JPH03152631A - 二重化制御ユニット - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〈産業上の利用分野〉 本発明は、各種プロセスから信号を受けて制御演算を実
行する制御カードを二重化した二重化制御ユニットに関
し、特に、二重化した各制御カード内における自己診断
方式を改善するものである。

〈従来の技術〉 制御カードを二重化した二重化制御ユニットとして、本
出願人による特願平１−８５６１５号「二重化制御演算
システム」等が挙げられ、第４図及び第５図を用いてそ
の概略構成、動作を説明する。

第４図は、各種プロセスを制御する制御ユニットＵの外
観図であり、スロットｓ１．　ｓ２．・・・、　Ｓｎに
は、プロセス現場と信号を授受する入出力カード、電源
カード、他のユニットと通信動作を行う通信カード等が
装着され、更に制御演算を行うプロセッサを有する制御
カード１．２が装着される。そして、制御カード１．２
は、一方のカードがプロセスに対する実際の制御動作を
実行し、他方のカードが待機状態となっており、二重化
制御ユニットを構成する。

また、このような制御ユニットＵは、二重化されたバス
８１．８２によりオペレータ・ステーション等の他ステ
ーション（ｒＡ示せず）と接続する。具体的には、この
制御ユニットＩＪには、バスＢ１と接続するカード構成
のカプラＣ１と、カプラＣ１と同一構成でバスＢ２と接
続するカプラＣ２とが装着され、カプラｃ１．　Ｃ２は
この制御ユニットＵ内のバック・ボード・バス（図示せ
ず）により制御カード１゜２に結合する。尚、カプラｃ
１．　Ｃ２は、バック・ボード・バスに装着した時点で
スイッチｓｗ１．　ｓｗ２をイネーブルとして稼動状態
とする。

次に、第５図に制御カード１．２の内部構成を示し、こ
のような二重化制御ユニットの動作を詳しく説明する。

第５図において、制御カード１．２はカプラｃ１゜Ｃ２
を介して二重化されたバスＢ１．８２にそれぞれ接続す
る。

制御カード１は、その内部にメモリを有し制御演算等を
実行するプロセッサ１１と、内部バスｂ１によりプロセ
ッサ１１と接続し、カプラｃ１．　Ｃ２により二重化バ
スＢ１．　Ｂ２に接続する通信インターフェイス１２と
を有する。同様に、制御カード２も同一構成であり、プ
ロセッサ２１、内部バスｂ２、カプラｃ１゜Ｃ２により
二重化バスＢ１．　Ｂ２に接続する通信インターフェイ
ス２２を有する。

このような二重化制御ユニットは、通常、どちらか一方
の制御カードが制御側カードとして各種プロセスの動作
を制御し、他方の制御カードは待機側カードとして待ち
状態となっている。そして、制御側カードに故障が検出
されると、制御側カード及び待機側カードの両方に設定
されている二重化切り換え論理により、待機側カードが
制ｍ１１１カードに代わって制御動作を開始し、制御側
カードが待ち状態となる。

即ち、制御側カード、待機側カードの双方のプロセッサ
は、内部のメモリ動作、バスとの通信機能等を常時自己
診断しており、異常を検出した場合は二重化切り換え論
理に従って待機側の制御ユニットに制御権を切り換える
。

具体的には、このときの各制御カードの自己診断は、第
５図内の矢印（１）、　＋２）　、　（３）　、　（４
）　。

（５）に示す５つの動作を実行することにより、行われ
る。

尚、第５図のシステムでは、制御カード１を制御側カー
ドとし、制御カード２を待機側カードとする。

（１）制御側カード１にて、通信インターフェイス１２
内のファームウェアが二重化バス８１．８２に送出され
ている他ステーション（オペレータ・ステーション等）
からのトークン（通信フレーム）を監視し、一定時間経
過してもこのトークンを受信できない場合、プロセッサ
１１に通信インターフェイス１２異常を適知する。この
動作は、常に制御側カードが実行する。

