JP7605697B2

JP7605697B2 - Calculation unit

Info

Publication number: JP7605697B2
Application number: JP2021092236A
Authority: JP
Inventors: 尉久大森
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2021-06-01
Filing date: 2021-06-01
Publication date: 2024-12-24
Anticipated expiration: 2041-06-01
Also published as: JP2022184410A

Description

本発明は、演算装置に関し、特に、鉄道保安装置のような、安全に現場機器を制御する保安装置等に用いる演算装置に関する。 The present invention relates to a computing device, and in particular to a computing device used in a safety device that safely controls on-site equipment, such as a railway safety device.

信号灯や転てつ機を制御する鉄道保安装置では、装置の故障が重大事故につながる可能性がある。従って、鉄道保安装置では装置が故障した場合においても、装置全体を安全側に制御するフェールセーフによる構成が不可欠となる。ここで、「フェールセーフ」とは、部品等の故障により、重大事故を招くような危険側制御とならないことをいう。危険側制御にならないようにするため、故障を確実に検出する回路を付加することにより、安全側制御となるような構成としている。 In railway safety devices that control signal lights and points, equipment failure can lead to serious accidents. Therefore, it is essential for railway safety devices to have a fail-safe configuration that controls the entire device safely even if the device fails. Here, "fail-safe" means that failure of a part or other component will not result in dangerous control that could lead to a serious accident. To prevent dangerous control, a circuit that reliably detects failures is added to ensure safe control.

フェールセーフによく用いられる構成としては、複数のプロセッサで同一処理を行い各プロセッサの処理結果を比較照合する多重系に構成とするものである。このことで１つの系で回路や部品に異常が起きた場合、別な系との違いにより故障を検知する。 A commonly used configuration for fail-safe is a multiplexed system in which the same processing is carried out by multiple processors and the results of each processor are compared and collated. In this way, if an abnormality occurs in a circuit or component in one system, the failure can be detected by the difference with the other systems.

例えば、特許文献１には、複数のプロセッサで同一処理を行い、すべてのプロセッサの処理結果を比較照合し、比較照合結果が同一の場合に処理は正当と診断する動作比較装置が記載されている。 For example, Patent Document 1 describes an operation comparison device that performs the same process using multiple processors, compares and collates the processing results of all the processors, and diagnoses the process as valid if the comparison and collation results are identical.

特開２００４－２３４１４４号公報JP 2004-234144 A

一般的なマイコン回路ではプログラムを保存したり演算動作させたりするためのワーク領域として使用するメモリや外部との通信などデータ入出力を行うためのＩＯ等いろいろなインターフェースを持つものが殆どである。 Most typical microcontroller circuits have various interfaces, such as memory used as a work area for storing programs and performing calculations, and IO for data input and output, such as for communicating with the outside world.

しかし、これらについて、特許文献１のように診断する場合、電子部品の特性に固有のばらつきがあると、正常時の処理においても、処理のタイミングがずれる可能性が生じる。この場合は、異常と判断されて、システムが停止等して処理の効率が悪くなる。 However, when diagnosing these as described in Patent Document 1, if there is inherent variation in the characteristics of electronic components, there is a possibility that the timing of processing may be off even during normal processing. In this case, it will be judged as an abnormality, and the system will stop, etc., resulting in poor processing efficiency.

本発明は、上記課題に鑑みて、複数の系の処理の比較を的確に行いつつ効率化を図ることができる演算装置を提供することを目的とする。 In view of the above problems, the present invention aims to provide a computing device that can accurately compare the processing of multiple systems while improving efficiency.

上記目的を達成するため、代表的な本発明の演算装置の一つは、複数の系の回路と、比較器とを備え、前記複数の系の回路は、それぞれ、入力データを受信する入力部と、前記入力部からの入力データに対して信号処理を行う処理部と、メモリとを有し、前記比較器は、それぞれの系の回路における前記処理部の処理が互いに一致しているか否かを比較し、いずれかの系の回路における処理部の処理が遅れている場合は、それ以外の系の処理部の処理を遅らせることで各系の処理部の処理のタイミングを合わせ、前記比較器は、それぞれの系の回路における前記メモリからアクセス不可能な状態を示すビジー状態とアクセス可能な状態を示すレディー状態の情報を含むメモリステータス信号を入力し、前記メモリステータス信号が回路ごとでビジー状態とレディー状態が異なる場合は、レディー状態の方の回路の処理部を停止するためのウエイト信号を送り、前記メモリステータス信号の状態がいずれもレディー状態になった場合は、前記ウエイト信号の送信を停止することを特徴とする。 In order to achieve the above object, one representative arithmetic device of the present invention comprises a plurality of system circuits and a comparator, each of the plurality of system circuits having an input unit that receives input data, a processing unit that performs signal processing on the input data from the input unit, and a memory, the comparator compares whether the processing of the processing units in the circuits of each system is consistent with each other, and if the processing of the processing unit in any of the circuits of the system is delayed, the processing of the processing units of the other systems is delayed to synchronize the timing of the processing of the processing units of each system , the comparator inputs a memory status signal including information on a busy state indicating a state in which the memory is inaccessible and a ready state indicating a state in which the memory is accessible from the circuit of each system, and if the busy state and ready state of the memory status signal differ for each circuit, it sends a wait signal to stop the processing unit of the circuit in the ready state, and if the states of the memory status signals all become ready, it stops sending the wait signal.

本発明によれば、演算装置において、複数の系の処理の比較を的確に行いつつ効率化を図ることができる。
上記以外の課題、構成及び効果は、以下の実施形態により明らかにされる。 According to the present invention, in a computing device, it is possible to accurately compare the processes of a plurality of systems while improving efficiency.
Problems, configurations and effects other than those described above will become apparent from the following embodiments.

