JPH01288928A - 耐故障コンピュータ・システムおよびその内部回路並びに誤り検出訂正方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔産業上の利用分野〕 本発明は、耐故障コンピュータ・システムおよびその内
部回路並びに誤り検出訂正方式に係り、特に、システム
の冗長化に好適なサブシステム相互の診断結果の取り扱
いおよびサブシステム間の相互診断に関するものである
６ 〔従来の技術〕 システムに信頼性を高めるために、システムを構成する
サブシステムを多重化して、それら各々のサブシステム
の故障を診断し、その診断結果を用いてそれらサブシス
テムの出力を選択したり多数決を採る手法が広く用いら
れている。

なお、故障とは、現在のところまだ、ＪＩＳ原案段階で
あるが、コンピュータ・システムの高信頼化対策技術基
準（案）によると、［アイテム（高信頼化の対象となる
もの）が規定の機能を失うこと」と定義されており、狭
義には部品の故障などによる永久故障をさす１本明細書
では、永久故障だけでなく、コンピュータシステム電気
雑音やシングル・イベント・アップセット（Ｓｉｎｇｌ
ｅ　Ｅｖｅｎｔ　Ｕｐｓｅｔ）と呼ばれる放射線の影響
によるデータ破壊などを原因とする一時的な誤動作も故
障に含めることにする。特に宇宙環境での動作を要求さ
れているコンピュータでは、シングル・イベント・アッ
プセットの発生は無視できない問題である。

故障の有無を判定し、その個所を特定する診断のために
、従来からコンピュータの中で用いるデータにＥ　Ｄ　
Ｃ（Ｅｒｒｏｒ　ＤｅｔａｃｔｉｎＨＣｏｄｅ）やＥＣ
Ｃ（Ｅｒｒｏｒ　Ｃｏｒｒｅｃｔｉｎｇ　Ｃｏｄｅ）を
付加したり、アイテムが所定時間内に所定動作をしない
ことを異常として検出するウォッチ・ドッグ・タイマ（
ｖａｔｃｈＤｏｇ　Ｔｉｍｅｒ）などを組み込んだりし
ている。

また、故障診断機能自体の耐故障性を高めるため、各サ
ブシステムに故障診断機能をもたせて故障診断機能を多
重化する方法が考えられている。

この方法について第１２図により説明する。各サブシス
テム１−１〜１−Ｎにおいて１診断機能２−１〜２−Ｎ
は他のサブシステムとデータを交換して、自および他サ
ブシステムを診断し、診断結果４−１〜４−Ｎを出力す
る。診断結果４−１〜４−Ｎは、それぞれ各サブシステ
ムの正常／異常を表しており、通常Ｎビットのデータか
らなっている。これらの診断結果４−１〜４−Ｎには、
各サブシステムの故障により誤りが含まれることがある
ので、判定回路１０では診断結果４−１〜４−Ｎをもと
に正しい診断結果を判断し、判定結果４ｏとして出力す
る。最終出力段の出力選択または拡張機能付き多数決回
路（Ｍｏｄｉｆｉｅｄ　Ｖｏｔｅｒ以下ＭＶという。）
１１では１判定結果４０をもとに各サブシステムの出力
６−１〜６−Ｎの選択またはスレッショルド・ボーティ
ングまたは待機系付き多数決を行い、出力６０とする。

（以下、スレッショルド・ボーティングと待機系付き多
数決を合わせて、拡張多数決という。）この方法によれ
ば、各サブシステム１−１〜１−Ｎにおいて自サブシス
テムの故障診断だけでなく、他のサブシステムの故障判
断も相互に実行できる。

しかし、この方法では、複数のサブシステムから複数の
故障判断結果４−１〜４−Ｎが出力されるため、それら
のうちどの診断結果が正しいかを判定回路１０において
判断する方法が問題となる。

この問題について、例えば電子通信学会フォールト・ト
レラント・システム研究会資料、ＦＴＳ８５−１５　（
１９８５）、第４１頁から第４８頁においては、第１３
図のように、サブシステムの数が４の場合は５人力多数
決回路１２に故障診断結果４−１〜４−４とラッチ回路
２０によって保持された前回の多数決結果４１とを入力
することにより解決している。この方法によれば、前回
の多数決結果４１が正しい診断結果を示していれば、診
断結果４−１〜４−４のうち２つ以上の診断結果が正常
である限り、多数決により正しい診断結果４０が得られ
る。

〔発明が解決しようとする課題〕

く診断結果の取扱上の問題点〉 上記従来技術によれば、診断結果４−１〜４−４のうち
正常な診断結果が１つだけである場合、多数決出力（判
定結果）４０は正しい診断結果を示さなくなる。すなわ
ち、第１３図において前回の多数決結果４１を含めた５
つの入力４１．４−１〜４−４の多数決の結果４０が正
しくなるためには、少なくとも２つ以上の入力が正しく
なければならないわけである。

