(57)【要約】【課題】  今後の複数プロセッサで構成された制御システムでは、プロセッサ出力の同期化が困難となるため、複数プロセッサの出力同士を照合し、プロセッサの健全性を診断するには、プロセッサの出力の同期，非同期に関わらず、出力同士を照合する方式が必要である。【解決手段】  制御システムを、各プロセッサのコントロール信号から、出力タイミングの同時，非同時を判定するタイミングシーケンス手段と、プロセッサの出力の一部であるユニークなＩＤに基づき、キュー内データの選択、およびデータをキューに保持を行うＩＤ・データ選択手段と、ＩＤ・データ選択手段が出力したデータを照合するデータ照合手段とを備えるものとする。【選択図】図１
2006338425.tif 000002
【特許請求の範囲】
【請求項１】
各プロセッサのコントロール信号から、出力タイミングの同時，非同時を判定するタイミングシーケンス手段と、プロセッサの出力の一部であるユニークなＩＤに基づき、キュー内データの選択、およびデータをキューに保持を行うＩＤ・データ選択手段と、前記
ＩＤ・データ選択手段が出力したデータを照合するデータ照合手段とを備えることを特徴とする制御装置。
【請求項２】
請求項１において、前記タイミングシーケンス手段は、各プロセッサの出力タイミングの同時，非同時に応じた状態遷移手段を有し、かつ前期状態遷移手段に応じて、ＩＤ，データ選択手段，データ照合手段に処理を指示する指令信号を送信し、処理結果の応答信号を受信することを特徴とする制御装置。
【請求項３】
複数のプロセッサと、各プロセッサの出力を当該出力のＩＤ又はアドレスと共に格納するキューと、前記キューから読み出した同一のＩＤ又はアドレスを有する各プロセッサの出力が一致するか否かの照合データを出力するデータ照合部とを備えることを特徴とする制御装置。
【請求項４】
第１のプロセッサと、第２のプロセッサと、前記第１のプロセッサの出力を当該出力のＩＤ又はアドレスと共に格納する第１のキューと、前記第２のプロセッサの出力を当該出力のＩＤ又はアドレスと共に格納する第２のキューと、前記第１のキューから読み出した出力と、前記第２のキューから読み出した前記第１のキューから読み出したＩＤ又はアドレスの出力が一致するか否かの照合データを出力する照合部を備えることを特徴とする制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御装置に関するものである。
【背景技術】
【０００２】
原子力プラントや化学プラントなど潜在的な危険性の高いプロセス設備では、万が一の事態に作業員および周辺環境への影響を低減するため、隔壁等の防護設備による受動的な対策および、緊急停止装置等の安全装置を用いる能動的な対策が講じられる。このうち、安全装置等の制御手段は、従来リレー等の電磁的・機械的手段により実現されていた。しかし、近年、Programmable Logic Controller(ＰＬＣ) に代表されるプログラム可能な制御機器における技術の発展に伴い、これらを安全制御システムの制御手段として利用するニーズが高まっている。
【０００３】
非特許文献１のＩＥＣ６１５０８は、そのような動向に対応して発行された国際規格であり、電気的／電子的／プログラム可能な電子的装置を安全制御システムの一部に利用する場合の要件が規定されている。ＩＥＣ６１５０８では、安全制御システムの能力の尺度としてSafety Integrity Level（ＳＩＬ）を定義し、１から４までのレベルに対応する水準の要求事項を規定している。ＳＩＬが高いほどプロセス設備の持つ潜在的な危険性を低減できる度合が大きいことを示す。すなわち、プロセス設備の異常を検出した際、どれだけ確実に所定の安全制御を実施できるかを意味する。
