(57)【要約】【課題】  ハードウェアの誤動作を二重化した両側のプロセッサ装置で同時に発生しないようにする二重化プロセッサシステムを実現する。【解決手段】  第１と第２のプロセッサ装置を接続し、一方のプロセッサ装置が実作業につき他方のプロセッサ装置が待機する二重化プロセッサシステムに関するものである。  第１と第２のプロセッサ装置に、同一の制御演算を実行するＡ系とＢ系のＭＰＵと、Ａ系とＢ系のＭＰＵとそれぞれ接続され、外部へのデータ出力時にはＡ系とＢ系のＭＰＵの一方のデータを出力し、外部からのデータ入力時にはＡ系とＢ系のＭＰＵの両方にデータを入力するよう選択する選択器と、Ａ系とＢ系のＭＰＵの少なくとも一方にＭＰＵのデータ変換手段と、選択器のＭＰＵのデータ変換手段が設けられたＭＰＵとの接続系統に選択器のデータ変換手段とを設けた。【選択図】                    図１
2006058984.tif 000002
【特許請求の範囲】
【請求項１】
第１と第２のプロセッサ装置を接続し、一方のプロセッサ装置が実作業につき他方のプロセッサ装置が待機する二重化プロセッサシステムにおいて、
前記第１と第２のプロセッサ装置は、
同一の制御演算を実行するＡ系とＢ系のＭＰＵと、
前記Ａ系とＢ系のＭＰＵとそれぞれ接続され、外部へのデータ出力時には前記Ａ系とＢ系のＭＰＵの一方のデータを出力し、外部からのデータ入力時には前記Ａ系とＢ系のＭＰＵの両方にデータを供給する選択器と、
前記Ａ系とＢ系のＭＰＵの少なくとも一方に設けられたＭＰＵのデータ変換手段と、
前記選択器の前記ＭＰＵのデータ変換手段が設けられたＭＰＵとの接続系統に設けられた選択器のデータ変換手段と、
を有することを特徴とする二重化プロセッサシステム。
【請求項２】
前記第１と第２のプロセッサ装置は、一方の系統に前記ＭＰＵ及び選択器のデータ変換手段が設けられ、設けられる系統が互いに逆側になっていることを特徴とする請求項１記載の二重化プロセッサシステム。
【請求項３】
前記ＭＰＵ及び選択器のデータ変換手段は、データのパターンを変換することを特徴とする請求項１又は２記載の二重化プロセッサシステム。
【請求項４】
前記ＭＰＵ及び選択器のデータ変換手段は、データの電圧レベルを変換することを特徴とする請求項１乃至３のいずれかに記載の二重化プロセッサシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プロセスの制御を行う分散形制御システム等に適用される二重化プロセッサシステムに関し、更に詳しくは、第１と第２のプロセッサ装置を接続し、一方のプロセッサ装置が実作業につき他方のプロセッサ装置が待機する二重化プロセッサシステムに関するものである。
【背景技術】
【０００２】
プロセス制御を行う分散形制御システムに適用されるようなプロセッサ装置においては、信頼性を高めるためにプロセス制御演算を行うプロセッサ装置を二重化構成とし、一方のプロセッサ装置の故障に備えて他方のプロセッサ装置を待機させるように構成した二重化プロセッサシステムが広く実用化されている。
【０００３】
図３は従来の二重化プロセッサシステムの構成図である。
図３で、第１プロセッサ装置１０と第２プロセッサ装置２０は単体で実行可能で、互いにバックプレーンバス３０により結合している。このバックプレーンバス３０はシングル構成のものを示すが、二重化構成としてもよい。
第１プロセッサ装置１０、第２プロセッサ装置２０は、互いに同期して動作するとともに、データベースが等値化されるように構成されていて、一方のプロセッサ装置が実作業につき、他方のプロセッサ装置が実作業に関与せず待機するようになっている。
【０００４】
第１プロセッサ装置１０で、ＭＰＵ（マイクロプロセッサユニット）はＡ系ＭＰＵ１１ａ、Ｂ系ＭＰＵ１１ｂで二重化されており、メモリは、Ａ系メモリ１２ａ、Ｂ系メモリ１２ｂで二重化されている。
Ａ系ＭＰＵ１１ａとＢ系ＭＰＵ１１ｂは、互いに同一の制御演算を行っている。
Ａ系メモリ１２ａ、Ｂ系メモリ１２ｂは、Ａ系ＭＰＵ１１ａ、Ｂ系ＭＰＵ１１ｂとそれぞれ接続され、データを保存する。メモリの保存方法としては、例えば、Ａ系、Ｂ系で常に反転したデータとして組み合わせて保存し扱うことにより、メモリの故障検出率を高める手法が用いられる。また、メモリにはエラー訂正符号（ＥＣＣ）等が付加される場合もある。
