特表 2024-528495 機能安全システムにおける符号化された診断のための方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-07-30

(54)【発明の名称】機能安全システムにおける符号化された診断のための方法

(51)【国際特許分類】

   G06F 11/20 20060101AFI20240723BHJP

   G06F 11/07 20060101ALI20240723BHJP

【ＦＩ】

G06F11/20 620

G06F11/07 140J

G06F11/07 172

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2023579514

(86)(22)【出願日】2022-07-01

(85)【翻訳文提出日】2024-02-21

(86)【国際出願番号】 US2022036002

(87)【国際公開番号】W WO2023278865

(87)【国際公開日】2023-01-05

(31)【優先権主張番号】63/217,682

(32)【優先日】2021-07-01

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】63/217,684

(32)【優先日】2021-07-01

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】63/217,674

(32)【優先日】2021-07-01

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＢＬＵＥＴＯＯＴＨ

(71)【出願人】

【識別番号】522342754

【氏名又は名称】フォート ロボティクス，インコーポレイテッド

【氏名又は名称原語表記】ＦＯＲＴ ＲＯＢＯＴＩＣＳ，ＩＮＣ．

(74)【代理人】

【識別番号】110001302

【氏名又は名称】弁理士法人北青山インターナショナル

(72)【発明者】

【氏名】カトラック，ケルフェガー，クルシェド

(72)【発明者】

【氏名】ビヴァンス，ネイサン

【テーマコード（参考）】

5B034

5B042

【Ｆターム（参考）】

5B034AA01

5B034CC01

5B034DD01

5B042GA11

5B042JJ17

5B042JJ29

5B042KK14

(57)【要約】

方法は、第２のコントローラの機能タイムアウト状態を表す第１の有効機能符号語と、第２のコントローラの故障タイムアウト状態を表し第１の有効機能符号語からの最小ハミング距離によって特徴づけられる第１の有効故障符号語と、システムの機能状態を表す第２の有効機能符号語と、システムの故障状態を表す第２の有効故障符号語とを含む有効符号語のセットを記憶することと、所定の時間量内に第２のコントローラからの安全メッセージの受信を検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することと、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、第２の有効機能符号語を出力することと、第１のメモリの内容と有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、第２の有効故障符号語を出力することとを含む。
【選択図】図１

【特許請求の範囲】

【請求項1】

システムに結合された第１の安全モジュール内の第１のコントローラで、
前記第１の安全モジュール内の第２のコントローラの機能タイムアウト状態を表す第１の有効機能符号語と、
前記第２のコントローラの故障タイムアウト状態を表し前記第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、
前記第２のコントローラの機能状態を表す第２の有効機能符号語と、
前記第２のコントローラの故障状態を表し前記第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語と、
前記システムに結合された第１の入力の機能状態を表す第３の有効機能符号語と、
前記第１の入力の故障状態を表し前記第３の有効機能符号語からの第３の最小ハミング距離によって特徴づけられる第３の有効故障符号語と、
前記システムの機能状態を表す第４の有効機能符号語と、
前記システムの故障状態を表し前記第４の有効機能符号語からの第４の最小ハミング距離によって特徴づけられる第４の有効故障符号語と
を含む有効符号語の第１のセットを記憶することと、
第１の期間中に、前記第１のコントローラで、
前記第２のコントローラに結合された第１の入力レジスタに問い合わせることと、
前記第１の入力レジスタで、前記第２のコントローラからの前記第２の有効機能符号語を含む第１の安全メッセージを検出することと、
第１の時間量内に前記第１の入力レジスタで前記第１の安全メッセージを検出したことに応答して、前記第１の有効機能符号語を第１のメモリに記憶することと、
前記第１の入力の機能動作を検出したことに応答して、前記第３の有効機能符号語を第２のメモリに記憶することと、
前記第１の期間の後の第２の期間中に、前記第１のコントローラで、前記第１のメモリの内容と前記第１の有効機能符号語との間の一致を検出したことに応答して、および前記第１の入力の機能動作を検出したことに応答して、前記第４の有効機能符号語を含む第２の安全メッセージを出力することと、
前記第２の期間の後の第３の期間中に、前記第１のコントローラで、
前記第１の入力レジスタに問い合わせることと、
前記第１の入力レジスタで、前記第２のコントローラからの前記第２の有効機能符号語を含む第３の安全メッセージを検出することと、
第２の時間量内に前記第１の入力レジスタで前記第３の安全メッセージを検出したことに応答して、前記第１の有効機能符号語を前記第１のメモリに記憶することと、
前記第１の入力の機能動作を検出したことに応答して、前記第３の有効機能符号語を前記第２のメモリに記憶することと、
前記第３の期間の後の第４の期間中に、前記第１のコントローラで、前記第１のメモリの内容と前記有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、前記第４の有効故障符号語を含む第４の安全メッセージを出力することと
を含む、方法。

【請求項2】

前記第２のコントローラで、
前記第１のコントローラの機能タイムアウト状態を表す第５の有効機能符号語と、
前記第１のコントローラの故障タイムアウト状態を表し前記第５の有効機能符号語からの第５の最小ハミング距離によって特徴づけられる第５の有効故障符号語と、
前記第１のコントローラの機能状態を表す第６の有効機能符号語と、
前記第１のコントローラの故障状態を表し前記第６の有効機能符号語からの第６の最小ハミング距離によって特徴づけられる第６の有効故障符号語と、
前記システムに結合された第２の入力の機能状態を表す第７の有効機能符号語と、
前記第２の入力の故障状態を表し前記第７の有効機能符号語からの第７の最小ハミング距離によって特徴づけられる第７の有効故障符号語と、
前記システムの機能状態を表す第８の有効機能符号語と、
前記システムの故障状態を表し前記第８の有効機能符号語からの第８の最小ハミング距離によって特徴づけられる第８の有効故障符号語と
を含む有効符号語の第２のセットを記憶することと、
前記第１の期間中に、前記第２のコントローラで、
前記第１のコントローラに結合された第２の入力レジスタに問い合わせることと、
前記第２の入力レジスタで、前記第１のコントローラからの前記第６の有効機能符号語を含む第５の安全メッセージを検出することと、
第３の時間量内に前記第２の入力レジスタで前記第５の安全メッセージを検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと、
前記第２の入力の機能動作を検出したことに応答して、前記第７の有効機能符号語を第４のメモリに記憶することと、
前記第２の期間中に、前記第２のコントローラで、前記第３のメモリの内容と前記第５の有効機能符号語との間の一致を検出したことに応答して、および前記第２の入力の機能動作を検出したことに応答して、前記第８の有効機能符号語を含む第６の安全メッセージを出力することと、
前記第３の期間中に、前記第２のコントローラで、
前記第２の入力レジスタに問い合わせることと、
前記第２の入力レジスタで、前記第１のコントローラからの前記第６の有効機能符号語を含む第７の安全メッセージを検出することと、
第４の時間量内に前記第２の入力レジスタで前記第７の安全メッセージを検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと、
前記第２の入力の機能動作を検出したことに応答して、前記第７の有効機能符号語を前記第４のメモリに記憶することと、
前記第４の期間中に、前記第２のコントローラで、前記第３のメモリの内容と前記第５の有効機能符号語との間の一致を検出したことに応答して、および前記第２の入力の機能動作を検出したことに応答して、前記第８の有効機能符号語を含む第８の安全メッセージを出力することと、
前記第２の期間の後の第５の期間中に、前記第１の安全モジュール内のアプリケーションプロセッサで、
前記第２の安全メッセージおよび前記第６の安全メッセージを受信することと、
前記第２の安全メッセージ内の前記第４の有効機能符号語および前記第６の安全メッセージ内の前記第８の有効機能符号語を検出したことに応答して、前記システムの機能状態を表す第９の有効機能符号語を含む第９の安全メッセージを出力することと、
前記第４の期間の後の第６の期間中に、前記アプリケーションプロセッサで、
前記第４の安全メッセージおよび前記第８の安全メッセージを受信することと、
前記第４の安全メッセージ内の前記第４の有効故障符号語および前記第８の安全メッセージ内の前記第８の有効機能符号語を検出したことに応答して、前記システムの故障状態を表し前記第９の有効機能符号語からの第９の最小ハミング距離によって特徴づけられる第９の有効故障符号語を含む第１０の安全メッセージを出力することと
をさらに含む、請求項１に記載の方法。

【請求項3】

前記第２のコントローラで、
前記第２のコントローラ内のサブシステムの第１のセットのうちの第１のサブシステムの機能状態を表す第５の有効機能符号語と、
前記第１のサブシステムの故障状態を表し前記第５の有効機能符号語からの第５の最小ハミング距離によって特徴づけられる第５の有効故障符号語と、
前記第２の有効機能符号語と、
前記第２の有効故障符号語と、
前記システムに結合された第２の入力の機能状態を表す第６の有効機能符号語と、
前記第２の入力の故障状態を表し前記第６の有効機能符号語からの第６の最小ハミング距離によって特徴づけられる第６の有効故障符号語と、
前記システムの機能状態を表す第７の有効機能符号語と、
前記システムの故障状態を表し前記第７の有効機能符号語からの第７の最小ハミング距離によって特徴づけられる第７の有効故障符号語と
を含む有効符号語の第２のセットを記憶することと、
前記第３の期間中に、前記第２のコントローラで、
前記第１のサブシステムの機能動作を検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと、
前記第２の入力の機能動作を検出したことに応答して、前記第７の有効機能符号語を第４のメモリに記憶することと、
前記第４の期間中に、前記第２のコントローラで、前記第３のメモリの内容と前記有効符号語の第２のセット内のあらゆる符号語との間の不一致を検出したことに応答して、前記第２の有効故障符号語および前記第７の有効故障符号語を含む第５の安全メッセージを出力することと、
前記第４の期間の後の第５の期間中に、前記第１のコントローラで、
前記第１の入力レジスタに問い合わせることと、
前記第１の入力レジスタで、前記第２のコントローラからの前記第２の有効故障符号語を含む前記第５の安全メッセージを検出することと、
第３の時間量内に前記第１の入力レジスタで前記第５の安全メッセージを検出したことに応答して、前記第１の有効機能符号語を第１のメモリに記憶することと、
前記第５の期間の後の第６の期間中に、前記第１のコントローラで、前記第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、および前記第５の安全メッセージ内の前記第２の有効故障符号語を検出したことに応答して、前記第４の有効故障符号語を含む第６の安全メッセージを出力することと
をさらに含む、請求項１に記載の方法。

【請求項4】

前記第２の期間の後の第７の期間中に、前記第１の安全モジュール内のアプリケーションプロセッサで、
前記第２の安全メッセージを受信することと、
第４の時間量内に前記第２の安全メッセージの受信を検出したことに応答して、および第５の時間量内における前記第２のコントローラからの第７の安全メッセージの不受信を検出したことに応答して、前記システムの故障状態を表す第８の有効故障符号語を含む第８の安全メッセージを出力することと
をさらに含む、請求項３に記載の方法。

【請求項5】

前記第１のコントローラで、
前記第１のコントローラ内の第１の算術論理演算装置の機能状態を表す第８の有効機能符号語と、
前記第１の算術論理演算装置の故障状態を表し前記第８の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第８の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶すること
をさらに含み、
前記第５の有効機能符号語は、前記第２のコントローラ内の第２の算術論理演算装置の機能状態を表し前記第８の有効機能符号語からの８の最小ハミング距離によって特徴づけられ、
前記第５の有効故障符号語は、前記第２のコントローラ内の前記第２の算術論理演算装置の故障状態を表し前記第１の有効故障符号語からの８の最小ハミング距離および前記第５の有効機能符号語からの８の最小ハミング距離によって特徴づけられる、請求項３に記載の方法。

【請求項6】

前記第１のコントローラで、
前記第２のコントローラの機能通信内容状態を表す第５の有効機能符号語と、
前記第２のコントローラの故障通信内容状態を表し前記第５の有効機能符号語からの第５の最小ハミング距離によって特徴づけられる第５の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶することと、
前記第１の期間中に、前記第１のコントローラで、前記第１の安全メッセージの内容と前記第２の有効機能符号語との間の一致を検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと
をさらに含み、
前記第２の期間中に、前記第１のコントローラで、前記第４の有効機能符号語を含む前記第１の安全メッセージを出力することは、前記第３のメモリの内容と前記第５の有効機能符号語との間の一致を検出したことにさらに応答する、請求項１に記載の方法。

【請求項7】

前記第１のコントローラで、
前記システム内の第２の安全モジュール内の第３のコントローラの機能タイムアウト状態を表す第５の有効機能符号語と、
前記第３のコントローラの故障タイムアウト状態を表し前記第５の有効機能符号語からの第５の最小ハミング距離によって特徴づけられる第５の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶することと、
前記第２のコントローラで、
前記第２の安全モジュール内の第４のコントローラの機能タイムアウト状態を表す第６の有効機能符号語と、
前記第４のコントローラの故障状態を表し前記第６の有効機能符号語からの第６の最小ハミング距離によって特徴づけられる第６の有効故障符号語と、
前記システムの機能状態を表す第７の有効機能符号語と、
前記システムの故障状態を表し前記第７の有効機能符号語からの第７の最小ハミング距離によって特徴づけられる第７の有効故障符号語と
を含む有効符号語の第２のセットを記憶することと、
前記第１の期間中に、前記第１のコントローラで、第３の時間量内における前記第３のコントローラからの第５の安全メッセージの受信を検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと、
前記第１の期間中に、前記第２のコントローラで、第４の時間量内における前記第４のコントローラからの第６の安全メッセージの受信を検出したことに応答して、前記第６の有効機能符号語を第４のメモリに記憶することと、
前記第２の期間中に、前記第２のコントローラで、前記第４のメモリの内容と前記第６の有効機能符号語との間の一致を検出したことに応答して、前記第７の有効機能符号語を含む第７の安全メッセージを出力することと
をさらに含み、
前記第２の期間中に、前記第１のコントローラで、前記第４の有効機能符号語を含む前記第１の安全メッセージを出力することは、前記第３のメモリの内容と前記第５の有効機能符号語との間の一致を検出したことにさらに応答する、請求項１に記載の方法。

【請求項8】

前記第１のコントローラで、
前記第１のコントローラ内のサブシステムの第１のセットのうちの第１のサブシステムの機能状態を表す第５の有効機能符号語と、
前記第１のサブシステムの故障状態を表し前記第５の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第５の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶することと、
前記第１の期間中に、前記第１のコントローラで、前記第１のサブシステムの機能動作を検出したことに応答して、前記第１の有効機能符号語を第３のメモリに記憶することと
をさらに含み、
前記第２の期間中に、前記第１のプロセッサで、前記第４の有効機能符号語を含む前記第２の安全メッセージを出力することは、前記第３のメモリの内容が前記第５の有効機能符号語と一致することを検出したことにさらに応答する、請求項１に記載の方法。

【請求項9】

前記第１の有効機能符号語および前記第１の有効故障符号語は、２バイトの長さを各々示し、
前記第２の有効機能符号語、前記第２の有効故障符号語、前記第３の有効機能符号語、前記第３の有効故障符号語、前記第４の有効機能符号語、および前記第４の有効故障符号語は、１バイトの長さを各々示し、
前記第１の最小ハミング距離は８であり、
前記第２の最小ハミング距離は４であり、
前記第３の最小ハミング距離は４であり、
前記第４の最小ハミング距離は４である、請求項１に記載の方法。

【請求項10】

前記第１のコントローラで、前記有効符号語の第１のセットを記憶することは、
前記第１の有効機能符号語として「１１０００１０１１０１１０１１１」のビットパターンを記憶することと、
前記第１の有効故障符号語として「０１１１１０１１０１０１１１００」のビットパターンを記憶することと
を含む、請求項１に記載の方法。

【請求項11】

システムに結合された第１の安全モジュール内の第１のコントローラで、
前記システム内の第２の安全モジュール内の第２のコントローラの機能タイムアウト状態を表す第１の有効機能符号語と、
前記第２のコントローラの故障タイムアウト状態を表し前記第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、
前記第２のコントローラの機能状態を表す第２の有効機能符号語と、
前記第２のコントローラの故障状態を表し前記第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語と、
前記システムに結合された第１の入力の機能状態を表す第３の有効機能符号語と、
前記第１の入力の故障状態を表し前記第３の有効機能符号語からの第３の最小ハミング距離によって特徴づけられる第３の有効故障符号語と、
前記システムの機能状態を表す第４の有効機能符号語と、
前記システムの故障状態を表し前記第４の有効機能符号語からの第４の最小ハミング距離によって特徴づけられる第４の有効故障符号語と
を含む有効符号語の第１のセットを記憶することと、
第１の期間中に、前記第１のコントローラで、
第１の時間量内に前記第２のコントローラからの前記第２の有効機能符号語を含む第１の安全メッセージを検出したことに応答して、前記第１の有効機能符号語を第１のメモリに記憶することと、
前記第１の入力の機能動作を検出したことに応答して、前記第３の有効機能符号語を第２のメモリに記憶することと、
前記第１の期間の後の第２の期間中に、前記第１のコントローラで、前記第１の安全メッセージ内の前記第２の有効機能符号語を検出したことに応答して、前記第１のメモリの内容と前記第１の有効機能符号語との間の一致を検出したことに応答して、および前記第１の入力の機能動作を検出したことに応答して、前記第４の有効機能符号語を含む第２の安全メッセージを出力することと、
前記第２の期間の後の第３の期間中に、前記第１のコントローラで、
第２の時間量内における前記第２のコントローラからの前記第２の有効機能符号語を含む第３の安全メッセージの受信を検出したことに応答して、前記第１の有効機能符号語を前記第１のメモリに記憶することと、
前記第１の入力の機能動作を検出したことに応答して、前記第３の有効機能符号語を前記第２のメモリに記憶することと、
前記第３の期間の後の第４の期間中に、前記第１のコントローラで、前記第１のメモリの内容と前記有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、前記第４の有効故障符号語を含む第４の安全メッセージを出力することと
を含む、方法。

【請求項12】

前記第１のコントローラで、
前記第１のコントローラ内のサブシステムの第１のセットのうちの第１のサブシステムの機能状態を表す第５の有効機能符号語と、
前記第１のサブシステムの故障状態を表し前記第５の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第５の有効故障符号語と、
前記第１のコントローラの機能状態を表す第６の有効機能符号語と、
前記第１のコントローラの故障状態を表し前記第６の有効機能符号語からの４の最小ハミング距離によって特徴づけられる第６の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶することと、
前記第１の期間中に、前記第１のコントローラで、前記第１のサブシステムの機能動作を検出したことに応答して、前記第１の有効機能符号語を第３のメモリに記憶することと
をさらに含み、
前記第２の期間中に、前記第１のプロセッサで、前記第４の有効機能符号語を含む前記第２の安全メッセージを出力することは、前記第３のメモリの内容が前記第５の有効機能符号語と一致することを検出したことにさらに応答する、請求項１１に記載の方法。

【請求項13】

前記第１のコントローラで、
前記第２のコントローラの機能通信内容状態を表す第５の有効機能符号語と、
前記第２のコントローラの故障通信内容状態を表し前記第５の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第５の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶することと、
前記第１の期間中に、前記第１のコントローラで、前記第１の時間量内における前記第２のコントローラからの前記第１の安全メッセージの受信を検出したことに応答して、および前記第１の安全メッセージの内容と前記第２の有効機能符号語との間の一致を検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと、
前記第４の期間の後の第５の期間中に、前記第１のコントローラで、第３の時間量内における前記第２のコントローラからの第６の機能符号語を含む第５の安全メッセージの受信を検出したことに応答して、および前記第６の機能符号語と前記有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、前記第５の有効故障符号語を前記第３のメモリに記憶することと、
前記第５の期間の後の第６の期間中に、前記第１のコントローラで、前記第１のメモリの内容と前記第１の有効機能符号語との間の一致を検出したことに応答して、前記第１の入力の機能動作を検出したことに応答して、および前記第３のメモリの内容と前記第５の有効故障符号語との間の一致を検出したことに応答して、前記第４の有効故障符号語を含む第６の安全メッセージを出力することと
をさらに含み、
前記第２の期間中に、前記第１のプロセッサで、前記第４の有効機能符号語を含む前記第２の安全メッセージを出力することは、前記第３のメモリの内容が前記第５の有効機能符号語と一致することを検出したことにさらに応答する、請求項１１に記載の方法。

【請求項14】

前記第１のコントローラで、
前記システム内の第３の安全モジュール内の第３のコントローラの機能タイムアウト状態を表し前記第１の有効機能符号語からの４の最小ハミング距離によって特徴づけられる第５の有効機能符号語と、
前記第３のコントローラの故障タイムアウト状態を表し前記第１の有効故障符号語からの４の最小ハミング距離および前記第５の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第５の有効故障符号語と、
前記第２のコントローラおよび前記第３のコントローラを含む被監視コントローラのセットの機能タイムアウト状態を表す第６の有効機能符号語と、
前記被監視コントローラのセットの故障タイムアウト状態を表し前記第６の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第６の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶することと、
前記第１の期間中に、前記第１のコントローラで、第３の時間量内における前記第３のコントローラからの第５の安全メッセージの不受信を検出したことに応答して、前記第５の有効故障符号語を第３のメモリに記憶することと
をさらに含み、
前記第２の期間中に、前記第１のコントローラで、前記第２の安全メッセージを出力することは、前記第１のメモリの内容と前記第１の有効機能符号語との間の一致を検出したことに応答して、前記第３のメモリの内容と前記第５の有効故障符号語との間の一致を検出したことに応答して、および前記第１の入力の機能動作を検出したことに応答して、前記第４の有効機能符号語および前記第６の有効故障符号語を含む前記第２の安全メッセージを出力することを含む、請求項１１に記載の方法。

【請求項15】

前記第１のコントローラで、前記有効符号語の第１のセットを記憶することは、
前記第１の有効機能符号語として「０１１１０１０１１１１０００１１」のビットパターンを記憶することと、
前記第１の有効故障符号語として「１１１０００１１０１１１０１０１」のビットパターンを記憶することと、
前記第５の有効機能符号語として「１０１１００１１００１００１１０」のビットパターンを記憶することと、
前記第５の有効故障符号語として「００１００１１０１０１１００１１」のビットパターンを記憶することと
を含む、請求項１４に記載の方法。

【請求項16】

前記第１の有効機能符号語は、第１の上位バイトおよび第１の下位バイトを含み、
前記第１の有効故障符号語は、第２の上位バイトおよび第２の下位バイトを含み、
前記第１の上位バイトおよび前記第２の下位バイトは互いに等価であり、
前記第２の上位バイトおよび前記第１の下位バイトは互いに等価である、請求項１１に記載の方法。

【請求項17】

前記第１の有効機能符号語は、前記第２の有効機能符号語からの４のハミング距離および前記第２の有効故障符号語からの４のハミング距離によって特徴づけられ、
前記第１の有効故障符号語は、前記第２の有効機能符号語からの４のハミング距離、前記第２の有効故障符号語からの４のハミング距離、および前記第１の有効機能符号語からの８のハミング距離によって特徴づけられる、請求項１１に記載の方法。

【請求項18】

前記第１のコントローラで、前記有効符号語の第１のセットを記憶することは、前記第２の有効機能符号語からの４の最小ハミング距離によって特徴づけられる前記第２の有効故障符号語を記憶することを含む、請求項１１に記載の方法。

