JPH07120294B2 - Fault tolerant method and system - Google Patents
Fault tolerant method and systemInfo
- Publication number
- JPH07120294B2 JPH07120294B2 JP1273799A JP27379989A JPH07120294B2 JP H07120294 B2 JPH07120294 B2 JP H07120294B2 JP 1273799 A JP1273799 A JP 1273799A JP 27379989 A JP27379989 A JP 27379989A JP H07120294 B2 JPH07120294 B2 JP H07120294B2
- Authority
- JP
- Japan
- Prior art keywords
- subsystem
- output
- result
- reliability
- data
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Landscapes
- Hardware Redundancy (AREA)
Description
【発明の詳細な説明】 〔産業上の利用分野〕 本発明は、フオールトトレラント方法及びシステムにか
かり、特にシステムの高信頼化に好適なサブシステム相
互の診断を行なう方法及びシステムに関する。Description: TECHNICAL FIELD The present invention relates to a fault tolerant method and system, and more particularly to a method and system for performing mutual diagnosis of subsystems suitable for improving system reliability.
近年コンピユータの発達に従い、コンピユータが重要な
役割を果たすようになつてきた。それに伴つて、コンピ
ユータの信頼性が強く求められるようになつた。コンピ
ユータの信頼性を損なう誤動作の要因として、ハードウ
エアの永久故障やソフトウエアのバグ、そして電気的雑
音や放射線の入射による一時的なデータエラーなどが挙
けられる。With the development of computers in recent years, computers have come to play an important role. Along with that, the credibility of the computer has been strongly demanded. Permanent hardware failures, software bugs, and temporary data errors due to electrical noise and radiation incidence are among the causes of malfunctions that impair the reliability of the computer.
システムの信頼性を高めるために、システムを構成する
サブシステムを冗長化,多重化する方法が用いられてい
る。多重化したサブシステムの出力の取扱い方法に関し
て、James N.Gray他著,渡辺栄一編訳,フオールトトレ
ラント・システム,マグロヒルブツク、(1986)、第11
頁〜第12頁によると多数決を行う方法やサブシステムの
診断結果に基づいて出力を切り換える方法などがある。In order to increase the reliability of the system, a method of making the subsystems constituting the system redundant and multiplexed is used. Regarding the handling method of the output of the multiplexed subsystem, James N. Gray et al., Edited by Eiichi Watanabe, Fault Tolerant System, Tuna Hirbutsk, (1986), No. 11
According to pages 12 to 12, there is a method of making a majority vote and a method of switching the output based on the diagnosis result of the subsystem.
以下、第18図に従い公知例について説明する。Hereinafter, a known example will be described with reference to FIG.
冗長化されたサブシステム1−1〜1−Nの出力3−1
〜3−Nは出力選択回路5′に入力される。出力選択回
路5′では出力3−1〜3−Nの多数決を取つたり、サ
ブシステム1−1〜1−Nについての診断結果に基づき
出力3−1〜3−Nの中から選択を行つて最終出力6を
生成する。Outputs 3-1 of redundant subsystems 1-1 to 1-N
.About.3-N are input to the output selection circuit 5 '. The output selection circuit 5'takes a majority decision of the outputs 3-1 to 3-N and selects from the outputs 3-1 to 3-N based on the diagnosis result of the subsystems 1-1 to 1-N. Then, the final output 6 is generated.
上記従来技術のうち多数決による方法は、データの一致
/不一致により出力が選択されるために過渡フオールト
には強い反面、用意されたサブシステムのうち過半数の
サブシステムが正常でなければ、システムとしては正常
な動作が保証されないために、多重フオールトには弱い
という問題点があつた。一方、診断結果に基づいて出力
を切り換える方法(待機冗長方式)では、1つ以上のサ
ブシステムが生存しさえすればシステムとしての生存が
保証されるために多重フオールトに対しては強い。しか
し、診断結果が誤りであつた場合には出力の正常性が保
証されず、しかも診断の結果異常が検出され出力を切り
換えるときには出力が一時中断するために過渡フオール
トには弱いといつた問題点があつた。このために、従来
から出力信号の信頼度,連続性が第1に要求されている
用途には多数決による方法が用いられていた。Among the above-mentioned conventional techniques, the method based on the majority decision is strong against transient faults because the output is selected depending on whether the data match / mismatch. However, if a majority of subsystems prepared are not normal, the system is Since normal operation is not guaranteed, there is a problem that it is weak against multiple faults. On the other hand, the method of switching the output based on the diagnosis result (standby redundancy method) is strong against multiple faults because the survival of the system is guaranteed as long as one or more subsystems survive. However, if the diagnosis result is incorrect, the normality of the output is not guaranteed, and furthermore, when an abnormality is detected as a result of the diagnosis and the output is switched, the output is temporarily interrupted, so it is weak to the transient fault. I got it. For this reason, a method based on majority voting has been used for applications in which reliability and continuity of output signals are first required.
本発明は、上記従来技術すなわち、過渡フオールトに強
い多数決方式,多重フオールトに強い待機冗長方式のそ
れぞれの長所を合わせ持つたサブシステムの出力の選択
方法を提供することを目的とする。SUMMARY OF THE INVENTION It is an object of the present invention to provide a method of selecting an output of a subsystem which has the advantages of the above-mentioned conventional technology, that is, a majority voting method that is strong against transient faults and a standby redundancy method that is strong against multiple faults.
〔課題を解決するための手段〕 本発明では上記目的を達成するために、自己診断結果や
サブシステム間のデータ比較などの結果により、各サブ
システムの出力の信頼度を動作中に推定して、推定した
信頼度がサブシステムの中で最も高いサブシステムの出
力を選択する。ここで、出力の信頼度とは、出力信号が
正しい確率のことであり、システム内で発生している事
象の関数として表される。[Means for Solving the Problems] In order to achieve the above object, the present invention estimates the reliability of the output of each subsystem during operation from the results of self-diagnosis and data comparison between subsystems. , Select the output of the subsystem with the highest estimated reliability among the subsystems. Here, the reliability of the output means the probability that the output signal is correct, and is represented as a function of the event occurring in the system.
自己診断結果やサブシステム間のデータ比較などの結果
に着目し、信頼度の最も高いサブシステムを選択するた
めには、以下のようなアルゴリズム等を用いる。Focusing on the results of self-diagnosis and data comparison between subsystems, the following algorithm is used to select the subsystem with the highest reliability.
:自己診断の結果、正常と診断され、かつ処理結果が
他のサブシステムのものと一致しているサブシステムを
正常とみなしその出力を最終出力とする。: A subsystem which is diagnosed as normal as a result of self-diagnosis and whose processing result matches that of another subsystem is regarded as normal, and its output is made the final output.
の条件を満たすサブシステムがない場合には、:処
理結果が他のサブシステムのものと一致しているサブシ
ステムを正常とみなしその出力を最終出力とする。When there is no subsystem that satisfies the condition of :, the subsystem whose processing result matches that of another subsystem is regarded as normal, and its output is set as the final output.
の条件を満たすサブシステムがない場合には、:自
己診断の結果、正常と診断されたサブシステムを正常と
なみしその出力を最終出力とする。When there is no subsystem satisfying the condition of :, the subsystem diagnosed as normal as a result of self-diagnosis is regarded as normal, and its output is made the final output.
の条件を満たすサブシステムがない場合には、:出
力を停止するか、または正常な出力が得られないことを
警告する信号を出力する。If there is no subsystem that satisfies the condition of :: Stop the output or output a signal warning that normal output cannot be obtained.
自己診断の欠報率(サブシステムが異常であるのに正常
であると誤判定されてしまう確率)をPdε,誤ったデー
タが一致してしまう確率をPaε,誤りの発生する確率を
Pεとする。Let Pdε be the failure rate of self-diagnosis (probability that a subsystem is erroneously judged to be normal even though it is abnormal), Paε be the probability that incorrect data will match, and Pε be the probability that an error will occur. .
誤ったデータが一致してしまう確率は、その誤り方がラ
ンダムであると仮定すれば、ランダムな2つのデータが
一致する確率と考えられ、 Paε=2-n ……(1) ただし、n:データのbit長 と表される。コンピユータシステムでデータをソフトウ
エアにより照合する場合には、通常データのbit長nは
大きな値をとることが多いため、 Paε≒0 ……(2) であり、 Paε≪Pdε ……(3) と考えられる。The probability that incorrect data will match is considered to be the probability that two random data will match, assuming that the error is random. Paε = 2 -n (1) where n: It is expressed as the bit length of data. When data is collated by software in a computer system, since the bit length n of the normal data often takes a large value, Paε ≈ 0 ...... (2) and Paε << Pdε ...... (3) Conceivable.
