WO2026027140A1 - Steuerung eines fehlertoleranten systems mit zwei halbleiterbaugruppen - Google Patents

Steuerung eines fehlertoleranten systems mit zwei halbleiterbaugruppen

Info

Publication number
WO2026027140A1
WO2026027140A1 PCT/EP2025/068055 EP2025068055W WO2026027140A1 WO 2026027140 A1 WO2026027140 A1 WO 2026027140A1 EP 2025068055 W EP2025068055 W EP 2025068055W WO 2026027140 A1 WO2026027140 A1 WO 2026027140A1
Authority
WO
WIPO (PCT)
Prior art keywords
data processing
processing devices
processing device
defective
chip
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
PCT/EP2025/068055
Other languages
English (en)
French (fr)
Inventor
Wolfgang Ebeling
Thomas Kömpel
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens Mobility GmbH
Original Assignee
Siemens Mobility GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from DE102024209152.9A external-priority patent/DE102024209152A1/de
Application filed by Siemens Mobility GmbH filed Critical Siemens Mobility GmbH
Publication of WO2026027140A1 publication Critical patent/WO2026027140A1/de
Pending legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/183—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components
    • G06F11/184—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components where the redundant components implement processing functionality
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/181—Eliminating the failing redundant component
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2038—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant with a single idle spare processing component
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2043—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant where the redundant components share a common memory address space
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2023—Failover techniques
    • G06F11/2028—Failover techniques eliminating a faulty processor or activating a spare

