JPS5924353A - 計算機による動作試験方法と装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 本発明はプロセスの記憶制御監視に対する計算機の動作
試験のための装置蚤こ関する。

マイクロ計算機番こサポートされる記憶システムおよび
制御システムは今や多くの分野で応用され、高い安全性
の要求を満足している。

誤りの場合のあとプロセスを安全性の理由から直接切っ
てはいけないことまたは有効性の理由から切らないとい
うことはプロセス１ことりては重要な問題である。この
課題は一般に制御系および記憶系ｌこ冗長性を装入する
ことによって解決される０その課題は二つまたはそれ以
上の無関係の動作チャンネルケ有するシステムであり、
システムは制御任務または記憶任務を満足させ、マイク
ロ計算機は切換え記憶、監視および誤りの局在化を動作
チャンネルのな′ｌ））で担当する０ 安全性の概念は、ｉｌ′算機が誤りなしに働くかぎり、
誤りは制御チャンネルにおいて識別され、正しい感応に
よりて制御装置１Ｉｔｔこ対して、計算機を安全な状態
にすることができるということである。

動作の安全性はしかもなおここでは最終的に計′算機に
おこりつる誤り発生源に関係している。計算機の故障は
時間的ｆこ限定され、（たとえば、回路網の故障、クロ
ストーク）、または残ること暑こなる（ｍ成部品の故障
）。

代表的な誤り動作は計算機の停止（システムサイクルの
故障）を生じることになる。計算機が無限の循環で運転
されるときにはデータ誤りをこまってとくに動的をこ一
定のビットの組み合せに関係した欠陥のある演算装置に
よっては命令（たとえば比較）はもはや正しく遂行され
ない。ソフトウェア蚤こおける変更によって、なおソフ
トウェア冗長性（こおいて、欠陥あるプログラム記憶装
置によってももはや正しく遂行されない。

相互に監視する二つまたはそれ以上の財界機（マルチプ
ロセサーシステム）もりてしかもなお大きな支出のもと
て一般的に転換の７）−ドウエアおよびソフトウェアが
系統的な誤りの禁止に対して要求されるので動作の安全
性を高めることができる。（クネルンシールドによる論
文、ＲＴＰ１９８１．８巻）。

一般的応用においてしかもなお接続されたプロセスの状
Ｑ、ｌはとくに論理的状態（例えば切換位り限界１［１
１報知器）によってなお連続的な容暖で？きこまれる。

多くの計算機のＩｔｔ４　′１ｆ１１はビットモデルの
水Ｑｆささいな比較によって再検査されるだけでな（む
しろ広範な補助的ソフトウェア手続によりて肖検査され
るので多プロセスシステムの応用性に広く組西込まれる
。

誤り安全性の理由から一つの制御装置とそれに接続する
ところの一１固の計算機は容Ａ１こ制御でき、製造り川
も開発費用からも有利である。簡単なそれ（こ対し通常
便用される方法はウォッチドッグ（番犬）（こよるもの
である。ウォッチドッグは周期的な時間窓の間で計ＩＩ
！、機から常に一定な通知を期待ｒるものである。計ｎ
機が全般的に作動している力）どうか、計ｎ機が本質的
な動作において正しく１・ｆ−動しＣいないかどうか重
要な安全性の命令が正しく実行していないかどうかを一
般的番こ試験することができる。たいてい再トリガー可
能な反転手段をもつ監視機構の（ウォッチドッグ）切換
によって誤りの存在するときにはじめて両方に識別され
る（ライフシグナルの停止）。しかもなおこの装置は通
常の誤り可能で故障しもしくはそれはただ不十分な確率
で識別される。切換の故障はこの種の主な制御切換で追
加的に自分自身で気がつかないで残る。

しかし、まさに重要な安全性の応用のとき個人および装
置により危険を加えることは最大できるかぎり確率で除
去されねばならないしすべてのこの故障の識別は放棄で
きないし、たん督こ補助的な問題を方向づけするハード
ウェアの監視によって達成可能である。

