JPH05197582A

JPH05197582A - 動的再構成が可能な多数決システムを有するフォールト・トレラント処理装置

Info

Publication number: JPH05197582A
Application number: JP4142228A
Authority: JP
Inventors: Douglas D Cheung; ディー．チョウンダグラス
Original assignee: Stratus Computer Inc
Current assignee: Ascend Communications Inc
Priority date: 1991-05-06
Filing date: 1992-05-06
Publication date: 1993-08-06
Also published as: CA2068048A1; EP0514075A3; EP0514075A2; US5423024A

Abstract

(57)【要約】（修正有）【目的】新しいフォールト・トレラント・コンピュー
タを提供する。【構成】マスターボードＡは、スレーブボードに対し
て信号を出力し、スレーブボード上で、対応する信号の
比較が行われ、その結果に基づき選択するボードの組合
せを定める。スレーブボードの何れかとマスターボード
Ａとの間の不一致が検出される一方、他のスレーブボー
ドとマスターボードＡが等しい場合にも、マスターボー
ドＡをマスターとして用いる。不一致が検出された方の
スレーブボードに対して、再び同様な不一致が生じた場
合には、このスレーブボードを除外する。マスターボー
ドＡとスレーブボード全部との間で不一致が検出された
場合には、同じ比較サイクルをもう一度実施する。その
結果、マスターボードＡの故障が確認できた場合には、
スレーブボードの内一つをマスターボードとし、再び同
様な不一致が生じた場合には、前のマスターボードＡを
除外する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、フォールト・トレラン
ト・コンピューターシステム、更に詳しくは、動的に再
構成可能な多数決システムに関する。

【０００２】

【従来の技術】コンピュータが社会生活に果たす役割が
増大し、重要なものになるにつれて、各構成部品の品質
を高めるとか、設計を改良するとかいうような小手先の
手段では、様々な要求に答えるだけの信頼度をコンピュ
ータに与えることが難しくなっている。何らかの故障や
誤り（エラー）が起きたときでも、コンピュータが機能
し続けることが求められており、これが、今日のコンピ
ュータ用語で言うところの、フォールト・トレラント機
能である。フォールト・トレラント機能は、銀行業界、
金融、電気通信、航空管制、軍事、小売等オンラインで
の連続処理に対する支援体制が求められるような環境下
では、必要不可欠な機能である。１９８０年代初頭か
ら、フォールト・トレラント機能を開発、改良するため
に、様々な設計変更が行われてきた。マイクロプロセッ
サーの登場以来、それまで、コンピュータ専用のクリー
ンルーム内という人工的に清浄な環境下に置かれてきた
コンピュータシステムは、産業現場の自然環境下へとそ
の活躍の場を移してきた。自然のより厳しい環境下に置
かれたことにより、コンピュータシステムの環境変数は
大きく変動することとなった。例えば、温度及び湿度レ
ベルの変化、主要電源の変動、電磁波障害等に曝される
ことになり、これらの要因によりコンピュータの故障が
引き起こされる可能性が高くなった。コンピュータ業界
の専門家が共通して挙げるコンピュータの故障増大の第
二の要因は、コンピュータを使用するユーザー層が飛躍
的に広がり、ユーザーのコンピュータに関する知識の平
均レベルが低下したことにより、ユーザーの不注意によ
る誤用が増加したことである。三番目の要因としては、
コンピュータシステムが大きくなり、多くの構成部品が
使われるようになったため、構成部品の故障に伴うシス
テム故障の可能性が高くなったことが挙げられる。故障
は、ディジタルコンピュータの様々なレベルで発生す
る。第一レベルは、抵抗器、コンデンサ、誘導子、電源
等の部品を含む回路レベルである。第二レベルには、論
理ゲート及びゲートから構成されるデータ・オペレータ
が含まれる。論理ゲートは、更に、組み合せ論理ゲート
と、逐次論理ゲートの２つのカテゴリーに分類される。
第三レベルは、ディジタルコンピュータに特徴的なプロ
グラムレベルである。このレベルにおいて、装置に与え
られた一連の命令が解釈され、データ構造に対して様々
な処理が行われる。これが、命令セットプロセッサー
（ＩＳＰ）によるサブレベルであり、ＩＳＰサブレベル
により、次に、プログラマーにより簡単に操作されるソ
フトウェア要素、即ち、高レベル言語によるサブレベル
が創出される。この結果作られたものが、ＯＳ（オペレ
ーティング・システム）、ランタイム・システム、アプ
リケーションプログラム、アプリケーションシステム等
のソフトウェアである。最後の第四レベルは、プログラ
ミング・メモリー・スイッチ（ＰＭＳ）レベルであり、
これには、入出力装置、メモリー、マス・ストレージ、
通信装置、処理装置（プロセッサー）が含まれる。これ
ら全ての構成要素が互いに連絡・接続されることによ
り、コンピュータシステムが形成されている。コンピュ
ータの異常、誤作動は、以下のように分類される。１．故障：ハードウェアの物理的変化。２．フォールト：システムの構成要素の故障、環境
に起因する物理的な障害、オペレータの操作ミス、ある
いは、設計ミスに起因する誤りをハードウェアあるいは
ソフトウェアが有している状態。３．誤り（エラー）：プログラムあるいはデータ構造内
におけるフォールトの発生。フォールト部位から離れた
ところで、誤りが発生することもある。４．固定：連続的で、安定した状態の故障、
フォールト、あるいは、エラーを説明する言葉である。
ハードウェアにおける「固定した」故障とは、元に戻す
ことのできない物理的な変化を意味する。「固定」とい
う言葉の代わりに、「修復不能」という単語が用いられ
ることもある。５．間欠：不安定な状態のハードウェア、あ
るいは、ハードウェアまたはソフトウェアの変動により
時々起こる、フォールトあるいは誤りを意味する。６．過渡：一時的な環境条件により引き起こ
されるフォールトあるいは誤りを意味する。「過渡」と
いう言葉の代わりに、「修復可能」という単語が用いら
れることもある。図１に、これら様々なレベルにおけるコンピュータの故
障、誤り等の関係を示す。コンピュータシステムにおけ
るフォールト・トレラント能力は、次の２つの物差しを
用いて測定される。第一の物差しは、「アベィラビリテ
ィ（稼働率）」である。これは、時間の関数であり、あ
る時刻にシステムが機能を遂行することが可能である確
率を示す。第二の物差しは、「信頼度」である。これ
は、例えば、システムが時刻ｔ＝０に操作可能であった
という前提の下で、所定の時間間隔［０，ｔ］の間ずっ
とその状態を保ち続ける条件付き確率を示すものであ
る。この「信頼度」という物差しは、衛星コンピュータ
のように修理不可能なシステム、飛行機のフライトコン
ピュータのように、コンピュータが非常に重要な役割を
果たし、たとえ、修理の間でさえも止めることが不可能
なシステム、あるいは、修理費用が途方もなく高くつく
システム等を評価する場合に特に重要である。コンピュ
ータに故障が生じた場合でも、妨害されることなく機能
し続けるフォールト・トレラント・コンピュータシステ
ムは、機能面で多くの利点を有するが、経済的な面でも
ユーザーに多くのメリットをもたらす。コンピュータシ
ステムに掛かる費用は、最初の購入時に限られるわけで
はなく、システムの使用過程で非常に多くの費用が生じ
る。フォールト・トレラント・コンピュータシステム
は、保守費用を削減するのみではなく、ダウンタイムに
より生じる費用も大きく削減することができる。ソフト
ウェア・フォールト・トレラント機能と、ハードウェア
・フォールト・トレラント機能は、対象こそ異なるもの
の、冗長検査、自己検査機能等、多くの共通する特徴を
有している。ソフトウェア・フォールト・トレラント機
能は、ソフトウェアの設計ミス及びプログラミングミス
に起因するコンピュータの誤りを排除することを目的と
したものであり、ハードウェア・フォールト・トレラン
ト機能は、ハードウェアの故障に起因するコンピュータ
の誤りを排除することにある。近年、ソフトウェアのフ
ォールトを許容する、様々な実験的及び実際的なフォー
ルト・トレラント・システムの設計が行われている。こ
のようなシステムは、主に設計フォールトを対象とする
ものである。ここで、「設計」という言葉は、システム
要件から、初期運転及び将来の修正を実現するものま
で、全ての要素を網羅している。設計フォールトは、通
常モードの故障要因となるものであり、厳密な多重化に
基づくフォールト・トレラント戦略を無効にし、多くの
場合、取り返しのつかない事態を招く。共通のサービス
仕様から作られる異なったシステムを、ヴァリアントと
呼ぶ。多様化設計とは、少なくとも２つのヴァリアント
と、一定した初期条件及び入力が行われた場合のヴァリ
アントの実行結果を監視する１つのディサイダーとを含
む。共通仕様は、判定を行うべき時、どのデータに基づ
いて行うべきかを決める判定ポイントを明確にアドレス
するものでなければならない。ソフトウェアの設計フォ
ールトを許容する周知の技法の中で優れたものは、リカ
バリ・ブロック（ＲＢ）アプローチとＮバージョン・プ
ログラミング（ＮＶＰ）である。最初のアプローチ法で
は、オルタネート（選択枝）がヴァリアントに該当し、
オルタネートの結果に順に適用される許容テストがディ
サイダーに該当する。第一オルタネートの結果が許容テ
ストを満足させなければ、第二オルタネートが実行され
る。二番目のアプローチ法では、バージョンがヴァリア
ントに該当し、全てのバージョンの結果に基づく多数決
がディサイダーに該当する。実際的なシステムの大部分
は、リカバリ・ブロック・アプローチもＮバージョン・
プログラミングも実行せず、１つのヴァリアントと許容
テストあるいは２つのヴァリアントと比較アルゴリズム
からなる自己検査ソフトウェアに基づいて、作動する。
設計の多様性を実現するために、主に２つのことを考慮
する必要がある。１つめは、ヴァリアントの数である。
経済的な側面以外にも、所定のソフトウェア・フォール
ト・トレランス法におけるヴァリアントの数は、許容で
きるフォールトの数と直接的に相関する。２つ以上のフ
ォールトを許容する必要がある場合に限り、ソフトウェ
ア・フォールトが修復可能なものであるか、あるいは、
固定したものであるかが、システムのアーキテクチャに
大きく影響する。２つ以上のフォールトが同時に起こら
なければ、固定フォールトを許容できるアーキテクチャ
は、無限に連続する修復可能なフォールトをも許容する
ことができる。２つめは、フォールト・トレランスの適
用水準（レベル）である。この適用レベルに関しては、
次の２つの問題が生じる。（１）多様化を行うために、システムをどの程度までの
部品に分解するべきか？（２）どの層（アプリケーション・ソフトウェア、エグ
ゼキューティブ、ハードウェア）を多様化するべきか？第一の問題に対する解答は、部品をより小さくすれば、
判定アルゴリズムをよりよく制御することができるし、
部品をより大きくすれば、多様性を増加させることがで
きる、という相反する事項をどの様に調整するかに、掛
かっている。更に、判定ポイントは、「非多様」ポイン
ト（または、Ｎ自己検査プログラミングに関しては同期
ポイント、ＮＳＣＰ及びＮＶＰ）であり、そのように限
定される必要がある。判定ポイントは、（センサーデー
タ獲得、アクチュエータへの命令伝達、オペレータとの
相互作用等）、外部環境との相互作用に関して必要とさ
れる。しかし、性能を考慮することにより、更に妥協点
を見いだすことができる。ソフトウェア・フォールト・
トレランスは、主に、ソフトウェア設計及びプログラミ
ングにおける誤り（エラー）に起因するフォールトを対
象とするものである。一方、ハードウェア・フォールト
・トレランスは、ハードウェア設計に起因するエラーあ
るいは回路エラーを対象にするものである。フォールト
・トレランス機能は、ハードウェア、ソフトウェア、情
報、及び／あるいは計算に冗長性を持たせることにより
達成される。フォールト・トレランス戦略は、以下の要
素を一つ以上含む。＊誤り（エラー）検出、マスキング及び補正：冗長ハー
ドウェア部品からのデータを比較し、誤りを検出し、誤
りを含むデータは、動的に補正する。更に、限定された
境界を越して誤りを含むデータが伝播しないように、シ
ステムを構成する必要がある。＊診断：コンピューターシステムが誤りを含むハードウ
ェア部品（例えば、モジュール、データパス、論理ボー
ドの一部等）を特定するプロセスである。＊修復／再構成：故障したモジュールをスペアと交換す
ることにより、あるいはシステム構成または作業負荷分
配を再構成して、モジュールを迂回することにより、シ
ステムの修復が行われる。モジュールの交換には、「ホ
ット（熱）」交換と「コールド（冷）」交換の２種類が
ある。ホットスペアは、交換されるモジュールと同じ仕
事を同時に行っており、システム内で移し変えられた時
に初期化の必要がない。一方、コールドスペアは、起動
されていないか、他の仕事に用いられていたもので、シ
ステム内で移し変えられたときに初期化する必要があ
る。＊リカバリ：コンピュータシステム内でフォールトが発
生した場合、オペレーションを継続する初期状態にシス
テムを戻すために、補正を行う必要がある。スペア・ア
ンド・ペア方式は、ハードウェア冗長により、フォール
ト・トレランスを達成するものである。即ち、２つの同
一構成のハードウェア部品からの臨界信号を比較するこ
とにより、エラー（誤り）を検出し、誤りを含む部品を
システムから排除する。図２に、ペア・アンド・スペア
方式を実行した代表例を示す。ストラタス・オンライン
連続処理システムにおいて、全てのハードウェア部品
は、ミラー化している。即ち、２つの部品が同一構成
で、且つ、同一の機能を実行する。図２に示すように、
２つのＣＰＵボード、ＣＰＵ１及びＣＰＵ２が用いられ
ている。各ボード上には、２本の相等しいデータパスが
あり、各パスは、サイドＡ及びサイドＢと呼ばれるプロ
セッサーを備える。各サイドは自分のバスからの入力を
受け、自分のバスを駆動する。各バスは、各ボードの半
分のＯＲに接続している。各ボード上の２つのサイド
は、恒常的に、互いに比較を行っている。不一致が生じ
た場合には、赤いランプが点灯し、そのボードはシステ
ムから排除される。このような場合には、もう一枚のボ
ードが、システムの唯一のＣＰＵボードとなる。

