JP3180737B2 - システムの冗長化方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、システムの冗長化
方法に関し、特に耐故障性を強化したシステムの冗長化
方法に関する。

【０００２】

【従来の技術】従来、情報処理装置を構成するモジュー
ルの何れか１つに障害が発生した場合、システムとして
機能しなくなり、情報処理装置全体が動作できなくな
る。そのため情報処理装置を構成する各モジュールを二
重化するか、または三重化して多数決をとる冗長構成に
することにより、１つのモジュールに障害が発生した場
合でも、冗長化した他のモジュールが動作し続けること
によって、情報処理装置全体には影響を与えることなく
動作し続けることができる。例えば、特開平７−２０９
９４に示されるように、バス、およびバスに接続される
モジュールを二重化し、障害時には二重化された、もう
一方のモジュールが動作し続けることにより、耐故障性
を備えた情報処理装置となっている。

【０００３】図９は従来例の基本構成を示す概念図であ
る。ホストアダプタ部９０１は対上位ＣＰＵ（ホスト）
接続論理モジュールであり、ディスクアダプタ部９０２
は対記憶媒体接続用論理モジュールであるディスクアダ
プタ部、キャッシュメモリパッケージ９０３は両モジェ
ール間で転送されるデータを一時記憶するキャッシュメ
モリ装置（キャッシュメモリモジュール）、コモンバス
９０４はホストアダプタ９０１，ディスクアダプタ９０
２，キャッシュメモリパッケージ９０３の間のデータ転
送制御を司り、アレイディスク９０５は縦横にアレイ状
に配置した記憶媒体である。

【０００４】ホストアダプタ９０１は、上位インタフェ
ース側のデータ形式、およびアドレス形式を記憶媒体イ
ンタフェース用のデータ形式及びアドレス形式に変化す
る手段と、これらを制御管理するマイクロプロセッサを
有している。ディスクアダプタ９０２は、記憶媒体ヘデ
ータを格納するためのアドレス演算機能と、記憶データ
保証用冗長データの生成機能と、記憶媒体構成情報を認
識する機能と、これらを制御管理するマイクロプロセッ
サを有している。

【０００５】図１０は従来例の装置各モジュールにおけ
る多重化と縮退運転を示した図である。９２１は２ポー
ト化されたチャネルパスであり、ホストアダプタ９０１
にはチャネルパスアダプタ９２９が２モジュール、対上
位用チャネルパスが４パス実装しており、障害発生時は
交替チャネルアダブタ（ＣＨＰ）、交替チャネルパスを
使用して縮退運転に入る。

【０００６】ＳＣＳＩパス９２２はディスクアダプタ９
０２とアレイディスク９０５の間のインタフェースを司
るパスで、１行の磁気ディスク群に対して別のディスク
アダプタ９０２からもアクセス可能なように二重化して
おり、当パスに障害が発生した場合は交替ＳＣＳＩパス
を使用して縮退運転に入る。

【０００７】また、アレイディスクマスタの制御を行う
ＤＭＰ９９２も二重化しており、障害発生時は交替ＤＭ
Ｐ９９２を使用して縮退運転に入る。共有メモリ９１
８、キャッシュメモリ９２０も二重化しており、共有メ
モリに障害が発生した場合は残るもう一方を使用して縮
退運転に入り、キャッシュメモリに障害が発生した場合
はライトベンディングデータをディスクにデステージ
し、障害発生キャッシュメモリを除いたキャッシュメモ
リで縮退運転を行う。アレイディスク９０５上の磁気デ
ィスクに障害が発生した場合は、当該磁気ディスクを切
り離し、予備の磁気ディスクに修復しながら読み出し書
き込みの動作を行う。

【０００８】

【発明が解決しようとする課題】上述した従来の技術に
おいては、情報処理装置内で耐故障性を高めるために二
重化された各モジュールは、モジュール内の一部の機能
に障害が発生した場合であっても、障害の発生したモジ
ュールをシステム全体から切り離し、障害の発生してい
ない他方のモジュールのみのシンプレックス状態で動作
を続けていた。

【０００９】そのため、障害モジュールの交換までに必
要な時間に比例してシンプレックス動作しているモジュ
ールにも障害が発生してシステムダウンという結果にな
る可能性が増大するという問題があった。

【００１０】通常、耐故障性を高めた情報処理装置にお
いては、信頼性を重要視されるクリティカルな業務に使
用される場合が殆どであり、一瞬のシステムダウンも許
されない。そのため故障しているモジュールも活線挿抜
でオンライン状態において交換可能である。しかし従来
技術においては、例え二重化構成であっても一方のモジ
ュールに障害が発生してシステムから切り離されている
間は、単純にモジュールの故障率に等しいシステムダウ
ンの危険性があり、故障したモジュールの交換はサービ
ス拠点より交換モジュールを取り寄せる時間も必要であ
り、許されないシステムダウンの可能性を増大させてい
た。

【００１１】本発明の目的は、各モジュールを冗長化し
て耐故障性を高めたシステムにおいて、何れかのモジュ
ールが故障した場合にも、システムダウンの可能性を最
小限にして、より信頼性の高い冗長化方法を提供するこ
とである。

【００１２】

【課題を解決するための手段】本発明の冗長化方法が適
用されたシステムは、各モジュールを冗長化して耐故障
性を高めたシステムにおいて、何れかのモジュールが故
障した場合にもシステムダウンの可能性を最小限にし
て、より信頼性の高いシステムを可能にする。

【００１３】より具体的には、システムを構成する各モ
ジュールを二重化（図１の１９，２０）、またはモジュ
ールを三重化（図６の６０１，６０２，６０３）して多
数決をとることにより、耐故障性を備えたシステムのモ
ジュール内の同一機能内の要素を複数に分割してブロッ
ク化するか、または同一機能の要素を複数備えて、エラ
ー発生時にエラー発生の箇所を切り離し、縮退して動作
継続が可能な構成要素（図１の１，２，３，４，７，
８，１１，１２）と、その構成要素のエラーを検出する
と共に、構成要素内の複数に分割された何れのブロッ
ク、または複数ある同一機能の前記構成要素の中で何れ
の構成要素でエラーが検出されたかを判定して、そのエ
ラー情報を出力するエラー検出回路（図１の５，６，
９，１０，１３，１４）と、エラー検出回路のエラー情
報出力より自モジュール内にエラーが検出されたことを
通知された場合は、自モジュール内のエラー発生部所を
切除して他の正常な機能要素に切り換え、同時に冗長化
された全ての他モジュールに自モジュール内で検出され
たエラー情報を通知し、他モジュールで検出されたエラ
ーのエラー情報を受信すると、該エラー情報に従って自
モジュール内の該当部所を切り離して縮退動作するよう
に指示を出す構成制御回路（図１の１５，１６）とを有
する。

【００１４】さらに、エラー検出回路に構成要素内のデ
ータにエラー訂正コードを付与し、構成要素の出力に訂
正可能なエラーが検出された場合、構成要素内のエラー
が発生したデータを修正するエラー訂正回路（図２の２
０６）と、構成要素の出力に検出されたエラーが訂正可
能なエラーであればエラー検出されたことを構成制御部
に通知せず、訂正不可能なエラーであればエラーが検出
されたことを構成制御部に通知する訂正不可能エラーチ
ェック回路（図２の２０５）とを有する。

【００１５】本発明のシステムの冗長化方法は、モジュ
ール内の各機能の構成要素を複数にブロック化するか、
または同一機能要素を複数個備えることによって縮退動
作を可能とし、何れかのモジュール内の機能要素に障害
が発生した場合、システムから切り離す単位を障害が発
生した機能要素に局所化して縮退し、更に障害の発生し
ていない他モジュールにも、どの構成要素に障害が発生
したかを通知し、他モジュールも通知された情報に従っ
て障害の発生したモジュールと同一構成に制御すること
により、障害モジュールの交換までの時間の間も以前と
変わらない冗長構成で動作し続けることが可能であり、
障害発生時以降にシングルオペレーションになることに
より起こる可能性のあるシステムダウンすることのない
信頼性の高い冗長化を実現することができる。

【００１６】また、上記の構成要素内のデータにエラー
訂正コードを付与し構成要素の出力にエラーが検出され
た場合でも、検出されたエラーが訂正可能な場合はエラ
ー報告を行わず、構成要素内のエラーの発生したデータ
を訂正する。

【００１７】検出されたエラーが訂正不可能な場合の
み、エラーが発生した機能要素を切除して縮退し、同時
に他モジュールに通知する。これにより、縮退動作を行
う確率そのものを低くして、より信頼性の高い情報処理
装置を可能にする。

