JPH11504735A - システムアーキテクチャ - Google Patents

Abstract

(57)【要約】 システムアーキテクチャは、１つのプロセスを共同で制御し絶えずデータを互いに比較する少なくとも２個のプロセッサ（２、３）を有する。可能な誤りに関して検査されたプログラムパッケージと未検査のプログラムパッケージが２つのプロセッサの一方（２）で実行される。未検査のプログラムパッケージによる検査済のプログラムパッケージの妨害をなくすために、検査済のプログラムパッケージと共同で動作する周辺機器（１２）は抑止入力（１６）を備えており、検査済のプログラムパッケージは未検査のプログラムパッケージに管理を引き渡す前に、割当てられた周辺機器（１２）を抑止入力（１６）により禁止する。

Description

【発明の詳細な説明】 システムアーキテクチャ 機械、それも多数の独立軸を擁しているために基本的な制御コストのかかる機 械の操作は近年ますます自動化されている。これらの制御は、人間や機械に対す る危険をできるだけ排除するため、少なくとも誤った操作が人間や機械に対して 悲惨な結果を招きうるような制御ステートメントに関しては、かなりの程度まで 信頼できうるものでなければならない。 過去においてはこのような場合には、リレーや保護機器が比較的確実な制御手 段であるという考えのもとに、主にリレー技術に信頼が置かれてきた。もっとも この方式ではリレーがその機能の面で交互に監視ないしは検査されるために、過 剰なほどの検査プログラムの類を準備する必要があった。例えば偏心プレスなど の比較的単純な制御用でさえこのリレーのコストは必要なスペースからすると莫 大なものであった。検知したり、エラーの検知の際に装置を安全な側に停止させ るような複雑で確実な制御方式は、スペースの制約からリレー技術では実用化し ていない。 従って、電子部品は状況によっては外部の影響をより受けやすく、また複合的 エラーも起こりやすいことが分かっていたにもかかわらず、電気機械部品の代わ りに電子部品を用いた制御装置を構築する方向が取られた。そしてこの問題点を 少しでも克服するために、チャネルが互いに監視し合う制御装置が多重チャネル の仕様で作られた。 さらに自動化が進んだため、マイクロプロセッサによる制御への移行が必要に なっているが、これにはエラーのもう一つの特性、つまりソフトウエアのエラー という問題が加わった。 しかし、マイクロプロセッサやプログラムを使った制御方式は、ユーザがその 制御機構を拡張したり、状況によっては安全性と関係のない他の機械や機械の動 作をその制御機構内に組み込むことが同時に可能となる場合にしか意味を持たな い。この場合必ずしも信頼できるとはいえない諸々の機能を制御するこのプログ ラムの一部によって、信頼しうる機能を監視するプログラム部分が影響を受ける ことは絶対に避けなければならない。さもなければその原因を実際には見つけ出 せないような重大なトラブルに到ることもあり得るだろう。というのはこれらの トラブルは状況によってはある決まった入力信号の時間的相関関係に依存してい るためである。 このような現状に基づいて、本発明の課題は、安全点検されないプログラムが 安全点検されたプログラムの進行に望ましくない影響を与えたり、あるいは妨害 する危険性が発生することなく、点検されたプログラムとされないプログラムを 一台のプロセッサ上で実行させることが可能なシステムアーキテクチャを提供す ることである。 この課題は発明の趣旨に則って請求項１の特徴を有するシステムアーキテクチ ャにより解決される。 電気のコスト及び構成部材のコストから考えて、２つの異なるプログラムを１ 台のプロセッサで実行させることは有意義である。この場合、２つのプログラム パッケージが互いに相互作用を行うために１つの制御部が常に存在するのが望ま しい。抑止入力を持った周辺機器の利用によって、第１のプログラムパッケージ がその内容を知らないコマンドを、第２のプログラムパッケージが周辺機器に絶 対に出力できないように安全対策を講じることは可能である。例えば第１のプロ グラムパッケージが信頼しうる検証されたプログラムパッケージである場合に、 このプログラムパッケージが第２のプログラムパッケージにプロセッサまたはコ ンピュータの中心部を引き渡す前に、このプログラムパッケージは、第２のプロ グラムパッケージに割り付けられ、そのプログラムパッケージからのみ命令を受 ける周辺機器を、周辺機器がその入出力部で何の命令も受取らない状態に切替え る。この場合、この周辺機器のレジスタへの読取りアクセスは完全に受入れ状態 のままにある。この周辺機器のブロッキングの後、第２のプログラムパッケージ がプロセッサもしくはコンピュータ中心部を受け取った場合、第２のプログラム パッケージはその時点で大抵の場合は自ら起動することができる。もしプログラ ムエラーあるいはその他のエラーにより第２のプログラムパッケージが規格に合 致しない方法で第１のプログラムパッケージの周辺機器に書き込みアクセスしよ うとする場合、ブロックされた周辺機器はそこに送られた入力を無視し実行しな いであろう。 まだ発生するかも知れない唯一のエラーは、第２のプログラムパッケージが抑 止信号を取り消し、それにより第１のプログラムパッケージに属する当該の周辺 機器が第２のプログラムパッケージの命令に間違って従うことである。 けれども第２のプログラムパッケージが、プログラムの対応箇所に到達したた めに自発的にあるいは外部からの妨害により必然的にプロセッサを解放した直後 、第１のプログラムパッケージは抑止ラインの状態を確かめることにより第２の プログラムパッケージのこの敵対的関係を知らされる。この場合もし第１のプロ グラムパッケージが抑止ラインでの操作を識別するようであれば、第１のプログ ラムパッケージは秩序正しい方法でこのシステムアーキテクチャに属する全体の システムを停止させることができる。 この新しいシステムアーキテクチャは安全性をできるだけ高めるために、さら に他の安全手段を付加される。この点において、上述のシステムアーキテクチャ は、安全と見なされるシステム全体の一部であって、システムの安全性は隣接チ ャネル及びそのデータの相互の照会及び検査により安全に保護される。 用途に応じて、第１の周辺機器は専ら第１のプログラムパッケージに割り付け られるか、または、第１の周辺機器の一部が少なくとも、有効な方法で両方のプ ログラムパッケージから書き込みと読み込み、あるいはそのどちらかによってア クセスされる周辺機器になることもあり得る。 ２つのプログラムパッケージが互いにどのように配置されるかによって、両方 のプログラムパッケージが相互に通信できる記憶領域を持つことは望ましい。両 方のプログラムパッケージは順次プロセッサを使用し、同時に作動し得ないから である。従ってこれらプログラムパッケージは通信やデータが取り交わせる共通 の「メールボックス」を必要とする。 プログラムパッケージの連絡に用いられる記憶部分は主として第２の記憶装置 内に収められていることが望ましい。それにより第１の記憶装置内にある第１の プログラムパッケージのデータや命令が第２のプログラムパッケージのエラー挙 動によって影響されないように確実に保証される。 第１の記憶装置が専ら第１のプログラムパッケージに割り付けられている場合 は、特に信頼性の高いシステムが実現する。同様なことは基本的に第２のプログ ラムパッケージに対しても成り立つので、もう一つの記憶領域がプログラムパッ ケージのための連絡領域として用意される。 他の処置によってある特定のエラーが識別できる場合には、両方の記憶装置を ハードウエアによって一つの記憶装置に収納し、アドレスを通してだけ互いを区 別することができる。またこれとは反対に記憶装置へのアドレス指定のエラーが 予想されたり、あるいは記憶部分にその他のエラーが心配される場合には、両方 の記憶装置に対してハードウエアにより分けられた記憶装置を使用すれば有効で ある。つまり第１と第２の記憶装置は別々のメモリーチップに収納される訳であ る。 第１のプログラムパッケージがより高い優先順位を持っている。つまりこのプ ログラムパッケージは、制御機能を実行するために、第２のプログラムパッケー ジの規格に合致しない挙動の場合でさえ規定の時間内にプロセッサを取り戻さな ければならない。