[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

JP3897046B2 - 情報処理装置および情報処理方法 - Google Patents

情報処理装置および情報処理方法 Download PDF

Info

Publication number
JP3897046B2
JP3897046B2 JP2005021423A JP2005021423A JP3897046B2 JP 3897046 B2 JP3897046 B2 JP 3897046B2 JP 2005021423 A JP2005021423 A JP 2005021423A JP 2005021423 A JP2005021423 A JP 2005021423A JP 3897046 B2 JP3897046 B2 JP 3897046B2
Authority
JP
Japan
Prior art keywords
information processing
unit
cpu
data
determination
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2005021423A
Other languages
English (en)
Other versions
JP2006209523A (ja
Inventor
幸雄 馬庭
宏美 関野
篤 寺山
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Yokogawa Electric Corp
Original Assignee
Yokogawa Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Yokogawa Electric Corp filed Critical Yokogawa Electric Corp
Priority to JP2005021423A priority Critical patent/JP3897046B2/ja
Priority to PCT/JP2006/301303 priority patent/WO2006080431A1/ja
Priority to CN2006800034410A priority patent/CN101111822B/zh
Priority to EP06712469A priority patent/EP1857936B1/en
Priority to US11/883,454 priority patent/US8359529B2/en
Publication of JP2006209523A publication Critical patent/JP2006209523A/ja
Application granted granted Critical
Publication of JP3897046B2 publication Critical patent/JP3897046B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1675—Temporal synchronisation or re-synchronisation of redundant processing components
    • G06F11/1683—Temporal synchronisation or re-synchronisation of redundant processing components at instruction level
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1633—Error detection by comparing the output of redundant processing systems using mutual exchange of the output between the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1654—Error detection by comparing the output of redundant processing systems where the output of only one of the redundant processing components can drive the attached hardware, e.g. memory or I/O
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24173—One sensor, two I-O channels each for different processor
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24186—Redundant processors are synchronised
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24187—Redundant processors run identical programs
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25014—Fieldbus general name of bus connected to machines, detectors, actuators
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/25—Pc structure of the system
    • G05B2219/25428—Field device
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0796—Safety measures, i.e. ensuring safe condition in the event of error, e.g. for controlling element
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1637—Error detection by comparing the output of redundant processing systems using additional compare functionality in one or some but not all of the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/88—Monitoring involving counting

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • General Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Hardware Redundancy (AREA)
  • Multi Processors (AREA)

