JPH09134208A - 情報処理システムおよびコントローラならびにアクチュエータ制御装置 - Google Patents

Abstract

(57)【要約】 【課題】制御ループを制御動作を行なう多重化システム
を構築する際に、簡単なハードウエア構成で、高信頼
性、高速応答性を有するシステムを実現すること。 【解決手段】コントローラは、各センサからのセンサ出
力信号を受信し、アクチュエータ制御信号を出力するた
めの通信手段と、センサ出力信号の受信、該受信信号に
基づいた所定処理、および、該所定処理の結果であるア
クチュエータ制御信号の出力を、所定の処理手順とし
て、処理動作を行なう処理手段と、アクチュエータ制御
信号の出力動作を行なうと判断したとき、当該動作を抑
止するように、抑止割込み制御を行なう制御手段とを備
える。また、各アクチュエータ制御装置は、各コントロ
ーラの処理結果を受信する受信手段と、いずれかの処理
結果を、アクチュエータ制御信号として出力するアクチ
ュエータ制御手段とを備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、センサ、アクチュ
エータを含む制御ループに対して制御動作を行なうシス
テムに係り、特に、多重化したコントローラを使用して
処理動作を行なう構成を想定し、ハードウエア規模の増
加を抑えつつも、信頼性の高い制御動作を行なうための
技術に関する。

【０００２】

【従来の技術】一般に、コントローラによる情報処理と
は、センサからの出力信号を入力情報とし、この入力情
報に対して所定の処理を行ない、さらに、処理結果にし
たがって、アクチュエータにアクチュエータ制御信号を
与えることによって、アクチュエータ制御を行うもので
ある。

【０００３】図８は、コントローラに、このような情報
処理を行なわせるためのシステム構成の一形態を示した
図面である。

【０００４】このシステムは、コントローラ８０１と、
センサ８０５、８０６と、アクチュエータ装置８０７、
８０８とを、有して構成されている。また、コントロー
ラ８０１は、プログラム格納等を行なうためのメモリ８
０２と、予め格納されたプログラムにしたがった動作を
行なうプロセッサ８０３とを備えている。

【０００５】さらに、アクチュエータ装置８０７、８０
８は、夫々、アクチュエータ８１２を少なくとも備えて
いる。そして、各センサの出力信号は、コントローラに
入力され、プロセッサ８０３からは、アクチュエータに
対して、アクチュエータ制御信号を出力可能に、ネット
ワーク８２１が構成されている。

【０００６】図９に、コントローラ８０１の動作を説明
するための説明図を示す。図９では、プロセッサの実行
する処理動作を、１つのタスクとして表現している。な
お、「ｔ」で示すように時間軸をとっており、図面右側
に行くほど時間が経過することを意味する。図を参照し
て分かるように、何らかのイベント起動をトリガとし
て、タスクの実行が開始され、まず、コントローラ８０
１は、「センサ情報入力」即ち、センサ８０５、８０６
のセンサ出力信号を、ネットワーク８２１を介して、受
信する。次に、メモリ９０２に予め内蔵されているプロ
グラムに従った処理を行ない（「処理」）、処理結果を
参照し、ネットワーク８２１を介して、アクチュエータ
８１２に、アクチュエータ制御信号を出力する（「アク
チュエータ制御」）。このように、図９に示すタスク
は、一般的な、コントローラによる情報処理を示すもの
である。このような処理は、全てソフトウエアで記述さ
れており、例えば、アクチュエータの動作を制御する際
にも、コントローラ内で、アクチュエータの動作制御を
行なうための命令であるアクチュエータ制御命令を実行
するこによって実現されている。

【０００７】さて、図８にて示したシステム構成、特
に、コントローラの処理動作の信頼性を向上するために
は、通常、コントローラの多重化が行なわれ、このよう
な多重化システムの構成例を図１０に示す。

【０００８】図１０に示した多重化システムでは、コン
トローラ８０１を３台設けた構成、即ち、８０１−Ａ、
８０１−Ｂ、８０１−Ｃの３台の、同一構成のコントロ
ーラを設けて３重化構成としている。なお、各コントロ
ーラに対応するメモリ、プロセッサの符号に、サフィッ
クス「Ａ」、「Ｂ」、「Ｃ」を付けて区別している。

【０００９】また、ネットワーク８２１も、コントロー
ラの多重化に対応して、３系統用意し、夫々、８２１−
Ａ、８２１−Ｂ、８２１−Ｃとし、各センサ８０５、８
０６のセンサ出力信号が、各ネットワーク８２１（Ａ、
Ｂ、Ｃ）上に送出されるようになっている。

【００１０】また、各アクチュエータ装置は、制御回路
１００１、多数決論理回路１００２、および、アクチュ
エータ８１２を備えている。従来技術における制御回路
は、各プロセッサと、ネットワーク８３０を介して通信
可能な手段であり、各プロセッサとの情報通信における
ハンドシェーク、多数決論理回路１００２の起動機能等
を有する。

【００１１】多数決論理回路１００２は、３つのプロセ
ッサから送られてきたアクチュエータ制御信号のうちか
ら、多数決論理にしたがって選択した、アクチュエータ
制御信号を、アクチュエータ８１２に与えることによっ
て、アクチュエータの動作の制御を行なう。即ち、アク
チュエータ８１２の直前で、多数決論理にしたがって３
つの信号を１つにして出力し、アクチュエータの動作を
制御する。なお、多数決論理は、予め定めておくアクチ
ュエータ制御信号の選択規則の代表例にすぎない。

