JP3175896B2 - バス照合型処理装置及び方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、鉄道の制御等、安全性
の要求される計算制御用処理装置に関し、特にバス照合
型処理装置及び方法に関するものである。

【０００２】

【従来の技術】鉄道車両等の制御を行う場合、誤った演
算によって誤制御を行ったときは直接人命にかかわる事
故に結び付く危険があるため、演算制御にフェイルセイ
フ性が要求される。そのために、従来よりいくつかの方
式によるフェイルセイフ演算装置、あるいは制御装置が
開発、実用化されてきた。その一つが、回路そのものを
フェイルセイフなものあるいはフェイルセイフに構成す
るもので、古くはリレー回路が代表的なものであるが、
制御機能の高度化に伴って、現在は制御対象へ直接に接
続される部分に限られるようになってきている。

【０００３】第２の方法は、演算処理はマイクロコンピ
ュータ等の、フェイルセイフ性の無いハードウエアで実
行し、そのハードウエアもしくはその出力結果を何等か
の手段でチェックすることにより、結果として故障を検
出し、不安全にならないような装置、あるいはシステム
を構成する方法であり、この方式が現在は主流となりつ
つある。この第２の方法にも前述のように、故障検出回
路を内蔵した自己診断型の方式と、演算装置を多重化し
て、その複数の装置の動作を比較照合して故障を検出す
る方式とに大別することが出来る。その中で、演算その
ものを間違いなく実行させるため、処理装置CPUの演算
を監視するために２重化し、同期して動作する処理装置
CPUのバスを常時比較し、不一致が発生したときは処理
を停止させるいわゆるバス照合型処理装置がある。

【０００４】このバス照合型処理装置の構成方法には、
比較器は故障しないことを前提にして処理装置の故障の
みを検出する方式と、比較器が故障したときにも結果と
して演算が停止するように構成したフェイルセイフバス
照合方式とがあり、本発明はこのフェイルセイフバス照
合方式に関するものである。

【０００５】このフェイルセイフバス照合方式には、照
合論理回路をフェイルセイフにする方式があり、この中
には、いわゆる２線論理（あるいは自己チェック型チェ
ック論理）と呼ばれるものがあり、これは照合結果を最
終的には２ビットの信号で表し、２ビットの信号が
（１，０）あるいは（０，１）の組み合わせの場合は正
常で、（０、０）或は（１，１）の組み合せの場合は異
常とするもので、照合回路自身の故障を含めて照合をフ
ェイルセイフに行うことを目的としたものであるが、判
定結果が静的であるため故障により常に（０、０）或は
（１，１）に固定した場合は異常を確実に検出できない
という問題があり、その改良として、疑似的に誤りを発
生させて判定結果を動的にしたものが開発されている
（参照文献：中村他、「保安制御計算機システムのフォ
ールトトレラント設計」、中村他、鉄道総研報告vol.7、
No.5. '93.5）。

【０００６】今一つの方法は、いわゆる振子型照合論理
と呼ばれるもので、照合すべきバスの対応ビット毎に、
そのビットデータを反転させ、その結果表れる信号を用
いて２つのフリップフロップで構成されるシフトレジス
タを左右にシフトし、結果としてそのフリップフロップ
の状態が０，１交互に反転することを以て比較対象が一
致していると見なし、その反転が停止した場合は、不一
致を含めて故障があることを示すもので、その反転信号
を交流増幅器等により電力増幅し、それを整流してリレ
ーを駆動することで、その判定動作が動的であるがゆえ
に、故障が発生した場合は照合回路の故障を含めてフェ
イルセイフに検出を可能とするものである（参照文献：
中村他、「内部３重系構造を持つフェイルセイフ計算機
システムの開発」、電気学会論文誌Vol.102-c4、1982.
4.）。

【０００７】

【発明が解決しようとする課題】以上のように、従来技
術は、バス照合型処理装置の故障検出のフェイルセイフ
性を高めるために、判定結果を０，１交番する信号とな
るように論理回路を構成することによりフェイルセイフ
性を高めることが出来たものであるが、何れの方式も照
合論理回路が複雑となり、回路規模が大きくなると同時
に、チェックに要する論理回路の遅れ時間によりバスの
サイクル時間が増大し、処理装置の性能を犠牲にしなけ
ればならないという問題がある。特に近年においては、
マイクロコンピュータの性能向上は著しく、かつてバス
のサイクル時間が１μs程度であったものが今やその数
十倍に向上し、簡単なゲート論理の遅延時間と同等程度
まで性能が高まりつつある。

【０００８】本発明の目的は、照合論理回路には特別な
論理を使用せず、通常の非フェイルセイフ照合論理を用
いてフェイルセイフ照合を実現するバス照合型処理装置
及び方法を提供することにある。

【０００９】

【課題を解決するための手段】上記目的を達成するため
に、本発明は、２つの２重系処理装置を同期して動作さ
せ、お互いのバスを比較照合するバス照合論理回路を備
え、前記２つの２重系処理装置のバス上のデータに不一
致が発生した場合、前記不一致を検出するバス照合型処
理装置において、間歇的診断処理を起動するタイマと、
該タイマにより起動され、不一致データを含むテストデ
ータ列をバス上に供給する前記２つの２重系処理装置
と、該テストデータに対する前記バス照合論理回路の応
答を監視する診断制御回路を備え、該診断制御回路は、
前記テストデータに対する前記バス照合論理回路の応答
が予め規定した動作を示すとき、前記間歇的診断処理周
期毎に反転する判定信号を出力するように構成し、更
に、前記バス上に供給する前記テストデータとして、該
テストデータの先頭より少なくともバスデータビット幅
分のテストが可能な数の不一致データ対とし、それに引
き続いて少なくとも１対の一致データの列とするように
構成することを特徴とするバス照合型処理装置を提供す
る。

