JP2007011639A - Input/output control apparatus, information control apparatus, input/output control method, and information control method - Google Patents
Input/output control apparatus, information control apparatus, input/output control method, and information control method Download PDFInfo
- Publication number
- JP2007011639A JP2007011639A JP2005190874A JP2005190874A JP2007011639A JP 2007011639 A JP2007011639 A JP 2007011639A JP 2005190874 A JP2005190874 A JP 2005190874A JP 2005190874 A JP2005190874 A JP 2005190874A JP 2007011639 A JP2007011639 A JP 2007011639A
- Authority
- JP
- Japan
- Prior art keywords
- processors
- processor
- input
- reliability
- output
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Hardware Redundancy (AREA)
Abstract
Description
本発明は、入出力制御装置,情報制御装置,入出力制御方法及び情報制御方法に関する。 The present invention relates to an input / output control device, an information control device, an input / output control method, and an information control method.
原子力プラントや化学プラントなど潜在的な危険性の高いプロセス設備では、万が一の事態に作業員および周辺環境への影響を低減するため、隔壁等の防護設備による受動的な対策および、緊急停止装置等の安全装置を用いる能動的な対策が講じられる。このうち、安全装置等の制御手段は、従来リレー等の電磁的・機械的手段により実現されていた。しかし、近年、Programmable Logic Controller(PLC) に代表されるプログラム可能な制御機器における技術の発展に伴い、これらを安全制御システムの制御手段として利用するニーズが高まっている。 In potentially dangerous process facilities such as nuclear power plants and chemical plants, passive measures such as bulkheads and emergency stop devices are used to reduce the impact on workers and the surrounding environment in the event of an emergency. Active measures are taken using the safety device. Of these, control means such as safety devices have been realized by electromagnetic / mechanical means such as relays. However, in recent years, with the development of technology in programmable control equipment represented by Programmable Logic Controller (PLC), there is an increasing need to use these as control means of a safety control system.
IEC61508−1〜7,“Functional safety of electrical/electronic/
programmable electronic safety-related systems”part1〜part7(IEC61508と略称する)(非特許文献1)は、そのような動向に対応して発行された国際規格であり、電気的/電子的/プログラム可能な電子的装置を安全制御システムの一部に利用する場合の要件が規定されている。IEC61508では、安全制御システムの能力の尺度としてSafety Integrity Level(SIL)を定義し、1から4までのレベルに対応する水準の要求事項を規定している。SILが高いほどプロセス設備の持つ潜在的な危険性を低減できる度合が大きいことを示す。すなわち、プロセス設備の異常を検出した際、どれだけ確実に所定の安全制御を実施できるかを意味する。
IEC61508-1 to 7, “Functional safety of electrical / electronic /
Programmable electronic safety-related systems “part 1 to part 7 (abbreviated as IEC 61508) (Non-Patent Document 1) is an international standard issued in response to such trends, and is an electronic / electronic / programmable electronic device. IEC61508 defines Safety Integrity Level (SIL) as a measure of the safety control system's capability and supports levels from 1 to 4 The higher the SIL, the greater the degree to which the potential danger of the process equipment can be reduced, i.e. how reliably it is determined when an abnormality in the process equipment is detected. It means that safety control can be implemented.
安全制御装置は、通常稼働状態で非活性となっていても、プロセス設備の異常発生時には直ちに活性化することを求められる。そのため、常時自己診断を行い、自身の健全性をチェックし続けることが重要となる。また、高いSILが要求される安全制御システムでは、未検出の故障によりシステムが不動作となる確率を極小とするため、広範囲・高精度な自己診断を実施する必要がある。 Even if the safety control device is inactive in the normal operation state, it is required to be activated immediately when an abnormality occurs in the process equipment. Therefore, it is important to always perform self-diagnosis and check its own soundness. In addition, in a safety control system that requires a high SIL, it is necessary to perform a wide range and high accuracy self-diagnosis in order to minimize the probability that the system will not operate due to an undetected failure.
IEC61508では、安全制御装置を構成する要素部品の種類ごとに、各々適用される自己診断技法を紹介し、それぞれの技法の有効性を診断率という形で示している。診断率は、各構成要素における全故障のうち、その診断技法を採用したとき検出可能な故障の割合を示す。例えば、米国登録6779128号公報(非特許文献2)に記載されているRAMの診断技法“abraham” では、最高99%の診断率を主張可能であるとされている。 In IEC61508, self-diagnosis techniques to be applied are introduced for each type of component parts constituting the safety control device, and the effectiveness of each technique is shown in the form of a diagnostic rate. The diagnosis rate indicates the proportion of failures that can be detected when the diagnosis technique is adopted among all failures in each component. For example, in the RAM diagnostic technique “abraham” described in US Pat. No. 6,779,128 (Non-patent Document 2), a diagnosis rate of up to 99% can be claimed.
