製品

I/Oアーキテクチャ

Trusted Systemは、隠れた障害と顕在的な障害の両方を検出する包括的な内部診断機能を備えています。多くのフォールトトレランスおよび障害検出メカニズムはハードウェア実装されており、ほとんどのシステム要素で迅速な障害検出が可能です。システムの残りの部分における障害診断に使用されるセルフテスト機能は、最適な安全性可用性を提供するように定義されています。これらのセルフテスト機能は、アラームまたは障害テスト条件などの条件を導入するために、短時間のオフライン動作を必要とする場合があります。これにより、冗長チャネル内のポイントが実質的にオフラインになります。TMR構成では、このオフライン動作期間は、多重障害状態におけるシステムの応答能力にのみ影響します。Trusted TMRプロセッサ、インターフェース、エクスパンダインターフェース、およびエクスパンダプロセッサはすべて、自然に冗長化されており、多重障害に耐え、隣接スロットでの固定オンライン修復構成をサポートするように設計されているため、それ以上の検討はほとんど必要ありません。入出力モジュールは多数のアーキテクチャオプションをサポートしていますが、選択したアーキテクチャの影響は、システムおよびアプリケーション固有の要件に照らして評価する必要があります。 FTA モジュールおよびその他の補助部品は、TÜV マークが明示的に付いていない場合でも、信頼できる安全システムの一部として使用できます。

信頼性の高い高密度I/O 信頼性の高い高密度I/Oモジュールは、包括的なセルフテストおよび診断機能を備え、本質的に三重化または二重化されています。セルフテストは、テスト実行中に要求が発生した場合でも、大部分を完了できるように調整されます。不一致および偏差の監視により、検証と障害検出がさらに強化されます。TMRプロセッサは、コントローラへの内部インターフェースをテストします。これらの対策を総合的に行うことで、高いレベルの障害検出と許容度が実現され、最終的には複数の障害状態が発生した場合でもフェイルセーフ動作が可能になります。信頼性の高いモジュールのシステムメモリにおける最悪ケースの障害検出時間は次のとおりです。

いずれの場合も、この期間中に故障が発生した場合でも、システムは応答を継続できます。複数の故障が発生した場合、システムが高負荷または継続的な安全要求のアプリケーションで使用される場合、修復時間内の2回目の故障検出期間を考慮する必要がある場合があります。すべての高密度I/Oモジュールにはライン監視機能が搭載されており、安全関連I/Oに対してこれらの機能を有効にすることを推奨します。通電トリップI/Oについては、これらの機能を有効にする必要があります。42ページの「通電トリップ構成」を参照してください。

このシステムは、単一の高密度TMR I/Oモジュールアーキテクチャをサポートしており、システムを停止するか、そのモジュールに対応する信号をデフォルト状態またはアクティブ/スタンバイ構成に変更することができます。最初のアクティブ/スタンバイ構成は、アクティブモジュールとスペアモジュールを隣接するスロット位置に配置します。2番目の構成は、単一のモジュール位置を複数のアクティブモジュールのスペアとして使用できるSmartSlot構成を使用します。すべての構成は安全関連アプリケーションに使用できます。ライブオンライン修復をサポートする構成の選択は、エンドユーザーの好みと、同時に修復する障害モジュールの数によって異なります。