FR2872604A1

FR2872604A1 - "architecture d'ordinateur pour l'espace"

Info

Publication number: FR2872604A1
Application number: FR0506156A
Authority: FR
Inventors: Herbert Muller
Original assignee: Diehl BGT Defence GmbH and Co KG
Current assignee: Diehl BGT Defence GmbH and Co KG
Priority date: 2004-07-03
Filing date: 2005-06-17
Publication date: 2006-01-06
Also published as: GB0512040D0; GB2415805A; DE102004032405A1

Abstract

Une architecture d'ordinateur (10), convenant à l'espace parce que supportant les défauts, présente une complexité réduite pour la décision majoritaire entre des processeurs (12) fonctionnant de manière redondante, si la décision majoritaire ne s'effectue pas sur le plan des processeurs mais sur le plan PCI faisant suite au processeur (12).

Description

L'invention concerne une architecture d'ordinateur supportant les

défauts et convenant donc au fonctionnement dans l'espace, notamment à son utilisation en astronautique et dans les satellites, avec fonctionnement parallèle redondant de plusieurs processeurs et un 5 dispositif de surveillance pour bloquer une valeur de sortie d'un processeur erronée par rapport aux autres.

Du fait que dans le cas d'un fonctionnement redondant plusieurs processeurs traitent les mêmes tâches parallèlement et de manière synchrone, il faudrait qu'ils fournissent toujours des jeux de données coïncidant les uns avec les autres. Ceci n'est plus le cas lorsque l'un des processeurs fonctionne momentanément de façon défectueuse, en particulier parce que dans le cas d'une utilisation dans l'espace par exemple les irradiations intensives d'électrons des structures étroites des pistes conductrices d'un circuit de processeur a entraîné des erreurs de données au moins passagères. D'autres dysfonctionnements momentanés et défaillants, se produisant de manière caractéristique précisément dans le cas d'une utilisation dans l'espace sont dus à des facteurs thermiques passagers, car la chaleur dissipée dans les processeurs ne peut être évacuée dans le vide de l'espace, par convection.

Pour le fonctionnement dans l'espace on utilise donc des architectures d'ordinateurs du type considéré qui travaillent de manière à tolérer les défauts par le fait que les valeurs de sortie, fournies par trois processeurs fonctionnant en parallèle, sont constamment comparées les unes aux autres dans un dispositif de surveillance. En cas de survenance d'un écart, il est pris une décision majoritaire deux sur trois qui consiste à exécuter une réinitialisation du système pour celui des trois processeurs dont la valeur de sortie actuelle s'écarte précisément de celles des deux autres qui coïncident. Ce processus pour obtenir une architecture d'ordinateur résistante aux défauts et convenant à l'espace est connu par exemple comme SEU-Mitigation- System de la société BAE Systems. Pour la réalisation pratique, il présente toutefois ce grand inconvénient de nécessiter une capacité de calcul supplémentaire tout à fait considérable, notamment du fait de la nécessité de devoir comparer les unes aux autres dans le dispositif de surveillance des valeurs de sortie des processeurs d'une largeur habituelle de 64 bits à la fréquence de rythme élevée des processeurs, qui est de manière caractéristique supérieure à 100 MHz, sur le grand nombre de contacts de raccordement des processeurs, bien supérieur à 100 de manière caractéristique (dans la mesure où ils ne présentent pas un potentiel constant).

La présente invention se pose donc le problème technique d'indiquer une architecture d'ordinateur tolérant les défauts, convenant en particulier à son utilisation dans des satellites et en astronautique, qui permette une correction fiable des défauts sur la base d'une décision majoritaire avec une complexité réduite des circuits.

Ce but est atteint suivant l'invention avec un ordinateur du type considéré, avec fonctionnement parallèle redondant de plusieurs processeurs et avec un dispositif de surveillance pour bloquer une valeur de sortie d'un processeur, erronée par rapport aux autres, caractérisée en ce que le dispositif de surveillance est relié au bus PCI respectif des processeurs). Pour la vérification au cours de la décision majoritaire, on ne recourt donc plus aux données qui se trouvent dans l'unité centrale du processeur avec une fréquence élevée, dans la largeur de 64 bits; mais la comparaison s'effectue seulement sur la base du bus périphérique (PCI) par lequel les valeurs de sortie du processeur ne sont plus synchronisées qu'à 33 MHz, de manière caractéristique, et sont transmises avec seulement une largeur de 32 bits aux composants fonctionnels raccordés et appareils périphériques similaires.

Selon une caractéristique particulière de l'invention, une mémoire 30 tampon est prévue entre l'interface PCI respective d'un processeur et le dispositif de surveillance. Ces mémoires peuvent être conçues comme registre FIFO.

Selon l'invention, le dispositif de surveillance peut être commandé par une porte de temps. Il délivre l'une des valeurs de sortie provenant des différents processeurs, mais concordantes, à des appareils périphériques, par un bus PCI.

