JPH0371201A - フェイルセーフ・データ処理システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔産業上の利用分野〕 本発明はコンピュータ設計技術に関わり、さらに詳しく
はフェイルセーフ機能を具備するリアルタイム制御装置
設計技術に関する。

〔従来の技術及び発明が解決しようとする問題点〕工場
の工程管理、交通網の運行計画または放送通信ネットワ
ークにおける制御操作のようなリアルタイム制御は、信
頼のおける制御処理装置を必要とする。先行技術では、
第１処理装置が主処理装置すなわち活動処理装置であっ
て、制御を受けている装置に実際の制御指令を与え、こ
の被制御装置がさらに活動処理装置の動作を監視し活動
処理装置の故障を検出するとただちに主動作を引き継ぐ
第２処理装置すなわち待機処理装置を具備しているよう
なフェイル・セーフ構成内部に、冗長処理装置を導入し
、装置の信頼性を高めてきた。

この技術は緊急待機冗長処理技術と呼ばれている。

先行技術では、一般に、緊急待機冗長処理システムにお
いて活動プロセッサを監視するために、活動プロセッサ
と待機プロセッサ間に共用ディスクドライブを使用して
いる。活動プロセッサが周期的に共用ディスクドライブ
上に状況ワードを書くと、待機プロセッサはこの状況情
報を読んで主プロセツサが正常に動作しているかどうか
判断する。

待機プロセッサは、共用ディスクドライブ上の状況情報
にもとづいて活動プロセッサに誤動作が生じたものと判
断しない限り、活動プロセッサを引き継ぐことはない。

緊急待機冗長動作に関し、かかる先行技術で１つ問題と
なるのは、活動プロセッサがディスクドライブに情報を
書き込み待機プロセッサがディスクドライブから情報を
読み出すのに要するシークタイムである。待機プロセッ
サが活動動作を引き継ぐときに、用途によっては、円滑
な切換えを要する場合もあるので、この切換えに要する
時間間隔が円滑な切換えに支障をきたすこともある。

もう一つのリアルタイム制御装置に期待される機能は、
工程管理における緊急事態への対応や、放送網管理にお
けるニュース速報のよう江臨時放送への対応など、予定
外の変更に適応できることである。−船釣な先行技術は
、緊急待機冗長処理システムにおけるリアルタイム適応
技術として、リアルタイム情報変更によって変更される
活動プロセッサ内に制御シーケンスを使っているが、待
機プロセッサには何の変更も加えていない。このような
構成の場合、待機プロセッサによる活動プロセッサの誤
動作検出が遅れると、待機プロセッサは、退役した活動
プロセッサが制御しつつある動作を引き継ぎ再作動させ
る前に、待機プロセッサの各メモリ内に最新のデータを
ロードするために、ある一定のデータ・ロード期間を経
なければならない。このために、先行技術の緊急待機技
術においては、待機プロセッサが引き継ぎに要する時間
はさらに長くなる。

リアルタイム制御装置においてイベント（事象）を順次
スケジューリングするため必要なもう１つの機能は、ス
ケジュールを正確に実行せしめることである。先行技術
が開発した装置は、相対的にきわめて短い時間間隔で緊
急待機プロセッサに引き継がせなければならない場合に
は、この要求を満足させることができない。機械の複雑
なネットワークを制御しなければならないリアルタイム
制御装置のもう１つの機能は、接続され、リアルタイム
・プロセッサの制御を受ける従機械の数と種類を拡張で
きることである。先行技術では、リアルタイム制御装置
の構成を急速に変化させることは、既存のシステムを拡
張するためには非常に長い再プログラミングを必要とす
る重大な問題となっている。

〔問題点を解決するための手段及び作用〕したがって、
本発明の主目的は改良型リアルタイム制御システムの設
計技術を提供することにある。

本発明の第２の目的は、先行技術よりも切換えが速いこ
とを特徴とする緊急待機冗長プロセッサを具備するリア
ルタイム制御システム設計技術を提供することにある。

本発１す１の第３の目的は、先行技術の場合よりも短い
時間で活動制御を引き継ぐことができるように、緊急待
機プロセッサのリアルタイム更新が可能な緊急待機冗長
プロセッサ機能を有する改良型リアルタイム制御システ
ム設計技術を提供することである。

したがって、本発明の第４の目的は、スケジュール実行
シーケンスを正確に組立てることができる改良型リアル
タイム制御システムの設計技術を提供することにある。

また、本発明の第５の目的は、柔軟かつ容易に実施でき
る方法で、大規模拡張が可能な改良型リアルタイム制御
システム設計技術を提供することにある。

〔問題点を解決するための手段〕

本発明のかかる目的、特徴および利点は、本明細書に開
示したリアルタイム制御システムによって実現される。

リアルタイム制御システムは、工程管理や放送のスケジ
ューリングのような計画動作の順次実行を制御するもの
として開示されている。このリアルタイム制御システム
には、センダー／リスナー設計技術として特色づけられ
ているフェイル・セーフ機構が用いられている。センダ
ーおよびリスナーに入力されている外部クロックが、両
プロセッサに記憶されている同一スケジュールの周期順
次進行を可能にしている。正常に作動している場合、セ
ンダー・プロセッサは、システムに接続されたホストコ
ントピユータから送られてくるイベント（事象）の実行
を制御する。スケジュールにないイベントやエラーは、
センダー・プロセッサの場合もリスナー◆プロセッサの
場合も、リアルタイムにスケジュールに加えられ処理さ
れる。リスナー・プロセッサは１り御網内のセンダー・
プロセッサの信号を監視しており、センダー・プロセッ
サに故障が生じた場合には、リスナー−プロセッサは、
新たなセンダー・プロセッサとして、ただちに装置を正
しく制御する。リスナー・プロセッサは、引き継ぎに要
する時間の間に故障したセンダー・プロセッサが実行し
漏らした指令を実行した後、処理制御イベントをスケジ
ュール通りに続行する。

〔実施例〕

リアルタイム・フェイル・セーフ処理制御システムを第
１図の全体的ブロック詳細図で示す。本システムは、交
通網の運行計画、通信網のメツセージ送信計画、放送網
の放送イベント計画などにおいて、リアルタイム処理制
御業務を行うために設計されたシステムである。これら
の用途は、定義済みのスケジュール中に指定された実行
されるべきイベントのための命令シーケンスをもっこと
で、共通の特徴を備えている。しかし、実行されるべき
イベントにリアルタイムの変更が生じた場合に本システ
ムを変更に適応させるためには、シーケンス内のイベン
トを迅速に再計画しなおさなければならない。リアルタ
イム処理制御適用業務の多くは、信頼性と可用性の高い
処理装置を必要とするので、フェイル・セーフ・緊急待
機冗長プロセッサを備えている。少なくとも２台のプロ
セッサ、センダー・プロセッサ１０とリスナープロセッ
サ２０が少なくともＬＡＮ１で構成されているローカル
エリアネットワークにおいて、１個以上の被制御デバイ
ス２６に接続されている。好ましい実施例としては、Ｌ
ＡＮＩおよびＬＡＮ２から成る複式ローカルエリアネッ
トワーク配列を、プロセッサ１０および被制御デバイス
２６の間の冗長並列通信リンクとして使用する。一般に
、被制御デバイス２６は、デバイス２６をローカルエリ
アネットワークＬＡＮ１およびＬＡＮ２に接続させてい
るデバイス・コントローラ２４により管理される。複式
ローカルエリアネットワークＬＡＮ１およびＬＡＮ２に
接続されたホスト・プロセッサ２８は、実行すべきもの
として予め初期設定したイベントを、センダー・プロセ
ッサ１０およびリスナー・プロセッサ２０に供給する。

ローカルエリアネットワークＬＡＮ１およびＬＡＮ２に
同じく接続されているシステム操作卓３０は、オペレー
タにリアルタイム更新を可能にせしめるとともに、シス
テムの動作の監視を可能にせしめる。

回線２３の上部でセンダー・プロセッサとリスナー・プ
ロセッサに接続されているシステム・クロックは、両プ
ロセッサが後述のように同期に動作することを保証する
。

第２図は、センダー◆プロセッサ１０およびリスナー・
プロセッサ２０の機能ブロック詳細図であり、これら２
台のプロセッサはハードウェア構成もソフトウェア構成
も同一である。たとえば、プロセッサ１０はプロセッサ
・バス３３を具備しており、このバス３３には、中央演
算処理装置（ＣＰＵ）３２、磁気記憶装置ＤＡＳＤ３４
、ＬＡＮＩに接続されているＬＡＮ１アダプタ３６、Ｌ
ＡＮ２に接続されているＬＡＮ２アダプタ３８、および
ローカルクロック４０に接続された入力を有するコ・プ
ロセッサから威るプログラム式タイマが接続されている
。ローカルクロック４ｏは、システム・クロック２２に
接続されている同期クロック入力２３を有する。コ・プ
ロセッサ４２は、プロセッサ１０の動作に不可欠なプロ
グラム式タイミングを与える。タイム・マネージャー６
１を使用して、タイマ表４４を管理する。バス３３に接
続されているメモリ４６は、複数のスケジューリング表
および実行表ならびに本発明の方法の実行に必要な種々
のソフトウェア・モジュールを格納している。

センダー・プロセッサおよびリスナー・プロセッサの動
作モードは、事前に定めた時間ごとに、センダー・プロ
セッサからローカルエリアネットワークＬＡＮＩおよび
ＬＡＮ２を通してデバイス・コントローラ２４に制御情
報を出さしめ、リスナー・プロセッサ２０にセンダー・
プロセッサを監視せしめ、定められた時間にメツセージ
が転送されることを保証する。センダー・プロセッサが
故障した場合には、リスナー・プロセッサはセンダー・
プロセッサと交渉し、リスナー・プロセッサが引き継ぐ
べきか否かを決定する。センダー・プロセッサ１０およ
びリスナー・プロセッサ２０のメモリ４６は、イベント
実行表４８、制御スケジュール表５０．イベント状況表
５２およびタイマ表４４を具備している。これらの表の
編成を本明細書の表１に示す。センダー・プロセッサの
主機能は、制御処理により実行されるべきイベントを特
定する制御スケジュール表を処理することである。リス
ナー・プロセッサ２０は、同一の表を同期に処理し、セ
ンダー・プロセッサ１０が出力した制御メツセージと比
較するために、処理結果を保存する。制御スケジュール
表５０は、予め設定したスケジュールにしたがってセン
ダー・プロセッサにより処理されるべき時間順次活動機
能を含んでいる。さらに、センダー・プロセッサ１０は
、ホスト・プロセッサ２８から送られてくるイベント・
スケジュールの変更、外部キュー信号、デバイス・コン
トローラのエラー・メツセージ、およびリスナー◆プロ
セッサから送られてくる引き継ぎ要求などのリアルタイ
ム割込みも処理しなければならない。センダー・プロセ
ッサ１０は、さらに、センダー・プロセッサ１０が動作
可能であるという肯定表示をするために、定時間ごとに
、ホスト・プロセッサ２８もしくはシステム操作卓のい
ずれかに送られるハートビートと呼ばれる状況メツセー
ジも生成する。センダー・プロセッサ１０およびリスナ
ー・プロセッサ２０は、ともに、回線２３上のシステム
・クロック２２を使用して各自のクロック４０の同期性
を維持する。ローカルクロック４０、コ・プロセッサ４
２およびタイマ表示４４は、本発明の方法の運用のため
に、プログラム式タイミング間隔を提供するリアルタイ
ム・インターフェース・コ會プロセッサである。

リスナー・プロセッサ２０は、全機能についてセンダー
・プロセッサを監視し、リスナー・プロセッサ２０は、
センダー・プロセッサ１０が故障した場合にはいつでも
システムの制御を引き受ける用意をして、メモリ４６内
のセンダー・プロセッサと同一の構成壱維持する。

センダー◆プロセッサ１０およびリスナー・プロセッサ
２０は、各自のメモリ４６内に同一のソフトウェア・プ
ログラム・モデュールを有しているが、これらのモデュ
ールは、センダー・プロセッサ１０およびリスナー・プ
ロセッサ２０が処理している業務の特殊状態により、特
別な場合には、別個の実行経路を進むこともある。第１
図に基くシステムは、ＬＡＮ１としてトークン・リング
ローカルエリアネットワークを、また、ＬＡＮ２として
副トークン◆リングローカルエリアネットワークを使用
している。ＬＡＮ１およびＬＡＮ２は、フェイル・セー
フ冗長機能の強化のために、並列に運用する。トークン
・リングローカルエリアネットワークは、ローカルエリ
アネットワークに接続されているすべてのプロセッサお
よびすべてのデバイス・コントローラ間における全通信
を可能にする。ＬＡＮ１およびＬＡＮ２を使用する複式
ＬＡＮ構威構成二重メツセージ処理により、システムの
信頼性を高める。ＬＡＮＩおよびＬＡＮ２に使われるト
ークン・リングローカルエリアネットワークについては
、“ＩＢＭトークン・リング・ネットワーク設計技術資
料″　　ＩＢＭマニュアルＮｏ５Ｃ３０−３３７４−０
１に詳細に記載されており、ＩＥＥＥ（電気電子技術者
協会）トークン・リング・ネットワーク規格、８０２．
２および８０２．５に準拠する。ＩＢＭトークン・リン
グ・フレーム・フォーマットの１例を第７図に示す。

リスナー◆プロセッサ２０が、ローカルエリアネットワ
ークＬＡＮＩおよび／またはＬＡＮ２に転送されたメツ
セージを監視していた結果、センダー・プロセッサが正
常に動作していないことを検出すると、リスナー・プロ
セッサ２０は、ローカルエリアネットワークを通して、
センダー・プロセッサ１０に対し引き継ぎ要求を出す。

センダー・プロセッサ１０は、この要求を受けると、要
求を評価し、センダー・プロセッサ内のメモリ４６のシ
ステム状況表を検査して引き継ぎか必要かどうかを決定
する。センダー・プロセッサ１０は、引き継ぎが必要だ
と判断すると、ローカルエリアネットワークＬＡＮ１お
よび／またはＬＡＮ２を通して同意メツセージを送り、
リスナー・プロセッサ２０にこれを知らせる。リスナー
・プロセッサはセンダー・プロセッサから引き継ぎ同意
を受けとると、引き継ぎ処理を開始する。また、一定の
時間がたってもリスナー・プロセッサがセンダー・プロ
セッサ１ｏから何らかの応答が得られなかった場合には
、リスナー・プロセッサ２ｏは自動的に引き継ぎ処理を
開始する。また、センダー・プロセッサ１０がリスナー
・プロセッサの引き継ぎ要求を拒否した場合には、リス
ナー・プロセッサ２０は、自己の制御スケジュール表５
０にエラーが生じていると判断し、リスナー・プロセッ
サとセンダー・プロセッサを再同期させるために、リス
ナー・プロセッサ２０にシステム・ファイルのコピーを
送るよう要求する。

センダー・プロセッサもしくはリスナー・プロセッサ１
０は、ＬＡＮ１もしくはＬＡＮ２のいずれか１つのみの
ローカルエリアネットワークを通してメツセージを受は
取った場合には、このメツセージをＬＡＮＩおよびＬＡ
Ｎ２の両口−カルエリアネットワークを通して受は取っ
たかのように処理し、通信を行わないローカルエリアネ
ットワーク上に故障が生じたものと判断する。デバイス
・コントローラ２４もまたＬＡＮ１およびＬＡＮ２の両
口−カルエリアネットワークを通してメッセージを受け
とるが、デバイス・コントローラ２４は、いずれか１つ
のローカルエリアネットワークのみからメツセージを受
けとった場合には、あたかも両口−カルエリアネットワ
ークを通してメツセージを受は取ったかのようにメツセ
ージを処理する。そしてコントローラは、２番目のＬＡ
Ｎを通して受けた、もし受けた場合、遅延重複メツセー
ジを無視する。このように、ＬＡＮ１もしくはＬＡＮ２
のいずれか一方のＬＡＮにソフト・エラーが生じると、
システムは作動している方のＬＡＮを使用して継続運転
する。

第２図のメモリ４６に格納されている重要なデータ表の
いくつかを次に説明する。制御スケジュール表５０は、
ホスト・プロセッサ２８がセンダー・プロセッサ１０お
よびリスナー・プロセッサ２０の両方に送った表データ
を包含している。この制御スケジュール表５０は、セン
ダー◆プロセッサ１０およびリスナー・プロセッサ２０
がデバイス・コントローラ２４に送るスケジュール制御
メツセージの主預金機構である。

イベント実行表４８は制御スケジュール表５０への索引
の働きをする。イベント実行表４８は、クラスとしてグ
ループ化されたイベントの順序のための初期絶対開始時
間を含んでいる。１つのクラスは、一般に、１つの機能
を果たすために当然のこととして１つのシーケンスで実
行されるいくつかのイベントを含んでいる。イベント実
行表の各エントリは、１クラス内のイベントの初期絶対
開始時間および制御スケジュール表５０内で最初に生ず
るイベントの場所のアドレス・ポインターを含んでいる
。スケジューリング・マネージャー処理は定期的にイベ
ント実行表を走査し、まもなく計画（スケジュール）さ
れるクラスのためのイベント情報が識別される。イベン
ト実行表の各エントリには未開始、開始、完了もしくは
停止のいずれかの状態のままでクラスの状況を維持する
ためにクラス・フラグも含まれている。定時走差間に、
完了したクラスのエントリはイベント実行表から削除さ
れる。本明細書の表１にイベント実行表４８の編成を示
す。

