WO2019106830A1 - 分散制御装置 - Google Patents

分散制御装置 Download PDF

Info

Publication number
WO2019106830A1
WO2019106830A1 PCT/JP2017/043279 JP2017043279W WO2019106830A1 WO 2019106830 A1 WO2019106830 A1 WO 2019106830A1 JP 2017043279 W JP2017043279 W JP 2017043279W WO 2019106830 A1 WO2019106830 A1 WO 2019106830A1
Authority
WO
WIPO (PCT)
Prior art keywords
memory
control unit
data
shared
cpu
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2017/043279
Other languages
English (en)
French (fr)
Inventor
輝昭 酒田
広津　鉄平
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to PCT/JP2017/043279 priority Critical patent/WO2019106830A1/ja
Publication of WO2019106830A1 publication Critical patent/WO2019106830A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • G06F15/163—Interprocessor communication
    • G06F15/173—Interprocessor communication using an interconnection network, e.g. matrix, shuffle, pyramid, star, snowflake

Definitions

  • the present invention relates to a distributed control device.
  • CPUs Central Processing Units
  • RAMs Random Access Memories, main memories, memories
  • IoT Internet of Things
  • each layer performs distributed processing in each layer such as devices that constitute the entire industrial system, PLC (Programmable Logic Controller), cloud, etc. to communicate information mutually, and real world and virtual world Need to be connected organically.
  • PLC Programmable Logic Controller
  • Patent Document 1 describes a microprocessor application device having a distributed processing function in which distributed processing is performed by a plurality of microprocessors.
  • the microprocessor application device described in Patent Document 1 aims to continue operation as a whole by degenerate operation as a whole even if some of the plurality of microprocessors fail. Then, for each device configuration determined by a combination of presence / absence of a failure of each microprocessor, program memory in which a program to be executed by each normal microprocessor is stored, and an abnormality of each microprocessor are detected , And program assignment means.
  • the program allocation means determines one of the plurality of microprocessors as a master processor based on the abnormality detection result of the initialization means to determine the change of the device configuration, and the program memory specific to the new device configuration Are assigned to corresponding normal microprocessors.
  • Patent Document 1 In the technology described in Patent Document 1, there is only one set of shared memory and initialization control unit shared by a plurality of microprocessors, and if these parts fail, there is a possibility of becoming a single failure point. And the configuration and operation for measures in case of failure of these parts are not specified.
  • the master CPU needs to transfer the software at the time of degeneration to the slave CPU via the shared memory, which requires time, and it takes time to switch from the normal operation to the degeneration operation.
  • An object of the present invention is to realize a distributed control device capable of avoiding the occurrence of a single failure point, reducing the transition delay time to the degeneration operation, and improving the safety and reliability.
  • the present invention is configured as follows.
  • a distributed control device In a distributed control device, a first operation control unit, a first reconfiguration control unit connected to the first operation control unit, and a first memory connected to the first reconfiguration control unit A second operation control unit, a second reconfiguration control unit connected to the second operation control unit, a second memory connected to the second reconfiguration control unit, and And a first shared data diagnosis unit connected to the second memory, a third operation control unit, and a third reconfiguration control unit connected to the third operation control unit. And a third memory connected to the third reconfiguration control unit, and a second shared data diagnosis unit connected to the third reconfiguration control unit and the third memory,
  • the second memory includes the second dedicated memory space, a shared memory space with the first memory, and the third memory.
  • the third memory has a dedicated memory space of the third memory, a shared memory space with the first memory, and a shared memory space with the second memory,
  • the shared data diagnostic unit 1 diagnoses data stored in the shared space with the first memory in the second memory, rewrites erroneous data to correct data, and the second shared data diagnostic unit The data stored in the shared memory space with the first memory in the third memory is diagnosed, and the erroneous data is rewritten to the correct data.
  • a distributed control that can avoid the occurrence of a single failure point, reduce the transition delay time to the degenerate operation, and improve the safety and reliability.
  • the device can be realized.
  • FIG. 1 is a schematic configuration diagram of a distributed control device according to a first embodiment.
  • FIG. 7 is a diagram illustrating an example of a configuration of a reconfiguration control unit according to the first embodiment.
  • FIG. 6 is a diagram showing an example of the configuration of a shared data diagnosis unit of the first embodiment.
  • FIG. 2 is a diagram showing an example of a memory configuration of the distributed control device of the first embodiment.
  • FIG. 7 is an operation flowchart in the case where a failure occurs in a part of the distributed control device of the first embodiment and a transition is made to a degeneration operation. It is an operation
  • FIG. 7 is a schematic configuration diagram of a distributed control device according to a second embodiment.
  • FIG. 13 is a schematic explanatory view of a distributed control device according to a third embodiment. It is a figure which shows an example of the data frame output with respect to a control object apparatus from the reconfiguration
  • FIG. 15 is a diagram showing an example of applying the distributed control device according to the fourth embodiment to a vehicle system.
  • FIG. 18 is a diagram illustrating an example of applying the distributed control device according to the fifth embodiment to an industrial control system.
  • Example 1 Embodiment 1 of the present invention will be described with reference to FIGS. 1 to 7A and 7B.
  • FIG. 1 is a schematic block diagram of a distributed control apparatus according to a first embodiment of the present invention.
  • FIG. 1 includes a CPU 1 (first operation control unit) and a memory 11 (first memory), a CPU 2 (second operation control unit) and a memory 12 (second memory), and a CPU 3 (a second operation control unit). It is an example of a distributed control device that performs distributed processing by a combination of a third operation control unit) and a memory 13 (third memory).
  • the CPU 2 and the CPU 3 use the calculation result of the CPU 1 to perform processing, and the reconfiguration control unit 21 (first reconfiguration control unit) therefor, reconfiguration control Unit 22 (second reconfiguration control unit) and reconfiguration control unit 23 A (third reconfiguration control unit) is connected between each of the CPUs 1, 2 and 3 and each of the memories 11, 12 and 13, and the respective reconfiguration control units 21, 22 and 23 are also mutually connected. Communicate with each other.
  • a shared data diagnosis unit 27 (first shared data diagnosis unit) is connected between the reconfiguration control unit 22 connected to the CPU 2 and the memory 12.
  • a shared data diagnosis unit 28 (second shared data diagnosis unit) is connected between the reconfiguration control unit 23 connected to the CPU 3 and the memory 13.
  • the shared data diagnosis unit 27 and the shared data diagnosis unit 28 are configured to mutually communicate data.
  • FIG. 2 is a diagram showing an example of a detailed configuration of the reconfiguration control unit 22 shown in FIG.
  • the address 101, the write data 102, the command 103, and the failure detection signal 132 are input to the reconfiguration control unit 22 from the CPU 2. Further, the failure detection signal 131 (failure detection signal No. 1) is input to the reconfiguration control part 22 from another reconfiguration control part 21 and the failure detection signal 133 (failure detection signal No. 3) from the reconfiguration control part 23 Is input.
  • the shared space determination unit 30 determines the memory space used by the CPU 2 and the memory space shared by the CPU 1 and the CPU 3 in the memory 12. In this example, which memory space is shared by software operated by the control system Is predetermined.
  • the demultiplexer 40 switches the output destination of the address 101 to the address 111 and the address (shared) 121 according to the result of the shared space determination signal 150 output from the shared space determination unit 30. If the address 101 is the memory space of the CPU 2, the demultiplexer 40 outputs the address 101 as the address 111 to the memory 12. If the address 101 is the memory space shared with the CPU 1 or CPU 3, the demultiplexer 40 outputs the address 101 ( It is output to the shared data diagnosis unit 27 as the sharing 121.
  • the demultiplexer 41 outputs the write data 102 as the write data 112 to the memory 12, and the demultiplexer 42 outputs the command 103 as the command 113 to the memory 12.
  • the demultiplexer 41 If the address 101 is a memory space shared by the CPU 1 or CPU 3, the demultiplexer 41 outputs the write data 102 as the write data (shared) 122 to the shared data diagnosis unit 27, and the demultiplexer 42 performs a command ( It is output to the shared data diagnosis unit 27 as the sharing) 123.
  • the shared area determination signal 150 is output to the memory 12 as described later.
  • the read data 114 is input from the memory 12 to the reconfiguration control unit 22, and the read data (shared) 124 is input from the shared data diagnosis unit 27.
  • the selector 46 selects the read data 114 as the read data 104 and outputs it to the CPU 2.
  • the selector 46 selects the read data (shared) 124 as the read data 104 and outputs it to the CPU 2.
  • the failure location determination unit 31 is input from the failure detection signal 131 of the CPU 1 input from the reconfiguration control unit 21 of the CPU 1, the failure detection signal 132 of the CPU 2 input from the CPU 2, and the reconfiguration control unit 23 of the CPU 3 From the information with the failure detection signal 133 of the CPU 3, it is detected which one of the CPU 1, the CPU 2 and the CPU 3 has a failure.
  • the failure point determination unit 31 outputs the data diagnosis request signal 137 to the shared data diagnosis unit 27 according to the failed CPU.
