JP2015222520A

JP2015222520A - フェールセーフ演算処理装置

Info

Publication number: JP2015222520A
Application number: JP2014106919A
Authority: JP
Inventors: 翔平加藤; Shohei Kato; 秀夫作山; Hideo Sakuyama; 柴田　直樹; Naoki Shibata; 直樹柴田
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2014-05-23
Filing date: 2014-05-23
Publication date: 2015-12-10
Anticipated expiration: 2034-05-23
Also published as: CN105093979B; GB2526917A; CN105093979A; DE102015208989A1; GB2526917B; GB201506268D0; JP6600128B2

Abstract

【課題】複数の演算部と、各演算部の処理結果を照合する出力制御部とを有するフェールセーフ演算処理装置において、電源の一時的な電圧変動により各演算部が同時に同一の誤ったデータを出力した場合に、出力制御部が各演算部の誤ったデータを検出できずにそのまま誤ったデータを外部に出力する可能性がある。
【解決手段】フェールセーフ演算処理装置を構成する複数の演算部に対してそれぞれ別々に電力を供給する複数の電源の内いずれかの電源は、対応する演算部に加えてフェールセーフ演算処理装置を構成する演算部以外の回路部分にも電力を供給する。また併せて、複数の電源の中で少なくとも一つの電源を異なる電源容量とする。
【選択図】図１

Description

本発明は、高い安全性が求められる分野で用いられ、内部に複数の演算部を持ちその演算結果の一致を保証するフェールセーフな構成とする多重系フェールセーフ演算処理装置に関する。

鉄道用信号・保安システム、発電所などの高い安全性が求められる分野において、演算処理を行うシステムは、演算部を多重化してその処理結果を照合し、一致していれば正常動作を継続し、不一致であればシステムとして安全な状態に遷移するように、一連の制御を実行している。
したがって、複数の演算部が同時に同一の誤った出力をする要因を排除する必要がある。その要因の１つとしては、電源の一時的な電圧変動がある。特許文献１および特許文献２においては、複数の演算部に対して別々に電源を供給している。電源が同時に同種の故障を発生する確率は低いため、電源の故障により演算部が同時に同一の誤った出力を行う確率を低減させることが可能となる。

特開２００２−１１６９２１号公報特開平６−２９８１０５号公報

しかしながら、別々に供給する電源が同時に同様の電圧変動を起こした場合、演算部が同時に同一の誤ったデータを出力ことにより、出力制御部においてその誤ったデータを検出できずに外部に出力する可能性がある。特許文献１では、片方のＣＰＵは他方の電源にも接続されその他方の電源を監視することにより、また、特許文献２では、双方のＣＰＵが互いにそれぞれの電源出力を監視することにより、複数の電源の一時的な変動を検出している。しかしながら、電源に一時的な電圧変動が発生した時には、ＣＰＵが電源監視部からのリセット等演算停止指令を受け付けずに、誤ったデータを出力する可能性がある。
本発明の目的は、フェールセーフ演算処理装置において、複数の演算処理部に供給する電源に一時的な電圧変動が発生しても、誤った演算結果を出力する可能性を排除することを目的とする。

本発明は、前記課題を解決するために、フェールセーフ演算処理装置を構成する複数の演算部に対してそれぞれ別々に電力を供給する複数の電源の内いずれかの電源は、対応する演算部に加えてフェールセーフ演算処理装置を構成する演算部以外の回路部分にも電力を供給するか、または、他の電源と異なる電源容量にする。

本発明によれば、電源に一時的な電圧変動が発生した場合であっても、各演算部において電圧変動の影響を受けるタイミングに差がつくことにより、前記各演算部が同時に同一の誤った演算結果を出力することを排除することが可能となる。

図１は、実施例１に係るフェールセーフ演算処理装置の構成図である。図２は、実施例１の演算部以外の回路を抵抗および容量成分で簡略化した等価回路図である。図３は、実施例１において入力電圧変動時の各演算部における電圧変動、クロックおよび出力データの時間推移を示す図である。図４は、実施例２に係るフェールセーフ演算処理装置の構成図である。図５は、実施例３に係るフェールセーフ演算処理装置の構成図である。

以下、本発明の実施形態として、実施例１〜実施例３について順に説明する。

本発明の実施例１に関して、図１〜図３を参照しながら説明する。
実施例１は、多重系のフェールセーフ演算処理装置として、同時に同一の演算を行う演算部を２つ、同容量の電源を２つ備えた２重系構成を基本とする場合である。図１は、実施例１に係るフェールセーフ演算処理装置１１の構成図である。

