JP2002032239A - 多重化システム - Google Patents

Abstract

(57)【要約】 【課題】 実行系の電源遮断時、全系電源ダウンを回避
するため、電源スイッチ操作ミスがあっても、待機系の
電源が誤遮断されないようにする。実行系の電源遮断，
ＤＣＭバスやメモリバスの異常発生，実行系の計画切替
え動作などにより不定データ期間が存在する場合、共有
メモリ内の不定データ転送を防止する。 【解決手段】 ＣＰＵ装置および電源装置を含む実行系
と待機系とからなる多重化システムにおいて、各系のＣ
ＰＵ装置100が、自系電源010および相手系電源020の状
態を監視し電源保護制御信号を出力する他系監視部121
を備え、各系の電源装置が、少なくとも自系電源スイッ
チ014の操作状況および電源保護制御信号に応じてＡＣ
入力013を遮断する(図示しない)電源遮断スイッチ017を
含む電源保護部015を備え、電源保護制御信号は、相手
系電源020が切れている時に、電源スイッチ014の操作状
況にかかわらず自系電源遮断スイッチ017をＯＮに保持
させる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、実行系および待機
系を有する多重化システムに係り、特に、実行系から待
機系に共有データを転送して、待機系が共有データのパ
ターンをチェックし、系を相互に監視し健全性を確認す
る多重化システムの制御に関する。

【０００２】

【従来の技術】実行系および待機系を有する従来の二重
化システムにおいては、実行系の電源断時に、電源が正
常に動作している待機系に系を切替え、待機系からの指
示や指令により、プラントまたは制御対象への運転，監
視動作を継続していた。

【０００３】また、ローカルメモリの一部を共有メモリ
として割り当て、実行系ＣＰＵ装置が、共有メモリに書
き込むデータを専用一致化バス(ＤＣＭバス)を経由して
待機系ＣＰＵ装置に転送し、両系の共有データを一致化
する二重化システムの一致化方式を利用して、待機系の
ＣＰＵ装置が、実行系ＣＰＵ装置の共有メモリ内データ
パターンをチェックし、互いに健全性をチェックしてい
た。

【０００４】待機系ＣＰＵ装置が、実行系の健全性をチ
ェックする手段として、待機系のソフトウエアが、実行
系ＣＰＵ装置に対して共有データを転送するように転送
要求信号を発行し、実行系共有メモリ内のデータパター
ンを取得していた。これらのソフトウエアによる転送要
求は、データ取得の必要に応じてなされている。

【０００５】さらに、実行系の停電時または電源スイッ
チ操作による電源遮断時に、停電予告信号(ＰＯＰ信号)
に基づいて生成するメモリ保護要求信号に応じて、メモ
リバスを電気的に切離し、外部リフレッシュ制御部が、
セルフリフレッシュ動作を起動し、メモリをバックアッ
プするメモリ内容保持方式がある。

【０００６】この方式では、停電時に、実行系ＣＰＵ装
置が、ローカルメモリのデータバックアップ処理および
停電処理を実行し、実行系の電源装置からの停電信号
(ＰＡＶＬ信号)が、ＤＣＭ制御部の動作を停止させてＤ
ＣＭバスを電気的に切離すまでは、ＤＣＭバスを経由す
る待機系からの転送要求に応じて、共有メモリ内データ
を待機系ＣＰＵ装置に転送する動作を継続する。

【０００７】なお、停電時の二重化システムの停電処理
に関する技術として、特開平6−318160号公報は、実行
系プロセッサが、実行系電源断による停電予告信号出力
に基づいて、割り込み処理として停電処理を実行し、内
部レジスタ情報を含む共有データを待機系に転送すると
ともに、実行系を停止状態に遷移させる方式を示してい
る。しかし、電源スイッチ操作ミスによる両系電源ダウ
ン対策を示していない。

【０００８】また、特開平9−305424号公報は、実行系
ＣＰＵ装置が、共有メモリに書き込むデータをＤＣＭバ
スを経由して待機系ＣＰＵ装置に転送し、両系の共有デ
ータを一致化する二重化システムの一致化方式を示して
いる。

【０００９】

【発明が解決しようとする課題】図８は、従来の二重化
システムにおけるＣＰＵ装置１００の内部構成を示すブ
ロック図である。二重化システムの実行系ＣＰＵ装置１
００は、プログラムやデータを格納するローカルメモリ
１１０と、待機系へのデータ転送を制御するバッファ１
２２を備えるＤＣＭ制御部１２０と、実行系ＣＰＵ装置
１００と待機系ＣＰＵ装置２００とを接続する共通バス
であるＤＣＭバス３００と、ローカルメモリ１１０とＤ
ＣＭ制御部１２０とを接続するメモリバス１１２と、電
源装置０１０からの停電予告信号０１１に基づいてメモ
リバス１１２を接続／遮断する指令信号を出力するタイ
ミング生成回路１４０と、停電時にメモリバス１１２を
切離した後にＤＲＡＭ，ＳＤＲＡＭなどのローカルメモ
リ１１０のバックアップ手段としてセルフリフレッシュ
動作を制御する外部リフレッシュ制御部１６０と、ＣＰ
Ｕ装置１００内部への各指令および制御動作を実行する
プロセッサ１５０とから構成される。

【００１０】プロセッサ１５０は、ＣＰＵ装置１００内
のローカルメモリ１１０全エリアに対して、読み出し／
書き込みできる。

【００１１】待機系ＣＰＵ装置２００は、ローカルメモ
リ１１０内の一部エリアに対して、プロセッサ１５０を
介さず、ＤＣＭバス３００およびＤＣＭ制御部１２０を
経由して、データの読み出し／書き込みができる。

【００１２】ローカルメモリ１１０は、メモリの一部の
領域を上限アドレス，下限アドレス値として設定した
後、プロセッサ１５０から本領域すなわち共有メモリ１
１１に書き込むと、ＤＣＭ制御部１２０のバッファ１２
２にデータが格納され、ＤＣＭ制御部１２０は、格納さ
れたデータを待機系のＣＰＵ装置２００に転送し、両系
の共有メモリ１１１内のデータを一致化させる機能を備
えている。

