Produkte

E/A-Architekturen

Das Trusted System verfügt über umfassende interne Diagnosefunktionen, die sowohl versteckte als auch offensichtliche Fehler aufdecken. Die Hardwareimplementierung vieler Fehlertoleranz- und Fehlererkennungsmechanismen ermöglicht eine schnelle Fehlererkennung für die meisten Systemelemente. Selbsttestfunktionen zur Diagnose von Fehlern im restlichen System sind auf optimale Sicherheitsverfügbarkeit ausgelegt. Diese Selbsttestfunktionen können kurze Offline-Phasen erfordern, um Bedingungen wie Alarm- oder Fehlertestbedingungen zu erzeugen, die effektiv dazu führen, dass der Punkt innerhalb dieses redundanten Kanals offline ist. In TMR-Konfigurationen beeinträchtigt diese Offline-Phase lediglich die Reaktionsfähigkeit des Systems unter Mehrfachfehlerbedingungen. Die Trusted TMR-Prozessoren, Schnittstellen, Expander-Schnittstellen und Expander-Prozessoren sind alle von Natur aus redundant und für Mehrfachfehler ausgelegt. Sie unterstützen eine feste Online-Reparaturkonfiguration in benachbarten Steckplätzen und erfordern daher kaum weitere Überlegungen. Die Eingangs- und Ausgangsmodule unterstützen verschiedene Architekturoptionen. Die Auswirkungen der gewählten Architektur sollten anhand der system- und anwendungsspezifischen Anforderungen bewertet werden. FTA-Module und andere Zusatzkomponenten sind für den Einsatz im Trusted Safety System geeignet, auch wenn sie möglicherweise kein TÜV-Zeichen tragen.

Vertrauenswürdige High-Density-E/A-Module sind entweder dreifach oder doppelt redundant und verfügen über umfassende Selbsttest- und Diagnosefunktionen. Die Selbsttests sind so koordiniert, dass ein Großteil der Tests auch bei Bedarf abgeschlossen werden kann. Diskrepanz- und Abweichungsüberwachung verbessern die Verifizierung und Fehlererkennung zusätzlich. Der TMR-Prozessor testet die internen Schnittstellen zum Controller. Diese Maßnahmen führen zu einer hohen Fehlererkennung und -toleranz und gewährleisten so einen ausfallsicheren Betrieb bei mehreren Fehlerzuständen. Die Worst-Case-Fehlererkennungszeiten im Systemspeicher für Trusted Module betragen:

In jedem Fall ist das System auch bei Auftreten eines Fehlers während dieser Zeit weiterhin reaktionsfähig. Bei mehreren Fehlerzuständen muss die zweite Fehlererkennungsphase innerhalb der Reparaturzeit berücksichtigt werden, wenn das System in Sicherheitsanwendungen mit hohem oder kontinuierlichem Bedarf eingesetzt wird. Alle High-Density-E/A-Module verfügen über Leitungsüberwachungsfunktionen. Es wird empfohlen, diese Funktionen für sicherheitsrelevante E/A zu aktivieren. Für Energize-to-Trial-E/A müssen diese Funktionen aktiviert werden (siehe Energize-to-Trial-Konfigurationen auf Seite 42).

Das System unterstützt eine einzelne High-Density-TMR-E/A-Modularchitektur. Dabei ist es möglich, das System entweder zu stoppen oder die entsprechenden Signale in den Standardzustand oder in die Aktiv-Standby-Konfiguration zu versetzen. Die erste Aktiv-Standby-Konfiguration ermöglicht die Unterbringung von aktiven und Ersatzmodulen in benachbarten Steckplätzen. Die zweite nutzt die SmartSlot-Konfiguration, bei der ein einzelner Modulplatz als Ersatz für mehrere aktive Module genutzt werden kann. Alle Konfigurationen eignen sich für sicherheitsrelevante Anwendungen. Die Wahl zwischen den Konfigurationen mit Live-Online-Reparatur hängt von den Präferenzen des Endbenutzers und der Anzahl der gleichzeitig zu reparierenden fehlerhaften Module ab.