WO2006080431A1 - 情報処理装置および情報処理方法 - Google Patents

情報処理装置および情報処理方法 Download PDF

Info

Publication number
WO2006080431A1
WO2006080431A1 PCT/JP2006/301303 JP2006301303W WO2006080431A1 WO 2006080431 A1 WO2006080431 A1 WO 2006080431A1 JP 2006301303 W JP2006301303 W JP 2006301303W WO 2006080431 A1 WO2006080431 A1 WO 2006080431A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
unit
information processing
processing apparatus
code
Prior art date
Application number
PCT/JP2006/301303
Other languages
English (en)
French (fr)
Inventor
Yukio Maniwa
Hiroyoshi Sekino
Atsushi Terayama
Original Assignee
Yokogawa Electric Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Yokogawa Electric Corporation filed Critical Yokogawa Electric Corporation
Priority to US11/883,454 priority Critical patent/US8359529B2/en
Priority to CN2006800034410A priority patent/CN101111822B/zh
Priority to EP06712469A priority patent/EP1857936B1/en
Publication of WO2006080431A1 publication Critical patent/WO2006080431A1/ja

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1675—Temporal synchronisation or re-synchronisation of redundant processing components
    • G06F11/1683—Temporal synchronisation or re-synchronisation of redundant processing components at instruction level
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1633—Error detection by comparing the output of redundant processing systems using mutual exchange of the output between the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1654—Error detection by comparing the output of redundant processing systems where the output of only one of the redundant processing components can drive the attached hardware, e.g. memory or I/O
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24173—One sensor, two I-O channels each for different processor
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24186—Redundant processors are synchronised
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24187—Redundant processors run identical programs
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25014—Fieldbus general name of bus connected to machines, detectors, actuators
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25428—Field device
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0796—Safety measures, i.e. ensuring safe condition in the event of error, e.g. for controlling element
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1637—Error detection by comparing the output of redundant processing systems using additional compare functionality in one or some but not all of the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/88—Monitoring involving counting

