JPH0754476B2 - フェイルセーフ・データ処理システム - Google Patents
フェイルセーフ・データ処理システムInfo
- Publication number
- JPH0754476B2 JPH0754476B2 JP2176128A JP17612890A JPH0754476B2 JP H0754476 B2 JPH0754476 B2 JP H0754476B2 JP 2176128 A JP2176128 A JP 2176128A JP 17612890 A JP17612890 A JP 17612890A JP H0754476 B2 JPH0754476 B2 JP H0754476B2
- Authority
- JP
- Japan
- Prior art keywords
- processor
- listener
- device command
- takeover
- command message
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
- G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
- G06F11/2038—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant with a single idle spare processing component
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B9/00—Safety arrangements
- G05B9/02—Safety arrangements electric
- G05B9/03—Safety arrangements electric with multiple-channel loop, i.e. redundant control systems
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
- G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
- G06F11/2023—Failover techniques
- G06F11/2033—Failover techniques switching over of hardware resources
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
- G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
- G06F11/2046—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant where the redundant components share persistent storage
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Quality & Reliability (AREA)
- General Engineering & Computer Science (AREA)
- Automation & Control Theory (AREA)
- Hardware Redundancy (AREA)
- Multi Processors (AREA)
- Safety Devices In Control Systems (AREA)
- Feedback Control In General (AREA)
Description
本発明はコンピュータ・アーキテクチャに係り、更に詳
細に説明すれば、フェイルセーフ機能を具備するリアル
タイム式プロセス制御システムのアーキテクチャに係
る。
細に説明すれば、フェイルセーフ機能を具備するリアル
タイム式プロセス制御システムのアーキテクチャに係
る。
工場のプロセス制御、交通ネットワークの交通管制又は
放送ネットワークの制御操作のようなリアルタイム式制
御アプリケーションは、高信頼性の制御用プロセッサを
必要とする。一般に、複数の冗長プロセッサを利用して
構成される高信頼性のフェイルセーフ・システムでは、
活動プロセッサとして機能する第１のプロセッサが、被
制御デバイスへ実際の制御コマンドを与えるのに対し、
待機プロセッサとして機能する第２のプロセッサは、活
動プロセッサの動作を監視し且つ活動プロセッサの故障
を検出すると、直ちに活動プロセッサの動作を引き継ぐ
ようになっている。この技法は、ホット・スタンバイ冗
長処理と呼ばれる。このようなホット・スタンバイ冗長
処理システム内の活動プロセッサを監視するための代表
的なアプローチは、活動プロセッサと待機プロセッサの
間に配設された共用ディスク・ドライブを使用する、と
いうものである。すなわち、活動プロセッサが、共用デ
ィスク・ドライブ上に定期的に状況（ステータス）ワー
ドを書き込むのに対し、待機プロセッサは、この状況情
報を読み取った上で、活動プロセッサがその所期の動作
を継続するか否かを解釈する。待機プロセッサは、共用
ディスク・ドライブ上の状況情報から活動プロセッサが
誤動作を行っていると決定しない限り、活動プロセッサ
の動作を引き継ぐことはない。ホット・スタンバイ冗長
処理の一般的なアプローチに関する１つの問題点は、活
動プロセッサが共用ディスク・ドライブへ情報を書き込
んだり、待機プロセッサが共用ディスク・ドライブから
情報を読み出すのに必要な、シーク時間である。待機プ
ロセッサが活動プロセッサの動作を引き継ぐときに、ア
プリケーションによっては、円滑な切り換えを必要とす
る場合もあって、シーク時間の長さが、かかる円滑な切
り換えに支障をきたす程度に十分大きくなることがある
からである。 リアルタイム式制御システムに期待される他の機能は、
プロセス制御アプリケーションにおける緊急事態への対
応や、放送ネットワークの制御アプリケーションにおけ
るニュース速報のような臨時放送への対応など、予定外
の変更に適応できるようにすることである。ホット・ス
タンバイ冗長処理システムにおけるリアルタイム適応に
係る代表的なアプローチは、リアルタイムの情報変更に
応じて活動プロセッサ内の制御シーケンスを変更させる
というものであるが、待機プロセッサには何の変更も加
えられていない。このようなアーキテクチャでは、待機
プロセッサによる活動プロセッサの誤動作検出が遅れる
と、待機プロセッサは、活動プロセッサが現に制御しつ
つある動作を引き継いでこれを再開させる前に、データ
・ロード期間を経た上で、最新のデータをそのメモリヘ
ロードしなければならない。このようなデータ・ロード
期間が存在するために、先行技術のホット・スタンバイ
冗長処理システムでは、待機プロセッサによる引き継ぎ
のための切り換えに要する時間がさらに長くなる。 リアルタイム式制御システムにおいて複数のイベント
（事象）を順次にスケジューリングするために必要な他
の機能は、正確なスケジュールの実行を取り決めておく
ことである。先行技術のシステムは、極めて短い時間イ
ンターバルで活動プロセッサの動作を待機プロセッサに
引き継がせなければならない場合は、この要件を満足さ
せることができない。リアルタイム式制御システムの他
の機能は、複数のマシンから成る複雑なネットワークを
制御する際に、リアルタイム・プロセッサの制御下で、
当該ネットワークへ接続されるスレーブ・マシンの数と
種類を拡張できるようにすることである。先行技術で
は、既存のリアルタイム式制御システムを拡張するため
に、非常に長い再プログラミングを必要としたから、か
かるシステムの構成を速やかに変更することは、重大な
問題となっていた。
放送ネットワークの制御操作のようなリアルタイム式制
御アプリケーションは、高信頼性の制御用プロセッサを
必要とする。一般に、複数の冗長プロセッサを利用して
構成される高信頼性のフェイルセーフ・システムでは、
活動プロセッサとして機能する第１のプロセッサが、被
制御デバイスへ実際の制御コマンドを与えるのに対し、
待機プロセッサとして機能する第２のプロセッサは、活
動プロセッサの動作を監視し且つ活動プロセッサの故障
を検出すると、直ちに活動プロセッサの動作を引き継ぐ
ようになっている。この技法は、ホット・スタンバイ冗
長処理と呼ばれる。このようなホット・スタンバイ冗長
処理システム内の活動プロセッサを監視するための代表
的なアプローチは、活動プロセッサと待機プロセッサの
間に配設された共用ディスク・ドライブを使用する、と
いうものである。すなわち、活動プロセッサが、共用デ
ィスク・ドライブ上に定期的に状況（ステータス）ワー
ドを書き込むのに対し、待機プロセッサは、この状況情
報を読み取った上で、活動プロセッサがその所期の動作
を継続するか否かを解釈する。待機プロセッサは、共用
ディスク・ドライブ上の状況情報から活動プロセッサが
誤動作を行っていると決定しない限り、活動プロセッサ
の動作を引き継ぐことはない。ホット・スタンバイ冗長
処理の一般的なアプローチに関する１つの問題点は、活
動プロセッサが共用ディスク・ドライブへ情報を書き込
んだり、待機プロセッサが共用ディスク・ドライブから
情報を読み出すのに必要な、シーク時間である。待機プ
ロセッサが活動プロセッサの動作を引き継ぐときに、ア
プリケーションによっては、円滑な切り換えを必要とす
る場合もあって、シーク時間の長さが、かかる円滑な切
り換えに支障をきたす程度に十分大きくなることがある
からである。 リアルタイム式制御システムに期待される他の機能は、
プロセス制御アプリケーションにおける緊急事態への対
応や、放送ネットワークの制御アプリケーションにおけ
るニュース速報のような臨時放送への対応など、予定外
の変更に適応できるようにすることである。ホット・ス
タンバイ冗長処理システムにおけるリアルタイム適応に
係る代表的なアプローチは、リアルタイムの情報変更に
応じて活動プロセッサ内の制御シーケンスを変更させる
というものであるが、待機プロセッサには何の変更も加
えられていない。このようなアーキテクチャでは、待機
プロセッサによる活動プロセッサの誤動作検出が遅れる
と、待機プロセッサは、活動プロセッサが現に制御しつ
つある動作を引き継いでこれを再開させる前に、データ
・ロード期間を経た上で、最新のデータをそのメモリヘ
ロードしなければならない。このようなデータ・ロード
期間が存在するために、先行技術のホット・スタンバイ
冗長処理システムでは、待機プロセッサによる引き継ぎ
のための切り換えに要する時間がさらに長くなる。 リアルタイム式制御システムにおいて複数のイベント
（事象）を順次にスケジューリングするために必要な他
の機能は、正確なスケジュールの実行を取り決めておく
ことである。先行技術のシステムは、極めて短い時間イ
ンターバルで活動プロセッサの動作を待機プロセッサに
引き継がせなければならない場合は、この要件を満足さ
せることができない。リアルタイム式制御システムの他
の機能は、複数のマシンから成る複雑なネットワークを
制御する際に、リアルタイム・プロセッサの制御下で、
当該ネットワークへ接続されるスレーブ・マシンの数と
種類を拡張できるようにすることである。先行技術で
は、既存のリアルタイム式制御システムを拡張するため
に、非常に長い再プログラミングを必要としたから、か
かるシステムの構成を速やかに変更することは、重大な
問題となっていた。
従って、本発明の主目的は、改良されたリアルタイム式
制御システムのアーキテクチャを提供することにある。 本発明の他の目的は、先行技術のシステムよりも速やか
に切り換えを行うことができる、ホット・スタンバイ冗
長プロセッサを具備するリアルタイム式制御システムの
アーキテクチャを提供することにある。 本発明の他の目的は、先行技術のシステムよりも短い時
間で活動プロセッサの制御を引き継ぐことができるよう
に、ホット・スタンバイ冗長プロセッサをリアルタイム
で更新可能な、改良されたリアルタイム式制御システム
のアーキテクチャを提供することである。 本発明の他の目的は、正確なスケジュールの実行シーケ
ンスを取り決めておくことができる、改良されたリアル
タイム式制御システムのアーキテクチャを提供すること
にある。 本発明の他の目的は、柔軟且つ容易に実現可能な態様
で、大規模な拡張を行うことができる、改良されたリア
ルタイム式制御システムのアーキテクチャを提供するこ
とにある。
制御システムのアーキテクチャを提供することにある。 本発明の他の目的は、先行技術のシステムよりも速やか
に切り換えを行うことができる、ホット・スタンバイ冗
長プロセッサを具備するリアルタイム式制御システムの
アーキテクチャを提供することにある。 本発明の他の目的は、先行技術のシステムよりも短い時
間で活動プロセッサの制御を引き継ぐことができるよう
に、ホット・スタンバイ冗長プロセッサをリアルタイム
で更新可能な、改良されたリアルタイム式制御システム
のアーキテクチャを提供することである。 本発明の他の目的は、正確なスケジュールの実行シーケ
ンスを取り決めておくことができる、改良されたリアル
タイム式制御システムのアーキテクチャを提供すること
にある。 本発明の他の目的は、柔軟且つ容易に実現可能な態様
で、大規模な拡張を行うことができる、改良されたリア
ルタイム式制御システムのアーキテクチャを提供するこ
とにある。
本発明に従ったリアルタイム式制御システムは、プロセ
ス制御や放送のスケジューリングのようなスケジュール
済みの動作の順次的な実行を制御するものとして説明さ
れている。このリアルタイム式制御システムには、セン
ダ（Sender:活動側）／リスナ（Listener:待機側）アー
キテクチャとして特徴付けられる、フェイルセーフ機構
が用いられている。センダ・プロセッサ及びリスナ・プ
ロセッサに入力される外部クロックが、これらの各プロ
セッサに格納されている完全に同じスケジュールを通し
て、順次的なステップが同期的に進行することを保証す
る。正常に動作している場合、センダ・プロセッサは、
ホスト・プロセッサから送られてくる、複数のイベント
（事象）の実行を制御する。スケジュールされていない
イベントやエラーは、センダ・プロセッサの場合も、リ
スナ・プロセッサの場合も、リアルタイム式にスケジュ
ールに加えられて処理される。リスナ・プロセッサは、
制御されたネットワークにおいてセンダ・プロセッサの
信号を監視しており、センダ・プロセッサに故障が生じ
た場合には、新たなセンダ・プロセッサとして、直ちに
にシステムを制御する役割を引き継ぐ。リスナ・プロセ
ッサは、引き継ぎインターバル中に故障したセンダ・プ
ロセッサが実行しなかった指令を実行した後に、プロセ
ス制御イベントの当初のスケジュールを再開する。
ス制御や放送のスケジューリングのようなスケジュール
済みの動作の順次的な実行を制御するものとして説明さ
れている。このリアルタイム式制御システムには、セン
ダ（Sender:活動側）／リスナ（Listener:待機側）アー
キテクチャとして特徴付けられる、フェイルセーフ機構
が用いられている。センダ・プロセッサ及びリスナ・プ
ロセッサに入力される外部クロックが、これらの各プロ
セッサに格納されている完全に同じスケジュールを通し
て、順次的なステップが同期的に進行することを保証す
る。正常に動作している場合、センダ・プロセッサは、
ホスト・プロセッサから送られてくる、複数のイベント
（事象）の実行を制御する。スケジュールされていない
イベントやエラーは、センダ・プロセッサの場合も、リ
スナ・プロセッサの場合も、リアルタイム式にスケジュ
ールに加えられて処理される。リスナ・プロセッサは、
制御されたネットワークにおいてセンダ・プロセッサの
信号を監視しており、センダ・プロセッサに故障が生じ
た場合には、新たなセンダ・プロセッサとして、直ちに
にシステムを制御する役割を引き継ぐ。リスナ・プロセ
ッサは、引き継ぎインターバル中に故障したセンダ・プ
ロセッサが実行しなかった指令を実行した後に、プロセ
ス制御イベントの当初のスケジュールを再開する。
第１図には、リアルタイム式の、フェイルセーフ・プロ
セス制御システムの全容がブロック図の形式で示されて
いる。このシステムは、交通ネットワークの交通管制
や、通信ネットワークのメッセージ送信のスケジューリ
ングや、放送ネットワークの放送イベントのスケジュー
リング、等のリアルタイム式プロセス制御アプリケーシ
ョンを実行するように設計されている。これらのアプリ
ケーションは、予め定義されたスケジュール内で指定さ
れているように、実行すべき予め指定されたイベント・
シーケンスを持つという点で、共通の機能を有してい
る。しかし、実行すべきイベントにリアルタイムの変更
が生じた場合に、このシステムを修正して適応させるた
めには、シーケンス内のイベントを速やかに再スケジュ
ールすることが必要である。殆どのリアルタイム式プロ
セス制御アプリケーションは、信頼性と可用性が高い処
理システムを必要とするから、フェイルセーフ式の、ホ
ット・スタンバイ冗長プロセッサ構成が設けられてい
る。 少なくとも２台のプロセッサである、センダ・プロセッ
サ10とリスナ・プロセッサ20が、少なくとも１つのロー
カル・エリア・ネットワーク（LAN）を通して、１つ以
上の被制御デバイス26に接続されている。推奨実施例で
は、LAN1及びLAN2から成る複式（デュアル）LAN構成
を、センダ・プロセッサ10とリスナ・プロセッサ20と被
制御デバイス26との間の冗長並列通信リンクとして使用
する。一般に、被制御デバイス26は、これをLAN1及びLA
N2に接続するデバイス・コントロール24が管理する。ホ
スト・プロセッサ28は、LAN1及びLAN2に接続されてい
て、実行すべきものとして予め格納された複数イベント
のスケジュールを、センダ・プロセッサ10及びリスナ・
プロセッサ20に供給する。システム操作卓30も、LAN1及
びLAN2に接続されていて、オペレータがリアルタイムの
更新を行い且つシステム動作の監視を行うことを可能に
する。システム・クロック22は、線23を通してセンダ・
プロセッサ10とリスナ・プロセッサ20に接続されてい
て、両プロセッサが後述するように互いに同期して動作
することを保証する。 第２図は、センダ・プロセッサ10又はリスナ・プロセッ
サ20の機能ブロック図である。これらの２台のプロセッ
サは、ハードウェア構成もソフトウェア構成も同一であ
る。例えば、センダ・プロセッサ10が具備するプロセッ
サ・バス33には、中央演算処理装置32と、直接アクセス
記憶装置34と、LAN1に接続されたLAN1アダプタ36と、LA
N2に接続されたLAN2アダプタ38と、ローカル・クロック
40に接続された入力を有するコ・プロセッサ42から成る
プログラム式タイマが接続されている。ローカル・クロ
ック40の同期用クロック入力23は、システム・クロック
22に接続される。コ・プロセッサ42は、タイマ・マネー
ジャ61を使用して、タイマ表44を管理することにより、
センダ・プロセッサ10の動作に不可欠のプログラム式タ
イミングを与える。プロセッサ・バス33に接続されてい
るメモリ46は、複数のスケジューリング表及び実行表に
加えて、本発明の方法を実行するのに必要な種々のソフ
トウェア・モジュールを格納している。 センダ及びリスナ・モードの動作は、予め定義された時
