RU1815641C - Устройство дл контрол и реконфигурации дублированной системы - Google Patents

Abstract

Использование: в цифровых отказоустойчивых структурах. Сущность: устройство содержит: 2 резервируемых ЭВМ (1. 2), 1 мультиплексор (3), 2 регистра данных (4, 5), 1 выходной регистр (6), 3 схемы сравнени  (7, 8, 9). 4 1-триггера(11. 12,13, 14). 2 D-триг- гера (16, 17), 1 триггер повтора (15), 1 IK- триггер(Ю), 1 дешифратор (18), 1 элемент И

Description

Изобретение относитс  к цифровой вычислительной технике и автоматике и может быть использовано при построении отказоустойчивых и гарантоспособных вычислительных систем, защищенных от ошибок, вызванных физическими дефектами и дефектами проектировани , на основе однотипных или разнообразных вычислителей, в которых возможно решение задач по нескольким альтернативным верси м.

Целью изобретени   вл етс  повышение надежности устройства.

На фиг. 1 представлена функциональна  схема устройства дл  контрол  и реконфигурации; на фиг.2 - таблица соответстви  функционировани  дешифратора: на фиг.З

- временна  диаграмма работы устройства. Обозначени  соответствуют фиг. 1; на фиг. 4

- варианты реализации триггера повтора.

На фиг. 1 использованы следующие обозначени : 1,2 - перва  и втора  резервируемые ЭВМ, 3 - мультиплексор, 4, 5 - первый и второй регистры данных, б - выходной регистр, 7-9 - перва - треть  схемы сравнени , 10 - 1К-триггер, 11-14 - первый-чет- вертым 1-тригерры, 15 - триггер повтора, 16-17 - первый, второй D-триггеры, 18 - дешифратор, 19 - элемент И, 20-24 - пер- вый-п тый элементы ИЛИ, 25 - одновибра- тор, 26 (27) - выходы отказ первого (второго) канала устройства, 28 - отказ системы устройства, 29 - выход сбой системы контрол  устройства, 30 - выход сбой канала устройства, 31 - выход данных устройства, 32 - вход синхронизации устройства, 33 - выход повторный счет устройства, 34 - информационный вход устройства .

Информационные входы устройства соединены с информационными входами 34.1 и 34.2 первой 1 и второй 2 резервируемых ЭВМ, выходы которых соединены с первым и вторым информационными входами мультиплексора , с первым и вторым входами первой схемы сравнени  7, первым входом второй 8 и первым входом третьей 9 схем сравнени , информационными входами первого 4 и второго 5 регистров данных соответственно , пр мой выход первой схемы сравнени  7 соединен с первым входом дешифратора 18 и D- входом триггера повтора 15, инверсный выход которого соединен с первым и входами логических условий резервируемых ЭВМ 1, 2 и V-входом дешифратора 18 и выходом 33 повторный счет устройства, инверсный выход первого элемента сравнени  7 соединен с V-входами

первого 4 и второго 5 регистров данных, выходы которых соединены соответственно со вторыми входами второй 8 и третьей 9 схем сравнени , выходы которых соединены с третьим и вторым входами дешифратора 18, первый выход которого соединен с 1входом первого 1-триггера 11, выход которого соединен с первым входом первого элемента ИЛИ20, выход которого  вл етс 

выходом 27 Отказ системы устройства, второй выход дешифратора 18 соединен с первым входом второго элемента ИЛИ21, выход которого соединен с D-входом первого D-триггера 16, выход которого  вл етс 

выходом 30 сбой канала устройства, третий выход дешифратора 18 соединен с первым входом третьего элемента ИЛИ22 и I-входом второго 1-триггера 12, выход которого ,  вл  сь выходом 26 отказ первого

канала устройства, соединен с первым входом элемента И19, первым входом четвертого элемента ИЛИ23 и вторым входом третьего элемента ИЛИ22, выход которого соединен с адресным входом мультиплексора 3, выход которого соединен с информационным входом выходного регистра 6, выход которого соединен с выходом 31 данных устройства, четвертый выход дешифратора 18 соединен со вторым входом второго

элемента ИЛИ21. п тый выход дешифратора 18 соединен с I-входом третьего 1-триггера 13, выход которого,  вл  сь выходом 27 отказ второго канала устройства соединен со вторым входом четвертого элемента

