JPH0362229A - 照合２重化プログラム制御方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔発明の目的〕 （産業上の利用分野） この発明は工業用プロセス制御等、ｆ：頼性およびフェ
イルセーフ性が要求される計算機システムに係り、特に
、プログラムを２重化してノイズ″、午の一過性故障に
対しての異常出力を防止する照合２重化プログラム制御
方式に関するものである。

（従来の技術及び発明か解決しようとする課題）交通信
号制御等、誤出力が故障に繋がるようなフェイルセーフ
重視型システムにおいては、従来からハードウェアおよ
びソフトウェア両方での各種対策が講じられてきた。そ
の例として、第１１図乃至第１３図に示す２重系がある
。

このうち、第１１図に示したものは、人力装置１０を介
してＣＰＵ２０に信号を人力すると、プログラムＡ、　
　Ｂ、　　Ｃが順に動作し、得られた信号が出力装置３
０を介して出力される系統が２重化されており、これら
２つの系統に対してＣＰＵ２０を同期させるための同期
クロック４０、および、２つの系統の出力を照合する照
合回路５０を備えている。なお、各系統の要素は内部バ
ス６０で接続されている。また、照合回路５０としては
、不一致を検出したとき不一致アラーム７０を出力する
ものが用いられる。この２重化方式は完全２蚤系または
ＡＡ’プログラム方式と呼ばれる。

また、第１２図に示したものは、単一の人力装置１０を
介して得られた信号を２つのＣＰ　Ｕ　２０に同時に人
力し、それぞれプログラムＡ、Ｂ、Ｃを順に動作させ、
このうちの一方のＣＰＵ２０の出力を出力装置３０を介
して出力すると共に、各ＣＰＵ２０の出力を照合回路５
０で照合して、不一致を検出したとき不一致アラーム７
０を出力するようになっている。なお、この場合も、２
つのＣＰＵを同期させる同期クロック４０を備えている
。この２重化方式はＣＰＵバス照合系と呼ばれたり、上
述したと同様にＡＡ’プログラム方式とも呼ばれたりし
ている。

さらにまた、第１３図に示したものは、人力装置１０を
介して入力した信号をＣＰＵ２０に入力してプログラム
Ａ、　　Ｂ、　　Ｃを順に実行せしめ、このＣＰＵ２０
で得られた信号を出力装置３０を介して出力する一つの
系統と、入力信号を反転ゲート８０で反転した信号を、
入力装置１０を介してＣＰＵ２０に加え、逆論理で組上
げられたプログラムＡ、８．Ｃを順に実行せしめ、得ら
れた信号が出力装置３０を介して出力されるもう一つの
系統とを備え、各系統の出力装置３０の出力をタイミン
グ調整回路９０に加えて、タイミングのずれを調整して
出力する構成になっている。この２重化方式はＡＡプロ
グラム方式と呼ばれ、このうち、逆論理のプログラム六
、百、ごの代わりに別個のプログラムを用いたとすると
、これがＡＢプログラム方式と呼ばれている。

上述した３つの方式はいずれもＣＰＵの処理結果を外部
から観測し、その妥当性を照合チエツクするものであり
、次のような問題点があった。

第１１図、第１２図に示したＡＡ′プログラム方式は、
照合の負担をハードウェアに持たせているので、同期ク
ロック４０、照合回路５０等の特殊なノードのハードウ
ェアが必要となる。また、全プログラムを同期走行させ
るべく、クロックの速度を落として十分なマージンをと
る必要があるため、負荷の増大に対応しようとしてもＣ
ＰＵの構成、拡充性に大幅の制約を受けることになる。

また、また第１３図に示したＡ尺プログラム方式やＡＢ
プログラム方式にあっては、照合の負担を全面的にアプ
リケーションソフトウェアに負わせるもので、プログラ
ム作成の手間は２倍になる他、出力タイミングが合わな
いために、タイミング調整回路で待合わせ一致照合を行
うという特別な処理を必要とした。