また、各構成要素の一つであるプロセッサの故障検出手段としては、複数のプロセッサを用いて、相互の出力結果の整合性を監視する方法が有効である。 Further, as a failure detection means for a processor which is one of the constituent elements, a method of monitoring the consistency of the mutual output results using a plurality of processors is effective.
複数のプロセッサ出力を相互診断する方式としては、各々のプロセッサが同様の制御処理を同時に実行し、その出力が一致していることを確認しあう手段が効果的である。 As a method of mutually diagnosing a plurality of processor outputs, a means is effective in which each processor simultaneously executes the same control process and confirms that the outputs match.
この代表的な例としては、特開平6−290066号公報(特許文献1)に記載されるように、2つのプロセッサを同期して実行させるとともに、入力値も同一の情報とすることで、出力を一致化させる手法により、プロセッサの健全性を確認する方法が挙げられる。 As a typical example, as described in Japanese Patent Laid-Open No. Hei 6-290066 (Patent Document 1), two processors are executed synchronously, and the input value is also set to the same information, so that the output is performed. There is a method of confirming the soundness of the processor by a method of matching the two.
プログラマブル電子装置に要求される信頼性の要素には可用性と安全性がある。機器の制御では可用性が重要となり、機器の保護では安全性が重要となる。これら2要素の実現手段は二律背反している部分が多い。 Reliability elements required for programmable electronic devices include availability and safety. Availability is important for device control, and safety is important for device protection. There are many contradictory parts of the means for realizing these two elements.
このため、従来は可用性を担う部分装置と安全性を担う部分装置に分けるのが常識とされてきた。このために装置が大型化するだけでなく、運転・保守作業の重複・複雑化が人的要素の信頼性低下を招くことがあった。 For this reason, conventionally, it has become common sense to divide into a partial device responsible for availability and a partial device responsible for safety. For this reason, not only the apparatus is increased in size, but also duplication and complexity of operation / maintenance work may lead to a decrease in the reliability of human factors.
本発明の目的は、複数のプロセッサを用いて装置の小型高性能化と安全性を両立する高信頼のプログラマブル電子装置を提供することにある。 SUMMARY OF THE INVENTION An object of the present invention is to provide a highly reliable programmable electronic device that uses a plurality of processors to achieve both high performance and safety of the device.
高い安全性が要求される制御システムでは、特開平6−290066号公報(特許文献1)に記載のように、複数のプロセッサの出力を照合することで、プロセッサの健全性を確認し、一致した場合のみ後段のメモリ,IOに出力する手法がとられている。 In a control system that requires high safety, as described in Japanese Patent Laid-Open No. Hei 6-290066 (Patent Document 1), the soundness of the processors is confirmed by matching the outputs of a plurality of processors, and they match. Only in such a case, a method of outputting to a subsequent memory or IO is employed.
この手法によると、各プロセッサの動作タイミングを一致させるとともに、制御入力情報も各プロセッサに同一の値が渡るよう読合せることで、出力を一致させていた。 According to this technique, the operation timing of each processor is matched, and the control input information is read so that the same value is passed to each processor, thereby matching the output.
しかしながら、制御対象が複雑になるにつれ、プロセッサも高性能になり、複数のプロセッサより構成された制御システムでは、ひとつのクロックを複数のプロセッサに入力しても、それぞれに出力するクロックが周波数,位相で同一になることが保障されなくなってきている。 However, as the control target becomes more complex, the processor becomes more sophisticated, and in a control system composed of multiple processors, even if one clock is input to multiple processors, the clocks output to each of the frequency and phase It is no longer guaranteed to be the same.
このように、今後の複数プロセッサで構成された制御装置では、プロセッサ出力の同期化が困難となるため、複数プロセッサの出力同士を照合し、プロセッサの健全性を診断するには、プロセッサの出力の同期,非同期に関わらず、出力同士を照合する方式が必要である。また、プロセッサの出力同士を比較するため、複数のプロセッサで一つの処理を実行する必要があり、プロセッサ1台あたりの処理性能は通常の処理に比べ半分に低下する。 In this way, in future control devices composed of a plurality of processors, it becomes difficult to synchronize the processor outputs. Therefore, in order to collate the outputs of the processors and diagnose the soundness of the processors, Regardless of whether it is synchronous or asynchronous, there must be a method for collating outputs. In addition, in order to compare the outputs of the processors, it is necessary to execute one process by a plurality of processors, and the processing performance per processor is reduced to half that of normal processes.