【請求項19】

前記第１のコントローラで、
前記第１の安全モジュール内の第３のコントローラの機能タイムアウト状態を表す第５の有効機能符号語と、
前記第３のコントローラの故障タイムアウト状態を表し前記第５の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第５の有効故障符号語と、
前記第３のコントローラの機能状態を表す第６の有効機能符号語と、
前記第３のコントローラの故障状態を表し前記第６の有効機能符号語からの４の最小ハミング距離によって特徴づけられる第６の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶することと、
前記第１の期間中に、前記第１のコントローラで、
前記第３のコントローラに結合された入力レジスタに問い合わせることと、
前記入力レジスタで、前記第３のコントローラからの前記第６の有効機能符号語を含む第５の安全メッセージを検出することと、
第３の時間量内に前記入力レジスタで前記第５の安全メッセージを検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと
をさらに含み、
前記第２の期間中に、前記第１のプロセッサで、前記第４の有効機能符号語を含む前記第２の安全メッセージを出力することは、前記第３のメモリの内容が前記第５の有効機能符号語と一致することを検出したことにさらに応答する、請求項１１に記載の方法。

【請求項20】

システム内の第１の安全モジュール内の第１のコントローラで、
前記システム内の第２の安全モジュール内の第２のコントローラの機能タイムアウト状態を表す第１の有効機能符号語と、
前記第２のコントローラの故障タイムアウト状態を表し前記第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、
前記システムの機能状態を表す第２の有効機能符号語と、
前記システムの故障状態を表し前記第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語と
を含む有効符号語のセットを記憶することと、
第１の期間中に、前記第１のコントローラで、第１の時間量内における前記第２のコントローラからの第１の安全メッセージの受信を検出したことに応答して、前記第１の有効機能符号語をメモリに記憶することと、
前記第１の期間の後の第２の期間中に、前記第１のコントローラで、前記メモリの内容と前記第１の有効機能符号語との間の一致を検出したことに応答して、前記第２の有効機能符号語を含む第２の安全メッセージを出力することと、
前記第２の期間の後の第３の期間中に、前記第１のコントローラで、第２の時間量内における前記第２のコントローラからの第３の安全メッセージの受信を検出したことに応答して、前記第１の有効機能符号語を前記メモリに記憶することと、
前記第３の期間の後の第４の期間中に、前記第１のコントローラで、前記メモリの内容と前記有効符号語のセット内のあらゆる符号語との間の不一致を検出したことに応答して、前記第２の有効故障符号語を含む第４の安全メッセージを出力することと
を含む、方法。

【請求項21】

システムに結合された安全モジュール内の第１のコントローラで、
前記第１のコントローラ内のサブシステムの第１のセットのうちの第１のサブシステムの機能状態を表す第１の有効機能符号語と、
前記第１のサブシステムの故障状態を表し前記第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、
前記第１のコントローラの機能状態を表す第２の有効機能符号語と、
前記第１のコントローラの故障状態を表し前記第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語と、
前記システムに結合された第１の入力の機能状態を表す第３の有効機能符号語と、
前記第１の入力の故障状態を表し前記第３の有効機能符号語からの第３の最小ハミング距離によって特徴づけられる第３の有効故障符号語と、
前記システムの機能状態を表す第４の有効機能符号語と、
前記システムの故障状態を表し前記第４の有効機能符号語からの第４の最小ハミング距離によって特徴づけられる第４の有効故障符号語と
を含む有効符号語の第１のセットを記憶することと、
第１の期間中に、前記第１のコントローラで、
前記第１のサブシステムの機能動作を検出したことに応答して、前記第１の有効機能符号語を第１のメモリに記憶することと、
前記第１の入力の機能動作を検出したことに応答して、前記第３の有効機能符号語を第２のメモリに記憶することと、
前記第１の期間の後の第２の期間中に、前記第１のコントローラで、前記第１のメモリの内容と前記第１の有効機能符号語との間の一致を検出したことに応答して、および前記第１の入力の機能動作を検出したことに応答して、前記第２の有効機能符号語および前記第４の有効機能符号語を含む第１の安全メッセージを出力することと、
前記第２の期間の後の第３の期間中に、前記第１のコントローラで、
前記第１のサブシステムの機能動作を検出したことに応答して、前記第１の有効機能符号語を前記第１のメモリに記憶することと、
前記第１の入力の機能動作を検出したことに応答して、前記第３の有効機能符号語を前記第２のメモリに記憶することと、
前記第３の期間の後の第４の期間中に、前記第１のコントローラで、前記第１のメモリの内容と前記有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、前記第２の有効故障符号語および前記第４の有効故障符号語を含む第２の安全メッセージを出力することと
を含む、方法。

【請求項22】

前記安全モジュール内の第２のコントローラで、
前記第２のコントローラ内のサブシステムの第２のセットのうちの第２のサブシステムの機能状態を表す第５の有効機能符号語と、
前記第２のサブシステムの故障状態を表し前記第５の有効機能符号語からの第５の最小ハミング距離によって特徴づけられる第５の有効故障符号語と、
前記第２のコントローラの機能状態を表す第６の有効機能符号語と、
前記第２のコントローラの故障状態を表し前記第６の有効機能符号語からの第６の最小ハミング距離によって特徴づけられる第６の有効故障符号語と、
前記システムに結合された第２の入力の機能状態を表す第７の有効機能符号語と、
前記第２の入力の故障状態を表し前記第７の有効機能符号語からの第７の最小ハミング距離によって特徴づけられる第７の有効故障符号語と、
前記システムの機能状態を表す第８の有効機能符号語と、
前記システムの故障状態を表し前記第８の有効機能符号語からの第８の最小ハミング距離によって特徴づけられる第８の有効故障符号語と
を含む有効符号語の第２のセットを記憶することと、
前記第１の期間中に、前記第２のコントローラで、
前記第２のサブシステムの機能動作を検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと、
前記第２の入力の機能動作を検出したことに応答して、前記第７の有効機能符号語を第４のメモリに記憶することと、
前記第２の期間中に、前記第２のコントローラで、前記第３のメモリの内容と前記第５の有効機能符号語との間の一致を検出したことに応答して、および前記第２の入力の機能動作を検出したことに応答して、前記第６の有効機能符号語および前記第８の有効機能符号語を含む第３の安全メッセージを出力することと、
前記第３の期間中に、前記第２のコントローラで、
前記第２のサブシステムの機能動作を検出したことに応答して、前記第５の有効機能符号語を前記第３のメモリに記憶することと、
前記第２の入力の機能動作を検出したことに応答して、前記第７の有効機能符号語を前記第４のメモリに記憶することと、
前記第４の期間中に、前記第２のコントローラで、前記第３のメモリの内容と前記第５の有効機能符号語との間の一致を検出したことに応答して、および前記第２の入力の機能動作を検出したことに応答して、前記第６の有効機能符号語および前記第８の有効機能符号語を含む第４の安全メッセージを出力することと、
前記第２の期間の後の第５の期間中に、前記安全モジュール内のアプリケーションプロセッサで、
前記第１の安全メッセージおよび前記第３の安全メッセージを受信することと、
前記第１の安全メッセージ内の前記第４の有効機能符号語および前記第３の安全メッセージ内の前記第８の有効機能符号語を検出したことに応答して、前記システムの機能状態を表す第９の有効機能符号語を含む第５の安全メッセージを出力することと、
前記第４の期間の後の第６の期間中に、前記アプリケーションプロセッサで、
前記第２の安全メッセージおよび前記第４の安全メッセージを受信することと、
前記第２の安全メッセージ内の前記第４の有効故障符号語および前記第４の安全メッセージ内の前記第８の有効機能符号語を検出したことに応答して、前記システムの故障状態を表し前記第９の有効機能符号語からの第９の最小ハミング距離によって特徴づけられる第９の有効故障符号語を含む第６の安全メッセージを出力することと
をさらに含む、請求項２１に記載の方法。

【請求項23】

前記第１の有効機能符号語は、前記第１のコントローラ内の第１の算術論理演算装置の機能状態を表し、
前記第１の有効故障符号語は、前記第１のコントローラ内の前記第１の算術論理演算装置の故障状態を表し前記第１の有効機能符号語からの８の最小ハミング距離によって特徴づけられ、
前記第５の有効機能符号語は、前記第２のコントローラ内の第２の算術論理演算装置の機能状態を表し前記第１の有効機能符号語からの８の最小ハミング距離によって特徴づけられ、
前記第５の有効故障符号語は、前記第２のコントローラ内の前記第２の算術論理演算装置の故障状態を表し前記第１の有効故障符号語からの８の最小ハミング距離および前記第５の有効機能符号語からの８の最小ハミング距離によって特徴づけられる、請求項２２に記載の方法。

【請求項24】

前記安全モジュール内の第２のコントローラで、
前記第２のコントローラ内のサブシステムの第２のセットのうちの第２のサブシステムの機能状態を表す第５の有効機能符号語と、
前記第２のサブシステムの故障状態を表し前記第５の有効機能符号語からの第５の最小ハミング距離によって特徴づけられる第５の有効故障符号語と、
前記第２のコントローラの機能状態を表す第６の有効機能符号語と、
前記第２のコントローラの故障状態を表し前記第６の有効機能符号語からの第６の最小ハミング距離によって特徴づけられる第６の有効故障符号語と、
前記システムに結合された第２の入力の機能状態を表す第７の有効機能符号語と、
前記第２の入力の故障状態を表し前記第７の有効機能符号語からの第７の最小ハミング距離によって特徴づけられる第７の有効故障符号語と、
前記システムの機能状態を表す第８の有効機能符号語と、
前記システムの故障状態を表し前記第８の有効機能符号語からの第８の最小ハミング距離によって特徴づけられる第８の有効故障符号語と
を含む有効符号語の第２のセットを記憶することと、
前記第１の期間中に、前記第２のコントローラで、
前記第２のサブシステムの機能動作を検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと、
前記第２の入力の機能動作を検出したことに応答して、前記第７の有効機能符号語を第４のメモリに記憶することと、
前記第２の期間中に、前記第２のコントローラで、前記第３のメモリの内容と前記第５の有効機能符号語との間の一致を検出したことに応答して、および前記第２の入力の機能動作を検出したことに応答して、前記第６の有効機能符号語および前記第８の有効機能符号語を含む第３の安全メッセージを出力することと、
前記第１の期間中に、前記第１のコントローラで、
前記第２のコントローラに結合された入力レジスタに問い合わせることと、
前記入力レジスタで、前記第２のコントローラからの前記第６の有効機能符号語を含む第４の安全メッセージを検出することと
をさらに含み、
前記第２の期間中に、前記第１のコントローラで、前記第３の有効機能符号語を含む前記第１の安全メッセージを出力することは、第１の時間量内に前記入力レジスタで前記第４の安全メッセージを検出したことにさらに応答する、請求項２１に記載の方法。

【請求項25】

前記第２の期間の後の第５の期間中に、前記安全モジュール内のアプリケーションプロセッサで、
前記第１の安全メッセージおよび前記第３の安全メッセージを受信することと、
前記第１の安全メッセージ内の前記第４の有効機能符号語および前記第３の安全メッセージ内の前記第８の有効機能符号語を検出したことに応答して、前記システムの機能状態を表す第９の有効機能符号語を含む第５の安全メッセージを出力することと
をさらに含む、請求項２４に記載の方法。

【請求項26】

前記第１のコントローラで、
前記第２のコントローラの機能タイムアウト状態を表す第９の有効機能符号語と、
前記第２のコントローラの故障タイムアウト状態を表し前記第９の有効機能符号語からの第９の最小ハミング距離によって特徴づけられる第９の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶することと、
前記第１の期間中に、前記第１のコントローラで、前記第１の時間量内に前記入力レジスタで前記第４の安全メッセージを検出したことに応答して、前記第９の有効機能符号語を第５のメモリに記憶することと
をさらに含み、
前記第２の期間中に、前記第１のコントローラで、前記第２の有効機能符号語および前記第４の有効機能符号語を含む前記第１の安全メッセージを出力することは、前記第５のメモリの内容と前記第９の有効機能符号語との間の一致を検出したことにさらに応答する、請求項２４に記載の方法。

【請求項27】

前記安全モジュール内の第２のコントローラで、
前記第２のコントローラ内のサブシステムの第２のセットのうちの第２のサブシステムの機能状態を表す第５の有効機能符号語と、
前記第２のサブシステムの故障状態を表し前記第５の有効機能符号語からの第５の最小ハミング距離によって特徴づけられる第５の有効故障符号語と、
前記第２のコントローラの機能状態を表す第６の有効機能符号語と、
前記第２のコントローラの故障状態を表し前記第６の有効機能符号語からの第６の最小ハミング距離によって特徴づけられる第６の有効故障符号語と、
前記システムに結合された第２の入力の機能状態を表す第７の有効機能符号語と、
前記第２の入力の故障状態を表し前記第７の有効機能符号語からの第７の最小ハミング距離によって特徴づけられる第７の有効故障符号語と、
前記システムの機能状態を表す第８の有効機能符号語と、
前記システムの故障状態を表し前記第８の有効機能符号語からの第８の最小ハミング距離によって特徴づけられる第８の有効故障符号語と、
前記第１のコントローラの機能タイムアウト状態を表す第９の有効機能符号語と、
前記第１のコントローラの故障タイムアウト状態を表し前記第９の有効機能符号語からの第９の最小ハミング距離によって特徴づけられる第９の有効故障符号語と
を含む有効符号語の第２のセットを記憶することと、
前記第１の期間中に、前記第２のコントローラで、
前記第２のサブシステムの機能動作を検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと、
前記第２の入力の機能動作を検出したことに応答して、前記第７の有効機能符号語を第４のメモリに記憶することと、
前記第１のコントローラに結合された入力レジスタに問い合わせることと、
第１の時間量内における前記入力レジスタでの第３の安全メッセージの不受信を検出したことに応答して、前記第９の有効故障符号語を第５のメモリに記憶することと、
前記第２の期間中に、前記第２のコントローラで、前記第５のメモリの内容と前記第９の有効故障符号語との間の一致を検出したことに応答して、前記第８の有効故障符号語を含む第４の安全メッセージを出力することと
をさらに含む、請求項２１に記載の方法。

【請求項28】

前記第１のコントローラで、
前記第１のコントローラ内の前記サブシステムの第１のセットのうちの第２のサブシステムの機能状態を表し前記第１の有効機能符号語からの４の最小ハミング距離によって特徴づけられる第５の有効機能符号語と、
前記第２のサブシステムの故障状態を表し前記第１の有効故障符号語からの４の最小ハミング距離および前記第５の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第５の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶することと、
前記第１の期間中に、前記第１のコントローラで、前記第２のサブシステムの機能動作を検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと
をさらに含み、
前記第２の期間中に、前記第１のプロセッサで、前記第２の有効機能符号語および前記第４の有効機能符号語を含む前記第１の安全メッセージを出力することは、前記第３のメモリの内容が前記第５の有効機能符号語と一致することを検出したことにさらに応答する、請求項２１に記載の方法。

【請求項29】

前記第１の有効機能符号語および前記第１の有効故障符号語は、２バイトの長さを各々示し、
前記第２の有効機能符号語、前記第２の有効故障符号語、前記第３の有効機能符号語、前記第３の有効故障符号語、前記第４の有効機能符号語、および前記第４の有効故障符号語は、１バイトの長さを各々示し、
前記第１の最小ハミング距離は８であり、
前記第２の最小ハミング距離は４であり、
前記第３の最小ハミング距離は４であり、
前記第４の最小ハミング距離は４である、請求項２１に記載の方法。

【請求項30】

前記第１のコントローラで、前記有効符号語の第１のセットを記憶することは、
前記第１の有効機能符号語として「１１０１１１１０１１１０１１０１」のビットパターンを記憶することと、
前記第１の有効故障符号語として「１０００００１０００１０１０００」のビットパターンを記憶することと
を含む、請求項２１に記載の方法。

【請求項31】

システムに結合された安全モジュール内の第１のコントローラで、
前記第１のコントローラ内のサブシステムの第１のセットのうちの第１のサブシステムの機能状態を表す第１の有効機能符号語と、
前記第１のサブシステムの故障状態を表し前記第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、
前記第１のコントローラの機能状態を表す第２の有効機能符号語と、
前記第１のコントローラの故障状態を表し前記第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語と、
前記システムに結合された第１の入力の機能状態を表す第３の有効機能符号語と、
前記第１の入力の故障状態を表し前記第３の有効機能符号語からの第３の最小ハミング距離によって特徴づけられる第３の有効故障符号語と、
前記安全モジュール内の第２のコントローラの機能状態を表す第４の有効機能符号語と、
前記第２のコントローラの故障状態を表し前記第４の有効機能符号語からの第６の最小ハミング距離によって特徴づけられる第４の有効故障符号語と、
前記第２のコントローラの機能タイムアウト状態を表す第５の有効機能符号語と、
前記第２のコントローラの故障タイムアウト状態を表し前記第４の有効機能符号語からの第５の最小ハミング距離によって特徴づけられる第５の有効故障符号語と、
前記システムの機能状態を表す第６の有効機能符号語と、
前記システムの故障状態を表し前記第６の有効機能符号語からの第６の最小ハミング距離によって特徴づけられる第６の有効故障符号語と
を含む有効符号語の第１のセットを記憶することと、
第１の期間中に、前記第１のコントローラで、
前記第１のサブシステムの機能動作を検出したことに応答して、前記第１の有効機能符号語を第１のメモリに記憶することと、
前記第１の入力の機能動作を検出したことに応答して、前記第３の有効機能符号語を第２のメモリに記憶することと、
前記第２のコントローラに結合された入力レジスタに問い合わせることと、
前記入力レジスタで、前記第２のコントローラからの前記第４の有効機能符号語を含む第１の安全メッセージを検出することと、
第１の時間量内に前記入力レジスタで前記第１の安全メッセージを検出したことに応答して、前記第５の有効機能符号語を第３のメモリに記憶することと、
前記第１の期間の後の第２の期間中に、前記第１のコントローラで、前記第１のメモリの内容と前記第１の有効機能符号語との間の一致を検出したことに応答して、前記第３のメモリの内容と前記第５の有効機能符号語との間の一致を検出したことに応答して、および前記第１の入力の機能動作を検出したことに応答して、前記第２の有効機能符号語および前記第６の有効機能符号語を含む第２の安全メッセージを出力することと、
前記第２の期間の後の第３の期間中に、前記第１のコントローラで、
前記第１のサブシステムの機能動作を検出したことに応答して、前記第１の有効機能符号語を前記第１のメモリに記憶することと、
前記第１の入力の機能動作を検出したことに応答して、前記第３の有効機能符号語を前記第２のメモリに記憶することと、
前記入力レジスタに問い合わせることと、
第２の時間量内における前記入力レジスタでの前記第３の安全メッセージの不受信を検出したことに応答して、前記第５の有効故障符号語を第３のメモリに記憶することと、
前記第３の期間の後の第４の期間中に、前記第１のコントローラで、前記第１のメモリの内容と前記第１の有効機能符号語との間の一致を検出したことに応答して、および前記第３のメモリの内容と前記第５の有効故障符号語との間の一致を検出したことに応答して、前記第２の有効機能符号語および前記第６の有効故障符号語を含む第４の安全メッセージを出力することと
を含む、方法。

【請求項32】

前記第２の期間の後で前記第３の期間の前の第５の期間中に、前記第１のコントローラで、
前記第１のサブシステムの機能動作を検出したことに応答して、前記第１の有効機能符号語を前記第１のメモリに記憶することと、
前記第２のコントローラに結合された前記入力レジスタに問い合わせることと、
第３の時間量内に前記入力レジスタで前記第２のコントローラからの第５の安全メッセージを検出したことに応答して、前記第５の有効機能符号語を前記第３のメモリに記憶することと、
前記第５の期間の後で前記第３の期間の前の第６の期間中に、前記第１のコントローラで、前記第１のメモリの内容と前記第１の有効機能符号語との間の一致を検出したことに応答して、および前記第３のメモリの内容と前記有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、前記第２の有効機能符号語および前記第６の有効故障符号語を含む第６の安全メッセージを出力することと
をさらに含む、請求項３１に記載の方法。

【請求項33】

前記第１のコントローラで、
前記システムに結合された第２の安全モジュール内の第３のコントローラの機能タイムアウト状態を表す第７の有効機能符号語と、
前記第３のコントローラの故障タイムアウト状態を表し前記第７の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第７の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶することと、
前記第１の期間中に、前記第１のコントローラで、第３の時間量内における前記第３のコントローラからの第５の安全メッセージの受信を検出したことに応答して、前記第７の有効機能符号語を第４のメモリに記憶することと、
前記第２の期間中に、前記第１のコントローラで、前記第４のメモリの内容と前記第７の有効機能符号語との間の一致を検出したことにさらに応答して、前記第２の有効機能符号語および前記第６の有効機能符号語を含む前記第２の安全メッセージを出力することと
をさらに含む、請求項３１に記載の方法。

【請求項34】

前記第１のコントローラで、
前記システムに結合された第２の安全モジュール内の第３のコントローラの機能タイムアウト状態を表す第７の有効機能符号語と、
前記第３のコントローラの故障タイムアウト状態を表し前記第７の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第７の有効故障符号語と、
前記システムに結合された第３の安全モジュール内の第４のコントローラの機能タイムアウト状態を表し前記第７の有効機能符号語からの４の最小ハミング距離によって特徴づけられる第８の有効機能符号語と、
前記第４のコントローラの故障タイムアウト状態を表し前記第７の有効故障符号語からの４の最小ハミング距離および前記第８の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第８の有効故障符号語と、
前記第３のコントローラおよび前記第４のコントローラを含む被監視コントローラのセットの機能タイムアウト状態を表す第９の有効機能符号語と、
前記被監視コントローラのセットの故障タイムアウト状態を表し前記第９の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第９の有効故障符号語と
をさらに含む前記有効符号語の第１のセットを記憶することと、
前記第１の期間中に、前記第１のコントローラで、
第３の時間量内における前記第３のコントローラからの第５の安全メッセージの受信を検出したことに応答して、前記第７の有効機能符号語を第４のメモリに記憶することと、
第４の時間量内における前記第４のコントローラからの第６の安全メッセージの不受信を検出したことに応答して、前記第８の有効故障符号語を第５のメモリに記憶することと
をさらに含み、
前記第２の期間中に、前記第１のコントローラで、前記第２の安全メッセージを出力することは、前記第１のメモリの内容と前記第１の有効機能符号語との間の一致を検出したことに応答して、前記第３のメモリの内容と前記第５の有効機能符号語との間の一致を検出したことに応答して、前記第１の入力の機能動作を検出したことに応答して、前記第４のメモリの内容と前記第７の有効機能符号語との間の一致を検出したことに応答して、および前記第５のメモリと前記第８の有効故障符号語との間の一致を検出したことに応答して、前記第２の有効機能符号語、前記第６の有効機能符号語、および前記第９の有効故障符号語を含む前記第２の安全メッセージを出力することを含む、請求項３１に記載の方法。

【請求項35】

前記第１の有効機能符号語は、上位バイトおよび下位バイトを含み、
前記上位バイトおよび前記下位バイトは互いに逆のニブル値である、請求項３１に記載の方法。

【請求項36】

前記第１の有効機能符号語は、前記第２の有効機能符号語からの４のハミング距離および前記第２の有効故障符号語からの４のハミング距離によって特徴づけられ、
前記第１の有効故障符号語は、前記第２の有効機能符号語からの４のハミング距離、前記第２の有効故障符号語からの４のハミング距離、および前記第１の有効機能符号語からの８のハミング距離によって特徴づけられる、請求項３１に記載の方法。

【請求項37】

前記第１のコントローラで、前記有効符号語の第１のセットを記憶することは、前記第２の有効機能符号語からの４の最小ハミング距離によって特徴づけられる前記第２の有効故障符号語を記憶することを含む、請求項３１に記載の方法。