Definitions

  • the present invention relates to an information processing apparatus and an information processing method including a plurality of apparatuses that execute processing independently of each other, and more particularly, to an information processing apparatus and an information processing method having high reliability.
  • a safety system is a system that notifies an alarm and performs necessary measures when an abnormality is found in a field device, and is part of the plant control system or independent of the plant control system. Provided.
  • Japanese Unexamined Patent Publication No. 2000-347706 is referred to as related art.
  • Safety systems are required to have an extremely high level of reliability. For example, it is necessary to avoid as much as possible the situation where the system recognizes that it is safe despite the occurrence of an abnormality, or reports incorrect information. Also, abnormalities cannot be clearly recognized, but when the possibility of abnormalities is indicated, it is necessary to select a safe-side process.
  • An object of the present invention is to provide an information processing apparatus and an information processing method having high reliability.
  • the present invention provides the first device and the second device that execute the same process independently of each other, and the data generated by the second device from the second device to the first device.
  • a transmission unit that transmits to the device, a data verification unit that collates the data transmitted from the transmission unit with the data generated by the first device, and determines that the data is abnormal if the data does not match, Be equipped An information processing apparatus is provided.
  • the data generated by the first device and the data generated by the second device are collated, and if these data do not match, it is determined that there is an abnormality. Can be detected.
  • the processing in each device is not limited to arithmetic processing, and includes all processing such as processing for receiving or transmitting data, processing for outputting data, processing for transferring data, processing for storing data, and the like.
  • the information processing apparatus may include a process stop unit that stops the process of the first device when it is determined as abnormal by the collation of the data collation unit.
  • the processing of the first device is stopped in the case of an abnormality.
  • the method for stopping the process is not limited.
  • the signal may be interrupted in the middle of the process or at the output stage, or the first device may be reset to stop operation.
  • the transmission unit may be provided in the second apparatus.
  • the present invention provides the first device and the second device that execute the same processing independently of each other, and the data generated by the first device from the first device to the second device.
  • a transmission unit that transmits to the device, a data verification unit that collates the data transmitted from the transmission unit with the data generated by the second device, and determines that the data is abnormal if the data does not match,
  • the data generated by the first device and the data generated by the second device are collated, and if these data do not match, it is determined that there is an abnormality. Can be detected.
  • the processing in each device is not limited to arithmetic processing, and includes all processing such as processing for receiving or transmitting data, processing for outputting data, processing for transferring data, processing for storing data, and the like.
  • the information processing apparatus may include a processing stop unit that stops the processing of the first device when the data collating unit determines that there is an abnormality!
  • the processing of the first device is stopped in the case of an abnormality.
  • the method for stopping the process is not limited.
  • the signal may be interrupted in the middle of the process or at the output stage, or the first device may be reset to stop operation.
  • the transmission unit may be provided in the first device.
  • the information processing device uses a transmission timing of data transmitted from the transmission unit, and A synchronization unit that synchronizes the processing of the first device and the processing of the second device may be provided.
  • the synchronization unit may be provided in the first device or the second device.
  • the present invention provides a first device and a second device that execute the same processing in synchronization independently of each other, data generated by the first device, and data generated by the second device
  • the acquisition unit for acquiring data in real time, the data generated by the acquisition unit and the data generated by the first device and the data generated by the second device are collated, and these data are collated.
  • An information processing apparatus is also provided that includes a data collating unit that determines that an abnormality occurs if the data does not match.
  • the data generated by the first device and the data generated by the second device are collated, and if these data do not match, it is determined that there is an abnormality. Can be detected.
  • the processing in each device is not limited to arithmetic processing, and includes all processing such as processing for receiving or transmitting data, processing for outputting data, processing for transferring data, processing for storing data, and the like.
  • the information processing apparatus may include a processing stop unit that stops the processing of the first device when the data collating unit determines that there is an abnormality.
  • the present invention generates a first error detection code based on data generated by the first device and the second device that execute the same processing independently of each other and the first device. Generated by the first code generation unit, the second code generation unit that generates the second error detection code based on the data generated by the second device, and the first code generation unit Said A code verification unit that compares the error detection code of 1 with the second error detection code generated by the second code generation unit, and determines that an error occurs if the two error detection codes do not match And an information processing apparatus comprising:
  • the first error detection code generated based on the data generated by the first device and the second error detection generated based on the data generated by the second device If the error detection codes do not match, it is determined that there is an abnormality, so that the abnormality can be reliably detected.
  • the processing in each device is not limited to arithmetic processing, and includes all processing such as processing for receiving or transmitting data, processing for outputting data, processing for transferring data, processing for storing data, and the like.
  • the information processing apparatus may further include a processing stop unit that stops processing of the first device when the code verification unit determines that an abnormality has occurred.
  • the processing of the first device is stopped in the case of an abnormality.
  • the method for stopping the process is not limited.
  • the signal may be interrupted in the middle of the process or at the output stage, or the first device may be reset to stop operation.
  • the first code generation unit may be provided in the first device, and the second code generation unit may be provided in the second device.
  • the code matching unit may be provided in the first device or the second device.
  • the present invention relates to a first device and a second device that execute the same processing independently on data with an error detection code, and a first error detection received by the first device.
  • the first inspection unit that inspects the presence or absence of abnormality of the data with code using the first error detection code, and the abnormality of the second error detection code data received by the second device.
  • a code verification unit that compares the second error detection code and the inspection result by the first inspection unit or the inspection result by the second inspection unit indicate abnormality, or the code verification As a result of verification by the Also provided an information processing apparatus comprising a abnormality determination unit, a if Re. In this case, if the inspection result by the first inspection unit or the inspection result by the second inspection unit shows an abnormality, or if the result of verification by the code verification unit is that the two error detection codes do not match, an error is indicated. Since it determines, abnormality can be detected reliably.
  • the processing in each device is not limited to arithmetic processing, and includes all processing such as processing for receiving or transmitting data, processing for outputting data, processing for transferring data, processing for storing data, and the like.
  • the first inspection unit generates an error detection code based on the data with the first error detection code received by the first device, and the received error detection code and the generated error detection code are generated. Check for abnormalities by comparing.
  • the second inspection unit generates an error detection code based on the data with the second error detection code received by the second device, and compares the received error detection code with the generated error detection code. Check for abnormalities.
  • the error detection code used in the first inspection unit and the second inspection unit includes the error detection code generated by the first inspection unit or the second inspection unit, and the first inspection unit. Alternatively, both of the error detection codes received by the second inspection unit are included.
  • the information processing apparatus may include a processing stop unit that stops the processing of the first device when the determination unit determines that an abnormality has occurred.
  • the processing of the first device is stopped in the case of an abnormality.
  • the method for stopping the process is not limited.
  • the signal may be interrupted in the middle of the process or at the output stage, or the first device may be reset to stop operation.
  • the first inspection unit may be provided in the first device, and the second inspection unit may be provided in the second device.
  • the code verification unit may be provided in the first device or the second device.
  • the present invention relates to a first device and a second device that execute the same processing independently of each other, data generated by the first device, and data generated by the second device. If the data collates as a result of the collation by the data collation unit, the count unit that adds the count number to the data generated by the first device, and the collation by the data collation unit, There is also provided an information processing device comprising: a count stop unit that stops adding a count number by the count unit; and a determination unit that determines an abnormality based on the count number added by the count unit.
  • the determination unit determines the abnormality of the device based on the count number added by the counting unit, the abnormality can be detected without referring to data other than the data generated by the first device.
  • the information processing device may include a processing stop unit that stops the processing of the first device or the processing of the second device when the determination unit determines that an abnormality has occurred.
  • the processing of the first device or the processing of the second device is stopped in the case of an abnormality.
  • the method for stopping the process is not limited.
  • the signal may be interrupted in the middle of the process or at the output stage, or the operation may be stopped by resetting the first device or the second device.
  • the first device and the second device may be individual semiconductor devices.
  • each of the first device and the second device may be an individual CPU.
  • the first device and the second device may be mounted in an insulated state.
  • the present invention relates to an information processing method using a first device and a second device that execute the same processing independently of each other, and the data generated by the second device is transferred to the second device.
  • the step of transmitting from the device to the first device, the data transmitted from the second device and the data generated by the first device are collated, and if these data do not match, it is determined to be abnormal
  • an information processing method comprising the steps of:
  • the data generated by the first device and the data generated by the second device are collated, and if these data do not match, it is determined that there is an abnormality. Can be detected.
  • the processing in each device is not limited to arithmetic processing, and includes all processing such as processing for receiving or transmitting data, processing for outputting data, processing for transferring data, processing for storing data, and the like.
  • the present invention provides an information processing method using the first device and the second device that execute the same processing independently of each other, and the data generated by the first device is used as the first device. Transmitting from the device to the second device, the data transmitted from the first device and the data generated by the second device are collated, and if these data do not match, it is determined as abnormal. And an information processing method comprising the steps of:
  • the data generated by the first device and the data generated by the second device are collated, and if these data do not match, it is determined that there is an abnormality. Can be detected.
  • the processing in each device is not limited to arithmetic processing, and includes all processing such as processing for receiving or transmitting data, processing for outputting data, processing for transferring data, processing for storing data, and the like.
  • the information processing method includes a step of synchronizing the processing of the first device and the processing of the second device using the timing of transmission of data transmitted from the second device. May be.
  • the present invention provides an information processing method using the first device and the second device that execute the same process in synchronization independently of each other, the data generated by the first device, and the first device
  • the data generated by the second device is acquired in real time, the data generated by the first device is compared with the data generated by the second device, and the data does not match. If there is, an information processing method is also provided. According to this information processing method, the data generated by the first device and the data generated by the second device are collated. If these data do not match, it is determined that there is an abnormality, so that the abnormality can be reliably detected.
  • the processing in each device is not limited to arithmetic processing, and includes all processing such as processing for receiving or transmitting data, processing for outputting data, processing for transferring data, processing for storing data, and the like.
  • the present invention provides a first error based on data generated by the first device in an information processing method using the first device and the second device that execute the same process independently of each other.
  • An information processing method is also provided, comprising: comparing an error code with the second error detection code and determining an abnormality if the error detection codes do not match.
  • the first error detection code generated based on the data generated by the first device and the second error detection generated based on the data generated by the second device If the error detection codes do not match, it is determined that there is an abnormality, so that the abnormality can be reliably detected.
  • the processing in each device is not limited to arithmetic processing, and includes all processing such as processing for receiving or transmitting data, processing for outputting data, processing for transferring data, processing for storing data, and the like.
  • the first device receives the data.
  • a first inspection step for inspecting whether the data with the first error detection code is abnormal by using the first error detection code; and a second error detection received by the second device.
  • a code collation step for collating the code with the second error detection code used in the second inspection step, and an inspection result by the first inspection step or the second inspection step. If the inspection result shows abnormal, Provides an information processing method comprising the step of determining an abnormality if the two error detection codes do not match as a result of the verification in the code verification step.
  • each device is not limited to arithmetic processing, and there is data reception Or includes all processes such as a process of transmitting, a process of outputting data, a process of transferring data, and a process of storing data.
  • the present invention provides an information processing method using the first device and the second device that execute the same processing independently of each other, with the data generated by the first device and the second device.
  • an information processing method comprising a step of stopping and a step of determining an abnormality based on the added count number.
  • each device is not limited to arithmetic processing, and includes all processing such as processing for receiving or transmitting data, processing for outputting data, processing for transferring data, processing for storing data, and the like.
  • the data generated by the first device and the data generated by the second device are collated, and if these data do not match, an abnormality is indicated. Since it determines, abnormality can be detected reliably.
  • FIG. 1 (a) and (b) are block diagrams functionally showing an information processing apparatus according to the present invention.
  • FIG. 2 (a) and (b) are block diagrams functionally showing an information processing apparatus according to the present invention.
  • FIG. 3 (a) and (b) are functional block diagrams of an information processing apparatus according to the present invention.
  • FIG. 4 is a block diagram illustrating a configuration of a safety system to which the information processing apparatus according to the first embodiment is applied.
  • FIG. 5 is a block diagram showing a part of the configuration of the information processing apparatus according to the first embodiment.
  • FIG. 6 is a diagram showing a communication processing sequence.
  • FIG. 7] (a) and (b) are diagrams showing the configuration of communication frames
  • Fig. 7 (a) shows the configuration of individual communication frames
  • Fig. 7 (b) shows the normal communication state. The operation is shown.
  • FIG. 8 is a block diagram illustrating a configuration of the information processing apparatus according to the second embodiment.
  • FIG. 9 is a block diagram illustrating a configuration of the information processing apparatus according to the third embodiment.
  • FIG. 10 is a block diagram illustrating a part of the configuration of the information processing apparatus according to the fourth embodiment.
  • FIG. 1 (a) to FIG. 3 (b) are block diagrams functionally showing the information processing apparatus according to the present invention.
  • transmitting section 101 transmits data generated by the second device from the second device to the first device.
  • the data collation unit 102 collates the data transmitted from the transmission unit 101 with the data generated by the first device, and these data do not match. If there is, it is determined as abnormal.
  • the process stop unit 103 stops the process of the first device when the data collating unit 102 determines that there is an abnormality.
  • Synchronization section 104 synchronizes the processing of the first device and the processing of the second device using the timing of transmission of data transmitted from transmission section 101.
  • the transmission unit 101 transmits data generated by the first device from the first device to the second device.
  • the data collating unit 102 collates the data transmitted from the transmitting unit 101 with the data generated by the second device, and determines that the data is abnormal if these data do not match.
  • the processing stop unit 103 stops the processing of the first device when the data collating unit 102 determines that there is an abnormality.
  • the synchronization unit 104 synchronizes the processing of the first device and the processing of the second device using the transmission timing of the data transmitted from the transmission unit 101.
  • the acquisition unit 105 acquires data generated by the first device and data generated by the second device in real time.
  • the data collation unit 102 collates the data generated by the first device acquired by the acquisition unit 105 with the data generated by the second device, and determines that there is an abnormality if these data do not match. To do.
  • the processing stop unit 103 stops the processing of the first device when the data collating unit determines that there is an abnormality.
  • the first code generation unit 106 generates the first error detection code based on the data generated by the first device.
  • the second code generation unit 107 generates a second error detection code based on the data generated by the second device.
  • the code collation unit 108 collates the first error detection code generated by the first code generation unit 106 with the second error detection code generated by the second code generation unit 107, and detects both errors. If the detection codes do not match, it is judged as abnormal.
  • the process stop unit 109 stops the process of the first device when the code verification unit 108 determines that there is an abnormality.
  • the first inspection unit 111 receives the first received by the first device.
  • the first error detection code is used to check whether there is any abnormality in the data with the error detection code.
  • the second inspection unit 112 uses the second error detection code to inspect whether there is an abnormality in the data with the second error detection code received by the second device.
  • the code collating unit 113 collates the first error detection code used in the first inspection unit 111 with the second error detection code used in the second inspection unit 112.
  • the determination unit 114 does not match both error detection codes. If so, it is determined to be abnormal.
  • the process stop unit 115 stops the process of the first device when the determination unit 114 determines that an abnormality has occurred.
  • the data collating unit 116 collates the data generated by the first device with the data generated by the second device.
  • the count unit 117 adds a count number to the data generated by the first device.
  • the count stop unit 118 stops the addition of the count number by the count unit 117 if the two data do not match as a result of the collation by the data collation unit 116.
  • the determination unit 119 determines an abnormality based on the count number added by the count unit 117.
  • the process stop unit 120 stops the process of the first device or the process of the second device.
  • FIG. 4 is a block diagram illustrating a configuration of a safety system to which the information processing apparatus according to the first embodiment is applied. This safety system is configured as part of the plant control system.
  • the plant control system includes a controller 2 for integrated management and control of field devices 1, 1, ⁇ such as electromagnetic valve sensors arranged in each part of the plant, and a controller.
  • the input / output devices 3, 3,... Are connected to the controller 2 via the network 4.
  • the field devices 1, 1,... Are connected to the input / output device 3 via the terminal board 5. Yes.
  • the input / output device 3 is mounted with input / output units 3a, 3b,... That execute an interface process between the field device 1 and the controller 1.
  • input / output units 3a, 3b,... execute an interface process between the field device 1 and the controller 1.
  • the same processing is executed independently of each other for the purpose of improving reliability.
  • FIG. 5 is a block diagram showing a part of the configuration of the input / output unit 3a.
  • Fig. 5 shows an example of a unit that processes the input value that is also input to the field device 1 in the downstream process and outputs the PV value (process value) to the controller 2 in the upstream process. Yes.
  • this unit includes a master CPU 10 and a slave CPU 20, and each CPU 10 and CPU 20 execute the same processing independently of each other.
  • Each of the CPU 10 and the CPU 20 executes a diagnosis of peripheral circuits mounted around the CPU 10 and the CPU 20.
  • the input value from the field device 1 is input to the master CPU 10 via the input unit 71 and the input buffer 72.
  • a peripheral circuit 74 around the master CPU 10 is diagnosed by a diagnostic circuit 75.
  • the signal output from the input buffer 72 is input to the diagnosis circuit 75, and the presence or absence of signal abnormality is diagnosed.
  • the presence / absence of abnormality in the peripheral circuit 74 and the presence / absence of abnormality in the signal output from the input buffer 72 are input to the master CPU 10 as diagnosis information from the diagnosis circuit 75.
