北邮信息安全专业容错计算技术第5章

第五章 硬件冗余设计技术硬件冗余设计技术第一节硬件表决系统第二节待命贮藏系统第三节混合冗余系统第四节硬件二模冗余系统第五节可重构的五模系统第六节硬件冗余构造综述第一节硬件表决系统简单的表决系统(TMR)NMR系统分段表决系统三模–单模自净系统典型表决电路第一节硬件表决系统三模表决系统〔TMR〕TripleModularRedundancy 三个模块同时执行一样的操作，以多数一样的输出作为该表决系统的正确输出。通常称为三中取二“少数服从多数〞第一节硬件表决系统TMR表决系统第一节硬件表决系统TMR表决电路第一节硬件表决系统TMR可靠度设三个模块的可靠度相等，为R(t)。忽略表决电路的失效。第一节硬件表决系统TMR的MTBF第一节硬件表决系统10.3680.3060.6930.50.50.50.6070.6570.10.9050.9750.060.9420.9900.0180.9820.999与的比较第一节硬件表决系统TMR的特点Rlt00.51.0ln20.0TMRSimplex第一节硬件表决系统TMR的特点义务时间越短可靠度的提高越明显义务时间过长，RTMR反而不如单模的R(t)高〔MTBF〕TMR<〔MTBF〕单模块因此，TMR的主要优势在于义务时间不是很长的情况下。例如：弹载计算机TMRwithImperfectVoterConditiononthevoterreliabilityRv>1/[3R–2R2]V231VoterTMRbetterRvR0.51.00.8850.950.750.560.94SimplexbetterConditiononthemodulereliability3–9–8/Rv43+9–8/Rv4<R<Example:Rv=0.95requiresthat0.56<R<0.94RTMR=Rv(3R2–2R3)>R?第一节硬件表决系统简单的表决系统(TMR)NMR系统分段表决系统三模–单模自净系统典型表决电路第一节硬件表决系统NMR系统N个模块的表决系统可以纠正n个模块的错误，其中:n=(N-1)/2第一节硬件表决系统NMR系统可靠度第一节硬件表决系统简单的表决系统(TMR)NMR系统分段表决系统三模–单模自净系统典型表决电路第一节硬件表决系统分段表决系统第一节硬件表决系统Saturn-V七段TMR系统选用三表决器：为了防止单表决器构成的缺点单点第一节硬件表决系统研讨一下：当发生永久性缺点时，TMR的可靠性如何？第一节硬件表决系统TMR表决系统第一节硬件表决系统三模-单模自净系统第一节硬件表决系统任务原理当无缺点出现时系统处于初始形状，此时三个触发器：T1=T2=T3=1;计数器1=计数器2=计数器3=0；控制触发器：C1=C2=C3=1,那么控制门G1,G2,G3处于翻开形状第一节硬件表决系统第一节硬件表决系统任务原理出现间歇性缺点或偶尔性缺点假设M1出现此类缺点，继续时间约为两个时钟时间。,那么：比较器X1=1;控制触发器C1=0;控制门G1“关〞形状，那么：M1输出被封锁；V接纳M2,M3最后输出正确结果F。门A1“开〞形状，那么第一脉冲使C1＝1，计数器1＋1＝1。G1“开〞形状，f1送到V。，那么：M1再被封锁，F由M2,M3决议，直至计数器1＋1＝2，那么f1=F第一节硬件表决系统第一节硬件表决系统任务原理出现永久性缺点假设M1出现永久性缺点M1被封锁计数器1计数，直到记满溢出，使C1=0,T1=0,A1“关〞；C2=0,T2=0,A2“关〞,封锁M2;仅M3任务。第一节硬件表决系统第一节硬件表决系统三模-单模自净系统的可靠度第一节硬件表决系统三模-单模自净系统的可靠度第一节硬件表决系统简单的表决系统(TMR)NMR系统分段表决系统三模–单模自净系统典型表决电路第一节硬件表决系统一个典型的表决电路第一节硬件表决系统三种任务方式表决方式直接传送方式发散任务方式第一节硬件表决系统第一节硬件表决系统三种任务方式表决方式直接传送方式发散任务方式第一节硬件表决系统第一节硬件表决系统三种任务方式表决方式直接传送方式发散任务方式第一节硬件表决系统研讨一下：表决电路的同步问题？第三章 硬件冗余设计技术第一节硬件表决系统第二节待命贮藏系统第三节混合冗余系统第四节硬件二模冗余系统第五节可重构的五模系统第六节硬件冗余构造综述第二节待命贮藏系统待命贮藏系统是一个模块任务，其它模块不任务，处于待命形状，一旦任务模块出现缺点，那么贮藏模块接替任务。