DE102015208989B4

DE102015208989B4 - Ausfallsichere Verarbeitungsvorrichtung

Info

Publication number: DE102015208989B4
Application number: DE102015208989.4A
Authority: DE
Inventors: Shohei Kato; Hideo Sakuyama; Naoki Shibata
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2014-05-23
Filing date: 2015-05-15
Publication date: 2024-06-27
Anticipated expiration: 2035-05-16
Also published as: GB2526917B; CN105093979B; JP6600128B2; DE102015208989A1; CN105093979A; JP2015222520A; GB2526917A; GB201506268D0

Abstract

Ausfallsichere Verarbeitungsvorrichtung, umfassend:eine Vielzahl von Recheneinheiten (12, 13), die eine Funktion aufweisen, um gleichzeitig die gleiche Berechnung auszuführen und gegenseitig Ausgabedaten zu überwachen;eine Ausgabesteuereinheit (16), die eine Funktion aufweist, um die Ausgabedaten zeitweilig für jede der Recheneinheiten (12, 13) zu speichern und die gespeicherten Ausgabedaten für jede der Recheneinheiten (12, 13) gemäß einer Anweisung von einer der Vielzahl von Recheneinheiten nach außen abzugeben; undeine Vielzahl von Stromversorgungen (14, 15), die für jede der Recheneinheiten (12, 13) bereitgestellt werden, wobeieine von der Vielzahl von Stromversorgungen (14, 15) nicht nur die zugeordnete Recheneinheit (12, 13), sondern auch die Ausgabesteuereinheit (16) mit Strom versorgt.

Description

ALLGEMEINER STAND DER TECHNIK
Gebiet der Erfindung
Die vorliegende Erfindung betrifft eine ausfallsichere Multisystem-Verarbeitungsvorrichtung, die auf einem Gebiet verwendet wird, das eine hohe Sicherheit erfordert, das eine Vielzahl von Recheneinheiten umfasst und eine ausfallsichere Konfiguration bereitstellt, um eine Übereinstimmung zwischen den Rechenergebnissen sicherzustellen.
Beschreibung der verwandten Technik
Ein System, das eine Berechnung auf einem Gebiet ausführt, das eine hohe Sicherheit benötigt, wie etwa Sicherheitssysteme im Eisenbahnsignalwesen und Kraftwerke, umfasst mehrere Recheneinheiten und führt eine Reihe von Steuerungen aus, so dass das System prüft, ob die Rechenergebnisse übereinstimmen oder nicht; falls sie übereinstimmen, fährt das System mit dem normalen Betrieb fort; und falls sie nicht übereinstimmen, geht das System in einen sicheren Zustand über.
Somit ist es notwendig, die Faktoren zu beheben, für die eine Vielzahl von Recheneinheiten gleichzeitig die gleiche fehlerhafte Ausgabe ergeben. Einer der Faktoren umfasst eine zeitweilige Spannungsschwankung einer Stromversorgung. Die japanische Patent-Auslegeschrift JP 2002 - 116 921 A (Patentschrift 1) und die japanische Patent-Auslegeschrift JP H06 - 29 8105 A (Patentschrift 2) umfassen eine Vielzahl von Recheneinheiten, die jeweils von einer anderen Stromversorgung getrennt mit Strom versorgt werden. Es besteht eine geringe Wahrscheinlichkeit, dass eine Vielzahl von Stromversorgungen gleichzeitig einen gleichartigen Ausfall erzeugen, so dass eine Reduzierung der Wahrscheinlichkeit möglich ist, dass eine Vielzahl von Recheneinheiten auf Grund eines Stromversorgungsausfalls gleichzeitig die gleiche fehlerhafte Ausgabe ergeben.
