JP3085917B2 - 耐ソフトウェア障害構成を有したデータ処理装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、高信頼性を要求さ
れるコンピュータシステムやコントローラシステムにお
いてソフトウェアプログラムの冗長構成によりフォール
トトレランスを向上させる耐ソフトウェア障害構成を有
したデータ処理装置に関し、特に連続的に入力される観
測データの監視と当該データによる対象物の制御を行う
システム、例えば航空管制システム、地震観測システ
ム、プラント制御システム等に用いられる装置に関す
る。

【０００２】

【従来の技術】システムの高信頼化技術には耐故障、故
障排除が含まれる。ソフトウェアシステムに関していえ
ば、故障排除はソフトウェアの論理的なミス、いわゆる
バグを含まないようなソフトウェアを作成することであ
るが、現実にはこれは難しい。そこで、バグが含まれて
いても正しい結果が得られる、すなわち耐故障性を向上
させるソフトウェアの構成方法が従来より提案されてい
る。

【０００３】以下に、冗長構成を用いて耐故障性を向上
させる従来の方法について簡単に述べる。なお、初めに
本文では用いる記法について説明する。まずＡ、Ｂ、
Ｃ、Ｄ、Ｐ、Ｑ、Ｒといったアルファベット大文字１字
で表すものは実現する機能を表し、これに数字を添え
た、例えばＡ０、Ｂ１といった表記は、当該機能を実現
するためのプログラムやファームウェア（ここではこれ
らをプログラムという用語で統一する。）のバージョン
を表す。バージョンという言葉は、プログラムを動作さ
せる実体を指し、同一機能を果たすがプログラム構造が
異なるプログラムを互いに区別する言葉として用いられ
る。つまり、例えばＡ０とＡ１は同一の機能を有するが
構造が異なるプログラムである。バージョンを相互に異
なるプログラムとして作成することにより各バージョン
に同一のバグが作り込まれる可能性を低減し、これら異
なるバージョンを用いて冗長構成を形成することにより
耐故障性を向上させることができる。

【０００４】従来より存在するソフトウエアフォールト
トレランスのうち、古典的技術としてＮバージョン方式
（又は、Ｎバージョンプログラミング方式）とリカバリ
ブロツク方式がよく知られている。

【０００５】図１１は、Ｎバージョン方式の原理を説明
する模式的ブロック図である。図に示すＮバージョン方
式を採用したシステムへの入力データ２はデータ分岐部
４に入力される。バージョン６、８、１０は機能Ｐに関
する互いに異なるバージョンＰ０、Ｐ１、Ｐ２である。
すなわち、バージョンＰ０、Ｐ１、Ｐ２は、互いに同じ
機能Ｐを実現するものとして同じ仕様に基づいて独立に
作成されたプログラムである。入力データは、データ分
岐部４から各バージョン６、８、１０に並列に渡され、
これら各バージョンで並列に処理された処理結果は出力
判定部１２へ出力される。出力判定部１２は各処理結果
を比較する。出力判定部は、これら処理結果間に不一致
があれば、バージョン６、８、１０中にバグを含むもの
があると判定し処理結果の多数決処理を行う。そして多
数側のバージョンを正常、少数側のバージョンを異常と
判断し、正常と判断した処理結果をシステムの出力デー
タ１４とする。このようにＮバージョン方式では、同一
機能を有するプログラムを並列に実行するという冗長構
成をとる。これにより、それらプログラム中にバグがあ
るものが混在していても、異常を生じたプログラムから
のデータを排除しフォールトトレランス性を確保するこ
とができる。なお、図においては、多数決を取るために
必要な最低限度である３つのバージョンによる並列処
理、すなわちＮ＝３の場合を示したが、Ｎは３より大き
く取ることができ、Ｎを大きくするほど耐故障性は高ま
る。

【０００６】さて、このＮバージョン方式は、多数決論
理を採用するため、各バージョンは互いに処理結果が同
じとなることを前提としている。しかし、別個に作成し
たプログラムにて同じ処理結果を得るためには、プログ
ラム作成に際して詳細な内部仕様まで事前に取り決めな
ければならない。これを怠るとバージョン間で、例え
ば、計算精度が異なったり、採用する処理方式の相違等
により入力されたデータに付与する番号が異なるといっ
たことが起こり、単純に多数決により正常、異常を判定
することができなくなる。一方、内部仕様を細かく取り
決めると、そこに設計不良が入り込む危険が増え、その
設計不良が全バージョンに及ぶ点で、故障排除の点で望
ましくないという問題点があった。

【０００７】また、処理結果の正誤の判定を行う検査モ
ジュールである出力判定部１２はバージョンに共通に設
けられるため、検査モジュール自身に障害があればシス
テム障害となるという問題点があった。

【０００８】さらに、バージョン間で多数決をとるため
には、少なくとも３つのバージョンが必要であり、運転
停止が許されないシステムでより高いフォールトトレラ
ンスを実現するためにはより多くのバージョンを用意す
る必要がある。そのため、ソフトウェアの開発、保守に
要するコスト等の負荷が、ソフトウェアフォールトトレ
ランスを取らない場合に比べて、バージョン数に比例し
て大きくなるという問題点があった。

【０００９】次に、図１２は、リカバリブロック方式の
原理を説明する模式的ブロック図である。図に示すリカ
バリブロック方式を採用したシステムへの入力データ２
２は、チェックポイント部２４により退避される。フォ
ールトトレランスを要求される機能Ｑは、バージョン２
６、２８により実現される。ここでバージョン２６、２
８は機能Ｑを実現する互いに異なるバージョンＱ０、Ｑ
１である。これらバージョン２６、２８の出力は出力検
査部３２に接続され、この出力検査部３２で正当性を検
査された出力データ３４がこのシステムから出力され
る。この方式は、多数決論理を採用しないため、同一の
機能を有するバージョンは必ずしも実行結果が厳密に同
一であることを要しない。例えば、計算精度に違いがあ
っても構わない。また、このことに起因し、バージョン
の作成に際して内部の詳細な仕様を取り決めないでよい
ので、各バージョン間の独立性を確保することができバ
ージョン間に同一のバグの作り込みを防止することがで
きる。

【００１０】図に示すリカバリブロック方式を用いたシ
ステムの動作を簡単に説明する。この方式では機能Ｑを
実現する複数のバージョンは同時に実行される必要はな
い。例えば、バージョン２６（Ｑ０）が機能Ｑを最も厳
密に実現するバージョンであるとすると、通常は機能Ｑ
について用意された複数のバージョンのうちバージョン
Ｑ０のみが実行される。つまり入力データ２２はチェッ
クポイント部２４からバージョンＱ０に入力される。そ
して、バージョンＱ０の処理結果が出力検査部３２へ出
力される。出力検査部３２は、バージョンＱ０からの処
理結果が正常であるか等の正当性を検査する。また出力
検査部３２はバージョンＱ０からの出力がタイムアウト
を起こしていないか、つまり所定時間内に得られたかも
チェックする。これらの検査の結果、正常と判断されれ
ば、出力データ３４が出力される。

【００１１】一方、異常が出力検査部３２で発見されれ
ば、チェックポイント部２４に戻り、退避しておいた入
力データを用いて、機能Ｑの代替機能を実現するバージ
ョンＱ１が実行される。そして、バージョンＱ１の処理
結果に対する出力検査部３２での検査結果が正常であれ
ば、バージョンＱ１の処理結果をシステムの出力データ
３４として出力する。もし、これも異常であれば、すな
わち、機能Ｑに対して用意された全てのバージョンを試
してみてなお異常である場合には、はじめてこの機能ス
テップが異常であるというアラームを発し、例えばシス
テムを停止する。この方式においても、バージョンの数
は２である必要はなく、より多数のバージョンを用意す
ることにより耐故障性の向上を図ることができる。

【００１２】このようにリカバリブロック方式では、検
査モジュールである出力検査部３２は、実行バージョン
の処理結果自体に基づいてその正常／異常を判断しなけ
ればならない。すなわち、多数決論理といった相対的な
方法を用いないので、検査モジュール自体が大きくな
り、その作成コストが大きくなる可能性があるという問
題があった。また、検査モジュールで致命的障害を見逃
し次段で顕在化した場合や検査モジュール自身に障害が
あった場合には、システム障害となる可能性があるとい
う問題があった。

【００１３】また、障害時に代替バージョンに切り替え
て実行をやり直す、つまりバージョンの実行の前にデー
タを保存し、代替バージョンに切り替える際に保存した
デ一夕を使用するという方法をとるため、常時、データ
保存を行う負荷がかかると共に、代替バージョン切替時
に時間遅れが発生する恐れがあるという問題があった。

【００１４】さらに、バージョン内部にデータを隠蔽
し、実行のたびに内部のデータの値が変わるような構造
のソフトウェア設計は困難となり、データと処理を分離
せざるを得なくなり、データ構造に係わる設計障害を残
す可能性が大きくなるという問題があった。

【００１５】さて、これら古典的なフォールトトレラン
ス技術の改良を図った技術がいくつか提案されている。
以下、それらについて説明する。

【００１６】上述のＮバージョン方式の概念を拡張さ
せ、そのいくつかの問題点の解決法を提案する従来技術
として、特開平６−３４２３６９号公報に開示されるも
のがある。これをここでは、「バージョン組合せ多重化
方式」と称する。図１３は、このバージョン組合せ多重
化方式の原理を説明する模式的ブロック図である。図１
３において、図１１と同様の機能を有する構成要素には
同一の符号を付して説明を省略する。図では、フォール
トトレランスを図る範囲の機能に対して並列に処理を実
行しうる８つのバージョン４０（４０ａ〜４０ｈ）が用
意されている。入力データ２はこの各バージョン４０へ
分岐され、それらの処理結果が出力判定部１２において
多数決処理され、出力部４２から出力データ１４が出力
される。