第二节待命贮藏系统待命贮藏模块的纠错才干具有一个备份的系统的可靠度具有两个备份的系统的可靠度思索监测器和切换器能够失效的待命贮藏系统检测—切换安装延伸系统的运转时间第二节待命贮藏系统待命贮藏模块的纠错才干第二节待命贮藏系统待命贮藏模块的纠错才干第二节待命贮藏系统贮藏模块的任务方式冷备份热备份第二节待命贮藏系统待命贮藏模块的纠错才干具有一个备份的系统的可靠度具有两个备份的系统的可靠度思索监测器和切换器能够失效的待命贮藏系统检测—切换安装延伸系统的运转时间第二节待命贮藏系统具有一个备份的系统的可靠度恢复率：C=从缺点中恢复胜利的次数/缺点次数引入系数K=λ/μμ:备份模块的失效率待命贮藏模块的可靠度为第二节待命贮藏系统具有一个备份的系统的可靠度第二节待命贮藏系统第二节待命贮藏系统待命贮藏模块的纠错才干具有一个备份的系统的可靠度具有两个备份的系统的可靠度思索监测器和切换器能够失效的待命贮藏系统检测—切换安装延伸系统的运转时间第二节待命贮藏系统具有两个备份的系统的可靠度由三种情况综合得到：任务模块从开场不断运转到义务时间T的概率。任务模块t时辰失效，由待命模块接替任务到T的概率。任务模块t时辰失效，由第一待命模块接替任务到t’又失效，再由第二待命模块接替运转到T。第二节待命贮藏系统分析一下：当C=1，K=1，R1,2(T)=2.5R-R2+R3/2+R5/3当C=1,K=R1,2(T)=R+2R-3R2+R=1-(1-R)3对于S个待命模块的系统R1,s(T)=1-(1-R)S+1第二节待命贮藏系统待命贮藏模块的纠错才干具有一个备份的系统的可靠度具有两个备份的系统的可靠度思索监测器和切换器能够失效的待命贮藏系统检测—切换安装延伸系统的运转时间第二节待命贮藏系统思索监测器和切换器能够失效的待命贮藏系统第二节待命贮藏系统待命贮藏模块的纠错才干具有一个备份的系统的可靠度具有两个备份的系统的可靠度思索监测器和切换器能够失效的待命贮藏系统检测—切换安装延伸系统的运转时间第二节待命贮藏系统检测—切换安装根本上可以分为两类集中式分布式第二节待命贮藏系统检测—切换安装根本上可以分为两类集中式

分布式同时与系统的各个模块相连，对一切的模块进展检测和切换，系统简单，造价低。但是缺点比较集中。第二节待命贮藏系统检测—切换安装根本上可以分为两类集中式分布式

对每个模块设置独立的检测-切换安装。切换经过相应电源的通、断控制实现。可以把缺点影响孤立起来。第二节待命贮藏系统第二节待命贮藏系统待命贮藏模块的纠错才干具有一个备份的系统的可靠度具有两个备份的系统的可靠度思索监测器和切换器能够失效的待命贮藏系统检测—切换安装延伸系统的运转时间第二节待命贮藏系统延伸系统的运转时间第二节待命贮藏系统延伸系统的运转时间第二节待命贮藏系统研讨一下：TMR+待命贮藏=?第三章 硬件冗余设计技术第一节硬件表决系统第二节待命贮藏系统第三节混合冗余系统第四节硬件二模冗余系统第五节可重构的五模系统第六节硬件冗余构造综述第三节混合冗余系统混合冗余系统的组成〔3,s〕混合冗余系统的可靠度切换安装第三节混合冗余系统混合冗余系统的组成第三节混合冗余系统混合冗余系统的组成〔N,s〕系统可以容忍：P=n+s个模块同时失效〔n=〔N-1〕/2〕但是，失效时髦有n+1个模块是无缺点的，所以，应取n=1。第三节混合冗余系统混合冗余系统的组成〔3,s〕混合冗余系统的可靠度切换安装第三节混合冗余系统〔3,s〕混合冗余系统的可靠度假设VSD(Voting,Switching,Detecting)无缺点第三节混合冗余系统计算R(3,1)(T):分三步全部模块〔中心部分和贮藏部分〕都可靠的运转到T时辰，发生这种情况的概率为第三节混合冗余系统计算R(3,1)(T):系统的中心模块正常，但贮藏模块首先失效，这时系统就变成了一个简单的TMR系统。贮藏模块失效时辰为t第三节混合冗余系统计算R(3,1)(T):中心部分中的一个模块在t时辰首先失效，并且胜利完成贮藏模块对出错任务模块的交换，使系统仍以TMR方式任务到T。第三节混合冗余系统计算R(3,1)(T):综合一下：第三节混合冗余系统同理，得出R(3,2)(T)第三节混合冗余系统能否随着s的添加，系统的可靠度增长？第三节混合冗余系统思索附加电路的失效率，重新计算可靠度设任务模块、贮藏模块、附加电路的失效率分别为λ、μ、H，系统可靠度为R#。第三节混合冗余系统第三节混合冗余系统普通混合冗余系统的可靠度第三节混合冗余系统混合冗余系统的组成〔3,s〕混合冗余系统的可靠度切换安装第三节混合冗余系统切换安装切换安装是系统中的一个关键模块，但是，普通情况下，它是不容错的。所以，要求切换安装尽量简单，可靠性尽量的高。以〔3，2〕冗余系统为例，引见一种切换安装〔由CMUSiewiorek教授提出〕。