以上のことを考慮すると前記の手段のそれぞれの場合の
出力の信頼度Rdは、 ただし、k:正常とされたサブシステムの数となる。Considering the above, the reliability Rd of the output in each case of the above means is However, k is the number of subsystems that are regarded as normal.
前記の手段を用いることにより(4),(5),(6)
と信頼度の高い出力が順次選択される。すなわち、冗長
化されたサブシステムの中で最も信頼度の高い出力が選
択されることになる。By using the above means (4), (5), (6)
And a highly reliable output is sequentially selected. That is, the output with the highest reliability among the redundant subsystems is selected.
〔実施例〕 以下、図面に従つて本発明の実施例を説明する。Embodiments Embodiments of the present invention will be described below with reference to the drawings.
第1図は本発明の基本的な実施例である。冗長化された
サブシステム1−1〜1−N(N:サブシステムの個数,
自然数)にはそれぞれにコンピユータシステム本来の目
的であるデータ処理をするデータ処理機能200−1〜200
−Nを有する。出力の信頼度を推定し、一番信頼度の高
い出力を判定する機能(以下、判定機能と略す)204に
よる判定結果S1〜SNに基づき、出力選択回路5では、そ
れぞれのサブシステムからの出力3−1〜3−Nの中か
ら一番信頼度の高い出力を選択し、最終出力とする。本
実施例によれば、出力の信頼度を推定し、推定した信頼
度に基づき出力を選択しているために、常の信頼度の最
も高いサブシステムからの出力を最終出力6とすること
ができる。また、1つでも正常に動作しているサブシス
テムが存在すれば、その正常なサブシステムの出力をシ
ステムの最終出力とすることができる為に多重フオール
ト(故障)に強いシステムを構築することができる。FIG. 1 shows a basic embodiment of the present invention. Redundant subsystems 1-1 to 1-N (N: number of subsystems,
Data processing functions 200-1 to 200 that perform data processing, which is the original purpose of the computer system.
With -N. Based on the judgment results S1 to SN by the function (hereinafter, abbreviated as a judgment function) 204 for estimating the reliability of the output and judging the output with the highest reliability, the output selection circuit 5 outputs the output from each subsystem. The output with the highest reliability is selected from among 3-1 to 3-N and is set as the final output. According to this embodiment, since the reliability of the output is estimated and the output is selected based on the estimated reliability, the output from the subsystem with the highest reliability is always the final output 6. it can. Also, if even one subsystem is operating normally, the output of that normal subsystem can be used as the final output of the system, so it is possible to build a system that is resistant to multiple faults. it can.
ここで、判定結果は、データ処理機能200−1〜200−N
からの出力より総合的に判断されて決められる。この判
定結果によりどのサブシステムの出力を選択するかが決
定される。判定結果siはサブシステム1−iが正常であ
るか異常であるかという情報を示す。つまり、iは判定
の客体となるサブシステムの番号を表す。Here, the determination result is the data processing functions 200-1 to 200-N.
It is decided by comprehensively judging from the output from. The determination result determines which subsystem output is selected. The determination result si indicates information indicating whether the subsystem 1-i is normal or abnormal. That is, i represents the number of the subsystem that is the object of determination.
第2図は他の実施例で、判定機能204を多重化してサブ
システム1−1〜1−Nの中に組み込み、判定機能204
−1〜204−Nとした実施例である。本実施例の場合、
判定機能204−1〜204−Nによる判定結果S1〜SNは、各
々のサブシステムごとに出力される。これを相互診断結
果4−1〜4−Nとする。各々の相互診断結果は各々の
サブシステムでの判断結果S1〜SNから構成される。本実
施例によれば、第1図における判定機能204を判定機能2
04−1〜204−Nと多重化したために判定機能の故障や
誤動作による誤つた判定により、誤つた出力を選択して
しまうことを防止できる。さらに、第12図のように選択
機能205−1〜205−Nを各々のサブシステムに持たせる
ことも可能である。FIG. 2 shows another embodiment in which the decision function 204 is multiplexed and incorporated into the subsystems 1-1 to 1-N.
-1 to 204-N. In the case of this embodiment,
The determination results S1 to SN by the determination functions 204-1 to 204-N are output for each subsystem. These are assumed to be mutual diagnosis results 4-1 to 4-N. Each mutual diagnosis result is composed of the judgment results S1 to SN in each subsystem. According to the present embodiment, the judgment function 204 in FIG.
It is possible to prevent erroneous output from being selected due to erroneous determination due to failure or malfunction of the determination function due to multiplexing with 04-1 to 204-N. Further, as shown in FIG. 12, it is possible to provide each subsystem with selection functions 205-1 to 205-N.
ここで、相互診断結果とは、冗長化された複数のサブシ
ステム相互間で行われる診断の結果をいい、自己診断結
果とサブシステム相互のデータの一致不一致により決定
される。相互診断結果は診断の客体となるサブシステム
それぞれの正常異常を表す。本発明では主として相互診
断の手段を提供するものである。Here, the mutual diagnosis result means a result of a diagnosis performed between a plurality of redundant subsystems, and is determined by a coincidence or non-coincidence of data between the self-diagnosis result and the subsystems. The mutual diagnosis result indicates normality / abnormality of each subsystem that is an object of diagnosis. The present invention mainly provides means for mutual diagnosis.
この相互診断はサブシステムそれぞれにより決定され
る。つまり診断の主体となるサブシステムによつて異な
る結果となることもある。This mutual diagnosis is determined by each subsystem. That is, different results may be obtained depending on the subsystem that is the main body of diagnosis.
相互診断結果4−i(i:1からNの自然数)は、サブシ
ステム1−iで決定された相互診断結果を示す。つま
り、iは診断の主体となるサブシステムの番号を表す。The mutual diagnosis result 4-i (i: 1 to N is a natural number) indicates the mutual diagnosis result determined by the subsystem 1-i. That is, i represents the number of the subsystem that is the main subject of diagnosis.
以下に出力の信頼度を推定し、一番信頼度の高い出力を
判定するための実施例を示す。An example for estimating the reliability of the output and determining the output with the highest reliability will be shown below.
第3図は本発明の判定機能を示す実施例である。FIG. 3 is an embodiment showing the judgment function of the present invention.
第1図に示すアルゴリズムでRdが一番高いサブシステム
を選択することができる。With the algorithm shown in Fig. 1, the subsystem with the highest Rd can be selected.
式(4),(5),(6)のように、出力の信頼度Rdは
サブシステムについての自己診断結果や、データの一致
/不一致といつた事象の組み合わせ、即ちサブシステム
の症状によつて表される。As in equations (4), (5), and (6), the reliability Rd of the output depends on the self-diagnosis result of the subsystem and the combination of the data match / mismatch and the event, that is, the subsystem symptom. Is represented.
第1図では症状をRdの高い順に、 Syndrome1,Syndrome2,……SyndromeL (L:Syndromeの総数) すなわち Rd(Syndromel)>Rd(Syndrome2)>… >Rd(SyndromeL) ……(7) ただし、Rd(Syndromei):Syndromeiが観測されている
ときの出力の信頼度 となるように記述している。なお、Syndrome1は最良の
症状即ち全く異常が検出されないということを表し、一
方SyndromeLは最悪の症状即ち全てのチエツク項目で異
常が検出されたということを表す。例えば、チエツク項
目が自己診断結果とデータの比較の2つだけである場合
には、Syndrome1は自己診断で異常が検出されずかつデ
ータが一致していることを表し、SyndromeLは、自己診
断で異常が検出されかつデータが不一致を起こしている
ことを表す。In Fig. 1, the symptoms are shown in descending order of Rd. (Syndromei): It is described as the reliability of the output when Syndromei is observed. Syndrome 1 represents the best symptom, that is, no abnormality is detected, while Syndrome L represents the worst symptom, that is, abnormality is detected in all check items. For example, if there are only two check items, the self-diagnosis result and the comparison of the data, Syndrome1 indicates that no abnormality is detected in the self-diagnosis and the data match, and SyndromeL indicates the abnormality in the self-diagnosis. Is detected and the data is inconsistent.