図１は、本発明の実施例１のハードウェア構成例を示すブロック図である。FIG. 1 is a block diagram showing an example of a hardware configuration according to a first embodiment of the present invention. 図２は、本発明の実施例１の動作例を説明する図である。FIG. 2 is a diagram for explaining an example of operation of the first embodiment of the present invention. 図３は、本発明の実施例２のハードウェア構成例を示すブロック図である。FIG. 3 is a block diagram illustrating an example of a hardware configuration according to the second embodiment of the present invention. 図４は、本発明の実施例２の動作例を説明する図である。FIG. 4 is a diagram for explaining an example of operation of the second embodiment of the present invention. 図５は、本発明の実施例３のハードウェア構成例を示すブロック図である。FIG. 5 is a block diagram showing an example of a hardware configuration according to the third embodiment of the present invention.

本発明を実施するための形態を説明する。本発明は、信号灯や転てつ機等を制御する鉄道保安装置等の安全に現場機器を制御する保安装置等に用いることができる。 The following describes an embodiment of the present invention. The present invention can be used in railway safety devices that safely control on-site equipment, such as signal lights and switches.

（実施例１）
図１は、本発明の実施例１のハードウェア構成例を示すブロック図である。 Example 1
FIG. 1 is a block diagram showing an example of a hardware configuration according to a first embodiment of the present invention.

図１では、同一回路や同一部品を多重系に構成とすることで1つの系で回路や部品に異常が起きた場合、別な系との違いにより故障を検知する方式を適用している。図１は、２つのマイコン１、２で冗長構成を取る方式である。これをフェールセーフＣＰＵと呼ぶ。これは２つのマイコン１、２がそれぞれ同一周波数、同一プログラムで且つ同一ステップで動作し、比較器１７によりこれら２つのマイコン動作を常時監視する。このことで一方のマイコンに異常が起きたかどうかを比較器１７で検知するというものである。図１は実施例１のフェールセーフＣＰＵの基本的構成を示したブロック図であり。Ａ系回路９とＢ系回路１０と比較器１７で構成されている。 In Fig. 1, the same circuits and components are configured in multiple systems, and if an abnormality occurs in a circuit or component in one system, the failure is detected by the difference with the other system. Fig. 1 shows a redundant configuration with two microcomputers 1 and 2. This is called a fail-safe CPU. The two microcomputers 1 and 2 each operate at the same frequency, with the same program and in the same steps, and a comparator 17 constantly monitors the operation of these two microcomputers. This allows the comparator 17 to detect whether an abnormality has occurred in one of the microcomputers. Fig. 1 is a block diagram showing the basic configuration of the fail-safe CPU of the first embodiment. It is composed of an A system circuit 9, a B system circuit 10 and a comparator 17.

Ａ系回路９には、Ａ系マイコン１、Ａ系データ１５の入出力を行うＡ系ＩＯ５、Ａ系メモリ３を備えている。Ａ系マイコン１は、Ａ系マイコンバス信号線７で接続され、Ａ系メモリ３とＡ系ＩＯ５もＡ系マイコンバス信号線７と接続されている。Ａ系メモリ３は自身の状態をＡ系マイコン１へ報告するＡ系メモリステータス信号１３が出力可能な構成である。 The A-system circuit 9 includes an A-system microcomputer 1, an A-system IO 5 that inputs and outputs A-system data 15, and an A-system memory 3. The A-system microcomputer 1 is connected by an A-system microcomputer bus signal line 7, and the A-system memory 3 and A-system IO 5 are also connected to the A-system microcomputer bus signal line 7. The A-system memory 3 is configured to be able to output an A-system memory status signal 13 that reports its own status to the A-system microcomputer 1.

Ａ系マイコン１は、Ａ系ＩＯ５からの入力データに対して信号処理を行う処理部である。Ａ系メモリ３は、Ａ系マイコン１の処理に必要な情報を一時的に記憶する。これらは、これらの機能を達成するための電子部品で構成される。 The A-system microcomputer 1 is a processing unit that performs signal processing on input data from the A-system IO 5. The A-system memory 3 temporarily stores information required for the processing of the A-system microcomputer 1. These are composed of electronic components to achieve these functions.

Ｂ系回路１０には、Ｂ系マイコン２、Ｂ系データ１６の入出力を行うＢ系ＩＯ６、Ｂ系メモリ４を備えている。Ｂ系マイコン２は、Ｂ系マイコンバス信号線８で接続され、Ｂ系メモリ４とＢ系ＩＯ６もＢ系マイコンバス信号線８と接続されている。Ｂ系メモリ４は自身の状態をＢ系マイコン２へ報告するＢ系メモリステータス信号１４が出力可能な構成である。 The B system circuit 10 includes a B system microcomputer 2, a B system IO 6 that inputs and outputs B system data 16, and a B system memory 4. The B system microcomputer 2 is connected by a B system microcomputer bus signal line 8, and the B system memory 4 and the B system IO 6 are also connected to the B system microcomputer bus signal line 8. The B system memory 4 is configured to be able to output a B system memory status signal 14 that reports its own status to the B system microcomputer 2.

Ｂ系マイコン２は、Ｂ系ＩＯ６からの入力データに対して信号処理を行う処理部である。Ｂ系メモリ４は、Ｂ系マイコン２の処理に必要な情報を一時的に記憶する。これらは、これらの機能を達成するための電子部品で構成される。 The B-system microcomputer 2 is a processing unit that performs signal processing on input data from the B-system IO 6. The B-system memory 4 temporarily stores information required for processing by the B-system microcomputer 2. These are composed of electronic components to achieve these functions.

比較器１７は、Ａ系マイコンバス信号線７とＢ系マイコンバス信号線８とそれぞれ接続され、情報を取得可能である。そして、比較器１７は、これらの信号線からの情報の比較を行う。このときの比較はＡ系回路９とＢ系回路１０がそれぞれ同一周波数、同一プログラムで且つ同一ステップで動作する事を前提として行う。そして、それぞれのマイコンバス信号線７、８からのマイコンバス信号の状態を比較する。具体的にマイコンバス信号にはアドレス信号、データ信号、制御信号がある。これら信号の電圧レベルをある時間単位で比較し、１本でも異なる状態を検出すると一方が故障したと判断し比較不一致として異常動作報告をする。これらの構成により、比較器１７によりＡ系回路９とＢ系回路１０の的確な比較を行うことができる。 The comparator 17 is connected to the A-system microcomputer bus signal line 7 and the B-system microcomputer bus signal line 8, respectively, and can acquire information. The comparator 17 compares the information from these signal lines. This comparison is performed on the premise that the A-system circuit 9 and the B-system circuit 10 operate at the same frequency, with the same program, and in the same steps. The comparator 17 then compares the state of the microcomputer bus signals from the respective microcomputer bus signal lines 7 and 8. Specifically, the microcomputer bus signals include address signals, data signals, and control signals. The voltage levels of these signals are compared in a certain time unit, and if a different state is detected in even one line, it is determined that one of them has failed, and a comparison mismatch is reported as an abnormal operation. With this configuration, the comparator 17 can accurately compare the A-system circuit 9 and the B-system circuit 10.

