(57)【要約】【課題】  プログラマブル電子装置には信頼性を得るために複数のプロセッサで同一処理を実行し、出力が一致することにより信頼性を向上させた。反面複数のプロセッサが常に同一の処理を実行するため、プロセッサ当りの処理性能は半分になる。一方、信頼性を要求しない処理は処理性能を要求し、高信頼と高処理性能の両立は困難であった。このため高信頼用プログラマブル電子装置と、高性能処理用プログラマブル電子装置を分ける必要があった。【解決手段】  複数のプロセッサを備え、通常の制御やネットワーク処理などは異なるプロセッサで独立に動作させることにより処理性能の向上を図り、信頼性を要求する処理を実行する時のみ、他のプロセッサに割り込みを入れ、同一の高信頼を要求する処理を実行させ、複数のプロセッサ出力が一致することにより、信頼性の向上と処理性能の向上の両立を図り、単一のプログラマブル電子装置で高信頼処理と高性能処理を実現する。【選択図】図１
2007011639.tif 000002
【特許請求の範囲】
【請求項１】
相対的に信頼性が高い演算の要求があった場合、複数のプロセッサで同様の演算が行われるように、前記複数のプロセッサの少なくとも一つに対して、相対的に信頼性が低い演算から相対的に信頼性が高い演算の実行を指示する手段と、前記複数のプロセッサの演算結果を比較する手段と、前記比較結果に基づいて前記プロセッサの演算にかかるデータの出力を許可する手段を有することを特徴とする入出力制御装置。
【請求項２】
請求項１において、前記相対的に信頼性が低い演算では、前記複数のプロセッサは異なる演算処理を行っており、前記異なる演算処理の結果を出力する手段を有することを特徴とする入出力制御装置。
【請求項３】
請求項２において、前記相対的に信頼性が高い演算の要求は、前記複数のプロセッサの一方から前記複数のプロセッサの他方への割り込み処理であることを特徴とする入出力制御装置。
【請求項４】
請求項２において、前記相対的に信頼性が高い演算は、相対的に信頼性が高い演算を要求するに相当するＩ／Ｏへのアクセスの場合になされることを特徴とする入出力制御装置。
【請求項５】
請求項４において、前記相対的に信頼性が高い演算を要求するに相当するＩ／Ｏへのアクセスかは、アクセスするアドレスに基づいて判断されることを特徴とする入出力制御装置。
【請求項６】
請求項５において、前記複数のプロセッサのそれぞれに応じて、要求レジスタ及び要因レジスタを有し、前記要求レジスタ及び要因レジスタの書き込まれた内容に基づいて、相対的に信頼性が高い演算の要求か判断することを特徴とする入出力制御装置。
【請求項７】
請求項６において、前記複数のプロセッサの一方からのバスのスタートを示す信号に基づいて、前記複数のプロセッサの一方に対してバスをウエイト制御する信号を出力し、前記アクセスを制限することを特徴とする入出力制御装置。
【請求項８】
請求項２において、前記出力を許可する手段は、前記複数のプロセッサの演算結果が一致した場合に許可することを特徴とする入出力制御装置。
【請求項９】
請求項８において、前記異なる演算処理は、前記一致の後に実行するように指示する信号を出力することを特徴とする入出力制御装置。
【請求項１０】
請求項１において、前記相対的に信頼性が高い演算の要求があった場合、前記少なくとも一方のプロセッサに演算の中断を指示する信号を出力することを特徴とする入出力制御装置。
【請求項１１】
請求項１０において、前記相対的に信頼性が高い演算が実行されている場合、前記複数のプロセッサへの前記相対的に信頼性の低い演算に対する割り込みを制限する手段を有することを特徴とする入出力制御装置。
【請求項１２】
