JP4411600B2 - ２重化システム - Google Patents

Description

本発明は、２つのサブシステムのデータを比較して一致していないと安全処理を行う２重化システムに関し、特にマイクロプロセッサに用いて好適な２重化システムに関するものである。

図５に従来の２重化システムの構成を示す。図５において、サブシステム７はＭＰＵ(Micro Processing Unit)７１，ＭＰＵインターフェイスコントローラ７２，メモリコントローラ７４およびメモリ装置７５、ＭＰＵインターフェイスコントローラ７２とメモリコントローラ７４を接続するバス７３で構成される。ＭＰＵ７１はＭＰＵインターフェイスコントローラ７２およびメモリコントローラ７４を介してメモリ装置７５にアクセスし、所定の処理を行う。サブシステム８も同じ構成であり、ＭＰＵ８１はＭＰＵインターフェイスコントローラ８２およびメモリコントローラ８４を介してメモリ装置８５にアクセスし、サブシステム７と同じ処理を行う。

ＭＰＵインターフェイスコントローラ７２と８２の出力は比較コントローラ９１に入力される。比較コントローラ９１はこれら入力された信号から比較タイミング信号を作成し、比較器９２に出力する。比較器９２はこの比較タイミング信号のタイミングでバス７３と８３のデータを比較し、一致していないと所定の安全処理を行う。

バス７３（８３）には、ＭＰＵ７１（８１）からのアドレスアクセスコマンド（リード／ライト、サイズなどのアクセス種類を示すデータ）、メモリ装置７５（８５）へのライトデータおよびリードデータが出力される。比較器９２は全てのバスサイクルでこれらのデータを比較し、一致していなかった場合は誤った処理を実行しないように、システム停止などの安全な状態に移行（安全処理）を行う。

次に、図６に基づいてこの実施例の動作を説明する。図６（Ａ）はバス７３上のデータ、（Ｂ）はバス８３上のデータである。バス７３上のデータは正常なデータであるが、バス８３上のデータは不正なデータであるとする。また、バス８３にはノイズＡ１が重畳している。（Ｄ）は比較コントローラ９１が出力する比較タイミング信号である。比較器９２はこの比較タイミング信号の立ち下がりでバス７３上のデータとバス８３上のデータを比較する。

（Ｃ）は比較状態を表したものである。バス８３上のデータが不正であるので、比較状態は不一致状態になる。しかし、時刻ｔ５からｔ７の間にバス８３にノイズＡ１が重畳しているので、この間の比較状態は不定になる。比較タイミング信号は時刻ｔ５とｔ７の間のｔ６で立ち下がるので、比較器９２は本来不一致を検出しなければならないにも関わらず、一致を検出する場合が発生する。

故障には、バス上のデータが一致しない場合の他に、ＭＰＵインターフェイスコントローラ７２（８２）の出力が出力されなくなる場合がある。そのため、サブシステム７と８のアクセスタイミングの差が規定値を超えないかタイマで監視し、越えた場合に安全処理を行う。

なお、比較コントローラ９１，比較器９２が故障する場合もあるので、所定の周期でソフトウエアによって自己診断を行うようにする場合もある。

しかし、このような２重化システムには、次のような課題があった。図５の２重化システムは、サブシステム自体は２重化されているが、比較コントローラ９１と比較器９２は２重化されていない。そのため、比較器９２が不一致を検出することができなくなる故障や、比較コントローラ９１が比較タイミング信号を出力することができなくなる故障が発生すると、誤りを検出することができなくなるという課題があった。また、比較コントローラ９１から比較器９２に至る経路の途中で断線が発生すると、同様に誤りを検出することができなくなるという課題もあった。

また、比較コントローラ９１と比較器９２が正常であっても、図６のように取り込みタイミング信号が立ち下がるときに、どちらかのバスにノイズが重畳すると、同じように誤りを検出することができなくなるという課題もあった。

従って本発明の目的は、比較コントローラと比較器をも２重化し、さらに２重化した比較器の比較タイミングをずらすことにより、確実に誤りを検出して安全処理を行うことができる２重化システムを提供することにある。

