Dreifache modulare Redundanz - Triple modular redundancy
In der Computertechnik ist Triple Modular Redundancy , manchmal auch Triple-Mode-Redundanz ( TMR ) genannt, eine fehlertolerante Form der N-modularen Redundanz, bei der drei Systeme einen Prozess ausführen und dieses Ergebnis von einem Mehrheitsabstimmungssystem verarbeitet wird, um a . zu erzeugen einzelne Ausgabe. Wenn eines der drei Systeme ausfällt, können die anderen beiden Systeme den Fehler korrigieren und maskieren.
Das TMR-Konzept kann auf viele Redundanzformen angewendet werden , wie beispielsweise Softwareredundanz in Form von N-Versionen-Programmierung , und findet sich allgemein in fehlertoleranten Computersystemen .
Weltraumsatellitensysteme verwenden oft TMR, obwohl Satelliten-RAM normalerweise Hamming-Fehlerkorrektur verwendet .
Einige ECC-Speicher verwenden Hardware mit dreifacher modularer Redundanz (anstelle des üblicheren Hamming-Codes ), da Hardware mit dreifacher modularer Redundanz schneller als Hamming-Fehlerkorrekturhardware ist. Einige Kommunikationssysteme verwenden N-modulare Redundanz als einfache Form der Vorwärtsfehlerkorrektur . Beispielsweise verwenden 5-modulare Redundanz-Kommunikationssysteme (wie FlexRay ) die Mehrheit von 5 Abtastwerten – wenn 2 der 5 Ergebnisse fehlerhaft sind, können die anderen 3 Ergebnisse den Fehler korrigieren und maskieren.
Modulare Redundanz ist ein Grundkonzept, das bis in die Antike zurückreicht, während der erste Einsatz von TMR in einem Computer in den 1950er Jahren der tschechoslowakische Computer SAPO war.
Allgemeiner Fall
Der allgemeine Fall von TMR wird als N-modulare Redundanz bezeichnet , bei der eine beliebige positive Anzahl von Replikationen derselben Aktion verwendet wird. Die Zahl wird typischerweise mit mindestens drei angenommen, so dass eine Fehlerkorrektur durch Mehrheitsbeschluss erfolgen kann; es wird normalerweise auch als ungerade angesehen, damit keine Bindungen auftreten können.
Mehrheitslogikgatter
| EINGANG | AUSGANG | ||
|---|---|---|---|
| EIN | B | C | A, B, C〉 |
| 0 | 0 | 0 | 0 |
| 0 | 0 | 1 | 0 |
| 0 | 1 | 0 | 0 |
| 1 | 0 | 0 | 0 |
| 0 | 1 | 1 | 1 |
| 1 | 0 | 1 | 1 |
| 1 | 1 | 0 | 1 |
| 1 | 1 | 1 | 1 |
In TMR werden drei identische Logikschaltungen (Logikgatter) verwendet, um denselben Satz spezifizierter Boolescher Funktionen zu berechnen. Liegen keine Stromkreisausfälle vor, sind die Ausgänge der drei Stromkreise identisch. Aufgrund von Schaltungsfehlern können die Ausgänge der drei Schaltungen jedoch unterschiedlich sein.
Ein Majoritätslogikgatter wird verwendet, um zu entscheiden, welcher der Ausgänge der Schaltungen der richtige Ausgang ist. Der Majoritätsgatterausgang ist 1, wenn zwei oder mehr der Eingänge des Majoritätsgatters 1 sind; output ist 0, wenn zwei oder mehr Eingänge des Majority-Gates 0 sind.
Das Majority-Logikgatter ist eine einfache UND-ODER-Schaltung: Wenn die Eingänge des Majority-Gatters mit x, y und z bezeichnet sind, dann ist der Ausgang des Majority-Gatters
Somit ist das Majoritätsgatter der Übertragsausgang eines Volladdierers , dh das Majoritätsgatter ist eine Abstimmungsmaschine .
TMR-Betrieb
Angenommen, die von den drei identischen Logikgattern berechnete Boolesche Funktion hat den Wert 1, dann: (a) wenn keine Schaltung ausgefallen ist, erzeugen alle drei Schaltungen eine Ausgabe mit dem Wert 1, und die Majoritätsgatter-Ausgabe hat den Wert 1. (b) falls eins die Schaltung versagt und eine Ausgabe von 0 erzeugt, während die anderen beiden korrekt arbeiten und eine Ausgabe von 1 erzeugen, ist der Ausgang des Majority-Gates 1, dh er hat immer noch den richtigen Wert. Und ähnlich für den Fall, dass die von den drei identischen Schaltungen berechnete Boolesche Funktion den Wert 0 hat. Somit ist die Korrektheit des Majoritätsgatterausgangs garantiert, solange nicht mehr als eine der drei identischen Logikschaltungen ausgefallen ist.
