JP2006344086A - データ照合装置，データ照合方法，データ制御装置及びデータ制御方法 - Google Patents

Abstract

【課題】
複数のプロセッサを用いた装置について、小型高性能化，安全性向上と可用性向上を可能とすることにある。
【解決手段】
共通のデータ処理対象に対して２以上の系で互換が可能に処理された処理結果を入力し、前記２以上の系での処理結果に対してデータ照合するデータ照合装置において、前記２以上の系での処理結果が互いに共通のデータ処理対象に対してなされたことをデータ共通性として判断し、前記２以上の系での処理結果が許容範囲であるかをデータ許容性として判断し、前記データ照合は、前記データ共通性及びデータ許容性によってなされるように構成した。
【選択図】図１

Description

本発明は、データ，データ照合方法，データ制御装置及びデータ制御方法に関する。

原子力プラントや化学プラントなど潜在的な危険性の高いプロセス設備では、万が一の事態に作業員および周辺環境への影響を低減するため、隔壁等の防護設備による受動的な対策および、緊急停止装置等の安全装置を用いる能動的な対策が講じられる。このうち、安全装置等の制御手段は、従来リレー等の電磁的・機械的手段により実現されていた。しかし、近年、Programmable Logic Controller（ＰＬＣ）に代表されるプログラム可能な制御機器における技術の発展に伴い、これらを安全制御システムの制御手段として利用するニーズが高まっている。

非特許文献１のIEC61508は、そのような動向に対応して発行された国際規格であり、電気的／電子的／プログラム可能な電子的装置を安全制御システムの一部に利用する場合の要件が規定されている。IEC61508では、安全制御システムの能力の尺度としてSafety
Integrity Level（ＳＩＬ）を定義し、１から４までのレベルに対応する水準の要求事項を規定している。ＳＩＬが高いほどプロセス設備の持つ潜在的な危険性を低減できる度合が大きいことを示す。すなわち、プロセス設備の異常を検出した際、どれだけ確実に所定の安全制御を実施できるかを意味する。

安全制御装置は、通常稼働状態で非活性となっていても、プロセス設備の異常発生時には直ちに活性化することを求められる。そのため、常時自己診断を行い、自身の健全性をチェックし続けることが重要となる。また、高いＳＩＬが要求される安全制御システムでは、未検出の故障によりシステムが不動作となる確率を極小とするため、広範囲・高精度な自己診断を実施する必要がある。

IEC61508では、安全制御装置を構成する要素部品の種類ごとに、各々適用される自己診断技法を紹介し、それぞれの技法の有効性を診断率という形で示している。診断率は、各構成要素における全故障のうち、その診断技法を採用したとき検出可能な故障の割合を示す。例えば、非特許文献２に引用されているＲＡＭの診断技法“abraham” では、最高
９９％の診断率を主張可能であるとされている。

また、各構成要素の一つであるプロセッサの故障検出手段としては、複数のプロセッサを用いて、相互の出力結果の整合性を監視する方法が有効である。

複数のプロセッサの出力相互診断手段としては、各々のプロセッサが同様の制御処理を同時に実行し、その出力が一致していることを確認しあう手法が効果的である。

この代表的な公知例として、特許文献１にあるように２つのプロセッサを同期して実行させるとともに、入力値も同一の情報とすることで、出力を一致化させる手法により、双方のプロセッサの出力値を比較し一致性を確認する方法が挙げられる。

特開２００４−２３４１４４号公報 International Electrotechnical Comission(IEC)，"IEC61508： Functional Safety of Electrical／Electronic／Programmable Electronic safety related systems" R. Nair, S. M. Thatte, J. A. Abraham，"Efficient Algorithmsfor Testing Semiconductor Random-Access Memories，"IEEE trans. comput. C-27(6),572-576,1978

プログラマブル電子装置に要求される信頼性の要素には可用性と安全性がある。機器の制御では可用性が重要となり、機器の保護では安全性が重要となる。これら２要素の実現手段は二律背反している部分が多い。

このため、従来は可用性を担う部分装置と安全性を担う部分装置に分けるのが常識とされてきた。このために装置が大型化するだけでなく、運転・保守作業の重複・複雑化が人的要素の信頼性低下を招くことがあった。

本発明の目的は、複数のプロセッサを用いた装置について、小型高性能化，安全性向上と可用性向上を可能とするデータ照合装置，データ照合方法，データ制御装置及びデータ制御方法を提供することにある。

