JP4335429B2

JP4335429B2 - System switching control device and redundant CPU system of control device

Info

Publication number: JP4335429B2
Application number: JP2000341669A
Authority: JP
Inventors: 健彦西田
Original assignee: Mitsubishi Heavy Industries Ltd
Current assignee: Mitsubishi Heavy Industries Ltd
Priority date: 2000-11-09
Filing date: 2000-11-09
Publication date: 2009-09-30
Anticipated expiration: 2020-11-09
Also published as: JP2002149203A

Description

【０００１】
【発明の属する技術分野】
本発明は、高信頼性が求められるプラント等の制御装置に用いて好適な系切替制御装置、及び制御装置のＣＰＵ（中央演算装置）二重化システムに関する。
【０００２】
【従来の技術】
一般に、高い信頼性が求められるような重要プラント等の制御装置においては、その制御演算を行うＣＰＵモジュールを二重に備えることが求められる。これは、制御中（現用系）のＣＰＵモジュールに異常が発生した場合に、即座にもう片方の待機中（予備系）のＣＰＵモジュールに制御権を移し、制御対象となるプラント等の運転を正常に維持するためであり、そのためのシステムをＣＰＵ二重化システムと呼ぶ。
【０００３】
図６及び図７は、従来のＣＰＵ二重化システムの構成例を示すブロック図である。図６に示すシステムでは、ＣＰＵモジュール１０１に、異常診断回路１０２と二重系切替え回路１０３を搭載している。この構成において、各々のＣＰＵモジュール１０１は、それぞれの異常診断回路１０２によって自己（自系）の異常を監視しており、また、二重系切替え回路１０３を介してもう一方（他系）の正常／異常、及び制御／待機の状態を監視している。ここで、現用系のＣＰＵモジュール１０１に異常が発生した場合や、その他の制御／待機の切替え条件が成立した場合には、双方の二重系切替え回路１０３によって予備系のＣＰＵモジュール１０１へ制御権が移され、現用系と予備系が入れ替わる。
【０００４】
また、図７に示す構成では、ＣＰＵモジュール１１１は、異常診断回路１０２を搭載し、ＣＰＵモジュール１１１の外部に外置きの二重系切替えユニット１０４を配している。各々のＣＰＵモジュール１１１は、それぞれの異常診断回路１０２によって自系の異常を監視しており、監視した結果を二重系切替えユニット１０４へ伝える。従って、二重系切替えユニット１０４は、常に現用系、予備系双方のＣＰＵモジュール１１１の状態を把握している。ここで、同様に、現用系のＣＰＵモジュール１１１に異常が発生した場合や、その他の制御／待機の切替え条件が成立した場合には、二重系切替えユニット１０４によって予備系のＣＰＵモジュール１１１へ制御権が移される。
【０００５】
従来はこのようなＣＰＵ二重化システムを設けることによって、ＣＰＵモジュールにおけるトラブル時の回避を図っていた。
【０００６】
【発明が解決しようとする課題】
しかしながら、上述した従来のＣＰＵ二重化システムでは、ＣＰＵモジュール上に種々の異常を監視できる十分な機能を有する異常診断回路、二重系切替え回路、及び他系との信号伝達機能を有する必要があり、このようなＣＰＵ二重化システムを構築するためには、従来、高価なＦＡ専用ＣＰＵモジュールを使用するか、あるいは同等の機能を持ったＣＰＵモジュールを独自に開発しなければならなかった。この結果として、制御装置のＣＰＵ二重化システムには、産業向けのコンパクトＰＣＩ（Peripheral Component Interconnect）バス規格など、汎用のバス規格に準拠した市販の安価なＣＰＵモジュールを使用することができない。従って、従来のシステム構成では、コストダウンを図ることができず、また、ＣＰＵモジュールのタイプを容易に変更できないという問題があった。
【０００７】
ところで、制御装置のＣＰＵ二重化システムにおいては、現用系、予備系双方のＣＰＵモジュールの処理状態を一致させるために、データトラッキングを行う。このデータトラッキングとは、現用系のＣＰＵモジュールの処理状態に、予備系のＣＰＵモジュールの処理状態を一致させる処理のことであり、現用系のＣＰＵモジュールの処理データを予備系のＣＰＵモジュールに伝送し、この伝送されたデータに基づいて予備系のＣＰＵモジュールが自己の処理状態を現用系の処理状態に一致させるものである。
【０００８】
しかしながら、従来のＣＰＵ二重化システムでは、データトラッキングに用いる通信回線が他の処理にも用いられており、この結果、現用系、予備系間のデータ通信（トラッキング通信）に時間がかかり、トラッキング通信の周期を短くすることができないという問題があった。
【０００９】
本発明は、このような事情を考慮してなされたもので、その目的は、低コストで構築が可能であり、また柔軟にＣＰＵモジュールのタイプを変更することのできる制御装置のＣＰＵ二重化システムを提供することにある。また、このような制御装置のＣＰＵ二重化システムに適用される系切替制御装置を提供することも目的とする。
【００１０】
さらに、本発明は、トラッキング通信の周期を短くすることができる制御装置のＣＰＵ二重化システムを提供することも目的とする。
【００１１】
【課題を解決するための手段】
上記の課題を解決するために、請求項１に記載の系切替制御装置の発明は、自系のＣＰＵモジュールとは別体をなし、データ伝送可能なバスを介して自系の前記ＣＰＵモジュールと相互にデータを送受信する系切替制御装置であって、自系の装置の状態を監視し、この監視結果から異常を検知して自系の異常を示す異常信号を出力する異常監視回路と、自系の前記ＣＰＵモジュールに対して制御の切替えを指示するための制御移行指示表示値と、自系及び他系の装置の正常／異常の状態表示値及び制御／待機の状態表示値とを保持するレジスタ群と、前記異常信号と、前記レジスタ群に保持された制御移行指示表示値及び自系の状態表示値を各々示す制御モード信号及びステータス信号とを他系に送信し、また、他系から受信したステータス信号を他系の装置の正常／異常の状態表示値及び制御／待機の状態表示値を示す信号として前記レジスタ群に出力して保持させるとともに、他系から制御モード信号及び異常信号を受信する送受信回路と、前記送受信回路によって前記他系から受信された他系の前記制御モード信号、前記自系及び他系の異常信号、及び前記レジスタ群に保持された状態表示値に基づいて、系切替制御処理を行い、自系のＣＰＵモジュールに対して制御移行を指示するために、制御移行指示表示値を前記レジスタ群に出力して保持させる二重系切替え回路とを備え、前記二重系切替え回路は、系の切替動作過渡期における切替異常の誤検知を防ぐために、前記制御移行指示表示値の出力から所定時間経過後に、自系の状態表示値を示すステータス信号を確認することにより、前記制御移行指示表示値に基づく系切替えの異常を確認することを特徴とする。
【００１３】
