JP6046888B2 - フェイルセーフマイコン - Google Patents

Description

本発明は、同一の処理を同期して行う２系統の処理装置を含むフェイルセーフマイコンに関する。

従来、同一の処理を同期して行う２系統の処理装置を含むマイコンにおいて、各処理装置の処理データを照合する照合回路が、例えば特許文献１に開示されている。

この照合回路は、自系の処理データと他系の処理データとの一致・不一致を各処理装置において判定させると共に、処理装置毎の一致・不一致の判定結果を比較し、各処理装置での一致・不一致の判定結果が合致する場合、即ち、各処理装置が共に正常に動作している場合には交番信号を出力し、各処理装置での一致・不一致の判定結果が合致しない場合、即ち、回路のいずれかの部分で故障が発生した場合には、前記交番信号の出力を停止する。

そして、前記交番信号が出力される状態では、リレーがオンされて制御対象機器に電源が投入され、交番信号の出力が停止されると、前記リレーがオフされて前記制御対象機器への電源が遮断されるように構成される。

特開平１１−１４３８４１号公報

ところで、２系統の処理装置それぞれで自系の処理データと他系の処理データとを照合させるために、２系統の処理装置間で処理データの送受信が行われるが、この送受信される処理データにノイズが重畳するなどの外乱が発生すると、処理データの一致・不一致の判断に誤りが生じる結果、各処理装置での一致・不一致の判定結果が合致しなくなり、実際には各処理装置が正常に動作しているのに、交番信号の出力が停止され、制御対象機器の稼動率が低くなってしまうという問題があった。

本発明は上記問題点に着目してなされたものであり、ノイズなどの外乱によって動作が誤って停止されてしまうことを抑制でき、制御対象機器の稼動率を高められるフェイルセーフマイコンを提供することを目的とする。

このため、請求項１に係る発明は、同一の処理を同期して行う２系統の処理装置それぞれが、同期する照合タイミング毎に、処理データを送受して自系の処理データと他系の処理データとを照合し、正常動作時に交番信号となる照合結果を送受して自系の照合結果と他系の照合結果との組み合わせを判定し、組み合わせが正常である場合は自系の照合結果を示す交番信号の出力によって制御対象機器に電源投入し、組み合わせが異常である場合は処理データを再度送受して再照合すると共に再照合結果を送受して照合結果の組み合わせを再度判定し、照合結果の組み合わせの異常連続回数が閾値を超えたときに異常時処理によって前記制御対象機器への電源を遮断する構成とした。

かかる構成では、２系統の処理装置それぞれが、他系のデータを読み込んでデータ照合を行うと共に、他系での照合結果を読み込んでそれぞれでの照合結果の組み合わせが正常であるか異常であるかを判定し、異常判定時には、該異常判定がノイズなどの外乱によるものである可能性があるので、照合データの送受、処理データの照合、照合結果の送受、照合結果の組み合わせの判定を再度行わせる。

そして、閾値に相当する回数だけ再照合を繰り返しても、照合結果の組み合わせの異常が解消されない場合には、外乱の影響ではなく動作異常が発生しているものと推定し、処理装置が動作異常に対応する異常時処理を実行することで、制御対象機器への電源を遮断する。

また、請求項１構成において、請求項２のように、前記２系統の処理装置それぞれが、自系の処理データと該自系の処理データの反転データとを交互に連続的に他系に出力し、自系の処理データと他系の処理データとの一致・不一致を判定し、次に自系の処理データと他系の処理データの反転データとの一致・不一致を判定し、処理データの一致・不一致で異なる論理値を出力することで、正常動作時に１ビットの交番信号を出力するよう構成するとよい。

この場合、自系の処理データと、他系の処理データとを比較させると共に、自系の処理データ（ポジティブデータ）と、他系の処理データの反転データ（ネガティブデータ）とを比較させることで、正常動作時に一致・不一致の判定が繰り返されて交番信号が出力される。

上記請求項２の構成においては、請求項３のように、前記各処理装置が他系に自系の処理データを出力するタイミングで、双方の照合結果が共に処理データの一致を示す場合に正常と判断し、少なくとも一方の照合結果が処理データの不一致を示す場合に異常と判断し、前記各処理装置が他系に自系の処理データの反転データを出力するタイミングで、双方の照合結果が共に処理データの不一致を示す場合に正常と判断し、少なくとも一方の照合結果が処理データの一致を示す場合に異常と判断する構成とするとよい。