Ａ系メモリ３は、Ａ系マイコン１がＡ系メモリ３に対して書込や読込を行う時にＡ系メモリ３自身の状態を示すＡ系メモリステータス信号１３を出力する。これはＡ系マイコン１が書込や読込を行った際にＡ系メモリ３内部処理によってビジー状態かレディー状態かを示すものである。このＡ系メモリステータス信号１３がビジー状態ではアクセス不可能な状態を示し、レディー状態ではアクセス可能な状態を示す。すなわちアクセス可能とするためにはレディー状態になるのを待つことになる。 When the A-system microcomputer 1 writes to or reads from the A-system memory 3, the A-system memory 3 outputs an A-system memory status signal 13 indicating the state of the A-system memory 3 itself. This indicates whether the A-system memory 3 is in a busy or ready state due to internal processing when the A-system microcomputer 1 writes to or reads from the A-system memory 3. When the A-system memory status signal 13 is in a busy state, it indicates that access is not possible, and when it is in a ready state, it indicates that access is possible. In other words, in order to make it accessible, you must wait until it becomes ready.

同様にＢ系メモリ４は、Ｂ系マイコン２がＢ系メモリ４に対して書込や読込を行う時にＢ系メモリ４自身の状態を示すステータス信号１４を出力する。これはＢ系マイコン２が書込や読込を行った際にＢ系メモリ４内部処理によってビジー状態かレディー状態かを示すものである。このＢ系メモリステータス信号１４がビジー状態ではアクセス不可能な状態を示し、レディー状態ではアクセス可能な状態を示す。すなわちアクセス可能とするためにはレディー状態になるのを待つことになる。 Similarly, when the B-system memory 4 is written to or read from by the B-system microcomputer 2, the B-system memory 4 outputs a status signal 14 indicating the state of the B-system memory 4 itself. This indicates whether the B-system memory 4 is in a busy or ready state due to internal processing when the B-system microcomputer 2 writes or reads. When this B-system memory status signal 14 is in a busy state, it indicates that access is not possible, and when it is in a ready state, it indicates that access is possible. In other words, in order to make it accessible, you must wait until it becomes ready.

図２は、本発明の実施例１の動作例を説明する図である。ここでは各マイコン１、２のステップごとの処理について説明する。 Figure 2 is a diagram for explaining an example of the operation of the first embodiment of the present invention. Here, the processing for each step of each microcomputer 1 and 2 is explained.

Ａ系マイコン１の処理Ａ１において、Ａ系メモリ３に対して書込や読込を行う場合、Ａ系メモリ３がレディー状態の場合に処理Ａ１応答を行う。これによりＡ系マイコン１では、Ａ系メモリ３からの情報に基づいた処理Ａ１を行う。同時にＢ系マイコン２の処理Ｂ１において、書込や読込を行う場合、Ｂ系メモリ４はレディー状態の場合に処理Ｂ１応答を行う。これによりＢ系マイコン２では、Ｂ系メモリ４からの情報に基づいた処理Ｂ１を行う。 In process A1 of the A-system microcomputer 1, when writing or reading to the A-system memory 3, a process A1 response is made if the A-system memory 3 is in a ready state. As a result, the A-system microcomputer 1 performs process A1 based on information from the A-system memory 3. At the same time, in process B1 of the B-system microcomputer 2, when writing or reading is made, a process B1 response is made if the B-system memory 4 is in a ready state. As a result, the B-system microcomputer 2 performs process B1 based on information from the B-system memory 4.

比較器１７では、Ａ系マイコン１の処理Ａ１とＢ系マイコン２の処理Ｂ１のタイミングが同じである場合、一致しているとして当該処理は正当と判定される。また、Ａ系マイコン１の処理Ａ２とＢ系マイコン２の処理Ｂ２でも同様である。 When the timing of process A1 of the A-system microcomputer 1 and process B1 of the B-system microcomputer 2 are the same, the comparator 17 judges that they match and that the processes are valid. The same is true for process A2 of the A-system microcomputer 1 and process B2 of the B-system microcomputer 2.

一方、Ｂ系マイコン２の処理Ｂ３では、Ｂ系メモリ４に対して書込や読込を行う場合、Ｂ系メモリ４がビジー状態の場合を示す。この場合、Ｂ系メモリステータス信号１４がビジー状態を示し、Ｂ系マイコン２は処理を待機（ウエイト）する。そして、ビジー状態が終了し、レディー状態になったときに処理Ｂ３応答を行う。このためビジー状態で待機していた分だけ処理が遅くなる。一方で、Ａ系メモリ３がビジー状態でない場合は、Ａ系マイコン１は処理Ａ３を終えて、処理Ａ４へ移行する。そうすると、Ａ系マイコン１の処理Ａ４のタイミングで、Ｂ系マイコン２の処理Ｂ３が継続しており、比較器１７は不一致を検出する。 Meanwhile, in process B3 of the B system microcomputer 2, when writing or reading from the B system memory 4, this indicates that the B system memory 4 is busy. In this case, the B system memory status signal 14 indicates a busy state, and the B system microcomputer 2 waits for processing. Then, when the busy state ends and the B system microcomputer 2 enters a ready state, it responds with process B3. This slows down the processing by the amount of time it takes to wait in the busy state. On the other hand, if the A system memory 3 is not busy, the A system microcomputer 1 finishes process A3 and moves on to process A4. Then, at the timing of process A4 of the A system microcomputer 1, process B3 of the B system microcomputer 2 is continuing, and the comparator 17 detects a mismatch.