請求項２に記載の発明は、二つのＣＰＵモジュールを有し、二つの前記ＣＰＵモジュールにおける制御／待機の状態を必要に応じて交互に変更する制御装置のＣＰＵ二重化システムにおいて、請求項１に記載の系切替制御装置を二つの前記ＣＰＵモジュールのそれぞれに対して別体に設けるとともに、二つの前記系切替制御装置間を接続し、前記ＣＰＵモジュールと該ＣＰＵモジュールに対応した前記系切替制御装置とをデータ伝送可能なバスで接続し、二つの前記ＣＰＵモジュールは、それぞれ、前記バスを介して前記系切替制御装置にアクセスして制御移行指示と自系及び他系装置の正常／異常の状態、及び制御／待機の状態を把握し、これらの情報に基づいて前記制御／待機の状態の変更を行うことを特徴とする。
【００１４】
請求項３に記載の発明は、請求項２に記載の発明において、二つの前記ＣＰＵモジュールはそれぞれに通信ポートを有し、前記通信ポート間を接続して専用通信回線を確立することを特徴とする。
【００１５】
【発明の実施の形態】
以下、図面を参照し、本発明の実施形態について説明する。
図１は本発明の第１の実施形態によるＣＰＵ二重化システムの構成を示すブロック図であって、このＣＰＵ二重化システムは制御装置に用いられるものである。この図において、符号１は、汎用的なＣＰＵモジュールであって、その外部接続バス仕様がコンパクトＰＣＩバス規格に準拠したものである。符号２は、本発明の一実施形態による系切替制御装置である。符号３は、コンパクトＰＣＩバスである。符号４は、コンパクトＰＣＩバス３が配線されたＣＰＵラックであって、ＣＰＵモジュール１及び系切替制御装置２に加えて、図示しない他の装置を格納する。このＣＰＵラック４に格納されたＣＰＵモジュール１や系切替制御装置２などの装置は、コンパクトＰＣＩバス３に接続され、このコンパクトＰＣＩバス３を介して相互にデータを送受信する。
【００１６】
図１に示すＣＰＵ二重化システムにおいては、ＣＰＵラック４を２つ備え、各ＣＰＵラック４にＣＰＵモジュール１及び系切替制御装置２を１つずつ格納する。さらに、各ＣＰＵラック４の系切替制御装置２間をケーブル５で接続する構成となっている。この図１のＣＰＵ二重化システムは、ＣＰＵモジュール１、系切替制御装置２、及びＣＰＵラック４を各一つずつ備えたものを一系統分のＣＰＵシステムとし、このＣＰＵシステムを２系統分具備するものである。なお、以下の説明においては、同一系統の系のことを自系と称し、他系統の系のことを他系と称する。言い換えれば、同一ＣＰＵラック４に格納された各装置は自系の装置であり、他方のＣＰＵラック４に格納された装置は他系の装置である。
【００１７】
ＣＰＵモジュール１は、ＣＰＵ１１と、ＣＰＵ１１の周辺回路部１２と、ＣＰＵ１１が外部と通信するための通信ポート１３と、コンパクトＰＣＩバス３を介してデータを送受信するＰＣＩバスインタフェース１４とから構成される。なお、上記周辺回路部１２は、例えば、ＣＰＵ１１で実行されるプログラムが記憶されたＲＯＭ（リードオンリメモリ）やデータ一時記憶用のＲＡＭ（ランダムアクセスメモリ）、割り込み制御回路、タイマ、各種レジスタなどで構成されている。また、通信ポート１３は、例えば、ＩＥＥＥ８０２．３系列の規格やＲＳ−２３２Ｃ規格などに準拠した通信インタフェースを備えている。
【００１８】
系切替制御装置２は、ＣＰＵモジュール１に対する系切替制御処理と自系装置の異常監視処理を行う二重系切替え・異常監視部２１と、接続されたケーブル５を介して他系の系切替制御装置２とデータを送受信する送受信回路２２と、接続されたコンパクトＰＣＩバス３を介してデータを送受信するＰＣＩバスインタフェース２３とから構成される。なお、上記ＰＣＩバスインタフェース２３は、コンパクトＰＣＩバス３の故障検出機能を備えたものである。
【００１９】
上記図１に示すＣＰＵ二重化システムにおいては、系切替制御装置２が自系装置の異常を監視し、この監視結果及び他系装置の正常／異常の状態と自系及び他系装置制御／待機の状態に基づいて、系切替制御処理を行い、自系ＣＰＵモジュール１に対して制御移行を指示する。ＣＰＵモジュール１は、この制御移行指示により所定の系切替え動作を行う。なお、系切替制御装置２は、ケーブル５を介してデータを送受し、他系装置の正常／異常の状態、及び制御／待機の状態を監視している。また、各ＣＰＵモジュール１は、コンパクトＰＣＩバス３を介して、自系の系切替制御装置２にアクセスすることにより、自系及び他系装置の正常／異常の状態、及び制御／待機の状態を把握し、これらの情報に基づいて上記系切替え動作を行う。
【００２０】
次に、図２〜図４を参照して、図１に示す系切替制御装置２の構成とその動作について詳細に説明する。
図２は、図１に示す系切替制御装置２の構成を示すブロック図である。この図２において、二重系切替え・異常監視部２１は、自系装置の異常監視処理を行う異常監視回路２４と、異常監視回路２４の監視結果及び他系装置の正常／異常の状態と自系及び他系装置制御／待機の状態に基づいて、系切替制御処理を行う二重系切替え回路２５から構成される。また、系切替制御装置２は、内部の各ブロックで使用される内部クロックＣ６を発生するクロック発生器２６を備える。なお、内部クロックＣ６の異常監視回路２４以外の各ブロックへの信号線は、図示していない。
【００２１】
送受信回路２２は、入力された自系ＣＰＵ正常信号Ａ１、自系ＣＰＵステータス信号Ａ２、及び自系制御モード信号Ａ３をケーブル５を介して他系の系切替制御装置２に送信する。また、ケーブル５を介して他系の系切替制御装置２から受信した他系ＣＰＵ正常信号Ｂ１、及び他系ＣＰＵステータス信号Ｂ２を異常監視回路２４と二重系切替え回路２５に出力し、また、同様に受信した他系制御モード信号Ｂ３を二重系切替え回路２５に出力する。また、送受信回路２２は、ケーブル５の接続用コネクタの脱落検知機能を備え、脱落を検知するとコネクタ脱落検知信号Ｃ２を異常監視回路２４に出力する。
【００２２】
ＰＣＩバスインタフェース２３は、コンパクトＰＣＩバス３の故障を検出するとバス異常信号Ｃ３を異常監視回路２４に出力する。また、コンパクトＰＣＩバス３のバスクロックＣ４及びバスデータ信号Ｃ５も異常監視回路２４に出力する。
【００２３】
異常監視回路２４は、自系装置の異常を監視し、この監視結果として自系ＣＰＵ正常信号Ａ１を送受信回路２２と二重系切替え回路２５に出力する。また、自系ＣＰＵモジュール１から設定された自系ＣＰＵステータスを保持し、この保持値を自系ＣＰＵステータス信号Ａ２として送受信回路２２と二重系切替え回路２５に出力する。また、異常監視回路２４には内部クロックＣ６が入力される。
【００２４】
二重系切替え回路２５は、異常監視回路２４から入力された自系ＣＰＵ正常信号Ａ１、自系ＣＰＵステータス信号Ａ２、他系ＣＰＵ正常信号Ｂ１、及び他系制御モード信号Ｂ３に基づいて系切替制御処理を行い、制御移行指示として自系制御モード信号Ａ３を送受信回路２２と異常監視回路２４に出力する。また、この系切替えが異常なものであるか否かを判定し、異常である場合には切替え異常信号Ｃ１を異常監視回路２４に出力する。
【００２５】
ここで、送受信回路２２がケーブル５を介して、他系の系切替制御装置２と送受信する信号Ａ１〜Ａ３、Ｂ１〜Ｂ３について説明する。
