JPH02153438A - 二重化制御モジュール切換え装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔概　要〕 データ転送制御を行う二重化制御モジュールの障害発生
時に正常な制御モジュールへの切換えを行う二重化制御
モジュール切換え装置に関し、制御中の制御モジュール
に論理又は電源障害が発生しても実行中の転送制御の中
断することなく制？ＩＩ続行を可能にし、障害制御モジ
ュールを制御実行中に復旧して活性保守を行うことを目
的とし、２個の制御モジュールにより二重化され、配下
の処理モジュール間のデータ転送制御を行う制御部の障
害発生時に制御モジュールの切換えを行う二重化制御モ
ジュール切換え装置において、二つの独立した電源部に
より電源を供給される二つの制御モジュールで制御部を
二重化し、障害発生時に直ちに制御モジュールの切換え
を行う切換え部と、制御部及び切換え部の動作を管理し
、制御部における障害の発生及び復旧を監視して障害復
旧後は通常処理による制御状態に制御部を切り換える制
御監視部を設けるように構成する。

〔産業上の利用分野〕

本発明は、二つの制御モジュールにより二重化され、配
下の複数の処理モジュール間におけるデータの転送を制
御する制御部の制御モジュールに障害が発生したとき他
方の制御モジュールに切り換えを行う二重化制御モジュ
ール切換え装置に関する。

〔従来の技術〕

複数の処理モジュール間におけるデータの転送を制御部
によって制御するデータ転送制御システムにおいては、
制御部に障害が発生すると、システム内のすべての処理
モジュール間のデータ転送処理ができなくなるのでシス
テムダウンを生じる。

このように共通の制御部に障害が発生するとその影響は
極めて大きいので、その対策の一つとして制御部を二重
化することが行われている。

データ転送を制御する制御部を二重化することにより、
障害発生時においても制御部の動作を停止させることな
く、かつ、処理を中断させることなく制御動作が続行可
能となる。したがって、高信頼性を要求される今日のデ
ータ転送制御システムにおいては、障害発生時でもノン
ストップのシステムを実現するために、制御部を二重化
することは欠かせないものになっている。

この二重化された制御部における障害発生時の切換え方
式として、次の代表的な二つの方式がある。

■　制御部を動作系と待機系の二つの制御モジュールに
より二重化し、通常は動作系の制御モジュールを用いて
データ転送制御を行い、動作系の制御モジュールに何ら
かの障害が検出された場合に、待機系の制御モジュール
に切り換えてデータ転送制御を行わせる切換え方式。

この切換え方式は、切換え制御は簡単であるが、障害発
生時に動作系から待機系の制御モジュールに制御を切り
換える処理に時間を要し、その間データ転送処理が中断
するという問題、更に待機系の制御モジュールが切り換
え後に正常に動作することが保証されないという問題が
ある。

■　独立に動作する二つの制御モジュールで二重化し、
すべての制御処理動作を同一のタイミングで行うように
し、使用中の片方の制御モジュールに障害が発生した場
合は直ちに他方の制御モジュールに切り換えてデータ転
送制御を行わせる切換え方式。

この切換え方式は、二つの制御モジュールを並行して運
転させているので、障害発生時の制御モジュールの切り
換えが即時的に行われ、また切り換えられた他方の制御
モジュールの正常性が保証される。したがって、■の切
換え方式に生じる前述の諸問題を解決した切換え方式を
実現することができる。

〔発明が解決しようとする課題〕

データ転送制御を行う二重化構造の制御部に障害が発生
した場合の制御モジュールの切換え方式として、前述の
■及び■の切換え方式があった。

ところで、これらの■及び■の切換え方式は、何れも共
通の電源系統により二重化された各制御モジュールに電
源を供給する構成になっている。

このため、電源以外の論理系の障害すなわち論理障害発
生に対しては、■及び■の切換え方式によりシステムダ
ウンを防止することは可能である。

特に、■の切換え方式は、論理障害発生時の制御モジュ
ールの切換えが即時に行われるとともに、実行中の処理
動作が切換え後も保証されるので、現在実行中の処理が
中断されないノンストップのシステムを実現することが
できる。

しかしながら、■及び■の切換え方式は、何れも共通の
電源系統より両制御モジュールに電源を供給しているの
で、論理障害には有効に対処することが可能であるが、
電源系統に障害が発生した場合は、■の切換え方式の場
合でも両制御モジュールが共に動作停止になるため、デ
ータ転送制御処理が実行不可能となり、システムダウン
を生じるという問題があった。

