JP3760278B2

JP3760278B2 - Multiplexing system

Info

Publication number: JP3760278B2
Application number: JP2000219093A
Authority: JP
Inventors: 英二小林; 敬梅原; 晃ニ桝井; 隆夫野内
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2000-07-19
Filing date: 2000-07-19
Publication date: 2006-03-29
Anticipated expiration: 2020-07-19
Also published as: JP2002032239A

Description

【発明の属する技術分野】
【０００１】
本発明は、実行系および待機系を有する多重化システムに係り、特に、実行系から待機系に共有データを転送して、待機系が共有データのパターンをチェックし、系を相互に監視し健全性を確認する多重化システムの制御に関する。
【従来の技術】
【０００２】
実行系および待機系を有する従来の二重化システムにおいては、実行系の電源断時に、電源が正常に動作している待機系に系を切替え、待機系からの指示や指令により、プラントまたは制御対象への運転，監視動作を継続していた。
【０００３】
また、ローカルメモリの一部を共有メモリとして割り当て、実行系ＣＰＵ装置が、共有メモリに書き込むデータを専用一致化バス(ＤＣＭバス)を経由して待機系ＣＰＵ装置に転送し、両系の共有データを一致化する二重化システムの一致化方式を利用して、待機系のＣＰＵ装置が、実行系ＣＰＵ装置の共有メモリ内データパターンをチェックし、互いに健全性をチェックしていた。
【０００４】
待機系ＣＰＵ装置が、実行系の健全性をチェックする手段として、待機系のソフトウエアが、実行系ＣＰＵ装置に対して共有データを転送するように転送要求信号を発行し、実行系共有メモリ内のデータパターンを取得していた。これらのソフトウエアによる転送要求は、データ取得の必要に応じてなされている。
【０００５】
さらに、メモリバックアップ動作として、実行系の停電時または電源スイッチ操作による電源遮断時に、停電予告信号(ＰＯＰ信号)に基づいて生成するメモリ保護要求信号に応じて、メモリバスを電気的に切離し、外部リフレッシュ制御部が、セルフリフレッシュ動作を起動し、メモリをバックアップするメモリ内容保持方式が知られている。
【０００６】
この方式では、停電時に、実行系ＣＰＵ装置が、ローカルメモリのデータバックアップ処理および停電処理を実行し、実行系の電源装置からの停電信号(ＰＡＶＬ信号)が、ＤＣＭ制御部の動作を停止させてＤＣＭバスを電気的に切離すまでは、ＤＣＭバスを経由する待機系からの転送要求に応じて、共有メモリ内データを待機系ＣＰＵ装置に転送する動作を継続する。
【０００７】
なお、停電時の二重化システムの停電処理に関する技術として、特開平６−３１８１６０号公報は、実行系プロセッサが、実行系電源断による停電予告信号出力に基づいて、割り込み処理として停電処理を実行し、内部レジスタ情報を含む共有データを待機系に転送するとともに、実行系を停止状態に遷移させる方式を示している。しかし、電源スイッチ操作ミスによる両系電源ダウン対策を示していない。
【０００８】
また、特開平９−３０５４２４号公報は、実行系ＣＰＵ装置が、共有メモリに書き込むデータをＤＣＭバスを経由して待機系ＣＰＵ装置に転送し、両系の共有データを一致化する二重化システムの一致化方式を示している。
【発明が解決しようとする課題】
【０００９】
図８は、従来の二重化システムにおけるＣＰＵ装置１００の内部構成を示すブロック図である。二重化システムの実行系ＣＰＵ装置１００は、プログラムやデータを格納するローカルメモリ１１０と、待機系へのデータ転送を制御するバッファ１２２を備えるＤＣＭ制御部１２０と、実行系ＣＰＵ装置１００と待機系ＣＰＵ装置２００とを接続する共通バスであるＤＣＭバス３００と、ローカルメモリ１１０とＤＣＭ制御部１２０とを接続するメモリバス１１２と、電源装置０１０からの停電予告信号０１１に基づいてメモリバス１１２を接続／遮断する指令信号を出力するタイミング生成回路１４０と、停電時にメモリバス１１２を切離した後にＤＲＡＭ，ＳＤＲＡＭなどのローカルメモリ１１０のバックアップ手段としてセルフリフレッシュ動作を制御する外部リフレッシュ制御部１６０と、ＣＰＵ装置１００内部への各指令および制御動作を実行するプロセッサ１５０とから構成される。
【００１０】
プロセッサ１５０は、ＣＰＵ装置１００内のローカルメモリ１１０全エリアに対して、読み出し／書き込みできる。
【００１１】
待機系ＣＰＵ装置２００は、ローカルメモリ１１０内の一部エリアに対して、プロセッサ１５０を介さず、ＤＣＭバス３００およびＤＣＭ制御部１２０を経由して、データの読み出し／書き込みができる。
【００１２】
ローカルメモリ１１０は、メモリの一部の領域を上限アドレス，下限アドレス値として設定した後、プロセッサ１５０から本領域すなわち共有メモリ１１１に書き込むと、ＤＣＭ制御部１２０のバッファ１２２にデータが格納され、ＤＣＭ制御部１２０は、格納されたデータを待機系のＣＰＵ装置２００に転送し、両系の共有メモリ１１１内のデータを一致化させる機能を備えている。
【００１３】
図９は、従来の二重化システムにおける停電後の動作タイミングを示すタイミングチャートである。
【００１４】
実行系停電時の電源断に伴いＡＣ入力０１３が断たれた後、実行系電源装置０１０は、停電予告信号０１１をＣＰＵ装置１００に出力し、一定時間後に停電信号０１２を出力する。停電信号０１２出力までは、電源装置０１０内のコンデンサに蓄えられている電荷でＣＰＵ装置１００に対して電源を供給できるが、停電信号０１２出力後は、電源装置０１０からの電源電圧が低下するため、しばらくすると、ＣＰＵ装置１００に電源を供給できなくなり、動作不可能となる。
【００１５】
ＣＰＵ装置１００が、停電予告信号０１１を検出すると、タイミング生成回路１４０は、一定時間後にメモリ保護要求信号１４１を出力する。メモリ保護要求信号１４１により、ＤＣＭ制御部１２０とローカルメモリ１１０とを接続するメモリバス１１２を電気的に切離し、外部リフレッシュ制御部１６０に接続を切替える。
【００１６】
外部リフレッシュ制御部１６０は、切替え後、セルフリフレッシュ動作を起動し、ローカルメモリ１１０内の内容保持動作を実行する。また、プロセッサ１５０は、停電予告信号０１１を割り込み信号として受信すると、停止処理する。
【００１７】
さらに、一定時間後にＣＰＵ装置１００は、停電信号０１２を検出すると、ＤＣＭ制御部１２０内の切替えスイッチをＯＦＦし、ＤＣＭ制御部１２０とＤＣＭバス３００とを切離す。
【００１８】
ＤＣＭバス３００切離し後は、待機系ＣＰＵ装置２００と電気的に遮断されることになり、待機系への共有メモリ１１１内データ転送は、不可能となる。
【００１９】
共有メモリ１１１内のデータの転送方式には、２つの方式がある。第一の方式は、ローカルメモリ１１０内の共有メモリ１１１に実行系ＣＰＵ装置１００プロセッサ１５０が、ソフトウエア処理内容に基づき、データを書き込んだ場合に、待機系に対して書き込んだデータを転送する方式である。第二の方式は、実行系ＣＰＵ装置１００のＤＣＭ制御部１２０が、他系ＣＰＵ装置２００からＤＣＭバス３００を経由して転送要求信号３０１または転送要求パターン３０１を受信した場合に、実行系ローカルメモリ１１０の共有メモリ１１１内データを待機系に転送する方式である。
【００２０】
第二の方式については、待機系ＣＰＵ装置２００のソフトウエアは、実行系ＣＰＵ装置１００の共有メモリ１１１内データ取得のために転送要求信号３０１(またはデータパターン)を発行し、ＤＣＭ制御部１２０が、転送要求信号３０１を受信すると、マスタ動作となり、ローカルメモリ１１０内の共有メモリ１１１内のデータを読み込み、読み込んだデータをＤＣＭバス３００経由で待機系に転送して書き込む。
【００２１】
しかし、この従来方式では、実行系電源装置０１０が遮断された後に、待機系電源装置０２０が遮断された場合に、両系電源ダウンとなり、プラントまたは制御対象への運転を停止させてしまうという問題があった。
【００２２】
また、待機系のＣＰＵ装置２００のソフトウエア処理が、実行系電源装置０１０の停電予告信号０１１を監視していた場合、停電予告信号０１１の検出に基づいて転送要求信号３０１を発行することを止める方式を採用しても、発行周期やタイミングによっては、メモリバス１１２切離しによる不定データ期間中に、待機系ＣＰＵ装置２００から転送要求信号３０１が重なり、実行系ＤＣＭ制御部１２０が共有メモリ１１１への読み出し動作を実行するため、不定データを待機系ＣＰＵ装置２００に転送してしまうという問題があった。
【００２３】
さらに、実行系ＣＰＵ装置１００のプロセッサ１５０は、停電予告信号０１１を割り込み信号として受信した時に、割り込み処理(停止処理)を実行するため、割り込み処理発生で制御処理能力低下などによる影響を招くので、その改善が求められている。
【００２４】
このように、従来の実行系における停電を原因とする電源遮断時に、待機系の電源が正常な場合は、制御を正常に引き継ぎできるが、待機系の電源が遮断されている場合には、両系の電源がオフするため、両系電源ダウンとなり、制御を継続できなくなってしまう。
【００２５】
これらのケースは、電源スイッチ操作ミスにより発生する可能性もある。
【００２６】
また、実行系電源装置が停電信号によってＤＣＭバスを遮断する前のタイミングに、不定データ期間が存在する。この期間は、メモリ保護要求信号によりメモリバスを切離すと発生する。この期間中に、待機系ＣＰＵ装置からの共有メモリ内データ取得のための転送要求タイミングと、実行系ＣＰＵ装置内の前記不定データ期間とが、重なった場合、実行系の不定データを待機系ＣＰＵ装置に転送する。その結果、待機系ＣＰＵ装置は、誤ったデータパターンを受け取り、一致化データの不整合によるエラーと誤検出してしまう。