Description

本発明は、互いに独立して処理を実行する複数の装置を備える情報処理装置および情報処理方法に関し、とくに信頼性を向上させることができる情報処理装置および情報処理方法に関する。
プラントに配置されたフィールド機器を管理、制御するプラント制御システムが知られている。また、このようなプラントでは、プラントの安全を図るための安全システムが導入される。安全システムは、フィールド機器に異常が認められた場合に、警報を通知するとともに必要な措置を実行するシステムであり、プラント制御システムの一部として、あるいは、プラント制御システムとは独立して設けられる。
特開２０００−３４７７０６号公報
安全システムには、その意図する機能から極めて高度の信頼性を要求される。例えば、異常が発生したにも関わらずシステムが安全だと認識し、あるいは、誤った情報を通知するような事態は極力回避しなければならない。また、異常が明らかには認識できないが、異常の可能性が示される場合には安全サイドの処理を選択する必要がある。
本発明の目的は、高度の信頼性を確保しうる情報処理装置および情報処理方法を提供することにある。
本発明の情報処理装置は、互いに独立して同一処理を二重に実行する第１の装置および第２の装置を備える情報処理装置において、前記情報処理装置の状態を前記第１の装置において判定する第１の判定手段と、前記情報処理装置の前記状態を前記第２の装置において判定する第２の判定手段と、前記第１の判定手段の判定結果を前記第２の装置に向けて送信する送信手段と、前記第１の判定手段および前記第２の判定手段の判定結果を、前記第２の装置において照合し、前記両判定結果が一致しない場合に異常と判定する照合手段と、を備えることを特徴とする。
前記照合手段の照合により異常と判定された場合に、前記第１の装置の機能を停止する停止手段を備えてもよい。
前記送信手段により送信される前記データの送受信のタイミングを利用して、前記第１の装置および前記第２の装置の処理を同期させる同期手段を備えてもよい。
本発明の情報処理装置は、互いに独立して同一処理を二重に実行する第１の装置および第２の装置を備える情報処理装置において、前記情報処理装置の状態を前記第１の装置において判定する第１の判定手段と、前記第１の装置において、前記第１の判定手段の判定結果のデータに基づき誤り検出用コードを生成する第１のコード生成手段と、前記情報処理装置の前記状態を前記第２の装置において判定する第２の判定手段と、 前記第２の装置において、前記第２の判定手段の判定結果のデータに基づき誤り検出用コードを生成する第２のコード生成手段と、前記第１のコード生成手段で生成された前記誤り検出用コードを前記第２の装置に向けて送信する送信手段と、前記第１のコード生成手段で生成された前記誤り検出用コードと、前記第２のコード生成手段で生成された前記誤り検出用コードとを前記第２の装置において照合し、前記両誤り検出用コードが一致しない場合に異常と判定する照合手段と、を備えることを特徴とする。
前記照合手段の照合により異常と判定された場合に、前記第１の装置の機能を停止する停止手段を備えてもよい。
前記第１の装置および前記第２の装置は、それぞれ個々のＣＰＵとして構成されていてもよい。
本発明の情報処理方法は、互いに独立して同一処理を二重に実行する第１の装置および第２の装置を備える情報処理方法において、前記情報処理装置の状態を前記第１の装置において判定するステップと、前記情報処理装置の前記状態を前記第２の装置において判定するステップと、前記第１の装置における判定結果を前記第２の装置に向けて送信するステップと、前記第１の装置における判定結果および前記第２の装置における判定結果を、前記第２の装置において照合し、前記両判定結果が一致しない場合に異常と判定するステップと、を備えることを特徴とする。
前記照合するステップでの照合により異常と判定された場合に、前記第１の装置の機能を停止するステップを備えてもよい。
本発明の情報処理方法は、互いに独立して同一処理を二重に実行する第１の装置および第２の装置を備える情報処理方法において、前記情報処理装置の状態を前記第１の装置において判定するステップと、前記第１の装置において、前記第１の判定手段の判定結果のデータに基づき誤り検出用コードを生成するステップと、前記情報処理装置の前記状態を前記第２の装置において判定するステップと、前記第２の装置において、前記第２の判定手段の判定結果のデータに基づき誤り検出用コードを生成するステップと、前記第１の装置において生成された前記誤り検出用コードを前記第２の装置に向けて送信するステップと、前記第１の装置において生成された前記誤り検出用コードと、前記第２の装置において生成された前記誤り検出用コードとを前記第２の装置において照合し、前記両誤り検出用コードが一致しない場合に異常と判定するステップと、を備えることを特徴とする。
前記照合手段の照合により異常と判定された場合に、前記第１の装置の機能を停止するステップを備えてもよい。
本発明の情報処理装置および情報処理方法によれば、第１の装置における処理により生成されたデータと、第２の装置における処理により生成されたデータとを照合し、これらが一致しない場合に異常と判定するので、確実に異常を検出することができる。
図１〜図３は本発明による情報処理装置を機能的に示すブロック図である。
図１（ａ）において、送信手段１０１は、第２の装置における処理により生成されたデータを、第２の装置から第１の装置に向けて送信する。データ照合手段１０２は、送信手段１０１により送信されたデータと、第１の装置における処理により生成されたデータとを、第１の装置において照合し、両データが一致しない場合に異常と判定する。
処理停止手段１０３は、データ照合手段１０２の照合により異常と判定された場合に、第１の装置による処理を停止する。
同期手段１０４は、送信手段１０１により送信されるデータの送受信のタイミングを利用して、第１の装置および第２の装置の処理を同期させる。
図１（ｂ）において、送信手段１０１は、第１の装置における処理により生成されたデータを、第１の装置から第２の装置に向けて送信する。データ照合手段１０２は、送信手段１０１により送信されたデータと、第２の装置における処理により生成されたデータとを、第２の装置において照合し、両データが一致しない場合に異常と判定する。
処理停止手段１０３は、データ照合手段１０２の照合により異常と判定された場合に、第１の装置による処理を停止する。
同期手段１０４は、送信手段１０１により送信されるデータの送受信のタイミングを利用して、第１の装置および第２の装置の処理を同期させる。
図２（ａ）において、取得手段１０５は、第１の装置における処理により生成されたデータおよび第２の装置における処理により生成されたデータをリアルタイムに取得する。データ照合手段１０２は、取得手段１０５により取得された両データを照合し、両データが一致しない場合に異常と判定する。
処理停止手段１０３は、データ照合手段１０２の照合により異常と判定された場合に、第１の装置による処理を停止する。
図２（ｂ）において、第１のコード生成手段１０６は、第１の装置における処理により生成したデータに基づき誤り検出用コードを生成する。第２のコード生成手段１０７は、第２の装置における処理により生成したデータに基づき誤り検出用コードを生成する。コード照合手段１０８は、第１のコード生成手段１０６および第２のコード生成手段１０７によりそれぞれ生成された誤り検出用コードを照合し、両誤り検出用コードが一致しない場合に異常と判定する。
処理停止手段１０９は、コード照合手段１０８の照合により異常と判定された場合に、第１の装置による処理を停止する。
図３（ａ）において、第１の検査手段１１１は、第１の装置が受け取った誤り検出用コード付きデータの異常の有無を、当該誤り検出用コードを用いて検査する。第２の検査手段１１２は、第２の装置が受け取った誤り検出用コード付きデータの異常の有無を、当該誤り検出用コードを用いて検査する。コード照合手段１１３は、第１の検査手段１１１および第２の検査手段１１２において用いた誤り検出用コードを照合する。判定手段１１４は、第１の検査手段１１１または第２の検査手段１１２による検査結果が異常を示す場合、または、コード照合手段１１３での照合によりコードが一致しない場合には、装置の異常と判定する。
処理停止手段１１５は、判定手段１１４により異常と判定された場合に、第１の装置による処理を停止する。
図３（ｂ）において、データ照合手段１１６は、第１の装置および第２の装置における処理により生成されたデータを照合する。カウント手段１１７は、第１の装置における処理により生成されたデータにカウント番号を付加する。カウント停止手段１１８は、データ照合手段１１６の照合により両データが一致しない場合にカウント手段１１７によるカウント番号の付加を停止させる。判定手段１１９は、カウント手段１１７により付加されたカウント番号に基づいて装置の異常を判定する。
処理停止手段１２０は、判定手段１１９により異常と判定された場合に、第１の装置による処理、または第２の装置による処理を停止する。
以下、図４〜図１０を参照して、本発明による情報処理装置の実施例１〜４について説明する。
図４は実施例１の情報処理装置が適用される安全システムの構成を示すブロック図である。この安全システムはプラント制御システムの一部として構成されている。
図４に示すように、プラント制御システムは、プラント各部に配置された電磁弁やセンサ等のフィールド機器１，１，・・・を統合的に管理、制御するコントローラ２と、コントローラ２およびフィールド機器１の間に介装される入出力装置３，３，・・・と、を備える。入出力装置３，３，・・・は、ネットワーク４を介してコントローラ２に接続されている。また、フィールド機器１，１，・・・は、ターミナルボード５を介して入出力装置３に接続されている。