  • the reconfiguration control unit 23 shown in FIG. 1 also has the same configuration as the reconfiguration control unit 22 shown in FIG. Further, the reconfiguration control unit 21 which is not connected to the shared data diagnosis unit 27 shown in FIG. 1 receives an address (shared) 121, a write data (shared) 122, a command (shared) from the reconfiguration control unit 22 in FIG.
  • the configuration similar to that of the reconfiguration control unit 22 can be obtained by excluding the read data (shared) 124, the failure location determination unit 31, and the like.
  • FIG. 3 is a diagram showing an example of a configuration of shared data diagnosis unit 27 shown in FIG.
  • the shared data diagnosis unit 27 receives an address (shared) 121, a write data (shared) 122, a command (shared) 123, and a data diagnosis request signal 137 from the reconfiguration control unit 22. Further, read data (shared) 125 is input to the shared data diagnosis unit 27 from another shared data diagnosis unit 28.
  • the address buffer 51 is configured to be able to hold a plurality of addresses (shared) 121, and sequentially outputs the contents of the held address (shared) 121 to the memory 12 as an address (shared) 126.
  • the write data buffer 52 holds a plurality of write data (shared) 122 and sequentially outputs the write data (shared) 127 to the memory 12.
  • the command buffer 53 holds a plurality of commands (shared) 123 and sequentially outputs the commands (shared) 128 to the memory 12.
  • the fault diagnosis state machine 56 uses the command (shared) 128 in the memory space indicated by the address (shared) 126 at the timing when the occurrence of a fault is detected by any of the CPUs 1 to 3 according to the value of the data diagnosis request signal 137. It controls the diagnosis of the written light data (shared) 127.
  • the fault diagnosis state machine 56 validates the data diagnosis start signal 138 and sends it to the data diagnostic means 55 when a fault occurs in any one of the CPUs 1 to 3.
  • the data diagnosis unit 55 having received the data diagnosis start signal 138 diagnoses the value of the read data (shared) 124 input from the memory 12 and the value of the read data (shared) 125 input from another shared data diagnosis unit 28 And diagnoses whether any read data has an incorrect value due to the influence of a CPU failure, rewrites the incorrect data as correct data, and outputs it as the data diagnosis result 54 to the shared data diagnosis unit 28 .
  • data failure detection means in the data diagnosis means 55 techniques such as parity, error correction code (ECC), cyclic redundancy check (CRC), data collation and the like are known, and these can be used.
  • ECC error correction code
  • CRC cyclic redundancy check
  • the shared data diagnosis unit 28 shown in FIG. 1 has the same configuration as the shared data diagnosis unit 27 in FIG. 3.
  • FIG. 4 is a diagram showing an example of a detailed configuration of the memory 12 shown in FIG.
  • the memory 12 receives the address 111, the write data 112, the command 113 and the shared space determination signal 150 from the reconfiguration control unit 22, and the shared data diagnostic unit 27 transmits the address (shared) 126 and the write data (shared ) And a command (shared) 128 are input.
  • the selector 60 outputs the selected address of the address 111 and the address (shared) 126 to the memory cell 15 as the address 141.
  • the selector 61 outputs the selected write data of the write data 112 and the write data (shared) 127 as the write data 142 to the memory cell 15.
  • the selector 62 outputs the selected command of the command 113 and the command (shared) 128 to the memory cell 15 as the command 143.
  • the demultiplexer 66 outputs the read data 144 as the read data 114 to the reconfiguration control unit 22 or as the read data (shared) 124 to the shared data diagnosis unit 27.
  • the memory cell 15 is a part which can write and read data in the memory 12. If the command 143 input to the memory cell 15 is write, the write data 142 is written to the memory space indicated by the address 141. If the command 143 input to the memory cell 15 is read, the memory space indicated by the address 141 Lead data 144 from the
  • the memory space 17 indicated by # 2 of the memory cell 15 in FIG. 4 is a dedicated memory space used by the CPU 2, and the address 111, the write data 112, the command 113, and the read data 114 are used to access the memory space 17. .
  • a memory space 18 indicated by # 12 of the memory cell 15 is a shared memory space shared and used by the CPU 2 with the CPU 1 and a shared memory used by the CPU 2 shared with the CPU 3 by the memory space 19 indicated by # 23. It is a space.
  • an address (shared) 126 In the access to the memory spaces 18 and 19, an address (shared) 126, write data (shared) 127, command (shared) 128, and read data (shared) 124 are used.
  • the memory 13 shown in FIG. 1 has the same configuration as the memory 12 of FIG.
  • the memory 11 to which the shared data diagnosis unit 27 shown in FIG. 1 is not connected is connected to the address (shared) 126, the write data (shared) 127, the command (shared) 128, the read data (shared) from the memory 12 of FIG. It can be configured in a form excluding 124) and the like.
  • FIG. 5 is a diagram showing an example of an operation flowchart in the case where a failure occurs in part during operation of this system in the system using the distributed control device shown in FIG. 1 to FIG. .
  • step S01 in FIG. 5 the system is activated, and at step S02, initialization for system operation is performed, and the system transitions to the system normal operation at step S03.
  • the failure point determination unit 31 of the reconfiguration control units 21, 22 and 23 performs failure diagnosis of each of the CPUs 1, 2 and 3 and It is determined in step S05 whether a failure occurs in the CPUs 1, 2 and 3.
  • step S05 if no failure occurs in each of the CPUs 1, 2 and 3, the process proceeds from step S05 to step S03 to continue the normal operation of the system.
  • step S05 If it is determined in step S05 that the failure point determination unit 31 of the reconfiguration control unit 21, 22 or 23 has caused a failure in any one of the CPUs 1, 2 or 3, the process proceeds to step S11.
  • data diagnosis means data diagnosis unit of the shared data diagnosis unit 27 55 diagnoses the data stored in the memory 12 and the data input from the shared data diagnosis unit 28.
  • Data diagnosis performed in step S12 is performed using parity, ECC (error correction code), CRC (cyclic redundancy check), data matching, and the like.
  • step S13 it is determined in step S13 whether the data is correct. If any data is correct in step S13, the process proceeds to step S14. In this example, the CPU 2 substitutes the CPU 1 and performs the system degeneration operation in step S15.
  • step S13 if one of the data is incorrect at step S13, the process goes to step S21 to correct the incorrect data, and then the process goes to step S14 to perform CPU substitution processing.
  • the degeneration operation is a case where the automatic driving operation is changed to the degeneration operation, the important operation of the automatic driving operation is maintained while the other automatic driving operation is not performed.
  • the automatic driving operation is to operate with restriction.
  • FIG. 6 shows a case where in the system using the distributed control device shown in FIG. 1 to FIG.
  • FIG. 6 is a diagram showing an example of an operation flowchart of FIG.
  • the operation flow chart of FIG. 6 is different from the operation flow chart shown in FIG. 5 in that the return operation of the CPU 1 of steps S16 to S18 is added after step S15.
  • steps S01 to S15 are the same as the operations shown in FIG.
  • step S16 the return operation of the CPU 1 is performed.
  • the CPU 2 outputs a reset signal to the CPU 1.
  • step S17 a failure of the CPU 1 is detected. This can be performed by the CPU 2. Then, in step S18, if it is possible to confirm that the CPU 1 has recovered by whether or not the failure is detected in the CPU 1 in step S17, all of the CPU 1, CPU 2 and CPU 3 operate normally, and transition to system normal operation in step S03. Do.
  • step S18 the system transitions to the system degeneration operation in step S15 again.
  • step 16 If the return operation of the CPU 1 in step 16 is attempted a plurality of times and return is not made, the entire system may be safely stopped.
  • FIG. 7A is a timing chart of the operation in the distributed control device of the first embodiment shown in FIGS. 1 to 6, and FIG. 7B is an example of a timing chart of the operation of the distributed control device to which the present invention is not applied.
  • step S03 shown in FIG. 7A to the system degeneration operation of step S15 correspond to each step of the operation flowchart shown in FIG.
  • determination step of step S05 and step S13 is abbreviate
  • step S11 a failure of the CPU 1 is detected, the data diagnosis in step S12 and the incorrect data correction in step S21 are performed, the substitution process in step S14 is performed, and the transition to the degeneration operation in step S15 is performed.
  • the data diagnosis in step S12 and the unauthorized data correction in step S21 can be performed by the hardware of the CPU by the distributed control device of the present invention, and can be performed at a very high speed. take time t a is short.
  • step S05 and step S13 are also omitted in FIG. 7B.
  • the timing chart of FIG. 7B as compared to the timing chart of FIG. 7A, a data diagnosis of the memory 2 and the memory 3 in step S12, a long time t b according to bad data correction step S21.
  • the data diagnosis and data correction functions by the hardware mainly the data diagnosis means 55 (data diagnosis unit) in the distributed control device of the present invention are not applied and executed by processing by software. It is for.
  • the distributed control device according to the first embodiment of the present invention, even if a failure occurs in part of the system, it is possible to shift to the degeneration operation at high speed by the data diagnosis and correction mechanism by hardware. .
  • the first embodiment of the present invention it is possible to realize a distributed control device capable of improving the safety and the correctness by avoiding the occurrence of a single failure point and reducing the transition delay time to the degeneration operation. Can.
  • the common data diagnosis unit 27 is connected to the memory 12 and the common data diagnosis unit 28 is connected to the memory 13
  • the common data diagnosis unit 27 is connected to the memory 12 and the memory 13.
  • the common data diagnostic unit 28 may also be connected to the memory 12 and the memory 13.
  • the number of CPUs and memories is three, but the number of CPUs and memories may be four or more.
