JP2011081705A - メモリ制御装置及びメモリ制御装置の制御方法 - Google Patents

Abstract

【課題】メモリ装置へのアクセス制御を行うメモリ制御装置において、メモリ素子の特性上アクセス動作は一方通行であり対応が難しい。メモリアクセス制御動作中に発生した一過性の異常を検出し、制御状態を初期状態に戻すことにより信頼性を向上させる。
【解決手段】メモリ制御装置においてメモリ制御回路を二つ設けて、自己診断機能により各々のメモリアクセスに必要な信号を比較し、メモリ制御装置内の異常を早期に検出して安全性を向上させる。また、異常検出後にメモリ制御回路を初期化して同期完了し次のメモリアクセス動作を継続するようにして可用性を向上させる。
【選択図】 図１

Description

本発明は、自己診断機能を有するメモリ制御装置及びそのメモリ制御方法に関する。

原子力プラントや化学プラントなど潜在的な危険性の高いプロセス設備では、万一の事態における作業員および周辺環境への影響を低減するため、隔壁等の防護設備による受動的な対策および緊急停止装置等の安全装置を用いる能動的な対策が講じられる。このうち、安全装置等の制御には、従来リレー等の電磁的、機械的な手段により実現されていた。

しかし、近年、プログラマブル電子装置（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ：ＰＬＣ)に代表されるプログラム可能な制御機器における技術の発展に伴い、これらを安全制御システムの制御手段として利用するニーズが高まっている。

例えば、ＩＥＣ６１５０８は、そのような動向に対応して発行された国際規格であり、電気的／電子的／プログラム可能な電子的安全制御装置を安全制御システムの一部に利用する場合の要件が規定されている（非特許文献１参照）。

ＩＥＣ６１５０８では、安全制御システムの能力の尺度としてＳａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌ（ＳＩＬ）を定義し、レベル１から４までの各レベルに対応する水準の要求事項を規定している。ＳＩＬが高いほどプロセス設備の持つ潜在的な危険性を低減できる度合が大きいことを示す。すなわち、ＳＩＬはプロセス設備の異常を検出した際、どれだけ確実に所定の安全制御を実施できるかを意味する。

安全制御装置は、通常稼働状態で非活性となっていても、プロセス設備の異常発生時には直ちに活性化することを求められる。そのため、常時自己診断を行い、自身の健全性をチェックし続けることが重要となる。また、高いＳＩＬが要求される安全制御システムでは、未検出の故障によりシステムが不動作となる確率を極小とするため、これに用いられる安全制御装置に広範囲、高精度な自己診断を実施する必要がある。

ＩＥＣ６１５０８では、安全制御装置を構成する要素部品の種類ごとに、各々適用される自己診断技法を紹介し、それぞれの技法の有効性を診断率という形で示している。診断率は、各構成要素における全故障のうち、その診断技法を採用したとき検出可能な故障の割合を示す。例えば、ＲＡＭの診断技法である "Ａｂｒａｈａｍ" では、最高９９％の診断率を主張可能であるとされている（特許文献２参照）。

また、ＰＬＣの構成要素の一つであるプロセッサの故障検出手段として、複数のプロセッサを用いて、相互の出力結果の整合性を監視する方法が有効である。複数のプロセッサ出力を相互診断する方式としては、各プロセッサが同様の制御処理を同時に実行し、その出力が一致していることを確認しあう手段が効果的である。例えば、非同期に動作する複数のプロセッサの出力を照合することにより、プロセッサが故障しても即時検出するという技術がある（特許文献１）。

複数のプロセッサによる相互診断に加えて、メモリやバスなどの入力出力の各要素ごとに入力に対する出力の健全性を確認することが診断率の向上に対して効果的である。

特開２００７−１１６３９号公報 米国登録６７７９１２８号公報

ＩＥＣ６１５０８−１〜７、"Functional safety of electrical／electronic／programmable electronic safety-related systems"part１〜part７

