JPS63163541A - エラー許容計算システム及び該計算システム内のエラーユニットを認識し、その箇所を検知し、エラーを除去する方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 ［産業上の利用分野１ 本発明は、計算システム内のエラー箇所を認識し、その
箇所を検知し、それを除去する方法及びこの方法を実施
するエラー許容計算システムに関する。

［従来の技術］ 特に、技術的プロセスを自動化するために計算システム
を使用づる場合に、従来のデータ処理装置内での故障が
認識され、安全装置及び／又は処理能力がこの故障によ
っても損われないことが益々要求される。検出された°
エラ二に対する反応には、フェールセーフ状態とエラー
許容状態とに分けられる。いわゆるノンストップシステ
ムの場合、エラー許容状態だけでなく、運転を停止した
り中所したすせずに不完全なユニツｌ〜を除去し非損傷
のユニットを追加したりすることも要求される。

追加されたユニットを有効運転中に再同期調整し、更新
する必要もある。

例えば鉄道用信号技術のような安全技術分野では、フェ
ール・セーフ原理を用いる。この場合、接続されたプロ
セスは、処理能力を考ｌすることなく安全な状態へ移さ
れる。純粋なフェール・セーフ状態を有するこうしたデ
ータ処理装置は、例えば欧州出願第０１５６３８８号及
び同第０１４８９９５号より公知である。

［発明が解決しようとする問題点］ エラー許容システムは、自動化システムの一部が不完全
になる場合でも、技術プロセスの制御及び調整を継続す
る。そのためには、エラーが生じたら、そのエラー検出
し、その箇所を検知し、エラーを除去する必要がある。

エラー装置の部分は切り離される。周知のシステムでは
、３乃至４＠の平行に作動するプロセッサから得られた
結果が正しりかどうかを、２対３又は３対４の多数決に
よって決められる。例えば、３乃至４［！ｌの平行に作
動するプロセッサを有するエラー許容平行計算システム
は、欧州出願第０１４３１２５号から公知である。しか
し、このようなシステムは、コスＩ・が高いという問題
点がある。

２個の計算機が平行に作動するシステムも公知である。

このシステムでは、２ｔ！Ｉの計算機から得られた結果
が異なった場合、どちらの結果が正しいか、どちらの計
算機が不完全であるかを決めるという問題が生じる。こ
の問題に関しては、例えば通信技術協会報９２の７乃至
２９頁、特に１６頁に述べられており、エラーユニット
を認識する可能性が記載されている。自己試験プログラ
ムによる自己試験もその可能性の１つである。但し、計
算機が自己試験を行なえる程に完全であることが萌捉と
なっている。自己試験プログラムによって、計算機は隣
接の計算機を検査することが出来る。これは、２［のみ
の計算機においても、２個の計ｇｔｔの最小限のオペラ
ビリテイがあることを萌捉とする。自己試験において、
エラーの発見に欠陥があるか、非常に長い試ＷＩ！時間
が必要であるかという間８点もある。類似の問題は製造
管理から周知である。二重エラー許容では、長い自己試
験の間、出入力傾面は自由に使えない。

本発明の目的は、出力端に接続された２ｇの計算機を有
する計算システム内における実質的に全ての単純なエラ
ーを認識し、エラー箇所を検知し、エラーを除去するた
めの即座に作動する方法と、この方法を実行するエラー
許容計算システムとを提供することにある。

［問題点を解決するための手段］ 上記の目的は、少なくとも２個の連続的プログラムステ
ップから得られる中間結果が、１個のプログラムステッ
プが達成されるや否や、相互に記憶され、即ち、終了直
前のプログラムステップの結果の不一致が確認され、次
のプログラムステップとして行われる試験ステップは、
マイクロプロセッサ対の２個のプロセッサが、エラープ
ログラムステップに先行したプログラムステップを再度
実行することであり、２個のプロセッサが試験ステップ
の２つの結果を、■前に正しいと認識され相互に記憶さ
れたプログラムステップの結果と比較し、この結果を相
互に交換し、非損傷のプロセッサは、比較プロセスの際
にプロセッサの結果のみが記憶された中間結果と一致す
ることを確認すると、エラーと認識された他のプロセッ
サを、その他の計算システムから切り離すことにより、
又、全体システムは非干渉的に結合された２つのサブシ
ステムに分けられ、サブシステムはそれぞれバスシステ
ムを有し、入力ユニット及び出力ユニットはバスシステ
ムに接続され、プロセッサはスイッチを介して非干渉的
に結合されており、２個のサブシステムの出力ユニット
は、それぞれコンパレータによって、それぞれ出力信号
及び評価信号を発生させることにより達成される。利点
のある構成は特許請求の範囲第２，３１項に記載されて
いる。

