JPH07105037A - プロセッシングボード及び計算機及び障害復旧方法 - Google Patents

Abstract

(57)【要約】 【目的】 計算機内の１つのモジュールに障害が発生し
ても、計算機として動作し続けるというフォールトトレ
ラント性を有しつつ、高い周波数で動作することを目的
とする。 【構成】 同一の命令を実行し、各々キャッシュメモリ
をもつ少なくとも３台のプロセッシングユニットと、該
プロセッシングユニットのうち１つを選択し、かつ外部
と入出力のインタフェースをとる多数決ユニットと、全
てのプロセッシングユニットと多数決ユニットを接続す
るプロセッサバスとを備えたプロセッシングボードをも
つ高信頼化計算機。また、上記プロセッシングユニット
と、システムバスと、システムバスに接続された主記憶
と、同じくシステムバスに接続された入出力バスアダプ
タと、各入出力バスアダプタに接続されるＩ／Ｏバス
と、各Ｉ／Ｏバスに接続されるＩ／Ｏ装置を備えた高信
頼化計算機。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、多重化による高信頼
化計算機において、障害発生時に、システムとして処理
を続行可能ならしめるフォールトトレラント計算機に関
するものである。なお、この発明に関係する特許出願と
して同一出願人による特願平５−１３０７２４号の「多
数決回路」がある。

【０００２】

【従来の技術】フォールトトレラント計算機の分野にお
いて、計算機の信頼性を高める方法として、故障率の高
いモジュールを多重化し、あるモジュールが故障しても
残りのモジュールで正しい動作を行う方式が一般的にと
られている。この、多重化の範囲はＣＰＵ、メモリ、バ
スなどであり、これらに種々のエラーチェック機能を付
加して、高信頼化を行っている。

【０００３】従来例として、例えば、図２７に示すよう
に特開昭５８−１３７０５４号に示す「高信頼性ディジ
タルデータプロセッサ」（ＵＳＰ Ｎｏ．４６５４８５
７に対応する日本出願）では、プロセッシングボード、
主記憶、入出力制御装置が、通称ペア＆スペアとよばれ
る二重化された２枚のボードで構成され（プロセッシン
グユニットとしては、全体で４個のプロセッサを必要と
する）、完全に同期動作を行う。各ボード内では、出力
段の比較照合を行い、一致しなければ、そのボードは故
障したものとみなし、外部バスへのアクセスをしない。
故障したボードの情報はスペア側に伝えられ、スペア側
のみでシステムは動作を実行し続けることができる。

【０００４】以下にこのシステムの構成上の特徴につい
て記述する。 （１）ペア＆スペア方式 ・各機能装置はバックアップ冗長パートナを持ってい
る。 ・各機能装置は自分自身での故障検出能力がある。 （２）バス構成 ・各機能装置は二重化バス（Ａ及びＢ）と、共通バス
（Ｘ）で接続される。 ・各機能装置は共通バス（Ｘ）から供給される同一のク
ロックで完全同期動作を行う。 ・各機能装置はパートナと一緒に二重化バスに同じ信号
を同時にドライブする。 （３）バス監視機構 ・記憶装置上で二重化バスの監視（データの比較及び、
パリティチェック）を行っている。 （４）電源 ・電源は二重化され、それぞれ別の経路で二重化された
ＣＰＵやメモリに供給される。 ・それぞれのＣＰＵ、メモリやＩＯＣは独立したＤＣ／
ＤＣコンパータを搭載している。 ・また電源検出回路及びクランプ回路を持っており、電
圧が規定値以下になるとそれぞれのバス出力を抑止す
る。

【０００５】図２８はこのシステムにおける障害回復処
理の流れを示す図である。ＳＴ９０１においては、正常
動作の場合を示している。即ち、各パートナどうしは完
全同期動作を行っている。その結果、二重化されたバス
には各パートナ双方からデータの入出力が行われる。次
に、ＳＴ９０２においては、各パートナの内部の二重化
モジュールが比較回路によて比較され、正常動作を行っ
ているかどうかがチェックされる。この正常動作のチェ
ックにより異常が発見された場合、ＳＴ９０３において
故障したパートナはバスへの出力を停止する。その結
果、ＳＴ９０４に示すように一方の正常に動作するパー
トナによる動作が継続される。次に、ＳＴ９０５におい
ては、故障したモジュールの交換が行われる。ＳＴ９０
６においては、正常動作を行っているモジュールから交
換された新しいモジュールへ状態コピーが行われ、その
後２つのパートナは完全同期動作する。即ち、ＳＴ９０
１の状態に戻る。

【０００６】また、図２９に示すように特開平２−２０
２６３６号に示す「フォールトトレラントが機能を備え
たコンピュータ」（ＵＳＰ Ｎｏ．５１９３１７５に対
応する日本出願）では、同一周波数だが位相が異なるク
ロックで各々動作する３つの独立したプロセッシングボ
ードで構成され、各プロセッシングボードは、プロセッ
サ、キャッシュメモリ、ローカルメモリから成る。各プ
ロセッシングボードは、グローバルメモリへのアクセス
時、及びサイクルカウンタと称するカウンタのオーバフ
ロー時に同期をとりながら動作する。

【０００７】次に、このシステムの構成上の特徴につい
て以下に説明する。 （１）ＴＭＲ（Ｔｒｉｐｌｅ Ｍｏｄｕｌａｒ Ｒｅｄ
ｕｎｄａｎｃｙ）方式 ・ＣＰＵ、キャッシュ、ローカルメモリを１枚のＣＰＵ
ボードにし、３枚のＣＰＵボードで１つのＢＰＵ（Ｂａ
ｓｉｃ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）を構成して
いる。 ・それぞれのＣＰＵボードは独立クロックで動作する。 （２）バス構成 ・ＣＰＵボードとグローバルメモリを接続するバスを備
えている。 ・グローバルメモリとＩＯプロセッサを接続する二重化
入出力バスを備えている。 （３）多数決回路 ・グローバルメモリボードの中に多数決回路があり、グ
ローバルメモリアクセス時にＣＰＵの動作がチェックさ
れる。 （４）同期化の方法が特徴的 ・ＣＰＵ、グローバルメモリは非同期（別々のクロック
を持つ）で動作する。 ・緩やかな同期方式を実現している。例えば、グローバ
ルメモリのアクセス時やサイクルカウンタのオーバフロ
ー時に進んでいるＣＰＵをストールさせる。

【０００８】図３０はこのシステムにおける障害回復処
理の流れを示す図である。ＳＴ９１１においては、３つ
のＣＰＵがそれぞれ別なプロセッシングボードでそれぞ
れローカルメモリを用いて動作する。それぞれのプロセ
ッシングボードは、同一周波数であるが位相が異なるク
ロックで各々動作し、緩やかな同期動作を行う。ＳＴ９
１２においては、これらＣＰＵが外部にあるグローバル
メモリへのアクセス時に多数決回路で故障しているプロ
セッシングボードが存在するかどうかを判定する。も
し、多数決回路により故障しているプロセッシングボー
ドが存在していることが判明した場合には、ＳＴ９１３
において故障したＣＰＵボードを切り離す。次に、ＳＴ
９１４において残りの２つのＣＰＵボードを用いて運転
を継続する。次に、ＳＴ９１５において故障を起こした
ＣＰＵボードを交換する。次に、ＳＴ９１６において正
常に動作しているＣＰＵにより自己のＣＰＵボードのロ
ーカルメモリにあるデータをグローバルメモリへコピー
する。さらに、ＳＴ９１７において全てのＣＰＵに対し
てソフトリセットをかけ、３つのＣＰＵの命令の同期化
を行う。このソフトリセットにより、全てのＣＰＵはグ
ローバルメモリから必要なデータをローカルメモリへコ
ピーする。そして、グローバルメモリから得た共通のデ
ータを用いて、３つのＣＰＵが処理を続行する。

【０００９】さらに、図３１に示すように特開平４−２
４１０３９号に示す「高信頼化コンピュータシステム」
及び特開平４−２４１０３８号に示す「高信頼化コンピ
ュータシステムの復旧方法」では、同一プロセッシング
ボードに３つのプロセッサを実装し、同一クロックで完
全同期して動作する。該プロセッサのうち、選択回路に
より選択された２つの出力をそれぞれ外部に出力する。
プロセッサからキャッシュメモリや外部へのアクセス経
路は、選択回路の判定結果に従って内部バスのゲートの
開閉することで決定される。

【００１０】次に、このシステムにおける構成上の特徴
について以下に記述する。 （１）ＴＰＲ方式 ・３つのＣＰＵと２つのキャッシュをＢＰＵと呼ぶ１つ
のボードに実装する。 ・真中のＣＰＵはチェッカ用として動作する。 ・多数決により正常な２ＣＰＵの出力を選択する。 （２）バス構成 ・ＣＰＵ、キャッシュ、入出力インタフェースを接続す
る内部バスを備えている。 ・ＢＰＵボード、主記憶、ＩＯＣを接続する二重化シス
テムバスを備えている。 （３）復旧方法が特徴 ・故障ＢＰＵの処理の引継ぎの為にマルチプロセッサ構
成が基本となっている。 ・復旧時にＢＰＵボード単位で交換し、ＣＰＵの組替え
による障害を排除する。

【００１１】次に、図３２はこのシステムにおける障害
の回復処理の流れを示す図である。ＳＴ９２１におい
て、３つのＣＰＵが一枚のボード上で完全同期動作をし
ている。このシステムにおいては、多数決回路が２つの
ＣＰＵの出力を選択し外部に出力する。次に、ＳＴ９２
２においては、多数決回路とパリティチェックに基づい
て、正常に動作しているＣＰＵの判定を行う。ＳＴ９２
２において故障したＣＰＵが存在することが判明した場
合には、ＳＴ９２３において故障を起こしたＣＰＵ及び
／あるいは故障を起こしたキャッシュを切り離す。ＳＴ
９２４においては、残りの構成を用いて運転を継続す
る。次に、ＳＴ９２５において、現在実行中のタスクを
主記憶に退避させる。さらに、ＳＴ９２６においては、
新しいＣＰＵボードを追加し、この新しいＣＰＵボード
により、ＳＴ９２５で主記憶に退避した実行中のタスク
の継続処理を行う。次に、ＳＴ９２７において故障を起
こしたＣＰＵボードの動作を停止させ取り外す。

【００１２】次に、図３３は前述した３つの従来例によ
るシステムの障害の復旧前と復旧後の状態を示す図であ
る。図において、Ａ，Ｂ，・・・，Ｆは、ＣＰＵを示し
ている。また、太い実線で示されたブロックはＣＰＵを
搭載したボードを示している。図３３（ａ）は第１番目
の従来例の場合を示しており、図３３（ｂ）は第２番目
の従来例を示しており、図３３（ｃ）は第３番目の従来
例の場合を示している。いずれの場合においてもＣＰＵ
Ａが故障した場合を示している。図３３（ａ）の場合
には、ＣＰＵＡを搭載したプロセッシングボードを取り
替えることにより、ＣＰＵ Ｅ，Ｆを搭載したプロセッ
シングボードを用いることになる。図３３（ｂ）の場合
には、ＣＰＵ Ａを搭載したボードの代わりにＣＰＵ
Ｄを搭載したボードが用いられる。図３３（ｃ）の場合
には、ＣＰＵ Ａを搭載したボードの代わりにＣＰＵ
Ｄ，Ｅ，Ｆを搭載した新しいプロセッシングボードが用
いられる。

【００１３】また、図３４に示すように特開昭５９−１
６０８９９号に示された「メモリバックアップシステ
ム」（ＵＳ Ｐａｔｅｎｔ Ａｐｐｌｉｃａｔｉｏｎ
Ｎｏ．２８２６２９に対応する日本出願）では、前記特
開昭５８−１３７０５４号と同様のプロセッシングボー
ド２台から構成され、ボードＰＥには２つのプロセッシ
ングユニットを備えており、同一のクロックに同期して
出力段の比較照合を行っている。比較結果が一致しなけ
れば、そのボードは故障とみなし、外部バスと隔離し
て、前回のキャッシュメモリのフラッシュポイントから
別のプロセッシングボードが処理を再実行する。

【００１４】以下にこのシステムの構成上の特徴を記述
する。 （１）ペア＆バックアップ方式 ・ＰＥは２ＣＰＵとキャッシュメモリで構成され、２つ
のインタフェース部をもつ。 ・それぞれのＣＰＵは同一クロックで同期動作を行い、
出力結果を比較している。 ・ＰＥは故障を検出すると停止する。 （２）チェックポイントセーブ ・各ＰＥは定期的（１００ｍＳ）にメモリの状態ブロッ
クを更新する。 ・各タスクはタスクの切り替わり時にＰＥ内部の全ての
状態を、メモリに退避している。 （３）メモリの状態 ・メモリバス及びメモリは二重化されており、それぞれ
エラー検出できるが、１つのトランザクションでは片側
のバスを使用し、片側のメモリのみアクセスする。 ・片側の書き込みが正常に終了するともう一方にも書き
込む。 ・従ってどちらか片方は常に正しい状態を保持してい
る。

【００１５】次に、図３５はこのシステムの障害回復処
理の流れを示す図である。ＳＴ９３１においては、２つ
のＣＰＵ（ＰＥ）が同期動作を行い、前述した用に定期
的にチェックポイントセーブを行っている。次に、ＳＴ
９３２において、比較結果が一致しないＰＥが存在した
場合には、そのＰＥの動作を停止させる。次に、ＳＴ９
３３において、正常に動作しているＰＥが故障起こして
動作を停止しているＰＥを発見する。ＳＴ９３４におい
ては、正常なＰＥは故障したＰＥがチェックポイントセ
ーブによりメモリに記憶した状態を取り出し、その状態
から再実行を行う。その後ＳＴ９３５においては、故障
を起こしたＣＰＵボードを交換する。

【００１６】

【発明が解決しようとする課題】従来の技術によると、
１つの箇所が故障しても、正常に動作を続けるフォール
トトレラント計算機を実現するために、さまざまな方式
が考えられているが、以下の問題点があった。

【００１７】上記従来例の特開昭５８−１３７０５４号
では、故障ＣＰＵの交換時に引継ぎ処理が不要である
（Ｓ／Ｗのインパクトがほとんど無い）という長所があ
る。一方、プロセッシングボードがペア＆スペアの２枚
で構成され（全体で４個のプロセッサが動作する）、完
全に同期動作を行うため、ボード間をクロックが渡り、
動作周波数を向上させることは困難であるという欠点が
ある。また、各プロセッシングボードに２個のＣＰＵが
必要であり、合計で４個のプロセッサが必要であるとい
う欠点がある。

【００１８】また、上記従来例の特開平２−２０２６３
６号では、同一周波数だが位相が異なるクロックで動作
する３つの独立したプロセッシングボードで構成され、
各ＣＰＵが疎同期で動作するため高速化に対応し易い。
また、ＣＰＵ単位で交換可能であるという長所がある。
一方、お互いにメモリアクセス時に同期をとる必要があ
り、ロジックが複雑になり、メモリアクセスにオーバヘ
ッドがかかってしまうという欠点がある。また、これを
防ぐために各ＣＰＵボードにローカルメモリを実装する
のでメモリの部品数が多くなる。また、グローバルメモ
リに多数決回路が入っており、ＣＰＵと密接に接続され
ているため、グローバルメモリを増設することができな
い。また、ＣＰＵのＨ／Ｗ量が多いため故障ＣＰＵの復
帰に時間がかかる。さらに、マルチプロセッサ構成を実
現することができない（キャッシュのコヒーレンシが取
れない）という欠点がある。

【００１９】さらに、上記従来例の特開平４−２４１０
３９号では、キャッシュメモリが２つでよいという長所
がある。一方、同一プロセッシングボードに３つのプロ
セッサを実装し、同一クロックで完全同期して動作する
が、キャッシュメモリが２つしかないため、キャッシュ
メモリの２ビット以上のエラーが発生するとシステムの
誤動作につながるという欠点がある。また、キャッシュ
メモリへのアクセスの際、多数決結果とバス切り替えの
オーバヘッドのため、ＣＰＵの動作速度を上げた場合、
キャッシュヒット時でもウェイト動作が必要となるとい
う欠点がある。チェッカ用のＣＰＵが故障した時動作は
続行可能だが、正常動作の保証は無い。

【００２０】また、上記従来例の特開昭５９−１６０８
９９号は、プロセッシングボードは独立クロックで動作
し、内部は２つのプロセッサで構成され、プロセッサ故
障時は、前回のキャッシュメモリのフラッシュタイミン
グで主記憶に格納された内容から別のプロセッシングボ
ードが処理を再実行するチェックポイント方式である。
この方式によれば、自己による故障検出能力があればよ
くＨ／Ｗは単純な構成でよい。一方、処理のオーバヘッ
ドがあるとともに、チェックポイントまで処理が後戻り
する欠点がある。また、Ｓ／Ｗ（特にＯＳの書換えが必
要）に負担が大きい。また、停止したＰＥを他のＰＥが
プログラムにより１００ｍＳ間隔で検出するので、リア
ルタイム処理には向かない。

【００２１】この発明は、上記のような問題点を解消す
るためになされたものであり、計算機内の１つのモジュ
ールに障害が発生しても、計算機として動作し続けると
いうフォールトトレラント性を有しつつ、高い周波数で
動作することを目的としており、さらに、プロセッシン
グユニット間の同期をとるための複雑なロジックを持た
ずにすむことを目的とし、さらに、キャッシュメモリを
含めたプロセッシングユニット全体の信頼性を向上させ
ることを目的とする。

【００２２】

【課題を解決するための手段】第１の発明に係るプロセ
ッシングボードは、同一の命令を実行し、各々プロセッ
サとキャッシュメモリとをもつＸ個（Ｘ≧３）以上のプ
ロセッシングユニットと、該プロセッシングユニットの
うち１つを選択し、かつ外部と入出力のインタフェース
をとる多数決ユニットと、プロセッシングユニットと多
数決ユニットを接続するプロセッサバスとを備えたこと
を特徴とする。

【００２３】第２の発明に係るプロセッシングボード
は、さらに、同一クロック信号を各プロセッシングユニ
ットに供給するクロックを備えたことを特徴とする。

【００２４】第３の発明に係るプロセッシングボード
は、多数決ユニットを二重化したことを特徴とする。

【００２５】また、上記多数決ユニットは、プロセッシ
ングユニットからの信号を比較して１つの信号を多数決
信号として選択する多数決回路と、多数決回路により選
択された多数決信号と外部とのインタフェース機能をも
つ機能回路を備えていることを特徴とする。

【００２６】また、上記多数決ユニットは、さらに、上
記機能回路が上記多数決回路から次の多数決信号を受け
付け可能な場合に、上記プロセッシングユニットに応答
信号を出力する凍結回路を備えていることを特徴とす
る。

【００２７】また、上記多数決回路は、Ｘ個（Ｘ≧３）
のプロセッシングユニットからそれぞれ出力されるｎビ
ット（ｎ≧１）の信号を入力信号として入力し、異なる
Ｙ個（Ｘ＞Ｙ≧２）のプロセッシングユニットを組み合
せ、各組み合せでそれぞれ入力信号を比較する比較手段
と、上記比較手段の比較結果に基づいて、上記Ｘ個のプ
ロセッシングユニットの信号の中から１個のプロセッシ
ングユニットの入力信号を選択して多数決信号として出
力する選択手段を備えたことを特徴とする。

【００２８】また、上記多数決回路は、さらに、上記比
較手段の比較結果に基づいて、上記Ｘ個のプロセッシン
グユニットの中に故障したプロセッシングユニットが存
在することを判別するエラー判別手段を備えたことを特
徴とする。

【００２９】また、上記比較手段は、Ｙ個のｎビットで
構成される入力信号の対応する各ビットの一致を判定す
ることにより、Ｙ個のプロセッシングユニットからの入
力信号の一致を示す比較結果を出力する複数の比較回路
を備えたことを特徴とする。

【００３０】また、上記凍結回路は、多数決回路による
プロセッシングユニットの信号の比較結果から故障のあ
るプロセッシングユニットを検出する障害検出回路と、
故障と判定されたプロセッシングユニットに対して応答
信号を返さないことにより、故障したプロセッシングユ
ニットの動作を一時的に凍結させる接続制御手段と、正
常なプロセッシングユニットに対して故障が発生したこ
とを伝える伝達手段を備えることを特徴とする。

【００３１】また、上記凍結回路は、各プロセッシング
ユニットの接続を指定する接続レジスタを有し、１つの
プロセッシングユニットを単独で動作させる隔離動作手
段を備えたことを特徴とする。

【００３２】また、上記故障したプロセッシングユニッ
トは、上記隔離動作手段により単独で操作しながら自己
診断を行いその自己診断結果を保存する診断手段と、正
常なプロセッシングユニットは、保存された自己診断を
解析する解析手段を備えたことを特徴とする。

【００３３】また、上記プロセッシングユニットは、上
記解析手段による解析結果に基づいて、故障したプロセ
ッシングユニットを正常なプロセッシングユニットに同
期させる同期手段をもつことを特徴とする。

【００３４】また、上記プロセッシングボードは、上記
隔離動作手段により、リセット時のプロセッシングユニ
ットの自己診断をプロセッシングユニットごとに実施す
るセルフテスト手段を備えたことを特徴とする。

【００３５】また、上記凍結回路は、上記診断手段によ
る故障したプロセッシングユニットの自己診断が一定時
間以内に終了しなかった場合、隔離動作手段による単独
動作をキャンセルすることにより故障したプロセッシン
グユニットの自己診断を終了させる診断監視手段を備え
たことを特徴とする。

【００３６】また、上記機能回路は、情報を記憶するメ
モリ空間を有する外部に接続された記憶部とのインタフ
ェースをとるとともに、上記診断手段が故障したプロセ
ッシングユニットの自己診断結果を記憶部へ書き込む場
合、書き込み先のメモリ空間を限定するチェック回路を
備えたことを特徴とする。

【００３７】また、上記凍結回路は、上記診断処理によ
る故障したプロセッシングユニットの自己診断処理を時
分割して動作させることにより、正常なプロセッシング
ユニットの動作を一定時間以上停止させない診断分割手
段を備えたことを特徴とする。

【００３８】第１７の発明に係る計算機は、上記プロセ
ッシングボードと、多数決ユニットに接続されるシステ
ムバスと、システムバスに接続される記憶部と、同じく
システムバスに接続される入出力バスアダプタと、入出
力バスアダプタに接続されるＩ／Ｏバスと、各Ｉ／Ｏバ
スに接続されるＩ／Ｏ装置を備えたことを特徴とする。

【００３９】第１８の発明に係るプロセッシングボード
は、さらに、多数決ユニットに接続され二重化されたシ
ステムバスと、各システムバスに接続される記憶部と、
同じく各システムバスに接続され外部と入出力のインタ
フェースをとるための二重化された入出力バスアダプタ
とを備えたことを特徴とする。

【００４０】第１９の発明に係る計算機は、上記第１８
の発明に係るプロセッシングボードと、入出力バスアダ
プタに接続されるＩ／Ｏバスと、Ｉ／Ｏバスに接続され
るＩ／Ｏ装置を備えたことを特徴とする。

【００４１】第２０の発明に係る障害復旧方法は、以下
の工程を有するものである。 （ａ）上記多数決ユニットによりプロセッシングユニッ
トの故障を検出し、故障したプロセッシングユニットの
動作を停止させる故障検出工程、（ｂ）故障したプロセ
ッシングユニットを単独で動作させ自己診断を行わせる
故障診断工程、（ｃ）故障診断工程による自己診断結果
に基づいて、上記故障したプロセッシングユニットを正
常なプロセッシングユニットに同期させて動作を再開さ
せる同期工程。

【００４２】また、上記プロセッシングボードは、プロ
セッシングユニットの接続を指定する制御レジスタを有
し、上記故障検出工程は上記制御レジスタに所定の値を
設定することにより、故障したプロセッシングユニット
の動作を停止させるレジスタ設定工程を有することを特
徴とする。

【００４３】また、上記プロセッシングボードは、プロ
セッシングユニットの接続を指定する制御レジスタを有
し、上記故障診断工程は上記制御レジスタに所定の値を
設定することにより、故障したプロセッシングユニット
を単独で動作させるレジスタ設定工程を有することを特
徴とする。

【００４４】また、上記プロセッシングボードは、プロ
セッシングユニットの接続を指定する制御レジスタを有
し、上記同期工程は上記制御レジスタに所定の値を設定
することにより、故障したプロセッシングユニットと正
常なプロセッシングユニットの同期をとるレジスタ設定
工程を有することを特徴とする。

【００４５】

【作用】この発明に係るプロセッシングユニットは、高
い周波数で動作させるために、複数のプロセッシングユ
ニットを１枚のプロセッシングボードに実装したもので
ある。また、キャシュメモリの内容を含めた動作結果の
多数決による比較照合を可能にし、計算機の信頼性を向
上させるものである。また、比較照合結果によるキャシ
ュメモリへのバス切り替えのオーバヘッドをなくし、高
い周波数で動作させるために、複数のプロセッシングユ
ニットごとにキャッシュメモリを持つものである。さら
に、同一のクロックでボード間をクロックが渡ることな
く、動作するものである。

【００４６】上記多数決ユニットは、多数決の結果不一
致を検出した場合、故障したプロセッシングユニットを
以後の多数決の対象から切り離すと同時に、対応するプ
ロセッシングユニットに応答信号を返さないことによ
り、故障したプロセッシングユニットの動作を一時的に
凍結させる。

【００４７】故障したプロセッシングユニットの障害原
因を知るために、また修理箇所の特定、あるいは再度同
期動作に復旧可能か否かを知るために、接続レジスタに
プロセッシングユニットの接続を指定することにより、
故障したプロセッシングユニットを隔離動作させる。

【００４８】故障したプロセッシングの処理が完了する
と、接続レジスタへの書き込み動作を行うことにより、
自動的に接続セーブフラグの状態に戻り、確実に正常な
プロセッシングユニットの動作状態に戻る。

【００４９】また、隔離動作を監視し、自動的に正常な
プロセッシングユニットの凍結状態を解除し、計算機全
体がロック状態になることを防止する。

【００５０】また、故障したプロセッシングユニット
が、隔離動作中にアクセスすることができるアドレス空
間を制限し、故障したプロセッシングユニットの誤動作
による正常なプロセッシングユニットの計算機資源（主
メモリなど）の破壊を防止する。

【００５１】また、故障したプロセッシングユニットの
動作を分割して一定間隔ごとに一定時間許可することに
より、故障したプロセッシングユニットの動作による、
正常なプロセッシングユニットの動作停止時間を、一定
時間以下に限定する。

【００５２】また、故障したプロセッシングユニットな
らびに正常なプロセッシングユニットを共に論理的に接
続し、しかも制御レジスタのセットを、故障したプロセ
ッシングユニットと正常なプロセッシングユニットの同
期処理の最後で、同一命令列を実行することにより、故
障したプロセッシングユニットを再同期させる。

【００５３】また、電源投入時の自己診断処理を隔離モ
ードで実行させることにより、電源投入時に計算機がハ
ングアップすることを防止する。

【００５４】以上のように、プロセッシングボード単体
を十分な信頼性を持たせ、これを既存のＩ／Ｏバスにそ
のまま挿入することで、Ｉ／Ｏを除いた部分を二重化す
ることができる。

【００５５】

【実施例】

実施例１． ［全体構成］図１は、本発明の第１実施例に係る高信頼
化計算機の全体構成を示すブロック図である。

【００５６】このブロック図において、プロセッシング
ボード１２５は、３個の同一のプロセッサ１０４を実装
している。３個のプロセッサ１０４は同一クロック１１
３で完全同期して動作する。３個のプロセッサ１０４と
３個のキャッシュメモリ１０７は、それぞれ専用バス１
１０で接続されている。プロセッサ１０４とキャッシュ
メモリ１０７と専用バス１１０の組み合せにより、各
々、プロセッシングユニット１−１（ＣＰＵ＃Ａ、また
はプロセッシングユニットＡと称する）、プロセッシン
グユニット１−２（ＣＰＵ＃Ｂ、またはプロセッシング
ユニットＢと称する）、プロセッシングユニット１−３
（ＣＰＵ＃Ｃ、またはプロセッシングユニットＣと称す
る）を構成する。各プロセッシングユニットは、プロセ
ッサバス１２１を介して、２重化された多数決ユニット
１３５と接続される。多数決ユニット１３５は、キャッ
シュメモリ１０７を含めたプロセッシングユニットから
の出力の多数決をとる。また、２重化されたシステムバ
ス１４１とのインタフェースを司り、プロセッシングユ
ニットに対する応答制御を行う。２つのシステムバス１
４１には、それぞれ主記憶装置１４３と入出力バスアダ
プタ１４５が接続されている。２つの入出力バスアダプ
タ１４５には、それぞれＩ／Ｏバス１４７が接続され、
各Ｉ／Ｏバス１４７にはＩ／Ｏ装置１４９が接続され
る。このようにこのシステムでは、２重化構成をとる。

【００５７】［書き込み動作］３個のプロセッシングユ
ニットは、主記憶装置への書き込み動作を行う時、多数
決ユニット１３５−１ないし１３５−２に対して書き込
み先のアドレスと書き込みデータを送出し、多数決ユニ
ット１３５−１ないし１３５−２で比較照合される。プ
ロセッシングユニット１−１ないし１−３のうち、多数
決ユニット１３５−１にて正しい動作であることが保証
された１つのプロセッシングユニットが選択される。こ
の選択されたプロセッシングユニットのアドレスとデー
タが、システムバス１４１−１を経由して、主記憶装置
１４３−１に出力される。同様に、プロセッシングユニ
ット１−１ないし１−３のうち、多数決ユニット１３５
−２にて正しい動作であることが保証された１つのプロ
セッシングユニットが選択される。この選択されたプロ
セッシングユニットのアドレスとデータが、システムバ
ス１４１−２を経由して、主記憶装置１４３−２に対し
て出力され、主記憶装置１４３−１と同一データが書き
込まれる。

【００５８】［読み込み動作］３個のプロセッシングユ
ニット１は、主記憶装置から読み込み動作を行う時、多
数決ユニット１３５−１ないし１３５−２に対して読み
込み先のアドレスを送出する。送出された読み込み先の
アドレスは、多数決ユニット１３５−１ないし１３５−
２で比較照合される。プロセッシングユニット１−１な
いし１−３のうち、多数決ユニット１３５−１にて正し
い動作であることが保証された１つのプロセッシングユ
ニットが選択される。この選択されたプロセッシングユ
ニットのアドレスが、システムバス１４１−１を経由し
て、主記憶装置１４３−１に送出され、主記憶装置１４
３−１の該当データが多数決ユニット１３５−１に返送
される。同様に、プロセッシングユニット１−１ないし
１−３のうち、多数決ユニット１３５−２にて正しい動
作であることが保証された１つのプロセッシングユニッ
トが選択される。この選択されたプロセッシングユニッ
トのアドレスが、システムバス１４１−２を経由して、
主記憶装置１４３−２に送出され、主記憶装置１４３−
２の該当データが多数決ユニット１３５−１に返送され
る。この時、多数決ユニット１３５−１及び１３５−２
のどちらがプロセッシングユニット１−１ないし１−３
に該当データを返送するかという選択は、電源投入時に
あらかじめどちらか一方に固定されているものとする。
その後選択されている多数決ユニットにて障害が発生し
た場合、他方の多数決ユニットが選択され、処理を継続
することができる。このように、２つの主記憶装置１４
３−１ないし１４３−２はともに同一データをそれぞれ
システムバス１４１−１ないし１４１−２経由で、２つ
の多数決ユニット１３５−１ないし１３５−２にそれぞ
れ返送し、選択されたどちらか一方の多数決ユニットか
らのデータが、プロセッサバス１２１を経て各プロセッ
シングユニットに読み込まれる。

【００５９】［通常動作］図２は、本発明の第１実施例
に係る高信頼化計算機において、多数決ユニットの内部
構成を示す図である。

【００６０】プロセッサバス１２１は、入力信号３１な
いし３３と出力信号１７１ないし１７３と応答信号１６
１ないし１６３等を転送する。入力信号３１ないし３３
は、プロセッシングユニットから多数決ユニット１３５
に送られる入力信号である。入力信号は、例えばアドレ
ス信号、データ信号、リードライト信号等から構成され
ている。出力信号１７１ないし１７３は、多数決ユニッ
ト１３５から、プロセッシングユニットに送られる出力
信号である。応答信号１６１ないし１６３は、多数決ユ
ニット１３５が処理を終了した時、プロセッシングユニ
ットに対して返す応答される信号である。

【００６１】３個のプロセッシングユニットからの入力
信号３１ないし３３は、多数決回路２にて比較照合され
る。多数決回路２にて正しい動作であることが保証され
た１つの入力信号が多数決信号７として選択される。多
数決信号７はシステムバスとのインタフェース機能をも
つ機能回路１４に送られる。機能回路１４は、多数決信
号７の情報をもとに、処理の内容を解読し、主記憶装置
１４３や、Ｉ／Ｏ装置１４９に対して書き込み動作また
は読み込み動作を行う。また、機能回路１４は、プロセ
ッシングユニットに対して、次の処理の受け付け可能な
状態になった時、内部応答信号２５４を凍結回路２０２
に送る。内部応答信号２５４を受信した凍結回路２０２
は、プロセッシングユニット１−１ないし１−３に対し
て、それぞれ応答信号１６１ないし１６３を送る。プロ
セッシングユニットは応答信号１６１ないし１６３の受
信により１つの処理を完結する。

【００６２】［多数決回路］図３は、本発明の第１実施
例に係る多数決回路の全体構成を示すブロック図であ
る。

【００６３】プロセッシングユニット１−１ないし１−
３から多数決回路２へ入力される入力信号３１ないし３
３は、比較回路４１ないし４３と選択手段６に供給され
る。選択回路６は比較回路４１ないし４３の比較結果信
号５１ないし５３により入力信号３１ないし３３のいず
れかを多数決信号７として選択する。さらにエラー判別
回路８は比較結果信号５１ないし５３を評価して故障を
検出する。

【００６４】図４は、図３中の比較回路４１の構成を示
す図である。図中入力信号３１−１ないし３１−ｎはプ
ロセッシングユニット１−１から多数決回路２へ入力さ
れる入力信号３１をビット対応に表現した信号である。
同様に入力信号３２−１ないし３２−ｎはプロセッシン
グユニット１−２から多数決回路２へ入力される入力信
号３２をビット対応に表現した信号である。反転型排他
的論理和回路（ＥＸＮＯＲ回路）４４−１ないし４４−
ｎはプロセッシングユニットの入力信号３１及び３２を
ビット単位で比較する。反転型排他的論理和回路（ＥＸ
ＮＯＲ回路）において、入力信号が一致すると出力は
“１”になる。また論理積回路（ＡＮＤ回路）４５はｎ
ビットの論理積をとる。論理積回路（ＡＮＤ回路）でｎ
ビットの全ての入力信号が“１”の時出力は“１”とな
る。この出力は比較結果信号５１として出力される。こ
のように比較回路４１はプロセッシングユニット１−１
からのｎビットの入力信号３１とプロセッシングユニッ
ト１−２からのｎビットの入力信号３２を比較し比較結
果信号５１を出力する。同様に比較回路４２はプロセッ
シングユニット１−２からのｎビットの入力信号３２と
プロセッシングユニット１−３のｎビットの入力信号３
３を比較し比較結果信号５２を出力する。比較回路４３
はプロセッシングユニット１−３からのｎビットの入力
信号３３とプロセッシングユニット１−１からのｎビッ
トの入力信号３１を比較し比較信号５３を出力する。

【００６５】図５は、図３中のエラー判別回路８の構成
を示す図である。３入力反転型論理和回路（ＮＯＲ回
路）８１は比較結果信号５１ないし５３が全て“０”の
時二重故障信号１０を“１”にして出力する。また３入
力論理積回路８２は比較結果信号５１ないし５３のいず
れかが“０”の時に“０”を出力する。さらに２入力Ｎ
ＯＲ回路８３は、二重故障信号１０が“０”でかつ３入
力ＡＮＤ回路８２の出力が“０”の時に、単一故障信号
９を“１”にして出力する。

【００６６】図６は、図３中の選択回路６の構成を示す
図である。２入力ＡＮＤ回路６１ないし６３の片方の入
力には３つのプロセッシングユニットからの出力がそれ
ぞれ入力され、もう一方の入力には比較結果信号５１な
いし５３が入力される。比較結果信号５１ないし５３が
“１”であれば対応するプロセッシングユニットの出力
信号が、３入力ＯＲ回路６４を介して多数決信号７とし
て出力される。

【００６７】図７は、図３の多数決回路における入力信
号と比較結果信号及び出力信号を表わすものである。こ
こでは、説明を簡単にするため、プロセッシングユニッ
トの出力信号が２ビット（ｎ＝２）で構成されている場
合を示している。ＡないしＣはそれぞれプロセッシング
ユニット１−１ないし１−３の出力信号すなわち多数決
回路２への入力信号３１ないし３３を示している。Ａ
Ｂ，ＢＣ，ＣＡは比較結果信号５１ないし５３を示して
いる。Ｖは多数決信号７を示している。ＥＳは単一故障
信号９を示している。ＥＭは二重故障信号１０を示して
いる。

【００６８】次に、以上のように構成された多数決回路
の動作について説明する。主に比較回路４１、選択回路
６、エラー判別回路８の動作について図７を参照しなが
ら、図４、図５、図６を用いて説明する。

【００６９】図７における第１列及び第２列は、３つの
プロセッシングユニットの出力が全て等しい場合であ
る。この場合、比較回路４１の内部にある２入力ＥＸＮ
ＯＲ回路４４−１ないし４４−ｎの出力は全て“１”に
なる。従ってＡＮＤ回路４５の出力信号すなわち比較結
果信号５１は“１”を出力する。同様に比較結果信号５
２及び比較結果信号５３も“１”を出力する。

【００７０】また、選択回路６に入力される比較結果信
号５１ないし５３は前述のように全て“１”であるか
ら、２入力ＡＮＤ回路６１−１ないし６１−ｎ，６２−
１ないし６２−ｎ，６３−１ないし６３−ｎは、入力信
号３１−１ないし３１−ｎ，３２−１ないし３２−ｎ，
３３−１ないし３３−ｎをそのまま出力信号として出力
する。これらの出力信号は３入力ＯＲ回路６４−１ない
し６４−ｎを介して多数決信号７−１ないし７−ｎとし
て出力される。

【００７１】また、エラー判別回路８において３入力Ｎ
ＯＲ回路８１の出力信号（すなわち二重故障信号１０）
は“０”になる。また、３入力ＡＮＤ回路８２の出力信
号は“１”になる。このため２入力ＮＯＲ回路８３の出
力信号（すなわち単一故障信号９）は“０”になる。

【００７２】次に、図７における第３列は、３つのプロ
セッシングユニットの出力の中で１つのプロセッシング
ユニット１−１の出力だけが異なる場合である。この場
合、比較回路４１の比較結果信号５１及び比較回路４３
の比較結果信号５３が“０”になる。比較回路４２の比
較結果信号５２は“１”になる。この時、選択回路６は
２入力ＡＮＤ回路６２−１ないし６２−ｎに入力されて
いる入力信号３２−１ないし３２−ｎをそのまま出力す
る。２入力ＡＮＤ回路６１及び６３からは常に“０”が
出力される。従って３入力ＯＲ回路６４−１ないし６４
−ｎの出力信号としては、入力信号３２−１ないし３２
−ｎがそのまま出力される。すなわち、プロセッシング
ユニット１−２の出力が多数決信号７−１ないし７−ｎ
として選択される。

【００７３】また、エラー判別回路８では３入力ＮＯＲ
回路８１の出力信号（すなわち二重故障信号１０）は
“０”になる。３入力ＡＮＤ回路８２の出力信号は
“０”になる。このため２入力ＮＯＲ回路８３の出力信
号（すなわち単一故障信号９）は“１”になる。

【００７４】なお、図７における第６列は３つのプロセ
ッシングユニットの出力の中で１つのプロセッシングユ
ニット１−３の出力だけが異なる場合である。この場合
は、プロセッシングユニット１−３の出力が多数決信号
７−１ないし７−ｎとして選択される。その他の点につ
いては、第３列の場合と同様である。

【００７５】次に、図７における第４列、５列及び７列
は、３つのプロセッシングユニットからの入力信号３１
ないし３３が全て異なる場合である。この場合、比較回
路４１ないし４３の比較結果信号は５１ないし５３が全
て“０”になる。この比較結果信号５１ないし５３は選
択回路６に入力される。比較結果信号５１ないし５３は
全て“０”であるから、２ＡＮＤ回路６１−１ないし６
１−ｎ，６２−１ないし６２−ｎ，６３−１ないし６３
−ｎは、入力信号３１−１ないし３１−ｎ，３２−１な
いし３２−ｎ，３３−１ないし３３−ｎの内容にかかわ
らず全て“０”を出力する。従って、３入力ＯＲ回路６
４−１ないし６４−ｎから出力される多数決信号７−１
ないし７−ｎは全て“０”として出力される。

【００７６】また、エラー判別回路８では３入力ＮＯＲ
回路８１の出力信号（すなわち二重故障信号１０）は
“１”になる。３入力ＡＮＤ回路８２の出力信号は
“０”になる。このため２入力ＮＯＲ回路８３の出力信
号（すなわち単一故障信号９）は“０”になる。

【００７７】このように、比較回路で３つのプロセッシ
ングユニット出力の中から２つずつのプロセッシングユ
ニットの組み合わせで比較し、その比較結果信号を選択
回路及びエラー判別回路に入力する。選択回路では比較
結果信号に従って出力すべきプロセッシングユニットの
信号を選択する。全てのプロセッシングユニットの出力
が異なる時、選択回路は信号を出力しない。エラー判別
回路では比較結果信号を解析し該プロセッシングユニッ
トの故障状況を出力することによりプロセッシングユニ
ット二重故障の検出ができる。

【００７８】従って、１つのプロセッシングユニットが
故障した場合は正しいプロセッシングユニットを特定し
てその出力を選択出力できる。また、複数のプロセッシ
ングユニットが故障した場合は二重故障として検出でき
る。なお、二重故障信号１０は図２に示す例においては
使用しないため、図２に示した多数決回路２からの出力
信号の中には記載していない。

【００７９】［障害検出／切り離し］多数決回路２に
て、誤動作していると判定されたプロセッシングユニッ
トは、一時的に処理が凍結される。凍結されたプロセッ
シングユニットシステム全体の処理の中で影響の無い時
に、故障原因を特定するための自己診断処理を実行す
る。自己診断の結果が良好であり復旧可能と考えられる
場合は、復帰のための処理を実行し再度３つのプロセッ
シングユニットによる同期動作が再開する。

【００８０】このようにして、１個のプロセッシングユ
ニットが誤動作しても、プロセッシングボード１２５と
しては正常動作が継続される。

【００８１】図２において、１つの入力信号が他の２つ
の入力信号と異なった時、多数決回路２により故障した
プロセッシングユニットを特定し、このプロセッシング
ユニットを以後の多数決の対象から切り離すと同時に、
凍結回路２０２は、故障したプロセッシングユニットへ
の応答信号を返さないことにより、故障したプロセッシ
ングユニットの動作を一時的に凍結させる。

【００８２】この時、多数決回路２は、単一故障が発生
したことを、単一故障信号９にて機能回路１４に伝え
る。

【００８３】図８に機能回路１４の内部構造を示す。機
能回路１４は割込制御回路１８０を備えている。割込制
御回路１８０は凍結回路２０２によって、故障している
と判定されたプロセッシングユニットが凍結されたこと
を他の正常動作を行っているプロセッシングユニットに
伝えるものである。割込制御回路１８０はドライブ回路
１８１を経由して、出力信号１７１ないし１７３に割込
情報を出力し、プロセッシングユニットに割り込みを発
生させる。このようにして、故障したプロセッシングユ
ニットが多数決回路から切り離され、凍結されたこと
を、正常動作を続行している他の２個のプロセッシング
ユニットに伝えることができる。

【００８４】また、機能回路１４は、アドレスラッチ回
路１２８とストローブ信号生成回路１８３を備えてい
る。アドレスラッチ回路１２８は、多数決信号７に含ま
れているアドレスをラッチする回路である。ストローブ
信号生成回路１８３は、凍結回路に設けられたフラグに
割り当てられたアドレスに対する書き込み指示が合った
場合に、制御書き込み信号２５６を生成する。即ち、ス
トローブ信号生成回路１８３は、アドレスラッチ回路１
２８がラッチしたアドレスが凍結回路２０２に存在する
フラグに割り当てられたアドレスであり、かつ、そのア
ドレスへの書き込み指示の場合に多数決信号７に含まれ
ているデータを用いて、フラグセットを指示するストロ
ーブ信号２５６を生成する。

【００８５】さらに、機能回路１４は、システムバス制
御回路１８４を備えている。システムバス１０４を備え
ている。システムバス制御回路１８４は、システムバス
１４１とのインタフェースを司るものである。システム
バス制御回路は、システムバス１４１を介して、主記憶
装置１４３あるいは入出力バスアダプタに対して、入出
力処理を実行することを指示する。そして、これら主記
憶装置１４３あるいは入出力バスアダプタ１４５からの
処理終了をシステムバス１４１を介して認識すると、内
部応答信号２５４を生成して凍結回路２０２に出力す
る。この内部応答信号２５４は、次の処理の受け付けが
可能な状態になったことを示す信号であり、凍結回路２
０２により応答信号として、各プロセッシングユニット
１−１ないし１−３に対して送られる。

【００８６】［切り離し／隔離動作］図９は、凍結回路
２０２の内部構造を示す図である。凍結回路２０２にお
いて、接続フラグ７０は論理的に、どのプロセッシング
ユニットが接続されているかを示す３ビットのフラグで
ある。接続フラグ７０の各ビットは、それぞれプロセッ
シングユニット１−１ないし１−３が多数決ユニット１
３５に論理的に接続されているか否かを示している。接
続フラグ７０−ｎ（ｎ＝１ないし３）は、それぞれプロ
セッシングユニット１−ｎ（ｎ＝１ないし３）に対応す
る接続フラグを示す。接続セーブフラグ２４０は、接続
フラグにデータが書き込まれるたびに、直前の接続フラ
グの内容を保持しておく３ビットのフラグである。接続
セーブフラグ２４０−ｎ（ｎ＝１ないし３）は、それぞ
れプロセッシングユニット１−ｎ（ｎ＝１ないし３）に
対応する接続フラグを示す。隔離フラグ２１３は、２つ
以上のプロセッシングユニットが同期して動作している
（同期モードと呼ぶ）のではなく、１つのプロセッシン
グユニットが単独で動作しているモード（隔離モードと
呼ぶ）であることを示す１ビットのフラグである。ＡＮ
Ｄ回路２５１は、図８におけるシステムバスとのインタ
フェースを司るシステムバス制御回路１８４から出力さ
れ、プロセッシングユニットに対して、次の処理の受け
付け可能な状態になったことを示す内部応答信号２５４
と、接続フラグ７０の出力とのＡＮＤ条件をとり、プロ
セッサバス１２１における３本の応答信号１６１ないし
１６３を出力する。各応答信号１６１ないし１６３は、
それぞれプロセッシングユニットＡ、プロセッシングユ
ニットＢ、及びプロセッシングユニットＣに出力され
る。データ信号２２０−ｎは、図８における多数決回路
２の出力である多数決信号７のうち、データを転送する
ために用いるデータ信号２２０を、ビット対応に表現し
た信号である。選択回路２５５は、接続セーブフラグ２
４０−ｎ（ｎ＝１ないし３）の出力と、データ信号２２
０−ｎ（ｎ＝１ないし３）のいずれかを隔離フラグ２１
３の出力により選択する。ＡＮＤ回路２５７は、隔離フ
ラグ２１３の出力とプロセッシングユニットからのデー
タ信号２２０−４とのＡＮＤ条件をとる。制御書き込み
信号２５６は、接続フラグ７０、接続セーブフラグ２４
０及び隔離フラグ２１３への書き込みを指示する。制御
書き込み信号は、図８におけるアドレスラッチ回路１８
２の出力であるアドレス情報をデコードして生成される
ストローブ信号である。リセット信号２５８は、電源投
入時など、システムリセットが発生した時出力される。
強制割込フラグ２１４は、プロセッシングユニット１−
１ないし１−３のそれぞれに対してマスク不可能な強制
割込を発生させるフラグである。強制割込フラグは機能
回路１４を経由して、各プロセッシングユニットそれぞ
れに対して強制割込を発生させる強制割込信号２２１を
出力する。強制割込信号２２１−ｎ（ｎ＝１ないし３）
は、それぞれ割込を発生させる対象となるプロセッシン
グユニット１−ｎ（ｎ＝１ないし３）に対応する強制割
込信号を示す。障害検出回路２６０は、図３における多
数決回路２からの出力である比較結果信号５１ないし５
３を入力とし、プロセッシングユニットＡに対するエラ
ー検出信号（ＥＡ＊：負論理）２６１、プロセッシング
ユニットＢに対するエラー検出信号（ＥＢ＊：負論理）
２６２、及びプロセッシングユニットＣに対するエラー
検出信号（ＥＣ＊：負論理）２６３を出力する。図１０
に、障害検出回路２６０の真理値表を示す。例えば、第
６列について説明すると、入力として、プロセッシング
ユニットＢとＣの比較結果のみが一致しているため、プ
ロセッシングユニットＡが故障していると考えられる。
よって、プロセッシングユニットＡに対するエラー検出
信号（ＥＡ＊）２６１のみが“０”（負論理）となり、
他のプロセッシングユニットＢに対するエラー検出信号
（ＥＢ＊）２６２、及びプロセッシングユニットＣに対
するエラー検出信号（ＥＣ＊）２６３はともに“１”
（負論理）となって出力される。

【００８７】以下、接続フラグ７０、隔離フラグ２１
３、及び強制割込発生フラグ２１４をまとめて、制御レ
ジスタ２７１と称する。この制御レジスタ２７１は、所
定のアドレスを有しているものとする。図１１は、凍結
回路２０２に関する、プロセッシングユニットからみた
７ビットの制御レジスタ２７１のビット割り付けを示
す。ビット１からビット３は、３ビットの接続フラグ７
０の各ビットに対応し、それぞれ、プロセッシングユニ
ット１−１ないし１−３を論理的接続状態にするときに
プロセッシングユニットが“１”を設定する。ビット４
は、１ビットの隔離フラグ２１３に対応し、あるプロセ
ッシングユニットを隔離状態で動作させる時にプロセッ
シングユニットが“１”を設定する。ビット５からビッ
ト７は、プロセッシングユニット１−１ないし１−３の
それぞれに対して、強制割込を発生させる時にプロセッ
シングユニットが“１”を設定する。

【００８８】プロセッシングユニットが制御レジスタ２
７１を設定する場合は、制御レジスタ２７１に割り当て
られた所定のアドレスに対して書き込み命令を発生させ
ることによって行う。プロセッシングユニットより出力
されたアドレスと、リード／ライト信号による書き込み
命令は図８に示すアドレスラッチ回路１８２及びストロ
ーブ信号生成回路１８３により、制御レジスタ２７１に
対する書き込み命令であることが判定される。ストロー
ブ信号生成回路１８３は、ストローブ信号２５６を制御
書き込み信号として発生させる。凍結回路２０２の接続
フラグ７０、隔離フラグ２１３及び強制割込フラグ２１
４は、このストローブ信号２５６に基づき、プロセッシ
ングユニットが出力したデータを制御レジスタ２７１に
設定する。なお、隔離フラグ２１３が“１”にセットさ
れている状態で、制御レジスタ２７１に書き込みを行う
と、接続フラグ７０は接続セーブフラグ２４０の内容に
セットされ、隔離フラグ２１３は“０”にリセットされ
る。

【００８９】図１２は、本発明の第１実施例に係る高信
頼化計算機の故障が発生したプロセッシングユニットの
復旧動作を示すフローチャートである。また、図１３
は、同じく復旧動作を示すタイミングチャートである。

【００９０】以下、３個のプロセッシングユニット１の
内、１個のプロセッシングユニット（仮にプロセッシン
グユニットＡとする）が故障した時の動作を説明する。
初期状態及び通常同期動作状態ではリセット信号２５８
により、接続フラグ７０、接続セーブフラグ２４０はと
もに“１１１”に、隔離フラグ２１３は“０”になって
いる（ＳＴ１、ＳＴ２）。

【００９１】まず、障害検出工程１００について説明す
る。障害が発生したプロセッシングユニットＡは、多数
決回路２で検出され、対応するエラー検出信号２６１が
出力される。これにより、３ビットの接続フラグ７０が
“０１１”となり、プロセッシングユニットＡに対する
応答信号１６１が多数決回路２から出力されなくなり、
プロセッシングユニットＡが凍結状態になる。

【００９２】いずれかのプロセッシングユニットが故障
したことは、前述の通り単一故障信号９により、図８に
示す機能回路１４における割込制御回路１８０に伝えら
れる。割込制御回路１８０は、正常動作しているプロセ
ッシングユニットＢ，Ｃに割込を発生させる。こうし
て、プロセッシングユニットＢ，Ｃはプロセッシングユ
ニットＡが故障したことを検知することができる（ＳＴ
７）。

【００９３】次に、故障診断工程２００について説明す
る。故障を検地したプロセッシングユニットＢ，Ｃは制
御レジスタを用いてプロセッシングユニットＡを単独動
作させる。即ち、プロセッシングユニットＢ，Ｃが制御
レジスタに“１００１１００”を書き込むことにより
（図１２、図１３、ＳＴ８）、プロセッシングユニット
Ｂ，Ｃは凍結状態になり、プロセッシングユニットＡは
凍結状態から解除され、隔離動作モードによる動作を開
始する。また、プロセッシングユニットＢ，Ｃが制御レ
ジスタに“１００１１００”を書き込む時、接続フラグ
７０の以前の設定値“０１１”が接続セーブフラグ２４
０にセーブされる。また、この時、プロセッシングユニ
ットＢ及びＣは、プロセッシングユニットＡに対する、
強制割込フラグ（ビット４）をセットする。このため最
高レベルの割込が発生し、プロセッシングユニットＡ
は、あらかじめ用意されたエラー解析及び自己診断用の
特別処理ルーチンを実行する（図１２、ＳＴ２）。プロ
セッシングユニットＡは、自らのエラー情報及び自己診
断結果を、図１４に示すように、プロセッシングユニッ
トＡ，Ｂ，Ｃごとにあらかじめ決められた主記憶装置１
４３の退避領域（Ａ）２９１に書きだす（２９２は、プ
ロセッシングユニットＢの退避領域（Ｂ）、２９３は、
プロセッシングユニットＣの退避領域（Ｃ）である）。
また、故障したプロセッシングユニットＡは、制御レジ
スタ２７１をセットする前にキャッシュメモリ１０７を
無効化（パージ）しておく。故障したプロセッシングユ
ニットＡによる主記憶装置１４３の書き込みが終了する
と、制御レジスタ２７１に書き込み処理を行う（図１
２、ＳＴ３）。前述したように、隔離フラグ２１３がセ
ットされている状態での制御レジスタ２７１への書き込
みは、書き込みデータによらず、接続フラグ７０には接
続セーブフラグ２４０にセットされていた情報“０１
１”が書き戻されるので、プロセッシングユニットＢ，
Ｃは再度動作を開始する。

【００９４】次に、同期工程３００について説明する。
再度動作を再開したプロセッシングユニットＢ，Ｃは、
プロセッシングユニット内の全レジスタの内容を、主記
憶装置１４３の予め決められたレジスタ退避領域２９４
に退避する（図１２、ＳＴ９）。次にプロセッシングユ
ニットＢ，Ｃは、障害の発生したプロセッシングユニッ
トＡが主記憶装置１４３に書き出した内容の解析を行
い、プロセッシングユニットＡの自己診断結果に基づ
き、プロセッシングユニットＡが復旧可能かどうかの判
断を行う（図１２、ＳＴ１０）。もし、自己診断結果が
良好であり、一時的な故障と判断すると、正常なプロセ
ッシングユニットＢ，Ｃは、キャッシュメモリ１０７の
フラッシュを行い（図１２、ＳＴ１１）、制御レジスタ
２７１に“１１１００００”をセットする（図１２、図
１３、ＳＴ１２）。次に、プロセッシングユニットＡ，
Ｂ，Ｃは、ＳＴ９においてレジスタ退避領域２９４に退
避しておいたプロセッシングユニットの全レジスタの内
容をリストアする。このようにして動作を再開したプロ
セッシングユニットＡは、正常動作を行っているプロセ
ッシングユニットＢ，Ｃと全レジスタ内容が同一となる
（図１２ＳＴ４、ＳＴ１３）。こうして、プロセッシン
グユニットＡ，Ｂ，Ｃは、障害発生の特別処理ルーチン
を終了する（図１２ＳＴ５、ＳＴ１４）。ところで、Ｓ
Ｔ３とＳＴ１２のライト命令、ＳＴ４とＳＴ１３のリス
トア命令、ＳＴ５とＳＴ１４のリターン命令は、それぞ
れ主記憶装置１４３上では、同一アドレスに格納されて
いる命令である。ＳＴ３とＳＴ１２のライト命令は、故
障したプロセッシングユニットＡと正常なプロセッシン
グユニットＢ，Ｃが別々のタイミングで実行する。故障
したプロセッシングユニットＡは、ＳＴ３の実行直後に
凍結される。凍結されたプロセッシングユニットＡは正
常なプロセッシングユニットＢ，ＣがＳＴ１２の命令を
実行した時点で凍結状態が解除される。それ以降は３個
のプロセッシングユニットＡ，Ｂ，Ｃが同じ命令列を同
じタイミングで同期して実行するようになる。もし、自
己診断の結果も不良であり、復旧不可能な故障と判断す
ると（ＳＴ１０）、制御レジスタ２７１のセットは行わ
ず、ＳＴ１３の命令実行にジャンプし、故障したプロセ
ッシングユニットＡを切り離したままで処理を続行する
ことになる。

【００９５】［電源投入時の自己診断］図１５は、電源
投入時における自己診断のシーケンスを示すフローチャ
ートである。電源投入時は、３個のプロセッシングユニ
ットによる同期動作をまず開始し、例えば、プロセッシ
ングユニットＡを隔離モードで動作させ、自己診断を実
行させる。プロセッシングユニットＡの自己診断が終了
すると、一旦３個のプロセッシングユニットの同期動作
に戻る。次にプロセッシングユニットＢを隔離モードの
動作で自己診断をさせるといったように、順次自己診断
を実施する。すべての自己診断が完了すると３個の自己
診断の結果を判定し、もしエラーを発生したプロセッシ
ングユニットがあれば、接続フラグ７０の対応するビッ
トを“０”にすることで切り離しを行う。上記の処理が
完了すると、３個のプロセッシングユニットによる同期
動作で、通常の処理を開始する。

【００９６】次に、図１６（ａ）、（ｂ）はこの実施例
における障害回復処理の流れを示す図である。ＳＴ８０
１において、３つのＣＰＵが完全に同期して動作してお
り、多数決回路は１つのＣＰＵの出力を選択し外部に出
力する。ＳＴ８０２においては、多数決回路により故障
したＣＰＵの検出が行われる。次に、ＳＴ８０３におい
ては、補償したＣＰＵを一時的に切り離す。ＳＴ８０４
においては、正常なＣＰＵにより処理が継続される。Ｓ
Ｔ８０５においては、隔離動作により故障したＣＰＵの
自己診断を行う。ＳＴ８０６においては、正常なＣＰＵ
により診断の結果故障したＣＰＵが再び動作できると判
定した場合に再同期処理を行う。再同期処理により故障
したＣＰＵが再び動作した場合には、ＳＴ８０１に戻り
３つのＣＰＵが完全に同期をとりながら動作する。ＳＴ
８０６において、再同期処理がとられなかった場合に
は、ＳＴ８０７において新たなＣＰＵボードが追加さ
れ、そのＣＰＵボードが他の正常なＣＰＵボードと同期
した処理ができるように内部状態がコピーされ、故障を
起こしたＣＰＵの処理を引き継ぐ。次に、ＳＴ８０８に
おいて故障したＣＰＵボードを取り外す。

【００９７】次に、この実施例の構成上の特徴を以下に
記述する。 （１）ＴＭＲ方式 ・ＣＰＵとキャッシュで構成されるＣＰＵモジュール３
個を、１ボードに実装している。 ・多数決により正常な１ＣＰＵの出力を選択する。 （２）バス構成 ・入出力バスアダプタによりシステムバスと既存のＩ／
Ｏバスを接続している。 ・ＣＰＵボード、主記憶装置、入出力バスアダプタを接
続する二重化システムバスを備えている。 （３）一時的故障の自動修復が特徴 ・キャッシュを含めたＣＰＵモジュールの一時的故障は
全てＨ／Ｗ交換無しに修復可能である。 ・主記憶装置のエラーも修復可能である。 （４）故障ＣＰＵボードの引継ぎ ・Ｓ／Ｗに全くインパクトを与えないでＨ／Ｗ、Ｆ／Ｗ
レベルで故障ＣＰＵボードの引継ぎを行う。

【００９８】この構成によれば、以下の利点である。 （１）キャッシュがＣＰＵに直接接続されるため性能向
上が容易である。 （２）キャッシュを含めた多数決が行えるので信頼性が
向上する。 （３）ＩＯＣは従来のものをそのまま使用することがで
きる。

【００９９】以上のように、この実施例は、同一プロセ
ッシングボードに実装された複数のプロセッサと、各プ
ロセッサごとに接続されるキャッシュメモリ（プロセッ
サとキャッシュメモリを合わせてプロセッシングユニッ
トと呼ぶ）と、各プロセッシングユニットの出力の多数
決を行う多数決ユニットと、多数決ユニットに接続され
るシステムバスと、システムバスに接続された主記憶装
置及び入出力バスアダプタと、入出力バスに接続された
Ｉ／Ｏバスと、Ｉ／Ｏバスに接続されたＩ／Ｏ装置とを
備えたものである。

【０１００】また、この実施例では、前記多数決ユニッ
トにおいて、多数決の結果、不一致を検出した場合、故
障したプロセッシングユニットを以後の多数決の対象か
ら切り離すと同時に、対応するプロセッシングユニット
の動作を凍結させる応答信号を備えたものである。

【０１０１】また、高い信頼性のあるプロセッシングボ
ードを得るために、二重化した多数決ユニットを備えた
ものである。

【０１０２】また、故障したプロセッシングユニットの
障害原因を知り、自己診断による修理箇所の特定、ある
いは再度同期動作に復旧可能か否かを知ることができる
ために、故障したプロセッシングユニットのみが動作す
る隔離モードを備えたものである。

【０１０３】また、故障したプロセッシングユニットの
処理が完了すると確実に正常なプロセッシングユニット
の動作状態に戻れるように、接続フラグを自動的に退避
する接続フラグを備えたものである。

【０１０４】また、故障したプロセッシングユニットを
再同期させるために、故障したプロセッシングユニット
ならびに正常なプロセッシングユニットを共に接続し、
しかも故障したプロセッシングユニットと正常なプロセ
ッシングユニットの同期処理の最後で、同一命令列を実
行するようにしたものである。

【０１０５】この実施例によれば、複数のプロセッシン
グユニットが同一のプロセッシングボード上にあるた
め、ボード間をクロックが渡ることがなく、動作周波数
を向上させることができる。

【０１０６】また、複数のプロセッシングユニットが同
一クロックで同期して動作するため、お互いにメモリア
クセス時に同期をとる必要がなく、ロジックが簡単にな
り、メモリアクセスにオーバヘッドがかからない。

【０１０７】また、複数のプロセッシングユニットごと
にキャッシュメモリを持つため、キャシュメモリの内容
を含めた動作結果の多数決による比較照合が可能とな
り、計算機の信頼性を向上させる。

【０１０８】また、複数のプロセッシングユニットごと
にキャッシュメモリを持つため、キャッシュメモリの内
容を含めた動作結果の比較照合が可能となり、計算機の
信頼性を向上させる。

【０１０９】また、複数のプロセッシングユニットごと
にキャッシュメモリを持ち、その出力にて複数プロセッ
シングユニットの比較照合を行うため、比較照合結果に
よるキャシュメモリへのバス切り替えのオーバヘッドが
なく、高速動作の実現が可能となる。

【０１１０】また、多数決ユニットを二重化することに
より、高い信頼性のあるプロセッシングボードを得るこ
とができる。

【０１１１】また、故障したプロセッシングユニットに
対して応答信号を返さないことで故障したプロセッシン
グユニットの動作を凍結することにより、故障したプロ
セッシングユニットが勝手な動作を行い、プロセッシン
グボード及び計算機の内部レジスタなどを破壊すること
を防止する。

【０１１２】また、故障したプロセッシングユニットに
対して応答信号を返さないことで故障したプロセッシン
グユニットの動作を凍結することにより、故障したプロ
セッシングユニットの障害発生時の状態を可能な限り破
壊せず、その後の故障原因の解析を容易にする。

【０１１３】また、正常なプロセッシングの判断で、故
障したプロセッシングユニットを隔離モードで動作させ
ることにより、故障したプロセッシングユニットの障害
原因を知ることができ、修理箇所の特定、あるいは再度
同期動作に復旧可能か否かを知ることができる。

【０１１４】また、故障したプロセッシングユニットか
ら接続フラグへの書き込みは、故障したプロセッシング
ユニットによって明示的に行うことができず、接続フラ
グへの書き込み動作のみで接続フラグの内容が自動的に
接続セーブフラグの内容に戻るようにするため、故障し
たプロセッシングの処理が完了すると確実に正常なプロ
セッシングユニットの動作状態に戻ることが出来る。

【０１１５】また、正常なプロセッシングユニットが故
障したプロセッシングユニットならびに正常なプロセッ
シングユニットをともに接続するように制御レジスタを
セットし、しかも制御レジスタのセットを、故障したプ
ロセッシングユニットと正常なプロセッシングユニット
の同期処理の最後で、同一命令列を実行することによ
り、故障したプロセッシングユニットを再同期させるこ
とが可能となる。

【０１１６】実施例２．図１７は、実施例１における図
９の凍結回路２０２の内部に、隔離監視タイマ２８０を
設けた凍結回路２０２ａを示す。この実施例では、故障
したプロセッシングユニットＡは、正常なプロセッシン
グユニットＢ，Ｃにより設定された時間内においてのみ
動作可能とする。そして、正常なプロセッシングユニッ
トＢ，Ｃが凍結状態でロックされるのを防ぐようにす
る。また、図１８は、実施例１における図８の機能回路
の割込制御回路の入力に隔離監視割込信号４２３を追加
した機能回路１４ａを示す。

【０１１７】故障したプロセッシングユニットＡを隔離
モードで動作させる時、マスク不可能な強制割込信号２
２１−１により、それまでプロセッシングユニットＡが
実行していたプログラムは強制的に中断させられ、エラ
ー解析ルーチンが実行されるので、ある程度はエラー発
生の状態から隔離されるが、故障の程度によっては、プ
ロセッシングユニットＡが正常なプロセッシングユニッ
トＢ，Ｃの凍結状態を解除して元の状態に戻すための制
御レジスタ２７１の書き込みができない可能性がある。

【０１１８】これを防止するために、隔離モード（隔離
フラグが“１”）になると、自動的に隔離監視タイマ２
８０が動作を開始する。隔離監視タイマ２８０はある一
定時間（Ｔ１）が経過すると、隔離監視タイマの出力で
ある隔離監視割込信号４２３を“１”にする。隔離監視
割込信号４２３が発生すると凍結回路は、接続フラグ７
０の内容を接続セーブフラグ２４０の内容に戻すととも
に、隔離モードをリセットする。故障したプロセッシン
グユニットＡは再び凍結状態になり、凍結状態であった
正常なプロセッシングユニットＢ，Ｃは動作を開始す
る。正常なプロセッシングユニットＢ，Ｃは、隔離監視
タイマの出力が“１”となったことを、図１８における
割込制御回路１８０ａからの割込により知ることができ
る。正常なプロセッシングユニットＢ，Ｃは、故障した
プロセッシングユニットＡが凍結解除が不可能なくらい
致命的な故障をおこしていると判断し、故障したプロセ
ッシングユニットＡを今後の動作に参加させない（完全
に切り離す）。

【０１１９】以上のようにこの実施例は、計算機全体が
ロック状態になることを防止するために、隔離監視タイ
マを設けたものである。また、電源投入時に計算機をハ
ングアップさせないために、隔離監視タイマを用いるこ
とができる。前述した隔離監視タイマを用いて電源投入
時の自己診断処理が正しく動作しない場合、計算機を元
の正常動作状態に戻すことができる。

【０１２０】この実施例によれば、正常なプロセッシン
グユニットを凍結した状態で、故障したプロセッシング
ユニットによる動作が完了しない場合でも、隔離監視タ
イマにより、自動的に正常なプロセッシングユニットの
凍結状態は解除されるため、計算機全体がロック状態に
なることを防止する。また、電源投入時の自己診断処理
が正しく動作しない場合、タイマ監視により元の正常動
作状態に戻るため、電源投入時に計算機がハングアップ
しない。

【０１２１】実施例３．実施例２において、故障したプ
ロセッシングユニットを隔離モードで動作させる時、タ
イムアウト機能により、自動的に元の状態に戻すことは
可能であるが、誤動作により正常なプロセッシングユニ
ットのアクセス対象である主記憶装置や外部の制御回路
のレジスタ内容などを破壊する可能性があった。図１９
は、図１８における機能回路において、書き込み許可開
始アドレスを格納する下限フェンスレジスタ３０１、書
き込み許可終了アドレスを格納する上限フェンスレジス
タ３０２を備え、下限フェンスレジスタ３０１と、上限
フェンスレジスタ３０２と、隔離フラグ２１３と、アド
レス信号３０３と、リード／ライト信号３０５の内容を
入力とし、主記憶装置のメモリアドレス空間及びＩ／Ｏ
装置のＩ／Ｏアドレス空間へのアクセスを許可するイネ
ーブル信号３０７を出力するチェック回路３０６とを追
加した機能回路１４ｂを示す。チェック回路３０６は、
隔離フラグ２１３の出力が“１”の状態では、主記憶装
置のメモリアドレス空間及びＩ／Ｏアドレス空間に対す
る書き込み（リード／ライト信号３０５がライトを示し
ている時）は、下限フェンスレジスタ３０１、上限フェ
ンスレジスタ３０２にて指定されるアドレス空間のみア
クセスを許可するようにハードウェアで制御するための
イネーブル信号３０７を出力する。なお、このチェック
回路３０６は、隔離モードから凍結状態に戻るための制
御レジスタ２７１（データの値は無視される）のアクセ
スを妨げない。また、書き込み許可範囲は、正常なプロ
セッシングユニットＢ，Ｃが通常の動作では使用しない
領域を設定する。なお、読み出しに関しては、全ての空
間にたいしてアクセス可能とする。

【０１２２】以上のようにこの実施例は、故障したプロ
セッシングユニットの誤動作による正常なプロセッシン
グユニットからアクセス可能な主記憶装置などの内容の
破壊を防止するために、故障したプロセッシングユニッ
トが、隔離動作中にアクセスすることができるアドレス
空間を設定する下限フェンスレジスタ、及び上限フェン
スレジスタを備えたものである。

【０１２３】この実施例によれば、故障したプロセッシ
ングユニットが、隔離動作中にアクセスすることができ
るアドレス空間を、正常なプロセッシングユニットによ
りあらかじめ設定しておくことにより、故障したプロセ
ッシングユニットの誤動作による正常なプロセッシング
ユニットの計算機資源の破壊を防止することができる。

【０１２４】実施例４．実施例２において、故障したプ
ロセッシングユニットＡが、自らのエラーの情報及び自
己診断結果を主記憶装置１４３に書き出す処理に長い時
間を要する場合、正常なプロセッシングユニットＢ，Ｃ
が実行しているプログラムは、プロセッシングユニット
Ａが実行している間、停止することになる。そこで、正
常なプロセッシングユニットＢ，Ｃと、故障したプロセ
ッシングユニットＡを交互に動作させることにより、本
来のプログラムの実行停止時間を一定時間以下におさえ
ながら復旧処理を実行することが望ましい。

【０１２５】図２０は、図１７において、隔離モードの
実行時間を設定する隔離時間タイマ３８１（タイマ設定
値＝Ｔ２とする）と、隔離モードを実行する時間間隔を
設定する隔離間隔タイマ３８２（タイマ設定値＝Ｔ３と
する）と、障害の生じたプロセッシングユニットＡの主
記憶装置１４３への書き出しが終了したことを示す１ビ
ットの同期フラグ２１７とを追加した凍結回路２０２ｂ
を示す。また、図２１は、実施例２における図１８の機
能回路の割込制御回路の入力に隔離時間割込信号４２１
及び隔離間隔割込信号４２２を追加した機能回路１４ｃ
を示す。タイマ設定時間が経過すると、隔離時間タイマ
３８１及び隔離間隔タイマ３８２は、それぞれ隔離時間
割込信号４２１、隔離間隔割込信号４２２を出力する。
隔離監視タイマ２８０は、図１６における隔離監視タイ
マと同一であり、タイマ設定値をＴ１とする。なお、タ
イマ設定値Ｔ１、Ｔ２、Ｔ３は、図２２に示すようにＴ
２＜Ｔ１＜Ｔ３の関係になるようにプロセッシングユニ
ットより設定する。

【０１２６】この実施例では、図２２（ａ）に示すよう
に隔離間隔タイマ３８２に設定されたタイマ設定値Ｔ３
毎に隔離モードを実行する。この隔離モードの実行時間
は、隔離時間タイマ３８１に設定されたタイマ設定値Ｔ
２の期間である。もし故障したプロセッサが正常に動作
する場合には、このタイマ設定値Ｔ２の期間だけ隔離モ
ードを実行し、その後正常なプロセッシングユニットを
動作させる。このようにして、故障したプロセッシング
ユニットは、期間Ｔ３毎に隔離モードを期間Ｔ２ずつ実
行することになる。もし故障したプロセッシングユニッ
トが致命的なエラーを起こしており、正常なプロセッシ
ングユニットを動作させることができない場合には、期
間Ｔ２を経過してしまう。この場合には、隔離監視タイ
マ２０１に設定されたタイマ設定値Ｔ１が経過し、期間
Ｔ１の経過により隔離モードが強制終了させられ、正常
なプロセッシングユニットＢ，Ｃを再び動作させること
が可能になる。それぞれのタイマの起動／停止／設定時
間経過後の処置を、図２３に示す。同期フラグ２１７
は、障害の生じたプロセッシングユニットＡの主記憶装
置１４３への書き出しが終了したことを示す１ビットの
フラグである。同期フラグ２１７は、プロセッシングユ
ニットによりデータ信号２２０−８を経由してセットさ
れ、隔離フラグ２１３が“１”（隔離モード）の時でも
プロセッシングユニットから書き込みが可能である。図
２４に同期レジスタ２１７をビット８に追加した制御レ
ジスタ２７１ａのビットアサインを示す。

【０１２７】以下、動作について説明する。正常なプロ
セッシングユニットＢ，Ｃによる隔離フラグ２１３のセ
ットにより、故障したプロセッシングユニットＡによる
隔離モード動作が開始し、この時、隔離監視タイマ２８
０、隔離時間タイマ３８１、隔離間隔タイマ３８２の３
個のタイマが起動される。プロセッシングユニットＡに
よるエラー情報の主記憶装置１４３への書き出しが正常
に動作していると、隔離時間タイマ３８１の設定時間Ｔ
２が経過し、隔離フラグ２１３がリセットされ（隔離監
視タイマ２８０は停止する）、凍結状態の正常なプロセ
ッシングユニットＢ，Ｃが動作を開始する。この時、障
害が発生したプロセッシングユニットＡのエラー情報が
すべて主記憶装置１４３に書き出されていないならば、
故障したプロセッシングユニットＡは同期フラグ２１７
をセットしない。凍結状態から動作を再開した正常なプ
ロセッシングユニットＢ，Ｃは、同期フラグ２１７の内
容がセットされていないことにより、故障したプロセッ
シングユニットＡの処理がすべて完了していないことを
知るとともに、通常のプログラム実行を行う。隔離間隔
タイマ３８２の設定時間Ｔ３が経過すると、正常なプロ
セッシングユニットＢ，Ｃに割込が発生する。正常なプ
ロセッシングユニットＢ，Ｃは再度隔離フラグ２１３を
セットして制御レジスタ２７１に書き込みを行い、自ら
は凍結状態になるとともに、障害を発生したプロセッシ
ングユニットＡはエラー情報の主記憶装置１４３への書
き出し動作を実行する。また、このとき隔離監視タイマ
２８０は動作を再開する。この動作を故障したプロセッ
シングユニットＡのエラー情報書き出しが終了するまで
繰り返す。もし、故障したプロセッシングユニットＡ
が、エラー情報の書き出しを完了した場合、制御レジス
タ２７１に書き込む時に、同期フラグ２１７を“１”に
セットする。このことにより、正常なプロセッシングユ
ニットＢ，Ｃは故障したプロセッシングユニットＡの主
記憶装置１４３への書き出し動作が完了したことを知
り、全レジスタを予め決められた主記憶装置１４３に退
避するといった復旧処理に移行する。以後の動作は、図
１２にて示した動作と同一である。

【０１２８】なお、図２２（ａ）に示したように、隔離
監視タイマ２８０は動作を停止再開することによりタイ
マ設定値Ｔ１までカウントするのではなく、図２２
（ｂ）に示すように、故障したプロセッシングユニット
Ａが動作するたびにリセットされて、新たにタイマ設定
値Ｔ１までカウントするようにしてもよい。この場合の
タイマ設定値Ｔ１は、タイマ設定値Ｔ２よりわずかに大
きな値であればよい。

【０１２９】以上のようにこの実施例は、正常なプロセ
ッシングユニットの動作停止時間を一定時間以下に限定
するために、故障したプロセッシングユニットの動作時
間を分割し１回の動作時間を限定する隔離間隔タイマ、
及び隔離時間タイマを備えたものである。

【０１３０】この実施例によれば、隔離間隔タイマの設
定値の時間間隔で、隔離時間タイマの設定値の時間の間
でしか隔離故障したプロセッシングユニットの動作時間
を許可しないことにより、故障したプロセッシングユニ
ットの動作による、正常なプロセッシングユニットの動
作停止時間を、一定時間以下に限定することができる。

【０１３１】実施例５．図２５は、実施例１における図
１の多数決を行う多数決ユニット１３５を一重化構成に
したもので、多数決ユニット１３５を簡略化することに
より低コストにて高い信頼性を得るようにしたものであ
る。

【０１３２】実施例６．図２６は、実施例１における図
１において、２つの入出力バスアダプタの接続先を１つ
のＩ／Ｏバス１４７とするために、入出力バスアダプタ
が同時にＩ／Ｏバスをアクセスしないようにした入出力
バスアダプタ１４５ａに変更したプロセッシングボード
１２５ｂを示す。図２６に示す１枚のプロセッシングボ
ード１２５ｂを、従来の計算機のＩ／Ｏバス１４７にそ
のまま接続可能にすることにより、従来の計算機を容易
にフォールトトレラント化することができる。

【０１３３】以上のようにこの実施例は、既存の計算機
のＩ／Ｏバスにそのまま挿入し、Ｉ／Ｏを除いた部分を
二重化するために、１枚のプロセッシングボード上に、
上記プロセッシングユニットと、該プロセッシングユニ
ットのうち１つを選択する多数決ユニットと、全てのプ
ロセッシングユニットと多数決ユニットを接続するプロ
セッサバスと、多数決ユニットに接続され二重化された
システムバスと、各システムバスに接続される主記憶装
置と、同じく各システムバスに接続され外部と入出力の
インタフェースをとるための二重化された入出力バスア
ダプタとを備えたものである。

【０１３４】また、上記の構成により、プロセッシング
ボード単体を十分な信頼性を持たせることができ、これ
を既存のＩ／Ｏバスにそのまま挿入することで、Ｉ／Ｏ
を除いた部分を二重化することができるという効果があ
る。

【０１３５】

【発明の効果】以上のようにこの発明によれば、キャッ
シュメモリを含めたプロセッシングユニット全体の信頼
性を向上させるとともに、高速動作が可能なシステムを
提供することができる。

【図面の簡単な説明】

【図１】本発明の実施例１の全体構成を示すブロック図
である。

【図２】本発明の実施例１の多数決ユニットを示すブロ
ック図である。

【図３】本発明の実施例１の多数決回路を示す図であ
る。

【図４】本発明の実施例１の多数決回路内にある比較回
路を示す図である。

【図５】本発明の実施例１の多数決回路内にあるエラー
判別回路を示す図である。

【図６】本発明の実施例１の多数決回路内にある選択回
路を示す図である。

【図７】本発明の実施例１の多数決回路の動作を示す図
である。

【図８】本発明の実施例１の機能回路を示す図である。

【図９】本発明の実施例１の凍結回路を示す図である。

【図１０】本発明の実施例１の障害検出回路の真理値表
を示す図である。

【図１１】本発明の実施例１の制御レジスタのビットア
サインを示す図である。

【図１２】本発明の実施例１の故障が発生したプロセッ
シングユニットの復旧動作を示すフローチャート図であ
る。

【図１３】本発明の実施例１の故障が発生したプロセッ
シングユニットの復旧動作を示すタイミングチャート図
である。

【図１４】本発明の実施例１の主記憶装置の退避領域を
示す図である。

【図１５】本発明の実施例１の電源投入時における自己
診断のシーケンスを示すフローチャート図である。

【図１６】本発明の実施例１の動作フローチャート図で
ある。

【図１７】本発明の実施例２の凍結回路を示すブロック
図である。

【図１８】本発明の実施例２の機能回路を示すブロック
図である。

【図１９】本発明の実施例３の機能回路を示すブロック
図である。

【図２０】本発明の実施例４の凍結回路を示すブロック
図である。

【図２１】本発明の実施例４の機能回路を示すブロック
図である。

【図２２】本発明の実施例４のタイマの関係図である。

【図２３】本発明の実施例４のタイマの起動／停止／設
定時間経過後の処置を示すブロック図である。

【図２４】本発明の実施例４の制御レジスタのビットア
サインを示す図である。

【図２５】本発明の実施例５の全体構成を示すブロック
図である。

【図２６】本発明の実施例６の全体構成を示すブロック
図である。

【図２７】従来の高信頼性ディジタルデータプロセッサ
のブロック図である。

【図２８】従来の障害回復動作を示すフローチャート図
である。

【図２９】従来のフォールトトレラントな機能を備えた
コンピュータを示すブロック図である。

【図３０】従来の障害回復動作を示すフローチャート図
である。

【図３１】従来の高信頼化コンピュータシステムを示す
ブロック図である。

【図３２】従来の障害回復動作を示すフローチャート図
である。

【図３３】従来の障害回復方式を示す図である。

【図３４】従来のメモリバックアップシステムを示すブ
ロック図である。

【図３５】従来の障害回復動作を示すフローチャート図
である。

【符号の説明】

１ プロセッシングユニット ２ 多数決回路 ７ 多数決信号 ９ 単一故障信号 １４ 機能回路 ７０ 接続フラグ １２５ プロセッシングボード １３５ 多数決ユニット １４１ システムバス １４３ 主記憶装置 １４５ 入出力バスアダプタ １４７ Ｉ／Ｏバス １４９ Ｉ／Ｏ装置 １６１ 応答信号（Ａ） １６２ 応答信号（Ｂ） １６３ 応答信号（Ｃ） ２０２ 凍結回路 ２１３ 隔離フラグ ２１４ 強制割込フラグ ２１７ 同期フラグ ２４０ 接続セーブフラグ ２７１ 制御レジスタ ２８０ 隔離監視タイマ ３０１ 下限フェンスレジスタ ３０２ 上限フェンスレジスタ ３８１ 隔離時間タイマ ３８２ 隔離間隔タイマ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 大野 次彦 鎌倉市大船五丁目１番１号 三菱電機株式 会社情報システム研究所内 (72)発明者 畑下 豊仁 鎌倉市大船五丁目１番１号 三菱電機株式 会社情報システム研究所内 (72)発明者 亀丸 敏久 鎌倉市上町屋325番地 三菱電機株式会社 コンピュータ製作所内 (72)発明者 金田 典久 鎌倉市上町屋325番地 三菱電機株式会社 コンピュータ製作所内 (72)発明者 加藤 守 鎌倉市上町屋325番地 三菱電機株式会社 コンピュータ製作所内

Claims (23)

【特許請求の範囲】
1. 【請求項１】 同一の命令を実行し、各々プロセッサと
   キャッシュメモリとをもつＸ個（Ｘ≧３）以上のプロセ
   ッシングユニットと、該プロセッシングユニットのうち
   １つを選択し、かつ外部と入出力のインタフェースをと
   る多数決ユニットと、プロセッシングユニットと多数決
   ユニットを接続するプロセッサバスとを備えたことを特
   徴とするプロセッシングボード。
2. 【請求項２】 上記プロセッシングボードは、さらに、
   同一クロック信号を各プロセッシングユニットに供給す
   るクロックを備えたことを特徴とする請求項１記載のプ
   ロセッシングボード。
3. 【請求項３】 上記プロセッシングボードにおいて、多
   数決ユニットを二重化したことを特徴とする請求項１記
   載のプロセッシングボード。
4. 【請求項４】 上記多数決ユニットは、プロセッシング
   ユニットからの信号を比較して１つの信号を多数決信号
   として選択する多数決回路と、多数決回路により選択さ
   れた多数決信号と外部とのインタフェース機能をもつ機
   能回路を備えていることを特徴とする請求項１記載のプ
   ロセッシングボード。
5. 【請求項５】 上記多数決ユニットは、さらに、上記機
   能回路が上記多数決回路から次の多数決信号を受け付け
   可能な場合に、上記プロセッシングユニットに応答信号
   を出力する凍結回路を備えていることを特徴とする請求
   項４記載のプロセッシングボード。
6. 【請求項６】 上記多数決回路は、Ｘ個（Ｘ≧３）のプ
   ロセッシングユニットからそれぞれ出力されるｎビット
   （ｎ≧１）の信号を入力信号として入力し、異なるＹ個
   （Ｘ＞Ｙ≧２）のプロセッシングユニットを組み合せ、
   各組み合せでそれぞれ入力信号を比較する比較手段と、
   上記比較手段の比較結果に基づいて、上記Ｘ個のプロセ
   ッシングユニットの信号の中から１個のプロセッシング
   ユニットの入力信号を選択して多数決信号として出力す
   る選択手段を備えたことを特徴とする請求項５記載のプ
   ロセッシングボード。
7. 【請求項７】 上記多数決回路は、さらに、上記比較手
   段の比較結果に基づいて、上記Ｘ個のプロセッシングユ
   ニットの中に故障したプロセッシングユニットが存在す
   ることを判別するエラー判別手段を備えたことを特徴と
   する請求項６記載のプロセッシングボード。
8. 【請求項８】 上記比較手段は、Ｙ個のｎビットで構成
   される入力信号の対応する各ビットの一致を判定するこ
   とにより、Ｙ個のプロセッシングユニットからの入力信
   号の一致を示す比較結果を出力する複数の比較回路を備
   えたことを特徴とする請求項６記載のプロセッシングボ
   ード。
9. 【請求項９】 上記凍結回路は、多数決回路によるプロ
   セッシングユニットの信号の比較結果から故障のあるプ
   ロセッシングユニットを検出する障害検出回路と、故障
   と判定されたプロセッシングユニットに対して応答信号
   を返さないことにより、故障したプロセッシングユニッ
   トの動作を一時的に凍結させる接続制御手段と、正常な
   プロセッシングユニットに対して故障が発生したことを
   伝える伝達手段を備えることを特徴とする請求項５記載
   のプロセッシングボード。
10. 【請求項１０】 上記凍結回路は、各プロセッシングユ
    ニットの接続を指定する接続レジスタを有し、１つのプ
    ロセッシングユニットを単独で動作させる隔離動作手段
    を備えたことを特徴とする請求項９記載のプロセッシン
    グボード。
11. 【請求項１１】 上記故障したプロセッシングユニット
    は、上記隔離動作手段により単独で操作しながら自己診
    断を行いその自己診断結果を保存する診断手段と、正常
    なプロセッシングユニットは、保存された自己診断を解
    析する解析手段を備えたことを特徴とする請求項１０記
    載のプロセッシングボード。
12. 【請求項１２】 上記プロセッシングユニットは、上記
    解析手段による解析結果に基づいて、故障したプロセッ
    シングユニットを正常なプロセッシングユニットに同期
    させる同期手段をもつことを特徴とする請求項１１記載
    のプロセッシングボード。
13. 【請求項１３】 上記プロセッシングボードは、上記隔
    離動作手段により、リセット時のプロセッシングユニッ
    トの自己診断をプロセッシングユニットごとに実施する
    セルフテスト手段を備えたことを特徴とする請求項１０
    記載のプロセッシングボード。
14. 【請求項１４】 上記凍結回路は、上記診断手段による
    故障したプロセッシングユニットの自己診断が一定時間
    以内に終了しなかった場合、隔離動作手段による単独動
    作をキャンセルすることにより故障したプロセッシング
    ユニットの自己診断を終了させる診断監視手段を備えた
    ことを特徴とする請求項１１記載のプロセッシングボー
    ド。
15. 【請求項１５】 上記機能回路は、情報を記憶するメモ
    リ空間を有する外部に接続された記憶部とのインタフェ
    ースをとるとともに、上記診断手段が故障したプロセッ
    シングユニットの自己診断結果を記憶部へ書き込む場
    合、書き込み先のメモリ空間を限定するチェック回路を
    備えたことを特徴とする請求項１１記載のプロセッシン
    グボード。
16. 【請求項１６】 上記凍結回路は、上記診断処理による
    故障したプロセッシングユニットの自己診断処理を時分
    割して動作させることにより、正常なプロセッシングユ
    ニットの動作を一定時間以上停止させない診断分割手段
    を備えたことを特徴とする請求項１１記載のプロセッシ
    ングボード。
17. 【請求項１７】 請求項１〜１４又は１５記載のプロセ
    ッシングボードと、多数決ユニットに接続されるシステ
    ムバスと、システムバスに接続される記憶部と、同じく
    システムバスに接続される入出力バスアダプタと、入出
    力バスアダプタに接続されるＩ／Ｏバスと、各Ｉ／Ｏバ
    スに接続されるＩ／Ｏ装置を備えたことを特徴とする計
    算機。
18. 【請求項１８】 上記プロセッシングボードは、さら
    に、多数決ユニットに接続され二重化されたシステムバ
    スと、各システムバスに接続される記憶部と、同じく各
    システムバスに接続され外部と入出力のインタフェース
    をとるための二重化された入出力バスアダプタとを備え
    たことを特徴とする請求項１〜１４又は１５記載のプロ
    セッシングボード。
19. 【請求項１９】 請求項１８記載のプロセッシングボー
    ドと、入出力バスアダプタに接続されるＩ／Ｏバスと、
    Ｉ／Ｏバスに接続されるＩ／Ｏ装置を備えたことを特徴
    とする計算機。
20. 【請求項２０】 同一の命令を実行し、各々プロセッサ
    とキャッシュメモリとをもつＸ個（Ｘ≧３）以上ののプ
    ロセッシングユニットと、該プロセッシングユニットの
    うち１つを選択し、かつ外部と入出力のインタフェース
    をとる多数決ユニットとを有するプロセッシングボード
    の障害復旧方法において、以下の工程を有する障害復旧
    方法 （ａ）上記多数決ユニットによりプロセッシングユニッ
    トの故障を検出し、故障したプロセッシングユニットの
    動作を停止させる故障検出工程、（ｂ）故障したプロセ
    ッシングユニットを単独で動作させ自己診断を行わせる
    故障診断工程、（ｃ）故障診断工程による自己診断結果
    に基づいて、上記故障したプロセッシングユニットを正
    常なプロセッシングユニットに同期させて動作を再開さ
    せる同期工程。
21. 【請求項２１】 上記プロセッシングボードは、プロセ
    ッシングユニットの接続を指定する制御レジスタを有
    し、上記故障検出工程は上記制御レジスタに所定の値を
    設定することにより、故障したプロセッシングユニット
    の動作を停止させるレジスタ設定工程を有することを特
    徴とする請求項２０記載の障害復旧方法。
22. 【請求項２２】 上記プロセッシングボードは、プロセ
    ッシングユニットの接続を指定する制御レジスタを有
    し、上記故障診断工程は上記制御レジスタに所定の値を
    設定することにより、故障したプロセッシングユニット
    を単独で動作させるレジスタ設定工程を有することを特
    徴とする請求項２０記載の障害復旧方法。
23. 【請求項２３】 上記プロセッシングボードは、プロセ
    ッシングユニットの接続を指定する制御レジスタを有
    し、上記同期工程は上記制御レジスタに所定の値を設定
    することにより、故障したプロセッシングユニットと正
    常なプロセッシングユニットの同期をとるレジスタ設定
    工程を有することを特徴とする請求項２０記載の障害復
    旧方法。