間に、センダ・プロセッサ10からLAN1及びLAN2を通して
デバイス・コントローラ24へ制御メッセージを発行させ
るとともに、リスナ・プロセッサ20が、センダ・プロセ
ッサ10を監視して、これらのメッセージが指定された時
間に送信されることを保証する。センダ・プロセッサ10
が故障した場合には、リスナ・プロセッサ20は、センダ
・プロセッサ10と交渉して、リスナ・プロセッサ20によ
る引き継ぎ（takeover:テイクオーバ）が必要であるか
否かを決定する。センダ・プロセッサ10及びリスナ・プ
ロセッサ20のメモリ46は、イベント実行表48、制御スケ
ジュール表50、イベント状況表52及びタイマ表44を備え
ている。これらの表の編成は、本明細書の末尾にある表
１に示されている。 センダ・プロセッサ10の主たる機能は、被制御プロセス
において実行すべき複数のイベントを指定する制御スケ
ジュール表50を処理することである。リスナ・プロセッ
サ20は、これと全く同じ表を同期的に処理した後、セン
ダ・プロセッサ10が出力する制御メッセージと比較する
ために、その処理結果を保存する。制御スケジュール表
50は、予め定義されたスケジュールに従ってセンダ・プ
ロセッサ10が処理しなければならないような、時間的に
順序付けられた複数の活動を保持する。更に、センダ・
プロセッサ10は、ホスト・プロセッサ28から送られてく
る複数イベントのスケジュールの変更や、外部キュー信
号や、デバイス・コントローラ24のエラー・メッセージ
や、リスナ・プロセッサ20から送られてくる引き継ぎ要
求などのリアルタイム割り込みも処理しなければならな
い。更に、センダ・プロセッサ10は、当該プロセッサが
動作可能であるという背定表示を与えるために、ホスト
・プロセッサ28又はシステム操作卓30に定期的に送信さ
れる、ハートビート（heartbeat）と呼ばれる状況メッ
セージを生成する。センダ・プロセッサ10及びリスナ・
プロセッサ20は、両者ともに、線23を通してシステム・
クロック22を使用することにより、各自のローカル・ク
ロック40の同期性を維持する。ローカル・クロック40、
コ・プロセッサ42及びタイマ表44は、本発明の方法に従
った動作を行うために、プログラム式時間インターバル
を提供する、リアルタイム式のインターフェース・コ・
プロセッサである。リスナ・プロセッサ20は、全ての機
能についてセンダ・プロセッサ10を監視するとともに、
センダ・プロセッサ10が故障した場合には、いつでもシ
ステムの制御を引き受ける準備をしておくために、メモ
リ46内に重複する構成を維持する。 センダ・プロセッサ10及びリスナ・プロセッサ20は、各
自のメモリ46内に同一のソフトウェア・プログラム・モ
ジュールを有しているが、これらのモジュールは、セン
ダ・プロセッサ10及びリスナ・プロセッサ20が処理して
いるアプリケーションの特定の状態に依存する特定の状
況では、別個の実行経路を取ることもある。 第１図のシステムは、LAN1としてトークンリングLAN
を、またLAN2としてこれを重複するトークンリングLAN
を使用している。LAN1及びLAN2は、フェイルセーフ冗長
機能を強化するために、互いに並列に動作する。このト
ークンリングLANは、これに接続されている全てのセン
ダ・プロセッサ10及びリスナ・プロセッサ20と、全ての
デバイス・コントローラ24との間の多対多（any-to-an
y）通信を可能にする。LAN1及びLAN2の複式LAN構成は、
２重メッセージの処理を通して、システムの信頼性を向
上させる。LAN1及びLAN2に使用されるトークンリングLA
Nについては、“IBM Token Ring Network Architecture
Reference"、IBMマニュアル番号（SC 30-3374-01）に
詳述されており、これは、IEEEトークンリング・ネット
ワーク規格の802.2及び802.5に準拠する。IBMトークン
リング・フレームのフォーマットを、第７図に例示す
る。 リスナ・プロセッサ20が、LAN1及びLAN2の一方又は両方
を通して送信されたメッセージを監視することにより、
センダ・プロセッサ10が正常に動作していないことを検
出する場合、リスナ・プロセッサ20は、かかるLANを通
して、センダ・プロセッサ10に対し引き継ぎ要求を発行
する。この場合、センダ・プロセッサ10は、そのメモリ
46内にあるシステム状況表54を検査して、この要求を評
価し且つ引き継ぎが必要であるか否かを決定する。も
し、センダ・プロセッサ10が、引き継ぎが必要であると
判断するなら、当該プロセッサは、LAN1及びLAN2の一方
又は両方を通してリスナ・プロセッサ20に同意メッセー
ジを送信することにより、これを通知する。センダ・プ
ロセッサ10から引き継ぎの同意を通知される場合、リス
ナ・プロセッサ20は、引き継ぎ処理を開始する。代替的
に、もし、予め定義された時間インターバルが経過して
も、リスナ・プロセッサ20がセンダ・プロセッサ10から
何らの応答も受信しなければ、リスナ・プロセッサ20
は、自動的に引き継ぎ処理を開始する。或いは、もし、
センダ・プロセッサ10がリスナ・プロセッサ20の引き継
ぎ要求を拒否するのであれば、リスナ・プロセッサ20
は、自己の制御スケジュール表50内にエラーが存在する
ものと決定して、リスナ・プロセッサ20をセンダ・プロ
セッサ10と再同期させるため、センダ・プロセッサ10に
対し、システム・ファイルのコピーをリスナ・プロセッ
サ20に送信するように要求する。 もし、センダ・プロセッサ10又はリスナ・プロセッサ20
が、LAN1又はLAN2のいずれか一方のみを通してメッセー
ジを受信するなら、当該プロセッサは、このメッセージ
をLAN1及びLAN2の両方を通して受信したかのように処理
するとともに、通信を行っていない他方のLAN上に明白
な故障が存在することを記録する。各デバイス・コント
ローラ24も、LAN1及びLAN2の両方を通してメッセージを
受信する。もし、各デバイス・コントローラ24が、いず
れか一方のLANのみからメッセージを受信するなら、当
該デバイス・コントローラは、あたかもLAN1及びLAN2の
両方を通して受信したかのように、このメッセージを処
理する。その後、当該デバイス・コントローラ24が、他
方のLANを通して重複メッセージを受信した場合には、
このデバイス・コントローラ24は、かかるメッセージを
無視する。このように、LAN1又はLAN2のいずれか一方に
ソフト・エラーが生じたとしても、システムは動作中の
LANを使用して実行を継続するのである。 次に、第２図のメモリ46に格納されている重要なデータ
表のいくつかを説明する。制御スケジュール表50は、ホ
スト・プロセッサ28からセンダ・プロセッサ10及びリス
ナ・プロセッサ20の両方に送信される表データを保持す
る。制御スケジュール表50は、センダ・プロセッサ10及
びリスナ・プロセッサ20がデバイス・コントロール24に
送信すべき、スケジュールされた制御メッセージの主貯
蔵機構である。 イベント実行表48は、制御スケジュール表50への索引と
して作用する。イベント実行表48は、一のクラスへグル
ープ化された複数イベントのシーケンスのための、最先
の絶対開始時間（eariest absolute start time）を保
持する。一般に、各クラスは、一の機能を達成するため
に一のシーケンスで自然に実行される幾つかのイベント
を含んでいる。イベント実行表48の各エントリは、各ク
ラス内の各イベントのための最先の絶対開始時間と、当
該最初に生ずるイベントの制御スケジュール表50内の位
置に対するアドレス・ポインタとを保持する。スケジュ
ーリング・マネージャ53は、イベント実行表48を定期的
に走査して、近い将来にスケジュールされねばならな
い、これらのクラスのためのイベント情報を識別する。
イベント実行表48の各エントリには、クラス・フラグも
含まれている。このクラス・フラグは、当該クラスの状
況を、未開始、開始（済み）、完了（済み）又は停止
（済み）のいずれかに維持するためのものである。定期
的な走査期間中、完了したクラスのエントリは、イベン
ト実行表48から削除される。イベント実行表48の編成
は、表１に示されている。 イベント状況表52は、制御スケジュール表50内の各イベ
ントを処理する際に使用される状況情報を保持する。イ
ベント状況表52内のエントリは、複数のイベントが実行
のためにスケジュールされるとき、スケジューリング・
マネージャ53がこれを作成する。状況フィールドは、イ
ベント状況が受信されたときに更新される。イベント状
況は、未スケジュール、スケジュール（済み）、メッセ
ージ送信（済み）、背定応答受信（済み）、デバイス応
答受信（済み）又は停止（済み）のいずれかであり得
る。更に、完了コードは、当該イベントの実行が完了し
ているか否か、ソフト又はハードの故障が検出されたか
否かを表示する。イベント状況表52の編成は、表１に示
されている。 タイマ表44は、種々のアプリケーション・プロセスが開
始した時間インターバルに関する情報を維持するために
使用される。一のアプリケーションが一のタイマの開始
を要求する場合、タイマ表44内に一のエントリが作成さ
れる。タイマ表44内に入力されたこれらの実行時間は、
定期的に、どの時間インターバルが満了したのかを決定
するため、ローカル・クロック40の現時刻と定期的に照
合される。この動作を管理するのは、タイマ・マネージ
ャ61を使用するコ・プロセッサ42であって、特定のタイ
ムアウト（時間切れ）に至った場合には、中央演算処理
装置32に割り込みを与える。タイマ表44の編成は、表１
に示されている。 センダ・プロセッサ10及びリスナ・プロセッサ20の各々
は、当該プロセッサの現在の動作状態を決定する状況デ
ータを与える、システム状況表54を具備している。シス
テム状況表54は、コ・プロセッサ42、トークンリングLA
Nアダプタ36及び38の状況、当該プロセッサとホスト・
プロセッサ28の間のアプリケーション・プログラム対プ
ログラム通信セッションの状況、並びに直接アクセス記
憶装置34や、センダ・プロセッサ10及びリスナ・プロセ
ッサ20に関連する他のハードウェア及びソフトウェアの
状況を含んでいる。これらの全ての状況表示は、当該プ
ロセッサの動作上の健康さを表示する単一の２進状況に
要約されている。リスナ・プロセッサ20からの引き継ぎ
要求に応答して、センダ・プロセッサ10が参照するの
は、このシステム状況表54である。 また、メモリ46内に含まれる構成制御表57は、システム
内に接続されているハードウェアを指定するものであっ
て、センダ・プロセッサ10及びリスナ・プロセッサ20の
識別子や、ネットワーク内のデバイス・コントローラ24
及び被制御デバイス26の型及び識別子などを含んでい
る。構成制御表57は、追加のリザーブ・プロセッサや、
追加のデバイス・コントローラ24及び追加の被制御デバ
イス26を含むように、ホスト・プロセッサ28から再定義
することができるから、システム構成を柔軟に変更する
ことが可能となる。デバイス及びゲート状況表59は、ネ
ットワーク内の種々のデバイス及びゲートの動作状況の
トラックを維持する。メモリ46内には、各種の支援動作
を行うための、追加のアプリケーション・プログラム及
びオベレーティング・システムが含まれている。作業用
記憶域65も、メモリ46内に含まれている。 センダ・プロセッサ10及びリスナ・プロセッサ20の正常
な動作シーケンスは、第３図の流れ図を参考にすると、
一層良く理解することができる。理解を容易にするた
め、１つの例に沿って説明する。この例は、表２に示す
ように、本発明を自動ドリル機のプロセス制御に適用し
たものである。この自動ドリル機は、第１図に示す被制
御デバイス26の１つであると考えることができる。ホス
ト・プロセッサ28は、LAN1又はLAN2を通して、制御スケ
ジュール表50を含むデータ表をダウンロードする。セン
ダ・プロセッサ10及びリスナ・プロセッサ20は、制御ス
ケジュール表50を受信して、この制御スケジュール表50
内に保持されている情報から、表２に示すようなイベン
ト実行表48を作成することができる。制御スケジュール
表50を通して、３つのプロセス・クラスが伝達されてい
る。第１のクラス23は、工作物を配置し、ドリル機のタ
レットを回転させ、ドリル機のカッタを工作物に接触さ
せ、Ｘ方向にカッタを前進させ、次いでカッタを工作物
から引き離す、という順次的な５種類のイベントの、一
の連係リストから成る。第２のクラスはクラス14として
識別され、工作物を放出するという単一のイベントから
成る。第３のクラスはクラス16として識別され、工作物
を再配置するという単一イベントから成る。 イベント実行表48の初期設定は、２つの順次的なクラ
ス、すなわち第１のクラス23と、工作物の放出に係る第
２のクラス14とから構成されている。ローカル・クロッ
ク40が最先のイベントの時刻である10時29分30秒に近づ
くと、第１のクラス23がイベント状況表52内で初期設定
され、かくてイベント状況表52内の複数イベントに関連
する時間インターバルのスケジューリングを、タイマ表
44に入力することができる。タイマ表44に入力されたタ
イムアウト値は、表２に示した例に見ることができる。
センダ・プロセッサ10からメッセージを受信するための
タイムアウト・インターバルとして、リスナ・プロセッ
サ20のタイマ表44には、１ミリ秒のタイムアウト値が入
力されている。また、デバイス・コントローラ24からの
背定応答を受信するために、10ミリ秒のタイムアウト値
が設定されている。さらに、被制御デバイス26からのデ
バイス応答信号を受信するために、100ミリ秒のタイム
アウト値が設定されている。 第３図に示す、センダ・プロセッサ10及びリスナ・プロ
セッサ20の正常動作では、タイマ表44がタイムアウトす
ると、センダ・プロセッサ10の場合はステップ64で、リ
スナ・プロセッサ20の場合はステップ64′で、処理すべ
き次のタスクを識別する。次に、両プロセッサ内でタス
クの実行が開始され、表２のタイマ表44に示すごとく、
両プロセッサ内の背定応答タイマが開始され、そして両
プロセッサ内のデバイス応答タイマが開始される。更
に、ステップ66では、センダ・プロセッサ10からメッセ
ージを受信するための１ミリ秒のタイムアウト・インタ
ーバルを満了させるため、センダ・メッセージ・タイマ
がリスナ・プロセッサ20により開始される。 第３図の「ケースＡ」は、正常動作である。センダ・プ
ロセッサ10の内部では、センダ・データが準備されてい
て、ステップ68で、複式LAN通信マネージャ45が遂行す
るLANタスクにパスされ、次いでステップ72で、LAN1及
びLAN2に指令メッセージが送信される。この場合、セン
ダ・プロセッサ10は、ステップ80に示すように、デバイ
ス・コントローラ24からの背定応答信号を待機する。 リスナ・プロセッサ20の内部では、当該タスクは、セン
ダ・プロセッサ10の内部で準備されたセンダ・データの
コピーである、リスク・データを準備している。リスナ
・プロセッサ20の内部において、このリスナ・データ
は、リスナ・データ・バッファ58にロードされるが、LA
Nには送信されない。次に、リスナ・プロセッサ20は、L
AN1及びLAN2の一方又は両方を通して、センダ・プロセ
ッサ10からのメッセージの受信を待機する。ステップ74
で、リスナ・プロセッサ20は、LAN1又はLAN2の一方を通
して、センダ・プロセッサ10が送信した指令メッセージ
を受信する。受信済みのメッセージは、リスナ・プロセ
ッサ20の受信（レシーブ）データ・バッファ56に格納さ
れる。この受信データが指令メッセージであることをチ
ェックした後、ステップ76で、比較機構60を利用して、
センダ・プロセッサ10から送信され且つ現に受信データ
・バッファ56に格納されている受信データを、リスナ・
データ・バッファ58に格納されているデータと比較す
る。ここで、両方のデータが同じシーケンス番号を有す
るか否かがチェックされる。もし、リスナ・データ・バ
ッファ58内のデータが受信データ・バッファ56内にある
センダ・プロセッサ10からのデータに一致するなら、リ
スナ・プロセッサ20は、ステップ78で、タイマ表44内に
あるセンダ・メッセージ・タイマを取り消し、次にステ
ップ80′で、デバイス・コントローラ24からの背定応答
信号を待機する。このデバイス・コントローラ24は、セ
ンダ・プロセッサ10からの制御メッセージの受信に応答
して、LAN1及びLAN2を通して背定応答メッセージを送信
する。 本明細書に開示した特定の実施例では、IBMトークンリ
ング・ネットワークは、機能アドレスと呼ばれる特定の
グループ・アドレスを有している。これは、IEEE802.5
のグループ・アドレスの特殊形式である。このアドレッ
シング技法並びにIBMトークンリング・アーキテクチャ
のソース・アクセス・ポイント（SAP）アドレス及びIEE
E802.2の規約を利用することにより、センダ・プロセッ
サ10及びリスナ・プロセッサ20は互いに通信することが
可能であり、またデバイス・コントローラ24からの背定
応答信号を受信することができる。かかる機能アドレス
及びSAPアドレスは、各アプリケーションが背定応答信
号で以て応答することができるように、一意的なメッセ
ージ・ヘッダについて使用されている。一般に、低レベ
ルのプロトコルであるIEEE802.2の規約を使用した場合
には、必ずしも応答が得られるとは限らない。しかし、
一意的なメッセージ内の制御フィールドを利用してフレ
ームを受信し且つこれを返送することにより、デバイス
・コントローラ24は、センダ・プロセッサ10及びリスナ
・プロセッサ20に対し、背定応答信号を返送することが
できる。 第3B図において、センダ・プロセッサ10の場合はステッ
プ82で、リスナ・プロセッサ20の場合はステップ82′
で、背定応答信号を受信し、かかる受信信号をチェック
した後、タイマ表44内の背定応答タイマを取り消す。次
に、センダ・プロセッサ10及びリスナ・プロセッサ20
は、被制御デバイス26からの応答信号を待機する。セン
ダ・プロセッサ10の場合はステップ84で、またリスナ・
プロセッサ20の場合はステップ84′で、被制御デバイス
26からの応答を受信してこれをチェックした後、タイマ
表44内のデバイス応答タイマを取り消す。このセンダ・
プロセッサ10の正常動作の例では、かかる応答データ
は、ステップ86で、デバイス応答タスクにパスされる。
同様に、リスナ・プロセッサ20の場合は、この応答デー
タは、ステップ86′で、デバイス応答タスクにパスされ
る。 本明細書の表３には、スケジュールされた次のクラス
を、リアルタイム式に更新する例が示されている。表２
の例では、第１のクラス23が10時29分30秒に開始される
場合、スケジュールすべき次のクラスは、ドリル機の工
作物を放出させるクラス14である。クラス14が開始する
10時30分０秒より前の時点では、クラス14を、ホスト・
プロセッサ28からリアルタイムに更新することが可能で
ある。これが、表３に示されている動作である。ホスト
・プロセッサ28は、新しい第３のクラスであるクラス16
を、LAN1及びLAN2を通してセンダ・プロセッサ10及びリ
スナ・プロセッサ20へダウンロードすることにより、こ
のクラス16をイベント実行表48に入力して、既存のクラ
ス14と置き換えるようにする。イベント実行表48内の複
