Принципы построения безопасных схем внутреннего контроля

Обмен информацией между отдельными узлами ЭВМ, входящих в состав МИУС, осуществляется через шины внутреннего интерфейса. Поэтому при контроле совпадения сигналов на этих шинах с заранее известными тестовыми значениями можно утверждать, что ЭВМ в процессе выполнения рабочих и тестовых алгоритмов функционирует без отказов. Таким образом можно контролировать исправность внутренних функциональных узлов ЭВМ. Устройство контроля и канал обработки информации выполняют в виде конструктивно законченного безопасного модуля.

Сравнение результатов обработки информации может производиться аппаратно или программно. При аппаратном сравнении информация, циркулирующая по внутренним шинам или хранящаяся в памяти ЭВМ, кодируется помехоустойчивыми кодами (равновесными, циклическими и др.). Безопасные схемы внутреннего контроля по тактам или в определенные моменты времени проверяют корректность кодированной информации.

В большинстве случаев устройство внутреннего контроля не определяет, какой узел отказал, а просто фиксирует отклонение в работе канала обработки информации. Первоначально, для того чтобы отличить сбой от отказа, устройство внутреннего контроля осуществляет перезапуск искаженного участка программы. При повторном обнаружении неравнозначности кодовых векторов на шине (в памяти) вычислительного канала осуществляется перевод ЭВМ в безопасное (выключенное) состояние. Причем отключение должно осуществляться необратимо даже в случае нового отказа в системе.

При выполнении рабочих алгоритмов МИУС некоторые элементы вычислительного канала могут использоваться с малой интенсивностью (например, некоторые области ОЗУ и ПЗУ). Поэтому для обеспечения большей глубины контроля и исключения возможности накопления отказов необходимо предусмотреть их циклическую тестовую проверку. Одним из видов такой проверки в паузах между эксплуатационными событиями является использование имитационных программ для тестового моделирования поездной обстановки на станции или перегоне. Таким образом, длительность периода контроля элементов вычислительного канала определяется рабочими и тестовыми алгоритмами системы.

Для контроля кодов с обнаружением ошибок используют самопроверяемые тестеры (СПТ). Они представляют собой кодовые детекторы, задача которых состоит в том, чтобы отличить кодовые комбинации, принадлежащие рассматриваемому коду, от остальных возможных комбинаций. СПТ реализуются в виде устройства с n входами и двумя выходами z₁ и z₂.

Тестер обладает следующими свойствами:

· контролирует корректность входного вектора, т. е. выходы z₁ и z₂ принимают значения 1,0 или 0,1, если на входе тестера присутствует вектор рассматриваемого кода, и значения 0,0 или 1,1 в противном случае;

· выполняет самопроверку,
т. е. для любой одиночной неисправности тестера существует входной вектор кода, на котором выходы z₁ и z₂ принимают значения 0,0 или 1,1.

На рисунке 2.11 показана схема тестера для четырехразрядного равновесного кода «2 из 4» (2/4-СПТ). На входы x₁, x₂, x₃ и x₄ подаются четырехразрядные двоичные коды. В таблице 2.1 представлено преобразование кода самопроверяемым тестером.

Правильным считается код, вес которого равен двум (две единицы в коде). Свойство самопроверки заключается в том, что для любой одиночной неисправности элементов тестера можно найти такую кодовую комбинацию, которая установит выходы тестера в состояние 0,0 или 1,1. Например, отказ «1®0» на выходе элемента DD1 обнаруживается кодом «0101», т. к. на выходе установится значение 0,0.

Тестеры характеризуются двумя оценками: сложностью, которая равна суммарному числу входов логических элементов, принадлежащих структуре тестера, и длиной проверяющего теста, которая равна числу слов кода, подача которых на вход тестера обеспечивает обнаружение всех одиночных неисправностей. Для тестера 2/4-СПТ проверяющий тест равен T={0101, 0011, 1100}.

Таблица 2.1

Четырехразрядный равновесный код	Выходы	Результат контроля
x1	x2	x3	x4	z1	z2
						Ошибка, код с меньшим весом
						Ошибка, код с меньшим весом
						Ошибка, код с меньшим весом
						Верный код
						Ошибка, код с меньшим весом
						Верный код
						Верный код
						Ошибка, код с большим весом
						Ошибка, код с меньшим весом
						Верный код
						Верный код
						Ошибка, код с большим весом
						Верный код
						Ошибка, код с большим весом
						Ошибка, код с большим весом
						Ошибка, код с большим весом

Виды отказов, обнаруживаемых проверяющим тестом, приведены в таблице 2.2.

Таблица 2.2

Неисправности	Проверяющий код	Значение при исправной работе	Значение при наличии неисправности
вид	элемент
«1®0»	DD1
«0®1»	DD1
«1®0»	DD2
«0®1»	DD2
«1®0»	DD3
«0®1»	DD3
«1®0»	DD4
«0®1»	DD4
«1®0»	DD5
«0®1»	DD5
«1®0»	DD6
«0®1»	DD6

Самопроверяемые тестеры можно использовать для контроля правильности работы как одноканальных структур, так и многоканальных.

2.2.2 Реализация безопасных схем внутреннего контроля
в одноканальной структуре

В одноканальной структуре невозможно обеспечить передачу по шинам только информации, кодированной равновесным кодом. Поэтому контролирующее устройство должно подключаться не непосредственно к шинам микропроцессора, а к буферному элементу (регистру или порту вывода). Микропроцессор в определенные такты времени (контрольные точки) записывает кодированную информацию в буфер, а устройство контроля проверяет корректность кода.

Для исключения накопления ошибок за время диагностирования t_д должно быть обеспечено поступление контрольной информации (проверяющего теста), достаточной для проверки исправности как вычислительного канала, так и устройства контроля. Т. е. коды должны быть различны и проверять все возможные одиночные отказы в устройстве контроля. Время t_д и количество контролируемых разрядов выбираются исходя из требуемых показателей безопасности системы.

На рисунке 2.12 приведена функциональная схема восьмиразрядного устройства контроля вычислительного канала.

При правильной работе вычислительного канала на выходах самопроверяемых тестеров 2/4-СПТ₁, 2/4-СПТ₂ и 2/4-СПТ₃ присутствует статический парафазный сигнал (01 или 10). Этот сигнал поступает на входы 2/4-СПТ₄. На другие входы 2/4-СПТ₄ поступают парафазные импульсы от парафазного тактового генератора (ПТГ). При этом на выходе 2/4-СПТ₄ формируется импульсный парафазный сигнал. Импульсный парафазный сигнал через парафазные триггеры ПТ₁ и ПТ₂ поступает на самопроверяемую схему включения реле ССВР, которая поддерживает реле Р во включенном состоянии. Своими контактами реле Р коммутирует цепи питания микропроцессорной системы, поддерживая ее в рабочем состоянии.

При появлении запрещенной кодовой комбинации в контрольном регистре вычислительного канала на выходах контрольных схем 2/4-СПТ появляется непарафазный сигнал, который регистрируется фиксирующим элементом (ФЭ). Для того, чтобы отличать сбои и отказы аппаратуры, ФЭ содержит два последовательно соединенных парафазных триггера ПТ₁ и ПТ₂.

При первоначальном нарушении парафазности на выходах контрольных схем оба триггера блокируются, и в микропроцессор поступает запрос прерывания. По этому сигналу в микропроцессоре осуществляется возврат в программе на несколько шагов назад (рестарт), формируется сигнал восстановления ПТ₁, и искаженный участок программы повторяется вновь. Время формирования сигнала восстановления должно быть меньше времени отпускания реле Р, чтобы реле не успело отключить питание системы.

Рисунок 2.12 – Функциональная схема восьмиразрядного
устройства контроля вычислительного канала

Если снова фиксируется нарушение выполнения программы, то ПТ₁ окончательно блокируется, на вход ССВР поступает не парафазный сигнал, и реле Р своими контактами выключает питание микропроцессора модуля, т. е. обеспечивается защитное состояние МИУС. При отсутствии повторного сбоя, т. е. при полном прохождении первоначально искаженного программного блока, микропроцессор формирует сигнал восстановления ПТ₂.

Парафазный триггер (ПТ) представляет собой устройство (рисунок 2.13), имеющее два парафазных информационных входа T⁰ и T¹ и два выхода Q⁰ и Q¹.

Парафазный триггер обладает следующими свойствами:

· если на вход парафазного триггера поступает парафазный сигнал и сама схема ПТ исправна, то на его выходе также присутствует парафазный сигнал;

· если на вход ПТ в любом такте его работы поступают одинаковые сигналы, то схема ПТ блокируется в защитном состоянии, и в том же такте на выходе устанавливаются одинаковые сигналы (0,0 или 1,1), которые сохраняются во всех последующих тактах работы независимо от состояния входов;

·
при возникновении в схеме ПТ одиночных неисправностей схема также блокируется в защитном состоянии;

Рисунок 2.13 – Парафазный триггер

· вывод схемы из защитного состояния возможен только по цепям установки (SET или RST).

Парафазный триггер состоит из четырех бистабильных ячеек памяти Y1, Y2, Y3 и Y4. При кратковременной подаче логического нуля на вход RST и наличии сигналов T¹T⁰ =01 схема переходит в устойчивое состояние 0110 (состояние «0» триггера). При подаче логического нуля на вход SET и наличии сигналов T¹T⁰ =01 схема переходит в устойчивое состояние 1001 (состояние «1» триггера). Полный цикл работы триггера происходит при поступлении входной последовательности сигналов T¹T⁰ вида 01,10,01,10,01. При этом схема последовательно проходит все свои состояния 0110 ® 1010 ® 1001 ® 0101 ® 0110.

Примеры реализации ССВР будут рассмотрены в п. 4.2 «Устройства включения исполнительных реле».