Устройство для контроля и реконфигурации дублированной системы

9 И ЬСТВУ ОРСКОМУ СВИ К вен,Ткаов и.Б. Основы Гоизддт, экс. оен иче ы ивпй ГОСУДАРСТВЕННОЕ ПАТЕНТВЕДОМСТВО СССР(56) Каган Б,Мплуатации ЭВс.153, рис. 5.19 аАвторское сМ 1390612, кл,Лихонинскного дублироваских функций нсистемы управл л, %18кое научно-производсе "Красная Заря"ко, Г.Н.Тимонькин, С.виненко; Г.К.Подзо Мкртумян ИМ, М.: Энервидетельство СССР6 06 Г 11/16, 1988,ий В.Г. Организация сдния при вычислении лоа микроЭВМ, - Прибоения, 1987, М 1. Н 5 6 06 Г 11/20, Н 05 К 10/00(54) УСТРОЙСТВО ДЛЯ КОНТРОЛЯ И РЕКОНФИГУРАЦИИ ДУБЛИРОВАННОЙ СИСТЕМЪ (57) Использование: в цифровых отказоустойчивых структурах. Сущность; устройство содержит: 2 резервируемых ЭВМ (1, 2), 1 мультиплексор (3), 2 регистра данных (4, 5), 1 выходной регистр (6), 3 схемы сравнения (7,8, 9),4 1-триггера(11. 12, 13, 14),2 Р-триггера (16, 17), 1 триггер повтора (15), 1 1 К- триггер (10). 1 дешифратор (18), 1 элемент И (19), 5 элементов ИЛИ (20, 21, 22. 23, 24), 1 одновибратор (25), 3 входа (34.1, 34.2, 32), 7 выходов (27, 28. 29, 30, 31, 32, 33). 34.1-1-7- 5-9-18-12-23-25-15-18-13-19-20-28, 34.2-2-7- 15-1-4-8-18-11-20, 32-10-2-3-6-31, 32-6, 32-15-33, 32-12-22-3, 32-13-23-15, 32-11, 32- 14-20, 32-17-29, 32-16-30, 7-18-21-16-30, 32- 2-9, 7-4, 7-24-10-1-8, 32-1 18-22, 23-24, 12-26. 13-19, 13-27. 4 ил;Изобретение относится к цифровой вычислительной технике и автоматике и может быть использовано при построении отказоустойчивых и гарантоспособных вычислительных систем, защищенных от ошибок, вызванных физическими дефектами и дефектами проектирования, на основе однотипных или разнообразных вычислителей, в которых возможно решение задач по нескольким альтернативным версиям.Целью изобретения является повышение надежности устройства.На Фиг. 1 представлена функциональная схема устройства для контроля и реконфигурации; на фиг.2 - таблица соответствия функционирования дешифратора; на фиг.3 - временная диаграмма работы устройства, Обозначения соответствуют фиг.1: на фиг, 4 - варианты реализации триггера повтора.На фиг, 1 использованы следующие обозначения: 1,2 - первая и вторая резервируемые ЭВМ, 3 - мультиплексор, 4, 5- первый и второй регистры данных, 6 - выходной регистр, 7-9 - первая- третья схемы сравнения, 10 -К-триггер, 11-14 - первый - четвертый 1-тригерры, 15 - триггер повтора, 16 - 17 - первый, второй Р-триггеры, 18 дешифратор, 19 - элемент И, 20-24 - первый-пятый элементы ИЛИ, 25 - одновибратор, 26 (27) - выходы "отказ первого (второго) канала" устройства, 28 - "отказ системы" устройства, 29 - выход "сбой системы контроля" устройства, 30 - выход "сбой канала" устройства, 31 - выход данных устройства, 32 - вход синхронизации устройства, 33 - выход "повторный счет" устройства, 34 - информационный вход устройства.Информационные входы устройства соединены с информационными входами 34,1 и 34.2 первой 1 и второй 2 резервируемых ЭВМ, выходы которых соединены с первым и вторым информационными входами мультиплексора, с первым и вторым входами первой схемы сравнения 7, первым входом второй 8 и первым входом третьей 9 схем сравнения, информационными входами первого 4 и второго 5 регистров данных соответственно, прямой выход первой схемы сравнения 7 соединен с первым входом дешифратора 18 и Р- входом триггера повтора 15, инверсный выход которого соединен с первым и входами логических условий резервируемых ЭВМ 1, 2 и Ч-входом дешифратора 18 и выходом ЗЗ "повторный счет" устройства, инверсный выход первого элемента сравнения 7 соединен с Ч-входами первого 4 и второго 5 регистров данных, выходы которых соединены соответственно со вторыми входами второй 8 и третьей 9 схем сравнения, выходы которых соедине ны с третьим и вторым входами дешифратора 18, первый выход которого соединен с 1 входом первого 1-триггера 11, выход которого соединен с первым входом первого элемента ИЛИ 20, выход которого является выходом 27 "Отказ системы" устройства, второй выход дешифратора 18 соединен с первым входом второго элемента ИЛИ 21.