JP2014153902A

JP2014153902A - 二重化システム

Info

Publication number: JP2014153902A
Application number: JP2013022838A
Authority: JP
Inventors: Yoshiko Sato; 佳子佐藤
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2013-02-08
Filing date: 2013-02-08
Publication date: 2014-08-25

Abstract

【課題】稼働ＣＰＵと待機ＣＰＵの内部データの等値化を迅速に行うことができる信頼性の高い二重化システムを提供する。
【解決手段】入力モジュール３からバス５に出力されたデータを稼働状態の第１のＣＰＵ１が取り込んだタイミングで、待機状態の第２のＣＰＵ２がバス５から同データを取り込む。また、第１のＣＰＵ１がバス５を介して出力モジュール４へデータを出力したタイミングで、第２のＣＰＵ２がバス５から同データを取り込む。これにより、稼働状態の第１のＣＰＵ１が出力したデータを出力モジュール４が一時的に保持し、これを待機状態の第２のＣＰＵ２が取り込んでいた従来の二重化システムに比べ、第１及び第２のＣＰＵ１、２の内部データの等値化を迅速に行うことができ、等値化にタイムラグが発生しない。
【選択図】図１

Description

本発明は、二重化システムに関し、特にその演算処理装置の系切替機能向上に関する。

社会インフラに適用される監視制御システム等の信頼性向上策として、演算処理装置（以下ＣＰＵ）を多重化する方式がある。この方式では、ＣＰＵを二台以上用意しておき、一台を稼動状態、他を待機状態とし、稼動ＣＰＵの動作に異常が発生した場合には、待機ＣＰＵの一台を稼動状態に切り替える。これにより、システムの稼動中に稼動ＣＰＵに故障等の異常が発生した場合でも動作を継続させることができ、システムの信頼性を向上させることができる。ＣＰＵを二台使用する構成が二重化システムである。

従来の二重化システムにおいては、稼動ＣＰＵと待機ＣＰＵは、外部装置との間でデータの入出力を行うための入出力モジュールを共用しており、それらは稼動ＣＰＵによって制御されている。また、稼動ＣＰＵと待機ＣＰＵは互いの状態を監視し合っており、稼動ＣＰＵに異常が発生した場合には待機ＣＰＵが稼動状態に切り替わり、入出力モジュールは新たな稼動ＣＰＵによって制御されるようになる。この時、新たな稼動ＣＰＵが動作を継続するためには、切り替わった時点で前の稼動ＣＰＵの状態を引き継いでいる必要がある。このため、稼動ＣＰＵが動作している状態において、稼動ＣＰＵと待機ＣＰＵ各々の内部データを等値化しておく必要がある。

二重化システムにおけるデータの等値化の方法として、例えば特許文献１では、ＣＰＵから出力モジュールに伝送するデータに共有マスクデータを付加し、稼動ＣＰＵから出力する場合には共有マスクデータを有効にして出力モジュールからそのままデータを出力する。一方、待機ＣＰＵから出力する場合には共有マスクデータを無効にし、待機ＣＰＵは、稼働ＣＰＵから出力されたデータを出力モジュールから参照入力するように制御されている。また、入力モジュールから伝送されるデータについては、双方のＣＰＵが取り込むようにすることで、二台のＣＰＵの内部データを等値化している（図３参照）。

特開２００２−１４０２０６号公報

二重化システムにおいては、システムの動作を継続して行うために系切替時間の短縮化を図る必要があり、内部データの等値化は常時、速やかになされていることが望ましい。しかしながら、上記特許文献１では、稼動ＣＰＵが出力したデータを一旦出力モジュールが保持し、出力モジュールを介して待機ＣＰＵが該データを入力しているため、稼動ＣＰＵと待機ＣＰＵの内部データの等値化にタイムラグが生じている。稼働ＣＰＵと待機ＣＰＵの内部データが等値化されていない状態では、速やかな系切替が困難であり、二重化システムとしての信頼性に問題があった。

本発明は、上記のような課題を解決するためになされたものであり、稼働ＣＰＵと待機ＣＰＵの内部データの等値化を迅速に行うことができる信頼性の高い二重化システムを提供することを目的とする。

