具体实施方式

流程图在图2中说明的监督方法1旨在监督具有至少两个单独通道4、6的电机控制单元2，所述电机控制单元的架构的实例在图3中说明。

因此，如在图3中可见，双通道电机控制单元2、4、6包括两个通道4、6，即两个计算器。计算器4、6的这种冗余确保抵抗计算器4、6其中之一可能出现的故障。尽管两个计算器4、6从相同输入数据并行地执行相同计算(即，执行相同应用任务)，但是计算器4中仅一个通过计算命令来控制和调节涡轮机。因此，称为被动计算器的冗余计算器6不会将任何命令发送到涡轮机的组成部分。

所说明的发动机控制单元2的计算器4、6具有相同的架构。

首先，每个计算器4、6包括用于执行给定的应用任务的构件。这些构件分布在计算器的数字核心8和通信板10中。

数字核心8尤其包括微处理器12。参与计算器间通信的通信板10包括第一组件14和第二组件16。能够从输入数据执行所述应用任务的计算的第一组件14在此实例中为FPGA，但也可以是可重新编程的集成电路。能够存储数据的第二组件16是存储器，优选地动态RAM。

在实例中为FPGA(现场可编程门阵列)的第一组件14实现对两个计算器4、6之间的交换计时。第二组件16，优选地DPRAM(双端口随机存取存储器)从第一组件14接收信号并且存储数据，例如来自传感器的输入数据以及中间计算结果。

部分地由在其间经过时延周期的多个连续执行的计算组成的应用任务AS具体来说可以从例如来自传感器的输入数据计算预期用于构成涡轮机的移动元件的致动器的控制电流。此类致动器包含例如与汽缸或其它装置结合的电液伺服阀。因此，在发动机控制单元2的计算器4、6中的每一个上同时并行地执行应用任务AS。在第一通道4上运行的AS应用任务以及在第二通道6上运行的AS应用任务能够经由第一总线18、第二总线20和第三总线22彼此通信。第一总线18用于交换待检索的数据存储器的地址。第二总线20用于交换数据，例如传感器输入数据。例如，这可以包含例如获取发动机温度值的测量。中间计算和最终计算的结果从执行计算的数字核心8到例如传输所计算电流的通信板10穿过第二总线20。第三总线用于交换从输入数据计算的命令。这是用于控制计算器4、6中的每一个的第一总线18和第二总线20上的读取和写入授权的所谓控制总线。此控制总线因此实现交换的定序以及管理读取、写入和交换操作的优先级。

如图4中所说明，在每个通道上在每个执行循环24中执行监督方法1。

方法1的第一步骤A是检测由两个通道4、6的组件14、16中的至少一个的故障引起的症状。

在两个通道4、6中的一个上的组件故障14、16的症状如下：

-数据未到达：等待输入数据项(来自先前计算或来自传感器)的AS应用任务不接收所述数据项以执行进一步计算。

-错误数据：等待输入数据项(来自先前计算或来自传感器)的AS应用任务接收错误的数据项以执行进一步计算，从而产生错误计算。

-数据存储在错误地址处：当接收到数据项时，所述数据项存储在第二组件16(动态RAM)中的地址处。

当数据项所存储的地址错误时，可以存在两个结果：

-数据项未到达：在将存储数据项的地址处，不存在可用于计算AS应用任务的数据项。

-错误数据项：在将存储数据项的地址处，先前存储的数据项用于由AS应用任务进行进一步计算。

这些症状可以具有两个结果。第一结果是观察到的故障对应于两个通道4、6上的签名差异，即对于给定的AS应用任务，在计算器4、6中的每一个上执行的计算产生不同结果。第二结果是观察到的故障由计算器间通信中断(交换的数据错误或丢失)组成。

因此，这些症状的检测指示计算器4、6中的至少一个的至少一个组件14、16的故障。

方法的第二步骤B随后由检测应用任务AS的时延周期组成。实际上，由于AS应用任务由来自若干输入数据项的多个计算组成，因此在计算期间存在时延周期，在所述时延周期期间，AS应用任务正等待数据执行下一计算。在这些时延周期期间，不使用通道4、6的资源，即第一组件4和第二组件6。这些时延周期因此可以用于执行操作状态测试，以确定第一计算器4和第二计算器6的第一组件14和第二组件16中的哪些发生故障并且引起所识别的症状。