図４に示すように、入出力装置３にはフィールド機器１とコントローラ１との間のインターフェース処理を実行する入出力ユニット３ａ，３ｂ，・・・が実装される。後述するように、これらの入出力ユニット３ａ，３ｂ，・・・では、信頼性向上を目的として同一処理を二重に実行している。
図５は入出力ユニット３ａの構成の一部を示すブロック図である。図５では、下流工程であるフィールド機器１の側から入力された入力値を加工して、上流工程であるコントローラ２の側に向けてＰＶ値（プロセス値）を出力するユニットの例を示している。
図５に示すように、このユニットは、マスターＣＰＵ１０と、スレーブＣＰＵ２０とを備え、それぞれのＣＰＵ１０およびＣＰＵ２０が互いに独立して同一処理を実行する。また、ＣＰＵ１０およびＣＰＵ２０は、それぞれその周囲に実装された周辺回路の診断を実行する。
図５に示すように、フィールド機器１からの入力値は、入力部７１および入力バッファ７２を介してマスターＣＰＵ１０に入力される。マスターＣＰＵ１０の周囲の周辺回路７４は診断回路７５により診断される。また、入力バッファ７２から出力された信号が診断回路７５に入力され、信号の異常の有無が診断される。周辺回路７４の異常の有無、および入力バッファ７２から出力された信号の異常の有無は、診断回路７５からの診断情報としてマスターＣＰＵ１０に入力される。
同様に、フィールド機器１からの同一の入力値は入力部７１および入力バッファ７３を介してスレーブＣＰＵ２０に入力される。スレーブＣＰＵ２０の周囲の周辺回路７６は診断回路７７により診断される。また、入力バッファ７３から出力された信号が診断回路７７に入力され、信号の異常の有無が診断される。周辺回路７６の異常の有無、および入力バッファ７３から出力された信号の異常の有無は、診断回路７７からの診断情報としてスレーブＣＰＵ２０に入力される。
図５に示すように、マスターＣＰＵ１０は、入力バッファ７２を経由して入力された入力値に対する演算処理を実行し、コントローラ２の側である上流工程で処理可能な形式のＰＶ値（プロセス値）に変換するＰＶ値処理部１１と、診断回路７５からの診断情報を受けて異常の検出および判定を実行し、診断結果であるステータスを生成する診断部１２とを備える。
また、マスターＣＰＵ１０は、スレーブＣＰＵ２０との間で通信を実行するための通信ブロック１３と、ＰＶ値およびステータスに、ＣＲＣ（Cyclic Redundancy Check；巡回冗長検査）コードおよび更新カウンタを付加するコード生成部１４とを備える。
また、スレーブＣＰＵ２０は、入力バッファ７３を経由して入力された入力値に対する演算処理を実行し、コントローラ２の側である上流工程で処理可能な形式のＰＶ値（プロセス値）に変換するＰＶ値処理部２１と、診断回路７７からの診断情報を受けて異常の検出および判定を実行し、診断結果であるステータスを生成する診断部２２とを備える。
また、スレーブＣＰＵ２０は、マスターＣＰＵ１０との間で通信を実行するための通信ブロック２３と、ＰＶ値およびステータスに、ＣＲＣ（Cyclic Redundancy Check；巡回冗長検査）コードおよび更新カウンタを付加するコード生成部２４とを備える。
次に、本ユニットの動作について説明する。
マスターＣＰＵ１０では、診断部１２で生成されたステータスと、スレーブＣＰＵ２０の診断部２４で生成され、通信ブロック２３および通信ブロック１３による通信を介して取得されたステータスとを、等値化部１５において、比較、等値化する。等値化はマスターＣＰＵ１０で取り扱うステータスと、スレーブＣＰＵ２０で取り扱うステータスとを同一にする処理である。等値化部１５ではステータスのＯＲ情報を生成する。すなわち、等値化部１５では、いずれかのステータスが異常を示す場合、その異常を取り込んだステータスに変更し、コード生成部１４に受け渡す。後述するように、スレーブＣＰＵ２０でも同様の処理を行うことで、マスターＣＰＵ１０およびスレーブＣＰＵ２０で取り扱うステータスを共通化する。
ＰＶ値処理部１１で生成されたＰＶ値は、コード生成部１４に与えられる。しかし、等値化部１５での処理に基づきステータスの異常が検出された場合には、遮断部１６によりコード生成部１４へのＰＶ値の入力が遮断される。
コード生成部１４では、入力されたＰＶ値および等値化部１５で生成されたステータスに基づいてＣＲＣコードを生成する。また、新たなＰＶ値およびステータスが入力されるたびにカウント番号を更新し、ＣＲＣコードに付加したコードを生成する。コード生成部１４では、このように生成したコードをＰＶ値およびステータスに付加することで、ＰＶ値、ステータス、ＣＲＣコードおよびカウント番号からなるフレームを生成する。カウント番号は、ＰＶ値およびステータスの更新ごとにインクリメントされる。
コード生成部１４で作成されたフレームと同様のフレームは、スレーブＣＰＵ２０のコード生成部２４で同様に生成され、通信ブロック２３および通信ブロック１３による通信を介して取得される。コード生成部１４で作成されたフレームと、コード生成部２４で作成されたフレームとは、比較部１７において照合される。比較部１７では、両フレームの不一致が検出されれば異常と判断する。後述するように、スレーブＣＰＵ２０でも同様の処理を行うことで、マスターＣＰＵ１０およびスレーブＣＰＵ２０は、互いに相手方の処理結果を自らの処理結果と照合し、不一致であれば異常と判断している。マスターＣＰＵ１０およびスレーブＣＰＵ２０におけるすべての処理が正常であれば、比較部１７における照合の結果、両フレームは一致することになる。
コード生成部１４で生成されたフレームは、上流工程である出力部７８に向けて出力される。しかし、比較部１７において両フレームの不一致が検出され、異常と判断されれば、遮断部１８によって、フレームの出力が遮断される。また、後述するように、スレーブＣＰＵ２０の比較部２７においてフレームの不一致が検出された場合には、フェイルセイフ部７９において、フレームの出力が遮断される。
一方、スレーブＣＰＵ２０では、診断部２２で生成されたステータスと、マスターＣＰＵ１０の診断部１４で生成され、通信ブロック１３および通信ブロック２３による通信を介して取得されたステータスとを、等値化部２５において、比較、等値化する。等値化部２５ではステータスのＯＲ情報を生成する。すなわち、等値化部２５では、いずれかのステータスが異常を示す場合、その異常を取り込んだステータスに変更し、コード生成部２４に受け渡す。
ＰＶ値処理部２１で生成されたＰＶ値は、コード生成部２４に与えられる。しかし、等値化部２５での処理に基づきステータスの異常が検出された場合には、遮断部２６によりコード生成部２４へのＰＶ値の入力が遮断される。
コード生成部２４では、入力されたＰＶ値および等値化部２５で生成されたステータスに基づいてＣＲＣコードを生成する。また、新たなＰＶ値およびステータスが入力されるたびにカウント番号を更新し、ＣＲＣコードに付加したコードを生成する。コード生成部２４では、このように生成したコードをＰＶ値およびステータスに付加することで、ＰＶ値、ステータス、ＣＲＣコードおよびカウント番号からなるフレームを生成する。カウント番号は、ＰＶ値およびステータスの更新ごとにインクリメントされる。
コード生成部２４で作成されたフレームは、マスターＣＰＵ１０のコード生成部１４で同様に生成され通信ブロック１３および通信ブロック２３による通信を介して取得されたフレームと、比較部２７において照合される。比較部２７において両フレームの不一致が検出されれば異常と判断する。
比較部２７においてフレームの不一致が検出された場合、比較部２７から異常を示すフェイルセイフ信号が出力され、フェイルセイフ部７９に与えられる。この場合、フェイルセイフ部７９において、ＣＰＵ１０からのフレームの出力が遮断され、出力部７８への新たなフレームの出力が阻止される。フェイスセイフ部７９により出力を遮断する代わりに、ＣＰＵ２０からＣＰＵ１０のリセット回路に向けてリセット信号を出力してもよい。この場合、リセット信号を受けたＣＰＵ１０は強制的にリセットされ、出力部７８への出力が阻止される。
出力部７８への出力が阻止された場合、カウント番号の更新が停止するため、出力部７８以降の後段の上流工程では、カウント番号を参照するだけで情報の出力が停止したことを認識できる。
次に、マスターＣＰＵ１０およびスレーブＣＰＵ２０間の通信方法について説明する。上記のように、マスターＣＰＵ１０およびスレーブＣＰＵ２０ではリアルタイムにデータを交換し、データの照合を行っている。このため、両者のＣＰＵにおける処理のタイミングがずれると、時間軸方向に異なる別々の処理結果を比較することになり、照合の不一致が発生する。このため、本実施例の装置では、両者のＣＰＵが常に同じ動作を実行している必要がある。そこで、マスターＣＰＵ１０の側から非同期通信（ＵＡＲＴ）を利用してタイミングフェイズトリガを送信し、スレーブＣＰＵ２０が同期して同一のシーケンスで処理を実行できるよう制御している。
図６は通信処理のシーケンスを示す図である。図７は通信フレームの構成を示す図であり、図７（ａ）は個々の通信フレームの構成を、図７（ｂ）は通信状態が正常な場合の動作を、それぞれ示す図である。
図６に示すように、マスターＣＰＵ１０はスレーブＣＰＵ２０に向けて、タイミングフェイズトリガ付きのコマンドを定周期で送信する。コマンドを受信したスレーブＣＰＵ２０は、マスターＣＰＵ１０に向けてレスポンスを返送する。このような処理の後、両者のＣＰＵが同一のフェイズを実行することで、両者のＣＰＵの処理を同期させる。
