JP7455772B2 - 誤り検出機能付き論理回路および高安全制御システム - Google Patents

Description

本発明は誤り検出機能付き論理回路及び高安全制御システムに関する。

従来、誤り検出機能付き論理回路が知られている。例えば、特許文献１には、「多重化された機能ブロックの出力を比較し、誤りを検出する誤り検出機能付き論理回路において、前記機能ブロックの出力を比較し、誤りを検出する比較機能部を複数個備え、前記比較機能部の入力に交互に擬似的誤りを注入することを特徴とする」との記載がある。

従来の誤り検出機能付き論理回路は、二線論理に代表される冗長論理や剰余（ある数値を別の数値(法と呼ばれることもある)で除算した余り）符号（本明細書では、「複数ビットからなる符号(code)」という意味で用いる。正負を表す符号（sign）という意味ではない。）を用いたセルフチェッキング論理により構成されることが多い。
また、入力信号に冗長符号として剰余符号、実行されたオペレータの履歴を表す符号、そして時刻またはループ実行回数を表す符号を付加するVital coded microprocessorという方法も提案されている。

特開平０９－２８８１５０号公報

上記のVital coded microprocessorを用いれば、演算結果に付加された冗長符号部を検査することで、入力信号に付加された剰余符号により情報処理過程における加算、乗算での誤りを検出でき、さらに実行されたオペレータの履歴を表す符号によりオペレータの誤りを検出でき、時刻またはループ実行回数を表す符号により条件分岐やループ制御における誤りを検出できる。
なおこの場合、入力信号に冗長符号を付加する回路、および演算結果を検査する回路は危険側故障を避けるためにフェールセーフ性が本来備わっている回路とすることが必要である。この回路はIntrinsic Fail Safeなどと呼ばれる。

現在までに様々な「フェールセーフ性が本来備わっている回路」が提案されている。例えば、リレーを用いたものや、トランスの巻き線を利用したもの、配線間隔や配線経路、配線層数などの特殊な設計制約や特殊な製造プロセスにより作られた半導体素子などが挙げられる。
これらの回路は最新の半導体による論理回路と比べて寸法が大きなものであったり、動作速度が遅いものであることが多く、製造方法や用途の特殊性から生産中止になりやすい可能性もある。そこで以上挙げた従来技術では、入力信号に冗長符号を付加する回路、および演算結果を検査する回路を最新の半導体による論理回路で実現可能にして小型化、高速化、さらには低コスト化、製造プロセスの汎用化を図るための更なる考慮が望ましい。

そこで本発明では、特殊な半導体素子に依存することなく、汎用的な回路要素を組み合わせたシステムとして「フェールセーフ性が本来備わっている回路」を実現することを目的とする。汎用的な回路要素を組み合わせたシステムとして「フェールセーフ性が本来備わっている回路」を構成すれば、各回路要素（入力信号に冗長符号を付加する回路、および演算結果を検査する回路など）を最新の半導体による論理回路で実現することができ、小型化、高速化、さらには低コスト化、製造プロセスの汎用化を図ることができる。

上記目的を達成するために代表的な本発明の誤り検出機能付き論理回路および高安全制御システムの一つは、入力信号に第１の冗長符号を付加する第１の冗長符号化部と、前記第１の冗長符号が付加された前記入力信号と少なくとも前記第１の冗長符号が付加されていない前記入力信号とを切り替える切り替え部と、前記切り替え部からの出力を処理する処理部と、前記処理部による処理結果に対し、前記第１の冗長符号に対応する検査を行う第１の冗長符号検査部とを備え、前記切り替え部による入力信号切り替えに対応して前記第１の冗長符号検査部による検査結果が正常と異常との間で切り替わるときに、誤りのない正常な状態として動作することを特徴とする。

本発明によれば、汎用的な回路要素を組み合わせてフェールセーフ性を本来的に備える回路を実現できる。上記した以外の課題、構成及び効果は以下の実施の形態の説明により明らかにされる。

本発明の基本的実施例 本発明による誤り検出符号の原理（その１） 本発明による誤り検出符号の原理（その２） 本発明による誤り検出符号の原理（その３） 本発明による動作波形（その１） 本発明による動作波形（その２） 本発明による動作波形（その３） 本発明による動作波形（その４） 本発明による動作波形（その５） 冗長符号検査部３００の実施例 合理性チェック部３１０の実施例 出力回路部４００の実施例（その１） 出力回路部４００の実施例（その２） 出力回路部４００の実施例（その３） 第２の冗長符号化部１００－２を特定の冗長符号に限らず、第１の冗長符号化部１００－１の系列の冗長符号以外の符号化部とした実施例 本発明による誤り検出符号の原理 本発明による動作波形（その１） 本発明による動作波形（その２） 本発明による動作波形（その３） 本発明による動作波形（その４） テストパターンを注入する実施例（その１） テストパターンを注入する実施例（その２） 本発明を用いた高安全制御システムの実施例

