JP2001513236A - 検定済のチャネルおよび非検定済のチャネルを有する冗長に構成された電子装置 - Google Patents

Abstract

(57)【要約】 少なくとも２チャネルの同種の冗長に構成された電子装置（ＥＧ）、特に２チャネルの同種の冗長に構成されたプログラマブル論理装置において、電子装置（ＥＧ）が少なくとも１つの検定済のチャネル（Ａ）および少なくとも１つの非検定済のチャネル（Ｂ）を有し、その際に検定済のチャネル（Ａ）が系統的誤りが十分に存在しないチャネルであり、またその際に非検定済のチャネル（Ｂ）のなかに系統的誤りが十分に存在しないことが明示的に証明されていない構成要素が使用可能である。

Description

【発明の詳細な説明】 検定済のチャネルおよび非検定済のチャネルを有する冗長に構成された電子装置 本発明は少なくとも２チャネルに構成された電子装置、特に２チャネルに構成 されたプログラマブル論理装置に関し、その際にこのプログラマブル論理装置は たとえばプログラム記憶式制御装置の中央ユニットであり得る。 安全性が重要な課題に対しては、高度に「安全作動する」電子装置が必要とさ れる。その際に「安全作動する」という表現は国際文書ドラフトＩＥＣ１５０８ の表現“ｆｕｎｃｔｉｏｎａｌ ｓａｆｅｔｙ”に準拠して選ばれた。 安全作動する電子装置は、誤りおよび故障を回避し、認識し、かつ抑制するた めの特別な措置が講じられていることにより優れている。 誤りおよび故障の回避、認識および抑制のための通常の方法は、それぞれのチ ャネルのなかで等しい作動が並列に実行されるように電子装置をマルチチャネル に冗長に構成することである。結果または出力値の比較により、チャネルの１つ のなかに誤りが出現しているか否かが認識される。 安全作動する動作の保証のために特に重要な特定の群の誤りは、チャネルのサ ブアセンブリ、モジュールまたは構成要素のいわゆる系統的な誤りである。この ような誤りは、たとえば論理的構造、すなわち個々の構成要素およびサブアセン ブリの相互接続またはそれぞれ応用された製造プロセスにより条件付けられるそ れらの物理的特性に基づくものであり得る。予定されている応用に対して系統的 な誤りの十分な不存在は広範な検定措置により証明される。 半導体テクノロジーの今日の急速な発展に際しては、製造プロセスは既に短時 間の後に変更される。その結果、当該の構成要素およびサブアセンブリに対して その系統的な誤りの不存在が何度も新たに証明されなければならない。なぜなら ば、安全作動するものとして格付けされたシステムのなかでのこのような構成要 素およびサブアセンブリの作動は広範な検定措置の後にのみ許されるからである 。 半導体分野での急速な技術革新サイクルは、この検定がたとえば各々の新しい マイクロプロセッサ世代または各々の新しいメモリモジュール世代により新たに 実行されなければならないという結果をもたらしており、その際に証明プロセス に対して予定しなければならない時間は、検査および／または作動の信頼性の証 明のために予定しなければならない時間に基づいて、新しい種類のモジュールが 、初めて安全性が重要な応用に対して、著しく遅れて使用され得ることに通ずる 。 従って本発明の課題は、同種の冗長なチャネルを有する安全性が重要なシステ ムのなかで、系統的な誤りの十分な不存在がまだ証明されていないサブアセンブ リ、モジュールまたは構成要素を作動させることが可能である電子装置を提供す ることである。 この課題は、少なくとも２チャネルの同種の冗長に構成された電子装置、特に ２チャネルの同種の冗長に構成されたプログラマブル論理装置において、電子装 置が少なくとも１つの検定済のチャネルおよび少なくとも１つの非検定済のチャ ネルを有し、その際に検定済のチャネルが系統的誤りが十分に存在しないチャネ ルであることを特徴とする電子装置により解決される。 この関連で、系統的誤りが十分に存在しないチャネルとは、そのチャネルの機 能不発揮の確率が特定の時間にわたって、それぞれの応用により影響される特定 のしきい値、たとえば国際文書ドラフトＩＥＣ１５０８によるしきい値であり得 るしきい値を超過しないようなチャネルとして理解される。 各々のチャネルに対して照会可能な標識が設けられており、その際に検定済の チャネルに対する標識の照会の際に第１の標識が、または非検定済のチャネルに 対して第２の標識が確認可能であり、その際に電子装置がその作動を、個々のチ ャネルの標識の照会の際に少なくとも１回は第１の標識が存在するときにのみ開 始する。それによって、電子装置に対して、少なくとも２チャネルに構成されて いる電子装置のチャネルの少なくとも１つが系統的誤りが十分に存在しないチャ ネル、すなわち検定済のチャネル、であることが保証されているときにのみ電子 装置がその作動を開始することを保証する自己検査が実現されている。 