Hall sensor (6, 7) is rotatable.
  • the rotational angles detected by the two Hall sensors (6, 7) are therefore different by a constant factor, which results from the different transmission ratios of the two measuring wheels (2, 3) to the drive wheel 1.
  • FIG. 2 schematically illustrates an advantageous development of the computer system illustrated in FIG. 1.
  • the safety integrity of the actual comparator V is assumed to be given at the end of the processing chain, or the standard-compliant proof thereof must be provided separately.
  • the comparator V therefore calculates, by means of the function h, the first comparison variable v-i, via the relationship
  • V 2 In (V 1 )

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Hardware Redundancy (AREA)
  • Testing Or Calibration Of Command Recording Devices (AREA)
  • Safety Devices In Control Systems (AREA)
  • Measurement Of The Respiration, Hearing Ability, Form, And Blood Characteristics Of Living Organisms (AREA)
  • Arrangements For Transmission Of Measured Signals (AREA)
  • Debugging And Monitoring (AREA)

Abstract

Beschrieben wird ein Rechnersystem für sicherheitskritische Sensorgrößen, mit wenigstens einem ersten Sensor, der eine erste Sensorgröße ausgibt, und mit einem zweiten Sensor, der eine zweite Sensorgröße ausgibt, mit einem Rechner, und mit einem vom Rechner unabhängigen Vergleicher, wobei der Rechner aus der ersten Sensorgröße mittels einer ersten Funktion eine Ausgangsgröße berechnet, wobei der Rechner aus der Ausgangsgröße mittels einer zweiten Funktion eine Vergleichsgröße berechnet, und wobei am Eingang des Vergleichers die Vergleichsgröße und die zweite Sensorgröße anliegt. Die zweite Sensorgröße ist dabei keine Eingangsgröße des Rechners und unterscheidet sich durch ihren quantitativen Wert von der ersten Eingangsgröße. Durch Berechnungen des Rechners und gegebenenfalls des Vergleichers wird aus dem berechneten Ausgangsgröße ein erwarteter Vergleichsgröße für die zweite Sensorgröße bestimmt, und die Übereinstimmung beider Größen durch den Vergleicher überprüft. Hierdurch können bestimmte interne Fehler des Rechners aufgedeckt werden.

