Способ управления компонентом важной для обеспечения безопасности распределенной системы

Изобретение относится к технике обеспечения безопасности распределенной системы, прежде всего компонентом (Akt₁) системы типа "X-by-Wire", используемой в транспортном средстве. Управление компонентом (Akt₁) осуществляют с помощью относящегося к нему первого управляющего модуля (R₁) по меньшей мере с одной первой микропроцессорной системой (P₁). Для контроля за работоспособностью микропроцессорной системы (P₁) предусмотрен не зависимый от этой первой микропроцессорной системы (P₁) контрольный блок. В соответствии с изобретением важная для обеспечения безопасности система помимо первой микропроцессорной системы (P₁) имеет по меньшей мере еще одну микропроцессорную систему (Р_m), которая, например физической шиной (K₁) данных, соединена с первой микропроцессорной системой (P₁) для обмена с ней данными. Такие дополнительные микропроцессорные системы (Р_m) берут на себя выполнение функций контрольного блока. Тем самым отпадает необходимость предусматривать отдельный контрольный блок. Это позволяет упростить структуру распределенной системы с сохранением надежного срабатывания ее компонентов. 5 з.п. ф-лы, 4 ил.

 

Уровень техники

Настоящее изобретение относится к способу управления компонентом важной для обеспечения безопасности распределенной системы, прежде всего компонентом системы типа "X-by-Wire", используемой в транспортном средстве. При этом управление этим компонентом осуществляется с помощью относящегося к нему первого управляющего модуля по меньшей мере с одной первой микропроцессорной системой. Собственно управление таким компонентом заключается в том, что

а) с помощью первой микропроцессорной системы в зависимости по меньшей мере от одного входного сигнала формируют по меньшей мере один управляющий сигнал для этого компонента,

б) формируют по меньшей мере один логический управляющий сигнал, при этом такой по меньшей мере один логический управляющий сигнал по меньшей мере частично формируется не зависимым от первой микропроцессорной системы контрольным блоком в зависимости от указанного по меньшей мере одного входного сигнала,

в) этот по меньшей мере один управляющий сигнал сравнивают с указанным по меньшей мере одним логическим управляющим сигналом,

г) в зависимости от результата такого сравнения формируют по меньшей мере один разрешающий сигнал и

д) указанный по меньшей мере один управляющий сигнал или по меньшей мере один зависящий от него сигнал в том случае, если по меньшей мере один разрешающий сигнал соответствует заданному значению, передают в компонент.

Настоящее изобретение относится, кроме того, к компьютерной программе, ориентированной на ее выполнение первой микропроцессорной системой управляющего модуля. Такой управляющий модуль предназначен для управления компонентом важной для обеспечения безопасности распределенной системы, прежде всего компонентом системы типа "X-by-Wire", используемой в транспортном средстве.

Способ указанного в начале описания типа известен, например, из заявки DE 19826131 А1. В этой публикации описана важная для обеспечения безопасности распределенная система, которая представляет собой тормозную систему с электроприводом, устанавливаемую на транспортном средстве. При этом компонентами такой системы являются тормозные механизмы транспортного средства или, точнее говоря, исполнительные механизмы, управляющие этими тормозными механизмами. Подобная система является исключительно важной для обеспечения безопасности, поскольку ошибка в управлении ее компонентами, прежде всего ложное или ошибочное срабатывание тормозных механизмов, может привести к непредсказуемым самым тяжелым последствиям. По этой причине возможность ошибок в управлении компонентами этой системы должна быть с высокой степенью надежности исключена.