この場合、各処理装置が他系に対して自系の処理データを出力するタイミングで、それぞれの系での処理データが合致していれば、各処理装置は、共に処理データの一致を判断することになるから、少なくとも一方の照合結果が処理データの不一致を示す場合に異常と判断できる。また、各処理装置が他系に対して自系の処理データの反転データを出力するタイミングで、前記反転処理は、処理データを強制的に不一致とさせる処理であって、各処理装置は、共に処理データの不一致を判断することになるから、少なくとも一方の照合結果が処理データの一致を示す場合に異常と判断できる。

上記請求項１から請求項３のいずれか１つの構成において、請求項４のように、前記各処理装置での処理データの照合結果をそれぞれ入力し、照合結果の一致状態では前記両出力に対応する交番信号を出力し、照合結果に不一致が発生した後は、前記交番信号の出力を停止状態に保持させる信号照合手段を含み、前記信号照合手段による交番信号の出力によって前記制御対象機器に電源投入し、前記信号照合手段による交番信号の出力停止によって前記制御対象機器への電源を遮断する構成とすることができる。

かかる構成では、双方での照合結果が一致していれば交番信号が出力されて制御対象機器に電源投入され、不一致になると交番信号の出力が停止状態に保持されることで制御対象機器への電源を遮断するので、動作異常時に安全側に制御される。
また、請求項５に係る発明は、同一の処理を同期して行う２系統の処理装置それぞれが、同期する照合タイミング毎に、自系の処理データとその反転データとを交互に他系に出力し、他系から入力した処理データと自系の処理データとの一致・不一致で異なる論理値を照合結果として他系に出力し、両系の照合結果の組み合わせを判定して正常であれば自系の照合結果を信号照合手段に出力し異常であれば処理データの送受から両系の照合結果の比較までの処理を繰り返し、組み合わせ異常の連続回数が閾値を超えたときに異常時処理を実行し、前記信号照合手段は、両系が出力する照合結果の正常状態では両出力に対応する交番信号を出力し、異常時は交番信号の出力を停止状態に保持するよう構成した。

かかるフェイルセーフマイコンによれば、処理装置間で送受信される処理データにノイズが重畳するなどして、一時的に処理データが不一致状態になっても、処理データの照合を再度行わせることで、ノイズ等によって一時的に不一致になっているのか、動作異常によって継続的に不一致になっているのかを判別でき、ノイズ等の外乱の影響によって、その後の動作が停止されてしまうことを回避し、制御対象機器の稼動率が低下することを未然に防止することが可能になる。

本発明に係るフェイルセーフマイコンの一実施形態を示すブロック図 同上実施形態のフェイルセーフマイコンにおけるデータ照合部の動作を示すタイムチャート 同上実施形態のフェイルセーフマイコンにおけるデータ照合部及び照合結果判定部１７での処理を示すフローチャート 同上実施形態のフェイルセーフマイコンにおける再照合処理の実行例を示すタイムチャート

以下、本発明の実施の形態を図面に基づいて説明する。図１は、本願発明に係るフェイルセーフマイコンを示す回路図であり、このフェイルセーフマイコンは、例えば鉄道信号用情報処理システムなどに用いられる。

図１に示すフェイルセーフマイコン１は、第１ＭＣＵ（第１マイクロコントローラ）２，第２ＭＣＵ（第２マイクロコントローラ）３及び信号照合部（信号照合手段）４を含んで構成される。前記第１ＭＣＵ２及び第２ＭＣＵ３が２系統の処理装置を構成し、処理装置としての第１ＭＣＵ２及び第２ＭＣＵ３は、同一の処理を同期して行う。

前記第１ＭＣＵ２及び第２ＭＣＵ３は、外部から入力されるアナログ信号をデジタルデータに変換するＡ／Ｄ変換器１１、ＣＰＵ１２、図外のタイマやインターフェイスなどを含んで構成され、各ＭＣＵ２，３のＡ／Ｄ変換器１１には同じアナログ信号が入力され、この同じ入力信号に基づいて同一の演算処理を同期して行う。

更に、前記ＣＰＵ１２は、論理演算部１３，同期部１４，論理照合部１５としての処理機能をソフトウエアとして予め備えており、更に、前記論理照合部１５は、データ照合部（データ照合手段）１６及び照合結果判定部（照合結果判定手段）１７を含んで構成される。

