JP5618687B2 - ２重化演算装置 - Google Patents

Description

本発明は、同一の処理を同期して行う２つの演算処理手段を備えた２重化演算装置に関する。

従来、この種の２重化演算装置として、例えば、特許文献１に記載されるような装置があった。
この２重化演算装置は、２つの演算処理手段（ＭＰＵ）を備え、自系の比較データを他系に出力し、他系からの入力した比較データと自系の比較データとを照合して、照合結果出力を照合手段（比較回路）に出力する。そして、照合手段は、両演算処理手段からの照合結果出力が一致すると、正常動作を示す交番信号を外部に出力し、照合結果出力が不一致になると、交番信号の出力を停止することでシステムの動作を停止させ、システムを安全側に導く。

特開平１１−１４３８４１号公報

しかし、上記従来の２重化演算装置では、一過性の要因によって系間での照合結果が一時的に異なった場合であっても、照合手段は、照合結果出力が一致しなくなったことに基づいてシステムの動作を停止させてしまうため、安全性は確保できるものの、必要以上にシステムの稼動率を低下させてしまうという問題があった。

本発明は上記問題点に着目してなされたものであり、システムの安全性を確保しつつ、システムの稼動率を向上させることができる２重化演算装置を提供することを目的とする。

このため、請求項１に係る発明は、同一の処理を同期して行う第１演算処理手段及び第２演算処理手段が、他系のデータを読み込んで自系のデータと照合し、他系での照合結果を読み込んで系間で異なる照合結果となった回数を計数し、他系で計数された回数を読み込んで自系で計数した回数と比較し、当該比較により設定した回数が閾値に達するまでは前記第１演算処理手段及び前記第２演算処理手段のリセットを指示するようにした。

係る構成では、第１演算処理手段及び第２演算処理手段は、それぞれ、自系のデータと他系のデータとを照合してデータの健全性を検証し、更に、自系での照合結果と他系での照合結果とに基づいて、一方が一致、他方が不一致を検出していて、系間で異なる照合結果になっているか否かを判断する。そして、系間で異なる照合結果になっている場合には、係る照合結果となった回数を計数し、更に、回数の計数結果を相互に受け渡して比較し、当該比較により設定した回数が閾値に達するまでは第１演算処理手段及び第２演算処理手段のリセットを指示する。
尚、前記データには、２つの演算処理手段の入出力値や演算処理結果の値などが含まれる。

上記請求項１の構成において、請求項２のように、第１演算処理手段及び第２演算処理手段は、他系で計数された回数と自系で計数した回数との多い方を前記閾値と比較することができる。

また、請求項１又は請求項２の構成において、請求項３のように、前記第１演算手段の照合結果と前記第２演算手段の照合結果とを入力し、前記系間で照合結果が異なりかつ前記リセットの指示が停止されているときに、前記２重化演算装置を含むシステムの動作を停止させるフェイルセーフ照合手段を備えることができる。
係る構成では、系間で異なる照合結果になった回数が閾値よりも多くなって、第１演算処理手段及び第２演算処理手段のリセット動作が停止すると、フェイルセーフ照合手段がフェイルセーフ信号を出力することによってシステムの動作を停止させ、継続的な故障（異常）の発生に対してシステムを安全側に導く。

上記請求項３記載の構成において、請求項４のように、前記第１演算処理手段及び第２演算処理手段に共通のクロック信号を供給する発振手段を備え、前記第１演算処理手段及び第２演算処理手段は、前記クロック信号による計時に基づいて一定の周期で計時完了信号を他系に出力し、前記計時完了信号の入力を契機に、前記クロック信号に同期してデータを他系に出力し、前記データの照合結果を示す交番信号を前記フェイルセーフ照合手段に出力するようにできる。

係る構成では、発振手段から２つの演算処理手段に共通のクロック信号が供給され、２つの演算処理手段は、それぞれ、このクロック信号に基づいて一定の周期で計時完了信号を出力し、また、クロック信号に同期してデータを出力し、互いのデータを照合する。そして、２つの演算処理手段は、その照合結果を示す交番信号をフェイルセーフ照合手段に出力し、フェイルセーフ照合手段は、交番信号の照合に基づきフェイルセーフ信号を出力する。

係る２重化演算装置によれば、一過性の要因によってシステム動作が停止してしまうことを抑制でき、システムの安全性を確保しつつ、システムの稼動率を向上させることができる。

