JPH0471037A - 電子計算機の二重化方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 ［発明の目的］ （産業上の利用分野） 本発明は、フォールトトレラント・コンピュータシステ
ムを構築する際に、ＣＰＵを中心とする構成要素を二重
化することによりシステムの信頼性及び可用性を向上さ
せる電子計算機の二重化方式に関する。

（従来の技術） 一般に、フォールトトレラント・コンピュータシステム
を完全なハードウェア構成により実現するには、ＣＰＵ
を中心とする構成機器の内部を二重化することが行なわ
れる。

このシスチムニ重化の一例としては、システムを構成す
る各モジュールをそれぞれ２台用いると共に、この二重
化された各モジュール間を結合するパスラインを二重化
したものが実用されているが、最近では、ＣＰＵを始め
、各主要モジュールの内部回路までも二重化して、その
二重化回路間の処理結果を比較することが行なわれてい
る。

第３図は従来の二重化方式によるフォールトトレラント
争コンピュータシステムの構成を示すもので、ＣＰＵ１
１を始めメモリ１２．磁気ディスク制御装置１３及び磁
気ディスク装置１４１通信制御装置１５からなる１組の
コンピュータシステムがそのまま二重化され、そのそれ
ぞれが二重化されたパスラインにより結合されている。

そして、各ｃＰＵ１１，１１の内部には、さらに２つの
ＡＣＰ　（演算制御モジュール）１６ａ、１６ｂが設け
られると共に、メモリ１２．磁気ディスク制御装置１３
１通信制御装置１５の各内部回路も二重化されている。

この場合、上記パスラインの二重化に伴い、各モジュー
ルにおるバスへの出力は２系統、また、バスから各モジ
ュールへの入力も２系統あることになる。

このフォールトトレラント・コンピュータシステムにお
いて、通常、各モジュールにおける処理結果の比較は、
そのそれぞれのモジュールの最終出力段において実施さ
れるので、当該モジュールで発生するエラーは略確実に
検出することができる。

すなわち、例えばＣＰＵＩＩと磁気ディスク制御装置１
３との間のデータ転送を想定した場合に、ＣＰＵ１１が
磁気ディスク装置１４からデータの読出しを行なうとき
は、磁気ディスク制御装置１３はバスに対して出力の動
作モードにある。このとき、磁気ディスク制御装置１３
における処理結果はバスへの出力直前に比較され、２系
統のデータが一致することを確認した後に両方のバスに
対して出力される。

また、ＣＰＵ１１が磁気ディスク装置１４に対してデー
タ′の書込みを行なうときは、ＣＰＵＩＩはバスに出力
を行なう最終段で各ＡＣＰ１６ａ。

１６ｂからのデータ比較を行ないそのエラーチエツクを
実施する。この場合、ＣＰＵＩＩにおいてデータエラー
が検出されなければ、磁気ディスク制御装置１３の入力
段に伝送されたデータには、バス上におけるノイズ等の
要因以外にエラーが発生することは殆どない。したがっ
て、ＣＰＵ１１から２本のバスを介して伝送されたデー
タを、磁気ディスク制御装置１３の入力段における比較
はせずに、該磁気ディスク制御装置１３から次段のモジ
ュール、つまり、磁気ディスク装置１４への出力段で上
記二重化データの比較が行なわれる。

この場合、１度の比較処理で、バスから磁気ディスク制
御装置１３へのデータ入力に伴うエラー及び磁気ディス
ク装置１３内でのデータ処理に伴うエラーを検出するこ
とができる。

二こで、パスライン上でのエラー発生要因について説明
する。

例えば、出力モードにあるモジュールは、バスに出力す
るデータに関してエラーチエツクを実施している。した
がって、本来なら、バス上に誤ったデータが出力される
ことはない。しかし、この出力モードにあるモジュール
のバスに直接接続されているゲートの故障や、バス上の
信号のクロストークノイズ等に起因するエラーの場合に
は、該出力モジュールにおけるエラー検出に掛からず、
入力モジュール側の処理結果比較段階で検出されること
になる。

このような、バス上でのデータエラーは、二重化したモ
ジュールの両方でエラーを発生させてしまう致命傷であ
る。

すなわち、２本あるバスの両方でデータエラーが発生し
た場合には、各システムモジュールが２台あろうと、各
モジュール内部が完全に二重化してあろうとも、何れの
モジュールに入力されるデータにも誤りが生じ、その処
理結果が異常になってこのコンピュータシステムはエラ
ーになる。

また、２本あるバスのうち一方のバスのみでデータエラ
ーが発生した場合には、入力モジュールにおいて、その
内部で二重化しである回路のうち一方の回路が誤ったデ
ータを用いて処理を行なうため、該二重化内部回路の処
理結果に相違が生じる。したかって、側方の人力モジュ
ールともその出力段での比較結果は異常になり、このコ
ンピュータシステムはエラーになる。

近年、電子計算機における処理性能の向上は著しく、シ
ステム動作の基本クロックはより高周波になり、使用す
る素子も信号の立上り／立下がりが急峻なものになって
いる。しかも、コンピュータシステムの大規模化は、バ
スに接続されるモジュール数の増加をもたらすばかりで
なく、バスそのものの延長をもたらし、バス上において
信号の信頼性を損い易い傾向にある。すなわち、バス上
において、クロストークや信号の反射等による断続的な
エラーを発生し易く、しかも、ＣＰＵが高速化するのに
伴い、多数のモジュールをバスを介して接続するのは困
難になっている。

（発明か解決しようとする課題） しかしながら、上記のような従来の二重化方式によるフ
ォールトトレラント会コンピュータシステムでは、ＣＰ
Ｕを中心とするコンピュータシステムを２組並列にして
二重化を図るばかりでなく、個々のモジュールの内部回
路をも二重化し、外部バス及び内部バス共に二重化した
完全二重化を図っているので、ハードウェアの構成か大
掛かりになりシステム構築のコスト上昇を招くばかりで
なく、バス上でのエラー発生も招き易くなり、しかも、
個々のＣＰＵ内部で二重化されたＡＣＰ同士で直接処理
データの比較を行なうため、高速化達成の妨げになる。

本発明は上記課題に鑑みなされたもので、高速ＣＰＵを
用いたフォールトトレラントやコンピュータシステムを
構築する際に、２つのＣＰＵそれぞれにおける内部回路
の二重化及び内部バスの二重化を行うことなく、周辺装
置に対する出力データの高信頼性を確保することが可能
になる電子計算機の二重化方式を提供することを目的と
する。

［発明の構成］ （課題を解決するための手段） すなわち、本発明に係わる電子計算機の二重化方式は、
２台のＣＰＵを用いてフォールトトレラント・コンピュ
ータシステムを構成するもので、上記２台のＣＰＵそれ
ぞれのバス制御モジュールに備えられ自ＣＰＵと相手方
ＣＰＵの出力データ同士の一致／不一致を比較検出する
出力比較手段と、この８力比較手段によりデータ不一致
が検出された場合にバス制御モジュールからのデータ出
力動作を停止させるデータ出力停止手段と、上記出力比
較手段によりデータ不一致が検出された場合にその不一
致情報をＣＰＵに対して通知する比較情報通知手段と、
この比較情報通知手段によりＣＰＵに不一致情報が通知
された際に所定回数のリトライ処理を実施する第１の異
常特定化手段と、この第１の異常特定化手段を行なった
際に上記比較情報通知手段によりＣＰＵに継続して不一
致情報が通知されている場合にはオペレーションシステ
ムにより管理されるテストプログラムを実行する第２の
異常特定化手段と、この第２の異常特定化手段を行なっ
た際に上記比較情報通知手段によりＣＰＵに継続して不
一致情報か通知されている場合には上記コンピュータシ
ステムの停止／再起動処理を実施するシステム復帰手段
とを備えてなるものである。

（作用） つまり、バス制御モジュールからＣＰＵの中枢となる演
算制御モジュールに対して出力データの不一致情報が通
知された際には、データ出力動作を停止させると共に、
複数の異常発生特定化手段を段階的に実施して異常発生
ＣＰＵの特定化を行ない、この段階的な異常発生特定化
手段により異常発生ＣＰＵが特定されない場合には、さ
らに、システム停止／再起動処理を実施することで異常
データが解消されるようになる。

（実施例） 以下図面により本発明の一実施例について説明する。

第１図は本発明の電子計算機の二重化方式に基づくフォ
ールトトレラント・コンピュータシステムの構成を示す
もので、同図において、２０゜３０は二重化されたＣＰ
Ｕであり、各ＣＰＵ２０゜３０にはそれぞれ主メモリ（
ＭＥＭ）２１，３１、演算制御モジュール（ＡＣＰ）２
２，３２、バス制御モジュール２３．３３が備えられ、
それぞれ内部バス２４．３４を介して信号の授受が行な
われる。

バス制御モジュール２３．３３は、ＣＰＵ内部バス２４
．３４と外部バス２５．３５との間の信号の授受を制御
すると共に、ＣＰＵ間同期ケーブル４０を介して相手方
バス制御モジュールとの出力信号の比較を行なうもので
、外部バス２５゜３５には、磁気ディスク装置５０及び
ＣＲＴ６０が周辺装置として接続される。また、各ＣＰ
Ｕ２０．３０の内部バス２４．３４間には、該ＣＰＵ２
０，３０を同期制御するためのクロック回路１０が接続
される。

一方、磁気ディスク装置５０及びＣＲＴ６０には、上記
２本の外部バス２５．３５に接続するための２ポートの
入出力端子を有する入出力制御プロセッサ５１及び６１
が備えられ、磁気ディスク装置５０の入出力制御プロセ
ッサ５１には磁気ディスク本体モジュール５２が接続さ
れ、また、ＣＲＴ６０の入出力制御プロセッサ６１には
ＣＲＴ本体モジュール６２が接続される。

第２図は上記２つのＣＰＵ２０．３０のバス制御モジュ
ール２３．３３の内部構成を示すもので、内部バス２４
．３４及び外部バス２５．３５は、各バス制御モジュー
ル２３．３３の主論理回路２３１．３３１に接続される
。この主論理回路２３１．３３１は、内部バス２４．３
４から与えられた信号のパリティチエツクを行なうと共
に、内部バス２４．３４と外部バス２５．３５との間で
伝送信号のタイミング変換やデータ幅変換等の処理を実
行するもので、この主論理回路２３１゜３３１には、出
力比較回路２３２，３３２からの比較結果信号が比較結
果通知ライン２３３゜３３３を介して供給される。

出力比較回路２３２，３３２は、それぞれ目方のＣＰＵ
が外部バスに出力する信号と、他方のＣＰＵが外部バス
に出力する信号とを、前記ＣＰＵ間同期ケーブル４０を
介して比較しその一致／不一致を検出するもので、この
出力比較回路２３２．３３２からの一致／不一致信号は
、各対応する比較結果通知ライン２３３，３３３を介し
て主論理回路２３１，３３１に出力される。

次に、上記構成によるフォールトトレラント・コンピュ
ータシステムの動作について説明する。

まず、ＣＰＵ２０．３０が磁気ディスク装置５０にデー
タ転送を行なう場合に、演算制御モジュール（ＡＣＰ）
２２．３２から磁気ディスク装置５０への入出力動作起
動命令や、その後に主メモリ（ＭＥＭ）２１．３１から
送られる各種のデータは、高速な内部バス２４．３４を
介してバス制御モジュール２３．３３に送られ、外部バ
ス２５．３５用の信号伝送タイミング及びデータ伝送幅
に変換されて該外部バス２５．３５に出力される。する
と、この外部バス２５．３５に出力されたデータは磁気
ディスク装置５０の入出力制御プロセッサ５１に取込ま
れ磁気ディスク本体モジュール５２に送られる。そして
、磁気ディスク本体モジュール５２において転送データ
の書込みが実行される。

ここで、両方のＣＰＵ２０，３０からの出力データが正
常である場合には、外部バス２５と３５とはそれぞれ同
じ内容のデータを流しているので、各バス制御モジュー
ル２３．３３における出力比較回路２３２，３３２から
は、それぞれ対応する比較結果通知ライン２３３，３３
３を介して主論理回路２３１，３３１に出カ一致を示す
信号が送られる。この場合、それ以降の動作が継続され
る。

また、例えば一方のＣＰＵ３０からの出力データに誤り
がある場合に、出力比較回路３３２で検出されるデータ
誤りの形態は２通りに大別される。

つまり、第１のエラー形態は、主メモリ（ＭＥＭ）３１
及びバス制御モジュール３３が付与したパリティ情報に
よりエラーとして認識できるもので、これは上記主メモ
リ（ＭＥＭ）３１あるいはバス制御モジュール３３の故
障や内部バス３４上の障害に起因する。また、第２のエ
ラー形態は、上記パリティエラーに掛からないもので、
この原因としては、内部バス３４上で発生した２ビ・ソ
ト以上の誤りや何等かの原因で主メモリ（ＭＥＭ）３１
に書込まれていた誤データの読出し等がある。

すなわち、上記第１のエラー形態として、内部バス３４
上のデータにパリティエラーか発生した場合には、バス
制御モジュール３３における主論理回路３３１の内部に
ありバスを監視している／（リティ検出回路においてエ
ラーが検出され、外部バス３５への出力が禁止されると
共に、演算制御モジュール（ＡＣＰ）３２に対してエラ
ーが通知される。すると、上記ＣＰＵ３０の演算制御モ
ジュール（ＡＣＰ）３２は、故障箇所修復の後、相手方
ＣＰＵ２０との間で同期運転に復帰するための制御を実
行し、２台のＣＰＵ２０，３０による通常動作に戻る。

また、上記第２のエラー形態として、ＣＰＵ３０の主メ
モリ（ＭＥＭ）３１に記憶されているデータに誤りが生
じている場合には、演算制御モジュール（ＡＣＰ）３２
は目方ＣＰＵ３０内のメモリ情報に異常かあることを認
識してないので（認識していれば、自ＣＰＵ異常として
システム再構成の処理を実行し、異常箇所の修復後通常
運転に復帰する）、該誤データが内部バス３４を経てバ
ス制御モジュール３３に出力される際には正しくパリテ
ィ情報が付与される。このため、バス制御モジュール３
３の主論理回路３３１が上記誤データを受信した時点て
はパリティエラーは検出されないか、外部バス３５に圧
力するデータとＣＰＵ間同期ケーブル４０を介して取込
んた相手方外部バス２５からの出力データとは一致しな
くなるので、バス制御モジュール３３における出力比較
回路３３２からは比較結果通知ライン３３３を介して「
不一致」を示す信号が主論理回路３３１に送られると共
に、相手方ＣＰＵ２０における出力比較回路２３２でも
データ不一致エラが検出され、「不一致」を示す信号が
主論理回路２３１に送られる。

これにより、各ＣＰＵ２０，３０におけるバス制御モジ
ュール２３．３３の入出力動作が中断されると共に、そ
れぞれ外部バス２５．３５を介し各周辺装置５０．６０
の入出力制御ブロモ・ソサ５１．６１にエラー発生が通
知され、また、これと同時に、各ＣＰＵ２０，３０の演
算制御モジュール（ＡＣＰ）２３．３３に対しても「不
一致エラー発生」が通知される。

このとき、各ＣＰＵ２０．３０においては、データエラ
ーの原因がどちら側にあるかを特定できないため、上記
「不一致エラー」が発生した場合には、先ず、第１のエ
ラー特定化手段として、所定回数のデータ再送処理（リ
トライ）が実施される。

すなわち、上記主メモリ（ＭＥＭ）３１の内容が誤った
原因が一過性のものであった場合、上記リトライ処理の
過程で該誤データが正常なデータに復帰することが考え
られる。この場合、例えば内部バス３４上で発生したノ
イズ等に起因する一過性のエラーに対しても同様の作用
が得られる。

また、上記主メモリ（ＭＥＭ）３１において、メモリ情
報が誤ったまま固定されていた場合でも、上記リトライ
処理を実施している過程で、プログラム上に矛盾が発生
したり、あるいはウォッチドッグタイマー（時間監視プ
ログラム）でエラー検出されることにより、一方のＣＰ
Ｕ３０によるプログラム処理が停止されるようになり、
異常発生ＣＰＵの特定化が行なわれる。これにより、シ
ステム再構成と修復の処置に入ることかできる。

次に、上記所定回数のリトライ処理を実施しても、それ
ぞれのバス制御モジュール２３．３３から演算制御モジ
ュール（ＡＣＰ）２２．３２に対し「不一致エラー」の
通知が続く場合には、第２のエラー特定化手段として、
現在実行中のタスクがアブノーマルエンドされ、代って
タスクレベルでのリトライ処理が実施される。

この場合、上記第１のエラー特定化手段によるリトライ
処理よりも、広範囲なプログラムでのリトライが実施さ
れることになり、上記同様の作用により異常発生ＣＰＵ
の特定化が行なわれる。

さらに、上記タスクレベルでのリトライ処理を実施して
も、それぞれのバス制御モジュール２３゜３３から演算
制御モジュール（ＡＣＰ）２２゜３２に対し「不一致エ
ラー」の通知が続く場合には、第３のエラー特定化手段
として、オペレーションシステム（Ｏ５）で管理される
テストプログラムによりハードウェアの動作チャックが
実施される。これにより、ハードウェア上のフォールト
発生箇所が診断され、異常発生ＣＰＵの特定化が行なわ
れる。

そして、上記テストプログラムを動作させても同等異常
が検出されない場合には、システム復帰手段として、現
在実行中のシステム動作が一旦停止され再起動が実施さ
れる。これにより、主メモリ（ＭＥＭ）３１上の誤デー
タは解消されることになり、正常運転に復帰できるよう
になる。つまり、この場合、磁気ディスク本体モジュー
ル５２においてデータの完全な保存が図られているので
、システム再起動時には、主メモリ（ＭＥＭ）３１上の
誤データは正しいデータに書換えられることになる。

したがって、上記構成のフォールトトレラント・コンピ
ュータシステムによれば、二重化したＣＰＵ２０，３０
の各バス制御モジュール２３゜３３において、自ＣＰＵ
からの出力データと相手方ＣＰＵからの出力データとの
一致／不一致を比較検出し、該バス制御モジュール２３
または３３から演算制御モジュール２２または３２に対
して８カデータの不一致エラーが通知された際には、デ
ータ出力動作を停止させると共に、■データ再送処理、
■タスクレベルでのリトライ処理、■テストプログラム
によるハードウェアの動作チエツクを段階的に実施して
異常発生ＣＰＵの特定化を行ない、この段階的なエラー
特定化手段により異常発生ＣＰＵが特定されない場合に
は、さらに、システム停止／再起動処理を実施してエラ
ーデータの解消を行なうので、確実に異常発生ＣＰＵを
特定しあるいは異常発生箇所を解消して、周辺装置に対
する出力データの高信頼性を確保することができる。

この場合、各ＣＰＵ２０，３０それぞれの内部回路まで
も二重化することがないので、従来の二重化方式に比較
して少ないノ＼−ドウエアでフォールトトレラント・コ
ンピュータシステムを実現でき、システム構築コストの
上昇を防止できると共に、内部バス上でのエラー発生を
抑制することができる。また、上記二重化ＣＰＵ２０，
３０同士の出力データ比較処理を、該ＣＰＵ２０，３０
の中枢である演算制御モジュール（ＡＣＰ）２２゜３２
では行なわずに、バス制御モジュール２３゜３３におい
て行なうので、ＣＰＵ自体の処理速度の高速化が妨げら
れることなく、比較的低速な出力比較回路２３２，３３
２を用いて安定したエラー検出動作を得ることができ、
しかも、上記ＣＰＵの内部、つまり、演算制御モジュー
ル（ＡＣＰ）、主メモリ（ＭＥＭ）、内部バスを通した
一貫したエラーチエツクを行なうことができる。

尚、上記実施例における電子計算機の二重化方式は、マ
イクロプロセッサ応用製品の全般に対し適用することが
できる。

［発明の効果］ 以上のように本発明によれば、２台のＣＰＵを用いてフ
ォールトトレラント・コンピュータシステムを構成する
もので、上記２台のＣＰＵそれそレノバス制御モジュー
ルに備えられ自ＣＰＵと相手方ＣＰＵの出力データ同士
の一致／不一致を比較検出する出力比較手段と、この出
力比較手段によりデータ不一致が検出された場合にバス
制御モジュールからのデータ８カ動作を停止させるデー
タ出力停止手段と、上記出力比較手段によりデータ不一
致が検出された場合にその不一致情報をＣＰＵに対して
通知する比較情報通知手段と、この比較情報通知手段に
よりＣＰＵに不一致情報が通知された際に所定回数のリ
トライ処理を実施する第１の異常特定化手段と、この第
１の異常特定化手段を行なった際に上記比較情報通知手
段によりＣＰＵに継続して不一致情報が通知されている
場合にはオペレーションシステムにより管理されるテス
トプログラムを実行する第２の異常特定化手段と、この
第２の異常特定化手段を行なった際に上記比較情報通知
手段によりＣＰＵに継続して不一致情報が通知されてい
る場合には上記コンピュータシステムの停止／再起動処
理を実施するシステム復帰手段とを備え、確実に異常発
生ＣＰＵを特定するかあるいは異常発生箇所を解消でき
るので、高速ＣＰＵを用いたフォールトトレラント・コ
ンピュータシステムを構築する際に、２つのＣＰＵそれ
ぞれにおける内部回路の二重化及び内部バスの二重化を
行なうことなく、周辺装置に対する出力データの高信頼
性を確保することが可能になる。

【図面の簡単な説明】 第１図は本発明の電子計算機の二重化方式の一実施例に
係わるフォールトトレラント・コンピュータシステムの
構成を示すブロック図、第２図は上記フォールトトレラ
ント中コンピュータシステムにおける２つのＣＰＵのバ
ス制御モジュールの内部構成を示すブロック図、第３図
は従来の二重化方式によるフォールトトレラント・コン
ピュータシステムの構成を示すブロック図である。 １０・・・クロック回路、２０．３０・・・ＣＰＵ。 ２１．３１・・・主メモリ　（ＭＥＭ）　、２２．３２
・演算制御モジュール（ＡＣＰ）　、２３．３３・・・
バス制御モジュール、２４．３４・・・内部ハス、２５
゜３５・・・外部バス、４０・・・ＣＰＵ間同期ケーブ
ル、５０・・・磁気ディスク装置、５１．６１・・・入
出力制御プロセッサ、５２・・・磁気ディスク本体モジ
ュール、６２・・・ＣＲＴ本体モジュール、２３］３３
１・・・主論理回路、２３２．３３２・・・出力比較回
路、２３３，３３３・・・比較結果通知ライン。 出願人代理人　弁理士　鈴江武彦

Claims (1)

1. 【特許請求の範囲】 ２台のＣＰＵを用いてフォールトトレラント・コンピュ
   ータシステムを構成する電子計算機の二重化方式におい
   て、 上記２台のＣＰＵそれぞれのバス制御モジュールに備え
   られ自ＣＰＵと相手方ＣＰＵの出力データ同士の一致／
   不一致を比較検出する出力比較手段と、 この出力比較手段によりデータ不一致が検出された場合
   にバス制御モジュールからのデータ出力動作を停止させ
   るデータ出力停止手段と、 上記出力比較手段によりデータ不一致が検出された場合
   にその不一致情報をＣＰＵに対して通知する比較情報通
   知手段と、 この比較情報通知手段によりＣＰＵに不一致情報が通知
   された際に所定回数のリトライ処理を実施する第１の異
   常特定化手段と、 この第１の異常特定化手段を行なった際に上記比較情報
   通知手段によりＣＰＵに継続して不一致情報が通知され
   ている場合にはオペレーションシステムにより管理され
   るテストプログラムを実行する第２の異常特定化手段と
   、 この第２の異常特定化手段を行なった際に上記比較情報
   通知手段によりＣＰＵに継続して不一致情報が通知され
   ている場合には上記コンピュータシステムの停止／再起
   動処理を実施するシステム復帰手段とを具備したことを
   特徴とする電子計算機の二重化方式。