JPH06259270A

JPH06259270A - プロセッサ異常判定回路

Info

Publication number: JPH06259270A
Application number: JP5044048A
Authority: JP
Inventors: Naoto Miyazaki; 直人宮崎; Shinichiro Yamaguchi; 伸一朗山口; Nobuyasu Kanekawa; 信康金川; Hiroaki Fukumaru; 広昭福丸
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1993-03-04
Filing date: 1993-03-04
Publication date: 1994-09-16

Abstract

(57)【要約】【目的】プロセッサユニットの正常、異常を判定するこ
とは勿論、判定回路自体の故障をも考慮し運転継続でき
る高信頼性コンピュータシステムを提供することを目的
とする。【構成】同一の演算を実行する３台のプロセッサユニッ
トからの出力をそれぞれ比較するチェック回路を２重化
して設けた構成とし、チェック回路自体で故障が発生し
ても、正確にプロセッサユニットの正常、異常を判定
し、さらに、異常プロセッサユニット以外のプロセッサ
ユニットで演算実行を行う機能を有する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は高信頼性コンピュータシ
ステムに関し、プロセッサユニットの正常、異常を判定
することは勿論、該判定を行う回路自体の故障をも考慮
し運転継続できる高信頼性コンピュータシステムに関す
る。

【０００２】

【従来の技術】コンピュータシステム内に障害が発生し
ても、データの一貫性を維持し、後続する処理を行うこ
とが可能であることが重要な、コンピュータシステムの
利用分野は、多々ある。

【０００３】例えば、交通管制、金融、証券等の分野に
おいては、情報化社会の進展に伴い、上記のようなコン
ピュータシステムが必須のものとなっている。

【０００４】このような要求に応えるため、従来より、
障害許容コンピュータ（すなわち、耐故障、耐欠陥コン
ピュータシステム）が、各種提案されている。

【０００５】かかる障害許容コンピュータシステムは、
障害が発生しても、データ処理を継続できるように、同
じ機能を有する複数のシステム、あるいは、部品を備え
て構成し、障害が発生した、システム、あるいは、部品
を検出し、これらを切り離し、同一機能を有する代替シ
ステム、あるいは、部品を使用して、データ処理を続行
する点に特徴があり、このために種々のレベルの装置に
おいて、いわゆる冗長構成をとっている。

【０００６】従来の障害許容コンピュータシステム技術
に関して、例えば、特願平３−００７５１９号公報にお
いて、同一の演算を実行する３台以上のプロセッサユニ
ットの「正常」、「異常」を判定する方法が述べられて
いる。

【０００７】上記従来例においては、存在するプロセッ
サユニットの出力を、互いに比較することによって、プ
ロセッサユニットの異常を検出している。

【０００８】

【発明が解決しようとする課題】ところで、上記従来例
では、異常判定を行う手段である異常判定回路内におい
て、該回路自体に故障が発生したとき、判定結果を誤っ
て出力するという問題点があった。

【０００９】また、プロセッサが１台しか動作していな
い場合のシステムに対しての考慮が何等されていないの
で、１台しか動作していない場合でも比較チェックを行
なってしまい、誤った判定結果を出力するという問題点
もあった。

【００１０】本発明の目的は、異常判定回路内において
故障が発生したときにも、正しい判定結果を出力するこ
とにより、システム全体の信頼性を向上させることにあ
る。

【００１１】

【課題を解決するための手段】上記課題を解決し、本発
明の目的を達成するため、以下の手段が考えられる。

【００１２】同一の処理を行う第１、第２、第３のプロ
セッサユニットと、各々のプロセッサユニットの出力結
果の比較照合より、プロセッサユニットの正常、異常を
判定する判定回路と、正常と判定された第１、第３のプ
ロセッサユニットの出力をそれぞれ外部に出力し、か
つ、外部からの入力データを取り込むための第１および
第２のインタフェイスユニットと、各プロセッサユニッ
トから出力された情報を記憶する第１および第２のキャ
ッシュメモリと、第１、第２のプロセッサユニットと第
１のインタフェイスユニットと第１のキャッシュメモリ
との間に設けられた第１の内部バスと、第２、第３のプ
ロセッサユニットと第２のインタフェイスユニットと第
２のキャッシュメモリとの間に設けられた第２の内部バ
スと、第１の内部バスと第２の内部バスとの間に設けら
れたデータの開閉手段を有する連絡バスとを具備し、装
置内の故障部位を除いた残りの構成によって運転継続す
る機能を有するコンピュータシステムにおいて、前記判
定回路は、２個のプロセッサユニットからの出力の一
致、不一致を検出する、第１から第６のチェック回路を
備え、それらを３個ずつ２重化構成し、かつ、第１から
第６のチェック回路の出力にもとづき、プロセッサユニ
ットの正常、異常を判定するエラーチェック回路を備え
ることを特徴とするプロセッサ異常判定回路である。

【００１３】この場合、前記判定回路は、前記第１から
第６のチェック回路のうち１つが故障しても、プロセッ
サユニットの正常、異常を判定する機能を有するプロセ
ッサ異常判定回路も考えられる。

【００１４】また、前記判定回路を構成する前記第１か
ら第６のチェック回路は、予め記憶されている、異常状
態のプロセッサユニットを特定するデータを参照して、
異常が発生したプロセッサユニットを特定する機能を有
する異常判定回路も考えられる。

【００１５】また、前記判定回路は、前記第１から第６
のチェック回路において故障が発生した場合、故障が発
生した旨の情報を出力するプロセッサ異常判定回路も好
ましい。この場合、前記故障が発生した旨の情報は、フ
ラグデータで構成されていることが好ましい。

【００１６】また、前記判定回路は、プロセッサユニッ
トからの出力データの比較チェックの際、データを構成
するビットのうちの予め定められたビットごとの比較チ
ェックを行なう機能を有するプロセッサ異常判定回路も
考えられる。

【００１７】また、同一の演算を行うｎ個（ｎは、２以
上の整数）のプロセッサユニットと、各々のプロセッサ
ユニットの出力結果の比較照合より、プロセッサユニッ
トの正常、異常を判定する判定回路を有して構成される
コンピュータシステムにおいて、前記判定回路は、２つ
のプロセッサの出力信号を比較照合するチェック回路を
多重化した構成にし、チェック回路に故障が発生して
も、プロセッサの正常、異常を判定する機能を有するコ
ンピュータシステムも考えられる。

【００１８】また上述の、判定回路は、任意の異常状態
を注入できる機能を有することや、１つのプロセッサユ
ニトしか動作していないときには、比較チェックを行な
わない機能を有する構成も好ましい。

【００１９】

【作用】上述のように、本発明は、同一の演算を実行す
る３台のプロセッサユニットからの出力を、それぞれ比
較するチェック回路を２重化して設け、異常検出回路自
体にフォールトトレランス機能をもたせたものである。

【００２０】また、本発明では１個のプロセッサで動作
するときは、比較チェックを行なわないようにさせた。

【００２１】本発明は、プロセッサユニットからの出力
を比較するチェック回路に故障が発生しても誤った判定
をすることがなくなる。また、判定結果を使用して構成
されるシステムの、信頼性の向上を図ることも可能にな
る。

【００２２】

【実施例】以下、本発明の実施例について図を参照して
説明する。

【００２３】図１に本発明にかかるプロセッサ異常判定
回路の構成図の一例を示す。

【００２４】図１において、パリティ生成／検査照合回
路１０から１５は、３台のマイクロプロセッシングユニ
ット（以下単に、「ＭＰＵ」という）ＭＰＵＡ、ＭＰＵ
Ｂ、およびＭＰＵＣから出力された、アドレス線Ａ上の
アドレスと、データ線Ｄ上のデータに、適宣パリティ信
号を付与する。

【００２５】判定回路は、チェック回路およびエラーチ
ェック回路を有して構成されている。また、チェック回
路は、２重化されており、２３−１、２３−２、および
２３−３と、これらと同じ機能を有する２４−１、２４
−２、および２４−３とからなり、チェック回路ではＭ
ＰＵからの出力（パリティ信号が付与されたアドレス、
データ、および、制御信号）の出力の比較、照合が行わ
れる。

【００２６】また、エラーチェック回路２３４、２３
５、および２３６では、６つのチェック回路から出力さ
れる比較結果に応じて、いずれのＭＰＵが故障であるか
を判定する。

【００２７】図２は、本発明にかるプロセッサ異常判定
回路を使用したフォールトトレラントシステムの概略全
体構成の一例を示す。

【００２８】このシステムは、２組のシステムバス１−
１および１−２を備えており、このバス上には、１つ、
または、複数のベーシックプロセッシングユニット（以
下単に「ＢＰＵ」と記す）２−１、２−２、…、２−ｎ
が、システムバス１−１および１−２に、それぞれ接続
されている。