本願発明に係る２重化演算装置の実施形態を示すブロック図 上記実施形態における照合処理を示すフローチャート 上記実施形態における照合処理の動作を示すタイムチャート 上記実施形態における故障発生時の照合処理の動作を示すタイムチャート

以下、本発明の実施の形態を図面に基づいて説明する。
図１は、本発明に係る２重化演算装置の構成を示す。図１に示す２重化演算装置は、発振器（発振手段）１と、Ａ系演算処理回路（第１演算処理手段）２と、Ｂ系演算処理回路（第２演算処理手段）３と、照合回路（フェイルセーフ照合手段）４と、検査用発振器５と、リセット回路（リセット手段）６とを含む。

発振器１は、２つの演算処理回路２，３の同期処理を実現するために、２つの演算処理回路２，３に共通のクロック信号ＣＬＫ０を供給する。尚、発振器１として、水晶発振器などを採用でき、また、クロック信号ＣＬＫ０の周波数は、設計に応じて適宜に選択できる。

Ａ系及びＢ系演算処理回路２，３は、クロック信号ＣＬＫ０に基づいて同一の処理を同期して行う２重系回路であって、入力データを演算し、この演算処理によって得たデータを出力する機能を有する。
図１に示す２重化演算装置は、例えば、踏切の保安装置を構成し、Ａ系及びＢ系演算処理回路２，３は、踏切に接近する列車の位置情報などを入力し、踏切の遮断かんの制御信号などを出力する。

Ａ系及びＢ系演算処理回路２，３としては、例えばＡＳＩＣやＣＰＵバス回路を採用することができるが、ＭＣＵ（Micro Control Unit）を用いると好適である。このＭＣＵは、ＣＰＵバス回路を１つのＬＳＩに実装したものに相当するため、装置の小型化、低消費電力化、あるいは低コスト化に寄与できる。
Ａ系及びＢ系演算処理回路２，３は、それぞれ、故障検知部２００，３００と、検査部２０１，３０１と、監視タイマ部２０２，３０２と、タイマ部２０３，３０３と、データ記憶部２０５，３０５と、出力部２０６，３０６と、データ処理部２０７，３０７と、照合部２０８，３０８と、入力部２０９，３０９と、照合結果比較部２１０，３１０と、回数記憶部２１１，３１１とを含む。これらは、ハードウェアの機能ブロック、又はソフトウェアの機能モジュールを表すものである。

以下に、上記構成の２重化演算装置の作用・機能について説明するが、冗長となることを避けるために、Ａ系演算処理回路２についてのみ説明を行い、他系のＢ系演算処理回路３については同一の作用・機能を有するものとする。

タイマ部２０３は、発振器１のクロック信号ＣＬＫ０により計時を行い、一定の時間ごとに計時完了信号ＴＵＰａをＢ系演算処理回路３に出力する。一方、Ｂ系演算処理回路３も、同様に、タイマ部３０３の計時に基づいて、一定の周期で計時完了信号ＴＵＰｂをＡ系演算処理回路２に出力する。

出力部２０６は、Ｂ系演算処理回路３からの計時完了信号ＴＵＰｂの入力を契機に、クロック信号ＣＬＫ０に同期してデータＤａをＢ系演算処理回路３に出力する。具体的には、出力部２０６は、データ記憶部２０５からデータＤＡＴＡａを読み出して、計時完了信号ＴＵＰｂの一周期の前半において、データＤＡＴＡａと同一のデータＤａｐ（ポジティブデータ）をＢ系演算処理回路３の入力部３０９に出力し、後半において、データＤＡＴＡａの正負の論理を反転して得たデータＤａｎ（ネガティブデータ）をＢ系演算処理回路３の入力部３０９に出力する。

同様に、Ｂ系演算処理回路３は、計時完了信号ＴＵＰａの入力を契機に、クロック信号ＣＬＫ０に同期してデータＤｂをＡ系演算処理回路２の入力部２０９に出力する。
ここで、正負の論理を反転する処理としては、例えば、データＤＡＴＡａの１バイトごとに、ＦＦ（ｈ）との排他的論理和（つまり、ＸＯＲ）を実行する処理を採用することができる。例えば、データＤＡＴＡａのＡＡ（ｈ）を論理反転処理すると、５５（ｈ）となる。
データ記憶部２０５はメモリであり、データ処理部２０７における入出力値や演算処理結果の値などのデータＤＡＴＡａを格納する。