ИЛИ23 и вторым входом элемента И19, выход которого соединен со вторым входом первого элемента ИЛИ20, шестой выход дешифратора 18 соединен с третьим входом второго элемента ИЛИ21, седьмой выход

дешифратора 18 соединен с I-входом четвертого 1-триггера 14, выход которого.соединен с третьим входом первого элемента ИЛИ20, восьмой выход дешифратора соединен с D-входом второго D-триггера 17,

выход которого соединен с выходом 29 сбой системы контрол  устройства, вход 32 синхронизации устройства соединен с синхровходами первого 4 и второго 5 регистров данных, выходного регистра 6, IK- триггера 10, первого 11 - четвертого 1 1-триггеров, триггера повтора 15, первого 16, второго 17 D.-триггеров и входом прерываний первого 1 и второго 2 резервируемых блоков, выход четвертого элемента ИЛИ23

соединен с первым входом п того элемента ИЛИ24, с управл ющим V-входом триггера повтора 15, а через одновибрэтор 25 с установочным S-входом триггера повтора 15,

кроме того, инверсный выход первого элемента сравнени  7 соединен со вторым входом п того элемента ИЛИ 24, выход которого соединен с 1,К-входами 1,К-тригге- ра 10, выход которого соединен со вторыми входами логических условий первого 1 и второго 2 резервируемых блоков.

Перва  1 и втора  2 аппаратно идентичные резервируемые ЭВМ предназначены дл  вычислени  задачи (пакета задач) с жестким периодом счета не более Т, либо дл  циклического решени  одной задачи с посто нно обновл емыми данными (например , в системе управлени  летательного аппарата. Кроме того, задача (задачи) вычисл ютс  по двум различным программным верси м (по две в каждом канале, всего четыре), причем врем  решени  по каждой из них врем  счета составл ет не более Т. Если за это врем  задача не решена, то така  ситуаци  равноценна отказу. Кроме того, решаютс  также задачи, которые допускают повторный счет (временна  избыточность - один цикл). Необходимость повторного счета определ ет единичный потенциал, подаваемый на первый вход логических условий каналов.

По какой из программных версий будет осуществл тьс  решение задачи определ ет сигнал., подаваемый на второй вход логических условий каналов, толчком к началу решени  очередной задачи служит сигнал, подаваемый на вход ожидани  событи  блока (назовем этот вход-входом прерывани ).

Така  резервируема  ЭВМ может быть реализована, например, с использованием микропроцессора К1816ВЕ48. В этом случае входы логических условий могут быть реализованы программно-аппаратным способом с использованием программы INPKEY, Вход прерываний может быть организован с помощью подпрограммы ожидани  HUNT. Т.о. решение очередной задачи заканчиваетс  выставлением данных на шину данных и сохранением их до конца решени  очередной задачи (что может быть реализовано и с использованием внешних регистров, например, МБР К589ИР12, а затем переходом к подпрограмме ожидани  HUNT. Решение очередной задачи начинаетс  с приходом соответствующего сигнала на соответствующий разр д порта ввода микропроцессора (например, может использоватьс  в программе HUNT инверсный сигнал входа 2 синхронизации устройства), причем длительность этого сигнала должна быть больше , чем врем  одного цикла обработки

0

5

0

5

0

5

0

5

0

5

программы HUNT. При тактовой частоте б МГц это 15 мкс. После того, как программа словила разрешение на начало решени  задачи, начинаетс  отработка программы, котора  в ходе своей реализации опрашивает два других разр да входного порта, которые представл ют собой первый и второй входы логических условий, определ   повторить ли решение задачи (либо решение со стороны старыми данными) или перейти к очередной задаче (либо ввести новые данные ).

Мультиплексор 3 предназначен дл  коммутации на вход выходного регистра данных с выхода того или иного каналов.

Регистры данных 4 и 5, а также схем сравнени  8 и 9 предназначены дл  сравнени  данных, полученных в первом канале при первом и втором просчете задачи и аналогично во втором канале соответственно.

Перва  схема сравнени  7 предназначена дл  межканального сравнени  данных.