以下図に従い、本発明の実施例について説明を加える。

図１は本発明の基本的な実施例である。
入力信号は第１の冗長符号化部１００－１および第２の冗長符号化部１００－２に入力され、それらの冗長符号化部の出力は切り替え部１１０により時系列的に交互に切り替えられる。冗長符号化部で付加する冗長符号は従来技術に基づくものでよい。例えば、最も簡単なものでは偶数、奇数パリティ、それぞれ法（入力数値を除算する数値）が異なる剰余符号や、生成多項式が異なる冗長符号とすることが考えられる。またVital coded microprocessorでは、剰余符号、実行されたオペレータの履歴を表す符号、そして時刻またはループ実行回数を表す符号の一部または全部を異なる系列とすることが考えられる。例えば、時刻を表す符号として異なる系列の疑似乱数を用いることが考えられる。なお、冗長符号の誤り検出能力は一般に、２＾－ｎ（ｎ：冗長ビットの数）とあらわされるため、１ビットだけのパリティよりはより多くのビットを付加した冗長符号の方が検出能力が高まることは勿論のことである。

情報処理部２００では冗長符号化された入力信号を装置の目的を達成するために予め定められたアルゴリズムに基づき処理を実行しその結果を第１の冗長符号検査部３００－１と第２の冗長符号検査部３００－２、出力回路部４００に出力する。合理性チェック部３１０は、第１の冗長符号検査部３００－１と第２の冗長符号検査部３００－２が切り替え部１１０での切り替えに同期して互い違いに、かつ時系列的に正常、異常出力を繰り返したときに誤りのない正常な状態として動作する。

詳細については後述するが、合理性チェック部３１０は、第１の冗長符号検査部３００－１と第２の冗長符号検査部３００－２の出力を用い、これらが正常と異常を互い違いに出力しているときに交番信号を生成して出力する回路である。そして、合理性チェック部３１０が出力する交番信号は、そのまま出力許可信号として出力回路部４００に入力される。出力回路部４００は合理性チェック部３１０から出力許可信号としての交番信号が出力されているときに制御出力を出力し、合理性チェック部３１０から交番信号が出力されていなければ制御出力を停止する。

図２～図４に図１の実施例を情報処理部２００における情報処理を入力から出力への写像として説明する。図２～４示すように第１および第２の冗長符号化部１００－１、１００－２では入力信号に系列１、２の異なる冗長符号を付加して切り替え部１１０によって時系列に交互に切り替えられる。このとき、情報処理部２００が正常な場合には、系列１の冗長符号を付加された入力信号ｘ１は情報処理部２００における情報処理により系列１の冗長符号の符号語（冗長符号として辻褄のあっている符号、正しい符号）ｙ１に変換され、系列２の冗長符号を付加された入力信号ｘ２も同様に情報処理部２００における情報処理により系列２の冗長符号の符号語ｙ２に変換される。

ここで、情報処理部２００で異常が発生した場合には情報処理結果として符号語出力が得られなくなる（仮に出力が得られても符号語出力ではなくなる）ので、処理結果を第１の冗長符号検査部３００－１と第２の冗長符号検査部３００－２で検査することにより情報処理部２００の異常を検出することができる。また、第１の冗長符号化部１００－１および第２の冗長符号化部１００－２、切り替え部１１０で異常が発生した時も同様に情報処理結果として符号語出力が得られなくなるので、処理結果を第１の冗長符号検査部３００－１と第２の冗長符号検査部３００－２で検査することにより第１の冗長符号化部１００－１および第２の冗長符号化部１００－２、切り替え部１１０の異常を検出することができる。

続いて、図３に第１の冗長符号検査部３００－１の動作、図４に第２の冗長符号検査部３００－２の動作を示す。図３に示すように第1の冗長符号検査部３００－１は第１の冗長符号化部１００－１により符号化された入力ｘ１に基づく情報処理結果ｙ１は符号語と見なし、第２の冗長符号化部１００－２により符号化された入力ｘ２に基づく情報処理結果ｙ２は非符号語と見なすために、切り替え部１１０によりｘ１、ｘ２を時系列的に交互に切り替えられることにより、正常、異常の出力を交互に繰り返すことになる。その結果、正常と判定する機能だけでなく異常と判定する機能も常時確認できるだけでなく出力のＨ，Ｌ固定故障も検出することができる。

同様に図４に示すように第２の冗長符号検査部３００－２は第１の冗長符号化部１００－１により符号化された入力ｘ１に基づく情報処理結果ｙ１は非符号語と見なし、第２の冗長符号化部１００－２により符号化された入力ｘ２に基づく情報処理結果ｙ２は符号語と見なすために、切り替え部１１０によりｘ１、ｘ２を時系列的に交互に切り替えられることにより、正常、異常の出力を交互に繰り返すことになる。その結果、正常と判定する機能だけでなく異常と判定する機能も常時確認できるだけでなく出力のＨ，Ｌ固定故障も検出することができる。

本実施例の正常時の動作波形を図５に示す。切り替え部１１０からは符号系列１による入力と符号系列２による入力（図中ハッチングで示す）が交互に出力される。その結果、情報処理部２００からも符号系列１による出力と符号系列２による出力（図中ハッチングで示す）が交互に出力される。情報処理部２００のからの信号が入力される第１の冗長符号検査部３００－１、第２の冗長符号検査部３００－２は図４に示すように時系列的に交互に、互い違いに正常、異常を示す信号を出力する。合理性チェック部３１０では、第１の冗長符号検査部３００－１、第２の冗長符号検査部３００－２から時系列的に交互に、互い違いに正常、異常を示す信号が出力されたときにのみ正常として合理性チェック部３１０も交番信号を出力する。

ここで、図６に示すように情報処理部２００において異常（Ｘ）が発生した場合には、第１の冗長符号検査部３００－１、第２の冗長符号検査部３００－２のいずれかで異常が検出されて、合理性チェック部３１０は交番信号の出力を停止する。

続いて、第１の冗長符号化部１００－１または切り替え部１１０で異常が発生した場合には、図７に示すように異常（Ｘ）は切り替え部１１０の出力から情報処理部２００の出力に伝搬し、第１の冗長符号検査部３００－１、第２の冗長符号検査部３００－２のいずれかで異常が検出されて、合理性チェック部３１０は交番信号の出力を停止する。これは第２の冗長符号化部１００－２で異常が発生した場合も同様に検出可能であることは言うまでもない。

次に切り替え部１１０の固着故障（Ｘ）で第２の冗長符号検査部３００－２の出力から第１の冗長符号検査部３００－１の出力に切り替えられなくなった場合も、図８に示すように切り替え部１１０は本来第１の冗長符号検査部３００－１の出力であるべき時に第２の冗長符号検査部３００－２の出力となり、情報処理部２００の出力も本来第１の冗長符号検査部３００－１の出力に基づく出力であるべき時に第２の冗長符号検査部３００－２の出力に基づく出力となり、第１の冗長符号検査部３００－１、第２の冗長符号検査部３００－２で異常が検出されて、合理性チェック部３１０は交番信号の出力を停止する。

また、図９に示すように、第２の冗長符号検査部３００－２で異常（Ｘ）が発生した場合には、合理性チェック部３１０は交番信号の出力を停止する。なお、第１の冗長符号検査部３００－１で異常が発生した場合も、合理性チェック部３１０は交番信号の出力を停止して異常を検出できる。

以上述べたように本発明によれば、システムを構成する第１の冗長符号化部１００－１、第２の冗長符号化部１００－２、切り替え部１１０、情報処理部２００、第１の冗長符号検査部３００－１、第の冗長符号検査部３００－２のいずれかで異常が発生しても、合理性チェック部３１０は交番信号の出力を停止し、異常を検出することができる。

図１０は、Viral Coded Processorに本発明を適用するための冗長符号検査部３００の実施例である。多くの制御用途に用いる情報処理部２００はあらかじめ定められた動作をあらかじめ定められた順番で実行する。これらにViral Coded Processorを適用した場合には、情報処理部２００から出力される冗長符号はあらかじめ生成することができるので、あらかじめ生成した冗長符号をＲＯＭ３０１に書き込んで置き、実行時に情報処理部２００から出力される冗長符号と比較器３０２で比較することで冗長符号の検査が可能である。

本発明を適用した場合でも同様に、入力に異なる系列の冗長符号を時系列的に交互に切り替えながら付加して情報処理を実行させた結果の冗長符号もあらかじめ生成が可能なので、あらかじめ生成した冗長符号をＲＯＭ３０１に書き込んで置き、実行時に情報処理部２００から出力される冗長符号と比較器３０２で比較することで冗長符号の検査が可能となる。また、入力に系列１の冗長符号を付加した情報処理結果の冗長符号をＲＯＭ３００－１に書き込み、入力に系列２の冗長符号を付加した情報処理結果の冗長符号をＲＯＭ３００－２に書き込み、それぞれを実行時に情報処理部２００から出力される冗長符号と比較器３０２－１、２で比較することで冗長符号の検査が可能となる。