上記目的を達成するために、本発明では、共通のデータ処理対象に対して２以上の系で互換が可能に処理された処理結果を入力し、前記２以上の系での処理結果に対してデータ照合するデータ照合装置において、前記２以上の系での処理結果が互いに共通のデータ処理対象に対してなされたことをデータ共通性として判断し、前記２以上の系での処理結果が許容範囲であるかをデータ許容性として判断し、前記データ照合は、前記データ共通性及びデータ許容性によってなされるように構成した。

あるいは、一つ以上の制御タスクおよびオペレーティングシステムを格納する記憶装置と、前記制御タスクおよび前記オペレーティングシステムを実行するための制御装置（プロセッサ）を少なくとも２つと、各々の制御装置（プロセッサ）からの出力値を比較判定するための出力値格納バッファを備えた比較回路と周辺機器，メモリなどへの装置に入出力する入出力回路を備えるコントローラにおいて、各々の制御装置（プロセッサ）の出力値を参照できる照合バッファを備えることを特徴とする。

さらに、照合すべきデータの対象が一致していることを確認する照合ＩＤバッファを備えても良い。ここで、前記照合バッファと照合ＩＤバッファの領域割り当て手段において、一方の制御装置からの書き込みと参照が可能なエリアは、他方の制御装置からは参照のみ可能とし、相互で同一の領域をアクセスすることで自系照合バッファへの書き出しと相手照合バッファの参照、および自系照合ＩＤバッファへの書き出しと相手照合ＩＤバッファの参照を実施できるようにすることで、複数の制御装置上で動作する制御タスクを共通にすることを特徴とする。

さらに、前記比較回路中の出力値格納バッファにおいても、各々の制御装置が同一の領域をアクセスすることで、各々の制御装置に対応した出力値格納バッファと比較要求フラグバッファを操作できるようにすることで、複数の制御装置上で動作する出力照合にかかわる制御タスクを共通にすることを特徴とする。

ところで、高い安全性が要求される制御システムでは、複数の制御装置の出力を比較し、一致性を確認後出力する手法がとられているが、この手法によると、各制御装置の動作タイミングを一致させるとともに、各制御装置への制御入力情報も同じ値に一致させることで、出力を一致させていた。

しかしながら、制御対象が複雑になるにつれ、制御装置も高機能化が進み、制御装置自身も複雑になり、完全な同期動作が困難になりつつある。この結果、入力値を一致化させても、各々の制御タイミングの差異により、時間パラメータを使用する演算出力結果など、出力値にも差異が発生することが問題となっている。

また、アナログ入力等のセンサを、各制御装置に個別に接続し、多点観測して制御する要求もあり、この場合は各々の制御装置間で演算結果に差異が発生することになる。

このため、同期ずれや、制御出力情報の差異を見越した、出力データの一致化方式が必要である。さらにまた、処理速度の観点からは、出力の一致性確認による処理速度の低下は否めない。そこで、実際の制御対象には機械設備など高い信頼性を要求されるものと、モニタ出力など比較的信頼性が低くても良いものがある点を利用し、高い信頼性を要求される処理対象には出力情報の一致性確認をした結果で出力し、比較的信頼性が低くても良い制御対象には出力情報の一致性確認を実施しないことにより、処理速度の向上を図るのが良策である。

そしてさらに、比較的信頼性が低くても良い制御対象の制御は各制御機器に分散して実行し、システム全体の処理能力を向上させることもできる。

そして、制御ソフトウェアの開発効率向上のためには、出力データの一致化にかかわる処理は制御装置間で共通にすることが望ましいことは言うまでもない。

本発明によれば、複数のプロセッサを用いた装置について、小型高性能化，安全性向上と可用性向上を可能となる。

以下、発明を実施するための最良の形態を説明する。

まず、概略を説明すると、高信頼な制御を目的とする制御装置において、複数の制御装置間の出力値を照合し、一致性確認論理や多数決論理、により、出力値の不整合を検出する機能を備えたデータ照合であり、特に、前記制御装置間で不整合の発生を予見し、最終出力前に相互の出力値を参照し、誤差が許容範囲以内であれば、出力値を制御装置間で一致化して出力することで、可用性を向上させるデータ照合である。

さらに、図面を用いて詳細に説明する。本発明の第１の実施形態である制御システムの構成を図１に示す。

ここでは、制御装置が２個の場合について説明するが、実際の実施形態において制御装置の台数に制限は無く、それにより本発明が制約を受けることはない。

制御装置Ａ ００１および制御装置Ｂ ００２は、各々１つ以上の制御タスクＡ 003（制御タスクＢ ００４）により、制御処理を実行する装置であり、制御装置の基本的な構成要素であるプロセッサとメモリおよび入出力回路を有するものである。ここでの説明において、制御装置の基本的な構成要素であるプロセッサとメモリおよび入出力回路は特に明示しないものとする。