Description

Rechnersystem zur Auswertung sicherheitskritischer Sensorgrößen
Die Erfindung betrifft ein Rechnersystem zur Auswertung sicherheitskritischer Sensorgrößen nach dem Oberbegriff des Anspruchs 1 oder 2.
Die IEC 61508 ist eine internationale Norm zur Schaffung von elektrischen, elektronischen und programmierbaren elektronischen Systemen, die eine Sicherheitsfunktion ausführen. Sie wird von der International Electrotechnical Commission (IEC) herausgegeben. Die IEC 61508 schreibt für den Sicherheitsintegrationslevel 3 bestimmte hardware-technische Mindestwerte, z. B. für FIT (failure in time) und SFF (safe failure fraction) vor, die in der Regel nur durch zusätzliche Software-technische Maßnahmen erreicht werden können. Insbesondere der Nachweis zur Absicherung gegen Rechenfehler der CPU macht eine bedeutenden Anteil des Gesamtnachweises der Sicherheitsintegrität aus.
Bisher werden zur Absicherung gegen Rechenfehler zwei verschiedene Mikrocontroller-Chips oder zumindest zwei parallel verlaufende Rechenpfade auf einem Chip verwendet. Mitunter kommen auch invertierend verlaufende Rechenpfade, beschrieben beispielsweise in der deutschen
Offenlegungsschrift DE 42 19 457 A1 , zur Anwendung. Eine Zwei-Chip- Lösung macht sich im Bereich der Massenproduktion teuer bemerkbar und durch die bisherigen Lösungen auf einem Chip konnte funktionale Sicherheit nur eingeschränkt oder nur mit zusätzlicher Hardware nachgewiesen werden, da die CPU bei internen Fehlern in den parallel oder invertierend verlaufenden Rechenwegen in gleicher Weise falsch rechnet. CPU-Fehler können daher unter Umständen unentdeckt bleiben. Es fehlt der einfache Nachweis, dass die CPU nicht in beiden Rechenwegen gleich falsch gerechnet hat und für den Vergleich der Ergebnisse zwei gleiche, aber falsche Ergebnisse vorliegen oder dass im Falle von invertierenden Rechenwegen die CPU durch Fehler z. B. beide Rechenwege auslässt und direkt zwei Eingangsgrößen verglichen werden.
Ziel der Erfindung ist es, ein Rechnersystem zur Auswertung sicherheitskritischer Sensorgrößen zu schaffen, welches nachweisbar eine besonders hohe Sicherheitsintegrität der CPU erreicht, ohne auf einen separaten, aufwendigen CPU-Test angewiesen zu sein.
Diese Aufgabe wird erfindungsgemäß jeweils durch die kennzeichnenden Merkmale des Anspruchs 1 und des Anspruchs 2 gelöst.
Erfindungsgemäß ist vorgesehen, dass zu dem Rechnersystem wenigstens zwei Sensoren gehören, die bei einem zu erfassenden Systemzustand qualitativ oder zumindest quantitativ verschiedene Sensorgrößen ausgeben. Es wird vorausgesetzt, dass ein bekannter funktionaler Zusammenhang zwischen den Ausgangsgrößen beider Sensoren besteht.
Die Sensorgröße eines ersten Sensors liegt an einem Eingang eines Rechners an, welcher daraus eine Ausgangsgröße berechnet, die für praktisch nutzbare Zwecke, beispielsweise als Steuerungsgröße für ein Stellglied, zur Verfügung steht. Aus dieser Ausgangsgröße wird in einem weiteren Schritt eine Vergleichsgröße berechnet, die der erwarteten Sensorgröße des zweiten Sensors entspricht. Diese Vergleichsgröße wird von dem Rechner an einen externen Vergleicher gegeben, der die Vergleichsgröße mit der dem Rechner völlig unbekannten, tatsächlichen Sensorgröße des zweiten Sensors auf
Übereinstimmung vergleicht. Ein positives Vergleichsergebnis spricht dabei für die Sicherheitsintegrität der CPU und für eine korrekt ablaufende Berechnung der Ausgangsgröße und der Vergleichsgröße. Zugleich bleibt der, aus dem Stand der Technik bekannte, Nachweis über die korrekte Funktion beteiligter Sensoren erhalten, den ein Vergleicher prinzipiell liefert. Die der Erfindung zugrunde liegende Idee ist somit, sich qualitativ oder auch nur quantitativ verschiedener Sensoren zu bedienen, die unterschiedliche Messgrößen oder zumindest unterschiedliche Werte liefern und damit während der Verarbeitung, und zwar unabhängig vom verwendeten Algorithmus (parallel/invertierend/invers/komplementär/zurückrechnend), zu jeder Zeit stets für unterschiedliche Datenniveaus sorgen.