  • the recovery operation of the CPU 1 is performed after the system degeneration operation is performed, the recovery operation of the CPU 1 is performed before the degeneration operation is performed.
  • the operation of the CPU 1 may be restored without performing the degeneration operation. In this case, when it is determined that recovery of the CPU 1 is difficult, the degeneracy operation is performed.
  • FIG. 8 is a schematic block diagram of the distributed control device according to the second embodiment.
  • the second embodiment is different from the first embodiment shown in FIG. 1 in that nonvolatile memories 70 (first nonvolatile memory) and 71 (second nonvolatile memory) are added.
  • a non-volatile memory 70 is connected to a bus between the reconfiguration control unit 22 and the shared data diagnosis unit 27.
  • This non-volatile memory 70 is shared data from the reconfiguration control unit 22 when a failure occurs in the CPU 2.
  • Information of write data to be transmitted to the diagnosis unit 27 is held (stored).
  • a non-volatile memory 71 is connected to a bus between the reconfiguration control unit 23 and the shared data diagnosis unit 28. This non-volatile memory 71 performs shared data diagnosis from the reconfiguration control unit 23 when a failure occurs in the CPU 3 It holds (stores) information on write data to be sent to the unit 28.
  • the non-volatile memories 70 and 71 As described above, by adding the non-volatile memories 70 and 71 to the distributed control device to hold information when a failure occurs, the entire system is stopped due to the influence of the failure and the volatile memory Even if the contents are not held, etc., the contents held (stored) in the non-volatile memories 70 and 71 can be checked later to increase the possibility that the cause of the system stop can be confirmed, which is useful for system maintenance. It becomes possible.
  • non-volatile memory 70 is connected to the reconfiguration control unit 22 and the non-volatile memory 71 is connected to the reconfiguration control unit 23 in the example of the second embodiment, the non-volatile memory 70 is connected to the reconfiguration control units 22 and 23. The connection may be made, and the non-volatile memory 71 may also be connected to the reconfiguration control units 22 and 23.
  • the number of CPUs and memories is three in the example of the second embodiment, the number may be four or more.
  • FIG. 9 is a schematic explanatory diagram of the distributed control device according to the third embodiment.
  • the CPU 4 operation control unit
  • the CPU 5 operation control unit having a lock step configuration in which the CPU is duplicated for the CPU 2 and the CPU 3 in the first embodiment.
  • the point I made was different.
  • the other configuration of the third embodiment is similar to that of the first embodiment.
  • the lockstep CPU 4 includes the CPU core 6 and the CPU core 7.
  • the calculation result of the CPU 6 and the calculation result of the CPU 7 are collated by the collator 80, and a failure occurs in either of the CPU cores 6 and 7. Then, the failure detection signal is output to the outside of the lock step CPU 4.
  • the lockstep CPU 5 also includes the CPU core 8 and the CPU core 9 as in the lockstep CPU 4 and collates the calculation result of the CPU core 8 with the calculation result of the CPU core 9 by the collator 81. If a failure occurs in the system, the failure detection signal is output to the outside of the lockstep CPU 5.
  • the CPU 4 or 5 becomes the master CPU instead of the CPU 1, a failure of the master CPU itself can be detected, and the safety can be further improved.
  • the lockstep CPU has been described as having two CPUs 4 and 5.
  • the lockstep CPU may be one of three CPUs (CPU1, CPU4, and CPU5). Good.
  • all CPUs including the CPU 1 may be configured as lock step CPUs.
  • FIGS. 10A and 10B examples of data formats used in the present invention will be described using FIGS. 10A and 10B.
  • This data format can be common to the first to third embodiments.
  • FIG. 10A is a diagram showing an example of a data frame output from the reconfiguration control units 22 and 23 in the distributed control device of the present invention to a control target device.
  • This data frame includes a 1-bit SOF (Start of Frame) 200, a 2-bit ID (Identification) 201, an 8-bit data 202, a 4-bit CRC (203), and a 3-bit CPU in this order from the left in FIG. 10A.
  • the values of the data 200 to 205 are represented by binary numbers of 0 and 1, respectively.
  • the data frame shown in FIG. 10A is a frame in which the value of ID 201 is 10 and the frame is output from CPU 2, the value of data 202 is 10111110, the value of CRC 203 for data 202 is 1110, and faulty CPU 204 is 000. It indicates that no failure has occurred in any of the CPUs.
  • FIG. 10B is a diagram showing an example of a data frame when a failure occurs, and the value of data 210 is 00111110 and the value of CRC 211 is 0111 as compared to the data frame shown in FIG. 10A. The place where the value of is 001 is different.
  • a fault occurs in the CPU 1 due to the value of the faulty CPU 212, and as a result, the value of the data 210 is affected by the fault, and the value of the CRC 211 for the data 210 is different.
  • FIG. 11 is a diagram showing an example in which the distributed control system according to the fourth embodiment is applied to a vehicle control system in a vehicle control system.
  • the interior of a car 500 is configured in a form in which a plurality of electronic control units are connected.
  • This automobile 500 includes an autonomous driving ECU (Automating Driving ECU, AD-ECU) 511 receiving the inputs of the sensors 514 and 515, and a power train ECU 510 for operating the automobile 500 by operating the front wheels 501 and 502.
  • Vehicle motion control devices Vehicle Motion Control, VMC 512 and 513 for transmitting a traveling command from the AD-ECU 511 to the power train ECU 510 are connected as shown in FIG.
  • the AD-ECU 511 includes a CPU 511a, a reconfiguration control unit 511b, and a local memory 511c (Local Memory, LM).
  • the VMC 512 includes a CPU 512a, a shared data diagnosis unit 512b, a reconfiguration control unit 512c, and an LM 512d.
  • the VMC 513 includes a CPU 513a, a shared data diagnosis unit 513b, a reconfiguration control unit 513c, and an LM 513.
  • the AD-ECU 511, the VMCs 512 and 513, and the power train ECU 510 are connected to one another and perform coordinated operation to perform automatic operation control.
  • the automatic driving ECU 511 corresponds to the CPU 1
  • the vehicle motion control device 512 corresponds to the CPU 2
  • the reconfiguration control unit 22 corresponds to the shared data diagnosis unit 27 and the memory 12 of FIG. It corresponds.
  • a vehicle motion control device 513 corresponds to the CPU 3, the reconfiguration control unit 23, the shared data diagnosis unit 28, and the memory 13 in FIG. 1.
  • the VMCs 512 and 513 connected to the AD-ECU 511 detect that the failure occurs in the AD-ECU 511, respectively.
  • the VMC 512 quickly performs the degeneration operation of the AD-ECU 511 by diagnosing data shared by the LM 511 c of the AD-ECU 511 and the LM 512 d of the VMC 512 by the reconfiguration control unit 512 c of the VMC 512.
  • the AD-ECU 511, VMCs 512 and 513, and the power train ECU 510 can continue the minimum operation while shifting to the degeneracy operation, and continue or stop the rotation of the front wheels 501, 502 according to the surrounding conditions. Secure the safe operation of the entire automobile system.
  • FIG. 12 is a diagram showing an example where the distributed control device according to the fifth embodiment is applied to an operation control device in an industrial control system.
  • this industrial control system includes a computer 600 for overall control of the system, a controller 631 controlled by the computer 600, a programmable logic controller 632 for controlling the display plate 640, and programmable logic for controlling the actuator 641. And a controller 633.
  • the controller 631 and the programmable logic controllers 632, 633 are connected via the control bus 637, respectively.
  • the controller 631 is configured by combining a plurality of modules such as a CPU module 601, a memory module 611, and a reconfiguration control module 621.
  • the programmable logic controller 632 is also configured by combining a plurality of modules in the same manner as the controller 631.
  • the programmable logic controller 632 is configured by combining the CPU module 602, the memory module 612, the reconfiguration control module 622, and the like.
  • the programmable logic controller 633 also includes a CPU module 603, a memory module 613, a reconfiguration control module 623, and the like.
  • the controller 631 corresponds to the CPU 1, the reconfiguration control unit 21, and the memory 11 in FIG. 1
  • the programmable logic computer 632 corresponds to the CPU 2, the reconfiguration control unit 22, the shared data diagnosis unit 27, and the memory 12 in FIG. 1.
  • the programmable computer 633 corresponds to the CPU 3, the reconfiguration control unit 23, the shared data diagnosis unit 28, and the memory 13 in FIG. 1. However, in FIG. 12, the shared data diagnosis unit is omitted.
  • the programmable logic controllers 632 and 633 detect that the failure has occurred in the controller 631 via the control bus 637.
  • the reconfiguration control unit 622 diagnoses data shared by the memory module 612 of the programmable logic controller 632 and the memory module 611 of the control controller 631 to allow the programmable logic controller 632 to perform the degeneration operation of the controller 631. It is done promptly by
  • the controller 631 and the programmable logic controllers 632, 633 can continue the minimum operation while shifting to the degeneracy operation, and by continuing or safely stopping the operation of the display plate 640 and the actuator 641, the industrial system As a whole, safe operation can be secured.
  • the distributed control apparatus according to the fifth embodiment of the present invention to the operation control apparatus in the industrial control system, even if a failure occurs in some of the apparatuses constituting the industrial control system, the system as a whole can It is possible to maintain safety while immediately shifting to the degeneracy operation.
  • the present invention is not limited to the embodiments described above, but includes various modifications.
  • the embodiments described above are described in detail in order to explain the present invention in an easy-to-understand manner, and are not necessarily limited to those having all the configurations described.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Quality & Reliability (AREA)
  • Hardware Redundancy (AREA)