【００１０】また、上記目的の他の達成手段として、２
つの２重系処理装置を同期して動作させ、お互いのバス
を比較照合するバス照合論理回路を備え、前記２つの２
重系処理装置のバス上のデータに不一致が発生した場
合、前記不一致を検出するバス照合型処理装置におい
て、間歇的診断処理を起動するタイマと、該タイマによ
り起動され、不一致データを含むテストデータ列をバス
上に供給する前記２つの２重系処理装置と、該テストデ
ータに対する前記バス照合論理回路の応答を監視する診
断制御回路を備え、該診断制御回路は、前記テストデー
タに対する前記バス照合論理回路の応答が予め規定した
動作を示すとき、前記間歇的診断処理周期毎に反転する
判定信号を出力するように構成し、更に、前記バス上に
供給する前記テストデータとして、該テストデータの先
頭より少なくともバスデータビット幅分のテストが可能
な数の不一致データ対とし、それに引き続いて少なくと
も１対の一致データの列とし、前記バス照合論理回路の
応答が不一致から一致へ変化するタイミングに対応して
予め規定した波形の判定パルスを出力し、前記バス照合
論理回路から出力される照合結果が不一致より一致検出
変化時に該判定パルスをフリップフロップでサンプリン
グ出力し、該判定パルスの波形を診断周期によって変化
させ、前記フリップフロップの出力に反転信号が現われ
るようにする前記診断制御回路を備えたことを特徴とす
るバス照合型処理装置を提供する。また、上記目的の他
の達成手段として、２つの２重系処理装置を同期して動
作させ、お互いのバスを比較照合するバス照合論理回路
を備え、前記２つの２重系処理装置のバス上のデータに
不一致が発生した場合、前記不一致を検出するバス照合
型処理装置において、間歇的診断処理を起動するタイマ
と、該タイマにより起動され、不一致データを含むテス
トデータ列をバス上に供給する前記２つの２重系処理装
置と、該テストデータに対する前記バス照合論理回路の
応答を監視する診断制御回路を備え、該診断制御回路
は、前記テストデータに対する前記バス照合論理回路の
応答が予め規定した動作を示すとき、前記間歇的診断処
理周期毎に反転する判定信号を出力するように構成し、
更に、前記バス照合論理回路をバスデータ不一致検出時
に 、該検出結果を２重系の両処理装置に割り込み信号と
して供給し、前記タイマによって起動される前記間歇的
診断処理の初期処理において、バス上に不一致データを
出力し、不一致検出に伴う割り込みによって診断処理を
開始するように構成することを特徴とするバス照合型処
理装置を提供する。

【００１１】

【作用】非フェイルセイフバス照合論理を備えた２重系
処理装置は、常時は与えられたプログラムに従って処理
を同期して実行し、照合論理回路はその両者のバス上に
現れるデータを照合して、不一致が検出された場合は、
両２重系処理装置に優先処理割り込みを掛ける。一方、
両２重系処理装置は両系とも同期して動作するタイマを
各々に備え、あらかじめ設定された周期で各々の２重系
処理装置に割り込みを掛け、その割り込みによって両２
重系処理装置は各々１ビットだけ違いのあるデータセッ
トをバス上に連続転送する。このデータセットはバスの
ビット数に依存し、例えば１６ビットデータバスを持つ
２重系処理装置であれば最低限１６ワードのデータとな
る。その結果、照合論理回路は連続して不一致であると
の判定結果を出力するはずであり、単純にはそのエラー
の回数をカウントし、そのカウントが規定回数であるか
否かによって判定フリップフロップを１又は０にセット
するもので、不一致データの個数もしくは規定回数をこ
のチェック周期の偶数で規定回数と不一致データ数を一
致させ、奇数周期不一致となるように設定すればフリッ
プフロップの状態は偶数周期で１に奇数周期で０に反転
を繰り返すもので、以上の処理動作が故障なしに実行さ
れればフリップフロップがチェック周期毎に反転する動
的状態を示し、一方、バス照合論理に検出不可能なビッ
トもしくは判定不能即ち照合論理の出力が常に照合一致
を示している故障の場合には通常の場合チェック時のエ
ラーカウントが規定から外れるため常にフリップフロッ
プが０の状態を示し、また特別な故障ではあるがエラー
カウントが規定回数と一致していると判定するような故
障の場合にはフリップフロップは常時１を示し、この両
者の故障モードにおいてはフリップフロップは反転しな
いことからバス照合論理のフェイルセイフチェックを実
現することが可能となる。診断制御回路は不一致データ
を含むテストデータに対する前記バス照合論理回路の応
答を監視し、応答が予め規定した動作を示すとき、前記
間歇的診断処理周期毎に反転する判定信号を出力する。
前述のように、バスの照合論理回路は特別なものでない
即ちフェイルセイフ性の無い通常の比較論理回路（即ち
ビット毎に排他論理和ゲートで比較し、全てのビットの
比較結果を論理和する一般的な比較論理で構成する）
で、この場合の非フェイルセイフ故障（不安全故障）
が、照合論理の故障と２重系処理装置の何れか一方の故
障が同時に存在する場合であることに着目し、照合論理
自身はバスサイクル毎にチェックするのではなく、それ
より充分大きな周期、例えば１msから10ms程度の周期で
間欠的にチェックする方法によって実現するものであ
る。これにより、故障の有無をチェックしたバス照合論
理によって、２重系処理装置に故障、エラーの発生を検
出し、不一致が発生した場合は両２重系処理装置に割込
みを掛け、このエラーに対する処理、即ち回復処理、場
合によっては処理の停止を行なうことができる。

【００１２】

【実施例】以下、本発明の一実施例に係るバス照合型処
理装置及び方法について説明する。

【００１３】図１は、本発明の一実施例に係るバス照合
型処理装置の基本構成を示す。１はバス照合型処理装
置、２は入出力制御装置である。１０はクロック回路、
１１ａ，１１ｂはバス照合型処理装置を構成する２つの
２重系処理装置、１２はバス照合論理回路、１３ａ，１
３ｂは入出力制御装置２と通信を行なうための伝送制御
回路、１７ａ，１７ｂは共通バスインタフェ−ス、１８
は診断制御回路である。

