JP2003177935A - 冗長システム - Google Patents

Abstract

(57)【要約】 【課題】処理過程の正常性も保証するフェールセーフシ
ステムを提供する。 【解決手段】同一の命令を同期して実行する複数のモジ
ュールからなる冗長システムにおいて、複数のモジュー
ル内の内部信号同士を比較し、その複数のモジュール内
の内部信号同士が一致したときには真の値を、一致して
いないときには偽の値を出力する比較器の出力信号と、
その複数のモジュールからの出力とを論理積回路に入力
し、論理積回路の出力をシステムの出力とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は高信頼システムにか
かり、特に高信頼システム構成に不可欠な多数決回路，
出力選択回路などの最終出力回路の高信頼化，高安全
化，フェールセーフ化に関するものである。

【０００２】

【従来の技術】システムの信頼性を向上させるためにシ
ステムの構成要素（モジュール）を冗長化する方法が従
来より広く用いられてきた。この方法では冗長化したモ
ジュールの出力の中から正常な出力を選び出す最終出力
回路が不可欠である。この最終出力回路としては多数決
回路や選択回路などが用いられている。

【０００３】また、最終出力回路として論理和回路を用
い、危険側出力を真を表わす値（通常の２値論理では
Ｈ）で表現し、安全側出力を偽を表わす値（通常の２値
論理ではＬ）で表現すれば、冗長化したモジュール全て
が危険側出力を出したときのみシステムは危険側出力を
出す。従って冗長化したモジュール全てが誤って危険側
出力を出さない限りシステムは誤って危険側出力を出す
ことがなくフェールセーフ性をもたせることができる。
特に危険側出力を交番信号，安全側出力をそれ以外の信
号で表現することによりフェールセーフ性を著しく高め
ることができる。システムが正しい出力を選び出すこと
ができるかどうかは最終出力回路の動作にかかってお
り、この最終出力回路の信頼度がシステム全体の信頼度
を左右する。従ってシステムの信頼性を向上させるため
には、この最終出力回路の信頼度を確保することが重要
である。

【０００４】信頼性，安全性の拠り所である最終出力回
路の信頼度を確保するために最終出力回路にテストパタ
ーンを入力して正常動作を確認したり、最終出力回路を
フェールセーフな回路構成とする方法が従来から考えら
れている。

【０００５】フェールセーフな論理積回路の構成として
は、入力としての交番信号がクロック端子に印加される
複数のＤ−フリップフロップ列により構成した論理積回
路は危険側故障が極めて小さいので広く用いられてい
る。

【０００６】

【発明が解決しようとする課題】上記した従来技術の
内、最終出力回路にテストパターンを入力する方法は、
冗長化したモジュールが非同期に動作するシステムでは
容易に実施でき、最終出力回路の正常動作を確認するこ
とができる。しかし、冗長化したモジュールが同期して
動作するシステムでのこの方法の実現方法についてはさ
らに考慮が必要である。

【０００７】冗長化したモジュールが同期して動作する
システムでは同期を維持するために、冗長化したモジュ
ールが同期して同一の動作をしなければならない。従っ
て冗長化したモジュールは常に同一の出力を最終出力回
路に出力することになる。冗長化したモジュールの出力
間に不一致が発生しても、多数決などの手法などにより
正常な出力を得るのが、最終出力回路の本来の機能であ
るため、冗長化したモジュールは常に同一の出力しか出
せないのでは最終出力回路の本来の機能についての十分
な検査ができない。

【０００８】仮に、出力に関する命令実行部分だけモジ
ュールごとに異なる動作をさせ、他の命令実行部分は同
一の動作をさせようとしても、それに至る分岐命令の部
分で実行する命令ステップ数が異なってしまうため結果
としてモジュール間の同期を乱すことになる。また、冗
長化したモジュール内のバスの信号も比較する方式で
は、出力に関する命令実行部分が異なるので不一致とな
り正常に動作しない。

【０００９】以上のような問題点を踏まえて、冗長化し
たモジュールが同期して動作するシステムにおいて、最
終出力回路を検査する手段を提供することを本発明の第
１の目的とする。

【００１０】また冗長化したモジュールの出力を受け取
る最終出力回路として論理和回路を用いた従来技術では
論理和回路の故障さえ生じなければ、冗長化したモジュ
ール全てが危険側出力を出さない限りシステムは危険側
出力を出さないためシステムにフェールセーフ性を持た
せられる大変優れた方法である。しかし本従来技術はさ
らに高い信頼性，安全性を追及するためには処理結果で
ある出力に留まらず処理過程の正常性の保証についても
さらに考慮を加える必要がある。

