JP2017045344A

JP2017045344A - Fault tolerant system

Info

Publication number: JP2017045344A
Application number: JP2015168444A
Authority: JP
Inventors: 山田　弘道; Hiromichi Yamada; 弘道山田; 山田　勉; Tsutomu Yamada; 山田　　勉
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2015-08-28
Filing date: 2015-08-28
Publication date: 2017-03-02

Abstract

PROBLEM TO BE SOLVED: To return, in the cases where one of two apparatuses fails, a failed apparatus to a normal state without intermitting control, and resume processing.SOLUTION: A fault tolerant system has duplicated two LSIs and an output selection circuit which selects an output from the LSIs, in which the LSI comprises: two CPUs; a circuit which allows one of the two CPUs to output; a comparison circuit which compares output results of the two CPUs; and an FF duplication circuit which duplicates flip-flop in the CPU with each other, and the output selection circuit inputs outputs of the CPUs from the two LSIs and comparison results, and in the case where comparison results from one LSI do not match, determines which CPU in the LSI has an error, and the FF duplication circuit in the LSI with unmatched comparison results duplicates data from a flip-flop of the CPU which is determined to be normal to a flip-flop of the CPU which is determined to be an error.SELECTED DRAWING: Figure 1

Description

本発明は，フォールトトレラントシステムに関する。 The present invention relates to a fault tolerant system.

家電製品，ＡＶ機器，携帯電話，自動車，産業機械等の機器にはＬＳＩ（ＬａｒｇｅＳｃａｌｅＩｎｔｅｇｒａｔｉｏｎ）が数多く使用されているが，機器の高性能化・高機能化・小型化・低消費電力化・低コスト化に欠かせない重要な部品である。 Many LSIs (Large Scale Integrations) are used in appliances, AV equipment, mobile phones, automobiles, industrial machinery, etc., but there are high performance, high functionality, miniaturization, low power consumption, etc. It is an important part that is indispensable for cost reduction.

フォールトトレラントシステムは，構成部品の一部が故障しても正常に処理を続けることのできるシステムである。ＬＳＩの故障には，トランジスタの不良や配線の断線などの物理的な故障（ハードエラー）と，メモリセルやフリップフロップの値が反転する一時的な故障（ソフトエラー）がある。フォールトトレラントシステムでは，ＬＳＩを多重化する方法がしばし使われる。その一つに，ＬＳＩを二重化して出力を比較する装置を２台使って，比較結果が一致する方の出力を選ぶ，ペア＆スペアという方法がある。 A fault-tolerant system is a system that can continue processing normally even if a part of a component fails. LSI failures include physical failures (hard errors) such as defective transistors and broken wires, and temporary failures (soft errors) in which the values of memory cells and flip-flops are inverted. In fault-tolerant systems, LSI multiplexing methods are often used. One of them is a pair and spare method in which two LSIs are used to compare outputs and two outputs are compared, and the output having the same comparison result is selected.

ペア＆スペアの従来技術として，特許文献１には，２つのＣＰＵを二重化動作させる装置を２台使用し，制御側として使用する装置でＣＰＵの出力が不一致になると，その出力を停止させ，これまで待機側としていた装置に制御を委ねる方法が示されている。また，特許文献２には，２つのＣＰＵを二重化動作させる装置を２台使用し，ＣＰＵの出力が一致する装置がバスに出力を行い，ＣＰＵの出力が不一致となる装置が相手装置のバスに出力した値を読み込んで，故障したＣＰＵを判定する方法が示されている。 As a conventional technology of pair and spare, Patent Document 1 uses two devices that operate two CPUs in a duplicated manner, and when the outputs of the CPUs do not match in the device used as the control side, the output is stopped. A method for entrusting control to a device that has been on the standby side is shown. Also, in Patent Document 2, two devices that duplicate the operation of two CPUs are used, a device with a matching CPU output outputs to the bus, and a device with a mismatched CPU output is connected to the other device's bus. A method is described in which an output value is read to determine a failed CPU.

特開２００４−２３７８５８号公報JP 2004-237858 A 特開平０４−１４１７４３号公報Japanese Patent Laid-Open No. 04-141743

上記従来技術は，２台の装置の一方が故障すると，正常な１台の装置で動作を続けることになる。残った１台の故障に備えるためには，再び２台で動作を行わせる必要がある。その方法として，正常な装置が処理のチェックポイントを作成し，故障した装置にチェックポイントを読み込ませ，２台の装置が同期して処理を再開することが考えられる。しかしながら，正常な装置がチェックポイントを作成し，２台の装置が同期して処理を再開するまでは，制御を中断することになるため，リアルタイム性が求められるシステムでは利用が難しい。 In the above prior art, when one of the two devices fails, the operation continues with one normal device. In order to prepare for the failure of the remaining one unit, it is necessary to operate with two units again. As a method, it is conceivable that a normal device creates a checkpoint for processing, causes the failed device to read the checkpoint, and the two devices resume processing in synchronization. However, since control is interrupted until a normal device creates a checkpoint and the two devices resume processing in synchronization, it is difficult to use in a system that requires real-time performance.

