Вопрос 24. Обеспечение безопасности вычислений

Системы железнодорожной автоматики и телемеханики, служащие для управления и обеспечения безопасности движения поездов, должны решать две проблемы: параллельность вычислений и безопасность принятия решений.

Реализация параллельных процессов обеспечивается последовательной, функциональной, конвейерной, матричной и мультиплексорной обработкой информации, которые достаточно подробно были рассмотрены выше.

Безопасность микропроцессорных систем железнодорожной автоматики и телемеханики должна быть такой, чтобы одиночные отказы аппаратуры и сбои программы не приводили к опасным последствиям. Сбои программы должны устраняться путём автоматического перезапуска программы, отказы обнаруживаться при работе системы или тестирования.

Безопасность систем достигается благодаря резервированию аппаратных и программных средств, организации внутрипроцессорного и внешнего контроля аппаратных и программных средств.

Существует большое разнообразие безопасных структур систем железнодорожной автоматики и телемеханики, построенных с применением вычислительной техники.

Одноканальная система с одной программой (рис. 4.1,а). Правильность работы микроЭВМ контролируется с помощью самопроверяемых средств внутреннего контроля ССВК, безопасная передача воздействий на объекты управления гарантируется безопасными выходными схемами БВС. При обнаружении отказа или сбоя программы ССВК вырабатывает сигнал Y, выключающий ЭВМ и отключающий объекты управления (с помощью БВС). Безопасность этой структуры зависит от эффективности способов самопроверки. Тестирование системы должно выполняться довольно часто, прикладные программы не должны иметь ошибок, целесообразно применение самопроверяемого программного обеспечения.

Одноканальная система с дублированной программой (рис.4.1,б). В этой системе предусматривается использование двух программ, реализующих одну и ту же задачу, но существенно отличающихся друг от друга (написаны разными бригадами программистов, желательно, чтобы алгоритмы тоже отличались). Результаты вычислений сравниваются безопасной схемой сравнения БСС, управляющие воздействия передаются объектам при полном совпадении результатов расчёта. Уровень безопасности зависит от степени различия программ и от интервала времени между считыванием данных для первой и второй программ.

Безопасные структуры систем железнодорожной автоматики

Дублированная система со слабыми связями (рис.4.1,в). Система состоит из двух микроЭВМ, при этом первая микроЭВМ реализует алгоритм управления объектами, вторам микроЭВМ контролирует правильность вычислений и выключает БВС при обнаружении ошибки. Синхронизация работы микроЭВМ не обязательна. Контроль работы микроЭВМ1 осуществляется по шине W.

Дублированная система со средними связями (рис.4.1,г). Эта система содержит две, работающие по одинаковым программам, микроЭВМ. Результаты обработки информации сравниваются БСС и при полном совпадении передаются объектам управления. Прикладные программы не должны иметь ошибок при загрузке, система исключает одиночные ошибки.

Дублированная система с сильными связями (рис.4.1,д). МикроЭВМ этой системы совершенно одинаковы и работают от одного тактового генератора. Устройство БСС1 осуществляет потактовую проверку работы обеих микроЭВМ, сравнивая сигналы в контрольных точках. При этом проверяется работа, как процессора, так и памяти. В случае обнаружения ошибки выключается схема БСС2 и оказывается воздействие на компьютеры (блокируются оба канала). Структура обладает высоким уровнем безопасности, опасные ситуации могут возникнуть при одинаковых программных ошибках.

Дублированная система с тестированием и сильными связями (рис.4.1,е). И отличие от предыдущей структуры данная система содержит датчик тестов ГТ и мультиплексор МКС, отключающий от микроЭВМ входы и подключающий датчик тестов. Такая структура целесообразна в том случае, когда наборы входных переменных не могут обеспечить достаточную глубину проверки исправности системы. Данный принцип используется также тогда, когда система длительное время находится в ждущем режиме, и входные переменные не изменяются.

Самопроверяемая дублированная система (ж). Система содержит синхронно работающие микроЭВМ, каждая из которых контролируется с помощью самопроверяемых средств внутреннего контроля (ССВК1 и ССВК2). Сигналы контроля W1 и W2 сравниваются ССВК3. Выходные сигналы микроЭВМ контролируются безопасной схемой сравнения БСС. Если ССВК3 обнаружит ошибку, она выключит БСС и остановит работу микроЭВМ. Минимальная кратность необнаруженных отказов равна четырём, по два отказа в каждом канале, которые не обнаруживаются ССВК и одинаково искажают выходные сигналы Z1 и Z2.

Мажоритарная система (рис.4.1,з). Число каналов должно быть нечётным, безоёпасный мажоритарный элемент БМЭ выдаёт объектам управления сигналы, имеющиеся на выходах большинства каналов. Чаще всего эта структура имеет три канала (как показано на рисунке). Безопасность такой системы примерно соответствует дублированной системе с умеренными связями, но отказоустойчивость существенно выше.