前記論理演算部１３には、自系のＡ／Ｄ変換器１１の出力が入力され、該自系のＡ／Ｄ変換出力を他系の論理演算部１３に対して出力し、また、他系の論理演算部１３から出力される他系のＡ／Ｄ変換出力を入力する。そして、前記論理演算部１３は、自系のＡ／Ｄ変換出力と他系のＡ／Ｄ変換出力とを対比することで、Ａ／Ｄ変換器１１の変換ばらつきを補償する処理を行う。

具体的には、第１ＭＣＵ２側のＡ／Ｄ変換器１１の出力と第２ＭＣＵ３側のＡ／Ｄ変換器１１の出力とにずれがある場合、両データのうちより安全側であるデータに両データを揃える処理を行う。例えば、Ａ／Ｄ変換後のデジタルデータとしてより小さい方が、制御結果としてより安全側となる場合には、自系のＡ／Ｄ変換出力と他系のＡ／Ｄ変換出力との小さい方を選択し、入力デジタルデータとして出力する。

前記論理演算部１３の出力（Ａ／Ｄ変換出力）は、バス１８を介して図外の制御出力演算部に出力され、ここで、前記Ａ／Ｄ変換出力に基づき外部に出力する処理データ（制御出力）などが演算される。

また、同期部１４は、自系の演算処理における同期信号（クロック信号）を他系の同期部１４に出力し、また、他系の同期部１４から出力される他系の演算処理における同期信号（クロック信号）を入力し、自系の同期信号（クロック信号）と他系の同期信号（クロック信号）とを対比することで、第１ＭＣＵ２側の演算処理と第２ＭＣＵ３側の演算処理とを同期させる処理を行う。

具体的には、例えば第２ＭＣＵ３側の演算タイミングが第１ＭＣＵ２側に比べて遅れている場合には、第１ＭＣＵ２側の演算タイミングを遅らせて第２ＭＣＵ３側の演算タイミングと同期させるようにする。

上記のように、前記第１ＭＣＵ２及び第２ＭＣＵ３は、同じアナログ信号をＡ／Ｄ変換してそれぞれ読み込み、該Ａ／Ｄ変換出力に対して同じ処理を同期して施して、処理データを算出する。

一方、前記論理照合部１５を構成するデータ照合部１６は、前記同期部１４からの同期信号に基づいてタイミングを判断して、自系で演算された処理データ（照合データ）を他系のデータ照合部１５に出力し、また、他系のデータ照合部１５から出力される他系で演算された処理データ（照合データ）を入力する。そして、自系の処理データと他系の処理データとを対比して、処理データの一致・不一致を示す信号を、自系の照合結果判定部１７に出力する。尚、後で詳細に説明するが、前記データ照合部１６の出力は、前記ＭＣＵ２，３の正常動作時には、１ビットの交番信号として出力されるようになっている。

前記照合結果判定部１７は、自系のデータ照合部１６での照合結果（一致・不一致を示す１ビットの交番信号）を、他系の照合結果判定部１７に出力し、また、他系の照合結果判定部１７から他系のデータ照合部１６での照合結果（一致・不一致を示す１ビットの交番信号）を入力し、自系のデータ照合部１６での照合結果と他系のデータ照合部１６での照合結果との組み合わせの正常・異常を判定する。

そして、前記照合結果判定部１７は、双方の系での照合結果の組み合わせが正常であると判定した場合には、自系のデータ照合部１６の照合結果を、そのまま最終的な照合結果として外部に出力させる一方、双方の系での照合結果の組み合わせが異常であると判定した場合には、自系のデータ照合部１６に対してデータ照合の再実行（照合データの再読み込み及び再比較の実行）を指示する。前記照合結果判定部１７を介して外部に出力される、各系のデータ照合部１６での照合結果は、それぞれ信号照合部４に入力される。

信号照合部４は、第１ＭＣＵ２側での処理データの照合結果を示す交番信号と、第２ＭＣＵ３側での処理データの照合結果を示す交番信号とが一致する場合、即ち、第１ＭＣＵ２と第２ＭＣＵ３とが共に正常に動作している場合には、前記両交番信号に対応する交番信号を出力し、第１ＭＣＵ２側と第２ＭＣＵ３側とのいずれかの部分に故障が発生し、各系からの交番信号に不一致が発生すると、その後は前記交番信号の出力を停止状態に保持する回路である。

