продукты

Архитектуры ввода-вывода

Доверенная система имеет комплексную внутреннюю диагностику, которая выявляет как скрытые, так и явные сбои. Аппаратная реализация многих механизмов отказоустойчивости и обнаружения сбоев обеспечивает быстрое обнаружение сбоев для большинства элементов системы. Средства самотестирования, используемые для диагностики сбоев в остальной части системы, определены для обеспечения оптимальной доступности безопасности. Эти средства самотестирования могут потребовать коротких периодов автономной работы для введения условий, т. е. условий проверки тревоги или сбоя, которые фактически приводят к тому, что точка находится в автономном режиме в этом резервном канале. В конфигурациях TMR этот период автономной работы влияет только на способность системы реагировать в условиях множественных сбоев. Доверенные процессоры TMR, интерфейсы, интерфейсы расширителей и процессоры расширителей являются естественно избыточными и были разработаны для того, чтобы выдерживать множественные сбои и поддерживать фиксированную конфигурацию онлайн-ремонта в соседних слотах, и поэтому требуют небольшого дальнейшего рассмотрения. Модули ввода и вывода поддерживают ряд вариантов архитектуры, эффекты выбранной архитектуры следует оценивать в соответствии с требованиями системы и конкретного приложения. Модули FTA и другие вспомогательные устройства подходят для использования в качестве части системы безопасности Trusted, даже если они явно не имеют маркировки TÜV.

Доверенный высокоплотный ввод-вывод Модули доверенного высокоплотного ввода-вывода изначально имеют тройное или двойное резервирование с комплексными возможностями самотестирования и диагностики. Самотестирование координируется таким образом, чтобы большинство из них можно было выполнить, даже если во время выполнения тестов есть запрос. Мониторинг расхождений и отклонений еще больше улучшает проверку и обнаружение неисправностей. Процессор TMR тестирует внутренние интерфейсы контроллера. Кульминация этих мер приводит к высокому уровню обнаружения неисправностей и устойчивости, что в конечном итоге приводит к отказоустойчивой работе при наличии нескольких условий неисправности. Наихудшее время обнаружения неисправностей в системной памяти для доверенных модулей следующее:

Во всех случаях, даже при наличии неисправности в течение этого периода, система будет продолжать быть способной реагировать. При множественных неисправностях может потребоваться рассмотреть второй период обнаружения неисправности в течение времени ремонта, если система используется в приложениях безопасности с высоким или непрерывным спросом. Все модули ввода-вывода высокой плотности включают средства мониторинга линии; рекомендуется, чтобы эти средства были включены для ввода-вывода, связанного с безопасностью. Для ввода-вывода с питанием для отключения эти средства должны быть включены, см. Конфигурации включения для отключения на стр. 42

Система поддерживает архитектуру одного модуля ввода/вывода высокой плотности TMR, где приемлемо либо остановить систему, либо разрешить сигналам, соответствующим этому модулю, измениться либо на их состояние по умолчанию, либо на их конфигурацию «активный-резервный». Первая конфигурация «активный-резервный» предназначена для размещения активных и запасных модулей в соседних слотах; вторая — для использования конфигурации SmartSlot, где одна позиция модуля может использоваться как запасная для нескольких активных модулей. Все конфигурации могут использоваться для приложений, связанных с безопасностью; выбор между конфигурациями, поддерживающими ремонт в режиме реального времени, зависит от предпочтений конечного пользователя и количества неисправных модулей, которые должны быть отремонтированы одновременно.