JPS63113701A - 制御用デジタルコンピュータにおける独立したバックアップモードへの切換方法及び機構 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 産業上の利用分野 本発明は制御用デジタルコンピュータにおける切換方法
及び機構に係り、特に主プログラムメモリとバックアッ
ププログラムメモリとの間でのプログラムメモリの切換
方法及び切換機構に関する。

従来の技術 近年デジタルマイクロプロセッサの能力が増大した結果
例えば航空機用途の高性能制御用冗長デジタルコンピュ
ータシステムが実現されている。

これらの強力で信頼性の高いシステムは複雑な演口及び
制ｉ１１機能を実行するばかりでなくハードウェアの故
障が発生しても高い信頼性をもって故障したシステム要
素を検出し、隔離し、さらに再構成することができる。

しかし、システム中で使われるラフ１〜ウエアがまずま
ず複雑になってくるにつれ、ソフトウェアに関する信頼
性及びソフトウェア故障に対する許容性についての要求
が厳しくなっている。特に、いわゆるジェネリックなソ
フトウェア故障ないし誤りに対する保護についで強い要
求が存在する。全ヂャンネルで同一のソフトウェアを使
用する冗長デジタルシステムはこの種の誤りに対し特に
脆弱である。これは全てのチャンネルが予測されない同
じ誤動作を行なった場合に発生し、その結果、システム
全体が故障してしまう。従って、デジタル制御システム
をジェネリックソフトウェア故障から保護する技術に対
する根本的な需要が存在する。

ジェネリックソフトウェア故障に対する保護機構として
は様々のものがある。例えば主デジタルシステムのバッ
クアップとしてアナログコンピュータが使われることが
ある。またジェネリックソフトウェア故障が検出された
場合にスイッチオンされる「本来的に」異なったソフト
ウェアを使用する方法もある。この場合は別のソフトウ
ェアパッケージが装置の制御を維持するのに使われる。

この方法は極めて費用的に有効であるが、これはこの別
のソフトウェアがプログラムメモリを除いて同一のチ↑
ｌンネルハードウエアを共用するからである。

バックアップメモリ中に貯えられている別のソフトウェ
アは切換機構によって接続されたり切離されたりする。

明らかに、共通モードのソフトウェア故障が存在する場
合におけるシステム全体の信頼性はこの切換機構の信頼
性及び誤り許容性にかかつている。従って、ジェネリッ
クソフトウェア故障に対する保護の問題はデジタルコン
ピュータ用の信頼性の高い、独立した、誤り許容性を右
するバックアップモード切換１ｍ　１７６を実現する問
題と密接に関連している。

発明が解決しようとする問題点 本発明の目的は主プログラムメモリからバックアッププ
ログラムメモリへのチャンネルのソフトウェアとは独立
した切換機構を提供するにある。

換言すれば、切換動作はソフトウェア制御から独立した
ハードウェア機構によってなされねばならない。

本発明の他の目的は全チャンネルをバックアップモード
にほぼ同時に切換えまたその逆を行なう切換方法及び機
構を提供するにある。この切換は共通モードのハードウ
ェア故障が生じる可能性があるため中央転送コントロー
ラによって行なうことはできない。

本発明の別の目的は滑らかで過渡性の誤りのない切換機
構及び方法、すなわち主メモリとバックアップメモリと
の間での切換の際過渡性の誤りや不完全なルーチンある
いは明らかな誤り等、切換動作の結梁システムが失われ
てしまうような故障を生じない切換機構及び方法を提供
するにある。

本発明の他の目的はチャンネルサブセットにおいて電力
供給が停止した場合にも不確定な動作をすることがない
、冗長システムの切ＩＩＪ！ｎ構及び方法を提供するに
ある。換言すれば、本発明によれば、切換動作は−Ｂ開
始されてしまうと制御システム全体において永久的に続
き（ＶＨ除されるまでは）、ザブセットチャンネルにお
いてその後停電などの過渡性の事故が生じても影響され
ない。

本発明の他の目的はいわゆるジェネリックソフトウェア
故障が検出された場合及び／又は利用者による直接の要
求がなされた場合に応答動作する切換機構及び方法を提
供するにある。

問題点を解決するための手段 要約すると、本発明ではバックアップソフトウェアへの
切換要求が検出されるとこれに応じてノンマスカブル割
込み入力信号がプロセッサに供給される。その際プロセ
ッサは現に実行中のマシンサイクルが終了した後で切換
機構に切換信号を出力する。切換機構によるバックアッ
プソフトウェアへの切換は切換信号が供給されてからで
なければ開始されない。