（２）制御側カード１のプロセッサ１１から待機側カー
ド２のプロセッサ２１内のメモリの特定アドレスに二重
化バスＢ１．　Ｂ２を介してデータを書き込む動作を繰
り返し、このデータ更新動作が一定時間停止すると、待
機側カード２はアラームを発生する。

（３）制御側カードｌ、待機側カード２とも、自己内の
通信インターフェイス１２．２２に自己診断動作を指示
し、その結果、異常を検出した場合、プロセッサ１１．
２１はその動作を停止する。

（４）制御側カード１、待機側カード２とも、自己内の
プロセッサ１１．２１が通信インターフェイス１２゜２
２内の特定アドレスにデータを書き込み、読み返して不
一致の場合、プロセッサ１１．２１はその動作を停止す
る。

（５）制御側カード１、待機ｆｌａカード２とも、自己
内の通信インターフェイス１２．２２がプロセッサ１１
゜２１内のＲＡＭの特定アドレスにデータをＤＭＡ転送
し、読み返して不一致の場合にプロセッサ１１゜２１に
通知し、プロセッサ１１．２１はその動作を停止する。

尚、動作ｆ１）　、　（５）は通信インターフェイス１
２゜２２内のファームウェアがレディの時のみチエツク
する動作、動作＋２）　、　［３）は通信インターフェ
イス１２．２２内のファームウェア内におけるプロセッ
サ１１．２１との間のインターフェイス［がレディの時
のみチエツクする動作、動作（４）は条件によらずチエ
ツクする動作である。

〈発明が解決しようとする課題〉 しかしながら、上述した従来の二重化制御ユニットの自
己診断動作には、次のような問題が発生していた。

即ち、通信インターフェイスに設定されるファームウェ
ア内のプロセッサとのインターフェイス機能がノット・
レディとなった場合、その原因がｆａ）通信インターフ
ェイス内ファームウェアは正常であるが、二重化バスに
接続するカプラがノット・レディ（スイッチがディスエ
ーブル等）である、または、 （ｂ）ウォッチ・ドッグ・タイマからのアラーム等で検
出される通信インターフェイス内ファームウェア自身が
異常である、 のいずれかであるかを判断せずに、通信インターフェイ
ス内ファームウェアのインターフェイス機能をノット・
レディとみなして前述した自己診断動作（１）、　（２
）　、　（３）　、　（５）を停止していた。

このため、カプラがレディであるにもかかわらず、制御
カード自身がノット・レディ（通信インターフェイス内
ファームウェア異常）の時、自己診断異常による二重化
切り換え動作が行われず、この制御カードについて無駄
な異常原因確認作業等が発生していた。

本発明は、上述しな（１）〜（５）の自己診断動作の他
に、通信インターフェイス内のファームウェアにおける
インターフェイス機能がノット・レディとなった場合に
、その原因がカプラのノット・レディであるのかファー
ムウェア異常であるのかを判断できるようにすることを
課題とし、制御側カードが正当な理由の場合にのみ、自
己診断異常として切り換え動作を起動するように二重化
制御ユニットを構成することを目的とする。

〈課題を解決するための手段〉 以上の課題を解決した本発明は、カプラの装着状況と、
通信インターフェイス内ファームウェア異常とをプロセ
ッサ側のラフ１−ウェアで認識できるようにして両者の
状況より二重化切り換え動作を起動するものであり、そ
の具体的な構成は次の通りである。

即ち、二重化バスとカプラを介して接続する通信インタ
ーフェイス及び制御演算を実行するプロセッサからなり
各種プロセスを制御する制御側カードと、この制ａ１１
１Ｉ！Ｉカードと同一構成で前記制御側カードが故障し
た際に代わって制御動作を開始する前記制御側カードと
同一構成の待機側カードとから構成される二重化制御ユ
ニットにおいて、前記制御側カード及び前記待機側カー
ドの双方に、前記通信インターフェイスのファームウェ
ア内に当該通信インターフェイスがレディまたはノット
・レディであるかを表わす通信スティタスを設定すると
ともに、前記プロセッサ内に２ａの前記カプラのディス
エーブル状態を表わすバス・ステイタスを設定し、 ■前記バス・ステイタスにて両方のカプラがディスエー
ブルかつ前記通信スティタスがレディの状態が一定時間
以上続いた場合、 ■前記バス・ステイタスにて両方のカプラがディスエー
ブルの後一方または両方のカプラがイネーブルとなり、
かつ前記通信スティタスにて通信インターフェイスが一
定時間内にレディとならない場合、 ■前記バス・ステイタスにて両方のカプラがディスエー
ブルとなった履歴がなく前記通信スティタスのノット・
レディの状態が一定時間以上続いた場合 に当該制御カードを自己診断異常とすることを特徴とす
る二重化制御ユニットである。

く作用〉 本発明の二重化制御ユニットにおける各々の制御カード
は、プロセッサ内のバス・ステイタスに表わされるカプ
ラのディスエーブル状態、通信インターフェイス内のフ
ァームウェアの通信スティタスに表わされる通信インタ
ーフェイスのレディ状態を監視し、それぞれのスティタ
スの設定状態に従って、自己診断異常を判定する。

〈実施例〉 以下、図面を用いて本発明の二重化制御ユニットの実施
例を説明する。

本発明の二重化制御ユニットは、そのハードウェア構成
は第４図及び第５図に示した従来のものと全く同様であ
るが、プロセッサと通信インターフェイスの内部機能の
設定状況が異なる。

はじめに、第３図に、本発明の二重化制御ユニットにお
ける制御カードｌを例として、その機能の概念を表わす
。

この制御カード１の通信インターフェイス１２内のファ
ームウェアには、その内部レジスタ・アドレス＄　Ｃ０
４００６に、この通信インターフェイス１２が通信可能
状態、即ち通信インターフェイス・レディの時に“１”
である通信スティタスＳＴ１を定義する。

また、プロセッサ１１の内部レジスタ・アドレス＄　１
［９００４に、バスＢ１がディスエーブルの時に“１″
を設定するとともにバスＢ２がディスエーブルである時
に“１″を設定するバス・ステイタスＳＴ２を定義する
。

このバス・ステイタスＳＴ２は、カプラｃ１．　Ｃ２の
スイッチｓｗｌ　、　ｓｗ２のオン（イネーブル）、オ
フ（ディスエーブル）状態がバック・ボード・バスを介
してプロセッサ１１へ送られ、設定される。

尚、通信インターフェイス１２のファームウェアは、カ
プラＣ１，Ｃ２がディスエーブルの時、ノー・リスポン
スとしてこの通信スティタスＳＴＩをプロセッサ１１の
ソフトウェアから読み出せないようにするとともに、初
期化処理を行う期間（約７秒）もノー・リスポンスとし
てプロセッサ１１のソフトウェアから読み出せないよう
にする。

更に、第２図（ａ）、（ｂ）、（ｃ）、（ｄ）は本発明
において設定される各種スティタス、フラグ、カウンタ
の詳細を表わす図である。

（ａ）通信インターフェイスのファームウェアに設定す
る通信スティタスＳＴ１の８ビツト目に、この通信イン
ターフェイスがレディの時に“１″ノツト・レディの時
に“０”を設定する。

（ｂ）プロセッサ内に設定するバス・ステイタスＳＴ２
の１ビツト目にカプラＣ１ディスエーブルを表わす“１
”を設定し、２ビツト目に、カプラＣ２ディスエーブル
を表わす′１″を設定する。

（Ｃ）カプラ・ディスエーブル・フラグではプロセッサ
内に設定し、２個のカプラｃ１．　Ｃ２の両方がディス
エーブルの時にオンとし、どちらか一方のカプラがイネ
ーブルかつ通信インターフェイス・レディの時にオフと
する。

（ｄ）異常状態カウンタｔはプロセッサ内に設定し、後
述する異常状態の検出時に１秒毎に“１”計時するカウ
ンタである。

さて、以上のように設定したスティタスＳＴＩ　。

ＳＴ２　、フラグｆ、カウンタｔを用いた本発明の二重
化制御ユニットの動作の特徴を第１図のフローチャート
を用いて説明する。

この本発明における動作は、〈従来の技術〉で説明した
（１）〜（５）の自己診断動作の他に、１秒毎に実行す
る自己診断動作として設定する。

動作開始となると、（イ）通信スティタスＳＴＩ、（ロ
）バス・ステイタスＳＴ２を読み出す。手順（イ）で通
信スティタスＳＴＩを読み出ずことができない場合は、
通信インターフェイス・ノット・レディとする。

手順（ハ）では、バス・ステイタスＳＴ２において、カ
プラｃ１．　Ｃ２の両方がディスエーブル（スイッチｓ
ｗ１　、　ｓｗ２の両方がディスエーブルでノット・レ
ディの状態）か否かを判定する。

力１うｃｌ、　Ｃ２の両方がディスエーブルの場合「Ｙ
」は、手順（ニ）でカプラ・ディスエーブル・フラグｆ
をオンとし、手順（ホ）で通信インターフェイスの動作
状態（レディまたはノット・レディ）を調べる。

通信インターフェイスがノット・レディの場合「Ｎ」は
、手順（へ）で異常状態カウンタｔをクリアし、はじめ
の手順（イ）に戻る。

手順（ホ）で通信インターフェイスがレディの場合「Ｙ
」は、通信インターフェイス内ファームウェア異常の可
能性が高く、手順（ト）で異常状態カウンタｔを＋１イ
ンクリメントする。

更に手順（チ）でこのカウント値が“４”　（４秒）を
越えていると「Ｙ」、■自己診断異常と判断する。カウ
ント値が“４”を越えなければ「Ｎ」、先頭の手順（イ
）に戻る。

ここで、異常状態カウンタｔのカウント値“４パは、通
信インターフェイス・レディの状態で両刃プラｃｌ、　
ｃ２がディスエーブルからイネーブルとなる（当該制御
カードが異常状態から正常状態に遷移する）可能性を考
慮したものである。

以上の手順（ニ）、（ホ）、　　（ト）、　　（チ）は
、両カブラ・ディスエーブルにもかかわらず、通信イン
ターフェイス・レディの状態が４秒以上続いた場合に、
通信インターフェイス内ファームウェア異常の可能性が
高く、自己診断異常■とするものである。

一方、手順（ハ）にて、いずれか一方のカプラがディス
エーブルの場合「Ｎ」は、手順〈す）に進み、通信イン
ターフェイスの動作状態（レディまたはノット・レディ
）を調べる。

通信インターフェイスがレディの場合「Ｙ」はこのユニ
ット全体は異常状態でなく、カプラ・ディスエーブル・
フラグｆをクリアしく手順（ヌ））、異常状態カウンタ
ｔをクリアしく手順（ル））、先頭手順（イ）に戻る。

手順（す）で通信インターフェイスがノット・レディの
場合「Ｎ」は異常状態の可能性があり、手順（ヲ）で異
常状態カウンタｔを＋１インクリメントし、手順（ワ）
でカプラ・ディスエーブル・フラグｆの設定状態をみる
。

手順（ワ）でカプラ・ディスエーブル・フラグｆがオン
であれば「Ｙ」、かつて両方のカプラがディスエーブル
でありその後一方または両方のカプラがイネーブルとな
った状態であり、手順（力）において、通信インターフ
ェイス内ファームウェア立ち上げのための十分な時間ｔ
−１６秒以上の時間が経過した場合、■自己診断異常と
する。カウンタ値ｔ＝１６に達していなければ、先頭手
順（イ）に戻る。

以」−の手順（す）、（ヲ）、（ワ）、（力）は、両方
のカプラがディスエーブルの後、一方または両方のカプ
ラがイネーブルとなり、通信インターフェイス内ファー
ムウェアが設定時間（１６秒）以内に立ち上がらない場
合、通信インターフェイス内ファームウェア異常の可能
性が高く、自己診断異常■とするものである。

手順（ワ）でカプラ・ディスエーブル・フラグｆがオン
でなければ「Ｎ」、手順（ヨ）に進み、カウンタｔの値
をみて“４”以上であれば「Ｙ」、■自己診断異常とす
る。カウンタ値が“４”に達していなければ、先頭手順
（イ）に戻る。

以上の手順（す）、（ヲ）、（ワ）、（ヨ）は、両方の
カプラがディスエーブルとなった履歴がなく、通信イン
ターエイスが異常を続けている場合であり、通信インタ
ーフェイス内ファームウェア異常の可能性が高く、この
異常状態が４秒以上続いた場合に自己診断異常■とする
ものである。

以上のようにして、■両方のカプラがディスエーブルに
もかかわらず通信インターフェイス・レディが４秒以上
続いた場合、■両方のカプラかディスエーブルの後、一
方または両方のカプラがイネーブルとなり、通信インタ
ーフェイスが１６秒以内に立ち上がらない場合、■両方
のカプラがディスエーブルとなった履歴がなく、通信イ
ンターフェイスが４秒以上異常状態を続けた場合、の３
つの場合に、通信インターフェイス内ファームウェア異
常と判定し、自己診断異常とする。

尚、本発明の自己診断動作は、制御側カード、待機側カ
ードの双方で１秒毎に実行しており、従来の自己診断動
作〈〈従来の技術〉で述べた自己診断動作（１）、（２
）、（３）、（４）、（５））の他に、制御側カードで
上記自己診断異常■。

■、■が検出された場合に、二重化切り換え論理が起動
する。

〈発明の効果〉 以上述べたように、本発明の二重化制御ユニットは、二
重化した制御カードにおいて、２個のカプラのディスエ
ーブル状態またはイネーブル状態と、通信インターフェ
イス内ファームウェアのレディ状態またはノット・レデ
ィ状態とを監視して正当な理由の場合にのみ自己診断異
常と判定して二重化切り換え論理を起動することができ
、当該二重化制御ユニットの信頼性を向上することがで
きる。

【図面の簡単な説明】

第１図は本発明を実施した二重化制御ユニットの動作を
表わすフローチャート、第２図（ａ）。 （ｂ）、（ｃ）、（ｄ）は本発明の二重化制御ユニット
の内部に設定されるスティタスＳＴ１．スティタスＳＴ
２　、フラグｆ、カウンタｔを表わす図、第３図は本発
明の二重化制御ユニット内に設定されるスティタスＳＴ
１　、　ＳＴ２の概念を表わす図、第４図は二重化制御
ユニットの外観を表わす図、第５図は二重化制御ユニッ
ト内の制御カード１．２の内部構成を表わす図である。 １．２・・・制御カード、１１．２１・・・プロセッサ
、１２、２２・・・通信インターフェイス、ｂｌ、　ｂ
２・・・内部バス、Ｂ１．　Ｂ２・・・バス、第 Ｚ 図 とαノ （Ｃ） （ｄ） を呵窄ン１（態、カフＸ７ 第 図

Claims (1)

【特許請求の範囲】
1. （１）二重化バスとカプラを介して接続する通信インタ
   ーフェイス及び制御演算を実行するプロセッサからなり
   各種プロセスを制御する制御側カードと、この制御側カ
   ードと同一構成で前記制御側カードが故障した際に代わ
   って制御動作を開始する前記制御側カードと同一構成の
   待機側カードとから構成される二重化制御ユニットにお
   いて、前記制御側カード及び前記待機側カードの双方に
   、前記通信インターフェイスのファームウェア内に当該
   通信インターフェイスがレディまたはノット・レディで
   あるかを表わす通信ステイタスを設定するとともに、前
   記プロセッサ内に２個の前記カプラのディスエーブル状
   態を表わすバス・ステイタスを設定し、 ［１］前記バス・ステイタスにて両方のカプラがディス
   エーブルかつ前記通信ステイタスがレディの状態が一定
   時間以上続いた場合、 ［２］前記バス・ステイタスにて両方のカプラがディス
   エーブルの後一方または両方のカプラがイネーブルとな
   り、かつ前記通信ステイタスにて通信インターフェイス
   が一定時間内にレディとならない場合、 ［３］前記バス・ステイタスにて両方のカプラがディス
   エーブルとなった履歴がなく前記通信ステイタスのノッ
   ト・レディの状態が一定時間以上続いた場合 に当該制御カードを自己診断異常とすることを特徴とす
   る二重化制御ユニット。