本発明が解決しようとする課題は，２台の装置の一方が故障すると，正常な１台の装置で動作を続けながら，制御を中断することなく，故障した装置を正常な状態に戻して，２台の装置が処理を再開できるようにすることである。 The problem to be solved by the present invention is that when one of the two devices fails, the operation is continued with one normal device, and the failed device is returned to the normal state without interrupting the control. It is to allow two devices to resume processing.

上記課題を解決するため，本発明のフォールトトレラントシステムは、二重化動作する２つのＬＳＩと，２つの前記ＬＳＩからの出力のうち，いずれかの出力を選択して外部へ出力する出力選択回路と，を有し，２つの前記ＬＳＩそれぞれは，同一の動作を実行する２つのＣＰＵと，２つの前記ＣＰＵの出力のうち一方のＣＰＵの出力を前記出力選択回路へ出力する回路と，２つの前記ＣＰＵの出力結果を比較して，一致するか不一致かを示す比較結果を前記出力選択回路へ出力する比較回路と，複数の前記ＣＰＵ内のフリップフロップを相互に複写するＦＦ複写回路と，を備え，前記出力選択回路は，２つの前記ＬＳＩからの前記ＣＰＵの出力，及び，前記比較回路の比較結果を入力し，いずれの前記ＬＳＩからの前記ＣＰＵ出力を外部へ出力するかを制御する制御回路を備え，前記制御回路は，いずれか一方の前記ＬＳＩからの比較結果が不一致である場合には，当該ＬＳＩ内のどのＣＰＵが異常であるかを判定し，当該ＬＳＩに異常ＣＰＵ判定結果を出力し，比較結果が不一致となった前記ＬＳＩ内の前記ＦＦ複写回路は，前記異常ＣＰＵ判定結果に基づいて，異常と判定された前記ＣＰＵのフリップフロップに正常と判定された前記ＣＰＵのフリップフロップからデータを複写することを特徴とする。 In order to solve the above problems, a fault tolerant system of the present invention includes two LSIs that perform a duplex operation, and an output selection circuit that selects any one of the outputs from the two LSIs and outputs the selected output to the outside. Each of the two LSIs includes two CPUs that execute the same operation, a circuit that outputs the output of one of the two CPUs to the output selection circuit, and two CPUs A comparison circuit that outputs a comparison result indicating whether the outputs match each other to the output selection circuit, and an FF copy circuit that mutually copies a plurality of flip-flops in the CPU, The output selection circuit inputs the output of the CPU from the two LSIs and the comparison result of the comparison circuit, and outputs the CPU output from any of the LSIs to the outside. A control circuit that controls whether or not the comparison result from any one of the LSIs is inconsistent, determines which CPU in the LSI is abnormal, and An abnormal CPU determination result is output to the LSI, and the FF copying circuit in the LSI in which the comparison result is inconsistent determines that the flip-flop of the CPU determined to be abnormal is normal based on the abnormal CPU determination result. The data is copied from the flip-flop of the CPU.

本発明によれば、２台の装置の一方が故障した場合に，正常な１台の装置で動作を続けながら，制御を中断することなく，故障した装置を正常な状態に戻して，２台の装置が処理を再開できる。 According to the present invention, when one of the two devices breaks down, the operation is continued with one normal device, and the failed device is returned to the normal state without interrupting the control. The device can resume processing.

本発明を適用した第１の実施例で，チップ内部に二重化したＣＰＵを持つ２つのＬＳＩと，その出力選択回路からなるフォールトトレラントシステムのブロック図である。FIG. 2 is a block diagram of a fault tolerant system including two LSIs having dual CPUs in a chip and an output selection circuit thereof in the first embodiment to which the present invention is applied. 実施例１における出力選択回路の動作を示す表である。3 is a table illustrating an operation of the output selection circuit in the first embodiment. 本発明を適用した第２の実施例で，チップ内部に二重化したＣＰＵを持つ２つのＬＳＩと，その出力選択回路からなるフォールトトレラントシステムのブロック図である。In the second embodiment to which the present invention is applied, it is a block diagram of a fault tolerant system comprising two LSIs having dual CPUs inside a chip and an output selection circuit thereof. 実施例２における出力選択回路の動作を示す表である。10 is a table showing an operation of the output selection circuit in the second embodiment. 本発明を適用した第３の実施例で，チップ内部に三重化したＣＰＵを持つ２つのＬＳＩと，その出力選択回路からなるフォールトトレラントシステムのブロック図である。In the third embodiment to which the present invention is applied, it is a block diagram of a fault tolerant system comprising two LSIs having a CPU tripled in the chip and its output selection circuit.

＜実施例１＞
図１は本発明を適用した第１の実施例で，チップ内部に二重化したＣＰＵを持つ２つのＬＳＩと，その出力選択回路からなるフォールトトレラントシステムのブロック図である。１と２は，チップ内部に二重化したＣＰＵを持つＬＳＩ，３はその出力選択回路である。１と２の内部構成は同一である。 <Example 1>
FIG. 1 is a block diagram of a fault tolerant system which is a first embodiment to which the present invention is applied, and which comprises two LSIs having dual CPUs inside a chip and its output selection circuit. Reference numerals 1 and 2 are LSIs having a duplicated CPU inside the chip, and 3 is an output selection circuit thereof. The internal configurations of 1 and 2 are the same.