個々のチャネルの標識の照会が順次に行われるならば、チャネルのどちらが系 統的誤りが十分に存在しないチャネル、すなわち検定済のチャネル、であり、ま たチャネルのどちらが系統的誤りが十分に存在しなくはないチャネル、すなわち 非検定済のチャネル、であるかが一義的に確認可能である。 非検定済のチャネルの標識が電子装置の作動の際に、設定可能な認識された誤 りが存在しない時間の後に、チャネルを非検定済として特徴付ける第２の標識か ら、チャネルを検定済として特徴付ける第１の標識へ切換可能であれば、それま でに検定されていないチャネルの十分な作動継続時間および作動特性の評価の後 にこのチャネル自体が参照チャネルとして使用可能であり、従って、もちろん未 だ検定されていない次の次の世代の電子装置、モジュール、構成要素またはサブ アセンブリが、予めその誤りが存在しないことを証明する必要なしに、使用され 得る。 その他の利点および本発明の詳細は図面による実施例の以下の説明から、また 従属する請求の範囲と結び付けて明らかになる。 図１はプログラム記憶式制御装置の２チャネルの同種の冗長に構成された中央 ユニットのブロック回路図である。 図１によれば電子装置ＥＧは、プログラム記憶式制御装置の２チャネルの同種 の冗長に構成された中央ユニットである。ここで同種の冗長とは、個々のチャネ ルが対称に少なくとも機能的に等しいモジュール、構成要素およびサブアセンブ リにより構成されているという事実を指している。 図１による実施例では、チャネルＡはマイクロプロセッサＰ、プログラムメモ リＩおよびデータメモリＲを有する。マイクロプロセッサＰの作動は監視ユニッ トＷ、いわゆるウォッチドッグ、により監視される。チャネルＢはチャネルＡに 対して同種の冗長なチャネルとして構成されており、このことは特にそれぞれ等 しい参照符号を付されている等しい構成要素Ｐ、Ｉ、Ｒにより明らかにされてい る。 チャネルＡは、それぞれの構成要素、モジュールおよびサブアセンブリが既に 検定されており、従って系統的誤りの不存在が十分に証明されている構成要素Ｐ 、Ｉ、Ｒ、Ｗから構成されていなければならない。それによってチャネルＡは全 体として系統的誤りが十分に存在しないチャネルＡであるとみなされる。 チャネルＢのなかには、たとえば新しい製造プロセスまたは変更された製造プ ロセスに基づいてなんらかの仕方で変更され、また系統的誤りの不存在が未だ十 分に証明されていないバージョンの１つまたはそれ以上の構成要素Ｐ、Ｉ、Ｒ、 Ｗが使用される。 当該のモジュール、構成要素およびサブアセンブリのなかで、場合によっては 存在している系統的誤りが効力を生ずると、これらはチャネルＡとチャネルＢと の間の結合Ｋを介して実行可能であるチャネルＡとの結果比較により認識され、 またこうして抑制され得る。 それによって、冗長な電子装置ＥＧのチャネルＡ、Ｂのなかの安全特性の悪化 なしに、未だ検定されていないので、その誤りの不存在が未だ十分に証明されて いないモジュール、構成要素またはサブアセンブリを使用することが可能である 。 結果比較により、たとえばそれぞれの電子的なモジュール、構成要素またはサ ブアセンブリの物理的特性により、または変更された製造または組立プロセスに より惹起されている系統的誤りが認識される。 本発明による電子装置ＥＧは、このような装置の提供者に対して、たとえば半 導体産業の技術革新サイクルに直接的に反応し、また安全作動するシステムのな かに常に現在の開発状況に相当するモジュール、構成要素またはサブアセンブリ を、たといそれらの系統的誤りの十分な不存在がそれまでに検定により未だ明示 的に証明されていないとしても、提供することを許す。 この関連で、本発明による方法または本発明による電子装置ＥＧにより、この 検定を暗示的に達成し得ることは特に有利であるとみなされる。 この目的で、電子装置ＥＧの各々のチャネルＡ、Ｂに対して、それぞれのチャ ネルＡ、Ｂが系統的誤りが十分に存在しないとみなされ得るか否かについての情 報を与える標識が管理される。特定の、特に利用者により自由に選択可能な時間 の間に、電子装置ＥＧの作動中にそれまでに検定されていないチャネルＡ、Ｂの なかで系統的誤りが認識されなかったときには、この標識は“非検定済”から“ 検定済”へ切換可能であり、従って、それまでに明示的に検定されてはいないが 、その系統的誤りの不存在が具体的な作動中に十分に証明されているチャネルも 明示的に検定されているチャネルのように使用され得る。 このことは特に電子装置ＥＧのなかに、このいまや“オンライン検定されるチ ャネル”と一緒に別の冗長なチャネルＡ、Ｂのなかに次の次の世代の半導体要素 のモジュール、サブアセンブリまたは構成要素をも使用し、またその後に上記の 過程に相応してこれらの構成要素に対しても可能な限りそれらの系統的誤りの十 分な不存在を証明することを可能にする。 それによって本発明による電子装置ＥＧの使用または本発明による方法の応用 は、いつでも、さもなければ時間のかかる検定プロセスの後に初めて安全性が重 要なシステムのなかでの応用を許される最新のモジュール、サブアセンブリまた は構成要素の使用を可能にする。