【０００４】
安全制御装置は、通常稼働状態で非活性となっていても、プロセス設備の異常発生時には直ちに活性化することを求められる。そのため、常時自己診断を行い、自身の健全性をチェックし続けることが重要となる。また、高いＳＩＬが要求される安全制御システムでは、未検出の故障によりシステムが不動作となる確率を極小とするため、広範囲・高精度な自己診断を実施する必要がある。
【０００５】
ＩＥＣ６１５０８では、安全制御装置を構成する要素部品の種類ごとに、各々適用される自己診断技法を紹介し、それぞれの技法の有効性を診断率という形で示している。診断率は、各構成要素における全故障のうち、その診断技法を採用したとき検出可能な故障の割合を示す。例えば、非特許文献２に引用されているＲＡＭの診断技法“abraham” では、最高９９％の診断率を主張可能であるとされている。
【０００６】
また、各構成要素の一つであるプロセッサの故障検出手段としては、複数のプロセッサを用いて、相互の出力結果の整合性を監視する方法が有効である。
【０００７】
複数のプロセッサ出力を相互診断する方式としては、各々のプロセッサが同様の制御処理を同時に実行し、その出力が一致していることを確認しあう手段が効果的である。
【０００８】
この代表的な例としては、特許文献１にあるように、２つのプロセッサを同期して実行させるとともに、入力値も同一の情報とすることで、出力を一致化させる手法により、プロセッサの健全性を確認する方法が挙げられる。
【０００９】
【特許文献１】特開平６−２９００６６号公報
【特許文献２】USP．6779128、Fault−tolerant Data Transfer
【非特許文献１】IEC61508−1〜7、“Functional safety of electrical／         electronic／programmable electronic safety-related systems”part1〜part7
【発明の開示】
【発明が解決しようとする課題】
【００１０】
プログラマブル電子装置に要求される信頼性の要素には可用性と安全性がある。機器の制御では可用性が重要となり、機器の保護では安全性が重要となる。これら２要素の実現手段は二律背反している部分が多い。
【００１１】
このため、従来は可用性を担う部分装置と安全性を担う部分装置に分けるのが常識とされてきた。このために装置が大型化するだけでなく、運転・保守作業の重複・複雑化が人的要素の信頼性低下を招くことがあった。
【００１２】
本発明の目的は、複数のプロセッサを用いて装置の小型高性能化と安全性を両立する高信頼のプログラマブル電子装置を提供することにある。
【００１３】
高い安全性が要求される制御システムでは、特許文献１のように複数のプロセッサの出力を照合することで、プロセッサの健全性を確認し、一致した場合のみ後段のメモリ，
ＩＯに出力する手法がとられている。
【００１４】
この手法によると、各プロセッサの動作タイミングを一致させるとともに、制御入力情報も各プロセッサに同一の値が渡るよう読合せることで、出力を一致させていた。
【００１５】
しかしながら、制御対象が複雑になるにつれ、プロセッサも高性能になり、複数のプロセッサより構成された制御システムでは、ひとつのクロックを複数のプロセッサに入力しても、それぞれに出力するクロックが周波数、位相で同一になることが保障されなくなってきている。
【００１６】
このように、今後の複数プロセッサで構成された制御装置では、プロセッサ出力の同期化が困難となるため、複数プロセッサの出力同士を照合し、プロセッサの健全性を診断するには、プロセッサの出力の同期，非同期に関わらず、出力同士を照合する方式が必要である。