Zu keiner Zeit ist die CPU in der Lage, die Vergleichsgröße anders (z. B. durch Kopie der ersten Sensorgröße) anzubieten, als durch das Ergebnis einer korrekt abgelaufenen Berechnung. Zum Nachweis der CPU- Sicherheitsintegrität ist nun ein Vergleich der Vergleichsgröße und der zweiten Sensorgröße von entscheidender Bedeutung. Verglichen werden (gegebenenfalls in einem die möglichen Abweichungen wie z. B. Sensorungenauigkeiten ausgleichenden Toleranzband) die Vergleichsgröße und der dem Rechnersystem bisher unbekannte Wert einer zusätzlichen, unabhängigen Datenquelle. Dieser Wert ist durch die zweite Sensorgröße gegeben.
Da die zweite Sensorgröße nur roh, also von der CPU unberührt und absolut unverarbeitet vorliegt, liefert der Vergleich an dieser Stelle ein Ergebnis, das allein von der CPU-Integrität des Rechnersystems (Chip) abhängt. Vorausgesetzt wird hier die Fehlerfreiheit der beiden Sensoren, bzw. die ihrer eigenen CPUs, die nur durch unabhängige Maßnahmen sichergestellt und nachgewiesen werden kann.
Vorteilhafte Ausgestaltungen und Weiterbildungen der Erfindungen gehen aus den abhängigen Ansprüchen und der nachfolgenden Beschreibung eines Ausführungsbeispiels anhand der Zeichnung hervor. Es zeigen
Figuren 1 und 2 jeweils ein Ausführungsbeispiel eines erfindungsgemäßen
Rechnersystems, Figuren 3 und 4 jeweils ein Ausführungsbeispiel eines Rechnersystems, nach dem Stand der Technik, Figur 5 ein Anwendungsbeispiel für ein Rechnersystem.
Die Figur 3 zeigt ein Rechnersystem nach dem Stand der Technik. Dargestellt ist hier eine stark vereinfachte Darstellung des in der Figur 3 der deutschen Offenlegungsschrift DE 42 19 457 A1 beschriebenen Rechnersystems. Hierbei sind nur die Komponenten dargestellt, die zur Erläuterung des zur Erfindung führenden Problems erforderlich sind.
In der Figur 3 erkennbar ist ein Ein-Chip-Rechenbaustein, also ein Mikrocomputer oder MikroController, der im folgenden kurz als Rechner MC bezeichnet wird. Der Rechner MC erhält die Sensorgrößen (e, ΘR) von zwei Sensoren (S1 , S2) zugeführt. Die Sensorgrößen (e, eR) werden hier als digitale Werte vorausgesetzt, wobei die Sensoren (S1 , S2) aber prinzipiell auch analoge Signale liefern können, die innerhalb des Rechners MC digitalisiert werden.
Aus der Sensorgröße e des ersten Sensors S1 berechnet der Rechner MC mittels einer Funktion f1 eine Ausgangsgröße a, die an einem Ausgang des
Rechners MC ausgegeben wird, und beispielsweise zur Steuerung eines nichtdargestellten Stellglieds verwendet werden kann.
In einem weiteren Schritt berechnet der Rechner MC mittels einer Funktion f2 aus der Ausgangsgröße a eine Vergleichsgröße e\ Da die DE 42 19 457 A1 die Funktion f2 als die bezüglich der ersten Eingangsgröße e invertierte Funktion fl zur erste Funktion f1 beschreibt, ergibt sich, bei korrekter Funktion des Rechners MC, eine Vergleichsgröße e', die mit der ursprünglichen Eingangsgröße e des ersten Sensors S1 übereinstimmt.
Dies kann rechnerintern durch Vergleich (e = e' ?) der Größen e und e' überprüft werden. Des weiteren wird eine Überprüfung der ersten und der zweiten Sensorgröße auf Überstimmung (e = ΘR ?) vorgeschlagen. Es wird somit vorausgesetzt, dass die als redundant bezeichneten Sensoren (S1 , S2) quantitativ gleichartige Sensorgrößen (e, eR) ausgeben.