第三节混合冗余系统符号解释第三节混合冗余系统迭代单元C1–C5第三节混合冗余系统第三节混合冗余系统第三节混合冗余系统得到开关阵列的表达式第三节混合冗余系统举例研讨一下：对于偶尔性缺点的模块给一个“归队〞的时机第三章 硬件冗余设计技术第一节硬件表决系统第二节待命贮藏系统第三节混合冗余系统第四节硬件二模冗余系统第五节可重构的五模系统第六节硬件冗余构造综述第四节硬件二模冗余系统以两倍硬件构成一个容错系统优点：构造简单、易于实现纠错率高运用广泛第四节硬件二模冗余系统双机双工系统二模协同系统二模冗余系统的检测计算机级的二模协同系统部件级的二模协同系统第四节硬件二模冗余系统双机双工系统两台计算机同时任务，但可以执行不同的程序。满足容错需求资源合理利用第四节硬件二模冗余系统主要任务方式双机互备援双机热备份第四节硬件二模冗余系统缺陷：对永久性缺点效果明显，对偶尔性缺点纠错才干弱单机的自检测很难实现优点：合理利用资源易于实现，构建本钱低系统中双机切换、双机通讯，都需求时间第四节硬件二模冗余系统双机双功系统二模协同系统二模冗余系统的监测计算机级的二模协同系统部件级的二模协同系统第四节硬件二模冗余系统二模协同系统双份硬件同时执行一样的指令，处置一样的数据。双份均正常，任取其一作为输出假设其中一个硬件失效，那么封锁该硬件的输出，由另一个正常的硬件作为输出不存在贮藏硬件—与待命贮藏系统的区别第四节硬件二模冗余系统二模协同系统组成第四节硬件二模冗余系统双机双功系统二模协同系统二模冗余系统的检测计算机级的二模协同系统部件级的二模协同系统第四节硬件二模冗余系统二模冗余系统的检测比较法比较-自诊断自检测安装利用监视计时器外仲裁器第四节硬件二模冗余系统比较法二者同时执行一样的操作，定期对输出进展比较。一样以为无缺点。实现简单无法定位缺点可用于计算机逻辑设计的一切范围和级别第四节硬件二模冗余系统比较-自诊断〔BellESS-2〕第四节硬件二模冗余系统自检测安装二模系统的双方各自均设置自检测硬件。目前，多采用编码技术实现检测，如：奇偶校验码、海明码、循环码等。第四节硬件二模冗余系统利用监视计时器〔看门狗〕主要用来检测任务形状的正确与否、模块功能的对与错无法对数据的对错进展检测第四节硬件二模冗余系统外仲裁器—以COMTRAC铁路交通控制系统为例第四节硬件二模冗余系统双机双功系统二模协同系统二模冗余系统的检测计算机级的二模协同系统部件级的二模协同系统第四节硬件二模冗余系统计算机级的二模协同系统系统构成第四节硬件二模冗余系统特点：对永久性缺点纠错效率较高，对偶尔性缺点，所花代价太大。双模要坚持一定范围内的同步、通讯，占用系统开销可维修性较好，系统灵敏性好第四节硬件二模冗余系统可靠度比较第四节硬件二模冗余系统第四节硬件二模冗余系统双机双功系统二模协同系统二模冗余系统的检测计算机级的二模协同系统部件级的二模协同系统第四节硬件二模冗余系统部件级的二模协同系统第四节硬件二模冗余系统计算机级与部件级二模协同系统的比较第四节硬件二模冗余系统可维修性可靠性定量计算：能否模块划分的越多，可靠性越高计算机级的二模系统能否还有市场STRATUSFaultDetection&IsolationEmbeddedI/OPCIDisksCPUChipsetMemoryFaultDetection&IsolationFaultDetection&IsolationEmbeddedI/OPCIDisksCPUChipsetMemoryFaultDetection&IsolationLocksteppedCPUsMulti-pathI/O330056006600FaultDetection&IsolationEmbeddedI/OPCIDisksCPUChipsetMemoryFaultDetection&IsolationFaultDetection&IsolationEmbeddedI/OPCIDisksCPUChipsetMemoryFaultDetection&IsolationLocksteppedCPUsMulti-pathI/O2300第三章 硬件冗余设计技术第一节硬件表决系统第二节待命贮藏系统第三节混合冗余系统第四节硬件二模冗余系统第五节可重构的五模系统第六节硬件冗余构造综述第五节可重构的五模系统基于多数表决的五模块系统〔3，2〕混合系统筛除冗余系统可重构的五模系统第五节可重构的五模系统系统的构成出现单缺点的情况双重缺点的情况三重缺点的情况第五节可重构的五模系统系统的构成第五节可重构的五模系统重构的原理令模块4出错〔x4=0和x5=1