КОНТРОЛЬНО-ВЫЧИСЛИТЕЛЬНАЯ СИСТЕМА, СПОСОБ УПРАВЛЕНИЯ КОНТРОЛЬНО-ВЫЧИСЛИТЕЛЬНОЙ СИСТЕМОЙ, А ТАКЖЕ ПРИМЕНЕНИЕ КОНТРОЛЬНО-ВЫЧИСЛИТЕЛЬНОЙ СИСТЕМЫ

1. Контрольно-вычислительная система, содержащая:
- пор меньшей мере, два модуля (1, 2, 1001, 1002, 1003, 1004, 1021, 1071), которые являются резервными по отношению друг к другу;
- по меньшей мере, один блок сравнения (20, 21, 91, 92, 1011, 1012) для проверки состояния синхронизации, по меньшей мере, двух резервных модулей (1, 2, 1001, 1002, 1003, 1004, 1021, 1071) и для обнаружения ошибки синхронизации;
- по меньшей мере, один периферийный блок (95, 96, 1022, 1030, 1031, …, 1038);
- по меньшей мере, одну переключающую матрицу (21, 1013, 1063), которая настроена на разрешение или блокирование доступа, по меньшей мере, к двум резервным модулям или доступа, по меньшей мере, двух резервных модулей к периферийному блоку (95, 96, 1022, 1030, 1031, …, 1038);
- предпочтительно общий блок обнаружения и устранения ошибок (44, 1080), который настроен на прием сигналов, по меньшей мере, одного блока сравнения (20, 21, 91, 92, 1011, 1012) и управление, по меньшей мере, одной переключающей матрицей (1013, 1063), для полного или выборочного воспрепятствования доступу, по меньшей мере, к двум резервным модулям или доступу, по меньшей мере, двух резервных модулей к периферийному блоку.
2. Контрольно-вычислительная система по п.1, причем:
- по меньшей мере, два резервных модуля являются, по меньшей мере, двумя процессорными блоками (1, 2, 1001, 1002, 1003, 1004) для синхронного выполнения программы управления;
- блок сравнения (20, 21, 91, 92, 1011,1012) служит для проверки синхронизации процессорных блоков (1, 2, 1001, 1002, 1003, 1004) и для обнаружения ошибки синхронизации процессорных блоков;
- контрольно-вычислительная система содержит, по меньшей мере, одну память (5, 1020, 1021);
- по меньшей мере, одна переключающая матрица (21, 1013, 1063) настроена на разрешение или блокирование доступа процессорных блоков к памяти и к одному или нескольким периферийным блокам;
- блок обнаружения и устранения ошибок (44, 1080) настроен на полное или выборочное воспрепятствование доступа одного из двух процессорных блоков или обоих процессорных блоков (1, 2, 1001, 1002, 1003, 1004) к памяти (5, 1020, 1021) и/или периферийным блокам (95, 96. 1022, 1030, 1031, …, 1038).
3. Контрольно-вычислительная система по п.2, содержащая, по меньшей мере, четыре процессорных блока.
4. Контрольно-вычислительная система по п.2, причем процессорные блоки могут быть отдельными процессорами, парами процессоров или ядрами двухъядерных или многоядерных процессоров.
5. Контрольно-вычислительная система по п.4, содержащая, по меньшей мере, два блока сравнения (1011, 1012), причем блок обнаружения и устранения ошибок (1080) настроен на прием сигналов, по меньшей мере, двух блоков сравнения (1011, 1012) и управление, по меньшей мере, одной переключающей матрицей (1013, 1061) для полного или выборочного воспрепятствования доступа процессора или ядра или пары процессоров к памяти (1020, 1021) и/или периферийным блокам (1022, 1030, 1031, …, 1038).
6. Контрольно-вычислительная система по п.2, причем блок обнаружения и устранения ошибок настроен на такое управление переключающей матрицей при возникновении ошибки, чтобы препятствовать доступу, по меньшей мере, одной процессорной пары, содержащей ошибку, или одного процессорного блока, содержащего ошибку, к периферийным блокам (1022, 1030, 1031, …, 1038), в частности к исполнительным элементам.
7. Контрольно-вычислительная система по п.2, причем каждый доступ к периферийным блокам (1030, 1031, …, 1038) осуществляется, по меньшей мере, через один периферийный шлюз (1022), которым управляет блок обнаружения и устранения ошибок (1080).
8. Контрольно-вычислительная система по п.5, причем, по меньшей мере, два блока сравнения (1011, 1012) напрямую связаны с процессорными блоками (1, 2, 1001, 1002, 1003, 1004), например, с процессорами процессорной пары.
9. Контрольно-вычислительная система по п.1, причем контрольно-вычислительная система содержит, по меньшей мере, две раздельные переключающие матрицы (1013, 1063), причем первая переключающая матрица (1013) связана с первым периферийным шлюзом (1022) и, по меньшей мере, одной первой памятью (1021), тогда как вторая переключающая матрица (1063) связана со вторым периферийным шлюзом (1072) и, по меньшей мере, одной второй памятью (1071).