Da ein nicht korrekt funktionierender Rechner MC prinzipiell auch falsche Vergleiche liefern kann, ist darüber hinaus ein, bezüglich des Rechners MC, externer Vergleicher V vorgesehen. Dieser Vergleicher V vergleicht die Sensorgröße eR des zweite Sensors S2 mit der berechneten Vergleichsgröße e\ Wegen der oben vorausgesetzten Identitäten (e = ΘR und e = e') muss auch dieser Vergleich, bei korrekt funktionierenden Sensoren (S1 , S2) und einem fehlerfrei arbeitenden Rechner MC, die Identität der verglichenen Größen (e\ eR) bestätigen.
Problematisch ist, dass hierbei bestimmte Fehler des Rechnersystems verborgen bleiben können. Wie die Figur 4 schematisch andeutet, ergibt sich ein Problem, wenn die erste Sensorgröße e, ohne dass eine Berechnung durchgeführt wurde, als vermeintlich berechnete Vergleichsgröße e' an den Ausgang des Rechners MC gelangt. Dies kann beispielsweise dadurch geschehen, dass die erste Sensorgröße e in ein Register des Rechners MC eingelesen wird, und aus diesem Register zu einem späteren Zeitpunkt als vermeintlich berechnete Vergleichsgröße e' ausgelesen wird und an den Ausgang des Rechners MC gegeben wird, ohne dass tatsächlich eine Berechnung mittels der Funktionen f 1 und f2 stattgefunden hatte.
Da die beiden Sensorgrößen e und ΘR bereits eingangsseitig identisch vorgesehen sind, liefert somit der vom Vergleicher V durchgeführte Vergleich von e' und ΘR nun ebenfalls eine Übereinstimmung. Der Vergleicher V ist somit nicht in der Lage, den beschriebenen Rechenfehler aufzudecken.
Ein anderes Fehlerszenario ist dadurch gegeben, dass der Rechner MC sowohl bei der Berechnung der Funktion f1 als auch bei der Berechnung der Funktion f2 jeweils einen Fehler macht, und sich diese Fehler gegenseitig aufheben. Auch hier können weder rechnerinterne noch rechnerexterne Vergleiche den vorliegenden Fehler erkennen.
Als Beispiel hierfür sei ein systematisch auftretender Vorzeichenfehler genannt, der sich nach zwei fehlerhaften Rechenschritten wieder aufhebt. Dabei bleibt die durch den ersten Rechenschritt berechnete Ausgangsgröße a aber weiterhin fehlerhaft, was sich sicherheitskritisch auswirken kann.
Diese Fehlermöglichkeiten werden durch das erfindungsgemäße
Rechnersystem ausgeschlossen, wie nachfolgend anhand der Figur 1 erläutert werden soll. Zur Verdeutlichung der Gemeinsamkeiten und Unterschiede zum vorstehend beschriebenen Stand der Technik wurden die Bezeichnungen aus den Figuren 3 und 4 teilweise beibehalten.
Bedeutsam ist zunächst, dass die Sensoren (S1 , S2) zwar redundante Sensorgrößen (e-i, e2) ausgeben, d. h. unabhängige Signale, die bezüglich des zu erfassenden Systemzustand einen gleichartigen Informationsgehalt aufweisen, deren Signalwerte aber keinesfalls identisch sind. Die Sensorgrößen (e-i, e2) der Sensoren S1 und S2 stehen in einem bekannten funktionalen Zusammenhang, der durch eine Funktion g gegeben sei. Diese Funktion g kann nahezu beliebig sein, darf aber nicht die Identitätsfunktion sein, da dies wiederum zu den bereits geschilderten Problemen führen würde.
Des weiteren ist die zweite Sensorgröße e2 nur für einen externen Vergleich vorgesehen und wird daher nicht an den Rechner MC gegeben.
Eine dritte Anforderung ist, dass die Funktion f2 zur Berechnung der Vergleichsgröße v sich nicht durch die inverse Funktion zur ersten Funktion f1 ergibt, sondern den funktionalen Zusammenhang g zwischen der ersten und der zweiten Sensorgröße (e-i, e2) berücksichtigt. Die Funktion f2 ergibt sich dabei vorteilhaft als Verkettung der zu f1 inversen Funktion fl mit der Funktion g:
v = f2 (a) = (g o fi ) (a)
Bei korrekt erfolgender Berechnung stimmt der am Ausgang vorliegende Wert v mit dem zweiten Sensorwert e2 überein, was durch den Vergleicher V überprüft (v = e2 ?) wird.
Die zuvor beschriebenen Fehlerszenarien sind hier ausgeschlossen, da die zweite Sensorgröße e2 an keiner Stelle der Berechnung als Eingabewert vorliegt und sich somit nur als Ergebnis einer korrekt abgelaufenen Berechnung ergeben kann.
