JP4102814B2 - 入出力制御装置，情報制御装置及び情報制御方法 - Google Patents

Description

本発明は、入出力制御装置，情報制御装置及び情報制御方法に関する。

原子力プラントや化学プラントなど潜在的な危険性の高いプロセス設備では、万が一の事態に作業員および周辺環境への影響を低減するため、隔壁等の防護設備による受動的な対策および、緊急停止装置等の安全装置を用いる能動的な対策が講じられる。このうち、安全装置等の制御手段は、従来リレー等の電磁的・機械的手段により実現されていた。しかし、近年、Programmable Logic Controller(ＰＬＣ) に代表されるプログラム可能な制御機器における技術の発展に伴い、これらを安全制御システムの制御手段として利用するニーズが高まっている。

ＩＥＣ６１５０８−１〜７，“Functional safety of electrical／electronic／
programmable electronic safety-related systems”part１〜part７（ＩＥＣ６１５０８と略称する）（非特許文献１）は、そのような動向に対応して発行された国際規格であり、電気的／電子的／プログラム可能な電子的装置を安全制御システムの一部に利用する場合の要件が規定されている。ＩＥＣ６１５０８では、安全制御システムの能力の尺度としてSafety Integrity Level（ＳＩＬ）を定義し、１から４までのレベルに対応する水準の要求事項を規定している。ＳＩＬが高いほどプロセス設備の持つ潜在的な危険性を低減できる度合が大きいことを示す。すなわち、プロセス設備の異常を検出した際、どれだけ確実に所定の安全制御を実施できるかを意味する。

安全制御装置は、通常稼働状態で非活性となっていても、プロセス設備の異常発生時には直ちに活性化することを求められる。そのため、常時自己診断を行い、自身の健全性をチェックし続けることが重要となる。また、高いＳＩＬが要求される安全制御システムでは、未検出の故障によりシステムが不動作となる確率を極小とするため、広範囲・高精度な自己診断を実施する必要がある。

ＩＥＣ６１５０８では、安全制御装置を構成する要素部品の種類ごとに、各々適用される自己診断技法を紹介し、それぞれの技法の有効性を診断率という形で示している。診断率は、各構成要素における全故障のうち、その診断技法を採用したとき検出可能な故障の割合を示す。例えば、米国登録６７７９１２８号公報（非特許文献２）に記載されているＲＡＭの診断技法“abraham” では、最高９９％の診断率を主張可能であるとされている。

また、各構成要素の一つであるプロセッサの故障検出手段としては、複数のプロセッサを用いて、相互の出力結果の整合性を監視する方法が有効である。

複数のプロセッサ出力を相互診断する方式としては、各々のプロセッサが同様の制御処理を同時に実行し、その出力が一致していることを確認しあう手段が効果的である。

この代表的な例としては、特開平６−２９００６６号公報（特許文献１）に記載されるように、２つのプロセッサを同期して実行させるとともに、入力値も同一の情報とすることで、出力を一致化させる手法により、プロセッサの健全性を確認する方法が挙げられる。

特開平６−２９００６６号公報 米国登録６７７９１２８号公報 ＩＥＣ６１５０８−１〜７，"Functional safety of electrical／electronic／programmable electronic safety-related systems"part１〜part７

プログラマブル電子装置に要求される信頼性の要素には可用性と安全性がある。機器の制御では可用性が重要となり、機器の保護では安全性が重要となる。これら２要素の実現手段は二律背反している部分が多い。

このため、従来は可用性を担う部分装置と安全性を担う部分装置に分けるのが常識とされてきた。このために装置が大型化するだけでなく、運転・保守作業の重複・複雑化が人的要素の信頼性低下を招くことがあった。

本発明の目的は、複数のプロセッサを用いて装置の小型高性能化と安全性を両立する高信頼のプログラマブル電子装置を提供することにある。

高い安全性が要求される制御システムでは、特開平６−２９００６６号公報（特許文献１）に記載のように、複数のプロセッサの出力を照合することで、プロセッサの健全性を確認し、一致した場合のみ後段のメモリ，ＩＯに出力する手法がとられている。

