JP3427538B2 - 二重化された制御システム - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は二重化された制御システ
ムに関するものであり、マイクロコンピュータを制御部
に用いて特に高信頼性が要求されるシステムにおいて、
システムの心臓部に相当する制御部のみに二重化構成が
用いられた場合における制御部の切替に関するものであ
る。

【０００２】

【従来の技術】高信頼性が要求されるシステムでは、障
害対策の一つとして二重化構成が用いられる。完全な二
重化を実現する場合には、同一のシステムを二台用いれ
ば良いが、これはハードウェア量が多くなり、コスト高
となる問題が生じる。また、システムによっては、人間
によるマニュアル入力操作にてシステムの動作制御を行
うものもある。このようなシステムに完全な二重化構成
を用いた場合には、当然、操作部も二重化されるので、
入力操作を二回行う必要があり、操作性の悪いシステム
になってしまう。つまり、システムによっては何らかの
理由により完全な二重化を実現できないシステムもあ
る。このようなシステムでは、どこまで二重化するかが
ポイントになる。

【０００３】従来、図２３に示されるように、ループ状
伝送処理システムを構成するマスタ局Ｍおよび複数のリ
モート局Ｒ１，Ｒ２を二重化構成することにより、何れ
かの局がダウンした場合でもマスタ局Ｍにより他方の局
に切り替えることにより、その機能を代行させることが
提案されている（特開昭５７−６５９４０号）。リモー
ト局Ｒ１とＲ２は、それぞれ開閉手段ＳＷ１，ＳＷ２を
介して伝送ラインに接続されている。開閉手段ＳＷ１，
ＳＷ２はマスタ局Ｍによりいずれか一方が信号伝送状
態、他方が信号遮断状態となるように制御される。各リ
モート局Ｒ１，Ｒ２はマスタ局Ｍによる異常監視に応じ
て自己診断結果を返送する。この方法で二重化構成を実
現する場合、制御部の他に、制御部を監視又は切り替え
るためのマスタ部が必要になる。つまり、二重化構成用
のマイクロコンピュータの他に余分なマイクロコンピュ
ータが一つ必要となり、部品点数が増えて、その分、コ
スト高になってしまう。

【０００４】また、図２４に示されるように、ＣＰＵを
電子交換システムのような高信頼性が要求される二重化
構成システムに適用する場合、共通バスを簡単なハード
ウェアで構成されたバス制御回路（ＢＣＴＬ）で結合
し、両共通バスを通して他の被制御部にアクセス制御す
ることを可能にすることにより、ＣＰＵ間の交絡用回路
を簡単化することが提案されている（特開昭５６−８０
７２２号）。この方法で二重化構成を実現する場合、特
別なハードウェアを設けることなく、数チップの低価格
なＩＣを使用して、高信頼性の二重化構成を実現するこ
とができる。しかしながら、仮にＣＰＵ１０だけが暴走
した場合、暴走したＣＰＵ１０が正常なＣＰＵ２０側の
メモリ１２を共通バスを介してアクセスし、正常なメモ
リ１２を破壊する恐れがある。

【０００５】

【発明が解決しようとする課題】本発明は上述のような
点に鑑みてなされたものであり、その目的とするところ
は、システムの心臓部にあたるマイクロコンピュータ及
びＲＯＭ・ＲＡＭで構成される制御部のみを二重化する
ことにより、二重化の部分を最小限に抑え、安価で信頼
性の高い二重化構成を実現することにある。

【０００６】

【課題を解決するための手段】本発明によれば、上記の
課題を解決するために、図１に示すように、第１及び第
２の制御部１，２と、第１の制御部１の入出力信号Ｓ１
と第２の制御部２の入出力信号Ｓ２を切り替えるための
切替制御回路３と、切替制御回路３で選択された第３の
入出力信号Ｓ３により制御可能な被制御装置４とで構成
されるシステムにおいて、外部入力信号Ｓｘの状態変化
に応じて第１又は第２の制御部１，２から出力される切
替要求信号Ｃ１，Ｃ２に同期して第３の入出力信号Ｓ３
を切り替えるように構成したものであり、また、図６に
示すように、現在、第３の入出力信号Ｓ３が選択してい
る制御部の入出力信号Ｓ１，Ｓ２の選択状態を知らせる
信号Ｓｙを第１及び第２の制御部１，２に入力すると共
に、第１及び第２の制御部１，２から出力される切替延
長要求信号ｄ１，ｄ２を切替制御回路３に入力して、外
部入力信号Ｓｘの状態変化時における、状態変化前の被
制御装置４のアクセス権がある制御部１，２の被制御装
置４に対するアクセス状態に応じて第３の入出力信号Ｓ
３を切り替える時間を変化させる制御を行うことを特徴
とするものである。また、図１０に示すように、外部入
力信号Ｓｘの状態変化時における第１又は第２の制御部
１，２の動作状態に合わせて切替要求信号Ｃ１，Ｃ２を
出力するタイミングを変更する制御を行うために、互い
の制御部１，２が被制御装置４をアクセスしているか否
かを確認又は相手側の制御部２，１に知らせることがで
きる監視部６を設けたことを特徴とするものである。さ
らに、図１４に示すように、外部入力信号Ｓｘの状態変
化時における状態変化前の被制御装置４へのアクセス権
を有する制御部の動作状態が異常であると判断した場合
に第３の入出力信号Ｓ３を強制的に切り替えるために、
制御部１，２が外部入力信号Ｓｘの状態変化を認識した
か否かを確認又は相手側の制御部２，１に知らせる手段
を前記監視部６に追加することが好ましい。また、図１
７に示すように、互いの制御部１，２がアクセス可能な
メモリ１３を監視部に備えることが好ましい。さらに、
図１９に示すように、第１の制御部１のみがアクセス可
能な第１のメモリ１１と、第２の制御部２のみがアクセ
ス可能な第２のメモリ１２とを備え、外部入力信号Ｓｘ
の状態変化後に被制御装置４のアクセス権が発生した制
御部が、状態変化前と同じ状態から被制御装置４を制御
するために最低限必要なデータを、被制御装置４のアク
セス権が有る制御部のメモリから、アクセス権の無い制
御部のメモリへ転送する手段を設けても良い。

【０００７】

【作用】図１の構成によれば、制御部を監視又は切り替
えるための余分なマイクロコンピュータを使用しなくて
も、制御部用のマイクロコンピュータだけで二重化構成
を実現することができる。また、図６、図１０、図１
４、図１７の各構成によれば、制御部の切替え要求が発
生したときの制御部の被制御装置のアクセス状態又は動
作状態に応じて、制御部を効率良く切り替えることがで
きる。また、図１９の構成によれば、ソフトウェア的な
バグにより、二重化された制御部が同時に暴走すること
がない。また、暴走した制御部が正常に動作している制
御部のメモリを破壊することがない。

【０００８】

【実施例】本発明の第１実施例の構成を図１に示す。こ
こでは、本発明の基本的な構成について説明する。本実
施例のシステムは、制御部１及び制御部２と、制御部１
及び制御部２の入出力信号Ｓ１及びＳ２を切り替えるた
めの切替制御回路３と、切替制御回路３で選択された入
出力信号Ｓ３にて制御可能な被制御装置４とで構成され
ている。制御部１及び制御部２は切替制御回路３を介し
て被制御装置４をアクセスすることが可能である。ただ
し、被制御装置４をアクセスできる制御部は、どちらか
一方である。つまり、本構成では、或る条件に応じて被
制御装置４をアクセスする制御部１，２を切り替えて使
用するものである。或る条件とは、図中に示されている
外部入力信号Ｓｘの状態により決まる。この外部入力信
号Ｓｘとは、２値状態（Ｈｉｇｈレベル又はＬｏｗレベ
ル）が判別可能な信号である。本実施例の構成では、こ
の外部入力信号ＳｘがＨｉｇｈレベルの場合には第１の
制御部１、Ｌｏｗレベルの場合には第２の制御部２が被
制御装置４をアクセスする権利を有するものとする。ま
た、外部入力信号Ｓｘは制御部１，２にマイクロコンピ
ュータを使用した場合、マイクロコンピュータの入力ポ
ートＰｉと切替制御回路３にそれぞれ入力される。マイ
クロコンピュータは、入力ポートＰｉにより被制御装置
４のアクセス権がどちらの制御部にあるかを判断するこ
とができる。また、マイクロコンピュータの出力ポート
Ｐｏと切替制御回路３は接続されていて、この出力ポー
トＰｏを通じてマイクロコンピュータから切替要求信号
Ｃ１，Ｃ２が切替制御回路３に出力される。この切替要
求信号Ｃ１及びＣ２は、被制御装置４のアクセス権があ
るマイクロコンピュータの場合にはＬｏｗレベル、そう
でないマイクロコンピュータの場合にはＨｉｇｈレベル
が出力される。切替制御回路３は、この切替要求信号Ｃ
１及びＣ２及び外部入力信号Ｓｘの状態に応じて入出力
信号Ｓ３を切り替える。

