JP3733938B2

JP3733938B2 - Redundant system

Info

Publication number: JP3733938B2
Application number: JP2002244514A
Authority: JP
Inventors: 信康金川; 伸一朗山口; 直人宮崎; 直大糟谷
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2002-08-26
Filing date: 2002-08-26
Publication date: 2006-01-11
Anticipated expiration: 2016-10-29
Also published as: JP2003177935A

Description

【０００１】
【発明の属する技術分野】
本発明は高信頼システムにかかり、特に高信頼システム構成に不可欠な多数決回路，出力選択回路などの最終出力回路の高信頼化，高安全化，フェールセーフ化に関するものである。
【０００２】
【従来の技術】
システムの信頼性を向上させるためにシステムの構成要素（モジュール）を冗長化する方法が従来より広く用いられてきた。この方法では冗長化したモジュールの出力の中から正常な出力を選び出す最終出力回路が不可欠である。この最終出力回路としては多数決回路や選択回路などが用いられている。
【０００３】
また、最終出力回路として論理和回路を用い、危険側出力を真を表わす値（通常の２値論理ではＨ）で表現し、安全側出力を偽を表わす値（通常の２値論理ではＬ）で表現すれば、冗長化したモジュール全てが危険側出力を出したときのみシステムは危険側出力を出す。従って冗長化したモジュール全てが誤って危険側出力を出さない限りシステムは誤って危険側出力を出すことがなくフェールセーフ性をもたせることができる。特に危険側出力を交番信号，安全側出力をそれ以外の信号で表現することによりフェールセーフ性を著しく高めることができる。
システムが正しい出力を選び出すことができるかどうかは最終出力回路の動作にかかっており、この最終出力回路の信頼度がシステム全体の信頼度を左右する。従ってシステムの信頼性を向上させるためには、この最終出力回路の信頼度を確保することが重要である。
【０００４】
信頼性，安全性の拠り所である最終出力回路の信頼度を確保するために最終出力回路にテストパターンを入力して正常動作を確認したり、最終出力回路をフェールセーフな回路構成とする方法が従来から考えられている。
【０００５】
フェールセーフな論理積回路の構成としては、入力としての交番信号がクロック端子に印加される複数のＤ−フリップフロップ列により構成した論理積回路は危険側故障が極めて小さいので広く用いられている。
【０００６】
【発明が解決しようとする課題】
上記した従来技術の内、最終出力回路にテストパターンを入力する方法は、冗長化したモジュールが非同期に動作するシステムでは容易に実施でき、最終出力回路の正常動作を確認することができる。しかし、冗長化したモジュールが同期して動作するシステムでのこの方法の実現方法についてはさらに考慮が必要である。
【０００７】
冗長化したモジュールが同期して動作するシステムでは同期を維持するために、冗長化したモジュールが同期して同一の動作をしなければならない。従って冗長化したモジュールは常に同一の出力を最終出力回路に出力することになる。冗長化したモジュールの出力間に不一致が発生しても、多数決などの手法などにより正常な出力を得るのが、最終出力回路の本来の機能であるため、冗長化したモジュールは常に同一の出力しか出せないのでは最終出力回路の本来の機能についての十分な検査ができない。
【０００８】
仮に、出力に関する命令実行部分だけモジュールごとに異なる動作をさせ、他の命令実行部分は同一の動作をさせようとしても、それに至る分岐命令の部分で実行する命令ステップ数が異なってしまうため結果としてモジュール間の同期を乱すことになる。また、冗長化したモジュール内のバスの信号も比較する方式では、出力に関する命令実行部分が異なるので不一致となり正常に動作しない。
【０００９】
以上のような問題点を踏まえて、冗長化したモジュールが同期して動作するシステムにおいて、最終出力回路を検査する手段を提供することを本発明の第１の目的とする。
【００１０】
また冗長化したモジュールの出力を受け取る最終出力回路として論理和回路を用いた従来技術では論理和回路の故障さえ生じなければ、冗長化したモジュール全てが危険側出力を出さない限りシステムは危険側出力を出さないためシステムにフェールセーフ性を持たせられる大変優れた方法である。しかし本従来技術はさらに高い信頼性，安全性を追及するためには処理結果である出力に留まらず処理過程の正常性の保証についてもさらに考慮を加える必要がある。
【００１１】
そこで処理過程の正常性も保証するフェールセーフシステムを提供することを本発明の第２の目的とする。
【００１２】
さらに従来技術の内、入力としての交番信号がクロック端子に印加される複数のＤ−フリップフロップ列により構成した論理積回路は危険側故障が発生する確率が極めて小さいためフェールセーフＡＮＤと呼ばれている。しかしこの回路にもフェールアウト故障モード（危険側出力が出力される故障モード）は存在する。フェールセーフＡＮＤを構成するＤ−フリップフロップ列の内、最終段のＤ−フリップフロップのＣＬＫ端子入力がＱ出力端子に現れる故障モードが唯一のフェールアウト故障モードである。そこで、フェールアウト故障モードをなくしてフェールセーフ性をより高める方式を提供することを第３の目的とする。
【００１３】
【課題を解決するための手段】
上記第１の目的を達成するため本発明では、以下の手段を講じる。
【００１４】
（１−１）書き込んだデータが全てのモジュールから出力されるレジスタと、対応するモジュールのみから出力され、他のモジュールでは無視されるレジスタをモジュールの出力インタフェース回路に持たせる。
【００１５】
また上記第２の目的を達成するために、以下の手段を講じる。
【００１６】
（２−１）冗長化したモジュールの内部信号同士を比較器で比較チェックする。
【００１７】
（２−２）比較器は、冗長化したモジュールの内部信号同士が一致した場合には真を表わす信号を出力し、一致しない場合には偽を表わす信号を出力する。
【００１８】
（２−３）冗長化したモジュールの出力信号は、危険側出力を真を表わす信号で、安全側出力を偽を真を表わす信号で表現する。
【００１９】
（２−４）比較器の出力と冗長化したモジュールからの出力の論理積を出力とする。
また上記第３の目的を達成するために以下の手段を講じる。
【００２０】
（３−１）論理積回路を入力としての交番信号がクロック端子に印加される複数のＤ−フリップフロップ列により構成し、最終段のＤ−フリップフロップのクロック端子に印加される信号の周波数を論理積回路の後段に接続される回路の最高動作周波数よりも高くする。
【００２１】
さらに上記第２，第３の目的を相乗的に達成するために以下の手段を講じる。
（４−１）冗長化したモジュールの内部信号同士を比較器で比較チェックする。
【００２２】
（４−２）比較器は、冗長化したモジュールの内部信号同士が一致した場合には真を表わす信号として交番出力を出力し、一致しない場合には偽を表わす信号として交番しない信号を出力する。
【００２３】
（４−３）冗長化したモジュールの出力信号は、危険側出力を真を表わす信号すなわち交番する信号で、安全側出力を偽を真を表わす信号すなわち交番しない信号で表現する。
【００２４】
（４−４）論理積回路を入力としての交番信号がクロック端子に印加される複数のＤ−フリップフロップ列により構成し、比較器の出力を最終段のＤ−フリップフロップのクロック端子に印加し、比較器の出力の周波数を論理積回路の後段に接続される回路の最高動作周波数よりも高くする。
【００２５】