【００２９】また、システムバス１−１には、主記憶装
置３−１が、１−２には、主記憶装置３−２がそれぞれ
個別に接続され、入出力装置（以下、単に「ＩＯＵ」と
記す）４−１、４ー２がそれぞれ、システムバス１−
１、１−２のいずれにも接続されている。

【００３０】主記憶装置３（３−１、３−２）およびＩ
ＯＵ４（４−１、４−２）は、それぞれ２つを１組とし
て使用され、図２に示す例では、各１組づつ（３−１と
３−２の組、４−１と４−２の組）使用する例を示して
いるが、これはシステムの拡張に応じて適宣組数を増加
して使用することができる。

【００３１】図示したｎ組のＢＰＵは、通常はそれぞれ
別の処理を実行しているが、何れも同じ構成であるの
で、ここでの説明は、特に必要のないかぎり、ＢＰＵ２
−１を例にとり、その構成および動作について説明す
る。

【００３２】ＢＰＵ２は、複数のＭＰＵ２０（図の例で
は、２０−１、２０−２、および２０−３の３台）、複
数のＭＰＵ出力チェック回路２３（図の例では、２重化
された３台、２３−１、２３−２、および２３−３）、
３ステートバッファ回路２９等、複数のキャッシュメモ
リ２２０、２２１、複数のバスインタフェースユニット
（以下単に「ＢＩＵ」と記す）２７−１、２７−２を有
して構成されている。

【００３３】ここで、図２の回路の概略の動作を説明し
ておく。

【００３４】まず、３台のＭＰＵ２０（２０−１、２０
−２、２０−３）により演算が実行され、このＭＰＵの
出力が、チェック回路２３においてチェックされ、「正
常」と判断された２つのＭＰＵの出力が、それぞれバス
インタフェースユニット２７（２７−１、２７−２）を
介して２組のシステムバス１（１−１、１−２）、ある
いは、２組のキャッシュメモリ２２０、２２１にそれぞ
れ出力される。

【００３５】ＭＰＵの１つに異常が発見された場合、異
常の発生した当該ＭＰＵは除外されて、残りの２つの正
常なＭＰＵの出力が、それぞれバスインターフェイスユ
ニット２７（２７−１、２７−２）を介して、２組のシ
ステムバス１（１−１、１−２）に送られる。あるい
は、ＢＩＵの一方に異常が発見された後は、所定のタイ
ミングで、他方のＢＩＵに切り替えられて、システム
は、演算を実行する。

【００３６】図３に、ＢＰＵ２のより詳細な構成を示
す。

【００３７】なお、ＢＰＵは、１枚の基板上に図示した
素子を搭載されるのがよい。

【００３８】図３において、３台のＭＰＵ２０−１、２
０−２、２０−３は、クロック（図示せず）により同期
がとられ演算が実行され、その演算結果が、アドレスラ
インＡとデータラインＤにそれぞれ出力される。

【００３９】ＭＰＵ２０−１、２０−２、および２０−
３のアドレスラインＡ上のアドレスと、データラインＤ
上のデータには、パリティ生成／検査照合回路１０から
１５により所定のパリティ信号が付与されて、ＭＰＵ出
力チェック回路２３（２３−１、２３−２、２３−３）
に与えられる。

【００４０】ＭＰＵ出力チェック回路２３（２３−１、
２３−２、２３−３）は、ＭＰＵＡ（２０−１）からの
出力（パリティ信号が付与されたアドレス、データ）と
ＭＰＵＢ（２０−２）からの出力とを比較する、２重化
されたチェック回路ＣＨＫＡＢ（２３−１、２４−１
（図１に示す））と、ＭＰＵＡ（２０−１）からの出力
とＭＰＵＣ（２０−３）からの出力とを比較する、２重
化されたチェック回路ＣＨＫＡＣ（２３−２、２４−２
（図１に示す））と、ＭＰＵＢ（２０−２）からの出力
とＭＰＵＣ（２０−３）からの出力とを比較する、２重
化されたチェック回路ＣＨＫＢＣ（２３−３、２４−３
（図１に示す））と、かかる６つのチェック回路からの
比較出力結果に応じて、いずれのＭＰＵが故障であるか
を特定する、エラーチェック回路２３４、２３５、およ
び２３６（図示せず）を有して構成される。このＭＰ
Ｕ出力チェック回路は、いわゆる多数決回路であり、こ
の判定結果に応じて３ステートバッファ回路２００、２
０１、２０３、２０４、２９の開閉状態が制御される。

【００４１】この判定結果と、３ステートバッファ回路
の状態の関係については後述するが、要するに、「異
常」と判定されたＭＰＵを、以後使用せず、「正常」と
されたＭＰＵの出力を２つのキャッシュメモリ２２０、
２２１に与えて２重系として運用するものである。

【００４２】なお、以下の説明においては３ステートバ
ッファ回路のイネーブル状態を単に「開状態」と称し、
ディスイネーブル状態を「閉状態」ということにする。

【００４３】３ステートバッファ回路２００、２０１、
２０３、２０４を介して得られたアドレス、およびデー
タは、２つのキャッシュメモリ２２０、２２１にそれぞ
れ与えられ、その際、パリティチェック回路２５０にお
いて、パリティ生成／検査照合回路１０から１５により
付与したパリティの、チェックが行なわれる。

【００４４】また、ＭＰＵの出力は、同期回路２９０、
２９１において２つのＭＰＵ出力の同期がとられ、ＢＩ
Ｕを介してシステムバスに送出される。

【００４５】その際、パリティチェック回路３０、３１
において、パリティ生成／検査照合回路１０から１５に
て付与したパリティのチェックが、行なわれる。

【００４６】以上の構成は、ＭＰＵからのライトアクセ
ス（書き込み動作）を想定して述べたものであるが、こ
のようにＭＰＵからのライトアクセス時には、ＭＰＵ出
力チェック回路２３とパリティチェック回路３０、３１
において、それぞれ比較照合、パリティのチェックが行
なわれる。

【００４７】これに対し、キャッシュリードアクセス
（ＭＰＵからキャッシュへの読み込み動作）時は、各キ
ャッシュメモリ２２０、２２１、３ステートバッファ回
路２０２、２０５、ＭＰＵのルートで信号伝送が行なわ
れ、この場合には、パリティ生成／検査照合回路１０か
ら１５で、キャッシュメモリから出力されたアドレス、
データのパリティチェックが行なわれる。

【００４８】なお、２６、２７も、３ステートバッファ
回路であり、キャッシュリードアクセス時にパリティ生
成／検査照合回路１０から１５でのアドレス、データの
チェック結果に応じて開閉状態が制御される。

【００４９】図３のＢＰＵ内部には、異常検出部とし
て、ＭＰＵ出力回路２３と、多くのパリティチェック回
路を採用しているが、その異常検出手法について、以下
に説明する。

【００５０】まず、本発明のＭＰＵ出力チェックに関す
る部分について説明する。

【００５１】図１において、チェック回路ＣＨＫＡＢの
出力をＡＢ０、ＡＢ１、チェック回路ＣＨＫＣＡの出力
をＣＡ０、ＣＡ１、チェック回路ＣＨＫＢＣの出力をＢ
Ｃ０、ＢＣ１、エラーチェック回路２３１の出力をそれ
ぞれＡｇ、Ｂｇ、Ｃｇ、２９ｇとして、６つのチェック
回路の出力と、３ステートバッファ回路の開閉状態との
関係について説明する。なお、この図においてＣは、制
御信号である。

【００５２】まず、チェック回路は、それぞれの２組の
入力（アドレス、データ、制御信号）得て、チェック回
路ＣＨＫＡＢは、ＭＰＵＡの出力と、ＭＰＵＢの出力と
の比較結果ＡＢ０、ＡＢ１を、チェック回路ＣＨＫＣＡ
は、ＭＰＵＡの出力とＭＰＵＣの出力との比較結果ＣＡ
０、ＣＡ１を、チェック回路ＣＨＫＢＣは、ＭＰＵＢの
出力とＭＰＵＣの出力との比較結果ＢＣ０、ＢＣ１を出
力する。

【００５３】この比較結果は、一致するか、一致しない
かのいずれかの状態を示す信号となる。

【００５４】図２１は、チェック回路ＣＨＫＡＢ、ＣＨ
ＫＢＣ、ＣＨＫＣＡの出力（一致、不一致）の生じる原
因として想定される事象の一部をのべたものであるが、
（本発明は、異常の際に正しく異常を検出することに主
眼があり、異常発生原因を特定することは要旨ではない
ので）ここでの詳細説明を省略する。

【００５５】つぎに、図２１からもわかるように、ＭＰ
Ｕ２０−１、２０−２、２０−３およびパリティ生成／
検査照合器１０、１１、１２、１３、１４、１５の単一
故障による異常の場合には、チェック回路(ＣＨＫＡ
Ｂ、ＣＨＫＣＡ、ＣＨＫＢＣ)のうち２つのチェック回
路で「不一致」が発生し、チェック回路自体に異常があ
る場合には、１、あるいは、３つのチェック回路で「不
一致」が発生する。

