[发明专利]用于评估对安全性至关重要的传感器变量的计算机系统

说明书

技术领域

本发明涉及一种根据权利要求1或2前序部分的用于评估对安全性至关重要的传感器变量的计算机系统。

背景技术

IEC 61508是用于完成电气、电子和可编程的电子系统的国际标准，该标准实现安全功能。该标准由国际电子技术委员会(IEC)发布。IEC 61508针对安全完整性等级3规定了确定的硬件技术最小值，例如针对FIT(计次失效率，failure in time)和SFF(安全失效分数，safe failurefraction)，这些硬件技术最小值通常仅能通过附加的软件技术措施来实现。尤其是用于对发生CPU计算错误进行防护的验证是安全完整性的总验证的重要部分。

迄今，为了对发生计算错误进行防护而应用两个不同的微控制芯片或在一个芯片上的至少两个并行运行的计算路径(Rechenpfade)。有时也使用反向运行的计算路径，例如在德国公开文献DE 4219457A1中所述。双芯片解决方案在批量生产中造价昂贵，而通过迄今在单芯片上的解决方案，功能安全性只会受到限制或者要借助于附加的硬件来验证功能安全性，这是因为在内部错误的情况下，CPU在并行运行的或反向运行的计算路径中均以同样的方式错误地计算。因此，CUP错误可能会保持未被发现。缺少对如下问题的简单验证，即：CPU没有在两种计算路径中同样错误地进行计算，并且不存在两个相同的但却错误的结果来用于对所述结果的比较，或者在反向计算路径的情况下，CPU由于错误例如略过两个计算路径并且直接对两个输入变量进行比较。

发明内容

本发明的目的在于，完成一种用于评估对安全性至关重要的传感器变量的计算机系统，该计算机系统以可验证的方式实现CPU的超高安全完整性，而可以不用指派单独的、高成本的CPU检测。

依据本发明，该任务分别通过权利要求1和权利要求2所表明的特征得以解决。

依据本发明设置，至少两个传感器从属于计算机系统，这两个传感器在待获取的系统状态下输出在质上或者至少在量上不同的传感器变量。假设：两个传感器的输出变量之间存在已知的函数关联。

在计算机的输入端上输入第一传感器的传感器变量，该计算机由该传感器变量计算出输出变量，该输出变量可供用于实践中有用的目的，例如用作针对调节环节的控制变量。在下一步中，由该输出变量计算出比较变量，该比较变量与第二传感器的预期的传感器变量相对应。该比较变量由计算机给到外部比较器上，该比较器将比较变量与第二传感器的对计算机来说完全未知的、实际的传感器变量作比较看是否一致。在此，为正的比较结果表明CPU的安全完整性是好的并且表明输出变量和比较变量的计算运行正确。同时，维持由现有技术公知的关于所参与的传感器功能正确的验证，该验证原则上由比较器提供。

以本发明为基础的思路因此在于，使用在质上或者还有仅在量上不同的传感器，这些传感器提供不同的测量变量或至少不同的值并且因此在处理期间，不依赖于所应用的算法(并行(parallel)/求反(invertieren)/求逆(invers)/求补/倒退推算(zurückrechnen))，在任何时候始终负责不同的数据水平(Datenniveaus)。

CPU不能以其他方式(例如通过对第一传感器变量进行复制)来提供比较变量，除了通过正确运行的计算结果。对于验证CPU安全完整性，现在意义重大的是比较变量与第二传感器变量的比较。被比较的(必要时在对可能的偏差例如传感器不精确度进行补偿的公差带内)是比较变量和附加独立数据源的、对计算机来说迄今未知的值。该值通过第二传感器给出。

因为第二传感器变量只是未经加工地、即未经CPU利用地并且绝对未经处理地存在，所以在该位置上所进行的比较提供仅依赖于计算机系统(芯片(Chip))CPU完整性的结果。在这里假设两个传感器的无错性或者其自身CPU的无错性，该无错性可以仅通过独立的措施得到确保和验证。

附图说明

本发明的具有优点的构造形式和改进方案由从属权利要求和下列结合附图对实施例的说明得知。其中：

图1和2示出依据本发明的计算机系统的各一个实施例，

图3和4示出计算机系统的各一个实施例，根据现有技术，

图5示出针对计算机系统的应用实例。

具体实施方式

图3示出根据现有技术的计算机系统。在这里示出的是，在德国公开文献DE 4219457A1的图3中所说明的计算机系统的超简化示意图。在此仅示出用于阐述产生本发明而带来的问题所必需的部件。