フェールセーフ演算処理装置１１は、出力データにフェールセーフ性が求められる演算部に適用されるものでる。図１に示す構成では、フェールセーフ性を担保するために、演算部Ａ（１２）および演算部Ｂ（１３）の２つの演算部を有する。フェールセーフ演算処理装置１１から出力されるデータは、演算部Ａ（１２）および演算部Ｂ（１３）で演算されたデータに基づく。

演算部Ａ（１２）および演算部Ｂ（１３）から出力されたデータは、出力制御部（１６）内のバッファ１７に一旦保持（一時記憶）される。演算部Ａ（１２）および演算部Ｂ（１３）は、それぞれの出力データを相互に監視し、互いの出力データが等しいことを確認する。互いの出力データが一致することの確認がとれた場合、出力制御部１６内のバッファ１７に保持されているデータは、演算部Ａ（１２）の指示により出力される。双方の出力データの少なくともいずれか一方に問題があって互いの出力データが一致しない場合には、バッファ１７からデータは出力されない。また、演算部Ａ（１２）および演算部Ｂ（１３）は、相手側（対系）に対し演算を停止させるためのリセット信号を送信する機能を有し、互いの出力データが一致しない等問題が生じた場合には相手側をリセットする。

演算部Ａ（１２）および演算部Ｂ（１３）の双方が同時に故障する確率は非常に低いため、このような手法によりフェールセーフな出力を可能にするフェールセーフ演算処理装置が構成されることになる。

しかしながら、演算部Ａ（１２）および演算部Ｂ（１３）に対して同時に同種の故障要因がある場合、双方の演算部から同様に誤った信号を出力する危険性がある。そうすると、演算部Ａ（１２）および演算部Ｂ（１３）が出力データの相互監視を行っていても、その誤りを検出することができず、誤った信号を外部に出力してしまう可能性がある。
したがって、フェールセーフ演算処理装置においては、前記のように、同時に同種の故障要因を極力排除し、誤った信号を外部に出力する確率を十分に抑制する必要がある。

前記の同時に同種の故障要因としては、演算部Ａ（１２）および演算部Ｂ（１３）へ供給する電源が挙げられる。演算部Ａ（１２）および演算部Ｂ（１３）が共通電源から電力供給を受ける場合、共通電源に一時的な異常が発生すると、演算部Ａ（１２）および演算部Ｂ（１３）が同時に同一の誤ったデータを出力する可能性がある。

そこで、演算部Ａ（１２）に対しては、電源Ａ（１４）から電力供給を行い、演算部Ｂ（１３）に対しては、電源Ｂ（１５）から電力供給を行う。電源Ａ（１４）および電源Ｂ（１５）の双方が同時に同種の故障を起こす確率は非常に低いので、演算部Ａ（１２）および演算部Ｂ（１３）に供給する電源を分離することにより、双方の演算部が同時に同種の故障を起こす確率を低減させることが可能となる。

しかしながら、電源Ａ（１４）および電源Ｂ（１５）に電圧変動が同時に発生すると、それぞれの電源に対する負荷の大きさ（演算部Ａ（１２）および演算部Ｂ（１３）を含む）が同等である場合には、同時に同じレベルの一時的な異常電圧が出力されることになる。これにより、演算部Ａ（１２）および演算部Ｂ（１３）において同時に同種の異常事態を引き起こす可能性が出てくる。この時に演算部Ａ（１２）および演算部Ｂ（１３）がそれぞれの出力データの相互監視を行っていても、出力データの誤りを検出することができず、外部に誤ったデータが出力される可能性がある。

そこで、実施例１は、前記の電源異常が生じても、演算部Ａ（１２）および演算部Ｂ（１３）が同時に同一の誤ったデータを出力することを防ぐため、図１に示すように電源に接続する負荷に工夫を行った。その工夫とは、電源Ａ（１４）または電源Ｂ（１５）のいずれかから、演算部Ａ（１２）および演算部Ｂ（１３）以外の回路（例えば、出力制御部１６やその他回路１８）に電源を供給することにより、負荷の大きさに意図的に差をつけたことである。

説明のために、図１における演算部Ａ（１２）および演算部Ｂ（１３）以外の回路（出力制御部１６やその他回路１８）を抵抗および容量成分で簡略化した等価回路図を、図２に示す。

