Introduzione. applicare metodologie che migliorino l affidabilità a livello di sistema

Transcript

1 Affidabilità

2 Introduzione I circuiti e sistei elettronici sono inevitabilente affetti dalla presenza di guasti non solo in produzione a anche durante la loro vita utile L affidabilità (reliability) di un circuito e sistea elettronico rappresenta la sua capacità di operare correttaente durante un periodo di tepo. Lo scopo della progettazione finalizzata alla tolleranza ai guasti (fault tolerant design) è quello di applicare etodologie che igliorino l affidabilità a livello di sistea

3 Tipi di guasto Durante il funzionaento i guasti possono essere di due tipi: Guasti peranenti: dovuti ad espio alla anifestazione di difetti presenti in fase di produzione o anche dovute a invecchiaento (esepio elettroigrazione) o radiazioni che corropono il reticolo cristallino o altri fenoeni ad effetto peranente Guasti transitori: ad esepio SEU (single event upset nelle eorie) dovuti alla iniezione di cariche nel substrato che possono causare l inversione del valore eorizzato su eleenti di eorie. Effetti teporanei possono anche causare etastabilità. I guasti transitori possono essere riparati se rilevati

4 Failure ate frequenza di guasto λ(t) = Failure rate a livello di coponente Si isura in FITS (Failures In Tie guasti per 10 9 ore) Infant ortality Working life Wearout Failure rate Early failures Overall curve ando failures Wearout failures Tie

5 Failure ate a livello di sistea Un sistea è costruito con coponenti Se non c è tolleranza ai guasti (Fault Tolerance): Se un qualunque coponente si guasta allora tutto il sistea è guasto λ sys = k i= 1 λ c, i

6 Affidabilità - eliability Se un coponente funziona a tepo 0 (t) = è la probabilità che funzioni ancora a tepo t Legge di guasto esponenziale Se si assue che il failure rate è costante E una buona approssiazione dopo la fase di ortalità infantile ( t ) = e λt

7 Affidabilità per un sistea serie Sistea serie Tutti i coponenti devono funzionare affinchè il sistea funzioni N sys = i i= 1 A B C = sys A B C 7

8 Affidabilità per un sistea Sistea parallelo parallelo Tutti i coponenti devono essere guasti affinchè il sistea non funzioni sys = 1 (1 i ) N i= 1 A B C sys = 1 (1 A )(1 B )(1 C )(1 D ) D

9 Affidabilità di un sistea con ridondanza Affidabilità di un sistea con il coponente B in parallelo Può tollerare un guasto su B A B B C sys = A [ ] 1 (1 ) 2 = (2 2 ) B C A B B C

10 Mean-Tie-to-Failure (MTTF) Tepo edio pria che il sistea si guasti Uguale all area sotto la curva di affidabilità MTTF = ( t) dt 0 Nel caso di legge di guasto esponenziale MTTF = 0 e dt = 1 λ t λ

11 Schei per la tolleranza ai guasti Aggiungere tolleranza ai guasti a un progetto Migliora l affidabilità del sistea ichiede ridondanza Hardware Tepo Inforazione

12 idondanza Hardware Iplica la replica delle unità hardware Ad ogni livello del progetto A livello di porta logica, odulo, chip, piastra Tre tipologie Statica (anche detta passiva) Il guasto viene ascherato piuttosto che rilevato Dinaica (anche detta attiva) Il guasto viene rilevato e si riconfigura verso un hardware di riserva Ibrida Cobina gli approcci attivo e passivo

13 idondanza statica I guasti vengono ascherati in odo tale che non ci siano output errati Fornisce un funzionaento ininterrotto Iportante nel caso di sistei real-tie Non c è tepo per riconfigurare o riprovare l operazione Seplice e autosufficiente Non c è bisogno di tenere traccia dello stato del sistea per rollback

14 Triple Module edundancy (TM) Ben noto schea di ridondanza statica Tre copie di un odulo Si usa un ajority voter per deterinare l uscita finale Un errore in un odulo viene escluso per inoranza dagli altri due Module 1 Module 2 Majority Voter Module 3