Основной характерной особенностью известной тормозной системы является наличие в ней связанного с педалью тормоза модуля для централизованной регистрации задаваемого водителем воздействия при нажатии на педаль тормоза, четыре управляющих торможением колеса модуля для индивидуального для каждого колеса управления тормозными приводами или исполнительными механизмами тормозных механизмов и модуль обработки для выполнения различных операций по вычислению параметров иных относящихся к тормозной системе функций более высокого уровня. Обмен данными между отдельными такими модулями может осуществляться по одной или нескольким системам связи или передачи данных. На приложенной к настоящему описанию фиг.2 в качестве примера показана внутренняя структура управляющего торможением колеса модуля с различными относящимися к нему логическими уровнями. При этом на логическом уровне L₁ выполняются по меньшей мере вычисления параметров управляющих и регулирующих функций, относящихся к колесным тормозным механизмам, тогда как к логическим уровням L₂-L₄ относятся различные функции, связанные с контролем за функционированием процессора и за работой функций, относящихся к уровню L₁.

Процесс управления тормозными механизмами, соответственно электродвигателями, обеспечивающими срабатывание тормозных колодок, состоит для каждого из управляющих торможением колеса модулей в выполнении следующих стадий:

а) формирование первой микропроцессорной системой R_1A в зависимости по меньшей мере от одного входного сигнала а_R2, а_R3, а_R4, a_V,ref, s_R2, s_R3, s_R4, Δs_V,ref, v_F, n₁, F_1i, s_1H по меньшей мере одного управляющего сигнала f₁ для тормозного механизма, при этом указанные входные сигналы поступают в микропроцессорную систему R_1A по системе связи K₁, например по шинной системе,

б) формирование по меньшей мере одного логического управляющего сигнала е_1H, при этом такой логический управляющий сигнал е_1H по меньшей мере частично формируется не зависимым от первой микропроцессорной системы R_1A контрольным блоком R_1B в зависимости от указанного по меньшей мере одного входного сигнала,

в) сравнение этого по меньшей мере одного управляющего сигнала f₁ по меньшей мере с одним логическим управляющим сигналом е_1H в силовом электронном устройстве LE_1K,

г) формирование по меньшей мере одного разрешающего сигнала (силовыми электронными устройствами LE) в зависимости от результата, полученного при сравнении управляющего сигнала f₁ и логического управляющего сигнала е_1H, и

д) подачу этого по меньшей мере одного управляющего сигнала f₁ или зависящего от него управляющего сигнала i_1K на тормозной механизм, соответственно на исполнительный механизм Akt₁, обеспечивающий срабатывание тормозных колодок, при условии, что указанный по меньшей мере один разрешающий сигнал соответствует некоторому заданному значению.

Контрольный блок R_1B предназначен прежде всего для обнаружения систематических ошибок (так называемых отказов общего характера). Примером подобного рода ошибок могут служить сбои или перебои в электропитании. В известной тормозной системе контрольный блок R_1B выполнен в виде самостоятельной микропроцессорной системы. В другом варианте, однако, этот контрольный блок R_1B может быть выполнен в виде аппаратного блока, не имеющего собственного процессора, но способного выполнять конкретные логические функции или, при наличии у него регистра, даже переключательные функции (функции комбинационной логики). В качестве примера подобных аппаратных блоков можно назвать специализированную интегральную схему (СИС), программируемую пользователем вентильную матрицу (ППВМ) или контрольную схему (так называемую "сторожевую" схему).

Недостаток известной из уровня техники системы состоит в том, что логический уровень L₄ всегда реализован в виде отдельного блока, и поэтому в важной для обеспечения безопасности распределенной системе, например в управляющих торможением колеса модулях тормозной системы с электроприводом, необходимо помимо всего прочего предусматривать по несколько таких блоков.

В основу настоящего изобретения была положена задача упростить структуру важной для обеспечения безопасности распределенной системы, одновременно повысив или по меньшей мере сохранив обеспечиваемую такой системой степень надежности срабатывания ее компонентов.

В отношении способа указанного в начале описания типа эта задача решается согласно изобретению за счет того, что важная для обеспечения безопасности система помимо первой микропроцессорной системы имеет по меньшей мере еще одну микропроцессорную систему, которая соединена с первой микропроцессорной системой для обмена с ней данными, при этом по меньшей мере одну из вышеуказанных стадий б)-г) осуществляют по меньшей мере в одной из этих дополнительных микропроцессорных систем.