この手法によると、各プロセッサの動作タイミングを一致させるとともに、制御入力情報も各プロセッサに同一の値が渡るよう読合せることで、出力を一致させていた。

しかしながら、制御対象が複雑になるにつれ、プロセッサも高性能になり、複数のプロセッサより構成された制御システムでは、ひとつのクロックを複数のプロセッサに入力しても、それぞれに出力するクロックが周波数，位相で同一になることが保障されなくなってきている。

このように、今後の複数プロセッサで構成された制御装置では、プロセッサ出力の同期化が困難となるため、複数プロセッサの出力同士を照合し、プロセッサの健全性を診断するには、プロセッサの出力の同期，非同期に関わらず、出力同士を照合する方式が必要である。また、プロセッサの出力同士を比較するため、複数のプロセッサで一つの処理を実行する必要があり、プロセッサ１台あたりの処理性能は通常の処理に比べ半分に低下する。

一方、プログラマブル電子装置には、安全性のような信頼性以外に、ネットワークの処理や、プロセッサの出力同士を照合してまでの信頼性を要求しない通常の制御処理を高速に実行し、利便性を向上したいという要求もある。特に、高速に制御処理を実行したい場合や、大量のデータを扱うネットワーク処理を実行したい場合、これらの処理を実行するプログラマブル電子装置と、信頼性を要求する処理を実行するプログラマブル電子装置を分割する必要があった。

上記目的を達成するために、本発明では、相対的に信頼性が高い演算の要求があった場合、複数のプロセッサで同様の演算が行われるように、複数のプロセッサの少なくとも一つに対して、相対的に信頼性が低い演算から相対的に信頼性が高い演算の実行を指示し、複数のプロセッサの演算結果を比較し、比較結果に基づいてプロセッサの演算にかかるデータの出力を許可するように構成した。

本発明によれば、安全性のような信頼性以外に、ネットワークの処理や、プロセッサの出力同士を照合してまでの信頼性を要求しない通常の制御処理を高速に実行し、利便性を向上することが可能となる。

まず、発明を実施するための最良の形態を説明するにあたって概念的な説明を行うと、高信頼と高性能を必要とする制御装置において、高信頼が必要な場合は複数のプロセッサで動作し、出力同士を照合し、プロセッサを診断することにより、プロセッサの健全性を確認する機能と、プロセッサが独立の処理を行い性能向上を図る機能を備えた、ＣＰＵ出力照合を実現するものである。

より具体的には、以下の点を特徴とする。
（１）１つの制御装置に複数のプロセッサを備え、プロセッサ毎にアクセスするＩＯが高信頼な制御結果を期待するのか否かを判定する手段と、複数のプロセッサ出力を比較し一致していることを判定する手段と、高信頼な制御結果を期待するＩＯへのプロセッサのアクセスは、少なくとも複数のプロセッサの出力結果が一致している場合のみに許可し、単独のプロセッサがアクセスの場合、他のプロセッサが同一の出力結果を出力するまで待たせる手段を備える。
（２）１つの制御装置内に備えた複数のプロセッサは、プロセッサ毎に異なる機能を処理する実行する手段と、プロセッサから別のプロセッサの処理を中断するための手段を備える。
（３）信頼性を要求するＩＯへの出力を行う処理を実行するプロセッサは、他のプロセッサに処理を中断する手段を用いて、他のプロセッサの処理を中断し、信頼性を要求する
ＩＯへの出力を行う処理を実行させる手段を備える。

以下、本発明の実施例を図面を用いて説明する。本発明による第１の実施の形態である制御システムの構成を図１に示す。ここでは、プロセッサが２個の場合について説明するが、実際の実施形態においてプロセッサの台数に制限は無く、それにより本発明が制約を受けることはない。

また、ここで説明する制御システムはメモリ回路に接続されることを前提としており、特に明示しないものとする。

Ａ系プロセッサ１は、制御タスクを実行し、Ｂ系プロセッサ３は通信タスクを実行するもとのする。また、Ａ系プロセッサ１とＢ系プロセッサ３は必ずしも同一周波数の同一位相で同期動作する必要もない。

