6.1.3 Структуры, используемые для построения безопасных систем

1 Двухканальная структура с безопасной схемой сравнения.Этот принцип используется наиболее часто, так как имеет минимальную избыточность. Такая структура содержит два одинаковых микропроцессорных комплекта аппаратуры – МК1 и МК2 (рис. 6.2), выходные сигналы которых сравниваются безопасной схемой сравнения (БСС). Активный сигнал на выходе БСС появляется только при наличии одинаковых сигналов на выходах обоих комплектов. Все внутренние отказы БСС не приводят к появлению активного сигнала на выходе системы. В данной структуре не обнаруживаются идентичные отказы обоих комплектов, которые приводят к одинаковому искажению сигналов на их выходах. Таким образом, минимальная кратность ошибок, которые не обнаруживаются, равняется 2. Принято считать, что вероятность их возникновения незначительная и ею можно пренебречь.

Рис. 6.2. Двухканальная структура с безопасным сравнением

Двухканальная система имеет три основных недостатка.

Во-первых, она не обладает свойством устойчивости к отказам и поэтому при отказе одного комплекта вся система перестает работать.

Во-вторых, она не обладает свойством самоконтроля и поэтому при отказе одного из комплектов отсутствует информация о том, какой из каналов отказал, и какие модули требуют замены для восстановления работоспособности системы.

Третий недостаток относится к системам, которые работают в режиме ожидания. В таких системах отказы элементов могут долго не проявляться на выходе и накапливатьсясо временем. Устранение этих недостатков достигается усложнением структуры системы.

2 Трехканальная структура с мажоритарным принципом “2 из 3”.Устойчивость к отказам в этом случае достигается введением третьего микропроцессорного комплекта аппаратуры МК3 (рис. 6.3).

Выходы всех трех комплектов подаются на входы мажоритарного элемента (МЭ), работающего по принципу «голосования» (большинства). Если на большинстве входов МЭ (в данном случае на двух или более входах) присутствует логический сигнал 1 (0), то и на выходе МЭ выдается сигнал 1 (0). Таким образом, при отказе одного комплекта аппаратуры вся система продолжает функционировать правильно. Логика работы МЭ, являющегося элементом без опасного отказа, описывается уравнением

,

где - выход МЭ,- входы МЭ.

Рис. 6.3. Трехканальная структура с мажоритарным принципом “2 из 3”

В данной структуре проблема определения неисправного комплекта решается путем сравнения выходных сигналов всех трех комплектов аппаратуры.

3 Двухканальная структура с самоконтролем и безопасным сравнением.В двухкомплектной системе второй из указанных выше недостатков устраняется путем введения самоконтроля (рис. 6.4). Эта структура отличается от простого дублирования тем, что комплекты 1 и 2 имеют контрольные схемы КС1 и КС2, которые фиксируют в них одиночные отказы. Кроме того, реализуется безопасное сравнение работы обоих комплектов.

Такимобразом, в приведенной структуре обеспечивается и внутренний, и внешний контроль. Теоретически, если вдвухкомплектной системе не обнаруживаются ошибки кратности2, то в двухканальной системе с самоконтролем наименьшая кратность ошибок, которые не обнаруживаются, равняется 4 - два отказа в комплекте 1, которые не выявляются схемой КС1, и два отказа в комплекте 2, которые не выявляются схемой КС2. При этом такие отказы должны одинаковым образом искажать работу обоих комплектов.

Если блоки 1 и 2 (рис. 6.4) - микропроцессорные системы, то, кроме аппаратного самоконтроля, в них можно применить и программный самоконтроль. Тогда в данной структуре будет существовать тройной контроль - аппаратный и программный самоконтроль и внешний безопасный (с самопроверкой) контроль. Такая система обеспечивает высокий уровень безопасности.

Рис. 6.4. Двухканальная структура с самоконтролем и безопасным сравнением

4 Двухканальная структура с тестированием и безопасным сравнением. Для устранения третьего недостатка в двухкомплектной системе, которая работает в режиме ожидания, следует осуществлять тестирования (проверку) аппаратуры во время ожидания. Для этого используется специальный генератор тестов ГТ, формирующий тестовые последовательности, которые поступают на входы обоих комплектов аппаратуры (рис. 6.5). Реакция последних на эти входные последовательности сравнивается БСС.

Рис. 6.5. Двухканальная структура с тестированием и безопасным сравнением

Второй способ состоит в взаимном тестировании, когда один комплект аппаратуры (микроЭВМ) выполняет тестирования другого (рис. 6.6). В этом случае существенным образом усложняется программное обеспечение системы.

Рис. 6.6. Двухканальная структура с взаимным тестированием и безопасным сравнением

5 Двухпрограммная структура с безопасным сравнением. С целью сокращения аппаратных средств избыточность может быть перенесена в ПО. В этом случае структура микропроцессорной системы должна иметь двойную избыточность программ (рис. 6.7). Такая система работает по двум разным программам П1 и П2, решающим одну и ту же задачу, но написанным независимо друг от друга разными программистами. Во времени программы могут выполняться как последовательно, так параллельно (в двухпроцессорной микроЭВМ). Результаты вычислений сравниваются БСС. Так как программы отличаются друг от друга, то при наличии в них ошибок они будут находиться в разных местах и приводить к разным ошибочным результатам. Данные, с которыми работают программы, должны быть разнесены в разные области памяти.

Рис. 6.7. Двухпрограммная структура с безопасным сравнением

Например, двойная избыточность с безопасным сравнениемиспользована фирмой Siemens (Германия) при создании безопасного универсального модуля SIMIS. Тройная избыточность применена в Японии при разработке микропроцессорной системы электрической централизации, вГермании - при разработке системы АЛСН. Двойная избыточностьпрограмм использована в Швеции при создании систем электрической централизации и АЛС с контролем скорости.

Три указанных структуры наиболее простые для реализации, так как в них не предъявляются особые требования к комплектам аппаратуры и программам, в то время как в структуре с самоконтролем (рис. 6.4) оба комплекта аппаратуры должны быть выполнены с самоконтролем. В структуре с тестированием (рис. 6.5) серьезные трудность возникают при разработке генератора формирования тестовых последовательностейдля проверки системы. В структуре с взаимным тестированием возникают проблемы синхронизации работы двух микроЭВМ и разработки тестовых программ.