【００５６】従って、チェック回路が多重化されていな
い場合（チェック回路がＣＨＫＡＢ２３−１、ＣＨＫＣ
Ａ２３−２、ＣＨＫＢＣ２３−３の３つの場合）は、図
２２のようにして、各ＭＰＵの「正常」、「異常」を判
定できるが、判定不可能で「不明」となる場合（「異
常」と判定）があり、誤った判定をしてまう。

【００５７】また、最悪の場合、各ＭＰＵとも同時に判
定不可能で「不明」ということもあり、このような場合
には、システムダウンさせてしまう本発明においては、
上記問題をチェック回路を２重化することによって解決
している。ここではその手法について説明する。

【００５８】図２１からもわかるように、ＭＰＵ２０−
１、２０−２、２０−３およびパリティ生成／検査照合
器１０、１１、１２、１３、１４、１５の単一故障によ
る異常の場合には、チェック回路(ＣＨＫＡＢ，ＣＨＫ
ＣＡ、ＣＨＫＢＣ)のうち２つのチェック回路で、「不
一致」が発生し、チェック回路自体に異常がある場合に
は、１、あるいは、３つのチェック回路で「不一致」が
発生することから、チェック回路のＣＨＫＡＢ２３−
１、ＣＨＫＣＡ２３−２、ＣＨＫＢＣ２３−３の組と、
チェック回路のＣＨＫＡＢ２４−１、ＣＨＫＣＡ２４−
２、ＣＨＫＢＣ２４−３の組で、１、あるいは、３つの
チェック回路で、「一致」を出力しているチェック回路
の出力を用いて、エラーチェックすることにより、チェ
ック回路に異常があっても、誤りなく各ＭＰＵの「正
常」、「異常」を判定できる。

【００５９】ここでは、ハードウエア構成が複雑になる
のを避けるため、２重化としたが多重化であれば、３重
化でも、４重化でも、同様の効果が得られる。

【００６０】図２３にチェック回路を２重化したとき
の、各ＭＰＵの「正常」、「異常」と、その判定結果を
示す。

【００６１】図２３をまとめると、エラーチェック回路
は、６つのチェック回路の出力ＡＢ０、ＡＢ１、ＣＡ
０、ＣＡ１、ＢＣ０、ＢＣ１から、次式（１）、
（２）、および（３）に従い、ＭＰＵＡ、ＭＰＵＢ、Ｍ
ＰＵＣの正常を表す、出力Ａｇ、Ｂｇ、Ｃｇを得る。

【００６２】もちろん、図１、図３の構成においては、
エラーチェック回路は２重化されている。

【００６３】カルノー図表等を使用して、論理式を求め
ると、以下のような式が得られる。

【００６４】Ａｇ＝！ＡＢ１＆ＢＣ１｜！ＣＡ１＆ＢＣ１｜！ＡＢ１＆！ＣＡ１｜！ＡＢ０＆ＢＣ０｜！ＣＡ０＆ＢＣ０｜！ＡＢ０＆！ＣＡ０（１）Ｂｇ＝！ＢＣ１＆ＣＡ１｜！ＡＢ１＆ＣＡ１｜！ＡＢ１＆！ＢＣ１｜！ＢＣ０＆ＣＡ０｜！ＡＢ０＆ＣＡ０｜！ＡＢ０＆！ＢＣ０……（２）Ｃｇ＝！ＣＡ１＆ＡＢ１｜！ＢＣ１＆ＡＢ１｜！ＣＡ１＆！ＢＣ１｜！ＣＡ０＆ＡＢ０｜！ＢＣ０＆ＡＢ０｜！ＣＡ０＆！ＢＣ０……（３）但し、ＡＢ０およびＡＢ１は、ＭＰＵＡとＭＰＵＢの出
力が「不一致」であるという事象（２３ー１、２４ー１
で検出）、また、ＢＣ０およびＢＣ１は、ＭＰＵＢとＭ
ＰＵＣの出力が「不一致」であるという事象（２３ー
２、２４ー２で検出）、さらに、ＣＡ０およびＣＡ１
は、ＭＰＵＣとＭＰＵＡの出力が「不一致」であるとい
う事象（２３ー３，２４ー３で検出）であり、「＆」
は、論値積（ＡＮＤ）、「｜」は、論理和（ＯＲ）、
「！」は、否定（ＮＯＴ）を意味する。

【００６５】（１）、（２）、および（３）式の演算の
結果に応じて、３ステートバッファ回路２００、２０
１、２０４、２０５、２９の開閉状態が制御される。

【００６６】図２４は、異常のあるＭＰＵの判定結果Ａ
ｇ、Ｂｇ、Ｃｇと、その結果として３ステートバッファ
回路の開閉状態をまとめたものである。

【００６７】なお、図２４中の判定結果の項において、
「１」はＭＰＵ正常、「０」は、異常または不明を意味
する。

【００６８】図１、図３、図２１、図２４を参照して説
明したように、本発明においては、ＭＰＵ出力回路２３
で、「異常」と判断したとき、ＭＰＵの「異常」、「正
常」を判定する。

【００６９】次に、ＭＰＵ内各部にその他の異常検出手
法として用いた、パリティチェック回路による異常検出
法について説明する。但し、パリティチェック回路自体
は周知であるので回路についての詳細説明を省略し、こ
こではパリティエラー検出したときの、異常箇所特定手
法について説明する。

【００７０】図３に示すように、ライトアクセス時に
は、パリティ生成／検出照合回路１０から１５から所定
のパリティ信号が付与されて、アドレスラインＡ、デー
タラインＤにデータが送出され、この異常を、パリティ
チェック回路２５０、３０、３１にて検知する。

【００７１】また、リードアクセス時には、パリティ生
成／検出照合回路１０から１５、パリティチェック回路
２５０、３０、３１にて情報の異常を検出する。

【００７２】これらのパリティチェックは、基本的にア
ドレスとデータに分けて実施される。

【００７３】そして、アドレスについてみると、アドレ
ス情報において、パリティエラーを検出したときの、当
該異常箇所は、このアドレス信号を送出しているバスマ
スタ（バスの使用者）であり、図３の内部バスの使用権
を与えるバスアービタ（図示せず：バスの使用権を与え
るもの）からのバスグラント（バスの使用権）信号を監
視することで、バスマスタとなっている機器（例えばＭ
ＰＵ、キャッシュメモリ、ＢＩＵ等）を特定することが
できる。

【００７４】次に、データについてみると、ライトアク
セス時にデータ情報のパリティエラーを検出したとき
の、当該異常箇所は、このデータ信号のバスマスタであ
る。

【００７５】バスマスタの特定は、バスアービタからの
バスグラント信号の監視により行なわれる。

【００７６】最後に、リードアクセス時にデータ情報の
パリティエラーを検出したときの、当該異常箇所は、こ
のデータ信号の出力元であり、かかる特定は、このデー
タに付属するアドレスが指しているデバイスのアドレス
をデコードすることで、特定することができる。

【００７７】次に、異常発生時の構成変更制御について
説明する。

【００７８】ＢＰＵの異常には、ＭＰＵからのライトア
クセス時に、ＭＰＵ出力回路で検知されるものと、ライ
トアクセス時、あるいは、キャッシュリードアクセス時
に、パリティチェック回路によって検出されるものとが
ある。

【００７９】例えば、前記ＭＰＵ出力チェック回路２３
１の出力Ａｇに応じて、３ステートバッファ回路２０
０、２０１が、Ｃｇに応じて、２０３、２０４が、２９
ｇに応じて、２９の開閉状態がそれぞれ図２４のように
制御される。

【００８０】なお、図２４において、ＭＰＵ判定結果の
Ａｇ＝１は、「２００、２０１開」、Ａｇ＝０は、「２
００、２０１閉」に対応し、Ｃｇ＝１は、「２０３、２
０４開」、Ｃｇ＝０は、「２０３、２０４閉」に対応す
るが、Ｂｇと２９ｇには対応関係はない。

【００８１】３ステートバッファ２９の開閉状態は、Ａ
ｇ＝１、かつ、Ｃｇ＝１のとき「閉」、ＡｇとＣｇのう
ちいずれかが「１」のときは「０」となった３ステート
バッファ回路に向かう方向のパスのみが開放される。

【００８２】以下、図２４に示す各ケースについて、図
４の系統構成図を参照してより詳細に説明する。

【００８３】「ケース１」（図４（ａ）参照）：全ての
ＭＰＵが正常で場合である。

【００８４】３ステートバッファ回路２００、２０１、
２０３、２０４が「開状態」、２９が「閉状態」とさ
れ、図４（a）のように、ＭＰＵＡ（２０−１）および
キャッシュメモリ２２０による系統と、ＭＰＵＣ（２０
−３）およびキャッシュメモリ２２１による系統とが、
独立２重化して運用される。

【００８５】「ケース２」（図示せず）：ＭＰＵＢのみ
が正常と判断される場合である。

【００８６】図３に示すようにＭＰＵＢは、他のＭＰＵ
の参照用として使用され、キャッシュメモリに出力を与
えるよう構成されていないので、構成変更しての運転継
続は不可能であり、この場合には、システム全体がダウ
ンする。

【００８７】「ケース３」（図４（ｂ）参照）：ＭＰＵ
Ａのみが正常と判断される場合である。

【００８８】この場合には、３ステートバッファ回路２
００、２０１が「開状態」、２０３、２０４が「閉状
態」、２９は、キャッシュメモリ２２１方向への３ステ
ートバッファ回路のみが「開状態」とされる。ＭＰＵＢ
およびＭＰＵＣは、停止され、図４（ｂ）に示すよう
に、ＭＰＵＡのみによる、単独系統運転となる。

【００８９】キャッシュメモリ２２１方向への３ステー
トバッファ回路２９のみが、「開状態」とされるのは、
キャッシュメモリの記憶内容の同一性保持のためであ
る。

【００９０】「ケース４」（図４（ｃ）参照）：ＭＰＵ
ＡとＭＰＵＢが正常と判断される場合である。この場
合には、３ステートバッファ回路２００、２０１が「開
状態」、２０３、２０４が「閉状態」、２９は、キャッ
シュメモリ２２１方向への３ステートバッファ回路のみ
が「開状態」とされる。

【００９１】この場合には、ＭＰＵＣを停止し、図４
（ｃ）に示すように、ＭＰＵＡおよびＭＰＵＢで２重系
を構成して、ＭＰＵＢにより、ＭＰＵＡの出力を監視す
る２重化運転が行われる。キャッシュメモリ２２１方
向への３ステートバッファ回路２９のみが、「開状態」
とされるのは、キャッシュメモリの記憶内容の同一性保
持のためである。

【００９２】「ケース５」（図４（ｄ）参照）：ＭＰＵ
Ｃのみが正常と判断される場合である。

【００９３】この場合には、３ステートバッファ回路２
００、２０１が「閉状態」、２０３、２０４が「開状
態」、２９は、キャッシュメモリ２２０方向への３ステ
ートバッファ回路のみが「開状態」とされる。

【００９４】ＭＰＵＡおよびＭＰＵＢは停止され、図４
（ｄ）に示すように、ＭＰＵＣのみによる単独系統運転
となる。

【００９５】キャッシュメモリ２２０方向への３ステー
トバッファ回路２９のみが、「開状態」とされるのは、
キャッシュメモリの記憶内容の同一性保持のためであ
る。

【００９６】「ケース６」（図示せず）：ＭＰＵＢとＭ
ＰＵＣが正常と判断される場合である。

【００９７】この場合には、３ステートバッファ回路２
００、２０１が、「閉状態」、２０３、２０４が、「開
状態」、２９は、キャッシュメモリ２２０方向への３ス
テートバッファ回路のみが、「開状態」とされる。この
場合には、ケース４と同様な運用が行われる。

【００９８】「ケース７」（図４（ｅ）参照）：ＭＰＵ
ＡとＭＰＵＣが正常と判断される場合である。この場
合には、参照用ＭＰＵが異常なので、図４（ｅ）のよう
に、ＭＰＵＢのみを、切り離し、３ステートバッファ回
路は何等変更せずに、ＭＰＵＡとＭＰＵＣによる２重化
運転を継続する。

【００９９】「ケース８」（図示せず）：ＭＰＵＡ、Ｍ
ＰＵＢ、およびＭＰＵＣが全て異常がある場合、すなわ
ち、全ＭＰＵが異常であることから、以後の運転継続不
可能である。

【０１００】以上のようにして、３台のＭＰＵと、その
周辺回路（例えば、パリティ生成／検査照合回路等）に
よってＭＰＵの正常性が確認され、適宣変更制御が実施
されるが、この図２４は、あくまでも判定結果の組み合
わせを述べたにすぎず、実際問題として、ケース２から
ケース８の７つの異常事象が同一確率で発生するわけで
はない。

【０１０１】また、良く知られているように、多重故障
の同時発生率は、単一故障に比べて極めて低い。

【０１０２】しかも実際には、単一故障が進展して、多
重故障になることが殆どであり、従って、単一故障の時
点で何等かの回復対策を施すことにより、事実上、運転
継続に支障のないシステム構成とすることができる。

【０１０３】なお、本発明ではチェック回路自体に故障
が発生した後も、正しくＭＰＵの異常判定を行なえるの
で、誤った判定結果による誤った構成変更が行われるこ
となく運転継続可能であり、この意味においては非常に
信頼性の高いシステムを構成できる。

【０１０４】なお、以上の異常事象発生の際に、図３に
は図示がないが、異常ＭＰＵを停止する信号を、チェッ
ク回路２３から発生させる処理や、あるいは、外部に信
号を出力して運転員に異常の発生を報知し、以後の対策
の必要性を知らしめることは、当然のこととして行なわ
れる。

【０１０５】次に、パリティチェックによる異常の検出
時の構成変更について説明する。

【０１０６】まず、ライトアクセス時、あるいは、キャ
ッシュリードアクセス時に、キャッシュメモリ２２０、
２２１、ＢＩＵ２７−１、２７−２の異常箇所が特定で
きる。

【０１０７】次に、各異常の時の、ＢＰＵ内部の構成変
更制御について説明する。

【０１０８】なお、図２５は、キャッシュリードアクセ
ス時の各部異常の際にキャッシュメモリ２２０、２２
１、ＢＩＵ２７−１、２７−２、３ステートバッファ回
路２９、２６、２７をどのように制御するのかを一覧表
にしたものである。

【０１０９】図５は、各ケースの時における回路構成を
図示したものであり、以下図２５および図５を参照して
説明する。

【０１１０】図５（ａ）は、正常時の信号の流れを示し
ている。

【０１１１】この場合、３ステートバッファ回路２９、
２６は「閉状態」、２７は、「開状態」とされており、
従って、ＢＩＵ２７−１にデータが供給される。

【０１１２】このように、通常は、ＢＩＵ２７−１、キ
ャッシュメモリ２２０、およびＭＰＵ２０−１が１つの
処理系統を構成し、また、ＢＩＵ２７−２、キャッシュ
メモリ２２１、およびＭＰＵ２０−３が別の１つの処理
系統を構成している。

【０１１３】以下故障箇所に対応した各種のケースにつ
いて考える。

【０１１４】「ケース１」（図５（ｂ）参照）：キャッ
シュメモリ２２０が「異常」な場合である。

【０１１５】図５（ｂ）のように、キャッシュメモリ２
２０の出力が停止され、３ステートバッファ回路２９
は、ＭＰＵＡ２０−１側への信号のみが通過するように
制御され、３ステートバッファ回路２６は、「開状
態」、２７は、「閉状態」となる。

【０１１６】これにより、全てのＭＰＵは、キャッシュ
メモリ２２１から、情報を受けとるように構成され、異
常発見後もシステムの運転が継続される。

【０１１７】なお、３ステートバッファ回路２６を、
「開状態」、２７を、「閉状態」とし、３ステートバッ
ファの状態を切り替える理由は、論理的には、キャッシ
ュメモリ２２０の「異常」と特定されても、キャッシュ
メモリ２２０が接続された内部バスに「異常」が発生し
ている可能性も否定できず、念のために、キャッシュメ
モリ２２１を使用するように、構成の変更を行うもので
ある。

【０１１８】もし、キャッシュメモリ２２０が接続され
た内部バスに「異常」が存在する時には、３ステートバ
ッファ回路２９が、一方向のデータ通信を行う機能を有
しているため、ＭＰＵＣ側には、バスの異常の影響が現
われない。

【０１１９】「ケース２」（図５（ｃ）参照）：キャッ
シュメモリ２２１が「異常」な場合である。

【０１２０】図５（ｃ）に示すよう、キャッシュメモリ
２２１の出力が停止され、３ステートバッファ回路２９
は、ＭＰＵＣ２０−３側への信号のみが、通過するよう
に制御され、これにより全てのＭＰＵは、キャッシュメ
モリ２２１から、情報を受けとるように構成され、異常
発見後もシステムの運転が継続される。

【０１２１】「ケース３、４」（図５（ｄ）、（ｅ）参
照）：ＢＩＵ２７（２７−１、１７−２）、あるいは、
これに接続されたシステムバス１−１側に異常がある場
合である。

【０１２２】図５（ｄ）、（ｅ）に示すように、ＢＩＵ
２７（２７−１、１７−２）、あるいは、これに接続さ
れたシステムバス１−１側を停止し、ケース１と同様な
運用を行う。

【０１２３】以上のようにして、パリティエラーによる
「異常」が検出されたときは、構成変更とともに「異
常」が存在する旨の情報が、外部の装置に報知される。

【０１２４】以上、詳細にＢＰＵの内部に「異常」が発
生したとしても、その回路構成の一部を切り離し、ある
いは、情報が流れるパスを変更することによって、正常
時と同様な運転の継続が可能である。

【０１２５】このため、データ処理の途中で異常が発生
した場合には、（１）適切な時点（きりのよい時点）、
または、修理保守時期まで、当該ＢＰＵで動作を継続さ
せ、（２）適切な時点（きりのよい時点）、または、修
理保守時期まで、当該ＢＰＵで実行していた処理を、他
の正常なＢＰＵに引き継がせればよい。

【０１２６】この結果、異常発生時における「チェック
ポイントリスタート」に備えてのバックアップ動作が不
要となり、システムの処理性能を向上することが可能と
なる。

【０１２７】以上説明したように、各部の異常の際に、
内部バスの切り替えを、３ステートバッファ２９を使用
し行なうが、３ステートバッファ２９の開閉操作は、通
常の経路でのライトアクセスに比べて時間がかかり、し
かも、バス間で迂回するための時間がかかる。

【０１２８】この改善策としては、図６に示すように異
常発生時のみ、リトライ（再試行）により、バスサイク
ル（例えば、一つの命令が始まってから終了するまでの
時間を示す）を延長するのが、バスサイクルの遅延を発
生させず有効な方法であると考えられる。

【０１２９】すなわち、図６中のステップＳ１、Ｓ２に
て、「異常」があるか否かを検出し、「異常」時には、
ステップＳ４において、リトライする信号を出力し、さ
らに、ステップＳ５において、異常出力の停止（例え
ば、異常ＭＰＵの切り離し操作等が考えられる）、正常
出力の迂回処理を行った後、ステップＳ６において、当
該バスサイクルを終了させる信号を出力して、一連の処
理を終了する。

【０１３０】なお、「正常」であるときには、ステップ
Ｓ３において、当該バスサイクルを終了させる信号を出
力すればよい。

【０１３１】ＭＰＵにバスサイクルを終了させたり、リ
トライさせたりするための信号線は、ＭＰＵの種類によ
り名称が異なるが、多くのＭＰＵでは、リトライ信号を
ＭＰＵに入力することで、ＭＰＵが自動的に実行する。

【０１３２】図２６に、代表的なＭＰＵにおける、信号
名を示す。

【０１３３】図７、図８は、図６のリトライ方式をライ
トアクセス時に採用したときの信号の流れを示したもの
であり、図７は正常時、図８は異常時における信号の流
れを示す。

【０１３４】同図において、縦軸は時間の経過を示し、
横軸は、ＭＰＵの出力データが、キャッシュメモリに至
るまでの、該データが通過する各部回路を示している。

【０１３５】通常、ＭＰＵからはデータ信号の出力に先
立って、アドレス信号が出力される。

【０１３６】図７では、アドレス信号、データ信号がと
もに正常であるために、チェック回路２３、パリティチ
ェック回路２５０では「正常」と判断され、ＭＰＵに
は、終了信号が送られ、キャッシュメモリ２２０は、デ
ータを格納し、バスサイクルは終了する。

【０１３７】図８では、ＭＰＵＡが「異常」であり、ア
ドレス信号およびデータ信号がともにチェック回路２３
により、「異常」と判定され、各ＭＰＵには終了信号と
ともに、リトライ信号が送られリトライ動作にはいる。
リトライ動作時には、３ステートバッファ２００、２０
１を「閉状態」として、ＭＰＵＡから内部バスへの信号
の伝送を阻止し、３ステートバッファ２９を、一方向の
み「開状態」として、ＭＰＵＣの出力信号をキャッシュ
メモリ２２０にも供給する。その後、各ＭＰＵには終了
信号が送られ、動作が終了する。

【０１３８】図９、図１０、および図１１は、図６にて
説明したリトライ方式を、キャッシュリードアクセス時
に採用したときの、信号の流れを示したものであり、図
９は、「正常時」、図１０は、「アドレス信号異常
時」、図１１は、「データ信号異常時」の場合について
それぞれ示す。

【０１３９】図９では、アドレス信号、データ信号とも
に「正常」であり、「異常」が認められないために、Ｍ
ＰＵには終了信号が送られ、ＭＰＵキャッシュメモリ２
２０から得られたデータを格納して、バスサイクルは終
了する。

【０１４０】図１０では、ＭＰＵＡからのアドレス信号
が、他のアドレス信号と一致せずに、「異常」と判定さ
れ、各ＭＰＵに終了信号およびリトライ信号が送られ、
リトライ動作にはいる。

【０１４１】リトライ動作時には、３ステートバッファ
２０１を「閉状態」として、ＭＰＵＡから内部バスへの
信号の伝送を阻止し、３ステートバッファ２９を、一方
向のみ、「開状態」として、ＭＰＵＣのアドレス出力信
号を、キャッシュメモリ２２０に供給し、キャッシュメ
モリ２２０は、与えられたアドレスに格納されているデ
ータを、ＭＰＵＡおよびＭＰＵＢに供給する。その後、
各ＭＰＵに終了信号を送り、リトライ動作は終了する。

【０１４２】図１１では、キャッシュメモリ２２０から
のデータに「異常」が認められ、パリティ生成／検査照
合回路１０、１２、パリティチェック回路２５０による
パリティチェックにより、「異常」と判断され、各ＭＰ
Ｕに終了信号およびリトライ信号が送られ、リトライ動
作が開始される。

【０１４３】リトライ動作時には、キャッシュメモリ２
２０が出力することが阻止され、３ステートバッファ２
９を、一方向のみ「開状態」として、キャッシュメモリ
２２１の出力を、ＭＰＵＡおよびＭＰＵＢに供給する。

【０１４４】なお、この場合、３ステートバッファ回路
２６を「閉状態」、２７を、「開状態」として正常状態
から切り替え、３ステートバッファ回路２７を介して、
キャッシュメモリ２２１の出力を、ＭＰＵＢに供給する
ことにより、キャッシュメモリ２２０からＭＰＵＢへの
データ信号の「異常」による誤ったデータのＭＰＵＢへ
の供給を防ぐことが可能になる。

【０１４５】次に、本発明にかかる詳細な機能について
説明する。

【０１４６】図１２は、本異常判定回路に、チェック回
路自体の故障を報告するための手段４００を設けた構成
となっている。

【０１４７】本異常判定回路（チェック回路部分を２重
化した構成になっている）では、チェック回路部分で、
一点故障（１ヶ所の故障）が発生しても誤りなく、ＭＰ
Ｕの「正常」、「異常」が判定可能であるが、二点故障
の場合（２ヶ所の故障）、判定不可能な事態が生じる
（なお、「不明」の場合は、「異常」と判定される）。

【０１４８】このためチェック回路で故障が発生したこ
とを報告するフラグを、外部へ出力し、以後の対策の必
要性を知らしめる機能を有する。

【０１４９】さて、故障の判定手法について説明する。

【０１５０】前述したように、チェック回路自体で「異
常」が発生した場合には、１、あるいは、３つのチェッ
ク回路で、不一致が発生することから、チェック回路の
ＣＨＫＡＢ２３−１、ＣＨＫＣＡ２３−２、およびＣＨ
ＫＢＣ２３−３の組と、チェック回路のＣＨＫＡＢ２４
−１、ＣＨＫＣＡ２４−２、およびＣＨＫＢＣ２４−３
の組において、それぞれ、１、あるいは、３つのチェッ
ク回路で、「不一致」なる旨の出力をした場合であっ
て、さらに、それぞれ対応する、ＣＨＫＡＢ２３−１と
ＣＨＫＡＢ２４−１、ＣＨＫＣＡ２３−２とＣＨＫＣＡ
２４−２、ＣＨＫＢＣ２３−３とＣＨＫＢＣ２４−３の
出力結果を比較した場合、２箇所で異なった場合に、チ
ェック回路自体の二点故障（２ヶ所の故障）と判断し報
告する。

【０１５１】図１３は、本異常判定回路に、データの比
較チェックの際、データの型に合った比較チェックを行
なう機能を有した構成とした。

【０１５２】ＭＰＵが、リードアクセス、ライトアクセ
ス等を行なうとき、データの型は固定されているわけで
はない。

【０１５３】例えば、４バイト(32ビット)であったり、
２バイト(16ビット)であったり、１バイト(8ビット)で
あったりする。

【０１５４】チェック回路では、例えばデータの長さを
３２ビットとすると、３２ビット同士の比較チェック処
理を行なっている。このため、データの型が、バイトの
時等には、比較不要なビットまで比較チェックを行なっ
てしまう。

【０１５５】このとき、不要なビットの値は保証されて
いないので、比較チェックの対象から除くことが必要で
ある。

【０１５６】代表的ＭＰＵである６８０４０を例にとる
と、ＭＰＵの出力である、アドレスＡ０１、Ａ００、お
よび、データのサイズを示す信号である、ＳＩＺ１、Ｓ
ＩＺ０から、そのデータの型を知ることができる。

【０１５７】ＭＰＵの出力である、アドレスＡ０１、Ａ
００、および、データのサイズを示す信号である、ＳＩ
Ｚ１、ＳＩＺ０は、比較チェックの必要なビットを選択
するチェックデータセレクタ４０１に入力され、その信
号をもとに、比較チェックの必要なビットを選択（ここ
ではバイト単位(８ビット)）する信号を生成し、該信号
にもとづいて有効なデータのビットのみの比較照合を行
なうことが可能になる。

【０１５８】次に、図１４にデータ選択比較チェック回
路の一例を示す。

【０１５９】比較チェック処理が必要なビットを選択す
る、チェックデータセレクタ４０１は、ＭＰＵの出力で
あるアドレスＡ０１、Ａ００、および、データのサイズ
を示す信号である、ＳＩＺ１、ＳＩＺ０からデータのう
ち、どのビット（ここでは、バイト単位(8ビット)）が
有効であるかを示す信号を生成する。ここで生成される
信号は、データのＤ３１〜Ｄ２４（ＤＩは、与えられた
データのうち「Ｉ」番目のビットを示す、したがって
「Ｄ３１〜Ｄ２４」は、３１から２４ビットのデータを
示す）が有効であること示す、「ｃｈｋｓｅｌ３」、デ
ータのＤ２３〜Ｄ１６が有効であること示す、「ｃｈｋ
ｓｅｌ２」、データのＤ１５〜Ｄ０８が有効であること
示す、「ｃｈｋｓｅｌ１」、データのＤ０７〜Ｄ００が
有効であること示す、「ｃｈｋｓｅｌ０」である。

【０１６０】使用するＭＰＵによって異なるが、例えば
６８０４０を例にとると、上記選択信号ｃｈｋｓｅｌ
３、ｃｈｋｓｅｌ２、ｃｈｋｓｅｌ１、およびｃｈｋｓ
ｅｌ０は、次の論理式であたえられる。

【０１６１】ｃｈｋｓｅｌ３＝ＳＩＺ１＆ＳＩＺ０｜！ＳＩＺ１＆！ＳＩＺ０｜！Ａ０１＆！Ａ００ｃｈｋｓｅｌ２＝ＳＩＺ１＆ＳＩＺ０｜！ＳＩＺ１＆！ＳＩＺ０｜ＳＩＺ１＆！Ａ０１＆！Ａ
００｜ＳＩＺ０＆！Ａ０１＆Ａ００ｃｈｋｓｅｌ１＝ＳＩＺ１＆ＳＩＺ０｜！ＳＩＺ１＆！ＳＩＺ０｜Ａ０１＆！Ａ００ｃｈｋｓｅｌ０＝ＳＩＺ１＆ＳＩＺ０｜！ＳＩＺ１＆！ＳＩＺ０｜ＳＩＺ１＆Ａ０１＆！Ａ０
０｜ＳＩＺ０＆Ａ０１＆Ａ００但し、「＆」は、論値
積（ＡＮＤ）、「｜」は、論理和（ＯＲ）、「！」は、
否定（ＮＯＴ）を表す。

【０１６２】データのＤ３１〜Ｄ２４が有効であること
示す、ｃｈｋｓｅｌ３、データのＤ２３〜Ｄ１６が有効
であること示す、ｃｈｋｓｅｌ２、データのＤ１５〜Ｄ
０８が有効であること示す、ｃｈｋｓｅｌ１、データの
Ｄ０７〜Ｄ００が有効であること示す、ｃｈｋｓｅｌ０
は、各ＭＰＵの出力比較照合回路（図では、ＭＰＵＡと
ＭＰＵＢの比較照合回路を示す）に入力される。

【０１６３】ｃｈｋｓｅｌ３は、ＭＰＵからの出力デー
タＤ３１〜Ｄ２４の比較照合結果に、ｃｈｋｓｅｌ２
は、ＭＰＵからの出力データＤ２３〜Ｄ１６の比較照合
結果に、ｃｈｋｓｅｌ１は、ＭＰＵからの出力データＤ
１５〜Ｄ０８の比較照合結果に、ｃｈｋｓｅｌ０は、Ｍ
ＰＵからの出力データＤ０７〜Ｄ００の比較照合結果
に、論理積演算処理される。

【０１６４】さらに、該論理積処理結果と、ＭＰＵから
の出力アドレスの比較照合結果と、ＭＰＵからの出力制
御線の比較照合結果とが、論理和演算処理され、ＭＰＵ
の出力比較照合結果として出力される。

【０１６５】ＭＰＵからの出力データが１バイトである
ときの動作例を述べる。

【０１６６】ＭＰＵの出力である、アドレスＡ０１、Ａ
００、および、データのサイズを示す信号であるＳＩＺ
１、ＳＩＺ０にもとづいて、チェックデータセレクタ４
０１からは、出力データのＤ０７〜Ｄ００が有効である
ことを示すｃｈｋｓｅｌ０がオン状態の旨の出力がさ
れ、その他のｃｈｋｓｅｌ３、ｃｈｋｓｅｌ２、ｃｈｋ
ｓｅｌは、オフ状態である旨の信号を出力する。

【０１６７】したがって、出力データのＤ３１〜Ｄ０８
までの比較照合結果は、無効とされ、出力データのＤ０
７〜Ｄ００の比較照合結果のみが有効となり、ＭＰＵか
らの出力アドレスの比較照合結果、ＭＰＵからの出力制
御線の比較照合結果と、論理和演算処理され、ＭＰＵの
出力比較照合結果として出力される。

【０１６８】次に、図１５にデータ選択パリティチェッ
ク回路の構成例を示す。

【０１６９】比較チェックの必要なビットを選択するチ
ェックデータセレクタ４０１は、ＭＰＵの出力であるア
ドレスＡ０１、Ａ００、および、データのサイズを示す
信号であるＳＩＺ１、ＳＩＺ０にもとづいて、データの
どのビット（ここでは、データはバイト単位(8ビット)
である）が、有効であるかを示す信号を生成する。

【０１７０】ここで生成される信号は、データのＤ３１
〜Ｄ２４が有効であること示す、ｃｈｋｓｅｌ３、デー
タのＤ２３〜Ｄ１６が有効であること示す、ｃｈｋｓｅ
ｌ２、データのＤ１５〜Ｄ０８が有効であること示す、
ｃｈｋｓｅｌ１、データのＤ０７〜Ｄ００が有効である
こと示す、ｃｈｋｓｅｌ０である。

【０１７１】データのＤ３１〜Ｄ２４が有効であること
示す、ｃｈｋｓｅｌ３、データのＤ２３〜Ｄ１６が有効
であること示す、ｃｈｋｓｅｌ２、データのＤ１５〜Ｄ
０８が有効であること示す、ｃｈｋｓｅｌ１、データの
Ｄ０７〜Ｄ００が有効であること示す、ｃｈｋｓｅｌ０
は、各データのパリティチェック回路に入力される。

【０１７２】さらに、ｃｈｋｓｅｌ３は、ＭＰＵへのデ
ータＤ３１〜Ｄ２４およびＤ３１〜Ｄ２４のパリティＰ
３のパリティ照合結果に、ｃｈｋｓｅｌ２は、ＭＰＵへ
のデータＤ２３〜Ｄ１６およびＤ２３〜Ｄ１６のパリテ
ィＰ２のパリティ照合結果に、ｃｈｋｓｅｌ１は、ＭＰ
ＵへのデータＤ１５〜Ｄ０８およびＤ１５〜Ｄ０８のパ
リティＰ１のパリティ照合照合結果に、ｃｈｋｓｅｌ０
は、ＭＰＵへのデータＤ０７〜Ｄ００およびＤ０７〜Ｄ
００のパリティＰ０のパリティ照合照合結果に、論理積
演算処理され、パリティ照合結果として出力される。

【０１７３】ＭＰＵへ出力されるデータが、２バイトで
あるときの動作例を述べる。

【０１７４】ＭＰＵの出力である、アドレスＡ０１、Ａ
００、および、データのサイズを示す信号であるＳＩＺ
１、ＳＩＺ０にもとづいて、チェックデータセレクタ４
０１からは、出力データのＤ１５〜Ｄ００が有効である
ことを示す、ｃｈｋｓｅｌ１、ｃｈｋｓｅ０が、オン状
態となり、その他のｃｈｋｓｅｌ３、ｃｈｋｓｅｌ２
は、オフ状態となっている旨の信号を出力する。

【０１７５】ＭＰＵへのデータのＤ３１〜Ｄ１６までの
パリティ照合結果は無効とされ、ＭＰＵへのデータのＤ
１５〜Ｄ００のパリティ照合結果のみが有効となり、Ｍ
ＰＵへのデータのパリティ照合結果として出力される。

【０１７６】図１６は、本異常判定回路に、入力にかか
わらず任意に「異常状態をつくる信号」を注入できる機
能を設けた構成とした。

【０１７７】かかる機能は、図２にようなシステム構成
を考えたとき、異常発生の際、実際に正しく所望の動作
を行うか否かの試験を行なうときに必要となる。

【０１７８】つまり、任意に「異常状態をつくる信号」
を注入することにより、前述した構成内容の変更の制御
等が、正確に行なわれるか否かを試験することが可能と
なる。

【０１７９】ここで、エラー注入選択回路４０２は、Ｍ
ＰＵからの命令により、任意のＭＰＵの系に任意のエラ
ーを注入する役目を果たす。

【０１８０】エラー注入選択回路４０２において、mpus
el1,mpusel0は、どのMPUの系にエラーを注入するかを選
択するための信号であり、errsel1,errsel0は、どのよ
うなエラー（比較チェックエラー、パリティエラー、パ
リティ反転等が考えられる）を注入するかを選択するた
めの信号である。

【０１８１】例えば、どのＭＰＵの系にもエラーを注入
しないときには、mpusel1,mpusel0を「０」、「０」と
し、ＭＰＵＡの系にエラーを注入するときには、mpusel
1,mpusel0を「０」、「１」とし、ＭＰＵＢの系にエラ
ーを注入するときには、mpusel1,mpusel0を「１」、
「０」とし、ＭＰＵＣの系にエラーを注入するときに
は、mpusel1,mpusel0を「１」、「１」とし、どのよう
なエラーも注入しないときには、errsel1,errsel0を
「０」、「０」とし、比較チェックエラーを注入すると
きには、errsel1,errsel0を「０」、「１」とし、パリ
ティエラーを注入するときには、errsel1,errsel0を
「１」、「０」とし、パリティ反転を注入するときに
は、errsel1,errsel0を「１」、「１」とすることによ
り、任意のエラー注入信号を生成すればよい。

【０１８２】図１７に、パリティエラー注入の実施例を
示す。

【０１８３】エラー注入選択回路４０２は、ＭＰＵから
の命令により、mpusel1,mpusel0,errsel1,errsel0にパ
リティエラー注入が指示されたときには、エラー注入信
号である、PTYERRA,PTYERRB,PTYERRCのいずれかをオン
状態にする。

【０１８４】ここで、PTYERRAは、ＭＰＵＡの系へのパ
リティエラーの注入を、PTYERRBは、ＭＰＵＢの系への
パリティエラーの注入を、PTYERRCは、ＭＰＵＣの系へ
のパリティエラーの注入を意味する信号である。

【０１８５】これらのエラー注入信号を、ＭＰＵＡの系
のパリティチェックの結果、ＭＰＵＢの系のパリティチ
ェックの結果、ＭＰＵＣの系のパリティチェックの結果
と、それぞれ論理和演算処理をすることによりパリティ
チェックの結果にかかわらず、任意にパリティエラーが
あったことを示す信号ＰＥＡ、ＰＥＢ、ＰＥＣのいずれ
をオン状態にすることができる。

【０１８６】さて、動作例を述べる。

【０１８７】例えば、ＭＰＵＡの系にパリティエラーを
注入するときには、ＭＰＵからの命令によりエラー注入
選択回路４０２のmpusel1,mpusel0に「０」、「１」、e
rrsel1,errsel0に「１」、「０」が入力され、ＭＰＵＡ
の系へのパリティエラーの注入信号であるPTYERRAがオ
ン状態になる。

【０１８８】そして、ＭＰＵＡの系のパリティチェック
の結果と、論理和演算処理を行っているため、パリティ
チェックの結果にかかわらず、パリティエラーがあった
ことを示す信号ＰＥＡがオン状態になる。

【０１８９】このように、任意かつ容易に、パリティエ
ラーを注入できるので、例えば図２に示すようなシステ
ムを構成したとき、パリティエラー発生の際、前述した
構成内容の変更の制御等が正確に行われているか否か
を、容易に試験することが可能になる。

【０１９０】図１８に、パリティ反転の実施例を示す。

【０１９１】エラー注入選択回路４０２は、ＭＰＵから
の命令により、mpusel1,mpusel0,errsel1,errsel0にパ
リティ反転が指示されたときには、パリティ反転信号で
ある、パリティ反転Ａ,パリティ反転Ｂ,パリティ反転Ｃ
のいずれかの信号をオン状態にする。

【０１９２】ここで、パリティ反転Ａは、ＭＰＵＡの系
のパリティの反転を、パリティ反転Ｂは、ＭＰＵＢの系
のパリティの反転を、パリティ反転Ｃは、ＭＰＵＣの系
のパリティの反転を意味する信号である。

【０１９３】これらのパリティ反転信号を、ＭＰＵＡの
系のパリティ、ＭＰＵＢの系のパリティ、ＭＰＵＣの系
のパリティと、それぞれ排他的論理和演算処理（ｅｘｃ
ｌｕｓｉｖｅｏｒ））を行うことにより生成されたパ
リティを、任意に反転させるため、ＭＰＵＡの系、ＭＰ
ＵＢの系、ＭＰＵＣの系のパリティ信号であるパリティ
Ａ、パリティＢ、パリティＣのいずれかを反転させるこ
とができる。

【０１９４】動作例を述べる。

【０１９５】例えば、ＭＰＵＣの系のパリティを反転す
るときには、ＭＰＵからの命令により、エラー注入選択
回路４０２のmpusel1,mpusel0に「１」、「１」、errse
l1,errsel0に「１」、「１」が入力され、ＭＰＵＣの系
のパリティ反転信号であるパリティ反転Ｃがオン状態に
なる。

【０１９６】そして、ＭＰＵＣの系で生成されたパリテ
ィとの排他的論理和演算処理を行っているため、生成さ
れたパリティにかかわらず、反転されたパリティＣが出
力される。

【０１９７】このように、容易に、パリティを反転でき
るので、反転されたパリティによりパリティチェックを
行なったところでパリティエラーが発生するため、例え
ば図２にようなシステムを構成したとき、パリティエラ
ーを正確に検出する試験や、パリティエラー発生の際、
前述した構成内容の変更の制御等が、正確に行なわれて
いるか否かの試験をすることが、容易になる。

【０１９８】図１９に、比較チェックエラー注入の実施
例を示す。

【０１９９】エラー注入選択回路４０２は、ＭＰＵから
の命令により、mpusel1,mpusel0,errsel1,errsel0に比
較チェックエラー注入が指示されたときには、比較チェ
ックエラー注入信号であるchkerrA,chkerrB,chkerrCの
いずれかをオン状態にする。

【０２００】ここで、chkerrAは、ＭＰＵＡの系の比較
チェックエラーの注入を、chkerrBは、ＭＰＵＢの系の
比較チェックエラーを、chkerrCは、ＭＰＵＣの系の比
較チェックエラーの注入を意味する信号である。

【０２０１】これらのエラー注入信号を、ＭＰＵＡの系
との比較チェック（ＣＨＡＢ、ＣＨＫＣＡ）の結果、Ｍ
ＰＵＢの系との比較チェック（ＣＨＡＢ、ＣＨＫＢＣ）
の結果、ＭＰＵＣの系との比較チェック（ＣＨＢＣ、Ｃ
ＨＫＣＡ）の結果と、それぞれ論理和演算処理を行うこ
とにより、比較チェックの結果にかかわらず、任意に比
較チェックエラーがあったことを示す信号（図示せ
ず）、ＡＢ０、ＡＢ１（ＭＰＵＡとＭＰＵＢでの比較チ
ェックエラー信号）、ＢＣ０、ＢＣ１（ＭＰＵＢとＭＰ
ＵＣでの比較チェックエラー信号）、ＣＡ０、ＣＡ１
（ＭＰＵＣとＭＰＵＡでの比較チェックエラー信号）の
いずれか２組をオン状態にすることができる。したがっ
て、この信号をもとに、エラーチェック回路２３４、２
３５、２３６では、任意のＭＰＵが異常状態である旨の
報告をする。

【０２０２】動作例を述べる。

【０２０３】例えば、ＭＰＵＢの系に比較チェックの結
果エラーを注入するときには、ＭＰＵからの命令により
エラー注入選択回路４０２のmpusel1,mpusel0に
「１」、「０」、errsel1,errsel0に「０」、「１」が
入力され、ＭＰＵＢの系への比較チェックの結果、エラ
ーの注入信号であるchkerrBをオン状態にする。

【０２０４】そして、ＭＰＵＢの系の出力の比較照合を
行なっているＣＨＫＡＢ２３ー１、２４ー１、ＣＨＫＢ
Ｃ２３ー３、２４ー４の結果と、論理和演算処理を行っ
ているため、ＣＨＫＡＢ２３ー１、２４ー１、ＣＨＫＢ
Ｃ２３ー３、２４ー４の結果にかかわらず、比較チェッ
クの際にエラーがあったことを示す信号（図示せず）、
ＡＢ０、ＡＢ１（ＭＰＵＡとＭＰＵＢでの比較チェック
エラー信号）、ＢＣ０、ＢＣ１（ＭＰＵＢとＭＰＵＣで
の比較チェックエラー信号）をオン状態にする。

