JPH0315946A - フオールトトレラント方法及びシステム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔産業上の利用分野〕 本発明は、フォールトトレラント方法及びシステムにか
かり，特にシステムの高信頼化に好適なサブシステム相
互の診断を行なう方法及びシステムに関する。

〔従来の技術〕

近年コンピュータの発達に従い、コンピュータが重要な
役割を果たすようになってきた。それに伴って、コンピ
ュータの信頼性が強く求められるようになった。コンピ
ュータの信頼性を損なう誤動作の要因として、ハードウ
エアの永久故障やソフトウエアのバグ、そして電気的雑
音や放射線の入射による一時的なデータエラーなどが挙
けられる。

システムの信頼性を高めるために，システムを構或する
サブシステムを冗長化，多重化する方広が用いられてい
る。多重化したサブシステムの出力の取扱い方法に関し
て．Ｊａｍｅｓ　Ｎ，　Ｇｒａｙ他著ｔ渡辺栄一編訳，
フォールトトレラント・システム，マグロヒルブツク、
（１９８６）．第１１頁〜第１２頁によると多数決を行
う方法やサブシステムの診断結果に基づいて出力を切り
換える方法などがある。

以下、第１８図に従い公知例について説明する。

冗長化されたサブシステム１−１〜１−Ｎの出力３−１
〜３−Ｎは出力選択回路５′に入力される。出力選択回
路５′では出力３−１〜３−Ｈの多数決を取ったり、サ
ブシステム１−１〜１−Ｈについての診断結果に基づき
出力３−１〜３−Ｈの中から選択を行って最終出力６を
生成する。

〔発明が解決しようとする課題〕

上記従来技術のうち多数決による方法は、データの一致
／不一致により出力が選択されるために過渡フォールト
には強い反面、用意されたサブシステムのうち過半数の
サブシステムが正常でなければ、システムとしては正常
な動作が保証されないために、多重フォールトには弱い
という問題点があった。一方、診断結果に基づいて出力
を切り換える方法（待機冗長方式）では，１つ以上のサ
ブシステムが生存しさえすればシステムとしての生存が
保証されるために多重フォールトに対しては強い。しか
し，診断結果が誤りであった場合には出力の正常性が保
証されず、しかも診断の結果異常が検出され出力を切り
換えるときには出力が一時中断するために過渡フォール
トには弱いといった問題点があった。このために、従来
から出力信号の信頼度，連続性が第１に要求されている
用途には多数決による方法が用いられていた。

本発明は、上記従来技術すなわち，過渡フォールトに強
い多数決方式，多重フォールトに強い待機冗長方式のそ
れぞれの長所を合わせ持ったサブシステムの出力の選択
方法を提供することを目的とする。

〔課題を解決するための手段〕

本発明では上記目的を達成するために，自己診断結果や
サブシステム間のデータ比較などの結果により、各サブ
システムの出力の信頼度を動作中に推定して、推定した
信頼度がサブシステムの中で最も高いサブシステムの出
力を選択する。ここで、出力の信頼度とは、出力信号が
正しい確率のことであり、システム内で発生している事
象の関数として表される。

自己診断結果やサブシステム間のデータ比較などの結果
に着目し、信頼度の最も高いサブシステムを選択するた
めには、以下のようなアルゴリズム等を用いる。

■：自己診断の結果，正常と診断され、かつ処理結果が
他のサブシステムのものと一致しているサブシステムを
正常とみなしその出力を最終出力とする。

■の条件を満たすサブシ不テムがない場合には、■：処
理結果が他のサブシステムのものと一致しているサブシ
ステムを正常とみなしその出力を最終出力とする。

■の条件を満たすサブシステムがない場合には、■：自
己診断の結果、正常と診断されたサブシステムを正常と
なみしその出力を最終出力とする。

■の条件を満たすサブシステムがない場合には、■：出
力を停止するか，または正常な出力が得られないことを
警告する信号を出力する。

〔作用〕

自己診断の欠報率（サブシステムが異常であるのに正常
であると誤判定されてしまう確率）をＰｄε，誤ったデ
ータが一致してしまう確率をＰａε，誤りの発生する確
率をＰεとする。

誤ったデータが一致してしまう確率は、その誤り方がラ
ンダムであると仮定すれば、ランダムな２つのデータが
一致する確率と考えられ、Ｐ　ａ　ｉ　＝　２−’　　
　　　　　　　　　　・−（１）ただし　ｎ：データの
ｂｉｔ長 と表される。コンピュータシステムでデータをソフトウ
エアにより照合する場合には、通常データのｂｉｔ長ｎ
は大きな値をとることが多いため、ＰａＥ：＃Ｏ　　　
　　　　　　　　　　・・・（２）であり、 Ｐａε＜Ｐｄε　　　　　　　　　　　・・（３）と考
えられる。

以上のことを考慮すると前記の手段のそれぞれの場合の
出力の信頼度Ｒｄは、 Ｒｄ＝（１−Ｐ：　・Ｐａｔ）　　　　　　　　−（５
）ただし、ｋ：正常とされたサブシステムの数となる。

前記の手段を用いることにより（４），　（５），　（
６）と信頼度の高い出力が順次選択される。すなわち、
冗長化されたサブシステムの中で最も信頼度の高い出力
が選択されることになる。