メモリへのアクセス制御を行うメモリ制御回路において、メモリ素子の特性上アクセス動作は一方通行であり、メモリアクセス制御動作中に発生した一過性の異常を検出する手段が無かった。従って従来は、メモリ制御回路の異常を検出できす不安定なまま動作を継続する可能性があり、その信頼性を向上させる必要がある。

また、異常が一過性であれば異常を検出した後にも動作を継続して可用性を向上する事が望ましい。

本発明は、上位装置とメモリ装置の間に設けられ、前記メモリ装置へのアクセスを制御するメモリ制御装置であって、前記メモリ制御装置が同一の構成を有する主メモリ制御回路と従メモリ制御回路を有するメモリ制御装置において、前記主メモリ制御回路及び従メモリ制御回路は、各々前記メモリ装置へのアクセスに必要な信号の選択及びタイミングの生成を行うシーケンス回路と、該シーケンス回路の出力信号を監視する出力信号監視回路と、前記二つの出力信号監視回路の少なくとも一つが信号不一致を検出した時に前記主メモリ制御回路及び従メモリ制御回路の同期調整を行う同期調整回路を有することを特徴とする。

また、主メモリ制御回路及び従メモリ制御回路の前記同期調整回路が相互に同期調整完了を報告することにより、前記主メモリ制御回路及び従メモリ制御回路の同期を完了することを特徴とする。

また、同期調整回路は、信号不一致に伴って出力する前記主メモリ制御回路及び従メモリ制御回路への同期要求により前記シーケンス回路を初期状態に戻すことを特徴とする。

また、主メモリ制御回路及び従メモリ制御回路は、さらに、信号不一致に伴う前記同期調整回路の同期要求により前記シーケンス回路を初期状態に戻すアクセス調停回路を有することを特徴とする。

また、同期調整回路は前記主メモリ制御回路及び従メモリ制御回路の同期調整を完了して次回アクセスに備えることを特徴とする。

また、同期調整回路は前記アクセス調停回路の出力する同期完了応答に従って前記主メモリ制御回路及び従メモリ制御回路の同期調整を完了して次回アクセスに備えることを特徴とする。

さらに、上記メモリ制御装置と、上位装置と、メモリ装置を有する電子回路において、前記メモリ制御装置の主メモリ制御回路にメモリ装置を接続したことを特徴とする。また、メモリ制御装置の従メモリ制御回路に新たなメモリ装置を接続したことを特徴とする。

さらに、メモリ制御装置と、上位装置と、メモリ装置を有する電子回路において、前記上位装置を複数個設けたことを特徴とする。

さらに、複数の上位装置をプロセッサから形成し、各プロセッサによる制御処理の結果について、相互突き合わせ照合を実施することを特徴とする。

さらに、上位装置とメモリ装置の間に設けられ、前記メモリ装置へのアクセスを制御するメモリ制御装置が同一構成の主メモリ制御回路と従メモリ制御回路を有するメモリ制御装置の制御方法において、前記メモリ制御装置の主メモリ制御回路及び従メモリ制御回路における前記メモリ装置へのアクセスに必要な信号を監視し、前記主メモリ制御回路及び従メモリ制御回路の信号不一致を検出した時に、異常信号を出力するとともに、前記主メモリ制御回路及び従メモリ制御回路を初期状態に戻すことを特徴とする。

さらに、メモリ制御装置の制御方法において、前記主メモリ制御回路及び従メモリ制御回路の信号不一致を検出した時に、前記主メモリ制御回路及び従メモリ制御回路を同期調整を完了して次回アクセスに備えることを特徴とする。

本発明は、メモリ制御装置において同一構造のメモリ制御回路を二つ設けて各々のメモリアクセスに必要な信号を比較し、メモリ制御装置内の異常を自己診断機能により検出して出力し、メモリ制御装置の安全性を向上させる。また、異常検出後にメモリ制御回路を初期状態に復帰させ、同期調整を完了して次のメモリアクセス動作を速やかに継続するよう可用性を向上させるという、実用上優れた効果を有する。

本発明の実施例１のメモリ制御回路を示す回路図である。 本発明の実施例２のメモリ制御回路を示す回路図である。 本発明の実施例３のメモリ制御回路を示す回路図である。

以下に、本発明を実施するための形態について、実施例につき以下の順序で説明を行う。以下に述べる実施例は本発明の好適な具体例であり、技術的に好ましい種々の限定が付されている。しかしながら、本発明の範囲は、下記の説明において特に記載がない限りこれらの実施例に限定されるものではない。例えば、以下の実施例で挙げる各パラメータの数値的条件は好適例に過ぎず、説明に用いた各図における配置関係も概略的なものである。

本発明の実施例１であるメモリ制御回路の構成を図１に示す。ここでは、メモリ装置にアクセスするマスタとしての上位装置を２個備えた場合について説明するが、実際の実施において上位装置の個数に制限は無い。ここでマスタとは、メモリ装置にアクセスする全ての回路、装置等を含む。
〔基本構成〕
メモリアクセスマスタとして動作する上位装置１と上位装置２が設けられ、これらはメモリ制御装置９を介してメモリ装置１７へアクセスを要求する。

メモリ制御装置９は、メモリ制御回路３とメモリ制御回路４から構成され、実施例１において、メモリ制御回路３は主メモリ制御回路として動作し、メモリ制御回路４は従メモリ制御回路として動作する。

上位装置１は、メモリ制御回路３及びメモリ制御回路４に対し信号１８により接続され、上位装置２は、メモリ制御回路３及びメモリ制御回路４に対し信号１９により接続される。上位装置１および上位装置２からは非同期にメモリアクセスが発生し、上位装置１のメモリアクセスの出力信号１８と上位装置２のメモリアクセスの出力信号１９は、メモリ制御回路３とメモリ制御回路４に並列に同一の信号が入力される。信号１８、１９にはメモリのアクセスに必要な情報（アドレス、データ、リードライトコマンド等）が全て含まれている。

メモリ制御回路３は、アクセス調停回路７とシーケンサ回路８と、出力信号監視回路１０と同期調整回路１１とで構成される。またメモリ制御回路４は、アクセス調停回路１２とシーケンサ回路１３と、出力信号監視回路１５と同期調整回路１６とで構成される。メモリ制御回路３とメモリ制御回路４は、互いに全く同一構成の回路を形成している。

メモリ装置１７は、主たるメモリ制御回路３にのみ接続され、メモリ制御回路４とは接続されていない。ここでメモリ制御回路４はメモリ制御回路３の監視に用いられる。メモリ装置１７は、一般に使用される全てのメモリ素子、メモリ回路等を含む。
〔メモリ制御回路〕
以下メモリ制御回路について説明する。上位装置１、２からのメモリアクセスのための信号１８、１９は、メモリ装置１７へのアクセスを調停するアクセス調停回路７とアクセス調停回路１２とに接続される。アクセス調停回路７は、上位装置が複数有る場合に用いられ、上位装置１と２からのアクセス要求を調停し、選択した結果を信号２０によりシーケンサ回路８に出力する。アクセス調停回路は、メモリラウンドロビン制御方式や固定優先方式など一般に使用される方式が使用可能であり、これらは本発明を限定するものではない。アクセス調停回路１２はアクセス調停回路７と同一の構成とする。
〔シーケンサ回路〕
シーケンサ回路８は、アクセス調停回路７で選択されたアクセスを元に、内部シーケンサを動作させてメモリ装置１７へのアクセスに必要な信号の選択及びタイミングの生成をおこなう。シーケンサ回路８は、その結果に基づきメモリアクセスのための信号３０によりメモリ装置１７と接続して情報を授受する。

また、シーケンサ回路８の信号３０は、出力信号監視回路１０及び出力信号監視回路１５に接続されて比較される。さらに信号３０は上位装置１及び上位装置２に接続され、リード要求時にはメモリ装置１７に格納された情報を上位装置１または上位装置２に報告する。

メモリ装置１７のアクセスに必要な信号３０は、アドレス、ライトデータ、リードデータ、制御信号、ライト／リード等の全ての信号を含む。

シーケンサ回路８は、シーケンサ動作状態を信号２４によりアクセス調停回路７に出力する。アクセス調停回路７は、信号２４によりシーケンサ回路８の状態を認識して、動作指示をシーケンサ回路８に発行するタイミングを生成する。

シーケンサ回路８は、応答信号２６によって上位装置１、２にメモリアクセス完了を報告し、応答信号２７によって上位装置２にメモリアクセス完了を報告する。この信号２６、２７により、上位装置１、２はメモリアクセスが完了したことを認識し、次のメモリアクセスを実施することが可能となる。また、この信号２６、２７は出力信号監視回路１０及び出力信号監視回路１５に接続される。

シーケンサ回路１３はシーケンサ回路８と同一の回路であるが、その信号３１は、出力信号監視回路１０及び出力信号監視回路１５のみに接続され、メモリ装置１７には接続されない。また、シーケンサ回路１３の信号２８、２９は出力信号監視回路１０及び出力信号監視回路１５には接続されるが、上位装置１および上位装置２には接続されない。
〔出力信号監視回路〕
出力信号監視回路１０は、シーケンサ回路８とシーケンサ回路１３より出力された各々の制御、アドレス、データ信号などの全ての信号を比較監視することを目的とする。

出力信号監視回路１０は、シーケンサ回路８とシーケンサ回路１３より出力されたメモリ装置１７へ出力する制御、アドレス、データなど全ての信号毎の一致性を確認する機能及び各信号の出力タイミングを比較する機能と、シーケンサ回路８、１３から出力される上位装置１及び上位装置２へのメモリアクセス応答信号の比較判定を実施し一致性を確認する機能とを有する。これにより、メモリ装置へ出力する信号の一致性とシーケンサ回路の動作の健全性が確認できると共に、メモリアクセス応答信号の比較判定によりメモリ装置へのアクセス順序を確認出来ることから、アクセス調停回路の健全性も確認できる。

出力信号監視回路１０の出力は、信号３２によって上位装置１及び上位装置２、また、同期調整回路１１及び同期調整回路１６に接続される。出力信号監視回路１０が信号を比較判定した結果、不一致を検出した場合には不一致の検出報告を上位装置１及び上位装置２と、同期調整回路１１及び同期調整回路１６に報告する。

ここで、信号不一致の報告を、アクセス元である上位装置１又は上位装置２のどちらか一方のみに報告するか両方に報告するかは、システムの要求に従って決定され、本発明を制約するものではない。出力信号監視回路１０および出力信号監視回路１５は、出力不一致を検出しない時には何も出力しない。

出力信号監視回路１０および出力信号監視回路１５の何れかで不一致が報告されても、メモリ制御回路３からのメモリ装置１７へのアクセスは停止しない。但し、上位装置１及び上位装置２には直ちに不一致エラーを報告する。ここで、出力信号監視回路１１および出力信号監視回路１５の何れかで不一致が報告された時、メモリアクセスを停止するかどうかはシステムの要求に従って決定され、本発明を制約するものではない。
〔同期調整回路〕
同期調整回路１１および同期調整回路１６は、出力信号監視回路１０または出力信号監視回路１５からの信号不一致の報告があったときは、メモリ制御回路３とメモリ制御回路４の同期調整をおこなう。信号が一致している場合は、メモリ制御回路３とメモリ制御回路４が正常に動作している為に同期調整は行わない。

出力信号監視回路１０または出力信号監視回路１５の少なくとも一方で信号の不一致を検出した場合、その検出報告により同期調整回路１１および同期調整回路１５は、各々のメモリ制御回路３およびメモリ制御回路４の同期調整をおこなう。

以下同期調整回路１１の動作を中心として詳細に説明する。同期調整回路１１は、出力信号監視回路１０または出力信号監視回路１５からの信号不一致報告により、メモリ制御回路の同期調整をおこなうため、同期要求を信号３４によりアクセス調停回路７に発行する。
〔初期状態復帰〕
アクセス調停回路７は、同期調整回路１１からの同期要求によりアクセス調停を停止させると共に、シーケンサ回路８を初期状態に戻す。シーケンサ回路を初期状態に戻す手法については、シーケンサ回路が初期状態に戻るまで待つか、シーケンサ回路を強制的に初期状態に戻すかについては何れでも良い。シーケンサ回路８を初期状態に戻す為、アクセス調停回路７の出力信号２０から指示する。アクセス調停回路７は、シーケンサ回路８の状態信号２４からシーケンサ回路８がアイドル状態になったことを確認した後に、同期完了応答を出力する信号３５により、同期調整回路１１及び同期調整回路１６に報告する。
〔同期完了〕
同期調整回路１１は、アクセス調停回路７の同期完了応答を出力する信号３５かつアクセス調停回路１２からの同期完了応答を出力する信号３７の両方の応答により同期完了と判断し、同期要求の出力を停止して、メモリ制御回路３とメモリ制御回路４の相互の同期調整を完了させ、次のメモリアクセスを処理できるようにして、次回の上位装置からのアクセスに備える。同期調整回路１６の構成及び動作は、同期調整回路１１と同等である。

上位装置が単一でアクセス調停回路を必要としないメモリ制御回路の場合は、同期調整回路は同期要求を直接シーケンサ回路に出力して初期状態に戻し、その結果を受け取って同期完了を判断する。

本発明の実施例２であるメモリ制御回路の構成を図２に示す。なお、実施例１と同じ部分の説明は省略し、特徴となる部分の説明にとどめる。

図２は、本発明のメモリ制御方式により、実施例１の上位装置１、２に替えてプロセッサ４０、４１を接続し、両プロセッサ４０、４１を個別に制御処理を実施しながら、その動作を比較するマルチプロセッサによるメモリ制御方式を示す。各プロセッサによる制御処理の結果について相互突き合わせ照合を実施することにより、さらに正確な回路動作のチェックが可能となり信頼性が向上する。このときのメモリ制御装置９の構成及び動作は実施例と同様である。

本発明の実施例３であるメモリ制御回路の構成を図３に示す。なお、実施例１と同じ部分の説明は省略し、特徴となる部分の説明にとどめる。

図３は、メモリ装置を二個接続し、各メモリ装置に個別に制御処理を実施しながらその動作を比較するメモリ制御方式を示す。図３は、実施例１の上位装置１、上位装置２、メモリ制御装置９、メモリ装置１７に加え、メモリ装置５０を加えて構成される。

実施例１では、メモリ制御回路４は従メモリ制御回路として実際のメモリ装置には接続していない。これに対し実施例３では、メモリ制御回路４はメモリアクセスに必要な信号３１によりメモリ装置５０に接続する。これにより両メモリ装置のデータを比較チェックでき、メモリ制御装置全体の信頼性をより向上できる。

上位装置１及び上位装置２から要求されたアクセスは、メモリ制御回路３及びメモリ制御回路４で信号比較された後、メモリ装置１７およびメモリ装置５０に格納される。

シーケンサ回路１３は、シーケンサ回路８と同様に応答信号２８、２９によって上位装置１および上位装置２にメモリアクセス完了を報告する。上位装置１及び上位装置２にシーケンサ回路８及びシーケンサ回路１３のどちらのメモリアクセス完了を報告するかについては、システムの運用に依り、本発明を制約するものではない。

上位装置１及び上位装置２の要求により、メモリ装置に格納された情報を報告する場合において、メモリ装置１７及びメモリ装置５０に格納された情報のどちらかを報告するかについては、システムの運用に依る。

１、２：上位装置
９：メモリ制御装置
３、４：メモリ制御回路
７、１２：アクセス調停回路
８、１３：シーケンサ回路
１０、１５：出力信号監視回路
１１、１６：同期調整回路
１７、５０：メモリ装置
４０、４１：プロセッサ

Claims (12)

1. 上位装置とメモリ装置の間に設けられ、前記メモリ装置へのアクセスを制御するメモリ制御装置であって、同一の構成を有する主メモリ制御回路と従メモリ制御回路を有するメモリ制御装置において、
   前記主メモリ制御回路及び従メモリ制御回路は、各々前記メモリ装置へのアクセスに必要な信号の選択及びタイミングの生成を行うシーケンス回路と、該シーケンス回路の出力信号を監視する出力信号監視回路と、前記二つの出力信号監視回路の少なくとも一つが信号不一致を検出した時に前記主メモリ制御回路及び従メモリ制御回路の同期調整を行う同期調整回路を有することを特徴とするメモリ制御装置。
2. 請求項１に記載のメモリ制御装置において、前記主メモリ制御回路及び従メモリ制御回路の前記同期調整回路が相互に同期調整完了を報告することにより、前記主メモリ制御回路及び従メモリ制御回路の同期を完了することを特徴とするメモリ制御装置。
3. 請求項１に記載のメモリ制御装置において、前記同期調整回路は、信号不一致に伴って出力する前記主メモリ制御回路及び従メモリ制御回路への同期要求により前記シーケンス回路を初期状態に戻すことを特徴とするメモリ制御装置。
4. 請求項１に記載のメモリ制御装置において、前記主メモリ制御回路及び従メモリ制御回路は、さらに、信号不一致に伴う前記同期調整回路の同期要求により前記シーケンス回路を初期状態に戻すアクセス調停回路を有することを特徴とするメモリ制御装置。
5. 請求項３に記載のメモリ制御装置において、前記同期調整回路は前記主メモリ制御回路及び従メモリ制御回路の同期調整を完了して次回アクセスに備えることを特徴とするメモリ制御装置。
6. 請求項４に記載のメモリ制御装置において、前記同期調整回路は前記アクセス調停回路の出力する同期完了応答に従って前記主メモリ制御回路及び従メモリ制御回路の同期調整を完了して次回アクセスに備えることを特徴とするメモリ制御装置。
7. 請求項１乃至６のいずれかに記載のメモリ制御装置と、上位装置と、メモリ装置を有する電子回路において、前記メモリ制御装置の主メモリ制御回路にメモリ装置を接続したことを特徴とする電子回路。
8. 請求項７に記載の電子回路において、前記メモリ制御装置の従メモリ制御回路に新たなメモリ装置を接続したことを特徴とする電子回路。
9. 請求項１乃至６のいずれかに記載のメモリ制御装置と、上位装置と、メモリ装置を有する電子回路において、前記上位装置を複数個設けたことを特徴とする電子回路。
10. 請求項９に記載の電子回路において、前記複数個の上位装置をプロセッサから形成し、各プロセッサによる制御処理の結果について、相互突き合わせ照合を実施することを特徴とする電子回路。
11. 上位装置とメモリ装置の間に設けられ、前記メモリ装置へのアクセスを制御するメモリ制御装置が同一構成の主メモリ制御回路と従メモリ制御回路を有するメモリ制御装置の制御方法において、
    前記メモリ制御装置の主メモリ制御回路及び従メモリ制御回路における前記メモリ装置へのアクセスに必要な信号を監視し、前記主メモリ制御回路及び従メモリ制御回路の信号不一致を検出した時に、異常信号を出力するとともに、前記主メモリ制御回路及び従メモリ制御回路を初期状態に戻すことを特徴とするメモリ制御装置の制御方法。
12. 請求項１１に記載のメモリ制御装置の制御方法において、前記主メモリ制御回路及び従メモリ制御回路の信号不一致を検出した時に、前記主メモリ制御回路及び従メモリ制御回路を同期調整を完了して次回アクセスに備えることを特徴とするメモリ制御装置の制御方法。

Images