JPS6055447A - 計算機 - Google Patents
計算機Info
- Publication number
- JPS6055447A JPS6055447A JP58163658A JP16365883A JPS6055447A JP S6055447 A JPS6055447 A JP S6055447A JP 58163658 A JP58163658 A JP 58163658A JP 16365883 A JP16365883 A JP 16365883A JP S6055447 A JPS6055447 A JP S6055447A
- Authority
- JP
- Japan
- Prior art keywords
- control
- arithmetic
- processor
- unit
- units
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
- G06F11/183—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components
- G06F11/184—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components where the redundant components implement processing functionality
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Quality & Reliability (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Hardware Redundancy (AREA)
Abstract
(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。
め要約のデータは記録されません。
Description
【発明の詳細な説明】
〔発明の技術分野〕
本発明は、単一の計算機を構成する機能部分の一部に障
害が発生した場合に、その計算機が制御している機器に
対して安全側に動作することを保障スるフェイルセーフ
システム、あるいは障害が発生した場合にも、見掛は上
正常に計74′機が動作することを保障するフォールト
・トレラント(耐障害性)システムに供する高信頼度の
計算機に関する。
害が発生した場合に、その計算機が制御している機器に
対して安全側に動作することを保障スるフェイルセーフ
システム、あるいは障害が発生した場合にも、見掛は上
正常に計74′機が動作することを保障するフォールト
・トレラント(耐障害性)システムに供する高信頼度の
計算機に関する。
〔発明の技術的背景およびその問題点〕鉄道の保安用信
号装置等は人命にかかわることから、機器の一部に障害
が発生すると安全側に動作することを保障するフェイル
セーフシステムが定着している。ところで、このシステ
ムには装置の立上げのための特殊なハードウェア(特殊
な論理素子、論理回路等からなる)が用いられており、
このために論理判断機能に比較して装置規模が大きくな
るという欠点を持っている。
号装置等は人命にかかわることから、機器の一部に障害
が発生すると安全側に動作することを保障するフェイル
セーフシステムが定着している。ところで、このシステ
ムには装置の立上げのための特殊なハードウェア(特殊
な論理素子、論理回路等からなる)が用いられており、
このために論理判断機能に比較して装置規模が大きくな
るという欠点を持っている。
また、プラント機器等を制御する計算機システムにおい
ては、高い信頼度が要求されることから、そこに用いら
れる計算機そのものは二重系あるいは三重系構成となっ
ている。ところが、このプラント制御システムは、上記
の鉄道保安用装置に比較して高度な処理が可能な反面、
複数のユニットからなる引算機の立上げのために信頼性
の高い特殊な回路を付加することが必要になり、これら
回路を制御し、立上げの際に採るべき処置のためのプロ
グラムは複雑になるという欠点を持っている。
ては、高い信頼度が要求されることから、そこに用いら
れる計算機そのものは二重系あるいは三重系構成となっ
ている。ところが、このプラント制御システムは、上記
の鉄道保安用装置に比較して高度な処理が可能な反面、
複数のユニットからなる引算機の立上げのために信頼性
の高い特殊な回路を付加することが必要になり、これら
回路を制御し、立上げの際に採るべき処置のためのプロ
グラムは複雑になるという欠点を持っている。
[発明の目的〕
本発明は上記の従来技術の欠点を克服するためになされ
たもので、計算機立上げのための特殊なハードウェアを
なくシ、装置規模を小型にすることのできる高信頼度の
計算機を提供することを目〔発明の概要〕 上記の目的を実現するため本発明は、下記の如き計算機
を提供するものである。すなわち、機能分散した2つの
プロセッサで構成される複数の演算制御ユニットを複数
種類の伝送路で結合し、これら伝送路を介して受渡しさ
れる情報により各演算制御ユニットの同期、監視等を行
ない、結果を外部に出力する高信頼度の計算機であり、
任意のひとつの演算制姉ユニットに対して立上げの指示
を与えると、伝送路を介して立上げ指令の通知、同期合
せ等を行ない、同期が一致し演算結果がユニット間で同
一にフよったときに立上げ完了を相互に通知しあう高信
頼度の計算機を提供するものである。
たもので、計算機立上げのための特殊なハードウェアを
なくシ、装置規模を小型にすることのできる高信頼度の
計算機を提供することを目〔発明の概要〕 上記の目的を実現するため本発明は、下記の如き計算機
を提供するものである。すなわち、機能分散した2つの
プロセッサで構成される複数の演算制御ユニットを複数
種類の伝送路で結合し、これら伝送路を介して受渡しさ
れる情報により各演算制御ユニットの同期、監視等を行
ない、結果を外部に出力する高信頼度の計算機であり、
