JPH0695974A - メモリ保護方式 - Google Patents

Abstract

(57)【要約】 【目的】 二重化されたプロセッサの各々に付属した主
メモリのメモリ保護方式に関し、プロセッサ障害が発生
しても二重化プロセッサシステム全体としての再開処理
が迅速に行えるようにする。 【構成】 現用系及び予備系の主メモリに対して現用系
プロセッサがコピーモードで動作している時に、現用系
プロセッサからの書込を禁止すべき予備系主メモリ領域
への書込が発生した場合、この書込発生を検出して予備
系又は両方の系のプロセッサに障害発生を通知して再開
処理を実行する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明はメモリ保護方式に関し、
特に二重化されたプロセッサの各々に付属した主メモリ
の保護方式に関するものである。

【０００２】プロセッサの暴走障害等を救済するため、
現用系及び予備系の二重化されたプロセッサを用いるシ
ステムにおいては、現用系のプロセッサシステムから予
備系のプロセッサシステムに切り替えた時にすぐに動作
が出来るようにするため、常に現用系及び予備系の主メ
モリに同じデータを書き込む、いわゆるコピーモードが
実行されるが、このようなコピーモード動作中における
主メモリのデータ破壊を保護するためのメモリ保護方式
が必要になっている。

【０００３】

【従来の技術】図１１は従来よりよく用いられている二
重化構成されたプロセッサシステムを示しており、図
中、１は現用系のプロセッサ、２は予備系のプロセッサ
であり、それぞれファームウェアを内蔵している。

【０００４】この様なプロセッサ１，２はそれぞれバス
を介して主メモリ３，４並びにＩ／Ｏ装置５，６に接続
されており、Ｉ／Ｏ装置５，６はそれぞれ補助記憶装置
としてのドラム７，８に接続されている。尚、後述する
ようにこの現用系と予備系は、切替え可能になってい
る。また、現用系のバスのみが太線で示されている。

【０００５】図１２は図１１に示した様な従来例のプロ
セッサシステムの動作を説明するためのフローチャート
図であり、まず、初期立ち上げにおいては、現用系プ
ロセッサ１内のファームウェアによりコピーモードが設
定され、主メモリ３，４をクリアすると共に、Ｉ／Ｏ装
置５，６を介してドラム７，８に格納されたシステムプ
ログラムを主メモリ３，４にロードし、システムプログ
ラムへ移行させる。

【０００６】そして、このシステムプログラムにより現
用系プロセッサ１は、各種の初期設定を行うと共に目的
プログラム（オブジェクトプログラム）を起動する。

【０００７】次に通常運用状態においては、現用系プ
ロセッサ１がコピーモードにより現用系の主メモリ３に
データを書き込むと共に予備系の主メモリ４にもデータ
の書込を行う。

【０００８】この様なプロセッサから主メモリへの書込
においは特に主メモリ３，４におけるプログラム領域等
の所定の書込禁止領域Ｒに対しては書込を禁止する必要
があり、このため図１３に示すようにメモリ保護のため
メモリ保護キーが従来より用いられている。

【０００９】即ち、図１３において、現用系プロセッサ
１（又は予備系プロセッサ２）のプログラムカウンタＰ
Ｃ内にプロテクトキー（図１４参照）を設け、このプロ
テクトキーと共に主メモリ３，４における予め決められ
た各メモリ領域を指定するためのアドレス信号をプロセ
ッサ１から主メモリ３，４に与える。

【００１０】主メモリ３，４は、メモリキー回路１１と
キーマッチ回路１２とライト抑止回路１３とが設けられ
ており、アドレス信号を受けたメモリキー回路１１では
それに対応するメモリキーがプロテクトキーと共にキー
マッチ回路１２に出力される。このキーマッチ回路１２
では、プロテクトキーとメモリキーとを照合してキーマ
ッチ条件が成立しているかどうかを判定し、キーマッチ
条件が成立したときだけライト抑止回路１３を開き、プ
ロセッサ１からのライト信号を主メモリ３，４のメモリ
制御部（図示せず）へ与えて、そのアドレスに対応した
メモリ領域にデータの書込を行うように保護を行ってい
る。

【００１１】図１５は、キーマッチ回路１２の従来のキ
ーマッチ条件を示したもので、この条件においてＭはキ
ーマッチ条件が成立したことを示し、×印はキーマッチ
条件が不成立であり書込が出来ない状態となっているこ
とを示している。

【００１２】即ち、プロセッサ１より送出されるプロテ
クトキーと主メモリ３，４に保持されているメモリキー
とを照合して条件が成立した場合のみ主メモリ３，４へ
の書込を許可するものであり、図示のようにプロテクト
キーが「００」の時は優先度が最も高く、メモリキー
（即ち、アドレス信号）がどの様な場合であっても書込
を行うことを示しており、プロテクトキーが「１１」の
時にはメモリキーが「１１」の時のみ主メモリ３，４へ
の書込を行う最も優先度の低い成立条件となっている。