【００２７】
待機系が実行系の停電予告信号を監視する手段を採用しても、待機系のソフトウエア処理が、停電予告信号を検出したタイミングに基づいて転送要求信号を発行すると、不定データ期間との重なりを完全に回避することが困難であり、それらを解決する方式が必要である。
【００２８】
本発明の目的は、実行系の電源遮断時に、多重化システムの全系電源ダウンを回避するために、電源スイッチ操作ミスなどがあっても、待機系の電源が誤って遮断されないように電源を保護する手段を備えた多重化システムを提供することである。
【００２９】
本発明の他の目的は、実行系の電源遮断，ＤＣＭバスやメモリバスの異常発生，実行系の計画切替え動作などを原因として不定データ期間が存在する場合、共有メモリ内の不定データ転送を防止する手段を備えた多重化システムを提供することである。
【課題を解決するための手段】
【００３０】
本発明は、上記目的を達成するために、それぞれにＣＰＵ装置および少なくとも１台の電源装置を含む実行系と待機系とからなる多重化システムにおいて、各系のＣＰＵ装置が、自系電源および相手系電源の状態を監視し電源保護制御信号を出力する他系監視部を備え、各系の電源装置が、少なくとも自系電源スイッチの操作状況および電源保護制御信号に応じてＡＣ入力を遮断する電源遮断スイッチを含む電源保護部を備え、電源保護制御信号が、相手系電源が切れている時には電源スイッチの操作状況にかかわらず自系電源遮断スイッチをＯＮに保持させる制御信号である多重化システムを提案する。
【００３１】
他系監視部は、自系電源装置を制御するコントロールレジスタと、自系停電予告信号状態および相手系停電予告信号状態が反映されるステータスレジスタとを含み、電源保護部は、電源スイッチと相手系停電予告信号と他系監視部からの電源保護制御信号との論理積を演算するＡＮＤ回路と、ＡＮＤ回路の出力に応じてＡＣ入力を遮断する電源遮断スイッチとを含む。
【００３２】
本発明は、上記他の目的を達成するために、それぞれにＣＰＵ装置および少なくとも１台の電源装置を含む実行系と待機系とからなる多重化システムであって、実行系から一致化バス(ＤＣＭバス)を経由して待機系に共有データを転送し全系のメモリ内容を一致化させる共有データ一致化回路(ＤＣＭ制御部)を備え、待機系ＣＰＵ装置が実行系ＣＰＵ装置内の共有データを取得するために一致化バス(ＤＣＭバス)を経由して転送要求信号を発行し、実行系ＣＰＵ装置から待機系ＣＰＵ装置に共有データを転送しメモリ内容を一致化させる多重化システムにおいて、実行系のＤＣＭ制御部が、実行系の停電，異常，計画切替えなどの事象により不定データが転送される期間に待機系から転送要求があった場合に、一致化バス(ＤＣＭバス)を経由して待機系に対し実行系が不定データ期間中であることを示す応答コマンドを出力する制御部である多重化システムを提案する。
【００３３】
待機系ＣＰＵ装置は、実行系の系切替え処理中に転送要求信号を発行した後に実行系から受信した前記応答コマンドにより、系切替え時に一致化させるために転送している前記共有データが不整合となり得る期間中の転送要求であると判定した場合に、前記一致化動作を停止する。
【００３４】
ＤＣＭ制御部は、電源装置からの電源断を示す停電予告信号とＤＣＭバス上の一致化動作状態とを監視する他系監視部を備え、他系監視部は、実行系電源断に伴い電源装置から出力される停電予告信号に基づいてＤＣＭバスの一致化動作状態を監視し、待機系からの転送要求により共有データを転送してＤＣＭバスが占有状態であると判断した場合、一致化動作が終了するまでは待機し、一致化動作が終了したと判定した後に実行系のメモリバックアップ動作に移行し、メモリバックアップ動作への切替えと一致化動作とを同期化させる監視部である。
【００３５】
本発明は、また、それぞれにＣＰＵ装置および少なくとも１台の電源装置を含む実行系と待機系とからなる多重化システムであって、実行系から一致化バス ( ＤＣＭバス ) を経由して待機系に共有データを転送し全系のメモリ内容を一致化させる共有データ一致化回路 ( ＤＣＭ制御部 ) を備え、待機系ＣＰＵ装置が実行系ＣＰＵ装置内の共有データを取得するために一致化バス ( ＤＣＭバス ) を経由して転送要求信号を発行し、実行系ＣＰＵ装置から待機系ＣＰＵ装置に共有データを転送しメモリ内容を一致化させる多重化システムにおいて、実行系ＣＰＵ装置が、実行系の停電，異常，計画切替えなどの事象に起因する停電予告信号に基づいてＤＣＭバスを切離す指令信号をＤＣＭ制御部に出力すると同時にメモリ保護要求信号を出力してＤＣＭ制御部とメモリとを接続するメモリバスを切離し、ＤＣＭ制御部が、メモリバックアップ動作に移行する前のタイミングで相手系を遮断し、ＤＣＭバス切離し後に転送要求をした相手系に対して無応答とするＣＰＵ装置である多重化システムを提案する。
【００３６】
待機系ＣＰＵ装置は、実行系の系切替え処理中に転送要求信号を発行した後に実行系からの無応答により、系切替え時に一致化させるために転送している前記共有データが不整合となり得る期間中の転送要求であると判定した場合、前記一致化動作を停止する。
【００３７】
ＤＣＭ制御部は、電源装置からの電源断を示す停電予告信号とＤＣＭバス上の一致化動作状態とを監視する他系監視部を備え、他系監視部が、実行系電源断に伴い電源装置から出力される停電予告信号に基づいてＤＣＭバスの一致化動作状態を監視し、待機系からの転送要求により共有データを転送してＤＣＭバスが占有状態であると判断した場合、一致化動作が終了するまでは待機し、一致化動作が終了したと判定した後に実行系のメモリバックアップ動作に移行し、メモリバックアップ動作への切替えと一致化動作とを同期化させる監視部である。
【００３８】
本発明によれば、多重化システムのそれぞれの系に電源を有し、実行系の電源装置の電源が遮断された状態で待機系に切替えようとする場合に、待機系の電源スイッチにより待機系の電源が遮断されないように保護する機構を備えたので、操作ミスや人為的ミスなどによる全系の同時電源ダウンを防止できる。
【００３９】
また、ソフトウエア処理により電源状態を監視し、停電予告状態を検出したらＣＰＵ装置内部を調停し、電源リセットおよび保護を制御ができるので、従来の割り込み方式と比較して、ソフトウエア処理を優先し、通常の制御処理への影響をなくすることができる。
【００４０】
さらに、健全性を確認するために健全性データを互いに転送する二重化システムにおいて、待機系ＣＰＵ装置のソフトウエア処理により実行系から健全性データを取得するため一致化バス ( ＤＣＭバス ) を経由して転送要求信号を発行し、実行系の停電，バス異常，系計画切替え発生時に不定データが転送されようとする場合、一致化バス ( ＤＣＭバス ) を経由して待機系に停電，バス異常，系計画切替え発生に対応した応答コマンドで報告し、不定データを待機系に転送してしまうことをハードウエア的に防止できる。
【００４１】
したがって、待機系ＣＰＵ装置が、実行系ＣＰＵ装置から転送された予期しない不定データを受信しないので、一致化データの不整合による実行系ＣＰＵ装置およびＤＣＭバス上のエラーとして誤検出することがなくなり、多重化システムで相互を正常に監視できる。
【発明の実施の形態】
【００４２】
次に、図１ないし図７を参照して、本発明による多重化システムの実施形態を説明する。
【００４３】
ここでは二重化システムを例として本発明を説明するが、本発明は、三重化以上の多重化システムにおいても有効である。その場合に、二重化システムにおける両系電源ダウン事象は、全系電源ダウン事象ということになる。
【００４４】
また、各系の電源装置は、多重化されていてもよい。すなわち、実行系または待機系のいずれの系も、複数台の電源装置を含んでいる場合がある。
【実施形態１】
【００４５】
図１は、本発明による二重化システムの実施形態の全体構成を示す系統図である。図２は、本発明による二重化システムの実施形態１における電源装置０１０およびＣＰＵ装置１００の内部構成を示すブロック図である。二重化システムの実行系ＣＰＵ装置１００は、プログラムやデータを格納するローカルメモリ１１０と、待機系へのデータ転送を制御するバッファ１２２を備えるＤＣＭ制御部１２０と、実行系ＣＰＵ装置１００と待機系ＣＰＵ装置２００とを接続する共通バスであるＤＣＭバス３００と、ローカルメモリ１１０とＤＣＭ制御部１２０とを接続するメモリバス１１２と、電源装置０１０からの停電予告信号０１１に基づいてメモリバス１１２を接続／遮断する指令信号を出力するタイミング生成回路１４０と、停電時にメモリバス１１２を切離した後にＤＲＡＭ，ＳＤＲＡＭなどのローカルメモリ１１０のバックアップ手段としてセルフリフレッシュ動作を制御する外部リフレッシュ制御部１６０と、ＣＰＵ装置１００内部への各指令および制御動作を実行するプロセッサ１５０とから構成される。
【００４６】
プロセッサ１５０は、ＣＰＵ装置１００内のローカルメモリ１１０全エリアに対して、読み出し／書き込みできる。
【００４７】
待機系ＣＰＵ装置２００は、ローカルメモリ１１０内の一部エリアに対して、プロセッサ１５０を介さず、ＤＣＭバス３００およびＤＣＭ制御部１２０を経由して、データの読み出し／書き込みができる。
【００４８】
ローカルメモリ１１０は、メモリの一部の領域を上限アドレス，下限アドレス値として設定した後、プロセッサ１５０から本領域すなわち共有メモリ１１１に書き込むと、ＤＣＭ制御部１２０のバッファ１２２にデータが格納され、ＤＣＭ制御部１２０は、格納されたデータを待機系のＣＰＵ装置２００に転送し、両系の共有メモリ１１１内のデータを一致化させる機能を備えている。
【００４９】
本実施形態の電源装置０１０の構成および出力信号(停電予告信号０１１，停電信号０１２)の出力タイミングや、ＣＰＵ装置１００内の基本的構成は、図８の従来回路とかなり共通している。
【００５０】
しかし、本実施形態１は、ＤＣＭ制御部１２０内に他系監視部１２１を追加して設置し、電源装置０１０内に電源保護部０１５を新たに設けた点が、従来と大きく異なる。