しかし第２のプログラムパッケージがエンドレスループに捉え られ、そしてこのプログラムパッケージが自発的にプロセッサに応答するプログ ラム箇所にもはや到達しない場合には、状況次第ではそうならないことがある。 このようなエラーをなくすために、プロセッサには主にタイマーをつないだ割り 込み制御が設けられる。これによりプロセッサは強制的に第２のプログラムパッ ケージを取り除くことができるようになり、第１のプログラムパッケージが再び プロセッサを獲得する。 第１のプロセッサと平行して、第１のプログラムパッケージに類似したプログ ラムが走るもう一つのプロセッサが少なくとも１つ存在し、結果に違いがあれば 被制御装置を有効で安全な方法で停止させるために、両方のプロセッサまたはプ ログラムパッケージが常にデータや計算結果を互いに比較できればシステム全体 の安全性はさらに高まる。 例えば、両方のプログラムコードは異なった形態になっているが、プログラム パッケージに配分されたプロセッサの周辺機器から見た第３のプロセッサ上で動 くプログラムパッケージは、その周辺機器から見た第１のプログラムパッケージ と同じ挙動を示すことがある。この異なったプログラムコードの形態は、第１と 第２のプロセッサが例えばレジスタ長または使用できるコマンドの面で異なって いる場合は、必然的に得られることになる。 最後に、第１のプログラムパッケージがプロセッサを占有していない時に、第 ２のプログラムパッケージが不当に抑止入力部の信号を変更して、周辺機器のデ ータを変更したかどうかを検査するために、別のプロセッサを併用することがで きる。第１のプログラムパッケージは復帰後、周辺機器からデータを読み、第３ のプログラムパッケージがその周辺機器から得たデータと比較することができる 。そこに違いが発生したら直ちにシステムは再び被制御機械を停止させることが できる。 その他の点では本発明の発展的形成は従属請求項の主題である。さらに従属請 求項は任意に組合せできることが容易に分かる。他のシステム環境の構成は新し いシステムアーキテクチャに対して重要な役割をここでは全くあるいは殆ど果た していない。 図面には本発明の主題の実施態様が下記のように示されている。 図１は、新規なシステムアーキテクチャのブロックダイアグラム、 図２は、第１のプロセッサ上で動作する両プログラムパッケージの時経的挙動 を示す図である。 図１のブロックダイアグラムにはプロセス制御のための新しいシステムアーキ テクチャ１が図解されている（制御されるプロセス自体は図示されていないが、 工作機械でも化学プラントあるいはこれの類でもよい）。このシステムアーキテ クチャ１は第１のプロセッサ２と第２のプロセッサ３を有し、通信ライン４を通 して互いに接続されている。プロセッサ２には同じく通信ライン６及び７を通じ て２つの互いに分離された記憶装置４と５が接続されている。この２つの記憶装 置４と５は物理的に分離されたハードウエアの記憶モジュールとして形成されて いる。 少なくとも第１のプロセッサ２は、時計またはタイマー９が接続された入力部 ８を備える割込制御部を備えている。 選択されたプロセッサのアーキテクチャによっては、タイマー９はプロセッサ ２自体の構成要素であってもよい。 バスシステムまたは対応する通信ライン１１を経由して第１のプロセッサ２に は、周辺機器の２つのグループ１２と１３が接続されている。 ここで周辺機器というのは、工程又は機械の制御において、プロセス制御のた めに使用されるハードウエアをいう。この場合、制御されるプロセスの情報を制 御部にただ報告するだけの周辺機器と、例えば、リレー、電磁バルブ、電気機械 的連動装置を作動させることにより、制御命令をプロセスの状態変化に変換する 周辺機器とは区別される。 単に制御部にのみ情報を伝達する周辺機器の例として、例えば温度や位置の情 報を制御部に伝える周辺機器１２ａを示す。この場合、ブロックで囲んだ部分は 、物理的信号を通信線１１と第１のプロセッサ２の当該の入力接続端子からなる インタフェースに適合する電気量に変換するために不可欠なすべての必要なハー ドウエアを表すものとする。周辺機器１６ａに対して基本的に読取りを行うアク セスは、周辺機器１２ａの内部に状態変化を引き起こす書込みアクセスも可能で あることを意味しない。第２の周辺機器１２ｂは、第１のプロセッサ２から通信 線１１を経て送られる情報又は命令を物理的量に変換するすべての周辺機器を表 す。例えば、インタフェース１２ｂを介して、概略図で示唆した電磁弁１４を操 作することによって、実行中の被制御プロセスを直接制御する。その他の電気機 械的変換装置、例えば直流又は交流電動機、加熱装置、点火装置等もこの周辺機 器となりうる。 ２つの周辺機器１２ａと１２ｂの間の破線１５は、さらに多くの周辺機器が存 在しうること、そして原則的には周辺機器１２ａと１２ｂだけが存在しているこ とを示唆する。 ２つの周辺機器１２ａ及び１２ｂは通信線１１の他に抑止入力部１６ａ又は１ ６ｂを夫々備えており、これらの抑止入力は共通の抑止線１７に接続されている 。抑止線１７は抑止入力１６ａ及び１６ｂと第１のプロセッサ２の当該の入出力 ポート１８を連絡する。 周辺機器群の第２グループは第１のグループに類似した構成になっている。つ まりこれもまた情報を第１のプロセッサ２に供給する周辺機器と、第１のプロセ ッサ２の命令を然るべき物理的あるいは電気的量に変換する周辺機器とから成っ ている。第２グループ１３のこれら周辺機器１３ａと１３ｂは、制御対象プロセ スの方向における出力側では周辺機器１２ａと１２ｂとは異なっている。 第２のプロセッサ３は冗長度を高めるために使われる。そのためにこのプロセ ッサは第１のプロセッサ２とハード面で異なっている。つまり第２のプロセッサ は例えば他の命令文と別のレジスタ長を持っている。さらにこれは独自のチップ 内に収められているか、あるいは時には独自の導体基板上に配置されることもあ る。両方のプロセッサ２と３が当該の周辺機器１２もしくは１３を経由して同じ 出力命令を出す場合にプロセスまたは機械の状況変化が初めて行われるように、 第２のプロセッサ３は、通信ライン１９を通してそのプロセッサに割り当てられ た記憶装置２０と、またほかの通信ライン２２を経由して固有の一組の周辺機器 群２３とつながれている。これらの周辺機器群は、制御すべきプロセスの視点か ら第１のグループ１２の周辺機器１２ａと１２ｂと同じ機能を持っていて、さら に場合によっては命令の形式に関する限り、プロセスに向かって出力側でＡＮＤ 結合されている。 新しいシステムアーキテクチャ１により２種類のプログラムパッケージを実行 させることが可能である。この場合、一つのプログラムパッケージは検証され安 全点検されたプログラムパッケージであり、もう一つの第２のプログラムパッケ ージは安全性に対してそれほど高くない要求が課せられているプログラムパッケ ージである。プログラムデータが周辺機器２３からのものでないかあるいはそこ で保持されている限り、信頼しうるプログラムパッケージはプロセッサ３にも対 応物が配置され、また専ら記憶装置２１内にのみ存在する対応するプログラムに よって実現される。 第１のプロセッサ２では、制御されるプロセスの安全性にとって重要なプログ ラムパッケージ（以下第１のプログラムパッケージと称す）が実行される。制御 されるプロセスの安全性にとって決定的ではない第２のプログラムパッケージも 同様である。第１のプログラムパッケージは記憶装置４に収められている１つの プログラムあるいは１組のプログラムにより実現される。同様に、１つのプログ ラム又は１組のプログラムからなる第２のプログラムパッケージとも記憶装置５ に格納されている。 第１のプログラムパッケージは安全点検されているので、第２のグループ１２ の周辺機器に応答したり、また周辺機器を経由して制御されるプロセスないしは 機械に積極的にアクセスし、そこで状況変化を生じさせる命令を出力する権能を 有し、またそうなるように設計されている。このような周辺機器の具体例の１つ が周辺機器１２ｂである。 また、第１のプログラムパッケージはプロセスからの情報を、例えば周辺機器 １２ａからプログラムパッケージに伝達する周辺機器１２へもアクセスする。 