〔実施例〕

以下、図面に従って本発明の実施例を説明する．第１図
は本発明の基本的な実施例である。冗長化されたサブシ
ステム１−１〜１−Ｎ（Ｎ：サブシステムの個数，自然
数）にはそれぞれにコンピュータシステム本来の目的で
あるデータ処理をするデータ処理機能２００−１〜２０
０−Ｎを有する。出力の信頼度を推定し、一番信頼度の
高い出力を判定する機能（以下、判定機能と略す）２０
４による判定結果Ｓｌ〜ＳＮに基づき，出力選択回路５
では、それぞれのサブシステムからの出力３−１〜３−
Ｎの中から一番信頼度の高い出力を選択し，最終出力と
する。本実施例によれば、出力の信頼度を推定し、推定
した信頼度に基づき出力を選択しているために、常の信
頼度の最も高いサブシステムからの出力を最終出力６と
することができる。また、１つでも正常に動作している
サブシステムが存在すれば、その正常なサブシステムの
出力をシステムの最終出力とすることができる為に多重
フォールト（故障）に強いシステムを構築することがで
きる。

ここで、判定結果は、データ処理機能２００−１〜２０
０−Ｎからの出力より総合的に判断されて決められる。

この判定結果によりどのサブシステムの出力を選択する
かが決定される。判定結果ｓｉはサブシステム１−ｉが
正常であるか異常であるかという情報を示す。つまり、
ｉは判定の客体となるサブシステムの番号を表す。

第２図は他の実施例で，判定機能２０４を多重化してサ
ブシステム１−１〜１−Ｎの中に組み込み，判定機能２
０４−１〜２０４−Ｎとした実施例である。本実施例の
場合、判定機能２０４−１〜２０４−Ｎによる判定結果
３１〜ＳＮは、各々のサブシステムごとに出力される。

これを相互診断結果４−１〜４−Ｎとする．各々の相互
診断結果は各々のサブシステムでの判定結果８１〜ＳＮ
から構成される．本実施例によれば、第１図における判
定機能２０４を判定機能２０４−１〜２０４−Ｎと多重
化したために判定機能の故障や誤動作による誤った判定
により、誤った出力を選択してしまうことを防止できる
。さらに、第１２図のように選択機能２０５−１〜２０
５−Ｎを各々のサブシステムに持たせることも可能であ
る。

ここで、相互診断結果とは、冗長化された複数のサブシ
ステム相互間で行われる診断の結果をいい、自己診断結
果とサブシステム相互のデータの一致不一致により決定
される。相互診断結果は診断の容体となるサブシステム
それぞれの正常異常を表す。本発明では主として相互診
断の手段を提供するものである。

この相互診断はサブシステムそれぞれにより決定される
。つまり診断の主体となるサブシステムによって異なる
結果となることもある。

相互診断結果４−ｉ（ｉ：１からＮの自然数）は、サブ
システム１−ｉで決定された相互診断結果を示す。つま
り、ｉは診断の主体となるサブシステムの番号を表す。

以下に出力の信頼度を推定し、一番信頼度の高い出力を
判定するための実施例を示す。

第３図は本発明の判定機能を示す実施例である。

第ｌ図に示すアルゴリズムでＲｄが一番高いサブシステ
ムを選択することができる。

式（４），　（５），　（６）のように、出力の信頼度
Ｒｄはサブシステムについての自己診断結果や、データ
の一致／不一致といった事象の組み合わせ、即ちサブシ
ステムの症状によって表される。

第１図では症状をＲｄの高い順に、 Ｓｙｎｄｒｏｍｅｌ　，　Ｓｙｎｄｒｏｍｅ２　，　゛
゜゛゜゜ＳｙｎｄｒｏｍｅＬ（Ｌ　：　Ｓｙｎｄｒｏｍ
ｅの総数） すなわち Ｒ　ｄ　（Ｓｙｎｄｒｏｍｅ　１　）＞　Ｒ　ｄ　（Ｓ
ｙｎｄｒｏｍｅ　２　）＞　−＞　Ｒ　ｄ　（Ｓｙｎｄ
ｒｏｍｅ　Ｌ　）　　　　　　　　　・・・（７）ただ
し、Ｒ　ｄ　（Ｓｙｎｄｒｏｍｅ　ｉ　）　：　Ｓｙｎ
ｄｒｏｍｅ　ｉがｗ４測されているときの 出力の信頼度 となるように記述している。なお、Ｓｙｎｄｒｏｍｅ　
１は最良の症状即ち全く異常が検出されないということ
を表し，一方Ｓｙｎｄｒｏｍｅ　Ｌは最悪の症状即ち全
てのチェック項目で異常が検出されたということを表す
。例えば、チェック項目が自己診断結果とデータの比較
の２つだけである場合には、Ｓｙｎｄｒｏｍｅ１は自己
診断で異常が検出されずかつデータが一致していること
を表し、Ｓｙｎｄｒｏｍｅ　Ｌは、自己診断で異常が検
出されかつデータが不一致を起こしていることを表す。

第３図に示すアルゴリズムに従うと、以下のように最良
の症状から順次症状のグレードを下げて行くことにより
，個々のサブシステムのうち一番Ｒｄの高いサブシステ
ムの信号を選択することができる。