ＬＳＩ（１）において，ＣＰＵＡ（１０）とＣＰＵＢ（１２）は同一機能を持っており，それぞれ内部に複数のフリップフロップＦＦ（１１，１３）を持っている。ＦＦ（１１）はＣＰＵＡ（１０）の内部状態やデータを記憶し，ＦＦ（１３）はＣＰＵＢ（１２）の内部状態やデータを記憶する。ＣＰＵＡ（１０）とＣＰＵＢ（１２）に故障が無く，いずれも正常な場合には，ＦＦ（１１，１３）の値は一致する。ＣＰＵＡ（１０）またはＣＰＵＢ（１２）のいずれかに故障があると，誤動作によってＦＦ（１１，１３）の値は一致しなくなる。 In the LSI (1), CPUA (10) and CPUB (12) have the same function, and each has a plurality of flip-flops FF (11, 13) inside. The FF (11) stores the internal state and data of the CPUA (10), and the FF (13) stores the internal state and data of the CPUB (12). If there is no failure in CPUA (10) and CPUB (12) and both are normal, the values of FF (11, 13) match. If either CPUA (10) or CPUB (12) has a failure, the values of FF (11, 13) will not match due to malfunction.

ＣＰＵＡ（１０）の出力（１００）はＬＳＩ（１）から外部に出力される。比較回路（１４）はＣＰＵＡ（１０）の出力（１００）とＣＰＵＢ（１２）の出力（１２０）を比較し，比較結果（１４０）をＬＳＩ（１）から外部に出力する。比較結果（１４０）は一致するか不一致かを示す。 The output (100) of the CPUA (10) is output from the LSI (1) to the outside. The comparison circuit (14) compares the output (100) of the CPUA (10) and the output (120) of the CPUB (12), and outputs the comparison result (140) from the LSI (1) to the outside. The comparison result (140) indicates whether they match or not.

ＬＳＩ（２）において，ＣＰＵＡ（２０），ＣＰＵＢ（２２），ＦＦ（２１，２３），比較回路（２４）の機能はＬＳＩ（１）と同じである。 In the LSI (2), the functions of the CPUA (20), CPUB (22), FF (21, 23), and the comparison circuit (24) are the same as those of the LSI (1).

３０１はＣＰＵの入力であり，ＬＳＩ（１）のＣＰＵＡ（１０）とＣＰＵＢ（１２）および，ＬＳＩ（２）のＣＰＵＡ（２０）とＣＰＵＢ（２２）に読み込まれる。 Reference numeral 301 denotes an input of the CPU, which is read into the CPUA (10) and CPUB (12) of the LSI (1) and the CPUA (20) and CPUB (22) of the LSI (2).

出力選択回路（３）において，選択回路（３０）はＬＳＩ（１）の出力（１００）とＬＳＩ（２）の出力（２００）のいずれか一方を出力（３００）に選択する。制御回路（３１）は，ＬＳＩ（１）の出力（１００）と比較結果（１４０），ＬＳＩ（２）の出力（２００）と比較結果（２４０）を入力し，同期と異常ＣＰＵ判定を行う。同期（３２）は，図に示していないＬＳＩ（１）の出力（１００）とＬＳＩ（２）の出力（２００）を取り込んだことを示す信号を，それぞれのＬＳＩ（１，２）に返すことによって，タイミングを合わせる。異常ＣＰＵ判定（３３）は，ＬＳＩ（１）にＣＰＵＡ（１０）とＣＰＵＢ（１２）が正常か異常であるかを判定した結果（３１１）を出力し，ＬＳＩ（２）にＣＰＵＡ（２０）とＣＰＵＢ（２２）が正常か異常であるかを判定した結果（３１２）を出力する。制御回路（３１）はまた，出力（３００）に選択するＬＳＩの出力（１００，２００）を指示する信号（３１０）を出力する。 In the output selection circuit (3), the selection circuit (30) selects either the output (100) of the LSI (1) or the output (200) of the LSI (2) as the output (300). The control circuit (31) inputs the output (100) of the LSI (1) and the comparison result (140), the output (200) of the LSI (2) and the comparison result (240), and performs synchronization and abnormal CPU determination. The synchronization (32) returns a signal indicating that the output (100) of the LSI (1) and the output (200) of the LSI (2) (not shown) are taken to the respective LSIs (1, 2). Adjust the timing. The abnormal CPU determination (33) outputs a result (311) of determining whether the CPUA (10) and the CPUB (12) are normal or abnormal to the LSI (1), and outputs the CPUA (20) to the LSI (2). A result (312) of determining whether the CPUB (22) is normal or abnormal is output. The control circuit (31) also outputs a signal (310) instructing the output (100, 200) of the LSI to be selected as the output (300).

ＬＳＩ（１）において，ログ（１５）はＣＰＵ判定結果（３１１）を記録するレジスタである。ＦＦ複写（１６）はＣＰＵ判定結果（３１１）が異常と示したＣＰＵのＦＦに，正常なＣＰＵのＦＦからデータを複写する。 In the LSI (1), the log (15) is a register for recording the CPU determination result (311). In the FF copy (16), data is copied from the FF of the normal CPU to the FF of the CPU whose CPU determination result (311) indicates abnormal.