Ａ系プロセッサ１はアドレス信号，データ信号からなるＡ系プロセッサバス５０を出力する。また、Ａ系プロセッサ１はバスアクセス開始時、バススタート信号５１をアサートする。Ａ系インターフェース部２はＡ系バスレディー信号６７または、Ａ系割込制御レディー信号６８がアサートされるまで、Ａ系ウエイト信号５２をアサートしつづける。Ａ系プロセッサ１がライトアクセスを実行する場合、Ａ系プロセッサ１はＡ系ウエイト信号
５２がアサートしている間は、Ａ系プロセッサバス５０にアドレスとデータを出力しつづける。Ａ系プロセッサがリードを実行する場合、Ａ系プロセッサ１はＡ系ウエイト信号
５２がアサートしている間は、Ａ系プロセッサバス５０にアドレスを出力しリードデータを待ち続け、Ａ系ウエイト信号５２がネゲートした時、Ａ系プロセッサバス５０上のデータの値をリード値として取り込む。

Ｂ系についても同様であり、Ｂ系プロセッサ３はアドレス信号，データ信号からなるＢ系プロセッサバス５５を出力する。また、Ｂ系プロセッサ３はバスアクセス開始時、バススタート信号５７をアサートする。Ｂ系インターフェース部４はＢ系バスレディー信号
６５、または、Ｂ系割込制御レディー信号６９がアサートされるまで、Ｂ系ウエイト信号５６をアサートしつづける。Ｂ系プロセッサ３がライトアクセスを実行する場合、Ｂ系プロセッサ３はウエイト信号５７がアサートしている間は、Ｂ系プロセッサバス５５にアドレスとデータを出力しつづける。Ｂ系プロセッサ３がリードを実行する場合、Ｂ系プロセッサ３はウエイト信号５６がアサートしている間は、Ｂ系プロセッサバス５５にアドレスを出力しリードデータを待ち続け、ウエイト信号５６がネゲートした時、Ｂ系プロセッサバス５５上のデータの値をリード値として取り込む。

Ａ系エリア判定部１３は、Ａ系プロセッサバス５０のアドレスの値より、現在アクセスするデバイスが高信頼ＩＯ１８なのか否かを判定する機能を備え、Ａ系プロセッサ１が高信頼ＩＯ１８へアクセスする場合、Ａ系高信頼アクセス信号６０をアサートする。

Ｂ系エリア判定部１４は、Ｂ系プロセッサバス５５のアドレスの値より、現在アクセスするデバイスが高信頼ＩＯ１８なのか否かを判定する機能を備え、Ｂ系プロセッサ３が高信頼ＩＯ１８へアクセスする場合、Ｂ系高信頼アクセス信号６１をアサートする。

比較部１５は、Ａ系プロセッサバス５０とＢ系プロセッサバス５５を比較する機能を備え、Ａ系プロセッサバス５０とＢ系プロセッサバス５５のアドレスとライトかリードかのアクセスタイプ，ライトデータを比較し、一致していた場合、比較結果一致信号６２をアサートする。

システムバスインターフェース部１６はＡ系プロセッサバス５０，Ｂ系プロセッサバス５５，Ａ系高信頼アクセス信号６０，Ｂ系高信頼アクセス信号６１，比較結果一致信号
６２に従い、システムバス１７を介して、高信頼ＩＯ１８，通常ＩＯ２０，ネットワークＩＯ２２へアクセスする。

高信頼ＩＯ１８は信頼性が要求される入出力装置１９に接続している。

通常ＩＯ２０は通常の信頼性で十分な入出力装置２１に接続している。

ネットワークＩＯ２２とは、ネットワーク２３とのインターフェースを取り、受信処理等のプロセッサによる処理が必要な場合、ネットワーク割込６６をアサートしプロセッサからの処理を期待する装置である。

エラー検出部１２はＡ系高信頼アクセス信号６０，Ｂ系高信頼アクセス信号６１，比較結果一致信号６２に従い、Ａ系プロセッサ１とＢ系プロセッサ３は正常に動作しているか障害を起こしているかを判定する機能を備え、障害を起こしていると判定した場合、障害報告信号６４をアサートする。

