JPS6055446A

JPS6055446A - 計算機

Info

Publication number: JPS6055446A
Application number: JP58163657A
Authority: JP
Inventors: Hajime Kurii; 栗井　甫
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 1983-09-06
Filing date: 1983-09-06
Publication date: 1985-03-30

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】〔発明の技術分野〕本発明は単一の計算機を構成する機能部分の一部に障害
が発生した場合に、その計算機が制御している機器に対
して安全側に動作することな保障するフェイルセーフシ
ステム、あるいは障害が発生した場合にも、見掛は上正
常に計算機が動作することを保障するフォールト・トレ
ラント（耐障害性）システムに供する高信頼度の計ｎ機
に関する。

〔発明の技術的背景およびその問題点〕鉄道の保安用信
号装置等は人命にかかわることから、機器の一部に障害
が発生すると安全側に動作することを保障するフェイル
セーフシステムが定着している。このシステムはフェイ
ルセーフｆ保証するため特殊な論理素子と論理回路を採
用することにより構成されており、システムが遂行する
論理判断機能に比較して装置規模が大きくなるという欠
点を持っている。

また、プラント機器等を制御する計算機システムにおい
ては、高い信頼度が要求されることから、そこに用いら
れる割算機そのものは２重系あるいは３重系構成となっ
ている。ところが、このプラント制御システムは、上記
の鉄道保安用装置に比較して高度な処理が可能な反面、
複数の計算機の同期、照合のため信頼性の高い特殊な回
路を付加することが必要になり、これら回路を制御し、
障害を検出したときに採るべき処置のためのプログラム
は複雑になる。

このように、高信頼度を要求される装置は規模が大きく
なり、特殊な素子や回路（ハードウェア）を多数用いな
ければならない欠点がある。また、機能拡張の要求に対
して柔軟性に欠けるという欠点がある。

〔発明の目的〕

本発明は上記の従来技術の欠点を克服するためになされ
たもので、装置の機能部分の一部に障害が発生した場合
にもシステムを安全側に動作し、あるいは見掛は上正常
に動作し、装置規模が小型で高い機能な備え、かつ機能
の拡張が容易な高信頼度の計算機を提供することな目的
としている。

〔発明の概要〕

上記の目的を実現するため本発明は、下記の如き計算機
を提供するものである。すなわち、複数の演算制御ユニ
ツｌ−複数種類の伝送路で結合し、これら伝送路を介し
て受渡しされる情報により各演算制御ユニットの同期と
相互監視を行ない、正常な（障害のない）演算制御ユニ
ットの出力は多数決論理回路を介して外部へ出力する高
信頼度の計算機であり、各演算制御ユニットは機能の異
なる２つのプロセッサで構成され、相互に監視情報を受
渡すことによりフェイルセーフ性を確保するようにした
高信頼度の計算機である。

また本発明に係る計算機は、ひとつの演算制御ユニット
内で２つのプロセッサの相互監視により障害を検出した
ときには当該ユニットは安全側へ停止すると共に、他の
演算制御ユニットは障害のあるユニットを切離して縮退
運転を継続するフォールト・トレラントを保証すること
ができる。そして、障害のある演算制御ユニットを正常
なユニットに交換してから再起動をかげると、縮退運転
から全ての演算制御ユニットによる正常運転に復帰する
ことができる。

〔発明の実施例〕

以下、添付図面を参照して本発明のいくつかの実施例を
説明する。なお、以下の添付図面の説明において、同一
要素は同一符号で示しである。

第１図は本発明の一実施例の基本構成を示すブロック図
で、第１図（ａ）は演算制御ユニットが３つの場合を示
し、第１図（ｂ）は２つの場合を示している。第１図（
ａ）において、計算機は同一の処理、動作をする３つの
演算制御ユニツ）　ｌａ　、　ｌｂ　、　１ｃオよび多
数決論理回路２を有しており、演算制御ユニッ）　ｌａ
　、　ｉｂ　、　１ｃはそれぞれ第１、第２の伝送線３
，４によって相互に結合されている。ここで、第１の伝
送線３は各演算制御ユニットｌａ、１ｂ。