Für ein TMR-System mit einem einzigen Zuverlässigkeitswähler (Funktionswahrscheinlichkeit) R v und drei Zuverlässigkeitskomponenten R m kann die Wahrscheinlichkeit, dass es korrekt ist, gezeigt werden zu R TMR = R v (3 R m 2 – 2 R m 3 ) .
TMR-Systeme sollten Daten-Scrubbing verwenden – Flip-Flops regelmäßig neu schreiben – um eine Anhäufung von Fehlern zu vermeiden.
Wähler
Das Mehrheitstor selbst könnte scheitern. Davor kann man sich schützen, indem man die Wähler selbst dreifach redundanziert.
In einigen wenigen TMR-Systemen, wie dem Saturn Launch Vehicle Digital Computer und funktionalen Triple Modular Redundancy (FTMR) -Systemen, werden die Wähler ebenfalls verdreifacht. Es werden drei Wähler verwendet – einer für jede Kopie der nächsten Stufe der TMR-Logik. In solchen Systemen gibt es keinen Single Point of Failure .
Auch wenn nur die Verwendung eines einzigen Wählers einen einzigen Fehlerpunkt mit sich bringt – ein fehlgeschlagener Wähler wird das gesamte System zum Einsturz bringen – verwenden die meisten TMR-Systeme keine dreifachen Wähler. Dies liegt daran, dass die Mehrheits-Gates viel weniger komplex sind als die Systeme, vor denen sie schützen, und daher viel zuverlässiger sind . Durch Verwendung der Zuverlässigkeitsberechnungen ist es möglich, die Mindestzuverlässigkeit des Wählers zu ermitteln, damit TMR ein Gewinn ist.
Chronometer
Um die dreifache modulare Redundanz zu nutzen, muss ein Schiff über mindestens drei Chronometer verfügen ; zwei Chronometer boten eine doppelte modulare Redundanz , die ein Backup ermöglichte, falls einer nicht mehr funktionierte, aber keine Fehlerkorrektur erlaubte, wenn die beiden eine unterschiedliche Zeit anzeigten, da es im Falle eines Widerspruchs zwischen den beiden Chronometern unmöglich wäre zu wissen, welcher Chronometer war falsch (die erhaltene Fehlererkennung wäre dieselbe, wenn Sie nur einen Chronometer haben und ihn regelmäßig überprüfen). Drei Chronometer boten eine dreifache modulare Redundanz, die eine Fehlerkorrektur ermöglichte, wenn einer der drei falsch war, sodass der Pilot den Durchschnitt der beiden bei genauerer Ablesung nahm (Abstimmung für durchschnittliche Präzision).
Ein altes Sprichwort besagt: "Nie mit zwei Chronometern zur See fahren, sondern einen oder drei nehmen."
Das bedeutet vor allem, dass wenn zwei Chronometer sich widersprechen, woher weiß man dann, welches richtig ist? Früher war diese Beobachtung oder Regel teuer, da die Kosten für drei ausreichend genaue Chronometer höher waren als die Kosten vieler kleinerer Handelsschiffe. Einige Schiffe durch mehr als drei Zeitmesser - zum Beispiel HMS Beagle durch 22 Chronometer . Eine so große Zahl wurde jedoch meist nur auf Schiffen befördert, die Vermessungsarbeiten durchführen, wie dies bei der Beagle der Fall war .
In der Neuzeit verwenden Schiffe auf See GNSS- Navigationsempfänger (mit Unterstützung von GPS , GLONASS & WAAS usw.) – meist mit WAAS- oder EGNOS- Unterstützung, um genaue Zeit (und Standort) bereitzustellen.
In der Populärkultur
- Die drei Vorurteile im Minderheitenbericht führen zu einer Verurteilung, selbst wenn man anderer Meinung ist.
- Um auszuschließen, dass ein einzelner Sieg "ein Zufall" war, verwenden einige Wettbewerbe ein Zwei-aus-Drei-Fall-Match . Dies trifft jedoch nicht auf TMR zu, da die drei Stürze nicht unabhängig voneinander sind – jeder Teilnehmer weiß zu jedem Zeitpunkt des Wettbewerbs, wer die meisten Stürze hat, was seine zukünftigen Aktionen beeinflusst.
- In Arthur C. Clarkes Science-Fiction-Roman Rendezvous with Rama machen die Ramans intensiven Gebrauch von der dreifachen Redundanz.
- Im beliebten Anime Neon Genesis Evangelion sind die Magi ein Satz von drei biologischen Supercomputern , die einer 2/3-Mehrheit zustimmen müssen, bevor sie eine Entscheidung treffen.
Siehe auch
Verweise
Externe Links
- Artikel über TMR mit Bezug auf die TMR-Nutzung in Avionik und Industrie
- Johnson, JM, & Wirthlin, MJ (2010, Februar). Voter-Einfügungsalgorithmen für FPGA-Designs mit dreifacher modularer Redundanz. In Proceedings of the 18th Annual ACM/SIGDA International Symposium on Field Programmable Gate Arrays (S. 249–258). ACM.