[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

JP5563700B2 - Control device - Google Patents

Control device Download PDF

Info

Publication number
JP5563700B2
JP5563700B2 JP2013118170A JP2013118170A JP5563700B2 JP 5563700 B2 JP5563700 B2 JP 5563700B2 JP 2013118170 A JP2013118170 A JP 2013118170A JP 2013118170 A JP2013118170 A JP 2013118170A JP 5563700 B2 JP5563700 B2 JP 5563700B2
Authority
JP
Japan
Prior art keywords
circuit
ecc
processor
main memory
crcc
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2013118170A
Other languages
Japanese (ja)
Other versions
JP2013211049A (en
Inventor
覚 船木
康弘 清藤
雅士 末永
小倉　　真
英二 小林
明弘 小野塚
裕介 関
俊樹 清水
由季子 田原
裕太 杉本
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2013118170A priority Critical patent/JP5563700B2/en
Publication of JP2013211049A publication Critical patent/JP2013211049A/en
Application granted granted Critical
Publication of JP5563700B2 publication Critical patent/JP5563700B2/en
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Techniques For Improving Reliability Of Storages (AREA)
  • Hardware Redundancy (AREA)

Description

本発明は、プログラマブル電子装置を備える制御装置に関する。   The present invention relates to a control device including a programmable electronic device.

原子力プラントや化学プラントなど潜在的な危険性の高いプロセス設備では、万が一の事態に作業員および周辺環境への影響を低減するため、隔壁等の防護設備による受動的な対策および緊急停止装置等の安全装置を用いる能動的な対策が講じられる。このうち、安全装置等の制御には、従来リレー等の電磁的・機械的な手段により実現されていた。   In potentially dangerous process facilities such as nuclear power plants and chemical plants, in order to reduce the impact on workers and the surrounding environment in the event of an emergency, passive measures such as protective equipment such as partition walls, emergency stop devices, etc. Active measures using safety devices are taken. Of these, control of safety devices and the like has been conventionally realized by electromagnetic and mechanical means such as relays.

しかし、近年、プログラマブル電子装置（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ：ＰＬＣ)に代表されるプログラム可能な制御機器における技術の発展に伴い、これらを安全制御システムの制御手段として利用するニーズが高まっている。   However, in recent years, with the development of technology in programmable control equipment represented by programmable electronic devices (Programmable Logic Controller: PLC), there is an increasing need to use these as control means of a safety control system.

例えば、ＩＥＣ６１５０８は、そのような動向に対応して発行された国際規格であり、電気的／電子的／プログラム可能な電子的装置を安全制御システムの一部に利用する場合の要件が規定されている（非特許文献１）。   For example, IEC61508 is an international standard issued in response to such a trend, and requirements for using an electrical / electronic / programmable electronic device as part of a safety control system are defined. (Non-Patent Document 1).

ＩＥＣ６１５０８では、安全制御システムの能力の尺度としてＳａｆｅｔｙ Ｉｎｔｅｇｒｉｔｙ Ｌｅｖｅｌ（ＳＩＬ）を定義し、１から４までのレベルに対応する水準の要求事項を規定している。ＳＩＬが高いほどプロセス設備の持つ潜在的な危険性を低減できる度合が大きいことを示す。すなわち、プロセス設備の異常を検出した際、どれだけ確実に所定の安全制御を実施できるかを意味する。   In IEC61508, Safety Integrity Level (SIL) is defined as a measure of the capability of a safety control system, and requirements of levels corresponding to levels from 1 to 4 are defined. The higher the SIL, the greater the degree to which the potential danger of the process equipment can be reduced. That is, it means how reliably predetermined safety control can be performed when an abnormality in the process equipment is detected.

安全制御装置は、通常稼働状態で非活性となっていても、プロセス設備の異常発生時には直ちに活性化することを求められる。そのため、常時自己診断を行い、自身の健全性をチェックし続けることが重要となる。また、高いＳＩＬが要求される安全制御システムでは、未検出の故障によりシステムが不動作となる確率を極小とするため、広範囲・高精度な自己診断を実施する必要がある。   Even if the safety control device is inactive in the normal operation state, it is required to be activated immediately when an abnormality occurs in the process equipment. Therefore, it is important to always perform self-diagnosis and check its own soundness. In addition, in a safety control system that requires a high SIL, it is necessary to perform a wide range and high accuracy self-diagnosis in order to minimize the probability that the system will not operate due to an undetected failure.

ＩＥＣ６１５０８では、安全制御装置を構成する要素部品の種類ごとに、各々適用される自己診断技法を紹介し、それぞれの技法の有効性を診断率という形で示している。診断率は、各構成要素における全故障のうち、その診断技法を採用したとき検出可能な故障の割合を示す。例えば、ＲＡＭの診断技法"ａｂｒａｈａｍ"では、最高９９％の診断率を主張可能であるとされている（特許文献２）。   In IEC61508, self-diagnosis techniques to be applied are introduced for each type of component parts constituting the safety control device, and the effectiveness of each technique is shown in the form of a diagnostic rate. The diagnosis rate indicates the proportion of failures that can be detected when the diagnosis technique is adopted among all failures in each component. For example, it is said that a diagnosis rate of up to 99% can be claimed in the RAM diagnostic technique “abraham” (Patent Document 2).

また、ＰＬＣの構成要素の一つであるプロセッサの故障検出手段として、複数のプロセッサを用いて、相互の出力結果の整合性を監視する方法が有効である。   In addition, a method of monitoring the consistency of the output results of each other using a plurality of processors is effective as a failure detection means for a processor that is one of the components of the PLC.

複数のプロセッサ出力を相互診断する方式としては、各プロセッサが同様の制御処理を同時に実行し、その出力が一致していることを確認しあう手段が効果的である。   As a method for mutually diagnosing the outputs of a plurality of processors, it is effective to perform a similar control process at the same time and confirm that the outputs match each other.

例えば、非同期に動作する複数のプロセッサの出力を照合することにより、プロセッサが故障しても即時検出するという技術がある（特許文献１）。   For example, there is a technique in which the outputs of a plurality of processors operating asynchronously are collated to detect immediately even if a processor fails (Patent Document 1).

特開２００７−１１６３９号公報JP 2007-11639 A 米国登録６７７９１２８号公報US Registration No. 6779128

ＩＥＣ６１５０８−１〜７，“Functional safety of electrical／electronic／programmable electronic safety-related systems”part１〜part７IEC 61508-1 to 7, “Functional safety of electrical / electronic / programmable electronic safety-related systems” part 1 to part 7

特許文献１に記載されたものは、プロセッサ照合手段によりプロセッサの診断ができる。しかしながら、プロセッサ照合手段の出力からメインメモリまでのメモリインターフェースで故障が発生した場合に、ハード的な検出手段がないため、ソフトウェアによる故障検出を行わなければならない。プロセッサのソフトウェアによる診断処理はメモリに期待値をライトリードバック比較することで、メモリインターフェースの診断を行うことは可能である。しかし、n回目の診断処理とn+1回目の診断処理の間の実稼働期間は、異常を検出できず不安定なまま動作継続する可能性がある、という問題があった。   In the device described in Patent Document 1, the processor can be diagnosed by the processor verification means. However, when a failure occurs in the memory interface from the output of the processor verification means to the main memory, there is no hardware detection means, so failure detection by software must be performed. In the diagnosis process by the processor software, the memory interface can be diagnosed by comparing the read / write-back value with the expected value in the memory. However, there is a problem that during the actual operation period between the n-th diagnosis process and the (n + 1) -th diagnosis process, an abnormality may not be detected and the operation may continue without being unstable.

本発明は斯かる点に鑑みてなされたものであり、故障を即時かつ確実に検出して不安定な状態で処理し続けることを阻止できるようにすることを目的とする。   The present invention has been made in view of such a point, and an object of the present invention is to be able to immediately and surely detect a failure and prevent it from being processed in an unstable state.

上記課題を解決するため、本発明の制御装置は、第一プロセッサが所定のプログラムを実行した結果としてメインメモリに格納される第一情報から第一誤り検出符号を作成し、予めメインメモリに記憶されている誤り検出符号である第二記憶情報と比較することで異常を検出する第一符号生成部と、第一プロセッサと同一の演算結果を出力するべく構成されている第二プロセッサがプログラムを実行した結果としてメインメモリに格納される第二情報から第二誤り検出符号を作成し、第二記憶情報と比較することで異常を検出する第二符号生成部とを備える。さらに、第一プロセッサ及び／又は第二プロセッサがメインメモリから第一情報あるいは第二情報である第一記憶情報を読み出す時、メインメモリから読み出した第一記憶情報と第二記憶情報に対し、必要に応じてエラー訂正を行って第一符号生成部及び第二符号生成部に供給する訂正処理部と、第一符号生成部が第一誤り検出符号と第二記憶情報との不一致を検出した場合、及び／又は第二符号生成部が第二誤り検出符号と第二記憶情報との不一致を検出した場合、第一プロセッサが第一記憶情報をメインメモリから読み出す動作及び第二プロセッサが第二記憶情報をメインメモリから読み出す動作を禁止する、割込制御部とを備える。さらに、第一情報と第二情報が同一であるか否かを検出して割込制御部に報告すると共に、第一誤り検出符号と第二誤り検出符号が同一であるか否かを検出して割込制御部に報告することで、第一誤り検出符号と第二誤り検出符号とが同一でない時には、第一情報あるいは第二情報を第一記憶情報としてメインメモリに書き込むことを禁止する照合部とを備える。 In order to solve the above problem, the control device of the present invention creates a first error detection code from first information stored in the main memory as a result of the first processor executing a predetermined program, and stores it in the main memory in advance. a first code generator which detect the in abnormality by comparing the second stored information is an error detection code which has been, the second processor being configured to output a first processor and the same operation result program create a second error detection code from the second information stored in the main memory as a result of performing, and a second code generator to detect the in abnormality by comparing the second storage information. Further, when the first processor and / or the second processor reads the first information or the first memory information as the second information from the main memory, it is necessary for the first memory information and the second memory information read from the main memory. When the error correction is performed according to the correction processing unit supplied to the first code generation unit and the second code generation unit, and the first code generation unit detects a mismatch between the first error detection code and the second storage information And / or when the second code generation unit detects a mismatch between the second error detection code and the second storage information, the first processor reads the first storage information from the main memory, and the second processor stores the second memory. An interrupt control unit that prohibits an operation of reading information from the main memory. Further, it detects whether the first information and the second information are the same and reports them to the interrupt control unit, and detects whether the first error detection code and the second error detection code are the same. By reporting to the interrupt control unit, when the first error detection code and the second error detection code are not the same, it is prohibited to write the first information or the second information to the main memory as the first storage information A part.

本発明の制御装置では、ライト時において照合部が第一情報と第二情報が一致するか否かを検出することにより、第一プロセッサ、第二プロセッサおよびこれらのプロセッサと照合部の間にあるバスインターフェースとの故障を検出する。そして、照合部が第一誤り検出符号と第二誤り検出符号が一致するか否かを検出することにより、第一符号生成部、第二符号生成部およびこれらの生成部と照合部の間にあるバスインターフェースの故障を検出する。   In the control apparatus of the present invention, the collation unit detects whether the first information and the second information match at the time of writing, so that the first processor, the second processor, and these processors and the collation unit are present. Detects a failure with the bus interface. Then, the collation unit detects whether the first error detection code and the second error detection code match, so that the first code generation unit, the second code generation unit, and between these generation unit and the collation unit A failure of a certain bus interface is detected.

すなわち、本発明の制御装置では、照合部は、第一情報あるいは第二情報に生じるビットエラーを常に検出することができる。また、照合部は、検出したビットエラーに基づいて第一情報および第二情報のメインメモリに対する書き込みの制御を行う。それゆえ、本発明では、ライト中に各プロセッサあるいは各バスインターフェースの故障によりビットエラーが生じた場合、第一情報あるいは第二情報がメインメモリに書き込まれないようにすることができる。   That is, in the control device of the present invention, the collation unit can always detect a bit error occurring in the first information or the second information. The collation unit controls the writing of the first information and the second information to the main memory based on the detected bit error. Therefore, in the present invention, when a bit error occurs due to a failure of each processor or each bus interface during writing, the first information or the second information can be prevented from being written to the main memory.

本発明の制御装置では、リード時において照合部が第一情報と第二情報が一致するか否かを検出することにより、第一プロセッサ、第二プロセッサおよびこれらのプロセッサと照合部の間にあるバスインターフェースとの故障を検出する。そして、第一照合部は故障が検出された場合、メインメモリから記憶情報を読み出さないようにしている。   In the control device of the present invention, the collation unit detects whether the first information and the second information match at the time of reading, so that the first processor, the second processor, and these processors and the collation unit are present. Detects a failure with the bus interface. The first verification unit prevents the stored information from being read from the main memory when a failure is detected.

メインメモリから記憶情報を読み出した場合に、第一符号生成部は、記憶情報の第一記憶情報および第一情報で新たに生成した誤り検出符号と、記憶情報の第二記憶情報とが同一であるか否かを検出することにより、メインメモリおよび当該メインメモリと第一符号生成部との間にあるバスインターフェースの故障を検出する。また、第二符号生成部は、記憶情報の第一記憶情報および第二情報で新たに生成した誤り検出符号と、記憶情報の第二記憶情報とが同一であるか否かを検出することにより、メインメモリおよび当該メインメモリと第一符号生成部との間にあるバスインターフェースの故障を検出する。   When the storage information is read from the main memory, the first code generation unit is configured such that the first storage information of the storage information and the error detection code newly generated from the first information are the same as the second storage information of the storage information. By detecting whether or not there is, a failure of the main memory and a bus interface between the main memory and the first code generation unit is detected. Further, the second code generation unit detects whether or not the error detection code newly generated from the first storage information and the second information of the storage information is the same as the second storage information of the storage information. The failure of the main memory and the bus interface between the main memory and the first code generation unit is detected.

第一符号生成部および第二符号生成部は、いずれか一方の符号生成部で故障を検出した場合に、第一プロセッサおよび第二プロセッサそれぞれに対して第一記憶情報の入力を行わないようにしている。それゆえ、本発明では、リード中に各プロセッサあるいは各バスインターフェースの故障によりビットエラーが生じた場合、当該ビットエラーを誤検出することなく、第一記憶情報が第一プロセッサおよび第二プロセッサに入力させないことができる。   The first code generation unit and the second code generation unit do not input the first storage information to each of the first processor and the second processor when any one of the code generation units detects a failure. ing. Therefore, in the present invention, when a bit error occurs due to a failure of each processor or each bus interface during reading, the first storage information is input to the first processor and the second processor without erroneously detecting the bit error. You can not let it.

本発明によれば、各プロセッサあるいは各バスインターフェースに発生した故障を確実に検出できる。ライト時に故障を検出した場合、メインメモリに対する情報の書き込みを禁止し、リード時に故障を検出した場合、各プロセッサに対する情報の入力を禁止する。つまり、故障を即時かつ確実に検出して不安定な状態で処理し続けることを阻止できる。これにより、安全性をより向上させる。   According to the present invention, a failure occurring in each processor or each bus interface can be reliably detected. When a failure is detected during writing, writing of information to the main memory is prohibited, and when a failure is detected during reading, input of information to each processor is prohibited. That is, it is possible to prevent the failure from being detected immediately and reliably and continuing to be processed in an unstable state. Thereby, safety is further improved.