【課題を解決するための手段】
【００１７】
本発明の制御装置は、以下の点を特徴とする。
（１）各プロセッサのコントロール信号（ライトストローブ信号等）に基づいて、出力タイミングの同時，非同時を判定して、各構成要素への指令信号を与えるタイミングシーケンス手段と、各プロセッサからの出力を格納するキューを備え、かつプロセッサの出力
（演算結果）に含まれるユニークなＩＤ（アドレス信号など）に基づき、前記キュー内にある同一ＩＤのデータの選択、およびプロセッサ出力のキューへの格納等を行うＩＤ・データ選択手段と、前記ＩＤ・データ選択手段が出力した、ＩＤを一にする複数のデータを照合するデータ照合手段とを備える。
（２）タイミングシーケンス手段は、各プロセッサの出力タイミングの同時，非同時に応じた複数の状態と、状態遷移手段を有し、かつ、ＩＤ・データ選択手段、およびデータ照合手段に対して、前記状態に応じた処理の指令信号を送信し、かつ処理結果の応答信号を受信する。
（３）複数のプロセッサと、各プロセッサの出力を当該出力のＩＤ又はアドレスと共に格納するキューと、キューから読み出した同一のＩＤ又はアドレスを有する各プロセッサの出力が一致するか否かの照合データを出力するデータ照合部とを備える。
（４）第１のプロセッサと、第２のプロセッサと、前記第１のプロセッサの出力を当該出力のＩＤ又はアドレスと共に格納する第１のキューと、第２のプロセッサの出力を当該出力のＩＤ又はアドレスと共に格納する第２のキューと、第１のキューから読み出した出力と、第２のキューから読み出した第１のキューから読み出したＩＤ又はアドレスの出力が一致するか否かの照合データを出力する照合部を備える。
【００１８】
本発明のその他の特徴は、本明細書の発明を実施するための最良の形態欄で説明する。
【発明の効果】
【００１９】
本発明によれば、制御装置において、プロセッサの出力の同期，非同期に関わらず、出力同士を照合することができる。
【発明を実施するための最良の形態】
【００２０】
本発明は、高信頼を必要とする制御装置において、複数のプロセッサで動作の同期，非同期に関わらず出力同士を照合し、プロセッサを診断することにより、プロセッサの健全性を確認する機能を備えたＣＰＵ出力照合方式の実現方式に関する。
【００２１】
以下、本発明の実施例を図面を用いて説明する。
【実施例１】
【００２２】
本発明による第１の実施の形態である制御システムの構成を図１に示す。ここでは、プロセッサが２個の場合について説明するが、実際の実施形態においてプロセッサの台数に制限は無く、それにより本発明が制約を受けることはない。
【００２３】
また、ここで説明する制御システムはメモリ、入出力回路に接続されることを前提としており、特に明示しないものとする。
【００２４】
Ａ系プロセッサ１はバス信号１１（ライトストローブ信号を含む）とアラーム信号９により、Ａ系タイミングシーケンス部４とＢ系タイミングシーケンス部５に接続される。
【００２５】
Ａ系プロセッサ１はアドレス信号１５とデータ信号１８により、Ａ系ＩＤ・データ選択部６に接続される。
【００２６】
Ａ系プロセッサ１はアドレス信号１５により、Ｂ系ＩＤ・データ選択部７に接続される。同様に、Ｂ系プロセッサ２は信号１０，１２，１６，１９により、Ａ系，Ｂ系タイミングシーケンス部４，５とＡ，Ｂ系ＩＤ・データ選択部６，７に接続される。
【００２７】
Ａ系タイミングシーケンス部４は指令信号／応答信号２０により、Ａ系のＩＤ・データ選択部６とデータ照合部８に接続される。同様に、Ｂ系タイミングシーケンス部５は指令信号／応答信号２１により、Ｂ系のＩＤ・データ選択部７とデータ照合部８に接続される。
【００２８】