請求項１１において、前記複数のプロセッサの少なくとも一方が、所定時間の間、演算結果を出力しない場合、異常であると判断する手段を有することを特徴とする入出力制御装置。
【請求項１３】
複数のプロセッサと、前記複数のプロセッサが相対的に信頼性が高い演算をすべき旨の要求を受け付けて、複数のプロセッサで同様の演算が行われるように、前記複数のプロセッサの少なくとも一つに対して、相対的に信頼性が低い演算から相対的に信頼性が高い演算の実行を指示する手段と、前記複数のプロセッサの演算結果を比較する手段と、前記比較結果に基づいて前記プロセッサの演算にかかるデータの出力を許可する手段を有することを特徴とする情報制御装置。
【請求項１４】
相対的に信頼性が高い演算の要求があった場合、複数のプロセッサで同様の演算が行われるように、前記複数のプロセッサの少なくとも一つに対して、相対的に信頼性が低い演算から相対的に信頼性が高い演算の実行を指示し、前記複数のプロセッサの演算結果を比較し、前記比較結果に基づいて前記プロセッサの演算にかかるデータの出力を許可する入出力制御方法。
【請求項１５】
複数のプロセッサが相対的に信頼性が高い演算をすべき旨の要求を受け付けて、前記複数のプロセッサの少なくとも一つに対して、相対的に信頼性が低い演算から相対的に信頼性が高い演算の実行を指示する信号を生成し、複数のプロセッサで同様の演算を行わしめ、前記複数のプロセッサの演算結果を比較し、前記比較結果に基づいて前記プロセッサの演算にかかるデータの出力を許可する情報制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、入出力制御装置，情報制御装置，入出力制御方法及び情報制御方法に関する。
【背景技術】
【０００２】
原子力プラントや化学プラントなど潜在的な危険性の高いプロセス設備では、万が一の事態に作業員および周辺環境への影響を低減するため、隔壁等の防護設備による受動的な対策および、緊急停止装置等の安全装置を用いる能動的な対策が講じられる。このうち、安全装置等の制御手段は、従来リレー等の電磁的・機械的手段により実現されていた。しかし、近年、Programmable Logic Controller(ＰＬＣ) に代表されるプログラム可能な制御機器における技術の発展に伴い、これらを安全制御システムの制御手段として利用するニーズが高まっている。
【０００３】
ＩＥＣ６１５０８−１〜７，“Functional safety of electrical／electronic／
programmable electronic safety-related systems”part１〜part７（ＩＥＣ６１５０８と略称する）（非特許文献１）は、そのような動向に対応して発行された国際規格であり、電気的／電子的／プログラム可能な電子的装置を安全制御システムの一部に利用する場合の要件が規定されている。ＩＥＣ６１５０８では、安全制御システムの能力の尺度としてSafety Integrity Level（ＳＩＬ）を定義し、１から４までのレベルに対応する水準の要求事項を規定している。ＳＩＬが高いほどプロセス設備の持つ潜在的な危険性を低減できる度合が大きいことを示す。すなわち、プロセス設備の異常を検出した際、どれだけ確実に所定の安全制御を実施できるかを意味する。
【０００４】
安全制御装置は、通常稼働状態で非活性となっていても、プロセス設備の異常発生時には直ちに活性化することを求められる。そのため、常時自己診断を行い、自身の健全性をチェックし続けることが重要となる。また、高いＳＩＬが要求される安全制御システムでは、未検出の故障によりシステムが不動作となる確率を極小とするため、広範囲・高精度な自己診断を実施する必要がある。