Abstract

単一故障点の発生を回避し、縮退動作への移行遅延時間を原減少し、安全性及び信頼正性を向上可能な分散制御装置が実現される。分散制御装置はCPU1の演算結果をCPU2とCPU3とが使用して処理を行うため、再構成制御部21、22及び23が、CPU1、2及び3と各メモリ11、12及び13との間に接続され、再構成制御部21、22及び23どうしも互いに接続される。再構成制御部22とメモリ12との間には共有データ診断部27が接続され、再構成制御部23とメモリ13との間には共有データ診断部28が接続される。CPU1で故障が発生した場合、CPU1の故障発生を検出し、CPU2とCPU3での縮退動作に移行するためにメモリ12とメモリ13のデータ診断を行う。いずれのデータも正しかった場合CPU2がCPU1を代替しシステム縮退動作を行う。

Description

分散制御装置
　本発明は、分散制御装置に関する。
　半導体プロセスの微細化に伴い、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ、中央演算処理装置）の高性能化や、ＲＡＭ（Ｒａｎｄａｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ、主記憶、メモリ）の高速・大容量化が可能になってきた。
　これら半導体デバイスの進歩により、特に、産業分野や自動車分野等においては、従来では成し得なかった様々な機能を実現するための取り組みが始まっている。
　例えば、産業分野では現実世界に分散して配置した大量の装置から稼働データを収集して仮想世界上で分析し、より良い制御出力を現実世界へフィードバックさせるＩｏＴ（Ｉｎｔｅｒｎｅｔ　ｏｆ　Ｔｈｉｎｇｓ）への取り組みが盛んである。
　また、自動車分野ではＡＩ（Ａｒｔｉｆｉｃｉａｌ　Ｉｎｔｅｌｌｉｇｅｎｃｅ、人工知能）を自動車の制御装置に組込むことで、自動車システムに認識機能と制御機能を持たせて自動運転を実現しようとするための取り組みが行われている。
　産業分野でＩｏＴを実現するには産業システム全体を構成するデバイス、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ　Ｌｏｇｉｃ　Ｃｏｎｔｒｏｌｌｅｒ）、クラウドなどの各階層にてそれぞれが分散処理を行い、相互に情報を通信して現実世界と仮想世界を有機的に接続する必要がある。
　また、将来の自動車システムではＡＩを実現する機能や外界認識機能、モーターやステアを操作するアクチュエーション機能などを複数の電子制御ユニット（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ、ＥＣＵ）に割り当て、分散制御することで自動運転を実現する構成を採ることが考えられる。
　このような産業システムや自動車システムにおいて、機能が高度化しシステムが複雑化していく場合に課題となるのは安全性と信頼性の確保である。特に、人命が関わるシステムにおいて、システムの一部で異常や故障が発生した場合にその影響がシステム全体に波及して想定通りの制御ができなくなり、その結果人命が損なわれるようなシステムは許容されない。
　そのため、このような分野のシステムでは異常や故障が発生したことを検出し対策する仕組みを取ることが一般的である。
　本技術分野の背景技術として、例えば、特許文献１には、複数のマイクロプロセッサにより分散処理が行われる分散処理機能を持つマイクロプロセッサ応用装置が記載されている。
　特許文献１に記載のマイクロプロセッサ応用装置は、複数のマイクロプロセッサの一部が故障しても、装置全体として縮退運転により動作を継続することを目的としている。そして、各マイクロプロセッサの故障の有無の組合せで決定される装置構成毎に、正常な各マイクロプロセッサで実行すべきプログラムが格納されたプログラムメモリと、各マイクロプロセッサの異常を検出して装置の初期化を行うための初期化手段と、プログラム割当て手段とを備えている。
　そして、プログラム割当て手段は、上記複数のマイクロプロセッサの１つがマスタプロセッサとなって初期化手段の異常検出結果をもとに装置構成の変化を判別し、新たな装置構成に固有のプログラムをプログラムメモリから取り出してそれぞれ対応する正常なマイクロプロセッサに割り当てることとしている。
特開平５－１５８９０５号公報
　ところで、従来の複数のマイクロプロセッサとメモリと初期化手段とを有する分散処理機能を持つ技術について、本発明者が検討した結果、以下のようなことが明らかとなった。
　特許文献１に記載の技術では、複数のマイクロプロセッサが共有している共有メモリおよび初期化制御部は一組ずつしかなく、これらの部位が故障した場合には、単一故障点となる可能性があり、これらの部位が故障した場合の対策のための構成及び動作が明示されていない。
　また、マスタＣＰＵが共有メモリを介して縮退時のソフトウェアをスレーブＣＰＵに転送する必要があり、そのための時間が要求され、通常動作から縮退動作へ切り替えるために時間がかかっていた。
　このため、リアルタイム性が要求されるような産業システムや自動車システムへの適用が困難であるという問題があった。
　本発明の目的は、単一故障点の発生を回避し、縮退動作への移行遅延時間を原減少し、安全性及び信頼正性を向上可能な分散制御装置を実現することである。
　上記目的を達成するため、本発明は次のように構成される。
　分散制御装置において、第１の動作制御部と、上記第１の動作制御部に接続された第１の再構成制御部と、上記第１の再構成制御部に接続された第１のメモリと、第２の動作制御部と、上記第２の動作制御部に接続された第２の再構成制御部と、上記第２の再構成制御部に接続された第２のメモリと、上記第２の再構成制御部及び上記第２のメモリに接続された第１の共有データ診断部と、第３の動作制御部と、上記第３の動作制御部に接続された第３の再構成制御部と、上記第３の再構成制御部に接続された第３のメモリと、上記第３の再構成制御部及び上記第３のメモリに接続された第２の共有データ診断部と、を備え、上記第２のメモリはこの第２の専用メモリ空間、上記第１のメモリとの共有メモリ空間及び上記第３のメモリとの共有メモリ空間を有し、上記第３のメモリはこの第３のメモリの専用メモリ空間、上記第１のメモリとの共有メモリ空間及び上記第２のメモリとの共有メモリ空間を有し、上記第１の共有データ診断部は上記第２のメモリにおける上記第１のメモリとの共有空間に格納されたデータを診断し、誤ったデータを正しいデータに書き換え、上記第２の共有データ診断部は上記第３のメモリにおける上記第１のメモリとの共有メモリ空間に格納されたデータを診断し、誤ったデータを正しいデータに書き換える。
　本発明によれば、産業分野や自動車分野などのシステムにおいて、単一故障点の発生を回避し、縮退動作への移行遅延時間を原減少し、安全性及び信頼正性を向上可能な分散制御装置を実現することができる。
実施例１による分散制御装置の概略構成図である。 実施例１の再構成制御部の構成の一例を示す図である。 実施例１の共有データ診断部の構成の一例を示す図である。 実施例１の分散制御装置のメモリの構成の一例を示す図である。 実施例１の分散制御装置の一部で故障が発生し縮退動作に移行する場合の動作フローチャートである。 システムで故障が発生し縮退動作に移行した後の動作フローチャートである。 本発明の分散制御装置における動作のタイミングチャートである。 本発明を適用しない分散制御装置の動作のタイミングチャートである。 実施例２による分散制御装置の概略構成図である。 実施例３による分散制御装置の概略説明図である。 本発明の分散制御装置における再構成制御部から制御対象機器に対して出力するデータフレームの一例を示す図である。 本発明の分散制御装置において故障が発生した場合のデータフレームの一例を示す図である。 実施例４による分散制御装置を自動車システムに適用した場合の一例を示す図である。 実施例５による分散制御装置を産業制御システムに適用した場合の一例を示す図である。
　以下、本発明の実施例を、図面を用いて説明する。
　（実施例１）
　図１から図７Ａ及び図７Ｂを用いて、本発明の実施例１を説明する。
　図１は、本発明の実施例１による分散制御装置の概略構成図である。
　図１に示した例は、ＣＰＵ１（第１の動作制御部）及びメモリ１１（第１のメモリ）と、ＣＰＵ２（第２の動作制御部）及びメモリ１２（第２のメモリ）と、ＣＰＵ３（第３の動作制御部）及びメモリ１３（第３のメモリ）との組み合わせによって分散処理を行う分散制御装置の例である。
　この分散制御装置の例では、ＣＰＵ１の演算結果をＣＰＵ２とＣＰＵ３とが使用して処理を行う構成を採っており、そのための再構成制御部２１（第１の再構成制御部）、再構成制御部２２（第２の再構成制御部）及び再構成制御部２３
（第３の再構成制御部）が、各ＣＰＵ１、２及び３と各メモリ１１、１２及び１３との間に接続されており、各再構成制御部２１、２２及び２３どうしも互いに接続されている（データを相互通信する）。
　さらに、ＣＰＵ２に接続された再構成制御部２２とメモリ１２との間には共有データ診断部２７（第１の共有データ診断部）が接続されている。同様に、ＣＰＵ３に接続された再構成制御部２３とメモリ１３との間には共有データ診断部２８（第２の共有データ診断部）が接続されている。共有データ診断部２７と共有データ診断部２８とは、データを相互通信する構成となっている。
　図２は、図１に示した再構成制御部２２の詳細な構成の一例を示す図である。
　図２において、再構成制御部２２には、ＣＰＵ２からアドレス１０１、ライトデータ１０２、コマンド１０３及び故障検出信号１３２（故障検出信号番号２）が入力される。また、再構成制御部２２には、別の再構成制御部２１から故障検出信号１３１（故障検出信号番号１）が入力され、再構成制御部２３から故障検出信号１３３（故障検出信号番号３）が入力される。