ＬＳＩ（２）において，ログ（２５）はＣＰＵ判定結果（３１２）を記録するレジスタである。ＦＦ複写（２６）はＣＰＵ判定結果（３１２）が異常と示したＣＰＵのＦＦに，正常なＣＰＵのＦＦからデータを複写する。 In the LSI (2), the log (25) is a register for recording the CPU determination result (312). In the FF copy (26), data is copied from the FF of the normal CPU to the FF of the CPU whose CPU determination result (312) indicates abnormal.

図２は実施例１における出力選択回路の動作を示す表である。 FIG. 2 is a table showing the operation of the output selection circuit in the first embodiment.

Ｎｏ．１は，ＬＳＩ（１）の出力（１００）とＬＳＩ（２）の出力（２００）が一致し，ＬＳＩ（１）の比較結果（１４０）が一致を示し，ＬＳＩ（２）の比較結果（２４０）が一致を示す場合である。選択回路（３０）はＬＳＩ（１）の出力（１００）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示す。 No. 1 indicates that the output (100) of the LSI (1) matches the output (200) of the LSI (2), the comparison result (140) of the LSI (1) matches, and the comparison result (240 of the LSI (2)) ) Indicates a match. The selection circuit (30) selects the output (100) of the LSI (1), and the CPU determination result (311) of the LSI (1) indicates “CPUA is normal and CPUB is normal”, and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is normal and CPUB is normal”.

Ｎｏ．２は，ＬＳＩ（１）の出力（１００）とＬＳＩ（２）の出力（２００）が一致し，ＬＳＩ（１）の比較結果（１４０）が一致を示し，ＬＳＩ（２）の比較結果（２４０）が不一致を示す場合である。選択回路（３０）はＬＳＩ（１）の出力（１００）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが正常，ＣＰＵＢが異常」を示す。 No. 2 indicates that the output (100) of the LSI (1) and the output (200) of the LSI (2) match, the comparison result (140) of the LSI (1) matches, and the comparison result (240 of the LSI (2)) ) Indicates a mismatch. The selection circuit (30) selects the output (100) of the LSI (1), and the CPU determination result (311) of the LSI (1) indicates “CPUA is normal and CPUB is normal”, and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is normal and CPUB is abnormal”.

Ｎｏ．３は，ＬＳＩ（１）の出力（１００）とＬＳＩ（２）の出力（２００）が一致し，ＬＳＩ（１）の比較結果（１４０）が不一致を示し，ＬＳＩ（２）の比較結果（２４０）が一致を示す場合である。選択回路（３０）はＬＳＩ（２）の出力（２００）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが正常，ＣＰＵＢが異常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示す。 No. 3 indicates that the output (100) of the LSI (1) matches the output (200) of the LSI (2), the comparison result (140) of the LSI (1) indicates a mismatch, and the comparison result (240) of the LSI (2) ) Indicates a match. The selection circuit (30) selects the output (200) of the LSI (2), and the CPU determination result (311) of the LSI (1) indicates “CPUA is normal, CPUB is abnormal”, and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is normal and CPUB is normal”.

Ｎｏ．４は，ＬＳＩ（１）の出力（１００）とＬＳＩ（２）の出力（２００）が不一致となり，ＬＳＩ（１）の比較結果（１４０）が一致を示し，ＬＳＩ（２）の比較結果（２４０）が一致を示す場合である。選択回路（３０）はＬＳＩ（１）の出力（１００）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが異常，ＣＰＵＢが正常」を示す。 No. 4 indicates that the output (100) of the LSI (1) and the output (200) of the LSI (2) do not match, the comparison result (140) of the LSI (1) indicates a match, and the comparison result (240 of the LSI (2)) ) Indicates a match. The selection circuit (30) selects the output (100) of the LSI (1), and the CPU determination result (311) of the LSI (1) indicates “CPUA is normal and CPUB is normal”, and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is abnormal and CPUB is normal”.

Ｎｏ．５は，ＬＳＩ（１）の出力（１００）とＬＳＩ（２）の出力（２００）が不一致となり，ＬＳＩ（１）の比較結果（１４０）が不一致を示し，ＬＳＩ（２）の比較結果（２４０）が一致を示す場合である。選択回路（３０）はＬＳＩ（２）の出力（２００）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが異常，ＣＰＵＢが正常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示す。 No. 5, the output (100) of the LSI (1) and the output (200) of the LSI (2) are inconsistent, the comparison result (140) of the LSI (1) is inconsistent, and the comparison result (240 of the LSI (2) is shown. ) Indicates a match. The selection circuit (30) selects the output (200) of the LSI (2), and the CPU determination result (311) of the LSI (1) indicates "CPUA is abnormal, CPUB is normal", and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is normal and CPUB is normal”.