Falls jedoch verschiedene Stromversorgungen, die getrennt Strom liefern, gleichzeitig die gleiche Spannungsschwankung erzeugen, gibt die Vielzahl von Recheneinheiten gleichzeitig die gleichen fehlerhaften Daten aus, was somit zu einer Möglichkeit führt, dass die Ausgabesteuereinheit die fehlerhaften Daten nicht erkennen kann und die fehlerhaften Daten nach außen abgibt. Um eine zeitweilige Spannungsschwankung einer Vielzahl von Stromversorgungen zu erkennen, stellt die Patentschrift 1 eine Konfiguration bereit, bei der eine CPU auch an die andere Stromversorgung angeschlossen ist und die andere Stromversorgung überwacht, und die Patentschrift 2 stellt eine Konfiguration bereit, bei der die beiden CPUs ihre Stromversorgungsausgabe gegenseitig überwachen. Falls jedoch eine zeitweilige Spannungsschwankung in einer Stromversorgung vorkommt, kann die CPU fehlerhafte Daten ausgeben, ohne einen Rechenunterbrechungsbefehl, wie etwa ein Reset, von einer Stromüberwachungseinheit zu empfangen. Entsprechend ist es eine Aufgabe der vorliegenden Erfindung, eine ausfallsichere Verarbeitungsvorrichtung bereitzustellen, welche die Möglichkeit behebt, ein fehlerhaftes Rechenergebnis auszugeben, selbst wenn eine zeitweilige Spannungsschwankung in einer Stromversorgung vorkommt, die eine Vielzahl von Recheneinheiten mit Strom versorgt. Weiterer Stand der Technik ist in folgenden Dokumenten beschrieben: US 2012/ 0 233 506 A1 ; US 8 373 435 B2 und US 7 516 358 B1 .
KURZDARSTELLUNG DER ERFINDUNG
Zur Lösung des oben beschriebenen Problems wird eine ausfallsichere Verarbeitungsvorrichtung mit den Merkmalen von Anspruch 1 angegeben. Weitere vorteilhafte Ausgestaltungen sind in den Unteransprüchen definiert.
Um das obige Problem zu lösen, liefert eine von einer Vielzahl von Stromversorgungen, die eine Vielzahl von Recheneinheiten, die eine ausfallsichere Verarbeitungsvorrichtung bilden, getrennt mit Strom versorgen, nicht nur Strom an die zugeordnete Recheneinheit, sondern auch an die anderen Schaltungsabschnitte als die Recheneinheiten, welche die ausfallsichere Vorrichtung bilden, oder weist eine andere Stromversorgungskapazität auf.
Selbst wenn eine zeitweilige Spannungsschwankung bei einer Stromversorgung vorkommt, weist gemäß der vorliegenden Erfindung jede Recheneinheit einen Unterschied der Zeiteinstellung auf, die durch die Spannungsschwankung beeinträchtigt wird, und daher kann die vorliegende Erfindung jede der Recheneinheiten daran hindern, gleichzeitig das gleiche fehlerhafte Rechenergebnis auszugeben.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Es zeigen:

1 eine Konfigurationsansicht, die eine ausfallsichere Verarbeitungsvorrichtung gemäß einer ersten Ausführungsform abbildet;
2 ein Ersatzschaltbild, das dadurch vereinfacht ist, dass die anderen Schaltungen als die Recheneinheiten gemäß der ersten Ausführungsform durch Widerstands- und Kondensatorbauteile ersetzt werden;
3 ein Diagramm, das eine Spannungsschwankung, einen Takt und die zeitliche Entwicklung von Ausgabedaten in jeder Recheneinheit bei einer Eingangsspannungsschwankung gemäß der ersten Ausführungsform abbildet;
4 eine Konfigurationsansicht, die eine ausfallsichere Verarbeitungsvorrichtung gemäß einer zweiten Ausführungsform abbildet; und
5 eine Konfigurationsansicht, die eine ausfallsichere Verarbeitungsvorrichtung gemäß einer dritten Ausführungsform abbildet.

AUSFÜHRLICHE BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORMEN
Nachstehend werden erste bis dritte Ausführungsformen der Reihe nach als Ausführungsformen der vorliegenden Erfindung beschrieben.
Erste Ausführungsform
Die erste Ausführungsform der vorliegenden Erfindung wird mit Bezug auf 1 bis 3 beschrieben.
Die erste Ausführungsform als ausfallsichere Multisystem-Verarbeitungsvorrichtung weist grundsätzlich eine Doppelsystemkonfiguration auf, die zwei Recheneinheiten, die gleichzeitig die gleiche Berechnung ausführen, und zwei Stromversorgungen, welche die gleiche Kapazität . aufweisen, umfasst. 1 ist eine Konfigurationsansicht, die eine ausfallsichere Verarbeitungsvorrichtung 11 gemäß einer ersten Ausführungsform abbildet.