ｉｆ　ａｎｙ　ｓｕｂｓｙｓｔｅｍ　ｈａｓ　Ｓｙｎｄ
ｒｏｍｅｌｔｈｅｎ　ｓｅｌｅｃｔ　ｔｈｅ　ｓｕｂｓ
ｙｓｔｅｍ（ｓ）　ｗｈｉｃｈ　ｈａｓＳｙｎｄｒｏｍ
ｅｌ　， ｅｌｓｅ　ｉｆ　ａｎｙ　ｓｕｂｓｙｓｔｅｍ　ｈａｓ
　Ｓｙｎｄｒｏｍｅ２ｔｈｅｎ　ｓｅｌｅｃｔ　ｔｈｅ
　ｓｕｂｓｙｓｔｅｍ（ｓ）　ｗｈｉｃｈ　ｈａｓＳｙ
ｎｄｒｏｍｅ２　， ｅｌｓｅ　　ｉｆ　　ａｎｙ　　ｓｕｂｓｙｓｔｅｍ　
ｈａｓ　ＳｙｎｄｒｏｍｅＬ−１ｔｈｅｎ　　ｓｅｌｅ
ｃｔ　ｔｈｅ　ｓｕｂｓｙｓｔｅｍ（ｓ）ｔｙｈｉｃｈ
　ｈａｓＳｙｎｄｒｏｍｅＬ−１， ｅｌｓｅ　　ｏｕｔｐｕｔ　　ｆａｉｌ　　ｓａｆｅ　
　ｓｉｇｎａｌ．第４図は、本発明他の判定機能を示す
実施例で、Ｐａε＜Ｐｄε　　　　　　　　　　・・（
８）が或り立つ場合に、最も信頼度の高いサブシステム
の出力を選択するためのアルゴリズムである。

なお、図中で「正常」は当該サブシステムが自己診断の
結果正常と判断されたという事象を表しており、「一致
」は処理結果が当該サブシステムの処理結果と一致する
サブシステムが他に存在することを表している。

〈自己診断の方法〉 なお、自己診断の方法としてはコンピュータ・システム
の場合を例にとれば、 ■　ＲＡＭに付加したＥ　Ｃ　Ｃ　（Ｅｒｒｏｒ　Ｃｏ
ｒｒｅｃｔｉｎｇＣｏｄｅ　：誤り訂正符号）エンコー
ダ／デコーダによりｂｉｔ誤りを訂正，検出したという
情報■　マイクロプロセッサが持つ誤り検出機能による
検出結果（バス・エラー，アドレス・エラーなど） ■　ハードウエアの機能診断プログラムの実行結果 ■　分散配置データ（重要なデータは同一サブシステム
内でも多重化しておきそれらを照合し、不一致が検出さ
れた場合には多数決により訂正を行う）の照合結果 ■　マイクロプロセッサの演算ユニットなどに付加され
た誤り検出機能による誤り検出結果などを用いる方法が
従来から提案されており、これらを用いればよい。

く自己診断結果の段階〉 第５図は自己診断結果にいくつかの段階（本実施例の場
合２段階）がある場合の判定機能を示す実施例である。

たとえば、上記■のＥＣＣによりｂｉｔ誤りを訂正，検
出したという情報を自己診断の結果として用いた場合、
その結果としては１ｂｉｔ誤り訂正，　２ｂｉｔ誤り検
出の２段階の情報が得られる。

通常用いられているＳ　Ｅ　Ｃ　−　Ｄ　Ｅ　Ｄ　（Ｓ
ｉｎｇｌｅＥｒｒｏｒ　Ｃｏｒｒｅｃｔｉｏｎ　Ｄｏｕ
ｂｌｅ　Ｅｒｒｏｒ　Ｄｅｔｅｃｔｉｏｎ）コードによ
るＦＣＣでは、３　ｂｉｔ以上の誤りが発生した場合に
は１　ｂｉｔまたは２　ｂｉｔ誤りとして検出される。

また極めて小さい可能性ではあるが、３ｂｉｔ．以上の
誤りが検出されないこともある。したがって、訂正可能
な１　ｂｉｔ誤りが検出された場合や誤りが検出されな
かった場合でも３　ｂｉｔ以上の誤りが発生している可
能性がある。ここで１　ｂｉｔ誤りが発生していないと
いう事象を「正常ＩＪ，２　ｂｉｔ以上の誤りが発生し
ていないという事象を「正常２」と表すことにし、正常
１，正常２それぞれの場合の欠報率をＰｄεｘ，Ｐｄε
２とすると、Ｐａ　ε＜Ｐｄ　εｔ＜Ｐｄ　Ｅ２　　　
　　−（９）という関係になる。

本実施例により、出力の信頼度が Ｒｄ＝（１−Ｐε　・Ｐａ　ε）、　　　　　　　−（
１２）であるサブシステムの出力を順次選択することが
できる。

処理結果が他のサブシステムの処理結果と一致したとい
う事象にも処理結果が一致したサブシステムの数によっ
てサブシステムの出力の信頼度に幾つかの段階がある。

この場合も本実施例のように「一致」という事象を幾つ
かの段階に分けて判断することができる。

また、自己診断結果の欠報率が極めて低く、Ｐ　ａ　ε
＞Ｐ　ｄ　Ｅ　１　　　　　　　　　　・・ｌ１５）が
或り立つ場合には、第６図に示すアルゴリズムで出力の
選択を行えばよい。

く出力の信頼度レベルの設定〉 第７図は第３図の実施例に，出力の信頼度が要求された
値よりも高いかどうかの判断を加えたものである。

Ｓｙｎｄｒｏｍｅ↓からＳｙｎｄｒｏｍｅ　Ｌ　−　１
まで、順次症状のグレードを下げ、かつ出力の信頼度が
要求値よりも高いサブシステムがある場合には，当該サ
ブシステムの出力を選択し、条件を満たすサブシステム
が存在しない場合には誤りであることを示す信号を出力
する。

本実施例によれば、要求値未満の信頼度の出力を防止で
き、システムの動作の安全性を保証することができる。

なお、信頼度の要求値は第８図のようにして、図中のレ
ベルの値により設定することができる。

要求された水準を満たす出力が得られない場合には、出
力を停止するか警告を示す信号を出力するようにすれば
、システムの生存確率だけでなく安全性も維持すること
ができる。

ここでレベルは信頼度の要求水準を表し、その値により
、 １：Ｒｄ≧（１−Ｐｉ　　・Ｐａ　ｇ）、　　　　　　
・（１７）０：Ｒｄ≧（１−Ｐε　・Ｐｄ　ε）、　　
　　　　・・・（１８）とすることができる。

制御装置のフエイル・セイフ性は、制御対象の動作の安
全性を維持するために必要であり、交通制御などのシス
テムの誤動作が人命に危険を与えたり、社会に大きな混
乱を与えるような応用分野では特に重要な機能である。

また本実施例によれば適当なレベルを選択することによ
り、同一のシステム構或で種々の目的に対応できるフォ
ールトトレラント・コンピュータを構或することができ
る。たとえば，商用のオンライン・システムに使用され
るコンピュータではＡｖａｉｌａｂｉｌｉｔｙの向上を
第一に考えなければならない。このような場合には先に
述べたレベルをＯに設定すれば，出力の信頼度の最低水
準は下がるが，最高のＡｖａｉｌａｂｉｌｉｔｙを得る
ことができる。また、航空機のフライト・コントロール
などに用いられるコンピュータでは、出力の信頼度を第
一に考えなければならない。このような場合には先に述
べたレベルを２に設定することにより最高の出力の信頼
度を得ることができる。このように本実施例によれば、
従来困難であったＡｖａｉｌａｂｉｌｉｔｙと出力の信
頼度との両立やトレードオフが極めて容易になる。

またコンピュータの用途によって動作中に要求信頼度の
レベルを変化させることが必要である。

例えば航空機のフライト・コントロールなどでは飛行の
各段階により適切なレベルを設定することにより搭乗者
の安全を保証することができる。航空機の離陸時を考え
てみる。速度がｖ１を超えるまでは先に述べたレベルを
２に設定しておくことにより、僅かでもコンピュータに
不具合が生じた場合には直ちに離陸を中止することがで
きる。速度がＶ１を超えてからは先に述べたレベルを１
またはＯに設定することにより加速を継続して一旦離陸
したのち着陸することができる。

くハードウエア構成〉 第９図は、本発明を実施するためのハードウエアの一例
である。

本発明を実施するためには前記のような複雑な条件判断
が必要であるためコンピュータ・システムでは、これら
の条件判断（相互診断）はソフトウエアにより実施する
のがよく、しかも条件判断を多重化するためにこれらの
条件判断を冗長化したサブシステム１−１〜１−Ｎで実
施するのがよい。相互診断に必要な処理結果や、自己診
断結果などの情報は、サブシステム間を結ぶ通信路２を
経由して交換される。システムの最終出力を１つに絞る
必要がある場合には，最後に出力選択回路５でソフトウ
エアにより行われた条件判断による相互診断結果（それ
ぞれのサブシステムが正常か異常かという情報）４−１
〜４−Ｎにより、出力３−１〜３−Ｈの中からハードウ
エア的に選択をして最終出力６とすればよい。

第１０図に個々のサブシステムの構戒の例を示す。サブ
システム１はバス上Ｏ　Ｌ　＋　Ｍ　Ｐ　Ｕ　（Ｍｉｃ
ｒｏＰｒｏｃｅｓｓｉｎｇ　ＩＪｎｉｔ）　１　０　２
　，　Ｆ　Ｃ　Ｃ符号器複合器Ｉ　Ｑ　３，　　ＲＡＭ
　（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）　　
１　０４＋ＤＭＡＣ　　（Ｄｉｒｅｃｔ　Ｍｅｍｏｒｙ
　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌｌｅｒ）１　０　５，
　ＲＯＭ　（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）　１
　０　６　，入力インターフェース１０７，出力インタ
ーフェース↓０８からなるコンピュータに相互診断結果
出力インターフェース１０９，サブシステム間通信イン
ターフェース１１０を付加することによって構或できる
。

出力選択回路５は既に出願されている特願昭６３−１１
８６０３号により提供されているＭ　Ｖ　（Ｍｏｄｉｆ
ｉｅｄ１／ｏｔｅｒ）によればよく、この構或図を第１
１図に示す。

第１表に４重系までのシステムに対応できるＭＶを構或
するため多数決回路に前置するスイッチ・マトリックス
５０の論理表の例を示す。この表でＳ１〜Ｓ４はサブシ
ステム１−１〜１−４についての判定結果（サブシステ
ム１−１〜１−４が正常か以上かという情報）Ｓｌ〜Ｓ
４を表しており、３−１〜３−４はサブシステム１−１
〜１一４からの出力を表す。また、Ｆ．Ｓ．はフエイル
・セーフ信号（全てＯまたはｌ），＊はＤｏｎ’ｔ　Ｃ
ａｒｅを表わす。