【００１２】さて、各コントローラは、予め格納されて
いる同一プログラムによる処理を行ない、その処理結果
を、他のコントローラにおける処理結果と比較する方式
を採用しており、ある１つのコントローラの処理結果
が、他の残りのコントローラによる処理結果と異なる場
合には、前記ある１つのコントローラに何らかの異常が
発生したものと判断して、他の残りのコントローラによ
る処理結果を出力して、アクチュエータの動作を制御す
ることによって、システムの信頼性を高めているという
特徴を有している。

【００１３】ところで、このようにして、システムの信
頼性を高めるための実現方法としては、いわゆる「疎結
合の多重化方式」が提案されているが、疎結合の多重化
方式は、ある独立のクロックで動作するコントローラ
と、他の独立のクロックで動作するコントローラとを多
重化した場合における、コントローラ間の処理結果の比
較を行なうのための同期方法である。そして、疎結合の
多重化方式としては、ソフトウエアでの同期方法と、ハ
ードウエアでの同期方法が提案されている。

【００１４】ソフトウエアでの同期方法として、例え
ば、図１１のプログラム例と、図１２の３重化システム
の動作のタイムチャートとを用いて説明する。

【００１５】図１１と、図９とを比較参照して分かるよ
うに、このプログラムには、３重化装置に対する、同期
用システムコールが追加されている点が特徴となってい
る。

【００１６】そして、図１２に示すように、３つのコン
トローラは、時間軸に従って、独立に、同期用システム
コールの存在位置まで、記述されたプログラムにしたが
った処理を行ない、同期用システムコールの存在位置ま
で処理を進め、同期用システムコールが発生すると、総
てのコントローラに処理が完了するまで、「待ち」状態
になり、総てのコントローラが処理を完了した後、処理
結果を含む情報の、比較処理が実行される。その後、こ
の比較処理による比較結果を参照して、多数決処理が行
なわれ、さらに、アクチュエータ制御が行なわれる。

【００１７】また、ハードウエアでの同期方法として
は、特開平１ー２５８０５７号公報「複数のプロセッサ
の同期方法及び装置」に開示されているように、外部割
込みを利用して同期化する手法がある。

【００１８】また、一般的に、プロセッサの割込み処理
には、「完了割込み」と「抑止割込み」がある。「完了
割込み」とは、割込みが発生しても、実行中の命令の完
了を待って、次の命令との間で割り込み処理を行なうで
手法であり、次の命令に対するアドレスを退避してお
き、割込み完了後、退避したアドレスで示される、次の
命令から実行する手法である。即ち、割り込みによる中
断点から、命令実行を再開するものである。なお、上記
公知例の外部割込みは、この完了型割込みを利用したも
のである。

【００１９】一方、「抑止割込み」とは、割込みが発生
した場合には、実行中の命令の実行を抑止（キャンセ
ル）して割り込む手法であり、実行中の命令のアドレス
を退避し、割込み完了後、実行中だった命令を、始めか
ら再実行する手法である。即ち、割り込みによる中断さ
れた命令は、中断点からではなく、当該命令の開始点か
ら、再実行される。このような、抑止割込みは、例え
ば、メモリ管理ユニットを備えるプロセッサによる、ア
ドレス変換バッファ（ＴＬＢ）のミスヒット時や、メモ
リ保護違反等の処理において使用されている。

【００２０】

【発明が解決しようとする課題】上述したように、「疎
結合の多重化方式」、特に、ソフトウエアでの同期方法
を使用した場合には、プログラムの互換性という点で問
題があった。

【００２１】図９と図１１とで示された、タスク構成を
参照すれば分かるように、一方のタスク中には同期用シ
ステムコールのためのプログラムが存在しないが、他方
のタスク中には、同期用システムコールのためのプログ
ラムが存在し、これ以外の点は全く同じプログラムであ
っても、通常系（１系）で用いられていたプログラム
を、多重化システムに適用するためには、プログラムの
移植工数が大きなものとなってしまう。このような移植
は、単に、同期用システムコールのためのプログラムを
追加するのみにとどまらず、他のプログラムとの整合性
をとるために、プログラミング間違いも招きかねない。

【００２２】また、ハードウエアでの同期方法は、各コ
ントローラが備えるプロセッサに対する、外部割込みを
利用したものである、一般に制御が複雑であり、ハード
ウエアの規模も大きくなってしまう。リアルタイム制御
分野での高速応答を考慮したとき、外部割込みごとに同
期化する、公知例の方式によれば、オーバーヘッドが大
きけ、リアルタイムでの制御動作を保証できない。

【００２３】そこで、本発明の目的は、センサ、アクチ
ュエータを含む制御ループに対して制御動作を行なう多
重化システムを構築する際に、使用するプログラム互換
性を考慮し、簡単なハードウエア構成で、高信頼性、高
速応答性を有するシステムを実現することにある。

【００２４】

【課題を解決するための手段】上記課題を解決し、本発
明の目的を達成するには、以下の手段がある。

【００２５】即ち、所定の処理手順にしたがった動作を
行なう、複数のコントローラと、１以上の、センサ出力
信号を出力するセンサと、アクチュエータ動作をアクチ
ュエータ制御信号にしたがって制御するアクチュエータ
制御装置と、を有するシステムでる。