本発明はｗｔ　８機が重要な安全性の課題に対してプロ
セスの記憶およびプロセスの監視のときに最高の危険度
（個人的損害）を考慮に入れることができるように計算
機の包括的な監視を可能とし、できるかぎり僅小な製造
技術的支出のもとではじめに言及した技術の方法を開発
するというｖＩＡ題をもっている。

その課題は本発明によれば特許請求の範囲第１項の特徴
部の方法番こよって解決される〇本発明による方法は計
算機もしくはマイクロ計Ｒ，機の本質的な動作を周期的
に監視せしめる・そのと１！！誤りの発生の際安全な位
置に監視装置をもたらすことができる。この方法はとく
に一般的に応用可能であり、さらに計算機の任意の自己
テスト手続が有効な監視方法によりて保霞されるという
畏所を有する。

受取り信号を通じて計算機は制御装置の充分に動的な運
用法をよりどころにして識別するｅその結果、独立的な
二重誤りを除去して誤りに安全な監視システムが作り出
されるのである。

高い安全性の水準と誤り状態に対するすみやかな応答は
そのつとのプロセスで計′１１．機の干渉がたんに制御
１＾号と試験（１１号との比較を行ってその際誤りのな
い命令ではその干渉は制御信号と試験信号との一致醤こ
おいてのみ効果的になり達成される。

計算機の誤り動作がプロセスに影響を及ぼすことを防止
する。このことは重要な安全性のプロセス応用のとき蚤
こ単一チャンネルの計ｐ機系の導入を可能とする。

本発明の構成によればデジタルな試験語が試験イ計号と
してと（に計算機の処理言＠幅において設定される。そ
の形成に対しては、たん等こ非常に簡単なハードウェア
が必要であるが、その／Ｘ−ドウエアは対応する慣例の
ウォッチドッグ切換を本質的にだかめられた監視範囲に
する。

デジタルな試験語は一定に確定された原則により動的に
変更することかで舞、一定の条件が存在すると、その結
果、計算機からこの条件を導入して自分自身で識別しな
ければならないということによりて補助的な監視をつく
りだすＯ 試験語の動的変更によって同じく制御装置と計算機によ
る語の長さの一致によって、慣例のウオッチドツク切換
１こ対して本質的（こ高められた監視範囲が達成される
。簡単なソフトウェア的な生成側の遂行において非常曝
こ効果的な監視は、実際上すべての可能な組み合せを生
じ、そのためなお隠さイ１．た嶋り（動的なりロストー
ク、誤謬こ立往生する）？−検出するので、計算機の内
部の記憶部に含めることができる。

ソフトウェア的に遂行される原則は処理のとき４１１９
−機の１１Ｃ要な安全動作および計′轢機の命令群を利
用し、その誤りのないことは間接的に制御信号と試験信
号による一致によって証明するようにして実現″（るこ
とができる◎ 試験語と比較される制ｍ信号はとくに計算機から伝えら
れるデータ語であり、とくに、決定された同門的に再現
する時間窓の間で伝達しなければならない。このことは
リアルタイムの利用の下に制−間しｉ＾およびシミュー
レーション問題と共に計算機応用１こ対する重要な基準
である。

本発明はその方法を実施するための装置に及ぶものであ
りそれはコンパレーターおよび試験信号を発生ぐる制御
部からなり、計ｎ機の試斐信号と制御１＾号ゲ［を成す
る。そのような装置はただ僅かなハードウェアの支出を
必要とする。コンパレーターの出力信号すたけ次（こっ
づく再トリガー可能なタイミング回路により記憶構成要
素はコンパレーターで等しくない入力信号のとき、すな
わち、誤りの発生のとき、ＩＩＩｔ、後に出た誤りのな
い状態にプロセスが保持され、または前に決定された安
全位置に（すなわちスイッチを切ること）に必然的（こ
なるよう１こ制御される〇 コンパレーターから制御され得る追加の警報部が設けら
れると１こけ、誤りを音響的およびまたは光学的に識別
可能（こすることができるという利点がある。

