JP2770494B2 - 二重化制御ユニット - Google Patents

Description

【発明の詳細な説明】 ＜産業上の利用分野＞ 本発明は、各種プロセスから信号を受けて制御演算を
実行する制御カードを二重化した二重化制御ユニットに
関し、特に、二重化した各制御カード内における自己診
断方式を改善するものである。

＜従来の技術＞ 制御カードを二重化した二重化制御ユニットとして、
本出願人による特願平１−85615号「二重化制御演算シ
ステム」等が挙げられ、第４図及び第５図を用いてその
概略構成、動作を説明する。

第４図は、各種プロセスを制御する制御ユニットＵの
外観図であり、スロットs1,s2,…,Snには、プロセス現
場と信号を授受する入出力カード、電源カード、他のユ
ニットと通信動作を行う通信カード等が装着され、更に
制御演算を行うプロセッサを有する制御カード1,2が装
着される。そして、制御カード1,2は、一方のカードが
プロセスに対する実際の制御動作を実行し、他方のカー
ドが待機状態となっており、二重化制御ユニットを構成
する。

また、このような制御ユニットＵは、二重化されたバ
スB1,B2によりオペレータ・ステーション等の他ステー
ション（図示せず）と接続する。具体的には、この制御
ユニットＵには、バスB1と接続するカード構成のカプラ
c1と、カプラc1と同一構成でバスB2と接続するカプラc2
とが装着され、カプラc1,c2はこの制御ユニットＵ内の
バック・ボード・バス（図示せず）により制御カード1,
2に結合する。尚、カプラc1,c2は、バック・ボード・バ
スに装着した時点でスイッチsw1,sw2をイネーブルとし
て稼動状態とする。

次に、第５図に制御カード1,2の内部構成を示し、こ
のような二重化制御ユニットの動作を詳しく説明する。

第５図において、制御カード1,2はカプラc1,c2を介し
て二重化されたバスB1,B2にそれぞれ接続する。

制御カード１は、その内部にメモリを有し制御演算等
を実行するプロセッサ11と、内部バスb1によりプロセッ
サ11と接続し、カプラc1,c2により二重化バスB1,B2に接
続する通信インターフェイス12とを有する。同様に、制
御カード２も同一構成であり、プロセッサ21、内部バス
b2、カプラc1,c2により二重化バスB1,B2に接続する通信
インターフェイス22を有する。

このような二重化制御ユニットは、通常、どちらか一
方の制御カードが制御側カードとして各種プロセスの動
作を制御し、他方の制御カードは待機側カードとして待
ち状態となっている。そして、制御側カードに故障が検
出されると、制御側カード及び待機側カードの両方に設
定されている二重化切り換え論理により、待機側カード
が制御側カードに代わって制御動作を開始し、制御側カ
ードが待ち状態となる。

即ち、制御側カード、待機側カードの双方のプロセッ
サは、内部のメモリ動作、バスとの通信機能等を常時自
己診断しており、異常を検出した場合は二重化切り換え
論理に従って待機側の制御ユニットに制御権を切り換え
る。

具体的には、このときの各制御カードの自己診断は、
第５図内の矢印（１），（２），（３），（４），
（５）に示す５つの動作を実行することにより、行われ
る。

尚、第５図のシステムでは、制御カード１を制御側カ
ードとし、制御カード２を待機側カードとする。

（１）制御側カード１にて、通信インターフェイス12内
のファームウェアが二重化バスB1,B2に送出されている
他ステーション（オペレータ・ステーション等）からの
トークン（通信フレーム）を監視し、一定時間経過して
もこのトークンを受信できない場合、プロセッサ11に通
信インターフェイス12異常を通知する。この動作は、常
に制御側カードが実行する。

（２）制御側カード１のプロセッサ11から待機側カード
２のプロセッサ21内のメモリの特定アドレスに二重化バ
スB1,B2を介してデータを書き込む動作を繰り返し、こ
のデータ更新動作が一定時間停止すると、待機側カード
２はアラームを発生する。