この方法の特別な利点は、サブシステム内のエラーを第
３又は第４のプロセッサによらず認識するだけでなく、
そのエラーの箇所を検知し、エラ一部分の分離によって
妨害源を即座に除去することにある。エラーの認識とエ
ラー除去との間の短時間（ピーク時間）におりても、シ
ステムはフェールセーフ状態を有する。平行に作動する
プロセッサを相互に試験したり、プロセッサのうちどれ
が不完全であるかを決めることが出来るのは、プロセッ
サのうち１１！ｌが完全に故障した場合か、それが任意
に不定の結果を提供する場合である。システムコンポー
ネントを非干渉的に結合されることによって、作動中に
システムコンポーネントを追加したり交換したり出来る
ようになる。その他の利点は特許請求の範囲第２項乃至
第４項に記載されており、以下図示した実施例において
述べる。

［実施例］ 第１図は本発明のエラー許容差計輝システムの構成図を
示す。２個の同一の構成のサブシステムａ、ｂが図示さ
れており、非干渉の対称的なシステムの構成となってい
る。全体システムは単純な重複部を有する。システムは
、相互に独立して作動する２つの入力ユニット１ａ、１
ｂを有し、これらに同じ入力データＥが入力される。入
力ユニット１ａ 、１ｂの出口は、第１結合素子２ａ、２ｂを介して、非
干渉的にバスシステム３８＃３ｂに夫々接続される。１
個乃至ｎ個のマイクロプロツセサ対Ｍ１乃至Ｍｎがバス
システム３ａ、３ｂに接続される。各マイクロプロセッ
サは２ＦＩのプロセッサＰ１ａ及びＰ１ｂまたはＰ２ａ
及びＰ２ｂ等と２個のプロセッサ、例えばＰ１ａ及びＰ
１ｂを非干渉的に結合する第２結合素子４と、２個の開
閉部材５とを有する。一方プロセッサ、例えばＰ１ａが
対応する開閉部材５を介して対応づるサブシステム例え
ばａのバスシステム例えばＰ３ａに接続される。更に、
出力ユニット６．１ａ、６．１ｂ及び６．２ａ、６．２
ｂが設けられ、各出力ユ二ット例えば６．１８は、分離
用スイッチとして図示された開閉部材５を介して、バス
システム例えば３ａに接続され、２）の出力ユニット例
えば６゜１ａ、６．１ｂはそれぞれ、出力信号Ａ１．Ａ
２゜例えばＡ１を発するコンパレータ７．１．７．２゜
例えば７．１に非干渉的に接続されている。更に、コン
パレータ７．１，７．２は評価信号Ｂ１及びＢ２を発生
する。評価信号Ｂ１及σＢ２は、非干渉の２つの補助バ
スＸａ、Ｘｂを介して、プロセッサＰｎａ　（Ｐ１ａ、
Ｐ２ａ等）及びＰｎｂ（Ｐ１ｂ、Ｐ２ｂ等）に供給され
る。補助バスＸａ。

ｘｂは、好ましくは直列バスとして構成される。

第１図に図示した計算システムの機能方法を以下に述べ
る。入力データＥは、入力ユニット１ａ。

１ｂ及びバスシステム３ａ、３ｂを通って、例えばマイ
クロプロセッサ対Ｍ１へ伝えられる。マイクロプロセッ
サ対Ｍ１のプロセッサ、例えばＰ１ａ、ｐ１ｂは、同じ
入力データとアルゴリズム同期して作動する。プロセッ
サＰ１ａ、Ｐ１ｂの結果は、バスシステム３ａ、３ｂを
介して、出カニニア１−５．１ａ、６．２ａ及び６．１
ｂ、６．２ｂへ送られる。コンパレータ例えば７．１は
、２蛭のサブシステムａ、ｂから得られ出力ユニット６
．１ａ、６．１ｂ内に存在する結果を比較する。

非エラー作動中、即ちエラーが生じていないときには、
両ユニット６．１’ａ、６．１　ｂの結果は同一であり
、出力信号Ａ１としてコンパレータ７゜１を通過する。

更に、コンパレータ例えば７．１はｉｉＶ価信号Ｂ１を
発生する。評価信号Ｂ１は、補助バスＸａ及び＞＜ｂを
介して、プロセッサｐｒ＋ａ及びＰｎｂにコンパレータ
の結果を伝える。同様に、第２のコンパレータ７．２は
２祠のサブシステムａ、ｂから得られた結果を比較する
。サブシステムａ、ｂからの結果は、出力ユニツＩ−６
．１８，６．１ｂ内に存在し、出力信号Ａ２及び補助信
号Ｂ２となる。出力信号Ａ１．Ａ２及び場合によっては
他の出力ユニツ（・からの出力信号が、付加的なモニタ
装置（図示せず）によって検査出来る。

エラー検出、エラー箇所検知、エラー反作用、エラー位
置報知を伴うエラー報知を行う装置及び除去装置によっ
て計算システムはエラー許容差システムになる。更に、
システム状態監視装置が設けられる。

エラー検出のためには総エラー検出が設けられる。シス
テムエラーの場合、どのようなものであっても、コンパ
レータ７．１，７．２が応答し、エラー出力を阻止する
。

エラー箇所検出は独立的な単一試験を用いる除去方法に
従った位置決定によって行なわれる。試験の第１段階で
は、基本システム試験が行なわれる。Ｗｅ雑音雰囲気に
おける、インターフェース装置及び全ての開閉部材５を
含むコンパレータハードウェアとバスシステム３ａ、３
ｂに関連する循環的なハードウェアＫＭがこれにａする
。

評ａｉ＠号Ｂ１又はＢ２が負である場合、即ち、サブシ
ステムａ、ｂの結果が相互に異なっているとき、第２の
試験段階において、プロセッサ対例えばＰ１ａ、Ｐ１ｂ
が試験される。このためプロセッサＰ毎にソフトウェア
コンパレータが備わつており、これが、マイクロプロセ
ッサ対、例えばＭｌに属する２個のプロセッサ、例えば
Ｐｌ　ａ。

Ｐ１ｂのアルゴリズムステップの中間結果を比較する。

前述のように、マイクロプロセッサ対ＭのプロセッサＰ
はアルゴリズム同期して作動する。

互り連続する２つのアルゴリズム手段の結果がその都度
２［のプロセッサ、例えばＰ１ａ、Ｐ１ｂ内に記憶され
る。サブシステムａ、ｂの出力信号ＡＩ、Ａ２が一致し
ない処理ステップＮが達成されると、次のステップＮ＋
１として、２）！ｌのプロセッサ、例えばＰ１ａ、Ｐ１
ｂのどちらが誤って作動したかを決める試験ステップが
実行される。

この場合に試験アルゴリズムとして処理ステップＮ−１
の有効アルゴリズムが使用され、このアルゴリズムが２
個のプロセッサにおいても同一の中間結果になり、この
中間結果は記憶される。試験ステップＮ＋１では、この
間に欠陥となったプロセッサは、正しい結果を与える状
態にならない。