制御システムを示すブロック図である。It is a block diagram which shows a control system. 本発明の一実施形態に係る制御装置を適用したＣＰＵ装置を示すブロック図である。It is a block diagram which shows the CPU apparatus to which the control apparatus which concerns on one Embodiment of this invention is applied. Ａ系ＣＲＣ回路を示すブロック図である。It is a block diagram which shows A system CRC circuit. ＥＣＣ回路を示すブロック図である。It is a block diagram which shows an ECC circuit. ＣＰＵ装置のモードの遷移を示す状態遷移図である。It is a state transition diagram showing the transition of the mode of the CPU device. 本発明の一実施形態に係る制御装置を適用したＣＰＵ装置の動作を示すタイミングチャートである。It is a timing chart which shows operation | movement of CPU apparatus to which the control apparatus which concerns on one Embodiment of this invention is applied. 本発明の一実施形態に係る制御装置を適用したＣＰＵ装置の動作を示すタイミングチャートである。It is a timing chart which shows operation | movement of CPU apparatus to which the control apparatus which concerns on one Embodiment of this invention is applied. 本発明の一実施形態に係る制御装置を適用したＣＰＵ装置の動作を示すタイミングチャートである。It is a timing chart which shows operation | movement of CPU apparatus to which the control apparatus which concerns on one Embodiment of this invention is applied. 本発明の一実施形態に係る制御装置を適用したＣＰＵ装置の故障検出範囲を示す表である。It is a table | surface which shows the failure detection range of CPU apparatus to which the control apparatus which concerns on one Embodiment of this invention is applied.

以下、発明を実施するための最良の形態（以下、「実施の形態」とする）について以下の順序で説明を行う。以下に述べる実施の形態は、本発明の好適な具体例である。そのため、技術的に好ましい種々の限定が付されている。しかしながら、本発明の範囲は、下記の説明において特に本発明を限定する旨の記載がない限り、これらの形態に限られるものではない。例えば、以下の説明で挙げる各パラメータの数値的条件は好適例に過ぎず、説明に用いた各図における寸法、形状および配置関係も概略的なものである。   Hereinafter, the best mode for carrying out the invention (hereinafter referred to as “embodiment”) will be described in the following order. The embodiments described below are preferred specific examples of the present invention. Therefore, various technically preferable limitations are attached. However, the scope of the present invention is not limited to these embodiments unless otherwise specified in the following description. For example, the numerical conditions of each parameter given in the following description are only suitable examples, and the dimensions, shapes, and arrangement relationships in the drawings used for the description are also schematic.

１．一実施形態
（１）制御システムの構成
（２）ＣＰＵ装置の構成
（３）Ａ系ＣＲＣ回路の構成の一例
（４）ＥＣＣ回路の構成の一例
（５）ＣＰＵ装置のモード遷移
（６）ＣＰＵ装置の動作
（７）ＣＰＵ装置の故障検出範囲 1. Embodiments (1) Configuration of control system (2) Configuration of CPU device (3) Example of configuration of A system CRC circuit (4) Example of configuration of ECC circuit (5) Mode transition of CPU device (6) CPU device (7) CPU device failure detection range

＜１．一実施形態＞
［制御システムの構成］
以下、本発明の実施の形態の例について、図１〜図９を参照して説明する。
図１は、発明の一実施形態である制御システム１０１を示すブロック図である。
制御システム１０１は、ＣＰＵ装置１０２と、上位装置１０３と、下位装置１０４と、制御対象１０５よりなる。 <1. One Embodiment>
[Control system configuration]
Examples of embodiments of the present invention will be described below with reference to FIGS.
FIG. 1 is a block diagram showing a control system 101 according to an embodiment of the invention.
The control system 101 includes a CPU device 102, a higher-level device 103, a lower-level device 104, and a control target 105.

上位装置１０３は、所定のプログラムを記憶しており、ＣＰＵ装置１０２とネットワーク１０６で接続されている。   The host device 103 stores a predetermined program and is connected to the CPU device 102 via the network 106.

ＣＰＵ装置１０２は、上位装置１０３からネットワーク１０６を介して所定のプログラムをダウンロードし、当該プログラムに基づいて演算を行う。また、ＣＰＵ装置１０２は下位装置１０４ともネットワーク１０６で接続されており、演算結果を当該ネットワークを介して下位装置１０４に出力する。   The CPU device 102 downloads a predetermined program from the host device 103 via the network 106, and performs an operation based on the program. The CPU device 102 is also connected to the lower level device 104 via the network 106, and outputs the calculation result to the lower level device 104 via the network.

このＣＰＵ装置１０２は、後述するように複数のプロセッサを備えており、一般モードあるいは安全モードのいずれかで、プログラムに基づいた演算を行う。一般モードは、各プロセッサで独立した演算を行うモードある。また、安全モードは、各プロセッサで同一の演算を行い、その演算結果が同一であるか否かを検証することにより、プロセッサの健全性を確認するモードである。さらに、ＣＰＵ装置１０２は、テストモードで稼動する場合もある。テストモードは、予めＣＰＵ装置１０２に記憶されたテストプログラムに基づいて、ＣＰＵ装置１０２が正常に動作するか否かを検証するモードである。一般モードおよび安全モード時のＣＰＵ装置１０２は基本的に演算結果を下位装置１０４に入力するが、テストモード時のＣＰＵ装置１０２は下位装置１０４になにも出力しない。すなわち、テストモードは、ＣＰＵ装置１０２による下位装置１０４の制御が行われていないときに行われる。なお、一般モード、安全モードおよびテストモードの切り替えは、予めＣＰＵ装置１０２に設定されたスケジューラにより行われる。   As will be described later, the CPU device 102 includes a plurality of processors, and performs calculation based on a program in either the general mode or the safety mode. The general mode is a mode in which each processor performs independent calculations. The safety mode is a mode in which the soundness of the processor is confirmed by performing the same operation in each processor and verifying whether or not the operation result is the same. Further, the CPU device 102 may operate in a test mode. The test mode is a mode for verifying whether or not the CPU device 102 normally operates based on a test program stored in the CPU device 102 in advance. The CPU device 102 in the general mode and the safety mode basically inputs the calculation result to the lower device 104, but the CPU device 102 in the test mode outputs nothing to the lower device 104. That is, the test mode is performed when the CPU device 102 is not controlling the lower device 104. Note that switching between the general mode, the safety mode, and the test mode is performed by a scheduler set in the CPU device 102 in advance.

下位装置１０４は、制御対象１０５との間で制御情報の入出力を行うインターフェースである。下位装置１０４は、制御対象１０５と接続されており、ＣＰＵ装置１０２から入力される演算結果に基づいて制御対象１０５を動作させる。この制御対象１０５は、制御を行う際に安全性が求められる、例えば原子力プラントや化学プラント等の潜在的な危険性の高いプロセス設備である。   The lower level device 104 is an interface for inputting / outputting control information to / from the control target 105. The lower level device 104 is connected to the control target 105 and operates the control target 105 based on the calculation result input from the CPU device 102. The control object 105 is a process facility with high potential danger such as a nuclear power plant or a chemical plant, which requires safety when performing control.

［ＣＰＵ装置の構成］
次に、制御システム１０１を構成するＣＰＵ装置１０２について図２を参照して説明する。
図２は、ＣＰＵ装置１０２を示すブロック図である。なお、以下に示すＣＰＵ装置１０２は、ＣＰＵ装置１０２が上位装置１０３からダウンロードしたプログラムに基づいて、安全モードで演算を行う場合を想定している。ただし、ＣＰＵ装置１０２が、上位装置１０３から所定のプログラムをダウンロードするときだけは、安全モードとは異なる動作を行う。 [Configuration of CPU device]
Next, the CPU device 102 constituting the control system 101 will be described with reference to FIG.
FIG. 2 is a block diagram showing the CPU device 102. Note that the CPU device 102 shown below assumes a case where the CPU device 102 performs calculations in the safety mode based on a program downloaded from the host device 103. However, only when the CPU device 102 downloads a predetermined program from the host device 103, an operation different from the safety mode is performed.

まず、ＣＰＵ装置１０２が、上位装置１０３から所定のプログラムをダウンロードするときに使用する構成について説明する。このときＣＰＵ装置１０２において使用される構成は、Ａ系プロセッサ２０２と、Ｂ系プロセッサ２０３と、制御装置２０４の一部と、メインメモリ２０５である。制御装置２０４の一部とは、ネットワークコントローラ２０６、ＣＲＣ回路２０７およびＥＣＣ回路２３２である。以下、本例では、ＣＰＵ装置１０２を構成するプロセッサがＡ系プロセッサ２０２およびＢ系プロセッサ２０３という２個の場合について説明するが、プロセッサの台数に制限はなく、それにより本発明が制約を受けることはない。   First, a configuration used when the CPU device 102 downloads a predetermined program from the host device 103 will be described. The configuration used in the CPU device 102 at this time is an A-system processor 202, a B-system processor 203, a part of the control device 204, and a main memory 205. A part of the control device 204 is a network controller 206, a CRC circuit 207, and an ECC circuit 232. Hereinafter, in this example, the case where there are two processors, the A-system processor 202 and the B-system processor 203, constituting the CPU device 102 will be described. However, the number of processors is not limited, and the present invention is restricted thereby. There is no.

上位装置１０３からの所定のプログラムのダウンロードは、マルチタスクモード、すなわちＡ系プロセッサ２０２あるいはＢ系プロセッサ２０３のいずれか一方により行われる。このとき、ネットワークコントローラ２０６は、ネットワーク１０６を介して上位装置１０３からプログラムである３２ビット幅のデータ列を取得する。ネットワークコントローラ２０６は、図示しないＤＭＡ（Direct Memory Access）コントローラを含んでおり、メインメモリ２０５のどの位置に当該プログラムを書き込むかを決定する。すなわち、アドレスである３２ビット幅のデータ列を生成する。また、ネットワークコントローラ２０６は、ＣＲＣ回路２０７およびＥＣＣ回路２３２と接続されており、上位装置１０３から取得したプログラムおよび生成したアドレスをＣＲＣ回路２０７およびＥＣＣ回路２３２に出力する。   Download of a predetermined program from the host apparatus 103 is performed in the multitask mode, that is, either the A-system processor 202 or the B-system processor 203. At this time, the network controller 206 acquires a 32-bit data string as a program from the higher-level device 103 via the network 106. The network controller 206 includes a DMA (Direct Memory Access) controller (not shown) and determines in which position in the main memory 205 the program is to be written. That is, a 32-bit wide data string as an address is generated. The network controller 206 is connected to the CRC circuit 207 and the ECC circuit 232, and outputs the program acquired from the host device 103 and the generated address to the CRC circuit 207 and the ECC circuit 232.

ＣＲＣ回路２０７は、ネットワークコントローラ２０６から入力されるアドレスおよびプログラムを併せた６４ビットの幅のデータ列から８ビットのＣＲＣＣ（Cyclic Redundancy Check Codes）を生成する。また、ＣＲＣ回路２０７は、ＥＣＣ回路２３２と接続されており、生成したＣＲＣＣをＥＣＣ回路２３２へ出力する。ＥＣＣ回路２３２は、ＣＲＣＣ、プログラム本体およびアドレスを併せた合計７２ビット幅のデータ列から８ビット幅のデータ列のＥＣＣ（Error-Correcting Code）を生成し、プログラム本体、ＣＲＣＣおよびＥＣＣをメインメモリ２０５に書き込む。このＥＣＣ回路２３２は、安全モードの演算でも用いられる。そこで、このＥＣＣ回路２３２についてのより詳細な説明は安全モードに関する構成の説明を行う箇所に記載する。   The CRC circuit 207 generates 8-bit CRCC (Cyclic Redundancy Check Codes) from a 64-bit wide data string combining the address and program input from the network controller 206. The CRC circuit 207 is connected to the ECC circuit 232 and outputs the generated CRCC to the ECC circuit 232. The ECC circuit 232 generates an ECC (Error-Correcting Code) of an 8-bit data string from a total 72-bit data string including the CRCC, the program body, and the address, and stores the program body, CRCC, and ECC in the main memory 205. Write to. The ECC circuit 232 is also used in the safety mode calculation. Therefore, a more detailed description of the ECC circuit 232 will be described in a place where the configuration related to the safety mode is described.

メインメモリ２０５は、データ記憶領域２２９、ＣＲＣＣ記憶領域２３０およびＥＣＣ記憶領域２３１という３つの領域を有している。データ記憶領域２２９は、プログラムが書き込まれる領域である。ＣＲＣＣ記憶領域２３０は、ネットワークコントローラ２０６を経由してＣＲＣ回路で生成されたＣＲＣＣが書き込まれる領域である。ＥＣＣ記憶領域２３１は、ネットワークコントローラ２０６経由してＥＣＣ回路２３２で生成されたＥＣＣが書き込まれる領域である。   The main memory 205 has three areas: a data storage area 229, a CRCC storage area 230, and an ECC storage area 231. The data storage area 229 is an area where a program is written. The CRCC storage area 230 is an area in which CRCC generated by the CRC circuit via the network controller 206 is written. The ECC storage area 231 is an area in which ECC generated by the ECC circuit 232 via the network controller 206 is written.

次に、ＣＰＵ装置１０２が、上位装置１０３からダウンロードしたプログラムに基づいて安全モードで演算を行う際に使用される構成について説明する。このときＣＰＵ装置１０２において使用される構成は、Ａ系プロセッサ２０２と、Ｂ系プロセッサ２０３と、ＣＲＣ回路２０７を除いた制御装置２０４と、メインメモリ２０５である。   Next, a configuration used when the CPU device 102 performs a calculation in the safety mode based on a program downloaded from the host device 103 will be described. The configuration used in the CPU device 102 at this time is an A-system processor 202, a B-system processor 203, a control device 204 excluding the CRC circuit 207, and a main memory 205.

Ａ系プロセッサ２０２は、上位装置１０３からダウンロードした所定のプログラムを実行してタスクを処理する。その際、タスクによっては情報のライト／リードを制御装置２０４を介してメインメモリ２０５に対し行うものもある。Ａ系プロセッサ２０２は、制御装置２０４とＡ系プロセッサバス２０８により接続されており、Ａ系プロセッサバス２０８を介して制御装置２０４に情報の入出力を行う。ライト時には、Ａ系プロセッサ２０２は、アドレス、データおよびコマンドをＡ系プロセッサバス２０８を介して制御装置２０４に出力する。一方、リード時には、Ａ系プロセッサ２０２は、アドレスおよびコマンドをＡ系プロセッサバス２０８を介して制御装置２０４に出力する。   The A system processor 202 executes a predetermined program downloaded from the host device 103 to process a task. At this time, some tasks write / read information to / from the main memory 205 via the control device 204. The A-system processor 202 is connected to the control device 204 via the A-system processor bus 208, and inputs / outputs information to / from the control device 204 via the A-system processor bus 208. At the time of writing, the A-system processor 202 outputs the address, data, and command to the control device 204 via the A-system processor bus 208. On the other hand, at the time of reading, the A-system processor 202 outputs an address and a command to the control device 204 via the A-system processor bus 208.