前記信号照合部４は、例えば、特開平０５−１２００４７号公報に開示されるように、遅延回路・排他的論理和回路・フリップフロップ回路などから構成される公知の回路である。

図２は、前記データ照合部１６の動作を示すタイムチャートである。各系において、処理データは、第１割込信号毎に演算され、第１割込信号に同期して演算された処理データ（ポジティブデータ）は、他系のデータ照合部１６に向けて出力され、各データ照合部１６では、自系の処理データ（ポジティブデータ）と他系の処理データ（ポジティブデータ）との一致・不一致を判断して、一致時に「１」で不一致時に「０」の１ビット信号を、比較結果出力として発生させる。

また、前記データ照合部１６は、前記第１割込信号の発生間隔の中間位置付近で出力される第２割込信号に同期して、自系で演算された処理データをビット反転させたデータ（ネガティブデータ）を、他系のデータ照合部１６に向けて出力させる。

そして、各データ照合部１６では、自系の処理データ（ポジティブデータ）と他系の処理データの反転データ（ネガティブデータ）との一致・不一致を判断して、一致時に「１」で不一致時に「０」の１ビット信号を、比較結果出力として発生させる。尚、各データ照合部１６が、一致時に「０」で不一致時に「１」の１ビット信号を出力する構成とすることができる。

上記のように、他系に向けて出力させる処理データ（照合データ）として、演算結果そのままのポジティブデータと、演算結果をビット反転させたネガティブデータとを交互に連続して出力することで、第１ＭＣＵ２側で演算された処理データと第２ＭＣＵ３側で演算された処理データとが一致する場合であっても、データ照合部１６の出力として、処理データの一致を示す論理値と、処理データの不一致を示す論理値とを交互に繰り返す交番信号が出力されるようにしてある。

即ち、第１ＭＣＵ２側及び第２ＭＣＵ３側での処理データの演算や反転処理の動作、更には、第１ＭＣＵ２側と第２ＭＣＵ３側との間での処理データの伝送経路が正常であれば、双方のデータ照合部１６から、前記第１，第２割込信号毎に変化する同じ交番信号が出力されるようにしてある。

従って、正常動作時には、各データ照合部１６からの出力を、前記信号照合部４に出力することで、前記信号照合部４から、両データ照合部１６からの交番信号に対応する交番信号が出力される。

前記信号照合部４からの交番信号は、例えばリレー駆動のために用いられ、交番信号の出力状態では、リレーがオンされて制御対象機器（例えば信号機）に電源が投入され、交番信号の出力が停止されると、前記リレーがオフされて前記制御対象機器への電源が遮断される。従って、各データ照合部１６での処理データの一致・不一致の判断が異なるようになった動作異常時に、前記制御対象機器への電源を遮断することで、安全側に制御されることになる。

前述のように、各データ照合部１６からの交番信号が異なるようになると、信号照合部４は、その後の交番信号の出力を停止状態に保持するが、自系の処理データを他系に送るための信号ラインにノイズが重畳して本来の値とは異なる値が送信されたような場合にも、各データ照合部１６からの交番信号が一時的に異なるようになることで、信号照合部４からの交番信号の出力が停止状態に保持され、前記制御対象機器の稼動率が低下してしまう。

そこで、本実施形態では、前記照合結果判定部１７を設けて、前記ノイズなどの外乱に影響されて、信号照合部４からの交番信号の出力が停止状態に保持されることを抑制できるようにしてある。

前記照合結果判定部１７には、自系のデータ照合部１６の出力信号、及び、他系のデータ照合部１６の出力信号が入力されると共に、データ照合部１６において、ポジティブデータ同士が比較されるタイミング（第１割込信号に同期した照合時期）であるか、自系のポジティブデータと他系のネガティブデータとが比較されるタイミング（第２割込信号に同期した照合時期）であるかの情報が入力される。

そして、前記照合結果判定部１７は、第１ＭＣＵ２側のデータ照合部１６での照合結果と、第２ＭＣＵ３側のデータ照合部１６での照合結果との組み合わせの正常・異常を判断し、異常判断した場合に、自系のデータ照合部１６に対して、処理データを再度読み込んで照合させる再照合指示（照合リトライ指示）を出力する。

前記照合結果の組み合わせの正常・異常の判断は、以下のようにして行われる。ポジティブデータ同士が比較されるタイミングであれば、正常動作時には、双方のデータ照合部１６は、共にデータの一致を示す論理値を出力し、自系のポジティブデータと他系のネガティブデータとが比較されるタイミングであれば、正常動作時には、双方のデータ照合部１６は、共にデータの不一致を示す論理値を出力する。