本発明は、データ転送制御を行う二重化構造の制御部に
論理障害の他に電源障害が発生した場合にも即時に制御
モジュールの切換えを行ってデータ転送処理を中断なく
続行可能にするとともに、切換え後の制御動作を保証し
、障害発生モジュールを制御実行中に復旧して活性保守
を行えるようにした二重化制御モジュール切換え装置を
提供することを目的とする。

〔課題を解決するための手段〕

前述の課題を解決する本発明が採用した手段を、第１図
を参照して説明する。第１図は、本発明の基本構成をブ
ロック図で示したものである。

第１図において、１は処理部で、複数の処理モジュール
ＩＩＡ〜ＩＩＮを備えている。

２は制御部で、制御モジュール３及び４により二重化さ
れて、各処理モジュールＩＩＡ〜ＩＩＮ間で行われるデ
ータ転送の制御及び障害検出を行う。制御モジュール３
及び４は同一の構成を有し、それぞれ独立した電源部３
００及び４００により電源を供給され、同一のタイミン
グで同じデータ転送制御及び障害検出を行う。なお、電
源部３００及び４００は、制御モジュール３及び４の外
部に設けるようにしてもよい。

５は切換え部で、制御モジュール３又は４内で障害の発
生が検出されたとき、直ちに障害の発生しない他方の制
御モジュールに切り換える処理を行う。

１６は制御監視部で、制御部２及び切換え部５の動作を
管理して制御モジュール３及び４を同一タイミングで動
作させ、制御部２における障害の発生及び復旧の有無を
監視して、障害復旧後は制御部２及び切換え部５に通常
処理状態によるデータ転送制御を行わせるようにする。

１７は各処理モジュールｌｌＡ〜ＩＩＮと切換え部を接
続する共通バスである。

〔作　用°〕

第１図に示した本発明の動作を、第２図の処理流れ図を
参照しその処理ステップに従って説明する。

制御モジュール３及び４が共に正常である場合、両者は
同一タイミングで同じデータ転送制御処理を行っている
が、通常時は何れか一方の制御モジュール（以下、制御
モジュール３とする）の出力する制御信号を使用し各処
理モジュールＩＩＡ〜１１Ｎ間のデータ転送制御を行う
。したがって、処理部ｌから共通バス１７側を見た場合
には、二つの制御モジュール３及び４によるデータ転送
制御と同等の処理が行われる。以下、この通常時の処理
を通常処理という。

■　処理Ｓ１ 制御部２の制御モジュール３及び４は、各制御モジュー
ル内における障害発生の有無を常時監視している（処理
Ｓ＋）。制御部２内に何も障害が発生しないときは、二
つの制御モジュール３及び４による通常処理が行われる
（処理Ｓｔ）。通常処理においては、前述のように制御
モジュール３の出力する制御信号を使゛用して各処理モ
ジュール１１Ａ−１１Ｎ間のデータ転送の制御が行われ
る。

■　処理Ｓ３．Ｓ４ 通常処理におけるデータ転送制御中の制御モジュール３
に論理障害又は電源障害発生が検出されると、切換え部
５は、制御モジュール３から制御モジュール４に直ちに
切り換えさせる（処理Ｓ３）。

制御モジュール３及び４は同一タイミングで同じ制御処
理を行っているので、直ちに切り換えることが可能であ
る。また、制御モジュール３及び４はそれぞれ独立の電
源部３００及び４００により動作しているので、制御モ
ジュール３に発生した障害が論理障害であっても電源部
３００の障害であっても、それらの影響を受けることな
く制御モジュール４は正常に動作するので、論理及び電
源のいずれの障害発生に対しても切換え後の制御動作が
保証される。

更に制御モジュール３は、制御が制御モジュール４側に
切り換わったことを制御監視部６に報告する（処理Ｓ、
）。

■　処理Ｓ、、Ｓ。

制御モジュール３に障害が発生すると、前述の処理Ｓ、
により直ちに制御モジュール４に切り換えられるので、
データ転送制御処理は中断されることなく制御モジュー
ル４によって正常に実行される。これにより、処理部１
から共通バス１７側を見た場合に、二つの制御モジュー
ル３及び４によるデータ転送制御と同等の通常処理が行
われる（処理Ｓｓ）。

一方、障害の発生した制御モジュール３は、制御モジュ
ール４による通常処理実行中に、障害制御モジュール３
の交換等により障害の復旧処理が行われ、復旧処理が終
了すると、制御モジュール３は障害復旧を制御監視部６
に通知する（処理Ｓ、）。