【０００５】
ＩＥＣ６１５０８では、安全制御装置を構成する要素部品の種類ごとに、各々適用される自己診断技法を紹介し、それぞれの技法の有効性を診断率という形で示している。診断率は、各構成要素における全故障のうち、その診断技法を採用したとき検出可能な故障の割合を示す。例えば、米国登録６７７９１２８号公報（非特許文献２）に記載されているＲＡＭの診断技法“abraham” では、最高９９％の診断率を主張可能であるとされている。
【０００６】
また、各構成要素の一つであるプロセッサの故障検出手段としては、複数のプロセッサを用いて、相互の出力結果の整合性を監視する方法が有効である。
【０００７】
複数のプロセッサ出力を相互診断する方式としては、各々のプロセッサが同様の制御処理を同時に実行し、その出力が一致していることを確認しあう手段が効果的である。
【０００８】
この代表的な例としては、特開平６−２９００６６号公報（特許文献１）に記載されるように、２つのプロセッサを同期して実行させるとともに、入力値も同一の情報とすることで、出力を一致化させる手法により、プロセッサの健全性を確認する方法が挙げられる。
【０００９】
【特許文献１】特開平６−２９００６６号公報
【特許文献２】米国登録６７７９１２８号公報
【非特許文献１】ＩＥＣ６１５０８−１〜７，“Functional safety of electrical／electronic／programmable electronic safety-related systems”part１〜part７
【発明の開示】
【発明が解決しようとする課題】
【００１０】
プログラマブル電子装置に要求される信頼性の要素には可用性と安全性がある。機器の制御では可用性が重要となり、機器の保護では安全性が重要となる。これら２要素の実現手段は二律背反している部分が多い。
【００１１】
このため、従来は可用性を担う部分装置と安全性を担う部分装置に分けるのが常識とされてきた。このために装置が大型化するだけでなく、運転・保守作業の重複・複雑化が人的要素の信頼性低下を招くことがあった。
【００１２】
本発明の目的は、複数のプロセッサを用いて装置の小型高性能化と安全性を両立する高信頼のプログラマブル電子装置を提供することにある。
【００１３】
高い安全性が要求される制御システムでは、特開平６−２９００６６号公報（特許文献１）に記載のように、複数のプロセッサの出力を照合することで、プロセッサの健全性を確認し、一致した場合のみ後段のメモリ，ＩＯに出力する手法がとられている。
【００１４】
この手法によると、各プロセッサの動作タイミングを一致させるとともに、制御入力情報も各プロセッサに同一の値が渡るよう読合せることで、出力を一致させていた。
【００１５】
しかしながら、制御対象が複雑になるにつれ、プロセッサも高性能になり、複数のプロセッサより構成された制御システムでは、ひとつのクロックを複数のプロセッサに入力しても、それぞれに出力するクロックが周波数，位相で同一になることが保障されなくなってきている。
【００１６】
このように、今後の複数プロセッサで構成された制御装置では、プロセッサ出力の同期化が困難となるため、複数プロセッサの出力同士を照合し、プロセッサの健全性を診断するには、プロセッサの出力の同期，非同期に関わらず、出力同士を照合する方式が必要である。また、プロセッサの出力同士を比較するため、複数のプロセッサで一つの処理を実行する必要があり、プロセッサ１台あたりの処理性能は通常の処理に比べ半分に低下する。
【００１７】
