JPH04211841A - 二重化処理装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、２つの処理系が互いに
同期して命令を実行する二重化処理装置に関する。

【０００２】

【従来の技術】確実なデジタル処理を行う方法に、二つ
の処理系が互いに同期して同一の命令を実行する二重化
処理装置が提案されている。このような構成にすると仮
に一方の系のデータが異常となっても、他方の系のデー
タは正常であるのでそのまま処理を実行できる。また、
一方の系がダウンしても他方の系で処理を実行すること
ができる。

【０００３】このためには一方の処理系でエラーを検出
すると、その処理系を即座に切り離すことが必要となる
が、この方法は例えば、米国特許第４４５３２１５号、
第４６５４８５７号、第４７５０１７７号に開示されて
いる。

【０００４】

【発明が解決しようとする課題】しかしながらこの先行
技術は一方の系に一時的なエラーが発生してもその系を
切り離さなければならない。また、一過性のエラーであ
っても再試行を行うとエラーを検出した処理系だけで再
試行が行われるため両系の動作が不一致となり、二重化
できないためやはり、切り離さなければならない。この
ように一過性のエラーであっても二重化処理が継続でき
ないことは、システムのアベイラビリティの低下を招く
ことになり、また一方が切り離された後に稼働中の装置
が障害を起こすと、仮に他方が正常であってもシステム
ダウンとなってしまうという課題があった。

【０００５】

【課題を解決するための手段】このような課題を解決す
るために本発明は、２つの処理系を有し各処理系が互い
に同期して命令を実行する二重化処理装置のうち、いず
れかの処理系にエラーが発生したとき、双方の処理系の
動作を前記エラーを検出したステップで停止させ、各処
理系の再試行を行わせるようにしたものである。

【０００６】

【作用】エラーが発生したステップで処理が停止し、そ
の段階で再試行が行われ、それによってエラーが消滅す
ればそのまま運転を再開し、その再試行でもエラーが消
滅しない場合は、エラーの発生した処理系を切り離して
運転を再開する。

【０００７】

【実施例】図１は本発明の一実施例を示すブロック図で
あり、２台の演算処理部１１Ａ、１１Ｂ（以下、ＣＰＵ
１１Ａ、１１Ｂと称する）と、それに対応する２台のメ
モリ１２Ａ、１２Ｂとの間の情報転送に関し、本発明を
適用したものである。

【０００８】今、図の左側をＡ系、右側をＢ系と呼ぶこ
とにする。この装置は電源投入時点において、一方を待
機系とする必要があるが、それは図示しない装置によっ
て後述するアクティブ系装置指定レジスタのセットによ
って行っている。

【０００９】また、メモリ１２Ａ，１２ＢとＣＰＵ１１
Ａ，１１Ｂとの間にそれぞれアドレスバス１３Ａ，１３
Ｂ、データバス１４Ａ，１４Ｂ、コントロールバス１５
Ａ，１５Ｂ、が設けられている。コントロールバス１５
Ａ，１５Ｂはアドレスストローブ線、データアクノリッ
ジ、エラー通知線からなる。

【００１０】アドレスバス１３Ａ，１３Ｂ、データバス
１４Ａ，１４Ｂ、コントロールバス１５Ａ，１５Ｂは、
バス制御ユニット１６Ａ，１６Ｂを介してそれぞれ制御
される。また、エラーが発生した場合や、これらバス制
御の都合上、ＣＰＵ１１Ａ，１１Ｂを停止させるための
停止判定論理手段１７Ａ，１７Ｂがそれぞれの処理系に
設けられている。

【００１１】バス制御ユニット１６Ａ，１６Ｂと、自系
の停止判定論理手段１７Ａ，１７Ｂの間は、アクノリッ
ジ信号を伝送するデータアクノリッジ線２１Ａ，２１Ｂ
、エラーステータスを伝送する自系エラー通知線２２Ａ
，２２Ｂ、再試行要求線２４Ａ，２４Ｂで結ばれ、他系
の停止判定論理手段１７Ａ，１７Ｂとの間は他系エラー
通知線２５Ａ，２５Ｂで結ばれている

【００１２】バス
制御ユニット１６Ａ，１６ＢとＣＰＵ１１Ａ，１１Ｂと
の間は自系リセット線２６Ａ，２６Ｂとアドレス・デー
タ・コントロールバス２７Ａ，２７Ｂで結ばれている。 ＣＰＵ１１Ａ，１１Ｂは他系リセット線２８Ａ，２８Ｂ
で結ばれている。

【００１３】いま、アクティブ系をＡ系として、２重化
運転の概要について説明し、その後に細部の動作に付い
て説明する。

【００１４】ＣＰＵ１１Ａ，１１Ｂは一般の情報処理装
置と同じようにそれぞれのメモリ１２Ａ、１２Ｂから命
令を読んだり、データを読み書きして処理を行う。この
ときのアドレスバス１３、データバス１４、コントロー
ルバス１５のタイミングをＣＰＵ１１からのメモリリー
ドアクセスについて示したものが図２である。このタイ
ミング制御はバス制御ユニット１６で行われる。

【００１５】ＣＰＵ１１は図２（ｂ）に示すアドレス信
号を送出した後、（ａ）に示すアドレスストローブ信号
を出す。メモリ１２はアドレスストローブ信号のタイミ
ングによりアドレス信号を受け取り、メモリ動作を開始
する。メモリデータが準備できるとメモリ１２は図２（
ｄ）に示すデータをデータバス１４に送出し、図２（ｃ
）に示すデータアクノリッジ信号をＣＰＵ１１に返す。

【００１６】ＣＰＵ１１はデータアクノリッジ信号によ
って、図２（ｄ）で示すデータバス１４上のデータを取
り込む。ＣＰＵ１１は図２（ｃ）に示すデータアクノリ
ッジ信号が返送されるまで、または再試行完了まで停止
する。これはＣＰＵ１１の停止判定論理手段１７で行わ
れる。

【００１７】メモリ１１内で何らかのエラーを検出した
ならば、図２（ｅ）に示すエラーステータスを０にして
バス制御ユニット１６へメモリ１２でエラーが発生した
ことを伝える。２重化処理としてはＣＰＵ１１Ａがメモ
リ１２Ａを使用し、ＣＰＵ１１Ｂがメモリ１２Ｂを使用
して、各系は全く同一の動作を行う。この時Ｂ系でエラ
ーが検出されると、図２（ｆ）の停止要求信号と図２（
ｅ）のエラーステータス信号は停止判断論理手段１７Ａ
，１７Ｂを介した停止要求線２３に送出される停止要求
信号によって、ＣＰＵ１１Ａ，１１Ｂを共に停止させる
。

【００１８】エラーが発生するとバス制御ユニット１６
Ａ，１６Ｂは再試行を行い、それによってバス上のエラ
ーが消えることを期待する。エラーが一過性のものであ
り再試行によってバス上のエラーが消滅すると、停止判
定論理手段１７Ａ，１７Ｂが停止要求線２３の信号レベ
ルを１に戻すことによってＣＰＵ１１Ａ，１１Ｂの命令
実行停止が解除され、先へ進む。

【００１９】Ｂ系のエラーステータスがＡ系ＣＰＵ１１
Ａの停止判定論理手段１７Ａに入力されているため、エ
ラーが発生したとき、Ａ系のＣＰＵ１１Ａも停止させる
。つまり、Ａ系ではエラーが発生していないのであるが
、両系を２重化運転のまま再試行し、成功すればそのま
ま処理を続行するようにしている。

【００２０】もし、再試行が失敗した場合、すなわち固
定的なエラーの場合は、Ａ系のＣＰＵ１１Ａは処理を継
続し、Ｂ系のＣＰＵ１１Ｂは運転から切り離される。こ
の切り離しはＢ系のＣＰＵ１１Ｂが割り込みを発生する
ことで行われる。また、Ａ系のＣＰＵ１１ＡはＢ系で再
試行が行われたことを知っているので、一重化運転に入
ったことがわかる。

【００２１】以上が二重化運転の概略であるが、次に細
部の動作をについて説明を行う。前述の概略説明での動
作は次のようになっているものとする （ａ）両系に供給されるクロック信号は一つのクロック
源から供給されているものとする。 （ｂ）起動時は先ず一方の系が動作を開始する。これは
どちらが先に動作を開始するかを決めておいても良いし
、偶然性に委ねても良い。ただし、起動時は一方の系が
動作を開始すると他方の系は待機状態となり、オンライ
ンソフウェアを実行していない状態である。先に動作す
る系をＡＣＴ系と呼び、待機している系をＳＢＹ系と呼
ぶ。このＳＢＹ系も命令が与えられればその命令は実行
できる。 （ｃ）ＡＣＴ系のＣＰＵは自系メモリを読み出し、自系
および他系に書き込む。他系へのメモリデータは図１の
他系交差線を介して送出される。 （ｄ）ＡＣＴ系から自系および他系リセット線により、
リセット信号を自系および他系に送出する。 （ｅ）両系のメモリ内容が同一であり、クロックも同一
で、リセットが同時にかかるため、両系は全く同じ動き
を行うため、リセット以降は並列運転となる。なお、こ
れは必ずしもリセットでなくても、例えば割り込みを両
系にたいして行っても良い。また、並列運転中は自系／
他系障害が自系／他系障害通知線で通知された場合、停
止要求線により、ＣＰＵの動作を停止させる。ここで停
止とは停止要求が解除され、正しいデータが準備できる
までＣＰＵが待つことを意味している。

【００２２】以下の説明中で、障害検出は次の条件を満
たすものとする。 （ａ）並列運転中は自系で発生する障害は自系で検出す
るものとする。 （ｂ）他系で発生した障害をする手段は、他系エラー通
知線だけである。 図３は停止判断論理手段１７の内部構成を示すブロック
図である。図３において、１７１はアクティブ系装置指
定レジスタ、１７２は自系障害表示レジスタ、１７３は
他系障害表示レジスタ、１７４は状態カウンタ、１７５
はデコーダである。このデコーダ１７５は状態カウンタ
１７４のカウント結果が１のときに端子ａからＨレベル
、端子ｂからＬレベルの信号を出力する。また、状態カ
ウンタ１７４のカウント結果が２のとき端子ａからＬレ
ベルの信号を出力し、端子ｂからＨレベルの信号を出力
する。そして状態カウンタ１７４のカウント結果が３以
上の時は端子ａ，ｂともにＬレベルの信号を出力するよ
うになっている。記号１７６〜１７８はオア回路、記号
１７９〜１８５はアンド回路である。

【００２３】図４はバス制御ユニット１６の内部構成を
示すブロック図であり、１６１〜１６３はセレクタ１６
４はアドレスレジスタ、１６５はデータレジスタ、１６
６はコントロールレジスタ、１６７はタイミング制御回
路、１６８はパリティチェック回路である。

【００２４】このように構成された装置において、一つ
の系でエラーが発生すると、その情報はエラーを発した
系と、他系に自系／他系エラー通知線２５で通知される
。自系と他系は物理的に接近して配置され、自系エラー
と他系エラーは同時に報告される。これにより、両系の
ＣＰＵはデータバスに与えられたデータが自系あるいは
他系で異常であるとして両系に正しいデータが揃うまで
待ち合わせを行う。

【００２５】バス制御ユニット１６は最も新しいメモリ
アクセスのアドレス／データおよびアクセス種別を保持
しており、同じステップにおいて両方の系で再試行を行
う。同じステップで行っているのはこのエラーしたバス
サイクルを繰り返すことを意味している。

【００２６】例えばのＣＰＵからメモリの１００番地を
読み出したとき、パリティエラーが発生したとする。こ
れによりエラーを検出したバス制御ユニット１６は再度
、メモリの１００番地を読み出し動作を行う。もし、１
回の試行でエラーが消滅すれば、正しいメモリデータが
両系ＣＰＵに与えられると共に、停止要求は解除される
ために、ＣＰＵは動作を先に進めることができる。

