Patent DE-102015119611-B4 (DE)
Title: Verbesserung der Diagnostizierbarkeit von Fail-operational Systemen
Inventor: STEINDL MICHAEL
IPC: G06F11/20
Filed: 2015-11-13
Granted: 2019-09-12
Abstract: Vorrichtung zur Ansteuerung von redundanten Aktuatoren, umfassend einen Hauptrechner (1), mittels welchem mindestens ein erster Aktuator (2) ansteuerbar ist, mindestens einen Überwachungsrechner (3), welcher mit dem Hauptrechner (1) und/oder dem ersten Aktuator (2) zumindest signaltechnisch verbindbar ist und mittels welchem in Verbindung mit einem übergeordneten aktivierbaren Steuergerät (4) mindestens ein redundanter zweiter Aktuator (5) ansteuerbar ist, dadurch gekennzeichnet, dass wenn das Steuergerät (4) aktiviert und durch den Überwachungsrechner (3) eine Fehlfunktion des Hauptrechners (1) und/oder des ersten Aktuators (2) feststellbar ist, der zweite Aktuator (5) aktivierbar ist, wobei der zweite Aktuator (5) hierbei ein Element ist, das redundant zu dem ersten Aktuator angeordnet ist und nur dann aktiviert wird, wenn das System aktiv ist und der Überwachungsrechner eine Fehlfunktion feststellt und wobei der zweite Aktuator also in diesem Fall die Funktion des ersten Aktuators übernimmt, da dieser aufgrund einer Fehlfunktion des Hauptrechners und/oder des ersten Aktuators selbst nicht funktionsfähig ist, wobei das Steuergerät (4) und der Überwachungsrechner (3) zumindest signaltechnisch mit einer Verarbeitungseinheit (6) verbindbar sind und jeweils mindestens ein vorbestimmbarer Signalwert (7) an die Verarbeitungseinheit (6) übermittelbar ist, wobei durch die Verarbeitungseinheit der zweiten Aktuator (5) aktivierbar ist, wenn durch das Steuergerät (4) ein vorbestimmbarer erster Signalwert (12) und durch den Überwachungsrechner (3) ein vorbestimmbarer zweiter Signalwert (13) übermittelbar ist, wobei die Verarbeitungseinheit (6) eine Rechnereinheit umfasst, die als CPU oder GPU ausgebildet ist, wobei durch die Aktivierung des zweiten Aktuators (5) ein entsprechendes Aktivierungssignal (8) durch die Verarbeitungseinheit (6) erzeugbar ist, wobei das Aktivierungssignal (8) mittels einer Speichereinrichtung (9) abspeicherbar ist, und wobei das Aktivierungssignal (8) über mindestens einen Aktivierungszyklus des Steuergeräts hinaus in der Speichereinrichtung (9) abspeicherbar ist, wobei das abgespeicherte Aktivierungssignal (8) in der Speichereinrichtung (9) durch ein durch den Hauptrechner (1) an die Verarbeitungseinheit (6) übermittelbares Rücksetzsignal (10) zurücksetzbar ist, und wobei die Zurücksetzung der Speichereinrichtung (9) durchführbar ist, wenn keine Fehlfunktion des Hauptrechners (1) und/oder des ersten Aktuators (2) durch den Überwachungsrechner (3) feststellbar ist, und wobei die Signale des Hauptrechners und/oder des ersten Aktuators mit den Signalen des Überwachungsrechners miteinander gekoppelt sind, wobei für den Fall, dass die Verarbeitungseinheit das Rücksetzsignal von dem Hauptrechner empfängt, die Verarbeitungseinheit das Signal des Überwachungsrechners an die Verarbeitungseinheit überprüft, wobei wobei wenn das Signal „Fehlfunktion festgestellt“ übermittelt wird keine Rücksetzung des Speichers durchführbar ist, ist jedoch das Signal „keine Fehlfunktion“ übermittelt worden, so wird eine Rücksetzung des Speichers erlaubt, wobei bei einer Fehlerheilung, also einer Rücksetzung der Speichereinrichtung, der redundante Aktuator wieder deaktiviert ist und das System wieder in den Normalbetrieb zurückgesetzt ist.