【００５１】
他系監視部１２１は、自系電源装置０１０を制御するコントロールレジスタ１２４と、自系停電予告信号０１１状態(自系ＰＯＰ)および相手系停電予告信号０２１状態(相手系ＰＯＰ)が反映されるステータスレジスタ１２５とからなり、それらは、ＣＰＵ装置１００のソフトウエア処理に基づくプロセッサ１５０からの指示により操作される。
【００５２】
電源装置０１０内の電源保護部０１５は、手動操作される電源スイッチ０１４と相手系停電予告信号０２１と他系監視部１２１からの電源保護制御信号との論理積を演算するＡＮＤ回路０１９と、ＡＮＤ回路１９の出力に応じてＡＣ入力０１３を遮断する電源遮断スイッチ０１７と、電荷を保持するコンデンサ１８とを含んでおり、定常状態において、ＣＰＵ装置１００に電源電圧ＶCC０１６を供給する。
【００５３】
したがって、自系(実行系)の電源スイッチ０１４の操作などによる電源断時においても、待機系電源装置０２０の電源遮断を防ぎ、両系電源ダウンを防止できる。
【００５４】
実行系ＣＰＵ装置１００のソフトウエアは、他系監視部１２１内のステータスレジスタ１２５を監視する。例えば、実行系電源装置０１０の電源スイッチ０１４を押して電源を遮断する時、待機系電源装置０２０の電源が、生きている状態の場合、他系監視部１２１のステータスレジスタ１２５においては、実行系ＰＯＰ＝‘ＯＦＦ’待機系ＰＯＰ＝‘ＯＮ’となり、ソフトウエアがこの状態を検出した場合には、実行系電源断処理に入る。
【００５５】
具体的には、コントロールレジスタ１２４に対してソフトウエアが、自系電源ＣＴＬ＝‘リセット’と設定すると、電源保護制御信号１２６が‘Ｈ’となり、相手系停電予告信号０２１が、ＯＦＦ(待機系電源正常)であるから、ＡＮＤ回路０１９により電源遮断スイッチ０１７が、切離される。
【００５６】
結果として、ＡＣ入力０１３に基づいて生成される電源電圧ＶCC０１６が、コンデンサ０１８の放電後に供給されなくなり、電源が完全に遮断されたことになる。
【００５７】
これに対して、待機系の電源が切れている時に実行系電源を遮断しようとしても、ＡＮＤ回路０１９においてＡＮＤ条件が成立しないので、ハードウエア的に電源遮断スイッチ０１７が切離されなくなり、実行系の電源スイッチ０１４を切ろうとしても、電源電圧ＶCC０１６は、供給され続ける。
【００５８】
待機系ＣＰＵ装置２００のソフトウエアは、同様に他系監視部２２１を監視し、上記状態において、ステータスレジスタ２２５が、待機系ＰＯＰ＝‘ＯＮ’実行系ＰＯＰ＝‘ＯＦＦ’であると検出した場合には、待機系電源保護処理に入る。
【００５９】
具体的には、コントロールレジスタ２２４に対してソフトウエアが、自系電源ＣＴＬ＝‘保護’と設定すると、電源保護制御信号２２６が‘Ｌ’となり、相手系電源予告信号０１１が、ＯＮ(実行系電源断)であるから、ＡＮＤ回路０２９により電源遮断スイッチ０２７が、保護され、電源遮断スイッチ０２７が、ハードウエア的に切離されることはない。したがって、待機系の電源電圧ＶCC０２６は、供給され続ける。
【００６０】
本実施形態１によれば、両系に対する電源断状態の監視および自系電源装置に対するリセット／保護指示を実行でき、ソフトウエア的にＣＰＵ装置内部を調停しながら、実行系の電源遮断時に、二重化システムの両系電源ダウンを回避するために、待機系の電源が誤って遮断されないように電源を保護することができる。
【００６１】
片系電源が、遮断されている場合にもう片系の電源を切ることは、両系電源ダウンにつながり、システムの停止を招き重大な事故を発生させるおそれがあるが、本発明により電源装置内部に設けた保護機構によりハードウエア的にＡＣ入力が、電源スイッチの手動操作などにより遮断されることがなくなり、人為的なミスによるシステムダウンを防止できる。
【実施形態２】
【００６２】
図３は、本発明による二重化システムの実施形態２におけるＣＰＵ装置１００の内部構成を示すブロック図である。
【００６３】
他系監視部１２１の内部構成は、基本的には実施形態１と同じであるが、待機系ＣＰＵ装置２００からの転送要求信号３０１と動作状態とを監視する手段を備えている点が、異なる。したがって、従来問題となっていた不定データ期間中に待機系から転送要求信号３０１を受信した場合に不定データを転送してしまうことをハードウエア的に防止できる。
【００６４】
図４は、本発明による二重化システムの実施形態２における停電後の動作タイミングを示すタイミングチャートである。図５は、本発明による二重化システムの実施形態２における停電後の他系監視部の処理手順を示すフローチャートである。
【００６５】
図３，図４，図５を参照して、実行系の電源断時におけるＤＣＭ制御部１２０内の他系監視部１２１の動作を説明する。
【００６６】
(Ａ) 停電によりＡＣ入力０１３が断たれた後、実行系ＣＰＵ装置１００のソフトウエアは、電源装置０１０からの停電予告信号０１１の状態を監視する。実行系ＣＰＵ装置１００のソフトウエアは、停電予告信号０１１を検出した場合、他系監視部１２１内の自系電源制御指令を発行し、他系監視部１２１は、以下の動作を実行する。
【００６７】
(Ｂ) ＤＣＭ制御部１２０内の他系監視部１２１は、待機系ＣＰＵ装置２００のソフトウエア処理により発行されてＤＣＭバス３００上でなされる一致化動作をハードウエア的に監視する。
【００６８】
もし、待機系からの転送要求に基づき待機系へのデータ転送がなされていると判断した場合は、転送(アクセスサイクル)が終了するまで待機し、転送(アクセスサイクル)が終了したことを検出した時点で、電源装置０１０への電源リセット指令信号を電源装置０１０に出力すると同時に、電源保護制御信号１２６をタイミング生成回路１４０に出力する。
【００６９】
ただし、プロセッサ１５０が、停電予告信号０１１の検出から電源保護制御信号１２６を出力するまでには、一定時間の間隔を必要とする。
【００７０】
ＣＰＵ装置１００のプロセッサ１５０が、実行系電源断を検出した場合に、停電処理(停止／退避処理)を実行するようなシステムにおいては、停電予告信号０１１検出後にメモリにアクセスする必要があるからである。
【００７１】
具体的には、停電時にプロセッサ１５０内のレジスタ値およびキャッシュ内データなどをローカルメモリ１１０に退避させたり、ＣＰＵ装置１００以外のＩ／Ｏからの停電処理によるメモリアクセス，共有メモリ１１１へのいわゆる死に様情報などのデータの書き込み，待機系ＣＰＵ装置２００への転送報告処理などが発生するので、これらの処理を確実に実行するためにメモリバス１１２を切離すまで、ある一定の処理時間が必要となるからである。
【００７２】
本実施形態２では、これらのタイミング管理をするために、他系監視部１２１内には、タイマユニットを備え、タイマユニットにより計測した時間以降に電源保護制御信号１２６を出力するように制御する手段を備えた。
【００７３】
ここで設定する時間は、ソフトウエアの処理時間に依存し、ハードウエア側とソフトウエア側間との約束で定める。ソフトウエアの処理としては、必ず停電，退避処理をこの時間内に完了していなければならない。
【００７４】
(Ｃ) タイミング生成回路１４０は、停電予告信号０１１入力後に電源保護制御信号１２６を検出すると、メモリ保護要求信号１４１を出力し、メモリバス１１２を切離し、外部リフレッシュ制御部１６０によるリフレッシュ動作に移行させる。
【００７５】
この時点までには、共有メモリ１１１への書き込みによる一致化動作は、停止させているが、ＤＣＭ制御部１２０内のバッファ１２２には、待機系ＣＰＵ装置２００に転送すべきデータが存在するために、それ以降は、ＤＣＭ制御部１２０が、これらのデータを電源装置０１１からの停電信号０１２出力のタイミングまで継続して一致化させる。
【００７６】
(Ｄ) (Ｃ)以降のタイミングで待機系のソフトウエア処理による転送要求信号３０１を受信した場合は、ＤＣＭ制御部１２０内の他系監視部１２１は、待機系ＣＰＵ装置２００に対して、実行系が停電による不定期間中であることを示す応答コマンドを発行する。
【００７７】
したがって、待機系のＣＰＵ装置２００は、転送要求が、不定データ期間中になされたと判断し、一致化動作を停止する。
【００７８】
待機系ＣＰＵ装置２００が、エラーコマンドを受信した後のエラー処理については、上位プロセッサにエラーを報告するなど手順が考えられるが、本発明は、その手順には限定されない。
【００７９】
また、本実施形態２では、停電時の応答手順について説明したが、本発明は、停電時の動作に限定されない。計画切替えによる応答手段についても、同様に、実行系が切替え中であることを示す応答コマンドを待機系ＣＰＵ装置２００に報告すると、待機系ＣＰＵ装置２００は、その応答結果に基づいて実行系の状態を判断し、一致化動作を停止する。
【００８０】
(Ｅ) ＤＣＭ制御部１２０内の他系監視部１２１が、電源装置０１０からの停電信号０１２を検出した後、ＤＣＭバス３００を切離す指令を出力する。したがって、ＤＣＭ制御部１２０は、待機系のＣＰＵ装置２００と完全に切離す状態とする。
【００８１】
本実施形態２においては、待機系からの転送要求によるデータ転送の途中でメモリバス１１２を切離さないように、電源保護制御信号１２６をタイミング生成回路１４０に出力し、一致化動作終了時点でメモリバス１１２を外部リフレッシュ制御部１６０に切替え、リフレッシュ動作を実施する手段と、実施形態１のように両系電源断を防止する手段と、メモリバス１１２切離し後にＤＣＭ制御部１２０内のバッファ１２２に格納されるデータのみを転送し、他系ＣＰＵ装置２００から発行される転送要求信号３０１を不定データ期間中に受信した場合には、エラーコマンドで応答し、実行系ＣＰＵ装置１００が、不定データ期間中であることを待機系ＣＰＵ装置２００に報告する手段を設けたので、実行系電源断が発生した場合に、待機系電源装置０２０を電源遮断から保護し、両系電源ダウンを防止できる。
【００８２】
さらに、待機系ＣＰＵ装置２００のソフトウエアが、メモリバス１１２切離し期間中に、共有メモリ１１１内のデータ転送要求を出した場合でも、待機系ＣＰＵ装置２００が、実行系ＣＰＵ装置１００からエラー応答を受信すると、待機系ＣＰＵ装置２００への不定データの転送をハードウエア的に防止できる。