Преимущества изобретения

Согласно изобретению, таким образом, предлагается отказаться от использования отдельного контрольного блока, передав выполнение его функций тем блокам и устройствам важной для обеспечения безопасности распределенной системы, которые в любом случае входят в ее состав. Подобные блоки и устройства должны, чтобы они могли по меньшей мере в ограниченном объеме самостоятельно производить необходимые вычисления, обладать собственной развитой логикой (встроенными вычислительными средствами). Такими блоками или устройствами системы, которые согласно изобретению могут взять на себя выполнение функций контрольного блока, являются прежде всего микропроцессоры одной или нескольких дополнительных микропроцессорных систем.

Микропроцессором первой микропроцессорной системы выполняется некоторый программный код, с помощью которого в зависимости от входных сигналов формируется управляющий сигнал для соответствующего компонента распределенной системы. Такой программный код выполняется, кроме того, по меньшей мере одной из дополнительных микропроцессорных систем с целью формирования логического управляющего сигнала для этого компонента распределенной системы в зависимости от этих же входных сигналов. В этом случае подобный программный код может выполняться в дополнительных микропроцессорных системах, например, их микропроцессорами или другими пригодными для этой цели блоками и устройствами (например, связными контроллерами), обладающими достаточно развитой для выполнения программного кода логикой. Входные сигналы поступают в эти дополнительные микропроцессорные системы, например, по шине данных, которой эти микропроцессорные системы соединены между собой для передачи между ними данных.

Сформированный первой микропроцессорной системой управляющий сигнал с целью проверить, является ли он ложным, соответственно ошибочным или нет, сравнивается с логическими управляющими сигналами. Если формируемые всеми микропроцессорными системами управляющие сигналы, соответственно логические управляющие сигналы соответствуют друг другу, то управляющий сигнал можно расценивать как корректный. Очевидно, что с увеличением количества дополнительных микропроцессорных систем, каждая из которых формирует соответствующие логические управляющие сигналы, надежность контроля за работоспособностью первой микропроцессорной системы повышается. При совместной работе нескольких микропроцессорных систем, взаимно контролирующих работоспособность друг друга, при определенных условиях появляется даже возможность идентифицировать, соответственно локализовать, дефектную микропроцессорную систему.

Согласно одному из предпочтительных вариантов осуществления изобретения важная для обеспечения безопасности система помимо первого управляющего модуля имеет по меньшей мере еще один управляющий модуль, при этом по меньшей мере одна дополнительная микропроцессорная система входит в состав этого по меньшей мере одного дополнительного управляющего модуля. В соответствии с этим вариантом важная для обеспечения безопасности распределенная система имеет, таким образом, несколько однотипных управляющих модулей, в состав которых входят первая микропроцессорная система и дополнительные микропроцессорные системы. Преимущество этого варианта состоит в том, что управляющие модули обычно выполняют идентичные функции (например, приводят в действие или отпускают колесный тормозной механизм в зависимости от определенных входных сигналов), а программные коды, выполняемые их микропроцессорными системами для формирования управляющих сигналов, большей частью совпадают между собой. Иными словами, когда эти дополнительные микропроцессорные системы дополнительных управляющих модулей берут на себя выполнение функций контрольного блока, в них для формирования логических управляющих сигналов не требуется загружать и при необходимости выполнять отдельный программный код. Более того, с этой целью можно использовать в любом случае имеющийся в этих дополнительных микропроцессорных системах программный код, при выполнении которого, однако, обрабатываются входные сигналы, поступающие в первую микропроцессорную систему. Примером распределенной системы, позволяющей реализовать этот вариант осуществления предлагаемого в изобретении способа, служит тормозная система с электроприводом, в которой для всех колес транспортного средства предусмотрены практически идентичные управляющие торможением колеса модули. Таким образом, в этом варианте часто имеющаяся в распределенных системах избыточность позволяет снизить затраты на повышение надежности управления компонентами такой системы.