自系ＣＰＵ正常信号Ａ１は、自系ＣＰＵモジュール１が正常であることを示す。自系ＣＰＵステータス信号Ａ２は、自系制御ステータス信号Ａ２−１、自系待機ステータス信号Ａ２−２、及び自系初期化完了ステータス信号Ａ２−３の３つの信号で構成されており、自系制御ステータス信号Ａ２−１は自系ＣＰＵモジュール１が制御状態であることを示し、自系待機ステータス信号Ａ２−２は自系ＣＰＵモジュール１が待機状態であることを示し、自系初期化完了ステータス信号Ａ２−３は自系ＣＰＵモジュール１の初期化が完了していることを示す。自系制御モード信号Ａ３は、自系ＣＰＵモジュール１に対して制御状態への移行を指示していることを示す。
【００２６】
他系ＣＰＵ正常信号Ｂ１、他系ＣＰＵステータス信号Ｂ２（他系制御ステータス信号Ｂ２−１、他系待機ステータス信号Ｂ２−２、他系初期化完了ステータス信号Ｂ２−３）、及び他系制御モード信号Ｂ３は、上記自系の各信号Ａ１、Ａ２（Ａ２−１、Ａ２−２、Ａ２−３）、及びＡ３と同様に、他系の各状態を示す。
【００２７】
図３は、図２に示す異常監視回路２４の構成を示すブロック図である。この図３を参照して異常監視回路２４について詳細に説明する。図３において、符号３１は、入力されたバスクロックＣ４と内部クロックＣ６の入力状態を監視し、いずれかのクロック入力の異常を検知するとクロック異常信号Ｃ７を出力するクロック監視回路である。符号３２は、系切替制御装置２で使用する電源電圧を監視し、電源電圧が所定範囲外となった場合に電源異常信号Ｃ８を出力する電源監視回路である。符号３３は、ウォッチドッグタイマ（ＷＤＴ）と呼ばれる異常監視用のタイマであって、入力されたバスクロックＣ４を計数し、所定のタイムアウト値に達したときにタイムアウトしてＷＤＴ異常信号Ｃ９を出力する。符号３４は、７入力の否定的論理和回路であって、この出力が自系ＣＰＵ正常信号Ａ１となる。
【００２８】
符号３５は、複数のレジスタ４１〜４６からなるレジスタ群である。符号３６は、入力されたバス信号Ｃ５に基づいてレジスタ群３５の各レジスタ４１〜４６にアクセスするレジスタアクセスインタフェースである。なお、自系ＣＰＵモジュール１は、コンパクトＰＣＩバス３、ＰＣＩバスインタフェース２３、及びレジスタアクセスインタフェース３６を介してレジスタ群３５にアクセスし、各レジスタ４１〜４６に対して読み書きを行うことが可能である。
【００２９】
レジスタ群３５において、符号４１は、ＷＤＴ３３からアクセス可能な制御用のレジスタであって、タイムアウト値やＷＤＴ３３の計数値、ＷＤＴ３３の計数動作の可否設定などを保持する。なお、自系ＣＰＵモジュール１がこのＷＤＴ用レジスタ４１に対してアクセスすると、ＷＤＴクリア信号が出力されてＷＤＴ３３の計数動作が初期化される。符号４２は、自系ＣＰＵモジュール１の重故障状態を表示するレジスタであって、自系ＣＰＵモジュール１が自己の重故障を検出してこのレジスタをセットする。
【００３０】
符号４３は、入力された自系制御モード信号Ａ３の値（制御移行指示表示値）を保持する制御／待機モードレジスタであって、このレジスタのセット時は、自系ＣＰＵモジュール１に対して制御状態への移行が指示されていることになる。符号４４は、自系ＣＰＵ正常信号Ａ１、自系ＣＰＵステータス信号Ａ２（Ａ２−１、Ａ２−２、Ａ２−３）、他系ＣＰＵ正常信号Ｂ１、及び他系ＣＰＵステータス信号Ｂ２（Ｂ２−１、Ｂ２−２、Ｂ２−３）の各値（状態表示値）を保持する自系／他系ＣＰＵステータスレジスタである。符号４５は、自系ＣＰＵモジュール１の制御状態表示値、待機状態表示値、及び初期化状態表示値を保持する自系ＣＰＵステータスレジスタであって、自系ＣＰＵモジュール１が自己の各状態に基づいて各表示値をセットする。この自系ＣＰＵステータスレジスタ４５から、制御状態表示値、待機状態表示値、及び初期化状態表示値が、各々自系制御ステータス信号Ａ２−１、自系待機ステータス信号Ａ２−２、及び自系初期化完了ステータス信号Ａ２−３の値として出力される。
【００３１】
符号４６は、信号Ｃ１〜Ｃ３、Ｃ７〜Ｃ１０の各値を保持する異常ステータスレジスタであって、信号Ｃ１〜Ｃ３、Ｃ７〜Ｃ１０に対応した要因毎に異常を示すものである。この信号Ｃ１〜Ｃ３、Ｃ７〜Ｃ１０に対応した各要因とは、系切替えに基づく異常、ケーブル５の接続コネクタ脱落、コンパクトＰＣＩバス３の異常、クロック（バスクロックＣ４または内部クロックＣ６）の異常、電源異常、ＷＤＴ３３のタイムアウト、自系ＣＰＵモジュール１の重故障である。
【００３２】
自系ＣＰＵモジュール１は、制御／待機モードレジスタ４３の値を読み取ることによって制御状態への移行指示を知り、自系／他系ＣＰＵステータスレジスタ４４の値を読み取ることによって自系及び他系装置の正常／異常の状態、及び制御／待機の状態を把握することができる。また、異常ステータスレジスタ４６の値を読み取れば、自系装置の異常状態を要因毎に把握することができる。
【００３３】
なお、自系ＣＰＵモジュール１は、ＷＤＴ３３のタイムアウト値に応じた計数周期内に、少なくとも一度はＷＤＴ用レジスタ４１にアクセスしてＷＤＴ３３の計数動作を初期化する。したがって、自系ＣＰＵモジュール１がソフトウェアの暴走等により、ＷＤＴ用レジスタ４１にアクセス不可となれば、ＷＤＴ３３がタイムアウトすることになり、この結果、自系ＣＰＵモジュール１の異常を検出することができる。このウォッチドッグタイマ機能を備えることによって、異常監視回路２４は、自系装置のハードウェア故障による異常だけでなく、ソフトウェアバグなどによって発生したソフトウェア暴走による異常も検知することができる。
【００３４】
図３の異常監視回路においては、否定的論理和回路３４により信号Ｃ１〜Ｃ３、Ｃ７〜Ｃ１０の否定的論理和を行い、この結果を自系ＣＰＵ正常信号Ａ１として出力する。すなわち、上記信号Ｃ１〜Ｃ３、Ｃ７〜Ｃ１０に対応した各要因の内、少なくとも一つの要因が発生すると、自系ＣＰＵ正常信号Ａ１は未出力となり、自系装置の異常を示すことになる。言い換えれば、自系ＣＰＵ正常信号Ａ１は自系の異常を示す異常信号となる。
【００３５】
図４は、図２に示す二重系切替え回路２５が行う系切替制御処理の流れを示すフローチャートである。この図４を参照して、二重系切替え回路２５の動作を説明する。
先ず、二重系切替え回路２５は、自系ＣＰＵ正常信号Ａ１の入力を確認する。ここで、自系ＣＰＵ正常信号Ａ１が未入力であると判定した場合にはその処理を終了する。一方、入力されていると判定した場合には、さらに、自系制御ステータス信号Ａ２−１の入力を確認する（ステップＳＰ１〜ＳＰ３）。
【００３６】
次いで、自系制御ステータス信号Ａ２−１が未入力であると判定した場合（ステップＳＰ４の判定結果が「ＮＯ」の場合）には、他系制御モード信号Ｂ３の入力を確認し（ステップＳＰ５）、未入力であると判定した場合に、自系制御モード信号Ａ３を出力する。これにより、自系ＣＰＵモジュール１に対して、制御移行を指示したことになる。一方、他系制御モード信号Ｂ３が入力されていると判定した場合にはその処理を終了する（ステップＳＰ６、ＳＰ７）。
【００３７】
上記ステップＳＰ４において、自系制御ステータス信号Ａ２−１が入力されていると判定した場合には、他系ＣＰＵ正常信号Ｂ１の入力を確認し、未入力であると判定した場合には、上記ステップＳＰ５に処理を移行する。一方、他系ＣＰＵ正常信号Ｂ１が入力されていると判定した場合には、自系制御モード信号Ａ３の出力を確認する（ステップＳＰ１１〜ＳＰ１３）。次いで、自系制御モード信号Ａ３を出力していると判定した場合には、上記ステップＳＰ５に処理を移行し、一方、未出力であると判定した場合には、その処理を終了する（ステップＳＰ１４）。