一方、プログラマブル電子装置には、安全性のような信頼性以外に、ネットワークの処理や、プロセッサの出力同士を照合してまでの信頼性を要求しない通常の制御処理を高速に実行し、利便性を向上したいという要求もある。特に、高速に制御処理を実行したい場合や、大量のデータを扱うネットワーク処理を実行したい場合、これらの処理を実行するプログラマブル電子装置と、信頼性を要求する処理を実行するプログラマブル電子装置を分割する必要があった。
【課題を解決するための手段】
【００１８】
上記目的を達成するために、本発明では、相対的に信頼性が高い演算の要求があった場合、複数のプロセッサで同様の演算が行われるように、複数のプロセッサの少なくとも一つに対して、相対的に信頼性が低い演算から相対的に信頼性が高い演算の実行を指示し、複数のプロセッサの演算結果を比較し、比較結果に基づいてプロセッサの演算にかかるデータの出力を許可するように構成した。
【発明の効果】
【００１９】
本発明によれば、安全性のような信頼性以外に、ネットワークの処理や、プロセッサの出力同士を照合してまでの信頼性を要求しない通常の制御処理を高速に実行し、利便性を向上することが可能となる。
【発明を実施するための最良の形態】
【００２０】
まず、発明を実施するための最良の形態を説明するにあたって概念的な説明を行うと、高信頼と高性能を必要とする制御装置において、高信頼が必要な場合は複数のプロセッサで動作し、出力同士を照合し、プロセッサを診断することにより、プロセッサの健全性を確認する機能と、プロセッサが独立の処理を行い性能向上を図る機能を備えた、ＣＰＵ出力照合を実現するものである。
【００２１】
より具体的には、以下の点を特徴とする。
（１）１つの制御装置に複数のプロセッサを備え、プロセッサ毎にアクセスするＩＯが高信頼な制御結果を期待するのか否かを判定する手段と、複数のプロセッサ出力を比較し一致していることを判定する手段と、高信頼な制御結果を期待するＩＯへのプロセッサのアクセスは、少なくとも複数のプロセッサの出力結果が一致している場合のみに許可し、単独のプロセッサがアクセスの場合、他のプロセッサが同一の出力結果を出力するまで待たせる手段を備える。
（２）１つの制御装置内に備えた複数のプロセッサは、プロセッサ毎に異なる機能を処理する実行する手段と、プロセッサから別のプロセッサの処理を中断するための手段を備える。
（３）信頼性を要求するＩＯへの出力を行う処理を実行するプロセッサは、他のプロセッサに処理を中断する手段を用いて、他のプロセッサの処理を中断し、信頼性を要求する
ＩＯへの出力を行う処理を実行させる手段を備える。
【実施例１】
【００２２】
以下、本発明の実施例を図面を用いて説明する。本発明による第１の実施の形態である制御システムの構成を図１に示す。ここでは、プロセッサが２個の場合について説明するが、実際の実施形態においてプロセッサの台数に制限は無く、それにより本発明が制約を受けることはない。
【００２３】
また、ここで説明する制御システムはメモリ回路に接続されることを前提としており、特に明示しないものとする。
【００２４】
Ａ系プロセッサ１は、制御タスクを実行し、Ｂ系プロセッサ３は通信タスクを実行するもとのする。また、Ａ系プロセッサ１とＢ系プロセッサ３は必ずしも同一周波数の同一位相で同期動作する必要もない。
【００２５】
Ａ系プロセッサ１はアドレス信号，データ信号からなるＡ系プロセッサバス５０を出力する。また、Ａ系プロセッサ１はバスアクセス開始時、バススタート信号５１をアサートする。Ａ系インターフェース部２はＡ系バスレディー信号６７または、Ａ系割込制御レディー信号６８がアサートされるまで、Ａ系ウエイト信号５２をアサートしつづける。Ａ系プロセッサ１がライトアクセスを実行する場合、Ａ系プロセッサ１はＡ系ウエイト信号