一方、プログラマブル電子装置には、安全性のような信頼性以外に、ネットワークの処理や、プロセッサの出力同士を照合してまでの信頼性を要求しない通常の制御処理を高速に実行し、利便性を向上したいという要求もある。特に、高速に制御処理を実行したい場合や、大量のデータを扱うネットワーク処理を実行したい場合、これらの処理を実行するプログラマブル電子装置と、信頼性を要求する処理を実行するプログラマブル電子装置を分割する必要があった。 On the other hand, in addition to reliability such as safety, programmable electronic devices perform network processing and normal control processing that does not require reliability until the outputs of the processors are compared with each other at high speed. There is also a demand to improve. In particular, when it is desired to execute control processing at high speed or to perform network processing that handles a large amount of data, the programmable electronic device that executes these processing and the programmable electronic device that executes processing that requires reliability are divided. There was a need.
上記目的を達成するために、本発明では、相対的に信頼性が高い演算の要求があった場合、複数のプロセッサで同様の演算が行われるように、複数のプロセッサの少なくとも一つに対して、相対的に信頼性が低い演算から相対的に信頼性が高い演算の実行を指示し、複数のプロセッサの演算結果を比較し、比較結果に基づいてプロセッサの演算にかかるデータの出力を許可するように構成した。 In order to achieve the above object, according to the present invention, when there is a request for a relatively reliable operation, at least one of the plurality of processors is performed so that the same operation is performed by the plurality of processors. Instructs execution of relatively reliable operation from relatively unreliable operation, compares operation results of multiple processors, and allows output of data related to processor operations based on the comparison result It was configured as follows.
本発明によれば、安全性のような信頼性以外に、ネットワークの処理や、プロセッサの出力同士を照合してまでの信頼性を要求しない通常の制御処理を高速に実行し、利便性を向上することが可能となる。 According to the present invention, in addition to reliability such as safety, network processing and normal control processing that does not require reliability until collating the outputs of the processors are executed at high speed, improving convenience. It becomes possible to do.
まず、発明を実施するための最良の形態を説明するにあたって概念的な説明を行うと、高信頼と高性能を必要とする制御装置において、高信頼が必要な場合は複数のプロセッサで動作し、出力同士を照合し、プロセッサを診断することにより、プロセッサの健全性を確認する機能と、プロセッサが独立の処理を行い性能向上を図る機能を備えた、CPU出力照合を実現するものである。 First, a conceptual explanation will be given in describing the best mode for carrying out the invention. In a control device that requires high reliability and high performance, when high reliability is required, it operates with a plurality of processors. By collating outputs and diagnosing the processor, a CPU output collation is realized which has a function of confirming the soundness of the processor and a function of the processor performing independent processing to improve performance.
より具体的には、以下の点を特徴とする。
(1)1つの制御装置に複数のプロセッサを備え、プロセッサ毎にアクセスするIOが高信頼な制御結果を期待するのか否かを判定する手段と、複数のプロセッサ出力を比較し一致していることを判定する手段と、高信頼な制御結果を期待するIOへのプロセッサのアクセスは、少なくとも複数のプロセッサの出力結果が一致している場合のみに許可し、単独のプロセッサがアクセスの場合、他のプロセッサが同一の出力結果を出力するまで待たせる手段を備える。
(2)1つの制御装置内に備えた複数のプロセッサは、プロセッサ毎に異なる機能を処理する実行する手段と、プロセッサから別のプロセッサの処理を中断するための手段を備える。
(3)信頼性を要求するIOへの出力を行う処理を実行するプロセッサは、他のプロセッサに処理を中断する手段を用いて、他のプロセッサの処理を中断し、信頼性を要求する
IOへの出力を行う処理を実行させる手段を備える。
More specifically, it is characterized by the following points.
(1) A control device is provided with a plurality of processors, and a means for determining whether or not an IO that accesses each processor expects a highly reliable control result is compared with a plurality of processor outputs to match. And the processor access to the IO that expects a reliable control result is allowed only when the output results of at least a plurality of processors match, and when a single processor is accessing, Means is provided for waiting until the processor outputs the same output result.
(2) The plurality of processors provided in one control device includes means for executing a function different for each processor and means for interrupting processing of another processor from the processor.