  • the same input value from the field device 1 is input to the slave CPU 20 via the input unit 71 and the input buffer 73.
  • a peripheral circuit 76 around the slave CPU 20 is diagnosed by a diagnostic circuit 77.
  • the signal output from the input buffer 73 is input to the diagnosis circuit 77, and the presence or absence of signal abnormality is diagnosed. Whether there is an abnormality in the peripheral circuit 76 and whether there is an abnormality in the signal output from the input buffer 73 is input to the slave CPU 20 as diagnostic information from the diagnostic circuit 77.
  • the master CPU 10 executes a calculation process on the input value input via the input buffer 72, and the PV value in a format that can be processed in the upstream process on the controller 2 side ( Diagnosis that receives the diagnostic information from the PV value processing unit 11 that converts to (process value) and the diagnostic circuit 75, detects and determines abnormality, and generates status that is the diagnostic result Part 12 is provided.
  • the master CPU 10 adds a CRC (Cyclic Redundancy Check) code and an update counter to the communication block 13 for executing communication with the slave CPU 20, and the PV value and status.
  • the slave CPU 20 performs arithmetic processing on the input value input via the input buffer 73, and converts it into a PV value (process value) in a format that can be processed in the upstream process on the controller 2 side.
  • a PV value processing unit 21 for conversion and a diagnosis unit 22 that receives diagnosis information from the diagnosis circuit 77, detects and determines an abnormality, and generates a status as a diagnosis result are provided.
  • the slave CPU 20 adds a CRC (Cyclic Redundancy Check) code and an update counter to the communication block 23 for executing communication with the master CPU 10, and the PV value and status.
  • the status generated by the diagnostic unit 12 and the status generated by the diagnostic unit 24 of the slave CPU 20 and acquired through communication by the communication block 23 and the communication block 13 are equalized.
  • buttock 15 compare and equalize.
  • the equality key is a process for making the status handled by the master CPU 10 and the status handled by the slave CPU 20 the same.
  • the equality section 15 generates status OR information.
  • the equivalence key unit 15 changes the status to the status in which the abnormality has been captured and passes it to the code generation unit 14.
  • the slave CPU 20 performs the same processing to share the status handled by the master CPU 10 and the slave CPU 20.
  • the PV value generated by the PV value processing unit 11 is given to the code generation unit 14. However, when a status abnormality is detected based on the processing in the equivalence key unit 15, the shutoff unit 16 blocks the PV value input to the code generation unit 14.
  • the code generation unit 14 generates a CRC code based on the input PV value and the status generated by the equivalence key unit 15. The count number is updated each time a new PV value and status is input, and a code added to the CRC code is generated. Code students The generation unit 14 adds the generated code to the PV value and status, thereby generating a frame including the PV value, status, CRC code, and count number. The count number is incremented with each PV value and status update.
  • a frame similar to the frame created by the code generation unit 14 is similarly generated by the code generation unit 24 of the slave CPU 20 and is acquired through communication by the communication block 23 and the communication block 13.
  • the frame created by the code generation unit 14 and the frame created by the code generation unit 24 are collated by the comparison unit 17.
  • the comparison unit 17 determines that there is an abnormality if a mismatch between the frames is detected.
  • the slave CPU 20 performs the same processing, so that the master CPU 10 and the slave CPU 20 collate each other's processing results with their own processing results, and if they do not match, determine that there is an abnormality. If all the processes in the master CPU 10 and the slave CPU 20 are normal, the comparison unit 17 collates the two frames.
  • the frame generated by the code generation unit 14 is output to the output unit 78 which is an upstream process.
  • the comparison unit 17 detects a mismatch between the frames and determines that the frame is abnormal, the blocking unit 18 blocks the frame output. Further, as will be described later, when a frame mismatch is detected in the comparison unit 27 of the slave CPU 20, the output of the frame is cut off in the fail-safe unit 79.
  • the slave CPU 20 the status generated by the diagnosis unit 22 and the status generated by the diagnosis unit 14 of the master CPU 10 and acquired through communication by the communication block 13 and the communication block 23, etc.
  • the value key section 25 comparison and equalization are performed.
  • the equalization unit 25 generates status OR information. In other words, if any status indicates an abnormality, the equivalence key unit 25 changes the status to include the abnormality and passes it to the code generation unit 24.
  • the PV value generated by the PV value processing unit 21 is given to the code generation unit 24. However, when a status abnormality is detected based on the processing in the equality unit 25, the shutoff unit 26 blocks the PV value input to the code generation unit 24.
  • the code generation unit 24 generates a CRC code based on the input PV value and the status generated by the equivalence key unit 25. Also, new PV values and status are entered. Each time the count number is updated, a code added to the CRC code is generated. The code generator 24 generates a frame composed of the PV value, status, CRC code, and count number by adding the generated code to the PV value and status. The count number is incremented with each PV value and status update.
  • the frame generated by the code generation unit 24 is similarly generated by the code generation unit 14 of the master CPU 10 and obtained through communication by the communication block 13 and the communication block 23. Matched. If the comparison unit 27 detects a mismatch between both frames, it is determined to be abnormal.
  • the comparison unit 27 When the comparison unit 27 detects a mismatch of frames, the comparison unit 27 outputs a fail-safe signal indicating an abnormality and provides it to the fail-safe unit 79. In this case, in the face safety unit 79, the output of the frame from the CPU 10 is blocked, and the output of a new frame to the output unit 78 is blocked. Instead of shutting off the output by the face safety unit 79, a reset signal may be output from the CPU 20 to the reset circuit of the CPU 10. In this case, the CPU 10 that has received the reset signal is forcibly reset and the output to the output unit 78 is blocked.
  • the master CPU 10 and the slave CPU 20 exchange data in real time and collate the data. For this reason, if the processing timings of both CPUs deviate, different processing results that are different in the time axis direction will be compared, resulting in a mismatch of matching. For this reason, in the apparatus of this embodiment, both CPUs must always perform the same operation. Therefore, a timing phase trigger is transmitted from the master CPU 10 side using asynchronous communication (UART) to control the slave CPU 20 to execute processing in the same sequence in synchronization.
  • UART asynchronous communication
  • FIG. 6 is a diagram showing a communication processing sequence.
  • Fig. 7 (a) and Fig. 7 (b) are diagrams showing the configuration of communication frames
  • Fig. 7 (a) shows the configuration of individual communication frames
  • Fig. 7 (b) is a diagram of communication. The operation when the state is normal is shown.
  • the master CPU 10 transmits a command with a timing phase trigger to the slave CPU 20 at a fixed period.
  • the slave CPU 20 that has received the command returns a response to the master CPU 10. After such processing, both CPUs execute the same phase to synchronize the processing of both CPUs.
  • the master CPU 10 transmits a command with a timing phase trigger via the communication block 13.
  • the slave CPU 20 receives the command via the communication block 23.
  • the phase (sequence number) expressed in the received command and the expected phase (sequence number), that is, the phase to be processed next ('BR> T AIDS in Fig. 7 (a)).
  • the communication status is recognized as normal.
  • the slave CPU 20 recognizes that the communication state is normal, the slave CPU 20 responds to the master CPU 10 via the communication block 23 with a response including information (sequence number) indicating the phase (phase 1 in FIG. 7 (a)). Will be returned.
  • the master CPU 10 recognizes that the communication state is normal if the response from the slave CPU 20 is received within a certain time and the phase (sequence number) expressed in the received response is appropriate.
  • the full duplex communication period starts.
  • the master CPU 10 and slave CPU 20 execute the same phase processing (phase 1 in Fig. 7 (a)), and the data MA is transferred from the master CPU 10 to the slave CPU 20 and the master CPU 10 from the slave CPU 20 to the master CPU 10.
  • Data SL force Sent in parallel.
  • Data MA and data SL include the status sent and received for equality and the frame sent and received for verification (frame consisting of PV value, status, CRC code and count number), respectively. It is.
  • the same processing is executed in synchronization with each other in the master CPU 10 and the slave CPU 20 by sequentially repeating such a phase.
  • the CRC codes are generated by both CPUs, and collation is performed using data (frames) with CRC, so that the collation reliability is improved.
  • both CPUs As a result, the information is sent to the upstream process only when the data matches, and if any one of the CPUs determines an abnormality, the output of the information to the upstream process is surely prevented. For this reason, the reliability of the information output to the upstream process can be improved. That is, if the CRC code is normal in the inspection in the upstream process, it means that the data is highly reliable data collated between CPUs in the input / output unit 3a. In addition, by checking the CRC code in the upstream process, it is possible to diagnose whether there is an abnormality in all processes that handle data with CRC in the CPU.
  • processing is synchronized for each phase using the timing of communication between CPUs. For this reason, unnecessary processing for synchronization is unnecessary, and there is no performance degradation caused by the synchronization processing. In other words, only the sequence number that identifies the phase is inserted into the communication content that is essential, and no extra processing is required.
  • both CPUs because of this synchronization, both CPUs always execute the same phase in synchronization, so the accuracy of data verification between CPUs can be improved.
  • both CPUs follow a transient state change caused by factors outside the CPU, there is no sudden data matching mismatch. Since the CPU 20 basically has a relationship of executing the phase specified by the CPU 10, it can be easily restored even if the phase is out of sync.
  • the status generated by each CPU is equalized before the data of both CPUs are collated with each other. For this reason, when a status error is detected in either CPU, the recognition that the status is abnormal is shared by both CPUs due to the status equality. For this reason, when the status is abnormal, the data collation mismatch does not occur in the subsequent stage, but the status abnormality and the data collation mismatch can be recognized separately. For this reason, it is possible to notify the abnormal state correctly.
  • This status equality is especially effective when it is necessary to loosely couple CPUs by reducing the number of common circuits between CPUs even if the number of peripheral circuits independent for each CPU is increased. It is also effective in cases where peripheral circuits can be diagnosed using only one CPU.
  • the equalization processing, CRC code addition, data collating sequence, etc., shown in the first embodiment can be easily realized by a CPU program.
  • inter-CPU communication can be easily realized using the asynchronous communication (UART) function that is standardly implemented in the CPU.
  • UART asynchronous communication
  • serial communication for inter-CPU communication mounting is easy even when two CPUs are mounted on the field device side and the controller side that are insulated from each other.
  • the information processing apparatus shows an example in which a master CPU and a slave CPU are mounted insulated from each other.
  • FIG. 8 is a block diagram illustrating a configuration of the input / output unit as the information processing apparatus according to the second embodiment.
  • the controller 2 and the field device 1 are usually installed at a distance. Therefore, the ground of the controller 2 and the field device 1 are provided separately from each other for the purpose of escaping from the noise that propagates on the ground surface and the effects of lightning. For this reason, it is necessary to maintain electrical insulation between the controller 2 side and each field device 1.
  • the master CPU 10A is provided on the controller 2 side (upstream side) and the slave CPU 20A is provided on the field device 1 side (downstream side) via the insulation boundary L.
  • the analog input value from the downstream side passes through the input circuit 32, is converted into a digital signal by the AD conversion unit 33, and is input to the slave CPU 20A.
  • the diagnosis unit 34 is provided with information from the peripheral circuit 35 that shares the ground potential with the slave CPU 20A, and also with the input value output from the input circuit 32.
  • the diagnosis unit 34 provides the slave CPU 20A with diagnosis information based on the information of the peripheral circuit 35 and the input value output from the input circuit 32.
  • the input value from the downstream side is also input to the master CPU 10 A via the photocoupler 37.
  • the analog input value is binarized by the photocoupler 37.
  • the master CPU 10A executes processing based on the binarized signal (digital signal).
  • the input value is composed of a plurality of channels (for example, 8 channels), and the input circuit 32, the AD conversion unit 33, and the photocoupler 37 have units corresponding to the number of channels. It is prepared.
  • Master CPU 10A and slave CPU 20A transmit and receive a command with a timing phase trigger and a response to the command via inter-CPU communication block 11A and inter-CPU communication block 21A provided respectively. As a result, the same processing is executed synchronously while being independent of each other. Also, the master CPU 10A and the slave CPU 20A transmit and receive data to and from each other via the inter-CPU communication block 11A and the inter-CPU communication block 21A, and collate data. Furthermore, the diagnostic information obtained by the slave CPU 20A is also transmitted to the master CPU 10A, and the status equality key is executed.
  • the master CPU 10A only when the equalized status does not indicate an abnormality and the data of the master CPU 10A and the slave CPU 20A match each other, they are matched via the upper communication block 12A. To notify the upper block 38 of the data. If the slave CPU 20A detects a data mismatch between the master CPU 10A and the slave CPU 20A, a reset signal is sent to the master CPU 10A. In this case, the master CPU 10A is forced to be reset by the reset signal, and data notification from the master CPU 10A to the upper block 38 is prevented. Note that the communication path between CPUs and the reset signal transmission line are insulated between the master CPU 10A and the slave CPU 20A at the insulation boundary L by a photo power bra or the like.
  • the information processing apparatus of the third embodiment converts an analog signal from the field device 1 (Fig. 4) side into a digital signal, and two CPUs receive a common digital signal to receive a controller 2 (Fig. 4).
  • An example of an input / output unit that outputs data to the side is shown.
  • FIG. 9 is a block diagram illustrating a configuration of an input / output unit as an information processing apparatus according to the third embodiment.
  • the input / output unit 3c shown in FIG. 9 receives a master CPU 10B and a slave CPU 20B that execute the same processing independently from each other, and an analog signal of a plurality of channels (for example, eight channels), and selects one signal.
  • Multiplexer 41 and sub-multiplexer 42, input amplifier 43 that receives the analog signal from multiplexer 41, and the signal output from input amplifier 43 is converted to a digital signal and applied to master CPU 10B and slave CPU 20B. 44.
  • the output signals of the main multiplexer 41 and the sub multiplexer 42 are respectively compared by the master CPU 10B and the slave CPU 20B. If they do not match, it is determined that the status is abnormal. The status is exchanged by communication between CPUs, and the status is equalized. Thereby, the soundness of the operation of the multiplexer 41 is diagnosed.
  • the input amplifier 43 and AD converter 44 are common to all channels, but a reference voltage is input to the input amplifier 43 at a constant cycle via the multiplexer 41, and the output of the AD converter 44 is used as the master CPU 10B. The status is monitored by checking each of them with the slave CPU20B. In this case as well, status is exchanged by communication between CPUs, and status equality is performed.
  • the master CPU 10B and the slave CPU 20B are independent of each other by transmitting and receiving a command with a timing phase trigger and a response to the command via the inter-CPU communication block 11B and the inter-CPU communication block 21B. However, the same process is executed synchronously. Also, the status obtained by the master CPU 10B and the slave CPU 20B is exchanged by inter-CPU communication, and the status equality key is executed. Further, the master CPU 10B and the slave CPU 20B transmit / receive data to / from each other via the inter-CPU communication block 11B and the inter-CPU communication block 21B, and perform data matching.
  • the master CPU 10B only when the equalized status does not indicate an abnormality and the data of the master CPU 10B and slave CPU 20B match, the two match, via the communication block 12B. Data is notified to the upper block 45. Also, When data mismatch between master CPU 10B and slave CPU 20B is detected in slave CPU 20B, a reset signal is sent to master CPU 10B. In this case, the master CPU 10B is forced to be reset by the reset signal, and data notification from the master CPU 10B to the upper block 45 is prevented.
  • the information processing apparatus of Example 4 is an input that outputs data with a CRC code input from the controller 2 (Fig. 4) side (upstream side) to the field device 1 (Fig. 4) side (downstream side).
  • An example of the output unit is shown.
  • FIG. 10 is a block diagram illustrating a part of the configuration of the input / output unit as the information processing apparatus according to the fourth embodiment.
  • the input / output unit shown in FIG. 10 includes a CPU 50 and a CPU 60 that execute processing independently of each other.
  • the CPU 50 includes a code checking unit 51 that performs CRC code checking based on data input via the input unit 81, a communication block 52 that performs communication with the CPU 60, and an input A set value processing unit 53 for converting data into a format used on the field device 1 side.
  • the CPU 60 includes a code inspection unit 61 that performs CRC code inspection based on the data transferred from the CPU 50, a communication block 62 that performs communication with the CPU 60, and the input data as field devices.
  • a setting value processing unit 63 for converting the format used on the first side is provided.
  • Data from the controller 2 side is input to the CPU 50 via the input unit 81.
  • This data is based on the setting destination that identifies the field device 1 (for example, a solenoid valve), the setting value to be set to the setting destination (for example, the opening of the solenoid valve), and the setting value and setting destination data. Including / with created CRC code!
  • Data input to the CPU 50 is given to the code inspection unit 51.
  • the code inspection unit 51 creates a CRC code based on the received setting value and setting destination data. Then, the CRC code received as data is compared with the CRC code created by the code checking unit 51. The code inspection unit 51 judges that there is an abnormality if both CRC codes do not match. In this case, the data is blocked at the blocking unit 54.
  • data input to the CPU 50 is transmitted via the communication block 52.
  • the transmitted data is received by the CPU 60 via the communication block 62.
  • the data received by the CPU 60 is given to the code inspection unit 61.
  • the code inspection unit 61 creates a CRC code based on the received setting value and setting destination data. Then, the CRC code received as data is compared with the CRC code created by the code checking unit 61. If both CRC codes do not match, the code checking unit 61 determines that an abnormality has occurred, and in this case, the blocking unit 64 blocks the data.
  • the CRC code created by the code checking unit 51 of the CPU 50 is transmitted via the communication block 52.
  • the transmitted CRC code is received by the CPU 60 via the communication block 62.
  • the CRC code created by the code checking unit 51 of the CPU 50 is compared with the CRC code transmitted from the CPU 60 in the comparison unit 55.
  • the comparison unit 55 determines that an abnormality is found if the CRC codes of the two do not match. In this case, the blocking unit 56 blocks the data.
  • the CPU 60 transmits the CRC code created by the code checking unit 61 via the communication block 62.
  • the transmitted CRC code is received by the CPU 50 via the communication block 52.
  • the CRC code is compared with the CRC code created by the code checking unit 51 in the comparison unit 55 as described above.
  • the comparison unit 65 determines that an abnormality is found if the CRC codes of the two do not match. In this case, the blocking unit 66 blocks the data.
  • the data received from the input unit 81 is given to the set value processing unit 53.
  • the blocking unit 54 or the blocking unit 5 is determined as abnormal as described above.
  • step 6 data transfer is blocked, and processing in the set value processing unit 53 is stopped.
  • the set value processing unit 53 converts the set value and the set destination data into a format used on the field device 1 side.
  • the data transmitted from the CPU 50 is given to the set value processing unit 63. It is done. However, as described above, when it is determined that there is an abnormality, data transfer is blocked in the blocking unit 64 or the blocking unit 66, and the processing in the set value processing unit 63 is stopped.
  • the set value processing unit 63 converts the set value and set destination data into the format used on the field device 1 side, and the output unit 82 stores the set value and set destination data. Output.
  • the set value and the setting destination data output to the output unit 82 are input to the comparison unit 67 of the CPU 60 via the diagnostic circuit 83. Further, the setting value and the setting destination data output from the setting value processing unit 63 are directly input to the comparison unit 67.
  • the comparison unit 67 compares the setting value and setting destination data output from the setting value processing unit 63 with the setting value and setting destination data via the diagnostic circuit 83, and the two do not match. If so, it is determined to be abnormal. In this case, the shut-off unit 68 shuts off the set value and set destination data, and prevents the output of the set value and set destination data to the output unit 82.
  • the setting value and setting destination data output from the CPU 60 to the output unit 82 are input to the comparison unit 57 of the CPU 50 via the diagnostic circuit 84. Further, the setting value and setting destination data output from the setting value processing unit 53 are directly input to the comparison unit 57.
  • the comparison unit 57 compares the setting value and setting destination data output from the setting value processing unit 53 with the setting value and setting destination data output from the CPU 60, and if both do not match, an error is detected. Judge. In this case, the fail safe circuit 85 cuts off the set value and the set destination data, and blocks the output of the set value and the set destination data from the CPU 60 to the output unit 82.
  • the CPU 60 side is executing the data output to the output unit 82.
  • the CPU 60 traces the output data by itself and outputs the data output when it is determined to be abnormal. It has stopped.
  • the CPU 50 also traces the data output to the output unit 82 by the CPU 60 at the same time, and if it is judged abnormal, the CPU 50 side force also prevents the CPU 60 from outputting. For this reason, data output is blocked if any CPU determines that an error has occurred, so it is possible to reliably prevent erroneous data from being output to the output unit 82. wear.
  • the scope of application of the present invention is not limited to the above embodiment. Further, the present invention can be widely applied not only to a safety system but also to an information processing system that handles various types of information.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • General Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Hardware Redundancy (AREA)
  • Multi Processors (AREA)

