JPH07175765A - 計算機の障害回復方法 - Google Patents

Abstract

(57)【要約】 【目的】 プロセッシングボード故障時に、早期にシス
テムから故障を取り除き、二次故障の発生を最小限にと
どめ、システムとしての可用性を高める。 【構成】 システムバスと該システムバスに接続される
主記憶装置、およびシステムバスに接続されるプロセッ
シングボードを複数台備えられる高信頼化計算機におい
て、前記プロセッシングボード１２５（１），１２５
（２），・・・，１２５（ｎ＋１）は各々にキャッシュ
メモリをもつ少なくとも３台のプロセッシングユニット
により同一命令を実行しており、プロセッシングボード
１２５（１）のいずれかのプロセッシングユニットの故
障時には、残りのプロセッシングユニットでプロセス
ａ，ｄを継続実行し、他の複数台のプロセッシングボー
ド１２５（２），１２５（ｎ＋１）にプロセスｈ，ｉを
移行する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、多重化による高信頼
化計算機において、障害発生時に、システムとして処理
を続行可能ならしめるフォールトトレラント計算機に関
するものである。特にこの発明は、障害発生時のシステ
ムとして処理を続行可能ならしめるプロセッシングボー
ドの回復方法に関するものである。なお、この発明に関
係する特許出願として同一出願人による特願平５−１３
０７２４号の「多数決回路」がある。

【０００２】

【従来の技術】フォールトトレラント計算機の分野にお
いて、計算機の信頼性を高める方法として、故障率の高
いモジュールを多重化し、あるモジュールが故障しても
残りのモジュールで正しい動作を行う方式が一般的にと
られている。この、多重化の範囲はＣプロセッシングユ
ニット、メモリ、バスなどであり、これらに種々のエラ
ーチェック機能を付加して、高信頼化を行っている。

【０００３】従来例として、例えば、図４３に示すよう
に特開昭５８−１３７０５４号に示す「高信頼性ディジ
タルデータプロセッサ」（ＵＳＰ Ｎｏ．４６５４８５
７に対応する日本出願）では、プロセッシングボード、
主記憶、入出力制御装置が、通称ペア＆スペアとよばれ
る二重化された２枚のボードで構成され（プロセッシン
グユニットとしては、全体で４個のプロセッサを必要と
する）、完全に同期動作を行う。各ボード内では、出力
段の比較照合を行い、一致しなければ、そのボードは故
障したものとみなし、外部バスへのアクセスをしない。
故障したボードの情報はスペア側に伝えられ、スペア側
のみでシステムは動作を実行し続けることができる。

【０００４】以下にこのシステムの構成上の特徴につい
て記述する。 （１）ペア＆スペア方式 ・各機能装置はバックアップ冗長パートナを持ってい
る。 ・各機能装置は自分自身での故障検出能力がある。 （２）バス構成 ・各機能装置は二重化バス（Ａ及びＢ）と、共通バス
（Ｘ）で接続される。 ・各機能装置は共通バス（Ｘ）から供給される同一のク
ロックで完全同期動作を行う。 ・各機能装置はパートナと一緒に二重化バスに同じ信号
を同時にドライブする。 （３）バス監視機構 ・記憶装置上で二重化バスの監視（データの比較及び、
パリティチェック）を行っている。 （４）電源 ・電源は二重化され、それぞれ別の経路で二重化された
ＣＰＵやメモリに供給される。 ・それぞれのＣＰＵ、メモリやＩＯＣは独立したＤＣ／
ＤＣコンパータを搭載している。 ・また電源検出回路及びクランプ回路を持っており、電
圧が規定値以下になるとそれぞれのバス出力を抑止す
る。

【０００５】図４４はこのシステムにおける障害回復処
理の流れを示す図である。ＳＴ９０１においては、正常
動作の場合を示している。即ち、各パートナどうしは完
全同期動作を行っている。その結果、二重化されたバス
には各パートナ双方からデータの入出力が行われる。次
に、ＳＴ９０２においては、各パートナの内部の二重化
モジュールが比較回路によって比較され、正常動作を行
っているかどうかがチェックされる。この正常動作のチ
ェックにより異常が発見された場合、ＳＴ９０３におい
て故障したパートナはバスへの出力を停止する。その結
果、ＳＴ９０４に示すように一方の正常に動作するパー
トナによる動作が継続される。次に、ＳＴ９０５におい
ては、故障したモジュールの交換が行われる。ＳＴ９０
６においては、正常動作を行っているモジュールから交
換された新しいモジュールへ状態コピーが行われ、その
後２つのパートナは完全同期動作する。即ち、ＳＴ９０
１の状態に戻る。

【０００６】また、図４５に示すように特開平２−２０
２６３６号に示す「フォールトトレラントが機能を備え
たコンピュータ」（ＵＳＰ Ｎｏ．５１９３１７５に対
応する日本出願）では、同一周波数だが位相が異なるク
ロックで各々動作する３つの独立したプロセッシングボ
ードで構成され、各プロセッシングボードは、プロセッ
サ、キャッシュメモリ、ローカルメモリから成る。各プ
ロセッシングボードは、グローバルメモリへのアクセス
時、及びサイクルカウンタと称するカウンタのオーバフ
ロー時に同期をとりながら動作する。プロセッシングボ
ード故障時には、そのボードを外部バスと切り離し、残
りのプロセッシングボードで縮退運転する。

【０００７】次に、このシステムの構成上の特徴につい
て以下に説明する。 （１）ＴＭＲ（Ｔｒｉｐｌｅ Ｍｏｄｕｌａｒ Ｒｅｄ
ｕｎｄａｎｃｙ）方式 ・ＣＰＵ、キャッシュ、ローカルメモリを１枚のＣＰＵ
ボードにし、３枚のＣＰＵボードで１つのＢＰＵ（Ｂａ
ｓｉｃ ＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）を構成してい
る。 ・それぞれのＣＰＵボードは独立クロックで動作する。 （２）バス構成 ・ＣＰＵボードとグローバルメモリを接続するバスを備
えている。 ・グローバルメモリとＩＯプロセッサを接続する二重化
入出力バスを備えている。 （３）多数決回路 ・グローバルメモリボードの中に多数決回路があり、グ
ローバルメモリアクセス時にＣＰＵの動作がチェックさ
れる。 （４）同期化の方法が特徴的 ・ＣＰＵ、グローバルメモリは非同期（別々のクロック
を持つ）で動作する。 ・緩やかな同期方式を実現している。例えば、グローバ
ルメモリのアクセス時やサイクルカウンタのオーバフロ
ー時に進んでいるＣＰＵをストールさせる。

【０００８】図４６はこのシステムにおける障害回復処
理の流れを示す図である。ＳＴ９１１においては、３つ
のＣＰＵがそれぞれ別なプロセッシングボードでそれぞ
れローカルメモリを用いて動作する。それぞれのプロセ
ッシングボードは、同一周波数であるが位相が異なるク
ロックで各々動作し、緩やかな同期動作を行う。ＳＴ９
１２においては、これらＣＰＵが外部にあるグローバル
メモリへのアクセス時に多数決回路で故障しているプロ
セッシングボードが存在するかどうかを判定する。も
し、多数決回路により故障しているプロセッシングボー
ドが存在していることが判明した場合には、ＳＴ９１３
において故障したＣＰＵボードを切り離す。次に、ＳＴ
９１４において残りの２つのＣＰＵボードを用いて運転
を継続する。次に、ＳＴ９１５において故障を起こした
ＣＰＵボードを交換する。次に、ＳＴ９１６において正
常に動作しているＣＰＵにより自己のＣＰＵボードのロ
ーカルメモリにあるデータをグローバルメモリへコピー
する。更に、ＳＴ９１７において全てのＣＰＵに対して
ソフトリセットをかけ、３つのＣＰＵの命令の同期化を
行う。このソフトリセットにより、全てのＣＰＵはグロ
ーバルメモリから必要なデータをローカルメモリへコピ
ーする。そして、グローバルメモリから得た共通のデー
タを用いて、３つのＣＰＵが処理を続行する。

【０００９】更に、図４７に示すように特開平４−２４
１０３９号に示す「高信頼化コンピュータシステム」及
び特開平４−２４１０３８号に示す「高信頼化コンピュ
ータシステムの復旧方法」では、同一プロセッシングボ
ードに３つのプロセッサを実装し、同一クロックで完全
同期して動作する。該プロセッサのうち、選択回路によ
り選択された２つの出力をそれぞれ外部に出力する。プ
ロセッサからキャッシュメモリや外部へのアクセス経路
は、選択回路の判定結果に従って内部バスのゲートの開
閉することで決定される。プロセッシングボード故障時
には、残りの構成で動作を継続し、その後新たなる交換
ボードを挿入して処理を移行する。

【００１０】次に、このシステムにおける構成上の特徴
について以下に記述する。 （１）ＴＰＲ方式 ・３つのＣＰＵと２つのキャッシュをＢＰＵと呼ぶ１つ
のボードに実装する。 ・真中のＣＰＵはチェッカ用として動作する。 ・多数決により正常な２ＣＰＵの出力を選択する。 （２）バス構成 ・ＣＰＵ、キャッシュ、入出力インタフェースを接続す
る内部バスを備えている。 ・ＢＰＵボード、主記憶、ＩＯＣを接続する二重化シス
テムバスを備えている。 （３）復旧方法が特徴 ・故障ＢＰＵの処理の引継ぎの為にマルチプロセッサ構
成が基本となっている。 ・復旧時にＢＰＵボード単位で交換し、ＣＰＵの組替え
による障害を排除する。

【００１１】次に、図４８はこのシステムにおける障害
の回復処理の流れを示す図である。ＳＴ９２１におい
て、３つのＣＰＵが一枚のボード上で完全同期動作をし
ている。このシステムにおいては、多数決回路が２つの
ＣＰＵの出力を選択し外部に出力する。次に、ＳＴ９２
２においては、多数決回路とパリティチェックに基づい
て、正常に動作しているＣＰＵの判定を行う。ＳＴ９２
２において故障したＣＰＵが存在することが判明した場
合には、ＳＴ９２３において故障を起こしたＣＰＵ及び
／あるいは故障を起こしたキャッシュを切り離す。ＳＴ
９２４においては、残りの構成を用いて運転を継続す
る。次に、ＳＴ９２５において、現在実行中のタスクを
主記憶に退避させる。更に、ＳＴ９２６においては、新
しいＣＰＵボードを追加し、この新しいＣＰＵボードに
より、ＳＴ９２５で主記憶に退避した実行中のタスクの
継続処理を行う。次に、ＳＴ９２７において故障を起こ
したＣＰＵボードの動作を停止させ取り外す。

【００１２】次に、図４９は前述した３つの従来例によ
るシステムの障害の復旧前と復旧後の状態を示す図であ
る。図において、Ａ，Ｂ，・・・，Ｆは、ＣＰＵを示し
ている。また、太い実線で示されたブロックはＣＰＵを
搭載したボードを示している。図４９（ａ）は第１番目
の従来例の場合を示しており、図４９（ｂ）は第２番目
の従来例を示しており、図４９（ｃ）は第３番目の従来
例の場合を示している。いずれの場合においてもＣＰＵ
Ａが故障した場合を示している。図４９（ａ）の場合
には、ＣＰＵＡを搭載したプロセッシングボードを取り
替えることにより、ＣＰＵ Ｅ，Ｆを搭載したプロセッ
シングボードを用いることになる。図４９（ｂ）の場合
には、ＣＰＵ Ａを搭載したボードの代わりにＣＰＵ
Ｄを搭載したボードが用いられる。図４９（ｃ）の場合
には、ＣＰＵ Ａを搭載したボードの代わりにＣＰＵ
Ｄ，Ｅ，Ｆを搭載した新しいプロセッシングボードが用
いられる。

【００１３】また、図５０に示すように特開昭５９−１
６０８９９号に示された「メモリバックアップシステ
ム」（ＵＳ Ｐａｔｅｎｔ Ａｐｐｌｉｃａｔｉｏｎ
Ｎｏ．２８２６２９に対応する日本出願）では、前記特
開昭５８−１３７０５４号と同様のプロセッシングボー
ド２台から構成され、ボードＰＥには２つのプロセッシ
ングユニットを備えており、同一のクロックに同期して
出力段の比較照合を行っている。比較結果が一致しなけ
れば、そのボードは故障とみなし、外部バスと隔離し
て、前回のキャッシュメモリのフラッシュポイントから
別のプロセッシングボードが処理を再実行する。

【００１４】以下にこのシステムの構成上の特徴を記述
する。 （１）ペア＆バックアップ方式 ・ＰＥは２ＣＰＵとキャッシュメモリで構成され、２つ
のインタフェース部をもつ。 ・それぞれのＣＰＵは同一クロックで同期動作を行い、
出力結果を比較している。 ・ＰＥは故障を検出すると停止する。 （２）チェックポイントセーブ ・各ＰＥは定期的（１００ｍＳ）にメモリの状態ブロッ
クを更新する。 ・各タスクはタスクの切り替わり時にＰＥ内部の全ての
状態を、メモリに退避している。 （３）メモリの状態 ・メモリバス及びメモリは二重化されており、それぞれ
エラー検出できるが、１つのトランザクションでは片側
のバスを使用し、片側のメモリのみアクセスする。 ・片側の書き込みが正常に終了するともう一方にも書き
込む。 ・従ってどちらか片方は常に正しい状態を保持してい
る。

【００１５】次に、図５１はこのシステムの障害回復処
理の流れを示す図である。ＳＴ９３１においては、２つ
のＣＰＵ（ＰＥ）が同期動作を行い、前述した用に定期
的にチェックポイントセーブを行っている。次に、ＳＴ
９３２において、比較結果が一致しないＰＥが存在した
場合には、そのＰＥの動作を停止させる。次に、ＳＴ９
３３において、正常に動作しているＰＥが故障起こして
動作を停止しているＰＥを発見する。ＳＴ９３４におい
ては、正常なＰＥは故障したＰＥがチェックポイントセ
ーブによりメモリに記憶した状態を取り出し、その状態
から再実行を行う。その後ＳＴ９３５においては、故障
を起こしたＣＰＵボードを交換する。

【００１６】

【発明が解決しようとする課題】従来の技術によると、
１つの箇所が故障しても、正常に動作を続けるフォール
トトレラント計算機を実現するために、さまざまな方式
がなされているが、以下の問題点があった。

【００１７】上記従来例の特開昭５８−１３７０５４号
では、プロセッシングボードがペア＆スペアの２枚で構
成され（全体で４個のプロセッサが動作する）、ペアボ
ードの故障時には、スペアボードで縮退動作するが、そ
の後のペアボードと新たなボードとの交換時間がシステ
ムの可用性を低下させるものとなっていた。

【００１８】また、上記従来例の特開平２−２０２６３
６号では、３つの独立したプロセッシングボード（同一
周波数だが位相が異なるクロックで動作する）で構成さ
れ、いづれかのプロセッシングボード故障時には、残り
のボードで縮退動作するが、前述同様に、その後の新た
なるボードとの交換時間がシステムの可用性を低下させ
るものとなっていた。

【００１９】また、上記従来例の特開平４−２４１０３
８、特開平４−２４１０３９号では、同一プロセッシン
グボードに３つのプロセッサを実装し、同一クロックで
完全同期して動作するもので、プロセッシングボードの
一部故障時には、残りの構成により縮退動作するが、前
述同様に、その後の新たなるボードとの交換時間がシス
テムの可用性を低下させるものとなっていた。

【００２０】また、上記従来例の特開昭５９−１６０８
９９号では、プロセッシングボードは独立クロックで動
作し、内部は２つのプロセッサで構成され、プロセッサ
故障時は、前回のキャッシュメモリのフラッシュタイミ
ングで主記憶に格納された内容から別のプロセッシング
ボードが処理を再実行するチェックポイント方式で、処
理のオーバヘッドがあるとともに、チェックポイントま
で処理が後戻りする欠点がある。また、上記従来例で
は、プロセッシングユニットの故障時にも、ボード全体
を交換しなければならず、予備品として高価なボードを
準備する必要があった。

