JP2002318643A - 情報処理装置 - Google Patents

Abstract

(57)【要約】 【課題】 本発明は、何らかの障害により動作を継続で
きない場合に、一過性の障害には自己復旧を行い、かつ
重度障害に対してはハードウェアによる確実な電源遮断
処理を行う情報処理装置を提供することを目的とする。 【解決手段】 主電源より給電されるメインシステム２
と、補助電源により動作するサブシステム３と、時定数
の異なる第一及び第二のウォッチドッグタイマ（３０
ａ、３０ｂと、第一のウォッチドッグタイマ満了時にサ
ブシステムのリセットを行うリセット発生手段と、第二
のウォッチドッグタイマ満了時に電源停止をおこなう主
電源制御手段と、第一及び第二のウォッチドッグタイマ
をクリアするサブシステムのソフトウェアルーチンを備
えた情報処理装置。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報処理装置、特
に可溶性サーバにおける生涯検出方法とその制御装置に
関するものである。

【０００２】

【従来の技術】近年、プロセッサおよびハードディスク
の性能向上に伴い、サーバをＷＥＢ、データベースエン
ジンとして導入する市場が急速に広がりつつある。これ
らサーバでは、価格性能比を実現しつつ高い信頼性・可
用性を実現するため、一般的にメインシステム部とサブ
システム部より構成されている。

【０００３】メインシステム部は市販ＯＳや市販アプリ
ケーションを搭載し、データ処理を行う。一方、サブシ
ステム部はスケジュール運用といった電源制御や、温度
・ＦＡＮ回転数などの環境情報収集を行い、また、障害
発生時には外部通知と障害部位の特定を行うことによ
り、情報処理装置の停止時間を最小とする技術である。

【０００４】サブシステムとメインシステムのインター
フェースを統一することにより複数メーカ間での接続を
容易とし、可用性を促進する動きもある。このような技
術を記載しているものに、インテル、ヒューレッドパッ
カード他による仕様書、インテリジェントプラットフォ
ームマネジメントインターフェーススペシフィケーショ
ンＶ１．０(Intelligent Platform Management Interf
ace Specification V1.0 August 26、1999)がある。

【０００５】また、従来の可用性サーバでは、一般的に （ａ）電源装置障害、素子温度の異常検出 （ｂ）メインシステムのパリティーエラー、ＥＣＣエラ
ー検出 （ｃ）メインシステムのＩ／Ｏインターフェース、周辺
装置障害検出 （ｄ）サブシステムの障害検出 のような障害検出方式が用いられていた。

【０００６】サブシステムは、上記障害の発生によりエ
ラー通知を行うとともに、障害のレベルに応じてメイン
システムのリセット、シャットダウン、電源遮断を行
う。このような障害診断機能付きの情報処理装置の一例
として、特開２０００−１１２７９０号公報がある。

【０００７】上記項目（ａ）〜（ｃ）は、サブシステム
がメインシステムの障害を検出するのに対して、項目
（ｄ）はサブシステムの自己診断機能となる。一般的に
サブシステムの動作異常時には、情報処理装置の電源装
置障害・温度異常といった障害に対して動作保証ができ
ないため、重度の障害とみなしメインシステムの電源遮
断処理が行われている。停止が許されないシステムで
は、例えば、特開平５−１２００７７号公報記載のよう
に、ハードウェアを一対用意して現用系と予備系として
備えた二重化構成がある。本方式では、冗長構成を有し
た装置における特殊な監視装置を搭載し、現用系装置が
故障した時予備系装置が現用系に替わり運用することを
実現させる。サーバは市販ＯＳを搭載すること、また、
比較的本体価格が安価なことから、極めて高い可用性を
要求される用途では複数の装置を並列運転し、一方の装
置に障害が発生しても、他方の装置が運用を継続するク
ラスタシステムといった方法も知られている。なお、ク
ラスタシステムの障害処理方式として関連するものとし
て特開平１０−２７１１５号公報に記載の技術が挙げら
れる。

【０００８】次に従来のサブシステム障害検出方式につ
いて説明する。

【０００９】サーバのサブシステムに限らず、情報処理
装置に用いられるプロセッサには従来からウォッチドッ
グタイマが内蔵されており、ウォッチドッグタイマを用
いた障害検出方式が広く用いられている。なお、ウォッ
チドッグタイマについて記載したものとして例えば、特
開平１−３１８３４号公報が挙げられる。

【００１０】ウォッチドッグタイマは、一定周期のパル
スを発生するクロック発生手段と、パルス数のカウント
を行うハードウェアタイマと、タイマのカウント値をリ
セットするソフトウェア処理により構成される。

【００１１】情報処理装置が正常に動作している場合に
は、ソフトウェア処理がタイマ満了前にカウント値をリ
セットする。一方、情報処理装置のＣＰＵやメモリに障
害が発生すると、ソフトウェア処理が異常となり、一定
時間経過してもソフトウェアによるリセット処理が行わ
れない。このため、タイマが満了し、リセットや割り込
み信号などの所定の出力により障害が発生したことを通
知する。

【００１２】ウォッチドッグタイマはハードウェア障害
の発生により、ソフトウェア処理が異常となることを前
提としているが、実際には障害の種類によっては、前記
カウント値のリセット処理のみ正常に動作しながらシス
テムが停止してしまったり、システムは正常動作してい
るにもかかわらずカウント値のリセット処理が行われな
い場合がある。

【００１３】

【発明が解決しようとする課題】従来のサブシステムの
動作異常時には全て重度な障害とみなしメインシステム
の電源遮断や外部通知などの処理が行われていた。しか
し、サブシステムの障害が一過性であれば、メインシス
テムの継続運用が可能である。このためメインシステム
の運用を中断することなく、できるだけ速やかにサブシ
ステムの復旧を行うことが望ましい。

【００１４】また、サブシステムが復旧できないような
障害において情報処理装置の電源装置障害・温度異常と
いった障害に対して動作保証ができない場合は、速やか
にメインシステムの電源遮断や外部通知といった障害検
出時の処理を行うことが望ましい。

【００１５】本発明は、サブシステムの障害レベルによ
り、サブシステムのリセットと、情報処理装置の停止を
切り替えることが可能な情報処理装置の障害検出方式を
提供することを目的とする。

【００１６】

【課題を解決するための手段】本発明において、主電源
より給電されるメインシステムと、補助電源により動作
するサブシステムとを有する情報処理装置は、メインシ
ステムとサブシステムのそれぞれに対する障害復旧手段
として、二つの時定数のタイマを設け、それらの時定数
により、リセット処理や電源供給処理を制御する。

【００１７】このようにすることにより、サブシステ
ム、メインシステムの障害発生時に、段階的な障害復旧
を行なうことを可能とする。

【００１８】

【発明の実施の形態】図１は、本発明における第一の実
施の形態に係る情報処理装置の構成を示すブロック図で
ある。本実施の形態ではシステムの障害検知に用いる計
測手段として、二つのウォッチドッグタイマＷＤＴを適
用する。

【００１９】この情報処理装置１は、メインプロセッサ
システム２、サブプロセッサシステム３を備え、二つの
システムは共有バス４を介して相互接続されている。補
助電源５ａは、ＡＣ電源投入により、サブプロセッサシ
ステム３に給電を行う。また、メイン電源５ｂは、サブ
プロセッサシステム３の電源制御ＬＳＩ７によりＯＮ／
ＯＦＦ制御され、メインプロセッサシステム２に給電を
行う。

【００２０】メインプロセッサシステム２において、メ
インプロセッサ８及びメモリ９がメモリ・Ｉ／Ｏバスブ
リッジ１０を介してＩ／Ｏバス１１に接続され、Ｉ／Ｏ
バス１１には図示しない各種周辺装置を搭載するための
各種周辺装置インターフェース１２や、入出力装置１３
が接続されている。

【００２１】一方、サブプロセッサシステム３は、サブ
プロセッサ１４、メモリ１５、電源制御ＬＳＩ７、二つ
のウォッチドッグタイマＷＤＴ１（３０ａ）、ＷＤＴ２
（３０ｂ）、サブ／共有バスブリッジ１７がサブプロセ
ッサバス１６に接続され、サブ／共有バスブリッジ１７
を介して共有バス４に接続されている。

【００２２】サブプロセッサシステム３の機能として、 （ｉ）メイン電源５ｂの制御処理 （ｉｉ）情報処理装置１の動作状態、温度などの環境情
報の収集・ログ処理（環境監視タスク） （ｉｉｉ）メインプロセッサシステム２とのデータ送受
信処理 （ｉＶ）メインプロセッサシステム２エラー時の障害処
理 （Ｖ）サブプロセッサシステム３の障害検出処理があ
る。

【００２３】次に、図１を元にサブプロセッサシステム
３の動作を説明する。

【００２４】まずメイン電源５ｂの制御について説明す
る。ＡＣ電源投入直後、補助電源５ａは通電状態であ
り、メイン電源５ｂは電源遮断状態である。サブプロセ
ッサ１４は、ユーザからの電源投入要求１８ａにより、
サブプロセッサバス１６を介して電源制御ＬＳＩ７を制
御し、電源制御信号１９によりメイン電源５ｂを投入状
態とする。同様に、電源遮断の場合は、ユーザからの電
源遮断要求１８ａにより、サブプロセッサバス１６を介
して電源制御ＬＳＩ７を制御し、電源制御信号１９によ
りメイン電源５ｂを電源遮断状態とする。

【００２５】次に、情報処理装置１の動作状態、環境情
報の収集・ログ処理について説明する。以後、この機能
を環境監視タスクと呼ぶ。

【００２６】サブプロセッサ１４は、定期的に情報処理
装置１の動作状態を監視しており、補助電源５ｂ、メイ
ン電源５ａの電圧状態をそれぞれ電圧モニタ２０ａ、２
０ｂにより検出し、情報収集バス２１、情報収集装置２
２を介して読み込む。また、電源制御ＬＳＩ７、サブプ
ロセッサバス１６を介して電源ステータス２９を読み込
む。これらの情報とメモリ１５に収容された判定情報と
比較を行うと共に電圧状態に対応したデータを共有メモ
リ２３に収容する。

【００２７】情報収集バス２１には、メインプロセッサ
８およびメモリ・Ｉ／Ｏバスブリッジ１０の温度状態を
検出する温度モニタ２６、及びメモリ・Ｉ／Ｏバスブリ
ッジ１０が接続される。サブプロセッサ１４は、電圧状
態と同様に、これらの温度状態２５ａ、２５ｂと、メモ
リ・Ｉ／Ｏバスブリッジの動作状態２７を読み込み、メ
モリ１５に収容された判定情報と比較を行った後、共有
メモリ２３に収容する。

【００２８】次に、メインプロセッサシステム２とのデ
ータの送受信を実現する方法を説明する。障害発生時
に、サブプロセッサ１４は共有メモリ２３の情報を読み
出し、外部表示装置２８に表示を行いユーザにステータ
スを通知する。同様にして、サブプロセッサ１４が共有
メモリ２３に収容した環境情報等を、メインプロセッサ
８がメモリ・Ｉ／Ｏバスブリッジ１０と共有バスブリッ
ジ２４を介して、共有バス４に接続された共有メモリ２
３から読み出して、情報処理装置１のステータスを確認
することが可能である。

【００２９】次に、メインプロセッサシステム２にエラ
ーが発生した場合の処理を説明する。一例として、電源
異常によりメイン電源５ｂの投入継続が不可能である場
合について説明する。サブプロセッサ１４は、前述のよ
うにサブプロセッサバス１６、電源制御ＬＳＩ７を介し
て電源のステータス２９、及び電圧モニタ２０ａの値を
読み出し、メモリ１５に収容された判定情報との比較
し、この結果を共有メモリ２３へ格納する。サブプロセ
ッサ１４は、前記比較の結果が電源異常を示しているた
め、電源制御ＬＳＩ７に電源遮断要求１８ｂを行う。な
お、この電源遮断要求１８ｂは実際にはサブプロセッサ
バス１６を介して行われるため、実信号線としてではな
く、破線で図示している。また、共有メモリ２３に格納
された異常情報を元に外部表示装置２８へ警告を表示
し、ユーザに通知を行う。

【００３０】このようにして構成された情報処理装置１
において、サブプロセッサシステム３にエラーが発生し
た場合を想定し、本実施の形態における障害検出の動作
を説明する。

【００３１】図１のＷＤＴ１（３０ａ）は、クロック発
振器３１ａより出力される、一定周期のパルスをカウン
トする。また、本カウント値はサブプロセッサ１４から
サブプロセッサバス１６を介して参照、更新可能とす
る。ＷＤＴ１（３０ａ）満了時には、サブプロセッサ１
４にリセット３３を発生する。

【００３２】同様にＷＤＴ２（３０ｂ）は、クロック発
振器３１ｂの出力パルスをカウントし、サブプロセッサ
１４からカウント値を参照、更新可能とする。ＷＤＴ２
（３０ｂ）満了時には、電源制御ＬＳＩ７に異常通知信
号３４を出力する。

【００３３】通常の動作状態では、プログラムにより個
々のＷＤＴ１（３０ａ）及びＷＤＴ２（３０ｂ）が満了
となる前に、サブプロセッサ１４がレジスタのカウント
値をクリアする。なお、本実施形態において図１中のタ
イマクリア信号３２ａ、３２ｂはサブプロセッサバス１
６を介したアクセスであり、実信号線ではないので破線
により示している。

【００３４】ここで、説明のためにサブプロセッサシス
テム３の起こりうる障害を、第一の障害と第二の障害に
分類する。第一の障害は、メモリ１５に発生したノイズ
等による一過性のパリティーエラーや、電圧モニタ２０
ａ、２０ｂ、温度モニタ２６、外部表示装置２８などが
応答しないため、ソフトウェア処理が中断されてしまう
場合の障害である。これらの障害は、サブプロセッサシ
ステム３リセット後に、再度前記メモリ及び入出力装置
の初期化を行うことにより、復帰が可能である。場合に
よっては、一部機能を使用しないようにするための縮退
処理を行っても良い。

【００３５】第二の障害は、リセットによってサブプロ
セッサシステム３の機能が回復できず、メイン電源５ｂ
の制御あるいは、情報処理装置１の動作状態、温度など
の環境情報の収集・ログが行えない場合の障害をいう。

【００３６】第一の障害は、ＷＤＴ１（３０ａ）満了時
によって検出し、サブプロセッサ１４へのリセット３３
を行うことで復旧を試みる。この時、リセット３３はメ
インプロセッサシステム２と独立した処理であり、メイ
ンシステムの動作には影響がない。

【００３７】第二の障害は、ＷＤＴ２（３０ｂ）満了時
によって検出し、電源制御ＬＳＩ７に異常通知信号３４
を出力する。この結果、電源制御ＬＳＩ７はサブプロセ
ッサ１４の動作状態によらず、メイン電源５ｂを遮断状
態とする。また、障害発生通知３５を外部表示装置２８
に行うことでユーザへ通知する。

【００３８】ＷＤＴ２（３０ｂ）は少なくともＷＤＴ１
（３０ａ）が満了するよりも長い時定数で満了すること
とする。ここでＷＤＴ１（３０ａ）が満了となる時間を
Ｔ_{wd 1}、ＷＤＴ２（３０ａ）が満了となる時間をＴ_wd2と
すると下記式１を満たす必要がある。

【００３９】

【数１】Ｔ_wd1＜Ｔ_wd2 なお、これらの詳細については後述する。

【００４０】このように、本実施の形態ではリトライす
ることで復旧可能な障害に対しては自己復旧を試み、運
用継続が出来ない重度な障害に対しては速やかな電源遮
断を行う。

【００４１】ＷＤＴ１(３０ａ)、ＷＤＴ２(３０ｂ)をク
リアする、サブプロセッサシステム３のソフトウェアル
ーチンについて図１、図２を用いて説明する。

【００４２】ＡＣ電源投入により補助電源５ａが投入さ
れ、サブプロセッサ１４はフラッシュロム３６のコード
を読み込む。

【００４３】図２−ステップ２０１において、サブプロ
セッサ１４はメモリ１５、外部表示装置２８、電圧モニ
タ２０ａ、２０ｂ、温度モニタ２６の初期化を行う。図
２−ステップ２０２において、ＷＤＴ１（３０ａ）及び
ＷＤＴ２（３０ｂ）を有効となるよう設定を行う。本ス
テップ後、ＷＤＴ１（３０ａ）及びＷＤＴ２（３０ｂ）
はカウントを開始する。

【００４４】続くステップ２０３〜２０６によるループ
は、メイン電源５ｂ遮断時の、サブプロセッサシステム
の通常処理を示している。ステップ２０３では環境監視
タスクを行う。ステップ２０４はＷＤＴ１（３０ａ）及
びＷＤＴ２（３０ｂ）のカウント値を示すレジスタに
‘０’を書き込むことにより、タイマのリセットを行
う。

【００４５】ステップ２０５では、環境監視の結果に異
常がないことを確認する。ステップ２０６は、メイン電
源投入スイッチ６押下を監視する。スイッチ６が押され
た場合は、ステップ２０７において、電源制御ＬＳＩ７
を介してメイン電源５ｂの投入を行う。

【００４６】ここで、サブプロセッサ１４による、環境
監視タスク処理の異常を確実に検出するため、ＷＤＴ１
（３０ａ）、ＷＤＴ２（３０ｂ）のクリア２０５は２０
３〜２０６のループ内で行うこととする。割り込み処理
によるＷＤＴのクリアを行う場合は、環境監視のタスク
がハングアップしていてもＷＤＴのクリアが行われてし
まう危険性が高いからである。

【００４７】ここで、ステップ２０２から、２０３、２
０４の処理時間をＴｉｎｉｔ、ステップ２０３〜２０６
の環境監視のタスクおけるループを一回り処理に要する
時間をＴ_loopとする。また、ＷＤＴ１（３０ａ）リセッ
トからカウント値満了までの時間をＴ_wd1、ＷＤＴ２
（３０ｂ）リセットからカウント値満了までの時間をＴ
_wd2とする。

【００４８】ＷＤＴ１（３０ａ）及びＷＤＴ２（３０
ｂ）が、一連の処理において満了しないように、下記式
２、３を満たすＴ_wd1、Ｔ_wd2を定める。

【００４９】

【数２】Ｔ_init≦Ｔ_wd1（＜Ｔ_wd2）

【００５０】

【数３】Ｔ_loop≦Ｔ_wd1（＜Ｔ_wd2） 図２−ステップ２０７においてユーザからのメイン電源
５ｂの投入要求があった場合には、図３に示す処理Ｂを
行う。

【００５１】図３の続くステップ３０１〜３０４による
ループは、メイン電源５ｂ投入状態におけるサブプロセ
ッサシステムの通常処理を示している。

【００５２】ステップ３０１では環境監視タスクを行
う。ステップ３０２はＷＤＴ１（３０ａ）及びＷＤＴ２
（３０ｂ）のカウント値を示すレジスタに‘０’を書き
込むことにより、タイマのクリアを行う。

【００５３】ステップ３０３では、環境監視の結果に異
常がないことを確認する。ステップ３０４は、メイン電
源投入スイッチ６押下を監視する。スイッチ６が押され
た場合は、ステップ３１０において、電源制御ＬＳＩ７
を介してメイン電源５ｂの遮断を行う。

【００５４】ここで、前記分類による第一の障害発生時
を説明する。異常発生時における図２及び図３における
処理はほぼ同様であるので、図３を参照して説明する。

【００５５】図３−ステップ３０２において、サブプロ
セッサ１４がＷＤＴ１（３０ａ）カウント値をリセット
できないため、異常３の分岐となる。続く３０５〜３０
８及び３１１は、サブプロセッサ１４によるソフトウェ
ア処理ではなく、ハードウェア処理であるため、内容を
二重線により図示してある。

【００５６】図３−ステップ３０５において、式１によ
りＷＤＴ２（３０ｂ）はカウント中であり、満了してい
ないため、ステップ３０７となる。ＷＤＴ１（３０ａ）
は、カウント値満了となるため、続くステップ３０８に
おいてサブプロセッサ１４にリセット３３を出力する。

【００５７】リセットの結果、サブプロセッサ１４はエ
ントリ３０９より環境監視タスクを行うループ３０１〜
３０４に復帰する。

【００５８】エントリ３０９では、まず、サブプロセッ
サがリセットされた要因がＷＤＴ１（３０ａ）の満了に
よるものかの判定を行う。判定の結果リセット要因がＷ
ＤＴ１（３０ａ）の満了によるものであれば装置の環境
監視情報を消去しないよう、メモリ１５、外部表示装置
２８の最低限の初期化を行って、電圧モニタ２０ａ、２
０ｂ、温度モニタ２６の初期化は行わないものとする。

【００５９】本実施の形態ではサブプロセッサシステム
３が収集したログ情報を保持させ、かつサブプロセッサ
１４の確実な復帰を行う為に、サブプロセッサ１４にリ
セット信号を入力する構成としているが、この限りでは
なく、例えば割り込み信号を用いて、ソフトウェアにリ
セット命令を実行させるなど、適切な処理を行わせても
良い。

【００６０】サブプロセッサ１４の初期化を行っても動
作できない場合、あるいは動作途中で再度ハングアップ
してしまうような場合も考えられる。このため、ＷＤＴ
１（３０ａ）は満了後も動作を継続し監視を行う。その
為サブプロセッサ１４が再度環境監視のタスクに復帰し
ステップ３０２におけるＷＤＴ（３０ａ、３０ｂ）のク
リアを行う前に満了しないように動作させる。

【００６１】ここで、ステップ３０２から異常時におけ
る一連のループ処理３０５、３０７〜３０９に有する時
間Ｔ_errorとすると下記式４を満たす必要がある。

【００６２】

【数４】Ｔ_error＜Ｔ_wd1（＜Ｔ_wd2） 図４は、第一の障害発生時における式１、式３、式４の
関係を、タイミングチャートにより図示したものであ
る。 図４の時点４０１〜４０３は、図３のループ３０
１〜３０４において、ステップ３０２を実行し、ＷＤＴ
１（３０ａ）クリア信号３２ａ、ＷＤＴ２（３０ｂ）ク
リア信号３２ｂが出力されていることを示す。図４−４
０３の後、サブプロセッサシステム３に障害が発生した
ため、時点４０３よりＴ_wd1後の時点Ｔ４０４におい
て、サブプロセッサリセット信号３３が発生する。図３
の３０５、３０７、３０８に相当する。

【００６３】リセット発生後、Ｔ_error後の時点４０５
において、サブプロセッサシステム１４は再び通常処理
のループ３０１〜３０４に復帰し、ステップ３０２によ
りクリア信号３２ａ、３２ｂが出力される。

【００６４】本実施の形態においてサブプロセッサのリ
セットが行われてから、環境監視のタスクが再び立ち上
がりＷＤＴのクリアを行うまでに１０秒程度要すること
から、すなわち

【００６５】

【数５】Ｔ_error＝１０（ｓｅｃ） であり、これはＴ_initやＴ_loopより長い時間を有してい
るので式１．４を満たせば式２及び式３も満たすことに
なる。従ってＴ_wd1は式４を満たす下記式６のように設
定している。

【００６６】

【数６】Ｔ_wd1＝１２（ｓｅｃ） 続いて第二の障害発生時を説明する。

【００６７】この場合、重度の障害により、図３−３０
８リセットによって、サブプロセッサ１４が、図３−エ
ントリ３０９からの処理を開始できない。このため、再
びステップ３０２より異常３に分岐する。環境監視タス
ク３０１は、サブプロセッサ１４が正常動作しておらず
実行しない。ＷＤＴ２（３０ｂ）はカウント中であり満
了していないため、ステップ３０７となる。

【００６８】一連のループ処理３０５〜３０９を実施し
た後、ＷＤＴ２（３０ｂ）が満了する。

【００６９】式１のＴ_wd2は、上記一連の処理及びリセ
ットを数回実行した後満了するよう値を決定する。

【００７０】図３−３０５において、ＷＤＴ２（３１
ｂ）が満了したため、ＷＤＴ２（３１ｂ）は電源制御Ｌ
ＳＩ７に異常通知信号３４を通知する。図３−３０６に
おいて電源制御ＬＳＩ７は、外部表示装置２８に電源遮
断通知３５を行う。図３−３１１において電源制御ＬＳ
Ｉ７は、メイン電源５ｂに電源制御信号１９を用いて電
源遮断を行う。

【００７１】ところで、図３−ステップ３０１〜３０４
による通常処理のループにおいて、監視している電源電
圧や、素子温度が異常となった場合も重度なハードウェ
ア障害が発生したとみなし同様に外部通報と電源遮断処
理を行う。図３−ステップ３０３から、異常４に分岐
し、ステップ３０６、ステップ３１１となる。なお、本
実施形態では外部表示装置２８を用いて通報している
が、この限りではなく、ブザーの鳴動やランプの点灯等
によって通報するようにしても良い。

【００７２】図５は、第二の障害発生時における式１、
式１、式４の関係を、タイミングチャートにより図示し
たものである。図４の時点５０１〜５０３は、図３のル
ープ３０１〜３０４において、ステップ３０２を実行
し、ＷＤＴ１（３０ａ）クリア信号３２ａ、ＷＤＴ２
（３０ｂ）クリア信号３２ｂが出力されていることを示
す。図５−５０３の後、サブプロセッサシステム１４に
障害が発生したため、時点５０３よりＴ_wd1後の時点Ｔ
５０４において、サブプロセッサ１４へのリセット信号
３３が出力する。図３の３０５、３０７、３０８に相当
する。

【００７３】しかし、リセットによってサブプロセッサ
システム１４が通常のループ３０１〜３０４に復帰でき
ず、異常３の分岐より、３０５、３０７〜３１０を繰り
返す。このため、時点５０５、時点５０６においてサブ
プロセッサリセット信号３３が発生する。

【００７４】図５では、サブプロセッサの復帰を３回試
行し、通常処理のループ３０１〜３０４に復帰できない
場合は電源遮断が行われるように、Ｔ_wd1、Ｔ_wd2の値を
式７に従い設定している。

【００７５】

【数７】Ｔ_wd2＝４Ｔ_wd1＝４８（ｓｅｃ） 時点５０３より、Ｔ_wd2後の時点５０７に、ＷＤＴ２
（３０ｂ）が満了し、異常通知信号３４が通常状態を示
す‘０’から異常状態を示す‘１’となる。この結果、
電源制御ＬＳＩ７の電源制御信号１９が時点Ｔ５０８に
おいて、ＯＮ状態を示す‘１’からＯＦＦ状態を示す
‘０’となる。

【００７６】式６と式７に示す関係式は、この限りでは
なく、確実にサブプロセッサを復帰できるように、また
ハードウェアに損傷を与えないように、それぞれのＷＤ
Ｔの時間を設定する。

【００７７】以上説明したように、第一の実施の形態に
よれば、サブシステムが正常時には、第一及び第二のウ
ォッチドッグタイマは、カウンタ値満了までにクリアさ
れるため、サブシステムのリセット及び、電源停止が発
生することはない。

【００７８】一方、サブシステムの一過性の障害に対し
ては、第一のウォッチドッグタイマが、第二のウォッチ
ドッグタイマより先に満了し、リセット発生回路がサブ
システムにリセットを発生する。サブシステムが本リセ
ットにより、通常動作に復帰した場合には、サブシステ
ムのソフトウェアルーチンが動作し第一及び第二のウォ
ッチドッグタイマをクリアするため、第二のウォッチド
ッグタイマは満了せず、情報処理装置は運転を継続す
る。更に、サブシステムに運用継続が不可能な重度の障
害が発生した場合、第一のウォッチドッグタイマ満了に
より、サブシステムにリセットを発生しても、サブシス
テムは通常動作に移行せず、第一及び第二のウォッチド
ッグタイマをクリアするサブシステムのソフトウェアル
ーチンが動作しない。このため、第一のウォッチドッグ
タイマに続いて、第二のウォッチドッグタイマが満了し
異常通知を行うことで、情報処理装置の主電源を遮断す
る。

【００７９】サブプロセッサシステムの障害に対し、ノ
イズ等に起因するデータ化けやソフトウェアの暴走等の
一過性の障害は、ＷＤＴ１（３０ａ）の満了により検出
し、サブプロセッサのリセットによる自己復旧を数回試
み自己復旧を行う。また、上記実行にもかかわらずサブ
プロセッサ復旧不可能な障害はＷＤＴ２（３０ｂ）の満
了によって検出し、速やかな電源遮断を可能とする。

【００８０】なお、本実施の形態では、計測手段として
二つのウォッチドッグタイマ３０ａ、ｂを用いたが、二
つの時間を設定できるタイマであれば、一つのタイマで
行なうことも可能である。このようにすることで、装置
内のハードウェア構成が簡易になるだけでなく、価格を
抑えることも可能となる。

【００８１】図６に、第二の実施の形態に係る情報処理
装置の構成を示すブロック図を示す。本実施の形態にお
いて、メインプロセッサシステム２及びサブプロセッサ
システム３の機能などは第一の実施の形態と同様であ
り、これらの部分については説明を省略し、異なる部分
について説明する。本実施の形態では、温度モニタ２６
が正常動作時とは異なる値を検出すると出力される温度
異常信号３７及び、電圧モニタ２０ａ、２０ｂが正常動
作時と異なる値を検出すると出力される電圧異常信号３
８ａ、３８ｂを追加し、第一の実施の形態で説明したサ
ブプロセッサ１４による環境監視とは別に冗長構成によ
る異常検出手段を設けている。この温度異常信号３７及
び、電圧異常信号（３８ａ及び３８ｂ）を判定手段７４
に入力する。また、スイッチ６からサブプロセッサ１４
への電源投入（遮断）要求信号１８ａを判定手段７４に
入力する。

【００８２】第一の実施の形態では、サブプロセッサ復
旧不可能な重度障害をＷＤＴ２（３０ｂ）満了によって
検出し、速やかに電源遮断を行っていた。本実施の形態
では、ＷＤＴ２（３０ｂ）のタイマ満了後、判定手段７
４はスイッチ６からの電源遮断要求信号１８ａ、温度異
常信号３７、電圧異常信号（３８ａ及び３８ｂ）の監視
を行い、サブプロセッサの動作状態によらず、ユーザか
らの電源遮断要求１８ａあるいは、温度異常信号及び電
圧異常信号（３８ａ及び３８ｂ）のうち少なくとも一つ
が出力されるまでは電源遮断を行わず、メインプロセッ
サシステムの動作連続性を保証する。

【００８３】ここで、ＷＤＴ２のタイマ満了後、電源遮
断要求信号１８ａ、温度異常信号３７、電圧異常信号
（３８ａおよび３８ｂ）の監視と電源遮断の必要性の有
無を判定する判定手段７４について説明する。

【００８４】図７は本実施の形態におけるＷＤＴ２（３
０ｂ）及び、判定手段７４のブロック図である。ＷＤＴ
２（３０ｂ）内のタイマカウンタ７１は、クロック発信
器３１ｂによって出力されるパルス信号７２のカウント
を行い、第一の実施の形態で説明した時定数でタイマが
満了した場合、タイマ満了信号７３を出力する。このカ
ウント値は、サブプロセッサ１４からサブプロセッサバ
ス１６を介して参照、更新可能であり、通常の動作状態
では、サブプロセッサ１４がプログラムによりタイマカ
ウンタ７１が満了となる前にカウント値をクリアする。
なお、本実施形態において図７に示したタイマクリア信
号３２ｂはサブプロセッサバス１６を介したアクセスで
あり、実信号線ではないので破線により示している。

【００８５】判定手段７４は、タイマ満了信号７３が満
了を示す‘１’となり、かつ電源遮断要求信号１８ａ、
温度異常信号３７、電圧異常信号（３８ａ及び３８ｂ）
のいずれかが異常を示す‘１’となった場合に、異常通
知信号３４の異常を示す‘１’とする。この論理条件を
図８に示す。なお、表中の‘ｘ’は‘０’でも‘１’で
も良い‘Ｄｏｎ’ｔ Ｃａｒｅ‘条件を示す。

【００８６】ケース１は通常の動作状態で、タイマカウ
ンタ７１はサブプロセッサ１４によってクリアされてお
り、タイマ満了信号は‘０’となる。この時は、サブプ
ロセッサシステムにより環境の監視が行われており、障
害の検出や、電源遮断要求時の電源制御はサブプロセッ
サ１４により行うことが可能であるため、判定手段７４
による監視は無効とし、温度異常信号３７、電圧異常信
号３８ａ、３８ｂ及び、電源遮断要求信号１８ａの各状
態によらず、異常通知信号３４は出力せず‘０’であ
る。

【００８７】一方、ケース２から６は、サブプロセッサ
システムが復旧不可能な障害が発生した場合で、タイマ
カウンタ７１はクリアされず満了となるためタイマ満了
信号が‘１’となる。これらのケースにおいて、判定手
段７４は有効となる。ここでケース２では、温度異常信
号３７、電圧異常信号３８ａ、３８ｂの信号に異常はな
く‘０’である。また、スイッチ６からの電源遮断要求
信号１８ａも‘０’であり電源遮断要求もないため異常
通知信号３４は出力せず‘０’とし、電源遮断は行わず
メインシステムの動作は継続する。

【００８８】ケース３は、電源遮断要求１８ａが
‘１’となった場合であり、ユーザからの電源遮断要求
が検出されたとして、温度異常信号３７、電圧異常信号
３８ａ、３８ｂの状態によらず、異常通知信号３４を
‘１’とすることで速やかに電源遮断を行う。

【００８９】ケース４から６では、温度異常信号３７、
電圧異常信号３８ａ、３８ｂのうちいずれかが‘１’と
なった場合であり、メインシステムの動作が保証できな
い障害が検出されたとして、直ちに異常通知信号３４を
‘１’とすることで、速やかに電源遮断を行う。

【００９０】これにより、タイマカウンタ７１が満了
後、電源遮断要求信号１８ａ、温度異常信号３７、電圧
異常信号３８ａ、３８ｂの一つでも検出した場合に速や
かに主電源を遮断することを可能にする。

【００９１】以上説明したように、第二の実施の形態に
よれば、ＷＤＴ２（３０ｂ）の満了によるサブプロセッ
サ復旧不可能な状態を検出後、ユーザからの電源遮断要
求１８ａ、温度異常信号３７、電圧異常信号（３８ａ及
び３８ｂ）を監視することで、メインプロセッサシステ
ムの運用が継続できない障害や、ユーザからの要求があ
るまでメインシステムの動作連続性を保証することが可
能となる。

【００９２】

【発明の効果】本発明はこのような手段を設けたので、
複雑なハードウェア回路を用いた冗長な装置にならず
に、自己復旧機能を有しかつ重度障害に対してはハード
ウェアにより電源遮断処理をおこなうことが可能とな
る。

【００９３】また、本発明に係わる情報処理装置におい
て、サブシステムの障害に対し、サブプロセッサのリセ
ットを数回試みることで確実にウェイクアップを行い、
ノイズ等に起因するデータ化けによるソフトウェアの暴
走や、立ち上げ失敗といった一過性の障害から復旧を行
うことが可能である。

【００９４】また、上記を実行したにもかかわらずサブ
システムの復旧ができなかった場合においても、ハード
ウェアによる迅速な電源遮断処理を可能とし、サブシス
テムの障害によるメインシステムの不用意な停止を低減
する効果がある。

【図面の簡単な説明】

【図１】第一の実施の形態に係る情報処理装置のブロッ
ク図である。

【図２】障害検知方法とその対応処理を示すフローチャ
ートである。

【図３】障害検知方法とその対応処理を示すフローチャ
ートである。

【図４】第一の障害発生時における復旧までのタイムチ
ャートである。

【図５】第二の障害発生時における電源遮断処理までの
タイムチャートである。

【図６】第二の実施の形態に係る情報処理装置のブロッ
ク図である。

【図７】第二の実施の形態に係るウォッチドッグタイマ
２（３０ｂ）及び判定手段７４のブロック図である。

【図８】第二の実施の形態に係る判定手段７４の論理条
件を示した表である。

【符号の説明】

１・・・情報処理装置、２・・・メインプロセッサシステム、
３・・・サブプロセッサシステム、４・・・共有バス、５ａ・・
・補助電源、５ｂ・・・メイン電源、６・・・スイッチ、７・・・
電源電源制御LSI、８・・・メインプロセッサ、９・・・メモ
リ、１０・・・メモリ・I/Oバスブリッジ、１１・・・I/Oバ
ス、１２・・・周辺装置インターフェース、１３・・・入出力
装置、１４・・・サブプロセッサ、１５・・・メモリ、１６・・
・サブプロセッサバス、１７・・・サブ/共有バスブリッ
ジ、１８ａ・・・スイッチ６からサブプロセッサ１４への
電源投入（遮断）要求信号、１８ｂ・・・サブプロセッサ
１４から電源制御ＬＳＩ７への電源遮断要求信号、１９
・・・電源制御信号、２０ａ・・・電圧モニタ、２０ｂ・・・電
圧モニタ、２１・・・情報収集バス、２２・・・情報収集装
置、２３・・・共有メモリ、２4・・・共有バスブリッジ、２
５ａ・・・プロセッサ温度、２５ｂ・・・素子温度、２６・・・
温度モニタ、２７・・・メモリ・バスエラー検出信号、２
８・・・外部表示装置、２９・・・電源ステータス信号、３０
ａ・・・ウォッチドッグタイマ１、３０ｂ・・・ウォッチドッ
グタイマ２、３１ａ・・・クロック発信器、３１ｂ・・・クロ
ック発信器、３２ａ・・・ウォッチドッグタイマ１クリア
信号、３２ｂ・・・ウォッチドッグタイマ２クリア信号、
３３・・・ウォッチドッグタイマ１によるサブプロセッサ
１４へのリセット信号、３４・・・ウォッチドッグタイマ
２による電源制御ＬＳＩ７への異常通知信号、３５・・・
電源遮断通知信号、３６・・・フラッシュロム。２０１・・・
サブプロセッサシステム３の初期化、２０２・・・ウォッ
チドッグタイマ有効処理、２０３・・・環境監視タスク、
２０４・・・ウォッチドッグタイマクリアがなされたかの
分岐、２０５・・・環境監視に異常がないかの分岐、２０
６・・・ユーザから電源投入要求がないかの分岐、２０７・
・・メイン電源５ｂＯＮ処理、２０８・・・ウォッチドッグ
タイマ２（３０ｂ）が満了しているかの分岐、２０９・・
・ウォッチドッグタイマ１（３０ａ）が満了、２１０・・・
ウォッチドッグタイマ１（３０ａ）によるサブプロセッ
サ１４のリセット信号３３発生、２１１・・・サブプロセ
ッサ１４による初期化処理、２１２・・・障害発生を外部
へ通知、３０１・・・環境監視タスク、３０２・・・ウォッチ
ドッグタイマのクリアがなされたかの分岐、３０３・・・
環境監視に異常がないかの分岐、３０４・・・ユーザから
の電源遮断要求がないかの分岐、３０５・・・ウォッチド
ッグタイマ２（３０ｂ）が満了しているかの分岐、３０
６・・・外部へ障害発生を通知、３０７・・・ウォッチドッグ
タイマ１（３０ａ）が満了、３０８・・・ウォッチドッグ
タイマ１（３０ａ）によるサブプロセッサ１４リセット
信号３３発生、３０９・・・サブプロセッサ１４による初
期化処理、３１０・・・メイン電源ＯＦＦ、３１１・・・メイ
ン電源遮断。４０１〜４０３・・・ウォッチドッグタイマ
のクリアのタイミング、４０４・・・サブプロセッサのリ
セットのタイミング ４０５・・・ウォッチドッグタイマのクリアのタイミング ５０１〜５０３・・・ウォッチドッグタイマのクリアのタ
イミング、５０４〜５０６・・・サブプロセッサのリセッ
トのタイミング、５０７・・・ウォッチドッグタイマ２
（３０ｂ）から電源制御ＬＳＩ７への異常通知信号３４
発生のタイミング、５０８・・・電源遮断のタイミング、
３７・・・温度モニタ２６から出力される温度異常信号、
３８ａ電圧モニタ２０ａより出力される電圧異常信号、
３８ｂ・・・電圧モニタ２０ｂより出力される電圧異常信
号、７１・・・タイマカウンタ、７２・・・クロック発信器３
１ｂから出力されるパルス信号、７３・・・タイマカウン
タ７１満了時に出力されるタイマ満了信号、７４・・・判
定手段

───────────────────────────────────────────────────── フロントページの続き (72)発明者 荒川 修 神奈川県海老名市下今泉810番地 株式会 社日立製作所インターネットプラットフォ ーム事業部内 (72)発明者 松岡 紀伸 神奈川県海老名市下今泉810番地 株式会 社日立製作所インターネットプラットフォ ーム事業部内 Ｆターム(参考） 5B011 GG02 HH04 HH08 JA07 JA14 JA24 KK01 KK02 5B054 AA08 BB05 BB13 DD11 DD25

Claims (3)

【特許請求の範囲】
1. 【請求項１】主電源と、主電源から給電されるメインシ
   ステムと、補助電源と、補助電源により給電されるサブ
   システムとを有する情報処理装置において、前記サブシ
   ステムは、クロックを出力するクロック発生手段と、前
   記クロックにより第一の時定数と第二の時定数を計測す
   る計測し、前記第一の時定数到達時に前記サブシステム
   のリセットを指示し、善意第二の時定数到達時に前記主
   電源の遮断を指示する計測手段を有することを特徴とす
   る情報処理装置。
2. 【請求項２】請求項１に記載の情報処理装置において、
   前記第一の時定数は前記第二の時定数よりも大きいこと
   を特徴とする情報処理装置。
3. 【請求項３】請求項１記載の情報処理装置において、前
   記サブシステムは、プロセッサと、メインシステムの電
   圧を検出する手段と、メインシステムの温度を検出する
   手段と、前記メインシステムの電圧の検出結果と温度の
   検出結果を格納する記憶手段とをさらに有し、前記サブ
   システムのリセット時に前記記憶手段の前記電圧の検出
   結果と前期温度の検出結果が格納されている領域は初期
   化しないことを特徴とする情報処理装置。