В соответствии с другим предпочтительным вариантом осуществления изобретения указанные выше стадию б) и стадию в) предлагается осуществлять по меньшей мере в одной из дополнительных микропроцессорных систем. Согласно этому варианту, таким образом, управляющий сигнал сравнивается с логическими управляющими сигналами по меньшей мере в одной из дополнительных микропроцессорных систем. При этом сформированный первой микропроцессорной системой управляющий сигнал необходимо передавать в эту по меньшей мере одну дополнительную микропроцессорную систему, например по шине данных, соединяющей между собой обе эти микропроцессорные системы.

Согласно следующему предпочтительному варианту первая микропроцессорная система через первый связной контроллер подсоединена к физической шинной системе, при этом вышеуказанную стадию б) осуществляют по меньшей мере в одной из дополнительных микропроцессорных систем, а стадию в) осуществляют в этом первом связном контроллере. В соответствии с этим вариантом, таким образом, управляющий сигнал сравнивается с логическими управляющими сигналами в первом связном контроллере, через который первая микропроцессорная система подсоединена к шинной системе. Следует отметить, что связные контроллеры разработанных сравнительно недавно шинных систем, таких, например, как системы TTCAN (Time Triggered Controller Area Network), TTP/C (Time Triggered Protocol Class С согласно SAE) или FlexRay, не просто служат "бездумными" интерфейсами между микропроцессорной системой и шиной данных, а выполняют собственную, иногда достаточно сложную обработку передаваемых данных. С этой цели такие связные контроллеры оснащены собственной развитой логикой, которая позволяет выполнять по меньшей мере простые операции, такие, например, как сравнение, а при определенных условиях - и более сложные вычисления. Для выполнения операции сравнения в первом связном контроллере в него необходимо передавать по меньшей мере один логический управляющий сигнал по меньшей мере от одной дополнительной микропроцессорной системы, например по шине данных, соединяющей их между собой.

В соответствии с другим предпочтительным вариантом осуществления изобретения вышеуказанную стадию г) осуществляют по меньшей мере в одной из дополнительных микропроцессорных систем. Согласно этому варианту, таким образом, по меньшей мере один разрешающий сигнал формируется в дополнительных микропроцессорных системах в зависимости от полученного при сравнении управляющего сигнала с логическим управляющим сигналом результата. При этом сформированный первой микропроцессорной системой управляющий сигнал необходимо передавать в эти дополнительные микропроцессорные системы, например по шине данных. Этот управляющий сигнал сравнивается в таких дополнительных микропроцессорных системах со сформированными каждой из них логическими управляющими сигналами. Разрешающий сигнал в свою очередь передается, например по шине данных, в первую микропроцессорную систему. После этого в случае, если сформированные дополнительными микропроцессорными системами разрешающие сигналы соответствуют некоторым заданным значениям, этот по меньшей мере один управляющий сигнал или по меньшей мере один зависящий от него сигнал выдается на управляемый компонент распределенной системы. При этом разрешающие сигналы можно, например, подвергать простому сравнению или же выбирать соответствующий разрешающий сигнал с использованием процедуры принятия мажоритарного решения.

Согласно другому варианту осуществления изобретения первая микропроцессорная система через первый связной контроллер подсоединена к физической шинной системе, при этом вышеуказанную стадию г) осуществляют в этом первом связном контроллере. Сказанное означает, что сформированные в дополнительных микропроцессорных системах логические управляющие сигналы необходимо передавать, например по шине данных, в первый связной контроллер.

Особое значение имеет реализация предлагаемого в изобретении способа в виде компьютерной программы, ориентированной на ее выполнение микропроцессорной системой управляющего модуля, который предназначен для управления компонентом важной для обеспечения безопасности распределенной системы. При этом такая компьютерная программа ориентирована на ее выполнение микропроцессором этой микропроцессорной системы и пригодна для осуществления предлагаемого в изобретении способа. В этом случае предлагаемое в изобретении решение реализуется, таким образом, посредством компьютерной программы, которая тем самым также является объектом изобретения, как и способ, для осуществления которого она предназначена.