Description

明 細 書
情報処理装置および情報処理方法
技術分野
[0001] 本発明は、互いに独立して処理を実行する複数の装置を備える情報処理装置およ び情報処理方法に関し、とくに高 、信頼性を有する情報処理装置および情報処理 方法に関する。
背景技術
[0002] プラントに配置されたフィールド機器を管理、制御するプラント制御システムが知ら れている。また、このようなプラントでは、プラントの安全を図るための安全システムが 導入される。安全システムは、フィールド機器に異常が認められた場合に、警報を通 知するとともに必要な措置を実行するシステムであり、プラント制御システムの一部と して、あるいは、プラント制御システムとは独立して設けられる。
特開 2000— 347706号公報は関連技術として参照される。
発明の開示
発明が解決しょうとする課題
[0003] 安全システムには、その意図する機能力 極めて高度の信頼性を要求される。例え ば、異常が発生したにも関わらずシステムが安全だと認識し、あるいは、誤った情報 を通知するような事態は極力回避しなければならない。また、異常が明らかには認識 できないが、異常の可能性が示される場合には安全サイドの処理を選択する必要が ある。
[0004] 本発明の目的は、高 、信頼性を有する情報処理装置および情報処理方法を提供 することにある。
課題を解決するための手段
[0005] 本発明は、互いに独立して同一処理を実行する第 1の装置および第 2の装置と、前 記第 2の装置で生成されたデータを、前記第 2の装置から前記第 1の装置に送信す る送信部と、前記送信部から送信されたデータと前記第 1の装置で生成されたデータ とを照合し、これらのデータが不一致であれば異常と判定するデータ照合部と、を備 える情報処理装置を提供する。
この情報処理装置によれば、第 1の装置で生成されたデータと第 2の装置で生成さ れたデータとを照合し、これらのデータが不一致であれば異常と判定するので、確実 に異常を検出することができる。各装置における処理は、演算処理に限定されず、デ ータを受信あるいは送信する処理、データを出力する処理、データを転送する処理、 データを格納する処理等、すべての処理を含む。
[0006] 上記情報処理装置は、前記データ照合部の照合により異常と判定された場合に、 前記第 1の装置の処理を停止する処理停止部を備えてもよい。
この場合には、異常の場合に第 1の装置の処理が停止される。処理を停止する方 法は限定されない。例えば、処理の中間や出力段階で信号を遮断してもよいし、第 1 の装置をリセットして動作を停止してもよ 、。
[0007] 上記情報処理装置では、前記送信部は、前記第 2の装置に設けられて 、てもよ 、
[0008] 本発明は、互いに独立して同一処理を実行する第 1の装置および第 2の装置と、前 記第 1の装置で生成されたデータを、前記第 1の装置から前記第 2の装置に送信す る送信部と、前記送信部から送信されたデータと前記第 2の装置で生成されたデータ とを照合し、これらのデータが不一致であれば異常と判定するデータ照合部と、を備 える情報処理装置も提供する。
この情報処理装置によれば、第 1の装置で生成されたデータと第 2の装置で生成さ れたデータとを照合し、これらのデータが不一致であれば異常と判定するので、確実 に異常を検出することができる。各装置における処理は、演算処理に限定されず、デ ータを受信あるいは送信する処理、データを出力する処理、データを転送する処理、 データを格納する処理等、すべての処理を含む。
[0009] 上記情報処理装置は、前記データ照合部により異常と判定された場合に、前記第 1の装置の処理を停止する処理停止部を備えてもよ!、。
この場合には、異常の場合に第 1の装置の処理が停止される。処理を停止する方 法は限定されない。例えば、処理の中間や出力段階で信号を遮断してもよいし、第 1 の装置をリセットして動作を停止してもよ 、。 [0010] 上記情報処理装置では、前記送信部は、前記第 1の装置に設けられていてもよい 上記情報処理装置は、前記送信部から送信されるデータの送信のタイミングを利 用して、前記第 1の装置の処理および前記第 2の装置の処理を同期させる同期部を 備えてもよい。
この場合には、第 1の装置の処理および第 2の装置の処理を同期させるので、デー タの照合を正しく実行できる。また、データの送信のタイミングを利用して第 1の装置 の処理および第 2の装置の処理を同期させるので、同期のために必要な待ち時間を 短縮でき、処理効率の低下を防げる。
[0011] 上記情報処理装置では、前記同期部は、前記第 1の装置または前記第 2の装置に 設けられていてもよい。
[0012] 本発明は、互いに独立して同一処理を同期して実行する第 1の装置および第 2の 装置と、前記第 1の装置で生成されたデータおよび前記第 2の装置で生成されたデ ータをリアルタイムに取得する取得部と、前記取得部により取得された、前記第 1の装 置で生成されたデータと前記第 2の装置で生成されたデータとを照合し、これらのデ ータが不一致であれば異常と判定するデータ照合部と、を備える情報処理装置も提 供する。
この情報処理装置によれば、第 1の装置で生成されたデータと第 2の装置で生成さ れたデータとを照合し、これらのデータが不一致であれば異常と判定するので、確実 に異常を検出することができる。各装置における処理は、演算処理に限定されず、デ ータを受信あるいは送信する処理、データを出力する処理、データを転送する処理、 データを格納する処理等、すべての処理を含む。
[0013] 上記情報処理装置は、前記データ照合部により異常と判定された場合に、前記第 1の装置の処理を停止する処理停止部を備えてもよ!、。
[0014] 本発明は、互いに独立して同一処理を実行する第 1の装置および第 2の装置と、前 記第 1の装置で生成されたデータに基づき第 1の誤り検出用コードを生成する第 1の コード生成部と、前記第 2の装置で生成されたデータに基づき第 2の誤り検出用コー ドを生成する第 2のコード生成部と、前記第 1のコード生成部により生成された前記第 1の誤り検出用コードと前記第 2のコード生成部により生成された前記第 2の誤り検出 用コードとを照合し、前記両誤り検出用コードが不一致であれば異常と判定するコー ド照合部と、を備える情報処理装置も提供する。
この情報処理装置によれば、第 1の装置で生成されたデータに基づき生成された 第 1の誤り検出用コードと、第 2の装置で生成されたデータに基づき生成された第 2 の誤り検出用コードとを照合し、これらの誤り検出用コードが不一致であれば異常と 判定するので、確実に異常を検出することができる。各装置における処理は、演算処 理に限定されず、データを受信あるいは送信する処理、データを出力する処理、デ ータを転送する処理、データを格納する処理等、すべての処理を含む。
[0015] 上記情報処理装置は、前記コード照合部により異常と判定された場合に、前記第 1 の装置の処理を停止する処理停止部を備えてもょ 、。
この場合には、異常の場合に第 1の装置の処理が停止される。処理を停止する方 法は限定されない。例えば、処理の中間や出力段階で信号を遮断してもよいし、第 1 の装置をリセットして動作を停止してもよ 、。
[0016] 上記情報処理装置では、前記第 1のコード生成部は前記第 1の装置に設けられ、 前記第 2のコード生成部は前記第 2の装置に設けられて 、てもよ 、。
[0017] 上記情報処理装置では、前記コード照合部は、前記第 1の装置または前記第 2の 装置に設けられて 、てもよ 、。
[0018] 本発明は、誤り検出用コード付きデータに対して互いに独立して同一処理を実行 する第 1の装置および第 2の装置と、前記第 1の装置が受け取った第 1の誤り検出用 コード付きデータの異常の有無を、当該第 1の誤り検出用コードを用いて検査する第 1の検査部と、前記第 2の装置が受け取った第 2の誤り検出用コード付きデータの異 常の有無を、当該第 2の誤り検出用コードを用いて検査する第 2の検査部と、前記第 1の検査部で用いられた前記第 1の誤り検出用コードと前記第 2の検査部で用いられ た前記第 2の誤り検出用コードとを照合するコード照合部と、前記第 1の検査部による 検査結果若しくは前記第 2の検査部による検査結果が異常を示す場合、または、前 記コード照合部による照合の結果、前記両誤り検出用コードが不一致であれば異常 と判定する判定部と、を備える情報処理装置も提供する。 この場合には、第 1の検査部による検査結果若しくは第 2の検査部による検査結果 が異常を示す場合、または、コード照合部による照合の結果、両誤り検出用コードが 不一致であれば異常と判定するので、確実に異常を検出することができる。各装置 における処理は、演算処理に限定されず、データを受信あるいは送信する処理、デ ータを出力する処理、データを転送する処理、データを格納する処理等、すべての 処理を含む。
なお、第 1の検査部は第 1の装置が受け取った第 1の誤り検出用コード付きデータ に基づき誤り検出用コードを生成し、受け取った誤り検出用コードと生成された誤り 検出用コードとを比較することで異常の有無を検査する。第 2の検査部は第 2の装置 が受け取った第 2の誤り検出用コード付きデータに基づき誤り検出用コードを生成し 、受け取った誤り検出用コードと生成された誤り検出用コードとを比較することで異常 の有無を検査する。
「前記第 1の検査部および前記第 2の検査部で用いられる前記誤り検出用コード」 は、第 1の検査部あるいは第 2の検査部が生成した誤り検出用コード、および第 1の 検査部あるいは第 2の検査部が受け取った誤り検出用コードの両者を含む。
[0019] 上記情報処理装置は、前記判定部により異常と判定された場合に、前記第 1の装 置の処理を停止する処理停止部を備えてもょ ヽ。
この場合には、異常の場合に第 1の装置の処理が停止される。処理を停止する方 法は限定されない。例えば、処理の中間や出力段階で信号を遮断してもよいし、第 1 の装置をリセットして動作を停止してもよ 、。
[0020] 上記情報処理装置では、前記第 1の検査部は前記第 1の装置に設けられ、前記第 2の検査部は前記第 2の装置に設けられて 、てもよ 、。
[0021] 上記情報処理装置では、前記コード照合部は、前記第 1の装置または前記第 2の 装置に設けられて 、てもよ 、。
[0022] 本発明は、互いに独立して同一処理を実行する第 1の装置および第 2の装置と、前 記第 1の装置で生成されたデータと前記第 2の装置で生成されたデータとを照合する データ照合部と、前記第 1の装置で生成されたデータにカウント番号を付加するカウ ント部と、前記データ照合部による照合の結果、前記両データが不一致であれば、前 記カウント部によるカウント番号の付加を停止させるカウント停止部と、前記カウント部 により付加されたカウント番号に基づいて異常を判定する判定部と、を備える情報処 理装置も提供する。
この場合には、判定部は、カウント部により付加されたカウント番号に基づいて装置 の異常を判定するので、第 1の装置で生成されたデータ以外のデータを参照すること なく異常を検出できる。
[0023] 上記情報処理装置は、前記判定部により異常と判定された場合に、前記第 1の装 置の処理または前記第 2の装置の処理を停止する処理停止部を備えてもよい。 この場合には、異常の場合に第 1の装置の処理または第 2の装置の処理が停止さ れる。処理を停止する方法は限定されない。例えば、処理の中間や出力段階で信号 を遮断してもよいし、第 1の装置または第 2の装置をリセットして動作を停止してもよい
[0024] 上記情報処理装置では、前記第 1の装置および前記第 2の装置は、それぞれ個々 の半導体デバイスであってもよ 、。
[0025] 上記情報処理装置では、前記第 1の装置および前記第 2の装置は、それぞれ個々 の CPUであってもよい。
[0026] 上記情報処理装置では、前記第 1の装置および前記第 2の装置は、互いに絶縁状 態で実装されてもよい。
[0027] 本発明は、互いに独立して同一処理を実行する第 1の装置および第 2の装置を用 いた情報処理方法において、前記第 2の装置で生成されたデータを、前記第 2の装 置から前記第 1の装置に送信するステップと、前記第 2の装置から送信されたデータ と前記第 1の装置で生成されたデータとを照合し、これらのデータが不一致であれば 異常と判定するステップと、を備える情報処理方法も提供する。
この情報処理方法によれば、第 1の装置で生成されたデータと第 2の装置で生成さ れたデータとを照合し、これらのデータが不一致であれば異常と判定するので、確実 に異常を検出することができる。各装置における処理は、演算処理に限定されず、デ ータを受信あるいは送信する処理、データを出力する処理、データを転送する処理、 データを格納する処理等、すべての処理を含む。 [0028] 本発明は、互いに独立して同一処理を実行する第 1の装置および第 2の装置を用 いた情報処理方法において、前記第 1の装置で生成されたデータを、前記第 1の装 置から前記第 2の装置に送信するステップと、前記第 1の装置から送信されたデータ と前記第 2の装置で生成されたデータとを照合し、これらのデータが不一致であれば 異常と判定するステップと、を備える情報処理方法も提供する。
この情報処理方法によれば、第 1の装置で生成されたデータと第 2の装置で生成さ れたデータとを照合し、これらのデータが不一致であれば異常と判定するので、確実 に異常を検出することができる。各装置における処理は、演算処理に限定されず、デ ータを受信あるいは送信する処理、データを出力する処理、データを転送する処理、 データを格納する処理等、すべての処理を含む。
[0029] 上記情報処理方法は、前記第 2の装置から送信されるデータの送信のタイミングを 利用して、前記第 1の装置の処理および前記第 2の装置の処理を同期させるステツ プを備えてもよい。
この場合には、第 1の装置の処理および第 2の装置の処理を同期させるので、デー タの照合を正しく実行できる。また、データの送信のタイミングを利用して第 1の装置 の処理および第 2の装置の処理を同期させるので、同期のために必要な待ち時間を 短縮でき、処理効率の低下を防げる。
[0030] 本発明は、互いに独立して同一処理を同期して実行する第 1の装置および第 2の 装置を用いた情報処理方法において、前記第 1の装置で生成されたデータおよび前 記第 2の装置で生成されたデータをリアルタイムに取得するステップと、前記第 1の装 置で生成されたデータと前記第 2の装置で生成されたデータとを照合し、これらのデ ータが不一致であれば異常と判定するステップと、を備える情報処理方法も提供する この情報処理方法によれば、第 1の装置で生成されたデータと第 2の装置で生成さ れたデータとを照合し、これらのデータが不一致であれば異常と判定するので、確実 に異常を検出することができる。各装置における処理は、演算処理に限定されず、デ ータを受信あるいは送信する処理、データを出力する処理、データを転送する処理、 データを格納する処理等、すべての処理を含む。 [0031] 本発明は、互いに独立して同一処理を実行する第 1の装置および第 2の装置を用 いた情報処理方法において、前記第 1の装置で生成されたデータに基づき第 1の誤 り検出用コードを生成する第 1のコード生成ステップと、前記第 2の装置で生成された データに基づき第 2の誤り検出用コードを生成する第 2のコード生成ステップと、前記 第 1の誤り検出用コードと前記第 2の誤り検出用コードとを照合し、前記両誤り検出用 コードが不一致であれば異常と判定するステップと、を備える情報処理方法も提供す る。
この情報処理方法によれば、第 1の装置で生成されたデータに基づき生成された 第 1の誤り検出用コードと、第 2の装置で生成されたデータに基づき生成された第 2 の誤り検出用コードとを照合し、これらの誤り検出用コードが不一致であれば異常と 判定するので、確実に異常を検出することができる。各装置における処理は、演算処 理に限定されず、データを受信あるいは送信する処理、データを出力する処理、デ ータを転送する処理、データを格納する処理等、すべての処理を含む。
[0032] 本発明は、誤り検出用コード付きデータに対して互いに独立して同一処理を実行 する第 1の装置および第 2の装置を用いた情報処理方法において、前記第 1の装置 が受け取った第 1の誤り検出用コード付きデータの異常の有無を、当該第 1の誤り検 出用コードを用いて検査する第 1の検査ステップと、前記第 2の装置が受け取った第 2の誤り検出用コード付きデータの異常の有無を、当該第 2の誤り検出用コードを用 V、て検査する第 2の検査ステップと、前記第 1の検査ステップで用 1、られた前記第 1 の誤り検出用コードと前記第 2の検査ステップで用いられた前記第 2の誤り検出用コ 一ドとを照合するコード照合ステップと、前記第 1の検査ステップによる検査結果若し くは前記第 2の検査ステップによる検査結果が異常を示す場合、または、前記コード 照合ステップによる照合の結果、前記両誤り検出用コードが不一致であれば異常と 判定するステップと、を備える情報処理方法も提供する。
この場合には、第 1の検査ステップによる検査結果若しくは第 2の検査ステップによ る検査結果が異常を示す場合、または、コード照合ステップによる照合の結果、これ らの誤り検出用コードが不一致であれば異常と判定するので、確実に異常を検出す ることができる。各装置における処理は、演算処理に限定されず、データを受信ある いは送信する処理、データを出力する処理、データを転送する処理、データを格納 する処理等、すべての処理を含む。
[0033] 本発明は、互いに独立して同一処理を実行する第 1の装置および第 2の装置を用 いた情報処理方法において、前記第 1の装置で生成されたデータと前記第 2の装置 で生成されたデータとを照合するステップと、前記第 1の装置で生成されたデータに カウント番号を付加するステップと、前記データ照合の結果、前記両データが不一致 であれば、カウント番号の付加を停止させるステップと、前記付加されたカウント番号 に基づ!/ヽて異常を判定するステップと、を備える情報処理方法も提供する。
この場合には、付加されたカウント番号に基づいて異常を判定するので、第 1の装 置で生成されたデータ以外のデータを参照することなく異常を検出できる。各装置に おける処理は、演算処理に限定されず、データを受信あるいは送信する処理、デー タを出力する処理、データを転送する処理、データを格納する処理等、すべての処 理を含む。
発明の効果