Definitions

  • the object of the invention is to realize a fault-tolerant system with high availability based on two interchangeable semiconductor assemblies. In particular, this should enable uninterrupted operation of the system during a repair process.
  • the invention is based on the objective of providing a control device for carrying out the method according to the invention.
  • the inventive method for controlling a fault-tolerant system provides that parameters for controlling the system are determined by means of three data processing devices distributed across two single-chip systems.
  • two semiconductor assemblies can be provided, each comprising two separately implemented and independently operable data processing devices. Of these four data processing devices, at least three can be used to carry out the method according to the invention. While single-chip systems with, for example, two independent data processing devices each offer improved efficiency in specific applications, the present invention can also be implemented alternatively using the two aforementioned semiconductor assemblies, each comprising two separate and independently operable data processing devices. Furthermore, the method according to the invention provides that matching parameters are determined based on a comparison of the respective defined parameters. The system is then controlled based on these matching parameters. In this way, a two-out-of-three configuration as defined in IEC 61508 can be implemented cost-effectively with only two interchangeable semiconductor modules.
  • This two-out-of-three configuration is therefore referred to as "triple modular redundancy" in English.
  • This allows for the implementation of a fail-safe and highly fault-tolerant system based on two interchangeable semiconductor modules.
  • the system can thus be operated energy-efficiently.
  • Advantages of single-chip systems, such as high availability, low power consumption, low failure risk, cost-effective manufacturing, compact design, and high reliability, can be exploited in the system's control.
  • the fourth data processing device further enables the maintenance of high reliability, even up to the point of replacing the defective data processing device.
  • the number of spare parts required by the operator can be kept to a minimum. If one of the operational data processing devices fails, the fourth data processing device can replace it cost-effectively, without having to replace an entire semiconductor assembly. Furthermore, the aforementioned two-out-of-three configuration can be maintained. Depending on the timing of a failure or the occurrence of a defect, it may even be possible to forgo replacing the defective device altogether. to forego replacing a data processing device. This may be the case, in particular, if the remaining data processing devices have a sufficiently long lifespan and a sufficiently low probability of failure. Alternatively, a defective single-chip system or semiconductor assembly can be repaired.
  • the fourth data processing device can be used to take over the operation of a defective data processing device. This allows for safe and continued high availability of control even though a primary data processing device is no longer available for system operation. Therefore, in the event of a further failure, safe and highly available control of the system, preferably in a two-out-of-three configuration, is still possible. Thus, only a third failure would lead to an interruption of control operation. Additionally, this approach enables repair without interrupting safe operation using only two physically replaceable units (semiconductor assemblies).
  • passive standby means a state in which the data processing device, without itself performing any control tasks, is kept up-to-date by means of a background update for the purpose of controlling the system.
  • the data processing device in question is largely synchronized with the active data processing devices while in standby mode.
  • the fourth data processing device achieves a synchronization with the active data processing devices of at least 80%, and preferably at least 90%. This makes it possible to quickly prepare the fourth data processing device in the event of a failure so that it can be rapidly used as an active data processing device.
  • the memory contents of the fourth data processing device are synchronized with at least a portion of the memory contents of the three operating data processing devices while in passive standby mode.
  • Known methods for memory checks and/or extensions of these known methods are suitable for this purpose. This allows the fourth data processing device to be prepared for taking over control tasks during normal operation in a cost-effective manner. As a result, low energy consumption of the fourth data processing device in passive standby mode can be achieved. Furthermore, a significant increase in the failure probability of the fourth data processing device due to passive standby mode can be counteracted.
  • a transfer period is provided for the fourth data processing device, which operates in passive standby mode.
  • the memory contents of the fourth data processing device are preferably fully synchronized with the memory contents of the three functioning data processing devices.
  • the fourth data processing device can be quickly and reliably used to take over control tasks from the faulty data processing device.
  • the fourth data processing device can thus be used cost-effectively as the primary data processing device instead of the faulty one.
  • a data processing device is used. In the preferred application, this ensures uninterrupted and highly available operation of the system, particularly in the event of a failure of the operating data processing device.
  • the fourth data processing device is operated in an active standby operating state.
  • an active standby operating state is understood to be an operating state in which the affected data processing device performs the same control tasks as the three operating data processing devices.
  • the parameters determined by the affected data processing device are disregarded when comparing parameters for transmitting matches.
  • complete synchronization of the affected data processing device with the three operating data processing devices can be achieved.
  • the memory contents of the affected data processing device can always be fully synchronized with the memory contents of the operating data processing devices. Control tasks of a defective data processing device can therefore be directly taken over by the defective data processing device.
  • a majority decision for the purpose of controlling the system can be carried out without creating any potential parity.
  • the active standby operating state even eliminates the need for a short transition period.
  • the defective single-chip system (SCS) of the two SCS is replaced by a functioning SCS during system operation.
  • SCS single-chip system
  • This allows a safety-critical application to continue to be controlled without interruption using only two hardware modules. High system availability can thus be provided cost-effectively. Even in the event of a failure of an operational data processing device, the system can continue to operate with high availability. Furthermore, a high level of safety can be achieved cost-effectively.
  • Particularly preferred is the implementation of system control solely by means of two data processing units (DPUs) of the remaining single-chip system during the replacement of a defective single-chip system with a non-defective one.
  • DPUs data processing units
  • one of the two data processing devices of the new non-defective single-chip system can be quickly and cost-effectively prepared for system control.
  • the memory contents of the two operating data processing devices can be synchronized with the memory contents of one of the two newly added data processing devices.
  • the non-defective operation of the newly added data processing device can assume the same control tasks as the operating data processing devices.
  • the newly added data processing device can be included in a vote regarding the majority decision.
  • the remaining newly added data processing device of the flawless single-chip system is advantageously then operated in one of the previously described standby operating modes.
  • a defective data processing device is expediently identified by the fact that the parameter determined by the defective DPD differs from the parameter determined by any two of the other three DPDs. This allows for reliable and rapid identification of the defective DPD. Consequently, the targeted replacement of a defective semiconductor assembly with a single-chip system, or, for example, with two separate, independent DPDs, is reliably possible.
  • the parameters for controlling the system are determined concurrently by means of the three operational data processing devices distributed across the two single-chip systems. Concurrent determination is to be understood in the sense of computer science, whereby tasks, calculations, instructions, and/or commands are executed at least partially during a common time interval. Parameters intended for control can thus be determined within a short time using different data processing devices. Furthermore, a flexible and fast-responding control system with preferably low latency can be provided.
  • the inventive method can be carried out using the control system according to the invention.
  • the control system according to the invention comprises two single-chip systems, each containing two data processing devices. This enables the provision of a highly available control system that uses only two replaceable semiconductor components. Furthermore, a two-out-of-three configuration according to IEC 61508 is achievable with only two replaceable semiconductor assemblies. This allows for the provision of a compact and space-saving control system. Advantageously, the need for a large number of separate semiconductor assemblies to meet high safety requirements can be avoided. Moreover, this approach minimizes the need for spare parts inventory for the operator of the control system. In addition, an energy-efficient control system can be provided.
  • each of the two single-chip systems has two data processing devices implemented as integrated circuits, which are independent of each other.
  • the independent implementation of the integrated circuits of the data processing devices means that a predetermined level of safety, as defined by standards EN 50129, IEC 61508, or IEC 61511, is achieved. This ensures that if one data processing device integrated on a single-chip system fails, the other data processing device can continue to operate. In this way, the transmission of a fault or defect to a functioning integrated data processing device can be prevented with a high degree of probability.
  • the control system can thus achieve high reliability.
  • Safety requirements are met.
  • a highest safety requirement level 4 according to EN 50129 can be achieved in this way.
  • the invention provides a computer program which, when executed, causes the control system according to the invention to carry out the method according to the invention.
  • a computer-readable medium is provided according to the invention.
  • This medium contains instructions which cause the control system according to the invention to carry out the method according to the invention.
  • the computer-readable medium is preferably a CD-ROM, a DVD, a USB or flash memory device, or a non-physical medium such as a data stream and/or a digital carrier signal.
  • FIG 1 illustrates an example of the method according to the invention using a schematic flowchart
  • FIG 2 illustrates a second example of the method according to the invention using a schematic flowchart
  • FIG 3 shows an embodiment of the control device according to the invention as well as a further illustration of the method according to the invention.
  • FIG 1 illustrates a first example of a method 100a for controlling a fault-tolerant system 10.
  • the fault-tolerant system 10 relates, for example, to a traffic control system or an emergency management system, such as a smoke extraction system.
  • method 100a provides that 10 parameters are determined for controlling the system. These parameters are determined by means of three data processing devices 18, 20, 22 in an operational state. These three data processing devices 18, 20, 22 are distributed across two single-chip systems 12, 14. An embodiment of a control device 26 for carrying out method 100a is explained in more detail in connection with FIG. 3.
  • the parameters are determined concurrently by the three data processing devices 18, 20, 22 102.
  • This provides a fast and reliable method 100a for controlling the system 10.
  • High fault tolerance of the system 10 is achieved by determining whether all three data processing devices 18, 20, 22 determined the same parameters 102. If this is the case, it is assumed that all three data processing devices 18, 20, 22 are fault-free. However, if one of the defined parameters (102) deviates from the other defined parameters (102), it is assumed that the deviating parameter is defective. This error can then be either corrected or tolerated by majority vote. System 10 is then controlled based on the matching parameters (106).
  • a fourth data processing device 24 is provided.
  • this fourth data processing device 24 is intended to take over control tasks of the defective of the three operational data processing devices 18, 20, 22 108.
  • the fourth data processing device 24, arranged on one of the two previously mentioned single-chip systems 12, 14, is operated in a passive standby operating state 110 for this purpose.
  • the memory contents of the fourth data processing device 24 are synchronized with the memory contents of the three operating data processing devices 18, 20, 22 by means of a background update 114.
  • the memory contents of the fourth data processing device 24 can be brought into conformity with the memory contents of the operating data processing devices 18, 20, 22 such that this conformity is at least 80%.
  • the fourth data processing device 24 can thus be kept ready to take over the control tasks 108 of a defective one of the three operating data processing devices 18, 20, 22 with minimal time expenditure.
  • a short transfer time is initially provided 116.
  • the memory contents of the fourth data processing device 24 are fully synchronized with the memory contents of error-free data processing devices of the three operational data processing devices 18, 20, 22 114.
  • the system 10 is controlled by means of two error-free data processing devices of the three operational data processing devices 18, 20, 22 in a redundant two-of-two configuration 106.
  • an error F can be detected by comparing the parameters 102 determined by the two remaining data processing devices 18, 20, 22.
  • error correction cannot be carried out based on a majority decision. Should another error occur during the aforementioned transfer time 116, this would mean an interruption of the operation of system 10.
  • the transfer time 116 is already kept short by means of the passive operating state 110, since in this way a predominant part of the memory contents of the operating data processing devices 18, 20, 22 is synchronized with the memory contents of the fourth data processing device 24 114.
  • the control tasks of the defective of the three operating data processing devices 18, 20, 22 are taken over by means of the fourth data processing device 24 108.
  • 24 parameters for controlling the system 10 are then determined using the fourth data processing device.
  • 102 parameters determined using the fourth data processing device are then included in the comparison to identify 104 matching parameters.
  • 102 parameters determined by a defective data processing device (18, 20, 22) are disregarded in the aforementioned comparison. This allows the system 10 to continue to be controlled in a two-out-of-three configuration as defined in IEC 61508, despite a defective data processing device. This also makes it possible to provide a high fault tolerance, where a further fault is both detected and either corrected or tolerated by majority vote.
  • a defective data processing device and an associated defective single-chip system of the two single-chip systems 12, 14 are identified 120. For this purpose, it is determined which of the three operating data processing devices 18, 20, 22 determined the parameter that deviates from the other two parameters 102. The affected of the three operating data processing devices 18, 20, 22 is identified as the defective data processing device 120.
  • a single-chip system of the two single-chip systems 12, 14, which includes the defective data processing device is also identified as defective 120. Subsequently, it is provided that the defective single-chip system of the two single-chip systems 12, 14 is replaced by a non-defective single-chip system. 118.
  • the control of system 10 is implemented solely by means of the two remaining non-defective data processing devices of the non-defective single-chip system 12, 14. Therefore, during the replacement 118 of the defective single-chip system, system 10 operates in the redundant two-of-two configuration previously described in connection with the handover time 116.
  • the defective single-chip system has been replaced by the non-defective single-chip system 118, one of the two data processing devices integrated on the non-defective single-chip system can be incorporated into the control of system 10. This can be achieved, for example, by synchronizing memory contents 114.
  • control tasks are performed by means of this data processing device 108.
  • the second integrated The data processing device of the newly added defect-free single-chip system was placed in the previously described passive standby operating state 110.
  • FIG 2 illustrates a second example of a method 100b for controlling the aforementioned system 10 using a schematic flowchart.
  • the fourth data processing device 24 is operated in an active standby operating state 112.
  • the same control tasks are performed concurrently by the fourth data processing device 24 as are performed by the three operating data processing devices 18, 20, 22.
  • the parameters 102 determined by the fourth data processing device 24 are disregarded when comparing them for the purpose of determining 104 matching parameters. This easily avoids a problematic parity situation when determining a majority decision.
  • the active standby operating state 112 makes it possible to integrate the fourth data processing device 24 into the control of the system 10 immediately after the detection of an error case F.
  • the fourth data processing device 24 is able to take over control tasks 108 of a defective data processing device immediately after a defective state is detected 108.
  • a transfer time such as that provided for in connection with the passive standby operating state 110, can thus be avoided in a cost-effective manner. Therefore, uninterrupted control of the system 10 can be achieved in a particularly reliable way using the active standby operating state 112.
  • FIG 3 shows a schematic representation of an embodiment of a control device 26.
  • the control device 26 is, by way of example, part of the fault-tolerant system 10, which is not shown in detail. Furthermore, FIG 3 illustrates by way of example that the fault-tolerant system 10 is controlled by means of the embodiment of the control device 26 106.
  • the exemplary embodiment of the control device 26 comprises two single-chip systems 12, 14 for controlling the system 10.
  • Each of the single-chip systems 12, 14 in turn comprises two integrated data processing devices 18, 20, 22, 24.
  • the control of the fault-tolerant system 10 is thus achieved by means of two interchangeable semiconductor assemblies. with high reliability.
  • a cost-effective two-out-of-three configuration for controlling the system 10 can be implemented using the two single-chip systems 12, 14 with only two interchangeable semiconductor modules.
  • each of the two single-chip systems 12, 14 comprises two data processing devices 18, 20, 22, 24 implemented as independent integrated circuits.
  • a first single-chip system 12 of the two single-chip systems 12, 14, by way of example comprises two data processing devices 18, 20 implemented as integrated circuits.
  • a second single-chip system 14 of the two single-chip systems 12, 14, by way of example comprises two further data processing devices 22, 24 implemented as integrated circuits. If a defect is detected in one of the data processing devices 18, 20, 22, 24, the effects on the function of the other data processing devices 18, 20, 22, 24 can be avoided due to the independent and separate implementation of the integrated circuits on the respective single-chip system 12, 14.
  • the distribution of operational data processing devices 18, 20, 22 across the two single-chip systems 12, 14, which are configured to control system 10 can be chosen arbitrarily.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Hardware Redundancy (AREA)

Abstract

Die Erfindung betrifft ein Verfahren (100a, 100b) zur Steuerung eines fehlertoleranten Systems (10), bei welchem mittels drei auf zwei Ein-Chip-Systeme (12, 14) verteilte Datenverarbeitungsvorrichtungen (18, 20, 22) jeweils Parameter zur Steuerung des Systems (10) bestimmt werden (102). Auf Basis eines Vergleichs der jeweils bestimmten (102) Parameter werden sodann übereinstimmende Parameter ermittelt (104). Ferner wird das System (10) auf Basis der übereinstimmenden Parameter gesteuert (106).