【００１７】この方式では、各バージョン４０がそれぞ
れ行うデータ処理は、複数ステップからなる一連のデー
タ処理に区分される。この複数ステップは各バージョン
４０間で共通である。このバージョン４０は以下のよう
に構成されている。まず各ステップ毎に当該ステップの
データ処理を実現する複数のバージョンが用意される。
例えば、図ではステップは３つ設けられ、各ステップに
は２つずつのバージョン、すなわち１番目のステップに
はＡ０、Ａ１、２番目のステップにはＢ０、Ｂ１、そし
て３番目のステップにはＣ０、Ｃ１が用意される。バー
ジョン４０は、これら各ステップに含まれるバージョン
を１つずつ選択して組み合わせたものである。

【００１８】ここでバージョン４０を実現する各ステッ
プのバージョン組合せの種類の最大数は、ｉ番目のステ
ップに用意するバージョンの種類ｍ_iを掛け合わせた数
になる。図に示す例では、ｍ₁×ｍ₂×ｍ₃＝２³＝８種類
のバージョンを最大作ることができ、図にはその８種類
全ての組合せが示されている。このように、この方式で
は、各ステップに３以上のバージョンを用意しなくて
も、３つ以上のバージョン組合せを得ることができる。
そのため、古典的Ｎバージョン方式の上述した問題点で
あるバージョン数に応じたソフトウェア開発、保守の負
荷の増大を軽減することができる。

【００１９】ちなみに、この方式は各ステップの単体機
能は事前に十分に試験されていてバグは存在しないとい
う前提と、それよりもむしろ機能間の組合せやモジュー
ルの接続時点で障害が発生しやすいという現象を鑑み、
単体機能単位でのデータ処理結果の検査は行っておら
ず、出力判定部１２にてバージョン組合せによるデータ
処理の異常を検知している。この方式について述べる上
記文献は、可能なバージョン組み合わせのうちの全てを
並列実行していない場合において異常組合せが発見され
たとき、その異常組合せを除外し未使用のバージョン組
合せの中から選択したバージョン組合せを次回からの並
列組合せ実行に組込む方式についても述べている。

【００２０】一方、リカバリブロック方式を並列処理化
させた技術として、特開平７−４９８４４号公報に開示
されるものがある。図１４は、当該公報に示されたリカ
バリブロック方式を並列処理化させた従来技術の概念を
示す模式的ブロック図である。図１４は、前段の機能を
実行するモジュール６０、同種の機能を異なるバージョ
ンで実現するモジュール６２、６４、及びこれらモジュ
ール６２、６４の結果を受けて処理する後段の機能を実
現するモジュール６６がネットワークにより接続されて
いる。ここでモジュール６２、６４がフォールトトレラ
ンス性を保証する範囲である。この構成は、前段のモジ
ュール６０からの出力結果が、並行して同種の機能を実
現するモジュール６２、６４に入力される。モジュール
６２、６４は並行して処理を行い、各々属性情報を付し
て処理結果を後段のモジュール６６に送る。モジュール
６６は処理結果がタイムアウトの検出等、簡単な受け入
れ検査に合格すれば、属性情報から優先順位の高いバー
ジョンの処理結果を採用し、次の機能の実行に制御を移
す。ここでは、モジュール６２、６４の処理結果の一致
を期待していないので、内部仕様の統一の必要性はな
く、また多数決論理を採用しないので３倍以上のバージ
ョン数を必要とすることもない。

【００２１】また、リカバリブロックを単純並列化する
方法というものも考えることができる。図１５は、リカ
バリブロック方式を単純並列化する従来技術の概念を示
す模式的ブロック図である。この方法では、フォールト
トレランスを要求される機能範囲を分割することなく、
その全体処理について並列処理化が行われる。つまり、
入力デ一夕８２はデータ分岐部８４で分割され、機能Ｒ
を最も厳密に実現するバージョン８６（Ｒ０）と、機能
Ｒの代替機能を実現するバージョン８８（Ｒ１）とにそ
れぞれ入力される。そして、これらバージョンＲ０、Ｒ
１の処理が並行して行われる。バージョンＲ０、Ｒ１の
いずれの実行結果を選択するかはオペレータの判断、ま
たは出力選択部９０にて判断され、選択された結果が出
力データ９２として出力される。この方法では処理途中
段階の検査や組み合わせの処理がなく単純明快で設計上
の負荷が最も軽い。

【００２２】その他、関係する技術として、電子情報通
信学会論文誌Ｖｏｌ．Ｊ７９−Ｄ−Ｉ、Ｎｏ．７「標準
化プロジェクトを基盤としたオペレーティングシステム
の設計フォールトトレランスの実現」（以下、「設計フ
ォールトトレランス」と略す。）に、リカバリブロツク
方式におけるデータの引き継ぎ方式を述べたものがあ
る。図１６は、この設計フォールトトレランスを説明す
る模式的ブロック図である。図において、運用バージョ
ン１００は、内部データベース１０２とその内容を共通
形式に変換する変換プログラム１０４を含んでいる。一
方、待機バージョン１１０は、内部データベース１１
２、共通形式から待機バージョン１１０への変換プログ
ラム１１４を含んでいる。また、共通データベース１１
６は共通形式を有したデータベースである。

【００２３】この設計フォールトトレランスでは、運用
バージョン１００は処理を実行すると、変換プログラム
１０４を用いて内部データベース１０２の内容を当該バ
ージョンでのデータ形式から、共通形式に変換し、共通
データベース１１６に書き出しておく。運用バージョン
１００に障害が発生し、待機バージョン１１０に切り替
えなければならないとき、待機バージョン１１０の変換
プログラム１１４は共通データベース１１６からデータ
を読み込み、当該バージョンのデータベース形式に変換
して内部データベース１１２に格納する。それから待機
バージョン１１０の実行が開始される。これにより、デ
ータベースをバージョン内部に取り込むとともに設計の
共通化による共通バグの発生を防止している。

【００２４】もう一つの関連技術として電子情報通信学
会論文誌Ｖｏｌ．Ｊ７９−Ｄ−Ｉ、Ｎｏ．９「モジュー
ル交換手法によるマルチバージョンソフトウェアの信頼
性向上」（以下、「モジュール交換手法」と略す。）
に、Ｎバージョン方式で、一連の機能の処理を行った後
の処理正当性の検査において異常が検出された場合に、
バージョンに含まれる一部機能のバージョンを部分的に
組み替え、バージョン数を維持する手法が示されてい
る。図１７は、このモジュール交換手法を説明する模式
的ブロック図である。入力データ１２２は入力分岐部１
２４に入力され、ここから一連の機能Ａ〜Ｄを行う３つ
のバージョン１２６ａ〜１２６ｃにそれぞれ入力され
る。バージョン１２６ａは機能Ａ〜Ｄをそれぞれ実現す
る第１のバージョンであるＡ０、Ｂ０、Ｃ０、Ｄ０から
なるバージョン組合せ、バージョン１２６ｂは機能Ａ〜
Ｄをそれぞれ実現する第２のバージョンであるＡ１、Ｂ
１、Ｃ１、Ｄ１からなるバージョン組合せ、バージョン
１２６ｃは機能Ａ〜Ｄをそれぞれ実現する第３のバージ
ョンであるＡ２、Ｂ２、Ｃ２、Ｄ２からなるバージョン
組合せである。バージョン１２６ａ〜１２６ｃからの出
力は出力部１２８に入力され、多数決により正常／異常
が判定される。

【００２５】このモジュール交換手法では、出力部１２
８による判定の結果、不一致のバージョン組合せがあれ
ば、そのバージョン組合せに異常ありと判定する。次に
異常組合せの中の異常バージョンを正常機能バージョン
に入れ替えることにより、バージョン組合せ数を維持す
る。具体的には、異常組合せの半数の機能バージョンを
正常バージョン組合せの機能バージョンと入れ替えて実
行し試験を行う。例えばバージョン１２６ａ中に異常あ
りと判定されれば、Ａ０とＢ０を正常であるＡ１とＢ１
で置き換える。この組合せで異常が発見されれば、Ｃ０
またはＤ０に異常ありと判定し、発見されなければＡ０
またはＢ０に異常ありと判定する。以下同様に二分法に
よって順次、異常機能バージョン候補を絞っていき、最
後に異常と特定された機能バージョンを正常機能バージ
ョンに入れ替え、バージョン組合せ数を維持する。これ
により、検査障害を防止するとともに、障害検出後も組
み合わせバージョン数を維持することを図る。

【００２６】

【発明が解決しようとする課題】しかし、以上のような
古典的なフォールトトレランス技術の改良技術には以下
のような問題がある。

【００２７】まず、バージョン組合せ多重化方式では、
Ｎバージョン方式の問題点である３つ以上の複数バージ
ョンを作成するコストの問題と検査モジュール自身の障
害の危険の問題について、問題を軽減しているが、各機
能単位のバージョン数が２の場合、１つのバージョンに
障害があったとき、半数のバージョン組合せに障害が発
生する可能性があり多数決方式がとれず、システム障害
となるおそれがあるという問題があった。また、バージ
ョン組合せの選択次第では、誤った結果を多数決として
採用する可能性があるという問題もあった。ここで各機
能を担当するバージョン数を３以上にすればその可能性
は減りはするが、組合せ選択次第では誤った組合せを多
数決とする危険は依然として残り、また、古典的Ｎバー
ジョン方式の製作コストが大きくなるという問題を解決
できなくなる。

【００２８】また、リカバリブロック方式を並列処理化
させた技術では、複数のバージョンを実行した段階で、
属性情報によりどのバージョンを選択するかを決めるの
で、前段の機能実行段階で障害原因を作りこみ、後段の
機能実行段階に入ってから障害が顕在化する場合、シス
テム障害となるおそれがあるという問題があった。ま
た、古典的なリカバリブロック方式のように十分な出力
結果の検査を行うとすれば、検査の負担軽減という目的
が損なわれてしまう。