ステップＮ＋１においてプロセッサ例えばＰ１ａ。

Ｐ２ａの結果を、ステップＮ−１から得られた結果と比
較することによって、少なくともまだ完全に正常なプロ
セッサ内に設けられたソフ（〜ウェアコンパレータによ
って、どのプロセッサが間違った結果を出しているかが
決定出来る。マイクロプロセッサ対の２個のプロセッサ
Ｐｎａ、ｐｎｂのうち１ｖｉの自己試験が、エラーメツ
セージ（これは試験アルゴリズムとしてのＮ−１有効ア
ルゴリズムである）に基づく第１の試験ステップとＮ−
１有効アルゴリズムとの比較によって、正になり、上記
プロセッサのうち１＠は、他方のプロセッサの試＃＃ｉ
果のエラーまたは矛盾したメツセージを結合素子を介し
て保有する。このようなプロセッサの一方が分離した制
御ライン１０と分離用スイッチ５を介してシステムバス
３ａ又は３ｂの一方から他方のプロぜツサを能動的に分
離する。こうして、エラープロセッサが認識され、妨害
源としてシステムから除外された。第２の試験段階の結
果がコンパレータ７．１，７．２に伝えられると、フェ
ールセーフ状態から離れることが出来、エラープロセッ
サのモジュールが交換されるまで、１赳の部分システム
のみによって供給されることによって認識する。

第１及び第２の試験段階によってはエラーシステム部分
が位置確認出来ないが、コンパレータ７゜１．７．２が
応答する場合に、第３の試験段階では、入力ユニット１
ａ、’１ｂ及び出力ユニット６゜１ａ、６．１ｂ、６．
２ａ、６．２ｂのインターフェースに設けられたセパレ
ータ５によって送受信装置をバスシステム３ａ、３ｂか
ら切断することで入力ユニット及び出力ユニットの１川
を試験的にその都度切り離すことによって、入力ユニッ
ト及び出力ユニット、におけるｎ後の未実施のハードウ
ェア試験を行なう。

エラー箇所検出の段階において、確認された故障したサ
ブシステム又は故障したユニットは、エラー反応として
、分離スイッチ５によって切り駈される。更に、エラー
がコンパレータ７．１．７゜２によってシステム内で確
認されると、新しい結果の出力が阻止される。即ち、そ
の前の正しい元の値が出力信号Ａ１．Ａ２として出口端
に保持され、エラーシステムユニットがｌ、１７７１．
され切り離されるまで存続する。この時間は、５１′！
！型的には数ミリ秒であり、この間、システムはフェー
ルセーフ状態を有する。この後、システムは、故障箇所
が交換されるまで、能力は低下しないが重視が減少しつ
つ作動する。

本発明の有利な構成によって、影雑音的駆動に６いて、
マイクロプロセッサ対ＭのプロセッサＰの継続的自己試
験が行なうことが出来、この場合、プロセッサＰは交互
に試験される。

更に、全体システムには、エラーメツセージ装置８が設
けられる。この装置は、づべてのエラー状況を検出する
。即ち、一部エラー状況は補助バスＸａ、Ｘ［）を介し
て、そして他のエラー状況はバス３ａ、３ｂに直接に接
続されないシステム部分、例えば結合素子４からの直接
的なメツセンジャライン９を介して検出される。エラー
状況の発見に必要なのは、コンパレータ７．１，７．２
の応答と、インターフェース内の送受信装置からバスシ
ステム３ａ、３ｂへのに＃（トランシーバ試験）の結果
と、セパレータ５と第１結合素子２の状態と、プロセッ
サＰ１乃至ｐｎによる試験の結果と、マイクロプロセッ
サ対Ｍ内のプロセッサＰの同期状態とである。

【図面の簡単な説明】

第１図は本発明のエラー許容計算システムの構成図であ
る。 Ｎ・・・プログラムステップ、Ｍｌ　（Ｍｎ）・・・マ
イクロプロセッサ対、Ｐｌ　ａ　（Ｐｎａ）、Ｐ１ｂ　
（Ｐｎｂ）−−−プロセッサ、３ａ（Ｘａ）。 ３ｂ　（Ｘｂ）−・−バスシステム、６．１ａ、６゜１
ｂ、６．２ａ、６．２ｂ−−−出力１　ニラ１−１７．
１，７．２・・・コンパレータ、ａ、ｂ・・・サブシス
テム、ＡＩ、Ａ２・・・出力信号、１ａ、１ｔｊ・・・
入力ユニット、５・・・セパレータ、Ｂ１．Ｂ２・・・
評価信号。

Claims (4)