本発明に係る二重化システムは、二台のＣＰＵを有し、一方を稼働状態、他方を待機状態として動作させ、稼働状態のＣＰＵに異常が生じた場合には待機状態のＣＰＵを稼働状態に切り替えるよう構成された二重化システムであって、二台のＣＰＵに共有され外部装置から二台のＣＰＵにデータを入力する入力モジュールと、二台のＣＰＵに共有され稼働状態のＣＰＵが出力したデータを外部装置へ出力する出力モジュールと、二台のＣＰＵ、入力モジュール及び出力モジュールを接続し、稼働状態のＣＰＵをマスターとしそれ以外をスレーブとして動作するマスター／スレーブ構成のバスを備え、各ＣＰＵはバスの状態を監視しており、入力モジュールからバスに出力されたデータを稼働状態のＣＰＵが取り込んだタイミングで待機状態のＣＰＵがバスから同データを取り込み、稼働状態のＣＰＵがバスを介して出力モジュールへデータを出力したタイミングで待機状態のＣＰＵがバスから同データを取り込むものである。

本発明によれば、稼働状態のＣＰＵがバスを介して出力モジュールへデータを出力したタイミングで待機状態のＣＰＵがバスから同データを取り込むようにしたので、稼働状態のＣＰＵが出力したデータを出力モジュールが一時的に保持し、これを待機状態のＣＰＵが取り込んでいた従来の二重化システムに比べ、二台のＣＰＵの内部データの等値化を迅速に行うことができ、信頼性の高い二重化システムが得られる。

本発明の実施の形態１に係る二重化システムの構成とデータの流れを示す図である。本発明の実施の形態１に係る二重化システムにおける第１及び第２のＣＰＵの等値化処理動作を説明する図である。従来の二重化システムの構成とデータの流れを示す図である。従来の二重化システムにおける第１及び第２のＣＰＵの等値化処理動作を説明する図である。本発明の実施の形態２に係る二重化システムの構成とデータの流れを示す図である。本発明の実施の形態３に係る二重化システムの構成とデータの流れを示す図である。本発明の実施の形態４に係る二重化システムの構成とデータの流れを示す図である。本発明の実施の形態５に係る二重化システムの構成とデータの流れを示す図である。

実施の形態１．
以下に、本発明の実施の形態１に係る二重化システムについて、図面に基づいて説明する。図１は、本実施の形態１に係る二重化システムの構成とデータの流れを示している。本実施の形態１に係る二重化システムは、第１のＣＰＵ１と第２のＣＰＵ２の二台のＣＰＵを有し、一方を稼働状態、他方を待機状態として動作させ、稼働状態のＣＰＵに異常が生じた場合には、待機状態のＣＰＵを稼働状態に切り替えるよう構成されている。なお、以下の説明では、第１のＣＰＵ１を稼働状態、第２のＣＰＵ２を待機状態とする。

図１に示すように、第１及び第２のＣＰＵ１、２、入力モジュール３、及び出力モジュール４は、マスター／スレーブ構成のバス５で接続されている。バス５は、稼働状態の第１のＣＰＵ１をマスターとし、それ以外をスレーブとして動作するもので、バス５上のデータの流れはマスターによりコントロールされる。マスター及び各スレーブは、バス５の状態を監視しており、データの流れるタイミングを把握できるため、バス５上のデータを参照することができる。

第１及び第２のＣＰＵ１、２は、内部に全く同一のプログラム及び各種システムを制御するための定義情報を有している。また、第１及び第２のＣＰＵ１、２は各々、バス５から取り込んだデータを格納する入力データ記憶領域１１、２２と、バス５に出力するデータを格納する出力データ記憶領域１２、２２を有している。また、第１及び第２のＣＰＵ１、２は、バスインタフェース（図示せず）によりバス５と接続されている。