【００２１】この発明は、上記のような問題点を解消す
るためになされたもので、システムの可用性をより高め
るために、構成要素を多重化するだけでなく、故障から
回復までの時間を実質的により小さくすることが望まれ
ているが、特にプロセッシングボード故障時において、
できるだけ早期にシステムから故障を取り除き、二次故
障の発生を最小限にとどめ、システムとしての可用性を
高める回復方法を提供することを目的とする。

【００２２】また、プロセッシングユニットの故障時に
は、できるだけ保守費用を下げるために、ユニット単位
の交換もできる方法を提供することを目的とする。

【００２３】

【課題を解決するための手段】第１の発明は、同一命令
を実行する３台以上のプロセッシングユニットを有しオ
ペレーティングシステムによりスケジュールされた処理
を実行するプロセッシングボードを複数備えた計算機の
障害回復方法において、以下の工程を備えたことを特徴
とする。 （ａ）プロセッシングユニットの故障を検出し、故障し
たプロセッシングユニットの動作を停止させる故障検出
工程、（ｂ）故障したプロセッシングユニットを単独で
動作させ自己診断を行わせる故障診断工程、（ｃ）故障
診断工程による自己診断結果により、故障が一時的なも
のである場合、上記故障したプロセッシングユニットを
正常なプロセッシングユニットに同期させて動作を再開
させる同期工程、（ｄ）故障診断工程による自己診断結
果により、故障が固定的なものである場合、残りの正常
なプロセッシングユニットで処理を継続し、その後故障
したプロセッシングユニットを有するプロセッシングボ
ードの処理を他のプロセッシングボードに移行する故障
回避工程。

【００２４】第２の発明は、同一命令を実行する３台以
上のプロセッシングユニットを有しオペレーティングシ
ステムによりスケジュールされた処理を実行するプロセ
ッシングボードを複数備えた計算機の障害回復方法にお
いて、以下の工程を備えたことを特徴とする。 （ａ）いずれかのプロセッシングユニットの故障時に、
故障したプロセッシングユニットを有するプロセッシン
グボードの他の正常なプロセッシングユニットを用いて
命令を継続して実行する継続実行工程、（ｂ）故障した
プロセッシングユニットを有するプロセッシングボード
が実行すべき処理であって継続実行工程により実行され
る処理以外の処理を他のプロセッシングボードに移行す
る移行工程。

【００２５】第３の発明は、同一命令を実行する脱着可
能な３台以上のプロセッシングユニットを有し、スケジ
ュールされた処理を実行する脱着可能なプロセッシング
ボードを複数備えた計算機の障害回復方法において、以
下の工程を備えたことを特徴とする。 （ａ）いずれかのプロセッシングユニットの故障時に、
故障したプロセッシングユニットを有するプロセッシン
グボードの他の正常なプロセッシングユニットを用いて
命令を継続して実行する継続実行工程、（ｂ）故障した
プロセッシングユニットを有するプロセッシングボード
にスケジュールされた処理を他のプロセッシングボード
に移行する移行工程、（ｃ）上記移行工程後、故障した
プロセッシングユニットを有するプロセッシングボード
を抜去し、故障したプロセッシングユニットを新たなプ
ロセッシングユニットと交換し、そのプロセッシングボ
ードを再び装着する脱着工程、（ｄ）上記脱着工程後、
再び装着されたプロセッシングボードを動作させる動作
工程。

【００２６】第４の発明は、同一命令を実行する脱着可
能な３台以上のプロセッシングユニットを有するプロセ
ッシングボードを備えた計算機の障害回復方法におい
て、以下の工程を備えたことを特徴とする。 （ａ）いずれかのプロセッシングユニットの故障時に、
故障したプロセッシングユニットを有するプロセッシン
グボードの他の正常なプロセッシングユニットを用いて
命令を継続して実行する継続実行工程、（ｂ）命令の継
続実行中に、故障したプロセッシングユニットを新たな
プロセッシングユニットと交換する交換工程、（ｃ）交
換した新たなプロセッシングユニットを他のプロセッシ
ングユニットとともに動作させる同期工程。

【００２７】第５の発明は、同一命令を実行する３台以
上のプロセッシングユニットとこれらプロセッシングユ
ニットの出力をそれぞれ入力して多数決をとりその多数
決結果に基づいて動作する複数の独立系とを有するプロ
セッシングボードを複数備えた計算機の障害回復方法に
おいて、以下の工程を備えたことを特徴とする。 （ａ）いずれかのプロセッシングユニットの故障時に、
いずれの独立系においても他の正常なプロセッシングユ
ニットの出力により多数決をとり処理を継続して実行す
る継続実行工程、（ｂ）故障したプロセッシングユニッ
トを有するプロセッシングボードが実行すべき処理であ
って継続実行工程により実行される処理以外の処理を他
のプロセッシングボードに移行する移行工程。

【００２８】第６の発明は、同一命令を実行する３台以
上のプロセッシングユニットとこれらプロセッシングユ
ニットの出力をそれぞれ入力して多数決をとりその多数
決結果に基づいて動作する複数の独立系とを有するプロ
セッシングボードを複数備えた計算機の障害回復方法に
おいて、以下の工程を備えたことを特徴とする。 （ａ）いずれかの独立系の故障時に、他の独立系を用い
て処理を継続して実行する継続実行工程、（ｂ）上記故
障した独立系を有するプロセッシングボードが実行すべ
き処理であって、上記継続実行工程により実行される処
理以外の処理を他のプロセッシングボードに移行する移
行工程。

【００２９】第７の発明は、処理を実行する２台のプロ
セッシングボードを組にした論理プロセッシングボード
を備えた計算機の障害回復方法において、以下の工程を
備えたことを特徴とする。 （ａ）論理プロセッシングボードの一方のプロセッシン
グボードを用いて処理を実行する通常実行工程、（ｂ）
上記通常実行工程で動作するプロセッシングボードの故
障時に、通常実行工程で動作するプロセッシングボード
の他の正常な部分により処理を継続する継続実行工程、
（ｃ）上記継続実行工程後、論理プロセッシングボード
の他方のプロセッシングボードに処理を移行する移行工
程。

【００３０】第８の発明では、上記継続実行工程は、
（ａ）故障したプロセッシングボードに対して、既にス
ケジュールされた処理を故障したプロセッシングボード
で実行する実行工程、（ｂ）既にスケジュールされた処
理を故障したプロセッシングボードで実行した後、故障
したプロセッシングボードの動作を停止する停止工程を
備えたことを特徴とする。

【００３１】第９の発明では、上記移行工程は、（ａ）
プロセッシングボードに故障が発生したことをオペレー
ティングシステムに通知する故障通知工程、（ｂ）通知
を受けたオペレーティングシステムが故障したプロセッ
シングボードへ新たな処理のスケジュールを中止し、新
たな処理を他のプロセッシングボードへスケジュールす
るスケジュール工程を備えたことを特徴とする。

【００３２】第１０の発明では、上記継続実行工程は、
（ａ）故障したプロセッシングボードが既に実行中の処
理を故障したプロセッシングボードで実行する実行工
程、（ｂ）既に実行中の処理を故障したプロセッシング
ボードで実行した後、故障したプロセッシングボードの
動作を停止する停止工程を備えたことを特徴とする。

【００３３】第１１の発明では、上記移行工程は、
（ａ）プロセッシングボードに故障が発生したことをオ
ペレーティングシステムに通知する故障通知工程、
（ｂ）通知を受けたオペレーティングシステムが故障し
たプロセッシングボードに対して既にスケジュールされ
た処理を他のプロセッシングボードへスケジュールしな
おすとともに、故障したプロセッシングボードへ新たな
処理のスケジュールを中止し、新たな処理を他のプロセ
ッシングボードへスケジュールするスケジュール工程を
備えたことを特徴とする。

【００３４】第１２の発明では、上記スケジュール工程
は、他のプロセッシングボードへ処理を割り当てる場
合、特定のプロセッシングボードに対して処理を割り当
てる工程を備えたことを特徴とする。

【００３５】第１３の発明では、上記スケジュール工程
は、更に、処理を割り当てられる特定のプロセッシング
ボードに対して既にスケジュールされた処理を他のプロ
セッシングボードに割り当てる工程を備えたことを特徴
とする。

【００３６】第１４の発明では、上記脱着工程の前に、
故障したプロセッシングユニットを有するプロセッシン
グボードが抜去可能な状態にあることをオペレータに通
知するボード交換通知工程を備えたことを特徴とする。

【００３７】第１５の発明では、上記交換工程の前に、
故障したプロセッシングユニットが交換可能な状態にあ
ることをオペレータに通知するユニット交換通知工程を
備えたことを特徴とする。

【００３８】第１６の発明では、上記同期工程は、
（ａ）交換した新たなプロセッシングユニットに対して
自己診断を行なわせる工程、（ｂ）その診断結果に基づ
いて新たなプロセッシングユニットを他のプロセッシン
グユニットと同期させて動作させる工程を備えたことを
特徴とする。

【００３９】第１７の発明では、上記プロセッシングボ
ードは、プロセッシングボードを識別する識別子を有し
ており、識別子をもとに処理を各プロセッシングボード
に割り当てて命令を実行していくとともに、上記移行工
程は、いずれかのプロセッシングボードの故障時に、他
の正常なプロセッシングボードの識別子を故障したプロ
セッシングボードの識別子に変更する識別子変更工程を
備えたことを特徴とする。

【００４０】第１８の発明では、上記識別子はプロセッ
シングボードがＩ／Ｏ割り込みを受け付けるための割り
込みベクタであり、上記識別子変更工程は、割り込みベ
クタを変更する工程を備えたことを特徴とする。

【００４１】第１９の発明では、上記移行工程は、
（ａ）故障した一方のプロセッシングボードにより引き
継ぎデータを主記憶装置に転送する工程、（ｂ）他方の
プロセッシングボードにより主記憶装置から引き継ぎデ
ータを受け取る工程、（ｃ）故障したプロセッシングボ
ードのＩ／Ｏ割り込みベクタを他方のプロセッシングボ
ードに移行する工程、（ｄ）他方のプロセッシングボー
ドにより処理を開始する工程、（ｅ）故障したプロセッ
シングボードを交換する工程を備えたことを特徴とす
る。

【００４２】第２０の発明では、上記計算機は、Ｎ台
（Ｎ≧１）のプロセッシングボードで処理可能な処理量
に対してＮ＋１台のプロセッシングボードを備え、
（ａ）通常、Ｎ＋１台のプロセッシングボードを動作さ
せる工程、（ｂ）上記継続実行工程実行中はＮ＋１台の
プロセッシングボードを動作させる工程、（ｃ）上記移
行工程実行後は、Ｎ台のプロセッシングボードを動作さ
せる工程を備えたことを特徴とする。

【００４３】第２１の発明では、上記計算機は、Ｎ台
（Ｎ≧１）のプロセッシングボードで処理可能な処理量
に対してＮ台のプロセッシングボードを備え、（ａ）通
常、Ｎ台のプロセッシングボードを動作させる工程、
（ｂ）上記継続実行工程実行中は、新たなプロセッシン
グボードを追加してＮ＋１台のプロセッシングボードを
動作させる工程、（ｃ）上記移行工程実行後は、Ｎ台の
プロセッシングボードを動作させる工程を備えたことを
特徴とする。

【００４４】第２２の発明は、同一命令を実行する脱着
可能な３台以上のプロセッシングユニットを有するプロ
セッシングボードを備え、プロセッシングボードが障害
の有無にかかわりなく、各プロセッシングユニット毎に
各プロセッシングユニットに対して、そのプロセッシン
グユニットの抜去要求を通知するユニット抜去通知手段
を備えた計算機の障害回復方法において、以下の工程を
備えたことを特徴とする。 （ａ）上記ユニット抜去通知手段によりプロセッシング
ユニットの抜去要求を通知する要求工程、（ｂ）上記要
求工程後、そのプロセッシングユニットの動作を停止さ
せる停止工程、（ｃ）上記停止工程後、そのプロセッシ
ングユニットが抜去可能であることを通知するユニット
変換通知工程、（ｄ）上記ユニット変換通知工程後、そ
のプロセッシングユニットを抜去する抜去工程。

【００４５】第２３の発明は、着脱可能なプロセッシン
グボードを備え、プロセッシングボードが障害の有無に
かかわりなくプロセッシングボードの抜去要求するボー
ド抜去通知手段を備えた計算機の障害回復方法におい
て、以下の工程を備えたことを特徴とする。 （ａ）上記ボード抜去通知手段によりプロセッシングボ
ードの抜去要求を通知する要求工程、（ｂ）上記要求工
程後、そのプロセッシングボードの動作を停止させる停
止工程、（ｃ）上記停止工程後、そのプロセッシングボ
ードが抜去可能であることを通知するボード変換通知工
程、（ｄ）上記ボード変換通知工程後、そのプロセッシ
ングボードを抜去する抜去工程。

【００４６】第２４の発明は、同一命令を実行する３台
以上のプロセッシングユニットを有し、オペレーティン
グシステムによりスケジュールされた処理を実行するプ
ロセッシングボードを複数備えた計算機の障害回復方法
において、以下の工程を備えたことを特徴とする。 （ａ）故障発生後、故障したプロセッシングボードが、
オペレーティングシステムにその故障を通知する工程、
（ｂ）オペレーティングシステムにより、故障したプロ
セッシングボードに対して新たな処理の割り付けを禁止
する工程、（ｃ）故障したプロセッシングボードは、す
でにスケジュールされた処理を実行し、その後キャッシ
ュメモリをフラッシュし、オペレータにボード交換可能
状態を通知して故障したプロセッシングボードの動作を
停止する工程、（ｄ）故障したプロセッシングボードを
新しいプロセッシングボードに交換する工程、（ｅ）新
しいプロセッシングボードが、正常な設置状態であるこ
とをオペレータに通知し、自己診断を実行して、自己診
断が正常終了のとき、オペレーティングシステムにその
結果を通知する工程、（ｆ）オペレーティングシステム
により、新しいプロセッシングボードに処理を割り当
て、故障前と同じ構成により処理を開始する工程。

【００４７】第２５の発明は、同一命令を実行する３台
以上のプロセッシングユニットを有し、オペレーティン
グシステムによりスケジュールされた処理を実行するプ
ロセッシングボードを複数備えた計算機の障害回復方法
において、上記プロセッシングボードは、Ｉ／Ｏ割り込
みを受け付けて他のプロセッシングボードに分配する割
り込みマスタ型プロセッシングボードと、割り込みマス
タ型プロセッシングボードから分配されたＩ／Ｏ割り込
みを受け付ける割り込みスレーブ型プロセッシングボー
ドがあり、各プロセッシングボードは各プロセッシング
ボードに割り当てられた割り込みベクタによりＩ／Ｏ割
り込みを受け付けるものであり、故障したプロセッシン
グボードが割り込みマスタ型プロセッシングボードの場
合、以下の工程を備えたことを特徴とする。 （ａ）故障発生後、故障したプロセッシングボードが、
オペレーティングシステムにその故障を通知する工程、
（ｂ）オペレーティングシステムにより、故障したプロ
セッシングボードに対して新たな処理の割り付けを禁止
する工程、（ｃ）オペレーティングシステムにより、故
障したプロセッシングボードに対する新たな処理を、他
のプロセッシングボードに移行する工程、（ｄ）処理の
移行を受けたプロセッシングボードがその処理を開始す
る工程、（ｅ）故障したプロセッシングボードにより、
故障したプロセッシングボードの割り込みベクタを他の
プロセッシングボードに移行し、その動作完了後オペレ
ーティングシステムにその旨を通知する工程、（ｆ）故
障したプロセッシングボードがキャッシュメモリをフラ
ッシュする工程、（ｇ）キャッシュメモリのフラッシュ
完了後、オペレータにボード交換可能状態を通知する工
程、（ｈ）故障したプロセッシングボードを新しいプロ
セッシングボードに交換する工程、（ｉ）新しいプロセ
ッシングボードが、正常な設置状態であることをオペレ
ータに通知し、自己診断を実行して、自己診断が正常終
了のとき、オペレーティングシステムにその結果を通知
する工程、（ｊ）オペレーティングシステムにより、新
しいプロセッシングボードに処理を割り当て、故障前と
同じ構成により処理を開始する工程。