【００２９】さらに、各バージョンの出力結果の同一性
を要求していないので、ある機能のバージョン切替えを
行った場合、データの一貫性がくずれ、切り替える前に
後段の機能のバージョン内のデータと前段でバージョン
切替後の出力データとの間に論理的矛盾を引き起こす可
能性があった。

【００３０】また、リカバリブロックを単純並列化する
方法では、フォールトトレランス保証範囲全体の信頼性
が下かる。例えば、説明の簡単のため、全体機能をｎ個
に分割し、個々の機能の各バージョンの単位期間あたり
の障害発生率をｒとし、機能当たりバージョン数をｍと
すると、分割機能あたりの並列冗長方式のシステム障害
発生率は、 Ｅ_p＝１−（１−ｒ^m）ⁿ であるのに対し、ここで述べる単純並列化の方法では、
機能全体での冗長方式のシステム障害発生率は、 Ｅ_s＝（１−（１一ｒ）ⁿ）^m となる。例えば、ｒ＝１０^-3、ｎ＝４、ｍ＝２とする
と、Ｅ_p＝４×１０⁶、Ｅ_s＝１６×１０^-6となり、この
方法では信頼性が下がることが理解される。さらに、ソ
フトウェア障害の場合、待機系で発生する障害は、待機
系での出力を最終的に用いないため検出できず、運用系
障害で待機系を選択して初めて障害に気が付き、システ
ム障害につながる運用上の陥穽にはまる可能性があると
いう問題がある。 また、設計フォールトトレランスで
は、リカバリブロック方式に係る基本的問題点のうち、
データ構造の隠蔽化の問題には対処しているが、実行モ
ジュールのデー夕を単に保存するだけでなく、常時、標
準形式に変換しなければならないという処理負荷がかか
るという問題があった。さらにリカバリブロック方式に
係るその他の問題点の解決策については示されていな
い。

【００３１】また、モジュール交換手法では、Ｎバージ
ョン方式に係る基本的問題に加えて、バージョン組み替
え段階において、正常なバージョンを誤って異常と判断
してしまう危険性があった。以下にその例を示す。図１
７において機能Ａの出力結果が、（Ｘ＝１，Ｙ＝０）の
場合を正常出力とする。機能Ａにおいて、バージョンＡ
０は正しい結果を出力し、バージョンＡ１は誤った結果
（Ｘ＝０，Ｙ＝１）を出力したとする。次段の機能Ｂに
おいて、バージョンＢ０は無条件にＸ＝１とする内部仕
様とし、バージョンＢ１は、Ｙ≠０であればＸ＝１であ
るのは自明として、Ｙ＝０のときだけＸ＝１とし、そう
でなければなにもしない内部仕様とする。いずれも内部
仕様の設計方針の相違はあるが同一の機能Ｂを正しく実
現する。また、Ｙは後段の機能に引き継がれないものと
する。さて、この状態においてバージョンＡ１と正常な
バージョンＢ１の組み含わせでは誤った結果であるＸ＝
０が得られるのに対し、バージョンＢ０とバージョンＢ
１を入れ替え、上記障害を有したバージョンＡ１と正常
なバージョンＢ０の組み合わせでは結果的に正しい値Ｘ
＝１が得られる。ここで述べるモジュール交換手法で
は、このことからバージョンＢ１に障害があるという誤
判定をしてしまうといった問題があった。

【００３２】本発明は、上記のような問題点を解消する
ためになされたもので、同一機能に対する複数バージョ
ンの実行結果が、必ずしも同じでなくても許容し、かつ
実行モジュール製作量を抑制し、かつ検査モジュールの
障害によるシステム障害を防止し、かつデータを可能な
範囲でバーションの中に隠蔽化することを可能とし、か
つ検査モジュールの肥大化を抑制し、かつ再実行を避け
ることにより再実行に係る問題発生を避け、かつバージ
ョン組合せ障害とバージョン単体障害によるシステム障
害が回避され、かつバージョン組合せ障害発生時に障害
を生じたバージョン組合せを排除し代替バージョン組合
せを組込むことを容易とすることを目的とする。

【００３３】高信頼性の実現には、故障排除と耐故障性
の実現との２つの観点があることは上述した。前者はプ
ログラム中のバグを検出するということを意味する。故
障排除の努力により通常は、極めてまれな条件が重なっ
た場合にのみ顕在化するバグしか残存しない。後者の耐
故障性は、バグが存在していてもシステムに致命的な影
響、すなわちシステム障害を与えることを防止し、その
システム障害により引き起こされる運用停止による損失
を回避することを意味する。本発明はソフトウェアの障
害に対する耐故障性を向上させたデータ処理装置を提供
することを目的とする。

【００３４】また、異なる設計による複数用意されたバ
ージョンの一部に障害が生じても、システム全体へ悪影
響を回避し運用を継続することができるデータ処理装置
を提供することを目的とする。

【００３５】

【課題を解決するための手段】本発明に係る耐ソフトウ
ェア障害構成を有したデータ処理装置は、一連のデータ
処理を複数ステップに分割し、前記各ステップのデータ
処理を行うプログラムのバージョンをそれぞれ複数種類
備え、これら各ステップからそれぞれバージョンを選択
して構成される複数の異なるバージョン組合せを用いて
それぞれ前記一連のデータ処理を多重に実行する耐ソフ
トウェア障害構成を有したデータ処理装置であって、少
なくとも一つの前記ステップに対応して設けられ当該ス
テップの前記データ処理の実行に先立って、当該ステッ
プの直前ステップに属する複数の前記バージョンから出
力される各中間処理データの正当性を検査する検査手段
と、前記検査手段での検査結果に応じて前記中間処理デ
ータを選択し、選択された当該各中間処理データを当該
ステップに属する前記各バージョンへそれぞれ入力させ
る処理データ選択手段とを有するものである。

【００３６】本発明に係る耐ソフトウェア障害構成を有
したデータ処理装置は、前記検査手段が当該検査手段に
対応する前記ステップに属する前記各バージョンそれぞ
れに対応する複数の個別検査部を含むというものであ
る。

【００３７】本発明に係る耐ソフトウェア障害構成を有
したデータ処理装置は、前記処理データ選択手段が、前
記検査結果が前記各中間処理データは正常であることを
示す場合には、当該中間処理データの一部を所定の規則
に従って選択し、前記検査結果に基づいて、これまで選
択されていた当該中間処理データのうちに異常なデータ
を検知すると、その異常中間処理データを選択対象から
除外しこれまで選択されていなかった前記中間処理デー
タの中から代替データを選択するというものである。

【００３８】本発明に係る耐ソフトウェア障害構成を有
したデータ処理装置は、多重に実行された前記一連のデ
ータ処理により得られた処理結果データのうち一つを所
定の規則に従って運用系処理結果データとして選択する
処理結果データ選択手段を有するものである。

【００３９】本発明に係る耐ソフトウェア障害構成を有
したデータ処理装置は、前記検査手段により異常が検知
された前記バージョン組合せを、他のバージョン組合せ
で代替して前記多重化を維持するバージョン組合せ代替
手段を有するものである。

【００４０】本発明に係る耐ソフトウェア障害構成を有
したデータ処理装置は、前記バージョン組合せにおいて
選択されている前記バージョンが、当該バージョンに入
力される前記中間処理データに対して前記データ処理を
行う際に用いるパラメータデータを外部から設定変更さ
れ、前記バージョン組合せ代替手段が前記バージョン組
合せの代替により切り替わる前記バージョン間での前記
データ処理の引き継ぎ処理として、前記パラメータデー
タのみを引き継ぐデータ処理引継手段を含むものであ
る。

【００４１】本発明に係る耐ソフトウェア障害構成を有
したデータ処理装置は、前記バージョン組合せにおいて
選択されている前記バージョンが外部からパラメータデ
ータを設定変更され、当該バージョンに入力される前記
中間処理データを前記パラメータデータに基づいて前記
データ処理するデータ処理装置であって、前記パラメー
タデータの設定変更処理をＮバージョンプログラミング
法に基づいて行うパラメータ設定変更処理手段を有する
ものである。

【００４２】

【発明の実施の形態】

［実施の形態１］以下、本発明に係る実施の形態を図面
を用いて説明する。まず、フォールトトレランス性を保
証する範囲内での機能ブロック間のデータの流れは一方
向とする。また、フォールトトレランス性保証範囲への
入力は、当該範囲からの出力に基づくフィードバックを
受けないものとする。さらに以下、例えばａ０／ｂ０と
いった表現により、Ａ０とＢ０のバージョンの組合せに
よって実行された処理結果のデ一夕を表すものとする。

【００４３】図１は、本実施の形態に係るデータ処理装
置の概略のブロック構成図である。この図に示す例で
は、フォールトトレランスを要求される一連のデータ処
理に対応する機能範囲１５０が４つの機能（ステップ）
Ａ〜Ｄに分割され、各機能毎に２つのバージョンが用意
される。図１に示される主要な構成は、フォールトトレ
ランスを保証する機能範囲１５０への入力データ１５
２、この入力データ１５２を分岐して機能範囲１５０へ
入力する入力分岐部１５４、機能Ａ〜Ｄにそれぞれ対応
するモジュール１５６、１５８、１６０、１６２、機能
範囲１５０からの出力データ群１６４、出力データ群１
６４から１つを選択する出力選択部１６６、本データ処
理装置からの出力結果を受けて処理を行う装置やオペレ
ータなどを示す出力データ受信部１６８、及びバージョ
ンの切り替え等を行うバージョン制御機構１７０であ
る。