　共有空間判定部３０は、メモリ１２においてＣＰＵ２が使用するメモリ空間とＣＰＵ１およびＣＰＵ３とで共有するメモリ空間とを判定するもので、この例では制御システムで動作させるソフトウェアによってどのメモリ空間を共有するかが予め決定されている。
　デマルチプレクサ４０は、共有空間判定部３０が出力する共有空間判定信号１５０の結果によってアドレス１０１の出力先をアドレス１１１とアドレス（共有）１２１とに切り替える。アドレス１０１がＣＰＵ２のメモリ空間であればデマルチプレクサ４０はアドレス１０１をアドレス１１１としてメモリ１２に出力し、アドレス１０１がＣＰＵ１またはＣＰＵ３とで共有するメモリ空間であればデマルチプレクサ４０はアドレス１０１をアドレス（共有）１２１として共有データ診断部２７に出力する。
　同様に、アドレス１０１がＣＰＵ２のメモリ空間であればデマルチプレクサ４１はライトデータ１０２をライトデータ１１２としてメモリ１２に出力し、デマルチプレクサ４２はコマンド１０３をコマンド１１３としてメモリ１２に出力する。
　また、アドレス１０１がＣＰＵ１またはＣＰＵ３で共有するメモリ空間であれば、デマルチプレクサ４１はライトデータ１０２をライトデータ（共有）１２２として共有データ診断部２７に出力し、デマルチプレクサ４２はコマンド１０３をコマンド（共有）１２３として共有データ診断部２７に出力する。
　なお、共有領域判定信号１５０は、後述するようにメモリ１２に出力される。
　再構成制御部２２へは、メモリ１２からリードデータ１１４が入力され、共有データ診断部２７からリードデータ（共有）１２４が入力される。
　共有空間判定信号１５０の結果によって、アドレス１０１がＣＰＵ２のメモリ空間であれば、セレクタ４６はリードデータ１１４をリードデータ１０４として選択してＣＰＵ２に出力する。
　アドレス１０１がＣＰＵ１またはＣＰＵ３とで共有するメモリ空間であればセレクタ４６はリードデータ（共有）１２４をリードデータ１０４として選択してＣＰＵ２に出力する。
　故障箇所判定部３１は、ＣＰＵ１の再構成制御部２１から入力されるＣＰＵ１の故障検出信号１３１と、ＣＰＵ２から入力されるＣＰＵ２の故障検出信号１３２と、ＣＰＵ３の再構成制御部２３から入力されるＣＰＵ３の故障検出信号１３３との情報から、ＣＰＵ１、ＣＰＵ２及びＣＰＵ３のいずれのＣＰＵで故障が発生したかを検出する。
　そして、故障箇所判定部３１は、故障したＣＰＵに応じてデータ診断要求信号１３７を共有データ診断部２７に出力する。
　図１に示した再構成制御部２３も、図２に示した再構成制御部２２と同様の構成となっている。また、図１に示した共有データ診断部２７とは接続されていない再構成制御部２１は、図２の再構成制御部２２からアドレス（共有）１２１、ライトデータ（共有）１２２、コマンド（共有）１２３、リードデータ（共有）１２４、故障箇所判定部３１などを除いた形で、再構成御部部２２と同様な構成とすることができる。
　図３は、図１に示した共有データ診断部２７の構成の一例を示す図である。
　図３において、共有データ診断部２７には、再構成制御部２２からアドレス（共有）１２１、ライトデータ（共有）１２２、コマンド（共有）１２３及びデータ診断要求信号１３７が入力される。また、共有データ診断部２７には、別の共有データ診断部２８からリードデータ（共有）１２５が入力される。
　アドレスバッファ５１は、アドレス（共有）１２１を複数保持することが可能な構成であり、保持したアドレス（共有）１２１の内容を順にアドレス（共有）１２６としてメモリ１２に出力する。
　同様に、ライトデータバッファ５２は、ライトデータ（共有）１２２を複数保持して順にライトデータ（共有）１２７としてメモリ１２に出力する。また、コマンドバッファ５３は、コマンド（共有）１２３を複数保持して順にコマンド（共有）１２８としてメモリ１２に出力する。
　故障診断ステートマシン５６は、データ診断要求信号１３７の値によってＣＰＵ１～３のうちのいずれかのＣＰＵで故障発生を検出したタイミングにおいて、アドレス（共有）１２６が示すメモリ空間にコマンド（共有）１２８によってライトされたライトデータ（共有）１２７を診断することを制御するものである。
　ＣＰＵ１～３のうちのいずれかのＣＰＵでの故障発生時に故障診断ステートマシン５６はデータ診断開始信号１３８を有効にしてデータ診断手段５５に送信する。
　データ診断開始信号１３８を受けたデータ診断手段５５は、メモリ１２から入力されたリードデータ（共有）１２４の値と別の共有データ診断部２８から入力されたリードデータ（共有）１２５の値を診断し、ＣＰＵの故障による影響でいずれかのリードデータが不正な値になっていないかどうかを診断し、誤ったデータを正しいデータに書き換えて、データ診断結果５４として共有データ診断部２８へ出力する。
　なお、データ診断手段５５におけるデータの故障検出手段としては、パリティ、ＥＣＣ（Ｅｒｒｏｒ　Ｃｏｒｒｅｃｔｉｏｎ　Ｃｏｄｅ）、ＣＲＣ（Ｃｙｃｌｉｃ　Ｒｅｄｕｎｄａｎｃｙ　Ｃｈｅｃｋ）、データ照合などの技術が知られており、これらを使用することができる。
　図１に示した共有データ診断部２８も図３の共有データ診断部２７と同様の構成である。
　図４は、図１に示したメモリ１２の詳細な構成の一例を示す図である。
　図４において、メモリ１２には、再構成制御部２２からアドレス１１１、ライトデータ１１２、コマンド１１３及び共有空間判定信号１５０が入力され、共有データ診断部２７からアドレス（共有）１２６、ライトデータ（共有）１２７及びコマンド（共有）１２８が入力される。
　共有空間判定信号１５０の結果によって、セレクタ６０はアドレス１１１とアドレス（共有）１２６のうちの選択したアドレスをアドレス１４１としてメモリセル１５に出力する。セレクタ６１はライトデータ１１２とライトデータ（共有）１２７のうちの選択したライトデータをライトデータ１４２としてメモリセル１５に出力する。
　また、セレクタ６２はコマンド１１３とコマンド（共有）１２８のうちの選択したコマンドをコマンド１４３としてメモリセル１５に出力する。
　また、共有空間判定信号１５０の結果によって、デマルチプレクサ６６はリードデータ１４４をリードデータ１１４として再構成制御部２２へ、もしくはリードデータ（共有）１２４として共有データ診断部２７へ出力する。
　メモリセル１５は、メモリ１２を構成する中でデータのライトとリードが可能な部位である。メモリセル１５へ入力されるコマンド１４３がライトの場合はアドレス１４１で示されるメモリ空間にライトデータ１４２をライトし、メモリセル１５へ入力されるコマンド１４３がリードの場合はアドレス１４１で示されるメモリ空間からリードデータ１４４をリードする。
　図４におけるメモリセル１５の＃２で示したメモリ空間１７は、ＣＰＵ２が使用する専用メモリ空間であり、メモリ空間１７へのアクセスではアドレス１１１、ライトデータ１１２、コマンド１１３、リードデータ１１４を使用する。
　一方、メモリセル１５の＃１２で示したメモリ空間１８はＣＰＵ２がＣＰＵ１と共有して使用する共有メモリ空間であり、＃２３で示したメモリ空間１９はＣＰＵ２がＣＰＵ３と共有して使用する共有メモリ空間である。
　これらのメモリ空間１８、１９へのアクセスではアドレス（共有）１２６、ライトデータ（共有）１２７、コマンド（共有）１２８、リードデータ（共有）１２４を使用する。
　図１に示したメモリ１３も図４のメモリ１２と同様の構成である。また、図１に示した共有データ診断部２７が接続されていないメモリ１１は、図４のメモリ１２からアドレス（共有）１２６、ライトデータ（共有）１２７、コマンド（共有）１２８、リードデータ（共有）１２４などを除いた形で構成することができる。
　図５は、図１から図４で示した分散制御装置を用いたシステムにおいて、このシステムが動作中に一部で故障が発生し縮退動作に移行する場合の動作フローチャートの一例を示す図である。
　図５のステップＳ０１にてシステムを起動し、ステップＳ０２にてシステム動作のための初期設定を行って、ステップＳ０３のシステム通常動作に遷移する。
　システムの通常動作中は、例えば制御周期の中で定期的にステップＳ０４にて再構成制御部２１、２２及び２３の故障個所判定部３１は、各ＣＰＵ１、２及び３の故障診断を行って各ＣＰＵ１、２及び３に故障が発生していないかをステップＳ０５にて判定する。
　ステップＳ０５において、各ＣＰＵ１、２及び３に故障が発生していなければ、ステップＳ０５からステップＳ０３に遷移して、システムの通常動作を続ける。
　ステップＳ０５にて、再構成制御部２１、２２又は２３の故障個所判定部３１が、いずれかのＣＰＵ１、２又は３で故障が発生したと判断した場合、ステップＳ１１に遷移する。図５の例ではステップＳ１１においてＣＰＵ１で故障が発生したことを検出し、ＣＰＵ２とＣＰＵ３での縮退動作に移行するためにステップＳ１２にて、共有データ診断部２７のデータ診断手段（データ診断部）５５が、メモリ１２に格納されたデータと共有データ診断部２８から入力されたデータとの診断を行う。
　ステップＳ１２にて行うデータ診断は、パリティ、ＥＣＣ（誤り訂正符号）、ＣＲＣ（巡回冗長検査）、データ照合などを用いて行われる。
　ステップＳ１２のデータ診断の結果、データが正しいか否かの判断がステップＳ１３にて行われる。ステップＳ１３にて、いずれのデータも正しかった場合はステップＳ１４に遷移し、この例ではＣＰＵ２がＣＰＵ１を代替し、ステップＳ１５にてシステム縮退動作を行う。
　一方、ステップＳ１３にていずれかのデータが不正であった場合はステップＳ２１に遷移し、不正データを訂正したのち、ステップＳ１４に遷移してＣＰＵの代替処理を行う。
