JP2608904B2 - 多重冗長誤検出システムおよびその使用方法 - Google Patents

Description

【発明の詳細な説明】 発明の技術的背景 この発明は、多重冗長誤検出システムに関するもので
あり、特に票決論理を使用する多重冗長プロセッサに関
するものである。三重モジュラ冗長（TMR）計算システ
ムは数念前から知られている。例えば米国特許第4,375,
683号明細書（Wensley,“Fault Tolerant Computationa
l System and Voter Circuit）にはTMR技術によるその
ようなシステムが記載されている。一般にTMRシステム
は計算機能が同期して動作する３個の同一モジュールに
よつて行われ、計算の結果は票決回路で比較される。も
しも一つのモジュールに何等かの理由で故障があると、
その結果は他の二つのモジュールからの正しい結果によ
り票決で排除される。

TMR原理はまた文献（“Proc.of the IEEE、第64巻、
第６号、1976年６月のWakerleyの論文）に記載されてい
る。別の背景技術として有用な文献としてはIEEE Tran
s.on Computers、第Ｃ−27巻、第６号、1978年６月のDa
viesおよびWakerleyの論文がある。

次の特許はこの発明の技術分野における技術の状態を
示している。

米国特許第3,356,837号明細書（Raymond）、 米国特許第3,501,743号明細書（Dryden）、 米国特許第3,538,498号明細書（Games他）、 米国特許第3,665,173号明細書（Bouricius他）、 米国特許第3,680,069号明細書（Neumann他）、 米国特許第3,783,250号明細書（Fletcher他）、 米国特許第3,805,235号明細書（Foster他）、 米国特許第3,848,116号明細書（Moder他）、 米国特許第4,270,715号明細書（Norton他）、 米国特許第4,356,546号明細書（Whiteside）、 米国特許第4,402,045号明細書（Krol）、 米国特許第4,497,059号明細書（Smith）、 次の特許は全体のシステムから電源を切断しない計算
モジュールの除去、交換に関するこの発明に関連した文
献である。

米国特許第3,993,935号明細書（Phillips他）、 米国特許第4,079,440号明細書（Ohnuma他）、 米国特許第4,454,552号明細書（Barnes他）、 米国特許第4,375,683号明細書（Wensley）に記載され
ているシステムのどのような従来の技術の多くの故障容
認システムの共通の欠点は、システム内の故障の検出が
票決回路からの正しい出るであることに依存することで
ある。もしも票決回路自身に故障があれば、故障の検出
論理もまた誤りとなる。別のシステムはこの問題に対処
するために各種の形態の多重票決回路を使用している。
しかしながら、従来のシステムはいずれも故障検出論理
装置それ自身内の故障検出の分野で完全に満足できるも
のはない。

したがつて、多重計算モジュール中の故障の検出だけ
ではなく、各モジュールと関連する故障決定論理装置内
の故障の検出をも行なうことのできる多重冗長多数票決
システムの必要性は依然として存在している。この発明
はこれを目的とするものである。

発明の概要 この発明は、故障の検出が多数決原理で行われる多重
故障検出モジュールを有する多重冗長コンピュータシス
テムに関するものである。簡単に言えば、一般的に、こ
の発明は、それぞれプロセッサとメモリと各計算装置間
のデータバスとを有している複数の計算装置と、メモリ
プロセッサとの間のデータパス上のデータを途中で受
け、それを対応するデータパスに送信する手段と、各計
算装置と共同しデータバスの全てから入力を受けてその
計算装置に単一の票決された出力を供給するように接続
された票決回路とを具備している。

この発明のシステムはまた、データバスの全てから入
力を受け、システムの故障の状態を示す状態ワードを発
生するように接続された各計算装置と共同する故障決定
論理装置と、各計算装置が票決された故障状態ワードを
供給されるように対応するデータバスと故障決定論理装
置を接続する手段とを備えている。

さらに詳しく説明すれば、この発明の例示された実施
例では、システムは三重冗長である。故障決定論理装置
は３個のデータバスから信号を受け、３個のラインにデ
ータバス間の承認を表わすバス比較出力信号を発生させ
るように接続されたバス比較論理装置を備えている。特
にバス比較論理装置からの３個の出力ラインはデータバ
ス信号の３個の可能な対のそれぞれの間の同一または不
同一を指示する。

故障決定論理装置はまたバス比較論理装置からのバス
比較出力信号を翻訳し、それから故障状態ワードを発生
させる手段を備えている。故障決定論理装置はまた計算
装置によりアドレス可能であり、故障検出論理装置に結
合されてバス比較出力信号の選択的設定を可能にし、故
障決定論理装置内の故障の検出を容易にするテストレジ
スタを有している。

この発明の図示した実施例はそれぞれ計算装置とバス
比較論理装置と故障決定論理装置とを有する３個のモジ
ュールを備えている。各モジュールはさらに全体のシス
テムから電源を切断することなくモジュールの除去また
は交換を可能にする電気・機械的手段を備えている。電
気・機械的手段はモジュールの挿入中に他の接続前に電
源の接続を確保し、モジュールの除去中他のラインの切
断後電源の遮断を確実にするために長さの長い電源接続
ピンを備え、さらにモジュールの実際の除去に先立つて
電気遮断信号を発生させる電気・機械的インターロック
を備え、それによつて遮断信号が順序正しくモジュール
の動作を終了させるために使用される。

この発明の方法によれば、三重冗長コンピュータシス
テムの故障決定論理装置中のエラーは３個の同期された
計算サブシステムの一つ中のエラー状態をシミュレート
し、３個のサブシステムのそれぞれと共同する故障決定
論理装置中の第１の故障状態条件のセットを発生させ、
３個の計算サブシステムのそれぞれ中へ多数決票決によ
り３個の関連するデータバス上へ第１の故障状態条件を
読み出し、第１の故障状態条件の読み出しの結果として
故障状態条件の第２のセットを発生させることによつて
検出され、第２の故障状態条件は不適切に動作する故障
決定論理装置の識別子を発生させる。

別の変形方法では、故障状態をシミュレートするステ
ップは、データバスの選択されたものに故意に不正確な
データワードを書き込み、それにより票決されたデータ
バスの読みは選択されたバスと関連する計算サブシステ
ム中のエラーの指示を発生し、第１の故障状態条件の読
み出しのステップは不適切に動作する故障決定論理装置
を示す。