[0034] 上記情報処理装置および上記情報処理方法によれば、第 1の装置で生成された データと第 2の装置で生成されたデータとを照合し、これらのデータが不一致であれ ば異常と判定するので、確実に異常を検出することができる。
図面の簡単な説明
[0035] [図 1] (a)及び (b)は、本発明に係る情報処理装置を機能的に示すブロック図である。
[図 2] (a)及び (b)は、本発明に係る情報処理装置を機能的に示すブロック図である。
[図 3] (a)及び (b)は、本発明に係る情報処理装置を機能的に示すブロック図である。
[図 4]は、実施例 1の情報処理装置が適用される安全システムの構成を示すブロック 図である。
[図 5]は、第 1実施例の情報処理装置の構成の一部を示すブロック図である。
[図 6]は、通信処理のシーケンスを示す図である。
[図 7] (a)及び (b)は通信フレームの構成を示す図であり、図 7 (a)は個々の通信フレ ームの構成を示し、図 7 (b)は通信状態が正常な場合の動作を示す。
[図 8]は、実施例 2の情報処理装置の構成を示すブロック図である。 [図 9]は、実施例 3の情報処理装置の構成を示すブロック図である。
[図 10]は、実施例 4の情報処理装置の構成の一部を示すブロック図である 符号の説明
[0036] 101 送信部
102 データ照合部
103 処理停止部
104 同期部
105 取得部
106 第 1のコード生成部
107 第 2のコード生成部
108 コード照合部
109 処理停止部
111 第 1の検査部
112 第 2の検査部
113 コード照合部
114 判定部
115 処理停止部
116 データ照合部
117 カウント咅
118 カウント停止部
119 判定部
120 処理停止部
発明を実施するための最良の形態
[0037] 図 1 (a)〜図 3 (b)は、本発明に係る情報処理装置を機能的に示すブロック図であ る。
[0038] 図 1 (a)に示す形態において、送信部 101は、第 2の装置で生成されたデータを、 第 2の装置から第 1の装置に送信する。データ照合部 102は、送信部 101から送信さ れたデータと第 1の装置で生成されたデータとを照合し、これらのデータが不一致で あれば異常と判定する。
[0039] 処理停止部 103は、データ照合部 102より異常と判定された場合に、第 1の装置の 処理を停止する。
[0040] 同期部 104は、送信部 101から送信されるデータの送信のタイミングを利用して、 第 1の装置の処理および第 2の装置の処理を同期させる。
[0041] 図 1 (b)に示す形態において、送信部 101は、第 1の装置で生成されたデータを、 第 1の装置から第 2の装置に送信する。データ照合部 102は、送信部 101から送信さ れたデータと第 2の装置で生成されたデータとを照合し、これらのデータが不一致で あれば異常と判定する。
[0042] 処理停止部 103は、データ照合部 102により異常と判定された場合に、第 1の装置 の処理を停止する。
[0043] 同期部 104は、送信部 101から送信されるデータの送信のタイミングを利用して、 第 1の装置の処理および第 2の装置の処理を同期させる。
[0044] 図 2 (a)に示す形態において、取得部 105は、第 1の装置で生成されたデータおよ び第 2の装置で生成されたデータをリアルタイムに取得する。データ照合部 102は、 取得部 105により取得された、第 1の装置で生成されたデータと第 2の装置で生成さ れたデータとを照合し、これらのデータが不一致であれば異常と判定する。
[0045] 処理停止部 103は、データ照合部により異常と判定された場合に、第 1の装置の処 理を停止する。
[0046] 図 2 (b)に示す形態において、第 1のコード生成部 106は、第 1の装置で生成され たデータに基づき第 1の誤り検出用コードを生成する。第 2のコード生成部 107は、 第 2の装置で生成されたデータに基づき第 2の誤り検出用コードを生成する。コード 照合部 108は、第 1のコード生成部 106により生成された第 1の誤り検出用コードと第 2のコード生成部 107により生成された第 2の誤り検出用コードとを照合し、両誤り検 出用コードが不一致であれば異常と判定する。
[0047] 処理停止部 109は、コード照合部 108により異常と判定された場合に、第 1の装置 の処理を停止する。
[0048] 図 3 (a)に示す形態において、第 1の検査部 111は、第 1の装置が受け取った第 1 の誤り検出用コード付きデータの異常の有無を、当該第 1の誤り検出用コードを用い て検査する。第 2の検査部 112は、第 2の装置が受け取った第 2の誤り検出用コード 付きデータの異常の有無を、当該第 2の誤り検出用コードを用いて検査する。コード 照合部 113は、第 1の検査部 111で用いられた第 1の誤り検出用コードと第 2の検査 部 112において用いられた第 2の誤り検出用コードとを照合する。判定部 114は、第 1の検査部 111による検査結果若しくは第 2の検査部 112による検査結果が異常を 示す場合、または、コード照合部 113による照合の結果、両誤り検出用コードが不一 致であれば異常と判定する。
[0049] 処理停止部 115は、判定部 114により異常と判定された場合に、第 1の装置の処理 を停止する。
[0050] 図 3 (b)に示す形態において、データ照合部 116は、第 1の装置で生成されたデー タと第 2の装置で生成されたデータとを照合する。カウント部 117は、第 1の装置で生 成されたデータにカウント番号を付加する。カウント停止部 118は、データ照合部 11 6による照合の結果、両データが不一致であればカウント部 117によるカウント番号の 付加を停止させる。判定部 119は、カウント部 117により付加されたカウント番号に基 づいて異常を判定する。
[0051] 処理停止部 120は、判定部 119により異常と判定された場合に、第 1の装置の処理 または第 2の装置の処理を停止する。
[0052] 以下、図 4〜図 10を参照して、本発明による情報処理装置の実施例 1〜4について 説明する。
実施例 1
[0053] 図 4は実施例 1の情報処理装置が適用される安全システムの構成を示すブロック図 である。この安全システムはプラント制御システムの一部として構成されて 、る。
[0054] 図 4に示すように、プラント制御システムは、プラント各部に配置された電磁弁ゃセ ンサ等のフィールド機器 1, 1, · · ·を統合的に管理、制御するコントローラ 2と、コント ローラ 2およびフィールド機器 1の間に介装される入出力装置 3, 3, · · ·と、を備える。 入出力装置 3, 3,…は、ネットワーク 4を介してコントローラ 2に接続されている。また 、フィールド機器 1, 1,…は、ターミナルボード 5を介して入出力装置 3に接続されて いる。
[0055] 図 4に示すように、入出力装置 3にはフィールド機器 1とコントローラ 1との間のインタ 一フェース処理を実行する入出力ユニット 3a, 3b, · · ·が実装される。後述するように 、これらの入出力ユニット 3a, 3b, · · 'では、信頼性向上を目的として、互いに独立し て同一処理を実行している。
[0056] 図 5は入出力ユニット 3aの構成の一部を示すブロック図である。図 5では、下流ェ 程であるフィールド機器 1の側力も入力された入力値を加工して、上流工程であるコ ントローラ 2の側に PV値（プロセス値）を出力するユニットの例を示している。
[0057] 図 5に示すように、このユニットは、マスター CPU10と、スレーブ CPU20とを備え、 それぞれの CPU10および CPU20が互いに独立して同一処理を実行する。また、 C PU10および CPU20は、それぞれその周囲に実装された周辺回路の診断を実行す る。
[0058] 図 5に示すように、フィールド機器 1からの入力値は、入力部 71および入力バッファ 72を介してマスター CPU10に入力される。マスター CPU10の周囲の周辺回路 74 は診断回路 75により診断される。また、入力バッファ 72から出力された信号が診断 回路 75に入力され、信号の異常の有無が診断される。周辺回路 74の異常の有無、 および入力バッファ 72から出力された信号の異常の有無は、診断回路 75からの診 断情報としてマスター CPU 10に入力される。
[0059] 同様に、フィールド機器 1からの同一の入力値は入力部 71および入力バッファ 73 を介してスレーブ CPU20に入力される。スレーブ CPU20の周囲の周辺回路 76は 診断回路 77により診断される。また、入力バッファ 73から出力された信号が診断回 路 77に入力され、信号の異常の有無が診断される。周辺回路 76の異常の有無、お よび入力バッファ 73から出力された信号の異常の有無は、診断回路 77からの診断 情報としてスレーブ CPU20に入力される。
[0060] 図 5に示すように、マスター CPU10は、入力バッファ 72を経由して入力された入力 値に対する演算処理を実行し、コントローラ 2の側である上流工程で処理可能な形式 の PV値 (プロセス値）に変換する PV値処理部 11と、診断回路 75からの診断情報を 受けて異常の検出および判定を実行し、診断結果であるステータスを生成する診断 部 12とを備える。
[0061] また、マスター CPU10は、スレーブ CPU20との間で通信を実行するための通信ブ ロック 13と、 PV値およびステータスに、 CRC (Cyclic Redundancy Check;巡回冗長 検査)コードおよび更新カウンタを付加するコード生成部 14とを備える。
[0062] また、スレーブ CPU20は、入力バッファ 73を経由して入力された入力値に対する 演算処理を実行し、コントローラ 2の側である上流工程で処理可能な形式の PV値 (プ ロセス値）に変換する PV値処理部 21と、診断回路 77からの診断情報を受けて異常 の検出および判定を実行し、診断結果であるステータスを生成する診断部 22とを備 える。
[0063] また、スレーブ CPU20は、マスター CPU10との間で通信を実行するための通信ブ ロック 23と、 PV値およびステータスに、 CRC (Cyclic Redundancy Check;巡回冗長 検査)コードおよび更新カウンタを付加するコード生成部 24とを備える。
[0064] 次に、本ユニットの動作について説明する。
[0065] マスター CPU10では、診断部 12で生成されたステータスと、スレーブ CPU20の診 断部 24で生成され、通信ブロック 23および通信ブロック 13による通信を介して取得 されたステータスとを、等値ィ匕部 15において、比較、等値化する。等値ィ匕はマスター CPU10で取り扱うステータスと、スレーブ CPU20で取り扱うステータスとを同一にす る処理である。等値ィ匕部 15ではステータスの OR情報を生成する。すなわち、等値ィ匕 部 15では、いずれかのステータスが異常を示す場合、その異常を取り込んだステー タスに変更し、コード生成部 14に受け渡す。後述するように、スレーブ CPU20でも同 様の処理を行うことで、マスター CPU10およびスレーブ CPU20で取り扱うステータ スを共通化する。
[0066] PV値処理部 11で生成された PV値は、コード生成部 14に与えられる。しかし、等 値ィ匕部 15での処理に基づきステータスの異常が検出された場合には、遮断部 16に よりコード生成部 14への PV値の入力が遮断される。
[0067] コード生成部 14では、入力された PV値および等値ィ匕部 15で生成されたステータ スに基づいて CRCコードを生成する。また、新たな PV値およびステータスが入力さ れるたびにカウント番号を更新し、 CRCコードに付加したコードを生成する。コード生 成部 14では、このように生成したコードを PV値およびステータスに付加することで、 P V値、ステータス、 CRCコードおよびカウント番号からなるフレームを生成する。カウン ト番号は、 PV値およびステータスの更新ごとにインクリメントされる。
[0068] コード生成部 14で作成されたフレームと同様のフレームは、スレーブ CPU20のコ ード生成部 24で同様に生成され、通信ブロック 23および通信ブロック 13による通信 を介して取得される。コード生成部 14で作成されたフレームと、コード生成部 24で作 成されたフレームとは、比較部 17において照合される。比較部 17では、両フレーム の不一致が検出されれば異常と判断する。後述するように、スレーブ CPU20でも同 様の処理を行うことで、マスター CPU10およびスレーブ CPU20は、互いに相手方の 処理結果を自らの処理結果と照合し、不一致であれば異常と判断している。マスター CPU10およびスレーブ CPU20におけるすべての処理が正常であれば、比較部 17 における照合の結果、両フレームは一致することになる。
[0069] コード生成部 14で生成されたフレームは、上流工程である出力部 78に出力される 。しかし、比較部 17において両フレームの不一致が検出され、異常と判断されれば、 遮断部 18によって、フレームの出力が遮断される。また、後述するように、スレーブ C PU20の比較部 27においてフレームの不一致が検出された場合には、フェイルセィ フ部 79において、フレームの出力が遮断される。
[0070] 一方、スレーブ CPU20では、診断部 22で生成されたステータスと、マスター CPU 10の診断部 14で生成され、通信ブロック 13および通信ブロック 23による通信を介し て取得されたステータスとを、等値ィ匕部 25において、比較、等値化する。等値化部 2 5ではステータスの OR情報を生成する。すなわち、等値ィ匕部 25では、いずれかのス テータスが異常を示す場合、その異常を取り込んだステータスに変更し、コード生成 部 24に受け渡す。
[0071] PV値処理部 21で生成された PV値は、コード生成部 24に与えられる。しかし、等 値ィ匕部 25での処理に基づきステータスの異常が検出された場合には、遮断部 26に よりコード生成部 24への PV値の入力が遮断される。
[0072] コード生成部 24では、入力された PV値および等値ィ匕部 25で生成されたステータ スに基づいて CRCコードを生成する。また、新たな PV値およびステータスが入力さ れるたびにカウント番号を更新し、 CRCコードに付加したコードを生成する。コード生 成部 24では、このように生成したコードを PV値およびステータスに付加することで、 P V値、ステータス、 CRCコードおよびカウント番号からなるフレームを生成する。カウン ト番号は、 PV値およびステータスの更新ごとにインクリメントされる。
[0073] コード生成部 24で作成されたフレームは、マスター CPU10のコード生成部 14で同 様に生成され通信ブロック 13および通信ブロック 23による通信を介して取得されたフ レームと、比較部 27において照合される。比較部 27において両フレームの不一致が 検出されれば異常と判断する。
[0074] 比較部 27においてフレームの不一致が検出された場合、比較部 27から異常を示 すフェイルセィフ信号が出力され、フェイルセィフ部 79に与えられる。この場合、フエ ィルセィフ部 79において、 CPU10からのフレームの出力が遮断され、出力部 78へ の新たなフレームの出力が阻止される。フェイスセィフ部 79により出力を遮断する代 わりに、 CPU20から CPU10のリセット回路にリセット信号を出力してもよい。この場 合、リセット信号を受けた CPU10は強制的にリセットされ、出力部 78への出力が阻 止される。
[0075] 出力部 78への出力が阻止された場合、カウント番号の更新が停止するため、出力 部 78以降の後段の上流工程では、カウント番号を参照するだけで情報の出力が停 止したことを認識できる。
[0076] 次に、マスター CPU10およびスレーブ CPU20間の通信方法について説明する。
上記のように、マスター CPU10およびスレーブ CPU20ではリアルタイムにデータを 交換し、データの照合を行っている。このため、両者の CPUにおける処理のタイミン グがずれると、時間軸方向に異なる別々の処理結果を比較することになり、照合の不 一致が発生する。このため、本実施例の装置では、両者の CPUが常に同じ動作を実 行している必要がある。そこで、マスター CPU10の側から非同期通信（UART)を利 用してタイミングフェイズトリガを送信し、スレーブ CPU20が同期して同一のシーケン スで処理を実行できるよう制御して 、る。
[0077] 図 6は通信処理のシーケンスを示す図である。図 7 (a)及び図 7 (b)は通信フレーム の構成を示す図であり、図 7 (a)は個々の通信フレームの構成を示し、図 7 (b)は通信 状態が正常な場合の動作を示す。
[0078] 図 6に示すように、マスター CPU10はスレーブ CPU20に、タイミングフェイズトリガ 付きのコマンドを定周期で送信する。コマンドを受信したスレーブ CPU20は、マスタ 一 CPU10にレスポンスを返送する。このような処理の後、両者の CPUが同一のフエ ィズを実行することで、両者の CPUの処理を同期させる。
[0079] 図 7 (a)に示すように、マスター CPU10は通信ブロック 13を介してタイミングフェイ ズトリガ付きのコマンドを送信する。スレーブ CPU20は通信ブロック 23を介してコマ ンドを受信する。スレーブ CPU20では、受信されたコマンドに表現されたフェイズ (シ 一ケンス番号）と、期待されるフェイズ (シーケンス番号）、すなわち次に処理すべきフ エイズ（図 7 (a)では 'BR〉Tエイズ 1)とを比較し、両者が一致していれば通信状態が 正常であると認識する。通信状態が正常であると認識した場合には、スレーブ CPU2 0は通信ブロック 23を介してマスター CPU 10に当該フェイズ（図 7 (a)ではフェイズ 1 ) を示す情報（シーケンス番号）を含んだレスポンスを返送する。マスター CPU 10は、 スレーブ CPU20からのレスポンスを一定時間内に受信し、かつ受信されたレスポン スに表現されたフェイズ (シーケンス番号）が適正であれば、通信状態が正常であると 認識する。