【００４４】機能Ａには、バージョン１５６ａ（Ａ
０）、１５６ｂ（Ａ１）が含まれ、機能Ｂには、バージ
ョン１５８ａ（Ｂ０）、１５８ｂ（Ｂ１）が含まれ、機
能Ｃには、バージョン１６０ａ（Ｃ０）、１６０ｂ（Ｃ
１）が含まれ、機能Ｄには、バージョン１６２ａ（Ｄ
０）、１６２ｂ（Ｄ１）が含まれる。本装置では、同一
機能を実現する各バージョンは互いに内部仕様の相違が
あっても良い。従って、各バージョンの出力結果は同じ
であっても、同じでない、例えば精度の違いなどを有す
るものであってもよい。ここでは１つの機能を実現する
各ソフトウェアバージョンは互いに別個のプロセッサに
より実現するものとする。ただし、各ソフトウェアバー
ジョンを各々別のプロセッサで実現する構成とするか、
あるいは複数を１つのプロセッサで実現するか、また一
つの機能を複数のプロセッサで実現するかに関しては任
意に選択することができる。

【００４５】なお、プロセッサとは中央処理装置（ＣＰ
Ｕ：Central Processing Unit）、ＲＯＭ、ＲＡＭ、磁
気ディスク装置といった記憶装置、制御装置などの装置
からなるものであり、独立してソフトウェアを動作させ
ることができる単位とする。

【００４６】図１において、外部からの入力データ１５
２は、入力分岐部１５４で分岐され、同じデータが最初
のモジュール１５６内のそれぞれ機能Ａを実行可能なバ
ージョンＡ０、Ａ１に入力される。バージョンＡ０、Ａ
１は各々同一外部仕様に基づいて作成されたプログラム
であり、並列に実行される。

【００４７】バージョンＡ０、Ａ１にて実行された結
果、アボート状態、すなわちプログラム自身、オペレー
ティングシステム、ハードウェア等によってプログラム
の続行が不可能と判断された状態にならなければ、バー
ジョンＡ０、Ａ１は実行結果である中間処理データを、
機能Ｂを実現するモジュール１５８内のバージョンＢ
０、Ｂ１にそれぞれ入力する。

【００４８】図２は、本装置の機能Ａ及びＢに係る部分
のブロック図である。バージョンＢ０、Ｂ１はそれぞれ
検査部と実行部を内蔵している。検査部は、機能Ｂの直
前の機能である機能Ａからの出力結果である中間処理デ
ータの正当性を検査する検査手段であり、バージョンそ
れぞれに設けられる個別検査部である。また実行部は、
機能Ａからの中間処理データに対して機能Ｂのデータ処
理を施す。

【００４９】図において、検査部、実行部で行われる処
理はそれぞれバージョンＡ０からの中間処理データａ０
に対する処理とバージョンＡ１からの中間処理データａ
１に対する処理とに分けて示されている。すなわち、Ａ
０検査処理２００ａ、Ａ１検査処理２００ｂはバージョ
ンＢ０において、それぞれデータａ０、ａ１を検査する
検査手段であり、Ａ０検査処理２００ｃ、Ａ１検査処理
２００ｄはそれぞれバージョンＢ１において、データａ
０、ａ１を検査する検査手段である。またＡ０／Ｂ０実
行処理２０２ａ、Ａ１／Ｂ０実行処理２０２ｂはそれぞ
れデータａ０、ａ１に対して機能Ｂのデータ処理を施す
バージョンＢ０の処理であり、Ａ０／Ｂ１実行処理２０
２ｃ、Ａ１／Ｂ１実行処理２０２ｄはそれぞれデータａ
０、ａ１に対して機能Ｂのデータ処理を施すバージョン
Ｂ１の処理である。

【００５０】なお、Ａ０検査処理２００ａとＡ１検査処
理２００ｂ、Ａ０検査処理２００ｃとＡ１検査処理２０
０ｄ、Ａ０／Ｂ０実行処理２０２ａとＡ１／Ｂ０実行処
理２０２ｂ、Ａ０／Ｂ１実行処理２０２ｃとＡ１／Ｂ１
実行処理２０２ｄは説明の便宜上それぞれ２つのブロッ
クに分けて示したが、これらは、それぞれ処理対象とな
るデータがａ０かａ１かの違いしかないので、同一プロ
グラムで処理することができる。その場合には、通常
は、２つのデータａ０、ａ１は時間をずらして逐次処理
される。一方、上記各２つのブロックを互いに別のプロ
セツサで並列処理する構成も可能である。また、各バー
ジョン内の実行部と検査部を同一プロセッサで実現して
もよく、複数のプロセッサに分けて実現してもよい。

【００５１】検査部での検査は、前ステップで行われる
機能Ａでアボートされていないか（つまりモジュール１
５８へのデータ入力がなくタイムアウトになっていない
か）、データの形式がフォーマットからはずれていない
かといった判定を行うものである。本装置の検査は、リ
カバリブロック方式で要求されるような厳密な検査を行
う必要はない。しかし、データの論理矛盾やデータの上
限下限等の検査を行うように検査部を構成することは任
意である。ただし、検査内容が拡大に伴い、検査部の開
発及び実行の負荷、コストも増大するので、検査内容は
バグ検出率効果等も考慮に入れ決定されるものであろ
う。

【００５２】検査部による検査の結果、異常がなけれ
ば、実行部において機能Ｂの実行が行われる。機能Ｂの
実行の結果、アボートされなければ、中間処理データを
機能Ｃを実現するバージョン１６０ａ、１６０ｂに入力
する。一方、検査の結果、異常が検知された場合には、
その異常データに対する機能Ｂの実行は行われない。こ
の制御は、バージョン制御機構１７０により行われる。

【００５３】図３は、本装置の機能Ｂ及びＣに係る部分
のブロック図である。バージョンＣ０、Ｃ１はそれぞれ
検査部と実行部を内蔵している。検査部は、機能Ｂから
の中間処理データの正当性を検査する検査手段であり、
バージョンそれぞれに設けられる個別検査部である。ま
た実行部は、機能Ｂからの中間処理データに対して機能
Ｃのデータ処理を施す。

【００５４】図において、検査部、実行部はそれぞれバ
ージョンＢ０からの中間処理データｂ０に対し処理を行
う部分とバージョンＢ１からの中間処理データｂ１に対
して処理を行う部分とに分けて示されている。すなわ
ち、Ａ０／Ｂ０検査処理３００ａ、Ａ１／Ｂ０検査処理
３００ｂ、Ａ０／Ｂ１検査処理３００ｃ、Ａ１／Ｂ１検
査処理３００ｄはバージョンＣ０において、それぞれＡ
０／Ｂ０実行処理２０２ａ、Ａ１／Ｂ０実行処理２０２
ｂ、Ａ０／Ｂ１実行処理２０２ｃ、Ａ１／Ｂ１実行処理
２０２ｄからの中間処理データａ０／ｂ０、ａ１／ｂ
０、ａ０／ｂ１、ａ１／ｂ１を検査する検査手段であ
り、Ａ０／Ｂ０検査処理３００ｅ、Ａ１／Ｂ０検査処理
３００ｆ、Ａ０／Ｂ１検査処理３００ｇ、Ａ１／Ｂ１検
査処理３００ｈはバージョンＣ１において、それぞれＡ
０／Ｂ０実行処理２０２ａ、Ａ１／Ｂ０実行処理２０２
ｂ、Ａ０／Ｂ１実行処理２０２ｃ、Ａ１／Ｂ１実行処理
２０２ｄからの中間処理データａ０／ｂ０、ａ１／ｂ
０、ａ０／ｂ１、ａ１／ｂ１を検査する検査手段であ
る。

【００５５】またＡ０／Ｂ０／Ｃ０実行処理３０２ａ、
Ａ１／Ｂ０／Ｃ０実行処理３０２ｂ、Ａ０／Ｂ１／Ｃ０
実行処理３０２ｃ、Ａ１／Ｂ１／Ｃ０実行処理３０２ｄ
はそれぞれデータａ０／ｂ０、ａ１／ｂ０、ａ０／ｂ
１、ａ１／ｂ１に対して機能Ｃのデータ処理を施すバー
ジョンＣ０の処理であり、Ａ０／Ｂ０／Ｃ１実行処理３
０２ｅ、Ａ１／Ｂ０／Ｃ１実行処理３０２ｆ、Ａ０／Ｂ
１／Ｃ１実行処理３０２ｇ、Ａ１／Ｂ１／Ｃ１実行処理
３０２ｈはそれぞれデータａ０／ｂ０、ａ１／ｂ０、ａ
０／ｂ１、ａ１／ｂ１に対して機能Ｃのデータ処理を施
すバージョンＣ１の処理である。

【００５６】なお、バージョンＣ０に属するそれぞれ４
つの検査処理、実行処理は処理対象となるデータが異な
るのみであるので、機能Ｂについて説明したように同一
プログラムで処理することができる。また並列処理可能
であることなども機能Ｂにおいて述べた通りである。

【００５７】検査部による検査の結果、異常がなけれ
ば、このステップにおいても実行部による機能Ｃの実行
に移る。ただし、この機能Ｃを行うステップでは、直前
の機能Ｂを行うステップから入力された中間処理データ
の全てについては実行処理を実施しない点が大きな特徴
である。これは、全てのステップにおいて、それぞれ複
数用意されたバージョンの全ての組合せを実行すると、
演算負荷が級数的に増加し、特にステップ数が多い場合
やバージョン数が多いときには実用にならないからであ
る。例えば、一連のデータ処理を分割したステップ数、
つまり機能数をＦ、各機能に対し用意されるバージョン
数をＶとすると、全体でＶ^F通りの機能の実行処理を行
わなければならなくなる。

【００５８】そのため、モジュール１６０は、直前ステ
ップからの中間処理データについての検査を行い、その
結果を利用しつつ所定の手順にしたがって、実行処理を
行う中間処理データが選択される。この選択を行う処理
データ選択手段は、本装置ではバージョン制御機構１７
０である。