任意のひとつの演算制姉ユニットに対して立上げの指示
を与えると、伝送路を介して立上げ指令の通知、同期合
せ等を行ない、同期が一致し演算結果がユニット間で同
一にフよったときに立上げ完了を相互に通知しあう高信
頼度の計算機を提供するものである。
以下、添付図面を参照して本発明のいくつかの実施例を
説明する。なお、以下の添付図面の説明において、同一
要素は同一符号で示しである。
説明する。なお、以下の添付図面の説明において、同一
要素は同一符号で示しである。
第1図は本発明の一実施例の基本構成を示すゾロツク図
で、第1図(、)は演算制御ユニットが3つの場合を示
し、第1図(blは2つの場合を示している。W、1図
(a)において、計算機は同一の処理、動作をする3つ
の演算制御ユニツ) la、lb、leおよび多数決論
理回路2を有しており、演算制御ユニツ) la、lb
、leはそれぞれ第11第2の伝送線3,4によって相
互に結合されている。ここで、81!1の伝送に03は
各演算制御ユニットla、lb。
で、第1図(、)は演算制御ユニットが3つの場合を示
し、第1図(blは2つの場合を示している。W、1図
(a)において、計算機は同一の処理、動作をする3つ
の演算制御ユニツ) la、lb、leおよび多数決論
理回路2を有しており、演算制御ユニツ) la、lb
、leはそれぞれ第11第2の伝送線3,4によって相
互に結合されている。ここで、81!1の伝送に03は
各演算制御ユニットla、lb。
1cが正常に動作していることを示す同期タイミングの
役目を兼ねた交番信号を伝送する。また、第2の伝送路
4は同期タイミング、各演算制御ユニツ) la、lb
、la間で照合するデータ、およびそれらの状態を示す
3つの情報をシリアルに伝送するO 外部からのセンサ信号等は入力線5を介して演算制御ユ
ニツ) la、lb、laに与えられ、所定の演算の後
にユニット出力線6を介して多数決論理回路2に与えら
れる。多数決論理回路2は与えられた入力信号に対して
多数決論理にもとづいた出力を発生させ、これを制御出
力線7を介して外部の機器(図示しない)に与えると共
に、制御出力監視線8を介して各演算制御ユニツ) l
a、lb。
役目を兼ねた交番信号を伝送する。また、第2の伝送路
4は同期タイミング、各演算制御ユニツ) la、lb
、la間で照合するデータ、およびそれらの状態を示す
3つの情報をシリアルに伝送するO 外部からのセンサ信号等は入力線5を介して演算制御ユ
ニツ) la、lb、laに与えられ、所定の演算の後
にユニット出力線6を介して多数決論理回路2に与えら
れる。多数決論理回路2は与えられた入力信号に対して
多数決論理にもとづいた出力を発生させ、これを制御出
力線7を介して外部の機器(図示しない)に与えると共
に、制御出力監視線8を介して各演算制御ユニツ) l
a、lb。
1cに帰還する。各演算制御ユニツ) la、lb。
leはこれを自己の出力と照合し、監視する。なお、上
記の事情は第1図(b)においても同様である。
記の事情は第1図(b)においても同様である。
第2図は第1図の演舞、制御ユニツ)laの内部構造を
示すブロック図である。演算制御ユニット1aは診断プ
ロセッサ10、制御プロセッサ1102つのプロセッサ
を有しており、第1の伝送線3は診断プロセッサ10に
接続され、第2の伝送線4は制御プロセッサ1】に接続
されている。なお、第2の伝速線4は他の演算制御ユニ
ツ)lb、lcとの間に2本ずつ設けられたシリアルパ
スBl、B2゜CI、C2から成っているので、一方の
シリアルパスに障害があっても他方のシリアルパスによ
り情報伝送を継続することができる。
示すブロック図である。演算制御ユニット1aは診断プ
ロセッサ10、制御プロセッサ1102つのプロセッサ
を有しており、第1の伝送線3は診断プロセッサ10に
接続され、第2の伝送線4は制御プロセッサ1】に接続
されている。なお、第2の伝速線4は他の演算制御ユニ
ツ)lb、lcとの間に2本ずつ設けられたシリアルパ
スBl、B2゜CI、C2から成っているので、一方の
シリアルパスに障害があっても他方のシリアルパスによ
り情報伝送を継続することができる。
制御プロセッサ11は入力線5を介して与えられた信号
を演算し、結果を制御プロセッサ出力線21を介してユ
ニット出力リレー12に与える。また、診断プロセッサ
状態#ilnおよび制御プ四セッサ状態線囚を介して診
断プロセッサ10との間で情報を受渡し、相互監視する
。さらに、診断プロセッサ10から立上げ指令が与えら
れると第2の伝送路4を介して他の演算制御ユニッ)l
b、leに通知すると共に、データの照合を行う。
を演算し、結果を制御プロセッサ出力線21を介してユ
ニット出力リレー12に与える。また、診断プロセッサ
状態#ilnおよび制御プ四セッサ状態線囚を介して診
断プロセッサ10との間で情報を受渡し、相互監視する
。さらに、診断プロセッサ10から立上げ指令が与えら
れると第2の伝送路4を介して他の演算制御ユニッ)l
b、leに通知すると共に、データの照合を行う。
ユニット出力リレー12は診断プロセッサ状態線η、f
ttlJ御+’ロセツサ状態線ハ、フェイルセーフOR
回路13およびユニット出力リレー制御[24を介して
与えられた信号にもとづいて動作し、機器の障害を検出
したいずれかのプロセッサがユニット出力リレー12の
動作を禁止する信号を送ると、ユニット出力リレー12
は安全側に固定される。なお、ユニット出力リレー12
の状態を示す情報はユニット出力リレー状態線5を介し
て制御プロセッサl]に与えられる。
ttlJ御+’ロセツサ状態線ハ、フェイルセーフOR
回路13およびユニット出力リレー制御[24を介して
与えられた信号にもとづいて動作し、機器の障害を検出
したいずれかのプロセッサがユニット出力リレー12の
動作を禁止する信号を送ると、ユニット出力リレー12
は安全側に固定される。なお、ユニット出力リレー12
の状態を示す情報はユニット出力リレー状態線5を介し
て制御プロセッサl]に与えられる。
