RU2298823C2

RU2298823C2 - Majority redundancy device (variants)

Info

Publication number: RU2298823C2
Application number: RU2005112910/09A
Authority: RU
Inventors: Михаил Даниилович Рабинович (RU); Михаил Даниилович Рабинович; Борис Данилович Никифоров (RU); Борис Данилович Никифоров; Валерий Михайлович Абрамов (RU); Валерий Михайлович Абрамов
Original assignee: Общество с ограниченной ответственностью "Желдорконсалтинг"
Priority date: 2005-04-28
Filing date: 2005-04-28
Publication date: 2007-05-10
Also published as: RU2005112910A

Abstract

FIELD: automatics and computer engineering, possible use during construction of highly reliable devices and systems, for example, redundant systems for processing unit-counting codes in automatic locomotive signaling unit.

SUBSTANCE: device has three identical functional redundancy elements, connected in parallel and performing processing of incoming input signal, three logical elements AND of the same name, connected to outputs of aforementioned redundancy elements, with one channel at output, and executive element, where each logical element AND is connected to output of functional redundancy element of the same name and is made on basis of two-contact relay with galvanically isolated contacts, which simultaneously close on excitation of relay under effect from signal at outputs of functional redundancy elements of the same name and connected in accordance to majority selection circuit "two out of three", in which power to executive element is fed through three parallel electrical circuits, formed by serially connected contacts of logical elements AND in such a way, that in first circuit connected serially are first contact of first relay and first contact of second relay, in second circuit - second contact of first relay and first contact of third relay, and connected serially in third circuit are second contact of second relay and second contact of third relay. Logical elements AND may be made in form of two-transistor optoelectronic couples or other devices of similar type. Therefore, in case of failure of any single functional element, and also one of three logical AND elements, for example, a relay or its contacts, device will continue functioning normally, sending signal to executive element, resulting in increased fault tolerance of device. New feature of device, described above, is achieved due to introduction of AND elements to majority selection circuit.

EFFECT: increased fault tolerance of system.

2 cl, 2 dwg

Description

Устройство для мажоритарного резервирования относится к области автоматики и вычислительной техники и может быть использовано при построении высоконадежных устройств и систем, например резервированных систем для обработки числоимпульсных кодов в автоматической локомотивной сигнализации (АЛС).A majority redundancy device belongs to the field of automation and computer technology and can be used to build highly reliable devices and systems, for example, redundant systems for processing the number of pulse codes in automatic locomotive signaling (ALS).

Известна резервированная вычислительная система, содержащая резервированные процессоры, коммутаторы вывода информации, модули памяти, устройство для управления реконфигурацией вычислительной системы, коммутаторы вывода информации и блок сравнения. Контроль функционирования системы обеспечивается параллельной работой пары процессоров в течение такта контроля путем сравнения конечных результатов. Обнаружение отказавшего процессора осуществляется путем анализа параллельной работы следующей пары процессоров (см. Патент РФ №2039372 от 05.06.1991, кл. МКИ6 G06F 11/20).Known redundant computing system comprising redundant processors, information output switches, memory modules, a device for controlling reconfiguration of a computer system, information output switches and a comparison unit. Monitoring the functioning of the system is ensured by the parallel operation of a pair of processors during the monitoring cycle by comparing the final results. Detection of a failed processor is carried out by analyzing the parallel operation of the next pair of processors (see RF Patent No. 2039372 dated 05.06.1991, CL MKI G06F 11/20).

В этой системе реконфигурация структуры и исключение отказавшего процессора осуществляется на программно-аппаратном уровне, и в случае возникновения неисправности в операционной системе, например, может возникнуть опасный отказ.In this system, reconfiguration of the structure and exclusion of a failed processor is carried out at the software and hardware level, and in the event of a malfunction in the operating system, for example, a dangerous failure can occur.