従って、前記照合結果判定部１７は、ポジティブデータ同士が比較されるタイミングでは、第１ＭＣＵ２側のデータ照合部１６での一致判定と、第２ＭＣＵ３側のデータ照合部１６での一致判定との組み合わせを正常状態として判断し、自系のポジティブデータと他系のネガティブデータとが比較されるタイミングでは、第１ＭＣＵ２側のデータ照合部１６での不一致判定と、第２ＭＣＵ３側のデータ照合部１６での不一致判定との組み合わせを正常状態として判断する。

一方、ポジティブデータ同士が比較されるタイミングにおいて、少なくとも一方のデータ照合部１６が処理データの不一致を示す論理値を出力する場合、前記照合結果判定部１７は、照合結果の組み合わせは異常であると判断する。

より具体的には、ポジティブデータ同士が比較されるタイミングにおいて、第１ＭＣＵ２側のデータ照合部１６が処理データの一致を示す論理値を出力し、第２ＭＣＵ３側のデータ照合部１６が処理データの不一致を示す論理値を出力する場合、又は、第１ＭＣＵ２側のデータ照合部１６が処理データの不一致を示す論理値を出力し、第２ＭＣＵ３側のデータ照合部１６が処理データの一致を示す論理値を出力する場合、又は、第１ＭＣＵ２側のデータ照合部１６が処理データの不一致を示す論理値を出力し、第２ＭＣＵ３側のデータ照合部１６も処理データの不一致を示す論理値を出力する場合、前記照合結果判定部１７は、照合結果の組み合わせは異常であると判断する。

同様に、自系のポジティブデータと他系のネガティブデータとが比較されるタイミングでは、少なくとも一方のデータ照合部１６が処理データの一致を示す論理値を出力する場合、前記照合結果判定部１７は、照合結果の組み合わせが異常であると判断する。

より具体的には、自系のポジティブデータと他系のネガティブデータとが比較されるタイミングにおいて、第１ＭＣＵ２側のデータ照合部１６が処理データの一致を示す論理値を出力し、第２ＭＣＵ３側のデータ照合部１６が処理データの不一致を示す論理値を出力する場合、又は、第１ＭＣＵ２側のデータ照合部１６が処理データの不一致を示す論理値を出力し、第２ＭＣＵ３側のデータ照合部１６が処理データの一致を示す論理値を出力する場合、又は、第１ＭＣＵ２側のデータ照合部１６が処理データの一致を示す論理値を出力し、第２ＭＣＵ３側のデータ照合部１６も処理データの一致を示す論理値を出力する場合、前記照合結果判定部１７は、照合結果の組み合わせは異常であると判断する。

但し、前記照合結果の組み合わせの異常は、前記ノイズなどの外乱に影響された結果である可能性があるため、照合結果の組合せについて異常判断した前記照合結果判定部１７は、自系のデータ照合部１６に対して再照合指示を出力する。前記再照合指示を受けたデータ照合部１６では、自系及び他系の照合データを再度読み込んで、自系の照合データと他系の照合データとを比較する処理を繰り返す。

そして、再照合の結果、照合結果の組み合わせが正常に戻れば、先の異常判断は外乱に影響された結果であったものと推定し、また、再照合しても照合結果の組み合わせが異常状態を保持する場合には、外乱による一時的な異常状態ではなく動作異常による継続的な異常であると判断し、前記リレー駆動（交番信号の出力）を停止させる異常処理を実行させる。

図３のフローチャートは、系毎に並行して行われる前記データ照合部１６及び照合結果判定部１７の処理の流れを示すものであり、前記第１割込信号及び第２割込信号に同期して割り込み実行される。

まず、ステップＳ１０１では、他系のデータ照合部１６に照合データを出力する処理を行い、次のステップＳ１０２では、他系のデータ照合部１６から出力される照合データを入力する処理を行う。

前述のように、各データ照合部１６は、ポジティブデータ同士を比較させるタイミングであれば、自系のポジティブデータを他系のデータ照合部１６に照合データとして出力し、他系のポジティブデータを照合データとして入力する。一方、自系のポジティブデータと他系のネガティブデータとを比較させるタイミングであれば、自系のネガティブデータを他系のデータ照合部１６に照合データとして出力し、他系のネガティブデータを照合データとして入力する。