【０００３】

【発明が解決しようとする課題】本発明は、上記課題を
解決するためになされたものであり、新しいフォールト
・トレラント・コンピュータを提供することを目的とす
る。

【０００４】

【課題を解決するための手段】上記目的を達成するため
に、本発明のフォールト・トレラント・ディジタルデー
タプロセッサーは、信号を伝達するシステムバス手段に
沿って互いに連結する複数の機能装置を備え、第一の機
能装置が、一つあるいは複数の他の機能装置から前記シ
ステムバス手段を介して伝達される入力信号に応じて、
第一の処理を行い、出力信号を発生し、更に、前記出力
信号を、前記システムバス手段を介して、一つあるいは
複数の他の機能装置に伝達するように構成される、こと
を特徴とする。前記第一の機能装置は、信号を伝達する
ヴォータバス手段に沿って互いに連結され、且つ、前記
システムバス手段に接続されて、前記入力信号のうち対
応するものを受信する、ｎ個の処理部を備える。また、
前記処理部は、それぞれ、Ａ．前記入力信号に応じて、前記第一の処理を行い、前
記出力信号を発生する処理手段と、Ｂ．マスター状態（ＭＡＳＴＥＲＳＴＡＴＥ）信号に
より起動し、少なくとも前記バス手段の何れか一つに、
少なくとも所定の入力信号に応じて出力された出力信号
を供給する、マスター手段と、Ｃ．スレーブ状態（ＳＬＡＶＥＳＴＡＴＥ）信号によ
り起動し、（１）前記所定の入力信号に対応して、前記
処理部の処理手段から出力された出力信号と、（２）マ
スター手段あるいは他の処理部から出力された出力信号
と、を比較する比較信号を発生し、前記比較信号を前記
ヴォータバス手段に伝達するスレーブ手段と、Ｄ．前記ヴォータバス手段と、前記マスター手段と、前
記スレーブ手段とに接続されて、所定の処理部の状態を
維持し、前記状態を表す信号を出力する状態手段と、を
備える。前記状態手段は、更に、マスター状態と、一つ
あるいは複数のスレーブ状態とを含む複数の状態の中か
ら前記状態を選択する選択手段と、前記状態信号並びに
前記ヴォータバス手段を介して伝達される一つあるいは
複数のマッチ信号の組み合せに応じて、前記所定の処理
部の状態を選択的に変化させるヴォータ手段と、を備え
る。本発明のフォールト・トレラント・ディジタルデー
タプロセッサは、更に、各処理部の前記状態手段に接続
され、所定の時点で、前記処理部の何れか一つを前記マ
スター状態にし、且つ、残りの処理部をスレーブ状態に
するための、同期手段を備える。また、前記状態手段
は、更に、何れの時点においても、前記処理部の内一つ
だけを前記マスター状態に保持する手段を備える。前記
ｎ個の処理部は、例えば、３個であり、前記状態手段
が、更に、一つのマスター状態と、（ｎ−１）のスレー
ブ状態とを含む複数の状態の中から前記状態を選択する
手段を備えるように構成されることが望ましい。また、
前記ヴォータ手段は、更に、所定の処理部の現在の状態
と前記ヴォータバス手段を介して伝達される前記一つあ
るいは複数のマッチ信号の組み合せとの関数に従い、前
記所定の処理部の状態を変化させる手段を備え、前記ス
レーブ手段は、各マッチ信号のＯＲを前記ヴォータバス
手段に伝達する手段を備える。好ましくは、前記第一機
能装置が、中央処理装置（ＣＰＵ）であり、前記マスタ
ー手段が、更に、データ、アドレス、制御情報の内少な
くとも一つを含む前記出力信号を発生させる手段を備え
る。前記ヴォータ手段は、更に、前記ヴォータバス手段
を介して伝達される前記一つあるいは複数のマッチ信号
の組み合せに応じて、各処理部から出力される出力信号
がすべて等しく、各処理部の状態を変化させる必要がな
いことを示す手段を備える。また、前記マスター状態に
ある所定の処理部と連絡する前記ヴォータ手段が、更
に、前記マスター状態信号と前記ヴォータバス手段を介
して伝達される前記一つあるいは複数のマッチ信号の組
み合せとに応じて、前記所定の処理部から出力される出
力信号が少なくとも一つの他の処理部から出力される信
号と等しく、前記所定の処理部の状態を変化させる必要
がないことを示す手段を備える、ように構成されること
が望ましい。更に好ましくは、前記スレーブ状態にある
所定の処理部と連絡する前記ヴォータ手段が、（１）前
記スレーブ状態信号と、前記ヴォータバス手段を介して
伝達される前記一つあるいは複数のマッチ信号の組み合
せとに応じて、前記所定の処理部から出力された出力信
号が、前記マスター状態にある処理部から出力された出
力信号と等しくないこと、また、（２）前記スレーブ状
態信号と、前記ヴォータバス手段を介して伝達される前
記一つあるいは複数のマッチ信号の組み合せとに応じ
て、前記スレーブ状態にある他の処理部から出力された
出力信号が、前記マスター状態にある処理部から出力さ
れた出力信号と等しいこと、を示し、前記所定の処理部
の状態を第一スレーブ状態から第二スレーブ状態に変化
させる手段を備える。この手段は、あるいは、（１）前
記スレーブ状態信号と、前記ヴォータバス手段を介して
伝達される前記一つあるいは複数のマッチ信号の組み合
せとに応じて、前記所定の処理部から出力された出力信
号が、前記マスター状態にある処理部から出力された出
力信号と等しいこと、また、（２）前記スレーブ状態信
号と、前記ヴォータバス手段を介して伝達される前記一
つあるいは複数のマッチ信号の組み合せとに応じて、前
記スレーブ状態にある他の処理部から出力された出力信
号が、前記マスター状態にある処理部から出力された出
力信号と等しくないこと、を示し、前記他の処理部の状
態を第一スレーブ状態から第二スレーブ状態に変化させ
る。また、各処理部の前記ヴォータ手段が、更に、前記
ヴォータバス手段を介して伝達される前記一つあるいは
複数のマッチ信号の組み合せに応じて、前記マスター状
態にある所定の処理部から出力された出力信号が、前記
スレーブ状態にある所定数の他の処理部から出力された
出力信号と等しくないことを示し、（１）前記所定の処
理部の状態を変化させ、（２）前記所定の入力信号に応
じて前記第一の処理を再び行い、前記出力信号を発生さ
せる、手段を備える、ように構成されることが望まし
い。更に望ましくは、前記マスター手段が、前記出力信
号を前記ヴォータバス手段に伝達するための手段を備
え、前記スレーブ手段が、所定の尻部の処理手段から出
力された出力信号と、前記システムバス手段を介して伝
達される出力信号とを比較する手段を備える。