図１１は合理性チェック部３１０の実施例である。
制御フレーム（入出力の切り替わり）を示すストローブ信号（Strobe）がＤ－ＦＦ１、Ｄ－ＦＦ２のクロック端子に入力されている。Ｄ－ＦＦ１のＱ出力はＡＮＤ２を介してＤ－ＦＦ２のＤ入力に接続され、Ｄ－ＦＦ２のＱ出力はＡＮＤ１を介してＤ－ＦＦ１のＤ入力に接続されている。ＡＮＤ１にはＤ－ＦＦ２のＱ出力、第１の冗長符号検査部３００－１の出力であるＩＮ１、第２の冗長符号検査部３００－２の出力であるＩＮ２の反転信号が入力されている。ＡＮＤ２にはＤ－ＦＦ１のＱ出力、第１の冗長符号検査部３００－１の出力であるＩＮ１の反転信号、第２の冗長符号検査部３００－２の出力であるＩＮ２が入力されている。

システムの起動時にはリセット信号ＲＥＳによりＤ－ＦＦ１はリセットされＱ出力の初期値はＨ、Ｄ－ＦＦ２はプリセットされてＱ出力の初期値はＬにセットされる。リセット解除後の最初の入力は、第１の冗長符号化部１００－１の出力が切り替え部１１０により選択されて情報処理部２００に入力される。その結果、情報処理部２００からは符号系列１に相当する処理結果が出力され、第１の冗長符号検査部３００－１は正常を表すＬレベルの信号、第２の冗長符号検査部３００－３は異常を表すＨレベルの信号を出力する。このとき、合理性チェック部３１０内のＡＮＤ２では、Ｄ－ＦＦ１のＱ出力がＨ、第１の冗長符号検査部３００－１の出力であるＩＮ１の反転信号がＨ、第２の冗長符号検査部３００－２の出力であるＩＮ２がＨであるためＨをＤ－ＦＦ２のＤ入力に出力して、制御フレームの変わり目でストローブ信号（Strobe）は立ち上がり、Ｄ－ＦＦ２のＱ出力がＬからＨに変化する。

続いて二番目の入力は第２の冗長符号化部１００－２の出力が切り替え部１１０により選択されて情報処理部２００に入力される。その結果、情報処理部２００からは符号系列２に相当する処理結果が出力され、第１の冗長符号検査部３００－１は異常を表すＨレベルの信号、第２の冗長符号検査部３００－３は異常を表すＬレベルの信号を出力する。このとき、合理性チェック部３１０内のＡＮＤ１ではＤ－ＦＦ２のＱ出力がＨ、第１の冗長符号検査部３００－１の出力であるＩＮ１の反転信号がＨ、第２の冗長符号検査部３００－２の出力であるＩＮ２がＨであるためＨをＤ－ＦＦ１のＤ入力に出力して、制御フレームの変わり目でストローブ信号（Strobe）は立ち上がり、Ｄ－ＦＦ１のＱ出力がＬからＨに変化する。システム全体が正常な場合には以上述べた動作を繰り返すため、合理性チェック部３１０の出力ＯＵＴはＨ，Ｌと交互に変化する交番信号を出力する。もし何らかの異常が発生した場合には、冗長符号検査部３００－３内のＤ－ＦＦ１、Ｄ－ＦＦ２は共にＬ，Ｌの状態となり、Ｈ，Ｌと交互に変化する交番信号の出力は停止する。

図１２～図１４は出力回路部４００の実施例である。
図１２の実施例では合理性チェック部３１０または冗長符号検査部３００からの出力許可信号を情報処理部２００からの出力信号によりＳＷで切り替えて制御出力とする。図１２の実施例によれば合理性チェック部３１０または冗長符号検査部３００が何らかの誤りにより出力許可信号を出力してしまう蓋然性を下げるための何らかの方法で構成している場合に特に有効である。例えば、合理性チェック部３１０または冗長符号検査部３００をユネイトな回路などの特殊な回路で構成したり、特殊な符号（シグナチャー）（本発明ではＨ，Ｌを周期的に繰り替える交番信号）を出力許可信号とする、などが考えられる。

また、情報処理部２００からの出力信号を何らかの誤りにより出力してしまう蓋然性を下げるための何らかの方法で構成している場合には、図１３に示すように、情報処理部２００からの出力信号を合理性チェック部３１０または冗長符号検査部３００からの出力許可信号によりＳＷで切り替えることも可能である。

図１４は、合理性チェック部３１０または冗長符号検査部３００からの出力許可信号を情報処理部２００からの出力信号によりＳＷで切り替えて、さらに増幅器４０１、高域通過濾波部ＬＰＦ４０２、整流部４０３からなるフェールセーフアンプ４０４により制御出力とする実施例である。フェールセーフアンプ４０４では、増幅器４０１で生成したエネルギーを整流部４０３で直流電圧に変換するユネイトな回路であるうえ、高域通過濾波部ＬＰＦ４０２で直流成分がカットされるためにＨ，Ｌ固着故障による誤動作も起こりにくい構成となっている。高域通過濾波部ＬＰＦ４０２はトランスフォーマ（変成器）、キャパシタなどの素子で構成されることが考えられる。本実施例は、図１２と同様に合理性チェック部３１０または冗長符号検査部３００が何らかの誤りにより出力許可信号を出力してしまう蓋然性を下げるための何らかの方法で構成している場合に特に有効で、特に本発明のようにＨ，Ｌを周期的に繰り替える交番信号を出力許可信号としているときに特に有効である。

図１５は、図１の実施例のうち、第２の冗長符号化部１００－２を特定の冗長符号に限らず、第１の冗長符号化部１００－１の系列の冗長符号以外の符号化部１００－２とし、情報処理部２００の出力を第１冗長符号検査部でチェックする実施例である。

図１６に図１５に示した情報処理部２００における情報処理を入力から出力への写像として説明する。情報処理部２００が正常な場合には、系列１の冗長符号を付加された入力信号ｘ１は情報処理部２００における情報処理により系列１の冗長符号の符号語（冗長符号として辻褄のあっている符号、正しい符号）ｙ１に変換される。情報処理部２００で異常が発生した場合には情報処理結果として符号語出力が得られなくなるので、処理結果を第１の冗長符号検査部３００－１で検査することにより情報処理部２００の異常を検出することができる。

また、第１の冗長符号化部１００－１、切り替え部１１０で異常が発生した時も同様に情報処理結果として符号語出力が得られなくなるので、処理結果を第1の冗長符号検査部３００－１で検査することにより第１の冗長符号化部１００－１、切り替え部１１０の異常を検出することができる。第１の冗長符号検査部３００－１は第１の冗長符号化部１００－１により符号化された入力ｘ１に基づく情報処理結果ｙ１は符号語と見なし、第１の冗長符号化部１００－１の系列の冗長符号以外の符号化部１００－２により符号化された入力ｘ２に基づく情報処理結果ｙ２は非符号語と見なすために、切り替え部１１０によりｘ１、ｘ２を時系列的に交互に切り替えられることにより、正常、異常の出力を交互に繰り返すことになる。その結果、正常と判定する機能だけでなく異常と判定する機能も常時確認でき、出力のＨ，Ｌ固定故障も検出することができる。

本実施例の正常時の動作波形を図１７に示す。切り替え部１１０からは符号系列１による入力と第１の冗長符号化部１００－１の系列の冗長符号以外の符号化部１００－２による入力（図中ハッチングで示す）が交互に出力される。その結果、情報処理部２００のからも符号系列１による出力と第１の冗長符号化部１００－１の系列の冗長符号以外の符号化部１００－２による出力（図中ハッチングで示す）が交互に出力される。情報処理部２００のからの信号が入力される第１の冗長符号検査部３００－１は図１７に示すように時系列的に交互に正常、異常を示す信号を出力する。

ここで、図１８に示すように情報処理部２００において異常（Ｘ）が発生した場合には、第１の冗長符号検査部３００－１で異常が検出されて、出力信号に歯抜けが発生する。

続いて、第１の冗長符号化部１００－１または切り替え部１１０で異常が発生した場合には、図１９に示すように異常（Ｘ）は切り替え部１１０の出力から情報処理部２００の出力に伝搬し、第１の冗長符号検査部３００－１で異常が検出されて、出力信号に歯抜けが発生する。

次に切り替え部１１０の固着故障（Ｘ）で第１の冗長符号化部１００－１の系列の冗長符号以外の符号化部１００－２の出力から冗長符号化部１００－１の出力に切り替えられなくなった場合も、図２０に示すように切り替え部１１０は本来第１の冗長符号検査部３００－１の出力であるべき時に第１の冗長符号化部１００－１の系列の冗長符号以外の符号化部１００－２の出力となり、情報処理部２００の出力も本来第１の冗長符号検査部３００－１の出力に基づく出力であるべき時に第１の冗長符号化部１００－１の系列の冗長符号以外の符号化部１００－２の出力に基づく出力となり、第１の冗長符号検査部３００－１で異常が検出されて、出力信号に歯抜けが発生する。

図２１は、第１の冗長符号化部１００－１で符号化した入力信号にテストパターン生成部１２０で生成したテストパターンを周期的に排他的論理和１３０で注入する実施例で、テストパターンを注入後の冗長符号は図１５の実施例における「第１の冗長符号化部１００－１の系列の冗長符号以外の符号化部１００－２」での符号化に相当し、故障や異常の検出の仕組みは図１５の実施例と同一である。

本実施例によれば、「第１の冗長符号化部１００－１の系列の冗長符号以外の符号化部１００－２」での符号化を、第１の冗長符号化部１００－１情報処理部２００、第１の冗長符号検査部３００－１での故障、異常検出に適したテストパターンとすることができる。なお、これらの回路がＦＰＧＡで構成されている場合のテストパターンの生成及び検査方法は任意の既存技術を用いればよい。

図２２は、二重化した第１の冗長符号化部１００－１、１００－１’の出力にテストパターン生成部１２０－１、１２０－２で生成したテストパターンを排他的論理和１３０－１、１３０－２で注入して比較器１４０で比較し、さらに情報処理部２００での処理結果にテストパターン生成部１２０－３で生成したテストパターンを排他的論理和１３０―３で注入して第１の冗長符号検査部３００－１に入力し、比較器１４０の出力と冗長符号検査部３００－１の出力を合理性チェック部３１０でチェックして出力許可信号とする実施例である。

本実施によれば、第１の冗長符号化部を二重化して１００－１、１００－１’とすることにより第１の冗長符号化部の故障や異常を検出可能とし、さらにこれらの出力にテストパターン生成部１２０－１、１２０－２で生成したテストパターンを排他的論理和１３０－１、１３０－２で注入することで、比較器１４０の異常や故障を検出可能にし、情報処理部２００での処理結果にテストパターン生成部１２０－３で生成したテストパターンを排他的論理和１３０―３で注入することにより第１の冗長符号検査部３００－１の異常や故障を検出できるようにしている。なお、第１の冗長符号検査部３００－１が図１０の実施例に示すように比較器３０１より構成されている場合、これらの回路がＦＰＧＡで構成されている場合のテストパターンの生成及び検査方法は任意の既存技術を用いればよい。

図２３は本発明を用いた高安全制御システムの実施例である。出力回路部４００からの制御出力はリレー５０を駆動する。なおこのとき、出力回路部４００は図１４に示すように最終段にフェールセーフアンプ４０４を用いる実施例がＨ，Ｌ固着故障による誤動作も起こりにくい構成となるので望ましい。

リレー５０が駆動されている（扛上している）間は車輪を制動するブレーキは動作せず、リレー５０が駆動されずに落下した場合には車輪を制動するブレーキが動作する。または、リレー５０が駆動されている（扛上している）間は加速動作を許可し、リレー５０が駆動されずに落下した場合には加速動作を許可しない。

以上述べた実施例によれば、第１の冗長符号化部１００－１、第２の冗長符号化部１００－２、切り替え部１１０、情報処理部２００、第１の冗長符号検査部３００－１、第２の冗長符号検査部３００－２が正常動作しており、合理性チェック部３１０から出力許可信号として交番信号が出力されているときには、出力回路部４００内のフェールセーフアンプ４０４はリレー５０を扛上させるため、車輪を制動するブレーキは動作しないか加速動作が許可される。この間、情報処理部２００は車両を制御するための演算などを行う。情報処理部２００に異常が発生した場合には合理性チェック部３１０からの出力許可信号としての交番信号が停止して、車輪を制動するブレーキが作動するか加速動作が停止されて車両は停止して安全を確保できる。

これまで説明してきたように、実施例では以下の手段を採用している。
（１） 入力信号を複数系統に分岐させ、少なくとも１の系列に冗長符号を付加し、分岐した入力信号の時系列的に交互に切り替えて処理対象とする。
（２） 入力信号の処理結果を少なくとも１系列の冗長符号の検査部で検査する。
（３） 上記検査部の出力が（１）の切り替えに同期して正常→異常→正常...と時系列的に交互に変化することをもって正常と判断する。
（４）さらに望ましくは、入力信号の処理結果を少なくとも２系列の冗長符号の検査部で検査する。
手段（３）において、「正常」出力が得られることにより手段（１）のための冗長符号化部、手段（２）のための検査部、それらの間の情報処理部の動作の正常性を確認することができる。さらに、手段（３）において、「異常」出力が得られることにより手段（１）のための冗長符号化部の切り替え部、手段（２）のための検査部の異常検出能力が正常であることを確認することができる。従って、信号の入力から処理のための機能の正常性を確認できるだけでなく、正常と判断するための検査機能の正常性も同時に確認することができる。
なお、手段（３）において、「異常」出力が得られているときには、情報処理結果が正常であるという保証がないので情報処理結果を採用することができないため、情報処理結果が正常であるという保証を得るためには、手段（１）において同一の入力信号について時系列的に２系列の、即ち２度にわたって冗長符号を付加して、２度にわたって情報処理を実行する必要がある。そこで手段（４）のように少なくとも２系列の冗長符号の検査部で検査することにより、一方の系列の冗長符号の検査部で「異常」出力が得られときにも、他方の系列の冗長符号の検査部で「正常」出力が得られるので、先に述べたような２度にわたって冗長符号を付加して、２度にわたって情報処理を実行する必要がなくなり、処理性能を向上させることができる。
以上述べたような手段により、汎用半導体による回路であっても信号入力から処理のための機能の正常性を確認できるだけでなく、正常と判断するための検査機能の正常性も同時に確認することができる。

上述してきたように、開示した誤り検出機能付き論理回路は、入力信号に第１の冗長符号を付加する第１の冗長符号化部と、前記第１の冗長符号が付加された前記入力信号と少なくとも前記第１の冗長符号が付加されていない前記入力信号とを切り替える切り替え部と、前記切り替え部からの出力を処理する処理部と、前記処理部による処理結果に対し、前記第１の冗長符号に対応する検査を行う第１の冗長符号検査部とを備え、前記切り替え部による入力信号切り替えに対応して前記第１の冗長符号検査部による検査結果が正常と異常との間で切り替わるときに、誤りのない正常な状態として動作する。
かかる構成及び動作により、特殊な半導体素子に依存することなく、汎用的な回路要素を組み合わせたシステムとして「フェールセーフ性が本来備わっている回路」を実現することができる。このため、各回路要素（入力信号に冗長符号を付加する回路、および演算結果を検査する回路など）を最新の半導体による論理回路で実現することができ、小型化、高速化、さらには低コスト化、製造プロセスの汎用化が実現する。

また、前記第１の冗長符号部と並列に設けられ、前記第１の冗長符号とは異なる第２の冗長符号を前記入力信号に付加する第２の冗長符号化部と、前記第１の冗長符号検査部と並列に設けられ、前記処理部による処理結果に対し、前記第２の冗長符号に対応する検査を行う第２の冗長符号検査部をさらに備える構成としてもよい。
この場合には、前記切り替え部は、前記第１の冗長符号が付加された前記入力信号と前記第２の冗長符号が付加された前記入力信号とを切り替えることになり、前記切り替え部による入力信号切り替えに対応して、前記第１の冗長符号検査部による検査結果が正常と異常との間で切り替わり、かつ前記第２の冗長符号検査部による検査結果が異常と正常との間で切り替わるときに、誤りのない正常な状態として動作することになる。
この構成では、常にいずれかの検査部が対応する符号での検査を行うことができるので、検査のために入力信号を重複させる必要がなく、処理の高速化が実現できる。

また、誤り検出機能付き論理回路は、出力回路部をさらに有し、該出力回路部は前記第１の冗長符号検査部が正常を表す信号と異常を表す信号とを交互に出力したときに限り制御出力を出力する回路として利用できる。この場合には、何らかの誤りを検知した場合に高い信頼性で制御出力を停止させることができる。

また、誤り検出機能付き論理回路は、合理性検査部と出力回路部とをさらに有し、前記合理性検査部は、前記第１の冗長符号検査部による検査結果が正常であり前記第２の冗長符号検査部による検査結果が異常である状態と、前記第１の冗長符号検査部による検査結果が異常であり前記第２の冗長符号検査部による検査結果が正常である状態とが交互に切り替わるときに、出力許可信号を出力し、前記出力回路部は、前記合理性検査部が前記出力許可信号を出力しているときに限り制御出力を出力する構成としてもよい。この構成では、何らかの誤りを検知した場合に高い信頼性で制御許可信号を停止させることができる。

また、第１の冗長符号や第２の冗長符号としては、剰余符号、時刻情報、冗長符号検査部用のテストパターンなどを用いた任意の冗長符号を使用することができる。

また、冗長符号検査部からの信号を整流した電源によりリレーを動作させることで、高安全制御システムとして利用することができる。
例えば、前記リレーが落下したときにはブレーキを動作させる、前記リレーが落下したときには加速を停止させる、といった利用が可能である。

なお、開示の実施例はあくまで一例であり、本発明は実施例に限定されることなく、構成や動作を適宜変更して実施することが可能である。

１００－１……第１の冗長符号化部、１００－２……第２の冗長符号化部、１１０……切り替え部、２００……情報処理部、３００－１……第１の冗長符号検査部、３００－２……第２の冗長符号検査部、３１０……合理性チェック部、４００……出力回路部、５０……リレー

Claims (10)

1. 入力信号に第１の冗長符号を付加する第１の冗長符号化部と、
   前記第１の冗長符号が付加された前記入力信号と少なくとも前記第１の冗長符号が付加されていない前記入力信号とを切り替える切り替え部と、
   前記切り替え部からの出力を処理する処理部と、
   前記処理部による処理結果に対し、前記第１の冗長符号に対応する検査を行う第１の冗長符号検査部と
   を備え、
   前記切り替え部による入力信号切り替えに対応して前記第１の冗長符号検査部による検査結果が正常と異常との間で切り替わるときに、誤りのない正常な状態として動作することを特徴とする誤り検出機能付き論理回路。
2. 請求項１記載の誤り検出機能付き論理回路であって、
   前記第１の冗長符号化部と並列に設けられ、前記第１の冗長符号とは異なる第２の冗長符号を前記入力信号に付加する第２の冗長符号化部をさらに備え、
   前記切り替え部は、前記第１の冗長符号が付加された前記入力信号と前記第２の冗長符号が付加された前記入力信号とを切り替え、
   前記第１の冗長符号検査部と並列に設けられ、前記処理部による処理結果に対し、前記第２の冗長符号に対応する検査を行う第２の冗長符号検査部をさらに備え、
   前記切り替え部による入力信号切り替えに対応して、前記第１の冗長符号検査部による検査結果が正常と異常との間で切り替わり、かつ前記第２の冗長符号検査部による検査結果が異常と正常との間で切り替わるときに、誤りのない正常な状態として動作することを特徴とする誤り検出機能付き論理回路。
3. 請求項１記載の誤り検出機能付き論理回路であって、
   出力回路部をさらに有し、
   該出力回路部は前記第１の冗長符号検査部が正常を表す信号と異常を表す信号とを交互に出力したときに限り制御出力を出力することを特徴とする誤り検出機能付き論理回路。
4. 請求項２記載の誤り検出機能付き論理回路であって、
   合理性検査部と出力回路部とをさらに有し、
   前記合理性検査部は、前記第１の冗長符号検査部による検査結果が正常であり前記第２の冗長符号検査部による検査結果が異常である状態と、前記第１の冗長符号検査部による検査結果が異常であり前記第２の冗長符号検査部による検査結果が正常である状態とが交互に切り替わるときに、出力許可信号を出力し、
   前記出力回路部は、前記合理性検査部が前記出力許可信号を出力しているときに限り制御出力を出力することを特徴とする誤り検出機能付き論理回路。
5. 請求項２記載の誤り検出機能付き論理回路であって、
   前記第１の冗長符号と前記第２の冗長符号のうち少なくとも一方は剰余符号を含むことを特徴とする誤り検出機能付き論理回路。
6. 請求項２記載の誤り検出機能付き論理回路であって、
   前記第１の冗長符号と前記第２の冗長符号のうち少なくとも一方は時刻情報を含むことを特徴とする誤り検出機能付き論理回路。
7. 請求項２記載の誤り検出機能付き論理回路であって、
   前記第１の冗長符号と前記第２の冗長符号のうち少なくとも一方は冗長符号検査部用のテストパターンを含むことを特徴とする誤り検出機能付き論理回路。
8. 入力信号に第１の冗長符号を付加する第１の冗長符号化部と、
   前記第１の冗長符号が付加された前記入力信号と少なくとも前記第１の冗長符号が付加されていない前記入力信号とを切り替える切り替え部と、
   前記切り替え部からの出力を処理する処理部と、
   前記処理部による処理結果に対し、前記第１の冗長符号に対応する検査を行う第１の冗長符号検査部と、
   を備え、
   前記第１の冗長符号検査部からの信号を整流した電源によりリレーを動作させることを特徴とする高安全制御システム。
9. 請求項８記載の高安全制御システムであって、前記リレーが落下したときにはブレーキを動作させることを特徴とする高安全制御システム。
10. 請求項８記載の高安全制御システムであって、前記リレーが落下したときには加速を停止させることを特徴とする高安全制御システム。

Images