比較器１７が不一致を検知するとＡ系マイコン１、Ｂ系マイコン２のいずれも停止する処理を行う。このため、以降はシステムを再起動して使用する必要がある。 When comparator 17 detects a mismatch, it performs processing to stop both A-system microcomputer 1 and B-system microcomputer 2. As a result, the system must be restarted before it can be used again.

実施例１では、比較器１７で２つの系のＡ系マイコン１とＢ系マイコン２の一致と不一致を検知することで、的確な比較を行うことができる。しかしながら、上記したＢ系マイコン２の処理Ｂ３における不一致は不具合によらない場合が想定される。 In the first embodiment, the comparator 17 detects whether the A-system microcomputer 1 and the B-system microcomputer 2 of the two systems match or mismatch, allowing accurate comparison. However, it is assumed that the mismatch in process B3 of the B-system microcomputer 2 described above is not due to a malfunction.

例えば、マイコン回路に使用しているメモリやＩＯは電子部品であり同一メーカ、同一型式品であって、不良品でないとしても特性のある程度のばらつきがある。ばらつき度合いは、個々の部品の製造プロセスや経年劣化も影響する。このような場合は、マイコン回路が必ずしも同一動作をすることが保証されない。特に、マイコンに入力される信号の場合である。具体的には入力データや割り込み信号が最も代表的であるが、その他の外部のステータス信号なども考えられる。 For example, the memory and IO used in microcontroller circuits are electronic components made by the same manufacturer and are the same model, and even if they are not defective, there will be a certain degree of variation in their characteristics. The degree of variation is also affected by the manufacturing process and deterioration of each individual part over time. In such cases, it is not guaranteed that the microcontroller circuit will necessarily operate in the same way. This is especially true for signals input to the microcontroller. Specifically, input data and interrupt signals are the most typical examples, but other external status signals are also possible.

このような場合、それぞれの系の同一信号が部品のバラツキによって異なるタイミングで入力される。場合によっては故障でないのに、クロックを跨いでしまうような差が出ることもある。そうすると、比較不一致として故障でもないのにかかわらず異常を検出してしまう。また、個々の部品ばらつきは、製造プロセスや経年劣化による影響で時間的な長さが変わる。このような問題を解決する例を実施例２、３に示す。 In such cases, the same signals for each system are input at different times due to component variations. In some cases, differences that cross clocks may occur even when there is no malfunction. When this happens, an anomaly is detected as a comparison mismatch even when there is no malfunction. Also, the length of time for individual component variations changes due to the manufacturing process and deterioration over time. Examples of solving such problems are shown in Examples 2 and 3.

（実施例２）
図３は、本発明の実施例２のハードウェア構成例を示すブロック図である。実施例２では、実施例１と異なる点について主に説明し、同一の箇所には同一の符号を付してあり、特に説明がない部分は同じ説明を省略している。 Example 2
3 is a block diagram showing an example of a hardware configuration of a second embodiment of the present invention. In the second embodiment, differences from the first embodiment will be mainly described, the same parts are given the same reference numerals, and the same description of parts that are not particularly described will be omitted.

実施例２では、実施例１の構成に対してメモリ３、４のステータス信号１３、１４を比較器１７経由で送信し、マイコン１、２へはウエイト信号１８、１９を送信する構成である。 In the second embodiment, in contrast to the configuration of the first embodiment, status signals 13 and 14 from memories 3 and 4 are sent via a comparator 17, and wait signals 18 and 19 are sent to microcomputers 1 and 2.

Ａ系回路９’には、Ａ系マイコン１、データの入出力を行うＡ系ＩＯ５、Ａ系メモリ３を備えている。Ａ系マイコン１はＡ系マイコンバス信号線７で接続され、Ａ系メモリ３、Ａ系ＩＯ５もＡ系マイコンバス信号線７と接続されている。Ａ系メモリ３は自身の状態を比較器１７経由でＡ系マイコン１へ報告するＡ系メモリステータス信号１３が出力可能な構成である。 The A-system circuit 9' includes an A-system microcomputer 1, an A-system IO 5 which inputs and outputs data, and an A-system memory 3. The A-system microcomputer 1 is connected by an A-system microcomputer bus signal line 7, and the A-system memory 3 and A-system IO 5 are also connected to the A-system microcomputer bus signal line 7. The A-system memory 3 is configured to be able to output an A-system memory status signal 13 which reports its own status to the A-system microcomputer 1 via a comparator 17.

実施例２もフェールセーフＣＰＵであり、Ａ系回路９’に加え同一構成のＢ系回路１０’がもう１系統存在する。Ｂ系回路１０’には、Ｂ系マイコン２、Ｂ系メモリ４、データの入出力を行うＢ系ＩＯ６を備えている。Ｂ系マイコン２は、Ｂ系マイコンバス信号線８で接続され、Ｂ系メモリ４、Ｂ系ＩＯ６もＢ系マイコンバス信号線８と接続されている。Ｂ系メモリ４は自身の状態を比較器１７経由でＢ系マイコン２へ報告するＢ系メモリステータス信号１４が出力可能な構成である。 The second embodiment is also a fail-safe CPU, and in addition to the A system circuit 9', there is another B system circuit 10' with the same configuration. The B system circuit 10' includes a B system microcontroller 2, a B system memory 4, and a B system IO 6 that inputs and outputs data. The B system microcontroller 2 is connected by a B system microcontroller bus signal line 8, and the B system memory 4 and the B system IO 6 are also connected to the B system microcontroller bus signal line 8. The B system memory 4 is configured to be able to output a B system memory status signal 14 that reports its own status to the B system microcontroller 2 via a comparator 17.