Die ausfallsichere Verarbeitungsvorrichtung 11 wird auf eine Recheneinheit angewendet, die ausfallsichere Eigenschaften der Ausgabedaten benötigt. Um ausfallsichere Eigenschaften sicherzustellen, umfasst die in 1 abgebildete Konfiguration zwei Recheneinheiten: eine Recheneinheit A (12) und eine Recheneinheit B (13). Die Daten, die von der ausfallsicheren Verarbeitungsvorrichtung 11 ausgegeben werden, basieren auf den Daten, die von der Recheneinheit A (12) und der Recheneinheit B (13) berechnet werden.
Die Daten, die von der Recheneinheit A (12) und der Recheneinheit B (13) ausgegeben werden, werden einmal in einem Puffer 17 in einer Ausgabesteuereinheit (16) aufbewahrt (zeitweilig gespeichert). Die Recheneinheit A (12) und die Recheneinheit B (13) überwachen gegenseitig ihre Ausgabedaten, um zu bestätigen, dass die gegenseitigen Ausgabedaten einander entsprechen. Falls die Ausgabedaten einander entsprechen, werden die Daten, die in dem Puffer 17 in der Ausgabesteuereinheit 16 gespeichert sind, durch eine Anweisung der Recheneinheit A (12) ausgegeben. Falls die gegenseitigen Ausgabedaten auf Grund eines Problems mindestens einer der beiden Ausgabedaten einander nicht entsprechen, werden die Daten nicht aus dem Puffer 17 ausgegeben. Es sei zu beachten, dass die Recheneinheit A (12) und die Recheneinheit B (13) eine Funktion aufweisen, ein Rücksetzsignal an die andere Partei (gekoppeltes System) zu senden, um die Berechnung zu unterbrechen und die andere Seite zurückzustellen, falls ein Problem vorkommt, so dass die gegenseitigen Ausgabedaten einander nicht entsprechen.
Es besteht eine sehr geringe Wahrscheinlichkeit, dass sowohl die Recheneinheit A (12) als auch die Recheneinheit B (13) gleichzeitig ausfallen, und somit ermöglicht ein derartiges Verfahren eine Konfiguration einer ausfallsicheren Verarbeitungsvorrichtung, die eine ausfallsichere Ausgabe ermöglicht.
Falls es jedoch Faktoren dafür gibt, dass der gleiche Ausfall gleichzeitig sowohl in der Recheneinheit A (12) als auch in der Recheneinheit B (13) vorkommt, besteht auch ein Risiko, dass ein fehlerhaftes Signal von beiden Recheneinheiten ausgegeben wird. Obwohl somit die Ausgabedaten gegenseitig überwacht werden, können die Recheneinheit A (12) und die Recheneinheit B (13) den Fehler nicht erkennen und können das fehlerhafte Signal nach außen abgeben.
Deshalb muss, wie zuvor beschrieben, das ausfallsichere Vorrichtung die Faktoren für das gleichzeitige Vorkommen des gleichen Ausfalls möglichst beheben, um die Wahrscheinlichkeit, dass das fehlerhafte Signal nach außen abgegeben wird, hinlänglich zu unterdrücken.
Beispiele für die Faktoren für das gleichzeitige Vorkommen des gleichen Ausfalls umfassen die Tatsache, dass eine Stromversorgung die Recheneinheit A (12) und die Recheneinheit B (13) mit Strom versorgt. Wenn die Recheneinheit A (12) und die Recheneinheit B (13) von einer gemeinsamen Stromversorgung betrieben werden, kann ein zeitweiliger Ausfall, der in der gemeinsamen Stromversorgung vorkommt, bewirken, dass die Recheneinheit A (12) und die Recheneinheit B (13) gleichzeitig die gleichen fehlerhaften Daten ausgeben.
Angesichts dessen wird die Recheneinheit A (12) von der Stromversorgung A (14) betrieben, und die Recheneinheit B (13) wird von der Stromversorgung B (15) betrieben. Es besteht eine sehr geringe Wahrscheinlichkeit, dass sowohl die Stromversorgung A (14) als auch die Stromversorgung B (15) gleichzeitig einen gleichartigen Ausfall erzeugen. Somit ermöglicht die Trennung der Stromversorgungen, welche die Recheneinheit A (12) und die Recheneinheit B (13) betreiben, eine Reduzierung der Wahrscheinlichkeit, dass beide Recheneinheiten gleichzeitig einen gleichartigen Ausfall erzeugen.