【００１４】図１において、２重系処理装置１１ａ、１
１ｂは共通なクロック回路１０から供給されるクロック
によって同期して動作するもので、通常バス上のデ−タ
は完全に同期して一致したデ−タが現われる。バス照合
論理回路１２はその２つの２重系処理装置１１ａ、１１
ｂのバス上のデ−タを比較照合し、不一致を検出した場
合、エラ−検出信号BERを２重系処理装置１１ａ、１１
ｂに割り込み信号として供給し、エラ−の発生を報知す
るものである。この割り込み信号は通常は割り込みを禁
止することの出来ないノンマスカブルインタラプト（NM
I）とするのが一般的であり、本実施例でもNMIとして扱
うものである。

【００１５】次に診断制御回路１８は、２重系処理装置
１１ａ、１１ｂ内部のタイマで起動される診断プログラ
ムによって起動され、２重系処理装置１１ａ、１１ｂに
テストパタ−ンデ−タの転送を要求し、２つの２重系処
理装置から出力されるデ−タをバス照合論理回路で照合
し、その照合出力BERを監視し、その動作によって故障
検出FDout信号を０あるいは１とするもので、故障がな
い場合は周期的に０、１の反転動作を繰り返し、故障が
発生したときには、このバス照合型処理装置１に接続さ
れた入出力制御装置２はその反転の有無を監視し、もし
もその反転が停止したときはバス照合型処理装置１全体
の一部に異常があると判定して、その状況に対応した処
理、例えばバス照合型処理装置１から送信されるデ−タ
は無効、十分には信頼できないものとして処理を行なう
ものである。

【００１６】図２は、図１の構成のバス照合型処理装置
における故障診断、故障検出の処理方法を示したもの
で、２つの２重系処理装置１１ａ、１１ｂの内部（もし
くは外部）の周期タイマによって診断処理を開始する。

【００１７】先ず、診断周期が偶数か奇数かを判定し
（ステップ１００１）、診断カウントWCNTを偶数対応の
Te（１００２）もしくは奇数対応のTo（１００３）の値
に設定する。

【００１８】次に、２つの２重系処理装置１１ａ、１１
ｂはお互いに一致しないデ−タを出力し（１００４）、
デ−タ照合を行う（１００５）。もしもデ−タ照合で不
一致検出され無かった場合は以降の処理は実行されな
い。

【００１９】一方、結果不一致が発生した場合はエラ−
割り込みが発生し、ステップ１００６以降の診断処理に
入り、出力デ−タカウントNを０とし（１００６）、テ
ストパタ−ンデ−タ列を出力する（１００７）。このデ
−タ列は、先頭からTe個のデ−タは２重系処理装置相互
に照合不一致となるべきデ−タで、以降は一致すべきデ
−タを出力するもので、最大Nmax個転送されるもので、
故障がなければデ−タカウントNがNmax−Teのとき照合
一致となるはずものである。

【００２０】その過程の照合（ステップ１００８）の結
果、最初に照合一致となった時点でデ−タカウント値N
と最初に設定したWCNTと比較し（１０１１）、もしも一
致していれば故障検出フリップフロップの出力FDoutを
１にセットし（ステップ１０１３）、一致していなけれ
ば０にセットする（ステップ１０１２）。

【００２１】ここで故障がなく、診断周期が偶数周期の
場合、WCNT＝Teであり、かつ照合一致となる時点でN＝T
eとなるはずであるので、故障検出フリップフロップ出
力FDoutは１に設定される。

【００２２】一方、奇数診断周期ではWCNT＝Toであるた
め、照合一致と判定されるデ−タカウントNとWCNTの値
とは不一致となるはずで、従ってFDoutは０にセットさ
れる。

【００２３】以上の処理を周期タイマの割り込み毎に繰
り返し行なえばFDoutは偶数周期で１にセットされ、診
断周期の２倍の周期の交番信号となる。

【００２４】一方、バス照合回路等が故障し、常に一致
しているとの出力を出した場合、ステップ１００４、１
００５での照合不一致割り込みが発生せず、以降の処理
が実行されないため当然のことながらFDoutは変化はな
くなり従って交番出力とはならない。

【００２５】他方、照合不一致によりエラ−割り込みが
発生した場合でも、Te個のテストパタ−ンデ−タ列の１
つでも照合不一致を一致と誤る故障、誤動作があった場
合にはデ−タカウントNがTeとなるのを待たずに照合一
致が現われ、結果として偶数周期も奇数周期もN≠Teと
なりFDoutは常に０となり、同様に交番信号とはならな
い。

【００２６】又逆に、照合論理回路が常に照合不一致と
表示する故障に対してはステップ１００８での判定で一
致判定とならないため同様にFDoutの交番は無くなる。

【００２７】以上の様に、本発明は、照合結果が一致で
あるから正常、不一致であるから故障との判断ではな
く、一致、不一致を処理上は差別せず、その診断処理の
結果として一致判定も不一致判定もバス照合型処理装置
１の内部においてハ−ドウエア、ソフトウエアの区別な
く、その各々において正しく認識されなければ故障検出
フリップフロップの出力FDoutが交番しなくなるような
機構とすることによって故障検出をフェイルセイフとす
ることができるものである。

【００２８】図３は、図１のバス照合型処理装置を応用
した列車制御車上装置とその周辺装置の構成を示す。図
１と同一部分には同一符号が付してある。３はリレーユ
ニット、４は信号通信送受信器、５は送受信アンテナ、
６はタコジェネレータ、７はブレーキ制御ユニット、８
は車両の車輪、９はレールを示したものである。