【０００９】次に、切替制御回路３の構成及び動作につ
いて説明する。図２に本実施例における切替制御回路３
の構成を、図３に本実施例における動作タイムチャート
を示す。本実施例における切替制御回路３は、図２に示
すように、外部入力信号Ｓｘの反転出力と制御部１から
出力される切替要求信号Ｃ１とを入力とするゲートＧ１
と、外部入力信号Ｓｘと制御部２から出力される切替要
求信号Ｃ２を入力とするゲートＧ２と、ゲートＧ１の出
力とゲートＧ２の出力を入力とするフリップフロップＦ
１、及びフリップフロップＦ１のＱ出力とＱ’出力によ
り制御される二つのスイッチ手段ＳＷ１，ＳＷ２で構成
されている。また、フリップフロップＦ１は表１に示し
た真理値表で示されるように動作する。

【００１０】

【表１】

【００１１】図３は外部入力信号Ｓｘにより制御部１か
ら制御部２へ切替要求が発生した場合のタイムチャート
図である。図３の時間Ｔ１０以前では、外部入力信号Ｓ
ｘの状態がＨｉｇｈレベルなので、被制御装置４のアク
セス権は制御部１にある。このため、制御部１，２のマ
イクロコンピュータの出力ポートＰｏを通じて切替制御
回路３に出力される切替要求信号Ｃ１はＬｏｗレベル、
切替要求信号Ｃ２はＨｉｇｈレベルとなっている。時間
Ｔ１０で外部入力信号Ｓｘの状態がＨｉｇｈレベルから
Ｌｏｗレベルに変化し、制御部１から制御部２へ切替要
求が発生する。この外部入力信号Ｓｘの状態変化は、制
御部１，２のマイクロコンピュータの入力ポートＰｉに
より常時、制御部１，２が監視しているので、制御部
１，２は時間Ｔ１０で外部入力信号Ｓｘの状態変化を認
識することができる。制御部１は外部入力信号Ｓｘの変
化により被制御装置４のアクセス権を制御部２へ明け渡
すため、切替要求信号Ｃ１をＬｏｗレベルからＨｉｇｈ
レベルに切り替える。つまり、切替要求信号Ｃ１をＯＦ
Ｆ状態にする（時間Ｔ１１）。制御部２は外部入力信号
Ｓｘの変化により被制御装置４のアクセス権が発生した
ため、切替要求信号Ｃ２はＨｉｇｈレベルからＬｏｗレ
ベルに変化する。つまり、切替要求信号Ｃ２をＯＮ状態
にする（時間Ｔ１２）。

【００１２】外部入力信号Ｓｘ及び切替要求信号Ｃ１，
Ｃ２が時間Ｔ１０〜Ｔ１２で上記のように変化した場
合、切替制御回路３は次のように動作する。 （ａ）時間Ｔ１０以前では、外部入力信号ＳｘがＨｉｇ
ｈレベル、切替要求信号Ｃ１がＬｏｗレベル、切替要求
信号Ｃ２がＨｉｇｈレベルなので、ゲートＧ１の出力
（フリップフロップＦ１のセット入力Ｓ）はＬｏｗレベ
ル、ゲートＧ２の出力（フリップフロップＦ１のリセッ
ト入力Ｒ）はＨｉｇｈレベルとなり、フリップフロップ
Ｆ１のＱ出力はＨｉｇｈレベル、フリップフロップＦ１
のＱ’出力はＬｏｗレベルとなり、入出力信号Ｓ１と入
出力信号Ｓ３を接続するスイッチＳＷ１がＯＮ、入出力
信号Ｓ２と入出力信号Ｓ３を接続するスイッチＳＷ２が
ＯＦＦとなり、入出力信号Ｓ３には入出力信号Ｓ１が接
続される。

【００１３】（ｂ）時間Ｔ１１では、外部入力信号Ｓｘ
がＬｏｗレベル、切替要求信号Ｃ１がＨｉｇｈレベル、
切替要求信号Ｃ２がＨｉｇｈレベルなので、ゲートＧ１
の出力（フリップフロップＦ１のセット入力Ｓ）はＨｉ
ｇｈレベル、ゲートＧ２の出力（フリップフロップＦ１
のリセット入力Ｒ）はＨｉｇｈレベルとなり、フリップ
フロップＦ１のＱ出力及びＱ’出力は変化しないので、
入出力信号Ｓ３には入出力信号Ｓ１が接続されたままで
ある。

【００１４】（ｃ）時間Ｔ１２では、外部入力信号Ｓｘ
がＬｏｗレベル、切替要求信号Ｃ１がＨｉｇｈレベル、
切替要求信号Ｃ２がＬｏｗレベルなので、ゲートＧ１の
出力（フリップフロップＦ１のセット入力Ｓ）はＨｉｇ
ｈレベル、ゲートＧ２の出力（フリップフロップＦ１の
リセット入力Ｒ）はＬｏｗレベルとなり、フリップフロ
ップＦ１のＱ出力はＬｏｗレベル、フリップフロップＦ
１のＱ’出力はＨｉｇｈレベルとなり、入出力信号Ｓ１
と入出力信号Ｓ３を接続するスイッチＳＷ１がＯＦＦ、
入出力信号Ｓ２と入出力信号Ｓ３を接続するスイッチＳ
Ｗ２がＯＮとなり、入出力信号Ｓ３には入出力信号Ｓ２
が接続される。

【００１５】つまり、被制御装置４のアクセス権がある
制御部からの切替要求信号に同期して切替制御回路３は
入出力信号Ｓ３を切り替えることができる。このような
構成を採ることにより、制御部１，２を監視又は切り替
えるための余分なマイクロコンピュータを使用しなくて
も、制御部用のマイクロコンピュータだけで二重化構成
を実現することができる。

【００１６】本発明の第２実施例の構成を図４に示す。
ここでは、本発明の付加的な構成について説明する。本
実施例のシステムは、マイクロコンピュータから出力さ
れる切替要求信号Ｃ１及びＣ２を所定時間ｔ０（制御部
１，２が被制御装置４をアクセスする最大時間）分遅ら
せて、遅延切替要求信号Ｃ１ｄ及びＣ２ｄを出力するデ
ィレイ回路５が新たに追加されている。本構成における
概要は、第１実施例とほぼ同じであるが、マイクロコン
ピュータから出力される切替要求信号Ｃ１，Ｃ２をディ
レイ回路５により所定時間ｔ０遅らせてから、入出力信
号Ｓ３を切り替える。切替制御回路３の構成は、図２に
示す通りであり、第１実施例と同じである。

【００１７】また、動作タイムチャートも図３におい
て、切替要求信号Ｃ１がＣ１ｄに、切替要求信号Ｃ２が
Ｃ２ｄになるだけで、切替制御回路３での動作は第１実
施例と同じになる。ただし、制御部から見ると、切替要
求信号をＯＮしてから所定時間ｔ０遅れて入出力信号Ｓ
３が切り替わることにより、例えば、図５のように外部
入力信号Ｓｘの状態変化時において、状態変化前の被制
御装置４のアクセス権がある制御部１が被制御装置４を
アクセスしている場合でも、外部入力信号Ｓｘの状態変
化から制御部１が被制御装置４をアクセスする最大時間
ｔ０以上遅れて入出力信号Ｓ３が切り替わるので、被制
御装置４のアクセス中に制御部１，２が切り替わること
がない。つまり、制御部１，２が切り替わった直後で
も、被制御装置４が中途半端な状態でなく、必ず被制御
装置４は初期状態で制御部が切り替わることになる。ま
た、切替直後の制御部が被制御装置４をイニシャルする
必要もなくなる。

【００１８】本発明の第３実施例の構成を図６に示す。
本実施例では、第１実施例の構成に加えて、マイクロコ
ンピュータの出力ポートＰｄから切替延長要求信号ｄ１
及びｄ２が出力され、切替制御回路３に新たに追加接続
されている。また、現在、切替制御回路３において、入
出力信号Ｓ３が選択している入出力信号Ｓ１又はＳ２の
選択状態を知らせる状態信号Ｓｙが切替制御回路３とマ
イクロコンピュータの入力ポートＰｙに新たに追加接続
されている。すなわち、本実施例における概要は第１実
施例に切替延長要求信号ｄ１，ｄ２及び状態信号Ｓｙを
追加することにより、外部入力信号Ｓｘの状態変化時に
おける、状態変化前の被制御装置４のアクセス権がある
制御部の被制御装置４のアクセス状態に応じて入出力信
号Ｓ３を切り替えるものである。

【００１９】ここで、切替延長要求信号ｄ１及びｄ２
は、通常Ｈｉｇｈレベル（切替延長要求信号ＯＦＦ）が
出力されているが、外部入力信号Ｓｘの変化時におい
て、状態変化前の被制御装置４のアクセス権がある制御
部が被制御装置４をアクセスしている場合には、被制御
装置４のアクセス権を被制御装置４のアクセスが終了す
るまで、切替制御回路３に対して被制御装置４のアクセ
ス権の延長要求をする場合のみ、Ｌｏｗレベル（切替延
長要求信号ＯＮ）が出力される。また、状態信号Ｓｙは
現在、入出力信号Ｓ３とＳ１が接続されている場合には
Ｈｉｇｈレベル、入出力信号Ｓ３とＳ２が接続されてい
る場合にはＬｏｗレベルが出力される。

【００２０】本実施例における切替制御回路３の構成を
図７に示す。この構成では、第１実施例（図２）の構成
に切替延長要求信号ｄ１及びｄ２が切替制御回路３の入
力として追加されており、その反転入力がそれぞれゲー
トＧ３及びゲートＧ４の入力となる。また、状態信号Ｓ
ｙが切替制御回路３の出力として追加され、フリップフ
ロップＦ３のＱ出力が状態信号Ｓｙとなる。

【００２１】図８は外部入力信号Ｓｘにより制御部１か
ら制御部２へ切替要求が発生したときに、制御部１が被
制御装置４をアクセスしている場合のタイムチャート図
である。時間Ｔ３０以前では外部入力信号Ｓｘの状態が
Ｈｉｇｈレベルなので、被制御装置４のアクセス権は制
御部１にある。このため、制御部１のマイクロコンピュ
ータの出力ポートＰｏを通じて切替制御回路３に出力さ
れる切替要求信号Ｃ１はＬｏｗレベル、Ｃ２はＨｉｇｈ
レベルとなっている。また、切替延長要求信号ｄ１及び
ｄ２は通常レベルのＨｉｇｈレベル（切替延長要求信号
ＯＦＦ）となっている。

【００２２】時間Ｔ３０で外部入力信号Ｓｘの状態がＨ
ｉｇｈレベルからＬｏｗレベルに変化し、制御部１から
制御部２へ切替要求が発生する。この外部入力信号Ｓｘ
の状態変化は、制御部のマイクロコンピュータの入力ポ
ートＰｉにより常時、制御部が監視しているので、制御
部は時間Ｔ３０で外部入力信号Ｓｘの状態変化を認識す
ることができる。このとき、制御部１は被制御装置４の
アクセス中なので、切替制御回路３に対して被制御装置
４のアクセス権の延長要求（ＯＮ）を発生するため、切
替延長要求信号ｄ１をＨｉｇｈレベルからＬｏｗレベル
にする。つまり、切替延長要求信号ｄ１をＯＮにする
（時間Ｔ３１）。制御部２は外部入力信号Ｓｘにより被
制御装置４のアクセス権が発生したため、切替要求信号
Ｃ２をＨｉｇｈレベルからＬｏｗレベルにする。つま
り、切替要求信号Ｃ２をＯＮ状態にする（時間Ｔ３
２）。その後、制御部２は被制御装置４のアクセス権が
制御部２の側に移行したかどうかをマイクロコンピュー
タの入力ポートＰｙにて確認する。時間Ｔ３３では状態
信号ＳｙがＨｉｇｈレベルなので、被制御装置４のアク
セス権は制御部１のままである。したがって、制御部２
は被制御装置４のアクセスを保留する（時間Ｔ３３）。
制御部１は被制御装置４のアクセスを終了した時点で、
切替延長要求信号ｄ１をＬｏｗレベルからＨｉｇｈレベ
ルにする。つまり、切替延長要求信号ｄ１をＯＦＦ状態
にする（時間Ｔ３４）。制御部２は状態信号ＳｙがＬｏ
ｗレベルになったことで、被制御装置４のアクセス権が
制御部２の側に移行したことを認識する（時間Ｔ３
４）。時間Ｔ３０〜Ｔ３４での上記のような信号の変化
に対する切替制御回路３の動作は、次の通りである。

【００２３】（ａ）時間Ｔ３０以前では、外部入力信号
ＳｘがＨｉｇｈレベル、切替要求信号Ｃ１がＬｏｗレベ
ル、Ｃ２がＨｉｇｈレベル、切替延長要求信号ｄ１がＨ
ｉｇｈレベル、ｄ２がＨｉｇｈレベルなので、ゲートＧ
３の出力（フリップフロップＦ３のセット入力Ｓ）はＬ
ｏｗレベル、ゲートＧ４の出力（フリップフロップＦ３
のリセット入力Ｒ）はＨｉｇｈレベルとなり、フリップ
フロップＦ３のＱ出力はＨｉｇｈレベル、フリップフロ
ップＦ３のＱ’出力はＬｏｗレベルとなり、入出力信号
Ｓ１と入出力信号Ｓ３を接続するスイッチＳＷ１がＯ
Ｎ、入出力信号Ｓ２と入出力信号Ｓ３を接続するスイッ
チＳＷ２がＯＦＦとなり、入出力信号Ｓ３には入出力信
号Ｓ１が接続されている。また、状態信号Ｓｙとして
は、Ｈｉｇｈレベルが出力される。

【００２４】（ｂ）時間Ｔ３１では、外部入力信号Ｓｘ
がＬｏｗレベル、切替要求信号Ｃ１がＬｏｗレベル、Ｃ
２がＨｉｇｈレベル、切替延長要求信号ｄ１がＬｏｗレ
ベル、ｄ２がＨｉｇｈレベルなので、ゲートＧ３の出力
（フリップフロップＦ３のセット入力Ｓ）はＨｉｇｈレ
ベル、ゲートＧ４の出力（フリップフロップＦ３のリセ
ット入力Ｒ）はＨｉｇｈレベルとなり、フリップフロッ
プＦ３のＱ出力はＨｉｇｈレベル、フリップフロップＦ
３のＱ’出力はＬｏｗレベルのままとなり、入出力信号
Ｓ３には入出力信号Ｓ１が接続されたままになる。ま
た、状態信号Ｓｙとしては、Ｈｉｇｈレベルが出力され
たままになる。

【００２５】（ｃ）時間Ｔ３２及びＴ３３では、外部入
力信号ＳｘがＬｏｗレベル、切替要求信号Ｃ１がＬｏｗ
レベル、Ｃ２がＬｏｗレベル、切替延長要求信号ｄ１が
Ｌｏｗレベル、ｄ２がＨｉｇｈレベルなので、ゲートＧ
３の出力（フリップフロップＦ３のセット入力Ｓ）はＨ
ｉｇｈレベル、ゲートＧ４の出力（フリップフロップＦ
３のリセット入力Ｒ）はＨｉｇｈレベルとなり、フリッ
プフロップＦ３のＱ出力はＨｉｇｈレベル、フリップフ
ロップＦ３のＱ’出力はＬｏｗレベルのままとなり、入
出力信号Ｓ３には入出力信号Ｓ１が接続されたままにな
る。また、状態信号ＳｙもＨｉｇｈレベルが出力された
ままになる。

【００２６】（ｄ）時間Ｔ３４では、外部入力信号Ｓｘ
がＬｏｗレベル、切替要求信号Ｃ１がＨｉｇｈレベル、
Ｃ２がＬｏｗレベル、切替延長要求信号ｄ１がＨｉｇｈ
レベル、ｄ２がＨｉｇｈレベルなので、ゲートＧ３の出
力（フリップフロップＦ３のセット入力Ｓ）はＨｉｇｈ
レベル、ゲートＧ４の出力（フリップフロップＦ３のリ
セット入力Ｒ）はＬｏｗレベルとなり、フリップフロッ
プＦ３のＱ出力はＬｏｗレベル、フリップフロップＦ３
のＱ’出力はＨｉｇｈレベルとなり、入出力信号Ｓ１と
入出力信号Ｓ３を接続するスイッチＳＷ１がＯＦＦ、入
出力信号Ｓ２と入出力信号Ｓ３を接続するスイッチＳＷ
２がＯＮとなり、入出力信号Ｓ３には入出力信号Ｓ２が
接続されている。また、状態信号ＳｙはＨｉｇｈレベル
からＬｏｗレベルに変化する。

【００２７】つまり、外部入力信号Ｓｘの状態変化時に
おいて、状態変化前の被制御装置４のアクセス権がある
制御部が被制御装置４をアクセスしている場合、被制御
装置４のアクセス中の制御部は切替制御回路３に対して
切替延長要求信号をＯＮすることにより、制御部は被制
御装置４に対する制御を終了するまで被制御装置４をア
クセスすることができる。その後、制御部は切替延長要
求信号をＯＦＦすることにより切替制御回路３に対して
被制御装置４のアクセスを終了したことを知らせ、切替
制御回路３はこのタイミングで入出力信号Ｓ３を切り替
えることができる。また、外部入力信号Ｓｘの状態変化
により被制御装置４のアクセス権が発生した制御部は、
切替制御回路３より出力される状態信号Ｓｙにて、切替
要求信号をＯＮしてから被制御装置４のアクセス権が移
行するまでの状態を知ることができる。

【００２８】図９は外部入力信号Ｓｘにより制御部１か
ら制御部２へ切替要求が発生したときに、制御部１が被
制御装置４をアクセスしていない場合のタイムチャート
図である。図９の時間Ｔ３６以前では、外部入力信号Ｓ
ｘの状態がＨｉｇｈレベルなので、被制御装置４のアク
セス権は制御部１にある。このため、制御部のマイクロ
コンピュータの出力ポートＰｏを通じて切替制御回路３
に出力される切替要求信号Ｃ１はＬｏｗレベル、Ｃ２は
Ｈｉｇｈレベルとなっている。また、切替延長要求信号
ｄ１及びｄ２は通常レベルのＨｉｇｈレベル（切替延長
要求信号ＯＦＦ）となっている。時間Ｔ３６で外部入力
信号Ｓｘの状態がＨｉｇｈレベルからＬｏｗレベルに変
化し、制御部１から制御部２へ切替要求が発生する。こ
の外部入力信号Ｓｘの状態変化は、制御部のマイクロコ
ンピュータの入力ポートＰｉにより、常時、制御部が監
視しているので、制御部は時間Ｔ３６で外部入力信号Ｓ
ｘの状態変化を認識することができる。

【００２９】このとき、制御部１は被制御装置４のアク
セスを行っていないので、切替延長要求信号ｄ１はＨｉ
ｇｈレベル（切替延長要求信号ＯＦＦ）のままである
（時間Ｔ３６）。制御部２は外部入力信号Ｓｘにより被
制御装置４のアクセス権が発生したため、切替要求信号
Ｃ２をＨｉｇｈレベルからＬｏｗレベル（切替要求信号
をＯＮ）にした時点（時間Ｔ３７）での切替制御回路３
の動作は、外部入力信号ＳｘがＬｏｗレベル、切替要求
信号Ｃ１がＨｉｇｈレベル、Ｃ２がＬｏｗレベル、切替
延長要求信号ｄ１がＨｉｇｈレベル、ｄ２がＨｉｇｈレ
ベルなので、ゲートＧ３の出力（フリップフロップＦ３
のセット入力Ｓ）はＨｉｇｈレベル、ゲートＧ４の出力
（フリップフロップＦ３のリセット入力Ｒ）はＬｏｗレ
ベルとなり、フリップフロップＦ３のＱ出力はＬｏｗレ
ベル、フリップフロップＦ３のＱ’出力はＨｉｇｈレベ
ルとなり、入出力信号Ｓ１と入出力信号Ｓ３を接続する
スイッチＳＷ１がＯＦＦ、入出力信号Ｓ２と入出力信号
Ｓ３を接続するスイッチＳＷ２がＯＮとなり、入出力信
号Ｓ３には入出力信号Ｓ２が接続される。また、状態信
号ＳｙはＨｉｇｈレベルからＬｏｗレベルに変化する。
つまり、外部入力信号Ｓｘの状態変化時において、状態
変化前の被制御装置４のアクセス権がある制御部が被制
御装置４をアクセスしていない場合、被制御装置４のア
クセス権が発生した制御部が切替要求信号をＯＮした時
点で入出力信号Ｓ３を切り替えることができる。このよ
うな構成により、外部入力信号Ｓｘの状態変化時におけ
る状態変化前の被制御装置４のアクセス権がある制御部
の被制御装置４のアクセス状態に応じて、入出力信号Ｓ
３を効率良く切り替えることができる。

【００３０】本発明の第４実施例の構成を図１０に示
す。本実施例は、第１実施例の構成に、お互いの制御部
１，２が被制御装置４のアクセス状態を確認又は相手側
の制御部に知らせることができる監視部６が新たに追加
されている。また、切替制御回路３の構成は、図２に示
した第１実施例と同じである。本構成における概要は、
第３実施例の切替延長要求信号ｄ１，ｄ２及び状態信号
Ｓｙを監視部６に置き換えることにより、状態変化前の
被制御装置４のアクセス権がある制御部の被制御装置４
のアクセス状態に応じて、制御部から切替制御回路３に
出力する切替要求信号のタイミングを変えるものであ
る。

【００３１】本実施例では、図１０に示すように、制御
部１の側のマイクロコンピュータの出力ポートＰｓと相
手側マイクロコンピュータの入力ポートＰｎとを接続
し、同様に、制御部２のマイクロコンピュータの出力ポ
ートＰｓと相手側マイクロコンピュータの入力ポートＰ
ｎとを接続することにより監視部６を構成している。こ
のマイクロコンピュータの出力ポートＰｓからの情報が
被制御装置４のアクセス状態に相当し、制御部が被制御
装置４をアクセスしていない場合にはＨｉｇｈレベル、
制御部が被制御装置４をアクセスしている場合にはＬｏ
ｗレベルとなる。図１１は制御部１及び２による被制御
装置４のアクセス状態を示している。図中、Ｐｓ＝Ｌは
制御部のポートＰｓがＬｏｗレベル、Ｐｓ＝Ｈは制御部
のポートＰｓがＨｉｇｈレベルであることを示す。