（３）制御側カード１、待機側カード２とも、自己内の
通信インターフェイス12,22に自己診断動作を指示し、
その結果、異常を検出した場合、プロセッサ11,21はそ
の動作を停止する。

（４）制御側カード１、待機側カード２とも、自己内の
プロセッサ11,21が通信インターフェイス12,22内の特定
アドレスにデータを書き込み、読み返して不一致の場
合、プロセッサ11,21はその動作を停止する。

（５）制御側カード１、待機側カード２とも、自己内の
通信インターフェイス12,22がプロセッサ11,21内のRAM
の特定アドレスにデータをDMA転送し、読み返して不一
致の場合にプロセッサ11,21に通知し、プロセッサ11,21
はその動作を停止する。

尚、動作（１），（５）は通信インターフェイス12,2
2内のファームウェアがレディの時のみチェックする動
作、動作（２），（３）は通信インターフェイス12,22
内のファームウェア内におけるプロセッサ11,21との間
のインターフェイス機能がレディの時のみチェックする
動作、動作（４）は条件によらずチェックする動作であ
る。

＜発明が解決しようとする課題＞ しかしながら、上述した従来の二重化制御ユニットの
自己診断動作には、次のような問題が発生していた。

即ち、通信インターフェイスに制定されるファームウ
ェア内のプロセッサとのインターフェイス機能がノット
・レディとなった場合、その原因が （ａ）通信インターフェイス内ファームウェアは正常で
あるが、二重化バスに接続するカプラがノット・レディ
（スイッチがディスエーブル等）である、または、 （ｂ）ウォッチ・ドッグ・タイマからのアラーム等で検
出される通信インターフェイス内ファームウェア自身が
異常である、 のいずれかであるかを判断せずに、通信インターフェイ
ス内ファームウェアのインターフェイス機能をノット・
レディとみなして前述した自己診断動作（１），
（２），（３），（４）を停止していた。

このため、カプラがレディであるにもかかわらず、制
御カード自身がノット・レディ（通信インターフェイス
内ファームウェア異常）の時、自己診断異常による二重
化切り換え動作が行われず、この制御カードについて無
駄な異常原因確認作業等が発生していた。

本発明は、上述した（１）〜（５）の自己診断動作の
他に、通信インターフェイス内のファームウェアにおけ
るインターフェイス機能がノット・レディとなった場合
に、その原因がカプラのノット・レディであるのかファ
ームウェア異常であるのかを判断できるようにすること
を課題とし、制御側カードが正当な理由の場合にのみ、
自己診断異常として切り換え動作を起動するように二重
化制御ユニットを構成することを目的とする。

＜課題を解決するための手段＞ 異常の課題を解決した本発明は、カプラの装着状況
と、通信インターフェイス内ファームウェア異常とをプ
ロセッサ間のソフトウェアで認識できるようにして両者
の状況より二重化切り換え動作を起動するものであり、
その具体的な構成は次の通りである。

即ち、二重化バスとカプラを介して接続する通信イン
ターフェイス及び制御演算を実行するプロセッサからな
り各種プロセスを制御する制御側カードと、この制御側
カードと同一構成で前記制御側カードが故障した際に代
わって制御動作を開始する前記制御側カードと同一構成
の待機側カードとから構成される二重化制御ユニットに
おいて、 前記制御側カード及び前記待機側カードの双方に、前
記通信インターフェイスのファームウェア内に当該通信
インターフェイスがレディまたはノット・レディである
かを表わす通信ステイタスを設定するとともに、前記プ
ロセッサ内に２個の前記カプラのディスエーブル状態を
表わすバス・ステイタスを設定し、 前記バス・ステイタスにて両方のカプラがディスエー
ブルかつ前記通信ステイタスがレディの状態が一定時間
以上続いた場合、 前記バス・ステイタスにて両方のカプラがディスエー
ブルの後一方または両方のカプラがイネーブルとなり、
かつ前記通信ステイタスにて通信インターフェイスが一
定時間内にレディとならない場合、 前記バス・ステイタスにて両方のカプラがディスエー
ブルとなった履歴がなく前記通信ステイタスのノット・
レディの状態が一定時間以上続いた場合 に当該制御カードは自己診断異常とすることを特徴とす
る二重化制御ユニットである。