【００２９】図３において、地上の信号通信装置からレ
ールを介して先行列車の位置が周期的に送られ、車上装
置の信号通信送受信器４によってそのデータが受信さ
れ、一方、車輪の車軸に設置されたタコジェネレータ６
によって検出された距離パルスにより自列車の位置を計
算し先行列車の相対位置等により制限速度を算出すると
供に、速度を算出して列車に対するブレーキ指令を算出
し、リレーユニット３を介してブレーキユニット７を制
御し、安全に列車を運行させるものである。この場合、
バス照合型処理装置１は地上との交信と制限速度パター
ンの算出を分担し、入出力制御装置２はその制限速度パ
ターンに基づいた時事刻々のブレーキ制御指令の算出を
分担し、リレーユニット３はその出力が交番化されたブ
レーキ指令の交流増幅およびその整流とリレー駆動を分
担するものである。

【００３０】ここでブレーキ指令を交番化しているの
は、万が一故障により、制御装置出力あるいはリレー駆
動回路がブレーキ緩解側に固定された場合不安全になる
ことを防止するために、交番信号をブレーキ緩解、交番
停止をブレーキ作用に取りきめ、故障時には必ず交番停
止となりブレーキ作用側になることによってフェイルセ
イフ化を図ったもので、従来より採用されている方法で
ある。

【００３１】図４は、図３の列車制御車上装置とその周
辺装置の機能構成を示す。図１と同一部分には同一符号
が付してある。バス照合型制御装置１は、地上から受け
た先行列車位置を含むデータのエラーの有無をチェック
し、エラーが無い場合は、その先行列車位置から自列車
位置までの間の路線の勾配情報、曲線情報等を参照し、
データのチェックを行なった後、そのデータに基づいて
先行列車に追突しないように運転するための制限速度Vp
(xi)を計算する。この場合、路線の曲線情報はその区間
の制限速度に反映し、勾配は有効ブレーキ減速度に反映
して、停止速度に至るまでの自列車位置に対する制限速
度パターン列（Vp(x0),Vp(x1),〜,Vp(xn)）を算出する
もので、xiは勾配変化によるパターンの編曲点等を離散
的に算出し、それに対する制限速度Vp(Xi)を離散的に算
出てバス照合制御装置１はこの制限速度パターンデータ
を入出力制御装置２に受け渡す。尚、このときの制限速
度パターンは速度のディメンジョンではなくその自乗
（速度エネルギのディメンジョン）とすることによっ
て、速度の場合は距離に対して放物線となる制限速度パ
ターンを直線で表すことが可能で、入出力制御装置２で
内挿演算を線形計算で行なった後、その平方根により速
度を算出する方法を採用するのが良い。このような路線
条件を車上装置のデータとして保持し、そのデータに基
づいて制御するシステムへ応用する処理装置は、誤った
処理により誤った速度パターンを生成した場合には最悪
の場合は列車の衝突もあり得ることであり、そのデータ
処理とともに車上に保有する路線条件データのチェック
も確実に実行されなければならない。

【００３２】そのため、このバス照合型処理装置１は、
故障あるいはエラーが発生したときは与えられた時間余
裕（鉄道制御の場合は最悪１秒以内）の内に検出、対処
しなければならない。本実施例のバス照合型処理装置１
はそのために２重系バス照合型の処理装置を構成するも
のである。

【００３３】一方、制限速度パターンデータを受け渡さ
れた入出力制御装置２はタコジェネレータ６より入力し
た距離パルスをもとに車輪系を補正した後、自列車位置
Xfを累算すると同時に、その時間変化分である自列車速
度Vf(t)を算出する。入出力制御装置２はこの自列車位
置Xfをもとにバス照合型処理装置１より受け取った制限
速度パターン列（Vp(x0),Vp(x1),〜,Vp(xn)）をもと
に、xi<xf<xi-1即ち現列車位置を内包区間とする制限パ
ターンデータ対Vp(xi),Vp(xi-1)を選択し、その間を内
挿してxf地点における制限速度Vp(xf)を算出する。この
制限速度Vp(xf)はブレーキ指令演算制御で現在の列車速
度Vf(t)と比較され、その比較結果によってブレーキ指
令が出力される。

【００３４】このとき、最終的に出力されるブレーキ指
令は、交番信号として出力され、ブレーキ作用を示す場
合を交番停止、ブレーキ緩解を示す場合を交番信号と
し、出力回路の故障等でブレーキが作用しなくなること
防止するもので、フェイルセイフ化を図るものである。

【００３５】更に、バス照合型処理装置１との間には、
バス照合型処理装置１の故障の有無を示すFD(FDout/FDi
n)信号の受け渡しがあり、このFD信号はバス照合型処理
装置１が正常時には周期的にオンオフを繰り返す交番信
号で、故障時にはこの交番が停止するものである。従っ
て、FDの反転が停止した場合、入出力制御装置２はバス
照合型処理装置１の故障を認識することができ、安全側
に制御することが可能となる。

【００３６】また、バス照合型処理装置１と入出力制御
装置２は通信ポートを介してお互いにデータを交換し、
例として、バス照合型処理装置１から入出力制御装置２
へ送られたデータは再度バス照合型処理装置１へ返送
し、バス照合型処理装置１は入出力制御装置２の受け取
ったデータに誤りが無いかをチェックし、誤りを検出し
た場合は誤りの発生を入出力制御装置２に報知し、以降
のデータ供給を停止、あるいは故障の有無を交番信号で
示すFDout信号を停止させ、制御を安全に行なう（例え
ばブレーキ作用指令出力）等の処置を行なうものであ
る。

【００３７】図５は、図１のバス照合型処理装置の回路
ブロック構成を示す。図１と同一部分には同一符号が付
してある。１１ａ，１１ｂは２重系処理装置CPUa，CPUb
であり、共通のクロック回路１０によって基本的には同
期して動作するものである。１２はバス照合論理回路、
１３ａ，１３ｂ，１３ｃは入出力制御装置２、対地上送
受信器他の制御装置、回路と接続するための伝送制御回
路CCUa、CCUb、CCUcで、図５では３個のポートを備えた
構成となっているが、その回路数は任意であり、本実施
例構成には省略したが、外部バスインタフェースを設け
ることも可能であることはいうまでもないことである。