Ａ系，Ｂ系のタイミングシーケンス部４，５は相互に指令信号／応答信号１７を送受信することにより、照合に必要なデータの選択を他系に要求し、応答を受け取ることができる。ここでいう、他系とは、Ａ系からはＢ系のことをいい、Ｂ系からはＡ系のことをいう。また後述する自系とは、Ａ系にとっての自身、Ｂ系にとっての自身のことをいう。
【００２９】
Ａ系，Ｂ系のタイミングシーケンス部４，５は受信した応答信号１７，２０，２１がエラーを示す場合、論理和回路３に対してアラーム信号１３，１４を送信し、論理和の結果がＡ系，Ｂ系のプロセッサのアラーム信号９，１０として、送られる。
【００３０】
タイミングシーケンス部４，５は複数の状態を管理し、状態に応じた指令信号１７，
２０，２１を各部に送信し、その応答信号１７，２０，２１を受信することにより、状態を遷移させる。
【００３１】
Ａ系タイミングシーケンス部４はＡ系プロセッサ１のバス信号１１がアサートされたことを検出し、状態遷移を開始する。同様にＢ系タイミングシーケンス部５はＢ系プロセッサ２のバス信号１２がアサートされたことを検出し、状態遷移を開始する。
【００３２】
以下の説明において、プロセッサ出力を特定する情報として、ユニークな番号が必要であり、アドレス信号１５，１６もしくは、ハード／ソフト構成により付加される番号を総称してＩＤと定義する。アドレス信号以外のユニークな番号の管理方法については、特定しないものとする。よって、ＩＤ信号とアドレス信号は同一の意味を持つものとして、説明する。
【００３３】
Ａ系のＩＤ・データ選択部６は自系プロセッサ１の出力を格納するキュー構造を備え、自系プロセッサ出力の格納、もしくは他系のＩＤ信号１６を検索キーとして、キュー格納済み自系プロセッサ出力から同一ＩＤのデータを検索する検索部を有する。
【００３４】
Ａ系のＩＤ・データ選択部６はタイミングシーケンス部４の指令信号２０に従い、自系プロセッサ出力をキューに格納、また、他系ＩＤ１６を検索キーとしたキュー格納済みプロセッサ出力の検索を行う。そして、検索により選択されたプロセッサ出力２６をデータ照合部に出力する。
【００３５】
Ａ系のＩＤ・データ選択部６はタイミングシーケンス部４の指令信号２０に対して、正常に処理が完了した場合、その結果を応答信号２０としてタイミングシーケンス部４に送信する。また、キュー溢れ、タイムアウトエラーなどが生じた場合、エラー情報も応答信号２０としてタイミングシーケンス部４に送信する。
【００３６】
同様にＢ系のＩＤ・データ選択部７も自系プロセッサの出力を格納するキュー構造を持ち、自系のプロセッサ出力の格納、他系のＩＤ信号１５によるキュー内格納済みプロセッサ出力の検索を行い、Ｂ系のタイミングシーケンス部５の指令信号２１に従った処理を行い、指令信号２１により選択されたプロセッサ出力２７をデータ照合部に出力し、応答信号２１を送信する。
【００３７】
なお、Ａ系，Ｂ系それぞれのタイミングシーケンス部４，５とＩＤ・データ選択部６，７は、Ａ系，Ｂ系をあわせたひとつのタイミングシーケンス部、およびひとつのＩＤ・データ選択部として構成しても良い。
【００３８】
データ照合部８はＡ系，Ｂ系のタイミングシーケンス部４，５の指令信号２０，２１に従い、Ａ系，Ｂ系のＩＤ・データ選択部６，７から出力されたＩＤが同一であるプロセッサ出力２６，２７の照合を行う。照合結果が一致すれば、プロセッサ出力２８をメモリや出力回路に出力する。また、照合結果の一致，不一致はタイミングシーケンス部に応答信号２０，２１として送信する。
【００３９】
タイミングシーケンス部４，５の状態遷移を図２に示す。以下に説明する前提として、Ａ系プロセッサ１がバス信号１１，アドレス信号１５、およびデータ信号１８を出力した時点を基準とし、Ａ系を自系、Ｂ系を他系と定め、説明する。
【００４０】