さらに詳しく記述するためにまず、第２のプログラムパッケージは専ら第２グ ループ１３の周辺機器と共に作動する、つまり第１のグループ１２からデータを 受取ることもなく、また第１のグループ１２のこの周辺機器に書込みアクセスも しないものと仮定する。この仮定は第２のプログラムパッケージのためのエラー のないコンセプトに対して、またこのエラーのないコンセプトがエラーを伴わず に当該のプログラムに組み入れられるという条件の下で適用される。 さらなる機能と動作の以下の説明では、プログラムパッケージに対する初期設 定局面がすでに終了して、システムが通常操作にあると仮定しよう。この状況下 では第１のプロセッサ２で第１と第２のプログラムパッケージが周期的に交互に 動作する。上のクロスバーに「Ｐｒｏｇ．Ｉ」と表示されるように、第１のプロ グラムパッケージがアクティブになっているとき、つまり制御すべきプロセスか らデータを受け取り、また必要ならば、然るべき命令をプロセスに出す時点でそ の動作が観察される。同時に、この間、第１のプログラムパッケージは、絶えず その測定および計算したデータを、第２のプロセッサ３上で動くプログラムパッ ケージが周辺機器から受取ったりあるいは得られたデータから計算した然るべき データと比較する。この比較によって相違がないことが示されると、システムは 継続して動作する。しかし、２つのプロセッサ２と３が食い違いを検出すると、 あらかじめ決められたルーチンに従って直ちにプロセス全体が停止される。 そうでない場合、つまり両方のプロセッサ２と３のデータ比較によってエラー が検知されない場合、第１のプログラムパッケージは制限時間内に、第１のプロ グラムパッケージがプロセッサ２をもはや必要としない場所に到達する。この場 所に達するとまず第２のプログラムパッケージから然るべき出力部分１８を通し て第１グループ１２の周辺機器群の抑止入力部１６ａと１６ｂには抑止信号が発 せられる。これにより第１グループ１２の周辺機器群は、通信ライン１１を経由 して送られてくるかもしれない、そして自分の状態を変化させるかもしれない書 込み信号を無視する状態になる。けれども周辺機器もしくは付属のインターフェ ースカードが通信ライン１１を経てデータを問い合わせるという意味での読取り アクセスは可能である。 第１のプログラムパッケージがその抑止信号をその周辺機器１２に発信した後 、そのプログラムパッケージは第１のプロセッサ２を解放する。第１のプログラ ムパッケージによる第１のプロセッサ２の解放により、記憶装置５に収められて いる第２のプログラムパッケージが第２のプロセッサ２を受取り、そしてそれに より第２のプログラムパッケージに割り付けられた周辺機器１３を操作する能力 を獲得する。第２のプログラムパッケージがエラーなしに作動すると仮定すると 、このプログラムパッケージは、第１のプログラムパッケージに割り付けられて いる周辺機器１２に書き込みアクセスを行わない。即ち、状態変化を行わない。 しかし、第２のプログラムパッケージがプログラムエラーまたはその他のエラー によりこれを行うかもしくは試みたとしても、書き込みアクセスは何の働きもし ない。その理由は、抑止入力１６ａと１６ｂから周辺機器１２は書き込みアクセ スに対してブロックされているためである。 あらかじめ設定された時間が経過する前に、第２のプログラムパッケージは自 主的に第１のプロセッサ２を引き渡すプログラム箇所に達する。そのあと第１の プロセッサ２は再び第１のプログラムパッケージをスタートさせることができる 。この第１のプログラムパッケージは先ず、周辺機器１２が以前と同様抑止信号 を持っているかどうかを調べる。次に第１のプロセッサが再びその周辺機器１２ と正常に通信できるように抑止信号が解除される。それから第１のプロセッサ２ の第１のプログラムパッケージと第２のプロセッサ３上で動くプログラムパッケ ージとの間でデータ比較が行われ、この比較で違いがないことが示されると、第 １のプログラムパッケージは第１のプロセッサ２で正常に実行される。 これに対して第１のプログラムパッケージの再始動の際、このプログラムパッ ケージは抑止信号がもはや存在しないことを確認すると、第１のプログラムパッ ケージは、第２のプログラムパッケージが規格に合致した挙動をしなかったもの として、また無効動作によって制御命令を然るべき周辺機器１２を通して伝達し ようとしたものとしてスタートする。これは危険なエラー挙動であるので、その あと直ちに制御されたプロセスが停止する。 第１のプログラムパッケージのもう一つのエラーは、その間に周辺機器１２に 書込みアクセスができるように、第１のプログラムパッケージが抑止信号を消し てそのあと再び書込むことに原因があることも考えられる。第１のプログラムパ ッケージのデータと、プログラムパッケージが第２のプロセッサ３で保持してい るデータとの比較によりこのようなエラー挙動を検出する。それによって安全技 術面で全く検査を受けていない第２のプログラムパッケージが、概念的エラーあ るいはそれ以外のエラーのために安全技術の検査をされた第１のプログラムパッ ケージを妨害しないことが非常に高い信頼度でもって保証されている。それにも かかわらず２つのプログラムパッケージは一つのプロセッサ上で動くことができ 、また場合によっては当該のプロセッサの方向にデータを伝達するのみの周辺機 器を共用することさえできる。第２のプログラムパッケージを作成するユーザは 安全技術面のすべての命令実行サイクルを第１のプログラムパッケージに収納す れば、複雑なエラー解析やエラールーチン作成の手間をセーブすることができ、 また複雑なエラー解析はこのプログラムパッケージに対してだけ行えばよい。第 ２のプログラムパッケージの追加的な変更も、新しいシステムアーキテクチャの プログラミングがはるかに簡易化されているために簡単に行える。特に、監督官 庁は第１のプログラムパッケージを含むハードだけを試験したり受入検査すれば 十分である。この２分割がなかったら、安全性に関係のない命令列の比較的小さ な変更を行っても、必ず監督官庁による新たな検査がユーザに義務づけられるで あろう。 上述の方法で第１と第２のプログラムパッケージは第１のプロセッサ２の上で 常に入れ替わる。この場合２つのプログラムパッケージはタイムシェアリング機 能に基づき第１のプロセッサを獲得し、エラーが無いという前提で、このプロセ ッサをタイムスライス内で自発的に引き渡す。けれども両方のプログラムパッケ ージのうちの一つがエンドレスループに迷い込んだ場合は、プロセッサ２が復旧 する前にタイマー９が作動し、そのあと割込み入力部８で割込みを行う。これを きっかけとしてそのとき動いているプログラムパッケージを打切るアラームルー チンへプロセッサを移行させ、エラーが発生した箇所が安全に関係した部分なの かあるいは関係しない部分なのかにより、エラーメッセージだけを発するかある いはシステムを並列的に停止させる。 最後に、例えば信頼のない第２のプログラムパッケージが、第１の信頼しうる プログラムパッケージが計算したデータを必要とする場合、両方のプログラムパ ッケージを共通の記憶域２５を通して互いに通信させることは可能である。従っ て第１のプログラムパッケージの危険性をなくすために、連絡領域は、第２のプ ログラムパッケージが存在し、そのプログラムパッケージがデータを保持してい る記憶装置５に移される。これによって連絡に用いられるこの記憶域２５への誤 った書込みアクセスは、検証されたプログラムパッケージを侵害するようなこと はない。 このシステムアーキテクチャは、少なくとも２個のプロセッサを使用する。こ れらのプロセッサは１つのプロセスを共同で制御し、そのデータを絶えず互いに 比較する。２つのプロセッサの一方では、可能な誤りに関して検査されたプログ ラムパッケージと未検査のプログラムパッケージが実行される。未検査のプログ ラムパッケージが検査済のプログラムパッケージを妨害することがないようにす るために、検査済のプログラムパッケージと共同で動作する周辺機器は抑止入力 を備えており、検査済のプログラムパッケージは未検査のプログラムパッケージ に管理を引き渡す前に、それに割付けられた周辺機器を抑止入力により禁止する 。