【０２０５】したがって、エラーチェック２３４、２３
５、２３６では、図２３に示すような規則にもとづい
て、ＭＰＵＢの異常として報告する。

【０２０６】このように、容易に、比較チェックエラー
を注入できるので、図２に示すようなシステムを構成し
たとき、比較チェックエラー発生の際、前述した構成内
容の変更の制御等が正確に行われた否かを試験をするこ
とが容易になる。

【０２０７】図２０に、比較チェック停止回路を示す。

【０２０８】本異常判定回路においては、比較チェック
によって、ＭＰＵの正常、異常を判定しているため、動
作しているＭＰＵが３台以上の場合には、MPUの正常、
異常を判定でき、２台の場合は、比較チェックを行な
い、不一致が発生したことを報告するが、ＭＰＵの正
常、異常の判定はできない。

【０２０９】また、当然のことながら、動作しているＭ
ＰＵが１台のときには、ＭＰＵの正常、異常の判定は、
勿論のこと、比較チェックも行なえない。

【０２１０】従って、何らかの理由（試験等）により、
システム動作開始時に、最初からＭＰＵが１台のみで動
作するときは、ＭＰＵからの命令により、システム動作
開始時に最初からＭＰＵが１台のみで動作していること
を示す信号、one_mpuをオン状態にしたときや、異常判
定結果により、２台が異常と判定され、該２台が停止さ
せられ、動作するＭＰＵが１台のときには、比較チェッ
クを行なわないようにしたものである。

【０２１１】すなわち、比較チェック結果と、動作して
いるＭＰＵが１台であることを示す信号の論理和処理を
行うことにより、動作するＭＰＵが１台のときには、比
較チェック結果を無効にすることができる。

【０２１２】これにより、本異常判定回路が、誤りによ
って、動作可能なＭＰＵが１台のときに、異常と判定
し、ＭＰＵを停止させることがなくなることになる。

【０２１３】

【発明の効果】本発明によれば、第一に、プロセッサ異
常判定回路の比較チェック回路において異常が発生して
も、誤った判定結果を出力しないため高信頼性システム
を構成できる。また、データの型に合わせた比較チェッ
クを行なうので、無効ビットデータの比較チェックによ
る、誤った判定結果を出力することがない。

【０２１４】さらに、動作しているプロセッサが１台の
時には、比較チェックを行なわないので、誤った判定結
果を出力することがない効果がある。

【図面の簡単な説明】

【図１】本発明にかかるプロセッサ異常判定回路の構成
図の一例である。

【図２】本発明にかかるシステム構成の一例を示す図で
ある。

【図３】本発明にかかるＢＰＵの構成の一例を示す図で
ある。

【図４】ライトアクセスでの異常時のＢＰＵの構成を示
す図である。

【図５】リードアクセスでの異常時のＢＰＵの構成を示
す図である。

【図６】バスサイクル制御のフロー図である。

【図７】ＭＰＵ正常時のＢＰＵ内の信号の流れを示す図
である。

【図８】ＭＰＵ異常時のＢＰＵ内の信号の流れを示す図
である。

【図９】ＭＰＵ正常時のＢＰＵ内の信号の流れを示す図
である。

【図１０】アドレス信号常時のＢＰＵ内の信号の流れを
示す図である。

【図１１】データ信号正常時のＢＰＵ内の信号の流れを
示す図である。

【図１２】異常判定回路自体の故障判定のための装置構
成例を示す図である。

【図１３】データ信号のチェックの際のデータ選択のた
めの装置構成例を示す図である。

【図１４】データ信号比較チェックのためのデータの選
択を行う装置構成例である。

【図１５】パリティチェックのデータの選択を示す装置
の構成例の図である。

【図１６】異常判定回路におけるエラー注入回路の一構
成例を示す図である。

【図１７】パリティエラー注入回路の構成例を示す図で
ある。

【図１８】パリティ反転回路の構成例を示す図である。

【図１９】比較チェックエラー注入回路の構成例を示す
図である。

【図２０】比較チェック停止回路の構成例を示す図であ
る。

【図２１】異常状態と照合結果の関係を示した図であ
る。

【図２２】照合結果と判定結果の関係を示した図であ
る。

【図２３】異常状態、チェック結果、および判定結果の
関係を示した図である。

【図２４】判定結果と３ステートバッファの状態の関係
を示した図である。

【図２５】異常箇所と３ステートバッファの状態の関係
を示した図である。

【図２６】代表的ＭＰＵと命令を示す図である。

【符号の説明】

１−１…システムバス、１−２…システムバス、２−１
…ＢＰＵ、２−２…ＢＰＵ、２−３…ＢＰＵ、１０…パ
リティ生成／検査照合回路、１１…パリティ生成／検査
照合回路、１２…パリティ生成／検査照合回路、１３…
パリティ生成／検査照合回路、１４…パリティ生成／検
査照合回路、１５…パリティ生成／検査照合回路、２３
−１…チェック回路、２０−１…ＭＰＵＡ、２０−２…
ＭＰＵＢ、２０−３…ＭＰＵＣ、２３−２…チェック回
路、２３−３…チェック回路、２４−１…チェック回
路、２４−２…チェック回路、２４−３…チェック回
路、２６…３ステートバッファ、２７…３ステートバッ
ファ、２７−１…ＢＩＵ、２７−２…ＢＩＵ、２９…３
ステートバッファ、３０…パリティチェック回路、３１
…パリティチェック回路、２２０…キャッシュメモリ、
２２１…キャッシュメモリ、２３４…エラーチェック回
路、２３５…エラーチェック回路、２３６…エラーチェ
ック回路、４００…故障判定回路、４０１…チェックデ
ータ選択回路、４０２…エラー注入選択回路、４０３…
異常ＭＰＵ数判定回路

───────────────────────────────────────────────────── フロントページの続き (72)発明者福丸広昭茨城県日立市大みか町五丁目２番１号株式会社日立製作所大みか工場内

Claims

【特許請求の範囲】

【請求項１】同一の処理を行う第１、第２、第３のプロ
セッサユニットと、各々のプロセッサユニットの出力結
果の比較照合より、プロセッサユニットの正常、異常を
判定する判定回路と、正常と判定された第１、第３のプ
ロセッサユニットの出力をそれぞれ外部に出力し、か
つ、外部からの入力データを取り込むための第１および
第２のインタフェイスユニットと、各プロセッサユニッ
トから出力された情報を記憶する第１および第２のキャ
ッシュメモリと、第１、第２のプロセッサユニットと第
１のインタフェイスユニットと第１のキャッシュメモリ
との間に設けられた第１の内部バスと、第２、第３のプ
ロセッサユニットと第２のインタフェイスユニットと第
２のキャッシュメモリとの間に設けられた第２の内部バ
スと、第１の内部バスと第２の内部バスとの間に設けら
れたデータの開閉手段を有する連絡バスとを具備し、装
置内の故障部位を除いた残りの構成によって運転継続す
る機能を有するコンピュータシステムにおいて、前記判定回路は、２個のプロセッサユニットからの出力
の一致、不一致を検出する、第１から第６のチェック回
路を備え、それらを３個ずつ２重化構成し、かつ、第１
から第６のチェック回路の出力にもとづき、プロセッサ
ユニットの正常、異常を判定するエラーチェック回路を
備えることを特徴とするプロセッサ異常判定回路。
【請求項２】請求項１において、前記判定回路を構成す
る前記第１から第６のチェック回路は、予め記憶されて
いる、異常状態のプロセッサユニットを特定するデータ
を参照して、異常が発生したプロセッサユニットを特定
する機能を有することを特徴とするプロセッサ異常判定
回路。
【請求項３】請求項１において、前記判定回路は、前記
第１から第６のチェック回路において故障が発生した場
合、故障が発生した旨の情報を出力することを特徴とす
るプロセッサ異常判定回路。
【請求項４】請求項３において、前記故障が発生した旨
の情報は、フラグデータで構成されていることを特徴と
するプロセッサ異常判定回路。
【請求項５】請求項１において、前記判定回路は、プロ
セッサユニットからの出力データの比較チェックの際、
データを構成するビットのうちの予め定められたビット
ごとの比較チェックを行なう機能を有することを特徴と
するプロセッサ異常判定回路。
【請求項６】同一の演算を行うｎ個（ｎは、２以上の整
数）のプロセッサユニットと、各々のプロセッサユニッ
トの出力結果の比較照合より、プロセッサユニットの正
常、異常を判定する判定回路を有して構成されるコンピ
ュータシステムにおいて、前記判定回路は、２つのプロセッサの出力信号を比較照
合するチェック回路を多重化した構成にし、チェック回
路に故障が発生しても、プロセッサの正常、異常を判定
する機能を有することを特徴とするコンピュータシステ
ム。