数のクラスは、一の連係リストにより、時間順に編成さ
れている。表３に示すイベント実行表48をリアルタイム
に更新するには、クラス14において連係リストをオープ
ンし、この連係リストをクラス16のエントリへ再経路指
定するとともに、クラス14をイベント実行表48から有効
に除去すればよい。もし、クラス16内の複数のイベント
が制御スケジュール表50内に未だ存在していなければ、
この時点で、かかるイベントもホスト22からダウンロー
ドされることになろう。実行すべきスケジュールをリア
ルタイムに更新することは、制御スケジュール表50内で
変更すべき複数イベントのクラスにおける最先の開始時
間より前であれば、いつでもこれを行うことができる。 このようにして、実行すべきスケジュールを、リアルタ
イムに更新することができる。この更新プロセスは、セ
ンダ・プロセッサ10及びリスナ・プロセッサ20の両方で
並列に行われる。表３には、スケジュールされた次のク
ラスに対するリアルタイムの更新を示す、10時29分32秒
の時点における結果的なデータ表が、センダ・プロセッ
サ10及びリスナ・プロセッサ20の両プロセッサについて
示されている。 第４図には、リスナ・プロセッサ20に故障が存在してい
たために、リスナ・プロセッサ20がセンダ・プロセッサ
10からの指令メッセージを受信しそこなった「ケース
Ｂ」の場合の、センダ・プロセッサ10及びリスナ・プロ
セッサ20の動作が示されている。センダ・プロセッサ10
内のステップ64乃至80は、第３図で説明した正常動作の
場合と同じである。同様に、リスナ・プロセッサ20内の
ステップ64′乃至70や、LAN1又はLAN2の一方を通してメ
ッセージを待機することも、第３図の場合と同じであ
る。 第４図に示すように、故障中のリスナ・プロセッサ20
は、センダ・プロセッサ10が送信した指令メッセージを
受信できないから、リスナ・プロセッサ20のタイマ表44
内にあるセンダ・メッセージ・マイタは、ステップ88
で、満了する。かくて、リスナ・プロセッサ20内のリス
ナ引き継ぎマネージャ51は、ステップ90で、引き継ぎタ
スクを開始し、ステップ92で、システム状況表54をチェ
ックした後、ステップ94で、引き継ぎ要求をLAN1及びLA
N2を通してセンダ・プロセッサ10に送信する。ステップ
96で、センダ・プロセッサ10は、引き継ぎ要求をリスナ
・プロセッサ20から受信する。次いで、センダ・プロセ
ッサ10は、ステップ102で、そのシステム状況表54をチ
ェックする。このシステム状況表54に故障が表示されて
いないので、センダ・プロセッサ10は、ステップ104
で、リスナ・プロセッサ20に拒否メッセージを送信す
る。この拒否メッセージは、ステップ106で、LAN1及びL
AN2を通して、リスナ・プロセッサ20によって受信され
る。この拒否メッセージを受信する場合、リスナ・プロ
セッサ20は、ステップ110で、（ステップ98で開始し
た）引き継ぎタイマを取り消した後、ステップ112で、
センダ・プロセッサ10に対し各データ表の新しいコピー
を送信するように要求する。一方、センダ・プロセッサ
10は、ステップ114で、新しいデータ表に対する要求を
受信し、ステップ116で、この要求に対する背定応答を
送信する。リスナ・プロセッサ20は、ステップ118で、
この背定応答を受信する。次に、センダ・プロセッサ10
は、ステップ120で、リスナ・プロセッサ20に送信すべ
き各データ表を準備するとともに、各データ表をリスナ
・プロセッサ20に送信するのに十分な幅を持つタイム・
ウインドウを検索する。次いで、センダ・プロセッサ10
は、ステップ122で、各データ表を送信し、リスナ・プ
ロセッサ20は、ステップ124で、これらのデータ表を受
信する。もし、リスナ・プロセッサ20が、センダ・プロ
セッサ10からデータ表の新しい完全なコピーを受信した
なら、リスナ・プロセッサ20は、ステップ126で、正常
処理を再開し、センダ・プロセッサ10の動作を監視す
る。 もし、センダ・プロセッサ10がLAN1及びLAN2を通してデ
ータ表を送信するステップ122の実行中に、ステップ128
で、エラー・メッセージ若しくはデバイス・コントロー
ラ24からの応答又は他の非同期イベントが生ずるなら、
センダ・プロセッサ10は、ステップ130で、データ表の
送信を中断し、ステップ132で、リスナ・プロセッサ20
に対し、データ表の送信を初めから再開することを通知
する。次に、センダ・プロセッサ10内のプロセスは、ス
テップ120にループバックし、かくてセンダ・プロセッ
サ10は、データ表のコピーを送信するのに十分な幅のウ
インドウを検索する。一旦、データ表の完全なコピーが
リスナ・プロセッサ20に成功裏に送信されると、リスナ
・プロセッサ20は、ステップ126で、正常処理を再開す
る。 第５図は、センダ・プロセッサ10がスケジュールされた
メッセージを送信することができず、そのため、リスナ
・プロセッサ20による引き継ぎの交渉に至る「ケース
Ｃ」の場合の、センダ・プロセッサ10及びリスナ・プロ
セッサ20内の動作ステップのシーケンスを示す。第５図
中、センダ・プロセッサ10のステップ64乃至68は、第３
図のステップ64乃至68と同じである。同様に、リスナ・
プロセッサ20のステップ64′乃至70は、第３図のステッ
プ64′乃至70と同じである。 表４は、センダ・プロセッサ10が10時29分32秒の時点で
故障したために、リスナ・プロセッサ20がその引き継ぎ
を行っている間に生ずる、複数イベントの時間シーケン
スを示す。10時29分30秒の時点には、センダ・プロセッ
サ10のシステム状況表54が「OK」と表示し、そしてセン
ダ・プロセッサ10が工作物を配置するために制御メッセ
ージ2300を送信したことが判る。このことは、当該制御
メッセージがリスナ・プロセッサ20の受信データ・バッ
ファ56で受信されていることから判る。リスナ・プロセ
ッサ20も制御メッセージ2300を生成しており、このメッ
セージを、リスナ・データ・バッファ58に置いている。
また、表４に示すように、５ミリ秒後には、背定応答信
号がリスナ・プロセッサ20の受信データ・バッファ56に
受信され、50ミリ秒後には、デバイス応答信号がリスナ
・プロセッサ20の受信データ・バッファ56に受信され
る。 表４を参照するに、リスナ・データ・バッファ58がタレ
ットを回転させるための第２のイベント・メッセージを
生成した10時29分32秒の時点には、リスナ・プロセッサ
20の受信データ・バッファ56の内容が空であることから
判るように、センダ・プロセッサ10からLAN1又はLAN2を
通して対応するメッセージは受信されていない。このこ
とは、リスナ・プロセッサ20が推認するように、センダ
・プロセッサ10の故障を示している。そこで、リスナ・
プロセッサ20は、第５図のステップ94で、引き継ぎ要求
を開始する。この引き継ぎ要求は、LAN1及びLAN2を通し
て、センダ・プロセッサ10に送信され、そのステップ96
で受信される。その間、リスナ・プロセッサ20は、ステ
ップ98で、引き継ぎタイマを開始させている。第５図に
示すように、センダ・プロセッサ10は、ステップ100
で、システム状況表54をチェックして、ステップ102を
示すように、センダ・プロセッサ10の状況が故障である
と決定する。このことは、表４の「センダのシステム状
況表54」という欄にも、表示されている。次に、センダ
・プロセッサ10は、ステップ136で、引き継ぎの同意メ
ッセージをリスナ・プロセッサ20に送信する。この同意
メッセージは、LAN1及びLAN2を通してリスナ・プロセッ
サ20に送信され、そのステップ138で受信される。それ
に応答して、リスナ・プロセッサ20は、ステップ144
で、自己の状況を「センダ」状態へ変更し、次にステッ
プ146で、ホスト・プロセッサ28又はシステム操作卓30
のいずれかにメッセージを送信して、その新しい状況を
通知する。今や「センダ」状態にあるリスナ・プロセッ
サ20は、引き継ぎを行うのに必要なインターバルの間
に、リスナ・プロセッサ20がその内部で生成した制御メ
ッセージを累積している、リスナ・データ・バッファ58
をアクセスする。 表４を参照して、この事情を説明する。10時29分32秒の
時点には、タレットを回転させるための制御メッセージ
2301が、リスナ・プロセッサ20により生成された。500
ミリ秒後には、カッタを接触させるための制御メッセー
ジ2302が生成される。更に進んで、10時29分33秒の時点
には、カッタを前進させるための制御メッセージ2303が
生成される。これらの３つのメッセージ（2301,2302及
び2303）は、リスナ・プロセッサ20の内部で生成され
て、リスナ・データ・バッファ58内で累積されていたも
のである。 10時29分33秒の時間には、リスナ・プロセッサ20は、ス
テップ144で、その状況を「センダ」状態に完全に変更
しており、そしてリスナ・データ・バッファ58内に累積
されただけで、未だLANを通してデバイス・コントロー
ラ24及び被制御デバイス26に送信されていない制御メッ
セージを求めて、リスナ・データ・バッファ58の内容の
アクセスを開始する。表４に示すように、10時29分33秒
の時点には、タレットを回転させるための制御メッセー
ジ2301が、リスナ・プロセッサ20の送信（センド）デー
タ・バッファ62を通してLAN1及びLAN2に出力される。そ
の後、表４に示すように、５ミリ以内にデバイス・コン
トローラ24からの背定応答信号を受信し、また50ミリ以
内にデバイス・コントローラ24からのデバイス応答信号
を受信する。次に、リスナ・データ・バッファ58がアク
セスされ、制御メッセージ2302がリスナ・プロセッサ20
の送信データ・バッファ62を通してLANに出力される。
その後、５ミリ秒以内に背定応答信号を受信し、また50
ミリ秒以内にデバイス応答信号を受信する。次に、リス
ナ・プロセッサ20は、リスナ・データ・バッファ58をア
クセスし、制御メッセージ2303を獲得し、これをリスナ
・プロセッサ20の送信データ・バッファ62を通してLAN
に出力する。その後、５ミリ秒以内に背定応答信号を受
信し、また50ミリ秒以内にデバイス応答信号を受信す
る。 かくて、表４に示すように、10時29分35秒の時点には、
リスナ・データ・バッファ58は、引き継ぎインターバル
の間に累積された遅延済みのメッセージをもはや有して
おらず、今やカッタを引き離すための現に生成された制
御メッセージ2304を有することになる。この制御メッセ
ージは、リスナ・プロセッサ20の送信データ・バッファ
62を通してLANに出力される。リスナ・プロセッサ20
は、ここに至って、当初に意図したスケジュール通りに
複数のメッセージを送信し、かくて第５図のステップ15
0に示すように、正常なセンダ・プロセッサとしてのデ
ータ・フローを再開する。 第６図には、センダ・プロセッサ10が完全に故障し、従
ってリスナ・プロセッサ20が優先的（preemptive）な引
き継ぎを行わざるをえなくなった場合の、センダ・プロ
セッサ10及びリスナ・プロセッサ20の動作を示す。第６
図に示すセンダ・プロセッサ10のステップ64乃至102′
は、第５図の該当するステップと同じである。第６図に
示すリスナ・プロセッサ20のステップ64′乃至98は、第
５図の該当するステップと同じである。第６図に示すよ
うに、センダ・プロセッサ10は、リスナ・プロセッサ20
がステップ94で送信した引き継ぎ要求に対する応答を、
ステップ152で、送信することができない。このため、
リスナ・プロセッサ20内のステップ154で、引き継ぎタ
イマが、センダ・プロセッサ10からの応答を受信しない
ままに、満了（時間切れ）となる。この結果、リスナ・
プロセッサ20は、ステップ144で、その状況を「セン
ダ」状態に変更した後、第５図に説明したのと同じステ
ップ146,148及び150を実行する。かくて、リスナ・プロ
セッサ20は、センダ・プロセッサ10の動作を優先的に引
き継いで、センダ・プロセッサとしての正常なデータ・
フローを再開することになる。 表５には、本発明をテレビ・ネットワーク放送のスケジ
ューリングへ適用した場合の例が示されている。表５に
示された各データ表は、30秒コマーシャル連続２本から
成るスポットを、10時30分に放映するためのものであ
る。イベント実行表48は、クラス23及びクラス14を保持
している。制御スケジュール表50は、かかる２つのクラ
ス内のイベントとして、クラス23に対応するイベント23
00乃至2304と、クラス14に対応するイベント1400とを保
持している。クラス23は、ビデオ・テープ１をキューす
るというイベントで、10時29分30秒に開始する。イベン
ト2300が完了して５秒後に、次のイベント2301が続い
て、ビデオ・テープ２をキューする。５秒経過すると、
第３のイベント2302が続いて、ビデオ・テープ１及び２
をネットワークに切り換える。次いで、第４のイベント
2303が、10時30分に開始して、テープ１を作動させる。
第５のイベント2304は、10時30分30秒に開始して、テー
プ２を作動させる。これでクラス23のイベントが完了し
たので、イベント実行表48は、クラス14を開始する。ク
ラス14は、制御スケジュール表50内で、放送衛星の中継
に切り換えるイベント1400より成るものとして指定され
ている。かくて、本発明に従ったリアルタイム式の、フ
ェイルセーフ処理制御システムを、テレビ番組のスケジ
ューリング及びテレビ・ネットワーク放送機器の制御へ
適用できることが判る。 表６は、本発明を自動車等の乗り物の交通管制に適用し
た他の例を示す。表６には、自動車の交通管制を行うた
めのデータ表が示されており、また条件付きブランチの
例も含まれている。表６に示されている作業用記憶域65
は、クラス24を含んでいて、このクラス24を構成するイ
ベント2400乃至2404は、制御スケジール表50内に格納さ
れている。イベント実行表48は、現にクラス14とクラス
23とを有している。クラス14を構成するイベントは、制
御スケジュール表50内でイベント1400として指定されて
おり、一方、クラス23を構成するイベントは、制御スケ
ジュール表50内でイベント2400乃至2404として指定され
ている。イベント実行表48は、11時０分に開始するクラ
ス14を含んでおり、この11時０分には、制御スケジュー
ル表50で指定されているイベント1400が、１番通りにお
ける交通量の測定を制御する。 もし、測定した１分当たりの自動車の交通量が、100台
よりも大きければ、クラス24が作業用記憶域65からイベ
ント実行表48へロードされて、現にイベント実行表48に
存在しているクラス23と置き換わる。もし、測定した１
分当たりの自動車の交通量が、100台以下であれば、ク
ラス23を構成するイベント2300乃至2304を、12時０分か
ら順次に実行して、１番通りから５番通りにある青信号
を順次に１分間ずつ点灯させることができる。代替的
に、もし、11時０分に測定した１分当たりの自動車の交
通量が100台より大きければ、作業用記憶域65からクラ
ス24をアクセスして、これをイベント実行表48内のクラ
ス23と置き換えることにより、12時０分に、イベント24
00乃至2404のシーケンスを実行して、１番通りから５番
通りにある青信号の点灯時間を２分間に設定することが
できる。 かくて、本発明に従ったりリアルタイム式の、フェイル
セーフ処理制御システム及び方法を、自動車の交通管制
業務に適用可能であることが判る。更に、リアルタイム
の変更及び条件は、複数イベントのスケジュールされた
シーケンスを切り替えるためのブランチ動作を生成可能
であることが判る。 第８図に示す本発明の他の実施例は、リザーブ・プロセ
ッサ20′を追加することによって、第１図のアーキテク
チャを強化したものである。現在のリスナ・プロセッサ
20がセンダ・プロセッサ10の動作を引き継がなければな
くなった場合に、リザーブ・プロセッサ20′を、リスナ
・プロセッサの状況（リスナ状態）に変更することがで
きる。新しいリスナ・プロセッサの状況を呈するリザー
ブ・プロセッサ20′の動作を、第９図の流れ図に示す。
第９図において、リザーブ・プロセッサ20′は、ステッ
プ160で、LAN1及びLAN2上のメッセージを監視する。も
し、リザーブ・プロセッサ20′が、ステップ162で、リ
スナ・プロセッサ20からセンダ・プロセッサ10へ送信さ
れた引き継ぎ要求を検出すれば、リザーブ・プロセッサ
20は、ステップ164で、そのタイマ表44内の引き継ぎタ
イマのタイムアウトを設定する。リザーブ・プロセッサ
20′は、リスナ・プロセッサ20と同じハードウェア構成
及びソフトウェア構成を有する（第２図参照）。次に、
リザーブ・プロセッサ20′は、ステップ166で、LAN1及
びLAN2上のメッセージの監視を継続する。もし、リザー
ブ・プロセッサ20′が、ステップ168で、センダ・プロ
セッサ10によって発行された拒否メッセージを検出すれ
ば、リザーブ・プロセッサ20′は、ステップ160に戻っ
て、LAN1及びLAN2上のメッセージを監視する。さもなけ
れば、すなわちステップ168で拒否メッセージが検出さ
れなければ、リザーブ・プロセッサ20′は、ステップ17
0で、引き継ぎのためのタイムアウトが満了したか否か
を決定する。もし、このタイムアウトが満了しておれ
ば、リザーブ・プロセッサ20′は、ステップ174に進ん
で、リスナ・プロセッサ20が新しいセンダ・プロセッサ
となって引き継ぎを行うのを待機する。もし、このタイ
ムアウトが満了していなければ、リザーブ・プロセッサ
20′は、ステップ172に進んで、センダ・プロセッサ10
がLAN上に引き継ぎのための同意メッセージを発行した
か否かを決定する。もし、この同意メッセージが発行さ
れていなければ、ステップ172からステップ166にループ
バックした後、リザーブ・プロセッサ20′は、LAN1及び
LAN2の監視を継続する。もし、センダ・プロセッサ10が
同意メッセージを発行したのであれば、ステップ172か
らステップ174に進んで、リザーブ・プロセッサ20′
は、リスナ・プロセッサ20が新しいセンダ・プロセッサ
10として引き継ぎを行うのを待機する。新しいセンダ・
プロセッサとしてのリスナ・プロセッサ20が、センダ・
プロセッサ10の動作を引き継いだ後、リザーブ・プロセ
ッサ20′は、ステップ176で、新しいセンダ・プロセッ
サから新しいデータ表を要求する。次に、リザーブ・プ
ロセッサ20′は、ステップ178で、その状況を、リザー
ブ・プロセッサとしての状況から、新しいリスナ・プロ
セッサとしての状況へ変更する。次いで、リザーブ・プ
ロセッサ20′は、リスナ・プロセッサとしての新しい状
況の下で、リスナ・プロセッサとしての正常動作を果す
ため、LAN1及びLAN2上のセンダ・プロセッサのメッセー
ジの監視を開始する。
セス制御システムの全容がブロック図の形式で示されて
いる。このシステムは、交通ネットワークの交通管制
や、通信ネットワークのメッセージ送信のスケジューリ
ングや、放送ネットワークの放送イベントのスケジュー
リング、等のリアルタイム式プロセス制御アプリケーシ
ョンを実行するように設計されている。これらのアプリ
ケーションは、予め定義されたスケジュール内で指定さ
れているように、実行すべき予め指定されたイベント・
シーケンスを持つという点で、共通の機能を有してい