診断プロセッサ10の主な働きは、$IK制御プロセッ
サ1】の動作を壁視すること、第2に演算制御ユニツ)
1aK点検装置(図示せず)を設けてオンライン保守を
行なう際に、点検装置との間での情報交換を行なって予
防保全に供すること、および制御プロセッサ11へのコ
マンド出力を処理すること、第3に第1の伝送路3を介
して他の演算制御ユニツ)lb、laを相互に監視する
こと、第4に立上げスイッチ−8とか、ら立上げ指令が
与えら1+ れたときはこれを制御プロセッサ11に通知すると共に
、同期信号を発生させることである。
サ1】の動作を壁視すること、第2に演算制御ユニツ)
1aK点検装置(図示せず)を設けてオンライン保守を
行なう際に、点検装置との間での情報交換を行なって予
防保全に供すること、および制御プロセッサ11へのコ
マンド出力を処理すること、第3に第1の伝送路3を介
して他の演算制御ユニツ)lb、laを相互に監視する
こと、第4に立上げスイッチ−8とか、ら立上げ指令が
与えら1+ れたときはこれを制御プロセッサ11に通知すると共に
、同期信号を発生させることである。
第3図は第2図の制御プロセッサ1jの内部構造を示す
ブロック図である。制御プロセッサ11はプロセッサ1
10、ローカルメモリ111、入出力コントローラ11
2 、113 、114および伝送コントローラ115
、116により構成され、それらは内部パス117に
より互いに接続されている。外部からの信号は入力i5
および人出力コントローラ112を介して取り込まれ、
演算出力は入出力コントローラ114および制御プロセ
ッサ出力線21を介してユニット出力リレー12に与え
られる。入出力コントローラ113は診断プロセッサI
Oとの相互監視のためにあり、伝送コントローラ115
、116は他の演算制御二二ツ) lb、leとの交
信のためにある。
ブロック図である。制御プロセッサ11はプロセッサ1
10、ローカルメモリ111、入出力コントローラ11
2 、113 、114および伝送コントローラ115
、116により構成され、それらは内部パス117に
より互いに接続されている。外部からの信号は入力i5
および人出力コントローラ112を介して取り込まれ、
演算出力は入出力コントローラ114および制御プロセ
ッサ出力線21を介してユニット出力リレー12に与え
られる。入出力コントローラ113は診断プロセッサI
Oとの相互監視のためにあり、伝送コントローラ115
、116は他の演算制御二二ツ) lb、leとの交
信のためにある。
次に、第4図乃至第6図を参照して第1図乃至第3図に
示す実施例の動作を説明する。第4図は上記実施例の動
作を説明する状態遷移図である。
示す実施例の動作を説明する。第4図は上記実施例の動
作を説明する状態遷移図である。
演算制御ユニツ) la、lb、leはいずれも第4図
のいずれかの状態を採ることができ、状態間の遷移はP
iJで示しである。なお、各状態は下記の如くなってい
る。
のいずれかの状態を採ることができ、状態間の遷移はP
iJで示しである。なお、各状態は下記の如くなってい
る。
O:オフ(OFF )・・・電源断あるいはユニット初
期化処理中の状態、 1:ウェイ) (WAIT )・・・初期化処理が完了
し、自己診1所結果が正常なとき、 2:相互診断(DIAG)・・・他の演算制御ユニット
1と第11第2の伝送路3.4の相互診断と同期合わせ
、 3:3系運転(TMR)・・・他の演算制御ユニット1
と並行動作する3重系状態、 4:2糸運転(民惧)・・・他のひとつの演算制御ユニ
ット1と並行動作する2京系状態、5:点検(TENT
)・・・点検装置(図示せず)からの点検要求により制
御プロセッサ1で診断プログラムを実行中のとき、 6:ダウン(DOWN )・・・自ら障害を検出し、オ
ンライン運転不能になったとき、 上記状態0〜6において、ユニット出力リレー12を介
して外部機器に対し制御信号を出力するのは状態3,4
のときのみで、これ以外の状態のときにはユニット出力
リレー12は安全側に固定されている。
期化処理中の状態、 1:ウェイ) (WAIT )・・・初期化処理が完了
し、自己診1所結果が正常なとき、 2:相互診断(DIAG)・・・他の演算制御ユニット
1と第11第2の伝送路3.4の相互診断と同期合わせ
、 3:3系運転(TMR)・・・他の演算制御ユニット1
と並行動作する3重系状態、 4:2糸運転(民惧)・・・他のひとつの演算制御ユニ
ット1と並行動作する2京系状態、5:点検(TENT
)・・・点検装置(図示せず)からの点検要求により制
御プロセッサ1で診断プログラムを実行中のとき、 6:ダウン(DOWN )・・・自ら障害を検出し、オ
ンライン運転不能になったとき、 上記状態0〜6において、ユニット出力リレー12を介
して外部機器に対し制御信号を出力するのは状態3,4
のときのみで、これ以外の状態のときにはユニット出力
リレー12は安全側に固定されている。
装!R,(計n機)を立上げるときの動作の概要は次の
ようになる。演算制御ユニット1に電源を投入すると、
状態0で自己診断ゾログラムにより自己の演算制御ユニ
ットの内部の機能がチェックされる。自己診断の結果、
障害が検出されないときは経路P。1を経由して状態1
に遷移し、ここで立上げの要求を待つ。立上げスイッチ
SW等により立上げ要求がかけられると、経路P12を
経由して状態2に遷移する。状態2において第1、第2
の伝送路3.−4を介して他の演算制御ユニット1との
間で相互診断を実行され、かつすべての演算制御ユニッ
ト1が同期して同一の処理を行なうために同期がとられ
る。そして、演算制御ユニット11第1、第2の伝送路
3,4のすべてが正常であろときは、経路P23を経由
して状態3へ遷移する。
ようになる。演算制御ユニット1に電源を投入すると、
状態0で自己診断ゾログラムにより自己の演算制御ユニ
ットの内部の機能がチェックされる。自己診断の結果、
障害が検出されないときは経路P。1を経由して状態1
に遷移し、ここで立上げの要求を待つ。立上げスイッチ
