JP2006344087A

JP2006344087A - 制御装置のタスク管理装置、及び、制御装置のタスク管理方法

Info

Publication number: JP2006344087A
Application number: JP2005170275A
Authority: JP
Inventors: Akira Bando; 明阪東; Makoto Ogura; 真小倉; Takashi Umehara; 敬梅原; Masamitsu Kobayashi; 正光小林; Hisao Nagayama; 久雄長山; Naoya Masuko; 直也益子; Masakazu Ishikawa; 雅一石川; Masahiro Shiraishi; 雅裕白石; Akihiro Onozuka; 明弘小野塚; Hiromichi Endo; 浩通遠藤
Original assignee: Hitachi Ltd; Hitachi Information and Control Systems Inc; Hitachi Information and Control Solutions Ltd
Current assignee: Hitachi Ltd; Hitachi Information and Control Systems Inc; Hitachi Information and Control Solutions Ltd
Priority date: 2005-06-10
Filing date: 2005-06-10
Publication date: 2006-12-21
Also published as: CN101329580A; CN101174135B; CN1877471B; CN101174135A; CN1877471A; CN101329580B

Abstract

【課題】
複数のプロセッサを用いて装置の小型高性能化と安全性を両立し高信頼が可能とする。
【解決手段】
複数のプロセッサに対して、共通のデータ処理対象に対して互いに互換が可能なように演算された処理結果を入力し、いずれのプロセッサから開始信号を受けると、プロセッサに対して演算指示信号を出力する演算指示信号については、一方のプロセッサと他方のプロセッサで動作タイミングが異なるように出力する。そして、一方のプロセッサと他方のプロセッサの演算効果を比較する。このように構成することで、複数のプロセッサに対して、小型高性能化と安全性を両立し高信頼が可能とする。
【選択図】図１

Description

本発明は、制御装置のタスク管理装置及び制御装置のタスク管理方法に関する。

エレクトロニクス・情報分野の技術進歩，単一装置に求められる機能の複雑化・複合化が原動力となってプログラマブル電子装置の適用範囲は広がり、同時に求められる信頼性も高まっている。

一般に知られる高信頼化のためには、プログラマブル電子装置の多重化，複数のプロセッサの多重化がある。

プログラマブル電子装置の多重化として常用系・待機系構成が知られている。常用系の故障検出で待機系に切り替えることにより可用性を高めることができる。

一方、複数プロセッサを用いたプログラマブル電子装置として安全性を高める特開2004−２３４１４４号公報（特許文献１）に開示されている。

特開２００４−２３４１４４号公報

プログラマブル電子装置に要求される信頼性の要素には可用性と安全性があるが、機器の制御では可用性が重要となり、機器の保護では安全性が重要となる。これら２要素の実現手段は二律背反しているので、可用性と安全性を共に満足することが困難であった。可用性を担う部分装置と安全性を担う部分装置に分けられてきたが、装置が大型化するだけでなく、運転・保守作業の重複・複雑化が人的要素の信頼性低下を招くことがあった。

本発明の目的は、上記問題点のいずれかを解決することが可能な制御装置のタスク管理装置及び制御装置のタスク管理方法を提供することにある。より具体的には、複数のプロセッサを用いて装置の小型高性能化と安全性を両立し高信頼が可能となるタスク管理装置及び制御装置のタスク管理方法を提供することにある。

上記目的を達成するために、本発明では、共通のデータ処理対象に対して互いに互換が可能なように演算された少なくとも２の系での処理結果を入力し、前記少なくとも２の系のいずれから開始信号を受けると、前記少なくとも２の系に演算指示信号を出力するように構成した。

あるいは、共通のデータ処理対象に対して互いに互換が可能なように演算された少なくとも２の系での処理結果を入力し、異なるデータ処理対象に対して少なくとも２の系で異なる演算処理がなされた処理結果を入力し、前記少なくとも２の系で異なる演算処理をなしたか或いは互換が可能なように多重的に演算処理がなされたかを示す切替信号を出力し、前記信号が少なくとも２の系で異なる演算処理をなしたことを示す場合、前記少なくとも２の系で異なる処理結果における少なくとも１の出力の許可を判断するように構成した。

あるいは、共通のデータ処理対象に対して互いに互換が可能なように演算された少なくとも２の系での処理結果を入力し、前記少なくとも２の系のうち所定の系のデータ処理対象を識別する識別データを記憶する第１の識別データ領域と、前記少なくとも２の系のうちいずれかの他の系のデータ処理対象を識別する識別データ第２の識別データ領域に記憶し、前記少なくとも２の系のうち所定の系の処理結果である第１の処理データを第１の処理データ領域に記憶し、前記少なくとも２の系のうちいずれかの他の系の処理結果である第２の処理データを記憶する第２の処理データ領域と、前記第１の識別データと前記第２の識別データを照合すると共に、前記第１の処理データと前記第２の処理データを照合する構成した。