【００１１】そこで処理過程の正常性も保証するフェー
ルセーフシステムを提供することを本発明の第２の目的
とする。

【００１２】さらに従来技術の内、入力としての交番信
号がクロック端子に印加される複数のＤ−フリップフロ
ップ列により構成した論理積回路は危険側故障が発生す
る確率が極めて小さいためフェールセーフＡＮＤと呼ば
れている。しかしこの回路にもフェールアウト故障モー
ド（危険側出力が出力される故障モード）は存在する。
フェールセーフＡＮＤを構成するＤ−フリップフロップ
列の内、最終段のＤ−フリップフロップのＣＬＫ端子入
力がＱ出力端子に現れる故障モードが唯一のフェールア
ウト故障モードである。そこで、フェールアウト故障モ
ードをなくしてフェールセーフ性をより高める方式を提
供することを第３の目的とする。

【００１３】

【課題を解決するための手段】上記第１の目的を達成す
るため本発明では、以下の手段を講じる。

【００１４】（１−１）書き込んだデータが全てのモジ
ュールから出力されるレジスタと、対応するモジュール
のみから出力され、他のモジュールでは無視されるレジ
スタをモジュールの出力インタフェース回路に持たせ
る。

【００１５】また上記第２の目的を達成するために、以
下の手段を講じる。

【００１６】（２−１）冗長化したモジュールの内部信
号同士を比較器で比較チェックする。

【００１７】（２−２）比較器は、冗長化したモジュー
ルの内部信号同士が一致した場合には真を表わす信号を
出力し、一致しない場合には偽を表わす信号を出力す
る。

【００１８】（２−３）冗長化したモジュールの出力信
号は、危険側出力を真を表わす信号で、安全側出力を偽
を真を表わす信号で表現する。

【００１９】（２−４）比較器の出力と冗長化したモジ
ュールからの出力の論理積を出力とする。また上記第３
の目的を達成するために以下の手段を講じる。

【００２０】（３−１）論理積回路を入力としての交番
信号がクロック端子に印加される複数のＤ−フリップフ
ロップ列により構成し、最終段のＤ−フリップフロップ
のクロック端子に印加される信号の周波数を論理積回路
の後段に接続される回路の最高動作周波数よりも高くす
る。

【００２１】さらに上記第２，第３の目的を相乗的に達
成するために以下の手段を講じる。 （４−１）冗長化したモジュールの内部信号同士を比較
器で比較チェックする。

【００２２】（４−２）比較器は、冗長化したモジュー
ルの内部信号同士が一致した場合には真を表わす信号と
して交番出力を出力し、一致しない場合には偽を表わす
信号として交番しない信号を出力する。

【００２３】（４−３）冗長化したモジュールの出力信
号は、危険側出力を真を表わす信号すなわち交番する信
号で、安全側出力を偽を真を表わす信号すなわち交番し
ない信号で表現する。

【００２４】（４−４）論理積回路を入力としての交番
信号がクロック端子に印加される複数のＤ−フリップフ
ロップ列により構成し、比較器の出力を最終段のＤ−フ
リップフロップのクロック端子に印加し、比較器の出力
の周波数を論理積回路の後段に接続される回路の最高動
作周波数よりも高くする。

【００２５】以上述べた手段（１−１）によれば、通常
動作時には書き込んだデータが全てのモジュールから出
力されるレジスタにデータを書き込めば全ての冗長化し
たモジュールから同一の出力が出される。万一モジュー
ルの中のいずれかが障害により正常な出力を出せない場
合には最終出力回路が正常な出力を選び出して正常動作
を継続することができる。また、最終出力回路のテスト
のためには、対応するモジュールのみから出力され、他
のモジュールでは無視されるレジスタにデータを書き込
めば、冗長化したモジュールの内特定のモジュールのみ
他とは異なる出力を出すことができるので、動作確認の
ためのテストパターンを最終出力回路に入力することが
できる。

【００２６】また、手段（２−１）〜（２−４）によれ
ば、冗長化したモジュールの全ての出力に危険側出力が
現れても、出力を得るまでの途中経過を表わす冗長化し
たモジュールの内部信号同士も一致しなければ、システ
ムは危険側出力を出さない。従って、出力を得るまでの
計算過程で冗長化したモジュールで相次いで誤りが発生
し、危険側出力を出した場合でも、計算過程での誤りに
よる不一致により比較器の出力は偽となるため、危険側
出力は出ないことになる。従って、最終出力結果だけで
なく処理過程の正常性も保証することができる。