ＩＣが正常に動作していることを示す同期タイミングの
役目を兼ねた父番信号を伝送する。また、第２の伝送路
４は同期タイミング、各演算制御ユニッ）Ｉａ、ｌｂ、
ｌａ間で照合するデータ、およびそれらの状態を示す３
つの情報を７リアルに伝送する。

外部からのセンサ信号等は入力線５を介して演算制御ユ
ニツ）ｌａ、ｌｂ、ｌｃに与えられ、所定の演算の後に
ユニット出力線６を介して多数決論理回路２に与えられ
る。多数決論理回路２は与えられた入力信号に対して多
数決論理にもとづいた出力を発生させ、これを制御出力
線７を介して外部の機器（図示しない）に与えると共に
、制御出力監視線８な介して各演算制御ユニツ）１８ｓ
ｌｂ＊ｌｃ　に帰還する。各演算制御ユニツ）　１ａ　
、　Ｉｂ　。

ＩＣはこれを自己の出力と照合し、監視する。なお、上
記の事情は第１図（ｂ）においても同様である。

第２図は第１図の演算制御ユニツ）Ｉａの内部構造を示
すブロック図である。演算制御ユニットｌａは診断プロ
セッサＩＯ１制御プロセッサ１１の２つのプロセッサを
有しており、第１の伝送線３は診断プロセッサ【０に接
続され、第２の伝送線４は制御プロセッサ１１に接続さ
れている。なお、第２の伝送線４は他の演算制御ユニツ
）　ｌｂ　、　ｌｃとの間に２本づつ設けられたシリア
ルパスＢｌ　、　Ｂ２　。

Ｃ１，Ｃ２から成っているので、一方の７リアルパスに
障害があっても他方のシリアルパスにより情報伝送を継
続することができる。

制御プロセッサ１１は入力線５を介して与えられた信号
を演算し、結果を制御プロセッサ出力線２１を介してユ
ニット出力リレー１２に与える。また、診断プロセッサ
状態線２２および制御プロセッサ状態線２３す介して診
断プロセッサ１０との間で情報を受渡し、相互監視する
。

ユニット出力リレー１２は診断プロセッサ状態線ρ、制
御プロセッサ状態線２３、フェイルセーフ０Ｒ回路１３
およびユニット出力リレー制御線冴を介して与えられた
信号にもとづいて動作し、機器の障害を検出したいずれ
かのプロセッサがユニット出力リレー１２の動作を禁止
する信号を送ると、ユニット出力リレー１２は安全側に
固定される。なお、ユニット出力リレー１２の状態を示
す情報はユニット出力リレー状態線δを介して制御プロ
セッサ１１に与えられる。

診断プロセッグ１０の主な働きは、第１に制御プロセッ
サ１１の動作を監視すること、第２に演算制御ユニツ）
ｌａ　に点検装置（図示せず）を設けてオンライン保守
を行なう際に、点検装置との間での情報交換を行なって
予防保全に供すること、および制御プロセッサ１１への
コマンド出力を処［ること、第３に第１の伝送路３を介
して他の演算制御ユニット１ｂ　、　１ｃを相互に監視
することである。

第３図は第２図の制御プロセッサ１１の内部構造を示す
ブロック図である。制御プロセッサ１１はプロセッサ１
１０、ローカルメモリ１１１、入出力コントローラ１１
２　、１１３　、１１４および伝送コントローラ１１５
　、１１６により構成され、それらは内部パス１１７に
より互いに接続されている。外部からの信号は入力線５
および入出力コントローラ１１２を介して取り込まれ、
演算出力は入出力コントローラ１１４および制御プロセ
ッサ出力線２１を介してユニット出力リレー１２（第２
図参照）に与えられる。