自系タイミングシーケンス部４の状態は通常ＩＤＬＥ状態４０１である。自系タイミングシーケンス部４は自系プロセッサ１からバス信号１１を受信すると、状態４０２に遷移する。
【００４１】
自系タイミングシーケンス部４のバス信号のライトストローブ信号からライト信号同時判定処理を行う。ライト信号同時判定処理は自系プロセッサ１のライトストローブ信号
１１のアサートに対して、他系プロセッサ２のライトストローブ信号１２を比較し、自系のみアサートされている場合を非同時４０３と判断し、自系と他系で同時にアサートされている場合を同時４０４と判断する。
【００４２】
非同時４０３の場合、自系タイミングシーケンス部４の状態は状態４０５に遷移する。状態４０５において、自系タイミングシーケンス部４は他系タイミングシーケンス部５を介して、他系ＩＤ・データ選択部７に対して、自系のＩＤ信号１５を検索キーに、他系キュー内に格納済みの同一ＩＤの他系プロセッサ出力を検索するように依頼し、他系キュー内ＩＤ（ＡＤ）一致判定待ちとなる。
【００４３】
自系タイミングシーケンス部４は、他系キュー内ＩＤ（ＡＤ）一致判定待ちの結果、他系ＩＤ・データ選択部７の応答として、他系キュー内に自系ＩＤ信号とＩＤが同一となる格納済み他系プロセッサ出力が存在すれば、ＩＤ一致４０６を受信し、一致するデータ信号がなければ、ＩＤ不一致４０７を受信する。
【００４４】
ＩＤ一致４０６の場合、自系タイミングシーケンス部４の状態は状態４０８に遷移する。状態４０８において、他系ＩＤ・データ選択部７は該当するキュー内格納済みプロセッサ出力をデータ照合部８に出力する。
【００４５】
また、自系タイミングシーケンス部４は出力照合部８に対して、自系プロセッサ出力のデータ信号１８とＩＤが同一である他系キュー内格納済み他系プロセッサ出力のデータ信号が一致するか判定するように依頼し、他系キュー内データ一致判定待ちとなる。
【００４６】
自系タイミングシーケンス部４は、他系キュー内データ一致判定待ちの結果、データ照合部８の応答として、自系データ信号１８と他系キュー内格納済み他系プロセッサ出力のデータ信号が一致すれば、データ一致４０９を受信し、一致しなければ、データ不一致
４１０を受信する。
【００４７】
データ一致４０９場合、自系タイミングシーケンス部４の状態は状態４４０に遷移する。状態４４０において、データ照合部８はメモリ、出力回路に自系プロセッサ出力を出力する。
【００４８】
自系タイミングシーケンス部４は再びＩＤＬＥ状態４０１に遷移する。
【００４９】
データ不一致４１０の場合、自系タイミングシーケンス部４の状態は状態４４１に遷移する。状態４４１において、データ照合部８はエラーを意味する応答信号２０を自系タイミングシーケンス部４に返す。
【００５０】
自系タイミングシーケンス部４はアラーム信号１３をプロセッサに対して送信する。自系タイミングシーケンス部４は再びＩＤＬＥ状態４０１に遷移する。
【００５１】
ＩＤ不一致４０７の場合、自系タイミングシーケンス部４の状態は状態４１１に遷移する。状態４１１において、自系タイミングシーケンス部４は自系ＩＤ・データ選択部６に対して、自系プロセッサ出力を自系キューに保存するように依頼し、ＩＤ（ＡＤ），データ自系キュー格納待ちになる。
【００５２】
自系タイミングシーケンス部４は、ＩＤ(ＡＤ)，データ自系キュー格納待ちの結果、キューに自系プロセッサ出力が格納できれば、データ格納４１２を受信し、状態がＩＤＬＥ状態４０１に遷移する。また、キュー溢れによるエラーが発生した場合、キュー溢れ413を受信し、アラーム信号をプロセッサに対して送信し、ＩＤＬＥ状態４０１に遷移する。
【００５３】