【００１８】

【発明の実施の形態】次に、本発明の実施形態を図面を
参照して詳細に説明する。図１は本発明のシステムの冗
長化方法が適用されたシステムの説明用基本ブロック図
である。

【００１９】このシステムは、モジュールａ１９とモジ
ュールｂ２０に二重化した構成である。モジュールａ１
９とモジュールｂ２０は同一の構成要素を備えているた
め、モジュールａ１９の構成要素を中心に説明する。

【００２０】ＣＰＵＩ１とＣＰＵＪ２は演算処理を行
い、同一機能を複数個備えたマルチＣＰＵ構成になって
いる。一方に障害が発生した場合は、縮退してもう一方
のみで動作可能である。

【００２１】ＣＰＵエラー検出回路５はＣＰＵＩ１とＣ
ＰＵＪ２のエラーを検出し、また、ＣＰＵＩ１またはＣ
ＰＵＪ２のどちらにエラーが検出されたかも判定して出
力する。

【００２２】図３はＣＰＵＩ１とＣＰＵＪ２とに対する
ＣＰＵエラー検出回路５の実施形態の１つである。ＣＰ
ＵＩ１とＣＰＵＪ２をエラーチェックのためにそれぞれ
を二重化して、ＣＰＵＩａ３０１、ＣＰＵＩｂ３０２、
およびＣＰＵＪａ３０３、ＣＰＵＪｂ３０４を備えてい
る。

【００２３】比較回路Ｉ３０５はＣＰＵＩａ３０１とＣ
ＰＵＩｂ３０２を比較することでＣＰＵＩ１のエラーを
検出する。比較回路Ｊ３０６はＣＰＵＪａ３０３とＣＰ
ＵＪｂ３０４を比較することでＣＰＵＪ２のエラーを検
出する。

【００２４】また、図５の実施の形態はＣＰＵＩ１とＣ
ＰＵＪ２とＣＰＵエラー検出回路５の図１のＣＰＵ構成
とは異なる実施形態で、三重化多数決の構成であり、Ｃ
ＰＵａ５０１、ＣＰＵｂ５０２、ＣＰＵｃ５０３により
三重化される。

【００２５】比較器ａｂ５０４はＣＰＵａ５０１とＣＰ
Ｕｂ５０２の出力を比較し、比較器ａｃ５０５はＣＰＵ
ａ５０１とＣＰＵｃ５０３の出力を比較し、比較器ｂｃ
５０６はＣＰＵｂ５０２とＣＰＵｃ５０３の出力を比較
する。

【００２６】ＡＮＤ回路ａ５０７は比較器ａｂ５０４と
比較器ａｃ５０５の出力のＡＮＤ論理とＮＡＮＤ論理を
出力し、ＡＮＤ論理出力はＣＰＵａ５０１にエラーが検
出されたことを示し、ＮＡＮＤ論理出力はＣＰＵａ５０
１の出力を選択するようにする指示である。ＡＮＤ回路
ｂ５０８は比較器ａｂ５０４と比較器ｂｃ５０６の出力
のＡＮＤ論理とＮＡＮＤ論理を出力し、ＡＮＤ論理出力
はＣＰＵｂ５０２にエラーが検出されたことを示し、Ｎ
ＡＮＤ論理出力はＣＰＵｂ５０２の出力を選択するよう
にする指示である。ＡＮＤ回路ｃ５０９は比較器ａｃ５
０５と比較器ｂｃ５０６の出力のＡＮＤ論理とＮＡＮＤ
論理を出力し、ＡＮＤ論理出力はＣＰＵｃ５０３にエラ
ーが検出されたことを示し、ＮＡＮＤ論理出力はＣＰＵ
ｃ５０３の出力を選択するようにする指示である。

【００２７】出力選択回路５１０はＡＮＤ回路ａ５０
７、ＡＮＤ回路ｂ５０８、ＡＮＤ回路ｃ５０９からのＮ
ＡＮＤ論理出力の指示に従って、ＣＰＵａ５０１、ＣＰ
Ｕｂ５０２、ＣＰＵｃ５０３の出力を選択する。

【００２８】キャッシュメモリ７はＣＰＵＩ１、および
ＣＰＵＪ２がメインメモリ１１のデータに高速にアクセ
スすることを目的として、メインメモリ１１のデータを
一時的に記憶する小容量で高速のメモリである。ここで
はキャッシュメモリをブロック０〜３の４つにブロック
化し、ブロック毎の縮退動作を可能にしている。キャッ
シュエラー検出回路９はキャッシュメモリ７のエラーを
検出し、また、４つの中のどのブロックにエラーが検出
されたかも判定して出力する。

【００２９】図４はキャッシュメモリ７とキャッシュエ
ラー検出回路９の１つである。ブロック番号判定回路４
０１はキャッシュメモリ７をアクセスした際のアドレス
より、どのブロックにアクセスしたかを判定する回路で
ある。ブロック番号保持レジスタ４０２はブロック番号
判定回路４０１の出力を保持する。キャッシュメモリ７
は保持するデータに対するエラーチェックを行うための
エラーチェックコードを付与される。エラーチェック回
路４０４はキャッシュメモリ７から出力されるデータ
と、そのデータに付与されているエラーチェックコード
によりエラーの検出を行う。

【００３０】メインメモリ１１はプログラムデータを記
憶する記憶装置である。ここではメインメモリ１１をブ
ロック０〜３の４つにブロック化し、縮退動作を可能に
している。

【００３１】メモリエラー検出回路１３はメインメモリ
１１のエラーを検出し、また、４つの中のどのブロック
にエラーが検出されたかも判定して出力する。

【００３２】構成制御回路１５はモジュールａ１９内の
ＣＰＵエラー検出回路５またはキャッシュエラー検出回
路９またはメモリエラー検出回路１３でエラーが検出さ
れた場合は、エラーが検出された機能、およびその機能
内のブロック番号を構成通知線ａ１７によってもう一方
のモジュールｂ２０の構成制御回路１６に通知する。同
様にしてモジュールｂ２０内で検出されたエラーに関し
ては、構成制御回路１６より構成通知線ｂ１８によって
通知される。

【００３３】また、構成制御回路１５はモジュールａ１
９内でエラーの検出された機能のブロック、または構成
制御回路１６からの通知に基づくモジュールｂ２０内で
エラーの検出された機能要素、またはブロックを無効に
する指示を行う。モジュールａ１９とモジュールｂ２０
は、二重化されたバスであるシステムバスａ２１とシス
テムバスｂ２２の両方に接続される。

【００３４】図２は図１に示すメインメモリ１１とメモ
リエラー検出回路１３の実施形態の１つである。ブロッ
ク番号判定回路２０１はメインメモリ１１をアクセスし
た際のアドレスより、どのブロックにアクセスしたかを
判定する回路である。ブロック番号保持レジスタ２０２
はブロック番号判定回路２０１の出力を保持する。

【００３５】メインメモリ１１では保持するデータに対
して、エラーチェック、およびエラー訂正を行うための
エラーチェック＆訂正コードを付与される。

【００３６】訂正不可能エラーチェック回路２０５は、
メインメモリ１１の出力にエラーが検出された場合で
も、検出されたエラーが訂正可能なエラーである場合は
構成制御回路１５にエラー報告を行わず、検出されたエ
ラーが訂正不可能なエラーである場合にのみ構成制御回
路１５にエラー報告を行う。

【００３７】エラー訂正回路４０４は、メインメモリ１
１から出力されるデータとそのデータに付与されている
エラーチェック＆訂正コードにより、まずエラーチェッ
クを行って、その結果エラーが検出され、かつ検出され
たエラーが訂正可能なエラーである場合はそのエラーを
訂正して出力する。

【００３８】データ選択回路２０４はメインメモリ１１
内のエラーを起こしているデータを修正するために、エ
ラー訂正回路２０６からの訂正データをエラー訂正回路
２０６からの指示に従って選択する。

【００３９】図６は図１に示すシステムとは構成が異な
る。各モジュールは機能により図１より細分化され、演
算処理を行うＣＰＵ機能部は三重化構成をとり、ＣＰＵ
ａ６０１、ＣＰＵｂ６０２、ＣＰＵｃ６０３より三重化
される。ＣＰＵａ６０１、ＣＰＵｂ６０２、ＣＰＵｃ６
０３の出力はそれぞれ二重化構成をとる多数決論理ａ６
０７、および多数決論理ｂ６０８で多数決論理をとるこ
とにより、何れか１つのＣＰＵに障害が発生してエラー
のあるデータを出力した場合でも多数決論理ａ６０７、
および多数決論理ｂ６０８はエラーのない正しいデータ
を出力できる。ＣＰＵａ構成制御回路６０４、ＣＰＵｂ
構成制御回路６０５、ＣＰＵｃ構成制御回路６０６はお
互いに自モジュール内の構成を通知し合い、ＣＰＵａ６
０１、ＣＰＵｂ６０２、ＣＰＵｃ６０３を同一の構成に
制御する。多数決論理ａ構成制御回路６０９と多数決論
理ｂ構成制御回路６１０は、お互いに自モジュール内の
構成を通知し合い、多数決論理ａ６０７と多数決論理ｂ
６０８を同一の構成に制御する。メモリａ６１１とメモ
リｂ６１２も二重化構成をとり、多数決論理ａ６０７と
多数決論理ｂ６０８の両方の出力を入力する。

【００４０】メモリａ構成制御回路６１３とメモリｂ構
成制御回路６１４はお互いに自モジュール内の構成を通
知し合い、メモリａ６１１とメモリｂ６１２を同一構成
に制御する。

【００４１】次に、図１，２，３，４，５，６の回路の
動作について図面を参照して説明する。ただし、図２，
３，４，５は図１の機能の一部の実施形態であるため、
図１の説明に含めて説明する。

【００４２】まず、図１から説明する。図１はモジュー
ルが二重化構成をとる場合の詳細な実施の形態であり、
モジュールが三重化構成をとる場合の基本的な実施の形
態は図６で説明する。

【００４３】図１のモジュールａ１９とモジュールｂ２
０は同一の構成要素を備えているため、モジュールａ１
９の構成要素を中心に説明すると、ＣＰＵＩ１とＣＰＵ
Ｊ２は、それぞれ演算処理を行い、同一機能を複数備え
たマルチＣＰＵ構成になっている。一方に障害が発生し
た場合は、縮退してもう一方のみのシングルＣＰＵで動
作可能である。

【００４４】ＣＰＵエラー検出回路５はＣＰＵＩ１とＣ
ＰＵＪ２の出力をチェックしてエラーを検出し、また、
ＣＰＵＩ１またはＣＰＵＪ２のどちらにエラーが検出さ
れたかも判定して出力する。

【００４５】図３はＣＰＵＩ１とＣＰＵＪ２とＣＰＵエ
ラー検出回路５の詳細な実施形態の１つである。演算処
理を行うＣＰＵＩ１とＣＰＵＪ２のエラーチェックは、
最も単純にそれぞれ二重化して出力を比較することでエ
ラーチェックを行うことが望ましく、その場合は、それ
ぞれＣＰＵＩａ３０１、ＣＰＵＩｂ３０２、およびＣＰ
ＵＪａ３０３、ＣＰＵＪｂ３０４構成とする。

【００４６】比較回路Ｉ３０５はＣＰＵＩａ３０１とＣ
ＰＵＩｂ３０２の出力を比較することでＣＰＵＩ１のエ
ラーを検出する。比較回路Ｊ３０６はＣＰＵＪａ３０３
とＣＰＵＪｂ３０４の出力を比較することでＣＰＵＪ２
のエラーを検出する。比較回路Ｉ３０５と比較回路Ｊ３
０６はそれぞれ、比較結果が等しくない場合に１が出力
される。

【００４７】また、図５の実施の形態はＣＰＵＩ１とＣ
ＰＵＪ２とＣＰＵエラー検出回路５とを有する図１のＣ
ＰＵ構成とは異なる実施形態の１つであり、三重化多数
決の構成である。基本的な考えは図１と同じであり、何
れか１つのＣＰＵに障害が発生した場合であっても、障
害の発生したＣＰＵを切り離して、縮退して動作し続け
ることを可能にすることを目的としている。演算処理を
行うＣＰＵはＣＰＵａ５０１、ＣＰＵｂ５０２、ＣＰＵ
ｃ５０３により三重化され、論理的には１つのＣＰＵと
して動作する。

【００４８】比較器ａｂ５０４はＣＰＵａ５０１とＣＰ
Ｕｂ５０２の出力を比較し、比較器ａｃ５０５はＣＰＵ
ａ５０１とＣＰＵｃ５０３の出力を比較し、比較器ｂｃ
５０６はＣＰＵｂ５０２とＣＰＵｃ５０３の出力を比較
し、それぞれ比較結果が等しくない揚合に１が出力され
る。

【００４９】ＡＮＤ回路ａ５０７は比較器ａｂ５０４と
比較器ａｃ５０５の出力のＡＮＤ論理とＮＡＮＤ論理を
出力し、ＡＮＤ論理出力はＣＰＵａ５０１にエラーが検
出されたことを示し、ＮＡＮＤ論理出力はＣＰＵａ５０
１の出力にエラーがないことを保証してＣＰＵａ５０１
の出力を選択させる指示である。ＡＮＤ回路ｂ５０８は
比較器ａｂ５０４と比較器ｂｃ５０６の出力のＡＮＤ論
理とＮＡＮＤ論理を出力し、ＡＮＤ論理出力はＣＰＵｂ
５０２にエラーが検出されたことを示し、ＮＡＮＤ論理
出力はＣＰＵｂ５０２の出力にエラーがないことを保証
してＣＰＵｂ５０２の出力を選択させる指示である。Ａ
ＮＤ回略ｃ５０９は比較器ａｃ５０５と比較器ｂｃ５０
６の出力のＡＮＤ論理とＮＡＮＤ論理を出力し、ＡＮＤ
論理出力はＣＰＵｃ５０３にエラーが検出されたことを
示し、ＮＡＮＤ論理出力はＣＰＵｃ５０３の出力にエラ
ーがないことを保証してＣＰＵｃ５０３の出力を選択さ
せる指示である。

【００５０】出力選択回路５１０はＡＮＤ回路ａ５０
７、ＡＮＤ回路ｂ５０８、ＡＮＤ回路ｃ５０９からのＮ
ＡＮＤ論理出力の指示に従って、ＣＰＵａ５０１、ＣＰ
Ｕｂ５０２、ＣＰＵｃ５０３の出力を選択する。

【００５１】キャッシュメモリ７はＣＰＵＩ１、および
ＣＰＵＪ２がメインメモリ１１のデータに高速にアクセ
スすることを目的として、メインメモリ１１のデータを
一時的に記憶する小容量で高速のメモリである。ここで
はキャッシュメモリ７をブロック０〜３の４つに分割し
てブロック化し、キャッシュメモリ７の何れかのブロッ
クに障害が発生した場合でも、残りのブロックで縮退動
作を可能にしている。キャッシュエラー検出回路９はキ
ャッシュメモリ７のエラーを検出し、また、４つの中の
どのブロックにエラーが検出されたかも判定して出力す
る。

【００５２】図４はキャッシュメモリ７と、キャッシュ
エラー検出回路９の１つの実施形態で、図３のＣＰＵと
同様に二重化の構成等も可能であるが、ここではキャッ
シュメモリ７内のデータにエラーチェックコードを付与
する実施形態を説明する。

【００５３】ブロック番号判定回路４０１はキャッシュ
メモリ７をアクセスした際のアドレスより、どのブロッ
クにアクセスしたかを判定する回路である。

【００５４】ブロック番号保持レジスタ４０２はブロッ
ク番号判定回路４０１の出力を保持し、ブロック番号保
持レジスタ４０２に保持されているブロック番号は、キ
ャッシュメモリ７の出力にエラーが検出された時に、図
１の構成制御回路１５ヘエラーの検出されたブロック番
号を報告するために使用される。

【００５５】キャッシュメモリ７は４つのブロックに分
割され、かつ保持するデータにはエラーチェックを行う
ためのエラーチェックコードが付与される。何れかのブ
ロックに障害が発生した場合は、障害の発生したブロッ
クを切り離し、縮退して動作を継続し続ける。

【００５６】エラーチェック回路４０４はキャッシュメ
モリ７から出カされるデータと、そのデータに付与され
ているエラーチェックコードによりエラーの検出を行
う。エラーが検出された場合はブロック番号保持レジス
タ４０２に保持されているブロック番号を共に、図１の
構成制御回路１５ヘエラーの通知を行う。

【００５７】メインメモリ１１はプログラムデータを記
憶する記憶装置である。ここではメインメモリ１１をブ
ロック０〜３の４つにブロック化し、何れかのブロック
に障害が発生した場合は残りのブロックで動作し続け、
縮退動作が可能である。

【００５８】メモリエラー検出回路１３はメインメモリ
１１のエラーを検出し、また、４つの中のどのブロック
にエラーが検出されたかも判定して構成制御回路１５ヘ
出力する。

【００５９】図２はメインメモリ１１と、メモリエラー
検出回路１３の実施形態の１つであり、メインメモリ１
１は図３のＣＰＵと同様に二重化の構成等も可能である
が、ここではメインメモリ１１内のデータにエラーチェ
ック＆訂正コードを付与する実施形態を説明する。

【００６０】ブロック番号判定回路２０１はメインメモ
リ１１をアクセスした際のアドレスより、どのブロック
にアクセスしたかを判定する回路である。

【００６１】ブロック番号保持レジスタ２０２はブロッ
ク番号判定回路２０１の出力を保持する。ブロック番号
保持レジスタ２０２に保持されているブロック番号は、
メインメモリ１１の出力にエラーが検出された時に、図
１の構成制御回路１５ヘエラーの検出されたブロック番
号を報告するために使用される。

【００６２】メインメモリ１１は４つのブロックに分割
され、保持するデータに対しては、エラーチェック、お
よびエラー訂正を行うためのエラーチェック＆訂正コー
ドを付与される。また、何れかのブロックに障害が発生
した場合は、障害の発生したブロックを切り離して縮退
して動作し続ける。

【００６３】訂正不可能エラーチェック回路２０５は、
メインメモリ１１の出力にエラーが検出された場合で
も、検出されたエラーが訂正可能なエラーである場合は
構成制御回路１５にエラー報告を行わず検出されたエラ
ーが訂正不可能なエラーである場合にのみ構成制御回路
１５にエラー報告を行う。これにより致命的な障害でな
い限りエラー報告がなくなり、エラー報告の頻度を減ら
すことができる。

【００６４】エラー訂正回路２０６は、メインメモリ１
１から出力されるデータとそのデータに付与されている
エラーチェック＆訂正コードにより、まずエラーチェッ
クを行って、その結果エラーが検出され、かつ検出され
たエラーが訂正可能なエラーである場合はそのエラーを
訂正して出力すると同時に、エラーを訂正したデータを
メインメモリ１１ヘライトするための指示を行う。

【００６５】データ選択回路２０４はメインメモリ１１
内のエラーを起こしているデータを修正するために、エ
ラー訂正回路２０６からの指示に従って、通常のデータ
パスからエラー修正用のデータパスに切り替えて、エラ
ー訂正回路２０６からの訂正データを選択して出力す
る。

【００６６】構成制御回路１５はモジュールａ１９内の
ＣＰＵエラー検出回路５またはキャッシュエラー検出回
路９またはメモリエラー検出回路１３でエラーが検出さ
れて通知された場合は、エラーが検出された機能、およ
びその機能内のブロック番号を構成通知線ａ１７によっ
てもう一方のモジュールｂ２０の構成制御回路１６に通
知する。同様にしてモジュールｂ２０内で検出されたエ
ラーに関しては、構成制御回路１６より構成通知線ｂ１
８によって通知される。

【００６７】また、構成制御回路１５はモジュールａ１
９内でエラーの検出された機能要素／ブロック、または
構成制御回路１６からの通知に基づくモジュールｂ２０
内でエラーの検出された機能要素／ブロックに該当する
機能要素／ブロックを無効にする指示を行う。この時、
構成制御回路１６も全く同じ指示を行うため、モジュー
ルａ１９とモジュールｂ２０は全く同じ構成で縮退動作
を行い、どちらか一方のモジュールに障害が発生して
も、変わらずに二重化動作を継続し続ける。

【００６８】モジュールａ１９とモジュールｂ２０は、
二重化されたバスであるシステムバスａ２１とシステム
バスｂ２２の両方に接続されている。

【００６９】次に、図６を説明する。図６に示すシステ
ムは各モジュールが細かく細分化され、ＣＰＵの機能部
は三重化されている。

【００７０】演算処理を行うＣＰＵ機能部は三重化構成
をとり、ＣＰＵａ６０１、ＣＰＵｂ６０２、ＣＰＵｃ６
０３により三重化される。図６は基本的な概念のみを示
しているが、それぞれのＣＰＵ機能部は図１のモジュー
ルａ１９、モジュールｂ２０と同等に縮退可能な構成で
ある。

【００７１】ＣＰＵａ６０１、ＣＰＵｂ６０２、ＣＰＵ
ｃ６０３の出力はそれぞれ二重化構成をとる多数決論理
ａ６０７、および多数決論理ｂ６０８で多数決論理をと
ることにより、何れか１つのＣＰＵに障害が発生してエ
ラーのあるデータを出力した場合でも、多数決論理ａ６
０７、および多数決論理ｂ６０８はエラーのない正しい
データを選択して出カする。

【００７２】ＣＰＵａ構成制御回路６０４、ＣＰＵｂ構
成制御回路６０５、ＣＰＵｃ構成制御回路６０６はお互
いに自モジュール内の構成を通知し合い、ＣＰＵａ６０
１、ＣＰＵｂ６０２、ＣＰＵｃ６０３を同一の構成に制
御する。ＣＰＵａ６０１、ＣＰＵｂ６０２、ＣＰＵｃ６
０３の何れかに障害が発生した揚合は、それぞれのＣＰ
Ｕが同等に縮退して動作し、変わらず三重化構成を維持
する。

【００７３】多数決論理ａ構成制御回路６０７と多数決
論理ｂ構成制御回路６０８は、お互いに自モジュール内
の構成を通知し合い、何れかに障害が発生した場合でも
二重化動作を続けられるように、多数決論理ａ６０７と
多数決論理ｂ６０８を同一の構成に縮退して動作するよ
うに制御する。

【００７４】プログラムデータを格納するメモリａ６１
１とメモリｂ６１２も二重化構成をとり、多数決論理ａ
６０７と多数決論理ｂ６０８の両方の出力を入力する。
多数決論理ａ６０７と多数決論理ｂ６０８の両方を入力
する理由は、どちらかの多数決論理が縮退不可能な致命
的なエラーで切り離された場合にも、メモリａ６１１と
メモリｂ６１２の両方を動作可能にして、システムヘの
悪影響を最小限にするためである。縮退可能なメモリは
図２、４のような実施形態で実現できる。

【００７５】メモリａ構成制御回路６１３とメモリｂ構
成制御回路６１４はお互いに自モジュール内の構成を通
知し合い、どちらかのメモリに障害が発生した場合でも
二重化動作を続けられるように、メモリａ６１１とメモ
リｂ６１２を同一構成に縮退して動作するように制御す
る。

【００７６】

【実施例】次に、本発明の実施例について図面を参照し
て説明する。まず、第１の実施の形態における実施例を
図１，２，３，４，５を参照して具体的に説明する。た
だし、図２，３，４，５は図１の機能の一部の実施例で
あり、図１の説明の途中に含めて説明する。

【００７７】図１はモジュールが二重化構成をとる場合
の詳細な実施例である。耐故障性のある情報処理装置
は、ほとんどが図１のような二重化構成をとるか、また
は図６に示されるような三重化多数決の構成をとる。

【００７８】図１に示す情報処理装置はモジュールａ１
９とモジュールｂ２０で二重化される。モジュールａ１
９とモジュールｂ２０は同一の構成要素を備えているた
め、モジュールａ１９の構成要素を中心に説明する。

【００７９】ＣＰＵＩ１とＣＰＵＪ２はそれぞれ演算処
理を行い、同一機能を複数備えたマルチＣＰＵ構成にな
っている。一方のＣＰＵに障害が発生した場合は、縮退
してもう一方のＣＰＵみのシングルＣＰＵで動作可能で
ある。ただし、縮退して一方のみのシングルＣＰＵで動
作する場合は、演算処理性能がマルチの場合より落ちる
こととなる。縮退動作については図７のフローチャート
を用いて後述する。

【００８０】また、縮退動作時に演算処理性能が落ちる
ことのない構成に関しては、図５を参照して後述する。

【００８１】ＣＰＵエラー検出回路５はＣＰＵＩ１とＣ
ＰＵＪ２の出力をチェックしてエラーを検出し、また、
ＣＰＵＩ１、またはＣＰＵＪ２のどちらにエラーが検出
されたかも判定して出力する。

【００８２】図３を用いて、ＣＰＵＩ１とＣＰＵＪ２と
ＣＰＵエラー検出回路５の詳細な実施例の１つを説明す
る。

【００８３】演算処理を行うＣＰＵＩ１とＣＰＵＪ２の
エラーチェックは、それぞれが複数保有する場合は、最
も単純に、それぞれ二重化して出力を比較することでエ
ラーチェックを行い、それぞれＣＰＵＩａ３０１、ＣＰ
ＵＩｂ３０２、およびＣＰＵＪａ３０３、ＣＰＵＪｂ３
０４より構成される。エラーチェックの方法を二重化し
て出力を比較する方法をとる理由は、演算処理を行う機
能部では図２，４に示すようなデータにエラーチェック
コードを付与する方法では、内部での処理が非常に複雑
で困難であり、また演算処理部には汎用のマイクロプロ
セッサを使用することが大半であり、汎用のマイクロプ
ロセッサにエラーチェックコードを付与することはでき
ないためである。比較回路Ｉ３０５はＣＰＵＩａ３０１
とＣＰＵＩｂ３０２の出力を比較することでＣＰＵＩ１
のエラーを検出する。比較回路Ｊ３０６はＣＰＵＪａ３
０３とＣＰＵＪｂ３０４の出力を比較することでＣＰＵ
Ｊ２のエラーを検出する。比較回路Ｉ３０５と比較回路
Ｊ３０６はそれぞれ、比較結果が等しくない場合に１が
出力される。

【００８４】また、図５の実施例はＣＰＵＩ１とＣＰＵ
Ｊ２とＣＰＵエラー検出回路５の図１，３に示すＣＰＵ
構成とは異なる実施例の１つであり、三重化多数決の構
成である。基本的な考えは図１，３と同じであり、何れ
か１つのＣＰＵに障害が発生した場合であっても障害の
発生したＣＰＵを切り離して、縮退して動作し続けるこ
とを可能にすることを目的としている。ただし、図１，
３に示すマルチＣＰＵ構成と異なる点は、同一性能当た
りではハードウェア量は１．５倍になる代わりに、何れ
か１つのＣＰＵに障害が発生して縮退した場合であって
も、演算処理性能に変化はないということである。

【００８５】演算処理を行うＣＰＵはＣＰＵａ５０１、
ＣＰＵｂ５０２、ＣＰＵｃ５０３により三重化され、論
理的には１つのＣＰＵとして動作する。

【００８６】比較器ａｂ５０４はＣＰＵａ５０１とＣＰ
Ｕｂ５０２の出力を比較し、比較器ａｃ５０５はＣＰＵ
ａ５０１とＣＰＵｃ５０３の出力を比較し、比較器ｂｃ
５０６はＣＰＵｂ５０２とＣＰＵｃ５０３の出カを比較
し、それぞれ比較結果が等しくない場合に１が出力され
る。比較器ａｂ５０４から１が出力される場合は、ＣＰ
Ｕａ５０１とＣＰＵｂ５０２の出力のどちらかにエラー
が発生しているということである。

【００８７】同様に、比較器ａｃ５０５から１が出力す
る時はＣＰＵａ５０１とＣＰＵｃ５０３の出力のどちら
かにエラーが発生し、比較器ｂｃ５０６から１が出力さ
れる時はＣＰＵｂ５０２とＣＰＵｃ５０３の出力のどち
らかにエラーが発生しているということを示す。従って
それらの組み合わせにより、比較器ａｂ５０４と比較器
ａｃ５０５の両方から１が出力されている場合はＣＰＵ
ａ５０１の出力にエラーが発生しているということであ
り、また、比較器ａｂ５０４と比較器ｂｃ５０６の両方
から１が出力されている場合はＣＰＵｂ５０２の出力に
エラーが発生しているということであり、更に、比較器
ａｃ５０５と比較器ｂｃ５０６の両方から１が出力され
ている場合はＣＰＵｃ５０３の出力にエラーが発生して
いるということである。この論理は以下のＡＮＤ回路で
とられる。

【００８８】ＡＮＤ回路ａ５０７は比較器ａｂ５０４と
比較器ａｃ５０５の出力のＡＮＤ論理とＮＡＮＤ論理を
出力し、ＡＮＤ論理出力はＣＰＵａ５０１にエラーが検
出されたことを示し、ＮＡＮＤ論理出力はＣＰＵａ５０
１の出力にエラーがないことを保証して、出力選択回路
５１０にＣＰＵａ５０１の出力を選択させる指示とな
る。

【００８９】同様に、ＡＮＤ回路ｂ５０８は比較器ａｂ
５０４と比較器ｂｃ５０６の出力のＡＮＤ論理とＮＡＮ
Ｄ論理を出力し、ＡＮＤ論理出力はＣＰＵｂ５０２にエ
ラーが検出されたことを示し、ＮＡＮＤ論理出力はＣＰ
Ｕｂ５０２の出力にエラーがないことを保証して出力選
択回路５１０にＣＰＵｂ５０２の出力を選択させる指示
となる。

【００９０】さらに、ＡＮＤ回路ｃ５０９は比較器ａｃ
５０５と比較器ｂｃ５０６の出力のＡＮＤ論理とＮＡＮ
Ｄ論理を出力し、ＡＮＤ論理出力はＣＰＵｃ５０３にエ
ラーが検出されたことを示し、ＮＡＮＤ論理出力はＣＰ
Ｕｃ５０３の出力にエラーがないことを保証して出力選
択回路５１０にＣＰＵｃ５０３の出力を選択させる指示
となる。

【００９１】出力選択回路５１０はＡＮＤ回路ａ５０
７、ＡＮＤ回路ｂ５０８、ＡＮＤ回路ｃ５０９からのＮ
ＡＮＤ論理出力の指示に従って、ＣＰＵａ５０１、ＣＰ
Ｕｂ５０２、ＣＰＵｃ５０３の出力を選択する。選択さ
れたＣＰＵの出力が以降の処理で使用される。

【００９２】図７のフローチャートを使用して、図１に
示すＣＰＵＩ１で障害が発生した場合の縮退動作につい
て説明する。

【００９３】ＣＰＵエラー検出回路５によりＣＰＵＩ１
の出力にエラーが検出され（ステップ７１）、そのエラ
ー情報が構成制御回路１５、および構成制御回路１６に
通知される（ステップ７２）。障害ＣＰＵの切除を指示
し（ステップ７３）、エラー発生が自モジュールか否か
を確認し（ステップ７４）、構成制御回路１５からはＣ
ＰＵＩ１を切り離す指示を行い（ステップ７６）、構成
制御回路１６からはＣＰＵＩ３を切り離す指示を行う
（ステップ７６）。この時、実際に障害を起こしている
ため切り離されるＣＰＵＩ１と、構成を同一にするため
に切り離されるＣＰＵＩ３では処理が異なる。

【００９４】障害の起こっているＣＰＵＩ１は切り離し
の処理をそのまま実行するが、障害の起こっていないＣ
ＰＵＩ３はそのまま切り離すと、ＣＰＵＩ１とＣＰＵＩ
３上で処理されていたプロセス情報が失われ、以降の動
作が保証できなくなる。そのため、正常に動作している
ＣＰＵＩ３のプロセス情報をメインメモリ１１とメイン
メモリ１２の両方のモジュールのメインメモリに退避さ
せる処置を行う。この時、モジュールｂ２０のＣＰＵＩ
３より両モジュールのメインメモリ１１，１２にプロセ
ス情報を退避する方法として、モジュールｂ２０より自
モジュール以外へのライトを目的としているグローバル
ライトを使用して、ライトトランザクションをシステム
バスに対して発行する。モジュールａ１９とモジュール
ｂ２０の両方がシステムバスよりそのライトトランザク
ションを受け取り、最終的に、それぞれメインメモリ１
１と、メインメモリ１２にＣＰＵＩ３からのプロセス情
報がライトされる。ＣＰＵＩ３はこのプロセス情報の退
避処理の完了後に切り離される。

【００９５】ＣＰＵＩ１で障害が発生した場合の縮退動
作は、以上のようなフローに従ってＣＰＵＩ１とＣＰＵ
Ｉ３とを切り離すことによって実行される。なお、図５
のような三重化多数決の方法を採用している場合は、プ
ロセス情報をメインメモリに退避する必要はなく、単純
に障害ＣＰＵの切り離し処理だけを行う。

【００９６】また、キャッシュメモリ７はＣＰＵＩ１、
およびＣＰＵＪ２がメインメモリ１１にアクセスするデ
ータを一時的に記憶する小容量で高速のメモリであり、
データの高速アクセスを目的としており、ここではキャ
ッシュメモリ７をブロック０〜３の４つに分割してブロ
ック化し、キャッシュメモリ７の何れかのブロックに障
害が発生した場合でも、残りのブロックで縮退動作を可
能にしている。

【００９７】キャツシュメモリ７は性能を上げるために
必要とされる機能のため、性能の低下を容認できるシス
テムであれば最終的に全てのブロックを切り離す縮退動
作も可能である。また、ここでは４つのブロックに分割
しているが、分割数を増やすことにより縮退動作時の悪
影響を小さくすることもできる。これはメインメモリ１
１でも同様である。

【００９８】キャッシュエラー検出回路９はキャッシュ
メモリ７のエラーを検出し、また、４つの中のどのブロ
ックにエラーが検出されたかも判定して出力する。

【００９９】ここで図４を参照して、キャッシュメモリ
７とキャッシュエラー検出回路９の実施例の１つを説明
する。

【０１００】図３のＣＰＵと同様に二重化の構成等も可
能であるが、ここではキャッシュメモリ７内のデータに
エラーチェックコードを付与する実施例を説明する。使
用されるエラーチェックコードとしては、対象のデータ
ビットの排他的論理和をとることで求められるパリティ
チェックコードが一般的である。

【０１０１】ブロック番号判定回路４０１はキャッシュ
メモリ７をアクセスした際のアドレスより、どのブロッ
クにアクセスしたかを判定する回路である。アドレスの
上位ビット、または下位ビットによってブロック化する
方が効率的であるため、ブロック判定回路４０１ではア
ドレスの上位ビットまたは下位ビットをチェックするこ
とにより、アクセスするブロック番号を判定できる。

【０１０２】ブロック番号保持レジスタ４０２はブロッ
ク番号判定回路４０１の出力を保持する。ブロック番号
保持レジスタ４０２に保持されているブロック番号は、
キャッシュメモリ７の出力にエラーが検出された時に、
図１に示す構成制御回路１５へエラーの検出されたブロ
ック番号を報告するために使用される。

【０１０３】キャッシュメモリ７は４つのブロックに分
割され、かつ保持するデータに対してエラーチェックを
行うためのエラーチェックコードが付与される。何れか
のブロックに障害が発生した場合は障害の発生したブロ
ックを切り離して縮退して動作し続ける。

【０１０４】エラーチェック回路４０４はキャッシュメ
モリ７から出力されるデータと、そのデータに付与され
ているエラーチェックコードによりエラーの検出を行
う。エラーが検出された場合はブロック番号保持レジス
タ４０２に保持されているブロック番号と共に、図１の
構成制御回路１５へエラーの通知を行う。

【０１０５】ここで、図８のフローチャートを使用し
て、図１におけるモジュールｂ２０のキャッシュメモリ
８のブロック０で障害が発生した場合の縮退動作につい
て説明する。基本的には図７のフローチャートと同様で
ある。ただし、ここでの説明はキャッシュメモリの方式
がライトバック方式、つまりＣＰＵからキャッシュメモ
リにライト動作が行われた場合、キャッシュメモリにの
みライトを行いメインメモリまでは反映させず、キャッ
シュメモリに格納されているデータがメインメモリに格
納されているデータと異なる状況が起こる方式で説明す
る。詳細は後述のフローチャート中で説明する。

【０１０６】まず、キャッシュエラー検出回路１０によ
りキャッシュメモリ８のブロック０の出力にエラーが検
出されたとすると（ステップ８１）、そのエラー情報が
構成制御回路１６、および構成制御回路１５に通知され
る（ステップ８２）。

【０１０７】構成制御回路１５からはキャッシュメモリ
７のブロック０を切り離す指示を行い、構成制御回路１
６からはキャッシュメモリ８のブロック０を切り離す指
示を行う（ステップ８３）。この時、実際に障害を起こ
しているため切り離されるキャッシュメモリ８のブロッ
ク０と、構成を同一にするために切り離されるキャッ シ
ュメモリ７のブロック０では処理が異なる（ステップ８
４）。障害の起こっているキャッシュメモリ８のブロッ
ク０は切り離しの処理をそのまま実行し（ステップ８
６）、障害の起こっていないキャッシュメモリ７のブロ
ック０はそのまま切り離すと、キャッシュメモリ７とキ
ャッシュメモリ８のブロック０内に格納されているデー
タが失われ、以降の動作が保証できなくなる。ただし前
述の通り、以降の動作が保証できなくなる場合は、キャ
ッシュメモリの内容とメインメモリの内容が異なること
のあるキャッシュメモリ方式がライトバック方式などの
場合のみである。キャッシュメモリ方式が常にキャッシ
ュメモリとメインメモリの内容が等しくなるライトスル
ー方式などの場合は、失われるデータが存在しないため
以降の動作保証ができなくなるということはない。従っ
て、ライトスルー方式での縮退動作のフローは図８より
単純であり、障害の発生したキャッシュメモリのブロッ
クを切り離す処理を行うのみである。

【０１０８】上述のライトバック方式のキャッシュメモ
リでは、正常に動作しているキャッシュメモリ７のブロ
ック０に格納されているデータで、メインメモリ１１に
格納されているデータとは異なる、つまりＣＰＵＩ１ま
たはＣＰＵＪ２からのライトにより内容を更新されたデ
ータを、メインメモリ１１とメインメモリ１２の両方の
モジュールのメインメモリに退避させる処置を行う（ス
テップ８５）。

【０１０９】この時、モジュールａｌ９のキャッシュメ
モリ７より両モジュールのメインメモリ１１，１２にブ
ロック０の格納データを退避する方法として、モジュー
ルａｌ９より自モジュール以外へのライトを目的として
いるグローバルライトを使用して、ライトトランザクシ
ョンをシステムバスに対して発行する。モジュールａｌ
９とモジュールｂ２０の両方がシステムバスよりそのラ
イトトランザクションを受け取り、最終的にそれぞれメ
インメモリ１１とメインメモリ１２にキャッシュメモリ
７のブロック０からのデータがライトされる。キャッシ
ュメモリ７のブロック０はこのデータ退避処理の完了後
に切り離される。

【０１１０】キャッシュメモリ８のブロック０で障害が
発生した場合の縮退動作は、以上のようなフローに従っ
てキャッシュメモリ７のブロック０とキャッシュメモリ
８のブロック０を切り離すことによって実行される。

【０１１１】メインメモリ１１はプログラムデータを記
憶する記憶装置である。ここではメインメモリ１１をブ
ロック０〜３の４つにブロック化し、何れかのブロック
に障害が発生した場合は残りのブロックで動作し続け、
縮退動作が可能である。前述のキャッシュメモリ７と同
等の縮退動作を行う。ただし、キャッシュメモリ７とは
異なり、全てのブロックを切り離すことは不可能であ
り、０Ｓが必要とする最低限のメモリ容量は確保しなけ
ればならない。

【０１１２】メモリエラー検出回路１３はメインメモリ
１１のエラーを検出し、また、４つの中のどのブロック
にエラーが検出されたかも判定して構成制御回路１５ヘ
出力する。

【０１１３】ここで図２を参照して、メインメモリ１１
とメモリエラー検出回路１３の実施例の１つを説明す
る。メインメモリ１１は図３の二重化構成や図４のエラ
ーチェックコードを付与する方法も可能であるが、ここ
ではメインメモリ１１内のデータにエラーチェック＆訂
正コードを付与する実施例を説明する。

【０１１４】ブロック番号判定回路２０１はメインメモ
リ１１をアクセスした際のアドレスより、どのブロック
にアクセスしたかを判定する回路である。キャッシュメ
モリ７と同様に、アドレスの上位ビット、または下位ビ
ットによってブロック化する方が効率的であるため、ブ
ロック判定回路２０１ではアドレスの上位ビット、また
は下位ビットをチェックすることにより、アクセスする
ブロック番号を判定できる。

【０１１５】ブロック番号保持レジスタ２０２はブロッ
ク番号判定回路２０１の出力を保持する。ブロック番号
保持レジスタ２０２に保持されているブロック番号は、
メインメモリ１１の出力にエラーが検出された時に、図
１の構成制御回路１５へエラーの検出されたブロック番
号を報告するために使用される。

【０１１６】メインメモリ１１は４つのブロックに分割
され、更に保持するデータに対し、エラーチェック、お
よびエラー訂正を行うためのエラーチェック＆訂正コー
ドを付与される。エラーチェック＆訂正コードは、コー
ドサイズの適切さより１ビットエラー訂正２ビットエラ
ー検出ＥＣＣコードを使用することが一般的である。何
れかのブロックに障害が発生した場合は、障害の発生し
たブロックを切り離して縮退して動作し続ける。

【０１１７】訂正不可能エラーチェック回路２０５は、
メインメモリ１１の出力にエラーが検出された場合で
も、検出されたエラーが訂正可能なエラーである場合は
構成制御回路１５にエラー報告を行わず検出されたエラ
ーが訂正不可能なエラーである場合にのみ構成制御回路
１５にエラー報告を行う。これにより致命的な障害でな
い限りエラー報告がなくなり、エラー報告の頻度を減ら
し、縮退動作を行ってシステム性能に影響を与えること
を減少させることができる。

【０１１８】エラー訂正回路２０６は、メインメモリ１
１から出力されるデータとそのデータに付与されている
エラーチェック＆訂正コードにより、まずエラーチェッ
クを行って、その結果エラーが検出され、かつ検出され
たエラーが訂正可能なエラーである場合はそのエラーを
訂正して出力すると同時に、工ラーを訂正したデータを
メインメモリ１１ヘライトするための指示を行う。メイ
ンメモリ１１ヘの訂正データライトを行う理由は、訂正
データのライトを実行しなければメインメモリ１１内で
エラーを起こしたデータはそのままの状態で残り、更に
訂正不可能なエラーに進行して、結局は縮退動作を行う
という結果に繋がるからである。

【０１１９】データ選択回路２０４はメインメモリ１１
内のエラーを起こしているデータを修正するために、エ
ラー訂正回路２０６からの指示に従って、通常のデータ
パスからエラー修正用のデータパスに切り替えて、エラ
ー訂正回路２０６からの訂正データを選択して出力す
る。

【０１２０】メインメモリ１１またはメインメモリ１２
に障害が起こった場合の縮退動作のフローチャートは、
図８のキャッシュメモリ７，８の縮退動作のフローチャ
ートとほぼ同一である。注意する点としては、障害を起
こしたメインメモリのブロックに格納されているデータ
をグローバルライトで退避するという意味が、障害の発
生したブロックに格納されているデータをメインメモリ
内の別のブロックに移動するという結果になることであ
る。

【０１２１】構成制御回路１５はモジュールａ１９内の
ＣＰＵエラー検出回路５、キャッシュエラー検出回路
９、またはメモリエラー検出回路１３でエラーが検出さ
れて通知された場合は、エラーが検出された機能、およ
びその機能内のブロック番号を構成通知線ａ１７によっ
て、もう一方のモジュールｂ２０の構成制御回路１６に
通知する。同様にしてモジュールｂ２０内で検出された
エラーに関しては、構成制御回路１６より構成通知線ｂ
１８によって構成制御回路１５に通知される。

【０１２２】構成制御回路１５はモジュールａ１９内で
エラーの検出された機能のブロックを切除する指示を
し、構成制御回路１６からの通知に際しては、該通知に
該当する機能のブロックを無効にする指示を行う。この
時、構成制御回路１６も全く同じ指示を行うため、モジ
ュールａ１９とモジュールｂ２０は全く同じ構成で縮退
動作を行い、どちらか一方のモジュールに障害が発生し
ても、変わらずに二重化動作を継続し続ける。構成制御
回路から障害を起こした機能を切り離す方法としては、
構成制御回路からＣＰＵに割り込みを発信し、ＣＰＵは
その一連の割り込みの処理として障害を起こした機能を
切り離す方法などがある。

【０１２３】モジュールａ１９とモジュールｂ２０は、
二重化されたバスであるシステムバスａ２１とシステム
バスｂ２２の両方に接続される。モジェールａ１９とモ
ジュールｂ２０はそれぞれシステムバスａ２１とシステ
ムバスｂ２２の両バスにデータを送信し、両バスからデ
ータを受信する。これにより、システムとしてはモジュ
ールａ１９とモジュールｂ２０、またはシステムバスａ
２１とシステムバスｂ２２のそれぞれの一方が完全に切
り離された場合でも、動作し続けることが可能である。

【０１２４】以上により図１に示す実施例においては、
モジュール内の何れかの機能に障害が発生した場合で
も、障害の発生したモジュール全体を切り離さず、障害
を起こしたモジュール内の機能の一部を切り離し、更に
構成が異なると二重化されたモジュールの同期動作が不
可能になるため、正常な側のモジュールを障害を起こし
た側のモジュールと同一構成になるように制御し、その
結果、二重化モジュールは障害を起こしても変わらずに
信頼性の高い二重化構成のまま動作し続けることが可能
になる。

【０１２５】次に、図６に示すシステムの動作について
説明する。このシステムの冗長化構成の本概念は、図１
のシステムと比較すると各モジュールは細かく細分化さ
れ、特にＣＰＵの機能部は三重化されているのが特徴で
ある。

【０１２６】演算処理を行うＣＰＵ機能部は三重化構成
をとり、ＣＰＵａ６０１、ＣＰＵｂ６０２、ＣＰＵｃ６
０３により三重化される。図６は基本的な概念のみを示
しているが、それぞれのＣＰＵ機能部は図１のモジュー
ルａ１９、モジュールｂ２０と同等に縮退可能な構成
で、図３や図５のようなエラー検出構成をとる。

【０１２７】ＣＰＵａ６０１、ＣＰＵｂ６０２、ＣＰＵ
ｃ６０３の出力は、それぞれ二重化構成をとる多数決論
理ａ６０７、および多数決論理ｂ６０８で多数決論理を
とることにより、何れか１つのＣＰＵに障害が発生して
エラーのあるデータを出力した場合でも、多数決論理ａ
６０７、および多数決論理ｂ６０８によりエラーのない
正しいデータを選択して出力する。

【０１２８】ＣＰＵａ構成制御回路６０４、ＣＰＵｂ構
成制御回路６０５、ＣＰＵｃ構成制御回路６０６はお互
いに自モジュール内の構成を通知し合い、ＣＰＵａ６０
１、ＣＰＵｂ６０２、ＣＰＵｃ６０３を同一の構成に制
御する。ＣＰＵａ６０１、ＣＰＵｂ６０２、ＣＰＵｃ６
０３の何れかに障害が発生した場合は、それぞれのＣＰ
Ｕが複数構成の場合は同等に縮退して動作し、変わらず
三重化構成をとるが、単数の場合はエラー発生のＣＰＵ
が切除され、正常なＣＰＵが二重化構成を確保する。

【０１２９】多数決論理ａ構成制御回路６０９と多数決
論理ｂ構成制御回路６１０は、お互いに自モジュール内
の構成を通知し合い、何れかに障害が発生した場合でも
二重化動作を続けられるように、多数決論理ａ６０７と
多数決論理ｂ６０８を同一の構成に縮退して動作するよ
うに制御する。

【０１３０】ブログラムデータを格納するメモリａ６１
１とメモリｂ６１２も二重化構成をとり、多数決論理ａ
６０７と多数決論理ｂ６０８の両方の出力を入力する。
多数決論理ａ６０７と多数決論理ｂ６０８の両方を入力
する理由は、どちらかの多数決論理が縮退不可能な致命
的なエラーで切り離された場合にも、メモリａ６１１と
メモリｂ６１２の両方を動作可能にして、システムヘの
悪影響を最小限にするためである。縮退可能なメモリは
図２、４のような実施例などで実現できる。メモリａ構
成制御回路６１３とメモリｂ構成制御回路６１４はお互
いに自モジュール内の構成を通知し合い、どちらかのメ
モリに障書が発生した場合でも二重化動作を続けられる
ように、メモリａ６１１とメモリｂ６１２を同一構成に
縮退して動作するように制御する。

【０１３１】以上により図６の実施例においては図１の
実施例と同様に、モジュール内の何れかの機能に障害が
発生した場合でも、障害の発生したモジュール全体を切
り離さず、障害を起こしたモジュール内の機能の一部を
切り離し、更に構成が異なると二重化または三重化され
たモジュールの同期動作が不可能になるため、正常な側
のモジュールを障害を起こした側のモジュールと同一構
成になるように制御し、その結果、二重化または三重化
モジュールは障害を起こしても変わらずに信頼性の高い
二重化または三重化構成で動作し続けることが可能にな
る。

【０１３２】

【発明の効果】第１の効果は、システムを構成する各モ
ジュールを冗長化することにより耐故障性を高めたシス
テムにおいて、冗長化した何れかのモジュールの機能の
一部に障害が発生した場合であっても、障害の発生した
モジュールは障害の発生した機能の一部のみを切り離し
て縮退動作を行い、障害の発生していないモジュールも
障害の発生したモジュールの構成に合わせて縮退動作を
行うことで、障害発生したにもかかわらず信頼性の高い
冗長化された構成のまま動作し続けることができること
である。

【０１３３】第２の効果は、障害の影響を障害の起こっ
ている機能の一部のみを切り離して縮退動作させること
により、多重故障に耐え得るようにようになることであ
る。例えば、二重化したモジュールの一方のＣＰＵに障
害が発生し、もう一方のモジュールにはメモリに障害が
発生する二重故障が起こったとしても、本発明では動作
し続けることが可能である。このため、さらに信頼性を
高めた冗長化システムを提供できることである。

【０１３４】第３の効果は、モジュール内の機能のデー
タに対して、エラーチェック、およびエラー訂正を実行
可能なコードを付与し、検出されたエラーが訂正可能で
ある場合はエラーを訂正することにより、エラーが検出
されたために開始される縮退動作の頻度を減少させ縮退
動作によるシステムヘの影響を減少させるとともに、よ
り信頼性の高い冗長化システムを提供できることであ
る。

【図面の簡単な説明】

【図１】本発明の冗長化方法が適用された冗長化適用シ
ステムの第一の実施例のブロック図である。

【図２】図１に示すメインメモリ１１とメモリエラー検
出回路１３の詳細ブロック図である。

【図３】図１に示すＣＰＵＩ１とＣＰＵＪ２とのＣＰＵ
エラー検出回路の二重化比較法説明図である。

【図４】図１に示すキャッシュメモリ７とキャッシュエ
ラー検出回路９の詳細ブロック図である。

【図５】本発明の冗長化方法の第２の実施の形態が適用
された三重冗長化システムのエラー検出回路の説明図で
ある。

【図６】本発明の冗長化方法が適用された三重冗長化シ
ステムの構成説明図である。

【図７】図１に示す冗長化システムの動作のフローチャ
ートである。

【図８】図１に示すキャッシュメモリ７にエラーが検出
されたときの動作のフローチャートである。

【図９】従来の冗長化システムの一例の概念図である。

【図１０】図９に示した従来例の冗長化システムの障害
時のシステム構成を示す図である。従来の発明の第一の
実施例の構成図です。

【符号の説明】

１，３ ＣＰＵＩ ２，４ ＣＰＵＪ ５，６ ＣＰＵエラー検出回路 ７，８ キャッシュメモリ ９，１０ キャッシュエラー検出回路 １１，１２ メインメモリ １３，１４ メモリエラー検出回路 １５，１６ 構成制御回路 １７ 構成通知線ａ １８ 構成通知線ｂ １９ モジュールａ ２０ モジュールｂ ２１ システムバスａ ２２ システムバスｂ ２０１ ブロック番号判定回路 ２０２ ブロック番号保持レジスタ ２０４ データ選択回路 ２０５ 訂正不可能エラーチェック回路 ２０６ エラー訂正回路 ３０１ ＣＰＵＩａ ３０２ ＣＰＵＩｂ ３０３ ＣＰＵＪａ ３０４ ＣＰＵＪｂ ３０５ 比較回路Ｉ ３０６ 比較回路Ｊ ４０１ ブロック番号判定回路 ４０２ ブロック番号保持レジスタ ４０４ エラーチェック回路 ５０１ ＣＰＵａ ５０２ ＣＰＵｂ ５０３ ＣＰＵｃ ５０４ 比較回路ａｂ ５０５ 比較回路ａｃ ５０６ 比較回路ｂｃ ５０７ ＡＮＤ回路ａ ５０８ ＡＮＤ回路ｂ ５０９ ＡＮＤ回路ｃ ５１０ 出力選択回路 ６０１ ＣＰＵａ ６０２ ＣＰＵｂ ６０３ ＣＰＵｃ ６０４ ＣＰＵａ構成制御回路 ６０５ ＣＰＵｂ梅成制御回路 ６０６ ＣＰＵｃ構成制御回路 ６０７ 多数決論理ａ ６０８ 多数決論理ｂ ６０９ 多数決論理ａ構成制御回路 ６１０ 多数決論理ｂ構成制御回路 ６１１ メモリａ ６１２ メモリｂ ６１３ メモリａ構成制御回路 ６１４ メモリｂ構成制御回路 ９０１ ホストアダプタ部 ９０２ ディスクアダプタ部 ９０３ キャッシュメモリパッケージ ９０４ コモンバス ９０５ アレイディスク ９１８ 共有メモリ ９２０ キャッシュメモリ ９２２ ディスクアダプタ２ ９２９ チャネルアダプタ ９９２ ディスクアダプタマスタ制御プログラム（Ｄ
ＳＰ）

フロントページの続き (56)参考文献 特開 平９−34809（ＪＰ，Ａ) 特開 平７−20994（ＪＰ，Ａ) 田中明、他７名，「ＡＣＯＳシステム 3800のＲＡＳ」，ＮＥＣ技報，日本電 気，平成４年２月10日，第45巻，第１ 号，ｐ．34−39 藤原傭隆、他８名，「ＡＣＯＳシステ ム3900のＲＡＳ」，ＮＥＣ技報，日本電 気，平成６年２月25日，第47巻，第２ 号，ｐ．20−25 大塚壮一，他２名，「ＰＣ−9801＋Ｖ 60＋Ｕｎｉｘ＋ＴＲＯＮ ＦＲＭ機能と フォールト・トレラント・システムの考 え方」，インターフェース，ＣＱ出版, 昭和64年１月１日，第15巻，第１号, ｐ．265−273 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 11/16 - 11/20 G06F 15/16 - 15/177 G06F 12/16

Claims (8)

(57)【特許請求の範囲】
1. 【請求項１】 システムを構成する各現用モジュールを
   冗長化することにより、耐故障性を備えたシステムの冗
   長化方法において、 各モジュール内の一部を切り離して縮退動作可能な構成
   とする縮退可能化ステップと、 各モジュール内のエラーを検出するエラー検出ステップ
   と、 モジュール内の機能要素の何れかにエラーが検出される
   と、同一冗長化モジュール全体に亙って、エラーが検出
   された部分を切り離し、エラーを起したモジュールと同
   一構成として縮退を行う縮退ステップを有することを特
   徴とするシステムの冗長化方法。
2. 【請求項２】 前記縮退可能化ステップが、各モジュー
   ル内の同一機能要素を複数装備し、エラーが起った場合
   は、複数装備した同一機能要素のエラーを起した機能要
   素のみを切り離して動作するステップを有し、縮退動作
   を可能にする請求項１記載のシステムの冗長化方法。
3. 【請求項３】 前記エラー検出ステップが、各モジュー
   ル内の構成要素のエラーを検出すると共に、縮退動作を
   可能とするために備えられた前記複数の同一機能要素の
   何れかにエラーが検出されたかを判定し、そのエラー情
   報を出力する請求項２記載のシステムの冗長化方法。
4. 【請求項４】 前記縮退可能化ステップが、各モジュー
   ル内の同一機能要素内を複数のブロックに分割し、エラ
   ーが起った場合は機能要素内のエラーを起した部分を切
   り離すことにより、縮退動作を可能とする請求項１記載
   のシステムの冗長化方法。
5. 【請求項５】 前記エラー検出ステップが、各モジュー
   ル内の構成要素のエラーを検出すると共に、縮退動作を
   可能とするために分割された前記機能要素のブロックの
   何れかにエラーが検出されたかを判定し、そのエラー情
   報を出力する請求項４記載のシステムの冗長化方法。
6. 【請求項６】 前記エラー検出ステップが自モジュール
   内にエラーを検出した場合は、冗長化された全ての他モ
   ジュールに検出されたエラー情報を通知すると共に、冗
   長化された他モジュールで検出されたエラーのエラー情
   報を受信し、エラー情報に従って冗長化された全モジュ
   ールで同一の機能要素の一部を切り離して縮退動作する
   ように指示を出す機能制御ステップを含む請求項３また
   は５記載のシステムの冗長化方法。
7. 【請求項７】 前記エラー検出ステップが、各モジュー
   ルの構成要素内のデータにエラー訂正コードを付与する
   ことにより、構成要素内の出力に訂正可能なエラーが検
   出される場合、構成要素内のエラーの発生したデータを
   訂正するエラー訂正ステップを有する請求項１記載のシ
   ステムの冗長化方法。
8. 【請求項８】 前記エラー検出ステップが、各モジュー
   ルの構成要素内で検出されたエラーが前記エラー訂正ス
   テップで訂正可能な場合は、エラーが検出されなかった
   と同等に前記縮退ステップを実行せず訂正不可能なエラ
   ーのみ前記縮退ステップを実行する請求項７記載のシス
   テムの冗長化方法。