JP2013164763A - 二重化システム系切替制御装置 - Google Patents

Abstract

【課題】簡単な構成で、現行系と待機系を判定する判定部の異常を検出し、この異常が検出された判定部の動作を停止させる二重化システム系切替制御装置を得る。
【解決手段】各演算処理装置１、２から送信される状態データに基づいて、現用系及び待機系の演算処理装置を決定し、制御データとして各演算処理装置へそれぞれ送信する系切替判定装置３の３つの判定部Ａ３１、Ｂ３２、Ｃ３３は、それぞれ制御データ生成部３５〜３７により制御データを生成すると、この制御データを他の判定部に送信し、各判定部では、他部異常判定部３８〜４０により自制御データ生成部で生成した制御データと他の判定部から送信された制御データとを比較し、不一致の場合には、停止信号を当該他の判定部に送信し、他の全ての判定部から停止信号を受信した判定部は、停止制御部４１〜４３により自判定部の動作を停止する。
【選択図】図１

Description

この発明は、二重系システムの現用系及び待機系を切替える二重化システム系切替制御装置に関するものである。

システムの信頼性向上策として、演算処理装置を多重化する方式がある。この方式では、演算処理装置を２台以上用意しておき、現用系として使用している演算処理装置の動作に異常が発生した場合には、他の待機系の演算処理装置を現用系に切り替える。
この方式により、システムの稼動中に現用系の演算処理装置に故障等が発生した場合でも、他の演算処理装置を用いることによってシステムの動作を継続させることができるため、システムの信頼性を向上させることができる。演算処理装置を２台とする場合が二重化システムであり、よく使用される構成である。

従来の二重化システムでは、二重化システムを構成する２台の演算処理装置のどちらを現用系に使用するかを判定する系切替判定装置が設けられている。系切替判定装置は、複数の判定部をもっており、それぞれに演算処理装置から、自装置の現在の状態を示す状態データが送信されるようになっている。各判定部は、２台の演算処理装置から送信される状態データと操作装置からの入力に基づいて、どちらを現用系にし、どちらを待機系にするかを示す制御データを生成して、２台の演算処理装置に送信する。
これを受信した演算処理装置では、複数の判定部からの制御データの多数決に基づいて、自装置を現用系にするか待機系にするかを決めるようになっている。

この構成によれば、いずれかの演算処理装置に異常が発生した場合でも、システムは継続動作可能である。また、いずれか１つの判定部に異常が発生しても、他の判定部が正しく動作していれば、システムは継続して稼動することができる。

特許文献１には、複数のＣＰＵの異常を二重化された判定部で、それぞれ多数決により判定し、異常が判定された場合には、当該ＣＰＵの出力を、ＣＰＵ動作制御部により停止させるものが記載されている。

特開平６−１２４２１３号公報（第２頁、図１）

従来の二重化システムにおける判定部に異常が発生した場合に、異常が発生した判定部を継続して動作させておくと、他の判定部の通信を妨害するといった悪影響を及ぼす可能性がある。そのため、異常が発生した判定部を停止させて、信頼性を向上させる必要がある。
しかしながら、従来では、異常が発生した判定部を検出し、停止させる機能を持っていなかった。
特許文献１のものでは、判定部そのものが異常になった場合にはＣＰＵの異常を検出できなくなるという問題がある。
このため、特許文献１では、判定部を二重化させているものの、判定部の異常を検出し、その判定部を停止させるようにはなっていなかった。

この発明は、上述のような課題を解決するためになされたものであり、簡単な構成で、現行系と待機系を判定する判定部の異常を検出し、この異常が検出された判定部の動作を停止させる二重化システム系切替制御装置を得ることを目的とする。

この発明に係わる二重化システム系切替制御装置においては、二重化システムを構成する２台の演算処理装置の現用系と待機系との切替を制御する二重化システム系切替制御装置であって、各演算処理装置からそれぞれの状態を示す状態データを受信し、この受信した状態データに基づいて、現用系及び待機系の演算処理装置を決定して、この決定した情報を含む制御データを生成して、各演算処理装置へ送信する処理を並行して行うとともに、相互に制御データを交換し合う３つ以上の判定部を備え、各判定部は、状態データに基づいて、制御データを生成し、この生成した制御データを各演算処理装置及び他の判定部に送信する制御データ生成部と、自制御データ生成部で生成した制御データと他の判定部の制御データ生成部から送信された制御データとを比較し、不一致の場合には、他の判定部の制御データ生成部から送信された制御データを異常と判定して、停止信号を当該他の判定部に送信する異常判定部と、複数の他の判定部の異常判定部から停止信号を受信した場合に、自判定部の処理を停止する停止制御部とを有するものである。