＜実施例２＞
図３は本発明を適用した第２の実施例で，チップ内部に二重化したＣＰＵを持つ２つのＬＳＩと，その出力選択回路からなるフォールトトレラントシステムのブロック図である。第１の実施例と比べると，ＬＳＩ（１）において，ＣＰＵＡ（１０）の出力（１００）とＣＰＵＢ（１２）の出力（１２０）を選択回路（１７）で選択して外部に出力（１７０）している。また，ＬＳＩ（２）において，ＣＰＵＡ（２０）の出力（２００）とＣＰＵＢ（２２）の出力（２２０）を選択回路（２７）で選択して外部に出力（２７０）している。また，選択回路（１７）の出力（１７０）には，ＣＰＵＡ（１０）の出力（１００）を選択したか，ＣＰＵＢ（１２）の出力（１２０）を選択したかを示す情報が含まれる。同様に，選択回路（２７）の出力（２７０）には，ＣＰＵＡ（２０）の出力（２００）を選択したか，ＣＰＵＢ（２２）の出力（２２０）を選択したかを示す情報が含まれる。 <Example 2>
FIG. 3 is a block diagram of a fault tolerant system which is a second embodiment to which the present invention is applied, and which comprises two LSIs having dual CPUs inside a chip and their output selection circuits. Compared with the first embodiment, in the LSI (1), the output (100) of the CPUA (10) and the output (120) of the CPUB (12) are selected by the selection circuit (17) and output to the outside (170). doing. In the LSI (2), the output (200) of the CPUA (20) and the output (220) of the CPUB (22) are selected by the selection circuit (27) and output (270) to the outside. The output (170) of the selection circuit (17) includes information indicating whether the output (100) of the CPUA (10) is selected or the output (120) of the CPUB (12) is selected. Similarly, the output (270) of the selection circuit (27) includes information indicating whether the output (200) of the CPUA (20) is selected or the output (220) of the CPUB (22) is selected.

図４は実施例２における出力選択回路の動作を示す表である。 FIG. 4 is a table showing the operation of the output selection circuit in the second embodiment.

Ｎｏ．１は，ＬＳＩ（１）の出力（１７０）とＬＳＩ（２）の出力（２７０）が一致し，ＬＳＩ（１）の比較結果（１４０）が一致を示し，ＬＳＩ（２）の比較結果（２４０）が一致を示す場合である。選択回路（３０）はＬＳＩ（１）の出力（１７０）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示す。 No. 1 indicates that the output (170) of the LSI (1) and the output (270) of the LSI (2) match, the comparison result (140) of the LSI (1) indicates a match, and the comparison result (240 of the LSI (2)) ) Indicates a match. The selection circuit (30) selects the output (170) of the LSI (1), and the CPU determination result (311) of the LSI (1) indicates “CPUA is normal and CPUB is normal”, and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is normal and CPUB is normal”.

Ｎｏ．２は，ＬＳＩ（１）の出力（１７０）とＬＳＩ（２）の出力（２７０）が一致し，ＬＳＩ（１）の比較結果（１４０）が一致を示し，ＬＳＩ（２）の比較結果（２４０）が不一致を示し，ＬＳＩ（２）の選択回路（２７）がＣＰＵＡ（２０）の出力（２００）を選択したことを示す場合である。選択回路（３０）はＬＳＩ（１）の出力（１７０）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが正常，ＣＰＵＢが異常」を示す。 No. 2 indicates that the output (170) of the LSI (1) and the output (270) of the LSI (2) match, the comparison result (140) of the LSI (1) matches, and the comparison result (240 of the LSI (2)) ) Indicates a mismatch and indicates that the selection circuit (27) of the LSI (2) has selected the output (200) of the CPUA (20). The selection circuit (30) selects the output (170) of the LSI (1), and the CPU determination result (311) of the LSI (1) indicates “CPUA is normal and CPUB is normal”, and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is normal and CPUB is abnormal”.

Ｎｏ．３は，ＬＳＩ（１）の出力（１７０）とＬＳＩ（２）の出力（２７０）が一致し，ＬＳＩ（１）の比較結果（１４０）が一致を示し，ＬＳＩ（２）の比較結果（２４０）が不一致を示し，ＬＳＩ（２）の選択回路（２７）がＣＰＵＢ（２２）の出力（２２０）を選択したことを示す場合である。選択回路（３０）はＬＳＩ（１）の出力（１７０）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが異常，ＣＰＵＢが正常」を示す。 No. 3 indicates that the output (170) of the LSI (1) matches the output (270) of the LSI (2), the comparison result (140) of the LSI (1) matches, and the comparison result (240) of the LSI (2) ) Indicates a mismatch and indicates that the selection circuit (27) of the LSI (2) has selected the output (220) of the CPUB (22). The selection circuit (30) selects the output (170) of the LSI (1), and the CPU determination result (311) of the LSI (1) indicates “CPUA is normal and CPUB is normal”, and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is abnormal and CPUB is normal”.

Ｎｏ．４は，ＬＳＩ（１）の出力（１７０）とＬＳＩ（２）の出力（２７０）が一致し，ＬＳＩ（１）の比較結果（１４０）が不一致を示し，ＬＳＩ（２）の比較結果（２４０）が一致を示し，ＬＳＩ（１）の選択回路（１７）がＣＰＵＡ（１０）の出力（１００）を選択したことを示す場合である。選択回路（３０）はＬＳＩ（２）の出力（２７０）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが正常，ＣＰＵＢが異常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示す。 No. 4 indicates that the output (170) of the LSI (1) matches the output (270) of the LSI (2), the comparison result (140) of the LSI (1) indicates a mismatch, and the comparison result (240) of the LSI (2) ) Indicates a match, indicating that the selection circuit (17) of the LSI (1) has selected the output (100) of the CPUA (10). The selection circuit (30) selects the output (270) of the LSI (2), and the CPU determination result (311) of the LSI (1) indicates “CPUA is normal and CPUB is abnormal”, and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is normal and CPUB is normal”.

Ｎｏ．５は，ＬＳＩ（１）の出力（１７０）とＬＳＩ（２）の出力（２７０）が一致し，ＬＳＩ（１）の比較結果（１４０）が不一致を示し，ＬＳＩ（２）の比較結果（２４０）が一致を示し，ＬＳＩ（１）の選択回路（１７）がＣＰＵＢ（１２）の出力（１２０）を選択したことを示す場合である。選択回路（３０）はＬＳＩ（２）の出力（２７０）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが異常，ＣＰＵＢが正常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示す。 No. 5, the output (170) of the LSI (1) and the output (270) of the LSI (2) match, the comparison result (140) of the LSI (1) indicates a mismatch, and the comparison result (240 of the LSI (2)) ) Indicates a match, indicating that the selection circuit (17) of the LSI (1) has selected the output (120) of the CPUB (12). The selection circuit (30) selects the output (270) of the LSI (2), and the CPU determination result (311) of the LSI (1) indicates "CPUA is abnormal, CPUB is normal", and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is normal and CPUB is normal”.

Ｎｏ．６は，ＬＳＩ（１）の出力（１７０）とＬＳＩ（２）の出力（２７０）が不一致となり，ＬＳＩ（１）の比較結果（１４０）が一致を示し，ＬＳＩ（２）の比較結果（２４０）が一致を示し，ＬＳＩ（２）の選択回路（２７）がＣＰＵＡ（２０）の出力（２００）を選択したことを示す場合である。選択回路（３０）はＬＳＩ（１）の出力（１７０）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが異常，ＣＰＵＢが正常」を示す。 No. 6 indicates that the output (170) of the LSI (1) and the output (270) of the LSI (2) do not match, the comparison result (140) of the LSI (1) indicates a match, and the comparison result (240 of the LSI (2)) ) Indicates a match, indicating that the selection circuit (27) of the LSI (2) has selected the output (200) of the CPUA (20). The selection circuit (30) selects the output (170) of the LSI (1), and the CPU determination result (311) of the LSI (1) indicates “CPUA is normal and CPUB is normal”, and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is abnormal and CPUB is normal”.

Ｎｏ．７は，ＬＳＩ（１）の出力（１７０）とＬＳＩ（２）の出力（２７０）が不一致となり，ＬＳＩ（１）の比較結果（１４０）が一致を示し，ＬＳＩ（２）の比較結果（２４０）が一致を示し，ＬＳＩ（２）の選択回路（２７）がＣＰＵＢ（２２）の出力（２２０）を選択したことを示す場合である。選択回路（３０）はＬＳＩ（１）の出力（１７０）を選択し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが正常，ＣＰＵＢが異常」を示す。 No. 7, the output (170) of the LSI (1) and the output (270) of the LSI (2) do not match, the comparison result (140) of the LSI (1) indicates a match, and the comparison result (240 of the LSI (2)) ) Indicates a match, indicating that the selection circuit (27) of the LSI (2) has selected the output (220) of the CPUB (22). The selection circuit (30) selects the output (170) of the LSI (1), and the CPU determination result (311) of the LSI (1) indicates “CPUA is normal and CPUB is normal”, and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is normal and CPUB is abnormal”.

Ｎｏ．８は，ＬＳＩ（１）の出力（１７０）とＬＳＩ（２）の出力（２７０）が不一致となり，ＬＳＩ（１）の比較結果（１４０）が不一致を示し，ＬＳＩ（２）の比較結果（２４０）が一致を示し，ＬＳＩ（１）の選択回路（１７）がＣＰＵＡ（１０）の出力（１００）を選択したことを示す場合である。選択回路（３０）はＬＳＩ（２）の出力（２７０）を出力し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが異常，ＣＰＵＢが正常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示す。 No. 8, the output (170) of the LSI (1) and the output (270) of the LSI (2) do not match, the comparison result (140) of the LSI (1) indicates a mismatch, and the comparison result (240 of the LSI (2)) ) Indicates a match, indicating that the selection circuit (17) of the LSI (1) has selected the output (100) of the CPUA (10). The selection circuit (30) outputs the output (270) of the LSI (2), and the CPU determination result (311) of the LSI (1) indicates "CPUA is abnormal, CPUB is normal", and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is normal and CPUB is normal”.

Ｎｏ．９は，ＬＳＩ（１）の出力（１７０）とＬＳＩ（２）の出力（２７０）が不一致となり，ＬＳＩ（１）の比較結果（１４０）が不一致を示し，ＬＳＩ（２）の比較結果（２４０）が一致を示し，ＬＳＩ（１）の選択回路（１７）がＣＰＵＢ（１２）の出力（１２０）を選択したことを示す場合である。選択回路（３０）はＬＳＩ（２）の出力（２７０）を出力し，ＬＳＩ（１）のＣＰＵ判定結果（３１１）は「ＣＰＵＡが正常，ＣＰＵＢが異常」を示し，ＬＳＩ（２）のＣＰＵ判定結果（３１２）は「ＣＰＵＡが正常，ＣＰＵＢが正常」を示す。 No. 9 indicates that the output (170) of the LSI (1) and the output (270) of the LSI (2) do not match, the comparison result (140) of the LSI (1) indicates a mismatch, and the comparison result (240) of the LSI (2) ) Indicates a match, indicating that the selection circuit (17) of the LSI (1) has selected the output (120) of the CPUB (12). The selection circuit (30) outputs the output (270) of the LSI (2), and the CPU determination result (311) of the LSI (1) indicates “CPUA is normal, CPUB is abnormal”, and the CPU determination of the LSI (2) The result (312) indicates that “CPUA is normal and CPUB is normal”.

＜実施例３＞
図５は本発明を適用した第３の実施例で，チップ内部に三重化したＣＰＵを持つ２つのＬＳＩと，その出力選択回路からなるフォールトトレラントシステムのブロック図である。１と２は，チップ内部に三重化したＣＰＵを持つＬＳＩ，３はその出力選択回路である。１と２の内部構成は同一である。 <Example 3>
FIG. 5 is a block diagram of a fault tolerant system which is a third embodiment to which the present invention is applied, and which includes two LSIs having a triple CPU in the chip and its output selection circuit. Reference numerals 1 and 2 denote LSIs having a triple CPU inside the chip, and reference numeral 3 denotes an output selection circuit thereof. The internal configurations of 1 and 2 are the same.

ＬＳＩ（１）において，ＣＰＵＡ（１０）とＣＰＵＢ（１２）とＣＰＵＣ（１８）は同一機能を持っており，それぞれ内部に複数のフリップフロップＦＦ（１１，１３，１９）を持っている。ＦＦ（１１）はＣＰＵＡ（１０）の内部状態やデータを記憶し，ＦＦ（１３）はＣＰＵＢ（１２）の内部状態やデータを記憶し，ＦＦ（１９）はＣＰＵＣ（１８）の内部状態やデータを記憶する。ＣＰＵＡ（１０）とＣＰＵＢ（１２）とＣＰＵＣ（１８）に故障が無く，いずれも正常な場合には，ＦＦ（１１，１３，１９）の値は一致する。ＣＰＵＡ（１０）またはＣＰＵＢ（１２）またはＣＰＵＣ（１８）のいずれかに故障があると，誤動作によってＦＦ（１１，１３，１９）のうちいずれかの値は一致しなくなる。 In the LSI (1), CPUA (10), CPUB (12), and CPUC (18) have the same function, and each has a plurality of flip-flops FF (11, 13, 19). The FF (11) stores the internal state and data of the CPUA (10), the FF (13) stores the internal state and data of the CPUB (12), and the FF (19) stores the internal state and data of the CPUC (18). Remember. If the CPUA (10), the CPUB (12), and the CPUC (18) have no failure and are all normal, the values of the FFs (11, 13, 19) match. If any one of CPUA (10), CPUB (12), or CPUC (18) has a failure, any value of FF (11, 13, 19) will not match due to malfunction.

ＣＰＵＡ（１０）の出力（１００）とＣＰＵＢ（１２）の出力（１２０）とＣＰＵＣ（１８）の出力（１８０）は，多数決回路（１７）で多数決処理されて，ＬＳＩ（１）から外部に出力される。比較回路（１４）はＣＰＵＡ（１０）の出力（１００）とＣＰＵＢ（１２）の出力（１２０）とＣＰＵＣ（１８）の出力（１８０）を比較し，比較結果（１４０）をＬＳＩ（１）から外部に出力する。比較結果（１４０）は各ＣＰＵの一致／不一致を示す。 The output (100) of the CPUA (10), the output (120) of the CPUB (12), and the output (180) of the CPUC (18) are subjected to majority processing by the majority circuit (17) and output from the LSI (1) to the outside. Is done. The comparison circuit (14) compares the output (100) of the CPUA (10), the output (120) of the CPUB (12), and the output (180) of the CPUC (18), and outputs the comparison result (140) from the LSI (1). Output to the outside. The comparison result (140) indicates the match / mismatch of each CPU.

ログ（１５）は比較結果（１４０）を記録するレジスタである。ＦＦ複写（１６）は比較結果（１４０）が不一致と示したＣＰＵのＦＦに，正常なＣＰＵのＦＦからデータを複写する。ＣＰＵＡ（１０）が不一致と示した場合は，そのＦＦ（１１）にＦＦ（１９）から複写を行う。ＣＰＵＢ（１２）が不一致と示した場合は，そのＦＦ（１３）にＦＦ（１１）から複写を行う。ＣＰＵＣ（１８）が不一致と示した場合は，そのＦＦ（１９）にＦＦ（１３）から複写を行う。ＬＳＩ（２）においても同様である。 The log (15) is a register for recording the comparison result (140). In the FF copy (16), data is copied from the FF of the normal CPU to the FF of the CPU that indicates that the comparison result (140) is inconsistent. If the CPUA (10) indicates a mismatch, the FF (11) is copied from the FF (19). If the CPUB (12) indicates a mismatch, the FF (13) is copied from the FF (11). If the CPUC (18) indicates a mismatch, the FF (19) is copied from the FF (13). The same applies to LSI (2).