【００２７】さらに、手段（３−１）によれば、Ｄ−フ
リップフロップ列により構成された論理積回路で従来の
フェールアウト故障モードに相当する故障が発生して
も、本発明によれば故障により出力される信号の周波数
が、論理積回路の次段以降に接続される回路の最高動作
周波数より高いので、次段以降の回路が動作しないので
危険側出力が出されない。従ってフェールセーフＡＮＤ
回路のフェールアウト故障モードをなくすことができ
る。

【００２８】手段（４−１）〜（４−４）によれば、手
段（２−１）〜（２−４）と手段（３−１）の相乗効果
が得られ、最終出力結果だけでなく処理過程の正常性も
保証することができる上、フェールセーフＡＮＤ回路の
フェールアウト故障モードをなくすことができる。

【００２９】

【発明の実施の形態】実施例の説明に先だって、実施例
の構成を以下に示す。

【００３０】１．第１の目的（最終出力回路を検査する
手段を提供すること）を達成するための実施例 ２．第２の目的（処理過程の正常性も保証するフェール
セーフシステムを提供すること）を達成するための実施
例 ３．第３の目的（フェールセーフＡＮＤのフェールアウ
ト故障モードをなくすこと）を達成するための実施例 ４．第２，第３の目的を相乗効果により達成するための
実施例 以下図に従い本発明の各部の実施例について詳細な説明
を加える。

【００３１】＜１．第１の目的を達成するための実施例
＞図１は本発明の出力インタフェースを備えた冗長シス
テムの構成である。冗長化したモジュール１１〜１ｎ
（ｎ：モジュールの数）にはそれぞれ出力インタフェー
ス２１〜２ｎを備え、出力３１〜３ｎを出す。なお、本
発明は図に示すように冗長化したモジュール１１〜１ｎ
が同一のクロック２に従って同期して動作する冗長シス
テムを対象にしている。出力３１〜３ｎは最終出力回路
４に入力される。万一冗長化したモジュール１１〜１ｎ
のいずれかが障害により正常な出力を出せない場合には
最終出力回路４が正常な出力を選び出して正常動作を継
続することができる。正常な出力を選び出す最終出力回
路４としては後述するように多数決回路４１，ＡＮＤ回
路４２、あるいは中間値選択回路４３などがある。

【００３２】図２はモジュール１ｉ（ｉ：モジュールの
番号）の出力インタフェース２ｉの実施例をアドレスイ
メージで示したものである。出力インタフェース２ｉに
はレジスタＯＵＴall ，ＯＵＴ1〜ＯＵＴnを備えてい
る。出力インタフェース２ｉでは、全てのモジュール１
１〜１ｎから出力が出されるレジスタＯＵＴall または
モジュール１ｉのみから出力が出されるレジスタＯＵＴ
i にデータが書き込まれたときに、書き込まれたデータ
に対応する出力３ｉが出される。例えば図３に示すよう
に１番目のモジュール１１の出力インタフェース２１で
はレジスタOUTallまたはＯＵＴ１にデータが書き込まれ
た時のみ書き込まれたデータに対応する出力３１が出さ
れる。

【００３３】上記図１〜図３に示す実施例によれば、冗
長化したモジュール１１〜１ｎに同一の命令を同期させ
て実行させながら、モジュールごとに異なる出力３１〜
３ｎを得ることができ、動作確認のためのテストパター
ンを最終出力回路４に与えることができる。例えば、モ
ジュール１１〜１ｎがレジスタＯＵＴi にデータを書き
込んだ場合にはモジュール１ｉのみから書き込んだデー
タに相当する出力３ｉが出される。さらにモジュール１
１〜１ｎがレジスタＯＵＴ１〜ＯＵＴｎにそれぞれ異な
るデータを書き込んだ場合にはモジュール１１〜１ｎか
らそれぞれ異なる出力３１〜３ｎが出される。なお正常
動作時にはモジュール１１〜１ｎがレジスタＯＵＴall
にデータを書き込み、モジュール１１〜１ｎから書き込
んだデータに相当する出力３１〜３ｎが出される。

【００３４】図４，図５はモジュール１ｉの出力インタ
フェース２ｉの実施例をブロック図で示したものであ
る。アドレスデコーダはアドレスバス１ｉ１の信号をデ
コードし、レジスタＯＵＴallまたはレジスタＯＵＴiに
相当するアドレスのときだけ論理和２ｉ２に信号を出力
し論理和２ｉ２の出力をＨにする。またさらにＲ／Ｗ＃
信号との論理積２ｉ３をとり、レジスタＯＵＴallまた
はレジスタＯＵＴiに相当するアドレスで、write アク
セスの時のみラッチ信号２ｉ４をＨにする。ラッチ２ｉ
５ではラッチ信号２ｉ４に従ってデータバス１ｉ２の信
号をラッチする。図４の実施例ではラッチ２ｉ５でラッ
チしたデータをそのまま出力３ｉとしている。また図５
では更にデジタル／アナログ変換器２ｉ６でアナログ化
して出力３ｉとしている。出力インタフェース２ｉが図
４の実施例に示すようにデジタル信号を出力するタイプ
の時には、最終出力回路４として後述する多数決回路４
１，ＡＮＤ回路４２を使用すればよい。また出力インタ
フェース２ｉが図５の実施例に示すようにアナログ信号
を出力するタイプの時には、最終出力回路４として後述
する中間値選択回路４３を使用すればよい。