る。しかし、実行すべきイベントにリアルタイムの変更
が生じた場合に、このシステムを修正して適応させるた
めには、シーケンス内のイベントを速やかに再スケジュ
ールすることが必要である。殆どのリアルタイム式プロ
セス制御アプリケーションは、信頼性と可用性が高い処
理システムを必要とするから、フェイルセーフ式の、ホ
ット・スタンバイ冗長プロセッサ構成が設けられてい
る。 少なくとも２台のプロセッサである、センダ・プロセッ
サ10とリスナ・プロセッサ20が、少なくとも１つのロー
カル・エリア・ネットワーク（LAN）を通して、１つ以
上の被制御デバイス26に接続されている。推奨実施例で
は、LAN1及びLAN2から成る複式（デュアル）LAN構成
を、センダ・プロセッサ10とリスナ・プロセッサ20と被
制御デバイス26との間の冗長並列通信リンクとして使用
する。一般に、被制御デバイス26は、これをLAN1及びLA
N2に接続するデバイス・コントロール24が管理する。ホ
スト・プロセッサ28は、LAN1及びLAN2に接続されてい
て、実行すべきものとして予め格納された複数イベント
のスケジュールを、センダ・プロセッサ10及びリスナ・
プロセッサ20に供給する。システム操作卓30も、LAN1及
びLAN2に接続されていて、オペレータがリアルタイムの
更新を行い且つシステム動作の監視を行うことを可能に
する。システム・クロック22は、線23を通してセンダ・
プロセッサ10とリスナ・プロセッサ20に接続されてい
て、両プロセッサが後述するように互いに同期して動作
することを保証する。 第２図は、センダ・プロセッサ10又はリスナ・プロセッ
サ20の機能ブロック図である。これらの２台のプロセッ
サは、ハードウェア構成もソフトウェア構成も同一であ
る。例えば、センダ・プロセッサ10が具備するプロセッ
サ・バス33には、中央演算処理装置32と、直接アクセス
記憶装置34と、LAN1に接続されたLAN1アダプタ36と、LA
N2に接続されたLAN2アダプタ38と、ローカル・クロック
40に接続された入力を有するコ・プロセッサ42から成る
プログラム式タイマが接続されている。ローカル・クロ
ック40の同期用クロック入力23は、システム・クロック
22に接続される。コ・プロセッサ42は、タイマ・マネー
ジャ61を使用して、タイマ表44を管理することにより、
センダ・プロセッサ10の動作に不可欠のプログラム式タ
イミングを与える。プロセッサ・バス33に接続されてい
るメモリ46は、複数のスケジューリング表及び実行表に
加えて、本発明の方法を実行するのに必要な種々のソフ
トウェア・モジュールを格納している。 センダ及びリスナ・モードの動作は、予め定義された時
間に、センダ・プロセッサ10からLAN1及びLAN2を通して
デバイス・コントローラ24へ制御メッセージを発行させ
るとともに、リスナ・プロセッサ20が、センダ・プロセ
ッサ10を監視して、これらのメッセージが指定された時
間に送信されることを保証する。センダ・プロセッサ10
が故障した場合には、リスナ・プロセッサ20は、センダ
・プロセッサ10と交渉して、リスナ・プロセッサ20によ
る引き継ぎ（takeover:テイクオーバ）が必要であるか
否かを決定する。センダ・プロセッサ10及びリスナ・プ
ロセッサ20のメモリ46は、イベント実行表48、制御スケ
ジュール表50、イベント状況表52及びタイマ表44を備え
ている。これらの表の編成は、本明細書の末尾にある表
１に示されている。 センダ・プロセッサ10の主たる機能は、被制御プロセス
において実行すべき複数のイベントを指定する制御スケ
ジュール表50を処理することである。リスナ・プロセッ
サ20は、これと全く同じ表を同期的に処理した後、セン
ダ・プロセッサ10が出力する制御メッセージと比較する
ために、その処理結果を保存する。制御スケジュール表
50は、予め定義されたスケジュールに従ってセンダ・プ
ロセッサ10が処理しなければならないような、時間的に
順序付けられた複数の活動を保持する。更に、センダ・
プロセッサ10は、ホスト・プロセッサ28から送られてく
る複数イベントのスケジュールの変更や、外部キュー信
号や、デバイス・コントローラ24のエラー・メッセージ
や、リスナ・プロセッサ20から送られてくる引き継ぎ要
求などのリアルタイム割り込みも処理しなければならな
い。更に、センダ・プロセッサ10は、当該プロセッサが
動作可能であるという背定表示を与えるために、ホスト
・プロセッサ28又はシステム操作卓30に定期的に送信さ
れる、ハートビート（heartbeat）と呼ばれる状況メッ
セージを生成する。センダ・プロセッサ10及びリスナ・
プロセッサ20は、両者ともに、線23を通してシステム・
クロック22を使用することにより、各自のローカル・ク
ロック40の同期性を維持する。ローカル・クロック40、
コ・プロセッサ42及びタイマ表44は、本発明の方法に従
った動作を行うために、プログラム式時間インターバル
を提供する、リアルタイム式のインターフェース・コ・
プロセッサである。リスナ・プロセッサ20は、全ての機
能についてセンダ・プロセッサ10を監視するとともに、
センダ・プロセッサ10が故障した場合には、いつでもシ
ステムの制御を引き受ける準備をしておくために、メモ
リ46内に重複する構成を維持する。 センダ・プロセッサ10及びリスナ・プロセッサ20は、各
自のメモリ46内に同一のソフトウェア・プログラム・モ
ジュールを有しているが、これらのモジュールは、セン
ダ・プロセッサ10及びリスナ・プロセッサ20が処理して
いるアプリケーションの特定の状態に依存する特定の状
況では、別個の実行経路を取ることもある。 第１図のシステムは、LAN1としてトークンリングLAN
を、またLAN2としてこれを重複するトークンリングLAN
を使用している。LAN1及びLAN2は、フェイルセーフ冗長
機能を強化するために、互いに並列に動作する。このト
ークンリングLANは、これに接続されている全てのセン
ダ・プロセッサ10及びリスナ・プロセッサ20と、全ての
デバイス・コントローラ24との間の多対多（any-to-an
y）通信を可能にする。LAN1及びLAN2の複式LAN構成は、
２重メッセージの処理を通して、システムの信頼性を向
上させる。LAN1及びLAN2に使用されるトークンリングLA
Nについては、“IBM Token Ring Network Architecture
Reference"、IBMマニュアル番号（SC 30-3374-01）に
詳述されており、これは、IEEEトークンリング・ネット
ワーク規格の802.2及び802.5に準拠する。IBMトークン
リング・フレームのフォーマットを、第７図に例示す
る。 リスナ・プロセッサ20が、LAN1及びLAN2の一方又は両方
を通して送信されたメッセージを監視することにより、
センダ・プロセッサ10が正常に動作していないことを検
出する場合、リスナ・プロセッサ20は、かかるLANを通
して、センダ・プロセッサ10に対し引き継ぎ要求を発行
する。この場合、センダ・プロセッサ10は、そのメモリ
46内にあるシステム状況表54を検査して、この要求を評
価し且つ引き継ぎが必要であるか否かを決定する。も
し、センダ・プロセッサ10が、引き継ぎが必要であると
判断するなら、当該プロセッサは、LAN1及びLAN2の一方
又は両方を通してリスナ・プロセッサ20に同意メッセー
ジを送信することにより、これを通知する。センダ・プ
ロセッサ10から引き継ぎの同意を通知される場合、リス
ナ・プロセッサ20は、引き継ぎ処理を開始する。代替的
に、もし、予め定義された時間インターバルが経過して
も、リスナ・プロセッサ20がセンダ・プロセッサ10から
何らの応答も受信しなければ、リスナ・プロセッサ20
は、自動的に引き継ぎ処理を開始する。或いは、もし、
センダ・プロセッサ10がリスナ・プロセッサ20の引き継
ぎ要求を拒否するのであれば、リスナ・プロセッサ20
は、自己の制御スケジュール表50内にエラーが存在する
ものと決定して、リスナ・プロセッサ20をセンダ・プロ
セッサ10と再同期させるため、センダ・プロセッサ10に
対し、システム・ファイルのコピーをリスナ・プロセッ
サ20に送信するように要求する。 もし、センダ・プロセッサ10又はリスナ・プロセッサ20
が、LAN1又はLAN2のいずれか一方のみを通してメッセー
ジを受信するなら、当該プロセッサは、このメッセージ
をLAN1及びLAN2の両方を通して受信したかのように処理
するとともに、通信を行っていない他方のLAN上に明白
な故障が存在することを記録する。各デバイス・コント
ローラ24も、LAN1及びLAN2の両方を通してメッセージを
受信する。もし、各デバイス・コントローラ24が、いず
れか一方のLANのみからメッセージを受信するなら、当
該デバイス・コントローラは、あたかもLAN1及びLAN2の
両方を通して受信したかのように、このメッセージを処
理する。その後、当該デバイス・コントローラ24が、他
方のLANを通して重複メッセージを受信した場合には、
このデバイス・コントローラ24は、かかるメッセージを
無視する。このように、LAN1又はLAN2のいずれか一方に
ソフト・エラーが生じたとしても、システムは動作中の
LANを使用して実行を継続するのである。 次に、第２図のメモリ46に格納されている重要なデータ
表のいくつかを説明する。制御スケジュール表50は、ホ
スト・プロセッサ28からセンダ・プロセッサ10及びリス
ナ・プロセッサ20の両方に送信される表データを保持す
る。制御スケジュール表50は、センダ・プロセッサ10及
びリスナ・プロセッサ20がデバイス・コントロール24に
送信すべき、スケジュールされた制御メッセージの主貯
蔵機構である。 イベント実行表48は、制御スケジュール表50への索引と
して作用する。イベント実行表48は、一のクラスへグル
ープ化された複数イベントのシーケンスのための、最先
の絶対開始時間（eariest absolute start time）を保
持する。一般に、各クラスは、一の機能を達成するため
に一のシーケンスで自然に実行される幾つかのイベント
を含んでいる。イベント実行表48の各エントリは、各ク
ラス内の各イベントのための最先の絶対開始時間と、当
該最初に生ずるイベントの制御スケジュール表50内の位
置に対するアドレス・ポインタとを保持する。スケジュ
ーリング・マネージャ53は、イベント実行表48を定期的
に走査して、近い将来にスケジュールされねばならな
い、これらのクラスのためのイベント情報を識別する。
イベント実行表48の各エントリには、クラス・フラグも
含まれている。このクラス・フラグは、当該クラスの状
況を、未開始、開始（済み）、完了（済み）又は停止
（済み）のいずれかに維持するためのものである。定期
的な走査期間中、完了したクラスのエントリは、イベン
ト実行表48から削除される。イベント実行表48の編成
は、表１に示されている。 イベント状況表52は、制御スケジュール表50内の各イベ
ントを処理する際に使用される状況情報を保持する。イ
ベント状況表52内のエントリは、複数のイベントが実行
のためにスケジュールされるとき、スケジューリング・
マネージャ53がこれを作成する。状況フィールドは、イ
ベント状況が受信されたときに更新される。イベント状
況は、未スケジュール、スケジュール（済み）、メッセ
ージ送信（済み）、背定応答受信（済み）、デバイス応
答受信（済み）又は停止（済み）のいずれかであり得
る。更に、完了コードは、当該イベントの実行が完了し
ているか否か、ソフト又はハードの故障が検出されたか
否かを表示する。イベント状況表52の編成は、表１に示
されている。 タイマ表44は、種々のアプリケーション・プロセスが開
始した時間インターバルに関する情報を維持するために
使用される。一のアプリケーションが一のタイマの開始
を要求する場合、タイマ表44内に一のエントリが作成さ
れる。タイマ表44内に入力されたこれらの実行時間は、
定期的に、どの時間インターバルが満了したのかを決定
するため、ローカル・クロック40の現時刻と定期的に照
合される。この動作を管理するのは、タイマ・マネージ
ャ61を使用するコ・プロセッサ42であって、特定のタイ
ムアウト（時間切れ）に至った場合には、中央演算処理
装置32に割り込みを与える。タイマ表44の編成は、表１
に示されている。 センダ・プロセッサ10及びリスナ・プロセッサ20の各々
は、当該プロセッサの現在の動作状態を決定する状況デ
ータを与える、システム状況表54を具備している。シス
テム状況表54は、コ・プロセッサ42、トークンリングLA
Nアダプタ36及び38の状況、当該プロセッサとホスト・
プロセッサ28の間のアプリケーション・プログラム対プ
ログラム通信セッションの状況、並びに直接アクセス記
憶装置34や、センダ・プロセッサ10及びリスナ・プロセ
ッサ20に関連する他のハードウェア及びソフトウェアの
状況を含んでいる。これらの全ての状況表示は、当該プ
ロセッサの動作上の健康さを表示する単一の２進状況に
要約されている。リスナ・プロセッサ20からの引き継ぎ
要求に応答して、センダ・プロセッサ10が参照するの
は、このシステム状況表54である。 また、メモリ46内に含まれる構成制御表57は、システム
内に接続されているハードウェアを指定するものであっ
て、センダ・プロセッサ10及びリスナ・プロセッサ20の
識別子や、ネットワーク内のデバイス・コントローラ24
及び被制御デバイス26の型及び識別子などを含んでい
る。構成制御表57は、追加のリザーブ・プロセッサや、
追加のデバイス・コントローラ24及び追加の被制御デバ
イス26を含むように、ホスト・プロセッサ28から再定義
することができるから、システム構成を柔軟に変更する
ことが可能となる。デバイス及びゲート状況表59は、ネ
ットワーク内の種々のデバイス及びゲートの動作状況の
トラックを維持する。メモリ46内には、各種の支援動作
を行うための、追加のアプリケーション・プログラム及
びオベレーティング・システムが含まれている。作業用
記憶域65も、メモリ46内に含まれている。 センダ・プロセッサ10及びリスナ・プロセッサ20の正常
な動作シーケンスは、第３図の流れ図を参考にすると、
一層良く理解することができる。理解を容易にするた
め、１つの例に沿って説明する。この例は、表２に示す
ように、本発明を自動ドリル機のプロセス制御に適用し
たものである。この自動ドリル機は、第１図に示す被制
御デバイス26の１つであると考えることができる。ホス
ト・プロセッサ28は、LAN1又はLAN2を通して、制御スケ
ジュール表50を含むデータ表をダウンロードする。セン
ダ・プロセッサ10及びリスナ・プロセッサ20は、制御ス
ケジュール表50を受信して、この制御スケジュール表50
内に保持されている情報から、表２に示すようなイベン
ト実行表48を作成することができる。制御スケジュール
表50を通して、３つのプロセス・クラスが伝達されてい
る。第１のクラス23は、工作物を配置し、ドリル機のタ
レットを回転させ、ドリル機のカッタを工作物に接触さ
せ、Ｘ方向にカッタを前進させ、次いでカッタを工作物
から引き離す、という順次的な５種類のイベントの、一
の連係リストから成る。第２のクラスはクラス14として
識別され、工作物を放出するという単一のイベントから
成る。第３のクラスはクラス16として識別され、工作物
を再配置するという単一イベントから成る。 イベント実行表48の初期設定は、２つの順次的なクラ
ス、すなわち第１のクラス23と、工作物の放出に係る第
２のクラス14とから構成されている。ローカル・クロッ
ク40が最先のイベントの時刻である10時29分30秒に近づ
くと、第１のクラス23がイベント状況表52内で初期設定
され、かくてイベント状況表52内の複数イベントに関連
する時間インターバルのスケジューリングを、タイマ表
44に入力することができる。タイマ表44に入力されたタ
イムアウト値は、表２に示した例に見ることができる。
センダ・プロセッサ10からメッセージを受信するための
タイムアウト・インターバルとして、リスナ・プロセッ
サ20のタイマ表44には、１ミリ秒のタイムアウト値が入
力されている。また、デバイス・コントローラ24からの
背定応答を受信するために、10ミリ秒のタイムアウト値
が設定されている。さらに、被制御デバイス26からのデ
バイス応答信号を受信するために、100ミリ秒のタイム
アウト値が設定されている。 第３図に示す、センダ・プロセッサ10及びリスナ・プロ
セッサ20の正常動作では、タイマ表44がタイムアウトす
ると、センダ・プロセッサ10の場合はステップ64で、リ
スナ・プロセッサ20の場合はステップ64′で、処理すべ
き次のタスクを識別する。次に、両プロセッサ内でタス
クの実行が開始され、表２のタイマ表44に示すごとく、
両プロセッサ内の背定応答タイマが開始され、そして両
プロセッサ内のデバイス応答タイマが開始される。更
に、ステップ66では、センダ・プロセッサ10からメッセ
ージを受信するための１ミリ秒のタイムアウト・インタ
ーバルを満了させるため、センダ・メッセージ・タイマ
がリスナ・プロセッサ20により開始される。 第３図の「ケースＡ」は、正常動作である。センダ・プ
ロセッサ10の内部では、センダ・データが準備されてい
て、ステップ68で、複式LAN通信マネージャ45が遂行す
るLANタスクにパスされ、次いでステップ72で、LAN1及
びLAN2に指令メッセージが送信される。この場合、セン
ダ・プロセッサ10は、ステップ80に示すように、デバイ
ス・コントローラ24からの背定応答信号を待機する。 リスナ・プロセッサ20の内部では、当該タスクは、セン
ダ・プロセッサ10の内部で準備されたセンダ・データの
コピーである、リスク・データを準備している。リスナ
・プロセッサ20の内部において、このリスナ・データ
は、リスナ・データ・バッファ58にロードされるが、LA
Nには送信されない。次に、リスナ・プロセッサ20は、L
AN1及びLAN2の一方又は両方を通して、センダ・プロセ
ッサ10からのメッセージの受信を待機する。ステップ74
で、リスナ・プロセッサ20は、LAN1又はLAN2の一方を通
して、センダ・プロセッサ10が送信した指令メッセージ
を受信する。受信済みのメッセージは、リスナ・プロセ
ッサ20の受信（レシーブ）データ・バッファ56に格納さ
れる。この受信データが指令メッセージであることをチ
ェックした後、ステップ76で、比較機構60を利用して、
センダ・プロセッサ10から送信され且つ現に受信データ
・バッファ56に格納されている受信データを、リスナ・
データ・バッファ58に格納されているデータと比較す
る。ここで、両方のデータが同じシーケンス番号を有す
るか否かがチェックされる。もし、リスナ・データ・バ
ッファ58内のデータが受信データ・バッファ56内にある
センダ・プロセッサ10からのデータに一致するなら、リ
スナ・プロセッサ20は、ステップ78で、タイマ表44内に
あるセンダ・メッセージ・タイマを取り消し、次にステ
ップ80′で、デバイス・コントローラ24からの背定応答
信号を待機する。このデバイス・コントローラ24は、セ
ンダ・プロセッサ10からの制御メッセージの受信に応答
して、LAN1及びLAN2を通して背定応答メッセージを送信
する。 本明細書に開示した特定の実施例では、IBMトークンリ
ング・ネットワークは、機能アドレスと呼ばれる特定の
グループ・アドレスを有している。これは、IEEE802.5
