caxapa.ru :: Хабарка: "Как я разрабатывал отказоустойчивый промышленный контроллер."

Глядя наискосок - "компиляция" со смещениями секций кода и данных как способ превысить результаты Lockstep и Triple Modular Redundancy. Выглядит интересно. Доказуемо ли?

По поводу TMR - есть описание интересного граничного случая на сайте Дм. Иоффе, когда двое сбрендивших могут забить вменяемого.

https://habr.com/ru/articles/1027424/

1. Изо всех сил стараюсь не кормить троллей. 2. aka "Точка Опоры", "Ник, @ля, опять потерялся" и "ForcePoint".

Ответить

- по статистике ~25% ошибок ПО это Переполнение буфера, утечки памяти, использование «висячих» указателей. стандартный lockstep этого как раз не ловит из за зеркальности программы. - local29(27.04.2026 17:28, )
  - Вы тут в одну кучу смешали ошибки ПО и аппаратные ошибки. Разумеется эффективные методы обнаружения/защиты у них разные, и методы против аппаратных ошибок весьма ограниченно помогают от ошибок ПО, или вообще не помогают. - AlexBi(28.04.2026 08:58)
    - Смотря какие аппаратные ошибки. Радиация изменила регистр, или регистр программно перезаписался - один и тоже эффект будет. Смотря что ловить. - BeceлыйCPU(28.04.2026 14:16, )
      - Регистр программно перезаписался потому что так программа написана? Тогда локстеп не поможет. А если радиация изменила регистр, тогда локстеп поможет. Эффективно бороться одним методом и с аппаратными и с программными ошибками на мой взгляд не возможно, методы борьбы разные, хотя последствия ошибок могут быть одинаковые. - AlexBi(28.04.2026 14:36)
    - Он еще не учел что программирование на языках 61131-3 напрочь освобождает от буферов, указателей и прочих опасных сущностей. - Cкpипaч(28.04.2026 13:51)
      - Можно и там написать программу которая развалит кабину. - Boвa(28.04.2026 20:59)
        
        Ну дык упомянутые 25% ошибок это ни разу не сто. - Cкpипaч(29.04.2026 07:50)
      - Есть и Си-подобные без опасных сущностей. AlexBi(988 знак., 28.04.2026 14:57)
        
        Да, но кто будет проверять контролера? :) Сущностей - три, две копии программы и монитор. Cкpипaч(304 знак., 28.04.2026 18:17)
        
        Если хочется продолжать работу не смотря прилет альфа-частицы, тогда сущностей четыре: три копии и контролер. AlexBi(324 знак., 28.04.2026 18:57)
        
        ...Мы просто пару релюх рядом с контроллером ставим. Потому что обычно задача обычно формулируется так - "Ни при каких условиях не должно перегреться/остынуть/вылится на пол". Такой подход поддаётся верификации. Cкpипaч(136 знак., 28.04.2026 19:29)
  - а на Ladder-е магёшь? Vit(1 знак., 28.04.2026 01:37, картинка, +1)
  - И ? - VLLV(27.04.2026 20:26)
- Lockstep: Сравнивает физическое состояние (биты в регистрах, адреса на шине) такт за тактом. Все ядра должны быть идентичны до последнего бита (pp. 9, 13). local29(587 знак., 27.04.2026 17:13, )
- То есть, походу без болтовни и перехода на личности, тему вменяемо по сути так никто и не обсудит. форум таксистов - local29(27.04.2026 17:00, )
  - Очень корректно всех сразу обделал. Без перехода на личности. Чувствуется высокий класс ведения дискуссии :-) - il-2(27.04.2026 17:06)
    - за таксистов как-то обидно стало - POV(27.04.2026 17:11)
- Вот вам еще немного этого Корбюзье Boвa(250 знак., 26.04.2026 17:15, ссылка, ссылка)
  - Зря ты так, о своем земляке. Ужгородский университет. - Cкpипaч(26.04.2026 17:29)
    - Этого Корбюзье лечить надо, пока он не начал с ножиком бегать по улицам за прохожими - Boвa(26.04.2026 18:16)
      - Вы знакомы лично? - Cкpипaч(26.04.2026 19:05)
        
        Проcмотрел творчество субъекта на пикабэ. -> Обнаружил тенденцию. -> Поделился своим мнением. - Boвa(26.04.2026 19:15)
        
        Моё мнение - парень просто варится в своём соку. Ну и дурное влияние маркетологов развития личного бренда очень чувствуется. А так - не глупый, просто Тернополь немного не то место где сейчас решается сутьба современной науки. - Cкpипaч(26.04.2026 19:31)
        
        Кустарь-одиночка без мотора. В хорошем смысле. Просто никому не нужен. - Бapбoc(26.04.2026 19:41)
        
        Моё мнение: Все хорошо, резюме красивое, в соц.сетях - представлен, пора открыто заявить миру что ищет работодателя. Cкpипaч(87 знак., 26.04.2026 19:44)
        