コンパレーターの後に接続される再トリガーされないタ
イマーにより計算機の周期的な制御に対する小さい時間
窓をつくりだすことができる。これに対してはとくに二
つの再トリガーされないモノフロップが適している。そ
のうち第１のモノフロップはコンパレーターから制御さ
れ、Ｋ圧の立下りによって第２のモノフロップがトリガ
ーされる。帆２のモノフロップのｔｑ圧の立下りのとき
、シフトサイクルが制御部に対して出力される。その制
御部は決められた原則により試験信号を変更する。

利便：部は擬似事故数２発生器ととも◆こ備えつけられ
ると１こけ試験信号を発生し、タイマーから出力される
シフトサイクルがそれを周期的に制御するのが有利であ
る。便似事故数１発生器のフィードバックは試験イバ号
繰返のできるかぎり大きな周期的な期間とできるかぎり
広範囲の実行とすべてのｒｉＴ　ｔｉ目な試験信号基準
を生じるよう（こ構成することができるのでさらに有利
である。電流供給の故障をに己碌するためにさらに一定
の最小機能（たとえば腎報器）？満すことができるため
に制御部は創１■機とは無閂係な′ｔＪ圧供給装胤を装
備する。

本発明による一つの実施例を図１ＶｉＨこ図式的（こ示
す。

ｖＡ１図において、計ＪｌｌＬ機もしくはマイクロ計算
機１０は言［１−機からプロセスを監視するためをこた
とえば制御システム１２の信号１１を受ける。そして再
び出力１３を介してプロセス番こおいてプロセスにおけ
る最適化または切り換えを実行するために処理する。と
（に制御系１２における誤りの場合において計算機１０
社ソフトウェア的に遂行される監視機能によりて識別し
、その状態において計算機は出力１３４こよって置換機
能（冗長性）による活性化によって制御系１２に誤のな
い状押を再生産するか、または消去装置ｌＩこよって制
御系１２を停止させ、これによってプロセスの安全状態
を制御する（誤防止機構）。

計算機１０の動作可能性また制御装置ｌｔ、　１５１こ
より監視される。筐報部１６をもって最終的１こおこり
得る誤りは信号化されるがここで誤りは割算機１０から
入力信号１７を介して入力される制御系１２の中の誤り
発生源によりもしくは制御部１５において計１！機中の
一つの誤りによって、もしくは制御部１５自体の誤り番
こよって制御され、クラクション１９を介して音響的な
警報信号を発生する。

計算機１０の監視Ｇこ対してそのマイクロプロセッサは
出力２０として、一つの１間＃信号をたとえば８ビツト
の長さの制御ｍｌまたはデータ蒔の形式で発生すると四
時薔こ出力３５によってこの制御信号の伝達を行なう。

制御部１５：こおいて包含される擬似事故数発生器２２
いわゆるべ−、アル、ベー、ニス、（Ｐ、Ｒ％Ｂ、８）
−発生器（Ｐｓｅｕｄｏ−）ｍｕｓｃｂ−Ｂｉｎ　ｒ’
ｉ　ｒ−８１ｇｎａｌ）において計算機１０の制御信号
（こ対して同じ長さの試験語もしくはテスト語の形式の
試験信号が発生する。試験語と制御語は、コンパレータ
ー２５のなかで、比較される。

コンパレーター２５の出力２６は、両方の語の完全な一
致のときであってかつ同期の出力３５の活性化のとき再
トリガーされないモノフロップ２７（こ対してトリガー
インパルスを放出し、モノフロップ２７は、再び時間を
−の経］初後、立下りインパルスエッヂによって同時に
再トリガーされないモノフロップ２Ｂをトリガーする。

時間窓’Ｆｅｎ５ｔの経過の後モノフロップ２８の出力
は同じ（−”Ｆし、そのためＰＩ（８８−発生器２２に
シフトサイクル３０′ｆｔ−放出する。

ＦｉｔＢ＠１０の誤なしの命令のとき計Ｓ機１０は第２
図１こおける時刻ダイヤグラムにより、一つの試験語た
とえば“Ｋ＋１’、ｆこ対して時間窓ｔｐｅｎｓｔの間
に制御語・Ｋ＋１・を出す。

