JPH0261755A - ２台のプロセッサを有するコンピュータシステムを監視する装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〈産業上の利用分野〉 本発明は２台のブロセ、ツサを有するコンピュータシス
テムを監視する装置に係り、さらに詳細には２台のプロ
セッサがデータ線と制御線を介して別体の入出力ポート
によって互いに固定的に接続されている、特に内燃機関
に供給する混合気を定める２台のプロセッサを有するコ
ンピュータシステムを監視する装置に関するものである
。

〈従来の技術〉 機能分離型のマルチコンピュータシステムか知られてお
り、このシステムではメインコンピュータが障害のない
状態の通常駆動で駆動されて、必要なチエツク機能及び
制御機能に関するすべての仕事を賄う。サブコンピュー
タは非常用コンピュータとしてだけ用いられ、メインコ
ンピュータが機能しなくなった場合に非常機能を受持ち
、それによって少なくとも限定された機能だけは維持す
ることができる。非常事態が生じない限りは、非常用コ
ンピュータは普通は使用されない。このようなシステム
では、いずれにしろメインコンピュータの監視が行われ
る。過当な監視装置によって障害あるいは故障が検出さ
れた場合には、非常用コンピュータがメインコンピュー
タの仕事の一部あるいは全範囲をカバーする。

ドイツ特願Ｐ　３５３９４０７．２においては、内燃機
関の特性量を制御する２つのプロセッサを有するコンピ
ュータシステムが記載されている。２つのコンピュータ
には二重のゲートが設けられており、−方のゲートから
はメインコンピュータへ、他方のゲートからは非常用コ
ンピュータへ測定値が供給される。２つのコンピュータ
は同一の仕事を処理する能力を有するように構成されて
いる。もちろんこの場合に実現される非常機能は、主と
してセンサの信号を２つのプロセッサに供給し、あるい
は非常の場合に２つのプロセッサの出力信号を最終処理
段に供給することである。監視装置によって該当するプ
ロセッサに障害が検出されると、アンドゲートを介して
燃料供給量を制御する最終処理段が遮断される。

しかし上記の明細書では、同一の仕事をする２つのプロ
セッサの主機能および非常機能をどのように監視ずろか
ということについての詳しい説明はなされていない。特
に２つのプロセッサが場合によっては非同期駆動でまっ
たく異なる目的に利用される場合にも、複数のプロセッ
サにどのようにして互いに監視させることができるかと
いうことについては、まったく言及されていない。

従って本発明の課題は、２つのプロセッサを用いて作動
する制御装置にできるだけ簡単であって、しかも強力な
安全機能を設け、特に障害のない状態にあっても２つの
プロセッサが同じ程度で同じ権利をもってシステム全体
の作業を処理することができるようにすることである。

従って、障害が発生しない限りは、２つプロセッサ間で
データの交換が行われ、かつ行うことかできなけれはな
らない。一方のプロセッサが故障した場合あるいはデー
タ伝送にエラーが生じただけの場合にもシステム全体を
使用に供することができるようにするためには、発生し
たエラーを識別することが必要である。エラーを識別し
たら、プロセッサはそれぞれエラーの種類に従って適宜
対処し、システムを使用に供することができるようにし
なけらはならない。

く課題を解決するための手段〉 上記の課題を解決するために本発明によれは、２つのプ
ロセッサが同一の権利をもって監視を行い、かつこの監
視が２つのプロセッサ間で周期的に行われる一連のデー
タ交換の途中のある種のシェークハンド駆動で行われる
構成が採用されている。すなわち、 ２つのプロセッサがデータ線及び制御線を介して周期的
なデータ及び命令交換をするときまでは、互いに独立し
て作動可能であって、それぞれのプロセッサに動的な監
視信号を出力する第１の出力端子が設けられており、そ
れぞれのプロセッサに他方のプロセッサの前記監視信号
を認識する第１の入力端子が設けられており、両プロセ
ッサの前記第１の入力端子と出力端子がそれぞれ互いに
接続されており、前記動的な監視信号は、両プロセッサ
においてプログラム処理上に故障がない場合には、それ
ぞれ所定のパルスデューティ−比と所定の周波数を有し
、いずれかのプロセッサにおいてプログラム処理上に故
障がある場合には、故障を有する方のプロセッサの監視
信号のパルスデューティ−比がプログラム処理上に故障
かない場合に比べて変化している構成が採用されている
。

く作用〉 本発明によればプロセッサは、例えば２つのプロセッサ
の一方の１７０バスに発生した障害が除去された後、あ
るいは２つのプロセッサの一方が全体として連続的に使
用されてない場合に、それぞれ互いに再起動し合うこと
ができろ。この場合に、プロセッサの障害を非常に迅速
に検出することができるという効果が得られる。

本発明の好ましい実施例によれは、２つのブロセッサは
完全ｔこ互いに独立して作動することもでき、互いに直
接接続する必要がなくあるいは共通の１７０バスを使用
しなけれはならないということもなく、種々のクロック
周波数で互いに非同期で駆動することができる。さらに
、本発明によれば２つのプロセッサが互いに同一の権限
で監視し合うことによって、エラーが発生した場合にそ
のエラーの場所を突き止めることができる。すなわち本
発明装置によれは、一方のプロセッサに障害が発生した
のか、あるいはプロセッサの周辺機器に障害が発生した
のかを識別することができる。このために前述の２つの
プロセッサ間における周期的なデータ交換が、゛監視機
能の証明回路として利用される。

〈実施例〉 本発明の実施例を図面に示し、以下で詳細に説明する。

第１図によれは、第１のプロセッサｌＯにはデータバス
とコントロールバス１７に信号を供給するポート１１が
設けられている。プロセッサ１０は同時に、図では概略
的に示されている人出力（１０）バス１６にも信号を供
給している。同様に第２のプロセッサ２０にも同じデー
タバスとコントロールハス１７に信号を供給するポート
２１か設けられている。このプロセッサ２０はさらにｌ
１０１〜ス２６と接続されている。プロセッサ１０には
２つの出力端子１２と１３が設けられており、これらの
端子はリード線３３と３４を介してプロセッサ２０の第
１の入力端子２４と第１のノアゲート２９の第１のポン
プ回路２７ないしは第１の出力を制御する。本実施例に
あっては、プロセッサ１０の出力端子１２からはウォッ
チドッグ信号（監視信号）が出力され、出力端子１３か
らはソフトウェアリセット信号が出力される。ざらにプ
ロセッサｌＯには２つの入力端子１４と１５が設けられ
ており、これらの入力端子はリード線３６ないし３７を
介してプロセッサ２０の第１の出力２２ないしノアゲー
ト３２の出力信号によって制御される。プロセッサｌＯ
の入力端子１４はプロセッサ２０のウォッチドッグ信号
を受信し、入力端子１５はリセット信号の受信に用いら
れる。プロセッサ２０には前述の入力端子２４の他に同
様に第２の入力端子２５も設けられており、この入力端
子２５は第２のナントゲート３１の出力信号によって制
御される。プロセッサ１００入力端子１．４及び１５と
同様に、プロセッサ２０の入力端子２４と２５もプロセ
ッサ１０のウォッチドッグ信号ないしリセット信号を受
信するのに用いられる。

プロセッサ１０の出力端子１３と同様に、プロセッサ２
０にもすてに述べた出力端子２２の他にさらに出力端子
２３が設けられており、この出力端子２３はリード線３
８を介してノアゲート３０の第１の入力端子を制御する
。同様にプロセッサ１０の出力端子１３はリード線３４
を介して第１のノアゲート２９の第１の入力端子を制御
する。第１のポンピング回路２７の出力信号はノアゲー
ト２９の第２の入力端子に印加され、ノアゲート２９の
出力信号はリード線４１を介して第２のノアゲート３１
の第１の入力端子を制御する。同様に、第２のポンピン
グ回路２８の出力信号は第３のノアゲート３０の第２の
入力端子に印加され、第３のノアゲート３０の出力信号
はすでに述べた第４のノアゲート３２の第１の入力端子
を制御する。

ファゾー）３１と３２のそれぞれ第２の入力端子には、
装置に電源が投入されたときに共通のリード線１８を介
して初期化信号（パワーオンパルス）が印加される。

監視すべき２つのプロセッサｌＯと２０は、例えばＥガ
スシステム（電子燃料供給量制御装置）においては、マ
スタープロセッサとスレイブプロセッサとして形成する
ことができる。その場合には、２つのプロセッサはバス
１７を介しての非同期で、かつ周期的なデータないし命
令交換までは互いに独立して作動することができる。

第１図に示す装置の機能を第２図と第３図を用いて説明
する。障害が発生した場合には、２つのプロセッサ１０
と２０のウォッチドッグ出力端子１２と２２に発生する
それぞれ所定周波数と所定のデユーティ−比を有するウ
ォッチドッグパルスが、それぞれ他方のプロセッサ２０
と１０の該当するウォッチドッグ検出端子２４と１４に
供給される。第２図によれば、この種のウォッチドッグ
パルスはそれぞれより高い周波数パルスをもちい他方の
プロセッサによって検出される（ストローブサンプリン
グ）。おもに受信側でウォッチドッグ信号の有無、デユ
ーティ−比及びパルス周波数を正確に検出することによ
って、エラーを動的に見て迅速かつ靜的に見て確実に検
出することができる。そのため、第２図ａに示す例えば
４０ｍ５の長さの周期と５０％のデユーティ−比を有す
るウォッチドッグ信号は、第２図１〕に示す周期の間例
えば８回すなわち等分された８つの時点でサンプリング
され、プログラムに従ってこれらのとびとびの時点ＴＡ
Ｉ〜ＴＡＢにおいて通常駆動時に予測される信号と比較
される。一致した場合には、受信したプロセッサによっ
てウォッチドッグ信号を出力したプロセッサの機能に誤
りがないことが確認される。ウォッチドッグ信号の予測
される値と実際の値とが一致しているかどうか互いに監
視し合うことによって、２つのプロセッサ１０と２０の
機能が秩序どうりであるか否かが監視されるが、これを
リード線３３と３７のみを介して行うことは、簡単なソ
フトウェアルーチンを使って行うことができる。

例えは、簡単なルーチンのフローチャートを第３図に示
す。第３図には詳しく図示されていないが、好ましくは
ソフトウェアで形成されるサンプリングカウンタが設け
られており、このカウンタは受信側のプロセッサにおい
てウォッチドッグ信号の基本周波数の何倍−もの周波数
で増分される。

スタート命令４８によって所定のサンプリング時点ＴＡ
でウォッチドッグ信号の瞬間的なレベルの検出４９が行
われる。ここでは単純に信号状態がＨＧ）ｌ（Ｈ）であ
るかＬＯＷ　（Ｌ　）であるかの判別が行われる。例え
はフローチャートの右半分は、信号状態Ｈが検出された
ことを前提としている。次にフラグ５０においてその前
のサンプリング時点で同じ信号状態Ｈがすでに存在して
いたかどうかの判定が行われる。例えばウォッチドッグ
信号の通常の基本周波数の８倍の周波数がサンプリング
周波数として用いられた場合には、前記の判定の結果が
ノーであるとフラグ５３に進んで、サンプリングカウン
タの計数状態が４より小さいかどうかの判定が行われる
。フラグ５０の判定の結果がイエスであると、フラグ５
１に進んでサンプリングカウンタの計数状態が６より小
さいかどうかの判定が行われる。フラグ５３の判定がノ
ーであるとサンプリングカウンタはゼロにリセットされ
る。フラグ５１の判定がイエスであるとサンプリングカ
ウンタは１だけカウントアツプされ、その後でウォッチ
ドッグ信号のその時の状態が次のフラグ６０に関するレ
ベル値としてメモリに格納される。