　なお、この図５の動作フローチャートではＣＰＵ１が故障しＣＰＵ２で代替する例で示したが、ＣＰＵ３が代替してよい。また、ＣＰＵ２もしくはＣＰＵ３が故障した場合の動作も、図５に示した動作フローチャートと同様の動作フローチャートで示すことができる。
　ここで、縮退動作とは、自動運転動作を縮退動作に変更する場合であれば、自動運転動作のうちの、重要な動作を維持しつつ、その他の自動運転動作は行わない動作とするように、自動運転動作に制限を設けて動作させることである。
　図６は、図１から図４で示した分散制御装置を用いたシステムにおいて、システムが動作中に一部で故障が発生し縮退動作に移行した後、故障部位を復帰させて再び動作する場合の動作フローチャートの一例を示した図である。
　図６の動作フローチャートは、図５に示した動作フローチャートと比較して、ステップＳ１５の後にステップＳ１６～Ｓ１８のＣＰＵ１の復帰動作を追加している。
　断線などのハードウェア故障であれば復帰できないが、ソフトエラーなどの一時的な故障であればＣＰＵのリセットなどにより復帰できる場合がある。このため、故障したＣＰＵにリセット信号を入力し、復帰動作を行い、復帰したならば、再び、動作を行わせることが可能である。
　図６において、ステップＳ０１からＳ１５までには、図５に示した動作と同様であるので、説明は省略する。
　ステップＳ１５に続くステップＳ１６において、ＣＰＵ１の復帰動作が行われる。例えば、ＣＰＵ２がＣＰＵ１にリセット信号を出力する。
　次に、ステップＳ１７において、ＣＰＵ１の故障を検出する。これはＣＰＵ２が実行することができる。そして、ステップＳ１８において、ステップＳ１７のＣＰＵ１に故障が検出されたか否かにより、ＣＰＵ１が復帰したことを確認できれば、ＣＰＵ１、ＣＰＵ２、ＣＰＵ３のいずれも正常に動作するのでステップＳ０３のシステム通常動作に遷移する。
　一方、ステップＳ１８にてＣＰＵ１が復帰したことを確認できない場合は再びステップＳ１５のシステム縮退動作に遷移する。
　ステップ１６のＣＰＵ１の復帰動作を複数回試みて復帰しない場合は、システム全体を安全に停止させるようにしてもよい。
　なお、この図６の動作フローチャートではＣＰＵ１が故障しＣＰＵ２で代替する例で示したが、ＣＰＵ２もしくはＣＰＵ３が故障した場合でも同様の動作フローチャートで示すことができる。
　図７Ａは、図１から図６に示した実施例１の分散制御装置における動作のタイミングチャートであり、図７Ｂは、本発明を適用しない分散制御装置の動作のタイミングチャートの一例である。
　図７Ａに示したステップＳ０３のシステム通常動作からステップＳ１５のシステム縮退動作までは、図５で示した動作フローチャートの各ステップに対応している。なお、ステップＳ０５とステップＳ１３の判定ステップは、省略して図示している。
　図７Ａに示した例では、最初のステップＳ０３とステップＳ０４においてＣＰＵで故障が発生していない通常動作を行っているが、２回目のステップＳ０４の各ＣＰＵの故障診断においてＣＰＵ１で故障が発生し、ステップＳ１１に遷移してＣＰＵ１の故障を検出し、ステップＳ１２のデータ診断、ステップＳ２１の不正データ訂正を経てステップＳ１４の代替処理を行い、ステップＳ１５の縮退動作に遷移する。
　ここで、ステップＳ１２のデータ診断とステップＳ２１の不正データ訂正については、本発明の分散制御装置によって、ＣＰＵのハードウェアで実行するため非常に高速に行うことができ、ステップＳ１２及びＳ２１の動作にかかる時間ｔａは短い。
　図７Ｂに示した本発明を適用しない分散制御装置の動作のタイミングチャートにおいては、図７Ａと同様に、ステップＳ０３のシステム通常動作からステップＳ１５のシステム縮退動作までは、図５で示した動作フローチャートの各ステップに対応している。なお、図７Ａと同様に、図７Ｂにおいても、ステップＳ０５とステップＳ１３の判定ステップは省略して図示している。
　図７Ｂのタイミングチャートは図７Ａのタイミングチャートと比較して、ステップＳ１２のメモリ２及びメモリ３のデータ診断と、ステップＳ２１の不正データ訂正にかかる時間ｔｂが長い。図７Ｂに示した例は、本発明の分散制御装置におけるハードウェア（主としてデータ診断手段５５（データ診断部））によるデータ診断とデータ訂正機能を適用しておらずソフトウェアによる処理で実行しているためである。
　つまり、マスタＣＰＵが共有メモリを介して縮退時のソフトウェアをスレーブＣＰＵに転送するための時間が必要であり、通常動作から縮退動作へ切り替えるために時間がかかり、時間ｔｂが長い時間となることとなる。
　これに対して、本発明の実施例１による分散制御装置によって、システムの一部で故障が発生した場合でもハードウェアによるデータの診断と訂正機構により高速に縮退動作に移行することが可能となる。
　従って、リアルタイム性と高信頼性が必要とされるシステムを実現することが可能になる。
　すなわち、本発明の実施例１によれば、単一故障点の発生を回避し、縮退動作への移行遅延時間を減少させ、安全性及び信頼正性を向上可能な分散制御装置を実現することができる。
　また、実施例１の例では共通データ診断部２７をメモリ１２に接続し、共通データ診断部２８をメモリ１３に接続する形で説明したが、共通データ診断部２７をメモリ１２及びメモリ１３に接続し、共通データ診断部２８もメモリ１２及びメモリ１３に接続する構成としてもよい。
　また、実施例１の例ではＣＰＵおよびメモリの数を３として説明したが、ＣＰＵおよびメモリの数を４以上の数で実装することもできる。
　さらに、実施例１の例では、図６に示したように、システムの縮退動作を実行した後に、ＣＰＵ１の復帰動作を行うように構成したが、縮退動作を実行する前に、ＣＰＵ１の復帰動作を行い、縮退動作を行うことなく、ＣＰＵ１の動作を復帰させる構成としてもよい。この場合、ＣＰＵ１の復帰が困難と判断した場合には、縮退動作を行うように構成される。
　（実施例２）
　次に、本発明の実施例２について説明する。
　図８は、実施例２による分散制御装置の概略構成図である。
　実施例２は、図１に示した実施例１と比較して、不揮発メモリ７０（第１の不揮発メモリ）及び７１（第２の不揮発メモリ）を追加した点が異なっている。
　図８において、再構成制御部２２と共有データ診断部２７との間のバスに不揮発メモリ７０が接続され、この不揮発メモリ７０は、ＣＰＵ２で故障が発生したときに再構成制御部２２から共有データ診断部２７へ送信するライトデータの情報を保持（格納）するものである。
　また、再構成制御部２３と共有データ診断部２８との間のバスに不揮発性メモリ７１が接続され、この不揮発メモリ７１は、ＣＰＵ３で故障が発生したときに再構成制御部２３から共有データ診断部２８へ送信するライトデータの情報を保持（格納）するものである。
　このように、分散制御装置に不揮発メモリ７０及び７１を追加して故障が発生したときの情報を保持しておく構成とすることで、故障の影響などでシステム全体が停止して揮発性メモリの内容が保持されない場合などでも、あとから不揮発メモリ７０及び７１に保持された（格納された）内容を確認して、システムが停止した原因を確認できる可能性が高まり、システムの保守に役立てることが可能となる。
　以上のように、実施例２によれば、実施例１により得られる効果の他、上述したような効果を得ることができる。
　なお、実施例２の例では不揮発メモリ７０を再構成制御部２２に接続し、不揮発メモリ７１を再構成制御部２３に接続する構成としたが、不揮発メモリ７０を再構成制御部２２及び２３に接続し、不揮発メモリ７１も再構成制御部２２及び２３に接続する構成としてもよい。
　さらに、実施例２の例ではＣＰＵおよびメモリの数を３として説明したが、４以上の様々な数で実装してもよい。
　（実施例３）
　次に、本発明の実施例３について説明する。
　図９は、実施例３による分散制御装置の概略説明図である。
　実施例３は、図１に示した実施例１と比較して、実施例１におけるＣＰＵ２及びＣＰＵ３について、ＣＰＵを２重化したロックステップ構成のＣＰＵ４（動作制御部）及びＣＰＵ５（動作制御部）にした点が異なっている。実施例３の他の構成は、実施例１の構成と同様となっている。
　図９において、ロックステップＣＰＵ４は、ＣＰＵコア６及びＣＰＵコア７を備え、ＣＰＵ６の演算結果とＣＰＵ７の演算結果とを、照合器８０で照合し、ＣＰＵコア６及び７のいずれかで故障が発生したら故障検出信号をロックステップＣＰＵ４の外部へ出力する構成である。
　ロックステップＣＰＵ５もロックステップＣＰＵ４と同様に、ＣＰＵコア８及びＣＰＵコア９を備え、ＣＰＵコア８の演算結果とＣＰＵコア９の演算結果とを照合器８１で照合し、ＣＰＵコア８及び９のいずれかで故障が発生したら故障検出信号をロックステップＣＰＵ５の外部へ出力する構成である。
　なお、ロックステップ動作中の照合手法は、公知の技術である。
　このように、分散制御装置を構成するＣＰＵの一部（ＣＰＵ４とＣＰＵ５）をロックステップＣＰＵにすることで、分散制御装置で故障が発生した場合の故障検出を即座に行い縮退動作へ高速に遷移することが可能となり、高信頼性が要求される分散制御装置を実現することが可能になる。
　また、仮に、ＣＰＵ４又は５がＣＰＵ１に代わってマスタＣＰＵとなった場合、マスタＣＰＵ自身の故障を検出することができ、安全性をさらに向上することができる。
　以上のように、実施例３によれば、実施例１により得られる効果の他、上述したような効果を得ることができる。
　なお、実施例３の例ではロックステップＣＰＵをＣＰＵ４とＣＰＵ５の２つにした形で説明したが、ロックステップＣＰＵを、３つのＣＰＵ（ＣＰＵ１、ＣＰＵ４、ＣＰＵ５）のうちのいずれか１つとしてもよい。
　また、ＣＰＵ１を含めた全てのＣＰＵをロックステップＣＰＵとした構成としてもよい。
　また、実施例３の例ではＣＰＵおよびメモリの数を３として説明したが、その他の様々な数で実装してもよい。