【００４８】第２６の発明は、同一命令を実行する３台
以上のプロセッシングユニットを有し、オペレーティン
グシステムによりスケジュールされた処理を実行するプ
ロセッシングボードを複数備えた計算機の障害回復方法
において、上記プロセッシングボードは、Ｉ／Ｏ割り込
みを受け付けて他のプロセッシングボードに分配する割
り込みマスタ型プロセッシングボードと、割り込みマス
タ型プロセッシングボードから分配されたＩ／Ｏ割り込
みを受け付ける割り込みスレーブ型プロセッシングボー
ドがあり、各プロセッシングボードは各プロセッシング
ボードに割り当てられた割り込みベクタによりＩ／Ｏ割
り込みを受け付けるものであり、故障したプロセッシン
グボードが割り込みスレーブ型プロセッシングボードの
場合、以下の工程を備えたことを特徴とする。 （ａ）故障発生後、故障したプロセッシングボードが、
オペレーティングシステムにその故障を通知する工程、
（ｂ）オペレーティングシステムにより、故障したプロ
セッシングボードに対して新たな処理の割り付けを禁止
する工程、（ｃ）オペレーティングシステムにより、故
障したプロセッシングボードに対する新たな処理を、他
のプロセッシングボードに移行する工程、（ｄ）処理の
移行を受けたプロセッシングボードがその処理を開始す
る工程、（ｅ）オペレーティングシステムにより、故障
したプロセッシングボードのＩ／Ｏ割り込み受付を停止
する工程、（ｆ）故障したプロセッシングボードがキャ
ッシュメモリをフラッシュする工程、（ｇ）キャッシュ
メモリのフラッシュ完了後、オペレータにボード交換可
能状態を通知する工程、（ｈ）故障したプロセッシング
ボードを新しいプロセッシングボードに交換する工程、
（ｉ）新しいプロセッシングボードが、正常な設置状態
であることをオペレータに通知し、自己診断を実行し
て、自己診断が正常終了のとき、オペレーティングシス
テムにその結果を通知する工程、（ｊ）オペレーティン
グシステムにより、新しいプロセッシングボードに処理
を割り当て、故障前と同じ構成により処理を開始する工
程。

【００４９】第２７の発明は、同一命令を実行する３台
以上のプロセッシングユニットを有し、オペレーティン
グシステムによりスケジュールされた処理を実行するプ
ロセッシングボードを複数備えた計算機の障害回復方法
において、上記プロセッシングボードは、Ｉ／Ｏ割り込
みを受け付けて他のプロセッシングボードに分配する割
り込みマスタ型プロセッシングボードと、割り込みマス
タ型プロセッシングボードから分配されたＩ／Ｏ割り込
みを受け付ける割り込みスレーブ型プロセッシングボー
ドがあり、各プロセッシングボードは各プロセッシング
ボードに割り当てられた割り込みベクタによりＩ／Ｏ割
り込みを受け付けるものであり、故障したプロセッシン
グボードが割り込みマスタ型プロセッシングボードの場
合、以下の工程を備えたことを特徴とする。 （ａ）故障発生後、故障したプロセッシングボードが、
オペレーティングシステムにその故障を通知する工程、
（ｂ）故障したプロセッシングボードにより、新しいプ
ロセッシングボードの挿入まで処理を継続する工程、
（ｃ）新しいプロセッシングボードを挿入する工程、
（ｄ）新しいプロセッシングボードが、正常な設置状態
であることをオペレータに通知し、自己診断を実行し
て、自己診断が正常終了のとき、オペレーティングシス
テムにその旨を通知する工程、（ｅ）オペレーティング
システムが、新しいプロセッシングボードに処理を割り
当てる工程、（ｆ）オペレーティングシステムにより、
故障したプロセッシングボードに対して新たな処理の割
り付けを禁止する工程、（ｇ）オペレーティングシステ
ムにより、故障したプロセッシングボードに対する新た
な処理を、他のプロセッシングボードに移行する工程、
（ｈ）処理の移行を受けたプロセッシングボードがその
処理を開始する工程、（ｉ）故障したプロセッシングボ
ードにより、割り込みベクタを他のプロセッシングボー
ドに移行し、その動作完了後、オペレーティングシステ
ムにその旨を通知する工程、（ｊ）故障したプロセッシ
ングボードはキャッシュメモリをフラッシュする工程、
（ｋ）キャッシュメモリのフラッシュ完了後、オペレー
タにボード交換可能状態を通知する工程、（ｌ）故障し
たプロセッシングボードを抜去する工程。

【００５０】第２８の発明は、同一命令を実行する３台
以上のプロセッシングユニットを有し、オペレーティン
グシステムによりスケジュールされた処理を実行するプ
ロセッシングボードを複数備えた計算機の障害回復方法
において、上記プロセッシングボードは、Ｉ／Ｏ割り込
みを受け付けて他のプロセッシングボードに分配する割
り込みマスタ型プロセッシングボードと、割り込みマス
タ型プロセッシングボードから分配されたＩ／Ｏ割り込
みを受け付ける割り込みスレーブ型プロセッシングボー
ドがあり、各プロセッシングボードは各プロセッシング
ボードに割り当てられた割り込みベクタによりＩ／Ｏ割
り込みを受け付けるものであり、故障したプロセッシン
グボードが割り込みスレーブ型プロセッシングボードの
場合、以下の工程を備えたことを特徴とする。 （ａ）故障発生後、故障したプロセッシングボードが、
オペレーティングシステムにその故障を通知する工程、
（ｂ）故障したプロセッシングボードにより、新しいプ
ロセッシングボードの挿入まで処理を継続する工程、
（ｃ）新しいプロセッシングボードを挿入する工程、
（ｄ）新しいプロセッシングボードが、正常な設置状態
であることをオペレータに通知し、自己診断を実行し
て、自己診断が正常終了のとき、オペレーティングシス
テムにその旨を通知する工程、（ｅ）オペレーティング
システムが、新しいプロセッシングボードに処理を割り
当てる工程、（ｆ）オペレーティングシステムにより、
故障したプロセッシングボードに、新たな処理の割り付
けを禁止する工程、（ｇ）オペレーティングシステムに
より、故障したプロセッシングボードに対する新たな処
理を、他のプロセッシングボードに移行する工程、
（ｈ）処理の移行を受けたプロセッシングボードがその
処理を開始する工程、（ｉ）オペレーティングシステム
により、故障したプロセッシングボードの割り込み受付
を停止する工程、（ｊ）故障したプロセッシングボード
はキャッシュメモリをフラッシュする工程、（ｋ）キャ
ッシュメモリのフラッシュ完了後、オペレータにボード
交換可能状態を通知する工程、（ｌ）故障したプロセッ
シングボードを抜去する工程。

【００５１】第２９の発明は、同一命令を実行する３台
以上のプロセッシングユニットを有しオペレーティング
システムによりスケジュールされた処理を実行するプロ
セッシングボードを複数備え、これら複数のプロセッシ
ングボードに対してプロセスをスケジュールするひとつ
のプロセスキューを備えた計算機の障害回復方法におい
て、以下の工程を備えたことを特徴とする。 （ａ）いずれかのプロセッシングユニットの故障時に、
故障したプロセッシングユニットを有するプロセッシン
グボードの他の正常なプロセッシングユニットを用いて
命令を継続して実行する継続実行工程、（ｂ）プロセッ
シングボードに故障が発生したことをオペレーティング
システムに通知する故障通知工程、（ｃ）通知を受けた
オペレーティングシステムがプロセスキューからの故障
したプロセッシングボードへ新たな処理のスケジュール
を中止し、プロセスキューからの新たな処理を他のプロ
セッシングボードへスケジュールするスケジュール工
程。

【００５２】第３０の発明は、同一命令を実行する３台
以上のプロセッシングユニットを有し、オペレーティン
グシステムによりスケジュールされた処理を実行するプ
ロセッシングボードを複数備えた計算機の障害回復方法
において、上記プロセッシングボードは、共通の割り込
みベクタによりＩ／Ｏ割り込みを受け付けるものであ
り、いずれかのプロセッシングボードが故障した場合、
以下の工程を備えたことを特徴とする。 （ａ）故障発生後、故障したプロセッシングボードが、
オペレーティングシステムにその故障を通知する工程、
（ｂ）オペレーティングシステムにより、故障したプロ
セッシングボードに対して新たな処理の割り付けを禁止
するとともに、故障したプロセッシングボードのＩ／Ｏ
割り込み受付を停止する工程、（ｃ）オペレーティング
システムにより、故障したプロセッシングボードに対す
る新たな処理を、他のプロセッシングボードに移行する
工程、（ｄ）処理の移行を受けたプロセッシングボード
がその処理を開始する工程、（ｅ）故障したプロセッシ
ングボードがキャッシュメモリをフラッシュする工程、
（ｆ）キャッシュメモリのフラッシュ完了後、オペレー
タにボード交換可能状態を通知する工程、（ｇ）故障し
たプロセッシングボードを新しいプロセッシングボード
に交換する工程、（ｈ）新しいプロセッシングボード
が、正常な設置状態であることをオペレータに通知し、
自己診断を実行して、自己診断が正常終了のとき、オペ
レーティングシステムにその結果を通知する工程、
（ｉ）オペレーティングシステムにより、新しいプロセ
ッシングボードに処理を割り当て、故障前と同じ構成に
より処理を開始する工程。

【００５３】第３１の発明は、同一命令を実行する３台
以上のプロセッシングユニットを有し、オペレーティン
グシステムによりスケジュールされた処理を実行するプ
ロセッシングボードを複数備えた計算機の障害回復方法
において、上記プロセッシングボードは、共通の割り込
みベクタによりＩ／Ｏ割り込みを受け付けるものであ
り、いずれかのプロセッシングボードが故障した場合、
以下の工程を備えたことを特徴とする。 （ａ）故障発生後、故障したプロセッシングボードが、
オペレーティングシステムにその故障を通知する工程、
（ｂ）故障したプロセッシングボードにより、新しいプ
ロセッシングボードの挿入まで処理を継続する工程、
（ｃ）新しいプロセッシングボードを挿入する工程、
（ｄ）新しいプロセッシングボードが、正常な設置状態
であることをオペレータに通知し、自己診断を実行し
て、自己診断が正常終了のとき、オペレーティングシス
テムにその旨を通知する工程、（ｅ）オペレーティング
システムが、新しいプロセッシングボードに処理を割り
当てる工程、（ｆ）オペレーティングシステムにより、
故障したプロセッシングボードに、新たな処理の割り付
けを禁止するとともに、故障したプロセッシングボード
のＩ／Ｏ割り込み受付を停止する工程、（ｇ）オペレー
ティングシステムにより、故障したプロセッシングボー
ドに対する新たな処理を、他のプロセッシングボードに
移行する工程、（ｈ）処理の移行を受けたプロセッシン
グボードがその処理を開始する工程、（ｉ）故障したプ
ロセッシングボードはキャッシュメモリをフラッシュす
る工程、（ｊ）キャッシュメモリのフラッシュ完了後、
オペレータにボード交換可能状態を通知する工程、
（ｋ）故障したプロセッシングボードを抜去する工程。

【００５４】第３２の発明は、プロセッシングユニット
がキャッシュメモリとプロセッサを備え、上記移行工程
は、故障したプロセッシングボードのキャッシュメモリ
をフラッシュするフラッシュ工程を備えたことを特徴と
する。

【００５５】

【作用】本発明では、前記プロセッシングボードにおい
て、いずれかのプロセッシングユニットの瞬時故障時に
は、そのプロセッシングユニットを他のプロセッシング
ユニットから一旦切り離し、残りのプロセッシングユニ
ットで同一命令を継続実行し、その後、再度接続して、
元の構成による処理を実行できる。

【００５６】このように、プロセッシングユニットが故
障しても、他のプロセッシングユニットと再同期動作す
ることができるため、瞬時的なプロセッシングユニット
の故障時には、ボード交換の必要がない。

【００５７】また、本発明では、プロセッシングボード
の固定故障時には、残りの構成により処理を継続実行
し、その後、直ちに処理を異にする別の１台又は複数台
のプロセッシングボードに処理を移行する。従って、プ
ロセッシングボードの一次故障時には、その残りの構成
で処理を継続させ、その後直ちに別のプロセッシングボ
ードに処理を移行するため、二次故障によるシステム障
害を最小限にとどめ、システムの可用性を高める。

【００５８】また、本発明では、前記プロセッシングボ
ードにおいて、いずれかのプロセッシングユニットの故
障時には、残りのプロセッシングユニットで同一命令を
継続実行し、その後、故障したプロセッシングユニット
を交換して、通常の処理に移行する。

【００５９】また、本発明では、前記プロセッシングボ
ードにおいて、２台のプロセッシングボードを１組とし
て、通常は１台のプロセッシングボードが処理を実行
し、該プロセッシングボードの故障時には、故障部位を
除いた残りの構成で処理を継続し、その後直ちにもう一
方のプロセッシングボードに処理を移行するようにし
た。

【００６０】本発明で特に特徴となる点は、プロセッシ
ングボードに故障が発生しても、そのプロセッシングボ
ードが継続して処理を実行できる場合には、処理の継続
実行を行わせる点にある。このように、一時故障が発生
したプロセッシングボードに処理を継続して実行させる
ことにより、処理を中断することがなくなる。一時故障
が発生したプロセッシングボードがこのように処理を継
続できるのは、プロセッシングボードが少なくとも３台
のプロセッシングユニットを有したエラーフリーの構成
となっているためである。また更に、一時故障を起こし
たプロセッシングボードが継続実行できるのは、３台以
上のプロセッシングユニットからの出力を、それぞれ独
自の処理系に入力して処理する複数の独立系を有してい
るからである。一方の独立系が故障しても他方の独立系
が動作できるため、一時故障を起こしたプロセッシング
ボードは継続実行を行なうことができる。

【００６１】このようにプロセッシングボードが故障し
た場合でも、そのプロセッシングボードが実行中の処理
あるいはそのプロセッシングボードに予約された処理を
継続して実行するため、故障したプロセッシングボード
の処理を他のプロセッシングボードに割り振る場合には
プロセス単位に行なうことができる。従ってプロセスの
移行処理は非常に容易なものとなる。

【００６２】また、故障したプロセッシングボードを交
換する場合であっても前述したように、プロセス単位の
引き継ぎ処理を行なうことにより、プロセッシングボー
ドの交換のタイミングがプロセスの終了単位で行われ
る。

【００６３】また、この発明においては、プロセッシン
グボード自身の交換を可能としているばかりでなく、プ
ロセッシングボードに設けられたプロセッシングユニッ
トの交換も可能になっている。このように、プロセッシ
ングボード単位の交換だけでなく、プロセッシングユニ
ット単位の交換により、交換部品がより安価となる。

【００６４】特に第１の発明においては、故障したプロ
セッシングユニットに自己診断を行わせ、自己診断結果
により、故障が一時的なものである場合には、再び正常
な動作をさせる。

【００６５】また、第２の発明においては、故障が固定
的なものである場合にも、処理を継続実行させ、その後
他のプロセッシングボードに処理を移行させる。

【００６６】また、第３の発明においては、故障したプ
ロセッシングボードの処理を他のプロセッシングボード
に移行した後、プロセッシングボードを抜き、故障した
プロセッシングユニットを交換した後、再びそのプロセ
ッシングボードを装着する。

【００６７】また、第４の発明においては、故障したプ
ロセッシングボードのプロセッシングユニットを処理の
実行中に交換する。

【００６８】また、第５の発明においては、プロセッシ
ングユニットが故障しても、多重化された多数決回路が
存在することにより、継続して処理を実行し、その後故
障したプロセッシングボードの処理を他のプロセッシン
グボードに移行する。

【００６９】また、第６の発明においては、いずれかの
独立系の故障時には、一方の正常な独立系を用いて処理
を実行し、その後他のプロセッシングボードに処理を移
行する。

【００７０】また、第７の発明においては、２台のプロ
セッシングボードを組にしているので、一方のプロセッ
シングボードの故障により他方のプロセッシングボード
に処理を移行する。