【００２６】そして、各コントローラは、各センサから
のセンサ出力信号を受信し、対応するアクチュエータ制
御装置に対してアクチュエータ制御信号を出力するため
の通信手段と、センサ出力信号の受信、該受信信号に基
づいた所定処理、および、該所定処理の結果であるアク
チュエータ制御信号の出力を、前記所定の処理手順とし
て、処理動作を行なう処理手段と、該処理手段が、アク
チュエータ制御信号の出力動作を行なうと判断したと
き、当該動作をキャンセル（抑止）するように、抑止割
込み制御を行なう制御手段とを備え、また、各アクチュ
エータ制御装置は、各コントローラの処理結果を受信す
る受信手段と、受信した各コントローラを参照して、予
め定めた規則に従って、いずれかの処理結果を、アクチ
ュエータ制御信号として出力するアクチュエータ制御手
段とを備えたシステムである。

【００２７】なお、前記コントローラが有する制御手段
は、さらに、一旦抑止割込み制御を行なった後、抑止さ
れた、アクチュエータ制御信号の出力動作を規定する処
理に対しては、抑止割込み制御を行なわない機能を有す
る。

【００２８】また、本発明の他の態様として、以下に示
すコントローラも考えられる。

【００２９】即ち、所定の処理手順にしたがった動作を
行なうコントローラであって、外部のセンサからのセン
サ出力信号を受信し、外部のアクチュエータに対してア
クチュエータ制御信号を出力するための通信手段と、セ
ンサ出力信号の受信、該受信信号に基づいた所定処理、
および、該所定処理の結果であるアクチュエータ制御信
号の出力を、前記所定の処理手順として、処理動作を行
なう処理手段と、該処理手段が行なう動作を割込み制御
する制御手段と、を備える。そして、該制御手段は、前
記処理手段が、アクチュエータ制御信号の出力動作を行
なうと判断したとき、当該動作をキャンセル（抑止）す
るように、抑止割込み制御を行なう、コントローラであ
る。

【００３０】さらに、本発明の他の態様として、以下に
示すアクチュエータ制御装置も考えられる。

【００３１】即ち、複数のコントローラの各々が処理し
た処理結果に対応するアクチュエータ制御信号を受信
し、いずれの受信信号をアクチュエータに与えるアクチ
ュエータ制御装置において、１つのコントローラに注目
して、他のコントローラの処理結果を獲得し、さらに、
存在する総てのコントローラの組み合わせを想定したと
き、各組み合わせに対応するコントローラ間での処理結
果の比較し、比較結果を、第１の予め定めた規則に従っ
て格納しておく格納手段と、該格納手段の格納内容を参
照し、第２の予め定めた規則に従って、いずれかのコン
トローラの処理結果を選択して、アクチュエータに与え
る制御手段と、を設けたアクチュエータ制御装置であ
る。

【００３２】本システムの動作は、以下のようになる。

【００３３】各コントローラは、通信手段によって、各
センサからのセンサ出力信号を受信し、対応するアクチ
ュエータ制御装置に対してアクチュエータ制御信号を出
力する。処理手段は、センサ出力信号の受信、該受信信
号に基づいた所定処理、および、該所定処理の結果であ
るアクチュエータ制御信号の出力を、前記所定の処理手
順として、処理動作を行なう。そして、制御手段は、こ
の処理手段が、アクチュエータ制御信号の出力動作を行
なうと判断したとき、当該動作をキャンセル（抑止）す
るように、抑止割込み制御を行なう。

【００３４】一方、各アクチュエータ制御装置は、受信
手段によって、各コントローラの処理結果を受信する。
そして、アクチュエータ制御手段は、受信した各コント
ローラを参照して、予め定めた規則にしたがって、いず
れかの処理結果を、アクチュエータ制御信号として出力
する。

【００３５】なお、前記コントローラの制御手段は、一
旦抑止割込み制御を行なった後、抑止された、アクチュ
エータ制御信号の出力動作を規定する処理に対しては、
抑止割込み制御を行なわない。

【００３６】これら一連の動作により、アクチュエータ
制御動作を行なう直前までの処理を、多重化システムで
行ない、高信頼性でアクチュエータを制御できる。

【００３７】

【発明の実施の形態】以下、本発明の実施形態を、図面
を参照しつつ説明する。

【００３８】図１は、同一のコントローラを３台設けて
構成した、３重化システム（３重系システム）の構成例
を示している。

【００３９】本システムは、コントローラ１０１−Ａ、
Ｂ、Ｃと、他システムとの間で情報通信を行なうための
ネットワーク１２０と、センサ１０５、センサ１０６、
アクチュエータ装置１０７、１０８、３重系に対応する
通信媒体であるネットワーク１２１−Ａ、Ｂ、Ｃと、を
有して構成されている。

【００４０】各コントローラは、予め定めたプログラ
ム、演算結果等を格納しておくためのメモリ１０２と、
タスクの実行等の、予め定められた処理を行なうプロセ
ッサ１０３とを有し、さらに、プロセッサ１０３は、所
定の手順で処理動作を行なうプロセッサコア１１３と、
アクチュエータ制御信号を与える命令を検出して、当該
命令の抑止割込みを行なうアクチュエータ制御命令判定
器１０４を備えている。

