JPH02253344A

JPH02253344A - ディジタル演算システム

Info

Publication number: JPH02253344A
Application number: JP1270567A
Authority: JP
Inventors: Richard F Hess; リチヤード・エフ・ヘス; Kurt A Liebel; カート・エイ・リーベル; Larry J Yount; ラリー・ジエイ・ヨウント
Original assignee: Honeywell Inc
Current assignee: Honeywell Inc
Priority date: 1988-10-11
Filing date: 1989-10-11
Publication date: 1990-10-12
Anticipated expiration: 2013-08-27
Also published as: DE68924119T2; EP0363863A2; ES2079367T3; EP0363863B1; DE68924119D1; JP2791697B2; EP0363863A3; US4996687A; CA1322606C

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】〔産業上の利用分野〕本発明はディジタル演算システムの信頼性を向上させる
方法及び装置に関し、さらに詳細には、ディジタル・コ
ンピュータに基礎を置く複合的制御システムに於ける故
障回復技術の改良に関する。

〔従来の技術〕

ディジタル・コンピュータの性能及び信頼性は着実に改
良されて来たので、それらは、制御システムのための卓
越した技術となった。例えば、航空電子工学システムに
於いては、航空機の操縦翼面と操縦士との間にディジタ
ル・コンビュータカ介在する電子制御飛行もしくは計器
着陸のために、ディジタル・コンピュータは今では不可
欠なものとみなされるようになった。そのようなシステ
ムに於ける航空機の安全は、ディジタル制御システムの
連続無故障性能に左右される。

そうした応用分野に於いて必要とされる信頼度を達成す
るため、従来技術のシステムは−ｆｆＫ、ハードウェア
の冗長に基づく多数決に頼っていた。

典型的には、同じデータ入力に基づいて同じ制御演算を
する最低限３つの、同一の処理エレメントが設けられる
。複数の処理エレメントの間に相違が生じ次場合には、
少数派の結果は無視され、多数派の結果のうちの１つが
制御される。３つの処理エレメントによる多数決はシス
テムが単発の故障に耐えることを可能とし、また、５つ
の処理エレメントによる多数決はシステムが２つ迄の故
障に耐えることを可能とする。さらに倉入ジなシステム
に於いては、頑固な故障を生じたユニットをシステムか
ら排除して、いわゆる「ホットスペア」に置換えること
が可能である。

冗長同期、票決、故障監視についての多様な形式が既に
提案されもしくは使用されている。それらの機構はシス
テムに使用し得る故障回復技術の形式を拘束することが
知られているけれども、方、本発明は、回復の方法を指
示するのみであってそれ以外の機構を拘束するものでは
ない。

故障状況は、「ハード故障」と呼ばれるディジタル回路
の恒久的故障によって引起こされ得る。

あるいはまた、−時的に正しくない結果をもたらすけれ
ども回路のその後の動作には影響をおよぼさない過渡的
現象によっても引き起こされ得る。

こうした状況は、「ソフト故障」もしくは「ソフト・エ
ラー」と呼ばれる。ソフト・エラーは、電磁妨害（ＥＭ
Ｉ）、固有ノイズ、電光、電磁パルス（ＥＭＰ）　、高
エネルギー・ラジオ周波数（Ｉ（ＥＲＦ）などの様々な
過渡的状況によ−り引起こされる。この明細書に於いて
は、「過渡的外部雑音状況１の語は上記の全ての状況を
含むものとする。

最近のディジタル技術はメモリ・エレメントまたは論理
エレメントの状態を変化させるに必要なエネルギー量を
減少させる方向に向かっておシ、それゆえ、それらのエ
レメントは、ＥＭＩ　　、電光、ＥＭＰ、ＨＥＲＦなど
に起因する不調を一層起こし易くなっている。注意深く
設計すれば、そうした過渡的外部雑音状況に対する制御
システム回路の感受性を大幅に低下させることが可能で
ある。しかしながら、航空電子工学への応用に於いて遭
遇する可能性のある妨害の全てについての最大値に対抗
し得るよう制御システム全体を強化することは、多くの
場合、実際的でない。従って、安全性を重要視されるデ
ィジタル制御システムに於いては、決定的な部分の性能
に悪影響を、及ぼすことなぐ過渡的な不調に耐え得るこ
とが重要となる。

応用システムに於ける過渡的不調は多少は発生するもの
であるから、ソフト・エラー発生の後を引き継いで機能
し得るよう処理エレメントに再格納するようにした故障
回復機構を提供することか強く要望されている。ハード
故障の状況を救援することくよってシステム全体の信頼
性を向上させるため、ハードウェアの冗長がこの故障回
復機構の中に残されてもよい。との故障回り機構は更に
、ソフト・エラーとハード故障とを明確に識別し得る特
徴を有しているので、不調が生じた際に、機能的に良好
な処理エレメントが故障しているものと誤認されて、未
確認のまま排除されるといりことが無くなる。