【００３８】
次いで、上記ステップＳＰ７において自系制御モード信号Ａ３を出力し、所定時間経過後に、系切替えの異常を確認する。このように自系制御モード信号Ａ３出力後、所定時間待ってから系切替え異常の確認を行うことにより、自系ＣＰＵモジュール１の系切替え動作過渡期における切替え異常の誤検知を防ぐことができる。次いで、系切替えが正常なものであると判定した場合にはその処理を終了し、一方、系切替えが異常なものであると判定した場合には切替え異常信号Ｃ１を出力する（ステップＳＰ８〜ＳＰ１０）。
【００３９】
なお、上記ステップＳＰ８、ＳＰ９においては、系切替え異常の確認及び判定手段として、例えば、自系制御ステータス信号Ａ２−１の入力と自系制御モード信号Ａ３の出力を確認することにより、系切替え正常の確認を行い、自系制御ステータス信号Ａ２−１の入力且つ自系制御モード信号Ａ３の出力であると判定した場合に系切替え正常とし、そうでないと判定した場合に系切替え異常とする。また、この系切替え異常として出力された切替え異常信号Ｃ１によって、系切替えの異常が通知可能となる。
【００４０】
なお、二重系切替え回路２５は、上記図４に示す系切替制御処理を常時行うものであってもよく、あるいは、一定周期で行うものであってもよい。
【００４１】
上述した第一の実施形態によれば、コンパクトＰＣＩバスに接続可能なＣＰＵモジュールであれば、汎用で安価なＣＰＵモジュールを用いて制御装置のＣＰＵ二重化システムを構築することができる。この結果、低コストで構築が可能であり、また、柔軟にＣＰＵモジュールのタイプを変更することができる。
【００４２】
次に、図５は本発明の第２の実施形態によるＣＰＵ二重化システムの構成を示すブロック図である。この図５において、図１の各部に対応する部分には同一の符号を付け、その説明を省略する。この図５に示すＣＰＵ二重化システムにおいて、図１に示す構成と異なるのは、各ＣＰＵモジュール１の通信ポート１３間をケーブル６で接続し、データトラッキング用に専用の通信回線を確立する点である。すなわち、各通信ポート１３は、ＣＰＵ１１同士がデータトラッキング用の通信をいつでも行えるように、ケーブル６を介してデータを通信するための通信回線を常時確立しておく。したがって、ＣＰＵ１１は、この通信回線を専有して使用することができ、データトラッキングを高速に行うことができる。この結果、トラッキング通信の周期が短縮されて演算周期毎のトラッキングが可能となり、ＣＰＵ１１の処理を連続的に継続させたまま、ＣＰＵ二重系の系切替えを実現することができるという効果が得られる。
【００４３】
なお、上述した実施形態においては、コンパクトＰＣＩバスに接続可能なＣＰＵモジュールを用いたＣＰＵ二重化システムに適用したが、ＣＰＵモジュールの外部接続バスはコンパクトＰＣＩバスに限定されるものではない。例えば、パーソナルコンピュータの拡張用高速バスとして普及しているＰＣＩバスがＣＰＵモジュールの外部接続バスであってもよい。この場合には、系切替制御装置のＰＣＩバスインタフェースをＰＣＩバス規格に準拠したものとするだけで、同様に適用可能である。また、他のバス規格への適用も同様に可能である。
【００４４】
以上、本発明の実施形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【００４５】
【発明の効果】
以上説明したように、本発明による系切替制御装置によれば、自系の装置の状態を監視し、自系の異常信号を出力する異常監視回路と、制御移行指示表示値と自系及び他系の装置の正常／異常の状態表示値及び制御／待機の状態表示値とを保持するレジスタ群と、自系及び他系の異常信号と状態表示値を示す自系及び他系のステータス信号と自系及び他系の制御移行指示表示値を示す制御モード信号とを送受信する送受信回路と、自系及び他系の異常信号と他系の制御モード信号とレジスタ群に保持された状態表示値に基づいて、系切替制御処理を行い、自系のＣＰＵモジュールに対して制御移行を指示するために、制御移行指示表示値を示す信号をレジスタ群に出力して保持させる二重系切替え回路と、データ伝送可能なバスに接続され、レジスタ群に対してアクセス可能なインタフェース回路とを備えるようにしたので、制御装置のＣＰＵ二重化システムに適用すれば、汎用で安価なＣＰＵモジュールを用いて制御装置のＣＰＵ二重化システムを構築することができる。この結果、低コストで構築が可能であり、また、柔軟にＣＰＵモジュールのタイプを変更することができる。
【００４６】
さらに、二重系切替え回路が制御移行指示表示値を示す信号の出力後、所定時間経過後に、制御移行指示が異常なものであるか否かを判定するようにすれば、系切替えの異常を検出して通知することができるとともに、系切替え異常の誤検出を防止することができるという効果が得られる。
【００４７】
さらに、制御装置のＣＰＵ二重化システムが有する二つのＣＰＵモジュールがそれぞれに通信ポートを有し、これら通信ポート間を接続して専用通信回線を確立するようにすれば、この通信回線をデータトラッキング用に専有して使用することができ、データトラッキングを高速に行うことができる。この結果、トラッキング通信の周期が短縮されて演算周期毎のトラッキングが可能となり、ＣＰＵの処理を連続的に継続させたまま、ＣＰＵ二重系の系切替えを実現することができるという効果が得られる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態によるＣＰＵ二重化システムの構成を示すブロック図である。
【図２】図１に示す系切替制御装置２の構成を示すブロック図である。
【図３】図２に示す異常監視回路２４の構成を示すブロック図である。
【図４】図２に示す二重系切替え回路２５が行う系切替制御処理の流れを示すフローチャートである。
【図５】本発明の第２の実施形態によるＣＰＵ二重化システムの構成を示すブロック図である。
【図６】従来のＣＰＵ二重化システムの第１の構成例を示すブロック図である。
【図７】従来のＣＰＵ二重化システムの第２の構成例を示すブロック図である。
【符号の説明】
１ＣＰＵモジュール
２系切替制御装置
３コンパクトＰＣＩバス
４ＣＰＵラック
５、６ケーブル
１１ＣＰＵ（中央演算装置）
１２周辺回路部
１３通信ポート
１４、２３ＰＣＩバスインタフェース
２１二重系切替え・異常監視部
２２送受信回路
２４異常監視回路
２５二重系切替え回路
２６クロック発生器
３１クロック監視回路
３２電源監視回路
３３ウォッチドッグタイマ（ＷＤＴ）
３４否定的論理和回路
３５レジスタ群
３６レジスタアクセスインタフェース
４１ＷＤＴ用レジスタ
４２ＣＰＵモジュール重故障レジスタ
４３制御／待機モードレジスタ
４４自系／他系ＣＰＵステータスレジスタ
４５自系ＣＰＵステータスレジスタ
４６異常ステータスレジスタ[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a system switching control device suitable for use in a control device such as a plant that requires high reliability, and a CPU (central processing unit) duplex system of the control device.
[0002]
[Prior art]
In general, in a control device such as an important plant that requires high reliability, it is required to have double CPU modules for performing the control calculation. This means that if an abnormality occurs in the CPU module that is being controlled (active system), the control right is immediately transferred to the other standby (standby system) CPU module, and normal operation of the plant to be controlled is normal. Therefore, the system for this purpose is called a CPU dual system.
[0003]
6 and 7 are block diagrams showing a configuration example of a conventional CPU duplex system. In the system shown in FIG. 6, the abnormality diagnosis circuit 102 and the dual system switching circuit 103 are mounted on the CPU module 101. In this configuration, each CPU module 101 monitors its own (own system) abnormality by its respective abnormality diagnosis circuit 102, and the other (other system) normality via the dual system switching circuit 103. / Monitors abnormalities and control / standby status. Here, when an abnormality occurs in the active CPU module 101, or when other control / standby switching conditions are satisfied, the control authority is given to the standby CPU module 101 by both dual system switching circuits 103. Is transferred, and the active system and the standby system are switched.
[0004]
In the configuration shown in FIG. 7, the CPU module 111 includes the abnormality diagnosis circuit 102, and an external dual system switching unit 104 is arranged outside the CPU module 111. Each CPU module 111 monitors its own system abnormality by each abnormality diagnosis circuit 102 and transmits the monitored result to the dual system switching unit 104. Therefore, the dual system switching unit 104 always grasps the status of both the active system and the standby system CPU modules 111. Similarly, when an abnormality occurs in the active CPU module 111 or when other control / standby switching conditions are satisfied, the dual CPU switching unit 104 controls the standby CPU module 111. The right is transferred.
[0005]
Conventionally, by providing such a CPU duplication system, a trouble has been avoided in the CPU module.
[0006]
[Problems to be solved by the invention]
However, in the above-described conventional CPU duplex system, it is necessary to have an abnormality diagnosis circuit having a sufficient function for monitoring various abnormalities on the CPU module, a dual system switching circuit, and a signal transmission function with other systems. In order to construct such a CPU duplication system, conventionally, an expensive FA dedicated CPU module must be used, or a CPU module having an equivalent function must be independently developed. As a result, a commercially available inexpensive CPU module that conforms to a general-purpose bus standard such as a compact PCI (Peripheral Component Interconnect) bus standard for industrial use cannot be used in the CPU duplication system of the control device. Therefore, the conventional system configuration has a problem that the cost cannot be reduced and the type of the CPU module cannot be easily changed.
[0007]
By the way, in the dual CPU system of the control device, data tracking is performed in order to match the processing states of both the active and standby CPU modules. This data tracking is a process of matching the processing state of the standby CPU module with the processing state of the active CPU module, and transmits the processing data of the active CPU module to the standby CPU module. Based on the transmitted data, the standby CPU module makes its own processing state coincide with the processing state of the active system.
[0008]
However, in the conventional CPU duplex system, the communication line used for data tracking is also used for other processing. As a result, it takes time for data communication (tracking communication) between the active system and the standby system, and tracking communication is performed. There was a problem that the cycle could not be shortened.
[0009]
The present invention has been made in consideration of such circumstances, and its purpose is to provide a CPU duplication system for a control device that can be constructed at a low cost and can flexibly change the type of a CPU module. It is to provide. It is another object of the present invention to provide a system switching control device that is applied to a CPU duplication system of such a control device.
[0010]
Another object of the present invention is to provide a CPU duplication system for a control device that can shorten the period of tracking communication.
[0011]
[Means for Solving the Problems]
In order to solve the above-mentioned problem, the invention of the system switching control device according to claim 1 is different from the CPU module of the own system, and the CPU module of the own system via a bus capable of transmitting data. A system switching control device that transmits and receives data to and from each other, and monitors the status of the local system, detects an abnormality from the monitoring result, and outputs an abnormal signal indicating the local system abnormality, The control transition instruction display value for instructing the CPU switching of the system to switch control, and the normal / abnormal state display value and the control / standby state display value of the own system and other system devices are held. A register group, the abnormal signal, a control transition instruction display value held in the register group, and a control mode signal and a status signal respectively indicating a status display value of the own system are transmitted to the other system. Received status The signal is output to and held in the register group as a signal indicating the normal / abnormal status display value and control / standby status display value of the other system device, and receives and transmits the control mode signal and the abnormal signal from the other system System switching control based on the control mode signal of the other system received from the other system by the transmission / reception circuit, the abnormal signal of the own system and the other system, and the state display value held in the register group Control transition instruction display for processing and instructing control transition to its own CPU module The value A dual system switching circuit that outputs and holds the register group; The dual system switching circuit includes a status signal indicating a status display value of the own system after a predetermined time has elapsed from the output of the control transition instruction display value in order to prevent erroneous detection of switching abnormality in the transition period of the system switching operation. By confirming, the system switching abnormality based on the control transition instruction display value is confirmed. It is characterized by that.
[0013]
Claim 2 The invention described in claim 2 is a CPU duplication system of a control device which has two CPU modules and alternately changes the control / standby state in the two CPU modules as necessary. 1 The system switching control device described above is provided separately for each of the two CPU modules, and the two system switching control devices are connected to each other so that the CPU module and the system switching control device corresponding to the CPU module are connected. And the two CPU modules each access the system switching control device via the bus to control transfer instructions and normal / abnormal status of the own system and other system devices. The control / standby state is grasped, and the control / standby state is changed based on the information.
[0014]
Claim 3 The invention described in claim 2 The two CPU modules each have a communication port, and a dedicated communication line is established by connecting the communication ports.
[0015]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
FIG. 1 is a block diagram showing a configuration of a CPU duplex system according to a first embodiment of the present invention, and this CPU duplex system is used for a control device. In this figure, reference numeral 1 denotes a general-purpose CPU module whose external connection bus specification conforms to the compact PCI bus standard. Reference numeral 2 denotes a system switching control device according to an embodiment of the present invention. Reference numeral 3 denotes a compact PCI bus. Reference numeral 4 denotes a CPU rack to which the compact PCI bus 3 is wired, and stores other devices (not shown) in addition to the CPU module 1 and the system switching control device 2. Devices such as the CPU module 1 and the system switching control device 2 stored in the CPU rack 4 are connected to the compact PCI bus 3 and transmit / receive data to / from each other via the compact PCI bus 3.
[0016]
In the CPU duplex system shown in FIG. 1, two CPU racks 4 are provided, and one CPU module 1 and one system switching control device 2 are stored in each CPU rack 4. Further, the system switching control devices 2 of the CPU racks 4 are connected by a cable 5. The CPU duplex system shown in FIG. 1 includes a CPU module 1, a system switching control device 2, and a CPU rack 4, each having one CPU system and two CPU systems. It is. In the following description, systems of the same system are referred to as own systems, and systems of other systems are referred to as other systems. In other words, each device stored in the same CPU rack 4 is a device of its own system, and a device stored in the other CPU rack 4 is a device of another system.