フラグ５３の判定がイエスの場合ないしはフラグ５１の
判定がノーの場合には、ステップ５４において誤ったウ
ォッチドッグ信号が存在すると考えられ（周波数エラー
　デユーチーイー比エラー定常的に一定の値となってし
まう等）、サンプリングカウンタを増分することなく、
そのときのウォッチドッグ信号状態が次のフラグ５０の
レベル値としてステップ５６でメモリに格納される。ウ
ォッチドッグ信号しについては、対称線５８に関して対
称なフローチャートの左半分が使用され、同様な操作が
行われる。従って２つのプロセッサ１０と２０の相互監
視は、接続回路を介在させることなく、プロセッサＩＯ
と２０のウォッチドッグ出力端子１２ないし２２と対応
するウォッチドッグ検出信号入力端子２４ないし１４と
を直接接続することによって、すなわち完全に自主的に
行うことができる。

接続素子２７〜３２は、前述の動的なウォッチドッグ信
号の分析及びデータバス１７と接続されて、監視の確実
性を向上させる以下のような機能を満たすことができる
。すなわち、プロセッサ２０は、３つの信号路すなわち
バス１７上の信号路とリード線３３上のウォッチドッグ
信号とリード線３４上のソフトウェアリセット信号の組
合せの変化から生じる信号プロトコルを論理的に処理し
て、プロセッサ１０のエラーを監視する。同様にプロセ
ッサ１０も３つの信号路すなわちバス１７上の信号路と
リード線１７上のウォッチドッグ信号とリード線３８上
のソフトウェアリセット信号の組合せから生じる信号プ
ロトコルを論理的ζピ処理することによって、プロセッ
サ２０のエラーを監視する。

プロセッサ１０と２０は固定のタイムパターンでデータ
を周期的に交換する。まず、プロセッサ１０（マスター
プロセッサとして）がバス１７を介してプロセッサ２０
（スレーブプロセッサとして）にデータをリクエストす
る。プロセッサ２０は所定のサイクル時間に基づいてデ
ータリクエストを侍っている。その結果、プロセッサ２
０からプロセッサ１０へのデータ伝送が行われないでい
ると、当該プロセッサはそのことを認識する。すなわち
プロセッサ１０の場合には自らのデータリクエストに対
してデータ伝送の応答がないことを認識し、プロセッサ
２０の場合にはサイクル時間が経過してもプロセッサ１
０からのデータリクエストがないことを認識する。従っ
てバス１７は同バスに搬送される信号並びにその信号と
元になる信号プロトコルとの比較と共に、２つのプロセ
ッサを互いに監視するための双方向の監視機能を形成す
る。

各プロセッサはそれぞれ他方のプロセッサが休止してい
る場合にそのプロセッサを再スタートさせることができ
る（ソフトウェアリセット）。リセットパルスをプロセ
ッサ２０ないし１０へ通じるリード線３４ないし３８へ
出力するのは、プロセッサ１０ないし２０がその入力端
子１４ないし２４に印加されるプロセッサ２０ないし１
０のウォッチドッグ信号がすでに述べたようにエラーを
有していることを識別することが前提となる。ポンピン
グ回路２７と２８の入力端子にエラーのないウォッチド
ッグ信号が入力されると、同回路の出力端子には靜的な
論理レベル（ここでは例えばＬ）が発生する。ウォッチ
ドッグ信号が欠落し、あるいは靜的な信号値をとると、
ポンピング回路２７と２８の出力端子にはそれぞれ他方
の論理レベルが発生する。従ってリセットパルスを送出
するプロセッサのウォッチドッグ信号にエラーがない場
合には、それぞれのプロセッサ１０ないし２０から送出
されるＬレベルを有するソフトウェアリセットパルスは
ノアゲート２９と３１ないし３０と３２を介して他方の
プロセッサ２ｏないし１０に伝送される。

このようにして、故障したプロセッサが原因不明の状態
で他方の作動可能なプロセッサにリセットパルスを送出
することは不可能になる。あるいは、例えはこの種のシ
ステムのスイッチを入れ、作動させる場合に、それぞれ
ソフトウェアリセットパルスを送出する代わりに、Ｈレ
ベルを有する共通の切間化信号（パワーオン）を２つの
ノアゲート３１と３２を介して両方のプロセッサに同時
に送ることも可能である。従って２つのプロセッサ間で
行われるソフトウェアリセット信号の交換は、２つのプ
ロセッサが互いに監視し合う他の監視機能を示す。これ
らの監視機能を検出することによってエラーのある駆動
状態の認識だけでなく、さらにこの種のエラーの場所を
突き止めることも可能であって、これについては後述す
る。