Согласно одному из предпочтительных вариантов осуществления изобретения предлагаемая в нем компьютерная программа хранится в запоминающем элементе, прежде всего во флэш-памяти. Для выполнения такой компьютерной программы, соответственно для осуществления предлагаемого в изобретении способа, эта компьютерная программа покомандно или целиком передается из запоминающего элемента в процессор.

Подобная компьютерная программа служит прежде всего для координации обмена данными между различными блоками и устройствами распределенной системы, обеспечивая таким путем осуществление предлагаемого в изобретении способа. То, какие конкретно данные должны передаваться и в какие именно блоки и устройства, зависит прежде всего от того, какими блоками и устройствами выполняются вышеуказанные стадии б)-д). Вместе с тем компьютерная программа обеспечивает также формирование управляющих сигналов и логических управляющих сигналов в различных блоках и устройствах системы и/или сравнение таких сигналов между собой.

Чертежи

Другие отличительные особенности, возможности применения и преимущества изобретения рассмотрены ниже на примере некоторых вариантов его осуществления со ссылкой на прилагаемые чертежи. При этом все рассмотренные в описании или представленные на чертежах отличительные признаки индивидуально и в любых сочетаниях характеризуют объект изобретения независимо от их компоновки в пунктах формулы изобретения или ссылки на эти пункты, а также независимо от их формулировки, соответственно представления в описании и на чертежах. При этом на прилагаемых к описанию чертежах, в частности, показано:

на фиг.1 - фрагмент важной для обеспечения безопасности распределенной системы, предназначенной для осуществления способа в соответствии с первым предпочтительным вариантом,

на фиг.2 - известный из уровня техники управляющий модуль важной для обеспечения безопасности распределенной системы,

на фиг.3 - фрагмент важной для обеспечения безопасности распределенной системы, предназначенной для осуществления способа в соответствии со вторым предпочтительным вариантом, и

на фиг.4 - фрагмент важной для обеспечения безопасности распределенной системы, предназначенной для осуществления способа в соответствии с третьим предпочтительным вариантом.

Описание вариантов осуществления изобретения

Ниже предлагаемый в изобретении способ более подробно поясняется на примере тормозной системы с электроприводом. Однако предлагаемое в изобретении решение не ограничено его использованием только применительно к тормозным системам с электроприводом и, более того, может найти применение в любых, важных для обеспечения безопасности распределенных системах. Предлагаемое в изобретении решение обеспечивает надежное срабатывание компонентов важных для обеспечения безопасности распределенных систем без применения дополнительных контрольных блоков. Более того, выполнение функций подобных контрольных блоков берут на себя те блоки и устройства важной для обеспечения безопасности распределенной системы, которые в любом случае входят в ее состав.

Рассматриваемая тормозная система имеет по одному для каждого из затормаживаемых колес транспортного средства управляющему торможением колеса модулю R₁, R_m. В состав каждого такого управляющего торможением колеса модуля R₁, R_m входят микропроцессорная система P₁, Р_m и деблокирующая схема FS₁, FS_m (или схема формирования разрешающего сигнала). Каждая из микропроцессорных систем P₁, Р_m имеет по одному микропроцессору Pro₁, Pro_m и по одному интеллектуальному связному контроллеру S₁, S_m. Микропроцессор Pro₁, Pro_m и связной контроллер S₁, S_m микропроцессорной системы P₁, Р_m могут быть выполнены в виде единой полупроводниковой микросхемы (так называемого чипа), однако их, как правило, выполняют в виде отдельных, не зависимых друг от друга блоков или элементов. Каждый управляющий торможением колеса модуль R₁, R_m через связной контроллер S₁, S_m соединен с физической шиной K₁ данных. Передача данных по этой шине данных осуществляется, например, в соответствии с протоколом TTCAN, ТТР/С или FlexRay. Каждый из управляющих торможением колеса модулей R₁, R_m управляет работой соответствующего привода или исполнительного механизма Akt₁, Akt_m, выполненного, например, в виде электродвигателя, управляющего срабатыванием или отпусканием колесных тормозных механизмов.