つまり、第１２図において、サブシステム１−１〜１−
Ｎ　（Ｎ＝４）のうち正常に動作するサブシステムが１
つだけになった場合、診断結果４−１〜４−Ｈのうち正
しいのは１つだけとなり、判定結果４０は正しい診断結
果を示さなくなり、出力選択回路またはスレッショルド
・ボータ１１の出力６０は正しい出力信号とはならない
という問題があった。一般に、（２ｔ＋１）入力（し＝
自然数）の多数決の結果が正しい結果を出すには少なく
とも（ｔ＋１）個以上の入力が正しくなければならない
から、前回の多数決結果を含めた多数決の結果が正しく
なるには、前回の多数決結果が正しいとして少なくとも
ｔ個以上の入力が正しくなければならない。上記従来技
術によって１診断結果のうち１つの診断結果のみが正常
である場合にも判定回路１０による判定結果４０が正し
い診断結果を示すのはｔ＝１のときに限られる。

ここで、第１０図において１つのサブシステムだけが正
常である場合でも判定結果４０が正しい診断結果を示す
ようにできれば、出力選択回路またはＭＶＩＩは各サブ
システムの出力６−１〜６−Ｎのうち正しいものを選択
可能である。つまりＮ個のサブシステムのうち１つのサ
ブシステムが正常でありさえすれば正常な動作が保証さ
れるシステムを構成でき、システムの強健性を高めるこ
とが可能となる。

くサブシテムの相互診断の問題点〉 従来技術では、サブシステムの相互診断のためにサブシ
ステム１−１〜１−Ｎの間で処理の結果や処理の途中結
果等のデータを交換し、そのデータを比較・照合してい
た。

この方法では、各サブシステムの正常／異常を示す情報
として、データの一致／不一致の他に、データ交換が可
能かどうかという情報が得られる。

それぞれのサブシステムがデータ交換が可能かどかとい
う情報は、システムダウンなどの致命的障害を受けてい
るサブシステムを特定するための有力な手がかりとなる
が、交換したデータの正当性を示すものではない。例え
ば、処理中にあるサブシステムでシングルイベントによ
るデータの誤りが生じても、多くの場合にはデータ交換
機能自体は影響を受けないために、その誤ったデータを
交換してしまう。

この場合、データの多数決をとることにより、正常なデ
ータおよびサブシステムを特定できれば問題ないが、シ
ステム・ダウンなどにより２個を除く全てのサブシステ
ムがデータ交換の不可能な状態にあるときには、残存し
た２個のサブシステムのデータの一致がデータの正当性
のよりどころとなり、万一データの不一致が生じた場合
、どちらの、データが正常であるかを特定出来なくなっ
ていしまう問題があった。

本発明の目的は、Ｎ個のサブシステムのうち１つのサブ
システムが正常でありさえすれば正常な動作を保証でき
るシステム、すなわちＮ−１個までのサブシステムの故
障に耐える強健性を備えた耐故障コンピュータ・システ
ムおよびその内部回路並びに誤り検出訂正方式を提供す
ることである。

〔課題を解決するための手段〕

本発明は、上記目的を達成するために、Ｎ重化（Ｎは２
以上の整数）されたサブシステム１を持ち、各サブシス
テムに相互のサブシステムの動作を診断し結果を出力す
る診断機能２を持つ耐故障コンピュータ・システムにお
いて、各サブシステムが自サブシステムの診断機能２の
動作状態を診断し結果を出力する診断機能３と、各サブ
システ１、から診断機能２により出力された第１診断結
果のスレッショルド・ボーティングを行う、または、各
サブシステムから診断機能３により出力された第２診断
結果をもとに待機系付き多数決を行う判定回路１０と、
判定回路１０から得られた第３診断結果をもとに各サブ
システムの出力信号の選択。

スレッショルド・ボーティング、または待機系付き多数
決を行う回路１１とを備えた耐故障コンピュータ・シス
テムを提案するものである。

自己診断機能および相互診断機能を診断機能３により診
断した結果を用いて、各サブシステムにおける診断機能
２による自己診断結果および相互診断結果のスレッショ
ルド・ボーティングまたは待機系付き多数決を採った結
果により、正常なサブシステムを選択することができる
。

診断機能２は、複数のサブシステム間で各サブシステム
における自己診断結果および処理結果または処理途中結
果を交換し、各サブシステムが。

交換した処理結果または処理途中結果の一致・不一致お
よび各サブシステムの自己診断結果に基づき各サブシス
テムの正常／異常を診断し結果を出力する手段としても
よい。

また、診断機能３は、具体的には自サブシステムの通電
状態（ＯＮ／ＯＦＦ）を出力する手段である。

診断機能３は、他のサブシステムと鍵コードを交換し、
鍵コードが正しいかどうかを照合し、照合結果を出力す
る手段とすることもできる。

本発明のサブシステムは、複数のサブシステムの正常性
を診断し結果を出力する診断機能２の他に、自サブシス
テムの診断機能２の動作状態を診断し出力する診断機能
３を備えていることを特徴とする。

回路１１は、第２診断結果をもとに行った第１診断結果
のスレッショルド・ボーティングまたは待機系付き多数
決の結果をもとに、各サブシステムの出力信号の選択ま
たはスレッショルド・ボーティングまたは待機系付き多
数決を採る出力選択回路である。