のグループ・アドレスの特殊形式である。このアドレッ
シング技法並びにIBMトークンリング・アーキテクチャ
のソース・アクセス・ポイント（SAP）アドレス及びIEE
E802.2の規約を利用することにより、センダ・プロセッ
サ10及びリスナ・プロセッサ20は互いに通信することが
可能であり、またデバイス・コントローラ24からの背定
応答信号を受信することができる。かかる機能アドレス
及びSAPアドレスは、各アプリケーションが背定応答信
号で以て応答することができるように、一意的なメッセ
ージ・ヘッダについて使用されている。一般に、低レベ
ルのプロトコルであるIEEE802.2の規約を使用した場合
には、必ずしも応答が得られるとは限らない。しかし、
一意的なメッセージ内の制御フィールドを利用してフレ
ームを受信し且つこれを返送することにより、デバイス
・コントローラ24は、センダ・プロセッサ10及びリスナ
・プロセッサ20に対し、背定応答信号を返送することが
できる。 第3B図において、センダ・プロセッサ10の場合はステッ
プ82で、リスナ・プロセッサ20の場合はステップ82′
で、背定応答信号を受信し、かかる受信信号をチェック
した後、タイマ表44内の背定応答タイマを取り消す。次
に、センダ・プロセッサ10及びリスナ・プロセッサ20
は、被制御デバイス26からの応答信号を待機する。セン
ダ・プロセッサ10の場合はステップ84で、またリスナ・
プロセッサ20の場合はステップ84′で、被制御デバイス
26からの応答を受信してこれをチェックした後、タイマ
表44内のデバイス応答タイマを取り消す。このセンダ・
プロセッサ10の正常動作の例では、かかる応答データ
は、ステップ86で、デバイス応答タスクにパスされる。
同様に、リスナ・プロセッサ20の場合は、この応答デー
タは、ステップ86′で、デバイス応答タスクにパスされ
る。 本明細書の表３には、スケジュールされた次のクラス
を、リアルタイム式に更新する例が示されている。表２
の例では、第１のクラス23が10時29分30秒に開始される
場合、スケジュールすべき次のクラスは、ドリル機の工
作物を放出させるクラス14である。クラス14が開始する
10時30分０秒より前の時点では、クラス14を、ホスト・
プロセッサ28からリアルタイムに更新することが可能で
ある。これが、表３に示されている動作である。ホスト
・プロセッサ28は、新しい第３のクラスであるクラス16
を、LAN1及びLAN2を通してセンダ・プロセッサ10及びリ
スナ・プロセッサ20へダウンロードすることにより、こ
のクラス16をイベント実行表48に入力して、既存のクラ
ス14と置き換えるようにする。イベント実行表48内の複
数のクラスは、一の連係リストにより、時間順に編成さ
れている。表３に示すイベント実行表48をリアルタイム
に更新するには、クラス14において連係リストをオープ
ンし、この連係リストをクラス16のエントリへ再経路指
定するとともに、クラス14をイベント実行表48から有効
に除去すればよい。もし、クラス16内の複数のイベント
が制御スケジュール表50内に未だ存在していなければ、
この時点で、かかるイベントもホスト22からダウンロー
ドされることになろう。実行すべきスケジュールをリア
ルタイムに更新することは、制御スケジュール表50内で
変更すべき複数イベントのクラスにおける最先の開始時
間より前であれば、いつでもこれを行うことができる。 このようにして、実行すべきスケジュールを、リアルタ
イムに更新することができる。この更新プロセスは、セ
ンダ・プロセッサ10及びリスナ・プロセッサ20の両方で
並列に行われる。表３には、スケジュールされた次のク
ラスに対するリアルタイムの更新を示す、10時29分32秒
の時点における結果的なデータ表が、センダ・プロセッ
サ10及びリスナ・プロセッサ20の両プロセッサについて
示されている。 第４図には、リスナ・プロセッサ20に故障が存在してい
たために、リスナ・プロセッサ20がセンダ・プロセッサ
10からの指令メッセージを受信しそこなった「ケース
Ｂ」の場合の、センダ・プロセッサ10及びリスナ・プロ
セッサ20の動作が示されている。センダ・プロセッサ10
内のステップ64乃至80は、第３図で説明した正常動作の
場合と同じである。同様に、リスナ・プロセッサ20内の
ステップ64′乃至70や、LAN1又はLAN2の一方を通してメ
ッセージを待機することも、第３図の場合と同じであ
る。 第４図に示すように、故障中のリスナ・プロセッサ20
は、センダ・プロセッサ10が送信した指令メッセージを
受信できないから、リスナ・プロセッサ20のタイマ表44
内にあるセンダ・メッセージ・マイタは、ステップ88
で、満了する。かくて、リスナ・プロセッサ20内のリス
ナ引き継ぎマネージャ51は、ステップ90で、引き継ぎタ
スクを開始し、ステップ92で、システム状況表54をチェ
ックした後、ステップ94で、引き継ぎ要求をLAN1及びLA
N2を通してセンダ・プロセッサ10に送信する。ステップ
96で、センダ・プロセッサ10は、引き継ぎ要求をリスナ
・プロセッサ20から受信する。次いで、センダ・プロセ
ッサ10は、ステップ102で、そのシステム状況表54をチ
ェックする。このシステム状況表54に故障が表示されて
いないので、センダ・プロセッサ10は、ステップ104
で、リスナ・プロセッサ20に拒否メッセージを送信す
る。この拒否メッセージは、ステップ106で、LAN1及びL
AN2を通して、リスナ・プロセッサ20によって受信され
る。この拒否メッセージを受信する場合、リスナ・プロ
セッサ20は、ステップ110で、（ステップ98で開始し
た）引き継ぎタイマを取り消した後、ステップ112で、
センダ・プロセッサ10に対し各データ表の新しいコピー
を送信するように要求する。一方、センダ・プロセッサ
10は、ステップ114で、新しいデータ表に対する要求を
受信し、ステップ116で、この要求に対する背定応答を
送信する。リスナ・プロセッサ20は、ステップ118で、
この背定応答を受信する。次に、センダ・プロセッサ10
は、ステップ120で、リスナ・プロセッサ20に送信すべ
き各データ表を準備するとともに、各データ表をリスナ
・プロセッサ20に送信するのに十分な幅を持つタイム・
ウインドウを検索する。次いで、センダ・プロセッサ10
は、ステップ122で、各データ表を送信し、リスナ・プ
ロセッサ20は、ステップ124で、これらのデータ表を受
信する。もし、リスナ・プロセッサ20が、センダ・プロ
セッサ10からデータ表の新しい完全なコピーを受信した
なら、リスナ・プロセッサ20は、ステップ126で、正常
処理を再開し、センダ・プロセッサ10の動作を監視す
る。 もし、センダ・プロセッサ10がLAN1及びLAN2を通してデ
ータ表を送信するステップ122の実行中に、ステップ128
で、エラー・メッセージ若しくはデバイス・コントロー
ラ24からの応答又は他の非同期イベントが生ずるなら、
センダ・プロセッサ10は、ステップ130で、データ表の
送信を中断し、ステップ132で、リスナ・プロセッサ20
に対し、データ表の送信を初めから再開することを通知
する。次に、センダ・プロセッサ10内のプロセスは、ス
テップ120にループバックし、かくてセンダ・プロセッ
サ10は、データ表のコピーを送信するのに十分な幅のウ
インドウを検索する。一旦、データ表の完全なコピーが
リスナ・プロセッサ20に成功裏に送信されると、リスナ
・プロセッサ20は、ステップ126で、正常処理を再開す
る。 第５図は、センダ・プロセッサ10がスケジュールされた
メッセージを送信することができず、そのため、リスナ
・プロセッサ20による引き継ぎの交渉に至る「ケース
Ｃ」の場合の、センダ・プロセッサ10及びリスナ・プロ
セッサ20内の動作ステップのシーケンスを示す。第５図
中、センダ・プロセッサ10のステップ64乃至68は、第３
図のステップ64乃至68と同じである。同様に、リスナ・
プロセッサ20のステップ64′乃至70は、第３図のステッ
プ64′乃至70と同じである。 表４は、センダ・プロセッサ10が10時29分32秒の時点で
故障したために、リスナ・プロセッサ20がその引き継ぎ
を行っている間に生ずる、複数イベントの時間シーケン
スを示す。10時29分30秒の時点には、センダ・プロセッ
サ10のシステム状況表54が「OK」と表示し、そしてセン
ダ・プロセッサ10が工作物を配置するために制御メッセ
ージ2300を送信したことが判る。このことは、当該制御
メッセージがリスナ・プロセッサ20の受信データ・バッ
ファ56で受信されていることから判る。リスナ・プロセ
ッサ20も制御メッセージ2300を生成しており、このメッ
セージを、リスナ・データ・バッファ58に置いている。
また、表４に示すように、５ミリ秒後には、背定応答信
号がリスナ・プロセッサ20の受信データ・バッファ56に
受信され、50ミリ秒後には、デバイス応答信号がリスナ
・プロセッサ20の受信データ・バッファ56に受信され
る。 表４を参照するに、リスナ・データ・バッファ58がタレ
ットを回転させるための第２のイベント・メッセージを
生成した10時29分32秒の時点には、リスナ・プロセッサ
20の受信データ・バッファ56の内容が空であることから
判るように、センダ・プロセッサ10からLAN1又はLAN2を
通して対応するメッセージは受信されていない。このこ
とは、リスナ・プロセッサ20が推認するように、センダ
・プロセッサ10の故障を示している。そこで、リスナ・
プロセッサ20は、第５図のステップ94で、引き継ぎ要求
を開始する。この引き継ぎ要求は、LAN1及びLAN2を通し
て、センダ・プロセッサ10に送信され、そのステップ96
で受信される。その間、リスナ・プロセッサ20は、ステ
ップ98で、引き継ぎタイマを開始させている。第５図に
示すように、センダ・プロセッサ10は、ステップ100
で、システム状況表54をチェックして、ステップ102を
示すように、センダ・プロセッサ10の状況が故障である
と決定する。このことは、表４の「センダのシステム状
況表54」という欄にも、表示されている。次に、センダ
・プロセッサ10は、ステップ136で、引き継ぎの同意メ
ッセージをリスナ・プロセッサ20に送信する。この同意
メッセージは、LAN1及びLAN2を通してリスナ・プロセッ
サ20に送信され、そのステップ138で受信される。それ
に応答して、リスナ・プロセッサ20は、ステップ144
で、自己の状況を「センダ」状態へ変更し、次にステッ
プ146で、ホスト・プロセッサ28又はシステム操作卓30
のいずれかにメッセージを送信して、その新しい状況を
通知する。今や「センダ」状態にあるリスナ・プロセッ
サ20は、引き継ぎを行うのに必要なインターバルの間
に、リスナ・プロセッサ20がその内部で生成した制御メ
ッセージを累積している、リスナ・データ・バッファ58
をアクセスする。 表４を参照して、この事情を説明する。10時29分32秒の
時点には、タレットを回転させるための制御メッセージ
2301が、リスナ・プロセッサ20により生成された。500
ミリ秒後には、カッタを接触させるための制御メッセー
ジ2302が生成される。更に進んで、10時29分33秒の時点
には、カッタを前進させるための制御メッセージ2303が
生成される。これらの３つのメッセージ（2301,2302及
び2303）は、リスナ・プロセッサ20の内部で生成され
て、リスナ・データ・バッファ58内で累積されていたも
のである。 10時29分33秒の時間には、リスナ・プロセッサ20は、ス
テップ144で、その状況を「センダ」状態に完全に変更
しており、そしてリスナ・データ・バッファ58内に累積
されただけで、未だLANを通してデバイス・コントロー
ラ24及び被制御デバイス26に送信されていない制御メッ
セージを求めて、リスナ・データ・バッファ58の内容の
アクセスを開始する。表４に示すように、10時29分33秒
の時点には、タレットを回転させるための制御メッセー
ジ2301が、リスナ・プロセッサ20の送信（センド）デー
タ・バッファ62を通してLAN1及びLAN2に出力される。そ
の後、表４に示すように、５ミリ以内にデバイス・コン
トローラ24からの背定応答信号を受信し、また50ミリ以
内にデバイス・コントローラ24からのデバイス応答信号
を受信する。次に、リスナ・データ・バッファ58がアク
セスされ、制御メッセージ2302がリスナ・プロセッサ20
の送信データ・バッファ62を通してLANに出力される。
その後、５ミリ秒以内に背定応答信号を受信し、また50
ミリ秒以内にデバイス応答信号を受信する。次に、リス
ナ・プロセッサ20は、リスナ・データ・バッファ58をア
クセスし、制御メッセージ2303を獲得し、これをリスナ
・プロセッサ20の送信データ・バッファ62を通してLAN
に出力する。その後、５ミリ秒以内に背定応答信号を受
信し、また50ミリ秒以内にデバイス応答信号を受信す
る。 かくて、表４に示すように、10時29分35秒の時点には、
リスナ・データ・バッファ58は、引き継ぎインターバル
の間に累積された遅延済みのメッセージをもはや有して
おらず、今やカッタを引き離すための現に生成された制
御メッセージ2304を有することになる。この制御メッセ
ージは、リスナ・プロセッサ20の送信データ・バッファ
62を通してLANに出力される。リスナ・プロセッサ20
は、ここに至って、当初に意図したスケジュール通りに
複数のメッセージを送信し、かくて第５図のステップ15
0に示すように、正常なセンダ・プロセッサとしてのデ
ータ・フローを再開する。 第６図には、センダ・プロセッサ10が完全に故障し、従
ってリスナ・プロセッサ20が優先的（preemptive）な引
き継ぎを行わざるをえなくなった場合の、センダ・プロ
セッサ10及びリスナ・プロセッサ20の動作を示す。第６
図に示すセンダ・プロセッサ10のステップ64乃至102′
は、第５図の該当するステップと同じである。第６図に
示すリスナ・プロセッサ20のステップ64′乃至98は、第
５図の該当するステップと同じである。第６図に示すよ
うに、センダ・プロセッサ10は、リスナ・プロセッサ20
がステップ94で送信した引き継ぎ要求に対する応答を、
ステップ152で、送信することができない。このため、
リスナ・プロセッサ20内のステップ154で、引き継ぎタ
イマが、センダ・プロセッサ10からの応答を受信しない
ままに、満了（時間切れ）となる。この結果、リスナ・
プロセッサ20は、ステップ144で、その状況を「セン
ダ」状態に変更した後、第５図に説明したのと同じステ
ップ146,148及び150を実行する。かくて、リスナ・プロ
セッサ20は、センダ・プロセッサ10の動作を優先的に引
き継いで、センダ・プロセッサとしての正常なデータ・
フローを再開することになる。 表５には、本発明をテレビ・ネットワーク放送のスケジ
ューリングへ適用した場合の例が示されている。表５に
示された各データ表は、30秒コマーシャル連続２本から
成るスポットを、10時30分に放映するためのものであ
る。イベント実行表48は、クラス23及びクラス14を保持
している。制御スケジュール表50は、かかる２つのクラ
ス内のイベントとして、クラス23に対応するイベント23
00乃至2304と、クラス14に対応するイベント1400とを保
持している。クラス23は、ビデオ・テープ１をキューす
るというイベントで、10時29分30秒に開始する。イベン
ト2300が完了して５秒後に、次のイベント2301が続い
て、ビデオ・テープ２をキューする。５秒経過すると、
第３のイベント2302が続いて、ビデオ・テープ１及び２
をネットワークに切り換える。次いで、第４のイベント
2303が、10時30分に開始して、テープ１を作動させる。
第５のイベント2304は、10時30分30秒に開始して、テー
プ２を作動させる。これでクラス23のイベントが完了し
たので、イベント実行表48は、クラス14を開始する。ク
ラス14は、制御スケジュール表50内で、放送衛星の中継
に切り換えるイベント1400より成るものとして指定され
ている。かくて、本発明に従ったリアルタイム式の、フ
ェイルセーフ処理制御システムを、テレビ番組のスケジ
ューリング及びテレビ・ネットワーク放送機器の制御へ
適用できることが判る。 表６は、本発明を自動車等の乗り物の交通管制に適用し
た他の例を示す。表６には、自動車の交通管制を行うた
めのデータ表が示されており、また条件付きブランチの
例も含まれている。表６に示されている作業用記憶域65
は、クラス24を含んでいて、このクラス24を構成するイ
ベント2400乃至2404は、制御スケジール表50内に格納さ
れている。イベント実行表48は、現にクラス14とクラス
23とを有している。クラス14を構成するイベントは、制
御スケジュール表50内でイベント1400として指定されて
おり、一方、クラス23を構成するイベントは、制御スケ
ジュール表50内でイベント2400乃至2404として指定され
ている。イベント実行表48は、11時０分に開始するクラ
ス14を含んでおり、この11時０分には、制御スケジュー
ル表50で指定されているイベント1400が、１番通りにお
ける交通量の測定を制御する。 もし、測定した１分当たりの自動車の交通量が、100台
よりも大きければ、クラス24が作業用記憶域65からイベ
ント実行表48へロードされて、現にイベント実行表48に
存在しているクラス23と置き換わる。もし、測定した１
分当たりの自動車の交通量が、100台以下であれば、ク
ラス23を構成するイベント2300乃至2304を、12時０分か
ら順次に実行して、１番通りから５番通りにある青信号
を順次に１分間ずつ点灯させることができる。代替的
に、もし、11時０分に測定した１分当たりの自動車の交
通量が100台より大きければ、作業用記憶域65からクラ
ス24をアクセスして、これをイベント実行表48内のクラ
ス23と置き換えることにより、12時０分に、イベント24
00乃至2404のシーケンスを実行して、１番通りから５番
通りにある青信号の点灯時間を２分間に設定することが
できる。 かくて、本発明に従ったりリアルタイム式の、フェイル
セーフ処理制御システム及び方法を、自動車の交通管制
業務に適用可能であることが判る。更に、リアルタイム
の変更及び条件は、複数イベントのスケジュールされた
シーケンスを切り替えるためのブランチ動作を生成可能
であることが判る。 第８図に示す本発明の他の実施例は、リザーブ・プロセ
ッサ20′を追加することによって、第１図のアーキテク
チャを強化したものである。現在のリスナ・プロセッサ
20がセンダ・プロセッサ10の動作を引き継がなければな
くなった場合に、リザーブ・プロセッサ20′を、リスナ
・プロセッサの状況（リスナ状態）に変更することがで
きる。新しいリスナ・プロセッサの状況を呈するリザー
ブ・プロセッサ20′の動作を、第９図の流れ図に示す。
第９図において、リザーブ・プロセッサ20′は、ステッ
プ160で、LAN1及びLAN2上のメッセージを監視する。も
し、リザーブ・プロセッサ20′が、ステップ162で、リ
スナ・プロセッサ20からセンダ・プロセッサ10へ送信さ
れた引き継ぎ要求を検出すれば、リザーブ・プロセッサ
20は、ステップ164で、そのタイマ表44内の引き継ぎタ
イマのタイムアウトを設定する。リザーブ・プロセッサ
20′は、リスナ・プロセッサ20と同じハードウェア構成