Falls jedoch eine Spannungsschwankung gleichzeitig sowohl in der Stromversorgung A (14) als auch in der Stromversorgung B (15) mit der gleichen Lastgrößenordnung für jede Stromversorgung vorkommt (einschließlich der Recheneinheit A (12) und der Recheneinheit B (13)), wird eine zeitweilige anormale Spannung auf dem gleichen Pegel gleichzeitig ausgegeben. Dies kann dazu führen, dass die gleiche anormale Bedingung gleichzeitig in der Recheneinheit A (12) und der Recheneinheit B (13) vorkommen kann. Selbst wenn die Ausgabedaten dabei gegenseitig überwacht werden, können die Recheneinheit A (12) und die Recheneinheit B (13) den Ausgabedatenfehler, nicht erkennen und können fehlerhafte Daten nach außen abgeben.
Angesichts dessen, wie in 1 abgebildet, teilt die erste Ausführungsform die Last, die an jede Stromversorgung angeschlossen ist, um zu verhindern, dass die Recheneinheit A (12) und die Recheneinheit B (13) gleichzeitig die gleichen fehlerhaften Daten ausgeben, selbst wenn es zu einem Ausfall der Stromversorgung kommt. Genauer gesagt wird die Größenordnung der Last bewusst differenziert, indem man eine von der Stromversorgung A (14) und der Stromversorgung B (15) auch andere Schaltungen (beispielsweise die Ausgabesteuereinheit 16 und die andere Schaltung 18) als die Recheneinheit A (12) und die Recheneinheit B (13) mit Strom versorgen lässt.
Zur praktischen Beschreibung bildet 2 ein Ersatzschaltbild ab, das dadurch vereinfacht wird, dass die anderen Schaltungen (die Ausgabesteuereinheit 16 und die andere Schaltung 18) als die Recheneinheit A (12) und die Recheneinheit B (13) in 1 durch Widerstands- und Kondensatorbauteile ersetzt werden.
2 (A) ist eine Ersatzschaltung einer A-Systemschaltung, wobei eine A-Systemstromversorgung 20 der Stromversorgung A (14) in 1 entspricht. Ein Widerstandsbauteil R_A 22 der anderen Last als der Recheneinheit A (12) umfasst Widerstandsbauteile des Substrats und Schaltungen der ausfallsicheren Verarbeitungsvorrichtung 11. Ein Kondensatorbauteil C_A 23 der gesamten A-Systemschaltung umfasst ein Kondensatorbauteil, das in der A-Systemstromversorgung 20 selber enthalten ist, sowie die Kondensatorbauteile des Substrats und Schaltungen der ausfallsicheren Verarbeitungsvorrichtung 11, dem Spannung von der anderen A-Systemstromversorgung 20 als der Recheneinheit A (12) zugeführt wird. Eine Eingangsspannung, die an die Recheneinheit A (12) angelegt wird, entspricht einer Eingangsspannung E_{CPU_A} 24 der A-Systemrecheneinheit.
2(B) ist eine Ersatzschaltung einer B-Systemschaltung, wobei eine B-Systemstromversorgung 25 der Stromversorgung B (15) in 1 entspricht. Ein Widerstandsbauteil R_B 28 der anderen Last als der Recheneinheit B (13) umfasst Widerstandsbauteile des Substrats und Schaltungen der ausfallsicheren Verarbeitungsvorrichtung 11. Ein Kondensatorbauteil C_B 28 der gesamten B-Systemschaltung umfasst ein Kondensatorbauteil, das in der B-Systemstromversorgung 26 selber enthalten ist, sowie die Kondensatorbauteile des Substrats und Schaltungen der ausfallsicheren Verarbeitungsvorrichtung 11, der Spannung von der anderen B-Systemstromversorgung 25 als der Recheneinheit B (13) zugeführt wird. Eine Eingangsspannung, die an die Recheneinheit B (13) angelegt wird, entspricht einer Eingangsspannung E_{CPU_B} 29 der B-Systemrecheneinheit.
Wie in 1 abgebildet, ist die Anzahl von Schaltungen, die an die Stromversorgung A (14) des A-Systems angeschlossen sind, geringer als die Anzahl von Schaltungen, die an die Stromversorgung B (15) angeschlossen sind, und die ICs zur Verwendung in der Ausgabesteuereinheit 16 und der anderen Schaltung 18 sind die Last, die mit der Schaltung parallel geschaltet ist. Somit ist R_A größer als R_B. 3 bildet eine Beziehung zwischen den Schwankungen der Eingangsspannung E_{CPU_A} 24 der A-Systemrecheneinheit und der Eingangsspannung E_{CPU_B} 29 der B-Systemrecheneinheit bei einer Schwankung in der A-Systemstromversorgungsspannung E_{in_A} 21 und der B-Systemstromversorgungsspannung E_{in_B} 26, dem Takt und den Ausgabedaten ab.