【００７１】また、第８の発明においては、あらかじめ
スケジュールされた処理を実行してから、故障したプロ
セッシングボードの動作を停止する。

【００７２】また、第９の発明においては、新たな処理
のスケジュールを他の正常なプロセッシングボードへス
ケジュールする。

【００７３】また、第１０の発明においては、故障した
プロセッシングボードが現在実行中の処理を実行した
後、その動作を停止する。

【００７４】また、第１１の発明においては、故障した
プロセッシングボードに対してすでにスケジュールされ
た処理を他のプロセッシングボードへスケジュールし直
す。

【００７５】また、第１２の発明においては、他のプロ
セッシングボードへ処理をスケジュールし直す場合、特
定のプロセッシングボードに対して処理の割り当てを行
う。

【００７６】また、第１３の発明においては、前述した
特定のプロセッシングボードにすでに割り当てられた処
理をさらに他のプロセッシングボードに割り当てる。

【００７７】また、第１４の発明においては、プロセッ
シングボードが抜去可能な状態にあることをオペレータ
に通知する。

【００７８】また、第１５の発明においては、プロセッ
シングユニットが交換可能な状態にあることをオペレー
タに通知する。

【００７９】また、第１６の発明においては、新たなプ
ロセッシングユニットが挿入された場合、自己診断を行
わせる。

【００８０】また、第１７の発明においては、プロセッ
シングボードが識別子を有しており、故障したプロセッ
シングボードを他の正常なプロセッシングボードの識別
子とする。

【００８１】また、第１８の発明においては、識別子が
Ｉ／Ｏ割り込みを受け付けるための割り込みベクタであ
り、故障したプロセッシングボードの割り込みベクタを
他の正常なプロセッシングボードに割り当てる。

【００８２】また、第１９の発明においては、ふたつの
プロセッシングボードが対になった論理プロセッシング
ボードを構成している場合、主記憶装置を介してデータ
を引き継ぐとともに、割り込みベクタを対になった一方
の正常なプロセッシングボードに移行する。

【００８３】また、第２０の発明においては、Ｎ台で処
理する処理量に対して、故障が生じる場合のことを考慮
してあらかじめＮ＋１台のプロセッシングボードを備え
ている。

【００８４】また、第２１の発明においては、プロセッ
シングボードが故障したことにより新たなプロセッシン
グボードを追加し、その後故障したボードを抜去する。

【００８５】また、第２２の発明においては、故障の有
無にかかわらず、プロセッシングボードにあるプロセッ
シングユニットをそれぞれ個別に抜去することができ
る。

【００８６】また、第２３の発明においては、故障の有
無にかかわらず、プロセッシングボードを抜去すること
ができる。

【００８７】また、第２４の発明においては、プロセッ
シングボードを交換するための具体的な手順を示してい
る。

【００８８】また、第２５の発明においては、割り込み
マスタ型プロセッシングボードが故障した場合の障害回
復方法を示しており、処理の移行を行ってからプロセッ
シングボードを交換する場合を示している。

【００８９】また、第２６の発明においては、割り込み
スレーブ型プロセッシングボードの障害回復方法を示し
ており、処理の移行を行ってからプロセッシングボード
を交換する場合を示している。

【００９０】また、第２７の発明においては、割り込み
マスタ型プロセッシングボードの障害回復方法を示して
おり、新しいプロセッシングボードを挿入してから処理
の移行を行い、最後に故障したプロセッシングボードを
抜去する場合を示している。

【００９１】また、第２８の発明においては、割り込み
スレーブ型プロセッシングボードの障害回復方法を示し
ており、新しいプロセッシングボードを挿入してから処
理の移行を行い、最後に故障したプロセッシングボード
を抜去する場合を示している。

【００９２】また、第２９の発明においては、複数のプ
ロセッシングボードに対して一つのプロセスキューが存
在する場合の障害回復方法を示しており、プロセッシン
グボードの故障により移行しなければならない処理とい
うものが発生しない場合を示している。

【００９３】また、第３０の発明においては、割り込み
同報型プロセッシングボードの障害回復方法を示してお
り、処理の移行を行った後にプロセッシングボードを交
換する場合を示している。

【００９４】また、第３１の発明においては、割り込み
同報型プロセッシングボードの障害回復方法を示してお
り、新たなプロセッシングボードを挿入した後、処理移
行を行い、最後に故障したプロセッシングボードを抜去
する場合を示している。

【００９５】また、第３２の発明においては、プロセッ
シングユニットはキャッシュメモリのプロセッサを対に
して備えているため、移行工程はキャッシュメモリをフ
ラッシュすることにより故障したプロセッシングボード
のデータをメモリにセーブする。したがって、データの
整合性を保つことができる。

【００９６】

【実施例】以下本発明の実施例について詳細な説明をす
るが、本実施例では以下の項目に分けて説明する。 Ｉ．プロセッシングボードの基本動作 ＩＩ．プロセッシングボードの回復方式 ＩＩＩ．プロセッシングユニットの回復方式 Ｉ．プロセッシングボードの基本動作 実施例１． ［全体構成］図１は、本発明の第１実施例に係る高信頼
化計算機の全体構成を示すブロック図である。

【００９７】このブロック図において、プロセッシング
ボード１２５は、３個の同一のプロセッサ１０４を実装
している。３個のプロセッサ１０４は同一クロック１１
３で完全同期して動作する。３個のプロセッサ１０４と
３個のキャッシュメモリ１０７は、それぞれ専用バス１
１０で接続されている。プロセッサ１０４とキャッシュ
メモリ１０７と専用バス１１０の組み合せにより、各
々、プロセッシングユニット１−１（ＣＰＵ＃Ａ、又は
プロセッシングユニットＡと称する）、プロセッシング
ユニット１−２（ＣＰＵ＃Ｂ、又はプロセッシングユニ
ットＢと称する）、プロセッシングユニット１−３（Ｃ
ＰＵ＃Ｃ、又はプロセッシングユニットＣと称する）を
構成する。各プロセッシングユニットは、プロセッサバ
ス１２１を介して、二重化された多数決ユニット１３５
と接続される。多数決ユニット１３５は、キャッシュメ
モリ１０７を含めたプロセッシングユニットからの出力
の多数決をとる。また、二重化されたシステムバス１４
１とのインタフェースを司り、プロセッシングユニット
に対する応答制御を行う。２つのシステムバス１４１に
は、それぞれ主記憶装置１４３と入出力バスアダプタ１
４５が接続されている。２つの入出力バスアダプタ１４
５には、それぞれＩ／Ｏバス１４７が接続され、各Ｉ／
Ｏバス１４７にはＩ／Ｏ装置１４９が接続される。この
ようにこのシステムでは、二重化構成をとる。

【００９８】［書き込み動作］３個のプロセッシングユ
ニットは、主記憶装置への書き込み動作を行う時、多数
決ユニット１３５−１ないし１３５−２に対して書き込
み先のアドレスと書き込みデータを送出し、多数決ユニ
ット１３５−１ないし１３５−２で比較照合される。プ
ロセッシングユニット１−１ないし１−３のうち、多数
決ユニット１３５−１にて正しい動作であることが保証
された１つのプロセッシングユニットが選択される。こ
の選択されたプロセッシングユニットのアドレスとデー
タが、システムバス１４１−１を経由して、主記憶装置
１４３−１に出力される。同様に、プロセッシングユニ
ット１−１ないし１−３のうち、多数決ユニット１３５
−２にて正しい動作であることが保証された１つのプロ
セッシングユニットが選択される。この選択されたプロ
セッシングユニットのアドレスとデータが、システムバ
ス１４１−２を経由して、主記憶装置１４３−２に対し
て出力され、主記憶装置１４３−１と同一データが書き
込まれる。

【００９９】［読み込み動作］３個のプロセッシングユ
ニット１は、主記憶装置から読み込み動作を行う時、多
数決ユニット１３５−１ないし１３５−２に対して読み
込み先のアドレスを送出する。送出された読み込み先の
アドレスは、多数決ユニット１３５−１ないし１３５−
２で比較照合される。プロセッシングユニット１−１な
いし１−３のうち、多数決ユニット１３５−１にて正し
い動作であることが保証された１つのプロセッシングユ
ニットが選択される。この選択されたプロセッシングユ
ニットのアドレスが、システムバス１４１−１を経由し
て、主記憶装置１４３−１に送出され、主記憶装置１４
３−１の該当データが多数決ユニット１３５−１に返送
される。同様に、プロセッシングユニット１−１ないし
１−３のうち、多数決ユニット１３５−２にて正しい動
作であることが保証された１つのプロセッシングユニッ
トが選択される。この選択されたプロセッシングユニッ
トのアドレスが、システムバス１４１−２を経由して、
主記憶装置１４３−２に送出され、主記憶装置１４３−
２の該当データが多数決ユニット１３５−２に返送され
る。この時、多数決ユニット１３５−１及び１３５−２
のどちらがプロセッシングユニット１−１ないし１−３
に該当データを返送するかという選択は、電源投入時に
予めどちらか一方に固定されているものとする。その後
選択されている多数決ユニットにて障害が発生した場
合、他方の多数決ユニットが選択され、処理を継続する
ことができる。このように、２つの主記憶装置１４３−
１ないし１４３−２はともに同一データをそれぞれシス
テムバス１４１−１ないし１４１−２経由で、２つの多
数決ユニット１３５−１ないし１３５−２にそれぞれ返
送し、選択されたどちらか一方の多数決ユニットからの
データが、プロセッサバス１２１を経て各プロセッシン
グユニットに読み込まれる。

【０１００】［通常動作］図２は、本発明の第１実施例
に係る高信頼化計算機において、多数決ユニットの内部
構成を示す図である。

【０１０１】プロセッサバス１２１は、入力信号３１な
いし３３と出力信号１７１ないし１７３と応答信号１６
１ないし１６３等を転送する。入力信号３１ないし３３
は、プロセッシングユニットから多数決ユニット１３５
に送られる入力信号である。入力信号は、例えばアドレ
ス信号、データ信号、リードライト信号等から構成され
ている。出力信号１７１ないし１７３は、多数決ユニッ
ト１３５から、プロセッシングユニットに送られる出力
信号である。応答信号１６１ないし１６３は、多数決ユ
ニット１３５が処理を終了した時、プロセッシングユニ
ットに対して返す応答される信号である。

【０１０２】３個のプロセッシングユニットからの入力
信号３１ないし３３は、多数決回路２にて比較照合され
る。多数決回路２にて正しい動作であることが保証され
た１つの入力信号が多数決信号７として選択される。多
数決信号７はシステムバスとのインタフェース機能をも
つ機能回路１４に送られる。機能回路１４は、多数決信
号７の情報をもとに、処理の内容を解読し、主記憶装置
１４３や、Ｉ／Ｏ装置１４９に対して書き込み動作又は
読み込み動作を行う。また、機能回路１４は、プロセッ
シングユニットに対して、次の処理の受け付け可能な状
態になった時、内部応答信号２５４を凍結回路２０２に
送る。内部応答信号２５４を受信した凍結回路２０２
は、プロセッシングユニット１−１ないし１−３に対し
て、それぞれ応答信号１６１ないし１６３を送る。プロ
セッシングユニットは応答信号１６１ないし１６３の受
信により１つの処理を完結する。

【０１０３】［多数決回路］図３は、本発明の第１実施
例に係る多数決回路の全体構成を示すブロック図であ
る。

【０１０４】プロセッシングユニット１−１ないし１−
３から多数決回路２へ入力される入力信号３１ないし３
３は、比較回路４１ないし４３と選択手段６に供給され
る。選択回路６は比較回路４１ないし４３の比較結果信
号５１ないし５３により入力信号３１ないし３３のいず
れかを多数決信号７として選択する。更にエラー判別回
路８は比較結果信号５１ないし５３を評価して故障を検
出する。

【０１０５】図４は、図３中の比較回路４１の構成を示
す図である。図中入力信号３１−１ないし３１−ｎはプ
ロセッシングユニット１−１から多数決回路２へ入力さ
れる入力信号３１をビット対応に表現した信号である。
同様に入力信号３２−１ないし３２−ｎはプロセッシン
グユニット１−２から多数決回路２へ入力される入力信
号３２をビット対応に表現した信号である。反転型排他
的論理和回路（ＥＸＮＯＲ回路）４４−１ないし４４−
ｎはプロセッシングユニットの入力信号３１及び３２を
ビット単位で比較する。反転型排他的論理和回路（ＥＸ
ＮＯＲ回路）において、入力信号が一致すると出力は
“１”になる。また論理積回路（ＡＮＤ回路）４５はｎ
ビットの論理積をとる。論理積回路（ＡＮＤ回路）でｎ
ビットの全ての入力信号が“１”の時出力は“１”とな
る。この出力は比較結果信号５１として出力される。こ
のように比較回路４１はプロセッシングユニット１−１
からのｎビットの入力信号３１とプロセッシングユニッ
ト１−２からのｎビットの入力信号３２を比較し比較結
果信号５１を出力する。同様に比較回路４２はプロセッ
シングユニット１−２からのｎビットの入力信号３２と
プロセッシングユニット１−３のｎビットの入力信号３
３を比較し比較結果信号５２を出力する。比較回路４３
はプロセッシングユニット１−３からのｎビットの入力
信号３３とプロセッシングユニット１−１からのｎビッ
トの入力信号３１を比較し比較信号５３を出力する。

【０１０６】図５は、図３中のエラー判別回路８の構成
を示す図である。３入力反転型論理和回路（ＮＯＲ回
路）８１は比較結果信号５１ないし５３が全て“０”の
時二重故障信号１０を“１”にして出力する。また３入
力論理積回路８２は比較結果信号５１ないし５３のいず
れかが“０”の時に“０”を出力する。更に２入力ＮＯ
Ｒ回路８３は、二重故障信号１０が“０”でかつ３入力
ＡＮＤ回路８２の出力が“０”の時に、単一故障信号９
を“１”にして出力する。

【０１０７】図６は、図３中の選択回路６の構成を示す
図である。２入力ＡＮＤ回路６１ないし６３の片方の入
力には３つのプロセッシングユニットからの出力がそれ
ぞれ入力され、もう一方の入力には比較結果信号５１な
いし５３が入力される。比較結果信号５１ないし５３が
“１”であれば対応するプロセッシングユニットの出力
信号が、３入力ＯＲ回路６４を介して多数決信号７とし
て出力される。

【０１０８】図７は、図３の多数決回路における入力信
号と比較結果信号及び出力信号を表わすものである。こ
こでは、説明を簡単にするため、プロセッシングユニッ
トの出力信号が２ビット（ｎ＝２）で構成されている場
合を示している。ＡないしＣはそれぞれプロセッシング
ユニット１−１ないし１−３の出力信号すなわち多数決
回路２への入力信号３１ないし３３を示している。Ａ
Ｂ，ＢＣ，ＣＡは比較結果信号５１ないし５３を示して
いる。Ｖは多数決信号７を示している。ＥＳは単一故障
信号９を示している。ＥＭは二重故障信号１０を示して
いる。

【０１０９】次に、以上のように構成された多数決回路
の動作について説明する。主に比較回路４１、選択回路
６、エラー判別回路８の動作について図７を参照しなが
ら、図４、図５、図６を用いて説明する。

【０１１０】図７における第１列及び第２列は、３つの
プロセッシングユニットの出力が全て等しい場合であ
る。この場合、比較回路４１の内部にある２入力ＥＸＮ
ＯＲ回路４４−１ないし４４−ｎの出力は全て“１”に
なる。従ってＡＮＤ回路４５の出力信号すなわち比較結
果信号５１は“１”を出力する。同様に比較結果信号５
２及び比較結果信号５３も“１”を出力する。

【０１１１】また、選択回路６に入力される比較結果信
号５１ないし５３は前述のように全て“１”であるか
ら、２入力ＡＮＤ回路６１−１ないし６１−ｎ，６２−
１ないし６２−ｎ，６３−１ないし６３−ｎは、入力信
号３１−１ないし３１−ｎ，３２−１ないし３２−ｎ，
３３−１ないし３３−ｎをそのまま出力信号として出力
する。これらの出力信号は３入力ＯＲ回路６４−１ない
し６４−ｎを介して多数決信号７−１ないし７−ｎとし
て出力される。

【０１１２】また、エラー判別回路８において３入力Ｎ
ＯＲ回路８１の出力信号（すなわち二重故障信号１０）
は“０”になる。また、３入力ＡＮＤ回路８２の出力信
号は“１”になる。このため２入力ＮＯＲ回路８３の出
力信号（すなわち単一故障信号９）は“０”になる。

【０１１３】次に、図７における第３列は、３つのプロ
セッシングユニットの出力の中で１つのプロセッシング
ユニット１−３の出力だけが異なる場合である。この場
合、比較回路４１の比較結果信号５１及び比較回路４３
の比較結果信号５３が“０”になる。比較回路４２の比
較結果信号５２は“１”になる。この時、選択回路６は
２入力ＡＮＤ回路６２−１ないし６２−ｎに入力されて
いる入力信号３２−１ないし３２−ｎをそのまま出力す
る。２入力ＡＮＤ回路６１及び６３からは常に“０”が
出力される。従って３入力ＯＲ回路６４−１ないし６４
−ｎの出力信号としては、入力信号３２−１ないし３２
−ｎがそのまま出力される。すなわち、プロセッシング
ユニット１−２の出力が多数決信号７−１ないし７−ｎ
として選択される。

【０１１４】また、エラー判別回路８では３入力ＮＯＲ
回路８１の出力信号（すなわち二重故障信号１０）は
“０”になる。３入力ＡＮＤ回路８２の出力信号は
“０”になる。このため２入力ＮＯＲ回路８３の出力信
号（すなわち単一故障信号９）は“１”になる。

【０１１５】なお、図７における第６列は３つのプロセ
ッシングユニットの出力の中で１つのプロセッシングユ
ニット１−３の出力だけが異なる場合である。この場合
は、プロセッシングユニット１−１の出力が多数決信号
７−１ないし７−ｎとして選択される。その他の点につ
いては、第３列の場合と同様である。

【０１１６】次に、図７における第４列、５列及び７列
は、３つのプロセッシングユニットからの入力信号３１
ないし３３が全て異なる場合である。この場合、比較回
路４１ないし４３の比較結果信号は５１ないし５３が全
て“０”になる。この比較結果信号５１ないし５３は選
択回路６に入力される。比較結果信号５１ないし５３は
全て“０”であるから、２ＡＮＤ回路６１−１ないし６
１−ｎ，６２−１ないし６２−ｎ，６３−１ないし６３
−ｎは、入力信号３１−１ないし３１−ｎ，３２−１な
いし３２−ｎ，３３−１ないし３３−ｎの内容にかかわ
らず全て“０”を出力する。従って、３入力ＯＲ回路６
４−１ないし６４−ｎから出力される多数決信号７−１
ないし７−ｎは全て“０”として出力される。

【０１１７】また、エラー判別回路８では３入力ＮＯＲ
回路８１の出力信号（すなわち二重故障信号１０）は
“１”になる。３入力ＡＮＤ回路８２の出力信号は
“０”になる。このため２入力ＮＯＲ回路８３の出力信
号（すなわち単一故障信号９）は“０”になる。

【０１１８】このように、比較回路で３つのプロセッシ
ングユニット出力の中から２つずつのプロセッシングユ
ニットの組み合わせで比較し、その比較結果信号を選択
回路及びエラー判別回路に入力する。選択回路では比較
結果信号に従って出力すべきプロセッシングユニットの
信号を選択する。全てのプロセッシングユニットの出力
が異なる時、選択回路は信号を出力しない。エラー判別
回路では比較結果信号を解析し該プロセッシングユニッ
トの故障状況を出力することによりプロセッシングユニ
ット二重故障の検出ができる。

【０１１９】従って、１つのプロセッシングユニットが
故障した場合は正しいプロセッシングユニットを特定し
てその出力を選択出力できる。また、複数のプロセッシ
ングユニットが故障した場合は二重故障として検出でき
る。なお、二重故障信号１０は図２に示す例においては
使用しないため、図２に示した多数決回路２からの出力
信号の中には記載していない。

【０１２０】［障害検出／切り離し］多数決回路２に
て、誤動作していると判定されたプロセッシングユニッ
トは、一時的に処理が凍結される。凍結されたプロセッ
シングユニットシステム全体の処理の中で影響の無い時
に、故障原因を特定するための自己診断処理を実行す
る。自己診断の結果が良好であり復旧可能と考えられる
場合は、復帰のための処理を実行し再度３つのプロセッ
シングユニットによる同期動作が再開する。

【０１２１】このようにして、１個のプロセッシングユ
ニットが誤動作しても、プロセッシングボード１２５と
しては正常動作が継続される。

【０１２２】図２において、１つの入力信号が他の２つ
の入力信号と異なった時、多数決回路２により故障した
プロセッシングユニットを特定し、このプロセッシング
ユニットを以後の多数決の対象から切り離すと同時に、
凍結回路２０２は、故障したプロセッシングユニットへ
の応答信号を返さないことにより、故障したプロセッシ
ングユニットの動作を一時的に凍結させる。

【０１２３】この時、多数決回路２は、単一故障が発生
したことを、単一故障信号９にて機能回路１４に伝え
る。

【０１２４】図８に機能回路１４の内部構造を示す。機
能回路１４は割込制御回路１８０を備えている。割込制
御回路１８０は凍結回路２０２によって、故障している
と判定されたプロセッシングユニットが凍結されたこと
を他の正常動作を行っているプロセッシングユニットに
伝えるものである。割込制御回路１８０はドライブ回路
１８１を経由して、出力信号１７１ないし１７３に割込
情報を出力し、プロセッシングユニットに割り込みを発
生させる。このようにして、故障したプロセッシングユ
ニットが多数決回路から切り離され、凍結されたこと
を、正常動作を続行している他の２個のプロセッシング
ユニットに伝えることができる。

【０１２５】また、機能回路１４は、アドレスラッチ回
路１８２とストローブ信号生成回路１８３を備えてい
る。アドレスラッチ回路１８２は、多数決信号７に含ま
れているアドレスをラッチする回路である。ストローブ
信号生成回路１８３は、凍結回路に設けられたフラグに
割り当てられたアドレスに対する書き込み指示が合った
場合に、制御書き込み信号２５６を生成する。即ち、ス
トローブ信号生成回路１８３は、アドレスラッチ回路１
８２がラッチしたアドレスが凍結回路２０２に存在する
フラグに割り当てられたアドレスであり、かつ、そのア
ドレスへの書き込み指示の場合に多数決信号７に含まれ
ているデータを用いて、フラグセットを指示するストロ
ーブ信号２５６を生成する。

【０１２６】更に、機能回路１４は、システムバス制御
回路１８４を備えている。システムバス制御回路１８４
は、システムバス１４１とのインタフェースを司るもの
である。システムバス制御回路は、システムバス１４１
を介して、主記憶装置１４３あるいは入出力バスアダプ
タに対して、入出力処理を実行することを指示する。そ
して、これら主記憶装置１４３あるいは入出力バスアダ
プタ１４５からの処理終了をシステムバス１４１を介し
て認識すると、内部応答信号２５４を生成して凍結回路
２０２に出力する。この内部応答信号２５４は、次の処
理の受け付けが可能な状態になったことを示す信号であ
り、凍結回路２０２により応答信号として、各プロセッ
シングユニット１−１ないし１−３に対して送られる。

【０１２７】［切り離し／隔離動作］図９は、凍結回路
２０２の内部構造を示す図である。凍結回路２０２にお
いて、接続フラグ７０は論理的に、どのプロセッシング
ユニットが接続されているかを示す３ビットのフラグで
ある。接続フラグ７０の各ビットは、それぞれプロセッ
シングユニット１−１ないし１−３が多数決ユニット１
３５に論理的に接続されているか否かを示している。接
続フラグ７０−ｎ（ｎ＝１ないし３）は、それぞれプロ
セッシングユニット１−ｎ（ｎ＝１ないし３）に対応す
る接続フラグを示す。接続セーブフラグ２４０は、接続
フラグにデータが書き込まれるたびに、直前の接続フラ
グの内容を保持しておく３ビットのフラグである。接続
セーブフラグ２４０−ｎ（ｎ＝１ないし３）は、それぞ
れプロセッシングユニット１−ｎ（ｎ＝１ないし３）に
対応する接続フラグを示す。隔離フラグ２１３は、２つ
以上のプロセッシングユニットが同期して動作している
（同期モードと呼ぶ）のではなく、１つのプロセッシン
グユニットが単独で動作しているモード（隔離モードと
呼ぶ）であることを示す１ビットのフラグである。ＡＮ
Ｄ回路２５１は、図８におけるシステムバスとのインタ
フェースを司るシステムバス制御回路１８４から出力さ
れ、プロセッシングユニットに対して、次の処理の受け
付け可能な状態になったことを示す内部応答信号２５４
と、接続フラグ７０の出力とのＡＮＤ条件をとり、プロ
セッサバス１２１における３本の応答信号１６１ないし
１６３を出力する。各応答信号１６１ないし１６３は、
それぞれプロセッシングユニットＡ、プロセッシングユ
ニットＢ、及びプロセッシングユニットＣに出力され
る。データ信号２２０−ｎは、図８における多数決回路
２の出力である多数決信号７のうち、データを転送する
ために用いるデータ信号２２０を、ビット対応に表現し
た信号である。選択回路２５５は、接続セーブフラグ２
４０−ｎ（ｎ＝１ないし３）の出力と、データ信号２２
０−ｎ（ｎ＝１ないし３）のいずれかを隔離フラグ２１
３の出力により選択する。ＡＮＤ回路２５７は、隔離フ
ラグ２１３の出力とプロセッシングユニットからのデー
タ信号２２０−４とのＡＮＤ条件をとる。制御書き込み
信号２５６は、接続フラグ７０、接続セーブフラグ２４
０及び隔離フラグ２１３への書き込みを指示する。制御
書き込み信号は、図８におけるアドレスラッチ回路１８
２の出力であるアドレス情報をデコードして生成される
ストローブ信号である。リセット信号２５８は、電源投
入時など、システムリセットが発生した時出力される。
強制割込フラグ２１４は、プロセッシングユニット１−
１ないし１−３のそれぞれに対してマスク不可能な強制
割込を発生させるフラグである。強制割込フラグは機能
回路１４を経由して、各プロセッシングユニットそれぞ
れに対して強制割込を発生させる強制割込信号２２１を
出力する。強制割込信号２２１−ｎ（ｎ＝１ないし３）
は、それぞれ割込を発生させる対象となるプロセッシン
グユニット１−ｎ（ｎ＝１ないし３）に対応する強制割
込信号を示す。障害検出回路２６０は、図３における多
数決回路２からの出力である比較結果信号５１ないし５
３を入力とし、プロセッシングユニットＡに対するエラ
ー検出信号（ＥＡ＊：負論理）２６１、プロセッシング
ユニットＢに対するエラー検出信号（ＥＢ＊：負論理）
２６２、及びプロセッシングユニットＣに対するエラー
検出信号（ＥＣ＊：負論理）２６３を出力する。図１０
に、障害検出回路２６０の真理値表を示す。例えば、第
６列について説明すると、入力として、プロセッシング
ユニットＢとＣの比較結果のみが一致しているため、プ
ロセッシングユニットＡが故障していると考えられる。
よって、プロセッシングユニットＡに対するエラー検出
信号（ＥＡ＊）２６１のみが“０”（負論理）となり、
他のプロセッシングユニットＢに対するエラー検出信号
（ＥＢ＊）２６２、及びプロセッシングユニットＣに対
するエラー検出信号（ＥＣ＊）２６３はともに“１”
（負論理）となって出力される。

【０１２８】以下、接続フラグ７０、隔離フラグ２１
３、及び強制割込発生フラグ２１４をまとめて、制御レ
ジスタ２７１と称する。この制御レジスタ２７１は、所
定のアドレスを有しているものとする。図１１は、凍結
回路２０２に関する、プロセッシングユニットからみた
７ビットの制御レジスタ２７１のビット割り付けを示
す。ビット１からビット３は、３ビットの接続フラグ７
０の各ビットに対応し、それぞれ、プロセッシングユニ
ット１−１ないし１−３を論理的接続状態にするときに
プロセッシングユニットが“１”を設定する。ビット４
は、１ビットの隔離フラグ２１３に対応し、あるプロセ
ッシングユニットを隔離状態で動作させる時にプロセッ
シングユニットが“１”を設定する。ビット５からビッ
ト７は、プロセッシングユニット１−１ないし１−３の
それぞれに対して、強制割込を発生させる時にプロセッ
シングユニットが“１”を設定する。

【０１２９】プロセッシングユニットが制御レジスタ２
７１を設定する場合は、制御レジスタ２７１に割り当て
られた所定のアドレスに対して書き込み命令を発生させ
ることによって行う。プロセッシングユニットより出力
されたアドレスと、リード／ライト信号による書き込み
命令は図８に示すアドレスラッチ回路１８２及びストロ
ーブ信号生成回路１８３により、制御レジスタ２７１に
対する書き込み命令であることが判定される。ストロー
ブ信号生成回路１８３は、ストローブ信号２５６を制御
書き込み信号として発生させる。凍結回路２０２の接続
フラグ７０、隔離フラグ２１３及び強制割込フラグ２１
４は、このストローブ信号２５６に基づき、プロセッシ
ングユニットが出力したデータを制御レジスタ２７１に
設定する。なお、隔離フラグ２１３が“１”にセットさ
れている状態で、制御レジスタ２７１に書き込みを行う
と、接続フラグ７０は接続セーブフラグ２４０の内容に
セットされ、隔離フラグ２１３は“０”にリセットされ
る。

【０１３０】図１２は、本発明の第１実施例に係る高信
頼化計算機の故障が発生したプロセッシングユニットの
復旧動作を示すフローチャートである。また、図１３
は、同じく復旧動作を示すタイミングチャートである。

【０１３１】以下、３個のプロセッシングユニット１の
内、１個のプロセッシングユニット（仮にプロセッシン
グユニットＡとする）が故障した時の動作を説明する。
初期状態及び通常同期動作状態ではリセット信号２５８
により、接続フラグ７０、接続セーブフラグ２４０はと
もに“１１１”に、隔離フラグ２１３は“０”になって
いる（ＳＴ１、ＳＴ２）。

【０１３２】まず、障害検出工程１００について説明す
る。障害が発生したプロセッシングユニットＡは、多数
決回路２で検出され、対応するエラー検出信号２６１が
出力される。これにより、３ビットの接続フラグ７０が
“０１１”となり、プロセッシングユニットＡに対する
応答信号１６１が多数決回路２から出力されなくなり、
プロセッシングユニットＡが凍結状態になる。

【０１３３】いずれかのプロセッシングユニットが故障
したことは、前述の通り単一故障信号９により、図８に
示す機能回路１４における割込制御回路１８０に伝えら
れる。割込制御回路１８０は、正常動作しているプロセ
ッシングユニットＢ，Ｃに割込を発生させる。こうし
て、プロセッシングユニットＢ，Ｃはプロセッシングユ
ニットＡが故障したことを検知することができる（ＳＴ
７）。