割込制御部５は、Ａ系プロセッサ１へのＡ系割込信号５３とＢ系プロセッサ３への割込信号５４を制御する機能を備え、Ａ系割込信号５３をアサートするためのＡ系割込要求レジスタ６と、割込の要因を示すＡ系割込要因レジスタ８で構成する。また、Ｂ系割込信号５４をアサートするのためのＢ系割込要求レジスタ７と、割込要因を示すＢ系割込要因レジスタ９を備える。

Ａ系プロセッサ１，Ｂ系プロセッサ３に独立に割り込みを与えることが可能な構造になっている。また、Ａ系割込要求レジスタ６，Ａ系割込要因レジスタ８，Ｂ系割込要求レジスタ７，Ｂ系割込要因レジスタ９はＡ系プロセッサ１とＢ系プロセッサ３からアクセスすることが可能な構造になっている。

さらに、外部から障害報告信号６４とネットワーク割込６６が入ってくる。Ａ系割込信号５３は、Ａ系割込要求レジスタ６から発生する割り込みか、障害報告信号６４とから発生する割り込みを伝える。ここで、障害報告信号６４とから発生する割り込みは、Ａ系割込要求レジスタ６から発生する割り込みより優先する。

Ｂ系割込信号５４は、Ｂ系割込要求レジスタ７から発生する割り込みか、ネットワーク割込６６，障害報告信号６４から発生する割り込みを伝える。ここで、障害報告信号６４から発生する割り込みは、Ｂ系割込要求レジスタ７から発生する割り込みより優先し、Ｂ系割込要求レジスタ７から発生する割り込みは、ネットワーク割込６６より優先する。つまり、優先順に並べると、障害報告信号６４とから発生する割り込み、Ｂ系割込要求レジスタ７から発生する割り込み、ネットワーク割込６６の順序になる。

図２は、システムバスインターフェース部１６の動作状態を説明する状態遷移図である。

システムバスインターフェース部１６は、図２に示す４つの状態を持っている。

状態２００はアイドル状態を示していて、Ａ系プロセッサ１，Ｂ系プロセッサ３ともにシステムバス１７にアクセスしていない状態を示している。

状態２０１はＡ系プロセッサアクセス状態を示していて、Ａ系プロセッサ１が通常ＩＯ１８をアクセスしていることを示している。

状態２０２はＢ系プロセッサアクセス状態を示していて、Ｂ系プロセッサ３がネットワークＩＯ２２をアクセスしていることを示している。

状態２０３はＡ系とＢ系のプロセッサが高信頼ＩＯ１８へアクセスしている状態を示している。

状態２００から状態２０１への遷移条件２０４は、Ａ系プロセッサ１がアクセスを開始し、かつ、Ａ系高信頼アクセス信号６０がアサートしていない条件で成立する。

状態２００から状態２０２への遷移条件２０６は、Ａ系プロセッサ１がアクセスを開始しておらず、かつ、Ｂ系プロセッサ３がアクセスを開始し、かつ、Ｂ系高信頼アクセス信号６１がアサートしていない条件で成立する。

状態２００から状態２０３への遷移条件２０８は、Ａ系プロセッサ１がアクセスを開始し、かつ、Ａ系高信頼アクセス信号６０がアサートし、かつ、Ｂ系プロセッサ３がアクセスを開始し、かつ、Ｂ系高信頼アクセス信号６１がアサートし、なおかつ、比較結果一致信号６２がアサートしている条件で成立する。この条件は、Ａ系プロセッサ１，Ｂ系プロセッサ３がともに、高信頼ＩＯ１８の同一アドレスへアクセスしていることを示す。

遷移条件２０５は、通常ＩＯ２０からシステムバス１７を介してアクセス完了を示す報告により成立し、遷移条件２０７は、ネットワークＩＯ２２からシステムバス１７を介してアクセス完了を示す報告により成立し、遷移条件２０９は、高信頼ＩＯ１８からシステムバス１７を介してアクセス完了を示す報告により成立する。

この状態遷移によりシステムバスインターフェース部１６は、Ａ系エリア判定部１３，Ｂ系エリア判定部１４の判定結果に従い、Ａ系プロセッサ１，Ｂ系プロセッサ３の要求に応じ、システムバス１７に接続した高信頼ＩＯ１８,通常ＩＯ２０,ネットワークＩＯ２２のいずれか一つのアクセスを許可する。特に、高信頼ＩＯ１８へのアクセスは、Ａ系プロセッサ１，Ｂ系プロセッサ３がともに、高信頼ＩＯ１８の同一アドレスへアクセスしていることを示す遷移条件２０８が成立する必要がある。