Die A-Systemstromversorgungsspannung E_{in_A} 21 und die B-Systemstromversorgungsspannung E_{in_B} 26 in 2 können variieren, wie durch eine Stromeingangsschwankung 30 einer Stromversorgung in 3 abgebildet. Somit erzeugt die Eingangsspannung E_{CPU_A} 24 der A-Systemrecheneinheit in 2 eine Eingangsspannungsschwankung 31 in der A-Systemrecheneinheit in 3. Ebenso erzeugt die Eingangsspannung E_{CPU_B} 29 der B-Systemrecheneinheit in 2 eine Eingangsspannungsschwankung 36 in der B-Systemrecheneinheit in 3.
Dabei wird die Schwankung der Eingangsspannung E_{CPU_A} 24 der A-Systemrecheneinheit und der Eingangsspannung E_{CPU_B} 29 der B-Systemrecheneinheit zu dem Zeitpunkt, an dem die Stromeingangsschwankung 30 der Stromversorgung vorkommt und die Spannung von V₁ auf V₂ abfällt, durch die folgende Gleichung ausgedrückt. $E_{CPU_A} = V_{2} \times {1 - exp (- t / R_{A} C_{A})} + V_{1} \times exp (- t / R_{A} C_{A})$
$E_{CPU_B} = V_{2} \times {1 - exp (- t / R_{B} C_{B})} + V_{1} \times exp (- t / R_{B} C_{B})$
Im Allgemeinen sind die Recheneinheiten derart ausgelegt, dass sie nicht versagen, selbst wenn es zu einer Spannungsschwankung von ungefähr 10 % kommt. Somit geht man in 3 davon aus, dass eine betriebsfähige untere Grenzschwellenspannung 32 der A-Systemrecheneinheit und eine betriebsfähige untere Grenzschwellenspannung 37 der B-Systemrecheneinheit 10 % der Nennspannung betragen. Man geht ebenfalls davon aus, dass V₂ als Mindestwert definiert wird, wenn jede Eingangsspannung der A-Systemrecheneinheit und der B-Systemrecheneinheit um die Spannungsschwankung abfällt, und der Mindestwert V₂ unter der betriebsfähigen unteren Grenzschwellenspannung 32 der A-Systemrecheneinheit und der betriebsfähigen unteren Grenzschwellenspannung 37 der B-Systemrecheneinheit liegt.
Wenn man davon ausgeht, dass eine Zeit Δt_A als Zeitpunkt definiert ist, von dem an dem die Stromeingangsschwankung 30 abfällt, bis die Spannungsschwankung 31 in der A-Systemrecheneinheit unter die betriebsfähige untere Grenzschwellenspannung 32 der A-Systemrecheneinheit abfällt, und eine Zeit Δt_B als Zeitpunkt definiert ist, von dem an die Stromeingangsschwankung 30 abfällt, bis die Spannungsschwankung 36 in der B-Systemrecheneinheit unter die betriebsfähige untere Grenzschwellenspannung 37 der B-Systemrecheneinheit abfällt, kann die Zeit durch den folgenden Vergleichsausdruck ausgedrückt werden. $0,9 V_{1} = V_{2} \times {1 - exp (- Δ t_{A} / R_{A} C_{A})} + V_{1} \times exp (- Δ t_{A} / R_{A} C_{A})$
$0,9 V_{1} = V_{2} \times {1 - exp (- Δ t_{B} / R_{B} C_{B})} + V_{1} \times exp (- Δ t_{B} / R_{B} C_{B})$
Aus dem obigen Vergleichsausdruck kann man die Zeit Δt_A und die Zeit Δt_B wie folgt erzielen. $Δ t_{A} = - R_{A} C_{A} ln {(0,9 V_{1} - V_{2}) / (V_{1} - V_{2})}$
$Δ t_{B} = - R_{B} C_{B} ln {(0,9 V_{1} - V_{2}) / (V_{1} - V_{2})}$
Wenn man ebenfalls davon ausgeht, dass f [Hz] als Frequenz der Betriebstakte 33 und 38 der jeweiligen Recheneinheiten des A-Systems und des B-Systems definiert ist, beträgt. die Länge eines Datenbits 1/f[s]. Um ein oder mehrere Differenzbits zwischen einem Startbit der fehlerhaften Ausgabedaten 35 der Ausgabedaten 34 in der A-Systemrecheneinheit und einem Startbit der fehlerhaften Ausgabedaten 40 der Ausgabedaten 39 in der B-Systemrecheneinheit zu erzeugen, muss der folgende Bestimmungsausdruck erfüllt sein. $\begin{array}{l} Δ t_{B} - Δ t_{A} = - R_{B} C_{B} ln {(0,9 V_{1} - V_{2}) / (V_{1} - V_{2})} + R_{A} C_{A} ln {(0,9 V_{1} - \\ V_{2}) / (V_{1} - V_{2})} > 1 / f \end{array}$