Триггер повтора 15 предназначен дл  работы в режиме записи (V 0) с целью фиксации несовпадени  данных на выходах каналов после первого просчета и организации повторного просчета этой же задачи в случае, когда ни один из каналов не был признан отказавшим. Если же один из каналов признаетс  отказавшим, то триггер с помощью четвертого элемента ИЛИ23 и од- новибратора 25 переводитс  в счетный режим (V 11). игнориру  данные на своем D-входе. Пример реализации такого триггера изображен на фиг.4.

1,К-триггер 10 предназначен дл  управлени  вторым входом логических условий резервируемых блоков, который определ ет , по какой программной версии будет решатьс  задача.

Первый 11 - четвертый 14 1-триггеры и первый 16, второй 17 D-триггеры редааз- начены дл  фиксации того или иного состо ни  устройства в зависимости от результатов сравнени  данных.

Дешифратор 18 по результатам сравнени  данных после второго просчета задачи определ ет состо ние устройства.

Элементы И 19 и ИЛИ 20 предназначены дл  определени  такого состо ни  устройства , когда данные, записанные в выходном регистре 6, не  вл ютс  достоверными .

Элемент ИЛИ21 предназначен дл  объединени  сигналов, свидетельствующих о том, что произошел сбой в одном из каналов .

Элемент ИЛИ 22 предназначен дл  управлени  мультиплексором 3.

Элемент ИЛИ23 и одновибратор 24 предназначены дл  организации управлени  счетчиком 15.

Устройство работает следующим образом ,

Считаем, что перва  ЭВМ 1 может решать (просчитывать) каждую задачу по двум программным верси м А и Б, а второй канал - 8 и Г, причем, если на первых входах логических условий находитс  нулевой потенциал , то в работе версии А и В соответственно , если единица, то В и Г. Толчком к началу решени  очередной задачи после окончани  решени  предыдущей служит импульс , поступающий на входы прерывани  каналов, причем в зависимости от того, какой потенциал на втором входе логических условий микроЭВМ, может быть начато решение очередной задачи (если на этом входе нуль) либо повторное решение предыдущей (если на этом входе единица).

Итак, в исходном состо нии во всех регистрах записаны нули, на выходах шин данных блоков 1, 2 (каналов) - нули, все триггеры обнулены, триггер повтора 15 находитс  в единичном состо нии. По первому тактовому импульсу, поступившему со входа 32 синхронизации устройства, в триггер повтора 15 запишетс  единица, не изменив его состо ни , а перва  1 и втора  2 ЭВМ начнут решение первой задачи. К моменту прихода очередного тактового импульса (см.фиг.3) оба канала заканчивают решение задачи и выставл ют на своих шинах данных данные, причем это не об зательно происходит одновременно (см.фиг.3), поэтому возможно и несовпадение данных на выходах каналов, о чем будет говорить нулевой потенциал на пр мом выходе первой схемы сравнени  7. Однако, этот нуль всегда исчезнет в случае безошибочного решени  задачи к моменту прихода очередного тактового импульса. Если это так. то по заднему фронту этого импульса данные с шины данных первого канала запишутс  в выходной.регистр 6. поступа  тем самым на выход 31 данных устройства. На А-вход мультиплексора 3 при этом поступает нулевой потенциал, на всех выходах дешифратора 18 нули. т.к. на его V-входе - нуль (см.фиг.2), а триггер 12 также в нуле.

Этот же импульс, поступив на входы прерывани  обоих каналов, инициировал решение очередной задачи по тем же А и В программным верси м, ведь на первых входах логических условий - нуль (триггер 15

0

5

0

5

0

5

0

5

0

5

по-прежнему в единице), поступающий с инверсного выхода триггера повтора 15, а на вторых входах - триггер 10 свое состо ние не измен л.

Однако, если к приходу очередного тактового импульса на пр мом выходе первой схемы сравнени  7 единица не по вилась, это значит, что в одном из каналов (или в обоих) что-то произошло. В этом случае единица по вл етс  на инверсном выходе первой схемы, разреша  запись в регистры 4, 5 данных, что и происходит по заднему фронту этого же импульса. Кроме того, эта единица через элемент ИЛИ24 поступает на 1,К-входы триггера 10, и последний по заднему фронту этого же импульса переходит в нулевое состо ние (см.фиг.З). Этот же импульс запишет в триггер повтора 15 нуль, поступающий на его D-вход. Кроме того, этот же импульс вновь инициирует решение задачи обоими блоками 1, 2. Данным, которые записаны в регистр 6, не довер ют, так как на выходе 33 повторный счет находитс  единица.