【００４１】また、各アクチュエータ装置は、３つのコ
ントローラのいずれか出力が選択されるようにする多数
決論理回路１１１と、ネットワーク１３０を介して受信
した、各コントローラの情報処理結果等を参照して、多
数決論理回路１１１を駆動制御する制御回路１１０と、
アクチュエータ制御信号が与えられると駆動するアクチ
ュエータ１１２と、を有して構成される。

【００４２】本システムは、各コントローラが独自のク
ロックで独立に動作する、いわゆる疎結合構成であり、
各コントローラは、同一のプログラムを実行する。そし
て、各コントローラの実行結果は、他のコントローラの
実行結果と比較され、１つのコントローラの実行結果
が、残りの複数のコントローラの実行結果と異なる場合
には、何らかの異常があったものと判断して、残りの複
数のコントローラの実行結果を用いて、アクチュエータ
制御を行なうようにした、高信頼性を有する多重化シス
テムである。

【００４３】なお、各コントローラは、同一構成であ
り、センサ１０５、センサ１０６からのセンサ出力信号
を受信し、受信信号を情報処理して、アクチュエータ制
御信号を、アクチュエータ装置に与える動作を行なう
が、本発明は、アクチュエータ制御信号が生成され検出
された後の、当該信号のアクチュエータ装置へのの与え
方に特徴がある。

【００４４】以下、図２を参照して、システムの動作を
説明する。各コントローラ１０１−Ａ、Ｂ、Ｃは、セン
サ１０５、１０６から出力されるセンサ出力信号を、ネ
ットワーク１２１−Ａ、Ｂ、Ｃの夫々を介して受信し、
入力データとして取り込む。

【００４５】そして、プロセッサコア１１３−Ａ、Ｂ、
Ｃは、入力データに基づいて、アクチュエータ装置を制
御するための情報処理を、メモリ１０２−Ａ、Ｂ、Ｃに
予め格納されている処理プログラムに従って実行する。

【００４６】なお、図１には図示しないが、各コントロ
ーラは、センサ出力信号やアクチュエータ制御信号を送
受信するためのインターフェイス回路が設けられてい
る。

【００４７】さて、情報処理が行なわれた後、各コント
ローラは、アクチュエータ制御信号をアクチュエータ装
置側に出力するため「アクチュエータ制御命令」を実行
しようとする。なお、アクチュエータ制御命令は、プロ
グラム形式で構成される。

【００４８】アクチュエータ制御命令が実行されると、
プロセッサコア１１３が、ネットワーク１２１を介し
て、アクチュエータ装置１０７、１０８に、アクチュエ
ータ制御信号を与えるように動作する。この時、アクチ
ュエータ制御命令判定回路１０４−Ａ、Ｂ、Ｃは、常
に、信号１２４−Ａ、Ｂ、Ｃを監視し、アクチュエータ
制御信号を与える命令である、アクチュエータ制御命令
が発行されたか否かを調べ、発行されていた場合、抑止
割込みを行なう。

【００４９】図２は、このような状態を説明するため、
横軸右方向に時間軸をとり、各コントローラＡ、Ｂ、Ｃ
が、センサ出力信号の入力（センサ入力）、情報処理
（処理）を行なった後、アクチュエータ制御命令が発行
された（アクチュエータ制御）時点で、抑止割込み（抑
止ＩＮＴ）が行なわれる様子を示している。

【００５０】図示するように、この例では、コントロー
ラＡの処理が最も早く完了し、アクチュエータ制御命令
の発行が検出されると抑止割込みが行なわれ、待ち状態
に入る。続いて、コントローラＢが、アクチュエータ制
御命令の発行を検出するが、これも、抑止割込みが行な
われ待ち状態に入る。さらに、コントローラＣが、アク
チュエータ制御命令の発行を検出し、抑止割込みが行な
われて割込み処理に入った時点で、コントローラＡ、
Ｂ、Ｃの同期がとれることになる。

【００５１】なお、抑止割込みが一旦行なわれて、処理
結果の比較を行なえるように同期化された時点で、多数
決処理が行なわれる。図示するように、いずれのコント
ローラからも、アクチュエータ制御信号が出力される
が、実際には、多数決処理の処理結果を参照して、３つ
のアクチュエータ制御信号のうちの、いずれかを選択し
て、アクチュエータに与えるように、ハードウエア構成
されているが、このような構成については後に述べる。

【００５２】図３に、アクチュエータ制御命令判定回路
の構成図を示す。

【００５３】図中左側の各信号線は、信号線１２４−Ａ
を構成しており、「データ」は、データ用線、「アドレ
ス」は、アドレス用線、「ＲＥＱ」は、要求信号を出力
するための要求信号線、「Ｒ／Ｗ」は、リードまたはラ
イトのいずれかのステータスを定めるためのリードライ
ト信号線である。

【００５４】アクチュエータ制御命令判定回路１０４−
Ａは、アドレスレジスタ３０１と、アドレス比較器３０
２と、マスクレジスタ３０４と、ＡＮＤ論理回路３０
３、３０５とを有して構成されている。

【００５５】アドレスレジスタ３０１には、アクチュエ
ータに対応するアドレスを、予め格納しておく。そし
て、アドレス比較器３０２は、アドレスレジスタ３０１
に格納されているアドレスと、アドレス用線１２４で指
定されるアドレスとを、常に、比較する。両アドレスが
一致するとき、アドレス比較器３０２は、「１」を出力
する。