[0017]
The CPU module 1 includes a CPU 11, a peripheral circuit unit 12 of the CPU 11, a communication port 13 for the CPU 11 to communicate with the outside, and a PCI bus interface 14 that transmits and receives data via the compact PCI bus 3. The peripheral circuit unit 12 includes, for example, a ROM (read only memory) in which a program executed by the CPU 11 is stored, a RAM (random access memory) for temporary data storage, an interrupt control circuit, a timer, various registers, and the like. It is configured. The communication port 13 includes a communication interface compliant with, for example, the IEEE 802.3 series standard or the RS-232C standard.
[0018]
The system switching control device 2 includes a dual system switching / abnormality monitoring unit 21 that performs system switching control processing for the CPU module 1 and abnormality monitoring processing of the own system device, and system switching control of other systems via the connected cable 5. A transmission / reception circuit 22 that transmits / receives data to / from the apparatus 2 and a PCI bus interface 23 that transmits / receives data via the connected compact PCI bus 3 are configured. The PCI bus interface 23 has a failure detection function of the compact PCI bus 3.
[0019]
In the dual CPU system shown in FIG. 1, the system switching control device 2 monitors the abnormality of the own system device, and the monitoring result and the normal / abnormal state of the other system device and the own system and other system device control / standby state. Based on the state, a system switching control process is performed to instruct the own CPU module 1 to transfer control. The CPU module 1 performs a predetermined system switching operation according to this control transfer instruction. The system switching control device 2 transmits and receives data via the cable 5 and monitors the normal / abnormal state and the control / standby state of other system devices. Each CPU module 1 accesses the own system switching control device 2 via the compact PCI bus 3 to check the normal / abnormal status and control / standby status of the own system and other system devices. The system switching operation is performed based on this information.
[0020]
Next, the configuration and operation of the system switching control device 2 shown in FIG. 1 will be described in detail with reference to FIGS.
FIG. 2 is a block diagram showing a configuration of the system switching control device 2 shown in FIG. In FIG. 2, the dual system switching / abnormality monitoring unit 21 includes an abnormality monitoring circuit 24 that performs abnormality monitoring processing of the own system device, a monitoring result of the abnormality monitoring circuit 24, a normal / abnormal state of the other system device, and an The dual system switching circuit 25 performs system switching control processing based on the system and other system device control / standby states. The system switching control device 2 also includes a clock generator 26 that generates an internal clock C6 used in each internal block. The signal lines to each block other than the abnormality monitoring circuit 24 for the internal clock C6 are not shown.
[0021]
The transmission / reception circuit 22 transmits the input own system CPU normal signal A1, the own system CPU status signal A2, and the own system control mode signal A3 to the other system switching control device 2 via the cable 5. Further, the other system CPU normal signal B1 and the other system CPU status signal B2 received from the other system switching control device 2 via the cable 5 are output to the abnormality monitoring circuit 24 and the dual system switching circuit 25, and Similarly, the received other system control mode signal B 3 is output to the dual system switching circuit 25. In addition, the transmission / reception circuit 22 has a function of detecting the disconnection of the connector for connecting the cable 5 and outputs a connector disconnection detection signal C2 to the abnormality monitoring circuit 24 when the disconnection is detected.
[0022]
When the PCI bus interface 23 detects a failure of the compact PCI bus 3, the PCI bus interface 23 outputs a bus abnormality signal C3 to the abnormality monitoring circuit 24. Further, the bus clock C 4 and the bus data signal C 5 of the compact PCI bus 3 are also output to the abnormality monitoring circuit 24.
[0023]
The abnormality monitoring circuit 24 monitors the abnormality of the own system device, and outputs the own system CPU normal signal A1 to the transmission / reception circuit 22 and the dual system switching circuit 25 as a monitoring result. Also, the own CPU status set from the own CPU module 1 is held, and this held value is output to the transmission / reception circuit 22 and the dual system switching circuit 25 as the own CPU status signal A2. Further, the internal clock C6 is input to the abnormality monitoring circuit 24.
[0024]
The dual system switching circuit 25 controls the system switching based on the own system CPU normal signal A1, the own system CPU status signal A2, the other system CPU normal signal B1, and the other system control mode signal B3 input from the abnormality monitoring circuit 24. Processing is performed, and the own system control mode signal A3 is output to the transmission / reception circuit 22 and the abnormality monitoring circuit 24 as a control shift instruction. Further, it is determined whether or not the system switching is abnormal. If the system switching is abnormal, a switching abnormality signal C1 is output to the abnormality monitoring circuit 24.
[0025]
Here, the signals A <b> 1 to A <b> 3 and B <b> 1 to B <b> 3 that the transmission / reception circuit 22 transmits / receives to / from another system switching control device 2 via the cable 5 will be described.
The own CPU normal signal A1 indicates that the own CPU module 1 is normal. The own system CPU status signal A2 is composed of three signals: an own system control status signal A2-1, an own system standby status signal A2-2, and an own system initialization completion status signal A2-3. The status signal A2-1 indicates that the own system CPU module 1 is in the control state, the own system standby status signal A2-2 indicates that the own system CPU module 1 is in the standby state, and the own system initialization completion status signal A2-3 indicates that the initialization of the own CPU module 1 has been completed. The own system control mode signal A3 indicates that the own CPU module 1 is instructed to shift to the control state.
[0026]
Other system CPU normal signal B1, other system CPU status signal B2 (other system control status signal B2-1, other system standby status signal B2-2, other system initialization completion status signal B2-3), and other system control mode signal B3 indicates each state of the other system, similar to the signals A1, A2 (A2-1, A2-2, A2-3) and A3 of the own system.
[0027]
FIG. 3 is a block diagram showing a configuration of the abnormality monitoring circuit 24 shown in FIG. The abnormality monitoring circuit 24 will be described in detail with reference to FIG. In FIG. 3, reference numeral 31 denotes a clock monitoring circuit that monitors the input states of the input bus clock C4 and the internal clock C6, and outputs a clock abnormality signal C7 when an abnormality in any of the clock inputs is detected. Reference numeral 32 denotes a power supply monitoring circuit that monitors the power supply voltage used in the system switching control device 2 and outputs a power supply abnormality signal C8 when the power supply voltage falls outside a predetermined range. Reference numeral 33 denotes an abnormality monitoring timer called a watchdog timer (WDT), which counts the input bus clock C4 and outputs a WDT abnormality signal C9 when a predetermined timeout value is reached. . Reference numeral 34 denotes a 7-input negative OR circuit, and this output is the own CPU normal signal A1.
[0028]
Reference numeral 35 denotes a register group including a plurality of registers 41 to 46. Reference numeral 36 denotes a register access interface for accessing the registers 41 to 46 of the register group 35 based on the input bus signal C5. The own CPU module 1 can access the register group 35 via the compact PCI bus 3, the PCI bus interface 23, and the register access interface 36, and read / write from / to each of the registers 41 to 46. .
[0029]
In the register group 35, reference numeral 41 is a control register accessible from the WDT 33, and holds a timeout value, a count value of the WDT 33, a count operation setting of the WDT 33, and the like. When the own CPU module 1 accesses the WDT register 41, a WDT clear signal is output and the counting operation of the WDT 33 is initialized. Reference numeral 42 denotes a register for displaying a serious failure state of the own CPU module 1, and the own CPU module 1 detects its own major failure and sets this register.