さらに具体的には、Ｎ個の入力信号それぞれの正常／異
常を示す信号に基づきＮ個の入力信号の中からＭ（Ｍは
Ｎ以下の自然数）個の入力信号を選択し出力する信号選
択回路と、前記Ｍ個の信号を入力とする多数決回路とか
らなる待機系付き多数決回路は、信号選択回路から多数
決回路に、（１）もしＮ　ｇ　＞　Ｍ　／　２ならば、
ｍｉ　ｎ　（Ｍ、Ｎｇ）個の正常な入力信号および（Ｍ
−ｍ　ｉ　ｎ　（Ｍ、　Ｎ　ｇ）　）個のフォールト・
セキュア（明らかに誤りとわかる信号または安全側の動
作を保証する信号）信号を出力し、（２）もし、Ｎ　ｇ
　＜　Ｍ　／　２ならば。

Ｎｇ個の正常な入力信号をそれぞれｔｒｕｎｃ（Ｍ／Ｎ
ｇ）個ずつ複写した｛ｔｒｕｎｃ（Ｍ／Ｎｇ）　　・Ｎ
ｇ）個の正常な信号および（Ｍ−ｔｒｕ　ｎ　ｃ　（Ｍ
／Ｎｇ）　　・Ｎｇ）個のフォールト・セキャア信号を
出力し、 （３）もしＮｇ＝Ｏならば、 Ｍ個のフォールト・セキュア信号を出力する。ただし、
Ｎｇは正常な入力信号の個数、ｍ１ｎ（Ａ。

Ｂ）はＡ、Ｈのうち小さい方、ｔｒｕｎｃ（Ａ）はＡの
整数部である。

待機系付き多数決回路としてはまた、Ｎ個の入力信号の
それぞれの正常／異常を示す信号に基づき、Ｎ個の入力
信号からＭ個の入力信号を選択し出力する信号選択回路
と、上記Ｍ個の信号を入力する多数決回路からなる待機
系付き多数決回路において、Ｎ個の入力信号のうちＭ個
の入力信号を常用の入力信号と定め、（Ｎ−Ｍ）個の入
力信号を予備（待機系）の入力信号と定め、信号選択回
路のそれぞれの出力ごとに、常用の入力信号および予備
の入力信号の選択の優先順位を定め、常用の入力信号の
優先順位の第１位と第２位との間に予備の入力信号の優
先順位を挿入してすべての信号の優先順位とし、その優
先順位に基づいて、上位の優先順位の入力信号が正常な
らばその入力信号を選択し、異常ならば下位の優先順位
の入力信号を選択し、出力する待機系付き多数決回路と
いすることも可能である。

この待機系付き多数決回路において、常用の入力信号の
選択の優先順位を、入力選択回路のそれぞれの出力信号
ごとに、たとえば優先順位が、第１出力信号について、 Ｄ１、　Ｄ２・・・・・・・・・、　ＤＭ第２出力信号
について、 Ｄ２．　Ｄ、・・・・・・・・・、ＤＭ、Ｄユ第Ｍ出力
信号について、 Ｄと、Ｄ工・・・・・・・・・、ＤＭ−８（ただし、Ｄ
ｉは第ｉの入力信号とする。）となるように、循環させ
て定めることをできる。

上記待機系付き多数決回路において、予備の入力信号の
選択の優先順位を、入力選択回路のすべての出力信号に
ついて、同一に定めてもよい。

本発明はまた、ＲＡＭに誤り訂正符号を付加して記憶さ
せたデータを読み出し、誤り訂正後の誤り訂正符号付き
データをＲＡＭに再び書き込む機能を有する耐故障コン
ピュータ・システムの誤り訂正方式として、周期的にま
たは本来の処理の合間の待ち時間に、少なくとも１つの
データを読み込み、誤り訂正後の誤り訂正符号付きデー
タをＲＡＭに再書き込みする方式を提案する。

〔作用〕

本発明においては、各サブシステム１の診断機能２の動
作を診断するためにより単純な構成で信頼度の高い診断
機能３を設け、その診断結果５を用いて１診断結果４の
拡張多数決を採ることにより、正常なサブシステムが１
つだけの場合でも、正しい判断結果４０が得られるよう
にする。診断機能２については、従来から用いられてい
るサブシステム相互間でデータを交換し、そのデータを
比較照合することにより、各サブシステムの動作を相互
診断する方法の他に１本発明で提供するそれぞれのサブ
システムにおける自己診断結果をデータとともにサブシ
ステム間で交換し、交換した自己診断結果およびデータ
の一致・不一致により各サブシステムの動作を相互診断
する方法を適用すればよい。また診断機能３については
１本発明で提供する（１）自サブシステムの電源の０Ｎ
１０ＦＦを見ることにより、当該サブシステムの動作／
不動作を判定する手段、（２）他のサブシステムから正
しい鍵コードを受は取ったかどうかを見ることにより、
他のサブシステムとのデータ交換機能などを診断機能２
のうち主要な機能の正常性を診断する手段の他に、スト
アード・プログラム方式のコンピュータ・システムにお
いては、ウォッチ・ドッグ・タイマによりプロセッサの
動作を監視し、暴走を検出する手段などを用いればよし
）、１ 診断機能３は、診断機能２の動作を監視して、その故障
を診断しさえすれば良いので、Ｎ単な機能ですみ、故障
も少ない。特に、先に述べたように、診断機能３として
、サブシステムの電源の０Ｆ１０　Ｆ　Ｆをみる方法を
用いれば、極度に単純で故障の少ない診断機能を実現で
き１診断機能２について、信頼度の高い診断結果５が得
られる。