【００１３】図９は、従来の二重化システムにおける停
電後の動作タイミングを示すタイミングチャートであ
る。

【００１４】実行系停電時の電源断に伴いＡＣ入力０１
３が断たれた後、実行系電源装置０１０は、停電予告信
号０１１をＣＰＵ装置１００に出力し、一定時間後に停
電信号０１２を出力する。停電信号０１２出力までは、
電源装置０１０内のコンデンサに蓄えられている電荷で
ＣＰＵ装置１００に対して電源を供給できるが、停電信
号０１２出力後は、電源装置０１０からの電源電圧が低
下するため、しばらくすると、ＣＰＵ装置１００に電源
を供給できなくなり、動作不可能となる。

【００１５】ＣＰＵ装置１００が、停電予告信号０１１
を検出すると、タイミング生成回路１４０は、一定時間
後にメモリ保護要求信号１４１を出力する。メモリ保護
要求信号１４１により、ＤＣＭ制御部１２０とローカル
メモリ１１０とを接続するメモリバス１１２を電気的に
切離し、外部リフレッシュ制御部１６０に接続を切替え
る。

【００１６】外部リフレッシュ制御部１６０は、切替え
後、セルフリフレッシュ動作を起動し、ローカルメモリ
１１０内の内容保持動作を実行する。また、プロセッサ
１５０は、停電予告信号０１１を割り込み信号として受
信すると、停止処理する。

【００１７】さらに、一定時間後にＣＰＵ装置１００
は、停電信号０１２を検出すると、ＤＣＭ制御部１２０
内の切替えスイッチをＯＦＦし、ＤＣＭ制御部１２０と
ＤＣＭバス３００とを切離す。

【００１８】ＤＣＭバス３００切離し後は、待機系ＣＰ
Ｕ装置２００と電気的に遮断されることになり、待機系
への共有メモリ１１１内データ転送は、不可能となる。

【００１９】共有メモリ１１１内のデータの転送方式に
は、２つの方式がある。第一の方式は、ローカルメモリ
１１０内の共有メモリ１１１に実行系ＣＰＵ装置１００
プロセッサ１５０が、ソフトウエア処理内容に基づき、
データを書き込んだ場合に、待機系に対して書き込んだ
データを転送する方式である。第二の方式は、実行系Ｃ
ＰＵ装置１００のＤＣＭ制御部１２０が、他系ＣＰＵ装
置２００からＤＣＭバス３００を経由して転送要求信号
３０１または転送要求パターン３０１を受信した場合
に、実行系ローカルメモリ１１０の共有メモリ１１１内
データを待機系に転送する方式である。

【００２０】第二の方式については、待機系ＣＰＵ装置
２００のソフトウエアは、実行系ＣＰＵ装置１００の共
有メモリ１１１内データ取得のために転送要求信号３０
１(またはデータパターン)を発行し、ＤＣＭ制御部１２
０が、転送要求信号３０１を受信すると、マスタ動作と
なり、ローカルメモリ１１０内の共有メモリ１１１内の
データを読み込み、読み込んだデータをＤＣＭバス３０
０経由で待機系に転送して書き込む。

【００２１】しかし、この従来方式では、実行系電源装
置０１０が遮断された後に、待機系電源装置０２０が遮
断された場合に、両系電源ダウンとなり、プラントまた
は制御対象への運転を停止させてしまうという問題があ
った。

【００２２】また、待機系のＣＰＵ装置２００のソフト
ウエア処理が、実行系電源装置０１０の停電予告信号０
１１を監視していた場合、停電予告信号０１１の検出に
基づいて転送要求信号３０１を発行することを止める方
式を採用しても、発行周期やタイミングによっては、メ
モリバス１１２切離しによる不定データ期間中に、待機
系ＣＰＵ装置２００から転送要求信号３０１が重なり、
実行系ＤＣＭ制御部１２０が共有メモリ１１１への読み
出し動作を実行するため、不定データを待機系ＣＰＵ装
置２００に転送してしまうという問題があった。

【００２３】さらに、実行系ＣＰＵ装置１００のプロセ
ッサ１５０は、停電予告信号０１１を割り込み信号とし
て受信した時に、割り込み処理(停止処理)を実行するた
め、割り込み処理発生で制御処理能力低下などによる影
響を招くので、その改善が求められている。

【００２４】このように、従来の実行系における停電を
原因とする電源遮断時に、待機系の電源が正常な場合
は、制御を正常に引き継ぎできるが、待機系の電源が遮
断されている場合には、両系の電源がオフするため、両
系電源ダウンとなり、制御を継続できなくなってしま
う。

【００２５】これらのケースは、電源スイッチ操作ミス
により発生する可能性もある。

【００２６】また、実行系電源装置が停電信号によって
ＤＣＭバスを遮断する前のタイミングに、不定データ期
間が存在する。この期間は、メモリ保護要求信号により
メモリバスを切離すと発生する。この期間中に、待機系
ＣＰＵ装置からの共有メモリ内データ取得のための転送
要求タイミングと、実行系ＣＰＵ装置内の前記不定デー
タ期間とが、重なった場合、実行系の不定データを待機
系ＣＰＵ装置に転送する。その結果、待機系ＣＰＵ装置
は、誤ったデータパターンを受け取り、一致化データの
不整合によるエラーと誤検出してしまう。

【００２７】待機系が実行系の停電予告信号を監視する
手段を採用しても、待機系のソフトウエア処理が、停電
予告信号を検出したタイミングに基づいて転送要求を発
行すると、不定データ期間との重なりを完全に回避する
ことが困難であり、それらを解決する方式が必要であ
る。

【００２８】本発明の目的は、実行系の電源遮断時に、
多重化システムの全系電源ダウンを回避するために、電
源スイッチ操作ミスなどがあっても、待機系の電源が誤
って遮断されないように電源を保護する手段を備えた多
重化システムを提供することである。

【００２９】本発明の他の目的は、実行系の電源遮断，
ＤＣＭバスやメモリバスの異常発生，実行系の計画切替
え動作などを原因として不定データ期間が存在する場
合、共有メモリ内の不定データ転送を防止する手段を備
えた多重化システムを提供することである。