本発明による切換方法及び機構では過半数のチャンネル
がジェネリックソフトウェア故障を検出した場合に（切
断要求の発生、利用者の要求、あるいはその他の機構に
よって）全チャンネルのブロセツυにノンマスカブル割
込み信号が送られ；これに応じて各プロセッサがそれぞ
れ割込み信号を受取った時点で実行中のマシンサイクル
を終えた後純粋なハードウェア駆動信号である確認応答
信号を発し、この確認応答信号によってプロセッサのプ
ログラムメモリが主プログラムメモリからバックアップ
プログラムメモリに切換えられる。

本発明ではまた切換方法及び機構が「システム」の状態
を記憶し、各チャンネルで給電の回復後各チャンネルが
このシステムの状態に戻される。このため本発明方法及
び機構ではシステムによる制御を失う（切１１１１ｉ）
ことなくまた過渡的効果を生じることなく切換えを行な
うことが可能になる。

本発明による方法及び機構は主プログラムメモリに対し
てシャドウあるいはバックアップメモリを設ける技術を
使用する。このシャドウないしバックアップメモリ中に
収められたプログラムは主メモリ中のプログラムとは同
一でなく主ソフトウェア中のジェネリックソフトウェア
故障に対する保護を与える。本発明の鍵となる要素はソ
フトウェアによりディスエーブル化することができない
ノンマスカブルＡｌｌ込みを使用する点である。切換え
は滑らかに過渡的効果を生じることなく実行される。シ
ステムはいったんバックアップモードに切換えられると
操作者すなわちパイロットがバックアップシステムを解
除して主モードに過渡的効果を生じることなく戻すまで
はこの状態に留まる。

本発明の他の目的、特徴及び利点は図示の最も好ましい
実施例に関する詳ｍな説明より明らかとなろう。

実施例 第１図は信頼性を向上させるため複数の冗長チャンネル
を備えた冗長チャンネルデジタルコンピュータ制御シス
テム１０を示す。

各チャンネルは一般的に３つの主要部分、すなわち入／
出力（Ｉｌｏ＞ポート１２．１１０インターフエース１
４．及び典型的にはマイクロプロセッサであるプロセッ
サ１６より構成される。各チャンネルのプロセッサ１６
は通常はデータ、制御及びアドレスライン２０．２２を
介して主メモリスペース１８をインターフェースする。

本発明による方法及びＲｍではバックアップ制御システ
ム（ＢＵＣ８）切換Ｉａ横がアドレス及びデータライン
２０とデータ及びアドレスライン２２との間に動作的に
挿入され、主プログラムメモリ中におけるジェネリック
ソフトウェア故障の発生の如きいくつかの状態が生じる
と主メモリ１８中のプログラムをバックアップメモリ２
４中のプログラムによりδ検する。バックアップモード
においてはアドレス及びデータライン２６及びデータ及
びアドレスライン２２がアドレス及びデータライン２０
．２２のかわりに使われる。すなわちＢＵＣ８切換機構
２６は第１図の各チャンネル内に設けられた転送を実行
する機能を有する手段である。

各チャンネルはノンマスカブル割込み発生装置（コント
ローラ）２８が設けられＢＵＣ８切換膿構２６とプロセ
ッサ１６との間でライン３０上に様々な信号を供給しま
た供給される。

第２図はライン３２上の様々な優先的割込み信号に応じ
てプロセッサ１６に様々な割込み信号を供給するチャン
ネル割込みコントローラ２８を示す。これらの割込み信
号にはライン３５上にジェネリックソフトウェア故障検
出／指示器３５ａから出力される信号に応じてライン３
４上に形成されるノンマスカブル割込み要求信号が含ま
れる。

検出／指示器３５ａはＢＵＣ８切換機構２６の一部をな
す。ライン３５上の信号はジェネリックソフトウェア故
障が検出された場合あるいは要求があった場合にライン
３５ｂ上の要求信号に応じて送られる。ライン３５ｃに
は様々なチャンネル故障（明所）信号が供給されこれら
の信号はそれぞれ対応するチャンネルの状態を示す。ラ
イン３４上の信号は様々な状態のうちでも特に例えばジ
ェネリックソフトウェア故障が検出された場合にプロセ
ッサ１６に送られる。