ステップＳ１０３では、各データ照合部１６で、自系の処理データと他系の処理データとの一致・不一致を判断する照合動作を行い、次のステップＳ１０４で、処理データの一致状態と不一致状態とで異なる論理値を、照合結果として他系の照合結果判定部１７に出力する。

ステップＳ１０５では、他系のデータ照合部１６での処理データの照合結果を入力し、ステップＳ１０６では、各データ照合部１６での照合結果の組み合わせが正常であるか否かを判断する。ここで、ポジティブデータ同士を比較させるタイミングであれば、双方の照合結果が共に処理データの一致を示していれば、照合結果の組み合わせが正常であると判断し、少なくとも一方の照合結果が処理データの不一致を示していれば、照合結果の組み合わせが異常であると判断する。

また、自系のポジティブデータと他系のネガティブデータとを比較させるタイミングであれば、双方の照合結果が共に処理データの不一致を示していれば、照合結果の組み合わせが正常であると判断し、少なくとも一方の照合結果が処理データの一致を示していれば、照合結果の組み合わせが異常であると判断する。

ステップＳ１０６で、照合結果の組み合わせが正常であると判断されると、ステップＳ１０７へ進み、自系のデータ照合部１６の出力を最終照合結果として、前記信号照合部４に出力する。次のステップＳ１０８では、再照合の回数を計数するエラーカウンタの値を零にクリアし、データ照合処理を終了させる。

一方、ステップＳ１０６で、照合結果の組み合わせが異常であると判断されると、ステップＳ１０９へ進み、前記エラーカウンタの値を１だけ増大させ、次のステップＳ１１０では、前記増大設定後のエラーカウンタの値が閾値を超えているか否かを判断する。尚、前記閾値は、例えば３程度とする。

そして、エラーカウンタの値が閾値以下であれば、ステップＳ１０１へ戻り、処理データの照合、即ち、ステップＳ１０１〜ステップＳ１０５における照合データの出力・入力、処理データの照合、照合結果の出力・入力を再度実行させ、ステップＳ１０６では、再照合させた結果、照合結果の組み合わせが正常になったか否かを判断する。

例えば、ノイズなどの外乱の影響で、他系から読み込んだ処理データが実際値とは異なる値になり、照合結果の組み合わせが異常になった場合、再度の読込みによって他系の処理データを正常に読み込むことができれば、照合結果の組み合わせが正常に戻ることになる。そして、再照合によって照合結果の組み合わせが正常に戻れば、ステップＳ１０６からステップＳ１０７へ進んで、再照合結果を最終照合結果として出力させる。

一方、再照合を行わせても、引き続き照合結果の組み合わせが異常のままである場合には、ステップＳ１０９へ進んで、前記エラーカウンタの値を更に１だけ増大させ、ステップＳ１１０へ進む。そして、ステップＳ１１０で前記エラーカウンタの値が未だ閾値以下であると判断されると、ステップＳ１０１へ戻ってデータ照合を再度実行させる。

即ち、照合結果の組み合わせが異常である場合には、データ照合の再実行を前記閾値の回数だけ行わせ、再実行回数が閾値を超える前に、照合結果の組み合わせが正常に戻れば、ノイズなどの外乱による一時的な異常であったものと判断して、正常に戻った結果を最終照合結果として出力させる。

従って、ノイズなどの外乱に影響されて一時的に異常になっても、交番出力の発生状態に直ぐに復帰させることができ、前記一時的な異常によって、交番信号の出力が停止されて、リレーがオフされてしまうことを抑制できる。

一方、前記エラーカウンタ（再実行回数）が閾値を超えていると、ステップＳ１１０で判断された場合には、照合結果の組み合わせが異常である状態が、ノイズなどの外乱による一時的なものではなく、自系及び／又は他系のＭＣＵの動作異常によるものであると判断し、ステップＳ１１１へ進んで、自系のＭＣＵの制御動作を停止させる異常処理を実行する。

前記異常処理としては、外部入力に基づく処理データの演算を停止し、処理データを予め設定された安全側の値に固定したり、第１ＭＣＵ２側のデータ照合部１６での照合結果と第２ＭＣＵ３側のデータ照合部１６での照合結果とが異なる場合には、その状態をそのまま最終照合結果として出力することで、信号照合部４からの交番信号の出力を停止させたりする処理などがある。