ソフト・エラー回復のための良く知られ′ｆｃ１つの方
法は、演算フレームの時間間隔がほぼ制御システムのサ
ンプリング間隔に相当するように演算フレームについて
の制御アルゴリズムを設計することである。ソフト・エ
ラーが感知されたならば、現下の演算フレームの初めに
相当する既知の状態へとコンピュータがリセットされた
後に、制御アルゴリズムが再起動される。多数決のため
の冗長システムに於けるソフト・エラーからの回復には
、更に他の制約が課せられている。システム内の冗長エ
レメント間の関係がシステムの動作に衝撃を与えること
があるということが知られているけれども、本発明は故
障回復方法を定義するものであって冗長取扱上の関係を
処理するものではない。

従来技術による冗長ディジタル・システムは、データを
「注入」することによってディジタル回路を過渡的妨害
から回復させて来た。ディジタル回路の不調を感知した
後、影響を受けなかった回路走向じ状態になるよう不調
回路に再格納するため、影響を受けなかった冗長ディジ
タル回路から不調ディジタル回路へと「注入」データが
転送される。例えば、３本のディジタル処理ラインから
成るシステムに於いて、もし１本のラインが不完全であ
ると票決ロジックによって決定されたならば、そのライ
ンは隔離される。そして、残りの２本のラインは、回復
を完遂するに必要とされる現下の状態を示す変数を転送
する。隔離されたラインけその後、活動的なラインに同
期して処理を再開し、再び他の不調を生ずることなく一
定数の演算フレームを遂行したことが確認された後、シ
ステムの中に再び入ることを許される。単一の過渡的妨
害が冗長処理エレメントの各々に不調を発生させること
が有り得る。この場合には、注入に利用し得る完全なデ
ータ源が無いので、冗長は打ち負かされてシステムが崩
れる。

従来技術の解決法に於けるもう１つの制約は、故障が生
じた場合にデータを注入するに必要とされるソフトウェ
アが、システムに於いて使用される冗長アーキテクチャ
及び冗長の水準に対しても、また、適用される用途に対
しても、それぞれ特定のものでなければならないことで
ある。

ソフト・エラー回復など故障に耐えるための技術は、ソ
フトウェアに関して全くの透過性を有しており、且つ、
適用される制御用途の状況から独立であることを強く望
まれておシ、成る場合にはそれが不可欠である。

〔発明が解決しようとするａ題〕

本発明の目的は、他の冗長処理エレメントとの間の相互
作用の助けをかシることなく、単一の処理エレメントを
機能状態へと復帰させるべく再格納し得るソフト・エラ
ー回復機構を提供することである。

本発明の他の目的は、使用されるソフトウェアに対して
透過性を有するソフト・エラー回復機構を提供すること
である。

本発明のもう１つの目的は、広範囲な耐故障アーキテク
チャに適用し得るソフト・エラー回復機構を提供するこ
とである。

本発明の更にもう１つの目的は、過渡的妨害が冗長処理
エレメントの各々に同時不調を引き起こした場合にすら
、その冗長ディジタル・システムが故障なしに動作する
ことを可能とするソフト・エラー回復機構を提供するこ
とである。

〔発明の概要〕

前述の目的及び利点は、中央処理装置（ＣＰＵ　）と、
前記ＣＰＵ　をメインＲＡＭ及び入出力装置へ接続する
アドレス／データ・バスとを有する実時量制御システム
を設けることによシ達成され得る。

その上、前記バスには、過渡的外部雑音源に起因する不
調から効果的に遮蔽され保護されているソフト・エラー
回復回路が接続される。このソフト・エラー回復回路は
、Ｍｌの、「偶数」補充ＲＡＭと、第２の、「奇数」補
充ＲＡＭ　と、バックアップＲＡＭ　と、メモリ制御回
路とを含んでおり、それらは前記ソフト・エラー回復回
路を動作させるために働く。

各演算フレームの期間内にデータ・ワードがメインＲＡ
Ｍ内に書込まれ、それと同時に、アドレス／データ・バ
スから第１補充ＲＡＭ　’！＆ｔｌＥ２補充ＲＡＭの中
へと前記データ・ワードが交互に複写される。メモリ制
御回路が第１補充ＲＡＭ　と第２補充ＲＡＭ　とを交互
に切り替えるので、それらのうちの一方に含まれるメモ
リ・エレメントは現下の演算フレームへと更新されてお
り、他方に含まれるメモリ・エレメントはその直前の演
算フレームへと更新されたものである。メイン・メモリ
の入力が第１補充ＲＡＭ　と第２補充ＲＡＭ　とのうち
の一方へ入れられている間に、その前のフレームへと更
新された他方の補充ＲＡＭの内容が、バックアップＲＡ
Ｍの中へと転送される。過渡的外部妨害もしくは不評が
アドレス／データ・バスまたはＣＰＵ　またはメインＲ
ＡＭ　を襲ったならば、過渡的不調を生じた演算フレー
ムの初めにシステムが置かれていたのと同じ運転モード
へとシステムを戻すためにバックアップＲＡＭの内容を
メインＲＡＭへと転送することにより回復が遂行される
。