＜作用＞ 本発明の二重化制御ユニットにおける各々の制御カー
ドは、プロセッサ内のバス・ステイタスに表わされるカ
プラのディスエーブル状態、通信インターフェイス内の
ファームウェアの通信ステイタスに表わされる通信イン
ターフェイスのレディ状態を監視し、それぞれのステイ
タスの設定状態に従って、自己診断異常を判定する。

＜実施例＞ 以下、図面を用いて本発明の二重化制御ユニットの実
施例を説明する。

本発明の二重化制御ユニットは、そのハードウェア構
成は第４図及び第５図に示した従来のものと全く同様で
あるが、プロセッサと通信インターフェイスの内部機能
の設定状況が異なる。

はじめに、第３図に、本発明の二重化制御ユニットに
おける制御カード１を例として、その機能の概念を表わ
す。

この制御カード１の通信インターフェイス12内のファ
ームウェアには、その内部レジスタ・アドレス＄C04006
に、この通信インターフェイス12が通信可能状態、即ち
通信インターフェイス・レディの時に“1"である通信ス
テイタスST1を定義する。

また、プロセッサ11の内部レジスタ・アドレス＄FF90
04に、バスB1がディスエーブルの時に“1"を設定すると
ともにバスB2がディスエーブルである時に“1"を設定す
るバス・ステイタスST2を定義する。

このバス・ステイタスST2は、カプラc1,c2のスイッチ
sw1,sw2のオン（イネーブル）、オフ（ディスエーブ
ル）状態がバック・ボード・バスを介してプロセッサ11
へ送られ、設定される。

尚、通信インターフェイス12のファームウェアは、カ
プラc1,c2がディスエーブルの時、ノー・リスポンスと
してこの通信ステイタスST1をプロセッサ11のソフトウ
ェアから読み出せないようにするとともに、初期化処理
を行う期間（約７秒）もノー・リスポンスとしてプロセ
ッサ11のソフトウェアから読み出せないようにする。

更に、第２図（ａ），（ｂ），（ｃ），（ｄ）は本発
明において設定される各種ステイタス、フラグ、カウン
タの詳細を表わす図である。

（ａ）通信インターフェイスのファームウェアに設定す
る通信ステイタスST1の８ビット目に、この通信インタ
ーフェイスがレディの時に“1"、ノット・レディの時に
“0"を設定する。

（ｂ）プロセッサ内に設定するバス・ステイタスST2の
１ビット目にカプラc1ディスエーブルを表わす“1"を設
定し、２ビット目に、カプラc2ディスエーブルを表わす
“1"を設定す。

（ｃ）カプラ・ディスエーブル・フラグｆはプロセッサ
内に設定し、２個のカプラc1,c2の両方がディスエーブ
ルの時にオンとし、どちらか一方のカプラがイネーブル
かつ通信インターフェイス・レディの時にオフとする。

（ｄ）異常状態カウンタｔはプロセッサ内に設定し、後
述する異常状態の検出時に１秒毎に“1"計時するカウン
タである。

さて、以上のように設定したステイタスST1,ST2、フ
ラグｆ、カウンタｔを用いた本発明の二重化制御ユニッ
トの動作の特徴を第１図のフローチャートを用いて説明
する。

この本発明における動作は、＜従来の技術＞で説明し
た（１）〜（５）の自己診断動作の他に、１秒毎に実行
する自己診断動作として設定する。

動作開始となると、（イ）通信ステイタスST1、
（ロ）バス・ステイタスST2を読み出す。手順（イ）で
通信ステイタスST1を読み出すことができない場合は、
通信インターフェイス・ノット・レディとする。

手順（ハ）では、バス・ステイタスST2において、カ
プラc1,c2の両方がディスエーブル（スイッチsw1,sw2の
両方がディスエーブルでノット・レディの状態）か否か
を判定する。

カプラc1,c2の両方がディスエーブルの場合「Ｙ」
は、手順（ニ）でカプラ・ディスエーブル・フラグｆを
オンとし、手順（ホ）で通信インターフェイスの動作状
態（レディまたはノット・レディ）を調べる。

通信インターフェイスがノット・レディの場合「Ｎ」
は、手順（ヘ）で異常状態カウンタｔをクリアし、はじ
めの手順（イ）に戻る。

手順（ホ）で通信インターフェイスがレディの場合
「Ｙ」は、通信インターフェイス内ファームウェア異常
の可能性が高く、手順（ト）で異常状態カウンタｔを＋
１インクリメントする。

更に手順（チ）でこのカウント値が“4"（４秒）を越
えていると「Ｙ」、自己診断異常と判断する。カウン
ト値が“4"を越えなければ「Ｎ」、先頭の手順（イ）に
戻る。

ここで、異常状態カウンタｔのカウント値“4"は、通
信インターフェイス・レディの状態で両カプラc1,c2が
ディスエーブルからイネーブルとなる（当該制御カード
が異常状態から正常状態に遷移する）可能性を考慮した
ものである。

以上の手順（ニ），（ホ），（ト），（チ）は、両カ
プラ・ディスエーブルにもかかわらず、通信インターフ
ェイス・レディの状態が４秒以上続いた場合に、通信イ
ンターフェイス内ファームウェア異常の可能性が高く、
自己診断異常とするものである。

一方、手順（ハ）にて、いずれか一方のカプラがディ
スエーブルの場合「Ｎ」は、手順（リ）に進み、通信イ
ンターフェイスの動作状態（レディまたはノット・レデ
ィ）を調べる。

通信インターフェイスがレディの場合「Ｙ」はこのユ
ニット全体は異常状態でなく、カプラ・ディスエーブル
・フラグｆをクリアし（手順（ヌ））、異常状態カウン
タｔをクリアし（手順（ル））、先頭手順（イ）に戻
る。

手順（リ）で通信インターフェイスがノット・レディ
の場合「Ｎ」は異常状態の可能性があり、手順（ヲ）で
異常状態カウンタｔを＋１インクリメントし、手順
（ワ）でカプラ・ディスエーブル・フラグｆの設定状態
をみる。

手順（ワ）でカプラ・ディスエーブル・フラグｆがオ
ンであれば「Ｙ」、かつて両方のカプラがディスエーブ
ルでありその後一方または両方のカプラがイネーブルと
なった状態であり、手順（カ）において、通信インター
フェイス内ファームウェア立ち上げのための十分な時間
ｔ＝16秒以上の時間が経過した場合、自己診断異常と
する。カウンタ値ｔ＝16に達していなければ、先頭手順
（イ）に戻る。

以上の手順（リ），（ヲ），（ワ），（カ）は、両方
のカプラがディスエーブルの後、一方または両方のカプ
ラがイネーブルとなり、通信インターフェイス内ファー
ムウェアが設定時間（16秒）以内に立ち上がらない場
合、通信インターフェイス内ファームウェア異常の可能
性が高く、自己診断異常とするものである。

手順（ワ）でカプラ・ディスエーブル・フラグｆがオ
ンでなければ「Ｎ」、手順（ヨ）に進み、カウンタｔの
値をみて“4"以上であれば「Ｙ」、自己診断異常とす
る。カウンタ値が“4"に達していなければ、先頭手順
（イ）に戻る。