【００８３】
従来方式のような割り込みを使用せず、ソフトウエアが、他系監視部１２１のステータスレジスタを読み出し、電源断を判定するので、ソフトウエア処理を優先し、制御処理に対する影響を少なくできる。
【実施形態３】
【００８４】
図３は、本発明による二重化システムの実施形態３におけるＣＰＵ装置１００の内部構成を示すブロック図である。
【００８５】
他系監視部１２１の内部構成は、基本的には実施形態１と同じであるが、待機系ＣＰＵ装置２００からの転送要求信号３０１と動作状態とを監視する機能を備えている点が、異なる。したがって、従来方式で問題となっていた不定データ期間中に待機系から転送要求信号３０１を受信した場合に不定データを転送してしまうことをハードウエア的に防止できる。
【００８６】
図６は、本発明による二重化システムの実施形態３における停電後の動作タイミングを示すタイミングチャートである。図７は、本発明による二重化システムの実施形態３における停電後の他系監視部の処理手順を示すフローチャートである。
【００８７】
図３，図６，図７を参照して、実行系の電源断時におけるＤＣＭ制御部１２０内の他系監視部１２１の動作を説明する。
【００８８】
(Ａ) 停電によるＡＣ入力０１３が断たれた後、実行系ＣＰＵ装置１００のソフトウエアは、電源装置０１０からの停電予告信号０１１の状態を監視する。実行系ＣＰＵ装置１００のソフトウエアは、停電予告信号０１１を検出した場合、他系監視部１２１内の自系電源制御指令を発行し、他系監視部１２１は、以下のように動作する。
【００８９】
(Ｂ) ＤＣＭ制御部１２０内の他系監視部１２１は、待機系ＣＰＵ装置２００のソフトウエア処理により発行されてＤＣＭバス３００上でなされる一致化動作をハードウエア的に監視する。
【００９０】
もし、待機系からの転送要求に基づき待機系へのデータ転送がなされていると判断した場合は、転送(アクセスサイクル)が終了するまで待機し、転送(アクセスサイクル)が終了したことを検出した時点で、電源装置０１０への電源リセット指令信号を電源装置０１０に出力すると同時に、停電保護制御信号１２６をタイミング生成回路１４０に出力し、ＤＣＭバス３００を切離す。
【００９１】
本実施形態３では、停電時の手順について説明したが、本発明は、停電時の動作に限定されない。メモリバス１１２またはＤＣＭバス３００のバス異常発生時にも、同様に、ＤＣＭバス３００を切離す処理を実施できる。
【００９２】
(Ｃ) タイミング生成回路１４０は、停電予告信号０１１入力後に電源保護制御信号１２６を検出すると、メモリ保護要求信号１４１を出力し、メモリバス１１２を切離し、外部リフレッシュ制御部１６０によるリフレッシュ動作に移行させる。
【００９３】
この時点までには、共有メモリ１１１への書き込みによる一致化動作は、停止していなければならない。
【００９４】
また、ＤＣＭ制御部１２０内のバッファ１２２に格納されているデータを待機系まで転送する動作を上記(Ｂ)のＤＣＭバス３００遮断タイミングまでに実行しなければならない。
【００９５】
(Ｄ) (Ｃ)以降のタイミングで待機系からの転送要求信号３０１を受信した場合は、ＤＣＭバス３００が、電気的に切離された状態になっているので、ＤＣＭ制御部１２０内の他系監視部１２１は、待機系からの転送要求を認識することはない。
【００９６】
待機系ＣＰＵ装置２００は、無応答を検出すると、実行系の停電時の不定データ期間中およびバス異常発生時に転送を要求したと判断し、一致化動作を停止する。
【００９７】
この一連の処理の後、待機系ＣＰＵ装置２００が実行するエラー処理については、上位プロセッサにエラーを報告するなどの手順が考えられるが、本発明は、それらの手順に限定されない。
【００９８】
このように、本実施形態３においては、待機系からの転送要求によるデータ転送の途中でメモリバス１１２を切離さないように、電源保護制御信号１２６をタイミング生成回路１４０に出力し、一致化動作終了時点でＤＣＭバス３００を切離し、同時にメモリバス１１２を外部リフレッシュ制御部１６０に切替えリフレッシュ動作を実施する手段と、実施形態１のように両系電源ダウンを防止する手段とを設けたので、実行系電源断が発生した場合、待機系電源装置０２０を電源遮断から保護し、待機系ＣＰＵ装置２００のソフトウエアが、共有メモリ１１１内のデータ転送要求をメモリバス１１２の切離し期間中に出した場合に、待機系ＣＰＵ装置２００が、実行系ＣＰＵ装置１００からの無応答を検出して、待機系ＣＰＵ装置２００に不定データが転送されることをハードウエア的に防止できる。
【００９９】
本実施形態３では、従来方式のような割り込みを使用せずに、ソフトウエアが、他系監視部１２１のステータスを読み出し電源断を判定するので、ソフトウエア処理を優先し、制御処理に対する影響を少なくできる。
【発明の効果】
【０１００】
本発明によれば、多重化システムのそれぞれの系に電源を有し、実行系の電源装置の電源が遮断された状態で待機系に切替えようとする場合に、待機系の電源スイッチにより待機系の電源が遮断されないように保護する機構を備えたので、操作ミスや人為的ミスなどによる全系の同時電源ダウンを防止できる。
【０１０１】
また、ソフトウエア処理により電源状態を監視し、停電予告状態を検出したらＣＰＵ装置内部を調停し、電源リセットおよび保護を制御ができるので、従来の割り込み方式と比較して、ソフトウエア処理を優先し、通常の制御処理への影響をなくすることができる。
【０１０２】
さらに、健全性を確認するために健全性データを互いに転送する二重化システムにおいて、待機系ＣＰＵ装置のソフトウエア処理により実行系から健全性データを取得するため転送要求信号を発行し、実行系の停電，バス異常，系計画切替え発生時に不定データが転送されようとする場合、待機系に停電，バス異常，系計画切替え発生に対応した応答コマンドで報告し、不定データを待機系に転送してしまうことをハードウエア的に防止できる。
【０１０３】
したがって、待機系ＣＰＵ装置が、実行系ＣＰＵ装置から転送された予期しない不定データを受信しないので、一致化データの不整合による実行系ＣＰＵ装置およびＤＣＭバス上のエラーとして誤検出することがなくなり、多重化システムで相互を正常に監視できる。
【図面の簡単な説明】
【０１０４】
【図１】本発明による二重化システムの実施形態の全体構成を示す系統図である。
【図２】本発明による二重化システムの実施形態１における電源装置０１０およびＣＰＵ装置１００の内部構成を示すブロック図である。
【図３】本発明による二重化システムの実施形態２および実施形態３におけるＣＰＵ装置１００の内部構成を示すブロック図である。
【図４】本発明による二重化システムの実施形態２における停電後の動作タイミングを示すタイミングチャートである。
【図５】本発明による二重化システムの実施形態２における停電後の他系監視部の処理手順を示すフローチャートである。
【図６】本発明による二重化システムの実施形態３における停電後の動作タイミングを示すタイミングチャートである。
【図７】本発明による二重化システムの実施形態３における停電後の他系監視部の処理手順を示すフローチャートである。
【図８】従来の二重化システムにおけるＣＰＵ装置１００の内部構成を示すブロック図である。
【図９】従来の二重化システムにおける停電後の動作タイミングを示すタイミングチャートである。
【符号の説明】
【０１０５】
０１０実行系電源装置
０１１実行系停電予告信号
０１２実行系停電信号
０１３実行系ＡＣ入力
０１４実行系電源スイッチ
０１５実行系電源保護部
０１６実行系電源電圧
０１７実行系電源遮断スイッチ
０１８実行系コンデンサ
０１９実行系ＡＮＤ回路
０２０待機系電源装置
０２１待機系停電予告信号
０２２待機系停電信号
０２３待機系ＡＣ入力
０２４待機系電源スイッチ
０２５待機系電源保護部
０２６待機系電源電圧
０２７待機系電源遮断スイッチ
０２８待機系コンデンサ
０２９待機系ＡＮＤ回路
１００実行系ＣＰＵ装置
１１０実行系ローカルメモリ
１１１実行系共有メモリ
１１２実行系メモリバス
１２０実行系共有データ一致化回路(ＤＣＭ制御部)
１２１実行系他系監視部
１２２実行系バッファ
１２４実行系コントロールレジスタ
１２５実行系ステータスレジスタ
１２６実行系電源保護制御信号
１４０実行系タイミング生成回路
１４１実行系メモリ保護要求信号
１５０実行系プロセッサ
１６０実行系外部リフレッシュ制御部
２００待機系ＣＰＵ装置
２１０待機系ローカルメモリ
２１１待機系共有メモリ
２１２待機系メモリバス
２２０待機系共有データ一致化回路(ＤＣＭ制御部)
２２１待機系他系監視部
２２２待機系バッファ
２２４待機系コントロールレジスタ
２２５待機系ステータスレジスタ
２２６待機系電源保護制御信号
２４０待機系タイミング生成回路
２４１待機系メモリ保護要求信号
２５０待機系プロセッサ
２６０待機系外部リフレッシュ制御部
３００ＤＣＭバス
３０１転送要求信号BACKGROUND OF THE INVENTION
[0001]
  The present invention relates to a multiplexing system having an execution system and a standby system. In particular, the shared data is transferred from the execution system to the standby system, the standby system checks the pattern of the shared data, and monitors the system mutually to be sound. The present invention relates to the control of a multiplexing system that confirms the performance.
[Prior art]
[0002]
  In a conventional redundant system having an active system and a standby system, when the power of the active system is cut off, the system is switched to the standby system where the power supply is operating normally, and an instruction or command from the standby system is sent to the plant or control target. Operation and monitoring operations were continued.
[0003]
  Also, a part of the local memory is allocated as shared memory, and the execution system CPU device transfers the data to be written to the shared memory to the standby system CPU device via the dedicated matching bus (DCM bus), and the shared data of both systems The standby CPU device checks the data pattern in the shared memory of the executing CPU device and checks the soundness of each other using the matching method of the duplex system that matches the two.
[0004]
  As a means for the standby CPU device to check the soundness of the execution system, the standby software issues a transfer request signal so as to transfer the shared data to the execution system CPU device, and in the execution system shared memory. The data pattern was acquired. Transfer requests by these software are made as necessary for data acquisition.
[0005]
  further,As memory backup operation,In the event of a power failure in the active system or when the power switch is turned off, the memory bus is electrically disconnected according to the memory protection request signal generated based on the power failure warning signal (POP signal), and the external refresh controller Memory content retention method that starts operation and backs up memoryIt has been known.
[0006]
  In this method, at the time of a power failure, the execution CPU device performs data backup processing and power failure processing of the local memory, and a power failure signal (PAVL signal) from the execution power supply device stops the operation of the DCM control unit. Until the DCM bus is electrically disconnected, the operation of transferring the data in the shared memory to the standby CPU device is continued in response to a transfer request from the standby system via the DCM bus.
[0007]
  As a technique related to the power failure processing of the duplex system at the time of a power failure, Japanese Patent Laid-Open No. 6-318160 discloses that an execution system processor performs a power failure processing as an interrupt processing based on a power failure warning signal output due to an interruption of the execution system power supply, A method is shown in which shared data including internal register information is transferred to a standby system and the execution system is shifted to a stopped state. However, it does not show a countermeasure for power down of both systems due to power switch operation mistake.
[0008]
  Japanese Laid-Open Patent Publication No. 9-305424 discloses a duplication system matching in which the execution system CPU device transfers data to be written to the shared memory to the standby system CPU device via the DCM bus, and makes the shared data of both systems coincide. Shows the conversion method.
[Problems to be solved by the invention]
[0009]
  FIG. 8 is a block diagram showing an internal configuration of the CPU device 100 in the conventional duplex system. The execution system CPU device 100 of the duplex system includes a local memory 110 that stores programs and data, a DCM control unit 120 that includes a buffer 122 that controls data transfer to the standby system, and the execution system CPU device 100 and the standby system CPU device. 200 is connected to / disconnected from the DCM bus 300, which is a common bus connecting to the memory 200, the memory bus 112 connecting the local memory 110 and the DCM control unit 120, and the memory bus 112 based on the power failure warning signal 011 from the power supply device 010. A timing generation circuit 140 that outputs a command signal to perform, an external refresh control unit 160 that controls a self-refresh operation as a backup unit of the local memory 110 such as a DRAM or SDRAM after disconnecting the memory bus 112 in the event of a power failure, Each directive to and It consists of processor 150. to run your operations.
[0010]
  The processor 150 can read / write the entire area of the local memory 110 in the CPU device 100.
[0011]
  The standby CPU device 200 can read / write data from / to a partial area in the local memory 110 via the DCM bus 300 and the DCM control unit 120 without going through the processor 150.
[0012]
  The local memory 110 sets a partial area of the memory as the upper limit address and the lower limit address value, and then writes the data into the main area, that is, the shared memory 111 from the processor 150, the data is stored in the buffer 122 of the DCM control unit 120, and the DCM The control unit 120 has a function of transferring the stored data to the standby CPU device 200 and matching the data in the shared memory 111 of both systems.
[0013]
  FIG. 9 is a timing chart showing the operation timing after a power failure in the conventional duplex system.
[0014]
  After the AC input 013 is cut off due to the power interruption at the time of the running system power failure, the running system power supply device 010 outputs the power failure warning signal 011 to the CPU device 100 and outputs the power failure signal 012 after a certain time. Until the power failure signal 012 is output, power can be supplied to the CPU device 100 with the electric charge stored in the capacitor in the power supply device 010. However, after the power failure signal 012 is output, the power supply voltage from the power supply device 010 decreases. After a while, it becomes impossible to supply power to the CPU device 100, and operation becomes impossible.
[0015]
  When the CPU device 100 detects the power failure warning signal 011, the timing generation circuit 140 outputs a memory protection request signal 141 after a predetermined time. In response to the memory protection request signal 141, the memory bus 112 connecting the DCM control unit 120 and the local memory 110 is electrically disconnected, and the connection is switched to the external refresh control unit 160.
[0016]
  After the switching, the external refresh control unit 160 starts a self-refresh operation and executes a content holding operation in the local memory 110. Further, when receiving the power failure notice signal 011 as an interrupt signal, the processor 150 performs stop processing.
[0017]
  Furthermore, when the CPU device 100 detects the power failure signal 012 after a certain time, the CPU 100 turns off the changeover switch in the DCM control unit 120 and disconnects the DCM control unit 120 and the DCM bus 300.
[0018]
  After the DCM bus 300 is disconnected, the standby CPU device 200 is electrically disconnected, and data transfer in the shared memory 111 to the standby system becomes impossible.
[0019]
  There are two methods for transferring data in the shared memory 111. The first method is a method in which when the execution system CPU device 100 processor 150 writes data to the shared memory 111 in the local memory 110 based on the contents of software processing, the written data is transferred to the standby system. It is. In the second method, when the DCM control unit 120 of the execution system CPU device 100 receives the transfer request signal 301 or the transfer request pattern 301 from the other system CPU device 200 via the DCM bus 300, the execution system local memory This is a method for transferring data in 110 shared memory 111 to a standby system.
[0020]
  For the second method, the software of the standby CPU device 200 issues a transfer request signal 301 (or data pattern) to acquire data in the shared memory 111 of the executing CPU device 100, and the DCM control unit 120 When the transfer request signal 301 is received, a master operation is performed, data in the shared memory 111 in the local memory 110 is read, and the read data is transferred to the standby system via the DCM bus 300 and written.
[0021]
  However, in this conventional method, when the standby power supply device 020 is shut off after the active power supply device 010 is shut off, the power of both systems is down and the operation to the plant or the controlled object is stopped. was there.
[0022]
  Further, when the software processing of the standby system CPU device 200 monitors the power failure warning signal 011 of the active power supply device 010, it stops issuing the transfer request signal 301 based on the detection of the power failure warning signal 011. Even if the method is adopted, depending on the issue cycle and timing, the transfer request signal 301 overlaps from the standby CPU device 200 during the indefinite data period due to the disconnection of the memory bus 112, and the executing DCM control unit 120 transfers the shared memory 111 to the shared memory 111. Since the read operation is executed, there is a problem that undefined data is transferred to the standby CPU device 200.
[0023]
  Further, since the processor 150 of the execution system CPU device 100 executes the interrupt process (stop process) when the power failure notice signal 011 is received as an interrupt signal, the occurrence of the interrupt process causes an influence due to a decrease in control processing capability. There is a need for improvement.
[0024]
  In this way, when the standby power supply is normal when power is cut off due to a power failure in the conventional running system, control can be taken over normally, but when the standby power supply is shut off, both Since the power supply of the system is turned off, the power supply of both systems is down, and control cannot be continued.
[0025]
  These cases may also occur due to a power switch operation error.
[0026]
  In addition, there is an indefinite data period at a timing before the active power supply apparatus shuts off the DCM bus by a power failure signal. This period occurs when the memory bus is disconnected by a memory protection request signal. If the transfer request timing for acquiring data in the shared memory from the standby CPU device and the indefinite data period in the execution CPU device overlap during this period, the indefinite data in the execution system is transferred to the standby CPU. Transfer to device. As a result, the standby CPU device receives an incorrect data pattern and erroneously detects an error due to inconsistency of the matched data.
[0027]
  Even if the standby system adopts means to monitor the power failure warning signal of the active system, the standby software processing is based on the timing when the power failure warning signal is detected.Transfer request signalIs issued, it is difficult to completely avoid the overlap with the indefinite data period, and a method for solving them is required.
[0028]
  The purpose of the present invention is to prevent the standby system power from being accidentally shut down even if there is a power switch operation error, etc., in order to avoid power down of the entire system of the multiplexed system when the power of the active system is shut down. It is to provide a multiplexing system with means for protecting.
[0029]
  Another object of the present invention is to prevent indefinite data transfer in the shared memory when there is an indefinite data period due to power-off of the execution system, occurrence of an abnormality in the DCM bus or memory bus, plan switching operation of the execution system, etc. It is an object of the present invention to provide a multiplexing system having means for performing the above.
[Means for Solving the Problems]
[0030]
  In order to achieve the above object, the present invention provides a multiplexed system comprising an execution system and a standby system each including a CPU device and at least one power supply device. A power supply unit that monitors the state of the system power supply and outputs a power protection control signal, and that powers each system shuts off the AC input according to at least the operation status of the power switch of the own system and the power protection control signal. A multiplexing system that has a power protection unit including a shut-off switch, and the power protection control signal is a control signal that keeps the own power shut-off switch ON regardless of the operation status of the power switch when the partner power is off suggest.
[0031]
  The other system monitoring unit includes a control register for controlling the own system power supply device and a status register reflecting the own system power failure warning signal status and the other system power failure warning signal status. The power protection unit includes the power switch and the other system. An AND circuit that calculates the logical product of the power failure notice signal and the power protection control signal from the other system monitoring unit, and a power cutoff switch that shuts off the AC input according to the output of the AND circuit.
[0032]
  In order to achieve the above-mentioned other objects, the present invention is a multiplexing system comprising an execution system and a standby system each including a CPU device and at least one power supply device. A shared data matching circuit (DCM control unit) that transfers the shared data to the standby system via the bus and matches the memory contents of the entire system, and the standby CPU device receives the shared data in the execution CPU device. In a multiplexing system that issues a transfer request signal via a matching bus (DCM bus) to acquire, transfers shared data from the execution CPU device to the standby CPU device, and matches the memory contents, the execution system The DCM controller ofIf there is a transfer request from the standby system during the period when undefined data is transferred due to an event such as a power failure, abnormality, or plan change in the active system,For the standby system via the matching bus (DCM bus)Outputs a response command indicating that the running system is in an indefinite data periodA multiplexing system as a control unit is proposed.
[0033]
  The standby system CPU device issues an execution system after issuing a transfer request signal during the system switching process of the execution system.Received from theAt system switchover by response commandThe shared data being transferred for matchingIf it is determined that it is a transfer request during a period that may be inconsistent,The matching operation is stopped.
[0034]
  The DCM control unit has a power failure warning signal indicating power failure from the power supply and the DCM bus.Match operation status andThe other system monitoring unit monitors the DCM bus based on the power failure warning signal output from the power supply device when the running system power supply is cut off.Matching behaviorWhen the status is monitored and the shared data is transferred by the transfer request from the standby system and it is determined that the DCM bus is occupied,Matching behaviorWait until is finished,Matching behaviorAfter determining that the process has been completed, the system shifts to the memory backup operation of the active system and switches to the memory backup operation.Matching behaviorIt is the monitoring part which synchronizes.
[0035]
  The present invention also providesA multiplexing system comprising an execution system and a standby system each including a CPU device and at least one power supply device, the matching bus from the execution system ( DCM bus ) Shared data matching circuit that transfers shared data to the standby system via the network and matches the memory contents of all systems ( DCM controller ) A matching bus for the standby CPU device to acquire shared data in the executing CPU device ( DCM bus ) In a multiplexing system that issues a transfer request signal via the CPU, transfers the shared data from the active CPU device to the standby CPU device, and matches the memory contents,The execution system CPU device isBased on a power failure warning signal caused by an event such as a power failure, abnormality, or plan change in the running systemA command signal for disconnecting the DCM bus is output to the DCM control unit, and at the same time, a memory protection request signal is output to disconnect the memory bus connecting the DCM control unit and the memory, before the DCM control unit shifts to the memory backup operation. We propose a multiplexing system that is a CPU device that shuts off the partner system at the timing and makes no response to the partner system that requested the transfer after disconnecting the DCM bus.
[0036]
  The standby system CPU device is a period in which the shared data that is being transferred to be matched at the time of system switching may become inconsistent due to no response from the executing system after issuing a transfer request signal during system switching processing of the executing system If it is determined that the request is a middle transfer request, the matching operation is stopped.
[0037]
  The DCM control unit includes an other-system monitoring unit that monitors a power failure notice signal indicating a power-off from the power supply device and a matching operation state on the DCM bus. The matching operation state of the DCM bus is monitored based on the power failure warning signal output from the network, and when the shared data is transferred by the transfer request from the standby system and it is determined that the DCM bus is occupied, the matching operation is performed. This is a monitoring unit that waits until the process is completed, shifts to the memory backup operation of the execution system after determining that the matching operation is completed, and synchronizes the switching to the memory backup operation and the matching operation.
[0038]
  According to the present invention, when each multiplex system has a power source and the power source of the active system power supply is switched off to the standby system, the standby system is switched by the standby system power switch. Since it is equipped with a mechanism that protects the power supply from being shut off, it is possible to prevent simultaneous power-down of the entire system due to operational mistakes or human error.
[0039]
  In addition, the power supply status is monitored by software processing, and if a power failure notice state is detected, the CPU device can be arbitrated to control power reset and protection, so software processing has priority over conventional interrupt methods. The influence on the normal control processing can be eliminated.
[0040]
  Furthermore, in a redundant system that transfers soundness data to each other to check soundness, to obtain soundness data from the execution system by software processing of the standby CPU deviceMatching bus ( DCM bus ) ViaWhen a transfer request signal is issued and undefined data is about to be transferred when a power failure, bus failure, or system plan switchover occurs,Matching bus ( DCM bus ) ViaIt is possible to prevent hardware from reporting to the standby system with a response command corresponding to power failure, bus abnormality, system plan switching occurrence, and transferring indefinite data to the standby system.
[0041]
  Therefore, since the standby CPU device does not receive the unexpected indefinite data transferred from the execution system CPU device, it is not erroneously detected as an error on the execution system CPU device and the DCM bus due to the mismatch of the matching data. Mutual system can monitor each other normally.
DETAILED DESCRIPTION OF THE INVENTION
[0042]
  Next, an embodiment of a multiplexing system according to the present invention will be described with reference to FIGS.
[0043]
  Here, the present invention will be described by taking a duplex system as an example, but the present invention is also effective in a multiplexing system of triple or higher. In that case, the dual system power down event in the redundant system is an all system power down event.
[0044]
  Further, the power supply devices of each system may be multiplexed. That is, either the active system or the standby system may include a plurality of power supply devices.
Embodiment 1
[0045]
  FIG. 1 is a system diagram showing the overall configuration of an embodiment of a duplex system according to the present invention. FIG. 2 is a block diagram showing the internal configuration of the power supply device 010 and the CPU device 100 in Embodiment 1 of the duplex system according to the present invention. The execution system CPU device 100 of the duplex system includes a local memory 110 that stores programs and data, a DCM control unit 120 that includes a buffer 122 that controls data transfer to the standby system, and the execution system CPU device 100 and the standby system CPU device. 200 is connected to and disconnected from the memory bus 112 based on a power failure warning signal 011 from the power supply device 010, a DCM bus 300 that is a common bus for connecting to the 200, a memory bus 112 that connects the local memory 110 and the DCM control unit 120 A timing generation circuit 140 that outputs a command signal to perform, an external refresh control unit 160 that controls a self-refresh operation as a backup unit of the local memory 110 such as a DRAM or SDRAM after disconnecting the memory bus 112 in the event of a power failure, Each directive to and It consists of processor 150. to run your operations.
[0046]
  The processor 150 can read / write the entire area of the local memory 110 in the CPU device 100.
[0047]
  The standby CPU device 200 can read / write data from / to a partial area in the local memory 110 via the DCM bus 300 and the DCM control unit 120 without going through the processor 150.
[0048]
  The local memory 110 sets a partial area of the memory as the upper limit address and the lower limit address value, and then writes the data into the main area, that is, the shared memory 111 from the processor 150, the data is stored in the buffer 122 of the DCM control unit 120, and the DCM The control unit 120 has a function of transferring the stored data to the standby CPU device 200 and matching the data in the shared memory 111 of both systems.
[0049]
  The configuration of the power supply device 010 of this embodiment, the output timing of the output signals (the power failure warning signal 011 and the power failure signal 012), and the basic configuration in the CPU device 100 are quite similar to those of the conventional circuit of FIG.
[0050]
  However, the first embodiment is greatly different from the conventional one in that an additional system monitoring unit 121 is additionally installed in the DCM control unit 120 and a power protection unit 015 is newly provided in the power supply device 010.
[0051]
  The other system monitoring unit 121 reflects the control register 124 that controls the own system power supply device 010, the own system power outage notice signal 011 state (own system POP), and the other system power outage notice signal 021 state (partner system POP). The register 125 is operated by an instruction from the processor 150 based on software processing of the CPU device 100.
[0052]
  Power supply unit 010InsideThe power protection unit 015 calculates the logical product of the manually operated power switch 014, the counterpart power failure warning signal 021, and the power protection control signal from the other system monitoring unit 121, and outputs the AND circuit 19 to the AND circuit 19. Accordingly, it includes a power cut-off switch 017 that cuts off the AC input 013 and a capacitor 18 that holds electric charge, and supplies the power supply voltage VCC 016 to the CPU device 100 in a steady state.
[0053]
  Therefore, even when the power supply is cut off due to the operation of the power switch 014 of the own system (execution system), it is possible to prevent the standby system power supply device 020 from being shut off and to prevent both systems from powering down.