[0080] コマンドおよびレスポンスの送受信により通信状態を確認するコマンドトリガ期間の 後、全二重化通信期間に移行する。全二重化通信期間では、マスター CPU10およ びスレーブ CPU20は、それぞれ同一フェイズ（図 7 (a)ではフェイズ 1)の処理を実行 し、マスター CPU10からスレーブ CPU20にデータ MAが、スレーブ CPU20からに マスター CPU10データ SL力 並行して送信される。データ MAおよびデータ SLに は、それぞれ上述した、等値ィ匕のために送受信されるステータス、および照合のため に送受信されるフレーム（PV値、ステータス、 CRCコードおよびカウント番号からなる フレーム）が含まれる。
[0081] 図 7 (b)に示すように、このようなフェイズを順次繰り返すことで、マスター CPU10お よびスレーブ CPU20において同一処理が互いに同期して実行される。
[0082] 以上説明したように、実施例 1では、両 CPUで CRCコードを生成し、 CRC付きのデ ータ（フレーム）で照合を実行するため、照合の信頼性が高まる。また、両 CPUで照 合の結果、いずれもデータが一致した場合に限り上流工程に情報を通知し、いずれ か一方の CPUで異常が判定されれば、上流工程への情報の出力が確実に防止さ れる。このため、上流工程に出力した情報の信頼性を高めることができる。すなわち、 上流工程における検査で CRCコードが正常であれば、そのデータは入出力ユニット 3a内部で CPU間照合された高信頼のデータであることを意味する。また、上流工程 でも CRCコードの検査を行うことで、 CPU内部において CRC付きデータを取り扱う 全工程につ!、て、異常の有無を改めて診断できることになる。
[0083] また、 CPU間通信を用いて CRC付きのデータを送受信し、両 CPUで照合して 、る ので、別途、 CPU間通信フレームのチェック、例えば、フレームサム、パリティ一等の チェックを実行する必要がな 、。
[0084] 実施例 1では、 CPU間通信のタイミングを利用してフェイズごとに処理の同期を取 るようにしている。このため、同期化のための無駄な処理が不要で、同期化処理に起 因するパフォーマンスの低下がない。すなわち、本来必須の通信内容に、フェイズを 特定するシーケンス番号を挿入するだけで、余分な処理を要求しない。また、このよう な同期化により両 CPUが常に同期して同一フェイズを実行するので、 CPU間のデー タ照合の精度を高めることができる。一方で、 CPU外部の要因で発生する過渡的な 状態変化に対しても、両 CPUが同時に追従するため、突発的なデータ照合の不一 致が発生しない。また、基本的に CPU20は CPU10から指定されたフェイズを実行 する関係にあるので、フェイズの同期がずれても、容易に復帰可能である。
[0085] 実施例 1では、両 CPUのデータを互いに照合する前段で、各 CPUが生成したステ 一タスを等値ィ匕している。このため、いずれかの CPUでステータスの異常が検知され た場合には、ステータスの等値ィ匕によりステータスが異常であることの認識が両 CPU で共有化される。このため、ステータスの異常時に後段におけるデータ照合不一致と はならず、ステータス異常と、データの照合不一致とを切り分けて認識可能となる。こ のため、異常状態を正しく通知することが可能となる。このようなステータスの等値ィ匕 は、とくに CPUごとに独立した周辺回路を増やしてでも CPU間に共通回路部分を減 らし、 CPUを疎結合させる必要がある場合により有効である。また、一方の CPUだけ でしか周辺回路の診断ができないような場合にも有効である。 [0086] 実施例 1で示した等値化の処理、 CRCコードの付加、データ照合のシーケンス等 は、 CPUのプラグラムにより容易に実現できる。また、 CPU間通信は、 CPUに標準 的に実装されている非同期通信 (UART)機能を用いて容易に実現できる。また、 C PU間通信をシリアル通信とすることで、 2つの CPUを互いに絶縁されたフィールド機 器側と、コントローラ側に実装する場合でも、実装が容易である。
実施例 2
[0087] 実施例 2の情報処理装置は、マスター CPUと、スレーブ CPUとが、互いに絶縁され て実装される例を示して 、る。
[0088] 図 8は、実施例 2の情報処理装置としての入出力ユニットの構成を示すブロック図で ある。
[0089] 図 4に示したようなプラント制御システムでは、通常、コントローラ 2とフィールド機器 1とが距離を置いて設置されている。したがって、地表を伝播するノイズや落雷の影 響から逃れる目的で、コントローラ 2およびフィールド機器 1のグランドは互いに分離し て設けられる。このため、コントローラ 2の側と、各フィールド機器 1との間は、電気的 な絶縁状態を維持する必要がある。
[0090] 図 8に示す入出力ユニット 3bでは、絶縁境界 Lを介してマスター CPU10Aがコント ローラ 2側（上流側）に、スレーブ CPU20Aがフィールド機器 1側（下流側）に設けら れている。下流側からのアナログ入力値は入力回路 32を経て、 AD変換部 33におい てデジタル信号に変換され、スレーブ CPU20Aに入力される。診断部 34には、スレ ーブ CPU20Aとグランド電位を共通にする周辺回路 35からの情報が与えられるとと もに、入力回路 32から出力された入力値が与えられる。診断部 34では周辺回路 35 力もの情報および入力回路 32から出力された入力値に基づく診断情報をスレーブ C PU20Aに与える。
[0091] 一方、下流側からの入力値はフォトカプラ 37を介してマスター CPU10Aにも入力さ れる。アナログ入力値はフォトカプラ 37において 2値化される。マスター CPU10Aで は 2値化された信号 (デジタル信号）に基づく処理を実行する。
[0092] なお、入力値は複数チャンネル (例えば 8チャンネル)で構成されており、入力回路 32、 AD変換部 33およびフォトカプラ 37は、チャンネル数に対応する数のユニットが 用意されている。
[0093] マスター CPU10Aおよびスレーブ CPU20Aは、それぞれに設けられた CPU間通 信ブロック 11Aおよび CPU間通信ブロック 21Aを介してタイミングフェイズトリガ付き コマンド、およびコマンドに対するレスポンスを送受信する。これにより、互いに独立し つつ、同一処理を同期して実行する。また、マスター CPU10Aおよびスレーブ CPU 20Aは、 CPU間通信ブロック 11Aおよび CPU間通信ブロック 21Aを介して互!、の データを送受信し合い、データの照合をそれぞれ行う。さら〖こ、スレーブ CPU20Aで 得られた診断情報はマスター CPU10Aにも送信され、ステータスの等値ィ匕が実行さ れる。
[0094] マスター CPU10Aでは、等値化されたステータスが異常を示すことなぐかつ、マス ター CPU10Aおよびスレーブ CPU20Aのデータの照合の結果、両者が一致する場 合に限って、上位通信ブロック 12Aを介して上位ブロック 38にデータを通知する。ま た、スレーブ CPU20Aにお!/、てマスター CPU10Aおよびスレーブ CPU20Aのデー タの不一致が検知された場合には、リセット信号をマスター CPU10Aに送出する。こ の場合、マスター CPU10Aはリセット信号により強制的にリセット状態とされ、マスタ 一 CPU10Aから上位ブロック 38へのデータの通知が阻止される。なお、 CPU間の 通信経路およびリセット信号の伝送ラインは、絶縁境界 Lにおいて、フォト力ブラ等に よりマスター CPU10Aおよびスレーブ CPU20A間で絶縁されている。
[0095] 図 8に示すユニット 3bでは、スレーブ CPU20Aがフィールド機器 1側に実装されて いるので、フィールド機器 1側に実装された周辺回路 35からの情報や入力回路 32を 経由した入力値を容易に取り込むことができ、詳細な診断を実行できる。また、 CPU 間通信は非同期通信 (UART)等を用いることで、少ない本数の通信ラインによって 実行可能であるため、絶縁状態を容易に維持することができる。このため、 CPU間通 信により診断情報であるステータスを両 CPU間で等値ィ匕することで、スレーブ CPU2 OAでの詳細な診断結果をマスター CPU10Aにおいても有効に活用できる。
実施例 3
[0096] 実施例 3の情報処理装置は、フィールド機器 1 (図 4)側からのアナログ信号をデジ タル信号に変換し、 2つの CPUが共通のデジタル信号を受けてコントローラ 2 (図 4) 側にデータを出力する入出力ユニットの例を示している。図 9は、実施例 3の情報処 理装置としての入出力ユニットの構成を示すブロック図である。
[0097] 図 9に示す入出力ユニット 3cは、互いに独立して同一処理を実行するマスター CP U10Bおよびスレーブ CPU20Bと、複数チャンネル（例えば 8チャンネル）のアナログ 信号を受け、 1つの信号を選択するメインのマルチプレクサ 41およびサブのマルチプ レクサ 42と、マルチプレクサ 41からのアナログ信号を受ける入力増幅器 43と、入力 増幅器 43から出力された信号をデジタル信号に変換してマスター CPU10Bおよび スレーブ CPU20Bに与える AD変^ ^44とを備える。
[0098] メインのマルチプレクサ 41およびサブのマルチプレクサ 42の出力信号は、マスター CPU10Bおよびスレーブ CPU20Bでそれぞれ比較され、不一致の場合にはステー タスの異常と判断する。またステータスは CPU間通信で交換され、ステータスの等値 化が行われる。これにより、マルチプレクサ 41の動作の健全性が診断される。また、 入力増幅部 43および AD変換器 44は全チャンネルに対し共通であるが、マルチプ レクサ 41を介して一定周期で入力増幅部 43に基準電圧を入力し、 AD変換器 44の 出力をマスター CPU10Bおよびスレーブ CPU20Bでそれぞれ確認することで、ステ 一タスを監視している。この場合も、ステータスは CPU間通信で交換され、ステータス の等値ィ匕が行われる。
[0099] マスター CPU10Bおよびスレーブ CPU20Bは、それぞれに設けられた CPU間通 信ブロック 11Bおよび CPU間通信ブロック 21Bを介してタイミングフェイズトリガ付きコ マンド、およびコマンドに対するレスポンスを送受信することで、互いに独立しつつ、 同一処理を同期して実行する。また、マスター CPU10Bおよびスレーブ CPU20Bで 得られたステータスは CPU間通信により交換され、ステータスの等値ィ匕が実行される 。さらに、マスター CPU10Bおよびスレーブ CPU20Bは、 CPU間通信ブロック 11B および CPU間通信ブロック 21Bを介して互!、のデータを送受信し合!、、データの照 合を行う。
[0100] マスター CPU10Bでは、等値化されたステータスが異常を示すことなぐかつ、マス ター CPU10Bおよびスレーブ CPU20Bのデータの照合の結果、両者が一致する場 合に限って、通信ブロック 12Bを介して上位ブロック 45にデータを通知する。また、ス レーブ CPU20Bにおいてマスター CPU10Bおよびスレーブ CPU20Bのデータの不 一致が検知された場合には、リセット信号をマスター CPU10Bに送出する。この場合 、マスター CPU10Bはリセット信号により強制的にリセット状態とされ、マスター CPU 10Bから上位ブロック 45へのデータの通知が阻止される。
実施例 4
[0101] 実施例 4の情報処理装置は、コントローラ 2 (図 4)側（上流側)から入力された CRC コード付きのデータを、フィールド機器 1 (図 4)側（下流側）に出力する入出力ユニット の例を示している。図 10は、実施例 4の情報処理装置としての入出力ユニットの構成 の一部を示すブロック図である。
[0102] 図 10に示す入出力ユニットは、互いに独立して処理を実行する CPU50および CP U60を備える。
[0103] CPU50は、入力部 81を経由して入力されたデータに基づいて CRCコードの検査 を実行するコード検査部 51と、 CPU60との間で通信を実行する通信ブロック 52と、 入力されたデータをフィールド機器 1側で使用される形式に変換する設定値処理部 5 3とを備える。
[0104] CPU60は、 CPU50から転送されたデータに基づいて CRCコードの検査を実行す るコード検査部 61と、 CPU60との間で通信を実行する通信ブロック 62と、入力され たデータをフィールド機器 1側で使用される形式に変換する設定値処理部 63とを備 える。
[0105] 次に、図 10に示す入出力ユニットの動作について説明する。
[0106] コントローラ 2側からのデータは入力部 81を介して CPU50に入力される。このデー タは、フィールド機器 1 (例えば電磁弁)を特定する設定先と、設定先に設定されるべ き設定値 (例えば電磁弁の開度)と、設定値および設定先のデータに基づいて作成 された CRCコードとを含んで!/、る。
[0107] CPU50に入力されたデータはコード検査部 51に与えられる。コード検査部 51で は、受け取った設定値および設定先のデータに基づいて CRCコードを作成する。そ して、データとして受け取った CRCコードと、コード検査部 51で作成した CRCコード とを比較する。コード検査部 51は、両者の CRCコードが不一致であれば異常と判断 し、この場合には遮断部 54においてデータを遮断する。
[0108] 一方、 CPU50に入力されたデータは通信ブロック 52を介して送信される。送信さ れたデータは通信ブロック 62を介して CPU60で受信される。
[0109] CPU60で受信されたデータはコード検査部 61に与えられる。コード検査部 61で は、受け取った設定値および設定先のデータに基づいて CRCコードを作成する。そ して、データとして受け取った CRCコードと、コード検査部 61で作成した CRCコード とを比較する。コード検査部 61は、両者の CRCコードが不一致であれば異常と判断 し、この場合には遮断部 64においてデータを遮断する。
[0110] 次に、 CPU50のコード検査部 51で作成された CRCコードは通信ブロック 52を介し て送信される。送信された CRCコードは通信ブロック 62を介して CPU60で受信され る。また、 CPU50のコード検査部 51で作成された CRCコードは、比較部 55におい て、 CPU60から送信されてきた CRCコードと比較される。
[0111] 比較部 55は両者の CRCを比較した結果、両者の CRCコードが一致しなければ異 常と判断する。この場合、遮断部 56においてデータを遮断する。
[0112] CPU60では、コード検査部 61で作成した CRCコードを、通信ブロック 62を介して 送信する。送信された CRCコードは、通信ブロック 52を介して CPU50で受信される
。この CRCコードは、上記のように、比較部 55においてコード検査部 51で作成され た CRCコードと比較される。
[0113] また、 CPU60のコード検査部 61で作成された CRCコードは、比較部 65において、
CPU50から送信されてきた CRCコードと比較される。
[0114] 比較部 65は両者の CRCを比較した結果、両者の CRCコードが一致しなければ異 常と判断する。この場合、遮断部 66においてデータを遮断する。
[0115] 次に、 CPU50では、入力部 81から受け取ったデータが設定値処理部 53に与えら れる。しかし、上記のように、異常と判断された場合には、遮断部 54あるいは遮断部 5
6においてデータの受け渡しが阻止され、設定値処理部 53での処理が停止される。
[0116] データが入力される場合、設定値処理部 53では、設定値および設定先のデータを フィールド機器 1側で使用される形式に変換する。
[0117] 一方、 CPU60では、 CPU50から送信されてきたデータが設定値処理部 63に与え られる。しかし、上記のように、異常と判断された場合には、遮断部 64あるいは遮断 部 66においてデータの受け渡しが阻止され、設定値処理部 63での処理が停止され る。
[0118] データが入力される場合、設定値処理部 63では、設定値および設定先のデータを フィールド機器 1側で使用される形式に変換し、出力部 82に設定値および設定先の データを出力する。
[0119] 出力部 82に出力された設定値および設定先のデータは、診断回路 83を介して CP U60の比較部 67に入力される。また、比較部 67には、設定値処理部 63から出力さ れた設定値および設定先のデータが直接入力される。
[0120] 比較部 67では、設定値処理部 63から出力された段階での設定値および設定先の データと、診断回路 83を経由した設定値および設定先のデータとを比較し、両者が 不一致であれば異常と判断する。この場合には遮断部 68において設定値および設 定先のデータを遮断し、出力部 82への設定値および設定先のデータの出力を阻止 する。
[0121] また、 CPU60から出力部 82に出力された設定値および設定先のデータは、診断 回路 84を介して CPU50の比較部 57に入力される。さらに、比較部 57には、設定値 処理部 53から出力された設定値および設定先のデータが直接入力される。
[0122] 比較部 57では、設定値処理部 53から出力された設定値および設定先のデータと、 CPU60から出力された設定値および設定先のデータとを比較し、両者が不一致で あれば異常と判断する。この場合にはフェイルセィフ回路 85において設定値および 設定先のデータを遮断し、 CPU60から出力部 82への設定値および設定先のデー タの出力を阻止する。
[0123] このように、実施例 4では、 CPU60の側が出力部 82へのデータ出力を実行してい る力 CPU60では出力されたデータを自らトレースし、異常と判断した場合にはデー タ出力を停止している。また、 CPU50でも、 CPU60により出力部 82へ出力されたデ ータを同時にトレースし、異常と判断した場合には CPU50の側力も CPU60による出 力を阻止している。このため、いずれかの CPUにより異常と判断した場合にはデータ 出力が阻止されるため、誤ったデータが出力部 82に出力されることを確実に防止で きる。
[0124] 本発明の適用範囲は上記実施形態に限定されることはない。また、本発明は、安 全システムのみならず、各種情報を取り扱う情報処理システムに対し、広く適用するこ とがでさる。
[0125] 本出願は、 2005年 1月 28日出願の日本特許出願 (特願 2005— 021423)に基づくも のであり、その内容はここに参照として取り込まれる。