Aus dem obigen Bestimmungsausdruck können die jeweiligen Widerstandsbauteile und Kondensatorbauteile der A-System- und B-System-Schaltung . (andere Last als die jeweiligen Recheneinheiten des A-Systems und des B-Systems) ausgelegt werden, um den folgenden Vergleichsausdruck zu erfüllen. $R_{A} C_{A} - R_{B} C_{B} > 1 / [f \times ln {(0,9 V_{1} - V_{2}) / (V_{1} - V_{2})}]$
Um den obigen Vergleichsausdruck zuverlässig zu erreichen, kann eine vergleichbare Last für die Recheneinheit A (12) und die Recheneinheit B (13) an eine der Stromversorgungen (die Stromversorgung A (14) oder die Stromversorgung B (15) in 1) angeschlossen werden.
Bei der ausfallsicheren Verarbeitungsvorrichtung 11, die in 1 abgebildet ist, führen die Recheneinheit A (12) und die Recheneinheit B (13) die gleiche Berechnung aus. Dann überprüft die Ausgabesteuereinheit 17, ob mindestens entweder die Ausgabedaten 34 aus der Recheneinheit A (12) oder die Ausgabedaten 39 aus der Recheneinheit B (13) einen Fehler enthalten oder nicht. Falls es dann, wie in 4 abgebildet, auch nur ein Differenzbit zwischen den Ausgabedaten 34 der A-Systemrecheneinheit und den Ausgabedaten 39 der B-Systemrecheneinheit gibt, wenn eine Schwankung der Eingangsspannung von der Stromversorgung vorkommt, kann ein Fehler der Ausgabedaten erkannt werden, da die Recheneinheit A (12) und die Recheneinheit B (13) ihre Ausgabe gegenseitig überwachen.
Dadurch kann eine ausfallsichere Verarbeitungsvorrichtung bereitgestellt werden, bei der die Ausgabesteuereinheit 16 eine fehlerhafte Ausgabe von Daten aus der Recheneinheit A (12) und der Recheneinheit B (13) verhindern kann.
Zweite Ausführungsform
Eine zweite Ausführungsform der vorliegenden Erfindung differenziert die Stromversorgungskapazität unter den Stromversorgungseinheiten, die jede Recheneinheit, welche die ausfallsichere Verarbeitungsvorrichtung bildet, mit Strom versorgen. 4 ist eine Ansicht, die eine Konfiguration als zweite Ausführungsform abbildet, bei der in einer ausfallsicheren Doppelsystem-Verarbeitungsvorrichtung (1) die Stromversorgungseinheiten jeweils eine unterschiedliche Stromversorgungskapazität aufweisen.
Beispielsweise weist die Stromversorgung B (45) eine größere Stromversorgungskapazität als die der Stromversorgung A (14) auf. Selbst wenn somit eine Spannungsschwankung gleichzeitig in der Stromversorgung A (14) und der Stromversorgung B (45) vorkommt, kann die Differenz der Stromversorgungskapazität verhindern, dass die Recheneinheit A (12) und die Recheneinheit B (13) gleichzeitig die gleichen fehlerhaften Daten ausgeben.
Dritte Ausführungsform
Eine dritte Ausführungsform der vorliegenden Erfindung wendet ein dreifaches System als ausfallsichere Multisystem-Verarbeitungsvorrichtung an. 5 ist eine Konfigurationsansicht, die eine ausfallsichere Dreifachsystem-Verarbeitungsvorrichtung abbildet, bei der eine Stromversorgung C (54) und eine Recheneinheit C (52) hinzufügt werden. Die Recheneinheit C (52) führt zur gleichen Zeit die gleiche Berechnung wie die Recheneinheit A (12) und die Recheneinheit B (13) aus. Zusätzlich weisen die Recheneinheit A (12), die Recheneinheit B (13) und die Recheneinheit C (52) eine Funktion auf, um ihre Ausgabe gegenseitig zu überwachen und das gekoppelte System zurückzustellen.