５２がアサートしている間は、Ａ系プロセッサバス５０にアドレスとデータを出力しつづける。Ａ系プロセッサがリードを実行する場合、Ａ系プロセッサ１はＡ系ウエイト信号
５２がアサートしている間は、Ａ系プロセッサバス５０にアドレスを出力しリードデータを待ち続け、Ａ系ウエイト信号５２がネゲートした時、Ａ系プロセッサバス５０上のデータの値をリード値として取り込む。
【００２６】
Ｂ系についても同様であり、Ｂ系プロセッサ３はアドレス信号，データ信号からなるＢ系プロセッサバス５５を出力する。また、Ｂ系プロセッサ３はバスアクセス開始時、バススタート信号５７をアサートする。Ｂ系インターフェース部４はＢ系バスレディー信号
６５、または、Ｂ系割込制御レディー信号６９がアサートされるまで、Ｂ系ウエイト信号５６をアサートしつづける。Ｂ系プロセッサ３がライトアクセスを実行する場合、Ｂ系プロセッサ３はウエイト信号５７がアサートしている間は、Ｂ系プロセッサバス５５にアドレスとデータを出力しつづける。Ｂ系プロセッサ３がリードを実行する場合、Ｂ系プロセッサ３はウエイト信号５６がアサートしている間は、Ｂ系プロセッサバス５５にアドレスを出力しリードデータを待ち続け、ウエイト信号５６がネゲートした時、Ｂ系プロセッサバス５５上のデータの値をリード値として取り込む。
【００２７】
Ａ系エリア判定部１３は、Ａ系プロセッサバス５０のアドレスの値より、現在アクセスするデバイスが高信頼ＩＯ１８なのか否かを判定する機能を備え、Ａ系プロセッサ１が高信頼ＩＯ１８へアクセスする場合、Ａ系高信頼アクセス信号６０をアサートする。
【００２８】
Ｂ系エリア判定部１４は、Ｂ系プロセッサバス５５のアドレスの値より、現在アクセスするデバイスが高信頼ＩＯ１８なのか否かを判定する機能を備え、Ｂ系プロセッサ３が高信頼ＩＯ１８へアクセスする場合、Ｂ系高信頼アクセス信号６１をアサートする。
【００２９】
比較部１５は、Ａ系プロセッサバス５０とＢ系プロセッサバス５５を比較する機能を備え、Ａ系プロセッサバス５０とＢ系プロセッサバス５５のアドレスとライトかリードかのアクセスタイプ，ライトデータを比較し、一致していた場合、比較結果一致信号６２をアサートする。
【００３０】
システムバスインターフェース部１６はＡ系プロセッサバス５０，Ｂ系プロセッサバス５５，Ａ系高信頼アクセス信号６０，Ｂ系高信頼アクセス信号６１，比較結果一致信号
６２に従い、システムバス１７を介して、高信頼ＩＯ１８，通常ＩＯ２０，ネットワークＩＯ２２へアクセスする。
【００３１】
高信頼ＩＯ１８は信頼性が要求される入出力装置１９に接続している。
【００３２】
通常ＩＯ２０は通常の信頼性で十分な入出力装置２１に接続している。
【００３３】
ネットワークＩＯ２２とは、ネットワーク２３とのインターフェースを取り、受信処理等のプロセッサによる処理が必要な場合、ネットワーク割込６６をアサートしプロセッサからの処理を期待する装置である。
【００３４】
エラー検出部１２はＡ系高信頼アクセス信号６０，Ｂ系高信頼アクセス信号６１，比較結果一致信号６２に従い、Ａ系プロセッサ１とＢ系プロセッサ３は正常に動作しているか障害を起こしているかを判定する機能を備え、障害を起こしていると判定した場合、障害報告信号６４をアサートする。
【００３５】
割込制御部５は、Ａ系プロセッサ１へのＡ系割込信号５３とＢ系プロセッサ３への割込信号５４を制御する機能を備え、Ａ系割込信号５３をアサートするためのＡ系割込要求レジスタ６と、割込の要因を示すＡ系割込要因レジスタ８で構成する。また、Ｂ系割込信号５４をアサートするのためのＢ系割込要求レジスタ７と、割込要因を示すＢ系割込要因レジスタ９を備える。
【００３６】
Ａ系プロセッサ１，Ｂ系プロセッサ３に独立に割り込みを与えることが可能な構造になっている。また、Ａ系割込要求レジスタ６，Ａ系割込要因レジスタ８，Ｂ系割込要求レジスタ７，Ｂ系割込要因レジスタ９はＡ系プロセッサ１とＢ系プロセッサ３からアクセスすることが可能な構造になっている。
【００３７】
さらに、外部から障害報告信号６４とネットワーク割込６６が入ってくる。Ａ系割込信号５３は、Ａ系割込要求レジスタ６から発生する割り込みか、障害報告信号６４とから発生する割り込みを伝える。ここで、障害報告信号６４とから発生する割り込みは、Ａ系割込要求レジスタ６から発生する割り込みより優先する。
【００３８】
Ｂ系割込信号５４は、Ｂ系割込要求レジスタ７から発生する割り込みか、ネットワーク割込６６，障害報告信号６４から発生する割り込みを伝える。ここで、障害報告信号６４から発生する割り込みは、Ｂ系割込要求レジスタ７から発生する割り込みより優先し、Ｂ系割込要求レジスタ７から発生する割り込みは、ネットワーク割込６６より優先する。つまり、優先順に並べると、障害報告信号６４とから発生する割り込み、Ｂ系割込要求レジスタ７から発生する割り込み、ネットワーク割込６６の順序になる。
【００３９】
図２は、システムバスインターフェース部１６の動作状態を説明する状態遷移図である。
【００４０】
システムバスインターフェース部１６は、図２に示す４つの状態を持っている。
【００４１】
状態２００はアイドル状態を示していて、Ａ系プロセッサ１，Ｂ系プロセッサ３ともにシステムバス１７にアクセスしていない状態を示している。
【００４２】
状態２０１はＡ系プロセッサアクセス状態を示していて、Ａ系プロセッサ１が通常ＩＯ１８をアクセスしていることを示している。
【００４３】
状態２０２はＢ系プロセッサアクセス状態を示していて、Ｂ系プロセッサ３がネットワークＩＯ２２をアクセスしていることを示している。
【００４４】
状態２０３はＡ系とＢ系のプロセッサが高信頼ＩＯ１８へアクセスしている状態を示している。
【００４５】
状態２００から状態２０１への遷移条件２０４は、Ａ系プロセッサ１がアクセスを開始し、かつ、Ａ系高信頼アクセス信号６０がアサートしていない条件で成立する。
【００４６】
状態２００から状態２０２への遷移条件２０６は、Ａ系プロセッサ１がアクセスを開始しておらず、かつ、Ｂ系プロセッサ３がアクセスを開始し、かつ、Ｂ系高信頼アクセス信号６１がアサートしていない条件で成立する。
【００４７】
状態２００から状態２０３への遷移条件２０８は、Ａ系プロセッサ１がアクセスを開始し、かつ、Ａ系高信頼アクセス信号６０がアサートし、かつ、Ｂ系プロセッサ３がアクセスを開始し、かつ、Ｂ系高信頼アクセス信号６１がアサートし、なおかつ、比較結果一致信号６２がアサートしている条件で成立する。この条件は、Ａ系プロセッサ１，Ｂ系プロセッサ３がともに、高信頼ＩＯ１８の同一アドレスへアクセスしていることを示す。
【００４８】
遷移条件２０５は、通常ＩＯ２０からシステムバス１７を介してアクセス完了を示す報告により成立し、遷移条件２０７は、ネットワークＩＯ２２からシステムバス１７を介してアクセス完了を示す報告により成立し、遷移条件２０９は、高信頼ＩＯ１８からシステムバス１７を介してアクセス完了を示す報告により成立する。
【００４９】
この状態遷移によりシステムバスインターフェース部１６は、Ａ系エリア判定部１３，Ｂ系エリア判定部１４の判定結果に従い、Ａ系プロセッサ１，Ｂ系プロセッサ３の要求に応じ、システムバス１７に接続した高信頼ＩＯ１８,通常ＩＯ２０,ネットワークＩＯ２２のいずれか一つのアクセスを許可する。特に、高信頼ＩＯ１８へのアクセスは、Ａ系プロセッサ１，Ｂ系プロセッサ３がともに、高信頼ＩＯ１８の同一アドレスへアクセスしていることを示す遷移条件２０８が成立する必要がある。
【００５０】
また、Ａ系バスレディー信号６７は遷移条件２０５と遷移条件２０９が成立した時にアサートし、Ｂ系バスレディー信号６５は遷移条件２０７と遷移条件２０９が成立した時にアサートする。
【００５１】
図３はエラー検出部１２の動作を示した状態遷移図である。
【００５２】
状態３００はアイドル状態でＡ系プロセッサ，Ｂ系プロセッサ共に高信頼ＩＯ１８にアクセスしていない状態を示す。
【００５３】
状態３０１はＡ系プロセッサ１が高信頼ＩＯ１８をアクセスし、自プロセッサの出力と同じ出力をＢ系プロセッサ３が出力するまで待っている状態である。
【００５４】
状態３０２はＡ系プロセッサ１が高信頼ＩＯ１８をアクセスし、自プロセッサの出力と同じ出力をＢ系プロセッサ３が出力するまで待機していたが、一定時間経過し、タイムアウトエラーと判定した状態である。
【００５５】
状態３０３はＡ系プロセッサ１とＢ系プロセッサ３が高信頼ＩＯ１８をアクセスしたが、それぞれのプロセッサの出力が一致していなくエラー判定した状態である。
【００５６】
状態３０５はＢ系プロセッサ３が高信頼ＩＯ１８をアクセスし、自プロセッサの出力と同じ出力をＡ系プロセッサ１が出力するまで待っている状態である。
【００５７】
状態３０４はＢ系プロセッサ３が高信頼ＩＯ１８をアクセスし、自プロセッサの出力と同じ出力をＡ系プロセッサ１が出力するまで待機していたが、一定時間経過し、タイムアウトエラーと判定した状態である。
【００５８】
遷移条件３０６は、Ａ系高信頼アクセス信号６０がアサートし、Ｂ系高信頼アクセス信号６１がアサートしていない条件で成立する。
【００５９】
遷移条件３０７は、Ｂ系高信頼アクセス信号６１がアサートし、比較結果一致信号６２がアサートした条件で成立する。
【００６０】
遷移条件３０９は、Ｂ系高信頼アクセス信号６１がアサートし、比較結果一致信号６２がアサートしない条件で成立する。
【００６１】
遷移条件３０８は、遷移条件３０７，３０９が成立しないで、一定時間経過した条件で成立する。
【００６２】
遷移条件３１６は、Ｂ系高信頼アクセス信号６１がアサートし、Ａ系高信頼アクセス信号６０がアサートしていない条件で成立する。
【００６３】
遷移条件３１５は、Ａ系高信頼アクセス信号６０がアサートし、比較結果一致信号６２がアサートした条件で成立する。
【００６４】
遷移条件３１２は、Ａ系高信頼アクセス信号６０がアサートし、Ｂ系高信頼アクセス信号６１がアサートし、比較結果一致信号６２がアサートしない条件で成立する。
【００６５】
遷移条件３１３は、遷移条件３１５，３１２が成立しないで、一定時間経過した条件で成立する。
【００６６】
遷移条件３１７は、Ａ系高信頼アクセス信号６０がアサートし、Ｂ系高信頼アクセス信号６１がアサートし、比較結果一致信号６２がアサートしない条件で成立する。
【００６７】
遷移条件３１０，３１１，３１４は常に成り立っており、状態３０２，３０３，３０４へ遷移した次のサイクルで状態３００へ遷移することを意味する。
【００６８】
エラー検出部１２は、Ａ系プロセッサ１とＢ系プロセッサ３の高信頼ＩＯ１８へのアクセス状態を管理し、高信頼ＩＯ１８へのアクセスするプロセッサは、自プロセッサの出力と他系のプロセッサの出力が一致しない場合や、他プロセッサが一定時間内に高信頼ＩＯ１８へアクセスしない場合、状態３０２，３０３，３０４に遷移し、この状態３０２，