【手続補正書】特許法第１８４条の８第１項 【提出日】１９９６年１１月１２日 【補正内容】 明細書 システムアーキテクチャ 機械、それも多数の独立軸を擁しているために基本的な制御コストのかかる機 械の操作は近年ますます自動化されている。これらの制御は、人間や機械に対す る危険をできるだけ排除するため、少なくとも誤った操作が人間や機械に対して 悲惨な結果を招きうるような制御ステートメントに関しては、かなりの程度まで 信頼できうるものでなければならない。 過去においてはこのような場合には、リレーや保護機器が比較的確実な制御手 段であるという考えのもとに、主にリレー技術に信頼が置かれてきた。もっとも この方式ではリレーがその機能の面で交互に監視ないしは検査されるために、過 剰なほどの検査プログラムの類を準備する必要があった。例えば偏心プレスなど の比較的単純な制御用でさえこのリレーのコストは必要なスペースからすると莫 大なものであった。エラーを検知したり、エラーの検知の際に装置を安全な側に 停止させるような複雑で確実な制御方式は、スペースの制約からリレー技術では 実用化していない。 従って、電子部品は状況によっては外部の影響をより受けやすく、また複合的 エラーも起こりやすいことが分かっていたにもかかわらず、電気機械部品の代わ りに電子部品を用いた制御装置を構築する方向が取られた。そしてこの問題点を 少しでも克服するために、チャネルが互いに監視し合う制御装置が多重チャネル の仕様で作られた。 さらに自動化が進んだため、マイクロプロセッサによる制御への移行が必要に なっているが、これにはエラーのもう一つの特性、つまりソフトウエアのエラー という問題が加わった。 しかし、マイクロプロセッサやプログラムを使った制御方式は、ユーザがその 制御機構を拡張したり、状況によっては安全性と関係のない他の機械や機械の動 作をその制御機構内に組み込むことが同時に可能となる場合にしか意味を持たな い。この場合必ずしも信頼できるとはいえない諸々の機能を制御するこのプログ ラムの一部によって、信頼しうる機能を監視するプログラム部分が影響を受ける ことは絶対に避けなければならない。さもなければその原因を実際には見つけ出 せないような重大なトラブルに到ることもあり得るだろう。というのはこれらの トラブルは状況によってはある決まった入力信号の時間的相関関係に依存してい るためである。 それに加えて、１つのプロセッサ上でいくつかのプログラムを時間的に重畳し て実行させることは、ツィルカー著「マルチタスクの実際」、フランツィス出版 社（１９８７）、１１乃至１４ページに記載されているように、技術水準に属す る。これにおいては、相互に交換されるプログラムが予め定められた時間後、イ ンタラプトにより、任意にプロセッサを、例えば、システム中心部に戻し、その 後プロセッサがそのプロセッサの作動に似たプログラムに基づいて作動開始をす るように、プログラムが書かれている。 いわゆる禁止−入力部で、コンピュータ操作装置内の構成要素又は１群の構成 要素の作動を停止して、これらの構成要素が、例えば、バスラインに乗せられて 他の構成要素を指定する情報を受けるのを防止するようになっている。このよう な操作については、例えば、 ウイリアムズ著「マイクロプロセッサベースのシ ステムのトラブルシューティング」、パーガモンプレス社（１９８４）、９乃至 １２ページに記載されている。 更にまた、米国特許第４４８４２７０号から、多数のデータ処理システムを予 め備えた中央制御装置が知られている。各データ処理システムは、更にユニット に分けられ、これらユニットの各々から一つのデータ処理システムの特徴が得ら れるようになっている。これらすべてのユニットはインターフェースシステムを 介して共通の周辺機器に接続されている。 このような現状に基づいて、本発明の課題は、安全点検されないプログラムが 安全点検されたプログラムの進行に望ましくない影響を与えたり、あるいは妨害 する危険性が発生することなく、点検されたプログラムとされないプログラムを 一台のプロセッサ上で実行させることが可能なシステムアーキテクチャを提供す ることである。 この課題は発明の趣旨に則って請求項１の特徴を有するシステムアーキテクチ ャにより解決される。 電気のコスト及び構成部材のコストから考えて、２つの異なるプログラムを１ 台のプロセッサで実行させることは有意義である。この場合、２つのプログラム パッケージが互いに相互作用を行うために１つの制御部が常に存在するのが望ま しい。抑止入力を持った周辺機器の利用によって、第１のプログラムパッケージ がその内容を知らないコマンドを、第２のプログラムパッケージが周辺機器に絶 対に出力できないように安全対策を講じることは可能である。例えば第１のプロ グラムパッケージが信頼しうる検証されたプログラムパッケージである場合に、 このプログラムパッケージが第２のプログラムパッケージにプロセッサまたはコ ンピュータの中心部を引き渡す前に、このプログラムパッケージは、第２のプロ グラムパッケージに割り付けられ、そのプログラムパッケージからのみ命令を受 ける周辺機器を、周辺機器がその入出力部で何の命令も受取らない状態に切替え る。この場合、この周辺機器のレジスタへの読取りアクセスは完全に受入れ状態 のままにある。この周辺機器のブロッキングの後、第２のプログラムパッケージ がプロセッサもしくはコンピュータ中心部を受け取った場合、第２のプログラム パッケージはその時点で大抵の場合は自ら起動することができる。もしプログラ ムエラーあるいはその他のエラーにより第２のプログラムパッケージが規格に合 致しない方法で第１のプログラムパッケージの周辺機器に書き込みアクセスしよ うとする場合、ブロックされた周辺機器はそこに送られた入力を無視し実行しな いであろう。 まだ発生するかも知れない唯一のエラーは、第２のプログラムパッケージが抑 止信号を取り消し、それにより第１のプログラムパッケージに属する当該の周辺 機器が第２のプログラムパッケージの命令に間違って従うことである。 けれども第２のプログラムパッケージが、プログラムの対応箇所に到達したた めに自発的にあるいは外部からの妨害により必然的にプロセッサを解放した直後 、第１のプログラムパッケージは抑止ラインの状態を確かめることにより第２の プログラムパッケージのこの敵対的関係を知らされる。この場合もし第１のプロ グラムパッケージが抑止ラインでの操作を識別するようであれば、第１のプログ ラムパッケージは秩序正しい方法でこのシステムアーキテクチャに属する全体の システムを停止させることができる。 この新しいシステムアーキテクチャは安全性をできるだけ高めるために、さら に他の安全手段を付加される。この点において、上述のシステムアーキテクチャ は、安全と見なされるシステム全体の一部であって、システムの安全性は隣接チ ャネル及びそのデータの相互の照会及び検査により安全に保護される。 用途に応じて、第１の周辺機器は専ら第１のプログラムパッケージに割り付け られるか、または、第１の周辺機器の一部が少なくとも、有効な方法で両方のプ ログラムパッケージから書き込みと読み込み、あるいはそのどちらかによってア クセスされる周辺機器になることもあり得る。 ２つのプログラムパッケージが互いにどのように配置されるかによって、両方 のプログラムパッケージが相互に通信できる記憶領域を持つことは望ましい。両 方のプログラムパッケージは順次プロセッサを使用し、同時に作動し得ないから である。従ってこれらプログラムパッケージは通信やデータが取り交わせる共通 の「メールボックス」を必要とする。 プログラムパッケージの連絡に用いられる記憶部分は主として第２の記憶装置 内に収められていることが望ましい。それにより第１の記憶装置内にある第１の プログラムパッケージのデータや命令が第２のプログラムパッケージのエラー挙 動によって影響されないように確実に保証される。 第１の記憶装置が専ら第１のプログラムパッケージに割り付けられている場合 は、特に信頼性の高いシステムが実現する。同様なことは基本的に第２のプログ ラムパッケージに対しても成り立つので、もう一つの記憶領域がプログラムパッ ケージのための連絡領域として用意される。 他の処置によってある特定のエラーが識別できる場合には、両方の記憶装置を ハードウエアによって一つの記憶装置に収納し、アドレスを通してだけ互いを区 別することができる。またこれとは反対に記憶装置へのアドレス指定のエラーが 予想されたり、あるいは記憶部分にその他のエラーが心配される場合には、両方 の記憶装置に対してハードウエアにより分けられた記憶装置を使用すれば有効で ある。