【００３８】次に１５ａ、１５ｂは伝送制御回路１３
ａ，１３ｂ，１３ｃを２重系制御装置CPUa１１ａ，CPUb
１１ｂの各々で共通にアクセスするための制御信号バス
ドライバで、１７ａ，１７ｂは同じく双方向バスインタ
フフェースであり、１６ａ，１６ｂは２重系制御装置CP
Ua１１ａ，CPUb１１ｂからの出力の場合、２重系制御装
置CPUa１１ａ，CPUb１１ｂのどちらの出力を有効にする
かを決める制御ゲートで、本実施例では単純に２重系制
御装置CPUa１１ａを常時有効としているが、アドレスに
よって切り換える等の方法もあり、又単純に両方の論理
和あるいは論理積で出力する方法等もあり、どのような
方法を用いても構わない。１８はバス照合論理回路１２
を診断するためのチェック機能を果たす回路の一部であ
る。

【００３９】以上の構成において、バス照合型処理装置
１は、その内部において、２重系制御装置CPUa１１ａ，
CPUb１１ｂは同一のクロック回路１０で駆動され、常時
同期して動作するもので、外部から非同期で入力される
信号は常に同期化して２重系制御装置CPUa１１ａ，CPUb
１１ｂに供給されるものである。このように常時同期し
て動作する２重系制御装置CPUa１１ａ，CPUb１１ｂはバ
ス照合論理回路１２によってバスサイクル毎にそのデー
タD0a-D7a、D0b-D7bを対応するビット毎に比較照合する
もので、１ビットでも不一致が発生した場合は、エラー
信号BERを出力し、各々の２重系制御装置CPUa１１ａ，C
PUb１１ｂに割り込み（マスクできない割り込みNMI）と
して供給する。この場合問題となるのが、バス照合論理
回路１２のフェイルセイフ性で、もしもデータに不一致
が生じても、不一致検出が不可能な故障がバス照合論理
回路１２に発生した場合は、２重系に不一致が発生して
もそのまま処理、制御が続行するため、誤った処理、制
御を行なう危険がある。診断制御回路１８はその危険を
防止するためのバス照合論理回路を診断する回路であ
り、２重系処理装置CPUa１１ａ，CPUb１１ｂと連携して
バス照合論理回路１２の故障の有無を診断し、正常時に
はその出力FDoutに交番信号が現われるようにしたもの
である。

【００４０】以上の構成で、メモリは２重系処理装置の
内部に存在し、２重系処理装置の外部にバスを経由して
入出力されるデータが照合の対象となるが、各々の２重
系処理装置CPUa１１ａ，CPUb１１ｂの外部に設けるメモ
リはデータ照合の対象となり、各２重系処理装置CPUa１
１ａ，CPUb１１ｂで使用するローカルメモリをその対象
とする必要のある場合は、この２重系処理装置CPUa１１
ａ，CPUb１１ｂの外部ローカルバス上にメモリを接続す
るが、本実施例ではその構成の説明を簡単にするため省
略したもので、必要に応じて接続するものである。

【００４１】本診断機能の動作を説明する前にその前提
となる、２重系処理装置CPUa１１ａ，CPUb１１ｂの内部
構成を図６で、バス照合論理回路１２の内部論理を図７
で説明する。図１と同一部分には同一符号が付してあ
る。まず、図６は、２重系処理装置CPUa１１ａ，CPUb１
１ｂの内部構成を示したもので、CPUa１１ａ，CPUb１１
ｂとも同一構成である。図６の中で、１１１はマイクロ
プロセッサを例に使用したもので、処理装置の核となる
演算部であり、１１３はプログラム及び固定データを格
納する読み出し専用メモリROMであり、１１４は書き込
み可能なメモリRAMであり、１１５はプログラマブルタ
イマで、制御周期等の制御に用い、本発明では特に照合
回路の診断周期を作るためのタイマに使用する。次に１
１２はダイレクトメモリアクセスコントローラDMACであ
り、通信制御等におけるデータ転送を２重系制御装置の
プログラムによる実行ではなく、専用の回路で２重系制
御装置の代わりに高速に実行するものである。本実施例
では、このDMAC１１２をバス照合論理回路１２へ診断の
ためのテストパターンデータを送り出すために用いる。
最後に、１１６は２重系制御装置をその外側のバスを分
離するためのバスゲートである。

【００４２】以上の構成は、その全てをワンチップに集
積したワンチップマイクロコンピュータが既に実用化さ
れており、そのワンチップマイクロコンピュータをその
まま利用することが可能である。以上の構成において、
外部インタフェースバス信号を主体として、読み出しデ
ータストローブRD（出力）、書き込みデータストローブ
WR（出力）、アドレス線A0〜A15（出力）、データ線D0
〜D7（入出力）、メモリアクセス待ち制御線WAI（入
力）、割り込み要求信号IRQ（入力）、バスエラー割り
込み（又はノンマスカブル割り込みNMI）（入力）、DMA
転送要求信号DREQ（入力）、DMA転送確認信号DACK（出
力）、及びクロック信号CK（入力）より構成されている
ものであり、その動作は一般のマイクロコンピュータシ
ステムと同様であり、その詳細は省略する。尚、本実施
例では、簡単のためデータ８ビットアドレス１６ビット
の単純な構成としたが、バスのデータ、アドレスビット
の大きさはこの限りではない。

【００４３】又、信号線は実際の装置では負論理で表さ
れるものもあるが、実施例では説明を容易にするために
特別なものを除いて正論理で表現しているが、これはそ
の表現、実施方法を規定しているものでないことは言う
までもない。

【００４４】次に、図７は、バス照合論理回路１２の内
部論理を示す。１２１は排他論理和ゲートで、ビット対
応に２重系処理装置CPUa１１ａ，CPUb１１ｂのデータバ
スを比較するもので、ビット毎に一致の場合、ゲート１
２１の出力は０に不一致の場合は１となるもので、論理
和ゲート１２２は全てのビットの比較結果の総和を取る
もので、その出力は１ビットでも両２重系処理装置のデ
ータに違いがあった場合１に全てのビットが一致した場
合のみ０を示すものである。