及びソフトウェア構成を有する（第２図参照）。次に、
リザーブ・プロセッサ20′は、ステップ166で、LAN1及
びLAN2上のメッセージの監視を継続する。もし、リザー
ブ・プロセッサ20′が、ステップ168で、センダ・プロ
セッサ10によって発行された拒否メッセージを検出すれ
ば、リザーブ・プロセッサ20′は、ステップ160に戻っ
て、LAN1及びLAN2上のメッセージを監視する。さもなけ
れば、すなわちステップ168で拒否メッセージが検出さ
れなければ、リザーブ・プロセッサ20′は、ステップ17
0で、引き継ぎのためのタイムアウトが満了したか否か
を決定する。もし、このタイムアウトが満了しておれ
ば、リザーブ・プロセッサ20′は、ステップ174に進ん
で、リスナ・プロセッサ20が新しいセンダ・プロセッサ
となって引き継ぎを行うのを待機する。もし、このタイ
ムアウトが満了していなければ、リザーブ・プロセッサ
20′は、ステップ172に進んで、センダ・プロセッサ10
がLAN上に引き継ぎのための同意メッセージを発行した
か否かを決定する。もし、この同意メッセージが発行さ
れていなければ、ステップ172からステップ166にループ
バックした後、リザーブ・プロセッサ20′は、LAN1及び
LAN2の監視を継続する。もし、センダ・プロセッサ10が
同意メッセージを発行したのであれば、ステップ172か
らステップ174に進んで、リザーブ・プロセッサ20′
は、リスナ・プロセッサ20が新しいセンダ・プロセッサ
10として引き継ぎを行うのを待機する。新しいセンダ・
プロセッサとしてのリスナ・プロセッサ20が、センダ・
プロセッサ10の動作を引き継いだ後、リザーブ・プロセ
ッサ20′は、ステップ176で、新しいセンダ・プロセッ
サから新しいデータ表を要求する。次に、リザーブ・プ
ロセッサ20′は、ステップ178で、その状況を、リザー
ブ・プロセッサとしての状況から、新しいリスナ・プロ
セッサとしての状況へ変更する。次いで、リザーブ・プ
ロセッサ20′は、リスナ・プロセッサとしての新しい状
況の下で、リスナ・プロセッサとしての正常動作を果す
ため、LAN1及びLAN2上のセンダ・プロセッサのメッセー
ジの監視を開始する。
第１図は、リアルタイム式の、フェイルセーフ・プロセ
ス制御システムの全容を示すブロック図、 第２図は、センダ・プロセッサ10又はリスナ・プロセッ
サ20軒本構成を示す機能ブロック図、 第３図は、第3A図及び第3B図から成り、センダ・プロセ
ッサ10及びリスナ・プロセッサ20の正常動作を示す流れ
図、 第４図は、第4A図、第4B図及び第4C図から成り、リスナ
・プロセッサ20が、センダ・プロセッサ10から送信され
た指令メッセージを受信しそこねた場合の、センダ・プ
ロセッサ10及びリスナ・プロセッサ20の動作を示す流れ
図、 第５図は、第5A図及び第5B図から成り、センダ・プロセ
ッサ10が、スケジュール済みのメッセージを送信しそこ
なった結果、リスナ・プロセッサ20が引き継ぎの交渉を
行う場合の、センダ・プロセッサ10及びリスナ・プロセ
ッサ20の動作を示す流れ図、 第６図は、第6A図及び第6B図から成り、センダ・プロセ
ッサ10が全面的に故障した結果、リスナ・プロセッサ20
が優先的に引き継ぎを行う場合の、センダ・プロセッサ
10及びリスナ・プロセッサ20の動作を示す流れ図、 第７図は、センダ・プロセッサ10又はリスナ・プロセッ
サ20がLANに出力する制御メッセージのフォーマットを
示す図、 第８図は、リザーブ・プロセッサ20′を含むリアルタイ
ム式の、フェイルセーフ・プロセス制御システムの代替
実施例の全容を示すブロック図、 第９図は、リザーブ・プロセッサ20′が新しいリスナ・
プロセッサの状況を呈する場合の、リザーブ・プロセッ
サ20′の動作を示す流れ図である。 10……センダ・プロセッサ 20……リスナ・プロセッサ 22……システム・クロック 24……デバイス・コントローラ 26……被制御デバイス 28……ホスト・プロセッサ 30……システム操作卓 32……中央演算処理装置 34……直接アクセス記憶装置 36……LAN1アダプタ 38……LAN2アダプタ 40……ローカル・クロック 42……コ・プロセッサ 44……タイマ表 46……メモリ
ス制御システムの全容を示すブロック図、 第２図は、センダ・プロセッサ10又はリスナ・プロセッ
サ20軒本構成を示す機能ブロック図、 第３図は、第3A図及び第3B図から成り、センダ・プロセ
ッサ10及びリスナ・プロセッサ20の正常動作を示す流れ
図、 第４図は、第4A図、第4B図及び第4C図から成り、リスナ
・プロセッサ20が、センダ・プロセッサ10から送信され
た指令メッセージを受信しそこねた場合の、センダ・プ
ロセッサ10及びリスナ・プロセッサ20の動作を示す流れ
図、 第５図は、第5A図及び第5B図から成り、センダ・プロセ
ッサ10が、スケジュール済みのメッセージを送信しそこ
なった結果、リスナ・プロセッサ20が引き継ぎの交渉を
行う場合の、センダ・プロセッサ10及びリスナ・プロセ
ッサ20の動作を示す流れ図、 第６図は、第6A図及び第6B図から成り、センダ・プロセ
ッサ10が全面的に故障した結果、リスナ・プロセッサ20
が優先的に引き継ぎを行う場合の、センダ・プロセッサ
10及びリスナ・プロセッサ20の動作を示す流れ図、 第７図は、センダ・プロセッサ10又はリスナ・プロセッ
サ20がLANに出力する制御メッセージのフォーマットを
示す図、 第８図は、リザーブ・プロセッサ20′を含むリアルタイ
ム式の、フェイルセーフ・プロセス制御システムの代替
実施例の全容を示すブロック図、 第９図は、リザーブ・プロセッサ20′が新しいリスナ・
プロセッサの状況を呈する場合の、リザーブ・プロセッ
サ20′の動作を示す流れ図である。 10……センダ・プロセッサ 20……リスナ・プロセッサ 22……システム・クロック 24……デバイス・コントローラ 26……被制御デバイス 28……ホスト・プロセッサ 30……システム操作卓 32……中央演算処理装置 34……直接アクセス記憶装置 36……LAN1アダプタ 38……LAN2アダプタ 40……ローカル・クロック 42……コ・プロセッサ 44……タイマ表 46……メモリ
───────────────────────────────────────────────────── フロントページの続き (72)発明者 サレシェ、キシン、ガーシャーニー アメリカ合衆国メリーランド州、ゲイサー ズバーグ、ナザーンス、プレイス、18761 (72)発明者 グレッグ、マシュー、マーゴシアン アメリカ合衆国メリーランド州、ジャーマ ンタウン、サマー、オーク、ドライブ、 11556 (72)発明者 マーク、ハーマン、ワイス アメリカ合衆国メリーランド州、ゲイサー ズバーグ、ケストレル、コート、117 (56)参考文献 特開 平１−145734（ＪＰ，Ａ) 特開 昭48−12646（ＪＰ，Ａ) 特開 昭50−154038（ＪＰ，Ａ)
Claims (7)
- 【請求項１】複数のデバイスをリアルタイムに制御する
ためのフェイルセーフ・データ処理システムであって、 デバイス指令メッセージを前記複数のデバイスへ通信す
るように、当該複数のデバイスへ結合されたLANと、 前記システムに対する周期的な時間基準を生成するため
のシステム・クロックと、 センダ・モードで動作し、前記システム・クロックに結
合されたクロック入力を有し、前記LANへ結合され、さ
らに第１の制御スケジュール表、プロセッサ状況表及び
制御プログラムを格納するメモリ装置を有していて、前
記制御プログラム内の命令ステップを順次に実行するこ
とにより、前記第１の制御スケジュール表からデータを
アクセスし、第１のデバイス指令メッセージ・シーケン
スを生成し、これらのデバイス指令メッセージを前記LA
Nを通して前記複数のデバイスへ送信するとともに、前
記プロセッサ状況表内の自己の健全状況を更新するため
の第１のプロセッサと、 リスナ・モードで動作し、前記システム・クロックへ結
合されたクロック入力を有し、前記LANへ結合され、さ
らに第２の制御スケジュール表及び制御プログラムを格
納するメモリ装置を有していて、前記制御プログラム内
の命令ステップを順次に実行することにより、前記第２
の制御スケジュール表からデータをアクセスし、前記第
１のデバイス指令メッセージ・シーケンスと同じ第２の
デバイス指令メッセージ・シーケンスを生成するととも
に、これらのデバイス指令メッセージをリスナ・データ
・バッファ内でバッファするための第２のプロセッサと
を備え、 前記第２のプロセッサは、前記LANを通して前記第１の
デバイス指令メッセージ・シーケンスを受信して、これ
らのデバイス指令メッセージを当該第２のプロセッサ内
の受信データ・バッファへ転送するように構成されてお
り、 さらに、前記第２のプロセッサ内に設けられ、前記リス
ナ・データ・バッファ及び前記受信データ・バッファへ
結合されていて、前記第１のデバイス指令メッセージ・
シーケンスを前記第２のデバイス指令メッセージ・シー
ケンスと比較するための比較手段と、 前記第２のプロセッサ内に設けられ、前記比較手段へ結
合されていて、前記第１のデバイス指令メッセージ・シ
ーケンスが前記第２のデバイス指令メッセージ・シーケ
ンスと同じでないときは、前記LANを通して前記第１の
プロセッサへ引き継ぎ要求を出力するとともに、前記第
２のプロセッサ内に設けられた予定のタイムアウト値を
有する引き継ぎインターバル・タイマを開始させるため
のリスナ引き継ぎ手段と、 前記第１のプロセッサ内に設けられ、前記LANへ結合さ
れていて、前記引き継ぎ要求を受信し且つこれに応答し
て、前記プロセッサ状況表をチェックすることにより、
前記第１のプロセッサが前記センダ・モードの動作を継
続可能であるか否かを決定するための引き継ぎ応答手段
とを備え、 前記第１のプロセッサが前記センダ・モードの動作を継
続不能であることを前記プロセッサ状況表が指示してい
るときは、前記引き継ぎ応答手段は、前記LANを通して
前記第２のプロセッサへ同意メッセージを出力し、前記
第２のプロセッサ内の前記リスナ引き継ぎ手段は、この
同意メッセージに応答して、前記第２のプロセッサを前
記センダ・モードへ変更し、前記リスナ・データ・バッ
ファ内の前記第２のデバイス指令メッセージ・シーケン
スをアクセスするとともに、これらのデバイス指令メッ
セージを前記LANを通して前記複数のデバイスへ出力
し、 前記第１のプロセッサが前記センダ・モードの動作を継
続可能であることを前記プロセッサ状況表が指示してい
るときは、前記引き継ぎ応答手段は、前記LANを通して
前記第２のプロセッサへ拒否メッセージを出力し、前記
第２のプロセッサ内の前記リスナ引き継ぎ手段は、この
拒否メッセージに応答して、前記制御スケジュール表の
新しいコピーに対する要求を前記第１のプロセッサへ送
信し、前記第１のプロセッサは、この要求に応答して、
前記制御スケジュール表の前記新しいコピーを前記第２
のプロセッサへ送信することを特徴とする、フェイルセ
ーフ・データ処理システム。 - 【請求項２】前記第１のプロセッサが前記引き継ぎ要求
に応答する前に、前記引き継ぎインターバル・タイマが
満了するときは、前記第２のプロセッサ内の前記リスナ
引き継ぎ手段は、前記第２のプロセッサを前記センダ・
モードの動作に変更し、前記リスナ・データ・バッファ
内の前記第２のデバイス指令メッセージ・シーケンスを
アクセスするとともに、これらのデバイス指令メッセー
ジを前記LANを通して前記複数のデバイスへ出力するこ
とを特徴とする、請求項１記載のフェイルセーフ・デー
タ処理システム。 - 【請求項３】複数のデバイスをリアルタイムに制御する
ためのフェイルセーフ・データ処理システムであって、 デバイス指令メッセージを前記複数のデバイスへ通信す
るように、当該複数のデバイスへ結合されたネットワー
クと、 前記システムに対する周期的な時間基準を生成するため
のシステム・クロックと、 前記ネットワークへ結合され、センダ・モードで動作
し、前記システム・クロックへ結合されたクロック入力
を有し、さらに第１の制御スケジュール表、プロセッサ
状況表及び制御プログラムを格納するメモリ装置を有し
ていて、前記第１の制御スケジュール表からデータをア
クセスし、第１のデバイス指令メッセージ・シーケンス
を生成し、これらのデバイス指令メッセージを前記ネッ
トワークを通して前記複数のデバイスへ送信するととも
に、前記プロセッサ状況表内の自己の健全状況を更新す
るための第１のプロセッサと、 前記ネットワークへ結合され、リスナ・モードで動作
し、前記システム・クロックへ結合されたクロック入力
を有し、さらに第２の制御スケジュール表及び制御プロ
グラムを格納するメモリ装置を有していて、前記第２の
制御スケジュール表からデータをアクセスし、第２のデ
バイス指令メッセージ・シーケンスを生成するととも
に、これらのデバイス指令メッセージをリスナ・データ
・バッファ内でバッファするための第２のプロセッサと
を備え、 前記第２のプロセッサは、前記ネットワークを通して前
記第１のデバイス指令メッセージ・シーケンスを受信し
て、これらのデバイス指令メッセージを当該第２のプロ
セッサ内の受信データ・バッファへ転送するように構成
されており、 さらに、前記第２のプロセッサ内に設けられ、前記リス
ナ・データ・バッファ及び前記受信データ・バッファへ
結合されていて、前記第１のデバイス指令メッセージ・
シーケンスを前記第２のデバイス指令メッセージ・シー
ケンスと比較するための比較手段と、 前記第２のプロセッサ内に設けられ、前記比較手段へ結
合されていて、前記第１のデバイス指令メッセージ・シ
ーケンスが前記第２のデバイス指令メッセージ・シーケ
ンスと同じでないときは、前記ネットワークを通して前
記第１のプロセッサへ引き継ぎ要求を出力するためのリ
スナ引き継ぎ手段と、 前記第１のプロセッサ内に設けられ、前記ネットワーク
へ結合されていて、前記引き継ぎ要求を受信し且つこれ
に応答して、前記プロセッサ状況表をチェックすること
により、前記第１のプロセッサが前記センダ・モードの
動作を継続可能であるか否かを決定するための引き継ぎ
応答手段とを備え、 前記第１のプロセッサが前記センダ・モードの動作を継
続不能であることを前記プロセッサ状況表が指示してい
るときは、前記引き継ぎ応答手段は、前記ネットワーク
を通して前記第２のプロセッサへ同意メッセージを出力
し、前記第２のプロセッサ内の前記リスナ引き継ぎ手段
は、この同意メッセージに応答して、前記第２のプロセ
ッサを前記センダ・モードへ変更し、前記リスナ・デー
タ・バッファ内の前記第２のデバイス指令メッセージ・
シーケンスをアクセスするとともに、これらのデバイス
指令メッセージを前記ネットワークを通して前記複数の
デバイスへ出力し、 前記第１のプロセッサが前記センダ・モードの動作を継
続可能であることを前記プロセッサ状況表が指示してい
るときは、前記引き継ぎ応答手段は、前記ネットワーク
を通して前記第２のプロセッサへ拒否メッセージを出力
し、前記第２のプロセッサ内の前記リスナ引き継ぎ手段
は、この拒否メッセージに応答して、前記制御スケジュ
ール表の新しいコピーに対する要求を前記第１のプロセ
ッサへ送信し、前記第１のプロセッサは、この要求に応
答して、前記制御スケジュール表の前記新しいコピーを
前記第２のプロセッサへ送信することを特徴とする、フ
ェイルセーフ・データ処理システム。 - 【請求項４】前記ネットワークへ結合され、前記システ
ム・クロックへ結合されたクロック入力を有し、前記第
２のプロセッサが前記センダ・モードへ変更されるとき
に、リスナ・プロセッサとしての状況を呈するリザーブ
・プロセッサを備えることを特徴とする、請求項３記載
のフェイルセーフ・データ処理システム。 - 【請求項５】複数のデバイスをリアルタイムに制御する
ためのフェイルセーフ・データ処理システムであって、 デバイス指令メッセージを前記複数のデバイスへ通信す
るように、当該複数のデバイスへ結合された第１のLAN
と、 デバイス指令メッセージを前記複数のデバイスへ通信す
るように、当該複数のデバイスへ結合された第２のLAN
と、 前記システムに対する周期的な時間基準を生成するため
のシステム・クロックと、 センダ・モードで動作し、前記システム・クロックへ結
合されたクロック入力を有し、前記第１及び第２のLAN
へ結合された第１の複式LANインターフェース手段を有
し、さらに第１の制御スケジュール表、プロセッサ状況
表及び制御プログラムを格納するメモリ装置を有してい
て、前記制御プログラム内の命令ステップを順次に実行
することにより、前記第１の制御スケジュール表からデ
ータをアクセスし、第１のデバイス指令メッセージ・シ
ーケンスを生成し、これらのデバイス指令メッセージを
前記第１の複式LANインターフェース手段並びに前記第
１及び第２のLANを通して前記複数のデバイスへ送信す
るとともに、前記プロセッサ状況表内の自己の健全状況
を更新するための第１のプロセッサと、 リスナ・モードで動作し、前記システム・クロックへ結
合されたクロック入力を有し、前記第１及び第２のLAN
へ結合された第２の複式LANインターフェース手段を有
し、さらに第２の制御スケジュール表及び制御プログラ
ムを格納するメモリ装置を有していて、前記制御プログ
ラム内の命令ステップを順次に実行することにより、前
記第２の制御スケジュール表からデータをアクセスし、
前記第１のデバイス指令メッセージ・シーケンスと同じ
第２のデバイス指令メッセージ・シーケンスを生成する
とともに、これらのデバイス指令メッセージをリスナ・
データ・バッファ内でバッファするための第２のプロセ
ッサとを備え、 前記第２の複式LANインターフェース手段は、前記第２
のLANを通して前記第１のデバイス指令メッセージ・シ
ーケンスを受信する前に、前記第１のLANを通して前記
第１のデバイス指令メッセージ・シーケンスを受信し
て、これらのデバイス指令メッセージを前記第２のプロ
セッサ内に設けられた受信データ・バッファへ転送する
ように構成されており、 さらに、前記第２のプロセッサ内に設けられ、前記リス
ナ・データ・バッファ及び前記受信データ・バッファへ
結合されていて、前記第１のデバイス指令メッセージ・
シーケンスを前記第２のデバイス指令メッセージ・シー
ケンスと比較するための比較手段と、 前記第２のプロセッサ内に設けられ、前記比較手段へ結
合されていて、前記第１のデバイス指令メッセージ・シ
ーケンスが前記第２のデバイス指令メッセージ・シーケ
ンスと同じでないときは、前記第１及び第２のLANを通
して前記第１のプロセッサへ引き継ぎ要求を出力すると
ともに、前記第２のプロセッサ内に設けられた予定のタ
イムアウト値を有する引き継ぎインターバル・タイマを
開始させるためのリスナ引き継ぎ手段と、 前記第１のプロセッサ内に設けられ、前記第１の複式LA
Nインターフェース手段へ結合されていて、前記引き継
ぎ要求を受信し且つこれに応答して、前記プロセッサ状
況表をチェックすることにより、前記第１のプロセッサ
が前記センダ・モードで動作を継続可能であるか否かを
決定するための引き継ぎ応答手段とを備え、 前記第１のプロセッサが前記センダ・モードの動作を継
続不能であることを前記プロセッサ状況表が指示してい
るときは、前記引き継ぎ応答手段は、前記第１の複式LA
Nインターフェース手段並びに前記第１及び第２のLANを
通して前記第２のプロセッサへ同意メッセージを出力
し、前記第２のプロセッサ内の前記リスナ引き継ぎ手段