【０００５】

【作用】本発明のフォールト・トレラント・ディジタル
データプロセッサーは、ミラー化された複数の処理部か
ら出力された臨界信号を比較することにより、複数のフ
ォールト、複数箇所の故障を許容することができる。ま
た、本発明のシステムでは、複数の処理部の内一つをマ
スター状態、残りをスレーブ状態とし、マスター−スレ
ーブアルゴリズムを用いて、これらの処理部から出力さ
れた信号を比較し、異常のある処理部を、システム全体
の性能を低下させることなく、効率的にシステムから排
除している。更に、経済的な側面からみても、複数（好
ましくは３つ）のミラー部品を用いることにより、シス
テムの費用効果が高められている。

【０００６】

【実施例】本発明を体現化した実施例を、図面に従い、
説明する。好適な実施例であるコンピュータシステム
は、２つの独立したバス、即ち、システムバスとヴォー
ティングバスとを備える。システムバスには、データ、
アドレス及び制御信号ラインがすべて含まれており、こ
れは、メモリーボードを備えるＣＰＵボードに接続され
る。通常、フォールト・トレラント・コンピュータシス
テムにおいて、全ての信号は、ハードウェア冗長及びソ
フトウェア冗長により保護されている。このため、本実
施例のコンピュータシステムで用いられるシステムバス
には、システムバスのフォールトが生じた場合にコンピ
ュータシステムを保護する目的で、冗長性を付加するこ
とが望ましい。但し、設計を簡略化するために、システ
ムバスに冗長性を付加せず、フォールト・トレランスを
バスに与えないように構成することもできる。ヴォーテ
ィングバスは、３つの同一な構成を有する論理ＣＰＵボ
ードに接続され、比較及び多数決に関係する信号が伝達
される。ヴォーティングバスの詳細に関しては、後に説
明する。フォールト・トレランスは、ハードウェア冗長
及びソフトウェア冗長により、達成される。冗長の実行
結果を比較することにより、誤り及び／あるいはフォー
ルトを検出することができる。このためには、シンプレ
ックス信号及び／あるいはシンプレックス論理回路、即
ち、比較装置が必要であり、比較結果はこの比較装置か
ら出力される。多重化率は、市販コンピュータの設計に
より異なっているが、コンパレータ（比較装置）は、一
点障害の部位あるいは保護されていないデータパスに配
置される。比較回路があまり複雑な構成になっていなけ
れば、比較回路の信頼度を充分に高いものとすることが
できる。本実施例のコンピュータシステムに採用されて
いる３方向多数決機能は、コンパレータが信頼度の高い
装置であり、これを多重化する必要がないという前提に
基づいて構成されている。具体的にいえば、ボードＡと
ボードＢの各々から出力される信号をボードＡ上で比較
すれば、ボードＢ上で比較を行う必要がないということ
である。本実施例のコンピュータシステムでは、３枚の
ボード、即ち、ボードＡ、Ｂ、Ｃが用いられている。各
ボードは、互いにミラー化、即ち、同一構成を有してい
る。正常な場合には、３枚のボードから出力される信号
は、すべて、同一である。このため、システムバスの駆
動には、１枚のボードしか必要とされない。システム内
の３枚のボードは、それぞれ、マスターボード、スレー
ブボード０、スレーブボード１として用いられる。マス
ターボードがシステムバスを駆動し、他の２枚のスレー
ブボードはマスターボードが故障した場合のバックアッ
プとして用いられる。下の表は、マスターボードとスレ
ーブボードの割当の例を示すものである。マスタースレーブ０スレーブ１ＡＢＣＢＣＡＣＡＢ図３で、Ａはマスターボード、Ｂ及びＣはスレーブボー
ドを示す。ボードＡは、マルチプレクサ支援の下、様々
な状況下で、スレーブボードであるボードＢ、ボードＣ
に信号を送る。ボードＢ及びＣ上で、対応する信号の比
較が行われ、比較結果は、３枚のボード全てに伝達され
る。図３（ａ）に示すように、ボードＡ、Ｂ、Ｃの信号
がすべて等しい場合には、比較の一致を示す論理レベ
ル’１’が結果として出力される。この場合には、ボー
ドＡをマスターボードとして使い続ける。図３（ｂ）に
示すように、ボードＡとボードＣとの間に不一致が検出
される一方、ボードＡとボードＢが等しいという場合に
は、ヴォーティング（多数決）装置により、ボードＣが
少数ボードとして認識される。この場合には、ボードＡ
がマスターボードであり続け、ボードＡとボードＢにお
ける実行には何ら影響を及ぼさない。即ち、前のサイク
ルを再実行する必要はない。不一致がもう一度生じた場
合には、ボードＣを使用不能にする。図３（ｃ）は、ボ
ードＡとボードＢ、並びに、ボードＡとボードＣの間に
不一致が生じた場合を示す。これは、ボードＡが少数で
ある、あるいは、３枚のボードがすべて等しくない、こ
とを示している。異常のあるボードがマスターボードで
あることが考えにくい図３（ｂ）の状況とは異なり、こ
の場合には、前のサイクルの再実行が要求される。ボー
ドＡの故障を確認した後、ボードＢをマスターボードに
昇格させる。これにより、ボードＡのシステムバスに対
する制御は失われる。次に、３枚のボード全てで、前の
サイクルが再実行される。図３（ｄ）に示すように、ボ
ードＢとボードＣ、ボードＢとボードＡとの間で、比較
を行う。二回目の不一致が生じた場合には、ボードＡを
使用不能とする。以上のように、本実施例のシステムで
は、マスターボードから出力される一組の信号のみがバ
スに伝達され、２枚のスレーブボードは、それぞれ、マ
スターボードから出力された信号を自分自身の対応信号
と比較する。このシステムは、スレーブボード上のコン
パレータ（比較装置）が充分信頼できるものであり、多
重化の必要がないという過程の下に設計されている。即
ち、スレーブボードから出力された信号をマスターボー
ド上で比較することはない。更に、１本のバス上でアド
レス、データ及び制御信号を多重送信することにより、
バスのバンド幅を増加させる代わりに、バスのビット数
を大幅に減少させることができる。システム内のフォー
ルトを隔離することにより、システムにおける１サイク
ルの過渡的誤りを許容することができる。この場合、許
容可能な過渡的誤りの数は、任意に設定される。即ち、
比較結果の不一致が生じた場合でも、マスターボードが
正しく設定されている限り、故障している可能性のある
ボードを直ちに使用不能にする必要はない。先に述べた
ように、このシステムの設計は、コンパレータの論理が
正確であるという前提の下に行われている。このため、
コンパレータの論理回路をできるだけ単純な構成にする
必要がある。上述のように、このシステムでは、２つの
独立バスが用いられている。１つめは、システム内の全
ての論理ボードを接続するシステムバスである。ここ
で、同一の機能を遂行する複数の冗長ボードを、集合的
に、論理ボードと呼ぶ。例えば、このシステムで用いら
れる同一構成を有する３枚のＣＰＵボードを、集合的
に、論理ＣＰＵボードと総称する。もう１つのバスは、
先に説明したヴォーティングバスである。このシステム
で用いられるマイクロプロセッサーとしては、モトロー
ラ６８０００が望ましい。これには、１６ビットのデー
タバス（ＤＯ−Ｄ１５）、２３ビットのアドレスバス
（マイクロプロセッサー内部のＡ１−Ａ２３及びＡ
０）、３ビットのファンクション・コード、及び、その
他の制御信号が含まれる。１本のバスサイクルは、８つ
の状態から構成され、ＲＥＡＤ（読み取り）サイクルあ
るいはＷＲＩＴＥ（書き込み）サイクルの所定の状態の
間に、様々な信号が、出力される。この特徴を利用し
て、異なった信号を、同一のバス上で多重送信し、異な
った時刻に受信することが可能である。このため、シス
テムの設計に必要な最大ビット数は、２３ビットとな
る。次に、ヴォーティングバス上での信号の比較処理に
関して、説明する。ＳＬＶ＿ＣＯＭＰ＿ＤＡＴＡ
［０．．２２］：これは、現在のマスターボードからヴ
ォーティングバスに与えられるデータである。ヴォーテ
ィングバスに伝達された後、２枚のスレーブボードから
出力された対応信号と比較される。比較結果は、ヴォー
ティングバスに伝えられる。ＳＬＶ＿ＭＩＳＣＯＭＰ＿
Ｌ［０．．１］：この２ビットは、２枚のスレーブボー
ドにより駆動される。この２ビットの値により、各ボー
ドの次のサイクルの動作が決定される。Ａ＿ＩＮＤＥＸ
［０．．１］、Ｂ＿ＩＮＤＥＸ［０．．１］、Ｃ＿ＩＮ
ＤＥＸ［０．．１］：以下に示すように、この２ビット
標識により、各ボードのシステム内における位置が特定
される。各ビットは、次の表に従い、設定される。物理
的には、この標識は、システムバス上に位置する。ＩＮＤＥＸマスター００Ａ０１Ｂ１０Ｃ１１使用されないシステムバスは、２４ビットのアドレスバス、１６ビッ
トのデータバス、並びに、多くの信号から構成される制
御論理バスを備える。ＢＵＳ＿ＡＤＲ［０．．２３］：
これは、ＣＰＵボードが出力するアドレスを保持する２
４ビットのアドレスバスラインである。ＢＵＳ＿ＤＡＴ
Ａ［０．．１５］：これは、ＣＰＵボードとメモリーボ
ードを連結させる、双方向１６ビットデータバスであ
る。８ビットの書き込みあるいは読み取りが行われた場
合、データは、ビット０に並べられる。ＦＣ［０．．
１］：この２ビットのファンクション・コードは、ＣＰ
Ｕボードから出力され、下記の表に示すように、１６ビ
ット及び８ビットの動作を規定する。ＦＣ［０．．１］動作００１６ビット作動０１下位８ビット作動１０上位８ビット作動１１使用されないＦＣ［２］：これは、以下のように、ＲＥＡＤ（読み取
り）あるいはＷＲＩＴＥ（書き込み）動作を規定する。ＦＣ［２］動作１読み取り０書き込み表を見やすくするために、ＦＣ［０．．１］とＦＣ
［２］は別々に表示されているが、実際のバス動作にお
いては、これらのファンクション・コードは、同時に出
力される。ＦＣ［０．．２］を用いることにより、バス
の作動なし、８ビットの読み込み／かきこみ、及び、１
６ビットの読み込み／書き込みを規定することができ
る。図４は、本実施例のフォールト・トレラント・コン
ピュータシステムの全体を表す状態図である。以下に、
状態変遷の流れの一部を示す。開始ボードＡをマスターボード（ＭＳＴ）、ボードＢをスレ
ーブボード０（ＳＬ０）、ボードＣをスレーブボード１
（ＳＬ１）とする。１回目の比較を行う。ケース［１，１］変化なし［１，０］ボードＢの１回目の不一致を記録。２回目の比較を行う。ケース［１，０］ボードＢを使用不能にする。［１，１］最初の状態に戻る。［０，１］ボードＢはＯＫ。ボードＣの１回目の不一
致。［０，０］ボードＣをＭＳＴに。ボードＡの１回目の
不一致。エンドケース３回目の比較を行う。［０，１］ボードＣの１回目の不一致記録。＊以下、上記ケース［１，０］の場合と同様。［０，０］ボードＢをＭＳＴに。＊いかなる不一致も記録されない。２回目の比較開始。図中、各状態は、以下の規則に従い、表記される。Ｔｘ：Ｘがマスターボード。現在のところ、不一致は検
出されていない。Ｔｘｙ：Ｘがマスターボード。ボードＹに関して、１回
目の不一致検出。Ｔｘ／ｙ＿：Ｘがマスターボード。ボードＹに関して、
２回目の不一致が検出されたため、システムから排除さ
れた。図５は、ヴォーティングバスの動作を示すタイミ
ングチャートである。マスターボードは、異なった２つ
の時刻に、ヴォーティングバスのＣＯＭＰ＿ＤＡＴＡラ
インにアドレス及びデータ信号を送る。３枚のＣＰＵボ
ードの働きにより、各ボード上の状態を保持するため
に、一組の信号が出力される。ＳＴＡＴＥ１（状態１）
の立ち上がりでは、ヴォーティングバス上においてアド
レスが有効となる。この時点で、スレーブボードは、ヴ
ォーティングバスからアドレス信号を受け取る。ＳＴＡ
ＴＥ２（状態２）の立ち上がりでは、ヴォーティングバ
ス上においてデータが有効となる。この時点で、スレー
ブボードは、ヴォーティングバスからデータ信号を受け
取る。ＳＴＡＴＥ３（状態３）の立ち上がりでは、スレ
ーブボード上で比較を行うために必要な全てのデータが
有効となる。ＳＬＶ＿ＭＩＳＣＯＭＰ［１：０］が、比
較の結果として、出力される。ＳＴＡＴＥ４（状態４）
の立ち上がりでは、３枚のボードの次のサイクルにおけ
る状態（ＭＳＴ、ＳＬ０、ＳＬ１）が決定される。Ｍ６
８０００のＣＰＵボードの設計に関する詳細は、ここ
で、全く議論されていない。図５で参照される状態は、
Ｍ６８０００のＲＥＡＤ／ＷＲＩＴＥ（読み取り／書き
込み）動作の状態とは、異なる。上記の説明は、Ｍ６８
０００マイクロプロセッサーの機能を示すものではな
い。説明を分かりやすくするために、ヴォーティングバ
ス動作に関する状態は、マイクロプロセッサーと関係な
く、設定されている。以上、ヴォーティングバスのプロ
トコル並びにタイミングを説明した。次に、ヴォーティ
ングバスをインターフェースするＣＰＵボード上の論理
回路に関して、次のプロトロルに従い説明する。（１）Ｍ６８０００マイクロプロセッサーの読み取り及
び書き込み動作を説明する。マイクロプロセッサーの動
作タイミングにより、論理回路の以下の２つの部分の設
計が規定される。（２）ヴォーティングバス・インターフェースを説明す
る。３枚のボードで多数決判定を行うことにより、上述
の３方向多数決アルゴリズムを実行する。３枚のＣＰＵ
ボードにより、ヴォーティングバス上の２つのスレーブ
不一致信号をモニターし、各ボードの次のサイクルにお
ける機能的役割を決定する。（３）誤り検出機構を説明する。ボード上でこの機能を
果たす論理回路は、２組のデータを比較して、不一致信
号を出力する。ボードの機能的役割に応じて、不一致信
号により、２つのスレーブ不一致ビットの内１つが駆動
される。本実施例で用いられるＭＣ６８０００プロセッ
サーは、読み取り（ＲＥＡＤ）サイクルの間に、システ
ムを介してメモリーボードから送られる１あるいは２バ
イトのデータを受信する。ワードあるいは長ワード・オ
ペレーションを指定する命令が出されると、ＭＣ６８０
００プロセッサーは、上位及び下位データストロボ（Ｌ
ＤＳ、ＵＤＳ）の両方を出力することにより、上位バイ
トと下位バイトを同時に読み取る。一方、バイト・オペ
レーションを指定する命令が出された場合には、内部Ａ
０ビットを用いて、どのバイトを読み取るかを判定し、
適切なデータストロボを出力する。即ち、Ａ０＝０の場
合には、上位データストロボを出力し、Ａ０＝１の場合
には、下位データストロボを出力する。データを受信し
た後、プロセッサーは、バイトの内部位置を決定する。
ＢＵＳ＿ＡＤＲ［０］は、ＬＤＳ及びＵＤＳの値により
決まり、ＦＣ［０．．２］は、ＬＤＳ、ＵＤＳ、及び、
Ｒ／Ｗ＿の値により決定される。書き込み（ＷＲＩＴ
Ｅ）サイクルの間に、プロセッサーは、バイトデータを
メモリーに送る。ワード・オペレーションを指定する命
令が出された場合には、ＵＤＳ並びにＬＤＳを出力し、
両方のバイトを書き込む。バイト・オペレーションを指
定する命令が出されると、内部Ａ０ビットを用いて、ど
のバイトを書き込むかを判定し、適切なデータストロボ
を出力する。即ち、Ａ０＝０の場合には、ＵＤＳ＿を出
力し、Ａ０＝１の場合には、ＬＤＳ＿を出力する。図６
に、ＲＥＡＤ及びＷＲＩＴＥサイクルを示す。読み取り
（ＲＥＡＤ）サイクルの詳細を以下に説明する。＊ＳＴ
ＡＴＥ０（状態０）：読み取りサイクルは、ＳＴＡＴＥ
０（Ｓ０）から始まる。プロセッサーは、まず、Ｒ／Ｗ
＿をハイに起動し、読み取りサイクルを確認する。＊ＳＴＡＴＥ１：ＳＴＡＴＥ１（Ｓ１）に入ると、ＣＰ
Ｕボード上のアドレスバス上で有効アドレスが起動され
る。＊ＳＴＡＴＥ２：ＳＴＡＴＥ２（Ｓ２）の立ち上がり
で、ＡＳ＿Ｌ、ＵＤＳ＿、及び、ＬＤＳ＿を出力する。
Ｓ２の間に、ＦＣ［０．．２］をシステムバスに伝達す
る。＊ＳＴＡＴＥ３：ＳＴＡＴＥ３（Ｓ３）では、Ｓ３の立
ち上がりからＳ６の立ち下がりまでの間に、メモリーボ
ードからデータを呼び戻す。＊ＳＴＡＴＥ４：ＳＴＡＴＥ４（Ｓ４）では、サイクル
終了信号（ＤＴＡＣＫ＿あるいはＢＥＲＰ＿）またはＶ
ＰＡ（本実施例のシステムでは用いられていない）を待
つ。Ｓ４の立ち下がりまでの間に終了信号が出力されな
かった場合には、ＤＴＡＣＫ＿あるいはＢＥＲＰ＿が出
力されるまで、待機信号（フル・クロック・サイクル）
を割り込ませる。＊ＳＴＡＴＥ５：ＳＴＡＴＥ５（Ｓ５）では、バス信号
の変更は行われない。＊ＳＴＡＴＥ６：ＳＴＡＴＥ６（Ｓ６）では、装置から
送られたデータをデータバスに伝える。＊ＳＴＡＴＥ７：クロック入力ＳＴＡＴＥ７（Ｓ７）の
立ち下がりで、データをアドレス指定された装置から読
み込み、ＡＳ＿、ＵＤＳ＿、ＬＤＳ＿を否定する。ＦＣ
［０．．２］を高インピーダンス状態に駆動する。Ｓ７
の立ち上がりで、アドレスバスを高インピーダンス状態
にし、ＤＴＡＣＫ＿を否定する。書き込み（ＷＲＩＴ
Ｅ）サイクルの詳細を以下に説明する。＊ＳＴＡＴＥ０（状態０）：書き込みサイクルは、Ｓ０
から始まる。（前回の書き込みサイクルでＲ／Ｗ＿がロ
ーに設定されている場合には）まず、プロセッサーは、
Ｒ／Ｗ＿をハイに起動する。＊ＳＴＡＴＥ１：Ｓ１に入ると、アドレスバス上で有効
アドレスが起動される。＊ＳＴＡＴＥ２：Ｓ２の立ち上がりで、ＡＳ＿を出力
し、Ｒ／Ｗをローに起動する。＊ＳＴＡＴＥ３：Ｓ３では、書き込むべきデータがデー
タバス上に位置するように、ＣＰＵボード上のデータバ
スを駆動し、高インピーダンスの状態から外す。＊ＳＴＡＴＥ４：Ｓ４の立ち上がりで、ＵＤＳ＿、ＬＤ
Ｓ＿を出力し、サイクル終了信号（ＤＴＡＣＫ＿あるい
はＢＥＲＰ＿）またはＶＰＡ（本実施例のシステムでは
用いられていない）を待つ。Ｓ４の立ち下がりまでの間
に何れの終了信号も出力されなかった場合には、ＤＴＡ
ＣＫ＿あるいはＢＥＲＰ＿が出力されるまで、待機信号
（フル・クロック・サイクル）を割り込ませる。＊ＳＴＡＴＥ５：Ｓ５では、バス信号が出力されない。＊ＳＴＡＴＥ６：Ｓ６では、バス信号が出力されない。＊ＳＴＡＴＥ７：クロック入力Ｓ７の立ち下がりで、Ａ
Ｓ＿、ＵＤＳ＿、ＬＤＳ＿を否定する。ＣＰＵボードを
用いて、ＦＣ［０．．２］を高インピーダンス状態に駆
動する。Ｓ７の終了時にクロックが立ち上がると、プロ
セッサーは、アドレスバス及びデータバスを高インピー
ダンス状態にし、Ｒ／Ｗをハイに起動した後、ＤＴＡＣ
Ｋ＿を否定する。３つのＣＰＵボードの状態を一台の中
央装置で管理する代わりに、図４に示す状態（ＳＴＡＴ
Ｅ）装置を、各ＣＰＵボード上に位置する３つのＰＡＬ
（プログラム可能論理アレイ）でプログラムされた３つ
の同一構成のサブステート装置に分割してもよい。この
場合、各装置は、ＢＲＤ＿ＩＮＤＥＸ［１：０］、ＳＬ
Ｖ＿ＭＩＳＣＯＭＰ＿Ｌ［１：０］の４つの信号をモニ
ターする。各装置の出力は、個々のボードのみで用いら
れ、この出力信号には、ＩＭ、ＭＳＴ、ＩＭ＿ＳＬ０が
ある。状態多数決（ＶＯＴＩＮＧＳＴＡＴＥ）装置に
関する信号を、図７に示すヴォーティングバス・インタ
ーフェースに関するタイミングチャートと共に、以下に
説明する。ＢＲＤ＿ＩＮＤＥＸ［１：０］：この２つの
信号は、ヴォーティングバスから出力される。スロット
Ａ、Ｂ、Ｃにおいて、この信号は、それぞれ、Ａ＿ＢＲ
Ｄ＿ＩＮＤＥＸ［１：０］、Ｂ＿ＢＲＤ＿ＩＮＤＥＸ
［１：０］、Ｃ＿ＢＲＤ＿ＩＮＤＥＸ［１：０］であ
る。ＳＬＶ＿ＭＩＳＣＯＭＰ＿Ｌ［１：０］：この２つ
の信号は、ヴォーティングバスから出力される。この２
つの信号の値は、どの瞬間をとってみても、３枚のボー
ド全てで等しい。ＩＭ＿ＭＳＴ：この信号が論理ハイの
状態にある場合には、そのボードがシステムのマスター
・ボードであることを示している。ＩＭ＿ＳＬ０：この
信号が論理ハイの状態にある場合には、そのボードがシ
ステムのスレーブ０・ボードであることを示している。
ＩＭ＿ＳＬ１：この信号が論理ハイの状態にある場合に
は、そのボードがシステムのスレーブ１・ボードである
ことを示している。ＰＡＬプログラミングをできるだけ
簡素化するために、この信号は、ＳＴＡＴＥ装置から出
力されない。この設計システムでは、ＰＡＬの出力がす
べて登録されるため、ＩＭ＿ＳＬ０及びＩＭ＿ＭＳＴが
出力されれば、ＩＭ＿ＳＬ１を出力する必要がない。Ｂ
ＵＳ＿ＡＤＲＳ＿ＶＡＬＩＤ：この信号の立ち上がり
で、ヴォーティングバス上のアドレスが有効となり、ロ
ーカルＣＰＵボードに登録される。このアドレスは、信
号の立ち下がりまで、ずっと有効である。ＢＵＳ＿ＤＡ
ＴＡ＿ＶＡＬＩＤ：この信号の立ち上がりで、ヴォーテ
ィングバス上のデータが有効となり、ローカルＣＰＵボ
ードの登録される。このデータは、信号の立ち下がりま
で、ずっと有効である。ＣＯＭＰ＿ＣＹＣ：この信号の
立ち上がりで、ヴォーティングバス上のＳＬＶ＿ＭＩＳ
ＣＯＭＰ［１：０］が有効となり、ローカルボードに登
録される。この時、前のサイクルの再実行あるいはデー
タ・アクノレジを必要とするバスエラーを示す信号が出
力される。図８に、分配多数決機構の状態（ＳＴＡＴ
Ｅ）図を示す。以下に主要な特徴を挙げる。＊循環特
性：どのボードも、現在の状態並びにＳＬＶ＿ＭＩＳＣ
ＯＭＰ＿Ｌ［１］の値により、マスター・ボード、スレ
ーブ０・ボード、スレーブ１・ボードとして用いること
ができる。以下に、そのパターンの例を示す。開始＊＊＊私はスレーブ０。ケース［ｘ，１］私は正常。変化なし。［１，０］私は一回目の比較で異常。２回目の不一致検出開始。ケース［ｘ，０］２回目の比較結果も異常。排除。［ｘ，１］１回目の異常記録消去。私はスレーブ０のま
ま。エンドケース。次の不一致検出開始。［０，０］私は異常。もう一枚のボードも異常。私がマ
スターになる。２回目の比較開始。ケース［０，０］２回目の比較結果も異常。排除。［１，ｘ］＆［０，１］私は１枚あるいは両方のスレー
ブと一致。私がマスター。次の不一致検出開始。［０，０］の時に、両方のスレーブが不一致。私がスレーブ１になる。それ以外の場合は変化なし。＊ライブ挿入アベィラビリティ：ボードの内１枚がシス
テムから除かれた場合、そのシステムは、フォールトに
対して保護されていない状態になる。システムのフォー
ルト・トレランスを回復するためには、第三ボードをオ
ンライン上で他のボードと同期させる必要がある。以下
に、分配多数決装置がボードの機能を選択する過程を示
す。開始不一致検出。ケース［０，０］初期設定開始。／＊システム内のボー
ド数が３枚に満たない場合、［０，０］は有り得ない。ケーススロットＡマスタースロットＢスレーブ０スロットＣスレーブ１エンドケース［１，０］スレーブ０へ。［０，１］スレーブ１へ。［１，１］不可能。／＊ＳＬＶ＿ＭＩＳＣＯＭＰ＿Ｌが
スレーブにより出力されない場合、ローに駆動。エンドケース。＊ＳＴＡＴＥ装置フォールト保護：ＰＡＬエラーの場合
には、システムは、部分的に保護される。＊回復不能：多数決機構が３枚のボードに分配されてい
るため、システムは、ＰＡＬエラーに対して、一つの例
外を除き保護されている。２枚のボードがマスターの役
割を果たし、残りの１枚がスレーブ１の機能を果たす時
には、スレーブは１枚しか存在しない。ここで、このス
レーブに不一致が生じた場合、ＳＬＶ＿ＭＩＳＣＯＭＰ
＿Ｌ［１：０］が［０，０］と等しくなる。結果とし
て、マスターがスレーブ１になり、先のスレーブ１がス
レーブ０になる。この場合、データをヴォーティングバ
スに送るマスターボードが存在しないため、２回目の比
較は当然不一致という結果になり、３枚のボード全てが
システムから排除される。これが、いわゆる「ダブル・
エラー」である。本実施例のシステムでは、２種類の論
理ボード、即ち、ＣＰＵボード及びメモリーボードが用
いられている。図９に示すように、３枚のＣＰＵボード
は、互いに同一の構成を有するボードＡ、ボードＢ、ボ
ードＣである。これら３枚のボードは、それぞれ、ＲＥ
ＡＤ（読み取り）サイクルの間、同一の機能を果たす。
一方、ＷＲＩＴＥ（書き込み）サイクルの間は、マスタ
ーボードのみがシステム並びにヴォーティングバスにア
クセスする。メモリーボードは、シンプレックス論理ボ
ードであり、システムバスを介して、ＣＰＵに連絡す
る。メモリーボード内には、ユニバーサル非同期レシー
バー／トランシーバー（ＵＡＲＴ）を用いて、Ｖ１０２
ターミナルと連絡する部分が備えられている。システム
バスの信号は、以下の通りである。＊アドレスバス（ＳＹＳ＿ＡＤＲＳ＜１．．２３＞）：
この２３ビットの一方向３ステートバスは、１６メガバ
イトまでのデータをアドレスすることができる。メモリ
ーボードの読み取り及び書き込み細工づのあいだに、バ
ス動作のアドレスを決定する。＊データバス（ＳＹＳＤＡＴＡ＜０．．１５＞）：この
二方向３ステートバスは、一般的なデータパスである。
このバスは１６ビットの幅で、８ビット及び１６ビット
の幅のデータを移送可能である。＊同期制御（ＳＹＳ＿ＣＯＤＥ１，ＳＹＳ＿ＣＯＤＥ
２，ＳＹＳ＿ＣＯＤＥ３，ＳＹＳ＿ＣＯＤＥ４）：この
３つの信号は、システムバスサイクルの間だけ有効であ
る。これらの信号は、読み取り及び書き込みサイクルの
間、メモリーボードのタイミング制御を行う。ＳＹＳ＿
ＣＯＤＥ１がローの場合には、ＣＰＵボードにより、有
効アドレスがシステムバス上に置かれる。ＳＹＳ＿ＣＯ
ＤＥ２がローの場合には、メモリーボードが、自分自身
にアドレスを登録する。ＳＹＳ＿ＣＯＤＥ３がローの場
合には、バス読み取りサイクルの間に、メモリーボード
がデータをシステムバス上に送り、逆に、バス書き込み
サイクルの間には、ＣＰＵボードがデータをシステムバ
ス上に送る。ＳＹＳ＿ＣＯＤＥ４がローの場合には、シ
ステムバス上のデータがシステムの書き込みサイクルの
間にはメモリーボード上に、読み取りサイクルの間には
ＣＰＵボード上に、登録される。ＳＹＳ＿ＣＯＤＥ１が
ハイになると、バスサイクルが終了する。＊システム・ファンクション・コード（ＦＣ＜０．．２
＞）：これは、ＣＰＵボードにより出力される３ビット
のファンクション・コードであり、１６ビットあるいは
８ビットの読み取りあるいは書き込み動作を規定する。ＦＣ＜０．．２＞動作０００１６ビット書き込み００１上位８ビット書き込み０１０下位８ビット書き込み０１１使用されない１００１６ビット読み取り１０１上位８ビット読み取り１１０下位８ビット読み取り１１１使用されない＊システムメモリー・インターフェース制御（ＳＹＳ＿
ＭＥＭ＿ＳＥＬ＿Ｌ）：システムバスサイクルの間、メ
モリーボードは、この信号をローにすることによりメモ
リーを選択したことを示す信号をＣＰＵボードに出力す
る。＊クロック（ＳＹＳ＿ＣＬＫ）：これは、システムバス
の背面パネル上に搭載された８ＭＨｚのクロックカード
から出力される８ＭＨｚのクロック信号である。＊ボード指示器（ＳＹＳ＿ＭＳＴＲ＿ＩＮＤＥＸ＜
０．．１＞）：この２ビット信号は、ＣＰＵボードの一
を決定する。背面パネル上の所定のスロットにおいて、
このビットをハイあるいはローにすることにより、これ
らのスロットに挿入したＣＰＵボードをボードＡ、ボー
ドＢ、ボードＣとして割り当てる。ＩＮＤＥＸ＜０．．１＞ＢＲＤ００Ａ０１Ｂ１０Ｃ１１使用されない図１０は、システムバス上の書き込み動作を、また、図
１１は、システムバス上の読み取り動作を示す。図１２
に示すように、ＣＰＵボードは、４つの主要部分、即
ち、マイクロプロセッサー並びにそれと関連する論理回
路、ローカルメモリー、システムバス・インターフェー
ス、及び、ヴォーティングバス・インターフェースを備
える。ヴォーティングバス・インターフェースは、一組
のコンパレータ（比較器）及び多数決装置を含む。ＣＰ
Ｕボード上のローカルメモリーは、３２Ｋｘ８Ｘｉｃ
ｏｒＥｌｅｃｔｒｉｃａｌｌｙＥｒａｓａｂｌｅ
（電気的に消去可能な）Ｐｒｏｍ（ＥＥｐｒｏｍ）であ
る。このメモリーは、ワードサイズで、ＣＰＵメモリー
のスペースに直接マッピングされ、１４のアドレスライ
ンにより、アドレスされる。ＬＯＷ＿ＢＹＴＥ＿ＤＴＳ
＿Ｌにより、上位バイトまたは下位バイトを読み取るべ
きかあるいは書き込むべきかを判定する。ＥＥｐｒｏｍ
にアクセスする場合には、８ビットの動作のみが許され
る。ローカルメモリーのアドレススペースは、００００
００_HEX −００７ＦＦＦ_HEX である。ＥＥｐｒｏｍの書
き込みサイクルは、ＥＥｐｒｏｍ上のチップ選択（ＣＳ
＿Ｌ）ビットにより制御される。３組の信号、即ち、ア
ドレスライン、データライン、制御信号がシステムバス
に送られる。ＣＰＵボード上のシステムバスインターフ
ェースにより、ボード上の信号とバスライン上の信号と
の間の「ゲート」が制御される。ボードがシステムのマ
スターボードであり、且つ、システムメモリーのスペー
スをアドレスする場合に限り、全ての信号は、バス上に
送られる。それ以外の場合には、ゲートは、トリステー
トに保持される。本実施例のコンピュータシステムで
は、３枚のＣＰＵボード全てが、ヴォーティングバスか
らＣＯＭＰ＿ＤＡＴＡ信号を受け取る。この信号は、適
当な時点で、各ボード上のアドレス及びデータ信号と比
較される。各ボードの次の状態が決定され、マスターボ
ードからのデータがシステムバス上に書き込まれるＣＯ
ＭＰ＿ＣＹＣサイクルの前に、信号の相当性が解析され
る。次に、システムで用いられるメモリーボードについ
て、以下の４つの部分に分けて説明する。最初の部分で
は、静的ラムの動作、次に、メモリーボードのブロック
図、三番目に、メモリーボードの読み取り／書き込み動
作タイミング、最後に、ＳＩＯ動作に関して、説明す
る。ＣＹ７Ｃ１２８は、８ビット２０４８ワーズで構成
される高性能ＣＭＯＳ静的ＲＡＭである。アクティブＬ
ＯＷ書き込み可能信号（ＷＥ＿Ｌ）により、メモリーの
書き込み及び読み込み動作の制御が行われる。チップ可
能信号（ＣＥ＿Ｌ）及び書き込み可能信号（ＷＥ＿Ｌ）
の入力が両方ともＬＯＷの場合には、８個のデータ入出
力ピン（Ｉ／Ｏ₀ ないしＩ／Ｏ₇ ）上のデータを、アド
レスピン（Ａ₀ ないしＡ₁₀）上に存在するアドレスによ
り決定されたメモリー位置に書き込まれる。装置を選択
して、ＷＥ＿Ｌを不活性あるいはＨＩＧＨの状態に保持
したまま、出力ＣＥ＿Ｌ及びＯＥ＿ＬをアクティブＬＯ
Ｗにすることにより、装置の読み込みを行う。このよう
な条件下で、アドレスピン上の情報によりアドレスされ
た位置の中身が、８個のデータ入出力ピン上に記憶され
る。図１３に、メモリーボードのブロック図を示す。メ
モリーボードは、システムバスにのみアクセスする。シ
ステムのオペレーション・サイクルの間に、メモリーボ
ードは、システムバス上にアドレス並びに制御信号を登
録する。メモリーボード上のアドレス・デコーダーによ
り、ボードを２つのアドレススペース、即ち、ＳＲＡＭ
スペースとＵＡＲＴスペースに分割する。ＵＡＲＴは下
位バイト・オペレーションを行うことしかできないが、
ＳＲＡＭは上位バイト・オペレーション、下位バイト・
オペレーション及びワード・オペレーションを行うこと
ができる。メモリー及びＵＡＲＴのアドレススペース
は、以下の通りである。メモリー：０１００００−０７ＢＦＦＦ_HEX ＵＡＲＴ：８０００００−ＦＦＦＦＦＦ_HEX 図１４及び図１５に、メモリーボードの読み取り及び書
き込み操作のタイミングチャートを示す。タイミング抑
制により、メモリーデータを駆動するバッファは、ＳＲ
ＡＭからのデータが有効になると同時に、使用可能にな
る。この結果、わずかな時間の間、システムバス上のデ
ータが有効でなくなるが、ＳＹＳ＿ＤＡＴＡが有効にな
ると同時にＣＰＵボードのＳＹＳ＿ＤＡＴＡ取り込み体
制が完了しているし、読み取りサイクルの間は比較が行
われないため、システム操作を妨害することはない。メ
モリー上の直列Ｉ／Ｏポートは、独立デバッギングを行
うターミナルＩ／Ｏ能力を与える。この設計は、２基の
直列Ｉ／Ｏポート、８本の平行Ｉ／Ｏライン、並びに二
方向データバスをＣＰＵに与える、モトローラ６８６８
１二重非同期レシーバー／トランスミッター（ＤＵＡＲ
Ｔ）に基づくものである。ＭＣ６８６８１ＤＵＡＲＴ
は、非同期バス構造を介してプロセッサーにつながるＭ
Ｃ６８０００の周辺機器の一つである。ＳＩＯアプリケ
ーションで用いられるＤＵＡＲＴの主な機能を以下に説
明する。内部制御論理回路は、ＣＰＵから操作命令（オ
ペレーション・コマンド）を受け取り、内部装置に適切
な信号を出力し、装置の動作を制御する。また、ＤＵＡ
ＲＴ内部のレジスター（抵抗器）にアクセスし、４本の
レジスター選択ライン（ＲＳ１ないしＲＳ４）を解読
（デコード）することにより、様々な命令を実行する。
４本のレジスター選択ラインに加えて、ＣＰＵから内部
制御論理回路へ、ｒｅａｄ／ｗｒｉｔｅ＿１、ｃｈｉｐ
ｓｅｌｅｃｔ（ＣＳ＿Ｌ）、ｒｅｓｅｔ（ＲＥＳＥＴ
＿Ｌ）の３つの信号が入力される。タイミング論理回路
は、クリスタル発振器、ボー速度ジェネレータ（ＢＲ
Ｇ）、プログラム可能カウンター／タイマー、４つのク
ロックセレクターから成る。クリスタル発振器は、３．
６８６８４ＭＨｚのクリスタルにより直接作動し、クロ
ックは、ＢＲＧ、カウンター／タイマー等他の内部回路
に対する、基本対照タイミングを与えるものとして作用
する。ＢＲＧは、発振器により作動し、実際のボー速度
の１６倍の内部クロックを出力することにより、５０な
いし３８．４Ｋの範囲の、通常用いられている１８のデ
ータ通信ボー速度を発生させることができる。ＳＩＯア
プリケーションに対するボー速度は、９，６００に設定
されている。各通信チャンネルは、フル・デュプレック
ス非同期レシーバー／トランスミッター（ＵＡＲＴ）を
備える。各レシーバー及びトランスミッターの操作周波
数は、ボー速度ジェネレータとは独立に選択することが
できる。トランスミッターは、ＣＰＵから並列データを
受け取り、これを直列ビットストリームに変換し、適当
なスタートビット、ストップビット、並びに任意のパリ
ティビットを挿入し、ＴｘＤ出力ピンに、複合並列デー
タを出力する。レシーバーは、ＲｘＤピン上で直列デー
タを受け取り、この直列入力データを並列フォーマット
に変換し、スタートビット、ストップビット、パリティ
ビットあるいはブレイク条件をチェックし、読み取り動
作の間に、集められたキャラクターをＣＰＵに転送す
る。ＳＩＯ規定ストップビットで用いられるパラメー
タ、語長、パリティ及びボー速度は、以下の通りであ
る。ボー（ＢＡＵＤ）：９６００ワード（ＷＯＲＤ）：７ビットパリティ（ＰＲＴＹ）：奇数ストップ（ＳＴＯＰ）：１ＣＯＭＭ：ＦＤＸＨＡＮＤ：Ｘ−ＯＮキャラクター出力ルーチンが開始されると、まず、Ｔｘ
ＲＤＹ及びＴｘＥＭＴビットが設定されているかどうか
に関してＵＡＲＴステータス・レジスターがチェックさ
れる。これらのビットは、トランスミッター・バッファ
ーが空で、現在トランスミッターがキャラクターを送っ
ていないことを示す。各キャラクターを送る前にこれら
のビットをチェックすることにより、ＲＴＳ／ＣＴＳプ
ロトコールを用いることなく、トランスミッターのオー
バーランを防止することができる。キャラクター出力
は、ＣＰＵにより開始されるため、データ伝達の間にデ
ータが失われるという危険性はない。以下に、本実施例
のシステムを実行する場合に用いられる、３方向状態多
数決装置ＰＡＬ（プログラム可能な論理アレイ）の式の
一例を示す。

【０００７】

【表１】

【０００８】

【表２】

【０００９】

【表３】

【００１０】

【表４】

【００１１】

【表５】

【００１２】以上、本発明の好適な実施例を説明した
が、本発明は、何ら上記実施例に限定されるものではな
く、発明の要旨を変えない範囲で、様々な態様で実施で
きることはもちろんである。

【００１３】

【発明の効果】以上詳述したように、本発明の３方向多
数決機能を有するフォールト・トレラント・コンピュー
タシステムは、システム内のミラー化された部品から出
力された臨界信号を比較することにより、複数のフォー
ルト、複数箇所の故障を許容することができる。本発明
の構成を採用することにより、ハードウェアフォールト
・トレランスを有した既存システムを改良することが可
能である。また、本発明のシステムは、マスター−スレ
ーブアルゴリズムを採用することにより、コモンバス上
の信号を１組に限定している。これにより、コモンバス
上に３組の信号が同時に存在し、バスバンドの幅を制御
不能なほど広くしてしまうという問題を排除することが
できる。システムの構成が複雑になればなるぼど、より
進んだマイクロプロセッサー、及び、より広いアドレス
及びデータラインの使用等、バスバンドの幅は重要な問
題となってくる。更に、マスター−スレーブアルゴリズ
ムを用いることにより、システムの性能を低下させるこ
となく、壊れたボードをシステムから除去することがで
きる。また、経済的な側面からみても、従来の四重化構
造と比較して、３つのミラー部品を用いる本発明の構成
の方が、システムの費用効果を高めることができる。