10. Контрольно-вычислительная система по п.9, причем первый процессор (1001, 1003) процессорной пары связан с первой переключающей матрицей (1013), а второй процессор (1002, 1004) процессорной пары связан со второй переключающей матрицей (1063).
11. Контрольно-вычислительная система по п.9, причем данные блока сравнения (1091), проходящие между первой переключающей матрицей (1013) и первой памятью (1021), сравнивают с данными, проходящими между второй переключающей матрицей (1063) и второй памятью (1071), и данные блока сравнения (1090), проходящие между первой переключающей матрицей (101) и первым периферийным шлюзом (1022), сравнивают с данными, проходящими между второй переключающей матрицей (1063) и вторым периферийным шлюзом (1072).
12. Контрольно-вычислительная система по п.10, причем между процессорами (1001, 1002, 1003, 1004) процессорной пары и переключающими матрицами (1013, 1063) каждый раз установлен умножитель (1171, 1172, 1173, 1174), причем умножители подключены таким образом, что первый процессор (1001, 1003) процессорной пары может иметь доступ ко второй переключающей матрице (1063), а второй процессор (1002, 1004) процессорной пары может иметь доступ к первой переключающей матрице (1013), как только блок восстановления (1080) будет соответствующим образом управлять умножителями (1171, 1172, 1173, 1174).
13. Контрольно-вычислительная система по п.1, причем, по меньшей мере, одна переключающая матрица (1013, 1063) содержит блок проверки (1014, 1064), настроенный на то, чтобы блокировать доступы к памяти или периферийным блокам или протоколировать доступы во внешней или внутренней памяти, предпочтительно энергонезависимой памяти.
14. Контрольно-вычислительная система по п.2, причем блок обнаружения и устранения ошибок (1080) напрямую принимает сигналы, по меньшей мере, двух блоков сравнения (1011, 1012) без промежуточно подключенной переключающей матрицы (1013, 1063).
15. Контрольно-вычислительная система по п.1, причем контрольно-вычислительная система содержит первую и вторую энергозависимую, а также энергонезависимую память, причем, в частности, первая пара процессоров имеет доступ к первой энергозависимой памяти, а вторая пара процессоров имеет доступ ко второй энергозависимой памяти, и обе пары процессоров имеют доступ к энергонезависимой памяти.
16. Контрольно-вычислительная система по п.1, причем первый процессор (1001, 1003) процессорной пары напрямую связан, по меньшей мере, с одной переключающей матрицей (1013), т.е. может иметь доступ к памяти (1020, 1021) и/или периферийным блокам (1022, 1030, 1031, …, 1038) с возможностью считывания и записи данных, тогда как второй процессор (1002, 1004) процессорной пары может иметь доступ к данным только с возможностью их считывания, причем, в частности, блок сравнения (1011, 1012), связанный с обоими процессорами процессорной пары, передает данные во второй процессор (1002, 1004) объединенной процессорной пары.
17. Контрольно-вычислительная система по п.1, причем блок обнаружения и устранения ошибок (1080) представляет собой переустановочное контрольное устройство (44), настроенное на проверку выполнения, по меньшей мере, одной тестовой программы с помощью двух или нескольких процессорных блоков (1, 2, 1001, 1002, 1003, 1004) или двух резервных модулей после возникновения ошибки синхронизации и оценку результатов тестирования, и, кроме того, настроенное на создание конфигурации первого умножителя (70, 91) или переключающей матрицы (1013, 1063).
18. Контрольно-вычислительная система по п.17, причем переустановочное контрольное устройство (44) настроено на то, чтобы отнести ошибку синхронизации к определенному типу ошибок и на базе этого типа ошибки выбрать тестовую программу.
19. Контрольно-вычислительная система по п.17, причем переустановочное контрольное устройство (44) настроено на создание конфигурации первого умножителя (70, 91) на базе результатов тестирования.
20. Контрольно-вычислительная система по одному из пп.2-19, причем первый периферийный блок (72) является общим блоком, которым может управлять по выбору один из двух процессорных блоков (1, 2), а контрольно-вычислительная система содержит, по меньшей мере, два других периферийных блока (61, 63), причем один из двух периферийных блоков (61, 63) подчинен только первому процессору (1), а другой из двух периферийных блоков (61, 63) подчинен только второму процессору (2) в качестве частных периферийных блоков, к каждому из которых может иметь доступ только соответствующий ему процессор (1, 2).
21. Контрольно-вычислительная система по п.20, причем два других периферийных блока (61, 63) являются резервными блоками.