プロセッサ１６はマシンサイクルが動的に変化できるも
のであるのが典型的で、マシンサイクルは例えば１クロ
ック周期から１０クロック周期まで変化できる。かかる
一連のマシンサイクルの例を第３（ａ）図に示す。図示
の例では第３（ｂ）図の波形３６で示すＮＭＩ（ノンマ
スカブル割込み）要求信号がプロセッサに送られる。プ
ロッセッサ１６が割込みコントローラ２８に直ちに確認
応答信号を返送した場合はプロセッサが何らかの重要な
タスク、例えば第３（ａ）図のマシンサイクル信号よっ
て概略的に示すメモリの７ドレツシング等を行なってい
る最中に割込みがなされたことを意味する。本発明によ
りＢＵＣ３切換礪構２６が正しく動作するためには確認
応答信号がプロセッサ１６が通常の読出し／書込み動作
を妨げられないような時にのみ送られるようにすること
が必須である。第３（Ｃ）図はプ［１セツザ１６が確実
に先のマシンサイクル３８を終了している特別な時４１
にのみ発生する第２図のライン４２上の確認応答信号に
対応する確認応答信号波形４０を示す。こうすることに
よりプロセッサの通常の読出し／書込み動作に対する干
渉が回避される。

第３（ｄ）図はＮＭＩ　　ＡＣＫマシンリイクル４１に
おいてバックアップメモリへの切換がなされることを示
す。すなわち以後のマシンサイクル４１ａではバックア
ップメモリがアクセスされる。

状態変化点４１ｂはプロセッサが主メモリをアクセスす
る状態からバックアップメモリをアクセスする状態へ移
行する境界点をあらわす。実際の切換えはライン４２上
のＩＪＪａ応答信号により開始される。確認応答信号は
通常は状態ラッチ・４２ａに入力され、一方この状態ラ
ッチ４２はライン４２ｂを介してリンク４４に切換信号
を出力し、この切換信号に応じてリンク４４の位置が破
線４６で示した位置に切換えられる。

第２図では５ｕｃｓ切換機構２６は本発明の理解を助け
るため機能的にしか示されていない。第２図に示す機構
は単純な単極双投スイッチと同じ機能を実行し、ブレー
ク　ビフォア　メイクあるいはメイク　ビフォア　ブレ
ーク動作あるいはそれらの中間的な動作を行なう。償構
２６の機能は勿論ソフトウェアによる介入なしにライン
４２上の確認応答信号に応じてプロセッサ゛のアドレス
／データライン２２の接続を主メモリに至るライン２０
からバックアップメモリに至るライン２６ａに切換える
ことにある。これは「リンク」４４の位置を第２図に示
した９匿から先に説明したように同じＩ［２６内の破線
で示した第２の位置４６に切換えることによってなされ
る。勿論、以上の説明は機能的な説明であってこれを実
行する実際の手段の正確な説明を意図するものではない
。実際の回路においては第２図の機構２６の改能は適当
な時に異なったメモリを選択するプロセツザヂップによ
って実行される。すなわち、第２図はＢＵＣ８切換機構
の機能をわかりやすく示すための図にすぎないことを理
解すべきである。

第４図はＢＵＣ８Ｖ′Ｊ換別構２６を示す図であり機構
２６への入力信号及び出力信号、またＢＵＣ８切換機構
のプロセッサに対するインターフェース動作をわかりや
すく示す。

例えばパイロット等が５ｕｃｓ切換様横２６をイネーブ
ルしたい場合、スイッチを操作することによりライン４
８上に５ｕｃｓアーミング（イネーブル）信号が供給さ
れる。この信号が供給されない限り主メモリとバックア
ップメモリとの間の切換えは決して生じない。

また、パイロットがジェネリックソフトウェア故障の検
出に無関係に切換えを行ないたい場合はライン５０上に
ＢＵＣＳエンゲージ信号を形成する。この信号はパイロ
ットが希望した場合、あるいはジェネリックソフトウェ
ア故障の存在を感じた場合に１動でＢＵＣ８切換機構２
６を作動させるためのものである。

またＢＵＣ３切換機構２６は４系統ヂ１７ンネルシステ
ムの場合４つのチャンネルの給電状態信号５２にも応答
して動作する。この給電状態信号５２の各々は４系統チ
ヤンネルシステムの４本の冗長チャンネルの一の給電状
態をそれぞれあられす。