(3) A processor that executes processing for outputting to an IO requiring reliability interrupts the processing of the other processor by using means for interrupting the processing to the other processor, and transfers to the IO requiring reliability. Means for executing the process of outputting the above.
以下、本発明の実施例を図面を用いて説明する。本発明による第1の実施の形態である制御システムの構成を図1に示す。ここでは、プロセッサが2個の場合について説明するが、実際の実施形態においてプロセッサの台数に制限は無く、それにより本発明が制約を受けることはない。 Embodiments of the present invention will be described below with reference to the drawings. FIG. 1 shows the configuration of the control system according to the first embodiment of the present invention. Here, a case where there are two processors will be described. However, in the actual embodiment, the number of processors is not limited, and the present invention is not limited thereby.
また、ここで説明する制御システムはメモリ回路に接続されることを前提としており、特に明示しないものとする。 The control system described here is assumed to be connected to a memory circuit, and is not particularly specified.
A系プロセッサ1は、制御タスクを実行し、B系プロセッサ3は通信タスクを実行するもとのする。また、A系プロセッサ1とB系プロセッサ3は必ずしも同一周波数の同一位相で同期動作する必要もない。 The A processor 1 executes a control task, and the B processor 3 executes a communication task. Further, the A-system processor 1 and the B-system processor 3 do not necessarily have to operate synchronously at the same frequency and the same phase.
A系プロセッサ1はアドレス信号,データ信号からなるA系プロセッサバス50を出力する。また、A系プロセッサ1はバスアクセス開始時、バススタート信号51をアサートする。A系インターフェース部2はA系バスレディー信号67または、A系割込制御レディー信号68がアサートされるまで、A系ウエイト信号52をアサートしつづける。A系プロセッサ1がライトアクセスを実行する場合、A系プロセッサ1はA系ウエイト信号
52がアサートしている間は、A系プロセッサバス50にアドレスとデータを出力しつづける。A系プロセッサがリードを実行する場合、A系プロセッサ1はA系ウエイト信号
52がアサートしている間は、A系プロセッサバス50にアドレスを出力しリードデータを待ち続け、A系ウエイト信号52がネゲートした時、A系プロセッサバス50上のデータの値をリード値として取り込む。
The A system processor 1 outputs an A
B系についても同様であり、B系プロセッサ3はアドレス信号,データ信号からなるB系プロセッサバス55を出力する。また、B系プロセッサ3はバスアクセス開始時、バススタート信号57をアサートする。B系インターフェース部4はB系バスレディー信号
65、または、B系割込制御レディー信号69がアサートされるまで、B系ウエイト信号56をアサートしつづける。B系プロセッサ3がライトアクセスを実行する場合、B系プロセッサ3はウエイト信号57がアサートしている間は、B系プロセッサバス55にアドレスとデータを出力しつづける。B系プロセッサ3がリードを実行する場合、B系プロセッサ3はウエイト信号56がアサートしている間は、B系プロセッサバス55にアドレスを出力しリードデータを待ち続け、ウエイト信号56がネゲートした時、B系プロセッサバス55上のデータの値をリード値として取り込む。
The same applies to the B system, and the B system processor 3 outputs a B
A系エリア判定部13は、A系プロセッサバス50のアドレスの値より、現在アクセスするデバイスが高信頼IO18なのか否かを判定する機能を備え、A系プロセッサ1が高信頼IO18へアクセスする場合、A系高信頼アクセス信号60をアサートする。
The A-system
B系エリア判定部14は、B系プロセッサバス55のアドレスの値より、現在アクセスするデバイスが高信頼IO18なのか否かを判定する機能を備え、B系プロセッサ3が高信頼IO18へアクセスする場合、B系高信頼アクセス信号61をアサートする。