【請求項38】

前記第１のコントローラで、前記有効符号語の第１のセットを記憶することは、
前記第１のコントローラ内の算術論理演算装置の機能状態を表す前記第１の有効機能符号語を記憶することと、
前記算術論理演算装置の故障状態を表し前記第１の有効機能符号語からの８の最小ハミング距離によって特徴づけられる前記第１の有効故障符号語を記憶することと、
前記第１のコントローラ内のフラッシュメモリの機能状態を表し前記第１の有効機能符号語からの４の最小ハミング距離および前記第１の有効故障符号語からの４の最小ハミング距離によって特徴づけられる第７の有効機能符号語を記憶することと、
前記フラッシュメモリの故障状態を表し前記第１の有効機能符号語からの４の最小ハミング距離、前記第１の有効故障符号語からの４の最小ハミング距離、および前記第７の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第７の有効故障符号語を記憶することと、
前記第１のコントローラ内のスタックオーバーフロー安全メカニズムの機能状態を表し前記第１の有効機能符号語からの４の最小ハミング距離および前記第７の有効機能符号語からの４の最小ハミング距離によって特徴づけられる第８の有効機能符号語を記憶することと、
前記スタックオーバーフロー安全メカニズムの故障状態を表し前記第１の有効故障符号語からの４の最小ハミング距離、前記第７の有効故障符号語からの４の最小ハミング距離、および前記第８の有効機能符号語からの８の最小ハミング距離によって特徴づけられる第８の有効故障符号語を記憶することと
を含む、請求項３１に記載の方法。

【請求項39】

前記第１のコントローラで、前記有効符号語の第１のセットを記憶することは、
前記第１の有効機能符号語として「１１０１１１１０１１１０１１０１」のビットパターンを記憶することと、
前記第１の有効故障符号語として「１０００００１０００１０１０００」のビットパターンを記憶することと、
前記第７の有効機能符号語として「１１１０１１０１１１０１１１１０」のビットパターンを記憶することと、
前記第７の有効故障符号語として「００１０１０００１０００００１０」のビットパターンを記憶することと、
前記第８の有効機能符号語として「１１１０１０１１１０１１１１１０」のビットパターンを記憶することと、
前記第８の有効故障符号語として「１１０１０１１１０１１１１１０１」のビットパターンを記憶することと
を含む、請求項３８に記載の方法。

【請求項40】

システムに結合された安全モジュール内の第１のコントローラで、
前記第１のコントローラ内のサブシステムの第１のセットのうちの第１のサブシステムの機能状態を表す第１の有効機能符号語と、
前記第１のサブシステムの故障状態を表し前記第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、
前記第１のコントローラの機能状態を表す第２の有効機能符号語と、
前記第１のコントローラの故障状態を表し前記第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語と
を含む有効符号語の第１のセットを記憶することと、
第１の期間中に、前記第１のコントローラで、前記第１のサブシステムの機能動作を検出したことに応答して、前記第１の有効機能符号語を第１のメモリに記憶することと、
前記第１の期間の後の第２の期間中に、前記第１のコントローラで、前記第１のメモリの内容と前記第１の有効機能符号語との間の一致を検出したことに応答して、前記第２の有効機能符号語を含む第１の安全メッセージを出力することと、
前記第２の期間の後の第３の期間中に、前記第１のコントローラで、前記第１のサブシステムの機能動作を検出したことに応答して、前記第１の有効機能符号語を前記第１のメモリに記憶することと、
前記第３の期間の後の第４の期間中に、前記第１のコントローラで、前記第１のメモリの内容と前記有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、前記第２の有効故障符号語を含む第２の安全メッセージを出力することと
を含む、方法。

【発明の詳細な説明】

【技術分野】

【0001】

関連出願の相互参照
本出願は、２０２１年７月１日に出願された米国仮出願第６３／２１７，６７４号、２０２１年７月１日に出願された米国仮出願第６３／２１７，６８２号、および２０２１年７月１日に出願された米国仮出願第６３／２１７，６８４号の利益を主張し、それらの各々が全体として参照により援用される。

【0002】

本出願は、２０２１年３月４日に出願された米国特許出願第１７／１９２，６５７号および２０２１年５月２７日に出願された米国特許出願第１７／３３２，６３５号に関連し、それらは全体として参照により援用される。

【0003】

本発明は、一般に機能安全の分野に関し、より詳細には、機能安全の分野において機能安全システムにおける符号化された診断のための新規で有用な方法に関する。

【図面の簡単な説明】

【0004】

【図1】図１は、方法のフローチャート図である。

【図2】図２Ａ及び図２Ｂは、方法の一変形例の概略図である。

【図3】図３は、法の一変形例の概略図である。

【図4】図４は、方法の一変形例による例示的テーブルである。

【図5】図５Ａ～図５Ｄは、方法の一変形例による例示的テーブルである。

【図6】図６は、方法の一変形例による例示的テーブルである。

【発明を実施するための形態】

【0005】

本発明の実施形態の下記の説明は、これらの実施形態に本発明を限定することを意図するものではなく、むしろ当業者が本発明を実施および使用することを可能にすることを意図している。本明細書に記載される変形例、構成、実装形態、例示的実装形態、および実施例は任意選択的であり、それらが記載する変形例、構成、実装形態、例示的実装形態、および実施例に限られない。本明細書に記載される発明は、これらの変形例、構成、実装形態、例示的実装形態、および実施例の任意のすべての置換を含み得る。

【0006】

１．方法
図１、図２Ａ、および図２Ｂに示されるように、方法Ｓ１００は、システムに結合された安全モジュール内の第１のコントローラで、ブロックＳ１１０で、有効符号語の第１のセットを記憶することを含み、有効符号語の第１のセットは、第１のコントローラ内のサブシステムの第１のセットのうちの第１のサブシステムの機能状態を表す第１の有効機能符号語と、第１のサブシステムの故障状態を表し第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、第１のコントローラの機能状態を表す第２の有効機能符号語と、第１のコントローラの故障状態を表し第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語と、システムに結合された第１の入力の機能状態を表す第３の有効機能符号語と、第１の入力の故障状態を表し第３の有効機能符号語からの第３の最小ハミング距離によって特徴づけられる第３の有効故障符号語と、システムの機能状態を表す第４の有効機能符号語と、システムの故障状態を表し第４の有効機能符号語からの第４の最小ハミング距離によって特徴づけられる第４の有効故障符号語とを含む。

【0007】

方法は、第１の期間中に、第１のコントローラで、ブロックＳ１２０で、第１のサブシステムの機能動作を検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することと、ブロックＳ１２２で、第１の入力の機能動作を検出したことに応答して、第３の有効機能符号語を第２のメモリに記憶することとをさらに含む。

【0008】

方法は、第１の期間の後の第２の期間中に、第１のコントローラで、ブロックＳ１３０で、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、および第１の入力の機能動作を検出したことに応答して、第２の有効機能符号語および第４の有効機能符号語を含む第１の安全メッセージを出力することをさらに含む。

【0009】

方法は、第２の期間の後の第３の期間中に、第１のコントローラで、ブロックＳ１２０で、第１のサブシステムの機能動作を検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することと、ブロックＳ１２２で、第１の入力の機能動作を検出したことに応答して、第３の有効機能符号語を第２のメモリに記憶することとをさらに含む。

【0010】

方法は、第３の期間の後の第４の期間中に、第１のコントローラで、ブロックＳ１３０で、第１のメモリの内容と有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、第２の有効故障符号語および第４の有効故障符号語を含む第２の安全メッセージを出力することをさらに含む。

【0011】

１．１ コントローラインフラストラクチャ診断および安全モジュールタイムアウト
図１、図２Ａ、および図２Ｂに示されるように、方法Ｓ１００の一変形例は、システムに結合された安全モジュール内の第１のコントローラで、ブロックＳ１１０で、有効符号語の第１のセットを記憶することを含み、有効符号語の第１のセットは、第１のコントローラ内のサブシステムの第１のセットのうちの第１のサブシステムの機能状態を表す第１の有効機能符号語と、第１のサブシステムの故障状態を表し第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、第１のコントローラの機能状態を表す第２の有効機能符号語と、第１のコントローラの故障状態を表し第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語と、システムに結合された第１の入力の機能状態を表す第３の有効機能符号語と、第１の入力の故障状態を表し第３の有効機能符号語からの第３の最小ハミング距離によって特徴づけられる第３の有効故障符号語と、安全モジュール内の第２のコントローラの機能状態を表す第４の有効機能符号語と、第２のコントローラの故障状態を表し第４の有効機能符号語からの第６の最小ハミング距離によって特徴づけられる第４の有効故障符号語と、第２のコントローラの機能タイムアウト状態を表す第５の有効機能符号語と、第２のコントローラの故障タイムアウト状態を表し第４の有効機能符号語からの第５の最小ハミング距離によって特徴づけられる第５の有効故障符号語と、システムの機能状態を表す第６の有効機能符号語と、システムの故障状態を表し第６の有効機能符号語からの第６の最小ハミング距離によって特徴づけられる第６の有効故障符号語とを含む。

【0012】

方法Ｓ１００のこの変形例は、第１の期間中に、第１のコントローラで、ブロックＳ１２０で、第１のサブシステムの機能動作を検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することと、ブロックＳ１２２で、第１の入力の機能動作を検出したことに応答して、第３の有効機能符号語を第２のメモリに記憶することと、ブロックＳ１４０で、第２のコントローラに結合された入力レジスタに問い合わせることと、ブロックＳ１４２で、入力レジスタで、第２のコントローラからの第４の有効機能符号語を含む第１の安全メッセージを検出することと、ブロックＳ１２４で、第１の時間量内に入力レジスタで第１の安全メッセージを検出したことに応答して、第５の有効機能符号語を第３のメモリに記憶することとをさらに含む。

【0013】

方法Ｓ１００のこの変形例は、第１の期間の後の第２の期間中に、第１のコントローラで、ブロックＳ１３０で、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、第３のメモリの内容と第５の有効機能符号語との間の一致を検出したことに応答して、および第１の入力の機能動作を検出したことに応答して、第２の有効機能符号語および第６の有効機能符号語を含む第２の安全メッセージを出力することをさらに含む。

【0014】

方法Ｓ１００のこの変形例は、第２の期間の後の第３の期間中に、第１のコントローラで、ブロックＳ１２０で、第１のサブシステムの機能動作を検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することと、ブロックＳ１２２で、第１の入力の機能動作を検出したことに応答して、第３の有効機能符号語を第２のメモリに記憶することと、ブロックＳ１４０で、入力レジスタに問い合わせることと、ブロックＳ１２４で、第２の時間量内における入力レジスタでの第３の安全メッセージの不受信を検出したことに応答して、第５の有効故障符号語を第３のメモリに記憶することとをさらに含む。

【0015】

方法Ｓ１００のこの変形例は、第３の期間の後の第４の期間中に、第１のコントローラで、ブロックＳ１３０で、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、および第３のメモリの内容と第５の有効故障符号語との間の一致を検出したことに応答して、第２の有効機能符号語および第６の有効故障符号語を含む第４の安全メッセージを出力することをさらに含む。

【0016】

１．２ コントローラインフラストラクチャ診断
図１、図２Ａ、および図２Ｂに示されるように、方法Ｓ１００の別の変形例は、システムに結合された安全モジュール内の第１のコントローラで、ブロックＳ１１０で、有効符号語の第１のセットを記憶することを含み、有効符号語の第１のセットは、第１のコントローラ内のサブシステムの第１のセットのうちの第１のサブシステムの機能状態を表す第１の有効機能符号語と、第１のサブシステムの故障状態を表し第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、第１のコントローラの機能状態を表す第２の有効機能符号語と、第１のコントローラの故障状態を表し第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語とを含む。

【0017】

方法Ｓ１００のこの変形例は、第１の期間中に、第１のコントローラで、ブロックＳ１２０で、第１のサブシステムの機能動作を検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することをさらに含む。

【0018】

方法Ｓ１００のこの変形例は、第１の期間の後の第２の期間中に、第１のコントローラで、ブロックＳ１３０で、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、第２の有効機能符号語を含む第１の安全メッセージを出力することをさらに含む。

【0019】

方法Ｓ１００のこの変形例は、第２の期間の後の第３の期間中に、第１のコントローラで、ブロックＳ１２０で、第１のサブシステムの機能動作を検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することをさらに含む。

【0020】

方法Ｓ１００のこの変形例は、第３の期間の後の第４の期間中に、第１のコントローラで、ブロックＳ１３０で、第１のメモリの内容と有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、第２の有効故障符号語を含む第２の安全メッセージを出力することをさらに含む。

【0021】

１．３ 安全モジュールタイムアウト
図１、図２Ａ、および図２Ｂに示されるように、方法Ｓ１００の別の変形例は、システムに結合された第１の安全モジュール内の第１のコントローラで、ブロックＳ１１０で、有効符号語の第１のセットを記憶することを含み、有効符号語の第１のセットは、第１の安全モジュール内の第２のコントローラの機能タイムアウト状態を表す第１の有効機能符号語と、第２のコントローラの故障タイムアウト状態を表し第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、第２のコントローラの機能状態を表す第２の有効機能符号語と、第２のコントローラの故障状態を表し第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語と、システムに結合された第１の入力の機能状態を表す第３の有効機能符号語と、第１の入力の故障状態を表し第３の有効機能符号語からの第３の最小ハミング距離によって特徴づけられる第３の有効故障符号語と、システムの機能状態を表す第４の有効機能符号語と、システムの故障状態を表し第４の有効機能符号語からの第４の最小ハミング距離によって特徴づけられる第４の有効故障符号語とを含む。

【0022】

方法Ｓ１００のこの変形例は、第１の期間中に、第１のコントローラで、ブロックＳ１４０で、第２のコントローラに結合された第１の入力レジスタに問い合わせることと、ブロックＳ１４２で、第１の入力レジスタで、第２のコントローラからの第２の有効機能符号語を含む第１の安全メッセージを検出することと、ブロックＳ１２４で、第１の時間量内に第１の入力レジスタで第１の安全メッセージを検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することと、ブロックＳ１２２で、第１の入力の機能動作を検出したことに応答して、第３の有効機能符号語を第２のメモリに記憶することとをさらに含む。

【0023】

方法Ｓ１００のこの変形例は、第１の期間の後の第２の期間中に、第１のコントローラで、ブロックＳ１３０で、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、および第１の入力の機能動作を検出したことに応答して、第４の有効機能符号語を含む第２の安全メッセージを出力することをさらに含む。

【0024】

方法Ｓ１００のこの変形例は、第２の期間の後の第３の期間中に、第１のコントローラで、ブロックＳ１４０で、第１の入力レジスタに問い合わせることと、ブロックＳ１４２で、第１の入力レジスタで、第２のコントローラからの第２の有効機能符号語を含む第３の安全メッセージを検出することと、ブロックＳ１２４で、第２の時間量内に第１の入力レジスタで第３の安全メッセージを検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することと、ブロックＳ１２２で、第１の入力の機能動作を検出したことに応答して、第３の有効機能符号語を第２のメモリに記憶することとをさらに含む。

【0025】

方法Ｓ１００のこの変形例は、第３の期間の後の第４の期間中に、第１のコントローラで、ブロックＳ１３０で、第１のメモリの内容と有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、第４の有効故障符号語を含む第４の安全メッセージを出力することをさらに含む。

【0026】

１．４ 外部入力による安全コントローラタイムアウト
図１、図２Ａ、および図２Ｂに示されるように、方法Ｓ１００の別の変形例は、システムに結合された第１の安全モジュール内の第１のコントローラで、ブロックＳ１１０で、有効符号語の第１のセットを記憶することを含み、有効符号語の第１のセットは、システム内の第２の安全モジュール内の第２のコントローラの機能タイムアウト状態を表す第１の有効機能符号語と、第２のコントローラの故障タイムアウト状態を表し第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、第２のコントローラの機能状態を表す第２の有効機能符号語と、第２のコントローラの故障状態を表し第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語と、システムに結合された第１の入力の機能状態を表す第３の有効機能符号語と、第１の入力の故障状態を表し第３の有効機能符号語からの第３の最小ハミング距離によって特徴づけられる第３の有効故障符号語と、システムの機能状態を表す第４の有効機能符号語と、システムの故障状態を表し第４の有効機能符号語からの第４の最小ハミング距離によって特徴づけられる第４の有効故障符号語とを含む。

【0027】

方法Ｓ１００のこの変形例は、第１の期間中に、第１のコントローラで、ブロックＳ１２６で、第１の時間量内に第２のコントローラからの第２の有効機能符号語を含む第１の安全メッセージを検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することと、ブロックＳ１２２で、第１の入力の機能動作を検出したことに応答して、第３の有効機能符号語を第２のメモリに記憶することとをさらに含む。

【0028】

方法Ｓ１００のこの変形例は、第１の期間の後の第２の期間中に、第１のコントローラで、ブロックＳ１３０で、第１の安全メッセージ内の第２の有効機能符号語を検出したことに応答して、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、および第１の入力の機能動作を検出したことに応答して、第４の有効機能符号語を含む第２の安全メッセージを出力することをさらに含む。

【0029】

方法Ｓ１００のこの変形例は、第２の期間の後の第３の期間中に、第１のコントローラで、ブロックＳ１２６で、第２の時間量内における第２のコントローラからの第２の有効機能符号語を含む第３の安全メッセージの受信を検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することと、ブロックＳ１２２で、第１の入力の機能動作を検出したことに応答して、第３の有効機能符号語を第２のメモリに記憶することとをさらに含む。

【0030】

方法Ｓ１００のこの変形例は、第３の期間の後の第４の期間中に、第１のコントローラで、ブロックＳ１３０で、第１のメモリの内容と有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、第４の有効故障符号語を含む第４の安全メッセージを出力することをさらに含む。

【0031】

１．５ 安全コントローラタイムアウト
図１、図２Ａ、および図２Ｂに示されるように、方法Ｓ１００の別の変形例は、システム内の第１の安全モジュール内の第１のコントローラで、ブロックＳ１１０で、有効符号語のセットを記憶することを含み、有効符号語のセットは、システム内の第２の安全モジュール内の第２のコントローラの機能タイムアウト状態を表す第１の有効機能符号語と、第２のコントローラの故障タイムアウト状態を表し第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、システムの機能状態を表す第２の有効機能符号語と、システムの故障状態を表し第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語とを含む。

【0032】

方法Ｓ１００のこの変形例は、第１の期間中に、第１のコントローラで、ブロックＳ１２６で、第１の時間量内における第２のコントローラからの第１の安全メッセージの受信を検出したことに応答して、第１の有効機能符号語をメモリに記憶することをさらに含む。

【0033】

方法Ｓ１００のこの変形例は、第１の期間の後の第２の期間中に、第１のコントローラで、ブロックＳ１３０で、メモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、第２の有効機能符号語を含む第２の安全メッセージを出力することをさらに含む。

【0034】

方法Ｓ１００のこの変形例は、第２の期間の後の第３の期間中に、第１のコントローラで、ブロックＳ１２６で、第２の時間量内における第２のコントローラからの第３の安全メッセージの受信を検出したことに応答して、第１の有効機能符号語をメモリに記憶することをさらに含む。

【0035】

方法Ｓ１００のこの変形例は、第３の期間の後の第４の期間中に、第１のコントローラで、ブロックＳ１３０で、メモリの内容と有効符号語のセット内のあらゆる符号語との間の不一致を検出したことに応答して、第２の有効故障符号語を含む第４の安全メッセージを出力することをさらに含む。

【0036】

２．応用
一般に、方法Ｓ１００は、安全モジュールのさまざまなコンポーネント（例えば、コアインフラストラクチャサブシステム、入力、データ通信）に対する状態情報（例えば、機能、故障）を表し他の有効符号語からの最小ハミング距離によって特徴づけられる有効符号語のセットを記憶し、監視期間中のコアインフラストラクチャサブシステム、入力、および／またはデータ通信の検出された状態に基づいてメモリに符号語を記憶し、（ｉ）監視期間中にメモリに記憶された符号語が有効符号語と一致するかどうか、および（ｉｉ）評価期間中の検出された状態、に基づいて安全メッセージを出力するために、システムによって実行され得る。

【0037】

特に、方法Ｓ１００は、メモリに記憶された状態情報のビットフリップまたはソフトウェア上書きのインスタンスを軽減するための符号化方式において他の符号語からのある最小ハミング距離を示す固有の符号語として状態情報を符号化するために、安全モジュールによって実行され得る。例えば、意図しないビットフリップまたはソフトウェア上書きのインスタンスは、時間とともに、および、バグ、メモリの不足、悪意の攻撃、誤ったアルゴリズム設計、不良なメモリ、ビットラインエラー、またはメモリのアルファ粒子照射などによる予測不能なモードを通じて起こり得る。したがって、安全モジュールは、メモリに記憶された符号化された状態情報（例えば、符号語）と符号化方式（例えば、有効符号語）との間の不一致を検出し、これは符号化された状態情報が上書きされていることを示し、これに応じて故障、警告、および／または故障回復プロセスを選択的に実行するために、本方法のブロックを実行することができる。

【0038】

一例では、安全モジュールは、安全モジュール内のコントローラの個別のサブシステムの機能状態、安全モジュールによって監視される外部入力の機能状態、および／またはデータ通信に対する機能状態を表し他の有効符号語からの最小ハミング距離によって特徴づけられる有効符号語を記憶するために、方法Ｓ１００のブロックを実行する。安全モジュールはまた、個別のサブシステム、外部入力、および／またはデータ通信の機能状態を検出し、対応する符号語をメモリに記憶するために、方法Ｓ１００のブロックを実行する。その場合、安全モジュールは、記憶された符号語と有効符号語との間の一致を検出し、この一致を検出したことに応答して機能状態を示す安全メッセージを出力するために、方法Ｓ１００のブロックを実行する。したがって、干渉を受けやすい環境に実装される場合、安全モジュールは、低い誤り率を示す安全メッセージを出力することができ、機能安全規格を満たすことができる。

【0039】

代替的に、この例では、安全モジュールが記憶された符号語と有効符号語との間の不一致を検出した場合、安全モジュールは、故障状態を示す安全メッセージを出力することができる。したがって、安全モジュールは、各サブシステムの状態を、記憶された符号語と、これらのサブシステムの機能状態を符号化する有効符号語との整合に基づいて検証するので、安全モジュールは、記憶された符号語と有効符号語との間の差に基づいて故障を検出し、故障を検出したことに応答して機能メッセージの代わりに故障メッセージを送信することができ、それにより、安全モジュールの機能がこうして確認不可能な場合に故障条件によるセーフモードに入るようにシステムをトリガする。

【0040】

別の例では、安全モジュールは、安全モジュール内のコントローラ内の個別のサブシステムの状態（例えば、機能状態、故障状態）、安全モジュールによって監視される外部入力の状態、および／またはデータ通信に対する状態を表し他の有効符号語からの最小ハミング距離によって特徴づけられる有効符号語を記憶するために、方法Ｓ１００のブロックを実行する。安全モジュールはまた、個別のサブシステム、外部入力、および／またはデータ通信の機能状態を検出し、検出された状態に対応する符号語をメモリに記憶するために、方法Ｓ１００のブロックを実行する。その場合、安全モジュールは、（ｉ）監視期間中にメモリに記憶された符号語が有効符号語と一致するかどうか、および（ｉｉ）検出された状態、に基づいて、コントローラ、入力、および／またはデータ通信の全体的な状態（例えば、機能状態、故障状態）を表す符号語を含む安全メッセージを出力するために、方法Ｓ１００のブロックを実行する。したがって、安全モジュールが多数のノード（例えば、入力、機械など）との連続的な通信を必要とするシステムに実装される場合、安全モジュールは、ノードのサブグループからのメッセージトラフィックを管理し、サブグループの全体的な状態を示すメッセージを送信することができ、それにより、大きなネットワークにおいて通信を合理化し、機能安全規格を維持する。