比較器１７は、Ａ系マイコンバス信号線７とＢ系マイコンバス信号線８にそれぞれ接続され、情報を取得可能である。そして、比較器１７は、これらの信号線からの情報の比較を行う。図１の実施例１と異なるのはＡ系メモリステータス信号１３とＢ系メモリステータス信号１４が直接Ａ系マイコン１、Ｂ系マイコン２へ送信されていない点である。実施例２の構成ではＡ系メモリステータス信号１３とＢ系メモリステータス信号１４は、どちらも１度比較器１７に入力する。そして、Ａ系ウエイト信号１８はＡ系マイコン１へ出力する。Ｂ系ウエイト信号１９はＢ系マイコン２へ出力する。 The comparator 17 is connected to the A-system microcomputer bus signal line 7 and the B-system microcomputer bus signal line 8, respectively, and can acquire information. The comparator 17 compares the information from these signal lines. This differs from the first embodiment in FIG. 1 in that the A-system memory status signal 13 and the B-system memory status signal 14 are not sent directly to the A-system microcomputer 1 and the B-system microcomputer 2. In the configuration of the second embodiment, the A-system memory status signal 13 and the B-system memory status signal 14 are both input to the comparator 17 once. The A-system wait signal 18 is then output to the A-system microcomputer 1. The B-system wait signal 19 is output to the B-system microcomputer 2.

ここで比較器１７を経由する理由は、それぞれのアクセスに対するメモリ３、４の状態をチェックし、どちらの系もレディー状態かビジー状態かをチェックするためである。仮にそれぞれの系がメモリアクセスをした際に、Ａ系メモリ３がレディー状態、Ｂ系メモリ４がビジー状態になる場合について考える。この場合は、Ａ系メモリ３へのアクセスが終了しているのに対してＢ系メモリ４へのアクセスは待機（ウエイト）させられる。このため、この処理でＢ系マイコン２が停滞する事になる。 The reason for going through comparator 17 here is to check the state of memories 3 and 4 for each access and to check whether both systems are ready or busy. Consider the case where, when each system accesses memory, A system memory 3 is ready and B system memory 4 is busy. In this case, while access to A system memory 3 has ended, access to B system memory 4 is put on hold. This causes the B system microcomputer 2 to stagnate during this process.

このため上述した実施例１の場合は、この差によって比較不一致が発生し異常と判断してしまう。実施例２では、これを回避するため、ビジー状態の方の処理にウエイトされるＢ系メモリ４へのアクセスに合わせて、Ａ系メモリ３へのアクセスを意図的に遅らせる方式を取る。つまり、ビジー状態となるＢ系に合わせてＡ系をウエイトさせる。そして、Ｂ系メモリのビジー状態が終了してレディー状態となった場合に、これに合わせてＡ系メモリ３へのアクセスを再開する。そうする事によって処理が遅れた系のアクセスに合わせることになり不要な比較不一致を回避することが可能となる。 For this reason, in the case of the above-mentioned embodiment 1, this difference causes a comparison mismatch, which is judged to be an anomaly. To avoid this, embodiment 2 adopts a method of intentionally delaying access to the A system memory 3 to match the access to the B system memory 4 that is waiting for processing of the busy system. In other words, the A system is made to wait to match the B system that is in a busy state. Then, when the busy state of the B system memory ends and it becomes ready, access to the A system memory 3 is resumed accordingly. By doing so, it is possible to match the access of the delayed system and avoid unnecessary comparison mismatches.

次に、同期方法について説明する。例として、マイコン１、２がメモリ３、４へアクセスする際の動作を説明する。 Next, we will explain the synchronization method. As an example, we will explain the operation when microcomputers 1 and 2 access memories 3 and 4.

Ａ系回路９’のＡ系マイコン１がＡ系メモリ３にアクセスするとＢ系回路１０’でもＢ系マイコン２がＢ系メモリ４へのアクセス動作が行われる。例えばＡ系メモリ３へのアクセスは完了したが、Ｂ系メモリ４へのアクセスは部品ばらつきにより１サイクル遅れて完了した場合、比較器１７ではこの１サイクルずれたタイミングで比較不一致となる。 When the A-system microcomputer 1 in the A-system circuit 9' accesses the A-system memory 3, the B-system microcomputer 2 in the B-system circuit 10' also accesses the B-system memory 4. For example, if the access to the A-system memory 3 is completed but the access to the B-system memory 4 is completed one cycle late due to component variation, the comparator 17 will compare and mismatch at this one cycle delayed timing.

実施例２では、Ｂ系メモリ４へのアクセスは部品ばらつきにより１サイクル遅れて完了したとしてもＡ系メモリ３へのアクセスを意図的に１サイクル遅らせることで同期を合わせるという構成である。具体的にはＡ系マイコン１、Ｂ系マイコン２のそれぞれからＡ系メモリ３、Ｂ系メモリ４へアクセスした時に、Ａ系メモリ３、Ｂ系メモリ４がそれぞれ出力するＡ系メモリステータス信号１３、Ｂ系メモリステータス信号１４を比較器１７で監視する。比較器１７は、この信号に違いがあった場合に、Ａ系マイコン１とＢ系マイコン２が、Ａ系メモリ３とＢ系メモリ４へのそれぞれのアクセスした時にずれが生じたと判断する。このずれが発生した時にＡ系回路９’とＢ系回路１０’のどちらの系が遅れたのかを判断し、遅れの無い系に対してウエイト信号を発行する。これによりウエイトを発行された系のマイコンはウエイト期間中マイコンの動作を停止させて、遅れている系の動作を待ち、同期が合うまで待つという構成である。 In the second embodiment, even if the access to the B system memory 4 is completed one cycle late due to component variations, the access to the A system memory 3 is intentionally delayed by one cycle to achieve synchronization. Specifically, when the A system microcomputer 1 and the B system microcomputer 2 access the A system memory 3 and the B system memory 4, the comparator 17 monitors the A system memory status signal 13 and the B system memory status signal 14 output by the A system memory 3 and the B system memory 4, respectively. If there is a difference between these signals, the comparator 17 determines that a discrepancy occurred when the A system microcomputer 1 and the B system microcomputer 2 accessed the A system memory 3 and the B system memory 4, respectively. When this discrepancy occurs, it determines which of the A system circuit 9' and the B system circuit 10' is delayed, and issues a wait signal to the system that is not delayed. As a result, the microcomputer of the system to which the wait is issued stops the operation of the microcomputer during the wait period and waits for the delayed system to operate until synchronization is achieved.

図４は、本発明の実施例２の動作例を説明する図である。ここでは各マイコン１、２のステップごとの処理について説明する。 Figure 4 is a diagram for explaining an example of the operation of the second embodiment of the present invention. Here, the processing for each step of each of the microcomputers 1 and 2 is explained.

ここで、処理Ａ１と処理Ｂ１、処理Ａ２と処理Ｂ２は実施例１と同様であり、比較器１７は一致していると判定する。 Here, processes A1 and B1, and processes A2 and B2 are the same as those in Example 1, and the comparator 17 determines that they match.

Ｂ系マイコン２の処理Ｂ３では、書込や読込を行う場合、Ｂ系メモリ４がビジー状態の場合を示す。この場合、Ｂ系メモリステータス信号１４がビジー状態を示し、Ｂ系マイコン２は処理を待機（ウエイト）する。そして、ビジー状態が終了し、レディー状態になったときに処理Ｂ３応答を行う。 When writing or reading, the B-system microcomputer 2 performs process B3 when the B-system memory 4 is busy. In this case, the B-system memory status signal 14 indicates a busy state, and the B-system microcomputer 2 waits for processing. Then, when the busy state ends and the B-system microcomputer 2 enters a ready state, it responds with process B3.

一方、Ａ系マイコン１の処理Ａ３では、Ａ系メモリ３はビジー状態ではなくレディー状態であるため、Ａ系メモリ３へアクセスして処理を進めることができる。しかし、実施例１で示したように、Ａ系マイコン１の処理Ａ３とＢ系マイコン２の処理Ｂ３のタイミングが異なってきて、比較器１７が不一致を検出する可能性がある。これを防止するため、Ａ系マイコン１をウエイト状態として処理Ａ３応答を遅らせる。 Meanwhile, in process A3 of the A-system microcomputer 1, the A-system memory 3 is not busy but is in a ready state, so the A-system memory 3 can be accessed and processing can proceed. However, as shown in the first embodiment, the timing of process A3 of the A-system microcomputer 1 and process B3 of the B-system microcomputer 2 may differ, and the comparator 17 may detect a mismatch. To prevent this, the A-system microcomputer 1 is put into a wait state to delay the response to process A3.

具体的には、比較器１７は、Ａ系メモリステータス信号１３がレディー状態で、Ｂ系メモリステータス信号１４がビジー状態であることを受信した場合、比較器１７からＡ系マイコン１に対してＡ系ウエイト信号１８を送る。Ａ系マイコン１はそれに応じて処理を一時停止し、処理Ａ３の応答を遅らせる。また、Ｂ系メモリステータス信号１４がレディー状態になったら、比較器１７はＡ系マイコン１に対してＡ系ウエイト信号１８の送信を停止する（もしくはウエイトをキャンセルする信号を送信する）。このことで、Ａ系マイコン１の処理Ａ３が再開して、Ｂ系マイコン２の処理Ｂ３とタイミングの終了のタイミングを合わせることができる。 Specifically, when the comparator 17 receives that the A-system memory status signal 13 is in a ready state and the B-system memory status signal 14 is in a busy state, the comparator 17 sends an A-system wait signal 18 to the A-system microcomputer 1. The A-system microcomputer 1 accordingly suspends its processing and delays the response of process A3. Furthermore, when the B-system memory status signal 14 goes into a ready state, the comparator 17 stops sending the A-system wait signal 18 to the A-system microcomputer 1 (or sends a signal to cancel the wait). This allows process A3 of the A-system microcomputer 1 to resume, and the end timing can be synchronized with process B3 of the B-system microcomputer 2.

上記の構成により、Ａ系マイコン１の処理Ａ３とＢ系マイコン２の処理Ｂ３のタイミングは同じになり、比較器１７は一致を判定して、処理が継続することになる。このため、次の処理Ａ４と処理Ｂ４においても、比較器１７は一致と判定する。 With the above configuration, the timing of process A3 of the A-system microcomputer 1 and process B3 of the B-system microcomputer 2 are the same, the comparator 17 determines that there is a match, and the process continues. Therefore, the comparator 17 also determines that there is a match in the next processes A4 and B4.

このように実施例２の構成では、ビジー状態の方のメモリに合わせて、ビジー状態でない方（レディ状態）のメモリからの応答を遅らせることにより、各系の処理のタイミングを合わせる。このことで、部品のばらつきなどによる異常を防止し、不必要なシステムの停止を防止する。一方で、ビジー状態以外を起因する場合の異常は検知する。このことで、作動効率を上げながらより的確な故障の検知が可能となる。 In this way, in the configuration of Example 2, the timing of processing for each system is adjusted by delaying the response from the memory that is not busy (ready state) to match the memory that is busy. This prevents abnormalities caused by component variations and prevents unnecessary system shutdowns. At the same time, abnormalities caused by factors other than the busy state are detected. This makes it possible to detect failures more accurately while increasing operating efficiency.

（実施例３）
図５は、本発明の実施例３のハードウェア構成例を示すブロック図である。実施例３では、実施例２と異なる点について主に説明し、同一の箇所には同一の符号を付してあり、特に説明がない部分は同じ説明を省略している。 Example 3
5 is a block diagram showing an example of a hardware configuration of a third embodiment of the present invention. In the third embodiment, differences from the second embodiment will be mainly described, the same parts are given the same reference numerals, and the same description of parts that are not particularly described will be omitted.

Ａ系回路９’’には、Ａ系マイコン１、データの入出力を行うＡ系ＩＯ５、Ａ系メモリ３、Ａ系レジスタ１１を備えている。Ａ系マイコン１は、Ａ系マイコンバス信号線７で接続され、Ａ系メモリ３、Ａ系ＩＯ５、Ａ系レジスタ１１もＡ系マイコンバス信号線７と接続されている。Ａ系メモリ３、Ａ系ＩＯ５、Ａ系レジスタ１１のそれぞれは、自身の状態（例えば、「レディー状態」か「ビジー状態」）を示すＡ系メモリステータス信号１３、Ａ系ＩＯステータス信号２１、Ａ系レジスタステータス信号２３として比較器１７へ出力可能な構成である。Ａ系レジスタ１１は、Ａ系マイコン１に用いるデータを一時的に記憶させる電子部品である。 The A-system circuit 9'' includes the A-system microcomputer 1, the A-system IO 5 which inputs and outputs data, the A-system memory 3, and the A-system register 11. The A-system microcomputer 1 is connected by the A-system microcomputer bus signal line 7, and the A-system memory 3, the A-system IO 5, and the A-system register 11 are also connected to the A-system microcomputer bus signal line 7. Each of the A-system memory 3, the A-system IO 5, and the A-system register 11 is configured to be able to output to the comparator 17 an A-system memory status signal 13, an A-system IO status signal 21, and an A-system register status signal 23 which indicate its own state (for example, "ready state" or "busy state"). The A-system register 11 is an electronic component which temporarily stores data used by the A-system microcomputer 1.

実施例３もフェールセーフＣＰＵであり、Ａ系回路９’’に加え同一構成のＢ系回路１０’’がもう１系統存在する。Ｂ系回路１０’’には、Ｂ系マイコン２、Ｂ系メモリ４、データの入出力を行うＢ系ＩＯ６、Ｂ系レジスタ１２を備えている。Ｂ系マイコン２は、Ｂ系マイコンバス信号線８で接続され、Ｂ系メモリ４、Ｂ系ＩＯ６、Ｂ系レジスタ１２もＢ系マイコンバス信号線８と接続されている。Ｂ系メモリ４、Ｂ系ＩＯ６、Ｂ系レジスタ１２のそれぞれは、自身の状態（例えば、「レディー状態」か「ビジー状態」）を示すＢ系メモリステータス信号１４、Ｂ系ＩＯステータス信号２２、Ｂ系レジスタステータス信号２４として比較器１７へ出力可能な構成である。Ｂ系レジスタ１２は、Ｂ系マイコン２に用いるデータを一時的に記憶させる電子部品である。 The third embodiment is also a fail-safe CPU, and in addition to the A-system circuit 9'', there is another B-system circuit 10'' of the same configuration. The B-system circuit 10'' includes a B-system microcomputer 2, a B-system memory 4, a B-system IO 6 for inputting and outputting data, and a B-system register 12. The B-system microcomputer 2 is connected by a B-system microcomputer bus signal line 8, and the B-system memory 4, B-system IO 6, and B-system register 12 are also connected to the B-system microcomputer bus signal line 8. Each of the B-system memory 4, B-system IO 6, and B-system register 12 is configured to be able to output to the comparator 17 a B-system memory status signal 14, a B-system IO status signal 22, and a B-system register status signal 24 indicating its own state (for example, "ready state" or "busy state"). The B-system register 12 is an electronic component that temporarily stores data used by the B-system microcomputer 2.

実施例３の構成では、Ａ系メモリステータス信号１３、Ａ系ＩＯステータス信号２１、Ａ系レジスタステータス信号２３、Ｂ系メモリステータス信号１４、Ｂ系ＩＯステータス信号２２、Ｂ系レジスタステータス信号２４を、１度比較器１７に入力する。比較器１７からは、Ａ系ウエイト信号１８をＡ系マイコン１へ、Ｂ系ウエイト信号１９をＢ系マイコン２へ出力可能な構成である。 In the configuration of the third embodiment, the A-system memory status signal 13, the A-system IO status signal 21, the A-system register status signal 23, the B-system memory status signal 14, the B-system IO status signal 22, and the B-system register status signal 24 are input once to the comparator 17. The comparator 17 is configured to be able to output the A-system wait signal 18 to the A-system microcomputer 1 and the B-system wait signal 19 to the B-system microcomputer 2.

比較器１７は、Ａ系マイコンバス信号線７とＢ系マイコンバス信号線８にそれぞれ接続され、情報を取得可能である。そして、比較器１７は、これらの信号線からの情報の比較を行う。比較器１７はＡ系回路９’’とＢ系回路１０’’がそれぞれ同一周波数、同一プログラムで且つ同一ステップで動作する事を前提に、それぞれのマイコンバスの状態を比較する。具体的にマイコンバスにはアドレス信号、データ信号、制御信号があり、これら信号の電圧レベルをある時間単位で比較し、１本でも異なる状態を検出すると一方が故障したと判断し比較不一致として異常動作報告をする。 Comparator 17 is connected to A-system microcomputer bus signal line 7 and B-system microcomputer bus signal line 8, respectively, and is capable of acquiring information. Comparator 17 then compares the information from these signal lines. Comparator 17 compares the state of each microcomputer bus, assuming that A-system circuit 9'' and B-system circuit 10'' operate at the same frequency, with the same program, and in the same steps. Specifically, the microcomputer bus has address signals, data signals, and control signals, and the voltage levels of these signals are compared in certain time units. If it detects a different state in even one line, it determines that one side has failed and reports an abnormal operation as a comparison mismatch.

比較器１７ではこの動作と共に、Ａ系メモリステータス信号１３、Ａ系ＩＯステータス信号２１、Ａ系レジスタステータス信号２３を監視し、Ａ系マイコン１に対してウエイトを発行するＡ系ウエイト信号１８をＡ系マイコン１へ出力する。同様にＢ系メモリステータス信号１４、Ｂ系ＩＯステータス信号２２、Ｂ系レジスタステータス信号２４を監視し、Ｂ系マイコン２に対してウエイトを発行するＢ系ウエイト信号１９をＢ系マイコン２へ出力する。 In addition to this operation, the comparator 17 monitors the A-system memory status signal 13, the A-system IO status signal 21, and the A-system register status signal 23, and outputs an A-system wait signal 18 that issues a wait to the A-system microcomputer 1 to the A-system microcomputer 1. Similarly, it monitors the B-system memory status signal 14, the B-system IO status signal 22, and the B-system register status signal 24, and outputs a B-system wait signal 19 that issues a wait to the B-system microcomputer 2 to the B-system microcomputer 2.

同期方法については、実施例２と同様である。Ａ系ＩＯ５、Ａ系レジスタ１１、Ｂ系ＩＯ６、Ｂ系レジスタ１２においても、実施例２で説明したＡ系メモリ３、Ｂ系メモリ４と同様に同期を行うことができる。このときのステータス信号は、Ａ系メモリステータス信号１３、Ｂ系メモリステータス信号１４に代えて、Ａ系ＩＯステータス信号２１、Ｂ系ＩＯステータス信号２２、Ａ系レジスタステータス信号２３、Ｂ系レジスタステータス信号を使用する。これらには、「レディー状態」か「ビジー状態」の情報を含む。Ａ系ウエイト信号１８、Ｂ系ウエイト信号１９も実施例２とＡ系メモリ３、Ｂ系メモリ４の場合と同様の方法で送信できる。 The synchronization method is the same as in the second embodiment. Synchronization can be performed for the A system IO 5, A system register 11, B system IO 6, and B system register 12 in the same manner as for the A system memory 3 and B system memory 4 described in the second embodiment. The status signals used at this time are the A system IO status signal 21, the B system IO status signal 22, the A system register status signal 23, and the B system register status signal, instead of the A system memory status signal 13 and the B system memory status signal 14. These include information on "ready state" or "busy state." The A system wait signal 18 and the B system wait signal 19 can also be transmitted in the same manner as in the second embodiment and the A system memory 3 and B system memory 4.

このように実施例３の構成では、メモリだけでなく、ＩＯ、レジスタからの信号も考慮した構成を構築できる。これにより、より精度の高い比較が可能であるとともに、部品のばらつきなどによる異常を防止し、不必要なシステムの停止を防止する。このことで、作動効率を上げながらより的確な故障の検知が可能となる。 In this way, the configuration of Example 3 can be constructed to take into account not only memory, but also signals from IO and registers. This allows for more accurate comparisons, prevents anomalies due to component variations, and prevents unnecessary system shutdowns. This allows for more accurate failure detection while improving operating efficiency.

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。 The present invention is not limited to the above-described embodiments, but includes various modified examples. For example, the above-described embodiments have been described in detail to clearly explain the present invention, and are not necessarily limited to those having all of the configurations described. It is also possible to replace part of the configuration of one embodiment with the configuration of another embodiment, and it is also possible to add the configuration of another embodiment to the configuration of one embodiment. It is also possible to add, delete, or replace part of the configuration of each embodiment with other configurations.

例えば、上記実施形態では、Ａ系とＢ系の２つの系による構成について示したが、複数の系であれば適用でき、例えば、三重系や四重系等、３つ以上の系でもよい。この場合も、比較器で各信号を比較して、比較が不一致の場合は異常を検知する。さらに、処理のタイミングが異なる場合は、上記実施形態で示した方法で遅れていない方のマイコンにウエイト信号を送信して、待機をさせることで、部品のばらつきによる不必要なシステムの停止を防止する。 For example, while the above embodiment shows a configuration with two systems, system A and system B, the present invention can be applied to multiple systems, and may also use three or more systems, such as a triple or quadruple system. In this case, too, a comparator compares each signal, and if the comparisons do not match, an abnormality is detected. Furthermore, if the processing timing is different, a wait signal is sent to the microcomputer that is not delayed using the method shown in the above embodiment, causing it to wait, thereby preventing unnecessary system shutdowns due to component variations.

１…Ａ系マイコン、２…Ｂ系マイコン、３…Ａ系メモリ、４…Ｂ系メモリ、５…Ａ系ＩＯ、６…Ｂ系ＩＯ、７…Ａ系マイコンバス信号線、８…Ｂ系マイコンバス信号線、９、９’、９’’…Ａ系回路、１０、１０’、１０’’…Ｂ系回路、１１…Ａ系レジスタ、１２…Ｂ系レジスタ、１３…Ａ系メモリステータス信号、１４…Ｂ系メモリステータス信号、１５…Ａ系データ、１６…Ｂ系データ、１７…比較器、１８…Ａ系ウエイト信号、１９…Ｂ系ウエイト信号、２１…Ａ系ＩＯステータス信号、２２…Ｂ系ＩＯステータス信号、２３…Ａ系レジスタステータス信号、２４…Ｂ系レジスタステータス信号 1...A system microcomputer, 2...B system microcomputer, 3...A system memory, 4...B system memory, 5...A system IO, 6...B system IO, 7...A system microcomputer bus signal line, 8...B system microcomputer bus signal line, 9, 9', 9''...A system circuit, 10, 10', 10''...B system circuit, 11...A system register, 12...B system register, 13...A system memory status signal, 14...B system memory status signal, 15...A system data, 16...B system data, 17...Comparator, 18...A system wait signal, 19...B system wait signal, 21...A system IO status signal, 22...B system IO status signal, 23...A system register status signal, 24...B system register status signal

Claims

A plurality of circuits and a comparator are provided,
Each of the circuits of the plurality of systems includes an input unit that receives input data, a processing unit that performs signal processing on the input data from the input unit, and a memory;
the comparator compares whether the processes of the processing units in the circuits of the respective systems match each other, and if the process of the processing unit in the circuit of any system is delayed, the process of the processing unit in the other system is delayed to match the timing of the process of the processing unit in each system ;
The comparator receives a memory status signal including information on a busy state indicating that the memory in each system circuit is inaccessible and a ready state indicating that the memory is accessible, and when the busy and ready states of the memory status signals differ for each circuit, the comparator sends a wait signal to stop the processing unit of the ready state, and when both memory status signals are in the ready state, the comparator stops sending the wait signal.

2. The computing device according to claim 1,
The arithmetic device, wherein the comparator determines whether or not the processing of the processing unit is delayed based on an input unit status signal from the input unit.

3. The arithmetic device according to claim 1,
Each of the circuits of the plurality of systems has a register,
The arithmetic device according to claim 1, wherein the comparator determines whether or not the processing of the processing unit is delayed based on a register status signal from the register.

The arithmetic device according to any one of claims 1 to 3,
An arithmetic device, wherein the plurality of systems are composed of two systems, and the comparator compares processing units of the two systems.