На фиг.1 показаны внутренняя структура двух управляющих торможением колеса модулей и поток сигналов, которые согласно предлагаемому в изобретении способу поступают в эти модули и выдаются ими, в соответствии с первым предпочтительным вариантом осуществления изобретения. Такой способ предназначен для управления исполнительным механизмом Akt₁ тормозной системы с электроприводом с помощью управляющего торможением колеса модуля R₁, соответственно с помощью микропроцессорной системы Р₁. При управлении исполнительным механизмом Akt₁ важно предотвратить возможность срабатывания этого исполнительного механизма Akt₁ по ложному или ошибочному управляющему сигналу от микропроцессорной системы P₁. Иными словами, управляющий сигнал должен подаваться на исполнительный механизм Akt₁ только в том случае, если с достаточно высокой степенью вероятности установлено, что этот сигнал не является ложным или ошибочным. В соответствии с этим процесс управления исполнительным механизмом Akt₁ заключается в выполнении следующих основных стадий:

а) Процессор Pro₁ микропроцессорной системы P₁, выполняя программный код C₁, формирует в зависимости по меньшей мере от одного входного сигнала E₁ по меньшей мере один управляющий сигнал А₁₁ для исполнительного механизма Akt₁. Входные сигналы E₁ содержат информацию о фактическом состоянии тормозной системы и всего транспортного средства в целом и поступают в первый управляющий торможением колеса модуль R₁ по шине К₁ данных.

б) Процессоры Prom (например, m=2...4) остальных микропроцессорных систем Р_m, также выполняя программный код C₁, формируют в зависимости от входных сигналов E₁ соответствующий логический управляющий сигнал A_1m. При этом предполагается, что в процессорах Pro_m помимо программного кода C_m, на основании которого формируются управляющие сигналы A_m1 для исполнительных механизмов Akt_m, дополнительно должен присутствовать также программный код C₁. В рассматриваемом примере, предусматривающем использование нескольких однотипных управляющих торможением колеса модулей R₁, R_m, обеспечение их таким программным кодом не связано или связано лишь с минимальными дополнительными затратами, поскольку выполняемые процессорами Pro₁, Pro_m программные коды C₁, C_m в основном идентичны. Таким образом, заложенный в любом случае в тот или иной процессор Pro_m программный код C_m может использоваться при его выполнении для формирования логических управляющих сигналов A_1m на основании входных сигналов E₁. Подобным же образом можно упростить любую распределенную систему, оснащенную однотипными управляющими модулями. Входные сигналы E₁ могут передаваться в микропроцессорные системы Р_m по шине K₁ данных. При корректном функционировании микропроцессоров Pro₁, Pro_m управляющие сигналы А₁₁ и логические управляющие сигналы A_1m должны быть идентичны между собой.

в) Управляющий сигнал А₁₁ сравнивается в микропроцессорах Pro_m с ранее сформированными ими логическими управляющими сигналами A_1m. С этой целью управляющий сигнал А₁₁ необходимо передавать по шине K₁ данных в микропроцессорные системы Р_m. Микропроцессоры Pro_m формируют информацию SF_1m о состоянии, которая в свою очередь также по шине K₁ данных передается в первую микропроцессорную систему P₁. Подобная информация о состоянии состоит, например, из одного или нескольких бит. Такую информацию SF_1m, предназначенную для передачи в первую микропроцессорную систему P₁, можно также включить в протокол передачи данных по шине данных.

г) Связной контроллер S₁ первой микропроцессорной системы P₁ анализирует или обрабатывает полученную информацию SF_1m о состоянии и при наличии соответствующего состояния (т.е. при получении сигнала о корректном функционировании микропроцессора Pro₁) формирует разрешающий сигнал F₁. Указанную обработку информации SF_1m о состоянии можно осуществлять различными путями. Так, например, подобная обработка может заключаться в выполнении над этой информацией SF_1m о состоянии операции сравнения, логической операции (предпочтительно логической операции И) или в принятии мажоритарного решения (решения методом голосования).