　次に、図１０Ａ及び図１０Ｂを用いて、本発明に使用するデータフォーマットの例を説明する。このデータフォーマットは、実施例１～３に共通とすることができる。
　図１０Ａは、本発明の分散制御装置における再構成制御部２２、２３から制御対象機器に対して出力するデータフレームの一例を示した図である。
　このデータフレームは図１０Ａの左から順に１ビットのＳＯＦ（Ｓｔａｒｔ　ｏｆ　Ｆｒａｍｅ）２００、２ビットのＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）２０１、８ビットのデータ２０２、４ビットのＣＲＣ（２０３）、３ビットの故障したＣＰＵのデータ２０４、１ビットのＥＯＦ（Ｅｎｄ　ｏｆ　Ｆｒａｍｅ）２０５で構成されている。
　なお、データ２００～２０５のそれぞれの値は、０と１との２進数で表している。
　図１０Ａに示したデータフレームは、ＩＤ２０１の値が１０で、ＣＰＵ２から出力されたフレームであり、データ２０２の値が１０１１１１１０であり、データ２０２に対するＣＲＣ２０３の値が１１１０であり、故障ＣＰＵ２０４は０００でいずれのＣＰＵでも故障が発生していないことを表している。
　一方、図１０Ｂは故障が発生した場合のデータフレームの一例を示す図であり、図１０Ａに示したデータフレームと比較して、データ２１０の値が００１１１１１０となり、ＣＲＣ２１１の値が０１１１となり、故障ＣＰＵ２１２の値が００１となっているところが異なっている。図１０Ｂに示した例では、故障ＣＰＵ２１２の値によりＣＰＵ１で故障が発生し、その結果、データ２１０の値に故障の影響が発生し、データ２１０に対するＣＲＣ２１１の値が異なった場合を示している。
　このように、分散制御装置において通信するデータフレームに各ＣＰＵが正常動作しているか故障しているかの情報を付加することで、分散制御装置の内部もしくは外部でどのＣＰＵに故障が発生したかを正確かつ迅速に検出できるため、高信頼なシステムを実現することが可能となる。
　（実施例４）
　次に、図１１を用いて、本発明の実施例４について説明する。
　図１１は、実施例４による分散制御装置を自動車制御システムにおける車両制御装置に適用した場合の一例を示す図である。
　図１１において、自動車５００の内部は複数の電子制御ユニットを接続した形で構成している。
　この自動車５００には、センサ５１４及び５１５の入力を受ける自動運転ＥＣＵ（Ａｕｔｏｎｏｍｏｕｓ　Ｄｒｉｖｉｎｇ　ＥＣＵ、ＡＤ－ＥＣＵ）５１１と、前輪５０１、５０２を動作させて自動車５００を動かすためのパワートレーンＥＣＵ５１０とがあり、ＡＤ－ＥＣＵ５１１による走行指令をパワートレーンＥＣＵ５１０に伝えるための車両運動制御装置（Ｖｅｈｉｃｌｅ　Ｍｏｔｉｏｎ　Ｃｏｎｔｒｏｌ、ＶＭＣ）５１２及び５１３を図１１のように接続した構成となっている。
　ＡＤ－ＥＣＵ５１１には、ＣＰＵ５１１ａ、再構成制御部５１１ｂ、ローカルメモリ５１１ｃ（Ｌｏｃａｌ　Ｍｅｍｏｒｙ、ＬＭ）が含まれている。ＶＭＣ５１２には、ＣＰＵ５１２ａ、共有データ診断部５１２ｂ、再構成制御部５１２ｃ、ＬＭ５１２ｄが含まれている。
　同様に、ＶＭＣ５１３には、ＣＰＵ５１３ａ、共有データ診断部５１３ｂ、再構成制御部５１３ｃ、ＬＭ５１３が含まれている。
　自動車５００では、ＡＤ－ＥＣＵ５１１、ＶＭＣ５１２、５１３、パワートレーンＥＣＵ５１０が相互に接続し協調動作することで自動運転制御を行う。
　自動運転ＥＣＵ５１１は、図１のＣＰＵ１、再構成制御部２１、メモリ１１に対応し、車両運動制御装置５１２は、図１の、ＣＰＵ２、再構成制御部２２、共有データ診断部２７、メモリ１２に対応する。また、車両運動制御装置５１３は、図１の、ＣＰＵ３、再構成制御部２３、共有データ診断部２８、メモリ１３に対応する。
　図１１に示した自動車システムにおいて、例えば、ＡＤ－ＥＣＵ５１１で故障が発生した場合、ＡＤ－ＥＣＵ５１１と接続しているＶＭＣ５１２及び５１３がそれぞれＡＤ－ＥＣＵ５１１で故障が発生したことを検出する。
　この例では、ＶＭＣ５１２の再構成制御部５１２ｃによってＡＤ－ＥＣＵ５１１のＬＭ５１１ｃとＶＭＣ５１２のＬＭ５１２ｄとで共有していたデータを診断することで、ＡＤ－ＥＣＵ５１１の縮退動作をＶＭＣ５１２によって速やかに行う。
　これらの動作により、ＡＤ－ＥＣＵ５１１、ＶＭＣ５１２、５１３、パワートレーンＥＣＵ５１０は縮退動作に移行しながら最低限の動作を継続でき、周囲の状況に応じて前輪５０１、５０２の回転を継続もしくは停止させることで自動車システム全体としては安全動作を担保する。
　このように、本発明の分散制御装置を自動車５００の車両制御装置に適用することで、自動車５００の自動運転機能を構成する装置の一部に故障が発生した場合でも、自動車５００全体として縮退動作をしながら安全性を保つことが可能になる。
　（実施例５）
　次に、本発明の実施例５について説明する。
　図１２は、実施例５による分散制御装置を産業制御システムにおける動作制御装置に適用した場合の一例を示した図である。
　図１２において、この産業制御システムは、システムを統括制御するコンピュータ６００と、このコンピュータ６００によって制御される制御コントローラ６３１と、表示板６４０を制御するプログラマブルロジックコントローラ６３２と、アクチュエータ６４１を制御するプログラマブルロジックコントローラ６３３とを備えている。
　そして、制御コントローラ６３１、プログラマブルロジックコントローラ６３２、６３３はそれぞれ制御バス６３７を介して接続されている。
　制御コントローラ６３１は、ＣＰＵモジュール６０１、メモリモジュール６１１、再構成制御モジュール６２１など複数のモジュールを組み合わせて構成される。
　プログラマブルロジックコントローラ６３２も制御コントローラ６３１と同様に複数のモジュールを組み合わせて構成され、このプログラマブルロジックコントローラ６３２は、ＣＰＵモジュール６０２、メモリモジュール６１２、再構成制御モジュール６２２などを組み合わせて構成される。
　また、プログラマブルロジックコントローラ６３３も同様に、ＣＰＵモジュール６０３、メモリモジュール６１３、再構成制御モジュール６２３などで構成される。
　コントローラ６３１は、図１のＣＰＵ１、再構成制御部２１、メモリ１１に対応し、プログラマブルロジックコンピュータ６３２は、図１の、ＣＰＵ２、再構成制御部２２、共有データ診断部２７、メモリ１２に対応する。また、プログラマブルコンピュータ６３３は、図１の、ＣＰＵ３、再構成制御部２３、共有データ診断部２８、メモリ１３に対応する。ただし、図１２では、共有データ診断部は省略されている。
　この産業制御システムにおいて、例えば、制御コントローラ６３１で故障が発生した場合には、制御バス６３７を介して制御コントローラ６３１で故障が発生したことをプログラマブルロジックコントローラ６３２、６３３でそれぞれ検出する。
　この例では、再構成制御部６２２によってプログラマブルロジックコントローラ６３２のメモリモジュール６１２と制御コントローラ６３１のメモリモジュール６１１とで共有していたデータを診断することで、制御コントローラ６３１の縮退動作をプログラマブルロジックコントローラ６３２によって速やかに行うものである。
　上述した動作により、制御コントローラ６３１、プログラマブルロジックコントローラ６３２、６３３は縮退動作に移行しながら最低限の動作を継続でき、表示板６４０とアクチュエータ６４１の動作を継続もしくは安全に停止させることで、産業システム全体としては安全動作を担保することができる。
　このように、本発明の実施例５による分散制御装置を産業制御システムにおける動作制御装置に適用することで、産業制御システムを構成する一部の装置に故障が発生した場合でも、システム全体としては速やかに縮退動作に移行しながら安全性を保つことが可能になる。
　なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。
　また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能である。また、ある実施例の構成に他の実施例の構成を加えて構成することも可能である。
　さらに、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
　１、２、３、５１１ａ、５１２ａ、５１３ａ・・・ＣＰＵ、　　４、５・・・ロックステップＣＰＵ、　　６、７、８、９・・・ＣＰＵコア、　　１１、１２、１３、５１１ｃ、５１２ｄ、５１３ｄ・・・メモリ、　　１７、１８、１９・・・メモリ空間、　　２１、２２、２３、５１１ｂ、５１２ｃ、５１３ｃ・・・再構成制御部、　　２７、２８、５１２ｂ、５１３ｂ・・・共有データ診断部、　　３０・・・共有領域判定部、　　３１・・・故障箇所判定部、　　４０、４１、４２、６６・・・デマルチプレクサ、　　４６、６０、６１、６２・・・セレクタ、　　５１・・・アドレスバッファ、　　５２・・・ライトデータバッファ、　　
５３・・・コマンドバッファ、　　５５・・・データ診断手段（データ診断部）、　　５６・・・故障診断ステートマシン、　　７０、７１・・・不揮発メモリ、　　８０、８１・・・照合部、　　５００・・・自動車、　　５０１、５０２・・・前輪、　　５１０・・・パワートレーンＥＣＵ、　　５１１・・・自動運転ＥＣＵ、　　５１２、５１３・・・車両運動制御装置、　　５１４、５１５・・・センサ、　　６００・・・コンピュータ、　　６０１、６０２、６０３・・・ＣＰＵモジュール、　　６１１、６１２、６１３・・・メモリモジュール、　　６２１、６２２、６２３・・・再構成制御モジュール、　　６３１・・・制御コントローラ、　　６３２、６３３・・・プログラマブルロジックコントローラ、　　６４０・・・表示板、　　６４１・・・アクチュエータ