[0054]
  The software of the execution system CPU device 100 monitors the status register 125 in the other system monitoring unit 121. For example, when the power supply of the standby power supply device 020 is alive when the power supply switch 014 of the active power supply device 010 is pressed and the power supply is shut off, the status register 125 of the other system monitoring unit 121 sets the active system POP. = “OFF” Standby system POP = “ON”, and when the software detects this state, execution system power-off processing is entered.
[0055]
  Specifically, when the software sets the own power supply CTL = 'reset' to the control register 124, the power protection control signal 126 becomes 'H' and the partner power failure notice signal 021 is OFF (standby system). Since the power supply is normal), the AND circuit 019 disconnects the power cut-off switch 017.
[0056]
  As a result, the power supply voltage VCC016 generated based on the AC input 013 is not supplied after the capacitor 018 is discharged, and the power supply is completely cut off.
[0057]
  On the other hand, even if an attempt is made to shut off the execution system power supply when the standby system power is off, the AND condition is not satisfied in the AND circuit 019. Therefore, the power cut-off switch 017 is not disconnected in hardware, and the execution system Even if the power switch 014 is turned off, the power supply voltage VCC 016 continues to be supplied.
[0058]
  Similarly, the software of the standby system CPU device 200 monitors the other system monitoring unit 221 and, in the above state, the status register 225 detects that the standby system POP = “ON” execution system POP = “OFF”. Then, the standby power supply protection process is started.
[0059]
  Specifically, when the software sets the own power supply CTL = 'protection' for the control register 224, the power supply protection control signal 226 becomes 'L' and the counterpart power supply notice signal 011 is turned ON (execution system). Therefore, the AND circuit 029 protects the power cut-off switch 027 and the power cut-off switch 027 is not disconnected by hardware. Therefore, the standby power supply voltage VCC 026 continues to be supplied.
[0060]
  According to the first embodiment, it is possible to monitor the power-off state for both systems and execute the reset / protection instruction for the local power supply device. In order to avoid power down of both systems of the system, the power supply can be protected so that the power supply of the standby system is not cut off accidentally.
[0061]
  If the power of one system is shut off, turning off the power of the other system will lead to the power of both systems going down, causing the system to stop and causing a serious accident. Due to the protection mechanism provided in FIG. 2, AC input is not blocked by hardware by manual operation of the power switch, and system down due to human error can be prevented.
Embodiment 2
[0062]
  FIG. 3 is a block diagram showing an internal configuration of the CPU device 100 in the second embodiment of the duplex system according to the present invention.
[0063]
  The internal configuration of the other system monitoring unit 121 is basically the same as that of the first embodiment, except that it includes means for monitoring the transfer request signal 301 from the standby system CPU device 200 and the operation state. . Therefore, it is possible to prevent hardware from transferring undefined data when the transfer request signal 301 is received from the standby system during the undefined data period, which has been a problem in the past.
[0064]
  FIG. 4 is a timing chart showing operation timing after a power failure in the second embodiment of the duplex system according to the present invention. FIG. 5 is a flowchart showing the processing procedure of the other system monitoring unit after a power failure in the second embodiment of the duplex system according to the present invention.
[0065]
  The operation of the other system monitoring unit 121 in the DCM control unit 120 when the execution system is powered off will be described with reference to FIGS.
[0066]
  (A) After the AC input 013 is cut off due to a power failure, the software of the execution system CPU device 100 monitors the state of the power failure warning signal 011 from the power supply device 010. When the software of the execution system CPU device 100 detects the power failure notice signal 011, it issues a local power control command in the other system monitoring unit 121, and the other system monitoring unit 121 executes the following operation.
[0067]
  (B) The other system monitoring unit 121 in the DCM control unit 120 is issued on the DCM bus 300 by the software processing of the standby CPU device 200.Matching behaviorIs monitored by hardware.
[0068]
  If it is determined that data transfer to the standby system has been made based on the transfer request from the standby system, the system waits until the transfer (access cycle) is completed, and detects that the transfer (access cycle) is completed. At the time, a power supply reset command signal for the power supply device 010 is output to the power supply device 010, and at the same time, a power supply protection control signal 126 is output to the timing generation circuit 140.
[0069]
  However, a certain time interval is required until the processor 150 outputs the power protection control signal 126 from the detection of the power failure warning signal 011.
[0070]
  In a system that executes a power failure process (stop / save process) when the processor 150 of the CPU device 100 detects a power failure of the active system, it is necessary to access the memory after the power failure warning signal 011 is detected. is there.
[0071]
  Specifically, the register value in the processor 150 and the data in the cache 150 are saved in the local memory 110 at the time of a power failure, the memory is accessed by power failure processing from an I / O other than the CPU device 100, or the so-called death to the shared memory 111 is performed. Since data such as information is written and a transfer report process to the standby CPU device 200 occurs, a certain processing time is required until the memory bus 112 is disconnected in order to execute these processes reliably. Because it becomes.
[0072]
  In the second embodiment, in order to manage these timings, the other system monitoring unit 121 includes a timer unit, and controls to output the power protection control signal 126 after the time measured by the timer unit. Equipped with.
[0073]
  The time set here depends on the processing time of the software and is determined by the promise between the hardware side and the software side. As software processing, power failure and evacuation processing must be completed within this time.
[0074]
  (C) When the power generation protection control signal 126 is detected after the power failure warning signal 011 is input, the timing generation circuit 140 outputs the memory protection request signal 141, disconnects the memory bus 112, and shifts to the refresh operation by the external refresh control unit 160. .
[0075]
  Up to this point, the matching operation by writing to the shared memory 111 has been stopped, but the buffer 122 in the DCM control unit 120 contains data to be transferred to the standby CPU device 200. From then on, the DCM control unit 120 continues to match these data until the timing of the power failure signal 012 output from the power supply device 011.
[0076]
  (D) When the transfer request signal 301 by the standby software processing is received at the timing after (C), the other system monitoring unit 121 in the DCM control unit 120 executes the execution to the standby CPU device 200. Issue a response command indicating that the system is in an indefinite period due to a power failure.
[0077]
  Therefore, the standby CPU device 200 determines that the transfer request is made during an indefinite data period,Stop the matching operation.
[0078]
  For the error processing after the standby CPU device 200 receives the error command, a procedure such as reporting an error to the host processor can be considered, but the present invention is not limited to this procedure.
[0079]
  Moreover, although the response procedure at the time of a power failure was demonstrated in this Embodiment 2, this invention is not limited to the operation | movement at the time of a power failure. Similarly, when a response command indicating that the execution system is being switched is reported to the standby CPU apparatus 200, the standby CPU apparatus 200 also determines the status of the execution system based on the response result. JudgingStop the matching operation.
[0080]
  (E) After detecting the power failure signal 012 from the power supply device 010, the other system monitoring unit 121 in the DCM control unit 120 outputs a command to disconnect the DCM bus 300. Therefore, the DCM control unit 120 is completely disconnected from the standby CPU device 200.
[0081]
  In the second embodiment, according to a transfer request from the standby systemdata transferThe power protection control signal 126 is output to the timing generation circuit 140 so that the memory bus 112 is not disconnected in the middle ofMatching behaviorAt the time of termination, the memory bus 112 is switched to the external refresh control unit 160 to perform the refresh operation, the unit to prevent the power failure of both systems as in the first embodiment, and the DCM control unit 120 in the DCM control unit 120 after the memory bus 112 is disconnected. When only the data stored in the buffer 122 is transferred and the transfer request signal 301 issued from the other CPU device 200 is received during the indefinite data period, the execution CPU device 100 responds with an error command, Since a means for reporting to the standby system CPU device 200 that the indefinite data period is being provided is provided, the standby system power supply device 020 is protected from power shutdown when the execution system power supply is interrupted, and both system power supplies are prevented from being down. it can.
[0082]
  Further, even when the software of the standby CPU device 200 issues a data transfer request in the shared memory 111 during the memory bus 112 disconnection period, the standby CPU device 200 returns an error response from the executing CPU device 100. When received, transfer of indefinite data to the standby CPU device 200 can be prevented by hardware.
[0083]
  Since the software reads the status register of the other system monitoring unit 121 and determines the power-off without using an interrupt as in the conventional method, the software process is given priority and the influence on the control process can be reduced.
Embodiment 3
[0084]
  FIG. 3 is a block diagram showing an internal configuration of the CPU device 100 according to the third embodiment of the duplex system according to the present invention.
[0085]
  The internal configuration of the other system monitoring unit 121 is basically the same as that of the first embodiment, except that it has a function of monitoring the transfer request signal 301 from the standby system CPU device 200 and the operation state. . Therefore, it is possible to prevent hardware from transferring undefined data when the transfer request signal 301 is received from the standby system during the undefined data period, which is a problem in the conventional method.
[0086]
  FIG. 6 is a timing chart showing the operation timing after a power failure in Embodiment 3 of the duplex system according to the present invention. FIG. 7 is a flowchart showing a processing procedure of the other system monitoring unit after a power failure in the third embodiment of the duplex system according to the present invention.
[0087]
  The operation of the other system monitoring unit 121 in the DCM control unit 120 when the execution system is powered off will be described with reference to FIGS.
[0088]
  (A) After the AC input 013 due to a power failure is cut off, the software of the execution system CPU device 100 monitors the state of the power failure warning signal 011 from the power supply device 010. When the software of the execution system CPU device 100 detects the power failure notice signal 011, it issues its own power control command in the other system monitoring unit 121, and the other system monitoring unit 121 operates as follows.
[0089]
  (B) The other system monitoring unit 121 in the DCM control unit 120 is issued on the DCM bus 300 by the software processing of the standby CPU device 200.Matching behaviorIs monitored by hardware.
[0090]
  If it is determined that data transfer to the standby system has been made based on the transfer request from the standby system, the system waits until the transfer (access cycle) is completed, and detects that the transfer (access cycle) is completed. At the time, a power reset command signal to the power supply device 010 is output to the power supply device 010, and at the same time, a power failure protection control signal 126 is output to the timing generation circuit 140, and the DCM bus 300 is disconnected.