この発明によれば、二重化システムを構成する２台の演算処理装置の現用系と待機系との切替を制御する二重化システム系切替制御装置であって、各演算処理装置からそれぞれの状態を示す状態データを受信し、この受信した状態データに基づいて、現用系及び待機系の演算処理装置を決定して、この決定した情報を含む制御データを生成して、各演算処理装置へ送信する処理を並行して行うとともに、相互に制御データを交換し合う３つ以上の判定部を備え、各判定部は、状態データに基づいて、制御データを生成し、この生成した制御データを各演算処理装置及び他の判定部に送信する制御データ生成部と、自制御データ生成部で生成した制御データと他の判定部の制御データ生成部から送信された制御データとを比較し、不一致の場合には、他の判定部の制御データ生成部から送信された制御データを異常と判定して、停止信号を当該他の判定部に送信する異常判定部と、複数の他の判定部の異常判定部から停止信号を受信した場合に、自判定部の処理を停止する停止制御部とを有するので、各判定部に他の判定部の異常検知および停止指示機能を持たせ、複数の判定部が異常と判断したとき、異常が検知された判定部の動作を停止させるため、異常の検知と停止の制御が多重化され、高信頼性を保つことができる。

この発明の実施の形態１による二重化システム系切替制御装置を示す構成図である。 この発明の実施の形態１による二重化システム系切替制御装置の動作を示す説明図である。 この発明の実施の形態１による二重化システム系切替制御装置の判定部の動作を示すフローチャートである。 この発明の実施の形態２による二重化システム系切替制御装置を示す構成図である。 この発明の実施の形態３による二重化システム系切替制御装置を示す構成図である。 この発明の実施の形態４による二重化システム系切替制御装置を示す構成図である。 この発明の実施の形態５による二重化システム系切替制御装置を示す構成図である。

実施の形態１．
以下、この発明の実施の形態１を図に基づいて説明する。
図１は、この発明の実施の形態１による二重化システム系切替制御装置を示す構成図である。
図１において、演算処理装置１と演算処理装置２が二重化システムを形成している。系切替判定装置３（二重化システム系切替制御装置）は、演算処理装置１、２のどちらを現用系に使用するかを判定する。操作装置４は、現用系及び待機系の系切替が必要な場合に、外部スイッチの操作等により系切替のための入力を行う。
演算処理装置１は、演算処理を行い、演算処理装置１の正常または異常の状態を示す状態データを系切替判定装置３に送信するとともに、後述する多数決判定部１２の決定にしたがって、現用系または待機系として動作する演算処理部１１と、系切替判定装置３から送信される、後述する複数の制御データの多数決をとり、演算処理装置１の現用系または待機系を決定する多数決判定部１２とを有する。
演算処理装置２は、演算処理装置１と同様の構成で、演算処理部２１と多数決判定部２２を有している。

系切替判定装置３は、複数の判定部Ａ３１、Ｂ３２、Ｃ３３を有し、各判定部は、演算処理装置１、２から受信した状態データに基づいて、演算処理装置１、２を現用系及び待機系のどちらにするかを示す制御データを生成し、この生成した制御データを互いに送受信するようになっている。
判定部Ａ３１は、例えば、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）などの論理回路により構成され、次の機能を有している。
制御データ生成部３５は、演算処理装置１、２から受信した状態データに基づいて、演算処理装置１、２を現用系及び待機系のどちらにするかを示す制御データＡを生成する。