Claims

請求の範囲
[1] 互いに独立して同一処理を実行する第 1の装置および第 2の装置と、
前記第 2の装置で生成されたデータを、前記第 2の装置から前記第 1の装置に送信 する送信部と、
前記送信部から送信されたデータと前記第 1の装置で生成されたデータとを照合し
、これらのデータが不一致であれば異常と判定するデータ照合部と、
を備えることを特徴とする情報処理装置。
[2] 前記データ照合部により異常と判定された場合に、前記第 1の装置の処理を停止 する処理停止部を備えることを特徴とする請求項 1に記載の情報処理装置。
[3] 前記送信部は、前記第 2の装置に設けられていることを特徴とする請求項 1に記載 の情報処理装置。
[4] 互いに独立して同一処理を実行する第 1の装置および第 2の装置と、
前記第 1の装置で生成されたデータを、前記第 1の装置から前記第 2の装置に送信 する送信部と、
前記送信部から送信されたデータと前記第 2の装置で生成されたデータとを照合し
、これらのデータが不一致であれば異常と判定するデータ照合部と、
を備えることを特徴とする情報処理装置。
[5] 前記データ照合部により異常と判定された場合に、前記第 1の装置の処理を停止 する処理停止部を備えることを特徴とする請求項 4に記載の情報処理装置。
[6] 前記送信部は、前記第 1の装置に設けられていることを特徴とする請求項 4に記載 の情報処理装置。
[7] 前記送信部カゝら送信されるデータの送信のタイミングを利用して、前記第 1の装置 の処理および前記第 2の装置の処理を同期させる同期部を備えることを特徴とする 請求項 1に記載の情報処理装置。
[8] 前記送信部カゝら送信されるデータの送信のタイミングを利用して、前記第 1の装置 の処理および前記第 2の装置の処理を同期させる同期部を備えることを特徴とする 請求項 4に記載の情報処理装置。
[9] 前記同期部は、前記第 1の装置または前記第 2の装置に設けられていることを特徴 とする請求項 7に記載の情報処理装置。
[10] 前記同期部は、前記第 1の装置または前記第 2の装置に設けられていることを特徴 とする請求項 8に記載の情報処理装置。
[11] 互いに独立して同一処理を同期して実行する第 1の装置および第 2の装置と、 前記第 1の装置で生成されたデータおよび前記第 2の装置で生成されたデータをリ アルタイムに取得する取得部と、
前記取得部により取得された、前記第 1の装置で生成されたデータと前記第 2の装 置で生成されたデータとを照合し、これらのデータが不一致であれば異常と判定する データ照合部と、
を備えることを特徴とする情報処理装置。
[12] 前記データ照合部により異常と判定された場合に、前記第 1の装置の処理を停止 する処理停止部を備えることを特徴とする請求項 11に記載の情報処理装置。
[13] 互いに独立して同一処理を実行する第 1の装置および第 2の装置と、
前記第 1の装置で生成されたデータに基づき第 1の誤り検出用コードを生成する第 1のコード生成部と、
前記第 2の装置で生成されたデータに基づき第 2の誤り検出用コードを生成する第 2のコード生成部と、
前記第 1のコード生成部により生成された前記第 1の誤り検出用コードと前記第 2の コード生成部により生成された前記第 2の誤り検出用コードとを照合し、前記両誤り検 出用コードが不一致であれば異常と判定するコード照合部と、
を備えることを特徴とする情報処理装置。
[14] 前記コード照合部により異常と判定された場合に、前記第 1の装置の処理を停止す る処理停止部を備えることを特徴とする請求項 13に記載の情報処理装置。
[15] 前記第 1のコード生成部は前記第 1の装置に設けられ、前記第 2のコード生成部は 前記第 2の装置に設けられていることを特徴とする請求項 13に記載の情報処理装置
[16] 前記コード照合部は、前記第 1の装置または前記第 2の装置に設けられていること を特徴とする請求項 13に記載の情報処理装置。
[17] 誤り検出用コード付きデータに対して互いに独立して同一処理を実行する第 1の装 置および第 2の装置と、
前記第 1の装置が受け取った第 1の誤り検出用コード付きデータの異常の有無を、 当該第 1の誤り検出用コードを用いて検査する第 1の検査部と、
前記第 2の装置が受け取った第 2の誤り検出用コード付きデータの異常の有無を、 当該第 2の誤り検出用コードを用いて検査する第 2の検査部と、
前記第 1の検査部で用 、られた前記第 1の誤り検出用コードと前記第 2の検査部で 用いられた前記第 2の誤り検出用コードとを照合するコード照合部と、
前記第 1の検査部による検査結果若しくは前記第 2の検査部による検査結果が異 常を示す場合、または、前記コード照合部による照合の結果、前記両誤り検出用コー ドが不一致であれば、異常と判定する判定部と、
を備えることを特徴とする情報処理装置。
[18] 前記判定部により異常と判定された場合に、前記第 1の装置の処理を停止する処 理停止部を備えることを特徴とする請求項 17に記載の情報処理装置。
[19] 前記第 1の検査部は前記第 1の装置に設けられ、前記第 2の検査部は前記第 2の 装置に設けられていることを特徴とする請求項 17に記載の情報処理装置。
[20] 前記コード照合部は、前記第 1の装置または前記第 2の装置に設けられていること を特徴とする請求項 17に記載の情報処理装置。
[21] 互いに独立して同一処理を実行する第 1の装置および第 2の装置と、
前記第 1の装置で生成されたデータと前記第 2の装置で生成されたデータとを照合 するデータ照合部と、
前記第 1の装置で生成されたデータにカウント番号を付加するカウント部と、 前記データ照合部による照合の結果、前記両データが不一致であれば、前記カウ ント部によるカウント番号の付加を停止させるカウント停止部と、
前記カウント部により付加されたカウント番号に基づいて異常を判定する判定部と、 を備えることを特徴とする情報処理装置。
[22] 前記判定部により異常と判定された場合に、前記第 1の装置の処理または前記第 2 の装置の処理を停止する処理停止部を備えることを特徴とする請求項 21に記載の
[23] 前記第 1の装置および前記第 2の装置は、それぞれ個々の半導体デバイスである とを特徴とする請求項 1に記載の情報処理装置。
[24] 前記第 1の装置および前記第 2の装置は、それぞれ個々の半導体デバイスである とを特徴とする請求項 4に記載の情報処理装置。
[25] 前記第 1の装置および前記第 2の装置は、それぞれ個々の半導体デバイスである とを特徴とする請求項 11に記載の情報処理装置。
[26] 前記第 1の装置および前記第 2の装置は、それぞれ個々の半導体デバイスである とを特徴とする請求項 13に記載の情報処理装置。
[27] 前記第 1の装置および前記第 2の装置は、それぞれ個々の半導体デバイスである とを特徴とする請求項 17に記載の情報処理装置。
[28] 前記第 1の装置および前記第 2の装置は、それぞれ個々の半導体デバイスである とを特徴とする請求項 21に記載の情報処理装置。
[29] 前記第 1の装置および前記第 2の装置は、それぞれ個々の CPUであることを特徴と する請求項 1に記載の情報処理装置。
[30] 前記第 1の装置および前記第 2の装置は、それぞれ個々の CPUであることを特徴と する請求項 4に記載の情報処理装置。
[31] 前記第 1の装置および前記第 2の装置は、それぞれ個々の CPUであることを特徴と する請求項 11に記載の情報処理装置。
[32] 前記第 1の装置および前記第 2の装置は、それぞれ個々の CPUであることを特徴と する請求項 13に記載の情報処理装置。
[33] 前記第 1の装置および前記第 2の装置は、それぞれ個々の CPUであることを特徴と する請求項 17に記載の情報処理装置。
[34] 前記第 1の装置および前記第 2の装置は、それぞれ個々の CPUであることを特徴と する請求項 21に記載の情報処理装置。
[35] 前記第 1の装置および前記第 2の装置は、互いに絶縁状態で実装されることを特徴 とする請求項 1に記載の情報処理装置。
[36] 前記第 1の装置および前記第 2の装置は、互いに絶縁状態で実装されることを特徴 とする請求項 4に記載の情報処理装置。
[37] 前記第 1の装置および前記第 2の装置は、互いに絶縁状態で実装されることを特徴 とする請求項 11に記載の情報処理装置。
[38] 前記第 1の装置および前記第 2の装置は、互いに絶縁状態で実装されることを特徴 とする請求項 13に記載の情報処理装置。
[39] 前記第 1の装置および前記第 2の装置は、互いに絶縁状態で実装されることを特徴 とする請求項 17に記載の情報処理装置。
[40] 前記第 1の装置および前記第 2の装置は、互いに絶縁状態で実装されることを特徴 とする請求項 21に記載の情報処理装置。
[41] 互いに独立して同一処理を実行する第 1の装置および第 2の装置を用いた情報処 理方法において、
前記第 2の装置で生成されたデータを、前記第 2の装置から前記第 1の装置に送信 するステップと、
前記第 2の装置から送信されたデータと前記第 1の装置で生成されたデータとを照 合し、これらのデータが不一致であれば異常と判定するステップと、
を備えることを特徴とする情報処理方法。
[42] 互いに独立して同一処理を実行する第 1の装置および第 2の装置を用いた情報処 理方法において、
前記第 1の装置で生成されたデータを、前記第 1の装置から前記第 2の装置に送信 するステップと、
前記第 1の装置から送信されたデータと前記第 2の装置で生成されたデータとを照 合し、これらのデータが不一致であれば異常と判定するステップと、
を備えることを特徴とする情報処理方法。
[43] 前記第 2の装置力 送信されるデータの送信のタイミングを利用して、前記第 1の装 置の処理および前記第 2の装置の処理を同期させるステップを備えることを特徴とす る請求項 41に記載の情報処理方法。
[44] 前記第 1の装置力 送信されるデータの送信のタイミングを利用して、前記第 1の装 置の処理および前記第 2の装置の処理を同期させるステップを備えることを特徴とす る請求項 42に記載の情報処理方法。
[45] 互いに独立して同一処理を同期して実行する第 1の装置および第 2の装置を用い た情報処理方法にぉ 、て、
前記第 1の装置で生成されたデータおよび前記第 2の装置で生成されたデータをリ アルタイムに取得するステップと、
前記第 1の装置で生成されたデータと前記第 2の装置で生成されたデータとを照合 し、これらのデータが不一致であれば異常と判定するステップと、
を備えることを特徴とする情報処理方法。
[46] 互いに独立して同一処理を実行する第 1の装置および第 2の装置を用いた情報処 理方法において、
前記第 1の装置で生成されたデータに基づき第 1の誤り検出用コードを生成する第 1のコード生成ステップと、
前記第 2の装置で生成されたデータに基づき第 2の誤り検出用コードを生成する第 2のコード生成ステップと、
前記第 1の誤り検出用コードと前記第 2の誤り検出用コードとを照合し、前記両誤り 検出用コードが不一致であれば異常と判定するステップと、
を備えることを特徴とする情報処理方法。
[47] 誤り検出用コード付きデータに対して互いに独立して同一処理を実行する第 1の装 置および第 2の装置を用いた情報処理方法にお 、て、
前記第 1の装置が受け取った第 1の誤り検出用コード付きデータの異常の有無を、 当該第 1の誤り検出用コードを用 、て検査する第 1の検査ステップと、
前記第 2の装置が受け取った第 2の誤り検出用コード付きデータの異常の有無を、 当該第 2の誤り検出用コードを用いて検査する第 2の検査ステップと、
前記第 1の検査ステップで用 、られた前記第 1の誤り検出用コードと前記第 2の検 查ステップで用いられた前記第 2の誤り検出用コードとを照合するコード照合ステップ と、
前記第 1の検査ステップによる検査結果若しくは前記第 2の検査ステップによる検 查結果が異常を示す場合、または、前記コード照合ステップによる照合の結果、前記 両誤り検出用コードが不一致であれば、異常と判定するステップと、
を備えることを特徴とする情報処理方法。
互いに独立して同一処理を実行する第 1の装置および第 2の装置を用いた情報処 理方法において、
前記第 1の装置で生成されたデータと前記第 2の装置で生成されたデータとを照合 するステップと、
前記第 1の装置で生成されたデータにカウント番号を付加するステップと、 前記データ照合の結果、前記両データが不一致であれば、カウント番号の付加を 停止させるステップと、
前記付加されたカウント番号に基づいて異常を判定するステップと、
を備えることを特徴とする情報処理方法。
PCT/JP2006/301303 2005-01-28 2006-01-27 情報処理装置および情報処理方法 WO2006080431A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US11/883,454 US8359529B2 (en) 2005-01-28 2006-01-27 Information processing apparatus and information processing method
CN2006800034410A CN101111822B (zh) 2005-01-28 2006-01-27 信息处理设备和信息处理方法
EP06712469A EP1857936B1 (en) 2005-01-28 2006-01-27 Information processing apparatus and information processing method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2005021423A JP3897046B2 (ja) 2005-01-28 2005-01-28 情報処理装置および情報処理方法
JP2005-021423 2005-01-28

Publications (1)

Publication Number Publication Date
WO2006080431A1 true WO2006080431A1 (ja) 2006-08-03

Family

ID=36740455

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2006/301303 WO2006080431A1 (ja) 2005-01-28 2006-01-27 情報処理装置および情報処理方法

Country Status (5)

Country Link
US (1) US8359529B2 (ja)
EP (1) EP1857936B1 (ja)
JP (1) JP3897046B2 (ja)
CN (1) CN101111822B (ja)
WO (1) WO2006080431A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008098999A1 (de) 2007-02-15 2008-08-21 Siemens Aktiengesellschaft Leitsystem einer technischen anlage

Families Citing this family (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9207661B2 (en) * 2007-07-20 2015-12-08 GM Global Technology Operations LLC Dual core architecture of a control module of an engine
FR2924238B1 (fr) * 2007-11-22 2009-12-11 Schneider Electric Ind Sas Module d'entrees/sorties integrant une fonction logique pour controler les donnees
JP5060263B2 (ja) * 2007-12-06 2012-10-31 日立オートモティブシステムズ株式会社 チップ内冗長化による高信頼システム及びその制御方法
EP2133764B1 (de) * 2008-06-09 2012-10-17 Siemens Aktiengesellschaft Fehlersicheres Automatisierungssystem und Verfahren
JP5380978B2 (ja) * 2008-09-26 2014-01-08 富士通株式会社 伝送装置、伝送装置の制御方法および伝送装置の制御プログラム
JP5344936B2 (ja) * 2009-01-07 2013-11-20 株式会社日立製作所 制御装置
JP5515374B2 (ja) * 2009-04-02 2014-06-11 富士電機株式会社 プログラマブルコントローラ、プログラム実行監視方法及びプログラム
JP5641181B2 (ja) * 2009-11-26 2014-12-17 横河電機株式会社 二重化処理装置
JP2011128821A (ja) * 2009-12-17 2011-06-30 Yokogawa Electric Corp 二重化フィールド機器
JP5614143B2 (ja) * 2010-07-21 2014-10-29 セイコーエプソン株式会社 情報処理システム、印刷装置及び情報処理方法
JP5617651B2 (ja) * 2011-01-18 2014-11-05 横河電機株式会社 通信装置及び制御装置
US8516355B2 (en) * 2011-02-16 2013-08-20 Invensys Systems, Inc. System and method for fault tolerant computing using generic hardware
EP2662773B1 (de) * 2012-05-10 2016-07-20 Airbus Defence and Space GmbH Redundantes Mehrprozessorsystem und zugehöriges Verfahren
JP5975753B2 (ja) * 2012-06-27 2016-08-23 株式会社日立製作所 情報処理システム、出力制御装置、およびデータ生成装置
JP2014142823A (ja) * 2013-01-24 2014-08-07 Azbil Corp データ作成装置および方法
JP6017344B2 (ja) * 2013-02-26 2016-10-26 株式会社日立製作所 制御装置、制御システム及びデータ生成方法
JP5895906B2 (ja) * 2013-07-24 2016-03-30 横河電機株式会社 プロセス制御装置及びシステム並びにその健全性判定方法
JP5850016B2 (ja) 2013-10-02 2016-02-03 横河電機株式会社 フィールド機器
JP6710142B2 (ja) 2016-10-26 2020-06-17 株式会社日立製作所 制御システム
US10740186B2 (en) * 2017-05-15 2020-08-11 The Boeing Company High data integrity processing system
CN107341085B (zh) * 2017-06-14 2020-12-08 北京多思安全芯片科技有限公司 一种控制装置
US10345801B2 (en) * 2017-08-21 2019-07-09 Honeywell International Inc. Ensuring a correct program sequence in a dual-processor architecture
US10831628B2 (en) * 2018-12-12 2020-11-10 Intel Corporation Hardware lockstep checking within a fault detection interval in a system on chip
KR102191169B1 (ko) * 2019-11-26 2020-12-16 주식회사 오비고 이종 dcu의 출력 값을 사용하는 ads를 통해 자율 주행에서 발생할 수 있는 dcu들의 오판 상황을 방지하는 방법 및 이를 이용한 장치

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH02228740A (ja) * 1989-03-01 1990-09-11 Mitsubishi Electric Corp 二重系処理システム
JPH07129427A (ja) * 1993-11-01 1995-05-19 Fujitsu Ltd Ｅｃｃコードによるデータの比較チェック方法
JPH07281915A (ja) * 1994-04-08 1995-10-27 Mitsubishi Electric Corp 集積回路モジュール同期２重系情報処理装置
JPH09319401A (ja) * 1996-05-27 1997-12-12 Mitsubishi Electric Corp 並列二重系電子連動装置
US20020073357A1 (en) 2000-12-11 2002-06-13 International Business Machines Corporation Multiprocessor with pair-wise high reliability mode, and method therefore
US20040123201A1 (en) 2002-12-19 2004-06-24 Nguyen Hang T. On-die mechanism for high-reliability processor

Family Cites Families (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US3864670A (en) * 1970-09-30 1975-02-04 Yokogawa Electric Works Ltd Dual computer system with signal exchange system
US4233682A (en) * 1978-06-15 1980-11-11 Sperry Corporation Fault detection and isolation system
US4843608A (en) * 1987-04-16 1989-06-27 Tandem Computers Incorporated Cross-coupled checking circuit
US5204952A (en) * 1988-07-18 1993-04-20 Northern Telecom Limited Duplex processor arrangement for a switching system
JPH0773059A (ja) * 1993-03-02 1995-03-17 Tandem Comput Inc フォールトトレラント型コンピュータシステム
JPH07129426A (ja) * 1993-10-29 1995-05-19 Hitachi Ltd 障害処理方式
EP0974912B1 (en) * 1993-12-01 2008-11-05 Marathon Technologies Corporation Fault resilient/fault tolerant computing
US6061599A (en) * 1994-03-01 2000-05-09 Intel Corporation Auto-configuration support for multiple processor-ready pair or FRC-master/checker pair
JP3247043B2 (ja) * 1996-01-12 2002-01-15 株式会社日立製作所 内部信号で障害検出を行う情報処理システムおよび論理ｌｓｉ
US5799022A (en) * 1996-07-01 1998-08-25 Sun Microsystems, Inc. Faulty module location in a fault tolerant computer system
US5784383A (en) * 1997-10-02 1998-07-21 International Business Machines Corporation Apparatus for identifying SMP bus transfer errors
US6173414B1 (en) * 1998-05-12 2001-01-09 Mcdonnell Douglas Corporation Systems and methods for reduced error detection latency using encoded data
DE19832060C2 (de) * 1998-07-16 2000-07-06 Siemens Ag Doppelbare Prozessoreinrichtung
US6357024B1 (en) * 1998-08-12 2002-03-12 Advanced Micro Devices, Inc. Electronic system and method for implementing functional redundancy checking by comparing signatures having relatively small numbers of signals
GB2340627B (en) * 1998-08-13 2000-10-04 Plessey Telecomm Data processing system
JP2000347706A (ja) 1999-06-07 2000-12-15 Mitsubishi Electric Corp プラント制御装置
US7043728B1 (en) * 1999-06-08 2006-05-09 Invensys Systems, Inc. Methods and apparatus for fault-detecting and fault-tolerant process control
SE516542C2 (sv) * 1999-07-01 2002-01-29 Ericsson Telefon Ab L M Metod och anordning för övervakning av parallella processer
US6615366B1 (en) * 1999-12-21 2003-09-02 Intel Corporation Microprocessor with dual execution core operable in high reliability mode
US6480970B1 (en) * 2000-05-17 2002-11-12 Lsi Logic Corporation Method of verifying data consistency between local and remote mirrored data storage systems
US6751749B2 (en) * 2001-02-22 2004-06-15 International Business Machines Corporation Method and apparatus for computer system reliability
DE10133652A1 (de) * 2001-07-11 2003-01-30 Siemens Ag Zentraleinheit für ein redundantes Automatisierungssystem
US6954886B2 (en) * 2001-12-31 2005-10-11 Intel Corporation Deterministic hardware reset for FRC machine
US7328371B1 (en) * 2004-10-15 2008-02-05 Advanced Micro Devices, Inc. Core redundancy in a chip multiprocessor for highly reliable systems

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH02228740A (ja) * 1989-03-01 1990-09-11 Mitsubishi Electric Corp 二重系処理システム
JPH07129427A (ja) * 1993-11-01 1995-05-19 Fujitsu Ltd Ｅｃｃコードによるデータの比較チェック方法
JPH07281915A (ja) * 1994-04-08 1995-10-27 Mitsubishi Electric Corp 集積回路モジュール同期２重系情報処理装置
JPH09319401A (ja) * 1996-05-27 1997-12-12 Mitsubishi Electric Corp 並列二重系電子連動装置
US20020073357A1 (en) 2000-12-11 2002-06-13 International Business Machines Corporation Multiprocessor with pair-wise high reliability mode, and method therefore
US20040123201A1 (en) 2002-12-19 2004-06-24 Nguyen Hang T. On-die mechanism for high-reliability processor

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP1857936A4

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008098999A1 (de) 2007-02-15 2008-08-21 Siemens Aktiengesellschaft Leitsystem einer technischen anlage
US8831756B2 (en) 2007-02-15 2014-09-09 Siemens Aktiengesellschaft Control system of a technical installation

Also Published As

Publication number Publication date
EP1857936A4 (en) 2011-03-09
EP1857936B1 (en) 2013-04-03
EP1857936A1 (en) 2007-11-21
CN101111822B (zh) 2010-12-15
US20080215759A1 (en) 2008-09-04
US8359529B2 (en) 2013-01-22
JP3897046B2 (ja) 2007-03-22
CN101111822A (zh) 2008-01-23
JP2006209523A (ja) 2006-08-10

Similar Documents

Publication Publication Date Title
WO2006080431A1 (ja) 情報処理装置および情報処理方法
JP3897047B2 (ja) 情報処理装置および情報処理方法
WO2006080227A1 (ja) 情報処理装置および情報処理方法
CN102361810A (zh) 信号传输装置
US7990880B2 (en) Detector and method for detecting abnormality in time synchronization
US20080313426A1 (en) Information Processing Apparatus and Information Processing Method
US7809863B2 (en) Monitor processor authentication key for critical data
US20140163769A1 (en) System and method for communicating data in a consist
Idirin et al. Implementation details and safety analysis of a microcontroller-based SIL-4 software voter
US20090106461A1 (en) Information Processing Apparatus and Information Processing Method
US7802150B2 (en) Ensuring maximum reaction times in complex or distributed safe and/or nonsafe systems
CN202296784U (zh) 自动扶梯、自动人行道安全保护系统
JP3962956B6 (ja) 情報処理装置および情報処理方法
JP5416506B2 (ja) Ｃｐｕ脱着型のフェールセーフ装置及びフェールセーフ用プログラム
JP2015118495A (ja) 信号保安用制御装置
KR20040037699A (ko) 철도 신호 장비 시리얼 데이터 통신 감시 시스템
CN112291128A (zh) 基于总线的通信系统、片上系统和用于其的方法
JP2693330B2 (ja) 電力系統保護システム
JPH01166638A (ja) 障害切分け機能を有する通信システム
JPS60116242A (ja) デ−タ転送障害検出方式
JPH0798667A (ja) 遠隔監視システム
JPS6122494B2 (ja)
JPS61109336A (ja) 構内多重伝送装置
JPH1115698A (ja) 障害通知方法および障害通知機構
JPH0993308A (ja) 注文管理システムにおける通信回線の故障診断システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2006712469

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 11883454

Country of ref document: US

Ref document number: 200680003441.0

Country of ref document: CN

WWP Wipo information: published in national office

Ref document number: 2006712469

Country of ref document: EP