一方、負荷分担を行うマルチＣＰＵシステムも提案され
ているが、いずれも第１４図に示す構成になっている。

すなわち、入力装置１０ＳＣＰＵ２０および出力装置３
０でなる系統に、もう一つのＣＰＵを付加したもので、
プログラムＡ、　　Ｂ。

Ｃを、固定プログラムＡ、　　Ｃと可変配置可能なプロ
グラムＢとに分け、負荷量に応じてプログラムＢを分散
配置する形式のものである。

しかし、この方法ではプログラムＡ−４８−Ｃの情報ル
ートは！ＩＸ−であり、この部分の１３頼性の確保、フ
ェイルセーフ性の確保に問題が残り、しかも、処理プロ
グラム自体も２重になっていなかった。

この欠点を解決するために、第１５図に示す２重化プロ
グラム方式も考えられる。これは、入力装置１０、ＣＰ
Ｕ２０、出力装置３０でなる系統を２個備え、両出力を
タイミング５！整回路９０で照合して出力するものであ
る。この煽略動作を第１６図を参照して説明する。

ここで、Ａ　　、Ａ　　　Ｂ　　、Ｂ　　、Ｃ、Ｃは各
々同一のオリジナルプログラムＡ、Ｂ、Ｃから複製され
たクローンプログラムで、同一人力で同一出力が得られ
るものである。いま、プログラムＢ”、Ｂ−を中心に考
えると、前段のプログラムＡ、Ａ　　は同一の人力によ
り起動され、プログラムＡ　は情報ａｂ、ａｂ　　を出
力し、プログラムＡ−は情報ａ−ｂ”、ａ−ｂ−を出力
する。これら□の情報はＯＳ　（ＯＰＥＲＡＴＩＮＧ　
５ＹＳＴＩ’：Ｍ）内の回報メツセージ処理機構にてプ
ログラムＢ＋Ｂ−に渡される。また、プログラムＢ”　
　Ｂ−はこれらの情報を処理して、情報ｂ＋ｃ＋、ｂ＋
Ｃ−と、情報ｂ−ｃ”、ｂ−ｃ−を出力すると、これら
の情報が同様にしてプログラムＣ＋Ｃに渡される。

この場合、システムが正常であれば、これらの情報ａｂ
、ａｂ、ａｂ　　　ａｂ　　は全く同一である。そして
、受信側プログラムＢ＋は情報ａｂ、ａｂ　　を受取り
、受信側プログラムＢ　は情報ａｂ、ａｂ　　を受取る
が、送信側のプログラムＡ、Ａ　　の走行状態に多少の
ずれがあるため、時間的にずれた情報を受１：する。し
たがって、プログラムＢ＋に着目すれば、情報ａｂ、ａ
ｂ　　の処理に当たってはこれらの情報の待合わせ照合
または先着優先、および着順制ａｌｌ（不一致の場合の
優先情報を決定するための基準設定手法）等を行う必要
があった。

かかる２ｆｆｌ化プログラム方式によれば、情報ルート
の２ｆｆｆ化およびフェイルセーフ性は確保されるが、
上記時間的ずれに対する処理と同報ａｔ＝が必ず重なる
ため、系全体の応答遅れが発生した。

この発明は上記の問題点を解決するためになされたもの
で、照合に対するアプリケーションおよびハードウェア
の負担を増大させることなく、フェイルセーフ性および
良好な応答特性を確保することのできる照合２重化プロ
グラム制御方式を得ることを目的とする。

〔発明の構成〕

（課題を解決するための手段） この発明は、オリジナルプログラムから複数のクローン
プログラムを生成する機構と、これらのクローンプログ
ラムを同時走行させる機構と、次プログラムに情報を渡
す同報通信機構とを備え、前記クローンプログラムは主
体的に次プログラムに情報を渡す主プログラムと、正常
時は次プログラムに情報を渡さないで、前記主プログラ
ムの出力情報を監視する副プログラムとでなり、前記主
プログラムは出力情報を次プログラムと副プログラムと
に同報通信で渡し、前記副プログラムは主プログラムの
出力情報と前段プログラムの出力情報を処理して得られ
、た結果情報とを照合し、これらの情報が不一致のとき
最終段出力の中止、取消し、代替出力等の異常時処理を
行うことを特徴とするものである。

（作　用） この発明においては、オペレーテングシステムに、オリ
ジナルプログラムからクローンプログラムを生成する機
構、および、メツセージメールをマルチキャスト同報通
信処理する機構を備えているので、ハードウェアおよび
アプリケーションに高度の負担をさせることなく、２重
化プログラムマルチシステムを構成することができる。

また、この発明においては、ＣＰＵ単位ではなく、プロ
グラム単位で２重化されているので、特に一過性の局所
異常に対してＣＰＵ仝体を停止させることなく処理でき
ると同時に、２重化プログラム方式に特有の情報の同期
、待合わせ処理が簡単で、応答性の良好なシステムが得
られる。

（実施例） 以下、本発明を実施例について説明する。

先ず、本発明を実現する最小のハードウェア構成として
第１図に示したものが考えられる。これは、入力装置１
０、ＣＰＵ２０および出力装置３０でなる系統と、入力
装置１０およびＣＰＵ２０でなるもう一つの系統とでな
り、促来の装置で用いられた、同期クロックおよび照合
回路を除去した構成になっている。

この２ｉｆｉ化プログラム処理の内部処理機構を示すと
第２図のようになる。これを第１６図と比較すると、正
プログラムＡ　　、Ｂ　　、Ｃ間の情報送信にあたり、
副プログラム、Ａ”−Ｂ−、Ｃに対して各々結果照合用
の情報ａａ、ｂｂ　　　ｃｃ　　を送信するようにした
点、副プログラム、Ａ″″、Ｂ″″、Ｃ−は結果の照合
はするが常時は下位プログラムに対して送信しない点、
副プログラムＡ″″、Ｂ−，Ｃ−が照合結果ａ−ｍ。

ｂ　　ｍ、　　ｃ　　ｍをシステムモニタプログラムＭ
に渡すと、このシステムモニタプログラムＭの判断で出
力のカットを行うモニタ判断出力ｍを送出する点が異な
っている。

この２重化プログラム処理をステップに分けて説明する
。

一ステップ１０〇− プログラムＡ　は回報通信機構を通して次のプログラム
Ｂ、Ｂ　　に情報ａｂ、ａｂ　　を、プログラムＡ　と
同じ処理をするプログラムＡに照合結実用の情報ａ”ａ
−を渡す。

−ステップ２００− プログラムＢ　はプログラムＡ　の情報ａ＋ｂ＋に従っ
て処理し、次プログラムＣ、Ｃに渡す情報ｂ　　ｃ　　
、ｂ　　ｃ　　を生成すると共に、プログラムＢ　に渡
す照合用の情報ｂｂ　　を生成する。プログラムＢ　は
プログラムＡ　の情報ａ”ｂ−に従って情報ｂ−ｃを生
成する。

−ステップ３０〇− プログラムＢ＋は生成した情報ｂｃ　　をプログラムＣ
＋に、ｂ　ｃ　をプログラムＣに、ｂ”ｂ−をプログラ
ムＢ−に同報通信で送出する。

−ステップ４０〇− プログラムＣ＋はプログラムＢ＋の情報ｂ＋Ｃに従って
処理し、次プログラムに渡す情報を生成すると共に、プ
ログラムＣ−に渡す照合用の情報ＣＣを生成する。プロ
グラムＣ−はプログラムＢ　の情報ｂｃ　　に従って情
報を生成する。

−ステップ５０〇− プログラムＢ　は自己の出力情報ｂｃと、プログラムＢ
　出力情報ｂｂ　　とを照合する。肥常状態にあっては
、プログラムＢ”、Ｂ−の入力情報ａ４″ｂ”、ａ”ｂ
　　は回報された情報であり、プログラムＢ”、Ｂ−の
出力ｂ”　ｂ−ｂ−ｃは同一となるはずである。

一ステップ６０〇− プログラムＢ　はシステムモニタプログラムＭに対して
正常処理の報告ｂｍをして処理を終了する。

次に、異常時の処理について説明する。

（ａ）照合結果不一致の場合 一ステップ５１〇− ハードウェアの一過性異常等により、上記ステップ５０
０の処理で、プログラムＢ　の出力情報ｂ”ｂ−と、プ
ログラムＢ−の出力情報ｂ−ｃとが不一致の場合、第３
図に示すように、プログラムＢ　はプログラムＣ、Ｃに
対しては特別な処理を行わずに、システムモニタプログ
ラムＭに異常告知情報ｂｍを送出する。

−ステップ５１１− システムモニタプログラムＭはプログラムＢより異常告
知情報ｂｍを受け、システムの関連出力のロック／リセ
ット要求ｍを送出する。

この時点ではプログラムＣ＋からの出力が完ｒしている
可能性はあるが、間をおかずロック／リセット要求ｍを
送出することにより、下位出力処理サブシステムで異常
出力に対処する。

（ｂ）正プログラムが応答しない場合 −ステップ３２〇− 第４図に示すように、プログラムＡ　からプログラムＢ
＋への通信異常、または、プログラムＢ　の異常により
、上記ステップ３００の処理でプログラムＢ　が情報を
出力できないとする。このときプログラムＢ−は通常の
受信処理してその出力に対する照合を待っているが、プ
ログラムＢ　から照合情報ｂｂ　　が出力されない。

−ステップ３２１− この場合、プログラムＢ　には出力照合待ちタイマを用
意し、一定時間内に照合情報ｂｂ　　がニないとき、プ
ログラムＢ　の代替としてプログラムｃ”、ｃ−に対し
て代替出力ｂ−ｃ”、ｂＣ−を送出する。この代替出力
ｂ−ｃ”、ｂＣ−情報には、代替出力であることを指示
するコードを付加しておき、万一、タイムアウトと、プ
ログラムＢ　の遅れた情報とが重なっても、プログラム
Ｃ、Ｃでは２ｍ処理をしないようにして処理する。

一ステップ３２２− さらに、システムモニタプログラムＭに対して代替出力
実行の報告ｂｍを送出する。

（ｃ）照合不可の場合 −ステップ３３〇− 前述したとは逆に、プログラムＢ−がプログラムＡ　の
情報ａｂ　　を受取ることが出来ない場合を考える。こ
のとき、プログラムＢ″″は、第５図に示すように、プ
ログラムＢ＋の照合情報ｂ＋ｂ　を受信するのみである
から、この照合情報ｂｂ　　を受信した後のタイマアボ
ートでプログラムＡ＋からの情報ａｂ　　の途絶を認知
する。

−ステップ３３１− そこで、プログラムＢ　は、システムモニタプログラム
Ｍに対して異常通報ｂｍを送出する。

（ｄ）システムモニタプログラムＭへの告知不＋１Ｊの
場合 一ステップ３４〇− プログラムＢ　の照合結果ｂ″″ｍが、システムモニタ
プログラムＭにて受信できない場合、または、プログラ
ムＢ−の異常で異常情報ｂ−ｍを出力できない場合を考
える。

一ステップ３４１− この場合、システムモニタプログラムＭは、第６図に示
すように、前段のプログラムＡ″″よりの告知情報ａ　
ｍｌおよび、後段のプログ−ラムＣの告知ｃｍを受信す
ることになり、各告知情報に下位ルートＡ→Ｂ−Ｃの情
報を加えておくことにより、プログラムＢ−からの情報
欠落を知ることができる。