Bei der in 5 abgebildeten Konfiguration versorgt die Stromversorgung C (54) nicht nur die Recheneinheit C (52) sondern auch die Ausgabesteuereinheit 16 und die andere Schaltung 18 mit Strom. Diese Konfiguration differenziert die Last zwischen der Last, wenn die Stromversorgung A (14) und die Stromversorgung B (15) jeweils die Recheneinheit A (12) und die Recheneinheit B (13) mit Strom versorgen, und der Last, wenn die Stromversorgung C (54) Strom liefert. Es ist ersichtlich, dass anstelle der Stromversorgung C (54) die Stromversorgung A (14) oder die Stromversorgung B (15) konfiguriert sein kann, um die Ausgabesteuereinheit 16 und die andere Schaltung 18 mit Strom zu versorgen.
Deshalb kann diese Konfiguration, selbst wenn eine Spannungsschwankung gleichzeitig in allen drei Stromversorgungen vorkommt, verhindern, dass die Recheneinheit A (12), die Recheneinheit B (13) und die Recheneinheit C (52) gleichzeitig die gleichen fehlerhaften Daten ausgeben.
Die Merkmale, Bauteile und spezifischen Einzelheiten der Strukturen der zuvor beschriebenen Ausführungsformen können ausgetauscht oder kombiniert werden, um weitere Ausführungsformen zu bilden, die für die jeweilige Anwendung optimiert sind. Soweit diese Änderungen für den Fachmann ersichtlich sind, sind sie implizit durch die obige Beschreibung offenbart, ohne dass jede mögliche Kombination ausdrücklich vorgegeben wird.

Claims

Ausfallsichere Verarbeitungsvorrichtung, umfassend: eine Vielzahl von Recheneinheiten (12, 13), die eine Funktion aufweisen, um gleichzeitig die gleiche Berechnung auszuführen und gegenseitig Ausgabedaten zu überwachen; eine Ausgabesteuereinheit (16), die eine Funktion aufweist, um die Ausgabedaten zeitweilig für jede der Recheneinheiten (12, 13) zu speichern und die gespeicherten Ausgabedaten für jede der Recheneinheiten (12, 13) gemäß einer Anweisung von einer der Vielzahl von Recheneinheiten nach außen abzugeben; und eine Vielzahl von Stromversorgungen (14, 15), die für jede der Recheneinheiten (12, 13) bereitgestellt werden, wobei eine von der Vielzahl von Stromversorgungen (14, 15) nicht nur die zugeordnete Recheneinheit (12, 13), sondern auch die Ausgabesteuereinheit (16) mit Strom versorgt.
Ausfallsichere Verarbeitungsvorrichtung nach Anspruch 1, wobei mindestens eine von der Vielzahl von Stromversorgungen (14, 15) eine andere Stromversorgungskapazität als die der anderen Stromversorgungen (14, 15) aufweist.
Ausfallsichere Verarbeitungsvorrichtung nach Anspruch 1 oder 2, wobei falls die gegenseitig überwachten Ausgabedaten übereinstimmen, eine von der Vielzahl von Recheneinheiten (12, 13) die Anweisung an die Ausgabesteuereinheit (16) erteilt.
Ausfallsichere Verarbeitungsvorrichtung nach einem der Ansprüche 1 bis 3, wobei jede von der Vielzahl von Recheneinheiten (12, 13) eine Funktion aufweist, ein Rücksetzsignal an die andere von der Vielzahl von Recheneinheiten (12, 13) zu senden.
Ausfallsichere Verarbeitungsvorrichtung nach Anspruch 4, wobei falls die gegenseitig überwachten Ausgabedaten nicht übereinstimmen, jede von der Vielzahl von Recheneinheiten (12, 13) das Rücksetzsignal sendet.
Ausfallsichere Verarbeitungsvorrichtung nach Anspruch 4 oder 5, wobei wenn das Rücksetzsignal empfangen wird, jede von der Vielzahl von Recheneinheiten (12, 13) ihre eigene Berechnung unterbricht.