【0041】

本明細書に記載される方法Ｓ１００は、８ビットおよび１６ビットの符号語を実装するために、コントローラ（例えば、９０ナノメートルチップ製造技術に従って製造されるマイクロコントローラ）のペアおよびアプリケーションプロセッサを含む安全モジュールによって実行される。しかし、外部ロジックに接続された、および／または任意の他の作製技術によって製造された追加的な、またはより少ないコントローラを含む安全モジュールが、安全モジュールのさまざまなコンポーネント（例えば、コアインフラストラクチャサブシステム、入力、データ通信）に対する状態情報（例えば、機能、故障）を表し他の符号語からの最小ハミング距離によって特徴づけられる有効符号語のセットを記憶し、監視期間中にコアインフラストラクチャサブシステム、入力、および／またはデータ通信の検出された状態に基づいてメモリに符号語を記憶し、評価期間中に、（ｉ）監視期間中にメモリに記憶された符号語が有効符号語と一致するかどうか、および（ｉｉ）検出された状態、に基づいて安全メッセージを出力するために、方法Ｓ１００のブロックを同様に実行することができる。

【0042】

さらに、本明細書に記載される方法Ｓ１００は、所定の最小ハミング距離（例えば、「８」または「４」の最小ハミング距離）によって分離された８ビットおよび１６ビットの符号語を実装するために、コントローラのペアおよびアプリケーションプロセッサを含む安全モジュールによって実行される。しかし、互いからより大きい、またはより小さい最小ハミング距離によって分離されたより長い、またはより短い符号語を実装する安全モジュールが、安全モジュールのさまざまなコンポーネント（例えば、コアインフラストラクチャサブシステム、入力、データ通信）に対する状態情報（例えば、機能、故障）を表し他の符号語からの最小ハミング距離によって特徴づけられる有効符号語のセットを記憶し、監視期間中にコアインフラストラクチャサブシステム、入力、および／またはデータ通信の検出された状態に基づいてメモリに符号語を記憶し、評価期間中に、（ｉ）監視期間中にメモリに記憶された符号語が有効符号語と一致するかどうか、および（ｉｉ）検出された状態、に基づいて安全メッセージを出力するために、方法Ｓ１００のブロックを同様に実行することができる。

【0043】

３．システム
一般に、安全モジュールは、第１のコントローラ、第２のコントローラ、アプリケーションプロセッサ、および通信バスを含む。通信バスは、第１のコントローラと第２のコントローラとの間の双方向通信、第１のコントローラとアプリケーションプロセッサとの間の双方向通信、および第２のコントローラとアプリケーションプロセッサとの間の双方向通信をサポートする。

【0044】

特に、第１のコントローラは、有効符号語の第１のセットを記憶し、検出された状態に対応する符号語をメモリに記憶し、メモリに記憶された符号語と有効符号語のセットとの間の一致を検出したことに応答して、検出された状態に基づいて状態（例えば、機能状態、故障状態）を表す符号語を含む安全メッセージを出力するために、方法Ｓ１００のブロックを実行する。第１のコントローラはまた、メモリに記憶された符号語と有効符号語のセットとの間の不一致を検出したことに応答して、故障状態を表す符号語を含む安全メッセージを出力するために、方法Ｓ１００のブロックを実行する。

【0045】

同様に、第２のコントローラは、有効符号語の第２のセットを記憶し、検出された状態に対応する符号語をメモリに記憶し、メモリに記憶された符号語と有効符号語のセットとの間の一致を検出したことに応答して、検出された状態に基づいて状態（例えば、機能状態、故障状態）を表す符号語を含む安全メッセージを出力するために、方法Ｓ１００のブロックを実行する。第２のコントローラはまた、メモリに記憶された符号語と有効符号語のセットとの間の不一致を検出したことに応答して、故障状態を表す符号語を含む安全メッセージを出力するために、方法Ｓ１００のブロックを実行する。

【0046】

さらに、アプリケーションプロセッサは、第１のコントローラとの間で安全メッセージを送受信し、第２のコントローラとの間で安全メッセージを送受信し、他の安全モジュールとの間で安全メッセージを送受信するために、方法Ｓ１００のブロックを実行する。

【0047】

３．１ 第１のコントローラ
一実装形態では、第１のコントローラは、算術論理演算装置（以下「ＡＬＵ」）、揮発性メモリ（例えば、ランダムアクセスメモリまたは「ＲＡＭ」）、および不揮発性メモリ（例えば、フラッシュメモリ）を含む。ＡＬＵは、第１のコントローラによって実行されるコンピュータ命令に基づいて算術および論理演算を実行する。ＲＡＭは、計算を実行するためにストレージから取得されたデータを一時的に記憶する。フラッシュメモリは、第１のコントローラにプログラムされるデータおよび命令を記憶する。第１のコントローラは、入出力インタフェース、内部バス、および内部発振器をさらに含むことができる。第１のコントローラは、より少ない、または追加的なコンポーネントを含んでもよい。

【0048】

一変形例では、第１のコントローラは、プログラムフローモニタ安全メカニズム、スタックアンダーフロー安全モニタ、およびスタックオーバーフロー安全モニタをさらに含む。

【0049】

一般に、プログラムフローモニタ安全メカニズムは、第１のコントローラによって実行されているソフトウェア命令の順序または他のフローにおけるエラーを検出する。一実装形態では、プログラムフローモニタ安全メカニズムは、このようなエラーが検出されたときに故障動作を示す。

【0050】

一般に、スタックオーバーフロー安全メカニズムは、第１のコントローラによって実行されているソフトウェアプログラムがコールスタック上で利用可能であるよりも多くの空間を使用しようとしたことを検出する。一実装形態では、スタックオーバーフロー安全メカニズムは、スタックオーバーフローが検出されたときに故障動作を示す。

【0051】

一般に、スタックアンダーフロー安全メカニズムは、コントローラによって実行されているソフトウェアプログラムがメモリ内の空スタックから項目を取り出そうとしたことを検出する。一実装形態では、スタックアンダーフロー安全メカニズムは、スタックアンダーフローが検出されたときに故障動作を示す。

【0052】

一実装形態では、第１のコントローラは、安全モジュールの外部の安全センサ（例えば、非常停止ボタン、断線センサ）に接続するように構成された入力を含む。

【0053】

一実装形態では、第１のコントローラは、第２のコントローラの出力に結合された入力を含む。例えば、第１のコントローラは、第２のコントローラの出力に結合された入力レジスタを含むことができる。

【0054】

３．１．１ 第１のコントローラ：ロジック
一般に、第１のコントローラは、第１のコントローラ内のサブシステムのセットと、安全センサに接続するように構成された入力と、第２のコントローラに結合された入力との状態を検出するように構成されたロジック（例えば、ハードウェアおよび／またはファームウェアモジュール、フラッシュメモリに記憶された命令）を含む。例えば、第１のコントローラ内のサブシステムのセットは、ＡＬＵ、ＲＡＭ、フラッシュメモリ、プログラムフローモニタ安全メカニズム、スタックオーバーフロー安全メカニズム、および／またはスタックアンダーフロー安全メカニズムを含むことができる。

【0055】

一実装形態では、第１のコントローラは、それによって第１のコントローラがサブシステムのセット内の各サブシステムを個別に監視し、以下で説明するように、これに応じて各サブシステムの動作（例えば、機能動作、故障動作）を検出するロジックを含むことができる。一例では、第１のコントローラは、ＡＬＵを監視し、ＡＬＵの診断テストに基づいてＡＬＵの機能動作を検出することができる。別の例では、第１のコントローラは、スタックオーバーフロー安全メカニズムを監視し、スタックオーバーフローのインスタンスに応答して／基づいてスタックオーバーフロー安全メカニズムの故障動作を検出することができる。

【0056】

別の実装形態では、第１のコントローラは、所与のサブシステムに対して検出されるエラーの不存在時に機能動作を検出し、第１のコントローラは、所与のサブシステムに対して１つまたは複数のエラーが検出されたときに故障動作を検出する。例えば、エラーは、所与のサブシステムの性質、所与のサブシステムに関連づけられた安全規格、および／または所与のサブシステムに適用可能な任意の要因に基づいて規定されてもよい。

【0057】

別の実装形態では、第１のコントローラは、サブシステムの検出された動作に対応するサブシステムの状態を検出する。一例では、第１のコントローラは、ＡＬＵの機能動作を検出したことに応答してＡＬＵの機能状態を検出する。別の例では、第１のコントローラは、スタックオーバーフロー安全メカニズムの故障動作を検出したことに応答してスタックオーバーフロー安全メカニズムの故障状態を検出する。

【0058】

別の実装形態では、以下で説明するように、第１のコントローラは、安全センサに接続するように構成された入力の状態を第１のコントローラが検出することを可能にするロジックをさらに含む。例えば、第１のコントローラは、入力の機能動作（例えば、非常停止ボタンに結合された入力回路が、構成された動作モードによる正しい電圧／電流範囲内で動作している、など）を検出することができ、その場合、第１のコントローラは、入力の機能動作を検出したことに応答して、入力の機能状態を検出することができる。代替的に、第１のコントローラは、入力の故障動作（例えば、非常停止ボタンに結合された入力回路が、構成された動作モードによる正しい電圧／電流範囲の外側で動作している、内部ハードウェア故障、など）を検出することができ、その場合、第１のコントローラは、入力の故障動作を検出したことに応答して、入力の故障状態を検出することができる。

【0059】

別の実装形態では、以下で説明するように、第１のコントローラは、第１のコントローラが第２のコントローラの状態を検出することを可能にするロジックをさらに含む。一例では、第１のコントローラは、所定の時間量内における第２のコントローラからの安全メッセージの受信を検出したことに応答して、第２のコントローラの機能タイムアウト状態を検出することができる。代替的に、第１のコントローラは、所定の時間量内における第２のコントローラからの安全メッセージの不受信を検出したことに応答して、第２のコントローラの故障タイムアウト状態を検出することができる。別の例では、第１のコントローラは、第２のコントローラからの安全メッセージの内容に基づいて、第２のコントローラの機能状態または故障状態を検出することができる。

【0060】

一変形例では、第１のコントローラは、第２のコントローラおよび／またはアプリケーションプロセッサとの通信故障を検出するために、通信インフラストラクチャ安全メカニズムおよび通信内容安全メカニズムを含む。

【0061】

同様に、別の実装形態では、以下で説明するように、第１のコントローラは、第１のコントローラが他の安全モジュール内の他のコントローラの状態を検出することを可能にするロジックをさらに含む。

【0062】

別の実装形態では、以下で説明するように、第１のコントローラは、第１のコントローラが第２のコントローラの検出された状態を符号化することを可能にするロジックをさらに含む。例えば、第１のコントローラは、メモリ（例えば、フラッシュメモリ、外部メモリ）内の検出された状態に対応する符号語を記憶することができる。

【0063】

別の実装形態では、以下で説明するように、第１のコントローラは、メモリ内容が有効符号語と一致するかどうかを第１のコントローラが検出することを可能にするロジックをさらに含む。例えば、第１のコントローラは、メモリ内容と有効符号語との間の一致を検出することができ、これは、メモリに記憶された符号語が上書きされていないことを示す。代替的に、第１のコントローラは、メモリ内容とあらゆる有効符号語との間の不一致を検出することができ、これは、メモリに記憶された符号語が上書きされていることを示す。

【0064】

別の実装形態では、以下で説明するように、第１のコントローラは、第１のコントローラが安全メッセージを出力することを可能にするロジックをさらに含む。例えば、第１のコントローラは、安全メッセージを組み立て、通信バスを介して第２のコントローラおよび／またはアプリケーションプロセッサに出力することができる。

【0065】

３．２ 第２のコントローラ
一実装形態では、第２のコントローラは、第１のコントローラと類似のフォーマットで配置された類似（例えば、同様、同一）のコンポーネントを含み、第１のコントローラから分離し別個である。

【0066】

一例では、第１のコントローラおよび第２のコントローラは、同じ安全センサに接続されるように構成された冗長入力（例えば、非常停止ボタンの２つの冗長出力、２つの冗長な断線センサの出力）を各々含む。第１のコントローラおよび第２のコントローラは、各々の冗長入力を独立に処理し、別個の安全メッセージを生成する。

【0067】

３．３ アプリケーションプロセッサ
一実装形態では、アプリケーションプロセッサは、第１のコントローラおよび第２のコントローラから安全メッセージを受信し、第１のコントローラおよび第２のコントローラからの安全メッセージ内の情報を新規の安全メッセージへと連結し、新規の安全メッセージを（例えば、ネットワークを通じて別の安全モジュールに）出力するように構成される。

【0068】

別の実装形態では、アプリケーションプロセッサは、安全メッセージを（例えば、ネットワークを通じて別の安全モジュールから）受信し、受信された安全メッセージ内の情報を第１のコントローラに対する第１の安全メッセージおよび第２のコントローラに対する第２の安全メッセージに分離し、第１のコントローラに第１の安全メッセージを出力し、第２のコントローラに第２の安全メッセージを出力するようにさらに構成される。

【0069】

別の実装形態では、第１のコントローラおよび第２のコントローラによるアプリケーションプロセッサを通じての通信は、ブラックチャネル設定で実装され、その場合、アプリケーションプロセッサは、そのデータを他の方法で解析または操作することなく、基礎となるコントローラ間で渡される情報を連結／分離する。

【0070】

一変形例では、アプリケーションプロセッサは、第１のコントローラからの第１の安全メッセージおよび第２のコントローラからの第２の安全メッセージを解析し、解析の結果に基づいて新規の安全メッセージを出力するように構成される。一例では、アプリケーションプロセッサは、第１のコントローラからの機能状態を示す第１の安全メッセージと、第２のコントローラからの機能状態を示す第２の安全メッセージとを受信したことに応答して、機能状態を示す安全メッセージを出力することができる。別の例では、アプリケーションプロセッサは、第１のコントローラからの機能状態を示す第１の安全メッセージと、第２のコントローラからの故障状態を示す第２の安全メッセージとを受信したことに応答して、故障状態を示す安全メッセージを出力することができる。

【0071】

４．例１：非常停止ボタン
一般に、安全モジュールは、安全メッセージを送信し、安全メッセージを受信する。１つまたは複数の安全モジュールが、所与の機械内に実装され得る。安全メッセージは、機械（またはそのモジュールもしくはサブコンポーネント）の（例えば、機能、セーフ、故障によるセーフ）を示すことができ、安全メッセージは、セーフ状態が調整され得るまで非セーフアクティビティを防止するために、セーフ状態に入る（例えば、所与のタスクの実行を停止する、燃料供給を解除する、シャットダウンする、リブートする）ように機械に命令することができる。

【0072】

一例では、図２Ａおよび図２Ｂに示されるように、システムは、安全モジュールと、安全コントローラとを含む。

【0073】

上記のように、一実装形態では、安全モジュールは、第１のコントローラと、第２のコントローラと、アプリケーションプロセッサと、通信バスとを含む。第１のコントローラは、システム内の非常停止ボタンに結合された第１の入力を含み、第２のコントローラは、非常停止ボタンに結合された第２の入力を含む。

【0074】

一般に、第１のコントローラおよび第２のコントローラは、非常停止ボタンに結合されたそれぞれの入力を独立に処理し、アプリケーションプロセッサにそれぞれの安全メッセージを出力する。特に、第１のコントローラは、第１のコントローラの検出された状態、第１の入力の検出された状態、第２のコントローラの検出された状態、および（例えば、記憶された符号語と有効符号語との間の一致を検出する）検出された状態を表す記憶された符号語の有効性に基づいて（例えば、第１のコントローラ内のサブシステムのセットの検出された状態に基づいて）、第１の安全メッセージを出力することができる。例えば、第１のコントローラは、通信バスを介して第２のコントローラおよび／またはアプリケーションプロセッサに第１の安全メッセージを出力することができる。

【0075】

同様に、第２のコントローラは、第２のコントローラの検出された状態、第２の入力の検出された状態、第１のコントローラの検出された状態、および（例えば、記憶された符号語と有効符号語との間の一致を検出する）検出された状態を表す記憶された符号語の有効性に基づいて（例えば、第２のコントローラ内のサブシステムのセットの検出された状態に基づいて）、第２の安全メッセージを出力することができる。例えば、第２のコントローラは、通信バスを介して第１のコントローラおよび／またはアプリケーションプロセッサに第２の安全メッセージを出力することができる。

【0076】

一実装形態では、安全モジュール内のアプリケーションプロセッサは、第１の安全メッセージおよび第２の安全メッセージを受信し、第１の安全メッセージおよび第２の安全メッセージを連結し、合成された安全メッセージを安全コントローラ内のアプリケーションプロセッサに出力する。例えば、アプリケーションプロセッサは、伝送媒体（例えば、任意のネットワーク、インターネット、ＷｉＦｉ、Ｂｌｕｅｔｏｏｔｈ、ＬＴＥ）を通じて、合成された安全メッセージを送信することができる。

【0077】

一実装形態では、安全コントローラ内のアプリケーションプロセッサは、安全モジュール内のアプリケーションプロセッサから安全メッセージを受信し、受信された安全メッセージを、安全コントローラ内の第１のコントローラに対する第１の安全メッセージと、安全コントローラ内の第２のコントローラに対する第２の安全メッセージとに分離する。その場合、安全コントローラ内のアプリケーションプロセッサは、通信バスを介して安全コントローラ内の第１のコントローラに第１の安全メッセージを出力し、通信バスを介して安全コントローラ内の第２のコントローラに第２の安全メッセージを出力する。したがって、安全コントローラ内の第１のコントローラは、安全モジュール内の第１のコントローラからの第１の安全メッセージを処理することができ、安全コントローラ内の第２のコントローラは、安全モジュール内の第２のコントローラからの第２の安全メッセージを処理することができる。

【0078】

一例では、安全モジュール内の第１のコントローラおよび第２のコントローラは、故障状態（例えば、非常停止ボタンに結合された入力回路が、構成された動作モードによる正しい電圧／電流範囲の外側で動作している、内部ハードウェア故障、など）を示す第１の入力および第２の入力に基づいて安全メッセージを生成および出力する。安全メッセージは、それぞれの入力の故障状態を表す符号語を含む。安全メッセージは、安全コントローラに渡され、安全コントローラ内の第１のコントローラおよび第２のコントローラによって処理される。安全コントローラ内の第１のコントローラおよび第２のコントローラは、第１の入力および第２の入力（例えば、安全モジュールに結合された非常停止ボタン）の故障状態に関して合意することができる。その場合、安全コントローラ内の第１のコントローラおよび第２のコントローラは、セーフ状態に入ることを機械に命令する安全メッセージを出力することができる。この閾値を満たすために２つのコントローラを実装することのさらなる詳細は、２０２１年３月４日に出願された米国特許出願第１７／１９２，６５７号にさらに記載されており、それは全体として参照により援用される。

【0079】

５．例２：ゾーンコントローラ
上の例に対する一変形例では、図２Ａおよび図２Ｂに示されるように、システムは、安全モジュールと、安全コントローラと、ゾーンコントローラとを含む。

【0080】

一般に、安全コントローラは、安全モジュールの群から安全メッセージを受信し、安全モジュールの群に安全メッセージを送信するように構成される安全モジュールである。

【0081】

一実装形態では、安全コントローラ１１０は、安全モジュール１２０および安全モジュール１２２から安全メッセージを受信し、安全モジュール１２０および安全モジュール１２２に安全メッセージを送信するように構成される。例えば、安全コントローラは、条件（例えば、所与の機械がセーフ状態に入った、複数の機械に影響する所与のコマンドが受信された）の発生後に、安全状態を変更する（例えば、セーフ状態に入る）ように他の機械の所定のセグメントに命令することができる。

【0082】

同様に、安全コントローラ１１２は、安全コントローラ１１０を近似する。例えば、安全コントローラ１１２は、安全モジュール１２４および安全モジュール１２６から安全メッセージを受信し、安全モジュール１２４および安全モジュール１２６に安全メッセージを送信するように構成される。

【0083】

この例の一変形例では、安全モジュールの群内の安全モジュールの数は、より多いこともより少ないことも可能である。追加的または代替的に、安全モジュールは、安全モジュールの異なる群に動的に割り当てられ得る。

【0084】

一般に、ゾーンコントローラは、安全コントローラおよび／または安全モジュールの群から安全メッセージを受信し、安全コントローラおよび／または安全モジュールの群に安全メッセージを送信するように構成される安全モジュールである。例えば、ゾーンコントローラは、安全メッセージを「ゾーン」にわたって送信することができ、これは施設内の機械の論理的なサブグループ分けであり得る。

【0085】

一実装形態では、ゾーンコントローラ１３０は、安全コントローラ１１０および安全コントローラ１１２から安全メッセージを受信し、安全コントローラ１１０および安全コントローラ１１２に安全メッセージを送信するように構成される。追加的または代替的に、ゾーンコントローラ１３０は、安全モジュール１２０、１２２、１２４、１２６から安全メッセージを受信し、安全モジュール１２０、１２２、１２４、１２６に安全メッセージを送信するようにさらに構成される。

【0086】

この例に対する一変形例では、ゾーングループ分けは、任意数のティアに縦続接続してもよく、その場合、ゾーンコントローラは、施設全体のすべての機械に安全メッセージを送信する（例えば、非常施設全域シャットダウン）ように構成され得るさらに別のコントローラと対話し得る。この変形例では、マッピングテーブルまたは他の論理的関連づけが使用されることが可能であり、その場合、条件、コマンドもしくは状態のタイプ、または他のトリガが、条件が満たされる場合にコマンドを受信すべき下流の機械およびコントローラにマッピングされ得る。

【0087】

この例に対するさらに別の変形例では、システム内の各レイヤが、タイムアウト安全システムを実装することができる。例えば、安全モジュール１２０と安全コントローラ１１０との間の通信は、例示的な通信レイヤである。さらに、安全コントローラ１１０とゾーンコントローラ１３０との間の通信は、別の通信レイヤである。この２レイヤの例では、安全コントローラ１１０は、安全モジュール１２０、１２２のタイムアウト状態を監視し、ゾーンコントローラ１３０は、安全コントローラ１１０、１１２のタイムアウト状態を監視する。一変形例では、図２Ａおよび図２Ｂに示されるシステムのいずれかの端部を超えて追加的なレイヤが存在し得る。

【0088】

この例では、受信モジュール（例えば、安全コントローラ、ゾーンコントローラ）は、複数の送信モジュール（例えば、安全モジュール、安全コントローラ）のタイムアウト状態を記憶し、１つまたは複数の送信モジュールが不良なタイムアウト状態を示すときに、安全処置を決定するためにタイムアウト状態を使用する。例えば、群内の単一の送信モジュールのみが故障を示す場合、受信モジュールは、検査のために不良な送信モジュールにフラグを立てることができる。他の場合、閾値数よりも多くの送信モジュールが不良となった場合、受信モジュールは、１つまたは複数の受信モジュールにセーフモードに入るように命令するか、またはさらにはシステムの一部または全体をシャットダウンするなどの、より積極的な措置をとることができる。送信モジュールのタイムアウト状態は、１つまたは複数のモジュールが不良となったときにシステムがとり得る安全アクションおよび処置を決定するために、さらなる解析のために受信モジュールに関連づけられたメモリに記憶される。

【0089】

この例に対するさらに別の変形例では、ゾーンコントローラ１３０は、１つまたは複数の有効故障符号語を含む安全メッセージを（例えば、安全コントローラ１１０から）受信し、安全メッセージを復号し、１つまたは複数の有効故障符号語をシステム故障と解釈し、回復モードのための通知を提供する。

【0090】

６．安全メッセージ
一例では、図３に示されるように、アプリケーションプロセッサは、連結された安全メッセージを送信する。

【0091】

一般に、アプリケーションプロセッサは、第１のコントローラおよび第２のコントローラからの情報を連結する。一実装形態では、「ＡＰ Ｒｘ Ｍ１」は、アプリケーションプロセッサが第１のコントローラから受信した情報を指し、「ＡＰ Ｒｘ Ｍ２」は、アプリケーションプロセッサが第２のコントローラから受信した情報を指す。一変形例では、アプリケーションプロセッサは、追加的な、またはより少ないコントローラからの情報を安全メッセージへと連結することができる。

【0092】

一実装形態では、安全メッセージの最初の２バイト（例えば、「ＩＤ０」、「ＩＤ１」；「ＩＤ０’」、「ＩＤ１’」）は、ともにコントローラを一意的に識別するバイトを含む。安全メッセージの第３のバイト（例えば、「Ｍ０」、「Ｍ１」）は、コントローラの状態（例えば、機能状態、故障状態）を指す。一実装形態では、以下で説明するように、第１のコントローラは、第１のコントローラの状態を検出した後に第３のバイト（「Ｍ０」）を生成する。同様に、第２のコントローラは、第２のコントローラの状態を検出した後に第３のバイト（「Ｍ１」）を生成する。

【0093】

一実装形態では、第４～第６のバイト（例えば、「Ｉ１」、「Ｉ２」、「Ｉ３」）は、第１のコントローラおよび第２のコントローラによって受信される１つまたは複数の入力（例えば、非常停止ボタン、断線センサ）を指す。一変形例では、バイトの任意の順序が使用され得る。

【0094】

一実装形態では、アプリケーションプロセッサは、第１のコントローラおよび第２のコントローラからの安全メッセージを誤り符号（例えば、巡回冗長検査（ＣＲＣ）符号）とともに連結する。２つ以上のマイクロコントローラの安全データに１つまたは複数の誤り符号を付加しそれを使用して安全メッセージを復号／確認することに関するさらなる情報は、２０２１年３月４日に出願された米国特許出願第１７／１９２，６５７号にも言及して記載されており、それは全体として参照により援用される。

【0095】

一実装形態では、アプリケーションプロセッサは、コントローラのデータを他の情報で増強してもよく、メッセージ全体に対する累積的誤り符号（例えば、累積的ＣＲＣ）を生成してもよい。

【0096】

一実装形態では、入力デバイスのアプリケーションプロセッサは、安全メッセージが連結された後にそれを受信デバイス（例えば、安全コントローラ）に送信し、受信デバイスは、メッセージを復号する。受信デバイス側では、（例えば、安全コントローラの）アプリケーションプロセッサは、各コントローラからのメッセージを分離する。Ｍ０またはＭ１が故障状態を示す場合、入力Ｉ１～Ｉ３のすべてが落とされる。機能安全規格を保証しながらメッセージを復号するためのシステムおよび方法は、２０２１年３月４日に出願された米国特許出願第１７／１９２，６５７号に言及して記載されており、それは全体として参照により援用される。

【0097】

７．有効符号語を記憶する
方法Ｓ１００のブロックＳ１１０は、有効符号語の第１のセットを記憶することを記載しており、有効符号語の第１のセットは、第１のコントローラ内のサブシステムの第１のセットのうちの第１のサブシステムの機能状態を表す第１の有効機能符号語と、第１のサブシステムの故障状態を表し第１の有効機能符号語からの第１の最小ハミング距離によって特徴づけられる第１の有効故障符号語と、第１のコントローラの機能状態を表す第２の有効機能符号語と、第１のコントローラの故障状態を表し第２の有効機能符号語からの第２の最小ハミング距離によって特徴づけられる第２の有効故障符号語と、システムに結合された第１の入力の機能状態を表す第３の有効機能符号語と、第１の入力の故障状態を表し第３の有効機能符号語からの第３の最小ハミング距離によって特徴づけられる第３の有効故障符号語と、システムの機能状態を表す第４の有効機能符号語と、システムの故障状態を表し第４の有効機能符号語からの第４の最小ハミング距離によって特徴づけられる第４の有効故障符号語とを含む。

【0098】

一般に、ブロックＳ１１０で、第１のコントローラは、第１のコントローラ内のサブシステムと、第１のコントローラによって監視される入力と、第１のコントローラに関連するデータ通信との状態を表す有効符号語の第１のセットを記憶する。特に、以下で説明するように、有効符号語は、状態を一意的に表し他の有効符号語からの最小ハミング距離によって特徴づけられるビットパターンである。

【0099】

同様に、ブロックＳ１１０で、第２のコントローラは、第２のコントローラ内のサブシステムと、第２のコントローラによって監視される入力と、第２のコントローラに関連するデータ通信との状態を表す有効符号語の第２のセットを記憶する。

【0100】

一実装形態では、第１のコントローラは、第１のコントローラ内のフラッシュメモリに有効符号語の第１のセットを記憶することができる。一変形例では、第１のコントローラは、外部メモリに有効符号語の第１のセットを記憶することができる。さらに別の例では、第１のコントローラは、異なるメモリにわたって有効符号語の第１のセット内の異なる有効符号語を記憶することができる。

【0101】

同様に、一実装形態では、第２のコントローラは、第２のコントローラ内のフラッシュメモリに有効符号語の第２のセットを記憶することができる。一変形例では、第２のコントローラは、外部メモリに有効符号語の第２のセットを記憶することができる。さらに別の例では、第２のコントローラは、異なるメモリにわたって有効符号語の第２のセット内の異なる有効符号語を記憶することができる。

【0102】

一変形例では、第１のコントローラは、第１のコントローラと通信する任意の他のコントローラによって記憶および／または実装されたあらゆる有効符号語を記憶する。同様に、第２のコントローラは、第１のコントローラと通信する任意の他のコントローラによって記憶および／または実装されたあらゆる有効符号語を記憶する。したがって、以下で説明するように、第１のコントローラは、他のコントローラから受信される安全メッセージに含まれる符号語を検証することができる。別の変形例では、第１のコントローラおよび第２のコントローラは、より多数またはより少数の有効符号語を記憶することができる。

【0103】

７．１ 有効符号語を記憶する：第１のコントローラサブシステム
一般に、ブロックＳ１１０で、第１のコントローラは、第１のコントローラ内のサブシステムのセット内の各サブシステムについて、サブシステムの機能状態を表すそれぞれの有効機能符号語と、サブシステムの故障状態を表すそれぞれの有効故障符号語とを記憶する。一例では、第１のコントローラは、ＡＬＵの機能状態を表す有効機能符号語と、ＡＬＵの故障状態を表す有効故障符号語とを記憶することができる。別の例では、第１のコントローラは、第１のコントローラ内のフラッシュメモリの機能状態を表す有効機能符号語と、ＡＬＵの故障状態を表す有効故障符号語とを記憶することができる。さらに別の例では、第１のコントローラは、スタックオーバーフロー安全メカニズムの機能状態を表す有効機能符号語と、スタックオーバーフロー安全メカニズムの故障状態を表す有効故障符号語とを記憶することができる。

【0104】

一実装形態では、第１のコントローラは、そのサブシステムの状態を表す各有効符号語を、１６ビット（例えば、１ワード、２バイト、４ニブル）の長さを示す異なるビットパターンとして記憶する。各１６ビットのワードは、上位バイトおよび下位バイトを含む。各バイトは、上位ニブルおよび下位ニブルを含む。

【0105】

一例では、第１のコントローラは、第１のコントローラ内のＡＬＵの機能状態を表す有効機能符号語を「１３、１４、１４、１３」（２進数で「１１０１１１１０１１１０１１０１」として表示される）として記憶することができる。上位バイトの上位ニブルは「１３」（２進数で「１１０１」として表示される）であり、上位バイトの下位ニブルは「１４」（２進数で「１１１０」として表示される）である。同様に、下位バイトの上位ニブルは「１４」（２進数で「１１１０」として表示される）であり、下位バイトの下位ニブルは「１３」（２進数で「１１０１」として表示される）である。上位バイトおよび下位バイトは、互いに逆のニブル値（例えば、「１３、１４」対「１４、１３」）を示す。

【0106】

別の例では、第１のコントローラは、第１のコントローラ内のＡＬＵの故障状態を表す有効故障符号語を「８、２、２、８」（２進数で「１０００００１０００１０１０００」として表示される）として記憶することができる。上位バイトの上位ニブルは「８」（２進数で「１０００」として表示される）であり、上位バイトの下位ニブルは「２」（２進数で「００１０」として表示される）である。同様に、下位バイトの上位ニブルは「２」（２進数で「００１０」として表示される）であり、下位バイトの下位ニブルは「８」（２進数で「１０００」として表示される）である。上位バイトおよび下位バイトは、互いに逆のニブル値（例えば、「８、２」対「２、８」）を示す。

【0107】

一実装形態では、第１のコントローラは、奇数値のみを含む（例えば、あらゆる半バイトが奇数値である）有効符号語を記憶する。一変形例では、第１のコントローラは、偶数値のみを含む（例えば、あらゆる半バイトが偶数値である）有効符号語を記憶する。別の変形例では、第１のコントローラは、有効故障符号語の上位バイトは奇数値のみを使用し、有効故障符号語の下位バイトは偶数値のみを使用し、有効機能符号語の上位バイトは偶数値のみを使用し、有効機能符号語の下位バイトは奇数値のみを使用することによって特徴づけられる有効符号語を記憶する。さらに別の変形例では、第１のコントローラは、有効故障符号語の上位バイトは偶数値のみを使用し、有効故障符号語の下位バイトは奇数値のみを使用し、有効機能符号語の上位バイトは奇数値のみを使用し、有効機能符号語の下位バイトは偶数値のみを使用することによって特徴づけられる有効符号語を記憶する。ここで「奇」および「偶」は、１０進数の奇数または偶数の値ではなく、ビット数を記述する。

【0108】

一実装形態では、第１のコントローラは、互いからの８の最小ハミング距離によって相互に特徴づけられる、第１のコントローラ内の所与のサブシステムに対する有効機能符号語と、所与のサブシステムに対する有効故障符号語とを記憶する。上の例では、ＡＬＵの機能状態を表す有効機能符号語（例えば、「１１０１１１１０１１１０１１０１」）およびＡＬＵの故障状態を表す有効故障符号語（例えば、「１０００００１０００１０１０００」）は、互いからの８のハミング距離によって特徴づけられる。一変形例では、第１のコントローラは、互いからの８よりも大きいハミング距離によって相互に特徴づけられる、所与のサブシステムに対する有効機能符号語と、所与のサブシステムに対する有効故障符号語とを記憶することができる。

【0109】

一実装形態では、第１のコントローラは、互いからの４の最小ハミング距離によって相互に特徴づけられる、第１のコントローラ内の所与のサブシステムに対する有効機能符号語と、第１のコントローラ内の異なるサブシステムに対する有効機能符号語とを記憶する。

【0110】

一実装形態では、第１のコントローラは、互いからの４の最小ハミング距離によって相互に特徴づけられる、第１のコントローラ内の所与のサブシステムに対する有効機能符号語と、第１のコントローラ内の異なるサブシステムに対する有効故障符号語とを記憶する。

【0111】

一実装形態では、第１のコントローラは、互いからの４の最小ハミング距離によって相互に特徴づけられる、第１のコントローラ内の所与のサブシステムに対する有効故障符号語と、第１のコントローラ内の異なるサブシステムに対する有効機能符号語とを記憶する。

【0112】

一実装形態では、第１のコントローラは、互いからの４の最小ハミング距離によって相互に特徴づけられる、第１のコントローラ内の所与のサブシステムに対する有効故障符号語と、第１のコントローラ内の異なるサブシステムに対する有効故障符号語とを記憶する。

【0113】

上の例の一変形例では、第１のコントローラは、第１のコントローラ内のフラッシュメモリの機能状態を表す有効機能符号語を「１４、１３、１３、１４」（２進数で「１１１０１１０１１１０１１１１０」として表示される）として、および第１のコントローラ内のフラッシュメモリの機能状態を表す有効故障符号語を「２、８、８、２」（２進数で「００１０１０００１０００００１０」として表示される）としてさらに記憶することができる。

【0114】

上の例では、ＡＬＵの機能状態を表す有効機能符号語（例えば、「１１０１１１１０１１１０１１０１」）およびフラッシュメモリの機能状態を表す有効機能符号語（例えば、「１１１０１１０１１１０１１１１０」）は、互いからの４の最小ハミング距離（例えば、この場合には８のハミング距離）によって特徴づけられる。

【0115】

上の例では、ＡＬＵの機能状態を表す有効機能符号語（例えば、「１１０１１１１０１１１０１１０１」）およびフラッシュメモリの故障状態を表す有効故障符号語（例えば、「００１０１０００１０００００１０」）は、互いからの４の最小ハミング距離（例えば、この場合には８のハミング距離）によって特徴づけられる。

【0116】

上の例では、ＡＬＵの故障状態を表す有効故障符号語（例えば、「１０００００１０００１０１０００」）およびフラッシュメモリの機能状態を表す有効機能符号語（例えば、「１１１０１１０１１１０１１１１０」）は、互いからの４の最小ハミング距離（例えば、この場合には１２のハミング距離）によって特徴づけられる。

【0117】

上の例では、ＡＬＵの故障状態を表す有効故障符号語（例えば、「１０００００１０００１０１０００」）およびフラッシュメモリの故障状態を表す有効故障符号語（例えば、「００１０１０００１０００００１０」）は、互いからの４の最小ハミング距離（例えば、この場合には８のハミング距離）によって特徴づけられる。

【0118】

したがって、第１のコントローラは、ビットフリップまたはソフトウェア上書きの発生を検出するために、十分に大きい最小ハミング距離によって特徴づけられる有効符号語を記憶することができる。

【0119】

７．２ 有効符号語を記憶する：第２のコントローラサブシステム
一般に、ブロックＳ１１０で、第２のコントローラは、第２のコントローラ内のサブシステムのセット内の各サブシステムについて、サブシステムの機能状態を表すそれぞれの有効機能符号語と、サブシステムの故障状態を表すそれぞれの有効故障符号語とを記憶する。

【0120】

一実装形態では、第２のコントローラは、互いからの８の最小ハミング距離によって相互に特徴づけられる、第２のコントローラ内の所与のサブシステムに対する有効機能符号語および第２のコントローラ内の所与のサブシステムに対する有効故障符号語と、互いからの４の最小ハミング距離によって相互に特徴づけられる、第２のコントローラ内の所与のサブシステムに対する有効機能符号語および第２のコントローラ内の異なるサブシステムに対する有効機能符号語と、互いからの４の最小ハミング距離によって相互に特徴づけられる、第２のコントローラ内の所与のサブシステムに対する有効機能符号語および第２のコントローラ内の異なるサブシステムに対する有効故障符号語と、互いからの４の最小ハミング距離によって相互に特徴づけられる、第２のコントローラ内の所与のサブシステムに対する有効故障符号語および第２のコントローラ内の異なるサブシステムに対する有効機能符号語と、互いからの４の最小ハミング距離によって相互に特徴づけられる、第２のコントローラ内の所与のサブシステムに対する有効故障符号語および第２のコントローラ内の異なるサブシステムに対する有効故障符号語とを記憶する。

【0121】

一実装形態では、第２のコントローラは、第１のコントローラ内の類似のサブシステムに対する有効機能符号語からの８の最小ハミング距離によって特徴づけられる、第２のコントローラ内の所与のサブシステムに対する有効機能符号語を記憶する。

【0122】

上の例の変形例では、第２のコントローラは、第２のコントローラ内のＡＬＵの機能状態を表す有効機能符号語「１４、１３、１３、１４」（２進数で「１１１０１１０１１１０１１１１０」として表示される）を記憶することができる。第２のコントローラ内のＡＬＵの故障状態を表す有効機能符号語（例えば、「１１１０１１０１１１０１１１１０」）および第１のコントローラ内のＡＬＵの機能状態を表す有効機能符号語（例えば、「１１０１１１１０１１１０１１０１」）は、互いからの８の最小ハミング距離（例えば、この場合には８のハミング距離）によって特徴づけられる。

【0123】

同様に、一実装形態では、第２のコントローラは、第１のコントローラ内の類似のサブシステムに対する有効故障符号語からの８の最小ハミング距離によって特徴づけられる、第２のコントローラ内の所与のサブシステムに対する有効故障符号語を記憶する。

【0124】

７．２．１ 有効符号語を記憶する：サブシステム例
一例では、第１のコントローラ（図３で「ＭＡ」として示される）および第２のコントローラ（図３で「ＭＢ」として示される）は、図３に示されるように符号語を各々記憶することができる。

【0125】

一例では、第１のコントローラは、互いまでの８以上のハミング距離によって特徴づけられる、下記の２進値ペアを記憶する。ペアは、第１のコントローラ内の安全メカニズム［ＳＭ］に対する無障害インジケータ（ＮＦＩ）（例えば、有効機能符号語）および障害インジケータ（ＦＩ）（例えば、有効故障符号語）、すなわち、ＡＬＵ／コアＳＭのＮＦＩとＦＩ、プログラムフローモニタＳＭのＮＦＩとＦＩ、ＲＡＭ ＳＭのＮＦＩとＦＩ、フラッシュＳＭのＮＦＩとＦＩ、スタックアンダーフローＳＭのＮＦＩとＦＩ、およびスタックオーバーフローＳＭのＮＦＩとＦＩ、を含む。

【0126】

別の例では、第１のコントローラは、互いまでの４以上のハミング距離によって特徴づけられる、第１のコントローラ内のＮＦＩ（例えば、有効機能符号語）を記憶する。ペアは、ＡＬＵ／コアＳＭのＮＦＩとプログラムフローモニタＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＮＦＩとＲＡＭ ＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＮＦＩとフラッシュＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＮＦＩとスタックアンダーフローＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＮＦＩとスタックオーバーフローＳＭのＮＦＩ、プログラムフローモニタＳＭのＮＦＩとＲＡＭ ＳＭのＮＦＩ、プログラムフローモニタＳＭのＮＦＩとフラッシュＳＭのＮＦＩ、プログラムフローモニタＳＭのＮＦＩとスタックアンダーフローＳＭのＮＦＩ、プログラムフローモニタＳＭのＮＦＩとスタックオーバーフローＳＭのＮＦＩ、ＲＡＭ ＳＭのＮＦＩとフラッシュＳＭのＮＦＩ、ＲＡＭ ＳＭのＮＦＩとスタックアンダーフローＳＭのＮＦＩ、ＲＡＭ ＳＭのＮＦＩとスタックオーバーフローＳＭのＮＦＩ、フラッシュＳＭのＮＦＩとスタックアンダーフローＳＭのＮＦＩ、フラッシュＳＭのＮＦＩとスタックオーバーフローＳＭのＮＦＩ、およびフラッシュＳＭのＮＦＩとスタックオーバーフローＳＭのＮＦＩ、を含む。

【0127】

さらに別の例では、第１のコントローラは、互いまでの４以上のハミング距離によって特徴づけられる、第１のコントローラ内のＦＩ（例えば、有効故障符号語）を記憶する。ペアは、ＡＬＵ／コアＳＭのＦＩとプログラムフローモニタＳＭのＦＩ、ＡＬＵ／コアＳＭのＦＩとＲＡＭ ＳＭのＦＩ、ＡＬＵ／コアＳＭのＦＩとフラッシュＳＭのＦＩ、ＡＬＵ／コアＳＭのＦＩとスタックアンダーフローＳＭのＦＩ、ＡＬＵ／コアＳＭのＦＩとスタックオーバーフローＳＭのＦＩ、プログラムフローモニタＳＭのＦＩとＲＡＭ ＳＭのＦＩ、プログラムフローモニタＳＭのＦＩとフラッシュＳＭのＦＩ、プログラムフローモニタＳＭのＦＩとスタックアンダーフローＳＭのＦＩ、プログラムフローモニタＳＭのＦＩとスタックオーバーフローＳＭのＦＩ、ＲＡＭ ＳＭのＦＩとフラッシュＳＭのＦＩ、ＲＡＭ ＳＭのＦＩとスタックアンダーフローＳＭのＦＩ、ＲＡＭ ＳＭのＦＩとスタックオーバーフローＳＭのＦＩ、フラッシュＳＭのＦＩとスタックアンダーフローＳＭのＦＩ、フラッシュＳＭのＦＩとスタックオーバーフローＳＭのＦＩ、およびフラッシュＳＭのＦＩとスタックオーバーフローＳＭのＦＩ、を含む。

【0128】

さらに別の例では、第１のコントローラは、互いまでの４以上のハミング距離によって特徴づけられる、第１のコントローラ内のＮＦＩ（例えば、有効機能符号語）と他のＦＩ（例えば、有効故障符号語）を記憶する。ペアは、ＡＬＵ／コアＳＭのＮＦＩとプログラムフローモニタＳＭのＦＩ、ＡＬＵ／コアＳＭのＮＦＩとＲＡＭ ＳＭのＦＩ、ＡＬＵ／コアＳＭのＮＦＩとフラッシュＳＭのＦＩ、ＡＬＵ／コアＳＭのＮＦＩとスタックアンダーフローＳＭのＦＩ、ＡＬＵ／コアＳＭのＮＦＩとスタックオーバーフローＳＭのＦＩ、プログラムフローモニタＳＭのＮＦＩとＲＡＭ ＳＭのＦＩ、プログラムフローモニタＳＭのＮＦＩとフラッシュＳＭのＦＩ、プログラムフローモニタＳＭのＮＦＩとスタックアンダーフローＳＭのＦＩ、プログラムフローモニタＳＭのＮＦＩとスタックオーバーフローＳＭのＦＩ、ＲＡＭ ＳＭのＮＦＩとフラッシュＳＭのＦＩ、ＲＡＭ ＳＭのＮＦＩとスタックアンダーフローＳＭのＦＩ、ＲＡＭ ＳＭのＮＦＩとスタックオーバーフローＳＭのＦＩ、フラッシュＳＭのＮＦＩとスタックアンダーフローＳＭのＦＩ、フラッシュＳＭのＮＦＩとスタックオーバーフローＳＭのＦＩ、およびフラッシュＳＭのＦＩとスタックオーバーフローＳＭのＦＩ、を含む。

【0129】

さらに別の例では、第１のコントローラは、互いまでの４以上のハミング距離によって特徴づけられる、第１のコントローラ内のＦＩ（例えば、有効故障符号語）と他のＮＦＩ（例えば、有効機能符号語）を記憶する。ペアは、ＡＬＵ／コアＳＭのＦＩとプログラムフローモニタＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＦＩとＲＡＭ ＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＦＩとフラッシュＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＦＩとスタックアンダーフローＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＦＩとスタックオーバーフローＳＭのＮＦＩ、プログラムフローモニタＳＭのＦＩとＲＡＭ ＳＭのＮＦＩ、プログラムフローモニタＳＭのＦＩとフラッシュＳＭのＮＦＩ、プログラムフローモニタＳＭのＦＩとスタックアンダーフローＳＭのＮＦＩ、プログラムフローモニタＳＭのＦＩとスタックオーバーフローＳＭのＮＦＩ、ＲＡＭ ＳＭのＦＩとフラッシュＳＭのＮＦＩ、ＲＡＭ ＳＭのＦＩとスタックアンダーフローＳＭのＮＦＩ、ＲＡＭ ＳＭのＦＩとスタックオーバーフローＳＭのＮＦＩ、フラッシュＳＭのＦＩとスタックアンダーフローＳＭのＮＦＩ、フラッシュＳＭのＦＩとスタックオーバーフローＳＭのＮＦＩ、およびフラッシュＳＭのＦＩとスタックオーバーフローＳＭのＮＦＩ、を含む。

【0130】

さらに別の例では、第２のコントローラは、互いまでの８以上のハミング距離によって特徴づけられる、下記の２進値ペアを記憶する。ペアは、第２のコントローラ内の安全メカニズム［ＳＭ］に対する無障害インジケータ（ＮＦＩ）（例えば、有効機能符号語）および障害インジケータ（ＦＩ）（例えば、有効故障符号語）、すなわち、ＡＬＵ／コアＳＭのＮＦＩとＦＩ、プログラムフローモニタＳＭのＮＦＩとＦＩ、ＲＡＭ ＳＭのＮＦＩとＦＩ、フラッシュＳＭのＮＦＩとＦＩ、スタックアンダーフローＳＭのＮＦＩとＦＩ、およびスタックオーバーフローＳＭのＮＦＩとＦＩ、を含む。

【0131】

さらに別の例では、第２のコントローラは、互いまでの４以上のハミング距離によって特徴づけられる、第２のコントローラ内のＮＦＩ（例えば、有効機能符号語）を記憶する。ペアは、ＡＬＵ／コアＳＭのＮＦＩとプログラムフローモニタＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＮＦＩとＲＡＭ ＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＮＦＩとフラッシュＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＮＦＩとスタックアンダーフローＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＮＦＩとスタックオーバーフローＳＭのＮＦＩ、プログラムフローモニタＳＭのＮＦＩとＲＡＭ ＳＭのＮＦＩ、プログラムフローモニタＳＭのＮＦＩとフラッシュＳＭのＮＦＩ、プログラムフローモニタＳＭのＮＦＩとスタックアンダーフローＳＭのＮＦＩ、プログラムフローモニタＳＭのＮＦＩとスタックオーバーフローＳＭのＮＦＩ、ＲＡＭ ＳＭのＮＦＩとフラッシュＳＭのＮＦＩ、ＲＡＭ ＳＭのＮＦＩとスタックアンダーフローＳＭのＮＦＩ、ＲＡＭ ＳＭのＮＦＩとスタックオーバーフローＳＭのＮＦＩ、フラッシュＳＭのＮＦＩとスタックアンダーフローＳＭのＮＦＩ、フラッシュＳＭのＮＦＩとスタックオーバーフローＳＭのＮＦＩ、およびフラッシュＳＭのＮＦＩとスタックオーバーフローＳＭのＮＦＩ、を含む。

【0132】

さらに別の例では、第２のコントローラは、互いまでの４以上のハミング距離によって特徴づけられる、第２のコントローラ内のＦＩ（例えば、有効故障符号語）を記憶する。ペアは、ＡＬＵ／コアＳＭのＦＩとプログラムフローモニタＳＭのＦＩ、ＡＬＵ／コアＳＭのＦＩとＲＡＭ ＳＭのＦＩ、ＡＬＵ／コアＳＭのＦＩとフラッシュＳＭのＦＩ、ＡＬＵ／コアＳＭのＦＩとスタックアンダーフローＳＭのＦＩ、ＡＬＵ／コアＳＭのＦＩとスタックオーバーフローＳＭのＦＩ、プログラムフローモニタＳＭのＦＩとＲＡＭ ＳＭのＦＩ、プログラムフローモニタＳＭのＦＩとフラッシュＳＭのＦＩ、プログラムフローモニタＳＭのＦＩとスタックアンダーフローＳＭのＦＩ、プログラムフローモニタＳＭのＦＩとスタックオーバーフローＳＭのＦＩ、ＲＡＭ ＳＭのＦＩとフラッシュＳＭのＦＩ、ＲＡＭ ＳＭのＮＦＩとスタックアンダーフローＳＭのＦＩ、ＲＡＭ ＳＭのＦＩとスタックオーバーフローＳＭのＦＩ、フラッシュＳＭのＦＩとスタックアンダーフローＳＭのＦＩ、フラッシュＳＭのＦＩとスタックオーバーフローＳＭのＦＩ、およびフラッシュＳＭのＦＩとスタックオーバーフローＳＭのＦＩ、を含む。

【0133】

さらに別の例では、第２のコントローラは、互いまでの４以上のハミング距離によって特徴づけられる、第２のコントローラ内のＮＦＩ（例えば、有効機能符号語）と他の障害インジケータＦＩを記憶する。ペアは、ＡＬＵ／コアＳＭのＮＦＩとプログラムフローモニタＳＭのＦＩ、ＡＬＵ／コアＳＭのＮＦＩとＲＡＭ ＳＭのＦＩ、ＡＬＵ／コアＳＭのＮＦＩとフラッシュＳＭのＦＩ、ＡＬＵ／コアＳＭのＮＦＩとスタックアンダーフローＳＭのＦＩ、ＡＬＵ／コアＳＭのＮＦＩとスタックオーバーフローＳＭのＦＩ、プログラムフローモニタＳＭのＮＦＩとＲＡＭ ＳＭのＦＩ、プログラムフローモニタＳＭのＮＦＩとフラッシュＳＭのＦＩ、プログラムフローモニタＳＭのＮＦＩとスタックアンダーフローＳＭのＦＩ、プログラムフローモニタＳＭのＮＦＩとスタックオーバーフローＳＭのＦＩ、ＲＡＭ ＳＭのＮＦＩとフラッシュＳＭのＦＩ、ＲＡＭ ＳＭのＮＦＩとスタックアンダーフローＳＭのＦＩ、ＲＡＭ ＳＭのＮＦＩとスタックオーバーフローＳＭのＦＩ、フラッシュＳＭのＮＦＩとスタックアンダーフローＳＭのＦＩ、フラッシュＳＭのＮＦＩとスタックオーバーフローＳＭのＦＩ、およびフラッシュＳＭのＮＦＩとスタックオーバーフローＳＭのＦＩ、を含む。

【0134】

さらに別の例では、第２のコントローラは、互いまでの４以上のハミング距離によって特徴づけられる、第２のコントローラ内のＦＩ（例えば、有効故障符号語）と他のＮＦＩ（例えば、有効故障符号語）を記憶する。ペアは、ＡＬＵ／コアＳＭのＦＩとプログラムフローモニタＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＦＩとＲＡＭ ＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＦＩとフラッシュＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＦＩとスタックアンダーフローＳＭのＮＦＩ、ＡＬＵ／コアＳＭのＦＩとスタックオーバーフローＳＭのＮＦＩ、プログラムフローモニタＳＭのＦＩとＲＡＭ ＳＭのＮＦＩ、プログラムフローモニタＳＭのＦＩとフラッシュＳＭのＮＦＩ、プログラムフローモニタＳＭのＦＩとスタックアンダーフローＳＭのＮＦＩ、プログラムフローモニタＳＭのＦＩとスタックオーバーフローＳＭのＮＦＩ、ＲＡＭ ＳＭのＦＩとフラッシュＳＭのＮＦＩ、ＲＡＭ ＳＭのＦＩとスタックアンダーフローＳＭのＮＦＩ、ＲＡＭ ＳＭのＦＩとスタックオーバーフローＳＭのＮＦＩ、フラッシュＳＭのＦＩとスタックアンダーフローＳＭのＮＦＩ、フラッシュＳＭのＦＩとスタックオーバーフローＳＭのＮＦＩ、およびフラッシュＳＭのＦＩとスタックオーバーフローＳＭのＮＦＩ、を含む。

【0135】

さらに別の例では、第２のコントローラは、互いまでの８以上の、下記の２進値ペアを記憶する。ペアは、コントローラ１（例えば、第１のコントローラ）のＡＬＵ／コアＳＭのＮＦＩとコントローラ２（例えば、第２のコントローラ）のＡＬＵ／コアＳＭのＮＦＩ、コントローラ１のＡＬＵ／コアＳＭのＦＩとコントローラ２のＡＬＵ／コアＳＭのＦＩ、コントローラ１のＡＬＵ／コアＳＭのＮＦＩとコントローラ２のＡＬＵ／コアＳＭのＮＦＩ、コントローラ１のＡＬＵ／コアＳＭのＦＩとコントローラ２のＡＬＵ／コアＳＭのＮＦＩ、コントローラ１のプログラムフローモニタ［ＰＦＭ］ＳＭのＮＦＩとコントローラ２のＰＦＭ ＳＭのＮＦＩ、コントローラ１のＰＦＭ ＳＭのＦＩとコントローラ２のＰＦＭ ＳＭのＦＩ、コントローラ１のＰＦＭ ＳＭのＮＦＩとコントローラ２のＰＦＭ ＳＭのＮＦＩ、コントローラ１のＰＦＭ ＳＭのＦＩとコントローラ２のＰＦＭ ＳＭのＮＦＩ、コントローラ１のＲＡＭ ＳＭのＮＦＩとコントローラ２のＲＡＭ ＳＭのＮＦＩ、コントローラ１のＲＡＭ ＳＭのＦＩとコントローラ２のＲＡＭ ＳＭのＦＩ、コントローラ１のＲＡＭ ＳＭのＮＦＩとコントローラ２のＲＡＭ ＳＭのＮＦＩ、コントローラ１のＲＡＭ ＳＭのＦＩとコントローラ２のＲＡＭ ＳＭのＮＦＩ、コントローラ１のフラッシュＳＭのＮＦＩとコントローラ２のフラッシュＳＭのＮＦＩ、コントローラ１のフラッシュＳＭのＦＩとコントローラ２のフラッシュＳＭのＦＩ、コントローラ１のフラッシュＳＭのＮＦＩとコントローラ２のフラッシュＳＭのＮＦＩ、コントローラ１のフラッシュＳＭのＦＩとコントローラ２のフラッシュＳＭのＮＦＩ、コントローラ１のスタックアンダーフローＳＭのＮＦＩとコントローラ２のスタックアンダーフローＳＭのＮＦＩ、コントローラ１のスタックアンダーフローＳＭのＦＩとコントローラ２のスタックアンダーフローＳＭのＦＩ、コントローラ１のスタックアンダーフローＳＭのＮＦＩとコントローラ２のスタックアンダーフローＳＭのＮＦＩ、コントローラ１のスタックアンダーフローＳＭのＦＩとコントローラ２のスタックアンダーフローＳＭのＮＦＩ、コントローラ１のスタックアンダーフローＳＭのＮＦＩとコントローラ２のスタックアンダーフローＳＭのＮＦＩ、コントローラ１のスタックアンダーフローＳＭのＦＩとコントローラ２のスタックアンダーフローＳＭのＦＩ、コントローラ１のスタックアンダーフローＳＭのＮＦＩとコントローラ２のスタックアンダーフローＳＭのＮＦＩ、およびコントローラ１のスタックアンダーフローＳＭのＦＩとコントローラ２のスタックアンダーフローＳＭのＮＦＩ、を含む。

【0136】

したがって、有効機能符号語および有効故障符号語を実装する第１のコントローラおよび第２のコントローラは、互いからの干渉からの自由（ＦＦＩ）を示す。

【0137】

７．３ 有効符号語を記憶する：全体的なコントローラ状態
一実装形態では、ブロックＳ１１０で、第１のコントローラは、第１のコントローラの機能状態を表す有効機能符号語と、第１のコントローラの故障状態を表し、第１のコントローラの機能状態を表す有効機能符号語からの最小ハミング距離によって特徴づけられる有効故障符号語とを記憶する。例えば、第１のコントローラは、互いからの４の最小ハミング距離によって特徴づけられる有効機能符号語および有効故障符号語を記憶することができる。

【0138】

同様に、一実装形態では、ブロックＳ１１０で、第２のコントローラは、第２のコントローラの機能状態を表す有効機能符号語と、第２のコントローラの故障状態を表し、第２のコントローラの機能状態を表す有効機能符号語からの最小ハミング距離によって特徴づけられる有効故障符号語とを記憶する。例えば、第２のコントローラは、互いからの４の最小ハミング距離によって特徴づけられる有効機能符号語および有効故障符号語を記憶することができる。

【0139】

一実装形態では、コントローラの状態を表す有効符号語は、８ビット（例えば、１バイト）の長さを各々示す。

【0140】

一例では、第１のコントローラは、第１のコントローラの機能状態を表す有効機能符号語を「１１１１００１０」として、および第１のコントローラの故障状態を表す有効故障符号語を「１０１００１００」として記憶することができる。

【0141】

別の例では、第２のコントローラは、第２のコントローラの機能状態を表す有効機能符号語を「００１０１１１１」として、および第２のコントローラの故障状態を表す有効故障符号語を「０１００１０１０」として記憶することができる。

【0142】

一実装形態では、第１のコントローラに対する有効機能符号語と、有効機能符号語とは、互いに逆のニブル値（例えば、「１１１１、００１０」対「００１０、１１１１」）を示す。同様に、一実装形態では、第１のコントローラに対する有効故障符号語と、有効故障符号語とは、互いに逆のニブル値（例えば、「１０１０、０１００」対「０１００、１０１０」）を示す。

【0143】

一実装形態では、ブロックＳ１１０で、第１のコントローラは、第２のコントローラの機能状態を表す有効機能符号語と、第２のコントローラの故障状態を表し、第２のコントローラの機能状態を表す有効機能符号語からの最小ハミング距離（例えば、４）によって特徴づけられる有効故障符号語とを記憶する。

【0144】

一実装形態では、ブロックＳ１１０で、第２のコントローラは、第１のコントローラの機能状態を表す有効機能符号語と、第１のコントローラの故障状態を表し、第１のコントローラの機能状態を表す有効機能符号語からの最小ハミング距離（例えば、４）によって特徴づけられる有効故障符号語とを記憶する。

【0145】

７．４ 有効符号語を記憶する：外部入力
一実装形態では、ブロックＳ１１０で、第１のコントローラは、システムに結合された第１の入力の機能状態を表す有効機能符号語と、第１の入力の故障状態を表し、第１の入力の機能状態を表す有効機能符号語からの最小ハミング距離（例えば、４）によって特徴づけられる有効故障符号語とを記憶する。

【0146】

一実装形態では、ブロックＳ１１０で、第２のコントローラは、システムに結合された第２の入力の機能状態を表す有効機能符号語と、第２の入力の故障状態を表し、第２の入力の機能状態を表す有効機能符号語からの最小ハミング距離（例えば、４）によって特徴づけられる有効故障符号語とを記憶する。

【0147】

一変形例では、第１のコントローラおよび第２のコントローラは、複数の入力に対するそれぞれの有効機能／故障符号語を各々記憶することができる。一例では、各有効機能／故障符号語ペアは、互いからの最小ハミング距離（例えば、４）を示すことができる。別の例では、各有効符号語は、他の有効符号語からの最小ハミング距離（例えば、４）を示すことができる。

【0148】

一実装形態では、入力の状態を表す有効符号語は、８ビット（例えば、１バイト）の長さを各々示す。

【0149】

７．５ 有効符号語を記憶する：安全モジュールタイムアウト
一実装形態では、ブロックＳ１１０で、第１のコントローラは、第２のコントローラの機能タイムアウト状態を表す有効機能符号語と、第２のコントローラの故障タイムアウト状態を表し、第２のコントローラの機能タイムアウト状態を表す有効機能符号語からの最小ハミング距離（例えば、８）によって特徴づけられる有効故障符号語とを記憶する。

【0150】

一実装形態では、第１のコントローラは、これらの有効符号語を１６ビット（例えば、１ワード、２バイト、４ニブル）の長さを示す異なるビットパターンとして記憶する。各１６ビットのワードは、上位バイトおよび下位バイトを含む。各バイトは、上位ニブルおよび下位ニブルを含む。

【0151】

例えば、第１のコントローラは、第２のコントローラの機能タイムアウト状態を表す有効機能符号語を「１２、５、１１、７」（２進数で「１１０００１０１１０１１０１１１」として表示される）として、および第２のコントローラの故障タイムアウト状態を表す有効故障符号語を「７、１１、５、１２」（２進数で「０１１１１０１１０１０１１１００」として表示される）として記憶することができる。

【0152】

同様に、一実装形態では、第２のコントローラは、第１のコントローラの機能タイムアウト状態を表す有効機能符号語と、第１のコントローラの故障タイムアウト状態を表し、第１のコントローラの機能タイムアウト状態を表す有効機能符号語からの最小ハミング距離（例えば、８）によって特徴づけられる有効故障符号語とを記憶する。

【0153】

例えば、第２のコントローラは、第１のコントローラの機能タイムアウト状態を表す有効機能符号語を「５、１２、７、１１」（２進数で「０１０１１１０００１１１１０１１」として表示される）として、および第１のコントローラの故障タイムアウト状態を表す有効故障符号語を「１１、７、１２、５」（２進数で「１０１１０１１１１１０００１０１」として表示される）として記憶することができる。

【0154】

一変形例では、有効故障符号語の上位バイトは奇数値のみを示し、有効故障符号語の下位バイトは偶数値のみを示し、有効機能符号語の上位バイトは偶数値のみを示し、有効機能符号語の下位バイトは奇数値のみを示す。別の変形例では、有効故障符号語の上位バイトは偶数値のみを示し、有効故障符号語の下位バイトは奇数値のみを示し、有効機能符号語の上位バイトは奇数値のみを示し、有効機能符号語の下位バイトは偶数値のみを示す。ここで「奇」および「偶」は、１０進数の奇数または偶数の値ではなく、ビット数を記述する。

【0155】

一実装形態では、ブロックＳ１１０で、第１のコントローラは、第２のコントローラからの通信内容の機能状態を表す有効機能符号語と、第２のコントローラからの通信内容の故障状態を表し、第２のコントローラからの通信内容の機能状態を表す有効機能符号語からの最小ハミング距離（例えば、８）によって特徴づけられる有効故障符号語とを記憶する。

【0156】

同様に、一実装形態では、ブロックＳ１１０で、第２のコントローラは、第１のコントローラからの通信内容の機能状態を表す有効機能符号語と、第１のコントローラからの通信内容の故障状態を表し、第１のコントローラからの通信内容の機能状態を表す有効機能符号語からの最小ハミング距離（例えば、８）によって特徴づけられる有効故障符号語とを記憶する。

【0157】

一実装形態では、ブロックＳ１１０で、第１のコントローラは、アプリケーションプロセッサからの通信内容の機能状態を表す有効機能符号語と、アプリケーションプロセッサからの通信内容の故障状態を表し、アプリケーションプロセッサからの通信内容の機能状態を表す有効機能符号語からの最小ハミング距離（例えば、８）によって特徴づけられる有効故障符号語とを記憶する。

【0158】

同様に、一実装形態では、ブロックＳ１１０で、第２のコントローラは、アプリケーションプロセッサからの通信内容の機能状態を表す有効機能符号語と、アプリケーションプロセッサからの通信内容の故障状態を表し、アプリケーションプロセッサからの通信内容の機能状態を表す有効機能符号語からの最小ハミング距離（例えば、８）によって特徴づけられる有効故障符号語とを記憶する。

【0159】

一実装形態では、第１のコントローラは、他の有効符号語からの最小ハミング距離（例えば、４）によって各々特徴づけられる、これらの有効符号語を記憶する。

【0160】

例えば、第１のコントローラ（「ＭＡ」として示される）および第２のコントローラ（「ＭＢ」として示される）は、図５Ａ、図５Ｂ、図５Ｃ、図５Ｄ、および図６に示されるように符号語を各々記憶することができる（「ＡＰ」として示されるアプリケーションプロセッサ）。

【0161】

この例では、第１のコントローラＭＡ内の４つすべての通信ＳＭの値ＮＦＩ（例えば、有効機能符号語）／ＦＩ（例えば、有効故障符号語）のペアは、互いからの８以上のハミング距離によって特徴づけられる。第１のコントローラＭＡ内の４つすべてのＮＦＩは、互いからの４以上のハミング距離によって特徴づけられる。第１のコントローラＭＡ内の４つすべてのＦＩは、互いからの４以上のハミング距離によって特徴づけられる。第１のコントローラＭＡ内の４つのＮＦＩのうちの任意のものは、第１のコントローラＭＡ内の４つのＦＩのうちの任意のものからの４以上のハミング距離によって特徴づけられる。

【0162】

同様に、第２のコントローラＭＢ内の４つすべての通信ＳＭの値ＮＦＩ（例えば、有効機能符号語）／ＦＩ（例えば、有効故障符号語）のペアは、互いからの８以上のハミング距離によって特徴づけられる。第２のコントローラＭＢ内の４つすべてのＮＦＩは、互いからの４以上のハミング距離によって特徴づけられる。第２のコントローラＭＢ内の４つすべてのＦＩは、互いからの４以上のハミング距離によって特徴づけられる。第２のコントローラＭＢ内の４つのＮＦＩのうちの任意のものは、第２のコントローラＭＢ内の４つのＦＩのうちの任意のものからの４以上のハミング距離によって特徴づけられる。

【0163】

７．６ 有効符号語を記憶する：安全コントローラタイムアウト
一実装形態では、ブロックＳ１１０で、第１のコントローラは、システムに結合された第２の安全モジュール内の第３のコントローラの機能タイムアウト状態を表す有効機能符号語と、第３のコントローラの故障タイムアウト状態を表し、第３のコントローラの機能タイムアウト状態を表す有効機能符号語からの最小ハミング距離（例えば、８）によって特徴づけられる有効故障符号語と、システムに結合された第３の安全モジュール内の第４のコントローラの機能タイムアウト状態を表す有効機能符号語と、第４のコントローラの故障タイムアウト状態を表し、第４のコントローラの機能タイムアウト状態を表す有効機能符号語からの最小ハミング距離（例えば、８）によって特徴づけられる有効故障符号語と、第３のコントローラおよび第４のコントローラを含む被監視コントローラのセットの機能タイムアウト状態を表す第９の有効機能符号語と、被監視コントローラのセットの故障タイムアウト状態を表し、被監視コントローラのセットの機能タイムアウト状態を表す第９の有効機能符号語からの最小ハミング距離（例えば、８）によって特徴づけられる第９の有効故障符号語とを記憶する。

【0164】

一変形例では、第１のコントローラは、第１のコントローラによって監視され被監視コントローラのセットに含まれる、他の安全モジュールのより多数またはより少数のコントローラに対応する、より多数またはより少数の有効機能符号語を記憶することができる。

【0165】

一実装形態では、第１のコントローラは、これらの有効符号語を１６ビット（例えば、１ワード、２バイト、４ニブル）の長さを示す異なるビットパターンとして記憶する。各１６ビットのワードは、上位バイトおよび下位バイトを含む。各バイトは、上位ニブルおよび下位ニブルを含む。一変形例では、第１のコントローラは、被監視コントローラのセットの機能タイムアウト状態を表す有効機能符号語と、被監視コントローラのセットの故障タイムアウト状態を表す有効故障符号語とを、８ビット（例えば、１バイト）の長さを各々示す異なるビットパターンとして記憶する。

【0166】

一実装形態では、有効故障符号語の上位バイトは奇数値のみを示し、有効故障符号語の下位バイトは偶数値のみを示し、有効機能符号語の上位バイトは偶数値のみを示し、有効機能符号語の下位バイトは奇数値のみを示す。一変形例では、有効故障符号語の上位バイトは偶数値のみを示し、有効故障符号語の下位バイトは奇数値のみを示し、有効機能符号語の上位バイトは奇数値のみを示し、有効機能符号語の下位バイトは偶数値のみを示す。

【0167】

一実装形態では、第１のコントローラは、互いからの最小ハミング距離（例えば、８）によって特徴づけられる、所与のコントローラに対するタイムアウト状態を表す有効機能／故障符号語を記憶する。一実装形態では、第１のコントローラは、他の有効符号語からの最小ハミング距離（例えば、４）によって各々特徴づけられるこれらの有効符号語を記憶する。

【0168】

一変形例では、ブロックＳ１１０で、第２のコントローラは、上記の例に記載されるような、第１のコントローラに関連して上に記載したのと類似の様式で他の安全モジュール内のコントローラのタイムアウト状態を表す有効符号語を記憶することができる。

【0169】

７．６．１ 有効符号語を記憶する：安全コントローラタイムアウトの例
一例では、安全モジュール内の第１のコントローラ（「ＭＡ」として示される）および第２のコントローラ（「ＭＢ」として示される）は、図５Ａ、図５Ｂ、図５Ｃ、図５Ｄ、および図６に示されるように符号語を各々記憶することができる。

【0170】

この例では、安全モジュール内の第１のコントローラ（ＭＡ）および第２のコントローラ（ＭＢ）は、デバイスＤ１～Ｄ１２内のそれぞれのＭＡコントローラおよびＭＢコントローラに対するタイムアウト状態を監視する。特に、安全モジュールは、デバイスＤ１～Ｄ１２に対する安全コントローラであり、デバイスＤ１～Ｄ１２は、各々安全モジュールである。