図７（ａ）に示すように、マスターＣＰＵ１０は通信ブロック１３を介してタイミングフェイズトリガ付きのコマンドを送信する。スレーブＣＰＵ２０は通信ブロック２３を介してコマンドを受信する。スレーブＣＰＵ２０では、受信されたコマンドに表現されたフェイズ（シーケンス番号）と、期待されるフェイズ（シーケンス番号）、すなわち次に処理すべきフェイズ（図７（ａ）ではフェイズ１）とを比較し、両者が一致していれば通信状態が正常であると認識する。通信状態が正常であると認識した場合には、スレーブＣＰＵ２０は通信ブロック２３を介してマスターＣＰＵ１０に当該フェイズ（図７（ａ）ではフェイズ１）を示す情報（シーケンス番号）を含んだレスポンスを返送する。マスターＣＰＵ１０は、スレーブＣＰＵ２０からのレスポンスを一定時間内に受信し、かつ受信されたレスポンスに表現されたフェイズ（シーケンス番号）が適正であれば、通信状態が正常であると認識する。
コマンドおよびレスポンスの送受信により通信状態を確認するコマンドトリガ期間の後、全二重化通信期間に移行する。全二重化通信期間では、マスターＣＰＵ１０およびスレーブＣＰＵ２０は、それぞれ同一フェイズ（図７（ａ）ではフェイズ１）の処理を実行し、マスターＣＰＵ１０からスレーブＣＰＵ２０に向けてデータＭＡが、スレーブＣＰＵ２０からにマスターＣＰＵ１０向けてデータＳＬが、並行して送信される。データＭＡおよびデータＳＬには、それぞれ上述した、等値化のために送受信されるステータス、および照合のために送受信されるフレーム（ＰＶ値、ステータス、ＣＲＣコードおよびカウント番号からなるフレーム）が含まれる。
図７（ｂ）に示すように、このようなフェイズを順次繰り返すことで、マスターＣＰＵ１０およびスレーブＣＰＵ２０において同一処理が互いに同期して実行される。
以上説明したように、実施例１では、両ＣＰＵでＣＲＣコードを生成し、ＣＲＣ付きのデータ（フレーム）で照合を実行するため、照合の信頼性が高まる。また、両ＣＰＵで照合の結果、いずれもデータが一致した場合に限り上流工程に情報を通知し、いずれか一方のＣＰＵで異常が判定されれば、上流工程への情報の出力が確実に防止される。このため、上流工程に出力した情報の信頼性を高めることができる。すなわち、上流工程における検査でＣＲＣコードが正常であれば、そのデータは入出力ユニット３ａ内部でＣＰＵ間照合された高信頼のデータであることを意味する。また、上流工程でもＣＲＣコードの検査を行うことで、ＣＰＵ内部においてＣＲＣ付きデータを取り扱う全工程について、異常の有無を改めて診断できることになる。
また、ＣＰＵ間通信を用いてＣＲＣ付きのデータを送受信し、両ＣＰＵで照合しているので、別途、ＣＰＵ間通信フレームのチェック、例えば、フレームサム、パリティー等のチェックを実行する必要がない。
実施例１では、ＣＰＵ間通信のタイミングを利用してフェイズごとに処理の同期を取るようにしている。このため、同期化のための無駄な処理が不要で、同期化処理に起因するパフォーマンスの低下がない。すなわち、本来必須の通信内容に、フェイズを特定するシーケンス番号を挿入するだけで、余分な処理を要求しない。また、このような同期化により両ＣＰＵが常に同期して同一フェイズを実行するので、ＣＰＵ間のデータ照合の精度を高めることができる。一方で、ＣＰＵ外部の要因で発生する過渡的な状態変化に対しても、両ＣＰＵが同時に追従するため、突発的なデータ照合の不一致が発生しない。また、基本的にＣＰＵ２０はＣＰＵ１０から指定されたフェイズを実行する関係にあるので、フェイズの同期がずれても、容易に復帰可能である。
実施例１では、両ＣＰＵのデータを互いに照合する前段で、各ＣＰＵが生成したステータスを等値化している。このため、いずれかのＣＰＵでステータスの異常が検知された場合には、ステータスの等値化によりステータスが異常であることの認識が両ＣＰＵで共有化される。このため、ステータスの異常時に後段におけるデータ照合不一致とはならず、ステータス異常と、データの照合不一致とを切り分けて認識可能となる。このため、異常状態を正しく通知することが可能となる。このようなステータスの等値化は、とくにＣＰＵごとに独立した周辺回路を増やしてでもＣＰＵ間に共通回路部分を減らし、ＣＰＵを疎結合させる必要がある場合により有効である。また、一方のＣＰＵだけでしか周辺回路の診断ができないような場合にも有効である。
実施例１で示した等値化の処理、ＣＲＣコードの付加、データ照合のシーケンス等は、ＣＰＵのプラグラムにより容易に実現できる。また、ＣＰＵ間通信は、ＣＰＵに標準的に実装されている非同期通信（ＵＡＲＴ）機能を用いて容易に実現できる。また、ＣＰＵ間通信をシリアル通信とすることで、２つのＣＰＵを互いに絶縁されたフィールド機器側と、コントローラ側に実装する場合でも、実装が容易である。
実施例２の情報処理装置は、マスターＣＰＵと、スレーブＣＰＵとが、互いに絶縁されて実装される例を示している。
図８は、実施例２の情報処理装置としての入出力ユニットの構成を示すブロック図である。
図４に示したようなプラント制御システムでは、通常、コントローラ２とフィールド機器１とが距離を置いて設置されている。したがって、地表を伝播するノイズや落雷の影響から逃れる目的で、コントローラ２およびフィールド機器１のグランドは互いに分離して設けられる。このため、コントローラ２の側と、各フィールド機器１との間は、電気的な絶縁状態を維持する必要がある。
図８に示す入出力ユニット３ｂでは、絶縁境界Ｌを介してマスターＣＰＵ１０Ａがコントローラ２側（上流側）に、スレーブＣＰＵ２０Ａがフィールド機器１側（下流側）に設けられている。下流側からのアナログ入力値は入力回路３２を経て、ＡＤ変換部３３においてデジタル信号に変換され、スレーブＣＰＵ２０Ａに入力される。診断部３４には、スレーブＣＰＵ２０Ａとグランド電位を共通にする周辺回路３５からの情報が与えられるとともに、入力回路３２から出力された入力値が与えられる。診断部３４では周辺回路３５からの情報および入力回路３２から出力された入力値に基づく診断情報をスレーブＣＰＵ２０Ａに与える。
一方、下流側からの入力値はフォトカプラ３７を介してマスターＣＰＵ１０Ａにも入力される。アナログ入力値はフォトカプラ３７において２値化される。マスターＣＰＵ１０Ａでは２値化された信号（デジタル信号）に基づく処理を実行する。
なお、入力値は複数チャンネル（例えば８チャンネル）で構成されており、入力回路３２、ＡＤ変換部３３およびフォトカプラ３７は、チャンネル数に対応する数のユニットが用意されている。
マスターＣＰＵ１０ＡおよびスレーブＣＰＵ２０Ａは、それぞれに設けられたＣＰＵ間通信ブロック１１ＡおよびＣＰＵ間通信ブロック２１Ａを介してタイミングフェイズトリガ付きコマンド、およびコマンドに対するレスポンスを送受信する。これにより、互いに独立しつつ、同一処理を同期して実行する。また、マスターＣＰＵ１０ＡおよびスレーブＣＰＵ２０Ａは、ＣＰＵ間通信ブロック１１ＡおよびＣＰＵ間通信ブロック２１Ａを介して互いのデータを送受信し合い、データの照合をそれぞれ行う。さらに、スレーブＣＰＵ２０Ａで得られた診断情報はマスターＣＰＵ１０Ａにも送信され、ステータスの等値化が実行される。
マスターＣＰＵ１０Ａでは、等値化されたステータスが異常を示すことなく、かつ、マスターＣＰＵ１０ＡおよびスレーブＣＰＵ２０Ａのデータの照合の結果、両者が一致する場合に限って、上位通信ブロック１２Ａを介して上位ブロック３８にデータを通知する。また、スレーブＣＰＵ２０ＡにおいてマスターＣＰＵ１０ＡおよびスレーブＣＰＵ２０Ａのデータの不一致が検知された場合には、リセット信号をマスターＣＰＵ１０Ａに送出する。この場合、マスターＣＰＵ１０Ａはリセット信号により強制的にリセット状態とされ、マスターＣＰＵ１０Ａから上位ブロック３８へのデータの通知が阻止される。なお、ＣＰＵ間の通信経路およびリセット信号の伝送ラインは、絶縁境界Ｌにおいて、フォトカプラ等によりマスターＣＰＵ１０ＡおよびスレーブＣＰＵ２０Ａ間で絶縁されている。
図８に示すユニット３ｂでは、スレーブＣＰＵ２０Ａがフィールド機器１側に実装されているので、フィールド機器１側に実装された周辺回路３５からの情報や入力回路３２を経由した入力値を容易に取り込むことができ、詳細な診断を実行できる。また、ＣＰＵ間通信は非同期通信（ＵＡＲＴ）等を用いることで、少ない本数の通信ラインによって実行可能であるため、絶縁状態を容易に維持することができる。このため、ＣＰＵ間通信により診断情報であるステータスを両ＣＰＵ間で等値化することで、スレーブＣＰＵ２０Ａでの詳細な診断結果をマスターＣＰＵ１０Ａにおいても有効に活用できる。
実施例３の情報処理装置は、フィールド機器１（図４）側からのアナログ信号をデジタル信号に変換し、２つのＣＰＵが共通のデジタル信号を受けてコントローラ２（図４）側にデータを出力する入出力ユニットの例を示している。図９は、実施例３の情報処理装置としての入出力ユニットの構成を示すブロック図である。
図９に示す入出力ユニット３ｃは、互いに独立して同一処理を実行するマスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂと、複数チャンネル（例えば８チャンネル）のアナログ信号を受け、１つの信号を選択するメインのマルチプレクサ４１およびサブのマルチプレクサ４２と、マルチプレクサ４１からのアナログ信号を受ける入力増幅器４３と、入力増幅器４３から出力された信号をデジタル信号に変換してマスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂに与えるＡＤ変換器４４とを備える。
メインのマルチプレクサ４１およびサブのマルチプレクサ４２の出力信号は、マスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂでそれぞれ比較され、不一致の場合にはステータスの異常と判断する。またステータスはＣＰＵ間通信で交換され、ステータスの等値化が行われる。これにより、マルチプレクサ４１の動作の健全性が診断される。また、入力増幅部４３およびＡＤ変換器４４は全チャンネルに対し共通であるが、マルチプレクサ４１を介して一定周期で入力増幅部４３に基準電圧を入力し、ＡＤ変換器４４の出力をマスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂでそれぞれ確認することで、ステータスを監視している。この場合も、ステータスはＣＰＵ間通信で交換され、ステータスの等値化が行われる。
マスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂは、それぞれに設けられたＣＰＵ間通信ブロック１１ＢおよびＣＰＵ間通信ブロック２１Ｂを介してタイミングフェイズトリガ付きコマンド、およびコマンドに対するレスポンスを送受信することで、互いに独立しつつ、同一処理を同期して実行する。また、マスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂで得られたステータスはＣＰＵ間通信により交換され、ステータスの等値化が実行される。さらに、マスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂは、ＣＰＵ間通信ブロック１１ＢおよびＣＰＵ間通信ブロック２１Ｂを介して互いのデータを送受信し合い、データの照合を行う。
マスターＣＰＵ１０Ｂでは、等値化されたステータスが異常を示すことなく、かつ、マスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂのデータの照合の結果、両者が一致する場合に限って、通信ブロック１２Ｂを介して上位ブロック４５にデータを通知する。また、スレーブＣＰＵ２０ＢにおいてマスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂのデータの不一致が検知された場合には、リセット信号をマスターＣＰＵ１０Ｂに送出する。この場合、マスターＣＰＵ１０Ｂはリセット信号により強制的にリセット状態とされ、マスターＣＰＵ１０Ｂから上位ブロック４５へのデータの通知が阻止される。
実施例４の情報処理装置は、コントローラ２（図４）側（上流側）から入力されたＣＲＣコード付きのデータを、フィールド機器１（図４）側（下流側）に出力する入出力ユニットの例を示している。図１０は、実施例４の情報処理装置としての入出力ユニットの構成の一部を示すブロック図である。
図１０に示す入出力ユニットは、互いに独立して処理を実行するＣＰＵ５０およびＣＰＵ６０を備える。
ＣＰＵ５０は、入力部８１を経由して入力されたデータに基づいてＣＲＣコードの検査を実行するコード検査部５１と、ＣＰＵ６０との間で通信を実行する通信ブロック５２と、入力されたデータをフィールド機器１側で使用される形式に変換する設定値処理部５３とを備える。
ＣＰＵ６０は、ＣＰＵ５０から転送されたデータに基づいてＣＲＣコードの検査を実行するコード検査部６１と、ＣＰＵ６０との間で通信を実行する通信ブロック６２と、入力されたデータをフィールド機器１側で使用される形式に変換する設定値処理部６３とを備える。
次に、図１０に示す入出力ユニットの動作について説明する。
コントローラ２側からのデータは入力部８１を介してＣＰＵ５０に入力される。このデータは、フィールド機器１（例えば電磁弁）を特定する設定先と、設定先に設定されるべき設定値（例えば電磁弁の開度）と、設定値および設定先のデータに基づいて作成されたＣＲＣコードとを含んでいる。
ＣＰＵ５０に入力されたデータはコード検査部５１に与えられる。コード検査部５１では、受け取った設定値および設定先のデータに基づいてＣＲＣコードを作成する。そして、データとして受け取ったＣＲＣコードと、コード検査部５１で作成したＣＲＣコードとを比較する。コード検査部５１は、両者のＣＲＣコードが不一致であれば異常と判断し、この場合には遮断部５４においてデータを遮断する。
一方、ＣＰＵ５０に入力されたデータは通信ブロック５２を介して送信される。送信されたデータは通信ブロック６２を介してＣＰＵ６０で受信される。
ＣＰＵ６０で受信されたデータはコード検査部６１に与えられる。コード検査部６１では、受け取った設定値および設定先のデータに基づいてＣＲＣコードを作成する。そして、データとして受け取ったＣＲＣコードと、コード検査部６１で作成したＣＲＣコードとを比較する。コード検査部６１は、両者のＣＲＣコードが不一致であれば異常と判断し、この場合には遮断部６４においてデータを遮断する。
次に、ＣＰＵ５０のコード検査部５１で作成されたＣＲＣコードは通信ブロック５２を介して送信される。送信されたＣＲＣコードは通信ブロック６２を介してＣＰＵ６０で受信される。また、ＣＰＵ５０のコード検査部５１で作成されたＣＲＣコードは、比較部５５において、ＣＰＵ６０から送信されてきたＣＲＣコードと比較される。
比較部５５は両者のＣＲＣを比較した結果、両者のＣＲＣコードが一致しなければ異常と判断する。この場合、遮断部５６においてデータを遮断する。
ＣＰＵ６０では、コード検査部６１で作成したＣＲＣコードを、通信ブロック６２を介して送信する。送信されたＣＲＣコードは、通信ブロック５２を介してＣＰＵ５０で受信される。このＣＲＣコードは、上記のように、比較部５５においてコード検査部５１で作成されたＣＲＣコードと比較される。
また、ＣＰＵ６０のコード検査部６１で作成されたＣＲＣコードは、比較部６５において、ＣＰＵ５０から送信されてきたＣＲＣコードと比較される。
比較部６５は両者のＣＲＣを比較した結果、両者のＣＲＣコードが一致しなければ異常と判断する。この場合、遮断部６６においてデータを遮断する。
次に、ＣＰＵ５０では、入力部８１から受け取ったデータが設定値処理部５３に与えられる。しかし、上記のように、異常と判断された場合には、遮断部５４あるいは遮断部５６においてデータの受け渡しが阻止され、設定値処理部５３での処理が停止される。
データが入力される場合、設定値処理部５３では、設定値および設定先のデータをフィールド機器１側で使用される形式に変換する。
一方、ＣＰＵ６０では、ＣＰＵ５０から送信されてきたデータが設定値処理部６３に与えられる。しかし、上記のように、異常と判断された場合には、遮断部６４あるいは遮断部６６においてデータの受け渡しが阻止され、設定値処理部６３での処理が停止される。
データが入力される場合、設定値処理部６３では、設定値および設定先のデータをフィールド機器１側で使用される形式に変換し、出力部８２に向けて設定値および設定先のデータを出力する。
出力部８２に出力された設定値および設定先のデータは、診断回路８３を介してＣＰＵ６０の比較部６７に入力される。また、比較部６７には、設定値処理部６３から出力された設定値および設定先のデータが直接入力される。
比較部６７では、設定値処理部６３から出力された段階での設定値および設定先のデータと、診断回路８３を経由した設定値および設定先のデータとを比較し、両者が不一致であれば異常と判断する。この場合には遮断部６８において設定値および設定先のデータを遮断し、出力部８２への設定値および設定先のデータの出力を阻止する。
また、ＣＰＵ６０から出力部８２に出力された設定値および設定先のデータは、診断回路８４を介してＣＰＵ５０の比較部５７に入力される。さらに、比較部５７には、設定値処理部５３から出力された設定値および設定先のデータが直接入力される。
比較部５７では、設定値処理部５３から出力された設定値および設定先のデータと、ＣＰＵ６０から出力された設定値および設定先のデータとを比較し、両者が不一致であれば異常と判断する。この場合にはフェイルセイフ回路８５において設定値および設定先のデータを遮断し、ＣＰＵ６０から出力部８２への設定値および設定先のデータの出力を阻止する。
このように、実施例４では、ＣＰＵ６０の側が出力部８２へのデータ出力を実行しているが、ＣＰＵ６０では出力されたデータを自らトレースし、異常と判断した場合にはデータ出力を停止している。また、ＣＰＵ５０でも、ＣＰＵ６０により出力部８２へ出力されたデータを同時にトレースし、異常と判断した場合にはＣＰＵ５０の側からＣＰＵ６０による出力を阻止している。このため、いずれかのＣＰＵにより異常と判断した場合にはデータ出力が阻止されるため、誤ったデータが出力部８２に出力されることを確実に防止できる。
本発明の適用範囲は上記実施形態に限定されることはない。また、本発明は、安全システムのみならず、各種情報を取り扱う情報処理システムに対し、広く適用することができる。
本発明による情報処理装置を機能的に示すブロック図であり（ａ）は一の発明を示すブロック図、（ｂ）は他の一の発明を示すブロック図。 本発明による情報処理装置を機能的に示すブロック図であり（ａ）は一の発明を示すブロック図、（ｂ）は他の一の発明を示すブロック図。 本発明による情報処理装置を機能的に示すブロック図であり（ａ）は一の発明を示すブロック図、（ｂ）は他の一の発明を示すブロック図。 実施例１の情報処理装置が適用される安全システムの構成を示すブロック図。 第１実施例の情報処理装置の構成の一部を示すブロック図。 通信処理のシーケンスを示す図。 通信フレームの構成を示す図であり、（ａ）は個々の通信フレームの構成を、（ｂ）は通信状態が正常な場合の動作を、それぞれ示す図。 実施例２の情報処理装置の構成を示すブロック図。 実施例３の情報処理装置の構成を示すブロック図。 実施例４の情報処理装置の構成の一部を示すブロック図。
符号の説明
１０１ 送信手段
１０２ データ照合手段
１０３ 処理停止手段
１０４ 同期手段
１０５ 取得手段
１０６ 第１のコード生成手段
１０７ 第２のコード生成手段
１０８ コード照合手段
１０９ 処理停止手段
１１１ 第１の検査手段
１１２ 第２の検査手段
１１３ コード照合手段
１１４ 判定手段
１１５ 処理停止手段
１１６ データ照合手段
１１７ カウント手段
１１８ カウント停止手段
１１９ 判定手段
１２０ 処理停止手段