【００５６】そして、要求信号線上に要求信号
（「１」）が出力され、リードライト信号線上にライト
ステータスを定める信号が出力され、さらに、アドレス
比較器３０２が「１」を出力した場合、アクチュエータ
制御命令が発行されたと判定され、ＡＮＤ論理回路３０
３は、「１」を出力する。このとき、マスクレジスタ３
０４に「０」がセットされていれば、ＡＮＤ論理回路３
０５から「１」が出力され、プロセッサコア１１３−Ａ
は、抑止割込み動作を行なう。すなわち、当該アクチュ
エータ制御命令をキャンセルする。

【００５７】その後、一旦抑止割込み終了後に、アクチ
ュエータ制御命令が再実行された時に、アクチュエータ
制御命令判定回路が反応しないように、即ち、再度、同
一のアクチュエータ制御命令に対して抑止割込み動作を
行なわないように、マスクレジスタ３０４の値に「１」
を設定する。このような、マスクレジスタ３０４の書き
換え処理は、コントローラにインストールされたＯＳが
自動的に行なうようにしておけばよい。このようなＯＳ
によるマスクレジスタ３０４の書き換え処理を行なうの
は、再度、同一のアクチュエータ制御命令が抑止され、
当該命令が実行されない無限ループの発生を防止するた
めである。したがって、あるアクチュエータ制御命令
が、一旦抑止されたのち、即座にマスクレジスタ３０４
の書き換え処理を行ない、次に命令を実行すべきときに
は、抑止を行なわないようにしておく。

【００５８】このように、マスクレジスタ３０４の反転
信号とＡＮＤ論理回路３０３の出力とを、ＡＮＤ論理回
路３０５で論理演算して、その出力結果を、抑止割込み
起動信号としている。プロセッサ内部でアクチュエータ
制御命令が発行されたことを検出し、かつ、マスクレジ
スタ３０４の内容が「０」のとき、抑止割込み（抑止Ｉ
ＮＴ）が行なわれ、当該命令の実行を抑止し、その命令
のアドレス、ステータス情報等を保持して、割込み処理
ルーチンに処理を移し、コントローラ間での同期をとる
動作が行なわれる。

【００５９】結局、アクチュエータ制御命令は、プロセ
ッサ内で、その実行が開始されるものの、途中でその実
行が抑止され、割込み処理が行なわれる。この機能は公
知例として述べた、完了割込みに比べ、本システムのよ
うな多重化装置には、好適である。なぜならば、本発明
では、コントローラの情報処理が完了した後、これから
まさにアクチュエータ制御を行なう直前の状態で、コン
トローラ間の同期をとり、演算結果の比較等によるコン
トローラ出力の選択を行なう処理を行なうことになるの
で、この同期タイミングは、コントローラの信頼性向上
のために、何らかの異常を検出するためのタイミングと
して最適だからである。

【００６０】一般に、同期処理は、各コントローラの処
理結果を、他のコントローラの処理結果と比較しなけれ
ばならず、いわゆる疎結合による多重化を実現する上で
必須な処理であり、ＯＳ上での同期処理として、共有変
数を使用した方法等が知られており、この方法では、各
コントローラは、割込み処理で「１」にセットする共有
変数を有し、各コントローラは、他コントローラの共有
変数が全て「１」になるまで、繰り返して同期動作を行
なうビジーウエイト法等がある。

【００６１】このように、各種の同期処理方法が提案さ
れているが、本発明は、同期をとる際に、特定の命令が
発行されたことを検出して、抑止割込み制御を行ない、
コントローラ間の同期をとる点に特徴があり、ＯＳ上の
同期処理方法そのものは、従来から多くの方法が提案さ
れている。

【００６２】次に、図４〜７を参照して、各コントロー
ラ間での同期がとれた後、各コントローラのメモリに格
納されている処理結果を、他のコントローラのメモリに
格納されている処理結果と比較処理する、多重化システ
ムの動作を説明する。

【００６３】以下、動作を説明する。

【００６４】まず、図４に示す通り、各コントローラ
は、他コントローラのメモリの内容をコピーする。コピ
ーするメモリの内容は、各コントローラの処理結果を含
む情報、例えば、アクチュエータ制御のための出力情
報、処理の中間結果、センサからの入力情報、割込みか
らの回復のための退避アドレス、退避ステータス情報、
退避レジスタ等をが挙げられる。

【００６５】メモリの内容を総てコピーするのではな
く、予め指定したメモリエリアに格納したもののみをコ
ピーするようにしてもよいし、また、コピーする情報と
しては、比較処理を行なうと、コントローラの何らかの
異常が、即座に分かる情報を含めておくのが好ましい。

【００６６】さて、図４に示す動作タイムチャート（時
間軸を、右方向に進むに従って時間が経過するように設
定する）では、例えば、コントローラＡは、抑止割込み
された後、コントローラＢのメモリー内容のコピー（Ｂ
コピー）を行ない、さらに、コントローラＣのメモリー
内容のコピー（Ｃコピー）を行なった後、ＡＢＣ比較を
行なうことを示している。他のコントローラについても
同様である。そして、各コントローラからアクチュエー
タ制御信号が出力されるようになっているが、実際に
は、多数決論理等の規則を使用して、いずれか１つのア
クチュエータ制御信号が選択されて、アクチュエータに
与えられる。なお、図中のＡＢＣ比較は、各コントロー
ラの処理結果を比較することを意味する。