【００３０】

【課題を解決するための手段】本発明は、上記目的を達
成するために、それぞれにＣＰＵ装置および少なくとも
１台の電源装置を含む実行系と待機系とからなる多重化
システムにおいて、各系のＣＰＵ装置が、自系電源およ
び相手系電源の状態を監視し電源保護制御信号を出力す
る他系監視部を備え、各系の電源装置が、少なくとも自
系電源スイッチの操作状況および電源保護制御信号に応
じてＡＣ入力を遮断する電源遮断スイッチを含む電源保
護部を備え、電源保護制御信号が、相手系電源が切れて
いる時には電源スイッチの操作状況にかかわらず自系電
源遮断スイッチをＯＮに保持させる制御信号である多重
化システムを提案する。

【００３１】他系監視部は、自系電源装置を制御するコ
ントロールレジスタと、自系停電予告信号状態および相
手系停電予告信号状態が反映されるステータスレジスタ
とを含み、電源保護部は、電源スイッチと相手系停電予
告信号と他系監視部からの電源保護制御信号との論理積
を演算するＡＮＤ回路と、ＡＮＤ回路の出力に応じてＡ
Ｃ入力を遮断する電源遮断スイッチとを含む。

【００３２】本発明は、上記他の目的を達成するため
に、実行系から待機系に共有データ情報を一致化バス
(ＤＣＭバス)を経由して共有データ情報を転送し全系の
メモリ内容を一致化させる共有データ一致化回路(ＤＣ
Ｍ制御部)を備え、待機系ＣＰＵ装置が実行系ＣＰＵ装
置内の共有データを取得するために転送要求信号を発行
し、実行系ＣＰＵ装置から待機系ＣＰＵ装置に共有デー
タを転送しメモリ内容を一致化させる多重化システムに
おいて、実行系のＤＣＭ制御部が、待機系からの転送要
求タイミングと実行系の停電，異常，計画切替えなどの
事象とが重なり不定データが転送される場合に、待機系
に対して実行系の系切替え処理内容に対応した応答コマ
ンドを出力する制御部である多重化システムを提案す
る。

【００３３】待機系ＣＰＵ装置は、実行系の系切替え処
理中に転送要求を発行した後に実行系からの受信した応
答コマンドにより、系切替え時に一致化データが不整合
となり得る期間中の転送アクセスであると判定した場合
に、アクセスによる転送データを無効とする。

【００３４】ＤＣＭ制御部は、電源装置からの電源断を
示す停電予告信号とＤＣＭバス上でアクセスされている
動作状態を監視する他系監視部を備え、他系監視部は、
実行系電源断に伴い電源装置から出力される停電予告信
号に基づいてＤＣＭバスのアクセス状態を監視し、待機
系からの転送要求により共有データを転送してＤＣＭバ
スが占有状態であると判断した場合、アクセスが終了す
るまでは待機し、アクセスが終了したと判定した後に実
行系のメモリバックアップ動作に移行し、メモリバック
アップ動作への切替えとＤＣＭアクセス動作とを同期化
させる監視部である。

【００３５】待機系ＣＰＵ装置は、電源装置からの電源
断を示す停電予告信号検出後、相手系から共有情報の転
送要求を受信した場合に、メモリバックアップを許可す
る信号を出力すると同時にＤＣＭバスを切離す指令信号
を出力し、メモリバックアップ動作に移行する前のタイ
ミングで相手系を遮断し、ＤＣＭバス切離し後に転送要
求を受信した相手系に対して無応答とする。

【００３６】本発明は、また、実行系から待機系に共有
データ情報を一致化バス(ＤＣＭバス)を経由して共有デ
ータ情報を転送し全系のメモリ内容を一致化させる共有
データ一致化回路(ＤＣＭ制御部)を備え、待機系ＣＰＵ
装置が実行系ＣＰＵ装置内の共有データを取得するため
に転送要求信号を発行し、実行系ＣＰＵ装置から待機系
ＣＰＵ装置に共有データを転送しメモリ内容を一致化さ
せる多重化システムにおいて、実行系のＤＣＭ制御部
が、ＤＣＭバスまたはメモリバス上での異常が発生し、
待機系からの転送要求タイミングと実行系のバス異常の
事象とが重なり、不定データが転送されるおそれがある
場合に、データ転送サイクル中にＤＣＭバスを切離し、
待機系に対して実行系ＣＰＵ装置のバス異常であること
を示す応答コマンドを出力する制御部である多重化シス
テムを提案する。

【００３７】本発明は、さらに、実行系から待機系に共
有データ情報を一致化バス(ＤＣＭバス)を経由して共有
データ情報を転送し全系のメモリ内容を一致化させる共
有データ一致化回路(ＤＣＭ制御部)を備え、待機系ＣＰ
Ｕ装置が実行系ＣＰＵ装置内の共有データを取得するた
めに転送要求信号を発行し、実行系ＣＰＵ装置から待機
系ＣＰＵ装置に共有データを転送しメモリ内容を一致化
させる多重化システムにおいて、実行系のＤＣＭ制御部
が、待機系からの転送要求タイミングと実行系の計画切
替えの事象とが重なり、不定データが転送されるおそれ
がある場合に、待機系に対して実行系の計画切替え中で
あることを示す応答コマンドで報告する制御部である多
重化システムを提案する。

【００３８】本発明によれば、多重化システムのそれぞ
れの系に電源を有し、実行系の電源装置の電源が遮断さ
れた状態で待機系に切替えようとする場合に、待機系の
電源スイッチにより待機系の電源が遮断されないように
保護する機構を備えたので、操作ミスや人為的ミスなど
による全系の同時電源ダウンを防止できる。

【００３９】また、ソフトウエア処理により電源状態を
監視し、停電予告状態を検出したらＣＰＵ装置内部を調
停し、電源リセットおよび保護を制御ができるので、従
来の割り込み方式と比較して、ソフトウエア処理を優先
し、通常の制御処理への影響をなくすることができる。

【００４０】さらに、健全性を確認するために健全性デ
ータを互いに転送する二重化システムにおいて、待機系
ＣＰＵ装置のソフトウエア処理により実行系から健全性
データを取得するため転送要求信号を発行し、実行系の
停電，バス異常，系計画切替え発生時に不定データが転
送されようとする場合、待機系に停電，バス異常，系計
画切替え発生に対応した応答コマンドで報告し、不定デ
ータを待機系に転送してしまうことをハードウエア的に
防止できる。

【００４１】したがって、待機系ＣＰＵ装置が、実行系
ＣＰＵ装置から転送された予期しない不定データを受信
しないので、一致化データの不整合による実行系ＣＰＵ
装置およびＤＣＭバス上のエラーとして誤検出すること
がなくなり、多重化システムで相互を正常に監視でき
る。

【００４２】

【発明の実施の形態】次に、図１ないし図７を参照し
て、本発明による多重化システムの実施形態を説明す
る。

【００４３】ここでは二重化システムを例として本発明
を説明するが、本発明は、三重化以上の多重化システム
においても有効である。その場合に、二重化システムに
おける両系電源ダウン事象は、全系電源ダウン事象とい
うことになる。

【００４４】また、各系の電源装置は、多重化されてい
てもよい。すなわち、実行系または待機系のいずれの系
も、複数台の電源装置を含んでいる場合がある。

【００４５】

【実施形態１】図１は、本発明による二重化システムの
実施形態の全体構成を示す系統図である。図２は、本発
明による二重化システムの実施形態１における電源装置
０１０およびＣＰＵ装置１００の内部構成を示すブロッ
ク図である。二重化システムの実行系ＣＰＵ装置１００
は、プログラムやデータを格納するローカルメモリ１１
０と、待機系へのデータ転送を制御するバッファ１２２
を備えるＤＣＭ制御部１２０と、実行系ＣＰＵ装置１０
０と待機系ＣＰＵ装置２００とを接続する共通バスであ
るＤＣＭバス３００と、ローカルメモリ１１０とＤＣＭ
制御部１２０とを接続するメモリバス１１２と、電源装
置０１０からの停電予告信号０１１に基づいてメモリバ
ス１１２を接続／遮断する指令信号を出力するタイミン
グ生成回路１４０と、停電時にメモリバス１１２を切離
した後にＤＲＡＭ，ＳＤＲＡＭなどのローカルメモリ１
１０のバックアップ手段としてセルフリフレッシュ動作
を制御する外部リフレッシュ制御部１６０と、ＣＰＵ装
置１００内部への各指令および制御動作を実行するプロ
セッサ１５０とから構成される。

【００４６】プロセッサ１５０は、ＣＰＵ装置１００内
のローカルメモリ１１０全エリアに対して、読み出し／
書き込みできる。

【００４７】待機系ＣＰＵ装置２００は、ローカルメモ
リ１１０内の一部エリアに対して、プロセッサ１５０を
介さず、ＤＣＭバス３００およびＤＣＭ制御部１２０を
経由して、データの読み出し／書き込みができる。

【００４８】ローカルメモリ１１０は、メモリの一部の
領域を上限アドレス，下限アドレス値として設定した
後、プロセッサ１５０から本領域すなわち共有メモリ１
１１に書き込むと、ＤＣＭ制御部１２０のバッファ１２
２にデータが格納され、ＤＣＭ制御部１２０は、格納さ
れたデータを待機系のＣＰＵ装置２００に転送し、両系
の共有メモリ１１１内のデータを一致化させる機能を備
えている。

【００４９】本実施形態の電源装置０１０の構成および
出力信号(停電予告信号０１１，停電信号０１２)の出力
タイミングや、ＣＰＵ装置１００内の基本的構成は、図
８の従来回路とかなり共通している。

【００５０】しかし、本実施形態１は、ＤＣＭ制御部１
２０内に他系監視部１２１を追加して設置し、電源装置
０１０内に電源保護部０１５を新たに設けた点が、従来
と大きく異なる。

【００５１】他系監視部１２１は、自系電源装置０１０
を制御するコントロールレジスタ１２４と、自系停電予
告信号０１１状態(自系ＰＯＰ)および相手系停電予告信
号０２１状態(相手系ＰＯＰ)が反映されるステータスレ
ジスタ１２５とからなり、それらは、ＣＰＵ装置１００
のソフトウエア処理に基づくプロセッサ１５０からの指
示により操作される。

【００５２】電源装置０１０内に電源保護部０１５は、
手動操作される電源スイッチ０１４と相手系停電予告信
号０２１と他系監視部１２１からの電源保護制御信号と
の論理積を演算するＡＮＤ回路０１９と、ＡＮＤ回路１
９の出力に応じてＡＣ入力０１３を遮断する電源遮断ス
イッチ０１７と、電荷を保持するコンデンサ１８とを含
んでおり、定常状態において、ＣＰＵ装置１００に電源
電圧ＶCC０１６を供給する。

【００５３】したがって、自系(実行系)の電源スイッチ
０１４の操作などによる電源断時においても、待機系電
源装置０２０の電源遮断を防ぎ、両系電源ダウンを防止
できる。

【００５４】実行系ＣＰＵ装置１００のソフトウエア
は、他系監視部１２１内のステータスレジスタ１２５を
監視する。例えば、実行系電源装置０１０の電源スイッ
チ０１４を押して電源を遮断する時、待機系電源装置０
２０の電源が、生きている状態の場合、他系監視部１２
１のステータスレジスタ１２５においては、実行系ＰＯ
Ｐ＝‘ＯＦＦ’待機系ＰＯＰ＝‘ＯＮ’となり、ソフト
ウエアがこの状態を検出した場合には、実行系電源断処
理に入る。

【００５５】具体的には、コントロールレジスタ１２４
に対してソフトウエアが、自系電源ＣＴＬ＝‘リセッ
ト’と設定すると、電源保護制御信号１２６が‘Ｈ’と
なり、相手系停電予告信号０２１が、ＯＦＦ(待機系電
源正常)であるから、ＡＮＤ回路０１９により電源遮断
スイッチ０１７が、切離される。

【００５６】結果として、ＡＣ入力０１３に基づいて生
成される電源電圧ＶCC０１６が、コンデンサ０１８の放
電後に供給されなくなり、電源が完全に遮断されたこと
になる。

【００５７】これに対して、待機系の電源が切れている
時に実行系電源を遮断しようとしても、ＡＮＤ回路０１
９においてＡＮＤ条件が成立しないので、ハードウエア
的に電源遮断スイッチ０１７が切離されなくなり、実行
系の電源スイッチ０１４を切ろうとしても、電源電圧Ｖ
CC０１６は、供給され続ける。

【００５８】待機系ＣＰＵ装置２００のソフトウエア
は、同様に他系監視部２２１を監視し、上記状態におい
て、ステータスレジスタ２２５が、待機系ＰＯＰ＝‘Ｏ
Ｎ’実行系ＰＯＰ＝‘ＯＦＦ’であると検出した場合に
は、待機系電源保護処理に入る。