【００３５】図６は最終出力回路４として多数決回路４
１を用いた実施例である。３入力の多数決回路４１の内
部構成を図７に、その正常動作時の真理値表を図８にそ
れぞれ示す。また例として多数決回路４１を構成する論
理和４１１の出力が０固定故障（stuck-at-0故障）を起
こした場合の真理値表を図９に示す。図９に示すように
論理和４１１の出力の０固定故障の場合に正常動作と異
なる入出力関係になるのはcase８の入力パターンの時の
みである。従ってこの故障を検出するためには冗長化し
たモジュール１１〜１３がcase８の入力パターンに相当
する出力３１〜３３を出せばよい。図１〜図５の実施例
に示した本発明によれば、モジュール１１〜１３が個別
に任意の出力３１〜３３を出せるので、case８に限らず
全てのパターンの出力３１〜３３を出すことができる。
従って本実施例によれば、例に挙げたような論理和４１
１の出力の０固定故障に限らず、多数決回路４１のあら
ゆるモードの故障を検出することができる。

【００３６】なお、本発明によらない場合には冗長化し
たモジュール１１〜１３が全て正常な場合、即ち図８に
示す真理値表のcase1，2の入力しか通常は得られないの
で、多数決回路４１の故障を検出することができず、故
障が潜在することになる。このように故障が潜在する
と、冗長化したモジュール１１〜１３のいずれかが故障
した場合にその故障を救済できなくなる。例えば論理和
４１１の出力の０固定故障が発生しても、冗長化したモ
ジュール１１〜１３が全て正常な場合には正常な時と変
わらない出力を得ることができるが、モジュール１３の
出力３３だけが何らかの原因でＨとなるべきところをＬ
となった場合に、多数決回路４１の出力３もＨとなるべ
きところをＬとなり、正常動作ができなくなる。

【００３７】図１０は最終出力回路４としてＡＮＤ回路
４２を用いた実施例である。本実施例のように冗長化し
たモジュール１１，１２の出力３１，３２をＡＮＤ回路
４２に入力しその出力３を得れば、モジュール１１，１
２の出力３１，３２が共にＨの時のみ出力３がＨとな
る。つまり、モジュール１１，１２の出力３１，３２の
いずれかがＬならば出力３がＬとなる。従って、Ｌ出力
を安全側の出力とすればフェールセーフなシステムを実
現することができる。

【００３８】ＡＮＤ回路４２の正常動作時の真理値表を
図１１に、出力３２がそのまま出力３として出てしまう
故障時の真理値表を図１２に示す。これはＡＮＤ回路４
２内部の配線の短絡によって引き起こされる故障モード
である。この故障の場合も、case３，４の入力パターン
の時のみ故障を検出することができる。従ってこの故障
を検出するためには冗長化したモジュール１１，１２が
case３，４の入力パターンに相当する出力３１，３２を
出せばよい。図１〜図５の実施例に示した本発明によれ
ば、モジュール１１，１２が個別に任意の出力３１，３
２を出せるので、case３，４に限らず全てのパターンの
出力３１，３２を出すことができる。従って本実施例に
よれば、例に挙げたような出力３２がそのまま出力３と
して出てしまう故障に限らず、ＡＮＤ回路４２のあらゆ
るモードの故障を検出することができる。

【００３９】さらに図１３に示すようにＡＮＤ回路４２
にフリップフロップから構成される回路を用いればフェ
ールセーフにすることができる。この回路は図１４に示
すように出力３１，３２両方に交番信号が現れたときの
み出力３に交番信号を出す。つまり、交番信号を真、そ
れ以外の信号を偽とすれば論理積（ＡＮＤ）と同じ動作
をすることがわかる。しかもこの回路自体の故障により
誤って交番信号を出力する可能性が極めて低いのでフェ
ールセーフＡＮＤと呼ばれている。