【図面の簡単な説明】

【図１】図１は、通常見られるコンピュータの故障、誤
り等の関係を示す説明図である。

【図２】図２は、ペア・アンド・スペア型のフォールト
・トレラント・システムの代表的な例を示す説明図であ
る。

【図３】図３（ａ）（ｂ）（ｃ）（ｄ）は、本発明の好
適な実施例であるシステムで用いられる３つのボードの
可能な関係を示す模式図である。

【図４】図４は、システム内の全ての状態（ＳＴＡＴ
Ｅ）を示す模式図である。

【図５】図５は、ヴォーティングバスの作動を示すタイ
ミングチャートである。

【図６】図６は、実施例のシステムで用いられるＣＰＵ
のＲＥＡＤ（読みとり）及びＷＲＩＴＥ（書き込み）動
作を示すタイミングチャートである。

【図７】図７は、ヴォーティングバスのインターフェー
スを示すタイミングチャートである。

【図８】図８は、分配された多数決機構を示す状態（Ｓ
ＴＡＴＥ）図である。

【図９】図９は、実施例のシステムで用いられるＣＰ
Ｕ、メモリー及びバスの配置を示すブロック図である。

【図１０】図１０は、システムバスのＷＲＩＴＥサイク
ルを示すタイミングチャートである。

【図１１】図１１は、システムバスのＲＥＡＤサイクル
を示すタイミングチャートである。

【図１２】図１２は、実施例のシステムのＣＰＵを示す
ブロック図である。

【図１３】図１３は、実施例のシステムのメモリーボー
ドを示すブロック図である。

【図１４】図１４は、メモリーボードのＷＲＩＴＥサイ
クルを示すタイミングチャートである。

【図１５】図１５は、メモリーボードのＲＥＡＤサイク
ルを示すタイミングチャートである。

─────────────────────────────────────────────────────

【手続補正書】

【提出日】平成４年６月９日

【手続補正１】

【補正対象書類名】図面

【補正対象項目名】全図

【補正方法】変更

【補正内容】

【図１】

【図２】

【図３】

【図５】

【図６】

【図９】

【図４】

【図７】

【図８】

【図１０】

【図１１】

【図１２】

【図１３】

【図１４】

【図１５】

Claims

【特許請求の範囲】

【請求項１】信号を伝達するシステムバス手段に沿っ
て互いに連結する複数の機能装置を備える、フォールト
・トレラント・ディジタルデータプロセッサーで、第一の機能装置が、一つあるいは複数の他の機能装置か
ら前記システムバス手段を介して伝達される入力信号に
応じて、第一の処理を行い、出力信号を発生し、更に、
前記出力信号を、前記システムバス手段を介して、一つ
あるいは複数の他の機能装置に伝達するように構成さ
れ、前記第一の機能装置が、信号を伝達するヴォータバス手
段に沿って互いに連結され、且つ、前記システムバス手
段に接続されて、前記入力信号のうち対応するものを受
信する、ｎ個の処理部を備え、前記処理部が、それぞれ、Ａ．前記入力信号に応じて、前記第一の処理を行い、前
記出力信号を発生する処理手段と、Ｂ．ＭＡＳＴＥＲＳＴＡＴＥ（マスター状態）信号に
より起動し、少なくとも前記バス手段の何れか一つに、
少なくとも所定の入力信号に応じて出力された出力信号
を供給する、マスター手段と、Ｃ．ＳＬＡＶＥＳＴＡＴＥ（スレーブ状態）信号によ
り起動し、（１）前記所定の入力信号に対応して、前記処理部の処
理手段から出力された出力信号と、（２）マスター手段あるいは他の処理部から出力された
出力信号と、を比較する比較信号を発生し、前記比較信
号を前記ヴォータバス手段に伝達するスレーブ手段と、Ｄ．前記ヴォータバス手段と、前記マスター手段と、前
記スレーブ手段とに接続されて、所定の処理部の状態を
維持し、前記状態を表す信号を出力する状態手段で、更
に、Ｄ１．マスター状態と、一つあるいは複数のスレーブ状
態とを含む複数の状態の中から前記状態を選択する選択
手段と、Ｄ２．前記状態信号並びに前記ヴォータバス手段を介し
て伝達される一つあるいは複数のマッチ信号の組み合せ
に応じて、前記所定の処理部の状態を選択的に変化させ
るヴォータ手段と、を含む状態手段と、を備えることを特徴とするフォールト・トレラント・デ
ィジタルデータプロセッサ。
【請求項２】各処理部の前記状態手段に接続され、所
定の時点で、前記処理部の何れか一つを前記マスター状
態にし、且つ、残りの処理部をスレーブ状態にするため
の、同期手段を備える、ことを特徴とする請求項１記載
のフォールト・トレラント・ディジタルデータプロセッ
サ。
【請求項３】前記状態手段が、更に、何れの時点にお
いても、前記処理部の内一つだけを前記マスター状態に
保持する手段を備える、ことを特徴とする請求項２記載
のフォールト・トレラント・ディジタルデータプロセッ
サ。
【請求項４】前記ヴォータ手段が、更に、所定の処理
部の現在の状態と前記ヴォータバス手段を介して伝達さ
れる前記一つあるいは複数のマッチ信号の組み合せとの
関数に従い、前記所定の処理部の状態を変化させる手段
を備える、ことを特徴とする請求項１記載のフォールト
・トレラント・ディジタルデータプロセッサ。
【請求項５】前記スレーブ手段が、更に、各マッチ信
号のＯＲを前記ヴォータバス手段に伝達する手段を備え
る、ことを特徴とする請求項１記載のフォールト・トレ
ラント・ディジタルデータプロセッサ。
【請求項６】前記第一機能装置が、中央処理装置（Ｃ
ＰＵ）であり、前記マスター手段が、更に、データ、ア
ドレス、制御情報の内少なくとも一つを含む前記出力信
号を発生させる手段を備える、ことを特徴とする請求項
１記載のフォールト・トレラント・ディジタルデータプ
ロセッサ。
【請求項７】前記ヴォータ手段が、更に、前記ヴォー
タバス手段を介して伝達される前記一つあるいは複数の
マッチ信号の組み合せに応じて、各処理部から出力され
る出力信号がすべて等しく、各処理部の状態を変化させ
る必要がないことを示す手段を備える、ことを特徴とす
る請求項１記載のフォールト・トレラント・ディジタル
データプロセッサ。
【請求項８】前記マスター状態にある所定の処理部と
連絡する前記ヴォータ手段が、更に、前記マスター状態
信号と前記ヴォータバス手段を介して伝達される前記一
つあるいは複数のマッチ信号の組み合せとに応じて、前
記所定の処理部から出力される出力信号が少なくとも一
つの他の処理部から出力される信号と等しく、前記所定
の処理部の状態を変化させる必要がないことを示す手段
を備える、ことを特徴とする請求項１記載のフォールト
・トレラント・ディジタルデータプロセッサ。
【請求項９】前記スレーブ状態にある所定の処理部と
連絡する前記ヴォータ手段が、更に、（１）前記スレーブ状態信号と、前記ヴォータバス手段
を介して伝達される前記一つあるいは複数のマッチ信号
の組み合せとに応じて、前記所定の処理部から出力され
た出力信号が、前記マスター状態にある処理部から出力
された出力信号と等しくないこと、また、（２）前記スレーブ状態信号と、前記ヴォータバス手段
を介して伝達される前記一つあるいは複数のマッチ信号
の組み合せとに応じて、前記スレーブ状態にある他の処
理部から出力された出力信号が、前記マスター状態にあ
る処理部から出力された出力信号と等しいこと、を示
し、前記所定の処理部の状態を第一スレーブ状態から第
二スレーブ状態に変化させる手段を備える、ことを特徴
とする請求項１記載のフォールト・トレラント・ディジ
タルデータプロセッサ。
【請求項１０】前記スレーブ状態にある所定の処理部
と連絡する前記ヴォータ手段が、更に、（１）前記スレーブ状態信号と、前記ヴォータバス手段
を介して伝達される前記一つあるいは複数のマッチ信号
の組み合せとに応じて、前記所定の処理部から出力され
た出力信号が、前記マスター状態にある処理部から出力
された出力信号と等しいこと、また、（２）前記スレーブ状態信号と、前記ヴォータバス手段
を介して伝達される前記一つあるいは複数のマッチ信号
の組み合せとに応じて、前記スレーブ状態にある他の処
理部から出力された出力信号が、前記マスター状態にあ
る処理部から出力された出力信号と等しくないこと、を
示し、前記他の処理部の状態を第一スレーブ状態から第
二スレーブ状態に変化させる手段を備える、ことを特徴
とする請求項１記載のフォールト・トレラント・ディジ
タルデータプロセッサ。
【請求項１１】各処理部の前記ヴォータ手段が、更
に、前記ヴォータバス手段を介して伝達される前記一つ
あるいは複数のマッチ信号の組み合せに応じて、前記マ
スター状態にある所定の処理部から出力された出力信号
が、前記スレーブ状態にある所定数の他の処理部から出
力された出力信号と等しくないことを示し、（１）前記所定の処理部の状態を変化させ、（２）前記所定の入力信号に応じて前記第一の処理を再
び行い、前記出力信号を発生させる、手段を備える、こ
とを特徴とする請求項１記載のフォールト・トレラント
・ディジタルデータプロセッサ。
【請求項１２】前記マスター手段が、前記出力信号を
前記ヴォータバス手段に伝達するための手段を備え、前
記スレーブ手段が、所定の尻部の処理手段から出力され
た出力信号と、前記システムバス手段を介して伝達され
る出力信号とを比較する手段を備える、ことを特徴とす
る請求項１記載のフォールト・トレラント・ディジタル
データプロセッサ。