第3図に示すアルゴリズムに従うと、以下のように最良
の症状から順次症状のグレードを下げて行くことによ
り、個々のサブシステムのうち一番Rdの高いサブシステ
ムの信号を選択することができる。According to the algorithm shown in FIG. 3, it is possible to select the signal of the subsystem having the highest Rd among the individual subsystems by gradually decreasing the symptom grade from the best symptom as follows.
if any subsystem hes Syndromel then select the sub
system(s) which has Syndromel, else if any subsystem has Syndrome2 then select th
e subsystem(s) which has Syndrome2, : : else if any subsystem has SyndromeL−1 then select
the subsystem(s) which has SyndromeL−1, else output fail safe signal. 第4図は、本発明他の判定機能を示す実施例で、 Paε<Pdε ……(8) が成り立つ場合に、最も信頼度の高いサブシステムの出
力を選択するためのアルゴリズムである。if any subsystem hes Syndromel then select the sub
system (s) which has Syndromel, else if any subsystem has Syndrome2 then select th
e subsystem (s) which has Syndrome2, :: else if any subsystem has SyndromeL-1 then select
The subsystem (s) which has SyndromeL−1, else output fail safe signal. FIG. 4 is an embodiment showing another determination function of the present invention, and is the most reliable when Paε <Pdε (8) holds. Is an algorithm for selecting the output of a high subsystem.
なお、図中で「正常」は当該サブシステムが自己診断の
結果正常と判断されたという事象を表しており、「一
致」は処理結果が当該サブシステムの処理結果と一致す
るサブシステムが他に存在することを表している。In the figure, “Normal” indicates that the subsystem was judged to be normal as a result of self-diagnosis, and “Match” indicates that other subsystems whose processing result matches the processing result of the subsystem. It means that it exists.
〈自己診断の方法〉 なお、自己診断の方法としてはコンピュータ・システム
の場合を例にとれば、 RAMに付加したECC(Error Correcting Code:誤り訂
正符号)エンコーダ/デコーダによりbit誤りを訂正,
検出したという情報 マイクロプロセツサが持つ誤り検出機能による検出
結果(バス・エラー,アドレス・エラーなど) ハードウエアの機能診断プログラムの実行結果 分散配置データ(重要なデータは同一サブシステム
内でも多重化しておきそれらを照合し、不一致が検出さ
れた場合には多数決により訂正を行う)の照合結果 マイクロプロセッサの演算ユニツトなどに付加され
た誤り検出機能による誤り検出結果などを用いる方法が
従来から提案されており、これらを用いればよい。<Self-diagnosis method> As a self-diagnosis method, taking a computer system as an example, a bit error is corrected by an ECC (Error Correcting Code) encoder / decoder attached to a RAM.
Information that it has been detected Detection results (bus error, address error, etc.) by the error detection function of the microprocessor Execution result of the hardware function diagnostic program Distributed allocation data (important data is multiplexed even within the same subsystem) They are collated every other time, and if a mismatch is detected, a majority decision is made to correct them.) Collation result A method using the error detection result by the error detection function added to the arithmetic unit of the microprocessor has been proposed in the past. However, these may be used.
〈自己診断結果の段階〉 第5図は自己診断結果にいくつかの段階(本実施例の場
合2段階)がある場合の判定機能を示す実施例である。
たとえば、上記のECCによりbit誤りを訂正,検出した
という情報を自己診断の結果として用いた場合、その結
果としては1bit誤り訂正,2bit誤り検出の2段階の情報
が得られる。<Self-Diagnosis Result Stage> FIG. 5 shows an embodiment showing a judgment function when the self-diagnosis result has several stages (two stages in the case of the present embodiment).
For example, when the information that the bit error is corrected and detected by the above-mentioned ECC is used as the result of the self-diagnosis, two-level information of 1-bit error correction and 2-bit error detection is obtained as the result.
通常用いられているSEC−DED(Single Error Correctio
n Double Error Detection)コードによるECCでは、3bi
t以上の誤りが発生した場合には1bitまたは2bit誤りと
して検出される。また極めて小さい可能性ではあるが、
3bit以上の誤りが検出されないこともある。したがつ
て、訂正可能な1bit誤りが検出された場合や誤りが検出
されなかつた場合でも3bit以上の誤りが発生している可
能性がある。ここで1bit誤りが発生していないという事
象を「正常1」,2bit以上の誤りが発生していないとい
う事象を「正常2」と表すことにし、正常1,正常2それ
ぞれの場合の欠報率をPdε1,Pdε2とすると、 Paε<Pdε1<Pdε2 ……(9) という関係になる。SEC-DED (Single Error Correctio
n Double Error Detection) coded ECC, 3bi
When an error of t or more occurs, it is detected as a 1-bit or 2-bit error. Also, although it may be extremely small,
In some cases, errors of 3 bits or more cannot be detected. Therefore, even if a correctable 1-bit error is detected or if no error is detected, it is possible that an error of 3 bits or more has occurred. Here, the event that a 1-bit error has not occurred is referred to as "normal 1", and the event that an error of 2 bits or more has not occurred is referred to as "normal 2". Let Pdε 1 and Pdε 2 be Paε <Pdε 1 <Pdε 2 (9).
本実施例により、出力の信頼度が であるサブシステムの出力を順次選択することができ
る。According to this embodiment, the reliability of output is The subsystem outputs can be sequentially selected.
処理結果が他のサブシステムの処理結果と一致したとい
う事象にも処理結果が一致したサブシステムの数によつ
てサブシステムの出力の信頼度に幾つかの段階がある。
この場合も本実施例のように「一致」という事象を幾つ
かの段階に分けて判断することができる。Even in the event that the processing result matches the processing results of other subsystems, there are several stages in the reliability of the output of the subsystem depending on the number of subsystems whose processing results match.
Also in this case, it is possible to judge the phenomenon of “match” in several stages as in the present embodiment.
また、自己診断結果の欠報率が極めて低く、 Paε≫Pdε1 ……(15) が成り立つ場合には、第6図に示すアルゴリズムで出力
の選択を行えばよい。Further, when the missing rate of the self-diagnosis result is extremely low and Paε >> Pdε 1 (15) holds, the output may be selected by the algorithm shown in FIG.
〈出力の信頼度レベルの設定〉 第7図は第3図の実施例に、出力の信頼度が要求された
値よりも高いかどうかの判断を加えたものである。<Setting of Output Reliability Level> FIG. 7 shows the embodiment of FIG. 3 with the addition of a judgment as to whether or not the output reliability is higher than the required value.
Syndrome1からSyndromeL−1まで、順次症状のグレード
を下げ、かつ出力の信頼度が要求値よりも高いサブシス
テムがある場合には、当該サブシステムの出力を選択
し、条件を満たすサブシステムが存在しない場合には誤
りであることを示す信号を出力する。From Syndrome1 to SyndromeL-1, if there are subsystems with progressively lower symptom grades and output reliability higher than the required value, select the subsystem output and there is no subsystem that meets the conditions. In that case, a signal indicating an error is output.
本実施例によれば、要求値未満の信頼度の出力を防止で
き、システムの動作の安全性を保証することができる。According to this embodiment, it is possible to prevent the output of the reliability less than the required value, and to guarantee the safety of the operation of the system.
なお、信頼度の要求値は第8図のようにして、図中のレ
ベルの値により設定することができる。要求された水準
を満たす出力が得られない場合には、出力を停止するか
警告を示す信号を出力するようにすれば、システムの生
存確率だけでなく安全性も維持することができる。The required value of reliability can be set by the level value in the figure as shown in FIG. When the output that does not meet the required level is not obtained, the output can be stopped or a signal indicating a warning can be output to maintain not only the survival probability of the system but also the safety.
ここでレベルは信頼度の要求水準を表し、その値によ
り、 とすることができる。Here, the level represents the required level of reliability, and depending on the value, Can be
制御装置のフエイル・セイフ性は、制御対象の動作の安
全性を維持するために必要であり、交通制御などのシス
テムの誤動作が人命に危険を与えたり、社会に大きな混
乱を与えるような応用分野では特に重要な機能である。The fail-safety of the control device is necessary to maintain the safety of the operation of the controlled object, and the application field where the malfunction of the system such as traffic control poses a risk to human life or causes great confusion in society. Then it is a particularly important function.
