JP2001526809A

JP2001526809A - コンピュータ・システム用非割り込み電力制御

Info

Publication number: JP2001526809A
Application number: JP54806698A
Authority: JP
Inventors: フックス，スティーヴン; ワードロップ，アンドリュー・ジェイ
Original assignee: ゼネラル・ダイナミックス・インフォメーション・システムズ・インコーポレーテッド
Priority date: 1997-05-07
Filing date: 1998-03-31
Publication date: 2001-12-18
Also published as: KR20010012310A; EP0980546A4; TW432278B; US5923830A; IL132724A0; US6141770A; CN1255211A; EP0980546A1; WO1998050856A1

Abstract

(57)【要約】ハードウエア・クロック・レベルにおける冗長投票を用いた、フォールト・トレラント・コンピュータ・システム用非割り込み電力制御を開示する。コンピュータ（１１ａ）は、同期して動作する３つ、４つまたはそれ以上の市販の中央演算装置（ＣＰＵ）（３２）を含む。放射線耐性ゲート・アレイ（５０）によって、システム・メモリ（４６）およびシステム・バス（１２）への出力（３３）を投票する。ゲート・アレイ（５０）は、特注の集積回路（３４）で実施することができる。投票器（３４）に結合されたインターフェース制御部（２８）は、ＣＰＵ（３２）への電力を除去または接続し、ＣＰＵ入力（３３ｉ）を調節し、動作中のプログラムを終了させることなく、構成部品への損傷を防止することができる。各ＣＰＵクロック・サイクル毎に、システム・メモリ（４６）への各書き込み時およびシステム・メモリ（４６）からの読み出し時の入力および出力（３５）の投票を行う。投票ステータスおよび制御回路（３８）は、投票のステータスを「読み取り」、ハードウエアおよびソフトウエアを用いてＣＰＵの状態を制御する。システム・ロジックは、全てのＣＰＵ（３２）を再同期させるか、故障したＣＰＵ（３２）の電力を停止するか、または予備のコンピュータ（１１ｂ）に切り替え、リセットして代わりのＣＰＵ（３２）を再ブートすることによって、検出した障害から回復する最良の機会を選択する。

Description

【発明の詳細な説明】コンピュータ・システム用非割り込み電力制御発明の分野本発明は、高性能フォールト・トレラント・コンピュータ・システムの分野に関する。更に特定すれば、この発明は、ハードウエア・クロック・レベルにおける冗長投票(redundant voting)を採用したコンピュータにおいて用いられるプロセッサに対する動的な非割り込み電力制御(non-intrusive control of power)を提供する。本発明は、コンピュータ、特に、軌道上にある宇宙船上に搭載したコンピュータのような、遠隔装備コンピュータにおいて、エラーを検出し訂正するために用いることができる。発明の背景地球上および宇宙における自然放射線環境は、コンピュータ内に用いられている半導体素子の短期劣化および長期劣化の原因となり得ることが多い。この害は、無障害動作が要求されるコンピュータにとっては問題である。これらの放射線効果に加えて、コンピュータ・チップは、時が経つに連れて徐々に現れる、未検出の欠陥や弱点による不規則な故障(failure)の可能性もある。半導体パッケージ内の微量放射性物質(trace radioactive material)も、障害の原因となり得る。コンピュータが遠隔環境において長期間にわたって動作しなければならない場合、またはこれらの素子が長時間期間障害なく動作しなければならない場合、障害や故障から保護されたシステムに対する必要性が、重大となる。遠く隔った環境または被害に合いやすい環境には、遠隔石油基地(oil platform)、海底、航空機、および南極大陸のような隔離された場所が含まれる。地球軌道上およびそれを越えて動作するシステムは、特にこの放射線の害を受けやすい。ヴァン・アレン放射線帯付近の空間における宇宙線、特に高エネルギ粒子の存在により、単一事象効果（ＳＥＥ：single event effect）または単一事象不調（ＳＥＵ：single event upset）と呼ばれる乱れを生ずる可能性がある。地球の磁場は、粒子を偏向させ、それらのエネルギ・レベルや属性を変化させる。また、地球の磁場は、太陽およびその他の星から地球に向かって移動する荷電粒子も捕獲する。地球の磁場によって捕獲されない粒子の中には、その磁場によって極付近の大気に導かれるものもある。これらの粒子は、衛星に搭載されている電子素子を貫通する虞れがある。高エネルギ粒子およびガンマ線が半導体素子を貫通すると、これらは電荷をコンピュータ回路内に残し、過渡現象および／またはノイズを生ずる。これは、メモリ回路を不調（upset）にし、チップ上の回路に「ラッチアップ」を誘発する可能性がある。不調とは、一般に構成部品の誤状態出力(mis-stated output)として定義することができる。この出力は、１つ以上の信号ビットを含む場合がある。ラッチアップとは、半導体の電気的状態の１つであり、高エネルギ粒子による半導体回路内の電荷の堆積のために、素子の出力が駆動され飽和状態に保持されることを言う。相補金属酸化物半導体アーキテクチャ（ＣＭＯＳ）を基本とする素子は、最も影響を受けやすいものの一部である。ＣＭＯＳ素子は、同一基板上に２つのＮＰＮ素子を備え、これらが同じＰチャネルを共有する。ラッチアップは、浮遊電荷が第１のＮＰＮ素子内に電流を発生するときに起こる。この電流は、他方のＮＰＮ素子にフィードバックされる。フィードバック・ループの結果として、回路の利得が１よりも大きい場合、素子は一方の状態に連続的に移動し、これがラッチアップ状態にあると言われるものである。この状態は、電源と接地との間の短絡、局所的な発熱、半導体物質の移動を生ずる可能性があり、最終的に素子を破壊する虞れがある。素子のラッチアップに起因するエラーを補正するには、通常演算装置またはその他の構成部品への電力を削減または除去することにより、ラッチ状態から発展する破壊的損傷を防止しなければならない。ラッチ状態の原因は、ほんの一時的な不調の場合もある。電力を除去し次いで再度印加すれば、構成部品は正常に機能することができる。構成部品の不調率は、チップのサイズや内部回路の設計を含む、チップの構造的特徴に左右される。特定の部分の不調率は、市販の１メガビット・ランダム・アクセス・メモリ・チップ（ＲＡＭ）の１日当たり１０回から、放射線強化した１メガビットＲＡＭ(radiation-hardened one megabit RAM)の２８００年に１回まで様々である。放射線強化構成部品とは、放射線の害を受けないように特別に設計し構築した素子のことである。これらの素子は、従来のチップよりも遥かに高価でしかも遅い傾向がある。これらは、典型的に、数年先端技術からる傾向がある。地上における従来の用途に利用されている現在のコンピュータ・チップは、通常、宇宙放射線には脅かされない。この耐性は、地球の大気が与える保護のためである。しかしながら、コンピュータ・チップを地球上で使用していても、放射線不調の虞れがある。診断または治療用医療機器から放射される放射線も同様に、半導体構成部品に影響を与える可能性がある。素子が複雑になるに連れて、大気の宇宙線突入による二次および三次粒子が、これらに不調を発生させる原因となる。 Catherine Barillot et al.（キャサリン・バリロットその他）は、そのRevie w of Commercial Spacecraft Anomalies and Single-Event-Effect Occurrences （商用宇宙船の異常および単一事象効果の発生に関する再考）と題する論文において、１９７５年以来宇宙において観察された不調事象について記載している。これらの事象およびその起源について、追跡し分析している。提示されたデータは、ＴＤＲＳ衛星上で遭遇する不調の数は、太陽周期による宇宙線の変調に追従することを示す。コロラド大学のL．D．Akers（Ｌ．Ｄ．エイカーズ）は、Microprocessor Tech nology and Single Event Upset Susceptibility(マイクロプロセッサ技術と単一事象不調の感受率)と題する論文を発表した。著者は、強力な微小回路を採用して宇宙船のあらゆる面を制御する現在の衛星は、増々重イオンが誘発するＳＥＵの攻撃を受け易くなっていることを指摘した。彼は、省電力化および高速化をもたらす微小素子の出現は、巨大な太陽フレアからの予期される粒子増大と相まって、ＳＥＵの率の著しい上昇を招くことを予測している。彼は、未来の衛星派遣の成功を確保するために、小型衛星の設計者はＳＥＵ緩和技術を実施する必要があると確信する。ＮＡＳＡが後援し、Allan Johnston（アレン・ジョンストン）が著したSingle Event Criticality Analysis（単一事象タリテイカリテイ分析）（１９９６年２月１５日）は、ＳＥＵ、および高エネルギ粒子の通過によって生ずる、電子素子内の「ラッチアップ」のような関連する影響について記載している。彼は、ラッチアップのテルテール痕跡(telltale signature)である過剰電流を検知することにより、システムまたはサブシステム・レベルにおいてラッチアップを克服することの困難を指摘した。この困難が生ずるのは、ミリ秒以内に、影響を受けた構成部品から電力を除去しなければならないからである。複雑な回路の中には、多くの異なるラッチアップ経路や電流の痕跡(current signature)が存在する。 Johnstonは、地球上および宇宙における放射線環境で発見される高エネルギ陽子および重イオンは、物質を通過する際にエネルギを失うことを報告する。この効果は、主にイオン化プロセスが原因で発生する。粒子は、電子構成部品のＰ− Ｎ接合を通過する際に密度の濃い電荷を残す。この電荷の一部が、接合部のコンタクトに集められる。また、電荷は接合部の外側からも集められる。正にその影響のため、内部回路のノードにおいて、非常に短期間の電流パルスが粒子と衝突する。回路ノードによって収集される全電荷の大部分は約２００ピコ秒以内に発生する。粒子衝突によって集められた電荷が構成部品が状態を切り替える最小電荷、例えば、非導通から導通に切り替えるのに要する最小電荷を超過した場合、粒子の通過が不調を発生したり、あるいはそれ以外の影響を回路に与えることになる。最小即ち「臨界電荷(critical charge)」は、衝突を受ける具体的な素子の設計によって異なる。集積回路では、高エネルギ・イオンの衝突によって、次のような数種類の影響を誘発する可能性がある。（１）単一事象不調や多ビット不調のような遷移性効果であり、内部記憶素子の状態を変化させるが、簡単に正常動作にリセットすることができる。（２）単一事象ラッチアップのように、潜在的に破壊的な事象であり、素早く補正しなければ、構成部品の破壊を招く虞れがある。（３）単一事象ハード・エラーであり、複雑な回路内では単一の内部トランジスタの破壊的故障の原因となる。接合分離集積回路(junction-isolated integrated circuit)の殆どは、寄生バイポーラ・トランジスタを含み、シリコン制御整流器と同様の四層領域を形成する。これらのバイポーラ構造は、ＣＭＯＳ素子の正常な動作には関与しない。これらは、遷移性電流によってトリガされる可能性がある。全てのＣＭＯＳ設計は、入出力（Ｉ／Ｏ）端子において特殊なガードバンドおよびタランプ回路を用い、標準的な用途におけるラッチアップを防止している。しかしながら、放射線環境では、遷移性信号はもはやＩ／Ｏ端子には拘束されない。重イオンまたは陽子からの電流パルスは、Ｉ／Ｏ回路だけでなくＣＭＯＳ素子の内部領域においてもラッチアップを誘発する可能性がある。一旦ラッチアップが発生すると、四層領域は導通状態に切り替えられる。