以上のようにして得られた信頼度の高い診断結果５を用
いて、診断機能３による診断結果５の拡張多数決をとる
ことにより、診断結果４よりも信頼度の高い判断結果４
０を得ることができる。しかも拡張多数決の特徴により
、正常なサブシステムの個数が１個の場合でも判断結果
４ｏを得ることが可能となる。

つまり、正常なサブシステムの個数が１個の場合でも判
断結果４０に基づいて４７３頼度の高い出力信号６０を
選択できる。

本発明によれば、以上のようにして（Ｎ−１）個までの
サブシステムの故障に耐えられるシステムの構成が可能
となる。

〔実施例〕

以下、図面を参照して、本発明の実施例を具体的に説明
する。

〈システム構成〉 本発明の基本的実施例の構成を第１図に示す。

図において、１はサブシテム、２はその診断機能、３は
診断機能２の診断機能、４は診断機能２の診断結果、５
は診断機能３の診断結果、６はサブシステム１の出力、
１０は判定回路、１１は出力選択回路または拡張機能付
き多数決回路（ＭＶ）。

４ｏは判定回路１０の判定結果、６０はＭＶの出力であ
る。

診断機能２−１〜２−Ｈについては、ストアード・プロ
グラム方式コンピュータ・システムにおいて、各システ
ム１−１〜１−Ｎ間でデータを交換し、そのデータを比
較・照合する従来の方法に加えて、本発明で提供する各
サブシステム１−１〜１−Ｎ間でデータバスまたは通信
チャンネルを通じて処理結果または処理途中結果および
自己診断結果７−１〜７−Ｎを交換し合い、それ゛らを
比較判断する方法を使用できる。

診断機能３−１〜３−Ｎにおいては、上記診断機能２−
１〜２−Ｎの動作の正常性を診断する。

本発明では、その方法として （１）電源のＯＮ１０　Ｆ　Ｆを見ることにより、当該
サブシステム全体の動作／不動作を調べる方法。

（２）他のサブシステムから正しい鍵コードを受は取っ
たかどうかを見ることにより、他サブシステムとのデー
タ交換機能などの診断機能２−１〜２−Ｈの主要な機能
の正常性を調べる方法、などを提供する。（詳細な実施
例については後述する）以上のようにして作成された診
断結果５−１〜５−Ｎはそれぞれのサブシステムにおけ
る診断機能２−１〜２Ｎの正常／異常を表すので、通常
は各サブシステムにつきそれぞれ１ビツトのデータとな
る。

判定回路１０は、第２図に示すように、診断結果４−１
〜４−Ｎ（７）拡張多数決をＭｖｌｏ−１〜１０−Ｎに
おいて、診断結果５−１〜５−Ｎを参照し、実行する。

待機系付き多数決を行うためのＭＶは、第３図のように
スイッチマトリックス１８でＮ個の入力４００−１〜４
００−Ｎから診断結果５−１〜５−ＮをもとにＭ個（Ｍ
＜Ｎ）の信号４１０−１〜４１０−Ｍを選択し、Ｍ入力
多数決回路１５に入力することにより実現される。

なお、診断結果５−１〜５−Ｎより正常と診断された入
力の数ＫがＭの過半数に達しない場合にも、正常と診断
された入力をそれぞれ複数個ずつ重複して信号４１０−
１〜４１０−Ｍとして出力させることにより、正常サブ
システムの出力が多数決結果４２０に出力されるように
なる。たとえば、１個のサブシステムだけが正常である
場合、信号４１０−１〜４１０−Ｍは全て、１個の正常
なサブシステムの出力信号と同一の信号となり、多数決
出力４２０には正常なサブシステムの出力信号が出力さ
れる。

サブシステムの個数が４個の場合のスイッチマトリック
スの論理を第１表に示す。なお、８１〜Ｓ４はサブシス
テム１−１〜１−４についての診断結果４−に−１〜４
−に−４（１＜ｋ＜Ｎ）である、Ｄ１〜Ｄ３は信号４１
０−１〜４１０−３を示し、Ｆ、Ｓ、はフォールト・セ
キュア信号を示す。また木は、Ｄｏｎ’ｔ　ｃａｒｅ信
号すなわち、０゜１のいずれでもよいことを示す。

第１の出力信号についての入力信号選択の方法のカルノ
ー・マツプを第２表に表す。このマツプかられかるよう
に、本実施例により簡単な論理で疑似的なスレッショル
ド・ボーティングが可能となり、正常な入力信号が１つ
でもあれば、該入力を選択して出力できる。

しかし、本実施例では、２個の常用の入力信号が異常で
、予備の入力信号が正常である場合、異常となった２個
の入力信号のかわりに予備の入力信号が重複して出力さ
れることを防ぐために、予備の入力信号の選択権を第１
．第２．第３の出力の順に定めた。このために、第２．
第３の出力についての論理が少々複雑となっている。