また本実施例によれば適当なレベルを選択することによ
り、同一のシステム構成で種々の目的に対応できるフオ
ールトトレラント・コンピユータを構成することができ
る。たとえば、商用のオンライン・システムに使用され
るコンピユータではAvailabilityの向上を第一に考えな
ければならない。このような場合には先に述べたレベル
を0に設定すれば、出力の信頼度の最低水準は下がる
が、最高のAvailabilityを得ることができる。また、航
空機のフライト・コントロールなどに用いられるコンピ
ユータでは、出力の信頼度を第一に考えなければならな
い。このような場合には先に述べたレベルを2に設定す
ることにより最高の出力の信頼度を得ることができる。
このように本実施例によれば、従来困難であつたAvaila
bilityと出力の信頼度との両立やトレードオフが極めて
容易になる。Further, according to the present embodiment, by selecting an appropriate level, it is possible to construct a fault tolerant computer capable of meeting various purposes with the same system configuration. For example, in computers used in commercial online systems, improving availability must be the first consideration. In such a case, if the above-mentioned level is set to 0, the lowest level of reliability of output is lowered, but the highest availability can be obtained. Moreover, in a computer used for flight control of an aircraft, the reliability of output must be considered first. In such a case, the highest output reliability can be obtained by setting the above-mentioned level to 2.
As described above, according to the present embodiment, Availa
Compatibility and trade-off between bility and output reliability are extremely easy.
またコンピユータの用途によつて動作中に要求信頼度の
レベルを変化させることが必要である。例えば航空機の
フライト・コントロールなどでは飛行の各段階により適
切なレベルを設定することにより搭乗者の安全を保証す
ることができる。航空機の離陸時を考えてみる。速度が
V1を超えるまでは先に述べたレベルを2に設定しておく
ことにより、僅かでもコンピユータに不具合が生じた場
合には直ちに離陸を中止することができる。速度がV1を
超えてから先に述べたレベルを1または0に設定するこ
とにより加速を継続して一旦離陸したのち着陸すること
ができる。It is also necessary to change the required reliability level during operation depending on the application of the computer. For example, in flight control of an aircraft, the safety of passengers can be guaranteed by setting an appropriate level for each stage of flight. Consider when an aircraft takes off. Speed is
By setting the above-mentioned level to 2 until V1 is exceeded, it is possible to immediately cancel takeoff in the event of a slight computer malfunction. By setting the above-mentioned level to 1 or 0 after the speed exceeds V1, it is possible to continue acceleration and take off and then land.
〈ハードウエア構成〉 第9図は、本発明を実施するためのハードウエアの一例
である。<Hardware Configuration> FIG. 9 shows an example of hardware for implementing the present invention.
本発明を実施するためには前記のような複雑な条件判断
が必要であるためコンピユータ・システムでは、これら
の条件判断(相互診断)はソフトウエアにより実施する
のがよく、しかも条件判断を多重化するためにこれらの
条件判断を冗長化したサブシステム1−1〜1−Nで実
施するのがよい。相互診断に必要な処理結果や、自己診
断結果などの情報は、サブシステム間を結ぶ通信路2を
経由して交換される。システムの最終出力を1つに絞る
必要がある場合には、最後に出力選択回路5でソフトウ
エアにより行われた条件判断による相互診断結果(それ
ぞれのサブシステムが正常か異常かという情報)4−1
〜4−Nにより、出力3−1〜3−Nの中からハードウ
エア的に選択をして最終出力6とすればよい。In order to carry out the present invention, since the complicated condition judgment as described above is necessary, in the computer system, these condition judgments (mutual diagnosis) are preferably executed by software, and the condition judgments are multiplexed. In order to do so, it is preferable to implement these condition determinations in the redundant subsystems 1-1 to 1-N. Information such as processing results necessary for mutual diagnosis and self-diagnosis results are exchanged via the communication path 2 connecting the subsystems. When it is necessary to limit the final output of the system to one, the mutual diagnosis result (information indicating whether each subsystem is normal or abnormal) based on the condition judgment finally performed by the software in the output selection circuit 5 4- 1
It is only necessary to select from the outputs 3-1 to 3-N in terms of hardware by means of .about.4-N to obtain the final output 6.
第10図に個々のサブシステムの構成の例を示す。サブシ
ステム1はバス101,MPU(Micro Processing Unit)102,
ECC符号器複号器103,RAM(Random Access Memory)104,
DMAC(Direct Memory Access Controller)105,ROM(Re
ad Only Memory)106,入力インターフエース107,出力イ
ンターフエース108からなるコンピユータに相互診断結
果出力インターフエース109,サブシステム間通信インタ
ーフエース110を付加することによつて構成できる。Figure 10 shows an example of the configuration of each subsystem. The subsystem 1 is a bus 101, MPU (Micro Processing Unit) 102,
ECC encoder / decoder 103, RAM (Random Access Memory) 104,
DMAC (Direct Memory Access Controller) 105, ROM (Re
This can be configured by adding a mutual diagnosis result output interface 109 and an inter-subsystem communication interface 110 to a computer including an ad only memory) 106, an input interface 107, and an output interface 108.
出力選択回路5は既に出願されている特願昭63−118603
号により提供されているMV(Modified Voter)によれば
よく、この構成図を第11図に示す。The output selection circuit 5 is already applied for Japanese Patent Application No. Sho 63-118603.
According to the MV (Modified Voter) provided by the issue, this block diagram is shown in FIG.
第1表に4重系までのシステムに対応できるMVを構成す
るため多数決回路に前置するスイツチ・マトリツクス50
の論理表の例を示す。この表でS1〜S4はサブシステム1
−1〜1−4についての判定結果(サブシステム1−1
〜1−4が正常か以上かという情報)S1〜S4を表してお
り、3−1〜3−4はサブシステム1−1〜1−4から
の出力を表す。また、F.S.はフエイル・セーフ信号(全
て0または1)、*はDon't Careを表わす。Table 1 shows a switch matrix 50 that is placed in front of the majority circuit to construct an MV that can support up to a quadruple system.
An example of the logical table of is shown below. In this table, S1 to S4 are subsystem 1
Judgment result about -1 to 1-4 (subsystem 1-1
~ 1-4 is information indicating whether normal or not) S1 to S4, and 3-1 to 3-4 represent outputs from the subsystems 1-1 to 1-4. Further, FS represents a fail safe signal (all 0 or 1), and * represents Don't Care.
サブシステム1−1〜1−3の全てが正常と判定されて
いる場合には3入力の多数決回路51にはサブシステム1
−1〜1−3の出力3−1〜3−3が入力されて通常の
多数決と同じ動作をする。サブシステム1−1〜1−3
のうち1つのサブシステムがフオールト状態となつた場
合には、フオールト状態となつたサブシステムの出力の
代わりにサブシステム1−4の出力がスイツチ・マトリ
ツクス50を経て出力50−4として多数決回路51に入力さ
れる。以上のようにしてこの場合にはMVにより待機系付
き多数決(HMR:Hybrid Majority Redundancy)が実現さ
れる。このスイツチマトリツクスによるもし1つのサブ
システムだけが正常で他が異常である場合には、多数決
回路51の全入力端子には正常なサブシステムの出力が入
力されて、多数決回路51はサブシステムの出力と同一な
信号を出力する。When all of the subsystems 1-1 to 1-3 are determined to be normal, the subsystem 1 is included in the three-input majority circuit 51.
The outputs 3-1 to 3-3 of -1 to 1-3 are input, and the same operation as a normal majority vote is performed. Subsystem 1-1 to 1-3
If one of the subsystems becomes the fault state, the output of the subsystem 1-4 instead of the output of the subsystem in the fault state becomes the output 50-4 via the switch matrix 50 and the majority circuit 51. Entered in. As described above, in this case, the MV realizes a majority decision with a standby system (HMR: Hybrid Majority Redundancy). According to this switch matrix, if only one subsystem is normal and the others are abnormal, the outputs of the normal subsystems are input to all the input terminals of the majority decision circuit 51, and the majority decision circuit 51 Output the same signal as the output.
このMVを3重系に使用する場合にはサブシステム1−4
についての判定結果S4をフオールト即ち0にすればよ
い。この場合スイツチ・マトリツクスの論理表は第2表
のようになる。サブシステム1−1〜1−3の全てが正
常と判定されている場合には多数決回路51にはサブシス
テム1−1〜1−3の出力3−1〜3−3が入力されて
通常の多数決と同じ動作をする。もし1つのサブシステ
ムだけが正常で他が異常である場合には、4重系の場合
と同様にして多数決回路51には正常なサブシステムの出
力が入力されて、多数決回路は当該サブシステムの出力
と同一な信号を出力することになる。When using this MV for triple system, subsystem 1-4
It is sufficient to set the determination result S4 regarding the above to the fault, that is, 0. In this case, the logical table of the switch matrix is as shown in Table 2. When it is determined that all of the subsystems 1-1 to 1-3 are normal, the outputs 3-1 to 3-3 of the subsystems 1-1 to 1-3 are input to the majority decision circuit 51 and the normal operation is performed. Do the same as majority voting. If only one subsystem is normal and the other is abnormal, the output of the normal subsystem is input to the majority voting circuit 51 as in the case of the quadruple system, and the majority voting circuit The same signal as the output will be output.