【００５９】具体的には、コントロールレジスタ２２４
に対してソフトウエアが、自系電源ＣＴＬ＝‘保護’と
設定すると、電源保護制御信号２２６が‘Ｌ’となり、
相手系電源予告信号０１１が、ＯＮ(実行系電源断)であ
るから、ＡＮＤ回路０２９により電源遮断スイッチ０２
７が、保護され、電源遮断スイッチ０２７が、ハードウ
エア的に切離されることはない。したがって、待機系の
電源電圧ＶCC０２６は、供給され続ける。

【００６０】本実施形態１によれば、両系に対する電源
断状態の監視および自系電源装置に対するリセット／保
護指示を実行でき、ソフトウエア的にＣＰＵ装置内部を
調停しながら、実行系の電源遮断時に、二重化システム
の両系電源ダウンを回避するために、待機系の電源が誤
って遮断されないように電源を保護することができる。

【００６１】片系電源が、遮断されている場合にもう片
系の電源を切ることは、両系電源ダウンにつながり、シ
ステムの停止を招き重大な事故を発生させるおそれがあ
るが、本発明により電源装置内部に設けた保護機構によ
りハードウエア的にＡＣ入力が、電源スイッチの手動操
作などにより遮断されることがなくなり、人為的なミス
によるシステムダウンを防止できる。

【００６２】

【実施形態２】図３は、本発明による二重化システムの
実施形態２におけるＣＰＵ装置１００の内部構成を示す
ブロック図である。

【００６３】他系監視部１２１の内部構成は、基本的に
は実施形態１と同じであるが、待機系ＣＰＵ装置２００
からの転送要求信号３０１と動作状態とを監視する手段
を備えている点が、異なる。したがって、従来問題とな
っていた不定データ期間中に待機系から転送要求信号３
０１を受信した場合に不定データを転送してしまうこと
をハードウエア的に防止できる。

【００６４】図４は、本発明による二重化システムの実
施形態２における停電後の動作タイミングを示すタイミ
ングチャートである。図５は、本発明による二重化シス
テムの実施形態２における停電後の他系監視部の処理手
順を示すフローチャートである。

【００６５】図３，図４，図５を参照して、実行系の電
源断時におけるＤＣＭ制御部１２０内の他系監視部１２
１の動作を説明する。

【００６６】(Ａ) 停電によりＡＣ入力０１３が断たれ
た後、実行系ＣＰＵ装置１００のソフトウエアは、電源
装置０１０からの停電予告信号０１１の状態を監視す
る。実行系ＣＰＵ装置１００のソフトウエアは、停電予
告信号０１１を検出した場合、他系監視部１２１内の自
系電源制御指令を発行し、他系監視部１２１は、以下の
動作を実行する。

【００６７】(Ｂ) ＤＣＭ制御部１２０内の他系監視部
１２１は、待機系ＣＰＵ装置２００のソフトウエア処理
により発行されてＤＣＭバス３００上でなされるＤＣＭ
アクセスをハードウエア的に監視する。

【００６８】もし、待機系からの転送要求に基づき待機
系へのデータ転送がなされていると判断した場合は、転
送(アクセスサイクル)が終了するまで待機し、転送(ア
クセスサイクル)が終了したことを検出した時点で、電
源装置０１０への電源リセット指令信号を電源装置０１
０に出力すると同時に、電源保護制御信号１２６をタイ
ミング生成回路１４０に出力する。

【００６９】ただし、プロセッサ１５０が、停電予告信
号０１１の検出から電源保護制御信号１２６を出力する
までには、一定時間の間隔を必要とする。

【００７０】ＣＰＵ装置１００のプロセッサ１５０が、
実行系電源断を検出した場合に、停電処理(停止／退避
処理)を実行するようなシステムにおいては、停電予告
信号０１１検出後にメモリにアクセスする必要があるか
らである。

【００７１】具体的には、停電時にプロセッサ１５０内
のレジスタ値およびキャッシュ内データなどをローカル
メモリ１１０に退避させたり、ＣＰＵ装置１００以外の
Ｉ／Ｏからの停電処理によるメモリアクセス，共有メモ
リ１１１へのいわゆる死に様情報などのデータの書き込
み，待機系ＣＰＵ装置２００への転送報告処理などが発
生するので、これらの処理を確実に実行するためにメモ
リバス１１２を切離すまで、ある一定の処理時間が必要
となるからである。

【００７２】本実施形態２では、これらのタイミング管
理をするために、他系監視部１２１内には、タイマユニ
ットを備え、タイマユニットにより計測した時間以降に
電源保護制御信号１２６を出力するように制御する手段
を備えた。

【００７３】ここで設定する時間は、ソフトウエアの処
理時間に依存し、ハードウエア側とソフトウエア側間と
の約束で定める。ソフトウエアの処理としては、必ず停
電，退避処理をこの時間内に完了していなければならな
い。

【００７４】(Ｃ) タイミング生成回路１４０は、停電
予告信号０１１入力後に電源保護制御信号１２６を検出
すると、メモリ保護要求信号１４１を出力し、メモリバ
ス１１２を切離し、外部リフレッシュ制御部１６０によ
るリフレッシュ動作に移行させる。

【００７５】この時点までには、共有メモリ１１１への
書き込みによる一致化動作は、停止させているが、ＤＣ
Ｍ制御部１２０内のバッファ１２２には、待機系ＣＰＵ
装置２００に転送すべきデータが存在するために、それ
以降は、ＤＣＭ制御部１２０が、これらのデータを電源
装置０１１からの停電信号０１２出力のタイミングまで
継続して一致化させる。

【００７６】(Ｄ) (Ｃ)以降のタイミングで待機系のソ
フトウエア処理による転送要求信号３０１を受信した場
合は、ＤＣＭ制御部１２０内の他系監視部１２１は、待
機系ＣＰＵ装置２００に対して、実行系が停電による不
定期間中であることを示す応答コマンドを発行する。

【００７７】したがって、待機系のＣＰＵ装置２００
は、要求した転送アクセスが、不定データ期間中になさ
れたと判断し、そのアクセスを中断する。

【００７８】待機系ＣＰＵ装置２００が、エラーコマン
ドを受信した後のエラー処理については、上位プロセッ
サにエラーを報告するなど手順が考えられるが、本発明
は、その手順には限定されない。

【００７９】また、本実施形態２では、停電時の応答手
順について説明したが、本発明は、停電時の動作に限定
されない。計画切替えによる応答手段についても、同様
に、実行系が切替え中であることを示す応答コマンドを
待機系ＣＰＵ装置２００に報告すると、待機系ＣＰＵ装
置２００は、その応答結果に基づいて実行系の状態を判
断し、そのアクセスを中断させる。

【００８０】(Ｅ) ＤＣＭ制御部１２０内の他系監視部
１２１が、電源装置０１０からの停電信号０１２を検出
した後、ＤＣＭバス３００を切離す指令を出力する。し
たがって、ＤＣＭ制御部１２０は、待機系のＣＰＵ装置
２００と完全に切離す状態とする。

【００８１】本実施形態２においては、待機系からの転
送要求によるデータ転送アクセスの途中でメモリバス１
１２を切離さないように、電源保護制御信号１２６をタ
イミング生成回路１４０に出力し、アクセス終了時点で
メモリバス１１２を外部リフレッシュ制御部１６０に切
替え、リフレッシュ動作を実施する手段と、実施形態１
のように両系電源断を防止する手段と、メモリバス１１
２切離し後にＤＣＭ制御部１２０内のバッファ１２２に
格納されるデータのみを転送し、他系ＣＰＵ装置２００
から発行される転送要求信号３０１を不定データ期間中
に受信した場合には、エラーコマンドで応答し、実行系
ＣＰＵ装置１００が、不定データ期間中であることを待
機系ＣＰＵ装置２００に報告する手段を設けたので、実
行系電源断が発生した場合に、待機系電源装置０２０を
電源遮断から保護し、両系電源ダウンを防止できる。

【００８２】さらに、待機系ＣＰＵ装置２００のソフト
ウエアが、メモリバス１１２切離し期間中に、共有メモ
リ１１１内のデータ転送要求を出した場合でも、待機系
ＣＰＵ装置２００が、実行系ＣＰＵ装置１００からエラ
ー応答を受信すると、待機系ＣＰＵ装置２００への不定
データの転送をハードウエア的に防止できる。

【００８３】従来方式のような割り込みを使用せず、ソ
フトウエアが、他系監視部１２１のステータスレジスタ
を読み出し、電源断を判定するので、ソフトウエア処理
を優先し、制御処理に対する影響を少なくできる。

【００８４】

【実施形態３】図３は、本発明による二重化システムの
実施形態３におけるＣＰＵ装置１００の内部構成を示す
ブロック図である。

【００８５】他系監視部１２１の内部構成は、基本的に
は実施形態１と同じであるが、待機系ＣＰＵ装置２００
からの転送要求信号３０１と動作状態とを監視する機能
を備えている点が、異なる。したがって、従来方式で問
題となっていた不定データ期間中に待機系から転送要求
信号３０１を受信した場合に不定データを転送してしま
うことをハードウエア的に防止できる。

【００８６】図６は、本発明による二重化システムの実
施形態３における停電後の動作タイミングを示すタイミ
ングチャートである。図７は、本発明による二重化シス
テムの実施形態３における停電後の他系監視部の処理手
順を示すフローチャートである。

【００８７】図３，図６，図７を参照して、実行系の電
源断時におけるＤＣＭ制御部１２０内の他系監視部１２
１の動作を説明する。

【００８８】(Ａ) 停電によるＡＣ入力０１３が断たれ
た後、実行系ＣＰＵ装置１００のソフトウエアは、電源
装置０１０からの停電予告信号０１１の状態を監視す
る。実行系ＣＰＵ装置１００のソフトウエアは、停電予
告信号０１１を検出した場合、他系監視部１２１内の自
系電源制御指令を発行し、他系監視部１２１は、以下の
ように動作する。

【００８９】(Ｂ) ＤＣＭ制御部１２０内の他系監視部
１２１は、待機系ＣＰＵ装置２００のソフトウエア処理
により発行されてＤＣＭバス３００上でなされるＤＣＭ
アクセスをハードウエア的に監視する。

【００９０】もし、待機系からの転送要求に基づき待機
系へのデータ転送がなされていると判断した場合は、転
送(アクセスサイクル)が終了するまで待機し、転送(ア
クセスサイクル)が終了したことを検出した時点で、電
源装置０１０への電源リセット指令信号を電源装置０１
０に出力すると同時に、停電保護制御信号１２６をタイ
ミング生成回路１４０に出力し、ＤＣＭバス３００を切
離す。

【００９１】本実施形態３では、停電時の手順について
説明したが、本発明は、停電時の動作に限定されない。
メモリバス１１２またはＤＣＭバス３００のバス異常発
生時にも、同様に、ＤＣＭバス３００を切離す処理を実
施できる。

【００９２】(Ｃ) タイミング生成回路１４０は、停電
予告信号０１１入力後に電源保護制御信号１２６を検出
すると、メモリ保護要求信号１４１を出力し、メモリバ
ス１１２を切離し、外部リフレッシュ制御部１６０によ
るリフレッシュ動作に移行させる。

【００９３】この時点までには、共有メモリ１１１への
書き込みによる一致化動作は、停止していなければなら
ない。

【００９４】また、ＤＣＭ制御部１２０内のバッファ１
２２に格納されているデータを待機系まで転送する動作
を上記(Ｂ)のＤＣＭバス３００遮断タイミングまでに実
行しなければならない。

【００９５】(Ｄ) (Ｃ)以降のタイミングで待機系から
の転送要求信号３０１を受信した場合は、ＤＣＭバス３
００が、電気的に切離された状態になっているので、Ｄ
ＣＭ制御部１２０内の他系監視部１２１は、待機系から
の転送要求を認識することはない。

【００９６】待機系ＣＰＵ装置２００は、無応答を検出
すると、実行系の停電時の不定データ期間中およびバス
異常発生時に転送を要求したと判断し、そのアクセスを
中断する。

【００９７】この一連の処理の後、待機系ＣＰＵ装置２
００が実行するエラー処理については、上位プロセッサ
にエラーを報告するなどの手順が考えられるが、本発明
は、それらの手順に限定されない。