切換機構２６は給電が回復されると主動作モードでのチ
ャンネル動作を開始できるように設計されている。、４
本のライン５２のうちの−は以下説明する４本のＰＯＲ
状態信号ライン７０の−に接続される。その際ライン７
０上の状態信号の−が信号ライン５２の−を介してＢＬ
ＪＣ８切換機構へ帰還される。図中の信号ライン７０と
信号ライン５２との間の切れ目はＰＯＲ状態信号の入力
側への帰還が迂回した経路を辿ってなされてもよいこと
をあられし、この場合チャンネル外の経路や信号調整手
段をざらに間に挿入してもよい。

またＢＬＪＣ８切換機構２６は各々４系統システム中の
４本のチャンネルのうち自身のチャンネルをも含む一の
チャンネルの切断状態をあらわすライン５４上の４つの
切断状態信号よりなる信号群に応じても動作する。ここ
で、チャンネルが主モードで動作している際に過半数の
チャンネルが切断されていると判断されるとＢＵＣＳモ
ードへの転送が生じる。

ＢｔＪＣ３切換礪横２６はまた各々４系統システムのチ
ャンネルの一のモード状態を示すライン５６上の４つの
信号よりなる信号群に対しても応答動作する。ライン５
２上の信号に基いて過半数の動作中のチャンネルがＢＵ
ＣＳモードで動作していると判定された場合は主メモリ
モードのまま動作し続けている個々のチャンネルがＢ　
ＬＪ　ＣＳモードに切換えられる。またーのモード状ｆ
ｇ信号が先にライン５２について説明したのと同じよう
にしてＢＵＣ８切換機構の出力側より出力されるのがわ
かる。その際に説明した内容はこの場合にもあてはまる
。

入力ライン５／ｌにおいてはライン５２及び５６の場合
のような複数の出力信号のうちの−が入力ライン上に複
数の入力信号の−として戻されることがない。しかし、
ＢＵＣ８ＩＩ７Ｊ換機構２６にこれらの信号を生じる必
要な回路を含ませてもよい。

第４図の実施例ではこれらの回路は他の部分（図示せず
）に形成されている。換言すれば、ライン７０及び７２
上に（ｉｆ号を出力する回路は第４図のＢＵＣ８切換例
横２６では機構２６内に含まれるように丞されているが
、この回路は信号５４の源を示していない第４図の場合
と同じく図示しない伯の部分に設けてもよい。これらの
要素はＢＵＣＳ切換機構の内側にでも外側にでも自在に
移すことができ、本発明の必須の要件ではない。

ＢＵＣ８切換機構２６はまたチャンネルへの給電が開始
され主動作モードで動作が開始されることを示すライン
５８上のパワーオンリセット（ＰＯＲ）信号にも応答し
て動作する。これによりＢＵＣ８切換機構２６はＰＯＲ
信号が供給された直後は必ず主メモリ１８を使用するよ
うになる。

ブロセツ９１６はライン６２を介して切換機構にＣＰＵ
コマンド転送信号を供給する。ライン６２上の信号の目
的は試験のためＣＰＵにより制御された切換を実行する
と共にソフトウェア制御される独立した切換手段を提供
することにある。

ライン６４上の切断検出イネーブル信号はシステムのＰ
ｏＲの後ＢＵＣ８への移行をディスマーブル化してシス
テムが主モードで動作することを可能にする。ライン６
５上の信号は第２回目の切断解除を可能にする。

ライン６６上のノンマスカブル割込み要求信号がＢＵＣ
８切換機構からプロセラ４ノに供給される。

この信号の作用は第２図のライン３４上の信号の作用と
似ているが、後右が第２図の割込みコントローラ２８か
ら供給されるのに対し前者は第４図の５ｕｃｓ切換態構
自体から出力される点が異なる。機能的には両者に差は
ない。プロセッサ１６はライン６８上に確認応答信号を
メエリの読出し／書込み動作が妨げられない適当な瞬間
に出力する。

ライン７０上の４つのＰＯＲ状態信号よりなる信号群は
一のチャンネルのＰＯＲ状態を伯の各チャンネルに伝え
るためのもので、このため一のチャンネルの信号がその
チャンネルも含めて（ライン５６上の信号）他の各々の
チャンネルに供給される。