Известна компьютерная система, которая в отказоустойчивом исполнении использует несколько одинаковых процессоров, использующих одни и те же инструкции, с сохранением одних и тех же данных в нескольких идентичных модулях памяти с одинаковой организацией адресного пространства. Система фиксирует отказ процессора и модуля памяти, отключает неисправное устройство и продолжает работать с другими исправными устройствами. Неисправное устройство может быть заменено и заново встроено в систему без перезагрузки всей системы (см. Патент США №6,073,251 от 09.06.1997, кл. МКИ7 С06F 11/20).A computer system is known which in fault-tolerant execution uses several identical processors using the same instructions, with the same data being stored in several identical memory modules with the same address space organization. The system detects a failure of the processor and memory module, turns off the faulty device and continues to work with other healthy devices. A faulty device can be replaced and re-integrated into the system without rebooting the entire system (see US Patent No. 6,073,251 of June 9, 1997, CL MK7 C06F 11/20).

Недостаток данной системы заключается в том, что при отказе функции отключения, неисправный процессор продолжает неправильно работать, что может привести к опасному событию.The disadvantage of this system is that if the shutdown function fails, the faulty processor continues to malfunction, which can lead to a dangerous event.

Известно устройство, содержащее N коммутационных блоков, вход первого коммутационного блока является первым информационным входом устройства, i-e выходы

каждого коммутационного блока объединены и являются i-м выходом устройства, вводятся (N 1) мультиплексоров, (N 1) элементов ИЛИ и резервный коммутационный блок (РКБ), первый информационный вход i-го мультиплексора является (i+1)-м информационным входом устройства, второй информационный вход i-го мультиплексора является i-м информационным входом устройства, информационный вход резервного коммутационного блока является N-м информационным входом устройства, выход i-го мультиплексора соединен с информационным входом (i+1)-го коммутационного блока, подключенного, кроме первого коммутационного блока, выходом сигнала ошибки к первому входу i-го элемента ИЛИ, связанного выходом, кроме (N 1)-го элемента ИЛИ с адресным входом (i+1)-го мультиплексора, выход сигнала ошибки первого коммутационного блока соединен с адресным входом первого мультиплексора и со вторым входом первого элемента ИЛИ, выход (N 1)-го элемента ИЛИ подключен ко входу разрешения резервного коммутационного блока, выходы которого связаны с одноименными выходами коммутационных блоков, а N-й выход резервного коммутационного блока является N-м выходом устройства (см. Патент РФ №2072645 от 24.03.1993, кл. МКИ6 G06F 11/20).A device is known comprising N switching blocks, the input of the first switching block is the first information input of the device, i.e. outputs

each switching block are combined and are the i-th output of the device, (N 1) multiplexers, (N 1) OR elements and a backup switching block (RCB) are introduced, the first information input of the i-th multiplexer is the (i + 1) -th information input devices, the second information input of the i-th multiplexer is the i-th information input of the device, the information input of the backup switching unit is the N-th information input of the device, the output of the i-th multiplexer is connected to the information input of the (i + 1) -th switching block, p connected, except for the first switching block, by the output of an error signal to the first input of the i-th OR element, connected by the output, except for the (N 1) th OR element with the address input of the (i + 1) -th multiplexer, the error signal output of the first switching block is connected with the address input of the first multiplexer and with the second input of the first OR element, the output of the (N 1) th OR element is connected to the enable input of the backup switching unit, the outputs of which are connected to the outputs of the switching units of the same name, and the Nth output of the backup switching unit is the Nth output of the device (see RF patent No. 2072645 dated 03.24.1993, cl. MKI6 G06F 11/20).

В этом устройстве предполагается, что в случае отказа коммутационного блока, его выход адекватно формирует сигнал ошибки, что не может быть гарантировано при его неисправности. Таким образом, устройство не защищено от опасных отказов.In this device, it is assumed that in the event of a failure of the switching unit, its output adequately generates an error signal, which cannot be guaranteed if it malfunctions. Thus, the device is not protected from dangerous failures.