サブシステム１−１〜１−３の全てが正常と判定されて
いる場合には３人力の多数決回路５１にはサブシステム
１−１〜１−３の出力３−１〜３−３が入力されて通常
の多数決と同じ動作をする。

サブシステム１−１〜１−３のうち１つのサブシステム
がフォールト状態となった場合には、フォールト状態と
なったサブシステムの出力の代わりにサブシステム１−
４の出力がスイッチ・マトリックス５０を経て出力５０
−４として多数決回路５１に入力される。以上のように
してこの場合にはＭＶにより待機系付き多数決（ＨＭＲ
：Ｈｙｂｒｉｄ　Ｍａｊｏｒｉｔｙ　Ｒｅｄｕｎｄａｎ
ｃｙ）が実現される。このスイッチマトリックスによる
もし■つのサブシステムだけが正常で他が異常である場
合には、多数決回路５１の全入力端子には正常なサブシ
ステムの出力が入力されて，多数決回路５１はサブシス
テムの出力と同一な信号を出力する．このＭＶを３重系
に使用する場合にはサブシステム１−４についての判定
結果Ｓ４をフォールト即ちＯにすればよい。この場合ス
イッチ・マトリックスの論理表は第２表のようになる。

サブシステム１−１〜１−３の全てが正常と判定されて
いる場合には多数決回路５１にはサブシステムｌ−１〜
ｌ−３の出力３−１〜３−３が入力されて通常の多数決
と同じ動作をする。もしｔつのサブシステムだけが正常
で他が異常である場合には、４重系の場合と同様にして
多数決回路５工には正常なサブシステムの出力が入力さ
れて、多数決回路は当該サブシステムの出力と同一な信
号を出力することになる， さらにＭＶを２重系に使用する場合にはサブシステムｌ
−３．１−４についての判定結果Ｓ３，Ｓ４をフォール
ト即ちＯにすればよい。この場合のはスイッチ・マトリ
ックスの論理表は表３のようになる。サブシステムＬ−
１．１−２の両方が正常と判定されている場合には多数
決回路５１の出力では３−１．３−２，Ｆ．Ｓ．の多数
決の結果が得られる。この場合．３−１＝３−２の場合
には３−１（＝３−２）なる出力が得られる。また３−
１≠３−２の場合には３−１．３−２は上かＯのどちら
かであり、Ｆ．Ｓ．は全て１か全て０のいずれかである
ので、多数決回路５工の出力には全て１か全てＯの信号
即ちＦ．Ｓ．が得られる。サブシステム１−１．１−２
の一方が正常と判定されている場合には多数決回路５１
の全入力端子には正常と判定されているサブシステムの
出力が入力されて、多数決回路５ｌは正常と判定されて
いるサブシステムの出力を出力する。

第１２図に本発明の処理の流れを示す。それぞれのサブ
システムでのデータ処理２００−１〜２００−Ｈの結果
は通信路２を経てサブシステム１−１−１−Ｎ間で交換
され，データ比較２０１〜１〜２０１〜Ｎに使用される
。またそれぞれのサブシステムでの自己診断２０２−１
〜２０２−Ｎの結果２０３−１〜２０３−Ｎもサブシス
テム間で交換される。各サブシステム１−１〜１−Ｎの
判定機能２０４−１〜２０４〜Ｎではデータ比第　　１
　　表 第　　２　　表 第　　３　　表 較２０１−１２０〜１−Ｎの結果および交換された自己
診断結果２０３−１〜２０３−Ｎをもとに本発明で提供
する方法により選択すべきサブシステムの出力を決定し
、選択機能２０５−１〜２０５−Ｎで当該出力を選択し
てサブシステムの出力３−１〜３−Ｎとする。

出力選択回路５では、各サブシステム１−１〜１−Ｎよ
りの相互診断結果４−１から４−Ｎにもとづき、サブシ
ステムの出力３−１〜３−Ｈの中から最終出力６を選択
する。

データ処理２００−１　〜２００−Ｎ，データ比較２０
１−１〜２　０　１−Ｎ，判定機能２０４−１〜２０４
−Ｎ，選択機能２０５−１〜２　０　５　−　Ｎはハー
ドウエアでもソフトウエアでも実現することが可能であ
る。システム全体のハードウエア量を削減し小形軽量化
を図るためにはこれらの機能はソフトウエアで実現した
方がよい。

なお、図中、データ比較２０１−２〜２０１一Ｎ，判定
機能２０４−２〜２０４−Ｎ，！！択機能２０５−２〜
２０５−Ｎは省略している。

サブシステム１−１−１−Ｈの設計製作に際して、設計
製造上の誤りが有った場合には，データ処理２００〜１
〜２００−Ｎの結果が同一の誤りを犯すことがある。こ
の場合本方式では誤った処理結果データ同志が一致して
しまうため、誤ったデータをそのまま出力してしまう。

このような弊害を防ぐためには設計製造を多重化（デザ
イン・ダイバーシティ）すればよい。

デザイン・ダイバーシティの方法としては、■　サブシ
ステム１−１〜１−Ｎのハードウエアをそれぞれ別々に
設計製作する。

■　データ処理２００−１〜２００−Ｎ，データ比較２
０１−１〜２０１−Ｎ，判定機能２０４−１〜２０４−
Ｎまたは選択機能２０５−１〜２０５−Ｎをソフトウエ
アにより実現する場合、その全てまたは一部をサブシス
テムごとに別々に設計製作する。

などがあげられる。

特に■の方法はＮ　−Ｖｅｒｓｉｏｎ　Ｐｒｏｇｒａｍ
ｍｉｎｇと呼ばれ、バージョン間の独立性を高めるため
にバージョンごとに別々の言語を用いてプログラミング
するということが広く行われている。

第１３図ならびに第１４図に示す実施例は、ロボットマ
ニピュレータの画像入力の方法をその応用対象とする。

ロボットマニピュレー夕では、操作対象物体の形状，位
置，姿勢等を画像入力装置より採取した画像により認識
し、操作装置の接近開始点と接近角度を決定する。その
場合、本発明のフォールトトレラント方法を以下のよう
に適用する。

第１３図に示すように、複数の画像入力装置を異なる位
置に設置し、異なる角度から操作対象物体を撮影して画
像を採取する。採取した画像を画像入力装置の位置の良
否，画面情報の鮮明度，画像入力装置の正常／異常等に
より評価し、それらの組合せの中で一番信頼性が高く、
一番操作の容易な組合せを選択する。

第１４図（ａ），（ｂ），（ｃ），（ｄ）は、同一操作
対象物体に対して、異なる４方向から採取した画像を表
わしている。物体は基準座標に対し６自由度を持ち、そ
の重心位ｉｐの座標Ｘ，Ｙ，Ｚならびに方向角α，β，
γの合計６コのパラメータによって、その物体の位置な
らびに姿勢が決まる。

これに対し、画像入力装置も６自由度を有し、異なる位
置と角度から物体の画像を得ることができる。第１４図
の各画像は垂直軸まわりの方向角（ヨー角）βが異なっ
ているが、他のパラメータは同一である。これら４面の
画像のすべてが鮮明に得られる場合には、４面すべてを
利用して物体の位置と姿勢の正確な認識結果を得ること
ができる。しかし、何らかの理由で画像の品質が低下し
た場合、４面の画像から得られたパラメータが不一致を
起こす場合がある。このような場合には信頼性の高い画
像から得られた情報を採用し、他を棄却する。第１４図
の例では、重心付近の空間周波数の低さにより、（ｄ）
→（ａ）→（ｂ）→（Ｃ）の順に信頼性が高い。従って
４面の画像が正常に得られて、それらから得られるパラ
メータが大きな誤差なしに一致する場合は、これら４面
の画像をすべて利用してパラメータの信頼性を最大にす
ることができる。しかし、４面の画像から得られるパラ
メータが不一致を起こした場合は、（ｃ）→（ｂ）→（
ａ）→（ｄ）の順に、その画像から得られたパラメータ
を棄却することによって、パラメータの信頼性低下を極
力防止する。

もし、画像入力装置に故障があって、特定の画像が不鮮
明になったり得られなかったりする場合には，残りの画
像に対して信頼性の優先度を与え以下同様にして，得ら
れる限り最高の信頼性を維持する。

画像入力装置と操作対象物体の位置関係は時々刻々変化
して行くために、どの画像入力装置の画像が一番信頼性
が高いかは、画像を常に解析処理して決める必要がある
。このために、例えば第１３図の画像解析処理装置を，
コンピュータを利用して構或することにより，頻繁に画
像の信頼性を評価し，画像入力装置を診断する。

〈判定結果の作成〉 判定結果８１〜ＳＮは ■　特願昭６３−１１８６０３号により提供されている
判定回路により相互診断結果４−１〜４−Ｎから作戒す
る方法や、 ■　サブシステム１−１〜１−Ｎの相互診断結果４−ｔ
〜４−Ｎのうち当該サブシステムについてのものをそれ
ぞれ取り出して判定結果Ｓｌ〜ＳＮとする方法、 などにより作戊する。

また■の方法で、マイクロプロセッサの暴走などにより
誤った判定結果８１〜ＳＮが出力されることのないよう
に、第１５図のようにそれぞれのサブシステムの判定結
果８１〜ＳＮの出力インタフェース１０９−１〜１０９
−Ｎに鍵コードを設け、判定結果８１〜ＳＮを正常とす
るためには特定の鍵コードデータを書き込まなければな
らないようにすればよい． また特願昭６３−１１８６０３号に示すように、ＭＶ５
０や判定回路を多重化してその出力を多数決回路でまと
めることによりＭＶ５０や判定回路の回路が複雑である
ことによる信頼度の低下を防ぐことができ、さらに信頼
度の高いシステムを提供することができる。

第↓６図に判断部分のＣ言語によるコーデイングの例を
示す。ａｇｒｅｅは出力データの一致不一致，ｃｈｅｃ
ｋは自己診断の結果の正常／異常を、ｇｏｏｄは相互診
断結果４−１　〜４−Ｎを表す。ａｇｒｅｅ　，ｃｈｅ
ｃｋ，　ｇｏｏｄのデータの各ｂｉｔは第１７図のよう
にそれぞれのサブシステムの正常／異常を表し，正常な
らばＨ，異常ならばＬレベルを示す。例えば，サブシス
テム１−１のデータが他のサブシステムのデータと一致
せず、他のサブシステム１−２〜ｌ−Ｈのデータ同志は
一致している場合には、変数ａｇｒｅｅのＬＳＢ側から
１ビット目のみがＬ（０）レベルとなり、他のビットは
Ｈ（１）レベルとなる。