また、Ａ系バスレディー信号６７は遷移条件２０５と遷移条件２０９が成立した時にアサートし、Ｂ系バスレディー信号６５は遷移条件２０７と遷移条件２０９が成立した時にアサートする。

図３はエラー検出部１２の動作を示した状態遷移図である。

状態３００はアイドル状態でＡ系プロセッサ，Ｂ系プロセッサ共に高信頼ＩＯ１８にアクセスしていない状態を示す。

状態３０１はＡ系プロセッサ１が高信頼ＩＯ１８をアクセスし、自プロセッサの出力と同じ出力をＢ系プロセッサ３が出力するまで待っている状態である。

状態３０２はＡ系プロセッサ１が高信頼ＩＯ１８をアクセスし、自プロセッサの出力と同じ出力をＢ系プロセッサ３が出力するまで待機していたが、一定時間経過し、タイムアウトエラーと判定した状態である。

状態３０３はＡ系プロセッサ１とＢ系プロセッサ３が高信頼ＩＯ１８をアクセスしたが、それぞれのプロセッサの出力が一致していなくエラー判定した状態である。

状態３０５はＢ系プロセッサ３が高信頼ＩＯ１８をアクセスし、自プロセッサの出力と同じ出力をＡ系プロセッサ１が出力するまで待っている状態である。

状態３０４はＢ系プロセッサ３が高信頼ＩＯ１８をアクセスし、自プロセッサの出力と同じ出力をＡ系プロセッサ１が出力するまで待機していたが、一定時間経過し、タイムアウトエラーと判定した状態である。

遷移条件３０６は、Ａ系高信頼アクセス信号６０がアサートし、Ｂ系高信頼アクセス信号６１がアサートしていない条件で成立する。

遷移条件３０７は、Ｂ系高信頼アクセス信号６１がアサートし、比較結果一致信号６２がアサートした条件で成立する。

遷移条件３０９は、Ｂ系高信頼アクセス信号６１がアサートし、比較結果一致信号６２がアサートしない条件で成立する。

遷移条件３０８は、遷移条件３０７，３０９が成立しないで、一定時間経過した条件で成立する。

遷移条件３１６は、Ｂ系高信頼アクセス信号６１がアサートし、Ａ系高信頼アクセス信号６０がアサートしていない条件で成立する。

遷移条件３１５は、Ａ系高信頼アクセス信号６０がアサートし、比較結果一致信号６２がアサートした条件で成立する。

遷移条件３１２は、Ａ系高信頼アクセス信号６０がアサートし、Ｂ系高信頼アクセス信号６１がアサートし、比較結果一致信号６２がアサートしない条件で成立する。

遷移条件３１３は、遷移条件３１５，３１２が成立しないで、一定時間経過した条件で成立する。

遷移条件３１７は、Ａ系高信頼アクセス信号６０がアサートし、Ｂ系高信頼アクセス信号６１がアサートし、比較結果一致信号６２がアサートしない条件で成立する。

遷移条件３１０，３１１，３１４は常に成り立っており、状態３０２，３０３，３０４へ遷移した次のサイクルで状態３００へ遷移することを意味する。

エラー検出部１２は、Ａ系プロセッサ１とＢ系プロセッサ３の高信頼ＩＯ１８へのアクセス状態を管理し、高信頼ＩＯ１８へのアクセスするプロセッサは、自プロセッサの出力と他系のプロセッサの出力が一致しない場合や、他プロセッサが一定時間内に高信頼ＩＯ１８へアクセスしない場合、状態３０２，３０３，３０４に遷移し、この状態３０２，
３０３，３０４時に障害報告信号６４をアサートする。

また高信頼ＩＯ１８は、障害報告信号６４がアサートされると、障害が発生したことを認識し、出力を安全な状態に切り替える。ここで安全な状態とは、現在の出力を保持し続ける場合が安全な状態である場合や、電源が切断した場合と同じ状態が安全である場合もあり、制御する対象に毎に異なる。さらに、エラー検出部１２は、障害が発生するとＡ系プロセッサ１とＢ系プロセッサ３に対して割込信号５３，５４を用いて障害割り込みを報告する。障害割り込みを受けたプロセッサは速やかに現状の処理を中断し、障害処理を実行するものとする。