３０３，３０４時に障害報告信号６４をアサートする。
【００６９】
また高信頼ＩＯ１８は、障害報告信号６４がアサートされると、障害が発生したことを認識し、出力を安全な状態に切り替える。ここで安全な状態とは、現在の出力を保持し続ける場合が安全な状態である場合や、電源が切断した場合と同じ状態が安全である場合もあり、制御する対象に毎に異なる。さらに、エラー検出部１２は、障害が発生するとＡ系プロセッサ１とＢ系プロセッサ３に対して割込信号５３，５４を用いて障害割り込みを報告する。障害割り込みを受けたプロセッサは速やかに現状の処理を中断し、障害処理を実行するものとする。
【００７０】
図４はＡ系プロセッサ１とＢ系プロセッサ３の正常時の処理動作を示したタイミングチャートである。
【００７１】
Ａ系プロセッサ１は制御タスク０から順次タスクを処理し、最後の制御タスクｎの処理が終了すると、Ｂ系プロセッサ高信頼タスクを起動するための起動タスクを実行する。この起動タスクは割込制御部５内部のＢ系割込要求レジスタ７にアクセスすることによりＢ系プロセッサ３に割り込みを発生させて終了する。次にＡ系プロセッサ１は高信頼タスクを実行する。この高信頼タスクは、高信頼ＩＯ１８に接続した、信頼性が要求される入出力装置１９への制御を行う。Ａ系プロセッサ１は制御タスク０から高信頼タスクまでの一連の処理を周期的に実行する。
【００７２】
一方Ｂ系プロセッサ３はネットワークＩＯ２２から発生するネットワーク割り込みに従い、通信タスクを逐次処理していき、Ａ系プロセッサ１が実行した起動タスクにより割り込みを受信すると、Ａ系プロセッサと同一の高信頼タスクを実行する。このためＡ系プロセッサ１とＢ系プロセッサ３は同一の処理を行うことになり２つのプロセッサの出力が一致していることを保障することができる。Ｂ系プロセッサ３は、高信頼タスクの処理が終了すると再び、ネットワークＩＯ２２から発生するネットワーク割込６６に従い、通信タスクを逐次処理していく。なお、Ｂ系プロセッサ３は、割り込みを受信し、処理が完了すると、割込制御部５へアクセスし、割込要因をクリアするものとする。
【００７３】
また、割込制御部５は、Ｂ系割込要求レジスタ７にアクセスすることにより発生する割り込みがＢ系プロセッサ３に入っている間は、優先度の低いネットワーク割込６６をマスクするため、Ｂ系プロセッサ３が高信頼タスクを実行している間は、ネットワーク割込６６が入らず、処理を中断しない。
【００７４】
以上、信頼性を保証する処理を実行するときは、複数のプロセッサで処理を行い、複数の出力結果を比較し、一致している場合のみ出力することにより、信頼性が向上し、信頼性を重要視しない処理は、複数のプロセッサが独立に動作し、処理性能が向上することができる。
【図面の簡単な説明】
【００７５】
【図１】本発明による、計算機システムの構成。
【図２】本発明による、システムバスインターフェース部の動作を示した状態遷移図。
【図３】本発明による、エラー検出部の動作を示した状態遷移図。
【図４】本発明による、２つのプロセッサの処理動作を示したタイミングチャート。
【符号の説明】
【００７６】
１…Ａ系プロセッサ、３…Ｂ系プロセッサ、５…割込制御部、１２…エラー検出部、
１３…Ａ系エリア判定部、１４…Ｂ系エリア判定部、１５…比較部、１６…システムバスインターフェース部、１７…システムバス、１８…高信頼ＩＯ、２０…通常ＩＯ、２２…ネットワークＩＯ。
【図１】
2007011639.tif 000003
【図２】
2007011639.tif 000004
【図３】
2007011639.tif 000005
【図４】
2007011639.tif 000006