特許文献１には、プロセッサ装置を二重化した二重化コンピュータ装置が記載されている。

特開平７−３６７２０号公報

このような課題を達成するために、本発明のうち請求項１記載の発明は、
データの流れを制御するインターフェイスコントローラを内蔵した第１および第２サブシステムに同じ動作を行わせて、これらサブシステム内の対応するデータを所定のタイミングで比較し、一致していないと安全処理を行う２重化システムにおいて、
前記第１および第２サブシステム内のインターフェイスコントローラの出力が入力され、第１の比較タイミング信号を出力する第１の比較コントローラと、
前記第１および第２サブシステム内のインターフェイスコントローラの出力が入力され、前記第１の比較タイミング信号とは異なる位相の第２の比較タイミング信号を出力する第２の比較コントローラと、
前記第１の比較タイミング信号、および前記第１サブシステム内の所定の点におけるデータと、前記第２サブシステム内の前記所定の点に対応する点のデータが入力され、入力された前記データを前記第１の比較タイミング信号のタイミングで比較し、その比較結果を出力する第１の比較器と、
前記第２の比較タイミング信号、および前記第１サブシステム内の前記所定の点におけるデータと、前記第２サブシステム内の前記所定の点に対応する点のデータが入力され、入力された前記データを前記第２の比較タイミング信号のタイミングで比較し、その比較結果を出力する第２の比較器と、
前記第１および第２の比較器の出力が入力され、これらの出力のうち少なくとも１つが不一致であると、安全処理を行う制御部と、
を具備したものである。データにノイズが重畳していてもシステムの誤りを検出でき、安全処理を行うことができる。

請求項２記載の発明は、請求項１記載の発明において、
前記第１の比較器と前記第２の比較器を複数個有し、これらの比較器に異なったデータを入力するようにしたものである。より正確にシステムの誤りを検出できる。

請求項３記載の発明は、請求項１記載の発明において、
前記第１サブシステム内の異なった点のデータが入力され、これら入力されたデータを選択して前記第１および第２の比較器に出力する第１セレクタと、
前記第１のセレクタと同じ選択信号で駆動され、前記第２サブシステム内の、前記第１のセレクタに入力されたデータに対応する点のデータが入力され、これら入力されたデータを選択して前記第１および第２の比較器に出力する第２セレクタと、
を具備したものである。より正確にシステムの誤りを検出できる。

請求項４記載の発明は、請求項１若しくは請求項３いずれかに記載の発明において、
前記第１および第２サブシステムは、プロセッサ部と、このプロセッサ部に接続されるインターフェイスコントローラと、メモリ装置と、このメモリ装置と前記インターフェイスコントローラとを接続し、前記インターフェイスコントローラによって制御されるバスを有したものである。汎用的なシステムに応用できる。

請求項５記載の発明は、請求項１若しくは請求項４いずれかに記載の発明において、
前記プロセッサ部としてマイクロプロセッサを用いたものである。応用範囲が広い。

以上説明したことから明らかなように、本発明によれば次のような効果がある。
請求項１，２，３，４および５の発明によれば、第１、第２のサブシステム内の対応するデータを比較する部分をも２重化し、かつ異なった位相の比較タイミング信号で比較し、少なくとも１つの比較結果が不一致の場合は安全処理を行うようにした。

比較部分をも２重化し、かつどちらかの比較器が不一致を検出すると安全処理を行うようにしたので、どちらかの比較部分が故障してもシステムの誤りを検出でき、より安全なシステムを構築することができるという効果がある。また、異なるタイミングでデータを比較することにより、どちらかのデータにノイズが重畳しても誤りを検出できるという効果もある。

また、複数点のデータを比較して不一致を検出することにより、より確実にシステムの誤りを検出することができるという効果もある。さらに、従来例では比較コントローラ９１と比較器９２の自己診断を行う場合でも、故障してから次の自己診断まではデータの不一致を見逃してしまうが、本発明ではそのようなことはなく、確実に不一致を検出できるという効果もある。

以下本発明を図面を用いて詳細に説明する。図１は本発明に係る２重化システムの一実施例を示す構成図である。図１において、１はサブシステムであり、ＭＰＵ(Micro Processing Unit)１１，このＭＰＵ１１のインターフェイスを司るＭＰＵインターフェイスコントローラ１２，メモリ装置１５，このメモリ装置１５を制御するメモリコントローラ１４、ＭＰＵインターフェイスコントローラ１２とメモリコントローラ１４を接続するバス１３で構成される。このサブシステム１の動作は、図５従来例のサブシステム７と同じである。

２はサブシステム１と同じ構成のサブシステムである。すなわち、ＭＰＵ２１とこのＭＰＵ２１のインターフェイスを司るＭＰＵインターフェイス２２，メモリ装置２５，このメモリ装置２５を制御するメモリコントローラ２４，このメモリコントローラ２４とＭＰＵインターフェイスコントローラ２２を接続するバス２３で構成される。このサブシステム２の動作は、図５従来例のサブシステム８と同じである。サブシステム１と２は同じ動作を実行する。

３１は比較コントローラであり、ＭＰＵインターフェイスコントローラ１２と２２の出力が入力され、これらの入力信号から比較タイミング信号を作成して出力する。３２は比較コントローラであり、ＭＰＵインターフェイスコントローラ１２と２２の出力が入力され、これらの入力信号から比較タイミング信号を作成して出力する。比較コントローラ３１と３２の出力は互いの位相が所定値だけずれている。

４１は比較器であり、バス１３と２３上のデータおよび比較コントローラ３１の出力である比較タイミング信号が入力される。比較器４１はこの比較タイミング信号の立ち下がりのタイミングで入力されたデータを比較し、これらのデータが一致しているか否かの比較結果を出力する。

４２は比較器であり、バス１３と２３上のデータおよび比較コントローラ３２の出力である比較タイミング信号が入力される。比較器４２はこの比較タイミング信号の立ち下がりのタイミングで入力されたデータを比較し、これらのデータが一致しているか否かの比較結果を出力する。

５１は制御部であり、比較器４１と４２の出力である比較結果が入力される。制御部５１はこれら２つの比較結果のうち、少なくとも１つが不一致であると、システム停止などの安全処理を実行する。

なお、この実施例では、サブシステムをＭＰＵとメモリ装置およびこれらのコントローラで構成されるとしたが、これに限られることはない。ＭＰＵとこのＭＰＵによって制御されるインターフェイスコントローラを内蔵しているシステムであればよい。この場合、インターフェイスコントローラの出力を比較コントローラ３１，３２に入力し、サブシステム内の任意の点を流れるデータを比較器４１，４２に入力すればよい。

次に、図２に基づいてこの実施例の動作を説明する。図２（Ａ）はバス１３上のデータ、同（Ｂ）はバス２３上のデータである。（Ａ）は正常データ、（Ｂ）は不正データであるとする。また、（Ｂ）には時刻ｔ１ないしｔ３の間、ノイズＡ１が重畳している。

（Ｃ）はバス１３と２３上のデータの比較結果を表す。（Ｂ）が不正データであるので、比較結果は不一致状態になる。なお、時刻ｔ１〜ｔ３でバス２３にノイズＡ１が重畳しているので、この間の比較結果Ａ２は不定になる。また、Ｂ１，Ｂ２の区間はバス１３，２３上のデータが安定していない区間なので、比較結果はやはり不定になる。

（Ｄ）は比較コントローラ３１が出力する、比較器４１の取り込みタイミング信号である。比較器４１はこの取り込みタイミング信号の立ち下がりｔ２でバス１３と２３上のデータを比較し、その結果を制御部３に出力する。（Ｅ）は比較コントローラ２３が出力する、比較器４２の取り込みタイミング信号である。比較器４２はこの信号の立ち下がりｔ４でバス１３と２３上のデータを比較し、その結果を制御部３に出力する。

図２から分かるように、取り込みタイミング信号（Ｃ）と（Ｄ）は所定の時間（この実施例では（ｔ４−ｔ２））ずれて発生する。比較器４１の取り込みタイミング信号の立ち下がり（ｔ２）ではデータバス２３にノイズＡ１が重畳しているので、比較結果はこのノイズＡ１の状態によって一致状態にも不一致状態にもなり得る。しかし、比較器４２の取り込みタイミング信号の立ち下がり（ｔ４）では、どちらのデータバスにもノイズが重畳していないので、不一致状態を正しく検出する。

制御部３は、比較器４１と４２のいずれかの比較結果が不一致状態であると安全処理を行う。そのため、データバス１３，２３にノイズが重畳しても不一致状態を検出することができ、確実に安全処理を行うことが出来る。

図３に本発明の他の実施例を示す。なお、図１と同じ要素には同一符号を付し、説明を省略する。この実施例は、サブシステム１，２内のＰ、Ｑの２点のデータを同時に比較することにより、より確実に誤りを検出するようにしたものである。

図３において、４３〜４６は比較器である。比較器４３と４４にはサブシステム１，２のＰ点のデータが入力され、比較器４５と４６にはサブシステム１，２のＱ点のデータが入力される。

比較器４３と４５は比較コントローラ３１が出力する比較タイミング信号の立ち下がりで入力された２つのデータを比較し、その一致、不一致の比較結果を制御部５２に出力する。比較器４４と４６は比較コントローラ３２が出力する比較タイミング信号の立ち下がりで入力された２つのデータを比較し、その一致、不一致の比較結果を制御部５２に出力する。制御部５２はこれら入力された４つの比較結果のうち、少なくとも１つが不一致であると、安全処理を実行する。

図４に更に他の実施例を示す。なお、図１と同じ要素には同一符号を付し、説明を省略する。この実施例でも、サブシステム１，２のＰ点とＱ点のデータを比較して、確実性を高めている。

図４において、６１はセレクタであり、サブシステム１のＰ点とＱ点のデータが入力され、これらのデータを選択して出力する。６２はセレクタであり、サブシステム２のＰ点とＱ点のデータが入力され、これらのデータを選択して出力する。セレクタ６１と６２は同じ選択信号で駆動される。

４７、４８は比較器であり、セレクタ６１と６２の出力が入力される。比較器４７は比較コントローラ３１の出力でセレクタ６１と６２の出力を比較し、その比較結果を制御部５３に出力する。比較器４８は比較コントローラ３２の出力でセレクタ６１と６２の出力を比較し、その比較結果を制御部５３に出力する。制御部５３は、入力された２つの比較結果のうち、どちらかが不一致であると安全処理を実行する。

なお、図３、図４の実施例において、データを比較する点をＰ、Ｑの２点としたが、３点以上のデータを比較するようにしてもよい。

本発明の一実施例を示す構成図である。 本発明の一実施例の動作を説明するためのタイムチャートである。 本発明の他の実施例を示す構成図である。 本発明の他の実施例を示す構成図である。 従来の２重化システムの構成図である。 従来の２重化システムの動作を説明するためのタイムチャートである。

符号の説明

１、２ サブシステム
１１、２１ ＭＰＵ
１２、２２ ＭＰＵインターフェイスコントローラ
１３、２３ バス
１４，２４ メモリコントローラ
１５，２５ メモリ装置
３１，３２ 比較コントローラ
４１〜４８ 比較器
５１〜５３ 制御部
６１，６２ セレクタ

Claims (5)

1. データの流れを制御するインターフェイスコントローラを内蔵した第１および第２サブシステムに同じ動作を行わせて、これらサブシステム内の対応するデータを所定のタイミングで比較し、一致していないと安全処理を行う２重化システムにおいて、
   前記第１および第２サブシステム内のインターフェイスコントローラの出力が入力され、第１の比較タイミング信号を出力する第１の比較コントローラと、
   前記第１および第２サブシステム内のインターフェイスコントローラの出力が入力され、前記第１の比較タイミング信号とは異なる位相の第２の比較タイミング信号を出力する第２の比較コントローラと、
   前記第１の比較タイミング信号、および前記第１サブシステム内の所定の点におけるデータと、前記第２サブシステム内の前記所定の点に対応する点のデータが入力され、入力された前記データを前記第１の比較タイミング信号のタイミングで比較し、その比較結果を出力する第１の比較器と、
   前記第２の比較タイミング信号、および前記第１サブシステム内の前記所定の点におけるデータと、前記第２サブシステム内の前記所定の点に対応する点のデータが入力され、入力された前記データを前記第２の比較タイミング信号のタイミングで比較し、その比較結果を出力する第２の比較器と、
   前記第１および第２の比較器の出力が入力され、これらの出力のうち少なくとも１つが不一致であると、安全処理を行う制御部と、
   を具備したことを特徴とする２重化システム。
2. 前記第１の比較器と前記第２の比較器を複数個有し、これらの比較器に異なったデータを入力するようにしたことを特徴とする請求項１記載の２重化システム。
3. 前記第１サブシステム内の異なった点のデータが入力され、これら入力されたデータを選択して前記第１および第２の比較器に出力する第１セレクタと、
   前記第１のセレクタと同じ選択信号で駆動され、前記第２サブシステム内の、前記第１のセレクタに入力されたデータに対応する点のデータが入力され、これら入力されたデータを選択して前記第１および第２の比較器に出力する第２セレクタと、
   を具備したことを特徴とする請求項１記載の２重化システム。
4. 前記第１および第２サブシステムは、プロセッサ部と、このプロセッサ部に接続されるインターフェイスコントローラと、メモリ装置と、このメモリ装置と前記インターフェイスコントローラとを接続し、前記インターフェイスコントローラによって制御されるバスを有することを特徴とする請求項１若しくは請求項３いずれかに記載の２重化システム。
5. 前記プロセッサ部は、マイクロプロセッサであることを特徴とする請求項１若しくは請
   求項４いずれかに記載の２重化システム。

Images