他部異常判定部３８（異常判定部）は、他の判定部Ｂ３２、Ｃ３３から送信される制御データＢ、Ｃを受信して自判定部Ａ３１が生成した制御データＡとそれぞれ比較し、不一致の場合は、当該他の判定部から送信された制御データを異常と判定して、停止信号（停止信号）を当該他の判定部に送信する。
停止制御部４１は、他の判定部Ｂ３２、Ｃ３３の他部異常判定部３９、４０からの停止信号に基づいて、自判定部Ａ３１を停止させる。このとき、他の２つ判定部Ｂ３２、Ｃ３３の他部異常判定部３９、４０から、それぞれ停止信号が送信された場合には、自判定部Ａ３１を停止させ、そうでない場合は、停止させない。
２つの停止信号の受信を判定するために、図１では、アンド回路６１を用いているが、このアンド回路６１に限らず、他の方法によってもよい。停止制御部４１は、判定部Ａ３１に対し、電源断やリセットをかけるなどにより、その動作を停止させる。

判定部Ｂ３２は、判定部Ａ３１と同様の構成であり、制御データ生成部３６と、他部異常判定部３９と、停止制御部４２と、アンド回路６２とを有している。
また、判定部Ｃ３３も、判定部Ａ３１と同様の構成であり、制御データ生成部３７と、他部異常判定部４０と、停止制御部４３と、アンド回路６３とを有している。

次に、動作について説明する。
演算処理装置１、２は、それぞれの現在の状態データを、例えば、１０ｍｓ程度の定周期で各判定部Ａ３１〜Ｃ３３にそれぞれ送信する。ここで、状態データは、各演算処理装置および演算処理装置に接続される周辺装置の正常／異常状態や、現在の現用系／待機系の状態等を含む。
各判定部Ａ３１〜Ｃ３３は、受信した状態データおよび操作装置４からの入力信号を元に、どちらの演算処理装置を現用系として使用するかを各別に判定する。そして、その判定結果を元に生成した制御データを演算処理装置１、２へ順に送信する。
演算処理装置１、２が受信した各判定部Ａ３１〜Ｃ３３からの制御データは、それぞれの多数決判定部１２、２２に入力され、自多数決判定部の出力結果に基づいて、自演算処理装置が現用系／待機系のどちらになるかを決定する。

次に、判定部の異常を検出する動作について、図２を用いて説明する。
図２で、例えば、判定部Ａ３１が制御データＡを送信する場合を考える。
制御データ生成部３５で生成された制御データＡが演算処理装置１、２に送信される（図２のａ）。それと同時に、制御データＡが他の判定部Ｂ３２、Ｃ３３にも送信される（図２のｂ）。
他の判定部Ｂ３２、Ｃ３３は、その内部にある他部異常判定部３９、４０で、受信した制御データＡが正しいか否かを判定する。すなわち、判定部Ｂ３２の他部異常判定部３９は、受信した制御データＡと自身の制御データ生成部３６で生成した制御データＢが一致するかどうかを確認し、判定部Ｃ３３でも同様に制御データＡと制御データＣが一致するかをどうかを確認する（図２のｃ）。
ここで、判定部Ｂ３２、Ｃ３３において、制御データが一致しなかった場合には、判定部Ａ３１に対して、停止信号を送信する（図２のｄ）。両方の判定部Ｂ３２、Ｃ３３が停止信号を送信した場合には、判定部Ａ３１は動作を停止する。

次に、図３のフローチャートを用いて、判定部の異常判定の動作をさらに詳しく説明する。
判定部Ａ３１と判定部Ｂ３２との間のデータのやりとりを例にして説明する。
判定部Ｂ３２は、状態データを受信する（ステップＳ１）と、制御データＢを生成し（ステップＳ２）、生成した制御データＢを演算処理装置１、２及び他の判定部Ａ３１、Ｃ３３にそれぞれ送信する（ステップＳ３）。その後、判定部Ａ３１から制御データＡを受信する（ステップＳ４）。
次いで、制御データＡと制御データＢを比較し（ステップＳ５）、同じであれば、何もしない（ステップＳ６）。同じでなければ、判定部Ａ３１へ停止信号を送信する（ステップＳ７）。

一方、判定部Ａ３１は、状態データを受信する（ステップＳ１１）と、制御データＡを生成し（ステップＳ１２）、生成した制御データＡを、演算処理装置１、２及び他の判定部Ｂ３２、Ｃ３３にそれぞれ送信する（ステップＳ１３）。
その後、判定部Ｂ３２から停止信号を受信するとともに、判定部Ｃ３３からも停止信号を受信すれば（ステップＳ１４）、判定部Ａ３１の動作を停止する（ステップＳ１５）。判定部Ｂ３２及び判定部Ｃ３３の双方から停止信号を受信していなければ、判定部Ａ３１の動作を継続する（ステップＳ１６）。

なお、図３のフローチャートは、判定部Ａ３１と判定部Ｂ３２との間の異常判定の処理を判りやすく説明するために適宜処理を省略しているが、判定部Ａ３１も判定部Ｂ３２、Ｃ３３からの制御データＢ、Ｃに対して、自判定部Ａ３１で生成した制御データＡを用いて、その異常を判定する処理を行う。
また、判定部Ｂ３２が、判定部Ａ３１、Ｃ３３からの停止信号を受信した場合の処理は、判定部Ａ３１で説明したものと同じ処理を行う。
さらに、判定部Ｂ３２と判定部Ｃ３３との間の異常判定の処理、及び判定部Ａ３１と判定部Ｃ３３との間の異常判定の処理も上述のものと同様にして行われる。

実施の形態１によれば、判定部外部に判定部の異常を検出する機能を設けることなく、各判定部の内部に他の判定部の異常を検出する機能を持つようにしたので、系切替判定装置の回路規模を増大させることなく、信頼性を高めることができる。
また、全ての他の判定部で異常と判断した場合のみ該当する判定部の動作を停止するようにしたので、異常の誤検出の可能性を低減でき、信頼性を高めることができる。

実施の形態２．
図４は、この発明の実施の形態２による二重化システム系切替制御装置を示す構成図である。
図４において、１〜４、１１、１２、２１、２２、３１〜３３、３５〜４３、６１〜６３は図１におけるものと同一のものである。図４では、他部異常判定部３８、３９、４０にそれぞれ異常カウンタ４４、４５、４６を設けている。

実施の形態１では、各他部異常判定部３８〜４０が、他の判定部から受信した制御データと自判定部が生成した制御データとが一致しない場合、即座に異常と判定して、当該判定部に停止信号を送信した。
しかし、ノイズ等の外乱要因や操作装置４からのデータ入力タイミング等により、実際には判定部には異常がないにもかかわらず、異常と判断されてしまう可能性がある。
そこで、実施の形態２は、制御データが１回だけ一致しなかった場合に即座に停止するのではなく、制御データが一致しない状態が継続的に発生する場合にのみ、停止信号を送信するようにする。

すなわち、図４に示すように、各他部異常判定部３８、３９、４０にそれぞれ異常カウンタ４４、４５、４６を設ける。他の判定部から受信した制御データと自判定部が生成した制御データとが一致しない場合、自異常カウンタの値をカウントアップしていき、あらかじめ決められた条件（第一の条件）を満たした場合に、制御データの異常を検出した判定部に対して、停止信号を送信する。
この条件としては、異常カウンタを用いて、異常判定が一定数連続する、累計の異常判定回数が一定数を超える、異常判定の割合が一定値を超える、等がある。

実施の形態２によれば、実際には判定部には異常がないのに、ノイズ等の外乱要因による状態データの変化や、操作装置でのデータ入力タイミングの違いによる制御データの変化を原因として、判定部間で制御データの不一致が発生した場合の判定部の誤停止を防ぐことができる。

実施の形態３．
図５は、この発明の実施の形態３による二重化システム系切替制御装置を示す構成図である。
図５において、１〜４、１１、１２、２１、２２、３１〜３３、３５〜４３、６１〜６３は図１におけるものと同一のものである。図５では、操作装置４からの入力を一次保持するためのバッファ４７、４８、４９を、それぞれ判定部Ａ３１、Ｂ３２、Ｃ３３と操作装置４との間に配置し、操作装置４からの入力を一旦バッファ４７、４８、４９に一次保持させ、タイミング（所定のタイミング）を指示して判定部Ａ３１、Ｂ３２、Ｃ３３に読み込むようにした。

実施の形態１、２では、操作装置４からの入力信号を読み込むタイミングを考慮せず、判定部Ａ３１、Ｂ３２、Ｃ３３に取り込んだそのままの入力信号から制御データを生成したが、操作装置４からの入力信号の変化は、どのタイミングでも起こり得るため、判定部ごとに異なる入力信号を用いて異なる制御データを生成してしまう可能性がある。
そのため、実施の形態３は、演算処理装置１、２から状態データを受信してから次の状態データを受信するまでの間は、操作装置４からの入力信号が変化しても、変化前の入力信号をそのまま使用して、制御データを生成するようにすることで、各他部異常判定部３８〜４０における制御データの不一致を防ぐようにした。

このため、操作装置４からの入力信号を一次保持するバッファ４７〜４９を、操作装置４と各判定部Ａ３１、Ｂ３２、Ｃ３３の間にそれぞれ配置し、制御データ生成部３５、３６、３７から指示したタイミングでのみ当該判定部の制御データ生成部への入力信号を変化させる（当該判定部の制御データ生成部へ取り込む）ようにする。
実施の形態３では、各判定部Ａ３１、Ｂ３２、Ｃ３３の制御データ生成部３５〜３７へバッファ４７〜４９から読み込むタイミングは、各制御データ生成部３５〜３７が、制御データを演算処理装置及び他の判定部へ送信した時点とする。
なお、各判定部Ａ３１、Ｂ３２、Ｃ３３は、状態データより操作装置４からの系切替入力信号を優先して判定に用いるものの、異常の発生した演算処理装置を現用系とする制御データを生成することはしない。

実施の形態３によれば、操作装置から判定部が受信する系切替信号（入力信号）の受信タイミングを、状態データの受信タイミングに合わせるように指示することができ、操作装置からの入力信号として全ての判定部で同じ入力信号を使用することができるので、操作装置の信号変化タイミングを原因とする判定部間での制御データの不一致を防ぐことができ、異常の判断の精度を向上できる。

実施の形態４．
図６は、この発明の実施の形態４による二重化システム系切替制御装置を示す構成図である。
図６において、１〜４、１１、１２、２１、２２、３１〜３３、３５〜４０は図１におけるものと同一のものである。図６では、各他部異常判定部３８〜４０にそれぞれ、判定部を正常に戻すためのカウントを行う正常カウンタ５０〜５２を設けている。また、各判定部Ａ３１、Ｂ３２、Ｃ３３と演算処理装置１、２の間にスイッチ５３、５４を配置するとともに、他部異常判定部の判定状況に応じて、スイッチ５３、５４を開閉制御するための論理部５５を設けている。

論理部５５は、他部異常判定部３９、４０からの停止信号のアンド演算を行うアンド回路５６と、他部異常判定部３８、４０からの停止信号のアンド演算を行うアンド回路５７と、他部異常判定部３８、３９からの停止信号のアンド演算を行うアンド回路５８と、これらアンド回路の出力のオア演算を行うオア回路５９とを有している。
この論理部５５は、制御データＡの送信時にはアンド回路５６の出力で、制御データＢの送信時にはアンド回路５７の出力で、制御データＣの送信時にはアンド回路５８の出力で、それぞれスイッチ５３、５４を開閉制御するように、タイミングが調整されるようになっている。このタイミングは例えば、制御データＡ、Ｂ、Ｃの送信順序をあらかじめ決めておくことでもよいし、演算処理装置からの送信指示を受けて送信するようにしてもよい。
なお、論理部５５の構成は、アンド回路とオア回路の組み合わせに限らず、他の論理回路を用いるものであってもよい。
また、制御データＡの送信時にアンド回路５６の出力でスイッチ５３、５４を開閉制御するためのタイミングの調整手段を別途設けるようにしてもよい。

実施の形態１〜実施の形態３では、判定部が一度異常と判定されると、その後、当該判定部が正常な状態に戻っても、判定に再度使用することはなかった。
しかし、判定部に一時的に異常が発生しても、その後の判定が正常である状態が継続されるならば、その判定部を再度使用することは可能である。
実施の形態４は、このように一時的に異常を示した判定部がその後、正常になった場合に再度使用できるようにするものである。
このため、異常を検知した判定部の動作を停止するのではなく、演算処理装置１、２への当該判定部からの制御データの送信は止めるが、演算処理装置１、２からの状態データの受信及び他の判定部への制御データの送信は継続するようにしている。

図６は、判定部の動作を停止させる停止制御部の代わりに、各判定部Ａ３１、Ｂ３２、Ｃ３３が演算処理装置１、２に接続される回線上にスイッチ５３、５４を設ける。
各判定部Ａ３１、Ｂ３２、Ｃ３３が状態データを受信するときはスイッチ５３、５４を接続状態として、全ての判定部が状態データを受信する。
各判定部Ａ３１、Ｂ３２、Ｃ３３が制御データを送信するときは、異常でない判定部から送信するときはスイッチ５３、５４を接続状態として、演算処理装置１、２と他の判定部の両方に制御データを送信可能とする。なお、各判定部Ａ３１、Ｂ３２、Ｃ３３からの制御データは、順次、送信されるものとする。
一方、異常を検知した判定部から制御データを送信する場合には、スイッチ５３、５４をオフにし、演算処理装置１、２には制御データを送信せず、他の判定部にのみ制御データを送信する。そして、異常が検知された判定部の制御データについて、連続して制御データが正常であることが確認されたときには、当該判定部の異常状態を解除して再び制御データの送信を有効とする。

なお、異常が検知された判定部が正常になったことの確認は、その判定部内の正常カウンタを用いて、正常な制御データであるときに正常カウンタをカウントアップし、カウント値が所定値を超えた（第二の条件を満たす）ときに、その判定部を正常とみなすようにする。

論理部５５は、アンド回路５６〜５８とオア回路９から構成され、例えば、判定部Ａ３１からの制御データＡの送信時には、判定部Ｂ３２、Ｃ３３の他部異常判定部３９、４０の双方から停止信号が出力されれば、スイッチ５３、５４をオフにするように動作する。

実施の形態４によれば、一度は異常と判断された判定部であっても、その後の判定状態に問題がないことが確認されれば、自動的に再び判定部として使用することができる。
したがって、使用者の手をわずらわせることなく使用できる判定部が増え、信頼性も向上することができる。

実施の形態５．
図７は、この発明の実施の形態５による二重化システム系切替制御装置を示す構成図である。
図７において、１〜４、１１、１２、２１、２２、３１〜３３、３５〜４３、６１〜６３は図１におけるものと同一のものである。図７では、演算処理部１、２に、それぞれ判定部の異常を外部へ通知するための通知部１３、２３を設けている。

実施の形態１〜実施の形態３では、判定部に異常が発生した場合の処理は、その判定部の動作を停止するのみであったが、実施の形態５は、判定部に異常が発生したことを外部に通知することによって、系切替判定装置の交換等の処置を促すようにした。
このため、各判定部Ａ３１、Ｂ３２、Ｃ３３は、それぞれの他部異常判定部３８、３９、４０が他判定部からの制御データの異常を検出したとき、その異常情報を自制御データ生成部に渡し、次回送信する制御データ内に異常情報（異常が検出された判定部情報を含む。）を含めて、演算処理装置１、２に送信する。
この異常情報を含む制御データを受け取った演算処理装置１、２は、それぞれ制御データを解析して該当する判定部の異常状態を通知部１３、２３により外部に通知する。
通知部１３、２３は、ＬＥＤや表示装置により外部へ表示する方法によってもよいし、ネットワークに接続された他の端末や携帯電話に通知するなどの方法によってもよい。

実施の形態５によれば、状態データを判定して、系切替を示す制御データを生成する判定部に異常が発生したことを演算処理装置を介して外部に通知することができる。
このため、使用者が異常を素早く検知し、系切替判定装置に対して適切な処置をすることが可能となり、システムの可用性を高めることができる。

上記実施の形態１〜実施の形態５の説明では、判定部を３つとしたが、判定部は３つ以上であればよく、この場合、複数の停止信号の受信により、異常と判断して、当該判定部の処理を停止させる、あるいは制御データの送信を停止させることができる。

なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１、２ 演算処理装置
３ 系切替判定装置
４ 操作装置
１１ 演算処理部
１２ 多数決判定部
１３ 通知部
２１ 演算処理部
２２ 多数決判定部
２３ 通知部
３１、３２、３３ 判定部
３５、３６、３７ 制御データ生成部
３８、３９、４０ 他部異常判定部
４１、４２、４３ 停止制御部
４４、４５、４６ 異常カウンタ
４７、４８、４９ バッファ
５０、５１、５２ 正常カウンタ
５３、５４ スイッチ
５５ 論理部
５６、５７、５８ アンド回路
５９ オア回路
６１、６２、６３ アンド回路

Claims (6)

1. 二重化システムを構成する２台の演算処理装置の現用系と待機系との切替を制御する二重化システム系切替制御装置であって、
   上記各演算処理装置からそれぞれの状態を示す状態データを受信し、この受信した状態データに基づいて、現用系及び待機系の演算処理装置を決定して、この決定した情報を含む制御データを生成して、上記各演算処理装置へ送信する処理を並行して行うとともに、相互に上記制御データを交換し合う３つ以上の判定部を備え、
   上記各判定部は、
   上記状態データに基づいて、上記制御データを生成し、この生成した制御データを上記各演算処理装置及び他の判定部に送信する制御データ生成部と、
   自制御データ生成部で生成した制御データと上記他の判定部の制御データ生成部から送信された上記制御データとを比較し、不一致の場合には、上記他の判定部の制御データ生成部から送信された上記制御データを異常と判定して、停止信号を当該他の判定部に送信する異常判定部と、
   複数の他の判定部の上記異常判定部から上記停止信号を受信した場合に、自判定部の処理を停止する停止制御部とを有することを特徴とする二重化システム系切替制御装置。
2. 上記異常判定部は、他の判定部の制御データ生成部から送信された制御データの異常を検知した回数をカウントする異常カウンタを有し、
   上記異常カウンタの値が第一の条件を満たしたとき、上記停止信号を送信することを特徴とする請求項１記載の二重化システム系切替制御装置。
3. 上記各判定部に系切替を指示するための入力を行う操作装置からの入力信号を、それぞれ上記各制御データ生成部に対応して一時保持する複数のバッファを備え、
   上記各制御データ生成部は、上記入力信号を用いて上記制御データを生成するとともに、
   上記制御データの生成に当って、上記各判定部の上記制御データ生成部が同じ入力信号を用いるように、所定のタイミングで上記バッファから上記入力信号を取り込むことを特徴とする請求項１または請求項２記載の二重化システム系切替制御装置。
4. 上記制御データ生成部は、上記異常判定部が判定した異常を示す情報を上記制御データに含めることを特徴とする請求項１〜請求項３のいずれか一項記載の二重化システム系切替制御装置。
5. 二重化システムを構成する２台の演算処理装置の現用系と待機系との切替を制御する二重化システム系切替制御装置であって、
   上記各演算処理装置からそれぞれの状態を示す状態データを受信し、この受信した状態データに基づいて、現用系及び待機系の演算処理装置を決定して、この決定した情報を含む制御データを生成して、上記各演算処理装置へ送信する処理を並行して行うとともに、相互に上記制御データを交換し合う３つ以上の判定部、
   及び異常が検知された判定部からの上記制御データの上記各演算処理装置への送信を停止させる論理部を備え、
   上記各判定部は、
   上記状態データに基づいて、上記制御データを生成し、この生成した制御データを上記各演算処理装置及び他の判定部に送信する制御データ生成部と、
   自制御データ生成部で生成した制御データと上記他の判定部の制御データ生成部から送信された上記制御データとを比較し、不一致の場合には、上記他の判定部の制御データ生成部から送信された上記制御データを異常と判定して、停止信号を上記論理部に送信する異常判定部とを有し、
   上記論理部は、複数の上記判定部の異常判定部からの上記停止信号に基づいて、異常が確認された上記判定部からの上記制御データの上記各演算処理装置への送信を停止させることを特徴とする二重化システム系切替制御装置。
6. 上記異常判定部は、他の判定部の制御データ生成部から送信された制御データが正常である回数をカウントする正常カウンタを有し、
   上記正常カウンタの値が第二の条件を満たしたとき、上記論理部への停止信号の送信を停止することを特徴とする請求項５記載の二重化システム系切替制御装置。

Images