イベント状況表５２は制御スケジュール表内の各イベン
トの処理に使用される状況情報を含んでいる。イベント
状況表のエントリは、イベントが実行されるために計画
されたとき、スケジューリング・マネージャー処理５３
により生成される。

状況フィールドはイベント状況が受理されたときに更新
される。イベント状況は、計画されていない場合、計画
されている場合、メツセージが送られている場合、肯定
応答が受理されている場合、デバイス応答が受理されて
いる場合または停止されている場合がある。さらに、完
了コードが、イベントが実行完了されているか、ソフト
またはハードの故障が検出されたかどうかを表示する。

イベント状況表５２の編成は本明細書表１に示す。

タイマ表４４は、種々の適用業務を処理するために開始
させた時間間隔に関する情報を維持するために使用され
る。ある業務がタイマの開始を要求すると、１つのエン
トリがタイマ表４４内に作成される。タイマ表内に入力
された実行時間は、定期的に、どの時間間隔が満了した
のかを判断するため、ローカルタロツク４０の現時刻と
引き合わせられる。この操作を行うのはコ・プロセッサ
４２で、特殊な時間切れに至った場合はＣＰＵ３２に割
込みを与えるタイム・マネージャー６１を使用する。タ
イマ表４４の編成を本明細書の表１に示す。

センダー・プロセッサ１０およびリスナーｅプロセッサ
２０は、各々、システム状況表５４を具備している。シ
ステム状況表５４は、プロセッサの現動作状態を決定す
る状態データを提供する。

システム状況表は、コ・プロセッサ４２、トークン・リ
ングＬＡＮアダプタ３６および３８の状況、プロセッサ
およびホスト２８の間の適用業務プログラム間通信セツ
ションの状況、ならびにＤＡＳＤ３４その他プロセツサ
１０および２０に関連したハードウェアおよびソフトウ
ェアの状況を含んでいる。これらすべての状況表示は、
プロセッサが正常に動作しているかどうかを表示する単
一２進状況に要約されている。リスナー・プロセッサ２
０よりの引き継ぎ要求に応答してセンダー・プロセッサ
１０が相談をもちかける先はこのシステム状況表５４で
ある。

メモリ４６はまた構成制御表５７を備えており、構成制
御表は、センダーおよびリスナー・プロセッサの１０部
ならびにネットワーク内のデバイス・コントローラおよ
びデバイスのタイプおよびＩＤ部などを含む、システム
に接続されているハードウェアを特定する。これにより
、構成制御表５７はホスト・プロセッサ２８より追加リ
ザーブ・リスナー・プロセッサ、追加デバイス・コント
ローラ、および制御デバイスを具備することを再定義さ
れるので、システム構成の柔軟性は高まる。

デバイスおよびゲート状況表５９は、ネットワーク内の
種々のデバイスおよびゲートの動作状況のトラックを維
持する。メモリ４６は、各種の支援動作を行うためのも
のとして、追加適用業務プログラムおよびオペレーティ
ング・システム・ソフトウェアも備えている。作業用記
憶領域６５もメモリ４６内に含まれている。

センダー・プロセッサ１０およびリスナー・プロセッサ
２０の動作の正常な順序は、第３図の流れ図を参考にす
ると、その真価がよくわかる。この動作をわかり易くす
るため、例をあげよう。この例は表２に示すもので、本
発明のシステムおよび方法を自動ドリル機の工程制御作
業に利用している。自動ドリル機械は、第１図のシステ
ム・ブロック図のデバイス２６の１つであると考える。

ホスト◆プロセッサ２８は、ローカルエリアネットワー
クＬＡＮＩおよび／またはＬＡＮ２を通して、制御スケ
ジュール表５０を含むデータ表をダウンロードする。制
御スケジュール表５０はセンダー・プロセッサ１０およ
びリスナー・プロセッサ２０の両プロセッサにより受理
され、制御スケジュール表内に組込まれていた情報から
、表２に示すようなイベント実行表が作成される。制御
スケジュール表内には３つの処理クラスが伝達されてい
る。第１クラス２３は、５種のイベント、すなわち−順
次的に工作物を適切な位置にセットし、ドリル機械のタ
レットを回転させ、ドリル機械のカッターを加工品に接
触させ、Ｘ方向にカッターを前進させ、ついでカッター
を加工品から離す−のリンク・リストから成る。第２ク
ラスはクラス１４で、工作物を放出するという単一のイ
ベントから戊る。第３クラスはクラス１６で、工作物を
再セットするという単一イベントから成る。イベント実
行表４８の初期セットアツプは、２つの順次クラス、す
なわち、第１クラス２３、次いで、第２クラス１４の工
作物の放出で構成されている。

ローカルクロック４０が最初のイベントの時刻１０時２
９分３０秒になると、第１クラス２３がイベント状況表
５２内で初期設定され、イベント状況表内のイベントに
関連した時間間隔のスケジューリングがタイマ表４４に
入力されることになる。タイマ表４４に入力されたタイ
ムアウト値を表２の例に示す。センダー・プロセッサ１
０からメツセージを受理するためのタイムアウト時間間
隔として、リスナー・プロセッサおよびタイマ表４４に
は１／１０００秒のタイムアウトが入力されている。ま
た、デバイス・コントローラ２４から肯定応答を受信す
るため１０／１０００秒のタイムアウトが設定されてい
る。さらに、デバイス２６よりデバイス応答信号を受理
するため、１００／１０００秒のタイムアウトが設定さ
れている。

第３図において、センダー・プロセッサ１０およびリス
ナー・プロセッサ２０が正常に作動しているときは、タ
イマ表４４は、センダー・プロセッサ１０の場合はステ
ップ６４で、また、リスナー・プロセッサ２０の場合は
ステップ６４′で、次に処理するタスクを識別するため
にタイムアウトする。すると、表２の例のタイマ表４４
に示すごとぐ、両方のプロセッサ内でタスク実行が開始
され、両プロセッサ内で肯定応答タイマが開始され、両
プロセッサのデバイス応答タイマが開始される。さらに
、ステップ６６で、センダー・メツセージ・タイマがリ
スナー・プロセッサ２０により開始せしめられ、センダ
ー・プロセッサ１０からのメツセージ受信のための１／
１０００秒のタイムアウト時間間隔をタイムアウトする
。第３Ａ図は、正常動作時のステップである。センダー
・プロセッサ１０内には、センダー・データが準備され
、センダー・データは複式ＬＡＮ通信マネージャー４５
が遂行するローカルエリアネットワーク・タスクにバス
されたのち、ステップ７２で、ＬＡＮ１およびＬＡＮ２
に指令メツセージが送り出される。このメツセージが送
り出されると、プロセッサ１０はステップ８０に示すよ
うにデバイスコントローラからの肯定応答信号を待つ。

リスナー・プロセッサ２０内では、タスクはセンダー・
プロセッサ１０内で作成されたセンダー・データの複写
であるリスナー・データを準備している、リスナー・デ
ータは、リスナー・プロセッサ２０内でさらにリスナー
・データ・バッファ５８にロードされるが、ＬＡＮには
送り出されない。リスナー・プロセッサ２０は、次に、
ＬＡＮ１もしくはＬＡＮ２のいずれか、または両方を通
してセンダー・プロセッサ１０から送られてくるメツセ
ージ受信のため待機する。ステップ７４において、リス
ナー・プロセッサ２０はＬＡＮＩもしくはＬＡＮ２のい
ずれかを通してセンダー・プロセッサ１０が送信した指
令メツセージを受信する。受信したメツセージはリスナ
ー・プロセッサ２０のレシーブ・データ◆バッファ５６
に記憶される。レシーブ・データが指令メツセージであ
ることを確認すると、ステップ７６に示すように、セン
ダー・プロセッサ１０から送られてきて現在レシーブ・
データ・バッファ５６に格納されているレシーブ・デー
タは、比較機構６０によって、リスナー・データ・バッ
ファ５８に格納されているデータと比較される。両方の
データが同一の順序番号を有するかどうかがここで確認
される。リスナー・データ・バッファ５８のデータがレ
シーブ・データ・バッファ５６内のセンダー・プロセッ
サ１０から送られてきたデータに対応する場合には、ス
テップ７８において、タイマ表４４のセンダー・メツセ
ージ・タイマは取り消され、リスナー・プロセッサ２０
は、ステップ８０において、デバイス・コントローラ２
４からの肯定応答信号を待つ。