そして、信号照合部４の出力でリレーを駆動する場合には、前記異常時処理によってリレーがオフされ、制御対象機器に対する電源投入が遮断されるから、安全側に制御されることになる。

図４は、ノイズなどの影響によって各系での照合結果の組合せが異常となった場合における再照合動作を示し、第１ＭＣＵ２が、第２ＭＣＵ３側からネガティブデータを読み込むタイミングであるのに、ノイズなどの外乱で第２ＭＣＵ３側のポジティブデータをそのまま照合データとして読み込んだ場合の例である。

時刻ｔ１で、第１ＭＣＵ２側のデータ照合部１６で、第１ＭＣＵ２側の処理データポジティブデータＡ１と、第２ＭＣＵ３側のポジティブデータＡ２とが比較されることで、一致の判断がなされる一方、第２ＭＣＵ３側のデータ照合部１６で、第１ＭＣＵ２側のネガティブデータＡ１と、第２ＭＣＵ３側のポジティブデータＡ２とが比較されることで、不一致の判断がなされる。

従って、時刻ｔ１では、照合結果の組合せが一致と不一致とであるため、異常判断がなされて、再照合指示が、第１ＭＣＵ２側の照合結果判定部１７から、同じ第１ＭＣＵ２側のデータ照合部１６に出力される。

前記ノイズ影響は時刻ｔ２の時点で消滅するが、時刻ｔ１と時刻ｔ２との間での再照合処理では、時刻ｔ１での照合結果と同じになり、照合結果の組合せは異常のまま保持されることになる。

しかし、時刻ｔ２を過ぎた時刻ｔ３の時点で再照合が行われると、ノイズ影響が既に消滅し、第２ＭＣＵ３側の照合データは本来のネガティブデータＡ２に戻っているので、双方の系での照合結果が共に不一致になり、かつ、時刻ｔ３の時点は、未だ自系のポジティブデータと他系のネガティブデータとを比較する期間内であるから、共に不一致の判断を下したことは、各ＭＣＵ２，３が正常動作していることを示す。

従って、時刻ｔ３の時点で照合結果の組合せが正常であると判断され、第１ＭＣＵ２側の照合結果判定部１７の出力は、それまでの一致を示す論理値から、不一致を示す論理値に切り換り、第２ＭＣＵ３側での照合結果と同じ値に復帰し、信号照合部４からの交番信号の出力が継続されることになる。

ここで、再照合によって照合結果の組合せが正常に戻ったとしても、図４に示す例での時刻ｔ１から時刻ｔ３までの間のように、ノイズ影響で一方の系での照合結果が一致で、他方の系での照合結果が不一致である状態が発生する。

しかし、閾値の回数だけ再照合を繰り返したとしても、係る再照合に要する時間は、処理データの出力時間（図４における時間ｔＤ）に比して充分に短いため、再照合を繰り返している間に処理データが切り換ってしまうことはなく、処理データ毎に照合を終えることができる。

また、再照合に要する時間は、リレーがオンからオフ状態に切り換る機械的動作時間に対しても充分に短いため、第１ＭＣＵ２側のデータ照合部１６からの交番信号と第２ＭＣＵ３側のデータ照合部１６からの交番信号とが異なる期間で、信号照合部４がリレーをオフさせるべく動作したとしても、再照合に要する時間で実際にリレーがオフ状態に移行することはなく、電源の瞬断は回避される。

また、信号照合部４が、特開平０５−１２００４７号公報に開示されるように、遅延回路・排他的論理和回路・フリップフロップ回路などで構成される場合においては、各系のデータ照合回路１６の一方からの交番信号と、他方のデータ照合回路１６の交番信号を遅延回路で遅延させた信号とを、排他的論理和回路に入力させて、交番信号の切り換り毎のクロック信号を発生させる。

しかし、係る構成の信号照合部４を用いる場合であっても、前記再照合に要する時間は、前記遅延回路による遅延時間よりも短いため、前記クロック信号の発生処理においては無視できる程度の時間であり、再照合を行っている期間で、各系の照合結果が異なっていたとしても、信号照合部４からの交番信号の出力が停止状態に保持されるようになることはない。

また、照合結果判定部１７が、前回の処理データに対する照合結果を、今回の処理データ出力中に最終照合結果として出力するよう構成すれば、再照合に要する時間が、処理データの出力時間ｔＤ以下であれば、最終照合結果として外乱に影響されない信号を出力させることができ、再照合の時間及び回数をより多く確保することが可能となる。