Claims (12)

  1. 互いに独立して同一処理を二重に実行する第１の装置および第２の装置を備える情報処理装置において、
    前記情報処理装置の状態を前記第１の装置において判定する第１の判定手段と、
    前記情報処理装置の前記状態を前記第２の装置において判定する第２の判定手段と、
    前記第１の判定手段の判定結果を前記第２の装置に向けて送信する送信手段と、
    前記第１の判定手段および前記第２の判定手段の判定結果を、前記第２の装置において照合し、前記両判定結果が一致しない場合に異常と判定する照合手段と、
    を備えることを特徴とする情報処理装置。
  2. 前記照合手段の照合により異常と判定された場合に、前記第１の装置の機能を停止する停止手段を備えることを特徴とする請求項１に記載の情報処理装置。
  3. 前記送信手段により送信される前記データの送受信のタイミングを利用して、前記第１の装置および前記第２の装置の処理を同期させる同期手段を備えることを特徴とする請求項１または２に記載の情報処理装置。
  4. 互いに独立して同一処理を二重に実行する第１の装置および第２の装置を備える情報処理装置において、
    前記情報処理装置の状態を前記第１の装置において判定する第１の判定手段と、
    前記第１の装置において、前記第１の判定手段の判定結果のデータに基づき誤り検出用コードを生成する第１のコード生成手段と、
    前記情報処理装置の前記状態を前記第２の装置において判定する第２の判定手段と、
    前記第２の装置において、前記第２の判定手段の判定結果のデータに基づき誤り検出用コードを生成する第２のコード生成手段と、
    前記第１のコード生成手段で生成された前記誤り検出用コードを前記第２の装置に向けて送信する送信手段と、
    前記第１のコード生成手段で生成された前記誤り検出用コードと、前記第２のコード生成手段で生成された前記誤り検出用コードとを前記第２の装置において照合し、前記両誤り検出用コードが一致しない場合に異常と判定する照合手段と、
    を備えることを特徴とする情報処理装置。
  5. 前記照合手段の照合により異常と判定された場合に、前記第１の装置の機能を停止する停止手段を備えることを特徴とする請求項４に記載の情報処理装置。
  6. 前記情報処理装置の状態を第１の装置および第２の装置の間で等値化する等値化手段を備え、
    前記第１の判定手段および前記第２の判定手段は、前記等値化手段により等値化された前記状態を判定することを特徴とする請求項１〜５のいずれか１項に記載の情報処理装置。
  7. 前記第１の装置および前記第２の装置は、それぞれ個々のＣＰＵとして構成されていることを特徴とする請求項１〜６のいずれか１項に記載の情報処理装置。
  8. 互いに独立して同一処理を二重に実行する第１の装置および第２の装置を備える情報処理方法において、
    前記情報処理装置の状態を前記第１の装置において判定するステップと、
    前記情報処理装置の前記状態を前記第２の装置において判定するステップと、
    前記第１の装置における判定結果を前記第２の装置に向けて送信するステップと、
    前記第１の装置における判定結果および前記第２の装置における判定結果を、前記第２の装置において照合し、前記両判定結果が一致しない場合に異常と判定するステップと、
    を備えることを特徴とする情報処理方法。
  9. 前記照合するステップでの照合により異常と判定された場合に、前記第１の装置の機能を停止するステップを備えることを特徴とする請求項８に記載の情報処理方法。
  10. 前記前記第１の装置における判定結果を前記第２の装置に向けて送信するステップにより送信される前記データの送受信のタイミングを利用して、前記第１の装置および前記第２の装置の処理を同期させるステップを備えることを特徴とする請求項８または９に記載の情報処理方法。
  11. 互いに独立して同一処理を二重に実行する第１の装置および第２の装置を備える情報処理方法において、
    前記情報処理装置の状態を前記第１の装置において判定するステップと、
    前記第１の装置において、前記第１の判定手段の判定結果のデータに基づき誤り検出用コードを生成するステップと、
    前記情報処理装置の前記状態を前記第２の装置において判定するステップと、
    前記第２の装置において、前記第２の判定手段の判定結果のデータに基づき誤り検出用コードを生成するステップと、
    前記第１の装置において生成された前記誤り検出用コードを前記第２の装置に向けて送信するステップと、
    前記第１の装置において生成された前記誤り検出用コードと、前記第２の装置において生成された前記誤り検出用コードとを前記第２の装置において照合し、前記両誤り検出用コードが一致しない場合に異常と判定するステップと、
    を備えることを特徴とする情報処理方法。
  12. 前記照合手段の照合により異常と判定された場合に、前記第１の装置の機能を停止するステップを備えることを特徴とする請求項１１に記載の情報処理方法。
JP2005021423A 2005-01-28 2005-01-28 情報処理装置および情報処理方法 Expired - Fee Related JP3897046B2 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2005021423A JP3897046B2 (ja) 2005-01-28 2005-01-28 情報処理装置および情報処理方法
PCT/JP2006/301303 WO2006080431A1 (ja) 2005-01-28 2006-01-27 情報処理装置および情報処理方法
CN2006800034410A CN101111822B (zh) 2005-01-28 2006-01-27 信息处理设备和信息处理方法
EP06712469A EP1857936B1 (en) 2005-01-28 2006-01-27 Information processing apparatus and information processing method
US11/883,454 US8359529B2 (en) 2005-01-28 2006-01-27 Information processing apparatus and information processing method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2005021423A JP3897046B2 (ja) 2005-01-28 2005-01-28 情報処理装置および情報処理方法