【００３２】図１２は外部入力信号Ｓｘにより制御部１
から制御部２へ切替要求が発生したときに、制御部１が
被制御装置４をアクセスしていない場合のタイムチャー
ト図である。図１２の時間Ｔ４２以前では外部入力信号
Ｓｘの状態がＨｉｇｈレベルなので、被制御装置４のア
クセス権は制御部１にある。時間Ｔ４０からＴ４１で
は、制御部１が被制御装置４の制御を行うため、被制御
装置４をアクセスした場合の監視部６の制御の様子を示
す。時間Ｔ４０で制御部１が被制御装置４をアクセスし
ている状態に設定するため、制御部１のポートＰｓをＬ
ｏｗレベル（Ｐｓ１＝Ｌ）にする。時間Ｔ４１で制御部
１が被制御装置４をアクセスしていない状態に設定する
ため、制御部１のポートＰｓをＨｉｇｈレベル（Ｐｓ１
＝Ｈ）にする。時間Ｔ４２で外部入力信号Ｓｘの状態が
ＨｉｇｈレベルからＬｏｗレベルに変化し、制御部１か
ら制御部２へ切替要求が発生する。この外部入力信号Ｓ
ｘの状態変化は、制御部のマイクロコンピュータの入力
ポートＰｉにより常時、制御部が監視しているので、制
御部は時間Ｔ４２で外部入力信号Ｓｘの状態変化を認識
することができる。制御部２は、時間Ｔ４４で入力ポー
トＰｎがＨｉｇｈレベル（Ｐｎ２＝Ｈ）なので、制御部
１が被制御装置４をアクセスしていないことを確認する
ことができる。このタイミングで、制御部２は切替要求
信号Ｃ２をＨｉｇｈレベルからＬｏｗレベル（切替要求
信号をＯＮ）にする（時間Ｔ４４）。以下、切替制御回
路３での動作は、第１実施例と同じになるので、省略す
る。

【００３３】図１３は外部入力信号Ｓｘにより制御部１
から制御部２へ切替要求が発生したときに、制御部１が
被制御装置４をアクセスしている場合のタイムチャート
図である。図１３の時間Ｔ５１以前では、外部入力信号
Ｓｘの状態がＨｉｇｈレベルなので、被制御装置４のア
クセス権は制御部１にある。時間Ｔ５０からＴ５４で
は、制御部１が被制御装置４の制御を行うため、被制御
装置４をアクセスした場合の監視部６の制御の様子を示
す。

【００３４】時間Ｔ５１で外部入力信号Ｓｘの状態がＨ
ｉｇｈレベルからＬｏｗレベルに変化し、制御部１から
制御部２へ切替要求が発生する。この外部入力信号Ｓｘ
の状態変化は、制御部のマイクロコンピュータの入力ポ
ートＰｉにより常時、制御部が監視しているので、制御
部は時間Ｔ５１で外部入力信号Ｓｘの状態変化を認識す
ることができる。時間Ｔ５０〜Ｔ５４の制御部２の入力
ポートＰｎがＬｏｗレベル（Ｐｎ２＝Ｌ）なので、制御
部２は入力ポートＰｎがＨｉｇｈレベル（Ｐｎ２＝Ｈ）
になるまで切替要求信号Ｃ２をＨｉｇｈレベル（切替要
求信号をＯＦＦ）のままで待つ。時間Ｔ５４で制御部１
は被制御装置４に対する制御を終了し、被制御装置４を
アクセスしていない状態に設定するため、実施例では制
御部１のポートＰｓをＨｉｇｈレベル（Ｐｓ１＝Ｈ）に
する。時間Ｔ５５で制御部２は、入力ポートＰｎがＨｉ
ｇｈレベル（Ｐｎ２＝Ｈ）なので、制御部１が被制御装
置４をアクセスを終了したことが確認できる。このタイ
ミングで、制御部２は切替要求信号Ｃ２をＨｉｇｈレベ
ルからＬｏｗレベル（切替要求信号をＯＮ）にする（時
間Ｔ５５）。切替制御回路３での動作は、上記実施例と
同じになるので、省略する。つまり、外部入力信号Ｓｘ
の状態変化時において、被制御装置４のアクセス権が発
生した制御部は、監視部６により状態変化前の被制御装
置４のアクセス権がある制御部のアクセス状態を確認す
ることができるので、切替要求信号をＯＮするタイミン
グを次のように変えることができる。 被制御装置４をアクセスしていない場合には、即座に
切替要求信号をＯＮ、 被制御装置４をアクセスしている場合には、被制御装
置４をアクセスが終了するまで、切替要求信号ＯＮを保
留する。

【００３５】このような構成により、外部入力信号Ｓｘ
の状態変化時における、状態変化前の被制御装置４のア
クセス権がある制御部の被制御装置４のアクセス状態に
おいて、入出力信号Ｓ３を効率良く切り替えることがで
きる。

【００３６】本発明の第５実施例の構成を図１４に示
す。本実施例は、請求項４の構成に、お互いの制御部が
図１５に記した切替待機状態を確認又は相手側の制御に
知らせることができる監視部６が新たに追加されてい
る。切替制御回路３の構成は、第１実施例（図２）と同
じである。本構成における概要は第４実施例と同様に、
状態変化前の被制御装置４のアクセス権がある制御部の
被制御装置４のアクセス状態に応じて、制御部から切替
制御回路３に出力する切替要求信号の状態変化時におけ
る、状態変化前の被制御装置４のアクセス権がある制御
部の動作状態が異常であると判断した場合に、入出力信
号Ｓ３を強制的に切り替えることができる。

【００３７】本実施例では、図１４に示すように、請求
項４の監視部６の構成に加えて、制御部１側のマイクロ
コンピュータの出力ポートＰｄと相手側制御部２のマイ
クロコンピュータの入力ポートＰｃとを接続し、同様
に、制御部２のマイクロコンピュータの出力ポートＰｄ
と相手側制御部１のマイクロコンピュータの入力ポート
Ｐｃとが新たに追加接続されている。このマイクロコン
ピュータの出力ポートＰｄからの情報が切替待機状態を
表すものであり、通常はＨｉｇｈレベル（初期状態）に
設定されており、制御部が入力ポートＰｉにて外部入力
信号Ｓｘの状態変化を認識した場合にはＬｏｗレベルと
なる。状態変化の認識後、所定時間ｔ０（制御部が被制
御装置４をアクセスする最大時間）以上経過した時点で
初期状態（Ｈｉｇｈレベル）に復帰させる。また、図１
５のＰｄ＝Ｈは制御部１又は２のポートＰｄがＨｉｇｈ
レベル、Ｐｄ＝Ｌは制御部１又は２のポートＰｄがＬｏ
ｗレベルの状態に相当することになる。入力ポートＰｎ
及び出力ポートＰｓについては、第４実施例と全く同じ
動作をするので、省略する。

【００３８】図１２は外部入力信号Ｓｘにより制御部１
から制御部２へ切替要求が発生したときに、制御部１が
被制御装置４をアクセスしていない場合（外部入力信号
Ｓｘの状態変化時における状態変化前の被制御装置４の
アクセス権がある制御部の動作状態が正常であると判断
した場合）のタイムチャート図である。図１２の時間Ｔ
４２以前では、外部入力信号Ｓｘの状態がＨｉｇｈレベ
ルなので、被制御装置４のアクセス権は制御部１にあ
る。時間Ｔ４０からＴ４１は制御部１が被制御装置４の
制御を行うため、被制御装置４をアクセスした場合の監
視部６の制御の様子を示す。時間Ｔ４０で被制御装置４
をアクセスしている状態に設定するため、制御部１のポ
ートＰｓをＬｏｗレベル（Ｐｓ１＝Ｌ）にする。時間Ｔ
４１で被制御装置４をアクセスしていない状態に設定す
るため、制御部１のポートＰｓをＨｉｇｈレベル（Ｐｓ
１＝Ｈ）にする。時間Ｔ４２で外部入力信号Ｓｘの状態
がＨｉｇｈレベルからＬｏｗレベルに変化し、制御部１
から制御部２へ切替要求が発生する。この外部入力信号
Ｓｘの状態変化は、制御部のマイクロコンピュータの入
力ポートＰｉにより常時、制御部が監視しているので、
制御部が正常に動作している場合には、時間Ｔ４２で外
部入力信号Ｓｘの状態変化を認識することができる。制
御部１及び制御部２は時間Ｔ４２で切替待機状態を外部
入力信号Ｓｘの状態変化を認識した状態に設定するた
め、制御部のポートＰｄをＬｏｗレベル（Ｐｄ＝Ｌ）に
する。制御部２は時間Ｔ４３で入力ポートＰｃがＬｏｗ
レベル（Ｐｃ＝Ｌ）なので、制御部１が外部入力信号Ｓ
ｘの状態変化を認識していることになり、制御部１が正
常に動作していると判断する。次に、制御部２は、時間
Ｔ４４で入力ポートＰｎがＨｉｇｈレベル（Ｐｎ１＝
Ｈ）なので、制御部１が被制御装置４をアクセスしてい
ないことを確認することができる。このタイミングで、
制御部２は切替要求信号Ｃ２をＨｉｇｈレベルからＬｏ
ｗレベル（切替要求信号をＯＮ）にする（時間Ｔ４
４）。以下、切替制御回路３での動作は、第１実施例と
同じになるので、省略する。時間Ｔ４５は、外部入力信
号Ｓｘの状態が変化した時間Ｔ４２からｔ０時間（制御
部が被制御装置４をアクセスする最大時間）以上経過し
た時点である。制御部１及び制御部２は、時間Ｔ４５で
切替待機状態を初期状態に設定するため、実施例では、
制御部のポートＰｄをＨｉｇｈレベル（Ｐｄ＝Ｈ）にす
る。

【００３９】図１３は外部入力信号Ｓｘにより制御部１
から制御部２へ切替要求が発生したときに、制御部１が
被制御装置４をアクセスしている場合（外部入力信号Ｓ
ｘの状態変化時における状態変化前の被制御装置４のア
クセス権がある制御部の動作状態が正常であると判断し
た場合）のタイムチャート図である。図１３の時間Ｔ５
１以前では、外部入力信号Ｓｘの状態がＨｉｇｈレベル
なので、被制御装置４のアクセス権は制御部１にある。
時間Ｔ５０からＴ５４は制御部１が被制御装置４の制御
を行うため、被制御装置４をアクセスした場合の監視部
６の制御の様子を示す。時間Ｔ５１で外部入力信号Ｓｘ
の状態がＨｉｇｈレベルからＬｏｗレベルに変化し、制
御部１から制御部２へ切替要求が発生する。この外部入
力信号Ｓｘの状態変化は、制御部のマイクロコンピュー
タの入力ポートＰｉにより常時、制御部が監視している
ので、制御部が正常に動作している場合には時間Ｔ５１
で外部入力信号Ｓｘの状態変化を認識することができ
る。制御部１及び制御部２は時間Ｔ５２で切替待機状態
を外部入力信号Ｓｘの状態変化を認識した状態に設定す
るため、制御部のポートＰｄをＬｏｗレベル（Ｐｄ＝
Ｌ）にする。制御部２は時間Ｔ５２で入力ポートＰｃが
Ｌｏｗレベル（Ｐｃ＝Ｌ）なので、制御部１が外部入力
信号Ｓｘの状態変化を認識していることになり、制御部
１が正常に動作していると判断する。時間Ｔ５０〜Ｔ５
４では、制御部２の入力ポートＰｎがＬｏｗレベル（Ｐ
ｎ２＝Ｌ）なので、制御部２は入力ポートＰｎがＨｉｇ
ｈレベルで（Ｐｎ２＝Ｈ）になるまで切替要求信号Ｃ２
をＨｉｇｈレベル（切替要求信号をＯＦＦ）のままで待
つ。時間Ｔ５４で制御部１は被制御装置４に対する制御
を終了し、被制御装置４をアクセスしていない状態に設
定するため、制御部１のポートＰｓをＨｉｇｈレベル
（Ｐｓ１＝Ｈ）にする。時間Ｔ５５で制御部２は、入力
ポートＰｎがＨｉｇｈレベル（Ｐｎ２＝Ｈ）なので、制
御部１が被制御装置４のアクセスを終了したことを確認
できる。このタイミングで制御部２は切替要求信号Ｃ２
をＨｉｇｈレベルからＬｏｗレベル（切替要求信号をＯ
Ｎ）にする（時間Ｔ５５）。以下、切替制御回路３での
動作は第１実施例と同じになるので、省略する。時間Ｔ
５６は、外部入力信号Ｓｘの状態が変化した時間Ｔ５１
からｔ０時間（制御部が被制御装置４をアクセスする最
大時間）以上経過した時点である。制御部１及び制御部
２は、時間Ｔ５６で切替待機状態を初期状態に設定する
ため、制御部のポートＰｄをＨｉｇｈレベルにする。

【００４０】図１６は外部入力信号Ｓｘにより制御部１
から制御部２へ切替要求が発生したときに、制御部１が
被制御装置４をアクセスしていない場合（外部入力信号
Ｓｘの状態変化時における状態変化前の被制御装置４の
アクセス権がある制御部の動作状態が異常であると判断
した場合）のタイムチャート図である。図１６の時間Ｔ
６０からＴ６３までは外部入力信号Ｓｘの状態がＨｉｇ
ｈレベルなので、被制御装置４のアクセス権は制御部１
にある。時間Ｔ６３で外部入力信号Ｓｘの状態がＨｉｇ
ｈレベルからＬｏｗレベルに変化し、制御部１から制御
部２へ切替要求が発生する。この外部入力信号Ｓｘの状
態変化は、制御部のマイクロコンピュータの入力ポート
Ｐｉにより常時、制御部が監視しているので、制御部が
正常に動作している場合には、時間Ｔ６３で外部入力信
号Ｓｘの状態変化を認識することができる。制御部２は
時間Ｔ６３で、正常に動作しているので、切替待機状態
を外部入力信号Ｓｘの状態変化を認識した状態に設定す
ることができ、制御部２のポートＰｄをＬｏｗレベル
（Ｐｄ２＝Ｌ）にする。制御部１は時間Ｔ６３で動作異
常なので、切替待機状態を外部入力信号Ｓｘの状態変化
を認識した状態に設定することができず、切替待機状態
は初期状態のままであり、制御部１のポートＰｄはＨｉ
ｇｈレベル（Ｐｄ１＝Ｈ）のままである。制御部２は時
間Ｔ６４で入力ポートＰｃがＨｉｇｈレベル（Ｐｃ２＝
Ｈ）なので、制御部１が外部入力信号Ｓｘの状態変化を
認識していないと判断し、この時点（時間Ｔ６４）から
最大ｔ０時間（制御部が被制御装置４をアクセスする最
大時間）の間、入力ポートＰｃがＬｏｗレベル（Ｐｃ１
＝Ｌ）になるまで待つ。時間Ｔ６５は、時間Ｔ６４から
所定時間ｔ０（制御部が被制御装置４をアクセスする最
大時間）以上経過した時点である。制御部２は、時間Ｔ
６５で入力ポートＰｃがＨｉｇｈレベル（Ｐｃ２＝Ｈ）
なので、制御部１が動作異常であると判断し、強制的に
入出力信号Ｓ３を切り替えるため、切替要求信号Ｃ２を
ＨｉｇｈレベルからＬｏｗレベル（切替要求信号をＯ
Ｎ）にする（時間Ｔ６５）。また、制御部２は時間Ｔ６
５で切替待機状態を初期状態に設定するため、制御部２
のポートＰｄをＨｉｇｈレベル（Ｐｄ２＝Ｈ）にする。
以下、切替制御回路３での動作は第１実施例と同じにな
るので、省略する。つまり、外部入力信号Ｓｘの状態変
化時において、被制御装置４のアクセス権が発生した制
御部が、状態変化前の被制御装置４のアクセス権がある
制御部が正常動作であるか又は動作異常であるかの判断
を行うことができるので、制御部が正常動作と判断した
場合には、被制御装置４のアクセス状態に応じて切替要
求信号をＯＮするタイミングを変えることができ、制御
部が動作異常と判断した場合には強制的に入出力信号Ｓ
３を切り替えることができる。

【００４１】本発明の第６実施例の構成を図１７に示
す。本実施例は、第１実施例の構成に加えて、お互いの
制御部が図１５に示した切替待機状態及び図１１に記し
たアクセス状態を確認又は相手側の制御部に知らせるこ
とができるメモリとしてＲＡＭ１３が新たに追加されて
いる。切替制御回路３の構成は、第１実施例（図２）と
同じである。本構成における概要は、第５実施例でマイ
クロコンピュータのポートＰｓ、Ｐｎ、Ｐｄ、Ｐｃによ
り行っていた監視部６の制御を、お互いの制御部がアク
セス可能なメモリ（ＲＡＭ１３）に置き換えものであ
る。図１８に実施例におけるＲＡＭ１３の構成を記す。
図１８において、切替待機状態の記憶エリアＡ０（制御
部１用）が第５実施例の制御部１のポートＰｄに、切替
待機状態の記憶エリアＡ１（制御部２用）が第５実施例
の制御部２のポートＰｄに、アクセス状態の記憶エリア
Ａ２（制御部１用）が第５実施例の制御部１のポートＰ
ｓに、アクセス状態の記憶エリアＡ３（制御部２用）が
第５実施例の制御部２のポートＰｓに、それぞれ相当す
る。

【００４２】また、本実施例では、第５実施例のＰｄ１
＝Ｈは切替待機状態の記憶エリアＡ０（制御部１用）が
１、Ｐｄ１＝Ｌは切替待機状態の記憶エリアＡ０（制御
部１用）が０、Ｐｄ２＝Ｈは切替待機状態の記憶エリア
Ａ１（制御部２用）が１、Ｐｄ２＝Ｌは切替待機状態の
記憶エリアＡ１（制御部２用）が０の状態に、それぞれ
相当する。また、第５実施例のＰｓ１＝Ｈはアクセス状
態の記憶エリアＡ２（制御部１用）が１、Ｐｓ１＝Ｌは
アクセス状態の記憶エリアＡ２（制御部１用）が０、Ｐ
ｓ２＝Ｈはアクセス状態の記憶エリアＡ３（制御部２
用）が１、Ｐｓ２＝Ｌはアクセス状態の記憶エリアＡ３
（制御部２用）が０の状態に、それぞれ相当することに
なる。

【００４３】以下、このＲＡＭ１３での制御及び動作方
法については、第５実施例において、制御部１，２のポ
ートＰｄ，ＰｓをＲＡＭ１３の記憶エリア、つまり、切
替待機状態の記憶エリアＡ０（制御部１用）、切替待機
状態の記憶エリアＡ１（制御部２用）、アクセス状態の
記憶エリアＡ２（制御部１用）、アクセス状態の記憶エ
リアＡ３（制御部２用）に置き換え、また、Ｐｄ１＝Ｈ
は切替待機状態の記憶エリアＡ０（制御部１用）が１、
Ｐｄ１＝Ｌは切替待機状態の記憶エリアＡ０（制御部１
用）が０、Ｐｄ２＝Ｈは切替待機状態の記憶エリアＡ１
（制御部２用）が１、Ｐｄ２＝Ｌは切替待機状態の記憶
エリアＡ１（制御部２用）が０の状態に、さらにまた、
Ｐｓ１＝Ｈはアクセス状態の記憶エリアＡ２（制御部１
用）が１、Ｐｓ１＝Ｌはアクセス状態の記憶エリアＡ２
（制御部１用）が０、Ｐｓ２＝Ｈはアクセス状態の記憶
エリアＡ３（制御部２用）が１、Ｐｓ２＝Ｌはアクセス
状態の記憶エリアＡ３（制御部２用）が０の状態に、そ
れぞれに置き換えた内容になるので、省略する。

【００４４】本発明の第７実施例の構成を図１９に示
す。本実施例では、上述の第６実施例の構成に加えて、
制御部１及び制御部２にそれぞれメモリ（ＲＡＭ１１及
びＲＡＭ１２）が追加されている。ＲＡＭ１１及びＲＡ
Ｍ１２は互いに独立しているメモリで、ＲＡＭ１１は制
御部１のみがアクセス可能で、制御部２からはアクセス
することができない。また、同様にＲＡＭ１２は制御部
２のみがアクセス可能で、制御部１からはアクセスする
ことができない構成になっている。

【００４５】図２０は図１９の被制御装置４に操作部４
１と、表示部４２を有する場合の実施例である。このシ
ステムの概要は、操作部４１からのキー入力データに基
づき、表示部４２にその内容（表示データ）を表示する
といったものである。上述の第１〜第６の各実施例で説
明したように、被制御装置４をアクセスすることができ
る制御部はどちらか一方である。ここでは、制御部１に
被制御装置４のアクセス権があり、制御部２は被制御装
置４をアクセスできない場合について、以下、述べるこ
とにする。

【００４６】まず、はじめに、制御部１での制御方法に
ついて述べる。制御ステップ＃１は、制御部１と操作部
４１の間の制御であり、操作部４１からのキー入力デー
タをＲＡＭ１１のＫＥＹ＿ＤＡＴ（キー入力データ）に
格納する。制御ステップ＃２では、制御部１はＲＡＭ１
１のＫＥＹ＿ＤＡＴをもとに表示データをＲＡＭ１１の
ＤＩＳ＿ＤＡＴ（表示データ）に格納する。制御ステッ
プ＃３は、制御部１と表示部４２の間の制御であり、表
示部４２にＲＡＭ１１のＤＩＳ＿ＤＡＴを転送する。以
上の制御ステップ＃１から制御ステップ＃３までの制御
を繰り返すことにより、前記システム概要を満足させる
ことができる。

【００４７】しかし、上述の第１〜第６の実施例の説明
からも分かるように、被制御装置４をアクセスできる制
御部は、外部入力信号Ｓｘの状態により、被制御装置４
のアクセス権がある制御部だけである。ここでは、被制
御装置４をアクセスできる制御部は制御部１であり、制
御部２は被制御装置４をアクセスできない。このため、
外部入力信号Ｓｘにより、制御部１から制御部２へ切替
要求が発生した場合、制御部２が前記制御ステップ＃１
から制御ステップ＃３までの制御を繰り返すことによ
り、状態変化前と同じ状態から被制御装置４を制御する
ためには、制御部２では、図２１に示すように、ＲＡＭ
１１にあるＫＥＹ＿ＤＡＴ及びＤＩＳ＿ＤＡＴと同じデ
ータがＲＡＭ１２にもなければならない。つまり、ここ
ではＫＥＹ＿ＤＡＴ及びＤＩＳ＿ＤＡＴが外部入力信号
Ｓｘの状態変化前と同じ状態から被制御装置４を制御す
るために最低限必要なデータとなる。そこで、ＲＡＭ１
１にあるＫＥＹ＿ＤＡＴ及びＤＩＳ＿ＤＡＴと同じデー
タをＲＡＭ１２にも格納するための手段として、図２０
のＲＡＭ１３を経由してＲＡＭ１２に格納する。

【００４８】具体的な手段を図２２をもとに説明する。
まず、キー入力データＫＥＹ＿ＤＡＴをＲＡＭ１２に格
納する手段として、制御部１は前記制御ステップ＃１に
おいて、操作部４１からのキー入力データをＲＡＭ１１
のＫＥＹ＿ＤＡＴに格納した後に、そのデータをＲＡＭ
１３のＫＥＹ＿ＤＡＴ３に格納し、さらに、ＲＡＭ１３
のＫＥＹ＿ＣＮＴを１（リクエスト）に設定する（＃１
ａ）。また、表示データＤＩＳ＿ＤＡＴをＲＡＭ１２に
格納する手段として、制御部１は前記制御ステップ＃２
において、操作部４１からの表示データをＲＡＭ１１の
ＤＩＳ＿ＤＡＴに格納した後に、そのデータをＲＡＭ１
３のＤＩＳ＿ＤＡＴ３に格納し、さらに、ＲＡＭ１３の
ＤＩＳ＿ＣＮＴを１（リクエスト）に設定する（＃２
ａ）。一方、制御部２ではＫＥＹ＿ＣＮＴに１（リクエ
スト）が設定されているので、ＫＥＹ＿ＤＡＴ３をＲＡ
Ｍ１２に転送し、ＫＥＹ＿ＣＮＴを０（クリア）に設定
する。同様に、ＤＩＳ＿ＣＮＴに１（リクエスト）が設
定されているので、ＤＩＳ＿ＤＡＴ３をＲＡＭ１２に転
送し、ＤＩＳ＿ＣＮＴを０（クリア）に設定する。つま
り、被制御装置４のアクセス権がある制御部１では、前
記制御ステップ＃１から制御ステップ＃３までの制御時
に、制御ステップ＃１ａ及び制御ステップ＃２ａを追加
し、被制御装置４のアクセス権が無い制御部２では、Ｋ
ＥＹ＿ＣＮＴ及びＤＩＳ＿ＣＮＴにリクエストが設定さ
れたときに、制御部１からのＫＥＹ＿ＤＡＴ３及びＤＩ
Ｓ＿ＤＡＴ３を制御部２のＲＡＭ１２に格納する制御を
実施することで、外部入力信号Ｓｘの状態変化後に被制
御装置４のアクセス権が発生した制御部が状態変化前と
同じ状態から被制御装置４を制御することができる。

【００４９】また、本実施例では、被制御装置４のアク
セス権がある制御部と、被制御装置４のアクセス権が無
い制御部では、制御方法（プログラム）が違うので、仮
にソフトウェア的なバグにより制御部が暴走した場合で
も、２つの制御部が同時に暴走することはない。

【００５０】次に、図２２のＲＡＭ１３の構成におい
て、制御部が暴走した場合のプロテクトエリアとして、
ＳＡＦ＿ＤＡＴというエリアが設けられており、任意の
データ（本実施例では１以外）を設定する。被制御装置
４のアクセス権が無い制御部は、ＲＡＭ１３のデータを
制御部のメモリに転送する前に、ＳＡＦ＿ＤＡＴエリア
のデータを確認し、任意のデータでない場合には制御部
のメモリに転送しない制御を被制御装置４のアクセス権
が無い制御部の制御に追加する。これがプロテクト処理
である。このプロテクト処理を追加することにより、仮
に、被制御装置４のアクセス権がある制御部だけが暴走
し、誤ってＲＡＭ１３のＫＥＹ＿ＣＮＴ及びＤＩＳ＿Ｃ
ＮＴに１（リクエスト）が設定された場合でも、被制御
装置４のアクセス権が無い制御部のメモリは破壊されな
い。つまり、本構成のように、制御部のメモリを互いに
独立させ、前記プロテクト処理を追加することにより、
暴走した制御部が正常な制御部のメモリを破壊すること
がなくなる。

【００５１】

【発明の効果】請求項１〜５の発明によれば、制御部を
監視又は切り替えるための余分なマイクロコンピュータ
を使用しなくても、制御部用のマイクロコンピュータだ
けで二重化構成を実現することができる。請求項１又は
２の発明によれば、制御の切替要求が発生したときの制
御部の被制御装置のアクセス状態に応じて、制御部を効
率良く切り替えることができる。請求項３又は４の発明
によれば、制御の切替え要求が発生したときの制御部の
動作状態に応じて、制御部を効率良く切り替えることが
できる。請求項５の発明によれば、ソフトウェア的なバ
グにより、二重化された制御部が同時に暴走することが
ない。また、暴走した制御部が正常に動作している制御
部のメモリを破壊することがない。

【図面の簡単な説明】

【図１】本発明の第１実施例の構成を示すブロック図で
ある。

【図２】本発明の第１実施例における切替制御回路の回
路図である。

【図３】本発明の第１実施例の動作説明図である。

【図４】本発明の第２実施例の構成を示すブロック図で
ある。

【図５】本発明の第２実施例の動作説明図である。

【図６】本発明の第３実施例の構成を示すブロック図で
ある。

【図７】本発明の第３実施例における切替制御回路の回
路図である。

【図８】本発明の第３実施例の第１の動作説明図であ
る。

【図９】本発明の第３実施例の第２の動作説明図であ
る。

【図１０】本発明の第４実施例の構成を示すブロック図
である。

【図１１】本発明の第４実施例の第１の動作説明図であ
る。

【図１２】本発明の第４実施例の第２の動作説明図であ
る。

【図１３】本発明の第４実施例の第３の動作説明図であ
る。

【図１４】本発明の第５実施例の構成を示すブロック図
である。

【図１５】本発明の第５実施例の第１の動作説明図であ
る。

【図１６】本発明の第５実施例の第２の動作説明図であ
る。

【図１７】本発明の第６実施例の構成を示すブロック図
である。

【図１８】本発明の第６実施例における共有メモリの構
成を示す説明図である。

【図１９】本発明の第７実施例の基本構成を示すブロッ
ク図である。

【図２０】本発明の第７実施例の具体的な構成を示すブ
ロック図である。

【図２１】本発明の第７実施例における個別メモリの構
成を示す説明図である。

【図２２】本発明の第７実施例におけるメモリ間転送の
内容を示す説明図である。

【図２３】第１の従来例の構成を示すブロック図であ
る。

【図２４】第２の従来例の構成を示すブロック図であ
る。

【符号の説明】

１ 第１の制御部 ２ 第２の制御部 ３ 切替制御回路 ４ 被制御装置

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 11/16 - 11/20 G05B 9/03

Claims (5)

(57)【特許請求の範囲】
1. 【請求項１】 第１及び第２の制御部と、第１の制御
   部の入出力信号と第２の制御部の入出力信号を切り替え
   るための切替制御回路と、切替制御回路で選択された第
   ３の入出力信号により制御可能な被制御装置とで構成さ
   れるシステムにおいて、外部入力信号の状態変化に応じ
   て第１又は第２の制御部から出力される切替要求信号に
   同期して第３の入出力信号を切り替えるように構成し、
   切替制御回路が第１及び第２のどちらの入出力信号を選
   択しているかを知らせる信号を第１及び第２の制御部に
   入力すると共に、第１及び第２の制御部から出力される
   切替延長要求信号を切替制御回路に入力し、外部入力信
   号の状態変化時における、状態変化前の被制御装置のア
   クセス権がある制御部の被制御装置に対するアクセス状
   態に応じて第３の入出力信号を切り替える時間を変化さ
   せる制御を行う手段を設けたことを特徴とする二重化さ
   れた制御システム。
2. 【請求項２】 第１及び第２の制御部と、第１の制御
   部の入出力信号と第２の制御部の入出力信号を切り替え
   るための切替制御回路と、切替制御回路で選択された第
   ３の入出力信号により制御可能な被制御装置とで構成さ
   れるシステムにおいて、外部入力信号の状態変化に応じ
   て第１又は第２の制御部から出力される切替要求信号に
   同期して第３の入出力信号を切り替えるように構成する
   と共に、外部入力信号の状態変化時における第１又は第
   ２の制御部の動作状態に合わせて切替要求信号を出力す
   るタイミングを変更する制御を行うために、互いの制御
   部が被制御装置をアクセスしているか否かを確認又は相
   手側の制御部に知らせることができる監視部を設けたこ
   とを特徴とする二重化された制御システム。
3. 【請求項３】 外部入力信号の状態変化時における状
   態変化前の被制御装置へのアクセス権を有する制御部の
   動作状態が異常であると判断した場合に第３の入出力信
   号を強制的に切り替えるために、制御部が外部入力信号
   の状態変化を認識したか否かを確認又は相手側の制御部
   に知らせる手段を前記監視部に追加したことを特徴とす
   る請求項２記載の二重化された制御システム。
4. 【請求項４】 互いの制御部がアクセス可能なメモリ
   を監視部に備えたことを特徴とする請求項３記載の二重
   化された制御システム。
5. 【請求項５】 第１の制御部のみがアクセス可能な第
   １のメモリと、第２の制御部のみがアクセス可能な第２
   のメモリとを備え、外部入力信号の状態変化後に被制御
   装置のアクセス権が発生した制御部が、状態変化前と同
   じ状態から被制御装置を制御するために最低限必要なデ
   ータを、被制御装置のアクセス権を有する制御部のメモ
   リから、アクセス権の無い制御部のメモリへ転送する手
   段を備えたことを特徴とする請求項４記載の二重化され
   た制御システム。