例えばプロセッサ１ｏが、プロセッサ２ｏに対してデー
タをリクエストしたのにデータ伝送が行われないことを
認識し、あるいはプロセッサ２゜が伝送サイクルが経過
してもプロセッサ１ｏからデータリクエストが行われな
いことを認識し、しかも両プロセッサが同じように、そ
れぞれ他方のプロセッサからはエラーのないウォッチド
ッグ信号が送出され、従って活動していることを認識し
ている場合には、バス１７の制御線に故障があることが
認識される。これに対して、データ線の故障の場合には
、まだデータ伝送は可能である。データ線の故障は、プ
ロセッサ１ｏがプロセッサ２０にチェックワードを送出
し、プロセッサ２ｏがプロセッサ１０に誤ったチェック
ワードを返すことによって認識される。その場合にプロ
セッサ１０は、プロセッサ２０がデータ交換に関する伝
送プロトコルを維持しており、プロセッサ２ｏのウォッ
チドッグ信号が誤りのない状態で存在するこを認識する
が、誤ったチェックワードを処理することによってデー
タバスのデータ線に障害があるという結論を出す。プロ
セッサ２ｏは、ブロセッサｌＯが伝送プロトコルを維持
しており、そのウォッチドッグ信号が誤りのない状態で
存在していることを認識し、同様にデータバスにエラー
が存在するという結論を出す。

例えはプロセッサ１０が作動していない場合には、プロ
セッサ２０は伝送サイクルの経過後にプロセッサ１０が
データリクエストして来ないことと同プロセッサ１０の
ウォッチドッグ信号の欠落を認識する。プロセッサ２０
は前記２つの状態を認識するとブロモ・・フサｌＯに障
害があると判断する。そしてプロセッサ２０はブロモ・
・ｌす１０にリセットパルスを送出する。プロセッサ１
０が再び能動化されるとすぐに、プロセッサ１．０から
はエラーのないウォッチドッグ信号が出力され、プロセ
ッサ２０にデータをリクエストする。プロセッサ１０が
能動化されないと、ウォッチドッグ信号の出力はなく、
かつプロセッサ２０に対するデータリクエストも行われ
ないので、プロセッサ２０は所定のプログラムに従って
反応する。プロセッサ２０についても逆に同様なことが
行われる。

例えばプロセッサ２０からウォッチドッグ信号が出力さ
れないと、それをプロセッサ１０が認識する。プロセッ
サ２０がプロセッサ１０からのデータリクエストに正し
く応答すると、プロセッサ１０はプロセッサ２０が能動
状態であって、ブ［１７セツサ２０のウォッチドッグ信
号出力端子にエラーがあることを認識する。データバス
１７を介してプロセッサ１０はこの情報をプロセッサ２
０に伝達する。逆にプロセッサ１０のウォッチドッグ信
号にエラーが発生しｌた場合には、それをブｌコセ・フ
サ２０が認識して該当する情報をブロモ・フサ］０に伝
達する。

なお、以上の実施例において、障害がない場合には、両
プロセッサから出力される監視信号はほぼ同一のパルス
デューティ−比と周波数を有するように構成することが
できる。

また、障害がない場合には、両監視信号間に所定の位相
ずれが存在し、この位相ずれはいずれかのプロセッサに
おいてプログラム処理に障害が発生すると失われてしま
うように構成することができる。

