produits

Architectures d'E/S

Le système de confiance dispose de diagnostics internes complets qui révèlent les pannes cachées et manifestes. La mise en œuvre matérielle de nombreux mécanismes de tolérance aux pannes et de détection des pannes permet une détection rapide des pannes pour la plupart des éléments du système. Les installations d'autotest utilisées pour diagnostiquer les défauts dans le reste du système sont définies pour fournir une disponibilité de sécurité optimale. Ces installations d'auto-test peuvent nécessiter de courtes périodes de fonctionnement hors ligne pour introduire des conditions, c'est-à-dire des conditions d'alarme ou de test de défaut, qui aboutissent effectivement à la mise hors ligne du point dans ce canal redondant. Dans les configurations TMR, cette période de fonctionnement hors ligne affecte uniquement la capacité du système à répondre dans plusieurs conditions de panne. Les processeurs, interfaces, interfaces d'extension et processeurs d'extension TMR de confiance sont tous naturellement redondants et ont été conçus pour résister à de multiples pannes et prendre en charge une configuration de réparation en ligne fixe dans les emplacements adjacents et nécessitent donc peu de considération supplémentaire. Les modules d'entrée et de sortie prennent en charge un certain nombre d'options d'architecture ; les effets de l'architecture choisie doivent être évalués par rapport aux exigences spécifiques du système et de l'application. Les modules FTA et autres accessoires peuvent être utilisés dans le cadre d'un système de sécurité Trusted même s'ils n'incluent pas explicitement de marque TÜV.

E/S haute densité de confiance Les modules d'E/S haute densité de confiance sont soit intrinsèquement triples, soit doublement redondants avec des fonctionnalités complètes d'autotest et de diagnostic. Les autotests sont coordonnés de manière à pouvoir en réaliser une majorité, même en cas de demande lors de l'exécution des tests. La surveillance des divergences et des écarts améliore encore la vérification et la détection des défauts. Le processeur TMR teste les interfaces internes du contrôleur. Le point culminant de ces mesures aboutit à des niveaux élevés de détection et de tolérance des pannes, conduisant finalement à un fonctionnement sans faille en cas de plusieurs conditions de panne. Les pires délais de détection des pannes sur la mémoire système pour les Trusted Modules sont les suivants :

Dans tous les cas, même en présence d'un défaut pendant cette période, le système continuera à pouvoir réagir. Dans des conditions de défauts multiples, la deuxième période de détection des défauts dans le délai de réparation peut devoir être prise en compte lorsque le système est utilisé dans des applications de sécurité à demande élevée ou continue. Tous les modules d'E/S haute densité incluent des fonctionnalités de surveillance de ligne ; il est recommandé que ces fonctionnalités soient activées pour les E/S liées à la sécurité. Pour mettre sous tension pour déclencher les E/S, ces installations doivent être activées, voir Configurations de mise sous tension pour déclencher à la page 42.

Le système prend en charge une seule architecture de module d'E/S TMR haute densité, dans laquelle il est acceptable soit d'arrêter le système, soit de permettre aux signaux correspondant à ce module de passer soit à leur état par défaut, soit à leur configuration active-veille. La première configuration actif-veille consiste à accueillir les modules actifs et de rechange dans des emplacements adjacents ; la seconde consiste à utiliser la configuration SmartSlot dans laquelle une seule position de module peut être utilisée comme réserve pour un certain nombre de modules actifs. Toutes les configurations peuvent être utilisées pour des applications liées à la sécurité ; le choix entre les configurations prenant en charge la réparation en ligne en direct dépend des préférences de l'utilisateur final et du nombre de modules défectueux à réparer simultanément