図２の（Ａ）は、Ａ系回路に係る等価回路であり、Ａ系電源２０は図１の電源Ａ（１４）に該当する。演算部Ａ（１２）以外の負荷の抵抗成分Ｒ_Ａ２２は、フェールセーフ演算処理装置１１の基板や回路の抵抗成分から成る。Ａ系回路全体の容量成分Ｃ_Ａ２３は、Ａ系電源２０自体に含まれる容量成分、ならびに、演算部Ａ（１２）以外でＡ系電源２０からの電圧が供給されるフェールセーフ演算処理装置１１の基板や回路の容量成分、から成る。また、演算部Ａ（１２）にかかる入力電圧は、Ａ系演算部の入力電圧Ｅ_{ＣＰＵ＿Ａ}２４に該当する。

図２の（Ｂ）は、Ｂ系回路に係る等価回路であり、Ｂ系電源２５は図１の電源Ｂ（１５）に該当する。演算部Ｂ（１３）以外の負荷の抵抗成分Ｒ_Ｂ２８は、フェールセーフ演算処理装置１１の基板や回路の抵抗成分から成る。Ｂ系回路全体の容量成分Ｃ_Ｂ２８は、Ｂ系電源２６自体に含まれる容量成分、ならびに、演算部Ｂ（１３）以外でＢ系電源２５からの電圧が供給されるフェールセーフ演算処理装置１１の基板や回路の容量成分、から成る。また、演算部Ｂ（１３）にかかる入力電圧は、Ｂ系演算部の入力電圧Ｅ_{ＣＰＵ＿Ｂ}２９に該当する。

図１に示すとおり、Ａ系の電源Ａ（１４）に接続される回路は、電源Ｂ（１５）に接続される回路に比べ回路数が少なく、また、出力制御部１６やその他回路１７に使用されるＩＣ等は回路に並列に接続される負荷であるため、Ｒ_Ａ＞Ｒ_Ｂとなる。このときのＡ系電源電圧Ｅ_ｉｎ＿Ａ２１およびＢ系電源電圧Ｅ_ｉｎ＿Ｂ２６の変動時におけるＡ系演算部の入力電圧Ｅ_{ＣＰＵ＿Ａ}２４およびＢ系演算部の入力電圧Ｅ_{ＣＰＵ＿Ｂ}２９の変動、クロックおよび出力データの関係を図３に示す。

図３に示す電源の電圧変動３０によって、図２のＡ系電源電圧Ｅ_ｉｎ＿Ａ２１およびＢ系電源電圧Ｅ_ｉｎ＿Ｂ２６も共に変動することとなる。このため、図２のＡ系演算部の入力電圧Ｅ_{ＣＰＵ＿Ａ}２４は、図３のＡ系演算部における入力電圧変動３１を生じ、同様に、図２のＢ系演算部の入力電圧Ｅ_{ＣＰＵ＿Ｂ}２９は、図３のＢ系演算部における入力電圧変動３６を生じる。

ここで、電源の電圧変動３０が発生し、Ｖ_１からＶ_２への電圧立下り時におけるＡ系演算部の入力電圧Ｅ_{ＣＰＵ＿Ａ}２４およびＢ系演算部の入力電圧Ｅ_{ＣＰＵ＿Ｂ}２９の変動は、以下の数式で表される。
Ｅ_{ＣＰＵ＿Ａ}＝Ｖ_２×｛１−ｅｘｐ（−ｔ／Ｒ_ＡＣ_Ａ）｝＋Ｖ_１×ｅｘｐ（−ｔ／Ｒ_ＡＣ_Ａ）
Ｅ_{ＣＰＵ＿Ｂ}＝Ｖ_２×｛１−ｅｘｐ（−ｔ／Ｒ_ＢＣ_Ｂ）｝＋Ｖ_１×ｅｘｐ（−ｔ／Ｒ_ＢＣ_Ｂ）

一般に、演算部については、１０％程度の電圧変動が生じても誤動作しないように設計されることから、図３のＡ系演算部の動作下限閾値電圧３２およびＢ系演算部の動作下限閾値電圧３７を定格の１０％とする。また、Ａ系演算部およびＢ系演算部の各入力電圧が前記電圧変動により降下した場合の最小値をＶ_２とし、この最小値Ｖ_２がＡ系演算部の動作下限閾値電圧３２およびＢ系演算部の動作下限閾値電圧３７より下であるとする。