Известно устройство создания отказоустойчивой системы резервирования, которая в случае отказа первичной системы передает управление дублирующей системе без прерывания работы. Основная и резервная системы обработки представляют собой отдельные компьютеры, связанные между собой высокоскоростным каналом связи. Устройство обеспечивает программное решение синхронизации резервной системы за счет разделения операционной системы на две машины. Машина ввода/вывода (В/В) ответственна за управление и прием всех данных и асинхронных событий в системе. Машина ввода/вывода связывается с физическими устройствами и драйверами устройств и управляет ими. Машина операционной системы (ОС) используется для работы с данными, принимаемыми от машины ввода/вывода. В первичном сервере эти машины определяются как первичная машина ввода/вывода и первичная машина (ОС). Все события или данные, которые могут изменять состояние операционной системы, разделяются на отдельные каналы через машину ввода/вывода и преобразуются в формат сообщения. Сообщения выстраиваются в очередь сообщений, доступ к которой осуществляется машиной (ОС). Поэтому, несмотря на синхронизацию событий (т.е. асинхронные события), машина (ОС) является автоматом запуска из конечного состояния с одномерным входным «представлением» остальной части системы. Таким образом, хотя машина (ОС) работает по асинхронным событиям, обработка этих событий управляется через одноразрядную входную последовательность. При запуске или при первом задействовании вторичного процессора, первичный процессор «зависает» и таким образом все инструкции или другие события изменения состояния приостанавливаются до тех пор, пока машина (ОС) не войдет в стабильное состояние. В тот момент состояние передается в машину (ОС) резервной системы. С того момента идентичные события (сообщения) передаются на каждую машину (ОС). Поскольку обе системы начинают работать с идентичного состояния и принимают идентичные входы, машина (ОС) как часть системы формируют идентичные выходы и переходят в идентичные состояния. Резервная система также делит операционную систему на вторичную машину (ОС) и вторичную машину ввода/вывода. Вторичная машина ввода/вывода связывается с первичной машиной ввода/вывода. При отказе первичной системы остальная часть вычислительной системы переключается на вторичную систему фактически без прерывания. Это становится возможным потому, что каждое событие исполняется по существу последовательно резервной системой и первичной системой (см. Патент РФ №2108621 от 09.08.1991, кл. G06F 11/20).A device for creating a fault-tolerant backup system is known, which, in the event of a primary system failure, transfers control to the backup system without interruption of operation. The primary and backup processing systems are separate computers interconnected by a high-speed communication channel. The device provides a software solution for synchronizing the backup system by dividing the operating system into two machines. An I / O machine is responsible for managing and receiving all data and asynchronous events in the system. An I / O machine communicates with and controls physical devices and device drivers. An operating system (OS) machine is used to work with data received from an I / O machine. In the primary server, these machines are defined as the primary input / output machine and primary machine (OS). All events or data that can change the state of the operating system are divided into separate channels through an I / O machine and converted to a message format. Messages are lined up in a message queue accessed by a machine (OS). Therefore, despite the synchronization of events (ie, asynchronous events), the machine (OS) is an automaton for starting from the final state with a one-dimensional input “representation” of the rest of the system. Thus, although the machine (OS) operates on asynchronous events, the processing of these events is controlled through a single-bit input sequence. When starting up or when the secondary processor is first used, the primary processor “freezes” and thus all instructions or other state change events are suspended until the machine (OS) enters a stable state. At that moment, the state is transferred to the machine (OS) of the backup system. From that moment, identical events (messages) are transmitted to each machine (OS). Since both systems start working from an identical state and receive identical inputs, the machine (OS) as part of the system forms identical outputs and switches to identical states. The backup system also divides the operating system into a secondary machine (OS) and a secondary I / O machine. The secondary input / output machine communicates with the primary input / output machine. If the primary system fails, the rest of the computing system switches to the secondary system virtually without interruption. This becomes possible because each event is executed essentially sequentially by the backup system and the primary system (see RF Patent No. 2108621 of 08/09/1991, cl. G06F 11/20).

