ЖУРНАЛ СТА 1/2015

также ошибки каждого процессора. Каждый супервизор, а также программ- ное обеспечение процессоров могут пе- реводить платы в безопасный режим. Для быстрого поиска неисправности и её устранения ведётся журнал событий в энергонезависимой памяти FRAM. Записи в журнале обычно регистрируют аппаратные события, но программное обеспечение, в свою очередь, может инициировать запись других событий, что позволяет сделать протокол более полным и удобным, ведь ошибки до- полнительного оборудования, которые могут привести к отключению системы, могут быть зарегистрированы только программным обеспечением. Полная информация о поведении компонентов системы применительно к критическим задачам важна, так как их поведение должно быть предсказуе- мым. Инженеры должны рассматривать наихудшие сценарии ещё на ранней стадии проектирования. Ошибки долж- ны быть обнаружены до того, как они смогут нанести вред системе. Следова- тельно, для достижения необходимого уровня безопасности коммерческая процессорная плата должна быть детер- минированной. Для F75P это был вы- зов, так как она выполнена на базе про- цессоров Intel Atom E6xx, поддержи- вающих существующую популярную архитектуру x86. Для достижения тре- бований по точному определению вре- мени исполнения программного кода, были заблокированы такие технологии, как Hyper Threading и SpeedStep. Они позволяют обрабатывать несколько операций параллельно, кроме того, из- меняют частоту процессора. Функции прерывания также заблокированы. Как упоминалось ранее, плата предназначе- на для работы с операционными систе- мами жёсткого реального времени VxWorks или PikeOS, гарантирующими детерминированное поведение. Среди прочего в них оптимизирован процесс работы с памятью и выполнения ко- манд для получения минимальной за- держки, так что система остаётся пол- ностью предсказуемой. Р ЕЖИМ « КЛАСТЕР » ДЛЯ УВЕЛИЧЕНИЯ НАДЁЖНОЙ РАБОТЫ СИСТЕМЫ В то время как все описанные ранее меры направлены на повышение уров- ня функциональной безопасности, схе- ма организации резервирования не при- водит к увеличению доступности систе- мы. Но необходимо соблюдение требо- вания доступности в случае, если система не должна отключать- ся полностью при возникновении неис- правности. Напри- мер, освещение по- езда не должно от- ключаться при ава- рийной остановке по- езда в туннеле. Чтобы получить высокий коэффициент доступности системы, можно создать кластерную систему пу- тём её удвоения, делая вторую систему доступной в качестве резервного блока: одна система доступна, в то время как другая находится в режиме ожидания. Если активный канал неисправен, то система переключается на второй. Такая организация кластерной системы пред- ставлена на рис. 3. Для получения данного функционала в F75P заложена логика управления ро- лями при совместной работе двух плат. В этом случае процессорные платы об- щаются через кросс-панель CompactPCI без использования дополнительных ка- белей. Они используют интерфейс RS- 422 для связи между двумя контроллера- ми управления платами (BMC – Board Management Controller), которые могут переключать плату в активный или ре- зервный режим работы. С ЕРТИФИЦИРУЕМЫЙ ПРОДУКТ При реализации функций безопасно- сти системным интеграторам не придёт- ся во всех случаях изобретать велосипед. Наоборот, многие определённые в стан- дартах требования характерны для раз- личных рынков. Как правило, чем более критичны вопросы функциональной безопасности, тем более полны и требо- вательны отраслевые стандарты. На же- лезнодорожном транспорте электрони- ка должна быть сертифицирована по определённому уровню безопасности SIL, для самого высокого из которых SIL 4 предусмотрена низкая вероятность отказа в соответствии со стандартом EN 50129. Соответствующее требование яв- ляется одним из немногих элементов данных, которые необходимы систем- ным интеграторам при сертификации. Вся процедура состоит из множества де- талей. Для системных интеграторов на железнодорожном транспорте, строя- щих проекты на базе F75P, важно, что плата поставляется с полным набором документов, в том числе и сертифика- том соответствия SIL4 от German TU .. V SU .. D и требуемым обоснованием без- опасности. Плата разработана в соот- ветствии с IEC 61508, EN 50129 и EN 50128 и полностью соответствует стан- дарту EN 50155 для электроники, при- меняемой на железных дорогах. Таким образом интеграторы получают более низкую стоимость работ по сертифика- ции и уменьшение времени выхода на рынок конечного продукта с высоким качеством– безусловно, это уникальное преимущество по сравнению со стан- дартными коммерческими платами. П ОДДЕРЖКА ОПЕРАЦИОННЫХ СИСТЕМ Обеспечение функциональной без- опасности в полной мере невозможно без поддержки соответствующих серти- фицированных операционных систем. На данный момент доступны стандарт- ные инструментальные средства для разработки встраиваемого ПО (BSP) для QNX и PikeOS. Для снижения затрат на разработку приложений в стандартную поставку входит комплект поддержки процессорной платы BSP (Board Support Package) для безопасной ОС QNX. При работе с безопасной операционной си- стемой (Safe QNX Kernel) гарантиру- ется, что неправильная информация с неисправного процессора не пройдёт к исполнению (режим «остановка без уве- домления»), а также система в целом бу- дет отключена при возникновении не- исправности, например, во время рабо- ты поезда (отказоустойчивость). Про- цессор ввода-вывода не работает с без- опасной операционной системой. Он расположен внутри так называемого чёрного канала. Протоколы коммуни- кации, разработанные в соответствии с EN 50159, позволяют сделать безопас- ной коммуникацию между управляю- щим блоком и периферийными устрой- ствами. F75P поставляется вместе с па- кетом сертификации для оборудования и операционной системы (QNX + BSP), 14 СТА 1/2015 ОБ ЗОР / В С Т РАИВ А ЕМЫЕ СИС Т ЕМЫ www.cta.ru Датчики Кластер Активный компьютер Резервный компьютер Активный канал выходных данных Резервный канал выходных данных Объект управления 1 2 3 Рис. 3. Организация кластерной системы