【００４５】この信号をデータの読み書きを制御する各
々の信号RDa、RDb、WRa、WRbをアンド、オアした、信号
の後縁でフリップフロプ１２６に取り込みバスエラー信
号BERとして各CPUに割り込み信号として供給するもので
あり、２重系処理装置CPUa１１ａ，CPUb１１ｂはその割
り込み信号に基づいてエラー処理、診断処理を行なうも
のである。

【００４６】以上の２重系処理装置CPUa１１ａ，CPUb１
１ｂ、バス照合論理回路１２を前提として、バス照合論
理回路の診断の動作を図８のタイムチャートを用いて説
明する。

【００４７】図８において、Da、Dbは診断処理の各バス
サイクルの各２重系処理装置のデータバス上のデータを
数値で表したものである。RDa/WRa、RDb/WRbは各２重系
処理装置の読み出し又は書き込みストローブのを示した
もの、IRQは両２重系処理装置への診断周期タイマ割り
込み、DREQa,bは２重系処理装置CPUa１１ａ，CPUb１１
ｂに対する診断パターンデータ転送要求信号、DACKa,b
は２重系処理装置CPUa１１ａ，CPUb１１ｂからのDMA転
送確認信号、BERはバス照合論理回路１２からのバスエ
ラー信号、WPa。WPbは診断制御回路１８で生成され、診
断の合否の判定に用いるウインドウパルス、FDa、FDbは
その判定結果で反転する故障判定フリップフロップ出
力、FDoutはFDa、FDbを組合せた故障表示信号である。

【００４８】以上において、先ず、予め設定された周期
で２重系処理装置CPUa１１ａ，CPUb１１ｂに割り込みを
発生する各々の２重系処理装置CPUa１１ａ，CPUb１１ｂ
のプログラマブルタイマ１１５によって割り込みが同時
に入力される。これは両２重系処理装置CPUa１１ａ，CP
Ub１１ｂがクロック、入力信号全て同期動作しているこ
とによるものであり、このタイマ割り込みによって、各
２重系処理装置CPUa１１ａ，CPUb１１ｂは診断を開始
し、最初に外部の診断制御回路１８に内蔵するウインド
パルス発生回路を起動し、その起動によって、バス照合
論理回路１２は２重系処理装置CPUa１１ａ，CPUb１１ｂ
に対してテストパターンデータの転送を要求する。この
とき、各２重系処理装置CPUa１１ａ，CPUb１１ｂがウイ
ンドパルス発生器に与えるデータは図に示すWPa、WPbの
パルスを発生するまでのバスサイクル数で、２重系処理
装置CPUa１１ａ，CPUb１１ｂのその数値は若干違いを持
たせているものである（図では１６と１７）。このこと
によって、バス照合論理回路１２はその差を検出し、エ
ラー信号BERを両２重系処理装置CPUa１１ａ，CPUb１１
ｂの割り込み信号として出力し、両２重系処理装置CPUa
１１ａ，CPUb１１ｂはその前縁を捕えて割り込み処理を
実行し、両２重系処理装置CPUa１１ａ，CPUb１１ｂの内
蔵するDMAC１１２を起動する。このDMACの起動により、
診断制御回路１８からの転送要求DREQに応じてデータ転
送が開始する。ここで両２重系処理装置CPUa１１ａ，CP
Ub１１ｂから転送されるデータは、図に示すように、D
a、Dbのデータはビットで見たとき１ビットの違いがあ
るように予め設定されており、この診断手続きの間、も
しもバス照合論理回路１２が正常にエラーを検出可能で
あれば、テストサイクル中連続してエラーを検出するは
ずである。このテストサイクルはテストするビット数の
倍、８ビットであれば１６サイクル以上連続し、その際
後に両２重系処理装置CPUa１１ａ，CPUb１１ｂより一致
したデータ（図では０）を出力し、このとき初めてエラ
ー信号BERは０に復帰する。前述のウインドパルスWPa、
WPbはこのタイミングに合わせてパルスを出力するもの
で、エラー信号BERが１から０に復帰する信号変化でこ
のWPa、WPbをサンプリングし、そのときのWPa、WPbの値
がFDa、FDbにセットされる。このとき、WPa、WPbは最初
の起動時に与えられたデータが異なることによって、パ
ルスのでるタイミングが若干ずれ、結果として、FDa、F
Dbには異なる値がセットされることになる。この差は、
診断の周期によっても異なり、ＷPa、WPbの関係は診断
の偶数周期と奇数周期では逆転し、図８に破線で示すよ
うな信号となる。この結果、装置が全て正常であれば、
FDa、FDbは各々他とは反転したオンオフ信号となる。

【００４９】一方、もしもバス照合論理回路１２に少な
くとも１ビットのエラー検出不能な故障が発生した場
合、両２重系処理装置CPUa１１ａ，CPUb１１ｂで不一致
である筈のテストパターン転送サイクルのどこかで、エ
ラーが無くなり、その結果最後の一致パターンの転送を
待たずにウインドパルスのサンプリングを行ない、結果
として、WP=1のタイミングから常に外れることにより、
FDa、FDbともに０が常にセットされ、その反転が停止す
る。

【００５０】又、別なケースとして、バス照合論理回路
１２がデータ不一致を検出しても、その結果をエラー割
り込みとして両２重系処理装置CPUa１１ａ，CPUb１１ｂ
あるいは一方の２重系処理装置（CPUa１１ａまたはCPUb
１１ｂ）に入力されない故障の場合は、前述の診断サイ
クルそのものがこのエラー信号で起動されるため、同様
にFDa、FDbの反転停止の状態となる。

【００５１】更に、一致データを誤って不一致と誤検出
する故障は２重系処理装置故障と同等に扱い、通常のエ
ラー処理で扱われる。

【００５２】以上は、テストパターンの転送にDMA転送
を用いた場合であるが、診断時間の若干の増加を問題に
しない場合は、各々の２重系処理装置CPUa１１ａ，CPUb
１１ｂのプログラム転送によっても実現することができ
る。