別の変形方法では、故障状態をシミュレートするステ
ップは、故障決定論理装置中にバス比較信号の選択され
たセットを注入し、それにより第１の故障状態条件の読
み出しのステップはバス比較信号から予期された結果を
生成し、第１の故障状態条件の読み出しのステップは故
障決定論理装置自身中のエラーを示す第２の誤り状態条
件を発生する。

この発明の別の観点によれば、電力は複数の冗長電源
バスおよび同数の複数の電源共用回路により複数の電源
からシステムに供給される。システム中の多数の電気負
荷のそれぞれは全ての電源から電力を受けるが、システ
ムは負荷中または電源中の短絡その他の故障による障害
を受けない。各電力共用回路は電源からの各ラインに電
流制限回路を備え、負荷の短絡により生じた可能な過電
流状態から各電源を保護する。ダイオードもまた電源か
らの各ラインに設けられ、他の電源中の短絡に対して電
源が電流を供給することを阻止する。その出力は負荷の
１端子と結合され、別の電源から出力された電流と結合
される。

以上の説明から、この発明が冗長多重多数決票決コン
ピュータシステムの分野における大きな進歩を与えるも
のであることが認識されよう。特に、この発明は多重計
算装置の動作のチェックのみならず、計算装置のそれぞ
れと関連する故障検出論理装置の動作もまたチェックで
きる信頼性のある技術を提供する。この発明のその他の
態様および利点は添附図面と関連した以下の詳細な説明
から明瞭になるであろう。

図面の簡単な説明 第１図は、この発明による三重冗長コンピュータシス
テムのブロック図である。

第2a図は、この発明で使用される計算装置の簡単化し
たブロック図である。

第2b図は、第2a図に類似した簡単化したブロック図で
あり、冗長データバスを介してこの発明による三重冗長
コンピュータシステムと接続されるメモリからデータバ
スがどのように遮断されるかを示す。

第３図は、第１図のシステムのバス比較論理装置およ
び故障決定論理装置をより詳細に示すブロック図であ
る。

第４図は、第３図の比較論理装置の一つを示す部分的
ブロック図である。

第５図は、第３図の故障状態論理装置をに示す概略的
ブロック図である。

第６図は、第１図に示した３個の計算サブシステムの
一つのハードウエアブロック図である。

第７図は、この発明の各計算モジュールで使用された
プロセッサの種々のハードウエア状態を示すブロック図
である。

第８図は、モジュールの除去または交換中電気遮断を
発生するために使用される機械的インターロックを示す
簡単化した正面図である。

第９図は、“ホット”な除去または交換ができるよう
にモジュールがどのように構成されているかを示す図で
ある。

第10図は、この発明の三重冗長コンピュータシステム
と関連して使用される電源共用回路の簡単化したブロッ
ク図である。

好ましい実施例の説明 説明のために図示するように、この発明は、ある種の
コンピュータ故障から生じる計算エラーの可能性を減少
させるための多重計算回路および票決回路を使用する型
式の故障に影響されないコンピュータシステムに関する
ものである。典型的な実時間コンピュータ技術において
は、複雑な工業プロセス中の処理変数の監視および制御
において、計算装置はデジタルおよびアナログ入力信号
を受信し、デジタルおよびアナログ出力信号を発生す
る。第2a図に示すように、典型的なコンピュータシステ
ムはプロセッサ10と共同するメモリ12とを備えている。
入力および出力信号は14および16で示すようにプロセッ
サ10と通信し、コンピュータが行なうあらゆる機能はコ
ンピュータメモリ12の操作の直接の結果であると考える
ことができる。

プロセッサ10はメモリアドレスを運ぶアドレスライン
18およびメモリ12に蓄積されるデータワードのためのデ
ータ“書込み”通路20およびメモリ12に蓄積されたデー
タワードを検索するためのデータ“読出し”通路22とし
て考えることができるデータ路上でメモリ12と通信す
る。この発明のコンピュータシステムでは、三重化され
た計算装置のメモリから読み出されるデータは故障検出
のために監視され、後で多数決票決されたデータの形態
でプロセッサ10に戻る。三重化された計算装置の典型的
なものは第2b図に概念的な形態で示されている。メモリ
12からのデータワードはライン24で３個のデータバス26
の一つにへ伝送される。他の２個のデータバスは他の二
つの計算装置からデータを受け、３個のデータバスはも
しも３個の計算装置が正確に同期して動作するならば常
に同一のデータを伝送しなければならない。３個のデー
タバス上のデータが同一でないときだけが後述するテス
トプロセスである。データバス26は票決回路30にライン
28で別々の入力に供給され、この票決回路30はデータバ
ス26からのデータ信号の多数決票決したものを選択して
ライン32に単一の出力を出力する。プロセッサ10はライ
ン32上の票決されたデータを受信して、実際には多重計
算システムのメモリから“票決されたデータ”を受けて
いるのであるが、直接そのメモリから受けたように動作
する。

以上のデータ流の説明は、計算装置のハードウエアが
さらに詳細に説明されるときに理解できるように多少簡
単化してある。メモリ12との間のデータ路は、票決回路
30によつて処理されるために途中で取出される読取り路
22だけであるが、単一の両方向性バスとして構成されて
いる。

三重冗長コンピュータシステムは第１図に示され、３
個の計算装置40a,40bおよび40cを備えている。この説明
を通じて、添付した符号a,b,cは３個の計算サブシステ
ムの一つを識別するために使用されている。添付符号が
使用されないのはサブシステムのいずれであつてもよい
ときである。

コンピュータシステムはまた３個の票決回路30a,30b,
30c、バス比較論理装置を備えた３個の回路42a,42b,42
c、故障比較論理装置を備えた３個の回路44a,44b,44cお
よび３個のデータバス26a,26b,26cを具備している。各
計算装置40からのデータはライン24で対応するデータバ
ス26に送られる。３個のデータバス26の全てからのデー
タ信号はライン28によつて票決回路30aへ、また同様の
ライン28bおよび28cによつて票決回路30bおよび30cへ入
力される。各票決回路30は対応する計算装置40へ戻る出
力ライン32を有する。３個のサブシステムのそれぞれに
おいて、データバス26からのライン28はまたバス比較論
理装置42に入力として接続されている。この論理装置42
はライン46,48,50上にデータバス信号の種々の対がどの
ように比較されるかを示す３個の２進出力信号を発生す
る。ライン46はＡ＝Ｂか否か、すなわちデータバス26a
および26b上の信号が等しいか否かを示す。同様にライ
ン48はＢ＝Ｃか否か、ライン50はＡ＝Ｃか否かを示す。
図に示されているように、これらのバス比較出力信号は
直接故障決定論理装置44に入力される。