ラッチされた領域における電圧が非常に低い値に減少するまで、この状態に留まる。ラッチアップの間、電流が非常に高くなる虞れがある。これは、宇宙システムにとっては重大な問題である。Johnstonは、ラッチアップの痕跡である過剰電流を検知することによってシステムまたはサブシステム・レベルにおいてラッチアップを克服するのは、困難であることを指摘した。何故なら、破壊的な損傷の可能性を回避するためには、影響を受けた構成部品から電力をミリ秒以内に除去しなければならないからである。複雑な回路には、多くの異なるラッチアップ経路や電流の痕跡が存在する。コンピュータ・チップに影響を及ぼす放射線の害を緩和する以前の試みでは、混同した結果が見られた。フォールト・トレラント・コンピュータに関する研究は、高レベル、例えば、レジスタ・レベルにおけるエラー検出を主に扱っていた。Synchronization and Fault-Masking in Redundant Real-Time Systems(冗長リアル・タイム・システムにおける同期および故障隠蔽)と題するC.M.Krishna e t al.（Ｃ．Ｍ．クリシュナその他）の論文（IEEE,1984,pp.152-157）において、彼らは、「悪意の」故障がある場合の多数の位相ロック・クロックのハードウエア同期およびソフトウエア同期について記載している。著者は、クロックの出力値を、基準クロックの入来信号と比較する単純なハードウエア投票構造(hardw are voting strategy)について記載している。障害のないクロックは、同相にロックされる。プロセッサが障害を発生した場合、予備品が入手可能であれば、これらを交換する。この方法は、密接に同期して動作する多数のクロックを有する多くの冗長コンピュータに適用される。Krishna et al.は、ソフトウエア・アルゴリズムの使用によって、多元プロセッサ・システムを、それら自体のクロックによって、密接に同期して動作可能とすることも記載している。 Krishna et al.が利用したようなソフトウエアの解決策は、ソフトウエア・ブロック・レベルで投票手順を採用する。これらの解決策は、一般に、高レベルにおけるコンピュータ出力を比較し、別個のコンピュータが各々他のコンピュータと一致するか否か確かめる必要がある。かかるシステムは、高レベルの冗長性を得るために、重量、体積、コストおよび消費電力に大きな代償を払っている。 Krishna et al.は、システムの一時的な不調の問題を取り上げていない。また、これらの著者は、プロセッサのいずれの一構成部品内に限定した障害の問題も取り上げていない。Krishna et al.が記載するようなシステム内における障害の認識は、素子全体が故障したことを意味する。しかし、放射線不調は、必ずしも素子の故障には至らない。不調状態は一時的の可能性がある。ジョンズ・ホプキンス大学応用物理学研究室のRichard M.Maurer(リチャードＭ．モーラ）およびJames D．Kinnison（ジェームスＤ．キニソン）が発表した、Single Event Upset and Latchup Sensitive Devices in Satellite Systems （衛星システムにおける単一事象不調およびラッチアップ感応素子）と題する論文において、彼らは単一事象不調およびラッチアップの害を認識している。彼らは、単一事象効果に感応する部分を設計から除外する際の補助として、判断ツリーを提案する。即ち、ＳＥＥ感応部分をそのまま用いて、これらの部分が機能する回路の設計における何らかの保護対策を与えようとした。MaurerおよびKinnis onは、ラッチ状態が正常な動作状態とは明らかに異なる何らかの特性を有するので、ラッチアップ保護回路を設計することができると想定する。放射線強化素子の使用は避けるものの、彼らのハードウエア保護方法では、重量、体積および電力の不利が伴う。また、特に動作速度に関して、素子自体にも性能上の影響が生ずる場合もある。 IEEE Transactions on Reliability（ＩＥＥＥ信頼性に関する論文誌）Vol．R -24,No.5，１９７５年１２月に発表された、Francis Mather（フランシス・マザー）およびPaulo T．de Sousa（パウロＴ．デ・ソーサ）は、Reliability Model ing and Analysis of General Modular Redundant Systems（汎用モジュール型冗長システムの信頼性モデリングおよび分析）に関する彼らの論文において、フォールト・トレラント・ディジタル・システムを設計するために、ハードウエアの冗長性を使用していたことを説明した。彼らは、冗長モジュールの多数決投票および重信ロジック(quadded l ogic)(４つのゲートによるあらゆるハードウエア・ゲートの置換)を、ハードウエア冗長構造として記載している。 E.J.McClusky（Ｅ．Ｊ．マタルースキ）は、１９８６年８月２５日、サンタ・クルスのカリフォルニア大学における第１６回コンピュータ・サイエンス年次学会(Sixteenth Annual Institute in Computer Science at University of Calif ornia at Santa Cruz,25 August 1986)において、Hardware Fault Tolerance（ハードウエア・フォールト・トレランス）と題する論文を発表した。McCluskyは、ハードウエア・フォールト・トレランス法の基本概念および技法について記載した。かかる技法の１つに、「エラー隠蔽」がある。即ち、エラーがシステムの出力から発生するのを防止する機能である。エラー隠蔽は、McCluskyによれば、「高い冗長性」によって達成する。システム出力は、障害がないときには等しい信号の投票によって判定する。高い冗長性の通常の形態は、三重モジュラー冗長性、四重構成部品、重信および投票ロジックである。McCluskyは、投票ロジックは、モジュールのコピー全てを投票器（ｖｏｔｅｒ）に接続する必要があると報告している。各モジュールの出力は、投票器を通過した後に、システムの他の部分に伝送される。投票は、システム全体における高いレベルで行われる。重信ロジックは、あらゆる論理ゲートを４つのゲートで置換することと説明されている。障害は、ゲートの相互接続パターンによって、自動的に補正される。かかるシステムは、放射線の害から保護する対象のシステムに、重量、電力およびコスト上の不利を招くことは明白である。 McCluskyは、三重モジュラー冗長性は、コンピュータ全体だけでなく、小さい複製ユニットにも適用可能であると示唆するが、かかる方式をどのように実施するかについては、エラー訂正コードおよびある種のソフトウエア・プログラムの使用を除いては、記載していない。エラー訂正コードによる方法では、障害情報ビットを変更するためには、エラー訂正回路が不可欠であり、したがって、エラー訂正回路に障害がない場合にのみ有効である。McCluskyが引用するソフトウエア方法では、１つのプログラムをいくつかのバージョンで独立して書く必要がある。各プログラムは、同じデータ上で実行し、投票によって出力が得られる。かかる技法は、一時的な障害には有効であり得るが、大量の時間およびシステム・オーバーヘッドが必要となる。 H.Schmidt et al.(Ｈ．シュミットその他)は、Critical issues in the Desig n of a Reconfigurable Control Computer(再構成可能な制御コンピュータの設計における重大問題)(IEEE,1984,pp.36-44)において、リアル・タイム制御システムに用いられるコンピュータのような、再構成可能なコンピュータの詳細設計の前に、解決しなければならない多数の重大な間題について論じている。 IEEE Transactions on Computers（コンピュータに関するＩＥＥＥ論文誌）、 Vol．34，No．1,１９８５年１月、pp 33-45に発表した、Fault Tolerant Multip rocessor Link and Bus Network Architectures（フォールト・トレラント・マルチプロセッサ・リンクおよびバス・ネットワーク・アーキテクチャ）と題する論文において、Dhiraj K.Pardha（ダイラーＫ．パードハ）は、統合化システムにおいて相互接続されている多数の計算機要素に、最適なまたはほぼ最適なフォールト・トレランスを提供する、汎用クラスの常用ネットワークを紹介した。以前の高性能プロセッサは、多数の論理チップ、即ち、浮動小数点チップおよびローカル・キャッシュとして用いられる多くのメモリ・チップで構成されていた。現在のプロセッサは、これらの機能全てを単一のチップに内蔵している。この単一チップ内の機能集中化によって、チップ・ハードウエア・レベルで、プロセッサ・システム内のいくつかのチップのみにフォールト・トレラント方法を適用することも可能になった。１枚の基板に収容される素子が更に増大するに連れて、プロセッサ・チップは増々密度が濃くなる。したがって、これらの素子、特に、相補金属酸化物、ガリウム砒素、およびバイポーラ半導体素子ならびにその他は、放射線によって受ける影響が増々大きくなる。１９９２年Digital Press（ディジタル・プレス社）が出版した、Reliable Computer System（高信頼性コンピュータ・システム）、第２版において、Daniel P.Siewiorek(ダニエルＰ．シーウオレック)およびRobert S.Swarz （ロベルトＳ．シュヴァルツ）は、信頼性技術に伴う、エラー検出、保護用冗長性、フォールト・トレラント・ソフトウエア、および評価基準について論じている。この本の第３章は、システム・レベル、レジスタまたは転送レベル、バス・レベル、モジュール・レベルおよびゲート・レベルにおけるコンピュータ出力の比較を紹介している。著者は、モジュールの出力に到達する前に、障害の影響を隔離し訂正する、三重冗長モジュールおよび投票機構について記載している。また、彼らは、混成冗長システムにおけるバックアップ予備の使用についても論じている。即ち、並列に動作するＮ個のモジュールのコア、システム出力を決定する投票器、およびコア内の故障したモジュールを交換するために切り替えることができる１組のバックアップ・スペア・モジュールについて論じている。この本の図３−３１は、３つのモジュールおよび／または３つの投票器の出力における多数決投票を示す。Siewiorek et al.は、この技法は、信号遅延および性能低下を招くと断言している。図３−５７は、Hopkins（ホプキンス）、Smith（スミス）およびLala（ララ）のフォールト・トレラント・コンピュータ（１９７８）を示す。これは、１組のプロセッサ／キャッシュ、メモリおよび入出力モジュールで実施され、これら全てが冗長な共通シリアル・バスで相互接続されている。コンピュータの計算は、三重に行われる。即ち、３組のプロセッサ／キャッシュおよび３つのメモリが、投票モードで同じ処理を実行し、クロック・レベルで同期を取っている。殆どの処理はキャッシュを利用するので、投票は各クロック・サイクル毎に行われるのではなく、データがバス上に転送されたときにのみ行われる。著者は、個々のバスによって投票器に結合された多数のプロセッサを含み、投票器出力が単一のメモリに接続されているシステムについて記載していない。 SiewiorekおよびSwarzは、プロセッサ出力および入力を各クロック・サイクル毎に投票するシステムについて記載していない。これらの著者は、機能不全プロセッサへの電力を制御する手段を、かかるシステムの一部として論じていない。市販の部品を基本とし、軍用および商用宇宙飛行体に使用するために開発されるフォールト・トレラント・コンピュータにおいて、ラッチアップからの永続的な損傷が防止されれば、処理上およびコスト上多大な利点が得られよう。かかる発明が行われれば、性能レベルの向上をもたらし、放射線強化チップを基本とする既存の手法よりも少ないコストで製造可能となるであろう。この発明は、ランダムな障害や、容認できない程高い率で単一事象不調を生ずる放射線環境に晒される、遠隔装備コンピュータ・システムおよびその他のプロセッサに用いることができよう。