выход которого соединен с Р-входом первого Р-триггера 16, выход которого является выходом 30 "сбой канала" устройства, третий выход дешифратора 18 соединен с первым входом третьего элемента ИЛИ 22 и 1-входом второго 1-триггера 12, выход которого, являясь выходом 26 "отказ первого канала" устройства, соединен с первым входом элемента И 19, первым входом четвертого элемента ИЛИ 23 и вторым входом третьего элемента ИЛИ 22, выход которого соединен с адресным входом мультиплексора 3, выход которого соединен с информационным входом выходного регистра 6, выход которого соединен с выходом 31 данных устройства, четвертый выход дешифратора 18 соединен со вторым входом второго элемента ИЛИ 21, пятый выход дешифратора 18 соединен с 1-входом третьего 1-триггера 13, выход которого, являясь выходом 27 "отказ второго канала устройства соединен со вторым входом четвертого элемента ИЛИ 23 и вторым входом элемента И 19, выход которого соединен со вторым входом первого элемента ИЛИ 20, шестой выход дешифратора 18 соединен с третьим входом второго элемента ИЛИ 21, седьмой выход 40 дешифратора 18 соединен с 1-входом четвертого 1-триггера 14, выход которого соединен с третьим входом первого элемента ИЛИ 20, восьмой выход дешифратора 18 соединен с Р-входом второго Р-триггера 17, 45 выход которого соединен с выходом 29"сбой системы контроля" устройства, вход 32 синхронизации устройства соединен с синхровходами первого 4 и второго 5 регистров данных, выходного регистра 6, 1 К- триггера 10, первого 11 - четвертого 1" 1-триггеров, триггера повтора 15, первого 16, второго 17 Р-триггеров и входом прерываний первого 1 и второго 2 резервируемых блоков, выход четвертого элемента ИЛИ 23 соединен с первым входом пятого элемента ИЛИ 24, с управляющим Ч-входом триггера повтора 15, а через одновибратор 25 с установочным Б-входом триггера повтора 15, 1815641кроме того. инверсный выход первого элемента сравнения 7 соединен со вторым входом пятого элемента ИЛИ 24, выход которого соединен с 1,К-входами 1,К-триггера 10, выход которого соединен со вторыми входами логических условий первого 1 и второго 2 резервируемых блоков.Первая 1 и вторая 2 аппаратно идентичные резервируемые ЭВМ предназначены для вычисления задачи (пакета задач) с жестким периодом счета не более Т, либо для циклического решения одной задачи с постоянно обновляемыми данными (например. в системе управления летательного аппарата. Кроме того, задача (задачи) вычисляются по двум различным программным версиям (по две в каждом канале, всего четыре), причем время решения по каждой из них время счета составляет не более Т. Если за это время задача не решена, то такая ситуация равноценна отказу. Кроме того, решаются также задачи, которые допускают повторный счет (временная избыточность - один цикл). Необходимость повторного счета определяет единичный потенциал, подаваемый на первый вход логических условий каналов,По какой из программных версий будет осуществляться решение задачи определяет сигнал подаваемый на второй вход логических условий каналов, "толчком" к началу решения очередной задачи служит сигнал, подаваемый на вход ожидания события блока(назовем этот вход - входом прерывания).Такая резервируемая ЭВМ может быть реализована, например, с использованием микропроцессора К 1816 ВЕ 48. В этом случае входы логических условий могут быть реализованы программно-аппаратным способом с использованием программы 1 ЙРКЕУ. Вход прерываний может быть организован с помощью подпрограммы ожидания НОИТ. Т.