図４はＡ系プロセッサ１とＢ系プロセッサ３の正常時の処理動作を示したタイミングチャートである。

Ａ系プロセッサ１は制御タスク０から順次タスクを処理し、最後の制御タスクｎの処理が終了すると、Ｂ系プロセッサ高信頼タスクを起動するための起動タスクを実行する。この起動タスクは割込制御部５内部のＢ系割込要求レジスタ７にアクセスすることによりＢ系プロセッサ３に割り込みを発生させて終了する。次にＡ系プロセッサ１は高信頼タスクを実行する。この高信頼タスクは、高信頼ＩＯ１８に接続した、信頼性が要求される入出力装置１９への制御を行う。Ａ系プロセッサ１は制御タスク０から高信頼タスクまでの一連の処理を周期的に実行する。

一方Ｂ系プロセッサ３はネットワークＩＯ２２から発生するネットワーク割り込みに従い、通信タスクを逐次処理していき、Ａ系プロセッサ１が実行した起動タスクにより割り込みを受信すると、Ａ系プロセッサと同一の高信頼タスクを実行する。このためＡ系プロセッサ１とＢ系プロセッサ３は同一の処理を行うことになり２つのプロセッサの出力が一致していることを保障することができる。Ｂ系プロセッサ３は、高信頼タスクの処理が終了すると再び、ネットワークＩＯ２２から発生するネットワーク割込６６に従い、通信タスクを逐次処理していく。なお、Ｂ系プロセッサ３は、割り込みを受信し、処理が完了すると、割込制御部５へアクセスし、割込要因をクリアするものとする。

また、割込制御部５は、Ｂ系割込要求レジスタ７にアクセスすることにより発生する割り込みがＢ系プロセッサ３に入っている間は、優先度の低いネットワーク割込６６をマスクするため、Ｂ系プロセッサ３が高信頼タスクを実行している間は、ネットワーク割込６６が入らず、処理を中断しない。

以上、信頼性を保証する処理を実行するときは、複数のプロセッサで処理を行い、複数の出力結果を比較し、一致している場合のみ出力することにより、信頼性が向上し、信頼性を重要視しない処理は、複数のプロセッサが独立に動作し、処理性能が向上することができる。

本発明による、計算機システムの構成。 本発明による、システムバスインターフェース部の動作を示した状態遷移図。 本発明による、エラー検出部の動作を示した状態遷移図。 本発明による、２つのプロセッサの処理動作を示したタイミングチャート。

符号の説明

１…Ａ系プロセッサ、３…Ｂ系プロセッサ、５…割込制御部、１２…エラー検出部、
１３…Ａ系エリア判定部、１４…Ｂ系エリア判定部、１５…比較部、１６…システムバスインターフェース部、１７…システムバス、１８…高信頼ＩＯ、２０…通常ＩＯ、２２…ネットワークＩＯ。

Claims (14)