【００１３】

【発明が解決しようとする課題】この様な通常運用状態
のメモリコピーモードで動作中においては、現用系プ
ロセッサ１の障害により主メモリ３，４の内容を破壊す
ることがある。

【００１４】例えば、プロテクトキーが「０１」であ
り、本来アドレス信号がメモリキー「００」に対応して
おり、キーマッチ条件が不成立であるにも関わらず、ア
ドレス信号のエラーによりメモリキーが「０１」に化け
てしまった様な場合にはキーマッチ回路１２はキーマッ
チ条件不成立となり、ライト抑止回路１３を抑止しない
ため主メモリ３，４の書込禁止領域Ｒへの書込を行って
しまうことになる。

【００１５】このような書込禁止領域がデータ領域の場
合には、破壊したデータを破棄することで再開すること
が出来るが、プログラム領域の場合には次のような問題
が生ずる。

【００１６】即ち、図１２に戻って、通常運用状態で
あってもプログラム破壊領域を実行してしまうことにな
る。この結果、障害処理としては現用系プロセッサ１
においてプログラム暴走が発生し、そのウォッチドッグ
タイマがオバーフローすることによるＥＭＡ起動（これ
はハードウエアーのリセット処理に相当する）が実行さ
れ、プロセッサの切替を行い、目的プログラムの再起動
が行われる。

【００１７】そして、通常運用状態に移行すると、予
備系プロセッサ２は、やはり上記のプログラム破壊領域
を実行してしまうので、再び障害処理が必要となり、
プログラム暴走及びウォッチドッグタイマオーバーフロ
ーによるＥＭＡ起動が生じて再びプロセッサの切替が行
われ、この後、プロセッサ１も同様にしてＥＭＡ起動が
行われるため、また再びプロセッサの切替が行われてし
まう。

【００１８】この様にしてプロセッサの切替を行っても
プログラムが破壊されているため再開は不可能となり、
補助記憶装置７，８からのシステムプログラムを再ロー
ドして初期化を行い、目的プログラムの起動を行うとい
う再開処理が必要となり、通常運用状態に至るために
は長い処理中断時間が必要となってしまうという問題が
あった。

【００１９】従って本発明は二重化されたプロセッサの
各々に付属した主メモリのメモリ保護方式において、プ
ロセッサ障害が発生しても二重化プロセッサシステム全
体としての再開処理が迅速に行えるようにすることを目
的とする。

【００２０】

【課題を解決するための手段及び作用】上記の目的を達
成するため本発明に係るメモリ保護方式においては図１
(a) に原理的に示すように、主メモリ３，４に対して現
用系プロセッサ１がコピーモードで動作しているとき
に、主メモリ３，４には図示の様に書込禁止領域Ｒが含
まれているとする。

【００２１】そして、現用系プロセッサ１からこれらの
書込禁止領域３に書込が発生した場合、現用系の主メモ
リ３においては書込を許容してしまうことになるが、予
備系の主メモリ４においては、そのような他の系である
現用系プロセッサからの書込は禁止するものとし、且つ
この書込発生を検出し、このことを両方のプロセッサ
１，２に障害発生通知を行う。これによりプロセッサ
１，２が直ちに現用系と予備系との切替を行って再開処
理を実行することが出来る。

【００２２】従って、この様にして再開してプロセッサ
２が現用系となり、プロセッサ１が予備系となる図１
(b) に示されるような状態においては、現用系プロセッ
サ２はやはりメモリコピーモードで主メモリ４，３に対
して書込動作を行うが、この時には、主メモリ４の書込
禁止領域Ｒは破壊されていないので、正常な動作を再開
するまでの時間は短くて済むこととなる。

【００２３】また、上記の様に障害発生通知が予備系の
主メモリから両方のプロセッサに対してではなく予備系
のプロセッサに対してなされた場合には、現用系プロセ
ッサが予備系プロセッサからの正常確認通信要求に応答
して自己の正常性を確認出来た場合にはその現用系プロ
セッサが予備系の主メモリをコピーすることにより現用
系の主メモリの破壊領域の修復を行って通常処理を継続
し、確認出来なかった場合には直ちにプロセッサを切り
換えて再開処理を実行することも出来る。

【００２４】また、予備系プロセッサが現用系プロセッ
サからの正常確認通信を受信して現用系プロセッサの正
常性を確認出来た場合には、現用系プロセッサが予備系
の主メモリをコピーすることにより現用系の主メモリの
破壊領域の修復を行って通常処理を継続し、現用系プロ
セッサの正常性を確認出来なかった場合には直ちにプロ
セッサを切り替えて再開処理を実行することも可能であ
る。