【００５９】まず、モジュール１５８からの中間処理デ
ータの全てが正常である場合には、バージョン制御機構
１７０は、例えば、処理精度などに基づいてあらかじめ
定められた規則にしたがって選択を行う。図に示す例で
は、バージョンＣ０、Ｃ１において、ともにデータａ０
／ｂ０、ａ１／ｂ１が選択される。この選択には、冗長
構成としての効果を最大とするために、当該モジュール
に至るまでのバージョンの組合せがなるべく相違するよ
うにすることが望ましいという配慮がされている。これ
により、選択される組合せには各機能の各正常バージョ
ンが少なくとも１つは組込まれることになる。例えば、
４つの中間処理データのうち２つを選択する場合におい
てａ０／ｂ０を１つに選択するならば、このデータが生
成される際に利用されたバージョンＡ０、Ｂ０で同様の
処理を受けているデータａ０／ｂ１、ａ１／ｂ０よりも
データａ１／ｂ１がもう１つのデータとして好ましい。
同様に、もし、１つをデータａ０／ｂ１とするならば、
もう１つはデータａ１／ｂ０が好ましい。

【００６０】バージョンＣ０、Ｃ１はバージョン制御機
構１７０により選択されたデータについてのみ実行処理
を行う。つまり図３に示す例では、データａ０／ｂ０、
ａ１／ｂ１に対するバージョンＣ０、Ｃ１の処理である
Ａ０／Ｂ０／Ｃ０実行処理３０２ａ、Ａ１／Ｂ１／Ｃ０
実行処理３０２ｄ、Ａ０／Ｂ０／Ｃ１実行処理３０２
ｅ、Ａ１／Ｂ１／Ｃ１実行処理３０２ｈが行われ、一
方、データａ１／ｂ０、ａ０／ｂ１に対するバージョン
Ｃ０、Ｃ１の処理であるＡ１／Ｂ０／Ｃ０実行処理３０
２ｂ、Ａ０／Ｂ１／Ｃ０実行処理３０２ｃ、Ａ１／Ｂ０
／Ｃ１実行処理３０２ｆ、Ａ０／Ｂ１／Ｃ１実行処理３
０２ｇは行われない。

【００６１】このように、バージョンＣ０、Ｃ１へのそ
れぞれ４つの入力データのうち、それぞれ２つのみを実
行処理することにより、全体の機能処理を半分に削減す
ることができる。なお、４つのうち３つを選択する構成
も可能である。

【００６２】次に、検査部がモジュール１５８からの中
間処理データに異常を検出した場合について説明する。
異常が検出されたデータが、バージョン制御機構１７０
により選択されておらず実行処理を行われない入力デー
タである場合には、特別な措置は採られない。例えば、
図に示す例では、Ａ１／Ｂ０検査処理３００ｂ、３００
ｆ、Ａ０／Ｂ１検査処理３００ｃ、３００ｇがデータａ
１／ｂ０、ａ０／ｂ１の異常を検知した場合がこの場合
に相当する。

【００６３】これに対し、異常が検出されたデータが、
バージョン制御機構１７０により選択され実行処理を行
われる入力データである場合には、データの代替措置が
採られる。この場合にはバージョン制御機構１７０は、
異常データを選択対象から除外しこれに対する後続の機
能Ｃの実行処理を行わない。代わりに今まで選択されて
いなかった中間処理データの中から代替データが選択さ
れ、このデータに対して機能Ｃの実行処理が行われるよ
うに制御が切り替わる。

【００６４】例えば、図に示す例では、データａ１／ｂ
１に異常が検知された場合には、当該データは選択対象
から除外され、代わりにデータａ１／ｂ０、ａ０／ｂ１
のいずれかが選択され、それに対する機能Ｃの実行処理
が行われる。代替データの選択は、そのデータが正常で
あることと、例えばあらかじめ定められた優先順位とに
基づいて行われる。ここで、代替データとしてデータａ
１／ｂ０が選択された場合には、バージョンＣ０、Ｃ１
の実行処理の対象は、データａ０／ｂ０、ａ１／ｂ１か
らデータａ０／ｂ０、ａ１／ｂ０に変更される。代替措
置により、バージョンＣ０、Ｃ１の実行処理はＡ０／Ｂ
０／Ｃ０実行処理３０２ａ、Ａ１／Ｂ０／Ｃ０実行処理
３０２ｂ、Ａ０／Ｂ０／Ｃ１実行処理３０２ｅ、Ａ１／
Ｂ０／Ｃ１実行処理３０２ｆが行われることになる。

【００６５】代替措置により、可能な限り選択されるデ
ータ数は維持される。ちなみに、当然のことではある
が、異常が増加して正常なデータ数が正常時の選択デー
タ数を下回った場合には、バージョン制御機構１７０に
よる選択データ数は、残っている正常なデータ数で制限
される。

【００６６】図４は、バージョン制御機構１７０により
選択され実現されるバージョンＣ０の実行処理を定める
規則テーブルの例を示す模式図である。このテーブルの
左欄は、機能Ａ、Ｂに係わる正常／異常を示すもので、
“○”は正常、“×”は異常を表す。例えば“Ａ０”の
列に付された“×”は、バージョンＡ０において異常が
生じたことを意味し、また例えば“Ａ０／Ｂ０”の列に
付された“×”は、バージョンＡ０とバージョンＢ０と
の組合せによって異常が生じたことを意味する。テーブ
ルの右欄には、バージョン制御機構１７０により選択さ
れるバージョンＣ０の実行処理が示されている。正常時
にはＡ０／Ｂ０／Ｃ０実行処理３０２ａとＡ１／Ｂ１／
Ｃ０実行処理３０２ｄが実行される。また、異常がこの
正常時のバージョン組合せに関係しない場合には、代替
措置は行われない。一方、異常が正常時のバージョン組
合せに影響を及ぼす場合には、代替実行処理が選択され
る。例えば、“Ａ１／Ｂ１”のバージョン組合せに異常
が検知された場合には、正常時の実行処理のうちＡ０／
Ｂ０／Ｃ０実行処理３０２ａのみが継続され、これにＡ
１／Ｂ０／Ｃ０実行処理３０２ｂが代替実行処理として
補充される。なお、バージョンＣ１については、同様で
あるので説明を省略する。

【００６７】機能Ｄについても機能Ｃと同様にして、実
行処理の選択が行われる。つまり、機能Ｄに係るモジュ
ール１６２は、機能Ｃに係るモジュール１６０からバー
ジョンＣ０、Ｃ１合わせて４つの中間処理データを入力
される。これら４つのデータは、バージョンＤ０、Ｄ１
にそれぞれ渡されるので、合計８つの検査処理が行われ
る。バージョン制御機構１７０は、この検査結果に基づ
いて、各バージョンに渡されるそれぞれ４つのデータか
らそれぞれ２つを選択し、それらについてのみ実行処理
を行う。例えば、機能Ｃからの４つの中間処理データが
データａ０／ｂ０／ｃ０、ａ１／ｂ１／ｃ０、ａ０／ｂ
０／ｃ１、ａ１／ｂ１／ｃ１であるとする。これら全て
が正常である場合には、バージョン制御機構１７０は例
えば、データａ０／ｂ０／ｃ０、ａ１／ｂ１／ｃ１を選
択して、この２つについてバージョンＤ０の実行処理で
あるＡ０／Ｂ０／Ｃ０／Ｄ０実行処理、Ａ１／Ｂ１／Ｃ
１／Ｄ０実行処理と、バージョンＤ１についての実行処
理であるＡ０／Ｂ０／Ｃ０／Ｄ１実行処理、Ａ１／Ｂ１
／Ｃ１／Ｄ１実行処理が行われる。また、いずれかの中
間処理データに異常が検知された場合には、やはり代替
措置が講じられる。

【００６８】機能Ｄのモジュール１６２からは、こうし
て通常は４つの中間処理データａ０／ｂ０／ｃ０／ｄ
０、ａ１／ｂ１／ｃ１／ｄ０、ａ０／ｂ０／ｃ０／ｄ
１、ａ１／ｂ１／ｃ１／ｄ１が出力される。出力選択部
１６６はこれらのうち１つを運用系処理結果データとし
て選択し出力する。例えば、あらかじめ定められた最も
優先順位の高いバージョン組合せが出力選択部１６６に
より選択される。例えば、正常時においてはＡ０、Ｂ
０、Ｃ０、Ｄ０を使用することが、それぞれ、Ａ１、Ｂ
１、Ｃｌ、Ｄ１を使用することよりも望ましい場合に
は、データａ０／ｂ０／ｃ０／ｄ０を選択して最終的な
出力データとして出力する。つまり、出力選択部１６６
は、このデータの選択により、バージョン組合せＡ０／
Ｂ０／Ｃ０／Ｄ０を運用系として選択する。一方、選択
されなかった残りの３つの組合せ及び中途までの処理が
行われた組合せが待機系とされる。

【００６９】本装置では、上述したように、全バージョ
ン組合せのうち一部の組合せについてのみ完全に実行処
理が行われる。そして、その選択されたバージョン組合
せに含まれるバージョン単体の障害（例えば、バージョ
ンＡ０の障害）やバージョンの組合せに起因する障害
（例えばバージョンの組合せＡ０／Ｂ０で起こる障害）
が発生した場合には、それらを含むバージョン組合せを
選択対象から除外し、他のバージョン組合せで代替す
る。バージョン制御機構１７０は、この代替において、
途中の機能ステップで選択から外した組合せを回復す
る。つまり、途中まで処理が行われたバージョン組合せ
のうちから、除外されたバージョン組合せを代替する組
合せが選択され、その組合せが最終機能まで実行処理が
行われるようになる。このようにバージョン制御機構１
７０は、異常が検知されたバージョン組合せを他のバー
ジョン組合せで代替するバージョン組合せ代替手段とし
ての機能を有する。