д) В завершение указанный по меньшей мере один управляющий сигнал А₁₁ или по меньшей мере один зависящий от него сигнал, если по меньшей мере один разрешающий сигнал F₁ соответствует заданному значению, подается на исполнительный механизм Akt₁. Для проверки этого условия над управляющим сигналом А₁₁ в деблокирующей схеме FS₁ выполняется логическая операция И. Если значение разрешающего сигнала F₁ соответствует логической "1", то управляющий сигнал А₁₁ выдается на исполнительный механизм Akt₁. Если же значение разрешающего сигнала F₁ соответствует логическому "0", то управляющий сигнал А₁₁ не выдается на исполнительный механизм Akt₁.

Предлагаемый в изобретении способ, который рассмотрен выше, позволяет контролировать работоспособность процессора Pro₁ микропроцессорной системы P₁ и обеспечить надежное срабатывание исполнительного механизма Akt₁ только при наличии достоверного разрешающего сигнала. Для контроля работоспособности процессора Pro₁ преимущественно используются процессоры Pro_m остальных микропроцессорных систем Р_m. Однако предлагаемый в изобретении способ равным образом может использоваться для контроля работоспособности процессоров Pro_m других микропроцессорных систем P₁ и обеспечения надежного срабатывания остальных исполнительных механизмов Akt_m. В этом случае для подобного контроля задействуются остальные процессоры Pro_m (за исключением самого контролируемого процессора), а также процессор Pro₁ первой микропроцессорной системы P₁. Таким образом, каждая отдельная микропроцессорная система важной для обеспечения безопасности распределенной тормозной системы выполняет двойную функцию - основную, состоящую в формировании управляющих сигналов А₁₁, A_m1 для связанного с конкретной микропроцессорной системой исполнительного механизма Akt₁, Akt_m, и дополнительную, состоящую в контроле за работоспособностью остальных процессоров при выполнении ими их основных функций. Тем самым предлагаемое в изобретении решение позволяет без использования дополнительных контрольных блоков обеспечить надежное и даже обладающее некоторой избыточностью управление срабатыванием исполнительных механизмов Akt₁, Akt_m.

На фиг.3 показаны внутренняя структура двух управляющих торможением колеса модулей и поток сигналов, которые согласно предлагаемому в изобретении способу поступают в эти модули и выдаются ими, в соответствии со вторым предпочтительным вариантом осуществления изобретения. Отличие этого варианта от варианта, показанного на фиг.1, состоит прежде всего в том, что стадия в) выполняется в связном контроллере S₁ первой микропроцессорной системы P₁.

Логические управляющие сигналы A_1m, сформированные на стадии б) процессорами Pro_m других микропроцессорных систем Р_m, передаются по шине K₁ данных в первую микропроцессорную систему P₁. Затем в этой микропроцессорной системе P₁ указанные логические управляющие сигналы A_1m сравниваются в ее связном контроллере S₁ по меньшей мере с одним управляющим сигналом А₁₁ (стадия в)). В зависимости от полученного при таком сравнении результата в связном контроллере S₁ формируется информация SI_1m о состоянии, на основании которой затем формируется разрешающий сигнал F₁, или же этот разрешающий сигнал F₁ формируется сразу же без формирования информации о состоянии (стадия г)).

На фиг.4 показаны внутренняя структура двух управляющих торможением колеса модулей и поток сигналов, которые согласно предлагаемому в изобретении способу поступают в эти модули и выдаются ими, в соответствии с третьим предпочтительным вариантом осуществления изобретения. Отличие этого варианта от вариантов, показанных на фиг.1 и 3, состоит прежде всего в том, что стадия г) выполняется в деблокирующей схеме FS₁ первого управляющего торможением колеса модуля R₁.