同時４０４の場合、自系タイミングシーケンス部４の状態は状態４１４に遷移する。状態４１４において、自系タイミングシーケンス部４は状態４０５と同様に、他系キュー内ＩＤ（ＡＤ）一致判定待ちとなり、ＩＤ不一致４１５、もしくはＩＤ一致４１６を受信する。
【００５４】
同時４０４の場合でも、キュー内のＩＤ一致判定しているのは、自系，他系プロセッサ１，２のプロセッサ出力の出力タイミングが同時であっても、各プロセッサ１，２の処理ポイントが異なり、自系，他系のアドレス信号１５，１６、および、データ信号１８，
１９が異なる場合を考慮したもので、これにより、本発明の意図するプロセッサ間の同期，非同期動作に関わらず、プロセッサ間の出力照合を可能にする。
【００５５】
ＩＤ不一致４１５の場合、自系タイミングシーケンス部４の状態は状態４１７に遷移する。状態４１７において、自系タイミングシーケンス部４は他系ＩＤ・データ選択部７に対して、自系のＩＤ信号１５を比較キーにして、他系プロセッサ２のＩＤ信号１６を比較するように依頼し、他系ＩＤ（ＡＤ）一致判定待ちとなる。
【００５６】
自系タイミングシーケンス部４は、他系プロセッサ出力ＩＤ（ＡＤ）一致判定待ちの結果、他系ＩＤ・データ選択部７の応答として、他系プロセッサ出力のＩＤ信号１６と自系
ＩＤ信号１５が不一致であれば、ＩＤ不一致４１８を受信し、一致すれば、ＩＤ一致419を受信する。
【００５７】
ＩＤ不一致４１８の場合、自系タイミングシーケンス部４の状態は状態４１１に遷移する。状態４１１において、自系タイミングシーケンス部４の動作はすでに説明した。
【００５８】
ＩＤ一致４１９の場合、自系タイミングシーケンス部４の状態は状態４２０に遷移する。状態４２０において、自系タイミングシーケンス部４は、自系と他系でデータ一致判定処理を同時に実行することを省くため、プロセッサ同士の優先権判定を行い、優先権のある系のみに次段のデータ一致判定処理を依頼する。プロセッサの優先権のつけ方は、本発明において言及しないが、説明ではＡ系プロセッサに優先権があるものとする。
【００５９】
Ｂ系プロセッサ２のように自系に優先権がない非優先系プロセッサ４２１の場合、Ｂ系タイミングシーケンス部５は、データ一致判定処理は行わずＩＤＬＥ状態４０１に遷移する。
【００６０】
Ａ系プロセッサ１のように自系に優先系がある優先系プロセッサ４２２の場合、自系タイミングシーケンス部４の状態は状態４２３に遷移する。状態４２３において、他系ＩＤ・データ選択部７は他系プロセッサ出力をデータ照合部に出力する。
【００６１】
また、自系タイミングシーケンス部４は出力照合部８に対して、自系データ信号１８と他系データ信号１９が一致するか判定するように依頼し、他系プロセッサ出力データ一致判定待ちになる。
【００６２】
自系タイミングシーケンス部４は、他系キュー内データ一致判定待ちの結果、データ照合部８の応答として、自系データ信号１８と他系データ信号１９が一致すれば、データ一致４２４を受信し、一致しなければ、データ不一致４２５を受信する。
【００６３】
データ一致４２４の場合、自系タイミングシーケンス部４の状態は状態４４０に遷移する。状態４４０において、自系タイミングシーケンス部４の動作はすでに説明した。
【００６４】
データ一致４２５の場合、自系タイミングシーケンス部４の状態は状態４４１に遷移する。状態４４１において、自系タイミングシーケンス部４の動作はすでに説明した。
【００６５】
ＩＤ一致４１６の場合、自系タイミングシーケンス部４の状態は状態４２８に遷移する。状態４２８において、自系タイミングシーケンス部４はプロセッサ同士の優先権判定を行い、自系，他系でデータ照合部の同時使用することを避けるため、優先系プロセッサ
４２９にデータ照合部の使用権を先に与え、状態４０８に遷移する。また、非優先系プロセッサ４３０に遅延挿入するため、状態４３１に遷移し、遅延を挿入した後、状態４０８に遷移する。