В этой системе, ее отказоустойчивость реализуется на основе программных средств, что в случае возникновения в них неисправности, не гарантирует от возникновения опасных отказов.In this system, its fault tolerance is implemented on the basis of software, which in the event of a malfunction in them does not guarantee against dangerous failures.

Наиболее близким по технической сущности является схема устройства мажоритарного резервирования, состоящая из трех идентичных функциональных резервируемых элементов, включенных параллельно и осуществляющих обработку поступающего входного сигнала, трех одноименных логических элементов И с одним каналом на выходе, выход каждого функционального элемента соединен со входами двух логических элементов И по схеме возможных сочетаний «два из трех», а выходы элементов И поступают на входы логического элемента ИЛИ, выход которого соединен с входом исполнительного элемента (см. Г.А.Шевцов, Е.М.Шеремет «Логическое резервирование», издательство Львовского университета, 1973 г., с.60, рис.25).The closest in technical essence is the scheme of the majority redundancy device, consisting of three identical functional redundant elements connected in parallel and processing the incoming input signal, three logical elements of the same name And with one channel at the output, the output of each functional element is connected to the inputs of two logical elements And according to the scheme of possible combinations “two out of three”, and the outputs of AND elements go to the inputs of an OR logical element, the output of which is connected to the input of the executive element (see G.A.Shevtsov, E.M.Sheremet "Logical reservation", Lviv University Press, 1973, p.60, Fig. 25).

Недостатком этой системы является невысокая отказоустойчивость, ввиду того, что при отказе любого логического элемента И, а также элемента ИЛИ, не включенных в контур мажоритарного избирания, система выходит из строя.The disadvantage of this system is its low fault tolerance, due to the fact that if any logical AND element, as well as the OR element, which are not included in the majority election circuit, fails, the system fails.

Техническим результатом устройства является повышение отказоустойчивости системы.The technical result of the device is to increase the fault tolerance of the system.

Технический результат достигается тем, что в устройстве, состоящем из трех идентичных функциональных резервируемых элементов, включенных параллельно и осуществляющих обработку поступающего входного сигнала, связанных с их выходами трех одноименных логических элементов, каждый с одним каналом на выходе и исполнительного элемента, вход каждого логического элемента соединен с выходом одноименного функционального резервируемого элемента, а каждый логический элемент выполнен в виде двухконтактного реле с гальванически изолированными контактами, которые одновременно замыкаются при возбуждении реле под действием сигнала на выходе одноименного функционального элемента, при этом указанные контакты электрически соединены по схеме мажоритарного избирания «два из трех», в которой питание на исполнительный элемент подается через три параллельные электрические цепи, образованные тремя комбинациями последовательного включения контактов логических элементов так, что в первой из указанных цепей последовательно соединены первый контакт первого реле и первый контакт второго реле, во второй указанной цепи - второй контакт первого реле и первый контакт третьего реле, а в третьей указанной цепи последовательно соединены второй контакт второго реле и второй контакт третьего реле. При этом логические элементы могут быть выполнены в виде двухтранзисторных оптронов.The technical result is achieved by the fact that in a device consisting of three identical functional redundant elements connected in parallel and processing an incoming input signal associated with their outputs of the same three logical elements, each with one channel at the output and an executive element, the input of each logical element is connected with the output of the same functional redundant element, and each logic element is made in the form of a two-contact relay with galvanically isolated with contacts that simultaneously close when the relay is excited by a signal at the output of the functional element of the same name, while these contacts are electrically connected according to a two-of-three majority election scheme, in which power is supplied to the actuator through three parallel electrical circuits formed by three combinations of sequential switching on the contacts of the logic elements so that in the first of these circuits the first contact of the first relay and the first contact of the second th relay, in the second indicated circuit - the second contact of the first relay and the first contact of the third relay, and in the third specified circuit the second contact of the second relay and the second contact of the third relay are connected in series. In this case, the logic elements can be made in the form of two-transistor optocouplers.

На фиг.1 представлена схема устройства мажоритарного резервирования с двухконтактными реле.Figure 1 presents a diagram of a majority backup device with two-contact relays.

На фиг.2 - схема с двухтранзисторными оптронами.In Fig.2 is a diagram with dual transistor optocouplers.

Устройство состоит из трех идентичных функциональных резервируемых элементов 1, 2, 3, включенных параллельно и осуществляющих обработку поступающего входного сигнала, трех одноименных логических элементов 4₁, 5₂, 6₃, каждый с одним каналом на выходе и исполнительного элемента 7. Вход каждого логического элемента соединен с выходом одноименного функционального элемента 1, 2, 3. Логические элементы 4₁, 5₂, и 6₃выполнены на основе двухконтактного реле 8, 9, и 10 с гальванически изолированными контактами 11, 12; 13, 14; и 15, 16, соответственно, которые одновременно замыкаются при возбуждении реле 8, 9, 10 под действием сигнала на выходах функциональных элементов 1, 2, 3, и включенными по схеме мажоритарного избирания «два из трех», в которой питание на исполнительный элемент 7 подается через три параллельные электрические цепи 17, 18, 19, образованные тремя комбинациями последовательного включения контактов логических элементов 4₁, 5₂, 6₃ так, что в первой цепи 17 последовательно соединены первый контакт 11 первого реле 8 и первый контакт 13 второго реле 9, во второй цепи 18 - второй контакт 12 первого реле 8 и первый контакт 15 третьего реле 10, а в третьей цепи 19 последовательно соединены второй контакт 14 второго реле 9 и второй контакт 16 третьего реле 10. В ином исполнении (фиг.2) - логические элементы 4₁, 5₂, 6₃ выполнены в виде двухтранзисторных оптронов 8, 9, 10 с контактами 11, 12; 13, 14 и 15, 16 соответственно.The device consists of three identical functional redundant elements 1, 2, 3 connected in parallel and processing the incoming input signal, three logical elements of the same name 4 ₁ , 5 ₂ , 6 ₃ , each with one channel at the output and an actuating element 7. Input of each logical the element is connected to the output of the same functional element 1, 2, 3. Logic elements 4 ₁ , 5 ₂ , and 6 _{3 are} made on the basis of a two-contact relay 8, 9, and 10 with galvanically isolated contacts 11, 12; 13, 14; and 15, 16, respectively, which simultaneously close when the relays 8, 9, 10 are excited by the signal at the outputs of the functional elements 1, 2, 3, and are turned on according to the majority two-out election scheme, in which power is supplied to the actuator 7 fed through three parallel electrical circuits 17, 18, 19, formed by three combinations of sequentially connecting the contacts of logic elements 4 ₁ , 5 ₂ , 6 ₃ so that in the first circuit 17 the first contact 11 of the first relay 8 and the first contact 13 of the second relay 9 are connected in series in the second flail 18 - second contact 12 of the first relay 8 and the first contact 15 of the third relay 10, and the third series circuit 19 are connected to the second contact 14 of the second relay 9 and the second contact 16 of the third switch 10. In another version (2) - _{1 April} logic elements , 5 ₂ , 6 _{3 are} made in the form of two-transistor optocouplers 8, 9, 10 with contacts 11, 12; 13, 14 and 15, 16, respectively.

Устройство мажоритарного резервирования работает следующим образом.The majority backup device operates as follows.