【００９８】このように、本実施形態３においては、待
機系からの転送要求によるデータ転送アクセスの途中で
メモリバス１１２を切離さないように、電源保護制御信
号１２６をタイミング生成回路１４０に出力し、アクセ
ス終了時点でＤＣＭバス３００を切離し、同時にメモリ
バス１１２を外部リフレッシュ制御部１６０に切替えリ
フレッシュ動作を実施する手段と、実施形態１のように
両系電源ダウンを防止する手段とを設けたので、実行系
電源断が発生した場合、待機系電源装置０２０を電源遮
断から保護し、待機系ＣＰＵ装置２００のソフトウエア
が、共有メモリ１１１内のデータ転送要求をメモリバス
１１２の切離し期間中に出した場合に、待機系ＣＰＵ装
置２００が、実行系ＣＰＵ装置１００からの無応答を検
出して、待機系ＣＰＵ装置２００に不定データが転送さ
れることをハードウエア的に防止できる。

【００９９】本実施形態３では、従来方式のような割り
込みを使用せずに、ソフトウエアが、他系監視部１２１
のステータスを読み出し電源断を判定するので、ソフト
ウエア処理を優先し、制御処理に対する影響を少なくで
きる。

【０１００】

【発明の効果】本発明によれば、多重化システムのそれ
ぞれの系に電源を有し、実行系の電源装置の電源が遮断
された状態で待機系に切替えようとする場合に、待機系
の電源スイッチにより待機系の電源が遮断されないよう
に保護する機構を備えたので、操作ミスや人為的ミスな
どによる全系の同時電源ダウンを防止できる。

【０１０１】また、ソフトウエア処理により電源状態を
監視し、停電予告状態を検出したらＣＰＵ装置内部を調
停し、電源リセットおよび保護を制御ができるので、従
来の割り込み方式と比較して、ソフトウエア処理を優先
し、通常の制御処理への影響をなくすることができる。

【０１０２】さらに、健全性を確認するために健全性デ
ータを互いに転送する二重化システムにおいて、待機系
ＣＰＵ装置のソフトウエア処理により実行系から健全性
データを取得するため転送要求信号を発行し、実行系の
停電，バス異常，系計画切替え発生時に不定データが転
送されようとする場合、待機系に停電，バス異常，系計
画切替え発生に対応した応答コマンドで報告し、不定デ
ータを待機系に転送してしまうことをハードウエア的に
防止できる。

【０１０３】したがって、待機系ＣＰＵ装置が、実行系
ＣＰＵ装置から転送された予期しない不定データを受信
しないので、一致化データの不整合による実行系ＣＰＵ
装置およびＤＣＭバス上のエラーとして誤検出すること
がなくなり、多重化システムで相互を正常に監視でき
る。

【図面の簡単な説明】

【図１】本発明による二重化システムの実施形態の全体
構成を示す系統図である。

【図２】本発明による二重化システムの実施形態１にお
ける電源装置０１０およびＣＰＵ装置１００の内部構成
を示すブロック図である。

【図３】本発明による二重化システムの実施形態２およ
び実施形態３におけるＣＰＵ装置１００の内部構成を示
すブロック図である。

【図４】本発明による二重化システムの実施形態２にお
ける停電後の動作タイミングを示すタイミングチャート
である。

【図５】本発明による二重化システムの実施形態２にお
ける停電後の他系監視部の処理手順を示すフローチャー
トである。

【図６】本発明による二重化システムの実施形態３にお
ける停電後の動作タイミングを示すタイミングチャート
である。

【図７】本発明による二重化システムの実施形態３にお
ける停電後の他系監視部の処理手順を示すフローチャー
トである。

【図８】従来の二重化システムにおけるＣＰＵ装置１０
０の内部構成を示すブロック図である。

【図９】従来の二重化システムにおける停電後の動作タ
イミングを示すタイミングチャートである。

【符号の説明】

０１０ 実行系電源装置 ０１１ 実行系停電予告信号 ０１２ 実行系停電信号 ０１３ 実行系ＡＣ入力 ０１４ 実行系電源スイッチ ０１５ 実行系電源保護部 ０１６ 実行系電源電圧 ０１７ 実行系電源遮断スイッチ ０１８ 実行系コンデンサ ０１９ 実行系ＡＮＤ回路 ０２０ 待機系電源装置 ０２１ 待機系停電予告信号 ０２２ 待機系停電信号 ０２３ 待機系ＡＣ入力 ０２４ 待機系電源スイッチ ０２５ 待機系電源保護部 ０２６ 待機系電源電圧 ０１７ 待機系電源遮断スイッチ ０１８ 待機系コンデンサ ０１９ 待機系ＡＮＤ回路 １００ 実行系ＣＰＵ装置 １１０ 実行系ローカルメモリ １１１ 実行系共有メモリ １１２ 実行系メモリバス １２０ 実行系共有データ一致化回路(ＤＣＭ制御部) １２１ 実行系他系監視部 １２２ 実行系バッファ １２４ 実行系コントロールレジスタ １２５ 実行系ステータスレジスタ １２６ 実行系電源保護制御信号 １４０ 実行系タイミング生成回路 １４１ 実行系メモリ保護要求信号 １５０ 実行系プロセッサ １６０ 実行系外部リフレッシュ制御部 ２００ 待機系ＣＰＵ装置 ２１０ 待機系ローカルメモリ ２１１ 待機系共有メモリ ２１２ 待機系メモリバス ２２０ 待機系共有データ一致化回路(ＤＣＭ制御部) ２２１ 待機系他系監視部 ２２２ 待機系バッファ ２２４ 待機系コントロールレジスタ ２２５ 待機系ステータスレジスタ ２２６ 待機系電源保護制御信号 ２４０ 待機系タイミング生成回路 ２４１ 待機系メモリ保護要求信号 ２５０ 待機系プロセッサ ２６０ 待機系外部リフレッシュ制御部 ３００ ＤＣＭバス ３０１ 転送要求信号

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｈ０４Ｌ 29/14 Ｈ０４Ｌ 13/00 ３１３ (72)発明者 桝井 晃ニ 茨城県日立市大みか町五丁目２番１号 株 式会社日立製作所大みか事業所内 (72)発明者 野内 隆夫 茨城県日立市大みか町五丁目２番１号 株 式会社日立製作所大みか事業所内 Ｆターム(参考） 5B018 GA04 HA05 HA32 HA40 LA06 MA01 NA02 QA05 5B034 BB02 BB17 CC01 DD02 5H209 AA01 DD11 DD13 FF06 GG04 GG13 HH19 HH21 SS01 SS04 SS08 TT01 5K035 AA03 AA05 BB01 CC01 DD01 EE27 FF01 HH02 HH07 JJ01 LL01