は、前記同意メッセージに応答して、前記第２のプロセ
ッサを前記センダ・モードへ変更し、前記リスナ・デー
タ・バッファ内の前記第２のデバイス指令メッセージ・
シーケンスをアクセスするとともに、これらのデバイス
指令メッセージを前記第２のLANインターフェース手段
並びに前記第１及び第２のLANを通して前記複数のデバ
イスへ出力し、 前記第１のプロセッサが前記センダ・モードの動作を継
続可能であることを前記プロセッサ状況表が指示してい
るときは、前記引き継ぎ応答手段は、前記第１の複式LA
Nインターフェース手段並びに前記第１及び第２のLANを
通して前記第２のプロセッサへ拒否メッセージを出力
し、前記第２のプロセッサ内の前記リスナ引き継ぎ手段
は、この拒否メッセージに応答して、前記制御スケジュ
ール表の新しいコピーに対する要求を前記第１のプロセ
ッサへ送信し、前記第１のプロセッサは、この要求に応
答して、前記制御スケジュール表の前記新しいコピーを
前記第２のプロセッサへ送信することを特徴とする、フ
ェイルセーフ・データ処理システム。 - 【請求項６】前記第１のプロセッサが前記引き継ぎ要求
に応答する前に、前記引き継ぎインターバル・タイマが
満了するときは、前記第２のプロセッサ内の前記リスナ
引き継ぎ手段は、前記第２のプロセッサを前記センダ・
モードの動作に変更し、前記リスナ・データ・バッファ
内の前記第２のデバイス指令メッセージ・シーケンスを
アクセスするとともに、これらのデバイス指令メッセー
ジを前記第２の複式LANインターフェース手段並びに前
記第１及び第２のLANを通して前記複数のデバイスへ出
力することを特徴とする、請求項５記載のフェイルセー
フ・データ処理システム。 - 【請求項７】リザーブ・モードで動作し、前記システム
・クロックへ結合されたクロック入力を有し、前記第１
及び第２のLANへ結合された第３の複式LANインターフェ
ース手段を有し、さらに前記制御プログラムを格納する
メモリ装置を有していて、前記制御プログラム内の命令
ステップを順次に実行することにより、前記第１及び第
２のLANを監視するための第３のプロセッサと、 前記第３のプロセッサ内に設けられ、前記第３の複式LA
Nインターフェース手段へ結合されていて、前記引き継
ぎ要求を監視するための引き継ぎ応答手段とを備え、 前記第３のプロセッサ内に設けられた前記引き継ぎ応答
手段は、前記第２のプロセッサがその状況を前記センダ
・モードへ変更するときは、前記引き継ぎ要求に応答し
て、前記第３のプロセッサを前記リスナ・モードに変更
することを特徴とする、請求項５記載のフェイルセーフ
・データ処理システム。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US07/389,023 US5008805A (en) | 1989-08-03 | 1989-08-03 | Real time, fail safe process control system and method |
| US389023 | 1989-08-03 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH0371201A JPH0371201A (ja) | 1991-03-27 |
| JPH0754476B2 true JPH0754476B2 (ja) | 1995-06-07 |
Family
ID=23536510
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2176128A Expired - Lifetime JPH0754476B2 (ja) | 1989-08-03 | 1990-07-03 | フェイルセーフ・データ処理システム |
Country Status (4)
| Country | Link |
|---|---|
| US (1) | US5008805A (ja) |
| EP (1) | EP0411295A3 (ja) |
| JP (1) | JPH0754476B2 (ja) |
| CA (1) | CA2013335C (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005352708A (ja) * | 2004-06-10 | 2005-12-22 | Hitachi Ltd | オンライン同期スケジュール回復システムおよびその処理方法 |
Families Citing this family (74)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH0271644A (ja) * | 1988-09-07 | 1990-03-12 | Toshiba Corp | マスタスレーブ型制御システム |
| JP2559847B2 (ja) * | 1989-04-27 | 1996-12-04 | 日産自動車株式会社 | 生産ラインの管理方法 |
| US5088021A (en) * | 1989-09-07 | 1992-02-11 | Honeywell, Inc. | Apparatus and method for guaranteed data store in redundant controllers of a process control system |
| US5261036A (en) * | 1989-10-24 | 1993-11-09 | Mitsubishi Denki K.K. | Programmable controller with fuzzy control function, fuzzy control process and fuzzy control monitoring process |
| US5551050A (en) * | 1989-12-20 | 1996-08-27 | Texas Instruments Incorporated | System and method using synchronized processors to perform real time internal monitoring of a data processing device |
| US5774642A (en) * | 1990-08-09 | 1998-06-30 | Bull S.A. | Architecture for dynamic service processor exchange providing multitasking environment where multiple processors have access to a system configuration table |
| US5341496A (en) * | 1990-08-29 | 1994-08-23 | The Foxboro Company | Apparatus and method for interfacing host computer and computer nodes using redundant gateway data lists of accessible computer node data |
| JPH04133601A (ja) * | 1990-09-21 | 1992-05-07 | Toshiba Corp | 保安機能付自動運転制御装置 |
| US5136498A (en) * | 1990-09-26 | 1992-08-04 | Honeywell Inc. | Method for enacting failover of a 1:1 redundant pair of slave processors |
| US5142470A (en) * | 1990-09-26 | 1992-08-25 | Honeywell Inc. | Method of maintaining synchronization of a free-running secondary processor |
| US5129080A (en) * | 1990-10-17 | 1992-07-07 | International Business Machines Corporation | Method and system increasing the operational availability of a system of computer programs operating in a distributed system of computers |
| US5222017A (en) * | 1990-11-23 | 1993-06-22 | The University Of British Columbia | Control system to synchronize slave computers |
| EP0518630A3 (en) * | 1991-06-12 | 1993-10-20 | Aeci Ltd | Redundant control system |
| JPH05191388A (ja) * | 1992-01-14 | 1993-07-30 | Fujitsu Ltd | 通信処理システム |
| US5428769A (en) * | 1992-03-31 | 1995-06-27 | The Dow Chemical Company | Process control interface system having triply redundant remote field units |
| CA2136633A1 (en) * | 1992-06-12 | 1993-12-23 | James D. Allbery, Jr. | Intelligent process control communication system and method |
| DE69316009T2 (de) * | 1992-06-12 | 1998-04-23 | Dow Benelux | Sicheres frontendverbindungssystem und verfahren fur prozesssteuerungsrechner |
| US5390332A (en) * | 1992-09-15 | 1995-02-14 | Sun Microsystems, Inc. | Method and apparatus for performing a takeover of a microprocessor |
| EP0671030A1 (en) * | 1992-11-30 | 1995-09-13 | Base 10 Systems, Inc. | A safety critical processor and processing method for a data processing system |
| US5914953A (en) * | 1992-12-17 | 1999-06-22 | Tandem Computers, Inc. | Network message routing using routing table information and supplemental enable information for deadlock prevention |
| US5390326A (en) * | 1993-04-30 | 1995-02-14 | The Foxboro Company | Local area network with fault detection and recovery |
| US5818182A (en) | 1993-08-13 | 1998-10-06 | Apple Computer, Inc. | Removable media ejection system |
| US5566299A (en) * | 1993-12-30 | 1996-10-15 | Lockheed Martin Corporation | Fault tolerant method and system for high availability document image and coded data processing |
| US6018716A (en) * | 1994-04-28 | 2000-01-25 | International Business Machines Corporation | Apparatus and method for analysis of continuous process lines |
| JP2679674B2 (ja) * | 1994-05-02 | 1997-11-19 | 日本電気株式会社 | 半導体製造ライン制御装置 |
| US5566297A (en) * | 1994-06-16 | 1996-10-15 | International Business Machines Corporation | Non-disruptive recovery from file server failure in a highly available file system for clustered computing environments |
| US5560033A (en) * | 1994-08-29 | 1996-09-24 | Lucent Technologies Inc. | System for providing automatic power control for highly available n+k processors |
| US5491792A (en) * | 1994-09-23 | 1996-02-13 | Forney International, Inc. | Sequence of events system using a redundant analog I/O board system |
| US5864654A (en) * | 1995-03-31 | 1999-01-26 | Nec Electronics, Inc. | Systems and methods for fault tolerant information processing |
| EP0825506B1 (en) * | 1996-08-20 | 2013-03-06 | Invensys Systems, Inc. | Methods and apparatus for remote process control |
| US5803411A (en) * | 1996-10-21 | 1998-09-08 | Abb Daimler-Benz Transportation (North America) Inc. | Method and apparatus for initializing an automated train control system |
| US6061807A (en) * | 1997-06-27 | 2000-05-09 | International Business Machines Corporation | Methods systems and computer products for error recovery of endpoint nodes |
| JP4343282B2 (ja) * | 1998-02-10 | 2009-10-14 | 富士通株式会社 | 複合通信端末装置管理システム及び複合通信端末装置 |
| US6272386B1 (en) * | 1998-03-27 | 2001-08-07 | Honeywell International Inc | Systems and methods for minimizing peer-to-peer control disruption during fail-over in a system of redundant controllers |
| US6216051B1 (en) | 1998-05-04 | 2001-04-10 | Nec Electronics, Inc. | Manufacturing backup system |
| US6691183B1 (en) | 1998-05-20 | 2004-02-10 | Invensys Systems, Inc. | Second transfer logic causing a first transfer logic to check a data ready bit prior to each of multibit transfer of a continous transfer operation |
| JP2000090057A (ja) * | 1998-09-11 | 2000-03-31 | Omron Corp | グループオブジェクト及び制御システム |
| US7272815B1 (en) | 1999-05-17 | 2007-09-18 | Invensys Systems, Inc. | Methods and apparatus for control configuration with versioning, security, composite blocks, edit selection, object swapping, formulaic values and other aspects |
| US7096465B1 (en) | 1999-05-17 | 2006-08-22 | Invensys Systems, Inc. | Process control configuration system with parameterized objects |
| AU5025600A (en) | 1999-05-17 | 2000-12-05 | Foxboro Company, The | Process control configuration system with parameterized objects |
| US7089530B1 (en) * | 1999-05-17 | 2006-08-08 | Invensys Systems, Inc. | Process control configuration system with connection validation and configuration |
| US6754885B1 (en) | 1999-05-17 | 2004-06-22 | Invensys Systems, Inc. | Methods and apparatus for controlling object appearance in a process control configuration system |
| US7043728B1 (en) | 1999-06-08 | 2006-05-09 | Invensys Systems, Inc. | Methods and apparatus for fault-detecting and fault-tolerant process control |
| US6501995B1 (en) | 1999-06-30 | 2002-12-31 | The Foxboro Company | Process control system and method with improved distribution, installation and validation of components |