SW等により立上げ要求がかけられると、経路P12を
経由して状態2に遷移する。状態2において第1、第2
の伝送路3.−4を介して他の演算制御ユニット1との
間で相互診断を実行され、かつすべての演算制御ユニッ
ト1が同期して同一の処理を行なうために同期がとられ
る。そして、演算制御ユニット11第1、第2の伝送路
3,4のすべてが正常であろときは、経路P23を経由
して状態3へ遷移する。
他のいずれかの演算制御ユニット1に障害があったり、
第1、第2の伝送路3.4の一ケ所に障害があるときは
、経路P24を経由して状態4へ遷移する。他のいずれ
の演算制御ユニット1に対しても相互診断のための情報
、同期のための情報を受け渡すことができないとき、お
よび他の全ての演算制御ユニット1から自己の演算制御
ユニット1に障害があるという情報を受け取ったときに
、経路P26を経由して状態6に遷移する。
第1、第2の伝送路3.4の一ケ所に障害があるときは
、経路P24を経由して状態4へ遷移する。他のいずれ
の演算制御ユニット1に対しても相互診断のための情報
、同期のための情報を受け渡すことができないとき、お
よび他の全ての演算制御ユニット1から自己の演算制御
ユニット1に障害があるという情報を受け取ったときに
、経路P26を経由して状態6に遷移する。
状態3,4にある演算制御ユニット1は、自己のユニッ
ト出力リレー12を動作させて制御信号の出力を開始す
る。このようにして立上げ動作が完了し、オンライン動
作が開始される。
ト出力リレー12を動作させて制御信号の出力を開始す
る。このようにして立上げ動作が完了し、オンライン動
作が開始される。
第5図は制御プロセッサ11の処理手順の説明図である
。制御プロセッサ11の処理は3つのステージ(IN、
CAL、 0UT)からなり、これらを一定周期で実
行している。第1のステージ(IN)は入力線5を介し
て外部信号を入力する処理、第2のステージ(CAL
)は入力されたデータの演算処理、第3のステー−、’
(OUT )はユニット出力線6を介して制御信号を
外部に出力し、制御出力監視線8を介して自己の演算制
御ユニット1の出力値を監視する処理である。これら処
理の組をサイクルと呼ぶ。
。制御プロセッサ11の処理は3つのステージ(IN、
CAL、 0UT)からなり、これらを一定周期で実
行している。第1のステージ(IN)は入力線5を介し
て外部信号を入力する処理、第2のステージ(CAL
)は入力されたデータの演算処理、第3のステー−、’
(OUT )はユニット出力線6を介して制御信号を
外部に出力し、制御出力監視線8を介して自己の演算制
御ユニット1の出力値を監視する処理である。これら処
理の組をサイクルと呼ぶ。
ひとつのサイクルの先頭(第1のステー、り)では、第
1、第2の伝送路3,4を介して演算制御ユニット1の
同期合せがなされ、同期がとられると各制御プロセッサ
11は同時に外部信号を入力する。入力されたデータは
第2の伝送路4を介して他の演算制御ユニット1に送ら
れ、第1回目のデータ照合がなされる。そして、いずれ
のデータも一致しているときは自己の演算制御ユニット
1の出力を、2つの演算制御ユニット1からのデータの
みが一致しているときはその一致したデータを採用し、
第2のステージへ進む。
1、第2の伝送路3,4を介して演算制御ユニット1の
同期合せがなされ、同期がとられると各制御プロセッサ
11は同時に外部信号を入力する。入力されたデータは
第2の伝送路4を介して他の演算制御ユニット1に送ら
れ、第1回目のデータ照合がなされる。そして、いずれ
のデータも一致しているときは自己の演算制御ユニット
1の出力を、2つの演算制御ユニット1からのデータの
みが一致しているときはその一致したデータを採用し、
第2のステージへ進む。
第2のステージ(CAL)では、与えられたデータにも
とづく演算を実行すると同時に、必要に応じて第2回目
のデータ照合を行なう。
とづく演算を実行すると同時に、必要に応じて第2回目
のデータ照合を行なう。
第3のステージ(OUT )では、演算結果と第2の伝
送路4を介して与えられるデータとについて3回目のデ
ータ照合を行ない、多数決側のデータをユニット出力リ
レー12を介して多数決論理回路2に送る。ここで再び
多数決がとられ、その出力は制御出力監視線8を介して
ユニット出力リレー12に出力したデータと比較される
。その結果、互いにデータが一致していれば、自己の演
算制御ユニット1のすべての機能と制御出力線7とが正
常であることがわかり、一致しなければいずれかに障害
かあることがわかる。しかし、多数決論理回路2では各
演算制御ユニット1の出力の多数決がとられるので、同
時に2ケ所で障害が発生していない限り、外部機器に対
しては正しい信号を出力することになる。第3のステー
ジの最後では、第1のステージの最初からの一連の処理
において検出した障害の情報が、第2の伝送路4を介し
て他の演算制御ユニツ)1に通知される。
送路4を介して与えられるデータとについて3回目のデ
ータ照合を行ない、多数決側のデータをユニット出力リ
レー12を介して多数決論理回路2に送る。ここで再び
多数決がとられ、その出力は制御出力監視線8を介して
ユニット出力リレー12に出力したデータと比較される
。その結果、互いにデータが一致していれば、自己の演
算制御ユニット1のすべての機能と制御出力線7とが正
常であることがわかり、一致しなければいずれかに障害
かあることがわかる。しかし、多数決論理回路2では各
演算制御ユニット1の出力の多数決がとられるので、同
時に2ケ所で障害が発生していない限り、外部機器に対
しては正しい信号を出力することになる。第3のステー
ジの最後では、第1のステージの最初からの一連の処理
において検出した障害の情報が、第2の伝送路4を介し
て他の演算制御ユニツ)1に通知される。
雑音などによる過渡的な障害の検出能力を高めるため、
制御プロセッサの処理時間に余裕があるときは、次の処
理を加えることができる。
制御プロセッサの処理時間に余裕があるときは、次の処