制御装置Ａは、入力信号０２９と出力信号０３０により照合回路０３５に接続される。

制御装置Ａは、出力信号０３３により出力比較回路０３６に接続される。

制御装置Ａは、出力信号０６１により高信頼制御が要求されない制御対象０６３に接続される。

同様に制御装置Ｂは、信号０３１，０３２，０３４，０６２により照合回路０３５と出力比較回路０３６および高信頼制御が要求されない制御対象０６４に接続される。

また、制御装置Ａ ００１および制御装置Ｂ ００２には、各々の装置番号を示す装置番号Ａ ０６６と装置番号Ｂ ０６７が割り当てられる。

制御装置番号は、各々の制御装置にユニークに割り当てられ、各々の制御タスクが参照可能である。

照合回路０３５は、データ照合領域物理空間０６５と、制御装置Ａのインタフェースとして制御装置Ａ ＩＤ論理空間００５と制御装置Ａ ＤＡＴＡ論理空間００６および制御装置Ｂのインタフェースとして制御装置Ｂ ＩＤ論理空間００７と制御装置Ｂ ＤＡＴＡ論理空間００８より構成される。

データ照合領域物理空間０６５は、空間名称ＩＤ＿Ａ ０２５，ＩＤ＿Ｂ ０２６，
ＤＡＴＡ＿Ａ ０２７，ＤＡＴＡ＿Ｂ ０２８の領域を持つ。

ここで、空間名称ＩＤ＿Ａ ０２５，ＩＤ＿Ｂ ０２６は、照合の対象とするデータ毎にユニークに付けられる番号を格納する空間であり、照合対象データが一致していることを確認するために設ける。

従って、制御装置Ａ ００１と制御装置Ｂ ００２で照合対象となるデータに対する番号は同一である必要がある。

尚、この番号は制御装置内でデータ毎にユニークであれば良く、データのアドレス等を用いても構わない。

ＩＤ論理空間００５,００７は、空間名称自系ＩＤ ００９,０１３と相手ＩＤ ０１０，０１４の領域を持つ。

ＤＡＴＡ論理空間００６，００８は、空間名称自系ＤＡＴＡ ０１１，０１５と相手
ＤＡＴＡ ０１２，０１６の領域を持つ。

制御装置Ａ ＩＤ論理空間００５の、空間名称自系ＩＤ ００９は、信号線０１７により、データ照合領域物理空間０６５の空間名称ＩＤ＿Ａ ０２５と対応付けされ、空間名称相手ＩＤ ０１０は信号線０１８により、データ照合領域物理空間０６５の空間名称
ＩＤ＿Ｂ ０２６対応付けされる。

制御装置Ａ ＤＡＴＡ論理空間００６の、空間名称自系ＤＡＴＡ ０１１は信号線019により、データ照合領域物理空間０６５の空間名称ＤＡＴＡ＿Ａ ０２７と対応付けされ、空間名称相手ＤＡＴＡ ０１２は信号線０２０により、データ照合領域物理空間０６５の空間名称ＤＡＴＡ＿Ｂ ０２８対応付けされる。

一方、制御装置Ｂ ＩＤ論理空間００７の、空間名称自系ＩＤ ０１３は、信号線021により、データ照合領域物理空間０６５の空間名称ＩＤ＿Ｂ ０２６と対応付けされ、空間名称相手ＩＤ ０１４は信号線０２２により、データ照合領域物理空間０６５の空間名称ＩＤ＿Ａ ０２５対応付けされる。

制御装置Ｂ ＤＡＴＡ論理空間００８の、空間名称自系ＤＡＴＡ ０１５は信号線023により、データ照合領域物理空間０６５の空間名称ＤＡＴＡ＿Ｂ ０２８と対応付けされ、空間名称相手ＤＡＴＡ ０１６は信号線０２４により、データ照合領域物理空間０６５の空間名称ＤＡＴＡ＿Ａ ０２７対応付けされる。

これにより、制御タスクＡ ００３と制御タスクＢ ００４から参照される論理空間
０３７，０３８は、同一のマッピングとなり、制御タスクＡ ００３と制御タスクＢ
００４は同一にできる。

出力比較回路０３６は、出力比較部物理空間０３９と、制御装置Ａ出力論理空間０３７と制御装置Ｂ出力論理空間０３８、および一致性確認回路０５８より構成され、応答信号
０５２により制御装置Ａと制御装置Ｂに接続される。