【００６７】さて、図４に示す（ア）と（イ）の夫々の
時点での、各コントローラのメモリの記憶内容を、図５
に示す。

【００６８】時刻（ア）では、各コントローラのメモリ
には、各コントローラ自身による処理結果のみが格納さ
れており、時刻（イ）では、他コントローラのメモリ内
容のコピーにより、総てのコントローラの処理結果が格
納されていることがわかる。

【００６９】例えば、コントローラＢでは、時刻（ア）
で、自コントローラの出力のみが格納されており、時刻
（イ）では、コントローラＡのメモリの内容（コピ
ー）、コントローラＣのメモリの内容（コピー）も、格
納されている。

【００７０】そして、各コントローラは、独立して、自
メモリの中の、３種類のコントローラのメモリの内容を
比較する。比較結果は、後に説明する図７に示す、制御
回路１１０が備える記憶部に格納される。

【００７１】さて、各コントローラが行なう比較処理
は、図６に示すように、コントローラＡ−Ｂ間、Ｂ−Ｃ
間、Ｃ−Ａ間で行なわれ、比較処理結果は、図６に示す
ように、「１」を「一致」、「０」を「不一致」とした
規則で、格納される。

【００７２】図６は、このようにして格納された比較結
果が、取りうる組み合わせを示している。この「０」
「１」の組合せ態様によって、コントローラの異常の存
在や、異常がある場合、どのコントローラが異常である
のかを判断できる。

【００７３】例えば、「状態」に記載されている「全一
致」は、総てのコントローラの処理が正常に行なわれて
いることを示す。さらに、全一致ではないが、一致、不
一致の発生パターンによって、故障がおきているコント
ローラを特定することができた場合（「Ａ、Ｂ、Ｃ系障
害」）は、故障コントローラ以外の、コントローラから
の出力情報を選択するようにして、システムの信頼性を
高めることができる。

【００７４】一方「異常」は、一致、不一致の発生パタ
ーンでは、いずれの系が故障状態にあるのかを特定でき
なかったことを示し、この場合には、多重化システム
は、システムダウンとなる。このようなシステムダウン
をオペレータに警告するように、システム内のいずれか
の場所に、警告用の表示装置を設けておけば良い。

【００７５】さて、各コントローラの比較結果を参照し
て、いずれかのコントローラの出力を選択するための、
アクチュエータ装置について、図７を参照して説明す
る。

【００７６】図７は、制御回路１１０と、多数決論理回
路１１１とを示している。

【００７７】制御回路は、比較結果格納部７２、７３、
７４と、多数決制御部とを備えている。比較結果格納部
は、各コントローラに対応して設けられている。

【００７８】例えば、比較結果格納部７２は、コントロ
ーラＡ１０１が、比較処理を行なった結果を格納する手
段であり、格納する情報は、図６にて示したように、一
致する場合は「１」、不一致の場合は「０」である。例
えば、ＡA-Bは、コントローラＡが、コントローラＡと
コントローラＢの内容を比較処理した結果を格納するエ
リアであり、両コントローラの処理内容が一致していれ
ば「１」、不一致であれば「０」を格納する。他の比較
結果格納部７３、７４も同様な機能を有する。

【００７９】そして、多数決制御部は、各比較結果格納
部の格納内容を調べ、図６に示した状態に関する情報を
検出し、予め定めた規則に従って、多数決論理回路１１
１に駆動信号１２３を出力する。そして、多数決論理回
路１１１は、駆動信号１２３を受信すると、いずれかの
コントローラからのアクチュエータ制御信号を選択する
ように、選択スイッチを切りか換え制御する。例えば、
コントローラからのアクチュエータ制御信号を選択する
場合、対応するネットワーク１２１−Ａを選択して、コ
ントローラからのアクチュエータ制御信号１２２を、図
示しないアクチュエータに与えて、アクチュエータの動
作を制御する。

【００８０】さて、多数決制御部が採用する、予め定め
た規則としては、以下のようなものが考えられる。

【００８１】第１に、総てのコントローラが正常である
と判断された場合には、いずれのネットワークを選択し
ても良いとする。

【００８２】第２に、１つのコントローラが異常である
と判断された場合には、残りの正常なコントローラに対
する、いずれかのネットワークを選択しても良いとす
る。

【００８３】第３に、２つのコントローラが異常である
と判断された場合には、残りの１つの正常なコントロー
ラに対するネットワークを選択する。このような規則が
考えられるが、これらは一例にすぎない。また、このよ
うな規則にしたがって駆動信号１２３を生成する手段
は、各種の論理演算ゲートを用いて実現可能である。

【００８４】このようなアクチュエータ装置の動作によ
り、最も信頼性の高いアクチュエータ制御信号がアクチ
ュエータに与えられる。

【００８５】そして、多重化動作の最後に、図３に示す
マスクレジスタ３０４に「１」を格納する。これらの処
理をＯＳに行なわせて、各コントローラの割込み処理を
終了させ、各コントローラのタスクの処理を再開する。
これは、前出したように、抑止されたアクチュエータ制
御命令から実行を開始させるためである。