【００７０】なお、見掛け上はシステム障害とならなく
ても、外部から判断すると明らかにシステム障害である
と判断できる場合がある。例えば、オベレータによる人
的判断や外部システムによる自動的判断により、そのよ
うな状態が検知された場合、出力選択部１６６を操作し
て、最終段から出力されている複数のデータのうち、待
機系にされていた他の正常な組合せからのデータに切り
替えるとともに、待機系に運用系の組み合わせが異常で
あることを、バージョン制御機構１７０を通して知らせ
るようにしてもよい。処理結果を受けた出力データ受信
部１６８はバージョン切替を認識して操作を続行する。
バージョン切替によりデータの一貫性は確保されない
が、継続して代替できるデータを受けられるので、処理
が続行できる場合が多い。出力データ受信部１６８にて
データの一貫性が必要なシステムの場合は、該当部分を
フォールトトレランス保証範囲内に含めればよい。

【００７１】さて、バージョン組合せを代替する処理に
おいては、これまで使用していたバージョンから他のバ
ージョンへ処理を引き継ぐことが必要になる。図５は、
組合せ障害発生時のデータ引き継ぎを説明するための模
式的なブロック図である。図において、上に示した図と
同様の構成要素については、同一の符号を付し説明を省
略する。ここで、バージョン内部の処理で扱われるデー
タを一過性データと永続性データに区分する。一過性デ
ータという用語は、本装置の処理目的の対象となるデー
タで、入力データ１５２としてシステムに継続的に入力
されるものであり、初期化状態でも運用続行に致命的影
響を与えないデータを指すものとする。例えば、ファン
クションとして入力が完了していない文字列や一定時間
後に繰り返し最新データが入力され、通常でも紛失を容
認している信号データなどが相当する。一方、永続性デ
ータという用語は、一過性データをデータ処理する際に
利用されるパラメータデータであって初期化状態では運
用続行に支障を来すデータであり、外部から設定変更す
ることはできるが、処理対象データである一過性データ
と異なり、常時変化するといった性質は一般には有さな
いものを指すものとする。なお、目標追尾のように入力
信号そのものは繰り返し最新データが入力されるが、そ
の結果を蓄積し数値処理を行うようなデータ処理の場合
は、切替時の連続性を重視して、蓄積データを永続性デ
ータとして取り扱ってもよいし、一定回数データ入力を
待てば自ずから蓄積データが回復することに着目して一
過性データとしても取り扱ってもよい。あるデータをい
ずれに区分するかについては、このようにある程度自由
度が許され、バージョン製作や演算の負荷とデータ継続
性とのトレードオフで決められよう。

【００７２】各バージョンは、この一過性データを保持
する一過性データ記憶領域５００と永続性データを記憶
保持する永続性データ記憶領域５０２とを有する。本装
置は、各機能ステップに属するバージョン間で永続性デ
ータを転写するために、コピー変換処理部５０４、中間
バッファ５０６を備えている。

【００７３】上述したようにバージョン組合せの代替を
行う際にはバージョン間でデータ処理引き継ぎが行われ
るが、本装置では、このデータ処理引継手段として、そ
れまで処理を行っていたバージョン内部の永続性データ
のみを引き継ぎ、一過性データは引き継がない構成を採
る。例えば、バージョンＡ０からＡ１へデータ処理を引
き継ぐ場合には、バージョンＡ０の永続性データ記憶領
域５０２に格納された永続性データがコピー変換処理部
５０４で中間形式に変換され、Ａ１の中間バッファ５０
６に書き込まれる。Ａ１のコピー変換処理部５０４は、
Ａ１の中間バッファ５０６から中間形式の永続性データ
を読み出してＡ１で用いられる形式に変換し、Ａ１の永
続性データ記憶領域５０２に格納する。逆にバージョン
Ａ１からＡ０への転写も可能である。また、他の機能
Ｂ、Ｃ、Ｄについても同様である。

【００７４】一過性データを転写しないのは、上述した
ように運用に致命的な影響がなく、ある程度の時間が経
過すれば正しい状態に収束することが期待されるからで
ある。このように一過性データの転写を省略することに
より、代替処理の負荷を軽減することができる。

【００７５】なお、ここでは各バージョンの設計の独立
性を高くとることができるように、従来技術で述べた
「設計フォールトトレランス」と同様に、永続性データ
のデータ形式の変換を行う構成としたが、データ構造が
単純でデータ構造設計による障害のおそれがない場合及
び組合せが変わるだけで実行バージョンに変更がなけれ
ば、コピー変換処理部５０４を設けず単純コピーとする
構成も可能である。

【００７６】図６は、バージョンに障害が生じたときの
処理の一例を示すフロー図である。まず直前の機能ステ
ップからの中間処理データについての検査処理が行わ
れ、障害有無の検査がなされる（Ｓ６００）。システム
障害であれば（Ｓ６０２）、システム障害対応処理（Ｓ
６０４）を実行して処理を終了する。システム障害でな
い場合（Ｓ６０２）は、図４に示すバージョン組合せ選
択の規則テーブルに基づいて、代替実行が必要か否かが
判断される（Ｓ６０６）。代替実行が必要な場合は、デ
ータの連続性が確保できるかどうかが確認される（Ｓ６
０８）。データの連続性を確保できる場合には、永続性
データを、現在実行中のバージョン組合せから代替実行
のバージョン組合せにコピーする（Ｓ６１０）。そし
て、規則テーブルにより指定されたバージョン組合せに
ついての実行がされる（Ｓ６１２）。データの連続性を
確保できない場合には、永続性データの初期化を行った
上で（Ｓ６１４）、処理Ｓ６１２が行われる。ここでは
全ての可能性が示されるので、システム障害やデータの
連続性不能の場合も処理が含まれるが、同時に全く異な
る要因により障害が発生しない限り、そのような状況は
おきない。

【００７７】本装置は、以上の構成により、運用系と待
機系を同時に実行すると共に、待機系の障害検知確率を
高め、運用系に障害を検出すると直ちに待機系に切り替
え、運用系または待機系に障害を検出すると新たな待機
系を組込み、システム全体としての信頼性を向上させ
る。

【００７８】なお、機能数及び機能あたりのバージョン
数は任意の複数の数であってよい。つまり特にバージョ
ン数に関していえば、各機能でその数は同一である必要
はない。

【００７９】［実施の形態２］次にフォールトトレラン
ス性を保証する範囲内で後段の処理結果を前段に入力す
る、つまり再帰性のある機能構造を有した実施の形態を
説明する。図７は、本実施の形態に係る再帰構造を有し
たデータ処理装置の概略のブロック図である。ここでの
再帰性は、機能Ｄは機能Ｃの処理結果を受けて処理を行
うが、その機能Ｄの処理結果が再び機能Ｃに入力される
構成に示されている。図に示す構成は、機能Ｂを行うバ
ージョン７００ａ（Ｂ０）、７００ｂ（Ｂ１）、機能Ｃ
を行うバージョン７０２ａ（Ｃ０）、７０２ｂ（Ｃ
１）、機能Ｄを行うバージョン７０４ａ（Ｄ０）、７０
４ｂ（Ｄ１）を含んでいる。機能ＢからＣへはデータ群
７０６が渡され、機能ＣからＤへはデータ群７０８が渡
され、機能ＤからＣへの再帰的なデータとしてデータ群
７１０が渡され、機能Ｄから外部へはデータ群７１２が
出力される。

【００８０】図８は本実施の形態における機能Ｃに用意
された２つのバージョンＣ０、Ｃ１での処理を概念的に
示すブロック図である。各バージョンでの処理は検査処
理と実行処理とに分かれる。バージョンＣ０は検査処理
としてＡ０／Ｂ０／Ｃ０／Ｄ０検査処理８００ａ、Ａ０
／Ｂ０／Ｃ０／Ｄ１検査処理８００ｂ、Ａ０／Ｂ１検査
処理８００ｃ、Ａ１／Ｂ０検査処理８００ｄ、Ａ１／Ｂ
１検査処理８００ｅを含み、バージョンＣ１はＡ１／Ｂ
１／Ｃ１／Ｄ０検査処理８００ｆ、Ａ１／Ｂ１／Ｃ１／
Ｄ１検査処理８００ｇ、Ａ０／Ｂ１検査処理８００ｈ、
Ａ１／Ｂ０検査処理８００ｉ、Ａ０／Ｂ０検査処理８０
０ｊを含む。

【００８１】上記実施の形態と同様に、正常な場合に
は、機能Ａ、Ｂを実行した後、機能Ｃでは機能Ａ、Ｂに
関する各バージョン組合せを検査する。ただし、バージ
ョン組合せＡ０／Ｂ０についての検査は、機能Ｂからの
入力に合わせて機能Ｄからの入力に関しても行う必要が
あるため、Ａ０／Ｂ０／Ｃ０／Ｄ０検査処理８００ａと
Ａ０／Ｂ０／Ｃ０／Ｄ１検査処理８００ｂの２つに分け
て行われる。また、実行処理に関しては、Ａ１／Ｂ１／
Ｃ０の実行は行わず、Ａ０／Ｂ０／Ｃ０／Ｄ０実行処理
８０２ａとＡ０／Ｂ０／Ｃ０／Ｄ１実行処理８０２ｂの
２つの実行を行う。同様に、バージョンＣ１ではバージ
ョン組合せＡ１／Ｂ１についての検査は、Ａ１／Ｂ１／
Ｃ１／Ｄ０検査処理８００ｆとＡ１／Ｂ１／Ｃ１／Ｄ１
検査処理８００ｇの２つに分けて行われ、実行もこれに
対応するＡ１／Ｂ１／Ｃ１／Ｄ０実行処理８０２ｆとＡ
１／Ｂ１／Ｃ１／Ｄ１実行処理８０２ｇの２つの実行を
行う。

【００８２】上記のようにして、この構成では、バージ
ョン組合せのデータの一貫性を保つとともに、実行バー
ジョン数を抑止する。その他の点は上記実施の形態と同
様である。

【００８３】［実施の形態３］次にフォールトトレラン
ス保証範囲から出力されたデータを基に、フォールトト
レランス保証範囲の処理に対して、例えばオペレータ等
が対話的に処理を行う例について説明する。

【００８４】この場合、フォールトトレランス保証範囲
へ入力する情報が、代替バージョンへ反映されずに失わ
れると、フォールトトレランス保証範囲からの出力に一
貫性がなくなる恐れがある。