理を加えることができる。
■ 前記第1ステージ、第2ステージ、第3ステージの
処理を2回実行させ、1回目と2回目の実行で得られる
データを照合する。
処理を2回実行させ、1回目と2回目の実行で得られる
データを照合する。
■ 前記第2ステージの演算のみを2回実行させ、1回
目と2回目の実行で得られるデータを照合する。
目と2回目の実行で得られるデータを照合する。
■ 第2ステージの最後に、点検データに基づ(演算を
行ない、この結果とあらかじめ記憶されている期待値を
照合する。
行ない、この結果とあらかじめ記憶されている期待値を
照合する。
■ 1サイクル以上手前に実行した結果と、現在のサイ
クルで実行した結果を照合し、変化率があらかじめ定め
られた閲値以下であることを検査する。
クルで実行した結果を照合し、変化率があらかじめ定め
られた閲値以下であることを検査する。
このような処理により障害を検出したならそのサイクル
の処理は無効としてユニット出力リレー13へは出力し
ない。あらかじめ定められた回数これらの処理により障
害を検出したなら、ユニット出力リレー12の動作を停
止し、第4図で示した状態6へ遷移する。
の処理は無効としてユニット出力リレー13へは出力し
ない。あらかじめ定められた回数これらの処理により障
害を検出したなら、ユニット出力リレー12の動作を停
止し、第4図で示した状態6へ遷移する。
診断プロセッサ10は制御プロセッサ1】と同一のサイ
クルで動作し、第1のステージの先頭と第3のステージ
の末尾で診断プロセッサ状態li!22、制御プロセッ
サ状態線nを介して監視情報の受渡しがなされる。なお
、これら状態線n、23のそれぞれ1本の信号線には交
番信号が流されているが、障害が発生したときは交番信
号の出力は停止される。この交番信号は第2図の7工イ
ルセーフOR回路13を介してユニット出力リレー12
に送られ、この動作を制−11する。交番4n号が停止
されたときは、ユニット出力リレー12は安全側に固定
される。
クルで動作し、第1のステージの先頭と第3のステージ
の末尾で診断プロセッサ状態li!22、制御プロセッ
サ状態線nを介して監視情報の受渡しがなされる。なお
、これら状態線n、23のそれぞれ1本の信号線には交
番信号が流されているが、障害が発生したときは交番信
号の出力は停止される。この交番信号は第2図の7工イ
ルセーフOR回路13を介してユニット出力リレー12
に送られ、この動作を制−11する。交番4n号が停止
されたときは、ユニット出力リレー12は安全側に固定
される。
fljlJ 御プロセッサ状tl線おを介した監視項目
には、次の2つがある。
には、次の2つがある。
■ 制t11プロセッサ11自身が判断する自己のプロ
セッサ状態と他ユニットの状態。
セッサ状態と他ユニットの状態。
■ 制御プロセッサll上で実行するプログラムの実行
順序。
順序。
上記の監視項目■としては、先に述べた制御プロセッサ
11の内部データの照合不一致、自己診断プログラム実
行による誤り検出、他ユニットのオンライン/オフライ
ン識別データなどがある。他ユニットのオンライン/オ
フライン識別データについては、同一の情報を第1の伝
送路3を介して診断プロセッサ10が受取っているから
、これらの照合をとって制御プロセッサj】が正しく実
行しているか検査する。
11の内部データの照合不一致、自己診断プログラム実
行による誤り検出、他ユニットのオンライン/オフライ
ン識別データなどがある。他ユニットのオンライン/オ
フライン識別データについては、同一の情報を第1の伝
送路3を介して診断プロセッサ10が受取っているから
、これらの照合をとって制御プロセッサj】が正しく実
行しているか検査する。
上記の監視項目■としては、制御プロセッサ11が1ザ
イクルの間に正しい順序でプログラムを実行しているか
の監視等がある。
イクルの間に正しい順序でプログラムを実行しているか
の監視等がある。
制御プロセッサ11が実行するプログラムは、タスク単
位あるいはプログラムのモジュール単位に固有の番号I
Dをもっている。これらが実行されると、それぞれのI
Dを制御プロセッサ状態線オを介して診断プロセッサ1
0へ送る。診断プロセッサ10は、このIDをもれな(
取込むためにFIFO(First In F’1rs
t Out )バッファを備えておくのが適当である。
位あるいはプログラムのモジュール単位に固有の番号I
Dをもっている。これらが実行されると、それぞれのI
Dを制御プロセッサ状態線オを介して診断プロセッサ1
0へ送る。診断プロセッサ10は、このIDをもれな(
取込むためにFIFO(First In F’1rs
t Out )バッファを備えておくのが適当である。
診断プロセッサ11内部のメモリには、IDの順序を表
わしたテーブルを記憶してあり、制御プロセッサ11か
らIDが送られてくる毎に、このチーゾルの内容と比較
し、シーケンスに乱れ、あるいは登録されていないID
でないかを検査する。
わしたテーブルを記憶してあり、制御プロセッサ11か
らIDが送られてくる毎に、このチーゾルの内容と比較
し、シーケンスに乱れ、あるいは登録されていないID
でないかを検査する。
第6図は第1図乃至第3図の実施例の立上げ動作の説明
図である。立上げ動作は以下の手順によって行なう。な
お、3つの演算制御ユニットをAユニット、Bユニット
、Cユニットと示し、例えばAユニットに対して立上げ
指令が与えられたものとする(任意のユニットに指令で
きる)。また第6図中の■〜■は下記の手順■〜■に対
応する。
図である。立上げ動作は以下の手順によって行なう。な
お、3つの演算制御ユニットをAユニット、Bユニット
、Cユニットと示し、例えばAユニットに対して立上げ
指令が与えられたものとする(任意のユニットに指令で
きる)。また第6図中の■〜■は下記の手順■〜■に対
応する。
■ オペレータがAユニットの立上げスイッチSWをオ
ンして立上げを指示すると、立上げ指令はAユニットの
診断プロセッサIOK与えられる。
ンして立上げを指示すると、立上げ指令はAユニットの
