JP2011095837A - フェールセーフシステム - Google Patents

Abstract

【課題】リセットされたＣＰＵは初期状態から再起動し、その後データ及びアドレス記録部に蓄積された最終のデータ値、アドレス値を読み込むことにより、制御の連続性を妨げないリカバリー処理を実施する。
【解決手段】各系統は、データ通信用のバスと、このバスに接続されたＣＰＵデバイス及びメモリデバイスを備える。各系統には各系統のバス間の情報を比較して検定する連続検定処理部を接続する。この連続検定処理部における各バス間の情報が不一致の場合にエラーとの判定を行う。リセット処理部は、連続検定処理部によるエラーと判定された際のトリガ情報に基づいて、いずれかのＣＰＵもしくは両系ＣＰＵにリセット信号を発生する。データ及びアドレス記録部は、リセット処理後に所定のアドレスから処理を再開するために必要な情報を記録する。
【選択図】図１

Description

本発明は、例えば列車制御装置などのコンピュータシステムに使用されるフェールセーフシステムに関するものである。

従来のフェールセーフコンピュータ技術としては、特許文献１に示すように、バス照合方式とデータ照合方式のいづれかを用いることが一般的である。これらのシステムは複数のＣＰＵを利用し、バスデータの連続検定や、重要データの間欠的エラー検定処理を実行し、エラー発生時にはＣＰＵ処理を停止して安全側制御（列車ブレーキ動作や踏切遮断動作など）に移行する点においては類似している。

図４は、バス照合方式によるフェールセーフシステムの構成図である。この制御装置は、Ａ系及びＢ系から成る２重系の構成を有しており、Ａ系及びＢ系はそれぞれマイクロプロセッサ（以下、ＣＰＵという）１１Ａ，１１Ｂ及び記憶回路１２Ａ，１２Ｂを有し、入出力部１３Ａ，１３Ｂを介して情報の入出力を行っている。これらＣＰＵ１１Ａ，１１Ｂはクロック回路１４からのクロック信号により同期を取りながら走行している。

ＣＰＵ１１Ａ，１１Ｂにはバス１５Ａ，１５Ｂを介してバス照合交番信号出力回路１６が接続されている。このバス照合交番信号出力回路１６は、バス１５Ａ，１５Ｂ上に現れるＣＰＵ１１Ａ，１１Ｂの信号を照合し、両者が一致するか否かについてその照合結果を照合異常検出回路１７に出力している。バス照合交番信号出力回路１６は、常時、交番信号を出力しており、両者が一致している場合は、この交番信号の出力を継続することによりＣＰＵ１１Ａ，１１Ｂの走行を許容する。

しかし、バス照合交番信号出力回路１６は、両者の信号の不一致が一度でも発生すると、この不一致の情報を記憶し、以後の交番信号の出力を停止する。バス照合交番信号出力回路１６からの交番信号の停止で、照合異常検出回路１７は照合異常を検出し、ＣＰＵ１１Ａ，１１Ｂにリセット信号を出力する。ＣＰＵ１１Ａ，１１Ｂがリセットされることにより、バス照合交番信号出力回路１６が照合すべきデータがなくなり、照合不一致となって交番信号を出力できなくなる。そして、双方のＣＰＵユニットはリセットされた状態（安全側の状態となっている）で走行を停止するので、フェールセーフ機能が確保されることになる。

図５は、データ照合方式によるフェールセーフシステムの構成図である。図１５ではフェールセーフシステムは、３重系で構成されており、入力部１８Ａ，１８Ｂ，１８Ｃ、プロセッサ１９Ａ，１９Ｂ，１９Ｃ、出力部２０Ａ，２０Ｂ，２０Ｃを有し、各系間に共通メモリＤＰＭ（Dual Port Memory）２１Ａ，２１Ｂ，２１Ｃを接続して構成されている。また、出力部２０Ａ，２０Ｂ，２０Ｃからの出力信号はアンド回路２２を介して３種類の演算結果が同一となったときのみ安全と判断して出力する構成としている。

このようなデータ照合方式のフェールセーフシステムの動作は、各系の入力部１８Ａ，１８Ｂ，１８Ｃから得られる入力情報を共通メモリ２１Ａ，２１Ｂ，２１Ｃに書き込み、これを各系のプロセッサ１９Ａ，１９Ｂ，１９Ｃ内の比較回路により系間で照合する。照合した結果、一致していれば、次の各系のプロセッサ１９Ａ，１９Ｂ，１９Ｃの演算動作を許容する。不一致であれば、入力情報を前回値ないし安全側に固定する。

次の演算動作では、入力動作で決定された入力情報を用いて演算を行う。さらに、次の出力処理では、各系の各系のプロセッサ１９Ａ，１９Ｂ，１９Ｃで演算した結果を共通メモリ２１Ａ，２１Ｂ，２１Ｃに書き込み、これを各系のプロセッサ１９Ａ，１９Ｂ，１９Ｃ内の比較回路により系間で照合する。照合した結果、一致していれば、各系は次の出力動作を許容する。不一致であれば、出力を前回値ないし安全側に固定する。

このように、データ照合方式は、入力→演算→出力と繰り返し実行されるフェールセーフシステムの各動作フェーズにおいて、入出力情報を照合し各データの異常を検出する方式である。このデータ照合方式は、共通メモリ２１Ａ，２１Ｂ，２１Ｃを利用することで汎用のプロセッサとの接続を良くするメリットを有している。

特開２００５−４９９６７号公報

近年のＣＰＵデバイスの高速化及びメモリデバイスの高速化・大容量化などに代表される、部品供給側の大きな流れに逆行して低速かつ低容量の部品を選択してシステム構築することは、将来の応用性を損なうだけでなく、長期のシステム供給性を困難にしてしまうため、高速、大容量化は避けられない技術課題の１つである。

このような近年のＣＰＵデバイスの高速化及びメモリデバイスの高速化・大容量化に伴い、１ｂｉｔ単位が保有する電力エネルギーが小さくなってきているのに対し、エラー検出回路の動作速度は高速化し、その処理すべきデのータ量は多大になってきており、システム全体のエラー発生確率が高くなってきている。

特に、１ｂｉｔ単位での電力エネルギーが小さくなると外来ノイズやγ線含む電磁波の影響を受けやすくなり、意図しないシステム停止を引き起こす要因となるが、これらの問題点はエラー発生の再現性が非常に低い事象であることである。

一方、フェールセーフを構築するようなバイタルなシステムにおいては、一旦発生した安全側制御をいわゆる“機器故障”の位置付けで処理するため、ユーザーに対しなぜ機器故障に至ったかの説明責任が生じる。しかし、実際はハードウェアの固定的な故障ではなく、非常に再現性が低い一過性の外来ノイズやピンポイント的な電磁波によるデータ化けが原因であるケースも多く、これらの解析や対策には膨大な時間と費用がかかる。

このような場合、システムをリセットするだけで、エラーが回復する可能性がある。しかし、前記のような構成を有するバス照合方式及びデータ照合方式のいずれのシステムにおいては、非常に高い安全性を確保する設計思想から、一旦エラーが発生してしまうと、そのリカバリー処理（再制御開始）は実行しないことが周知の技術となっている。

また、仮に、図４のように、不一致と判定した瞬間のトリガ情報を単純にリセット処理して初期状態から再起動するだけでは、装置全体として制御の連続性を失ってしまうため、システムの信頼性が損なわれる。

本発明は、上記のような従来技術の問題点を解決するために提案されたものである。本発明の目的は、従来のデュアルＣＰＵを用いた高い安全性のシステムを踏襲しつつ、非常に稀に発生する、一時的な外来阻害要因に対し耐性を高め、システム全体の信頼性を向上したフェールセーフシステムを提供することにある。

前記の目的を達成するために、本発明は、バス照合方式またはデータ照合方式のフェールセーフコンピュータシステムにおいて、連続検定処理部によるエラーと判定された際のトリガ情報に基づいて、いずれかのＣＰＵもしくは両系ＣＰＵにリセット信号を発生するリセット処理部と、そのリセット処理後に所定のアドレスから処理を再開するために必要な情報を記録するデータ及びアドレス記録部を有することを特徴とする。

本発明によれば、リセットされたＣＰＵは初期状態から再起動し、その後データ及びアドレス記録部に蓄積された最終のデータ値、アドレス値を読み込むことにより、制御の連続性を妨げないリカバリー処理を実施することができる。また、両系へのリセット指令ではなく、異常が発生したどちらかのみのＣＰＵへリセット指令を発効すれば、正常なＣＰＵは今までの制御処理を継続するため、装置全体として完全な制御の連続性を保つことができる。

本発明をバス照合方式に適用したフェールセーフシステムの一例を示すブロック図。 本発明をデータ照合方式に適用したフェールセーフシステムの一例を示すブロック図。 従来のバス照合方式のフェールセーフシステムの一例を示すブロック図。 従来のデータ照合方式のフェールセーフシステムの一例を示すブロック図。

以下、本発明をバス照合方式に適用した実施例１について、図１に従って具体的に説明する。なお、この実施例１は、２系統のバスを有するフェールセーフシステムであるが、従来技術に記載したような３系統若しくはそれ以上の系統のバスを有するシステムについても、本発明は適用可能である。

（１）実施例１の構成
図１において、符号１ＡはＡ系のバス、２ＡはＢ系のバスである。これら各系統のバス１Ａ，１Ｂには、それぞれＣＰＵデバイス２Ａ，２Ｂと、１個あるいは複数個のメモリデバイス３Ａ，３Ｂが接続されている。２系統のバス１Ａ，１Ｂには、Ａ系バス１Ａの処理データとＢ系バス１Ｂの処理データを同一時間上に検定（照合）処理する連続検定処理部４が接続されている。

前記連続検定処理部４は、検定結果の出力部と、エラー判定の際にエラー検出を示すトリガの出力部が設けられている。連続検定処理部４のエラー検出トリガの出力部は、出力されたトリガに従い各系統のＣＰＵデバイス２Ａ，２Ｂをリセットするリセット処理部５に接続されている。このリセット処理部５の出力側は、各系統のＣＰＵデバイス２Ａ，２Ｂに接続されている。

各系統のバスには、ＣＰＵデバイス２Ａ，２Ｂのリセット処理後に所定のアドレスから処理を再開するためのデータ及びアドレス記録部６が接続されている。このデータ及びアドレス記録部６は、前記リセット処理部５によってＣＰＵデバイス２Ａ，２Ｂがリセットされた時点で処理されていたデータ及びその書き込みあるいは読み出しのアドレスを記憶するものである。なお、このデータ及びアドレスの記憶のタイミングは、前記連続検定処理部４からのトリガの受信時、リセット処理部５からのリセット信号の発生時、あるいはＣＰＵデバイス２Ａ，２Ｂのリセット開始時のいずれでも良い。少なくとも、ＣＰＵデバイスの起動再開後にリセット前の処理を継続して実施するための情報を記憶できるタイミングとする。

（２）実施例１の作用
前記のような構成を有する実施例１の連続検定処理部４においては、Ａ系バス１Ａの処理データとＢ系バス１Ｂの処理データを同一時間上に検定（照合）処理し、一致であればしていれば正常動作と判定し、不一致であればＡ系／Ｂ系いずれかのデバイスもしくはバス上に異常が発生したと判定する。この場合、従来技術では、異常が発生したと判定された装置は、やがて安全側制御へと移行し、一般的にはリカバリー処理は許可しない。

これに対して、実施例１においては、連続検定処理部４が不一致と判定した瞬間のトリガ情報をリセット処理部５へ送信し、いずれかのＣＰＵデバイス２Ａ，２Ｂもしくは両系ＣＰＵデバイス２Ａ，２Ｂにリセット信号を発生させる。リセットされたＣＰＵデバイス１Ａ，２Ｂは初期状態から再起動し、その後、データ及びアドレス記録部６に蓄積された最終のデータ値とアドレス値を読み込むことにより、制御の連続性を妨げないリカバリー処理を実施する。

（３）実施例１の効果
実施例１によれば、不一致と判定した瞬間のトリガ情報を単純にリセット処理して初期状態から再起動するだけでは、装置全体として制御の連続性を失ってしまうため、データ及びアドレス記録部を設けることにより、異常が発生する直前までの処理に瞬時にリカバリーし、制御の連続性を保持することができる。また、両系へのリセット指令ではなく、異常が発生したどちらかのみのＣＰＵへリセット指令を発効するように構成すれば、正常なＣＰＵは今までの制御処理を継続するため、装置全体として完全な制御の連続性を保つことができる。

以下、本発明をデータ照合方式に適用した実施例２について、図２に従って具体的に説明する。この実施例２は、２系統のバスを有するフェールセーフシステムであるが、前記実施例１と同様に、従来技術に記載したような３系統若しくはそれ以上の系統のバスを有するシステムについても、適用可能である。

（１）実施例２の構成
図１において、符号１ＡはＡ系のバス、２ＡはＢ系のバスである。これら各系統のバス１Ａ，１Ｂには、それぞれＣＰＵデバイス２Ａ，２Ｂと、１個あるいは複数個のメモリデバイス３Ａ，３Ｂが接続されている。各系統のＣＰＵデバイス２Ａ，２Ｂには、処理データの中でシステム上の重要データと位置付けられるデータを一定周期または不定期に記憶させるための共通メモリ３０が接続されている。実施例２では、この共通メモリとして、ＤＰＲＡＭ（Dual Port Random Access Memory）を使用する。

各系統のＣＰＵデバイス２Ａ，２Ｂには、前記共通メモリ５０に記憶されたシステム上の重要データと位置付けられるデータと、各系統のＣＰＵデバイス２Ａ，２Ｂのデータとを、同一時間上において比較検定（照合）する間欠検定処理部４０が接続されている。前記間欠検定処理部４０は、検定結果の出力部と、エラー判定の際にエラー検出を示すトリガの出力部が設けられている。間欠検定処理部４０のエラー検出トリガの出力部は、出力されたトリガに従い各系統のＣＰＵデバイス２Ａ，２Ｂをリセットするリセット処理部５に接続されている。このリセット処理部５の出力側は、各系統のＣＰＵデバイス２Ａ，２Ｂに接続されている。

前記実施例１と同様に、各系統のバスには、ＣＰＵデバイス２Ａ，２Ｂのリセット処理後に所定のアドレスから処理を再開するためのデータ及びアドレス記録部６が接続されている。このデータ及びアドレス記録部６は、前記リセット処理部５によってＣＰＵデバイス２Ａ，２Ｂがリセットされた時点で処理されていたデータ及びその書き込みあるいは読み出しのアドレスを記憶する。

（２）実施例２の作用
前記のような構成を有する実施例２においては、共通メモリ３０にシステム上の重要データと位置付けられるデータを一定周期または不定期に記憶させる。そして、それぞれのＣＰＵデバイス２Ａ，２Ｂにおいては、自系データと他系データの記憶値が一致であれば正常動作と判定し、不一致であればＡ系／Ｂ系いずれかのデバイスもしくはバス上に異常が発生したと判定する。

正常動作の判定であれば、Ａ系／Ｂ系それぞれのＣＰＵデバイス２Ａ，２Ｂはフェールセーフ性が確保される励振信号（交番信号）を間欠検定処理部４０に対して同時に書き込む。この正常動作は、不一致を検出して励振信号を停止するまで継続される。図４のデータ照合方式において、異常が発生したと判定された装置は、やがて安全側制御へと移行し、一般的にはリカバリー処理は許可しない。

しかし、実施例２の構成においては、間欠検定処理部４０は、不一致と判定した瞬間のトリガ情報をリセット処理部５へ送信し、いずれかのＣＰＵデバイスもしくは両系のＣＰＵデバイスにリセット信号を発生させる。リセットされたＣＰＵデバイス２Ａ，２Ｂは初期状態から再起動し、その後、データ及びアドレス記録部６に蓄積された最終のデータ値とアドレス値を読み込むことにより、制御の連続性を妨げないリカバリー処理を実施する。

（３）実施例２の効果
前記のような構成並びに作用を有する実施例２においても、データ及びアドレス記録部６を設けることにより、異常が発生する直前までの処理に瞬時にリカバリーし、制御の連続性を保持することができる。また、両系へのリセット指令ではなく、異常が発生したどちらかのみのＣＰＵへリセット指令を発効すれば、正常なＣＰＵは今までの制御処理を継続するため、装置全体として完全な制御の連続性を保つことができる。

１Ａ，１Ｂ…Ａ系バス，Ｂ系バス
２Ａ，２Ｂ…ＣＰＵデバイス
３Ａ，３Ｂ…メモリデバイス
４…連続検定処理部
５…リセット処理部
６…データ及びアドレス記憶部
３０…共通メモリ
４０…間欠検定処理部

Claims (2)

1. 複数の系統を備え、それぞれの系統がデータ通信用のバスと、このバスに接続されたＣＰＵデバイス及びメモリデバイスを備え、各系統には各系統のバス間の情報を比較して検定する連続検定処理部を接続し、この連続検定処理部において各バス間の情報が不一致の場合にエラーとの判定を行うフェールセーフコンピュータシステムにおいて、
   前記連続検定処理部によるエラーと判定された際のトリガ情報に基づいて、いずれかのＣＰＵもしくは両系ＣＰＵにリセット信号を発生するリセット処理部と、
   そのリセット処理後に所定のアドレスから処理を再開するために必要な情報を記録するデータ及びアドレス記録部を有することを特徴とするフェールセーフシステム。
2. 複数の系統を備え、それぞれの系統がデータ通信用のバスと、このバスに接続されたＣＰＵデバイス及びメモリデバイスを備え、各系統には比較対象となるデータを記憶する共通メモリと、各系統各系のＣＰＵの入力情報と前記共通メモリに記憶されているデータとを間欠的に比較検定する間欠検定処理部を接続し、この間欠検定処理部において前記記憶データと入力情報が不一致の場合にエラーとの判定を行うフェールセーフコンピュータシステムにおいて、
   前記間欠検定処理部によるエラーと判定された際のトリガ情報に基づいて、いずれかのＣＰＵもしくは両系ＣＰＵにリセット信号を発生するリセット処理部と、
   そのリセット処理後に所定のアドレスから処理を再開するために必要な情報を記録するデータ及びアドレス記録部を有することを特徴とするフェールセーフシステム。

Images