ライン７２上の４つのチャンネルモード状態信号よりな
る信号群は各々それらを形成した特定のＢＬＪＣ３切換
礪構と協働するチャンネルのモード状態をあられし、こ
れらの信号はシステム中の全チャンネルに供給される（
これらの−がライン５６上に出力される。） ライン７４上のＢＵＣＳエンゲージ状態点灯信号はその
時々でバックアップメモリが使われているか否かを示す
指示灯を点灯させるだめの信号である。

ライン７６上のＢＵＣＳアーミング状態点灯信号はパイ
ロットが５ｕｃｓをアーミング状態にしたか否かを表示
する指示灯を点灯させるためのものである。

ライン７８上の切断解除アーミング用うッヂ信号は切断
されたチャンネルの能力を回復し、出力の切断を解除し
、新たなモードの動作を再開するために切断解除機構（
図示せず）を再アーミングするためのものである。モー
ド状態信号はライン７９上に出力されてプロセッサに供
給される。この信号は２つのチップ選択信号のうらどち
らが作用しているかを決める。どちらのチップ選択信号
が作用しているかに応じて主メモリ１８又はバックアッ
プメモリ２４の−が選択される。換言すれば、ライン７
９上の信号は５ｕｃｓ切換機構２６からの究極的な出力
信号であると化えることができる。

第５図はＢＬＪＣ８切換機構の一実施例の内部を示す図
である。第５図に示す実施例はハードウェアにより実現
されているが、これは例えば第６図に示すフローチャー
トの動作を実行するブロセツυ及びプログラムメモリを
使用して実現することもできる。ただし、かかるプログ
ラムは主及びバックアップモードに対して独立である必
要がある。

すなわち、この場合のソフトウェアは主モードであれバ
ックアップモードであれ処理機能あるいは　□メモリ機
能を共有することができない。この即由で５ｕｃｓはハ
ードウェアにより実現した方がより信頼性に富み又費用
的にも支くなる。従って第６図のフローチャートは主と
して本発明機構により実行される論即ステップをわかり
やすく図示することを主な目的とする図にすぎない。

第５図は第４図中の入力信号及び出力信号の全てを示す
。ライン４８上のＢＵＣＳアーミング信号はこの信号の
レベルをライン８２上の条件的バックアップアーミング
信号及びライン５８上のＰＯＲ信号に応答動作するＯＲ
ゲート８４に適合したレベルに調整するバックアップア
ーミング調整回路８０に供給される。これら２つの非同
期信号のいずれか一方が存在する場合、ＯＲゲート８４
はライン８６にＤ形フリ之ブ７０ツブのＲ８入力端子に
供給される信号を出力する。ただし、このＤ形フリップ
フロップでは非同期入力信号が同期入力信号よりも優先
される。このフリップフロップのＱ出力端子の出力信号
レベルはライン９ｏ上にハイレベル入力信号が加えられ
た場合（ライン９２上のクロック信号に引続いて）ハイ
になるがライン８６上にハイレベル信号が現われるとオ
ーバーライドされてローになる。これがＢｔＪＣ８ｔｔ
ｌ構がアーミングされていない場合あるいはＰＯＲが存
在する場合にノンマスカブル割込み信号が形成する方法
である。

チャンネル切断検出多数決回路９４は４系統システム中
の４つの、信号５４のうち過半数すなわち３以上が切断
状態を示した場合ライン９５上のクロック信号及び前記
複数のチャンネル切断状態信号５４に応じてＡＮＤゲー
ト９８に供給される信号をライン９６上に出力する。Ａ
ＮＤゲート９８にはまた第４図のブロセッリ１６からラ
イン６４を介して切断検出イネーブル信号が供給される
。

ＡＮＤゲート９８がＯＲゲート１０２にライン１００を
介して出力信号を出力するためにはライン９６とライン
６４の両方に信号が印加される必要がある。

第４図のライン５６上の複数の信号は多数決回路１０４
に供給され、回路１０４は３以上のチャンネルモード状
態信号がすなわち４系統ヂヤンネルシステム中の過半数
のチャンネルが５ｕｃｓモードである場合にＯＲゲート
１０２にライン１０６を介して出力信号を出力する。こ
の場合、以下より訂細に説明するように問題のチャンネ
ルもまたＢＵＣ８１１−−ドになることが要求され、こ
の目的のためにＯＲゲート１０２にライン１０６を介し
て信号が出力される。

