WO2021157103A1 - 情報処理装置、制御方法およびプログラム - Google Patents

情報処理装置、制御方法およびプログラム Download PDF

Info

Publication number
WO2021157103A1
WO2021157103A1 PCT/JP2020/015668 JP2020015668W WO2021157103A1 WO 2021157103 A1 WO2021157103 A1 WO 2021157103A1 JP 2020015668 W JP2020015668 W JP 2020015668W WO 2021157103 A1 WO2021157103 A1 WO 2021157103A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
result
processor
processing
memory
Prior art date
Application number
PCT/JP2020/015668
Other languages
English (en)
French (fr)
Inventor
大介 八木
融 村田
敦史 上村
宗田　靖男
Original Assignee
オムロン株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by オムロン株式会社 filed Critical オムロン株式会社
Priority to EP20917839.1A priority Critical patent/EP4102370A4/en
Priority to US17/795,780 priority patent/US12106103B2/en
Priority to CN202080093490.8A priority patent/CN114981781A/zh
Publication of WO2021157103A1 publication Critical patent/WO2021157103A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/30—Arrangements for executing machine instructions, e.g. instruction decode
    • G06F9/30003—Arrangements for executing specific machine instructions
    • G06F9/3004—Arrangements for executing specific machine instructions to perform operations on memory
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1497—Details of time redundant execution on a single processing unit
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1608—Error detection by comparing the output signals of redundant hardware
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1633—Error detection by comparing the output of redundant processing systems using mutual exchange of the output between the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1666—Error detection or correction of the data by redundancy in hardware where the redundant component is memory or memory area
    • G06F11/167—Error detection by comparing the memory output
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/165—Error detection by comparing the output of redundant processing systems with continued operation after detection of the error

