produkter

I/O-arkitekturer

Det betrodda systemet har omfattande intern diagnostik som avslöjar både dolda och uppenbara fel. Hårdvaruimplementeringen av många av feltolerans- och feldetekteringsmekanismerna möjliggör snabb feldetektering för de flesta systemelement. Självtestfunktioner som används för att diagnostisera fel i resten av systemet är definierade för att ge optimal säkerhetstillgänglighet. Dessa självtestfunktioner kan kräva korta perioder av offline-drift för att introducera tillstånd, dvs. larm- eller feltestförhållanden, vilket i praktiken resulterar i att punkten är offline inom den redundanta kanalen. Inom TMR-konfigurationer påverkar denna period av offline-drift endast systemets förmåga att reagera under flera feltillstånd. De betrodda TMR-processorerna, gränssnitten, expandergränssnitten och expanderprocessorerna är alla naturligt redundanta och har utformats för att motstå flera fel och stödja en fast online-reparationskonfiguration i angränsande platser och kräver därför lite ytterligare övervägande. Ingångs- och utgångsmodulerna stöder ett antal arkitekturalternativ, effekterna av den valda arkitekturen bör utvärderas mot system- och applikationsspecifika krav. FTA-moduler och andra tillbehör är lämpliga att använda som en del av det betrodda säkerhetssystemet även om de kanske inte uttryckligen inkluderar ett TÜV-märke.

Tillförlitlig högdensitets-I/O De tillförlitliga högdensitets-I/O-modulerna är antingen inherent tredubblade eller dubbelredundanta med omfattande självtest- och diagnosfunktioner. Självtesterna koordineras så att en majoritet kan utföras, även när det finns behov under testernas utförande. Avvikelseövervakning förbättrar ytterligare verifiering och feldetektering. TMR-processorn testar interna gränssnitt till styrenheten. Kulminationen av dessa åtgärder resulterar i höga nivåer av feldetektering och tolerans, vilket i slutändan leder till felsäker drift om det finns flera feltillstånd. De värsta tänkbara feldetekteringstiderna i systemminnet för tillförlitliga moduler är följande:

I samtliga fall, även om ett fel uppstår under denna period, kommer systemet att fortsätta att kunna reagera. Vid flera feltillstånd kan den andra feldetekteringsperioden inom reparationstiden behöva beaktas där systemet används i säkerhetsapplikationer med hög eller kontinuerlig belastning. Alla högdensitets-I/O-moduler inkluderar linjeövervakningsfunktioner; det rekommenderas att dessa funktioner aktiveras för säkerhetsrelaterad I/O. För spänningssättning för utlösning av I/O ska dessa funktioner vara aktiverade, se Konfigurationer för spänningssättning för utlösning på sidan 42.

Systemet stöder en enda arkitektur för högdensitets-TMR I/O-moduler, där det är acceptabelt att antingen stoppa systemet eller tillåta signalerna som motsvarar den modulen att ändras till antingen deras standardläge eller till deras aktiva standby-konfiguration. Den första aktiva standby-konfigurationen är för att hantera de aktiva och reservmodulerna i intilliggande kortplatser; den andra är att använda SmartSlot-konfigurationen där en enda modulposition kan användas som reserv för ett antal aktiva moduler. Alla konfigurationer kan användas för säkerhetsrelaterade applikationer; valet mellan konfigurationerna som stöder live online-reparation beror på slutanvändarens preferenser och antalet felaktiga moduler som ska repareras samtidigt.