■　処理Ｓ７ 制御監視部６は、この障害復旧の通知を受けると、切換
え部５並びに各制御モジュール３及び４へ切換え処理の
解除指示が出され、再び二つの制御モジュール３及び４
による通常処理が行われる。

なお、制御モジュール３の出力を使用する通常処理中に
制御モジュール４に障害が発生した場合は、制御モジュ
ール３による通常処理を実行しつつ制御モジュール４の
障害復旧処理が行われる。

また、制御モジュール３及び４は同等であるので、通常
処理中で使用する制御信号に制御モジュール４の出力す
る制御信号を用いてもよいことはもちろんである。

以上のように、二重化された制御モジュール３及び４の
何れかに論理障害が発生した場合、直ちに他の正常な制
御モジュールに処理が移行するので、現在実行中の処理
を中断することなくデータ転送の制御を続行することが
できる。

また、別個の電源部３００及び４００により電源の供給
を受ける二つの制御モジュール３及び４を使用すること
により、電源障害時においても、前記（１１と同様な切
換え制御が可能となり、システムダウンの無いノンスト
ップのシステムを実現することができる。

更に、何れか一方の制御モジュールによる処理中に障害
の発生した制御モジュールの復旧後、システム立ち上げ
状態と同様に二つの制御モジュールによる通常処理を行
うことが可能であ−るので、活性保守を実現することが
できる。

〔実施例〕

本発明の実施例を、第３図を参照して説明する。

第３図は、本発明の一実施例の構成をブロック図で示し
たものである。

（Ａ）実施例の構成 第３図において、制御部２．制御モジュール３゜制御モ
ジュール４．切換え部５及び制御監視部６゜共通バス７
、電源部３００及び４００については、第１図で説明し
たとおりである。また、説明を簡単にするため、共通バ
ス７に接続される処理モジュールはＩＩＡ及びＩＩＢの
２個であるとする。

制御モジュール３及び４において、３０１及び４０１は
コントローラで、処理モジュールＩＩＡ及びＩＩＢより
共通バス７を経由して共通バス使用要求信号（以下、Ｂ
ＵＳＲＥＱ信号という）５１及び５２を受け、ＢＵＳＲ
ＥＱ信号５１に対して応答信号３５１及び４５１をそれ
ぞれ発行し、ＢＵＳＲＥＱ信号５２に対して応答信号３
５２及び４５２をそれぞれ発行する。制御モジュール３
及び４は同一タイミングで動作しているので、コントロ
ーラ３０１及び４０１の発行する応答信号３５１及び４
５１、更に応答信号３５２及び４５２はそれぞれ同一内
容で、かつ同一タイミングで発行される。

３０２及び４０２はエラー検出回路で、対応する制御モ
ジュール３及び４内に発生した障害を検出してエラー発
生通知信号（以下、ＥＲＲ信号で示す）３１及び４１を
発行する。また、障害の発生、その内容、制御モジュー
ルの切換え等を指示する障害発生情報３２及び４２を制
御監視部６に送り、障害が復旧したときは障害復旧情報
３３及び４３を制御監視部６に送る。

３０３及び４０３は、セットリセット形のフリップフロ
ップ（以下、ＦＦで示す）である。ＦＦ３０３は、エラ
ー検出回路３０２から発行されたＥＲＲ信号３１により
セントされ、エラー検出回路４０２から発行されたＥＲ
Ｒ信号４１及び制御監視部６より発行されたリセット信
号（以下、Ｒ８信号で示す）６１を入力とするＯＲ回路
３０４の出力でリセットされる。同様に、ＦＦ４０３は
、エラー検出回路３０２からのＥＲＲ信号３１によりセ
ットされ、エラー検出回路４０２からのＥＲＲ信号４１
及び制御監視部６からのＲ３信号６１を入力とするＯＲ
回路４０４の出力でリセットされる。ＦＦ３０３は、セ
ット時に反転出力端子＊Ｑより低（Ｌ）レベルの切換え
信号３５３を発行し、ＦＦ４０３は、セット時にＱ端子
より高（Ｈ）レベルの切換え信号４５３を発行する。リ
セット時は、ＦＦ３０３及び４０３の出力は反転するの
で、切換え信号３５３及び４５３のレベルも反転する。