以上述べた手段（１−１）によれば、通常動作時には書き込んだデータが全てのモジュールから出力されるレジスタにデータを書き込めば全ての冗長化したモジュールから同一の出力が出される。万一モジュールの中のいずれかが障害により正常な出力を出せない場合には最終出力回路が正常な出力を選び出して正常動作を継続することができる。また、最終出力回路のテストのためには、対応するモジュールのみから出力され、他のモジュールでは無視されるレジスタにデータを書き込めば、冗長化したモジュールの内特定のモジュールのみ他とは異なる出力を出すことができるので、動作確認のためのテストパターンを最終出力回路に入力することができる。
【００２６】
また、手段（２−１）〜（２−４）によれば、冗長化したモジュールの全ての出力に危険側出力が現れても、出力を得るまでの途中経過を表わす冗長化したモジュールの内部信号同士も一致しなければ、システムは危険側出力を出さない。従って、出力を得るまでの計算過程で冗長化したモジュールで相次いで誤りが発生し、危険側出力を出した場合でも、計算過程での誤りによる不一致により比較器の出力は偽となるため、危険側出力は出ないことになる。従って、最終出力結果だけでなく処理過程の正常性も保証することができる。
【００２７】
さらに、手段（３−１）によれば、Ｄ−フリップフロップ列により構成された論理積回路で従来のフェールアウト故障モードに相当する故障が発生しても、本発明によれば故障により出力される信号の周波数が、論理積回路の次段以降に接続される回路の最高動作周波数より高いので、次段以降の回路が動作しないので危険側出力が出されない。従ってフェールセーフＡＮＤ回路のフェールアウト故障モードをなくすことができる。
【００２８】
手段（４−１）〜（４−４）によれば、手段（２−１）〜（２−４）と手段（３−１）の相乗効果が得られ、最終出力結果だけでなく処理過程の正常性も保証することができる上、フェールセーフＡＮＤ回路のフェールアウト故障モードをなくすことができる。
【００２９】
【発明の実施の形態】
実施例の説明に先だって、実施例の構成を以下に示す。
【００３０】
１．第１の目的（最終出力回路を検査する手段を提供すること）を達成するための実施例
２．第２の目的（処理過程の正常性も保証するフェールセーフシステムを提供すること）を達成するための実施例
３．第３の目的（フェールセーフＡＮＤのフェールアウト故障モードをなくすこと）を達成するための実施例
４．第２，第３の目的を相乗効果により達成するための実施例
以下図に従い本発明の各部の実施例について詳細な説明を加える。
【００３１】
＜１．第１の目的を達成するための実施例＞
図１は本発明の出力インタフェースを備えた冗長システムの構成である。冗長化したモジュール１１〜１ｎ（ｎ：モジュールの数）にはそれぞれ出力インタフェース２１〜２ｎを備え、出力３１〜３ｎを出す。なお、本発明は図に示すように冗長化したモジュール１１〜１ｎが同一のクロック２に従って同期して動作する冗長システムを対象にしている。出力３１〜３ｎは最終出力回路４に入力される。万一冗長化したモジュール１１〜１ｎのいずれかが障害により正常な出力を出せない場合には最終出力回路４が正常な出力を選び出して正常動作を継続することができる。正常な出力を選び出す最終出力回路４としては後述するように多数決回路４１，ＡＮＤ回路４２、あるいは中間値選択回路４３などがある。
【００３２】
図２はモジュール１ｉ（ｉ：モジュールの番号）の出力インタフェース２ｉの実施例をアドレスイメージで示したものである。出力インタフェース２ｉにはレジスタＯＵＴall ，ＯＵＴ1〜ＯＵＴnを備えている。出力インタフェース２ｉでは、全てのモジュール１１〜１ｎから出力が出されるレジスタＯＵＴall またはモジュール１ｉのみから出力が出されるレジスタＯＵＴi にデータが書き込まれたときに、書き込まれたデータに対応する出力３ｉが出される。例えば図３に示すように１番目のモジュール１１の出力インタフェース２１ではレジスタOUTallまたはＯＵＴ１にデータが書き込まれた時のみ書き込まれたデータに対応する出力３１が出される。
【００３３】
上記図１〜図３に示す実施例によれば、冗長化したモジュール１１〜１ｎに同一の命令を同期させて実行させながら、モジュールごとに異なる出力３１〜３ｎを得ることができ、動作確認のためのテストパターンを最終出力回路４に与えることができる。例えば、モジュール１１〜１ｎがレジスタＯＵＴi にデータを書き込んだ場合にはモジュール１ｉのみから書き込んだデータに相当する出力３ｉが出される。さらにモジュール１１〜１ｎがレジスタＯＵＴ１〜ＯＵＴｎにそれぞれ異なるデータを書き込んだ場合にはモジュール１１〜１ｎからそれぞれ異なる出力３１〜３ｎが出される。なお正常動作時にはモジュール１１〜１ｎがレジスタＯＵＴall にデータを書き込み、モジュール１１〜１ｎから書き込んだデータに相当する出力３１〜３ｎが出される。
【００３４】
図４，図５はモジュール１ｉの出力インタフェース２ｉの実施例をブロック図で示したものである。アドレスデコーダはアドレスバス１ｉ１の信号をデコードし、レジスタＯＵＴallまたはレジスタＯＵＴiに相当するアドレスのときだけ論理和２ｉ２に信号を出力し論理和２ｉ２の出力をＨにする。またさらにＲ／Ｗ＃信号との論理積２ｉ３をとり、レジスタＯＵＴallまたはレジスタＯＵＴiに相当するアドレスで、write アクセスの時のみラッチ信号２ｉ４をＨにする。ラッチ２ｉ５ではラッチ信号２ｉ４に従ってデータバス１ｉ２の信号をラッチする。図４の実施例ではラッチ２ｉ５でラッチしたデータをそのまま出力３ｉとしている。また図５では更にデジタル／アナログ変換器２ｉ６でアナログ化して出力３ｉとしている。出力インタフェース２ｉが図４の実施例に示すようにデジタル信号を出力するタイプの時には、最終出力回路４として後述する多数決回路４１，ＡＮＤ回路４２を使用すればよい。また出力インタフェース２ｉが図５の実施例に示すようにアナログ信号を出力するタイプの時には、最終出力回路４として後述する中間値選択回路４３を使用すればよい。
【００３５】
図６は最終出力回路４として多数決回路４１を用いた実施例である。３入力の多数決回路４１の内部構成を図７に、その正常動作時の真理値表を図８にそれぞれ示す。また例として多数決回路４１を構成する論理和４１１の出力が０固定故障（stuck-at-0故障）を起こした場合の真理値表を図９に示す。図９に示すように論理和４１１の出力の０固定故障の場合に正常動作と異なる入出力関係になるのはcase８の入力パターンの時のみである。従ってこの故障を検出するためには冗長化したモジュール１１〜１３がcase８の入力パターンに相当する出力３１〜３３を出せばよい。図１〜図５の実施例に示した本発明によれば、モジュール１１〜１３が個別に任意の出力３１〜３３を出せるので、case８に限らず全てのパターンの出力３１〜３３を出すことができる。従って本実施例によれば、例に挙げたような論理和４１１の出力の０固定故障に限らず、多数決回路４１のあらゆるモードの故障を検出することができる。
【００３６】
なお、本発明によらない場合には冗長化したモジュール１１〜１３が全て正常な場合、即ち図８に示す真理値表のcase1，2の入力しか通常は得られないので、多数決回路４１の故障を検出することができず、故障が潜在することになる。このように故障が潜在すると、冗長化したモジュール１１〜１３のいずれかが故障した場合にその故障を救済できなくなる。例えば論理和４１１の出力の０固定故障が発生しても、冗長化したモジュール１１〜１３が全て正常な場合には正常な時と変わらない出力を得ることができるが、モジュール１３の出力３３だけが何らかの原因でＨとなるべきところをＬとなった場合に、多数決回路４１の出力３もＨとなるべきところをＬとなり、正常動作ができなくなる。
【００３７】
図１０は最終出力回路４としてＡＮＤ回路４２を用いた実施例である。本実施例のように冗長化したモジュール１１，１２の出力３１，３２をＡＮＤ回路４２に入力しその出力３を得れば、モジュール１１，１２の出力３１，３２が共にＨの時のみ出力３がＨとなる。つまり、モジュール１１，１２の出力３１，３２のいずれかがＬならば出力３がＬとなる。従って、Ｌ出力を安全側の出力とすればフェールセーフなシステムを実現することができる。
【００３８】