【００２５】

【実施例】図２は、本発明に係るメモリ保護方式におけ
る主メモリの実施例を示したもので、この実施例と図１
３に示した従来例との差異は、現用系プロセッサ１から
与えられるアドレス信号に対応して出力されるメモリキ
ー（２ビット）に加えて他系書込禁止ビット（１ビッ
ト）がキーマッチ回路１２に入力信号として追加されて
いる点であり、この他系書込禁止ビットとしては予備系
プロセッサから与えられる現用／予備系指定信号が用い
られている。

【００２６】また、図３及び図４はそれぞれキーマッチ
回路１２のキーマッチ条件（その１）及び（その２）を
示したもので、この実施例では、メモリキーが「００」
であり且つ自分が予備系の主メモリである時（図３の場
合には他系書込禁止ビットが“１”の時；図４の場合に
は他系書込禁止ビットが“０”の時）には他の系からの
アクセスであるとして例え最も優先度の高いプロテクト
キー「００」が入力されたときでもキーマッチ条件不成
立として書込を禁止するようにしている。

【００２７】即ち、図１５の従来のキーマッチ条件で
は、メモリキーが「００」の時にはプロテクトキーが
「００」であれば現用系又は予備系に関わらずキーマッ
チ条件成立として書込を行うが、図３及び図４に示す実
施例の場合には、更に追加の他系書込禁止ビット（系指
定信号）をキーマッチ回路１２に与えることにより、他
系からの書込については禁止を行い、自系プロセッサか
らの書込のみ許可するようにしている。

【００２８】上記のようなキーマッチ条件を備えた二重
化プロセッサシステムの実施例が図５に示されており、
この図５の実施例の動作を図６のフローチャートを参照
して以下に説明する。

【００２９】まず、初期立ち上げは図１２に示した従
来例の動作と全く同様にして行われ、次の通常運用状態
において現用系プロセッサ１に障害が発生した場合
（ａ）には、現用系プロセッサ１は現用系主メモリ３に
対して書込禁止領域Ｒであっても異常データの書込を行
うが、予備系の主メモリ４においてはそのキーマッチ回
路１２が図３または図４に示す様な条件に従って書込禁
止領域Ｒへの書込を許可しないので、この予備系主メモ
リ４はプログラムの破壊から免れることが出来る。

【００３０】そしてこの時、予備系主メモリ４は他系書
込禁止キーの障害検出が行われたとして図５に示す様に
両方のプロセッサ１，２に対して障害発生通知（ｂ）を
与える。

【００３１】これにより両方のプロセッサ１，２に割込
が発生してＥＭＡ起動が行われ、プロセッサ１，２の切
替が行われると共に、目的プログラムの再起動が実行さ
れる。

【００３２】そして、今度は現用系となったプロセッサ
２が主メモリ４，３に対して通常運用状態を実行する
ので、プロセッサ２は障害箇所を保守・復旧させること
が出来る。

【００３３】図７は、図５に示した実施例（その１）の
変形例を示したもので、この図７の実施例の動作を図８
のフローチャートを参照して以下に説明すると、初期立
ち上げ及び通常運用状態は図５及び図６の実施例と
同様であるが、障害処理においては予備系の主メモリ
４は予備系プロセッサ２のみに対して割込（ｂ）を行
う。

【００３４】すると、この予備系プロセッサ２は現用系
プロセッサ１に対して正常性確認通信（ｃ）を行う。こ
れは、現用系プロセッサ１が正常であるか否かを予備系
プロセッサ２が確かめる動作である。

【００３５】現用系プロセッサ１の応答（ｄ）の結果、
現用系プロセッサ１が異常応答するか又は全く応答しな
い様な場合には、予備系プロセッサ２は現用系プロセッ
サ１に対してＥＭＡ起動を行い、且つ予備系プロセッサ
を現用系プロセッサに切り替えて目的プログラムの再起
動を実行する。

【００３６】また、現用系プロセッサ１から正常な応答
があった時には、予備系プロセッサ２は予備系主メモリ
４から現用系主メモリ３へ破壊領域Ｒのコピー（ｅ）を
実行させ、保守者への通知メッセージを送信する等の処
理を行って通常運用状態への移行する。

【００３７】図９は、更に別の実施例（その３）を示し
たものであり、この動作を図１０のフローチャートを参
照して説明すると、初期立ち上げ及び通常運用状態
は上記の場合と同様であるが、障害処理においては、
予備系主メモリ４は両方のプロセッサ１，２に対して割
込（ｂ）を与え、これにより予備系プロセッサ２は現用
系プロセッサ１からの通信待ち状態となる。

【００３８】その後、現用系プロセッサ１からの応答が
異常であったり全く応答が無いときには図８の実施例と
同様にＥＭＡ起動、プロセッサ起動、プロセッサ切替、
及び目的プログラムの再起動を実行し、現用系プロセッ
サ１の応答が正常であった時には、現用系プロセッサ１
から予備系プロセッサ２へ正常メッセージを送り、図８
と同様に予備系主メモリ４から現用系主メモリ３へ破壊
領域のコピー（ｅ）を実行すると共に保守者への通知メ
ッセージ送信を行って通常運用状態へ移行する。

【００３９】

【発明の効果】以上説明したように本発明に係るメモリ
保護方式によれば、現用系及び予備系の主メモリに対し
て現用系プロセッサがコピーモードで動作している時
に、現用系プロセッサからの書込を禁止すべき予備系主
メモリ領域への書込が発生した場合、この書込発生を検
出して予備系又は両方の系のプロセッサに障害発生を通
知して再開処理を実行する様に構成したので、少なくと
も予備系の主メモリのプログラム破壊を未然に防ぐこと
が出来、現用系のプロセッサの異常を迅速に検出すると
共に予備系プロセッサによる処理の再開までの時間を大
幅に短縮することが出来る。

【図面の簡単な説明】

【図１】本発明に係るメモリ保護方式を概念的に説明す
るためのブロック図である。

【図２】本発明に係るメモリ保護方式のメモリ保護キー
の構成例を説明するためのブロック図である。

【図３】本発明に係るメモリ保護方式におけるキーマッ
チ条件（その１）を示した図である。

【図４】本発明に係るメモリ保護方式におけるキーマッ
チ条件（その２）を示した図である。

【図５】本発明に係るメモリ保護方式の実施例（その
１）の構成を示したブロック図である。

【図６】本発明の実施例（その１）の動作を説明する為
のフローチャート図である。

【図７】本発明に係るメモリ保護方式の実施例（その
２）の構成を示したブッロク図である。

【図８】本発明の実施例（その２）の動作を説明する為
のフローチャート図である。

【図９】本発明に係るメモリ保護方式の実施例（その
３）の構成を示したブッロク図である。

【図１０】本発明の実施例（その３）の動作を説明する
為のフローチャート図である。

【図１１】従来例の構成を示したブロック図である。

【図１２】従来例の動作を説明するためのフローチャー
ト図である。

【図１３】従来のメモリ保護キーの構成例を示したブッ
ロク図である。

【図１４】プロセッサ内のプロテクトキーの構成例を示
した図である。

【図１５】従来のキーマッチ条件を示した図である。

【符号の説明】

１ 現用系プロセッサ ２ 予備系プロセッサ ３ 現用系主メモリ ４ 予備系主メモリ Ｒ 書込禁止領域 １１ メモリキー １２ キーマッチ回路 １３ ライト抑止回路 図中、同一符号は同一又は相当部分を示す。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 井木 洋三 神奈川県横浜市港北区新横浜３丁目９番18 号 富士通コミュニケーション・システム ズ株式会社内

Claims (3)

【特許請求の範囲】
1. 【請求項１】 二重化されたプロセッサ(1),(2) の各々
   に付属した主メモリ(3),(4) のメモリ保護方式におい
   て、 該主メモリ(3),(4) に対して現用系プロセッサ(1) がコ
   ピーモードで動作している時に、該現用系プロセッサ
   (1) からの書込を禁止すべき予備系主メモリ領域(R) へ
   の書込が発生した場合、該書込発生を検出して両系プロ
   セッサ(1),(2) に障害発生通知し、両系プロセッサ(1),
   (2) が直ちに現用系と予備系とを切り換えて再開処理を
   実行することを特徴としたメモリ保護方式。
2. 【請求項２】 該障害発生通知が両系プロセッサではな
   く予備系プロセッサに対してなされ、該現用系プロセッ
   サが該予備系プロセッサからの正常確認通信要求に応答
   して自己の正常性を確認出来た場合には該現用系プロセ
   ッサが予備系主メモリをコピーすることにより該現用系
   の主メモリの破壊領域の修復を行って通常処理を継続
   し、確認出来なかった場合には直ちにプロセッサを切り
   換えて再開処理を実行することを特徴とした請求項１に
   記載のメモリ保護方式。
3. 【請求項３】 予備系プロセッサが現用系プロセッサか
   らの正常確認通信を受信して該現用系プロセッサの正常
   性を確認出来た場合には、該現用系プロセッサが予備系
   主メモリをコピーすることにより該現用系の主メモリの
   破壊領域の修復を行って通常処理を継続し、該現用系プ
   ロセッサの正常性を確認出来なかった場合には直ちにプ
   ロセッサを切り換えて再開処理を実行することを特徴と
   した請求項１に記載のメモリ保護方式。