        Дык, позови. - Бapбoc(26.04.2026 19:48)
        
        Посмотрим. Пусть сначала попросится. Я работодатель капризный ;-) Cкpипaч(865 знак., 26.04.2026 20:48)
        
        Я использую трюки в программировании для повышения надежности и основано это всё на VLLV(950 знак., 27.04.2026 08:57)
        
        Понятно. Но мне интерестна другая сторона этой медали - как это соотносится с нормативкой? Cкpипaч(221 знак., 27.04.2026 09:18)
        
        При какой сертификации? Той нормативной фальшивкой, которую делают за деньги? Всё нивелировано. Формально можно сертифицировать по ISO/IEC 25010 (или соответствующему ГОСТ Р), но что пишет ИИ : "Пожалуй, самым серьезным недостатком ISO 25010 является полное отсутствие конкретных примеров применения модели к практическим, реальным системам . Это оставляет команды разработчиков и других заинтересованных лиц, работающих с системой, в невыгодном положении." Вот этот самый VLLV(108 знак., 27.04.2026 10:06)
        
        Оно не столько "нах не надо", сколько не поддаёца формализации. "Сделал так - стало помехоустойчиво". Да и собсно испытания, это процэсс вероятностный. Можэт сбойнёт от воздействия, а, можэт и нет. Можно потратить хуеву тучу времени на отработку ПО, жэлеза, испытаний, но неудачно разместить на объекте и вуаля: прилетает космическая частица с неудачного ракурса и выводит из строя все три управляющих компутера. И ужэ никто никуда не летит. - mse homjak(27.04.2026 10:32)
        
        Именно поэтому сертификаторы все же начинают с угроз. С их фиксации и оценки. Если что-то в реальном мире можно перегреть, разлить, разбить бросив о стену, то верификация снижения опасности становится доказательной. - Cкpипaч(27.04.2026 17:28)
- Иногда посты с хабарки репостят на пикабэ, но в данном случае все пошло в обратном направлении. По ссыле полное творчество афтора Boвa(43 знак., 25.04.2026 22:53, ссылка)
  - Блин, у него там сплошь STM32F103 — это ж самая дикая дичь с охрененно толстой эрратой! Ну, как бы совсем со словом "отказоустойчивый" не сочетается! Я бы G431 взял, скажем… - Eddy_Em(26.04.2026 00:22)
    - Дело не в этом. Есть база - "проектирование сверху-вниз" (от задачи к реализации). Cкpипaч(595 знак., 26.04.2026 09:01)
    - Эррата не имеет отношения к надежности от слова совсем. Эррата - это детерминированные отличия от даташита. И только. Ограничения даташита ничем от ограничений эрраты не отличаются. - my504(26.04.2026 07:16)
      - Ну вот для меня часто критично, чтобы CAN и USB работали вместе. Или нужна переключаемая встроенная подтяжка на USART Rx, и и.д., и и.п. Eddy_Em(422 знак., 26.04.2026 10:19)
        
        Все это ничего про надежность не содержит. Чисто про наличие или отсутствие некоего функционала. - my504(26.04.2026 14:19)
        
        По ссылке на БХ тоже вообще ничего про надежность. Бред какой-то сплошной. Eddy_Em(38 знак., 26.04.2026 22:14)
- Тема верная. Ответы - ниочем - Local28(25.04.2026 16:07, )
  - Пацан, написавший, вообще не в курсе что такое отказоустойчивость. И то что он делал - маструбация. - Cкpипaч(25.04.2026 16:21)
    - Чувствуется, задели за живое ! - De_user(25.04.2026 16:35)
      - Это точно - Local28(25.04.2026 16:43, )
    - В Отказоустойчивость не входит детекция ошибок в том числе сбоя счетчика команд? Или отказоустойчивость это только разводка платы, провода и прочее? - Local28(25.04.2026 16:34, )
      - А зачем вам отказоустойчивость, кроме как для пиписькометрии? Начните с того, под какую нормативку вам нужно. Кто, из акредитованных, будет сертифицировать, каковы именно их требования. Каковы отраслевые нормы. Хватит ли вам "экономики" на весь этот паравоз. А то много тут, желающих "счетчик команд" проверять. Cкpипaч(32 знак., 25.04.2026 18:10, +1)
      - В отказоустойчивость входит вилка, выпавшая их розетки. Сначала её надо пришурупить как следует :-) - SciFi(25.04.2026 16:36)
        
        Быль. Мне рассказал отец. Он работал на одном из предприятий Рязани, которое работает на космос. my504(571 знак., 26.04.2026 07:11)
        
        Говорят, чтобы стать водителем недостаточно закончить автошколу, многому учит первое ДТП :) Cкpипaч(102 знак., 26.04.2026 08:51 - 15:12)
        
        Я однажды самый большой в Евразии телескоп сломал... Eddy_Em(90 знак., 26.04.2026 10:21)
        
        промывать оптическую ось - Vit(26.04.2026 11:49)
        
        Кто-то мне рассказывал, что ещё в советское время очередной проверяльщик задал вопрос: зачем вам каждый год бочка чистейшего этанола? Ему так и ответили. Он понимающе кивнул и отстал :) Eddy_Em(86 знак., 26.04.2026 12:18)
        
        Разве оптику телескопов этанолом промывают, а не гексаном каким-нибудь? - reZident(26.04.2026 12:56)
        
        Оптику? В противогазе и ОЗК? - Toчкa oпopы(26.04.2026 13:01)
        
        Гексан это один из простых углеводородов, а не отравляющий газ. :-))) - reZident(26.04.2026 13:20)
        
        Ну ладно, "ан" пропустил. Оба 4 класса опасности. Этиловый - 1 г/м³, гексан - 0,3 г/м³ (ПДК в воздухе рабочей зоны, среднесменные значения). Но, согласитесь, этиловый пахнет приятнее бензина. - Toчкa oпopы(1 знак., 26.04.2026 14:18, ссылка)
        
        Слава богу, проверяющие таких слов не знают. - Kpoк(26.04.2026 13:37)
        
        Какие проверяющие? Гексан и октан входят в состав бензинов! В советское время октан продавался в магазинах бытовой химии. А гексан часто использовали фотолюбители для промывки оптики фотоаппаратов. - reZident(26.04.2026 13:42)
        
        те, которые делали умный вид, когда кладовщик показывал накладную, по которой спирт отпускался "для промывки оптических ОСЕЙ" Vit(55 знак., 26.04.2026 16:06)
        
        Однажды у нас в подразделении проверяющие нашли уцелевшие остатки спирта выданного на протирку контактов. Скандал был не слабый. Чуть в подпольные алкоголики не записали. Никто не поверил что спирт мог храниться 20 лет. - AlexG(26.04.2026 18:00)
        
        У матушки где-то хранится непочатая литровка спирта "Рояль". - Бapбoc(26.04.2026 18:04)
        
        Что потом происходит, раскрыто в фильме "За спичками" :-) - il-2(1 знак., 27.04.2026 06:36, ссылка)
        
        У меня стоит. Не рояль, но куплен не раньше 2000г. - Cкpипaч(26.04.2026 19:06)
        
        У меня тоже. Ах, пардон, вы про рояль. - Бapбoc(26.04.2026 19:27)
        
        Не дай бог так оголодать. - Kpoк(26.04.2026 14:11)
        
        Потому и научные успехи такие слабые. Cкpипaч(33 знак., 26.04.2026 12:51)
        
        Ага. Была история, как наш вирусолог вроде бы работал в Оксфорде. Где-то там в лаборатории по привычки хряпнул спирта. А он оказался метиловым. SciFi(2049 знак., 26.04.2026 13:13, ссылка)
        
        Это какой-то неправильный русский профессор. ЫЫyкпy(1 знак., 26.04.2026 19:50, картинка)
        
        Удобный повод... - SciFi(26.04.2026 10:25)
        
        По ТБ низя, если прибор движется: вдруг кабель порвется? Eddy_Em(277 знак., 25.04.2026 17:57)
- Только я вижу тут лютый фейспалм? SciFi(1321 знак., 24.04.2026 22:52)
  - Если программа работает, то количество ошибок в ней чётное. - Бapбoc(24.04.2026 23:04)
    - Не факт ☺ Eddy_Em(665 знак., 24.04.2026 23:22)
      - Если арифметика троичная, то количество багов кратно трем. - Kpoк(24.04.2026 23:53)
        
        Арифметика не привязана к системе счисления. Да, зануда. И речь не про арифметику, а про другое. - Бapбoc(24.04.2026 23:59)
        
        Но там и логика троичная. - Kpoк(25.04.2026 08:13)
        
        Это у блондинок логика троичная: "да", "нет" и "может быть" :) - Eddy_Em(25.04.2026 09:04)
        
        ..."ни да, ни нет", "и да, и нет" и "ой, всё!" :) - Cкpипaч(25.04.2026 09:10)
        
        Последнее -- это HardFault. - Бapбoc(25.04.2026 12:49)
        
        ....у йоного мужика :) - Cкpипaч(25.04.2026 12:54)
      - За сколько отладок баг с периодом возникновения в 300 дней отловил? - Nikolay_Po(24.04.2026 23:30)
        
        Я и внимание-то на него обратил лишь при втором возникновении... Eddy_Em(661 знак., 24.04.2026 23:37)
        
        Вот так счастливый обладатель машины времени и спалился... - SciFi(24.04.2026 23:33)
      - Статистика, обобщение. - Бapбoc(24.04.2026 23:28)
- "Отказоустойчивый" - это же еще и утроение всяких "мозгов". Ну или хотя бы удвоение: пока один МК работает, второй спит; как первый помер, второй "проснулся"… - Eddy_Em(24.04.2026 22:44)

Кибернетика, автоматика, протоколы