JP3897047B2 - 情報処理装置および情報処理方法 - Google Patents

Description

本発明は、互いに独立して同一処理を実行する複数の装置を備える情報処理装置および互いに独立して同一処理を実行する複数の装置を用いた情報処理方法に関し、とくに信頼性を向上させることができる情報処理装置および情報処理方法に関する。

情報処理の信頼性を向上させるため、ＣＰＵを二重化し、各ＣＰＵに同一の処理を実行させる場合がある。この場合、各ＣＰＵには、各ＣＰＵで処理対象となる同一の情報が与えられる。
特開平８−２２１２９０号公報

しかし、各ＣＰＵに同一情報を与えるためには、それぞれのＣＰＵに対して同一の情報を入力するための回路構成が必要であるが、実装上、困難な場合がある。とくに、２つのＣＰＵを互いに絶縁した状態で実装する場合には、一方のＣＰＵに入力する情報をフォトカプラ等の絶縁手段を介して伝達する必要があり、実装上、あるいはコスト面の理由で実現困難な場合がある。

また、ＣＰＵの動作タイミングが一致していない場合や、ＣＰＵでの誤動作が発生した場合には、その異常を適切に検出する必要がある。

本発明の目的は、複数の装置により同一処理を実行する情報処理装置および情報処理方法に、高度の信頼性を付与することにある。

本発明の情報処理装置は、互いに独立して同一処理を二重に実行する第１の装置および第２の装置を備える情報処理装置において、前記第１の装置において前記情報処理装置の状態に関する第１のステータスを取得する第１のステータス取得手段と、前記第２の装置において前記情報処理装置の状態に関する前記第１のステータスとは異なる第２のステータスを取得する第２のステータス取得手段と、前記第１のステータス取得手段で取得された前記第１のステータスおよび前記第２のステータス取得手段で取得された前記第２のステータスを、前記第１の装置および前記第２の装置間で交換し合う交換手段と、前記第１のステータス取得手段で取得された前記第１のステータスおよび前記交換手段により得られた前記第２のステータスに基づいて、前記情報処理装置の状態を示す等値化ステータスを、所定のアルゴリズムを用いて前記第１の装置において作成する第１の等値化手段と、前記第２のステータス取得手段で取得された前記第２のステータスおよび前記交換手段により得られた前記第１のステータスに基づいて、前記情報処理装置の状態を示す前記等値化ステータスを、前記所定のアルゴリズムを用いて前記第２の装置において作成する第２の等値化手段と、前記第１の等値化手段および前記第２の等値化手段で作成された前記両等値化ステータスを照合して、前記両等値化ステータスが不一致であれば異常と判定する照合手段と、を備えることを特徴とする。

本発明の情報処理装置は、互いに独立して同一情報処理を二重に実行する第１の装置および第２の装置を備える情報処理装置において、前記第１の装置における情報処理を反映させた第１のデータを前記第１の装置において作成する第１のデータ作成手段と、前記第２の装置における情報処理を反映させた第２のデータを前記第２の装置において作成する第２のデータ作成手段と、前記第１のデータおよび前記第２のデータを照合し、両データが不一致であれば異常と判定する照合手段と、前記第１の装置において前記情報処理装置の状態に関する第１のステータスを取得する第１のステータス取得手段と、前記第２の装置において前記情報処理装置の状態に関する前記第１のステータスとは異なる第２のステータスを取得する第２のステータス取得手段と、前記第１のステータス取得手段で取得された前記第１のステータスおよび前記第２のステータス取得手段で取得された前記第２のステータスを、前記第１の装置および前記第２の装置間で交換し合う交換手段と、前記第１のステータス取得手段で取得された前記第１のステータスおよび前記交換手段により得られた前記第２のステータスに基づいて、前記情報処理装置の状態を示す等値化ステータスを、所定のアルゴリズムを用いて前記第１の装置において作成する第１の等値化手段と、前記第２のステータス取得手段で取得された前記第２のステータスおよび前記交換手段により得られた前記第１のステータスに基づいて、前記情報処理装置の状態を示す前記等値化ステータスを、前記所定のアルゴリズムを用いて前記第２の装置において作成する第２の等値化手段と、を備え、前記第１のデータ作成手段は、前記第１の装置における他の情報処理とともに前記第１の等値化手段で作成された前記等値化ステータスを反映させて、前記第１のデータを作成し、前記第２のデータ作成手段は、前記第２の装置における他の情報処理とともに前記第２の等値化手段で作成された前記等値化ステータスを反映させて、前記第２のデータを作成することを特徴とする。

前記第１のステータスは実装回路の診断情報であってもよい。

前記第１の装置および前記第２の装置を同期化する同期化手段を備えてもよい。

前記第１の装置および前記第２の装置は互いに電気的に絶縁されていてもよい。

前記第１の装置および前記第２の装置は、それぞれ個々のＣＰＵとして構成されていてもよい。

本発明の情報処理方法は、互いに独立して同一処理を二重に実行する第１の装置および第２の装置を用いた情報処理方法において、前記第１の装置において前記情報処理装置の状態に関する第１のステータスを取得する第１のステータス取得ステップと、前記第２の装置において前記情報処理装置の状態に関する前記第１のステータスとは異なる第２のステータスを取得する第２のステータス取得ステップと、前記第１のステータス取得ステップで取得された前記第１のステータスおよび前記第２のステータス取得ステップで取得された前記第２のステータスを、前記第１の装置および前記第２の装置間で交換し合う交換ステップと、前記第１のステータス取得ステップで取得された前記第１のステータスおよび前記交換ステップにより得られた前記第２のステータスに基づいて、前記情報処理装置の状態を示す等値化ステータスを、所定のアルゴリズムを用いて前記第１の装置において作成する第１の等値化ステップと、前記第２のステータス取得ステップで取得された前記第２のステータスおよび前記交換ステップにより得られた前記第１のステータスに基づいて、前記情報処理装置の状態を示す前記等値化ステータスを、前記所定のアルゴリズムを用いて前記第２の装置において作成する第２の等値化ステップと、前記第１の等値化ステップおよび前記第２の等値化ステップで作成された前記両等値化ステータスを照合して、前記両等値化ステータスが不一致であれば異常と判定する照合ステップと、を備えることを特徴とする。

本発明の情報処理方法は、互いに独立して同一情報処理を二重に実行する第１の装置および第２の装置を備える情報処理方法において、前記第１の装置における情報処理を反映させた第１のデータを前記第１の装置において作成する第１のデータ作成ステップと、前記第２の装置における情報処理を反映させた第２のデータを前記第２の装置において作成する第２のデータ作成ステップと、前記第１のデータおよび前記第２のデータを照合し、両データが不一致であれば異常と判定する照合ステップと、前記第１の装置において前記情報処理装置の状態に関する第１のステータスを取得する第１のステータス取得ステップと、前記第２の装置において前記情報処理装置の状態に関する前記第１のステータスとは異なる第２のステータスを取得する第２のステータス取得ステップと、前記第１のステータス取得ステップで取得された前記第１のステータスおよび前記第２のステータス取得ステップで取得された前記第２のステータスを、前記第１の装置および前記第２の装置間で交換し合う交換ステップと、前記第１のステータス取得ステップで取得された前記第１のステータスおよび前記交換ステップにより得られた前記第２のステータスに基づいて、前記情報処理装置の状態を示す等値化ステータスを、所定のアルゴリズムを用いて前記第１の装置において作成する第１の等値化ステップと、前記第２のステータス取得ステップで取得された前記第２のステータスおよび前記交換ステップにより得られた前記第１のステータスに基づいて、前記情報処理装置の状態を示す前記等値化ステータスを、前記所定のアルゴリズムを用いて前記第２の装置において作成する第２の等値化ステップと、を備え、前記第１のデータ作成ステップは、前記第１の装置における他の情報処理とともに前記第１の等値化ステップで作成された前記等値化ステータスを反映させて、前記第１のデータを作成し、前記第２のデータ作成ステップは、前記第２の装置における他の情報処理とともに前記第２の等値化ステップで作成された前記等値化ステータスを反映させて、前記第２のデータを作成することを特徴とする。

本発明の情報処理装置および情報処理方法によれば、取得されたステータスに応じた共通のイベントを、第１の装置および第２の装置において発生させるので、第１の装置および第２の装置における処理を一致させることができる。

図１〜図３は本発明による情報処理装置を機能的に示すブロック図である。

図１において、ステータス取得手段１０１は、第１の装置においてステータスを取得する。イベント発生手段１０２は、取得されたステータスに応じた共通のイベントを、第１の装置および第２の装置において発生させる。

図２において、第１のステータス取得手段１０３は、第１の装置においてステータスを取得する。第２のステータス取得手段１０４は、第２の装置においてステータスを取得する。ステータス比較手段１０５は、第１のステータス取得手段１０３により取得されたステータスと、第２のステータス取得手段１０４により取得されたステータスとを比較する。ステータス選択手段１０６は、比較された両ステータスが異なる場合に第１のステータス取得手段１０３または第２のステータス取得手段１０４により取得されたステータスのいずれかを選択する。イベント発生手段１０２は、選択されたステータスに応じた共通のイベントを、第１の装置および第２の装置において発生させる。

図２において、ステータス送信手段１０７は、第１のステータス取得手段１０３により取得されたステータスを、第１の装置から第２の装置に向けて送信する。ステータス比較手段１０５は、ステータス送信手段１０７により送信されたステータスと、第２のステータス取得手段１０４により取得されたステータスとを、第２の装置において比較する。

図１および図２において、異常判定手段１１１は、イベント発生手段１０２によってイベントが発生した後の第１の装置および第２の装置の状態を比較し、比較された両装置の状態が異なる場合には異常と判定する。

図１および図２において、同期化手段１１２は、第１の装置および第２の装置の動作を同期化する。

図１および図２において、照合手段１１３は、第１の装置での処理により生成されたデータと、第２の装置での処理により生成されたデータとを照合する。ステータス取得手段１０１，１０３，１０４は照合手段１１３による照合結果を取得する。

また、図３において、第１の装置および第２の装置は、互いに絶縁されて実装される。

取得手段１２１は、第１の装置において、第１の装置に対して非絶縁状態で実装された実装部の診断情報を取得する。送信手段１２２は、取得手段１２１により取得された診断情報を、第１の装置から第２の装置に向けて送信する。処理実行手段１２３は、第２の装置において、送信手段１２２により送信された診断情報に基づく処理を実行する。

以下、図４〜図１２を参照して、本発明による情報処理装置の実施例１〜４について説明する。

図４は実施例１の情報処理装置が適用される安全システムの構成を示すブロック図である。この安全システムはプラント制御システムの一部として構成されている。

図４に示すように、プラント制御システムは、プラント各部に配置された電磁弁やセンサ等のフィールド機器１，１，・・・を統合的に管理、制御するコントローラ２と、コントローラ２およびフィールド機器１の間に介装される入出力装置３，３，・・・と、を備える。入出力装置３，３，・・・は、ネットワーク４を介してコントローラ２に接続されている。また、フィールド機器１，１，・・・は、ターミナルボード５を介して入出力装置３に接続されている。

図４に示すように、入出力装置３にはフィールド機器１とコントローラ２との間のインターフェース処理を実行する入出力ユニット３ａ，３ｂ，・・・が実装される。後述するように、これらの入出力ユニット３ａ，３ｂ，・・・では、信頼性向上を目的として同一処理を二重に実行している。

図５は入出力ユニット３ａの構成の一部を示すブロック図である。図５では、下流工程であるフィールド機器１の側から入力された入力値を加工して、上流工程であるコントローラ２の側に向けてＰＶ値（プロセス値）を出力するユニットの例を示している。

図５に示すように、このユニットは、マスターＣＰＵ１０と、スレーブＣＰＵ２０とを備え、それぞれのＣＰＵ１０およびＣＰＵ２０が互いに独立して同一処理を実行する。また、ＣＰＵ１０およびＣＰＵ２０は、それぞれその周囲に実装された実装部（周辺回路）の診断を実行する。

図５に示すように、フィールド機器１からの入力値は、入力部７１および入力バッファ７２を介してマスターＣＰＵ１０に入力される。マスターＣＰＵ１０の周囲の周辺回路７４は診断回路７５により診断される。また、入力バッファ７２から出力された信号が診断回路７５に入力され、信号の異常の有無が診断される。周辺回路７４の異常の有無、および入力バッファ７２から出力された信号の異常の有無は、診断回路７５からの診断情報としてマスターＣＰＵ１０に入力される。

同様に、フィールド機器１からの同一の入力値は入力部７１および入力バッファ７３を介してスレーブＣＰＵ２０に入力される。スレーブＣＰＵ２０の周囲の周辺回路７６は診断回路７７により診断される。また、入力バッファ７３から出力された信号が診断回路７７に入力され、信号の異常の有無が診断される。周辺回路７６の異常の有無、および入力バッファ７３から出力された信号の異常の有無は、診断回路７７からの診断情報としてスレーブＣＰＵ２０に入力される。

図５に示すように、マスターＣＰＵ１０は、入力バッファ７２を経由して入力された入力値に対する演算処理を実行し、コントローラ２の側である上流工程で処理可能な形式のＰＶ値（プロセス値）に変換するＰＶ値処理部１１と、診断回路７５からの診断情報を受けて異常の検出および判定を実行し、診断結果であるステータスを生成する診断部１２とを備える。

また、マスターＣＰＵ１０は、スレーブＣＰＵ２０との間で、シリアル通信である非同期通信（ＵＡＲＴ）を実行するための通信ブロック１３と、ＰＶ値およびステータスに、ＣＲＣ（Cyclic Redundancy Check；巡回冗長検査）コードおよび更新カウンタを付加するコード生成部１４とを備える。

また、スレーブＣＰＵ２０は、入力バッファ７３を経由して入力された入力値に対する演算処理を実行し、コントローラ２の側である上流工程で処理可能な形式のＰＶ値（プロセス値）に変換するＰＶ値処理部２１と、診断回路７７からの診断情報を受けて異常の検出および判定を実行し、診断結果であるステータスを生成する診断部２２とを備える。

また、スレーブＣＰＵ２０は、マスターＣＰＵ１０との間で、シリアル通信である非同期通信（ＵＡＲＴ）を実行するための通信ブロック２３と、ＰＶ値およびステータスに、ＣＲＣ（Cyclic Redundancy Check；巡回冗長検査）コードおよび更新カウンタを付加するコード生成部２４とを備える。

次に、本ユニットの動作について説明する。

マスターＣＰＵ１０では、診断部１２で生成されたステータスと、スレーブＣＰＵ２０の診断部２２で生成され、通信ブロック２３および通信ブロック１３による通信を介して取得されたステータスとを、等値化部１５において、比較、等値化する。等値化はマスターＣＰＵ１０で取り扱うステータスと、スレーブＣＰＵ２０で取り扱うステータスとを同一にする処理である。等値化部１５ではステータスのＯＲ情報を生成する。すなわち、等値化部１５では、いずれかのステータスが異常を示す場合、その異常を取り込んだステータスに変更し、コード生成部１４に受け渡す。後述するように、スレーブＣＰＵ２０でも同様の処理を行うことで、マスターＣＰＵ１０およびスレーブＣＰＵ２０で取り扱うステータスを共通化する。

ＰＶ値処理部１１で生成されたＰＶ値は、コード生成部１４に与えられる。しかし、等値化部１５での処理に基づきステータスの異常が検出された場合には、遮断部１６によりコード生成部１４へのＰＶ値の入力が遮断される。

コード生成部１４では、入力されたＰＶ値および等値化部１５で生成されたステータスに基づいてＣＲＣコードを生成する。また、新たなＰＶ値およびステータスが入力されるたびにカウント番号を更新し、ＣＲＣコードに付加したコードを生成する。コード生成部１４では、このように生成したコードをＰＶ値およびステータスに付加することで、ＰＶ値、ステータス、ＣＲＣコードおよびカウント番号からなるフレームを生成する。カウント番号は、ＰＶ値およびステータスの更新ごとにインクリメントされる。

コード生成部１４で作成されたフレームと同様のフレームは、スレーブＣＰＵ２０のコード生成部２４で同様に生成され、通信ブロック２３および通信ブロック１３による通信を介して取得される。コード生成部１４で作成されたフレームと、コード生成部２４で作成されたフレームとは、比較部１７において照合される。比較部１７では、両フレームの不一致が検出されれば異常と判断する。後述するように、スレーブＣＰＵ２０でも同様の処理を行うことで、マスターＣＰＵ１０およびスレーブＣＰＵ２０は、互いに相手方の処理結果を自らの処理結果と照合し、不一致であれば異常と判断している。マスターＣＰＵ１０およびスレーブＣＰＵ２０におけるすべての処理が正常であれば、比較部１７における照合の結果、両フレームは一致することになる。

コード生成部１４で生成されたフレームは、上流工程である出力部７８に向けて出力される。しかし、比較部１７において両フレームの不一致が検出され、異常と判断されれば、遮断部１８によって、フレームの出力が遮断される。また、後述するように、スレーブＣＰＵ２０の比較部２７においてフレームの不一致が検出された場合には、フェイルセイフ部７９において、フレームの出力が遮断される。

一方、スレーブＣＰＵ２０では、診断部２２で生成されたステータスと、マスターＣＰＵ１０の診断部１４で生成され、通信ブロック１３および通信ブロック２３による通信を介して取得されたステータスとを、等値化部２５において、比較、等値化する。等値化部２５ではステータスのＯＲ情報を生成する。すなわち、等値化部２５では、いずれかのステータスが異常を示す場合、その異常を取り込んだステータスに変更し、コード生成部２４に受け渡す。

ＰＶ値処理部２１で生成されたＰＶ値は、コード生成部２４に与えられる。しかし、等値化部２５での処理に基づきステータスの異常が検出された場合には、遮断部２６によりコード生成部２４へのＰＶ値の入力が遮断される。

コード生成部２４では、入力されたＰＶ値および等値化部２５で生成されたステータスに基づいてＣＲＣコードを生成する。また、新たなＰＶ値およびステータスが入力されるたびにカウント番号を更新し、ＣＲＣコードに付加したコードを生成する。コード生成部２４では、このように生成したコードをＰＶ値およびステータスに付加することで、ＰＶ値、ステータス、ＣＲＣコードおよびカウント番号からなるフレームを生成する。カウント番号は、ＰＶ値およびステータスの更新ごとにインクリメントされる。

コード生成部２４で作成されたフレームは、マスターＣＰＵ１０のコード生成部１４で同様に生成され通信ブロック１３および通信ブロック２３による通信を介して取得されたフレームと、比較部２７において照合される。比較部２７において両フレームの不一致が検出されれば異常と判断する。

比較部２７においてフレームの不一致が検出された場合、比較部２７から異常を示すフェイルセイフ信号が出力され、フェイルセイフ部７９に与えられる。この場合、フェイルセイフ部７９において、ＣＰＵ１０からのフレームの出力が遮断され、出力部７８への新たなフレームの出力が阻止される。フェイスセイフ部７９により出力を遮断する代わりに、ＣＰＵ２０からＣＰＵ１０のリセット回路に向けてリセット信号を出力してもよい。この場合、リセット信号を受けたＣＰＵ１０は強制的にリセットされ、出力部７８への出力が阻止される。

出力部７８への出力が阻止された場合、カウント番号の更新が停止するため、出力部７８以降の後段の上流工程では、カウント番号を参照するだけで情報の出力が停止したことを認識できる。

図６は、上述したステータスの等値化処理およびフレームの比較処理の手順を示すフローチャートである。これらの処理はマスターＣＰＵ１０およびスレーブＣＰＵ２０においてそれぞれ実行される。

ステップＳ１〜ステップＳ７はステータスの等値化処理の手順を示している。

図６のステップＳ１では、診断部１２または診断部２２でステータスを生成し、通信ブロック１３または通信ブロック２３を介して、生成されたステータスを送信する。

ステップＳ２では、相手方ＣＰＵから送信されてきたステータスを、通信ブロック１３または通信ブロック２３を介して受信する。

ステップＳ３では、等値化部１５または等値化部２５において、自らが生成したステータスと、相手方ＣＰＵが生成したステータスとを比較する。ステップＳ４において、比較されたステータスが同一でないと判断した場合には、ステップＳ５においてステータスの等値化を実行する。ステップＳ４において、比較されたステータスが同一であると判断した場合には、ステップＳ５をスキップする。

上記のように、ステップＳ５では、ステータスの等値化処理においてステータスのＯＲ情報を生成することで、いずれかのステータスの異常を等値化後のステータスに表現し、異常がＣＰＵの動作に必ず反映されるような安全サイドのステータスを作成する。また、ステータスの等値化のアルゴリズムは、マスターＣＰＵ１０とスレーブＣＰＵ２０との間で同一であり、等値化の処理が正しく実行された場合に得られる等値化後のステータスは両ＣＰＵ間で常に共通となる。

ステップＳ６では、等値化後のステータスが異常を示しているか否か判断し、判断が肯定されれば、ステップＳ７において、遮断部１６または遮断部２６によりコード生成部１４またはコード生成部２４へのＰＶ値の入力が遮断される。ステップＳ７の処理が終了後、ステップＳ１へ戻る。

ステップＳ６の判断が否定されれば、ステップＳ７をスキップし、ステップＳ１へ戻る。以下、処理フェイズ単位で、ステップＳ１〜ステップＳ７の手順が繰り返される。

このように、本実施例では、処理フェイズ単位でステータスの等値化処理を実行し、両者のＣＰＵにおいて同一ステータスを認識して、同一処理を実行する。すなわち、同一のイベントを実行する。

図６のステップＳ１１〜ステップＳ１５はフレームの比較処理の手順を示している。

図６のステップＳ１１では、コード生成部１４またはコード生成部２４でＰＶ値、ステータス、ＣＲＣコードおよびカウント番号からなるフレームを生成し、通信ブロック１３または通信ブロック２３を介して、生成されたステータスを送信する。

ステップＳ１２では、相手方ＣＰＵから送信されてきたフレームを、通信ブロック１３または通信ブロック２３を介して受信する。

ステップＳ１３では、比較部１７または比較部２７において、自らが生成したフレームと、相手方ＣＰＵが生成したフレームとを比較する。ステップＳ１４において、比較されたフレームが同一でないと判断した場合には、ステップＳ１５において遮断部１８またはフェイルセイフ部７９において、フレームの出力が遮断される。ステップＳ１４の処理が終了後、ステップＳ１１へ戻る。

ステップＳ１４の判断が否定されれば、ステップＳ１５をスキップし、ステップＳ１１へ戻る。以下、処理フェイズ単位で、ステップＳ１１〜ステップＳ１５の手順が繰り返される。

このように、本実施例では、処理フェイズ単位でフレームを比較し、両フレームが異なる場合には異常と判断して所定の処理を実行する。本実施例では、両フレームが異なる場合には、両者のＣＰＵにおいて、共通に異常を認識し、すなわち共通のステータスを選択し、出力部７８へのフレームの出力を停止するという同一の処理、すなわち同一のイベントを実行する。

図７は、図６に示す処理による両ＣＰＵの状態遷移の様子を示す図である。

図７に示すように、ステータスの等値化により、両ＣＰＵにより同一のステータスが認識される。また、両ＣＰＵには同一の入力値が与えられる。したがって、両ＣＰＵでは、常に同一の状態から共通のイベントを実行することとなり、イベント実行後の状態も同一となる。

次に、マスターＣＰＵ１０およびスレーブＣＰＵ２０間の通信方法について説明する。上記のように、マスターＣＰＵ１０およびスレーブＣＰＵ２０ではリアルタイムにデータを交換し、データの照合を行っている。このため、両者のＣＰＵにおける処理のタイミングがずれると、時間軸方向に異なる別々の処理結果を比較することになり、照合の不一致が発生する。このため、本実施例の装置では、両者のＣＰＵが常に同じ動作を実行している必要がある。そこで、マスターＣＰＵ１０の側から非同期通信（ＵＡＲＴ）を利用してタイミングフェイズトリガを送信し、スレーブＣＰＵ２０が同期して同一のシーケンスで処理を実行できるよう制御している。

図８は通信処理のシーケンスを示す図である。図９は通信フレームの構成を示す図であり、図９（ａ）は個々の通信フレームの構成を、図９（ｂ）は通信状態が正常な場合の動作を、それぞれ示す図である。

図８に示すように、マスターＣＰＵ１０はスレーブＣＰＵ２０に向けて、タイミングフェイズトリガ付きのコマンドを定周期で送信する。コマンドを受信したスレーブＣＰＵ２０は、マスターＣＰＵ１０に向けてレスポンスを返送する。このような処理の後、両者のＣＰＵが同一の処理フェイズを実行することで、両者のＣＰＵの処理を同期させる。

図９（ａ）に示すように、マスターＣＰＵ１０は通信ブロック１３を介してタイミングフェイズトリガ付きのコマンドを送信する。スレーブＣＰＵ２０は通信ブロック２３を介してコマンドを受信する。スレーブＣＰＵ２０では、受信されたコマンドに表現されたフェイズ（シーケンス番号）と、期待されるフェイズ（シーケンス番号）、すなわち次に処理すべきフェイズ（図９（ａ）ではフェイズ１）とを比較し、両者が一致していれば通信状態が正常であると認識する。通信状態が正常であると認識した場合には、スレーブＣＰＵ２０は通信ブロック２３を介してマスターＣＰＵ１０に当該フェイズ（図９（ａ）ではフェイズ１）を示す情報（シーケンス番号）を含んだレスポンスを返送する。マスターＣＰＵ１０は、スレーブＣＰＵ２０からのレスポンスを一定時間内に受信し、かつ受信されたレスポンスに表現されたフェイズ（シーケンス番号）が適正であれば、通信状態が正常であると認識する。

コマンドおよびレスポンスの送受信により通信状態を確認するコマンドトリガ期間の後、全二重化通信期間に移行する。全二重化通信期間では、マスターＣＰＵ１０およびスレーブＣＰＵ２０は、それぞれ同一フェイズ（図９（ａ）ではフェイズ１）の処理を実行し、マスターＣＰＵ１０からスレーブＣＰＵ２０に向けてデータＭＡが、スレーブＣＰＵ２０からにマスターＣＰＵ１０向けてデータＳＬが、並行して送信される。データＭＡおよびデータＳＬには、それぞれ上述した、等値化のために送受信されるステータス、および照合のために送受信されるフレーム（ＰＶ値、ステータス、ＣＲＣコードおよびカウント番号からなるフレーム）が含まれる。

図９（ｂ）に示すように、このようなフェイズを順次繰り返すことで、マスターＣＰＵ１０およびスレーブＣＰＵ２０において同一処理が互いに同期して実行される。

以上説明したように、実施例１では、両ＣＰＵのデータを互いに照合する前段で、各ＣＰＵが取得したステータスを等値化している。このため、いずれかのＣＰＵでステータスの異常が検知された場合には、ステータスの等値化によりステータスが異常であることの認識が両ＣＰＵで共有化される。したがって、ステータスの異常時に後段におけるデータ照合での不一致とはならず、ステータス異常と、データの照合不一致とを切り分けて認識可能となり、異常状態を正しく通知することが可能となる。また、実施例１では、マスターＣＰＵ１０の診断部１２が診断回路７５からの診断情報を受けて異常の検出および判定を実行することで、診断結果であるステータスを生成し、これをスレーブＣＰＵ２０に向けて送信している。同様に、スレーブＣＰＵ２０の診断部２２が診断回路７７からの診断情報を受けて異常の検出および判定を実行することで、診断結果であるステータスを生成し、これをマスターＣＰＵ１０に向けて送信している。このように、通信の対象となる情報は診断情報そのものではなく、異常に対する処理に必要な情報として集約されたステータスであるため、通信データ量を抑制することができ、通信の負担が軽減される。このようなステータスの等値化は、とくにＣＰＵごとに独立した周辺回路を増やしてでもＣＰＵ間に共通回路部分を減らし、ＣＰＵを疎結合させる必要がある場合により有効である。また、一方のＣＰＵだけでしか周辺回路の診断ができないような場合にも有効である。

実施例１では、両ＣＰＵでＣＲＣコードを生成し、ＣＲＣ付きのデータ（フレーム）で照合を実行するため、照合の信頼性が高まる。また、両ＣＰＵで照合の結果、いずれもデータが一致した場合に限り上流工程に情報を通知し、いずれか一方のＣＰＵで異常が判定されれば、上流工程への情報の出力が確実に防止される。このため、上流工程に出力した情報の信頼性を高めることができる。すなわち、上流工程における検査でＣＲＣコードが正常であれば、そのデータは入出力ユニット３ａ内部でＣＰＵ間照合された高信頼のデータであることを意味する。また、上流工程でもＣＲＣコードの検査を行うことで、ＣＰＵ内部においてＣＲＣ付きデータを取り扱う全工程について、異常の有無を改めて診断できることになる。

また、ＣＰＵ間通信を用いてＣＲＣ付きのデータを送受信し、両ＣＰＵで照合しているので、別途、ＣＰＵ間通信フレームのチェック、例えば、フレームサム、パリティー等のチェックを実行する必要がない。

実施例１では、ＣＰＵ間通信のタイミングを利用してフェイズごとに処理の同期を取るようにしている。このため、同期化のための無駄な処理が不要で、同期化処理に起因するパフォーマンスの低下がない。すなわち、本来必須の通信内容に、フェイズを特定するシーケンス番号を挿入するだけで、余分な処理を要求しない。また、このような同期化により両ＣＰＵが常に同期して同一フェイズを実行するので、ＣＰＵ間のデータ照合の精度を高めることができる。一方で、ＣＰＵ外部の要因で発生する過渡的な状態変化に対しても、両ＣＰＵが同時に追従するため、突発的なデータ照合の不一致が発生しない。また、基本的にＣＰＵ２０はＣＰＵ１０から指定されたフェイズを実行する関係にあるので、フェイズの同期がずれても、容易に復帰可能である。

実施例１で示した等値化の処理、ＣＲＣコードの付加、データ照合のシーケンス等は、ＣＰＵのプラグラムにより容易に実現できる。また、ＣＰＵ間通信は、ＣＰＵに標準的に実装されている非同期通信（ＵＡＲＴ）機能を用いて容易に実現できる。また、ＣＰＵ間通信をシリアル通信とすることで、２つのＣＰＵを互いに絶縁されたフィールド機器側と、コントローラ側に実装する場合でも、実装が容易である。

実施例２の情報処理装置は、マスターＣＰＵと、スレーブＣＰＵとが、互いに絶縁されて実装される例を示している。

図１０は、実施例２の情報処理装置としての入出力ユニットの構成を示すブロック図である。

図４に示したようなプラント制御システムでは、通常、コントローラ２とフィールド機器１とが距離を置いて設置されている。したがって、地表を伝播するノイズや落雷の影響から逃れる目的で、コントローラ２およびフィールド機器１のグランドは互いに分離して設けられる。このため、コントローラ２の側と、各フィールド機器１との間は、電気的な絶縁状態を維持する必要がある。

図１０に示す入出力ユニット３ｂでは、絶縁境界Ｌを介してマスターＣＰＵ１０Ａがコントローラ２側（上流側）に、スレーブＣＰＵ２０Ａがフィールド機器１側（下流側）に設けられている。下流側からのアナログ入力値は入力回路３２を経て、ＡＤ変換部３３においてデジタル信号に変換され、スレーブＣＰＵ２０Ａに入力される。診断部３４には、スレーブＣＰＵ２０Ａとグランド電位を共通にする周辺回路３５からの情報が与えられるとともに、入力回路３２から出力された入力値が与えられる。診断部３４では周辺回路３５からの情報および入力回路３２から出力された入力値に基づく診断情報をスレーブＣＰＵ２０Ａに与える。

一方、下流側からの入力値はフォトカプラ３７を介してマスターＣＰＵ１０Ａにも入力される。アナログ入力値はフォトカプラ３７において２値化される。マスターＣＰＵ１０Ａでは２値化された信号（デジタル信号）に基づく処理を実行する。

なお、入力値は複数チャンネル（例えば８チャンネル）で構成されており、入力回路３２、ＡＤ変換部３３およびフォトカプラ３７は、チャンネル数に対応する数のユニットが用意されている。

マスターＣＰＵ１０ＡおよびスレーブＣＰＵ２０Ａは、それぞれに設けられたＣＰＵ間通信ブロック１１ＡおよびＣＰＵ間通信ブロック２１Ａを介してタイミングフェイズトリガ付きコマンド、およびコマンドに対するレスポンスを送受信する。これにより、互いに独立しつつ、同一処理を同期して実行する。また、マスターＣＰＵ１０ＡおよびスレーブＣＰＵ２０Ａは、ＣＰＵ間通信ブロック１１ＡおよびＣＰＵ間通信ブロック２１Ａを介して互いのデータを送受信し合い、データの照合をそれぞれ行う。さらに、スレーブＣＰＵ２０Ａで得られた診断情報はマスターＣＰＵ１０Ａにも送信され、ステータスの等値化が実行される。

マスターＣＰＵ１０Ａでは、等値化されたステータスが異常を示すことなく、かつ、マスターＣＰＵ１０ＡおよびスレーブＣＰＵ２０Ａのデータの照合の結果、両者が一致する場合に限って、上位通信ブロック１２Ａを介して上位ブロック３８にデータを通知する。また、スレーブＣＰＵ２０Ａにおいてステータスの異常、またはマスターＣＰＵ１０ＡおよびスレーブＣＰＵ２０Ａのデータの不一致が検知された場合には、リセット信号をマスターＣＰＵ１０Ａに送出する。この場合、マスターＣＰＵ１０Ａはリセット信号により強制的にリセット状態とされ、マスターＣＰＵ１０Ａから上位ブロック３８へのデータの通知が阻止される。

このように、実施例２では、ステータスの等値化を行い、等値化後のステータスが異常を示す場合には、両者のＣＰＵにおいて上位通信ブロック１２Ａへのデータの出力を停止する。すなわち、両者のＣＰＵにおいて同一のイベントを実行する。これにより、異常の可能性がある場合に、上位ブロック３８へのデータの出力を確実に阻止できる。

また、実施例２では、両者のＣＰＵにおいて生成されたデータを比較し、データの不一致が検知された場合には、両者のＣＰＵにおいて上位通信ブロック１２Ａへのデータの出力を停止する。すなわち、両者のＣＰＵにおいて同一のイベントを実行する。これにより、異常の可能性がある場合に、上位ブロック３８へのデータの出力を確実に阻止できる。

なお、ＣＰＵ間の通信経路およびリセット信号の伝送ラインは、絶縁境界Ｌにおいて、フォトカプラ等によりマスターＣＰＵ１０ＡおよびスレーブＣＰＵ２０Ａ間で絶縁されている。

また、図１０に示すユニット３ｂでは、スレーブＣＰＵ２０Ａがフィールド機器１側に実装され、フィールド機器１側の周辺回路３５からの情報や入力回路３２は、スレーブＣＰＵ２０Ａと非絶縁状態で実装されている。このため、スレーブＣＰＵ２０Ａは、フィールド機器１側の周辺回路３５からの情報や入力回路３２を経由した入力値を、容易に取り込むことができ、詳細な診断を実行できる。また、ＣＰＵ間通信は非同期通信（ＵＡＲＴ）等を用いることで、少ない本数の通信ラインによって実行可能であるため、絶縁状態を容易に維持することができる。このため、ＣＰＵ間通信により診断情報であるステータスを両ＣＰＵ間で等値化することで、スレーブＣＰＵ２０Ａでの詳細な診断結果をマスターＣＰＵ１０Ａにおいても有効に活用できる。

実施例３の情報処理装置は、フィールド機器１（図４）側からのアナログ信号をデジタル信号に変換し、２つのＣＰＵが共通のデジタル信号を受けてコントローラ２（図４）側にデータを出力する入出力ユニットの例を示している。図１１は、実施例３の情報処理装置としての入出力ユニットの構成を示すブロック図である。

図１１に示す入出力ユニット３ｃは、互いに独立して同一処理を実行するマスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂと、複数チャンネル（例えば８チャンネル）のアナログ信号を受け、１つの信号を選択するメインのマルチプレクサ４１およびサブのマルチプレクサ４２と、マルチプレクサ４１からのアナログ信号を受ける入力増幅器４３と、入力増幅器４３から出力された信号をデジタル信号に変換してマスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂに与えるＡＤ変換器４４とを備える。

メインのマルチプレクサ４１およびサブのマルチプレクサ４２の出力信号は、マスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂでそれぞれ比較され、不一致の場合にはステータスの異常と判断する。またステータスはＣＰＵ間通信で交換され、ステータスの等値化が行われる。これにより、マルチプレクサ４１の動作の健全性が診断される。また、入力増幅部４３およびＡＤ変換器４４は全チャンネルに対し共通であるが、マルチプレクサ４１を介して一定周期で入力増幅部４３に基準電圧を入力し、ＡＤ変換器４４の出力をマスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂでそれぞれ確認することで、ステータスを監視している。この場合も、ステータスはＣＰＵ間通信で交換され、ステータスの等値化が行われる。

マスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂは、それぞれに設けられたＣＰＵ間通信ブロック１１ＢおよびＣＰＵ間通信ブロック２１Ｂを介してタイミングフェイズトリガ付きコマンド、およびコマンドに対するレスポンスを送受信することで、互いに独立しつつ、同一処理を同期して実行する。また、マスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂで得られたステータスはＣＰＵ間通信により交換され、ステータスの等値化が実行される。さらに、マスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂは、ＣＰＵ間通信ブロック１１ＢおよびＣＰＵ間通信ブロック２１Ｂを介して互いのデータを送受信し合い、データの照合を行う。

マスターＣＰＵ１０Ｂでは、等値化されたステータスが異常を示すことなく、かつ、マスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂのデータの照合の結果、両者が一致する場合に限って、通信ブロック１２Ｂを介して上位ブロック４５にデータを通知する。また、スレーブＣＰＵ２０Ｂにおいてステータスの異常、またはマスターＣＰＵ１０ＢおよびスレーブＣＰＵ２０Ｂのデータの不一致が検知された場合には、リセット信号をマスターＣＰＵ１０Ｂに送出する。この場合、マスターＣＰＵ１０Ｂはリセット信号により強制的にリセット状態とされ、マスターＣＰＵ１０Ｂから上位ブロック４５へのデータの通知が阻止される。

このように、実施例３では、ステータスの等値化を行い、等値化後のステータスが異常を示す場合には、両者のＣＰＵにおいて上位ブロック４５へのデータの出力を禁止する。すなわち、両者のＣＰＵにおいて同一のイベントを実行する。これにより、異常の可能性がある場合に、上位ブロック４５へのデータの出力を確実に阻止できる。

また、実施例３では、両者のＣＰＵにおいて生成されたデータを比較し、データの不一致が検知された場合には、両者のＣＰＵにおいて上位ブロック４５へのデータの出力を禁止する。すなわち、両者のＣＰＵにおいて同一のイベントを実行する。これにより、異常の可能性がある場合に、上位ブロック４５へのデータの出力を確実に阻止できる。

実施例４の情報処理装置は、コントローラ２（図４）側（上流側）から入力されたＣＲＣコード付きのデータを、フィールド機器１（図４）側（下流側）に出力する入出力ユニットの例を示している。図１２は、実施例４の情報処理装置としての入出力ユニットの構成の一部を示すブロック図である。

図１２に示す入出力ユニットは、互いに独立して処理を実行するＣＰＵ５０およびＣＰＵ６０を備える。

ＣＰＵ５０は、入力部８１を経由して入力されたデータに基づいてＣＲＣコードの検査を実行するコード検査部５１と、ＣＰＵ６０との間で通信を実行する通信ブロック５２と、入力されたデータをフィールド機器１側で使用される形式に変換する設定値処理部５３とを備える。

ＣＰＵ６０は、ＣＰＵ５０から転送されたデータに基づいてＣＲＣコードの検査を実行するコード検査部６１と、ＣＰＵ６０との間で通信を実行する通信ブロック６２と、入力されたデータをフィールド機器１側で使用される形式に変換する設定値処理部６３とを備える。

次に、図１２に示す入出力ユニットの動作について説明する。

コントローラ２側からのデータは入力部８１を介してＣＰＵ５０に入力される。このデータは、フィールド機器１（例えば電磁弁）を特定する設定先と、設定先に設定されるべき設定値（例えば電磁弁の開度）と、設定値および設定先のデータに基づいて作成されたＣＲＣコードとを含んでいる。

ＣＰＵ５０に入力されたデータはコード検査部５１に与えられる。コード検査部５１では、受け取った設定値および設定先のデータに基づいてＣＲＣコードを作成する。そして、データとして受け取ったＣＲＣコードと、コード検査部５１で作成したＣＲＣコードとを比較する。コード検査部５１は、両者のＣＲＣコードが不一致であれば異常と判断し、この場合には遮断部５４においてデータを遮断する。

一方、ＣＰＵ５０に入力されたデータは通信ブロック５２を介して送信される。送信されたデータは通信ブロック６２を介してＣＰＵ６０で受信される。

ＣＰＵ６０で受信されたデータはコード検査部６１に与えられる。コード検査部６１では、受け取った設定値および設定先のデータに基づいてＣＲＣコードを作成する。そして、データとして受け取ったＣＲＣコードと、コード検査部６１で作成したＣＲＣコードとを比較する。コード検査部６１は、両者のＣＲＣコードが不一致であれば異常と判断し、この場合には遮断部６４においてデータを遮断する。

次に、ＣＰＵ５０のコード検査部５１で作成されたＣＲＣコードは通信ブロック５２を介して送信される。送信されたＣＲＣコードは通信ブロック６２を介してＣＰＵ６０で受信される。また、ＣＰＵ５０のコード検査部５１で作成されたＣＲＣコードは、比較部５５において、ＣＰＵ６０から送信されてきたＣＲＣコードと比較される。

比較部５５は両者のＣＲＣを比較した結果、両者のＣＲＣコードが一致しなければ異常と判断する。この場合、遮断部５６においてデータを遮断する。

ＣＰＵ６０では、コード検査部６１で作成したＣＲＣコードを、通信ブロック６２を介して送信する。送信されたＣＲＣコードは、通信ブロック５２を介してＣＰＵ５０で受信される。このＣＲＣコードは、上記のように、比較部５５においてコード検査部５１で作成されたＣＲＣコードと比較される。

また、ＣＰＵ６０のコード検査部６１で作成されたＣＲＣコードは、比較部６５において、ＣＰＵ５０から送信されてきたＣＲＣコードと比較される。

比較部６５は両者のＣＲＣを比較した結果、両者のＣＲＣコードが一致しなければ異常と判断する。この場合、遮断部６６においてデータを遮断する。

次に、ＣＰＵ５０では、入力部８１から受け取ったデータが設定値処理部５３に与えられる。しかし、上記のように、異常と判断された場合には、遮断部５４あるいは遮断部５６においてデータの受け渡しが阻止され、設定値処理部５３での処理が停止される。

データが入力される場合、設定値処理部５３では、設定値および設定先のデータをフィールド機器１側で使用される形式に変換する。

一方、ＣＰＵ６０では、ＣＰＵ５０から送信されてきたデータが設定値処理部６３に与えられる。しかし、上記のように、異常と判断された場合には、遮断部６４あるいは遮断部６６においてデータの受け渡しが阻止され、設定値処理部６３での処理が停止される。

データが入力される場合、設定値処理部６３では、設定値および設定先のデータをフィールド機器１側で使用される形式に変換し、出力部８２に向けて設定値および設定先のデータを出力する。

出力部８２に出力された設定値および設定先のデータは、診断回路８３を介してＣＰＵ６０の比較部６７に入力される。また、比較部６７には、設定値処理部６３から出力された設定値および設定先のデータが直接入力される。

比較部６７では、設定値処理部６３から出力された段階での設定値および設定先のデータと、診断回路８３を経由した設定値および設定先のデータとを比較し、両者が不一致であれば異常と判断する。この場合には遮断部６８において設定値および設定先のデータを遮断し、出力部８２への設定値および設定先のデータの出力を阻止する。

また、ＣＰＵ６０から出力部８２に出力された設定値および設定先のデータは、診断回路８４を介してＣＰＵ５０の比較部５７に入力される。さらに、比較部５７には、設定値処理部５３から出力された設定値および設定先のデータが直接入力される。

比較部５７では、設定値処理部５３から出力された設定値および設定先のデータと、ＣＰＵ６０から出力された設定値および設定先のデータとを比較し、両者が不一致であれば異常と判断する。この場合にはフェイルセイフ回路８５において設定値および設定先のデータを遮断し、ＣＰＵ６０から出力部８２への設定値および設定先のデータの出力を阻止する。

このように、実施例４では、ＣＰＵ６０の側が出力部８２へのデータ出力を実行しているが、ＣＰＵ６０では出力されたデータを自らトレースし、異常と判断した場合にはデータ出力を停止している。また、ＣＰＵ５０でも、ＣＰＵ６０により出力部８２へ出力されたデータを同時にトレースし、異常と判断した場合にはＣＰＵ５０の側からＣＰＵ６０による出力を阻止している。このため、いずれかのＣＰＵにより異常と判断した場合にはデータ出力が阻止されるため、誤ったデータが出力部８２に出力されることを確実に防止できる。

以上のように、実施例４では、両者のＣＰＵにおいて生成されたＣＲＣコードを比較し、コードの不一致が検知された場合には、両者のＣＰＵにおいてデータを遮断する。すなわち、両者のＣＰＵにおいて同一のイベントを実行する。また、ＣＰＵ６０から出力部８２へ出力されたデータと、ＣＰＵ５０で生成したデータとを比較し、データの不一致が検知された場合には、両者のＣＰＵにおいてＣＰＵ６０からのデータの出力を遮断する。すなわち、両者のＣＰＵにおいて同一のイベントを実行する。これにより、異常の可能性がある場合に、出力部８２へのデータの出力を確実に阻止できる。

本発明の適用範囲は上記実施形態に限定されることはない。また、本発明は、安全システムのみならず、各種情報を取り扱う情報処理システムに対し、広く適用することができる。

本発明による情報処理装置を機能的に示すブロック図であり（ａ）は一の発明を示すブロック図、（ｂ）は他の一の発明を示すブロック図。 本発明による情報処理装置を機能的に示すブロック図であり（ａ）は一の発明を示すブロック図、（ｂ）は他の一の発明を示すブロック図。 本発明による情報処理装置を機能的に示すブロック図であり（ａ）は一の発明を示すブロック図、（ｂ）は他の一の発明を示すブロック図。 実施例１の情報処理装置が適用される安全システムの構成を示すブロック図。 第１実施例の情報処理装置の構成の一部を示すブロック図。 ステータスの等値化処理およびフレームの比較処理の手順を示すフローチャート。 両ＣＰＵの状態遷移の様子を示す図。 通信処理のシーケンスを示す図。 通信フレームの構成を示す図であり、（ａ）は個々の通信フレームの構成を、（ｂ）は通信状態が正常な場合の動作を、それぞれ示す図。 実施例２の情報処理装置の構成を示すブロック図。 実施例３の情報処理装置の構成を示すブロック図。 実施例４の情報処理装置の構成の一部を示すブロック図。

符号の説明

１０１ ステータス取得手段
１０２ イベント発生手段
１０３ 第１のステータス取得手段
１０４ 第２のステータス取得手段
１０５ ステータス比較手段
１０６ ステータス選択手段
１０７ ステータス送信手段
１１１ 異常判定手段
１１２ 同期化手段
１１３ 照合手段
１２１ 取得手段
１２２ 送信手段
１２３ 処理実行手段

Claims (8)

1. 互いに独立して同一処理を二重に実行する第１の装置および第２の装置を備える情報処理装置において、
   前記第１の装置において前記情報処理装置の状態に関する第１のステータスを取得する第１のステータス取得手段と、
   前記第２の装置において前記情報処理装置の状態に関する前記第１のステータスとは異なる第２のステータスを取得する第２のステータス取得手段と、
   前記第１のステータス取得手段で取得された前記第１のステータスおよび前記第２のステータス取得手段で取得された前記第２のステータスを、前記第１の装置および前記第２の装置間で交換し合う交換手段と、
   前記第１のステータス取得手段で取得された前記第１のステータスおよび前記交換手段により得られた前記第２のステータスに基づいて、前記情報処理装置の状態を示す等値化ステータスを、所定のアルゴリズムを用いて前記第１の装置において作成する第１の等値化手段と、
   前記第２のステータス取得手段で取得された前記第２のステータスおよび前記交換手段により得られた前記第１のステータスに基づいて、前記情報処理装置の状態を示す前記等値化ステータスを、前記所定のアルゴリズムを用いて前記第２の装置において作成する第２の等値化手段と、
   前記第１の等値化手段および前記第２の等値化手段で作成された前記両等値化ステータスを照合して、前記両等値化ステータスが不一致であれば異常と判定する照合手段と、
   を備えることを特徴とする情報処理装置。
2. 互いに独立して同一情報処理を二重に実行する第１の装置および第２の装置を備える情報処理装置において、
   前記第１の装置における情報処理を反映させた第１のデータを前記第１の装置において作成する第１のデータ作成手段と、
   前記第２の装置における情報処理を反映させた第２のデータを前記第２の装置において作成する第２のデータ作成手段と、
   前記第１のデータおよび前記第２のデータを照合し、両データが不一致であれば異常と判定する照合手段と、
   前記第１の装置において前記情報処理装置の状態に関する第１のステータスを取得する第１のステータス取得手段と、
   前記第２の装置において前記情報処理装置の状態に関する前記第１のステータスとは異なる第２のステータスを取得する第２のステータス取得手段と、
   前記第１のステータス取得手段で取得された前記第１のステータスおよび前記第２のステータス取得手段で取得された前記第２のステータスを、前記第１の装置および前記第２の装置間で交換し合う交換手段と、
   前記第１のステータス取得手段で取得された前記第１のステータスおよび前記交換手段により得られた前記第２のステータスに基づいて、前記情報処理装置の状態を示す等値化ステータスを、所定のアルゴリズムを用いて前記第１の装置において作成する第１の等値化手段と、
   前記第２のステータス取得手段で取得された前記第２のステータスおよび前記交換手段により得られた前記第１のステータスに基づいて、前記情報処理装置の状態を示す前記等値化ステータスを、前記所定のアルゴリズムを用いて前記第２の装置において作成する第２の等値化手段と、
   を備え、
   前記第１のデータ作成手段は、前記第１の装置における他の情報処理とともに前記第１の等値化手段で作成された前記等値化ステータスを反映させて、前記第１のデータを作成し、
   前記第２のデータ作成手段は、前記第２の装置における他の情報処理とともに前記第２の等値化手段で作成された前記等値化ステータスを反映させて、前記第２のデータを作成することを特徴とする情報処理装置。
3. 前記第１のステータスは実装回路の診断情報であることを特徴とする請求項１または２に記載の情報処理装置。
4. 前記第１の装置および前記第２の装置を同期化する同期化手段を備えることを特徴とする請求項１〜３のいずれか１項に記載の情報処理装置。
5. 前記第１の装置および前記第２の装置は互いに電気的に絶縁されていることを特徴とする請求項１〜４のいずれか１項に記載の情報処理装置。
6. 前記第１の装置および前記第２の装置は、それぞれ個々のＣＰＵとして構成されていることを特徴とする請求項１〜５のいずれか１項に記載の情報処理装置。
7. 互いに独立して同一処理を二重に実行する第１の装置および第２の装置を用いた情報処理方法において、
   前記第１の装置において前記情報処理装置の状態に関する第１のステータスを取得する第１のステータス取得ステップと、
   前記第２の装置において前記情報処理装置の状態に関する前記第１のステータスとは異なる第２のステータスを取得する第２のステータス取得ステップと、
   前記第１のステータス取得ステップで取得された前記第１のステータスおよび前記第２のステータス取得ステップで取得された前記第２のステータスを、前記第１の装置および前記第２の装置間で交換し合う交換ステップと、
   前記第１のステータス取得ステップで取得された前記第１のステータスおよび前記交換ステップにより得られた前記第２のステータスに基づいて、前記情報処理装置の状態を示す等値化ステータスを、所定のアルゴリズムを用いて前記第１の装置において作成する第１の等値化ステップと、
   前記第２のステータス取得ステップで取得された前記第２のステータスおよび前記交換ステップにより得られた前記第１のステータスに基づいて、前記情報処理装置の状態を示す前記等値化ステータスを、前記所定のアルゴリズムを用いて前記第２の装置において作成する第２の等値化ステップと、
   前記第１の等値化ステップおよび前記第２の等値化ステップで作成された前記両等値化ステータスを照合して、前記両等値化ステータスが不一致であれば異常と判定する照合ステップと、
   を備えることを特徴とする情報処理方法。
8. 互いに独立して同一情報処理を二重に実行する第１の装置および第２の装置を備える情報処理方法において、
   前記第１の装置における情報処理を反映させた第１のデータを前記第１の装置において作成する第１のデータ作成ステップと、
   前記第２の装置における情報処理を反映させた第２のデータを前記第２の装置において作成する第２のデータ作成ステップと、
   前記第１のデータおよび前記第２のデータを照合し、両データが不一致であれば異常と判定する照合ステップと、
   前記第１の装置において前記情報処理装置の状態に関する第１のステータスを取得する第１のステータス取得ステップと、
   前記第２の装置において前記情報処理装置の状態に関する前記第１のステータスとは異なる第２のステータスを取得する第２のステータス取得ステップと、
   前記第１のステータス取得ステップで取得された前記第１のステータスおよび前記第２のステータス取得ステップで取得された前記第２のステータスを、前記第１の装置および前記第２の装置間で交換し合う交換ステップと、
   前記第１のステータス取得ステップで取得された前記第１のステータスおよび前記交換ステップにより得られた前記第２のステータスに基づいて、前記情報処理装置の状態を示す等値化ステータスを、所定のアルゴリズムを用いて前記第１の装置において作成する第１の等値化ステップと、
   前記第２のステータス取得ステップで取得された前記第２のステータスおよび前記交換ステップにより得られた前記第１のステータスに基づいて、前記情報処理装置の状態を示す前記等値化ステータスを、前記所定のアルゴリズムを用いて前記第２の装置において作成する第２の等値化ステップと、
   を備え、
   前記第１のデータ作成ステップは、前記第１の装置における他の情報処理とともに前記第１の等値化ステップで作成された前記等値化ステータスを反映させて、前記第１のデータを作成し、
   前記第２のデータ作成ステップは、前記第２の装置における他の情報処理とともに前記第２の等値化ステップで作成された前記等値化ステータスを反映させて、前記第２のデータを作成することを特徴とする情報処理方法。

Images