[0030]
Reference numeral 43 is a control / standby mode register that holds the value of the input own system control mode signal A3 (control shift instruction display value). When this register is set, control is performed for the own CPU module 1. The transition to the state is instructed. Reference numeral 44 denotes an own system CPU normal signal A1, an own system CPU status signal A2 (A2-1, A2-2, A2-3), another system CPU normal signal B1, and another system CPU status signal B2 (B2-1, B2-2, B2-3) is a local / other system CPU status register that holds each value (state display value). Reference numeral 45 is a self-system CPU status register that holds a control state display value, a standby state display value, and an initialization state display value of the self-system CPU module 1, and the self-system CPU module 1 is based on its own state. To set each display value. From the own system CPU status register 45, the control state display value, the standby state display value, and the initialization state display value are the own system control status signal A2-1, the own system standby status signal A2-2, and the own system initial value, respectively. Is output as the value of the conversion completion status signal A2-3.
[0031]
Reference numeral 46 denotes an abnormality status register that holds the values of the signals C1 to C3 and C7 to C10, and indicates an abnormality for each factor corresponding to the signals C1 to C3 and C7 to C10. The factors corresponding to the signals C1 to C3 and C7 to C10 are: abnormality due to system switching, disconnection of the connector of the cable 5, abnormality of the compact PCI bus 3, abnormality of the clock (bus clock C4 or internal clock C6), Power failure, timeout of WDT 33, serious failure of own system CPU module 1.
[0032]
The own system CPU module 1 knows the instruction to shift to the control state by reading the value of the control / standby mode register 43 and reads the value of the own system / other system CPU status register 44 to The normal / abnormal state and the control / standby state can be grasped. Further, by reading the value of the abnormal status register 46, it is possible to grasp the abnormal state of the own system device for each factor.
[0033]
The own CPU module 1 initializes the counting operation of the WDT 33 by accessing the WDT register 41 at least once within the counting period corresponding to the timeout value of the WDT 33. Therefore, if the own CPU module 1 becomes inaccessible to the WDT register 41 due to software runaway or the like, the WDT 33 times out. As a result, an abnormality of the own CPU module 1 can be detected. By providing this watchdog timer function, the abnormality monitoring circuit 24 can detect not only an abnormality due to a hardware failure of the own system apparatus but also an abnormality due to a software runaway caused by a software bug or the like.
[0034]
In the abnormality monitoring circuit of FIG. 3, the negative logical sum circuit 34 performs a negative logical sum of the signals C1 to C3 and C7 to C10, and outputs the result as the own system CPU normal signal A1. That is, when at least one of the factors corresponding to the signals C1 to C3 and C7 to C10 occurs, the own CPU normal signal A1 is not output, indicating an abnormality of the own device. In other words, the own CPU normal signal A1 is an abnormal signal indicating the own system abnormality.
[0035]
FIG. 4 is a flowchart showing the flow of the system switching control process performed by the dual system switching circuit 25 shown in FIG. The operation of the dual system switching circuit 25 will be described with reference to FIG.
First, the dual system switching circuit 25 confirms the input of the own system CPU normal signal A1. If it is determined that the own system CPU normal signal A1 is not input, the process is terminated. On the other hand, if it is determined that it has been input, the input of the own system control status signal A2-1 is further confirmed (steps SP1 to SP3).
[0036]
Next, when it is determined that the own system control status signal A2-1 is not input (when the determination result of step SP4 is “NO”), the input of the other system control mode signal B3 is confirmed (step SP5). When it is determined that no input has been made, the local system control mode signal A3 is output. As a result, the CPU system 1 is instructed to transfer control. On the other hand, if it is determined that the other system control mode signal B3 is input, the processing is terminated (steps SP6 and SP7).
[0037]
In step SP4, when it is determined that the own system control status signal A2-1 is input, the input of the other system CPU normal signal B1 is confirmed. The process proceeds to SP5. On the other hand, if it is determined that the other system CPU normal signal B1 is input, the output of the own system control mode signal A3 is confirmed (steps SP11 to SP13). Next, if it is determined that the own system control mode signal A3 is being output, the process proceeds to step SP5. On the other hand, if it is determined that it is not output, the process is terminated (step SP14). ).
[0038]
Next, in step SP7, the own system control mode signal A3 is output, and after a predetermined time elapses, the system switching abnormality is confirmed. In this way, by detecting the system switching abnormality after waiting for a predetermined time after the output of the own system control mode signal A3, erroneous detection of the switching abnormality in the system switching operation transition period of the own system CPU module 1 can be prevented. Next, when it is determined that the system switching is normal, the process is terminated. On the other hand, when it is determined that the system switching is abnormal, the switching abnormality signal C1 is output (steps SP8 to SP10). ).
[0039]
In steps SP8 and SP9, as a system switching abnormality confirmation and determination means, for example, by confirming the input of the own system control status signal A2-1 and the output of the own system control mode signal A3, the system switching is normal. The system switching is normal when it is determined that the input of the own system control status signal A2-1 and the output of the own system control mode signal A3 are determined, and the system switching error is determined when it is determined that it is not. Further, it is possible to notify a system switching abnormality by the switching abnormality signal C1 output as the system switching abnormality.
[0040]
The dual system switching circuit 25 may always perform the system switching control process shown in FIG. 4 or may be performed at a constant cycle.
[0041]
According to the first embodiment described above, if the CPU module is connectable to a compact PCI bus, a CPU duplication system of the control device can be constructed using a general-purpose and inexpensive CPU module. As a result, it can be constructed at low cost, and the CPU module type can be flexibly changed.
[0042]
Next, FIG. 5 is a block diagram showing a configuration of a CPU duplication system according to the second embodiment of the present invention. In FIG. 5, parts corresponding to those in FIG. 1 are denoted by the same reference numerals, and description thereof is omitted. The CPU duplex system shown in FIG. 5 differs from the configuration shown in FIG. 1 in that the communication ports 13 of the CPU modules 1 are connected by a cable 6 to establish a dedicated communication line for data tracking. . That is, each communication port 13 always establishes a communication line for communicating data via the cable 6 so that the CPUs 11 can perform communication for data tracking at any time. Therefore, the CPU 11 can exclusively use this communication line and can perform data tracking at high speed. As a result, the tracking communication cycle is shortened, and tracking can be performed for each calculation cycle. Thus, the CPU dual system switching can be realized while the processing of the CPU 11 is continuously continued. .
[0043]
In the above-described embodiment, the present invention is applied to a CPU duplex system using a CPU module that can be connected to a compact PCI bus. However, the external connection bus of the CPU module is not limited to the compact PCI bus. For example, a PCI bus that is widely used as an expansion high-speed bus for personal computers may be an external connection bus for a CPU module. In this case, the PCI bus interface of the system switching control device can be similarly applied only by conforming to the PCI bus standard. Application to other bus standards is also possible.
[0044]
The embodiment of the present invention has been described in detail with reference to the drawings. However, the specific configuration is not limited to this embodiment, and includes design changes and the like within a scope not departing from the gist of the present invention.