また、サブシステム１−１のみが自己診断の結果、異常
と判断された場合には、変数ｃｈｅｃｋのＬＳＢ側から
１ビット目のみがＬ　（０）　レベノレとなり、他のビ
ットはＨ（１）レベルとなる。

以上の様に各変数の構造を定めれば，相互診断結果４−
１〜４−Ｎ即ち変数ｇｏｏｄを得るために必要な判断は
ｂｉｔごとの論理演算により第１６図の実施例のように
容易に実施できる。本実施例によれば、変数ａｇｒｅｅ
，　ｃｈｅｃｋ，　ｇｏｏｄの適切な型宣言を行なうこ
とにより、同一のアルゴリズムによって任意の多重度の
システムに対応することができる。

〔発明の効果〕

本発明によれば、サブシステムが多数残存している場合
には出力の選択基準を厳しくして信頼度の高い出力を得
ることができ、残存しているサブシステムが減少してき
た場合には選択基準を緩めてシステム全体の生存を確保
することができる。

また、出力の信頼度が要求水準を満たさない場合には警
告を発するなどをしてシステムの動作のフエイルセイフ
性を確保することができる。

さらに任意の冗長度に容易に対応できるために，フォー
ルトトレラント・コンピュータ・システムの設計の自由
度を向上させることができる。

【図面の簡単な説明】

第１図，第２図は本発明の実施例を示す図，第３図，第
４図，第５図，第６図，第７図，第８図は判定機能の実
施例を示す図、第９図，第１０図，第１２図，第ｌ５図
は本発明を実施するためのハードウエアの例を示す図、
第１１図はＭＶの構或図、第１３図，第１４図は本発明
を応用した実施例を示す図、第１６図はＣ言語によるコ
ーディングの例を示す図、第１７図はデータ構成の実施
例を示す図、第１８図は従来技術の構成図である。 １−１〜１−Ｎ・・・サブシステム，２・・・通信路、
３−１〜３−Ｎ・・・出力、４−１〜４−Ｎ・相互診断
結果、５，５′・・・出力選択回路、１０−４０〜１−
Ｎ・・・インターフェース、工５・・・多数決回路、工
８・・・スイッチ・マトリックス．３１〜ＳＮ・・・判
定結果、４１０−１〜４１０−Ｎ・・・スイッチ・マ第
１図 第２図 ？ＵＩＪ　−ｉＮ 第 ３ 図 第 ５ 図 第 ４ 図 第 ６ 図 第 ７ 図 第 ９ 図 第 ８ 図 第 １０ 図 １：サブ７ステム 第１１ 図 第 １３ 図 第 １４ 図 （ａ） （ｂ） Ｐ （Ｃ） （ｄ） 第１６ 図 ＃ｄｅｆｉｎｅ ｎｏｎｅ ０ ｅｘｔｅｒｎ ｕｎｓｉｇｎｅｄ ＋ｎｔ ｇｏｏｄ； ｄｉａｇｎｏｓｉｓ（ｃｈｅ＋Ｊ，ａｇｒｅｅ）ｕｎｓ
ｉｇｎｅｄ ＋ｎｔ ｃｈｅ＋Ｊ， ａｇｒｅｅ　； ｛ ｉｆ（ａｇｒｅｅ　＆　ｃｈｅＣｋ） ｇｏｏｄ＝ａｇｒｅｅ　＆ｃｈｅｃｌ（　；ｅｌｓｅ ｉｆ（ａｇｒｅｅ） ｇｏｏｄ＝ａｇｒｅｅ　； ｅａｓｅ ｉｆ（ｃｈｅｃｋ） ｇｏｏｄ＝ｃｈｅｃｌ（　； ｅｌｓｅ ｇｏｏｄ＝ｎｏｎｅ　； 第 １５ 図 ５０ １０−１．１０−Ｎ ：判定結果の出力インターフェース 第 １７ 図 ＭＳＢ ＬＳＢ ＭＳＢ ＬＳＢ

Claims (11)