Cette solution suivant l'invention est expliquée de manière plus détaillée à l'aide du schéma-blocs représenté sur le dessin. Le schéma- blocs montre la manière dont trois processeurs fonctionnant en parallèle de manière redondante commandent des dispositifs périphériques, par un dispositif de surveillance qui a accès au bus PCI externe, par l'intermédiaire de ce bus PCI.

Dans l'architecture d'ordinateur 10 tolérant les défauts, représentée sous la forme d'un schéma-blocs simplifié, plusieurs processeurs 12 (12.1, 12.2 et 12.3), au nombre caractéristique de trois comme ici, sont alimentés en parallèle avec un jeu de données 11 à traiter. Etant donné que les processeurs 12 fonctionnent de manière numérique et synchronisée dans le temps, chacun devrait toujours fournir les mêmes valeurs de sortie 13. C'est pourquoi en principe l'une quelconque de ces trois valeurs de sortie 13 peut être transmise par une interface dite Periphal Computer (PCI) 14 (14.1, 14.2 ou 14.3 respectivement 14.4) à un bus PCI 15 et, par celui-ci, à un appareil périphérique 16 individuel, afin de commander celui-ci suivant les valeurs de sortie 13 du processeur, valables à l'instant.

S'il s'établit toutefois une divergence entre les valeurs de sortie 13, parce que l'un des processeurs 12 ne fonctionne pas correctement, seules les valeurs de sortie 13 valables de l'un des processeurs 12 fonctionnant encore correctement doivent être transmises par le bus PCI 15. Pour cela, en aval des processeurs 12 est couplé un dispositif de surveillance 17 dans lequel sont comparées les unes aux autres les valeurs de sortie 13 se produisant derrière les interfaces de processeur 14 (14.1, 14.2, 14.3), c'est-à-dire sur le plan PCI, de manière connue, pour vérifier la concordance de leur modèle de bit. On définit comme valable le modèle de bit, c'est-à-dire la valeur de sortie 13 actuelle du processeur, qui est confirmée comme coïncidente par au moins une autre valeur de sortie.

Pour cela les valeurs de sortie 13 des processeurs 12 sont chargées, par leurs interfaces de processeur 14, dans des mémoires tampons FIFO 18 (18. 1, 18.2, 18.3) associées dans celles-ci en ce qui concerne leurs circuits, lesquelles mémoires sont réalisées par exemple comme registres pipeline. De ces mémoires, les valeurs de sortie 13 sont appelées cycliquement par le dispositif de surveillance 17 pour le processus de comparaison et de sélection. Si aucune valeur de sortie 13 to n'est disponible, les sorties sur le bus PCI 15 sont bloquées au moins provisoirement par la fonction de chien de garde d'une porte de temps 19.

Si l'on constate une divergence entre des valeurs de sortie 13 qui vont ensemble, il est établi un protocole dans une mémoire de défauts 20. A partir de là une réinitialisation est déclenchée (non représenté sur le dessin) dans le processeur 12 fonctionnant apparemment de manière perturbée. Celui-ci est enfin totalement mis à l'arrêt si, après apparition du dérangement, il n'est plus en état de fournir des valeurs de sortie 13 coïncidant avec les autres.

Dans tous les cas, une architecture d'ordinateur 10 convenant à l'espace parce que tolérant les défauts, présente une complexité réduite pour la décision majoritaire entre des processeurs 12 fonctionnant de manière redondante, si la décision majoritaire ne s'effectue plus sur le plan des processeurs mais suivant l'invention sur un plan PCI faisant suite au processeur 12.

Claims

REVENDICATIONS

1. Architecture d'ordinateur (10) convenant à l'espace avec fonctionnement parallèle redondant de plusieurs processeurs (12) et avec un dispositif de surveillance (17) pour bloquer une valeur de sortie (13) d'un processeur, erronée par rapport aux autres, caractérisée en ce que le dispositif de surveillance (17) est relié au bus PCI (15) respectif des processeurs (12).

io

2. Architecture d'ordinateur selon la revendication 1, caractérisée en ce qu'une mémoire tampon (18) est prévue entre l'interface PCI (14) respective d'un processeur (12) et le dispositif de surveillance (17) .

3. Ordinateur selon la revendication 2, caractérisée en ce que 15 la mémoire tampon (18) est conçue comme registre FIFO.

4. Ordinateur selon l'une des revendications précédentes, caractérisée en ce que le dispositif de surveillance (10) peut être commandé par une porte de temps (19).

5. Ordinateur selon l'une des revendications précédentes, caractérisée en ce que le dispositif de surveillance (17) délivre l'une des valeurs de sortie (13) provenant de différents processeurs (12), mais concordantes, à des appareils périphériques (16), par un bus PCI (15).