Der funktionale Zusammenhang g zwischen den Sensorgrößen (e-i, e2) der beiden Sensoren (S1 , S2) kann im einfachsten Fall durch eine additive Konstante K gegeben sein:
Figure imgf000009_0001
So kann beispielsweise vorgesehen sein, dass bei Winkelsensoren der zweite Sensor S2 einen konstanten Winkelversatz gegenüber dem ersten Sensor S1 aufweist.
Alternativ kann auch vorgesehen sein, dass die zweite Sensorgröße e2 ein Vielfaches k der ersten Sensorgröße e1 ist:
Figure imgf000009_0002
Selbstverständlich kann auch ein weitaus komplexerer Zusammenhang zwischen den Sensorgrößen (e-i, e2) bestehen. Insbesondere können auch zwei Sensoren vorgesehen sein, die die Sensorgrößen nach unterschiedlichen physikalischen Messprinzipien ermitteln, so dass ein mehr oder weniger komplexer Zusammenhang zwischen den Sensorgrößen (e-i, e2) von vornherein gegeben ist.
In der Figur 5 ist eine Sensorik zur Erfassung eines Drehwinkels dargestellt, bei der das vorgeschlagene Rechnersystem vorteilhaft zur Anwendung kommen kann. Ein Antriebsrad 1 , dessen Drehwinkel bestimmt werden soll, treibt hier zwei Messräder (2, 3) mit unterschiedlichen Radien an. Mit jedem der Messräder (2, 3) ist ein Magnet (4, 5) verbunden, der zusammen mit dem jeweiligen Messrad (2, 3) gegenüber einem ortsfest angeordneten Hallsensor (6, 7) verdrehbar ist. Die von den beiden Hallsensoren (6, 7) erfassten Drehwinkel sind daher um einen konstanten Faktor verschieden, der sich aus den unterschiedlichen Übersetzungsverhältnissen der beiden Messräder (2, 3) zum Antriebsrad 1 ergibt.
Die Figur 2 deutet schematisch eine vorteilhafte Weiterbildung des in der Figur 1 dargestellten Rechnersystem dar. Bei dem Rechnersystem gemäß der Figur 1 wird die Sicherheitsintegrität des eigentlichen Vergleichers V am Ende der Verarbeitungskette als gegeben vorausgesetzt, bzw. ist der normgerechte Nachweis dafür separat zu erbringen.
Es wird angenommen, dass sich der funktionale Zusammenhang zwischen der ersten und der zweiten Sensorgröße (e-i, e2) durch eine Verkettung von zwei Funktionen h und g darstellen lässt, so dass gilt:
Figure imgf000010_0001
Innerhalb des Rechners MC wird die bereits anhand der Figur 1 beschriebene Berechnung durchgeführt, die hier zu der ersten Vergleichsgröße v1 = f2(a) = (g o fl ) (a)
führt. Da aber der funktionale Zusammenhang zwischen der ersten und der zweiten Sensorgröße (e-i, e2) hier nicht durch mehr g sondern durch die Verkettung h o g gegeben ist, ist die erste Vergleichsgröße V1, die an den Vergleicher V gelangt, nicht geeignet, um mit der zweiten Sensorgröße e2 verglichen zu werden.
Der Vergleicher V berechnet daher mittels der Funktion h aus der ersten Vergleichsgröße v-i, über die Beziehung
V2 = In(V1 )
eine zweite Vergleichsgröße V2, die wegen der Zusammenhänge
V2 = In(V1 ) = h o (g o fi ) (a) = (h o g) o fϊ (a) = (h o g) (Θ1) = e2
bei einer korrekten Funktionsweise des Rechners MC und des Vergleichers V mit der zweiten Sensorgröße e2 übereinstimmen muss.
Aus einem positiven Vergleichsergebnis kann somit geschlossen werden, dass sowohl der Rechner MC als auch der Vergleicher V korrekte Berechnungen durchführen. Dadurch ermöglicht diese Ausführungsvariante eine gleichzeitige Funktionsprüfung sowohl des Rechners MC, als auch der Rechenpfade des Vergleichers V. Bezugszeichen
MC Rechner (MikroController)
S1, S2 Sensoren
V Vergleicher
a Ausgangsgröße e, ΘR, ei,e2 Sensorgrößen e' Vergleichsgröße f1, f2, g, h Funktionen fϊ inverse Funktion (zur Funktion f1)
V Vergleichsgröße
Vi erste Vergleichsgröße
V2 zweite Vergleichsgröße
K additive Konstante k konstanter Faktor
1 Antriebsrad
2, 3 Messräder
4, 5 Magnete
6, 7 Hallsensoren

Claims

Patentansprüche
1. Rechnersystem zur Auswertung sicherheitskritischer Sensorgrößen, mit wenigstens einem ersten Sensor (S1 ), der eine erste Sensorgröße (e, e-i) ausgibt, und mit einem zweiten Sensor (S2), der eine zweite Sensorgröße (ΘR, e2) ausgibt, mit einem Rechner (MC), und mit einem vom Rechner (MC) unabhängigen Vergleicher (V),
wobei der Rechner (MC) aus der ersten Sensorgröße (e, e-i) mittels einer ersten Funktion (f1 ) eine Ausgangsgröße (a) berechnet,
wobei der Rechner aus der Ausgangsgröße (a) mittels einer zweiten Funktion (f2) eine Vergleichsgröße (e\ v, V1) berechnet,
und wobei am Eingang des Vergleichers (V) die Vergleichsgröße (e\ v, V1) und die zweite Sensorgröße (eR, e2) anliegt,
dadurch gekennzeichnet,
dass die zweite Sensorgröße (e2) keine Eingangsgröße des Rechners (MC) ist,
dass die zweite Sensorgröße (e2) und die erste Sensorgröße (e-i) in einem durch eine dritte Funktion (g) gegebenen Zusammenhang ( e2 = g(e-ι) ) stehen, wobei die dritte Funktion (g) nicht die Identitätsfunktion ist,
dass die zweite Funktion (f2) durch eine Verkettung der dritten Funktion (g) mit der invertierten ersten Funktion (fl ) gegeben ist (f2 = g o fl )
und dass der Vergleicher (V) die Vergleichsgröße (v) mit der zweiten Sensorgröße (e2) vergleicht.
2. Rechnersystem zur Auswertung sicherheitskritischer Sensorgrößen, mit wenigstens einem ersten Sensor (S1 ), der eine erste Sensorgröße (e, e-i) ausgibt, und mit einem zweiten Sensor (S2), der eine zweite Sensorgröße (ΘR, e2) ausgibt, mit einem Rechner (MC), und mit einem vom Rechner (MC) unabhängigen Vergleicher (V),
wobei der Rechner (MC) aus der ersten Sensorgröße (e, e-i) mittels einer ersten Funktion (f1 ) eine Ausgangsgröße (a) berechnet,
wobei der Rechner aus der Ausgangsgröße (a) mittels einer zweiten Funktion (f2) eine Vergleichsgröße (e\ v, V1) berechnet,
und wobei am Eingang des Vergleichers (V) die Vergleichsgröße (e\ v, V1) und die zweite Sensorgröße (eR, e2) anliegt,
dadurch gekennzeichnet,
dass die zweite Sensorgröße (e2) keine Eingangsgröße des Rechners (MC) ist,
dass sich der Zusammenhang zwischen der zweiten Sensorgröße (e2) und die erste Sensorgröße (e-i) durch zwei miteinander verkettete Funktionen (h o g) darstellen lässt, wobei keine der miteinander verketteten Funktionen (h, g) und auch nicht der durch die Verkettung darstellte Zusammenhang (h o g) zwischen den Sensorgrößen (e-i, e2) durch die Identitätsfunktion gegeben ist,
dass der Rechner (MC) eine der verketteten Funktionen (g) zur Berechnung einer ersten Vergleichsgröße (V1) verwendet, und dass der Vergleicher (V) aus der ersten Vergleichsgröße (V1) mittels der anderen der miteinander verketteten Funktionen (h) eine zweite Vergleichsgröße (v2) berechnet, und zum Vergleich mit der zweiten Sensorgröße (e2) verwendet.
3. Rechnersystem nach Anspruch 1 , dadurch gekennzeichnet, dass die zweite Sensorgröße (e2) sich von der ersten Sensorgröße (e-i) durch eine additive Konstante (K) unterscheidet.
4. Rechnersystem nach Anspruch 1 , dadurch gekennzeichnet, dass die zweite Sensorgröße (e2) sich von der ersten Sensorgröße (e-i) durch einen konstanten Faktor (k) unterscheidet.
5. Rechnersystem nach Anspruch 1 , dadurch gekennzeichnet, dass der ersten Sensor (S1 ) und der zweiten Sensor (S2) unterschiedliche physikalische Größen erfassen.
PCT/EP2009/050164 2008-01-08 2009-01-08 Rechnersystem zur auswertung sicherheitskritischer sensorgrössen WO2009087187A1 (de)