22. Способ управления контрольно-вычислительной системой, которая содержит, по меньшей мере, две пары процессоров (1001/1002 и 1003/1004), по меньшей мере, два блока сравнения (1011, 1012) для обнаружения ошибок, по меньшей мере, одну переключающую матрицу (1013, 1063), которая разрешает или блокирует доступы процессора или пары процессоров к памяти и/или, по меньшей мере, к периферийному блоку, и, по меньшей мере, один блок обнаружения и устранения ошибок (1080), который может управлять, по меньшей мере, одной переключающей матрицей (1013, 1063), причем процессорные пары могут выполнять при безошибочном режиме работы разные программы для подготовки функций, а при возникновении ошибки процессорная пара, не содержащая ошибку, берет на себя, по меньшей мере, некоторые функции процессорной пары, содержащей ошибку.
23. Способ по п.22, причем для надежности устройства, управляемого контрольно-вычислительной системой, выполняются критические функции, независимо от возникновения ошибки.
24. Способ по п.22, причем при возникновении ошибки некритические для безопасности функции, по меньшей мере, часть их, больше не подготавливаются.
25. Способ по п.22, причем при возникновении ошибки блокируются доступы процессора или процессорной пары, содержащего/содержащей ошибку, к периферийному блоку.
26. Способ по п.22, причем после возникновения ошибки процессорная пара выполняет диагностическую программу.
27. Способ по п.26, причем возникшую ошибку классифицируют, причем проводят различие, по меньшей мере, между случайными и постоянными/неоднократными ошибками.
28. Способ по п.27, причем после возникновения неоднократной ошибки процессорную пару, содержащую ошибку, на длительное время выводят из процесса.
29. Способ по п.27, причем обе пары процессоров могут снова выполнять различные программы, если процессорная пара, содержащая ошибку, выполнила диагностическую программу без распознавания устойчивой ошибки.
30. Способ по одному из пп.22-29, причем блок обнаружения и устранения ошибок протоколирует возникновение ошибок в энергонезависимой памяти.
31. Способ по п.30, причем пару процессоров на длительное время отключают, если число ошибок и/или частота повторяемости возникших ошибок превышает заданное пороговое значение.
32. Применение контрольно-вычислительной системы по одному из предшествующих пп.1-21 в автотранспортном средстве, в частности для управления и регулирования тормозной системы.
33. Способ управления контрольно-вычислительной системой, включающий:
- подготовку контролирующей системы, содержащей:
- по меньшей мере, две пары процессоров, в каждой из которых имеются, по меньшей мере, два процессора (1001 и 1002, 1003 и 1004),
- по меньшей мере, один блок сравнения (1011, 1012) для обнаружения ошибок и для проверки синхронизации процессоров (1001 и 1002, 1003 и 1004) каждой процессорной пары,
- по меньшей мере, одну переключающую матрицу (1013, 1063), которая по выбору разрешает или блокирует доступы процессоров процессорной пары к памяти и/или к одному периферийному блоку или нескольким периферийным блокам, и
- по меньшей мере, один блок обнаружения и устранения ошибок (1080) для управления переключающей матрицей (1013, 1063);
- синхронное выполнение, по меньшей мере, одной первой существенной для безопасности программы математического обеспечения в одной паре процессоров и синхронное выполнение, по меньшей мере, одной второй важной для безопасности программы математического обеспечения в другой паре процессоров для управления одним или несколькими периферийными блоками и/или памятью;
- проверку синхронизации процессоров (1001 и 1002, 1003 и 1004) каждой пары с помощью блока сравнения (1011, 1012) и подачи блоком сравнения (1011, 1021) сигнала об ошибке синхронизации, если оба процессора (1001 и 1002, 1003 и 1004) пары работают асинхронно;
и
- если был подан сигнал об ошибке синхронизации:
- прерывание выполнения первой существенной для безопасности программы математического обеспечения и второй существенной для безопасности программы математического обеспечения процессорными парами;
- проведение теста для проверки наличия ошибки в одной из двух процессорных пар и
- если один из двух пар процессоров содержит ошибку, выполнение первой существенной для безопасности программы математического обеспечения и второй существенной для безопасности программы математического обеспечения в свободной от ошибки паре процессоров и управление переключающей матрицей (1013, 1063) с помощью блока обнаружения и устранения ошибок (1080) для блокирования доступа процессорной пары, содержащей ошибку, или одного процессора, если только один из процессоров этой пары содержит ошибку, к памяти и/или к одному или нескольким периферийным блокам.
34. Способ по п.33, причем тест включает одновременное выполнение, по меньшей мере, одной тестовой программы обеими парами процессоров, причем один из процессоров пары рассматривают как неисправный (содержащий ошибку), если выполнено, по меньшей мере, одно из следующих условий:
- процессор не выполнил тестовую программу в течение первого интервала времени Т1,
- процессор не выполнил тестовую программу успешно,
- по истечение первого интервала времени Т1 процессор не перешел в состояние покоя для второго интервала времени Т2.
35. Способ по п.33 или 34, причем ошибку синхронизации оценивают и определяют ее тип, причем для проверки процессоров выбирают, по меньшей мере, одну тестовую программу в зависимости от типа ошибки.