データおよびアドレスは、３２ビット幅のデータ列である。一方、コマンドは、制御装置２０４およびメインメモリ２０５を制御する１ビットのデータである。本例では、制御装置２０４およびメインメモリ２０５は、コマンドが‘１’のときにライトに対応する動作を行い、コマンドが‘０’のときにリード動作を行うものとする。   Data and address are 32-bit wide data strings. On the other hand, the command is 1-bit data for controlling the control device 204 and the main memory 205. In this example, it is assumed that the control device 204 and the main memory 205 perform an operation corresponding to writing when the command is ‘1’, and perform a read operation when the command is ‘0’.

また、Ｂ系プロセッサ２０３は、Ａ系プロセッサ２０２と同じ機能を備えたものである。つまり、Ｂ系プロセッサ２０３は、上位装置１０３からダウンロードした所定のプログラムを実行してタスクを処理する際に、当該タスクに応じた情報等のライト／リードを制御装置２０４を介してメインメモリ２０５に対し行うものである。Ｂ系プロセッサ２０３は、制御装置２０４とＢ系プロセッサバス２１１により接続されており、Ｂ系プロセッサバス２１１を介して制御装置２０４に情報の入出力を行う。ライト時には、Ｂ系プロセッサ２０３は、アドレス、データおよびコマンドをＢ系プロセッサバス２１１を介して制御装置２０４に出力する。一方、リード時には、Ｂ系プロセッサ２０３は、アドレスおよびコマンドをＢ系プロセッサバス２１１を介して制御装置２０４に出力する。   The B processor 203 has the same function as the A processor 202. That is, when the B processor 203 executes a predetermined program downloaded from the host device 103 to process a task, the B processor 203 writes / reads information or the like corresponding to the task to the main memory 205 via the control device 204 This is what we do. The B-system processor 203 is connected to the control device 204 via the B-system processor bus 211, and inputs / outputs information to / from the control device 204 via the B-system processor bus 211. At the time of writing, the B processor 203 outputs the address, data, and command to the control device 204 via the B processor bus 211. On the other hand, at the time of reading, the B processor 203 outputs an address and a command to the control device 204 via the B processor bus 211.

制御装置２０４は、当該制御装置２０４を構成する各ブロックおよびバスと、Ａ系プロセッサ２０２と、Ｂ系プロセッサ２０３と、メインメモリ２０５に故障があるか否かを検出するものである。
制御装置２０４は、Ａ系ＣＲＣ回路２０９と、Ｂ系ＣＲＣ回路２１２と、照合回路２１４と、ＥＣＣ回路２３２と、割込制御部２２０とを含んで構成される。さらに、制御装置２０４は、ネットワークコントローラ２０６と、出力切替スイッチ２２１を含む。 The control device 204 detects whether or not there is a failure in each block and bus constituting the control device 204, the A-system processor 202, the B-system processor 203, and the main memory 205.
The control device 204 includes an A-system CRC circuit 209, a B-system CRC circuit 212, a verification circuit 214, an ECC circuit 232, and an interrupt control unit 220. Further, the control device 204 includes a network controller 206 and an output changeover switch 221.

Ａ系ＣＲＣ回路２０９は、入力される所定の桁数のビット幅のデータ列からＣＲＣＣを生成する回路である。   The A-system CRC circuit 209 is a circuit that generates a CRCC from a data string of a predetermined number of bits having a bit width.

本例のＡ系ＣＲＣ回路２０９は、ライト時とリード時では異なる処理を行う。
ライト時のＡ系ＣＲＣ回路２０９は、Ａ系プロセッサ２０２から入力されるアドレスおよびデータを併せた６４ビット幅のデータ列からＣＲＣＣを生成する。また、Ａ系ＣＲＣ回路２０９は、照合回路２１４とＡ系ＣＲＣＣバス２１０で接続されており、生成したＣＲＣＣを照合回路２１４へ出力する。 The A-system CRC circuit 209 of this example performs different processing at the time of writing and at the time of reading.
The A-system CRC circuit 209 at the time of writing generates a CRCC from a 64-bit wide data string that combines the address and data input from the A-system processor 202. The A system CRC circuit 209 is connected to the verification circuit 214 via the A system CRCC bus 210, and outputs the generated CRCC to the verification circuit 214.

リード時のＡ系ＣＲＣ回路２０９は、Ａ系プロセッサ２０２から入力されるアドレスおよびライト時にメインメモリ２０５に書き込まれたデータを併せた６４ビット幅のデータ列から新たにＣＲＣＣを生成する。そして、当該メインメモリ２０５に記憶されたＣＲＣＣと、新たに生成したＣＲＣＣとが同じデータ列であるか否かを判定する。   The A-system CRC circuit 209 at the time of reading newly generates a CRCC from a 64-bit wide data string that combines the address input from the A-system processor 202 and the data written to the main memory 205 at the time of writing. Then, it is determined whether the CRCC stored in the main memory 205 and the newly generated CRCC are the same data string.

このＡ系ＣＲＣ回路２０９は、割込制御部２２０と接続されており、その判定結果（一致／不一致）に基づいた論理信号（以下、「Ａ系ＣＲＣＣ照合不一致」という）を生成して割込制御部２２０に出力する。   The A-system CRC circuit 209 is connected to the interrupt control unit 220 and generates a logic signal (hereinafter referred to as “A-system CRCC verification mismatch”) based on the determination result (match / mismatch). Output to the controller 220.

Ｂ系ＣＲＣ回路２１２は、Ａ系ＣＲＣ回路２０９と同じ回路であり、所定の桁数のビット幅のデータ列からＣＲＣＣを生成する回路である。   The B-system CRC circuit 212 is the same circuit as the A-system CRC circuit 209, and is a circuit that generates a CRCC from a data string having a predetermined number of bits.

本例のＢ系ＣＲＣ回路２１２は、ライト時とリード時では異なる処理を行う。   The B-system CRC circuit 212 of this example performs different processing at the time of writing and at the time of reading.

ライト時のＢ系ＣＲＣ回路２１２は、Ｂ系プロセッサ２０３から入力されるアドレスおよびデータを併せた６４ビット幅のデータ列からＣＲＣＣを生成する。また、Ｂ系ＣＲＣ回路２１２は、照合回路２１４とＢ系ＣＲＣＣバス２１３で接続されており、生成したＣＲＣＣを照合回路２１４へ出力する。 The B-system CRC circuit 212 at the time of writing generates a CRCC from a 64-bit wide data string that combines the address and data input from the B-system processor 203. The B-system CRC circuit 212 is connected to the verification circuit 214 via the B-system CRCC bus 213, and outputs the generated CRCC to the verification circuit 214.

リード時のＢ系ＣＲＣ回路２１２は、Ｂ系プロセッサ２０３から入力されるアドレスおよびライト時にメインメモリ２０５に書き込まれたデータを併せた６４ビット幅のデータ列から新たにＢ系ＣＲＣＣを生成する。そして、当該メインメモリ２０５に記憶されたＣＲＣＣと、新たに生成したＣＲＣＣとが同じデータ列であるか否かを判定する。   The B-system CRC circuit 212 at the time of reading newly generates a B-system CRCC from a 64-bit wide data string that combines the address input from the B-system processor 203 and the data written to the main memory 205 at the time of writing. Then, it is determined whether the CRCC stored in the main memory 205 and the newly generated CRCC are the same data string.

このＢ系ＣＲＣ回路２１２は、割込制御部２２０と接続されており、その判定結果（一致／不一致）に基づいた論理信号（以下、「Ｂ系ＣＲＣＣ照合不一致」という）を生成して割込制御部２２０に出力する。以下、Ａ系ＣＲＣ回路２０９で生成されるＣＲＣＣをＡ系ＣＲＣＣと記載し、Ｂ系ＣＲＣ回路２１２で生成されるＣＲＣＣをＢ系ＣＲＣＣと記載する。   The B-system CRC circuit 212 is connected to the interrupt control unit 220 and generates a logic signal (hereinafter referred to as “B-system CRCC verification mismatch”) based on the determination result (match / mismatch). Output to the controller 220. Hereinafter, the CRCC generated by the A system CRC circuit 209 is referred to as an A system CRCC, and the CRCC generated by the B system CRC circuit 212 is referred to as a B system CRCC.

照合回路２１４は、入力される２つのデータ列の一致／不一致を判定する回路である。この照合回路２１４は、ＥＣＣ回路２３２と内部バス２１５およびＣＲＣＣ内部バス２１６という２本のバスでＥＣＣ回路２３２と接続されている。さらに、照合回路２１４は、割込制御部２２０とも接続されている。   The collation circuit 214 is a circuit that determines the match / mismatch of two input data strings. The collation circuit 214 is connected to the ECC circuit 232 through two buses of an ECC circuit 232, an internal bus 215, and a CRCC internal bus 216. Further, the verification circuit 214 is also connected to the interrupt control unit 220.

ライト時の照合回路２１４は、Ａ系プロセッサ２０２から入力されるアドレスおよびデータと、Ａ系ＣＲＣ回路２０９から入力されるＡ系ＣＲＣＣとを併せた７２ビット幅のデータ列を、Ｂ系プロセッサ２０３から入力されるアドレスおよびデータと、Ｂ系ＣＲＣ回路２１２から入力されるＢ系ＣＲＣＣとを併せた７２ビットのデータ列と比較して一致／不一致を判定する。このとき照合回路２１４は、そのデータ列の判定結果（一致／不一致）に基づいた論理信号（以下、「照合不一致」という）を生成して割込制御部２２０に出力する。相互のデータ列が一致、すなわち判定結果が一致である場合に限り、照合回路２１４は、Ａ系プロセッサ２０２から入力されるアドレス、データ、コマンドを内部バス２１５を介してＥＣＣ回路２３２に出力し、Ａ系ＣＲＣＣをＣＲＣＣ内部バス２１６を介してＥＣＣ回路２３２に出力する。   The collation circuit 214 at the time of writing generates a 72-bit width data string combining the address and data input from the A system processor 202 and the A system CRCC input from the A system CRC circuit 209 from the B system processor 203. A match / mismatch is determined by comparing a 72-bit data string that combines the input address and data with the B CRCC input from the B CRC circuit 212. At this time, the collation circuit 214 generates a logic signal (hereinafter referred to as “collation mismatch”) based on the determination result (match / mismatch) of the data string and outputs it to the interrupt control unit 220. The collation circuit 214 outputs the address, data, and command input from the A-system processor 202 to the ECC circuit 232 via the internal bus 215 only when the mutual data strings match, that is, when the determination results match. The A-system CRCC is output to the ECC circuit 232 via the CRCC internal bus 216.

リード時の照合回路２１４は、Ａ系プロセッサ２０２から入力されるアドレスのデータ列を、Ｂ系プロセッサ２０３から入力されるアドレスのデータ列と比較して一致／不一致を判定する。このとき照合回路２１４は、その判定結果（一致／不一致）に基づいて照合不一致を生成して割込制御部２２０に出力する。相互のデータ列が一致しているすなわち、判定結果が一致である場合に限り、照合回路２１４は、Ａ系プロセッサ２０２から入力されるアドレスおよびコマンドを内部バス２１５を介してＥＣＣ回路２３２に出力する。   The collating circuit 214 at the time of reading compares the address data string input from the A-system processor 202 with the address data string input from the B-system processor 203 to determine a match / mismatch. At this time, the collation circuit 214 generates a collation mismatch based on the determination result (match / mismatch) and outputs it to the interrupt control unit 220. The collation circuit 214 outputs the address and command input from the A-system processor 202 to the ECC circuit 232 via the internal bus 215 only when the mutual data strings match, that is, when the determination results match. .

ＥＣＣ回路２３２は、所定の桁数のビット幅のデータ列からＥＣＣを生成する。また、生成したＥＣＣを利用することにより、当該データ列のエラーを検出し、検出したエラーが訂正可能な１ビットエラーの場合に当該データ列を訂正する。   The ECC circuit 232 generates an ECC from a data string having a bit width of a predetermined number of digits. Further, by using the generated ECC, an error in the data string is detected, and when the detected error is a correctable 1-bit error, the data string is corrected.

ＥＣＣ回路２３２は、ライト時とリード時では異なった処理を行う。このＥＣＣ回路２３２は、メインメモリ２０５の間でデータ列のやりとりができるように、メモリバス２１７、ＣＲＣＣメモリバス２１８およびＥＣＣメモリバス２１９によって接続されている。   The ECC circuit 232 performs different processing at the time of writing and at the time of reading. The ECC circuit 232 is connected by a memory bus 217, a CRCC memory bus 218, and an ECC memory bus 219 so that data strings can be exchanged between the main memories 205.

ライトのＥＣＣ回路２３２は、照合回路２１４から入力されるアドレス、データおよびＣＲＣＣを併せた７２ビット幅のデータ列でＥＣＣを生成する。そして、生成したＥＣＣをＥＣＣメモリバス２１９を介してメインメモリ２０５に出力する。そして、ＥＣＣ回路２３２は、照合回路２１４から入力されるアドレス、データ、コマンドをメモリバス２１７を介してメインメモリ２０５に出力し、照合回路２１４から入力されるＣＲＣＣをＣＲＣＣメモリバス２１８を介してメインメモリ２０５に出力する。   The write ECC circuit 232 generates an ECC with a 72-bit wide data string that combines the address, data, and CRCC input from the verification circuit 214. Then, the generated ECC is output to the main memory 205 via the ECC memory bus 219. Then, the ECC circuit 232 outputs the address, data, and command input from the verification circuit 214 to the main memory 205 via the memory bus 217, and the CRCC input from the verification circuit 214 to the main memory via the CRCC memory bus 218. Output to the memory 205.

リード時のＥＣＣ回路２３２は、メインメモリ２０５に書き込まれているデータと、照合回路２１４から入力されるアドレスおよびＣＲＣＣとを併せた７２ビット幅のデータ列から新たにＥＣＣを生成する。そして、ＥＣＣ回路２３２は、新たに生成したＥＣＣと、メインメモリ２０５に書き込まれたＥＣＣとの一致不一致を判定する。また、ＥＣＣ回路２３２は、割込制御部２２０と接続されており、その判定結果（一致／不一致）に基づいた論理信号（以下、「ＥＣＣ照合不一致」という）を生成して割込制御部２２０に出力する。   The ECC circuit 232 at the time of reading newly generates an ECC from a 72-bit width data string that combines the data written in the main memory 205, the address input from the verification circuit 214, and the CRCC. Then, the ECC circuit 232 determines whether or not the newly generated ECC matches the ECC written in the main memory 205. The ECC circuit 232 is connected to the interrupt control unit 220 and generates a logic signal (hereinafter referred to as “ECC verification mismatch”) based on the determination result (match / mismatch). Output to.