そうすると、電源入力変動３０の立下り発生時からＡ系演算部における電圧変動３１がＡ系演算部の動作下限閾値電圧３２を下回るまでの時間Δｔ_Ａ、および、電源入力変動３０の立下り発生時からＢ系演算部における電圧変動３６がＢ系演算部の動作下限閾値電圧３７を下回るまでの時間Δｔ_Ｂは、以下の関係式で表される。
０．９Ｖ_１＝Ｖ_２×｛１−ｅｘｐ（−Δｔ_Ａ／Ｒ_ＡＣ_Ａ）｝＋Ｖ_１×ｅｘｐ（−Δｔ_Ａ／Ｒ_ＡＣ_Ａ）
０．９Ｖ_１＝Ｖ_２×｛１−ｅｘｐ（−Δｔ_Ｂ／Ｒ_ＢＣ_Ｂ）｝＋Ｖ_１×ｅｘｐ（−Δｔ_Ｂ／Ｒ_ＢＣ_Ｂ）

これら関係式よりΔｔ_ＡおよびΔｔ_Ｂを求めると、以下のようになる。
Δｔ_Ａ＝−Ｒ_ＡＣ_Ａｌｎ｛（０．９Ｖ_１−Ｖ_２）／（Ｖ_１−Ｖ_２）｝
Δｔ_Ｂ＝−Ｒ_ＢＣ_Ｂｌｎ｛（０．９Ｖ_１−Ｖ_２）／（Ｖ_１−Ｖ_２）｝

また、Ａ系およびＢ系の各演算部の動作クロック３３および３８の周波数をｆ［Ｈｚ］とすると、データ１ビットの長さは１／ｆ［ｓ］となる。Ａ系演算部の出力データ３４のうちの誤った出力データ３５の開始ビットおよびＢ系演算部の出力データ３９のうち誤った出力データ４０の開始ビットが１ビット以上ずれるためには、以下に示す条件式を満足する必要がある。
Δｔ_Ｂ−Δｔ_Ａ＝−Ｒ_ＢＣ_Ｂｌｎ｛（０．９Ｖ_１−Ｖ_２）／（Ｖ_１−Ｖ_２）｝＋Ｒ_ＡＣ_Ａｌｎ｛（０．９Ｖ_１−Ｖ_２）／（Ｖ_１−Ｖ_２）｝＞１／ｆ

前記条件式から、Ａ系およびＢ系回路それぞれの抵抗成分および容量成分（Ａ系およびＢ系の各演算部以外の負荷）を、以下の関係式を満足するように設計すればよい。
Ｒ_ＡＣ_Ａ−Ｒ_ＢＣ_Ｂ＞１／［ｆ×ｌｎ｛（０．９Ｖ_１−Ｖ_２）／（Ｖ_１−Ｖ_２）｝］
また、前記関係式を確実に達成するためには、演算部Ａ（１２）および演算部Ｂ（１３）と同程度の負荷を、いずれかの電源（図１では、電源Ａ（１４）または電源Ｂ（１５））に対して接続するようにしてもよい。

図１に示すフェールセーフ演算処理装置１１では、演算部Ａ（１２）と演算部Ｂ（１３）が同一の演算を行っている。そして、出力制御部１７が、演算部Ａ（１２）からの出力データ３４と演算部Ｂ（１３）からの出力データ３９の少なくともどちらか一方の問題の有無を確認している。そうすると、図４のように、電源からの入力電圧の変動発生時に、Ａ系演算部の出力データ３４とＢ系演算部の出力データ３９が１ビットでも異なれば、演算部Ａ（１２）および演算部Ｂ（１３）によりそれぞれの出力を相互監視していることから、出力データの誤りを検出することができる。

したがって、出力制御部１６より演算部Ａ（１２）および演算部Ｂ（１３）から出力されたデータを誤出力することのないフェールセーフ演算処理装置を提供することが可能となる。

本発明の実施例２は、フェールセーフ演算処理装置を構成する各演算部それぞれに電力供給する各電源部において、その電源容量に差をつけたことを特徴とする。図４は、実施例２として、２重系のフェールセーフ演算処理装置（図１）において電源部が異なる電源容量である構成を示す図である。

例えば、電源Ｂ（４５）は、電源Ａ（１４）より電源容量が大きいものを用いる。これにより、電源Ａ（１４）および電源Ｂ（４５）に電圧変動が同時に発生した場合においても、電源容量に差を持たせたことにより、演算部Ａ（１２）および演算部Ｂ（１３）が同時に同一の誤ったデータを出力することを防ぐことができる。