また、２つのプロセッサのうち少なくとも一方が、デー
タ線及び制御線１７に無関係の他のデータバス１６．２
６と接続されているように構成することができる。

さらに、２つのプロセッサが異なる周波数で駆動可能で
あるように構成することができる。

また、データ線及び制御線を介して出力されるデータ線
上のデータ伝送を検査するチェックワードが方向に関し
て異なるように構成することができる。

また、障害が存在しない限りにおいて、２つのプロセッ
サの一方がマスタープロセッサとして優先的に駆動可能
であって、他方がスレーブプロセッサとして低い順位で
駆動可能であり、障害が検出されると、２つのプロセッ
サの各々が同一の能力でほぼ同一の非常機能を果たすよ
うに構成することができる。

さらに、各プロセッサのリセット／再スタート信号を受
信する第２の入力端子１５．２５が、それぞれ他方のプ
ロセッサのソフトウェアリセット信号を出力する第２の
出力端子１３．２３と動的に接続されるように構成する
ことができる。

また、一方のプロセッサにおいてプログラム処理に故障
が発生した場合には、同プロセッサは障害がない状態の
ときに比べて単位時間当りより多くのソフトウェアリセ
ット信号を発生させることによって停止させることがで
き、この多数のソフトウェアリセットパルスは障害のな
い方のプロセッサから発生されるように構成することが
できる。

〈発明の効果〉 従って本発明装置においては、２つのプロセッサが互い
に独立して作動するにもかかわらず、高度の確実性をも
って互いに監視し合うことができる。プロセッサはプロ
グラムされた種々のフェイルセイフ・ルーチンに従いそ
れぞれエラーの種類に応じて種々に応答することができ
る。またエラーの位置が特定されるので、例えば一方の
プロセッサが作動しなくなったときにまだ機能している
他方のプロセッサによって再スタートさせる（すセット
）ことにより、前記エラーを除去することができる。再
スタート（リセット）の試みが成功しなかった場合には
、故障したプロセッサないしは誤作動するプロセッサを
継続的に休止させる方法もある。総じてエラーが発生し
た場合にソフトウェアを用いて種々に応答することがで
きるようになっているので、システム全体の使用範囲を
著しく拡大することができる。エラーの検出を利用して
例えば自動車の運転者にエラーを報告し、あるいは特に
自動車関係の仕事で照会することのできるエラーメモリ
に格納することもできるのは当然でる。さらに、本発明
による装置は、図示の実施例とは異なり２つのプロセッ
サ間でのデータ交換が別体のボー）１１と２１間に固定
配置された専用のバス１７を介してではなく、システム
バスあるいは一般に検出した測定量を格納ないしは処理
結果を読み出すシステムバスの一部を介して行われるよ
うな２つのプロセッサシステムに使用することも可能で
ある。

【図面の簡単な説明】

第１図は本発明装置のブロック図、第２図（ａ）と（ｂ
）は動的なウォッチドッグ信号の検出を模式的に示す説
明図、第３図は第２図に示す検出プログラムのフローチ
ャート図である。 １１．２１・・・ポート、１２．２２・・・出力端子、
１３．２３・・・出力端子、１４．２４・・・入力端子
１５．２５・・・入力端子、１６・・・データバス、１
７・・・データ線及び制御線、 ２７．２８・・・ポンピング回路 ＦＩＧ、２

Claims (11)