【００８６】以上の動作によって、アクチュエータは、
最も信頼性の高いコントローラからの制御信号によって
動作制御が行なわれる。

【００８７】次に、図１３〜１６を参照して、他の実施
形態を示す。

【００８８】図１３に、他の実施形態を示す。本形態の
特徴は、抑止割込みの要因を、複数とする点にある。プ
ロセッサ１３０３は、アクチュエータ制御命令判定器１
０４から出力される、アクチュエータ制御命令検出要因
により生成される信号と、他の要因による信号との論理
和演算を行なう論理和回路１３０１と、レジスタ１３０
２と、を新たに備えている。そして、この論理和回路１
３０１の出力信号が、抑止割込み信号（抑止ＩＮＴ）と
して、プロセッサコア１１３に与えられる。なお、アク
チュエータ制御命令判定器１０４から出力される、アク
チュエータ制御命令検出要因により生成される信号によ
って、レジスタ１３０２に「１」がセットされることに
より、プロセッサコアは、割込み要因が、アクチュエー
タ制御命令の検出によるものであことを認識し、対応す
る処理を行なうようにしておけば良い。なお、本実施形
態によれば、複数の要因による抑止割込み動作を可能に
するシステムに、本発明を適用できることになる。

【００８９】次に、図１４に、さらに他の実施形態を示
す。本実施形態は、２種類のアクチュエータ制御命令判
定器を、新たに備えたプロセッサ１４０３を使用したも
のである。具体的には、第１、第２のアクチュエータ制
御命令判定器１４０１、１４０２を設ける点に特徴があ
る。本実施形態は、アクチュエータ制御命令の書き込み
アドレスが、不連続に存在する場合、即ち、複数のアク
チュエータに対する制御動作を行なうシステムにおい
て、システムの簡素化、コスト低減等の効果がある。な
お、アクチュエータ制御命令判定器の数は、複数個であ
れば良く、２個に限られない。

【００９０】次に、図１５に他の実施形態を示す。本実
施形態では、抑止割込みをマスクするＩＮＴマスクレジ
スタ１５０２と、該ＩＮＴマスクレジスタを所定時間後
にクリアするタイマ１５０１とを、新たに備えた、プロ
セッサ１５０３を使用している。本実施形態では、抑止
割込み処理後、ＩＮＴマスクレジスタに１をセットし、
タスク再開後、タイマ１５０１の動作を開始することに
より、再開後、所定時間、抑止割込みがマスクされるよ
うに、即ち、所定時間の抑止割込みを禁止するように動
作し、同期化動作、メモリ内容の比較処理等を、所定時
間行なわないようにする点に特徴がある。

【００９１】図１６は、本実施形態における、各コント
ローラの動作を説明する図である。

【００９２】図１６に示すように、リアルタイム処理を
行なうシステムにおいては、センサの出力信号を入力
し、コントローラが処理を行なうと、複数のアクチュエ
ータ（第１、第２、第３のアクチュエータ）を制御する
場合が多いが、各アクチュエータに対する抑止割込み
を、各アクチュエータに対するアクチュエータ制御命令
の検出のたびに行なうことはせずに、最初の１回目のア
クチュエータ制御命令の検出によって、同期化動作、メ
モリ内容の比較処理等を行なうのみで、同期化動作、メ
モリ内容の比較処理等を複数回行なわなくても、高い信
頼性を有するシステムを構築できる。

【００９３】

【発明の効果】以上のように、本発明によれば、ハード
ウエアによる同期を行なう手段であるため、通常系で使
用されている処理プログラムを、多重化システム用に、
移植する必要がない、即ち、処理プログラムの変更は、
不要であり、プログラム互換性を維持したまま、システ
ム構築することが可能となる。

【００９４】また、リアルタイム制御分野、特に、セン
サ、アクチュエータを少なくとも含んで構成された制御
ループに対する制御を、簡単なハードウエアで行なえ、
その制御動作は、高速応答性、高信頼性を有する。

【００９５】具体的には、アクチュエータ制御を行なう
処理を検出したとき、抑止割込み制御を行ない、コント
ローラでの処理が完了しまさに、アクチュエータ制御を
実行する直前状態で、同期を行ないメモリの内容を比較
するので、信頼性の高いアクチュエータ制御を行なえ
る。さらに、必要最小限の同期を行なう構成になってい
るため、処理オーバーヘッドが小さく、制御応答性に富
む多重化システムを実現できる。

【図面の簡単な説明】

【図１】３重化システムの構成図である。

【図２】各コントローラの動作を説明するための説明図
である。

【図３】アクチュエータ制御命令判定回路の構成図であ
る。

【図４】同期後の各コントローラの動作を説明するため
の説明図である。

【図５】各コントローラのメモリの内容の説明図であ
る。

【図６】３重系の状態を示す説明図である。

【図７】多数決論理回路の構成図である。

【図８】従来のシステム（１重）の構成図である。

【図９】従来のシステムにおける、コントローラの動作
を説明するための説明図である。

【図１０】従来の３重化システムの構成図である。

【図１１】ソフトウエア同期型による、１タスクの動作
を示す説明図である。

【図１２】ソフトウエア同期型による、各コントローラ
の動作を説明するための説明図である。

【図１３】他の実施形態にかかるコントローラの構成図
である。

【図１４】他の実施形態にかかるコントローラの構成図
である。

【図１５】他の実施形態にかかるコントローラの構成図
である。

【図１６】他の実施形態にかかるコントローラの動作を
説明するための説明図である。

【符号の説明】

１０１…コントローラ、１０４…アクチュエータ制御命
令判定器、１０５…センサ、１０６…センサ、１０７…
アクチュエータ装置、１０８…アクチュエータ装置、１
１０…制御回路、１１１…多数決論理回路、１１２…ア
クチュエータ、１２０…ネットワーク、１２１…ネット
ワーク、１０３…プロセッサ、１１３…プロセッサコア

───────────────────────────────────────────────────── フロントページの続き (72)発明者 堀田 多加志 茨城県日立市大みか町七丁目１番１号 株 式会社日立製作所日立研究所内

Claims (10)

【特許請求の範囲】
1. 【請求項１】所定の処理手順にしたがった動作を行な
   う、複数のコントローラと、１以上の、センサ出力信号
   を出力するセンサと、アクチュエータ動作をアクチュエ
   ータ制御信号にしたがって制御するアクチュエータ制御
   装置と、を有するシステムであって、 各コントローラは、 各センサからのセンサ出力信号を受信し、対応するアク
   チュエータ制御装置に対してアクチュエータ制御信号を
   出力するための通信手段と、センサ出力信号の受信、該
   受信信号に基づいた所定処理、および、該所定処理の結
   果であるアクチュエータ制御信号の出力を、前記所定の
   処理手順として、処理動作を行なう処理手段と、該処理
   手段が、アクチュエータ制御信号の出力動作を行なうと
   判断したとき、当該動作をキャンセル（抑止）するよう
   に、抑止割込み制御を行なう制御手段とを備え、さら
   に、 各アクチュエータ制御装置は、 各コントローラの処理結果を受信する受信手段と、受信
   した各コントローラを参照して、予め定めた規則にした
   がって、いずれかの処理結果を、アクチュエータ制御信
   号として出力するアクチュエータ制御手段とを備えた、
   情報処理システム。
2. 【請求項２】請求項１において、前記コントローラが有
   する制御手段は、さらに、一旦抑止割込み制御を行なっ
   た後、抑止された、アクチュエータ制御信号の出力動作
   を規定する処理に対しては、抑止割込み制御を行なわな
   い機能を有することを特徴とする、情報処理システム。
3. 【請求項３】請求項１において、前記コントローラが有
   する制御手段は、さらに、 一旦抑止割込み制御を行なった後、予め定めた所定時間
   が経過するまでは、抑止割込み制御を行なわない機能を
   有することを特徴とする、情報処理システム。
4. 【請求項４】請求項１において、前記コントローラが有
   する処理手段は、他のコントローラの処理結果を獲得
   し、さらに、自コントローラを含め、存在する総てのコ
   ントローラの組み合わせを想定したとき、各組み合わせ
   に対応するコントローラ間での処理結果を比較する機能
   を有する、ことを特徴とする情報処理システム。
5. 【請求項５】請求項４において、前記アクチュエータ制
   御装置は、 存在する総てのコントローラの組み合わせを想定して求
   められた、各組み合わせに対応するコントローラ間での
   処理結果の比較結果を、第１の予め定めた規則に従って
   格納しておく格納手段を備え、さらに、 前記アクチュエータ制御手段は、該格納手段の格納内容
   を参照し、第２の予め定めた規則に従って、いずれかの
   コントローラの処理結果を選択して、アクチュエータに
   与える機能を有する、情報処理システム。
6. 【請求項６】請求項４および５のいずれかにおいて、比
   較対象となる処理結果は、割込みからの回復動作を行な
   うための退避アドレス、退避ステータス情報、および、
   退避レジスタ情報の少なくとも１以上の情報を含むこと
   を特徴とする多重化装置。
7. 【請求項７】所定の処理手順にしたがった動作を行なう
   コントローラであって、 外部のセンサからのセンサ出力信号を受信し、外部のア
   クチュエータに対してアクチュエータ制御信号を出力す
   るための通信手段と、 センサ出力信号の受信、該受信信号に基づいた所定処
   理、および、該所定処理の結果であるアクチュエータ制
   御信号の出力を、前記所定の処理手順として、処理動作
   を行なう処理手段と、該処理手段が行なう動作を割込み
   制御する制御手段と、を備え、 該制御手段は、前記処理手段が、アクチュエータ制御信
   号の出力動作を行なうと判断したとき、当該動作をキャ
   ンセル（抑止）するように、抑止割込み制御を行なう、
   コントローラ。
8. 【請求項８】請求項７において、前記制御手段は、さら
   に、一旦抑止割込み制御を行なった後、抑止された、ア
   クチュエータ制御信号の出力動作を規定する処理に対し
   ては、抑止割込み制御を行なわない機能を有することを
   特徴とする、コントローラ。
9. 【請求項９】請求項７において、前記制御手段は、さら
   に、 一旦抑止割込み制御を行なった後、予め定めた所定時間
   が経過するまでは、抑止割込み制御を行なわない機能を
   有することを特徴とする、コントローラ。
10. 【請求項１０】複数のコントローラの各々が処理した処
    理結果に対応するアクチュエータ制御信号を受信し、い
    ずれの受信信号をアクチュエータに与えるアクチュエー
    タ制御装置において、 １つのコントローラに注目して、他のコントローラの処
    理結果を獲得し、さらに、存在する総てのコントローラ
    の組み合わせを想定したとき、各組み合わせに対応する
    コントローラ間での処理結果の比較し、比較結果を、第
    １の予め定めた規則に従って格納しておく格納手段と、 該格納手段の格納内容を参照し、第２の予め定めた規則
    に従って、いずれかのコントローラの処理結果を選択し
    て、アクチュエータに与える制御手段と、を設けたアク
    チュエータ制御装置。