入力モジュール３は、第１及び第２のＣＰＵ１、２に共有され、外部装置（図示せず）からのデータをバス５に出力し（図１中、Ａで示す）、第１のＣＰＵ１及び第２のＣＰＵ２は該データを入力する（図１中、Ａ１、Ａ２で示す）。また、出力モジュール４は、第１及び第２のＣＰＵ１、２に共有され、稼働状態の第１のＣＰＵ１がバス５に出力したデータを取り込み、外部装置へ出力する（図１中、Ｂ、Ｂ１で示す）。また、第１のＣＰＵ１がバス５に出力したデータは、バス５から第２のＣＰＵ２に取り込まれ参照入力される（図１中、Ｂ２で示す）。

本実施の形態１に係る二重化システムにおける第１のＣＰＵ１と第２のＣＰＵ２の等値化処理動作について、図２を用いて説明する。稼働状態の第１のＣＰＵ１は、ステップ１０（Ｓ１０）において、入力モジュール３に対しバス５へのデータ出力を指示し、ステップ１１（Ｓ１１）において、入力モジュール３からバス５に出力されたデータを取り込み、入力データ記憶領域１１に格納する。

一方、待機状態の第２のＣＰＵ２は、Ｓ１１において入力モジュール３からバス５に出力されたデータを第１のＣＰＵ１が取り込んだタイミングで、ステップ２１（Ｓ２１）において、バス５から同データを取り込み、入力データ記憶領域２１に格納する。

また、第１のＣＰＵ１が出力データ記憶領域１２に格納しているデータをバス５に出力する際には、第１のＣＰＵ１は、出力モジュール４に対しデータ取り込みを指示し、ステップ１２（Ｓ１２）において、バス５を介して出力モジュール４にデータを出力する。出力モジュール４はバス５から同データを取り込み、外部装置に出力する。

一方、第２のＣＰＵ２は、バス５の状態を監視しており、Ｓ１２において第１のＣＰＵ１がバス５を介して出力モジュール４にデータを出力したタイミングで、ステップ２２（Ｓ２２）において、同データをバス５から取り込み、出力データ記憶領域２２に参照入力する。

次に比較例として、従来の二重化システムにおける等値化処理動作について、図３及び図４を用いて説明する。なお、図３中、図１と同一部分には同一符号を付している。従来の二重化システムにおいて、入力モジュール３がバス５に出力したデータを、第１のＣＰＵ１及び第２のＣＰＵ２が取り込む方法は本実施の形態１と同様である（図３中、Ａ、Ａ１、Ａ２で示す）。

一方、従来システムにおいて、稼働状態の第１のＣＰＵ１がバス５に出力したデータは出力モジュール４に取り込まれ（図３中、Ｂで示す）、外部装置へ出力される。第２のＣＰＵ２は、同データを出力モジュール４から参照入力する（図３中、Ｂ３で示す）。

図４は、従来の二重化システムにおける第１のＣＰＵ１と第２のＣＰＵ２の等値化処理動作の流れを示している。図４において、ステップ２３（Ｓ２３）以外の処理は図２と同様であり、稼働状態の第１のＣＰＵ１は、Ｓ１０において、入力モジュール３に対しバス５へのデータ出力を指示し、Ｓ１１において、バス５に出力されたデータを取り込み入力データ記憶領域１１に格納する。待機状態の第２のＣＰＵ２は、Ｓ１１と同じタイミングで、Ｓ２１において、バス５から同データを取り込み、入力データ記憶領域２１に格納する。

また、第１のＣＰＵ１が出力データ記憶領域１２に格納しているデータをバス５に出力する際には、第１のＣＰＵ１は、出力モジュール４に対しデータ取り込みを指示し、Ｓ１２において、バス５を介して出力モジュール４にデータを出力する。出力モジュール４はバス５から同データを取り込み、外部装置に出力する。第２のＣＰＵ２は、ステップ２３（Ｓ２３）において、出力モジュール４から出力された同データをバス５から取り込み、出力データ記憶領域２２に参照入力する。

図４に示すように、従来システムでは、Ｓ１２において第１のＣＰＵ１が出力モジュール４に出力したデータは、出力モジュール４に一旦保持された後、Ｓ２３において第２のＣＰＵ２に参照入力される。このため、第１のＣＰＵ１と第２のＣＰＵ２の間に、データ等値化のタイムラグが生じている。