【００２７】障害は一過性のものだけではなく、固定的
なものもあるため、ここでは１回の再試行が失敗すると
以下の手順で失敗した系を切り離し、並列運転を解除す
る。

【００２８】停止判定論理手段１７は状態カウンタ１７
４を持っており、その初期値はリセットにより０になっ
ている。ＣＰＵ１１からのバス要求の後、メモリ１２か
らのアクノリッジで自系／他系エラーが報告されると、
状態カウンタ１７４はカウントをインクリメントする　
（オア回路１７６、アンド回路１８１、オア回路１７７
による）。ただし、メモリからのアクノリッジが与えら
れただけで、自系／他系エラーが無ければ、状態カウン
タ１７４は変化しない。

【００２９】停止判定論理手段１７はアクノリッジが与
えられたとき自系／他系エラーがあると、バス制御ユニ
ット１６に対して再試行要求を送出する。再試行中に（
つまり状態カウンタが１の時に）メモリ１２からアクノ
リッジが返送されたとき、自系／他系エラーが無ければ
状態カウンタ１７４はリセットされ（アンド回路１８３
、オア回路１７８により）、停止要求線２３に送出され
る停止要求信号もＨレベルとなって停止要求を解除する
。

【００３０】メモリ１２からアクノリッジが返送されて
きたとき、自系エラーがあれば、状態カウンタ１７４は
更にインクリメントされ（アンド回路１８２、オア回路
１７７による）その系が固定障害を持つと判断される。 このとき、自系のアクティブ系装置指定レジスタ１７１
がＨレベルの信号を出力していると、リセットされるた
め、自系がＳＢＹ系となる（アンド回路１８２および１
８０による）。

【００３１】メモリ１２からアクノリッジが返送された
とき、他系エラーがあれば状態カウンタ１７４はリセッ
トされるとともに、他系障害表示レジスタ１７３がセッ
トされ、他系が固定障害を持つと判断される（アンド回
路１８４、オア回路１７８による）。このとき自系アク
ティブ系装置指定レジスタ１７１がＬレベルを送出して
いるとＨレベルの信号を送出するようになり（セットさ
れるため）自系がＡＣＴ系となる。他系障害表示レジス
タ１７３がセットされると他系障害通知線２５はアンド
回路１８５により遮断される。これにより正常な系は再
試行後、先に進むことができる。従って、他系障害表示
レジスタ１７３がセットされると自系の一時障害だけが
停止判定対象となる。なお、以上の説明は一回の再試行
でエラーが快復しない場合、エラーを発生した系を切り
離すようにしたが、これは複数回行っても良い。

【００３２】

【発明の効果】以上説明したように本発明は、エラーが
発生したときはそのステップで処理を一時停止し、その
段階で再試行を行い、その結果エラーが消滅すればその
まま二重化運転を再開するようにしたので、一過性のエ
ラーによって二重化が切り離されてしまうことがなく、
システムダウンの可能性が少なくかつ、システムのアベ
イラビリティが良いという効果を有する。

【図面の簡単な説明】

【図１】本発明の一実施例を示すブロック図

【図２】図
１の装置のタイミングダイヤグラム

【図３】図１の装置
に用いられている停止判定論理手段の内部構成を示す回
路図

【図４】図１の装置に用いられているバス制御ユニット
の内部構成を示すブロック図

【符号の説明】

１１Ａ，１１Ｂ　　ＣＰＵ １２Ａ，１２Ｂ　　メモリ １６Ａ，１６Ｂ　　バス制御ユニット １７Ａ，１７Ｂ　　停止判定論理手段 １６１〜１６３　　セレクタ １６４〜１６６、１７１〜１７３　　レジスタ１６７　
　　　　　　　　　タイミング制御回路１６８　　　　
　　　　　　パリティチェック回路１７４　　　　　　
　　　　状態カウンタ１７５　　　　　　　　　　デコ
ーダ

Claims (1)

【特許請求の範囲】
1. 【請求項１】　　　　２つの処理系を有し各処理系が互
   いに同期して命令を実行する二重化処理装置において、
   前記いずれかの処理系にエラーが発生したとき双方の処
   理系の動作を前記エラーを検出したステップで停止させ
   る停止判定論理手段と、前記各処理系の再試行を行う再
   試行手段とを備えたことを特徴とする二重化処理装置。