produits

Architectures d'E/S

Le système de confiance dispose de diagnostics internes complets qui révèlent les défaillances, qu'elles soient cachées ou manifestes. L'implémentation matérielle de nombreux mécanismes de tolérance et de détection des pannes permet une détection rapide des pannes pour la plupart des éléments du système. Les fonctions d'autotest utilisées pour diagnostiquer les pannes dans le reste du système sont conçues pour assurer une disponibilité optimale en termes de sécurité. Ces fonctions d'autotest peuvent nécessiter de courtes périodes de fonctionnement hors ligne pour introduire des conditions, par exemple des conditions d'alarme ou de test de panne, qui entraînent la mise hors ligne du point au sein de ce canal redondant. Dans les configurations TMR, cette période de fonctionnement hors ligne n'affecte que la capacité du système à réagir en cas de pannes multiples. Les processeurs, interfaces, interfaces d'extension et processeurs d'extension TMR de confiance sont tous naturellement redondants et ont été conçus pour résister à des pannes multiples et prendre en charge une configuration de réparation en ligne fixe dans les emplacements adjacents ; ils ne nécessitent donc que peu d'attention supplémentaire. Les modules d'entrée et de sortie prennent en charge plusieurs options d'architecture ; les effets de l'architecture choisie doivent être évalués en fonction des exigences spécifiques du système et de l'application. Les modules FTA et autres auxiliaires peuvent être utilisés dans le cadre d'un système de sécurité fiable, même s'ils n'incluent pas explicitement une marque TÜV.

E/S haute densité fiables. Les modules d'E/S haute densité fiables sont intrinsèquement triplés ou doublement redondants, avec des fonctions complètes d'autotest et de diagnostic. Les autotests sont coordonnés afin de permettre leur réalisation, même en cas de demande. La surveillance des écarts et des divergences améliore la vérification et la détection des pannes. Le processeur TMR teste les interfaces internes du contrôleur. L'ensemble de ces mesures permet d'obtenir des niveaux élevés de détection et de tolérance aux pannes, garantissant ainsi un fonctionnement sûr en cas de pannes multiples. Les temps de détection des pannes les plus défavorables sur la mémoire système pour les modules fiables sont les suivants :

Dans tous les cas, même en cas de défaut pendant cette période, le système continuera de réagir. En cas de défauts multiples, il peut être nécessaire de prévoir une seconde période de détection de défaut pendant le temps de réparation, notamment pour les applications de sécurité à forte demande ou à demande continue. Tous les modules d'E/S haute densité incluent des fonctions de surveillance de ligne ; il est recommandé d'activer ces fonctions pour les E/S de sécurité. Pour les E/S de déclenchement par mise sous tension, ces fonctions doivent être activées ; voir Configurations de déclenchement par mise sous tension, page 42.

Le système prend en charge une architecture de module d'E/S TMR haute densité unique, permettant d'arrêter le système ou de laisser les signaux correspondant à ce module revenir à leur état par défaut ou à leur configuration active-secours. La première configuration active-secours permet d'installer les modules actifs et de secours dans des emplacements adjacents ; la seconde utilise la configuration SmartSlot, où un seul emplacement de module peut servir de module de secours pour plusieurs modules actifs. Toutes les configurations sont utilisables pour des applications de sécurité ; le choix entre les configurations prenant en charge la réparation en ligne dépend des préférences de l'utilisateur final et du nombre de modules défectueux à réparer simultanément.