ここで、応答信号０５２は、正常終了応答のほかに、不一致応答，タイムアウト応答，アクセスエラー応答など、複数の状態を報告できるプロトコルを有するものであり、単線、複線などの手段は通常用いられる技術を適宜選択してよく、それにより本発明が制約を受けることはない。

出力比較部物理空間０３９は、空間名称ＲＥＱ＿Ａ ０４８，ＲＥＱ＿Ｂ ０４９，書き込み情報＿Ａ ０５０，書き込み情報＿Ｂ ０５１の領域を持つ。

ここで、書き込み情報＿Ａ ０５０，書き込み情報＿Ｂ ０５１は、データ出力の情報を格納する空間であり、書き込み先のアドレスと書き込みデータを格納する。

また、ＲＥＱ＿Ａ ０４８は、書き込み情報＿Ａ ０５０の、ＲＥＱ＿Ｂ ０４９は、書き込み情報＿Ｂ ０５１に対応する比較出力要求フラグであり、このエリアに要求フラグが格納されると、対応する書き込み情報が格納されたことを示し、一致性確認回路058による比較判定出力処理の起動条件となる。

一致性確認回路０５８の動作については後述する。

出力論理空間０３７，０３８は、各々空間名称要求フラグ０４０，０４２と書き込み情報０４１，０４３の領域を持つ。

制御装置Ａ出力論理空間０３７の空間名称要求フラグ０４０は、信号線０４４により、出力比較部物理空間０３９の空間名称ＲＥＱ＿Ａ ０４８に対応付けされ、空間名称書き込み情報０４１は、信号線０４５により空間名称書き込み情報＿Ａ ０５０に対応付けされる。

一方、制御装置Ｂ出力論理空間０３８の空間名称要求フラグ０４２は、信号線０４６により、出力比較部物理空間０３９の空間名称ＲＥＱ＿Ｂ ０４９に対応付けされ、空間名称書き込み情報０４３は、信号線０４７により空間名称書き込み情報＿Ｂ ０５１に対応付けされる。

これにより、制御タスクＡ ００３と制御タスクＢ ００４から参照される論理空間
０３７，０３８は、同一のマッピングとなり、制御タスクＡ ００３と制御タスクＢ
００４は同一にできる。

一致性確認回路０５８は、入力信号０５３，出力信号０５４により出力比較部物理空間０３９の空間内の参照と更新ができる。

また、一致性確認回路０５８は出力要求信号と０５６，出力応答信号０５５により出力回路（一致性確認回路）０５８に接続される。

出力回路（一致性確認回路）０５８は、信号線０５９により、高信頼制御が要求される制御対象０６０に制御情報（データ）を出力する。

ここで、各装置間を接続する入出力信号（バス）は、単純なプロセッサバスのほか、
Peripheral Component Interconnect(ＰＣＩ) バス等、通常用いられる技術を適宜選択してよく、それにより本発明が制約を受けることはない。

以下、制御タスクＡおよび制御タスクＢの動作による本発明の実施例を図１と図２のフローチャートおよび一致性確認回路０５８の動作説明である図３のフローチャートを用い説明する。

前述のとおり制御タスクＡ ００３および制御タスクＢ ００４は同一にすることができるため、ここでの説明は、制御装置Ａ ００１の制御タスクＡ ００３の動作を主体に実施する。

説明中の（ ）内の３文字の英数字は、フローチャートの番号を示す。

制御タスクＡ ００３は、制御対象が高信頼制御が要求される制御対象０６０か高信頼制御が要求されない制御対象０６３かを判定し（１１９）、高信頼制御が要求されない制御対象０６３であった場合、高信頼制御が要求されない制御対象０６３に対し、信号線
０６１により制御データを出力する（１２０）。

制御対象が高信頼制御が要求される制御対象０６０であった場合は、出力処理のタイムアウト監視をスタート（１００）させ、制御装置Ａ ＤＡＴＡ論理空間０１１の空間名称自系ＤＡＴＡ ０１１に対し照合対象の出力データをセット（１０１）する。

空間名称自系ＤＡＴＡ ０１１は、信号線０１８により、データ照合領域物理空間065の空間名称ＤＡＴＡ＿Ａ ０２７に対応付けされているため、実際の照合対象の出力データはデータ照合領域物理空間０６５の空間名称ＤＡＴＡ＿Ａ ０２７に格納される。