【特許請求の範囲】
1. （１）　２つのプロセッサがポート（１１、２１）によ
   ってデータ線及び制御線（１７）を介して互いに固定的
   に接続されている、２つのプロセッサを有するコンピュ
   ータシステムを監視する装置において、 ２つのプロセッサが前記データ線及び制御線を介して周
   期的にデータ及び命令交換をするときまでは、互いに独
   立して作動可能であって、 それぞれのプロセッサに動的な監視信号を出力する第１
   の出力端子（１２、２２）が設けられており、 それぞれのプロセッサに他方のプロセッサの前記監視信
   号を認識する第１の入力端子（１４、２４）が設けられ
   ており、 両プロセッサの前記第１の入力端子（１４、２４）と出
   力端子（２２、１２）がそれぞれ互いに接続されており
   、 前記動的な監視信号は、両プロセッサにおいてプログラ
   ム処理上に故障がない場合には、それぞれ所定のパルス
   デューティー比と所定の周波数を有し、 いずれかのプロセッサにおいてプログラム処理上に故障
   がある場合には、故障を有する方のプロセッサの監視信
   号のパルスデューティー比がプログラム処理上に故障が
   ない場合に比べて変化していることを特徴とする２つの
   プロセッサを有するコンピュータシステムを監視する装
   置。
2. （２）　各プロセッサの前記各第１の出力端子（１２、
   ３３、２２、３７）がポンピング回路（２７２８）の入
   力端子に接続されており、前記ポンピング回路の出力端
   子からは靜的な監視信号を取り出すことができ、 それぞれソフトウエアリセット信号を出力するための第
   ２の出力端子（１３、２３）が設けられており、 各プロセッサにはそれぞれ他方のプロセッサのリセット
   ／再スタート信号を受信するための第２の入力端子（１
   ５、２５）が設けられており、各第２の入力端子（１５
   、２５）の前段にはそれぞれ３つの入力端子を有する論
   理回路（３０、３２、２９、３１）が設けられており、
   前記３つの入力端子のそれぞれ第１の入力端子（３８、
   ３４）はそれぞれ他方のプロセッサのソフトウエアリセ
   ット信号を出力するための前記第２の出力端子（２３、
   １３）と接続され、論理回路の第２の入力端子はそれぞ
   れ他方のプロセッサによって制御される（２２、１２）
   ポンピング回路（２８、２７）の出力端子と接続されて
   おり、 前記論理回路（３０、３２、２９、３１）の第３の入力
   端子には電源線（１８）を介して初期化信号を供給する
   ことができることを特徴とする特許請求の範囲第１項に
   記載の装置。
3. （３）　障害がない場合には、両プロセッサから出力さ
   れる監視信号はほぼ同一のパルスデューティー比と周波
   数を有することを特徴とする特許請求の範囲第１項に記
   載の装置。
4. （４）　障害がない場合には、両監視信号間に所定の位
   相ずれが存在し、この位相ずれはいずれかのプロセッサ
   においてプログラム処理に障害が発生すると失われてし
   まうことを特徴とする特許請求の範囲第３項に記載の装
   置。
5. （５）　２つのプロセッサのうち少なくとも一方が、前
   記データ線及び制御線（１７）に無関係の他のデータバ
   ス（１６、２６）と接続されていることを特徴とする特
   許請求の範囲第１項に記載の装置。
6. （６）　２つのプロセッサが異なる周波数で駆動可能で
   あることを特徴とする特許請求の範囲第１項に記載の装
   置。
7. （７）　前記データ線及び制御線（１７）を介して出力
   される前記データ線上のデータ伝送を検査するチェック
   ワードが方向に関して異なることを特徴とする特許請求
   の範囲第１項に記載の装置。
8. （８）　前記論理回路がそれぞれ２つの直列のカスケー
   ド回路（２９、３１）、（３０、３２）から形成される
   ことを特徴とする特許請求の範囲第２項に記載の装置。
9. （９）　障害が存在しない限りにおいて、２つのプロセ
   ッサの一方がマスタープロセッサとして優先的に駆動可
   能であって、他方がスレーブプロセッサとして低い順位
   で駆動可能であり、 障害が検出されると、２つのプロセッサの各々が同一の
   能力でほぼ同一の非常機能を果たすことを特徴とする特
   許請求の範囲第１項〜第８項のいずれか１項に記載の装
   置。
10. （１０）　各プロセッサのリセット／再スタート信号を
    受信する第２の入力端子（１５、２５）が、それぞれ他
    方のプロセッサのソフトウエアリセット信号を出力する
    第２の出力端子（１３、２３）と動的に接続されている
    ことを特徴とする特許請求の範囲第１項〜第９項のいず
    れか１項に記載の装置。
11. （１１）　一方のプロセッサにおいてプログラム処理に
    故障が発生した場合には、同プロセッサは障害がない状
    態のときに比べて単位時間当りより多くのソフトウエア
    リセット信号を発生させることによって停止させること
    ができ、この多数のソフトウエアリセットパルスは障害
    のない方のプロセッサから発生されることを特徴とする
    特許請求の範囲第１０項に記載の装置。