それでコンパレータ２５はモノフロップ２７の動作を開
始する。時間ｔ―の後（こモノクロツブ２７は立下り、
その中間時刻で立下ったモノフロップ２８は最新の時間
窓の決定のため昏こ開始し、その間に最新の制御語が出
力されなければならない。

新しい試験語’に＋２’は中間時刻におけるモノフロッ
プ２８の立下りのとき、その際発生したシフトサイクル
３０によって形成される。同時にモノフロップ２７の動
作は受取り回路３１（こよりて動的に計算機（こ応答さ
れる。

しかし今や、計算機１０の欠陥により次の制御語’に＋
２’は時間窒の間で生じないで第１のモノフロップ２７
は開始しない。その結果第２のモノフロップ２８の′間
圧の立下りののち◆こ両方のモノフロップ２７２８は立
下り、そのためノーアゲート３２を介して入力１８で警
報部１６が制御される。

同じ方法で誤りは制御部１５のなかにおいても記録され
、通知される。この場合は一つまたは二つのモノフロッ
プの故障（こよりてノアケー）　ａ　２が直接制崩１さ
れるか、または欠陥のあるＰＲＢ８−発生器２２のとき
は、コンパレーター２５が誤り制御部１５のなかで故障
を自分で曝露して明らかにする。

特（こ制砥部１５において、おおわれている誤り可能性
を曝斜するためのソフトウェア等こよる処置は計算機１
０が誤り制御語または信号３５を生じ、副ｍｌｊ部１５
の応対を信号３１の利用番こよって正確に再検討するこ
と１こよって可能であるａ第２図の時刻ダイヤグラムに
示されているように検相は計Ｐ１．機１０が周期的に正
しいデータ語を大きな時間間隔憂こおいて生じるときに
解除される。

新しい正しい制ｉ’ｉｌ１語の伝達とタイマー２７のト
リガーは計１４ｆｉｌＯの機能可能性と出力（Ｎ号３６
の有効団を保証する。トリガーの後の記憶部分３７は受
取り信号３１ｆこよりてその出力１３を一致させ、プロ
セスを有効にする。

自己監視系において接続されていない警報部１６とノア
ゲート３２はさらに安全な誤りに対して動的をこ構成さ
れ、二暇に試験されるかまたは、正規のり隔で試験する
ことができる。後者では計ＪＫ磯づ゛ の授助により自己試験の範囲内で遂行され、ここでデー
タ語は遅れて生じさせられ、そのため短い警報ビイビイ
を送出する。ノアゲート３２の動作能力と警報部１６は
計算機によるたとえば￥ｔ＃的警報検知器３３に接続さ
れている清報通知回路３４の信号の照合によって再検査
される。

試験語の原則は計算機中で繰返関係を介して構成されね
ばならない。

’２５５”のシフト手段蚤こよる一周期の経過（こおい
て一定のビット組み合せ（こよる誤が確認できるように
すべての組み合せは許されていない状態０００００００
０＋こなるまで使用される・さらＧこ任意の補助的なオ
ペレーション（演−ｎ−惇転一比較命令）が他のオペレ
ーション番こよりて再び後戻りするよう薔こ遂行される
・ソフトウェアとして、冗長性の度合がソフトウェアに
よって決定されるので容易に時刻φ件および安全性の水
準のような要件および可能性ｔこ適合することができる
という利点を生じる。

１１Ｌ用ブ七グラム昏こついて個々の命令が分配される
と線状または明らかな分岐状のプログラムループｆｉＥ
Ｌい経過で再検査するために可能性が生じる。制頒間頭
のと合このような場合がしばしば見つかる。

賢報処３４１！が確実１こ行われるように妨害されない
命令の間、利用されないところのプログラム部分１こよ
る動作１毛力のために一定の時刻間隔において自己試験
が記憶プログラムの内容の再検査について遂行さイ１．
ねばならない。自己試験の遂行ならびに結果はσＵを方
向づけする監視部を監視することができる。