о, решение очередной задачи заканчивается выставлением данных на шину данных и сохранением их до конца решения очередной задачи (что может быть реализовано и с использованием внешних регистров, например, МБР К 589 ИР 12, а затем переходом к подпрограмме ожидания НОИТ. Решение очередной задачи начинается с приходом соответствующего сигнала на соответствующий разряд порта ввода микропроцеСсора (например, может использоваться в программе НОИТ инверсный сигнал входа 2 син хро низа ции устройства), и ричем длительность этого сигнала должна быть больше, чем время одного цикла обработки 5 10 15 20 25 30 35 40 45 50 55 программы НОИТ, При тактовой частоте 6 МГц это 15 мкс. После того, как программа "словила" разрешение на начало решения задачи, начинается отработка программы, которая в ходе своей реализации опрашивает два других разряда входного порта, которые представляют собой первый и второй входы логических условий. определяя повторить ли решение задачи (либо решение со стороны старыми данными) или перейти к очередной задаче (либо ввести новые данные),Мультиплексор 3 предназначен для коммутации на вход выходного регистра данных с выхода того или иного каналов,Регистры данных 4 и 5, а также схем сравнения 8 и 9 предназначены для сравнения данных, полученных в первом канале при первом и втором просчете задачи и аналогично во втором канале соответственно.Первая схема сравнения 7 предназначена для межканального сравнения данных.Триггер повтора 15 предназначен для работы в режиме записи (Ч = О) с целью фиксации несовпадения данных на выходах каналов после первого просчета и организации повторного просчета этой же задачи в случае, когда ни один из каналов не был признан отказавшим. Если же один из каналов признается отказавшим, то триггер с помощью четвертого элемента ИЛИ 23 и одновибратора 25 переводится в счетный режим (Ч = 11), игнорируя данные на своем Р-входе, Пример реализации такого триггера изображен на фиг.4.1,К-триггер 10 предназначен для управления вторым входом логических условийрезервируемых блоков, который определяет, по какой программной версии будет решаться задача. Первый 11 - четвертый 14 1-триггеры и первый 16, второй 17 Р-триггерыредааэначены для фиксации того или иного состояния устройства в зависимости от результатов сравнения данных.Дешифратор 18 по результатам сравнения данных после второго просчета задачи определяет состояние устройства.Элементы И 19 и ИЛИ 20 предназначены для определения такого состояния устройства, когда данные, записанные в выходном регистре 6, не являются достоверными.Элемент ИЛИ 21 предназначен для объединения сигналов, свидетельствующими о том, что произошел сбой в одном из каналов.5 10 15 20 25 30 35 40 45 50 55 Элемент ИЛИ 22 предназначен для управления мультиплексором 3.Элемент ИЛИ 23 и одновибратор 24 предназначены для организации управления счетчиком 15.Устройство работает следующим образом,Считаем, что первая ЭВМ 1 может решать (просчитывать) каждую задачу по двум программным версиям А и Б, а второй канал - В и Г, причем, если на первых входах логических условий находится нулевой потенциал, то в работе версии А и В соответственно, если единица, то В и Г. Толчком к началу решения очередной задачи после окончания решения предыдущей служит импульс, поступающий на входы прерывания каналов, причем в зависимости от того, какой потенциал на втором входе логических условий микроЭВМ, может быть начато решение очередной задачи (если на этом входе нуль) либо повторное решение предыдущей (если на этом входе единица),Итак, в исходном состоянии во всех регистрах записаны нули, на выходах шин данных блоков 1, 2 (каналов) - нули, все триггеры обнулены, триггер повтора 15 находится в единичном состоянии, По первому тактовому импульсу, поступившему со входа 32 синхронизации устройства, в триггер повтора 15 запишется единица, не изменив его состояния, а первая 1 и вторая 2 ЭВМ начнут решение первой задачи. К моменту прихода очередного тактового импульса (см.фиг,З) оба канала заканчивают решение задачи и выставляют на своих шинах данныхданные, причем это необязательно происходит одновременно (см.фиг.З), поэтому возможно и несовпадение данных на выходах каналов, о чем будет говорить нулевой потенциал на прямом выходе первой схемы сравнения 7. Однако, этот нуль всегда исчезнет в случае безошибочного решения задачи к моменту прихода очередного тактового импульса, Если это так. то по заднему фронту этого импульса данные с шины данных первого канала запишутся в выходной регистр 6, поступая тем самым на выход 31 данных устройства, На А-вход мультиплексора 3 при этом поступает нулевой потенциал, на всех выходах дешифратора 18 нули, т,к. на его Ч-входе - нуль (см.