The B-system
比較部15は、A系プロセッサバス50とB系プロセッサバス55を比較する機能を備え、A系プロセッサバス50とB系プロセッサバス55のアドレスとライトかリードかのアクセスタイプ,ライトデータを比較し、一致していた場合、比較結果一致信号62をアサートする。
The
システムバスインターフェース部16はA系プロセッサバス50,B系プロセッサバス55,A系高信頼アクセス信号60,B系高信頼アクセス信号61,比較結果一致信号
62に従い、システムバス17を介して、高信頼IO18,通常IO20,ネットワークIO22へアクセスする。
The system
高信頼IO18は信頼性が要求される入出力装置19に接続している。
The high-
通常IO20は通常の信頼性で十分な入出力装置21に接続している。
The
ネットワークIO22とは、ネットワーク23とのインターフェースを取り、受信処理等のプロセッサによる処理が必要な場合、ネットワーク割込66をアサートしプロセッサからの処理を期待する装置である。
The
エラー検出部12はA系高信頼アクセス信号60,B系高信頼アクセス信号61,比較結果一致信号62に従い、A系プロセッサ1とB系プロセッサ3は正常に動作しているか障害を起こしているかを判定する機能を備え、障害を起こしていると判定した場合、障害報告信号64をアサートする。
The
割込制御部5は、A系プロセッサ1へのA系割込信号53とB系プロセッサ3への割込信号54を制御する機能を備え、A系割込信号53をアサートするためのA系割込要求レジスタ6と、割込の要因を示すA系割込要因レジスタ8で構成する。また、B系割込信号54をアサートするのためのB系割込要求レジスタ7と、割込要因を示すB系割込要因レジスタ9を備える。
The interrupt control unit 5 has a function of controlling the A-system interrupt
A系プロセッサ1,B系プロセッサ3に独立に割り込みを与えることが可能な構造になっている。また、A系割込要求レジスタ6,A系割込要因レジスタ8,B系割込要求レジスタ7,B系割込要因レジスタ9はA系プロセッサ1とB系プロセッサ3からアクセスすることが可能な構造になっている。
The structure is such that an interrupt can be independently given to the A-system processor 1 and the B-system processor 3. The A system interrupt request register 6, the A system interrupt
さらに、外部から障害報告信号64とネットワーク割込66が入ってくる。A系割込信号53は、A系割込要求レジスタ6から発生する割り込みか、障害報告信号64とから発生する割り込みを伝える。ここで、障害報告信号64とから発生する割り込みは、A系割込要求レジスタ6から発生する割り込みより優先する。
Further, a
B系割込信号54は、B系割込要求レジスタ7から発生する割り込みか、ネットワーク割込66,障害報告信号64から発生する割り込みを伝える。ここで、障害報告信号64から発生する割り込みは、B系割込要求レジスタ7から発生する割り込みより優先し、B系割込要求レジスタ7から発生する割り込みは、ネットワーク割込66より優先する。つまり、優先順に並べると、障害報告信号64とから発生する割り込み、B系割込要求レジスタ7から発生する割り込み、ネットワーク割込66の順序になる。
The B system interrupt
図2は、システムバスインターフェース部16の動作状態を説明する状態遷移図である。
FIG. 2 is a state transition diagram for explaining the operation state of the system
システムバスインターフェース部16は、図2に示す4つの状態を持っている。
The system
状態200はアイドル状態を示していて、A系プロセッサ1,B系プロセッサ3ともにシステムバス17にアクセスしていない状態を示している。
A
状態201はA系プロセッサアクセス状態を示していて、A系プロセッサ1が通常IO18をアクセスしていることを示している。
A
状態202はB系プロセッサアクセス状態を示していて、B系プロセッサ3がネットワークIO22をアクセスしていることを示している。
A
状態203はA系とB系のプロセッサが高信頼IO18へアクセスしている状態を示している。
A
状態200から状態201への遷移条件204は、A系プロセッサ1がアクセスを開始し、かつ、A系高信頼アクセス信号60がアサートしていない条件で成立する。
The
状態200から状態202への遷移条件206は、A系プロセッサ1がアクセスを開始しておらず、かつ、B系プロセッサ3がアクセスを開始し、かつ、B系高信頼アクセス信号61がアサートしていない条件で成立する。
The
状態200から状態203への遷移条件208は、A系プロセッサ1がアクセスを開始し、かつ、A系高信頼アクセス信号60がアサートし、かつ、B系プロセッサ3がアクセスを開始し、かつ、B系高信頼アクセス信号61がアサートし、なおかつ、比較結果一致信号62がアサートしている条件で成立する。この条件は、A系プロセッサ1,B系プロセッサ3がともに、高信頼IO18の同一アドレスへアクセスしていることを示す。
The