つまり第１と第２の記憶装置は別々のメモリーチップに収納される訳であ る。 第１のプログラムパッケージがより高い優先順位を持っている。つまりこのプ ログラムパッケージは、制御機能を実行するために、第２のプログラムパッケー ジの規格に合致しない挙動の場合でさえ規定の時間内にプロセッサを取り戻さな ければならない。しかし第２のプログラムパッケージがエンドレスループに捉え られ、そしてこのプログラムパッケージが自発的にプロセッサに応答するプログ ラム箇所にもはや到達しない場合には、状況次第ではそうならないことがある。 このようなエラーをなくすために、プロセッサには主にタイマーをつないだ割り 込み制御が設けられる。これによりプロセッサは強制的に第２のプログラムパッ ケージを取り除くことができるようになり、第１のプログラムパッケージが再び プロセッサを獲得する。 第１のプロセッサと平行して、第１のプログラムパッケージに類似したプログ ラムが走るもう一つのプロセッサが少なくとも１つ存在し、結果に違いがあれば 被制御装置を有効で安全な方法で停止させるために、両方のプロセッサまたはプ ログラムパッケージが常にデータや計算結果を互いに比較できればシステム全体 の安全性はさらに高まる。 例えば、両方のプログラムコードは異なった形態になっているが、プログラム パッケージに配分されたプロセッサの周辺機器から見た第３のプロセッサ上で動 くプログラムパッケージは、その周辺機器から見た第１のプログラムパッケージ と同じ挙動を示すことがある。この異なったプログラムコードの形態は、第１と 第２のプロセッサが例えばレジスタ長または使用できるコマンドの面で異なって いる場合は、必然的に得られることになる。 最後に、第１のプログラムパッケージがプロセッサを占有していない時に、第 ２のプログラムパッケージが不当に抑止入力部の信号を変更して、周辺機器のデ ータを変更したかどうかを検査するために、別のプロセッサを併用することがで きる。第１のプログラムパッケージは復帰後、周辺機器からデータを読み、第３ のプログラムパッケージがその周辺機器から得たデータと比較することができる 。そこに違いが発生したら直ちにシステムは再び被制御機械を停止させることが できる。 その他の点では本発明の発展的形成は従属請求項の主題である。さらに従属請 求項は任意に組合せできることが容易に分かる。他のシステム環境の構成は新し いシステムアーキテクチャに対して重要な役割をここでは全くあるいは殆ど果た していない。 図面には本発明の主題の実施態様が下記のように示されている。 図１は、新規なシステムアーキテクチャのブロックダイアグラム、 図２は、第１のプロセッサ上で動作する両プログラムパッケージの時経的挙動 を示す図である。 図１のブロックダイアグラムにはプロセス制御のための新しいシステムアーキ テクチャ１が図解されている（制御されるプロセス自体は図示されていないが、 工作機械でも化学プラントあるいはこれの類でもよい）。このシステムアーキテ クチャ１は第１のプロセッサ２と第２のプロセッサ３を有し、通信ライン４を通 して互いに接続されている。プロセッサ２には同じく通信ライン６及び７を通じ て２つの互いに分離された記憶装置４と５が接続されている。この２つの記憶装 置４と５は物理的に分離されたハードウエアの記憶モジュールとして形成されて いる。 少なくとも第１のプロセッサ２は、時計またはタイマー９が接続された入力部 ８を備える割込制御部を備えている。 選択されたプロセッサのアーキテクチャによっては、タイマー９はプロセッサ ２自体の構成要素であってもよい。 バスシステムまたは対応する通信ライン１１を経由して第１のプロセッサ２に は、周辺機器の２つのグループ１２と１３が接続されている。 ここで周辺機器というのは、工程又は機械の制御において、プロセス制御のた めに使用されるハードウエアをいう。この場合、制御されるプロセスの情報を制 御部にただ報告するだけの周辺機器と、例えば、リレー、電磁バルブ、電気機械 的連動装置を作動させることにより、制御命令をプロセスの状態変化に変換する 周辺機器とは区別される。 単に制御部にのみ情報を伝達する周辺機器の例として、例えば温度や位置の情 報を制御部に伝える周辺機器１２ａを示す。この場合、ブロックで囲んだ部分は 、物理的信号を通信線１１と第１のプロセッサ２の当該の入力接続端子からなる インタフェースに適合する電気量に変換するために不可欠なすべての必要なハー ドウエアを表すものとする。周辺機器１２ａに対して基本的に読取りを行うアク セ スは、周辺機器１２ａの内部に状態変化を引き起こす書込みアクセスも可能であ ることを意味しない。第２の周辺機器１２ｂは、第１のプロセッサ２から通信線 １１を経て送られる情報又は命令を物理的量に変換するすべての周辺機器を表す 。例えば、インタフェース１２ｂを介して、概略図で示唆した電磁弁１４を操作 することによって、実行中の被制御プロセスを直接制御する。その他の電気機械 的変換装置、例えば直流又は交流電動機、加熱装置、点火装置等もこの周辺機器 となりうる。 ２つの周辺機器１２ａと１２ｂの間の破線１５は、さらに多くの周辺機器が存 在しうること、そして原則的には周辺機器１２ａと１２ｂだけが存在しているこ とを示唆する。 ２つの周辺機器１２ａ及び１２ｂは通信線１１の他に抑止入力部１６ａ又は１ ６ｂを夫々備えており、これらの抑止入力は共通の抑止線１７に接続されている 。抑止線１７は抑止入力１６ａ及び１６ｂと第１のプロセッサ２の当該の入出力 ポート１８を連絡する。 周辺機器群の第２グループは第１のグループに類似した構成になっている。つ まりこれもまた情報を第１のプロセッサ２に供給する周辺機器と、第１のプロセ ッサ２の命令を然るべき物理的あるいは電気的量に変換する周辺機器とから成っ ている。第２グループ１３のこれら周辺機器１３ａと１３ｂは、制御対象プロス の方向における出力側では周辺機器１２ａと１２ｂとは異なっている。 第２のプロセッサ３は冗長度を高めるために使われる。そのためにこのプロセ ッサは第１のプロセッサ２とハード面で異なっている。つまり第２のプロセッサ は例えば他の命令文と別のレジスタ長を持っている。さらにこれは独自のチップ 内に収められているか、あるいは時には独自の導体基板上に配置されることもあ る。両方のプロセッサ２と３が当該の周辺機器１２もしくは１３を経由して同じ 出力命令を出す場合にプロセスまたは機械の状況変化が初めて行われるように、 第２のプロセッサ３は、通信ライン１９を通してそのプロセッサに割り当てられ た記憶装置２０と、またほかの通信ライン２２を経由して固有の一組の周辺機器 群２３とつながれている。これらの周辺機器群は、制御すべきプロセスの視点か ら第１のグループ１２の周辺機器１２ａと１２ｂと同じ機能を持っていて、さら に場合によっては命令の形式に関する限り、プロセスに向かって出力側でＡＮＤ 結合されている。 新しいシステムアーキテクチャ１により２種類のプログラムパッケージを実行 させることが可能である。この場合、一つのプログラムパッケージは検証され安 全点検されたプログラムパッケージであり、もう一つの第２のプログラムパッケ ージは安全性に対してそれほど高くない要求が課せられているプログラムパッケ ージである。プログラムデータが周辺機器２３からのものでないかあるいはそこ で保持されている限り、信頼しうるプログラムパッケージはプロセッサ３にも対 応物が配置され、また専ら記憶装置２１内にのみ存在する対応するプログラムに よって実現される。 第１のプロセッサ２では、制御されるプロセスの安全性にとって重要なプログ ラムパッケージ（以下第１のプログラムパッケージと称す）が実行される。制御 されるプロセスの安全性にとって決定的ではない第２のプログラムパッケージも 同様である。第１のプログラムパッケージは記憶装置４に収められている１つの プログラムあるいは１組のプログラムにより実現される。同様に、１つのプログ ラム又は１組のプログラムからなる第２のプログラムパッケージとも記憶装置５ に格納されている。 第１のプログラムパッケージは安全点検されているので、第２のグループ１２ の周辺機器に応答したり、また周辺機器を経由して制御されるプロセスないしは 機械に積極的にアクセスし、そこで状況変化を生じさせる命令を出力する権能を 有し、またそうなるように設計されている。このような周辺機器の具体例の１つ が周辺機器１２ｂである。 また、第１のプログラムパッケージはプロセスからの情報を、例えば周辺機器 １２ａからプログラムパッケージに伝達する周辺機器１２へもアクセスする。 さらに詳しく記述するためにまず、第２のプログラムパッケージは専ら第２グ ループ１３の周辺機器と共に作動する、つまり第１のグループ１２からデータを 受取ることもなく、また第１のグループ１２のこの周辺機器に書込みアクセスも しないものと仮定する。この仮定は第２のプログラムパッケージのためのエラー のないコンセプトに対して、またこのエラーのないコンセプトがエラーを伴わず に当該のプログラムに組み入れられるという条件の下で適用される。 さらなる機能と動作の以下の説明では、プログラムパッケージに対する初期設 定局面がすでに終了して、システムが通常操作にあると仮定しよう。この状況下 では第１のプロセッサ２で第１と第２のプログラムパッケージが周期的に交互に 動作する。上のクロスバーに「Ｐｒｏｇ．Ｉ」と表示されるように、第１のプロ グラムパッケージがアクティブになっているとき、つまり制御すべきプロセスか らデータを受け取り、また必要ならば、然るべき命令をプロセスに出す時点でそ の動作が観察される。同時に、この間、第１のプログラムパッケージは、絶えず その測定および計算したデータを、第２のプロセッサ３上で動くプログラムパッ ケージが周辺機器から受取ったりあるいは得られたデータから計算した然るべき データと比較する。この比較によって相違がないことが示されると、システムは 継続して動作する。しかし、２つのプロセッサ２と３が食い違いを検出すると、 あらかじめ決められたルーチンに従って直ちにプロセス全体が停止される。 そうでない場合、つまり両方のプロセッサ２と３のデータ比較によってエラー が検知されない場合、第１のプログラムパッケージは制限時間内に、第１のプロ グラムパッケージがプロセッサ２をもはや必要としない場所に到達する。この場 所に達するとまず第２のプログラムパッケージから然るべき出力部分１８を通し て第１グループ１２の周辺機器群の抑止入力部１６ａと１６ｂには抑止信号が発 せられる。これにより第１グループ１２の周辺機器群は、通信ライン１１を経由 して送られてくるかもしれない、そして自分の状態を変化させるかもしれない書 込み信号を無視する状態になる。けれども周辺機器もしくは付属のインターフェ ースカードが通信ライン１１を経てデータを問い合わせるという意味での読取り アクセスは可能である。 第１のプログラムパッケージがその抑止信号をその周辺機器１２に発信した後 、そのプログラムパッケージは第１のプロセッサ２を解放する。第１のプログラ ムパッケージによる第１のプロセッサ２の解放により、記憶装置５に収められて いる第２のプログラムパッケージが第１のプロセッサ２を受取り、そしてそれに より第２のプログラムパッケージに割り付けられた周辺機器１３を操作する能力 を獲得する。第２のプログラムパッケージがエラーなしに作動すると仮定すると 、 このプログラムパッケージは、第１のプログラムパッケージに割り付けられてい る周辺機器１２に書き込みアクセスを行わない。即ち、状態変化を行わない。し かし、第２のプログラムパッケージがプログラムエラーまたはその他のエラーに よりこれを行うかもしくは試みたとしても、書き込みアクセスは何の働きもしな い。その理由は、抑止入力１６ａと１６ｂから周辺機器１２は書き込みアクセス に対してブロックされているためである。 あらかじめ設定された時間が経過する前に、第２のプログラムパッケージは自 主的に第１のプロセッサ２を引き渡すプログラム箇所に達する。そのあと第１の プロセッサ２は再び第１のプログラムパッケージをスタートさせることができる 。この第１のプログラムパッケージは先ず、周辺機器１２が以前と同様抑止信号 を持っているかどうかを調べる。次に第１のプロセッサが再びその周辺機器１２ と正常に通信できるように抑止信号が解除される。それから第１のプロセッサ２ の第１のプログラムパッケージと第２のプロセッサ３上で動くプログラムパッケ ージとの間でデータ比較が行われ、この比較で違いがないことが示されると、第 １のプログラムパッケージは第１のプロセッサ２で正常に実行される。 これに対して第１のプログラムパッケージの再始動の際、このプログラムパッ ケージは抑止信号がもはや存在しないことを確認すると、第１のプログラムパッ ケージは、第２のプログラムパッケージが規格に合致した挙動をしなかったもの として、また無効動作によって制御命令を然るべき周辺機器１２を通して伝達し ようとしたものとしてスタートする。これは危険なエラー挙動であるので、その あと直ちに制御されたプロセスが停止する。 第２のプログラムパッケージのもう一つのエラーは、その間に書込みアクセス ができるように、第２のプログラムパッケージが抑止信号を消してそのあと再び 書込むことに原因があることも考えられる。第１のプログラムパッケージのデー タと、プログラムパッケージが第２のプロセッサ３で保持しているデータとの比 較によりこのようなエラー挙動を検出する。それによって安全技術面で全く検査 を受けていない第２のプログラムパッケージが、概念的エラーあるいはそれ以外 のエラーのために安全技術の検査をされた第１のプログラムパッケージを妨害し ないことが非常に高い信頼度でもって保証されている。それにもかかわらず２つ のプログラムパッケージは一つのプロセッサ上で動くことができ、また場合によ っては当該のプロセッサの方向にデータを伝達するのみの周辺機器を共用するこ とさえできる。第２のプログラムパッケージを作成するユーザは安全技術面のす べての命令実行サイクルを第１のプログラムパッケージに収納すれば、複雑なエ ラー解析やエラールーチン作成の手間をセーブすることができ、また複雑なエラ ー解析はこのプログラムパッケージに対してだけ行えばよい。第２のプログラム パッケージの追加的な変更も、新しいシステムアーキテクチャのプログラミング がはるかに簡易化されているために簡単に行える。特に、監督官庁は第１のプロ グラムパッケージを含むハードだけを試験したり受入検査すれば十分である。こ の２分割がなかったら、安全性に関係のない命令列の比較的小さな変更を行って も、必ず監督官庁による新たな検査がユーザに義務づけられるであろう。 上述の方法で第１と第２のプログラムパッケージは第１のプロセッサ２の上で 常に入れ替わる。この場合２つのプログラムパッケージはタイムシェアリング機 能に基づき第１のプロセッサを獲得し、エラーが無いという前提で、このプロセ ッサをタイムスライス内で自発的に引き渡す。けれども両方のプログラムパッケ ージのうちの一つがエンドレスループに迷い込んだ場合は、プロセッサ２が復旧 する前にタイマー９が作動し、そのあと割込み入力部８で割込みを行う。これを きっかけとしてそのとき動いているプログラムパッケージを打切るアラームルー チンへプロセッサを移行させ、エラーが発生した箇所が安全に関係した部分なの かあるいは関係しない部分なのかにより、エラーメッヤージだけを発するかある いはシステムを並列的に停止させる。 最後に、例えば信頼のない第２のプログラムパッケージが、第１の信頼しうる プログラムパッケージが計算したデータを必要とする場合、両方のプログラムパ ッケージを共通の記憶域２５を通して互いに通信させることは可能である。従っ て第１のプログラムパッケージの危険性をなくすために、連絡領域は、第２のプ ログラムパッケージが存在し、そのプログラムパッケージがデータを保持してい る記憶装置５に移される。これによって連絡に用いられるこの記憶域２５への誤 った書込みアクセスは、検証されたプログラムパッケージを侵害するようなこと はない。 このシステムアーキテクチャは、少なくとも２個のプロセッサを使用する。こ れらのプロセッサは１つのプロセスを共同で制御し、そのデータを絶えず互いに 比較する。２つのプロセッサの一方では、可能な誤りに関して検査されたプログ ラムパッケージと未検査のプログラムパッケージが実行される。