前述の目的及び利点ならびに本発明の動作原理は、添付
図面を参照しつつ提示実施例についての以下の詳細な記
述を検討することにより当業者には容易に明らかとなろ
う。

〔実施例〕

第１図は、新規なソフト・エラー回り機構を用いた処理
エレメントのブロック図を示している。

この処理エレメントは、単一のプロセッサとして使用さ
れてもよく、また、冗長システムに含まれる多くの処理
エレメントの１つとして使用されることも可能である。

ＣＰＵ　　（中央処理装置）１０は、実時間制御アルゴ
リズムを遂行するため、プログラムＲＯＭ　　（読出し
専用メモリ）１２に格納されているプログラムを実行す
る。この制御システムに含まれるセンサ（図示せず）か
らの入力は、入力ライン１４から入出力回路１６を経由
して取り入れられ、前記システムの次めの制御動作は、
入出力回路１６と出力ライン１８とを介して遂行される
。オペランド記憶装置は、ＣＰＵ　のメイン・メモリで
あると考えられてよいスクラッチパッドＲＡ第２　Ｑに
よって構成されている。データは、アドレス／データ・
バス２２を経由して、ＣＰＵとＲＯＭ　とＲＡＭ　　（
随時読出し書込みメモリ）と入出力回路Ｃｌ１０）　　
との間を転送される。メインＲＡＭ　メモリ２０への書
込みサイクルとそこからの読出しサイクルとを実行する
ために必要な制御信号は、メモリ制御回路２４によって
提供される。

ここに述べる回路は更に、例えば航空電子工学の制御シ
ステムに於いて使用されるような普通のディジタル処理
システムをも含んでいる。この普通の構成に対して、破
線の枠２６で囲んで示されているソフト・エラー回復回
路が付加される。この回路は、最悪の場合にも過渡的妨
害が回路のどこＫも不調を引き起こすことの無いよう、
ＥＭＩ（電磁的妨害）、電光、ＥＭＰ　　（電磁パルス
）、ＨＥＲＦ　（高エネルギー・ラジオ周波数）など、
加えられる可能性のある様々々雑音源に対して強化され
なければならない。このレベルまで制御システム全体を
強化することが実際には出来ないという場合には、破線
の枠で囲まれているソフト・エラー回復ハードウェア２
６を具体化した比較的小規模な回路を強化するのが実際
的であシ、この場合にこの回路に必要とされる容積及び
電力は、処理エレメント全体に要する容積及び電力に比
しかなり小さくて済む。ＥＭＩ　　に対して回路を強化
するための技術は当分野に於いては良く知られており、
それは最少限、導通性妨害を除去するために例えば光ア
イソレータ２８を使用して全ての入力ライン及び出力ラ
インの条件を改善することと、広範囲にわ九る遮蔽とを
含む。ソフト・エラーから回りし得るようにするための
本発明の方策は、ディジタル関数の状態を定義する変数
の全てがスクラッチパッドＲＡ第２０　の中に格納され
ることを必要とする。これらの変数の各々は、演算フレ
ームが更新される際、その同じ演算フレーム期間内にス
クラッチパッドＲＡ第２０　の中へ書込まれなければ々
ら々い。

ソフト・エラー回復とは、スクラッチバンドＲＡ第２０
　の内容を、故障または不調が検出され比演算フレーム
の初めに存在した状態へと復元することである。故障が
発生した場合に、ソフト・エラー回復回路２６は、バッ
クアップＲＡＭ３０−の内容をスクラッチバンドＲＡ第
２０へと複写することによ）スクラッチバンドＲＡ第２
０　を復元する。バックアップＲＡＭ３０　は、現下の
演算フレームの初めへとスクラッチバンドＲＡ第２０　
を復帰させるため。

に、スクラッチバンドＲＡ第２０　の、１フレ一ム分遅
れてはいるけれども完全な複写を保存する。バックアッ
プＲＡＭ３０　がこの状況に維持され得るのは、補充Ｒ
ＡＭに、アドレス／データ・バス２２と制御ライン３２
とを傍受させて、所定の演算フレーム期間内にＲＡ第２
０へ書込まれるアドレスとデータとの各々を捕獲して置
くからである。いつでも律元し得るよう常に備える目的
でバックアップＲＡＭ３０　が継続的に且つ確実に更新
されるよう、アドレス／データ・バス２２から第１補充
メモリすなわち「偶数メモリ」３４と第２補充メモリす
なわち「奇数メモリ」３６とバックアップメモリ３０と
へのデータ転送が、メモリ制御回路３８によって管理さ
れる。

本発明の実施例に於いて行われるデータ記録の技術を一
層良く理解し得るようにするため第２図及び第３図が参
照され、そこには、ＣＰＵの実時間クロックにより継続
的に刻まれる時間毎にアドレス／データ・バス２２へと
接続される偶数メモリ３４と奇数メモリ３６とが示され
ている。第２図に示されているように、偶数番目の演算
フレームの期間内にメイン・メモリ（スクラッチパッド
ＲＡＭ）２０へと書込まれる内容が全て、「偶数」補充
ＲＡＭ３４へも同時に入力される。ｎワードｘ１ビット
幅のメモリを含む更新ロガー４０が、偶数ＲＡＭ３４　
に組合わせられている。従って、偶数演算フレーム期間
内の書込み動作によりワードが入替えられるメイン・メ
モリ２０内のアドレスに相当するビット位置（アドレス
）に、フラッグすなわち更新ビットを格納することが出
来る。