【００５３】図９は、図８の診断を実行するための診断
制御回路の内部構成を示す。２重系処理装置CPUa１１ａ
用とCPUb１１ｂ用の２回路で構成される。図１と同一部
分には同一符号を付している。

【００５４】図９において、１８１ａ、１８１ｂは前述
のウインドパルスWPa、WPbを発生するためのカウンタWP
CNTであり、各々のデータバスDa、Dbよりカウント値が
設定される。１８２ａ、１８２ｂ及び１８３ａ、１８３
ｂはWPCNTa、WPCNTbが各々のRD、WR信号を入力としてて
バスサイクルをカウントし、カウントアップした時に、
WPa、WPbのパルスを出すためのフリップフロップで、１
バスサイクル幅のパルスを出力する。一方、１８５ａ、
１８５ｂはWPCNTを起動すると同時に各CPUにテストデー
タのDMA転送を要求するDREQa、DREQb信号を作るフリッ
プフロップでWPCNTの初期設定と同時に設定される。１
８６ａ、１８６bは、その設定のためのアドレスデコー
ダである。又、１８７ａ、１８７ｂは、一旦BERが０に
復帰した場合、WPCNTの動作を停止するためのフリップ
フロップである。更に１８８ａ、１８８ｂは、診断周期
毎に反転するFDa、FDbをクロック入力として、FDa、FDb
信号の立ち上がりで１８７ｂ、１８７ａのお互いの出力
を入力としてリングを構成するフリップフロップで、１
８７ａは１８７ｂの反転出力を入力とすることで、FD
a、FDbが反転している間はその２倍の周期で反転する信
号を生成し、FDa、FDbの何れか一方の反転が停止すると
その出力FDoutの反転が停止するもので、論理的にはFD
a、FDbの論理積を表すもので、この反転停止はCPUa、CP
Ubを含むFS-CPU１の内部に故障が発生したことを示すも
のである。

【００５５】以上、図９では診断制御回路１８は各２重
系処理装置CPUa１１ａ，CPUb１１ｂ対応に２回路設けた
が、伝送制御回路１３ａ，１３ｂの接続された共通バス
上に設けた１回路の構成も可能である。この場合は、ウ
インドパルスWP共通となるので、若干その制御に関わる
２重系処理装置CPUa１１ａ，CPUb１１ｂの処理が変更さ
れるだけで、基本的な動作には変更はない。

【００５６】尚、図９の回路のなかで、説明のためウイ
ンドパルス発生カウンタWPCNTは２重系処理装置CPUa１
１ａ，CPUb１１ｂの外部回路としたが、プログラマブル
タイマ１１５と同様の２重系処理装置内蔵タイマとする
ことも可能であり、市販のワンチップマイクロコンピュ
ータも複数のカウンタ回路を内蔵したものが多く、その
場合は、内蔵カウンタを使用することが出来、回路を簡
単にすることができる。

【００５７】図１０は、以上の診断手続きにおける２重
系処理装置CPUa，CPUbの処理のフローチャートを示す。
左がCPUa、右がCPUbの処理を示したものである。両者は
その殆どが同処理であるが、一部に若干の違いがある。

【００５８】先ず、両２重系処理装置CPUa，CPUb共に、
各々同期したタイマにより診断初期処理プログラムが起
動され、プログラマブルタイマを更新（＋１）し（ステ
ップ１００１ａ、１００１ｂ）、診断フラグをセットす
る（１００２ａ、１００２ｂ）。次に、前記診断周期カ
ウンタの偶数／奇数を判定する（１００３ａ、１００３
ｂ）。この場合、その判定結果によりウインドパルスカ
ウンタWPCNTの設定値がCPUa、CPUbで逆転しており、そ
の結果、設定時にバスに現われるデータの不一致とそれ
に伴う、エラー割り込み、及びWPa、WPbのパルス出力場
所の違いとなって現われる（１００４ａ、１００４ｂ、
１００５ａ、１００５ｂ）。

【００５９】以上の様に、WPCNTの設定値の不一致によ
って引き起こされた照合エラーは割り込み信号として両
CPUに入力され、ステップ１０２１ａ、１０２１ｂ以下
のエラー処理プログラムが起動される。ここでは先ず診
断処理中の正規のエラー割り込みか、その他のエラーか
を判別するために、先のステップ１００２ａ、１００２
ｂで設定した診断フラグを判定し、セットされていれば
診断中であると判断し（１０２１ａ、１０２１ｂ）、テ
ストパターンデータ転送のためのDMA転送を起動し、そ
の終了を待って診断フラグをリセットし、通常の処理に
復帰する（１００２３ａ、１００２３ｂ）。

【００６０】一方、フラグがセットされていないと判定
された場合には（１００２１ａ、１００２１ｂ）、通常
の処理中に発生したエラーと判断してエラー処理を行な
う（１０２２ａ、１０２２ｂ）。このときのエラー処理
は、応用の目的に応じて、リカバリー処理の後に復旧さ
せるもの、CPU自身が停止し、その後の処理を行なわな
いもの等様々なエラー処理形態があるが、本実施例では
そのどれを選ぶかを制約するものではなく、応用目的に
応じて処理を行なえばよいものである。

【００６１】

【発明の効果】本発明によれば、バス照合型の処理装置
を構成するうえで、２線式論理やフリップフロップを用
いた振り子型照合論理等、特別な照合論理を用いること
なく、通常の比較回路を用いてエラー検出し、フェイル
セイフ化をはかる手段としてバス照合論理回路のチェッ
クを間歇的に行なうことにより、バス照合論理回路をフ
ェイルセイフ化する場合に障害となった処理性能の低下
を防ぎ、照合論理の単純化、それによる装置の小形化、
高信頼化が可能となる。更に、近年のマイクロコンピュ
ータの高集積化に伴って、メモリ他周辺機能を内蔵した
ワンチップマイクロコンピュータを２重系処理装置とし
て用いて、最小限の照合論理と診断回路を付加すること
により、バス照合論理回路のフェイルセイフ化とそれに
よるフェイルセイフ処理装置を構成することができるの
で、バス照合型処理装置の小形高信頼化、高安全化の効
果は甚大である。