かかる放射線不調に対する保護は、エラーを発見しこれを訂正するであろう。この障害保護システムがあれば、実行中のソフトウエア・アプリケーションを損なうことなく、不良化したプロセッサへの給電を停止したり、あるいは給電を中止する手段を提供することができよう。フォールト・トレラント方法が、コンピュータ・レジスタまたはコンピュータ・モジュールの出力の代わりに、例えば、プロセッサ・チップ内部において、非常に低いハードウエア・レベルで適用可能であれば、非常に効果的であろう。かかるシステムは、特殊コンピュータおよび衛星業界において、長年感じられていた要望を満たすであろう。発明の概要本発明は、冗長フォールト・トレラント・コンピュータに用いられるコンピュータ・プロセッサの停止(shutdown)または給電中止(power down)に備える、改良された電力制御システムから成る。本発明は、「ラッチアップ」の問題、および計算機システムにおいて、故障したシステム全体を停止せずに、素子から電力を除去する必要があるその他の問題を解決するものである。この電力制御システムは非割り込み性である。即ち、実行中のソフトウエア・アプリケーションには影響を及ぼすことなく、ハードウエアまたはソフトウエアによって素子への給電を開始または中止することができる。本発明の好適な実施形態は、ハードウエア・クロック・レベルにおける冗長投票(redundant voting)を用いて、放射線が誘発する単一事象不調（ＳＥＵ）やその他のランダムな障害によって発生するエラーを検出し訂正する。ハードウエアのクロック・レベルにおける投票とは、各クロック・サイクル毎に、複数の中央演算装置のデータおよびアドレス信号を比較し、一致か否か調べることである。素子の「ラッチアップ」に起因するエラーの訂正では、通常、演算装置またはその他の構成部品への電力を削減または除去することにより、ラッチ状熊から発展する破壊的損傷を防止しなければならない。ラッチ状態の原因は、ほんの一時的な不調の場合もあり、電力を除去し次いで再度印加すれば、構成部品は予想通りに機能する。「停止」させるための信号は、エラー状態の構成部品出力または容認できない電流の上昇の検出によって発生する。単一事象不調（ＳＥＵ）は、高エネルギ宇宙線、および半導体回路内に電荷を残す粒子によって生ずる。地上に設置される機器は、大気によって宇宙線から遮蔽されているが、半導体パッケージ内の微量放射性物質（アルファ粒子）によって発生するＳＥＵに多少の注意が払われて来た。不調とは、１つ以上の信号ビットの成分の誤状態出力のことである。不調は、構成部品が永続的に障害状態にあることを必ずしも示すものではない。従来、投票技法は、寿命が長い宇宙関連用途において、より高いシステム・レベルにおいて用いられてきた。近年の半導体技術における進歩によって、ハードウエア・クロック・レベルにおいて、放射線強化されていない市販の構成部品にも、冗長投票を用いることが可能となった。今日の集積レベル向上のため、わずか数個の素子を用いれば、システム全体のために電力制御機能を備えた冗長構成部品を実現することが可能となる。冗長機能および電力制御は、数個のプロセッサ・チップおよび少数のその他のチップのみを用いて、１つのモジュールに実現することが可能である。本発明を実施するコンピュータ・アーキテクチャの好適な実施形態の１つは、４つの市販の単一チップ中央演算装置（ＣＰＵ）、投票器、メモリ・コントローラ、システム・メモリおよびPower Strobe^TM電力制御システムを内蔵した中央プロセッサ・モジュールから成る。代替実施形態は、３つの市販のＣＰＵを利用する。他の実施形態には、４つ以上のＣＰＵを利用するものもある。これらのＣＰＵは、厳格な「ロックステップ」(lockstep)で動作する。即ち、各ＣＰＵの各動作ステップは並列に、しかも他のＣＰＵと実質的に同時に行われる。位相ロック・ループがこの動作を制御する。全てのＣＰＵの出力は、「四重投票」(quad-voted) システムと呼ぶ、放射線耐性投票器において「投票」される。投票プロセスでは、投票器によって各クロック・サイクル毎にＣＰＵ信号出力の各々を互いに比較する。プロセッサは、単一のシステム・メモリおよびメモリ・バスを共用する。プロセッサがロックステップ状態にあるので、これらは全て同時に同じメモリ・アクセスを要求するはずである。投票したアドレスを、メモリへのアクセスに用い、投票したデータをメモリおよびシステム・コンピュータの（Ｉ／Ｏ）バスに、放射線耐性メモリ・コントローラを介して書き込む。投票器、メモリ・コントローラおよび電力コントローラは、特定用途集積回路（ＡＳＩＣ：application specific integrated circuit）を用いれば容易に実現することができる。放射線強化構成部品を用いることによって、または冗長設計を利用することによって、システムを放射線耐性にすることも可能である。メモリおよびシステムＩ／Ｏバスから読み出したデータは、同時に４つのプロセッサ・チップ全てに供給される。メモリからの「読み出し」は、従来の技法を用いてチェックされる。例えば、公知の「ハミング・コード」をメモリ・チップ・ハードウエアに実装し、単一ビット・エラーのチェックおよび訂正を行うことができる。各ＣＰＵからの出力は、各クロック・サイクル毎に、他の全てのＣＰＵからの出力との一致について比較される。投票器に供給されたＣＰＵ出力信号の過半数が一致すると、投票出力信号は過半数の値を有する。過半数と一致しないＣＰＵ出力信号は、投票器によって検出され、エラー信号が生成される。エラー信号は、メモリ・コントローラに送られ、次のように反応する。１．過半数の投票信号が、一致するＣＰＵによって用いられ、中断なくＣＰＵの処理動作を続ける。ＣＰＵの不一致がなおも続く場合、ラッチアップ状態を指示することができ、不一致のＣＰＵの給電を一旦停止し、ついで再度開始する。２．不一致のＣＰＵは、以降の投票参加を禁止される。３．システム管理割込（ＳＭＩ）が他のＣＰＵに発生する。４．後の時点において、ソフトウエアが再同期プロセスを開始し、禁止されたＣＰＵを回復させる。コンピュータ障害の場合、エラーのない予備のコンピュータに交換する。しかしながら、本発明において具体化される方法および装置を使用すれば、予備のコンピュータとの交換に頼る必要なく、前述の故障を正すことが期待される。動作不能のシステム(disabled system)の給電を停止する。典型的なＣＭＯＳ構成部品は、そのインターフェース構成部品に給電されている間、給電を停止することができない。本発明の特定用途集積回路（ＡＳＩＣ）は、ＣＰＵへのインターフェース電圧を非応力状態(non-stressed condition)に駆動することを確保することによって、給電停止したＣＰＵを支援する。各ＣＰＵ毎に、ＡＳＩＣ内にインターフェース制御部を備える。インターフェース制御は、素子から電源電圧（Ｖ_cc）を除去したときに、入力信号が接地電位に駆動されるように動作する。あるいは、素子から帰路／接地接続を除去することによって電力を中断した場合、入力信号を電源電圧（Ｖ_cc）に駆動する。別の代替案では、信号を高インイーダンスに切り替えることができる。このように、信号入力と接地との間、または信号入力と電源電圧（Ｖ_cc）バスとの間の電流の流れは最小となる。電力を中断したときの素子上の応力を制御することにより、その信頼性低下を防止する。任務中、ＣＰＵおよびその他の素子を停電状態に切り替えれば電力を保存することができる。宇宙搭載用途では、単一事象不調の可能性が少ない軌道または飛翔軌道(trajectory)上にある場合、またはバス電力が低い場合には、電力停止を頻繁に行うことができる。本発明のその他の目標および目的の認知ならびに本発明のより完全かつ総合的な理解は、以下の好適な実施形態の説明を検討し、添付図面を参照することにより得ることができよう。図面の簡単な説明図１は、システム（Ｉ／Ｏ）バスに接続された冗長コンピュータを示す、コンピュータ・システムの概略図である。図２ａは、信号電圧および電源電圧（Ｖ_cc）が印加される、典型的なＣＭＯＳ素子の概略図である。この図は、素子から電力を除去する場合の信号入力を調整する必要性を示す。図２ｂは、コンピュータ・システムの構成部品への給電をオンおよびオフに切り替える際、電力の中断を構成部品の電源側で行う好適な実施形態を示す概略図である。図２ｃは、コンピュータ・システムの構成部品への給電をオンおよびオフに切り替える際、構成部品から帰路／接地を除去する、代替実施形態を示す概略図である。図３は、並列「ロックステップ」で動作し、その出力がシステム・メモリ「投票」に用いられる、市販の放射線強化されていない中央演算装置（ＣＰＵ）を４つ有するコンピュータを示す、本発明の好適な実施形態の概略図である。電力制御「スイッチ」がＣＰＵへの電力を中断し、素子インターフェース制御によってＣＰＵバス上の信号を調整し、電力を中断したときにＣＰＵに過剰な応力がかかるのを防止する。図４は、１年当たりのシステム不調の回数対１日当たりの個々の部品の不調の回数との関係を、出力が投票されない構成部品、出力が２対３の投票で比較される構成部品、および出力が２対４の投票で比較される構成部品について示すグラフである。このグラフは、構成部品の出力を投票する場合は、しない場合に対してシステムの不調が何桁も減少することを示す。図５は、ＣＰＵからの数個の信号の１つを投票し、図３に示した「四重投票」方法を実施する、典型的な回路の概略図である。図６は、故障検出に対するシステムの反応およびその訂正を示す、本発明の状態図である。図７は、個々のプロセッサが、電力除去および回復によって個々のＣＰＵのエラー訂正を実現する、種々の電力制御状態を示すＣＰＵ制御状態図である。図８は、ＣＰＵを再同期させ、エラーから回復させるハードウエアおよびソフトウエア動作を、フロー・チャート形態で示す。図９は、電源電圧を制御し、ＣＰＵへの入力信号を調整するために用いられる投票回路のブロック図である。図１０は、不一致のＣＰＵへの電力を除去しそして回復する一連の動作を示すフロー図である。好適な実施形態および代替実施形態の詳細な説明基本アーキテクチャ図１は、第１コンピュータ１１ａ内部にある中央演算装置（ＣＰＵ）の構成部品の不調に耐え、管理するように設計されたコンピュータ・システム１０の最上位ブロック図である。第１コンピュータ１１ａは、他の素子の動作および記録のために、システム（Ｉ／Ｏ）バス１２にデータおよび制御信号を供給する。本発明は、放射線に起因する単一事象不調（ＳＥＵ）によって生ずるコンピュータ・エラーを「隠蔽」する。また、本設計は、半導体パッケージ内の微量放射線物質（アルファ粒子）、Ｘ線を用いる診断または治療用医療機器への露出のような、その他の事象によって発生する故障に起因する一時的な故障または永続的な故障にも耐久性がある。ＳＥＵは、１つ以上の信号ビットの成分の誤状態出力である。不調は、必ずしも構成部品が故障していることを示す訳ではない。故障の構成部品を示すのは間欠的な障害または重い障害であり、これはディスエーブル（ｄｉｓａｂｌｅ：使用禁止）するかまたは交換しなければならない。第１コンピュータ１１ａが動作不能となった場合の代用として待機している、第２コンピュータ１１ｂが備えられている。この明細書および請求の範囲で用いる場合、「故障」という用語は、異常、障害またはラッチアップを含む、異常なチップのあらゆる状態を意味することにする。破壊的な故障とは、直ちに矯正しなければ、１つ以上の回路構成部品の破壊を招き得る故障のことである。非割り込み電力制御本発明は、冗長フォールト・トレラント・コンピュータ・システムにおいて、用いられているコンピュータ・プロセッサの運転停止または電力停止を行い、システム全体の故障を未然に防止するものである。電力制御システムは、非割り込み性である。即ち、実行中のソフトウエア・アプリケーションには影響を及ぼすことなく、ハードウエアまたはソフトウエアによって素子の給電を開始または中止することができる。好適な実施形態では、ハードウエア・クロック・レベルにおける冗長投票を用いて、放射線によって誘発される単一事象不調（ＳＥＵ）が原因で発生するエラーを検出し訂正する。ハードウエアのクロック・レベルにおける投票とは、複数の中央演算装置のデータおよびアドレス信号が一致するかについて、各クロック・サイクル毎に比較することである。ＳＥＵは、電子素子の「ラッチアップ」の原因となり得る。素子のラッチアップに起因するエラーの訂正では、通常、演算装置またはその他の構成部品への電力を削減または除去することにより、ラッチ状態から発展する破壊的損傷を防止しなければならない。ラッチ状態の原因は、ほんの一時的な不調の場合もあり、電力を除去し次いで再度印加すれば、構成部品は予想通りに機能する。典型的なＣＭＯＳ構成部品は、そのインターフェース構成部品に給電されている間、給電を停止することができない。図２ａは、信号電圧１６および電源電圧Ｖ_cc２０が印加される、典型的なＣＭＯＳ素子１４の概略図を示す。信号出力１７が得られる。この図を調べることにより、ＣＭＯＳ素子１４から電力を除去する場合に何故信号入力１６を調整する必要があるのかが明らかとなる。信号入力１６において電圧が過剰であると、信号入力１６間に保護用「ブレークダウン」ダイオード１８があっても、薄いゲート酸化物１９を破壊する。信号入力１６とＶ_cc２０との間の第１ダイオード１８は、信号入力１６の最大電圧を、ダイオード１８間の電圧降下とＶ_cc２０の和にクランプする。ダイオード１８間の電圧降下は、典型的に、約０．７ボルトである。Ｖ_ccを接地電位に設定すると、信号入力は約０．７ボルトに抑えられる。信号入力１６と帰路／接地２３との間のダイオード１８は、信号が約−０．７ボルトよりも負側になるのを許さない。過剰電流が素子１４に過剰応力をかけるのを防止するためには、Ｖ_ccを除去した場合に、信号入力１６を接地電位に駆動しなければならない。代わりに帰路／接地２３を除去した場合、信号入力１６はＶ_ccに向けて駆動しなければならない。このようにして、信号入力と接地との間、または信号入力と電源電圧（Ｖ_cc）バス２０との間の電流の流れを最小にする。電力を中断したときに、信号入力１６の電圧を調整することによって構成部品２１にかかる応力を制御して、構成部品の信頼性低下を防止する。図２ｂおよび図２ｃは、構成部品への電力を中断する２つの方法を示す。図２Ｂは、構成部品２１の前に電力バス２０に挿入した電力スイッチ２２を示し、活性化されると、素子からＶ_ccを除去する。電力スイッチ２２は、制御信号２６によって開閉される。図２ｃは、構成部品２１と帰路／接地２３との間に配した電力スイッチ２２を示す。制御信号２６は、帰路／接地２３の除去および置換を行う。本発明の一実施形態図３は、本発明の好適な実施形態の更なる詳細を示す。好適な実施形態の１つでは、コンピュータ１１ａは、複数、即ち、４つの同期して動作する市販のＣＰＵ３２を有する。しかしながら、利用するＣＰＵ３２の数は、ユーザが容認可能と考えるフォールト・トレランス（ｆａｕｌｔｔｏｌｅｒａｎｃｅ）に応じて、少なくとも３つからそれ以上に変更可能である。図３に示すＣＰＵ３２は、縮小命令セット・コンピュータ・チップ（ＲＩＳＣ）である。ＲＩＳＣチップは、高速メモリを内蔵しており、他の使用可能なＣＰＵチップよりもオーバーヘッドが少なくて済むので、好ましい。コンピュータ１１ａは、投票器３４を含む。投票器３４は、特定用途集積回路（ＡＳＩＣ）として実施したものとして示されている。代替実施形態では、投票器３４は、現場プログラム可能なゲート・アレイで構成してもよい。投票器３４は、ＣＰＵ３２の各々に結合されている。投票器３４は、投票ステータスおよび制御回路３８を内蔵する、メモリ・コントローラ３６に結合されている。メモリ・コントローラ３６は、投票器３４とは別個のＡＳＩＣに実施したものとして示されている。ピン数の制限のために、投票器３４およびメモリ・コントローラ３６に２つ以上のＩＣを要する結果となることもあるが、双方を単一構造としてもよい。また、図３は、メモリ・インターフェース４０を介して、投票ＣＰＵ信号３５を受け取るシステム・メモリ４６も示す。投票ＣＰＵ信号３５は、バス・インターフェース４２を介して、システム・コンピュータ（Ｉ／Ｏ）バス１２にも送られる。メモリ４６は、メモリ出力信号３７ａを、メモリ・インターフェース４０を介して、メモリ・コントローラ３６に供給する。メモリ出力信号３７ａは、メモリ・コントローラ３６を介して、入力信号３３ａとしてＣＰＵ３２の各々に等しく分配され、更にＣＰＵバス３５ａを介して投票器３４に分配される。従来の技法を用いて、メモリ４６からの「読み取り」をチェックする。公知の「ハミング・コード」をメモリ・チップ・ハードウエアに実施すれば、単一ビット・エラーのチェックならびに訂正および２ビット・エラーの検出を行うことができる。過半数のＣＰＵ出力信号３３ｏと一致しないいずれのＣＰＵ出力信号３３ｏも、投票器３４によって検出される。次いで、投票器３４によってエラー信号３９ｂが生成され、投票ステータスおよび制御回路３８に送られる。過半数の投票信号３５は、中断なく処理動作を継続するために、一致したＣＰＵ３２によって用いられる。投票ステータスおよび制御回路３８は、エラー信号３９ｂに反応して、システム管理割込を発生する。後の時点で、このシステム管理割込に反応して、単一事象不調によってエラーが発生した場合、ソフトウエアが複数のＣＰＵ３２の再同期を開始する。投票ステータスおよび制御回路３８は、動作可能なＣＰＵ３２が３つ未満であり、複数のＣＰＵ３２の内一致するのが２つ未満の場合、あるＣＰＵ３２が過半数と一致しなかった場合に発生するエラー信号３９ｂに反応し、エラーのないコンピュータ１１ｂと交換する。機能不全コンピュータ(dys functional computer)１１ａの給電は停止される。「リコンフィギュレーション・ユニット」と呼ばれる従来の制御回路が、この切り替え手順を実行する。尚、簡略化の目的のために、この回路は図３には示されていない。各ＣＰＵクロック・サイクル毎に、各ＣＰＵ３２からの出力３３ｏは、投票器３４において、他の全ＣＰＵ３２からの出力３３との一致について比較される。投票器３４に供給されたＣＰＵ出力信号３３ｏの過半数が一致した場合、投票出力信号３５は過半数の値を有する。メモリ・コントローラ３６内の投票ステータスおよび制御回路３８に送られるエラー信号３９ｂは、次のような何種類かの反応を示す。１．一時的な不調の結果ＣＰＵ出力信号３３ｏが一致しない場合、最後に投票されたＣＰＵの内部状態を等しく全てのＣＰＵ３２に分配することによって、ＣＰＵ３２の全てを再同期させる。２．ＣＰＵ出力信号３３ｏの不一致が永続し、ラッチアップ状態の可能性を示す場合、不良化ＣＰＵ(affected CPU)３２から電力を除去する。３．動作状態にあるＣＰＵ３２が２つのみである場合に、ＣＰＵ出力信号３３ｏの不一致によって、一方のＣＰＵ３２の一時的不調または永続的な故障が示された場合、エラーがない予備のコンピュータ１１ｂと交換し、システムをリセットし（通常、全てのレジスタを０にリセットすることによって）、再ブートする。本発明に具休化する方法および装置を使用すれば、予備のコンピュータとの交換に頼る必要なく、前述の障害を訂正することが期待できる。全ての信号３３ｉが同じクロック・サイクル上で全てのＣＰＵ３２に提示されることを確証するために、システムの別の部分から発した全ての信号３５を、投票器３４においてシステム・クロックに同期させ、別個に各ＣＰＵ３２に送り込む。かかる信号は、例えば、リセットや割込を含む。各ＣＰＵに対するＣＰＵインターフェース制御２８は、投票器３４のＡＳＩＣ内において実施される。各ＣＰＵインターフェース制御部２８は、ＣＰＵ出力信号３３ｏを搬送するバスに接続されている。ラッチアップによる出力信号３３ｏの永続的なエラーが検出された場合、インターフェース制御部２８は制御信号２６を電力スイッチ２２に供給し、電力スイッチ２２によって電力バス２０からの電源電圧２４をＣＰＵ３２から除去する。前述のように電源電圧２４を除去する際、インターフェース制御部２８はＣＰＵへの信号入力３３を非応力状態に駆動する。また、保存の目的のため、または障害の疑いがある場合、必要に応じて、インターフェース制御部２８に電源電圧２４を除去するように命令することも可能である。図４は、１年当たり発生するシステム不調の数４５対１日当たりの個々の部品の不調の数４７の関係を、出力を投票しない構成部品４８ａ、２対３の投票で比較する構成部品４８ｂ、および２対４の投票で比較する構成部品４８ｃについて示す。１日当たり所与の回数の不調、例えば、１０回に対して、図は、１年当たりのシステム不調４５が、２対４の投票を行う構成部品４８ｃでは、構成部品４８ａの出力の投票を行わない場合よりも、約３桁（１０³）減少することを示す。１日当たり各部品毎に１０回の不調がある場合、２対４投票システムでは、約５００年に１回システム不調が発生するに過ぎない。２対３投票システムでさえも、同じ部品の不調率に対して、１年当たり数回システム不調を呈するに過ぎない。本実施形態では、４つのＣＰＵ２２の１つが永続的に故障しなければ、４つの投票構成部品が使用可能である。２対４投票セットは、４つのメンバーで開始するが、いずれかのメンバが故障すると直ぐに２対３セットに劣化する。衛星制御ソフトウエア・システムの主サイクル時間を１秒として、その半分以内での回復に合わせて、不調の計算に用いる再同期までの平均時間は０．５秒としている。故障検出故障検出は、投票器３４において行われる。図５は、投票を行う投票器３４内の典型的な回路を示す。ＣＰＵ出力信号３３ｏから得られるデータ信号５４の投票器が示されている。同様の投票器３４を用いて、投票アドレス信号およびハンドシェーク（制御）信号を得る。これらもＣＰＵ出力信号３３ｏから得られる。ゲート・アレイ５０は、第１ＡＮＤゲート・アレイ５３，第２ＡＮＤゲート・アレイ５７，第１ＯＲアレイ６３および排他的ＯＲゲート６５のアレイを含む。これらのゲート・アレイ５３，５７，６３，６５は、ＣＰＵ出力信号３３ｏを比較し、投票出力をメモリ・バスおよびＩ／Ｏバスに提示し、ＣＰＵ３２からのエラー出力を検出する。また、投票器３４は、ＡＮＤゲート５１およびＯＲゲート６２から成る、バイパス・ゲート・アレイ５５も含んでもよい。バイパス・ゲート・アレイ５５は、システムを検査するために用いられ、機能するＣＰＵ３２が１つのみ動作状態に残ったがシステム１０を動作させることが望ましい場合、投票器３４のオーバーライドとしても用いられる。第１ＡＮＤゲート・アレイ５３の各第１ＡＮＤゲート５８は、第１入力５２ａ〜ｄとして、データ信号５２であるＣＰＵ出力信号３３ｏを有する。第２入力として、イネーブル信号５４である投票ステータスおよび制御信号３９ａを有する。各第１ＡＮＤゲート５８は、出力６０を有する。第２ＡＮＤゲート・アレイ５７の各ゲート５９は、第１入力として、第１ＡＮＤゲート・アレイ５３の１つのゲート５８からの出力６０を有し、第２入力として、第１ＡＮＤゲート・アレイ５３の他のゲート５８からの出力６０を有する。各第２ＡＮＤゲート５９は、出力６１を有する。第１ＯＲゲート６３は、入力として、第２ＡＮＤゲート・アレイ５７の各ゲート５９の出力６１を有し、更にバイパス・ゲート・アレイ５５の出力６１を有する。これは出力６６を有する。排他的ＯＲゲート・アレイ６５の各ゲート６４は、第１ＯＲゲート６３の出力６６に結合されている。アレイ６５内の排他的ＯＲゲート６４の各１つは、それぞれ、データ信号５２の各々に結合され、更に出力６８を有する。第１ＡＮＤゲート・アレイ５３の第１端子に入力されるデータ信号５２は、各イネーブル信号５４をアレイ５３の対応するゲートの第２入力端子に印加することによって、アレイ５３から出力６０として現れる。出力６０は、第２ＡＮＤゲート・アレイ５７において、互いに比較される。第２ＡＮＤゲート・アレイ５７からの出力の６１の各々は、データ信号５２の値を有し、それらは一致する。第１ＯＲゲート６３からの出力６６は、第２ＡＮＤゲート・アレイ５７からの出力６１として現れる、データ信号５２の値を有する。第１ＯＲゲート６３からの出力６６は、排他的ＯＲゲート・アレイ６５の各ゲート６４の第１入力に印加される。データ信号５２は、排他的ＯＲゲート・アレイ６５の各ゲート６４の第２入力に印加される。印加されたデータ信号５２および第１ＯＲゲート６３から印加された出力６６が一致しない場合、排他的ＯＲゲート・アレイ６５の各ゲート６４は不調または故障を示すエラー信号６８を発生する。図５が示すように、データ信号５２として現れる各ＣＰＵ出力信号３３ｏは、バイパス・ゲート・アレイ５５内のゲート５１の一端子にバイパス信号５６を印加することによって、投票プロセスを迂回することができる。データ信号は、入力ライン５４ａ〜ｄからそれぞれのゲートへのイネーブル信号５４を除去することによって、投票から除外する、即ち、ディスエーブルすることができる。イネーブル状態（ｅｎａｂｌｅ：可能状態）のＣＰＵ３２が１つのみであり、残りはディスエーブルされている場合、投票器データ出力６６は、その迂回されたＣＰＵ出力３３ｂに追従する。イネーブルされているＣＰＵ３２が１つよりも多い場合、データ出力６６は、全ての迂回されたＣＰＵ出力３３ｂの論理ＯＲとなる。１つのＣＰＵ３２が迂回されかつディスエーブルされている場合、その出力３３ｂはＯＲゲート６３に提示される。同様の迂回は、アドレス信号にも同時に発生する。故障補正「無投票」部分即ち構成部品と比較して、投票集合(voting set)の３つのＣＰＵ３２は、これらメンバーの内１つが不調で正しく動作しない場合でも、正しい出力を与えることができる。３つのＣＰＵ３２の内１つが動作しない状態において、他の２つのＣＰＵ３２の内１つが不調になると、システムの不調が生ずる。何故なら、有効な投票が２つしかない場合、過半数の投票は全て一致でなければならないからである。一旦ＣＰＵ３２が不調となると、内部機械状態の複雑性のために、他のＣＰＵ３２とは異なる挙動を続ける可能性がある。故障を発生したＣＰＵ３２を投票集合に回復させるためには、再同期が必要である。システムの不調レベルは、個々のＣＰＵ３２の不調率、および再同期を開始する前の平均時間長に左右される。図６の図は、システム・ロジックを示す。ＣＰＵの状態は閉じたボックスで示されている。ある状態から他の状態への遷移は、線で示されており、矢頭が遷移の方向を示す。コンピュータ１１ａは、「４ＣＰＵ一致」状態１０２において開始する。１つのＣＰＵ出力３３ｂが他の３つのＣＰＵ３２と不一致となった場合、前述のように、投票器３４が不一致を示すエラー信号を発生する。コンピュータ１１ａは、「３ＣＰＵ一致」１０８に遷移する（１０４）。コンピュータ１１ａが状態１０８に遷移した場合（１０４）、ＣＰＵ３２に割込が発生し、再同期を実行するように要求する。「３ＣＰＵ一致状態」１０８から、コンピュータ１１ａは、「再同期状態」１１４を通って遷移する（１１０）。次に、ＣＰＵ３２の内永続的に故障しているもの、または給電されておらず「再同期状態」１１４の間に一致に持っていくことができないものがいくつあるかに応じて、コンピュータ１１ａは、状態１０２に遷移するか（１１６）、状態１０８に遷移する（１２４）か、あるいは状態１２６に遷移する（１２８）。コンピュータ１１ａが「３ＣＰＵ一致状態」１０８にある間、３つの投票ＣＰＵ３２間で不一致が検出された場合、不一致のＣＰＵ３２をディスエーブルし、コンピュータは「２ＣＰＵ一致状態」１２６に遷移する（１２２）。状態１２６への遷移１２２において、システム管理割込がＣＰＵ３２に発生し、再同期を行うように要求する。「２ＣＰＵ一致」状態１２６から再同期１１４を通る遷移１３０によって、コンピュータ１１を状態１０２，１０８，または１２６に戻す。戻す状態は、ＣＰＵ３２の内永続的に故障したものの数、または給電されず「再同期状態」１１４の問に一致に移ることができないものの数によって決定される。コンピュータが「２ＣＰＵ一致状態」１２６にある間、２つの投票ＣＰＵ３２間で不一致が検出された場合、コンピュータ１１ａは「障害コンピュータ状態」１３６に遷移する（１３４）。「障害コンピュータ状態」１３６に達した場合、コンピュータ１１ａは、リコンフィギュレーション・ユニットに障害状態を示し、「エラーのない冗長コンピュータ状態へ切り替え」１４０に遷移する（１３８）。この切り替えが行われると、エラーのない冗長コンピュータ１１ｂはリセットされ（通常、全てのレジスタがゼロになる）、システム１０は再ブートされる。次いで、代わりのコンピュータ１１ｂが「４ＣＰＵ一致」状態１０２に遷移する（１４８）。ＣＰＵ状態制御個々のＣＰＵ３２は、以下の状態のいずれか１つにあるはずである。１．イネーブルおよび投票、２．強制ディスエーブル、３．不一致、ディスエーブル、４．迂回、５．再同期、または６．電力停止特定用途集積回路（ＡＳＩＣ）の投票器３４が、ＣＰＵ３２へのインターフエース・ピンを確実に非応力状態(non-stressed condition)に駆動することによって、電力停止したＣＰＵ３２を支援する。投票ステータスおよび制御回路３８は、停止状態から離れる場合、ＣＰＵ３２を常に不一致、ディスエーブル状態に置くことによって、停止状態からイネーブルおよび投票状態１５６への直接的な移動を禁止する。コンピュータ１１ａの動作の間に発生するＣＰＵ制御およびステータス信号３９ａ，３９ｂは、次の通りである。１．各ＣＰＵ３２毎に１つずつ、投票器３４からエラー信号６８。２．イネーブル信号５４およびバイパス信号５６。各ＣＰＵ毎に１つずつ、投票ステータスおよび制御回路３８から投票器３４へのＣＰＵ入力「三状熊」信号（全ての入力は接地に駆動されている）。３．投票ステータスおよび制御回路３８から各ＣＰＵ３２へのシステム管理割込およびリセット信号。４．インターフェース制御部２８からの電力制御信号（オン／オフ）信号２６。割込およびリセット信号の双方は、クロック同期のために、投票器３４を通過する。各ＣＰＵ３２状態毎に、制御信号の静的状態を表１に示す。表１ＣＰＵ状態制御信号図７は、電力投入、強制ディスエーブルまたは不調によるディスエーブル、およびある状態から他の状態への遷移の場合の、個々のＣＰＵ３２の種々の状態を示すＣＰＵ状態制御図１５０である。この図では、ＣＰＵ状態は、閉じたボックスで示されており、ある状態から他の状態への遷移は線として表されている。遷移の方向は、矢頭で示されている。サイクルは、電力投入コマンド１５２から開始する。すると、コンピュータ１１ａ内にある各ＣＰＵ３２は、「投票およびイネーブル状態」１５６に遷移する（１５４）。コンピュータ１１ａ内にある各ＣＰＵ３２は、遷移１５８によって、ソフトウエアからのコマンドでディスエーブルされる場合がある。ディスエーブル・コマンドを実行し、エラーを発生したＣＰＵが投票動作には絶対に参加しないようにする。「強制ディスエーブル状態」１６０は、遷移１６２によって逆行することも可能である。「強制ディスエーブル状態」１６０から、ＣＰＵを再同期させて、遷移１６６，１６４によって示されるように、「再同期状態」１６８へおよび「再同期状態」１６８から「強制ディスエーブル状態」１６０に戻すことも可能である。ＣＰＵは、遷移１７０を通じて、「投票およびイネーブル状態」１５６から「停止状態」１７４へ、または遷移１７２を通じて「強制ディスエーブル状態」１６０に移動することができる。ＣＰＵ３２は、「不一致、ディスエーブル状態」１８６から、遷移１８４によって停止させることができる。電力停止状態は、長いミッションまたは低バス電力のために電力を保存することも可能である。この状態は、太陽フレア活動が比較的弱く、遭遇する不調の数が減少する場合に、衛星上で電力を保存するためにも有用な場合がある。電力が貴重な場合、完全なフォールト・トレランスには、電力削減も好ましい場合もあり得る。また、永続的な障害が認識されたかあるいは疑わしい場合、コンピュータ１１ａをディスエーブルしてもよい。「不一致、ディスエーブル状態」１８６には、不調の結果発生するエラー信号６８によって、「動作／投票イネーブル状態」１５６から遷移１９０を通じて到達する。不調なＣＰＵ３２が動作に復帰できる場合、「再同期移行状態」(re-synchronization transient state)１９４への遷移１８８を行う。ＣＰＵ３２は、遷移１９６において、再同期し、「動作／投票イネーブル状態」１５６に戻る。不一致およびその後の再同期の後、ＣＰＵ３２が再同期し損ねた場合、ラッチアップを疑う。次いで、ＣＰＵ３２から電力を除去し、再度供給して、ラッチアップをクリアする。「電力停止」状態１７４から、ＣＰＵ３２は、「不一致、ディスエーブル状態」１８６を通り、電力供給遷移１８２によって再起動することができる。再同期動作再同期動作１９４は、ＣＰＵ３２内で走るソフトウエアによって命令される。このコマンドが受信されると、全てのＣＰＵ３２は一時的に「リセット」状態に置かれる。「不一致、ディスエーブル状態」１８６（投票に関して）にあるＣＰＵ３２はいずれも、「動作／投票イネーブル状態」１５６に戻される。ＣＰＵ３２が「強制ディスエーブル」１６０（または迂回状態）にあった場合、「再同期移行状態」１６８の後、その状態に留まる。このプロセスについては、図８の検討において以下で更に詳細に説明する。ＣＰＵリセット最初にコンピュータ１１ａに電力を供給する際（１５２）、全てのＣＰＵ３２に給電し、動作および投票イネーブル１５６にする。ＣＰＵが「不一致、ディスエーブル状態」１８６に遷移した場合（１９０）、システム管理割込（ＳＭＩ）が投票ステータスおよび制御回路３８内で発生し、ＣＰＵ３２に送られる。ＳＭＩは再同期シーケンスを開始する。割込サービス・ソフトウエア・プログラムが、再同期動作１９４への遷移１８８を開始する。ＣＰＵ再同期によるエラー訂正図８は、ＣＰＵ３２を再同期させるハードウエアおよびソフトウエアの動作を表すフロー・チャート２００である。このプロセスの一部はハードウエア２０１において、主に、ＣＰＵ３２、投票器３４ならびに投票ステータスおよび制御回路３８において行われる。他の動作は、ＣＰＵ３２内で走るソフトウエア２０５によって制御する。エラー訂正プロセスが開始するのは、過半数の他のＣＰＵ３２に対して不一致のＣＰＵ３２が、投票器３４によって検出されたときである。２つの動作中のＣＰＵ３２が一致していない場合（２０４）、システムは、障害を発生したと見なされる（２０６）。このような場合、予備コンピュータ１１ｂと交換することによって、システムの再起動を試みる。全てのソフトウエアは再起動するが、コンピュータ機能の大きな破壊が発生する。エラーが検出されても２つ以上のＣＰＵ３２が未だ一致する場合（２０４）、不一致のＣＰＵ３２が投票に参加するのを禁止する（２０８）。ハードウエアによって、システム管理割込（ＳＭＩ）が発生する（２１０）。ＳＭＩは、直ちにではないが、もうすぐ再同期が必要になることを示すフラグを発生する。アプリケーション・ソフトウエア・プログラムは、中断なく継続する。不一致のＣＰＵ３２をディスエーブルすることによって、投票プロセスの転化(corruption)を回避し、残りのＣＰＵ３２における別のいずれかの不調または障害の検出を可能にする。その後すぐに、ＣＰＵ３２の割込イネーブルおよび優先度設定によって決定されるように、システムはシステム管理割込２１０に応答する（２１２）。この応答２１２の一部として、現在実行中のプログラムが割り込まれた時点を含む、ソフトウエア・ステータスをメモリ４６にセーブする。この情報は、後に、割り込まれたプログラムが停止した正確な時点から再開するために用いられる。割込サービス・ソフトウエア・プログラム２０３は、ＣＰＵレジスタの全てを、投票器３４を介して、メモリ４６に書き込む（２１４）。少なくとも２つのＣＰＵ３２は一致しているので、レジスタは正しい値を収容しており、セーブされた値にはエラーはない。再同期プロセスの間、これらの値は、全てのＣＰＵ３２にロードし直され、不一致のＣＰＵ３２におけるあらゆるエラー値と置換する。割込サービス・ソフトウエア・プログラム２０３は、ＣＰＵ３２によって変更されたが投票器３４を介して末だメモリ４６に書き込まれていない、データ・キャッシュ内のあらゆる位置を、投票器３４を介してメモリに書き込ませる（２１６）。種々のＣＰＵ３２がそれらのキャッシュ内に異なる値を有する場合、投票プロセスによって、メモリ４６が正しい値だけを有することを確保する。次に、割込サービス・ソフトウエア・プログラム２０３は、再同期２１８を開始し、ハードウエア・シーケンスを始める。最初に、図８に示すように、リセット・タイプをセットし（２２０）、再同期およびリセット・タイプ情報を専用レジスタに保持する。他のリセット・タイプには、過半数故障(majority fail)、電力供給(power up)および外部信号が含まれる。第２に、リセット・パルスを発生し（２２２）、全てのＣＰＵ３２に送る。各ＣＰＵ３２内部において、リセット・パルスは、全ＣＰＵ３２内のレジスタに、同じ値、通常ゼロをセットさせる。また、リセット・パルスは、全てのＣＰＵキャッシュの内容を破棄させる。ＣＰＵのキャッシュが使用可能となる前に、新たなデータをメモリ４６から読み込まなければならない。次いで、ディスエーブルされた（２０８）全てのＣＰＵ３２に、投票を許可する（２２４）。最後に、全てのリセット機能が完了した後、全てのＣＰＵ３２は同じ機械状態を有し、再度同じように動作する。ＣＰＵ３２は、リセット・ベクトルと呼ばれる特別なアドレスから、プログラムの実行を開始する（２２６）。リセット・ベクトル・アドレスに位置するリセット・サービス・ソフトウエア２２９は、リセット・タイプ・レジスタを見て、発生したリセット・タイプを判定する（２２８）。本例では、リセット・タイプはＣＰＵ３２の再同期２３２を示すようにセットされた（２２０）ので、ソフトウエア２２９は、メモリ４６に以前に書き込まれたＣＰＵレジスタのデータを、ＣＰＵレジスタに再度ロードする。投票プロセスは１組の値のみをメモリ４６にセーブさせるので、全てのＣＰＵ３２は同じ値を受け取る。システムが割り込まれたときの機械状態を特徴付ける情報を、レジスタに復元する（２３４）。リセット・サービス・ソフトウエア２２９は、「割込からのリターン」プロセスを実行し、元のアプリケーション・プログラムが停止した地点に、これを戻す（２３６）。ＣＰＵのキャッシュは、その内容がリセット・パルスによって破棄されており、プログラムが進むに連れて、新たなデータで満たされる。その動的な特性のために、キャッシュの内容は、例え不一致がなかったとしても同一でないこともあり得るが、ＣＰＵ３２内では、その全てのキャッシュは同一である。再同期プロセスに必要な時間遅延の以外には、元のアプリケーション・プログラムは、不一致およびそれに続く再同期プロセスによる影響を、その動作または結果には受けない。ＣＰＵへの給電を巡回させることによるエラー訂正図９は、電力制御システムのブロック図を示す。図示する回路は、電源電圧（Ｖ_cc）を制御し、ＣＰＵ３２への入力信号３３ｉを調整するために用いるものである。図９は、投票器３４ならびに投票状態および制御回路３８を更に詳細に示す。それ以外の構成要素としては、複数のゲート・アレイ５０から成る投票ロジック２５２、投票器制御回路２５６、および投票器ステータス回路２５４が図示されている。明確化のために図９に示すＣＰＵ３２および電力スイッチ２２は各々１つのみであるが、好適な実施形態では、少なくとも４つのＣＰＵおよび電力スイッチ２２が、図３に示すように結合されることを、読者は理解して当然であろう。インターフェース制御部２８は、好適な実施形態では、投票器３４のチップ上に位置し、リセット制御部２５８および連動するタイマ２６０、アドレス・デコーダおよびバス・サイクル・コントローラ２５９、コマンド・デコーダおよびコントローラ２６２、システム管理割込ゲート２６６およびそのイネーブル・フリップ・フロップ２６４を含む。ＣＰＵ入力３３ｉおよびＣＰＵ出力３３ｏは、双方向データ、アドレスおよびハンドシェーク（制御としても知られる）バス３３ａ，ｂ，ｃ上を搬送される。投票出力は、バス３５ａ，ｂ，ｃ上を搬送される。先に説明したように、これらのバス３３ａ，ｂ，ｃ上を搬送されるＣＰＵ出力３３ｏおよびＣＰＵ入力３３ｉは、各ＣＰＵクロック・サイクル毎に投票される。コマンド・デコーダおよびコントローラ２６２は、インターフェース制御部２８の主要要素である。これは、メモリ・インターフェース４０を介して投票ロジック２５２からシステム・メモリ４６までの経路上に配置されている。投票データ６６は、システム・メモリ４６に書き込まれ、コマンド・デコーダおよびコントローラ２６２にも達する。コマンド・デコーダおよびコントローラ２６２は、投票データ信号６６、投票アドレス信号２７０および投票ハンドシェーク信号２７２から得られるコマンドを分配する。動作の間、少なくとも２つのＣＰＵが一致する場合、投票データ６６は投票器ステータス回路２５４を介して、メモリ４６に書き込まれる。投票器エラー信号６８は、投票器制御回路２５６に達する。投票器制御回路２５６は、投票ロジック２５２において投票器イネーブル信号５４をオフに切り替えるバイパス／イネーブル／三状態信号２８０を、不一致のＣＰＵ３２に供給する。すると、不一致のＣＰＵ３２は、投票への参加から締め出される。前述のように、投票器エラー信号６８が投票器制御部２５６によって受け取られ、ＳＭＩゲート２６６を介してシステム管理割込（ＳＭＩ）２６７が発生すると、再同期プロセスが開始される。ＳＭＩゲート２６６は、ＳＭＩイネーブル・フリップ・フロップ２６４からのパルスによってイネーブルされる。ＳＭＩイネーブル・フィリップ・フリップ２６４は、ソフトウエアによって、そしてコマンド・デコーダおよびコントローラ２６２からのコマンドをイネーブルすることによってトリガされる。リセット制御部２５８は、リセット・パルス (H_Reset)２５７を発行する。タイマ２６０によって、リセット・コントローラ２５８は、リセット・パルス２５７の後、リセットされたＣＰＵ３２が投票器ロジック２５２に対する制御を放棄する前に、ハード・リセット動作を実行するための適切な時間だけ必ず待機する。再同期が成功し、不調のＣＰＵ３２が他のＣＰＵ３２との同期に復帰した場合、システム１０は、現行のアプリケーションを実行し続ける。しかしながら、システム１０が再同期に成功しなかった場合、ソフトウエアはPower Strobe^TM機能を開始する。代替実施形態では、タイミング・シーケンスはソフトウエアによって制御する場合もある。図１０は、不一致のＣＰＵ３３２に対する電力を停止し、復元するソフトウエアおよびハードウエア・シーケンスを示すフロー図である。このシーケンスは、ＣＰＵ３２の不一致検出２０２から開始する。勿論、エラーが検出されない場合、現在実行中のソフトウエア・アプリケーションは、中断なく継続する（３０２）。不一致が検出された場合（２０２）、図８においてステップ２０８ないし２３４に示すように再同期シーケンス３０４が開始される。再同期の成功が検証された場合（３０４）、システム１０は現行のアプリケーションに戻る。このようにならない場合、ＣＰＵ３２の不一致の継続によって示されるように、Power St robe^TMのシーケンス２０６が開始する。最初に、不一致のＣＰＵ３２が投票を禁止される（３０８）。次に、投票器コントローラ２５６は、三状態信号２８０を送り、ＣＰＵ入力／出力３０ｏ，３０ｉを接地電位に設定し、ＣＰＵ構成部品への損傷を防止するように動作する（３１０）。このステップの直後に、コマンド・デコーダおよびコントローラ２６２からの信号が電力スイッチ２２を動作させ、不一致のＣＰＵ３２から電源電圧２４を除去する（３１２）。少なくとも５ミリ秒の時間遅延がこれに続き（３１３）、その後ＣＰＵ３２への電源電圧２４を回復させる（３１４）。すると、投票器３４は、投票器制御部２５６によってイネーブルされる（３１５）。投票器制御部２５６は、投票器ゲート・アレイ５０の適切なゲート５３にイネーブル信号５４を供給するように動作する。タイマ２６０は、リセット・パルスの後ＣＰＵ３２に位相ロック３１５を再開させる。最後に、位相ロックが検証されると（３１５）、再同期サイクル（図８参照）が開始され（２１８）、成功であれば、現行のアプリケーションが動作を再開する。前述のように、この段階において再同期が失敗し、アクティブのままのＣＰＵ３２が２つのみになった場合、第１コンピュータ１１ａは、故障したと見なされ、冗長コンピュータ１１ｂを起動し、代わりに用いる。結論以上特定の好適な実施形態を参照しながら、本発明について詳しく説明したが、以下に続く請求項の精神および範囲から逸脱することなく、種々の変更や改善も可能であることを、本発明に関連する技術における当業者は認めよう。先に開示した種々の回路および構成部品は、読者を好適な実施形態について教育することを意図したものであって、本発明または請求項の範囲を限定することを意図したのではない。以下に続く参照符号のリストは、読者に明細書および図面における本発明の要素を識別する便利な手段を提供しようとするものである。このリストは、請求項の範囲を規定したり、狭めることを意図するものではない。参照符号のリスト図１１０コンピュータ・システム用非割り込み性電力制御部１１ａ第１フォールト・トレラント・コンピュータ１１ｂ第２の予備フォールト・トレラント・コンピュータ１２システム・コンピュータ（Ｉ／Ｏ）バス図２ａ，図２ｂ，図２ｃ１４ＣＭＯＳ素子１６ＣＭＯＳ素子への信号入力１７ＣＭＯＳ素子からの信号出力１８保護ダイオード１９ゲート酸化物層２０電力バス（＋Ｖ_cc）２１給電されている構成部品２２電力スイッチ２３帰路／接地２４電力バスからの電源電圧２６電力制御信号図３１１ａフォールト・トレラント・コンピュータ１２システム（Ｉ／Ｏ）バス２０電力（Ｖ_cc）バス２２電力スイッチ２４電力バスからの電源電圧２６電力制御信号２８インターフェース制御部３２中央演算装置（ＣＰＵ）３３ｉＣＰＵ入力信号３３ｏＣＰＵ出力信号３４投票器−特定用途集積回路（ＡＳＩＣ）３５メモリおよびシステム・バス・インターフェースへの入出力信号３５ａＣＰＵバス３６メモリ・コントローラ−ＡＳＩＣ３７ａシステム・メモリからの出力信号３７ｂシステムメモリへの入力信号３８投票ステータスおよび制御回路３９ａ投票ステータスおよび制御回路出力信号３９ｂ投票ステータスおよび制御回路入力信号４０メモリ・インターフェース回路４１システム・バスへの入出力信号４２システム（Ｉ／Ｏ）バス・インターフェース回路４６システム・メモリ図４４５１年当たりのシステム不調軸４７１日当たりの部品不調軸４８ａ無投票構成部品の不調率４８ｂ２対３投票構成部品の不調率４８ｃ２対４投票構成部品の不調率図５５０ゲート・アレイ５１バイパスＡＮＤゲート５２ＣＰＵデータ信号５２ａ〜ｄデータ・ライン５３第１ＡＮＤゲート・アレイ５４投票ステータス＆制御回路からのイネーブル信号５４ａ〜ｄイネーブル信号ライン５５バイパス・ゲート・アレイ５６バイパス信号５６ａ〜ｄバイパス信号ライン５７第２ＡＮＤゲート・アレイ５８第１ＡＮＤゲート５９第２ＡＮＤゲート６０第１ＡＮＤゲート出力６１第２ＡＮＤゲート出力６１ａバイパス・ゲート・アレイ出力６２第２ＯＲゲート６３第１ＯＲゲート６４排他的ＯＲゲート６５排他的ＯＲゲート・アレイ６６メモリおよびバス・インターフェースへの投票データ信号６８投票ステータスおよび制御回路への投票エラー信号図６１００故障検出および反応状態図１０２「４ＣＰＵ一致」状態１０４１ＣＰＵ信号不一致１０８「３ＣＰＵ一致」状態１１０再同期開始１１４ＣＰＵ再同期１１６全ＣＰＵ信号一致（故障ＣＰＵなし）１２２１ＣＰＵ不一致１２４１ＣＰＵ故障１２６「２ＣＰＵ一致」状態１２８２ＣＰＵ故障１３０再同期開始１３４ＣＰＵ信号不一致１３６「故障コンピュータ」状態１３８「故障コンピュータ」状態宣言１４０「冗長コンピュータへ切り替え」状態１４２冗長コンピュータ・イネーブル信号１４６ＣＰＵリセットおよびシステム再ブート１４８４ＣＰＵ信号一致図７１５０プロセッサ電力制御状態図１５２「システム電力投入」状態１５４システム・イネーブル信号１５６「ＣＰＵ動作／投票イネーブル」状態１５８ＣＰＵディスエーブル・コマンド１６０「ＣＰＵ強制ディスエーブル」状態１６２イネーブル動作信号１６４ＣＰＵ再同期信号１６６ＣＰＵ再同期信号コマンド１６８「ＣＰＵ再同期」移行状態１７０電力停止コマンド（外部）１７２電力停止信号コマンド（外部）１７４「ＣＰＵ停止」状態１８２電力供給ＣＰＵ信号１８４電力停止ＣＰＵコンアンド（内部）１８６ＣＰＵ不一致、エラーＣＰＵディスエーブル１８８ＣＰＵ再同期コマンド１９２ＣＰＵ再同期コマンド１９４「ＣＰＵ再同期」移行状態１９６ＣＰＵ再同期信号図８２００ハードウエアおよびソフトウエアの再同期シーケンスのフロー図２０１再同期に用いるハードウエア２０２ＣＰＵ不一致検出２０３割込サービス・ソフトウエア・プログラム２０４「未だ２つのＣＰＵが一致しているか？」２０５再同期に用いるソフトウエア２０６システム障害２０８不一致ＣＰＵに投票を禁止する２１０システム管理割込（ＳＭＩ）発生２１２ＳＭＩに応答２１４投票器を介して、全てのレジスタをメモリに書き込む。２１６投票器を介して、変更したデータ・キャッシュ・ラインをメモリに書き込む。２１８再同期シーケンス開始２２０再同期タイプを「再同期」にセットする。２２２リセット・パルスを発生し、レジスタを既知の値にセットし、キャッシュの内容を破棄する。２２４全ＣＰＵに投票を許可する。２２６リセット・ベクトルにおいて実行開始２２８「リセット・タイプ？」２２９リセット・サービス・ソフトウエア２３０他のシーケンスの開始（例えば、Power Strobe^TM）２３２ＣＰＵ再同期２３４レジスタ復元２３６現アプリケーション・プログラムに戻る。図９２２電力スイッチ２４電力バスからの電源電圧２６電力制御信号２８インターフェース制御部３２ＣＰＵ３３ＣＰＵ入力／出力３３ａデータ・バス３３ｂアドレス・バス３３ｃハンドシェーク（制御）バス３４投票器３５ａ投票データ・バス３５ｂ投票アドレス・バス３５ｃ投票ハンドシェーク（制御）バス）３８投票ステータスおよび制御回路４０メモリ・インターフェース回路６６投票データ６８投票エラー２５０電力制御システムのブロック図２５２投票ロジック２５４投票器ステータス回路２５５投票器ステータス信号２５６投票器コントローラ２５７ハード・リセット信号２５８リセット・コントローラ２５９アドレス・デコーダおよびバス・サイクル・コントローラ２６０タイマ２６２コマンド・デコーダおよびコントローラ２６４システム管理割込（ＳＭＩ）イネーブル・フリップ・フロップ２６６ＳＭＩゲート２６７ＣＰＵへのＳＭＩ信号２７０投票アドレス信号２７２投票ハンドシェーク信号２８０バイパス／イネーブル／三状態信号図１０２０２ＣＰＵ不一致検出２１８再同期ソフトウエア起動２３６アプリケーション・ソフトウエア・プログラムに戻る３００電力制御フロー図３０２アプリケーション・ソフトウエア継続３０４再同期開始／成功検証３０６ Power Strobe^TMシーケンス起動３０８不一致のＣＰＵの投票禁止３１０投票器制御インターフェースはＣＰＵＩ／Ｏを接地電位に設定する３１２ＣＰＵ電力停止３１３少なくとも５ｍｓ遅らせる３１４ＣＰＵ電力投入３１５投票制御部イネーブル、ＣＰＵ位相ロック待機、ＣＰＵ一致検証

───────────────────────────────────────────────────── 【要約の続き】ステム・ロジックは、全てのＣＰＵ（３２）を再同期させるか、故障したＣＰＵ（３２）の電力を停止するか、または予備のコンピュータ（１１ｂ）に切り替え、リセットして代わりのＣＰＵ（３２）を再ブートすることによって、検出した障害から回復する最良の機会を選択する。

Claims

【特許請求の範囲】１．非割り込み電力制御装置であって、同期的にソフトウエア・アプリケーションを実行する複数の中央演算装置（ＣＰＵ）（３２）であって、該複数のＣＰＵ（３２）の各々の各動作ステップが、前記ＣＰＵ（３２）の各クロック・サイクル毎に、前記複数のＣＰＵ（３２）の残りの各々と並列にかつ実質的に同時に行われ、各１つが入力（３３ｉ）および出力（３３ｏ）を有する、該複数のＣＰＵ（３２）と、投票出力（３５）を有する投票器（３４）であって、該投票器（３４）は、前記複数のＣＰＵ（３２）の各々に結合され、前記ＣＰＵ出力（３３ｏ）を受け取り、前記ＣＰＵ出力（３３ｏ）の冗長投票を用いて、前記複数のＣＰＵ（３２）の過半数とはＣＰＵ出力（３３ｏ）が一致しない出力（３３ｏ）を有する前記複数のＣＰＵ（３２）のいずれにおける故障をも検出し、各前記クロック・サイクル毎に各前記ＣＰＵ出力（３３ｏ）を互いに比較する、該投票器（３４）と、電源電圧（２４）を前記複数のＣＰＵ（３２）の各々に供給する電力バス（２０）であって、前記電力バス（２０）は、前記複数のＣＰＵ（３２）の各々に接続されており、潜在的に破壊的可能性のある故障が不良化ＣＰＵ（３２）において前記投票器（３４）によって検出された場合、前記実行中のソフトウエア・アプリケーションを終了することなく、前記不良化ＣＰＵ（３２）から前記電源電圧（２４）を除去し、前記ＣＰＵ入力（３３ｉ）を前記不良化ＣＰＵ（３２）に制限する、該電力バス（２０）と、を備えることを特徴とする非割り込み電力制御装置。２．請求項１記載の装置において、前記ＣＰＵ入力（３３ｉ）を接地電位に置くことによって制限し、前記電源電圧（２４）を前記ＣＰＵ（３２）から除去する場合に、前記ＣＰＵ（３２）への損傷を防止することを特徴とする装置。３．請求項１記載の装置において、前記不良化ＣＰＵ（３２）から帰路／接地（２３）を除去し、前記ＣＰＵ（３３ｉ）を前記電源電圧に置くことによって、前記ＣＰＵ入力（３３ｉ）を制限することを特徴とする装置。４．請求項１記載の装置において、前記複数のＣＰＵ（３２）の数が少なくとも３つであることを特徴とする装置。５．請求項１記載の装置において、前記複数のＣＰＵ（３２）が、縮小命令セットＣＰＵ（ＲＩＳＣ）であることを特徴とする装置。６．請求項１記載の装置であって、更に、前記電力バス（２０）と前記複数のＣＰＵ（３２）の各１つとの間に電気的に介挿されている電力スイッチ（２２）であって、前記インターフェース制御部（２８）に結合され、そこから信号（２６）を受け取る、該電力スイッチ（２２）を備え、前記電力スイッチ（２２）が、前記インターフェース制御部（２８）から前記信号（２６）を受け取ったとき、前記複数のＣＰＵ（３２）の各１つへの前記電源電圧（２４）を接続しかつ除去することが可能であり、前記インターフェース制御部（２８）が、前記信号（２６）を前記電力スイッチ（２２）に供給することにより、前記ＣＰＵ（３２）の１つにおける前記故障に反応し、前記電源電圧（２４）がこれによって除去され、同時に前記ＣＰＵ入力（３３ｉ）を調節して前記ＣＰＵ（３２）への損傷を防止し、前記実行中のソフトウエア・アプリケーションが動作を継続可能とする、ことを特徴とする装置。７．請求項６記載の装置であって、更に、システム・バス（１２）と、第１コンピュータ（１１ａ）であって、前記複数のＣＰＵ（３２）と、前記投票器（３４）と、前記インターフェース回路（２８）と、前記電力スイッチ（２２）と前記結合とを含み、前記システム・バス（１２）に結合されている該第１コンピュータ（１１ａ）と、を備え、前記第１コンピュータ（１１ａ）が、更に、システム・メモリ（４６）と、前記投票器（３４）と、前記メモリ（４６）と、前記システム・コンピュータ・バス（１２）とに結合されているメモリ・コントローラ（３６）とを含み、前記装置が、更に、第２コンピュータ（１１ｂ）であって、前記第１コンピュータ（１１ａ）と実質的に同一である前記第２コンピュータを備え、前記第２コンピュータ（１１ｂ）が前記システム・バス（１２）に結合され、前記第１コンピュータ（１１ａ）のために、エラーのない予備として維持され、前記メモリ・システム（４６）がメモリ出力信号（３７ａ）を前記メモリ・コントローラ（３６）に供給し、前記メモリ出力信号（３７ａ）が、前記メモリ・コントローラ（３６）および前記投票器（３４）を介して、前記複数のＣＰＵ（３２）の各々への前記ＣＰＵ入力（３３ｉ）として等しく分配され、前記投票器（３４）において前記ＣＰＵ出力（３３ｏ）の過半数が一致した場合、前記投票出力信号（３５）は、前記過半数の前記ＣＰＵ出力（３３ｏ）の値を有し、前記ＣＰＵ出力（３３ｏ）の過半数と一致しないいずれの前記ＣＰＵ出力（３３ｏ）も前記投票器（３４）によって検出され、これによってエラー信号が生成され、前記エラー信号が、前記コンピュータ（１１ａ）において、前記複数のＣＰＵ（３２）の再同期（１３０）を促進する、ことを特徴とする装置。８．請求項７記載の装置において、前記複数のＣＰＵ３２の内エラーのないものが２つ未満である場合に、前記投票器（３４）に供給されるＣＰＵ出力（３３ｏ）が不一致の場合、前記第１コンピュータ（１１ａ）を前記第２コンピュータ（１１ｂ）と交換することを特徴とする装置。９．請求項７記載の装置において、前記再同期（１３０）、前記電源電圧（２４）の除去、および前記ＣＰＵ入力（３３ｉ）の制限が、前記複数のＣＰＵ（３２）によって実行されるソフトウエア（２０５）によって制御されることを特徴とする装置。１０．請求項７記載の装置において、前記ＣＰＵ（３２）の内一致するものが２つ未満である場合、前記第１コンピュータ（１１ａ）を前記第２コンピュータ（１１ｂ）と交換することを特徴とする装置。１１．請求項７記載の装置において、前記複数のＣＰＵ（３２）の２つが故障を発生した場合、前記第１コンピュータ（１１ａ）を前記第２コンピュータ（１１ｂ）と交換することを特徴とする装置。１２．請求項１０記載の装置において、前記複数のＣＰＵ（３２）の各１つが、イネーブルおよび投票、強制ディスエーブル、不一致およびディスエーブル、迂回、ならびに電力停止から成る安定状態の１つにあることを特徴とする装置。１３．非割り込み電力制御装置であって、同期的にソフトウエア・アプリケーションを実行する複数の中央演算装置（ＣＰＵ）（３２）を有する第１コンピュータ（１１ａ）であって、該複数のＣＰＵ（３２）の各々の各動作ステップが、前記ＣＰＵ（３２）のＣＰＵクロック・サイクル毎に、前記複数のＣＰＵ（３２）の残りの各々と並列にかつ実質的に同時に行われ、前記複数のＣＰＵ（３２）の各１つが入力（３３ｉ）および出力（３３ｏ）を有する、該第１コンピュータ（１１ａ）と、双方向システム・バス（１２）と、を備え、前記コンピュータ（１１ａ）が更に、投票器（３４）であって、インターフェース制御回路（２８）を有し、かつ投票出力（３５）を有する、該投票器（３４）を含み、前記投票器（３４）には放射線耐性があり、メモリ（４６）と、投票ステータスおよび制御回路（３８）と、メモリ・インターフェース（４０）と、システム・バス・インターフェース（４２）とを有するメモリ・コントローラ（３６）と、を備え、前記投票器（３６）が、前記システム・バス・インターフェース（４２）を介して前記双方向システム・バス（１２）に結合されており、前記メモリ・コントローラ（３６）が、前記システム・バス・インターフェース（４２）を介して前記システム・バス（１２）に結合された前記投票器（３４）に結合され、更に、前記メモリ・インターフェース（４０）を介して前記メモリ（４６）に結合されており、前記メモリ（４６）が、メモリ出力信号（３７ａ）を前記メモリ・コントローラ（３６）に供給し、前記メモリ出力信号（３７ａ）が、前記メモリ・コントローラ（３６）および前記投票器（３４）を介して、前記複数のＣＰＵ（３２）の各々への前記ＣＰＵ入力（３３ｉ）として等しく分配され、前記複数のＣＰＵ（３２）の各々が、前記ＣＰＵ出力（３３ｏ）を、比較のために前記投票器（３４）に入力として供給し、前記投票器（３４）が前記ＣＰＵ出力（３３ｏ）を比較し、前記投票器（３４）が前記投票出力（３５）を前記システム・メモリ（４６）、前記投票ステータスおよび制御回路（３８）ならびに前記システム双方向バス（１２）への入力（３７ｂ）として供給し、前記第１コンピュータ（１１ａ）と実質的に同等な第２のエラーのないコンピュータ（１１ｂ）を備え、前記投票器（３４）に供給された前記ＣＰＵ出力（３３ｏ）の過半数が一致した場合、前記投票出力（３５）は、前記過半数の前記ＣＰＵ出力信号（３３ｏ）の値を有し、前記ＣＰＵ出力（３３ｏ）の過半数と一致しない前記ＣＰＵ出力（３３ｏ）が前記投票器（３４）によって検出され、これによってエラー信号（６８）が生成され、該エラー信号（６８）が、前記投票ステータスおよび制御回路（３８）への入力（３９ｂ）として送られ、前記投票ステータスおよび制御回路（３８）が、前記エラー信号（６８）に反応して、前記複数のＣＰＵ（３２）の再同期を促進し、前記不一致が永続的であり、不良化ＣＰＵ（３２）において潜在的に破壊的な可能性がある故障状態を示す場合、前記投票ステータスおよび制御回路（３８）が前記エラー信号（６８）に反応し、前記インターフェース制御回路（２８）に、前記実行中のソフトウエア・アプリケーションを終了することなく、前記ＣＰＵ（３２）の異常なものから前記電源電圧（２４）を除去し、前記ＣＰＵ入力（３３ｉ）をほぼ接地電位に制限するように促進し、前記複数のＣＰＵ（３２）の内、エラーのないものが２つ未満となった場合、前記投票ステータスおよび制御回路（３８）が前記エラー信号（６８）に反応し、機能不全となった前記第１コンピュータ（１１ａ）を前記エラーのない第２コンピュータ（１１ｂ）と交換する、ことを特徴とする非割り込み電力制御装置。１４．請求項１３記載の装置において、前記複数のＣＰＵ（３２）の数が少なくとも３つであることを特徴とする装置。１５．請求項１３記載の装置において、前記複数のＣＰＵ（２２）が、市販の放射線強化されていないチップであることを特徴とする装置。１６．請求項１３記載の装置において、前記複数のＣＰＵ（３２）が、縮小命令セットＣＰＵ（ＲＩＳＣ）であることを特徴とする装置。１７．請求項１３記載の装置において、前記複数のＣＰＵ（３２）の各１つが、イネーブルおよび投票、強制ディスエーブル、不一致およびディスエーブル、迂回、ならびに電力停止から成る安定状態の１つにあることを特徴とする装置。１８．非割り込み電力制御方法であって、同期的にソフトウエア・アプリケーションを実行する複数の中央演算装置（ＣＰＵ）（３２）を動作させるステップであって、該複数のＣＰＵ（３２）の各々の各動作ステップを、前記ＣＰＵ（３２）の各クロック・サイクル毎に、前記複数のＣＰＵ（３２）の残りの各々と並列にかつ実質的に同時に行い、前記複数のＣＰＵ（３２）の各１つが入力（３３ｉ）および出力（３３ｏ）を有する、ステップと、前記複数のＣＰＵ（３２）の各１つに電力バス（２０）を接続し、該電力バス（２０）から前記複数のＣＰＵ（３２）の各々に電源電圧（２４）を供給するステップと、前記複数のＣＰＵ（３２）および前記電力バス（２０）にインターフェース制御回路（２８１を結合し、前記インターフェース制御回路（２８）が前記ＣＰＵ出力（３３ｏ）を受け取り、前記ＣＰＵ入力（３３ｉ）を供給するステップと、前記複数のインターフェース制御回路（２８）の各々に投票ロジック（２５２）を結合し、前記ＣＰＵ出力（３３ｏ）を受け取り、前記ＣＰＵ入力（３３ｉ）に前記投票ロジック（２５２）を供給するステップと、各前記クロック・サイクル毎に前記投票ロジック（２５２）において前記ＣＰＵ出力（３３ｏ）の各々を互いに比較し、前記投票ロジック（２５２）から投票出力（３５）を得るステップと、前記複数のＣＰＵ（３２）の過半数とはＣＰＵ出力（３３ｏ）が一致しない出力（３３ｏ）を有する前記複数のＣＰＵ（３２）の各々において故障を検出し、前記投票ロジック（２５２）内において冗長投票を用いるステップと、前記投票ロジック（２５２）によって潜在的に破壊的可能性のある前記故障が前記複数のＣＰＵ（３２）の１つにおいて検出された場合、前記インターフェース制御回路（２８）によって、不一致の前記複数のＣＰＵ（３２）の前記１つから前記電源電圧（２４）を除去し、かつ前記不一致のＣＰＵ（３２）の前記ＣＰＵ入力（３３ｉ）を接地電位に調節するステップと、前記実行中のソフトウエア・アプリケーションを終了させずに前記電源電圧（２４）を前記ＣＰＵ（３２）から除去する場合、前記インターフェース制御部（２８）によって前記ＣＰＵ入力（３３）を制限し、前記ＣＰＵ（３２）への損傷を防止するステップと、から成ることを特徴とする方法。１９．請求項１８記載の方法であって、更に、前記電力バスと前記複数のＣＰＵ（３２）の各１つとの間に電力スイッチ（２２）を電気的に介挿し、前記電力スイッチ（２２）を前記インターフェース制御部（２８）に接続し、そこから信号（２６）を受け取るステップと、前記電力スイッチ（２２）が前記インターフェース制御部（２８）から前記信号（２６）を受け取ったときに、前記電源電圧（２４）を前記複数のＣＰＵ（３２）の各１つに接続および除去するステップと、前記複数のＣＰＵ（３２）の各々における前記故障に反応して、前記インターフェース回路（２８）から前記電力スイッチ（２２）に前記信号（２６）を供給し、前記電源電圧（２４）を除去し、同時に前記ＣＰＵ入力（３３ｉ）を調節して前記複数のＣＰＵの各々への損傷を防止し、前記複数のＣＰＵの前記無故障ＣＰＵに、実行中のソフトウエア・アプリケーションに影響を及ぼすことなく、動作を継続させるステップと、を含むことを特徴とする方法。２０．請求項１９記載の方法において、複数のＣＰＵ（３２）を動作させる前記ステップが、少なくとも３つのＣＰＵ（３２）を動作させるステップを含むことを特徴とする方法。２１．請求項１９記載の方法において、複数のＣＰＵ（３２）を動作させる前記ステップが、市販の放射線強化されていないチップである前記ＣＰＵ（３２）を動作させるステップを含むことを特徴とする方法。２２．請求項１９記載の方法において、複数のＣＰＵ（３２）を動作させる前記ステップが、縮小命令セットＣＰＵ（ＲＩＳＣ）(３２)である前記ＣＰＵ（３２）を動作させるステップを含むことを特徴とする方法。２３．請求項１９記載の方法であって、更に、システム・バス（１２）を用意するステップと、第１コンピュータ（１１ａ）を用意するステップであって、該第１コンピュータ（１１ａ）が、前記複数のＣＰＵ（３２）と、前記投票ロジック（２５２）と、前記インターフェース制御部（２８）と、前記電力スイッチ（２２）と、前記結合部とを含む、ステップと、前記第１コンピュータ（１１ａ）を前記システム・バス（１２）に結合するステップと、前記第１コンピュータ（１１ａ）内に、システム・メモリ（４６）と、メモリ・コントローラ（３６）と、を更に備えるステップと、前記メモリ・コントローラ（３６）を前記投票ロジック（２５２）、前記システム・メモリ（４６）および前記システム・バス（１２）に結合するステップと、前記第１コンピュータ（１１ａ）と実質的に同一の第２コンピュータ（１１ｂ）を用意するステップと、前記第２コンピュータ（１１ｂ）を前記システム・バス（１２）に結合し、前記第２コンピュータ（１１ｂ）を、前記第１コンピュータ（１１ａ）のための、エラーのない予備として維持するステップと、前記システム・メモリ（４６）によって前記メモリ・コントローラ（３６）にメモリ出力（３７ａ）を供給し、前記メモリ・コントローラ（３６）および前記投票ロジック（２５２）を介して、前記メモリ出力（３７ａ）を前記複数のＣＰＵ（３２）の各々に等しく、前記ＣＰＵ入力（３３ｉ）として分配するステップと、前記投票ロジック（２５２）における前記ＣＰＵ出力（３３ｏ）の過半数の一致により、前記ＣＰＵ出力（３３ｏ）の過半数の値を有する投票出力信号（３５）を得るステップと、前記投票ロジック（２５２）において、前記ＣＰＵ出力（３３ｏ）の過半数とは不一致のあらゆる前記ＣＰＵ出力（３３ｏ）を検出し、これによりエラー信号（６８）を生成するステップと、前記エラー信号（６８）による促進時に、前記第１コンピュータ（１１ａ）において前記複数のＣＰＵ（３２）を再同期するステップ（１３０）と、前記不一致の永続によりラッチアップ状態が示された場合、前記電源電圧（２４）を前記ＣＰＵ（３２）の内不一致のものから除去し、同時に前記不一致のＣＰＵ（３２）への前記ＣＰＵ入力（３３ｉ）を調節し、損傷を防止するステップと、を含むことを特徴とする方法。２４．請求項２３記載の方法であって、更に、前記ＣＰＵ（３２）の内エラーのないものが２つ未満である場合、前記投票ロジック（２５２）に前記ＣＰＵ出力（３３ｏ）の不一致が供給されたときに、前記第１コンピュータ（１１ａ）を前記第２コンピュータ（１１ｂ）と交換するステップを含むことを特徴とする方法。２５．請求項２４記載の方法において、前記ＣＰＵ（３２）を再同期する前記ステップ、前記電源電圧（２４）を除去するステップと、および前記第１コンピュータ（１１ａ）を前記第２コンピュータ（１１ｂ）と交換するステップが、前記複数のＣＰＵ（３２）によって実行されるソフトウエアによって制御されることを特徴とする方法。２６．請求項２４記載の方法であって、更に、前記複数のＣＰＵ（３２）の少なくとも２つが故障を発生した場合、前記前記第１コンピュータ（１１ａ）を前記第２コンピュータ（１１ｂ）と交換するステップを含むことを特徴とする方法。２７．請求項２６記載の方法において、前記複数のＣＰＵ（３２）の各１つが、イネーブルおよび投票、強制ディスエーブル、不一致およびディスエーブル、迂回、ならびに電力停止から成る安定状態の１つにあることを特徴とする方法。２８．コンピュータ・システム用非割り込み電力管理方法であって、システム・バス（１２）を用意するステップと、複数の中央演算装置（ＣＰＵ）（３２）を有するコンピュータ（１１ａ）を用意するステップであって、前記複数の中央演算装置（３２）がＣＰＵ入力（３３ｉ）およびＣＰＵ出力（３３ｏ）を有する、ステップと、同期的にソフトウエア・アプリケーションを走らせる複数の中央演算装置（ＣＰＵ）（３２）を動作させるステップであって、該複数のＣＰＵ（３２）の各々の各動作ステップを、前記ＣＰＵ（３２）の各ＣＰＵクロック・サイクル毎に、前記複数のＣＰＵ（３２）の残りの各々と並列にかつ実質的に同時に行うステップと、前記コンピュータ（１１ａ）において、投票出力（３５）を有する投票器（３４）を用意するステップであって、該投票器（３４）が放射線耐性であり、前記投票器（３４）を前記ＣＰＵ出力（３３ｏ）の各々に結合するステップと、メモリ（４６）を用意するステップと、投票ステータスおよび制御回路（３８）、メモリ・インターフェース（４０）およびシステム・バス・インターフェース（４２）を有するメモリ・コントローラ（３６）を用意するステップと、前記メモリ・コントローラ（３６）を、前記投票器（３４）に、前記バス・インターフェース（４２）を介して前記システム・バス（１２）に、および前記メモリ・インターフェース（４０）を介して前記メモリ（４６）に結合するステップと、前記メモリ（４６）から前記メモリ・コントローラ（３６）にメモリ出力（３７ａ）を供給し、前記メモリ・コントローラ（３６）および前記投票器（３４）を介して前記メモリ出力（３７ａ）を前記複数のＣＰＵ（３２）の各々に等しく、入力（３３ｉ）として分配するステップと、前記複数のＣＰＵ（３２）の各々からのＣＰＵ出力（３３ｏ）を比較のために前記投票器（３４）に入力として供給するステップと、前記投票器（３４）において前記ＣＰＵ出力（３３ｏ）を比較するステップと、前記投票器（３４）からの前記投票出力（３５）を前記システム・メモリ（４６）、前記投票ステータスおよび制御回路（３８）および前記システム・コンピュータ・バス（３２）に入力（３７ｂ）として供給するステップと、前記投票器（３４）に供給した前記ＣＰＵ出力（３３ｏ）の過半数が一致する場合、前記投票出力（３５）が前記ＣＰＵ出力（３３ｏ）の前記過半数の値を有するステップと、前記投票器（３４）によって、前記ＣＰＵ出力（３３ｏ）の過半数とは不一致の前記ＣＰＵ出力（３３ｏ）を検出し、これによりエラー信号（６８）を生成するステップと、前記エラー信号（６８）を前記投票ステータスおよび制御回路（３８）に送るステップと、前記ＣＰＵ出力（３３ｏ）の不一致が検出された場合、前記複数のＣＰＵ（３２）を前記投票ステータスおよび制御回路（３６）と再同期させるステップと、前記不一致がラッチアップ状態を示す場合、前記ＣＰＵ（３２）の不一致のものから前記電源電圧（２４）を除去し、前記実行中のソフトウエア・アプリケーションを終了することなく、同時に前記不一致のＣＰＵ（３２）において前記ＣＰＵ入力（３３ｉ）を接地電位に調節するステップと、から成ることを特徴とする方法。２９．請求項２８記載の方法であって、更に、前記ＣＰＵ（３２）の内エラーのないものが２つ未満である場合、前記投票ステータスおよび制御回路（３６）の作用によって、故障した前記第１コンピュータ（１１ａ）をエラーのないコンピュータ（１１ｂ）と交換するステップを含むことを特徴とする方法。３０．請求項２９記載の方法であって、更に、少なくとも２つの前記ＲＩＳＣＰＵ（３２）が故障した場合、故障した前記コンピュータ（１１ａ）を、エラーのないコンピュータ（１１ｂ）と交換するステップを含むことを特徴とする方法。３１．請求項１記載のシステム（１０）において、前記複数のＣＰＵ（３２）が、市販の放射線強化されていないチップであることを特徴とするシステム。