判定結果が一致の場合、ＥＣＣ回路２３２は、メインメモリ２０５に書き込まれているデータおよびＣＲＣＣを照合回路２１４を介してＡ系ＣＲＣ回路２０９およびＢ系ＣＲＣ回路２１２に出力するとともに、ＥＣＣ照合不一致（一致）を生成して割込制御部２２０に出力する。   When the determination result is coincident, the ECC circuit 232 outputs the data and CRCC written in the main memory 205 to the A-system CRC circuit 209 and the B-system CRC circuit 212 via the collation circuit 214 and ECC collation mismatch ( Match) is generated and output to the interrupt control unit 220.

判定結果が不一致の場合、ＥＣＣ回路２３２は、新たに生成したＥＣＣおよびメインメモリ２０５に書き込まれているＥＣＣを利用してメインメモリ２０５に書き込まれたＥＣＣおよびＣＲＣＣのエラーチェックを行う。   If the determination results do not match, the ECC circuit 232 performs error checking of the ECC and CRCC written in the main memory 205 using the newly generated ECC and the ECC written in the main memory 205.

訂正可能なエラーの場合は、ＥＣＣ回路２３２は、データおよびＣＲＣＣのエラー訂正を行い、エラー訂正を行ったデータおよびＣＲＣＣを照合回路２１４を介してＡ系ＣＲＣ回路２０９およびＢ系ＣＲＣ回路２１２に出力するとともに、ＥＣＣ照合不一致（一致）を生成して割込制御部２２０に出力する。   In the case of a correctable error, the ECC circuit 232 corrects the data and CRCC error, and outputs the error-corrected data and CRCC to the A-system CRC circuit 209 and the B-system CRC circuit 212 via the collation circuit 214. At the same time, ECC verification mismatch (match) is generated and output to the interrupt control unit 220.

訂正不可能なエラーの場合は、ＥＣＣ回路２３２は、ＥＣＣ照合不一致（不一致）を生成して割込制御部２２０に出力する。   In the case of an uncorrectable error, the ECC circuit 232 generates an ECC verification mismatch (mismatch) and outputs it to the interrupt control unit 220.

割込制御部２２０は、Ａ系割込要求をＡ系プロセッサ２０２に出力し、Ｂ系割込要求をＢ系プロセッサ２０３に出力する。また、割込制御部２２０は、Ａ系割込要求とＢ系割込要求を制御する機能を備え、Ａ系割込要求をアサートするためのＡ系割込要求レジスタと、割込要因を示すＡ系割込要因レジスタで構成する。また、Ｂ系割込要求をアサートするためのＢ系割込要求レジスタと、割込要因を示すＢ系割込要因レジスタを備える。   The interrupt control unit 220 outputs an A-system interrupt request to the A-system processor 202, and outputs a B-system interrupt request to the B-system processor 203. The interrupt control unit 220 has a function of controlling the A system interrupt request and the B system interrupt request, and indicates an A system interrupt request register for asserting the A system interrupt request, and an interrupt factor. Consists of an A-system interrupt factor register. A B system interrupt request register for asserting a B system interrupt request and a B system interrupt factor register indicating an interrupt factor are provided.

割込制御部２２０は、Ａ系プロセッサ２０２に対するＡ系割込要求とＢ系プロセッサ２０３に対するＢ系割込要求独立に制御することが可能である。   The interrupt control unit 220 can control the A-system interrupt request to the A-system processor 202 and the B-system interrupt request to the B-system processor 203 independently.

Ａ系割込要求レジスタと、Ｂ系割込要求レジスタ、Ａ系割込要因レジスタ、Ｂ系割込要因レジスタはＡ系プロセッサ２０２とＢ系プロセッサ２０３からアクセスすることが可能な構造となっている。   The A system interrupt request register, the B system interrupt request register, the A system interrupt factor register, and the B system interrupt factor register can be accessed from the A system processor 202 and the B system processor 203. .

割込制御部２２０は、各プロセッサの異常または各プロセッサからメインメモリ２０５までのインターフェースの異常およびメインメモリ２０５の異常を検出すると、制御装置２０４を不安全な状態から回避する機能を備える。すなわち、割込制御部２２０は、Ａ系ＣＲＣ回路２０９からのＡ系ＣＲＣ照合不一致、Ｂ系ＣＲＣ回路２１２からＢ系ＣＲＣ照合不一致、照合回路２１４からの照合不一致あるいはＥＣＣ回路２３２からのＥＣＣ照合不一致のいずれか一つの論理信号に基づいて、Ａ系プロセッサ２０２およびＢ系プロセッサ２０３が現在行っている演算を中断させるか否かを決定する。割込制御部２２０は他の割込要因についても制御を行っているが、本発明では言及しない。   The interrupt control unit 220 has a function of avoiding the control device 204 from an unsafe state when an abnormality of each processor or an abnormality of an interface from each processor to the main memory 205 and an abnormality of the main memory 205 are detected. That is, the interrupt control unit 220 determines that the A-system CRC verification mismatch from the A-system CRC circuit 209, the B-system CRC verification mismatch from the B-system CRC circuit 212, the verification mismatch from the verification circuit 214, or the ECC verification mismatch from the ECC circuit 232 Based on any one of the logic signals, it is determined whether or not to interrupt the operation currently being performed by the A-system processor 202 and the B-system processor 203. The interrupt control unit 220 controls other interrupt factors, but is not mentioned in the present invention.

ところで、出力切替スイッチ２２１は、Ａ系プロセッサ２０２、Ｂ系プロセッサ２０３およびネットワークコントローラ２０６に接続されている。この出力切替スイッチ２２１は、Ａ系プロセッサ２０２あるいはＢ系プロセッサ２０３の演算結果のいずれか一方を選択し、選択した方プロセッサの演算結果をネットワークコントローラ２０６に出力する。つまり、出力切替スイッチ２２１は、選択した方のプロセッサの演算結果がネットワークコントローラ２０６を介してネットワーク１０６上にある上位装置１０３あるいは下位装置１０４に出力されるようにするためのスイッチである。   Incidentally, the output changeover switch 221 is connected to the A-system processor 202, the B-system processor 203, and the network controller 206. The output changeover switch 221 selects one of the operation results of the A processor 202 or the B processor 203 and outputs the operation result of the selected processor to the network controller 206. That is, the output changeover switch 221 is a switch for outputting the calculation result of the selected processor to the upper apparatus 103 or the lower apparatus 104 on the network 106 via the network controller 206.

［Ａ系ＣＲＣ回路の構成］
次に、Ａ系ＣＲＣ回路２０９およびＢ系ＣＲＣ回路２１２の回路構成の一例について図３を参照して説明する。
図３は、Ａ系ＣＲＣ回路２０９の一例およびその周辺を示す図である。なお、Ａ系ＣＲＣ回路２０９とＢ系ＣＲＣ回路２１２は同じ回路であるので、Ｂ系ＣＲＣ回路２１２の説明は省略する。 [Configuration of A system CRC circuit]
Next, an example of the circuit configuration of the A system CRC circuit 209 and the B system CRC circuit 212 will be described with reference to FIG.
FIG. 3 is a diagram showing an example of the A-system CRC circuit 209 and its periphery. Since the A system CRC circuit 209 and the B system CRC circuit 212 are the same circuit, the description of the B system CRC circuit 212 is omitted.

Ａ系ＣＲＣ回路２０９は、Ａ系プロセッサバス２０８を介してＡ系プロセッサ２０２および照合回路２１４と接続されているＣＲＣ計算回路３０２と、Ａ系プロセッサ２０２を介してＡ系プロセッサ２０２および照合回路２１４と接続されているスイッチと、デジタル比較器３０４とよりなる。   The A-system CRC circuit 209 includes a CRC calculation circuit 302 connected to the A-system processor 202 and the verification circuit 214 via the A-system processor bus 208, and the A-system processor 202 and the verification circuit 214 via the A-system processor 202. It consists of a connected switch and a digital comparator 304.

スイッチの端子Ｓ２はＣＲＣ計算回路３０２およびデジタル比較器３０４と接続されており、端子Ｓ１はＣＲＣバスで照合回路２１４と接続されており、端子Ｓ３はデジタル比較器３０４と接続されている。このスイッチは、Ａ系プロセッサ２０２から入力されるコマンドに基づいて接続する端子を切り替える。より具体的には、スイッチは、コマンドが‘１’のとき、すなわちライト時に端子Ｓ１と端子Ｓ２を接続し、入力されるコマンドが‘０’のとき、すなわちリード時に端子Ｓ１と端子Ｓ３を接続する。   The switch terminal S2 is connected to the CRC calculation circuit 302 and the digital comparator 304, the terminal S1 is connected to the verification circuit 214 via a CRC bus, and the terminal S3 is connected to the digital comparator 304. This switch switches terminals to be connected based on a command input from the A-system processor 202. More specifically, the switch connects the terminal S1 and the terminal S2 when the command is “1”, that is, when writing, and connects the terminal S1 and the terminal S3 when the input command is “0”, that is, when reading. To do.

ＣＲＣ計算回路３０２は、ライト時にＡ系プロセッサ２０２から入力されるアドレスおよびデータでＡ系ＣＲＣＣを計算し、計算したＡ系ＣＲＣＣをＡ系ＣＲＣＣバス２１０を介して照合回路２１４へ出力する。   The CRC calculation circuit 302 calculates the A-system CRCC using the address and data input from the A-system processor 202 at the time of writing, and outputs the calculated A-system CRCC to the verification circuit 214 via the A-system CRCC bus 210.

また、ＣＲＣ計算回路３０２は、リード時にＡ系プロセッサ２０２から入力されるアドレスおよび照合回路２１４を介してメインメモリ２０５から取得したデータでＡ系ＣＲＣＣを計算し、計算したＡ系ＣＲＣＣをデジタル比較器３０４に出力する。   The CRC calculation circuit 302 calculates an A-system CRCC using the address input from the A-system processor 202 at the time of reading and data acquired from the main memory 205 via the verification circuit 214, and the calculated A-system CRCC is a digital comparator. It outputs to 304.

デジタル比較器３０４は、リード時のみ動作する。デジタル比較器３０４は、ＣＲＣ計算回路３０２が計算したＡ系ＣＲＣＣと、照合回路２１４を介してメインメモリ２０５から取得したＣＲＣＣを比較し、その比較結果に応じた論理信号であるＡ系ＣＲＣＣ照合不一致を割込制御部２２０に出力する。   The digital comparator 304 operates only when reading. The digital comparator 304 compares the A-system CRCC calculated by the CRC calculation circuit 302 with the CRCC acquired from the main memory 205 via the verification circuit 214, and the A-system CRCC verification mismatch, which is a logic signal corresponding to the comparison result Is output to the interrupt control unit 220.

［ＥＣＣ回路の構成］
次に、ＥＣＣ回路２３２の回路構成の一例について図４を参照して説明する。
図４は、ＥＣＣ回路２３２の一例およびその周辺を示す図である。 [Configuration of ECC circuit]
Next, an example of the circuit configuration of the ECC circuit 232 will be described with reference to FIG.
FIG. 4 is a diagram illustrating an example of the ECC circuit 232 and its periphery.

ＥＣＣ回路２３２は、第一切替スイッチ４０２と、第二切替スイッチ４０３と、ＥＣＣ計算回路４０４と、第三切替スイッチ４０５と、ＥＣＣ比較回路４０６と、ＥＣＣ訂正回路４０８と、第四切替スイッチ４０９と、第五切替スイッチ４１０と、スイッチ制御回路４１１よりなる。   The ECC circuit 232 includes a first changeover switch 402, a second changeover switch 403, an ECC calculation circuit 404, a third changeover switch 405, an ECC comparison circuit 406, an ECC correction circuit 408, and a fourth changeover switch 409. , A fifth changeover switch 410 and a switch control circuit 411.

第一切替スイッチ４０２は、ＥＣＣ計算回路４０４と、内部バス２１５あるいはメモリバス２１７のいずれか一方とを接続するスイッチである。
第一切替スイッチ４０２の端子Ｓ４は内部バス２１５で照合回路２１４と接続されており、端子Ｓ５はメモリバス２１７でメインメモリ２０５と接続されており、端子Ｓ６はＥＣＣ計算回路４０４と接続されている。この第一切替スイッチ４０２は、スイッチ制御回路４１１により接続する端子を制御される。具体的には、ライト時に、端子Ｓ４と端子Ｓ６を接続することで、ＥＣＣ計算回路４０４と内部バス２１５を接続する。一方、リード時に、端子Ｓ５と端子Ｓ６を接続してＥＣＣ計算回路４０４とメモリバス２１７を接続する。 The first changeover switch 402 is a switch that connects the ECC calculation circuit 404 and either the internal bus 215 or the memory bus 217.
The terminal S4 of the first changeover switch 402 is connected to the verification circuit 214 via the internal bus 215, the terminal S5 is connected to the main memory 205 via the memory bus 217, and the terminal S6 is connected to the ECC calculation circuit 404. . The first changeover switch 402 is controlled by a switch control circuit 411 for a terminal to be connected. Specifically, at the time of writing, the ECC calculation circuit 404 and the internal bus 215 are connected by connecting the terminal S4 and the terminal S6. On the other hand, at the time of reading, the ECC calculation circuit 404 and the memory bus 217 are connected by connecting the terminals S5 and S6.

第二切替スイッチ４０３は、ＥＣＣ計算回路４０４と、ＣＲＣＣ内部バス２１６あるいはＣＲＣＣメモリバス２１８のいずれか一方とを接続するスイッチである。
第二切替スイッチ４０３の端子Ｓ７はＣＲＣＣ内部バス２１６で照合回路２１４と接続されており、端子Ｓ８はＣＲＣＣメモリバス２１８でメインメモリ２０５と接続されており、端子Ｓ９はＥＣＣ計算回路４０４と接続されている。この第二切替スイッチ４０３は、スイッチ制御回路４１１により接続する端子を制御される。具体的には、ライト時に、端子Ｓ７と端子Ｓ９を接続してＥＣＣ計算回路４０４とＣＲＣＣ内部バス２１６を接続する。一方、リード時に、端子Ｓ８と端子Ｓ９を接続してＥＣＣ計算回路４０４とＣＲＣＣメモリバス２１８を接続する。 The second changeover switch 403 is a switch that connects the ECC calculation circuit 404 and either the CRCC internal bus 216 or the CRCC memory bus 218.
The terminal S7 of the second changeover switch 403 is connected to the verification circuit 214 via the CRCC internal bus 216, the terminal S8 is connected to the main memory 205 via the CRCC memory bus 218, and the terminal S9 is connected to the ECC calculation circuit 404. ing. The second changeover switch 403 is controlled by a switch control circuit 411 at a terminal to be connected. Specifically, at the time of writing, the terminal S7 and the terminal S9 are connected, and the ECC calculation circuit 404 and the CRCC internal bus 216 are connected. On the other hand, at the time of reading, the ECC calculation circuit 404 and the CRCC memory bus 218 are connected by connecting the terminals S8 and S9.

ライト時のＥＣＣ計算回路４０４は、内部バス２１５を介して照合回路２１４から入力されるアドレスおよびデータと、ＣＲＣＣ内部バス２１６を介して照合回路２１４から入力されるＣＲＣＣからＥＣＣを生成し、生成したＥＣＣを第三切替スイッチ４０５を介して出力する。   The ECC calculation circuit 404 at the time of writing generates an ECC from the address and data input from the verification circuit 214 via the internal bus 215 and the CRCC input from the verification circuit 214 via the CRCC internal bus 216. The ECC is output via the third changeover switch 405.