Description

Beschreibung
Steuerung eines fehlertoleranten Systems mit zwei Halbleiterbaugruppen
Die Erfindung betrifft ein Verfahren zur Steuerung eines fehlertoleranten Systems, ein Steuersystem zur Durchführung des Verfahrens, ein Computerprogramm sowie ein computerlesbares Medium.
Bei einem sicherheitskritischen System, wie beispielsweise bei einer Verkehrsleittechnik oder einem Notfallmanagementsystem, sind fehlertolerante Steuersysteme mit einer hohen Verfügbarkeit und einer hohen Ausfallsicherheit erforderlich. Um sichere und hochverfügbare Steuersysteme bereitstellen zu können, ist es bereits bekannt, drei voneinander unabhängige und auf separat angeordneten Halbleiterbaugruppen dieselben Steueraufgaben ausführen zu lassen und daraufhin die jeweils ermittelten Ergebnisse zu vergleichen. Auf Basis des Vergleichs kann im Fehlerfall einer der drei Datenverarbeitungsvorrichtungen sowohl dieser Fehler erkannt werden als auch eine Korrektur dieses Fehlers auf Grundlage eines Mehrheitsentscheids vorgenommen werden. Die Steuerung des sicherheitskritischen Systems erfolgt sodann mithilfe eines Mehrheitsentscheids auf Basis übereinstimmender Ergebnisse der drei Datenverarbeitungsvorrichtungen. Eine derartige Konfiguration dreier Datenverarbeitungsvorrichtungen zur Steuerung eines fehlertoleranten Systems ist bereits bekannt als zwei-von-drei-Konfiguration im Sinne der Norm IEC 61508 oder im englischen Sprachgebrauch unter der Bezeichnung „triple modular redundancy“.
Des Weiteren kann in einem Fehlerfall eine defekte der drei separaten Halbleiterbaugruppen getauscht werden. Währenddessen wird das System auf Basis einer zwei-von-zwei- Konfiguration im Sinne der IEC 61508 mittels der zwei übrigen mangelfreien Datenverarbeitungsvorrichtungen unterbrechungsfrei gesteuert. Diese Konfiguration ist im englischen Sprachgebrauch bekannt als „dual modular redundancy“. In dieser Konfiguration kann zwar ein Fehler erkannt werden, jedoch ist im Fehlerfall kein fehlertoleranter Weiterbetrieb des Systems möglich.
Im Fehlerfall wird bislang zunächst eine zwei-von-zwei-Konfiguration vorgesehen. Grundsätzlich ist daher eine Reparatur und/oder Austausch einer fehlerhaften oder defekten Halbleiterbaugruppe der genannten drei separaten Halbleiterbaugruppen zeitnah nach einem Feststellen des Fehlerfalls erforderlich. Tritt während des genannten Fehlerfalls ein weiterer Fehler oder Defekt an einer der übrigen Halbleiterbaugruppen der drei separaten Halbleiterbaugruppen auf, liegt eine unzureichende Verfügbarkeit des Systems vor. Um dies zu verhindern, muss ein rascher Austausch einer ausgefallenen oder mangelhaften Halbleiterbaugruppe vorgesehen werden. Dies wird üblicherweise dadurch ermöglicht, dass eine ausreichende Anzahl an Ersatzbauteilen vorgehalten wird. Unter Umständen müssen diese Ersatzbauteile regelmäßig auf deren Zustand hin überprüft werden, damit nicht eine mangelhafte Halbleiterbaugruppe durch eine weitere mangelhafte Halbleiterbaugruppe ersetzt wird. Ferner besteht bei drei separaten Halbleiterbaugruppen ein erhöhter Platzbedarf. Zwar ist es bereits bekannt, mehrere voneinander unabhängige Datenverarbeitungsvorrichtungen auf einer Halbleiterbaugruppe und/oder einem Ein-Chip-System zu integrieren. Jedoch werden bislang für eine fehlertolerante Steuerung des Systems und den zuvor erläuterten Mehrheitsentscheid drei voneinander unabhängige Datenverarbeitungsvorrichtungen auf separaten Halbleiterbaugruppen benötigt. Eine Verringerung einer Anzahl an vorgehaltenen Halbleiterbaugruppen führte daher im Fehlerfall zu einem Dilemma, da möglicherweise eine mangelfreie intakte Datenverarbeitungsvorrichtung durch einen Austausch einer mit zwei Datenverarbeitungsvorrichtungen versehenen Halbleiterbaugruppe betroffen ist. In diesem Fall wäre sodann ein unterbrechungsfreier Weiterbetrieb während eines Reparaturvorgangs des fehlertoleranten Systems nicht einmal mehr auf Grundlage einer zwei-von-zwei-Konfiguration gemäß IEC 61508 möglich.
Aufgabe der Erfindung ist es, ein fehlertolerantes System mit einer hohen Verfügbarkeit auf Basis zweier austauschbarer Halbleiterbaugruppen zu realisieren. Insbesondere soll dadurch ein unterbrechungsfreier Weiterbetrieb des Systems während eines Reparaturvorgangs ermöglicht werden.
Diese Aufgabe wird gelöst durch ein Verfahren mit den Merkmalen des Anspruchs 1.
Des Weiteren liegt der Erfindung die Aufgabe zugrunde, eine Steuervorrichtung zur Durchführung des erfindungsgemäßen Verfahrens bereitzustellen.
Diese Aufgabe wird gelöst durch eine Steuervorrichtung mit den Merkmalen des nebengeordneten gegenständlichen Anspruchs.
Ferner liegen der Erfindung die Aufgaben zugrunde ein Computerprogramm sowie ein computerlesbares Medium anzugeben. Diese Aufgaben werden gelöst durch ein Computerprogramm mit den Merkmalen des nebengeordneten Computerprogrammanspruchs sowie durch ein computerlesbares Medium mit den Merkmalen des nebengeordneten Anspruchs 15.
Vorteilhafte Weiterbildungen sind jeweils Gegenstand abhängiger Unteransprüche.
Das erfindungsgemäße Verfahren zur Steuerung eines fehlertoleranten Systems sieht vor, dass mittels drei auf zwei Ein-Chip-Systemen verteilte Datenverarbeitungsvorrichtungen jeweils Parameter zur Steuerung des Systems bestimmt werden.
Unter einem Ein-Chip-System soll im vorliegenden Zusammenhang ein elektronisches System verstanden werden, welches auf einem gemeinsamen Halbleitersubstrat angeordnet ist. Vorliegend sind zumindest zwei voneinander unabhängig ausgeführte integrierte Schaltkreise auf dem gemeinsamen Halbleitersubstrat angeordnet. Zweckmäßigerweise weist jedes der zwei Ein-Chip-Systeme jeweils zwei als eine Datenverarbeitungsvorrichtung ausgebildete integrierte Schaltkreise auf. Insbesondere sind zwei Datenverarbeitungsvorrichtungen eines Ein-Chip- Systems unabhängig voneinander ausgeführt. Bei der Datenverarbeitungsvorrichtung kann es sich beispielsweise um einen Mikrocontroller, einen Prozessor oder um eine andere programmierbare Hardwarekomponente handeln. Die Datenverarbeitungsvorrichtung ist zweckmäßigerweise dazu eingerichtet, Daten einzulesen, zu empfangen, zu speichern, zu schreiben, zu übertragen und/oder zu verwalten. Im bevorzugten Anwendungsfall weist die Datenverarbeitungsvorrichtung einen Halbleiterspeicher zum Zwecke einer Speicherung von Daten auf. Bevorzugterweise ist jede der Datenverarbeitungsvorrichtungen dazu eingerichtet, das fehlertolerante System zu steuern. Anstelle der drei auf zwei Ein-Chip-Systemen verteilten Datenverarbeitungsvorrichtungen können zwei Halbleiterbaugruppen vorgesehen sein, welche jeweils zwei separat ausgeführte und unabhängig voneinander betreibbare Datenverarbeitungsvorrichtungen aufweisen. Von diesen vier Datenverarbeitungsvorrichtungen können wenigstens drei zur Durchführung des erfindungsgemäßen Verfahrens verwendet werden. Zwar bieten Ein-Chip-Systeme mit beispielhaft jeweils zwei unabhängigen Datenverarbeitungsvorrichtungen im einzelnen Anwendungsfall verbesserte Eigenschaften im Hinblick auf eine Effizienz. Dennoch kann die vorliegende Erfindung auch auf eine alternative Weise mit den zwei genannten Halbleiterbaugruppen ausgeführt werden, welche jeweils zwei separate und unabhängig voneinander betreibbare Datenverarbeitungsvorrichtungen aufweisen. Ferner sieht das erfindungsgemäße Verfahren vor, dass auf Basis eines Vergleichs der jeweils bestimmten Parameter übereinstimmende Parameter ermittelt werden. Das System wird sodann auf Basis der übereinstimmenden Parameter gesteuert. Auf diese Weise kann eine zwei-von-drei-Konfiguration im Sinne der Norm IEC 61508 aufwandsgünstig mit nur zwei austauschbaren Halbleiterbaugruppen realisiert werden. Die genannte zwei-von-drei- Konfiguration wird im englischen Sprachgebrauch mithin als „triple modular redundancy“ bezeichnet. Dadurch kann ein ausfallsicheres und hoch fehlertolerantes System auf Basis zweier austauschbarer Halbleiterbaugruppen realisiert werden. Das System kann dadurch energieeffizient betrieben werden. Vorteile von Ein-Chip-Systemen, wie eine hohe Verfügbarkeit, eine geringe elektrische Leistung, ein geringes Ausfallrisiko, kostengünstige Herstellung, eine kompakte Anordnung sowie eine hohe Zuverlässigkeit, können bei der Steuerung des Systems ausgenutzt werden.