15 Affidabilità e MTTF del TM Il TM funziona se aleno 2 oduli qualunque funzionano qualunque funzionano = affidabilità di ogni odulo v = affidabilità del voter MTTF per il TM ) 2 (3 )] (1 3 [ ] ) (1 3 [ v v i i i v TM i = + = = = MTTF per il TM v v t t t v TM TM dt e e e dt dt MTTF v λ λ λ λ λ λ λ + + = = = = ) 2 (3 ) 2 (

16 Coparazione con il Siplex Ignorando il fault rate del voter poichè è progettato per essere olto inore dei oduli si può riscrivere il MTTF MTTF TM = = = MTTF λ λ λ 6 siplex Pertanto il TM ha un MTTF più basso del siplex a Può tollerare guasti teporanei Ha un affidabilità più alta per issioni brevi

17 Coparazione con il Siplex Punto di intersezione 3e TM 2λ t = siplex 2e 3λ t isolvendo t= = e λ t ln 2 λ ( 0.7) MTTFsiplex TM > siplex quando La durata della issione è inore del 70% del MTTF del siplex

18 Coparazione TM Siplex 1 0,9 0,8 0,7 0,6 0,5 Siplex TM 0,4 0,3 0,2 0,1 0

19 N-Modular edundancy (NM) NM N oduli più il ajority voter Il TM è un caso speciale del NM E in grado di ascherare fino a (N-1)/2 oduli guasti Al crescere di N, il MTTF diinuisce Ma l affidabilità per le issioni brevi auenta Se l obiettivo è solo quello di tollerare i guasti teporanei è sufficiente usare il TM

20 Iplica idondanza Dinaica ilevazione del guasto Localizzazione dell unità guasta iconfigurazione del sistea per usare l unità di riserva non guasta

21 iserve non alientate (fredde) Una riserva fredda raddoppia il MTTF Assuendo che i guasti vengano sepre rilevati e che il circuito di riconfigurazione non si guasti ai Svantaggio della riserva fredda Tepo richiesto per accendere e inizializzare Non può essere usato per rilevare i guasti La rilevazione dei guasti richiede uno dei seguenti approcci test offline fatto periodicaente online testing usando ridondanza di tepo o di inforazione

22 iserve alientate (Calde) Si possono usare le riserve per condurre la rilevazione dei guasti online Un approccio è quello di duplicare e coparare Se c è una discordanza sugli output allora si è avuto un guasto Si fa partire una procedura diagnostica per capire quale odulo sia guasto e lo si ripiazza con una riserva Si può usare un nuero qualunque di riserve Spare Module Module A Module B Copare Output Agree/Disagree

23 idondanza ibrida Cobina sia la ridondanza statica e quella dinaica Maschera i guasti coe la ridondanza statica ileva e riconfigura coe la ridondanza dinaica

24 TM con riserve Se un odulo del TM si guasta ipiazzato da una riserva Può essere sia una riserva calda o fredda Fintanto che il sistea ha tre oduli funzionanti Il TM fornirà fault asking per antenere un operatività ininterrotta

25 idondanza Self-Purging Usa un voter a soglia invece di un voter a aggioranza Threshold voter ette in uscita 1 se il nuero di ungressi uguali ad 1 è aggiore della soglia Altrienti ette in uscita 0 ichiede riserve calde

26 idondanza teporale Vantaggio Meno hardware Svantaggio Potrebbe non rilevare guasti peranenti Se si rileva un errore Il sistea deve ritornare a uno stato precedente che si sa essere buono pria di ripartire con le operazioni

27 Esecuzione ipetuta L operazione viene ripetuta due volte E il etodo di ridondanza teporale più seplice ileva guasti teporanei che avvengono durante un esecuzione (a non in entrabe) Causa una differenza tra i risultati Può riutilizzare lo stesso hardware per entrabe le esecuzioni Serve solo una copia dell hardware funzionale

28 Esecuzione ipetuta ichiede un eccaniso per eorizzare e coparare i risultati di entrabe le esecuzioni In un processore, si può eorizzare sulla eoria o su un disco e usare un software per fare la coparazione Costo principale Tepo addizionale per l esecuzione ridondante e la coparazione Problea con i guasti peranenti