遷移条件205は、通常IO20からシステムバス17を介してアクセス完了を示す報告により成立し、遷移条件207は、ネットワークIO22からシステムバス17を介してアクセス完了を示す報告により成立し、遷移条件209は、高信頼IO18からシステムバス17を介してアクセス完了を示す報告により成立する。
The
この状態遷移によりシステムバスインターフェース部16は、A系エリア判定部13,B系エリア判定部14の判定結果に従い、A系プロセッサ1,B系プロセッサ3の要求に応じ、システムバス17に接続した高信頼IO18,通常IO20,ネットワークIO22のいずれか一つのアクセスを許可する。特に、高信頼IO18へのアクセスは、A系プロセッサ1,B系プロセッサ3がともに、高信頼IO18の同一アドレスへアクセスしていることを示す遷移条件208が成立する必要がある。
Due to this state transition, the system
また、A系バスレディー信号67は遷移条件205と遷移条件209が成立した時にアサートし、B系バスレディー信号65は遷移条件207と遷移条件209が成立した時にアサートする。
The A-system bus
図3はエラー検出部12の動作を示した状態遷移図である。
FIG. 3 is a state transition diagram showing the operation of the
状態300はアイドル状態でA系プロセッサ,B系プロセッサ共に高信頼IO18にアクセスしていない状態を示す。
A
状態301はA系プロセッサ1が高信頼IO18をアクセスし、自プロセッサの出力と同じ出力をB系プロセッサ3が出力するまで待っている状態である。
A
状態302はA系プロセッサ1が高信頼IO18をアクセスし、自プロセッサの出力と同じ出力をB系プロセッサ3が出力するまで待機していたが、一定時間経過し、タイムアウトエラーと判定した状態である。
The
状態303はA系プロセッサ1とB系プロセッサ3が高信頼IO18をアクセスしたが、それぞれのプロセッサの出力が一致していなくエラー判定した状態である。
A
状態305はB系プロセッサ3が高信頼IO18をアクセスし、自プロセッサの出力と同じ出力をA系プロセッサ1が出力するまで待っている状態である。
A
状態304はB系プロセッサ3が高信頼IO18をアクセスし、自プロセッサの出力と同じ出力をA系プロセッサ1が出力するまで待機していたが、一定時間経過し、タイムアウトエラーと判定した状態である。
The
遷移条件306は、A系高信頼アクセス信号60がアサートし、B系高信頼アクセス信号61がアサートしていない条件で成立する。
The
遷移条件307は、B系高信頼アクセス信号61がアサートし、比較結果一致信号62がアサートした条件で成立する。
The
遷移条件309は、B系高信頼アクセス信号61がアサートし、比較結果一致信号62がアサートしない条件で成立する。
The
遷移条件308は、遷移条件307,309が成立しないで、一定時間経過した条件で成立する。
The
遷移条件316は、B系高信頼アクセス信号61がアサートし、A系高信頼アクセス信号60がアサートしていない条件で成立する。
The
遷移条件315は、A系高信頼アクセス信号60がアサートし、比較結果一致信号62がアサートした条件で成立する。
The
遷移条件312は、A系高信頼アクセス信号60がアサートし、B系高信頼アクセス信号61がアサートし、比較結果一致信号62がアサートしない条件で成立する。
The
遷移条件313は、遷移条件315,312が成立しないで、一定時間経過した条件で成立する。
The
遷移条件317は、A系高信頼アクセス信号60がアサートし、B系高信頼アクセス信号61がアサートし、比較結果一致信号62がアサートしない条件で成立する。
The transition condition 317 is satisfied under the condition that the A system
遷移条件310,311,314は常に成り立っており、状態302,303,304へ遷移した次のサイクルで状態300へ遷移することを意味する。
The
エラー検出部12は、A系プロセッサ1とB系プロセッサ3の高信頼IO18へのアクセス状態を管理し、高信頼IO18へのアクセスするプロセッサは、自プロセッサの出力と他系のプロセッサの出力が一致しない場合や、他プロセッサが一定時間内に高信頼IO18へアクセスしない場合、状態302,303,304に遷移し、この状態302,
303,304時に障害報告信号64をアサートする。
The
At 303 and 304, the
また高信頼IO18は、障害報告信号64がアサートされると、障害が発生したことを認識し、出力を安全な状態に切り替える。ここで安全な状態とは、現在の出力を保持し続ける場合が安全な状態である場合や、電源が切断した場合と同じ状態が安全である場合もあり、制御する対象に毎に異なる。さらに、エラー検出部12は、障害が発生するとA系プロセッサ1とB系プロセッサ3に対して割込信号53,54を用いて障害割り込みを報告する。障害割り込みを受けたプロセッサは速やかに現状の処理を中断し、障害処理を実行するものとする。
Further, when the
図4はA系プロセッサ1とB系プロセッサ3の正常時の処理動作を示したタイミングチャートである。 FIG. 4 is a timing chart showing processing operations of the A-system processor 1 and the B-system processor 3 in a normal state.