デバイス・コントローラ２４は、センダー・プロセッサ
１０からの制御メツセージを受信すると、ＬＡＮ１およ
びＬＡＮ２を通して肯定応答メツセージを送り出す。本
明細書に開示した特定の実施例では、■ＢＭトークン・
リング・ネットワークは機能アドレスと呼ばれる特殊の
グループ・アドレスを有している。これは、ＩＥＥＥ８
０２．５のグループ・アドレスの特殊形式である。この
アドレス技術ならびに１８Ｍトークン・リング設計技術
およびＩ　ＥＥＥ規定８０２．２のソース・アクセス・
ポイント・アドレス（ＳＡＰ）を利用することにより、
センダー・プロセッサおよびリスナー・プロセッサは互
いに通信し、デバイス・コントローラ２４から肯定応答
信号を受信することができる。機能アドレスおよびＳＡ
Ｐアドレスはともに、適用業務が肯定応答信号を発信で
きるように、特殊なメツセージ・ヘッダに使用されてい
る。Ｉ　ＥＥＥ規定８０２．２の低レベル協定を使用し
た場合には必ずしも応答が得られるとは限らない。しか
し、特殊メツセージの制御フィールドを利用してフレー
ムを受信してこだまのように帰すことにより、コントロ
ーラ２４はセンダー・プロセッサ１０およびリスナー・
プロセッサ２０に肯定応答信号を返送することができる
。

第３図においてセンダー・プロセッサ１ｏの場合はステ
ップ８２およびリスナー・プロセッサ２０の場合はステ
ップ８２′で、肯定応答信号を受信し、受信した信号を
確認すると、タイマ表４４の肯定応答タイマを取り消す
。そして、センダー・プロセッサ１０およびリスナー・
プロセッサ２０はデバイス２６からの応答信号を待つ。

センダー・プロセッサ１０はステップ８４において、ま
たリスナー・プロセッサ２０はステップ８４において、
デバイス応答を受信して確認すると、デバイス応答タイ
マがタイマ表４４内で取消される。

このセンダー・プロセッサ１ｏの正常動作例においては
、応答データはステップ８６でデバイス応答タスクにバ
スされる。リスナー・プロセッサ２０においても、同様
に、応答データはステップ８６′でデバイス応答タスク
しバスされる。

本明細書の表３に、スケジュール・クラスのリアルタイ
ム更新例を示す。表２の例において、りラス２３が１０
峙２９分３０秒に開始されると、次に計画されるのはド
リル機械の工作物をエジェクトさせる゛クラス１４であ
る。クラス１４の開始時刻である１０時３０分０秒前に
、クラス１４はホスト・プロセッサ２２によりリアルタ
イムに更新される。この動作が表３で示す動作である。

ホスト・プロセッサ２２は新クラスすなわちクラス１６
をダウンロードする。クラス１６はＬＡＮＩおよびＬＡ
Ｎ２を通してセンダー・プロセッサ１０およびリスナー
・プロセッサ２０に送られ、イベント実行表４８に入力
され、滞在中のクラス１４と入れ代わる。イベント実行
表４８の各クラスは、リンク・リストにより、時間順次
方式で編成されている。表３においては、イベント実行
表４８は、クラス１４のリンク・リストを開いて、クラ
ス１６のエントリにリンク・リストを再経路指定し、ク
ラス１４をイベント実行表４８から有効的に除くことに
より、リアルタイムに更新を完了する。クラス１６内の
イベントが制御スケジュール表５０内に未だ存在してな
い場合には、この時点でかかるイベントもホスト２２か
らダウンロードされる。実行すべきスケジュールは、制
御スケジュール表５０内の変更の対象となるイベントの
クラスの最初期開始時間前であれば、いつでもリアルタ
イム更新することができる。このようにして実行すべき
スケジュールのリアルタイム更新が完了する。この更新
処理はセンダー・プロセッサ１０およびリスナー・プロ
セッサ２０の両方で並列に行われる。表３は、１０時間
２９分３２秒時のセンダー・プロセッサ１０およびリス
ナー・プロセッサ２０の両プロセッサのため各データ表
であり、次スケジュール・クラスのリアルタイム更新を
示す表である。

第４図にセンダー・プロセッサ１０およびリスナー・プ
ロセッサ２０の動作について、リスナー・プロセッサの
故障によりセンダー・プロセッサが送信した指令メツセ
ージをリスナー・プロセッサが受信しそこなった場合の
事例Ｂを図解する。

センダー・プロセッサ１０におけるステップ６４からス
テップ８０に至るステップ順序は、第３図で説明した正
常動作の場合と同じである。リスナー・プロセッサ２０
におけるステップ６４′からステップ７０に至るステッ
プ、およびＬＡＮ１もしくはＬＡＮ２のいずれかでメツ
セージを持つことも第４図において第３図と同じである
。第４図に示すように、センダー・プロセッサが送信し
た指令メツセージをリスナー・プロセッサが受信できな
いでいる間に、センダー・メツセージ◆タイマは、ステ
ップ８８に示すように、リスナー表タイマ内で満了する
。このようにして、リスナー・プロセッサ２０内のリス
ナー・テイクオーバー・マネージャー５１は、ステップ
９２でリスナー状況表５４を確認し、ステップ９４で引
き継ぎ要求をＬＡＮ１およびＬＡＮ２を通してセンダー
・プロセス１０に送信することにより、ステップ９０で
ティクオーバー・タスクを開始する。ステップ９６で、
センダー・プロセッサはティクオーバー要求をリスナー
◆プロセッサから受信する。次いで、センダー◆プロセ
ッサは、ステップ１０２において、センダー・プロセッ
サのシステム状況表５４を確認する。このシステム状況
表５４に故障が表示されていないので、センダー・プロ
セッサはステップ１０４でリスナー・プロセッサに拒否
メツセージを送る。拒否メツセージは、ＬＡＮ　１およ
びＬＡＮ２により、リスナー・プロセッサ２０のステッ
プ１０６で、リスナー・プロセッサによって受信される
。リスナー・プロセッサは拒否メツセージを受けとると
、ステップ１１０において、ステップ９８で開始したテ
ィクオーバー・タイマを取消し、リスナーｅプロセッサ
のステップ１１２で、センダー・プロセッサに対し各デ
ータ表の新しいコピーを送るよう要求する。センダー◆
プロセッサのステップ１１４において、センダー・プロ
セッサは新しいコピーの送信要求を受け、ステップ１１
６でこの要求を肯定し、ステップ１１８でリスナー◆プ
ロセッサは肯定応答を受信する。次ぎに、センダー・プ
ロセッサは、ステップ１２０において、リスナー◆プロ
セッサ２０に送信するため各データ表の作成にとりかか
り、さらに、リスナー・プロセッサに各データ表を送る
ことができる十分な広さをもったタイム・ウィンドーを
探す。次いで、センダー・プロセッサは、ステップ１２
２で、各データ表を送り、リスナーＱプロセッサは、リ
スナー・プロセッサのステップ１２４で、これらのデー
タ表を受けとる。リスナー◆ブロセヅサは、センダー・
プロセッサからデータ・テーブルの新しいコピーをすべ
て受けとると、ステップ１２６で正常処理に戻り、セン
ダー・プロセッサ１０の動作を監視する。

センダー・プロセッサがＬＡＮＩおよびＬＡＮ２を通し
てデータ表を送っているようなステップ１２２のあいだ
に、ステップ１２８において、エラーメツセージやデバ
イスコントローラからの応答などの非同期外部イベント
その他の非同期イベントが生じると、センダー・プロセ
ッサはステップ１３０でデータ表の送信を中断し、リス
ナー・プロセッサに対し、ステップ１３２でデータ表の
送信を初めから再開することを知らせる。センダー・プ
ロセッサ内の処理は次にステップ１２０にループバック
し、センダー◆プロセッサはデータ表のコピーを送信す
るために十分な広さのウィンドを探す。データ表の全コ
ピーがリスナー・プロセッサ２０に完全に送信されると
、リスナー・プロセッサはステップ１２６で正常処理に
戻る。

第５図は、センダー・プロセッサがスケジュール・メツ
セージを送れなかったため、リスナー・プロセッサが交
渉引き継ぎを行う結果に至る事例Ｃの場合のセンダー・
プロセッサ１０およびリスナー・プロセッサ２０の動作
ステップの順序を図解する。第５図において、センダー
・プロセッサ１０のステップ６４から６８までは第３図
のステップ６４から６８と同じである。同様に、リスナ
ー・プロセッサ２０のステップ６４′から７０までは第
３図のステップ６４′から７０までと同じである。本明
細書表４は、例に示すように１０時２９分３２秒におい
てセンダー◆プロセッサの故障によりリスナー・プロセ
ッサが引き継ぎを行っている間に生じたイベントの時間
順序を示しているが、この表４について言及する。１０
時２９分３０秒において、センダー・プロセッサの状況
テーブル５４が”ＯＫ’と表示し、センダー・プロセッ
サが工作物をセットさせる制御メツセージ２３００を送
信したことがわかる。制御メツセージが送信されたこと
はリスナー・プロセッサのレシーブ・データ・バッファ
５６に受信されていることかられかる。リスナー・プロ
セッサ２０も制御メツセージ２３００を生成させており
、このメツセージはリスナー・データ・バッファ５８内
に置かれている。また、表４に示すように、５７１００
０秒後に肯定応答信号がリスナー・プロセッサのレシー
ブ・データ・バッファ５６に受信され、５０／１０００
秒後にデバイス応答信号がリスナー・プロセッサのレシ
ーブ◆データ・バッファ５６に受信されている。