Priority Applications (5)

Application Number Priority Date Filing Date Title
EP09700767A EP2229609B1 (de) 2008-01-08 2009-01-08 Rechnersystem zur auswertung sicherheitskritischer sensorgrössen
CN2009801015247A CN101910959B (zh) 2008-01-08 2009-01-08 用于评估对安全性至关重要的传感器变量的计算机系统
BRPI0905386-7A BRPI0905386B1 (pt) 2008-01-08 2009-01-08 Sistema de computador para avaliação de variáveis de sensor criticas à segurança
ES09700767T ES2392749T3 (es) 2008-01-08 2009-01-08 Sistema de ordenador para la evaluación de magnitudes de sensor críticas para la seguridad
US12/785,821 US8340938B2 (en) 2008-01-08 2010-05-24 Computer system for evaluating safety critical sensor variables

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102008003515.7 2008-01-08
DE102008003515A DE102008003515A1 (de) 2008-01-08 2008-01-08 Rechnersystem zur Auswertung sicherheitskritischer Sensorgrößen

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US12/785,821 Continuation-In-Part US8340938B2 (en) 2008-01-08 2010-05-24 Computer system for evaluating safety critical sensor variables

Publications (1)

Publication Number Publication Date
WO2009087187A1 true WO2009087187A1 (de) 2009-07-16

Family

ID=40521493

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2009/050164 WO2009087187A1 (de) 2008-01-08 2009-01-08 Rechnersystem zur auswertung sicherheitskritischer sensorgrössen

Country Status (7)

Country Link
US (1) US8340938B2 (de)
EP (1) EP2229609B1 (de)
CN (1) CN101910959B (de)
BR (1) BRPI0905386B1 (de)
DE (1) DE102008003515A1 (de)
ES (1) ES2392749T3 (de)
WO (1) WO2009087187A1 (de)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE4219457A1 (de) * 1992-06-13 1993-12-16 Bosch Gmbh Robert Rechnersystem
DE10318171A1 (de) * 2003-04-17 2004-11-25 Samson Ag Verfahren zur funktionsüberwachten Bestimmung einer Messgröße sowie ein in diesem Verfahren verwendbarer Messwertaufnehmer und Verwendung desselben

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US3219927A (en) * 1958-09-15 1965-11-23 North American Aviation Inc Automatic functional test equipment utilizing digital programmed storage means
US3082374A (en) * 1959-06-12 1963-03-19 Itt Automatic testing system and timing device therefor
US3237100A (en) * 1960-06-24 1966-02-22 Chalfin Albert Computer-controlled test apparatus for composite electrical and electronic equipment
US3321613A (en) * 1961-09-19 1967-05-23 Automation Man Inc Measuring instrument
US3492572A (en) * 1966-10-10 1970-01-27 Ibm Programmable electronic circuit testing apparatus having plural multifunction test condition generating circuits
US3546582A (en) * 1968-01-15 1970-12-08 Ibm Computer controlled test system for performing functional tests on monolithic devices
US4734687A (en) * 1985-01-25 1988-03-29 Smiths Industries Public Limited Company Monitoring
US6856158B2 (en) * 2002-05-01 2005-02-15 Advantest Corp. Comparator circuit for semiconductor test system
DE102004043052B3 (de) * 2004-09-06 2006-01-19 Siemens Ag Verfahren zur Manipulationserkennung an einer Anordnung mit einem Sensor
DE102006028695B4 (de) * 2005-06-23 2017-11-30 Denso Corporation Elektronisches Steuersystem mit Fehlfunktionsüberwachung
CN102171620B (zh) * 2008-10-01 2013-07-24 罗斯蒙德公司 具有用于工业过程变送器的在线和离线测试计算的过程控制系统

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE4219457A1 (de) * 1992-06-13 1993-12-16 Bosch Gmbh Robert Rechnersystem
DE10318171A1 (de) * 2003-04-17 2004-11-25 Samson Ag Verfahren zur funktionsüberwachten Bestimmung einer Messgröße sowie ein in diesem Verfahren verwendbarer Messwertaufnehmer und Verwendung desselben