そこで、同一の入力信号を２個の出力信号として重複し
て出力することを許すと、第３表のような論理となる。

第１の出力についての入力信号選択の方法をカルノー・
マツプで示すと第４表のようになる。この場合、入力信
号選択の優先順位は、第１の出力では、Ｄｉ、Ｄ４．Ｄ
２．Ｄ３．第２の出力では、Ｄ２．Ｄ４．Ｄ３．Ｄｉ、
第３の出力では、Ｄ３．Ｄ４．Ｄｉ、Ｄ２の順に定めで
ある。本実施例により、簡単な論理回路により、疑似的
なスッレッショルド・ボーティングが可能となる。

さて、診断結果４−１−ｉ”Ｎ−ｉ　（ただし、１　＜
　ｉ　＜　Ｎ　）は診断結果４−１〜４−Ｎのうちサブ
システム１−ｉについての診断結果である。つまり、判
定結果の各要素４０−１〜４０−Ｎはそれぞれサブシス
テム１−１〜１−Ｎについての判定結果である。

このようにして得られた判定結果４ｏは１つでも正常な
サブシステムが存在するかぎりは、その正常なサブシス
テムによる診断結果となり、こρ診断結果を用いて出力
選択回路またはＭＶによりサブシステム１−１〜１−Ｈ
の出力信号のうち正常な１つの出力信号と同一の信号６
０が出力される。

本実施例によれば５以上のようにして（Ｎ−１）個まで
のサブシステムの故障に耐えられるシステムの構成が可
能となる。

第４図は、判定回路１ｏおよび出力選択回路またはＭＶ
ＩＩからなる出力選択部１４−１〜１４−３を多重化し
て、それぞれの出力６０−１〜６０−３の多数決回路１
５による多数映出カフ０を最終出力とした実施例である
。図では、３重化した場合について示しているが、多重
度は任意に選択できる。

本実施例では、各サブシステム１−１〜１−Ｈの診断機
能２−１〜２−Ｈによる診断結果４−１〜４−Ｎおよび
診断機能３−１〜３−Ｈによる診断結果５−１〜５−Ｎ
を、３重化した出力選択部１４−１〜１４−３の判定回
路１０に入力し、その判定結果に基づいて出力選択回路
またはＭＶｌｌにおいて、出力信号６−１〜６−Ｈのう
ち正しいものと同一の信号６０−１〜６０−Ｎを出力し
、多数決回路１５において信号６ｏ−１〜６０−３の多
数決をとる。

本実施例によれば、判定回路１ｏおよび出力選択回路ま
たはＭＶＩＩの故障によるシステム全体の障害を防ぎ、
システムの耐故障性をさらに高めることができる。

第５図は、診断機能２−１〜２−Ｎの動作状態の診断機
能３−１〜３−Ｈにおいて、各サブシステム１−１〜１
−Ｎの電源１６−１〜１６−Ｎの通電状態を診断結果５
−１〜５−Ｎとした実施例である。本実施例によれば、
診断機能３−１〜３−Ｎを単純な方法で実現でき、診断
機能３−１〜３−Ｎの信頼性が高まる。

第６図は、各サブシステム１−１〜１−Ｎの内部に持た
せた鍵コード８−１〜８−Ｎを処理結果または処理途中
結果のデータ７−１〜７−Ｎとともに交換し、故障診断
機能３−１〜３−Ｎで鍵コード８−１〜８−Ｎを照合し
、データ交換やソフトウェア全般の動作を診断する実施
例である。なお、鍵コード８−１〜８−Ｎの照合は、ソ
フトウェアのエラーによる誤動作を防ぐため、ハード的
に行うのが良い。

また、本実施例において、診断結果５−１〜５−Ｎを正
常ならばＨレベル、異常ならばＬレベルと定めることに
より、第５図の電ｇ１６−１〜１６−Ｎまたは診断機能
３−１〜３−Ｎの通電状態も考慮に入れたデータとして
出力できる。

これら電源の通電状態を見る方法には、当該サブシステ
ム全体の動作／不動作を調べることのほかに、電源の通
電状態を通じてシステムの操作者の意志を反映させられ
ることに意味がある。たとえば、あるサブシステムの故
障により診断機能２−１〜２−Ｎの故障を診断機能３−
１〜３−Ｎで検出できない場合には、操作者の判断によ
り当該サブシステムの電源を遮断すると、当該サブシス
テムの故障（不動作）を診断機能３−１〜３−Ｎを通じ
て出力させることができる。

第７図は診断機能２−１〜２−Ｈの実施例である。サブ
システム１−１〜１−Ｎの間では、各々のサブシステム
における処理結果または処理途中結果のデータ７−１〜
７−Ｎの他に各々のサブシステムの自己診断結果９−１
〜９−Ｎを交換し合う。診断機能２−１〜２−Ｎでは、
交換したデータ７−１〜７−Ｈの一致／不一致と自己診
断結果９−１〜９−Ｎのデータ交換の正常／異常とに基
づき、各サブシステム１−１〜１−Ｎの正常／異常を相
互診断する。本実施例のサブシステムにおける診断の流
れを第８図に示す。