診断プロセッサIOK与えられる。
■ 診断プロセッサ10は診断プロセッサ状態線22を
介して、立上げ指令を制御プロセッサ11に送る。
介して、立上げ指令を制御プロセッサ11に送る。
■ Aユニットの制御プロセッサ11は第2の伝送路4
を介して立上げ指令をB、Cユニットの制御プロセッサ
11に送る。
を介して立上げ指令をB、Cユニットの制御プロセッサ
11に送る。
■ 立上げ指令を受信したB、Cユニットの制御プロセ
ッサ11は、これを制御プロセッサ状態想羽を介して自
ユニットの診断プロセッサ10に通知する。そしで、A
SB、Cユニットの診断プロセッサ1()は既に説明し
た1サイクルごとに第1の伝送路3を介して同期タイミ
ングの更新を行ない、同期合せを実行する。
ッサ11は、これを制御プロセッサ状態想羽を介して自
ユニットの診断プロセッサ10に通知する。そしで、A
SB、Cユニットの診断プロセッサ1()は既に説明し
た1サイクルごとに第1の伝送路3を介して同期タイミ
ングの更新を行ない、同期合せを実行する。
■ 制御プロセッサ11は第5図で説明したように入力
線5を介して外部信号を入力し、所定の演算を実行し、
演算結果を第2の伝送路4を介して相互に通知し照合す
る。このとき、制御プロセッサ11は自ユニットの診断
プロセッサlOに同期追従すると同時に、第2の伝送路
4を介して他のユニットとの間でも同期タイミングを相
互に通知しあう。
線5を介して外部信号を入力し、所定の演算を実行し、
演算結果を第2の伝送路4を介して相互に通知し照合す
る。このとき、制御プロセッサ11は自ユニットの診断
プロセッサlOに同期追従すると同時に、第2の伝送路
4を介して他のユニットとの間でも同期タイミングを相
互に通知しあう。
■ このようにしてすべてのユニット間で同期と照合デ
ータの一致がとられたときは、相互診断の完了したこと
を第2の伝送路4を介して相互に通知しあう。
ータの一致がとられたときは、相互診断の完了したこと
を第2の伝送路4を介して相互に通知しあう。
あらかじめ定めた時間内に手順■に達しないときは、第
1.第2の伝送路3,4あるいはユニットに障害が発生
していると考えられるので、障害部分の調査を実行する
。そして、2つのユニットにより計算機を動作させるこ
とができるときは2系運転(第4図の状態4)、これが
できないときはダウン(第4図の状態6)させる。
1.第2の伝送路3,4あるいはユニットに障害が発生
していると考えられるので、障害部分の調査を実行する
。そして、2つのユニットにより計算機を動作させるこ
とができるときは2系運転(第4図の状態4)、これが
できないときはダウン(第4図の状態6)させる。
■ 同期、照合データの一致がとれたときは、すべての
制御プロセッサ11は制御プロセッサ状態1123を介
して立上げ完了を診断プロセッサ10に通知する。
制御プロセッサ11は制御プロセッサ状態1123を介
して立上げ完了を診断プロセッサ10に通知する。
■ 診断プロセッサ10は立上げ完了の通知を受し〕゛
ると、診断プロセッサ状態線nを介してオンライン運転
の開始を通知する。これによって、診断プロセッサ10
と制御プロセッサ11はオンライン運転(第4図の状態
3,4)へ遷移する。
ると、診断プロセッサ状態線nを介してオンライン運転
の開始を通知する。これによって、診断プロセッサ10
と制御プロセッサ11はオンライン運転(第4図の状態
3,4)へ遷移する。
また、診断プロセッサ10と制御プロセッサ11がオン
ライン運転に遷移したことにより、フェイルセーフOR
回路13とユニット出力リレー制御線屑を介tで自ユニ
ットのユニット出力リレー12の動作を許可状態にする
。これによって、制御ゾ四セッサ11の演算結果はユニ
ット出力リレー12を介して多数決論理回路2に送られ
る。
ライン運転に遷移したことにより、フェイルセーフOR
回路13とユニット出力リレー制御線屑を介tで自ユニ
ットのユニット出力リレー12の動作を許可状態にする
。これによって、制御ゾ四セッサ11の演算結果はユニ
ット出力リレー12を介して多数決論理回路2に送られ
る。
第7図を参照して立上げ手110の異なる実施例を説明
する。第7図はその動作の説明図で立上げの動作は以下
の手順で行なう。
する。第7図はその動作の説明図で立上げの動作は以下
の手順で行なう。
■ 先に述べた■の動作と同様、オペレータが立上げス
イッチSWをオンにして任意の演算制御ユニット1(A
ユニットとする)に立上げの指示をすると、Aユニット
内の診断プロセッサ10は、この指示を受取る。
イッチSWをオンにして任意の演算制御ユニット1(A
ユニットとする)に立上げの指示をすると、Aユニット
内の診断プロセッサ10は、この指示を受取る。
■ 診断プロセッサlOは診断プロセッサ状態線22を
介して制御プロセッサ11へ立上げ指令を送る。
介して制御プロセッサ11へ立上げ指令を送る。
■ 制御プロセッサ11は第2の伝送路4を介して他の
スヘての演算制御ユニツ)1(B、Cユニット)へ立上
げ要求のコマンド(立上げ指令)を送信する。
スヘての演算制御ユニツ)1(B、Cユニット)へ立上
げ要求のコマンド(立上げ指令)を送信する。
■ 立上げ要求のコマンドを受取った制御プロセッサ1
1は、このことを制御プロセッサ状態線おを介し℃Cユ
ニットの診断プロセッサ10へ通知する。
1は、このことを制御プロセッサ状態線おを介し℃Cユ
ニットの診断プロセッサ10へ通知する。
■ 立上げ要求を受付けたAユニットの診断プロセッサ
10は同期信号を生成し第1の伝送路3を介して他の演
算制御ユニット1(B、Cユニット)へ送る。Bユニッ
ト、Cユニットの診断ゾロセツザ1()は上記同期信号
を受取って同期追従を図ると共に、同期追従を確認する
だめの信号を第1の伝送路3を介してAユニットへ送る
。
10は同期信号を生成し第1の伝送路3を介して他の演
算制御ユニット1(B、Cユニット)へ送る。Bユニッ
ト、Cユニットの診断ゾロセツザ1()は上記同期信号
を受取って同期追従を図ると共に、同期追従を確認する