一方、リード時のＥＣＣ計算回路４０４は、メモリバス２１７を介してメインメモリ２０５から取得するデータと、ＣＲＣＣメモリバス２１８を介してメインメモリ２０５から取得するＣＲＣＣと、内部バス２１５を介して照合回路２１４から入力されるアドレスからＥＣＣを生成し、生成したＥＣＣを第三切替スイッチ４０５を介して出力する。   On the other hand, the ECC calculation circuit 404 at the time of reading includes data acquired from the main memory 205 via the memory bus 217, CRCC acquired from the main memory 205 via the CRCC memory bus 218, and a verification circuit via the internal bus 215. An ECC is generated from the address input from 214, and the generated ECC is output via the third changeover switch 405.

第三切替スイッチ４０５は、ＥＣＣ回路２３２からの出力をＥＣＣ比較回路４０６あるいはメインメモリ２０５のいずれかに切り替えるスイッチである。
第三切替スイッチ４０５の端子Ｓ１０はＥＣＣ計算回路４０４と接続されており、端子Ｓ１２はＥＣＣ比較回路４０６と接続されており、端子Ｓ１１はＥＣＣメモリバス２１９でメインメモリ２０５と接続されている。この第三切替スイッチ４０５は、スイッチ制御回路４１１により接続する端子を制御される。具体的には、ライト時に、端子Ｓ１０と端子Ｓ１１を接続してＥＣＣ計算回路４０４で生成されたＥＣＣをＥＣＣメモリバス２１９に出力する。一方、リード時に、端子Ｓ１０と端子Ｓ１２を接続してＥＣＣ計算回路４０４で生成されたＥＣＣをＥＣＣ比較回路４０６に出力する。 The third changeover switch 405 is a switch for changing the output from the ECC circuit 232 to either the ECC comparison circuit 406 or the main memory 205.
The terminal S10 of the third changeover switch 405 is connected to the ECC calculation circuit 404, the terminal S12 is connected to the ECC comparison circuit 406, and the terminal S11 is connected to the main memory 205 via the ECC memory bus 219. The third changeover switch 405 is controlled by a switch control circuit 411 at a terminal to be connected. Specifically, at the time of writing, the terminals S 10 and S 11 are connected and the ECC generated by the ECC calculation circuit 404 is output to the ECC memory bus 219. On the other hand, at the time of reading, the terminals S10 and S12 are connected and the ECC generated by the ECC calculation circuit 404 is output to the ECC comparison circuit 406.

ＥＣＣ比較回路４０６は、第三切替スイッチ４０５によりリード時のみ処理を行う。ＥＣＣ比較回路４０６は、メインメモリ２０５からＥＣＣメモリバス２１９を介して取得したＥＣＣと、ＥＣＣ計算回路４０４で生成されたＥＣＣそれぞれのデータ列の排他的論理和を計算することにより、これらの各ＥＣＣのエラーチェックを行う。ここでのエラーチェックは、エラーなし（全ビット一致）か、１ビットエラーか、２ビット以上のエラーか、を検出するとともに、これらの各エラーが訂正可能であるか否かを検出する、ことを指す。ＥＣＣ比較回路４０６は、このようなエラーチェック結果をＥＣＣ訂正回路４０８およびスイッチ制御回路４１１に出力する。 The ECC comparison circuit 406 performs processing only at the time of reading by the third changeover switch 405. The ECC comparison circuit 406 calculates the exclusive OR of the ECC acquired from the main memory 205 via the ECC memory bus 219 and the data string of each of the ECC generated by the ECC calculation circuit 404. Check for errors. The error check here detects whether there is no error (all bits match), 1-bit error, or error of 2 bits or more, and whether each of these errors can be corrected. Point to. The ECC comparison circuit 406 outputs such an error check result to the ECC correction circuit 408 and the switch control circuit 411.

ＥＣＣ訂正回路４０８は、第三切替スイッチ４０５によりリード時のみ処理を行う。ＥＣＣ訂正回路４０８は、メインメモリ２０５から読み出したデータおよびＣＲＣＣのエラーの訂正をＥＣＣ比較回路４０６から入力されたエラーチェック結果に基づいて行う。 The ECC correction circuit 408 performs processing only at the time of reading by the third changeover switch 405. The ECC correction circuit 408 corrects the data read from the main memory 205 and the CRCC error based on the error check result input from the ECC comparison circuit 406.

訂正不可能な１ビットエラーおよび２ビット以上のエラーの場合、ＥＣＣ訂正回路４０８は割込制御部２２０にＥＣＣ照合不一致（不一致）を出力する。   In the case of an uncorrectable 1-bit error and an error of 2 bits or more, the ECC correction circuit 408 outputs an ECC collation mismatch (mismatch) to the interrupt control unit 220.

訂正可能な１ビットエラーの場合、ＥＣＣ訂正回路４０８は、メインメモリ２０５から読み出したデータまたはＣＲＣＣのビット訂正をＥＣＣ比較回路４０６から入力されるエラーチェック結果を利用して行うとともに、割込制御部２２０にＥＣＣ照合不一致（一致）を出力する。   In the case of a correctable 1-bit error, the ECC correction circuit 408 performs bit correction of data read from the main memory 205 or CRCC using an error check result input from the ECC comparison circuit 406 and an interrupt control unit. The ECC verification mismatch (match) is output to 220.

第四切替スイッチ４０９は、内部バス２１５とメモリバス２１７の接続のオン／オフを切り替えるスイッチである。第四切替スイッチ４０９の端子Ｓ１３は内部バス２１５に接続しており、端子Ｓ１４はメモリバス２１７に接続している。この第四切替スイッチ４０９は、スイッチ制御回路４１１によりオン／オフを制御される。ライト時に、端子Ｓ１３と端子Ｓ１４を接続して照合回路２１４から入力されるアドレス、データおよびコマンドをメインメモリ２０５に出力するようにする。リード時にＥＣＣ比較回路４０６で検出したエラーチェック結果がエラーなしあるいは訂正可能な１ビットエラーの場合、端子Ｓ１３と端子Ｓ１４を接続してメインメモリ２０５に記憶されたデータを照合回路２１４に出力するようにする。   The fourth changeover switch 409 is a switch for turning on / off the connection between the internal bus 215 and the memory bus 217. The terminal S13 of the fourth changeover switch 409 is connected to the internal bus 215, and the terminal S14 is connected to the memory bus 217. The fourth changeover switch 409 is controlled to be turned on / off by the switch control circuit 411. At the time of writing, the terminal S13 and the terminal S14 are connected to output the address, data, and command input from the verification circuit 214 to the main memory 205. When the error check result detected by the ECC comparison circuit 406 at the time of reading is an error-free or correctable 1-bit error, the terminal S13 and the terminal S14 are connected to output the data stored in the main memory 205 to the verification circuit 214. To.

第五切替スイッチ４１０は、ＣＲＣＣ内部バス２１６とＣＲＣＣメモリバス２１８の接続のオン／オフを切り替えるスイッチである。第五切替スイッチ４１０の端子Ｓ１５はＣＲＣＣ内部バス２１６に接続しており、端子Ｓ１６はＣＲＣＣメモリバス２１８に接続している。この第五切替スイッチ４１０は、スイッチ制御回路４１１によりオン／オフを制御される。ライト時に、端子Ｓ１５と端子Ｓ１６を接続して照合回路２１４から入力されるＣＲＣＣをメインメモリ２０５に出力するようにする。リード時においてＥＣＣ比較回路４０６で検出したエラーチェック結果がエラーなしあるいは訂正可能な１ビットエラーの場合、端子Ｓ１５と端子Ｓ１６を接続してメインメモリ２０５に記憶されたＣＲＣＣを照合回路２１４に出力するようにする。   The fifth changeover switch 410 is a switch for turning on / off the connection between the CRCC internal bus 216 and the CRCC memory bus 218. The terminal S15 of the fifth changeover switch 410 is connected to the CRCC internal bus 216, and the terminal S16 is connected to the CRCC memory bus 218. The fifth changeover switch 410 is controlled to be turned on / off by the switch control circuit 411. At the time of writing, the terminals S15 and S16 are connected to output the CRCC input from the collation circuit 214 to the main memory 205. When the error check result detected by the ECC comparison circuit 406 at the time of reading is an error-free or correctable 1-bit error, the terminal S15 and the terminal S16 are connected and the CRCC stored in the main memory 205 is output to the verification circuit 214. Like that.

スイッチ制御回路４１１は、第一切替スイッチ４０２、第二切替スイッチ４０３、第三切替スイッチ４０５、第四切替スイッチ４０９および第五切替スイッチ４１０の各端子の接続を制御するものである。この制御は、内部バス２１５を介して照合回路２１４から入力されるコマンドおよびＥＣＣ比較回路４０６から入力されるエラーチェック結果に基づいて行われる。   The switch control circuit 411 controls connection of each terminal of the first changeover switch 402, the second changeover switch 403, the third changeover switch 405, the fourth changeover switch 409, and the fifth changeover switch 410. This control is performed based on the command input from the verification circuit 214 via the internal bus 215 and the error check result input from the ECC comparison circuit 406.

［ＣＰＵ装置のモード遷移］
次に、ＣＰＵ装置１０２のモードの遷移について図５を参照して説明する。
図５は、ＣＰＵ装置１０２のモードの遷移を示す状態遷移図である。 [Mode transition of CPU device]
Next, the mode transition of the CPU device 102 will be described with reference to FIG.
FIG. 5 is a state transition diagram showing mode transition of the CPU device 102.

まず、ＣＰＵ装置１０２が起動されると、当該ＣＰＵ装置１０２はＯＳ立ち上がりモードになる（ステップＳ５０１）。このとき、ＣＰＵ装置１０２は、上位装置１０３に記憶された所定のプログラムをネットワーク経由で取得する。   First, when the CPU device 102 is activated, the CPU device 102 enters an OS startup mode (step S501). At this time, the CPU device 102 acquires a predetermined program stored in the host device 103 via the network.

そして、ＣＰＵ装置１０２は、スケジューラにより、前述の一般モード（ステップＳ５０２）、安全モード（ステップＳ５０３）あるいはテストモード（ステップＳ５０４）のいずれかのモードで稼動する。なお、スケジューラにより、モードの変更が行われる場合は、ＯＳ立ち上がりモードに移行する（ステップＳ５０６、ステップＳ５０７およびステップＳ５０８）。   The CPU device 102 is operated by the scheduler in any of the above-described general mode (step S502), safety mode (step S503), or test mode (step S504). In addition, when the mode is changed by the scheduler, the mode shifts to the OS startup mode (step S506, step S507, and step S508).

ＣＰＵ装置１０２は、一般モードでの演算中にＣＰＵ装置１０２に異常が発生すると、ＣＰＵ装置１０２は演算を中止する（ステップＳ５０９）。   If an abnormality occurs in the CPU device 102 during the calculation in the general mode, the CPU device 102 stops the calculation (step S509).

また、ＣＰＵ装置１０２は、安全モードでの演算中にＣＰＵ装置１０２に以上が発生すると、ＣＰＵ装置１０２は演算を中止する（ステップＳ５１０）。   Further, when the above occurs in the CPU device 102 during the calculation in the safety mode, the CPU device 102 stops the calculation (step S510).

また、ＣＰＵ装置１０２は、テストモードの実行、すなわちテストプログラムによりＣＰＵ装置１０２を構成する各ブロックおよび各バスの故障を検出すると、当該ＣＰＵ装置１０２を停止する（ステップＳ５１１）。   Further, when executing a test mode, that is, detecting a failure of each block and each bus constituting the CPU device 102 by the test program, the CPU device 102 stops the CPU device 102 (step S511).

以上に示した各状態のうち、ステップＳ５１０のエラーを検出するために、ＣＰＵ装置１０２は、図２から図４に示した構成となっている。つまり、本実施形態の図２乃至図４の構成は、安全モードでＣＰＵ装置１０２の異常を確実に検出し、異常停止モードに至らせるためのものである。   Among the states shown above, the CPU device 102 has the configuration shown in FIGS. 2 to 4 in order to detect the error in step S510. That is, the configurations of FIGS. 2 to 4 of the present embodiment are for reliably detecting an abnormality of the CPU device 102 in the safety mode and reaching the abnormal stop mode.

［ＣＰＵ装置の動作］
次に、安全モード時における制御装置２０４の動作を図６〜図８を参照して説明する。
図６は、故障がない場合の制御装置２０４の動作を示すタイミングチャートである。 [Operation of CPU device]
Next, the operation of the control device 204 in the safety mode will be described with reference to FIGS.
FIG. 6 is a timing chart showing the operation of the control device 204 when there is no failure.

Ａ系プロセッサ２０２およびＢ系プロセッサ２０３が、予め上位装置１０３から取得した所定のプログラムに基づいて、メインメモリ２０５に対してライトを行う時の制御装置２０４の動作について説明する。なお、Ｂ系ＣＲＣ回路２１２はＡ系ＣＲＣ回路２０９と同じ構成であるので、以下ではＢ系ＣＲＣ回路に関する動作を図３に示すＡ系ＣＲＣ回路を参照して説明する。   An operation of the control device 204 when the A-system processor 202 and the B-system processor 203 write to the main memory 205 based on a predetermined program acquired in advance from the host device 103 will be described. Since the B-system CRC circuit 212 has the same configuration as the A-system CRC circuit 209, the operation relating to the B-system CRC circuit will be described below with reference to the A-system CRC circuit shown in FIG.

まず、Ａ系プロセッサ２０２は、メインメモリ２０５に書き込み要求を行うと（Ｔ６０１）、Ａ系プロセッサバス２０８を介してアドレス、データおよびライトを示すコマンド（‘１’）を制御装置２０４のＡ系ＣＲＣ回路２０９および照合回路２１４へ出力する。すると、Ａ系ＣＲＣ回路２０９は、Ａ系プロセッサ２０２から入力されたコマンドをトリガーにスイッチ３０３の端子Ｓ１と端子Ｓ２を接続する。そして、Ａ系ＣＲＣ回路２０９のＣＲＣ計算回路３０２は、Ａ系プロセッサ２０２から入力されたアドレスおよびデータからＡ系ＣＲＣＣを生成する。そして、Ａ系ＣＲＣ回路２０９のＣＲＣ計算回路３０２は、生成したＡ系ＣＲＣＣを、Ａ系ＣＲＣＣバスを介して照合回路２１４に出力する（Ｔ６０２）。 First, when the A processor 202 makes a write request to the main memory 205 (T601), the A processor CRC of the control device 204 sends a command ('1') indicating the address, data, and write via the A processor bus 208. It outputs to the circuit 209 and the collation circuit 214. Then, the A system CRC circuit 209 connects the terminal S1 and the terminal S2 of the switch 303 with the command input from the A system processor 202 as a trigger. The CRC calculation circuit 302 of the A system CRC circuit 209 generates an A system CRCC from the address and data input from the A system processor 202. Then, the CRC calculation circuit 302 of the A system CRC circuit 209 outputs the generated A system CRCC to the collation circuit 214 via the A system CRCC bus (T602).

一方、Ｂ系プロセッサ２０３もＡ系プロセッサ２０２と同様の動作を行う。まず、Ｂ系プロセッサ２０３は、メインメモリ２０５に書き込み要求を行うと（Ｔ６０３）、Ｂ系プロセッサバス２１１を介してデータ、アドレスおよびライトを示すコマンド（‘１’）を制御装置２０４のＢ系ＣＲＣ回路２１２および照合回路２１４へ出力する。すると、Ｂ系ＣＲＣ回路２１２は、Ｂ系プロセッサ２０３から入力されたコマンドをトリガーにスイッチ３０３の端子Ｓ１と端子Ｓ２を接続する。そして、Ｂ系ＣＲＣ回路２１２のＣＲＣ計算回路３０２は、Ｂ系プロセッサ２０３から入力されたアドレスおよびデータからＢ系ＣＲＣＣを生成する。そして、Ｂ系ＣＲＣ回路２１２のＣＲＣ計算回路３０２は生成したＢ系ＣＲＣＣを照合回路２１４に出力する（Ｔ６０４）。 On the other hand, the B processor 203 performs the same operation as the A processor 202. First, when the B processor 203 makes a write request to the main memory 205 (T603), the B processor CRC of the control device 204 sends a command ('1') indicating data, address and write via the B processor bus 211. It outputs to the circuit 212 and the collation circuit 214. Then, the B-system CRC circuit 212 connects the terminal S1 and the terminal S2 of the switch 303 using a command input from the B-system processor 203 as a trigger. The CRC calculation circuit 302 of the B system CRC circuit 212 generates a B system CRCC from the address and data input from the B system processor 203. Then, the CRC calculation circuit 302 of the B system CRC circuit 212 outputs the generated B system CRCC to the collation circuit 214 (T604).

照合回路２１４は、Ａ系ＣＲＣ回路２０９のＣＲＣ計算回路３０２から入力されるＡ系ＣＲＣＣと、Ｂ系ＣＲＣ回路２１２のＣＲＣ計算回路３０２から入力されるＢ系ＣＲＣＣとが一致するか否かを判定する（Ｔ６０５）。各故障検出対象に故障がないケースでは、判定結果が一致となるので、照合回路２１４は、Ａ系プロセッサバス２０８を介してＡ系プロセッサ２０２から入力されるアドレス、データおよびコマンドを内部バス２１５を介してＥＣＣ回路２３２に出力する。さらに、照合回路２１４は、Ａ系ＣＲＣ回路２０９から入力されるＡ系ＣＲＣＣをＣＲＣＣ内部バス２１６を介してＥＣＣ回路２３２に出力する。なお、ＥＣＣ回路２３２にはＢ系ＣＲＣ回路２１２からの出力を入力するようにしてもよいので、以下ではＡ系ＣＲＣＣおよびＢ系ＣＲＣＣを区別せず単にＣＲＣＣと記載する。   The collation circuit 214 determines whether or not the A system CRCC input from the CRC calculation circuit 302 of the A system CRC circuit 209 matches the B system CRCC input from the CRC calculation circuit 302 of the B system CRC circuit 212. (T605). In the case where there is no failure in each failure detection target, the determination results are the same. Therefore, the collation circuit 214 sends the address, data, and command input from the A-system processor 202 via the A-system processor bus 208 to the internal bus 215. To the ECC circuit 232. Further, the collation circuit 214 outputs the A system CRCC input from the A system CRC circuit 209 to the ECC circuit 232 via the CRCC internal bus 216. Since the output from the B-system CRC circuit 212 may be input to the ECC circuit 232, the A-system CRCC and the B-system CRCC are simply described as CRCC in the following.

ＥＣＣ回路２３２は、照合回路２１４から入力されたコマンドをトリガーに、第一切替スイッチ４０２の端子Ｓ４と端子Ｓ６を接続し、第二切替スイッチ４０３の端子Ｓ７と端子Ｓ９を接続し、第三切替スイッチ４０５の端子Ｓ１０と端子Ｓ１１を接続し、第四切替スイッチ４０９の端子Ｓ１３と端子Ｓ１４を接続し、第五切替スイッチ４１０の端子Ｓ１５と端子Ｓ１６を接続する。ＥＣＣ計算回路４０４は、照合回路２１４から入力されるアドレス、データおよびＣＲＣＣでＥＣＣを生成し、生成したＥＣＣをＥＣＣメモリバス２１９を介してメインメモリ２０５に出力する。このとき、ＥＣＣ回路２３２は、照合回路２１４から入力されたデータ、コマンドおよびデータをメモリバス２１７を介してメインメモリ２０５に出力し、照合回路２１４から入力されたＣＲＣＣをＣＲＣＣメモリバス２１８を介してメインメモリ２０５に出力する（Ｔ６０６）。   The ECC circuit 232 connects the terminal S4 and the terminal S6 of the first changeover switch 402, connects the terminal S7 and the terminal S9 of the second changeover switch 403, and uses the command inputted from the verification circuit 214 as a trigger. The terminals S10 and S11 of the switch 405 are connected, the terminals S13 and S14 of the fourth changeover switch 409 are connected, and the terminals S15 and S16 of the fifth changeover switch 410 are connected. The ECC calculation circuit 404 generates an ECC using the address, data, and CRCC input from the collation circuit 214 and outputs the generated ECC to the main memory 205 via the ECC memory bus 219. At this time, the ECC circuit 232 outputs the data, command, and data input from the verification circuit 214 to the main memory 205 via the memory bus 217, and the CRCC input from the verification circuit 214 via the CRCC memory bus 218. The data is output to the main memory 205 (T606).

メインメモリ２０５は、ＥＣＣ回路２３２から入力されたコマンドをトリガーにして、ＥＣＣ回路２３２から入力された各アドレスが示す位置にＥＣＣ回路２３２から入力されたデータ、ＣＲＣＣおよびＥＣＣを記憶する。すなわち、メインメモリ２０５は、アドレスに基づいて、データをデータ記憶領域２２９に記憶し、ＣＲＣＣをＣＲＣＣ記憶領域２３０に記憶し、ＥＣＣをＥＣＣ記憶領域２３１に記憶する（Ｔ６０７）。   The main memory 205 uses the command input from the ECC circuit 232 as a trigger, and stores the data, CRCC, and ECC input from the ECC circuit 232 at the position indicated by each address input from the ECC circuit 232. That is, based on the address, the main memory 205 stores data in the data storage area 229, stores CRCC in the CRCC storage area 230, and stores ECC in the ECC storage area 231 (T607).

以上の処理が完了した後、メインメモリ２０５が制御装置２０４の各回路に書き込み終了応答を出力すると、メインメモリ２０５の各回路は書き込み動作を終了する（Ｔ６０８）。   After the above processing is completed, when the main memory 205 outputs a write end response to each circuit of the control device 204, each circuit of the main memory 205 ends the write operation (T608).

続いて、Ａ系プロセッサ２０２およびＢ系プロセッサ２０３が、予め上位装置１０３から取得した所定のプログラムに基づいて、メインメモリ２０５からリードを行う時の制御装置２０４の動作について説明する。   Next, the operation of the control device 204 when the A-system processor 202 and the B-system processor 203 read from the main memory 205 based on a predetermined program acquired in advance from the host device 103 will be described.

まず、Ａ系プロセッサ２０２およびＢ系プロセッサ２０３は制御装置２０４に対して読み込み要求を行う。すると、Ａ系プロセッサ２０２は、Ａ系プロセッサバス２０８を介して制御装置２０４の照合回路２１４にアドレスおよびリードを示すコマンド（‘０’）を出力するとともに、当該コマンドをＡ系ＣＲＣ回路２０９に出力する。Ａ系ＣＲＣ回路２０９は、Ａ系プロセッサ２０２から入力されたコマンドをトリガーにスイッチ３０３の端子Ｓ１と端子Ｓ３を接続する。   First, the A processor 202 and the B processor 203 make a read request to the control device 204. Then, the A-system processor 202 outputs a command (“0”) indicating an address and a read to the verification circuit 214 of the control device 204 via the A-system processor bus 208 and outputs the command to the A-system CRC circuit 209. To do. The A system CRC circuit 209 connects the terminal S1 and the terminal S3 of the switch 303 with a command input from the A system processor 202 as a trigger.

一方、Ｂ系プロセッサ２０３は、Ｂ系プロセッサバス２１１を介してメインメモリ２０５の照合回路２１４にアドレスおよびリードを示すコマンド（‘０’）を出力するとともに、当該コマンドをＢ系ＣＲＣ回路２１２に出力する。Ｂ系ＣＲＣ回路２１２は、Ｂ系プロセッサ２０３から入力されたコマンドをトリガーにスイッチ３０３の端子Ｓ１と端子Ｓ３を接続する。   On the other hand, the B processor 203 outputs a command (“0”) indicating an address and a read to the collation circuit 214 of the main memory 205 via the B processor bus 211 and outputs the command to the B CRC circuit 212. To do. The B-system CRC circuit 212 connects the terminal S1 and the terminal S3 of the switch 303 using a command input from the B-system processor 203 as a trigger.

ここで、照合回路２１４は、Ａ系プロセッサ２０２から入力されたアドレスと、Ｂ系プロセッサ２０３から入力されたアドレスとを比較し、比較結果が一致であるか否かを判定する（Ｔ６０９）。   Here, the collation circuit 214 compares the address input from the A-system processor 202 with the address input from the B-system processor 203, and determines whether or not the comparison result is coincident (T609).

照合回路２１４が一致と判定すると、照合回路２１４は、Ａ系プロセッサ２０２から入力されたアドレスおよびコマンドを内部バス２１５を介してＥＣＣ回路２３２に出力する。すると、ＥＣＣ回路２３２は、照合回路２１４から入力されたコマンドをトリガーに、第一切替スイッチ４０２の端子Ｓ５と端子Ｓ６を接続し、第二切替スイッチ４０３の端子Ｓ８と端子Ｓ９を接続し、第三切替スイッチ４０５の端子Ｓ１０と端子Ｓ１２を接続する。そして、ＥＣＣ回路２３２は、照合回路２１４から入力されたアドレスおよびコマンドをメモリバスを介してメインメモリ２０５に出力する。   If the collation circuit 214 determines that they match, the collation circuit 214 outputs the address and command input from the A-system processor 202 to the ECC circuit 232 via the internal bus 215. Then, the ECC circuit 232 connects the terminal S5 and the terminal S6 of the first changeover switch 402, connects the terminal S8 and the terminal S9 of the second changeover switch 403, using the command input from the verification circuit 214 as a trigger, The terminals S10 and S12 of the three changeover switch 405 are connected. Then, the ECC circuit 232 outputs the address and command input from the verification circuit 214 to the main memory 205 via the memory bus.

メインメモリ２０５は、ＥＣＣ回路２３２から入力されたコマンドをトリガーにして、ＥＣＣ回路２３２から入力されたアドレスに従って、メインメモリ２０５に記憶されたデータをメモリバスを介してＥＣＣ回路２３２に出力する。このとき、メインメモリ２０５は、ＥＣＣ回路２３２から入力されたアドレスに従って、記憶しているＣＲＣＣをＣＲＣＣメモリバス２１８を介してＥＣＣ回路２３２に出力する。さらに、メインメモリ２０５は、ＥＣＣ回路２３２から入力されたアドレスに従って、記憶しているＥＣＣをＥＣＣメモリバス２１９を介してＥＣＣ回路２３２に出力する。   The main memory 205 uses the command input from the ECC circuit 232 as a trigger, and outputs the data stored in the main memory 205 to the ECC circuit 232 via the memory bus in accordance with the address input from the ECC circuit 232. At this time, the main memory 205 outputs the stored CRCC to the ECC circuit 232 via the CRCC memory bus 218 in accordance with the address input from the ECC circuit 232. Further, the main memory 205 outputs the stored ECC to the ECC circuit 232 via the ECC memory bus 219 in accordance with the address input from the ECC circuit 232.

すると、ＥＣＣ回路２３２のＥＣＣ計算回路４０４は、照合回路２１４から入力されたアドレスおよびメインメモリ２０５から取得したデータおよびＣＲＣＣから新たにＥＣＣを生成してＥＣＣ比較回路４０６に出力する。   Then, the ECC calculation circuit 404 of the ECC circuit 232 newly generates an ECC from the address input from the collation circuit 214, the data acquired from the main memory 205, and the CRCC, and outputs the ECC to the ECC comparison circuit 406.

ＥＣＣ比較回路４０６は、新たに生成したＥＣＣと、メインメモリ２０５から取得したＥＣＣとの排他的論理和を計算する。そして、前述のエラーチェックを行い、エラーチェック結果をＥＣＣ訂正回路４０８およびスイッチ制御回路４１１に出力する。本ケースではエラーチェック結果がエラーなしとなるので、スイッチ制御回路４１１は、第四切替スイッチ４０９の端子Ｓ１３とＳ１４を接続し、第五切替スイッチ４１０の端子Ｓ１５とＳ１６を接続する。すると、メインメモリ２０５から取得したデータが、内部バス２１５、照合回路２１４およびＡ系プロセッサバス２０８を介してＡ系ＣＲＣ回路２０９のＣＲＣ計算回路３０２へ出力される。このとき、メインメモリ２０５から取得したＣＲＣＣがＣＲＣＣ内部バス２１６、照合回路２１４およびＡ系ＣＲＣＣバスを介してＡ系ＣＲＣ回路２０９のデジタル比較器３０４に出力される。なお、メインメモリ２０５から取得したデータおよびＣＲＣＣは、Ｂ系ＣＲＣ回路２１２にも同様に入力される（Ｔ６１０）。   The ECC comparison circuit 406 calculates an exclusive OR of the newly generated ECC and the ECC acquired from the main memory 205. Then, the aforementioned error check is performed, and the error check result is output to the ECC correction circuit 408 and the switch control circuit 411. In this case, since the error check result indicates no error, the switch control circuit 411 connects the terminals S13 and S14 of the fourth changeover switch 409 and connects the terminals S15 and S16 of the fifth changeover switch 410. Then, the data acquired from the main memory 205 is output to the CRC calculation circuit 302 of the A system CRC circuit 209 via the internal bus 215, the verification circuit 214 and the A system processor bus 208. At this time, the CRCC acquired from the main memory 205 is output to the digital comparator 304 of the A system CRC circuit 209 via the CRCC internal bus 216, the collation circuit 214, and the A system CRCC bus. The data and CRCC acquired from the main memory 205 are similarly input to the B-system CRC circuit 212 (T610).

ここで、Ａ系ＣＲＣ回路２０９のＣＲＣ計算回路３０２は、Ａ系プロセッサバス２０８を介してＡ系プロセッサ２０２から出力されているアドレスおよびＥＣＣ回路２３２から入力されたデータから新たにＣＲＣＣを生成してデジタル比較器３０４に入力する。デジタル比較器３０４は、新たに生成したＣＲＣＣと、ＥＣＣ回路２３２から入力されたＣＲＣＣとを比較し、その比較結果一致であるが否かを判定する。   Here, the CRC calculation circuit 302 of the A-system CRC circuit 209 newly generates a CRCC from the address output from the A-system processor 202 via the A-system processor bus 208 and the data input from the ECC circuit 232. Input to the digital comparator 304. The digital comparator 304 compares the newly generated CRCC with the CRCC input from the ECC circuit 232, and determines whether or not the comparison result is coincident.