入出力コントローラ１１３は診断プロセッサ１０との相
互監視のためにあり、伝送コントローラ１１５゜１１６
は他の演算制御ユニツ）　ｌｂ　、　ＩＣとの又信のた
めにある。

次に、第４図および第５図を参照して第１図乃至第３図
に示す実施例の動作を説明する。第４図は上記実施例の
動作を説明する状態遷移図である。

演算制御ユニツ）ｌａ、ｌｂ、ｌｃはいずれも第４図の
いずれかの状態を採ることができ、状態間の遷移はＰｉ
ｊで示しである。なお、各状態は下記の如くなっている
。

０：オフ（ＯＦＦ）・・・・・・電源断あるいはユニッ
ト初期化処理中の状態、にウェイ）（ＷＡＩＴ）・・・・・・初期化処理が完了
し、自己診断結果が正常なとき、２：相互診断（ＤＩＡＣ）・・・・・・他の演算制御ユ
ニッｌ−１と第１．第２の伝送路３，４の相互診断と同
期合わせ、３：３系運転Ｌ　ＴＭＲ）・・・・・・他の演算制御ユ
ニット１と並行動作する３重系状態４：２系運転Ｌ　ＤＭＲ）・・・・・・他のひとつの演
算制御ユニツ）１と並行動作する２重系状態５：点検（
ＴＥＳＴ）・・・・・・点検装置（図示せず）からの点
検要求により制御プロセッサ１で診断プログラムを実行
中のとき。

６：ダウン（ＤＯＷＮ）・・・・・・自ら障害を検出し
、オンライン運転不能になったとき、上記状態０〜６において、ユニット出力リレー１２を介
して外部機器に対し制御信号を出力するのは状態３，４
のときのみで、これ以外の状態のときにはユニット出力
リレー１２は安全側に固定されている。

装置（計算機）ｆｋ立上げるときの動作は次のようにな
る。演算制御ユニット１に電源を投入すると、状態Ｏで
自己診断プログラムにより自己の演算制御ユニットの内
部の機能がチェックされる。

自己診断の結果、障害が検出されないときは経路Ｐｏ１
に経由して状態ｌＫ造移し、ここで立上げの要求を待つ
。立上げスイッチ（図示しない）等により立上げ要求が
かけられると、経路Ｐ□２を経由して状態２に遷移する
。状態２において第１．第２の伝送路３，４を介して他
の演算制御ユニットｌとの間で相互診断を実行され、か
つすべての演算制御二二ツ）ｌが同期して同一の処理な
行なうために同期がとられる。そして、演算ｉｔ’制御
ユニツｈｌ、ｍｌ、第２の伝送路３．４のすべてが正常
であるときは、経路Ｐ２３を経由して状態３へ遷移する
。

他のいずれかの演算制御ユニット１に障害があったり、
第１、第２の伝送路３，４の一ケ所に隙讐があるときは
経路Ｐ２４な経由して状態４へ遷移する。他のいずれの
演算制御ユニット１に対しても相互診断のための情報、
同期のための情報な受け渡すことができないとき、およ
び他の全ての演算制御ユニット１から自己の演算制御ユ
ニツ）１に障害があるという情報を受け取ったときに、
経路Ｐ２６を経由して状態６に遷移する。

状態３，４にある演算制御ユニツ）１は、自己のユニッ
ト出力リレー１２な動作させて制御信号の出力を開始す
る。このようにして立上げ動作が完了し、オンライン動
作が開始される。

次に、装置（計ｎ機）がオンライン運転状態にあるとき
に障害が発生したときの動作は下記のようになる。ここ
で、状態３における障害発生の検出法は次のようなもの
がある。

■　診断プロセッサ１０と制御プロセッサｔ１の相互監
視による障害検出 ■　第２の伝送路４を介して受渡される照合データの不
一致による障害検出 ■　第１、第２の伝送路３，４を介して受渡す同期タイ
ミングの不良、あるいは他の演算制御ユニット１の創作
不良による障害検出（但し、第２の伝送路４は２重化さ
れているので、一方のみの障害はここで言う障害になら
ない）■　自己のユニット出力リレー１２の出力信号と
制御出力監視線８からの入力信号（多数決論理回路２か
らの帰還信号との不一致による障害検出） ■　ユニット出力リレー状態線５からの信号による障害
検出これら障害を検出すると障害部分の調査を行なう。そし
て、障害が自己の演算制御ユニット１の内部にあるとき
は、経路Ｐａｓ　’ｌ経由して状態６へ遷移する。障害
が他の演算制御ユニット１にあるとき、もしくは第１、
第２の伝送路３，４にあるときは、該演算制御ユニット
ｌを論理的に切離しく第１、第２の伝送路３，４を介し
て送られる情報を無視″ｊ−ること）、経路Ｐ３４を経
由して状態４へ遷移する。他の２つの演算制御ユニツ）
１から自己の演算制御ユニツ）１に障害があると通知さ
れたときも、経路Ｐ３６を経由して状態６へ遷移する。

このようにして、ひとつの演算制御ユニット１に障害が
あったときはこれが状態６へ遷移し、他の２つの正常な
演算制御二二ツ）１によりオンライノ運転が継続される
。

次に、２つの演算制御ユニツ）ｌが状態４にあるときに
障害が発生した場合の装置（計算機）の動作は、下記の
ようになる。なお、障害の検出法は前記■〜■と同様で
ある。障害を検出したときは、２つの演算制御ユニット
ｌはいずれも経路Ｐ４６を経由して状態６へ遷移する。

そして状態６へ遷移した演算制御ユニツ）ｌは、ユニッ
ト出力リレー制御綜冴を介して自己のユニット出力リレ
ー１２の動作を停止させ、安全側へ固定する。

次に、２つの演算制御ユニット１が状態４にあるとき、
障害のある３番目の演算制御ユニット１に代えて正常な
ユニットを加え、状態３に遷移する場合の動作は下記の
ようになる。なお、３番目の演算制御ユニット１はすで
に状態１にあるものとする。装置再構成の要求をかける
と、３番目の演算制御ユニット１は状態２に遷移し、ル
１％第２の伝送路３，４を介して同期合わせすると共に
装［ｑ構成の情報の受渡しを行なう。同期合わせが完了
し、３つの演算制御ユニット１０間で照合すべきｔＷ報
が一致したときは状態４から経路Ｐ４３を経由しである
いは状態２から経路Ｐ２３を経由していずれも状態３に
遷移する。

第５図は制御プロセッサ１１の処理手順の説明図である
。制御プロセッサ１１の処理は３つのステージ（ＩＮ、
　ＣＡＬ、　０ＵＴ）からなり、これらを一定周期で実
行している。第１のステージ（ＩＮ）は入力線５を介し
て外部信号を入力する処理、第２のステージ（ＣＡＬ）
は入力されたデータの演算処理、第３のステージ（ＯＵ
Ｔ）はユニット出力線６を介して制御信号を外部に出力
し、制御出力監視線８を介して自己の演算制御ユニット
１の出力値を監視する処理である。これら処理の組をサ
イクルと呼ぶ。

ひとつのサイクルの先頭（第１のステージ）では、第１
．第２の伝送路３，４を介して演算制御ユニット１の同
期合せがなされ、同期がとられると各制御ゾ日セッサ１
１は同時に外部信号を入力する。入力されたデータは第
２の伝送路４を介して他の演算制御ユニット１に送られ
、第１回目のデータ照合がなされる。そして、いずれの
データも一致しているときは自己の演算制釧１ユニット
１の出力を、また２つの演算制御ユニット１からのデー
タのみが一致しているときはその一致したデータをそれ
ぞれ採用し、第２のステージへ進む。

第２のステージＬＣＡＬ）では、与えられたデータにも
とづく演算な実行すると同時に、必要に応じて第２回目
のデータ照合を行なう。

第３のステージ（ＯＵＴ）では、演算結果と第２の伝送
路４な介して与えられるデータとについて３回目のデー
タ照合を行ない、多数決側のデータをユニット出力リレ
ー１２を介して多数決論理回路２に送る。ここで再び多
数決がとられ、その出方は制御出力監視線８を介してユ
ニット出方リレー１２に出力したデータと比較される。

その結果、互いにデータが一致していれば、自己の演算
制御具ニット１のすべての機能と制御出方線７とが正常
であることがわかり、一致しなければいずれかに障害が
あることがわかる。しかし、多数決論理回路２では各演
算制御ｗニット１０出方の多数決がとられるので、同時
に２ケ所で障害が発生していない限り、外部機器に対し
ては正しい信号な邑カすることになる。第３のステージ
の最後では、第１のステージの最初からの一連の処理に
おいて検出した障害の情報が、第２の伝送路４を介して
他の演算制御ユニット１に通知される。

雑音などによる過渡的な障害の検出能力を高めるため、
制御プロセッサの処理時間に余裕があるときは、次の処
理を加えることができる。

■　前記第１ステージ、第２ステージ、第３ステージの
処理を２回実行させ、１回目と２回目の実行で得られる
データを照合する。

■　前記第２ステージの演算の＆を２回実行させ、１回
目と２回目の実行で得られるデータを照合する。

■　第２ステージの最後に、点検データに基づく演算な
行ないこの結果とあらかじめ記憶されている期待値を照
合する。

■　１サイクル以上手前に実行した結果と、現在のサイ
クルで実行した結果を照合し、変化率があらかじめ定め
られて闇値以下であることを横置する。

このような処理により障害を検出したならそのサイクル
の処理は無効としてユニット出力リレー１３へは出力し
ない。あらかじめ定められた回数これらの処理により障
害を検出したなら、ユニット出力リレー１２の動作を停
止し、第４図で示した状態６へ追啓する。

診断プロセッサ１０は制御プロセッサ１１と同一のサイ
クルで動作し、第１のステージの先頭と第３のステージ
の末尾で診断プロセッサ状態線ｎ％側御プロセッサ状態
線おを介して監視情報の受渡しがなされる。なお、これ
ら状態線ｎ、２３のそれぞれ一本の信号線には又番信号
が流されているが、障害が発生したときは交番信号の出
力は停止される。この又番信号は第２図の７工イルセー
フＯＲ回路１３を介してユニット出力リレー１２に送ら
れ、この動作を制御する。交番信号が停止されたときは
、ユニット出力リレー１２は安全側に同定される。

制御プロセッサ状態線路を介した監視項目には、次の２
つがある。

■　１ｌｉｌＪ　御１　ｏセッサ１１自身が判断する自
己のプロセッサ状態と他ユニットの状態。

■　制御プロセッサｌｌ上で実行するプログラムの実行
順序。

上記の監視項目のとじては先に述べた制御プロセッサ１
１の内部データの照合不一致、自己診断プログラム実行
による誤り検出、他ユニットのオンライン／オフライン
識別データなどが今る。他ユニットのオンライン／オフ
ライン識別データについては、同一の情報を第１の伝送
路３を介して診断プロセッサ１０が受取っているから、
これらの照合なとって制御プロセッサ１１が正しく実行
しているか横置する。

上記の監視項目■としては、制御プロセッサＬ１が１サ
イクルの間に正しい順序でプログラムを実行しているか
の監視等がある。

制御プロセッサ１１が実行するプログラムは、タスク単
位あるいはプログラムのモジュール単位ニ固有の番号Ｉ
Ｄｔ！ｒ：もっている。これらが実行されると、それぞ
れのＩＤを制御プロセッサ状態線路な介して診断プロセ
ッサＩＯへ送る。診断プロセッサ【０は、このＩＤをも
れなく取込むためにＦＩＦＯ（Ｆｉｒｓｔ　Ｉｎ　Ｆｉ
ｒｓｔ　０ｕｔ）バッファを備えておくのが適当である
。診断プロセッサ１１内部のメモリにはＩＤの順序な表
わしたテーブルを記憶してあり、制御プロセッサ１１か
らＩＤが送られてくる毎に。

このテーブルの内容と比較し、シーケンスに乱れ、ある
いは登録されていないＩＤでないかを横置する。

次に、添付図面の第６図乃至第９図を参照して本発明の
他の実施例を説明する。第６図は他の実施例の基本構成
を示すブロック図である。演算制御ユニツ）　ｌａ　、
　ｌｂ　、　ｌｃ間で受渡す情報を多くできるように、
第１の伝送路３１を７リアル伝送によるパスとし、第２
の伝送路４１をノソラレル伝送によるパスとする。

第７図は第６図の演算制御具ニツ）ｌの内部構造を示す
ブロック図である。制御プロセッサ１１かう出ているノ
ぞラレルバス加は２つのノＲラレルパススイッチ１６ａ
　、　１６ｂに接続されている。装置が３つの演算制御
ユニット１により動作しているときは、（２スイツチ）
×（３ユニツト）＝（６スイツチ）のうち、２つのノＲ
ラレルパススイッチ１６ａ　。

１６ｂのみオフ状態、他の４つのノｅラレルパススイッ
チ１６　ａ　＊　１６　ｂはオン状態にあり、装置全体
としては見掛は上・ぞラレル・々スかが１本の信号線と
なっている。装置が２つの演算制御ユニット１により動
作しているときは、（２スイツチ）×（２ユニツト）＝
（４スイツチ）のうち、２つのノぞラレルパススイッチ
１６ａ　、　１６ｂがオフ状態、他のバラレルノ々スス
イッチ１５ａ　、　１６ｂがオン状態になる。

これう／Ｊ？ラレルパススイッチ１６ａ　、　１６ｂを
監視制御しているのがノぞラレルノ々ス状態線あ、Ａラ
レルパススイッチ制御線ｎである。第２の伝送路４１、
演算制御ユニット１に障害が発生したときは、これら信
号線を介してパラレルパススイッチ１６ａ。

１６ｂ（７）オン、オフ状態を切換える。

第８図は第６図の制御プロセッサ１１の内部構造を示す
ブロック図である。第３図の伝送コントローラ１１５　
、１１６に代えてセレクタ１１９．コモンメモリ１２０
を設けた他は、先の実施例と同一である。

ここで、コモンメモリ１２０は、第２の伝送路４１を介
して受渡される同期タイミング、照合データ。

各種状態データを一時的に記憶するためのものである。

プロセッサ１１０は同期タイミング、照合データ、状態
データを内部パス１１７を介して、コモンメモリ１２０
のあらかじめ定めた領域に誓き込むと同時に、セレクタ
１１９．　ノｚラレルパスか、パラレルパススイッチｉ
６ａ　、　１６ｂおよび第２の伝送路４１を介して他の
すべての演算制御ユニット１に送る。そして、このデー
タを受け取った演算制御ユニット１では、コモンメモリ
１２０のあらかじめ定めた領域に書き込みされる。

第９図は演算制御ユニット１が３つの場合（それぞれｌ
ａ　、　ｌｂ　、　ｌｃとする〕の演算制御ユニットｌ
ａ中のコそンメモリ１２０のメモリマツプである。

演算制御ユニツ）ｌａは前記３種類のデータを領域Ａに
書き込む。領域Ｂ、Ｃには、それぞれ第２の伝送路４１
を介して演算制御ユニツ）　ｌｂ　ｓ　ＩＧのデータが
書き込まれる。こうして、プロセッサ１１０はコモンメ
モリ１２０の３つの領域のデータ照合、同期合せなどの
処理を行なう。

〔発明の効果〕

上記の如く本発明によれば１機能分散した２つのプロセ
ッサ（制御プロセッサ、診断プロセッサ）でひとつの演
算制御ユニットを形成し、これを複数組合せてｎ重系シ
ステムとし、複数のユニット間でソフトウェアによりデ
ータの照合、同期等を行なうようにしたので、特殊なハ
ードウェアをなくして装置規模を小さくした高信頼度の
計算機な得ることができる。また、演算制御ユニットの
数に依存する機器は第１．第２の伝送路に関するものの
みとしたので、柔軟性に富み機能の拡張の容易な計算機
を得ることができる。

【図面の簡単な説明】

第１図は本発明の一実施例の基本構成のブロック図、第
２図は第１図の演算制御ユニットの内部構造を示すブロ
ック図、第３図は第２図の制御プｏ−にツサの内部構造
を示すブロック図、第４図は第４図乃至第３図の実施例
の動作を説明する状態遷移図、第５図は第３図の制御プ
ロセッサの処理子ＩＩの説明図、第６図は本発明の他の
実施例の基本構成を示すブロック図、第７図は第６図の
演算制御ユニットの内部構成を示すブロック図、第８図
は第７図の制御プロセッサの内部構造を示すブロック図
、第９図はコモンメモリのメモリマツプである。３．３１・・・第１の伝送路、４．４１・・・第２の伝
送路。訃・・入力線、６・・・ユニット出力線％７・・・制御
出力線、８・・・制御出力監視線％１３　、１４　、１
５・・・７エイルセー　７０　Ｒ回ＦＭ’ｒ、　１６ａ
　、　１６ｂ・・・ノクラレルパススイッチ％ｍ・・り
ぐラレルパス、２１・・・制御プロセッサ出力線、ｎ・
・・診断プロセッサ状態線、２３・・・制御プロセッサ
状態線、潤・・・ユニット出力リレー制御線。 δ・・・ユニット出力リレー状ＭＬ２６・・・・ぞラレ
ルパス状態線％ｎ・・・パラレルパススイッチ制御線。毘１図ｃｄ）第１区（ｂ）帛２図帛３図ｔＨｔｒｒ　ｏｚＬ２

Claims

【特許請求の範囲】１、互いに機能が異なる第１．第２のプロセッサを有す
る複数の演算制御ユニットと、異なる前記演算制御ユニットの第１のプロセッサ同士の
間で監視情報を相互に伝送する第１の伝送路と、異なる前記演算制御ユニットの第２のプロセッサ同士の
間で監視情報を相互に伝送する第２の伝送路と。前記演算制御ユニットが生成するデータな相互に比較、
照合し、正常な演算制御ユニットの出力を外部に出力す
る多数決論理回路とを備え、同一の前記演算制御ユニッ
ト内で前記第１、第２のプロセッサを相互監視させると
共に異なる前記演算制御ユニット間においても相互監視
させるようにしたことを特徴とする計算機。２、第１のプロセッサは、自己診断の結果と、自己の演
算制御ユニットの第２のプロセッサが出力する状態４８
号もしくは該第１のプロセッサからの指示により該第２
のプロセッサが動作して応答する信号を監視することに
より得られる第１の１Ｎ報とを、第１の伝送路を介して
他の演算制御ユニットの第１のプロセッサに伝送すると
共に、該他の演算制御ユニットから伝送された第１の情
報を監視することにより得られる情報を前記自己の演算
制御ユニットの第２のプロセッサに通知する特許請求の
範囲第１項記載の計算機。３、第２のゾロセッサは、自己診断の結果と、自己の演
１４　ｆｆｔｌＪ御ユニットの第１のプロセッサが出力
する信号を監視することにより得られる第２の情報、そ
れぞれの演算制御ユニット内で照合すべき第３の情報も
しくは照合した結果の第４の情報とを、第２の伝送路を
介して他の演算制御ユニットの第２のプロセッサに伝送
すると共に、該他の演算制御ユニットから伝送された前
記第２、第３および第４の情報を監視することにより得
られる情報を帥記自己の演算制御ユニットの第１のプロ
セッサに通知する特許請求の範囲第１項または第２項記
載の計算機。