さらにMVを2重系に使用する場合にはサブシステム1−
3,1−4についての判定結果S3,S4をフオールト即ち0に
すればよい。この場合のはスイツチ・マトリツクスの論
理表は表3のようになる。サブシステム1−1,1−2の
両方が正常と判定されている場合には多数決回路51の出
力では3−1,3−2,F.S.の多数決の結果が得られる。こ
の場合、3−1=3−2の場合には3−1(=3−2)
なる出力が得られる。また3−1≠3−2の場合には3
−1,3−2は1か0のどちらかであり、F.S.は全て1か
全て0のいずれかであるので、多数決回路51の出力には
全て1か全て0の信号即ちF.S.か得られる。サブシステ
ム1−1,1−2の一方が正常と判定されている場合には
多数決回路51の全入力端子には正常と判定されているサ
ブシステムの出力が入力されて、多数決回路51は正常と
判定されているサブシステムの出力を出力する。When using MV for the dual system, subsystem 1-
The determination results S3, S4 for 3, 1-4 may be set to false, that is, 0. In this case, the logical table of the switch matrix is as shown in Table 3. When both subsystems 1-1 and 1-2 are determined to be normal, the majority decision circuit 51 outputs the results of the majority decision of 3-1, 3-2, FS. In this case, 3-1 (= 3-2) when 3-1 = 3-2
Output is obtained. When 3-1 ≠ 3-2, 3
Since -1,3-2 are either 1 or 0 and FS is either all 1 or all 0, signals of all 1 or all 0, that is, FS can be obtained at the output of the majority decision circuit 51. When one of the subsystems 1-1 and 1-2 is determined to be normal, the outputs of the subsystem determined to be normal are input to all the input terminals of the majority voting circuit 51, and the majority voting circuit 51 is normal. Output the output of the subsystem that is determined to be.
第12図に本発明の処理の流れを示す。それぞれのサブシ
ステムでのデータ処理200−1〜200−Nの結果は通信路
2を経てサブシステム1−1〜1−N間で交換され、デ
ータ比較201〜1〜201〜Nに使用される。またそれぞれ
のサブシステムでの自己診断202−1〜202−Nの結果20
3−1〜203−Nもサブシステム間で交換される。各サブ
システム1−1〜1−Nの判定機能204−1〜204〜Nで
はデータ比 較201−120〜1−Nの結果および交換された自己診断結
果203−1〜203−Nをもとに本発明で提供する方法によ
り選択すべきサブシステムの出力を決定し、選択機能20
5−1〜205−Nで当該出力を選択してサブシステムの出
力3−1〜3−Nとする。FIG. 12 shows a processing flow of the present invention. The results of the data processing 200-1 to 200-N in the respective subsystems are exchanged between the subsystems 1-1 to 1-N via the communication path 2 and used for the data comparisons 201-1 to 201-N. . Also, the results of self-diagnosis 202-1 to 202-N in each subsystem 20
3-1 to 203-N are also exchanged between subsystems. Data ratio in the judgment function 204-1 to 204-N of each subsystem 1-1 to 1-N Based on the comparison results 201-120 to 1-N and the exchanged self-diagnosis results 203-1 to 203-N, the output of the subsystem to be selected is determined by the method provided by the present invention, and the selection function 20
The output is selected from 5-1 to 205-N to be the outputs 3-1 to 3-N of the subsystem.
出力選択回路5では、各サブシステム1−1〜1−Nよ
りの相互診断結果4−1から4−Nにもとづき、サブシ
ステムの出力3−1〜3−Nの中から最終出力6を選択
する。The output selection circuit 5 selects the final output 6 from the outputs 3-1 to 3-N of the subsystems based on the mutual diagnosis results 4-1 to 4-N from the subsystems 1-1 to 1-N. To do.
データ処理200−1〜200−N,データ比較201−1〜201−
N,判定機能204−1〜204−N,選択機能205−1〜205−N
はハードウエアでもソフトウエアでも実現することが可
能である。システム全体のハードウエア量を削減し小形
軽量化を図るためにはこれらの機能はソフトウエアで実
現した方がよい。Data processing 200-1 to 200-N, data comparison 201-1 to 201-
N, judgment function 204-1 to 204-N, selection function 205-1 to 205-N
Can be implemented in either hardware or software. These functions should be implemented by software in order to reduce the amount of hardware in the entire system and to reduce the size and weight.
なお、図中、データ比較201−2〜201−N,判定機能204
−2〜204−N,選択機能205−2〜205−Nは省略してい
る。In the figure, data comparison 201-2 to 201-N, judgment function 204
-2-204-N and selection functions 205-2-205-N are omitted.
サブシステム1−1〜1−Nの設計製作に際して、設計
製造上の誤りが有つた場合には、データ処理200−1〜2
00−Nの結果が同一の誤りを犯すことがある。この場合
本方式では誤つた処理結果データ同志が一致してしまう
ため、誤つたデータをそのまま出力してしまう。このよ
うな弊害を防ぐためには設計製造を多重化(デザイン・
ダイバーシテイ)すればよい。When there is an error in the design and manufacturing when designing and manufacturing the subsystems 1-1 to 1-N, the data processing 200-1 to 200-2
The 00-N result may make the same error. In this case, in this method, since the erroneous processing result data are matched with each other, the erroneous data is output as it is. To prevent such adverse effects, design and manufacturing are
Diversity).
デザイン・ダイバーシテイの方法としては、 サブシステム1−1〜1−Nのハードウエアをそれ
ぞれ別々に設計製作する。As a method of design diversity, the hardware of subsystems 1-1 to 1-N is designed and manufactured separately.
データ処理200−1〜200−N,データ比較201−1〜2
01−N,判定機能204−1〜204−Nまたは選択機能205−
1〜205−Nをソフトウエアにより実現する場合、その
全てまたは一部をサブシステムごとに別々に設計製作す
る。Data processing 200-1 to 200-N, data comparison 201-1 to 2
01-N, judgment function 204-1 to 204-N or selection function 205-
When implementing 1-205-N by software, all or some of them are designed and manufactured separately for each subsystem.
などがあげられる。And so on.
特にの方法はN−Version Programmingと呼ばれ、バ
ージヨン間の独立性を高めるためにバージヨンごとに別
々の言語を用いてプログラミングするということが広く
行われている。A particular method is called N-Version Programming, and it is widely practiced to use different languages for each version in order to increase the independence between versions.
第13図ならびに第14図に示す実施例は、ロボツトマニピ
ユレータの画像入力の方法をその応用対象とする。The embodiments shown in FIG. 13 and FIG. 14 are applied to the method of image input of the robot manipulator.
ロボツトマニピユレータでは、操作対象物体の形状,位
置,姿勢等を画像入力装置より採取した画像により認識
し、操作装置の接近開始点と接近角度を決定する。その
場合、本発明のフオールトトレラント方法を以下のよう
に適用する。The robot manipulator recognizes the shape, position, posture, etc. of the operation target object from the image collected from the image input device, and determines the approach start point and the approach angle of the operation device. In that case, the fault tolerant method of the present invention is applied as follows.
第13図に示すように、複数の画像入力装置を異なる位置
に設置し、異なる角度から操作対象物体を撮影して画像
を採取する。採取した画像を画像入力装置の位置の良
否,画面情報の鮮明度,画像入力装置の正常/異常等に
より評価し、それらの組合せの中で一番信頼性が高く、
一番操作の容易な組合せを選択する。As shown in FIG. 13, a plurality of image input devices are installed at different positions, the operation target object is photographed from different angles, and images are collected. The collected image is evaluated based on the quality of the position of the image input device, the sharpness of the screen information, the normality / abnormality of the image input device, etc., and the highest reliability among the combinations,
Select the combination that is the easiest to operate.
第14図(a),(b),(c),(d)は、同一操作対
象物体に対して、異なる4方向から採取した画像を表わ
している。物体は基準座標に対し6自由度を持ち、その
重心位置pの座標X,Y,Zならびに方向角α,β,γの合
計6コのパラメータによつて、その物体の位置ならびに
姿勢が決まる。これに対し、画像入力装置も6自由度を
有し、異なる位置と角度から物体の画像を得ることがで
きる。第14図の各画像は垂直軸まわりの方向角(ヨー
角)βが異なつているが、他のパラメータは同一であ
る。これら4面の画像のすべてが鮮明に得られる場合に
は、4面すべてを利用して物体の位置と姿勢の正確な認
識結果を得ることができる。しかし、何らかの理由で画
像の品質が低下した場合、4面の画像から得られたパラ
メータが不一致を起こす場合がある。このような場合に
は信頼性の高い画像から得られた情報を採用し、他を棄
却する。第14図の例では、重心付近の空間周波数の低さ
により、(d)→(a)→(b)→(c)の順に信頼性
が高い。従つて4面の画像が正常に得られて、それらか
ら得られるパラメータが大きな誤差なしに一致する場合
は、これら4面の画像をすべて利用してパラメータの信
頼性を最大にすることができる。しかし、4面の画像か
ら得られるパラメータが不一致を起こした場合は、
(c)→(b)→(a)→(d)の順に、その画像から
得られたパラメータを棄却することによつて、パラメー
タの信頼性低下を極力防止する。FIGS. 14 (a), (b), (c) and (d) show images taken from four different directions for the same operation target object. The object has 6 degrees of freedom with respect to the reference coordinates, and the position and orientation of the object are determined by the coordinates X, Y, Z of the barycentric position p and the total of 6 parameters of the direction angles α, β, γ. On the other hand, the image input device also has 6 degrees of freedom and can obtain an image of an object from different positions and angles. Each image in FIG. 14 has a different directional angle (yaw angle) β about the vertical axis, but the other parameters are the same. When all of the images on these four surfaces can be obtained clearly, it is possible to obtain accurate recognition results of the position and orientation of the object using all four surfaces. However, if the quality of the image deteriorates for some reason, the parameters obtained from the images on the four sides may not match. In such a case, the information obtained from the highly reliable image is adopted and the others are rejected. In the example of FIG. 14, the reliability is high in the order of (d) → (a) → (b) → (c) due to the low spatial frequency near the center of gravity. Therefore, if the images of the four planes are normally obtained and the parameters obtained from them match each other without a large error, the reliability of the parameters can be maximized by using all the images of the four planes. However, if the parameters obtained from the images on the four sides do not match,
By discarding the parameters obtained from the image in the order of (c) → (b) → (a) → (d), deterioration of the reliability of the parameters is prevented as much as possible.
もし、画像入力装置に故障があつて、特定の画像が不鮮
明になつたり得られなかつたりする場合には、残りの画
像に対して信頼性の優先度を与え以下同様にして、得ら
れる限り最高の信頼性を維持する。If the image input device is defective and a specific image is blurred or cannot be obtained, give the priority of reliability to the remaining images, and so on. Maintain credibility.
画像入力装置と操作対象物体の位置関係は時々刻々変化
して行くために、どの画像入力装置の画像が一番信頼性
が高いかは、画像を常に解析処理して決める必要があ
る。このために、例えば第13図の画像解析処理装置を、
コンピユータを利用して構成することにより、頻繁に画
像の信頼性を評価し、画像入力装置を診断する。Since the positional relationship between the image input device and the operation target object changes from moment to moment, it is necessary to always determine which image of the image input device has the highest reliability by analyzing the image. To this end, for example, the image analysis processing device of FIG.
By using the computer, the reliability of the image is frequently evaluated and the image input device is diagnosed.
〈判定結果の作成〉 判定結果S1〜SNは 特願昭63−118603号により提供されている判定回路
により相互診断結果4−1〜4−Nから作成する方法
や、 サブシステム1−1〜1−Nの相互診断結果4−1
〜4−Nのうち当該サブシステムについてのものをそれ
ぞれ取り出して判定結果S1〜SNとする方法、 などにより作成する。<Creation of Judgment Results> Judgment results S1 to SN are created from mutual diagnosis results 4-1 to 4-N by a judgment circuit provided in Japanese Patent Application No. 63-118603, and subsystems 1-1 to 1 -N mutual diagnosis result 4-1
It is created by taking out each of the sub-systems from 4 to 4-N and making them the judgment results S1 to SN.
またの方法で、マイクロプロセツサの暴走などにより
誤つた判定結果S1〜SNが出力されることのないように、
第15図のようにそれぞれのサブシステムの判定結果S1〜
SNの出力インタフエース109−1〜109−Nに鍵コードを
設け、判定結果S1〜SNを正常とするためには特定の鍵コ
ードデータを書き込まなければならないようにすればよ
い。Also, in order to prevent the wrong judgment results S1 to SN from being output due to a microprocessor runaway, etc.,
As shown in Fig. 15, the judgment results S1 ~
A key code may be provided to the output interfaces 109.1 to 109-N of the SN so that specific key code data must be written in order to make the determination results S1 to SN normal.
また特願昭63−118603号に示すように、MV50や判定回路
を多重化してその出力を多数決回路でまとめることによ
りMV50や判定回路の回路が複雑であることによる信頼度
の低下を防ぐことができ、さらに信頼度の高いシステム
を提供することができる。Further, as shown in Japanese Patent Application No. 63-118603, by multiplexing the MV50 and the judgment circuit and collecting the outputs by a majority circuit, it is possible to prevent the deterioration of the reliability due to the complicated circuit of the MV50 and the judgment circuit. It is possible to provide a highly reliable system.
第16図に判断部分のC言語によるコーデイングの例を示
す。agreeは出力データの一致不一致,checkは自己診断
の結果の正常/異常を、goodは相互診断結果4−1〜4
−Nを表す。agree,check,goodのデータの各bitは第17
図のようにそれぞれのサブシステムの正常/異常を表
し、正常ならばH,異常ならばLレベルを示す。例えば、
サブシステム1−1のデータが他のサブシステムのデー
タと一致せず、他のサブシステム1−2〜1−Nのデー
タ同志は一致している場合には、変数agreeのLSB側から
1ビット目のみがL(0)レベルとなり、他のビットは
H(1)レベルとなる。FIG. 16 shows an example of C language coding of the judgment part. agree indicates whether output data match or not, check indicates normal / abnormal as a result of self-diagnosis, and good indicates mutual diagnosis results 4-1 to 4
Represents -N. Each bit of data of agree, check, and good is the 17th
As shown in the figure, the normal / abnormal states of the respective subsystems are shown. If normal, H level is shown, and if abnormal, L level is shown. For example,
If the data of subsystem 1-1 does not match the data of other subsystems and the data of other subsystems 1-2 to 1-N do match, 1 bit from the LSB side of the variable agree. Only the eyes are at the L (0) level, and the other bits are at the H (1) level.
また、サブシステム1−1のみが自己診断の結果、異常
と判断された場合には、変数checkのLSB側から1ビット
目のみがL(0)レベルとなり、他のビットはH(1)
レベルとなる。If only subsystem 1-1 is judged to be abnormal as a result of self-diagnosis, only the first bit from the LSB side of variable check becomes L (0) level, and other bits are H (1).
It becomes a level.
以上の様に各変数の構造を定めれば、相互診断結果4−
1〜4−N即ち変数goodを得るために必要な判断はbit
ごとの論理演算により第16図の実施例のように容易に実
施できる。本実施例によれば、変数agree,check,goodの
適切な型宣言を行なうことにより、同一のアルゴリズム
によつて任意の多重度のシステムに対応することができ
る。If the structure of each variable is defined as described above, the mutual diagnosis result 4-
1 to 4-N, that is, the judgment necessary to obtain the variable good is bit
It can be easily implemented as in the embodiment of FIG. 16 by the logical operation for each. According to this embodiment, it is possible to deal with a system having an arbitrary multiplicity by the same algorithm by appropriately declaring the types of the variables agree, check, and good.
本発明によれば、サブシステムが多数残存している場合
には出力の選択基準を厳しくして信頼度の高い出力を得
ることができ、残存しているサブシステムが減少してき
た場合には選択基準を緩めてシステム全体の生存を確保
することができる。また、出力の信頼度が要求水準を満
たさない場合には警告を発するなどをしてシステムの動
作のフエイルセイフ性を確保することができる。According to the present invention, when a large number of subsystems remain, the output selection criterion is tightened to obtain a highly reliable output, and when the number of remaining subsystems decreases, selection is possible. The standard can be relaxed to ensure the survival of the entire system. Further, when the reliability of the output does not meet the required level, a warning is issued to secure the fail-safety of the operation of the system.