本ケースでは、判定結果が一致となるので、ＥＣＣ回路２３２から出力されたデータ、すなわちメインメモリ２０５に記憶されたデータがＡ系プロセッサバス２０８を介してＡ系プロセッサ２０２に出力される（Ｔ６１１）。このとき、Ｂ系プロセッサ２０３にも同様に、Ｂ系ＣＲＣ回路２１２からＢ系プロセッサバス２１１を介して、メインメモリ２０５に記憶されたと同じデータが出力される（Ｔ６１２）。   In this case, since the determination results are the same, the data output from the ECC circuit 232, that is, the data stored in the main memory 205 is output to the A-system processor 202 via the A-system processor bus 208 (T611). . At this time, the same data stored in the main memory 205 is also output to the B processor 203 from the B system CRC circuit 212 via the B processor bus 211 (T612).

図７は、Ａ系プロセッサ２０２、Ａ系ＣＲＣ回路２０９、Ａ系プロセッサバス２０８、Ｂ系プロセッサ２０３、Ｂ系ＣＲＣ回路２１２およびＢ系プロセッサバス２１１のいずれかで故障が起きた場合の制御装置２０４の動作を示すタイミングチャートである。なお、Ｔ７０１〜Ｔ７０４は、図６のＴ６０１〜Ｔ６０４と同じなので、それらの説明は省略する。   FIG. 7 shows a control device 204 when a failure occurs in any of the A-system processor 202, the A-system CRC circuit 209, the A-system processor bus 208, the B-system processor 203, the B-system CRC circuit 212, and the B-system processor bus 211. It is a timing chart which shows the operation | movement. T701 to T704 are the same as T601 to T604 in FIG.

Ｔ７０４のタイミングの直後、すなわちライト中に、Ａ系プロセッサ２０２、Ａ系ＣＲＣ回路２０９、Ａ系プロセッサバス２０８、Ｂ系プロセッサ２０３、Ｂ系ＣＲＣ回路２１２およびＢ系プロセッサバス２１１のいずれかで故障が起きたとする（Ｔ７０５）。すると、照合回路２１４は、Ａ系ＣＲＣＣバス２１０を介してＡ系ＣＲＣ回路２０９から入力されたＡ系ＣＲＣＣおよびＢ系ＣＲＣＣバス２１３を介してＢ系ＣＲＣ回路２１２から入力されたＢ系ＣＲＣＣを比較する。そして、照合回路２１４はそれぞれの比較結果が一致であるか否かを判定する（Ｔ７０６）。   Immediately after the timing of T704, that is, during writing, a failure occurs in any of the A system processor 202, the A system CRC circuit 209, the A system processor bus 208, the B system processor 203, the B system CRC circuit 212, and the B system processor bus 211. It is assumed that it has occurred (T705). Then, the verification circuit 214 compares the A system CRCC input from the A system CRC circuit 209 via the A system CRCC bus 210 and the B system CRCC input from the B system CRC circuit 212 via the B system CRCC bus 213. To do. Then, the collation circuit 214 determines whether or not the respective comparison results match (T706).

本ケースでは、判定結果が不一致となるので、照合回路２１４は、Ａ系プロセッサ２０２およびＢ系プロセッサ２０３に応答を返す。また、照合回路２１４は、割込制御部２２０に照合不一致（不一致）を出力し、Ａ系割込要因レジスタおよびＢ系割込要因レジスタに要因を登録する。そして、Ａ系割込要因レジスタおよびＢ系割込要因レジスタにより、Ｔ６０７の時点でＡ系プロセッサ２０２およびＢ系プロセッサ２０３の処理がそれぞれ一次中断される。   In this case, since the determination results do not match, the collation circuit 214 returns a response to the A-system processor 202 and the B-system processor 203. The collation circuit 214 outputs a collation mismatch (mismatch) to the interrupt control unit 220 and registers the factor in the A-system interrupt factor register and the B-system interrupt factor register. Then, the processing of the A-system processor 202 and the B-system processor 203 is temporarily interrupted at the time of T607 by the A-system interrupt factor register and the B-system interrupt factor register.

以上のようにして、本ケースのような故障が生じた際、メインメモリ２０５へのデータの書き込みが行われなくなり、その後のプログラムの実行が割込制御部２２０によって中断される。   As described above, when a failure such as this case occurs, data is not written to the main memory 205, and execution of the subsequent program is interrupted by the interrupt control unit 220.

次に、照合回路２１４、内部バス２１５、ＣＲＣＣ内部バス２１６、ＥＣＣ回路２３２、メモリバス、ＣＲＣＣメモリバス２１８、ＥＣＣメモリバス２１９およびメインメモリ２０５のいずれかで故障が起きたときの制御装置２０４の動作について図８を参照して説明する。
図８は、制御装置２０４の動作を示すタイミングチャートである。なお、Ｔ８０１〜Ｔ８０９は図６に示すＴ６０１〜Ｔ６０９と同じなので、それらの説明は省略する。 Next, the controller 204 when a failure occurs in any of the verification circuit 214, internal bus 215, CRCC internal bus 216, ECC circuit 232, memory bus, CRCC memory bus 218, ECC memory bus 219, and main memory 205 The operation will be described with reference to FIG.
FIG. 8 is a timing chart showing the operation of the control device 204. Since T801 to T809 are the same as T601 to T609 shown in FIG.

Ｔ８０９のタイミングの直後、すなわちリード中に、照合回路２１４、内部バス２１５、ＣＲＣＣ内部バス２１６、ＥＣＣ回路２３２、メモリバス２１７、ＣＲＣＣメモリバス２１８、ＥＣＣメモリバス２１９およびメインメモリ２０５のいずれかで故障が起きているとする（Ｔ８１０）。   Immediately after the timing of T809, that is, during reading, a failure occurs in any of the verification circuit 214, internal bus 215, CRCC internal bus 216, ECC circuit 232, memory bus 217, CRCC memory bus 218, ECC memory bus 219, and main memory 205 Is assumed to occur (T810).

メインメモリ２０５は、記憶しているデータをＥＣＣ回路２３２から入力されたアドレスに従ってメモリバスを介してＥＣＣ回路２３２に出力する。このとき、メインメモリ２０５は、記憶しているＥＣＣをＥＣＣ回路２３２から入力されたアドレスに従ってＥＣＣメモリバス２１９を介してＥＣＣ回路２３２に出力するとともに、記憶しているＣＲＣＣをＥＣＣ回路２３２から入力されたアドレスに従ってＣＲＣＣメモリバス２１８を介してＥＣＣ回路２３２に出力する。そして、ＥＣＣ回路２３２のＥＣＣ計算回路４０４は、照合回路２１４から内部バス２１５を介して入力されたアドレスと、メインメモリ２０５から取得したデータおよびＣＲＣＣから新たにＥＣＣを生成してＥＣＣ比較回路４０６に出力する。   The main memory 205 outputs the stored data to the ECC circuit 232 via the memory bus according to the address input from the ECC circuit 232. At this time, the main memory 205 outputs the stored ECC to the ECC circuit 232 via the ECC memory bus 219 in accordance with the address input from the ECC circuit 232, and the stored CRCC is input from the ECC circuit 232. The data is output to the ECC circuit 232 via the CRCC memory bus 218 according to the address. Then, the ECC calculation circuit 404 of the ECC circuit 232 newly generates an ECC from the address input from the verification circuit 214 via the internal bus 215, the data acquired from the main memory 205, and the CRCC, and sends the ECC to the ECC comparison circuit 406. Output.

ＥＣＣ計算回路４０４は、新たに生成したＥＣＣと、メインメモリ２０５から読み出したＥＣＣの排他的論理和を計算することにより、前述のエラーチェックを行う。そして、エラーチェック結果をＥＣＣ比較回路４０６およびスイッチ制御回路４１１に出力する。本ケースではエラーチェック結果が‘ビットエラーなし’となるので、スイッチ制御回路４１１は、第四切替スイッチ４０９の端子Ｓ１３とＳ１４を接続し、第五切替スイッチ４１０の端子Ｓ１５とＳ１６を接続する。すると、メインメモリ２０５から取得したデータが、内部バス２１５、照合回路２１４およびＡ系プロセッサバス２０８を介してＡ系ＣＲＣ回路２０９のＣＲＣ計算回路３０２へ出力される。このとき、メインメモリ２０５から取得したＣＲＣＣがＣＲＣＣ内部バス２１６、照合回路２１４およびＡ系ＣＲＣＣバスを介してＡ系ＣＲＣ回路２０９のデジタル比較器３０４に出力される。なお、メインメモリ２０５から取得したデータおよびＣＲＣＣは、Ｂ系ＣＲＣ回路２１２にも同様に入力される（Ｔ８１１）。   The ECC calculation circuit 404 performs the error check described above by calculating the exclusive OR of the newly generated ECC and the ECC read from the main memory 205. The error check result is output to the ECC comparison circuit 406 and the switch control circuit 411. In this case, since the error check result is “no bit error”, the switch control circuit 411 connects the terminals S13 and S14 of the fourth changeover switch 409 and connects the terminals S15 and S16 of the fifth changeover switch 410. Then, the data acquired from the main memory 205 is output to the CRC calculation circuit 302 of the A system CRC circuit 209 via the internal bus 215, the verification circuit 214 and the A system processor bus 208. At this time, the CRCC acquired from the main memory 205 is output to the digital comparator 304 of the A system CRC circuit 209 via the CRCC internal bus 216, the collation circuit 214, and the A system CRCC bus. Note that the data and CRCC acquired from the main memory 205 are similarly input to the B-system CRC circuit 212 (T811).

Ａ系ＣＲＣ回路２０９のＣＲＣ計算回路３０２は、Ａ系プロセッサバス２０８を介してＡ系プロセッサ２０２から入力されたアドレスおよびＥＣＣ回路２３２から入力されるデータから新たにＣＲＣＣを生成してＡ系ＣＲＣ回路２０９のデジタル比較器３０４に出力する。このデジタル比較器３０４は、新たに生成したＣＲＣＣと、ＥＣＣ回路２３２から入力されたＣＲＣＣとを比較し、その比較結果が一致であるか否かを判定する（Ｔ８１２）。   The CRC calculation circuit 302 of the A-system CRC circuit 209 newly generates a CRCC from the address input from the A-system processor 202 and the data input from the ECC circuit 232 via the A-system processor bus 208 to generate an A-system CRC circuit. It outputs to the digital comparator 304 of 209. The digital comparator 304 compares the newly generated CRCC with the CRCC input from the ECC circuit 232, and determines whether or not the comparison result is coincident (T812).

一方、Ｂ系ＣＲＣ回路２１２のＣＲＣ計算回路３０２は、Ｂ系プロセッサバス２１１を介してＢ系プロセッサ２０３から入力されたアドレスおよびＥＣＣ回路２３２から入力されるデータから新たにＣＲＣＣを生成してＢ系ＣＲＣ回路２１２のデジタル比較器３０４に出力する。このデジタル比較器３０４は、新たに生成したＣＲＣＣと、ＥＣＣ回路２３２から入力されたＣＲＣＣとを比較し、その比較結果が一致であるか否かを判定する（Ｔ８１３）。   On the other hand, the CRC calculation circuit 302 of the B system CRC circuit 212 newly generates a CRCC from the address input from the B system processor 203 and the data input from the ECC circuit 232 via the B system processor bus 211 to generate the B system. The data is output to the digital comparator 304 of the CRC circuit 212. The digital comparator 304 compares the newly generated CRCC with the CRCC input from the ECC circuit 232, and determines whether or not the comparison result is coincident (T813).

本ケースでは、Ａ系ＣＲＣ回路２０９のデジタル比較器３０４およびＢ系ＣＲＣ回路２１２のデジタル比較器３０４の両方あるいはいずれか一方が、不一致であると判定する。すると、不一致を検出した方のデジタル比較器３０４は、割込制御部２２０にＣＲＣ照合不一致（不一致）を出力し、Ａ系割込要因レジスタあるいはＢ系割込要因レジスタに要因を登録する。そして、Ａ系割込要因レジスタあるいはＢ系割込要因レジスタにより、Ｔ６０７の時点でＡ系プロセッサ２０２およびＢ系プロセッサ２０３の処理がそれぞれ一時中断される。   In this case, it is determined that the digital comparator 304 of the A system CRC circuit 209 and / or the digital comparator 304 of the B system CRC circuit 212 do not match. Then, the digital comparator 304 that has detected the mismatch outputs a CRC verification mismatch (mismatch) to the interrupt control unit 220 and registers the factor in the A-system interrupt factor register or the B-system interrupt factor register. Then, the processing of the A-system processor 202 and the B-system processor 203 is temporarily suspended at the time of T607 by the A-system interrupt factor register or the B-system interrupt factor register.

以上のようにして、本ケースのような故障が発生した際に、Ａ系プロセッサ２０２およびＢ系プロセッサ２０３がデータを読み込めなくなり、その後のプログラムの実行が割込制御部２２０によって中断される。   As described above, when a failure such as this case occurs, the A-system processor 202 and the B-system processor 203 cannot read data, and the execution of the subsequent program is interrupted by the interrupt control unit 220.

［ＣＰＵ装置の故障検出範囲］
次に、ＣＰＵ装置１０２の故障検出範囲についてまとめる。
図９は、ＣＰＵ装置１０２の故障検出範囲を示す表である。
図９（ａ）は、安全モードで稼働しているときのＣＰＵ装置１０２の故障検出範囲を示す表である。 [Fault detection range of CPU device]
Next, the failure detection range of the CPU device 102 will be summarized.
FIG. 9 is a table showing a failure detection range of the CPU device 102.
FIG. 9A is a table showing a failure detection range of the CPU device 102 when operating in the safety mode.

前述したように、安全モードのときにＣＰＵ装置１０２を構成する各ブロックおよび各バス（以下、「故障検出対象」という）の故障を検出する構成要素としてＣＰＵ装置１０２はＡ系ＣＲＣ回路２０９、Ｂ系ＣＲＣ回路２１２、照合回路２１４およびＥＣＣ回路２３２を備えている。   As described above, as a component for detecting a failure of each block and each bus (hereinafter referred to as “failure detection target”) constituting the CPU device 102 in the safety mode, the CPU device 102 includes the A-system CRC circuit 209, B A system CRC circuit 212, a verification circuit 214, and an ECC circuit 232 are provided.

Ａ系ＣＲＣ回路２０９の故障検出対象は、Ａ系プロセッサバス２０８と、照合回路２１４と、内部バス２１５と、ＣＲＣＣ内部バス２１６と、ＥＣＣ回路２３２と、メモリバス２１７と、ＣＲＣＣメモリバス２１８と、ＥＣＣメモリバス２１９と、メインメモリ２０５である。   The fault detection target of the A system CRC circuit 209 includes the A system processor bus 208, the collation circuit 214, the internal bus 215, the CRCC internal bus 216, the ECC circuit 232, the memory bus 217, the CRCC memory bus 218, An ECC memory bus 219 and a main memory 205.