Also Published As

Publication number Publication date
EP2229609A1 (de) 2010-09-22
BRPI0905386A2 (pt) 2015-06-30
ES2392749T3 (es) 2012-12-13
DE102008003515A1 (de) 2009-07-09
US8340938B2 (en) 2012-12-25
US20100241390A1 (en) 2010-09-23
EP2229609B1 (de) 2012-08-08
CN101910959B (zh) 2012-10-03
BRPI0905386B1 (pt) 2020-02-27
CN101910959A (zh) 2010-12-08

Similar Documents

Publication Publication Date Title
WO2005124286A1 (de) Verfahren und anordnung zur korrektur eines winkel- und/oder abstandsmessenden sensorsystems
EP3493000B1 (de) Verfahren zum fehlersicheren erfassen eines messwertes und automatisierungssystem
DE102009019792A1 (de) Steuersystem zum sicheren Betreiben von mindestens einer Funktionskomponente
DE102017222420A1 (de) Verfahren zur plausibilisierung bei der stromversorgung eines elektrischen motors
EP2447843A1 (de) Verfahren zur Verifizierung eines Anwendungsprogramms einer fehlersicheren Speicherprogrammierbaren Steuerung, und Speicherprogrammierbare Steuerung zur Ausführung des Verfahrens
DE10235502C1 (de) Vorrichtung und Verfahren zur sicheren Schalterstellungserkennung eines Drehschalters
DE19757196A1 (de) Sensoranordnung mit Meßfehlererkennung
DE102017106413A1 (de) Zustandsbestimmungsvorrichtung und verfahren, vorrichtung zur erzeugung von informationen einer physikalischen grösse, und winkelsensor
EP2441003A1 (de) Gleitkommaarithmetik mit fehlererkennung
DE102014014309B4 (de) Verfahren zum Testen eines Signalpfades
DE102017112623A1 (de) Zustandsbestimmungsvorrichtung und -verfahren, Vorrichtung zur Erzeugung von Informationen einer physikalischen Grösse, und Winkelsensor
DE102018217118B4 (de) Verfahren zum Erstellen einer Fehlerdiagnose eines Antriebsstrangs eines elektrisch betriebenen Kraftfahrzeugs und Kraftfahrzeug
DE102015211194A1 (de) Steuerschaltung und Verfahren zum Plausibilisieren eines Rotorlagewinkels
DE102009012887B4 (de) Verfahren zum Prüfen einer nicht korrekten Installation von Fahrzeugsensoren
EP2229609B1 (de) Rechnersystem zur auswertung sicherheitskritischer sensorgrössen
DE202019102429U1 (de) Robotisches Greifersystem mit redundanten Drehmomentsensoren
WO2006108849A1 (de) Verfahren und rechnereinheit zur fehlererkennung und fehlerprotokollierung in einem speicher
DE102016203900A1 (de) Verfahren zum Bestimmen eines Winkelfehlers zwischen einem mittels eines Winkelmesssystems ermittelten Drehwinkelwert und einem Referenzwert
DE102012223573A1 (de) Verfahren und Vorrichtung zum Überwachen von Signalpegeln
DE102017201621A1 (de) Integrierte Schaltung für ein Steuergerät eines Kraftfahrzeugs, Verfahren zur Herstellung einer integrierten Schaltung
WO2022069233A1 (de) Verfahren zum testen eines sensors und elektronische schaltung
DE102011003758B4 (de) Verfahren zur Resolverchipdiagnose, Resolverchipdiagnosevorrichtung und Computerprogrammprodukt
WO2005101208A1 (de) Verfahren und steuerungssystem zum erkennen eines fehlers bei einer verarbeitung von daten in einem verarbeitungssystem
EP3311113B1 (de) Steuerschaltung und verfahren zum qualifizieren eines fehlers für eine synchronmaschine
WO2006136497A1 (de) Verfahren zur erkennung von bauteilefehlern einer analogen signalverarbeitungsschaltung insbesondere für einen messumformer

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200980101524.7

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09700767

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2009700767

Country of ref document: EP

ENP Entry into the national phase

Ref document number: PI0905386

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20100629