【００４０】図１５は最終出力回路４として中間値選択
回路４３を用いた実施例である。中間値選択回路４３は
入力されたアナログ値の内の中間の値を選択して出力す
る回路である。モジュール１１〜１ｎが全て正常な場合
には理論上は出力３１〜３ｎは同じ値が出力されるた
め、中間値選択回路４３の「入力されたアナログ値の内
の中間の値を選択して出力する」機能を確認することが
できない。実際には出力３１〜３ｎにはデジタル値は同
一であってもデジタル／アナログ変換器の変換誤差だけ
のバラツキが生じ、中間値選択回路４３はこのバラツキ
のある値の中から中間の値を選択して出力する。従っ
て、一見するとこのバラツキを利用して中間値選択回路
４３の「入力されたアナログ値の内の中間の値を選択し
て出力する」機能を確認することができるように見え
る。しかし、このバラツキは出力３をフィードバックし
て確認するためのアナログ／デジタル変換器の量子化誤
差のために弁別が困難である。従って本発明により出力
３１〜３ｎの内任意の出力を異なる値とすることにより
中間値選択回路４３の機能を確認することができる。

【００４１】図１６は本発明が提供する冗長システムの
出力３を遮断する遮断スイッチ５を設けた実施例であ
る。本実施例では本発明が提供する方法により最終出力
回路４の異常を検出した場合には遮断スイッチ６を開放
することにより出力を停止して、誤った出力を抑止する
ことができる。

【００４２】＜２．第２の目的を達成するための実施例
＞また図１０の実施例によれば、モジュール１１，１２
を同期させて同一の動作をさせることができるので、図
１７に示すようにモジュール１１，１２のデータバス１
１１，１２１，アドレスバス１１２，１２２，コントロ
ールバス１１３，１２３同士を比較器５で比較チェック
することにより、故障や障害による誤動作を早期に検出
し、対応することができる。またこの場合、比較器５と
して発明者らが既に出願している特願平6−27664号のよ
うなセルフチェッキング比較器を用いれば比較器自体の
故障による検出漏れがなくなるので、誤り検出率が向上
する。更に、発明者らが既に出願している特願平6−313
492 号のようにモジュール１１，１２を同期させ、かつ
動作タイミングを半クロックずらして動作させればモジ
ュール１１，１２で同一の誤りが発生する確率が小さく
なるので、誤り検出率がさらに向上する。なお、図１５
に示すモジュール１１〜１ｎ内部のバス信号の比較チェ
ックは図１０に限らず図１〜図９に示す各実施例に同様
にして適用できる。

【００４３】さらに図１７の実施例を発展させて、モジ
ュール１１，１２の出力３１，３２に加えて比較器５の
出力３３をＡＮＤ回路４２に入力した実施例を図１８に
示す。本実施例によればモジュール１１，１２のデータ
バス１１１，１２１，アドレスバス１１２，１２２，コ
ントロールバス１１３，１２３が一致し、かつモジュー
ル１１，１２の出力３１，３２が現れた時のみＡＮＤ回
路４２は出力３を出す。つまり、モジュール１１，１２
の出力３１，３２だけでなく、出力に致るまでの処理の
途中結果が一致した時のみ出力３を出すことになる。本
実施例により出力の比較照合が多段になるためにより安
全性，フェールセーフ性が増すとともに、処理途中での
不一致が検出できるため誤りの早期検出が可能となる。

【００４４】またＡＮＤ回路４２を図１９に示すように
フリップフロップから構成される回路を用いればＡＮＤ
回路自体をフェールセーフにすることができる。

【００４５】＜３．第３の目的を達成するための実施例
＞図２０はフェールセーフＡＮＤ回路のフェールアウト
故障モードをなくす実施例である。本実施例ではフェー
ルセーフＡＮＤ回路を構成するフリップフロップの内最
終段のＦＦ１のクロック入力に、フェールセーフＡＮＤ
回路の後段の回路７の最高動作周波数ｆｃよりも高い周
波数ｆ３の信号を印加している。

【００４６】この回路は図２１に示すように、正常時に
はｆ１，ｆ２，ｆ３の全てに交番信号が入力されたとき
のみ出力３に交番信号を出力する回路で、この動作は普
通のフェールセーフＡＮＤ回路と同一である。

【００４７】フェールセーフＡＮＤの唯一のフェールア
ウト故障モードは、フリップフロップのクロック入力が
そのままＱ出力に現れてしまう故障モードである。この
ようなモードの故障が最終段のフリップフロップで発生
した場合には、最終段のフリップフロップに交番信号が
入力されれば図２２に示すように他の入力には関係なく
交番信号が出力３より出力されてしまう。この時、出力
３の周波数はｆ３となり、フェールセーフＡＮＤ回路の
後段の回路７の最高動作周波数ｆｃよりも高くなる。従
って図２３に示すように、回路７は最高動作周波数ｆｃ
よりも高い周波数では動作できないため回路７の出力端
子３０には出力が現れない。従って、最終段のフリップ
フロップでクロック入力がそのままＱ出力に現れてしま
う故障が発生しても、誤って危険側出力が出力されるこ
とがないのでフェールセーフ性を持たせることができ
る。

【００４８】図２４はフェールセーフＡＮＤ回路を構成
するフリップフロップのＣＬＫ入力がＱ出力より出てし
まう故障がそれぞれのフリップフロップで発生した場合
に観測される出力３と出力３を停止させるための対策を
まとめたものである。図２４よりわかるように出力３を
モニタすることにより故障を検出することができる。さ
らに本発明が提供する図１０に示す実施例によれば、効
果的にテストパターンを注入できるので故障の潜在を防
止することができる。一方故障時に出力３を停止させる
ための対策はＦＦ１，ＦＦ２，ＦＦ３と後段になるに従
って減ってくる。特に最終段のＦＦ３では本実施例の他
にはｆ３入力を停止するほかは故障時に出力３を停止さ
せるための手段がない。つまり本実施例がなければ、万
一ＦＦ３の他に何らかの原因でｆ３が連続して出力され
てしまう故障が発生した場合には、出力３は連続して出
力されてしまう。従って、ＦＦ３とｆ３を生成する回路
の故障、つまり２重故障によりシステムは危険側出力を
出しフェールアウトとなる。これに対してＦＦ１，ＦＦ
２はそれぞれ４重故障，３重故障が発生して初めてフェ
ールアウトとなる。フェールアウトが人命に関わるよう
な用途に用いられるシステムでは、安全のために多重故
障が発生してもフェールアウトとならないように考慮す
る必要がある。そこで本実施例によれば、従来２重故障
によりフェールアウトとなってしまっていたところを、
出力を停止してフェールアウトとなることを防止するこ
とができる。

【００４９】図２５はさらにフェールセーフＡＮＤ回路
の全てのフリップフロップのクロック入力がＱ出力より
出てしまうモードの故障の影響を防止する実施例であ
る。本実施例ではフリップフロップのクロック端子に入
力されるフェールセーフＡＮＤ回路の入力周波数ｆ１，
ｆ２，ｆ３の全てをフェールセーフＡＮＤ回路の後段の
回路７の最高動作周波数ｆｃよりも高くしている。本実
施例によれば、フェールセーフＡＮＤ回路を構成するフ
リップフロップのうちどのフリップフロップでクロック
入力がＱ出力より出てしまうモードの故障が発生した場
合でも、出力３の出力は後段の回路７の最高動作周波数
ｆｃよりも周波数が高いため回路７は動作せずに出力３
０に信号が現れない。従って本実施例によればフェール
セーフAND回路の全てのフリップフロップのクロック入
力がＱ出力より出てしまうモードの故障の影響を防止す
ることができることがわかる。

【００５０】ただし、入力周波数ｆ１，ｆ２，ｆ３の全
てが回路７の最高動作周波数ｆｃよりもはるかに高い場
合には、フェールセーフＡＮＤ回路で故障が発生してい
ない正常時の出力も最高動作周波数ｆｃよりも高い周波
数となってしまう。そこで、例えばｆ１，ｆ２をｆｃ＜
ｆ１＜２ｆｃ，ｆｃ＜ｆ２＜２ｆｃとなるように選定す
れば、図２１に示すようにｆ１／２，ｆ２／２オーダー
の出力が得られるため、図２６に示すように正常時の出
力３は回路７の最高動作周波数ｆｃより低く、異常時の
出力３は回路７の最高動作周波数ｆｃより高くなる。従
って、本実施例によればフェールセーフＡＮＤ回路の全
てのフリップフロップのクロック入力がＱ出力より出て
しまうモードの故障の影響を防止することができる。

【００５１】以上述べたように、図２５の実施例によれ
ばフェールセーフＡＮＤ回路の後段の回路７が急峻な高
域での減衰特性を有していればフェールセーフＡＮＤ回
路の全てのフリップフロップのクロック入力がＱ出力よ
り出てしまうモードの故障の影響を防止することができ
る。一方図２０の実施例では最終段のフリップフロップ
のクロック入力がＱ出力より出てしまうモードの故障の
影響を防止するのに留まるが、フェールセーフＡＮＤ回
路の後段の回路７には急峻な高域での減衰特性は要求さ
れず、通常の回路の周波数特性で実現できるので特にフ
ィルターを付加することは不要である。

【００５２】図２０〜図２６に示す実施例を実現する際
には回路７の最高動作周波数ｆｃより高い周波数の信号
が必要となる。この信号の生成方法としては、以下の通
り考えられる。

【００５３】(1) 冗長化した各モジュールの生存通知信
号 (2) クロック信号 (3) 特開平7−234801 号によるセルフチェッキング比較
器 これらの方式の内、(3）による実施例について以下説明
する。

【００５４】なお、図２０〜図２６の実施例では簡単の
ために３入力のフェールセーフAND回路について説明し
たが、一般にＮ３入力のフェールセーフＡＮＤ回路につ
いても同様に実現が可能であることはいうまでもない。

【００５５】＜４．第２，第３の目的を相乗効果により
達成するための実施例＞図２７に本発明の第２の目的で
ある処理過程の正常性も保証するフェールセーフシステ
ムを提供することと、本発明の第３の目的であるフェー
ルセーフＡＮＤのフェールアウト故障モードをなくすこ
とを相乗効果により達成するための実施例を示す。本実
施例の構成は基本的には図１８の構成に示す構成と同じ
である。図２７の実施例では、通常の比較器の代わりに
セルフチェッキング比較器５′を、通常のＡＮＤ回路の
代わりに図２８に示すようにフリップフロップから構成
され、セルフチェッキング比較器５′からの出力３３を
入力するフリップフロップ（ＦＦ３）を最終段としたフ
ェールセーフＡＮＤ回路を用い、さらにフェールセーフ
ＡＮＤ回路の出力は出力駆動回路７１を経て出力３０と
なっている。

【００５６】この構成は出力３１，３２，３３の全てに
交番信号が現れたときのみ出力３に交番信号を出すため
フェールセーフな構成となっている。

【００５７】なお、この構成を実現するためには、セル
フチェッキング比較器５′もモジュール１１，１２のデ
ータバス１１１，１２１，アドレスバス１１２，１２
２，コントロールバス１１３，１２３が一致していると
きには出力３３として交番信号を出力するものでなけれ
ばならない。先に述べたように発明者らが既に出願して
いる特願平6−27664号のようなセルフチェッキング比較
器は、比較対象の信号が一致し、かつ比較器自身が正常
なときにのみ出力３３として交番信号を出力するのでこ
の条件に合致している。

【００５８】ここで、フェールセーフＡＮＤ回路の入出
力の正常時の周波数関係を考えて見る。セルフチェッキ
ング比較器５′の出力３３はバスサイクルごとに反転す
るのでバスサイクルと同じ周波数（通常数ＭＨｚ〜数百
ＭＨｚ程度）となる。一方、モジュール１１，１２の出
力３１，３２はソフトウェアによる出力インタフェース
２１〜２ｎへのアクセスによって反転させるのでセルフ
チェッキング比較器５の出力３３と比べるとはるかに低
い周波数（通常数百Ｈｚ〜数ｋＨｚ程度）となる。ま
た、フェールセーフＡＮＤの出力はセルフチェッキング
比較器５の出力３３，モジュール１１，１２の出力３
１，３２の全ての信号の立上りが一巡して反転するの
で、モジュール１１，１４の出力３１，３２の１／２の
周波数となる。なお、図２９のようにフェールセーフＡ
ＮＤ回路の出力が接続されている出力駆動回路７の最高
動作周波数ｆｃは電力用素子で構成した場合は通常１０
０Ｈｚ程度から数ｋＨｚ程度である。

【００５９】続いて、先に述べたモードの故障が発生し
た場合を考えて見る。この場合フェールセーフＡＮＤの
出力３にはセルフチェッキング比較器５の出力３３がそ
のまま現れる。従ってフェールセーフＡＮＤの出力３は
図２９に示すように出力駆動回路７１の帯域を大きく逸
脱する。従ってフェールアウトモードの故障が発生して
も出力３０に信号が現れないためにフェールセーフとな
る。

【００６０】

【発明の効果】以上述べたように本発明によれば、最終
出力回路のテストを容易にして早期の故障発見が可能と
なる。さらにモジュールからの出力の照合に、モジュー
ル内部の信号線の比較チェックも加えることにより誤り
検出の早期化，誤り検出率向上が可能となる。またさら
にフェールセーフ回路のフェールアウトを防ぎ、システ
ムのフェールセーフ性，安全性を著しく向上させること
ができる。

【図面の簡単な説明】

【図１】本発明の基本的な実施例。

【図２】出力インタフェース２ｉの構成（レジスタイメ
ージ）。

【図３】出力インタフェース２１の構成（レジスタイメ
ージ）。

【図４】出力インタフェース２ｉの構成。

【図５】出力インタフェース２ｉの構成（アナログ出
力）。

【図６】多数決回路を使用した実施例。

【図７】多数決回路の構成。

【図８】多数決回路の入出力真理値表（正常時）。

【図９】多数決回路の入出力真理値表（故障時）。

【図１０】ＡＮＤ回路を使用した実施例。

【図１１】ＡＮＤ回路の入出力真理値表（正常時）。

【図１２】ＡＮＤ回路の入出力真理値表（故障時）。

【図１３】フェールセーフＡＮＤ回路を使用した実施
例。

【図１４】フェールセーフＡＮＤ回路の動作（正常
時）。

【図１５】中間値選択回路を使用した実施例。

【図１６】遮断スイッチ６を設けた実施例。

【図１７】バスを比較する実施例。

【図１８】比較器の出力をＡＮＤ回路に入力した実施
例。

【図１９】フェールセーフＡＮＤ回路を使用した実施
例。

【図２０】フェールセーフＡＮＤ回路のフェールアウト
故障を考慮した実施例。

【図２１】フェールセーフＡＮＤ回路の動作（正常
時）。

【図２２】フェールセーフＡＮＤ回路の動作（故障
時）。

【図２３】フェールセーフＡＮＤ回路入出力信号の周波
数関係。

【図２４】故障個所とその対策。

【図２５】フェールセーフＡＮＤ回路のフェールアウト
故障を考慮した実施例。

【図２６】フェールセーフＡＮＤ回路入出力信号の周波
数関係。

【図２７】バスを比較し、かつフェールセーフＡＮＤ回
路のフェールアウト故障を考慮した実施例。

【図２８】フェールセーフＡＮＤ回路への信号接続。

【図２９】フェールセーフＡＮＤ回路入出力信号の周波
数関係。

【符号の説明】

３…出力、４…最終出力回路、５…比較器、６…遮断ス
イッチ、１１〜１ｎ…モジュール、２１〜２ｎ…出力イ
ンタフェース、３１〜３ｎ…（モジュール１１〜１ｎ
の）出力、４１…多数決回路、４２…ＡＮＤ回路、４３
…中間値選択回路。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 宮崎 直人 茨城県日立市大みか町七丁目１番１号 株 式会社日立製作所日立研究所内 (72)発明者 糟谷 直大 茨城県ひたちなか市市毛1070番地 株式会 社日立製作所水戸工場内 Ｆターム(参考） 5B034 AA05 CC01 DD03 DD06 5B048 AA01 AA17 DD05 FF03

Claims (5)

【特許請求の範囲】
1. 【請求項１】同一の命令を同期して実行する複数のモジ
   ュールからなる冗長システムにおいて、 前記複数のモジュール内の内部信号同士を比較し、前記
   複数のモジュール内の内部信号同士が一致したときには
   真の値を、一致していないときには偽の値を出力する比
   較器の出力信号と、前記複数のモジュールからの出力と
   を論理積回路に入力し、 該論理積回路の出力をシステムの出力とすることを特徴
   とする冗長システム。
2. 【請求項２】請求項１記載の冗長システムにおいて、 前記内部信号が前記複数のモジュール内のプロセッサか
   ら出力されるアドレスバス，データバス、またはコント
   ロールバスの信号であることを特徴とする冗長システ
   ム。
3. 【請求項３】請求項１記載の冗長システムにおいて、 前記比較器が交番信号を真の値として出力し、 前記論理積回路が交番論理の論理積回路、即ち全ての入
   力に交番信号が入力されたときのみ交番信号が出力され
   る論理回路であることを特徴とする冗長システム。
4. 【請求項４】請求項３記載の冗長システムにおいて、 前記論理積回路が複数のＤ−フリップフロップ列から構
   成され、 該Ｄ−フリップフロップのＱ出力端子またはＱの反転出
   力端子が次段のＤ−フリップフロップのＤ入力端子に接
   続され、 最終段のＤ−フリップフロップのＱ出力端子またはＱの
   反転出力端子を前記論理積回路とし、 前記最終段のＤ−フリップフロップのＱ出力端子または
   Ｑの反転出力端子が初段のＤ−フリップフロップのＤ入
   力端子に接続され、 前記論理積回路への入力がそれぞれ該Ｄ−フリップフロ
   ップのクロック入力端子に接続されていることを特徴と
   する冗長システム。
5. 【請求項５】請求項４記載の冗長システムにおいて、 前記論理積回路を構成する最終段のＤ−フリップフロッ
   プのクロック入力端子に前記比較器からの出力を接続
   し、 前記論理積回路の後段に接続される回路の最高動作周波
   数よりも前記比較器からの交番信号の周波数が高いこと
   を特徴とする冗長システム。