さらに任意の冗長度に容易に対応できるために、フオー
ルトトレラント・コンピユータ・システムの設計の自由
度を向上させることができる。Further, since it is possible to easily cope with arbitrary redundancy, it is possible to improve the degree of freedom in designing a fault tolerant computer system.
第1図,第2図は本発明の実施例を示す図、第3図,第
4図,第5図,第6図,第7図,第8図は判定機能の実
施例を示す図、第9図,第10図,第12図,第15図は本発
明を実施するためのハードウエアの例を示す図、第11図
はMVの構成図、第13図,第14図は本発明を応用した実施
例を示す図、第16図はC言語によるコーデイングの例を
示す図、第17図はデータ構成の実施例を示す図、第18図
は従来技術の構成図である。 1−1〜1−N……サブシステム、2……通信路、3−
1〜3−N……出力、4−1〜4−N……相互診断結
果、5,5′……出力選択回路、10−10〜1−N……イン
ターフエース,15……多数決回路、18……スイツチ・マ
トリツクス、S1〜SN……判定結果、410−1〜410−N…
…スイツチ・マトリツクスの出力。1 and 2 are diagrams showing an embodiment of the present invention, and FIGS. 3, 4, 5, 5, 6, 7 and 8 are diagrams showing an embodiment of a judgment function, FIGS. 9, 10, 12, and 15 are diagrams showing an example of hardware for carrying out the present invention, FIG. 11 is a configuration diagram of MV, and FIGS. 13 and 14 show the present invention. FIG. 16 is a diagram showing an example in which C is applied, FIG. 16 is a diagram showing an example of coding in C language, FIG. 17 is a diagram showing an example of data configuration, and FIG. 18 is a configuration diagram of a conventional technique. 1-1 to 1-N ... Subsystem, 2 ... Communication path, 3-
1-3-N ... Output, 4-1-4-N ... Mutual diagnosis result, 5, 5 '... Output selection circuit, 10-10-1-N ... Interface, 15 ... Majority decision circuit, 18: Switch matrix, S1 to SN ... Judgment result, 410-1 to 410-N ...
… Switch matrix output.
───────────────────────────────────────────────────── フロントページの続き (56)参考文献 特開 昭60−142431(JP,A) 特開 昭58−10258(JP,A) 特開 昭64−67634(JP,A) 特開 昭59−218563(JP,A) ─────────────────────────────────────────────────── --- Continuation of the front page (56) Reference JP-A-60-142431 (JP, A) JP-A-58-10258 (JP, A) JP-A-64-67634 (JP, A) JP-A-59- 218563 (JP, A)
Claims (11)
号は出力選択回路に入力され、出力選択回路はサブシス
テムから入力された信号を選択して出力するフオールト
トレラント方法において、 自己診断の結果、異常が検出されず、且つデータ比較の
結果、データが一致している信頼度が最も高いサブシス
テムからの出力を最先に選択し、 信頼度が最も高い上記サブシステムが存在しない場合に
は、自己診断ならびにデータ比較の結果、信頼度が2番
目に高いサブシステムからの出力を選択し、 2番目に信頼度が高い上記サブシステムが存在しない場
合には、自己診断ならびにデータ比較の結果、信頼度が
順次低い信頼度を有するサブシステムからの出力を選択
することを特徴とするフオールトトレラント方法。1. A fault tolerant method in which output signals of a plurality of redundant subsystems are input to an output selection circuit, and the output selection circuit selects and outputs a signal input from the subsystem. As a result, if no abnormality is detected, and as a result of data comparison, the data from the subsystem with the highest degree of reliability that matches the data is selected first, and the subsystem with the highest degree of reliability does not exist. Selects the output from the subsystem with the second highest reliability as a result of self-diagnosis and data comparison. If the subsystem with the second highest reliability does not exist, the result of self-diagnosis and data comparison is selected. , A fault-tolerant method, characterized in that the outputs from subsystems having successively lower reliability are selected.
る手段または異なる位置で採取した信号を入力すること
を特徴とする請求項第1項記載のフオールトトレラント
方法。2. The fault tolerant method according to claim 1, wherein the redundant subsystems are supplied with signals sampled by different means or at different positions.
処理をそれぞれ異なる方法(N−version Programmin
g)により実現することを特徴とする請求項第1項記載
のフオールトトレラント方法。3. A method of different data processing in a redundant subsystem (N-version Programmin).
The fault-tolerant method according to claim 1, wherein the method is realized by g).
号は出力選択回路に入力され、出力選択回路はサブシス
テムから入力された信号を選択して出力するフオールト
トレラント方法において、 自己診断の結果、正常であると判断され、且つ他のサブ
システムとのデータ比較の結果、データが一致している
信頼度が最も高いサブシステムからの出力を最先に選択
し、 信頼度が最も高い上記サブシステムが存在しない場合に
は、データ比較の結果、データが一致しているサブシス
テムを2番目に信頼度が高いサブシステムとしてのサブ
システムの出力を選択し、 2番目に信頼度が高い上記サブシステムが存在しない場
合には、自己診断の結果、正常であると判定されたサブ
システムを3番目に信頼度が高いサブシステムとしてそ
のサブシステムの出力を選択することを特徴とするフオ
ールトトレラント方法。4. A fault tolerant method in which output signals of a plurality of redundant subsystems are input to an output selection circuit, and the output selection circuit selects and outputs a signal input from the subsystem. As a result, it is judged as normal, and as a result of data comparison with other subsystems, the data from the subsystem with the highest reliability that matches the data is selected first. If the subsystem does not exist, the subsystem whose data matches as a result of the data comparison is selected as the subsystem output with the second highest reliability, and the subsystem with the second highest reliability is selected. If the subsystem does not exist, the subsystem determined to be normal as a result of the self-diagnosis is set as the subsystem with the third highest reliability, Off Oort tolerant method characterized by selecting the output of.
号は出力選択回路に入力され、出力選択回路はサブシス
テムから入力された信号を選択して出力するフオールト
トレラント方法において、 自己診断の結果、bit誤りが発生していないと判定さ
れ、且つ他のサブシステムとのデータ比較の結果、デー
タが一致しているサブシステムを1番目に信頼度が高い
サブシステムとしてそのサブシステムの出力を選択し、 信頼度が最も高い上記サブシステムが存在しない場合に
は、自己診断の結果、2bit以上の誤りが発生していない
と判定され、且つ他のサブシステムとのデータ比較の結
果、データが一致しているサブシステムを2番目に信頼
度が高いサブシステムとしてそのサブシステムの出力を
選択し、 2番目に信頼度が高い上記サブシステムが存在しない場
合には、他のサブシステムとデータ比較の結果、テータ
が一致しているサブシステムを3番目に信頼度が高いサ
ブシステムとしてそのサブシステムの出力を選択し、 3番目に信頼度が高い上記サブシステムが存在しない場
合には、自己診断の結果bit誤りが発生していないと判
定されたサブシステムを4番目に信頼度が高いサブシス
テムとしてそのサブシステムの出力を選択し、 4番目に信頼度が高い上記サブシステムが存在しない場
合には、自己診断の結果2bit以上の誤りが発生していな
いと判定されたサブシステムを5番目に信頼度が高いサ
ブシステムとしてそのサブシステムの出力を選択するこ
とを特徴とするフオールトトレラント方法。5. A fault-tolerant method in which output signals of a plurality of redundant subsystems are input to an output selection circuit, and the output selection circuit selects and outputs the signals input from the subsystems. As a result, it is determined that a bit error has not occurred, and as a result of data comparison with other subsystems, the subsystem with the same data is set as the subsystem with the highest reliability and the output of that subsystem is output. If you select the above and the subsystem with the highest reliability does not exist, the self-diagnosis result determines that an error of 2 bits or more has not occurred, and the data comparison result with other subsystems indicates that the data is Select the matching subsystem as the second most reliable subsystem and select the output of that subsystem. If it does not exist, as a result of data comparison with other subsystems, the subsystem whose data matches is selected as the subsystem with the third highest reliability, and the output of that subsystem is selected. If the above subsystem does not exist, the subsystem determined to have no bit error as a result of self-diagnosis is selected as the subsystem with the highest reliability and the output of that subsystem is selected. If the above subsystem with high reliability does not exist, the subsystem that is judged not to have an error of 2 bits or more as a result of self-diagnosis is output as the subsystem with the 5th highest reliability. A fault-tolerant method characterized by selecting.