Publications (2)

Publication Number Publication Date
JP2006209523A JP2006209523A (ja) 2006-08-10
JP3897046B2 true JP3897046B2 (ja) 2007-03-22

Family

ID=36740455

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2005021423A Expired - Fee Related JP3897046B2 (ja) 2005-01-28 2005-01-28 情報処理装置および情報処理方法

Country Status (5)

Country Link
US (1) US8359529B2 (ja)
EP (1) EP1857936B1 (ja)
JP (1) JP3897046B2 (ja)
CN (1) CN101111822B (ja)
WO (1) WO2006080431A1 (ja)

Families Citing this family (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102007007537A1 (de) 2007-02-15 2008-08-21 Siemens Ag Leitsystem einer technischen Anlage
US9207661B2 (en) * 2007-07-20 2015-12-08 GM Global Technology Operations LLC Dual core architecture of a control module of an engine
FR2924238B1 (fr) * 2007-11-22 2009-12-11 Schneider Electric Ind Sas Module d'entrees/sorties integrant une fonction logique pour controler les donnees
JP5060263B2 (ja) * 2007-12-06 2012-10-31 日立オートモティブシステムズ株式会社 チップ内冗長化による高信頼システム及びその制御方法
EP2133764B1 (de) * 2008-06-09 2012-10-17 Siemens Aktiengesellschaft Fehlersicheres Automatisierungssystem und Verfahren
JP5380978B2 (ja) * 2008-09-26 2014-01-08 富士通株式会社 伝送装置、伝送装置の制御方法および伝送装置の制御プログラム
JP5344936B2 (ja) * 2009-01-07 2013-11-20 株式会社日立製作所 制御装置
JP5515374B2 (ja) * 2009-04-02 2014-06-11 富士電機株式会社 プログラマブルコントローラ、プログラム実行監視方法及びプログラム
JP5641181B2 (ja) * 2009-11-26 2014-12-17 横河電機株式会社 二重化処理装置
JP2011128821A (ja) * 2009-12-17 2011-06-30 Yokogawa Electric Corp 二重化フィールド機器
JP5614143B2 (ja) * 2010-07-21 2014-10-29 セイコーエプソン株式会社 情報処理システム、印刷装置及び情報処理方法
JP5617651B2 (ja) * 2011-01-18 2014-11-05 横河電機株式会社 通信装置及び制御装置
US8516355B2 (en) * 2011-02-16 2013-08-20 Invensys Systems, Inc. System and method for fault tolerant computing using generic hardware
EP2662773B1 (de) * 2012-05-10 2016-07-20 Airbus Defence and Space GmbH Redundantes Mehrprozessorsystem und zugehöriges Verfahren
JP5975753B2 (ja) * 2012-06-27 2016-08-23 株式会社日立製作所 情報処理システム、出力制御装置、およびデータ生成装置
JP2014142823A (ja) * 2013-01-24 2014-08-07 Azbil Corp データ作成装置および方法
JP6017344B2 (ja) * 2013-02-26 2016-10-26 株式会社日立製作所 制御装置、制御システム及びデータ生成方法
JP5895906B2 (ja) * 2013-07-24 2016-03-30 横河電機株式会社 プロセス制御装置及びシステム並びにその健全性判定方法
JP5850016B2 (ja) * 2013-10-02 2016-02-03 横河電機株式会社 フィールド機器
JP6710142B2 (ja) * 2016-10-26 2020-06-17 株式会社日立製作所 制御システム
US10740186B2 (en) * 2017-05-15 2020-08-11 The Boeing Company High data integrity processing system
CN107341085B (zh) * 2017-06-14 2020-12-08 北京多思安全芯片科技有限公司 一种控制装置
US10345801B2 (en) * 2017-08-21 2019-07-09 Honeywell International Inc. Ensuring a correct program sequence in a dual-processor architecture
US10831628B2 (en) * 2018-12-12 2020-11-10 Intel Corporation Hardware lockstep checking within a fault detection interval in a system on chip
KR102191169B1 (ko) * 2019-11-26 2020-12-16 주식회사 오비고 이종 dcu의 출력 값을 사용하는 ads를 통해 자율 주행에서 발생할 수 있는 dcu들의 오판 상황을 방지하는 방법 및 이를 이용한 장치
CN116057478A (zh) * 2020-09-25 2023-05-02 日立安斯泰莫株式会社 电子控制装置及电子控制装置的诊断方法