未検査のプログ ラムパッケージが検査済のプログラムパッケージを妨害することがないようにす るために、検査済のプログラムパッケージと共同で動作する周辺機器は抑止入力 を備えており、検査済のプログラムパッケージは未検査のプログラムパッケージ に管理を引き渡す前に、それに割付けられた周辺機器を抑止入力により禁止する 。 特許請求の範囲： １． 下記のものを備えるシステムアーキテクチャ（１）、 第１のプロセッサ（２）、 第１のプロセッサに割り当てられた第１の記憶装置（４）、 入出力部および第１のプロセッサ（２）に結合された抑止入力部（１６）を備 え、インターフェース装置等の、抑止入力部（１６）に抑止信号が伝達されたと き、入力部を通して情報を受領しないように第１の周辺機器を抑止するためにこ の抑止入力が使われ、第１のプロセッサ（２）に割り当てられた第１の周辺機器 （１２）、 第１のプロセッサ（２）で実行可能で、エラーのないことが検証されており、 少なくとも主に第１のプロセッサ（２）の第１の記憶装置（４）と相互に作用し 、第１のプロセッサ（２）で実行される場合、所定の条件に達したときに、第１ のプロセッサに割り当てられた周辺機器群（１２）に抑止信号を出力し、また第 １のプロセッサ（２）を解放するように作動し、さらに、第１のプロセッサ（２ ）を取り戻したら直ちに、抑止信号をキャンセルするように作動する、第１のプ ロセッサ（２３）で実行可能な第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）、 第１のプロセッサ（２）に割り当てられた第２の記憶装置（５）、 第１のプロセッサ（２）に接続された入出力部を持つインターフェース装置な どの、第１のプロセッサ（２）に割り当てられた第２の周辺機器（１３）、 少なくとも主に第１のプロセッサ（２３）の第２の記憶装置と相互に作用し、 第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）よりもエラーのない確率が低く、 エラーのない動きの場合は、第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）に割 り当てられた周辺機器（１２）の入出力部に主に読取りアクセスだけを行い、決 められた条件に達したときは第１のプロセッサ（２）を解放する、第１のプロセ ッサで動きうる第２のプログラムパッケージ（Ｐｒｏｇ．ＩＩ）。 ２． 第１の周辺機器群（１２）の中で少なくとも１つは第１のプログラムパッ ケージ（Ｐｒｏｇ．Ｉ）用の周辺機器が存在することを特徴とする請求項１に基 づくシステムアーキテクチャ。 ３． 第１の周辺機器群（１２）の中で、有効な方法で第１のプログラムパッケ ージ（Ｐｒｏｇ．Ｉ）からもまた第２のプログラムパッケージ（Ｐｒｏｇ．ＩＩ ）からも書込みと読取り、あるいはどちらか一つだけでアクセスされる、少なく とも一つの周辺機器が存在することを特徴とする請求項１に基づくシステムアー キテクチャ。 ４． 第１と第２のプログラムパッケージ（Ｐｒｏｇ．Ｉ、Ｐｒｏｇ．ＩＩ）が それを通じて通信し合う記憶領域（２５）が存在することを特徴とする請求項１ に基づくシステムアーキテクチャ。 ５． 第１と第２のプログラムパッケージ（Ｐｒｏｇ．Ｉ、Ｐｒｏｇ．ＩＩ）が それを通じて互いに通信し合う記憶領域（２５）が、第１及び／又は第２の記憶 装置（４，５）、あるいは両方の記憶機器（４，５）の一方にだけ存在すること を特徴とする請求項１に基づくシステムアーキテクチャ。 ６． 第１の記憶機器（４）が第１のプログラムパッケージ（Ｐｒｏｇ． Ｉ） に割り付けられていることを特徴とする請求項１に基づくシステムアーキテクチ ャ。 ７． 第１と第２の記憶機器（４，５）がハードウエアとして共通の記憶装置で 実現されており、 記憶アドレスの第１のグループが第１の記憶装置（４）を、記憶アドレスの第 ２のグループが第２の記憶装置（５）を形成していることを特徴とする請求項１ に基づくシステムアーキテクチャ。 ８． 第１と第２の記憶機器が（４，５）がハードウエアとして別個の記憶装置 として実現されていることを特徴とする請求項１に基づくシステムアーキテクチ ャ。 ９． 第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）が第１のプロセッサ（２） を取り戻したとき、抑止信号がまだ存在するか、又は自ら消去し又は取り消す前 に、その間に取り消されなかったか、を検査することを特徴とする請求項１に記 載のシステムアーキテクチャ。 １０． 第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）が誤り防止機能を持つプ ログラムパッケージであることを特徴とする請求項１に基づくシステムアーキテ クチャ。 １１． 第１のプロセッサ（２）がタイマー（９）を接続した割込み制御部（８ ）を備えていること、また第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）が第１ のプロセッサ（２）を取り戻すように仕向ける条件が、タイマー（９）によって 起動される割込みであることを特徴とする請求項１に基づくシステムアーキテク チャ。 １２． 当該のプログラムパッケージ（Ｐｒｏｇ．Ｉ、ＩＩ）による第１のプロ セッサ（２）の解放の条件が、関係するプログラムパッケージ（Ｐｒｏｇ．Ｉ、 ＩＩ）内の対応するプログラム命令文であることを特徴とする請求項１に基づく システムアーキテクチャ。 １３． 第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）を形成している命令及び ／又は第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）だけに割り当てられている データが、第１の記憶装置内に収められていることを特徴とする請求項１に基づ くシステムアーキテクチャ。 １４． 第２のプログラムパッケージ（Ｐｒｏｇ．ＩＩ）を形成している命令及 び／又は第２のプログラムパッケージ（Ｐｒｏｇ．ＩＩ）だけに割り当てられて いるデータが、第２の記憶装置内に収められていることを特徴とする請求項１に 基づくシステムアーキテクチャ。 １５． 第２のプロセッサ（３）、 第２のプロセッサに割り当てられた第３の記憶装置（２１）、 第２のプロセッサ（２３）と結合された入出力部を有する、インターフェー ス回路等の、第２のプロセッサ（３）に割り当てられた第３の周辺機器（２３） 、そして 第２のプロセッサ（３）で実行され、第３の記憶機器（２１）と相互に作用 し、第３の周辺機器群（２３）とやりとりする第３のプログラムパッケージ、 を備えていることを特徴とする請求項１に基づくシステムアーキテクチャ。 １６． 第１と第２のプロセッサ（２，３）が互いに異なっていることを特徴と する請求項１５に基づくシステムアーキテクチャ。 １７． 周辺機器（１２）が機能に関して第３の周辺機器（２３）と一致すると して、第３のプログラムパッケージが第３の周辺機器（２３）に関連して、第１ のプログラムパッケージ（Ｐｒｏｇ．Ｉ）が周辺機器（１２）に関連して振舞う のとおおむね又は正確に同様に振舞うことを特徴とする請求項１５に記載のシス テムアーキテクチャ。 １８． 第１（Ｐｒｏｇ．Ｉ）と第３のプログラムパッケージが、第２のプログ ラムパッケージ（Ｐｒｏｇ．ＩＩ）との偶発的に起こるやりとりは別にして、同 じ機能をもたらすように設計されていることを特徴とする請求項１５に基づくシ ステムアーキテクチャ。 １９． 第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）と第３のプログラムパッ ケージは少なくとも一時的に互いに通信し合うことを特徴とする請求項１５に基 づくシステムアーキテクチャ。 ２０． 通信が、両プログラムパッケージの各々により計算されたデータと、付 属する周辺機器群（１２，１３）から供給されるあるいは供給されたデータとの 比較を含んでいることを特徴とする請求項１５に基づくシステムアーキテクチャ 。 ２１． さらにほかのプロセッサ及びプログラムパッケージ、特に、少なくとも もう一つのプロセッサを備えていることを特徴とする請求項１５に基づくシステ ムアーキテクチャ。 ２２． システムアーキテクチャが機械の制御において実施されることを特徴と する前述のいくつかの、あるいは一つの請求項に基づくシステムアーキテクチャ 。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 バイシャール、クリストフ ドイツ連邦共和国、バイブリンゲン 71332、イム ホーエン ライム 15 (72)発明者 ボーンハース、クラウス ドイツ連邦共和国、シュツットガルト 70372、アバーリン−ヨルク−ストラーセ 15