Definitions

  • This disclosure relates to information processing devices, control methods and programs.
  • a transient failure occurs during the execution of arithmetic processing in the information processing device, and an arithmetic result different from the desired one may be output.
  • Such a transient failure occurs, for example, due to garbled data in a register in the processor, garbled data on a bus, malfunction of the processor, or the like.
  • the system may be temporarily stopped due to the failure.
  • Such temporary outages in the systems that support social infrastructure will have a significant impact.
  • a temporary stop occurs in the system incorporated in the production line, the production efficiency is lowered.
  • Patent Document 1 discloses a Triple Modular Redundant (TMR) technique for tripling a processing circuit. According to the TMR technology, even if a transient failure occurs in one of the three processing circuits, the failure can be corrected by the remaining two processing circuits. This avoids a temporary system outage.
  • TMR Triple Modular Redundant
  • the present disclosure has been made in view of the above problems, and an object thereof is information processing capable of suppressing an increase in hardware cost and a temporary stoppage of a system due to a transient failure. To provide equipment, control methods and programs.
  • the information processing apparatus that executes arithmetic processing includes a first processing circuit and a second processing circuit.
  • the first processing circuit executes arithmetic processing N times in succession.
  • the second processing circuit executes arithmetic processing N times in succession.
  • N is an integer greater than or equal to 2.
  • the first processing circuit and the second processing circuit are made by at least one first result of the first result of N times of arithmetic processing executed by the first processing circuit and the second processing circuit.
  • the at least one first result and the at least one second result The operation is continued based on each.
  • the probability of a transient failure occurring during the execution of arithmetic processing is generally low. Therefore, it is presumed that the at least one first result and the at least one second result that match each other are the results of arithmetic processing in which a transient failure does not occur during execution. As a result, the operation can be continued using the first processing circuit and the second processing circuit with highly reliable results. In this way, even if a transient failure occurs, the operation can be continued, and a temporary stop of the system due to the transient failure can be suppressed.
  • the first processing circuit includes a first memory and a first processor that executes arithmetic processing using the first memory.
  • the second processing circuit includes a second memory and a second processor that executes arithmetic processing using the second memory.
  • the first processor executes N times of arithmetic processing using N different areas of the first memory.
  • the second processor executes N times of arithmetic processing using N different regions of the second memory.
  • data in a part of N areas of the first memory and a part of N areas of the second memory due to a transient failure before the start of arithmetic processing. Even if ghosts occur, at least one first result and at least one second result are in agreement.
  • a transient failure that can occur before the start of arithmetic processing can occur, for example, due to a soft error or the like. Therefore, the first processor and the second processor can continue to operate based on the at least one first result and the at least one second result that match each other. That is, even if a transient failure occurs before the start of the arithmetic processing, the first processing circuit and the second processing circuit can continue to operate.
  • the first processor obtains data of an area used in the arithmetic processing in which a result different from at least one first result is output out of the N areas of the first memory.
  • the data of the area used in the arithmetic processing in which at least one first result is output is overwritten.
  • the second processor uses the data of the area used in the arithmetic processing in which a result different from the at least one second result is output out of the N areas of the second memory, and the data of the area used in the arithmetic processing. The result of is overwritten with the data of the area used in the output arithmetic processing.
  • the first processing circuit includes a first memory and a first processor that executes arithmetic processing using the first memory.
  • the second processing circuit includes a second memory and a second processor that executes arithmetic processing using the second memory.
  • the first processor When the target data used for the arithmetic processing is written to the first memory, the first processor also writes the two copy data obtained by copying the target data to the first memory.
  • the target data used for the arithmetic processing is written to the second memory, the second processor also writes the two copy data obtained by copying the target data to the second memory.
  • the first processor reads the target data and the two copy data from the first memory before executing the arithmetic processing, and responds that two or more of the read target data and the two copy data match.
  • the second processor reads the target data and the two copy data from the second memory before executing the arithmetic processing, and responds that two or more of the read target data and the two copy data match. Then, the arithmetic processing is executed using the two or more matching data.
  • each of the first memory and the second memory one of the target data and the two copy data due to a transient failure (for example, a soft error) before the start of the arithmetic processing. Even if the data is garbled, the arithmetic processing is executed using the remaining two data. As a result, even if a transient failure occurs before the start of the arithmetic processing, the arithmetic processing is executed using the correct data in which the transient failure does not occur, and the result of the arithmetic processing is obtained. The operation can be continued based on.
  • a transient failure for example, a soft error
  • the first processor in the first memory depending on the fact that two of the read target data and the two copy data match and the remaining one data is different from the two data.
  • the area where one data is stored is overwritten by one of the two data.
  • one data is stored in the second memory according to the fact that two of the read target data and the two copy data match and the remaining one data is different from the two data.
  • the area that has been created is overwritten with one of the two data.
  • the first processor writes the results of N times of arithmetic processing in N different areas of the first memory, respectively.
  • the second processor writes the result of N times of arithmetic processing into N different areas of the second memory, respectively.
  • the first processor writes the data of the area in which the result different from the at least one first result is written among the N areas of the first memory, and the at least one first result is written. Overwrite with the data of the area.
  • the second processor writes the data of the area in which the result different from the at least one second result is written among the N areas of the second memory, and the data of the area in which the result different from the at least one second result is written is written. Overwrite with the data of the area.
  • the information processing apparatus that executes arithmetic processing includes a first processing circuit and a second processing circuit.
  • the control method of the information processing apparatus includes a step in which the first processing circuit executes arithmetic processing N times in succession, and a step in which the second processing circuit executes arithmetic processing N times in succession.
  • N is an integer greater than or equal to 2.
  • the control method further comprises a first result of at least one of the first results of N times of arithmetic processing performed by the first processing circuit and the second processing circuit. The at least one first result and at least one, depending on the agreement with at least one second result of the second result of the N operations performed by the second processing circuit Each of the steps is provided to continue the operation based on the second result.
  • the program causes a computer to execute the above control method.
  • These disclosures can also suppress an increase in the cost required for hardware and can suppress a temporary stop due to a transient failure.
  • FIG. It is the schematic which shows the overall structure of the control system which concerns on embodiment. It is a figure which shows the reference example of the processing using two processing circuits. It is a figure which shows the Example of the processing using two processing circuits. It is a schematic diagram which shows the hardware configuration example of a standard PLC. It is a schematic diagram which shows the hardware configuration example of a safety PLC. It is a schematic diagram which shows the hardware configuration example of a coupler. It is a schematic diagram which shows the hardware configuration example of the safety IO unit which concerns on Specific Example 1. FIG. It is a figure which shows the specific example 1 of the processing using two processing circuits when a transient failure does not occur.
  • FIG. 1 It is a figure which shows the specific example 1 of the processing using two processing circuits when a transient failure occurs. It is a figure which shows an example of the data restoration processing in a specific example 1. It is a flowchart which shows the flow of processing in a safety IO unit. It is a figure which shows an example of the processing of the specific example 1 when the data which shows an address is garbled. It is a schematic diagram which shows the hardware configuration example of the safety IO unit which concerns on Specific Example 2. It is a figure which shows the writing process of data to a main memory. It is a figure which shows the reading process of the data from a main memory. It is a figure which shows the area of the main memory which concerns on Specific Example 2. FIG.
  • FIG. 1 is a schematic view showing the overall configuration of the control system according to the embodiment.
  • the control system 1 exemplified in FIG. 1 includes a standard PLC (programmable logic controller) 100, a safety PLC 200, one or more couplers 300, and one or more safety IO units 400 as main components.
  • PLC programmable logic controller
  • the standard PLC100 executes standard control for an arbitrary control target according to a standard control program created in advance.
  • Standard control is a general term for processing for controlling a control target according to a predetermined requirement specification.
  • the control target is, for example, a servo motor, a robot, or the like.
  • the safety PLC200 executes safety control for an arbitrary control target independently of the standard PLC100.
  • the safety PLC 200 illustrated in FIG. 1 is connected to the standard PLC 100 via a local bus.
  • "Safety control” is a general term for processing to prevent human safety from being threatened by equipment or machines.
  • the “safety control” is designed to meet the requirements for realizing the safety function specified in, for example, IEC 61508.
  • the coupler 300 mediates the exchange of data between the standard PLC 100 and the safety IO unit 400.
  • the coupler 300 is electrically connected to the standard PLC 100 via the field network 2.
  • the field network 2 is a communication medium for realizing data transmission for FA (Factory Automation).
  • FA Vectory Automation
  • frame transmission is possible at a predetermined cycle, and the data arrival time for each node in the network is guaranteed.
  • EtherCAT registered trademark
  • EtherCAT registered trademark
  • the coupler 300 transmits the data received from the standard PLC 100 to the safety IO unit 400, and when the data is received from the safety IO unit 400, prepares to store the received data in the next arriving frame.
  • the safety IO unit 400 is connected to the safety PLC 200 or the coupler 300 via the local bus. Further, any safety device (not shown) is connected to the safety IO unit 400. Safety devices include light curtains, emergency stop buttons, safety door switches and the like.
  • the safety IO unit 400 receives the input signal from the safety device and provides the input signal to the safety PLC 200. Alternatively, the safety IO unit 400 receives an input signal from the safety device and provides the input signal to the standard PLC 100 via the coupler 300. The input signal provided to the standard PLC100 is provided to the safe PLC200.
  • the safety IO unit 400 outputs an output signal to the safety device in response to a command from the safety PLC 200.
  • the safety IO unit 400 outputs an output signal to the safety device in response to a command from the safety PLC 200 via the coupler 300 and the standard PLC 100.
  • the safety IO unit 400 receives an input signal from the safety device, provides the input signal, outputs an output signal to the safety device, and the like for each predetermined cycle (hereinafter, referred to as “safety task cycle”). Perform arithmetic tasks related to.
  • the safety PLC 200 executes safety control in response to the input signal provided by the safety IO unit 400. For example, when the safety device, which is a light curtain, provides an input signal indicating the intrusion of a person, the safety PLC 200 cuts off the power supply to the controlled object of the standard PLC 100 and temporarily stops the control system 1. Alternatively, when the safety device, which is an emergency stop button, provides an input signal indicating that the button is pressed, the safety PLC 200 cuts off the power supply to the controlled object of the standard PLC 100 and temporarily stops the control system 1.
  • the safety PLC 200 is designed to temporarily stop the control system 1 even when a failure or abnormality occurs in the safety IO unit 400.
  • the safety PLC 200 normally executes the safety control. Can not. Therefore, the safety IO unit 400 has a function of detecting that a transient failure has occurred during the execution of the calculation task. However, if the safety IO unit 400 outputs a failure signal when it detects that a transient failure has occurred, the control system 1 is stopped.
  • the control system 1 can be incorporated into a production line that operates 24 hours x 365 days. In such a production line, if the control system 1 is temporarily stopped, a great deal of damage can occur.
  • the safety IO unit 400 which is the information processing device according to the present embodiment, has two processing circuits so as to continue normal operation even if a transient failure occurs in one processing circuit.
  • one of the two processing circuits will be referred to as an A channel circuit, and the other will be referred to as a B channel circuit.
  • the safety IO unit 400 has two processing circuits (A channel circuit and B channel circuit). As a result, the cost required for hardware is reduced as compared with the case of designing a safety IO unit using TMR technology.
  • FIG. 2 is a diagram showing a reference example of processing using two processing circuits.
  • the A channel circuit and the B channel circuit execute arithmetic tasks in parallel for each safety task cycle.
  • Temporary failure can occur accidentally with a low probability. Therefore, it is rare that a transient failure occurs in both the A channel circuit and the B channel circuit in the same safety task cycle.
  • the results of the calculation tasks will match.
  • the results of the arithmetic tasks will be inconsistent. Therefore, by collating the results of the calculation tasks of the A channel circuit and the B channel circuit, it is possible to detect the presence or absence of a transient failure. That is, it is possible to detect that a transient failure has occurred according to the inconsistency in the results of the calculation tasks of the A channel circuit and the B channel circuit.
  • the safety IO unit has no choice but to output a failure signal, judging that normal operation cannot be continued according to the disagreement between the results of the two calculation tasks.
  • the control system 1 is stopped by the safety control of the safety PLC 200. Therefore, when the processing of the reference example illustrated in FIG. 2 is executed, the control system 1 is temporarily stopped when a transient failure occurs in one processing circuit.
  • the safety IO unit 400 executes the following processing in order to continue normal operation even if a transient failure occurs in one processing circuit.
  • FIG. 3 is a diagram showing an example of processing using two processing circuits.
  • the A channel circuit continuously executes the same arithmetic tasks T1 and T2 in the safety task cycle.
  • the B channel circuit continuously executes the same calculation tasks T3 and T4 in the safety task cycle.
  • the arithmetic tasks T1 and T2 executed by the A channel circuit are the same as the arithmetic tasks T3 and T4 executed by the B channel circuit. That is, the safety IO unit 400 executes the same calculation tasks T1 to T4 in the safety task cycle. Then, the safety IO unit 400 collates the results of the calculation tasks T1 to T4 for each safety task cycle, and detects whether or not a transient failure has occurred based on the collation results.
  • the safety IO unit 400 determines that no transient failure has occurred in any of the calculation tasks T1 to T4 according to the same result of the calculation tasks T1 to T4, and any one of them. The operation may be continued based on the calculation result.
  • the result of an arithmetic task in which a transient failure occurred during execution is usually different from the result of an arithmetic task in which a transient failure did not occur during execution. Further, when a transient failure occurs during execution, the result of the calculation task usually differs depending on the content of the transient failure. It is extremely rare for both the A-channel circuit and the B-channel circuit to have the same transient failure in one safety task cycle.
  • the A channel circuit and the B channel circuit are the first result of at least one of the results (first result) of the calculation tasks T1 and T2, and the calculation task.
  • the operation is continued based on the matching result. That is, the A channel circuit continues the operation based on the first result of at least one of the results of the calculation tasks T1 and T2.
  • the B-channel circuit continues its operation based on at least one second result of the results of the arithmetic tasks T3 and T4.
  • FIG. 4 is a schematic diagram showing a hardware configuration example of a standard PLC.
  • the standard PLC 100 illustrated in FIG. 4 includes a processor 102, a main memory 104, a storage 110, a field network controller 108, and a local bus controller 116. These components are connected via the processor bus 118.
  • the processor 102 mainly corresponds to an arithmetic processing unit that executes control operations related to standard control, and is composed of a CPU (Central Processing Unit), a GPU (Graphics Processing Unit), and the like. Specifically, the processor 102 reads the programs (as an example, the system program 1102 and the standard control program 1104) stored in the storage 110, expands them in the main memory 104, and executes the programs according to the control target. It realizes control calculation and various processes as described later.
  • the programs as an example, the system program 1102 and the standard control program 1104
  • the main memory 104 is composed of volatile memories such as DRAM (Dynamic Random Access Memory) and SRAM (Static Random Access Memory).
  • the storage 110 is composed of, for example, a non-volatile storage device such as an SSD (Solid State Drive) or an HDD (Hard Disk Drive).
  • the storage 110 stores a system program 1102 for realizing basic functions, a standard control program 1104 created according to a control target, and setting information 1106 for defining processing in the standard PLC 100.
  • the field network controller 108 exchanges data with an arbitrary device (for example, a coupler 300) via the field network 2.
  • the local bus controller 116 exchanges data with an arbitrary unit (for example, a safety PLC200) connected to the standard PLC100 via the local bus.
  • an arbitrary unit for example, a safety PLC200
  • FIG. 5 is a schematic diagram showing a hardware configuration example of the safety PLC.
  • the safety PLC 200 illustrated in FIG. 5 includes a processor 202, a main memory 204, a storage 210, and a local bus controller 216. These components are connected via the processor bus 218.
  • the processor 202 mainly corresponds to a calculation processing unit that executes control calculations related to safety control, and is composed of a CPU, a GPU, and the like.
  • the main memory 204 is composed of a volatile memory such as a DRAM or SRAM.
  • the storage 210 is composed of, for example, a non-volatile storage device such as an SSD or an HDD.
  • the storage 210 stores a system program 2102 for realizing basic functions, a safety program 2104 created according to the required safety function, and setting information 2106 for defining processing in the safety PLC 200. NS.
  • the local bus controller 216 exchanges data with the safety IO unit 400 connected to the safety PLC 200 via the local bus.
  • FIG. 6 is a schematic view showing a hardware configuration example of the coupler.
  • the coupler 300 illustrated in FIG. 6 includes a processor 302, a main memory 304, a storage 310, a field network controller 308, and a local bus controller 316. These components are connected via the processor bus 318.
  • the processor 302 mainly corresponds to an arithmetic processing unit that executes a control operation for operating the coupler 300, and is composed of a CPU, a GPU, and the like.
  • the main memory 304 is composed of a volatile memory such as a DRAM or SRAM.
  • the storage 310 is composed of, for example, a non-volatile storage device such as an SSD or an HDD.
  • the storage 310 stores the system program 3102 for realizing the basic functions and the setting information 3106 for defining the processing by the coupler 300.
  • the field network controller 308 exchanges data with an arbitrary device (for example, standard PLC100) via the field network 2.
  • an arbitrary device for example, standard PLC100
  • the local bus controller 316 exchanges data with the safety IO unit 400 connected to the coupler 300 via the local bus.
  • FIG. 7 is a schematic diagram showing a hardware configuration example of the safety IO unit according to the first embodiment.
  • the safety IO unit 400 illustrated in FIG. 7 includes two processing circuits, a storage 410, a local bus controller 420, and a safety IO module 430. These components are connected via the processor bus 440.
  • the A channel circuit 40A which is one of the two processing circuits, is composed of the processor 401 and the main memory 403.
  • the B channel circuit 40B which is the other of the two processing circuits, is composed of a processor 404 and a main memory 406.
  • Processors 401 and 404 correspond to arithmetic processing units that execute control operations related to signal input / output and management functions required to realize safety control, and are composed of a CPU, MPU (Micro Processing Unit), and the like.
  • the processors 401 and 404 have built-in registers 402 and 405, respectively.
  • the registers 402 and 405 temporarily hold the calculation result by the processors 401 and 404, and hold the address when reading and writing the main memories 403 and 406.
  • the main memories 403 and 406 are composed of volatile memories such as DRAM and SRAM.
  • the SRAM uses a flip-flop as the structure of the storage unit, does not require a refresh operation, and has an advantage that it can operate at a higher speed than the DRAM. Therefore, it is preferable to use SRAM as the main memories 403 and 406.
  • the main memories 403 and 406 are SRAMs.
  • the storage 410 is composed of, for example, a non-volatile storage device such as an SSD or an HDD.
  • the storage 410 stores the IO programs 41A1, 41A2, 41B1, 41B2 and the collation repair programs 42A, 42B for realizing the IO function.
  • the IO programs 41A1 and 41A2 and the collation repair program 42A are executed in the A channel circuit 40A.
  • the IO programs 41B1 and 41B2 and the collation repair program 42B are executed in the B channel circuit 40B.
  • the local bus controller 420 exchanges data with a device (for example, safety PLC200, coupler 300) to which the safety IO unit 400 is connected via the local bus.
  • a device for example, safety PLC200, coupler 300
  • the safety IO module 430 is electrically connected to the safety device, accepts inputs such as detection results by the safety device, and outputs a signal to the safety device.
  • the storage 410 shared by the A channel circuit 40A and the B channel circuit 40B is provided.
  • storage may be provided in each of the A channel circuit 40A and the B channel circuit 40B.
  • the A channel circuit 40A and the B channel circuit 40B may be connected by using serial communication instead of the processor bus 440.
  • the transient failure may occur due to, for example, garbled data in the registers 402 and 405 in the processors 401 and 404, garbled data on the processor bus 440, malfunction of the processors 401 and 404, and the like.
  • the processor 401 uses the data in the state where the transient failure has occurred, By calculating by 404, the calculation result is different from the desired result. Therefore, the operation of the safety IO module 430 becomes an abnormal state.
  • FIG. 8 is a diagram showing a specific example 1 of processing using two processing circuits when a transient failure has not occurred.
  • FIG. 9 is a diagram showing a specific example 1 of processing using two processing circuits when a transient failure occurs.
  • FIG. 10 is a diagram showing an example of data restoration processing in Specific Example 1.
  • the processor 401 of the A channel circuit 40A continuously executes the same arithmetic tasks T1 and T2 in the safety task cycle.
  • the processor 404 of the B channel circuit 40B continuously executes the same arithmetic tasks T3 and T4 in the safety task cycle.
  • the arithmetic tasks T1 and T2 executed by the processor 401 are the same as the arithmetic tasks T3 and T4 executed by the processor 404. That is, the safety IO unit 400 executes the same calculation tasks T1 to T4 in the safety task cycle. However, the safety IO unit 400 executes the calculation tasks T1 to T4, respectively, using four different memory areas.
  • the area 403a used in the first calculation task T1 and the area 403b used in the second calculation task T2 are set.
  • the area 406a used in the first calculation task T3 and the area 406b used in the second calculation task T4 are set.
  • the processor 401 constituting the A channel circuit 40A writes the data used in the arithmetic task T1 to the area 403a of the main memory 403 constituting the A channel circuit before executing the arithmetic task T1.
  • the processor 401 writes the data “X” and “Y” to the area 403a before executing the arithmetic task T1.
  • the processor 401 writes the data “X” and “Y” used in the arithmetic task T2 to the area 403b of the main memory 403 before executing the arithmetic task T2.
  • the processor 404 constituting the B channel circuit 40B inputs the data “X” and “Y” used in the arithmetic task T3 to the main components of the B channel circuit before executing the arithmetic task T3. Write to area 406a of memory 406. Similarly, the processor 404 writes the data “X” and “Y” used in the arithmetic task T4 to the area 406b of the main memory 406 before executing the arithmetic task T4.
  • the timing of writing the data "X” and "Y” to the areas 403a, 403b, 406a, and 406b is defined by the IO programs 41A1, 41A2, 41B1, 41B2, respectively.
  • the timing may be, for example, the previous safety task cycle or the activation of the safety IO unit 400.
  • the addresses in the areas 403a, 403b, 406a, and 406b in which the data "X" and "Y" are written are defined by the IO programs 41A1, 41A2, 41B1, 41B2, respectively.
  • the processor 401 starts the calculation task T1 in synchronization with the start timing of the safety task cycle.
  • the processor 401 reads the data “X” and “Y” from the area 403a of the main memory 403 and executes an operation using the data “X” and “Y”. .. Then, the processor 401 writes the data "Z" which is the calculation result to the area 403a of the main memory 403.
  • the processor 401 starts the calculation task T2 after the calculation task T1 is completed.
  • the calculation task T2 differs from the calculation task T1 only in that the area 403b is used instead of the area 403a in the main memory 403. That is, the processor 401 reads the data “X” and “Y” from the area 403b and executes the operation using the data “X” and “Y”. Then, the processor 401 writes the data "Z" which is the calculation result in the area 403b.