【0171】

一実装形態では、第１のコントローラは、デバイスＤ１内のＭＡコントローラ、デバイスＤ２内のＭＡコントローラ、デバイスＤ３内のＭＡコントローラ、などに対するタイムアウト状態を監視する。同様に、第２のコントローラは、デバイスＤ１内のＭＢコントローラ、デバイスＤ２内のＭＢコントローラ、デバイスＤ３内のＭＢコントローラ、などに対するタイムアウト状態を監視する。

【0172】

一実装形態では、第１のコントローラは、デバイスＤ１～Ｄ１２内のＭＡコントローラのそれぞれの状態を各々表す有効機能／故障符号語を記憶する。同様に、第２のコントローラは、デバイスＤ１～Ｄ１２内のＭＢコントローラのそれぞれの状態を各々表す有効機能／故障符号語を記憶する。

【0173】

一実装形態では、第１のコントローラおよび第２のコントローラは、これらの有効符号語を、１６ビット（例えば、１ワード、２バイト、４ニブル）の長さを示す異なるビットパターンとして記憶する。各１６ビットのワードは、上位バイトおよび下位バイトを含む。各バイトは、上位ニブルおよび下位ニブルを含む。一実装形態では、各有効符号語の各バイト（例えば、上位バイト、下位バイト）は、奇数値ニブルおよび偶数値ニブルを含む。

【0174】

例えば、第１のコントローラは、第３のコントローラ（例えば、デバイスＤ１のＭＡ）の故障タイムアウト状態を表す有効故障符号語を「１４、３、７、５」（２進数で「１１１０００１１０１１１０１０１」として表示される）として、および第３のコントローラの機能タイムアウト状態を表す有効機能符号語を「７、５、１４、３」（２進数で「０１１１０１０１１１１０００１１」として表示される）として記憶することができる。

【0175】

一変形例では、有効機能符号語の上位バイトおよび有効故障符号語の下位バイトは互いに等価であり、有効故障符号語の上位バイトおよび有効機能符号語の下位バイトは互いに等価である。例えば、デバイスＤ１のコントローラＭＡの機能タイムアウト状態を表す有効機能符号語の上位バイト（例えば、「７、５」）およびデバイスＤ１のコントローラＭＡの故障タイムアウト状態を表す有効故障符号語の下位バイト（例えば、「７、５」）は互いに等価である。さらに、有効故障符号語の上位バイト（例えば、「１４、３」）および有効機能符号語の下位バイト（例えば、「１４、３」）は互いに等価である。

【0176】

７．７ 有効符号語を記憶する：システム状態
一実装形態では、ブロックＳ１１０で、第１のコントローラは、システムの機能状態を表す有効機能符号語と、システムの故障状態を表し、システムの機能状態を表す有効機能符号語からの最小ハミング距離（例えば、４）によって特徴づけられる有効故障符号語とを記憶する。

【0177】

一実装形態では、ブロックＳ１１０で、第２のコントローラは、システムの機能状態を表す有効機能符号語と、システムの故障状態を表し、システムの機能状態を表す有効機能符号語からの最小ハミング距離（例えば、４）によって特徴づけられる有効故障符号語とを記憶する。

【0178】

一例では、各有効機能／故障符号語ペアは、互いからの最小ハミング距離（例えば、４）を示すことができる。別の例では、各有効符号語は、他の有効符号語からの最小ハミング距離（例えば、４）を示すことができる。

【0179】

一実装形態では、システムの状態を表す有効符号語は、８ビット（例えば、１バイト）の長さを各々示す。

【0180】

８．第１のコントローラ：サブシステム監視
方法Ｓ１００のブロックＳ１２０は、第１の期間中に、第１のサブシステムの機能動作を検出したことに応答して、第１の有効機能符号語を第１のメモリに記憶することを記載している。

【0181】

一般に、ブロックＳ１２０で、監視期間中に、第１のコントローラは、第１のコントローラ内のサブシステムのセット内の各サブシステムを個別に監視し、監視に基づいて各サブシステムについて動作（例えば、機能動作、故障動作）を検出し、サブシステムの検出された動作に対応する各サブシステムのそれぞれの状態を検出し、検出された状態を検出された状態に対応する符号語に符号化し、検出された状態に基づいてメモリに有効符号語（例えば、有効機能符号語、有効故障符号語）を記憶する。

【0182】

一実装形態では、第１のコントローラは、第１のコントローラ内のサブシステムのセット内の各サブシステムを個別に監視する。一例では、第１のコントローラは、ＡＬＵ、ＲＡＭ、フラッシュメモリ、プログラムフローモニタ安全メカニズム、スタックオーバーフロー安全メカニズム、および／またはスタックアンダーフロー安全メカニズムを個別に監視することができる。別の例では、第１のコントローラは、各サブシステムに対して診断テストを個別に実行する。

【0183】

一実装形態では、第１のコントローラは、監視に基づいて各サブシステムについて動作（例えば、機能動作、故障動作）を検出する。一例では、第１のコントローラは、診断テストの実行結果がエラーなしであることに基づいて、ＡＬＵの機能動作を検出することができる。別の例では、第１のコントローラは、スタックオーバーフローが検出されているというインスタンスに基づいて、スタックオーバーフロー安全メカニズムの故障動作を検出することができる。

【0184】

一実装形態では、第１のコントローラは、所与のサブシステムに対して検出されているエラーの不存在時にサブシステムの機能動作を検出し、第１のコントローラは、所与のサブシステムに対して１つまたは複数のエラーが検出されたときに故障動作を検出する。例えば、エラーは、所与のサブシステムの性質、所与のサブシステムに関連づけられた安全規格、および／または所与のサブシステムに適用可能な任意の要因に基づいて規定されてもよい。

【0185】

一般に、第１のコントローラは、サブシステムの検出された動作に対応する各サブシステムのそれぞれの状態を検出する。一実装形態では、第１のコントローラは、サブシステムの機能動作を検出したことに応答してサブシステムの機能状態を検出し、サブシステムの故障動作を検出したことに応答してサブシステムの故障状態を検出する。一例では、第１のコントローラは、ＡＬＵの機能動作を検出したことに応答してＡＬＵの機能状態を検出する。別の例では、第１のコントローラは、スタックオーバーフロー安全メカニズムの故障動作を検出したことに応答してスタックオーバーフロー安全メカニズムの故障状態を検出する。

【0186】

一般に、第１のコントローラは、検出された状態を、サブシステムの検出された動作に対応する符号語に符号化する。一実装形態では、第１のコントローラは、有効符号語の第１のセットから、検出された状態に対応する有効符号語を選択する。一例では、第１のコントローラは、ＡＬＵの機能状態を検出したことに応答して、ＡＬＵの機能動作を表す有効機能符号語を選択する。別の例では、第１のコントローラは、スタックオーバーフロー安全メカニズムの故障状態を検出したことに応答して、スタックオーバーフロー安全メカニズムの故障動作を表す有効故障符号語を選択する。

【0187】

一般に、第１のコントローラは、サブシステムのセット内の各サブシステムに対するそれぞれの有効符号語（例えば、有効機能符号語、有効故障符号語）をメモリに記憶する。一実装形態では、第１のコントローラは、サブシステムの機能動作を表す有効機能符号語をメモリに記憶する。一変形例では、第１のコントローラは、サブシステムの故障動作を表す有効故障符号語をメモリに記憶する。一例では、第１のコントローラは、ＡＬＵの機能動作を表す有効機能符号語を第１のメモリに記憶する。別の例では、第１のコントローラは、スタックオーバーフロー安全メカニズムの故障動作を表す有効故障符号語を第２のメモリに記憶する。

【0188】

一実装形態では、第１のコントローラは、第１のコントローラ内のフラッシュメモリに有効符号語を記憶する。一変形例では、第１のコントローラは、外部メモリに有効符号語を記憶する。

【0189】

９．第１のコントローラ：全体的なコントローラ状態
方法Ｓ１００のブロックＳ１３０は、第１の期間の後の第２の期間中に、第１のコントローラで、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、および第１の入力の機能動作を検出したことに応答して、第２の有効機能符号語および第４の有効機能符号語を含む第１の安全メッセージを出力することと、第３の期間の後の第４の期間中に、第１のコントローラで、第１のメモリの内容と有効符号語の第１のセット内のあらゆる符号語との間の不一致を検出したことに応答して、第２の有効故障符号語および第４の有効故障符号語を含む第２の安全メッセージを出力することとを記載している。

【0190】

一般に、ブロックＳ１３０で、監視期間の後の評価期間中に、第１のコントローラは、監視期間中にメモリに記憶された符号語が有効符号語と一致するかどうかを検出し、（ｉ）監視期間中にメモリに記憶された符号語が有効符号語と一致するかどうか、および（ｉｉ）検出された状態、に基づいて第１のコントローラの全体的な状態を検出し、安全メッセージを出力する。

【0191】

一実装形態では、第１のコントローラは、メモリの内容と有効符号語のセットに含まれる有効符号語との間の一致を検出する。一変形例では、第１のコントローラは、メモリの内容と有効符号語のセット内のあらゆる有効符号語との間の不一致を検出する。

【0192】

例えば、ＡＬＵに関連づけられたメモリの内容が「８、１、２、８」である場合、ＡＬＵに対する有効機能符号語は「１３、１４、１４、１３」でありＡＬＵに対する有効故障符号語は「８、２、２、８」であるため、および有効符号語のセット内のどの有効符号語も「８、１、２、８」ではないため、第１のコントローラは、メモリの内容と有効符号語のセット内のあらゆる有効符号語との間の不一致を検出する。

【0193】

一実装形態では、第１のコントローラは、所与のサブシステムに関連づけられたメモリの内容と有効符号語のセット内のあらゆる有効符号語との間の不一致を検出したことに応答して、所与のサブシステムが故障状態にあることを指示する。例えば、第１のコントローラは、不一致を検出したことに応答して、所与のサブシステムの故障状態を表す有効故障符号語をメモリに記憶することができる。

【0194】

一実装形態では、第１のコントローラは、サブシステムのセットの検出された状態を表す符号語に基づいて、第１のコントローラの全体的な状態を検出する。一実装形態では、第１のコントローラは、ルールのセットに基づいて、第１のコントローラの全体的な状態を検出する。一例では、第１のコントローラは、サブシステムのセット内のあらゆるサブシステムが機能状態にあることを検出したこと、および／またはサブシステムのセット内のあらゆるサブシステムに対するメモリに有効機能符号語を検出したことに応答して、第１のコントローラの機能状態を検出することができる。別の例では、第１のコントローラは、サブシステムのセット内の１つのサブシステムが故障状態にあることを検出したこと、および／またはサブシステムのセット内の１つのサブシステムに対するメモリに有効故障符号語を検出したことに応答して、第１のコントローラの故障状態を検出することができる。

【0195】

一実装形態では、第１のコントローラは、第１のコントローラの機能状態を検出したことに応答して、第１のコントローラの機能状態を表す有効機能符号語を指示する。一変形例では、第１のコントローラは、第１のコントローラの故障状態を検出したことに応答して、第１のコントローラの故障状態を表す有効故障符号語を指示する。一例では、第１のコントローラは、第１のコントローラの機能状態を表す有効機能符号語（例えば、「１１１１００１０」）をメモリに記憶することができる。別の例では、第１のコントローラは、第１のコントローラの故障状態を表す有効故障符号語（例えば、「１０１００１００」）をメモリに記憶することができる。

【0196】

一般に、第１のコントローラは、第１のコントローラの状態を表す有効符号語を含む安全メッセージを出力する。一実装形態では、第１のコントローラは、メモリの内容と有効符号語のセットとの間の一致を検出したこと、サブシステムのセットの機能動作を検出したことに応答して、第１のコントローラの機能状態を表す有効機能符号語を含む安全メッセージを出力する。一変形例では、第１のコントローラは、メモリの内容と有効符号語のセット内のあらゆる有効符号語との間の不一致を検出したことに応答して、第１のコントローラの故障状態を表す有効故障符号語を含む安全メッセージを出力する。別の変形例では、第１のコントローラは、メモリの内容と有効符号語のセットとの間の一致を検出したこと、サブシステムのセット内の少なくとも１つのサブシステムの故障動作を検出したことに応答して、第１のコントローラの故障状態を表す有効故障符号語を含む安全メッセージを出力する。

【0197】

一実装形態では、第１のコントローラは、安全メッセージの第３のバイト（例えば、「Ｍ０」）に第１のコントローラの機能状態を表す有効機能符号語を含む安全メッセージを出力する。一変形例では、第１のコントローラは、安全メッセージの第３のバイト（例えば、「Ｍ０」）に第１のコントローラの故障状態を表す有効故障符号語を含む安全メッセージを出力する。

【0198】

その場合、第１のコントローラは、第２のコントローラに、および／またはアプリケーションプロセッサに、安全メッセージを出力する。

【0199】

１０．外部入力
方法Ｓ１００のブロックＳ１２２は、第１の期間中に、第１の入力の機能動作を検出したことに応答して、第３の有効機能符号語を第２のメモリに記憶することを記載している。

【0200】

一般に、ブロックＳ１２２で、監視期間中に、第１のコントローラは、システムに結合された入力（例えば、非常停止ボタン、断線センサ）を監視し、監視に基づいて入力の動作（例えば、機能動作、故障動作）を検出し、サブシステムの検出された動作に対応する入力のそれぞれの状態を検出し、検出された状態を検出された状態に対応する符号語に符号化し、検出された状態に基づいてメモリに有効符号語（例えば、有効機能符号語、有効故障符号語）を記憶する。

【0201】

一実装形態では、第１のコントローラは、アナログ入力ピンにおけるアナログ電圧を読み出して入力カウントのセットに変換し、ＡＤＣからのデジタル電源信号を基準カウントのセットとして読み出し、補正された入力カウントを計算するために基準カウントのセットに基づいて入力カウントを補正（例えば、スケーリング）し、補正された入力カウントを第１の符号化論理出力値（例えば、有効符号語）に符号化するが、これは２０２１年５月２７日に出願された米国特許出願第１７／３３２，６３５号に記載される通りであり、それは全体として参照により援用される。

【0202】

一実装形態では、第１のコントローラは、入力の機能動作を表す有効機能符号語をメモリに記憶する。一変形例では、第１のコントローラは、入力の故障動作を表す有効故障符号語をメモリに記憶する。

【0203】

一実装形態では、第１のコントローラは、第１のコントローラ内のフラッシュメモリに有効符号語を記憶する。一変形例では、第１のコントローラは、外部メモリに有効符号語を記憶する。

【0204】

一変形例では、第１のコントローラは、第１のコントローラによって監視される各追加的な入力についてブロックＳ１２２を実行する。

【0205】

一変形例では、ブロックＳ１３０で、監視期間の後の評価期間中に、第１のコントローラは、入力の動作（例えば、機能動作、故障動作）を検出したことに応答して、入力の状態を表す有効符号語を含む安全メッセージを出力する。例えば、第１のコントローラは、入力の機能動作を検出したことに応答して、入力の機能動作を表す有効機能符号語を含む安全メッセージを出力する。別の例では、第１のコントローラは、入力の故障動作を検出したことに応答して、入力の故障動作を表す有効故障符号語を含む安全メッセージを出力する。さらに別の例では、第１のコントローラは、安全メッセージの第４のバイト（例えば、「Ｉ１」）に入力の機能動作を表す有効機能符号語を含む安全メッセージを出力する。さらに別の例では、第１のコントローラは、安全メッセージの第４のバイト（例えば、「Ｉ１」）に入力の故障動作を表す有効故障符号語を含む安全メッセージを出力する。

【0206】

１１．コントローラ間通信
方法Ｓ１００のブロックＳ１２４、Ｓ１４０、Ｓ１４２は、第１の期間中に、第１のコントローラで、第２のコントローラに結合された入力レジスタに問い合わせることと、入力レジスタで、第２のコントローラからの第６の有効機能符号語を含む第４の安全メッセージを検出することと、第３の期間中に、第１のコントローラに結合された入力レジスタに問い合わせることと、第１の時間量内における入力レジスタからの第３の安全メッセージの不受信を検出したことに応答して、第９の有効故障符号語を第５のメモリに記憶することとを記載している。

【0207】

一般に、ブロックＳ１２４、Ｓ１４０、Ｓ１４２で、監視期間中に、第１のコントローラは、第２のコントローラに結合された入力レジスタに問い合わせ、所定の時間量内に安全メッセージが入力レジスタにあるかどうかを検出し、第２のコントローラのタイムアウト状態を検出し、検出された状態を検出された状態に対応する符号語に符号化し、検出された状態に基づいてメモリに有効符号語（例えば、有効機能符号語、有効故障符号語）を記憶する。

【0208】

一実装形態では、監視期間中に、第１のコントローラは、第２のコントローラに結合された入力レジスタに問い合わせる。例えば、第１のコントローラは、第２のコントローラから安全メッセージを受信するように構成された第１のコントローラの入力に問い合わせることができる。

【0209】

一実装形態では、第１のコントローラは、所定の時間量内における第２のコントローラから入力レジスタでの安全メッセージの受信を検出する。例えば、第１のコントローラは、最近の安全メッセージが第２のコントローラから受信されて以来の経過時間を監視し、経過時間が閾値時間内にあることを検出したことに応答して、所定の時間量内における安全メッセージの受信を検出することができる。

【0210】

一実装形態では、所定の時間量および／または閾値時間は、安全規格、タイミング要件、通信プロトコル、および／または任意の他の要因に基づいて選択され得る。

【0211】

一変形例では、第１のコントローラは、所定の時間量内における第２のコントローラから入力レジスタでの安全メッセージの不受信を検出する。例えば、第１のコントローラは、最近の安全メッセージが第２のコントローラから受信されて以来の経過時間を監視し、経過時間が閾値時間を超過したことを検出したことに応答して、所定の時間量内における安全メッセージの不受信を検出することができる。

【0212】

一実装形態では、第１のコントローラは、所定の時間量内における第２のコントローラに結合された入力レジスタでの安全メッセージの受信を検出したことに応答して、第２のコントローラの機能タイムアウト状態を検出する。一変形例では、第１のコントローラは、所定の時間量内における第２のコントローラに結合された入力レジスタでの安全メッセージの不受信を検出したことに応答して、第２のコントローラの故障タイムアウト状態を検出する。

【0213】

一般に、第１のコントローラは、検出されたタイムアウト状態を検出されたタイムアウト状態に対応する符号語に符号化する。一実装形態では、第１のコントローラは、有効符号語の第１のセットから検出された状態に対応する有効符号語を選択する。

【0214】

一般に、第１のコントローラは、有効符号語（例えば、有効機能符号語、有効故障符号語）をメモリに記憶する。一実装形態では、第１のコントローラは、第２のコントローラの機能タイムアウト状態を表す有効機能符号語をメモリに記憶する。一変形例では、第１のコントローラは、第２のコントローラの故障タイムアウト状態を表す有効故障符号語をメモリに記憶する。

【0215】

一変形例では、所定の時間量内における第２のコントローラから入力レジスタでの安全メッセージの受信を検出したことに応答して、第１のコントローラは、受信された安全メッセージの内容が有効であるかどうかを検出する。一例では、第１のコントローラは、安全メッセージが誤っているかどうかを決定するために安全メッセージの内容およびフォーマットをチェックする。別の例では、第１のコントローラは、安全メッセージが図３に指定されるデータ構造に準拠しているかどうかを検出する。さらに別の例では、第１のコントローラは、安全メッセージに含まれる符号語と記憶された有効符号語のセット内のあらゆる有効符号語との間の不一致を検出する。

【0216】

一実装形態では、第１のコントローラは、安全メッセージの内容および／またはフォーマットにおける誤りの不存在を検出したことに応答して、第２のコントローラからの通信内容の機能状態を検出する。一変形例では、第１のコントローラは、安全メッセージの内容および／またはフォーマットにおける１つまたは複数の誤り（例えば、安全メッセージに含まれる符号語と記憶された有効符号語のセット内のあらゆる有効符号語との間の不一致）を検出したことに応答して、第２のコントローラからの通信内容の故障状態を検出する。

【0217】

一実装形態では、第１のコントローラは、タイムアウトを表す有効符号語（例えば、有効機能符号語、有効故障符号語）をメモリに、および／または第２のコントローラの内容状態をメモリに記憶する。例えば、第１のコントローラは、所定の時間量内における第２のコントローラに結合された入力レジスタでの安全メッセージの受信を検出したことに応答して、第２のコントローラの機能タイムアウト状態を表す有効機能符号語をメモリに記憶する。別の例では、第１のコントローラは、所定の時間量内における第２のコントローラに結合された入力レジスタでの安全メッセージの不受信を検出したことに応答して、第２のコントローラの故障タイムアウト状態を表す有効故障符号語をメモリに記憶する。さらに別の例では、第１のコントローラは、安全メッセージの内容および／またはフォーマットにおける誤りの不存在を検出したことに応答して、第２のコントローラの機能通信内容状態を表す有効機能符号語をメモリに記憶する。さらに別の例では、第１のコントローラは、安全メッセージの内容および／またはフォーマットにおける１つまたは複数の誤りを検出したことに応答して、第２のコントローラの故障通信内容状態を表す有効故障符号語をメモリに記憶する。さらに別の例では、第１のコントローラは、所定の時間量内における第２のコントローラから入力レジスタでの安全メッセージの不受信を検出したことに応答して、内容チェックを差し控え、第２のコントローラの故障通信内容状態を表す有効故障符号語をメモリに記憶する。

【0218】

一実装形態では、第１のコントローラは、第１のコントローラ内のフラッシュメモリに有効符号語を記憶する。一変形例では、第１のコントローラは、外部メモリに有効符号語を記憶する。

【0219】

方法Ｓ１００のブロックＳ１３０は、第１の期間の後の第２の期間中に、第１のコントローラで、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、第３のメモリの内容と第５の有効機能符号語との間の一致を検出したことに応答して、および第１の入力の機能動作を検出したことに応答して、第２の有効機能符号語および第６の有効機能符号語を含む第２の安全メッセージを出力することと、第３の期間の後の第４の期間中に、第１のコントローラで、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、および第３のメモリの内容と第５の有効故障符号語との間の一致を検出したことに応答して、第２の有効機能符号語および第６の有効故障符号語を含む第４の安全メッセージを出力することとを記載している。

【0220】

一般に、ブロックＳ１３０で、監視期間の後の評価期間中に、第１のコントローラは、監視期間中にメモリに記憶された符号語が有効符号語と一致するかどうかを検出し、（ｉ）監視期間中にメモリに記憶された符号語が有効符号語と一致するかどうか、および（ｉｉ）検出された状態、に基づいて第１のコントローラの全体的な状態を検出し、安全メッセージを出力する。

【0221】

一実装形態では、第１のコントローラは、メモリの内容（例えば、第２のコントローラの機能タイムアウト状態を表す符号語）と有効符号語（例えば、第２のコントローラの機能タイムアウト状態を表す有効符号語、第２のコントローラの機能通信内容状態を表す有効符号語）のセットに含まれる有効符号語との間の一致を検出する。一変形例では、第１のコントローラは、メモリの内容（例えば、第２のコントローラの機能タイムアウト状態を表す上書きされた符号語、第２のコントローラの機能通信内容状態を表す上書きされた符号語）と有効符号語のセット内のあらゆる有効符号語との間の不一致を検出する。

【0222】

一実装形態では、第１のコントローラは、メモリの内容（例えば、第２のコントローラの機能タイムアウト状態を表す上書きされた符号語、第２のコントローラの機能通信内容状態を表す上書きされた符号語）と有効符号語のセット内のあらゆる有効符号語との間の不一致を検出したことに応答して、第２のコントローラが故障タイムアウト状態にあることを指示する。例えば、第１のコントローラは、不一致を検出したことに応答して、第２のコントローラの故障タイムアウト状態を表す有効故障符号語をメモリに記憶することができる。

【0223】

一変形例では、ブロックＳ１３０で、監視期間の後の評価期間中に、第１のコントローラは、所定の時間量内における第２のコントローラからの安全メッセージの受信／不受信を検出したことに応答して、第２のコントローラの状態を表す有効符号語を含む安全メッセージを出力する。例えば、第１のコントローラは、所定の時間量内における第２のコントローラからの（第２のコントローラの機能動作を表す有効機能符号語を含む）安全メッセージの受信を検出したことに応答して、第２のコントローラの機能動作を表す有効機能符号語を含む安全メッセージを出力する。別の例では、第１のコントローラは、第２のコントローラからの安全メッセージの内容および／またはフォーマットにおける誤りの不存在を検出したことに応答して、第２のコントローラの機能動作を表す有効機能符号語を含む安全メッセージを出力する。さらに別の例では、第１のコントローラは、安全メッセージの内容および／またはフォーマットにおける１つまたは複数の誤りを検出したことに応答して、第２のコントローラの故障動作を表す有効故障符号語を含む安全メッセージを出力する。さらに別の例では、第１のコントローラは、所定の時間量内における第２のコントローラからの安全メッセージの不受信を検出したことに応答して、第２のコントローラの故障動作を表す有効故障符号語を含む安全メッセージを出力する。さらに別の例では、第１のコントローラは、第２のコントローラに関連づけられたメモリの内容（例えば、第２のコントローラの機能タイムアウト状態を表す上書きされた符号語）と有効符号語のセット内のあらゆる有効符号語との間の不一致を検出したことに応答して、第２のコントローラの故障動作を表す有効故障符号語を含む安全メッセージを出力する。

【0224】

一変形例では、第１のコントローラは、類似の様式でアプリケーションプロセッサとの通信故障を検出することができる。特に、第１のコントローラおよびアプリケーションプロセッサは、第１のコントローラおよび第２のコントローラに関連して上に記載したのと類似の様式で、タイムアウトを監視し、互いとの通信内容故障を検出することができる。

【0225】

一般に、第１のコントローラは、第２のコントローラから受信される安全メッセージの内容に基づいて第２のコントローラの状態を検出することができる。例えば、第２のコントローラからの安全メッセージは、安全メッセージの第３のバイト（例えば、「Ｍ１」）においてなどで、第２のコントローラの状態（例えば、有効機能符号語、有効故障符号語）を含むことができる。したがって、第１のコントローラは、第２のコントローラとのインフラストラクチャ問題を検出することができる。

【0226】

同様に、第１のコントローラは、第２のコントローラから受信される安全メッセージの内容に基づいて入力の状態を検出することができる。例えば、第２のコントローラからの安全メッセージは、安全メッセージの第４のバイト（例えば、「Ｉ１」）においてなどで、第２のコントローラによって処理された入力の状態（例えば、有効機能符号語、有効故障符号語）を含むことができる。

【0227】

一実装形態では、第１のコントローラによって検出された入力の状態と第２のコントローラからの安全メッセージで指示された入力の状態との間の一致を検出したことに応答して、第１のコントローラは、状態が真であることを検出することができる。一変形例では、第１のコントローラによって検出された入力の状態と第２のコントローラからの安全メッセージで指示された入力の状態との間の不一致を検出したことに応答して、第１のコントローラは、入力の故障状態を検出することができる。したがって、メッセージ内の誤りの確率は、機能安全規格（例えば、ＩＥＣ６１７８４）によって要求される閾値最大誤り値よりも低く低減され、これは、干渉を受けやすい媒体（例えば、無線通信、高利用有線通信）での通信時に有益である。

【0228】

１２．安全コントローラ
方法Ｓ１００のブロックＳ１２６は、第１の期間中に、第３の時間量内における（例えば、第２の安全モジュール内の）第３のコントローラからの第５の安全メッセージの受信を検出したことに応答して、第７の有効機能符号語を第４のメモリに記憶することと、第４の時間量内における（例えば、第３の安全モジュール内の）第４のコントローラからの第６の安全メッセージの不受信を検出したことに応答して、第８の有効故障符号語を第５のメモリに記憶することとを記載しており、第１のコントローラで第２の期間中に第２の安全メッセージを出力することは、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、第３のメモリの内容と第５の有効機能符号語との間の一致を検出したことに応答して、第１の入力の機能動作を検出したことに応答して、第４のメモリの内容と第７の有効機能符号語との間の一致を検出したことに応答して、および第５のメモリと第８の有効故障符号語との間の一致を検出したことに応答して、第２の有効機能符号語、第６の有効機能符号語、および第９の有効故障符号語を含む第２の安全メッセージを出力することを含む。

【0229】

一般に、ブロックＳ１２６で、監視期間中に、第１のコントローラは、所定の時間量内における他の安全モジュール内の被監視コントローラのセット内の各コントローラからの安全メッセージの受信（または不受信）を検出し、被監視コントローラのセット内の各コントローラに対するそれぞれのタイムアウト状態を検出し、検出された状態を検出された状態に対応する符号語に符号化し、検出された状態に基づいてメモリに有効符号語（例えば、有効機能符号語、有効故障符号語）を記憶する。

【0230】

一実装形態では、監視期間中に、第１のコントローラは、所定の時間量内における他の安全モジュール内の被監視コントローラのセット内の各コントローラからの安全メッセージの受信（または不受信）を検出する。一例では、第１のコントローラは、アプリケーションプロセッサから安全メッセージを受信することができる。

【0231】

一実装形態では、第１のコントローラは、所定の時間量内における他の安全モジュール内の被監視コントローラのセット内の各コントローラからの安全メッセージの受信を独立に検出する。一例では、第１のコントローラは、最近の安全メッセージが被監視コントローラのセット内の所与のコントローラから受信されて以来の経過時間を独立に監視し、経過時間が閾値時間内にあることを検出したことに応答して、所定の時間量内における安全メッセージの受信を検出することができる。

【0232】

一変形例では、第１のコントローラは、最近の安全メッセージが被監視コントローラのセット内の所与のコントローラから受信されて以来の経過時間を独立に監視し、経過時間が閾値時間を超過したことを検出したことに応答して、所定の時間量内における安全メッセージの不受信を検出することができる。

【0233】

いくつかの実装形態では、第１のコントローラは、異なる時刻に被監視コントローラのセットから安全メッセージを受信する。

【0234】

一実装形態では、所定の時間量および／または閾値時間は、安全規格、タイミング要件、通信プロトコル、および／または任意の他の要因に基づいて選択され得る。一変形例では、所定の時間量および／または閾値時間は、被監視コントローラのセット内の各コントローラに対して個別に選択され得る。

【0235】

一実装形態では、第１のコントローラは、所定の時間量内における安全メッセージの受信を検出したことに応答して、被監視コントローラのセット内の所与のコントローラの機能タイムアウト状態を検出する。一変形例では、第１のコントローラは、所定の時間量内における安全メッセージの不受信を検出したことに応答して、所与のコントローラの故障タイムアウト状態を検出する。

【0236】

一般に、第１のコントローラは、検出されたタイムアウト状態を検出されたタイムアウト状態に対応する符号語に符号化する。一実装形態では、有効符号語の第１のセットから検出された状態に対応する有効符号語を選択する。

【0237】

一般に、第１のコントローラは、有効符号語（例えば、有効機能符号語、有効故障符号語）をメモリに記憶する。一実装形態では、第１のコントローラは、被監視コントローラのセット内の所与のコントローラの機能タイムアウト状態を表す有効機能符号語をメモリに記憶する。一変形例では、第１のコントローラは、所与のコントローラの故障タイムアウト状態を表す有効故障符号語をメモリに記憶する。

【0238】

一変形例では、所定の時間量内における被監視コントローラのセット内の所与のコントローラからの安全メッセージの受信を検出したことに応答して、第１のコントローラは、受信された安全メッセージの内容が有効であるかどうかを検出する。一例では、第１のコントローラは、安全メッセージが誤っているかどうかを決定するために安全メッセージの内容およびフォーマットをチェックする。別の例では、第１のコントローラは、安全メッセージが図３に指定されるデータ構造に準拠しているかどうかを検出する。さらに別の例では、第１のコントローラは、安全メッセージに含まれる符号語と記憶された有効符号語のセット内のあらゆる有効符号語との間の不一致を検出する。

【0239】

一実装形態では、第１のコントローラは、安全メッセージの内容および／またはフォーマットにおける誤りの不存在を検出したことに応答して、所与のコントローラからの通信内容の機能状態を検出する。一変形例では、第１のコントローラは、安全メッセージの内容および／またはフォーマットにおける１つまたは複数の誤り（例えば、安全メッセージに含まれる符号語と記憶された有効符号語のセット内のあらゆる有効符号語との間の不一致）を検出したことに応答して、所与のコントローラからの通信内容の故障状態を検出する。

【0240】

一実装形態では、第１のコントローラは、タイムアウトを表す有効符号語（例えば、有効機能符号語、有効故障符号語）をメモリに、および／または所与のコントローラの内容状態をメモリに記憶する。例えば、第１のコントローラは、所定の時間量内における安全メッセージの受信を検出したことに応答して、所与のコントローラの機能タイムアウト状態を表す有効機能符号語をメモリに記憶する。別の例では、第１のコントローラは、所定の時間量内における安全メッセージの不受信を検出したことに応答して、所与のコントローラの故障タイムアウト状態を表す有効故障符号語をメモリに記憶する。さらに別の例では、第１のコントローラは、安全メッセージの内容および／またはフォーマットにおける誤りの不存在を検出したことに応答して、所与のコントローラの機能通信内容状態を表す有効機能符号語をメモリに記憶する。さらに別の例では、第１のコントローラは、安全メッセージの内容および／またはフォーマットにおける１つまたは複数の誤りを検出したことに応答して、所与のコントローラの故障通信内容状態を表す有効故障符号語をメモリに記憶する。さらに別の例では、第１のコントローラは、所定の時間量内における所与のコントローラから入力レジスタでの安全メッセージの不受信を検出したことに応答して、内容チェックを差し控え、所与のコントローラの故障通信内容状態を表す有効故障符号語をメモリに記憶する。

【0241】

一実装形態では、第１のコントローラは、第１のコントローラ内のフラッシュメモリに有効符号語を記憶する。一変形例では、第１のコントローラは、外部メモリに有効符号語を記憶する。

【0242】

方法Ｓ１００のブロックＳ１２６、Ｓ１３０は、第１の期間中に、第３の時間量内における（例えば、第２の安全モジュール内の）第３のコントローラからの第５の安全メッセージの受信を検出したことに応答して、第７の有効機能符号語を第４のメモリに記憶することと、第４の時間量内における（例えば、第３の安全モジュール内の）第４のコントローラからの第６の安全メッセージの不受信を検出したことに応答して、第８の有効故障符号語を第５のメモリに記憶することとを記載しており、第１のコントローラで第２の期間中に第２の安全メッセージを出力することは、第１のメモリの内容と第１の有効機能符号語との間の一致を検出したことに応答して、第３のメモリの内容と第５の有効機能符号語との間の一致を検出したことに応答して、第１の入力の機能動作を検出したことに応答して、第４のメモリの内容と第７の有効機能符号語との間の一致を検出したことに応答して、および第５のメモリと第８の有効故障符号語との間の一致を検出したことに応答して、第２の有効機能符号語、第６の有効機能符号語、および第９の有効故障符号語を含む第２の安全メッセージを出力することを含む。

【0243】

一般に、ブロックＳ１３０で、監視期間の後の評価期間中に、第１のコントローラは、監視期間中にメモリに記憶された符号語が有効符号語と一致するかどうかを検出し、（ｉ）監視期間中にメモリに記憶された符号語が有効符号語と一致するかどうか、および（ｉｉ）検出された状態、に基づいて第１のコントローラの全体的な状態を検出し、安全メッセージを出力する。

【0244】

一実装形態では、第１のコントローラは、メモリの内容と有効符号語のセットに含まれる有効符号語との間の一致を検出する。一変形例では、第１のコントローラは、メモリの内容と有効符号語のセット内のあらゆる有効符号語との間の不一致を検出する。

【0245】

一実装形態では、第１のコントローラは、所与のコントローラに関連づけられたメモリの内容と有効符号語のセット内のあらゆる有効符号語との間の不一致を検出したことに応答して、被監視コントローラのセット内の所与のコントローラが故障タイムアウト状態にあることを指示する。例えば、第１のコントローラは、不一致を検出したことに応答して、所与のコントローラの故障タイムアウト状態を表す有効故障符号語をメモリに記憶することができる。

【0246】

一実装形態では、第１のコントローラは、サブシステムのセットの検出された状態を表す符号語に基づいて、被監視コントローラのセットの全体的なタイムアウト状態を検出する。一実装形態では、第１のコントローラは、ルールのセットに基づいて、被監視コントローラのセットの全体的なタイムアウト状態を検出する。一例では、第１のコントローラは、被監視コントローラのセット内のあらゆるコントローラを機能タイムアウト状態において検出したこと、および／または被監視コントローラのセット内のあらゆるコントローラに対する有効機能符号語をメモリに検出したことに応答して、被監視コントローラのセットの機能タイムアウト状態を検出することができる。別の例では、第１のコントローラは、被監視コントローラのセット内の１つのコントローラを故障タイムアウト状態において検出したこと、および／または被監視コントローラのセット内の１つのコントローラに対する有効故障符号語をメモリに検出したことに応答して、被監視コントローラのセットの故障状態を検出することができる。さらに別の例では、第１のコントローラは、被監視コントローラのセット内の２つ以上のコントローラを故障タイムアウト状態において検出したこと、および／または被監視コントローラのセット内の２つ以上のコントローラに対する２つ以上の有効故障符号語をメモリに検出したことに応答して、被監視コントローラのセットの故障状態を検出することができる。

【0247】

一実装形態では、第１のコントローラは、被監視コントローラのセットの機能タイムアウト状態を検出したことに応答して、被監視コントローラのセットの機能タイムアウト状態を表す有効機能符号語をメモリに記憶する。一変形例では、第１のコントローラは、被監視コントローラのセットの故障タイムアウト状態を検出したことに応答して、被監視コントローラのセットの故障タイムアウト状態を表す有効故障符号語をメモリに記憶する。

【0248】

一実装形態では、第１のコントローラは、第１のコントローラ内のフラッシュメモリに有効符号語を記憶する。一変形例では、第１のコントローラは、外部メモリに有効符号語を記憶する。

【0249】

一変形例では、ブロックＳ１３０で、監視期間の後の評価期間中に、第１のコントローラは、被監視コントローラのセットのタイムアウト状態を表す有効符号語を含む安全メッセージを出力する。一例では、第１のコントローラは、被監視コントローラのセットの機能タイムアウト状態を表す有効機能符号語を含む安全メッセージを出力することができる。別の例では、第１のコントローラは、被監視コントローラのセットの故障タイムアウト状態を表す有効故障符号語を含む安全メッセージを出力することができる。

【0250】

１３．システム状態
一変形例では、ブロックＳ１３０で、第１のコントローラは、１つまたは複数の依存関係に基づいてシステムの状態（例えば、機能、故障）をさらに検出することができる。例えば、第１のコントローラは、第１のコントローラの状態、入力の状態、第２のコントローラのタイムアウト状態、第２のコントローラの状態、他の安全モジュール内の被監視コントローラのセット内のコントローラのタイムアウト状態、被監視コントローラのセット内のコントローラの通信内容状態、および／または被監視コントローラのセットのタイムアウト状態に基づいて、システムの状態を検出することができる。

【0251】

一実装形態では、コントローラは、ルールのセットに基づいて、システムの状態を検出する。一例では、第１のコントローラは、あらゆる依存関係に対する機能状態（例えば、第１のコントローラの状態、入力の状態、第２のコントローラのタイムアウト状態、第２のコントローラの状態、他の安全モジュール内の被監視コントローラのセット内のコントローラのタイムアウト状態、被監視コントローラのセット内のコントローラの通信内容状態、および／または被監視コントローラのセットのタイムアウト状態）を検出したことに応答して、システムの機能状態を検出することができる。別の例では、第１のコントローラは、任意の依存関係の故障状態を検出したことに応答して、システムの故障状態を検出することができる。さらに別の例では、第１のコントローラは、被監視コントローラのセット内の１つのコントローラに対する故障タイムアウト状態を検出したことに応答して、およびあらゆる他の依存関係に対する機能状態を検出したことに応答して、システムの機能状態を検出することができる。

【0252】

一実装形態では、第１のコントローラは、メモリ内でシステムの状態を表す有効符号語（例えば、有効機能符号語、有効故障符号語）をメモリに記憶する。一例では、第１のコントローラは、システムの機能状態を検出したことに応答して、システムの機能状態を表す有効機能符号語をメモリに記憶する。別の例では、第１のコントローラは、システムの故障状態を検出したことに応答して、システムの故障状態を表す有効故障符号語をメモリに記憶する。

【0253】

一実装形態では、第１のコントローラは、第１のコントローラ内のフラッシュメモリに有効符号語を記憶する。一変形例では、第１のコントローラは、外部メモリに有効符号語を記憶する。

【0254】

一変形例では、ブロックＳ１３０で、監視期間の後の評価期間中に、第１のコントローラは、上記のようにシステムの検出された状態を表す有効符号語を含む安全メッセージを出力する。一例では、第１のコントローラは、システムの機能状態を表す有効機能符号語を含む安全メッセージを出力することができる。別の例では、第１のコントローラは、システムの故障状態を表す有効故障符号語を含む安全メッセージを出力することができる。

【0255】

したがって、第１のコントローラは、複数の状態の組合せを単一の状態インジケータに還元することにより、大規模なネットワークにおいて通信を合理化し機能安全規格を維持することができる。

【0256】

１４．第２のコントローラ
一実装形態では、第２のコントローラは、第１のコントローラに関連して上に記載したのと類似（例えば、同様、同一）の様式で、方法Ｓ１００のブロックＳ１１０、Ｓ１２０、Ｓ１２２、Ｓ１２４、Ｓ１２６、Ｓ１３０、Ｓ１４０、Ｓ１４２を実行する。

【0257】

１５．アプリケーションプロセッサ
ブロックＳ１５０は、第１の安全メッセージおよび第３の安全メッセージを受信することと、第１の安全メッセージ内の第４の有効機能符号語および第３の安全メッセージ内の第８の有効機能符号語を検出したことに応答して、システムの機能状態を表す第９の有効機能符号語を含む第５の安全メッセージを出力することと、第４の期間の後の第６の期間中に、アプリケーションプロセッサで、第２の安全メッセージおよび第４の安全メッセージを受信することと、第２の安全メッセージ内の第４の有効故障符号語および第４の安全メッセージ内の第８の有効機能符号語を検出したことに応答して、システムの故障状態を表し第９の有効機能符号語からの第９の最小ハミング距離によって特徴づけられる第９の有効故障符号語を含む第６の安全メッセージを出力することとを記載している。

【0258】

一般に、ブロックＳ１５０で、評価期間の後に、アプリケーションプロセッサは、第１のコントローラおよび第２のコントローラから安全メッセージを受信し、第１のコントローラおよび／または第２のコントローラからの安全メッセージを連結された安全メッセージへと連結し、安全メッセージを（例えば、ネットワークを通じて別の安全モジュールに）出力する。

【0259】

一実装形態では、アプリケーションプロセッサは、第１のコントローラからの第１の安全メッセージおよび第２のコントローラからの第２の安全メッセージを解析し、解析の結果に基づいて新規の安全メッセージを出力する。

【0260】

一実装形態では、アプリケーションプロセッサは、第１のコントローラからの機能状態を示す第１の安全メッセージと、第２のコントローラからの機能状態を示す第２の安全メッセージとを受信したことに応答して、機能状態を示す安全メッセージを出力する。例えば、アプリケーションプロセッサは、第１のコントローラからの機能状態（例えば、有効機能符号語）を示す第１の安全メッセージと、第２のコントローラからの機能状態（例えば、有効機能符号語）を示す第２の安全メッセージとを受信したことに応答して、システムの機能状態を表す有効機能符号語を含む安全メッセージを出力することができる。

【0261】

一変形例では、アプリケーションプロセッサは、第１のコントローラからの機能状態を示す第１の安全メッセージと、第２のコントローラからの故障状態を示す第２の安全メッセージとを受信したことに応答して、故障状態を示す安全メッセージを出力することができる。例えば、アプリケーションプロセッサは、第１のコントローラからの機能状態（例えば、有効機能符号語）を示す第１の安全メッセージと、第２のコントローラからの故障状態（例えば、有効故障符号語）を示す第２の安全メッセージとを受信したことに応答して、システムの故障状態を表す有効故障符号語を含む安全メッセージを出力することができる。

【0262】

別の変形例では、アプリケーションプロセッサは、所定の時間量内における第１のコントローラおよび／または第２のコントローラからの安全メッセージの不受信を検出したことに応答して、故障状態を示す安全メッセージを出力することができる。例えば、アプリケーションプロセッサは、第１の時間量内における第１のコントローラからの第１の安全メッセージの不受信を検出したこと、または第２の時間量内における第２のコントローラからの第２の安全メッセージの不受信を検出したことに応答して、システムの故障状態を表す有効故障符号語を含む安全メッセージを出力することができる。

【0263】

一実装形態では、アプリケーションプロセッサは、システムの機能状態を表す有効機能符号語と、システムの故障状態を表し互いからの最小ハミング距離（例えば、４）によって特徴づけられる有効故障符号語とを実装する。

【0264】

一実装形態では、アプリケーションプロセッサは、安全メッセージを（例えば、ネットワークを通じて別の安全モジュールから）受信し、受信された安全メッセージ内の情報を、第１のコントローラに対する第１の安全メッセージと、第２のコントローラに対する第２の安全メッセージとに分離し、第１の安全メッセージを第１のコントローラに出力し、第２の安全メッセージを第２のコントローラに出力する。

【0265】

本明細書に記載されるシステムおよび方法は、コンピュータ可読命令を記憶するコンピュータ可読媒体を受け入れるように構成された機械として少なくとも部分的に実施および／または実装され得る。命令は、アプリケーション、アプレット、ホスト、サーバ、ネットワーク、ウェブサイト、通信サービス、通信インタフェース、ユーザコンピュータもしくはモバイルデバイスのハードウェア／ファームウェア／ソフトウェア要素、リストバンド、スマートフォン、またはそれらの任意の適切な組合せと統合されたコンピュータ実行可能コンポーネントによって実行され得る。実施形態の他のシステムおよび方法は、コンピュータ可読命令を記憶するコンピュータ可読媒体を受け入れるように構成された機械として少なくとも部分的に実施および／または実装され得る。命令は、上記の種類の装置およびネットワークと統合されたコンピュータ実行可能コンポーネントによって統合されたコンピュータ実行可能コンポーネントによって実行され得る。コンピュータ可読媒体は、ＲＡＭ、ＲＯＭ、フラッシュメモリ、ＥＥＰＲＯＭ、光デバイス（ＣＤまたはＤＶＤ）、ハードドライブ、フロッピードライブ、または任意の適切なデバイスなどの任意の適切なコンピュータ可読媒体上に記憶され得る。コンピュータ実行可能コンポーネントはプロセッサであり得るが、任意の適切な専用ハードウェアデバイスが命令を（代替的または追加的に）実行することができる。

【0266】

当業者は前述の詳細な説明から、ならびに図面および特許請求の範囲から認識するであろうが、下記の特許請求の範囲に規定される本発明の範囲から逸脱することなく、本発明の実施形態に修正および変更がなされ得る。

【図1】

【図2-1】

【図2-2】

【図3】

【図4】

【図5】

【図6】

【国際調査報告】