Eine vorteilhafte Ausführungsvariante sieht vor, dass eine vierte Datenverarbeitungsrichtung vorgesehen wird, welche auf einer der zwei Halbleiterbaugruppen und/oder einem der zwei Ein- Chip-Systeme angeordnet ist und mittels welcher im Fehlerfall einer der drei genannten betriebsführenden Datenverarbeitungsvorrichtungen eine Steueraufgabe der mangelhaften der drei betriebsführenden Datenverarbeitungsvorrichtungen übernommen wird. Dadurch kann ein fehlertolerantes System mit einer besonders hohen Verfügbarkeit bereitgestellt werden. Im Vergleich zu bisher üblichen zwei-von-drei-Konfigurationen kann das System trotz Ausfall einer Datenverarbeitungsvorrichtung weiterhin in einer zwei-von-drei-Konfiguration weiterbetrieben werden. Ein Mehrheitsentscheid, bei welchem zumindest zwei von drei der bestimmten Parameter übereinstimmen müssen, um eine ausfallsichere Steuerung des Systems zu ermöglichen, kann selbst im Falle eines Ausfalls einer der drei betriebsführenden Datenverarbeitungsvorrichtungen rasch bereitgestellt werden. Des Weiteren kann dadurch vermieden werden, dass die Steuerung des Systems allein auf Basis von nur zwei Datenverarbeitungsvorrichtungen realisiert wird. Die vierte Datenverarbeitungsvorrichtung ermöglicht es des Weiteren, eine hohe Ausfallsicherheit bis hin zu einem Austausch der mangelhaften Datenverarbeitungsvorrichtung beizubehalten. Im bevorzugten Anwendungsfall kann eine Anzahl von durch einen Betreiber vorzuhaltenden Ersatzteilen klein gehalten werden. Fällt eine der betriebsführenden Datenverarbeitungsvorrichtungen aus, so kann die vierte Datenverarbeitungsvorrichtung diese mangelhafte Datenverarbeitungsvorrichtung aufwandsgünstig ersetzen, ohne dass eine gesamte Halbleiterbaugruppe ausgetauscht werden muss. Weiterhin kann die vorgenannte zwei-von-drei-Konfiguration weiter aufrechterhalten werden. In Abhängigkeit eines Zeitpunkts eines Ausfalls oder eines Auftretens eines Mangels kann gar erwogen werden, auf einen Austausch der mangelhaften Datenverarbeitungsvorrichtung zu verzichten. Insbesondere kann dies der Fall sein, wenn eine Lebenserwartung der übrigen Datenverarbeitungsvorrichtungen hinreichend hoch ist und eine Ausfallwahrscheinlichkeit hinreichend gering ist. Alternativ kann eine Reparatur eines mangelhaften Ein-Chip-Systems oder einer mangelhaften Halbleiterbaugruppe erfolgen. Während der Reparatur, welche üblicherweise rasch durchführbar ist, fällt das System auf eine zwei-von-zwei-Konfiguration zurück, da im Zuge des Reparaturvorgangs eine gesamte Halbleiterbaugruppe oder ein gesamtes Ein-Chip-System getauscht wird, welche oder welches jeweils auf untrennbare Weise zwei Datenverarbeitungsvorrichtungen aufweist. Aufgrund einer Kürze eines Zeitraums des Reparaturvorgangs kann ein Risiko eines weiteren Fehlers innerhalb dieses Zeitraums vernachlässigt werden. Nach erfolgter Reparatur und/oder nach einem erfolgten Austausch der mangelhaften Halbleiterbaugruppe sind wieder alle vier Einheiten betriebsbereit und das System kann wieder in einer zwei-von-drei-Konfiguration mit einer zusätzlichen Datenverarbeitungsvorrichtung als Hot Spare betrieben werden.
Im Fehlerfall kann die vierte Datenverarbeitungsvorrichtung verwendet werden, um einen Betrieb einer mangelhaften Datenverarbeitungsvorrichtung zu übernehmen. Dadurch kann eine sichere und weiterhin hochverfügbare Steuerung bereitgestellt werden, obwohl eine betriebsführende Datenverarbeitungsvorrichtung nicht weiter für den Betrieb des Systems zur Verfügung steht. Im Falle eines weiteren Fehlers ist daher noch immer eine sichere und hochverfügbare Steuerung eines Systems, bevorzugterweise in einer zwei-von-drei- Konfiguration möglich. Somit würde erst ein dritter Fehler zu einer Betriebsunterbrechung bei der Steuerung führen. Zusätzlich kann auf die vorliegende Weise eine Reparatur ohne eine Unterbrechung eines sicheren Betriebes mit nur zwei physikalisch tauschbaren Einheiten (Halbleiterbaugruppen) vorgesehen werden.
Eine weitere vorteilhafte Weiterbildung sieht vor, dass die vierte auf einem der zwei Ein-Chip- Systeme angeordnete Datenverarbeitungsvorrichtung in einem Standby-Betriebszustand betrieben wird. Ausgehend von dem Standby-Betriebszustand kann die vierte Datenverarbeitungsvorrichtung jederzeit und mit einer allenfalls geringen Übergabezeit zum Zwecke einer Steuerung des Systems herangezogen werden. Im Fehlerfall einer der drei betriebsführenden Datenverarbeitungsvorrichtungen können rasch und zuverlässig Steueraufgaben der mangelhaften Datenverarbeitungsvorrichtung durch die vierte Datenverarbeitungsvorrichtung übernommen werden. Bevorzugterweise kann die vierte Datenverarbeitungsvorrichtung in dem genannten Fehlerfall Steueraufgaben der mangelhaften Datenverarbeitungsvorrichtung ohne eine Betriebsunterbrechung des Systems übernehmen. In einer vorteilhaften Ausführungsvariante wird die vierte Datenverarbeitungsvorrichtung in einem passiven Standby-Betriebszustand betrieben. Unter dem passiven Standby- Betriebszustand soll im vorliegenden Zusammenhang ein Betriebszustand verstanden werden, bei welchem die Datenverarbeitungsvorrichtung, ohne selbst Steueraufgaben auszuführen, mittels einer Hintergrundaktualisierung zum Zwecke einer Steuerung des Systems aktuell gehalten wird. Auf diese Weise wird die betreffende Datenverarbeitungsvorrichtung während eines Normalbetriebs ohne Fehlerfall in dem Standby-Betriebszustand mit den betriebsführenden Datenverarbeitungsvorrichtungen überwiegend in Übereinstimmung gebracht. Bevorzugterweise wird in dem passiven Betriebszustand eine Übereinstimmung der vierten Datenverarbeitungsvorrichtung mit den betriebsführenden Datenverarbeitungsvorrichtungen erreicht, welche zumindest 80 % und vorzugsweise zumindest 90 % beträgt. Dies ermöglicht es, die vierte Datenverarbeitungsvorrichtung im Fehlerfall unter geringem Zeitaufwand derart aufzubereiten, dass diese rasch als eine betriebsführende Datenverarbeitungsvorrichtung verwendet werden kann.
In einer weiteren vorteilhaften Ausführungsform wird ein Speicherinhalt der vierten Datenverarbeitungsvorrichtung in dem passiven Standby-Betriebszustand mit wenigstens einem Teil der Speicherinhalte der drei betriebsführenden Datenverarbeitungsvorrichtungen synchronisiert. Zu diesem Zwecke eignen sich beispielsweise bekannte Verfahren betreffend eine Speicherprüfung und/oder Erweiterungen dieser bekannten Verfahren. Die vierte Datenverarbeitungsvorrichtung kann dadurch aufwandsgünstig während eines Normalbetriebs auf eine Übernahme von Steueraufgaben vorbereitet werden. Dadurch kann ein geringer Energieverbrauch der vierten Datenverarbeitungsvorrichtung in dem passiven Standby- Betriebszustand erreicht werden. Ferner kann eine maßgebliche Verschlechterung einer Ausfallwahrscheinlichkeit der vierten Datenverarbeitungsvorrichtung aufgrund des passiven Standby-Betriebszustands entgegengewirkt werden.