Family Cites Families (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US3864670A (en) * 1970-09-30 1975-02-04 Yokogawa Electric Works Ltd Dual computer system with signal exchange system
US4233682A (en) * 1978-06-15 1980-11-11 Sperry Corporation Fault detection and isolation system
US4843608A (en) * 1987-04-16 1989-06-27 Tandem Computers Incorporated Cross-coupled checking circuit
US5204952A (en) * 1988-07-18 1993-04-20 Northern Telecom Limited Duplex processor arrangement for a switching system
JPH02228740A (ja) * 1989-03-01 1990-09-11 Mitsubishi Electric Corp 二重系処理システム
JPH0773059A (ja) * 1993-03-02 1995-03-17 Tandem Comput Inc フォールトトレラント型コンピュータシステム
JPH07129426A (ja) * 1993-10-29 1995-05-19 Hitachi Ltd 障害処理方式
JPH07129427A (ja) * 1993-11-01 1995-05-19 Fujitsu Ltd Ｅｃｃコードによるデータの比較チェック方法
EP0986008B1 (en) * 1993-12-01 2008-04-16 Marathon Technologies Corporation Computer system comprising controllers and computing elements
US6061599A (en) * 1994-03-01 2000-05-09 Intel Corporation Auto-configuration support for multiple processor-ready pair or FRC-master/checker pair
JPH07281915A (ja) * 1994-04-08 1995-10-27 Mitsubishi Electric Corp 集積回路モジュール同期２重系情報処理装置
JP3247043B2 (ja) * 1996-01-12 2002-01-15 株式会社日立製作所 内部信号で障害検出を行う情報処理システムおよび論理ｌｓｉ
JP3208060B2 (ja) * 1996-05-27 2001-09-10 三菱電機株式会社 並列二重系電子連動装置
US5799022A (en) * 1996-07-01 1998-08-25 Sun Microsystems, Inc. Faulty module location in a fault tolerant computer system
US5784383A (en) * 1997-10-02 1998-07-21 International Business Machines Corporation Apparatus for identifying SMP bus transfer errors
US6173414B1 (en) * 1998-05-12 2001-01-09 Mcdonnell Douglas Corporation Systems and methods for reduced error detection latency using encoded data
DE19832060C2 (de) * 1998-07-16 2000-07-06 Siemens Ag Doppelbare Prozessoreinrichtung
US6357024B1 (en) * 1998-08-12 2002-03-12 Advanced Micro Devices, Inc. Electronic system and method for implementing functional redundancy checking by comparing signatures having relatively small numbers of signals
GB2340627B (en) * 1998-08-13 2000-10-04 Plessey Telecomm Data processing system
JP2000347706A (ja) 1999-06-07 2000-12-15 Mitsubishi Electric Corp プラント制御装置
US7043728B1 (en) * 1999-06-08 2006-05-09 Invensys Systems, Inc. Methods and apparatus for fault-detecting and fault-tolerant process control
SE516542C2 (sv) * 1999-07-01 2002-01-29 Ericsson Telefon Ab L M Metod och anordning för övervakning av parallella processer
US6615366B1 (en) * 1999-12-21 2003-09-02 Intel Corporation Microprocessor with dual execution core operable in high reliability mode
US6480970B1 (en) * 2000-05-17 2002-11-12 Lsi Logic Corporation Method of verifying data consistency between local and remote mirrored data storage systems
US6772368B2 (en) 2000-12-11 2004-08-03 International Business Machines Corporation Multiprocessor with pair-wise high reliability mode, and method therefore
US6751749B2 (en) * 2001-02-22 2004-06-15 International Business Machines Corporation Method and apparatus for computer system reliability
DE10133652A1 (de) 2001-07-11 2003-01-30 Siemens Ag Zentraleinheit für ein redundantes Automatisierungssystem
US6954886B2 (en) * 2001-12-31 2005-10-11 Intel Corporation Deterministic hardware reset for FRC machine
US7055060B2 (en) 2002-12-19 2006-05-30 Intel Corporation On-die mechanism for high-reliability processor
US7328371B1 (en) * 2004-10-15 2008-02-05 Advanced Micro Devices, Inc. Core redundancy in a chip multiprocessor for highly reliable systems

Also Published As

Publication number Publication date
EP1857936A4 (en) 2011-03-09
WO2006080431A1 (ja) 2006-08-03
US20080215759A1 (en) 2008-09-04
EP1857936B1 (en) 2013-04-03
US8359529B2 (en) 2013-01-22
JP2006209523A (ja) 2006-08-10
CN101111822A (zh) 2008-01-23
EP1857936A1 (en) 2007-11-21
CN101111822B (zh) 2010-12-15

Similar Documents

Publication Publication Date Title
JP3897046B2 (ja) 情報処理装置および情報処理方法
EP1857937A1 (en) Information processing apparatus and information processing method
US20080215913A1 (en) Information Processing System and Information Processing Method
US11016463B2 (en) Control and data-transfer system, gateway module, I/O module, and method for process control
US20080313426A1 (en) Information Processing Apparatus and Information Processing Method
CN102361810A (zh) 信号传输装置
WO2008110957A3 (en) Node of a distributed communication system, node and monitoring device coupled to such communication system
JP2006323831A (ja) 安全ユニットの入力装置
US10578465B2 (en) Sensor bus system and unit with internal event verification
KR101560497B1 (ko) 락스텝으로 이중화된 프로세서 코어들의 리셋 제어 방법 및 이를 이용하는 락스텝 시스템
CN111103824A (zh) 用于控制安全关键和非安全关键过程的控制系统
US6507760B1 (en) Numerical control unit with a spatially separated input device
US20090106461A1 (en) Information Processing Apparatus and Information Processing Method
EP3316261A1 (en) Control system for the safety of nuclear power plant
JP2006178730A (ja) 安全信号ｉ／ｆ装置およびその二重化信号入力処理方法
JP3962956B6 (ja) 情報処理装置および情報処理方法
JP5906145B2 (ja) 伝送装置、伝送システム、及びその自己診断方法
JP6059652B2 (ja) 信号保安用制御装置
JP7219054B2 (ja) センサ及びアクチュエータを備えるデバイス並びにこのデバイスを試験するための方法
JP6234388B2 (ja) ２重系制御装置
JP2008283488A (ja) 検査システム、および検査システム用データ処理装置
JP2008109325A (ja) 通信システム
JP2006276957A (ja) 安全システム
JP2008092523A (ja) データ転送装置及びデータ処理方法
JP2008109324A (ja) 通信システム

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20060622

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20061128

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20061211

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

Ref document number: 3897046

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110105

Year of fee payment: 4

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120105

Year of fee payment: 5

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120105

Year of fee payment: 5

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130105

Year of fee payment: 6

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140105

Year of fee payment: 7

LAPS Cancellation because of no payment of annual fees