A系プロセッサ1は制御タスク0から順次タスクを処理し、最後の制御タスクnの処理が終了すると、B系プロセッサ高信頼タスクを起動するための起動タスクを実行する。この起動タスクは割込制御部5内部のB系割込要求レジスタ7にアクセスすることによりB系プロセッサ3に割り込みを発生させて終了する。次にA系プロセッサ1は高信頼タスクを実行する。この高信頼タスクは、高信頼IO18に接続した、信頼性が要求される入出力装置19への制御を行う。A系プロセッサ1は制御タスク0から高信頼タスクまでの一連の処理を周期的に実行する。
The A-system processor 1 sequentially processes the tasks from the control task 0, and when the process of the last control task n is completed, executes an activation task for activating the B-system processor high-reliability task. This activation task is terminated by generating an interrupt in the B processor 3 by accessing the B interrupt
一方B系プロセッサ3はネットワークIO22から発生するネットワーク割り込みに従い、通信タスクを逐次処理していき、A系プロセッサ1が実行した起動タスクにより割り込みを受信すると、A系プロセッサと同一の高信頼タスクを実行する。このためA系プロセッサ1とB系プロセッサ3は同一の処理を行うことになり2つのプロセッサの出力が一致していることを保障することができる。B系プロセッサ3は、高信頼タスクの処理が終了すると再び、ネットワークIO22から発生するネットワーク割込66に従い、通信タスクを逐次処理していく。なお、B系プロセッサ3は、割り込みを受信し、処理が完了すると、割込制御部5へアクセスし、割込要因をクリアするものとする。
On the other hand, the B processor 3 sequentially processes communication tasks according to the network interrupt generated from the
また、割込制御部5は、B系割込要求レジスタ7にアクセスすることにより発生する割り込みがB系プロセッサ3に入っている間は、優先度の低いネットワーク割込66をマスクするため、B系プロセッサ3が高信頼タスクを実行している間は、ネットワーク割込66が入らず、処理を中断しない。
The interrupt control unit 5 masks the low-priority network interrupt 66 while an interrupt generated by accessing the B-system interrupt
以上、信頼性を保証する処理を実行するときは、複数のプロセッサで処理を行い、複数の出力結果を比較し、一致している場合のみ出力することにより、信頼性が向上し、信頼性を重要視しない処理は、複数のプロセッサが独立に動作し、処理性能が向上することができる。 As described above, when performing processing that guarantees reliability, processing is performed by multiple processors, multiple output results are compared, and output only when they match, reliability is improved and reliability is improved. In the processing that is not important, a plurality of processors can operate independently, and the processing performance can be improved.
1…A系プロセッサ、3…B系プロセッサ、5…割込制御部、12…エラー検出部、
13…A系エリア判定部、14…B系エリア判定部、15…比較部、16…システムバスインターフェース部、17…システムバス、18…高信頼IO、20…通常IO、22…ネットワークIO。
DESCRIPTION OF SYMBOLS 1 ... A system processor, 3 ... B system processor, 5 ... Interrupt control part, 12 ... Error detection part,
DESCRIPTION OF
Claims (15)
Receiving a request that a plurality of processors should perform operations with relatively high reliability, and relatively high reliability from operations with relatively low reliability to at least one of the plurality of processors Generates a signal instructing the execution of the operation, performs the same operation by a plurality of processors, compares the operation results of the plurality of processors, and permits the output of data related to the operation of the processor based on the comparison result Information control method.