Zweckmäßigerweise wird im Fehlerfall für die im passiven Standby-Betriebszustand betriebene vierte Datenverarbeitungsvorrichtung eine Übergabezeit vorgesehen. Während dieser Übergabezeit wird der Speicherinhalt der vierten Datenverarbeitungsvorrichtung vorzugsweise mit den Speicherinhalten mangelfreier der drei betriebsführenden Datenverarbeitungsvorrichtungen vollständig synchronisiert. Die vierte Datenverarbeitungsvorrichtung kann auf diese Weise rasch und zuverlässig zum Zwecke einer Übernahme von Steueraufgaben der mangelhaften Datenverarbeitungsvorrichtung eingesetzt werden. Die vierte Datenverarbeitungsvorrichtung kann dadurch aufwandsgünstig anstelle der mangelhaften Datenverarbeitungsvorrichtung als betriebsführende Datenverarbeitungsvorrichtung eingesetzt werden. Im bevorzugten Anwendungsfall wird auf diese Weise, insbesondere auch im Fehlerfall einer betriebsführenden Datenverarbeitungsvorrichtung ein unterbrechungsfreier und weiterhin hochverfügbarer Betrieb des Systems ermöglicht.
In einer alternativen vorteilhaften Ausführungsvariante wird die vierte Datenverarbeitungsvorrichtung in einem aktiven Standby-Betriebszustand betrieben.
Unter einem aktiven Standby-Betriebszustand soll im vorliegenden Zusammenhang ein Betriebszustand verstanden werden, bei welchem die betroffene Datenverarbeitungsvorrichtung dieselben Steueraufgaben wie die drei betriebsführenden Datenverarbeitungsvorrichtungen ausführt. Allerdings bleiben während eines normalen Betriebs des Systems die mittels der betroffenen Datenverarbeitungsvorrichtung bestimmten Parameter bei dem Vergleich der Parameter zu Übermittlung von Übereinstimmungen unbeachtet. Auf diese Weise kann eine vollständige Synchronisation der betroffenen Datenverarbeitungsvorrichtung mit den drei betriebsführenden Datenverarbeitungsvorrichtungen erreicht werden. Insbesondere kann ein Speicherinhalt der betroffenen Datenverarbeitungsvorrichtung stets vollständig mit den Speicherinhalten der betriebsführenden Datenverarbeitungsvorrichtungen synchronisiert sein. Steueraufgaben einer mangelhaften Datenverarbeitungsvorrichtung können daher unmittelbar von der mangelhaften Datenverarbeitungsvorrichtung übernommen werden. Weiterhin kann während eines Normalbetriebs des Systems ein Mehrheitsentscheid zum Zwecke der Steuerung des Systems durchgeführt werden, ohne dass eine mögliche Parität entsteht. Mithilfe des aktiven Standby-Betriebszustands kann im bevorzugten Anwendungsfall selbst auf eine kurze Übergangszeit verzichtet werden.
Vorzugsweise wird im Fehlerfall einer der drei betriebsführenden Datenverarbeitungsvorrichtungen ein die mangelhafte Datenverarbeitungsvorrichtung aufweisendes Ein-Chip-System der zwei Ein-Chip-Systeme während eines Betriebs des Systems durch ein mangelfreies Ein-Chip-System ersetzt. Dadurch kann mit zwei Hardwarebaugruppen weiterhin eine sicherheitskritische Anwendung unterbrechungsfrei gesteuert werden. Eine hohe Verfügbarkeit des Systems ist damit aufwandsgünstig bereitstellbar. Auch im Falle eines Ausfalls einer betriebsführenden Datenverarbeitungsvorrichtung kann das System mit einer hohen Verfügbarkeit weiterbetrieben werden. Des Weiteren kann eine hohe Sicherheitsanforderungsstufe aufwandsgünstig erreicht werden. Besonders bevorzugt wird während eines Ersetzens des mangelhaften Ein-Chip-Systems durch ein mangelfreies Ein-Chip-System, eine Steuerung des Systems allein mittels zwei Datenverarbeitungsvorrichtungen des übrigen Ein-Chip-Systems der zwei Ein-Chip-Systeme realisiert. Dadurch kann das System auch während eines Ersetzens einer Halbleiterbaugruppe, welche anstelle des Ein-Chip-Systems auf eine alternative Weise zwei separate Datenverarbeitungsvorrichtungen aufweisen kann, auf eine hinreichend zuverlässige und sichere Weise weiterbetrieben werden. Mithilfe der zwei Datenverarbeitungsvorrichtungen des übrigen Ein-Chip-Systems kann die Steuerung des Systems auf Basis einer zwei-von-zwei- Konfiguration im Sinne der IEC 61508 weiterbetrieben werden. Eine derartige zwei-von-zwei- Konfiguration wird im englischen Sprachgebrauch mithin als „double modular redundancy“ bezeichnet. Dadurch kann ein Fehler mithilfe eines Vergleichs der zwei mittels der zwei übrigen Datenverarbeitungsvorrichtungen bestimmten Parameter erkannt werden. Dahingegen kann dieser Fehler in der zwei-von-zwei-Konfiguration nicht wie im Falle einer zwei-von-drei- Konfiguration mittels eines Mehrheitsentscheids entweder korrigiert oder toleriert werden. Nach einem erfolgten Ersetzen des mangelhaften Ein-Chip-Systems durch das mangelfreie Ein-Chip- System kann rasch und aufwandsgünstig eine der zwei Datenverarbeitungsvorrichtungen des neuen mangelfreien Ein-Chip-Systems zum Zwecke einer Steuerung des Systems vorbereitet werden. Beispielhaft kann ein Speicherinhalt der zwei betriebsführenden Datenverarbeitungsvorrichtungen mit einem Speicherinhalt einer der zwei neu hinzutretenden Datenverarbeitungsvorrichtungen synchronisiert werden. Nach hinreichender Sicherstellung eines mangelfreien Betriebs der neu hinzugetretenen Datenverarbeitungsvorrichtung kann diese dieselben Steueraufgaben wie die betriebsführenden Datenverarbeitungsvorrichtungen übernehmen. Sodann kann zum Zwecke einer Wiederherstellung einer zwei-von-drei- Konfiguration im Sinne der IEC 61508 die neu hinzugetretene Datenverarbeitungsvorrichtung in ein Voting betreffend den Mehrheitsentscheid mit einbezogen werden. Die übrige neu hinzugetretene Datenverarbeitungsvorrichtung des mangelfreien Ein-Chip-Systems wird vorteilhafterweise sodann in einem der zuvor beschriebenen Standby-Betriebsmodi betrieben.
Zweckmäßigerweise wird eine mangelhafte der drei betriebsführenden Datenverarbeitungsvorrichtungen dadurch identifiziert, dass sich der mittels der mangelhaften Datenverarbeitungsvorrichtung bestimmte Parameter von mittels zwei übriger der drei betriebsführenden Datenverarbeitungsvorrichtungen bestimmte Parameter unterscheidet. Die mangelhafte Datenverarbeitungsvorrichtung kann dadurch zuverlässig und rasch identifiziert werden. Ein zielgerichtetes Ersetzen einer mangelhaften Halbleiterbaugruppe mit einem Ein- Chip-System oder beispielhaft zwei separaten unabhängigen Datenverarbeitungsvorrichtungen, ist dadurch auf eine zuverlässige Weise möglich. Bevorzugterweise werden mittels der drei betriebsführenden und auf die zwei Ein-Chip-Systeme verteilte Datenverarbeitungsvorrichtungen die Parameter zur Steuerung des Systems jeweils nebenläufig bestimmt. Die nebenläufige Bestimmung ist vorliegend im Sinne der Informatik zu verstehen, wobei Aufgaben, Berechnungen, Anweisungen und/oder Befehle zumindest teilweise während eines gemeinsamen Zeitintervalls ausgeführt werden. Zur Steuerung vorgesehene Parameter können dadurch innerhalb kurzer Zeit mittels verschiedener Datenverarbeitungsvorrichtungen bestimmt werden. Des Weiteren kann eine flexible und schnell reagierende Steuerung für Systeme mit vorzugsweise geringen Latenzzeiten bereitgestellt werden.
Mittels des erfindungsgemäßen Steuersystems ist das erfindungsgemäße Verfahren durchführbar.
Das erfindungsgemäße Steuersystem weist zwei Ein-Chip-Systeme auf, welche jeweils zwei Datenverarbeitungsvorrichtungen aufweisen. Auf diese Weise ist ein hoch verfügbares Steuersystem bereitstellbar, welches nur zwei austauschbare Halbleiterbauelemente aufweist. Des Weiteren ist dadurch eine zwei-von-drei-Konfiguration gemäß IEC 61508 mit nur zwei austauschbaren Halbleiterbaugruppen realisierbar. Dies ermöglicht es, ein kompaktes und bauraumsparendes Steuersystem bereitzustellen. Auf eine Vielzahl von separaten Halbleiterbaugruppen zum Zwecke einer Erfüllung einer hohen Sicherheitsanforderungsstufe kann vorteilhafterweise verzichtet werden. Ferner kann für einen Betreiber des Steuersystems auf diese Weise eine Vorratshaltung von Ersatzteilen kleingehalten werden. Überdies kann ein energiesparendes Steuersystem bereitgestellt werden.