[0091]
  In the third embodiment, the procedure at the time of a power failure has been described, but the present invention is not limited to the operation at the time of a power failure. Similarly, when the bus abnormality of the memory bus 112 or the DCM bus 300 occurs, the process of disconnecting the DCM bus 300 can be performed.
[0092]
  (C) When the power generation protection control signal 126 is detected after the power failure warning signal 011 is input, the timing generation circuit 140 outputs the memory protection request signal 141, disconnects the memory bus 112, and shifts to the refresh operation by the external refresh control unit 160. .
[0093]
  By this time, the matching operation by writing to the shared memory 111 must be stopped.
[0094]
  In addition, the operation of transferring the data stored in the buffer 122 in the DCM control unit 120 to the standby system must be executed by the DCM bus 300 cutoff timing (B).
[0095]
  (D) When the transfer request signal 301 is received from the standby system at a timing subsequent to (C), the DCM bus 300 is in an electrically disconnected state. The system monitoring unit 121 does not recognize a transfer request from the standby system.
[0096]
  When the standby system CPU device 200 detects no response, it determines that the transfer is requested during an indefinite data period at the time of a power failure of the execution system and when a bus abnormality occurs,Stop the matching operation.
[0097]
  For the error processing executed by the standby CPU device 200 after this series of processing, procedures such as reporting an error to the host processor can be considered, but the present invention is not limited to these procedures.
[0098]
  As described above, in the third embodiment, a transfer request from the standby system is used.data transferThe power protection control signal 126 is output to the timing generation circuit 140 so that the memory bus 112 is not disconnected in the middle ofMatching behaviorAt the time of completion, the DCM bus 300 is disconnected, and at the same time, the memory bus 112 is switched to the external refresh control unit 160 to execute the refresh operation, and the means for preventing the power failure of both systems as in the first embodiment is provided. When the system power supply disconnection occurs, the standby system power supply apparatus 020 is protected from the power supply interruption, and the software of the standby system CPU apparatus 200 issues a data transfer request in the shared memory 111 during the disconnection period of the memory bus 112 In addition, it is possible to prevent the standby system CPU device 200 from detecting the non-response from the execution system CPU device 100 and transferring undefined data to the standby system CPU device 200 in terms of hardware.
[0099]
  In the third embodiment, the software reads the status of the other-system monitoring unit 121 and determines the power cut-off without using an interrupt as in the conventional method. Therefore, the software process is given priority and the influence on the control process is affected. Less.
【The invention's effect】
[0100]
  According to the present invention, when each multiplex system has a power source and the power source of the active system power supply is switched off to the standby system, the standby system is switched by the standby system power switch. Since it is equipped with a mechanism that protects the power supply from being shut off, it is possible to prevent simultaneous power-down of the entire system due to operational mistakes or human error.
[0101]
  In addition, the power supply status is monitored by software processing, and if a power failure notice state is detected, the CPU device can be arbitrated to control power reset and protection, so software processing has priority over conventional interrupt methods. The influence on the normal control processing can be eliminated.
[0102]
  Furthermore, in a duplex system that transfers soundness data to each other to check soundness, a transfer request signal is issued to acquire soundness data from the execution system through software processing of the standby CPU device, and the power failure of the execution system When undefined data is about to be transferred when a bus error or system plan change occurs, it is reported to the standby system with a response command corresponding to a power failure, bus error or system plan switch, and the undefined data is transferred to the standby system. This can be prevented by hardware.
[0103]
  Therefore, since the standby CPU device does not receive the unexpected indefinite data transferred from the execution system CPU device, it is not erroneously detected as an error on the execution system CPU device and the DCM bus due to the mismatch of the matching data. Mutual system can monitor each other normally.
[Brief description of the drawings]
[0104]
FIG. 1 is a system diagram showing the overall configuration of an embodiment of a duplex system according to the present invention.
FIG. 2 is a block diagram showing an internal configuration of a power supply device 010 and a CPU device 100 in Embodiment 1 of the duplex system according to the present invention.
FIG. 3 is a block diagram showing an internal configuration of a CPU device 100 in Embodiments 2 and 3 of the duplex system according to the present invention.
FIG. 4 is a timing chart showing operation timing after a power failure in Embodiment 2 of the duplex system according to the present invention.
FIG. 5 is a flowchart showing a processing procedure of another system monitoring unit after a power failure in Embodiment 2 of the duplex system according to the present invention.
FIG. 6 is a timing chart showing the operation timing after a power failure in the third embodiment of the duplex system according to the present invention.
FIG. 7 is a flowchart showing a processing procedure of another system monitoring unit after a power failure in Embodiment 3 of the duplex system according to the present invention.
FIG. 8 is a block diagram showing an internal configuration of a CPU device 100 in a conventional duplex system.
FIG. 9 is a timing chart showing operation timing after a power failure in a conventional duplex system.
[Explanation of symbols]
[0105]
010 Execution system power supply device
011 Power outage warning signal
012 Execution system power failure signal
013 Execution system AC input
014 Execution system power switch
015 Execution system power supply protection unit
016 Execution system power supply voltage
017 Execution system power cutoff switch
018 Execution system capacitor
019 execution system AND circuit
020 Standby power supply
021 Standby power failure warning signal
022 Standby power failure signal
023 Standby AC input
024 Standby power switch
025 Standby power protection unit
026 Standby power supply voltage
027  Standby power cutoff switch
028  Standby capacitor
029  Standby AND circuit
100 Execution system CPU device
110 Execution system local memory
111 Execution system shared memory
112 Execution system memory bus
120 Execution system shared data matching circuit (DCM control unit)
121 Execution system other system monitoring part
122 Execution system buffer
124 execution control register
125 Execution status register
126 Execution system power protection control signal
140 Execution System Timing Generation Circuit
141 Execution system memory protection request signal
150 Execution system processor
160 Execution system external refresh control unit
200 Standby CPU device
210 Standby local memory
211 Standby shared memory
212 Standby memory bus
220 Standby system shared data matching circuit (DCM control unit)
221 Standby system monitoring system
222 Standby buffer
224 Standby control register
225 Standby status register
226 Standby power protection control signal
240 Standby system timing generation circuit
241 Standby memory protection request signal
250 Standby processor
260 Standby external refresh control unit
300 DCM bus
301 Transfer request signal

Claims

A multiplexing system comprising an execution system and a standby system each including a CPU device and at least one power supply device, wherein shared data is transferred from the execution system to the standby system via a matching bus (DCM bus). A shared data matching circuit (DCM control unit) that transfers and matches the memory contents of all systems is provided, and the matching CPU (DCM bus) is used by the standby CPU device to acquire the shared data in the executing CPU device. In a multiplexing system that issues a transfer request signal via the CPU, transfers the shared data from the active CPU device to the standby CPU device, and matches the memory contents,
When there is a transfer request from the standby system during a period in which indefinite data is transferred due to an event such as a power failure, abnormality, or plan switching of the execution system, the execution system DCM controller ), And a control unit that outputs a response command indicating that the execution system is in an indefinite data period to the standby system.

The multiplexing system according to claim 1, wherein
When the standby CPU device issues a transfer request signal during the system switching process of the executing system and the response command received from the executing system determines that the shared data being transferred for matching at the time of system switching is invalid. A multiplexing system, which is a CPU device that stops the matching operation when it is determined that the transfer request is during a period that can be matched.

The multiplexing system according to claim 1 or 2,
The DCM control unit includes an other system monitoring unit that monitors a power failure notice signal indicating power failure from the power supply device and the matching operation state on the DCM bus,
The other system monitoring unit monitors the matching operation state of the DCM bus based on the power failure warning signal output from the power supply device when the execution system power supply is cut off, and transfers the shared data in response to a transfer request from the standby system. If it is determined that the bus is occupied, it waits until the matching operation is completed, and after determining that the matching operation is completed, it shifts to the memory backup operation of the execution system and switches to the memory backup operation. A multiplexing system characterized by being a monitoring unit that synchronizes the matching operation.

A multiplexing system comprising an execution system and a standby system each including a CPU device and at least one power supply device, wherein shared data is transferred from the execution system to the standby system via a matching bus ( DCM bus ). A shared data matching circuit ( DCM control unit ) that transfers and matches the memory contents of all systems is provided, and the matching CPU ( DCM bus ) is used for the standby CPU device to acquire shared data in the executing CPU device In a multiplexing system that issues a transfer request signal via the CPU, transfers the shared data from the active CPU device to the standby CPU device, and matches the memory contents,
The execution system CPU device outputs a command signal for disconnecting the DCM bus to the DCM control unit based on a power failure warning signal caused by an event such as a power failure, abnormality or plan change of the execution system, and simultaneously outputs a memory protection request signal Disconnecting the memory bus connecting the DCM control unit and the memory, the DCM control unit shuts off the partner system at the timing before transitioning to the memory backup operation, and for the partner system that requested the transfer after disconnecting the DCM bus And a non-response CPU device.

The multiplexing system according to claim 4, wherein
After the standby system CPU device issues a transfer request signal during the system switching process of the execution system, the shared data being transferred to match at the time of system switching becomes inconsistent due to no response from the execution system. A multiplexing system, which is a CPU device that stops the matching operation when it is determined that the request is a transfer request during an acquisition period.

The multiplexing system according to claim 4 or 5,
The DCM control unit includes an other system monitoring unit that monitors a power failure notice signal indicating power failure from the power supply device and the matching operation state on the DCM bus,
The other system monitoring unit monitors the matching operation state of the DCM bus based on the power failure warning signal output from the power supply device when the execution system power supply is cut off, and transfers the shared data in response to a transfer request from the standby system. When it is determined that the bus is occupied, it waits until the matching operation is completed. And a monitoring unit which shifts to the memory backup operation of the execution system after determining that the matching operation is completed, and synchronizes the switching to the memory backup operation and the matching operation. .