фиг,2), а триггер 12 также в нуле.Этот же импульс. поступив на входы прерывания обоих каналов, инициировал решение очередной задачи по тем же А и В программным версиям. ведь на первых входах логических условий - нуль (триггер 15 по-прежнему в единице), поступающий с инверсного выхода триггера повтора 15, а на вторых входах - триггер 10 свое состояние не изменял.Однако, если к приходу очередного тактового импульса на прямом выходе первой схемы сравнения 7 единица не появилась, это значит, что в одном из каналов (или в обоих) что-то произошло. В этом случае единица появляется на инверсном выходе первой схемы, разрешая запись в регистры 4, 5 данных, что и происходит по заднему фронту этого же импульса. Кроме того, эта единица через элемент ИЛИ 24 поступает на 1,К-входы триггера 10, и последний по заднему фронту этого же импульса переходит в нулевое состояние (см.фиг.З). Этот же импульс запишет в триггер повтора 15 нуль, поступающий на его 0-вход. Кроме того, этот же импульс вновь инициирует решение задачи обоими блоками 1, 2. Данным, которые записаны в регистр 6, не доверяют, так как на выходе 33 "повторный счет" находится единица.Однако, теперь на первый вход логических условий поступает единица, а на второй - нуль, значит оба блока начнут повторное решение задачи, но уже по другим версиям (Б и Г). Если повторное решение задачи дало положительный результат, то к моменту прихода очередного импульса на прямом выходе первой схемы сравнения 7 вновь будет единица (см,фиг.З), которая;- вновь запишет данные, но уже достоверные в выходной регистр 6, о достоверности этих данных свидетельствует отсутствие единицы на выходе 33 "повторный счет" устройства,- в триггер повтора 15 опять запишет единицу,- произведет изменение состояния одного из триггеров 11-14, 16, 17 в зависимости от состояния устройства.Рассмотрим последний пункт подробнее, Итак, с момента начала повторного счета на Ч-вход дешифратора 18 поступает единичный потенциал, разрешая работу последнего(фиг,2). К моменту прихода очередного (4-го, фиг.З) импульса на входах дешифратора будет вполне определенная комбинация сигналов. Так, элемент сравнения 7 дает результат межканального сравнения данных при первом и втором просчетах, схемы же 8 и 9 выдают результат сравнения данных, полученных на выходе одного и того же канала, после второго просчета, Возможны восемь различных комбинаций.10 15 Первая. Все три элемента сравнения дали отрицательный результат. Невозможно определить достоверна ли информация хотя бы в одном из каналов. Такая ситуация расценивается как отказ системы, Очередной тактовый импульс переводит триггер 11 в едийичное состояние, на его вход поступает единица с выхода - 0 дешифратора. Единица с выхода триггера 11, пройдя через элемент ИЛИ 20, информирует пользователя об отказе системы, поступая на выход 28.Вторая. Данные ни в одном из каналов между собой не совпали, но второй счет дал положительный результат при межканальном сравнении. Значит при первом просчете в обоих каналах возникнет сбой. Единица, появившаяся на выходе 1, дешифратора 18, поступит через элемент ИЛИ 21 на Р-вход триггера 16, выход которого является выходом 30 "сбой канала" устройства, - и нформи руется пол ьзовател ь. Однако, этот сигнал может быть вновь снят, если при решении очередной задачи такой ситуации не возникнет, тогда на выходе 1 дешифратора вновь будет нуль к моменту прихода синхроимпульса.Третья. Межканальное сравнение оба раза дало отрицательный результат, кроме того, первый канал выдал данные, которые не совпали между собой. Следовательно отказал первый канал 1, что и явилось причиной несовпадения данных при первом и втором просчетах. В этом случае к моменту прихода очередного импульса (импульс 6. фиг.З) единица с выхода 2 дешифратора 18, пройдя через элемент ИЛИ 22. поступает на адресный вход мультиплексора 3, коммутируя тем самым на информационный вход выходного регистра 6 данные с выхода второго канала 2. По очередному импульсу эти данные запишутся в регистр 6. Этот же импульс переведет в единичное состояние триггер 12, на 1-вход которого поступает единица с выхода 2 дешифратора. Единица с выхода триггера 12 поступает на выход 26 "отказ первого канала" устройства, информируя пользователя. Кроме того, эта единица постоянно будет поступать на адресный вход мультиплексора 3 через элемент ИЛИ 22, так как данные теперь могут поступать только со второго канала. Единица с выхода элемента ИЛИ 23 поступает на вход одновибратора, который вырабатывает (через время т после очередного синхроимпульса, определяемого временами задержки триггера 12 и элемента ИЛИ 23) одиночный импульс, который устанавливает триггер повтора 15 в единицу (ведь он остался после синхроимпульса в нуле - второй просчет также не дал совпадения данных на входе элемента сравнения 7) (см.фиг,З), Кроме того, эта же единица с выхода ИЛИ 23 поступает на У-входтриггера повтора 15, переводя его иэ режима записи в режим счета, а пройдя через элемент ИЛИ 24, поступает на 1,К-входы триггера 10, который теперь будет изменять свое состояние на противоположное по каждому синхроимпульсу (как и триггер повтора 15, ведь теперь для выдачи достоверных данныхнеобходимо каждую задачу просчитыватьдва раза по двум различным программным версиям, что теперь и будут обеспечиватьно совпали (на Ч-входе дешифратора нуль), состояние двух других элементов сравнения безразлично (Х), на всех выходах дешифратора 18 нулевые потенциалы, если до этого не был признан отказавшим первый канал (триггер 12 в нуле), то на адресный вход мультиплексора 3 поступает нулевой потенциал,Оценим технико-экономическое преимущество предлагаемого изобретения по отношению к прототипу.Выражение для вероятности необнаружения отказа устройства-прототипа Р имеет вид: где Ра - вероятность необнаружения встроенными средствами контроля отказа блока за время Т, Ра.п. - вероятность проявления ошибки в программном обеспечении за это же время Т.Заметим, что ошибки в программном обеспечении (дефекты проектирования (ДП) можно разделить на относительные и абсолютные (ОДП и АДП), Первые из них можно вывить, сравнивая результаты решения одной задачи по различным программным версиям, что и делается в предлагаемом изобретении, Вторые же таким способом выявить нельзя.Итак, вероятность необнаружения отказа в предлагаемом изобретении определяется выражением; где А - число АДП, проявившихся за время Т. О - число ОДП, проявившихся за время Т.Вероятность необнаруживаемого отказа аппаратных средств считаем равной нулю, так как в отличие от прототипа, где этим занимаются встроенные средства контроля, в предлагаемом устройстве реализуется поразрядное сравнивание данных. Т,очтобы аппаратныйдефект остался не выявленным, он должен одинаково и одновременно проявиться в обоих блоках, которые при этом решают задачу по различным программным версиям. Вероятность такого события ничтожно мала,Кроме того, известно, что доля ОДГ сосгавляет порядка 70",4 от общего количества ДП, которое примерно в два раза превышает количество физических отказов. Тогда дОпустим, Ра = 10, следователь 30 35 40 50 55 Р = 10 + 2 10 (0,7 - 0,3) = 3 10 Рн= 2 10 0.3=0,6 10 Следовательно, вероятность "просачивания" ошибочных данных на выход предлагаемого устройства пять раэ меньше, чем у устройства-прототипа ЛР = Р/Рп =3/0,6 = 5. Таким образом, техническое преимущество предлагаемого изобретения по отношению к прототипу состоит в увеличении надежности путем введения поразРядного сравнения данных, полученных при решении одной и той же задачи по различным программным версиям,Достоверность достижения цели подтверждается приведенными выше расчетами,Формула изобретения Устройство для контроля и реконфигурации дублированной системы, содержащее первую и вторую резервируемые ЭВМ, мультиплексор, первый элемент ИЛ И. и ричем первый и второй информационные входы устройства соединены с информационными входами соответственно первой и второй резервируемых ЭВМ, выходы шины данных которых соединены с первым и вторым информационными входами мультиплексора, о т л и ч а ю щ е е с я тем, что, с целью повышения надежности устройства, оно содержит первый и второй регистры данных, выходной регистр, первую - третью схемы сравнения, 1 К-триггер, первый - четвертый 1-триггеры, триггер повтора, первый и второй Р-триггеры, элемент И, дешифратор, второй-пятый элементы ИЛИ и одновибратор, выходы шин данных первой и второй резервируемых ЭВМ соединены с первым и вторым входами соответственно первой схемы сравнения, первыми входами второй и третьей схем сравнения соответственно, а также с информационными входами первого и второго регистров данных соответственно, прямой выход первой схемы сравнения соединен с первым информационным входом дешифратора и 0-входом триггера повтора, инверсный выход которого соединен с первыми входами логических условий резервируемых ЭВМ, Увходом дешифратора и выходом "Повторный счет" устройства, инверсный выход первой схемы сравнения соединен с Ч-входами первого и второго регистров данных, выходы которых соединены соответственно с вторы ми входами второй и третьей схем сравнения, выходы которых соединены с третьим и вторым информационными входами дешифратора, первый выход которого соединен с 1-входом первого 1-триггера прямой выход 10 которого соединен с первым. входом первого элемента ИЛИ, выход которого является выходом устройства ".Отказ системы", второй выход дешифратора соединен с первым входом второго элемента ИЛИ, выход кото рого соединен с Д-входом первого 0-триггера, выход которого является выходом устройства "Сбой резервируемой ЭВМ", третий выход дешифратора соединен с первым входом третьего элемент ИЛИ и 1-входом 20 второго 1-триггера, выход которого является выходом устройства "Отказ первой.резервируемой ЭВМ" и соединен с первым входом элемента И, первым входом четвертого элемента ИЛИ и вторым входом третьего 25 элемента ИЛИ, выход которого соединен с адресным входом мультиплексора, связанного выходом с информационным входом выходного регистра, выход которого соединен с выходом данных устройства, четвер тый выход дешифратора соединен с вторым входом второго элемента ИЛИ, пятый выход дешифратора соединен с 1-входом третьего 1-триггера, выход которого является выходом устройства "Отказ второй резервируемой ЭВМ" и соединен с вторым входом четвертого элемента ИЛИ и вторым входом элемента И, выход которого соединен с вторым входом первого элемента ИЛИ, шестой выход дешифратора соединен с третьим входом второго элемента ИЛИ, седьмой выход дешифратора соединен с 1-входом четвертого 1-триггера выход которого соединен с третьим входом первого элемен-та ИЛИ, восьмой выход дешифраторэ соединен с Д-входом второго О-триггера, выхед которого соединен с выходом устройства "Сбой устройства", вход синхронизации устройства соединен с синхровходами первого и второго регистров данных, выходного регистра, 1 К-триггера, первого-четвертого 1- триггеров, триггера повтора и первого и второго 0-триггеров и входом прерывания первой и второй резервируемых ЭВМ, выход четвертого элемента ИЛИ соединен с первым входом пятого элемента ИЛИ и с Ч-входом триггера повтора, а через одно- вибратор - с асинхронным 3-входом триггера повтора, инверсный выход первой схемы сравнения соединен с вторым входом пятого элемента ИЛИ, выход которого соединен с 1- и К-входами 1 К-триггера, связанного выходом с вторыми входами логических условий первой и второй резервируемых ЭВМ.1815641 Корректор Л,Пилипенк ал едакт Заказ 1636 Тираж Подписное 8 НИИПИ Государственного комитета по изобретениям и открытиям при ГКНТ СССР 113035, Москва, Ж, Раушская наб 4/5 Производственно-издательский комбинат "Патент", г. Ужгород, ул,Гагарина, 1011 СоставительТехред М.Мор