Однако, теперь на первый вход логических условий поступает единица, а на второй - нуль, значит оба блока начнут повторное решение задачи, но уже по другим верси м (Б и 0- Если повторное решение задачи дало положительный результат, то к моменту прихода очередного импульса на пр мом выходе первой схемы сравнени  7 вновь будет единица (см.фиг.З), котора :

- вновь запишет данные, но уже достоверные в выходной регистр 6, о достоверности этих данных свидетельствует отсутствие единицы на выходе 33 повторный счет устройства ,

- в триггер повтора 15 оп ть запишет единицу,

- произведет изменение состо ни  одного из триггеров 11-14, 16, 17 в зависимости от состо ни  устройства.

Рассмотрим последний пункт подробнее . Итак, с момента начала повторного счета на V-вход дешифратора 18 поступает единичный потенциал, разреша  работу последнего (фиг,2). К моменту прихода очередного (4-го, фиг.З) импульса на входах дешифратора будет вполне определенна  комбинаци  сигналов, Так, элемент сравнени  7 дает результат межканального сравнени  данных при первом и втором просчетах, схемы же 8 и 9 выдают результат сравнени  данных, полученных на выходе одного и того же канала, после второго просчета. Возможны восемь различных комбинаций.

Перва . Все три элемента сравнени  дали отрицательный результат. Невозможно определить достоверна ли информаци  хот  бы в одном из каналов. Така  ситуаци  расцениваетс  как отказ системы. Очередной тактовый импульс переводит триггер 11 в единичное состо ние, на его вход поступает единица с выхода - 0 дешифратора. Единица с выхода триггера 11, пройд  через элемент ИЛИ20, информирует пользовател  об отказе системы, поступа  на выход 28.

Втора . Данные ни в одном из каналов между собой не совпали, но второй счет дал положительный результат при межканальном сравнении. Значит при первом просчете в обоих каналах возникнет сбой. Единица, по вивша с  на выходе 1, дешифратора 18, поступит через элемент ИЛИ21 на D-вход триггера 16, выход которого  вл етс  выходом 30 сбой канала устройства, - информируетс  пользователь. Однако, этот сигнал может быть вновь сн т, если при решении очередной задачи такой ситуации не возникнет, тогда на выходе 1 дешифратора вновь будет нуль к моменту прихода синхроимпульса.

Треть . Межканальное сравнение оба раза дало отрицательный результат, кроме того, первый канал выдал данные, которые не совпали между собой. Следовательно отказал первый канал 1, что и  вилось причиной несовпадени  данных при первом и втором просчетах. В этом случае к моменту прихода очередного импульса (импульс 6. фиг.З) единица с выхода 2 дешифратора 18, пройд  через элемент ИЛИ22, поступает на адресный вход мультиплексора 3. коммутиру  тем самым на информационный вход выходного регистра 6 данные с выхода второго канала 2. По очередному импульсу эти данные запишутс  в регистр 6. Этот же импульс переведет в единичное состо ние триггер 12, на 1-вход которого поступает единица с выхода 2 дешифратора. Единица с выхода триггера 12 поступает на выход 26 отказ первого канала устройства, информиру  пользовател . Кроме того, эта единица посто нно будет поступать на адресный вход мультиплексора 3 через элемент ИЛИ22, так как данные теперь могут поступать только со второго канала. Единица с выхода элемента ИЛИ23 поступает на вход одновибратора, который вырабатывает (через врем  т после очередного синхроимпульса , определ емого временами задержки триггера 12 и элемента ИЛИ23) одиночный импульс, который устанавливает триггер повтора 15 в единицу (ведь он осталс  после синхроимпульса в нуле - второй просчет также не дал совпадени  данных на входе элемента сравнени  7) (см.фиг.З). Кроме того, эта же единица с выхода ИЛИ23

поступает на V-вход триггера повтора 15, перевод  его из режима записи в режим счета, а пройд  через элемент ИЛИ 24, поступает на 1,К-входы триггера 10, который теперь будет измен ть свое состо ние на

противоположное по каждому синхроимпульсу (как и триггер повтора 15), ведь теперь дл  выдачи достоверных данных,, необходимо каждую задачу просчитывать два раза по двум различным программным

верси м, что теперь и будут обеспечивать триггер повтора 15 и триггер 10 до тех пор, пока не откажет и другой канал.

