ГОСТ Р ИСО 26262-5—2014
путь — математикудополнительногодвоичного кода. Результатрезервного пути можетбыть стольже простым, как
проверка величины или ограничения скорости в расчетах по основному пути.
П р и м е ч а н и е — В связи с возможными отказами по общей причине междуосновным и резервным путя
ми для проверки работы основного контроллера с помощью диагностических запросов и ответов (см. (21)) может
быть использован дополнительный сторожевой процессор.
Другим вариантом этогомеханизма защиты является реализация резервного пути, какточной копииосновно
го пути (или реализовать основной путьдважды). Такая версия без избыточногопрограммногообеспечения обеспе
чивает толькоохватисправимыхошибок. Среднийохватможетбытьдостигнут, есликод выполняется втретий разе
известными входами, генерирующими выходы, которые должны быть проверены сравнением с набором ожидае
мых результатов. Результаты этого метода имеет очень легкий критерий прошел/не прошел (предполагается, что
сравниваемыерезультаты точносовпадут)илегкую реализацию (резервный канал не разрабатывается),ноданный
подход включает в себя необходимость сохранения истории параметров (например, динамических состояний,
интеграторов, ограничений скорости и т. fl.j.
Рисунок D.2 — Сравнение избыточного программногообеспечения в одном модуле обработки
D.2.3.5 Взаимное сравнение программным обеспечением а отдельных модулях обработки
П р и м е ч а н и е — Ссылка на данный механизм/меру приведена в таблице D.4.
Цель. Оперативное обнаружение отказов в модуле обработки динамическим сравнением программного
Обеспечения-
Описание. Два модуля обработки взаимно обмениваются данными (включая результаты, промежуточные
результаты итестовыеданные). Сравнение данных осуществляется программным обеспечением каждогомодуля и
обнаруженные различия приводятксообщению об отказе (см. рисунок D.3). Такой подходобеспечивает разнообра
зие аппаратных средств и программного обеспечения, если используются различные типы процессоров, а также
отдельные алгоритмы, коды и компиляторы. Такой проект включает а себя методы, предотвращающие ложные
обнаружения ошибок из-за различий между процессорами (например, неустойчивость цикла синхронизации,
коммуникационные задержки, инициализация процессора).
Пути могут быть реализованы на отдельных ядрахдвухьядерного процессора. В этом слагав метод включает
в себя анализ, позволяющий понять виды отказов по общей причине, связанные с общим кристаллом и корпусом
этих двух ядер.
двйетш*
Рисунок 0.3 — Сравнение избыточного программногообеспечения на различных модулях обработки
48