【特許請求の範囲】
1. １．複数の冗長化されたサブシステムの出力信号は出力
   選択回路に入力され、出力選択回路はサブシステムから
   入力された信号を選択して出力するフォールトトレラン
   ト方法において、 自己診断の結果、異常が検出されず、且つデータ比較の
   結果、データが一致している信頼度が最も高いサブシス
   テムからの出力を最先に選択し、 信頼度が最も高い上記サブシステムが存在しない場合に
   は、自己診断ならびにデータ比較の結果、信頼度が２番
   目に高いサブシステムからの出力を選択し、 ２番目に信頼度が高い上記サブシステムが存在しない場
   合には、自己診断ならびにデータ比較の結果、信頼度が
   順次低い信頼度を有するサブシステムからの出力を選択
   することを特徴とするフォールトトレラント方法。
2. ２．冗長化されたサブシステムにそれぞれ異なる手段ま
   たは異なる位置で採取した信号を入力することを特徴と
   する請求項第１項記載のフォールトトレラント方法。
3. ３．冗長化されたサブシステムにおけるデータ処理をそ
   れぞれ異なる方法（Ｎ−ｖｅｒｓｉｏｎＰｒｏｇｒａｍ
   ｍｉｎｇ）により実現することを特徴とする請求項第１
   項記載のフォールトトレラント方法。
4. ４．複数の冗長化されたサブシステムの出力信号は出力
   選択回路に入力され、出力選択回路はサブシステムから
   入力された信号を選択して出力するフォールトトレラン
   ト方法において、 自己診断の結果、正常であると判断され、且つ他のサブ
   システムとのデータ比較の結果、データが一致している
   信頼度が最も高いサブシステムからの出力を最先に選択
   し、 信頼度が最も高い上記サブシステムが存在しない場合に
   は、データ比較の結果、データが一致しているサブシス
   テムを２番目に信頼度が高いサブシステムとしてそのサ
   ブシステムの出力を選択し、 ２番目に信頼度が高い上記サブシステムが存在しない場
   合には、自己診断の結果、正常であると判定されたサブ
   システムを３番目に信頼度が高いサブシステムとしてそ
   のサブシステムの出力を選択することを特徴とするフォ
   ールトトレラント方法。
5. ５．複数の冗長化されたサブシステムの出力信号は出力
   選択回路に入力され、出力選択回路はサブシステムから
   入力された信号を選択して出力するフォールトトレラン
   ト方法において、 自己診断の結果、ｂｉｔ誤りが発生していないと判定さ
   れ、且つ他のサブシステムとのデータ比較の結果、デー
   タが一致しているサブシステムを１番目に信頼度が高い
   サブシステムとしてそのサブシステムの出力を選択し、 信頼度が最も高い上記サブシステムが存在しない場合に
   は、自己診断の結果、２ｂｉｔ以上の誤りが発生してい
   ないと判定され、且つ他のサブシステムとのデータ比較
   の結果、データが一致しているサブシステムを２番目に
   信頼度が高いサブシステムとしてそのサブシステムの出
   力を選択し、 ２番目に信頼度が高い上記サブシステムが存在しない場
   合には、他のサブシステムとデータ比較の結果、データ
   が一致しているサブシステムを３番目に信頼度が高いサ
   ブシステムとしてそのサブシステムの出力を選択し、 ３番目に信頼度が高い上記サブシステムが存在しない場
   合には、自己診断の結果ｂｉｔ誤りが発生していないと
   判定されたサブシステムを４番目に信頼度が高いサブシ
   ステムとしてそのサブシステムの出力を選択し、 ４番目に信頼度が高い上記サブシステムが存在しない場
   合には、自己診断の結果２ｂｉｔ以上の誤りが発生して
   いないと判定されたサブシステムを５番目に信頼度が高
   いサブシステムとしてそのサブシステムの出力を選択す
   ることを特徴とするフォールトトレラント方法。
6. ６．複数の冗長化されたサブシステムの出力信号は出力
   選択回路に入力され、出力選択回路はサブシステムから
   入力された信号を選択して出力するフォールトトレラン
   ト方法において、 自己診断の結果、正常であると判断され、且つ他のサブ
   システムとのデータ比較の結果、データが一致している
   信頼度が最も高いサブシステムからの出力を最先に選択
   し、 信頼度が最も高い上記サブシステムが存在しない場合に
   は、自己診断の結果、正常であると判定されたサブシス
   テムを２番目に信頼度が高いサブシステムとしてそのサ
   ブシステムの出力を選択し、 ２番目に信頼度が高い上記サブシステムが存在しない場
   合には、データ比較の結果、データが一致しているサブ
   システムを３番目に高いサブシステムとしてそのサブシ
   ステムの出力を選択することを特徴とするフォールトト
   レラント方法。
7. ７．複数の冗長化されたサブシステムの出力信号は出力
   選択回路に入力され、出力選択回路はサブシステムから
   入力された信号を選択して出力するフォールトトレラン
   ト方法において、 自己診断の結果、異常が検出されず、且つデータ比較の
   結果、データが一致している信頼度が最も高いサブシス
   テムからの出力を最先に出力し、 上記信頼度が最も高いサブシステムが存在しない場合に
   は、自己診断ならびにデータ比較の結果、信頼度が２番
   目に高く且つ信頼度が要求水準より高いサブシステムか
   らの出力を選択し、２番目に信頼度が高い上記サブシス
   テムが存在しない場合には、自己診断ならびにデータ比
   較の結果、信頼度が順次低く、且つ信頼度が要求水準よ
   り高い信頼度を有するサブシステムからの出力を選択す
   ることを特徴とするフォールトトレラント方法。
8. ８．複数の冗長化されたサブシステムの出力信号は出力
   選択回路に入力され、出力選択回路はサブシステムから
   入力された信号を選択して出力するフォールトトレラン
   トシステムにおいて、冗長化されたサブシステムの出力
   の信頼度を推定する第１の手段と、 第１の手段により推定された信頼度が、冗長化されたサ
   ブシステムの中で最も高いサブシステムを判定し、該サ
   ブシステムの出力を選択する第２の手段を備えているこ
   とを特徴とするフォールトトレラントシステム。
9. ９．出力の信頼度の要求水準を予め設定し、出力の信頼
   度の要求水準を満たすサブシステムが存在しない場合に
   は、出力を停止または、警告を表す信号を出力すること
   を特徴とする請求項第８項記載のフォールトトレラント
   システム。
10. １０．冗長化されたサブシステムにそれぞれ異なる手段
    または異なる位置で採取した信号を入力することを特徴
    とする請求項第８項記載のフォールトトレラントシステ
    ム。
11. １１．冗長化されたサブシステムにおけるデータ処理を
    それぞれ異なる方法（Ｎ−ｖｅｒｓｉｏｎＰｒｏｇｒａ
    ｍｍｉｎｇ）により実現することを特徴とする請求項第
    ８項記載のフォールトトレラントシステム。