ＡＮＤ回路４２の正常動作時の真理値表を図１１に、出力３２がそのまま出力３として出てしまう故障時の真理値表を図１２に示す。これはＡＮＤ回路４２内部の配線の短絡によって引き起こされる故障モードである。この故障の場合も、case３，４の入力パターンの時のみ故障を検出することができる。従ってこの故障を検出するためには冗長化したモジュール１１，１２がcase３，４の入力パターンに相当する出力３１，３２を出せばよい。図１〜図５の実施例に示した本発明によれば、モジュール１１，１２が個別に任意の出力３１，３２を出せるので、case３，４に限らず全てのパターンの出力３１，３２を出すことができる。従って本実施例によれば、例に挙げたような出力３２がそのまま出力３として出てしまう故障に限らず、ＡＮＤ回路４２のあらゆるモードの故障を検出することができる。
【００３９】
さらに図１３に示すようにＡＮＤ回路４２にフリップフロップから構成される回路を用いればフェールセーフにすることができる。この回路は図１４に示すように出力３１，３２両方に交番信号が現れたときのみ出力３に交番信号を出す。つまり、交番信号を真、それ以外の信号を偽とすれば論理積（ＡＮＤ）と同じ動作をすることがわかる。しかもこの回路自体の故障により誤って交番信号を出力する可能性が極めて低いのでフェールセーフＡＮＤと呼ばれている。
【００４０】
図１５は最終出力回路４として中間値選択回路４３を用いた実施例である。中間値選択回路４３は入力されたアナログ値の内の中間の値を選択して出力する回路である。モジュール１１〜１ｎが全て正常な場合には理論上は出力３１〜３ｎは同じ値が出力されるため、中間値選択回路４３の「入力されたアナログ値の内の中間の値を選択して出力する」機能を確認することができない。実際には出力３１〜３ｎにはデジタル値は同一であってもデジタル／アナログ変換器の変換誤差だけのバラツキが生じ、中間値選択回路４３はこのバラツキのある値の中から中間の値を選択して出力する。従って、一見するとこのバラツキを利用して中間値選択回路４３の「入力されたアナログ値の内の中間の値を選択して出力する」機能を確認することができるように見える。しかし、このバラツキは出力３をフィードバックして確認するためのアナログ／デジタル変換器の量子化誤差のために弁別が困難である。従って本発明により出力３１〜３ｎの内任意の出力を異なる値とすることにより中間値選択回路４３の機能を確認することができる。
【００４１】
図１６は本発明が提供する冗長システムの出力３を遮断する遮断スイッチ５を設けた実施例である。本実施例では本発明が提供する方法により最終出力回路４の異常を検出した場合には遮断スイッチ６を開放することにより出力を停止して、誤った出力を抑止することができる。
【００４２】
＜２．第２の目的を達成するための実施例＞
また図１０の実施例によれば、モジュール１１，１２を同期させて同一の動作をさせることができるので、図１７に示すようにモジュール１１，１２のデータバス１１１，１２１，アドレスバス１１２，１２２，コントロールバス１１３，１２３同士を比較器５で比較チェックすることにより、故障や障害による誤動作を早期に検出し、対応することができる。またこの場合、比較器５として発明者らが既に出願している特願平6−27664号のようなセルフチェッキング比較器を用いれば比較器自体の故障による検出漏れがなくなるので、誤り検出率が向上する。更に、発明者らが既に出願している特願平6−313492 号のようにモジュール１１，１２を同期させ、かつ動作タイミングを半クロックずらして動作させればモジュール１１，１２で同一の誤りが発生する確率が小さくなるので、誤り検出率がさらに向上する。なお、図１５に示すモジュール１１〜１ｎ内部のバス信号の比較チェックは図１０に限らず図１〜図９に示す各実施例に同様にして適用できる。
【００４３】
さらに図１７の実施例を発展させて、モジュール１１，１２の出力３１，３２に加えて比較器５の出力３３をＡＮＤ回路４２に入力した実施例を図１８に示す。本実施例によればモジュール１１，１２のデータバス１１１，１２１，アドレスバス１１２，１２２，コントロールバス１１３，１２３が一致し、かつモジュール１１，１２の出力３１，３２が現れた時のみＡＮＤ回路４２は出力３を出す。つまり、モジュール１１，１２の出力３１，３２だけでなく、出力に致るまでの処理の途中結果が一致した時のみ出力３を出すことになる。本実施例により出力の比較照合が多段になるためにより安全性，フェールセーフ性が増すとともに、処理途中での不一致が検出できるため誤りの早期検出が可能となる。
【００４４】
またＡＮＤ回路４２を図１９に示すようにフリップフロップから構成される回路を用いればＡＮＤ回路自体をフェールセーフにすることができる。
【００４５】
＜３．第３の目的を達成するための実施例＞
図２０はフェールセーフＡＮＤ回路のフェールアウト故障モードをなくす実施例である。本実施例ではフェールセーフＡＮＤ回路を構成するフリップフロップの内最終段のＦＦ１のクロック入力に、フェールセーフＡＮＤ回路の後段の回路７の最高動作周波数ｆｃよりも高い周波数ｆ３の信号を印加している。
【００４６】
この回路は図２１に示すように、正常時にはｆ１，ｆ２，ｆ３の全てに交番信号が入力されたときのみ出力３に交番信号を出力する回路で、この動作は普通のフェールセーフＡＮＤ回路と同一である。
【００４７】
フェールセーフＡＮＤの唯一のフェールアウト故障モードは、フリップフロップのクロック入力がそのままＱ出力に現れてしまう故障モードである。このようなモードの故障が最終段のフリップフロップで発生した場合には、最終段のフリップフロップに交番信号が入力されれば図２２に示すように他の入力には関係なく交番信号が出力３より出力されてしまう。この時、出力３の周波数はｆ３となり、フェールセーフＡＮＤ回路の後段の回路７の最高動作周波数ｆｃよりも高くなる。従って図２３に示すように、回路７は最高動作周波数ｆｃよりも高い周波数では動作できないため回路７の出力端子３０には出力が現れない。従って、最終段のフリップフロップでクロック入力がそのままＱ出力に現れてしまう故障が発生しても、誤って危険側出力が出力されることがないのでフェールセーフ性を持たせることができる。
【００４８】
図２４はフェールセーフＡＮＤ回路を構成するフリップフロップのＣＬＫ入力がＱ出力より出てしまう故障がそれぞれのフリップフロップで発生した場合に観測される出力３と出力３を停止させるための対策をまとめたものである。図２４よりわかるように出力３をモニタすることにより故障を検出することができる。さらに本発明が提供する図１０に示す実施例によれば、効果的にテストパターンを注入できるので故障の潜在を防止することができる。一方故障時に出力３を停止させるための対策はＦＦ１，ＦＦ２，ＦＦ３と後段になるに従って減ってくる。特に最終段のＦＦ３では本実施例の他にはｆ３入力を停止するほかは故障時に出力３を停止させるための手段がない。つまり本実施例がなければ、万一ＦＦ３の他に何らかの原因でｆ３が連続して出力されてしまう故障が発生した場合には、出力３は連続して出力されてしまう。従って、ＦＦ３とｆ３を生成する回路の故障、つまり２重故障によりシステムは危険側出力を出しフェールアウトとなる。これに対してＦＦ１，ＦＦ２はそれぞれ４重故障，３重故障が発生して初めてフェールアウトとなる。フェールアウトが人命に関わるような用途に用いられるシステムでは、安全のために多重故障が発生してもフェールアウトとならないように考慮する必要がある。そこで本実施例によれば、従来２重故障によりフェールアウトとなってしまっていたところを、出力を停止してフェールアウトとなることを防止することができる。
【００４９】
図２５はさらにフェールセーフＡＮＤ回路の全てのフリップフロップのクロック入力がＱ出力より出てしまうモードの故障の影響を防止する実施例である。本実施例ではフリップフロップのクロック端子に入力されるフェールセーフＡＮＤ回路の入力周波数ｆ１，ｆ２，ｆ３の全てをフェールセーフＡＮＤ回路の後段の回路７の最高動作周波数ｆｃよりも高くしている。本実施例によれば、フェールセーフＡＮＤ回路を構成するフリップフロップのうちどのフリップフロップでクロック入力がＱ出力より出てしまうモードの故障が発生した場合でも、出力３の出力は後段の回路７の最高動作周波数ｆｃよりも周波数が高いため回路７は動作せずに出力３０に信号が現れない。従って本実施例によればフェールセーフAND回路の全てのフリップフロップのクロック入力がＱ出力より出てしまうモードの故障の影響を防止することができることがわかる。
【００５０】
ただし、入力周波数ｆ１，ｆ２，ｆ３の全てが回路７の最高動作周波数ｆｃよりもはるかに高い場合には、フェールセーフＡＮＤ回路で故障が発生していない正常時の出力も最高動作周波数ｆｃよりも高い周波数となってしまう。そこで、例えばｆ１，ｆ２をｆｃ＜ｆ１＜２ｆｃ，ｆｃ＜ｆ２＜２ｆｃとなるように選定すれば、図２１に示すようにｆ１／２，ｆ２／２オーダーの出力が得られるため、図２６に示すように正常時の出力３は回路７の最高動作周波数ｆｃより低く、異常時の出力３は回路７の最高動作周波数ｆｃより高くなる。従って、本実施例によればフェールセーフＡＮＤ回路の全てのフリップフロップのクロック入力がＱ出力より出てしまうモードの故障の影響を防止することができる。
【００５１】
以上述べたように、図２５の実施例によればフェールセーフＡＮＤ回路の後段の回路７が急峻な高域での減衰特性を有していればフェールセーフＡＮＤ回路の全てのフリップフロップのクロック入力がＱ出力より出てしまうモードの故障の影響を防止することができる。一方図２０の実施例では最終段のフリップフロップのクロック入力がＱ出力より出てしまうモードの故障の影響を防止するのに留まるが、フェールセーフＡＮＤ回路の後段の回路７には急峻な高域での減衰特性は要求されず、通常の回路の周波数特性で実現できるので特にフィルターを付加することは不要である。
【００５２】
図２０〜図２６に示す実施例を実現する際には回路７の最高動作周波数ｆｃより高い周波数の信号が必要となる。この信号の生成方法としては、以下の通り考えられる。
【００５３】
(1) 冗長化した各モジュールの生存通知信号
(2) クロック信号
(3) 特開平7−234801 号によるセルフチェッキング比較器
これらの方式の内、(3）による実施例について以下説明する。
【００５４】
なお、図２０〜図２６の実施例では簡単のために３入力のフェールセーフAND回路について説明したが、一般にＮ３入力のフェールセーフＡＮＤ回路についても同様に実現が可能であることはいうまでもない。
【００５５】
＜４．第２，第３の目的を相乗効果により達成するための実施例＞
図２７に本発明の第２の目的である処理過程の正常性も保証するフェールセーフシステムを提供することと、本発明の第３の目的であるフェールセーフＡＮＤのフェールアウト故障モードをなくすことを相乗効果により達成するための実施例を示す。本実施例の構成は基本的には図１８の構成に示す構成と同じである。図２７の実施例では、通常の比較器の代わりにセルフチェッキング比較器５′を、通常のＡＮＤ回路の代わりに図２８に示すようにフリップフロップから構成され、セルフチェッキング比較器５′からの出力３３を入力するフリップフロップ（ＦＦ３）を最終段としたフェールセーフＡＮＤ回路を用い、さらにフェールセーフＡＮＤ回路の出力は出力駆動回路７１を経て出力３０となっている。
【００５６】
この構成は出力３１，３２，３３の全てに交番信号が現れたときのみ出力３に交番信号を出すためフェールセーフな構成となっている。
【００５７】
なお、この構成を実現するためには、セルフチェッキング比較器５′もモジュール１１，１２のデータバス１１１，１２１，アドレスバス１１２，１２２，コントロールバス１１３，１２３が一致しているときには出力３３として交番信号を出力するものでなければならない。先に述べたように発明者らが既に出願している特願平6−27664号のようなセルフチェッキング比較器は、比較対象の信号が一致し、かつ比較器自身が正常なときにのみ出力３３として交番信号を出力するのでこの条件に合致している。
【００５８】
ここで、フェールセーフＡＮＤ回路の入出力の正常時の周波数関係を考えて見る。セルフチェッキング比較器５′の出力３３はバスサイクルごとに反転するのでバスサイクルと同じ周波数（通常数ＭＨｚ〜数百ＭＨｚ程度）となる。一方、モジュール１１，１２の出力３１，３２はソフトウェアによる出力インタフェース２１〜２ｎへのアクセスによって反転させるのでセルフチェッキング比較器５の出力３３と比べるとはるかに低い周波数（通常数百Ｈｚ〜数ｋＨｚ程度）となる。また、フェールセーフＡＮＤの出力はセルフチェッキング比較器５の出力３３，モジュール１１，１２の出力３１，３２の全ての信号の立上りが一巡して反転するので、モジュール１１，１４の出力３１，３２の１／２の周波数となる。なお、図２９のようにフェールセーフＡＮＤ回路の出力が接続されている出力駆動回路７の最高動作周波数ｆｃは電力用素子で構成した場合は通常１００Ｈｚ程度から数ｋＨｚ程度である。
【００５９】
続いて、先に述べたモードの故障が発生した場合を考えて見る。この場合フェールセーフＡＮＤの出力３にはセルフチェッキング比較器５の出力３３がそのまま現れる。従ってフェールセーフＡＮＤの出力３は図２９に示すように出力駆動回路７１の帯域を大きく逸脱する。従ってフェールアウトモードの故障が発生しても出力３０に信号が現れないためにフェールセーフとなる。
【００６０】
【発明の効果】
以上述べたように本発明によれば、最終出力回路のテストを容易にして早期の故障発見が可能となる。さらにモジュールからの出力の照合に、モジュール内部の信号線の比較チェックも加えることにより誤り検出の早期化，誤り検出率向上が可能となる。またさらにフェールセーフ回路のフェールアウトを防ぎ、システムのフェールセーフ性，安全性を著しく向上させることができる。
【図面の簡単な説明】
【図１】本発明の基本的な実施例。
【図２】出力インタフェース２ｉの構成（レジスタイメージ）。
【図３】出力インタフェース２１の構成（レジスタイメージ）。
【図４】出力インタフェース２ｉの構成。
【図５】出力インタフェース２ｉの構成（アナログ出力）。
【図６】多数決回路を使用した実施例。
【図７】多数決回路の構成。
【図８】多数決回路の入出力真理値表（正常時）。
【図９】多数決回路の入出力真理値表（故障時）。
【図１０】ＡＮＤ回路を使用した実施例。
【図１１】ＡＮＤ回路の入出力真理値表（正常時）。
【図１２】ＡＮＤ回路の入出力真理値表（故障時）。
【図１３】フェールセーフＡＮＤ回路を使用した実施例。
【図１４】フェールセーフＡＮＤ回路の動作（正常時）。
【図１５】中間値選択回路を使用した実施例。
【図１６】遮断スイッチ６を設けた実施例。
【図１７】バスを比較する実施例。
【図１８】比較器の出力をＡＮＤ回路に入力した実施例。
【図１９】フェールセーフＡＮＤ回路を使用した実施例。
【図２０】フェールセーフＡＮＤ回路のフェールアウト故障を考慮した実施例。
【図２１】フェールセーフＡＮＤ回路の動作（正常時）。
【図２２】フェールセーフＡＮＤ回路の動作（故障時）。
【図２３】フェールセーフＡＮＤ回路入出力信号の周波数関係。
【図２４】故障個所とその対策。
【図２５】フェールセーフＡＮＤ回路のフェールアウト故障を考慮した実施例。
【図２６】フェールセーフＡＮＤ回路入出力信号の周波数関係。
【図２７】バスを比較し、かつフェールセーフＡＮＤ回路のフェールアウト故障を考慮した実施例。
【図２８】フェールセーフＡＮＤ回路への信号接続。
【図２９】フェールセーフＡＮＤ回路入出力信号の周波数関係。
【符号の説明】
３…出力、４…最終出力回路、５…比較器、６…遮断スイッチ、１１〜１ｎ…モジュール、２１〜２ｎ…出力インタフェース、３１〜３ｎ…（モジュール１１〜１ｎの）出力、４１…多数決回路、４２…ＡＮＤ回路、４３…中間値選択回路。[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a high-reliability system, and particularly to high reliability, high safety, and fail-safety of final output circuits such as a majority circuit and an output selection circuit that are indispensable for a high-reliability system configuration.
[0002]
[Prior art]
In order to improve system reliability, a method of making system components (modules) redundant has been widely used. In this method, a final output circuit that selects a normal output from the outputs of the redundant modules is indispensable. As this final output circuit, a majority circuit, a selection circuit, or the like is used.
[0003]
Further, a logical sum circuit is used as the final output circuit, the dangerous side output is represented by a value representing true (H in normal binary logic), and the safe side output is represented by false (L in normal binary logic). In other words, the system outputs a dangerous output only when all redundant modules output a dangerous output. Therefore, as long as all redundant modules do not mistakenly output a dangerous output, the system does not erroneously output a dangerous output and can provide fail-safety. In particular, the fail-safety can be remarkably enhanced by expressing the dangerous output as an alternating signal and the safe output as other signals.
Whether the system can select a correct output depends on the operation of the final output circuit, and the reliability of the final output circuit determines the reliability of the entire system. Therefore, in order to improve the reliability of the system, it is important to ensure the reliability of this final output circuit.
[0004]
In order to ensure the reliability of the final output circuit, which is the basis of reliability and safety, there is a method of inputting a test pattern to the final output circuit to check normal operation or making the final output circuit a fail-safe circuit configuration. Conventionally considered.
[0005]
As a configuration of a fail-safe AND circuit, an AND circuit constituted by a plurality of D-flip-flop trains to which an alternating signal as an input is applied to a clock terminal is widely used because a dangerous failure is extremely small.
[0006]
[Problems to be solved by the invention]
Of the conventional techniques described above, the method of inputting a test pattern to the final output circuit can be easily implemented in a system in which redundant modules operate asynchronously, and the normal operation of the final output circuit can be confirmed. However, it is necessary to further consider how to implement this method in a system in which redundant modules operate synchronously.
[0007]
In a system in which redundant modules operate synchronously, the redundant modules must perform the same operation synchronously in order to maintain synchronization. Therefore, the redundant module always outputs the same output to the final output circuit. Even if a mismatch occurs between the outputs of the redundant modules, it is the original function of the final output circuit that obtains a normal output by means such as majority voting, so the redundant modules always have the same output. If it cannot be output, sufficient inspection of the original function of the final output circuit cannot be performed.
[0008]
Even if the instruction execution part related to the output is operated differently for each module and the other instruction execution part tries to perform the same operation, the number of instruction steps executed in the part of the branch instruction leading to it will differ. It will disturb the synchronization between modules. Also, in the method of comparing the bus signals in the redundant modules, the instruction execution portions relating to the output are different, so they do not match and do not operate normally.
[0009]
In view of the above problems, it is a first object of the present invention to provide means for inspecting a final output circuit in a system in which redundant modules operate in synchronization.
[0010]
In addition, in the conventional technology that uses an OR circuit as the final output circuit that receives the output of the redundant module, if the OR circuit does not fail, the system outputs the dangerous output unless all the redundant modules output a dangerous output. This is a very good way to make the system fail safe. However, in order to pursue higher reliability and safety in this conventional technology, it is necessary to consider further the guarantee of the normality of the processing process as well as the output as the processing result.
[0011]
Accordingly, it is a second object of the present invention to provide a fail-safe system that guarantees the normality of the process.
[0012]
Further, among the prior arts, an AND circuit composed of a plurality of D-flip-flop trains to which an alternating signal as an input is applied to a clock terminal is called a fail-safe AND because the probability of a dangerous failure occurring is extremely small. Yes. However, this circuit also has a fail-out failure mode (a failure mode in which a dangerous output is output). The failure mode in which the CLK terminal input of the D-flip flop at the final stage appears in the Q output terminal among the D-flip flop rows constituting the fail safe AND is the only fail-out failure mode. Accordingly, a third object is to provide a method for further improving the fail-safe property by eliminating the fail-out failure mode.
[0013]
[Means for Solving the Problems]
In order to achieve the first object, the present invention takes the following measures.
[0014]
(1-1) The output interface circuit of a module has a register in which written data is output from all modules and a register that is output only from the corresponding module and ignored in other modules.
[0015]
In order to achieve the second object, the following measures are taken.
[0016]
(2-1) The internal signals of the redundant modules are compared and checked by a comparator.
[0017]
(2-2) The comparator outputs a signal representing true if the internal signals of the redundant modules match each other, and outputs a signal representing false if they do not match.
[0018]
(2-3) The output signal of the redundant module expresses the danger side output as a signal representing true and the safety side output as a signal representing true as false.
[0019]
(2-4) The logical product of the output of the comparator and the output from the redundant module is used as the output.
In order to achieve the third object, the following measures are taken.
[0020]
(3-1) A plurality of D-flip flop rows to which an alternating signal having an AND circuit as an input is applied to the clock terminal are configured, and the frequency of the signal applied to the clock terminal of the final D-flip flop is determined. It is set higher than the maximum operating frequency of the circuit connected to the subsequent stage of the AND circuit.
[0021]
Further, the following measures are taken in order to achieve the second and third objects synergistically.
(4-1) The internal signals of the redundant modules are compared and checked by a comparator.
[0022]
(4-2) The comparator outputs an alternating output as a signal representing true when the internal signals of the redundant modules match, and outputs a non-alternating signal as a signal representing false when they do not match. .
[0023]
(4-3) The output signal of the redundant module expresses the dangerous side output as a signal representing true, that is, an alternating signal, and the safe side output as a signal representing false as true, that is, a signal not alternating.
[0024]
(4-4) The AND circuit is constituted by a plurality of D-flip flop rows to which an alternating signal as an input is applied to the clock terminal, and the output of the comparator is applied to the clock terminal of the final D-flip flop. The frequency of the output of the comparator is made higher than the maximum operating frequency of the circuit connected to the subsequent stage of the AND circuit.
[0025]
According to the means (1-1) described above, the same output is output from all redundant modules if the data written in the normal operation is written in a register output from all modules. Should any of the modules fail to produce a normal output due to a failure, the final output circuit can select a normal output and continue normal operation. In addition, for testing the final output circuit, if data is written to a register that is output only from the corresponding module and ignored by other modules, only a specific module among the redundant modules will have a different output. Therefore, a test pattern for confirming the operation can be input to the final output circuit.
[0026]
Further, according to the means (2-1) to (2-4), even if the dangerous output appears in all the outputs of the redundant module, the inside of the redundant module representing the intermediate process until the output is obtained. If the signals do not match, the system will not produce a dangerous output. Therefore, even if errors occur one after another in the modules that are redundant in the calculation process until the output is obtained and a dangerous output is output, the comparator output becomes false due to a mismatch due to an error in the calculation process. There will be no side output. Therefore, not only the final output result but also the normality of the processing process can be guaranteed.
[0027]
Further, according to the means (3-1), even if a failure corresponding to the conventional fail-out failure mode occurs in the AND circuit constituted by the D-flip-flop train, according to the present invention, the failure is output due to the failure. Since the frequency of the signal to be transmitted is higher than the maximum operating frequency of the circuit connected in the subsequent stage of the AND circuit, the circuit in the subsequent stage does not operate, so that no dangerous output is output. Therefore, the fail-out failure mode of the fail-safe AND circuit can be eliminated.
[0028]
According to the means (4-1) to (4-4), the synergistic effect of the means (2-1) to (2-4) and the means (3-1) can be obtained, and not only the final output result but also the processing process The fail-out failure mode of the fail-safe AND circuit can be eliminated.
[0029]
DETAILED DESCRIPTION OF THE INVENTION
Prior to the description of the embodiment, the configuration of the embodiment is shown below.
[0030]
1. Embodiment for achieving the first object (providing means for inspecting the final output circuit)
2. An embodiment for achieving the second object (providing a fail-safe system that also guarantees the normality of the process)
3. An embodiment for achieving the third object (eliminating fail-safe AND fail-out failure mode)
4). Examples for achieving the second and third objects by a synergistic effect
In the following, detailed description will be given of embodiments of each part of the present invention according to the drawings.
[0031]
<1. Example for Achieving First Objective>
FIG. 1 shows the configuration of a redundant system having an output interface according to the present invention. The redundant modules 11 to 1n (n: the number of modules) are provided with output interfaces 21 to 2n, respectively, and outputs 31 to 3n. The present invention is directed to a redundant system in which redundant modules 11 to 1n operate in synchronization with the same clock 2 as shown in the figure. The outputs 31 to 3n are input to the final output circuit 4. If any of the redundant modules 11 to 1n cannot output a normal output due to a failure, the final output circuit 4 can select a normal output and continue normal operation. The final output circuit 4 for selecting a normal output includes a majority decision circuit 41, an AND circuit 42, an intermediate value selection circuit 43, and the like as will be described later.
[0032]
FIG. 2 shows an embodiment of the output interface 2i of the module 1i (i: module number) in an address image. The output interface 2i includes registers OUTall and OUT1 to OUTn. In the output interface 2i, when data is written in the register OUTall that outputs from all the modules 11 to 1n or the register OUTi that outputs only from the module 1i, an output 3i corresponding to the written data is output. . For example, as shown in FIG. 3, the output interface 21 of the first module 11 outputs an output 31 corresponding to the written data only when the data is written to the register OUTall or OUT1.
[0033]
According to the embodiment shown in FIG. 1 to FIG. 3, different outputs 31 to 3n can be obtained for each module while executing the same instruction in synchronization with the redundant modules 11 to 1n. Therefore, the final output circuit 4 can be given a test pattern. For example, when the modules 11 to 1n write data to the register OUTi, the output 3i corresponding to the written data is output only from the module 1i. Further, when the modules 11 to 1n write different data to the registers OUT1 to OUTn, different outputs 31 to 3n are output from the modules 11 to 1n, respectively. During normal operation, the modules 11 to 1n write data to the register OUTall, and outputs 31 to 3n corresponding to the written data are output from the modules 11 to 1n.
[0034]
4 and 5 are block diagrams showing an embodiment of the output interface 2i of the module 1i. The address decoder decodes the signal on the address bus 1i1, outputs a signal to the logical sum 2i2 only at the address corresponding to the register OUTall or the register OUTi, and sets the output of the logical sum 2i2 to H. Further, the logical product 2i3 with the R / W # signal is obtained, and the latch signal 2i4 is set to H only at the write access at the address corresponding to the register OUTall or the register OUTi. The latch 2i5 latches the signal on the data bus 1i2 according to the latch signal 2i4. In the embodiment of FIG. 4, the data latched by the latch 2i5 is directly used as the output 3i. Further, in FIG. 5, the digital / analog converter 2i6 converts the signal into an analog output 3i. When the output interface 2 i is of a type that outputs a digital signal as shown in the embodiment of FIG. 4, a majority circuit 41 and an AND circuit 42 described later may be used as the final output circuit 4. Further, when the output interface 2 i is of a type that outputs an analog signal as shown in the embodiment of FIG. 5, an intermediate value selection circuit 43 described later may be used as the final output circuit 4.
[0035]
FIG. 6 shows an embodiment in which a majority circuit 41 is used as the final output circuit 4. FIG. 7 shows the internal configuration of the 3-input majority circuit 41, and FIG. 8 shows the truth table during normal operation. As an example, FIG. 9 shows a truth table in the case where the output of the logical sum 411 constituting the majority circuit 41 causes a zero fixed fault (stuck-at-0 fault). As shown in FIG. 9, the input / output relationship different from the normal operation in the case of the zero fixed fault of the output of the logical sum 411 is only in the case 8 input pattern. Therefore, in order to detect this failure, the redundant modules 11 to 13 should output 31 to 33 corresponding to the input pattern of case 8. According to the present invention shown in the embodiment of FIGS. 1 to 5, since the modules 11 to 13 can individually output arbitrary outputs 31 to 33, not only the case 8, but also outputs 31 to 33 of all patterns can be output. it can. Therefore, according to the present embodiment, it is possible to detect a failure in any mode of the majority circuit 41, not limited to the zero-fixed failure of the output of the logical sum 411.
[0036]
If not according to the present invention, the redundant modules 11 to 13 are all normal, that is, only the cases 1 and 2 of the truth table shown in FIG. Cannot be detected, and a failure may occur. If such a failure is latent, when any of the redundant modules 11 to 13 fails, the failure cannot be relieved. For example, even when a zero-fixed fault of the output of the logical sum 411 occurs, if all of the redundant modules 11 to 13 are normal, an output that is not different from the normal time can be obtained, but only the output 33 of the module 13 When the place where H should be H for some reason becomes L, the output 3 of the majority circuit 41 becomes L where H should be H, and normal operation cannot be performed.
[0037]
FIG. 10 shows an embodiment in which an AND circuit 42 is used as the final output circuit 4. If the outputs 31 and 32 of the modules 11 and 12 made redundant as in this embodiment are input to the AND circuit 42 and the output 3 is obtained, the output 3 is output only when both the outputs 31 and 32 of the modules 11 and 12 are H. Becomes H. That is, if any of the outputs 31 and 32 of the modules 11 and 12 is L, the output 3 is L. Therefore, a fail-safe system can be realized if the L output is a safe output.
[0038]
FIG. 11 shows a truth table at the time of normal operation of the AND circuit 42, and FIG. 12 shows a truth table at the time of failure in which the output 32 is output as the output 3 as it is. This is a failure mode caused by a short circuit in the wiring inside the AND circuit 42. Even in the case of this failure, the failure can be detected only in the case 3 and 4 input patterns. Therefore, in order to detect this failure, the redundant modules 11 and 12 may output the outputs 31 and 32 corresponding to the input patterns of cases 3 and 4. According to the present invention shown in the embodiment of FIGS. 1 to 5, since the modules 11 and 12 can individually output arbitrary outputs 31 and 32, the outputs 31 and 32 of all patterns are output not only in cases 3 and 4. be able to. Therefore, according to the present embodiment, it is possible to detect a failure in any mode of the AND circuit 42 as well as the failure in which the output 32 is output as the output 3 as it is.
[0039]
Furthermore, as shown in FIG. 13, if a circuit composed of flip-flops is used for the AND circuit 42, it can be made fail-safe. This circuit outputs an alternating signal at output 3 only when an alternating signal appears at both outputs 31 and 32 as shown in FIG. That is, it can be seen that if the alternating signal is true and the other signals are false, the same operation as the logical product (AND) is performed. Moreover, the possibility of erroneously outputting an alternating signal due to the failure of the circuit itself is extremely low, so it is called fail-safe AND.
[0040]
FIG. 15 shows an embodiment in which an intermediate value selection circuit 43 is used as the final output circuit 4. The intermediate value selection circuit 43 is a circuit that selects and outputs an intermediate value among the input analog values. If the modules 11 to 1n are all normal, the output 31 to 3n theoretically outputs the same value, so the intermediate value selection circuit 43 "selects an intermediate value among the input analog values and outputs it. Unable to confirm “Yes” function. Actually, even if the digital values are the same in the outputs 31 to 3n, a variation of only the conversion error of the digital / analog converter occurs, and the intermediate value selection circuit 43 selects an intermediate value from these variations. And output. Therefore, at first glance, it appears that the function of “selecting and outputting an intermediate value of input analog values” of the intermediate value selection circuit 43 can be confirmed using this variation. However, this variation is difficult to discriminate because of the quantization error of the analog / digital converter for checking the output 3 by feeding back. Therefore, according to the present invention, the function of the intermediate value selection circuit 43 can be confirmed by setting any one of the outputs 31 to 3n to a different value.
[0041]
FIG. 16 shows an embodiment provided with a shutoff switch 5 for shutting off the output 3 of the redundant system provided by the present invention. In this embodiment, when an abnormality of the final output circuit 4 is detected by the method provided by the present invention, the output can be stopped by opening the cutoff switch 6 and erroneous output can be suppressed.
[0042]
<2. Example for Achieving Second Objective>
Further, according to the embodiment of FIG. 10, the modules 11 and 12 can be synchronized to perform the same operation, so that the data buses 111 and 121 and the address buses 112 and 122 of the modules 11 and 12 are shown in FIG. By comparing and checking the control buses 113 and 123 with the comparator 5, it is possible to detect and respond to malfunctions due to failures or failures at an early stage. Also, in this case, if a self-checking comparator such as Japanese Patent Application No. 6-27664 already filed by the inventors is used as the comparator 5, the detection error due to the failure of the comparator itself is eliminated. Will improve. Further, if the modules 11 and 12 are synchronized and operated with a half clock shift as in Japanese Patent Application No. 6-313492 already filed by the inventors, the same error occurs in the modules 11 and 12. Since the probability of occurrence is reduced, the error detection rate is further improved. The comparison check of the bus signals in the modules 11 to 1n shown in FIG. 15 is not limited to FIG. 10, but can be applied to the embodiments shown in FIGS.
[0043]
FIG. 18 shows an embodiment in which the embodiment of FIG. 17 is further developed and the output 33 of the comparator 5 is input to the AND circuit 42 in addition to the outputs 31 and 32 of the modules 11 and 12. According to this embodiment, only when the data buses 111 and 121, the address buses 112 and 122, and the control buses 113 and 123 of the modules 11 and 12 match and the outputs 31 and 32 of the modules 11 and 12 appear, the AND circuit 42. Gives output 3. In other words, not only the outputs 31 and 32 of the modules 11 and 12 but also the output 3 is output only when the intermediate results of the processing until the output matches. According to the present embodiment, output comparison and collation becomes multi-stage, so that safety and fail-safety are increased, and inconsistency during processing can be detected, so that early detection of errors is possible.
[0044]
Further, if the AND circuit 42 is a circuit composed of flip-flops as shown in FIG. 19, the AND circuit itself can be made fail-safe.
[0045]
<3. Example for Achieving Third Objective>
FIG. 20 shows an embodiment in which the fail-out failure mode of the fail-safe AND circuit is eliminated. In this embodiment, a signal having a frequency f3 higher than the maximum operating frequency fc of the circuit 7 subsequent to the failsafe AND circuit is applied to the clock input of the FF1 in the final stage of the flip-flops constituting the failsafe AND circuit. .
[0046]
As shown in FIG. 21, this circuit is a circuit that outputs an alternating signal to output 3 only when an alternating signal is input to all of f1, f2, and f3, and this operation is the same as that of a normal fail-safe AND circuit. It is.
[0047]
The only fail-out failure mode of the fail-safe AND is a failure mode in which the clock input of the flip-flop appears as it is at the Q output. When such a mode failure occurs in the flip-flop at the final stage, if an alternating signal is input to the flip-flop at the final stage, the alternating signal is output 3 regardless of other inputs as shown in FIG. Will be output more. At this time, the frequency of the output 3 is f3, which is higher than the maximum operating frequency fc of the circuit 7 subsequent to the fail-safe AND circuit. Therefore, as shown in FIG. 23, since the circuit 7 cannot operate at a frequency higher than the maximum operating frequency fc, no output appears at the output terminal 30 of the circuit 7. Therefore, even if a failure occurs in which the clock input appears as it is at the Q output in the flip-flop at the final stage, the dangerous output is not erroneously output, so that fail-safety can be provided.
[0048]
FIG. 24 summarizes the countermeasures for stopping the output 3 and the output 3 observed when a failure in which the CLK input of the flip-flop constituting the fail-safe AND circuit is output from the Q output occurs in each flip-flop. Is. As can be seen from FIG. 24, the failure can be detected by monitoring the output 3. Furthermore, according to the embodiment shown in FIG. 10 provided by the present invention, the test pattern can be injected effectively, so that the potential for failure can be prevented. On the other hand, the measures for stopping the output 3 at the time of failure decrease as the FF1, FF2, FF3 and the subsequent stages. In particular, in the FF 3 at the final stage, there is no means for stopping the output 3 in the event of a failure other than the present embodiment except for stopping the f3 input. In other words, without this embodiment, if a failure occurs in which f3 is continuously output for some reason other than FF3, the output 3 is continuously output. Therefore, the failure of the circuit that generates FF3 and f3, that is, the double failure causes the system to output a dangerous output and fail out. In contrast, FF1 and FF2 fail out only when a quadruple failure and a triple failure occur, respectively. In a system used for an application in which fail-out is related to human life, it is necessary to consider not failing out even if multiple failures occur for safety. Therefore, according to the present embodiment, it is possible to prevent the output from being stopped by failing out from the conventional fail-out due to the double failure.
[0049]
FIG. 25 further shows an embodiment in which the influence of a mode failure in which the clock inputs of all flip-flops of the fail-safe AND circuit are output from the Q output is prevented. In this embodiment, all of the input frequencies f1, f2, and f3 of the fail-safe AND circuit input to the clock terminal of the flip-flop are set higher than the maximum operating frequency fc of the circuit 7 subsequent to the fail-safe AND circuit. According to the present embodiment, the output of the output 3 of the flip-flop constituting the fail-safe AND circuit is the output of the circuit 7 in the subsequent stage even if any of the flip-flops constituting the fail-safe AND circuit has a mode failure in which the clock input is output from the Q output. Since the frequency is higher than the maximum operating frequency fc, the circuit 7 does not operate and no signal appears at the output 30. Therefore, according to the present embodiment, it is possible to prevent the influence of the mode failure in which the clock inputs of all the flip-flops of the fail-safe AND circuit are output from the Q output.
[0050]
However, when all of the input frequencies f1, f2, and f3 are much higher than the maximum operating frequency fc of the circuit 7, the normal output in which no failure has occurred in the fail-safe AND circuit is also higher than the maximum operating frequency fc. It becomes a high frequency. Therefore, for example, if f1 and f2 are selected so that fc <f1 <2fc and fc <f2 <2fc, outputs of f1 / 2 and f2 / 2 orders can be obtained as shown in FIG. As shown, the normal output 3 is lower than the maximum operating frequency fc of the circuit 7, and the abnormal output 3 is higher than the maximum operating frequency fc of the circuit 7. Therefore, according to the present embodiment, it is possible to prevent the influence of the failure in the mode in which the clock inputs of all the flip-flops of the fail-safe AND circuit are output from the Q output.