同様に、第３図に示されているように、奇数演算フレー
ム期間内にメインＲＡ第２０　に書込まれる入力が並行
して「奇数」補充ＲＡＭ３６　にも書込まれ、生じた書
込みの記録が［奇数」更新ロガー４２に残される。

再び第２図を参照すれば、そこには、メイン・メモリ２
０への書込みと並行して偶数補充メモリ３４が更新され
る偶数演算フレームの期間内に、その直前の演算フレー
ムすなわち奇数フレームの期間内に更新された奇数補充
メモリ３６の中のデータが全てバックアップＲＡＭ３０
へと転送される様子が示されている。同様に、第３図に
は、メイン・メモリ２０への書込みと並行して奇数補充
メモリ３６が更新される奇数演算フレームの期間内Ｋ、
その直前の演算フレームすなわち偶数フレームの期間内
に更新された偶数補充メモリ３４の中のデータが全てバ
ックアップＲＡＭ３０へと転送される様子が示されてい
る。上述の説明から判るようにバックアップＲＡＭ３０
は常にメイン・メモリ２０の内容と同じ内容を格納して
いるけれども、但しバックアップＲＡＭ３０　の内容は
、ＣＰＵの実時間クロックによるフレーム間隔１つ分、
すなわち１演算フレ一ム分だけ遅延している。

第１図ないし第３図に示した概略的ブロック図は本発明
のソフト・エラー回復システムの基本原理を理解するに
は有益であったが、さらに−層の理解に資する次め第４
図ないし第６図に詳細なブロック図を示す、、第４図は
、このシステムがＲＡＭを用いて実施される場合のメモ
リ及びバスの構成を示している。普通のマイクロプロセ
ッサ（図示せず）に、アドレス・バス４４と、ｍビジト
幅のデータ・バス４６とが組合わせられている。メイン
・メモリすなわちスクラッチパッド・メモリ２０は、そ
のアドレス入力をアドレス・バス４４がら受取り、また
、そのデータ入力をデータ・バス４６から受取る。ｎワ
ードｘｍビット幅のメモリであるバックアップＲＡＭ３
０　　も、アドレス・バス４４及びデータ・バス４６に
接続されている。第４図に示されている記号４８は、そ
の記号を付されたバスが双方向性であることを示すため
のものである。

偶数ＲＡＭ３４　　と奇数ＲＡＭ３６　　とがスクラッ
チパッドＲＡ第２０への入力を傍受し得るようにするた
め、偶数ＲＡＭ３４　及び奇数ＲＡＭ３６　は、ケーブ
ル・ライン５０，５２を経由してアドレス・バス４４へ
と接続されているそれぞれのアドレス入力端子を有する
。同様に、双方向性バス５４．５６を介して補充ＲＡＭ
３４．３１１ｉへデータが転送され得る。

偶数補充メモリ３４及び奇数補充メモリ３６からバック
アップＲＡＭ３０　へのデータ転送を制御するため、補
充ＲＡＭ３４．３６の出力をバックアップＲＡＭ３０　
の入力端子へと接続するデータ・ラインにランチ回路５
８．６０が設けられる。

メモリ制御回路３８は、スクラッチパッドＲＡ第２０へ
の書込みの発生を感知し、ライン７２．７４を経由して
更新ロガー４０，４２へと１ビツトを送り出す。その１
ピントは、更新ロガー４０．４２の、偶数演算フレーム
及び奇数演算フレームに於いて書込まれるワードのアド
レスと同じアドレス、へと格納される。メモリ制御回路
３８は更に、バックアップＲＡＭ３０　と、偶数補充Ｒ
ＡＭ３４　及び奇数補充ＲＡＭ３６　　と、それらに組
合わせられている更新ロガー４０．４２とＫ、入力を与
える。

「偶数」演算フレーム期間内に行われるデータ記録の様
子が、第５図に示されている。理解を容易にするため、
偶数演算フレーム期間内に動作しないバスは図示されて
いない。メモリ制御回路３８は、メイン・メモリ２ｏへ
のアクセスの全てを監視しており、もしも書込みがあっ
たならばそれと同じ書込みを偶数ＲＡＭ３４　に対して
並行して行わせる。メモリ制御回路３８はとのとき同時
Ｋ、偶数更新ロガー４０の、それと組合わせられている
補充ＲＡＭ３４への書込みの際のアドレスト同一ノアド
レスに、Ｕ月を書込む。更新ロガーは、各演算フレーム
の初めに於いては全て「０」を格納している。このよう
にして、メイン・メモリ２ｏへ書込まれるワードの全て
が偶数補充ＲＡＭ３４へ複写され、偶数更新ロガー４０
の中の同一のアドレスが「１」へと切り替えられる。こ
のｒｌＪ　Ｉｉ、偶数補充メモリ３４の中の相当するア
ドレスに、更新されたデータが存在することを示すフラ
ッグ・ピントである。