| US6788980B1 (en) | 1999-06-11 | 2004-09-07 | Invensys Systems, Inc. | Methods and apparatus for control using control devices that provide a virtual machine environment and that communicate via an IP network |
| AU6615600A (en) | 1999-07-29 | 2001-02-19 | Foxboro Company, The | Methods and apparatus for object-based process control |
| JP2001077919A (ja) * | 1999-09-03 | 2001-03-23 | Fujitsu Ltd | 冗長構成監視制御システム並びにその監視制御装置及び被監視制御装置 |
| US6473660B1 (en) | 1999-12-03 | 2002-10-29 | The Foxboro Company | Process control system and method with automatic fault avoidance |
| US6779128B1 (en) | 2000-02-18 | 2004-08-17 | Invensys Systems, Inc. | Fault-tolerant data transfer |
| US6968242B1 (en) * | 2000-11-07 | 2005-11-22 | Schneider Automation Inc. | Method and apparatus for an active standby control system on a network |
| US7023795B1 (en) | 2000-11-07 | 2006-04-04 | Schneider Automation Inc. | Method and apparatus for an active standby control system on a network |
| US7174359B1 (en) * | 2000-11-09 | 2007-02-06 | International Business Machines Corporation | Apparatus and methods for sequentially scheduling a plurality of commands in a processing environment which executes commands concurrently |
| WO2002058337A1 (en) * | 2001-01-19 | 2002-07-25 | Openwave Systems, Inc. | Computer solution and software product to establish error tolerance in a network environment |
| US20040153714A1 (en) * | 2001-01-19 | 2004-08-05 | Kjellberg Rikard M. | Method and apparatus for providing error tolerance in a network environment |
| US6868509B2 (en) * | 2001-12-07 | 2005-03-15 | Invensys Systems, Inc. | Method and apparatus for network fault correction via adaptive fault router |
| DE60213008T2 (de) * | 2002-03-28 | 2006-11-16 | Telefonaktiebolaget Lm Ericsson (Publ) | Anordnung und verfahren zum unterstützen der prozess-/anwendungssteuerung |
| EP1502218A4 (en) * | 2002-04-15 | 2005-08-17 | Invensys Sys Inc | METHOD AND DEVICES FOR A PROCESS-, FACTORY-, ENVIRONMENT-, ENVIRONMENT- AND COMPUTER AIDED MANUFACTURING-BASED OR OTHERWISE CONTROL SYSTEM WITH REAL-TIME DATA DISTRIBUTION |
| ITSV20020018A1 (it) * | 2002-05-03 | 2003-11-03 | Alstom Transp Spa | Dispositivo di elaborazione o comando operante in sicurezza intrinseca |
| KR100487331B1 (ko) | 2002-10-22 | 2005-05-03 | 엘지전자 주식회사 | 디지털 티브이 및 구동방법 |
| US7287184B2 (en) * | 2003-09-16 | 2007-10-23 | Rockwell Automation Technologies, Inc. | High speed synchronization in dual-processor safety controller |
| US7761923B2 (en) | 2004-03-01 | 2010-07-20 | Invensys Systems, Inc. | Process control methods and apparatus for intrusion detection, protection and network hardening |
| EP1672505A3 (en) * | 2004-12-20 | 2012-07-04 | BWI Company Limited S.A. | Fail-silent node architecture |
| US20070038849A1 (en) * | 2005-08-11 | 2007-02-15 | Rajiv Madampath | Computing system and method |
| WO2007123753A2 (en) | 2006-03-30 | 2007-11-01 | Invensys Systems, Inc. | Digital data processing apparatus and methods for improving plant performance |
| JP5243113B2 (ja) * | 2008-06-19 | 2013-07-24 | 株式会社日立製作所 | 演算処理装置多重化制御システム |
| CN104407518B (zh) | 2008-06-20 | 2017-05-31 | 因文西斯系统公司 | 对用于过程控制的实际和仿真设施进行交互的系统和方法 |
| US8626954B2 (en) * | 2008-08-28 | 2014-01-07 | Alcatel Lucent | Application-aware M:N hot redundancy for DPI-based application engines |
| US8463964B2 (en) | 2009-05-29 | 2013-06-11 | Invensys Systems, Inc. | Methods and apparatus for control configuration with enhanced change-tracking |
| US8127060B2 (en) | 2009-05-29 | 2012-02-28 | Invensys Systems, Inc | Methods and apparatus for control configuration with control objects that are fieldbus protocol-aware |
| KR101081990B1 (ko) * | 2010-10-20 | 2011-11-09 | 주식회사 나라컨트롤 | 빌딩자동제어장치의 제어방법 |
| JP6000685B2 (ja) * | 2012-06-25 | 2016-10-05 | 京セラ株式会社 | 通信端末、通信制御プログラムおよび通信制御方法 |
| GB2516435A (en) * | 2013-04-05 | 2015-01-28 | Continental Automotive Systems | Embedded memory management scheme for real-time applications |
| RU2657166C1 (ru) * | 2017-04-17 | 2018-06-08 | Российская Федерация, от имени которой выступает Государственная корпорация по атомной энергии "Росатом" | Самодиагностируемая бортовая вычислительная система с резервированием замещением |
| RU193697U1 (ru) * | 2019-08-07 | 2019-11-11 | Акционерное общество "Научно-производственный центр "Полюс" | Резервированный контроллер для систем электропитания космического аппарата |
Family Cites Families (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US3665173A (en) * | 1968-09-03 | 1972-05-23 | Ibm | Triple modular redundancy/sparing |
| FR2144912A5 (ja) * | 1971-07-02 | 1973-02-16 | Cerci | |
| US3905023A (en) * | 1973-08-15 | 1975-09-09 | Burroughs Corp | Large scale multi-level information processing system employing improved failsaft techniques |
| US3882455A (en) * | 1973-09-14 | 1975-05-06 | Gte Automatic Electric Lab Inc | Configuration control circuit for control and maintenance complex of digital communications system |
| GB1536046A (en) * | 1976-06-30 | 1978-12-20 | Ibm | Data processing system power control |
| US4212059A (en) * | 1977-03-14 | 1980-07-08 | Tokyo Shibaura Electric Co., Ltd. | Information processing system |
| US4351023A (en) * | 1980-04-11 | 1982-09-21 | The Foxboro Company | Process control system with improved system security features |
| US4500951A (en) * | 1981-01-07 | 1985-02-19 | Hitachi, Ltd. | Plant control system |
| US4455601A (en) * | 1981-12-31 | 1984-06-19 | International Business Machines Corporation | Cross checking among service processors in a multiprocessor system |
| US4872106A (en) * | 1983-04-06 | 1989-10-03 | New Forney Corp. | Industrial process control system with back-up data processors to take over from failed primary data processors |
| US4491087A (en) * | 1984-02-03 | 1985-01-01 | Herring Sr William T | Animal feeder especially for feeding pigs and the like |
| US4672530A (en) * | 1984-12-17 | 1987-06-09 | Combustion Engineering, Inc. | Distributed control with universal program |
| JPS6272248A (ja) * | 1985-09-25 | 1987-04-02 | Hitachi Ltd | デ−タ伝送システムの現用予備切替方法 |
| US4847837A (en) * | 1986-11-07 | 1989-07-11 | The United States Of America As Represented By The Administrator Of The National Aeronautics And Space Administration | Local area network with fault-checking, priorities and redundant backup |
| JPH01145734A (ja) * | 1987-12-01 | 1989-06-07 | Nec Corp | データ処理装置 |
-
1989
- 1989-08-03 US US07/389,023 patent/US5008805A/en not_active Expired - Fee Related
-
1990
- 1990-03-29 CA CA002013335A patent/CA2013335C/en not_active Expired - Fee Related
- 1990-06-21 EP EP19900111716 patent/EP0411295A3/en not_active Ceased
- 1990-07-03 JP JP2176128A patent/JPH0754476B2/ja not_active Expired - Lifetime
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005352708A (ja) * | 2004-06-10 | 2005-12-22 | Hitachi Ltd | オンライン同期スケジュール回復システムおよびその処理方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| EP0411295A3 (en) | 1992-05-27 |
| CA2013335A1 (en) | 1991-02-03 |
| JPH0371201A (ja) | 1991-03-27 |
| CA2013335C (en) | 1994-05-24 |
| EP0411295A2 (en) | 1991-02-06 |
| US5008805A (en) | 1991-04-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JPH0754476B2 (ja) | フェイルセーフ・データ処理システム | |
| JP2002522845A (ja) | フォールトトレラント・コンピュータシステム | |
| EP0950955B1 (en) | Method and apparatus for correct and complete transactions in a fault tolerant distributed database system | |
| US20100042715A1 (en) | Method and systems for redundant server automatic failover | |
| JPH07113912B2 (ja) | 分散型情報処理システムのデバッグ方式 | |
| JPH11184825A (ja) | クラスタシステム | |
| US7467322B2 (en) | Failover method in a cluster computer system | |
| EP2038714B1 (en) | Method, computer readable medium and system for guaranteed batch event delivery in a process control system | |
| JPH08123747A (ja) | 施設管理システムにおける分散処理方式 | |
| US5446875A (en) | System to pass through resource information | |
| CN114546716B (zh) | 一种人机接口设备的热备方法及系统 | |
| JP2000020336A (ja) | 二重化通信システム | |
| JP2907233B2 (ja) | プログラマブルコントローラの上位リンクシステム | |
| JPH07219799A (ja) | 待機冗長システムおよび状態遷移順序決定方法 | |
| JP3082704B2 (ja) | 通信装置管理方式 | |
| JPH0713791A (ja) | 二重化制御システムの等値化方法 | |
| JP2000082006A (ja) | 情報バックアップシステム | |
| JP3035974B2 (ja) | 通信方法 | |
| JP2908430B1 (ja) | マルチプロセッサシステムのホストプロセッサ監視装置および監視方法 | |
| JP2007072980A (ja) | 計算機制御システム | |
| JPH0320780B2 (ja) | ||
| JP2000221950A (ja) | 案内表示システム及び記録媒体 | |
| JP2003076572A (ja) | コンピュータシステム、プログラム、フォールバック方法 | |
| JPH0372746A (ja) | ループ式通信システムにおける障害処理方法および局の接続順序確認方法 | |
| JPH0433036A (ja) | データ処理システム |