Claims (1)

1. 【特許請求の範囲】 １． 下記のものを備えるシステムアーキテクチャ（１）、 第１のプロセッサ（２）、 第１のプロセッサ（２）に割り当てられた第１の記憶装置（４）、 入出力部および第１のプロセッサ（２）に結合された抑止入力部（１６）を備 え、インターフェース装置等の、抑止入力部（１６）に抑止信号が伝達されたと き、入力部を通して情報を受領しないように第１の周辺機器を抑止するためにこ の抑止入力が使われ、第１のプロセッサ（２３）に割り当てられた第１の周辺機 器（１２）、 少なくとも主に第１のプロセッサ（２３）の第１の記憶装置（４）と相互に作 用し、第１のプロセッサ（２）で実行される場合、所定の条件に達したときに、 第１のプロセッサに割り当てられた周辺機器群（１２）に抑止信号を出力し、ま た第１のプロセッサ（２）を解放するように作動し、さらに、第１のプロセッサ （２）を取り戻したら直ちに、抑止信号をキャンセルするように作動する、第１ のプロセッサ（２３）で実行可能な第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ ）、 第１のプロセッサ（２）に割り当てられた第２の記憶装置（５）、 第１のプロセッサ（２）に接続された入出力部を持つインターフェース装置な どの、第１のプロセッサ（２）に割り当てられた第２の周辺機器（１３）、 少なくとも主に第１のプロセッサ（２３）の第２の記憶装置と相互に作用し、 エラーのない動きの場合は、第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）に割 り当てられた周辺機器（１２）の入出力部に主に読取りアクセスだけを行い、決 められた条件に達したときは第１のプロセッサ（２）を解放する、第１のプロセ ッサで動きうる第２のプログラムパッケージ（Ｐｒｏｇ．ＩＩ）。 ２． 第１の周辺機器群（１２）の中で少なくとも１つは第１のプログラムパッ ケージ（Ｐｒｏｇ．Ｉ）用の周辺機器が存在することを特徴とする請求項１に基 づくシステムアーキテクチャ。 ３． 第１の周辺機器群（１２）の中で、有効な方法で第１のプログラムパッケ ージ（Ｐｒｏｇ．Ｉ）からもまた第２のプログラムパッケージ（Ｐｒｏｇ．Ｉ Ｉ）からも書込みと読取り、あるいはどちらか一つだけでアクセスされる、少な くとも一つの周辺機器が存在することを特徴とする請求項１に基づくシステムア ーキテクチャ。 ４． 第１と第２のプログラムパッケージ（Ｐｒｏｇ．Ｉ、Ｐｒｏｇ．ＩＩ）が それを通じて通信し合う記憶領域（２５）が存在することを特徴とする請求項１ に基づくシステムアーキテクチャ。 ５． 第１と第２のプログラムパッケージ（Ｐｒｏｇ．Ｉ、Ｐｒｏｇ．ＩＩ）が それを通じて互いに通信し合う記憶領域（２５）が、第１及び／又は第２の記憶 装置（４，５）、あるいは両方の記憶機器（４，５）の一方にだけ存在すること を特徴とする請求項１に基づくシステムアーキテクチャ。 ６． 第１の記憶機器（４）が第１のプログラムパッケージ（Ｐｒｏｇ． Ｉ） に割り付けられていることを特徴とする請求項１に基づくシステムアーキテクチ ャ。 ７． 第１と第２の記憶機器（４，５）がハードウエアとして共通の記憶装置で 実現されており、 記憶アドレスの第１のグループが第１の記憶装置（４）を、記憶アドレスの第 ２のグループが第２の記憶装置（５）を形成していることを特徴とする請求項１ に基づくシステムアーキテクチャ。 ８． 第１と第２の記憶機器が（４，５）がハードウエアとして別個の記憶装置 として実現されていることを特徴とする請求項１に基づくシステムアーキテクチ ャ。 ９． 第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）が第１のプロセッサ（２３ ）を取り戻したとき、抑止信号がまだ存在するか、又は自ら消去し又は取り消す 前に、その間に取り消されなかったか、を検査することを特徴とする請求項１に 記載のシステムアーキテクチャ。 １０． 第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）が誤り防止機能を持つプ ログラムパッケージであることを特徴とする請求項１に基づくシステムアーキテ クチャ。 １１． 第１のプロセッサ（２３）がタイマー（９）を接続した割込み制御部 （８）を備えていること、また第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）が 第１のプロセッサ（２３）を取り戻すように仕向ける条件が、タイマー（９）に よって起動される割込みであることを特徴とする請求項１に基づくシステムアー キテクチャ。 １２． 当該のプログラムパッケージ（Ｐｒｏｇ．Ｉ、ＩＩ）による第１のプロ セッサ（２３）の解放の条件が、関係するプログラムパッケージ（Ｐｒｏｇ．Ｉ 、ＩＩ）内の対応するプログラム命令文であることを特徴とする請求項１に基づ くシステムアーキテクチャ。 １３． 第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）を形成している命令及び ／又は第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）だけに割り当てられている データが、第１の記憶装置内に収められていることを特徴とする請求項１に基づ くシステムアーキテクチャ。 １４． 第２のプログラムパッケージ（Ｐｒｏｇ．ＩＩ）を形成している命令及 び／又は第２のプログラムパッケージ（Ｐｒｏｇ．ＩＩ）だけに割り当てられて いるデータが、第２の記憶装置内に収められていることを特徴とする請求項１に 基づくシステムアーキテクチャ。 １５． 第２のプロセッサ（３）、 第２のプロセッサに割り当てられた第３の記憶装置（２１）、 第２のプロセッサ（２３）と結合された入出力部を有する、インターフェー ス回路等の、第２のプロセッサ（３）に割り当てられた第３の周辺機器（２３） 、そして 第２のプロセッサ（２３）で実行され、第３の記憶機器（２１）と相互に作 用し、第３の周辺機器群（２３）とやりとりする第３のプログラムパッケージ、 を備えていることを特徴とする請求項１に基づくシステムアーキテクチャ。 １６． 第１と第２のプロセッサ（２，３）が互いに異なっていることを特徴と する請求項１５に基づくシステムアーキテクチャ。 １７． 周辺機器（１２）が機能に関して第３の周辺機器（２３）と一致すると して、第３のプログラムパッケージが第３の周辺機器（２３）に関連して、第１ のプログラムパッケージ（Ｐｒｏｇ．Ｉ）が周辺機器（１２）に関連して振舞う のとおおむね又は正確に同様に振舞うことを特徴とする請求項１５に記載のシス テムアーキテクチャ。 １８． 第１（Ｐｒｏｇ．Ｉ）と第３のプログラムパッケージが、第２のプログ ラムパッケージ（Ｐｒｏｇ．ＩＩ）との偶発的に起こるやりとりは別にして、同 じ機能をもたらすように設計されていることを特徴とする請求項１５に基づくシ ステムアーキテクチャ。 １９． 第１のプログラムパッケージ（Ｐｒｏｇ．Ｉ）と第３のプログラムパッ ケージは少なくとも一時的に互いに通信し合うことを特徴とする請求項１５に基 づくシステムアーキテクチャ。 ２０． 通信が、両プログラムパッケージの各々により計算されたデータと、付 属する周辺機器群（１２，１３）から供給されるあるいは供給されたデータとの 比較を含んでいることを特徴とする請求項１５に基づくシステムアーキテクチャ 。 ２１． さらにほかのプロセッサ及びプログラムパッケージ、特に、少なくとも もう一つのプロセッサを備えていることを特徴とする請求項１５に基づくシステ ムアーキテクチャ。 ２２． システムアーキテクチャが機械の制御において実施されることを特徴と する前述のいくつかの、あるいは一つの請求項に基づくシステムアーキテクチャ 。