Architecture à deux voies

Description de la méthode

Les architectures à deux voies au sens du présent manuel comportent deux unités fonctionnelles indépendantes pour l'exécution de la fonction spécifiée.

Les deux unités fonctionnelles peuvent présenter une constitution identique ou hétérogène obtenue de diverses façons (hétérogénéité matérielle, logicielle ou temporelle).

Les signaux délivrés par les deux systèmes sont comparés en permanence pour déceler les fautes. Cette comparaison peut être très grossière (par exemple, comparaison des signaux d'entrée et de sortie pertinents) ou très détaillée (comparaison d'états système, de signaux de bus, etc, …). La comparaison elle-même peut s'effectuer de diverses façons:

a) par comparateur externe à sécurité intégrée

b) par comparateur externe testé

c) par comparaison interne mutuelle.

Performances et particularités de la méthode

Cette méthode décèle toutes les fautes perceptibles sur les entrées du comparateur, même quand elles résultent de perturbations. Il convient de prévoir des tests complémentaires pour les fautes qui ne sont pas perceptibles assez rapidement par la comparaison.

Particularités liées à l'utilisation et à l'intégration de la méthode

Seule la comparaison de résultats de sortie est possible dans le cas d'une architecture à deux voies hétérogènes. La comparaison d'états système exige une constitution identique et un fonctionnement rigoureusement synchrone des deux voies ce dernier est en général possible uniquement quand les deux voies comportent une base de temps commune.

Il convient donc de prévoir en outre une seconde base de temps indépendante dans de tels systèmes.

Comme pour tous les programmes de test, l'exécution périodique et complète des tests complémentaires doit être autocontrôlée.

Contrôle

Références bibliographiques

Des indications plus détaillées et des exemples de réalisation se trouvent notamment dans /DEK/ et /WIE/.