【０１３４】次に、故障診断工程２００について説明す
る。故障を検知したプロセッシングユニットＢ，Ｃは制
御レジスタを用いてプロセッシングユニットＡを単独動
作させる。即ち、プロセッシングユニットＢ，Ｃが制御
レジスタに“１００１１００”を書き込むことにより
（図１２、図１３、ＳＴ８）、プロセッシングユニット
Ｂ，Ｃは凍結状態になり、プロセッシングユニットＡは
凍結状態から解除され、隔離動作モードによる動作を開
始する。また、プロセッシングユニットＢ，Ｃが制御レ
ジスタに“１００１１００”を書き込む時、接続フラグ
７０の以前の設定値“０１１”が接続セーブフラグ２４
０にセーブされる。また、この時、プロセッシングユニ
ットＢ及びＣは、プロセッシングユニットＡに対する、
強制割込フラグ（ビット４）をセットする。このため最
高レベルの割込が発生し、プロセッシングユニットＡ
は、予め用意されたエラー解析及び自己診断用の特別処
理ルーチンを実行する（図１２、ＳＴ２）。プロセッシ
ングユニットＡは、自らのエラー情報及び自己診断結果
を、図１４に示すように、プロセッシングユニットＡ，
Ｂ，Ｃごとに予め決められた主記憶装置１４３の退避領
域（Ａ）２９１に書きだす（２９２は、プロセッシング
ユニットＢの退避領域（Ｂ）、２９３は、プロセッシン
グユニットＣの退避領域（Ｃ）である）。また、故障し
たプロセッシングユニットＡは、制御レジスタ２７１を
セットする前にキャッシュメモリ１０７を無効化（パー
ジ）しておく。故障したプロセッシングユニットＡによ
る主記憶装置１４３の書き込みが終了すると、制御レジ
スタ２７１に書き込み処理を行う（図１２、ＳＴ３）。
前述したように、隔離フラグ２１３がセットされている
状態での制御レジスタ２７１への書き込みは、書き込み
データによらず、接続フラグ７０には接続セーブフラグ
２４０にセットされていた情報“０１１”が書き戻され
るので、プロセッシングユニットＢ，Ｃは再度動作を開
始する。

【０１３５】次に、同期工程３００について説明する。
再度動作を再開したプロセッシングユニットＢ，Ｃは、
プロセッシングユニット内の全レジスタの内容を、主記
憶装置１４３の予め決められたレジスタ退避領域２９４
に退避する（図１２、ＳＴ９）。次にプロセッシングユ
ニットＢ，Ｃは、障害の発生したプロセッシングユニッ
トＡが主記憶装置１４３に書き出した内容の解析を行
い、プロセッシングユニットＡの自己診断結果に基づ
き、プロセッシングユニットＡが復旧可能かどうかの判
断を行う（図１２、ＳＴ１０）。もし、自己診断結果が
良好であり、一時的な故障と判断すると、正常なプロセ
ッシングユニットＢ，Ｃは、キャッシュメモリ１０７の
フラッシュを行い（図１２、ＳＴ１１）、制御レジスタ
２７１に“１１１００００”をセットする（図１２、図
１３、ＳＴ１２）。次に、プロセッシングユニットＡ，
Ｂ，Ｃは、ＳＴ９においてレジスタ退避領域２９４に退
避しておいたプロセッシングユニットの全レジスタの内
容をリストアする。このようにして動作を再開したプロ
セッシングユニットＡは、正常動作を行っているプロセ
ッシングユニットＢ，Ｃと全レジスタ内容が同一となる
（図１２ＳＴ４、ＳＴ１３）。こうして、プロセッシン
グユニットＡ，Ｂ，Ｃは、障害発生の特別処理ルーチン
を終了する（図１２ＳＴ５、ＳＴ１４）。ところで、Ｓ
Ｔ３とＳＴ１２のライト命令、ＳＴ４とＳＴ１３のリス
トア命令、ＳＴ５とＳＴ１４のリターン命令は、それぞ
れ主記憶装置１４３上では、同一アドレスに格納されて
いる命令である。ＳＴ３とＳＴ１２のライト命令は、故
障したプロセッシングユニットＡと正常なプロセッシン
グユニットＢ，Ｃが別々のタイミングで実行する。故障
したプロセッシングユニットＡは、ＳＴ３の実行直後に
凍結される。凍結されたプロセッシングユニットＡは正
常なプロセッシングユニットＢ，ＣがＳＴ１２の命令を
実行した時点で凍結状態が解除される。それ以降は３個
のプロセッシングユニットＡ，Ｂ，Ｃが同じ命令列を同
じタイミングで同期して実行するようになる。もし、自
己診断の結果も不良であり、復旧不可能な故障と判断す
ると（ＳＴ１０）、制御レジスタ２７１のセットは行わ
ず、ＳＴ１３の命令実行にジャンプし、故障したプロセ
ッシングユニットＡを切り離したままで処理を続行する
ことになる。

【０１３６】［電源投入時の自己診断］図１５は、電源
投入時における自己診断のシーケンスを示すフローチャ
ートである。電源投入時は、３個のプロセッシングユニ
ットによる同期動作をまず開始し、例えば、プロセッシ
ングユニットＡを隔離モードで動作させ、自己診断を実
行させる。プロセッシングユニットＡの自己診断が終了
すると、一旦３個のプロセッシングユニットの同期動作
に戻る。次にプロセッシングユニットＢを隔離モードの
動作で自己診断をさせるといったように、順次自己診断
を実施する。すべての自己診断が完了すると３個の自己
診断の結果を判定し、もしエラーを発生したプロセッシ
ングユニットがあれば、接続フラグ７０の対応するビッ
トを“０”にすることで切り離しを行う。上記の処理が
完了すると、３個のプロセッシングユニットによる同期
動作で、通常の処理を開始する。

【０１３７】次に、図１６（ａ）、（ｂ）はこの実施例
における障害回復処理の流れを示す図である。ＳＴ８０
１において、３つのＣＰＵが完全に同期して動作してお
り、多数決回路は１つのＣＰＵの出力を選択し外部に出
力する。ＳＴ８０２においては、多数決回路により故障
したＣＰＵの検出が行われる。次に、ＳＴ８０３におい
ては、故障したＣＰＵを一時的に切り離す。ＳＴ８０４
においては、正常なＣＰＵにより処理が継続される。Ｓ
Ｔ８０５においては、隔離動作により故障したＣＰＵの
自己診断を行う。ＳＴ８０６においては、正常なＣＰＵ
により診断の結果故障したＣＰＵが再び動作できると判
定した場合に再同期処理を行う。再同期処理により故障
したＣＰＵが再び動作した場合には、ＳＴ８０１に戻り
３つのＣＰＵが完全に同期をとりながら動作する。ＳＴ
８０６において、再同期処理がとられなかった場合に
は、ＳＴ８０７において新たなＣＰＵボードが追加さ
れ、そのＣＰＵボードが他の正常なＣＰＵボードと同期
した処理ができるように内部状態がコピーされ、故障を
起こしたＣＰＵの処理を引き継ぐ。次に、ＳＴ８０８に
おいて故障したＣＰＵボードを取り外す。

【０１３８】次に、この実施例の構成上の特徴を以下に
記述する。 （１）ＴＭＲ方式 ・ＣＰＵとキャッシュで構成されるＣＰＵモジュール３
個を、１ボードに実装している。 ・多数決により正常な１ＣＰＵの出力を選択する。 （２）バス構成 ・入出力バスアダプタによりシステムバスと既存のＩ／
Ｏバスを接続している。 ・ＣＰＵボード、主記憶装置、入出力バスアダプタを接
続する二重化システムバスを備えている。 （３）一時的故障の自動修復が特徴 ・キャッシュを含めたＣＰＵモジュールの一時的故障は
全てＨ／Ｗ交換なしに修復可能である。 ・主記憶装置のエラーも修復可能である。 （４）故障ＣＰＵボードの引継ぎ ・Ｓ／Ｗに全くインパクトを与えないでＨ／Ｗ、Ｆ／Ｗ
レベルで故障ＣＰＵボードの引継ぎを行う。

【０１３９】この構成によれば、以下の利点である。 （１）キャッシュがＣＰＵに直接接続されるため性能向
上が容易である。 （２）キャッシュを含めた多数決が行えるので信頼性が
向上する。 （３）ＩＯＣは従来のものをそのまま使用することがで
きる。

【０１４０】以上のように、この実施例は、同一プロセ
ッシングボードに実装された複数のプロセッサと、各プ
ロセッサごとに接続されるキャッシュメモリ（プロセッ
サとキャッシュメモリを合わせてプロセッシングユニッ
トと呼ぶ）と、各プロセッシングユニットの出力の多数
決を行う多数決ユニットと、多数決ユニットに接続され
るシステムバスと、システムバスに接続された主記憶装
置及び入出力バスアダプタと、入出力バスに接続された
Ｉ／Ｏバスと、Ｉ／Ｏバスに接続されたＩ／Ｏ装置とを
備えたものである。

【０１４１】また、この実施例では、前記多数決ユニッ
トにおいて、多数決の結果、不一致を検出した場合、故
障したプロセッシングユニットを以後の多数決の対象か
ら切り離すと同時に、対応するプロセッシングユニット
の動作を凍結させる応答信号を備えたものである。

【０１４２】また、高い信頼性のあるプロセッシングボ
ードを得るために、二重化した多数決ユニットを備えた
ものである。

【０１４３】また、故障したプロセッシングユニットの
障害原因を知り、自己診断による修理箇所の特定、ある
いは再度同期動作に復旧可能か否かを知ることができる
ために、故障したプロセッシングユニットのみが動作す
る隔離モードを備えたものである。

【０１４４】また、故障したプロセッシングユニットの
処理が完了すると確実に正常なプロセッシングユニット
の動作状態に戻れるように、接続フラグを自動的に退避
する接続セーブフラグを備えたものである。

【０１４５】また、故障したプロセッシングユニットを
再同期させるために、故障したプロセッシングユニット
ならびに正常なプロセッシングユニットを共に接続し、
しかも故障したプロセッシングユニットと正常なプロセ
ッシングユニットの同期処理の最後で、同一命令列を実
行するようにしたものである。

【０１４６】この実施例によれば、複数のプロセッシン
グユニットが同一のプロセッシングボード上にあるた
め、ボード間をクロックが渡ることがなく、動作周波数
を向上させることができる。

【０１４７】また、複数のプロセッシングユニットが同
一クロックで同期して動作するため、お互いにメモリア
クセス時に同期をとる必要がなく、ロジックが簡単にな
り、メモリアクセスにオーバヘッドがかからない。

【０１４８】また、複数のプロセッシングユニットごと
にキャッシュメモリを持つため、キャシュメモリの内容
を含めた動作結果の多数決による比較照合が可能とな
り、計算機の信頼性を向上させる。

【０１４９】また、複数のプロセッシングユニットごと
にキャッシュメモリを持つため、キャッシュメモリの内
容を含めた動作結果の比較照合が可能となり、計算機の
信頼性を向上させる。

【０１５０】また、複数のプロセッシングユニットごと
にキャッシュメモリを持ち、その出力にて複数プロセッ
シングユニットの比較照合を行うため、比較照合結果に
よるキャシュメモリへのバス切り替えのオーバヘッドが
なく、高速動作の実現が可能となる。

【０１５１】また、多数決ユニットを二重化することに
より、高い信頼性のあるプロセッシングボードを得るこ
とができる。

【０１５２】また、故障したプロセッシングユニットに
対して応答信号を返さないことで故障したプロセッシン
グユニットの動作を凍結することにより、故障したプロ
セッシングユニットが勝手な動作を行い、プロセッシン
グボード及び計算機の内部レジスタなどを破壊すること
を防止する。

【０１５３】また、故障したプロセッシングユニットに
対して応答信号を返さないことで故障したプロセッシン
グユニットの動作を凍結することにより、故障したプロ
セッシングユニットの障害発生時の状態を可能な限り破
壊せず、その後の故障原因の解析を容易にする。

【０１５４】また、正常なプロセッシングユニットの判
断で、故障したプロセッシングユニットを隔離モードで
動作させることにより、故障したプロセッシングユニッ
トの障害原因を知ることができ、修理箇所の特定、ある
いは再度同期動作に復旧可能か否かを知ることができ
る。

【０１５５】また、故障したプロセッシングユニットか
ら接続フラグへの書き込みは、故障したプロセッシング
ユニットによって明示的に行うことができず、接続フラ
グへの書き込み動作のみで接続フラグの内容が自動的に
接続セーブフラグの内容に戻るようにするため、故障し
たプロセッシングユニットの処理が完了すると確実に正
常なプロセッシングユニットの動作状態に戻ることがで
きる。

【０１５６】また、正常なプロセッシングユニットが故
障したプロセッシングユニットならびに正常なプロセッ
シングユニットをともに接続するように制御レジスタを
セットし、しかも制御レジスタのセットを、故障したプ
ロセッシングユニットと正常なプロセッシングユニット
の同期処理の最後で、同一命令列を実行することによ
り、故障したプロセッシングユニットを再同期させるこ
とが可能となる。

【０１５７】実施例２．図１７は、実施例１における図
９の凍結回路２０２の内部に、隔離監視タイマ２８０を
設けた凍結回路２０２ａを示す。この実施例では、故障
したプロセッシングユニットＡは、正常なプロセッシン
グユニットＢ，Ｃにより設定された時間内においてのみ
動作可能とする。そして、正常なプロセッシングユニッ
トＢ，Ｃが凍結状態でロックされるのを防ぐようにす
る。また、図１８は、実施例１における図８の機能回路
の割込制御回路の入力に隔離監視割込信号４２３を追加
した機能回路１４ａを示す。

【０１５８】故障したプロセッシングユニットＡを隔離
モードで動作させる時、マスク不可能な強制割込信号２
２１−１により、それまでプロセッシングユニットＡが
実行していたプログラムは強制的に中断させられ、エラ
ー解析ルーチンが実行されるので、ある程度はエラー発
生の状態から隔離されるが、故障の程度によっては、プ
ロセッシングユニットＡが正常なプロセッシングユニッ
トＢ，Ｃの凍結状態を解除して元の状態に戻すための制
御レジスタ２７１の書き込みができない可能性がある。

【０１５９】これを防止するために、隔離モード（隔離
フラグが“１”）になると、自動的に隔離監視タイマ２
８０が動作を開始する。隔離監視タイマ２８０はある一
定時間（Ｔ１）が経過すると、隔離監視タイマの出力で
ある隔離監視割込信号４２３を“１”にする。隔離監視
割込信号４２３が発生すると凍結回路は、接続フラグ７
０の内容を接続セーブフラグ２４０の内容に戻すととも
に、隔離モードをリセットする。故障したプロセッシン
グユニットＡは再び凍結状態になり、凍結状態であった
正常なプロセッシングユニットＢ，Ｃは動作を開始す
る。正常なプロセッシングユニットＢ，Ｃは、隔離監視
タイマの出力が“１”となったことを、図１８における
割込制御回路１８０ａからの割込により知ることができ
る。正常なプロセッシングユニットＢ，Ｃは、故障した
プロセッシングユニットＡが凍結解除が不可能なくらい
致命的な故障をおこしていると判断し、故障したプロセ
ッシングユニットＡを今後の動作に参加させない（完全
に切り離す）。

【０１６０】以上のようにこの実施例は、計算機全体が
ロック状態になることを防止するために、隔離監視タイ
マを設けたものである。また、電源投入時に計算機をハ
ングアップさせないために、隔離監視タイマを用いるこ
とができる。前述した隔離監視タイマを用いて電源投入
時の自己診断処理が正しく動作しない場合、計算機を元
の正常動作状態に戻すことができる。

【０１６１】この実施例によれば、正常なプロセッシン
グユニットを凍結した状態で、故障したプロセッシング
ユニットによる動作が完了しない場合でも、隔離監視タ
イマにより、自動的に正常なプロセッシングユニットの
凍結状態は解除されるため、計算機全体がロック状態に
なることを防止する。また、電源投入時の自己診断処理
が正しく動作しない場合、タイマ監視により元の正常動
作状態に戻るため、電源投入時に計算機がハングアップ
しない。

【０１６２】実施例３．実施例２において、故障したプ
ロセッシングユニットを隔離モードで動作させる時、タ
イムアウト機能により、自動的に元の状態に戻すことは
可能であるが、誤動作により正常なプロセッシングユニ
ットのアクセス対象である主記憶装置や外部の制御回路
のレジスタ内容などを破壊する可能性があった。図１９
は、図１８における機能回路において、書き込み許可開
始アドレスを格納する下限フェンスレジスタ３０１、書
き込み許可終了アドレスを格納する上限フェンスレジス
タ３０２を備え、下限フェンスレジスタ３０１と、上限
フェンスレジスタ３０２と、隔離フラグ２１３と、アド
レス信号３０３と、リード／ライト信号３０５の内容を
入力とし、主記憶装置のメモリアドレス空間及びＩ／Ｏ
装置のＩ／Ｏアドレス空間へのアクセスを許可するイネ
ーブル信号３０７を出力するチェック回路３０６とを追
加した機能回路１４ｂを示す。チェック回路３０６は、
隔離フラグ２１３の出力が“１”の状態では、主記憶装
置のメモリアドレス空間及びＩ／Ｏアドレス空間に対す
る書き込み（リード／ライト信号３０５がライトを示し
ている時）は、下限フェンスレジスタ３０１、上限フェ
ンスレジスタ３０２にて指定されるアドレス空間のみア
クセスを許可するようにハードウェアで制御するための
イネーブル信号３０７を出力する。なお、このチェック
回路３０６は、隔離モードから凍結状態に戻るための制
御レジスタ２７１（データの値は無視される）のアクセ
スを妨げない。また、書き込み許可範囲は、正常なプロ
セッシングユニットＢ，Ｃが通常の動作では使用しない
領域を設定する。なお、読み出しに関しては、全ての空
間にたいしてアクセス可能とする。

【０１６３】以上のようにこの実施例は、故障したプロ
セッシングユニットの誤動作による正常なプロセッシン
グユニットからアクセス可能な主記憶装置などの内容の
破壊を防止するために、故障したプロセッシングユニッ
トが、隔離動作中にアクセスすることができるアドレス
空間を設定する下限フェンスレジスタ、及び上限フェン
スレジスタを備えたものである。

【０１６４】この実施例によれば、故障したプロセッシ
ングユニットが、隔離動作中にアクセスすることができ
るアドレス空間を、正常なプロセッシングユニットによ
り予め設定しておくことにより、故障したプロセッシン
グユニットの誤動作による正常なプロセッシングユニッ
トの計算機資源の破壊を防止することができる。

【０１６５】実施例４．実施例２において、故障したプ
ロセッシングユニットＡが、自らのエラーの情報及び自
己診断結果を主記憶装置１４３に書き出す処理に長い時
間を要する場合、正常なプロセッシングユニットＢ，Ｃ
が実行しているプログラムは、プロセッシングユニット
Ａが実行している間、停止することになる。そこで、正
常なプロセッシングユニットＢ，Ｃと、故障したプロセ
ッシングユニットＡを交互に動作させることにより、本
来のプログラムの実行停止時間を一定時間以下におさえ
ながら復旧処理を実行することが望ましい。

【０１６６】図２０は、図１７において、隔離モードの
実行時間を設定する隔離時間タイマ３８１（タイマ設定
値＝Ｔ２とする）と、隔離モードを実行する時間間隔を
設定する隔離間隔タイマ３８２（タイマ設定値＝Ｔ３と
する）と、障害の生じたプロセッシングユニットＡの主
記憶装置１４３への書き出しが終了したことを示す１ビ
ットの同期フラグ２１７とを追加した凍結回路２０２ｂ
を示す。また、図２１は、実施例２における図１８の機
能回路の割込制御回路の入力に隔離時間割込信号４２１
及び隔離間隔割込信号４２２を追加した機能回路１４ｃ
を示す。タイマ設定時間が経過すると、隔離時間タイマ
３８１及び隔離間隔タイマ３８２は、それぞれ隔離時間
割込信号４２１、隔離間隔割込信号４２２を出力する。
隔離監視タイマ２８０は、図１７における隔離監視タイ
マと同一であり、タイマ設定値をＴ１とする。なお、タ
イマ設定値Ｔ１，Ｔ２，Ｔ３は、図２２に示すようにＴ
２＜Ｔ１＜Ｔ３の関係になるようにプロセッシングユニ
ットより設定する。

【０１６７】この実施例では、図２２（ａ）に示すよう
に隔離間隔タイマ３８２に設定されたタイマ設定値Ｔ３
毎に隔離モードを実行する。この隔離モードの実行時間
は、隔離時間タイマ３８１に設定されたタイマ設定値Ｔ
２の期間である。もし故障したプロセッサが正常に動作
する場合には、このタイマ設定値Ｔ２の期間だけ隔離モ
ードを実行し、その後正常なプロセッシングユニットを
動作させる。このようにして、故障したプロセッシング
ユニットは、期間Ｔ３毎に隔離モードを期間Ｔ２ずつ実
行することになる。もし故障したプロセッシングユニッ
トが致命的なエラーを起こしており、正常なプロセッシ
ングユニットを動作させることができない場合には、期
間Ｔ２を経過してしまう。この場合には、隔離監視タイ
マ２０１に設定されたタイマ設定値Ｔ１が経過し、期間
Ｔ１の経過により隔離モードが強制終了させられ、正常
なプロセッシングユニットＢ，Ｃを再び動作させること
が可能になる。それぞれのタイマの起動／停止／設定時
間経過後の処置を、図２３に示す。同期フラグ２１７
は、障害の生じたプロセッシングユニットＡの主記憶装
置１４３への書き出しが終了したことを示す１ビットの
フラグである。同期フラグ２１７は、プロセッシングユ
ニットによりデータ信号２２０−８を経由してセットさ
れ、隔離フラグ２１３が“１”（隔離モード）の時でも
プロセッシングユニットから書き込みが可能である。図
２４に同期レジスタ２１７をビット８に追加した制御レ
ジスタ２７１ａのビットアサインを示す。

【０１６８】以下、動作について説明する。正常なプロ
セッシングユニットＢ，Ｃによる隔離フラグ２１３のセ
ットにより、故障したプロセッシングユニットＡによる
隔離モード動作が開始し、この時、隔離監視タイマ２８
０、隔離時間タイマ３８１、隔離間隔タイマ３８２の３
個のタイマが起動される。プロセッシングユニットＡに
よるエラー情報の主記憶装置１４３への書き出しが正常
に動作していると、隔離時間タイマ３８１の設定時間Ｔ
２が経過し、隔離フラグ２１３がリセットされ（隔離監
視タイマ２８０は停止する）、凍結状態の正常なプロセ
ッシングユニットＢ，Ｃが動作を開始する。この時、障
害が発生したプロセッシングユニットＡのエラー情報が
すべて主記憶装置１４３に書き出されていないならば、
故障したプロセッシングユニットＡは同期フラグ２１７
をセットしない。凍結状態から動作を再開した正常なプ
ロセッシングユニットＢ，Ｃは、同期フラグ２１７の内
容がセットされていないことにより、故障したプロセッ
シングユニットＡの処理がすべて完了していないことを
知るとともに、通常のプログラム実行を行う。隔離間隔
タイマ３８２の設定時間Ｔ３が経過すると、正常なプロ
セッシングユニットＢ，Ｃに割込が発生する。正常なプ
ロセッシングユニットＢ，Ｃは再度隔離フラグ２１３を
セットして制御レジスタ２７１に書き込みを行い、自ら
は凍結状態になるとともに、障害を発生したプロセッシ
ングユニットＡはエラー情報の主記憶装置１４３への書
き出し動作を実行する。また、このとき隔離監視タイマ
２８０は動作を再開する。この動作を故障したプロセッ
シングユニットＡのエラー情報書き出しが終了するまで
繰り返す。もし、故障したプロセッシングユニットＡ
が、エラー情報の書き出しを完了した場合、制御レジス
タ２７１に書き込む時に、同期フラグ２１７を“１”に
セットする。このことにより、正常なプロセッシングユ
ニットＢ，Ｃは故障したプロセッシングユニットＡの主
記憶装置１４３への書き出し動作が完了したことを知
り、全レジスタを予め決められた主記憶装置１４３に退
避するといった復旧処理に移行する。以後の動作は、図
１２にて示した動作と同一である。

【０１６９】なお、図２２（ａ）に示したように、隔離
監視タイマ２８０は動作を停止再開することによりタイ
マ設定値Ｔ１までカウントするのではなく、図２２
（ｂ）に示すように、故障したプロセッシングユニット
Ａが動作するたびにリセットされて、新たにタイマ設定
値Ｔ１までカウントするようにしてもよい。この場合の
タイマ設定値Ｔ１は、タイマ設定値Ｔ２よりわずかに大
きな値であればよい。

【０１７０】以上のようにこの実施例は、正常なプロセ
ッシングユニットの動作停止時間を一定時間以下に限定
するために、故障したプロセッシングユニットの動作時
間を分割し１回の動作時間を限定する隔離間隔タイマ、
及び隔離時間タイマを備えたものである。

【０１７１】この実施例によれば、隔離間隔タイマの設
定値の時間間隔で、隔離時間タイマの設定値の時間の間
でしか隔離故障したプロセッシングユニットの動作時間
を許可しないことにより、故障したプロセッシングユニ
ットの動作による、正常なプロセッシングユニットの動
作停止時間を、一定時間以下に限定することができる。

【０１７２】実施例５．図２５は、実施例１における図
１の多数決を行う多数決ユニット１３５を一重化構成に
したもので、多数決ユニット１３５を簡略化することに
より低コストにて高い信頼性を得るようにしたものであ
る。

【０１７３】実施例６．図２６は、実施例１における図
１において、２つの入出力バスアダプタの接続先を１つ
のＩ／Ｏバス１４７とするために、入出力バスアダプタ
が同時にＩ／Ｏバスをアクセスしないようにした入出力
バスアダプタ１４５ａに変更したプロセッシングボード
１２５ｂを示す。図２６に示す１枚のプロセッシングボ
ード１２５ｂを、従来の計算機のＩ／Ｏバス１４７にそ
のまま接続可能にすることにより、従来の計算機を容易
にフォールトトレラント化することができる。

【０１７４】以上のようにこの実施例は、既存の計算機
のＩ／Ｏバスにそのまま挿入し、Ｉ／Ｏを除いた部分を
二重化するために、１枚のプロセッシングボード上に、
上記プロセッシングユニットと、該プロセッシングユニ
ットのうち１つを選択する多数決ユニットと、全てのプ
ロセッシングユニットと多数決ユニットを接続するプロ
セッサバスと、多数決ユニットに接続され二重化された
システムバスと、各システムバスに接続される主記憶装
置と、同じく各システムバスに接続され外部と入出力の
インタフェースをとるための二重化された入出力バスア
ダプタとを備えたものである。

【０１７５】また、上記の構成により、プロセッシング
ボード単体を十分な信頼性を持たせることができ、これ
を既存のＩ／Ｏバスにそのまま挿入することで、Ｉ／Ｏ
を除いた部分を二重化することができるという効果があ
る。

【０１７６】ＩＩ．プロセッシングボードの回復方式 「Ｉ．プロセッシングボードの基本動作」で説明したよ
うに、プロセッシングボード１２５は一部故障時（以後
一次故障と呼ぶ）にも継続動作するが、システムの可用
性から見ても、できるだけ速やかにその故障をシステム
から取り除くことが望ましい。ここでは一次故障発生
後、更に二次故障によるシステム障害を最小限にとどめ
るよう直ちに別のプロセッシングボードに引き継ぎを完
了するとともに、故障したプロセッシングボードの交換
によって通常運転に復帰するまでの回復方式について説
明する。なお、以下の実施例において故障したプロセッ
シングボードとは、プロセッシングユニットが故障した
プロセッシングボードまたは、一つの独立系が故障した
プロセッシングボードである。

【０１７７】実施例７．プロセッシングボード１２５
は、例えば図２７で示すＩＥＥＥｓｔｄ８９６ー１９９
１のＦｕｔｕｒｅｂｕｓ＋で規定されるようなフロント
パネル６００、及び表示ランプ６０１ａ，６０１ｂ，６
０１ｃ、及び活線挿抜スイッチ６０２を備えている。フ
ロントパネル６００は各プロセッシングボードに付属す
るパネルである。活線挿抜スイッチ６０２はプロセッシ
ングボードを活線挿抜するためのスイッチである。

【０１７８】以下に表示ランプの動作について説明す
る。図２７の表示ランプ６０１ａ，６０１ｂ，６０１ｃ
はプロセッシングボードの稼働状態を示すもので、正常
動作中、故障動作中、プロセッシングボード交換可能を
識別できるようになっている。正常動作ランプ６０１ａ
は、計算機の電源投入後から直ちに点灯し、プロセッシ
ングボードの故障がない通常運転状態の間点灯を続け
る。また活線挿入によりプロセッシングボードが正常挿
入されたときからも点灯を開始する。故障動作ランプ６
０１ｂは、プロセッシングボードの内部故障により、故
障部位を除いた残りの構成で継続運転しているときに点
灯する。正常動作ランプ６０１ａは、この故障動作ラン
プ６０１ｂの点灯中であっても、点灯し続ける。ボード
交換ランプ６０１ｃは、故障したプロセッシングボード
から他のプロセッシングボードへの引き継ぎ処理（後
述）が完了し、プロセッシングボードが交換可能な状態
になったときに点灯する。ボード交換ランプ６０１ｃの
点灯により、その他の表示ランプ６０１ａ，６０１ｂは
消灯する。なお、万一故障したプロセッシングボードが
継続運転できない故障を検知した場合は、故障動作ラン
プ６０１ｂのみを点灯させる。その際の引き継ぎ処理は
実施しない。

【０１７９】活線挿抜スイッチ６０２は、正常に動作中
の保守点検時や、プロセッシングボードのアップグレー
ド時など、プロセッシングボード交換の必要性のある場
合に用いるものである。プロセッシングボードを抜去す
る場合は、活線挿抜スイッチ６０２の”０”側に倒すこ
とにより、オペレーティングシステムに抜去指示が通知
される。オペレーティングシステムは、一連のプロセッ
シングボードの引き継ぎ処理を開始する。実際のプロセ
ッシングボードの抜去は、この引き継ぎ処理が完了し
て、該プロセッシングボードがボード交換ランプ６０１
ｃを点灯させた後に行なう。なお、オペレーティングシ
ステムが引き継ぎを実施しない場合には、又はプロセッ
シングボードの運転継続ができない故障のプロセッシン
グボードを交換可能状態にするか否かを、オペレーティ
ングシステムに予め設定しておくようにする。またプロ
セッシングボード挿入後に活線挿抜スイッチ６０２を”
１”側に倒すことにより、プロセッシングボードの自己
診断が開始される。その結果が正常の場合には、オペレ
ーティングシステムに挿入指示が通知され、プロセッシ
ングボード挿入によるシステムの再構築処理が開始され
て、通常の運転に復帰する。一方、自己診断に失敗した
場合は、故障動作ランプ６０１ｂが点灯し、交換プロセ
ッシングボードに異常があることを示す。この場合は、
再びプロセッシングボードを抜去して、新しいプロセッ
シングボードと交換する。なお、プロセッシングボード
挿入後に活線挿抜スイッチ６０２を”１”側に倒すこと
なく、ソフトウェア等によりプロセッシングボード挿入
動作の完了を通知する手段によって、活線挿抜スイッチ
６０２を”１”側に倒す動作と同等な動作をさせてもよ
い。

【０１８０】［マルチプロセッサの回復方式］ここで
は、共有メモリをもつマルチプロセッサタイプの場合の
回復方式について説明する。図２８は本実施例のシステ
ム構成を示している。このシステム構成では、システム
バス１４１にプロセッシングボード１２５、主記憶１４
３、入出力バスアダプタ１４５が接続されている。ま
た、プロセッシングボード１２５は複数台あり、図２８
中括弧内の添字はプロセッシングボードの番号を示して
いる。

【０１８１】各プロセッシングボード１２５には、その
プロセッシングボードに割り振られた割り込みベクタが
付されている。例えばプロセッシングボード１２５
（１）には、割り込みベクタ＝１が割り振られ、プロセ
ッシングボード１２５（２）には割り込みベクタ＝２が
割り振られ、プロセッシングボード１２５（ｎ＋１）に
は割り込みベクタ＝ｎ＋１が付されている。この割り込
みベクタは入出力アダプタ１４５等から出力されるＩ／
Ｏ割り込みがどのプロセッシングボードで受け付けられ
るべきものかを示す識別子である。入出力アダプタ１４
５からシステムバス１４１に出力されるＩ／Ｏ割り込み
にはこの割り込みベクタが付加されている。この割り込
みベクタが付加されたＩ／Ｏ割り込みをその割り込みベ
クタを持つプロセッシングボードで受け付けるようにし
ている。