На стадии в) управляющий сигнал А₁₁ сравнивается в микропроцессорах Pro_m других микропроцессорных систем R_m с ранее сформированными этими микропроцессорными системами логическими управляющими сигналами A_1m. Микропроцессоры Pro_m формируют информацию SF_1m о состоянии, которая по шине K₁ данных передается в первую микропроцессорную систему P₁, а из нее в деблокирующую схему FS₁. В этой схеме обрабатывается поступающая в нее от всех остальных микропроцессорных систем Р_m информация о состоянии SF_1m, SF₁x и в том случае, когда такая информация о состоянии SF_1m, SF₁x указывает на наличие соответствующего состояния, указанной схемой на исполнительный механизм Akt₁ выдается по меньшей мере один управляющий сигнал А₁₁ или по меньшей мере один зависящий от него сигнал. В другом варианте в зависимости от полученного в деблокирующей схеме FS₁ результата сравнения сначала формируется информация SI_1m о состоянии, на основании которой затем формируется разрешающий сигнал F₁. Для обработки информации о состоянии SF_1m, SF₁x в деблокирующей схеме FS₁ используется так называемый механизм голосования. При наличии только двух управляющих сигналов А₁₁, A₁₂ этот механизм голосования сводится к выполнению над обоими этими управляющими сигналами А₁₁ и SF_1m логической операции И. При наличии же нескольких управляющих сигналов А₁₁, A_1m этот механизм голосования может заключаться в принятии мажоритарного решения.

1. Способ управления компонентом (Akt₁) важной для обеспечения безопасности распределенной системы, прежде всего компонентом (Akt₁) системы типа "X-by-Wire", используемой в транспортном средстве, с помощью относящегося к этому компоненту (Akt₁) первого управляющего модуля (R₁) по меньшей мере с одной первой микропроцессорной системой (P₁), заключающийся в том, что

а) с помощью первой микропроцессорной системы (P₁) в зависимости по меньшей мере от одного входного сигнала (E₁) формируют по меньшей мере один управляющий сигнал (A₁₁) для этого компонента (Akt₁),

б) формируют по меньшей мере один логический управляющий сигнал (A_1m), который по меньшей мере частично формируется независимым от первой микропроцессорной системы (P₁) контрольным блоком в зависимости от указанного по меньшей мере одного входного сигнала (E₁),

в) этот по меньшей мере один управляющий сигнал (А₁₁) сравнивают с указанным по меньшей мере одним логическим управляющим сигналом (A₁₂),

г) в зависимости от результата такого сравнения формируют по меньшей мере один разрешающий сигнал (F₁) и

д) указанный по меньшей мере один управляющий сигнал (А₁₁) или по меньшей мере один зависящий от него сигнал в том случае, если по меньшей мере один разрешающий сигнал (F₁) соответствует заданному значению, передают в компонент (Akt₁),

отличающийся тем, что важная для обеспечения безопасности система помимо первой микропроцессорной системы (P₁) имеет по меньшей мере еще одну микропроцессорную систему (Р_m), которая соединена с первой микропроцессорной системой (P₁) для обмена с ней данными, при этом по меньшей мере одну из стадий б)-г) осуществляют по меньшей мере в одной из этих дополнительных микропроцессорных систем (Р_m).

2. Способ по п.1, отличающийся тем, что важная для обеспечения безопасности система помимо первого управляющего модуля (R₁) имеет по меньшей мере еще один управляющий модуль (R_m), в состав которого входит по меньшей мере одна дополнительная микропроцессорная система (Р_m).

3. Способ по п.1 или 2, отличающийся тем, что стадию б) и стадию в) осуществляют по меньшей мере в одной из дополнительных микропроцессорных систем (Р_m).

4. Способ по п.1 или 2, отличающийся тем, что первая микропроцессорная система (P₁) через первый связной контроллер (S₁) подсоединена к физической шинной системе (K₁), при этом стадию б) осуществляют по меньшей мере в одной из дополнительных микропроцессорных систем (Р_m), а стадию в) осуществляют в этом первом связном контроллере (S₁).

5. Способ по любому из пп.1-4, отличающийся тем, что стадию г) осуществляют по меньшей мере в одной из дополнительных микропроцессорных систем (Р_m).

6. Способ по любому из пп.1-4, отличающийся тем, что первая микропроцессорная система (P₁) через первый связной контроллер (S₁) подсоединена к физической шинной системе (K₁), при этом стадию г) осуществляют в этом первом связном контроллере (S₁).