Четверта , шеста . Эти две ситуации идентичны второй с той лишь разницей, что

сбой при первом просчете задачи произошел в одном из каналов (см. фиг.2).

П та . Аналогична третьей, отличие состоит лишь в том, что сигнал на адресном входе мультиплексора сохран ет свой потенциал .

Седьма , Така  комбинаци  результатов сравнени  также оцениваетс  как отказ системы в целом, так как не сны причины межканального несовпадени  данных после обоих просчетов одной задачи при том. что локальное сравнение дало положительный результат. Причин может быть несколько: константна  неисправность (например, такой отказ шины данных блока, при котором на ней только нули) ЭВМ 1. 2, или отказ первого схемы сравнени  7, или отказы всех элементов сравнени . В любом из этих случаев дальнейшее функционирование устройства не обеспечивает выдачу достоверных данных. Така  ситуаци  фиксируетс  очередным тактовым импульсом в триггере 14, единица с выхода которого через элемент ИЛЙ20 поступает на выход 28

отказ системы устройства.

Восьма . В этом случае, очевидно, произошел сбой в системе контрол , т.е. схема 7 при сравнении результатов версий А и В (или Б и Г) дал отрицательный результат,

хот  после второго счета задачи все три схемы сравнени  7, 8, 9 дали положительный результат, Эта ситуаци  также фиксируетс  D-триггером 17 по очередному тактовому импульсу. Если при решении следующей задачи эта ситуаци  не повторитс , то этот триггер обнулитс .

Дев та . Этот случай соответствует ситуации , когда при первом решении задачи данные на выходах резервируемых блоков

совпали (на V-входе дешифратора нуль), состо ние двух других элементов сравнени  безразлично (X), на всех выходах дешифратора 18 нулевые потенциалы, если до этого не был признан отказавшим первый канал (триггер 12 в нуле), то на адресный вход мультиплексора 3 поступает нулевой потенциал .

Оценим технико-экономическое преимущество предлагаемого изобретени  по отношению к прототипу.

Выражение дл  веро тности необнаружени  отказа устройства-прототипа PI имеет вид:

Pi Pa + Рд.п.

где Ра - веро тность необнаружени  встроенными средствами контрол  отказа блока за врем  Т, Рд.п. - веро тность про влени  ошибки в программном обеспечении за это же врем  Т.

Заметим, что ошибки в программном обеспечении (дефекты проектировани  (ДП) можно разделить на относительные и абсолютные (ОДП и АДП). Первые из них можно вывить, сравнива  результаты решени  одной задачи по различным программным верси м, что и делаетс  в предлагаемом изобретении. Вторые же таким способом вы вить нельз .

Итак, веро тность необнаружени  отказа в предлагаемом изобретении определ етс  выражением:

Pll Рд.п.(

А

А +0

)

где А - число АДП, про вившихс  за врем  Т. О - число ОДП, про вившихс  за врем  Т.

Веро тность необнаруживаемого отказа аппаратных средств считаем равной нулю , так как в отличие от прототипа, где этим занимаютс  встроенные средства контрол , в предлагаемом устройстве реализуетс  поразр дное сравнивание данных. Т.о., чтобы аппаратный дефект осталс  не вы вленным, он должен одинаково и одновременно про витьс  в обоих блоках, которые при этом решают задачу по различным программным верси м. Веро тность такого событи  ничтожно мала.

Кроме того, известно, что дол  ОДП составл ет пор дка 70% от общего количества ДП, которое примерно в два раза превышает количество физических отказов.

р

v4

v4,

5

Q

c о

5

0

5 0

5

Pi + 2 (0,7 - 0,3) 3 -.10Л Рц 2 -0,3 0,6-10

Следовательно, веро тность просачивани  ошибочных данных на выход предлагаемого устройства п ть раз меньше, чем у устройства-п рототи па

ДР Р|/Рц 3/0,6 5.

