productos

Arquitecturas de E/S

El Sistema de Confianza cuenta con diagnósticos internos completos que revelan tanto fallos ocultos como manifiestos. La implementación en hardware de muchos de los mecanismos de tolerancia y detección de fallos permite una rápida detección de fallos en la mayoría de los elementos del sistema. Las funciones de autodiagnóstico, utilizadas para diagnosticar fallos en el resto del sistema, están definidas para optimizar la disponibilidad de seguridad. Estas funciones de autodiagnóstico pueden requerir breves periodos de funcionamiento fuera de línea para generar condiciones, como alarmas o pruebas de fallo, que resultan en la desconexión del punto dentro de ese canal redundante. En las configuraciones TMR, este periodo de funcionamiento fuera de línea solo afecta la capacidad del sistema para responder ante múltiples fallos. Los procesadores, interfaces, interfaces de expansión y procesadores de expansión de Trusted TMR son naturalmente redundantes y están diseñados para soportar múltiples fallos y admitir una configuración fija de reparación en línea en ranuras adyacentes, por lo que requieren poca consideración adicional. Los módulos de entrada y salida admiten diversas opciones de arquitectura; los efectos de la arquitectura elegida deben evaluarse en función de los requisitos específicos del sistema y la aplicación. Los módulos FTA y otros accesorios son adecuados para su uso como parte del sistema de seguridad confiable incluso si no incluyen explícitamente una marca TÜV.

E/S de alta densidad confiables. Los módulos de E/S de alta densidad confiables son inherentemente triplicados o doblemente redundantes, con funciones integrales de autoprueba y diagnóstico. Las autopruebas se coordinan para que la mayoría pueda completarse, incluso cuando existe demanda durante la ejecución de las pruebas. La monitorización de discrepancias y desviaciones mejora aún más la verificación y la detección de fallos. El procesador TMR prueba las interfaces internas del controlador. La culminación de estas medidas resulta en altos niveles de detección y tolerancia a fallos, lo que finalmente conduce a un funcionamiento a prueba de fallos en caso de múltiples condiciones de fallo. Los tiempos de detección de fallos en el peor caso posible en la memoria del sistema para los módulos confiables son los siguientes:

En todos los casos, incluso ante una falla durante este período, el sistema seguirá respondiendo. En condiciones de múltiples fallas, puede ser necesario considerar un segundo período de detección de fallas dentro del tiempo de reparación si el sistema se utiliza en aplicaciones de seguridad de alta demanda o de demanda continua. Todos los módulos de E/S de alta densidad incluyen funciones de monitoreo de línea; se recomienda habilitar estas funciones para las E/S relacionadas con la seguridad. Para las E/S de activación para disparo, estas funciones deben estar habilitadas; consulte las configuraciones de activación para disparo en la página 42.

El sistema admite una arquitectura de módulo de E/S TMR de alta densidad, donde es aceptable detener el sistema o permitir que las señales correspondientes a ese módulo cambien a su estado predeterminado o a su configuración activa-en espera. La primera configuración activa-en espera aloja los módulos activos y de repuesto en posiciones de ranura adyacentes; la segunda utiliza la configuración SmartSlot, donde una sola posición de módulo puede utilizarse como reserva para varios módulos activos. Todas las configuraciones son aptas para aplicaciones de seguridad; la elección entre las configuraciones que admiten la reparación en línea en vivo depende de las preferencias del usuario final y del número de módulos defectuosos que se deban reparar simultáneamente.