продукты

Архитектуры ввода-вывода

Доверенная система имеет комплексную внутреннюю диагностику, выявляющую как скрытые, так и явные сбои. Аппаратная реализация многих механизмов отказоустойчивости и обнаружения сбоев обеспечивает быстрое обнаружение сбоев для большинства элементов системы. Средства самотестирования, используемые для диагностики сбоев в остальной части системы, определены для обеспечения оптимальной доступности безопасности. Эти средства самотестирования могут потребовать коротких периодов автономной работы для создания условий, например, условий тревоги или тестирования сбоев, которые фактически приводят к отключению точки в этом резервном канале. В конфигурациях TMR этот период автономной работы влияет только на способность системы реагировать на множественные сбои. Доверенные процессоры TMR, интерфейсы, интерфейсы расширителей и процессоры расширителей являются естественно избыточными и разработаны для работы с множественными сбоями и поддержки фиксированной конфигурации онлайн-ремонта в соседних слотах, поэтому не требуют особого внимания. Модули ввода и вывода поддерживают ряд вариантов архитектуры, влияние выбранной архитектуры следует оценивать с учетом требований системы и конкретных приложений. Модули FTA и другие вспомогательные устройства подходят для использования в качестве части системы безопасности Trusted, даже если они явно не содержат маркировку TÜV.

Доверенный высокоплотный ввод-вывод. Доверенные высокоплотные модули ввода-вывода имеют либо изначально тройное, либо двойное резервирование с комплексными функциями самотестирования и диагностики. Самотестирование координируется таким образом, чтобы большая его часть могла быть выполнена даже при возникновении запроса во время выполнения тестов. Мониторинг несоответствий и отклонений дополнительно улучшает проверку и обнаружение неисправностей. Процессор TMR тестирует внутренние интерфейсы контроллера. В результате этих мер достигается высокий уровень обнаружения неисправностей и устойчивости к ним, что в конечном итоге обеспечивает отказоустойчивую работу при наличии нескольких неисправностей. Время обнаружения неисправностей в системной памяти для доверенных модулей в худшем случае следующее:

Во всех случаях, даже при наличии неисправности в течение этого периода, система сохранит способность реагировать. При наличии нескольких неисправностей может потребоваться второй период обнаружения неисправности в течение времени ремонта, если система используется в системах безопасности с высоким или непрерывным спросом. Все модули ввода/вывода высокой плотности включают в себя функции мониторинга линии; рекомендуется включить эти функции для входов/выходов, связанных с безопасностью. Для входов/выходов с питанием для отключения эти функции должны быть включены, см. раздел «Конфигурации питания для отключения» на стр. 42.

Система поддерживает архитектуру с одним модулем ввода/вывода высокой плотности TMR, в которой допускается либо остановка системы, либо изменение сигналов, соответствующих этому модулю, либо на их состояние по умолчанию, либо на конфигурацию «активный-резервный». Первая конфигурация «активный-резервный» предполагает размещение активных и резервных модулей в соседних слотах; вторая — использование конфигурации SmartSlot, где один модуль может использоваться в качестве резервного для нескольких активных модулей. Все конфигурации могут использоваться для приложений, связанных с безопасностью; выбор между конфигурациями, поддерживающими онлайн-ремонт, зависит от предпочтений конечного пользователя и количества неисправных модулей, ремонтируемых одновременно.