  • the processor 404 starts the calculation task T3 in synchronization with the start timing of the safety task cycle.
  • the calculation task T3 differs from the calculation task T1 only in that the area 406a of the main memory 406 is used instead of the area 403a in the main memory 403. That is, the processor 404 reads the data "X” and "Y” from the area 406a of the main memory 406, and executes the operation using the data "X” and "Y”. Then, the processor 404 writes the data "Z" which is the calculation result to the area 406a of the main memory 406.
  • the processor 404 starts the calculation task T4 after the calculation task T3 is completed.
  • the calculation task T4 differs from the calculation task T3 only in that the area 406b is used instead of the area 406a in the main memory 406. That is, the processor 401 reads the data “X” and “Y” from the area 406b and executes the operation using the data “X” and “Y”. Then, the processor 404 writes the data "Z" which is the calculation result in the area 406b.
  • the calculation tasks T1 to T4 are executed according to the IO programs 41A1, 41A2, 41B1, 41B2, respectively. That is, the addresses in the areas 403a, 403b, 406a, and 406b to which the data "X" and "Y” are read out are defined by the IO programs 41A1, 41A2, 41B1, 41B2, respectively.
  • the IO programs 41A1, 41A2, 41B1, 41B2 define the same calculation contents using the data "X” and "Y”.
  • the addresses in the areas 403a, 403b, 406a, and 406b in which the data "Z" is written are defined by the IO programs 41A1, 41A2, 41B1, 41B2, respectively.
  • the IO programs 41A1, 41A2, 41B1, 41B2 are different from each other only in the address of the memory area to be read and written, and define the same operation content.
  • the results (data “Z”) of the calculation tasks T1 to T4 are all the same as shown in FIG. ..
  • the result of the calculation task T4 (data "Z'") is the result of the calculation tasks T1 to T3, as shown in FIG. (Data "Z") is different.
  • data garbled due to a soft error or the like occurs in the area 406b before the start of the calculation task T4, and the data "X" is garbled into the data "X'".
  • the processors 401 and 404 collate the results of the calculation tasks T1 to T4 after the two calculation tasks. When all the results of the calculation tasks T1 to T4 match, the processors 401 and 404 determine that a transient failure including garbled data has not occurred, and operate based on the results of the calculation tasks T1 to T4. To continue.
  • the processors 401 and 404 match the results ( Hereinafter, it is also referred to as “common result”), and it is determined that it is the result of the calculation task in which no transient failure has occurred. Then, the processors 401 and 404 continue the operation based on the result. In the example shown in FIG. 9, the results of the calculation tasks T1 and T2 and the results of the calculation task T3 are in agreement. Therefore, the processor 401 continues the operation based on the results of the calculation tasks T1 and T2, and the processor 404 continues the operation based on the results of the calculation task T3.
  • the processors 401 and 404 overwrite the data in the memory area used in the calculation task in which the common result is calculated with the memory area used in the calculation task in which the result different from the common result is calculated.
  • the processor 404 outputs the data of the area 406a used in the calculation task T3 in which the result matching the calculation tasks T1 and T2 is output, and the result different from the result of the calculation task T3 is output.
  • the area 406b used in task T4 is overwritten.
  • the erroneous data in the memory area where the transient failure has occurred is restored to the correct data in the memory area where the transient failure has not occurred.
  • the collation processing of the arithmetic tasks T1 to T4 by the processors 401 and 404 is defined by the collation repair programs 42A and 42B, respectively. Further, the repair processing of the areas 403a and 403b by the processor 401 is defined by the collation repair program 42A. Similarly, the repair process of the areas 406a and 406b by the processor 404 is defined by the collation repair program 42B.
  • FIG. 11 is a flowchart showing a processing flow in the safety IO unit.
  • the processors 401 and 404 determine whether or not the tact start timing has been reached (step S1). If the tact start timing has not been reached (NO in step S1), the process returns to step S1 again.
  • step S1 parallel processing of steps S2 and S3 and steps S4 and S5 is executed.
  • step S2 the processor 401 of the A channel circuit 40A executes the first calculation task T1 using the area 403a of the main memory 403.
  • step S3 the processor 401 executes the second calculation task T2 using the area 403b of the main memory 403.
  • step S4 the processor 404 of the B channel circuit 40B executes the first calculation task T3 using the area 406a of the main memory 406.
  • step S4 executes the second calculation task T4 using the area 406b of the main memory 406.
  • step S6 the processors 401 and 404 collate the results of the calculation tasks T1 to T4.
  • step S7 When all the results of the calculation tasks T1 to T4 match (YES in step S7), the processors 401 and 404 determine that all of the calculation tasks T1 to T4 have been completed normally, and based on the results of the calculation tasks T1 to T4. And continue the operation (step S10). After step S10, the process ends.
  • step S7 When all the results of the calculation tasks T1 to T4 do not match (NO in step S7), the processors 401 and 404 have the result of at least one of the results of the calculation tasks T1 and T2 and the result of the calculation tasks T3 and T4. It is determined whether or not there is a match with at least one result of (step S8).
  • step S8 If YES in step S8, the data in the memory area used for the unmatched calculation task is restored (step S9). After repairing the data, the process proceeds to step S10.
  • the processor 401 overwrites the data in the area 403a on the area 403b in the main memory 403.
  • the processor 401 overwrites the data in the area 403b with the area 403a in the main memory 403.
  • the processor 404 overwrites the data in the area 406a with the area 406b in the main memory 406.
  • the processor 404 overwrites the data in the area 406b with the area 406a in the main memory 406.
  • the processor 401 When the results of the calculation tasks T1 and T3 match and the results of the calculation tasks T2 and T4 do not match, the processor 401 overwrites the data in the area 403a on the area 403b in the main memory 403. .. Further, the processor 404 overwrites the data in the area 406a with the area 406b in the main memory 406. When the results of the calculation tasks T1 and T4 match and the results of the calculation tasks T2 and T3 do not match, the processor 401 overwrites the data in the area 403a on the area 403b in the main memory 403. .. Further, the processor 404 overwrites the data in the area 406b in the area 406a in the main memory 406.
  • the processor 401 When the results of the calculation tasks T2 and T3 match and the results of the calculation tasks T1 and T4 do not match, the processor 401 overwrites the data in the area 403b on the area 403a in the main memory 403. .. Further, the processor 404 overwrites the data in the area 406a with the area 406b in the main memory 406. When the results of the calculation tasks T2 and T4 match and each of the calculation tasks T1 and T3 does not match the results of the calculation tasks T2 and T4, the processor 401 overwrites the data in the area 403b on the area 403a in the main memory 403. .. Further, the processor 404 overwrites the data in the area 406b in the area 406a in the main memory 406.
  • step S8 If NO in step S8, the processors 401 and 404 output an abnormal signal and stop the operation (step S11). After step S11, the process ends.
  • the A channel circuit 40A includes the main memory 403 and the processor 401 that executes the arithmetic task using the main memory 403.
  • the B-channel circuit 40B includes a main memory 406 and a processor 404 that executes arithmetic tasks using the main memory 406.
  • the processor 401 executes the arithmetic tasks T1 and T2, respectively, using the two regions 403a and 403b of the main memory 403 that are different from each other.
  • the processor 404 executes arithmetic tasks T3 and T4, respectively, using two different regions 406a and 406b of the main memory 406.
  • the processor 401 executes the two arithmetic tasks T1 and T2, respectively, using the different areas 403a and 403b of the main memory 403.
  • the processor 404 executes the two arithmetic tasks T3 and T4, respectively, using the different areas 406a and 406b of the main memory 406.
  • the result of the calculation task using the other of the areas 403a and 403b (common).
  • the result) and the result (common result) of the calculation task using the other of the regions 406a and 406b match.
  • the processors 401 and 404 can continue the operation based on the common result. That is, even if a transient failure occurs in the main memory 403 before the start of the calculation task, the A channel circuit 40A and the B channel circuit 40B can continue to operate.
  • the processor 401 uses the data of the area of the main memory 403 areas 403a and 403b used in the calculation task for which the result different from the common result is output, and the area used in the calculation task for which the common result is output. Overwrite with the data of.
  • the processor 404 uses the data of the area of the main memory 406 areas 406a and 406b used in the calculation task in which the result different from the common result is output in the calculation task in which the common result is output. Overwrite with the data in the specified area.
  • the data stored in the main memory includes data indicating a value and data indicating an address in the main memory. If a transient failure (for example, garbled data due to a soft error) occurs in the area where the data indicating the value is stored, the value will be garbled from the original state. Even in this case, the processor can continue the operation. On the other hand, if a transient failure occurs in the area where the data indicating the address is stored, the address will be garbled from the original state. It is possible that the garbled address does not exist in main memory. In this case, the processor determines that it is an exception (abnormality) and stops the processing.
  • a transient failure for example, garbled data due to a soft error
  • FIG. 12 is a diagram showing an example of the processing of Specific Example 1 when the data indicating the address is garbled.
  • the data indicating the address stored in the area 403a of the main memory 403 constituting the A channel circuit 40A is garbled so as to indicate the address that does not exist in the main memory 403. Therefore, when the processor 401 executes the calculation task T1, the process is forcibly terminated according to the fact that the data read from the area 403a indicates an address that does not exist in the main memory 403. Therefore, the results of the calculation tasks T1 and T2 cannot be obtained. As a result, the collation processing of the calculation tasks T1 to T4 is not executed, and the operation of the safety IO unit 400 is not continued.
  • the safety IO unit 400 according to the second embodiment is designed so that the operation can be continued even if a transient failure occurs in the area where the data indicating the address is stored.
  • FIG. 13 is a schematic view showing a hardware configuration example of the safety IO unit according to the second embodiment.
  • the safety IO unit 400 exemplified in FIG. 13 differs from the safety IO unit 400 illustrated in FIG. 7 only in that the storage 410 stores the read / write program 43.
  • the processor 401 writes and reads data to the main memory 403 according to the read / write program 43.
  • the processor 404 writes and reads data to and from the main memory 406 according to the read and write program 43.
  • FIG. 14 is a diagram showing a process of writing data to the main memory.
  • the processors 401 and 404 write the target data to be written to the main memories 403 and 406, respectively
  • the processors 401 and 404 copy the target data twice, and the two copied data are also the main memory 403. , 406 respectively.
  • the target data and the two copy data are written at the same time in each of the main memories 403 and 406.
  • the data is tripled in each of the main memories 403 and 406.
  • the target data and the two copy data are the same. However, if a soft error occurs due to the influence of cosmic rays or neutron rays, for example, data will be garbled in either the target data or the two copy data.
  • FIG. 15 is a diagram showing a process of reading data from the main memory. As shown in FIG. 15, when the target data to be read is read from the main memories 403 and 406, the processors 401 and 404 also read two copy data together with the target data. Each of the processors 401 and 404 collates the read target data and the two copy data with each other.
  • each of the processors 401 and 404 determines that no data garbled has occurred in either the target data or the two copy data, and uses the target data. Perform arithmetic tasks.
  • each of the processors 401 and 404 if two of the read target data and the two copy data match and the remaining one does not match, the two matching data are not garbled and the remaining one data is not garbled. It is judged that the data is garbled. Then, each of the processors 401 and 404 overwrites one of the two matching data with the area in which the remaining one data is stored. As a result, the garbled data is repaired. After that, the processors 401 and 404 execute the calculation task using one of the two matching data.
  • FIG. 16 is a diagram showing an area of the main memory according to the second embodiment.
  • the main memory 403 includes areas 403c, 403d, 403e.
  • the main memory 406 includes areas 406c, 406d, 406e.
  • Areas 403c and 406c are areas where only data is read during the calculation task.
  • the area 403c is used by both the first calculation task T1 and the second calculation task T2 by the processor 401.
  • the area 406c is used by both the first arithmetic task T3 and the second arithmetic task T4 by the processor 404.
  • Areas 403d, 403e, 406d, and 406e are areas where data is written during the calculation task.
  • the area 403d is used in the first calculation task T1 by the processor 401.
  • the area 403e is used in the second calculation task T2 by the processor 401.
  • Region 406d is used in the first arithmetic task T3 by processor 404.
  • the area 406e is used in the second calculation task T4 by the processor 404.
  • FIG. 17 is a diagram showing a specific example 2 of processing using two processing circuits when data garbled occurs.
  • FIG. 18 is a diagram showing an example of the restoration process of the data “X” shown in FIG.
  • the processor 401 of the A channel circuit 40A continuously executes the same arithmetic tasks T1 and T2 in the safety task cycle.
  • the processor 401 executes the calculation tasks T1 and T2 using the data “X” and “Y” stored in the area 403c of the main memory 403.
  • the processor 401 writes the results (data “Z”) of the calculation tasks T1 and T2 in the areas 403d and 403e, respectively.
  • the processor 404 of the B channel circuit 40B continuously executes the same arithmetic tasks T3 and T4 in the safety task cycle.
  • the processor 404 executes arithmetic tasks T3 and T4 using the data “X” and “Y” stored in the area 406c of the main memory 406.
  • the processor 404 writes the results (data “Z”) of the arithmetic tasks T3 and T4 in the areas 406d and 406e, respectively.
  • the data written in the main memories 403 and 406 are tripled. Therefore, the data "X” and the two copy data “X_Copy1" and “X_Copy2" are written in the areas 403c and 406c.
  • the data “X” is written and a transient failure occurs in the portion, and the data “X” is disguised as the data “X'”. There is.
  • the processor 404 Before executing each of the arithmetic tasks T3 and T4, the processor 404 reads the target data and the two copy data from the area 406c of the main memory 406, and collates these three data. In the example shown in FIG. 17, no transient failure has occurred in the main memory 406. Therefore, the target data (data "X", "Y") and the two copy data match. Since the target data and the two copy data match, the processor 404 executes the calculation tasks T3 and T4 using the target data (data “X” and “Y”) as they are.
  • the processor 401 reads the target data and the two copy data from the area 403c of the main memory 403, and collates these three data. Since the data "X” is garbled as the data "X'", the data "X'” does not match the two copy data "X_Copy1" and "X_Copy2". On the other hand, the two copy data "X_Copy1" and "X_Copy2" match. Therefore, as shown in FIG. 18, the processor 401 overwrites the data "X'" on one of the two matching copy data "X_Copy1" and "X_Copy2".
  • the processor 401 can execute the arithmetic tasks T1 and T2 using the restored data "X” (or copy data "X_Copy1" and "X_Copy2"). That is, as shown in FIG. 17, even if the data "X" is the data indicating the address, the processor 401 can continue the calculation tasks T1 and T2 without determining an exception (abnormality).
  • the processors 401 and 404 continue the operation based on the results of the arithmetic tasks T1 to T4.
  • FIG. 19 is a diagram showing a specific example 2 of processing using two processing circuits when a transient failure occurs during execution of a calculation task.
  • FIG. 20 is a diagram showing an example of the restoration process of the data “Z” shown in FIG.
  • a transient failure occurs during execution of the calculation task T3 by the processor 404, and a calculation result (data “Z'”) different from the result of another calculation task (data “Z”). Is written in area 406d.
  • the processors 401 and 404 determine that the arithmetic tasks T1, T2, and T4 have been executed normally, and the arithmetic tasks T1, T2, and T4 Continue the operation based on the result of. In this way, even if a transient failure occurs during the execution of the calculation task, the operation of the safety IO unit 400 is continued, and the temporary stop of the control system 1 can be avoided.
  • the processor 404 overwrites the data in the area 406e in which the result of the normally executed calculation task T4 is written in the area 406d in which the result of the calculation task T3 is written. As a result, the erroneous data "Z'" is restored to the normal data "Z".
  • the processor 401 when the processor 401 writes the target data used for the arithmetic tasks T1 and T2 to the main memory 403, the processor 401 also copies the target data to the main memory. Write to 403. Similarly, when the target data used for the arithmetic tasks T3 and T4 is written to the main memory 406, the processor 404 also writes the two copy data obtained by copying the target data to the main memory 406.
  • the processor 401 reads the target data and the two copy data from the main memory 403 before executing each of the arithmetic tasks T1 and T2.
  • the processor 404 reads the target data and the two copy data from the main memory 406 before executing each of the arithmetic tasks T3 and T4.
  • Each of the processors 401 and 404 executes an arithmetic task using the two or more matching data according to the matching of the read target data and the two or more data out of the two copy data.
  • the calculation task can be performed using the remaining two data. Will be executed.
  • the calculation task is executed using the correct data without data garbled, and the operation can be continued based on the result of the calculation task.
  • Each of the processors 401 and 404 stores the one data according to the fact that two of the read target data and the two copy data match and the remaining one data is different from the two data. The area is overwritten with one of the two data.
  • the garbled data is restored to the correct data.
  • the processor 401 writes the results of the calculation tasks T1 and T2 to two different areas 403d and 403e of the main memory 403, respectively.
  • the processor 404 writes the results of the arithmetic tasks T3 and T4 to two different regions 406d and 406e of the main memory 406, respectively.
  • the processors 401 and 404 match at least one of the results of the calculation tasks T1 and T2 and the result of at least one of the results of the calculation tasks T3 and T4. Continue operation based on the result (common result).
  • the processor 401 overwrites the data of the area in which the result different from the common result is written in the areas 403d and 403e of the main memory 403 with the data of the area in which the result of the common result is written.
  • the processor 404 overwrites the data in the area 406d, 406e of the main memory 406 in which the result different from the common result is written with the data in the area in which the common result is written.
  • each of the processors 401 and 404 executes the calculation task twice in succession in each safety task cycle.
  • each of the processors 401 and 404 may execute the calculation task N times in succession in each safety task cycle.
  • N is an integer greater than or equal to 2.
  • the processor 401 executes N times of calculation tasks by using N different areas in the main memory 403.
  • the processor 404 executes N arithmetic tasks, respectively, using N different regions in the main memory 406.
  • the processor 401 writes the results of N times of calculation tasks to N different areas in the main memory 403.
  • the processor 404 writes the results of N arithmetic tasks to N different regions in the main memory 406, respectively.
  • the processors 401 and 404 determine whether or not the following condition A is satisfied.
  • Condition A The first result of at least one of the results of N times of arithmetic processing executed by the processor 401 (first result) and the result of N times of arithmetic processing executed by the processor 404 (second result). The result of) is consistent with at least one second result. Then, the processors 401 and 404 may continue the operation based on the at least one first result and the at least one second result, respectively, depending on the condition A being satisfied.
  • the processors 401 and 404 may determine whether or not the following condition B is satisfied in addition to the above condition A.
  • Condition B Of the results of the 2N calculation tasks, the result equal to or more than the reference number of times matches the at least one first result (or the at least one second result). The reference number of times is, for example, an integer of 3 or more. Then, the processors 401 and 404 may continue the operation based on the at least one first result and the at least one second result, respectively, depending on satisfying the above conditions A and B.
  • the reference number of times may be set to exceed N.
  • N 2
  • the processors 401 and 404 may continue the operation based on the four or more results according to the fact that three or more of the results of the four arithmetic tasks match. ..
  • N 3
  • the processors 401 and 404 may continue the operation based on the four or more results according to the fact that four or more of the results of the six arithmetic tasks match. ..
  • the operation of the safety IO unit 400 can be continued.
  • the safety IO unit 400 includes two processing circuits (A channel circuit 40A and B channel circuit 40B).
  • at least one of the standard PLC100, the safety PLC200 and the coupler 300 may include two processing circuits, which may perform the same processing as the A channel circuit 40A and the B channel circuit 40B described above.
  • at least one of the standard PLC100, the safety PLC200 and the coupler 300 can continue to operate even in the event of a transient failure. As a result, the frequency of stopping the control system 1 is suppressed.
  • a different reference number may be set for each device according to the characteristics required for the device. For example, the reliability of the result of the arithmetic task required by the control PLC 100 is lower than the reliability of the result of the arithmetic task required by the safety IO unit 400. Therefore, the reference number of times set in the control PLC 100 may be less than the reference number of times set in the safety IO unit 400.
  • this embodiment includes the following disclosures.
  • FIG. 1 An information processing device (400) that executes arithmetic processing.
  • the first processing circuit (40A) and Equipped with a second processing circuit (40B) The first processing circuit (40A) executes the arithmetic processing N times in succession.
  • the second processing circuit (40B) executes the arithmetic processing N times in succession.
  • N is an integer greater than or equal to 2
  • the first processing circuit (40A) and the second processing circuit (40B) are at least one of the first results of N times of the arithmetic processing executed by the first processing circuit (40A). Depending on whether the first result matches at least one second result of the second result of the arithmetic processing N times executed by the second processing circuit (40B).
  • An information processing apparatus (400) that continues its operation based on the at least one first result and the at least one second result, respectively.
  • the first processing circuit (40A) includes a first memory (403) and a first processor (401) that executes the arithmetic processing using the first memory (403).
  • the second processing circuit (40B) includes a second memory (406) and a second processor (404) that executes the arithmetic processing using the second memory (406).
  • the first processor (401) executes the arithmetic processing N times, respectively, using N different regions (403a, 403b) of the first memory (403).
  • the second processor (404) uses N different regions (406a, 406b) of the second memory (406) to execute the arithmetic processing N times, respectively, according to the configuration 1.
  • the first processor (401) outputs a result different from the at least one first result among the N areas (403a, 403b) of the first memory (403).
  • the data of the area used in the above is overwritten with the data of the area used in the arithmetic processing in which the at least one first result is output.
  • the second processor (404) outputs a result different from the at least one second result among the N areas (406a, 406b) of the second memory (406).
  • the information processing unit (400) according to configuration 2, wherein the data of the region used in the above is overwritten with the data of the region used in the arithmetic processing in which the at least one second result is output.
  • the first processing circuit (40A) includes a first memory (403) and a first processor (401) that executes the arithmetic processing using the first memory (403).
  • the second processing circuit (40B) includes a second memory (406) and a second processor (404) that executes the arithmetic processing using the second memory (406).
  • the first processor (401) writes the target data used in the arithmetic processing to the first memory (403)
  • the two copy data obtained by copying the target data are also the first.
  • Write to memory (403) When the second processor (404) writes the target data used in the arithmetic processing to the second memory (406), the two copy data obtained by copying the target data are also the second copy data.
  • the first processor (401) writes the result of the arithmetic processing N times to N different areas (403d, 403e) of the first memory (403), respectively.
  • the second processor (404) writes the result of the arithmetic processing N times to N different regions (406d, 406e) of the second memory (406), respectively.
  • the first processor (401) is data of an area in which a result different from the at least one first result is written in the N areas (403d, 403e) of the first memory (403). Is overwritten with the data in the area where the at least one first result is written.
  • the second processor (404) is data of an area in which a result different from at least one second result is written in the N areas (406d, 406e) of the second memory (406).
  • the information processing unit (400) according to the configuration 5 or 6, wherein the data in the area where the at least one second result is written is overwritten.
  • the first processing circuit (40A) and Including the second processing circuit (40B) The control method is A step in which the first processing circuit (40A) executes the arithmetic processing N times in succession,
  • the second processing circuit (40B) includes a step of continuously executing the arithmetic processing N times.
  • N is an integer greater than or equal to 2, and further
  • the first processing circuit (40A) and the second processing circuit (40B) are at least one of the first results of the N times of the arithmetic processing executed by the first processing circuit (40A).
  • An information processing method comprising a step of continuing an operation based on the at least one first result and the at least one second result.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Software Systems (AREA)
  • Hardware Redundancy (AREA)
  • Retry When Errors Occur (AREA)