[0045]
【The invention's effect】
As described above, according to the system switching control device of the present invention, the abnormality monitoring circuit for monitoring the state of the own system and outputting the abnormal signal of the own system, the control transition instruction display value, the own system and others A group of registers for holding normal / abnormal status display values and control / standby status display values of the system devices, and status signals of the local system and other systems indicating the abnormal signals and status display values of the local system and other systems A transmission / reception circuit that transmits and receives a control mode signal indicating a control transition instruction display value of the own system and another system, an abnormal signal of the own system and another system, a control mode signal of the other system, and a status display value held in the register group Based on this, a dual system switching circuit that outputs and holds a signal indicating a control transition instruction display value to a register group in order to perform system switching control processing and instruct control transition to its own CPU module; Connected to a bus capable of data transmission, Since an interface circuit that can access the register group is provided, if it is applied to a CPU duplication system of a control device, a CPU duplication system of the control device can be constructed using a general-purpose and inexpensive CPU module. . As a result, it can be constructed at low cost, and the CPU module type can be flexibly changed.
[0046]
Furthermore, if the dual system switching circuit determines whether or not the control transition instruction is abnormal after a predetermined time has elapsed after the output of the signal indicating the control transition instruction display value, the system switching abnormality is detected. In addition to being able to detect and notify, it is possible to prevent the erroneous detection of the system switching abnormality.
[0047]
Furthermore, if the two CPU modules of the CPU duplication system of the control device each have a communication port and connect these communication ports to establish a dedicated communication line, this communication line is used for data tracking. It can be used exclusively, and data tracking can be performed at high speed. As a result, the tracking communication cycle is shortened, and tracking can be performed for each calculation cycle, and an effect is obtained that the system switching of the CPU dual system can be realized while the CPU processing is continuously continued. .
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a CPU duplex system according to a first embodiment of the present invention.
FIG. 2 is a block diagram showing a configuration of a system switching control device 2 shown in FIG.
3 is a block diagram showing a configuration of an abnormality monitoring circuit 24 shown in FIG.
4 is a flowchart showing a flow of a system switching control process performed by the dual system switching circuit 25 shown in FIG.
FIG. 5 is a block diagram showing a configuration of a CPU duplex system according to a second embodiment of the present invention.
FIG. 6 is a block diagram showing a first configuration example of a conventional CPU duplication system.
FIG. 7 is a block diagram showing a second configuration example of a conventional CPU duplex system.
[Explanation of symbols]
1 CPU module
2 system switching control device
3 Compact PCI bus
4 CPU rack
5, 6 cable
11 CPU (Central Processing Unit)
12 Peripheral circuit
13 Communication port
14, 23 PCI bus interface
21 Dual system switching / abnormality monitoring unit
22 Transceiver circuit
24 Abnormality monitoring circuit
25 Dual system switching circuit
26 Clock generator
31 Clock monitoring circuit
32 Power supply monitoring circuit
33 Watchdog timer (WDT)
34 Negative OR circuit
35 registers
36 Register Access Interface
41 WDT register
42 CPU module serious failure register
43 Control / standby mode register
44 Local / other CPU status register
45 Local CPU status register
46 Abnormal status register

Claims

自系のＣＰＵモジュールとは別体をなし、データ伝送可能なバスを介して自系の前記ＣＰＵモジュールと相互にデータを送受信する系切替制御装置であって、
自系の装置の状態を監視し、この監視結果から異常を検知して自系の異常を示す異常信号を出力する異常監視回路と、
自系の前記ＣＰＵモジュールに対して制御の切替えを指示するための制御移行指示表示値と、自系及び他系の装置の正常／異常の状態表示値及び制御／待機の状態表示値とを保持するレジスタ群と、
前記異常信号と、前記レジスタ群に保持された制御移行指示表示値及び自系の状態表示値を各々示す制御モード信号及びステータス信号とを他系に送信し、また、他系から受信したステータス信号を他系の装置の正常／異常の状態表示値及び制御／待機の状態表示値を示す信号として前記レジスタ群に出力して保持させるとともに、他系から制御モード信号及び異常信号を受信する送受信回路と、
前記送受信回路によって前記他系から受信された他系の前記制御モード信号、前記自系及び他系の異常信号、及び前記レジスタ群に保持された状態表示値に基づいて、系切替制御処理を行い、自系のＣＰＵモジュールに対して制御移行を指示するために、制御移行指示表示値を前記レジスタ群に出力して保持させる二重系切替え回路と
を備え、
前記二重系切替え回路は、系の切替動作過渡期における切替異常の誤検知を防ぐために、前記制御移行指示表示値の出力から所定時間経過後に、自系の状態表示値を示すステータス信号を確認することにより、前記制御移行指示表示値に基づく系切替えの異常を確認することを特徴とする系切替制御装置。A system switching control device that is separate from the CPU module of the own system and transmits / receives data to / from the CPU module of the own system via a bus capable of transmitting data,
An abnormality monitoring circuit that monitors the status of the device of the own system, detects an abnormality from the monitoring result, and outputs an abnormality signal indicating the abnormality of the own system;
Holds the control transition instruction display value for instructing the CPU module of the own system to switch control, and the normal / abnormal status display value and the control / standby status display value of the own system and other system devices. Register group
The abnormal signal, the control mode signal and the status signal respectively indicating the control transition instruction display value and the local state display value held in the register group are transmitted to the other system, and the status signal received from the other system Is output to and held in the register group as signals indicating normal / abnormal status display values and control / standby status display values of other system devices, and receives a control mode signal and an abnormal signal from the other system When,
Based on the control mode signal of the other system received from the other system by the transmission / reception circuit, the abnormal signal of the own system and the other system, and the state display value held in the register group, the system switching control process is performed. A dual system switching circuit for outputting and holding a control transition instruction display value to the register group in order to instruct control transition to its own CPU module;
With
The dual system switching circuit checks the status signal indicating the status display value of the own system after a predetermined time has elapsed from the output of the control transition instruction display value in order to prevent erroneous detection of switching abnormality in the transition period of the system switching operation. Thus , the system switching control device is configured to confirm an abnormality of the system switching based on the control transition instruction display value .

二つのＣＰＵモジュールを有し、二つの前記ＣＰＵモジュールにおける制御／待機の状態を必要に応じて交互に変更する制御装置のＣＰＵ二重化システムにおいて、
請求項１に記載の系切替制御装置を二つの前記ＣＰＵモジュールのそれぞれに対して別体に設けるとともに、二つの前記系切替制御装置間を接続し、
前記ＣＰＵモジュールと該ＣＰＵモジュールに対応した前記系切替制御装置とをデータ伝送可能なバスで接続し、二つの前記ＣＰＵモジュールは、それぞれ、前記バスを介して前記系切替制御装置にアクセスして制御移行指示と自系及び他系装置の正常／異常の状態、及び制御／待機の状態を把握し、これらの情報に基づいて前記制御／待機の状態の変更を行うことを特徴とする制御装置のＣＰＵ二重化システム。In the dual CPU system of the control device having two CPU modules and alternately changing the control / standby state in the two CPU modules as necessary,
The system switching control device according to claim 1 is provided separately for each of the two CPU modules, and the two system switching control devices are connected,
The CPU module and the system switching control device corresponding to the CPU module are connected by a bus capable of transmitting data, and each of the two CPU modules accesses and controls the system switching control device via the bus. A control apparatus characterized by grasping a transition instruction, a normal / abnormal state of the own system and another system apparatus, and a control / standby state, and changing the control / standby state based on the information. CPU duplication system.

二つの前記ＣＰＵモジュールはそれぞれに通信ポートを有し、前記通信ポート間を接続して専用通信回線を確立することを特徴とする請求項２に記載の制御装置のＣＰＵ二重化システム。CPU redundant system of two of said CPU module comprises a communication port to each control device according to claim 2, characterized in that establishing a dedicated communication line connecting between the communication port.