1. 第２の入出力装置からのアクセス要求及び前記第２の入出力装置よりも信頼性要求が高い第１の入出力装置からのアクセス要求に応じて複数のプロセッサの演算に係るデータの入出力を制御するものであって、前記第１の入出力装置からのアクセス要求があった場合、前記複数のプロセッサで同様の演算が行われるように、前記複数のプロセッサの少なくとも一つに対して、前記第２の入出力装置からのアクセス要求に係る演算から前記第１の入出力装置からのアクセス要求に係る演算の実行を指示する手段と、前記第１の入出力装置からのアクセス要求に係る複数のプロセッサの演算結果を比較する手段と、前記比較結果に基づいて前記プロセッサの演算にかかるデータの出力を許可する手段を有することを特徴とする入出力制御装置。
2. 請求項１において、前記第１の入出力装置からのアクセス要求に係る演算が相対的に信頼性が高い演算であり、前記第２の入出力装置からのアクセス要求に係る演算が相対的に信頼性が低い演算であり、前記相対的に信頼性が低い演算では、前記複数のプロセッサは異なる演算処理を行っており、前記異なる演算処理の結果を出力する手段を有することを特徴とする入出力制御装置。
3. 請求項２において、前記相対的に信頼性が高い演算の要求は、前記複数のプロセッサの一方から前記複数のプロセッサの他方への割り込み処理であることを特徴とする入出力制御装置。
4. 請求項２において、前記相対的に信頼性が高い演算は、相対的に信頼性が高い演算を要求するに相当するＩ／Ｏへのアクセスの場合になされることを特徴とする入出力制御装置
   。
5. 請求項４において、前記相対的に信頼性が高い演算を要求するに相当するＩ／Ｏへのアクセスかは、アクセスするアドレスに基づいて判断されることを特徴とする入出力制御装置。
6. 請求項５において、前記複数のプロセッサのそれぞれに応じて、要求レジスタ及び要因レジスタを有し、前記要求レジスタ及び要因レジスタの書き込まれた内容に基づいて、相対的に信頼性が高い演算の要求か判断することを特徴とする入出力制御装置。
7. 請求項６において、前記複数のプロセッサの一方からのバスのスタートを示す信号に基づいて、前記複数のプロセッサの一方に対してバスをウエイト制御する信号を出力し、前記アクセスを制限することを特徴とする入出力制御装置。
8. 請求項２において、前記出力を許可する手段は、前記複数のプロセッサの演算結果が一致した場合に許可することを特徴とする入出力制御装置。
9. 請求項８において、前記異なる演算処理は、前記一致の後に実行するように指示する信号を出力することを特徴とする入出力制御装置。
10. 請求項１において、前記第１の入出力装置からのアクセス要求に係る演算が相対的に信頼性の高い演算であり、前記第２の入出力装置からのアクセス要求に係る演算が相対的に信頼性の低い演算であり、前記相対的に信頼性が高い演算の要求があった場合、前記少なくとも一方のプロセッサに演算の中断を指示する信号を出力することを特徴とする入出力制御装置。
11. 請求項１０において、前記相対的に信頼性が高い演算が実行されている場合、前記複数のプロセッサへの前記相対的に信頼性の低い演算に対する割り込みを制限する手段を有することを特徴とする入出力制御装置。
12. 請求項１１において、前記複数のプロセッサの少なくとも一方が、所定時間の間、演算結果を出力しない場合、異常であると判断する手段を有することを特徴とする入出力制御装置。
13. 複数のプロセッサを有し、第２の入出力装置からのアクセス要求及び前記第２の入出力装置よりも信頼性要求が高い第１の入出力装置からのアクセス要求に応じて前記複数のプロセッサの演算に係るデータの入出力が制御されるものであって、前記第１の入出力装置からのアクセス要求があった場合、前記複数のプロセッサで同様の演算が行われるように、前記複数のプロセッサの少なくとも一つに対して、前記第２の入出力装置からのアクセス要求に係る演算から前記第１の入出力装置からのアクセス要求に係る演算の実行を指示する手段と、前記第１の入出力装置からのアクセス要求に係る複数のプロセッサの演算結果を比較する手段と、前記比較結果に基づいて前記プロセッサの演算にかかるデータの出力を許可する手段を有することを特徴とする情報制御装置。
14. 入出力制御装置が、第２の入出力装置からのアクセス要求及び前記第２の入出力装置よりも信頼性要求が高い第１の入出力装置からのアクセス要求に応じて複数のプロセッサの演算に係るデータの入出力を制御すると共に、前記第１の入出力装置からのアクセス要求があった場合、複数のプロセッサで同様の演算が行われるように、前記複数のプロセッサの少なくとも一つに対して、相対的に信頼性が低い演算から相対的に信頼性が高い演算の実行を指示し、
    前記複数のプロセッサの少なくとも一つが、前記入出力制御装置からの指示に応じて、第２の入出力装置からのアクセス要求に係る演算から第１の入出力装置からのアクセス要求に係る演算の実行に遷移し、
    前記入出力制御装置が、前記複数のプロセッサの演算結果を比較し、前記比較結果に基づいて前記プロセッサの演算にかかるデータの出力を許可する情報制御方法。

Images