Priority Applications (8)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2005190874A JP4102814B2 (en) | 2005-06-30 | 2005-06-30 | I / O control device, information control device, and information control method |
CA002549540A CA2549540C (en) | 2005-06-10 | 2006-06-07 | A task management control apparatus and method |
US11/447,724 US8161362B2 (en) | 2005-06-10 | 2006-06-07 | Task management control apparatus and method, having redundant processing comparison |
CA2619742A CA2619742C (en) | 2005-06-10 | 2006-06-07 | An input/output control apparatus for performing high reliability computations |
CN2008101300436A CN101329580B (en) | 2005-06-10 | 2006-06-09 | A task management control apparatus and method |
CN2006100917321A CN1877471B (en) | 2005-06-10 | 2006-06-09 | Task management apparatus and method for control apparatus |
CN2007101967958A CN101174135B (en) | 2005-06-10 | 2006-06-09 | Input/output control apparatus, information control apparatus and method |
US13/105,041 US20110214125A1 (en) | 2005-06-10 | 2011-05-11 | Task management control apparatus and method having redundant processing comparison |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2005190874A JP4102814B2 (en) | 2005-06-30 | 2005-06-30 | I / O control device, information control device, and information control method |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2007011639A true JP2007011639A (en) | 2007-01-18 |
JP4102814B2 JP4102814B2 (en) | 2008-06-18 |
Family
ID=37750061
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2005190874A Expired - Fee Related JP4102814B2 (en) | 2005-06-10 | 2005-06-30 | I / O control device, information control device, and information control method |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP4102814B2 (en) |
Cited By (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2007323190A (en) * | 2006-05-30 | 2007-12-13 | Hitachi Ltd | Calculation control system for performing data communication and its communication method |
WO2009025104A1 (en) * | 2007-08-22 | 2009-02-26 | Nec Corporation | Information processor and information processing method |
JP2010160649A (en) * | 2009-01-07 | 2010-07-22 | Hitachi Ltd | Controller and control method |
JP2011113416A (en) * | 2009-11-27 | 2011-06-09 | Hitachi Ltd | Control device and control method |
-
2005
- 2005-06-30 JP JP2005190874A patent/JP4102814B2/en not_active Expired - Fee Related
Cited By (7)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2007323190A (en) * | 2006-05-30 | 2007-12-13 | Hitachi Ltd | Calculation control system for performing data communication and its communication method |
WO2009025104A1 (en) * | 2007-08-22 | 2009-02-26 | Nec Corporation | Information processor and information processing method |
JP5146454B2 (en) * | 2007-08-22 | 2013-02-20 | 日本電気株式会社 | Information processing apparatus and information processing method |
US8468287B2 (en) | 2007-08-22 | 2013-06-18 | Nec Corporation | Information processor and information processing method |
JP2010160649A (en) * | 2009-01-07 | 2010-07-22 | Hitachi Ltd | Controller and control method |
US8255769B2 (en) | 2009-01-07 | 2012-08-28 | Hitachi, Ltd. | Control apparatus and control method |
JP2011113416A (en) * | 2009-11-27 | 2011-06-09 | Hitachi Ltd | Control device and control method |
Also Published As
Publication number | Publication date |
---|---|
JP4102814B2 (en) | 2008-06-18 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CA2549540C (en) | A task management control apparatus and method | |
US5491787A (en) | Fault tolerant digital computer system having two processors which periodically alternate as master and slave | |
US11846923B2 (en) | Automation system for monitoring a safety-critical process | |
JP4102814B2 (en) | I / O control device, information control device, and information control method | |
JP2011186664A (en) | Backup system | |
JP5337661B2 (en) | Memory control device and control method of memory control device | |
JP7267400B2 (en) | Automated system for monitoring safety-critical processes | |
Godunov et al. | Baget real-time operating system family (features, comparison, and future development) | |
JP2008267999A (en) | Programmable control device capable of self-diagnosing during control | |
CA2619742C (en) | An input/output control apparatus for performing high reliability computations | |
JP2006338425A (en) | Controller | |
JP5352815B2 (en) | Control apparatus and control method | |
JP2002229811A (en) | Control method of logical partition system | |
JP6588068B2 (en) | Microcomputer | |
CN110462603B (en) | Microcomputer | |
JP2008152665A (en) | Method for analyzing operation of semiconductor integrated circuit | |
Löser et al. | The benefits of middleware for safety-related systems-on-chip | |
JPH03222020A (en) | Reset system for multi-micro processor system | |
JPS58107932A (en) | Common bus failure check system | |
Driscoll | Integrated modular avionics (IMA) requirements and development | |
CN108415788A (en) | For the data processing equipment and method to being made a response without response processing circuit | |
JPH10247185A (en) | Fault diagnostic system for processor | |
Siegrist | Computer Architecture Group, Computer Science Department, ABB Research Center, Baden, Switzerland | |
JPH05233576A (en) | Duplex system | |
Steininger et al. | INTEGRAL DESIGN OF HARDWARE AND OPERATING |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20071126 |
|
A871 | Explanation of circumstances concerning accelerated examination |
Free format text: JAPANESE INTERMEDIATE CODE: A871 Effective date: 20071126 |
|
A975 | Report on accelerated examination |
Free format text: JAPANESE INTERMEDIATE CODE: A971005 Effective date: 20071207 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20071218 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080215 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080311 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080324 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110328 Year of fee payment: 3 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 4102814 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110328 Year of fee payment: 3 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120328 Year of fee payment: 4 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130328 Year of fee payment: 5 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130328 Year of fee payment: 5 |
|
LAPS | Cancellation because of no payment of annual fees |