【００６６】
遅延挿入における遅れ量については、制御システムにより最適値を求めることとする。続いて、状態４０８において、自系タイミングシーケンス部４の動作はすでに説明した。他系タイミングシーケンス部５は、自系タイミングシーケンス部４と同様の機能を持つ。
【００６７】
ＩＤ・データ選択部６の構成例を図３に示す。ＩＤ・データ選択部６は他系ＩＤと自系キュー内ＩＤの判定部６０１と、キュー本体６０４と、他系ＩＤと自系プロセッサ出力
ＩＤの判定部６０６と、自系データのキュー格納部６０８と、タイムアウトカウンタ611と、セレクタ６１２により、構成される。
【００６８】
他系ＩＤと自系キュー内ＩＤの判定部６０１は、タイミングシーケンス部４からのキュー内ＩＤ判定指令／応答信号２０３をトリガにして、他系ＩＤ信号１６を検索キーにして、キュー本体６０４から格納済みＩＤ信号を判定し、判定結果を応答として返すとともに、判定結果が一致を示した場合、セレクタ６１２にキュー内格納済み自系プロセッサ出力６０３を出力する。
【００６９】
他系ＩＤと自系キュー内ＩＤの判定部６０１は、キュー本体６０４に対して、キュー内ＩＤ読出し指令６０２を発行してキュー本体６０４からキュー内格納済み自系プロセッサ出力６０３を取り出し、判定処理を行う。
【００７０】
キュー本体６０４は自系プロセッサ出力を格納するもので、レジスタやバッファによる構成手段は特に限定しない。
【００７１】
他系ＩＤと自系プロセッサ出力ＩＤの判定部６０６は、自系タイミングシーケンス部４からのＣＰＵ出力ＩＤ判定指令／ＣＰＵ出力ＩＤ判定応答信号２２２をトリガにして、他系ＩＤ信号１６を検索キーにして、自系ＩＤ信号１５を判定し、判定結果を応答として返すとともに、判定結果が一致を示した場合、セレクタ６１２に自系プロセッサ出力を出力する。
【００７２】
自系データのキュー格納部６０８は、タイミングシーケンス部４からのキュー格納指令／キュー格納応答信号２２４をトリガにして、自系データ信号１５をキュー本体６０４に格納し、格納結果または、キュー溢れエラーを応答として返す。
【００７３】
タイムアウトカウンタ６１１は時刻情報をトリガにして、キュー本体６０４に残存時間監視信号６１２を送信し、格納済みデータ信号が利用されないまま残存したことを監視する。
【００７４】
セレクタ６１２は、タイミングシーケンス部４のデータ出力指令２２１をトリガにして、自系プロセッサ出力のアドレス信号１５，データ信号１８か、もしくは他系ＩＤ信号
１６と自系プロセッサ出力のＩＤ信号１５が一致したことによるアドレス信号、データ信号か、もしくは他系ＩＤ信号１６とキュー内ＩＤが一致したことによるデータ信号か判定する。他系ＩＤ・データ選択部７は、自系ＩＤ・データ選択部６と同様の機能を持つ。
【００７５】
キュー本体の構成例を図４に示す。キューは複数のプロセッサ出力を格納するエリアを持っており、ひとつのデータ信号を格納するエリアはデータ信号有無フラグ６０４ａと、ＩＤ信号６０４ｂと、アドレス信号６０４ｃと、データ信号６０４ｄと、残存時間604ｅにより構成される。データ信号有無フラグ６０４ａは、キュー内データ信号のＩＤ信号を比較する際、もしくは残存時間監視を行う際などに、キュー内のデータ信号格納場所を簡易に特定することを可能にする。
【００７６】
ＩＤ信号６０４ｂは、データ信号を管理するユニーク番号であり、異なる処理ポイントで同一のアドレスに異なるデータを出力する場合でも、順番を管理することが可能になる。
【００７７】
残存時間６０４ｅは、キューにデータ信号を格納し、決められた時間以内にキュー内からデータ信号を削除しなければタイムアウトとするための、時間を意味する。タイムアウトまでの時間の決定方法については、ハードで一意に決められても良いし、レジスタ等を用いてソフトから可変できても良い。