Таким образом, техническое преимущество предлагаемого изобретени  по отношению к прототипу состоит в увеличении надежности путем введени  поразр дного сравнени  данных, полученных при решении одной и той же задачи по различным программным верси м.

Достоверность достижени  цели подтверждаетс  приведенными выше расчетами .

Claims (1)

1. Формула изобретени 

   Устройство дл  контрол  и реконфигурации дублированной системы, содержащее первую и вторую резервируемые ЭВМ, мультиплексор, первый элемент ИЛИ. причем первый и второй информационные входы устройства соединены с информационными входами соответственно первой и второй резервируемых ЭВМ, выходы шины данных которых соединены с первым и вторым информационными входами мультиплексора, отличающеес  тем, что, с целью повышени  надежности устройства, оно содержит первый и второй регистры данных, выходной регистр, пер- вую-третью схемы сравнени , 1К-триггер, первый-четдертый I-триггеры, триггер повтора , первый и второй D-триггеры, элемент И, дешифратор, второй-п тый элементы ИЛИ и одновибратор, выходы шин данных первой и второй резервируемых ЭВМ соединены с первым и вторым входами соответственно первой схемы сравнени , первыми входами второй и третьей схем сравнени  соответственно, а также с информационными входами первого и второго регистров данных соответственно, пр мой выход первой схемы сравнени  соединен с первым информационным входом дешифратора и D-входом триггера повтора, инверсный выход которого соединен с первыми входами логических условий резервируемых ЭВМ, V

   ,-4

   Тогда допустим, Ра 10 . следовательвходом дешифратора и выходом Повторный счет устройства, инверсный выход первой схемы сравнени  соединен с V-входами первого и второго регистров данных, выходы которых соединены соответственно с вторы- ми входами второй и третьей схем сравнени , выходы которых соединены с третьим и вторым информационными входами дешифратора , первый выход которого соединен с 1-входом первого 1-триггера пр мой выход которого соединен с первым входом первого элемента ИЛИ, выход которого  вл етс  выходом устройства Отказ системы, второй выход дешифратора соединен с первым входом второго элемента ИЛИ, выход кото- рого соединен с Д-входом первого D-тригге- ра, выход которого  вл етс  выходом устройства Сбой резервируемой ЭВМ, третий выход дешифратора соединен с первым входом третьего элемент ИЛИ и 1-входом второго 1-триггера. выход которого  вл етс  выходом устройства Отказ первой.резервируемой ЭВМ и соединен с первым входом элемента И, первым входом четвертого элемента ИЛИ и вторым входом третьего элемента ИЛИ, выход которого соединен с адресным входом мультиплексора, св занного выходом с информационным входом выходного регистра, выход которого соединен с выходом данных устройства, четвер- тый выход дешифратора соединен с вторым входом второго элемента ИЛИ, п тый выход

   дешифратора соединен с 1-входом третьего 1-триггера, выход которого  вл етс  выходом устройства Отказ второй резервируемой ЭВМ и соединен с вторым входом четвертого элемента ИЛИ и вторым входом элемента И, выход которого соединен с вторым входом первого элемента ИЛИ. шестой выход дешифратора соединен с третьим входом второго элемента ИЛИ, седьмой выход дешифратора соединен с 1-входом четвертого 1-триггера выход которого соединен с третьим входом первого элемента ИЛИ, восьмой выход дешифратора соединен с Д-входом второго D-триггера. вых«д которого соединен с выходом устройства Сбой устройства, вход синхронизации устройства соединен с синхровходами первого и второго регистров данных, выходного регистра, 1К-триггера, первого-четвертого I- триггеров, триггера повтора и первого и второго D-триггеров и входом прерывани  первой и второй резервируемых ЭВМ, выход четвертого элемента ИЛИ соединен с первым входом п того элемента ИЛИ и с V-входом триггера повтора, а через одно- вибратор - с асинхронным S-входом триггера повтора, инверсный выход первой схемы сравнени  соединен с вторым входом п то- то элемента ИЛИ, выход которого соединен с I- и К-входами IK-триггера, св занного выходом с вторыми входами логических условий первой и второй резервируемых ЭВМ.

   Фиг. Z