Claims (9)

  1. 　第１の動作制御部と、
    　上記第１の動作制御部に接続された第１の再構成制御部と、
    　上記第１の再構成制御部に接続された第１のメモリと、
    　第２の動作制御部と、
    　上記第２の動作制御部に接続された第２の再構成制御部と、
    　上記第２の再構成制御部に接続された第２のメモリと、
    　上記第２の再構成制御部及び上記第２のメモリに接続された第１の共有データ診断部と、
    　第３の動作制御部と、
    　上記第３の動作制御部に接続された第３の再構成制御部と、
    　上記第３の再構成制御部に接続された第３のメモリと、
    　上記第３の再構成制御部及び上記第３のメモリに接続された第２の共有データ診断部と、
    　を備え、上記第２のメモリはこの第２の専用メモリ空間、上記第１のメモリとの共有メモリ空間及び上記第３のメモリとの共有メモリ空間を有し、上記第３のメモリはこの第３のメモリの専用メモリ空間、上記第１のメモリとの共有メモリ空間及び上記第２のメモリとの共有メモリ空間を有し、
    　上記第１の共有データ診断部は上記第２のメモリにおける上記第１のメモリとの共有空間に格納されたデータを診断し、誤ったデータを正しいデータに書き換え、上記第２の共有データ診断部は上記第３のメモリにおける上記第１のメモリとの共有メモリ空間に格納されたデータを診断し、誤ったデータを正しいデータに書き換えることを特徴とする分散制御装置。
  2. 　請求項１に記載の分散制御装置において、
    　上記第２の再構成制御部及び上記第３の再構成制御部のそれぞれは、それぞれの上記専用メモリ空間にアクセスするか上記共有メモリ空間にアクセスするかを示す共有領域判定信号を、上記第２のメモリまたは第３のメモリに出力する共有領域判定部を有することを特徴とする分散制御装置。
  3. 　請求項１に記載の分散制御装置において、
    　上記第２の再構成制御部及び上記第３の再構成制御部は、それぞれ、上記第１の動作制御部、上記第２の動作制御部及び上記第３の動作制御部の故障検出信号が入力されると、データ診断要求信号を出力する故障個所判定部を備え、上記第１の共有データ診断部及び上記第２の共有データ診断部は、それぞれ、上記データ診断要求信号に応じて上記共有メモリ空間に格納されたデータを診断するデータ診断部を有することを特徴とする分散制御装置。
  4. 　請求項３に記載の分散制御装置において、
    　上記データ診断部は、上記共有メモリ空間に格納されたデータのパリティ、誤り訂正符号又は巡回冗長検査を用いてデータを診断することを特徴とする分散制御装置。
  5. 　請求項１に記載の分散制御装置において、
    　上記第２の再構成制御部と上記第２のメモリに接続された第１の不揮発メモリと、上記第３の再構成制御部と上記第３のメモリに接続された第２の不揮発メモリとを、さらに備えることを特徴とする分散制御装置。
  6. 　請求項１に記載の分散制御装置において、
    　上記第１の動作制御部、上記第２の動作制御部及び上記第３の動作制御部のうちのいずれか１つもしくは２つあるいは全てがロックステップ構成の動作制御部であることを特徴とする分散制御装置。
  7. 　請求項１に記載の分散制御装置において、
    　上記第１の再構成制御部、上記第２の再構成制御部及び上記第３の再構成制御部はデータを相互通信し、相互通信するデータのデータフレームは、上記第１の動作制御部の故障情報、上記第２の動作制御部の故障情報及び上記第３の動作制御部の故障情報を有することを特徴とする分散制御装置。
  8. 　請求項１から７のうちのいずれか一項に記載の分散制御装置において、
    　上記分散制御装置は、車両制御装置であることを特徴等する分散制御装置。
  9. 　請求項１から７のうちのいずれか一項に記載の分散制御装置において、
    　上記分散制御装置は、産業制御システムにおける動作制御装置であることを特徴等する分散制御装置。
PCT/JP2017/043279 2017-12-01 2017-12-01 分散制御装置 Ceased WO2019106830A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2017/043279 WO2019106830A1 (ja) 2017-12-01 2017-12-01 分散制御装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2017/043279 WO2019106830A1 (ja) 2017-12-01 2017-12-01 分散制御装置

Publications (1)

Publication Number Publication Date
WO2019106830A1 true WO2019106830A1 (ja) 2019-06-06

Family

ID=66663863

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/043279 Ceased WO2019106830A1 (ja) 2017-12-01 2017-12-01 分散制御装置

Country Status (1)

Country Link
WO (1) WO2019106830A1 (ja)

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001007893A (ja) * 1999-06-23 2001-01-12 Nec Kofu Ltd 情報処理システム及びそれに用いる障害処理方式
WO2009081479A1 (ja) * 2007-12-25 2009-07-02 Kabushiki Kaisha Toshiba ネットワーク制御装置
JP2009277052A (ja) * 2008-05-15 2009-11-26 Toyota Infotechnology Center Co Ltd 分散デバイス制御システム
JP2017021625A (ja) * 2015-07-13 2017-01-26 富士通株式会社 ダンプ採取プログラム、ダンプ採取方法および情報処理装置
JP2017033236A (ja) * 2015-07-31 2017-02-09 日立オートモティブシステムズ株式会社 車両制御装置
JP2017058944A (ja) * 2015-09-16 2017-03-23 京セラドキュメントソリューションズ株式会社 データ保護装置
JP2017146897A (ja) * 2016-02-19 2017-08-24 株式会社デンソー マイクロコントローラ及び電子制御装置

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001007893A (ja) * 1999-06-23 2001-01-12 Nec Kofu Ltd 情報処理システム及びそれに用いる障害処理方式
WO2009081479A1 (ja) * 2007-12-25 2009-07-02 Kabushiki Kaisha Toshiba ネットワーク制御装置
JP2009277052A (ja) * 2008-05-15 2009-11-26 Toyota Infotechnology Center Co Ltd 分散デバイス制御システム
JP2017021625A (ja) * 2015-07-13 2017-01-26 富士通株式会社 ダンプ採取プログラム、ダンプ採取方法および情報処理装置
JP2017033236A (ja) * 2015-07-31 2017-02-09 日立オートモティブシステムズ株式会社 車両制御装置
JP2017058944A (ja) * 2015-09-16 2017-03-23 京セラドキュメントソリューションズ株式会社 データ保護装置
JP2017146897A (ja) * 2016-02-19 2017-08-24 株式会社デンソー マイクロコントローラ及び電子制御装置

Similar Documents

Publication Publication Date Title
CN103488161B (zh) 用于ecu任务重构的系统和方法
US20240012723A1 (en) High-reliability non-volatile memory using a voting mechanism
RU2585262C2 (ru) Контрольно-вычислительная система, способ управления контрольно-вычислительной системой, а также применение контрольно-вычислительной системы
KR100369492B1 (ko) 임계안전도제어시스템용마이크로프로세서시스템
CN103262045B (zh) 具有容错架构的微处理器系统
US20160009235A1 (en) Failure management in a vehicle
US9207661B2 (en) Dual core architecture of a control module of an engine
CN114348027B (zh) 车辆控制方法、装置、平台及存储介质
US20190108160A1 (en) Vehicle Control System Verification Device, Vehicle Control System, and Vehicle Control System Verification Method
JP2001521661A (ja) 安全上重要な制御装置のためのマイクロプロセッサ装置
JP2008505012A (ja) 冗長データバスシステム
RU2284929C2 (ru) Способ управления компонентом важной для обеспечения безопасности распределенной системы
JP2002501228A (ja) 電子デジタル装置
RU2494348C2 (ru) Устройство и способ контроля датчика, а также датчик
CN120270263A (zh) 用于车辆的控制架构
CN117425881A (zh) 用于车辆的控制装置以及辅助系统
US20240375670A1 (en) Autonomous vehicle system on chip
JP2004533686A (ja) 安全上重要な制御のための方法、マイクロプロセッサシステムおよびその使用
US10585772B2 (en) Power supply diagnostic strategy
KR101295770B1 (ko) 안전 무결성 확보를 위한 열차제어 시스템
CN107783530B (zh) 基于软件代码迁移的失效可操作的系统设计模式
JP2013250690A (ja) データ処理装置、マイクロコントローラ、およびデータ処理装置の自己診断方法
WO2019106830A1 (ja) 分散制御装置
CN116419876A (zh) 车辆控制系统
JP6681304B2 (ja) 自動車用制御装置及び自動車用内燃機関制御装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17933306

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17933306

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP