ORDENADOR AUTOCORRECTOR.

Sistema informático autocorrector (100) que comprende: tres o más procesadores (102a,

b, c, ...) que funcionan sincronizados; un controlador (104) adaptado para recibir señales desde los procesadores (102a, b, c...) y que está adaptado además para determinar un valor de la mayoría de las señales recibidas y detectar errores dentro de las señales recibidas; y un módulo de depuración (105) adaptado para resincronizar de forma recurrente los procesadores (102a, b, c, ...) en un punto clave predeterminado, independientemente de la detección de un error reconfigurando los elementos de estado de los procesadores (102a, b, c, ...) a un estado anterior, realizándose la sincronización de acuerdo con el valor de la mayoría

Ordenador autocorrector.

Esta solicitud está relacionada con la solicitud de patente provisional n.º 60/451,041 (Atty Docket n.º 026471-0201, Express Mail n.º EV003428368), presentada el 28 de febrero de 2003, de la cual se reivindica la prioridad.

Campo de la invención

La presente invención se refiere en general a sistemas informáticos. Más particularmente, la invención se refiere a un sistema informático integrado tolerante a fallos o autocorrector.

Antecedentes

Ciertos entornos requieren que los sistema informáticos en uso sean extremadamente fiables. Al mismo tiempo, algunos de estos entornos pueden ser extremadamente severos, exponiendo los componentes del ordenador a elementos potencialmente catastróficos.

Uno de tales entornos es el entorno espacial. Los sistemas informáticos que pueden ser implantados en el espacio, por ejemplo en la órbita de la Tierra, no están disponibles para un mantenimiento normal y, por tanto, debe estar garantizado que funcionan durante la vida de la nave espacial. Por tanto, un sistema informático montado en una nave espacial debe ser altamente fiable y robusto en cuanto a su tolerancia a fallos, tanto internos como externos.

Además, los objetos en el entorno espacial están sometidos a diversos tipos de radiación que puede ser extremadamente dañina para ciertos componentes de ordenador. Por ejemplo, un elemento de radiación aislado puede causar una perturbación a la que se denomina perturbación de suceso aislado (SEU, "Single Event Upset") en un procesador o una memoria de un sistema informático. Sería deseable que un ordenador en el entorno espacial sea tolerante a tales perturbaciones de suceso aislado.

Desarrollar componentes de ordenador que sean tolerantes individualmente a tales perturbaciones puede ser extremadamente caro e ineficaz. En primer lugar, debido a los largos ciclos de desarrollo, tales componentes carecen generalmente del rendimiento de los componentes del estado de la técnica. Por ejemplo, un procesador diseñado para ser tolerante a la radiación puede tener dos años de antigüedad en el momento que el desarrollo está completo. En aquellos dos años, el estado de la técnica en los procesadores puede haber mejorado el rendimiento de los procesadores en más del doble. Además, hacer que tales componentes sean más robustos frente a fallos puede suponer que sea menor su efectividad en cuanto a coste.

La patente norteamericana n.º 5,903,717 describe un sistema informático para detectar y corregir errores procedentes de SEUs. El sistema incluye una pluralidad de procesadores (CPUs) cuyas salidas son votadas en cada ciclo de reloj. Cualquier señal de salida de CPU que no coincida con la mayoría de las señales de CPU tiene como resultado que se produce una señal de error. El sistema reacciona a las señales de error generando una interrupción en la gestión del sistema. Como reacción a la interrupción en la gestión del sistema como resultado del error detectado, el software inicia una resincronización de la pluralidad de CPUs cuando el error es causado por una perturbación de suceso aislado. La patente norteamericana US-A-5 452 441 describe un sistema y un método para restaurar un sistema de procesadores redundantes módulo N (NMR) en operación cuando uno o más procesadores están en estado fuera de servicio. El sistema NMR comprende N procesadores en el que cada uno tiene un sistema de memoria individual. Una red de interconexión está configurada para recibir datos de todos los N procesadores, y N votantes están conectados entre la red de interconexión y cada uno de los N procesadores para recibir datos de la red de interconexión y votar en los datos destinados para los N procesadores. Las escrituras de datos desde los procesadores activos son reenrutadas a la red de interconexión. Los registradores en la red de interconexión correspondientes a cada procesador reciben los datos de sus procesadores correspondientes y después envían los datos a todos los votantes. Los datos son votados y enviados a todos los N procesadores. Por tanto, las memorias de los procesadores fuera de servicio son restauradas con los procesadores activos mientras que los procesadores activos continúan operando. El reinicio del procesador fuera de servicio es empezado manualmente por un operario del sistema.

Lacopni M.J., Institute of Electrical and Electronics Engineers: "Optimal control of latent fault accumulation", International Symposium on Fault Tolerant Computing. (FTCS), Chicago, junio 20-23, 1989; International Symposium on Fault Tolerant Computing Systems (FTCS), Washington, IEEE Comp. Soc. Press, US, vol. symp.19, 21 de junio de 1989, pág. 382-388, son reseñas del control de la acumulación de errores en los dispositivos de memoria digital que practican con lugares de error potenciales y corrigen errores antes de que se produzca la acumulación. Son analizadas varias políticas de depuración, incluyendo la depuración invariante con tiempo y la que varía con el tiempo.

Sumario de la invención

La invención está definida por las reivindicaciones.

La invención descrita en la presente memoria se refiere a sistemas informáticos que son robustos en su tolerancia a los efectos de sucesos aislados a los que pueden tener que enfrentarse, por ejemplo en el entorno espacial o una nave espacial a altitud elevada. La invención se refiere a un sistema informático que está provisto de varios conjuntos de protecciones frente a fallos que pueden ser causados por la radiación espacial, por ejemplo. Tales protecciones incluyen una o más de las siguientes: múltiples procesadores, múltiples módulos de memoria, lógica de detección y corrección de errores y blindaje mecánico de los componentes. La invención mejora la fiabilidad de un sistema aportando depuración de los componentes con una planificación regular, en lugar de espesar a que sea detectado un error. Por tanto, a los errores que pueden quedar sin detectar durante un periodo prolongado de tiempo no se les permite propagarse y, por tanto, dañar el sistema.

En un aspecto, la invención proporciona un sistema informático tolerante a fallos con tres o más procesadores. Está previsto un controlador para recibir señales desde los procesadores y, usando lógica de votación, determina un valor de señal de la mayoría. El controlador puede detectar un error cuando una señal desde uno de los procesadores difiere de la señal de la mayoría. El sistema está también dotado de un módulo de depuración para resincronizar los procesadores después de que se ha alcanzado un punto clave predeterminado. El punto clave puede ser un intervalo de tiempo predeterminado o cualquier otro suceso que pueda ser definido por el usuario. El valor de señal de la mayoría puede ser usado para la resincronización de los procesadores.

En una realización preferida, el controlador suspende la operación del procesador que produzca una señal que difiera de la señal de la mayoría. Por tanto, el sistema continua la operación con los procesadores restantes. El controlador puede cambiar el punto clave predeterminado, como por ejemplo un intervalo de tiempo, en base a la frecuencia de errores registrados. Por ejemplo, si se registran errores con mayor frecuencia de la esperada, el intervalo de tiempo entre depuraciones puede ser acortado.

El módulo de depuración puede resincronizar los procesadores volcando los elementos de estado de procesador seleccionados para cada procesador dentro de una memoria principal. Esto almacena los datos en la memoria del procesador de manera que puede ser usada para resincronizar los procesadores. El módulo de depuración puede proporcionar a cada procesador datos de restauración. Los datos de restauración corresponden a los datos de la mayoría para elementos de estado seleccionados de los estados del procesador. En otras palabras, los datos en cada elemento de estado, como por ejemplo los registradores, de los estados de procesador para todos los procesadores son usados para determinar un valor de la mayoría. Un valor de la mayoría es determinado para cada elemento de estado seleccionado. Los valores de la mayoría para todos los elementos de estado se corresponden entonces con los datos de restauración usados para resincronizar los procesadores.

El controlador puede incluir matrices de puertas programables en campo (FPGAs) para la lógica de votación. Las FPGAs son dispositivos lógicos que pueden ser programados. Las FPGAs típicas incluyen una gran matriz de puertas. Las FPGAs en el controlador pueden ser individualmente tolerantes a fallos y, por tanto, pueden tolerar fallos tales...

1. Sistema informático autocorrector (100) que comprende: tres o más procesadores (102a, b, c, ...) que funcionan sincronizados; un controlador (104) adaptado para recibir señales desde los procesadores (102a, b, c...) y que está adaptado además para determinar un valor de la mayoría de las señales recibidas y detectar errores dentro de las señales recibidas; y un módulo de depuración (105) adaptado para resincronizar de forma recurrente los procesadores (102a, b, c, ...) en un punto clave predeterminado, independientemente de la detección de un error reconfigurando los elementos de estado de los procesadores (102a, b, c, ...) a un estado anterior, realizándose la sincronización de acuerdo con el valor de la mayoría.

2. Sistema informático (100) según la reivindicación 1, en el que el punto clave predeterminado es un intervalo de tiempo.

3. Sistema informático (100) según la reivindicación 1, en el que el punto clave predeterminado es un número de ciclos de reloj.

4. Sistema informático (100) según la reivindicación 1, en el que el punto clave determinado está adaptado para ser alcanzado durante un tiempo muerto del sistema operativo.

5. Sistema informático (100) según la reivindicación 1, en el que el controlador (104) está adaptado para registrar un error cuando una señal desde uno o más procesadores (102a, b, c, ...) no coincide con el valor de la mayoría.

6. Sistema informático (100) según la reivindicación 5, en el que el controlador (104) está adaptado para suspender la operación de uno o más procesadores (102a, b, c, ...) que producen una señal que no coincide con el valor de la mayoría.

7. Sistema informático (100) según la reivindicación 5, en el que el controlador (104) está adaptado para cambiar el punto clave predeterminado.

8. Sistema informático (100) según la reivindicación 7, en el que el controlador (104) está adaptado para cambiar el punto clave predeterminado en base a la frecuencia de los errores registrados.

9. Sistema informático (100) según la reivindicación 7, en el que el controlador (104) está adaptado para cambiar el punto clave predeterminado en base los requisitos del sistema.

10. Sistema informático (100) según la reivindicación 1, en el que el módulo de depuración (105) está adaptado para resincronizar los procesadores (102a, b, c...) mediante: