JPS59132058A - Trouble detection method by respective comparison between dual processing device - Google Patents

Abstract

PURPOSE:To constitute easily a fail-safe device, by providing two pairs of CPUs and timers and setting supervising time values slightly different from each other to respective timers, and detecting counted values at expiration time of respective timers. CONSTITUTION:A dual device is constituted with pairs of CPUs 1 and 2 and timers 3 and 4. Timers 3 and 4 input their expiration outpus to their own side interrupt terminal INT0 and opposite side interrupt terminal INT1 by the control of CPUs 1 and 2. The CPU1 sets a monitor time Ts to the timer 3, and the CPU2 sets a supervisng time Tm slightly longer than the monitor time Ts to the timer 4. When the timer 3 expires, the CPU1 switches the supervising time Ts to said time Tm, and the counted value of the timer 4 is inputted to the CPU2, and the timer 3 is judged to be normal if this value is 0-(Tm-Ts). When the timer 4 expires, the supervising time Tm is switched to the said time Ts, and the CPU1 judges the timer 4 on a basis of the counted value of the timer 3. Thus, the malfunction due to common mode noise is prevented.

Description

【発明の詳細な説明】 本発明は、−組のマイクロプルセッサ（以下ＯＰＵと記
す）を用いＣＰＵの処理動作の不一致を故障とする処理
装置の故障検出方法に関すするにさいしては、処理装置
の故障を極め−ｒ；、、４い確率で発見するとともに、
保安装置を安全と定められた状態に安定させるフェイル
セイフ性が必要とされている。この処理装置の故障を速
やかにかつ確実に発見する方法としては幾つかの方法が
提案されている。この代表的な方法として、２組のｃｐ
ａをクロック同期で動作させ、両ＯＰＵのバス回路をク
ロックレベルで高速比較することによシ故障を発見しよ
うとするものがあるが、この方法ではＩＯ数本以上で構
成されるバス回路を並列にかつ高速に動作の不一致を発
見するためのバス比較回路が必要であシ、さらに、この
回路自身が故障した場合でも前記フェイルセイフ性を得
る必要があるため、この回路に非対象性を持ったフェイ
ルセイフな論理素子を用いて構成している。したがって
、この比較回路の隔成部品点数が多くなるほか、特殊な
非対象性を持った部品が高価であることなどから、信頼
性と経済性の面で難点とされていた。一方、完全同期式
のだめ、コモンモードノイズによｆ）２組のＣＰＵが同
時に同じような誤りを起した場合には安全性が保証し得
ないということから２組のＣＰＵを電気的かつ物理的に
分離するとともに電磁じゃへいするなどの構造設計が必
要とされるので経済性を損なう欠点を有している。DETAILED DESCRIPTION OF THE INVENTION The present invention relates to a method for detecting a failure in a processing device using a set of micro processors (hereinafter referred to as OPU), in which a mismatch in processing operations of a CPU is regarded as a failure. In addition to mastering equipment failures and discovering them with a probability of 4,
There is a need for a fail-safe feature that stabilizes the security device in a state determined to be safe. Several methods have been proposed to quickly and reliably discover failures in processing devices. As a typical method, two sets of cp
There is a method that attempts to discover failures by operating the OPUs in clock synchronization and comparing the bus circuits of both OPUs at high speed at the clock level. A bus comparison circuit is required to detect mismatches in operation quickly and quickly.Furthermore, even if this circuit itself fails, it is necessary to obtain the above-mentioned fail-safety, so this circuit has asymmetrical properties. It is constructed using fail-safe logic elements. Therefore, this comparison circuit requires a large number of separately separated parts, and the parts with special asymmetric properties are expensive, which makes it difficult in terms of reliability and economy. On the other hand, if two sets of CPUs cause a similar error at the same time due to common mode noise, safety cannot be guaranteed, so two sets of CPUs are electrically and physically Since it requires structural design such as separation and electromagnetic shielding, it has disadvantages that impair economic efficiency.

本発明は、上述の欠点を改善するためになされたもので
、汎１月の比較回路部品を用い、コ組のＯＰＵにより相
互に比較監視する方法により極めて少ない部品点数で経
済的にフェイルセイフ性を得るだめの二重系処理装置の
相互比較故障検出方法を提供するものである。The present invention has been made in order to improve the above-mentioned drawbacks, and is economically fail-safe with an extremely small number of parts by using universal comparison circuit components and mutually comparing and monitoring them using a set of OPUs. The present invention provides a mutual comparison fault detection method for dual-system processing equipment that is capable of obtaining the following results.

以下本発明の実施例を図に従って欧明する。Embodiments of the present invention will be explained below with reference to the drawings.

第１図は、本発明の方法を実施するだめの二重系処理装
置の回路構成を示すブロック図で、タイマ３のタイムア
ツプ出力をＣＰＵ／の割込１回路−工ＮＴ、とＣＰＵ２
の割込回路工ＮＴ１≠へ、壕だタイ三了ダのタイムアツ
プ出力をＣＰＵ／の割込回路工ｄｉ３とＱｐＵｕの割込
回路ＩＮＴＯへそれぞれ接続し、ＣＰＵがタイマを制御
できるようにＣＰＵ／とタイマ３およびＱｐＵ、２とタ
イマｌをそれぞれ接続し両ＣＰＵ／、２から故障を検出
するための出力デ接続することにより構成する。　　　
　　　　シ、：。FIG. 1 is a block diagram showing the circuit configuration of a dual system processing device for implementing the method of the present invention.
Connect the time-up output of the interrupt circuit NT1≠ to the interrupt circuit di3 of the CPU/ and the interrupt circuit INTO of the QpUu, respectively, and connect the CPU/ and the interrupt circuit so that the CPU can control the timer. It is constructed by connecting timer 3 and QpU, 2 to timer 1, respectively, and connecting outputs from both CPUs/2 to detect a failure.
Shi, :.

第２図は、第１図の具体的な実施例の正常時における動
作を説明するためのものである。FIG. 2 is for explaining the operation of the specific embodiment shown in FIG. 1 during normal operation.

第１図および第２図において、ＣＰＵ／、、２内の同じ
主要機能を有したプログラムが同期起ａされると、初期
動作として両ｏｐｔｒ／、ｘＡ＞ら同一の比較データＤ
Ｏを比較回路Ｓに出力した後、ＯＰＵ／は周期時隔値Ｔ
ｓをタイマ３にプリセット起１１Ｊする。In FIGS. 1 and 2, when programs with the same main functions in CPU/, 2 are started synchronously, as an initial operation, the same comparison data D from both optr/, xA>
After outputting O to the comparison circuit S, OPU/ becomes the periodic interval value T
s is preset in timer 3 (11J).

またＱ’ｐＵ、２は周期時隔値Ｔ８よシやや長い監視時
隔値Ｔをタイマケにプリセ・ント起動するとともに、両
ＣＰＵ／、コは即処理を開始し、タイマ３カＳりイムア
ップする前に該処理を中断して待機する。In addition, Q'pU, 2 presets and starts the monitoring interval value T, which is slightly longer than the cycle interval value T8, as a timer, and both CPUs start processing immediately, and the timer 3 times up. The process is interrupted and waits.

やがてタイマ３がタイムアツプすると、ＯＰＵ／は割込
回路工１１Ｔｏからの割込起動により前記処理より得ら
れたデータあるいはあらか、しめ定められた該当処理フ
ロ一番号などの比較データＤ！を比較回路りに出力した
後に監視時隔値Ｔｍをタイマ３にプリセット起動する。Eventually, when the timer 3 times up, the OPU/ receives an interrupt activation from the interrupt circuit 11To and outputs comparison data D!, such as data obtained from the above processing or a predetermined corresponding processing flow number! After outputting the value Tm to the comparison circuit, the timer 3 is preset and started with the monitoring interval value Tm.

一方ａｐｕ２は、割込回路工ＮＴＩかもの割込起動によ
シタイマクの計数値を人力し、該計数値がθ〜（Ｔｍ−
Ｔ、、）の範囲内にあればタイマ３は正常と判断して周
期時隔値ＴＢをタイに処理を中断して待機する。やがて
タイマクがタイムアツプすると、ＣＰＵλは割込回路Ｉ
ＮＴｏからの割込起動によシ前回の割込起動処理で得ら
れたデータあるいはあらかじめ定められた該当処理７０
一番号などの比較データＤ１を比較回路Ｓに出力した後
、監視時隔値Ｔｆｆｌをタイマクにプリセット起動する
。一方ＣＰＵ／は割込回路工ＮＴ＋がらの割込起動によ
シタイマ３の計数値を入力し、該計数値がθ〜（Ｔｍ−
Ｔｓ）の範囲内にあればタイ１ダは正常と判断して周期
時隔値Ｔ８をタイマ３にプリセット起動するとともに両
ＯＰＵ／、２は処理を再開する。このような動作をくり
返すことにより比較回路Ｓからの比較結果の出カフ５ヨ
タイマ３１）＞らの割込起動からタイマｑの割込起動ま
では不一致タイマダの割込起動からタイマ３のｍ込起如
Ｊ壕では一致となり周期時隔値ＴＢの２倍を／サイクル
とした交番信号となる。On the other hand, apu2 manually inputs the count value of the timer by interrupt activation of the interrupt circuit NTI, and the count value is θ~(Tm-
If the timer 3 is within the range of T, . Eventually, when the timer times up, the CPU λ interrupts the interrupt circuit I.
Upon interrupt activation from NTo, data obtained from the previous interrupt activation processing or predetermined corresponding processing 70
After outputting the comparison data D1 such as the first number to the comparison circuit S, the timer is preset and activated with the monitoring interval value Tffl. On the other hand, the CPU/ inputs the count value of the timer 3 due to the interrupt activation from the interrupt circuit NT+, and the count value θ~(Tm-
If it is within the range of Ts), the timer 1 determines that it is normal and presets and starts the timer 3 with the period interval value T8, and both OPUs 2 and 2 resume processing. By repeating this operation, the comparison result is output from the comparator circuit S. From the interrupt activation of the timer 31) to the interrupt activation of the timer q, the period from the interrupt activation of the mismatch timer to the interrupt activation of the timer 3 is repeated. In the Kiyo J trench, the signals match and become an alternating signal with twice the period interval value TB per cycle.