データ処理部２０７は、２重化演算装置が入力したデータ（列車の位置情報など）を演算し、これにより得たデータ（踏切の遮断かんの制御信号など）を他の装置に出力する。また、データ処理部２０７は、これらの入出力データなどを、上記のデータＤＡＴＡａとしてデータ記憶部２０５に書き込む。
入力部２０９は、Ｂ系演算処理回路３からデータＤｂを受け取り、照合部２０８に出力する。

照合部２０８は、データ記憶部２０５からデータＤＡＴＡａ（自系のデータ）を読み出して、このデータＤＡＴＡａと、Ｂ系演算処理回路３側から対応するものとして入力したデータＤｂ（他系のデータ）とを照合し、その照合結果（一致・不一致）を示す交番信号ＣＭＰａを、自系の照合結果比較部２１０と他系の照合結果比較部３１０とに出力する。
照合部２０８における照合処理は、例えば、データＤＡＴＡａとデータＤｂとを先頭から２バイト単位で比較することにより行われ、一致した場合、出力する交番信号ＣＭＰａをハイレベルとし、一致しない場合、ローレベルとする。

Ｂ系演算処理回路３から受け取るデータＤｂは、上述のように半周期ごとに論理反転処理がなされるから、一周期の前半ではデータＤＡＴＡａ（Ａ系のポジティブデータ）とデータＤｂ（Ｂ系のポジティブデータ）とが一致し、一周期の後半ではデータＤＡＴＡａ（Ａ系のポジティブデータ）とデータＤｂ（Ｂ系のネガティブデータ）とが不一致となるのが正常状態であり、Ａ系及びＢ系演算処理回路２，３の正常状態において、交番信号ＣＭＰａは、周期的にハイレベルとローレベルを繰り返すことになる。
換言すれば、交番信号ＣＭＰａがハイレベルとローレベルとを繰り返す状態が、Ａ系のデータとＢ系のデータとの一致状態を示し、データＤｂのポジティブデータ及びネガティブデータを照合させることで、データＤｂの固着故障を検知できるようにしてある。
そして、照合部２０８におけるデータ照合の結果、異常の発生が検出された場合、Ａ系演算処理回路２は動作を停止し、その結果、交番信号ＣＭＰａは交番を停止し、一定値を保持する。

照合回路４は、論理回路を有するＬＳＩなどにより構成され、２つの演算処理回路２，３（照合結果比較部２１０，３１０）から受信した交番信号ＣＭＰａ，ＣＭＰｂを照合する。そして、各系から同一の交番信号ＣＭＰａ，ＣＭＰｂが出力されている場合、同様に交番する（ポジティブデータとネガティブデータとの反転周期で反転する）状態信号ＦＳを、例えば安全リレー（図示せず）に対して出力する。一方、交番信号ＣＭＰａ，ＣＭＰｂが一致しなくなると、照合回路４は、状態信号ＦＳをハイレベル又はローレベルのいずれかの状態に保持する。

安全リレーは、インダクタなどで構成した駆動回路を備え、この駆動回路に入力する状態信号ＦＳが交番している場合には落下しないが、状態信号ＦＳが交番しなくなった場合（ハイレベル又はローレベルのいずれかの状態を保持する場合）に落下し、これにより外部の制御対象装置への電源供給を遮断する。このような仕組みを設けることによって、２重化演算装置を含むシステムを、安全側に制御することが可能となる。

また、本実施形態の２重化演算装置は、発振器１の故障を監視するために、検査用発振器５を備えている。検査用発振器５は、２つの演算処理回路２，３に共通の検査用クロック信号ＣＬＫ１を供給する。尚、検査用発振器５として、水晶発振器などを採用でき、また、クロック信号ＣＬＫ１の周波数は、設計に応じて適宜に選択できる。
監視タイマ部２０２は、検査用クロック信号ＣＬＫ１に従って計時を行い、検査部２０１は、監視タイマ部２０２の計時に基づいて、Ｂ系演算処理回路３から入力した計時完了信号ＴＵＰｂの周期の健全性を検査する。

具体的には、検査部２０１は、計時完了信号ＴＵＰｂの入力ごとに、監視タイマ部２０２が計時したタイマ値Ｔａを読み出し、タイマ値Ｔａの変化分ΔＴａが所定値Ｎであるか否かを判定する。計時完了信号ＴＵＰｂの周期が正常であれば、タイマ値Ｔａは、計時完了信号ＴＵＰｂの入力ごとに、期待される所定の変化分Ｎだけ増加することになるから、検査部２０１は、変化分ΔＴａが所定値Ｎではない場合、計時完了信号ＴＵＰｂの周期の異常を検出する。
但し、検査用クロック信号ＣＬＫ１はクロック信号ＣＬＫ０と非同期であることから、正常動作時であっても変化分ΔＴａに誤差が生じる。このため、実際の回路設計では、所定値Ｎを、誤差を見込んで一定の数値範囲に設定することが必要である。

また、検査部２０１は、計時完了信号ＴＵＰｂの入力ごとに、Ｂ系演算処理回路３からタイマ値Ｔｂを読み出して、このタイマ値Ｔｂとタイマ値Ｔａとを比較する。そして、比較の結果、タイマ値Ｔｂとタイマ値Ｔａとが不一致である場合、検査部２０１は、Ｂ系演算処理回路３の監視タイマ部３０２の故障を検出する。
このように、検査用クロック信号ＣＬＫ１を用いて、計時完了信号ＴＵＰｂの周期の異常を検出でき、また、タイマ値Ｔｂを検査することによって、Ｂ系演算処理回路３の監視タイマ部３０２の故障を検出することができる。

また、本実施形態の２重化演算装置において、照合部２０８は、照合結果を示す交番信号ＣＭＰａを、Ａ系演算処理回路２に設けた照合結果比較部２１０及びＢ系演算処理回路３に設けた照合結果比較部３１０それぞれに出力する。
照合結果比較部２１０は、自系の照合部２０８での照合結果（交番信号ＣＭＰａ）、及び、他系の照合部３０８での照合結果（交番信号ＣＭＰｂ）に基づき、系間で異なる照合結果になっているか否かを判別する。

系間で照合結果が異なる場合とは、一方が一致、他方が不一致を検出している場合であり、不一致には、正常状態で不一致として検出される場合が含まれる。
そして、照合結果比較部２１０は、各系での照合結果が一致している場合には、交番信号ＣＭＰｂ（又は交番信号ＣＭＰａ）を照合回路４へ出力し、他系の照合結果比較部３１０でも、各系での照合結果が一致していると判断すれば、照合結果比較部３１０は交番信号ＣＭＰａ（又は交番信号ＣＭＰｂ）を照合回路４へ出力し、これによって、照合回路４には、各系から同一の交番信号ＣＭＰａ，ＣＭＰｂが入力されることになり、同様に交番する状態信号ＦＳを、安全リレーに対して出力することで、システム動作を継続させる。
一方、照合結果比較部２１０は、各系での照合結果が一致と不一致とに分かれ、相互に異なる照合結果となっている場合には、自系の回数記憶部２１１から、それまでに異なる照合結果となった回数の積算値である積算回数ＡＮを読み出して、この積算回数ＡＮを１つだけ増大させ、この増大後の回数ＡＮを回数記憶部２１１に更新記憶させると共に、増大させた後の回数ＡＮ（又は回数記憶部２１１から読み出した増大補正前の回数ＡＮ）と閾値ＳＬとを比較する。
ここで、回数ＡＮが閾値ＳＬよりも少ない場合（ＡＮ＜ＳＬ）には、系間で照合結果が異なることを示す交番信号ＣＭＰｂ（又は交番信号ＣＭＰａ）の照合回路４への出力を停止した上で、リセット回路６に対してリセット信号の出力を指示する。リセット回路６は、リセット信号の出力指示を受けると、Ａ系及びＢ系演算処理回路２，３をリセット（再起動）させるリセット信号を出力する。
これにより、回数ＡＮが閾値ＳＬよりも少ない場合には、系間で照合結果が異なっていても、照合回路４から出力される状態信号ＦＳの交番を停止させずに、Ａ系及びＢ系演算処理回路２，３のリセットによって照合のやり直しを行なわせる。

また、回数ＡＮが閾値ＳＬに一致するか又は多い場合（ＡＮ≧ＳＬ）には、系間で照合結果が異なることを示す交番信号ＣＭＰｂ（又は交番信号ＣＭＰａ）を照合回路４へ出力させる一方、リセット信号の出力を指示せず、Ａ系及びＢ系演算処理回路２，３をリセット（再起動）しない。
即ち、計時完了信号ＴＵＰｂの入力ごとに、系間でデータを照合し、かつ、Ａ系で照合結果とＢ系での照合結果とが一致しているか否かを判断し、Ａ系とＢ系での照合結果が異なっていても、それまでに照合結果が異なっていると判断した積算回数ＡＮが閾値ＳＬに達していなければ、系間で照合結果が異なることを示す交番信号ＣＭＰａ，ＣＭＰｂの照合回路４への出力を停止した上で、リセット回路６にリセット信号の出力を指示して、２つの演算処理回路２，３をリセット（再起動）する。

系間で照合結果が異なることを示す交番信号ＣＭＰａ，ＣＭＰｂの照合回路４への出力を停止した上で、２つの演算処理回路２，３をリセット（再起動）することで、照合回路４からの状態信号ＦＳによって安全リレーが落ちることがなく、系間でのデータ照合がやり直され、システムの動作が継続される。
ここで、系間で照合結果が異なった要因が一過性のものではなく、固定故障によるものであって、リセット（再起動）後のデータ照合でも、系間で照合結果が異なり、リセットを繰り返した結果、回数ＡＮ（リセット回数）が閾値ＳＬ以上になると、系間で照合結果が異なることを示す交番信号ＣＭＰａ，ＣＭＰｂの照合回路４への出力を行なうと共に、２つの演算処理回路２，３のリセットを停止し、その結果、照合回路４が出力する状態信号ＦＳは、ハイレベル又はローレベルを保持するようになって安全リレーが落下するため、外部の制御対象装置への電源供給が遮断されて、システム動作を停止する。

即ち、系間で照合結果が異なっても、その回数が閾値ＳＬに達するまでは、一過性の要因によるものである可能性があるので、交番信号ＣＭＰａ，ＣＭＰｂの照合回路４への出力停止及びリセットによってシステム動作を継続させるが、系間で照合結果が異なった回数の積算が閾値ＳＬに達した場合には、固定故障が発生している可能性があるので、リセットを中止して交番信号ＣＭＰａ，ＣＭＰｂを照合回路４へ出力することで、照合回路４からの状態信号ＦＳにより安全リレーを落とし、システム動作を停止させる。
従って、一過性の要因によって系間で照合結果が異なった場合に、直ちにシステム動作を停止させてしまうことがなく、システムの稼動率が過剰に低下することを抑制でき、また、固定故障が発生していて、系間で照合結果が異なる状態が繰り返される場合（系間で照合結果が異なる頻度が高い場合）、安全リレーを落として電源遮断を行うことで、システムのフェイルセーフを実現できる。

尚、Ｂ系演算処理回路３側の照合結果比較部３１０においても同様の処理が行われ、一連の照合処理は、２つの演算処理回路２，３において、同一のクロック信号ＣＬＫ０に従って互いに同期して実行される。
そして、リセット回路６は、Ａ系演算処理回路２側の照合結果比較部２１０とＢ系演算処理回路３側の照合結果比較部３１０との少なくとも一方からリセット信号が出力された場合に、２つの演算処理回路２，３をリセット（再起動）する。

ここで、Ａ系演算処理回路２側で計数した回数ＡＮａと、Ｂ系演算処理回路３側で計数した回数ＡＮｂとを相互に受け渡し、２つの演算処理回路２，３それぞれが、両回数ＡＮのうちのより多い方の回数ＡＮと閾値ＳＬとを比較し、この比較結果に基づいてリセット信号の出力を制御することができる。

次に、２重化演算装置における照合処理を、図２のフローチャートに従って説明する。図２のフローチャートは、Ａ系及びＢ系演算処理回路２，３双方の処理に対応する記載としているが、説明は、Ａ系演算処理回路２での処理を中心に行う。
まず、計時完了信号ＴＵＰｂを入力すると（ステップＳ５０１）、検査部２０１は、タイマ値Ｔａの変化分ΔＴａが所定値Ｎであるか否かを判定する（ステップＳ５０２）。

検査部２０１における判定の結果、変化分Ｔａが所定値Ｎからずれている場合、故障検知部２００は故障の発生を検出する（ステップＳ５１６）。
次に、監視タイマ部２０２からタイマ値ＴａがＢ系の演算処理回路３に出力され（ステップＳ５０３）、そして、検査部２０１は、Ｂ系演算処理回路３（他系）から入力したタイマ値Ｔｂと、自系でのタイマ値Ｔａとを比較する（ステップＳ５０４）。タイマ値Ｔｂとタイマ値Ｔａとの比較の結果、これらの値が一致しなければ、故障検知部２００は故障の発生を検出する（ステップＳ５１６）。

次に、出力部２０６は、データＤａ（ポジティブデータ）をＢ系演算処理回路３に出力し（ステップＳ５０５）、照合部２０８は、Ｂ系演算処理回路３から入力したデータＤｂと、記憶部２０５から読み出したデータＤＡＴＡａとを照合し、その結果を示す交番信号ＣＭＰａを、照合回路４と共に、自系の照合結果比較部２１０及び他系の照合結果比較部３１０に出力する（ステップＳ５０６）。
次に、出力部２０６は、データＤＡＴＡａを上述した論理反転処理して得たデータＤａ（ネガティブデータ）を、Ｂ系演算処理回路３に出力する（ステップＳ５０７）。

そして、照合部２０８は、Ｂ系演算処理回路３においてデータＤＡＴＡｂを同様に論理反転処理して得たデータＤｂ（ネガティブデータ）と、記憶部２０５から読み出したデータＤＡＴＡａ（ポジティブデータ）とを照合し、その結果を示す交番信号ＣＭＰａを、自系の照合結果比較部２１０及び他系の照合結果比較部３１０に出力する（ステップＳ５０８）。

このように、データＤａとデータＤｂとの照合においては、前述のように、データＤｂそのまま（ポジティブデータ）と、このデータＤｂを反転させたデータ（ネガティブデータ）とを交互にデータＤａと比較させることで、データＤａとデータＤｂとが一致する正常状態で、照合結果が一致・不一致を繰り返すことになり、この一致・不一致の繰り返しに対応してハイレベルとローレベルとを繰り返す交番信号ＣＭＰａが生成されるようになっている。
尚、図中、「（Ｐ）」は論理反転処理していないポジティブデータを表し、一方、「（Ｎ）」は論理反転処理したネガティブデータを表す。

次に、照合結果比較部２１０は、Ａ系での照合結果を示す交番信号ＣＭＰａと、Ｂ系での照合結果を示す交番信号ＣＭＰｂとを比較し、これらが一致しているか不一致であるかを判断する（ステップＳ５０９）。
そして、一致していれば、照合結果比較部２１０は、入力した交番信号ＣＭＰｂ（又は交番信号ＣＭＰａ）をそのまま照合回路４に出力する。
一方、不一致の場合、回数記憶部２１１に記憶している積算回数ＡＮを読み出して、積算回数ＡＮを今回の不一致判定を受けて１だけ増大させ、増大させた後の積算回数ＡＮを回数記憶部２１１に更新記憶させる（ステップＳ５１０）。

尚、前記積算回数ＡＮの初期値は０であり、Ａ系での照合結果とＢ系での照合結果とが異なった回数の初期状態からの積算結果を示す。
次いで、増大させた積算回数ＡＮａをＢ系演算処理回路３の照合結果比較部３１０に出力し（ステップＳ５１１）、更に、自系で計数した積算回数ＡＮａと、Ｂ系演算処理回路３から入力したＢ系での積算回数ＡＮｂとに基づいて、リセット処理を行うか否かの判定に用いる積算回数ＡＮＲを設定する（ステップＳ５１２）。
ここで、例えば、自系で計数した積算回数ＡＮａと、Ｂ系演算処理回路３から入力したＢ系での積算回数ＡＮｂとのより多い方を、前記積算回数ＡＮＲに設定することができる。また、系間での積算回数ＡＮの受け渡しを行なわずに、自系で計数した積算回数ＡＮをそのまま積算回数ＡＮＲに設定することができる。また、自系で計数した積算回数ＡＮが他系で計数した積算回数ＡＮよりも多い場合や、自系で計数した積算回数ＡＮと他系で計数した積算回数ＡＮとが異なる場合に、前記積算回数ＡＮＲを強制的に既定の最大値（＞閾値ＳＬ）に設定し、リセット信号を出力させるようにできる。

次に、照合結果比較部２１０は、前記積算回数ＡＮＲが、予め記憶してある閾値ＳＬ以上であるか否かを判断する（ステップＳ５１３）。ここで、積算回数ＡＮＲが閾値ＳＬ未満（０≦ＡＮＲ＜ＳＬ）であれば、入力した交番信号ＣＭＰｂ（又は交番信号ＣＭＰａ）の照合回路４への出力を停止し、かつ、リセット回路６に対してリセット信号の出力を指示する。
リセット信号の出力指示を受けたリセット回路６は、２つの演算処理回路２，３それぞれにリセット信号を出力し、２つの演算処理回路２，３をリセット（再起動）する（ステップＳ５１４）ことで、照合処理のやり直しを実施させる。

上記のリセット処理では、入力した交番信号ＣＭＰｂ（又は交番信号ＣＭＰａ）の照合回路４への出力を停止するので、安全リレーは落下することはなく、２つの演算処理回路２，３は電源投入時の初期状態に戻ってデータ照合がやり直され、その結果、照合結果が一致する状態に戻れば、照合回路４が出力する状態信号ＦＳは交番を継続することになる。
尚、前記閾値ＳＬは、一過性の要因によって照合結果が不一致になった場合に、システムのフェイルセーフを確保できる範囲内で、動作を継続させることができる値として、予め適合してある。
また、リセット回路による演算処理回路２，３のリセット処理には、上記のように、演算処理回路２，３を電源投入時の初期状態に戻してデータ照合をやり直させる処理の他、初期状態に戻さずに照合シーケンスのみをやり直させる処理を含むものとする。

これにより、一過性の要因によって照合結果が一時的に不一致になった場合に、直ちに安全リレーが落ち、動作を停止してしまうことが抑制され、フェイルセーフを確保しつつ、システムの稼動率を向上させることができる。
また、自系で計数した積算回数ＡＮと他系で計数した積算回数ＡＮとを系間で受け渡し、より大きい側の積算回数ＡＮに基づいてリセット信号の出力を制御するようにすれば、回数記憶部２１１，３１１の故障などによって系間で計数結果が異なった場合に、リセットによって過剰にシステム動作を継続させてしまうことを抑制して、システムをより安全サイドに導くことができる。

一方、積算回数ＡＮＲが閾値ＳＬ以上になっている場合には、Ａ系とＢ系との間における照合結果の不一致は、一過性のものではなく、何らかの故障・異常が継続して発生しているものと推定できる。
そこで、積算回数ＡＮＲが閾値ＳＬ以上になっている場合には、入力した交番信号ＣＭＰｂ（又は交番信号ＣＭＰａ）の照合回路４への出力を行なうと共に、リセット回路６に対するリセット信号の出力指示を行なわず、照合回路４が、Ａ系での照合結果を示す交番信号ＣＭＰａと、Ｂ系での照合結果を示す交番信号ＣＭＰｂとが不一致であることに基づいて、状態信号ＦＳをハイレベル又はローレベルに保持するようにし、これによって安全リレーが落下して、外部の制御対象装置への電源供給が遮断し、システム動作を停止させ、システムのフェイルセーフを図る（ステップＳ５１５）。

尚、本実施形態では、起動時やアイドル時間などを利用して、回数記憶部２１１，３１１の健全性をチェックし、回数記憶部２１１，３１１が記憶する積算回数ＡＮが、閾値ＳＬ以内で固定する故障などが発生していないことを確かめた上で、システム動作を許容するようにしている。回数記憶部２１１，３１１の健全性チェックとして、例えば冗長符号（回数記憶部２１１，３１１全体のＳＵＭ値やＣＲＣ）を付与しておき、格納データと符号のチェックを行なうチェック方法などを適用できる。
回数記憶部２１１，３１１に記憶する積算回数ＡＮは、例えば、照合結果が一致する状態が設定時間以上継続したときに０にリセットしたり、１日単位で動作させるシステムであれば、１日の終わりにシステムを停止させるときに０にリセットしたり、電源スイッチの操作によって起動するときの初期化処理で０にリセットしたりすることができる。
また、前述した回数記憶部２１１，３１１の健全性チェックによって回数記憶部２１１，３１１の格納値に信憑性が得られない場合に積算回数ＡＮの初期化（０にリセットする）を試み、初期化に成功した場合にシステム動作を継続し、初期化が成功しなかった場合にはシステム動作を停止させることができる。

図３は、照合処理の動作を示すタイムチャートである。ここで、符号Ａｐ１〜Ａｐ３と符号Ｂｐ１〜Ｂｐ３は、それぞれ、Ａ系とＢ系のポジティブデータを表し、符号Ａｎ１〜Ａｎ３と符号Ｂｎ１〜Ｂｎ３は、それぞれ、Ａ系とＢ系のネガティブデータを表す。
Ａ系演算処理回路２とＢ系演算処理回路３は、同一のクロック信号ＣＬＫ０に同期するため、それぞれ、計時完了信号ＴＵＰａ，ＴＵＰｂを同一のタイミングで出力する。
従って、Ａ系演算処理回路２とＢ系演算処理回路３は、それぞれ、同一のタイミングでデータＤａ，Ｄｂを出力し、照合部２０８，３０８は、同一のタイミングで照合処理を行うことができる。

データＤａ，Ｄｂは、それぞれ、計時完了信号ＴＵＰａ，ＴＵＰｂの半周期ごとにポジティブデータとネガティブデータとを交互に繰り返すから、データが一致する正常時において、交番信号ＣＭＰａ，ＣＭＰｂは、一致を表すハイレベルと不一致を表すローレベルとを交互に繰り返すことになり、このとき、照合回路４は、上述したように、交番信号ＣＭＰａ，ＣＭＰｂと同様に交番する状態信号ＦＳを出力する。
一方、図４に示すように、データＤＡＴＡａにエラーデータＥｐが生じた場合、このエラーデータＥｐ，ＥｎとデータＢｐ２，Ｂｎ２との照合の結果、本来一致を示すタイミングで不一致となって異常が検知されるが、照合結果の不一致を検出した回数ＡＮが閾値ＳＬ以上になるまでは、リセットによって照合のやり直しを行なわせ、回数ＡＮが閾値ＳＬ以上になると、照合回路４が出力する状態信号ＦＳを一方のレベルに保持させるようにして、安全リレーを落下させる。

尚、上記実施形態では、照合部２０８，３０８の出力である交番信号ＣＭＰａ，ＣＭＰｂを、照合結果比較部２１０，３１０を経由させて、照合回路４に入力させるようにしたが、照合部２０８，３０８から直接交番信号ＣＭＰａ，ＣＭＰｂを照合回路４に入力させてもよい。但し、上記構成では、Ａ系とＢ系との間における照合結果が不一致となると、リセットを行なう場合であっても、照合回路４から出力される状態信号ＦＳの交番が停止して安全リレーが落ちてしまうため、リセット動作に伴って安全リレーを直ちに復帰させるようにするとよい。
また、本発明に係る２重化演算装置の適用範囲は、鉄道分野の装置に限定されず、例えば航空機に搭載される装置など、フェイルセーフ性を必要とする他分野の装置も本発明の適用範囲内にあるのは言うまでもない。
以上、好ましい実施例を参照して本発明の内容を具体的に説明したが、本発明の基本的技術思想及び教示に基づいて、当業者であれば、種々の変形態様を採り得ることは自明である。

１ 発振器
２，３ 演算処理回路
４ 照合回路
５ 検査用発振器
６ リセット回路
２０５，３０５ データ記憶部
２０６，３０６ 系間出力部
２０７，３０７ データ処理部
２０８，３０８ 照合部
２０９，３０９ 系間入力部
２１０，３１０ 照合結果比較部
２１１，３１１ 回数記憶部
ＣＬＫ０ クロック信号
ＣＬＫ１ 検査用クロック信号
ＴＵＰａ，ＴＵＰｂ 計時完了信号
ＣＭＰａ，ＣＭＰｂ 交番信号
Ｔａ，Ｔｂ タイマ値
ＤＡＴＡａ，ＤＡＴＡｂ データ

Claims (4)

1. 同一の処理を同期して行う第１演算処理手段及び第２演算処理手段が、他系のデータを読み込んで自系のデータと照合し、他系での照合結果を読み込んで系間で異なる照合結果となった回数を計数し、他系で計数された回数を読み込んで自系で計数した回数と比較し、当該比較により設定した回数が閾値に達するまでは前記第１演算処理手段及び前記第２演算処理手段のリセットを指示する、２重化演算装置。
2. 前記第１演算処理手段及び前記第２演算処理手段は、他系で計数された回数と自系で計数した回数との多い方を前記閾値と比較する、請求項１記載の２重化演算装置。
3. 前記第１演算手段の照合結果と前記第２演算手段の照合結果とを入力し、前記系間で照合結果が異なりかつ前記リセットの指示が停止されているときに、前記２重化演算装置を含むシステムの動作を停止させるフェイルセーフ照合手段を備えた、請求項１又は２記載の２重化演算装置。
4. 前記第１演算処理手段及び前記第２演算処理手段に共通のクロック信号を供給する発振手段を備え、前記第１演算処理手段及び前記第２演算処理手段は、前記クロック信号による計時に基づいて一定の周期で計時完了信号を他系に出力し、前記計時完了信号の入力を契機に、前記クロック信号に同期してデータを他系に出力し、前記データの照合結果を示す交番信号を前記フェイルセーフ照合手段に出力する、請求項３記載の２重化演算装置。