關鍵計算

關鍵計算即在計算機系統出現兩個或兩個以上故障時仍能正確運行的計算，一般來説，關鍵計算的應用要採用被動冗餘或混合冗餘。最高的可靠度往往要採用混合冗餘才能達到。

對關鍵計算系統的特殊需求是要求系統在出現兩個或兩個以上故障時仍能正確運行。此外，有些關鍵計算系統還被要求失效多全，即系統在不能維持正確運行時應以安全的方式失效。典型的關鍵計算系統有五種，分別是容錯多處理機（FTMP）、軟件實現容錯系統（SIFT）、鐵路信號計算機聯鎖系統(SMILE)、失效安全鐵路信號微機控制系統(SIMIS)和計算機輔助交通控制系統(COMTRAC)。

容錯多處理機（FTMP）是用於飛機控制的計算機。要求任務期為10h在任務期內不可靠度不超過

(相應的可靠度為

)。

FTMP的基本系統結構如圖1所示。系統由六個基本部件組成：處理機三重組、系統存儲器、實時時鐘、控制單元、輸入/輸出單元，系統總線。

每個處理機三重組由三個處理機模塊組成，這三個處理機執行相同的軟件，以一個共用的容錯時鐘同步。三個處理機的處理結果由多數表決器表決產生正確的結果。三重組內失效的處理機可由系統中的備用處理機頂替。若無備用處理機可用，則三重組退出服務，組內未失效的兩台處理機做系統中的備用處理機。

軟件實現容錯系統（SIFT）與容錯多處理機的設計目標相同。它們均用於飛機控制，要求在l0h任務期內，不可靠度不超過

。但兩者採用了截然不同的技術途徑。FTMP採用了硬件冗餘的途徑，而SIFT採用了軟件冗餘的途徑。

SIFT的主要優點是：可採用現成的硬件，通過修改軟件即可滿足系統變化的要求，因此靈活性強。其主要缺點是：相當數量的系統處理能力被用於完成容錯功能。

鐵路信號計算機聯鎖系統(SMILE)要求能在發生第一個故障後保持正常工作，在發生第二個故障後能做到失效安全。因此係統除了採用硬件冗餘外，還使用了許多失效安全電路。

SMILE的系統結構如圖2所示。圖2中MVR為多數表決恢復器，FSC為失效安全比較器，OVC為輸出表決電路，INC為輸入電路，WDT為監視器，MCC為模式控制電路，IFC為接口電路。系統工作原理如下：三台處理機由一個冗餘時鐘同步，並採用總線級表決，數據、地址和控制信號在三模表決的同時送至一個失效安全比較器，以實現故障定位，並將該信息傳給模式控制電路。系統一開始工作在三模狀態，當某一CPU失效後，模式控制電路就使系統降級為一個雙機比較系統。在雙機狀態下若又檢測到某一CPU失效，則整個系統停止工作，輸出倒向安全側，為了確保系統的寄令件。存最後輸出控制信號處又加了一個失效安全表決器。

失效安全鐵路信號微機控制系統(SIMIS)也是一個用於鐵路信號控制的微機聯鎖系統。與SMILE比較，該系統的容錯性能較弱，但其失效安全性能極強。系統結構如圖3所示。圖3中：G為公共時鐘發生器，SPG為控制脈衝發生器，COMP為比較器，R為繼電器。

這是一個雙機系統，為確保兩台微機不相互影響，應妥善地絕緣和屏蔽，每台機器有各自的電源。為了防止比較裝置成為整個系統的弱點，此係統用了兩個相同的比較器。這樣，只有當兩個比較器和兩台微機都出故障時，才有可能錯誤通電，這就使得系統有極高的安全性。機器內部有定期執行的自診斷程序以檢測故障。為了實現同步，兩台微機都有一個控制脈衝發生器SPG，它可靠地監視公其時鐘發畢器G的脈衝並據此而為微機和比較器產生控制脈衝。SPG產生控制脈衝的條件是：前一處理步驟中所用的控制脈衝正確，比較器已宣佈兩個總線信號一致，微機的5V電源電壓在允許範圍內，以及G的時鐘脈衝在正確時間到達。若有一個條件不滿足，SPG就不發出控制脈衝，整個系統安全失效。

計算機輔助交通控制系統(COMTRAC)是為控制日本鐵路高速列車而設計的。系統由3台對稱連接的計算機構成，如圖4所示。圖4中：BPU為基本處理機，IOP為輸入/輸出處理機，DSC為雙重系統控制器，STR為用於系統控制的16位寄存器。系統中有兩台計算機(BPU加IOP)在程序任務級同步工作，第三台計算機當做備用。 ^[1]