【図面の簡単な説明】

第１図は本発明の計Ｎ、機番こよる動作試験装置のブロ
ック図、第２図および第３図は時間ダイヤグラムである
。 １０・・・・・・計算機、１１・・・・・・信号、１２
・・・・・・制御系、１５・・・・・・制御部、１６・
・・・・・警報部、１７．１８・・・・・・入力、１９
・・・・・・警笛、２０，２６，３５・・・・・・出力
、２２・・・・・・擬似事故数発生器、２３・・・・・
データバス、２５・・・・・・コンパレーター、２７，
２８・・・・・・再トリガーされないモノフロップ、３
０・・・・・・シフトサイクル、３１・・・・・・受は
取り信号、３２・・・・・・ノアゲート、３３・・・・
・・骨相検知器、３７・・・・・・記憶装置＃、。 出Ｍ人　エム、アー・エン・マスチネンファブリック　
アウクスペルグ ーニュールンベルグ　アクテン

Claims (1)

1. 【特許請求の範囲】 １、計算機により誤り状態を識別するための制御信号を
   発生させる一方、仙の手段により試験信号を発生させ、
   前記制御信号と試験信号との比較信号に基づいて前記計
   算機を制御しこれ（こより前記誤り状態Ｉこよってプロ
   セスが影響されることの防１）−または警報の発生また
   は前記プロセスの安全状態への移行のうち少くともいず
   れか１つを行なうことを特徴とする計３’Ｉ機による動
   作試験の方法０２、前記計算機の制御はそのつどプロセ
   スに対する制御信号と試験信号との比較◆こよって行わ
   れることを特徴とする特許請求の範囲第１項記載による
   方法。 ３゜前記試験信号が前記計算機の処理言語長のデジタル
   語であることを特徴とする特許−請求の範囲＠１項およ
   び第２項記載のいずれか一つによる方法。 ４、一定の条件が存在するや否やまえもって決定された
   原則によりデジタル試験語は動的に変えられることを特
   徴とする特ａ′１・請求の範囲第１項から第３項記載の
   いずれか一つによる方法。 ５．１１記原則は適度のソフトウェアで遂行されること
   を特徴とする特ｒｌ’　１ｆＩＶ求の範囲第４項記載に
   よる方法０６、　前記原則はその処理のとき適切な安全
   性に係る命令および計算機の命令群を用いるように実現
   することを特徴とする特許請求の範囲第５項記載による
   方法。 ７、　　ｌ１ｉＩＩ御詰の迫Ｗは補助的に決定されに周
   期的の時間窓の間で行われることを特徴とする特許請求
   の範囲第１項から第６項記載のいずれか一つによる方法
   。 ８、　　ＮＨＩ￥機ａψの試験信号と制御信号が取り入
   れられ互に比較されるコンパレーターＱ５１と共に試ｌ
   ｆｌ！信号を発生する制御部α５）とを有してなること
   を特徴とする記憶、制ａｌ　ｔプロセス監視に苅する計
   算機による動作試験装置。 ９、　コンパレーター（２５に再トリガーされないタイ
   マー手ｙ（２７，２８）を接続することを特徴とする特
   許請求の範囲第８項記載による装置。 １０、前記タイマ一手段（２７，２８）ｌこより制御さ
   れる管報部αｅを設けることを特徴とする特許請求の範
   聞＠８項および＠９項へ１１載のいずれかによる装置。 １１、　　前記タイマ一手段として時間窓を与える二つ
   の再トリガーされないモノフロップ（２７もしくは２日
   ）が設けられることを特徴とする特許請求の範囲第９項
   記載による装置。 １２、前記制御部が試験信号を発生する擬似事故数発生
   器（２２を包含することを特徴とする特許Ｓ請求の範囲
   第８項から第１１項記載のいずれか一つによる装置。 １３、　　前記制御部（＋５１の電圧供給が前記計算機
   ＋１１の電圧供給馨こ無関係であることを特徴とする特
   許請求の範囲第８項から第１２項記載（こよるいずれか
   一つによる装置。 １４、記憶手段を有し、計Ｗ、機ｆｉＧの出力信号（イ
   ）は正しい制御信号（イ）の出力が受取回路Ｇυに指示
   する時奢こはじめて前記記憶手段の出刃傷号（３υに引
   角継がれるよう−こなっていることをＩＴｆ徴とする特
   許請求の範囲第８項から第１３記載をこよるいずれか一
   つの装置。