３０１はＣＰＵの入力であり，ＬＳＩ（１）のＣＰＵＡ（１０）とＣＰＵＢ（１２）とＣＰＵＣ（１８）および，ＬＳＩ（２）の３つのＣＰＵに読み込まれる。 Reference numeral 301 denotes an input of the CPU, which is read into the three CPUs CPUA (10), CPUB (12), CPUC (18) and LSI (2) of the LSI (1).

出力選択回路（３）において，選択回路（３０）はＬＳＩ（１）の出力（１７０）とＬＳＩ（２）の出力（２７０）のいずれか一方を出力（３００）に選択する。制御回路（３１）は，ＬＳＩ（１）の出力（１７０）と比較結果（１４０），ＬＳＩ（２）の出力（２７０）と比較結果（２４０）を入力し，同期を行う。また，出力（３００）に選択するＬＳＩの出力（１７０，２７０）を指示する信号（３１０）を出力する。 In the output selection circuit (3), the selection circuit (30) selects either the output (170) of the LSI (1) or the output (270) of the LSI (2) as the output (300). The control circuit (31) receives the output (170) of the LSI (1) and the comparison result (140), the output (270) of the LSI (2) and the comparison result (240), and performs synchronization. Further, a signal (310) for instructing the output (170, 270) of the LSI to be selected is output as the output (300).

１，２ＬＳＩ
３出力選択回路
１０，１２，１８，２０，２２ＣＰＵ
１１，１３，１９，２１，２３フリップフロップ
１４，２４比較回路
１５，２５レジスタ（比較結果ログ）
１６，２６ＦＦ複写回路
１７選択回路，多数決回路
３０選択回路
３１制御回路
３２同期回路
３３異常ＣＰＵ判定回路
１００，１２０，１８０ＣＰＵの出力
１４０比較結果
１７０ＣＰＵ出力の選択結果または多数決結果
３００ＬＳＩ出力の選択結果
３１０ＬＳＩ出力の選択制御信号
３１１ＬＳＩ（１）のＣＰＵ判定結果
３１２ＬＳＩ（２）のＣＰＵ判定結果 1, 2 LSI
3 Output selection circuit 10, 12, 18, 20, 22 CPU
11, 13, 19, 21, 23 Flip-flops 14, 24 Comparison circuit 15, 25 Register (comparison result log)
16, 26 FF copying circuit 17 selection circuit, majority circuit 30 selection circuit 31 control circuit 32 synchronization circuit 33 abnormal CPU determination circuit 100, 120, 180 CPU output 140 comparison result 170 CPU output selection result or majority decision result 300 LSI output Selection result 310 Selection control signal 311 of LSI output CPU determination result 312 of LSI (1) CPU determination result of LSI (2)

Claims

Two LSIs that operate redundantly;
An output selection circuit that selects any one of the outputs from the two LSIs and outputs the selected output to the outside;
Each of the two LSIs
Two CPUs that perform the same operation;
A circuit for outputting the output of one of the two CPUs to the output selection circuit;
A comparison circuit that compares the output results of the two CPUs and outputs a comparison result indicating whether they match or not to the output selection circuit;
A plurality of flip-flops in the CPU, and a FF copy circuit for copying each other,
The output selection circuit is:
A control circuit for inputting the output of the CPU from the two LSIs and the comparison result of the comparison circuit, and controlling which of the LSI outputs the CPU output to the outside;
If the comparison result from any one of the LSIs is inconsistent, the control circuit determines which CPU in the LSI is abnormal, outputs an abnormal CPU determination result to the LSI,
The FF copying circuit in the LSI in which the comparison result is inconsistent receives data from the CPU flip-flop determined to be normal to the CPU flip-flop determined to be abnormal based on the abnormal CPU determination result. A fault-tolerant system characterized by copying.

In claim 1,
A fault tolerant system, wherein each of the two LSIs includes a register that records a determination result of the CPU that has become abnormal.

In claim 1,
If the result of comparing the outputs from the two LSIs does not match, and the comparison result from any one of the LSIs does not match, the output selection circuit, among the CPUs of the LSI, One CPU is determined to be abnormal,
If the results of comparing the outputs from the two LSIs match and the comparison results from one of the LSIs do not match, the other CPU among the CPUs of the LSI is abnormal. A fault tolerant system characterized by judging.

In claim 1,
The signal output from the LSI to the output selection circuit includes a signal indicating which one of the two CPU outputs in the LSI is selected. Tolerant system.

Two LSIs that operate redundantly;
An output selection circuit that selects any one of the outputs from the two LSIs and outputs the selected output to the outside;
Each of the two LSIs
Three or more CPUs that perform the same operation;
A majority voting circuit that outputs a result obtained by voting three or more CPU outputs to the output selection circuit;
A comparison circuit that compares the outputs of the CPUs and outputs a comparison result indicating the number of matching CPUs to the output selection circuit;
An FF circuit for copying a flip-flop in each CPU from at least one other CPU,
The output selection circuit is:
Input the output of the CPU from the two LSIs and the comparison result of the comparison circuit,
A control circuit that selects the output of the LSI with the larger number of matching CPUs among the comparison results as the output of the system;
The FF circuit in the LSI receives data from the CPU flip-flop with the largest number of CPUs with the same comparison result to the CPU flip-flop having a different output from the other CPUs among the three or more CPUs. A fault-tolerant system characterized by copying.