以上のように、本実施の形態１では、第１のＣＰＵ１と第２のＣＰＵ２の二台のＣＰＵを有し、一方を稼働状態、他方を待機状態として動作させる二重化システムにおいて、第１及び第２のＣＰＵ１、２、入力モジュール３及び出力モジュール４を、稼働状態の第１のＣＰＵ１をマスターとしそれ以外をスレーブとして動作するマスター／スレーブ構成のバス５で接続し、入力モジュール３からバス５に出力されたデータを稼働状態の第１のＣＰＵ１が取り込んだタイミングで待機状態の第２のＣＰＵ２がバス５から同データを取り込み、第１のＣＰＵ１がバス５を介して出力モジュール４へデータを出力したタイミングで第２のＣＰＵ２がバス５から同データを取り込むようにした。

これにより、稼働状態の第１のＣＰＵ１が出力したデータを出力モジュール４が一時的に保持し、これを待機状態の第２のＣＰＵ２が取り込む従来の二重化システムに比べ、第１のＣＰＵ１と第２のＣＰＵ２の内部データの等値化を迅速に行うことができ、内部データの等値化にタイムラグが発生しない。その結果、第１及び第２のＣＰＵ１、２の系切替時間を短縮することができ、系切替機能の向上が図られ、信頼性の高い二重化システムが得られる。

実施の形態２．
図５は、本発明の実施の形態２に係る二重化システムの構成とデータの流れを示している。なお、図５中、図１と同一部分には同一符号を付し、説明を省略する。本実施の形態２に係る二重化システムは、上記実施の形態１と同様の構成に加え、第１及び第２のＣＰＵ１、２の系切替時間をさらに短縮するために、第１及び第２のＣＰＵ１、２に出力監視部１３、２３を設けたものである。

本実施の形態２では、第１及び第２のＣＰＵ１、２の系切替動作を制御する装置として、出力監視部１３、２３を備えている。なお、ここでは第１のＣＰＵ１が稼働状態であるため、第１のＣＰＵ１からのデータ出力を待機状態の第２のＣＰＵ２の出力監視部２３が監視する。ただし、第１及び第２のＣＰＵ１、２の内部構成は全く同一のものであり、第１のＣＰＵ１も出力監視部１３を備えている。

出力監視部２３は、稼働状態の第１のＣＰＵ１からのデータ出力が所定時間以上無い場合、第１のＣＰＵ１が異常であると判断し、待機状態の第２のＣＰＵ２が稼働状態に切り替わるよう制御する。第２のＣＰＵ２が稼働状態となった後は、第２のＣＰＵ２からのデータ出力を、待機状態の第１のＣＰＵ１の出力監視部１３が監視する。

本実施の形態２によれば、上記実施の形態１と同様の効果に加え、待機状態の第２のＣＰＵ２の出力監視部２３により、稼働状態の第１のＣＰＵ１の状態を監視するようにしたので、第１のＣＰＵ１の異常を迅速に検出することができ、系切替時間を短縮することが可能となり、系切替機能の向上が図られる。

実施の形態３．
図６は、本発明の実施の形態３に係る二重化システムの構成とデータの流れを示している。なお、図６中、図１と同一部分には同一符号を付し、説明を省略する。本実施の形態３に係る二重化システムは、上記実施の形態１と同様の構成に加え、第１及び第２のＣＰＵ１、２の系切替時間を短縮するために、第１及び第２のＣＰＵ１、２の状態を監視し必要に応じて系切替の指示を出力する系切替制御部６を設けたものである。

第１及び第２のＣＰＵ１、２は、自身の系状態（稼働／待機、正常／異常）を示す信号を出力する系状態出力部１４、２４を備えている。系切替制御部６は、各系状態出力部１４、２４から出力される信号を所定の間隔で取り込み（図６中、Ｃ１で示す）、各ＣＰＵ１、２が稼働状態と待機状態のどちらであるか、及び正常状態と異常状態のどちらであるかを監視している。

さらに、系切替制御部６は、稼働状態の第１のＣＰＵ１が異常状態であり且つ待機状態の第２のＣＰＵ２が正常状態であると判断した場合、第１のＣＰＵ１を待機状態とし、第２のＣＰＵ２を稼働状態に切り替える指示を、第１及び第２のＣＰＵ１、２に出力する。

本実施の形態３によれば、上記実施の形態１と同様の効果に加え、第１及び第２のＣＰＵ１、２それぞれの系状態を監視制御する系切替制御部６を設け、この系切替制御部６により第１及び第２のＣＰＵ１、２の系切替を指示するようにしたので、稼働状態の第１のＣＰＵ１に異常が発生した場合、待機状態の第２のＣＰＵ２からの応答を待たずに、即座に系切替を指示することができ、系切替時間を短縮することが可能となり、系切替機能の向上が図られる。

また、第１及び第２のＣＰＵ１、２の系状態に関する情報を系切替制御部６に集約しているため、第１及び第２のＣＰＵ１、２の状態や系情報を得たい場合は系切替制御部６を確認すれば良く、容易且つ迅速に情報を得ることができる。さらに、系切替制御部６に系切替スイッチを設け、第１及び第２のＣＰＵ１、２の系状態を手動で切り替えられるようにすることで、切替制御を必要とする試験を容易に行うことができる。

実施の形態４．
図７は、本発明の実施の形態４に係る二重化システムの構成とデータの流れを示している。なお、図７中、図６と同一部分には同一符号を付し、説明を省略する。本実施の形態４に係る二重化システムは、上記実施の形態３と同様に、第１及び第２のＣＰＵ１、２それぞれの系状態を監視制御する系切替制御部６を備え、さらに、系切替制御部６に、第１及び第２のＣＰＵ１、２に入力されたデータを比較し、等値化が正常になされているかを確認する入力データチェック部６１を設けたものである。

入力データチェック部６１は、第１及び第２のＣＰＵ１、２各々の入力データ記憶領域１１、２１及び出力データ記憶領域１２、２２に格納されたデータを取り込む機能を有している（図７中、Ｃ２で示す）。入力データチェック部６１は、第１のＣＰＵ１の入力データ記憶領域１１のデータと、第２のＣＰＵ２の入力データ記憶領域２１のデータを比較すると共に、第１のＣＰＵ１の出力データ記憶領域１２のデータと、第２のＣＰＵ２の出力データ記憶領域２２のデータを比較する。それらのデータが一致しない場合、待機状態の第２のＣＰＵ２が異常であると判断し、その旨を第１及び第２のＣＰＵ１、２に通知する。通知を受けた第１のＣＰＵ１は、アラーム表示等で管理者に報告する。

本実施の形態４によれば、上記実施の形態３と同様の効果に加え、系切替制御部６において第１のＣＰＵ１と第２のＣＰＵ２のデータを比較し確認することができるので、第１及び第２のＣＰＵ１、２の間のデータ等値化の信頼性が向上すると共に、異常が発生した際に早期発見が可能となり、迅速な対応が行える効果がある。

実施の形態５．
図８は、本発明の実施の形態５に係る二重化システムの構成とデータの流れを示している。なお、図８中、図６と同一部分には同一符号を付し、説明を省略する。本実施の形態５に係る二重化システムは、上記実施の形態３と同様に、第１及び第２のＣＰＵ１、２それぞれの系状態を監視制御する系切替制御部６を備え、さらに、系切替制御部６に、稼働状態の第１のＣＰＵ１からのデータ出力を監視する機能を有する出力状態チェック部６２を設けたものである。

第１のＣＰＵ１に異常が発生し、その出力信号がバス５を専有し続けた場合、第１及び第２のＣＰＵ１、２のデータの等値化が行えず、系切替が困難となる。そこで、本実施の形態５では、系切替制御部６に出力状態チェック部６２を設け、第１のＣＰＵ１からのデータ出力を監視している（図８中、Ｃ３で示す）。出力状態チェック部６２は、第１のＣＰＵ１からの出力信号が予め設定された所定時間以上バス５を専有している場合、第１のＣＰＵ１が異常であると判断し、第１のＣＰＵ１を停止させ（図８中、Ｃ４で示す）、第２のＣＰＵ２を稼働状態に切り替える指示を出力する（図８中、Ｃ１で示す）。

系切替後は、第２のＣＰＵ２が稼働状態となるため、出力状態チェック部６２は、第２のＣＰＵ２からのデータ出力を監視する。なお、出力状態チェック部６２の機能として、稼働状態のＣＰＵからのデータ出力が所定時間以上無い場合も、該ＣＰＵの異常と判断する機能を設けても良い。

本実施の形態５によれば、上記実施の形態３と同様の効果に加え、稼働状態の第１のＣＰＵ１の異常によりその出力信号がバス５を専有した状態となった場合、系切替制御部６において第１のＣＰＵ１を停止させ、バス５を開放させることができる。これにより、第２のＣＰＵ２を稼働状態に切り替えることができ、システムの信頼性が向上する。なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略したりすることが可能である。
なお、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わたり、各実施の形態を適宜、変形、省略することが可能である。

本発明は、監視制御システム等に用いられる二重化システムとして利用することができる。

１第１のＣＰＵ、２第２のＣＰＵ、３入力モジュール、４出力モジュール、５バス、６系切替制御部、１１、２１入力データ記憶領域、１２、２２出力データ記憶領域、１３、２３出力監視部、１４、２４系状態出力部、６１入力データチェック部、６２出力状態チェック部。

Claims

二台のＣＰＵを有し、一方を稼働状態、他方を待機状態として動作させ、稼働状態の前記ＣＰＵに異常が生じた場合に待機状態の前記ＣＰＵを稼働状態に切り替えるよう構成された二重化システムであって、
前記二台のＣＰＵに共有され外部装置から前記二台のＣＰＵにデータを入力する入力モジュールと、前記二台のＣＰＵに共有され稼働状態の前記ＣＰＵが出力したデータを外部装置へ出力する出力モジュールと、前記二台のＣＰＵ、前記入力モジュール及び前記出力モジュールを接続し、稼働状態の前記ＣＰＵをマスターとしそれ以外をスレーブとして動作するマスター／スレーブ構成のバスを備え、
前記各ＣＰＵは前記バスの状態を監視しており、前記入力モジュールから前記バスに出力されたデータを稼働状態の前記ＣＰＵが取り込んだタイミングで待機状態の前記ＣＰＵが前記バスから同データを取り込み、稼働状態の前記ＣＰＵが前記バスを介して前記出力モジュールへデータを出力したタイミングで待機状態の前記ＣＰＵが前記バスから同データを取り込むことを特徴とする二重化システム。
前記各ＣＰＵは、稼働状態の前記ＣＰＵからのデータ出力を待機状態の前記ＣＰＵが監視する出力監視部を備え、前記出力監視部は、稼働状態の前記ＣＰＵからのデータ出力が所定時間以上無い場合、稼働状態の前記ＣＰＵが異常であると判断し、待機状態の前記ＣＰＵが稼働状態に切り替わることを特徴とする請求項１記載の二重化システム。
前記各ＣＰＵの状態を監視し必要に応じて系切替の指示を出力する系切替制御部を備え、前記系切替制御部は、前記各ＣＰＵが稼働状態と待機状態のどちらであるか、及び正常状態と異常状態のどちらであるかを監視しており、稼働状態の前記ＣＰＵが異常状態であり且つ待機状態の前記ＣＰＵが正常状態であると判断した場合、待機状態の前記ＣＰＵを稼働状態に切り替える指示を出力することを特徴とする請求項１記載の二重化システム。
前記系切替制御部は、前記二台のＣＰＵ各々のデータ記憶領域に格納されたデータを取り込んで比較する入力データチェック部を備え、前記入力データチェック部は、比較したデータが一致しない場合、待機状態の前記ＣＰＵが異常であると判断し、その旨を前記二台のＣＰＵに通知することを特徴とする請求項３記載の二重化システム。
前記系切替制御部は、稼働状態の前記ＣＰＵからのデータ出力を監視する出力状態チェック部を備え、前記出力状態チェック部は、稼働状態の前記ＣＰＵからの出力信号が所定時間以上前記バスを専有している場合、稼働状態の前記ＣＰＵが異常であると判断し、稼働状態の前記ＣＰＵを停止させ、待機状態の前記ＣＰＵを稼働状態に切り替える指示を出力することを特徴とする請求項３記載の二重化システム。