以下さらに詳細に説明するように、故障決定論理装置
44はシステム全体の状態を示す故障状態ワードを発生す
る。この故障状態ワードは故障決定論理装置44からライ
ン52により読み出されてライン24上を対応するデータバ
ス26へ伝送される。システム中の他のデータによつて
も、故障状態データ信号はデータバス26からライン28に
より上を票決回路30に伝送され、票決回路30は故障状態
ベクトルの票決されたまたは多数決の信号を発生する。
この発明のこの態様によれば、故障状態情報は計算装置
40により各故障決定論理装置44から同時に読み出される
が、計算装置は故障状態の票決された形のものを得る。

バス比較論理装置42は表１に設定された可能な組合せ
に従ってライン46,48,50上に出力を生成する。

条件＃１は出力A,B,Cの全てが等しい正常のものであ
る。他の７つの条件は何等かの故障を表わしている。例
えばモジュールＡだけが故障していれば、Ｂ＝Ｃライン
だけが真（１）であり、Ａ＝ＣおよびＡ＝Ｂラインは偽
（０）である。これは条件＃６として示されている。同
様に条件＃７と条件＃４はそれぞれモジュールＢおよび
Ｃの故障を表わす。条件＃2,＃3,＃５は比較器の故障を
表わしている。何故ならば、もしも比較器論理装置が適
切に動作しているならば、それらの状態は不可能である
からである。例えば条件＃２に対して、Ａ＝ＢおよびＢ
＝ＣであるのにＡ≠Ｃである状態はあり得ない。

バス比較論理装置42は第３図に示され、それには３個
の論理比較器60.1,60.2,60.3が設けられ、それらにデー
タバス26からの入力ライン28が接続されている。特にバ
ス26aおよび26bは論理比較器60.1に接続され、バス26b
および26cは論理比較器60.2に接続され、バス26aおよび
26cは論理比較器60.3に接続されている。論理比較器60.
1,60.2,60.3はそれぞれＡ＝B,B＝C,A＝Ｃか否かを示す
出力を故障決定論理装置44へのライン46,48,50に生じ
る。論理比較器60の一つは第４図に詳細に示されてい
る。

データバス26はそれぞれ多ビツトバスであり、一方論
理比較器60からのライン46,48,50上の出力は単一の２進
信号てある。それ故、各論理比較器60は２組のＮ個の２
進入力を有し、Ｎはデータバス26上のワードのビツト数
である。例えば第４図に示すように、比較器入力はライ
ン62.1ないし62.Nおよび64.1ないし64.Nを有する。比較
器60はバスＡのビツト１（62.1）をバスＢのビツト１
（64.1）と比較しＮ（62.Nおよび64.N）までの全てのビ
ツトについて比較する。１ビツトの比較はバスＡのビツ
トを反転させてアンドゲート66.1を使用してバスＢのビ
ツトとアンド動作させ、またバスＢのビツトを反転させ
てアンドゲート68.1を使用してバスＡのビツトとアンド
動作させることによつて行われる。バスＡとバスＢのビ
ツトが等しければ、これらのアントセゲートの出力は
“0"であり、オアゲート70の出力も０であり、反転され
た出力Ａ＝Ｂは真（論理１）である。もしもバスＡのビ
ツトがバスＢからのビツトと異なるならば、アンドゲー
ト66.1または68.1のいずれかの出力は“1"となりオアゲ
ート70の出力も“1"となり反転された出力Ａ＝Ｂは論理
“0"（偽）である。

もしも、２個のバス26aおよび26bからのデータワード
が全てのビツト位置において同一であるならば、全ての
アンドゲート68は論理“0"出力を生成する。それ故オア
ゲート70は論理“0"出力を有し、ライン46上の出力は論
理“1"である。しかしながら、入力ワードが少なくとも
１ビツト位置で相違しているならば、少なくとも一つの
アンドゲート68は論理“1"出力を発生し、これはオアゲ
ート70を通過してＡ＝Ｂ出力ライン46上に論理“0"信号
を生じる。もちろん他の論理比較器60.2および60.3も同
様に構成されている。

故障決定論理装置44もまた第３図により詳細に示され
ている。それは３個の排他的オア（XOR）ゲート72.1、7
2.2,72.3と、テストレジスタ74と、故障状態レジスタ76
と、故障状態論理装置78とを備えている。バス比較論理
装置42からの出力ライン46,48,50はそれぞれ３個の排他
的オアゲート72.1,72.2,72.3に入力として接続されてい
る。排他的オアゲートの他方の入力はテストレジスタ74
からライン80.1,80.2,80.3上を供給され、このテストレ
ジスタ74はライン82上をプロセッサ10から書込まれたデ
ータを有する。もしもテストレジスタ74がゼロであれ
ば、XORゲート72はライン46,48,50上の入力信号に何の
影響も与えず、XORゲート72の出力は故障状態論理装置7
8に入力として供給される。故障状態論理装置は故障状
態レジスタ76にライン84により出力を与え、それはライ
ン86で示したようにプロセッサ10から読み出されてもよ
い。テストレジスタの任意の位置の論理“1"はXORゲー
ト72の一つにより故障決定論理装置44に対する対応する
入力信号を論理的に反転させる効果を有する。これらの
潜在的に変形した入力はXORゲート721,72.2,72.3からの
ライン90,92,94上にＡ′＝Ｂ′,B′＝Ｃ′およびＡ′＝
Ｃ′として示されている。

