JP2008299767A - 診断装置および診断方法 - Google Patents

Abstract

【課題】処理部の出力に依存せずに故障検出を行い、その故障検出を行う比較部の故障検出も実施タイミングの限定をせずに行うことを可能にすることで、全体の故障検出率を向上させることを目的とする。
【解決手段】二重化された２つの処理部から出力される２つの出力情報を比較することで、前記処理部の故障を検出する比較部と、前記比較部にて前記処理部が故障したと検出されるような擬似的な故障情報を前記比較部に注入する故障情報注入部と、前記擬似的な故障情報を注入された比較部の検出結果を用いて前記比較部の故障判定を行う故障判定部とを備える診断装置である。
【選択図】図１

Description

本発明は、ソフトウェアおよびハードウェアにおける多入力一出力の処理部の故障検出、監視および故障発生時の処理を含む診断装置に関する。

情報制御システム業界におけるエレクトロニクスシステムの複雑化・高速化の進行と、トランジスタ微細化技術の飛躍的な進歩は、半導体集積回路（特に大規模集積回路）の業界採用を加速させている。その結果、近年においては大規模集積回路が情報制御システム中枢の一部を担うまでになっており、それに応じて、人命に関わる分野（電力・製造・交通・医療）では、特にその安全性・信頼性を保障するための技術要求が高まっている。

過去より、ハードウェア個体の多重化とそれらを制御するソフトウェアの組合せで、ハードウェア個体の故障検出率を上げ、安全性・信頼性を確保してきた。
特許文献１の図２，３，４，１６では、公知例とともに論理回路単体での故障検出手段および検出手段の健全性テスト手法が紹介されている。
特許文献２では、故障検出回路自身に発生する故障の検出精度を向上させる処理装置および試験方法が紹介されている。

特許第３１３５５４３号公報 特開２０００−２５９４４４号公報

前項で説明した特許文献１では、健全性テストは、診断対象の論理回路のような多入力一出力の処理部がハイ出力をしている場合のみ有効であるが、ロー出力している場合についての故障検出手段が言及されていない。
また、特許文献２では、擬似信号出力回路を配設しているが、診断対象であるＣＰＵが搭載されたコンピュータ装置の電源立上げ時毎に比較回路および故障検出回路の診断を行っており、診断の実施タイミングが限定されている。
そこで、本発明は、処理部の出力に依存せずに故障検出を行い、その故障検出を行う比較部の故障検出も実施タイミングの限定をせずに行うことを可能にすることで、全体の故障検出率を向上させることを目的とする。

前記した課題を解決するために、本発明の診断装置は、二重化された２つの処理部から出力される２つの出力情報を比較することで、処理部の故障を検出する比較部と、比較部にて処理部が故障したと検出されるような擬似的な故障情報を比較部に注入する故障情報注入部と、擬似的な故障情報を注入された比較部の検出結果を用いて比較部の故障判定を行う故障判定部と備える。

本発明によれば、処理部に故障が発生した際、前記処理部の出力情報がハイでもローでも、故障を検出できることで、処理部の故障検出率を高めることができる。
また、処理部の故障を検出する比較部に対しての故障検出を、擬似故障注入手段のひとつである切替接続部を有することで、その切り替えをすることで、いつでも比較部の故障検出を行うことができる。
以上により、２つの処理部と比較部と擬似故障注入手段を有する診断装置自体の故障検出率を高めることができる。

まず、図１を用いて本発明で提案する診断部の基本構成を示す。
診断の対象である処理部１０１と、その処理部１０１に対して二重化を行った複製処理部１０２と、両方の演算結果を比較する比較部１０４と、処理部１０１からの入力情報を反転させた反転情報を出力する反転部１０５と、複製処理部１０２からの入力情報または反転部１０５の入力情報のどちらか一方を、切り替えを行うことで出力できる切替接続部１０３からなる故障検出部１００である。

ここで反転情報とは、入力情報に対して正反対の情報である。例えばディジタル信号の場合、入力情報が“０”であれば、反転情報は“１”になり、アナログ信号であれば、入力情報が“１”であれば、反転情報は“−１”になる。

前述の故障検出部１００と、切替接続部１０３の入力情報の切り替えを行い、かつ故障検出部１００からの情報より故障の判定をする故障判定部１０８と、常に故障判定部１０８を監視し、故障の有無により出力情報を変更する安全動作切替部１０９を備えたものが、本発明で提案する診断部１５０である。

図１の実施形態を説明する。
診断されるシステム（処理システム１４０）は、診断の対象である処理部１０１と、外部入力情報Ｓ１２１Ａ，Ｓ１２１Ｂを入力する外部処理部１０６Ａ，１０６Ｂと、その処理結果である出力情報Ｓ１２２を、外部処理部１０７に出力するシステムである。
この処理システム１４０に診断部１５０を導入したものが、図１に示す制御システム１６０である。

ここで、切替接続部１０３の出力情報の切り替えは自動であることが最も好ましいが、制御システムの形態によっては手動でも構わない。
また、図１の実施例では、故障検出部１００と処理システム１４０は１つずつであるが、故障判定部１０８や安全動作切替部１０９が情報の処理を十分にできる能力があれば、複数あっても良い。

以下、図２のフローチャートも用いて説明をする。
まず、通常動作モード時の制御システムの処理を説明する。通常動作モード時、切替接続部１０３は複製処理部１０２からの情報を出力するように接続されているものとする（Ｆ２００でＹｅｓ）。

診断の対象である処理部１０１と、複製処理部１０２の両方に、外部処理部１０６Ａ，１０６Ｂの外部入力情報Ｓ１２１Ａ，Ｓ１２１Ｂを入力する。処理部１０１の出力情報Ｓ１２２と、切替接続部１０３を通った複製処理部１０２の出力情報Ｓ１２６（Ｓ１２６＝Ｓ１２３）を比較部１０４に入力する。比較部１０４の入力情報Ｓ１２２とＳ１２６（Ｓ１２３）を比較し、“一致”または“不一致”の情報を比較結果情報Ｓ１２７に与え、出力する。

故障判定部１０８は比較結果情報Ｓ１２７を受け取り、“不一致”（Ｆ２０１でＮｏ）ならば、処理部１０１または複製処理部１０２のどちらか一方の故障であると判定する（Ｆ２０２）。“一致”（Ｆ２０１でＹｅｓ）ならば、処理部１０１も複製処理部１０２も共に正常であると判定し、次に診断するタイミングを待つ。

この例では比較による故障の有無の判定を２つの入力情報の“一致”または“不一致”としたが、比較対象は強度，量，大きさなど処理部の出力形態によって比較する手段も変わる。

安全動作切替部１０９は、故障判定部１０８を常時監視しており（Ｓ１２８）、故障発生時には処理システム１４０を安全状態に緊急移行を制御する機能を備えている（Ｆ２０３）。

ここで、安全とは、システムが正常ではない情報を受け取ることにより、システム全体が故障する危険や破壊される危険な状態に陥ることを恐れ、必ず正常に動作する最低限の機能でシステムを運用する状態のことであり、この状態にする情報を安全方向の情報とする。

また、処理部００１または複製処理部００２の出力部分に、処理結果の出力情報と安全方向の出力情報を選択する手段を設け、故障判定部１０８により正常と判定された情報（処理結果の出力情報）または、故障と判定された情報を遮断し、安全方向の情報（安全方向の出力情報）しか後段に伝播しない安全動作切替部１０９を設けることで、制御システム１６０を中断させることのない、オンライン中（実制御中）の診断を実現する。

このようにすることで、二重化された処理部と、その結果を比較する比較部を用いて、故障の検出を行うことで、システムの信頼性を向上することができる。
また、処理部の故障を検出するまでの時間の即時性を実現することができる。

通常動作モード時に、故障判定部１０８が切替接続部１０３に切り替えを行うよう接続切替情報Ｓ１２５を出力することで、健全性テスト動作モードが開始する（Ｆ２００でＮｏ，Ｆ２０４）。

接続切替情報Ｓ１２５を受けた切替接続部１０３は、故障判定部１０８からの接続切替情報Ｓ１２５により、出力対象の切り替えを行い、反転部１０５からの情報Ｓ１２４を出力するようになる（Ｆ２０５）。
これにより、反転部１０５にて処理部１０１の出力情報Ｓ１２２を反転させた反転情報Ｓ１２４は、切替接続部１０３に入力し、Ｓ１２６が出力される（出力情報Ｓ１２６＝Ｓ１２４）。比較部１０４にて、処理部１０１の出力情報Ｓ１２２と、Ｓ１２２の反転情報であるＳ１２６（Ｓ１２４）を比較することにより、不一致を強制的に発生させる（擬似故障注入）（Ｆ２０６）。

このようにすることで、Ｓ１２２とＳ１２６（Ｓ１２４）が比較部１０４にて一致すると、比較部１０４に故障があることがわかる。これにより、比較部の健全性を確認することができるため、診断部の信頼性を向上することができる。

ここで、擬似故障注入とは、切替接続部１０３で入力情報の切り替えを行い、処理部１０１の出力情報Ｓ１２２を反転部１０５で反転させた反転情報Ｓ１２４を比較部１０４に入力することをいい、擬似故障注入により比較部１０４が不一致または一致の情報を出力するまでの手段を擬似故障注入手段という。

切替接続部１０３の切替タイミング前後の通常動作モード時（健全性テスト動作モードから通常動作モードへの切り替え後と、通常動作モードから健全性テスト動作モードへの切り替え前）の比較部１０４が出力する比較結果情報Ｓ１２７を、故障判定部１０８は監視する。

ここで比較結果情報Ｓ１２７が“不一致”の場合、切替接続部１０３の入力情報がＳ１２３の時は“故障”を示すが、入力情報がＳ１２４の時は“正常”を示す。切替接続部１０３の入力情報の切り替えは故障判定部１０８が行うため、故障判定部１０８はＳ１２７の情報とその時の切替接続部の接続先により故障または正常を判定することができる。

健全性テスト動作モードであるとき、比較部１０４にて、処理部１０１の出力情報Ｓ１２２と反転部１０５の出力情報Ｓ１２６（Ｓ１２４）を比較して、比較結果情報Ｓ１２７が“一致”を示す場合（Ｓ１２２＝Ｓ１２４）（Ｆ２０７でＹｅｓ）、故障判定部１０８は比較部１０４に故障があると判断する（Ｆ２０８）。

ここで、比較結果情報Ｓ１２７が“不一致”を示す場合（Ｓ１２２≠Ｓ１２４）（Ｆ２０７でＮｏ）、比較部１０４は正常であると判断される（Ｆ２０９）。切替接続部１０３の切り替えを行い（Ｆ２１０）、擬似故障注入が終了し、比較部１０４にはＳ１２２とＳ１２６（Ｓ１２３）が入力される（Ｆ２１１）。

ここで、比較部１０４の比較結果情報Ｓ１２７が“一致”を示す場合（Ｓ１２２＝Ｓ１２３）（Ｆ２１２でＹｅｓ）、健全性テスト動作モードを正常に終了する（Ｆ２１３）。
しかし、比較結果情報Ｓ１２７が“不一致”を示す場合（Ｓ１２２≠Ｓ１２３）（Ｆ２０７でＮｏ）、健全性テスト動作モードに切り替える直前の通常動作モード時は、比較部１０４の比較結果情報Ｓ１２７は“一致”であるため、切替接続部１０３の切り替えが遅いなど、何らかの問題があると判断され、比較部１０4が故障と判断された時と同じ処理が行われる。

このようにすることで、診断部は、比較部だけでなく切替接続部や反転部も診断することできる。

本発明が提案する診断部は、診断対象である処理部１０１とその接続相手となる外部処理部１０６Ａ，１０６Ｂおよび１０７を結ぶ経路（メイン経路：外部処理部１０６Ａ，１０６Ｂ〜Ｓ１２１Ａ，Ｓ１２１Ｂ〜処理部１０１〜Ｓ１２２〜外部処理部１０７）上に、切替接続部１０３，比較部１０４，反転部１０５を配置しないシステム構造であるため、これら切替接続部１０３，比較部１０４，反転部１０５のいずれかひとつに故障が発生しても、メイン経路上にある製品の機能を侵す危険要因とはならず、かつ製品性能（処理速度）を落とす要因にもならない。

このようにすることで、本発明が提案する診断部は、診断の対象である処理部とその入力元、出力先を含む処理システムの動作に影響を与えないシステム構成にすることができる。

以下実施例を用いて、制御システム稼働中でも本発明が提案する診断部にて処理システムの診断（故障検出）を実施することができることを示す。

以下、本発明の実施構成例を図３，および図４，５，６のタイミングチャートを用いて詳細に説明する。

図３は、処理部に「３入力多数決回路」を用いた回路構成を示したもので、外部入力信号Ｓ３２１Ａ，Ｓ３２１Ｂ，Ｓ３２１Ｃを論理演算した結果値“１”の多数決を行う３入力多数決回路３０１である。そして、外部入力信号のうち、２本以上の信号の論理演算の結果値が“１”であれば、多数決により“１”を出力する機能を備えている。３入力多数決回路３０１は、Ｓ３２１ＡとＳ３２１Ｂが“１”であれば、論理積３０１Ａは“１”を出力する。同様にＳ３２１ＡとＳ３２１Ｃ，Ｓ３２１ＢとＳ３２１Ｃの組合せも論理演算を行う（Ｔ４００）。論理和はひとつでも“１”が入力されれば“１”を出力するため、論理和３０１Ｄは出力信号Ｓ３２２に“１”を出力する（Ｔ４０１）。３入力多数決回路４０１の複製である複製３入力多数決回路４０２も同様の動作を行う。

また、前述の図１に示した構成と同じように、切替接続部１０３に該当する切替接続回路３０３、比較部１０４に該当する比較演算回路３０４、反転部１０５に該当する反転回路３０５、故障判定部１０８と安全動作切替部１０９に該当する機能を備えたＣＰＵ３０８で構成されている。

また、説明にあたっての前提として、通常動作モード時は、ＣＰＵ３０８からの接続切替指示信号Ｓ３２５が“０”である。健全性テスト動作モード時は、Ｓ３２５を“１”にし、切替接続回路３０３の入力信号を切り替え、比較演算回路３０４（排他的論理和）に擬似故障注入を行う。

ここで、ＣＰＵ３０８は、比較結果信号Ｓ３２７の示す故障信号が、実際の故障によるものか、または擬似故障によるものかを、自身が接続切替指示をすることによって判別できる構成とする。

なお、ここでは比較演算回路３０４を排他的論理和を用いて紹介しているが、二重化された３入力多数決回路（論理演算回路）３０１，３０２の出力信号が、一致または不一致であることを検出できるものであれば、その実施形態については、本発明が制約を受けることはない。

ここで、Ｔ４００のタイミング時の論理和による論理演算の結果が、Ｔ４０１で表示されており、時間のずれΔｔ１が生じている。このΔｔ１は、３入力多数決回路３０１にて演算を行ったことによる消費時間を表している。

本回路構成では、外部処理部である負荷３０７に出力する直前に、最終出力制御回路３１１を設けている。これは本実施例では論理積の機能を持ち、通常は３入力多数決回路３０１のＳ３２２′（Ｓ３２２）とＣＰＵ３０８の最終出力遮断信号Ｓ３２９を入力し、論理演算の結果である最終出力信号Ｓ３３０を出力している。この実施例では、３入力多数決回路３０１に故障がない場合、Ｓ３２９は“１”である。

ＣＰＵ３０８は、３入力多数決回路３０１を比較演算回路３０４の比較結果信号Ｓ３２７を介して常時監視しており、比較演算回路３０４が３入力多数決回路３０１の故障を検出した場合、最終出力遮断信号Ｓ３２９を“０”に切り替えて最終出力制御回路３１１によって最終出力信号Ｓ３３０を遮断または安全方向の信号を出力し、その先の外部処理部である負荷３０７に対して故障の影響を伝播させない安全動作切替制御機能と、接続切替指示信号Ｓ３２５を制御する機能を備える。

ここで、安全方向の信号として、故障発生時に最終出力制御回路３１１が最終出力信号Ｓ３３０をハイ側（“１”）にするか、ロー側（“０”）にするかは、診断対象のシステムによって変わるのは言うまでもない。今回の実施例１では、故障発生時の設定が『出力をロー側にする』という論理構造のため、最終出力制御回路３１１を論理積としている。しかし、故障発生時の最終出力信号をハイ側にする場合は、最終出力制御回路３１１を論理和にし、最終出力遮断信号Ｓ３２９に“１”を入力することで、最終出力制御回路３１１から最終出力信号をハイにすることができる。このようにシステムに応じて変更することができる。

また、故障発生時に安全方向の信号として、最終出力制御回路３１１が最終出力信号Ｓ３３０を最終出力遮断信号Ｓ３２９により、任意でハイまたはローに切り替える機構を有することができることは言うまでもない。

まず、通常動作モードにおいて、３入力多数決回路３０１，および複製３入力多数決回路３０２が正常に動作している場合を説明する。
この場合、接続切替指示信号Ｓ３２５は“０”であり、比較演算回路３０４にはＳ３２２とＳ３２６（Ｓ３２３）が入力される。３入力多数決回路３０１と複製３入力多数決回路３０２からは同じ値が常時出力されるため、比較演算回路３０４から出力される比較結果信号Ｓ３２７は、Ｓ３２２とＳ３２６（Ｓ３２３）が一致することを示す“０”となる（Ｔ４０２）。

ここでΔｔ２は、比較演算回路３０４にて演算を行ったことによる消費時間を表している。以下、他の論理演算回路やＣＰＵでも、演算や処理を行うことによる消費時間は発生する。そのため、消費時間による出力タイミングのずれは図示するが、Δをつけた名称は図示しない。

次に、通常動作モードにおいて、３入力多数決回路３０１または複製３入力多数決回路３０２で故障が発生した場合を説明する。（以下説明の都合上、３入力多数決回路３０１で故障が発生した場合のみを説明する。）

３入力多数決回路３０１にて故障発生後（Ｔ４０３）、Ｓ３２２とＳ３２６（Ｓ３２３）が一致しないタイミングが現れる（Ｔ４０４）。このタイミングで比較演算回路３０４は、Ｓ３２２とＳ３２６（Ｓ３２３）が不一致であることを検出し、比較結果信号Ｓ３２７を“１”にして出力する（Ｔ４０５）。ＣＰＵ３０８は擬似故障注入の指示をしていない（接続切替指示信号Ｓ３２５が“１”ではない）ので、Ｓ３２７の入力後、最終出力遮断信号Ｓ３２９を“０”にして出力し（Ｔ４０６）、Ｓ３２２′（Ｓ３２２）が負荷３０７に伝わる前に、最終出力信号Ｓ３３０を遮断する（Ｔ４０７）。この遮断により、本システムの外部への故障による出力の伝播を防止する。

なお、ディレイ回路３１０は、比較演算回路３０４が不一致を示す比較結果信号Ｓ３２７を出力してから、ＣＰＵ３０８の最終出力遮断信号Ｓ３２９が最終出力制御回路３１１に入力されるまでの応答時間Δｔを確保するために実装する。これは前述したΔｔ１，Δｔ２と同じく、論理演算回路やＣＰＵで処理されるごとに発生する微少な消費時間を総計したずれによるものである。このΔｔは３入力多数決回路３０１から３入力多数決回路出力信号Ｓ３２２が出力されるタイミングと、最終出力制御回路３１１から最終出力信号Ｓ３３０が出力されるタイミングのずれた時間を表している。

次に比較演算回路３０４の健全性確認手段について説明する。
健全性テスト動作モードを開始するため、ＣＰＵ３０８は擬似故障注入指示を行い、接続切替指示信号Ｓ３２５を“１”にする（Ｔ５０１、健全性テスト開始タイミング）。同指示を受けて、切替接続回路３０３は反転出力信号Ｓ３２４を切替接続出力信号Ｓ３２６に接続する（Ｔ５０２）。比較演算回路３０４には、Ｓ３２２とＳ３２６（Ｓ３２２の反転値である反転出力信号Ｓ３２４）が入力されるため、比較演算回路３０４から出力された比較結果信号Ｓ３２７は、不一致を示す“１”となる（Ｔ５０３）。

ここで、通常動作モードにおいて、３入力多数決回路３０１，および複製３入力多数決回路３０２が正常であれば、比較演算回路３０４から出力される比較結果信号Ｓ３２７は、Ｓ３２２とＳ３２６（Ｓ３２３）が一致することを示す“０”である。
そのため、健全性テスト動作モードにおける、擬似故障注入によって、比較演算回路３０４の比較結果信号Ｓ３２７が一致を示す“０”になることで、比較演算回路３０４が故障していることを示し、比較結果信号Ｓ３２７が不一致を示す“１”になることで、比較演算回路３０４は正常に動作していることを示すため、比較演算回路の故障の有無を判断することができる。

このとき、ＣＰＵ３０８は、自身が擬似故障注入の指示をしているので、比較結果信号Ｓ３２７が不一致を示す“１”であっても、最終出力制御回路３１１を遮断する処理は行わない（最終出力遮断信号Ｓ３２９を“０”にしない）。

以上より、比較演算回路３０４が正常であることを受け、ＣＰＵ３０８は接続切替指示信号Ｓ３２５を“０”にし（Ｔ５０４）、同指示を受けて、切替接続回路３０３は複製３入力多数決回路出力信号Ｓ３２３を切替接続出力信号Ｓ３２６に接続する（Ｔ５０５）。比較演算回路３０４には、Ｓ３２２とＳ３２６（Ｓ３２３）が入力されるため、比較演算回路３０４から出力された比較結果信号Ｓ３２７は、一致を示す“０”となることで（Ｔ５０６）、ＣＰＵ３０８は、比較演算手段（切替接続回路３０３，比較演算回路３０４および反転回路３０５）の健全性を確認し、健全性テスト動作モードを終了する。

ここで、ＣＰＵ３０８が擬似故障注入の指示を行うが（Ｔ６０１、健全性テスト開始タイミング）、比較結果信号Ｓ３２７が一致状態を示す“０”となっていた場合（Ｔ６０２）、比較演算手段の故障とみなし、最終出力遮断信号Ｓ３２９を“０”にして出力し（Ｔ６０３）、最終出力信号Ｓ３３０を遮断する処理を行う（Ｔ６０４）。この遮断により、本システムの外部への故障による出力の伝播を防止する。

以上より、ＣＰＵ３０８が通常動作モードから健全性テスト動作モードへの接続切替指示を行った結果、Ｓ３２４，Ｓ３２５およびＳ３２６のいずれかひとつでも値が変わらなければ、比較結果信号Ｓ３２７は一致（“０”）から不一致（“１”）に変化しない。つまり、比較演算回路３０４から出力される比較結果信号Ｓ３２７より判断される健全性確認は、比較演算回路３０４だけでなく、切替接続回路３０３および反転回路３０５の故障の有無、いわゆる比較演算手段の故障の有無も同時に診断している構成となる。

また、外部入力信号Ｓ３２１Ａ，Ｓ３２１Ｂ，Ｓ３２１Ｃと最終出力信号Ｓ３３０および診断対象である３入力多数決回路３０１とを結ぶ経路（メイン経路）上に、故障の検出を行うための複製３入力多数決回路３０２，切替接続回路３０３，比較演算回路３０４および反転回路３０５は配置されていない。つまり、これらは、「３入力多数決回路」という製品の機能を侵す危険要因とはならず、かつ製品性能（処理速度）を落とす要因にもならない。

図７に図３の別構成例を示す。当該構成例は、比較演算回路７０４から出力される比較結果信号Ｓ７２７を反転する反転回路７１２を設け、Ｓ７２７の反転信号Ｓ７３１を最終出力制御回路７１１に入力する経路を設ける。ここで反転回路７１２は最終出力制御回路７１１にその機能を内蔵させても構わない。

通常動作モードにおいて、比較演算回路７０４が、３入力多数決回路７０１または複製３入力多数決回路７０２の故障による入力信号の不一致を検出すると、出力される比較結果信号Ｓ７２７は不一致（“１”）になる。Ｓ７２７は反転回路７１２にて反転され、反転信号Ｓ７３１（“０”）が最終出力制御回路７１１に入力され、論理和の演算が行われる。これにより、最終出力制御回路７１１は、即時に最終出力信号Ｓ７３０を遮断し、外部負荷７０７への故障中の信号が外部に漏れることを防止する。

これは図３で示した構成よりも、通常動作モードにおいて、比較演算回路７０４がＣＰＵ７０８を介さずに最終出力制御回路７１１に入力することで、故障を検出した後、少なくともＣＰＵを介さない時間分だけ早く最終出力信号Ｓ７３０を遮断することができることを特徴とする。
実施例２の場合、最終出力信号Ｓ７３０の遮断にＣＰＵ７０８が介さないため、ディレイ回路７１０によるディレイ値を図３のディレイ回路３１０と比較して小さくすることができる。

健全性テスト動作モード時（擬似故障注入時）には、比較演算回路７０４は、ＣＰＵ７０８からの指示により、最終出力制御回路７１１が反応できないほどの微小パルス信号となるＳ７３１′（Ｓ７２７′）を出力する。これにより、擬似故障による最終出力制御回路７１１が最終出力信号Ｓ７３０を遮断する動作を防ぐことができる。
これは、最終出力制御回路７１１に応答処理部７１１ａを設置することで、実現できる。

前述の応答処理部は、応答速度が遅く、入力信号のパルス幅が小さい場合、無視される。パルス幅が小さくても、パルスが数多く出力された場合、応答処理部は応答速度が遅いために、微少パルスの集合を幅広いパルスが入力されたと認識する。
ここで実施例２の場合、微少パルス信号となるＳ７３１′（Ｓ７２７′）は数十ｎｓ〜数μｓである。これはＣＰＵ７０８や処理部がその信号を受け、動作できる範囲の値である。応答処理部は数ｍｓ〜数十ｍｓの反応性能であり、前述の入力信号のパルス幅では反応しないため、擬似故障による出力遮断動作が負荷７０７に伝播することを防ぐことができる。

応答処理部７１１ａには、リレースイッチを用いるのが最も好ましい。リレースイッチには、市販のものを用いることができる。

実施例１，２のようにすることで、制御システム稼働中でも、診断（故障検出）を実施することができる。

なお、実施例１，２にて、診断の対象を論理演算回路としているが、演算の機能を有するか否かは、本発明が制約を受けることはない。

以上の診断装置は、ソフトウェアとハードウェアの両方で適用可能である。

ここで最終出力制御回路に比較結果信号を反転入力せずとも、最終出力制御回路は、比較結果信号が不一致であることを検出して、即時に最終出力信号を遮断するように構成することができることは言うまでもない。

本発明は、簡素な要素技術構造を有していながら各処理で論理演算を用いた場合の故障検出力に優れているため、主に人命に関わる制御システム（電力・ガス・製造・交通・医療・情報通信・生産管理・金融）の分野に対しては、コストと実装スペースを増大させることなく、安全性と信頼性の向上に大きく寄与することができる。

本発明で提案する診断部を含んだ制御システムの基本構成図。 本発明の基本構成で診断を行ったときのフローチャート図。 実施例１の構成図。 実施例１にて通常動作モード中に３入力多数決回路３０１が故障した時のタイムチャート図。 実施例１にて健全性テスト動作モード中のタイムチャート図。 実施例１にて健全性テスト動作モード中に比較演算回路３０４が故障した時のタイムチャート図。 実施例２の構成図。

符号の説明

１００ 故障検出部
１０１ 処理部
１０２ 複製処理部
１０３ 切替接続部（出力切替部）
１０４ 比較部
１０５ 反転部
１０６Ａ，１０６Ｂ，１０７ 外部処理部
１０８ 故障判定部
１０９ 安全動作切替部
１４０ 処理システム
１５０ 診断部（診断装置）
１６０ 制御システム
３０１，７０１ ３入力多数決回路
３０４，７０４ 比較演算回路
３０７，７０７ 負荷
３０８，７０８ ＣＰＵ
３１０ ディレイ回路
３１１，７１１ 最終出力制御回路（最終出力制御部）
７１１ａ 応答処理部
７１２ 反転回路

Claims (10)

1. 二重化された２つの処理部から出力される２つの出力情報を比較することで、前記処理部の故障を検出する比較部と、
   前記比較部にて前記処理部が故障したと検出されるような擬似的な故障情報を前記比較部に注入する故障情報注入部と、
   前記擬似的な故障情報を注入された比較部の検出結果を用いて前記比較部の故障判定を行う故障判定部と、
   を備えることを特徴とする診断装置。
2. 前記故障情報注入部は、
   前記出力される２つの出力情報のうちの一方の出力情報を反転させる反転部と、
   前記反転部により反転された擬似的な故障情報、および前記２つの出力情報のうちの他方の出力情報の、前記比較部への出力・非出力を切り替える出力切替部と、
   を備えて、前記擬似的な故障情報を前記故障判定部へ注入すること
   を特徴とする請求項１に記載の診断装置。
3. 前記故障判定部は、
   前記出力切替部における切替状態の情報と前記比較部における故障の検出結果の情報とを用いて前記比較部の故障判定を行うこと、
   を特徴とする請求項１または請求項２に記載の診断装置。
4. 前記２つの処理部のどちらか一方の出力情報が、
   前記比較部または故障情報注入部の故障による影響を受けずに、診断装置から外部に出力すること
   を特徴とする請求項１または請求項２または請求項３に記載の診断装置。
5. 前記故障判定部は、
   前記処理部、前記比較部および故障情報注入部が正常である場合に、前記擬似的な故障情報を注入する擬似故障注入をしていない時の前記比較部の出力情報、または、前記擬似的な故障情報を注入する擬似故障注入をしている時の前記比較部の出力情報を受けると、正常と判定すること、
   前記処理部または前記比較部または故障情報注入部のいずれかが故障である場合に、前記擬似的な故障情報を注入する擬似故障注入をしていない時の前記比較部の出力情報、または、前記擬似的な故障情報を注入する擬似故障注入をしている時の前記比較部の出力情報を受けると、故障と判定すること
   を特徴とする請求項４に記載の診断装置。
6. 前記故障判定部の故障判定を受け、
   判定結果が正常である場合は、通常出力情報を出力し、
   判定結果が故障である場合は、安全出力情報を出力する
   安全動作切替部をさらに、備えることを特徴とする請求項３または請求項５に記載の診断装置。
7. 前記診断装置と、前記診断装置に入力情報を供給する入力側外部処理部と、前記診断装置の出力情報を受ける出力側外部処理部を含んだ制御システムが稼働中に、
   前記安全動作切替部が、通常出力情報を出力している時は、前記処理部の出力情報を前記出力側外部処理部に出力し、
   前記安全動作切替部が、前記安全出力情報を出力している時は、前記制御システムが安全に動作する安全方向の情報を前記出力側外部処理部に出力する
   ことを特徴とする請求項６に記載の診断装置。
8. 前記処理部の出力情報を時間的に多数に分割し、
   その多数に分割された出力情報の内、複数が入力されないと、前記最終出力制御部が動作しないよう制御する応答処理部を、前記最終出力制御部内に設けることを特徴とする請求項７に記載の診断装置。
9. 前記比較部の故障出力情報を、前記安全動作切替部を介さずに、前記最終出力制御部に入力することで、前記最終出力制御部が、安全方向の情報を出力することを特徴とした請求項７または請求項８に記載の診断装置。
10. 二重化された２つの処理部から出力される２つの出力情報を比較することで、前記処理部の故障を検出する比較部と、
    擬似的な故障情報を前記比較部に注入する故障情報注入部と、
    前記比較部の故障判定を行う故障判定部と、
    を備える診断装置における診断方法であって、
    前記故障情報注入部が、前記比較部にて前記処理部が故障したと検出されるような擬似的な故障情報を前記比較部に注入し、
    前記故障判定部が、前記擬似的な故障情報を注入された前記比較部の検出結果を用いて前記比較部の故障判定を行うこと
    を特徴とする診断方法。

Images