その後、制御タスクＡ ００３は、照合対象データのＩＤとして、制御装置Ａ ＩＤ論理空間００５の、空間名称自系ＩＤ ００９に照合対象データ毎にユニークな値（例えばアドレス）をセット（１０２）する。次に、自系ＩＤ ００９と相手ＩＤ ０１０の比較（１０３）を実施し、照合対象データが一致することを待ち合わせる。

この待ち合わせにより、制御装置間の同期ずれを吸収することができる。

自系ＩＤ ００９と相手ＩＤ ０１０の比較（１０３）の結果が不一致中にタイムアウト（１０４）となった場合は、制御装置Ｂ ００２の制御タスクＢ ００４の誤判定を防止するため、自系ＩＤ ００９をクリア（１１７）し、その後異常処理（１１８）を実行する。

所定時間内に自系ＩＤ ００９と相手ＩＤ ０１０の比較（１０３）の結果が一致すると、制御装置Ａ ００１と制御装置Ｂ ００２の照合対象データが準備できたと判断し、制御タスクＡは、自系ＤＡＴＡ ０１１と相手データ０１２の比較（１０５）を実施する。

この自系ＤＡＴＡ ０１１と相手データ０１２の比較（１０５）の結果、不一致が発生していた場合は、自系ＤＡＴＡ ０１１と相手データ０１２間の差異が許容範囲か判断
（１０６）し、許容範囲外であった場合は、制御装置Ｂ ００２の制御タスクＢ ００４の誤判定を防止するため、自系ＩＤ ００９をクリア（１１７）し、その後異常処理
（１１８）を実行する。

制御タスクＢ ００４も同様である。

制御タスクＡ ００３は、自系ＤＡＴＡ ０１１と相手データ０１２間の差異が許容範囲か判断（１０６）した結果、許容範囲内であった場合は、次回のデータ照合に備えて自系ＩＤ ００９をクリア（１１６）後、自身の制御装置番号０６６によりＡ系と判断し、自系ＤＡＴＡ ０１１を用い、信号線０３３を使用し比較回路０３６に対してアクセス
（１０８）を実施する。

一方、制御タスクＢ ００４は、自系ＤＡＴＡ ０１５と相手データ０１６間の差異が許容範囲か判断（１０６）した結果、許容範囲内であった場合は、次回のデータ照合に備えて自系ＩＤ ０１３をクリア（１１６）後、自身の制御装置番号０６７によりＢ系と判断し、相手ＤＡＴＡ ０１６を用い、信号線０３４を使用し比較回路０３６に対してアクセス（１０９）を実施する。

つまり、制御タスクＡ ００３が使用する自系ＤＡＴＡ ０１１は、データ照合領域物理空間の空間名称ＤＡＴＡ＿Ａ ０２７を示し、制御タスクＢ ００４が使用する相手
ＤＡＴＡ ０１６も、データ照合領域物理空間の空間名称 ＤＡＴＡ＿Ａ ０２７を示すため、出力結果が一致することになる。

ここで、空間名称ＤＡＴＡ＿Ａ ０２７を使用することは必須ではなく、請求項２，請求項４，請求項５，請求項６に示すように、データの一致性を実現する手段のいずれを使用してもかまわず、それにより本発明が制約を受けることはない。

また、制御タスクＡ ００３による自系ＤＡＴＡ ０１１と相手データ０１２の比較
(１０５)の結果、一致していた場合も同様に次回のデータ照合に備えて自系ＩＤ ００９をクリア（１１６）後、自身の制御装置番号０６６によりＡ系と判断し、自系ＤＡＴＡ ０１１を用い、信号線０３３を使用し比較回路０３６に対してアクセス（１０８）を実施する。

制御タスクＢ ００４も同様に、自系ＤＡＴＡ ０１５と相手データ０１６間が一致していた場合は、次回のデータ照合に備えて自系ＩＤ ０１３をクリア（１１６）後、自身の制御装置番号０６７によりＢ系と判断し、相手ＤＡＴＡ ０１６を用い、信号線０３４を使用し比較回路０３６に対してアクセス（１０９）を実施する。

制御タスクＡ ００３による出力比較回路０３６へのアクセスは、制御装置Ａ出力論理空間０３７に対して実施し、空間名称書き込み情報０４１にアドレスやデータなどの情報を書き込み（１１０）、その後、空間名称要求フラグ０４０に対し書き込み要求有りを設定（１１１）し、出力比較回路０３６からの応答を待つ（１１４）。