この同じｒｘ数Ｊ演算フレームの期間内に１その前の「
奇数」演算フレームに於いて更新されたメイン・メモリ
・データに等しいデータが、奇数補充メモリ３６からバ
ックアップＲＡＭ３０　へとメモリ制御回路３８の制御
のもとに転送される。転送動作は、完全な状態となるよ
う自動的且つ継続的になされる。すなわち、処理システ
ムが分裂している次めに動作が一時停正させられるよう
なことはない。

実時間クロックの切り替えにより決定される演算フレー
ムの「偶数」演算フレーム期間内に、メモリ制御回路３
８は、奇数更新ロガー４２のアドレスの全てをポーリン
グする。メモリ制御回路３８は、データを与えられてい
るアドレス（ｎ）を認識し、奇数更新ロガーのビットを
読出し、さらに、奇数補充ＲＡＭからのデータをランチ
回路６ｏの中ヘラツテする。もし奇数更新ロガーのビッ
トが１１−１であるならば、メモリ制御回路３８にょシ
認識されてラッチ回路からのデータがバックアップＲＡ
Ｍ３０へ書込まれ、次いで、メモリ制御回路３８は、ア
ドレスｎのフラッグ・ビットをクリアすべく奇ｉ更新ｃ
＋　カーへ「ＯＪを書込む。このプロセスは、奇数更新
ロガーのアドレスの全てかポーリングされるまで継続さ
れる。

「奇数」演算フレーム期間内に行われるデータ記録の様
子が、第６図に示されている。やはり、動作しないバス
は図示されていない。メモリ制御回路３８は、前述した
ところと同様に、奇数フレームのデータを記録するとと
もに偶数フレームのデータを転送する。各演算フレーム
に於いて、バックアップ・メモリ３０は、メモ１Ｊ３４
．３６の組合わせのおかげで、次の演算フレームに相当
する正しい状態となるための更新されたデータの完全カ
セットを提供される。エラーの無いデータの完全なセッ
トが補充ＲＡＭ３４　または補充ＲＡＭ３６に蓄積され
る迄はバックアップ・メモリ３０への転送が開始される
ことはなく、また、ひとたび蓄積され念々らばそのデー
タは、バックアップ・メモリ３０への転送が完了するま
で不調から保護される。

代替可能な実施態様ＣＰＵ　の実時間クロックが例えば１００ｍ５　、或い
はそれ以上の比較的長いフレーム期間を設定するような
場合には、本発明のシステムは、システムに至るところ
にＲＡＭ　メモリを使用するようにして良好に実施され
得る。また、例えば１００ｍ５未満の、程よい短かめの
実時間クロンク演算フレーム期間を有するシステムに於
いては、「偶数」補充メモリおよび「奇数」補充メモリ
としてＦＩＦＯ（先入れ先出し）メモリを使用するのが
好都合であることが判つ次。但し、メイン・メモリ及び
バックアップ・メモリには各々、ｎワード×ｍビット幅
の普通の随時読出し書込みメモリが相変わらず使用され
てよい。「偶数」更新ロガー及び「奇数」更新ロガーに
は、アドレスＦＩＦＯが使用される。

そうしたＦＩＦＯメモリを使用した本発明の故障回復シ
ステムの、メモリ及びバスの構成が第７図に示されてい
る。偶数補充メモリ６２及び奇数補充メモリ６４、なら
びに、それらに組合わせられている更新ロガー６６．６
．８が、ともにＦＩＦＯメモリである点が特徴的である
。４つのＦＩＦＯメモリが必要であシ、そのうちの２つ
は偶数番目のフレーム用、他の２つは奇数番目のフレー
ム用である。メイン・メモリ２０が更新されるとき、１
つのＦＩＦＯメモリにはそのアドレスが格納され、もう
１つのＦＩＦＯメそりにはそのデータが格納される。

メイン・メモリのサイズがｎＸｍ（ｎワード×ｍビット
幅）である場合には、「偶数」データＦＩＦＯ６２及び
「奇数」データＦ■ＦＯ６４は共にｍビット幅であシ、
それらのＦＩＦＯのワード数は、演算フレームに於いて
予期されるメイン・メモリの活用率によって左右される
。偶数用及び奇数用のアドレスＦＩＦＯは、アドレス・
バスと同じビット幅であり、ま友、データＦＩＦＯと同
じワード数を有スる。バックアップＲＡＭ３０　は再び
、ｎＸｍのサイズを有するＲＡＭで構成されている。

最初に示した実施例に於いてメイン・メモリ２０がアド
レス・バス４４とデータ・バス４６とに接続されてい次
ように、この実施例における偶数及び奇数のデータＦＩ
ＦＯ６２，６４、ならびに、偶数及び奇数のアドレスＦ
ＩＦＯ６６、６８も、同様にアドレス・バス４４とデー
タ・バス４６とに接続されている。バックアップＲＡＭ
３０　は、バス４４からアドレス入力を受取り、バス４
６からはデータ入力を受取る。バックアップＲＡＭをシ
ステム・バス４６へと接続しているデータ・バスは、記
号７０によジ示されているように本質的に双方向性であ
る。