一ステップ３５〇− 上記ステップ３４１の代替手段として、各々の正プログ
ラムＡＢＣがシステムモニタ プログラムＭへも吹出力情報ｂｍを（６１報することも
できる。

一ステップ３５１− システムモニタプログラムＭは、第７図に示すように、
プログ、ラムＢ　の同報出力ｂｍを受１．；し、定時間
タイマを動作させ、プログラムＢ−の告知情報ｂｍを待
って、こなければプログラムＢの異常と判定する。

上記実施例は、２台のＣＰＵでシステム構成した場合を
示したが、この代わりに第８図に示すように、３台のＣ
ＰＵ２１．２２．２３を用いてシステム構成することも
できる。この場合、プログラムは各ＣＰＵの負荷が分担
され、かつ、同一のＣＰｔＪに同じプログラムが入らな
いように分散配置する必要がある。この例では、ＣＰＵ
２１にプログラムＡＣが、ＣＰＵ２２にプログラムＡＢ
　　が、ＣＰＵ２３にプログラムＢＣ＋がそれぞれ配置
されている。

かかるシステム構成にて、ＣＰＯ２３が異常停電した場
合には、第９図に示すように、プログラムＢＣは停止す
るが、情報およびプログラムは各々２重化されているの
で、制御出力は代替プログラムＣ−によって確保される
。なお、システム伴出に至ったＣＰＵ２３上のプログラ
ムＢＣ＋の代わりに、プログラムＢ＋のコピープログラ
ムＢ　がＣＰＵ２１に、プログラムＣのコピープログラ
ムＣがＣＰＵ２２に再構成され、ＣＰＵ２１．２２にて
システムが復元される。、かかる構成によれば、第１６
図に示したシステムと比較したとき、プログラムＡ”Ａ
−、Ｂ”Ｂ、ＣＣ間の通信量は十分となり、応答性の向
上が図られる。すなわち、プログラムＡ＋の出力は同報
出力であり、情報ａ”　ｂ”　　ａ”　ｂａａ　　は同
一情報をマルチキャストで送信するため、１回の送信で
済む。また、情報の発信源は常に１つであり、このため
、下位プログラムにおける情報受信待合わせが不要にな
り、しかも、先頭入力のタイミング差による情報の相違
のおそれもなくなる。

なお、この機構を利用すれば、２アウトオブ３の変形処
理も可能である。その例を第１Ｕ図に示す。

同図において、３台のＣＰＵ２１，２２．２３に各々プ
ログラムＡ、Ｂ、ＣのクローンプログラムＡ、・　Ｂｌ
・　ＣＩ−Ａ　２・　Ｂ２・　Ｃ２・Ａ３・Ｂ　ａ　、
Ｃａが配置され、プログラムＢ、の照合出力情報をプロ
グラムＢ２．Ｂ３が受取って照合する。システムモニタ
プログラムＭはプログラムＢ２．Ｂ３の照合結果を受信
し、プログラムＢ２゜Ｂ３のいずれかが照合良好と判断
することによって、出力の承認を行う。

この場合、プログラムＢ１が不ＩＥ出力したとすると、
フェイルセーフ的に出力される方向であり、完全な２ア
ウトオブ３ではない。

しかし、プログラムＢ２．Ｂ３の異常告知でシステムモ
ニタプログラムＭがプログラムＢ２゜Ｂ３の出力をも参
照して一致照合し、プログラムＢ２．Ｂ３のいずれかに
代替出力要求を出し、プログラムＢ１を停止させるよう
にすれば、２アウトオブ３の構成も可能である。

なお、上記実施例における同報伝送系として、イサーネ
ット等の高速ＬＡＮを利用すれば、ＣＰＵ相互間の通信
遅れによる影響は実質的に無視することができる。

なおまた、上記実施例ではプログラムとしたが、データ
とプログラムとを一体と見做したオブジェクト概念で本
システムを構成するとより容易に組上げることができる
。

また、上記実施例では副プログラムが結果照合をするよ
うに説明したが、例えば、副プログラムＢ−が結果照合
をせず、主プログラムは次プログラムＣ、Ｃの情報伝達
と同報でシステムモニタプログラムＭにも結果情報を送
出し、プログラムＢ　はシステムモニタプログラムＭに
対してのみ結果情報を送出し、システムモニタプログラ
ムＭがプログラムＢ、Ｂ　　両プログラムの結果の一致
照合をする方式としても良い。

〔発明の効果〕

以上の説明によって明らかなように、この発明によれば
、オペレーテングシステムに、オリジナルプログラムか
らクローンプログラムを構成する機構、および、′メツ
セージメールをマルチキャスト同報通信処理する機構を
備えているので、ハードウェア、アプリケーションに高
度の負担をさせることなく、２重化プログラムマルチシ
ステムを構成することができる。

また、２重化プログラム方式にｃｔ６°の情報の開切、
待合わせ処理が簡ｌ１１−で、応答性の良好なシステム
を作ることができる。

さらに、この発明においては、ＣＰ　Ｕ　（ｌｉ−位で
はなく、プログラム単位で２重化されているため、。

特に一過性の局所異常に対してＣＰＵ全体を停止させる
ことなく、処理でき、かつ、被害を局所にとどめること
ができ、原因発生箇所の検出も容易になる。

また、２＠化プログラムであり、常に照合、代替出力が
並行動作するので、システムの５′コ常代替出力の切替
えが円滑に行われ、叉常切離し、および、代替システム
編入時でも円滑な移行ができる。

【図面の簡単な説明】

第１図は本発明の一実施例のシステム構成図、第２図は
同システムの内部構成を示す図、第３図乃至第７図は同
システムで想定されるＩ＼ザードとその処理を説明する
ための説明図、第８図は本発明の他の実施例のシステム
構成図、第９図は同大施例のプログラム再構成を示した
図、第１０−は本発明のもう一つ他の実施例のシステム
昏ト１成図、第１１図乃至第１５囚はそれぞれ従来の照
合２虫化プログラム制８Ｊｉ式を採用したシステム構成
図、第１６図は同制御方式の１１荷分担を説明するため
の説明図である。 １０・・・人力装置、 ２０・・・ＣＰＵ。 ３０・・・出力袋 置。

Claims (1)

1. 【特許請求の範囲】 １、オリジナルプログラムから複数のクローンプログラ
   ムを生成する機構と、これらのクローンプログラムを同
   時走行させる機構と、次プログラムに情報を渡す同報通
   信機構とを備え、前記クローンプログラムは主体的に次
   プログラムに情報を渡す主プログラムと、正常時は次プ
   ログラムに情報を渡さないで、前記主プログラムの出力
   情報を監視する副プログラムとでなり、前記主プログラ
   ムは出力情報を次プログラムと副プログラムとに同報通
   信で渡し、前記副プログラムは主プログラムの出力情報
   と前段プログラムの出力情報を処理して得られた結果情
   報とを照合し、これらの情報が不一致のとき最終段出力
   の中止、取消し、代替出力等の異常時処理を行うことを
   特徴とする照合２重化プログラム制御方式。２、前記副
   プログラム側に、前記主プログラムの照合出力監視タイ
   マを設け、このタイマのタイムアップ時に前記副プログ
   ラムが代替出力を次プログラムに送出することを特徴と
   する請求項１記載の照合２重化プログラム制御方式。 ３、前記照合結果が不一致のとき、もしくは、前記照合
   出力監視タイマのタイムアップ時に、最終出力段に出力
   の中止、取消し、または、取消し要求を行うシステムモ
   ニタプログラムを備えたことを特徴とする請求項２記載
   の照合２重化プログラム制御方式。 ４、前記主プログラムが前記システムモニタプログラム
   にも同報通信し、かつ、前記副プログラムの照合結果の
   報告と突き合わせて情報の伝達の確認をすることを特徴
   とする請求項３に記載の照合２重化プログラム制御方式
   。