この結果、信号線０４４と信号線０４５で示すように対応付けされた、空間名称書き込み情報＿Ａ ０５０とＲＥＱ＿Ａ ０４８に情報が格納される。

制御タスクＢ ００４による出力比較回路０３６へのアクセスも同様に、制御装置Ｂ出力論理空間０３８に対して実施し、空間名称書き込み情報０４３にアドレスやデータなどの情報を書き込み（１１２）、その後、空間名称要求フラグ０４２に対し書き込み要求有りを設定（１１３）し、出力比較回路０３６からの応答を待つ（１１４）。

この結果、信号線０４６と信号線０４７で示すように対応付けされた、空間名称書き込み情報＿Ｂ ０５１とＲＥＱ＿Ｂ ０４９に情報が格納される。

出力比較回路０３６からの応答信号０５２が正常応答であった場合は、タスクを正常終了とする。もしも、応答なしによるタイムアウトを検出した場合（１１５）や異常報告応答を受けた場合には、誤判定を防止するため、自系ＩＤ ００９をクリア（１１７）し、その後異常処理（１１８）を実行する。

以下、出力比較回路０３６の一致性確認回路０５８の説明を図３のフローチャートを用い説明する。

一致性確認回路０５８は、書き込み要求フラグである空間名称ＲＥＱ＿Ａ ０４８と
ＲＥＱ＿Ｂ ０４９のいずれかに要求があるかをチェックする（２００）。

ＲＥＱ＿Ａ ０４８とＲＥＱ＿Ｂ ０４９のいずれかに要求がある場合は、異常監視として出力比較のタイムアウト監視をスタートする（２０１）。

その後、ＲＥＱ＿Ａ ０４８とＲＥＱ＿Ｂ ０４９の両者に要求が立つまで待ち合わせする。

この待ち合わせ中にタイムアウト（２０３）となった場合は、異常報告応答としてタイムアウトを報告する（２０４）。

所定の時間内にＲＥＱ＿Ａ ０４８とＲＥＱ＿Ｂ ０４９の両者に要求が立った場合は、書き込み情報＿Ａ ０５０と書き込み情報＿Ｂ ０５１が一致しているかを判定する
（２０５）。

判定の結果、不一致だった場合、異常報告応答として不一致報告を実施する（２０９）。

判定の結果、一致している場合、出力情報は正常と判断し、出力回路０５７に出力要求信号０５６を発行(２０６)し、出力回路０５７からの出力応答信号０５５を待つ(２０７)。

ここで、出力要求信号０５６には、アドレスやデータなどの書き込み情報を含むものとする。

一致性確認回路０５８は、出力回路０５７からの出力応答信号０５５を待つ（２０７）最中に、タイムアウトを検出した場合（２０８）異常報告応答としてアクセスエラーを報告する（２１１）。

所定の時間内に出力回路０５７からの出力応答信号０５５を受けた場合、一致性確認回路０５８は、出力回路０５７への出力要求信号０５６をオフ（２１０）し、次回の比較のためにＲＥＱ＿Ａ ０４８とＲＥＱ＿Ｂ ０４９の要求情報をクリアする（２１２）、その後、正常終了を報告し（２１３）、次回の比較要求を待つ。

尚、一致性確認回路０５８は、ハードウェアとソフトウェアのいずれかまたは両方の組み合わせで実現して良く、それにより本発明が制約を受けることはない。

以上の動作により、制御装置間の同期ずれを吸収するとともに、制御装置間で発生する許容範囲内の制御情報の修正が可能となる。

更に、出力照合にかかわる部分の論理空間を各制御装置で同一にすることで、各々の制御装置内の出力照合にかかわる制御タスクの共通化が図れる。

更に、信頼性要求が高い処理と信頼性要求が低い処理を判断して処理することができ、システム全体での制御処理能力（制御処理速度）の向上が図れる。

本発明の第２の実施の形態であるコントローラの構成を図４に示す。なお、第１の実施の形態と同じ部分の説明は省略し、特徴となる部分の説明にとどめる。

図４は、本発明のデータ照合方式により、複数の制御装置に、個別にアナログ入力装置等の入力機器を接続し、別個に制御処理を実施しながら、出力値を一致化させる制御である。

本発明の第３の実施の形態であるコントローラの構成を図５に示す。

図５は、実施例２−図４において、個別に接続された入力装置が故障した際に、別の制御装置に接続された入力装置から情報を入力し、制御処理の可用性を向上させた制御である。

本発明の第４の実施の形態であるコントローラの構成を図６に示す。

図６は、実施例１の制御タスクＡ ００３と制御タスクＢ ００４を、個別タスク068，０７０と共通タスク０６９，０７１から構成したものを例として示す。

本実施例では、共通タスク同期装置０７２を設け、共通タスクの同期をとる方法について記述するが、実施例１で説明したように処理の待ち合わせを実施できるため、共通タスク同期装置０７２は必須な装置ではなく、それにより本発明が制約を受けることはない。