また比較回路Ｓの出力を両ＣＰＵ／、、２力１人力し、
比較データの出力の前後における一致、不一致を確認し
て、この確認が得られない場合には、ＯＰ　Ｕ　／　％
　’はそれぞれ相手方のＣＰＵあるいは比較回路を故障
と判断し、また前言己タイマの計数値が定められた範囲
外であった場合には、それぞれ相手方のＣＰＵあるいは
タイマを故障と判断して該ＯＰＵの動作を停止し、前記
交番信号の出力を停止させることにより、該交番信号出
力周期の異常も含め二重系処理装置の故障を確実に検出
し出力することができる。In addition, the output of the comparator circuit S is output by both CPUs,
Confirm the match or mismatch before and after outputting the comparison data, and if this confirmation cannot be obtained, OPU / %
' determines that the other party's CPU or comparison circuit is faulty, and if the count value of the previous timer is outside the specified range, each determines that the other party's CPU or timer is faulty, and the corresponding OPU By stopping the operation and stopping the output of the alternating signal, it is possible to reliably detect and output failures of the dual system processing device, including abnormalities in the alternating signal output cycle.

本発明の故障検出方法によれば、両Ｑ　Ｐ　Ｕｌ。According to the fault detection method of the present invention, both QPUl.

コは独立したクロックによる動作と割込起動時の処理が
該ＩＮＴｏと工ＮＴｌでは異なるため引続く処理に時間
的なずれが生じ、コモ−モードノイズにより誤り動作が
発生しても画ＣＰＵ／１．２が全く同じような誤動作を
することはなく、上述の比較回路５で容易に検出するこ
とができる。Since the operation using independent clocks and the processing at the time of interrupt activation are different between INTo and NTl, there is a time lag in the subsequent processing, and even if an error operation occurs due to common mode noise, the CPU/1 .2 does not malfunction in exactly the same way, and can be easily detected by the above-mentioned comparison circuit 5.

しだがって極めて少ない汎用電子部品を用いて容易にフ
ェイルセイフな二重系処理装置を構成することができる
ため、本発明の方法を用いて保安装置を構成することに
より、装置の小形化と低価格化および信頼性の向上など
が可能となる。Therefore, it is possible to easily configure a fail-safe dual-system processing device using a very small number of general-purpose electronic parts, and by configuring a security device using the method of the present invention, it is possible to downsize the device. This makes it possible to lower prices and improve reliability.

【図面の簡単な説明】[Brief explanation of the drawing]

第１図は、本発明の方法を実施するだめの回路構成を示
すブロック図、第２図は、第１図の回路構成における動
作を説明するだめのタイムチャートを示す。 ／、コ・・・ＣＰＵ、３、’Ｉ・・・タイマ、Ｓ・・・
比較回路系　１　目 東　２　図FIG. 1 is a block diagram showing a circuit configuration for implementing the method of the present invention, and FIG. 2 is a time chart illustrating the operation of the circuit configuration shown in FIG. /, Co...CPU, 3,'I...Timer, S...
Comparison circuit system 1 East 2 Diagram

Claims (1)

