[发明专利]用于冗余地处理数据的方法

说明书

本发明涉及用于冗余地处理数据的方法。介绍了一种用于通过至少两个计算单元冗余地处理数据的方法。在此，至少两个计算单元中的第一计算单元在其重新起动或者其复位之后从至少两个计算单元中的至少第二计算单元接收到数据的第一部分用于处理。

技术领域

本发明涉及一种用于冗余地处理数据的方法、一种执行所述方法的计算机程序、一种电子存储介质以及一种计算单元。

背景技术

在其中例如采用标准以太网部件、计算单元（多核（Multi-Core）、众核（Many-Core）、μC、μP）和标准操作系统（例如QNX或者Linux）的安全攸关的（sicherheitsrelevant）系统中，常常不可能通过自行测试保护完整的系统。在许多安全攸关的应用中，例如在用于高度自动化驾驶的功能中，冗余地执行计算，例如以所谓的锁步（Lockstep）方法执行计算。这种锁步计算例如可以被实现为没有硬件支持的纯软件锁步（Software-Lockstep）。在对系统的安全性、可用性和性能的要求特别高的系统中，可以分布式地计算安全攸关的功能，即在不同的、分离的硬件单元上计算安全攸关的功能。

DE 10332700 A1公开了一种处理器单元，所述处理器单元具有：两个实施单元，所述实施单元运行（abarbeiten）相同的程序；和比较装置，该比较装置对所述实施单元的在运行相同程序时形成的状态就一致性进行比较。

发明内容

本发明涉及用于冗余地处理数据的方法以及被设立来执行所述方法之一的计算单元。此外，本发明涉及一种计算机程序，该计算机程序被设立来执行所述方法之一。

建议了：在具有多个计算单元的系统中，所述计算单元中的一个计算单元在所进行的重新起动之后或在复位之后从其余的冗余工作的计算单元中的一个或者多个计算单元接收到数据的部分用以进行处理，其中所述多个计算单元接收到相同的输入数据并且同样地处理这些输入数据，即所述多个计算单元执行数据的冗余处理。这种系统因此能够独立地复制由于（例如由错误触发的）重新起动而丢失的或者错失的数据，但也许需要这些数据用于进行处理。由此，在包括多个计算单元的这种分布式系统中，在一个或者多个计算单元停止运转时尽可能大大地维持该系统的可用性，避免由于整个系统的重新起动造成的完全系统停止运转并且将受限的功能状态保持得尽可能短。这尤其是在时间关键的和安全关键的应用（譬如高度自动化驾驶）中是重要的，因为这种系统在有错误的情况下出于安全原因不能简单地转变到不可操作的（nicht-operable）状态中，在高度自动化驾驶的实例中例如在有错误的情况下不能突然地将控制移交给驾驶员。

要特别简单地实施和反应快速的是如下实施方案：在该实施方案中，被重新起动的或被复位的计算单元独立地请求其他计算单元中的一个或多个计算单元提供所需的数据。

在一种优选的构建方案中，由于去掉了进行冗余计算的计算单元，所以该系统进入受保护的状态中。在该状态中，系统的功能性优选地是受限的。当为计算给出完全冗余时，或者在还更安全的变型方案中，当恢复计算的完全冗余并且从其他计算单元复制的数据不再被考虑用于处理时，该系统可以又转变到具有完全功能性的正常状态中。由此实现了特别安全的总系统，该总系统也能对付暂时取消一个计算部件。

数据复制可以特别地以受保护的方式被设计，其方式是：被重新起动的或者被复位的计算单元不仅从一个其余的计算单元而且从多个其余的计算单元得到所需的数据。这样接收到的数据可以就一致性进行检查，并且对数据的进一步处理可以与一致性有关地进行。由此，避免在所述计算单元之间的计算的互相关性。例如由此似乎排除对单个数据错误的传播。即，如果在其余的计算单元中的一个计算单元中在所请求的数据中存在数据错误，则被重新起动的或者被复位的计算单元将会在与一个或者多个其他的计算单元的所接收到的数据进行比较时确定该数据错误。

在一种可替换的构建方案中，其余的计算单元也可以分别将必需的数据的仅部分发送给被复位的或者被重新起动的计算单元。这导致数据传送出现（Aufkommen）较低并且也许也可以至少减小在各个计算单元之间的相关性。