共通タスク同期装置０７２は、タスクＡからＢへの同期フラグバッファ０７３とタスクＢからＡへの同期フラグバッファ０７４から構成される。

個別タスク０６８は、高信頼制御が要求されない制御対象０６３に対し、信号線０６１により制御を実施する。

同様に、個別タスク０７０は、高信頼制御が要求されない制御対象０６４に対し、信号線０６２により制御を実施する。

このとき、制御装置Ａ ００１の高信頼制御が要求されない制御対象０６３と制御装置Ｂ ００２の高信頼制御が要求されない制御対象０６４は、全く別の対象でよい。

この結果、高信頼制御が要求されない制御対象に対する処理は並列に処理される結果となり、システムの処理能力が向上する。

次に、共通タスク０６９と共通タスク０７１の処理に関し記述する。

共通タスク０６９と共通タスク０７１の処理の開始順序に制約は無いが、ここでは便宜上共通タスク０６９が先に起動されたケースに関し説明する。

共通タスク０６９は、信号線０７５により共通タスク同期装置０７２内のタスクＡからＢへの同期フラグバッファ０７３に同期フラグをセットする。

この同期フラグは、信号線０７７により、制御装置Ｂに伝えられる。

この伝搬の方法は、割り込みや、オペレーティングシステムによるポーリング等、通常用いられる技術を適宜選択してよく、それにより本発明が制約を受けることはない。

同期要求を認識した制御装置Ｂは、所定の時間内に信号線０７８により共通タスク同期装置０７２内のタスクＢからＡへの同期フラグバッファ０７４に同期フラグを設定する。

この同期フラグは、信号線０７６により、制御装置Ａに伝えられる。

共通タスク０６９は、共通タスク０７１が動作開始したことを認識した後、実施例１の図２のフローチャートに従い、出力照合の処理を実施する。

共通タスク０７１も同様に、同期フラグバッファ０７３の状態を認識し、実施例１の図２のフローチャートに従い、出力照合の処理を実施する。

以上説明したように、本実施の形態によれば、制御装置（プロセッサ）に共通の相互のデータ照合用の領域を設けることによって、各制御装置は、前記比較回路への出力前に、前記照合バッファにより、他の制御装置の出力値を知ることができ、予め出力値の差異を知ることができる。

この結果、各々の制御装置で出力値の誤差範囲が妥当であるか否かを判定し、誤差範囲が妥当である場合、自分の出力値と参照した他の制御装置の出力値を用いて制御出力として最も適した値を、共通の手法にて導出し、前記比較回路へ一致性確認のための出力ができる。

この結果、制御装置間の出力値は共通となり、前記の同期ずれや、制御出力情報の差異を見越した、出力データの一致化が可能となり、信頼性と可用性の両立が可能となる。

なお、所定時間以内に、同期フラグバッファ０７３と同期フラグバッファ０７４が一致しなかった場合は、タイムアウトエラーとし、共通タスク０６９は同期フラグバッファ
０７３を、共通タスク０７１は同期フラグバッファ０７４をクリアし誤動作に備える。

また、共通タスク０６９の処理が異常終了も含めて終了した場合は、同期フラグバッファ０７３をクリアし、次回の同期に備える。

同様に、共通タスク０７１の処理が異常終了も含めて終了した場合は、同期フラグバッファ０７４をクリアし、次回の同期に備える。

ここで、共通タスクが複数あっても、各共通タスク毎にユニークな番号を制御装置間で共通に設け、同期フラグバッファ０７３と同期フラグバッファ０７４にその番号を反映し参照しあうことで各共通タスク毎に同期化が可能となる。

本発明による第１の実施例における、制御システムの構成。 本発明による第１の実施例における、制御タスク出力動作フロー。 本発明による第１の実施例における、一致性確認回路動作フロー。 本発明による第２の実施例における、制御システムの構成。 本発明による第３の実施例における、制御システムの構成。 本発明による第４の実施例における、制御システムの構成。

符号の説明

０３５…照合回路、０３６…出力比較回路、０３９…出力比較部物理空間、０５８…一致性確認回路、０６５…データ照合領域物理空間。

Claims (15)

1. 共通のデータ処理対象に対して２以上の系でなされた処理結果を入力とし、前記処理結果は前記２以上の系で互いに互換が可能なように演算されたものであって、前記２以上の系での処理結果に対してデータ照合するデータ照合装置において、前記２以上の系での処理結果が互いに共通のデータ処理対象に対してなされたことをデータ共通性として判断する手段と、前記２以上の系での処理結果が許容範囲であるかをデータ許容性として判断する手段と、前記データ照合は、前記データ共通性及びデータ許容性によってなされることを特徴とするデータ照合装置。
2. 請求項１において、前記データ許容性を判断する手段は、前記２以上の系での処理結果が互いに一致しているかを判断する手段を含んでなり、前記一致していない場合に前記２以上の系での処理結果に基づいて、予め決められた所定の処理により、前記２以上の系での演算結果として出力する手段を有することを特徴とするデータ照合装置。
3. 請求項２において、前記許容範囲でないと判断した場合に異常を示す信号を出力する手段を有することを特徴とするデータ照合装置。
4. 請求項２において、前記２以上の系での処理結果が互いに一致していない場合、前記２以上の系での処理結果のいずれかを選択して出力することを特徴とするデータ照合装置。
5. 請求項４において、前記データ許容性を判断する手段は前記２以上の系のいずれかと関連付けられており、前記関連付けられた系での演算結果を選択して出力することを特徴とするデータ照合装置。
6. 請求項２において、前記２以上の系での処理結果が互いに一致していない場合、前記２以上の系での処理結果の中間値，平均値，最大値或いは最小値を出力することを特徴とするデータ照合装置。
7. 請求項１において、前記２以上の系での処理結果を記憶するデータ照合領域物理空間を有し、前記データ照合領域物理空間は、前記２以上の系それぞれに相当するデータ処理対象を記憶する識別領域、及び、前記２以上の系それぞれに相当する処理結果を記憶するデータ領域を有しており、前記識別領域及び前記データ領域はいずれも所定の系に対応した書き込みが可能であり、それ以外の系からは書き込みが不可能なように構成されていることを特徴とするデータ照合装置。
8. 請求項１において、所定時間内に前記データ共通性が判断された場合に、前記データ照合の動作を継続することを特徴とするデータ照合装置。
9. 請求項８において、前記所定時間に前記２以上の系で前記共通のデータ処理対象が処理されない場合、異常を示す信号を出力する手段を有することを特徴とするデータ照合装置。
10. 請求項１において、前記共通のデータ処理対象は、アナログ入力装置のデータに関するものであることを特徴とするデータ照合装置。
11. 請求項１において、２以上の系にそれぞれ入力装置が接続され、前記接続された入力装置のいずれかが故障した場合、異なる入力装置を代替的に用いることを特徴とするデータ照合装置。
12. 請求項１において、データ処理対象には、信頼性要求が相対的に高いものと低いものが含まれており、信頼性要求が高いと判断された場合に、前記データ照合を行い、信頼性要求が低いと判断された場合、２以上の系で異なるデータを処理対象として、異なるデータ処理を実行することを特徴とするデータ照合装置。
13. ２以上の系として演算する演算処理装置と、前記２以上の演算処理は共通の処理対象について互いに互換が可能なように演算するものであって、前記２以上の演算処理装置による共通のデータ処理対象に対する処理結果を入力としてデータ照合する手段と、前記２以上の演算処理装置での処理結果が互いに共通のデータ処理対象に対してなされたことをデータ共通性として判断する手段と、前記２以上の演算処理装置での処理結果が許容範囲であるかをデータ許容性として判断する手段と、前記データ照合は、前記データ共通性及びデータ許容性によってなされることを特徴とするデータ処理装置。
14. 共通のデータ処理対象に対して２以上の系でなされた処理結果を入力とし、前記処理結果は前記２以上の系で互いに互換が可能なように演算されたものであって、前記２以上の系での処理結果に対してデータ照合するものであり、前記２以上の系での処理結果が互いに共通のデータ処理対象に対してなされたことをデータ共通性として判断し、前記２以上の系での処理結果が許容範囲であるかをデータ許容性として判断し、前記データ照合は、前記データ共通性及びデータ許容性によってなされるデータ照合方法。
15. 共通のデータ処理対象に対して２以上の系として演算処理装置で互換可能に演算処理し、前記演算処理は共通のデータ処理対象に対して互換が可能に処理され、前記２以上の演算処理装置での処理結果に対してデータ照合し、前記２以上の演算処理装置での処理結果が互いに共通のデータ処理対象に対してなされたことをデータ共通性として判断し、前記２以上の演算処理装置での処理結果が許容範囲であるかをデータ許容性として判断し、前記データ照合は、前記データ共通性及びデータ許容性によってなされるデータ処理方法。
    
    
    

Images