【図面の簡単な説明】

【図１】本発明の一実施例に係るバス照合型処理装置の
基本構成を示すブロック図である。

【図２】図１のバス照合型処理装置における故障診断、
故障検出の処理方法を示すフローチャート図である。

【図３】図１のバス照合型処理装置の適用対象例の制御
装置全体の構成図である。

【図４】図３の制御装置の機能構成図である。

【図５】図１のバス照合型処理装置の回路ブロック構成
図である。

【図６】図１のバス照合型処理装置の２重系処理装置の
内部構成図である。

【図７】図１のバス照合型処理装置のバス照合論理回路
の内部論理を示す図である。

【図８】図１のバス照合型処理装置のバス照合論理回路
の診断の動作を示すタイムチャート図である。

【図９】図８の診断を実行するためのの診断制御回路の
内部構成図である。

【図１０】２重系処理装置の診断処理プログラムのフロ
ーチャート図である。

【符号の説明】

１…バス照合型処理装置、１０クロック回路、１１ａ，
１１ｂ…２重系処理装置、１２…バス照合論理回路、１
３ａ，１３ｂ，１３ｃ…通信制御回路、１８…診断制御
回路、２…入出力処理装置、３…リレーユニット、４…
信号通信送受信器、５…送受信アンテナ、６…タコジェ
ネレータ、７…ブレーキ制御ユニット、８…車両の車
輪、９…レール

───────────────────────────────────────────────────── フロントページの続き (72)発明者 小林 延久 茨城県勝田市市毛1070番地 株式会社 日立製作所 水戸工場内 (56)参考文献 特開 昭58−109944（ＪＰ，Ａ) 特開 昭63−254537（ＪＰ，Ａ) 特開 昭48−43240（ＪＰ，Ａ) 特開 平５−35514（ＪＰ，Ａ) 特開 平２−138636（ＪＰ，Ａ) 特開 平４−52930（ＪＰ，Ａ) 特開 平６−168150（ＪＰ，Ａ) (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 11/16 - 11/20 G06F 11/22 G06F 11/08

Claims (3)

(57)【特許請求の範囲】
1. 【請求項１】２つの２重系処理装置を同期して動作さ
   せ、お互いのバスを比較照合するバス照合論理回路を備
   え、前記２つの２重系処理装置のバス上のデータに不一
   致が発生した場合、前記不一致を検出するバス照合型処
   理装置において、 間歇的診断処理を起動するタイマと、該タイマにより起
   動され、不一致データを含むテストデータ列をバス上に
   供給する前記２つの２重系処理装置と、該テストデータ
   に対する前記バス照合論理回路の応答を監視する診断制
   御回路を備え、該診断制御回路は、前記テストデータに
   対する前記バス照合論理回路の応答が予め規定した動作
   を示すとき、前記間歇的診断処理周期毎に反転する判定
   信号を出力するように構成し、更に、前記バス上に供給
   する前記テストデータとして、該テストデータの先頭よ
   り少なくともバスデータビット幅分のテストが可能な数
   の不一致データ対とし、それに引き続いて少なくとも１
   対の一致データの列とするように構成することを特徴と
   するバス照合型処理装置。
2. 【請求項２】 ２つの２重系処理装置を同期して動作さ
   せ、お互いのバスを比較照合するバス照合論理回路を備
   え、前記２つの２重系処理装置のバス上のデータに不一
   致が発生した場合、前記不一致を検出するバス照合型処
   理装置において、 間歇的診断処理を起動するタイマと、該タイマにより起
   動され、不一致データを含むテストデータ列をバス上に
   供給する前記２つの２重系処理装置と、該テストデータ
   に対する前記バス照合論理回路の応答を監視する診断制
   御回路を備え、該診断制御回路は、前記テストデータに
   対する前記バス照合論理回路の応答が予め規定した動作
   を示すとき、前記間歇的診断処理周期毎に反転する判定
   信号を出力するように構成し、更に、前記バス上に供給
   する前記テストデータとして、該テストデータの先頭よ
   り少なくともバスデータビット幅分のテストが可能な数
   の不一致データ対とし、それに引き続いて少なくとも１
   対の一致データの列とし、前記バス照合論理回路の応答
   が不一致から一致へ変化するタイミングに対応して予め
   規定した波形の判定パルスを出力し、前記バス照合論理
   回路から出力される照合結果が不一致より一致検出変化
   時に該判定パルスをフリップフロップでサンプリング出
   力し、該判定パルスの波形を診断周期によって変化さ
   せ、前記フリップフロップの出力に反転信号が現われる
   ようにする前記診断制御回路を備えたことを特徴とする
   バス照合型処理装置。
3. 【請求項３】 ２つの２重系処理装置を同期して動作さ
   せ、お互いのバスを比較照合するバス照合論理回路を備
   え、前記２つの２重系処理装置のバス上のデータに不一
   致が発生した場合、前記不一致を検出するバス照合型処
   理装置において、 間歇的診断処理を起動するタイマと、該タイマにより起
   動され、不一致データを含むテストデータ列をバス上に
   供給する前記２つの２重系処理装置と、該テストデータ
   に対する前記バス照合論理回路の応答を監視する診断制
   御回路を備え、該診断制御回路は、前記テストデータに
   対する前記バス照合論理回路の応答が予め規定した動作
   を示すとき、前記間歇的診断処理周期毎に反転する判定
   信号を出力するように構成し、更に、前記バス照合論理
   回路をバスデータ不一致検出時に、該検出結果を２重系
   の両処理装置に割り込み信号として供給し、前記タイマ
   によって起動される前記間歇的診断処理の初期処理にお
   いて、バス上に不一致データを出力し、不一致検出に伴
   う割り込みによって診断処理を開始するように構成する
   ことを特徴とするバス照合型処理装置。