【００７８】
また、残存時間の管理方法は、決められた時間を最初に登録し、時間をデクリメントして０になった時刻でタイムアウトとしても良いし、０時刻から開始し、時間をインクリメントして、決められた時間以上になった時刻でタイムアウトとしても良い。
【実施例２】
【００７９】
本発明の第２の実施の形態である制御システムの構成を図５に示す。Ａ系，Ｂ系ＩＤ付加部５０，５１とＡ系，Ｂ系ＩＤ付加前ＩＤ信号１５ａ，１６ａとＡ系，Ｂ系ＩＤ付加後ＩＤ信号１５ｂ，１６ｂ以外は図１と同様の機能とする。
【００８０】
ＩＤ付加部５０，５１はプロセッサ１，２の出力を特定するための、ユニークなＩＤ番号をＩＤ信号１５，１６に付加するものである。ＩＤを付加する方法については、ハード，ソフトそれぞれによる実装方法があり、本実施例では言及しない。
【実施例３】
【００８１】
本発明の第３の実施の形態である制御システムの構成を図６に示す。データ読み合わせ部４０と入力取得部４５、Ａ系，Ｂ系読合わせデータ４２，４３，４４，４５，４６以外は、図１と同様の機能とする。
【００８２】
データ読合わせ部４０は、複数のプロセッサで同一アドレスのメモリ、入力回路にリードアクセスする際、同一の入力データを保障するものであり、入力データの違いで発生する出力データの相異で照合できる。
【００８３】
本発明の上記の実施例によれば、各プロセッサの出力タイミングに応じて、出力を格納するキュー構造、および出力と照合を行うデータの選択を行う前期キュー構造をもつことにより、各プロセッサの同一出力処理ポイントへの到着タイミングで、先着のプロセッサ出力を、キューに格納し、後着のプロセッサ出力と対応する先着プロセッサ出力を、キュー内から検索し、照合することができ、各プロセッサの出力タイミングが非同期の場合でも、出力を照合し、プロセッサの診断を行うことができる。
【００８４】
また、各プロセッサの出力タイミングが同時で、かつ、キュー内に照合対象となるプロセッサ出力がない場合、出力タイミングを一にするプロセッサ出力同士で照合を行うことにより、プロセッサの診断を行うことができる。
【００８５】
この結果、プロセッサ間での同期処理をサポートしないプロセッサ同士においても、出力照合することが可能となり、安価なプロセッサを用いてシステムの低価格化を図ることができる。
【図面の簡単な説明】
【００８６】
【図１】本発明による第１の実施例を示す、計算機システムの構成。
【図２】本発明によるタイミングシーケンス部の状態遷移。
【図３】本発明によるＩＤ・データ選択部の構成例。
【図４】本発明によるキュー本体の構成。
【図５】本発明による第２の実施例を示す、計算機システムの構成。
【図６】本発明による第３の実施例を示す、計算機システムの構成。
【符号の説明】
【００８７】
１…Ａ系プロセッサ、２…Ｂ系プロセッサ、３…論理和回路、４…Ａ系タイミングシーケンス部、５…Ｂ系タイミングシーケンス部、６…Ａ系ＩＤ・データ選択部、７…Ｂ系
ＩＤ・データ選択部、８…データ照合部、９，１０，１３，１４…アラーム信号、１１，１２…バス信号、１５，１６…ＩＤ・アドレス信号、１７，２０，２１…指令信号／応答信号、１８，１９…データ信号、２６，２７，２８…プロセッサ出力。
【図１】
2006338425.tif 000003
【図２】
2006338425.tif 000004
【図３】
2006338425.tif 000005
【図４】
2006338425.tif 000006
【図５】
2006338425.tif 000007
【図６】
2006338425.tif 000008