「偶数」演算フレーム期間内に生ずるデータ記録動作の
様子が第８図のブロック図に示されている。ここでもや
Ｊｌ、理解を容易Ｋｆるために、活動的でないバスは故
意に除去されている。最初の実施例と同様に、メモリ制
御回路３８は、メイン・メモリ２０へのアクセスを監視
している。メイン・メモリ２０へ書込むためのアクセス
がなされている間は、メモリ制御回路３８が、「偶数」
ＰＩＦＯ６２，６６の中へ格納させる目的でそのデータ
及びアドレスをバスの上に存在させる。

「偶数」演算フレーム期間内に、その直前の「奇数」フ
レーム期間に於いて更新されていたメイン・メモリＲＡ
Ｍのデータと同一のデータが、メモリ制御回路３８の制
御のもとに、「奇数」ＰＩＦＯ６４からバックアップＲ
ＡＭ３０　へと転送される。転送動作は、完了するまで
継続的に且つ自動的になされる。すなわち、分割して処
理していることが検出されて転送動作が途中で停滞する
よう々ことは々い。

「偶数」演算フレーム期間内に、メモリ制御回路３８は
、奇数ＰＩＦＯ６４，６Ｂからの連続的読出し動作を行
う。各続出し動作期間内に、奇数ＰＩＦＯ６４．６８は
、その直前の「奇数」演算フレーム期間にメイン・メモ
リ２０へ書込まれたものと同じアドレス及びデータを、
バスへ載せる。メモリ制御回路３８はこのデータを、バ
ックアップＲＡＭ３０の、ＦＩＦＯ６Ｂから提供された
その所定のアドレスへと書込む。この課程は、奇数ＦＩ
ＦＯが空になるまで継続される。

「奇数」演算フレームに於いて行われるデータ記録動作
の様子が第９図に示されている。ここでも、動作に関与
しないバスは図示されていない。

メモリ制御回路３８は、第７図に関して述べたところと
ほぼ同様に、奇数フレーム・データを記録させるととも
に偶数フレーム・データを転送させる。

いずれの実施例が採用されているかに拘らず、もしディ
ジタル演算に対する妨害が生じたならば、それは、ディ
ジタル・システム監視装置１１（第１図参照）により検
出されなければならない。本発明の回復機構は、故障が
生じた演算フレームと同一のフレーム期間内にその故障
が検出されることを必要とする。本発明のこの技術は、
ディジタル回路内に生じたいかなる故障状況をも直ちに
検出することを必要とするけれども、その問題の解決は
故障回復のための別個の方策とみなすべきものであって
、本発明の技術に含壕れる検出機構もしくはＥＭＩ　　
防護機構の問題であるとみなすべきではない。

システム監視装置は、不調の発生をメモリ制御回路３８
へ通報する。そうすると、メモリ制御回路はデータ自動
記録機能の動作を一時停止する。

しかしながら、バックアップＲＡＭへのデータ転送機能
は、完了する迄しっかりと継続されなければなら々い。

バスを切り替えるためのバス・スイッチは、そのままの
状態に維持される。妨害が生じたことによジ、メイン・
メモリと、メイン・メモリへの書込みに並行してその時
点で書込まれていた偶数または奇数の補充メモリとは、
故障時データと正常データとによジ重複して書込まれる
ものと想定される。メモリ制御回路３８は、そのままの
状態に止どまっている偶数捷たは奇数の補充メモリへの
不要な書込みの発生を防止する。

バックアップＲＡＭ３０　は外部妨害を受は念データを
書込まれることが無いので、このＲＡＭは、ＥＭＩ　　
の生じた状況に対する耐久性に優れている。

しかしながら、妨害が検出されて、不調を生じたフレー
ムと同一の演算フレーム期間内にメモリ制御回路へと通
報されることが不可欠である。

ディジタル・システムへ加えられた妨害の友め、メイン
・メモリ内のデータは改変されている。しかしながら、
バックアップＲＡＭ内のデータは、１フレ一ム分遅延し
てはいるけれども依然として手付かずのまま完全な状態
で残されている。そこで、このデータは、読出し専用の
転送ライン１５を経由してバックアップ・メモリ３０か
らアドレス／データ・バス２２へと転送される（第１図
参照）。この期間を通じて、ノ（ツクアップ・メモリは
不必要な書込み動作から防護される。データ回復シーケ
ンスの期間内に仮に第２の妨害が加えられたとしても再
格納されることが可能である。メイン・メモリが故障の
無い状態へとひとたび再格納されたならば、ＣＰＵは、
それらの正しい変数に基づいて演算を再開し得る。

前述の２つの実施例に於けるデータ回復機能は同じであ
る。システム不調及びＣＰＵ　再起動の後、ソフトウェ
アが、バックアップ・メモリの状態をポーリングするこ
とによって、生じ次不調を検分する。この検分の後にソ
フトウェアが、）（ツクアップＲＡＭの内容データをメ
イン・メモリへと転送する。この転送が完了し次ならば
、システム・ソフトウェアがディジタル・システムの制
御機能を再起動させるとともに処理を再開し、その一方
、上述した回復機構のデータ記録機能が再び動作を特徴
する特許法の定めに従い、また、要望されていた新しい原理
を応用し構成し且つ使用するに必要な情報を当業者に提
供するために、本発明についての詳細な説明を加えた。

