JPH0638240B2 - 多重系フェイルセーフコンピュータシステム - Google Patents

Description

【発明の詳細な説明】 〔発明の利用分野〕 本発明は、フェイルセーフ特性を必要とする制御用のマ
イクロコンピュータに係り、特にマイクロコンピュータ
を多重系にした制御用フエイルセーフコンピュータシス
テムに関する。

〔発明の背景〕

近年、各種の車両や搬送装置の制御にマイコン（マイク
ロコンピュータ）が広く使用されるようになってきてい
るが、このような場合、マイコンが誤動作すると安全上
大きな問題が生じる虞れがあり、このため、フエイルセ
ーフなマイコンシステムが必要になる。

このような制御用のフエイルセーフマイコンシステムと
しては、例えば、「“日経エレクトロニクス”誌、１９
８２．３．１」の奥村，中村氏による“鉄道信号制御装
置に見るフオールト・トレラント・システムの設計”が
知られており、これによれば、フエイルセーフ機能の付
与を、基本的に共通のクロツク源を用い、クロツク同期
した複数のマイコンのバス（アドレスバス，データバス
など）のフエイルセーフ照合により実現する方法につい
て紹介がなされている。

この従来例によれば、高速度で故障検出が行なえるが、
その反面、多重系のマイコンシステムを前提としてお
り、かつ比較すべきバスの数に対応した多数のフエイル
セーフな比較器を必要とするため、コストアップが著し
いという欠点がある。

〔発明の目的〕

本発明の目的は、上記した従来技術の欠点を除き、比較
器の数が少なくて済む多重系フエイルセーフコンピュー
タシステムを提供することにある。

〔発明の概要〕

この目的を達成するため、本発明は、複数のセントラル
プロセッシングユニットによる演算処理のそれぞれが実
行されるごとに２種の状態の一方と他方に交互に変化す
るそれぞれの信号を発生する複数のディジタル出力回路
と、これら複数のディジタル出力回路から出力されるそ
れぞれの信号を入力とするフエイルセーフ機能を備えた
周波数比較器とを設け、上記複数のディジタル出力回路
の内の何れか１台のディジタル出力回路から出力される
信号の状態変化周波数を基準周波数とし、他のディジタ
ル出力回路から出力される信号の周波数が上記基準周波
数から所定範囲内にあるか否かで故障検出を行なうよう
にした点を特徴とする。

〔発明の実施例〕

以下、本発明による多重系フエイルセーフコンピュータ
システムについて、図示の実施例により詳細に説明す
る。

ここで、本発明の実施例についての説明に入る前に、ま
ず、第１図により、本発明の基本的構成について説明す
ると、図において、１は制御用のマイコン（コンピユー
タ）で、マイクロプロセツサ（セントラルプロセツシン
グユニツト）２を中心にしてプログラムメモリであるリ
ードオンリーメモリ３，変数メモリであるランダムアク
セスメモリ４，デイジタル出力回路５で構成されてい
る。なお、このほかクロツク回路やアドレスデコーダな
どの周辺回路が必要であるが、この点は周知のことなの
で省略してある。

６はフエイルセーフ周波数比較器で、フエイルセーフ機
能をもった周波数ウインドウコンパレータとして動作
し、デイジタル出力回路５から出力されてくる信号Ｅの
周波数を調べ、それが所定の周波数範囲内にあるときだ
け“１”になる一致信号Ｇと、自己の正常性チエツク信
号Ｆとを出力する働きをする。

一方、このような構成と並行して、マイコン１のソフト
ウエアを第２図のフローチヤートのように構成してお
く。すなわち、システム立上げによりスタート後、イニ
シヤル処理（10）が終了するとステツプ（20）によりデ
イジタル出力回路５から交互に“０”，“１”を出力さ
せるようにする。このためには、例えばダミーカウンタ
（ソフトカウンタ）を設け、ステツプ（20）を通るごと
に“０”から“１”に、そして“１”から“０”に変る
信号がデイジタル出力回路５に与えられるようにすれば
よい。その後、ステツプ（30）でマイコン１が行なうべ
き本来の処理を行ない、再びステツプ（20）に戻す。

このようにしておけば、プログラムに割込み等がないの
で、ステツプ（20），（30）は無限ループとなって周期
的に動作し、デイジタル出力回路５の出力信号Ｅは
“０”と“１”が周期的に反転する信号となり、これは
デイジタル出力回路５からほぼ一定の周波数のパルスが
得られることを示す。なお、このときのパルス状の信号
Ｅの周波数が完全に一定のものとならないのは、以下の
理由による。すなわち、一般に、ステツプ（30）におけ
るマイコン１本来の処理プログラムの処理時間には、ミ
クロにみたプログラムパスの違い（判定文など）でゆら
ぎが生じているからである。

この、ほぼ一定の周波数（これをｆ_１とする）の信号Ｅ
はフエイルセーフ周波数比較器６に入力され、第３図に
示す比較特性のもとで比較され、これにより、信号Ｅの
周波数ｆ_１が所定の周波数ｆ_Ｌとｆ_Ｈ（ｆ_Ｌ＜ｆ_Ｈ）の
間にあったときだけ一致信号Ｇ＝１が得られるようにす
る。なお、これらの周波数ｆ_Ｌ，ｆ_Ｈは、マイコン１が
正常に機能して第２図に示した処理が正しく繰り返えさ
れているときに得られる信号Ｅの周波数ｆ_１に基づい
て、フエイルセーフ周波数比較器６の中に予じめセツト
してあるものである。

従って、マイコン１が正常に機能している間は、第３図
に示すように、信号Ｅの周波数はｆ_１となり、周波数ｆ
_Ｌとｆ_Ｈで定まるウインドウの中にあり、一致信号Ｇ＝
１が得られている。

しかしながら、いま、マイコン１に故障などが発生した
とすれば、第２図に示した処理に要する時間が正常時で
のものから変化したり、処理が停止したりするため、例
えば信号Ｅの周波数が正常時での値ｆ_１からずれて
ｆ_１′のように変化し、ｆ_Ｌとｆ_Ｈで決められているウ
インドウを外れた場合には、一致信号Ｇ＝０となり、故
障を検出することができる。

一方、フエイルセーフ周波数比較器６が故障したときに
は、自己の正常性チエツク信号Ｆが失われるのでフエイ
ルセーフが保たれる。

従って、この第１図に示した本発明の基本的な構成によ
れば、１台のフェイルセーフ周波数比較器６を用いるだ
けで多重系フエイルセーフコンピュータシステムを得る
ことができ、充分なフェイルセーフ性を与えることがで
きる。

また、列車の制御装置では、信頼性の高い制御が要求さ
れるが、一方、例えば非常ブレーキ制御などでは、多少
の作動遅れなら問題にならない範囲がある。そこで、マ
イコンなどに有りがちな、そのまま放置しておいても短
時間で回復してしまうことの多い瞬間的な異常発生時な
どには、いちいちこれに応答するのではなく、確実に異
常を検出してから動作する方が、信頼性の面では、むし
ろ望ましい。

しかして、この第１図の構成によれば、信号Ｅの周期で
はなく、その周波数をフェイルセーフ周波数比較器６で
監視しているので、一時的な異常に際して瞬間的に周期
が変動しただけでは応答せず、本当に異常な状態になっ
たときだけを確実に検出でき、従って、高い信頼性を容
易に得ることができる。

次に、フエイルセーフ周波数比較器６の一実施例を第４
図によって説明する。

なお、この第４図に示した例はリング演算方式として知
られ、フエイルセーフ性が要求される列車自動制御装置
（ＡＴＣ装置）の分野で多用されており、特許第９２３
３２７号，特許第９６４８１６号，特許第１０７２７４
５号の各明細書などに詳しく説明されている公知のもの
である。

この第４図に示したフエイルセーフ周波数比較器６は、
交番信号発生部12と周波数比較回路11が基本になってお
り、制御回路14によって時分割動作し、入力端子10に与
えられた信号Ｅの周波数f₁に対する周波数ウインドウ比
較を行ない、論理出力回路13から出力端子16に一致信号
Ｇを、そして出力端子17から自己チエツク信号Ｆをそれ
ぞれ出力するようになっている。

次に動作について説明すると、いま、あるタイムスロツ
トで交番信号発生部12が、メモリー15と制御回路14の出
力で決められる周波数の信号ａを発生していると、これ
がフイードバツクループ18を介して周波数比較回路11に
入力され、端子10から入力されている信号Ｅの周波数f₁
と比較されて比較出力ｂが得られる。

次に、別のタイムスロツトで、交番信号発生部12は、比
較出力ｂと制御回路14からの出力によりメモリー15の、
前回とは異なったアドレスの内容を読出し、前回とは異
なった周波数の信号ａを発生し、周波数比較回路11は今
度はこの周波数と信号Ｅの周波数f₁との比較を行ない、
比較出力ｂを発生する。従って、上記メモリー15の一方
のアドレスから読出される周波数を例えば第３図で示し
たf_Lに、そして他方のアドレスから読出される周波数を
f_Hにそれぞれ定めておけば、時分割で周波数のウインド
コンパレートが行なわれることになる。

一方、メモリー15のさらに別のアドレスには、周波数比
較回路11と交番信号発生部12の自己チエツクに必要なデ
ータが設定されており、上記した周波数比較のタイムス
ロツトとは別の特定のタイムスロツトにおいて、このデ
ータによる15→18→11→19→15のフイードバツク形ルー
プのチエツクが行なわれ、この動作も含めサイクリツク
な動作を行なわせることでフエイルセーフ性が保たれる
ようになっている。そして、このサイクリツクな動作が
停止すると端子17に現われている自己チエツク用のサイ
クリツクな信号Ｆが消失し、フエイルセーフな状態での
異常検出が得られるようになっている。

また、交番信号発生部12は、以上とはさらに別の特定タ
イムスロツトで周波数比較回路11の出力が所定のゾーン
に入っていることを表わす出力信号を発生する働きも
し、制御回路14と論理出力回路13により端子16から交番
信号で正常範囲を示す信号Ｇが出力されるようにする。

なお、このほかメモリーのＣＲＣチエツク（周期冗長検
査）なども適用されているが、詳細な説明は前記の明細
書にゆずり、ここでは省略する。

次に、本発明の実施例について説明する。

第５図は、本発明を二重系マイコンシステムに適用した
場合の一実施例で、マイコン１Ａと１Ｂは二重系をな
し、疎結合（クロツクが独立になっていること）であ
る。なお、これらのマイコン１Ａ，１Ｂの入出力インタ
ーフエースについては図示してないが、通常の二重系の
場合と同じく、公知の切換手段を用い、相互に結合され
るか、または一方から他方に切換えられて動作するよう
になっている。

20は切換部で、上記した入出力インターフエースの切換
とは別のものであり、それぞれのマイコン１Ａ，１Ｂか
らの交番信号ＥＡとＥＢを時分割で切換え、フエイルセ
ーフ周波数比較器６に入力する働きをする。

従って、この第５図の実施例によれば、信号ＥＡの周波
数ｆ１Ａと、信号ＥＢの周波数ｆ１Ｂが、それぞれ時分
割で所定範囲内にあるか否かの検出が得られることにな
り、第１図の基本的構成と同様に、異常検知が可能にな
る。そして、このとき、切換部２０の異常はフエイルセ
ーフ周波数比較器６で検出できるため、フエイルセーフ
性が保たれる。

次に、第６図は、同じく二重系のマイコンシステムに本
発明を適用した場合の他の一実施例で、第５図の実施例
とは異なり、二重系のマイコン１Ａ，１Ｂの２つの信号
ＥＡ，ＥＢを周波数として直接比較するようにしたもの
で、一方のマイコンの出力周波数を基準として他方のマ
イコンの出力周波数が所定の範囲内にあるか否かをフエ
イルセーフにチエツクするようにしたものであり、その
ため、例えばマイコン１Ａから出力される信号ＥＡの周
波数をｆ_1Aとしたとき、これに対してマイコン１Ｂの出
力信号ＥＢの周波数ｆ_1Bが、 ｆ_1A−Δｆ_Ｌ＜ｆ_1B＜ｆ_1A＋Δｆ_Ｈ …………(1) の範囲にあるか否かをチエツクするフエイルセーフ周波
数比較器60を使用したものである。

第７図はこのようなフエイルセーフ周波数比較器60の一
実施例で、21はマイコン１Ｂからの信号ＥＢを入力する
端子、22は選択回路である。

次に、この実施例の動作について説明する。

この実施例のものでも時分割動作をするが、そのタイム
スロツトの数は第４図の場合よりも多く設定してあり、
これにより、まず選択回路22により端子10を選択して信
号ＥＡを入力し、その周波数ｆ_1Aを基準入力周波数とし
てそれがどの範囲の周波数にあるかを交番信号発生部12
と周波数比較回路11により、周波数帯域ごとに時分割で
順次、比較してゆきながら確定し、それを基準周波数ｆ
_1Aとして記憶する。このときの周波数帯の区分の精度は
メモリー15の中に設定してある基準周波数データの数に
よって決められる。

次に、選択回路22を端子21に切換え、マイコン１Ｂの信
号ＥＢを取り込み、記憶してある基準周波数ｆ_1Aを用い
て上記(1)式による比較を時分割で行ない、信号ＥＢの
周波数ｆ_1Bが基準周波数ｆ_1Aに対して所定の偏差（−Δ
ｆ_Ｌ，＋Δｆ_Ｈ）内にあるか否かのチエツクする。

そして、(1)式が満足している間だけ一致信号Ｇを出力
させ、異常検知が行なえるようにする。

ここで、選択回路22による選択動作が停止すると、常に
同じ入力を比較していることになり、みかけ上は周波数
が所定範囲にあるものと判断され、誤まった出力を発生
してフエイルセーフが得られなくなってしまう虞れがあ
る。そこで、これに対しては、新たにタイムスロツトを
設け、交番信号発生部12の出力ａを選択回路22に入力
し、新たに設けたタイムスロツトで選択回路22の出力周
波数を周波数比較回路11に取り込み、一致比較を行なう
ようにしてやれば、選択回路22による選択動作の停止を
容易に検出でき、選択回路22の故障に対してもフエイル
セーフを保たせることができる。

これら第５図、第６図の実施例では、二重系のそれぞれ
の系を構成するマイコン１Ａ，１Ｂが疎結合でよいた
め、クロツク回路も独立にでき、かつ、それぞれのプロ
グラム間での強い同期も不要である。

なお、以上の実施例では、プログラムの周期性を保つた
めに第２図に示すような無限ループとしているが、これ
に代えてタイマ割込みでプログラムを走らせることによ
り周期性が得られるようにしてもよい。この場合には、
一部分のプログラムのフエイルセーフ動作を保証するよ
うにしてもよい。

〔発明の効果〕

以上説明したように、本発明によれば、二重系などの多
重系のマイコンシステムにおいて、それぞれの系のマイ
コンのプログラムを周期的に走らせてディジタル出力を
発生させ、これら複数のディジタル出力の内の何れか１
種のディジタル出力の状態変化周波数を基準周波数と
し、他のディジタル出力の周波数が上記基準周波数から
所定範囲内にあるか否かを、フェイルセーフ機能を有す
る周波数比較器で監視するようにしたので、多重系であ
るにもかかわらず、ただ１台のフェイルセーフ機能を有
する周波数比較器を用いるだけで済み、従って、本発明
によれば、複数のフエイルセーフ比較器が不要で、コス
トアップを最小限に抑え、容易に多重系のマイコンシス
テムを構築することができる。

また、本発明によれば、監視すべきディジタル出力の位
相のずれが問題にならないので、多重系を構成する各系
のマイコン間での同期が不要なので、この点でもコスト
アップを最小限に抑えることができる。

さらに、本発明によれば、一時的な異常などで瞬間的に
周期が変動しただけでは応答せず、本当に異常な状態に
なったときだけを確実に検出でき、従って、従来技術の
欠点を除き、常に高い信頼性を容易に得ることができ、
さらに本発明では、或る程度周波数の揺らぎが許容され
るので、マイコンのプログラム処理時間が、プログラム
毎に多少異なっていても特に問題がなくなり、従って、
マイコンにより処理可能なプログラムの種類が多くでき
るという効果が得られる。

【図面の簡単な説明】

第１図は本発明による多重系フエイルセーフコンピュー
タシステムの基本的構成を示すブロック図、第２図は第
１図のシステムにおけるプログラムの説明図、第３図は
同じく動作説明図、第４図はフエイルセーフ周波数比較
器の一例を示すブロツク図、第５図及び第６図はそれぞ
れ本発明を二重系に適用した場合の一実施例を示すブロ
ツク図、第７図はフエイルセーフ周波数比較器の他の一
実施例を示すブロツク図である。 １，１Ａ，１Ｂ……マイクロコンピユータ，５……デイ
ジタル出力回路，６，60……フエイルセーフ周波数比較
器，20……選択回路。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 森田 雄三 茨城県日立市幸町３丁目１番１号 株式会 社日立製作所日立研究所内 (56)参考文献 特開 昭58−12062（ＪＰ，Ａ) 特開 昭59−52354（ＪＰ，Ａ) 特開 昭48−84915（ＪＰ，Ａ) 特開 昭57−182858（ＪＰ，Ａ) 実開 昭59−88748（ＪＰ，Ｕ)

Claims (1)

【特許請求の範囲】
1. 【請求項１】複数のセントラルプロセッシングユニット
   を用いて演算処理を並列に実行する方式の多重系フエイ
   ルセーフコンピュータシステムにおいて、上記複数のセ
   ントラルプロセッシングユニットのそれぞれに属し、各
   セントラルプロセッシングユニットよる演算処理が実行
   されるごとに２種の状態の一方と他方に交互に変化する
   信号を発生する複数のディジタル出力回路と、これら複
   数のディジタル出力回路から出力される信号を入力とす
   るフェイルセーフ機能を備えた周波数比較器とを設け、
   上記複数のディジタル出力回路の内の何れか１台のディ
   ジタル出力回路から出力される信号の状態変化周波数を
   基準周波数とし、他のディジタル出力回路から出力され
   る信号の周波数が上記基準周波数から所定範囲内にある
   か否かで故障検出を行なうように構成したことを特徴と
   する多重系フエイルセーフコンピュータシステム。