Methods and systems for fail-safe process execution, monitoring and output
control for critical systems operating on an open bus architecture with
multiple, independent partitions on a single processor is presented. The
control system state variables and their status of critical systems,
within the control laws and mode logic, are monitored for process
completion and health, and shut down if necessary. The embodiments provide
for a dual path for shut down of, for example, flight critical systems so
that the failure of one partitioned module does not affect the operation
of the remaining partitioned modules. One path involves the CPM and IOM
determination of command/response health. If persistent faults are
detected, then either the DSP monitoring or the CPM performance monitoring
results in a discrete signal being sent to the H-bridge disable to
shutdown the current output. The second path is CPM controlled via a
separate discrete signal on the input/output controller to the flight
critical system shut-off valve. By implementing these separate paths,
critical systems in one partition cannot be defeated by a single failure
in another partition.
Los métodos y los sistemas para la ejecución, la supervisión y el control de proceso a prueba de averías de la salida para los sistemas críticos que funcionan en una arquitectura abierta del autobús con las particiones múltiples, independientes en un solo procesador se presentan. Las variables del estado del sistema de control y su estado de sistemas críticos, dentro de los leyes del control y de la lógica del modo, se supervisan para la terminación y la salud de proceso, y cierran en caso de necesidad. Las encarnaciones preven una trayectoria dual para cerrado de, por ejemplo, sistemas críticos del vuelo de modo que la falta de un módulo repartido no afecte la operación de los módulos repartidos restantes. Una trayectoria implica la determinación del CPM y de IOM de la salud de command/response. Si se detectan las averías persistentes, entonces o el DSP que supervisa o la supervisión de funcionamiento del CPM da lugar a una señal discreta que es enviada al H-puente inhabilita a la parada la salida actual. La segunda trayectoria es CPM controlado vía una señal discreta separada en el controlador de entradas-salidas a la válvula de cierre crítica del sistema del vuelo. Poniendo estas trayectorias en ejecucio'n separadas, los sistemas críticos en una partición no se pueden derrotar por una sola falta en otra partición.