だめの信号を第1の伝送路3を介してAユニットへ送る
。
■ すべての演算制御ユニット1で同期の一致が取られ
たlrら、制御プロセッサ11へ同期完了の信号を診断
プロセッサ状態線ηを介して通知する。
たlrら、制御プロセッサ11へ同期完了の信号を診断
プロセッサ状態線ηを介して通知する。
■ 同期完了の通知を受取った制御プロセッサ11は、
診断プロセッサ10から通知される同期タイミングに追
従して第5図で説明したように入力用5を介して外部信
号を入力し、所定の演算を行なった後記2の伝送路4を
介してデータ照合を実施する。
診断プロセッサ10から通知される同期タイミングに追
従して第5図で説明したように入力用5を介して外部信
号を入力し、所定の演算を行なった後記2の伝送路4を
介してデータ照合を実施する。
診断プロセッサ10は■のステップと同様同期合わせと
監視を行なう。
監視を行なう。
■ すべての演算制御ユニット1で同期の一致とデータ
照合の一致がとられたなら相互診断力を完了したことを
第2の伝送路4を介して相互に通知しあう。同時に制御
プロセッサ11は診断ゾ日セッサ10へ制御プロセッサ
状態線nを介して相互診断が完了したことを通知する。
照合の一致がとられたなら相互診断力を完了したことを
第2の伝送路4を介して相互に通知しあう。同時に制御
プロセッサ11は診断ゾ日セッサ10へ制御プロセッサ
状態線nを介して相互診断が完了したことを通知する。
もしあらかじめ定められた時間以内に■のステップに到
達しないなら、第1の伝送路3、第2の伝送路4、ある
いは演算制御ユニット1(A、B、Cユニット)のいず
れかに障害が発生しているから、障害部分の調査を実施
する。
達しないなら、第1の伝送路3、第2の伝送路4、ある
いは演算制御ユニット1(A、B、Cユニット)のいず
れかに障害が発生しているから、障害部分の調査を実施
する。
2つの演算制御ユニット1により動作することができる
なら第4図の状態4で立上げることとし、これができな
いときは第4図の状態6へ遷移する。
なら第4図の状態4で立上げることとし、これができな
いときは第4図の状態6へ遷移する。
■ ■のステップで立上げの要求を点検装置から行なっ
たときは、立上げ完了を通知する。
たときは、立上げ完了を通知する。
[相] すべての演算制御ユニット1は第4図の状態2
から状態3または状態4へ遷移し、同期追従と監視、デ
ータ照合を行なう。
から状態3または状態4へ遷移し、同期追従と監視、デ
ータ照合を行なう。
診断プロセッサ10は診断プロセッサ状態線5を介して
制御プロセッサ11へ同期タイミング信号を送る。
制御プロセッサ11へ同期タイミング信号を送る。
なお、上記の■、■、■のステップを省略し、立上げ手
順を簡略にすることもできる。
順を簡略にすることもできる。
なお、上記の第6図、第7図で示す動作において、立上
げスイッチSWに変えて着脱式の点検装置を設け、これ
により立上げ指令を与えるようにすることもできる。
げスイッチSWに変えて着脱式の点検装置を設け、これ
により立上げ指令を与えるようにすることもできる。
上記の如く本発明によれば、機能分散した2つのプロセ
ッサ(制御プロセッサ、診断プロセッサ)でひとつの演
算制御ユニットを形成し、これを複数組合せてn重系シ
ステムとし、任意の演算制御ユニットに立上げ指令が与
えられた際に、複数のユニット間でソフトウェアにより
立上げ指令の通知、データの照合、同期等を行ない、立
上げが完了したときにそれを相互に通知するようにした
ので、立上げ動作のための特殊なハードウェアをなくし
て装置規模を小さくした高信頼度の計算機を得ることが
できる。また、演算制御ユニットの数に依存する機器は
第1. 第2の伝送路に関するもののみとしたので、柔
軟性に富み機能の拡張の容易な計算機を得ることができ
る。
ッサ(制御プロセッサ、診断プロセッサ)でひとつの演
算制御ユニットを形成し、これを複数組合せてn重系シ
ステムとし、任意の演算制御ユニットに立上げ指令が与
えられた際に、複数のユニット間でソフトウェアにより
立上げ指令の通知、データの照合、同期等を行ない、立
上げが完了したときにそれを相互に通知するようにした
ので、立上げ動作のための特殊なハードウェアをなくし
て装置規模を小さくした高信頼度の計算機を得ることが
できる。また、演算制御ユニットの数に依存する機器は
第1. 第2の伝送路に関するもののみとしたので、柔
軟性に富み機能の拡張の容易な計算機を得ることができ
る。
第1図は本発明の一実施例の基本構成のブロック図、第
2図は第1図の演算制御ユニットの内部構造を示すブロ
ック図、第3図は第2図の制御プロセッサの内部構造を
示すブロック図、第4図は第1図乃至第3図の実施例の
動作を説明する状態遷移図、第5図は第3図の制御プロ
セッサの処理手順の説明図、第6図は第1図乃至第5図
の実施例の立上げ動作の説明図、第7図は他の立上げ動
作の説明図である。 3・・・第1の伝送路、4・・・第2の伝送路、5・・
・入力線、6・・・ユニット出力線、7・・・制御出力
線、8・・・制御出力監視線、13・・・フェイルセー
フOR回路、SW・・・立上げスイッチ、21・・・制
御プロセッサ出力線、η・・・診断プロセッサ状態線、
ル・・・制御プロセッサ状態線、U・・・ユニット出力
リレー制御線、5・・・ユニット出力リレー状態線。 児1図(山) 屯1図(b) 01し1 絵C2
2図は第1図の演算制御ユニットの内部構造を示すブロ
ック図、第3図は第2図の制御プロセッサの内部構造を
示すブロック図、第4図は第1図乃至第3図の実施例の
動作を説明する状態遷移図、第5図は第3図の制御プロ
セッサの処理手順の説明図、第6図は第1図乃至第5図
の実施例の立上げ動作の説明図、第7図は他の立上げ動
作の説明図である。 3・・・第1の伝送路、4・・・第2の伝送路、5・・
・入力線、6・・・ユニット出力線、7・・・制御出力
線、8・・・制御出力監視線、13・・・フェイルセー
フOR回路、SW・・・立上げスイッチ、21・・・制
御プロセッサ出力線、η・・・診断プロセッサ状態線、
ル・・・制御プロセッサ状態線、U・・・ユニット出力
リレー制御線、5・・・ユニット出力リレー状態線。 児1図(山) 屯1図(b) 01し1 絵C2
Claims (1)
- 【特許請求の範囲】 複数の演算制御ユニットが生成するデータを相互に照合
、監視し、その結果を外部に出力する計算機において、 前記各演算制御ユニットに設けてなり、立上げ信号が与
えられると同期信号を発生させる第1のプロセッサと、 前記各演算制御ユニットに設けてなり、立上げ信号が与
えられると前記同期信号に追従して外部からの入力信号
を演算する第2のプロセッサと、前記第1のプロセッサ
間で少なくとも前記同期48号を伝送する第1の伝送路
と、 前記第2のプロセッサ間で少なくとも前記演算の結果を
伝送する第2の伝送路とを備え、任意の前記演算制御ユ
ニットに立上げ指令を与えると前記第1、第2の伝送路
を介して該立上げ指令の通知、同期合せおよび前記演算
の結果の照合を行い、前記同期信号および演算の結果が
各演算制御ユニット間で一致したときに立上げ完了を相
互に通知しあうようにしたことを特徴とする計算機。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP58163658A JPS6055447A (ja) | 1983-09-06 | 1983-09-06 | 計算機 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP58163658A JPS6055447A (ja) | 1983-09-06 | 1983-09-06 | 計算機 |
Publications (1)
Publication Number | Publication Date |
---|---|
JPS6055447A true JPS6055447A (ja) | 1985-03-30 |
Family
ID=15778119
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP58163658A Pending JPS6055447A (ja) | 1983-09-06 | 1983-09-06 | 計算機 |
Country Status (1)
Country | Link |
---|---|
JP (1) | JPS6055447A (ja) |
-
1983
- 1983-09-06 JP JP58163658A patent/JPS6055447A/ja active Pending
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US7802138B2 (en) | Control method for information processing apparatus, information processing apparatus, control program for information processing system and redundant comprisal control apparatus | |
US5144230A (en) | Method and system for testing integrated circuits by cycle stealing | |
US7792594B2 (en) | Redundant automation system comprising a master and a standby automation device | |
US5572620A (en) | Fault-tolerant voter system for output data from a plurality of non-synchronized redundant processors | |
US20150095699A1 (en) | Control device, control method and recording medium storing program thereof | |
JPH11143729A (ja) | フォールトトレラントコンピュータ | |
US7418626B2 (en) | Information processing apparatus | |
US8831912B2 (en) | Checking of functions of a control system having components | |
KR100279204B1 (ko) | 자동제어시스템에서현장제어장치의콘트롤러이중화제어방법및그장치 | |
JPS6055447A (ja) | 計算機 | |
JPH04307633A (ja) | 多重化制御装置 | |
JPH086800A (ja) | データ処理装置及びマイクロプロセッサ | |
JPH0630069B2 (ja) | 多重化システム | |
JPH02132529A (ja) | 自動監視切替制御装置 | |
JPS615350A (ja) | 計算機 | |
JPS60142431A (ja) | 計算機 | |
JPS5931738B2 (ja) | 計算機システムの並列三重系構成方法 | |
CN109739568A (zh) | 一种基于2乘2取2架构的安全平台启动方法 | |
JPS6055446A (ja) | 計算機 | |
JPS616743A (ja) | 演算制御ユニツト | |
Wirthumer et al. | Fault Tolerance for Railway Signalling Votrics in Practice | |
JPH0755179Y2 (ja) | 並列多重電子連動装置 | |
KR100390402B1 (ko) | 삼중 중복형 모듈러 장치 | |
JPS59112349A (ja) | 二重化演算システム | |
JPS6045801A (ja) | 多重化構成制御装置 |