製品

I/Oアーキテクチャ

Trusted System には、隠れた障害と顕在的な障害の両方を明らかにする包括的な内部診断機能があります。多くのフォールト トレランスおよびフォールト検出メカニズムのハードウェア実装により、ほとんどのシステム要素の迅速なフォールト検出が可能になります。システムの残りの部分内の障害を診断するために使用されるセルフテスト機能は、最適な安全性の可用性を提供するように定義されています。これらのセルフテスト機能では、冗長チャネル内のポイントが実質的にオフラインになる状態、つまりアラームまたは障害テスト状態を導入するために、短期間のオフライン操作が必要な場合があります。TMR 構成内では、このオフライン操作期間は、複数の障害状況下でのシステムの応答能力にのみ影響します。Trusted TMR プロセッサー、インターフェイス、エキスパンダー インターフェイス、およびエキスパンダー プロセッサーはすべて当然の冗長性を備えており、複数の障害に耐え、隣接するスロットでの固定オンライン修復構成をサポートするように設計されているため、それ以上の考慮はほとんど必要ありません。入力モジュールと出力モジュールは多数のアーキテクチャ オプションをサポートしていますが、選択したアーキテクチャの効果はシステムおよびアプリケーション固有の要件に照らして評価する必要があります。FTA モジュールおよびその他の付属品は、TÜV マークが明示的に含まれていない場合でも、Trusted Safety System の一部としての使用に適しています。

信頼できる高密度 I/O 信頼できる高密度 I/O モジュールは、本質的に三重化または二重冗長であり、包括的なセルフテストおよび診断機能を備えています。セルフテストは、テストの実行中に要求があった場合でも、過半数が完了できるように調整されます。不一致と逸脱の監視により、検証と障害検出がさらに強化されます。TMR プロセッサは、コントローラへの内部インターフェイスをテストします。これらの対策の集大成として、高レベルの障害検出と許容性が実現され、最終的には複数の障害状態がある場合のフェールセーフ動作につながります。Trusted Module のシステム メモリ上の最悪の場合の障害検出時間は次のとおりです。

いずれの場合も、この期間中に障害が発生した場合でも、システムは引き続き応答できます。複数の障害状態では、システムが高要求または継続的な安全要求の高いアプリケーションで使用される場合、修復時間内の 2 番目の障害検出期間を考慮する必要がある場合があります。すべての高密度 I/O モジュールにはライン監視機能が含まれています。これらの機能を安全関連の I/O に対して有効にすることをお勧めします。I/O をトリップするために通電するには、これらの機能を有効にする必要があります。42 ページの「通電してトリップする構成」を参照してください。

このシステムは単一の高密度 TMR I/O モジュール アーキテクチャをサポートしており、システムを停止することも、そのモジュールに対応する信号がデフォルト状態またはアクティブ/スタンバイ構成に変更されることも許容されます。最初のアクティブ/スタンバイ構成は、隣接するスロット位置にアクティブ モジュールとスペア モジュールを収容するものです。2 つ目は、単一のモジュール位置を多数のアクティブなモジュールのスペアとして使用できる SmartSlot 構成を使用する方法です。すべての構成は安全関連のアプリケーションに使用できます。ライブオンライン修復をサポートする構成の選択は、エンドユーザーの好みと同時に修復する障害のあるモジュールの数によって決まります。