Claims (8)

【特許請求の範囲】
1. 【請求項１】 それぞれにＣＰＵ装置および少なくとも
   １台の電源装置を含む実行系と待機系とからなる多重化
   システムにおいて、 前記各系のＣＰＵ装置が、自系電源および相手系電源の
   状態を監視し電源保護制御信号を出力する他系監視部を
   備え、 前記各系の電源装置が、少なくとも自系電源スイッチの
   操作状況および前記電源保護制御信号に応じてＡＣ入力
   を遮断する電源遮断スイッチを含む電源保護部を備え、 前記電源保護制御信号が、前記相手系電源が切れている
   時には前記電源スイッチの操作状況にかかわらず前記自
   系電源遮断スイッチをＯＮに保持させる制御信号である
   ことを特徴とする多重化システム。
2. 【請求項２】 請求項１に記載の多重化システムにおい
   て、 前記他系監視部が、自系電源装置を制御するコントロー
   ルレジスタと、自系停電予告信号状態および相手系停電
   予告信号状態が反映されるステータスレジスタとを含
   み、 前記電源保護部が、前記電源スイッチと相手系停電予告
   信号と前記他系監視部からの電源保護制御信号との論理
   積を演算するＡＮＤ回路と、前記ＡＮＤ回路の出力に応
   じてＡＣ入力を遮断する電源遮断スイッチとを含むこと
   を特徴とする多重化システム。
3. 【請求項３】 実行系から待機系に共有データ情報を一
   致化バス(ＤＣＭバス)を経由して共有データ情報を転送
   し全系のメモリ内容を一致化させる共有データ一致化回
   路(ＤＣＭ制御部)を備え、待機系ＣＰＵ装置が実行系Ｃ
   ＰＵ装置内の共有データを取得するために転送要求信号
   を発行し、実行系ＣＰＵ装置から待機系ＣＰＵ装置に共
   有データを転送しメモリ内容を一致化させる多重化シス
   テムにおいて、 前記実行系のＤＣＭ制御部が、前記待機系からの転送要
   求タイミングと前記実行系の停電，異常，計画切替えな
   どの事象とが重なり不定データが転送される場合に、待
   機系に対して実行系の系切替え処理内容に対応した応答
   コマンドを出力する制御部であることを特徴とする多重
   化システム。
4. 【請求項４】 請求項３に記載の多重化システムにおい
   て、 前記待機系ＣＰＵ装置が、前記実行系の系切替え処理中
   に転送要求を発行した後に実行系からの受信した応答コ
   マンドにより、系切替え時に一致化データが不整合とな
   り得る期間中の転送アクセスであると判定した場合に、
   前記アクセスによる転送データを無効とするＣＰＵ装置
   であることを特徴とする多重化システム。
5. 【請求項５】 請求項３または４に記載の多重化システ
   ムにおいて、 前記ＤＣＭ制御部が、前記電源装置からの電源断を示す
   停電予告信号と前記ＤＣＭバス上でアクセスされている
   動作状態を監視する他系監視部を備え、 前記他系監視部が、実行系電源断に伴い電源装置から出
   力される停電予告信号に基づいてＤＣＭバスのアクセス
   状態を監視し、待機系からの転送要求により共有データ
   を転送してＤＣＭバスが占有状態であると判断した場
   合、前記アクセスが終了するまでは待機し、前記アクセ
   スが終了したと判定した後に実行系のメモリバックアッ
   プ動作に移行し、メモリバックアップ動作への切替えと
   ＤＣＭアクセス動作とを同期化させる監視部であること
   を特徴とする多重化システム。
6. 【請求項６】 請求項４に記載の多重化システムにおい
   て、 前記待機系ＣＰＵ装置が、前記電源装置からの電源断を
   示す停電予告信号検出後、相手系から共有情報の転送要
   求を受信した場合に、メモリバックアップを許可する信
   号を出力すると同時にＤＣＭバスを切離す指令信号を出
   力し、メモリバックアップ動作に移行する前のタイミン
   グで相手系を遮断し、ＤＣＭバス切離し後に転送要求を
   受信した相手系に対して無応答とするＣＰＵ装置である
   ことを特徴とする多重化システム。
7. 【請求項７】 実行系から待機系に共有データ情報を一
   致化バス(ＤＣＭバス)を経由して共有データ情報を転送
   し全系のメモリ内容を一致化させる共有データ一致化回
   路(ＤＣＭ制御部)を備え、待機系ＣＰＵ装置が実行系Ｃ
   ＰＵ装置内の共有データを取得するために転送要求信号
   を発行し、実行系ＣＰＵ装置から待機系ＣＰＵ装置に共
   有データを転送しメモリ内容を一致化させる多重化シス
   テムにおいて、 前記実行系のＤＣＭ制御部が、ＤＣＭバスまたはメモリ
   バス上での異常が発生し、待機系からの転送要求タイミ
   ングと実行系のバス異常の事象とが重なり、不定データ
   が転送されるおそれがある場合に、前記データ転送サイ
   クル中にＤＣＭバスを切離し、待機系に対して実行系Ｃ
   ＰＵ装置のバス異常であることを示す応答コマンドを出
   力する制御部であることを特徴とする多重化システム。
8. 【請求項８】 実行系から待機系に共有データ情報を一
   致化バス(ＤＣＭバス)を経由して共有データ情報を転送
   し全系のメモリ内容を一致化させる共有データ一致化回
   路(ＤＣＭ制御部)を備え、待機系ＣＰＵ装置が実行系Ｃ
   ＰＵ装置内の共有データを取得するために転送要求信号
   を発行し、実行系ＣＰＵ装置から待機系ＣＰＵ装置に共
   有データを転送しメモリ内容を一致化させる多重化シス
   テムにおいて、 前記実行系のＤＣＭ制御部が、待機系からの転送要求タ
   イミングと実行系の計画切替えの事象とが重なり、不定
   データが転送されるおそれがある場合に、待機系に対し
   て実行系の計画切替え中であることを示す応答コマンド
   で報告する制御部であることを特徴とする多重化システ
   ム。