方法1的第三步骤C随后由在此时延周期期间执行第一组件14和第二组件16中的至少一个的操作状态测试组成。在两个通道4、6(即，对于两个计算器)上优选地并行地对组件14、16中的每一个执行此功能状态测试。操作状态测试的定序可以在图4中看到。因此，除了在OS任务期间在循环开始时触发的功能测试之外，在应用任务的时延期间触发若干功能测试。

自测试是所谓的March测试。自测试用于测试每个组件的读取和写入能力。为此，将十六进制的AAAA型和5555型消息连续地写入到十六进制的5555型和AAAA型地址。将内容写入到这两个地址自动地触发读取测试。

在时延时间(即，空闲时间)期间并且与总线上的每个交换几乎同时地执行这些自测试。

因此，应用任务AS分别将指令发送到组件14、16中的每一个以执行操作状态测试26。换句话说，操作状态测试26由AS应用任务调用，使得在时延时间期间执行所述操作状态测试。因此，所执行的测试并不影响AS应用任务的计算时间。

方法1的第四步骤D是确定已执行操作状态测试26的组件14、16的状态。状态可以是故障状态或健康状态。因此，如果在相同循环或两个连续循环期间，观察到症状并且发现组件14、16中的一个的故障状况，则在检测的症状与发现的组件故障之间建立相关性。

为了限制所识别的故障组件的影响，隔离含有故障组件的计算器。换句话说，在由AS应用任务发起的功能状态测试或自测试26之后，具有检测到的且证实的故障的计算器不再在后续循环中执行AS应用任务且因此不再与视为健康的计算器通信。发动机控制单元2随后变成单通道，其中应用任务AS仅在视为健康的一个计算器上执行。

在此隔离之后，在隔离两个通道4、6中的一个时为了避免IFSD(空中停车)，暂停由应用任务AS发起自测试26。因此，除了在循环开始和结束时由OS任务执行的自测试26之外，对其余计算器不执行自测试26。

图5通过流程图说明本发明的方法28的另一实例。系统的总体策略是在控制单元2中发生症状时触发自测试26。第一步骤是如上所述检测循环j中的下一故障症状。症状可以包含以下项：

-数据项未到达：当AS应用任务在时延周期期间主动地等待数据项时，一旦应用任务等待数据项的时间超过最大等待时间，则检测到数据项未到达。最大等待时间为至少3ms。

-第一通道4与第二通道6之间的签名差异：在AS应用任务结束时，比较由AS应用任务对两个通道4、6执行的计算的结果总和。这验证两个通道4、6执行相同计算。如果总和在两个通道4、6上不同，则这表示两个通道4、6中的至少一个使用错误的计算输入。由于在应用任务AS(即，循环)结束时执行求和，则在前一循环j-1中执行此症状的检测，使得在循环j中发起自测试26。换句话说，签名差异由以下组成：在前一循环j-1结束时并且在两个通道4、6上并行地比较在前一循环j-1期间执行的应用任务AS的计算的总和。在前一循环j-1中进行签名偏差检测的情况下，在当前循环j中执行(图2中的流程图的)过程1的步骤B到D。

当识别以上症状中的一个时，应用任务AS增加在时延周期期间运行的自测试26的数目，以识别可能引起症状的组件故障。因此，开始自测试26，直到当前执行循环j结束。

因此，通过增加自测试的数目且在计算循环的时延周期内分布自测试，自测试的覆盖范围因此增加。

第一组件14(FPGA)的可能故障如下：

-组件14的16个分支中的一个分支的一个焊点的微裂缝：除了当微裂缝影响对应低阶位分支的焊点时，一些微裂缝可能不影响；

-数据不更新；

-在对存储器的读取和/或写入期间的故障。

第二组件16(DPRAM)的可能故障如下：

-数据项存储在存储器中的错误地址处；

-不存储数据项；

-可以具有以下三种类型的内部存储器故障：短路、耦合故障和粘滞故障。

一旦通过自测试26识别出故障，检测到故障的轨道就变得安全，即隔离通道。而且，将故障以及关于控制单元的状态的情境信息，例如温度、振动状态、发动机转速、飞机姿态、发动机健康状况、航班号和故障日期存储在非易失性存储器中，以便于维护操作。

在未识别组件故障的情况下，由监督过程28提供跳闸。保护计算器构件确保：

-OS任务不再调用AS应用任务，

-不再计算控制电流，因此不再由此计算器发布控制电流。然后冗余丢失。