[0051]
As described above, according to the embodiment of FIG. 25, the clock inputs of all the flip-flops of the fail-safe AND circuit if the circuit 7 subsequent to the fail-safe AND circuit has a steep high-frequency attenuation characteristic. Can be prevented from being affected by the failure of the mode in which the signal is output from the Q output. On the other hand, in the embodiment of FIG. 20, the influence of the mode failure in which the clock input of the flip-flop at the final stage is output from the Q output is prevented. The attenuation characteristic is not required, and can be realized with the frequency characteristic of a normal circuit, so that it is not necessary to add a filter.
[0052]
20 to 26, a signal having a frequency higher than the maximum operating frequency fc of the circuit 7 is required. As a method of generating this signal, it can be considered as follows.
[0053]
(1) Life notification signal for each redundant module
(2) Clock signal
(3) Self-checking comparator according to JP-A-7-234801
Of these methods, the embodiment according to (3) will be described below.
[0054]
In the embodiments of FIGS. 20 to 26, the 3-input fail-safe AND circuit has been described for the sake of simplicity. However, it is needless to say that an N3-input fail-safe AND circuit can generally be realized in the same manner. .
[0055]
<4. Examples for achieving the second and third objects by a synergistic effect>
FIG. 27 provides a fail-safe system that guarantees the normality of the processing process that is the second object of the present invention, and eliminates the fail-out failure mode of the fail-safe AND that is the third object of the present invention. Examples are shown for achieving by synergistic effect. The configuration of this embodiment is basically the same as the configuration shown in FIG. In the embodiment shown in FIG. 27, a self-checking comparator 5 'is formed instead of a normal comparator, and a flip-flop as shown in FIG. 28 is used instead of a normal AND circuit. The fail-safe AND circuit having the flip-flop (FF3) for inputting the output 33 as the final stage is used, and the output of the fail-safe AND circuit is output 30 through the output drive circuit 71.
[0056]
This configuration is a fail-safe configuration because the alternating signal is output to the output 3 only when the alternating signal appears in all the outputs 31, 32, and 33.
[0057]
In order to realize this configuration, the self-checking comparator 5 ′ also has an output 33 when the data buses 111 and 121, the address buses 112 and 122, and the control buses 113 and 123 of the modules 11 and 12 match. It must output an alternating signal. As described above, the self-checking comparator such as Japanese Patent Application No. 6-27664 already filed by the inventors is used only when the signals to be compared match and the comparator itself is normal. Since an alternating signal is output as the output 33, this condition is met.
[0058]
Here, let us consider the frequency relationship when the input / output of the fail-safe AND circuit is normal. Since the output 33 of the self-checking comparator 5 'is inverted every bus cycle, it has the same frequency (usually several MHz to several hundred MHz) as the bus cycle. On the other hand, since the outputs 31 and 32 of the modules 11 and 12 are inverted by accessing the output interfaces 21 to 2n by software, the frequency is much lower than that of the output 33 of the self-checking comparator 5 (usually several hundred Hz to several kHz). Degree). Further, since the output of the fail safe AND is inverted in a cycle of the rise of all the signals of the output 33 of the self-checking comparator 5 and the outputs 31 and 32 of the modules 11 and 12, the outputs 31 and 32 of the modules 11 and 14 are reversed. The frequency is ½ of that. Note that, as shown in FIG. 29, the maximum operating frequency fc of the output drive circuit 7 to which the output of the fail-safe AND circuit is connected is usually about 100 Hz to several kHz when configured with power elements.
[0059]
Next, consider the case where the above-described mode failure occurs. In this case, the output 33 of the self-checking comparator 5 appears as it is at the output 3 of the fail safe AND. Therefore, the output 3 of the fail safe AND greatly deviates from the band of the output drive circuit 71 as shown in FIG. Therefore, even if a failure occurs in the fail-out mode, a signal does not appear on the output 30, so that it becomes fail-safe.
[0060]
【The invention's effect】
As described above, according to the present invention, the test of the final output circuit can be facilitated and the failure can be found at an early stage. Furthermore, by comparing the output of the module with a comparison check of signal lines inside the module, it is possible to speed up error detection and improve the error detection rate. Furthermore, fail-out of the fail-safe circuit can be prevented, and the fail-safety and safety of the system can be remarkably improved.
[Brief description of the drawings]
FIG. 1 shows a basic embodiment of the present invention.
FIG. 2 shows a configuration (register image) of an output interface 2i.
FIG. 3 is a configuration (register image) of the output interface 21;
FIG. 4 shows a configuration of an output interface 2i.
FIG. 5 shows the configuration of the output interface 2i (analog output).
FIG. 6 shows an embodiment using a majority circuit.
FIG. 7 shows a configuration of a majority circuit.
FIG. 8 is an input / output truth table of the majority circuit (when normal).
FIG. 9 is an input / output truth table of the majority circuit (at the time of failure).
FIG. 10 shows an embodiment using an AND circuit.
FIG. 11 is an input / output truth table of an AND circuit (when normal).
FIG. 12 is an input / output truth table of an AND circuit (at the time of failure).
FIG. 13 shows an embodiment using a fail-safe AND circuit.
FIG. 14 shows the operation of the fail-safe AND circuit (when normal).
FIG. 15 shows an embodiment using an intermediate value selection circuit.
FIG. 16 shows an embodiment in which a cutoff switch 6 is provided.
FIG. 17 shows an embodiment for comparing buses.
FIG. 18 shows an embodiment in which the output of the comparator is input to an AND circuit.
FIG. 19 shows an embodiment using a fail-safe AND circuit.
FIG. 20 shows an embodiment in which a fail-out failure of a fail-safe AND circuit is considered.
FIG. 21 shows the operation of the fail-safe AND circuit (when normal).
FIG. 22 shows the operation of the fail-safe AND circuit (at the time of failure).
FIG. 23 shows the frequency relationship of fail-safe AND circuit input / output signals.
FIG. 24: Fault location and countermeasures.
FIG. 25 shows an embodiment in which a fail-out failure of a fail-safe AND circuit is considered.
FIG. 26 shows the frequency relationship of fail-safe AND circuit input / output signals.
FIG. 27 shows an embodiment in which buses are compared and a fail-safe AND circuit fail-out failure is considered.
FIG. 28 shows signal connection to a fail-safe AND circuit.
FIG. 29 shows the frequency relationship of fail-safe AND circuit input / output signals.
[Explanation of symbols]
DESCRIPTION OF SYMBOLS 3 ... Output, 4 ... Final output circuit, 5 ... Comparator, 6 ... Shut-off switch, 11-1n ... Module, 21-2n ... Output interface, 31-3n ... Output (of modules 11-1n), 41 ... Majority circuit 42 ... AND circuit, 43 ... Intermediate value selection circuit.

Claims

In a redundant system consisting of multiple modules that execute the same instruction synchronously,
The internal signals in the plurality of modules are compared with each other, a true value when the internal signals in the plurality of modules match, an output signal of a comparator that outputs a false value when they do not match, and Input the output from multiple modules to the AND circuit,
The comparator outputs an alternating signal as a true value,
Connecting the output from the comparator to the clock input terminal of the D-flip-flop at the final stage constituting the AND circuit;
The AND circuit outputs an alternating signal only when an alternating signal is input to all inputs ,
The redundant system is characterized in that the frequency of the alternating signal from the comparator is higher than the maximum operating frequency of the circuit connected to the subsequent stage of the AND circuit .

The redundant system according to claim 1,
The AND circuit is composed of a plurality of D-flip flop rows,
The Q output terminal or the inverted output terminal of Q of the D-flip flop is connected to the D input terminal of the next stage D-flip flop,
The Q output terminal or the inverted output terminal of Q of the final stage D-flip flop is the AND circuit,
The Q output terminal or the inverted output terminal of Q of the last stage D-flip flop is connected to the D input terminal of the first stage D-flip flop,
A redundant system, wherein inputs to the AND circuit are respectively connected to clock input terminals of the D-flip flops.