【特許請求の範囲】 λ組ノマイクロプロセッサ（以下ａ　、ｐ　Ｕ　ト記す
）によりｍ成され、ＣＰＵ処理動作の不一致を故障とす
る処理装置の故障検出方法におい玉第１のタイマのタイ
ムアツプ出力を第１のＣＰＵの割込回路ＩＮＴｏと第２
のＣＰＵの割込回路ＩＮＴ□へ、また第２のタイマのタ
イムアツプ出力を第１のＣＰＵの割込回路工ＮＴ、と第
一のＣＰＵの割込回路１ＮＴｏへそれぞれ接続し、第１
Ω−夕。 イマとＣＰＵお゛よび第一のタイＡＰＵをすれそれ接続
するとともに、両ＣＰＵの出力デ〒り回路を比較回路に
接続［７、該比較（ロ）路の出力を両ＯＰＵに人力する
回路を接続すること゛により二重系処理装置を構成し、
前記面ａｐｔｒを同期起動し、初期動作として両ＣＰＵ
よシ同−比較データを比較回路に出した後、第１のＣＰ
Ｕが始して第１のタイマがタイムアツプする前にそ５れ
イゎ。。オ。ＴＩ、’ＣｎｔｉＡＬ、Ｓ　＋４ｈ７ｙ’
ｆルもに第１のＣＰＵは割込回路ＩＮＴ　ｏからの割込
起動により前記処理よシ得られたデータあるいはあらか
しめ定められた該当処理のフロ一番号などの比較データ
を比較回路へ出力した後に、監視時隔計数値を入力して
定められた数値の範囲内で也れば第１のタイマは正常と
判断して周期時隔値Ｔで第一のタイマを起動するととも
に、両ＣＰＵは処理を再開して第一のタイマがタイムア
ツプする前にそれぞれの処理を中断して待機し、タイム
アツプタあるいは該当処理のフロ一番号などの゛比較Ｖ
厖−夕を比較回路へ出力した後に、監視時隔値Ｔｒｎで
第−のタイマを起動し、第１のＯＰＵは割込回路工ＮＴ
１からの割込起動によシ第１のタイマの計数値を入力し
て定められた数値の範囲内であれば第コのタイマは正常
であると判断して周期時隔値Ｔ。 で第１のタイマを起動するとともに両０ｐＵＦｉ処理を
再開する動作をくシ返すことによシ、該比較°回路から
の出力が第１のタイマからのＯＰＵ割込起動から第コの
タイマからの割込起動までは不一致、第コのタイマから
の割込起動から第１のタイマの割込起動までは一致とな
り、上記正常動作が周期時隔値Ｔ８の２倍をｌサイクル
とした交番信号として出力され、また該比較回路の出力
を両ＯＰＵが入力し、比較データの出力前後における一
致、不一致を確認して、この確認が得られない場合には
、それぞれ相手のａｐＵあるいは比較回路を故障と判断
し、捷た前記タイマ計数値が定められた数値の範囲外で
あった場合には、それぞれ相手方のＣＰＵあるいはタイ
マを故障と判断して該ＣＰＵの動作を停止させ、前記交
番信号出力を停止することにより故障出力することを特
徴とした二重系処理装置の相互比較故障検出方法。[Claims] In a method for detecting a failure of a processing device which is formed by microprocessors of a λ group (hereinafter referred to as a and p U ) and which treats a mismatch in CPU processing operations as a failure, the time-up output of a first timer is used. The interrupt circuit INTo of the first CPU and the second
, and the time-up output of the second timer is connected to the interrupt circuit NT of the first CPU and the interrupt circuit 1NTo of the first CPU, respectively.
Ω-Evening. Connect the current CPU, the first tie APU, and the first tie APU, and connect the output circuits of both CPUs to the comparison circuit [7. By connecting, a dual system processing device is configured,
The above-mentioned APTR is started synchronously, and both CPUs are started as an initial operation.
After sending the comparison data to the comparison circuit, the first CP
That's 5 times before U starts and the first timer times up. . Oh. TI,'CntiAL,S +4h7y'
At the same time, the first CPU outputs comparison data such as the data obtained from the above processing or the predetermined flow number of the corresponding processing to the comparison circuit by interrupt activation from the interrupt circuit INTo. Later, if the monitoring time interval count value is input and the value is within the predetermined value range, the first timer is judged to be normal, and the first timer is started at the cycle time interval value T, and both CPUs After restarting the process, suspend each process and wait before the first timer times up, and compare the time up value or the flow number of the corresponding process.
After outputting the output to the comparator circuit, the -th timer is started with the monitoring interval value Trn, and the first OPU outputs the interrupt circuit to the comparator circuit.
If the count value of the first timer is inputted by interrupt activation from 1 and is within the predetermined value range, the timer 1 is judged to be normal and the periodic interval value T is set. By restarting the first timer and restarting both 0pUFi processing, the output from the comparison circuit changes from the OPU interrupt activation from the first timer to the timer from the second timer. There is no match until the interrupt is activated, and there is a match from the interrupt from the second timer to the first timer, and the above normal operation is treated as an alternating signal with twice the period interval value T8 as one cycle. In addition, both OPUs input the output of the comparison circuit and check whether the comparison data matches or mismatches before and after the output. If this confirmation cannot be obtained, each OPU determines that the other apU or comparison circuit is malfunctioning. If the counted value of the timer is outside the predetermined value range, the CPU or timer of the other party is determined to be malfunctioning, the operation of the CPU is stopped, and the output of the alternating signal is stopped. A mutual comparison fault detection method for a dual system processing device characterized by outputting a fault by performing the following steps.