切換え部５において、５０１及び５０２はマルチプレク
サ（以下、ＭＰＸで示す）で、共通バス７へ送出する応
答信号の切換えを行う。ＭＰＸ５０１は、コントローラ
３０１及び４０１の発行する応答信号３５１及び４５１
とＦＦ３０３の発行する切換え信号３５３を受け、切換
え信号３５３がＨレベル（ＦＦ３０３のリセット時）の
ときＡ側の応答信号３５１を選択し、Ｌレベル（ＦＦ３
０３がセット時）のときＢ側の応答信号４５１を選択す
る。同様に、ＭＰＸ５０２は、コントローラ３０１及び
４０１の発行する応答信号３５２及び４５２とＦＦ４０
３の発行する切換え信号４５３を受け、切換え信号４５
３がＨレベル（ＦＦ４０３がセット時）のときＡ側の応
答信号４５２を選択し、Ｌレベル（ＦＦ４０３がセット
時）のときＢ側の応答信号３５２を選択する。

５０３及び５０４はレシーバで、共通バス７を経由して
転送された処理モジュールＩＩＡ及び１１ＢからのＢＵ
ＳＲＥＱ信号５１及び５２を受信する。

５０５及び５０６はドライパテ、ＭＰＸ５０１及び５０
２の選択した応答信号を共通バス７を経由して処理モジ
ュールＩＩＡ及びＩＩＢに送信する。

制御監視部６は処理モジュール３及び４よりＥＲＲ信号
３１及び４１を受けて障害の有無を監視し、エラー復旧
通知信号３２及び４２を受けるとＲ３信号６１を発行す
る。また、制御モジュール３及び４ヘシステムクロツク
を供給し、両者を同一タイミングで動作させる。

なお、電源部３００及び４００は、その内部における障
害発生時には、制御モジュール３及び４内の各回路が所
定のエラー処理を行う間、電源電圧を保持する機能を有
しでいる。

（Ｂ）実施例の動作 実施例の動作を、第２図の処理流れ図の処理ステップに
従って説明する。

■　処理Ｓ＋、Ｓｔ エラー検出回路３０２及び４０２は、対応する制御モジ
ュール３及び４における障害発生の有無を常時監視して
いる（処理ｓ、）。制御モジュール３及び４に障害がな
いときは、二つの制御モジュール３及び４による通常処
理が行われる（処理Ｓ２　）。

通常処理状態においては、処理モジュール１１Ａ及びＩ
ＩＢは、共通バスが使用中でないときデータ転送を行う
ためにＢＵＳＲＥＱ信号を発行する。

処理モジュール１１ＡよりＢＵＳＲＥＱ信号５１が発行
されると、レシーバ５０３で受信サレテコントローラ３
０１及び４０１に入力される。コントローラ３０１は、
処理モジュールＩＩＡにはバス使用許可を指示する応答
信号３５１を発行してＭＰＸ５０１に送り、処理モジュ
ールＩＩＢにはバス使用中を指示する応答信号３５２を
発行してＭＰＸ５０２に送る。

同様に、コントローラ４０１もコントローラ３０１と同
一タイミングで応答信号３５１及び３５２と同一内容の
応答信号４５１及び４５２を発行して、ＭＰＸ５０１及
び５０２に送る。

通常処理状態においては、制御モジュール３及び４のＦ
Ｆ３０３及び４０３はリセット状態にあるので、ＦＦ３
０３からはＨレベルの切換え信号（３５３Ｈで示す）が
発行され、ＦＦ４０３からはＬレベルの切換え信号（４
５３Ｌで示す）が発行される。

ＭＰＸ５０１はＨレベルの切換え信号３５３Ｈを受けて
、Ａ側の応答信号３５１を選択し、ＭＰ×５０２はＬレ
ベルの切換え信号４５３Ｌを受けてＢ側の応答信号３５
２を選択する。すなわち、この実施例では通常処理状態
において、制御モジュール３の発行する応答信号を使用
してデータ転送制御が行われる。

選択された制御モジュール３側の応答信号３５１及び３
５２は、それぞれドライバ５０５及び５０６より共通バ
ス７上に送出され、処理モジュールＩＩＡ及びＩＩＢに
送られる。これにより、処理モジュールＩＩＡが共通バ
ス７の使用権を獲得して所望のデータ転送を行い、処理
モジュールＩＩＢは待ち状態になる。