しかしながら本発明は、上述の特定的詳細に頼ることな
〈実施することが可能であり、本発明の範囲から離れる
ことなく様々な修正が機器の詳細と動作手順との双方に
加えられてよいものである。

【図面の簡単な説明】

第１図は、本発明の故障回復機構の全体的ブロック図、
第２図は、偶数番目の演算フレーム期間に於けるエラー
回復回路の相互接続を示す全体的ブロック図、第３図は
、奇数番目の演算フレーム期間に於けるエラー回復回路
の相互接続を示す全体的ブロック図、第４図は、本発明
の第１実施例の様々なメモリ・モジュール間の相互接続
を示す更に詳細なブロック図、第５図は、第４図のシス
テム構成のうちの、偶数番目の演算フレーム期間に於い
て活動的となる部分を示すブロック図、第６図は、第４
図のシステム構成のうちの、奇数番目の演算フレーム期
間に於いて活動的となる部分を示すブロック図、第７図
は、ＦＩＦＯメモリが使用されている故障回復システム
のもう１つの実施例を示す詳細ブロック図、第８図は、
第７図の実施例のシステム構成のうちの、偶数番目の演
算フレーム期間に於いて活動的となる部分を示すブロッ
ク図、第９図は、第８図と同様の、但し奇数番目の演算
フレーム期間において活動的となる部分を示すブロック
図である。１０・・・・中央処理装置（ＣＰＵ）　、１１・・・・
システム監視装置、１２・・・・読出し専用メモリ（Ｒ
ＯＭ）　、１４・・・・入力ライン、１５・・・・読出
し専用の転送ライン、１６・・・・入出力回路、１８・
・・・出力ライン、２０・・・・メイン・メモリとして
の随時読出し書込みメモリ（ＲＡＭ）　、２２・・・・
アドレス／データ・バス、２４・・・・メモリ制御回路
、２６・・・・破線の枠、２８・・・・光アイソレータ
、３０・・・・バックアップＲＡＭ　、３２・・・・制
御ライン、３４・・・・第１の補充メモリすなわち「偶
数メモＩＪＪ、３６・・・・第２の補充メモリすなわち
「奇数メモＩＪＪ、３８・・・・メモリ制御回路、４０
・・・・偶数番目の演算フレームの為の更新ロガー　４
２・・・・奇数番目の演算フレームの為の更新ロガー　
４４・・・・アドレス・バス、４６・・・・データ・バ
ス、４８．７０・・・・双方向性を示す記号、５０．５
２・・・・ケーブル・ライン、５４、性パス、５８．６０・・・・６４・・・・補充メモリ、６折用ロガー　７２．７４・・５６・・・・双方向ランチ回路、６２．６．６８・・・・更・・ライン。