Claims (1)

1. 【特許請求の範囲】 １．少なくとも２チャネルの同種の冗長に構成された電子装置（ＥＧ）、特に２ チャネルの同種の冗長に構成されたプログラマブル論理装置において、電子装置 （ＥＧ）が少なくとも１つの検定済のチャネル（Ａ）および少なくとも１つの非 検定済のチャネル（Ｂ）を有し、その際に検定済のチャネル（Ａ）が系統的誤り が十分に存在しないチャネルであることを特徴とする電子装置。 ２．各々のチャネル（Ａ、Ｂ）に対して照会可能な標識が設けられており、その 際に検定済のチャネル（Ａ）に対する標識の照会の際に第１の標識（Ｔ）が、な いしは非検定済のチャネル（Ｂ）に対して第２の標識（Ｆ）が確認可能であり、 その際に電子装置（ＥＧ）がその作動を、個々のチャネル（Ａ、Ｂ）の標識の照 会の際に少なくとも１回は第１の標識（Ｔ）が存在するときにのみ開始すること を特徴とする請求の範囲１に記載の電子装置。 ３．個々のチャネル（Ａ、Ｂ）の標識の照会が順次に行われることを特徴とする 請求の範囲２に記載の電子装置。 ４．非検定済のチャネル（Ｂ）の標識が、設定可能な認識された誤りが存在しな い時間の後に、第２の標識（Ｆ）から第１の標識（Ｔ）へ切換可能であることを 特徴とする請求の範囲２または３に記載の電子装置。 ５．少なくとも２チャネルの同種の冗長に構成された電子装置（ＥＧ）、特に２ チャネルの同種の冗長に構成されたプログラマブル論理装置を作動させる方法に おいて、電子装置（ＥＧ）が少なくとも１つの検定済のチャネル（Ａ）および少 なくとも１つの非検定済のチャネル（Ｂ）を有し、その際に検定済のチャネル（ Ａ）が系統的誤りが十分に存在しないチャネルであることを特徴とする電子装置 の作動方法。 ６．各々のチャネル（Ａ、Ｂ）に対して照会可能な標識が設けられており、その 際に検定済のチャネル（Ａ）に対する標識の照会の際に第１の標識（Ｔ）が、な いしは非検定済のチャネル（Ｂ）に対して第２の標識（Ｆ）が確認可能であり、 その際に電子装置（ＥＧ）がその作動を、個々のチャネル（Ａ、Ｂ）の標識の照 会の際に少なくとも１回第１の標識（Ｔ）が出現するときにのみ開始することを 特徴とする請求の範囲５に記載の方法。 ７．個々のチャネル（Ａ、Ｂ）の標識の照会が順次に行われることを特徴とする 請求の範囲６に記載の方法。 ８．非検定済のチャネル（Ｂ）の標識が、設定可能な認識された誤りが存在しな い時間の後に、第２の標識（Ｆ）から第１の標識（Ｔ）へ切換可能であることを 特徴とする請求の範囲６または７に記載の方法。