29 icoputazione in diversità Si usa lo stesso hardware, a si fa la coputazione in odo diverso la seconda volta Può rilevare i guasti peranenti che influenzano solo una coputazione Per operazioni logiche o aritetiche Si fa lo shift degli operandi quando si fa la seconda coputazione [Patel 1982]

30 idondanza di Inforazione Basata su codici per la rilevazione e correzione d errore Vantaggi ileva sia guasti teporanei che peranenti L hardware in eccesso necessario è inore di quando si usano più copie di un solo odulo Svantaggio Progettazione più coplessa

31 ilevazione d errore Codici a rilevazione d errore usati per rilevare gli errori Se un errore viene rilevato Si ritorna a uno stato precedente non guasto (rollback) Si riprova l operazione

32 ollback ichiede di aggiungere capacità di ichiede di aggiungere capacità di eorizzazione per salvare lo stato precedente L entità del rollback dipende dalla latenza del eccaniso di rilevazione ilevazione d errore senza latenza Il rollback è ipleentato ipedendo al sistea di aggiornare il suo stato Se gli errori vengono rilevati dopo n cicli Bisogna avere un sistea di rollback in grado di restaurare lo stato del sistea a quello di aleno n cicli di clock precedenti

33 Checkpoint L esecuzione viene suddivisa in sottoinsiei di operazioni Pria che ciascuna operazione venga eseguita Viene creato un checkpoint dove viene eorizzato lo stato del sistea Se viene rilevato un errore durante l operazione Si ritorna (rollback) all ultio checkpoint e si riprova l operazione Se si rileva un errore in olteplici repliche dell operazione L operazione si fera e il sistea segnala che è avvenuto un guasto peranente

34 Teoria dei Codici Codici Si usano più bit del necessario per rappresentare i dati E un odo per rilevare gli errori Gli errori avvengono quando i bit di inforazione vengono invertiti per qualche otivo Codici a rilevazione d errore Ne esistono olti tipi Possono rilevare diverse classi di errori Usano diversi livelli di ridondanza Presentano diversi livelli di difficoltà per la codfica e la decodifica dei dati

35 ilevazione d errore Si codificano le uscite del circuito con un codice a rilevazione d errore Se l uscita non è una parola di codice c è un errore Inputs Functional Logic k k Outputs Check Bit Generator c Checker Error Indication

36 Duplicazione e confronto Un checker di uguaglianza rileva l errore Un guasto potrebbe non essere rilevato solo se un guasto di odo coune colpisse entrabe le copie Vengono rilevati solo i guasti dopo lo ste Più del 100% di overhead (includendo il checker) Stes Priary Inputs Functional Logic Functional Logic Equality Checker Error Indication

37 Codice di parità a bit singolo N M f(n) P(f(N)) P(M) p p coparator M= f(n) Il circuito di predizione della parità crea una stia della parità P(f(N)) Il circuito di predizione ha un overhead hardware variabile che può essere in edia il 33% rispetto al circuito che ipleenta la f(n)

38 Codice di parità a bit singolo Non si può rilevare un nuero pari di errori sui bit Si può evitare un nuero pari di errori sui bit generando ogni output con un cono di logica indipendente Si è nella assunzione di avere un singolo guasto per cui si evita che un guasto si propaghi su due output Tipicaente iplica un grosso overhead

39 Distanza di un codice Distanza tra due parole di codice: Nuero di bit in cui le due parole differiscono Distanza di un codice Minia distanza due parole di codice nel codice Se n=k (nessuna ridondanza), la distanza è = 1 Parità a bit singolo distanza = 2 Codice con distanza d ileva d-1 errori Corregge fino a (d-1)/2 errori

40 Codici a correzione d errore Codice con distanza 3 Chiaato anche single error correcting (SEC) code (codice a correzione di errore singolo) Codice con distanza 4 Chiaato anche single error correcting and double error detecting (SEC-DED) code (codice a correzione di errore singolo e rilevazione di errore doppio) Procedura per costruire un codice SEC Descritto in [Haing 1950] Ogni atrice H con tutte le colonne distinte e nessuna colonna con tutti 0 è SEC

41 Meory Scrubbing Ogni locazione di eoria viene letta su base regolare iduce la probabilità che si accuulino più errori nel tepo Si può ipleentare facendo in odo che il controllore della eoria faccia questa attività durante I periodi di idle