【特許請求の範囲】
1. （１）アルゴリズム同期し平行に作動し出力が互いに結
   合された少なくとも１つのマイクロプロセッサ対を有し
   、前記プロセッサ対の結果を、その都度所定のプログラ
   ムスッテップに従って、該プロセッサ間で交換し、該プ
   ロセッサ内で比較する計算システム内のエラーユニット
   を認識し、エラー箇所を検知し、エラーを除去する方法
   において、少なくとも２個の連続的プログラムステップ
   から得られる中間結果が、１個のプログラムステップ（
   Ｎ）が達成されるや否や、相互に記憶され、即ち、終了
   直前のプログラムステップの結果の不一致が確認され、
   次のプログラムステップ（Ｎ＋１）として行われる試験
   ステップは、マイクロプロセッサ対（例えばＭ１）の２
   個のプロセッサ（例えばＰ１ａ、Ｐ１ｂ）が、故障プロ
   グラムステップ（Ｎ）に先行したプログラムステップ（
   Ｎ−１）を再度実行することであり、２値のプロセッサ
   が試験ステップの２つの結果を、以前に正しいと認識さ
   れ、相互に記憶された該プログラムステップの結果と比
   較し、この結果を相互に交換し、非損傷の該プロセッサ
   （Ｐ１ａ又はＰ１ｂ）は、比較プロセスの際に該プロセ
   ッサの結果のみが記憶された中間結果と一致することを
   確認すると、故障と認識された他のプロセッサ（Ｐ１ｂ
   又はＰ１ａ）を、その他の計算システムから切り離すこ
   とを特徴とする方法。
2. （２）前記プロセッサ（例えばＰ１ａ、Ｐ１ｂ）から得
   られた結果が、分離のバスシステム（３ａ、３ｂ、Ｘａ
   、Ｘｂ）と出力ユニット（６．１ａ、６．１ｂ又は６．
   ２ａ、６．２ｂ）とを介してコンパレータ（７．１又は
   ７．２）に供給され、該コンパレータ（７．１又は７．
   ２）は、２個の部分システム（ａ、ｂ）から種々の結果
   が生じると、妨害されたシステム装置が確認され、全体
   システムから分離されるまで、最終的に正しいと認識さ
   れた結果を出力信号（Ａ１又はＡ２）として発生させる
   ことを特徴とする特許請求の範囲第１項に記載の方法。
3. （３）前記コンパレータ（７．１又は７．２）は前記マ
   イクロプロセッサ対（Ｍ１乃至Ｍｎ）と同様な方法でエ
   ラー許容システムとして作動するか、あるいは該エラー
   コンパレータ（７．１又は７．２）は２対３、３対４の
   多数決原理に従つて確認されることを特徴とする特許請
   求の範囲第２項に記載の方法。
4. （４）前記全体システムは非干渉的に結合される２個の
   サブシステム（ａ、ｂ）に分けられ、該サブシステム（
   ａ、ｂ）はそれぞれバスシステム（３ａ、３ｂ、Ｘａ、
   Ｘｂ）を有し、入力ユニット（１ａ又は１ｂ）及び出力
   ユニット（６．１ａ、６．２ａ又は６．１ｂ、６．２ｂ
   ）は該バスシステム（３ａ、３ｂ、Ｘａ、Ｘｂ）に接続
   され、前記プロセッサ（Ｐ１ａ乃至Ｐｎａ又はＰ１ｂ乃
   至Ｐｎｂ）は開閉手段（５）を介して結合され、この開
   閉手段により２つのプロセッサ（Ｐ１及びＰ２）がマイ
   クロプロセッサ対（Ｍ１）に非干渉的に結合され、２個
   の該サブシステム（ａ、ｂ）の前記出力ユニット（６．
   １ａ、６．２ａ又は６．１ｂ、６．２ｂ）は、それぞれ
   前記コンパレータ（７．１又は７．２）によつて、それ
   ぞれ出力信号（Ａ１又はＡ２）及び評価信号（Ｂ１、Ｂ
   ２）を発生させることを特徴とする特許請求の範囲第１
   項乃至第３項のいずれかの１に記載の方法を実行するエ
   ラー許容計算システム。