故障状態論理装置78は第５図に詳細に示されており、
それは表１に示された真値表の一つの可能構成である。
ライン90,92,94上の入力はインバータ96で反転されてラ
イン90′,92′,94′上に３個の反転された入力の並列の
セットを出力する。論理装置78からの出力は８個のアン
ドゲート100〜107およびオアゲート108に与えられる。
アンドゲート100ライン90,92,94からの入力を受けて、
故障がなく、システムが正常に動作しているとき“1"を
出力する。アンドゲート101はライン92,90′,94′から
の入力を受けて、Ａモジュールが故障のとき“1"を出力
する。アンドゲート102はライン94,90′,92′からの入
力を受けて、Ｂモジュールが故障のとき“1"を出力す
る。アンドゲート103はライン90,92′,94′からの入力
を受けて、Ｃモジュールが故障のとき“1"を出力する。
アンドゲート104はライン92,94,90′からの入力を受け
て、比較器故障を示す不可能な条件に対してのみ“1"を
出力する。同様にアンドゲート105はライン90,94,92′
からの入力を受けて、比較器故障に対してのみ“1"を出
力し、アンドゲート106はライン90,92,94′からの入力
を受けて、他の比較器の故障が生じたときのみ“1"を出
力する。アンドゲート104,105,106からの出力はオアゲ
ート108でオア処理されて比較器の故障を示す単一の出
力信号を出力する。

最後のアンドゲート107はライン90′,92′,94′から
の入力を受けて、いずれか２つの計算装置の間に一致が
ない多重故障であるときのみ“1"を出力する。

故障状態論理装置78からの出力の６ビツトは任意の有
効な状態アイテムと共に故障状態レジスタ76に蓄積さ
れ、システムの動作中にプロセッサにより読み出すこと
ができる。この発明の重要な特徴は、故障状態レジスタ
が計算装置のプロセッサ中に読み込まれる方法である。
これは第６図のハードウエアブロック図中のデータフロ
ーを検討することによつて最もよく説明される。３個の
例示されたサブシステムのそれぞれの中のハードウエア
はプロセッサ10、メモリ12および追加的なプログラム可
能な読取り専用メモリ（PROM）110、票決回路30、バス
比較論理装置42、故障決定論理装置44、マルチプレクサ
112、タイミングおよび同期論理装置114、タイミングお
よび同期信号票決回路116、および遮断処理論理装置118
を備えている。またメモリ12、マルチプレクサ112、お
よび故障決定論理装置44に接続された第１の内部バス12
0、および票決回路30、プロセッサ10、およびPR“Ｍお
よびハードウエアレジスタ110に接続された第２の内部
バス122を備えている。２個の内部バス120および122は
バッファ124を介して互いに接続されている。この発明
のシステムの動作は第６図を参照した種々の交互のデー
タフロー経路の議論から認識されるであろう。

メモリへのデータ書込み これは比較的簡単なフロー経路であり、プロセッサ10
から第２の内部バス122へ延び、バッファ124を通り第１
の内部バス120へ至り、そこからメモリ12へ達する。

メモリからのデータの読み出し これは正常の票決されたメモリ読み出し動作である。
データはメモリ12から第１の内部バス120へ送られ、そ
こからマルチプレクサ112を通つてデータバス26の一つ
へ送られる。全てのデータバス26はそれから票決回路30
を通つて読み戻され、票決回路の出力は第２の内部バス
122を通つてプロセツサ10に送られる。状態によつて
は、プロセッサ10はメモリ12から票決されない読み出し
を行なう。これらの場合のデータフロー経路はメモリ12
から第１の内部バス120へ送られ、バッファ124を通って
第２の内部バス122へ、さらにそこからプロセッサ10へ
送られる。

テストレジスタへのデータの書込み プロセッサ10は故障決定論理装置44内のテストレジス
タにデータを書込むことができる。その経路はプロセッ
サ10から第２の内部バス122へ、そこからバッファ124を
通り第１の内部バス120へ、そこから故障決定論理装置4
4へ至る。

誤り状態レジスタからのデータの読取り これは、票決された故障状態情報がプロセッサ10によ
り読み取られる重要な経路である。経路は、故障決定論
理装置44から第１の内部バス120へ、そこからマルチプ
レクサ112を通り対応するデータバス26に至る。他の二
つのサブシステムは他の二つのデータバス26上の故障状
態のそれらの信号を同時に与える。票決回路30はデータ
バス26からの３個全ての故障状態をワードを読み取り、
その票決された出力を第２の内部バス122を介してプロ
セッサ10に送る。場合によつては、故障状態レジスタか
らの票決されない読取りが必要である。その場合のフロ
ー経路は故障決定論理装置44から第１の内部バス120
へ、そこからバッファ124を通り第２の内部バス122へ、
そして直接プロセッサ10へ至る。

通信モジュールとの間のデータの流れ 今まで説明してきた同じ票決原理がデータバスに結合
された通信モジュールとの間のデータの授受に適用でき
る。通信モジュール130は外部装置と通信するための別
の手段を備えている。出力信号は通信モジュールを通つ
て送信され、入力信号は通信モジュールを通つて受信さ
れる。しかしながら、プロセッサ10との直接の通信の代
りに、通路がデータバス26を通つて設定される。データ
入力に対して、通信モジュール130は外部で発生した入
力信号を３個のデータバス26に分配する。入力信号はデ
ータバス26から票決回路30に結合され、計算装置に入力
される。出力に対しては、各計算装置は出力データを第
２の内部バス122、バッファ124、第１の内部バス120、
マルチプレクサ112を経てデータバス26に送信する。マ
ルチプレクサ112は通信モジュール130にデータならびに
アドレス情報を伝送するために設けられる。通信モジュ
ール130はデータバス26から出力データを受け、それ自
身の票決回路（図示せず）を備え、システムの外部の所
望の目的装置に票決されたデータを与える。

各サブシステムのプロセッサ10は票決回路30、バス比
較論理装置42、および故障決定論理装置44について周期
的試験を行なうようにプログラムされている。バス比較
試験はデータバス26の一つに故意に不正確なデータワー
ドを与え、故障状態レジスタを読むことによつて故障の
指示をチェックすることによつて行われる。例えばサブ
システムＡがそのデータバス26a上に不正確なデータワ
ードを有するとする。これはＡモジュールが故障である
ことを示す故障状態ベクトルを生成する。しかしなが
ら、もしもサブシステムの一つのバス比較論理装置42が
故障であるならば、これは故障のある比較論理装置を有
するサブシステム中に形成される不正確なエラー診断を
生じる。２個のサブシステムはモジュールＡ中の故障を
正確に示す故障状態レジスタを有し、一方第３のものは
他の状態を示す。これらのレジスタがデータバス26を通
つて読み戻されるとき、少なくとも２個のサブシステム
中のバス比較論理装置42は故障モジュールの識別子を示
す出力を発生する。例として、モジュールＣ中のバス比
較論理装置42が入力に関係なくそのＡ＝Ｂ出力に常に論
理“1"発生させる故障を有するとする。もしも故障がモ
ジュールＡをシミュレートするならば、データバス26a
上に不正確なデータを置くことによつて、３個のサブシ
ステム中のバス比較論理装置42から次の出力を生じる。

モジュールＡおよびＢはＢ＝Ｃ出力ラインが論理“1"
であるときのみそれらのバス比較論理装置から適切な出
力を生じる。これはモジュールＡが故障であることを示
す故障状態ビツトに変換される。故障したモジュールＣ
は“比較器エラー”を示すが、どの比較器がエラーであ
るかの指示はなにも伝達しない故障状態ビツトに変換す
る不正確な結果を生じる。故障状態レジスタ76の票決さ
れた読取り動作が故障状態情報の検索に使用されると
き、各サブシステムからの故障状態ベクトルは各データ
バス26へ伝送され、それらのバスから票決回路30および
バス比較論理装置42へ読込まれる。バス26aおよび26bは
モジュールＡが故障であることの適切な指示を伝送し、
バス26cは比較器エラーの指示を伝送するから、この場
合エラーはバス26cにある。この時バス比較論理装置42
の力は次のとおりである。

この例におけるそのエラー状態はＡ＝Ｂライン上の
“1"出力を生成するものについて生じるから、故障して
もモジュールＣは正しい結果を生じる。いずれにせよ、
モジュールの少なくとも大多数のものはモジュールＣが
故障であることを示す出力を生じる。この状態ワードは
それから故障決定論理装置から読み出されて、故障のバ
ス比較論理装置の識別子が得られる。

以上をまとめると、比較論理装置中の故障はデータバ
スの一つに故意に不正確なデータワードを与え、その結
果の故障状態ワードを故障決定論理装置から読み取るこ
とによつて検出される。一つより多くのバス比較論理装
置42にエラーがあれば、故障状態の票決された読みはシ
ミュレートされたデータエラー状態と一致したエラーを
示す。故障状態レジスタの票決された読みを行なうプロ
セスはそれ自身故障状態レジスタ中に新しい状態を生成
する。もしもバス比較論理装置42に全く故障がないなら
ば、モジュールは全て状態レジスタからのモジュールＡ
エラー条件を読むから、故障状態レジスタの新しい状態
はエラーがないことを示す。しかしながら、バス比較論
理装置またはモジュールの一つの故障決定論理装置に故
障があるならば、状態レジスタ中の第１の状態を読み取
ることによつて生成された故障状態レジスタの新しい状
態は、故障バス比較論理装置または故障決定論理装置を
有するモジュール中のエラーを示す。本質的に試験は故
障決定論理装置自身の完全性をチェックする方法を与え
る。

プロセッサ10によつて周期的に行われる別のルーチン
試験は故障決定論理装置をチェックする効果を有する。
各プロセッサ10は３ビツトテストレジスタ中に１組のテ
ストベクトル書込む。各テストベクトルは表１に示され
た条件をシミュレートする。表１に示された適当な特性
は故障状態レジスタが読み出されるときに期待される。
通常の状態において、バス比較論理装置42からの出力ラ
イン46,48,50の全てが論理“1"であり、5oがないことを
示す。故障状態をシミュレートするために、テストレジ
スタは所望のパターンのビツト補数を負荷される。例え
ば、モジュールＡの故障は次のバス比較出力により示さ
れる。

Ａ＝Ｂ ０ Ｂ＝Ｃ １ Ａ＝Ｃ ０ XORゲートは論理“1"がテストレジスタ中にあるとき
バス比較出力信号の補数または反転を生じるように動作
するから、出力信号中の正常の１−１−１パターンはテ
ストレジスタ中の所望のパターンの補数を与えることに
よつて所望のパターンに変換されることができる。与え
られた例においては、０−１−０パターンはテストレジ
スタ中の補数のパターン１−０−１によつてシュミレー
トされることができる。表１の他の出力形態も同様にシ
ュミレートされる。前述のように、データエラーがシュ
ミレートされる試験はまた故障決定論理装置中のエラー
を識別する。例えば、テストレジスタがモジュールＡの
故障をシミュレートするパターン１−０−１で負荷され
るとする。これは、故障決定論理装置44が正確に動作す
るものとすれば、３個のモジュール中のモジュールＡの
故障を示す故障状態ベクトルを発生する。しかしなが
ら、モジュールＢの故障決定論理装置中に正しいもので
はない故障状態を生じる故障があるとする。その故障状
態ワードが故障決定論理装置から読み取られると、テス
トレジスタは一時的にクリアされ、故障状態レジスタか
らの期待された主入力読みはモジュールＡ中の（シミュ
レートされた）故障があることを示す。この票決された
読取りプロセス自身がこの場合にはモジュールＢ中のエ
ラーを示す新しい故障状態ワードを発生し、どのモジュ
ールが故障決定論理装置中のエラーを有するかを識別す
る。

今まで深く議論していないこの発明の１態様は、３個
のモジュールの同期に関するものである。明らかに、３
個のモジュールが同期して動作することは臨界的に重要
である。同期には３つの別々の概念が含まれる。すなわ
ち、共通のクロック信号を使用するタイムベースの設
定、行われなければならない制御機能においてプロセッ
サにより使用される１ミリ秒のような比較的長い期間を
有する共通の実時間クロックの設定、およびスタート・
アップまたは初期化中のモジュールの同期である。

タイムベースクロック発生器はそれ自身の10メガヘル
ツクロック出力および２個の他のモジュールのそれらを
受けるように接続された各モジュール中の位相票決回路
（図示せず）を備えている。位相票決出力は水晶発振器
を制御し、また増幅器と共同してモジュール用のクロッ
ク信号を発生させる。この装置は各モジュールで発生さ
れた同期した10メガヘルツのクロック信号を提供する。
実時間クロック信号は10メガヘルツのクロック信号から
もつと遅い実時間クロック信号を生成するため通常のク
ロック分割チェインにより発生される。再び票決原理が
使用されて、３個全てのモジュールからの実時間クロッ
クパルスが同期されることを確実にする。