逆に処理モジュール１１ＢよりＢＵＳＲＥＱ信号５２が
発行されると、コントローラ３０１及び４０１は、処理
モジュールＩＩＡにはバス使用中を指示する応答信号３
５１及び４５１を発行してＭＰＸ５０１に送り、処理モ
ジュールＩＩＢにはバス使用許可を指示する応答信号３
５２及び４５２を発行してＭＰＸ５０２に送る。これに
より、処理モジュールＩＩＢが共通バス７の使用権を獲
得し、処理モジュールＩＩＡは待ち状態になる。

処理モジュールｌＩＡ及びＩＩＢからのＢＵＳＲＥＱ信
号が競合する場合は、優先順位等に従って共通バス使用
権を獲得する処理モジュールが決定される。

■　処理Ｓ。

通常処理におけるデータ転送制御中の制御モジュール３
に論理障害又は電源障害が発生すると、エラー検出回路
３０２よりＥＲＲ信号３１が直ちに発行されてＦＦ３０
３及び４０３に送られる。

このＥＲＲ信号３１によりＦＦ３０３及び４゜３はセッ
ト状態になり、ＦＦ３０３の出力はＨレベルの切換え信
号３５３ＨがらＬレベルの切換え信号（３５３Ｌテ示す
）に反転し、ＦＦ４０３（７）出力はＬレベルの切換え
信号４５３ＬからＨレベルの切換え信号（３５３Ｈで示
す）に反転する。

ＭＰＸ５０１はＬレベルの切換え信号３５３Ｌを受ける
とＢ側の応答信号４５１を選択し、ＭＰＸ５０２はＨレ
ベルの切換え信号４５３Ｈを受けるとＡ側の応答信号４
５２を選択して、ドライバ５０５及び５０６にそれぞれ
出力する。

以上のようにして、通常処理中に制御モジュール３に障
害が発生すると、ＭＰＸ５０１及び５０２により直ちに
制御モジュール３側の応答信号３５１及び３５２から制
御モジュール４側の応答信号４５１及び４５２に切り換
えられる。制御モジュール３及び４は同じタイミングで
動作し、かつ応答信号３５１と４５１並びに３５２と４
５２は同一内容であるので、障害による処理の中断を生
しることなく、共通バス７上へは通常処理用の応答信号
が正常に出力されることになる。

■　処理Ｓ４ 制御モジュール３のエラー検出回路３０２は、更に障害
発生、障害の内容、制御モジュール４に制御が切り換え
られたことを指示する障害発生情報３２を制御監視部６
に送る。

以上、処理モジュールＩＩＡ及びＩＩＢからＢＵＳＲＥ
Ｑ信号５１及び５２を受信した場合について述べたが、
制御モジュール３に障害発生後にＢＵＳＲＥＱ信号５１
及び５２が受信された場合も同様にして、制御モジュー
ル４によりデータ転送制御が正常に行われる。

■　処理Ｓ、、Ｓ。

制御モジュール３に障害が発生すると、前述の処理Ｓ３
により直ちに制御モジュール４に切り換えられ、以下、
制御モジュール４による通常処理が正常に実行される（
処理Ｓ４）。

一方、制御監視部６は制御モジュール３より障害発生情
報３２を受けると、制御モジュール３に障害が発生した
ことを表示（図示せず）してオペレータに知らせる。

オペレータは、制御モジュール４による通常処理実行中
に、障害の発生した制御モジュール３の交換等により障
害の復旧を行う。復旧処理が終了すると、制御モジュー
ル３のエラー検出回路３０２は障害復旧信号３３を制御
監視部６に送る（処理Ｓ、）。

■　処理Ｓ。

制御監視部６は、この障害復旧信号３３を受けると、切
換え解除を指示するＲ３信号６１を発行する。このＲ３
信号６１は、ＯＲ回路３０４及び４０４を通ってＦＦ３
０３及び４０３に加えられ両ＦＦをリセットする。

ＦＦ３０３はリセットされることによりＨレベルの切換
え信号３５３Ｈを発行し、ＭＰＸ５０１にＡ側の応答信
号３５１を選択させる。また、ＦＦ４０３はリセットさ
れることによりＬレベルの切換え信号４５３Ｌを発行し
、ＭＰＸ５０２にＢ側の応答信号３５２を選択させる。

これにより、制御モジュールの切換えが解除され、再び
制御モジュール３を主体とする通常処理が行われる。

なお、制御モジュール３による通常処理中に制御モジュ
ール４に障害が発生した場合は、エラー検出回路４０２
よりＥＲＲ信号４１が発行され、ＯＲ回路３０４及び４
０４を通ってＦＦ３０３及び４０３をリセットする。