Сигнал на входе поступает в три идентичных функциональных элемента 1, 2, 3, например дешифратора, где на выходе он будет декодирован в логическую единицу или логический ноль. Этот декодированный сигнал поступает на вход одноименного логического элемента 4₁, 5₂ и 6₃, выполненного, например, на основе двухконтактного реле 8, 9, 10 с гальванически изолированными парами контактов 11, 12; 13, 14 и 15, 16 соответственно, которые одновременно замыкаются при возбуждении реле 8, 9 и 10 под действием сигнала - логической единицы на выходах одноименных функциональных элементов 1, 2 и 3. Так как реле включены по схеме мажоритарного избирания «два из трех», то питание на исполнительный элемент 7 подается по трем параллельным цепям 17, 18 и 19, образованным тремя комбинациями последовательного включения контактов реле, как это описано выше.The input signal enters three identical functional elements 1, 2, 3, for example, a decoder, where at the output it will be decoded into a logical unit or a logical zero. This decoded signal is fed to the input of the logic element 4 ₁ , 5 ₂ and 6 ₃ , made, for example, based on a two-contact relay 8, 9, 10 with galvanically isolated pairs of contacts 11, 12; 13, 14 and 15, 16, respectively, which simultaneously close when the relays 8, 9 and 10 are excited by a signal - a logical unit at the outputs of the same functional elements 1, 2 and 3. Since the relays are turned on according to the “two out of three” majority election scheme , then the power to the actuating element 7 is supplied through three parallel circuits 17, 18 and 19, formed by three combinations of sequential switching of relay contacts, as described above.

Таким образом, при выходе из строя одного любого функционального элемента 1, или 2, или 3, а также одного из трех одноименного логического элемента 4₁, или 5₂, или 6₃, например реле 8 или 9, или 10, или его контактов по обрыву или короткому замыканию устройство будет продолжать нормально функционировать и подавать сигнал на исполнительный элемент, что повышает отказоустойчивость устройства. Данное новое отличительное качество устройства достигнуто за счет включения логических элементов в контур мажоритарного избирания.Thus, in case of failure of any one functional element 1, or 2, or 3, as well as one of the three logical elements of the same name 4 ₁ , or 5 ₂ , or 6 ₃ , for example, relay 8 or 9, or 10, or its contacts by open or short circuit, the device will continue to function normally and provide a signal to the actuator, which increases the fault tolerance of the device. This new distinctive quality of the device is achieved through the inclusion of logic elements in the majority election circuit.

Claims

1. Majority redundancy device, consisting of three identical functional redundant elements connected in parallel and processing an incoming input signal associated with their outputs of the same three logical elements, each with one channel at the output, and an actuating element, characterized in that the input of each logical the element is connected to the output of the same functional redundant element, and each logic element is made in the form of a two-contact relay with galvanic isolation contact contacts, which are simultaneously closed when the relay is activated under the action of a signal at the output of the functional element of the same name, while these contacts are electrically connected according to a two-of-three majority election scheme, in which power is supplied to the actuator through three parallel electrical circuits formed by three combinations sequentially connecting the contacts of the logic elements so that in the first of these circuits the first contact of the first relay and the first contact are connected in series act of the second relay, in the second indicated circuit - the second contact of the first relay and the first contact of the third relay, and in the third specified circuit the second contact of the second relay and the second contact of the third relay are connected in series.

2. A majority redundancy device consisting of three identical functional redundant elements connected in parallel and processing an incoming input signal associated with their outputs of the same three logical elements, each with one channel at the output, and an executive element, characterized in that the input of each logical element is connected to the output of the same functional reserved element, and each logical element is made in the form of a two-transistor optocoupler with two pairs of ha lvanically isolated contacts that simultaneously close when the optocoupler is turned on by the signal at the output of the functional element of the same name, while these contacts are electrically connected according to a two-out-of-three majority circuit, in which power is supplied to the actuator through three parallel electrical circuits formed by three combinations of sequentially connecting the contacts of the logic elements so that in the first of these circuits the first contact of the first the optocoupler and the first contact of the second optocoupler, in the second indicated circuit the second contact of the first optocoupler and the first contact of the third optocoupler, and in the third specified circuit the second contact of the second optocoupler and the second contact of the third optocoupler are connected in series.