表４において、１０時２９分３２秒で、リスナー・デー
タ・バッファ５８がタレットを回転させる第２のイベン
ト・メツセージを生成した時点においては、リスナー・
プロセッサのレシーブ・データ・バッファ５６の内容が
空であることかられかるように、センダー・プロセッサ
１０からＬＡＮＩもしくはＬＡＮ２を通して対応するメ
ツセージはなにも送られてない。このことは、リスナー
・プロセッサ２０が推断しているようにセンダー・プロ
セッサの故障を示している。そこで、リスナー・プロセ
ッサは、第５図のステップ９４で、引き継ぎ要求を開始
する。この引き継ぎ要求は、ＬＡＮ１およびＬＡＮ２に
より、センダー・プロセッサ１０に送られ、ステップ９
６で受けとられる。リスナー・プロセッサは一方でティ
クオーバー・タイマを開始させる。第５図に示すように
、センダー・プロセッサ１０はステップ１００でセンダ
ー状況表５４を確認し、ステップ１０２に示すようにセ
ンダー状況に欠陥があると判断する。このことは、表４
のセンダー状況表５４の欄にも表示されている。次ぎに
、センダー・プロセッサ１０はステップ１３４で引き継
ぎ同意メツセージをリスナー・プロセッサ２０に送信す
る。この同意メツセージは、ＬＡＮ１およびＬＡＮ３を
通してリスナー・プロセッサ２０に転送され、ステップ
１３８で受信される。これに応じて、リスナー・プロセ
ッサは、ステップ１４４で自己の状況を変えて“センダ
ー”状態となり、次にステップ１４６で自己の新状況を
知られるメツセージをホスト・プロセッサ２８かもしく
は制御操作卓３０のいずれかに送る。現在“センダー°
状態にあるリスナー・プロセッサ２０は、引き継ぎの完
了に要した時間にリスナー・プロセッサ２０内で発生し
た制御メツセージを保持していたリスナー・データ・バ
ッファ５８にアクセスする。表４でこの事情を説明する
。１０時２９分３２秒に、タレットを回転させるための
制御メツセージ２３０１がリスナー・プロセッサ２０に
より生成される。

５００／１０００秒後に、カッターを接触させるための
制御メツセージ２３０２が生成される。さらに進んで、
１０時２９分３３秒に、カッターを前進させるための制
御メツセージ２３０３が生成されている。これらの３個
のメツセージ、２３０１．２３０２および２３０３は、
リスナー・プロセッサ２０内で生成されて、リスナー・
データ・バッファ５８内に保存されていたものである。

１０時２９り〕３３秒に、リスナー・プロセッサ２０は
、ステップ１４４で、自装置の状況を“センダー”状態
に完全に変え、リスナー・データ・バッファ５８内に保
存されただけで未だＬＡＮを通してデバイス・コントロ
ーラ２４およびデバイス２６に転送されていない制御メ
ツセージを求めて、リスナー・データ・バッファ５８の
内容にアクセスを開始する。表４に示すように、１０　
峙２つ分３３秒に、タレットを回転させるメツセージ２
３０１がリスナーやプロセッサのセンド−データやバッ
ファ６２を通してＬＡＮＩおよびＬＡＮ２に出力される
。次いで、表４に示すように、５／１０００秒内にデバ
イス・コントローラが送った肯定応答信号を受信し、ま
た、５０／１０００秒内にデバイス・コントローラが送
ったデバイス応答信号を受信する。受信し終わるとリス
ナー−プロセッサは、リスナー・データ・バッファ５８
にアクセスし、メツセージ２３０２がリスナー・プロセ
ッサのセンド・データ・バッファ６２を通してＬＡＮに
出力される。次いで、リスナー・プロセッサは５／１０
００秒内に肯定応答信号を受信し、また５０／１０００
秒内にデバイス応答信号を受信する。次ぎに、リスナー
・プロセッサ２０は、リスナー・プロセッサのセンド・
データ・バッファ６２を通して次にＬＡＮに出力される
メツセージ２３０３を求めて、リスナー・データ・バッ
ファ５８にアクセスする。このあと、５／１０００秒内
に肯定応答信号を受信し、また、５０／１０００秒内に
デバイス応答信号を受けとる。次ぎに、表４に示すよう
に、１０時２９分３５秒には、リスナー・データ◆バッ
ファ５８には引き継ぎに要した時間中に保持されていた
遅延メツセージは無くなり、カッター引き離しのための
メツセージ２３０４は現時点で生成されたものとなる。

このメツセージは、リスナー・プロセッサのセンド・デ
ータ・バッファ６２を通してＬＡＮに出力される。リス
ナー・プロセッサは、ここに至って、初期に意図したス
ケジュール通りにメツセージを転送し、このようにして
第５図に示すように、ステップ１５０において、正常な
センダー・データ・フローを回復する。

第６図において、センダー・プロセッサが完全に故障し
、リスナー・プロセッサが先制引き継ぎを行わざるをえ
なくなった場合の、センダー・プロセッサ１０およびリ
スナー・プロセッサ２０の動作を示す。第６図のセンダ
ー・プロセッサの動作のステップ６４から１０２′まで
は、第５図の同ステップと同じである。第６図のリスナ
ー・プロセッサの動作のステップ６４′から９８は、第
５図の同ステップと同じである。第６図に示すように、
センダー・プロセッサ１０は、リスナー・プロセッサ２
０がステップ９４で送ってきた引き継ぎ要求に対し、ス
テップ１５２で応答することができない。このため、リ
スナー・プロセッサ２０のステップ１５４で、ティクオ
ーバー・タイマはセンダー・プロセッサからの応答を受
けとらないまま時間満了になる。そこで、リスナー・プ
ロセッサ２０はステップ１４４で自動的に自装置の状況
を“センダー”状態に変えて、第５図に説明した場合と
同じステップ１４６．１４８および１５０を継続実行す
る。リスナー・プロセッサ２０はこのようにしてセンダ
ー・プロセッサの動作を先制的に引き継ぎ、正常なセン
ダー・データ・フローを回復する。

表５は本発明のテレビ・ネットワーク放送計画への利用
例である。３０秒コマーシャル連続２本から戊るスポッ
トを１０時３０分に放映するためのデータ表の例が表５
である。イベント実行表４８はクラス２３およびクラス
１４を含んでいる。

制御スケジュール表５０はこれら２クラスのエレメント
を含んでいる。エレメント２３００から２３０４はクラ
ス２３に対応し、エレメント１４００はクラス１４に対
応している。１０時２９分３０秒に、イベントがビデオ
テープ１にキューを送り、クラス２３が開始する。５秒
後、イベント２３００が完了すると、次のイベント２３
０１が続いてビデオテープ２にキューを送る。

５秒経過すると第３のイベント２３０２が続き、ビデオ
テープ１および２をネットワークに切り換える。次いで
、第４のイベント２３０２が１０時３０分に開始し、テ
ープ１を再生する。第５イベント２３０４は１０時３０
分３０秒に開始し、テープ２を再生する。これでクラス
２３のイベントは完了し、イベント実行表４８はクラス
１４を開始する。クラス１４は制御スケジュール表５０
内に特定されており、放送衛星供給に切り換えるイベン
ト１４００より成る。上記により、本発明のリアルタイ
ム・フェイル・セーフ処理制御システムを、テレビのプ
ログラミング計画およびテレビ・ネットワーク放送設備
の制御へ利用できることがわかる。

表６は本発明を車の交通規制に利用する例である。表６
は、車の交通制御のためのデータ表の例であり、条件付
きブランチの例を説明している。

表６には、クラス２４を含む作業用記憶域６５が記載さ
れている。クラス２４の構成イベントは、イベント２４
００から２４０４として制御スケジュール表５０内に格
納されている。イベント実行表４８は現時点で２クラス
、すなわち、クラス１４とクラス２３、を有している。

クラス１４は、制御スケジュール表５０内でイベント１
４００として特定されている構成イベントを有し、また
、クラス２３は、制御スケジュール表５０内でイベント
２４００から２４０４として特定されている構成イベン
トを有する。イベント実行表４８は１１時Ｏ分に開始す
るクラス１４を含んでおり、この１１時Ｏ分に、イベン
ト１４００は１番通りにおける交通量測定を制御するこ
とを制御スケジュール表内５０で特定されている。測定
した結果、１分当りの交通量が車１００台を超す場合に
は、クラス２４が作業用記憶域６５からイベント実行表
４８内にロードされ、現時点でイベント実行表内に内在
しているクラス２３と入れ代わる。１分当たりの交通量
が１００台以下であれば、構成イベント２３００から２
３０４を含むクラス２３が１２時間０分時に順次的に実
行開始され、これらイベントは１番通りから５番通りま
での青信号を順次１分間にセットする。また、１１：０
０に測定した交通量が１分間当たり１００台を超える場
合には、作業用記憶域６５からクラス２４がアクセスし
てイベント実行表４８内のクラス２３に入れ代わってい
るので、１２時Ｏ分には、イベント２４００から２４０
４の順序が実行され、１番通りから５番通りの青信号は
２分間に設定されることになる。このようにして、本発
明のリアルタイム・フェイル・セーフ処理制御システム
および方法を車の交通制御業務に適用することができる
。

さらに、また、リアルタイム変更およびリアルタイム条
件は、イベントの計画された順序を変更させるブランチ
動作を生成することができる。

本発−明の別の実施例を第８図に示す。第８図において
、第１図の設計技術は、リザーブ・プロセッサ２０を追
加することにより、増加されている。

リザーブ・プロセッサ２０′は、現リスナー・プロセッ
サ２０がセンダー・プロセッサの動作を引き継がなけれ
ばならなくなった場合に、リスナー・プロセッサ状況に
変わることができる。新リスナー・プロセッサ状況を引
き受ける場合のリザーブ・プロセッサ２０’の動作を第
９図の流れ図で示す。第９図において、リザーブ・プロ
セッサ２０′は、ステップ１６０において、ＬＡＮ１お
よびＬＡＮ２のメツセージを監視している。リザーブ・
プロセッサ２０′は、ステップ１６２において、リスナ
ー◆プロセッサ２０がセンダー・プロセッサ１０に出力
した引き継ぎ要求を検出すると、次に、ステップ１６４
において、自装置のタイマ表４４内のタイムアウト時間
間隔をセットする。リザーブ◆プロセッサ２０’　は、
リスナー・プロセッサ２０と同じ第２図に示すハードウ
ェア構成およびソフトウェア構成をもっている。リザー
ブ・プロセッサは、次に、ステップ１６６でＬＡＮＩお
よびＬＡＮ２上のメツセージの監視を続ける。リザーブ
・プロセッサは、ステップ１６８において、センダー・
プロセッサが発した拒否メツセージを検出すると、ステ
ップ１６０に戻ってＬＡＮＩおよびＬＡＮ２上のメツセ
ージを監視し続ける。また、ステップ１６８で拒否メツ
セージを検出しなかった場合には、リザーブ・プロセッ
サ２０’　は、ステップ１７０で、引き継ぎのためのタ
イムアウトが満了したかどうかを判断する。

タイムアウトが満了しているとリザーブ・プロセッサは
ステップ１７４に進み、リスナー・プロセッサが新セン
ダー・プロセッサとなって引き継ぐのを待つ。タイムア
ウトが満了してない場合には、リザーブ・プロセッサ２
０′はステップ１７２に進み、センダー・プロセッサ１
０がＬＡＮ上に肯定応答メツセージを送り出したかどう
かを判断する。肯定応答メツセージが送り出されてない
場合には、ステップ１７２はステップ１６６にループバ
ックし、リザーブ・プロセッサはＬＡＮＩおよびＬＡＮ
２を監視し続ける。センダー・プロセッサが肯定メツセ
ージを送り出した場合には、ステップ１７２からステッ
プ１７４に進み、リザーブ・プロセッサは、新センダー
・プロセッサとして引き継ぐリスナー・プロセッサを待
つ。リスナー・プロセッサ２０が新センダー・プロセッ
サとしてセンダー・プロセッサの動作を引き継いだ後、
リザーブ・プロセッサ２０′は、ステップ１７６におい
て、新センダー・プロセッサ２０に新データ表を要求す
る。リザーブ・プロセッサ２０’　は、次に、ステップ
１７８において、リザーブ・プロセッサとしての状況か
ら、新リスナー・プロセッサ状況へと変わる。次いで、
リザーブ・プロセッサ２０′は、リスナー・プロセッサ
としての新状況で、リスナー・プロセッサとしての正常
動作を果すため、ＬＡＮ１およびＬＡＮ２上のセンダー
・プロセッサのメツセージの監視を開始する。

本発明の特定の具体例を開示したが、当該技術に知識を
有する人は、本発明の適用範囲を逸脱することなく上記
の特定の具体例に変更を加えられ

【図面の簡単な説明】

第１図は、リアルタイム・フェイル・セーフ・プロセス
制御システムの全体的設計図、第２図は、センダー・プ
ロセッサ１０またはリスナー・プロセッサ２０の機能ブ
ロック詳細図、第３図は、図３Ａおよび３Ｂから成り、
センダー・プロセッサおよびリスナー・プロセッサの正
常動作の流れ図、 第４図は、図４Ａ、４Ｂおよび４Ｃから成り、リスナー
・プロセッサが、センダー・プロセッサから送られてき
た指令メツセージを受けとりそこねたときの、センダー
・プロセッサおよびリスナー・プロセッサの動作の流れ
図、 第５図は、図５Ａと５Ｂから成り、センダー・プロセッ
サが計画されているメツセージを送りそこなった結果、
リスナー・プロセッサが交渉引き継ぎを行った場合の、
センダー・プロセッサおよびリスナー・プロセッサの動
作の流れ図、第６図は、図６Ａと６Ｂから成り、センダ
ー・プロセッサが全面的に故障した結果、リスナー・プ
ロセッサが先制引き継ぎを行う場合の、センダー・プロ
セッサおよびリスナー◆プロセッサの動作の流れ図、 第７図は、センダー・プロセッサもしくはリスナー・プ
ロセッサがＬＡＮに出力した制御メツセージのフォーマ
ットの一般図、 第８図は、リザーブ・プロセッサ２０′を含むリアルタ
イム・フェイル−セーフ・プロセス制御システムの変更
態様の全体的設計図、 第９図は、リザーブ・プロセッサ２０′が新たなリスナ
ー・プロセッサの状況になったときの、リザーブ・プロ
セッサ２０′の動作の流れ図である。 １０・・・センダー・プロセッサ、２０・・・リスナー
・プロセッサ、２２・・・システム・クロック、２４・
・・デバイス・コントローラ、２６・・・被制御デバイ
ス、２８・・・ホストプロセッサ、３０・・・システム
操作卓、３２・・・中央演算処理装置、３４・・・直接
アクセス記憶装置、３６・・・ＬＡＮ１アダプタ、３８
・・・ＬＡＮ２アダプタ、４０・・・ローカルタロツク
、４２・・・コ・プロセッサ、４４・・・タイマ表、４
６・・・メモリ記憶装置。

Claims (1)

1. 【特許請求の範囲】 １、複数のデバイスのリアルタイム制御用のフェイルセ
   ーフ・データ処理システムであって、複数のデバイスが
   結合されており、デバイス制御メッセージを前記複数の
   デバイスに伝達するためのＬＡＮと、 前記システム用の周期時間基準を発生するためのシステ
   ム・クロックと、 センターモードで動作し、前記システム・クロックに結
   合されたクロック入力を有し、前記ＬＡＮに接続され、
   第１の制御スケジュール表、プロセッサ状況表、及び制
   御プログラムを記憶する記憶装置を有する第１のデータ
   プロセッサであって、前記第１の制御スケジュール表か
   らデータにアクセスし、またデバイス・コマンド・メッ
   セージの第２のシーケンスを生成するための前記制御プ
   ログラム中の命令段階を順次実行し、また前記複数のデ
   バイスへの伝送と前記プロセッサ状況表中の前記第１の
   プロセッサの健全な状態を更新するために、前記メッセ
   ージを前記ＬＡＮに出力するための第１のデータプロセ
   ッサと、 リスナーモードで作動し、前記システム・クロックに結
   合されたクロック入力部を有し、前記ＬＡＮに結合され
   ており、また第２の制御スケジュール表と前記制御プロ
   グラムを記憶する記憶装置とを有する第２のデータプロ
   セッサであって、前記第２の制御スケジュール表からデ
   ータにアクセスし、また前記デバイス・コマンド・メッ
   セージの第１のシーケンスと同一のデバイス・コマンド
   ・メッセージの第２のシーケンスを生成するための前記
   制御プログラム中の命令段階を順次実行し、また前記デ
   バイス・コマンド・メッセージの第２のシーケンスをリ
   スナー・データ・バッファ中でバッファするための第２
   のデータプロセッサであって、前記コマンド・メッセー
   ジの第１のシーケンスを前記ＬＡＮに受信し、前記コマ
   ンド・メッセージの第１のシーケンスを前記ＬＡＮから
   前記第２のデータプロセッサ内のレシーブ・データ・バ
   ッファに送信する前記第２のデータプロセッサと、 前記リスナー・データ・バッファと前記レシーブ・デー
   タ・バッファとに連結された前記第２のデータプロセッ
   サ内にあって、前記デバイス・コマンド・メッセージの
   第１のシーケンスを前記デバイス・コマンド・メッセー
   ジの第２のメッセージと比較するための比較手段と、 前記比較手段に連結された前記第２のデータプロセッサ
   内にあり、前記ＬＡＮに対するテイクオーバー要求を、
   前記デバイス・コマンド・メッセージの第１のシーケン
   スが前記デバイス・コマンド・メッセージの第２のシー
   ケンスと同一でない時に、前記第１のデータプロセッサ
   に入力するためのリスナー・テイクオーバー手段であっ
   て、更に前記第２のデータプロセッサ内のテイクオーバ
   ー・インターバル・タイマを始動せしめて所定のタイム
   アウト値で終了せしめる、リスナー・テイクオーバー手
   段と、 前記ＬＡＮに連結された前記第１のデータプロセッサ内
   にあって、前記テイクオーバー要求を受信し、それに応
   じて、前記第１のプロセッサが前記センダーモードに於
   て作動を継続出来るか否かを決定するために前記プロセ
   ッサの状況をチェックするためのテイクオーバー応答手
   段とより成り、前記第１のプロセッサが前記センダーモ
   ードを継続することが出来ないことを前記プロセッサの
   状況表が示しているときは、前記テイクオーバー応答手
   段が前記ＬＡＮを通して前記第２のプロセッサに同意の
   メッセージを出力し、前記第２のデータプロセッサ内の
   リスナー・テイクオーバー手段が、それに応答して前記
   第２のプロセッサを前記センダーモードに変化せしめ、
   前記リスナー・データ・バッファ内の前記デバイス・コ
   マンド・メッセージの第２のシーケンスにアクセスし、
   また前記ＬＡＮを経てデバイス・コマンド・メッセージ
   を前記複数のデバイスに出力することを特徴とする、フ
   ェイルセーフ・データ処理システム。 ２、請求項１記載のシステムに於て、更に前記第１のプ
   ロセッサが前記センダーモードを継続することが出来る
   ことを前記プロセッサ状況表が示している時には、前記
   ＬＡＮを介して前記第２のプロセッサに拒否メッセージ
   を出力することと、前記第２のデータプロセッサ内のリ
   スナー・テイクオーバー手段がそれに応答して前記第１
   のデータプロセッサに前記制御状況表の新しいコピー要
   求を送信することと、それに応答して前記第１のデータ
   プロセッサが前記制御状況表の前記の新しいコピーを前
   記第２のデータプロセッサに送信することを特徴とする
   システム。 ３、請求項１記載のシステムに於て、前記第１のデータ
   プロセッサが前記テイクオーバー要求に応答する前に前
   記テイクオーバー・インターバル・タイマが終了すると
   、前記第２のデータプロセッサ内の前記リスナー・テイ
   クオーバー手段が前記第２のデータプロセッサを前記セ
   ンダーモードの動作に変更し、前記リスナー・データ・
   バッファ内の前記デバイス・コマンド・メッセージの第
   ２のシステムにアクセスし、前記ＬＡＮを通してデバイ
   ス・コマンド・メッセージを前記複数のデバイスに出力
   することを特徴とするシステム。４、複数のデバイスの
   リアルタイム制御用のフェイルセーフ・データ処理シス
   テムであって、複数のデバイスが結合されており、デバ
   イス制御メッセージを前記複数のデバイスに伝達するた
   めの回路網と、 前記システム用の周期時間基準を発生するためのシステ
   ム・クロックと、 前記回路網と結合され、センダーモードで動作し、前記
   システム・クロックに結合されたクロック入力部を有し
   、また第１の制御スケジュール表、プロセッサ状況表及
   び制御プログラムを記憶する記憶装置を有する第１のデ
   ータプロセッサであって、前記第１の制御スケジュール
   表からデータにアクセスし、また前記複数のデバイスに
   出力されるデバイス・コマンド・メッセージの第１のシ
   ーケンスを生成するため、及び前記プロセッサ状況表中
   の前記第１の健全状況を更新するための第１のプロセッ
   サと、 前記回路網と結合され、リスナーモードで動作し、前記
   システム・クロックに結合されたクロック入力を有し、
   また第２の制御スケジュール表と制御プログラムを記憶
   するための記憶装置を保する第２データプロセッサであ
   って、 前記第２の制御スケジュール表からデータにアクセスし
   、またデバイス・コマンド・メッセージの第２のシーケ
   ンスを生成するため、及びリスナー・データ・バッファ
   中の前記デバイス・コマンド・メッセージの第２のシー
   ケンスをバッファするための第２のデータプロセッサと
   、 前記デバイス・コマンド・メッセージの第２のシーケン
   スを受信し、このメッセージをデータバッファに伝送す
   る前記第２のデータプロセッサと、前記リスナー・デー
   タ・バッファ及び前記レシーブ・データ・バッファとに
   結合されており、前記デバイス・コマンド・メッセージ
   の第１のシーケンスを前記デバイス・コマンド・メッセ
   ージの第２のシーケンスと比較するための前記第２のデ
   ータプロセッサ中の比較手段と、 前記比較手段に結合されており、前記デバイス・コマン
   ド・メッセージの第１のシーケンスが前記デバイス・コ
   マンド・メッセージの第２のシーケンスと同一でないと
   きに前記回路網に対するテイクオーバー要求を前記第１
   のデータプロセッサに出力するためのリスナー・テイク
   オーバー手段と、 前記第１のデータプロセッサ中にあり、前記テイクオー
   バー要求を受信し、これに対応して、前記第１のプロセ
   ッサが前記センダーモードでの動作を中断すべきか否か
   を決定するために前記プロセッサ状況表をチェックする
   ためのテイクオーバー応答手段とより成り、前記テイク
   オーバー応答手段が前記回路網に於て前記第２のプロセ
   ッサに同意のメッセージを出力し、前記第２のデータプ
   ロセッサ内のリスナー・テイクオーバー手段がそれに応
   じて前記リスナー・データ・バッファ中の前記デバイス
   ・コマンド・メッセージの第２のシーケンスにアクセス
   し、前記回路網を通してデバイス・コマンド・メッセー
   ジを前記複数のデバイスに出力することを特徴とする、
   フェイルセーフ・データ処理システム。 ５、請求項４記載のシステムに於て、更に前記回路網に
   結合されており、前記システム・クロックに結合された
   クロック入力部を有し、前記プロセッサが前記センダー
   モードに変化するときに状況をリスナー・プロセッサと
   みなすことを特徴とするシステム。 ６、センダー・データプロセッサ及び回路網中に於て複
   数のデバイスと結合されたリスナー・データ・プロセッ
   サとを含むフェイルセーフ・データ処理システムに於て
   、 前記センダー・データプロセッサ中の第１の制御スケジ
   ュール表からデータにアクセスし、デバイス・コマンド
   ・メッセージの第１のシーケンスを生成し、また前記回
   路網を通して前記メッセージを前記複数のデバイスに出
   力する段階と、プロセッサ状況表中の前記センダー・デ
   ータプロセッサの状況を更新する段階と、 前記リスナー・データプロセッサ内の第２の制御スケジ
   ュール表からデータにアクセスし、デバイス・コマンド
   ・メッセージの第２のシーケンスを生成し、リスナー・
   データ・バッファ内の前記デバイス・コマンド・メッセ
   ージの第２シーケンスをバッファする段階と、 前記リスナー・データ・プロセッサ内のレシーブ・デー
   タ・バッファ内の前記コマンド・メッセージの第１のシ
   ーケンスを受信する段階と、前記デバイス・コマンド・
   メッセージの第１のシーケンスを前記デバイス・コマン
   ド・メッセージの第２のシーケンスと比較する段階と、 前記デバイス・コマンド・メッセージの第１のシーケン
   スが前記デバイス・コマンド・メッセージの第２のシー
   ケンスと同一でないときに、前記リスナー・データ・プ
   ロセッサからのテイクオーバー要求を前記センダー・デ
   ータプロセッサに出力する段階と、 前記テイクオーバー要求を前記センダー・データプロセ
   ッサで受取り、それに応答して、前記センダー・データ
   プロセッサが前記センダーモードで連続動作すべきか否
   かを決定するために前記プロセッサ状況表をチェックす
   る段階と、 前記センダー・データプロセッサが前記センダーモード
   を継続すべきでないことを前記プロセッサ状況表が示し
   たならば、同意メッセージを前記センダ・データプロセ
   ッサから前記リスナー・データプロセッサへ出力する段
   階と、 前記リスナー・データプロセッサを前記センダーモード
   に変更し、前記リスナー・データ・バッファ内の前記デ
   バイス・コマンド・メッセージの第２のシーケンスにア
   クセスし、またこれらを前記複数のデバイスに出力する
   段階とより成ることを特徴とする方法。 ７、請求項６記載の方法に於て、更に 前記センダー・データプロセッサが前記センダーモード
   を継続すべきことを前記プロセッサ状況表が示したなら
   ば、拒否メッセージを前記センダー・データプロセッサ
   から前記リスナー・データプロセッサへ出力する段階と
   、 前記第１の制御スケジュール表のコピーのリクエストを
   前記リスナー・データプロセッサから前記センダー・デ
   ータプロセッサへ送信し、前記センダー・データプロセ
   ッサがそれに応答して、前記第１の制御スケジュール表
   の前記コピーを前記リスナー・データプロセッサに送信
   する段階とを有することを特徴とする方法。 ８、請求項６記載の方法に於て、更に センダー・データプロセッサが前記テイクオーバー要求
   に応答する前にテイクオーバー期間が終了したとき、前
   記リスナー・データプロセッサを前記センダーモードに
   変更する段階と、 前記リスナー・データ・バッファ内の前記デバイス・コ
   マンド・メッセージの第２のシーケンスにアクセスし、
   またこれらを前記回路網を通して前記複数のデバイスに
   出力する段階とを有することを特徴とする方法。 ９、複数のデバイスのリアルタイム制御用のフェイル・
   セーフ・データ処理システムに於て、システムに結合さ
   れた複数のデバイスを有し、デバイス制御メッセージを
   前記複数のデバイスに伝達するための第１のＬＡＮと、 システムに結合された前記複数のデバイスを有し、デバ
   イス制御メッセージを前記複数のデバイスに伝達するた
   めの第２のＬＡＮと、 前記システム用の周期時間基準を生成するためのシステ
   ム・クロックと、 センダーモードで動作し、前記第１のＬＡＮに結合され
   、また前記第２のＬＡＮに結合された第１のデュアル・
   ＬＡＮ・インターフェース手段を有し、第１の制御スケ
   ジュール表と、プロセッサ状況表と、制御プログラムと
   を記憶する記憶装置を有する第１のデータプロセッサで
   あって、前記第１の制御スケジュール表からデータにア
   クセスするための前記制御プログラム内の複数の命令段
   階を順次実行し、また前記一連のデバイス・コマンド・
   メッセージを生成するため、及び前記複数のデバイスに
   伝送するため及び前記プロセッサ状況表向の前記第１の
   プロセッサの健全状況を更新するために前記メッセージ
   を前記第１のデュアル・ＬＡＮ・インターフェース手段
   を介して前記第１のＬＡＮ及び前記第２のＬＡＮに出力
   するための第１のデータプロセッサと、 リスナー・モードで動作し、前記システム、クロックに
   結合されたクロック入力部を有し、前記第１のＬＡＮに
   結合され、また前記第２のＬＡＮに結合された第２のデ
   ュアル・ＬＡＮ・インターフェースを有し、第２の制御
   スケジュール表及び前記制御プログラムを記憶するため
   の記憶装置を有する第２のデータプロセッサであって、
   前記第２の制御スケジュール表からデータにアクセスす
   るために前記制御スケジュール表中の複数の命令段階を
   順次実行し、前記第１のシーケンスと同一であるデバイ
   ス・コマンド・メッセージの第２のシーケンスを生成す
   るため、及びリスナー・データ・バッファ内の前記第２
   のデバイス・コマンド・メッセージのシーケンスをバッ
   ファするための第２のデータプロセッサと、前記第２の
   ＬＡＮに前記コマンド・メッセージの第１のシーケンス
   を受信する前に前記第１のＬＡＮに前記第１のシーケン
   スを受信し、前記第１のＬＡＮから前記第２のデータプ
   ロセッサ内のレシーブ・データ・バッファに前記第１の
   シーケンスを転送する、前記第２のデータプロセッサ内
   の前記第２のデュアル・ＬＡＮ・インターフェースと、 前記リスナー・データ・バッファ及び前記レシーブ・デ
   ータ・バッファに結合された前記第２のデータプロセッ
   サ内の比較手段であって、前記デバイス・コマンド・メ
   ッセージの第１のシーケンスを前記デバイス・コマンド
   ・メッセージの第２のシーケンスと比較するための比較
   手段と、前記比較手段に結合された前記第２のデータプ
   ロセッサ内のリスナー・テイクオーバー手段であって、
   前記デバイス・コマンド・メッセージの第１のシーケン
   スが前記デバイス・コマンド・メッセージの第２のシー
   ケンスと同一でない時に、前記第１及び第２のＬＡＮに
   対するテイクオーバー要求を前記第１のデータプロセッ
   サに出力するためのリスナー・テイクオーバー手段であ
   り、更に前記第２のデータプロセッサ内のテイクオーバ
   ー・インターバル・タイマを始動せしめて所定のタイム
   アウト値で終了せしめるリスナー・テイクオーバー手段
   と、 前記デュアル・ＬＡＮ・インターフェース手段に結合さ
   れ、前記テイクオーバー要求を受取り、それに対応して
   前記第１のプロセッサが前記センターモードで動作し続
   けることが出来るかどうかを決定するために、前記プロ
   セッサ状況表をチェックするためのテイクオーバー応答
   手段とを有し、前記第１のプロセッサが前記センダーモ
   ードを継続出来ないことを前記プロセッサ状況表が示し
   た時に、動作のセンダーモードのテイクオーバーのため
   に前記第１のデュアル・ＬＡＮ・インターフェース手段
   を通して前記第２のプロセッサに同意のメッセージを前
   記テイクオーバー応答手段が出力し、それに応答して、
   前記第２のデータプロセッサ内の前記リスナー・テイク
   オーバー手段が前記第２のプロセッサを前記センダーモ
   ードに変更し、前記リスナー・データ・バッファ中の前
   記デバイス・コマンド・メッセージの第２のシーケンス
   にアクセスし、またその中の前記第２のデュアル・ＬＡ
   Ｎ・インターフェース手段を通してデバイス・コマンド
   ・メッセージを前記複数のデバイスに出力することを特
   徴とする、フェイルセーフ・データ処理システム。 １０、請求項９記載のシステムに於て、更に前記第１の
   プロセッサが前記センダーモードを継続出来ることを前
   記プロセッサ状況表が示したときに、前記第１のデュア
   ル・ＬＡＮ・インターフェース手段を通して前記第２の
   プロセッサに拒否メッセージを出力し、それに応答して
   、前記第２のデータプロセッサ内の前記リスナー・テイ
   クオーバー手段が前記第１のデータプロセッサに前記制
   御スケジュール表の新しいコピーのリクエストを送信し
   、これに応答して前記第１のデータプロセッサが前記制
   御スケジュール表の前記新しいコピーを前記第２のデー
   タプロセッサに送信することを特徴とするシステム。 １１、請求項１０記載のシステムに於て、更に前記第１
   のデータプロセッサが前記テイクオーバー要求に応答す
   る前に前記テイクオーバー・インターバル・タイマが終
   了したときに、前記第２のデータプロセッサ内の前記リ
   スナー・テイクオーバー手段が、前記第２のデータプロ
   セッサを動作の前記センダーモードに変更し、前記リス
   ナー・データ・バッファ中の前記デバイス・コマンド・
   メッセージの第２のシーケンスにアクセスし、またその
   中の前記第２のデュアル・ＬＡＮ・インターフェース手
   段を通してデバイス・コマンド・メッセージを前記複数
   のデバイスに出力すること、を特徴とするシステム。 １２、請求項９記載のシステムに於て、更にリザーブモ
   ードで動作し、前記システム・クロックに結合したクロ
   ック入力部を有し、前記第１のＬＡＮに結合し、更に前
   記第２のＬＡＮに結合した第３のデュアル・ＬＡＮ・イ
   ンターフェースを有し、また前記制御プログラムを記憶
   する記憶装置を有する第３のデータプロセッサであつて
   、前記第１のＬＡＮと前記第２のＬＡＮを監視するため
   に前記制御プログラム中の複数の命令段階を順次実行す
   るための第３のデータプロセッサと、前記デュアル・Ｌ
   ＡＮ・インターフェースに結合した前記第３のデータプ
   ロセッサ内にあり、前記テイクオーバー要求を、それに
   応答して監視するためのテイクオーバー応答手段とを有
   し、前記第２のデータプロセッサがその状況を前記セン
   ダーモードに変化せしめたときに、前記第３のデータプ
   ロセッサ内の前記テイクオーバー応答手段が前記第３の
   プロセッサを前記リスナーモードに変更せしめることを
   特徴とするシステム。 １３、請求項９記載のシステムに於て、前記複数のデバ
   イスがプロセス制御用デバイスであることを特徴とする
   システム。 １４、請求項９記載のシステムに於て、前記複数のデバ
   イスがテレビジョン、ネットワーク放送制御用デバイス
   であることを特徴とするシステム。 １５、請求項９記載のシステムに於て、前記複数のデバ
   イスが車輌交通制御用デバイスであることを特徴とする
   システム。