【００８５】これを防止する構成を図５に基づいて説明
する。運用系組合せの各バージョン実行時において、運
用系のバージョンのコピー処理部５０４は、対話的な操
作により永続性データの変更があった場合には、各々自
バージョン実行プロセッサと異なるプロセッサに属する
中間バッファ５０６までその永続性データの変更内容を
書き出しておく。そして運用系組合せに障害が発生しバ
ージョン組合せの代替を行う場合には、待機系組合せ
は、運用系がその時点までに中間バッファ５０６に書き
出している永続性データをコピー処理部５０４により永
続性データ記憶領域５０２に取り込んで使用することと
し、一方、直前ステップからのデータのうち一過性デー
タのみを受け入れ、これら両者を組み合わせてデータベ
ースを構築し、運用系としての処理を開始する。つま
り、待機系組合せの直前ステップから入力されたデータ
のうち永続性データは対話的操作が反映されていないお
それがあるため廃棄し使用しない。または、待機系組合
せの直前ステップから入力された永続性データのうち中
間バッファ５０６に格納されているデータと重複するも
のがある場合には、対話的操作が反映されている中間バ
ッファ５０６のデータを優先して採用し、入力された方
の永続性データは廃棄し使用しない。

【００８６】［実施の形態４］また、対話的な処理を行
う例として、代替組合せへの引き継ぎに対するデータ厳
密性の必要度が緩やかであり、運用系組合せにて割り当
てた内部番号などを入力に用いることがなければ、対話
的操作により運用系組合せに入力されるのと同じデータ
を並行して待機系組合せにも入力するという方法をとる
ことができる。これにより、実施の形態３のような運用
系が永続性データを常時書き出すという処理を省略しつ
つ、十分な効果を挙げることかできる。

【００８７】［実施の形態５］また、対話的な処理によ
る永続性データに関する処理、例えばその変更処理等
は、処理が正常に行われれば、バージョン間での内部仕
様の相違により結果が異なることは稀である傾向を有す
る。これを利用して、永続性データの変更処理のみにＮ
バージョン方式を組み合わせ、全体としてデー夕の厳密
性と設計の独立性を保証する方法も可能である。

【００８８】図９は、本実施の形態に係るデータ処理装
置の概略のブロック図である。図９において、図１と同
一の符号を付した構成要素は、互いに同等の機能を有す
るものでありそれらに関しては説明を省略する。入力９
００、９０２はそれぞれこの装置への入力である。入力
９００はフォールトトレランス性を保証する一連のデー
タ処理が行われる機能範囲１５０への入力データであ
る。この入力９００は、本装置からの出力データによっ
ては影響を受けない。つまり一方向のデータの流れであ
り、非対話的な処理がなされるものである。一方、入力
９０２は、出力データに対する対話的操作等である。

【００８９】本装置の主たる特徴は、大まかには図１に
示す構成に、永続性データの変更処理における耐故障性
を向上させるＮバージョン方式の構成が付加された点に
ある。このＮバージョン方式の構成部分は、入力９０２
を分岐して永続性データ処理バージョンに入力する入力
分岐部９０４、永続性データ処理バージョン９０６（バ
ージョンＥ０）、９０８（バージョンＥ１）、９１０
（バージョンＥ２）、及びこれら各バージョンからの出
力結果を比較判定する出力判定部９１２により構成され
ている。バージョンＥ０〜Ｅ１はそれぞれ永続性データ
に対してその変更等を行う処理である機能Ｅを実現する
ため独立に作成されたプログラムである。そしてそれら
の実行結果は同じとなることが期待される永続性データ
である。出力判定部９１２からは、機能Ａ〜Ｄで用いら
れる永続性データの設定、更新のための出力と、フォー
ルトトレランス保証範囲外への出力９１４とが出力され
る。

【００９０】さて、入力９００に対しては実施の形態１
と同等に機能Ａ〜Ｄの処理がなされる。一方、入力９０
２は入力分岐部９０４に送られ、ここでバージョンＥ０
〜Ｅ２に分岐される。これら各バージョンからの出力結
果は出力判定部９１２で互いに比較され、結果が一致し
ない場合には多数決論理により、同一結果が多い方を正
とみなして外部に出力する。これにより入力との一貫性
が保たれる。この出力は、データ処理の初段の一過性デ
ータの処理部であるバージョン１５６ａ、１５６ｂにも
送られ、これらにおいて一過性データと永続性データと
の対応付けなどの処理を行い全体としての総合出力を実
現する。

【００９１】［実施の形態６］また、上記各実施の形態
として、バージョンは異なるプロセッサて実行すること
とし、オペレーティングシステムの障害やハードウェア
障害に同時に対応するような例としたが、オペレーティ
ングシステムに十分信頼がおけ、各運用バージョンの障
害が検出できてプログラムをアボートできると判断する
ならば、複数バージョンを単一のプロセッサで実現して
もよい。

【００９２】［実施の形態７］さらに、本発明は、上述
のデータ処理装置のように当初からソフトウェアのバー
ジョンを独立に複数作成し、耐故障性の向上により信頼
性を上げる目的だけでなく、既存データ処理装置の改修
などにおけるバージョンの変更時に作り込まれる予測困
難な障害発生原因によるシステムダウンを防止する目的
にも応用することができる。

【００９３】例えば、システムに致命的障害とならない
が、運用に影響を与えるバグが運用プログラム中に発見
されたとき、修正を行い一通りの検査をして運用系に組
込むが、開発時と異なり修正が与える影響をすべて把握
できず、修正が別の機能に影響を与えてしまい、却って
致命的システム障害の原因を作り込んでしまうというこ
とが、実際のシステム保守の場面において往々にしてあ
る。

【００９４】図１０は、本実施の形態に係る改修された
データ処理装置の一例を示す概略のブロック図である。
この装置は機能Ａ、Ｂ、Ｃから構成され、改修前は、そ
れら各機能はそれぞれ各機能に対応して設けられたプロ
グラムであるバージョンＡ０、バージョンＢ０、バージ
ョンＣ０により実現されていたとする。ここで、機能Ｂ
に関するプログラムを改造してバージョンＢ１に変更す
ることを考える。従来は、このような場合、機能Ｂを実
現するプログラムをＢ０からＢ１に置き換えて、バージ
ョンＡ０、Ｂ１、Ｃ０の順次処理を行う構成に変更す
る。

【００９５】これに対して、本装置は、バージョン１０
００（Ａ０）の出力を２分岐させ、それぞれを旧バージ
ョンであるバージョン１００２（Ｂ０）と、新バージョ
ンであるバージョン１００４（Ｂ１）へ入力させる。つ
まり、機能ＡをバージョンＡ０で実行後、機能Ｂの新旧
バージョンが並行して実行される。機能Ｃについては変
更されていないが、機能Ｂから受け取る結果がａ０／ｂ
０、ａ０／ｂ１の２種類あるので、同一のバージョンＣ
０を用いた２つの実行処理部１００６、１００８より中
間処理データａ０／ｂ０、ａ０／ｂ１を並行処理してい
る。実行処理部１００６、１００８からの結果は、出力
結果選択装置１０１０に入力され、これがいずれかの結
果を選択して出力する。

【００９６】正常な場合は、出力結果選択装置１０１０
はバージョン組合せ“Ａ０／Ｂ１／Ｃ０”の結果を外部
に出力する。この組合せで障害が発生した場合は、出力
結果選択装置１０１０は、旧バージョンであるＢ０を含
んだバージョン組合せ“Ａ０／Ｂ０／Ｃ０”の結果を出
力に切り替える。このようにして、改修バージョンによ
り後段の実行プログラムに影響が出た場合でも、即時に
旧バージョンに戻し、運用を続行することができる。

【００９７】

【発明の効果】本発明の耐ソフトウェア障害構成を有し
たデータ処理装置によれば、複数ステップに分割された
一連のデータ処理を、各ステップに用意された複数のバ
ージョンを組み合わせて多重に実行し、ソフトウェアの
障害に対する耐故障性を向上させるデータ処理装置にお
いて、検査手段が少なくとも１つのステップに設けられ
これが直前ステップからの複数の中間処理データを検査
し、処理データ選択手段が検査手段の検査結果に応じて
中間処理データを選択し、選択された中間処理データに
ついてのみ当該ステップでのデータ処理を行って次のス
テップへ出力する。このステップごとのバージョンを組
み合わせる構成により、十分な多重度を得るために必要
なバージョンの作成負荷を軽減でき、全部のバージョン
組合せのうち必要なだけを選択して実行することによ
り、実行処理されるバージョン組合せ数を削減して装置
のデータ処理負荷を軽減することができる効果が得られ
る。また、検査手段をステップに設けることにより検査
を一連のデータ処理の途中段階で行うので、障害箇所の
特定が容易で障害事象の検出処理が簡単となり、検査手
段の簡素化を図ることができるとともに、障害が生じた
データに対して無駄な処理を継続することがないので装
置の計算資源の浪費が回避されるという効果が得られ
る。さらに検査手段と処理データ選択手段とにより、障
害を生じたバージョン組合せを特定し、排除することが
容易となるという効果が得られる。

【００９８】本発明の耐ソフトウェア障害構成を有した
データ処理装置によれば、検査手段として、ステップに
含まれるバージョンごとに個別検査部が設けられる。バ
ージョンごとに個別検査手段を備える冗長構成により、
検査手段自身の障害によるシステム障害を防止すること
ができるという効果が得られる。

【００９９】本発明の耐ソフトウェア障害構成を有した
データ処理装置によれば、検査手段により直前ステップ
からの中間処理データに異常を検知すると、処理データ
選択手段が異常が検知された中間処理データを除外し
て、未選択の中間処理データから正常な代替データを選
択する。また本発明の耐ソフトウェア障害構成を有した
他のデータ処理装置は、検査手段により異常が検知され
るとバージョン組合せの代替を行うバージョン組合せ代
替手段を有する。これらの本発明に係る装置によれば、
異常が生じたバージョン組合せが除外されるとともに、
他のバージョン組合せによる代替が行われて多重度が維
持されるので、装置の高信頼性を実現することができる
という効果が得られる。

【０１００】本発明の耐ソフトウェア障害構成を有した
データ処理装置によれば、処理データ選択手段により選
択された複数のバージョン組合せによる複数の処理結果
データのうちから、処理結果データ選択手段が運用系処
理結果データを選択する。すなわち、多数決論理を用い
ないので、各ステップのバージョン、または各バージョ
ン組合せによる実行結果が、必ずしも同じでなくても許
容される。このことにより、バージョンを作成するに際
しての内部仕様の詳細さを緩和することができ、その設
計不良によってバージョン間に共通のバグが作り込まれ
るといった事態が回避され、装置の耐故障性が向上する
という効果が得られる。

【０１０１】本発明の耐ソフトウェア障害構成を有した
データ処理装置によれば、バージョン組合せ代替手段
が、バージョン組合せ代替により切り替わるバージョン
間でのデータ処理を引き継ぐデータ処理引継手段を有
し、このデータ処理引継手段は、直前ステップから入力
される中間処理データの処理に用いられるパラメータデ
ータのみを引き継ぐので、バージョン組合せ代替処理の
負荷が軽減される効果が得られる。

【０１０２】本発明の耐ソフトウェア障害構成を有した
データ処理装置によれば、同一結果を得ることが必須な
パラメータデータについてはＮバージョンプログラミン
グ方式に基づいて設定変更するパラメータ設定変更処理
手段を用いて厳密な保証をとり、一方、一過性を有する
中間処理データについては、ステップごとのバージョン
の組合せによって設計の自由度を高める方法を組み合わ
せる手段をとることにより、データの信頼性と設計の自
由度とを両立させることができる効果が得られる。

【図面の簡単な説明】

【図１】 第一の実施の形態に係るデータ処理装置の概
略のブロック構成図である。

【図２】 第一の実施の形態に係る装置の機能Ａ及びＢ
に係る部分のブロック図である。

【図３】 第一の実施の形態に係る装置の機能Ｂ及びＣ
に係る部分のブロック図である。

【図４】 バージョン制御機構により選択され実現され
るバージョンＣ０の実行処理を定める規則テーブルの例
を示す模式図である。

【図５】 第一の実施の形態に係る装置における組合せ
障害発生時のデータ引き継ぎを説明するための模式的な
ブロック図である。

【図６】 バージョンに障害が生じたときの処理の一例
を示すフロー図である。

【図７】 第二の実施の形態に係る再帰構造を有したデ
ータ処理装置の概略のブロック図である。

【図８】 第二の実施の形態における機能Ｃに係る部分
のブロック図である。

【図９】 第五の実施の形態に係るデータ処理装置の概
略のブロック図である。

【図１０】 第七の実施の形態に係る改修されたデータ
処理装置の一例を示す概略のブロック図である。

【図１１】 従来のＮバージョン方式の原理を説明する
模式的ブロック図である。

【図１２】 従来のリカバリブロック方式の原理を説明
する模式的ブロック図である。

【図１３】 従来のバージョン組合せ多重化方式の原理
を説明する模式的ブロック図である。

【図１４】 リカバリブロック方式を並列処理化させた
従来技術の概念を示す模式的ブロック図である。

【図１５】 リカバリブロック方式を単純並列化する従
来技術の概念を示す模式的ブロック図である。

【図１６】 従来の設計フォールトトレランスを説明す
る模式的ブロック図である。

【図１７】 従来のモジュール交換手法を説明する模式
的ブロック図である。

【符号の説明】

１５２ 入力データ、１５４ 入力分岐部、１５６，１
５８，１６０，１６２モジュール、１５６ａ バージョ
ンＡ０、１５６ｂ バージョンＡ１、１５８ａ バージ
ョンＢ０、１５８ｂ バージョンＢ１、１６０ａ バー
ジョンＣ０、１６０ｂ バージョンＣ１、１６２ａ バ
ージョンＤ０、１６２ｂ バージョンＤ１、１６４ 出
力データ群、１６６ 出力選択部、１６８ 出力データ
受信部、１７０ バージョン制御機構、２００ａ，２０
０ｃ Ａ０検査処理、２００ｂ，２００ｄ Ａ１検査処
理、２０２ａ Ａ０／Ｂ０実行処理、２０２ｂ Ａ１／
Ｂ０実行処理、２０２ｃ Ａ０／Ｂ１実行処理、２０２
ｄ Ａ１／Ｂ１実行処理、３００ａ，３００ｅ Ａ０／
Ｂ０検査処理、３００ｂ，３００ｆ Ａ１／Ｂ０検査処
理、３００ｃ，３００ｇ Ａ０／Ｂ１検査処理、３００
ｄ，３００ｈ Ａ１／Ｂ１検査処理、３０２ａ Ａ０／
Ｂ０／Ｃ０実行処理、３０２ｂ Ａ１／Ｂ０／Ｃ０実行
処理、３０２ｃ Ａ０／Ｂ１／Ｃ０実行処理、３０２ｄ
Ａ１／Ｂ１／Ｃ０実行処理、３０２ｅ Ａ０／Ｂ０／
Ｃ１実行処理、３０２ｆ Ａ１／Ｂ０／Ｃ１実行処理、
３０２ｇ Ａ０／Ｂ１／Ｃ１実行処理、３０２ｈ Ａ１
／Ｂ１／Ｃ１実行処理、５００ 一過性データ記憶領
域、５０２ 永続性データ記憶領域、５０４ コピー変
換処理部、５０６ 中間バッファ、９０４ 入力分岐
部、９０６，９０８，９１０ 永続性データ処理バージ
ョン、９１２ 出力判定部。

フロントページの続き (56)参考文献 特開 平６−342369（ＪＰ，Ａ) 特開 平７−49844（ＪＰ，Ａ) 電子情報通信学会論文誌 Ｖｏｌ．Ｊ 78−Ｄ−１ Ｎｏ．３ ｐ．393−401 電子情報通信学会論文誌 Ｖｏｌ．Ｊ 79−Ｄ−１ Ｎｏ．７ ｐ．468−474 電子情報通信学会論文誌 Ｖｏｌ．Ｊ 79−Ｄ−１ Ｎｏ．９ ｐ．558−566 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 11/14 - 11/20 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (7)

(57)【特許請求の範囲】
1. 【請求項１】 一連のデータ処理を複数ステップに分割
   し、前記各ステップのデータ処理を行うプログラムのバ
   ージョンをそれぞれ複数種類備え、これら各ステップか
   らそれぞれバージョンを選択して構成される複数の異な
   るバージョン組合せを用いてそれぞれ前記一連のデータ
   処理を多重に実行する耐ソフトウェア障害構成を有した
   データ処理装置であって、 少なくとも一つの前記ステップに対応して設けられ当該
   ステップの前記データ処理の実行に先立って、当該ステ
   ップの直前ステップに属する複数の前記バージョンから
   出力される各中間処理データの正当性を検査する検査手
   段と、 前記検査手段での検査結果に応じて前記中間処理データ
   を選択し、選択された当該各中間処理データを当該ステ
   ップに属する前記各バージョンへそれぞれ入力させる処
   理データ選択手段と、 を有することを特徴とする耐ソフトウェア障害構成を有
   したデータ処理装置。
2. 【請求項２】 前記検査手段は、当該検査手段に対応す
   る前記ステップに属する前記各バージョンそれぞれに対
   応する複数の個別検査部を含むこと、を特徴とする請求
   項１記載の耐ソフトウェア障害構成を有したデータ処理
   装置。
3. 【請求項３】 前記処理データ選択手段は、 前記検査結果が前記各中間処理データは正常であること
   を示す場合には、当該中間処理データの一部を所定の規
   則に従って選択し、 前記検査結果に基づいて、これまで選択されていた当該
   中間処理データのうちに異常なデータを検知すると、そ
   の異常中間処理データを選択対象から除外しこれまで選
   択されていなかった前記中間処理データの中から代替デ
   ータを選択すること、 を特徴とする請求項２記載の耐ソフトウェア障害構成を
   有したデータ処理装置。
4. 【請求項４】 多重に実行された前記一連のデータ処理
   により得られた処理結果データのうち一つを所定の規則
   に従って運用系処理結果データとして選択する処理結果
   データ選択手段を有することを特徴とする請求項１記載
   の耐ソフトウェア障害構成を有したデータ処理装置。
5. 【請求項５】 前記検査手段により異常が検知された前
   記バージョン組合せを、他のバージョン組合せで代替し
   て前記多重化を維持するバージョン組合せ代替手段を有
   することを特徴とする請求項１記載の耐ソフトウェア障
   害構成を有したデータ処理装置。
6. 【請求項６】 前記バージョン組合せにおいて選択され
   ている前記バージョンは、当該バージョンに入力される
   前記中間処理データに対して前記データ処理を行う際に
   用いるパラメータデータを外部から設定変更され、 前記バージョン組合せ代替手段は、前記バージョン組合
   せの代替により切り替わる前記バージョン間での前記デ
   ータ処理の引き継ぎ処理として、前記パラメータデータ
   のみを引き継ぐデータ処理引継手段を含むこと、 を特徴とする請求項５記載の耐ソフトウェア障害構成を
   有したデータ処理装置。
7. 【請求項７】 前記バージョン組合せにおいて選択され
   ている前記バージョンが外部からパラメータデータを設
   定変更され、当該バージョンに入力される前記中間処理
   データを前記パラメータデータに基づいて前記データ処
   理するデータ処理装置であって、 前記パラメータデータの設定変更処理をＮバージョンプ
   ログラミング法に基づいて行うパラメータ設定変更処理
   手段を有することを特徴とする請求項１記載の耐ソフト
   ウェア障害構成を有したデータ処理装置。