以上のように、本実施形態のフェイルセーフマイコンによると、ノイズなどの外乱に影響されて動作が停止してしまうことが抑制され、制御対象機器の稼動率を高めることができる。

尚、前記照合結果判定部１７からの再照合指示による再照合は、連続的に繰り返すようにしても良いし、前回の再照合タイミングから所定時間が経過するのを待って、次回の再照合を実行させてもよく、更に、前記所定時間を、再照合の回数などに応じて可変としてもよい。

また、双方の系に共通のＡ／Ｄ変換器１１を備え、共通の入力デジタルデータに基づいて同一の処理を同期して行う２系統の処理装置（マイクロプロセッサユニットＭＰＵ）を含んでフェイルセーフマイコンを構成することができる。

また、信号照合部４の出力で、リレーを駆動する構成に限定されるものではなく、例えば、負荷の駆動回路を前記信号照合部４の出力で制御する構成であってもよい。

１ フェイルセーフマイコン
２ 第１ＭＣＵ（第１マイクロコントローラ、処理装置）
３ 第２ＭＣＵ（第２マイクロコントローラ、処理装置）
４ 信号照合部（信号照合手段）
１１ Ａ／Ｄ変換器
１２ ＣＰＵ
１３ 論理演算部
１４ 同期部
１５ 論理照合部
１６ データ照合部（データ照合手段）
１７ 照合結果判定部（照合結果判定手段）

Claims (5)

1. 同一の処理を同期して行う２系統の処理装置それぞれが、同期する照合タイミング毎に、処理データを送受して自系の処理データと他系の処理データとを照合し、正常動作時に交番信号となる照合結果を送受して自系の照合結果と他系の照合結果との組み合わせを判定し、組み合わせが正常である場合は自系の照合結果を示す交番信号の出力によって制御対象機器に電源投入し、組み合わせが異常である場合は処理データを再度送受して再照合すると共に再照合結果を送受して照合結果の組み合わせを再度判定し、照合結果の組み合わせの異常連続回数が閾値を超えたときに異常時処理によって前記制御対象機器への電源を遮断する、フェイルセーフマイコン。
2. 前記２系統の処理装置それぞれが、自系の処理データと該自系の処理データの反転データとを交互に連続的に他系に出力し、自系の処理データと他系の処理データとの一致・不一致を判定し、次に自系の処理データと他系の処理データの反転データとの一致・不一致を判定し、処理データの一致・不一致で異なる論理値を出力することで、正常動作時に１ビットの交番信号を出力する、請求項１記載のフェイルセーフマイコン。
3. 前記各処理装置が他系に自系の処理データを出力するタイミングで、双方の照合結果が共に処理データの一致を示す場合に正常と判断し、少なくとも一方の照合結果が処理データの不一致を示す場合に異常と判断し、
   前記各処理装置が他系に自系の処理データの反転データを出力するタイミングで、双方の照合結果が共に処理データの不一致を示す場合に正常と判断し、少なくとも一方の照合結果が処理データの一致を示す場合に異常と判断する、請求項２記載のフェイルセーフマイコン。
4. 前記各処理装置での処理データの照合結果をそれぞれ入力し、照合結果の一致状態では前記両出力に対応する交番信号を出力し、照合結果に不一致が発生した後は、前記交番信号の出力を停止状態に保持させる信号照合手段を含み、前記信号照合手段による交番信号の出力によって前記制御対象機器に電源投入し、前記信号照合手段による交番信号の出力停止によって前記制御対象機器への電源を遮断する、請求項１から請求項３のいずれか１つに記載のフェイルセーフマイコン。
5. 同一の処理を同期して行う２系統の処理装置それぞれが、同期する照合タイミング毎に、自系の処理データとその反転データとを交互に他系に出力し、他系から入力した処理データと自系の処理データとの一致・不一致で異なる論理値を照合結果として他系に出力し、両系の照合結果の組み合わせを判定して正常であれば自系の照合結果を信号照合手段に出力し異常であれば処理データの送受から両系の照合結果の比較までの処理を繰り返し、組み合わせ異常の連続回数が閾値を超えたときに異常時処理を実行し、
   前記信号照合手段は、両系が出力する照合結果の正常状態では両出力に対応する交番信号を出力し、異常時は交番信号の出力を停止状態に保持する、フェイルセーフマイコン。