あるいは、共通のデータ処理対象に対して少なくとも２の系で互換が可能なように多重的に演算処理がなされた処理結果を入力し、異なるデータ処理対象に対して少なくとも２の系で異なる演算処理がなされた処理結果を入力し、前記少なくとも２の系で異なる演算処理をなしたか或いは互換が可能なように演算処理がなされかを示す切替信号を出力するように構成した。

より具体的には、入出力装置と、複数のプロセッサと、メモリとを備えたプログラマブル電子装置に、複数プロセッサの動作モード切替手段と、複数プロセッサの出力照合手段と、テーブルで定められた領域のメモリ書き込み保護手段を有し、動作モード切替手段の出力に応じて出力照合手段を動作・停止させ、出力照合手段の停止時にはメモリ書き込み保護手段を動作させるように構成する。

この構成により、出力照合手段停止時には複数プロセッサを独立に動作させることによって制御演算性能を高めつつ安全に影響を及ぼす出力の誤書き込みを防止できる。また、出力照合手段動作時にはプロセッサの誤った演算による危険側信号出力を防止し、信頼性を高めることができる。

また、動作モード切替手段には時間カウンタを有し、第１のタイマカウンタは照合動作開始指令でスタートし、複数プロセッサからの照合動作開始信号でリセットする。第２のタイマカウンタは複数プロセッサからの照合動作開始信号でリセットスタートし、二つのタイマカウンタの出力が設定範囲を超えたときに異常出力するように構成する。

この構成により出力照合手段の停止を検出し、信頼性を高めることができる。

また、バスの固着断線を診断するバス診断手段を有し、複数プロセッサの独立動作が全て終了したことを条件にバス診断を開始し、診断の正常終了が比較照合処理の動作開始条件となるよう構成する。これによりプロセッサの演算誤動作だけでなくバスの故障による危険側信号出力を防止し、信頼性を高めることができる。

この出力照合手段には、複数プロセッサからの独立動作終了検出手段と、所定の時間差を設けて複数のプロセッサに照合動作プログラムの動作開始指令を発生する手段と、照合プログラムの次ステップ実行を待機させる指令出力手段と、複数プロセッサからの比較処理用信号を保持する保持手段と、保持手段に保持されている比較処理用信号の比較照合処理手段とを有し、複数プロセッサの独立動作が全て終了したことを条件にプログラム動作開始する。先行動作プロセッサへの待機指令は保持手段への出力終了で解除する。また、後発動作プロセッサへの待機指令は比較照合処理の終了で解除するように構成する。

この構成により、先行動作プロセッサからの比較信号処理用信号を保持する容量を減らすことができる。また、演算，保持，比較処理の各動作をパイプライン処理することにより高速化することができる。

本発明によれば、小型高性能化と安全性を両立しつつ、なお、高信頼が可能となる。

次に本発明の実施例について図面を参照して説明する。

図１は本発明の実施例の構成を示す図である。

まず、全体構成と各部動作の概要を説明する。

この図で、プログラマブル電子装置は２台のプロセッサを備えている。Ａ系プロセッサ１とＢ系プロセッサ２はそれぞれバッファ３，バッファ４を介して外部アクセスユニット５に接続され、外部アクセスユニット５は入出力装置およびメモリに接続される。

Ａ系プロセッサ１とＢ系プロセッサ２は、動作モード切替ユニット６によって交互に照合モードと独立モードの２つのモードで動作する。

照合モード時はＡ系プロセッサ１とＢ系プロセッサ２上で同一プログラムが実行される。外部アクセスユニット５への出力時はデータ保持ユニット７と出力照合ユニット８によりＡ系プロセッサ１とＢ系プロセッサ２からのデータの一致を確認してから出力する。外部アクセスユニット５からの入力時は、データ同期ユニット９でＡ系プロセッサ１とＢ系プロセッサ２へ同じデータを入力する。出力データも入力データも共に照合バッファユニット１０を介して外部アクセスユニット５に入出力される。

データ保持ユニット７，出力照合ユニット８，同期ユニット９，照合バッファユニット１０はいずれも照合モード指令６０１がレベルＨを条件に動作して信号出力する。

独立モード時はＡ系プロセッサ１とＢ系プロセッサ２上で別のプログラムが独立に実行される。Ａ系プロセッサ１の入出力はバッファ３を介して外部ユニット５に入出力される。保護テーブル１２は独立モード時に動作し、バッファ３のアドレスデータが予め定義された物理アドレスページの保護範囲の時は書き込みを禁止する。同じように、Ｂ系プロセッサ２の入出力はバッファ４を介して外部ユニットに入出力されるが、保護テーブル１３により保護範囲の書き込みを禁止する構成となっている。

出力スイッチユニット１４と１５は、ＮＯＴ回路６０４の出力６０５がレベルＨの時のみレジスタ１０４および２０４からの入力信号を出力バッファ３および４に出力する。

以下、各部の動作詳細を図１と図３を用いて説明する。

最初にＡ系プロセッサ１のオペレーティングシステム１０１からの指示により動作モード切替ユニット６に照合モード開始指令１０２が発行（レベルＨ）される（ｔ１）。照合モード開始指令１０２を受けた動作モード切替ユニット６は、Ａ系プロセッサからの照合モード準備完信号１０３の成立（ｔ２）、同様にＢ系プロセッサからの準備完信号２０３が共に成立（レベルＨ）すること（ｔ３）を条件に照合モード指令６０１を出力（レベルＨ）する（ｔ４）。これによりＡ系プロセッサは照合モード演算を開始する（ｔ５）。照合モード演算１０５の立ち上がりで準備完信号はリセットされる（ｔ６）。

ここで、照合モード準備完信号１０３および２０３は、各Ａ系プロセッサ１およびＢ系プロセッサの独立モード演算終了とキャッシュメモリのクリアを条件に出力される。これにより照合モード開始前のプログラム動作の違いによる演算時間のずれを無くすことができる。

照合モード指令６０１はＡ系プロセッサ１に直接入力される一方、Ｂ系プロセッサ２には時限回路６０２により設定時間（Ｔｄ）だけ遅延した信号６０３が入力される（ｔ７）。これによりＢ系プロセッサは照合モード演算を開始する(ｔ８)。照合モード演算２０５の立ち上がりで準備完信号はリセットされる（ｔ９）。

遅延時間は動作モード切替ユニット６の数２バスサイクルと設定することにより常にＡ系プロセッサの演算を先行させると同時に、照合による演算遅れを最小に抑えることができる。

次に出力データの照合動作を説明する。

Ａ系プロセッサ１のレジスタ１０４の出力はデータ保持ユニット７のレジスタ７０１に書き込まれる。レジスタ７０１への書き込み終了で書き込みウェイト信号７０２は解除され、Ａ系プロセッサのレジスタ１０４への再書き込み可能となる。

一方、Ｂ系プロセッサ２のレジスタ２０４の書き込み制御信号Ｗとレジスタ７０１の書き込み制御信号Ｗは出力照合ユニット８の比較回路８０１で一致確認されると照合バッファユニット１０のレジスタ１１に書き込み制御信号Ｗが出力される。同時にウェイト信号８０２が解除され、比較回路８０３が出力可能となる。

レジスタ７０１に保持されたＡ系プロセッサ１からのアドレス信号７０１とＢ系プロセッサ２からのアドレス信号２０４は比較回路８０３で一致確認されると照合バッファユニット１０のレジスタ１１にアドレス信号が出力される。同時にウェイト信号８０４が解除され、比較回路８０４が出力可能となる。

レジスタ７０１に保持されたＡ系プロセッサ１からのデータ７０１とＢ系プロセッサ
２からのデータ２０４は比較回路８０５で一致確認されると照合バッファユニット１０のレジスタ１１にデータ信号が出力される。同時に出力照合ユニット８からのウェイト信号８０６が解除され、Ｂ系プロセッサ２のレジスタ２０４の再書き込みが可能となる。

次に入力データの分配動作を説明する。Ａ系プロセッサ１のレジスタ１０４の読み込み制御信号Ｒは、照合バッファユニット１０のレジスタ１１の読み込み制御信号Ｒを介して外部アクセスユニット５に伝送され、アドレス信号とデータ信号はレジスタ１１を介してレジスタ１０４に読み込まれる。

次に、レジスタ１１はデータ同期ユニット９のレジスタ９０１に伝送される。レジスタ９０１の読み込み制御信号ＲとＢ系プロセッサ２のレジスタ２０４の読み込み制御信号Ｒを比較回路９０２で照合、一致した場合にウェイト信号９０３が解除される。レジスタ
９０１のアドレス信号とレジスタ２０４のアドレス信号は比較回路９０４で照合する。両者が一致した場合はウェイト信号９０５が解除されてゲート回路９０６が動作し、レジスタ９０１のデータ信号がレジスタ２０４に伝送される。データが伝送されるとウェイト信号９０７が解除され、照合バッファユニット１０が書き換え可能となる。

Ａ系プロセッサの照合モードの演算終了（ｔ１０），Ｂ系プロセッサの照合モードの演算終了（ｔ１１）を検出すると照合モード指令６０１はレベルＬとなり(ｔ１２)、ＡＮＤ回路６２０により照合モード指令６０３も同時にレベルＬとなる。これにより独立動作モードが開始する（ｔ１４）。

図２の実施例では、Ａ系プロセッサ独立モード演算１０６の終了（ｔ１４）し、照合モード開始指令１０２が再び立ち上がった時点（ｔ１５）ではＢ系プロセッサ独立演算モード２０６が継続している場合を示している。この場合、Ｂ系プロセッサ独立モード演算
２０６の終了（ｔ１６）を検出して照合回路の自己診断動作を開始する（ｔ１７）。自己診断動作の終了後、Ａ系プロセッサ照合モード準備完１０３とＢ系プロセッサ照合モード準備完２０３がレベルＨとなる（ｔ１８）。これにより照合モード演算直前に照合回路の自己診断動作を行うことにより、照合回路の安全性を高める効果がある。

出力スイッチユニット１４と１５は、各ゲート回路１４１〜１４４，１５１〜１５４からなり、照合モード指令６０１の反転信号６０５がレベルＨの時にレジスタ１０４および２０４とバッファ３およびバッファ４間の入出力が可能となる。

保護テーブル１２と１３は、照合モード指令６０１の反転信号６０５がレベルＨの時に動作し、アドレス信号１２１と１３１を参照し、所定の物理アドレス範囲の時はアクセス保護信号１２２と１３２を出力し、否定回路付きのゲート回路１２３および１３３で保護範囲への書き込みを止める構成としている。

これにより、独立モード時の演算で照合モードの演算結果が影響受けぬように保護することができる。

図２は本発明の別の実施例を示す図である。

Ａ系プロセッサ１のオペレーティングシステム１０１からの照合モード開始指令１０２を入力する立ち上がり検出器６０６で検出したセットパルス信号６０７でタイマカウンタ６０９は起動する。Ａ系プロセッサからの照合モード準備完信号１０３、同様にＢ系プロセッサからの２０３をＡＮＤ回路６０７に入力し、その出力信号６０８でタイマカウンタ６０９はリセットする。タイマカウンタ６０９の出力６１０を比較器６１１に入力し、出力６１０が設定範囲を超えた時に異常出力６１２を出力する。これにより、照合動作の起動渋滞を検出する。

ＡＮＤ回路６０７の出力信号６０８を入力する立ち上がり検出器６１３で出力するパルス信号でリセットすると同時に起動するタイマカウンタ６１５を設ける。

タイマカウンタ６１５の出力６１６を比較器６１７に入力し、出力６１６が設定範囲を超えた時に異常出力６１８を出力する。これにより、照合演算周期の異常を検出する。

以上の実施の形態において、バスの固着断線を診断するバス診断手段を有し、複数プロセッサの独立動作が全て終了したことを条件にバス診断を開始し、診断の正常終了が比較照合処理の動作開始条件となるよう構成することができる。これによりプロセッサの演算誤動作だけでなくバスの故障による危険側信号出力を防止し、信頼性を高めることができる。

全体構成図。動作切替ユニットの詳細図。各部動作説明図。

符号の説明

６…動作モード切替ユニット、７…データ保持ユニット、８…出力照合ユニット、９…データ同期ユニット、１０…照合バッファユニット、１４，１５…出力スイッチユニット。

Claims

共通のデータ処理対象に対して少なくとも２の系でなされた処理結果を入力とし、前記処理結果は前記少なくとも２の系で互いに互換が可能なように演算されたものである制御装置のタスク管理装置において、前記少なくとも２の系のいずれかから開始信号を受けると、前記少なくとも２の系に演算指示信号を出力する手段と、前記開始信号に応じて出力される前記少なくとも２の系でなされた処理結果を相対的に比較して出力を許可する手段を有することを特徴とする制御装置のタスク管理装置。
請求項１において、前記少なくとも２の系のいずれかの演算は、前記系と異なる系の演算とは異なるタイミングでなされるように信号を出力することを特徴とする制御装置のタスク管理装置。
請求項２において、異なるデータ処理対象に対して少なくとも２の系で異なる演算処理がなされた処理結果を入力することを特徴とする制御装置のタスク管理装置。
請求項３において、前記異なる演算処理が終了したことを示す信号を受けた後に、前記互換可能な演算を許可する信号を出力することを特徴とする制御装置のタスク管理装置。
請求項３において、前記互換可能な演算が終了したことを示す信号を受けた後に、前記異なる演算処理を許可する信号を出力することを特徴とする制御装置のタスク管理装置。
共通のデータ処理対象に対して少なくとも２の系でなされた処理結果を入力とし、前記処理結果は前記少なくとも２の系で互いに互換が可能なように演算されたものであって、さらに、異なるデータ処理対象に対して少なくとも２の系で異なる演算処理がなされた処理結果を入力とする制御装置のタスク管理装置において、前記少なくとも２の系で異なる演算処理をなすか或いは互換が可能なように演算処理をなすかを示す切替信号を出力する信号出力手段と、前記信号が少なくとも２の系で異なる演算処理をなしたことを示す場合、前記少なくとも２の系で異なる処理結果における少なくとも１の出力を許可する許可手段を有することを特徴とする制御装置のタスク管理装置。
請求項６において、前記許可手段は、前記処理結果と共に送られる書込先データを所定データと比較することで、出力許可を判断することを特徴とする制御装置のタスク管理装置。
請求項７において、前記処理結果を入力された順に記憶し、さらに、該記憶した処理結果を順に出力する手段を有し、前記所定データとの比較は、前記順に出力される処理結果に対してなされることを特徴とする制御装置のタスク管理装置。
共通のデータ処理対象に対して少なくとも２の系で互換が可能なように演算処理がなされた処理結果を入力として、前記少なくとも２の系のうち所定の系のデータ処理対象を識別する識別データを記憶する第１の識別データ領域と、前記少なくとも２の系のうちいずれかの他の系のデータ処理対象を識別する識別データを記憶する第２の識別データ領域と、前記少なくとも２の系のうち所定の系の処理結果である第１の処理データを記憶する第１の処理データ領域と、前記少なくとも２の系のうちいずれかの他の系の処理結果である第２の処理データを記憶する第２の処理データ領域と、前記第１の識別データと前記第２の識別データを照合すると共に、前記第１の処理データと前記第２の処理データを照合する照合手段とを有し、前記照合手段の照合に基づいてデータ出力を許可することを特徴とする制御装置のタスク管理装置。
請求項９において、前記演算処理する少なくとも２の系の一方に対して他方の演算を遅らせる遅延手段を有する制御装置のタスク管理装置。
共通のデータ処理対象に対して少なくとも２の系で互換が可能なように演算処理がなされた処理結果を入力とする共に、異なるデータ処理対象に対して少なくとも２の系で異なる演算処理がなされた処理結果を入力とする制御装置のタスク管理装置において、前記少なくとも２の系で異なる演算処理をなすか或いは互換が可能なように演算処理がなすかを示す切替信号を出力する信号出力手段を有することを特徴とする制御装置のタスク管理装置。
共通のデータ処理対象に対して互いに互換が可能なように演算された少なくとも２の系での処理結果を入力し、前記少なくとも２の系のいずれから開始信号を受けると、前記少なくとも２の系に演算指示信号を出力し、前記開始信号に応じて出力される前記少なくとも２の系でなされた処理結果を相対的に比較して出力を許可する制御装置のタスク管理方法。
共通のデータ処理対象に対して互いに互換が可能なように演算された少なくとも２の系での処理結果を入力し、異なるデータ処理対象に対して少なくとも２の系で異なる演算処理がなされた処理結果を入力し、前記少なくとも２の系で異なる演算処理をなすか或いは互換が可能なように演算処理をなすかを示す切替信号を出力し、前記信号が少なくとも２の系で異なる演算処理をなすことを示す場合、前記少なくとも２の系で異なる処理結果における少なくとも１の出力の許可を判断する制御装置のタスク管理方法。
共通のデータ処理対象に対して互いに互換が可能なように演算された少なくとも２の系での処理結果を入力し、前記少なくとも２の系のうち所定の系のデータ処理対象を識別する識別データを記憶する第１の識別データ領域と、前記少なくとも２の系のうちいずれかの他の系のデータ処理対象を識別する識別データ第２の識別データ領域に記憶し、前記少なくとも２の系のうち所定の系の処理結果である第１の処理データを第１の処理データ領域に記憶し、前記少なくとも２の系のうちいずれかの他の系の処理結果である第２の処理データを記憶する第２の処理データ領域と、前記第１の識別データと前記第２の識別データを照合すると共に、前記第１の処理データと前記第２の処理データを照合してデータ出力を許可する制御装置のタスク管理方法。