【０００５】
比較器１３は、Ａ系ＭＰＵ１１ａとＢ系ＭＰＵ１１ｂから出力される演算結果を比較しており、比較結果が一致すれば制御演算は正常であると判断する。比較結果が一致しなければ制御演算は異常であると判断し、実作業に関与している一方のプロセッサ装置の制御権を、待機側となっている他方のプロセッサ装置に切り替えるように制御するための信号を出力するようになっている。それまで待機側にあったプロセッサ装置に制御権が渡されると、そのプロセッサ装置は、それまで制御側となっていたプロセッサ装置に代わってバックプレーンバス３０を介して外部入出力装置等に対するアクセスを継続して行うこととなる。ここで、新たに制御側となったプロセッサ装置による制御演算は、待機側にあったとき制御側と同期して同様の制御演算を行っていたので、制御の連続性を維持しながら外部入出力装置等に対するアクセスを維持できる。
【０００６】
選択器１４は、バックプレーンバス３０と接続され、外部へのデータ出力時にはＡ系ＭＰＵ１１ａとＢ系ＭＰＵ１１ｂの一方のデータを出力し、外部からのデータ入力時にはＡ系ＭＰＵ１１ａとＢ系ＭＰＵ１１ｂのそれぞれにデータを供給する。
【０００７】
第２プロセッサ装置２０は、第１プロセッサ装置１０と同一の構成となっている。
第２プロセッサ装置２０のＡ系ＭＰＵ２１ａ、Ｂ系ＭＰＵ２１ｂ、Ａ系メモリ２２ａ、Ｂ系メモリ２２ｂ、比較器２３、選択器２４は、それぞれ第１プロセッサ装置１０のＡ系ＭＰＵ１１ａ、Ｂ系ＭＰＵ１１ｂ、Ａ系メモリ１２ａ、Ｂ系メモリ１２ｂ、比較器１３、選択器１４に対応する。
【０００８】
従来の二重化プロセッサシステムの構成を示したものとして、例えば特許文献１に記載されたものがあった。
【特許文献１】特開平６−２４２９７９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
図３の従来例では次の問題点があった。
システムの高信頼性を実現するために、あらかじめ部品等の偶発故障に備えて予備を用意しておくという観点から、プロセッサ装置を制御側と待機側で二重化構成にしている。
しかし、同一設計のハードウェアで二重化構成としているため、ハードウェア自体に設計不良があった場合は、クロストークノイズ等による誤動作が原因で、両側フェイルに至るという問題点があった。
【００１０】
本発明は上述した問題点を解決するためになされたものであり、ハードウェアの誤動作を二重化した両側のプロセッサ装置で同時に発生しないようにする二重化プロセッサシステムを実現することを目的とする。
【課題を解決するための手段】
【００１１】
このような課題を達成するために、本発明は次のとおりの構成になっている。
（１）第１と第２のプロセッサ装置を接続し、一方のプロセッサ装置が実作業につき他方のプロセッサ装置が待機する二重化プロセッサシステムにおいて、
前記第１と第２のプロセッサ装置は、
同一の制御演算を実行するＡ系とＢ系のＭＰＵと、
前記Ａ系とＢ系のＭＰＵとそれぞれ接続され、外部へのデータ出力時には前記Ａ系とＢ系のＭＰＵの一方のデータを出力し、外部からのデータ入力時には前記Ａ系とＢ系のＭＰＵの両方にデータを供給する選択器と、
前記Ａ系とＢ系のＭＰＵの少なくとも一方に設けられたＭＰＵのデータ変換手段と、
前記選択器の前記ＭＰＵのデータ変換手段が設けられたＭＰＵとの接続系統に設けられた選択器のデータ変換手段と、
を有することを特徴とする二重化プロセッサシステム
【００１２】
（２）前記第１と第２のプロセッサ装置は、一方の系統に前記ＭＰＵ及び選択器のデータ変換手段が設けられ、設けられる系統が互いに逆側になっていることを特徴とする（１）記載の二重化プロセッサシステム。
【００１３】
（３）前記ＭＰＵ及び選択器のデータ変換手段は、データのパターンを変換することを特徴とする（１）又は（２）記載の二重化プロセッサシステム。
【００１４】
（４）前記ＭＰＵ及び選択器のデータ変換手段は、データの電圧レベルを変換することを特徴とする（１）乃至（３）のいずれかに記載の二重化プロセッサシステム。
【発明の効果】
【００１５】
本発明によれば次のような効果がある。
ある特定のデータ形式のデータの送受信においてハードウェアが誤動作する場合において、データを送信する際にデータを一定の方式で変換し、データを受信する際にその変換されたデータを復元するデータ変換手段を設けることにより、その誤動作する特定のデータ形式を回避することが可能となる。
このことから、二重化プロセッサシステムにおいて、データ変換手段を設けた回路とデータ変換手段を設けない回路とを組み合わせることにより、ハードウェアの誤動作を二重化した両側のプロセッサ装置で同時に発生しないようにすることができる。
【発明を実施するための最良の形態】
【００１６】
以下、図面を用いて本発明を詳細に説明する。
図１は本発明の一実施例を示す構成図である。前出の図と同一のものは同一符号を付ける。
図１で、第１プロセッサ装置１０と第２プロセッサ装置２０は同じハードウェアで実現される。部品の偶発故障に対しては、このようにハードウェアを二重化構成にし、故障をマスクするのが有効である。しかし、同一のハードウェアで二重化構成としているため、ハードウェア（プリント板等）自体の設計不良に起因するクロストークノイズ等による誤動作が、第１プロセッサ装置１０と第２プロセッサ装置２０の両側で同時に発生してしまうことがある。
これを防ぐため、本発明では第１プロセッサ装置１０のＭＰＵ１１ａ、１１ｂのＩ／Ｆ部及び選択器１４のＩ／Ｆ部に、データ変換手段５０ａ、５０ｂ、５１ａ、５１ｂをそれぞれ設け、第２プロセッサ装置２０のＭＰＵ２１ａ、２１ｂのＩ／Ｆ部及び選択器２４のＩ／Ｆ部に、データ変換手段６０ａ、６０ｂ、６１ａ、６１ｂをそれぞれ設けた構成となっている。
【００１７】
データ変換手段５０ａ、５０ｂ、５１ａ、５１ｂ、並びに６０ａ、６０ｂ、６１ａ、６１ｂは、データを送信する際にデータを一定の方式で変換し、データを受信する際にその変換されたデータを復元する機能を有する。
データ変換手段５０ａ、５０ｂ、５１ａ、５１ｂ、並びに６０ａ、６０ｂ、６１ａ、６１ｂを設けることにより、ある特定のデータ形式のデータの送受信においてハードウェアが誤動作する場合において、その誤動作する特定のデータ形式を回避することが可能となる。
データ変換手段５０ａ、５０ｂ、５１ａ、５１ｂ、並びに６０ａ、６０ｂ、６１ａ、６１ｂにおけるデータ変換の方式としては、例えば、データ反転、ローテートシフト、シリアル／パラレル変換、電圧変換等がある。特定のビットパターンがノイズにより影響を受けるような場合の対策として、データ反転、ローテートシフト、シリアル／パラレル変換を行うことによりビットパターンを変えることが有効である。また、伝送される電圧レベルが小さくノイズにより影響を受けるような場合の対策として、電圧変換を行うことにより電圧レベルを大きくして伝送することが有効である。
【００１８】
図２は本発明の使用状態を示した図である。
図２で、第１プロセッサ装置１０は、Ａ系のデータ変換手段１１ａ、５１ａが機能し、Ｂ系のデータ変換手段１１ｂ、５１ｂは機能していない状態、第２プロセッサ装置２０は、Ｂ系のデータ変換手段６０ｂ、６１ｂが機能し、Ａ系のデータ変換手段６０ａ、６１ａは機能していない状態である。第１プロセッサ装置１０と第２プロセッサ装置２０とでデータ変換手段が機能する系統を逆側にしている。このようにデータ変換手段が機能する系統を逆側にするには、例えば、第１プロセッサ装置１０と第２プロセッサ装置２０が実装される位置によって機能するデータ変換手段の系統を自動的に割り振る方法や、設定により任意に割り振る方法等がある。
【００１９】
ここで、外部入出力装置等からバックプレーンバス３０を介してのデータ入力であり、データ変換手段のデータ変換方式がデータ反転である場合を例に説明する。
例えば、データ変換手段がない状態において、第１プロセッサ装置１０及び第２プロセッサ装置２０で、ある特定のビットパターン（Ｘパターンとする）がクロストークノイズによりＡ系では誤動作するが、Ｂ系では誤動作しないとする。
【００２０】
第１プロセッサ装置１０においては、Ａ系では、選択器１４のデータ変換手段５１ａにより入力データは反転されＭＰＵ１１ａまで伝送され、ＭＰＵ１１ａのデータ変換手段５０ａにより元のデータに戻されＭＰＵ１１ａに入力される。よって、入力データがＸパターンである場合でも、選択器１４のデータ変換手段５１ａによりＸパターンが反転され、Ｘの反転パターンが伝送されることになるので、従来クロストークノイズにより誤動作していた特定のビットパターンを回避することができる。
Ｂ系では、選択器１４から入力データはそのままＭＰＵ１１ｂまで伝送され、そのままＭＰＵ１１ｂに入力される。入力データがＸパターンである場合でもＢ系ではクロストークノイズによる影響は受けないので誤動作はしない。
これにより、第１プロセッサ装置１０は、Ａ系、Ｂ系とも誤動作は発生せず、比較器１３での比較結果が一致するので正常である。
【００２１】
次に第２プロセッサ装置２０においては、Ａ系では、選択器２４から入力データはそのままＭＰＵ２１ａまで伝送され、そのままＭＰＵ２１ａに入力される。入力データがＸパターンである場合にＡ系ではクロストークノイズにより影響を受け誤動作する。
Ｂ系では、選択器２４のデータ変換手段６１ｂにより入力データは反転されＭＰＵ２１ｂまで伝送され、ＭＰＵ２１ｂのデータ変換手段６０ｂにより元のデータに戻されＭＰＵ２１ｂに入力される。入力データがＸパターンである場合でも、選択器２４のデータ変換手段６１ｂによりＸパターンが反転され、Ｘの反転パターンが伝送されることになるので、従来クロストークノイズにより誤動作していた特定のビットパターンを回避することができる。ただし、Ｂ系ではもともとクロストークノイズによる影響を受けないので、データを反転するしないに関わらず誤動作はしない。
これにより、第２プロセッサ装置２０は、Ａ系では誤動作し、Ｂ系では誤動作しないため、比較器２３での比較結果が不一致となりフェイルする。
【００２２】
第１プロセッサ装置１０が制御権を持っていた場合は、第１プロセッサ装置１０がそのまま制御動作を続ける。
第２プロセッサ装置２０が制御権を持っていた場合は、第１プロセッサ装置１０に制御権を渡す。第２プロセッサ装置２０は自身の自己診断を行い、その自己診断の結果、異常が検出されない場合は待機状態で復帰する。
【００２３】
以上より、従来、クロストークノイズによる影響を受け、第１プロセッサ装置１０と第２プロセッサ装置２０の両側が誤動作していた特定のビットパターン（Ｘパターン）に対しても、二重化したプロセッサ装置が同時に誤動作しないようにすることができる。
これとは逆に、データ変換手段がない状態において、ある特定のビットパターンがクロストークノイズによりＢ系では誤動作するが、Ａ系では誤動作しない場合であっても、データ変換手段を設けることにより、同様に二重化したプロセッサ装置が同時に誤動作しないようにすることができる。
【００２４】
二重化プロセッサシステムにおいてハードウェア（プリント板等）の設計不良に起因するクロストークノイズ等による誤動作は、制御側、待機側とも同じハードウェアで構成されている関係上同時に発生するため、システムとして致命傷となる。
誤動作は幾つかの条件が組み合わさり特定の条件が整うと発生するので、設計不適合は検証等によってもなかなか発見できない場合がある。また、使用する部品の更なる小型化、高速化が進み、結果としてますます予見できない設計不適合が発生する可能性が増してくる。
このような場合に、二重化プロセッサシステムとして、プロセッサ装置内においても、プロセッサ装置間においても、異なるデータ形式でデータの送受信を行うことにより、誤動作する特定の条件が認識できていない場合でも、二重化したプロセッサ装置の両側で誤動作する特定の条件が同時に整うことを避けることが可能となり、高信頼な二重化プロセッサシステムを構築することができる。
【図面の簡単な説明】
【００２５】
【図１】本発明の一実施例を示す構成図である。
【図２】本発明の使用状態を示した図である。
【図３】従来の二重化プロセッサシステムの構成図である。
【符号の説明】
【００２６】
１０  第１プロセッサ装置
２０  第２プロセッサ装置
１１ａ、２１ａ  Ａ系ＭＰＵ
１１ｂ、２１ｂ  Ｂ系ＭＰＵ
１２ａ、２２ａ  Ａ系メモリ
１２ｂ、２２ｂ  Ｂ系メモリ
１３、２３  比較器
１４、２４  選択器
３０バックプレーンバス
５０ａ、５０ｂ、６０ａ、６０ｂ  ＭＰＵのデータ変換手段
５１ａ、５１ｂ、６１ａ、６１ｂ  選択器のデータ変換手段
【図１】
2006058984.tif 000003
【図２】
2006058984.tif 000004
【図３】
2006058984.tif 000005