号は出力選択回路に入力され、出力選択回路はサブシス
テムから入力された信号を選択して出力するフオールト
トレラント方法において、 自己診断の結果、正常であると判断され、且つ他のサブ
システムとのデータ比較の結果、データが一致している
信頼度が最も高いサブシステムからの出力を最先に選択
し、 信頼度が最も高い上記サブシステムが存在しない場合に
は、自己診断の結果、正常であると判定されたサブシス
テムを2番目に信頼度が高いサブシステムとしてそのサ
ブシステムの出力を選択し、 2番目に信頼度が高い上記サブシステムが存在しない場
合には、データ比較の結果、データが一致しているサブ
システムを3番目に高いサブシステムとしてそのサブシ
ステムの出力を選択することを特徴とするフオールトト
レラント方法。6. A fault tolerant method in which output signals of a plurality of redundant subsystems are input to an output selection circuit, and the output selection circuit selects and outputs a signal input from the subsystem. As a result, it is judged as normal, and as a result of data comparison with other subsystems, the data from the subsystem with the highest reliability that matches the data is selected first. If the subsystem does not exist, the subsystem judged to be normal as a result of self-diagnosis is selected as the subsystem with the second highest reliability, and the output of that subsystem is selected. If the above subsystem does not exist, as a result of the data comparison, the subsystem having the same data is regarded as the third highest subsystem and the subsystem is output. Off Oort tolerant method characterized by selecting.
号は出力選択回路に入力され、出力選択回路はサブシス
テムから入力された信号を選択して出力するフオールト
トレラント方法において、 自己診断の結果、異常が検出されず、且つデータ比較の
結果、データが一致している信頼度が最も高いサブシス
テムからの出力を最先に出力し、 上記信頼度が最も高いサブシステムが存在しない場合に
は、自己診断ならびにデータ比較の結果、信頼度が2番
目に高く且つ信頼度が要求水準より高いサブシステムか
らの出力を選択し、 2番目に信頼度が高い上記サブシステムが存在しない場
合には、自己診断ならびにデータ比較の結果、信頼度が
順次低く、且つ信頼度が要求水準より高い信頼度を有す
るサブシステムからの出力を選択することを特徴とする
フオールトトレラント方法。7. A fault tolerant method in which output signals of a plurality of redundant subsystems are input to an output selection circuit, and the output selection circuit selects and outputs a signal input from the subsystem. As a result, when no abnormality is detected, and as a result of data comparison, the data from the subsystem with the highest reliability that matches the data is output first, and the subsystem with the highest reliability does not exist. Selects the output from the subsystem with the second highest reliability and the reliability higher than the required level as a result of self-diagnosis and data comparison, and if the second subsystem with the second highest reliability does not exist, As a result of self-diagnosis and data comparison, it is preferable to select the output from the subsystem whose reliability is successively lower and whose reliability is higher than the required level. Off Oort tolerant way to.
号は出力選択回路に入力され、出力選択回路はサブシス
テムから入力された信号を選択して出力するフオールト
トレラントシステムにおいて、 冗長化されたサブシステムの出力の信頼度を推定する第
1の手段と、 第1の手段により推定された信頼度が、冗長化されたサ
ブシステムの中で最も高いサブシステムを判定し、該サ
ブシステムの出力を選択する第2の手段を備えているこ
とを特徴とするフオールトトレラントシステム。8. A plurality of redundant subsystem output signals are input to an output selection circuit, and the output selection circuit is redundant in a fault-tolerant system for selecting and outputting a signal input from the subsystem. Means for estimating the reliability of the output of the subsystem, the reliability estimated by the first means determines the highest subsystem among the redundant subsystems, and determines the reliability of the subsystem. A fault-tolerant system comprising a second means for selecting an output.
力の信頼度の要求水準を満たすサブシステムが存在しな
い場合には、出力を停止または、警告を表す信号を出力
することを特徴とする請求項第8項記載のフオールトト
レラントシステム。9. The output reliability level is preset, and when no subsystems satisfying the output reliability level are present, the output is stopped or a warning signal is output. The fault tolerant system according to claim 8.
なる手段または異なる位置で採取した信号を入力するこ
とを特徴とする請求項第8項記載のフオールトトレラン
トシステム。10. The fault tolerant system according to claim 8, wherein the redundant subsystems input signals sampled by different means or at different positions.
タ処理をそれぞれ異なる方法(N−version Programmin
g)により実現することを特徴とする請求項第8項記載
のフオールトトレラントシステム。11. A method of different data processing in a redundant subsystem (N-version Programmin).
The fault tolerant system according to claim 8, characterized in that it is realized by g).
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP1273799A JPH07120294B2 (en) | 1988-10-24 | 1989-10-23 | Fault tolerant method and system |
Applications Claiming Priority (5)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP26605588 | 1988-10-24 | ||
JP63-266055 | 1988-10-24 | ||
JP6099389 | 1989-03-15 | ||
JP1-60993 | 1989-03-15 | ||
JP1273799A JPH07120294B2 (en) | 1988-10-24 | 1989-10-23 | Fault tolerant method and system |
Publications (2)
Publication Number | Publication Date |
---|---|
JPH0315946A JPH0315946A (en) | 1991-01-24 |
JPH07120294B2 true JPH07120294B2 (en) | 1995-12-20 |
Family
ID=27297355
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP1273799A Expired - Lifetime JPH07120294B2 (en) | 1988-10-24 | 1989-10-23 | Fault tolerant method and system |
Country Status (1)
Country | Link |
---|---|
JP (1) | JPH07120294B2 (en) |
Families Citing this family (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR100408291B1 (en) * | 2001-08-08 | 2003-12-01 | 삼성전자주식회사 | Fault and noise tolerant system and method thereof |
JP4709268B2 (en) | 2008-11-28 | 2011-06-22 | 日立オートモティブシステムズ株式会社 | Multi-core system for vehicle control or control device for internal combustion engine |
JPWO2011099233A1 (en) * | 2010-02-10 | 2013-06-13 | 日本電気株式会社 | Multiplexing system |
RU2767018C2 (en) * | 2020-08-11 | 2022-03-16 | Федеральное государственное казённое военное образовательное учреждение высшего образования "Военная академия воздушно-космической обороны имени Маршала Советского Союза Г.К. Жукова" Министерства обороны Российской Федерации | Method of functioning of systems of information processing and control automation solutions complexes and a device for realizing said method |
-
1989
- 1989-10-23 JP JP1273799A patent/JPH07120294B2/en not_active Expired - Lifetime
Also Published As
Publication number | Publication date |
---|---|
JPH0315946A (en) | 1991-01-24 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
EP0366017B1 (en) | Fault tolerant system and method of majority voting | |
US6948091B2 (en) | High integrity recovery from multi-bit data failures | |
US4771427A (en) | Equalization in redundant channels | |
US6334194B1 (en) | Fault tolerant computer employing double-redundant structure | |
US11710030B2 (en) | Fault detectable and tolerant neural network | |
CN107531250A (en) | Vehicle safety electronic control system | |
WO1984000071A1 (en) | Autopilot flight director system | |
CN107247644A (en) | A kind of reconstruct down method of triple redundance computer system | |
US10384689B2 (en) | Method for operating a control unit | |
US20140303812A1 (en) | Backup control system | |
CN108413984A (en) | A kind of triplex redundance the airbone gyro signal redundancy management method | |
CN113618744A (en) | Robot safety control method and device, electronic equipment and readable storage medium | |
JPH07120294B2 (en) | Fault tolerant method and system | |
Kanekawa et al. | Dependable onboard computer systems with a new method-stepwise negotiating voting | |
US11054825B2 (en) | Method and fault tolerant computer architecture for reducing false negatives in fail-safe trajectory planning for a moving entity | |
US20150012781A1 (en) | Power supply diagnostic strategy | |
JPH08314744A (en) | Fault tolerant system | |
Johnson et al. | Fault tolerant computer system for the A129 helicopter | |
US20070271486A1 (en) | Method and system to detect software faults | |
CN106940667B (en) | Method and device for checking calculation results in a system having a plurality of calculation units | |
US20210173801A1 (en) | Method and system for high integrity can bus traffic supervision in safety critical application | |
US11080161B2 (en) | Control device, and processing method in event of failure in control device | |
US20180373251A1 (en) | Method and fault tolerant computer architecture to improve the performance in fail-safe trajectory planning for a moving entity | |
JP2006344086A (en) | Data collating device and method, data controller, and data control method | |
CN112527588B (en) | Microprocessor system and real-time self-detection method thereof |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20071220 Year of fee payment: 12 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20081220 Year of fee payment: 13 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20081220 Year of fee payment: 13 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20091220 Year of fee payment: 14 |
|
EXPY | Cancellation because of completion of term |