以上の手順（リ），（ヲ），（ワ），（ヨ）は、両方
のカプラがディスエーブルとなった履歴がなく、通信イ
ンターフェイスが異常を続けている場合であり、通信イ
ンターフェイス内ファームウェア異常の可能性が高く、
この異常状態が４秒以上続いた場合に自己診断異常と
するものである。

以上のようにして、両方のカプラがディスエーブル
にもかかわらず通信インターフェイス・レディが４秒以
上続いた場合、両方のカプラがディスエーブルの後、
一方または両方のカプラがイネーブルとなり、通信イン
ターフェイスが16秒以内に立ち上がらない場合、両方
のカプラがディスエーブルとなった履歴がなく、通信イ
ンターフェイスが４秒以上異常状態を続けた場合、の３
つの場合に、通信インターフェイス内ファームウェア異
常と判定し、自己診断異常とする。

尚、本発明の自己診断動作は、制御側カード、待機側
カードの双方で１秒毎に実行しており、従来の自己診断
動作（＜従来の技術＞で述べた自己診断動作（１），
（２），（３），（４），（５）の他に、制御側カード
で上記自己診断異常，，が検出された場合に、二
重化切り換え論理が起動する。

＜発明の効果＞ 以上述べたように、本発明の二重化制御ユニットは、
二重化した制御カードにおいて、２個のカプラのディス
エーブル状態またはイネーブル状態と、通信インターフ
ェイス内ファームウェアのレディ状態またはノット・レ
ディ状態とを監視して正当な理由の場合にのみ自己診断
異常と判定して二重化切り換え論理を起動することがで
き、当該二重化制御ユニットの信頼性を向上することが
できる。

【図面の簡単な説明】

第１図は本発明を実施した二重化制御ユニットの動作を
表わすフローチャート、第２図（ａ），（ｂ），
（ｃ），（ｄ）は本発明の二重化制御ユニットの内部に
設定されるステイタスST1,ステイタスST2,フラグf,カウ
ンタｔを表わす図、第３図は本発明の二重化制御ユニッ
ト内に設定されるステイタスST1,ST2の概念を表わす
図、第４図は二重化制御ユニットの外観を表わす図、第
５図は二重化制御ユニット内の制御カード1,2の内部構
成を表わす図である。 1,2……制御カード、11,21……プロセッサ、 12,22……通信インターフェイス、 b1,b2……内部バス、B1,B2……バス、 c1,c2……カプラ。

Claims (1)

(57)【特許請求の範囲】
1. 【請求項１】二重化バスとカプラを介して接続する通信
   インターフェイス及び制御演算を実行するプロセッサか
   らなり各種プロセスを制御する制御側カードと、この制
   御側カードと同一構成で前記制御側カードが故障した際
   に代わって制御動作を開始する前記制御側カードと同一
   構成の待機側カードとから構成される二重化制御ユニッ
   トにおいて、 前記制御側カード及び前記待機側カードの双方に、前記
   通信インターフェイスのファームウェア内に当該通信イ
   ンターフェイスがレディまたはノット・レディであるか
   を表わす通信ステイタスを設定するとともに、前記プロ
   セッサ内に２個の前記カプラのディスエーブル状態を表
   わすバス・ステイタスを設定し、 前記バス・ステイタスにて両方のカプラがディスエー
   ブルかつ前記通信ステイタスがレディの状態が一定時間
   以上続いた場合、 前記バス・ステイタスにて両方のカプラがディスエー
   ブルの後一方または両方のカプラがイネーブルとなり、
   かつ前記通信ステイタスにて通信インターフェイスが一
   定時間内にレディとならない場合、 前記バス・ステイタスにて両方のカプラがディスエー
   ブルとなった履歴がなく前記通信ステイタスのノット・
   レディの状態が一定時間以上続いた場合 に当該制御カードを自己診断異常とすることを特徴とす
   る二重化制御ユニット。