Claims

【特許請求の範囲】

（１）アドレス／データ・バス（２２）に接続されてい
る中央処理装置（１０）と、メインＲＡＭ（２０）と、
演算フレームを構成するディジタル・ワードをそのアド
レス指定可能な記憶場所に格納するため前記アドレス／
データ・バスに接続されている手段と、前記中央処理装
置が決めた前記メインＲＡＭ内のアドレスへの前記演算
フレームを構成するディジタルワードの書込みと前記メ
インＲＡＭ内の前記アドレスからの前記演算フレームを
構成するワードの読出しとを生じさせるためのメモリ制
御手段と、前記メインＲＡＭ内に格納されている前記演
算フレームを構成するワードの完全性を前記システムに
加えられる過渡的外部雑音状況に起因するシステムの不
調にも拘らず維持するための装置と、を含む形式のディ
ジタル演算システムに於いて：（ａ）第１の補充ＲＡＭ（３４）及び第２の補充ＲＡＭ
（３６）と；（ｂ）前記メインＲＡＭ（２０）に書込まれるフレーム
を構成するディジタル・ワードと同一のワードが同時に
、前記第１補充ＲＡＭ（３４）と前記第２補充ＲＡＭ（
３６）とのうちの一方へまた他方へと複写され得るよう
、前記第１補充ＲＡＭ（３４）と前記第２補充ＲＡＭ（
３６）とを前記演算フレーム１つ毎に交互に前記アドレ
ス／データ・バス（２２）へと接続するように前記メモ
リ制御手段（３８）により制御される第１切替え手段と
；（ｃ）前記アドレス／データ・バス（２２）へ接続され
ているバックアップＲＡＭ（３０）と；（ｄ）前記第１
補充ＲＡＭ（３４）へワードが複写されている期間には
、その直前の演算フレーム期間内に前記第２補充ＲＡＭ
（３６）へ格納されたワードが前記バックアップＲＡＭ
（３０）へ転送され、且つ、前記第２補充ＲＡＭ（３６
）へワードが複写されている期間には、その直前の演算
フレーム期間内に前記第１補充ＲＡＭ（３４）へ格納さ
れたワードが前記バックアップＲＡＭ（３０）へ転送さ
れるよう、前記バックアップＲＡＭ（３０）を前記第１
補充ＲＡＭ（３４）及び前記第２補充ＲＡＭ（３６）へ
交互に接続するように前記メモリ制御手段（３８）によ
り制御される第２切替え手段と；（ｅ）過渡的雑音に起因するシステムの不調を感知する
ため前記メモリ制御手段へ接続される手段と；（ｆ）前記バックアップＲＡＭ（３０）の内容を前記メ
インＲＡＭ（２０）へと転送するための、システム不調
の感知に基づいて前記メモリ制御手段により制御される
手段と；を含むことを特徴とするディジタル演算システム。
（２）実時間クロックを有する中央処理装置（ＣＰＵ、
１０）と、メインＲＡＭメモリ（２０）と、前記ＣＰＵ
及び前記メインＲＡＭとに接続されているアドレス／デ
ータ・バス（２２）とを含む形式のディジタル演算シス
テムの前記ＣＰＵまたは前記メインＲＡＭまたは前記バ
スへ過渡的外部妨害が加えられた後に、誤りのない運転
状態へ戻すため前記ディジタル演算システムへ再格納す
る方法にして：（ａ）偶数番目の演算フレームを構成す
るディジタル・ワードの、前記メインＲＡＭ（２０）に
書込まれるものと同一のワードの複写を、第１の補充Ｒ
ＡＭ（３４）の中へ格納する工程と；（ｂ）奇数番目の演算フレームを構成するディジタル・
ワードの、前記メインＲＡＭ（２０）に書込まれるもの
と同一のワードの複写を、第２の補充ＲＡＭ（３６）の
中へ格納する工程と；（ｃ）前記奇数番目の演算フレームと前記偶数番目の演
算フレームとが、前記実時間クロックの連続的サイクル
に基づいて決定されることと；（ｄ）前記第１補充ＲＡ
Ｍ（３４）と前記第２補充ＲＡＭ（３６）とのうちの一
方と前記メインＲＡＭ（２２）との中に、現下の演算フ
レームを構成しているディジタル・ワードが同時に書込
まれるときに、前記第１補充ＲＡＭ（３４）と前記第２
補充ＲＡＭ（３６）とのうちの他方に格納されている直
前の演算フレームが前記バックアップＲＡＭ（３０）へ
転送されるようにして、前記第１補充ＲＡＭ（３４）と
前記第２補充ＲＡＭ（３６）との内容を交互にバックア
ップＲＡＭ（３０）へと転送する工程と；（ｅ）前記ＣＰＵ（１０）と前記メインメモリ（２０）
と前記アドレス／データ・バス（２２）とに於ける過渡
的外部雑音状況の発生を監視する工程と；（ｆ）過渡的外部雑音状況の発生の後、前記メインＲＡ
Ｍ（２０）の内容を前記バックアップＲＡＭ（３０）の
内容をもつて置換える工程と；を含むことを特徴とするディジタル演算システムへ再格
納する方法。
（３）アドレス／データ・バス（２２）により相互に接
続されているメイン・メモリ（２０）と中央処理装置（
１０）と入出力手段（１６）とを有するディジタル演算
手段を組み入れている制御システムが前記システムを襲
うソフト故障の発生から回復し得るようにするための方
法にして：（ａ）切替え手段により前記アドレス／データ・バス（
２２）へそれぞれ接続され得る偶数フレーム・メモリ（
３４）及び奇数フレーム・メモリ（３６）及びバックア
ップ・メモリ（３０）と、それらに加えてメモリ制御手
段（３８）とを、過渡的外部雑音状況から効果的に遮蔽
し得る囲い（２６）の中へ設ける工程と；（ｂ）偶数演算フレームの期間内に前記メイン・メモリ
（２０）へ書込まれるワードを同時に前記偶数フレーム
・メモリ（３４）へも書込む工程と；（ｃ）奇数演算フ
レームの期間内に前記メイン・メモリ（２０）へ書込ま
れるワードを同時に前記奇数フレーム・メモリ（３６）
へも書込む工程と；（ｄ）偶数演算フレーム及び奇数演
算フレームの期間内にそれぞれ更新されるそれらのワー
ドの記録を、それぞれ前記偶数フレーム・メモリ（３４
）と前記奇数フレーム・メモリ（３６）との中に保持す
る工程と：（ｅ）前記偶数フレーム・メモリ（３４）または前記奇
数フレーム・メモリ（３６）の中へワードが書込まれて
いる目下の演算フレーム期間内に、その直前の演算フレ
ームにて更新されたものと同一であることを前記の記録
によつて確認された前記偶数フレーム・メモリ（３４）
または奇数フレーム・メモリ（３６）の中のワードを、
前記バックアップ・メモリへと転送する工程と；（ｆ）前記中央処理装置（１０）または前記メイン・メ
モリ（２０）または前記アドレス／データ・バス（２２
）への過渡的外部妨害の発生を感知する工程と；（ｇ）前記妨害発生以前の演算フレーム期間内の状態と
同じ状態へ前記メイン・メモリ（２０）が戻されるよう
、前記の妨害が生じた演算フレームの終わりに臨んで前
記バックアップ・メモリ（３０）の内容を前記メイン・
メモリ（２０）へと転送する工程と；を含むことを特徴とするソフト・エラーの発生から回復
し得るようにするための方法。