本発明の実施例３は、多重系のフェールセーフ演算処理装置として３重系に適用したものである。図５は、電源Ｃ（５４）と演算部Ｃ（５２）を追加した３重系のフェールセーフ演算処理装置の構成を示す図である。演算部Ｃ（５２）は、演算部Ａ（１２）および演算部Ｂ（１３）と同時に同一の演算を行う。また、演算部Ａ（１２）、演算部Ｂ（１３）および演算部Ｃ（５２）は、それぞれ相互に出力を監視すると共に対系リセットを行う機能を有する。

図５に示す構成では、電源Ｃ（５４）が、演算部Ｃ（５２）の他に、出力制御部１６およびその他回路１８に対して電力供給を行う。これにより、電源Ａ（１４）および電源Ｂ（１５）がそれぞれの演算部Ａ（１２）および演算部Ｂ（１３）へ電力供給を行う場合の負荷と電源Ｃ（５４）が電力供給する負荷とは、その負荷の大きさが異なることになる。勿論、電源Ｃ（５４）に替えて、電源Ａ（１４）または電源Ｂ（１５）が、出力制御部１６およびその他回路１８に対して電力供給を行う構成としてもよい。

したがって、３つの電源全てに同時に電圧変動が発生した場合においても、演算部Ａ（１２）、演算部Ｂ（１３）および演算部Ｃ（５２）が同時に同一の誤ったデータを出力することを防ぐことができる。

１１、４１、５１フェールセーフ演算処理装置
１２演算部Ａ
１３演算部Ｂ
１４電源Ａ
１５、４５電源Ｂ
１６出力制御部
１７バッファ
１８その他回路
５２演算部Ｃ
５４電源Ｃ
２０Ａ系電源
２１Ａ系電源電圧
２２Ａ系演算部以外の負荷の抵抗成分Ｒ_Ａ
２３Ａ系回路全体の容量成分Ｃ_Ａ
２４Ａ系演算部の電圧
２５Ｂ系電源
２６Ｂ系電源電圧
２７Ｂ系演算部以外の負荷の抵抗成分Ｒ_Ｂ
２８Ｂ系回路全体の容量成分Ｃ_Ｂ
２９Ｂ系演算部の電圧
３０電源入力変動
３１Ａ系演算部における電圧変動
３２Ａ系演算部動作下限閾値電圧
３３Ａ系演算部動作クロック
３４Ａ系演算部出力データ
３５Ａ系演算部の誤った出力データ
３６Ｂ系演算部における電圧変動
３７Ｂ系演算部動作下限閾値電圧
３８Ｂ系演算部動作クロック
３９Ｂ系演算部出力データ
４０Ｂ系演算部の誤った出力データ

Claims

同時に同一の演算を行い、かつ相互に出力データを監視する機能を有する複数の演算部と、
前記演算部毎の出力データを一時記憶し、前記複数の演算部のいずれかからの指示により前記一時記憶した演算部毎の出力データを外部に出力する機能を有する出力制御部と、
前記演算部毎に設ける複数の電源と
を備え、
前記複数の電源のいずれかは、対応する前記演算部に加えて前記出力制御部にも電力を供給する
ことを特徴とするフェールセーフ演算装置。
請求項１に記載のフェールセーフ演算装置であって、
前記複数の電源の中で少なくとも一つの電源を他の電源と異なる電源容量にする
ことを特徴とするフェールセーフ演算装置。
請求項１または請求項２に記載のフェールセーフ演算装置であって、
前記複数の演算部のいずれかは、相互に監視する前記出力データが一致する場合に前記出力制御部に対して前記指示を出す
ことを特徴とするフェールセーフ演算装置。
請求項１から請求項３のいずれかに記載のフェールセーフ演算装置であって、
前記複数の演算部それぞれは、他の前記複数の演算部に対してリセット信号を送信する機能を有する
ことを特徴とするフェールセーフ演算装置。
請求項４に記載のフェールセーフ演算装置であって、
前記複数の演算部それぞれは、相互に監視する前記出力データが不一致の場合に前記リセット信号を送信する
ことを特徴とするフェールセーフ演算装置。
請求項４または請求項５に記載のフェールセーフ演算装置であって、
前記複数の演算部それぞれは、前記リセット信号を受信すると自らの演算を停止する
ことを特徴とするフェールセーフ演算装置。