スタート・アップは同期の特別の場合を表わす。モジ
ュールは最初に別々に電力を供給される。第７図は、電
力低下状態131、待機状態132、故障状態134、リセット
状態136および走行状態138を含むプロセッサ10の各種の
ハードウエア状態を示している。電力低下状態は電源電
圧のいずれかが有効でなくなつた場合になる。電力の回
復においてプロセッサはリセット状態136への転移を行
なう。リセット状態136では、プロセッサは他のモジュ
ールと同期せずにソフトウエアを実行するが、データの
票決を行なうことは許容しない。プロセッサは“リセッ
ト要求”を出すことによつて走行状態138に入ることの
許可を要求する。ただ一つのモジュールからのリセット
要求は何の効果も生じないが、もしも他のプロセッサも
またリセット要求を出力すると、これは“票決リセッ
ト”を指令し、それは全てのプロセッサに共通に出力さ
れる。票決リセットの効果は全てのプロセッサを遮断
し、それらの全てから遮断承諾が受信されるまでそれら
を保持することである。その時、プロセッサは開放され
て同時に走行状態に入る。走行状態においてはプロセッ
サは完全に同期しデータの票決を行なう。

故障状態はハードの故障または過渡的故障の発生に入
り、プロセッサの同期を失わせ、無効のデータを実行さ
せる。故障のモジュールは故障のクリアを試みて自動的
なリセット状態に入るように試みるが、もしも故障が持
続するならば、再び故障状態に入る。

待機状態は、電源の故障、モジュールの除去または票
決多数の欠如のような何等かの顕著な事件の早期監視を
行なう待機遮断の発生に入る。待機状態は予期された事
件の一つの前に臨界的なデータを保護するために使用さ
れる一時的なものである。待機処理の終了においてリセ
ット状態への転移がある。

この発明の重要な態様によれば、全体のシステムの電
力を低下させることなくモジュールの交換を可能にする
能力を有する。換言すれば、この発明のシステムはモジ
ュールの“ホット”な除去および交換を許容し、その場
合各モジュールは計算装置、票決回路30、バス比較論理
装置42および故障決定論理装置44を含んでいる。もしも
モジュールのいずれかが故障し、その故障がすでに説明
したようにして検出されたならば、理想的には故障のモ
ジュールは除去されてシステムが出力するデータの完全
性を失うことなく、システムが制御される外部プロセス
の遮断をすることなく置換えられなければならない。残
念ながら、電源がシステムに供給されている間にモジュ
ールの除去および交換を行なうことは多くの顕著な問題
を与える。特に、システムはモジュールの除去および交
換中に発生する疑似信号により生じるエラーを受け易
い。

二つのメカニズムが除去および交換中の不適切な動作
および疑似信号からシステムを保護するために使用され
る。第８図に示すように、140に示される各モジュール
はねじ固定装置142よりなる電気機械的インターロック
によりその動作位置に固定される。ねじ固定装置142は
ねじ部142bで終わる長い軸142aと、中間の直径の拡大し
た部分142cとを有し、この拡大した部分142cはカムとし
て作用する。ねじ固定装置142がその固定された位置に
あるとき、カム部分142cはマイクロスイッチ144をその
二つの動作状態の一方にする。ねじ固定装置142が除去
されるとき、カム部分142cによりマイクロスイッチ144
は他方の状態にされ、プロセッサに対して遮断信号を発
生する。遮断信号はモジュールが実際にシステムから除
去される前にマイクロプロセッサの動作を終了させるた
めに使用される。これにより、除去されるモジュールは
除去過程中の以下なる疑似動作を行なうことも阻止され
る。

挿入および除去中のモジュール内の回路の適切な動作
を維持するために、回路に供給される直流電源が維持さ
れながら、除去、交換仮定が行われなければならない。
第９図に示す第２のメカニズムこの目的で使用される。
モジュール140は入力／出力（I/O）コネクタ146を備
え、それは通常の電力入力ピン148および延長された長
さの第２の電力入力ピン150を有する。長いピン150はモ
ジュールが装置中に設置されるとき電源接続が最初に行
われ、モジュールが除去されるときに最後に遮断される
ことを保証する。長いピン150を介して供給される電力
は内部直列インダクタまたは直列抵抗152を通つて接続
され、それでなければ発生する可能性のある瞬間的な電
源サージを消去する。回路はインダクタまたは抵抗152
の電流制限効果によりゆつくりと充電され、短いピン14
8が接触するときインダクタまたは抵抗152は自動的にバ
イパスされる。

モジュール交換のプロセスは、すでに動作中の他のモ
ジュールと交換されたモジュールが完全に同期されるま
ではもちろん完了しない。新しいモジュールが挿入さ
れ、電力が供給された後、同期が前に説明したスタート
・アップ動作と類似した方法で行われる。しかしなが
ら、この過程は全く同じではない。それは３個のモジュ
ールが同時にスタートするのではないからである。この
場合に新しいモジュールは最初にメモリ中に蓄積された
プログラムまたはデータを有しない。新しいモジュール
が一度タイムベースおよび他の２個のモジュールと実時
間同期を設定されると、“リセット要求”を送り、２個
のモジュールがそれら自身の“リセット要求”を送るの
を待つ。走行状態138で動作しているモジュールは周期
的に“リセット要求”を送り新しいモジュールが走行状
態138に入るための窓またはタイムスロットを与える。
“票決されたリセット”を受けると、新しいモジュール
は走行状態138に入り、他の２個のモジュールと関連し
て動作し、それらの票決されたデータを使用して適当な
プログラムの実行を決定する。新しいモジュールは最初
はそのメモリに何も有していないから、正しいデータを
発生せず、他の２個のモジュールによつて票決される。
他のモジュールのメモリと一致するために新しいモジュ
ールのメモリを負荷することがまだ残つている。

このプロセスは全てのモジュールによる“背景”作業
として行われる。動作モジュールにより行われる他の処
理に付加して実行される背景作業はメモリ位置を読取
り、その内容を再びメモリ中に書込む。これらの読取り
および書込みを行なうソフトウエアは票決回路30を使用
して３個のモジュール全てにおいて一斉に実行される。
このようにして、動作モジュールの“良好な”メモリ中
の内容は新しいメモリ中にコピーされる。新しいモジュ
ールの全てのメモリが再び蓄積されたならば、新しいモ
ジュールは、すでに説明したようにエラーが故障検出論
理装置により検出されるまで他のモジュールと一致して
票決することができる。

第10図には、多数の電源の一つが故障したときにもそ
の負荷の電源の供給を継続することのできる、この発明
のシステムに有利に使用できる電源共用回路のブロック
図が示されている。この発明のこの態様によれば、電力
は、１組の冗長電源供給バス上を３個の別々の電源160
a,160b,160cからシステム中の種々の機能ユニット中の
電気負荷に供給される。一つがブロック162として示さ
れているシステム中の各電気負荷は電力共用回路164を
介して電力を供給されている。数個の負荷および対応す
る電力共用回路が１組の冗長電源供給バスに接続される
こともできる。

各電源160は共に電源供給バスを形成する正の電圧の
出力ライン166a,166b,166cおよび負の電圧の出力ライン
168a,168b,168cを有する。負の電圧の出力ライン168は
共通に接地点に接続され、負荷162の一方の端子もまた
接地されている。正の電圧の出力ライン166はそれぞれ
電力共用回路164の全てに接続され、電力共用回路164の
一つが図示されている。

電力共用回路164は３個の電流制限回路170および３個
のダイオード172を備えている。各電源ライン166は電流
制限回路170およびダイオード172を通つて直列に接続さ
れている。ダイオード172の負またはカソード端子は共
通に接続されて負荷162に接続されている。

電流は電源供給バス166から電流制限回路170およびダ
イオード172を通つて負荷162に流れる。電源160からの
電流は負荷162において加算的に結合される。もしもい
ずれかの電源に電流を供給できないような故障が生じる
と、残りの電源が負荷電流を一定に維持するのに必要な
追加の電流を供給する。さらに、もしもいずれかの電源
または電力バスがその正負の端子間で短絡を生じると、
これはシステムの動作に悪影響を及ぼさない。それは電
流が他の電源から供給され続けられ、ダイオード172が
適切に動作している電源から短絡している部分に電流が
流れるのを阻止するからである。それ故残る良好な電源
は何等付加的な負荷を経験しない。

最後に、もしも負荷が電源システムから過大な電流を
引き出すような故障を生じたならば、出力される全体の
電流は電流制限回路170によつて制限される。これは一
つの負荷回路の故障が全体の電源システムの電力を負荷
として使用し、他の負荷に対する電力が奪われることを
阻止する。

以上の説明から明らかなように、この発明は故障を許
容するコンピュータシステムの分野における大きな利点
を示すものである。特に、この発明は多重計算装置中の
故障を検出するのみならずまた故障決定論理装置中の故
障も検出する多重冗長コンピュータシステムを与えるも
のである。この発明のシステムはまた全体システムを遮
断しないで故障のモジュールを除去または交換する手段
を含んでいる。この発明の１実施例が説明のために詳細
に記載されているけれども、種々の変形がこの発明の技
術的範囲を逸脱することなく行われることが可能であ
る。したがつて、この発明は以下の請求の範囲によつて
のみ限定されるべきものである。

フロントページの続き (56)参考文献 特開 昭61−98450（ＪＰ，Ａ) 特開 昭61−55745（ＪＰ，Ａ) 特開 昭52−131438（ＪＰ，Ａ) 特開 昭56−82953（ＪＰ，Ａ) 実開 昭49−65103（ＪＰ，Ｕ) 米国特許4079440（ＵＳ，Ａ) 米国特許4454552（ＵＳ，Ａ)

Claims (20)

(57)【特許請求の範囲】
1. 【請求項１】それぞれプロセッサおよびメモリと、その
   プロセッサおよびメモリ間のデータ路とを有する複数の
   同期された計算装置と、 各計算装置の１つと関連する複数のデータバスと、 各計算装置に設けられ、メモリとその関連するプロセッ
   サとの間のデータ路上のデータを受け、その受けたデー
   タを計算装置に関連するデータバスに伝送する手段と、 各計算装置の１つと関連し、複数のデータバスの全てか
   ら入力を受けてその関連する計算装置に単一の票決され
   た出力を供給するようにそれぞれ接続された複数の票決
   回路と、 各計算装置の１つと関連し、複数のデータバスの全てか
   ら入力を受けてシステムの任意の故障状態を示す故障状
   態ワードをそれぞれ発生するようにそれぞれ接続された
   複数の故障決定論理回路と、 各計算装置と関連し、故障決定論理回路から故障状態ワ
   ードを周期的に読取って、関連するデータバスと関連す
   る票決回路を介して関連する計算装置とに供給する手段
   とを具備し、 故障決定論理回路の多数決により決定されたシステムの
   任意の故障状態を示す票決された故障状態ワードが、各
   計算装置に周期的に供給されることを特徴とする多重冗
   長コンピュータシステム。
2. 【請求項２】計算装置の数が３である請求の範囲第１項
   記載のコンピュータシステム。
3. 【請求項３】システムの電気的負荷が複数の負荷に分割
   され、 システムは複数の別々の電源と複数の電力共用回路とを
   具備し、各負荷が任意に選択された組合わせの電源から
   電力を受けることができるように各負荷に電源の全てを
   結合している請求の範囲第１項記載のコンピュータシス
   テム。
4. 【請求項４】各電力共用回路は、 負荷が短絡した場合に任意の電源により供給される電流
   を制限するために各電力供給ラインの１つに接続された
   複数の電流制限回路と、 １つの電源から他の電源への電流の流れを阻止するため
   に各電力供給ラインの１つに接続された複数のダイオー
   ドとを具備している請求の範囲第３項記載のコンピュー
   タシステム。
5. 【請求項５】各故障決定論理回路は、 データバスから信号を受け、複数のデータバスにより運
   ばれるデータ値が一致するか否かを示すバス比較出力信
   号を発生させるように接続されたバス比較論理回路と、 バス比較論理回路からのバス比較出力信号を受け、各計
   算装置に対する故障状態ワードをそれから発生する手段
   を含む故障状態論理回路とを具備している請求の範囲第
   １項記載のコンピュータシステム。
6. 【請求項６】計算装置の数が３である請求の範囲第５項
   記載のコンピュータシステム。
7. 【請求項７】各故障決定論理回路の故障状態論理回路
   は、関連する計算装置によりアドレス可能であり、故障
   決定論理回路に結合されたテストレジスタと、バス比較
   出力信号を選択的に設定する手段とをさらに具備して、
   故障決定論理回路中の故障の検出を容易にしている請求
   の範囲第５項記載のコンピュータシステム。
8. 【請求項８】計算装置の数が３である請求の範囲第７項
   記載のコンピュータシステム。
9. 【請求項９】それぞれプロセッサおよびメモリと、その
   プロセッサおよびメモリ間のデータ路とを有する３つの
   同期された計算装置と、 各計算装置の１つと関連する３つのデータバスと、 メモリとプロセッサとの間のデータ路上のデータを受
   け、それを対応するデータバスに伝送する手段と、 各計算装置の１つと関連し、３つのデータバスの全てか
   ら入力を受けてその計算装置に単一の票決された出力を
   供給するように接続された３つの票決回路と、 ３つのデータバスにそれぞれ接続され、データバス信号
   の各可能な対の間の一致または一致でない状態を示す３
   つのバス比較出力信号を出力する３つのバス比較論理回
   路と、 各計算装置の１つと関連し、その関連するバス比較論理
   回路からのバス比較信号を入力として受けるようにそれ
   ぞれ接続され、システムの任意の故障状態を示す故障状
   態ワードを発生するように動作する３つの故障決定論理
   回路と、 各計算装置と関連し、故障決定論理回路から故障状態ワ
   ードを周期的に読取って、関連するデータバスと関連す
   る票決回路を介して関連する計算装置とに供給する手段
   とを具備し、 故障決定論理回路の多数決により決定されたシステムの
   任意の故障状態を示す票決された故障状態ワードが、各
   計算装置に周期的に供給されることを特徴とする三重冗
   長コンピュータシステム。
10. 【請求項１０】各故障決定論理回路は、関連する計算装
    置によりアドレス可能であり、故障決定論理回路に結合
    されたテストレジスタと、バス比較出力信号を選択的に
    設定する手段とをさらに具備して、故障決定論理回路中
    の故障の検出を容易にしている請求の範囲第９項記載の
    コンピュータシステム。
11. 【請求項１１】それぞれ計算装置、バス比較論理回路お
    よび故障決定論理回路を含む３つのモジュールを具備し
    て構成され、 各モジュールは、全体のシステムの電力を遮断すること
    なくモジュールの除去および交換を可能にする手段をさ
    らに具備している請求の範囲第10項記載のコンピュータ
    システム。
12. 【請求項１２】電力を遮断することなくモジュールの除
    去および交換を可能にする手段は、モジュールの挿入中
    に他の接続の前に確実に電源と接続し、モジュールの除
    去中に他のラインの遮断後に電源の遮断を行うことが確
    実に行われるために長さの長い電源接続ピンを具備して
    いる請求の範囲第11項記載のコンピュータシステム。
13. 【請求項１３】電力を遮断することなくモジュールの除
    去および交換を可能にする手段は、モジュールの実際の
    除去に先立って電気遮断信号を発生し、それにより電気
    遮断信号が通常の方法によるモジュールの動作を終了さ
    せるために使用されるようにした電気・機械的インター
    ロックを具備している請求の範囲第11項記載のコンピュ
    ータシステム。
14. 【請求項１４】システムの電気的負荷が複数の負荷に分
    割され、 システムは複数の別々の電源と複数の電力共用回路とを
    具備し、各負荷が任意のまたはすべての電源から電力を
    受けることができるように各負荷に電源の全てを結合し
    ている請求の範囲第９項記載のコンピュータシステム。
15. 【請求項１５】各電力共用回路は、 負荷が短絡した場合に任意の電源により供給される電流
    を制限するために各電力供給ラインの１つに接続された
    複数の電流制限回路と、 １つの電源から他の電源への電流の流れを阻止するため
    に各電力供給ラインの１つに接続された複数のダイオー
    ドとを具備している請求の範囲第３項記載のコンピュー
    タシステム。
16. 【請求項１６】電源の数は３であり、 各電力共用回路は、３つの各電源に接続された３つの電
    流制限回路と、各電流制限回路と直列に接続された３つ
    のダイオードとを具備し、ダイオードは電気負荷の１つ
    に共通に接続されている請求の範囲第15項記載のコンピ
    ュータシステム。
17. 【請求項１７】３つの同期した計算サブシステムの１つ
    におけるエラー状態をシミュレートし、 ３つの計算サブシステムのそれぞれと関連する故障決定
    論理回路中に第１の故障状態条件の結果セットを発生さ
    せ、 ３つの関連するデータバスに第１の故障状態条件を読出
    し、多数決票決して３つの計算サブシステムのそれぞれ
    に供給し、 第１の故障状態条件の読出しの結果として、故障決定論
    理回路中に第２の故障状態条件を発生させるステップを
    具備し、 第２の故障状態条件は、不適切に動作している故障決定
    論理回路の識別子であることを特徴とする三重冗長コン
    ピュータシステム中の故障決定論理回路中の故障を検出
    する方法。
18. 【請求項１８】故障状態をシミュレートするステップ
    は、故意に正確でないデータワードをデータバスの選択
    された１つに書込み、それによりそのデータバスのバス
    比較が選択されたバスに関連する計算サブシステム中の
    故障表示を発生させるステップを含み、 第１の故障状態条件を読出すステップは、不適切に動作
    する故障決定論理回路を示すステップを含む請求の範囲
    第17項記載の方法。
19. 【請求項１９】故障状態をシミュレートするステップ
    は、バス比較信号の選択されたセットを故障決定論理回
    路中に供給するステップを含み、 第１の故障状態条件を読出すステップは、バス比較信号
    から期待される結果を読出し、故障決定論理回路中の任
    意の故障を示す第２の故障状態条件を発生させるステッ
    プを含む請求の範囲第17項記載の方法。
20. 【請求項２０】３つの同期された計算サブシステムの１
    つのエラー状態をシミュレートする手段と、 ３つの計算サブシステムのそれぞれに関連する故障決定
    論理回路中に第１の故障状態条件の結果セットを生成す
    る手段と、 ３つの関連するデータバスに第１の故障状態条件を読出
    し、多数決票決して３つの計算サブシステムのそれぞれ
    に供給する手段と、 第１の故障状態条件の読出しの結果として、故障決定論
    理回路中に第２の故障状態条件を生成する手段とを具備
    し、 第２の故障状態条件は、不適切に動作している故障決定
    論理回路の識別子であることを特徴とする３重冗長コン
    ピュータシステムの故障決定論理回路におけるエラーを
    検出する装置。