Eine vorteilhafte Ausführungsvariante des Steuersystems sieht vor, dass jedes der zwei Ein- Chip-Systeme jeweils zwei als integrierte Schaltkreise ausgebildete Datenverarbeitungsvorrichtungen aufweist, welche unabhängig voneinander ausgeführt sind. Darunter, dass die integrierten Schaltkreise der Datenverarbeitungsvorrichtung jeweils unabhängig ausgeführt sind, soll verstanden werden, dass eine vorbestimmte Sicherheitsstufe im Sinne der Norm EN 50129, IEC 61508 oder IEC 61511 erreicht wird. Dadurch ist es möglich, dass im Falle einer mangelhaften auf einem Ein-Chip-System integrierten Datenverarbeitungsvorrichtung, sichergestellt werden kann, eine übrige Datenverarbeitungsvorrichtung weiterbetrieben werden kann. Ein Übertrag eines Fehlers oder eines Defekts auf eine mangelfreie integrierte Datenverarbeitungsvorrichtung kann auf diese Weise mit hoher Wahrscheinlichkeit verhindert werden. Das Steuersystem kann dadurch hohen Sicherheitsanforderungen genügen. Bevorzugterweise ist auf diese Weise eine höchste Sicherheitsanforderungsstufe 4 gemäß EN 50129 erreichbar.
Ferner sieht die Erfindung ein Computerprogramm vor, welches bei dessen Ausführung das erfindungsgemäße Steuersystem dazu veranlasst, das erfindungsgemäße Verfahren durchzuführen.
Überdies ist erfindungsgemäß ein computerlesbares Medium vorgesehen. Dieses weist Instruktionen auf, welche das erfindungsgemäße Steuersystem dazu veranlassen, das erfindungsgemäße Verfahren durchzuführen.
Zweckmäßigerweise handelt es sich bei dem computerlesbaren Medium um eine CD-ROM, eine DVD, einen USB- oder Flash-Speicher oder ein nicht körperliches Medium, wie ein Datenstrom und/oder ein digitales Trägersignal.
Die voranstehend beschriebenen Eigenschaften, Merkmale und Vorteile der Erfindung sowie die Art und Weise, wie diese erreicht werden, werden im Zusammenhang mit den Figuren in der folgenden Beschreibung von Ausführungsbeispielen der Erfindung sowie zugehörige Variationen näher erläutert. Soweit zweckdienlich, werden in den Figuren dieselben Bezugszeichen für dieselben oder einander entsprechende Elemente der Erfindung verwendet. Die Ausführungsbeispiele sowie zugehörige Variationen dienen der Erläuterung der Erfindung und beschränken die Erfindung nicht auf die darin angegebenen Kombinationen von Merkmalen, auch nicht in Bezug auf funktionale Merkmale. Zudem können alle in den Ausführungsbeispielen angegebenen Merkmale isoliert betrachtet und in geeigneter Weise mit den Merkmalen eines beliebigen Anspruchs kombiniert werden. Bei den im folgenden Zusammenhang beschriebenen Figuren handelt es sich um nicht maßstabsgetreue schematische Darstellungen.
Es zeigen:
FIG 1 eine Illustration eines Beispiels des erfindungsgemäßen Verfahrens anhand eines schematischen Ablaufdiagramms;
FIG 2 eine Illustration eines zweiten Beispiels des erfindungsgemäßen Verfahrens anhand eines schematischen Ablaufdiagramms; FIG 3 ein Ausführungsbeispiel der erfindungsgemäßen Steuervorrichtung sowie eine weitere Illustration des erfindungsgemäßen Verfahrens.
FIG 1 illustriert ein erstes Beispiel eines Verfahrens 100a zur Steuerung eines fehlertoleranten Systems 10. Das fehlertolerante System 10 betrifft beispielsweise eine Verkehrsleittechnik oder ein Notfallmanagementsystem, wie eine Entrauchungsanlage.
Das vorliegend beschriebene Beispiel des Verfahrens 100a sieht vor, dass zur Steuerung des Systems 10 Parameter bestimmt werden 102. Diese Parameter werden mittels drei Datenverarbeitungsvorrichtungen 18, 20, 22 in einem betriebsführenden Betriebszustand bestimmt 102. Diese drei genannten Datenverarbeitungsvorrichtungen 18, 20, 22 sind dabei auf zwei Ein-Chip-Systemen 12, 14 verteilt. Ein Ausführungsbeispiel einer Steuervorrichtung 26 zur Durchführung des Verfahrens 100a wird im Zusammenhang mit FIG 3 näher erläutert.
Auf Basis eines Vergleichs der jeweils mittels den drei betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 bestimmten 102 Parameter werden vorliegend übereinstimmende Parameter ermittelt 104. In einer bevorzugten Ausführungsvariante ist vorgesehen, dass mittels der drei Datenverarbeitungsvorrichtungen 18, 20, 22 die Parameter nebenläufig bestimmt werden 102. Dadurch kann ein rasches und zuverlässiges Verfahren 100a zur Steuerung des Systems 10 bereitgestellt werden. Eine hohe Fehlertoleranz des Systems 10 wird dadurch erreicht, dass anhand einer Ermittlung 104 einer Übereinstimmung der bestimmten 102 Parameter erkannt wird, ob durch alle drei Datenverarbeitungsvorrichtungen 18, 20, 22 dieselben Parameter bestimmt wurden 102. Ist dies der Fall, so wird davon ausgegangen dass alle drei Datenverarbeitungsvorrichtungen 18, 20, 22 mangelfrei sind. Weicht jedoch einer der bestimmten 102 Parameter von den übrigen der bestimmten Parameter 102 ab, so wird davon ausgegangen, dass es sich bei dem abweichenden Parameter um einen mangelhaften Parameter handelt. Dieser Fehler kann sodann anhand eines Mehrheitsentscheids entweder korrigiert oder toleriert werden. Das System 10 wir sodann auf Basis der übereinstimmenden Parameter gesteuert 106.
Ferner ist eine vierte Datenverarbeitungsvorrichtung 24 vorgesehen. Im Fehlerfall F einer der drei zuvor genannten betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 ist diese vierte Datenverarbeitungsvorrichtung 24 dazu vorgesehen, Steueraufgaben der mangelhaften der drei betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 zu übernehmen 108. Im vorliegend beschriebenen Beispiel des Verfahrens 100a wird zu diesem Zwecke die vierte auf einem der zwei zuvor genannten Ein-Chip-Systemen 12, 14 angeordnete Datenverarbeitungsvorrichtung 24 in einem passiven Standby- Betriebszustand betrieben 110. In dem passiven Standby-Betriebszustand 110 wird ein Speicherinhalt der vierten Datenverarbeitungsvorrichtung 24 mittels einer Hintergrundaktualisierung mit Speicherinhalten der betriebsführenden drei Datenverarbeitungsvorrichtungen 18, 20, 22 synchronisiert 114. Auf diese Weise kann ein Speicherinhalt der vierten Datenverarbeitungsvorrichtung 24 derart mit den Speicherinhalten der betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 in Übereinstimmung gebracht werden, dass diese Übereinstimmung zumindest 80 % beträgt. Die vierte Datenverarbeitungsvorrichtung 24 kann dadurch mit geringem Zeitaufwand zur Übernahme der Steueraufgaben 108 einer mangelhaften der drei betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 bereitgehalten werden.
Im Fehlerfall F wird zunächst eine kurze Übergabezeit vorgesehen 116. Während dieser Übergabezeit 116 wird der Speicherinhalt der vierten Datenverarbeitungsvorrichtung 24 vollständig mit Speicherinhalten mangelfreier Datenverarbeitungsvorrichtungen der drei betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 synchronisiert 114. Des Weiteren wird das System 10 während dieser Übergabezeit 116 mittels zweier mangelfreier Datenverarbeitungsvorrichtungen der drei betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 in einer redundanten zwei-von-zwei-Konfiguration gesteuert 106. In dieser redundanten Konfiguration kann zwar mithilfe eines Abgleichs der jeweils mittels der zwei übrigen Datenverarbeitungsvorrichtungen 18, 20, 22 bestimmten Parameter 102 ein Fehlerfall F erkannt werden. Jedoch kann in diesem Falle nicht weiter auf Basis eines Mehrheitsentscheids eine Fehlerkorrektur vorgenommen werden. Sollte daher während der genannten Übergabezeit 116 ein weiterer Fehler auftreten, so würde dies eine Unterbrechung des Betriebs des Systems 10 bedeuten. Allerdings ist eine solche Fehlerhäufung innerhalb kurzer Zeit unwahrscheinlich. Überdies wird die Übergabezeit 116 mithilfe des passiven Betriebszustands 110 bereits klein gehalten, da auf diese Weise ein überwiegender Teil der Speicherinhalte der betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 mit dem Speicherinhalt der vierten Datenverarbeitungsvorrichtung 24 synchronisiert wird 114. Sobald die Speicherinhalte der vierten Datenverarbeitungsvorrichtung 24 vollständig mit den Speicherinhalten mangelfreier Datenverarbeitungsvorrichtungen der drei betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 synchronisiert ist 114, werden mittels der vierten Datenverarbeitungsvorrichtung 24 die Steueraufgaben der mangelhaften der drei betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 übernommen 108. Bevorzugterweise werden daraufhin mittels der vierten Datenverarbeitungsvorrichtung 24 Parameter zur Steuerung des Systems 10 bestimmt 102. Diese mittels der vierten Datenverarbeitungsvorrichtung 24 bestimmten 102 Parameter werden sodann in den Vergleich zur Ermittlung 104 übereinstimmender Parameter mit einbezogen. Anhand einer mangelhaften der drei betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 bestimmte 102 Parameter bleiben dahingehend bei dem genannten Vergleich unberücksichtigt. Dadurch kann das System 10 trotz einer mangelhaften Datenverarbeitungsvorrichtung weiterhin in einer zwei- von-drei-Konfiguration im Sinne der IEC 61508 gesteuert werden 106. Dies ermöglicht es weiterhin, eine hohe Fehlertoleranz bereitzustellen, bei der ein weiterer Fehler sowohl erkannt als auch mithilfe des Mehrheitsentscheids entweder korrigiert oder toleriert wird.
In einer bevorzugten Ausführungsvariante des vorliegend beschriebenen Beispiels des Verfahrens 100a wird eine mangelhafte Datenverarbeitungsvorrichtung sowie ein zugehöriges mangelhaftes Ein-Chip-System der zwei Ein-Chip-Systeme 12, 14 identifiziert 120. Hierzu wird ermittelt, durch welche der drei betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 der von den übrigen zwei Parametern abweichende Parameter bestimmt wurde 102. Die betroffene der drei betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 wird als mangelhafte Datenverarbeitungsvorrichtung identifiziert 120. In diesem Zuge wird ein Ein-Chip- System der zwei Ein-Chip-Systeme 12, 14, welches die mangelhafte Datenverarbeitungsvorrichtung aufweist, ebenfalls als mangelhaft identifiziert 120. Daraufhin ist vorgesehen, dass das mangelhafte Ein-Chip-System der zwei Ein-Chip-Systeme 12, 14 durch ein mangelfreies Ein-Chip-System ersetzt wird 118. Während eines Ersetzens 118 des mangelhaften Ein-Chip-Systems wird in einer bevorzugten Ausführungsform die Steuerung des Systems 10 allein anhand der zwei übrigen mangelfreien Datenverarbeitungsvorrichtungen des mangelfreien Ein-Chip-Systems der zwei Ein-Chip-Systeme 12, 14 realisiert. Daher wird während des Ersetzens 118 des mangelhaften Ein-Chip-Systems das System 10 wie zuvor im Zusammenhang mit der Übergabezeit 116 beschriebenen redundanten zwei-von-zwei- Konfiguration betrieben. Sobald das mangelhafte Ein-Chip-System durch das mangelfreie Ein- Chip-System ersetzt ist 118, kann eine der auf dem mangelfreien Ein-Chip-System integrierten zwei Datenverarbeitungsvorrichtungen in die Steuerung des Systems 10 eingegliedert werden. Beispielhaft kann dies dadurch realisiert werden, dass Speicherinhalte synchronisiert werden 114. Sobald diese Speicherinhalte vollständig mit den mangelfreien und betriebsführenden Datenverarbeitungsvorrichtungen des betriebsführenden mangelfreien Ein-Chip-Systems synchronisiert sind 114, werden mittels dieser Datenverarbeitungsvorrichtung Steueraufgaben übernommen 108. Vorzugsweise wird ferner die zweite integrierte Datenverarbeitungsvorrichtung des neu hinzugetretenen mangelfreien Ein-Chip-Systems in den zuvor beschriebenen passiven Standby-Betriebszustand 110 versetzt.
FIG 2 illustriert ein zweites Beispiel eines Verfahrens 100b zur Steuerung des zuvor genannten Systems 10 anhand eines schematischen Ablaufdiagramms.
Im Unterschied zu dem im Zusammenhang mit FIG 1 beschriebenen Beispiel des Verfahrens 100a wird im vorliegend beschriebenen zweiten Beispiel des Verfahrens 100b die vierte Datenverarbeitungsvorrichtung 24 in einem aktiven Standby-Betriebszustand betrieben 112. In dem aktiven Standby-Betriebszustand 112 werden nebenläufig mittels der vierten Datenverarbeitungsvorrichtung 24 dieselben Steueraufgaben ausgeführt, wie diese durch die drei betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 ausgeführt werden. Allerdings bleiben die mittels der vierten Datenverarbeitungsvorrichtung 24 bestimmten 102 Parameter bei dem Vergleich zum Zwecke der Ermittlung 104 übereinstimmender Parameter unberücksichtigt. Dadurch kann auf einfache Weise ein problematischer Paritätszustand bei der Ermittlung eines Mehrheitsentscheids vermieden werden. Der aktive Standby-Betriebszustand 112 ermöglicht es, unmittelbar nach einem Erkennen eines Fehlerfalls F die vierte Datenverarbeitungsvorrichtung 24 in die Steuerung des Systems 10 einzubinden. Mithilfe des aktiven Standby-Betriebszustands 112 ist die vierte Datenverarbeitungsvorrichtung 24 in der Lage, Steueraufgaben 108 einer mangelhaften Datenverarbeitungsvorrichtung unmittelbar nach einer Erkennung eines mangelhaften Zustands zu übernehmen 108. Auf eine Übergabezeit, wie diese im Zusammenhang mit dem passiven Standby-Betriebszustand 110 beispielhaft vorgesehen ist, kann dadurch aufwandsgünstig verzichtet werden. Daher ist mithilfe des aktiven Standby-Betriebszustands 112 eine unterbrechungsfreie Steuerung des Systems 10 auf eine besondere zuverlässige Weise realisierbar.
FIG 3 zeigt ein Ausführungsbeispiel einer Steuervorrichtung 26 in einer schematischen Darstellung. Die Steuervorrichtung 26 ist beispielhaft Teil des nicht näher dargestellten fehlertoleranten Systems 10. Des Weiteren illustriert FIG 3 beispielhaft, dass mittels des Ausführungsbeispiels der Steuervorrichtung 26 das fehlertolerante System 10 gesteuert wird 106.
Das Ausführungsbeispiel der Steuervorrichtung 26 weist zur Steuerung des Systems 10 zwei Ein-Chip-Systeme 12, 14 auf. Jedes der Ein-Chip-Systeme 12, 14 weist wiederum jeweils zwei integrierte Datenverarbeitungsvorrichtungen 18, 20, 22, 24 auf. Die Steuerung des fehlertoleranten Systems 10 wird dadurch anhand zweier austauschbarer Halbleiterbaugruppen mit einer hohen Ausfallsicherheit realisiert. Insbesondere kann anhand der zwei Ein-Chip- Systeme 12, 14 aufwandsgünstig eine zwei-von-drei-Konfiguration zur Steuerung des Systems 10 mit lediglich zwei austauschbaren Halbleiterbaugruppen realisiert werden.
In einer bevorzugten Ausführungsform der Steuervorrichtung 26 weist jedes der zwei Ein-Chip- Systeme 12, 14 jeweils zwei als unabhängige integrierte Schaltkreise ausgeführte Datenverarbeitungsvorrichtungen 18, 20, 22, 24 auf. Ein erstes Ein-Chip-System 12 der zwei Ein-Chip-Systeme 12, 14 weist beispielhaft zwei als integrierte Schaltkreise ausgeführte Datenverarbeitungsvorrichtungen 18, 20 auf. Des Weiteren weist ein zweites Ein-Chip-System 14 der zwei Ein-Chip-Systeme 12, 14 exemplarisch zwei weitere als integrierte Schaltkreise ausgeführte Datenverarbeitungsvorrichtungen 22, 24 auf. Wird ein Mangel an einer der Datenverarbeitungsvorrichtungen 18, 20, 22, 24 festgestellt, so können aufgrund einer unabhängigen und separaten Ausführung der integrierten Schaltkreise auf dem jeweiligen Ein- Chip-System 12, 14 Auswirkungen auf eine Funktion übriger Datenverarbeitungsvorrichtungen 18, 20, 22, 24 vermieden werden. Eine Verteilung von betriebsführenden Datenverarbeitungsvorrichtungen 18, 20, 22 auf den zwei Ein-Chip-Systemen 12, 14, welche dazu eingerichtet sind, das System 10 zu steuern 106, kann beliebig gewählt werden.
Obwohl die Erfindung im Detail durch die bevorzugten Ausführungsbeispiele und deren Variationen näher illustriert und beschrieben wurde, ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.
Unabhängig vom grammatikalischen Geschlecht eines bestimmten Begriffes sind Personen mit männlicher, weiblicher oder anderer Geschlechteridentität mit umfasst.

Claims

Patentansprüche
1. Verfahren (100a, 100b) zur Steuerung eines fehlertoleranten Systems (10), bei welchem
- mittels drei auf zwei Ein-Chip-Systeme (12, 14) verteilte Datenverarbeitungsvorrichtungen (18, 20, 22) jeweils Parameter zur Steuerung des Systems (10) bestimmt werden (102);
- auf Basis eines Vergleichs der jeweils bestimmten (102) Parameter übereinstimmende Parameter ermittelt werden (104);
- das System (10) auf Basis der übereinstimmenden Parameter gesteuert wird (106).
2. Verfahren (100a, 100b) nach Anspruch 1, bei welchem eine vierte Datenverarbeitungsvorrichtung (24) vorgesehen wird, welche auf einem der zwei Ein-Chip-Systeme (12, 14) angeordnet ist und mittels welcher im Fehlerfall (F) einer der drei genannten betriebsführenden Datenverarbeitungsvorrichtungen (18, 20, 22) eine Steueraufgabe der mangelhaften der drei betriebsführenden Datenverarbeitungsvorrichtungen (18, 20, 22) übernommen wird (108).
3. Verfahren (100a, 100b) nach Anspruch 1 oder 2, bei welchem die vierte auf einem der zwei Ein-Chip-Systeme (12, 14) angeordnete Datenverarbeitungsvorrichtung (24) in einem Standby- Betriebszustand betrieben wird (110, 112).
4. Verfahren (100a) nach Anspruch 3, bei welchem die vierte Datenverarbeitungsvorrichtung (24) in einem passiven Standby- Betriebszustand betrieben wird (110).
5. Verfahren (100a) nach Anspruch 4, bei welchem ein Speicherinhalt der vierten Datenverarbeitungsvorrichtung (24) in dem passiven Standby-Betriebszustand (110) mit wenigstens einem Teil der Speicherinhalte der drei betriebsführenden Datenverarbeitungsvorrichtungen (18, 20, 22) synchronisiert wird (114).
6. Verfahren (100a) nach Anspruch 4 oder 5, bei welchem im Fehlerfall (F) für die im passiven Standby-Betriebszustand (110) betriebene vierte Datenverarbeitungsvorrichtung (24) eine Übergabezeit vorgesehen wird (116), während welcher der Speicherinhalt der vierten Datenverarbeitungsvorrichtung (24) mit Speicherinhalten mangelfreier Datenverarbeitungsvorrichtungen der drei betriebsführenden Datenverarbeitungsvorrichtungen (18, 20, 22) vollständig synchronisiert wird (114).
7. Verfahren (100b) nach Anspruch 3, bei welchem die vierte Datenverarbeitungsvorrichtung (24) in einem aktiven Standby- Betriebszustand betrieben wird (112).
8. Verfahren (100a, 100b) nach einem der vorhergehenden Ansprüche, bei welchem im Fehlerfall (F) einer der drei betriebsführenden Datenverarbeitungsvorrichtungen (18, 20, 22) ein die mangelhafte Datenverarbeitungsvorrichtung aufweisendes Ein-Chip-System der zwei Ein-Chip-Systeme (12, 14) während eines Betriebs des Systems (10) durch ein mangelfreies Ein-Chip-System ersetzt wird (118).
9. Verfahren (100a, 100b) nach Anspruch 8, bei welchem, während das mangelhafte Ein-Chip-System durch das mangelfreie Ein-Chip- System ersetzt wird (118), die Steuerung des Systems (10) allein mittels zwei Datenverarbeitungsvorrichtungen des übrigen Ein-Chip-Systems der zwei Ein-Chip-Systeme (12, 14) realisiert wird.
10. Verfahren (100a, 100b) nach einem der vorhergehenden Ansprüche, bei welchem eine mangelhafte der drei betriebsführenden Datenverarbeitungsvorrichtungen (18, 20, 22) dadurch identifiziert wird (120), dass sich der mittels der mangelhaften der drei betriebsführenden Datenverarbeitungsvorrichtungen (18, 20, 22) bestimmte (102) Parameter von mittels zwei übriger der drei betriebsführenden Datenverarbeitungsvorrichtungen (18, 20, 22) bestimmte (102) Parameter unterscheidet.
11. Verfahren (100a, 100b) nach einem der vorhergehenden Ansprüche, bei welchem mittels der drei auf den zwei Ein-Chip-Systemen (12, 14) verteilten Datenverarbeitungsvorrichtungen (18, 20, 22) die Parameter zur Steuerung des Systems (10) jeweils nebenläufig bestimmt werden (102).
12. Steuervorrichtung (26), welche dazu eingerichtet ist, das Verfahren (100a, 100b) nach einem der vorhergehenden Ansprüche durchzuführen, aufweisend zwei Ein-Chip-Systeme (12, 14), welche jeweils zwei Datenverarbeitungsvorrichtungen (18, 20, 22, 24) aufweisen.
13. Steuervorrichtung (26) nach Anspruch 12, dadurch gekennzeichnet, dass jedes der zwei Ein-Chip-Systeme (12, 14) zwei als integrierte Schaltkreise ausgebildete Datenverarbeitungsvorrichtungen (18, 20, 22, 24) aufweist, welche unabhängig voneinander ausgeführt sind.
14. Computerprogramm, welches bei dessen Ausführung die Steuervorrichtung (26) gemäß Anspruch 12 oder 13 dazu veranlasst, das Verfahren (100a, 100b) nach einem der Ansprüche 1 bis 11 durchzuführen.
15. Computerlesbares Medium, aufweisend Instruktionen, welche die Steuervorrichtung (26) gemäß Anspruch 12 oder 13 dazu veranlassen, das Verfahren (100a, 100b) nach einem der Ansprüche 1 bis 11 durchzuführen.
PCT/EP2025/068055 2024-07-30 2025-06-26 Steuerung eines fehlertoleranten systems mit zwei halbleiterbaugruppen Pending WO2026027140A1 (de)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
DE102024207155 2024-07-30
DE102024207155.2 2024-07-30
DE102024209152.9A DE102024209152A1 (de) 2024-07-30 2024-09-24 Steuerung eines fehlertoleranten Systems mit zwei Halbleiterbaugruppen
DE102024209152.9 2024-09-24

Publications (1)

Publication Number Publication Date
WO2026027140A1 true WO2026027140A1 (de) 2026-02-05

Family

ID=96397224

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2025/068055 Pending WO2026027140A1 (de) 2024-07-30 2025-06-26 Steuerung eines fehlertoleranten systems mit zwei halbleiterbaugruppen

Country Status (1)

Country Link
WO (1) WO2026027140A1 (de)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020152420A1 (en) * 2001-04-13 2002-10-17 Shailender Chaudhry Providing fault-tolerance by comparing addresses and data from redundant processors running in lock-step
US20210089376A1 (en) * 2019-09-20 2021-03-25 Hewlett Packard Enterprise Development Lp Data availability in a constrained deployment of a high-availability system in the presence of pending faults

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020152420A1 (en) * 2001-04-13 2002-10-17 Shailender Chaudhry Providing fault-tolerance by comparing addresses and data from redundant processors running in lock-step
US20210089376A1 (en) * 2019-09-20 2021-03-25 Hewlett Packard Enterprise Development Lp Data availability in a constrained deployment of a high-availability system in the presence of pending faults

Similar Documents

Publication Publication Date Title
EP2550599B1 (de) Kontrollrechnersystem, verfahren zur steuerung eines kontrollrechnersystems, sowie verwendung eines kontrollrechnersystems
EP3246771B1 (de) Verfahren zum betreiben eines redundanten automatisierungssystems
DE19927635B4 (de) Sicherheitsbezogenes Automatisierungsbussystem
DE3751230T2 (de) Selbstgleichsetzung in redundanten Kanälen.
DE3751231T2 (de) Symmetriebildung für redundante Kanäle.
DE102017210156B4 (de) Vorrichtung und Verfahren zum Ansteuern eines Fahrzeugmoduls
EP2550598A1 (de) Redundante zwei-prozessor-steuerung und steuerungsverfahren
DE10255872A1 (de) Speichermodul und Verfahren zum Betrieb eines Speichermoduls in einem Datenspeichersystem
DE69231452T2 (de) Fehlertolerantes Rechnersystem mit Verarbeitungseinheiten die je mindestens drei Rechnereinheiten haben
EP1358554B1 (de) Automatische inbetriebnahme eines clustersystems nach einem heilbaren fehler
DE2317576A1 (de) Einrichtung zur ausfallbedingten umordnung von speichermoduln in einer datenverarbeitungsanlage
EP2097980B1 (de) Integrierte schaltung mit strahlungsschutz
WO2005106603A1 (de) Redundantes automatisierungssystem umfassend ein master- und ein stand-by-automatisierungsgerät
DE102024209152A1 (de) Steuerung eines fehlertoleranten Systems mit zwei Halbleiterbaugruppen
DE10302456A1 (de) Vorrichtung für sicherheitskritische Anwendungen und sichere Elektronik-Architektur
DE102010041437B4 (de) Überprüfung von Funktionen eines Steuersystems mit Komponenten
EP3800517B1 (de) Verfahren zur erstellung eines redundanten automatisierungssystems, computerprogramm und computerlesbares medium
EP1262872B1 (de) Master-CPU und Reserve-CPU Synchronisationsschnittstelle
DE102017203222A1 (de) Umschaltung zwischen Element-Controllern im Bahnbetrieb
DE102018203887B4 (de) Steuergerät für ein Mehrspannungsbordnetz eines Fahrzeugs und Mehrspannungsbordnetz
EP2161839B1 (de) Flugfunkgerät und Verfahren mit dynamisch rekonfigurierbarer Redundanz
DE102020204095A1 (de) Verfahren und System zur Datenverwaltung in einem Transportmittel
EP3229141A1 (de) Verfahren zur erhöhung der verfügbarkeit eines redundanten automatisierungssystems sowie redundantes automatisierungssystem
EP1484681A2 (de) Rechnersystem mit einem Mastersystem, einem Slavesystem, und einer Datensychronisierungseinrichtung
EP4517531A1 (de) Verfahren zum durchführen eines technischen prozesses im regelbetrieb und reparaturbetrieb

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 25739473

Country of ref document: EP

Kind code of ref document: A1