しかし、制御モジュール３による通常処理中はＦＦ３０
３及び４０３はリセット状態にあるので、そのまま制御
モジュール３による通常処理が正常に行われ、その間に
制御モジュール４の障害復旧処理が行われる。障害復旧
が終了して制御監視部６からＲＳ信号６１が発行されて
も、ＦＦ３０３及び４０３のリセット状態は変らないの
で、引き続き制御モジュール３による通常処理が行われ
る。

以上、通常処理時に制御モジュール３の出力を使用する
実施例について説明したが、制御モジュール４の出力を
使用する場合も同様にして行うことができる。

これまでの説明から明らかなように、本発明は各制御モ
ジュールに発生する論理障害時にも有効であるが、本発
明では電源系統の障害発生時に最も効力を発揮する。例
えば、従来のように制御モジュールが共通の電源によっ
て二重化されていた場合には、論理障害に対してはその
二重化が有効であるが、電源障害に対しては再制御モジ
ュールともダウンしてしまうためにその効力が発揮され
ない。その対策として、電源障害発生と同時に電源へ切
り換える方法が考えられるが、電源切り換えに要する時
間的要因等のために制御モジュール内に記憶されていた
内容を破壊してしまう恐れがある。そこで予め異なる電
源を用意し、二つの制御モジュールをそれぞれ別の電源
を供給しておくことにより、電源障害時には内部の論理
的な切り換えにより処理を続行させることが考えられる
。

この場合、論理的な切り換え法として本発明は、全く同
一動作を行う二つの制御モジュールを用意し、上記説明
の手順により処理の切り換えを行うために現在実行中の
処理に何ら影響を与えることかない。

さらに、本発明における制御モジュールのいずれかに電
源障害が発生した場合には、電源障害の復旧後に制御監
視部から発行されるＲ３信号６１によって、ＦＦ３０３
及び４０３がそれぞれリセットされるため、初期状態の
二つの制御モジュールによる処理を行うことが可能であ
る。

〔発明の効果〕

以上説明したように、本発明によれば次の諸効果がある
。

（１）二重化された制御モジュールの何れかに論理障害
が発生した場合、直ちに他の正常な制御モジュールに処
理が移行するので、現在実行中の処理を中断することな
くデータ転送の制御を継続することができる。

（２）　　別個の電源系統により電源の供給を受ける二
つの制御モジュールを使用することにより、電源障害時
においても、前記（１）と同様な切換え制御が可能とな
り、システムダウンの無いノンストップのシステムを実
現することができる。

（３）　　何れか一方の制御モジュールによる処理中に
障害の発生した制御モジュールの復旧後、システム立ち
上げ状態と同様に二つの制御モジュールによる通常処理
を行うことが可能であるので、活性保守を実現すること
ができる。

【図面の簡単な説明】

第１図は、本発明の基本構成の説明図、第２図は、本発
明及び実施例の処理流れ図、第３図は、本発明の一実施
例の構成の説明図である。 第１図及び第３図において、 ｌ・・・処理部、ＩＩＡ−１１Ｎ・・・処理モジュール
、２・・・制御部、３．４・・・制御モジュール、５・
・・切換え部、６・・・制御監視部、７・・・共通バス
、３００゜４００・・・電源部。 本発明汲び実施例の処理流れ図 第２図

Claims (1)

1. 【特許請求の範囲】 ２個の制御モジュールにより二重化され、配下の複数の
   処理モジュール（１１Ａ〜１１Ｎ）間におけるデータの
   転送を制御する制御部（２）の制御モジュールに障害が
   発生したとき他方の制御モジュールに切り換える二重化
   制御モジュール切換え装置において、 （ａ）二つの独立した電源部（３００、４００）によっ
   て電源をそれぞれ供給され、同一のタイミングで同じデ
   ータ転送制御及び障害検出動作を行う二つの制御モジュ
   ール（３、４）により制御部（２）を二重化し、 （ｂ）制御中の一方の制御モジュール（３又は４）に障
   害が発生したときに、直ちに他方の制御モジュール（４
   又は３）による制御に切り換える切換え部（５）と、 （ｃ）制御部（２）及び切換え部５の動作を管理して制
   御モジュール３及び４を同一タイミングで動作させ、制
   御部（２）における障害の発生及び復旧の有無を監視し
   て障害復旧後は制御部（２）及び切換え部（５）に通常
   処理状態によるデータ転送制御を行わせる制御監視部（
   ６）、を設けたことを特徴とする二重化制御モジュール
   切換装置。