上記診断機能２−１〜２−Ｎは、システムがハードロジ
ックやアナログ回路よりなっている場合は、ハードウェ
アで実施するが、ストアード・プログラム方式のコンピ
ュータシステムにおいては、ソフトウェア化により実施
が容易となる。この場合のサブシステム１−１〜１−Ｎ
のハードウェア構成の例を第９図に示す。プロセッサ１
０１がサブシステム全体の動作を司り、メモリ１０２に
付加したＥＤＣのエンコーダ・デコーダ１０３がメモリ
１０２のシングル・イベントによるデータ誤りを検出し
、プロセッサ１０１に割込み１０８をかけ、ウォッチ・
ドッグ・タイマ１０４はプロセッサ１０１の暴走を検出
し、プロセッサ１０１にリセット１０９をかける。プロ
セッサ１０１では、割込み１０８がかかった場合には、
割込み処理の際に誤りの発生をバス１００を通じてメモ
リ１０２またはレジスタに記憶し、リセット１０９がか
かった場合には、システムの立上げの段階でリセットさ
れたことをメモリ１０２またはレジスタに記憶する。他
のサブシステムとのデータ交換の際には、データ７−１
〜７−Ｎの他に自己診断結果９−１〜９−Ｎをインター
フェース回路１０５を通じて交換する。そこでソフトウ
ェアは、それぞれのサブシステムの正常／異常を診断し
、インターフェース回路１０６を通じて診断結果４−１
〜４−Ｎを出力させ、同時に出力５−１〜５−Ｎもイン
ターフェース１０７を通じて出力させる。

自己診断機能としては上記のＥＤＣまたはＥＣＣやウォ
ッチ・ドッグ・タイマの他に、ソフトウェアにより行な
われるものとして、同一の処理を複数回繰り返したり、
複数のプログラムにより同一の処理を行うソフトウェア
冗長とよばれる方法や、処理結果に処理とは逆の変換を
施して処理前のデータを再現し、実際の処理前のデータ
と比較し、照合する方法などがある。また、処理の合い
間にハードウェアの機能を確認するためのテスト・プロ
グラムを実行し自己診断する方法もある。

通常ＥＣＣには、ＲＡＭのデータを読込み訂正後のデー
タをＲＡＭに再度書き込む機能を持たせることが多い。

第１０図および第１１図は、上記のＦＣＣの機能を利用
してなるべく頻繁にＲＡＭのシングルイベントによる誤
りを訂正し、１ビツトの誤りから２ビツト３ビツトの誤
りに発展するのを防止する実施例を示している。

第１０図の例はシステムが実行要求されている本来の処
理２００のところどころに誤り訂正のためのデータ読込
み処理２０１を挿入し誤り訂正の頻度を増やしている。

なお、従来は誤り訂正のためのデータ読込処理２０１が
なかったので、誤りが訂正されるのは本来の処理２００
がデータ処理の必要から所定のデータを読込む時だけで
あった。

第１１図の例はマルチタスクの場合の実施例である。こ
こでは、本来の処理２００が通信同期等により待ちの状
態になった場合に、本来の処理２００より優先順位を低
く設定した誤り訂正のためのデータ読込処理２０１が実
行される。本実施例によれば本来の処理２００の待ち時
間２０２を利用してＲＡＭのデータの誤りを訂正するの
で、コンピュータ・システムの処理速度を低下させずに
誤りを訂正できる。

交換したデータ７−１〜７−Ｎ、自己診断結果９−１〜
９−Ｎによる各サブシステムの診断方法の一例として、
正常にデータ交換できたサブシステムが、Ａ、Ｂ、Ｃの
３つの場合の診断の方法の例を第５表に示す。なお、こ
こで、自己診断結果および診断結果４−Ａ〜４−Ｂにお
いて、Ｇは正常、Ｆは異常を示し、−は判断がつかない
ことを示している。判断がつかない場合は全て異常（Ｆ
）と判断すれば、システムのフォールト・セキュア性が
保証される。またデータ交換のできないサブシステムに
ついては、システムダウンにつながる致命的な障害が生
じたとみなして、異常（Ｆ）と判断すればよい。データ
照合結果が（Ａ＝Ｂ＝Ｃ）の場合相互診断結果が木とな
っているが、これは。

自己診断結果をそのまま出力するものとする。

本実施例によれば、サブシステム間で交換するデータ７
−１〜７−Ｎの正常性を示す自己診断結果９−１〜９−
Ｎも交換するので、データ７−１〜７−Ｎが半々に分か
れた場合でも、各々のサブシステムを診断できる。

本発明を適用できるサブシステムの条件は、（１）診断
機能２−１〜２−Ｎ（サブシステム間の相互診断機能） （２）診断機能３−１〜３−Ｎ（上記診断機能２−１〜
２−Ｎの診断機能） をもっているかもつことが可能であることである。

上記２点を満足する。多重化したサブシステムからなる
システムであれば、デジタル、アナログの別を問わず本
発明を適用できる。

第６表に自己診断１診断機能２−１〜２−Ｎ。

３−１〜３−Ｎとして用いる診断の手段の例をまとめて
示す。

なお、本発明においては出力６−１〜６−Ｎ。

６０．６０−１〜６０−３．７０の形式はシリアルデー
タ、パラレルデータの別を問わない。シリアルデータを
扱うためには多数決回路などを１ビット分、パラレルデ
ータを扱うためにはデータの幅のビット数だけ用意すれ
ばよい。

また、多数決回路としては、上記実施例のみならず１発
明者らが先に特願昭６３−３７１６２号として提案した
多数決回路も利用できることは勿論である。

宰＝ｄｏｎ’ｔ　ｃａｒｅ 第３表 第５表 第６表 〔発明の効果〕 本発明によれば、システムを構成するサブシステム１−
１〜１−Ｎのうち１つ以上のサブシステムが正常である
ときはシステムの正常動作が保証されるため、システム
の耐故障性、信頼性を高めることができる。

【図面の簡単な説明】

第１図は本発明による耐故障コンピュータ・システムの
一実施例の構成を示すブロック図、第２図は判定回路の
構成の一例を示す図、第３図は拡張機能付き多数決回路
の構成の一例を示す図、第４図は出力選択部を３重化し
た例を示す図、第５図はサブシステムの通電状態を診断
結果とする診断機能の一例を示す図、第６図はサブシス
テム間で交換した鍵コードの照合結果を診断結果とする
診断機能の一例を示す図、第７図は各サブシステム間で
交換したデータの比較・照合結果と自己診断結果とに基
づき各サブシステムとしての診断結果を決定する一例を
示す図、第８図はサブシステムの構成の一例を示す図、
第９図は診断機能をソフトウエアで実現する一例を示す
図、第１０および第１１図はＲＡＭに記憶したデータの
誤り検出訂正方式を示す図、第１２図は従来の耐故障コ
ンピュータ・システムの一例を示す図、第１３図は従来
の判定回路の一例を示す図である。 １−１〜１−Ｎ・・・サブシステム、 ２−１〜２−Ｎ・・・サブシステム１の診断機能、３−
１〜３−Ｎ・・・診断機能２の診断機能。 ４−１〜４−Ｎ・・・診断機能２による診断結果、４−
１−ｉ〜４−Ｎ−１・・・診断結果４−１〜４−Ｎのう
ち、ユニット１−ｉについての診断結果、５−１〜５−
Ｎ・・・診断機能３による診断結果、６−１〜６−Ｎ・
・・サブシステムの出力、７−１〜７−Ｎ・・・処理結
果または処理途中結果および自己診断結果（データとい
う）、 ８−１〜８−Ｎ・・・鍵コード、 １０・・・判定回路。 １０−１〜１０　　Ｎ・・・拡張機能付き多数決回路（
ＭＶと略す１判定回路１０のサブセット）。 １１・・・出力選択回路またはＭＶ、 １２・・・５人力多数決回路、 １４−１〜１４−３・・・出力選択部、１５・・・多数
決回路、 １６−１・・・サブシステム１−１の電源。 １８・・・スイッチマトリクス。 ２０・・・ラッチ回路。 ４０・・・判定結果、 ４Ｏ−ｉ（１≦ｉ　５　Ｎ　）・・・判定結果４０のう
ちユニットｌ−ｉについての判定結果、 ６０．７０・・・出力。 ９−１〜９−Ｎ・・・自己診断結果、 １００・・・バス、 １０１・・・プロセッサ、 １０２・・・メモリ、 １０３・・・ＥＤＣ，ＥＣＣ。 １０４・・・ウォッチ・ドッグ・タイマ、１０５〜１０
７・・・インターフェース、１０８・・・割込み信号。 １０９・・・１１セット信号。 １１０・・・インターフェース。 ２００・・・本来の処理。 ２０１・・・誤り訂正のためのデータ読込み処理、２０
２・・・ＯＳのオーバーヘッド。

Claims (1)

1. 【特許請求の範囲】 １、Ｎ重化（Ｎは２以上の整数）されたサブシステムを
   持ち、各サブシステムに相互のサブシステムの動作を診
   断し結果を出力する第１手段を持つ耐故障コンピュータ
   ・システムにおいて、各サブシステムが自サブシステム
   の前記第１手段の動作状態を診断し結果を出力する第２
   手段と、 各サブシステムから第１手段により出力された第１診断
   結果のスレッショルド・ボーティングを行う、または、
   各サブシステムから第２手段により出力された第２診断
   結果をもとに待機系付き多数決を行う第３手段と、 第３手段から得られた第３診断結果をもとに各サブシス
   テムの出力信号の選択、スレッショルド・ボーティング
   、または待機系付き多数決を行う第４手段と、 を備えたことを特徴とする耐故障コンピュータ・システ
   ム。 ２、請求項１に記載の耐故障コンピュータ・システムに
   おいて、 自己診断機能および相互診断機能を第２手段により診断
   した結果を用いて、各サブシステムにおける第１手段に
   よる自己診断結果および相互診断結果のスレッショルド
   ・ボーティングまたは待機系付き多数決を採った結果に
   より、正常なサブシステムを選択することを特徴とする
   耐故障コンピュータ・システム。 ３、請求項１または２に記載の耐故障コンピュータ・シ
   ステムにおいて、 第１手段が、複数のサブシステム間で各サブシステムに
   おける自己診断結果および処理結果または処理途中結果
   を交換し、 各サブシステムが、交換した処理結果または処理途中結
   果の一致・不一致および各サブシステムの自己診断結果
   に基づき各サブシステムの正常／異常を診断し結果を出
   力する手段であることを特徴とする耐故障コンピュータ
   ・システム。 ４、請求項１〜３のいずれかに記載の耐故障コンピュー
   タ・システムにおいて、 第２手段が、自サブシステムの通電状態（ＯＮ／ＯＦＦ
   ）を出力する手段であることを特徴とする耐故障コンピ
   ュータ・システム。 ５、請求項１〜３のいずれかに記載の耐故障コンピュー
   タ・システムにおいて、 第２手段が、他のサブシステムと鍵コードを交換し、鍵
   コードが正しいかどうかを照合し、照合結果を出力する
   手段であることを特徴とする耐故障コンピュータ・シス
   テム。 ６、複数のサブシステムの正常性を診断し結果を出力す
   る第１手段と 自サブシステムにおける第１手段の動作状態を診断し出
   力する第２手段と を持つことを特徴とするサブシステム。 ７、第２診断結果をもとに行った第１診断結果のスレッ
   ショルド・ボーティングまたは待機系付き多数決の結果
   をもとに、各サブシステムの出力信号の選択またはスレ
   ッショルド・ボーティングまたは待機系付き多数決を採
   ることを特徴とする出力選択回路。 ８、Ｎ個の入力信号それぞれの正常／異常を示す信号に
   基づきＮ個の入力信号の中からＭ（ＭはＮ以下の自然数
   ）個の入力信号を選択し出力する信号選択回路と、上記
   Ｍ個の信号を入力とする多数決回路とからなる待機系付
   き多数決回路において、 信号選択回路から多数決回路に、 （１）もしＮｇ＞Ｍ／２ならば、 ｍｉｎ（Ｍ、Ｎｇ）個の正常な入力信号および｛Ｍ−ｍ
   ｉｎ（Ｍ、Ｎｇ）｝個のフオールト・セキュア（明らか
   に誤りとわかる信号または安全側の動作を保証する信号
   ）信号を出力し、 （２）もし、Ｎｇ＜Ｍ／２ならば、 Ｎｇ個の正常な入力信号をそれぞれｔｒｕｎｃ（Ｍ／Ｎ
   ｇ）個ずつ複写した｛ｔｒｕｎｃ（Ｍ／Ｎｇ）・Ｎｇ｝
   個の正常な信号および｛Ｍ−ｔｒｕｎｃ（Ｍ／Ｎｇ）・
   Ｎｇ｝個のフォールト・セキャア信号を出力し、 （３）もしＮｇ＝０ならば、 Ｍ個のフォールト・セキュア信号を出力することを特徴
   とする待機系付き多数決回路。 ただし、Ｎｇは正常な入力信号の個数、 ｍｉｎ（Ａ、Ｂ）はＡ、Ｂのうち小さい方、ｔｒｕｎｃ
   （Ａ）はＡの整数部。 ９、Ｎ個の入力信号のそれぞれの正常／異常を示す信号
   に基づき、Ｎ個の入力信号からＭ個の入力信号を選択し
   出力する信号選択回路と、上記Ｍ個の信号を入力する多
   数決回路とからなる待機系付き多数決回路において、 Ｎ個の入力信号のうちＭ個の入力信号を常用の入力信号
   と定め、（Ｎ−Ｍ）個の入力信号を予備（待機系）の入
   力信号と定め、 信号選択回路のそれぞれの出力ごとに、常用の入力信号
   および予備の入力信号の選択の優先順位を定め、常用の
   入力信号の優先順位の第１位と第２位との間に予備の入
   力信号の優先順位を挿入してすべての信号の優先順位と
   し、 前記優先順位に基づいて、上位の優先順位の入力信号が
   正常ならば当該入力信号を選択し、異常ならば下位の優
   先順位の入力信号を選択し、出力することを特徴とする
   待機系付き多数決回路。 １０、請求項９に記載の待機系付き多数決回路において
   、 常用の入力信号の選択の優先順位を、 入力選択回路のそれぞれの出力信号ごとに、たとえば優
   先順位が、 第１出力信号について、 Ｄ＿１、Ｄ＿２・・・・・・・・・、Ｄ＿Ｍ第２出力信
   号について、 Ｄ＿２、Ｄ＿３・・・・・・・・・、Ｄ＿Ｍ、Ｄ＿１第
   Ｍ出力信号について、 Ｄ＿Ｍ、Ｄ＿１・・・・・・・・・、Ｄ＿Ｍ＿−＿１（
   ただし、Ｄｉは第ｉの入力信号とする、）となるように
   、循環させて定めることを特徴とする待機系付き多数決
   回路。 １１、請求項９に記載の待機系付き多数決回路において
   、 予備の入力信号の選択の優先順位を、入力選択回路のす
   べての出力信号について、同一に定めることを特徴とす
   る待機系付き多数決回路。 １２、ＲＡＭに誤り訂正符号を付加して記憶させたデー
   タを読み出し、誤り訂正後の誤り訂正符号付きデータを
   ＲＡＭに再び書き込む機能を有する耐故障コンピュータ
   ・システムの誤り訂正方式において、 周期的にまたは本来の処理の合間の待ち時間に、少なく
   とも１つのデータを読み込み、誤り訂正後の誤り訂正符
   号付きデータをＲＡＭに再書き込みすることを特徴とす
   る誤り検出訂正方式。