Abstract

演算処理を実行する情報処理装置は、第１の処理回路と、第２の処理回路とを備える。第１の処理回路は、演算処理をＮ回連続して実行する。第２の処理回路は、演算処理をＮ回連続して実行する。Ｎは２以上の整数である。第１の処理回路および第２の処理回路は、第１の処理回路によって実行されたＮ回の演算処理の結果のうちの少なくとも１つの結果と、第２の処理回路によって実行されたＮ回の演算処理の結果のうちの少なくとも１つの結果とが一致することに応じて、動作を継続する。これにより、ハードウェアに要するコストの増大を抑制するとともに、一過性の故障による一時的な停止を抑制できる。

Description

情報処理装置、制御方法およびプログラム
　本開示は、情報処理装置、制御方法およびプログラムに関する。
　情報処理装置における演算処理の実行中において一過性の故障が生じ、所望とは異なる演算結果が出力され得る。このような一過性の故障は、例えば、プロセッサ内のレジスタにおけるデータ化け、バス上でのデータ化け、プロセッサの誤動作などに起因して生じる。一過性の故障が起こり得る情報処理装置をシステムに適用すると、当該故障によるシステムの一時的な停止が生じうる。社会インフラを支えるシステムにおいて、このような一時的な停止が生じると、重大な影響を及ぼす。また、生産ラインに組み込まれるシステムにおいて一時的な停止が生じると、生産効率が低下する。
　このようなシステムの一時的な停止を回避するための技術が開発されている。例えば、特開２０１９－８７８１号公報（特許文献１）は、処理回路を三重化する三重モード冗長（Triple　Modular　Redundant（ＴＭＲ））技術を開示している。ＴＭＲ技術によれば、３つの処理回路のうち１つの処理回路において一過性の故障が生じたとしても、残りの２つの処理回路によって当該故障を訂正することができる。これにより、システムの一時的な停止を回避できる。
特開２０１９－８７８１号公報
　しかしながら、特許文献１に記載の技術では、同一の処理回路を３つ用意する必要があるため、処理回路を構成するハードウェアに要するコストが増大する。
　本開示は、上記の問題に鑑みてなされたものであり、その目的は、ハードウェアに要するコストの増大を抑制するとともに、一過性の故障によるシステムの一時的な停止を抑制可能な情報処理装置、制御方法およびプログラムを提供することである。
　本開示の一例によれば、演算処理を実行する情報処理装置は、第１の処理回路と、第２の処理回路とを備える。第１の処理回路は、演算処理をＮ回連続して実行する。第２の処理回路は、演算処理をＮ回連続して実行する。Ｎは２以上の整数である。第１の処理回路および第２の処理回路は、第１の処理回路によって実行されたＮ回の演算処理の第１の結果のうちの少なくとも１つの第１の結果と、第２の処理回路によって実行されたＮ回の演算処理の第２の結果のうちの少なくとも１つの第２の結果とが一致することに応じて、上記少なくとも１つの第１の結果および上記少なくとも１つの第２の結果に基づいて動作をそれぞれ継続する。
　この開示によれば、３つの処理回路を必要とするＴＭＲ技術と比較して、ハードウェアに要するコストの増大を抑制できる。
　演算処理の実行中に一過性の故障が生じる確率は一般に低い。そのため、互いに一致する上記少なくとも１つの第１の結果と上記少なくとも１つの第２の結果とは、実行中に一過性の故障の生じていない演算処理の結果であると推定される。これにより、第１の処理回路および第２の処理回路、信頼性の高い結果を用いて動作を継続できる。このように、一過性の故障が生じたとしても、動作を継続させることができ、一過性の故障によるシステムの一時的な停止を抑制できる。
　上述の開示において、第１の処理回路は、第１のメモリと、第１のメモリを用いて演算処理を実行する第１のプロセッサとを含む。第２の処理回路は、第２のメモリと、第２のメモリを用いて演算処理を実行する第２のプロセッサとを含む。第１のプロセッサは、第１のメモリの互いに異なるＮ個の領域を用いて、Ｎ回の演算処理をそれぞれ実行する。第２のプロセッサは、第２のメモリの互いに異なるＮ個の領域を用いて、Ｎ回の演算処理をそれぞれ実行する。
　この開示によれば、第１のメモリのＮ個の領域のうちの一部および第２のメモリのＮ個の領域のうちの一部において、演算処理の開始前の一過性の故障によってデータ化けが生じたとしても、少なくとも１つの第１の結果と少なくとも１つの第２の結果とが一致する。演算処理の開始前に生じうる一過性の故障は、例えばソフトエラーなどによって起こりうる。そのため、第１のプロセッサおよび第２のプロセッサは、互いに一致する上記少なくとも１つの第１の結果および上記少なくとも１つの第２の結果に基づいて運転をそれぞれ継続できる。すなわち、演算処理の開始前に一過性の故障が生じた場合であっても、第１の処理回路および第２の処理回路は、動作を継続できる。
　上述の開示において、第１のプロセッサは、第１のメモリのＮ個の領域のうち、上記少なくとも１つの第１の結果と異なる結果が出力された演算処理において用いられた領域のデータを、上記少なくとも１つの第１の結果が出力された演算処理において用いられた領域のデータで上書きする。第２のプロセッサは、第２のメモリのＮ個の領域のうち、上記少なくとも１つの第２の結果と異なる結果が出力された演算処理において用いられた領域のデータを、上記少なくとも１つの第２の結果が出力された演算処理において用いられた領域のデータで上書きする。
　この開示によれば、誤ったデータが正しいデータに修復される。その結果、誤ったデータが次回の演算タスクに引き継がれることを回避できる。
　上述の開示において、第１の処理回路は、第１のメモリと、第１のメモリを用いて演算処理を実行する第１のプロセッサとを含む。第２の処理回路は、第２のメモリと、第２のメモリを用いて演算処理を実行する第２のプロセッサとを含む。第１のプロセッサは、演算処理に用いられる対象データを第１のメモリに書き込むとき、対象データをコピーすることにより得られる２つのコピーデータも第１のメモリに書き込む。第２のプロセッサは、演算処理に用いられる対象データを第２のメモリに書き込むとき、対象データをコピーすることにより得られる２つのコピーデータも第２のメモリに書き込む。第１のプロセッサは、演算処理を実行する前に、第１のメモリから対象データおよび２つのコピーデータを読み出し、読み出した対象データおよび２つのコピーデータのうち２以上のデータが一致することに応じて、一致する当該２以上のデータを用いて演算処理を実行する。第２のプロセッサは、演算処理を実行する前に、第２のメモリから対象データおよび２つのコピーデータを読み出し、読み出した対象データおよび２つのコピーデータのうち２以上のデータが一致することに応じて、一致する当該２以上のデータを用いて演算処理を実行する。
　この開示によれば、第１のメモリおよび第２のメモリの各々において、演算処理の開始前の一過性の故障（例えばソフトエラー）により対象データおよび２つのコピーデータのうちのいずれか１つのデータにデータ化けが生じたとしても、残り２つのデータを用いて演算処理が実行される。これにより、演算処理の開始前に一過性の故障が生じた場合であっても、当該一過性の故障の生じていない正しいデータを用いて演算処理が実行され、当該演算処理の結果に基づいて動作を継続できる。
　上述の開示において、第１のプロセッサは、読み出した対象データおよび２つのコピーデータのうち２つのデータが一致し、残り１つのデータが２つのデータと異なることに応じて、第１のメモリにおいて、１つのデータが格納されていた領域を、２つのデータの一方で上書きする。
　第２のプロセッサは、読み出した対象データおよび２つのコピーデータのうち２つのデータが一致し、残り１つのデータが２つのデータと異なることに応じて、第２のメモリにおいて、１つのデータが格納されていた領域を、２つのデータの一方で上書きする。
　この開示によれば、一過性の故障によりデータ化けしたデータが正しいデータに修復される。その結果、誤ったデータが次回の演算タスクに引き継がれることを回避できる。
　上述の開示において、第１のプロセッサは、Ｎ回の演算処理の結果を、第１のメモリの互いに異なるＮ個の領域にそれぞれ書き込む。第２のプロセッサは、Ｎ回の演算処理の結果を、第２のメモリの互いに異なるＮ個の領域にそれぞれ書き込む。第１のプロセッサは、第１のメモリのＮ個の領域のうち、上記少なくとも１つの第１の結果と異なる結果が書き込まれた領域のデータを、上記少なくとも１つの第１の結果が書き込まれた領域のデータで上書きする。第２のプロセッサは、第２のメモリのＮ個の領域のうち、上記少なくとも１つの第２の結果と異なる結果が書き込まれた領域のデータを、上記少なくとも１つの第２の結果が書き込まれた領域のデータで上書きする。
　この開示によれば、誤ったデータが正しいデータに修復される。その結果、誤ったデータが次回の演算タスクに引き継がれることを回避できる。
　本開示の一例によれば、演算処理を実行する情報処理装置は、第１の処理回路と、第２の処理回路とを含む。情報処理装置の制御方法は、第１の処理回路が演算処理をＮ回連続して実行するステップと、第２の処理回路が演算処理をＮ回連続して実行するステップとを備える。Ｎは２以上の整数である。制御方法は、さらに、第１の処理回路および第２の処理回路が、第１の処理回路によって実行されたＮ回の演算処理の第１の結果のうちの少なくとも１つの第１の結果と、第２の処理回路によって実行されたＮ回の演算処理の第２の結果のうちの少なくとも１つの第２の結果とが一致することに応じて、上記少なくとも１つの第１の結果および上記少なくとも１つの第２の結果に基づいて動作をそれぞれ継続するステップを備える。
　本開示の一例によれば、プログラムは、上記の制御方法をコンピュータに実行させる。これらの開示によっても、ハードウェアに要するコストの増大を抑制するとともに、一過性の故障による一時的な停止を抑制できる。
　本開示によれば、ハードウェアに要するコストの増大を抑制するとともに、一過性の故障による一時的な停止を抑制できる。
実施形態に係る制御システムの全体構成を示す概略図である。 ２つの処理回路を用いた処理の参考例を示す図である。 ２つの処理回路を用いた処理の実施例を示す図である。 標準ＰＬＣのハードウェア構成例を示す模式図である。 安全ＰＬＣのハードウェア構成例を示す模式図である。 カプラのハードウェア構成例を示す模式図である。 具体例１に係る安全ＩＯユニットのハードウェア構成例を示す模式図である。 一過性の故障が生じていないときの、２つの処理回路を用いた処理の具体例１を示す図である。 一過性の故障が生じたときの、２つの処理回路を用いた処理の具体例１を示す図である。 具体例１におけるデータの修復処理の一例を示す図である。 安全ＩＯユニットにおける処理の流れを示すフローチャートである。 アドレスを示すデータにデータ化けが生じたときの、具体例１の処理の一例を示す図である。 具体例２に係る安全ＩＯユニットのハードウェア構成例を示す模式図である。 メインメモリへのデータの書き込み処理を示す図である。 メインメモリからのデータの読み出し処理を示す図である。 具体例２に係るメインメモリの領域を示す図である。 データ化けが生じたときの、２つの処理回路を用いた処理の具体例２を示す図である。 図１７に示すデータ「Ｘ」の修復処理の一例を示す図である。 一過性の故障が生じたときの、２つの処理回路を用いた処理の具体例２を示す図である。 図１９に示すデータ「Ｚ」の修復処理の一例を示す図である。
　本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰返さない。
　§１　適用例
　航空宇宙システム、自動車、医療機器、通信機器、産業機器など様々に分野において、情報処理装置の一過性の故障によるシステムの一時的な停止を抑制することが望まれる。本発明は、このような様々な分野のシステムに適用され得る。以下では、本発明の適用例として、ＦＡ（Factory　Automation）分野に組み込まれる制御システムについて説明するが、本発明の適用例は、当該制御システムに限定されない。
　図１は、実施形態に係る制御システムの全体構成を示す概略図である。図１に例示される制御システム１は、主要なコンポーネントとして、標準ＰＬＣ（プログラマブルロジックコントローラ）１００と、安全ＰＬＣ２００と、１以上のカプラ３００と、１以上の安全ＩＯユニット４００とを含む。
　標準ＰＬＣ１００は、予め作成された標準制御プログラムに従って、任意の制御対象に対する標準制御を実行する。「標準制御」は、予め定められた要求仕様に沿って、制御対象を制御するための処理の総称である。制御対象は、例えばサーボモータ、ロボットなどである。
　安全ＰＬＣ２００は、標準ＰＬＣ１００とは独立して、任意の制御対象に対するセーフティ制御を実行する。図１に例示される安全ＰＬＣ２００は、ローカルバスを介して標準ＰＬＣ１００に接続される。「セーフティ制御」は、設備や機械などによって人の安全が脅かされることを防止するための処理の総称である。「セーフティ制御」は、例えばＩＥＣ　６１５０８などに規定されたセーフティ機能を実現するための要件を満たすように設計される。
　カプラ３００は、標準ＰＬＣ１００と安全ＩＯユニット４００との間のデータの遣り取りを仲介する。カプラ３００は、フィールドネットワーク２を介して、標準ＰＬＣ１００と電気的に接続されている。フィールドネットワーク２は、ＦＡ（Factory　Automation）用のデータ伝送を実現するための通信媒体である。フィールドネットワーク２において、予め定められた周期でフレーム伝送が可能になっており、ネットワーク内の各ノードに対するデータ到着時間が保証される。このようなデータ到着時間が保証されるプロトコルの一例として、本実施の形態に従う制御システム１においては、フィールドネットワーク２にはＥｔｈｅｒＣＡＴ（登録商標）を採用する。
　カプラ３００は、標準ＰＬＣ１００から受信したデータを安全ＩＯユニット４００へ送信するとともに、安全ＩＯユニット４００からデータを受信すると、当該受信したデータを次に到着するフレームに格納する準備を行う。
　安全ＩＯユニット４００は、安全ＰＬＣ２００またはカプラ３００にローカルバスを介して接続される。さらに、安全ＩＯユニット４００には任意の安全デバイス（図示せず）が接続される。安全デバイスには、ライトカーテン、非常停止ボタン、セーフティドアスイッチなどが含まれる。
　安全ＩＯユニット４００は、安全デバイスからの入力信号を受け付けて、安全ＰＬＣ２００へ当該入力信号を提供する。あるいは、安全ＩＯユニット４００は、安全デバイスからの入力信号を受け付けて、カプラ３００を介して標準ＰＬＣ１００へ当該入力信号を提供する。標準ＰＬＣ１００へ提供された入力信号は、安全ＰＬＣ２００へ提供される。
　さらに、安全ＩＯユニット４００は、安全ＰＬＣ２００からの指令に応じて、安全デバイスへ出力信号を出力する。あるいは、安全ＩＯユニット４００は、カプラ３００および標準ＰＬＣ１００を介した安全ＰＬＣ２００からの指令に応じて、安全デバイスへ出力信号を出力する。
　安全ＩＯユニット４００は、予め定められた周期（以下、「セーフティタスク周期」と称する。）ごとに、安全デバイスからの入力信号の受け付け、当該入力信号の提供、安全デバイスへの出力信号の出力などに関する演算タスクを実行する。
　安全ＰＬＣ２００は、安全ＩＯユニット４００から提供された入力信号に応じて、セーフティ制御を実行する。例えば、安全ＰＬＣ２００は、ライトカーテンである安全デバイスから人の侵入を示す入力信号が提供されると、標準ＰＬＣ１００の制御対象への電源供給を遮断し、制御システム１を一時的に停止させる。あるいは、安全ＰＬＣ２００は、非常停止ボタンである安全デバイスからボタン押下を示す入力信号が提供されると、標準ＰＬＣ１００の制御対象への電源供給を遮断し、制御システム１を一時的に停止させる。
　このように、安全ＩＯユニット４００は、人の安全が脅かされることを防止するためのセーフティ制御に直接関わる。従って、安全ＰＬＣ２００は、安全ＩＯユニット４００に故障や異常が発生したときにも、制御システム１を一時的に停止させるように設計されている。
　安全ＩＯユニット４００に備えられる処理回路による演算タスクの実行中において一過性の故障が生じ、当該故障が訂正されないまま安全ＩＯユニット４００が動作し続けると、安全ＰＬＣ２００は、セーフティ制御を正常に実行できない。そのため、安全ＩＯユニット４００は、演算タスクの実行中に一過性の故障が生じたことを検知する機能を有する。ただし、一過性の故障が生じたことを検知したときに安全ＩＯユニット４００が故障信号を出力すると、制御システム１が停止される。制御システム１は、２４時間×３６５日稼働する生産ラインに組み込まれ得る。このような生産ラインにおいて、制御システム１が一時的に停止すると、多大な損害が生じ得る。
　そのため、本実施の形態に係る情報処理装置である安全ＩＯユニット４００は、１つの処理回路に一過性の故障が生じた場合であっても正常な動作を継続するように、２つの処理回路を有する。以下、２つの処理回路のうちの一方をＡチャンネル回路と呼び、他方をＢチャンネル回路と呼ぶ。
　特許文献１に記載のＴＭＲ技術を用いて、処理回路を三重化することにより、３つの処理回路のうち１つの処理回路に一過性の故障が生じた場合であっても、残りの２つの処理回路を用いて動作を継続できる。しかしながら、ＴＭＲ技術を用いると処理回路を構成するハードウェアに要するコストが増大する。そこで、本実施の形態に係る安全ＩＯユニット４００は、２つの処理回路（Ａチャンネル回路およびＢチャンネル回路）を有する。これにより、ＴＭＲ技術を用いて安全ＩＯユニットを設計する場合に比べて、ハードウェアに要するコストを低減させている。
　図２は、２つの処理回路を用いた処理の参考例を示す図である。図２に例示される参考例では、Ａチャンネル回路およびＢチャンネル回路は、セーフティタスク周期ごとに、並行して演算タスクを実行する。
　一過性の故障は、低い確率で偶発的に起こり得る。そのため、同じセーフティタスク周期において、Ａチャンネル回路およびＢチャンネル回路の両者に一過性の故障が生じることは稀である。
　Ａチャンネル回路およびＢチャンネル回路のいずれにおいても一過性の故障が生じていないと、演算タスクの結果は一致する。一方、Ａチャンネル回路およびＢチャンネル回路の少なくとも一方において一過性の故障が生じると、演算タスクの結果が不一致となる。そのため、Ａチャンネル回路およびＢチャンネル回路の演算タスクの結果を照合することにより、一過性の故障の発生の有無を検知できる。すなわち、Ａチャンネル回路およびＢチャンネル回路の演算タスクの結果が不一致であることに応じて、一過性の故障が生じたことを検知できる。
　しかしながら、図２に例示される参考例では、Ａチャンネル回路およびＢチャンネル回路のどちらに一過性の故障が生じたかを判定できない。そのため、安全ＩＯユニットは、２つの演算タスクの結果が不一致であることに応じて、正常な動作を継続できないと判断し、故障信号を出力するしかない。その結果、安全ＰＬＣ２００のセーフティ制御により、制御システム１が停止されてしまう。従って、図２に例示される参考例の処理を実行した場合、１つの処理回路に一過性の故障が生じると、制御システム１が一時的に停止する。
　本実施の形態に係る安全ＩＯユニット４００は、１つの処理回路に一過性の故障が生じた場合であっても正常な動作を継続するために、以下のような処理を実行する。
　図３は、２つの処理回路を用いた処理の実施例を示す図である。図３に示されるように、Ａチャンネル回路は、セーフティタスク周期において、同一の演算タスクＴ１，Ｔ２を連続して実行する。Ｂチャンネル回路は、セーフティタスク周期において、同一の演算タスクＴ３，Ｔ４を連続して実行する。また、Ａチャンネル回路が実行する演算タスクＴ１，Ｔ２は、Ｂチャンネル回路が実行する演算タスクＴ３，Ｔ４と同一である。すなわち、安全ＩＯユニット４００は、セーフティタスク周期において、同一の演算タスクＴ１～Ｔ４を実行する。そして、安全ＩＯユニット４００は、セーフティタスク周期ごとに、演算タスクＴ１～Ｔ４の結果を照合し、照合結果に基づいて一過性の故障が生じたか否かを検知する。
　演算タスクＴ１～Ｔ４の全てにおいて一過性の故障が生じていない場合、演算タスクＴ１～Ｔ４の結果は同一となる。そのため、安全ＩＯユニット４００は、演算タスクＴ１～Ｔ４の結果が同一であることに応じて、演算タスクＴ１～Ｔ４のいずれにおいても一過性の故障が生じていないと判断し、いずれか１つの演算結果に基づいて動作を継続させればよい。
　実行中に一過性の故障が生じた演算タスクの結果は、通常、実行中に一過性の故障が生じていない演算タスクの結果と異なる。また、実行中に一過性の故障が生じた場合、演算タスクの結果は、通常、当該一過性の故障の内容に応じて異なる。１つのセーフティタスク周期において、Ａチャンネル回路およびＢチャンネル回路の両方に同一内容の一過性の故障が生じることは、非常に稀である。
　そこで、本実施の形態に係る安全ＩＯユニット４００では、Ａチャンネル回路およびＢチャンネル回路は、演算タスクＴ１，Ｔ２の結果（第１の結果）のうちの少なくとも１つの第１の結果と、演算タスクＴ３，Ｔ４の結果(第２の結果）のうちの少なくとも１つの第２の結果とが一致することに応じて、当該一致する結果に基づいて動作を継続する。すなわち、Ａチャンネル回路は、演算タスクＴ１，Ｔ２の結果のうちの上記少なくとも１つの第１の結果に基づいて動作を継続する。Ｂチャンネル回路は、演算タスクＴ３，Ｔ４の結果のうちの上記少なくとも１つの第２の結果に基づいて動作を継続する。これにより、ハードウェアに要するコストの増大を抑制できるとともに、一過性の故障によるシステムの一時的な停止を抑制できる。
　§２　具体例１
　＜標準ＰＬＣのハードウェア構成＞
　図４は、標準ＰＬＣのハードウェア構成例を示す模式図である。図４に例示される標準ＰＬＣ１００は、プロセッサ１０２と、メインメモリ１０４と、ストレージ１１０と、フィールドネットワークコントローラ１０８と、ローカルバスコントローラ１１６とを含む。これらのコンポーネントは、プロセッサバス１１８を介して接続されている。
　プロセッサ１０２は、主として、標準制御に係る制御演算を実行する演算処理部に相当し、ＣＰＵ（Central　Processing　Unit）やＧＰＵ（Graphics　Processing　Unit）などで構成される。具体的には、プロセッサ１０２は、ストレージ１１０に格納されたプログラム（一例として、システムプログラム１１０２および標準制御プログラム１１０４）を読出して、メインメモリ１０４に展開して実行することで、制御対象に応じた制御演算、および、後述するような各種処理を実現する。
　メインメモリ１０４は、例えばＤＲＡＭ（Dynamic　Random　Access　Memory）やＳＲＡＭ（Static　Random　Access　Memory）のような揮発性メモリによって構成される。ストレージ１１０は、例えば、ＳＳＤ（Solid　State　Drive）やＨＤＤ（Hard　Disk　Drive）などの不揮発性記憶装置などによって構成される。
　ストレージ１１０には、基本的な機能を実現するためのシステムプログラム１１０２、制御対象に応じて作成された標準制御プログラム１１０４、および標準ＰＬＣ１００での処理を規定するための設定情報１１０６が格納される。
　フィールドネットワークコントローラ１０８は、フィールドネットワーク２を介して任意のデバイス（例えばカプラ３００）との間でデータを遣り取りする。
　ローカルバスコントローラ１１６は、ローカルバスを介して、標準ＰＬＣ１００に接続される任意のユニット（例えば安全ＰＬＣ２００）との間でデータを遣り取りする。
　＜安全ＰＬＣのハードウェア構成＞
　図５は、安全ＰＬＣのハードウェア構成例を示す模式図である。図５に例示される安全ＰＬＣ２００は、プロセッサ２０２と、メインメモリ２０４と、ストレージ２１０と、ローカルバスコントローラ２１６とを含む。これらのコンポーネントは、プロセッサバス２１８を介して接続されている。
　プロセッサ２０２は、主として、セーフティ制御に係る制御演算を実行する演算処理部に相当し、ＣＰＵやＧＰＵなどで構成される。
　メインメモリ２０４は、例えばＤＲＡＭやＳＲＡＭのような揮発性メモリによって構成される。ストレージ２１０は、例えば、ＳＳＤやＨＤＤなどの不揮発性記憶装置などによって構成される。
　ストレージ２１０には、基本的な機能を実現するためのシステムプログラム２１０２、要求されるセーフティ機能に応じた作成された安全プログラム２１０４、および安全ＰＬＣ２００での処理を規定するための設定情報２１０６が格納される。
　ローカルバスコントローラ２１６は、ローカルバスを介して、安全ＰＬＣ２００に接続される安全ＩＯユニット４００との間でデータを遣り取りする。
　＜カプラのハードウェア構成＞
　図６は、カプラのハードウェア構成例を示す模式図である。図６に例示されるカプラ３００は、プロセッサ３０２と、メインメモリ３０４と、ストレージ３１０と、フィールドネットワークコントローラ３０８と、ローカルバスコントローラ３１６とを含む。これらのコンポーネントは、プロセッサバス３１８を介して接続されている。
　プロセッサ３０２は、主として、カプラ３００を動作させるための制御演算を実行する演算処理部に相当し、ＣＰＵやＧＰＵなどで構成される。
　メインメモリ３０４は、例えばＤＲＡＭやＳＲＡＭのような揮発性メモリによって構成される。ストレージ３１０は、例えば、ＳＳＤやＨＤＤなどの不揮発性記憶装置などによって構成される。
　ストレージ３１０には、基本的な機能を実現するためのシステムプログラム３１０２およびカプラ３００での処理を規定するための設定情報３１０６が格納される。
　フィールドネットワークコントローラ３０８は、フィールドネットワーク２を介して、任意のデバイス（例えば標準ＰＬＣ１００）との間でデータを遣り取りする。
　ローカルバスコントローラ３１６は、ローカルバスを介して、カプラ３００に接続される安全ＩＯユニット４００との間でデータを遣り取りする。
　＜安全ＩＯユニットのハードウェア構成＞
　図７は、具体例１に係る安全ＩＯユニットのハードウェア構成例を示す模式図である。図７に例示される安全ＩＯユニット４００は、２つの処理回路と、ストレージ４１０と、ローカルバスコントローラ４２０と、安全ＩＯモジュール４３０とを含む。これらのコンポーネントは、プロセッサバス４４０を介して接続されている。
　２つの処理回路の一方であるＡチャンネル回路４０Ａは、プロセッサ４０１およびメインメモリ４０３によって構成される。２つの処理回路のうちの他方であるＢチャンネル回路４０Ｂは、プロセッサ４０４およびメインメモリ４０６によって構成される。
　プロセッサ４０１，４０４は、セーフティ制御を実現するために必要な信号の入出力および管理機能に係る制御演算を実行する演算処理部に相当し、ＣＰＵやＭＰＵ（Micro　Processing　Unit）などによって構成される。プロセッサ４０１，４０４は、それぞれレジスタ４０２，４０５を内蔵している。レジスタ４０２，４０５は、プロセッサ４０１，４０４による演算結果を一時的に保持したり、メインメモリ４０３，４０６を読み書きする際のアドレスを保持したりする。
　メインメモリ４０３，４０６は、例えばＤＲＡＭやＳＲＡＭのような揮発性メモリによって構成される。ＳＲＡＭは、記憶部の構造としてフリップフロップを用いており、リフレッシュ動作を必要とせず、ＤＲＡＭより高速に動作できるという利点を有する。そのため、ＳＲＡＭをメインメモリ４０３，４０６として用いることが好ましい。以下、メインメモリ４０３，４０６がＳＲＡＭであるとものとして説明する。
　ストレージ４１０は、例えば、ＳＳＤやＨＤＤなどの不揮発性記憶装置などで構成される。ストレージ４１０には、ＩＯ機能を実現するためのＩＯプログラム４１Ａ１，４１Ａ２，４１Ｂ１，４１Ｂ２と、照合修復プログラム４２Ａ，４２Ｂとが格納される。ＩＯプログラム４１Ａ１，４１Ａ２および照合修復プログラム４２Ａは、Ａチャンネル回路４０Ａにおいて実行される。ＩＯプログラム４１Ｂ１，４１Ｂ２および照合修復プログラム４２Ｂは、Ｂチャンネル回路４０Ｂにおいて実行される。
　ローカルバスコントローラ４２０は、ローカルバスを介して、安全ＩＯユニット４００が接続されるデバイス（例えば安全ＰＬＣ２００、カプラ３００）との間でデータを遣り取りする。
　安全ＩＯモジュール４３０は、安全デバイスと電気的に接続され、安全デバイスによる検出結果などの入力を受け付けたり、安全デバイスへ信号を出力したりする。
　なお、図７の例では、Ａチャンネル回路４０ＡおよびＢチャンネル回路４０Ｂに共用されるストレージ４１０が設けられる。しかしながら、Ａチャンネル回路４０ＡおよびＢチャンネル回路４０Ｂの各々にストレージが設けられてもよい。また、Ａチャンネル回路４０ＡとＢチャンネル回路４０Ｂとは、プロセッサバス４４０ではなく、シリアル通信を用いて接続されてもよい。
　＜一過性の故障について＞
　一過性の故障は、例えば、プロセッサ４０１，４０４内のレジスタ４０２，４０５におけるデータ化け、プロセッサバス４４０上でのデータ化け、プロセッサ４０１，４０４の誤動作などに起因して生じ得る。
　さらに、近年、半導体デバイスの高集積化および微細化に伴い、α粒子や宇宙線中性子によるソフトエラーが急増している。一過性の故障は、ソフトエラーによるデータ化けによっても生じ得る。積み上げ型（スタック型）の構造を有するＤＲＡＭでは、ソフトエラー耐性が高い。一方、フリップフロップ構造を有するＳＲＡＭでは、微細化によりソフトエラー耐性が低下する。そのため、ＳＲＡＭによって構成されるメインメモリ４０３，４０６を用いる場合、メインメモリ４０３，４０６にソフトエラーが起こり得る。
　演算処理（演算タスク）の開始前においてメインメモリ４０３，４０６にソフトエラーなどに起因する一過性の故障が生じた場合、当該一過性の故障が生じた状態のデータを用いてプロセッサ４０１，４０４が演算することにより、演算結果が所望の結果と異なる。そのため、安全ＩＯモジュール４３０の動作が異常状態となる。
　具体例１に係る安全ＩＯユニット４００は、演算処理の実行中において一過性の故障が生じた場合に限らず、演算処理の開始前においてメインメモリ４０３，４０６に一過性の故障が生じた場合であっても、正常な動作を継続するように以下のような処理を実行する。
　＜安全ＩＯユニットにおける処理の具体例１＞
　図８から図１０を参照して、２つの処理回路を用いた処理の具体例について説明する。図８は、一過性の故障が生じていないときの、２つの処理回路を用いた処理の具体例１を示す図である。図９は、一過性の故障が生じたときの、２つの処理回路を用いた処理の具体例１を示す図である。図１０は、具体例１におけるデータの修復処理の一例を示す図である。
　図８および図９に示されるように、Ａチャンネル回路４０Ａのプロセッサ４０１は、セーフティタスク周期において、同一の演算タスクＴ１，Ｔ２を連続して実行する。Ｂチャンネル回路４０Ｂのプロセッサ４０４は、セーフティタスク周期において、同一の演算タスクＴ３，Ｔ４を連続して実行する。また、プロセッサ４０１が実行する演算タスクＴ１，Ｔ２は、プロセッサ４０４が実行する演算タスクＴ３，Ｔ４と同一である。すなわち、安全ＩＯユニット４００は、セーフティタスク周期において、同一の演算タスクＴ１～Ｔ４を実行する。ただし、安全ＩＯユニット４００は、互いに異なる４つのメモリ領域を用いて、演算タスクＴ１～Ｔ４をそれぞれ実行する。
　具体的には、Ａチャンネル回路４０Ａを構成するメインメモリ４０３において、１回目の演算タスクＴ１で使用される領域４０３ａと２回目の演算タスクＴ２で使用される領域４０３ｂとが設定される。同様に、Ｂチャンネル回路４０Ｂを構成するメインメモリ４０６において、１回目の演算タスクＴ３で使用される領域４０６ａと２回目の演算タスクＴ４で使用される領域４０６ｂとが設定される。
　Ａチャンネル回路４０Ａを構成するプロセッサ４０１は、演算タスクＴ１を実行する前に、演算タスクＴ１で使用されるデータを、Ａチャンネル回路を構成するメインメモリ４０３の領域４０３ａに書き込む。図８および図９に例示される実施例では、プロセッサ４０１は、演算タスクＴ１の実行前に、データ「Ｘ」および「Ｙ」を領域４０３ａに書き込んでいる。同様に、プロセッサ４０１は、演算タスクＴ２を実行する前に、演算タスクＴ２で使用されるデータ「Ｘ」および「Ｙ」をメインメモリ４０３の領域４０３ｂに書き込む。
　Ｂチャンネル回路４０Ｂを構成するプロセッサ４０４は、プロセッサ４０１と同様に、演算タスクＴ３を実行する前に、演算タスクＴ３で使用されるデータ「Ｘ」および「Ｙ」を、Ｂチャンネル回路を構成するメインメモリ４０６の領域４０６ａに書き込む。同様に、プロセッサ４０４は、演算タスクＴ４を実行する前に、演算タスクＴ４で使用されるデータ「Ｘ」および「Ｙ」をメインメモリ４０６の領域４０６ｂに書き込む。
　なお、領域４０３ａ，４０３ｂ，４０６ａ，４０６ｂへのデータ「Ｘ」および「Ｙ」を書き込むタイミングは、ＩＯプログラム４１Ａ１，４１Ａ２，４１Ｂ１，４１Ｂ２によってそれぞれ定義されている。当該タイミングは、例えば前回のセーフティタスク周期であってもよいし、安全ＩＯユニット４００の起動時であってもよい。また、データ「Ｘ」および「Ｙ」が書き込まれる領域４０３ａ，４０３ｂ，４０６ａ，４０６ｂ内のアドレスは、ＩＯプログラム４１Ａ１，４１Ａ２，４１Ｂ１，４１Ｂ２によってそれぞれ定義される。
　プロセッサ４０１は、セーフティタスク周期の開始タイミングと同期して、演算タスクＴ１を開始する。図８および図９に例示される実施例では、プロセッサ４０１は、メインメモリ４０３の領域４０３ａからデータ「Ｘ」および「Ｙ」を読み出し、データ「Ｘ」および「Ｙ」を用いた演算を実行する。そして、プロセッサ４０１は、演算結果であるデータ「Ｚ」をメインメモリ４０３の領域４０３ａに書き込む。
　プロセッサ４０１は、演算タスクＴ１の終了後に演算タスクＴ２を開始する。演算タスクＴ２は、メインメモリ４０３内の領域４０３ａの代わりに領域４０３ｂを用いる点でのみ演算タスクＴ１と相違する。すなわち、プロセッサ４０１は、領域４０３ｂからデータ「Ｘ」および「Ｙ」を読み出し、データ「Ｘ」および「Ｙ」を用いた演算を実行する。そして、プロセッサ４０１は、演算結果であるデータ「Ｚ」を領域４０３ｂに書き込む。
　同様に、プロセッサ４０４は、セーフティタスク周期の開始タイミングと同期して、演算タスクＴ３を開始する。演算タスクＴ３は、メインメモリ４０３内の領域４０３ａの代わりにメインメモリ４０６の領域４０６ａを用いる点でのみ演算タスクＴ１と相違する。すなわち、プロセッサ４０４は、メインメモリ４０６の領域４０６ａからデータ「Ｘ」および「Ｙ」を読み出し、データ「Ｘ」および「Ｙ」を用いた演算を実行する。そして、プロセッサ４０４は、演算結果であるデータ「Ｚ」をメインメモリ４０６の領域４０６ａに書き込む。
　プロセッサ４０４は、演算タスクＴ３の終了後に演算タスクＴ４を開始する。演算タスクＴ４は、メインメモリ４０６内の領域４０６ａの代わりに領域４０６ｂを用いる点でのみ演算タスクＴ３と相違する。すなわち、プロセッサ４０１は、領域４０６ｂからデータ「Ｘ」および「Ｙ」を読み出し、データ「Ｘ」および「Ｙ」を用いた演算を実行する。そして、プロセッサ４０４は、演算結果であるデータ「Ｚ」を領域４０６ｂに書き込む。
　演算タスクＴ１～Ｔ４は、ＩＯプログラム４１Ａ１，４１Ａ２，４１Ｂ１，４１Ｂ２に従ってそれぞれ実行される。すなわち、データ「Ｘ」および「Ｙ」の読み出し先となる領域４０３ａ，４０３ｂ，４０６ａ，４０６ｂ内のアドレスは、ＩＯプログラム４１Ａ１，４１Ａ２，４１Ｂ１，４１Ｂ２によってそれぞれ定義されている。ＩＯプログラム４１Ａ１，４１Ａ２，４１Ｂ１，４１Ｂ２は、データ「Ｘ」および「Ｙ」を用いた同一の演算内容を定義する。データ「Ｚ」が書き込まれる領域４０３ａ，４０３ｂ，４０６ａ，４０６ｂ内のアドレスは、ＩＯプログラム４１Ａ１，４１Ａ２，４１Ｂ１，４１Ｂ２によってそれぞれ定義されている。このように、ＩＯプログラム４１Ａ１，４１Ａ２，４１Ｂ１，４１Ｂ２は、読み出しおよび書き込みの対象先となるメモリ領域のアドレスについてのみ互いに異なり、同一の演算内容を定義している。
　Ａチャンネル回路４０ＡおよびＢチャンネル回路４０Ｂのいずれにおいても一過性の故障が生じていない場合、図８に示されるように、演算タスクＴ１～Ｔ４の結果（データ「Ｚ」）は全て同一となる。一方、演算タスクＴ４の開始前または実行中において一過性の故障が生じると、図９に示されるように、演算タスクＴ４の結果（データ「Ｚ’」）が、演算タスクＴ１～Ｔ３の結果（データ「Ｚ」）と異なる。図９の例では、演算タスクＴ４の開始前において領域４０６ｂにソフトエラーなどに起因するデータ化けが生じ、データ「Ｘ」がデータ「Ｘ’」に化けている。
　そこで、プロセッサ４０１，４０４は、２回の演算タスクの後に、演算タスクＴ１～Ｔ４の結果を照合する。演算タスクＴ１～Ｔ４の結果が全て一致することに応じて、プロセッサ４０１，４０４は、データ化けを含む一過性の故障が生じていないと判断し、演算タスクＴ１～Ｔ４の結果に基づいて動作を継続させる。
　演算タスクＴ１，Ｔ２の結果のうちの少なくとも１つの結果と、演算タスクＴ３，Ｔ４の結果のうちの少なくとも１つの結果とが一致することに応じて、プロセッサ４０１，４０４は、一致する当該結果（以下、「共通結果」とも称する。）が一過性の故障の生じていない演算タスクの結果であると判断する。そして、プロセッサ４０１，４０４は、当該結果に基づいて動作を継続させる。図９に示す例では、演算タスクＴ１，Ｔ２の結果と、演算タスクＴ３の結果とが一致している。そのため、プロセッサ４０１は、演算タスクＴ１，Ｔ２の結果に基づいて動作を継続させ、プロセッサ４０４は、演算タスクＴ３の結果に基づいて動作を継続させる。
　さらに、プロセッサ４０１，４０４は、上記共通結果が演算された演算タスクで用いられるメモリ領域のデータを、上記共通結果と異なる結果が演算された演算タスクで用いられたメモリ領域に上書きする。図１０に示す例では、プロセッサ４０４は、演算タスクＴ１，Ｔ２と一致する結果が出力された演算タスクＴ３において用いられた領域４０６ａのデータを、演算タスクＴ３の結果と異なる結果が出力された演算タスクＴ４において用いられた領域４０６ｂに上書きする。これにより、一過性の故障が生じたメモリ領域の誤ったデータが、一過性の故障の生じていないメモリ領域の正しいデータに修復される。その結果、誤ったデータが次回の演算タスクに引き継がれることを回避できる。
　プロセッサ４０１，４０４による演算タスクＴ１～Ｔ４の照合処理は、照合修復プログラム４２Ａ，４２Ｂによってそれぞれ定義される。また、プロセッサ４０１による領域４０３ａ，４０３ｂの修復処理は、照合修復プログラム４２Ａによって定義される。同様に、プロセッサ４０４による領域４０６ａ，４０６ｂの修復処理は、照合修復プログラム４２Ｂによって定義される。
　＜安全ＩＯユニットにおける処理の流れ＞
　図１１は、安全ＩＯユニットにおける処理の流れを示すフローチャートである。まず、プロセッサ４０１，４０４は、タクト開始のタイミングに到達したか否かを判断する（ステップＳ１）。タクト開始のタイミングに到達していない場合（ステップＳ１でＮＯ）、処理は再度ステップＳ１に戻る。
　タクト開始のタイミングに到達すると（ステップＳ１でＹＥＳ）、ステップＳ２，Ｓ３と、ステップＳ４，Ｓ５との並行処理が実行される。ステップＳ２において、Ａチャンネル回路４０Ａのプロセッサ４０１は、メインメモリ４０３の領域４０３ａを用いて１回目の演算タスクＴ１を実行する。演算タスクＴ１の実行が完了すると、ステップＳ３において、プロセッサ４０１は、メインメモリ４０３の領域４０３ｂを用いて２回目の演算タスクＴ２を実行する。ステップＳ４において、Ｂチャンネル回路４０Ｂのプロセッサ４０４は、メインメモリ４０６の領域４０６ａを用いて１回目の演算タスクＴ３を実行する。演算タスクＴ３の実行が完了すると、ステップＳ４において、プロセッサ４０４は、メインメモリ４０６の領域４０６ｂを用いて２回目の演算タスクＴ４を実行する。
　ステップＳ３，Ｓ５が完了すると、ステップＳ６において、プロセッサ４０１，４０４は、演算タスクＴ１～Ｔ４の結果を照合する。
　演算タスクＴ１～Ｔ４の結果が全て一致する場合（ステップＳ７でＹＥＳ）、プロセッサ４０１，４０４は、演算タスクＴ１～Ｔ４の全てが正常に終了したと判断し、演算タスクＴ１～Ｔ４の結果に基づいて運転を継続させる（ステップＳ１０）。ステップＳ１０の後、処理は終了する。
　演算タスクＴ１～Ｔ４の結果が全て一致しない場合（ステップＳ７でＮＯ）、プロセッサ４０１，４０４は、演算タスクＴ１，Ｔ２の結果のうちの少なくとも１つの結果と、演算タスクＴ３，Ｔ４の結果のうちの少なくとも１つの結果とが一致するか否か判断する（ステップＳ８）。
　ステップＳ８でＹＥＳの場合、一致しない演算タスクに用いられるメモリ領域のデータが修復される（ステップＳ９）。データを修復した後、処理はステップＳ１０に移る。
　例えば、演算タスクＴ１の結果が他の３つの演算タスクの結果と異なる場合、プロセッサ４０１は、メインメモリ４０３において、領域４０３ａのデータを領域４０３ｂに上書きする。演算タスクＴ２の結果が他の３つの演算タスクの結果と異なる場合、プロセッサ４０１は、メインメモリ４０３において、領域４０３ｂのデータを領域４０３ａに上書きする。演算タスクＴ３の結果が他の３つの演算タスクの結果と異なる場合、プロセッサ４０４は、メインメモリ４０６において、領域４０６ａのデータを領域４０６ｂに上書きする。演算タスクＴ４の結果が他の３つの演算タスクの結果と異なる場合、プロセッサ４０４は、メインメモリ４０６において、領域４０６ｂのデータを領域４０６ａに上書きする。
　演算タスクＴ１，Ｔ３の結果が一致し、演算タスクＴ２，Ｔ４の各々が演算タスクＴ１，Ｔ３の結果の一致しない場合、プロセッサ４０１は、メインメモリ４０３において、領域４０３ａのデータを領域４０３ｂに上書きする。さらに、プロセッサ４０４は、メインメモリ４０６において、領域４０６ａのデータを領域４０６ｂに上書きする。演算タスクＴ１，Ｔ４の結果が一致し、演算タスクＴ２，Ｔ３の各々が演算タスクＴ１，Ｔ４の結果の一致しない場合、プロセッサ４０１は、メインメモリ４０３において、領域４０３ａのデータを領域４０３ｂに上書きする。さらに、プロセッサ４０４は、メインメモリ４０６において、領域４０６ｂのデータを領域４０６ａに上書きする。演算タスクＴ２，Ｔ３の結果が一致し、演算タスクＴ１，Ｔ４の各々が演算タスクＴ１，Ｔ３の結果の一致しない場合、プロセッサ４０１は、メインメモリ４０３において、領域４０３ｂのデータを領域４０３ａに上書きする。さらに、プロセッサ４０４は、メインメモリ４０６において、領域４０６ａのデータを領域４０６ｂに上書きする。演算タスクＴ２，Ｔ４の結果が一致し、演算タスクＴ１，Ｔ３の各々が演算タスクＴ２，Ｔ４の結果の一致しない場合、プロセッサ４０１は、メインメモリ４０３において、領域４０３ｂのデータを領域４０３ａに上書きする。さらに、プロセッサ４０４は、メインメモリ４０６において、領域４０６ｂのデータを領域４０６ａに上書きする。
　ステップＳ８でＮＯの場合、プロセッサ４０１，４０４は、異常信号を出力し、運転を停止させる（ステップＳ１１）。ステップＳ１１の後、処理は終了する。
　＜作用・効果＞
　以上のように、具体例１によれば、Ａチャンネル回路４０Ａは、メインメモリ４０３と、メインメモリ４０３を用いて演算タスクを実行するプロセッサ４０１とを含む。Ｂチャンネル回路４０Ｂは、メインメモリ４０６と、メインメモリ４０６を用いて演算タスクを実行するプロセッサ４０４とを含む。プロセッサ４０１は、メインメモリ４０３の互いに異なる２個の領域４０３ａ，４０３ｂを用いて、演算タスクＴ１，Ｔ２をそれぞれ実行する。プロセッサ４０４は、メインメモリ４０６の互いに異なる２個の領域４０６ａ，４０６ｂを用いて、演算タスクＴ３，Ｔ４をそれぞれ実行する。
　上記の構成によれば、プロセッサ４０１は、メインメモリ４０３の異なる領域４０３ａ，４０３ｂを用いて２回の演算タスクＴ１，Ｔ２をそれぞれ実行する。同様に、プロセッサ４０４は、メインメモリ４０６の異なる領域４０６ａ，４０６ｂを用いて２回の演算タスクＴ３，Ｔ４をそれぞれ実行する。これにより、領域４０３ａ，４０３ｂの一方、および／または，領域４０６ａ，４０６ｂの一方においてソフトエラーなどに起因するデータ化けが生じたとしても、領域４０３ａ，４０３ｂの他方を用いた演算タスクの結果（共通結果）と、領域４０６ａ，４０６ｂの他方を用いた演算タスクの結果（共通結果）とは一致する。そのため、プロセッサ４０１，４０４は、当該共通結果に基づいて運転を継続できる。すなわち、演算タスクの開始前にメインメモリ４０３に一過性の故障が生じた場合であっても、Ａチャンネル回路４０ＡおよびＢチャンネル回路４０Ｂは、動作を継続できる。
　プロセッサ４０１は、メインメモリ４０３の領域４０３ａ，４０３ｂのうち、上記共通結果と異なる結果が出力された演算タスクにおいて用いられた領域のデータを、上記共通結果が出力された演算タスクにおいて用いられた領域のデータで上書きする。同様に、プロセッサ４０４は、メインメモリ４０６の領域４０６ａ，４０６ｂのうち、上記共通結果と異なる結果が出力された演算タスクにおいて用いられた領域のデータを、上記共通結果が出力された演算タスクにおいて用いられた領域のデータで上書きする。
　上記の構成によれば、誤ったデータが正しいデータに修復される。その結果、誤ったデータが次回の演算タスクに引き継がれることを回避できる。
　§３　具体例２
　メインメモリが記憶するデータには、値を示すデータ、メインメモリ内のアドレスを示すデータが含まれる。値を示すデータが記憶される領域に一過性の故障（例えばソフトエラーによるデータ化け）が生じた場合、値が本来の状態から化けることになる。この場合であっても、プロセッサは演算を継続できる。一方、アドレスを示すデータが記憶される領域に一過性の故障が生じた場合、アドレスが本来の状態から化けることになる。化けた後のアドレスがメインメモリに存在しないことも有り得る。この場合、プロセッサは、例外（異常）と判断し、処理を停止させる。
　図１２は、アドレスを示すデータにデータ化けが生じたときの、具体例１の処理の一例を示す図である。図１２に示す例では、Ａチャンネル回路４０Ａを構成するメインメモリ４０３の領域４０３ａに格納されたアドレスを示すデータが、メインメモリ４０３に存在しないアドレスを示すようにデータ化けしている。そのため、プロセッサ４０１が演算タスクＴ１を実行する際に、領域４０３ａから読み出したデータがメインメモリ４０３に存在しないアドレスを示すことに応じて、処理を強制終了させる。そのため、演算タスクＴ１，Ｔ２の結果が得られない。その結果、演算タスクＴ１～Ｔ４の照合処理が実行されず、安全ＩＯユニット４００の運転が継続されない。
　具体例２に係る安全ＩＯユニット４００は、アドレスを示すデータが記憶される領域に一過性の故障が生じた場合であっても、運転を継続できるように設計される。
　＜安全ＩＯユニットにおけるハードウェア構成＞
　図１３は、具体例２に係る安全ＩＯユニットのハードウェア構成例を示す模式図である。図１３に例示される安全ＩＯユニット４００は、図７に例示される安全ＩＯユニット４００と比較して、ストレージ４１０が読出書込プログラム４３を記憶する点でのみ相違する。
　プロセッサ４０１は、読出書込プログラム４３に従って、メインメモリ４０３に対するデータの書き込みおよび読み出しを実行する。同様に、プロセッサ４０４は、読出書込プログラム４３に従って、メインメモリ４０６に対するデータの書き込みおよび読み出しを実行する。
　＜メインメモリへのデータの書き込みおよび読み出し＞
　図１４は、メインメモリへのデータの書き込み処理を示す図である。図１４に示されるように、プロセッサ４０１，４０４は、書き込み対象となる対象データをメインメモリ４０３，４０６にそれぞれ書き込む際に、対象データを２回コピーし、コピーした２つのコピーデータもメインメモリ４０３，４０６にそれぞれ書き込む。このように、メインメモリ４０３，４０６の各々において、対象データと２つのコピーデータとは同時に書き込まれる。これにより、メインメモリ４０３，４０６の各々において、データが三重化される。
　書き込み直後において、対象データと２つのコピーデータとは同一となる。しかしながら、例えば宇宙線や中性子線の影響によりソフトエラーが生じると、対象データおよび２つのコピーデータのいずれかにおいてデータ化けが生じる。
　図１５は、メインメモリからのデータの読み出し処理を示す図である。図１５に示されるように、プロセッサ４０１，４０４は、読み出し対象となる対象データをメインメモリ４０３，４０６からそれぞれ読み出す際に、対象データとともに２つのコピーデータも読み出す。プロセッサ４０１，４０４の各々は、読み出した対象データおよび２つのコピーデータを互いに照合する。
　プロセッサ４０１，４０４の各々は、読み出した対象データおよび２つのコピーデータが全て一致する場合、対象データおよび２つのコピーデータのいずれかにおいてもデータ化けが生じていないと判断し、対象データを用いて演算タスクを実行する。
　プロセッサ４０１，４０４の各々は、読み出した対象データおよび２つのコピーデータのうち２つが一致し、残り１つが一致しない場合、一致する２つのデータにデータ化けが生じておらず、当該残り１つのデータにデータ化けが生じていると判断する。そして、プロセッサ４０１，４０４の各々は、一致する２つのデータの一方を、当該残り１つのデータが記憶される領域に上書きする。これにより、データ化けが生じたデータが修復される。その後、プロセッサ４０１，４０４は、一致する２つのデータの一方を用いて演算タスクを実行する。
　上記の処理により、対象データおよび２つのコピーデータのいずれかにおいてデータ化けが生じたとしても、読み出し処理において、データ化けの生じたデータが修復され、演算タスクが継続される。
　＜安全ＩＯユニットにおける処理の実施例＞
　図１６から図２０を参照して、２つの処理回路を用いた処理の具体例２について説明する。図１６は、具体例２に係るメインメモリの領域を示す図である。図１６に示されるように、メインメモリ４０３は、領域４０３ｃ，４０３ｄ，４０３ｅを含む。メインメモリ４０６は、領域４０６ｃ，４０６ｄ，４０６ｅを含む。
　領域４０３ｃ，４０６ｃは、演算タスク中においてデータの読み出しのみが行われる領域である。領域４０３ｃは、プロセッサ４０１による１回目の演算タスクＴ１および２回目の演算タスクＴ２の両者で使用される。領域４０６ｃは、プロセッサ４０４による１回目の演算タスクＴ３および２回目の演算タスクＴ４の両者で使用される。
　領域４０３ｄ，４０３ｅ，４０６ｄ，４０６ｅは、演算タスク中においてデータの書き込みが行われる領域である。領域４０３ｄは、プロセッサ４０１による１回目の演算タスクＴ１で使用される。領域４０３ｅは、プロセッサ４０１による２回目の演算タスクＴ２で使用される。領域４０６ｄは、プロセッサ４０４による１回目の演算タスクＴ３で使用される。領域４０６ｅは、プロセッサ４０４による２回目の演算タスクＴ４で使用される。
　図１７は、データ化けが生じたときの、２つの処理回路を用いた処理の具体例２を示す図である。図１８は、図１７に示すデータ「Ｘ」の修復処理の一例を示す図である。
　図１７に示されるように、Ａチャンネル回路４０Ａのプロセッサ４０１は、セーフティタスク周期において、同一の演算タスクＴ１，Ｔ２を連続して実行する。プロセッサ４０１は、メインメモリ４０３の領域４０３ｃに記憶されたデータ「Ｘ」および「Ｙ」を用いて演算タスクＴ１，Ｔ２を実行する。プロセッサ４０１は、演算タスクＴ１，Ｔ２の結果（データ「Ｚ」）を領域４０３ｄ，４０３ｅにそれぞれ書き込む。同様に、Ｂチャンネル回路４０Ｂのプロセッサ４０４は、セーフティタスク周期において、同一の演算タスクＴ３，Ｔ４を連続して実行する。プロセッサ４０４は、メインメモリ４０６の領域４０６ｃに記憶されたデータ「Ｘ」および「Ｙ」を用いて演算タスクＴ３，Ｔ４を実行する。プロセッサ４０４は、演算タスクＴ３，Ｔ４の結果（データ「Ｚ」）を領域４０６ｄ，４０６ｅにそれぞれ書き込む。
　上述したように、メインメモリ４０３，４０６に書き込まれるデータは三重化されている。そのため、データ「Ｘ」および２つのコピーデータ「Ｘ_Copy1」，「Ｘ_Copy2」が領域４０３ｃ，４０６ｃに書き込まれている。図１７に示す例では、メインメモリ４０３において、演算タスクの開始前に、データ「Ｘ」が書き込まれて部分に一過性の故障が生じ、データ「Ｘ」がデータ「Ｘ’」に化けている。
　プロセッサ４０４は、演算タスクＴ３，Ｔ４の各々を実行する前に、メインメモリ４０６の領域４０６ｃから、対象データと２つのコピーデータとをそれぞれ読み出し、これら３つのデータを照合する。図１７に示す例では、メインメモリ４０６において一過性の故障が生じていない。そのため、対象データ（データ「Ｘ」，「Ｙ」）とその２つのコピーデータとは一致する。プロセッサ４０４は、対象データとその２つのコピーデータとが一致していることから、対象データ（データ「Ｘ」，「Ｙ」）をそのまま用いて演算タスクＴ３，Ｔ４を実行する。
　同様に、プロセッサ４０１は、演算タスクＴ１，Ｔ２の各々を実行する前に、メインメモリ４０３の領域４０３ｃから、対象データと２つのコピーデータとをそれぞれ読み出し、これら３つのデータを照合する。データ「Ｘ」がデータ「Ｘ’」に化けているため、データ「Ｘ’」は、２つのコピーデータ「Ｘ_Copy1」，「Ｘ_Copy2」と一致しない。一方、２つのコピーデータ「Ｘ_Copy1」，「Ｘ_Copy2」は一致する。そのため、図１８に示されるように、プロセッサ４０１は、一致する２つのコピーデータ「Ｘ_Copy1」，「Ｘ_Copy2」のうちの一方で、データ「Ｘ’」を上書きする。これにより、データ「Ｘ’」は、演算タスクＴ１の前において、データ「Ｘ」に修復される。その結果、プロセッサ４０１は、修復されたデータ「Ｘ」（またはコピーデータ「Ｘ_Copy1」，「Ｘ_Copy2」）を用いて演算タスクＴ１，Ｔ２を実行できる。すなわち、図１７に示されるように、データ「Ｘ」がアドレスを示すデータであったとしても、プロセッサ４０１は、例外（異常）と判断せず、演算タスクＴ１，Ｔ２を継続できる。
　そして、正しいデータを用いて演算タスクＴ１～Ｔ４が実行されるため、演算タスクＴ１～Ｔ４の結果が一致する。これにより、プロセッサ４０１，４０４は、演算タスクＴ１～Ｔ４の結果に基づいて動作を継続させる。
　図１９は、演算タスクの実行中に一過性の故障が生じたときの、２つの処理回路を用いた処理の具体例２を示す図である。図２０は、図１９に示すデータ「Ｚ」の修復処理の一例を示す図である。
　図１９に示されるように、プロセッサ４０４による演算タスクＴ３の実行中に一過性の故障が生じ、他の演算タスクの結果（データ「Ｚ」）とは異なる演算結果（データ「Ｚ’」）が領域４０６ｄに書き込まれている。しかしながら、演算タスクＴ１，Ｔ２，Ｔ４の結果が一致していることから、プロセッサ４０１，４０４は、演算タスクＴ１，Ｔ２，Ｔ４が正常に実行されたものと判断し、演算タスクＴ１，Ｔ２，Ｔ４の結果に基づいて動作を継続させる。このように、演算タスクの実行中に一過性の故障が生じたとしても、安全ＩＯユニット４００の動作が継続され、制御システム１の一時的な停止を回避できる。
　さらに、図２０に示されるように、プロセッサ４０４は、正常に実行された演算タスクＴ４の結果が書き込まれた領域４０６ｅのデータを、演算タスクＴ３の結果が書き込まれた領域４０６ｄに上書きする。これにより、誤ったデータ「Ｚ’」が正常なデータ「Ｚ」に修復される。
　＜作用・効果＞
　以上のように、具体例２によれば、プロセッサ４０１は、演算タスクＴ１，Ｔ２に用いられる対象データをメインメモリ４０３に書き込むとき、対象データをコピーすることにより得られる２つのコピーデータもメインメモリ４０３に書き込む。同様に、プロセッサ４０４は、演算タスクＴ３，Ｔ４に用いられる対象データをメインメモリ４０６に書き込むとき、対象データをコピーすることにより得られる２つのコピーデータもメインメモリ４０６に書き込む。
　さらに、プロセッサ４０１は、演算タスクＴ１，Ｔ２の各々を実行する前に、メインメモリ４０３から対象データおよび２つのコピーデータを読み出す。同様に、プロセッサ４０４は、演算タスクＴ３，Ｔ４の各々を実行する前に、メインメモリ４０６から対象データおよび２つのコピーデータを読み出す。プロセッサ４０１，４０４の各々は、読み出した対象データおよび２つのコピーデータのうち２以上のデータが一致することに応じて、一致する当該２以上のデータを用いて演算タスクを実行する。
　上記の構成によれば、メインメモリ４０３，４０６の各々において、対象データおよび２つのコピーデータのうちのいずれか１つのデータにデータ化けが生じたとしても、残り２つのデータを用いて演算タスクが実行される。これにより、一過性の故障によりデータ化けが生じた場合であっても、データ化けの生じていない正しいデータを用いて演算タスクが実行され、当該演算タスクの結果に基づいて動作を継続できる。
　プロセッサ４０１，４０４の各々は、読み出した対象データおよび２つのコピーデータのうち２つのデータが一致し、残り１つのデータが当該２つのデータと異なることに応じて、当該１つのデータが格納されていた領域を、当該２つのデータの一方で上書きする。
　上記の構成によれば、データ化けしたデータが正しいデータに修復される。その結果、誤ったデータが次回の演算タスクに引き継がれることを回避できる。
　プロセッサ４０１は、演算タスクＴ１，Ｔ２の結果を、メインメモリ４０３の互いに異なる２個の領域４０３ｄ，４０３ｅにそれぞれ書き込む。同様に、プロセッサ４０４は、演算タスクＴ３，Ｔ４の結果を、メインメモリ４０６の互いに異なる２個の領域４０６ｄ，４０６ｅにそれぞれ書き込む。そして、プロセッサ４０１，４０４は、演算タスクＴ１，Ｔ２の結果のうちの少なくとも１つの結果と、演算タスクＴ３，Ｔ４の結果のうちの少なくとも１つの結果とが一致することに応じて、当該一致する結果（共通結果）に基づいて動作を継続する。
　プロセッサ４０１は、メインメモリ４０３の領域４０３ｄ，４０３ｅのうち、上記共通結果と異なる結果が書き込まれた領域のデータを、上記共通結果の結果が書き込まれた領域のデータで上書きする。同様に、プロセッサ４０４は、メインメモリ４０６の領域４０６ｄ，４０６ｅのうち、上記共通結果と異なる結果が書き込まれた領域のデータを、上記共通結果が書き込まれた領域のデータで上書きする。
　上記の構成によれば、誤ったデータが正しいデータに修復される。その結果、誤ったデータが次回の演算タスクに引き継がれることを回避できる。
　§４　変形例
　＜変形例１＞
　上記の具体例１，２では、プロセッサ４０１，４０４の各々は、セーフティタスク周期ごとに、演算タスクを２回連続して実行する。しかしながら、プロセッサ４０１，４０４の各々は、セーフティタスク周期ごとに、演算タスクをＮ回連続して実行してもよい。Ｎは２以上の整数である。
　なお、具体例１に対する変形例では、プロセッサ４０１は、メインメモリ４０３における互いに異なるＮ個の領域を用いて、Ｎ回の演算タスクをそれぞれ実行する。同様に、プロセッサ４０４は、メインメモリ４０６における互いに異なるＮ個の領域を用いて、Ｎ回の演算タスクをそれぞれ実行する。
　また、具体例２に対する変形例では、プロセッサ４０１は、メインメモリ４０３における互いに異なるＮ個の領域にＮ回の演算タスクの結果をそれぞれ書き込む。同様に、プロセッサ４０４は、メインメモリ４０６における互いに異なるＮ個の領域にＮ回の演算タスクの結果をそれぞれ書き込む。
　プロセッサ４０１，４０４は、以下の条件Ａを満たすか否かを判定する。
条件Ａ：プロセッサ４０１によって実行されたＮ回の演算処理の結果（第１の結果）のうちの少なくとも１つの第１の結果と、プロセッサ４０４によって実行されたＮ回の演算処理の結果（第２の結果）のうちの少なくとも１つの第２の結果とが一致する。
そして、プロセッサ４０１，４０４は、上記の条件Ａを満たすことに応じて、上記少なくとも１つの第１の結果および少なくとも１つの第２の結果に基づいて動作をそれぞれ継続すればよい。
　さらに、プロセッサ４０１，４０４は、上記の条件Ａに加えて、以下の条件Ｂを満たすか否かを判定してもよい。
条件Ｂ：２Ｎ回の演算タスクの結果のうち基準回数以上の結果が、上記少なくとも１つの第１の結果（または上記少なくとも１つの第２の結果）と一致する。基準回数は、例えば３以上の整数である。
そして、プロセッサ４０１，４０４は、上記の条件ＡおよびＢを満たすことに応じて、上記少なくとも１つの第１の結果および少なくとも１つの第２の結果に基づいて動作をそれぞれ継続してもよい。
　基準回数は、Ｎを超える回数に設定されてもよい。例えばＮ＝２のとき、プロセッサ４０１，４０４は、４回の演算タスクの結果のうち３つ以上の結果が一致することに応じて、当該４つ以上の結果に基づいて動作を継続すればよい。例えばＮ＝３のとき、プロセッサ４０１，４０４は、６回の演算タスクの結果のうち４つ以上の結果が一致することに応じて、当該４つ以上の結果に基づいて動作を継続すればよい。これにより、２Ｎ回の演算タスクのうち半数未満の演算タスクにおいて一過性の故障が生じたとしても、安全ＩＯユニット４００の動作を継続させることができる。
　＜変形例２＞
　上記の説明では、安全ＩＯユニット４００が２つの処理回路（Ａチャンネル回路４０ＡおよびＢチャンネル回路４０Ｂ）を備えるものとした。しかしながら、標準ＰＬＣ１００、安全ＰＬＣ２００およびカプラ３００の少なくとも１つが２つの処理回路を備え、当該２つの処理回路が、上記のＡチャンネル回路４０ＡおよびＢチャンネル回路４０Ｂと同様の処理を実行してもよい。これにより、標準ＰＬＣ１００、安全ＰＬＣ２００およびカプラ３００の少なくとも１つは、一過性の故障が生じたとしても動作を継続できる。その結果、制御システム１の停止の頻度が抑制される。
　なお、変形例１と組み合わせる場合、装置に要求される特性に応じて、装置ごとに異なる基準回数が設定されてもよい。例えば、制御ＰＬＣ１００において要求される、演算タスクの結果の信頼性は、安全ＩＯユニット４００において要求される、演算タスクの結果の信頼性よりも低い。そのため、制御ＰＬＣ１００に設定される基準回数は、安全ＩＯユニット４００に設定される基準回数よりも少なくてもよい。
　§５　付記
　以上のように、本実施の形態は以下のような開示を含む。
　（構成１）
　演算処理を実行する情報処理装置（４００）であって、
　第１の処理回路（４０Ａ）と、
　第２の処理回路（４０Ｂ）とを備え、
　前記第１の処理回路（４０Ａ）は、前記演算処理をＮ回連続して実行し、
　前記第２の処理回路（４０Ｂ）は、前記演算処理をＮ回連続して実行し、
　Ｎは２以上の整数であり、
　前記第１の処理回路（４０Ａ）および前記第２の処理回路（４０Ｂ）は、前記第１の処理回路（４０Ａ）によって実行されたＮ回の前記演算処理の第１の結果のうちの少なくとも１つの第１の結果と、前記第２の処理回路（４０Ｂ）によって実行されたＮ回の前記演算処理の第２の結果のうちの少なくとも１つの第２の結果とが一致することに応じて、前記少なくとも１つの第１の結果および前記少なくとも１つの第２の結果に基づいて動作をそれぞれ継続する、情報処理装置（４００）。
　（構成２）
　前記第１の処理回路（４０Ａ）は、第１のメモリ（４０３）と、前記第１のメモリ（４０３）を用いて前記演算処理を実行する第１のプロセッサ（４０１）とを含み、
　前記第２の処理回路（４０Ｂ）は、第２のメモリ（４０６）と、前記第２のメモリ（４０６）を用いて前記演算処理を実行する第２のプロセッサ（４０４）とを含み、
　前記第１のプロセッサ（４０１）は、前記第１のメモリ（４０３）の互いに異なるＮ個の領域（４０３ａ，４０３ｂ）を用いて、Ｎ回の前記演算処理をそれぞれ実行し、
　前記第２のプロセッサ（４０４）は、前記第２のメモリ（４０６）の互いに異なるＮ個の領域（４０６ａ，４０６ｂ）を用いて、Ｎ回の前記演算処理をそれぞれ実行する、構成１に記載の情報処理装置（４００）。
　（構成３）
　前記第１のプロセッサ（４０１）は、前記第１のメモリ（４０３）の前記Ｎ個の領域（４０３ａ，４０３ｂ）のうち、前記少なくとも１つの第１の結果と異なる結果が出力された前記演算処理において用いられた領域のデータを、前記少なくとも１つの第１の結果が出力された前記演算処理において用いられた領域のデータで上書きし、
　前記第２のプロセッサ（４０４）は、前記第２のメモリ（４０６）の前記Ｎ個の領域（４０６ａ，４０６ｂ）のうち、前記少なくとも１つの第２の結果と異なる結果が出力された前記演算処理において用いられた領域のデータを、前記少なくとも１つの第２の結果が出力された前記演算処理において用いられた領域のデータで上書きする、構成２に記載の情報処理装置（４００）。
　（構成４）
　前記第１の処理回路（４０Ａ）は、第１のメモリ（４０３）と、前記第１のメモリ（４０３）を用いて前記演算処理を実行する第１のプロセッサ（４０１）とを含み、
　前記第２の処理回路（４０Ｂ）は、第２のメモリ（４０６）と、前記第２のメモリ（４０６）を用いて前記演算処理を実行する第２のプロセッサ（４０４）とを含み、
　前記第１のプロセッサ（４０１）は、前記演算処理に用いられる対象データを前記第１のメモリ（４０３）に書き込むとき、前記対象データをコピーすることにより得られる２つのコピーデータも前記第１のメモリ（４０３）に書き込み、
　前記第２のプロセッサ（４０４）は、前記演算処理に用いられる対象データを前記第２のメモリ（４０６）に書き込むとき、前記対象データをコピーすることにより得られる２つのコピーデータも前記第２のメモリ（４０６）に書き込み、
　前記第１のプロセッサ（４０１）は、
　　前記演算処理を実行する前に、前記第１のメモリ（４０３）から前記対象データおよび前記２つのコピーデータを読み出し、
　　読み出した前記対象データおよび前記２つのコピーデータのうち２以上のデータが一致することに応じて、一致する当該２以上のデータを用いて前記演算処理を実行し、
　前記第２のプロセッサ（４０４）は、
　　前記演算処理を実行する前に、前記第２のメモリ（４０６）から前記対象データおよび前記２つのコピーデータを読み出し、
　　読み出した前記対象データおよび前記２つのコピーデータのうち２以上のデータが一致することに応じて、一致する当該２以上のデータを用いて前記演算処理を実行する、構成１に記載の情報処理装置（４００）。
　（構成５）
　前記第１のプロセッサ（４０１）は、読み出した前記対象データおよび前記２つのコピーデータのうち２つのデータが一致し、残り１つのデータが前記２つのデータと異なることに応じて、前記第１のメモリ（４０３）において、前記１つのデータが格納されていた領域を、前記２つのデータの一方で上書きし、
　前記第２のプロセッサ（４０４）は、読み出した前記対象データおよび前記２つのコピーデータのうち２つのデータが一致し、残り１つのデータが前記２つのデータと異なることに応じて、前記第２のメモリ（４０６）において、前記１つのデータが格納されていた領域を、前記２つのデータの一方で上書きする、構成４に記載の情報処理装置（４００）。
　（構成６）
　前記第１のプロセッサ（４０１）は、Ｎ回の前記演算処理の結果を、前記第１のメモリ（４０３）の互いに異なるＮ個の領域（４０３ｄ，４０３ｅ）にそれぞれ書き込み、
　前記第２のプロセッサ（４０４）は、Ｎ回の前記演算処理の結果を、前記第２のメモリ（４０６）の互いに異なるＮ個の領域（４０６ｄ，４０６ｅ）にそれぞれ書き込み、
　前記第１のプロセッサ（４０１）は、前記第１のメモリ（４０３）の前記Ｎ個の領域（４０３ｄ，４０３ｅ）のうち、前記少なくとも１つの第１の結果と異なる結果が書き込まれた領域のデータを、前記少なくとも１つの第１の結果が書き込まれた領域のデータで上書きし、
　前記第２のプロセッサ（４０４）は、前記第２のメモリ（４０６）の前記Ｎ個の領域（４０６ｄ，４０６ｅ）のうち、前記少なくとも１つの第２の結果と異なる結果が書き込まれた領域のデータを、前記少なくとも１つの第２の結果が書き込まれた領域のデータで上書きする、構成５または６に記載の情報処理装置（４００）。
　（構成７）
　演算処理を実行する情報処理装置（４００）の情報処理方法であって、
　前記情報処理装置（４００）は、
　第１の処理回路（４０Ａ）と、
　第２の処理回路（４０Ｂ）とを含み、
　前記制御方法は、
　前記第１の処理回路（４０Ａ）が前記演算処理をＮ回連続して実行するステップと、
　前記第２の処理回路（４０Ｂ）が前記演算処理をＮ回連続して実行するステップとを備え、
　Ｎは２以上の整数であり、さらに、
　前記第１の処理回路（４０Ａ）および前記第２の処理回路（４０Ｂ）が、前記第１の処理回路（４０Ａ）によって実行されたＮ回の前記演算処理の第１の結果のうちの少なくとも１つの第１の結果と、前記第２の処理回路（４０Ｂ）によって実行されたＮ回の前記演算処理の第２の結果のうちの少なくとも１つの第２の結果とが一致することに応じて、前記少なくとも１つの第１の結果および前記少なくとも１つの第２の結果に基づいて動作をそれぞれ継続するステップを備える、情報処理方法。
　（構成８）
　構成７に記載の情報処理方法をコンピュータに実行させるプログラム。
　本発明の実施の形態について説明したが、今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　１　制御システム、２　フィールドネットワーク、４０Ａ　Ａチャンネル回路、４０Ｂ　Ｂチャンネル回路、４１Ａ１，４１Ａ２，４１Ｂ１，４１Ｂ２　ＩＯプログラム、４２Ａ，４２Ｂ　照合修復プログラム、４３　読出書込プログラム、１００　標準ＰＬＣ、１０２，２０２，３０２，４０１，４０４　プロセッサ、１０４，２０４，３０４，４０３，４０６　メインメモリ、１０８，３０８　フィールドネットワークコントローラ、１１０，２１０，３１０，４１０　ストレージ、１１６，２１６，３１６，４２０　ローカルバスコントローラ、１１８，２１８，３１８，４４０　プロセッサバス、２００　安全ＰＬＣ、３００　カプラ、４００　安全ＩＯユニット、４０２，４０５　レジスタ、４０３ａ，～４０３ｅ，４０６ａ～４０６ｅ　領域、４３０　安全ＩＯモジュール、１１０２，２１０２，３１０２　システムプログラム、１１０４　標準制御プログラム、１１０６，２１０６，３１０６　設定情報、２１０４　安全プログラム、Ｔ１～Ｔ４　演算タスク。

Claims (8)

  1. 　演算処理を実行する情報処理装置であって、
    　第１の処理回路と、
    　第２の処理回路とを備え、
    　前記第１の処理回路は、前記演算処理をＮ回連続して実行し、
    　前記第２の処理回路は、前記演算処理をＮ回連続して実行し、
    　Ｎは２以上の整数であり、
    　前記第１の処理回路および前記第２の処理回路は、前記第１の処理回路によって実行されたＮ回の前記演算処理の第１の結果のうちの少なくとも１つの第１の結果と、前記第２の処理回路によって実行されたＮ回の前記演算処理の第２の結果のうちの少なくとも１つの第２の結果とが一致することに応じて、前記少なくとも１つの第１の結果および前記少なくとも１つの第２の結果に基づいて動作をそれぞれ継続する、情報処理装置。
  2. 　前記第１の処理回路は、第１のメモリと、前記第１のメモリを用いて前記演算処理を実行する第１のプロセッサとを含み、
    　前記第２の処理回路は、第２のメモリと、前記第２のメモリを用いて前記演算処理を実行する第２のプロセッサとを含み、
    　前記第１のプロセッサは、前記第１のメモリの互いに異なるＮ個の領域を用いて、Ｎ回の前記演算処理をそれぞれ実行し、
    　前記第２のプロセッサは、前記第２のメモリの互いに異なるＮ個の領域を用いて、Ｎ回の前記演算処理をそれぞれ実行する、請求項１に記載の情報処理装置。
  3. 　前記第１のプロセッサは、前記第１のメモリの前記Ｎ個の領域のうち、前記少なくとも１つの第１の結果と異なる結果が出力された前記演算処理において用いられた領域のデータを、前記少なくとも１つの第２の結果が出力された前記演算処理において用いられた領域のデータで上書きし、
    　前記第２のプロセッサは、前記第２のメモリの前記Ｎ個の領域のうち、前記少なくとも１つの第２の結果と異なる結果が出力された前記演算処理において用いられた領域のデータを、前記少なくとも１つの第２の結果が出力された前記演算処理において用いられた領域のデータで上書きする、請求項２に記載の情報処理装置。
  4. 　前記第１の処理回路は、第１のメモリと、前記第１のメモリを用いて前記演算処理を実行する第１のプロセッサとを含み、
    　前記第２の処理回路は、第２のメモリと、前記第２のメモリを用いて前記演算処理を実行する第２のプロセッサとを含み、
    　前記第１のプロセッサは、前記演算処理に用いられる対象データを前記第１のメモリに書き込むとき、前記対象データをコピーすることにより得られる２つのコピーデータも前記第１のメモリに書き込み、
    　前記第２のプロセッサは、前記演算処理に用いられる対象データを前記第２のメモリに書き込むとき、前記対象データをコピーすることにより得られる２つのコピーデータも前記第２のメモリに書き込み、
    　前記第１のプロセッサは、
    　　前記演算処理を実行する前に、前記第１のメモリから前記対象データおよび前記２つのコピーデータを読み出し、
    　　読み出した前記対象データおよび前記２つのコピーデータのうち２以上のデータが一致することに応じて、一致する当該２以上のデータを用いて前記演算処理を実行し、
    　前記第２のプロセッサは、
    　　前記演算処理を実行する前に、前記第２のメモリから前記対象データおよび前記２つのコピーデータを読み出し、
    　　読み出した前記対象データおよび前記２つのコピーデータのうち２以上のデータが一致することに応じて、一致する当該２以上のデータを用いて前記演算処理を実行する、請求項１に記載の情報処理装置。
  5. 　前記第１のプロセッサは、読み出した前記対象データおよび前記２つのコピーデータのうち２つのデータが一致し、残り１つのデータが前記２つのデータと異なることに応じて、前記第１のメモリにおいて、前記１つのデータが格納されていた領域を、前記２つのデータの一方で上書きし、
    　前記第２のプロセッサは、読み出した前記対象データおよび前記２つのコピーデータのうち２つのデータが一致し、残り１つのデータが前記２つのデータと異なることに応じて、前記第２のメモリにおいて、前記１つのデータが格納されていた領域を、前記２つのデータの一方で上書きする、請求項４に記載の情報処理装置。
  6. 　前記第１のプロセッサは、Ｎ回の前記演算処理の結果を、前記第１のメモリの互いに異なるＮ個の領域にそれぞれ書き込み、
    　前記第２のプロセッサは、Ｎ回の前記演算処理の結果を、前記第２のメモリの互いに異なるＮ個の領域にそれぞれ書き込み、
    　前記第１のプロセッサは、前記第１のメモリの前記Ｎ個の領域のうち、前記少なくとも１つの第１の結果と異なる結果が書き込まれた領域のデータを、前記少なくとも１つの第１の結果が書き込まれた領域のデータで上書きし、
    　前記第２のプロセッサは、前記第２のメモリの前記Ｎ個の領域のうち、前記少なくとも１つの第２の結果と異なる結果が書き込まれた領域のデータを、前記少なくとも１つの第２の結果が書き込まれた領域のデータで上書きする、請求項４または５に記載の情報処理装置。
  7. 　演算処理を実行する情報処理装置の制御方法であって、
    　前記情報処理装置は、
    　第１の処理回路と、
    　第２の処理回路とを含み、
    　前記制御方法は、
    　前記第１の処理回路が前記演算処理をＮ回連続して実行するステップと、
    　前記第２の処理回路が前記演算処理をＮ回連続して実行するステップとを備え、
    　Ｎは２以上の整数であり、
    　前記制御方法は、さらに、
    　前記第１の処理回路および前記第２の処理回路が、前記第１の処理回路によって実行されたＮ回の前記演算処理の第１の結果のうちの少なくとも１つの第１の結果と、前記第２の処理回路によって実行されたＮ回の前記演算処理の第２の結果のうちの少なくとも１つの第２の結果とが一致することに応じて、前記少なくとも１つの第１の結果および前記少なくとも１つの第２の結果に基づいて動作をそれぞれ継続するステップを備える、制御方法。
  8. 　請求項７に記載の制御方法をコンピュータに実行させるプログラム。
PCT/JP2020/015668 2020-02-04 2020-04-07 情報処理装置、制御方法およびプログラム WO2021157103A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP20917839.1A EP4102370A4 (en) 2020-02-04 2020-04-07 INFORMATION PROCESSING APPARATUS, CONTROL METHOD AND PROGRAM
US17/795,780 US12106103B2 (en) 2020-02-04 2020-04-07 Information processing device, control method, and non-transitory computer readable medium
CN202080093490.8A CN114981781A (zh) 2020-02-04 2020-04-07 信息处理装置、控制方法和程序

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2020017052A JP6729825B1 (ja) 2020-02-04 2020-02-04 情報処理装置、制御方法およびプログラム
JP2020-017052 2020-02-04

Publications (1)

Publication Number Publication Date
WO2021157103A1 true WO2021157103A1 (ja) 2021-08-12

Family

ID=71663939

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/015668 WO2021157103A1 (ja) 2020-02-04 2020-04-07 情報処理装置、制御方法およびプログラム

Country Status (5)

Country Link
US (1) US12106103B2 (ja)
EP (1) EP4102370A4 (ja)
JP (1) JP6729825B1 (ja)
CN (1) CN114981781A (ja)
WO (1) WO2021157103A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2023073928A (ja) * 2021-11-16 2023-05-26 ルネサスエレクトロニクス株式会社 半導体装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0471038A (ja) * 1990-07-12 1992-03-05 Toshiba Corp 電子計算機の二重化方式
JPH11296394A (ja) * 1998-04-15 1999-10-29 Nec Corp 二重化情報処理装置
JP2000298594A (ja) * 1999-04-13 2000-10-24 Nec Corp フォールトトレラント制御方法および冗長コンピュータシステム
JP2011113399A (ja) * 2009-11-27 2011-06-09 Toshiba Corp 計算機、保護制御装置
JP2019008781A (ja) 2017-05-15 2019-01-17 ザ・ボーイング・カンパニーＴｈｅ Ｂｏｅｉｎｇ Ｃｏｍｐａｎｙ 高データインテグリティ処理システム

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8886994B2 (en) * 2009-12-07 2014-11-11 Space Micro, Inc. Radiation hard and fault tolerant multicore processor and method for ionizing radiation environment
US9221492B2 (en) 2011-09-14 2015-12-29 Robert Bosch Automotive Steering Gmbh Method for operating an electrical power steering mechanism
DE102011053580A1 (de) 2011-09-14 2013-03-14 Zf Lenksysteme Gmbh Verfahren zum betrieb einer elektrischen hilfskraftlenkung
US9026847B2 (en) * 2012-12-21 2015-05-05 Advanced Micro Devices, Inc. Hardware based redundant multi-threading inside a GPU for improved reliability
US10423421B2 (en) * 2012-12-28 2019-09-24 Intel Corporation Opportunistic utilization of redundant ALU
US9329936B2 (en) * 2012-12-31 2016-05-03 Intel Corporation Redundant execution for reliability in a super FMA ALU
GB2537942B (en) * 2015-05-01 2017-06-14 Imagination Tech Ltd Fault tolerant processor for real-time systems
US9734006B2 (en) 2015-09-18 2017-08-15 Nxp Usa, Inc. System and method for error detection in a critical system
US20210141697A1 (en) * 2018-03-06 2021-05-13 DinoplusAI Holdings Limited Mission-Critical AI Processor with Multi-Layer Fault Tolerance Support

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0471038A (ja) * 1990-07-12 1992-03-05 Toshiba Corp 電子計算機の二重化方式
JPH11296394A (ja) * 1998-04-15 1999-10-29 Nec Corp 二重化情報処理装置
JP2000298594A (ja) * 1999-04-13 2000-10-24 Nec Corp フォールトトレラント制御方法および冗長コンピュータシステム
JP2011113399A (ja) * 2009-11-27 2011-06-09 Toshiba Corp 計算機、保護制御装置
JP2019008781A (ja) 2017-05-15 2019-01-17 ザ・ボーイング・カンパニーＴｈｅ Ｂｏｅｉｎｇ Ｃｏｍｐａｎｙ 高データインテグリティ処理システム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP4102370A4

Also Published As

Publication number Publication date
CN114981781A (zh) 2022-08-30
EP4102370A1 (en) 2022-12-14
JP6729825B1 (ja) 2020-07-22
US20230055743A1 (en) 2023-02-23
JP2021124880A (ja) 2021-08-30
US12106103B2 (en) 2024-10-01
EP4102370A4 (en) 2024-02-28

Similar Documents

Publication Publication Date Title
US5742753A (en) Mesh interconnected array in a fault-tolerant computer system
US20090044044A1 (en) Device and method for correcting errors in a system having at least two execution units having registers
JPH01154240A (ja) 単一レールインターフェイスにエラーチェック機能を有する二重レールプロセッサ
JP2006285631A (ja) 二重化システム
WO2021157103A1 (ja) 情報処理装置、制御方法およびプログラム
CN102521086B (zh) 基于锁步同步的双模冗余系统及其实现方法
JP3063334B2 (ja) 高信頼度化情報処理装置
WO2021181712A1 (ja) データ処理装置、データ処理方法およびプログラム
WO2021161549A1 (ja) データ処理装置、制御方法およびプログラム
WO2022185582A1 (ja) データ処理装置、データ処理方法およびプログラム
JP3139738B2 (ja) 論理回路
JP7554924B2 (ja) 保安装置および保安方法
JPS5911455A (ja) 中央演算処理装置の冗長システム
WO2016075800A1 (ja) プログラマブル回路
JPS6095663A (ja) ２重化磁気デイスク装置の自動切換装置
JP2017059017A (ja) メモリアクセス部を備える制御装置
JPH11338712A (ja) 割込順序保存回路
JPH08305637A (ja) 記憶装置
JPS6322342B2 (ja)
JPS5999556A (ja) 情報処理装置
JPH05324487A (ja) メモリ制御システム
JPS61101845A (ja) 情報処理装置の試験方式
JPH06149603A (ja) チェック機能付リアルタイム制御回路
JPH02238539A (ja) メモリ制御方式
JPH04211841A (ja) 二重化処理装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20917839

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2020917839

Country of ref document: EP

Effective date: 20220905