Ｂ系ＣＲＣ回路２１２の故障検出対象は、Ｂ系プロセッサバス２１１と、照合回路２１４と、内部バス２１５と、ＣＲＣＣ内部バス２１６と、ＥＣＣ回路２３２と、メモリバス２１７と、ＣＲＣＣメモリバス２１８と、ＥＣＣメモリバス２１９と、メインメモリ２０５である。   The failure detection target of the B-system CRC circuit 212 includes the B-system processor bus 211, the verification circuit 214, the internal bus 215, the CRCC internal bus 216, the ECC circuit 232, the memory bus 217, the CRCC memory bus 218, An ECC memory bus 219 and a main memory 205.

照合回路２１４の故障検出対象は、Ａ系プロセッサ２０２、Ｂ系プロセッサ２０３、Ａ系ＣＲＣ回路２０９、Ｂ系ＣＲＣ回路２１２、Ａ系プロセッサバス２０８およびＢ系プロセッサバス２１１である。   The failure detection targets of the verification circuit 214 are the A system processor 202, the B system processor 203, the A system CRC circuit 209, the B system CRC circuit 212, the A system processor bus 208, and the B system processor bus 211.

ＥＣＣ回路２３２の故障検出対象は、メモリバス２１７と、ＣＲＣＣメモリバス２１８と、ＥＣＣメモリバス２１９と、メインメモリ２０５である。   The failure detection targets of the ECC circuit 232 are the memory bus 217, the CRCC memory bus 218, the ECC memory bus 219, and the main memory 205.

図９（ｂ）は、テストモードで稼働しているときのＣＰＵ装置１０２の故障検出範囲を示す表である。テストモードでは、表に示すようなテストプログラムを動作させることにより、Ａ系プロセッサ２０２、Ｂ系プロセッサ２０３、Ａ系ＣＲＣ回路２０９、Ｂ系ＣＲＣ回路２１２、Ａ系プロセッサバス２０８、Ｂ系プロセッサバス２１１、照合回路２１４、内部バス２１５、ＣＲＣＣメモリバス２１８、ＥＣＣ回路２３２、メモリバス２１７、ＣＲＣＣメモリバス２１８、ＥＣＣメモリバス２１９およびメインメモリ２０５の診断を独立して行う。なお、故障検出対象は図９（ａ）の表に示したものと同じなので、故障検出対象に関する説明は省略する。   FIG. 9B is a table showing a failure detection range of the CPU device 102 when operating in the test mode. In the test mode, by operating a test program as shown in the table, the A system processor 202, the B system processor 203, the A system CRC circuit 209, the B system CRC circuit 212, the A system processor bus 208, and the B system processor bus 211 , The collation circuit 214, the internal bus 215, the CRCC memory bus 218, the ECC circuit 232, the memory bus 217, the CRCC memory bus 218, the ECC memory bus 219, and the main memory 205 are independently diagnosed. Since the failure detection target is the same as that shown in the table of FIG. 9A, the description regarding the failure detection target is omitted.

以上説明したように、本実施形態は、複数のプロセッサからの出力を単に比較してそれらの出力の一致／不一致を判定することにより故障を検出するだけではなく、当該比較を行う手段の故障の検出を行えるようにした。そのため、ＣＰＵ装置１０２での処理中（安全モード時）における、当該ＣＰＵ装置１０２を構成する各ブロックおよび各バスの故障をより確実に検出することができる。そして、故障が検出されるとすぐに、当該処理を中止するようにした。例えば、潜在的な危険性の高いプロセス設備の制御中に何らかの故障が発生しても、すぐにその制御が中断されるので、安全性をより向上させる、という効果がある。   As described above, the present embodiment not only detects a failure by simply comparing outputs from a plurality of processors and determining whether or not the outputs match, but also the failure of the means for performing the comparison. Added detection. Therefore, it is possible to more reliably detect a failure of each block and each bus constituting the CPU device 102 during processing in the CPU device 102 (in the safety mode). As soon as a failure is detected, the processing is stopped. For example, even if a failure occurs during the control of a potentially dangerous process facility, the control is immediately interrupted, so that the safety is further improved.

なお、本実施形態ではＥＣＣ回路２３２を設けてあるが、このＥＣＣ回路２３２を設けなくても上述したものと同様の効果が得られる。ただし、ＥＣＣ回路２３２を設けない場合は、内部バス２１５とメモリバス２１７が接続されており、ＣＲＣＣ内部バス２１６とＣＲＣＣメモリバス２１８が接続されていることが必要となる。   Although the ECC circuit 232 is provided in this embodiment, the same effect as described above can be obtained without providing the ECC circuit 232. However, when the ECC circuit 232 is not provided, the internal bus 215 and the memory bus 217 are connected, and the CRCC internal bus 216 and the CRCC memory bus 218 need to be connected.

以上、本発明の実施形態の例について説明したが、本発明は上記実施形態例に限定されるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限りにおいて、他の変形例、応用例を含むことはいうまでもない。   As mentioned above, although the example of embodiment of this invention was demonstrated, this invention is not limited to the said embodiment example, Unless it deviates from the summary of this invention described in the claim, other modifications Needless to say, application examples are included.

１０１…制御システム、１０２…ＣＰＵ装置、１０３…上位装置、１０４…下位装置、１０５…制御対象、１０６…ネットワーク、２０２…Ａ系プロセッサ、２０３…Ｂ系プロセッサ、２０４…制御装置、２０５…メインメモリ、２０６…ネットワークコントローラ、２０７…ＣＲＣ回路、２０８…Ａ系プロセッサバス、２０９…Ａ系ＣＲＣ回路、２１０…Ａ系ＣＲＣＣバス、２１１…Ｂ系プロセッサバス、２１２…Ｂ系ＣＲＣ回路、２１３…Ｂ系ＣＲＣＣバス、２１４…照合回路、２１５…内部バス、２１６…ＣＲＣＣ内部バス、２１７…メモリバス、２１８…ＣＲＣＣメモリバス、２１９…ＥＣＣメモリバス、２２０…割込制御部、２２１…出力切替スイッチ、２２９…データ記憶領域、２３０…ＣＲＣＣ記憶領域、２３１…ＥＣＣ記憶領域、２３２…ＥＣＣ回路、３０２…ＣＲＣ計算回路、３０３…スイッチ、３０４…デジタル比較器、４０２…第一切替スイッチ、４０３…第二切替スイッチ、４０４…ＥＣＣ計算回路、４０５…第三切替スイッチ、４０６…ＥＣＣ比較回路、４０８…ＥＣＣ訂正回路、４０９…第四切替スイッチ、４１０…第五切替スイッチ、４１１…スイッチ制御回路   DESCRIPTION OF SYMBOLS 101 ... Control system, 102 ... CPU apparatus, 103 ... High-order apparatus, 104 ... Low-order apparatus, 105 ... Control object, 106 ... Network, 202 ... A system processor, 203 ... B system processor, 204 ... Control apparatus, 205 ... Main memory , 206 ... Network controller, 207 ... CRC circuit, 208 ... A system processor bus, 209 ... A system CRC circuit, 210 ... A system CRCC bus, 211 ... B system processor bus, 212 ... B system CRC circuit, 213 ... B system CRCC bus, 214 ... collation circuit, 215 ... internal bus, 216 ... CRCC internal bus, 217 ... memory bus, 218 ... CRCC memory bus, 219 ... ECC memory bus, 220 ... interrupt control unit, 221 ... output selector switch, 229 ... Data storage area, 230 ... CRCC storage area, 231 ... ECC storage 232 ... ECC circuit 302 ... CRC calculation circuit 303 ... switch 304 ... digital comparator 402 ... first changeover switch 403 ... second changeover switch 404 ... ECC calculation circuit 405 ... third changeover switch 406 ... ECC comparison circuit, 408 ... ECC correction circuit, 409 ... fourth switch, 410 ... fifth switch, 411 ... switch control circuit

Claims (2)

第一プロセッサが所定のプログラムを実行した結果としてメインメモリに格納される第一情報から第一誤り検出符号を作成し、予め前記メインメモリに記憶されている誤り検出符号である第二記憶情報と比較することで異常を検出する第一符号生成部と、
前記第一プロセッサと同一の演算結果を出力するべく構成されている第二プロセッサが前記プログラムを実行した結果として前記メインメモリに格納される第二情報から第二誤り検出符号を作成し、前記第二記憶情報と比較することで異常を検出する第二符号生成部と、
前記第一プロセッサ及び／又は前記第二プロセッサが前記メインメモリから前記第一情報あるいは前記第二情報である第一記憶情報を読み出す時、前記メインメモリから読み出した前記第一記憶情報と前記第二記憶情報に対し、必要に応じてエラー訂正を行って前記第一符号生成部及び前記第二符号生成部に供給する訂正処理部と、
前記第一符号生成部が前記第一誤り検出符号と前記第二記憶情報との不一致を検出した場合、及び／又は前記第二符号生成部が前記第二誤り検出符号と前記第二記憶情報との不一致を検出した場合、前記第一プロセッサが前記第一記憶情報を前記メインメモリから読み出す動作及び前記第二プロセッサが前記第二記憶情報を前記メインメモリから読み出す動作を禁止する、割込制御部と、
前記第一情報と前記第二情報が同一であるか否かを検出して前記割込制御部に報告すると共に、前記第一誤り検出符号と前記第二誤り検出符号が同一であるか否かを検出して前記割込制御部に報告することで、前記前記第一情報あるいは前記第二情報の前記メインメモリへの書き込みを制御する照合部と
を備える制御装置。 A first error detection code is created from first information stored in the main memory as a result of the first processor executing a predetermined program, and second storage information that is an error detection code stored in the main memory in advance A first code generation unit that detects an abnormality by comparing;
A second processor configured to output the same operation result as the first processor generates a second error detection code from second information stored in the main memory as a result of executing the program; A second code generation unit for detecting an abnormality by comparing with the two storage information;
When the first processor and / or the second processor reads the first information or the first storage information as the second information from the main memory, the first storage information read from the main memory and the second memory A correction processing unit that performs error correction on the stored information as needed and supplies the first code generation unit and the second code generation unit;
When the first code generation unit detects a mismatch between the first error detection code and the second storage information, and / or the second code generation unit includes the second error detection code and the second storage information. An interrupt control unit that prohibits an operation in which the first processor reads the first storage information from the main memory and an operation in which the second processor reads the second storage information from the main memory when a mismatch is detected When,
Whether or not the first information and the second information are the same is detected and reported to the interrupt control unit, and whether or not the first error detection code and the second error detection code are the same And a verification unit that controls writing of the first information or the second information to the main memory by detecting the error and reporting the interrupt to the interrupt control unit. 前記割込制御部は割込要因レジスタを有し、前記第一符号生成部が前記第一誤り検出符号と前記第二記憶情報との不一致を検出した場合、及び／又は前記第二符号生成部が前記第二誤り検出符号と前記第二記憶情報との不一致を検出した場合、前記メインメモリ又は前記訂正処理部に起因する故障として、前記割込要因レジスタに登録すると共に、前記照合部が前記第一情報と前記第二情報との不一致を検出した場合、及び／又は前記照合部が前記第一誤り検出符号と前記第二誤り検出符号との不一致を検出した場合、前記第一符号生成部、前記第二符号生成部、前記第一プロセッサ又は前記第二プロセッサに起因する故障として、前記割込要因レジスタに登録する、
請求項１記載の制御装置。 The interrupt control unit has an interrupt factor register, and the first code generation unit detects a mismatch between the first error detection code and the second storage information, and / or the second code generation unit. Is registered in the interrupt factor register as a failure caused by the main memory or the correction processing unit when the mismatch between the second error detection code and the second storage information is detected, and the verification unit When a mismatch between the first information and the second information is detected, and / or when the matching unit detects a mismatch between the first error detection code and the second error detection code, the first code generation unit , Registering in the interrupt factor register as a failure caused by the second code generation unit, the first processor or the second processor,
The control device according to claim 1.
JP2013118170A 2013-06-04 2013-06-04 Control device Expired - Fee Related JP5563700B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2013118170A JP5563700B2 (en) 2013-06-04 2013-06-04 Control device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2013118170A JP5563700B2 (en) 2013-06-04 2013-06-04 Control device

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP2009001899A Division JP5344936B2 (en) 2009-01-07 2009-01-07 Control device

Publications (2)

Publication Number Publication Date
JP2013211049A JP2013211049A (en) 2013-10-10
JP5563700B2 true JP5563700B2 (en) 2014-07-30

Family

ID=49528738

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2013118170A Expired - Fee Related JP5563700B2 (en) 2013-06-04 2013-06-04 Control device

Country Status (1)

Country Link
JP (1) JP5563700B2 (en)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7359543B2 (en) * 2018-12-18 2023-10-11 ファナック株式会社 Machine control device

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06161798A (en) * 1992-11-24 1994-06-10 Hitachi Ltd Information processor
JPH06348516A (en) * 1993-06-08 1994-12-22 Hitachi Ltd Information processor
JPH11338833A (en) * 1998-05-22 1999-12-10 Hitachi Ltd Multiprocessor type controller and scalable controller system
JP2006285631A (en) * 2005-03-31 2006-10-19 Yokogawa Electric Corp Duplex system

Also Published As

Publication number Publication date
JP2013211049A (en) 2013-10-10

Similar Documents

Publication Publication Date Title
JP5344936B2 (en) Control device
Johnson An introduction to the design and analysis of fault-tolerant systems
US10114356B2 (en) Method and apparatus for controlling a physical unit in an automation system
EP3255546B1 (en) Controller
EP3373144A1 (en) Method and computer system for fault tolerant data integrity verification of safety-related data
JP2013175118A (en) Control device, memory failure detection method thereof and self-diagnostic method thereof
CN111033470A (en) Ensuring correct program sequence in dual processor architecture
KR20050121729A (en) Program-controlled unit and method
JP5563700B2 (en) Control device
JP6332134B2 (en) Memory diagnostic circuit
KR101983125B1 (en) Method for performing failsafe calculations
JP5352815B2 (en) Control apparatus and control method
US12040032B2 (en) Electronic circuit and method for self-diagnosis of a data memory
JP2019191770A (en) Failure detection device and failure detection method and failure detection program
JP2014225110A (en) Safety controller
US10262752B2 (en) Method and apparatus for identifying erroneous data in at least one memory element
Low How to improve system availability and minimize down time with Hercules MCUs
WO2016042751A1 (en) Memory diagnosis circuit
CN116931824A (en) Method for running memory unit and executing application program in computer-aided mode
KR100802666B1 (en) Circuit arrangement and method for operating such a circuit arrangement
JP2014048850A (en) Control method of duplexing input signal control device and duplexing output signal control device, duplexing input signal control device thereof and duplexing output signal control device thereof
Perrone et al. Department of Electrical Engineering Charlottesville, Virginia bwj@ virginia. edu
Noha Ecc handling in tmsx70-based microcontrollers
JP2011203965A (en) Self-diagnosis apparatus and self-diagnosis method
JPH02247756A (en) Memory device

Legal Events

Date Code Title Description
A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20140326

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20140513

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20140520

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20140610

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20140612

R150 Certificate of patent or registration of utility model

Ref document number: 5563700

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees