JP2573508B2

JP2573508B2 - ディジタルロジック同期モニター方法および装置

Info

Publication number: JP2573508B2
Application number: JP62506342A
Authority: JP
Inventors: エル．ウィリアムズ，ジェフリー
Original assignee: SUTOREITASU KONPYUUTAA Inc
Current assignee: SUTOREITASU KONPYUUTAA Inc
Priority date: 1987-01-16
Filing date: 1988-01-14
Publication date: 1997-01-22
Anticipated expiration: 2012-01-22
Also published as: US5020024A; AU1188288A; WO1988005572A2; WO1988005572A3; AU614277B2; ATE88028T1; DE3880132D1; EP0349539A1; EP0349539B1; DE3880132T2; JPH02502315A

Description

【発明の詳細な説明】発明の背景本発明は、２つまたはそれ以上のディジタル論理装置
の各々が正しい独立的な動作を遂行しているときに、選
択された同期がないことを感知する方法および装置に関
するものである。

本発明は、通常は選択された同期で動作する２つまた
はそれ以上の動作要素が、たとえ各動作要素がそれ以外
では正しい論理動作を遂行している場合でも、その同期
を喪失したことを感知するために、ディジタル論理機器
および装置で有用である。ディジタル論理部品による正
しい論理動作の遂行は、たとえ別のディジタル論理部品
に対し選択された同期状態を喪失していても、ここでは
正しい独立的な動作と称される。

本発明の一つの応用は、たとえば、２つの中央処理ユ
ニットが通常は同じくそしてロックステップ同期状態で
動作する障害許容コンピュータ装置におけるものであ
る。もしいずれか一つのプロセッサユニットが障害を起
こせば、別のプロセッサユニットの動作が継続しそして
中断することなく障害許容コンピュータ装置の動作が維
持される。

この種類の装置のこの種の各CPU部品の動作を検査し
そしてもし一つのCPUが障害を起こせばこれを不能化す
ることが知られている。米国特許第４、453、215号明細
書はこの種類のディジタル論理装置を開示しまた米国マ
サチューセッツ、マールボロのストレイタス・コンピュ
ータ社がこのような障害許容コンピュータ機器を製造し
ている。

信頼性を高めるために、重複ないし冗長構造を採用す
るディジタルコンピュータ装置に関する別の教示には、
リロン（Liron）による米国特許第４、428、044号およ
びカッツマン（Katzman）による米国特許第４、328、49
6号がある。また、“Architecture for Fault−Toleran
t Spacecraft Computers"と標題の付されたレネルズ（R
ennels）によるProceedings of the I.E.E.C.、第66
巻、No.10、pp.1225〜1268（1975年）も参照されたい。

論理動作の障害に加えて、ある指定された同期のため
に、共通のクロックで通常動作する２つまたはそれ以上
のディジタルプロセッサまたはそのほかの論理部品は、
正しい論理動作を継続しているときでさえ、指定された
同期状態の喪失が課される。この障害状態は、検出され
ずに進行でき、その結果、各部品は他の部品と歩調がず
れて出力情報を発生しているときでさえも、動作を継続
する。装置はそのときおそらく不良データを発生してお
りそして結果的に完全に故障する。

２つのプロセッサ部品間の同期状態の喪失は、たとえ
ば、一方の部品を作動させるが他方の部品は作動させな
いスプリアス信号により起こり得る。公称上同一の２つ
の部品もまた故障しうる。なぜなら、これらの部品は、
たとえば、設計上の欠陥そしてそれらが採用する構成部
品の変化により実際には異なる速度で動作するからであ
る。

それゆえ、従来の障害許容形コンピュータ装置は、た
とえ全ての部品が独立の正しい動作を遂行しているとき
でさえ、特定された同期状態の喪失による故障が課され
る。

それゆえ、本発明の目的は、ディジタル論理装置の障
害許容レベルが改善される方法および装置を提供するこ
とである。

特定の目的は、２つまたはそれ以上のディジタル論理
部品の各々が独立の正しい動作を提供しているときで
も、それらの動作の所定の同期状態の喪失を感知する方
法および装置を提供することである。

本発明の別の目的は以下で部分的に明瞭となりまた部
分的に説明する。

図面の簡単な説明本発明の性質および目的のより完全な理解に資するた
めに、以下の説明およびこれに対応する図面を参照され
たい。

第１図は、本発明を組み込んだディジタル論理装置の
ブロック模式図である。

第２図は本発明の一実施で使用される２つの自己検査
式ディシタル論理部品のブロック図である。

第３図は、第２図の部品で使用される本発明による同
期状態検査論理回路のブロック図である。

第４図は、本発明による、第２図および第３図の論理
回路の動作を図示するタイミング図である。

包括的な説明本発明によるディジタル論理装置はクロック装置と少
くとも２つの動作部品を有する。同期状態検査要素が、
動作部品の各々が適当な独立動作を遂行しているとき、
動作部品間の選択された同期状態がないことを感知す
る。

かくして、本発明による同期状態検査方法および装置
が、検査される部品の動作を比較し、各部品がその他で
は正しい論理動作（すなわち正しい独立動作）をしてい
ると同時に比較が誤りであるときにのみ、障害指示出力
信号を発生する。

標準的な好ましい装置では、２つの動作部品は、たと
えば各装置タイミングパルスに活発に応答するなど間断
なく動作する。この間断のない活動によって、同期検査
要素が所望される同期状態の喪失を即座に検知すること
が可能となる。したがって、装置は同期障害によっても
たらされるどのようなエラーデータをも容易に修正でき
る。

さらに、本発明によれば、上述の態様の同期障害の感
知は２つの部品のうちの一つが装置と動作するのを停止
させ、２つの部品のうちの一つだけがその後装置の別の
部品を作動させる。この動作は、同期の喪失によって悪
影響を受けることなく、装置が動作を継続するようにす
る。

本発明を具体化したコンピュータ機器および方法が、
こうして、付加された障害条件を感知しそしてこれに正
しく応答する点で、さらに進んだ障害許容性を実現す
る。かくして本発明の実施によってコンピュータの信頼
性の改善が達成される。

本発明の好ましい一実施例において、障害許容コンピ
ュータ装置が少くとも２つのプロセッサ部品を有し、い
ずれか一つの部品が故障した場合に装置の動作を継続す
るために、２つのプロセッサ部品は通常ロックステップ
同期状態で動作する。一方のプロセッサ部品が他方のプ
ロセッサ部品との同期を喪失した場合に、たとえ両方の
プロセッサ部品がその他で正しく動作している場合で
も、たとえばそれをオフラインに置くなど一方のプロセ
ッサ部品を装置動作から除去する。“Method and Appar
atus for Fault−Tolerant Computer System Having Ex
pandable Processor Section"に関するものでそして本
譲受人へ譲渡された米国特許出願第927、746号は、本発
明が上述の態様で実施できる障害許容コンピュータ装置
を開示しそして本出願の開示内容はここに合体されるも
のである。

図示の実施例の説明第１図は本発明を具体化したディジタルロック装置10
が２つのディジタル論理部品12、14および装置クロック
16を有することを示す。クロック16は、各部品12、14と
別の装置要素20に接続する装置バス18とにタイミングパ
ルスを提供するよう接続される。それぞれ装置Ｃおよび
装置Ｄと呼称される各論理部品12、14が図示されるよう
にバス18にも接続される。

第１図に図示される装置は障害許容コンピュータ装置
である場合に、部品12、14は、互いにロックステップ同
期状態あで同一の重複ないし冗長動作を提供する同一中
央プロセッサ部品とされそしてバス19が同一中央プロセ
ッサ部品をメモリ要素および入出力要素を含む別の装置
要素に接続する。上述の米国特許第４、453、215号（引
用された継続出願）およびストレイタス・コンピュータ
社の装置はこの態様で構成されそしてこの種の動作を提
供する。

例示の装置10はさらに、各部品12、14が発生する信号
を受容するよう接続されさらに部品12、14の少くとも一
つを選択的に不能化するよう接続される同期検査要素22
を備える。同期検査要素22と各動作部品12、14との接続
関係が、接続はバス18を通じて行われるけれども、図解
を明瞭にするために、第１図では直接的に図示されてい
る。

第１図をさらに説明すると、同期検査要素22は各動作
部品12、14から受容する信号に応答して、２つの部品の
動作間のタイミングの差を感知する。ところが、図示の
障害許容コンピュータ装置は、もしその独立的動作の障
害があれば、いずれかの部品12または14を不能化でき
る。その場合に装置は、通常の装置動作を継続するの
に、他方の部品に依存する。したがって、このような独
立的障害が生ずるとき、同期障害の発生を回避するため
に、検査要素22は、いずれかの部品の独立的動作障害の
指示と同時のタイミング障害を無視する。

他方において、同期検査要素22がタイミング差を感知
しそして部品12および部品14のいずれも独自的動作障害
を明示しないときには、同期検査要素22は同期障害を報
告する。

一つの好ましい実施例において、同期障害の感知に応
答して、同期検査要素22は直ちに一つの部品12または部
品14を不能化し、そのため、他方の部品だけが別の装置
要素20と動作する。どの部品12、14を不能化するかの選
択は、両方の部品が個々に正しい独立的動作を指示しそ
して唯一感知される障害がタイミング差であるので、任
意に行われる場合が多い。一つの代替え例が時間的に遅
れているようにみえる部品を不能化することである。別
の代替え例が、どの部品が実際に歩調がずれているかを
認定するために診断ロジックを作動しその後その部品を
不能化することである。

いずれの場合でも、同期検査要素22は装置10が、部品
12、14の動作が所望される同期状態を失ったとき、たと
え各部品がそれ以外で正しい論理動作を提供していると
きでさえも、これを感知するようにすることが可能であ
る。したがって同期検査要素22は、システム10がこの種
の同期状態の喪失による障害動作を回避しそして正しい
情報の生成とともに動作を継続するようにすることがで
きる。

第１図の装置10が障害許容コンピュータを表示する場
合、部品12は第２図に図示されるような自己検査形中央
プロセッサ12′が可能である。図示の中央プロセッサ1
2′は２つの中央処理装置24、26を有し、各々は、たと
えば同等のディジタルプロセッサ動作を提供するよう配
列されそして接続されるたとえばモトローラ68020集積
回路を採用する。

中央プロセッサ12′は、データ信号、アドレス信号、
制御信号、クロック信号および診断信号のためのものを
含め、参照番号32で示されるバス18′への接続部を有す
る。バス18′から受容される一つの信号がCLK1で示され
るシステムクロックパルスの流れであり、各CPU24、26
のタイミング動作を提供する。

比較器30が各CPU24、26で発生せられる信号のディジ
タル値を比較する。通常の動作中は、２組のディジタル
値は同等でありそして比較器の出力は両方のCPUがデー
タをバス18′に与えるのを許容する。２組のディジタル
値間の差に応答して、比較器は、フリップフロップ44を
中断（Broken）状態に切り替える障害信号を導体30aに
発生する。

フリップフロップ44から結果的に得られる信号は、プ
ロセッサ12′が機能不全であることをそれゆえ中断条件
にあることを指示する。フリップフロップ44からの中断
信号の一つの機能はプロセッサ12′をラインから除去す
る（すなわちプロセッサ12′が、データ信号やアドレス
信号やコマンドなどの動作信号をバス18′へ与えること
を禁止する）ことである。

本発明によれば、第２図に図示されているように、CP
U24の活動を指示する導体34の信号が、タイミング信号C
LK2で切り替えられるフリップフロップ36へ与えられ
る。図示のCLK2タイミング信号は装置クロックCLK1から
誘導されそしてその分数倍のものである。一例示の実施
例では、CLK1信号は16メガヘルツのパルス繰り返し周波
数を有しそしてCLK2信号は８メガヘルツのパルス繰り返
し周波数を有する。

この構成で、フリップフロップ36は導体34のCPU活動
信号をCLK2信号のタイミングと同期させる。フリップフ
ロップ36の相補出力端子で結果的に得られる信号は、プ
ロセッサ12′について第１のトランザクション（Transa
ction）出力信号の論理補数である。このプロセッサは
第１図で装置Ｃと指定されそれゆえ信号はＴ−Output C
1（反転）信号と指定される。

導体34のCPU活動信号は、CPU24が各プロセッササイク
ル中、同じ時間に発生するものが好ましい。なお、活動
信号は、CPU24がその動作サイクル中のたとえば何らの
バスサイクルでもないなど何らの動作も遂行しない場合
でも発生するものが好ましい。こうして、CPU活動信号
は、CPU24がCLK1信号により起動されるタイミングで遂
行する動作サイクルごとに正確に同じ時間に発生するも
のが好ましい。導体34のCPU活動信号の一例が、モトロ
ーラ68020CPUがプロセッササイクルごとに発生する初期
サイクル始動（ECS.Early Cycle Start）信号である。

第２図についてさらに説明すると、CPU24およびフリ
ップフロップ36についで上述したと同様の態様で、フリ
ップフロップ38がプロセッサ12′について第２のトラン
ザクション出力信号（すなわち、Ｔ−Output C2信号）
を発生するために、CPU26が導体40に発生するCPU活動指
示信号をCLK2タイミング信号と同期させる。

排他的オアゲート42が２つのトランザクション出力信
号を受容しそしてこれらを比較する。例示のロジックで
は、排他的オアゲートは相補（すなわち互いに逆の）信
号を受容する。したがって排他的オアゲートは、それら
の信号が常に異なっている（すなわち一方が論理０で他
方が論理１であり、これは通常の動作中生ずる）かどう
かを決定するよう検査を行う。論理的な機能不全の場合
そして２つの相補的なトランザクション出力信号がもは
や異ならない場合には、排他的オアゲート42は、オアゲ
ート43を通じて、フリップフロップ44を中断状態へ設定
する肯定の出力信号を発生する。

例示のプロセッサ12′は、プロセッサ12′がバス18′
を通じて協働関係にあるプロセッサ14′へ各トランザク
ション出力信号を与える。したがって、Ｔ−Output C1
（反転）信号およびＴ−Output C2信号は別々のバスド
ライバ48、50へ与えられる。プロセッサ12′が中断（Br
oken）されていない場合または相棒のプロセッサ14′が
プロセッサ12′と同期状態でないことはない場合、アン
ドゲート52が各ドライバ48、50の動作をイネーブルにす
る。アンドゲート52は、導体54の２重化（Duplex）信号
そしてフリップフロップ44からの中断信号の反転したも
のに応答して、ドライバイネーブル信号を発生する。２
重化信号は、プロセッサ14′が正しく動作、すなわち中
断されておらずそしてプロセッサ12′とロックステップ
同期状態であるかぎり、肯定である。例示のロジック
は、オープンコレクタドライバ48、50を採用する。各ド
ライバからの出力ラインはプルアップ抵抗56を介して正
の供給電圧へ接続されそして肯定入力信号によりグラウ
ンドへ駆動される。

第２図に例示のプロセッサ14′は、CPU58およびCPU60
を付帯してプロセッサ12′と同様に構成される。クロッ
ク信号CLK1はCPU58、60のタイミングを制御しそして比
較器62はCPUからの論理出力を比較する。プロセッサ1
4′は接続部64を介してバス18′と接続される。

フリップフロップ66、68が、図示されるように、Ｔ−
Out D1（反転）信号およびＴ−Out D2信号を発生するた
めに、各CPU58およびCPU60の活動を指示するCPU活動信
号をそれぞれCLK2信号と同期させる。排他的オアゲート
70が、フリップフロップ66、68からの２つのトランザク
ション出力信号を比較する。障害動作そしてトランザク
ション出力信号の相違が果たせない場合、排他的オアゲ
ート70が、Ｄ−Broken信号が発生されるよう、フリップ
フロップ72を設定する肯定の出力信号を発生する。オー
プンコレクタバスドライバ76、78は、動作がイネーブル
されるとき、２つのトランザクション出力信号D1（反
転）およびD2をバス18′の種々の導体へ与える。もし、
プロセッサ14′が中断されるかプロセッサ14′がプロセ
ッサ12′と２重化されていないかのいずれでもない場
合、アンドゲート80がドライバ76、78をイネーブルにす
る。

プロセッサ12′の説明を継続すると、第２図に図示さ
れるように、排他的オアゲート82が論理的に互いに逆の
Ｔ−Output C1（反転）信号およびＴ−Output C2信号を
受容しそして２つの信号が常に相違している通常の動作
時間中、導体84にＣ−OK信号を発生する。したがって、
Ｃ−OK信号は、プロセッサ12′の２つのCPU24、26が、
互いにロックステップ同期状態で導体34、40に活動信号
を発生しているかぎり、肯定である。肯定のＣ−OK信号
がフリップフロップ36、38、44とゲート42、43、52とド
ライバ48、50の動作をも検査する。

プロセッサ12′の別の排他的オアゲート86が、プロセ
ッサ14′について正しい動作に関する同様の通常の条件
の下で、Ｄ−OK信号を導体88に発生するために、図示さ
れるように、バス18′を通じてプロセッサ14′からの２
つのトランザクション出力信号を受容する。

プロセッサ12′は、プロセッサ12′から一つのトラン
ザクション出力信号をそしてプロセッサ14′から反転し
た（すなわち論理的に逆の）トランザクション出力信号
を受容する排他的オアゲート90を有する。したがって、
例示の排他的オアゲート90はＴ−Out C2信号およびＴ−
Out D1（反転）信号を入力信号として受容する。通常の
正しい動作条件であるこれら２つの信号が異なる場合、
排他的オアゲート90から結果的に得られる導体92の肯定
出力信号は、２つのプロセッサ１′および14′が一致
（agree）することを指示し、Ｃ−D Agree信号と指定さ
れる。この信号の通常の肯定値は、２つのプロセッサ1
2′および14′が各々同等にトランザクション出力信号
を発生しそして互いにロックステップ同期状態であるこ
とを指示する。

第２図にも図示されているように、プロセッサ12′に
ついてと同様の態様で図示されているように、例示のプ
ロセッサ14′は、通常は、Ｄ−OK信号を導体100に、Ｃ
−OK信号を導体102にそしてＣ−D Agree信号を導体104
にそれぞれ発生する３つの排他的オアゲート94、96、98
を有する。

２つのプロセッサ12′および14′が、たとえば、一方
のプロセッサが追加のスプリアス擬似クロック信号を受
容するときまたは２つのプロセッサの一つが、過渡低電
圧またはそのほかの過渡条件によりタイミング信号への
応答が果たせない場合などで同期状態が外れる場合に、
各プロセッサは一対の同期したＴ−Out信号の発生を継
続できる。すなわち、プロセッサ12′の導体84、86のＣ
−OK信号およびＤ−OK信号の両方が肯定すなわち真とし
得、また同様にプロセッサ14′の導体100、102のＣ−OK
信号およびＤ−OK信号が真とし得る。それにも拘らず、
Ｃ−OK信号は、プロセッサ間のロックステップ同期の喪
失により、Ｄ−OK信号から同期が外れる。したがって、
プロセッサ12′の排他的オアゲート90はもはや相違する
信号を受容しない。それゆえ、排他的オアゲート90が発
生するＣ−D Agree信号は終了し、それにより必要なロ
ックステップ同期の喪失が明かである。同時に、排他的
オアゲート98がプロセッサ14′において、Ｃ−D Agree
信号の発生を停止する。

本発明によれば、Ｃ−D AgreeがCLK2信号の一タイミ
ング期間で不在であった（すなわち偽であった）がそれ
にも拘らず次のタイミング期間でＣ−OK信号およびＤ−
OK信号が真である場合に、プロセッサ12′の論理段106
がトランザクション障害信号（T Failure）を発生す
る。例示の論理段106は、一対のステータスビットとし
てT Failure信号を発生し、CPUステータスバス（図示せ
ず）が論理段106の端子（ａ）、（ｂ）から同じラベル
の付されたCPU24、26のステータス入力部へそれぞれ伝
達する。また、T Failure信号に応答して、例示の論理
段106は、フリップフロップ44を中断状態へ切り替える
ためにオアゲート43を通じて付加されるSet Broken信号
を導体110に発生できる。

特に、Agree信号の偽の値がいずれかのプロセッサ1
2′または14′の中断によるものでないときにのみ、Ｔ
−Failure信号を発生するために、論理段106は、一つ前
のクロック２（CLK2）期間に発生される導体92のAgree
信号とともに、導体84および88の２つのOK信号を検査す
る。たとえば、自己検査式プロセッサ12′の２つのCPU2
4および26が相違する情報を発生しそれにより比較器30
が偽の出力を発生する場合、CPU24、26が発生しそして
フリップフロップ36および38が排他的オアゲート82、86
へ与える２つの活動信号はそれにも拘らず同一とするこ
とができそして同期状態であることが可能である。この
場合、プロセッサ12′はCPU24、26とともに障害情報を
発生しそしてさらに、CLK2タイミング信号の一間隔時間
の間、Ｃ−OK信号、Ｄ−OK信号およびＣ−D Agree信号
について真の値を発生する。CLK2信号の一期間の後、比
較器30からの偽の出力は、C Broken信号が発生されるよ
うフリップフロップ44を切り替える。結果的にえられる
部品48、50の不能化は、Ｃ−OK信号およびＤ−OK信号な
らびにＣ−D Agree信号すべてを偽にさせる。

こうして、プロセッサ12′が中断状態とせられる条件
によるT Failure信号の発生を回避するために、論理ユ
ニット106は、Ｃ−OK信号およびＤ−OK信号について真
の条件および直前のCLK2タイミング期間のＣ−D Agree
信号の偽の値にのみ応答してT Failure信号を発生す
る。

論理ユニット106のこの構成およびプロセッサ14′の
同等の論理ユニット112とともに、２つのプロセッサ1
2′および14′間の唯一の違いがプロセッサがロックス
テップ同期として例示される所望の同期で動作しないこ
とである場合に、各論理ユニットはＴ−Failure信号を
発生する。各プロセッサ12′、14′はそのほかでは正し
い論理的計算動作（computations）で動作しており、そ
れゆえ独立的に正しく動作している。この場合、プロセ
ッサ12′、14′が組み込まれる装置は２つのプロセッサ
12′および14′のいずれでも正しく動作できる。プロセ
ッサ間の同期状態の喪失だけが問題なのである。

したがって、プロセッサ12′または14′のいずれか単
独一つが別の装置要素20（第１図）と正しく動作しそし
て他方が、装置動作の中断なしに遮断できる。したがっ
て、いずれの論理段106または112（しかし、標準的には
その両方でなく）も、それぞれ、一つの中断されたフリ
ップフロップ44または72をセットするよう配列され、そ
れにより、その一つのプロセッサ12′または14′を不能
化しそして他方を中断させずに動作させる。一つの特定
の実施例において、２つのプロセッサ12′および14′
は、隣接して奇数および偶数の番号が付されるディジタ
ル論理装置のバックプレーン形コネクタへ接続される。
各論理ユニット106および112は、奇数番号が付されたス
ロットコネクタへ接続されているかどうかを検査するこ
とにより、Set Broken信号を発生しそれにより、そのプ
ロセッサユニット12′、14′をそれぞれ不能化するかど
うかを決定する。

別の代替え例として、本発明は、いずれのプロセッサ
12′、14′が他方に対して時間的に進んでいるか遅れて
いるかを決定しそれに応じていずれのプロセッサを不能
化するかどうかを決定する各プロセッサの論理段ととも
に実施できる。

第３図を参照すると、第２図に例示の論理段106は、
第２図の導体92のＣ−D Agree信号をCLK2タイミング信
号と同期させ、相補出力端子にＣ−D Agreed（反転）信
号を発生するフリップフロップ118を有する。Ｃ−D Agr
eed（反転）信号は、Agree信号が前のタイミング信号CL
K2の一期間に偽であったときに、肯定である。アンドゲ
ート120が、第２図の導体84、88からのＣ−OK信号とＤ
−OK信号、フリップフロップ118からのＣ−D Agreed
（反転）出力を入力信号として受容する。アンドゲート
120は、両方のOK信号が真でありそしてAgreed（反転）
信号が真である、すなわちAgree信号が前の一タイミン
グ期間に偽であったときにのみ肯定の出力信号を発生す
る。導体122のSet T Failureと指定されたこの肯定出力
はステータスフリップフロップ124を指定する。バッフ
ァレジスタ128、130が、結果的に得られるT Failure信
号を格納しそしてこれをCPUデータバス132の導体
（ａ）、（ｂ）へ与える。例示の論理段106で、導体122
のSet T Failure信号もアンドゲート126へ与えられる。
アンドゲート126の他方の入力はSlot Address Odd信号
である。アンドゲート126からの肯定出力信号が、プロ
セッサ12′が装置の奇数のコネクタスロットへ差し込ま
れた場合に、プロセッサ12′を不能化する第２図の導体
110へ与えられるSet Broken信号である。

プロセッサ14′は、論理段106について第３図に関し
て説明したと同様の仕方で構成された論理段112を採用
することが好ましい。

第４図のタイミング図は第２図のプロセッサ12′およ
び14′の動作を図示する。波形130が、いくつかのタイ
ミング期間のCLK2タイミングパルスを示す。

図示の動作は期間０では通常の動作そして期間１で同
期が失われるが正しい独立的動作が継続されるものであ
る。

期間１での同期状態の喪失は、第４図の波形134、136
で図示されるように、両方のプロセッサ12′および14′
でＣ−D Agree信号を期間１で低（low）それゆえ偽とす
る。その結果、各プロセッサで、波形138、140で図示さ
れるＣ−D Agreed信号が、期間２で、それぞれ通常の高
い（high）真の状態から低い偽の状態へ切り替わる。こ
の移行により、波形142および144で表される２つのプロ
セッサのSet T Failure信号が期間２で肯定すなわち真
となる。論理段106および112が、T Failureに応答して
プロセッサ14′をラインから除去するよう構成されてい
る場合、期間３の次の動作は、プロセッサ14′（第１図
で装置Ｄ）のBroken信号が、波形146で示されるよう
に、高い真の値へ切り替わることである。他方のプロセ
ッサ12′（装置Ｃ）はラインに留まりこれに対応して波
形148で示されるそのBroken信号は低い偽の状態に留ま
る。

タイミング期間３ではまた、２つのプロセッサに関し
それぞれ波形150、152で示される各プロセッサの２重化
信号は通常の高い真の状態から低い偽の状態へ降下す
る。このとき、両方のプロセッサのOK信号およびAgree
信号の全てが偽となる。

特に、プロセッサ12′（装置Ｃ）では、イネーブルさ
れたドライバ48、50がバス18′へ与え波形154、156で表
されるクロックドトランザクション出力信号は、タイミ
ング期間０、１および２の間、CLK2タイミングパルスの
各立上り縁部に応答して互いに逆の方向に同期して２進
値を変化させる。しかし、ドライバは期間３で不能化が
始まり、それによりドライバからの出力信号は高い真の
値へ引き上げられる。

これに対して、波形158、160で示されるプロセッサ1
2′の導体84、86のＣ−OK信号およびＤ−OK信号は、各
期間０、１および２で高い真の値へ切り替わりその後は
低い偽の値である。

第４図にさらに図示されているように、他方のプロセ
ッサ14′（装置Ｄ）では、バスドライバ76、78がバス1
8′へ与えそして波形162、164で示されるトランザクシ
ョン出力信号は期間０で逆の方向に切り替わり、そして
同期障害が生じる図示の例では、期間１で切り替わりが
果たせない。ドライバ76、78がもはやイネーブルされて
いない期間３では、これらの信号は高い真の値へ引き上
げられる。波形166、168で示されるプロセッサ14′のＣ
−OK信号およびＤ−OK信号は、各期間０、１および２
で、これら各期間の間のそのプロセッサでのトランザク
ション出力信号の異なる値に応じて、高い真の値へ切り
替わる。

両方のプロセッサで、波形134、136で図示されるよう
に、第２図の導体92、104のAgree信号は、排他的オアゲ
ート90、98が異なるトランザクション出力信号を受容し
ているかぎり、それぞれ期間０で真である。しかし、こ
の通常の条件は、プロセッサ14′のトランザクション出
力信号の切り替わり障害で、期間１では存在しない。し
たがって、２つのAgree信号は期間１で低い偽の値へ切
り替わる。Agree信号は、期間２で高い真の値へ復帰し
そして期間３で、OK信号が偽である結果としてすべての
OK信号が同じ値を持つことにより、偽の低い値へ切り替
わる。

第３図で図示される各論理段106、112で発生される波
形138、140のAgreed信号は両方の期間０および１で真で
あり、前の期間１でのAgree信号の偽の値への切り替わ
りに応答して、期間２では低い偽の値へ切り替わる。

第４図を参照すると、プロセッサ14′のトランザクシ
ョン出力信号（波形162、164）の期間１での切り替わり
の失敗が同期の喪失状態のある障害によるものであった
場合、そのプロセッサの２つのOK信号（波形166、168）
は、期間２で両方とも真の値へ切り替わらないであろ
う。その結果、期間２では、論理段106での第３図のア
ンド回路120は、波形144のSet T Failure信号の真の値
を発生しないであろう。同様に、プロセッサ12′で、波
形142で表わされるSet T Failure信号は偽（すなわち
低）に留まるであろう。

このようにして、本発明が提供する同期状態をモニタ
ーするロジックは、タイミング信号に対して望まれる同
期状態の喪失を関知し、独立的な論理の障害なしに同期
の喪失が生じたときを認定する。

上述の説明から明かなものを含め上記の種々の目的は
効率よく実現されることは明かであろう。本発明の技術
思想から逸脱することなく、上記の構成および上記の方
法の実行において種々の変更が可能であるので、上述の
説明に包含されるすべての事項は例示と解釈されるべき
であり制限を企図するものではない。

以下の請求の範囲は上述の本発明の包括的なそして特
定の種々の特徴の全てそして語句の内容として本発明の
技術思想に包含されるといえるすべての記述を含むこと
とを企図するものであることをも理解されたい。

発明の開示によって、特許により保護されまた新規な
ものとしてクレームされるものは以下の通りである。

───────────────────────────────────────────────────── フロントページの続き (56)参考文献特開昭58−12062（ＪＰ，Ａ) 特開昭62−68314（ＪＰ，Ａ) 特開昭57−150058（ＪＰ，Ａ) 米国特許4358823（ＵＳ，Ａ) 米国特許4251873（ＵＳ，Ａ)

Claims

(57)【特許請求の範囲】

【請求項１】クロック要素（16）を有し、同一論理動作
で同時にそしてクロック要素（16）に対して選択される
同期で通常動作するように構成される第１および第２の
ディジタルプロセッサ（12、14）を有するディジタル論
理装置（10）において、 A.第１および第２のディジタルプロセッサ（12、14）の
同一論理動作を検出するための手段（82、86、90、106;
94、96、98、112）と、 B.当該第１および第２プロセッサの同一論理動作中の前
記の選択される同期の不在を検出するための手段（82、
86、90、106;94、96、98、112）とを具備し、前記手段が、 i. 前記選択される相対的な同期と同時の第１および第
２プロセッサ（12、14）の同一論理動作に応答し第１の
出力信号を発生する、そして第１および第２プロセッサ
（12、14）の同一でない論理動作に応答して等しく前記
第１の出力信号を発生するための手段（82、86、90、10
6;94、96、98、112）と、 ii. 前記の選択される相対的な同期の不在と同時の第
１および第２プロセッサ（12、14）の同一論理動作に応
答し異なる第２の出力信号を発生するための手段（82、
86、90、106;94、96、98、112）とを備えるディジタル
論理装置。
【請求項２】A.前記クロック要素（16）によるタイミン
グ制御で、前記第１および第２プロセッサ（12、14）の
うちの少くとも一つのプロセッサの前記論理動作に応答
して動作する別の少くとも一つのディジタル論理要素
（20）と、 B.前記第１および第２プロセッサ（12、14）のうちの一
つのプロセッサのみを前記別の論理要素（20）と作動状
態に維持するため、前記同期の不在の前記検出に応答す
る不能化手段（22）とを備えることを特徴とする請求項
１のディジタル論理装置。
【請求項３】少くとも第１および第２のプロセッサユニ
ット（12、14）とメモリユニット（20）と入出力動作の
ための周辺制御ユニット（20）とクロックユニット（1
6）とを含む複数の機能ユニットを有し、前記第１およ
び第２プロセッサユニット（12、14）が、他方のユニッ
トと一緒に動作するようロックステップ同期状態で通常
同等に動作するよう構成されそして各々が他方が障害状
態となる場合に中断なしに実質的に動作するよう構成さ
れており、障害論理動作の不在において生ずる前記第１および第２
のプロセッサユニット（12、14）間の同期喪失状態を指
示する第１の値を有する障害指示信号を発生するそして
前記第１および第２プロセッサユニット（12、14）の各
々に接続される同期モニター手段（22）であって、前記
第１の値により指示される前記状態が前記第１および第
２プロセッサユニット（12、14）の通常の正しい動作条
件と異なるそして該プロセッサユニット（12、14）の少
くとも一つが正しくない論理で動作している条件と異な
る前記同期モニター手段（22）を有し、エラーを発生さ
せる障害の場合に実質的に動作が中断されないことを特
徴とするディジタル論理装置。
【請求項４】同一の論理動作中の第１および第２ディジ
タルプロセッサ（12、14）間のロックステップ同期状態
の不在を検出する手段（22）を別途具備することを特徴
とする請求項１のディジタル論理装置。
【請求項５】同期の不在を検出するための手段が、前記
同期の不在の前記検出を行うために、前記クロック要素
の第１のタイミングサイクル中の前記第１および第２の
プロセッサ（12、14）の前記動作を、前記クロック要素
の先行するタイミングサイクル中の前記第１および第２
のプロセッサ（12、14）の動作の比較とともに、比較す
る手段（106）を含む請求項１のディジタル論理装置。
【請求項６】前記クロック要素の第１のタイミング期間
中の前記第１および第２のプロセッサ（12、14）の各々
の動作を、前記クロック要素の先行するタイミング期間
の前記第１および第２のプロセッサ（12、14）の前記の
同一論理動作および前記同期の存在に応答する信号と比
較する手段（106）を別途具備することを特徴とする請
求項１のディジタル論理装置。
【請求項７】前記比較手段（106）は、前記の先行する
期間の無効比較および前記第１の期間の動作の有効比較
に応答し、同一論理動作中の前記同期の不在の前記検出
を明示する信号を発生することを特徴とする請求項６の
ディジタル論理装置。
【請求項８】クロック要素（16）を有し、同一の論理動
作で同時にそしてクロック要素（16）に対して選択され
る同期で通常動作するように構成される第１および第２
のディジタルプロセッサ（12、14）を有するディジタル
論理装置（10）の動作方法において、 A.第１および第２のディジタルプロセッサ（12、14）の
同一論理動作を検出することと、 B. i. 前記選択される相対的な同期と同時の第１および第
２プロセッサ（12、14）の同一論理動作に応答し第１の
出力信号を発生しそして第１および第２プロセッサ（1
2、14）の同一でない論理動作に応答して等しく前記第
１の出力信号を発生する、そして ii. 前記の選択される同期の不在と同時の第１および
第２プロセッサ（12、14）の同一論理動作に応答して異
なる第２の出力信号を発生することを含む、第１および
第２プロセッサの同一論理動作中の前記の選択される同
期の不在を検出することとを含むディジタル論理装置の
動作方法。
【請求項９】A.前記クロック要素（16）によるタイミン
グ制御で、前記第１および第２のプロセッサ（12、14）
のうちの少くとも一つのプロセッサの前記論理動作に応
答して別の少くとも一つのディジタル論理要素（20）を
動作させる段階と、 B.前記同期の不在の前記検出に応答して、前記第１およ
び第２のプロセッサ（12、14）の一つのみを前記別の論
理要素（20）と作動状態に維持する段階を別途具備する
ことを特徴とする請求項８のディジタル論理装置の動作
方法。