ライン５０上の５ｕｃｓ工ンゲージ信号はパイロットが
操縦席でスイッチ１０８を操作することにより供給され
る。パイロット要求信号調整回路１１０はライン５０上
のエンゲージ信号に応じてＯＲゲート１０２に適合され
た調整済出力信号をライン１１０に出力する。すなわち
回路１１０は例えば直流にボルトの電圧をＴＴＬに適合
した直流５ボルトの電圧まで減少させる。

ＯＲゲート１０２はまたライン６２上のＣＰＵにより形
成された切換コマンド信尼にも応答動作する。この信号
は先に説明した如きジェネリックソフトウェア故障が発
生した場合にチャンネルをシステムに接合させるあるい
は無条件に転送をおこなうための経路を可能にする。

Ｄ形フリップフロップ８８は、過半数のチャンネルが切
断状態にある場合、過半数のチャンネルがＢＵＣ８状因
にある場合、パイロットが要求した場合、あるいはＣＰ
Ｕより切換コマンドが出された場合に第４図のプロセッ
サ１６にライン６６を介してノンマスカブル割込み信号
を供給する。

勿論、これらの状態によりバックアップメモリへの切換
が実際に実行されるに先立ってＲ３入力の制御によりバ
ックアップシステムがあらがじめアーミング（イネーブ
ル）されている必要がある。

ライン６６上のノンマスカブル割込み信号がプロセッサ
に送られるとプロセッサはライン６８にＮＭＩ確認相当
信号を出力しこのＮＭＩ確認応答信号はＮＭＩ信号自体
と共にＡＮＤゲート１１４に送られる。このＡＮＤゲー
ト１１４はＮＭＩ信号及びＮＭＩ確認応答信号が共に存
在する場合に限り出力信号をライン１１６を介して別の
Ｄ形フリップフロップ１１８に供給する。これにより、
バックアップメモリが選択されるよりもｉ’ｆｆｆにプ
ロセッサがその動作を終了していることが保翻される。

Ｄ形フリップフロップ１１８はう１′ン１２０を介して
出力信号を信号バッファモジュール１２２へ供給する。

この信号バッファモジュール１２２はライン８２上のバ
ックアップアーミング信号、　　　。

ライン５８上のＰｏｔ≧信号、ライン１１２上のパイロ
ット要求信号、及びライン６５」一の第２の切断解除試
行信号等を含む多数の信号に対しても応答動作する。

信号バッファモジュール１２２はライン７８上に切断解
除アーミングラッチ信号を、ライン７６上にＢＵＣＳア
ーミング状態表示灯信号を、ライン７４上にＢＵＣＳエ
ンゲージ状態表示灯信号を、ライン７２上にチャンネル
モード状態信号を、ライン７０上にＰＯＲ状態信号を、
そしてライン７９上に最も重要なチップ選択切換信号を
夫々出力する。

第４図のＢＵＣ８切換機構は第５図では特に一のハード
ウェアによって実現された側を示しであるがこれを第５
図のハードウェアと類似した他のハードウェアによって
構成することも可能である。

この場合様々なゲートアレー及び個々の部品を使用して
もよい。また切換機構２６を第６図に示した命令の紺を
実行する別のマイクロプロセッサによって実現してもよ
い。ただし、このマイクロプロセッサはメモリスペース
１８及び２４中の主及びバックアップソフトウェアプロ
グラムを共用してはならない。

すなわら、第４図の５ｕｃｓ切換様構２６は実際にはＣ
Ｐ　ｔＪと、第６図のプログラムステップを永久的にメ
モリ中に保持するＲＯＭと、ＲＡＭと、データバスと、
制御バスと、アドレスバスと、その他必要な部分とを内
部に含むプロセッサによって構成してもよい。

第６図の７０−ヂャートはステップ１３０で開始され、
次いでステップ１３２でその切換機構が形成されている
特定のチャンネルが給電されているか否かが判定される
。否である場合、ステップ１３２がこの切換制御される
チャンネルが給電されるようになるまでくりかえされる
。チャンネルが給電されていると判定されると次にステ
ップ１３４でチャンネル動作が主動作モードで開始され
る。換言すれば、ステップ１３４ではバックアップメモ
リ２４でなく主メモリ１８が使用される。

次いでステップ１３６が実行されＢｔＪＣ８がアーミン
グされているか否かが判、定される。否であればＦ３Ｕ
Ｃ３が実際にアーミングされるまでステップ１３６がく
りかえされる。５ｕｃｓがアーミングされていると判定
されるとステップ１３８が次に実行されパイロットによ
ってＢＵＣ８切換要求がなされたか否か、すなわち第５
図のライン５０上の信号が存在するか否かが判定される
。否であれば次にステップ１４０が実行されて過半数の
チャンネルが切断されているか否か、すなわちライン５
４上の過半数の信号が切断状態をあられしているか否か
が判定される。否であれば次いでステップ１４２が実行
されてＣＰＵがＢＵＣ８切換要求を行なったか否か、す
なわち第４図及び第５図においてライン６２上に信号が
存在するか否かが判定される。否であればステップ１４
４が次に実行され給電中のチャンネルの過半数がＢＵＣ
８状懇にあるか否かが判定される。否であればステップ
１４６が次いで実行されＢＵＣＳモードがなおもアーミ
ングされているか否かが判定される。

ＢＵＣＳモードが引続きアーミングされた状態にあるな
らばステップ１３８，１４０，１４２゜１４４のいずれ
かのステップでＢＵＣＳモードへの切換えが適当である
と判定されるまでステップ１３８．１４０，１４２及び
１４４がくりかえし実行される。さらに上記各ステプで
ＢＵＣＳモードへ切換ねるべきであると判定されるとス
テップ１４８が実行され、一方ＢＵＣＳモードがちはや
アーミングされていないと判定されるとステップ１５０
が次に実行されてチャンネルが主メモリ１８を使用して
いるかバックアップメモリ２４を使用しているかが判定
される。

ステップ１３８〜１４４のうちの−でＢＵＣＳモードへ
切換わるべきであると判定されるとステップ１４８が実
行されチャンネルが既にＢＵＣＳモードにあるか否かが
判定される。否であればステップ１５２が次に実行され
ＢＵＣＳモードへの切換えがなされチャンネルはＢｔＪ
ＣＳモードで動作を始める。一方ヂヤンネルが既にＢＬ
ＪＣＳモードにある場合はステップ１５２は不要でステ
ップ１５４が直接に実行されそのチャンネルの給電が停
止しているか否かが判定される。給電が停止していれば
次いでステップ１３２が実行されチャンネルへの給電が
再開され主モードでの動作が再開されるのを持つ。一方
チヤンネルの給電が停止していない場合はステップ１４
６が次に実行されＢＵＣ８がなおアーミングされたまま
であるか否かが判定される。

ＢＵＣ８がもはやアーミングされていなければステップ
１５０でチャンネルがなおりＵＣＳモードにあるか否か
が判定される。チャンネルがなおもＢＵＣＳモードにあ
る場合はステップ１５６が次いで実行され、主モードへ
の切換えが実行されてチャンネルの動作が主モードで再
開される。−方ステップ１５０でチャンネルがもはやＢ
ＬＩＣＳモードにないことが判定されるとステップ１５
６を実行することなくステップ１３６への切換えが直ち
になされる。いずれにせよ、ステップ１５０又はステッ
プ１５６の後でステア１３６が実行されＢＵＣＳモード
がアーミングされているか否かが判定される。

このようにしてプログラムは終ることなく実行されＢｔ
ＪＣＳモードへの移行あるいはＢｔＪＣＳモードからの
脱出がなされる。

以上、本発明を最良の実施例について説明したが、本発
明の思想及’ｆｆ要旨内で様々な変形、変更、省略、追
加が可能である。

【図面の簡単な説明】

第１図は本発明が各チャンネルにて実施されている冗長
デジタルコンピュータ制御システムを示す図、第２図は
本発明の思想を機能的に図示した図、第３図は第２図の
切換機能の動作をわかりやすくするためのタイミング図
、第４図は本発明切換機構に協働する様々な入出力信号
を丞す本発明によるＢＬＩＣ８切換機能のバードウＩア
実施例を示す図、第５図は第４図切換機構のハードウェ
ア構成を示す概略的ブロック図、第６図は第４図切換機
構をブロセッ勺で実施した場合にこのブ０セッサが実行
する論理ステップを示す概略的フローヂャートである。 １２・・・Ｉ１０ポート、１４・・・Ｉ１０インターフ
ェース、１６・・・ブロセツザ、１８・・・主メモリ、
２０．２２．２６．２６ａ、３０．３２．３４゜３５．
３５ｂ、３５ｃ、４２．４２ｂ、４８゜５０．５４．５
６．５８，６２．６４〜６６゜７０．７２．７４．７６
．７８．７９．８２゜８６．９０．９２．９５，９６，
１００，１０６゜１１２．１１６．１２０・・・ライン
、２４・・・バックアップメモリ、２８・・・ノンマス
カブル割込みコントローラ、３５ａ・・・ジェネリック
ソフトウェア故障検出／指示器、４０・・・確認応答信
号、４１・・・ＮＭＩＡＣＫマシンサイクル、４１ａ・
・・マシンサイクル、４１ｂ・・・状態変化点、４２ａ
・・・状態ラッチ、４４．４６・・・リンク、５２・・
・給電状ｆ誤信号、８０．１１０−・・調整回路、８４
．１０２・ＯＲ’７’−ト、８８，１１８・・・フリッ
プ７０ツブ、９４゜１０４・・・多数決回路、９８．１
１４・・・ＡＮＤゲート、１０８・・・スイッチ、１２
２・・・バッファモジュール。 特許出願人　ユナイテッド　チクノロシーズＦＩＧ、　
　／

Claims (7)

【特許請求の範囲】
1. （１）切換要求信号に応じてプロセッサに割込み信号を
   供給し； 該割込み信号に応じてかつ該プロセッサが該割込み信号
   を供給された時点で実行中のマシンサイクルが終了した
   後で切換信号を形成し該切換信号によりプロセッサのプ
   ログラムメモリを主プログラムメモリからバックアップ
   プログラムメモリに切換える段階よりなることを特徴と
   する制御用デジタルコンピュータにおける独立したバッ
   クアップモードへの切換方法。
2. （２）割込み信号を切換要求信号に応じてプロセッサ中
   のアンインタラプタブル割込み機能を有する割込みポー
   トに供給する手段と； 該割込み信号に応じてかつ該プロセッサが該割込み信号
   を供給された時点で実行中のマシンサイクルが終了した
   後でプロセッサのプログラムメモリを主プログラムメモ
   リからバックアッププログラムメモリに切換える切換動
   作を開始させる切換信号を供給する手段とよりなること
   を特徴とする制御用デジタルコンピュータにおけるプロ
   グラムメモリの切換装置。
3. （３）多チャンネルシステム中の一のチャンネル中のプ
   ロセッサの動作を主メモリ中に格納された主プログラム
   を使用するモードから別のメモリ中に格納された別のプ
   ログラムを使用するモードに切換えることにより主プロ
   グラムを使用するモードで誤作動が生じた場合に該誤動
   作の発生を示す信号に応じて該別のプログラムを使って
   所望の動作を実行する方法であつて； 一又は複数のチャンネル中において誤動作の発生を示す
   信号の存在を吟味し； 過半数のチャンネルに誤動作の発生を示す該信号が存在
   している場合に割込み信号を形成し；該割込み信号に応
   じてプロセッサに該プロッセッサが現に実行中の動作を
   完了させた後主メモリから別のメモリへの切換えが完了
   するまでの間その他の動作ステップを一時的に中止させ
   ；該プロセッサが該その他の動作ステップを一時的に中
   止するのに応じて確認応答符号を形成し； 該確認応答信号に応じてプロッセッサを主メモリから切
   離し； 該プロセッサを該別のメモリに接続する段階よりなるこ
   とを特徴とする方法。
4. （４）停電の後で給電が再開される際に信号の処理が停
   電前にどのメモリが使われていたかには関係なく所定の
   スタートアップメモリを使用して動作が再開される段階
   をさらに含むことを特徴とする特許請求の範囲第３項記
   載の方法。
5. （５）外部の利用者からの要求信号が供給された場合過
   半数のチャンネルに誤動作をあらわす該信号が生じてい
   なくてもシステム中の複数のチャンネルを主メモリモー
   ドに切換える段階をさらに含むことを特徴とする特許請
   求の範囲第５項記載の方法。
6. （６）該主メモリから該別のメモリへの切換えが一度生
   じた後は過半数のチャンネル中に誤動作が生じているこ
   とを示す信号が対応して過半数形成されてもその都度切
   換信号が形成されるのを阻止する段階をさらに含むこと
   を特徴とする特許請求の範囲第３項記載の方法。
7. （７）切換えはチャンネル中において冗長メモリ切換機
   構によつてなされることを特徴とする特許請求の範囲第
   ３項記載の方法。