【０１８２】また、本実施例におけるシステムでは、あ
る仕事量を処理するＮ台（Ｎ≧１）のプロセッシングボ
ード１２５に、更に１台のプロセッシングボード１２５
を加えたＮ＋１台のプロセッシングボード１２５で処理
を実行する構成から成るものとする。各プロセッシング
ボード１２５はシャーシに設けられたスロットに収めら
れる。

【０１８３】以下に、故障時のプロセッシングボード１
２５の処理の移行手順について説明する。ここで、プロ
セッシングボード１２５（１）は、３つのうち１つのプ
ロセッシングユニットが故障を引き起こしている故障状
態にあり、故障部位を除いた残りの構成で運転を継続し
ている状態にあるものとする。プロセッシングボード１
２５（１）は、この状態の間、正常動作ランプ６０１ａ
と故障動作ランプ６０１ｂを点灯している。そして、こ
のプロセッシングボード１２５（１）の故障は、オペレ
ーティングシステムに通知され、そこで故障の状況が調
べられ、固定故障と判定されたら、処理の引き継ぎを開
始する。

【０１８４】各プロセッシングボード１２５が担当する
処理は、オペレーティングシステムによって管理され
る。プロセッシングボード１２５が担当する処理は、一
般にその処理の管理単位（以後プロセスと呼ぶ）でオペ
レーティングシステムによって割り付けられる。そし
て、プロセッシングボード１２５には、現在実行中のプ
ロセス以外に、通常は予め幾つかのプロセスが予約され
ている。この予約されたプロセスはプロセッシングボー
ド毎に定められるプロセスキューに登録される。このプ
ロセスキューに登録されたプロセスに従ってプロセッシ
ングボードの処理が進められている。

【０１８５】オペレーティングシステムは、故障発生
後、直ちに故障したプロセッシングボードのプロセスキ
ューへの新たなプロセスの登録を中止する。そして、オ
ペレーティングシステムは、以降故障したプロセッシン
グボードにより実行されるべきプロセスを別のプロセッ
シングボードのプロセスキューに割り付けることにより
処理の引き継ぎを行なう。

【０１８６】実際の処理の引き継ぎは、故障したプロセ
ッシングボード１２５（１）から、故障の通知を受けた
オペレーティングシステムによって、できるだけ早期に
プロセスの切り替わるタイミングで開始される。オペレ
ーティングシステムは、故障したプロセッシングボード
１２５（１）への新たなプロセスの割り付けを中止し
て、故障したプロセッシングボード１２５（１）が以降
実行する予定であったプロセスを、別の正常なプロセッ
シングボード１２５（２）を始めとする複数のプロセッ
シングボード１２５に移行する。なお、この引き継ぎ処
理を実行するオペレーティングシステムは、一般に割り
込みマスタ（後述）の機能を備えるプロセッシングボー
ド上で稼動する。

【０１８７】この処理の移行により複数台のプロセッシ
ングボード１２５は、故障したプロセッシングボード１
２５（１）の処理を引き継ぐことになる。故障したプロ
セッシングボードの交換が完了するまでの間、一時的に
それらの複数台のプロセッシングボードに負荷が集まる
ことになり、思わぬ性能低下につながることがある。し
かしながら、本実施例では前述したようにＮ台で実行す
る仕事を、予めＮ＋１台のプロセッシングボード１２５
で実行している。従って、引き継ぎ後もプロセッシング
ボードの数はＮ台となるだけで、予め想定していたＮ台
の負荷分散により、処理の引き継ぎができる。なお、処
理を移行しようとする移行先のプロセッシングボードが
万一ない場合には、引き継ぎは行なわず、故障したプロ
セッシングボードはそのままの故障状態で処理を継続
し、後述するシングルプロセッサの移行処理を行なう。

【０１８８】次に、この引き継ぎ処理の完了後の説明を
する。引き継ぎ処理が終了すると故障したプロセッシン
グボード１２５（１）は直ちに交換可能状態になる。故
障したプロセッシングボード１２５（１）はそのことを
示すためのボード交換ランプ６０１ｃを点灯する。そし
て、正常動作ランプ６０１ａと故障動作ランプ６０１ｂ
を消灯する。その後、故障したプロセッシングボード１
２５（１）を正常なプロセッシングボードと交換する。
プロセッシングボード１２５は活線交換でき、システム
動作に影響を与えることはない。故障したプロセッシン
グボード１２５（１）は、完全にシステムから故障を切
り離す意味において、できるかぎり早期に交換すること
が望ましい。こうして、システムはプロセッシングボー
ドの交換後オペレーティングシステムにより元の構成に
復帰する。

【０１８９】復帰する場合は、プロセッシングボードの
挿入後、プロセッシングボードが正常動作ランプ６０１
ａを点灯させ、自己診断が正常に完了した時点で、割り
込みによりオペレーティングシステムに自己診断が正常
に完了したことを通知する。オペレーティングシステム
はシステムを再構築するプロセスのもとに、新しいプロ
セッシングボードへのスケジュールを開始する。こうし
てシステムは通常の運転状態に復帰する。

【０１９０】図２９、図３０は引き継ぎから交換までの
手順を示した処理フローを示したものである。故障した
プロセッシングボードからの処理の引き継ぎ手順は、マ
ルチプロセッサ構成時におけるＩ／Ｏからの割り込み
を、どのように受け付けるかによって異なる。図２８に
おいて説明したように、プロセッシングボード１２５は
それぞれＩ／Ｏ割り込みを識別するための割り込みベク
タを付されている。システムバス１４１を介して送られ
てくるＩ／Ｏ割り込みを受け付ける方法として、複数の
プロセッシングボードの中からひとつのプロセッシング
ボードを割り込みマスタ型プロセッシングボードとし、
他の残りのプロセッシングボードを割り込みスレーブ型
プロセッシングボードとする方法がある。割り込みマス
タ型プロセッシングボードは、すべてのＩ／Ｏ割り込み
を、割り込みマスタ型プロセッシングボードがもつ割り
込みベクタで一旦受け付けるプロセッシングボードであ
る。また、割り込みスレーブ型プロセッシングボード
は、割り込みマスタ型プロセッシングボードが一旦受け
付けた割り込みを割り込みマスタ型プロセッシングボー
ドにより各々の割り込みスレーブ型プロセッシングボー
ドがもつ割り込みベクタに分配してもらうことにより割
り込みを受け付けるプロセッシングボードである。以下
に割り込みマスタ型プロセッシングボードと割り込みス
レーブ型プロセッシングボードが故障した場合について
説明する。

【０１９１】図２９は割り込みマスタ型プロセッシング
ボードの障害回復処理フローを示したものである。まず
故障発生の通知を受けたオペレーティングシステムは、
新しいプロセスを故障したプロセッシングボードのプロ
セスキューに今後登録することを止める（ｓｔ１０
０）。故障したプロセッシングボードは、既にプロセス
キューに登録済みのプロセスを実行し、オペレーティン
グシステムは、以後実行すべきプロセスを同時に稼働す
る他の１台又は複数台のプロセッシングボードのプロセ
スキューに登録する（ｓｔ１０１）。

【０１９２】次に故障したプロセッシングボードの割り
込みベクタを予め決められた優先度に従ったプロセッシ
ングボードに移行する（ｓｔ１０２）。例えば図２８に
おいて、プロセッシングボード１２５（１）が割り込み
マスタ型プロセッシングボードであり、この割り込みマ
スタ型プロセッシングボードが故障した場合について説
明する。割り込みベクタを移行する場合に、予め移行す
るプロセッシングボードの優先度を決めておく。ここで
は、故障したプロセッシングボードの番号よりも、ひと
つ大きい番号を持つプロセッシングボードに処理を移行
し、更にそのプロセッシングボードに処理を移行できな
い場合には、次に番号が大きいプロセッシングボードに
処理を移行するような優先度を付けるものとする。プロ
セッシングボード１２５（１）が故障した場合には、次
の番号を持つプロセッシングボード１２５（２）が、優
先的に引き継ぎをするプロセッシングボードとなる。従
って、プロセッシングボード１２５（１）の割り込みベ
クタ＝１がプロセッシングボード１２５（２）の割り込
みベクタとなる。プロセッシングボード１２５（２）の
オリジナルな割り込みベクタ＝２は、新たな割り込みベ
クタ＝１によって上書きされる。

【０１９３】割り込みベクタの移行は、アトミック性が
要求される。このため、すべてのＩ／Ｏ割り込みをマス
クすることにより、どのＩ／Ｏアダプタ１４５からも割
り込みを発効できないようにしておき、その間に割り込
みベクタを移行させる。

【０１９４】移行が完了しだい、故障したプロセッシン
グボードは、オペレーティングシステムにその旨を通知
する。新しい割り込みマスタ型プロセッシングボード
は、その割り込みベクタを引き継ぎ、以後の割り込みの
受け付けを開始する。例えば前述した例においてはプロ
セッシングボード１２５（２）が、新しい割り込みマス
タ型プロセッシングボードとなる。この新しい割り込み
マスタ型プロセッシングボード１２５（２）には、割り
込みベクタ＝１が移行されたため、それ以降システムバ
ス１４１を介して送られてくるＩ／Ｏ割り込みを受け付
ける。

【０１９５】次に、移行の完了を受けたオペレーティン
グシステムは、故障したプロセッシングボードのキャッ
シュメモリをフラッシュする（ｓｔ１０３）。これによ
り、キャッシュメモリのデータを主記憶にコピーバック
させ、システム内のキャッシュメモリのコヒーレンシを
保証する。そしてフラッシュ動作の完了によって、ボー
ド交換ランプを点灯させる（ｓｔ１０４）。プロセッシ
ングボード交換は、そのランプ点灯を確認してから実施
する。

【０１９６】新しいプロセッシングボードは、プロセッ
シングボード挿入後スロットへの正常設置の場合、正常
動作ランプ６０１ａを点灯させ、自己診断を実行し、正
常終了の場合、オペレーティングシステムにその旨を通
知する。オペレーティングシステムは、これにより新し
いプロセッシングボードに新たなプロセスを割り付け、
元の構成状態により処理を開始する（ｓｔ１０５）。

【０１９７】図３０は割り込みスレーブ型プロセッシン
グボードの障害回復処理フローを示したものである。割
り込みマスタプロセッシングボード型と同様に、故障発
生の通知を受けたオペレーティングシステムは、新しい
プロセスを故障したプロセッシングボードのプロセスキ
ューに今後登録することを止める（ｓｔ１００）。ま
た、オペレーティングシステムは、故障したプロセッシ
ングボードをＩ／Ｏ割り込みスケジュールから削除する
（ｓｔ１００）。オペレーティングシステムには、割り
込みマスタ型プロセッシングボードで受け付けたＩ／Ｏ
割り込みを空いている割り込みスレーブ型プロセッシン
グボードに割り付ける割り込みスケジューラが存在す
る。この割り込みスケジューラは故障したプロセッシン
グボードが割り込みスレーブ型プロセッシングボードで
ある場合に、Ｉ／Ｏ割り込みを分配する対象から除外す
る。

【０１９８】そして故障したプロセッシングボードは既
にプロセスキューに登録済みのプロセスを実行する。オ
ペレーティングシステムは、故障したプロセッシングボ
ードが以後実行すべきプロセスを同時に稼働する他の１
台又は複数台のプロセッシングボードのプロセスキュー
に登録する（ｓｔ１０１）。

【０１９９】その後、故障したプロセッシングボード
は、自身のキャッシュメモリをフラッシュする（ｓｔ１
０３）。そのフラッシュが完了しだいボード交換ランプ
を点灯させる（ｓｔ１０４）。オペレータは、その点灯
を確認してプロセッシングボードを交換する。挿入した
新しいプロセッシングボードは、スロットへの正常設置
を示す正常動作ランプ６０１ａを点灯させ、自己診断を
実行した後に、オペレーティングシステムにその旨を通
知する。オペレーティングシステムは、以降新たなプロ
セスを割り付ける。システムはこのようにして、元の構
成状態により処理を開始する（ｓｔ１０５）。

【０２００】以上のように割り込みスレーブ型プロセッ
シングボードの障害回復処理は割り込みマスタ型プロセ
ッシングボードの障害回復処理と一部異なる。割り込み
スレーブ型プロセッシングボードの障害回復処理では、
割り込みマスタ型プロセッシングボードの障害回復処理
のような割り込みベクタの移動がない。しかし、プロセ
ッシングボードのハードウェア面から見ると割り込みマ
スタ型プロセッシングボードの機能で割り込みスレーブ
型プロセッシングボードの機能を包含しているため、す
べてのプロセッシングボードを割り込みマスタ型プロセ
ッシングボードで構成すればよく、割り込みマスタ型プ
ロセッシングボードを割り込みスレーブ型プロセッシン
グボードとしても用いることができる。

【０２０１】図３１及び図３２は、前述した割り込みマ
スタ型プロセッシングボードと割り込みスレーブ型プロ
セッシングボードに障害が発生した場合の障害回復処理
フローを示す図である。図３１は、割り込みマスタ型プ
ロセッシングボードの障害回復処理フローを示してい
る。前述した図２９においては、プロセッシングボード
の交換を最後に行う点が特徴であるが、図３１に示す場
合は、新しいプロセッシングボードを早期に挿入し（ｓ
ｔ１３１）、新しく挿入したプロセッシングボードに対
して処理を割り当て（ｓｔ１３２）、その後故障したプ
ロセッシングボードから正常に動作しているプロセッシ
ングボードへの引継ぎ処理を行い（ｓｔ１３３〜ｓｔ１
０４）、最後に故障したプロセッシングボードを抜去す
る（ｓｔ１３４）点が特徴である。一方、図３２は、割
り込みスレーブ型プロセッシングボードの障害回復処理
フローを示す図である。図３２においても、図３１に示
した特徴を有している。すなわち、プロセッシングボー
ドの故障により新しいプロセッシングボードを早期に挿
入し（ｓｔ１３１）、この挿入した新しいプロセッシン
グボードに処理を割り当て（ｓｔ１３２）、その後故障
したプロセッシングボードにスケジュールされた処理を
他のプロセッシングボードに割り当てる一連の処理を行
い（ｓｔ１４０〜ｓｔ１０４）、最後に故障したプロセ
ッシングボードを抜去する（ｓｔ１３４）点が特徴であ
る。図３１及び図３２に示すように、早期に新しいプロ
セッシングボードを挿入することにより、もともとＮ台
で動作していたシステムがＮ＋１台のプロセッシングボ
ードで動作することになり、処理の負荷分散が図れる。
このように、負荷分散を測りながら、交渉したボードを
抜去するので、システムの性能を低下させることなくプ
ロセッシングボードの交換を行うことができる。

【０２０２】前述した例においては、マルチプロセッサ
構成時におけるＩ／Ｏからの割り込みを割り込みマスタ
型プロセッシングボードと割り込みスレーブ型プロセッ
シングボードで処理する場合について説明したが、マス
タ型及びスレーブ型という主従の関係にあるのではな
く、全てのプロセッシングボードが共通にＩ／Ｏ割り込
みを受け付ける場合がある。以下、このようにマルチプ
ロセッサ構成時におけるＩ／Ｏからの割り込み全てをプ
ロセッシングボードが共通に受け付ける場合について説
明する。ここでは、Ｉ／Ｏ割り込みを識別するために割
り込みベクタを用いるとともに、いずれかのプロセッシ
ングボードが割り込みベクタを認識することによりＩ／
Ｏ割り込みを受け付ける場合を以下に説明する。

【０２０３】以下、このようなプロセッシングボードを
割り込み同報型プロセッシングボードとして説明する。
割り込み同報型プロセッシングボードはＩ／Ｏ割り込み
に付されている割り込みベクタを識別することにより、
そのＩ／Ｏ割り込みが自己のプロセッシングボードに対
するものであるかどうかを判定する。自己のプロセッシ
ングボードに対するものである場合には、そのＩ／Ｏ割
り込みの処理を実行する。自己のプロセッシングボード
に対するＩ／Ｏ割り込みでない場合には、そのＩ／Ｏ割
り込みを無視する。このような割り込み同報型プロセッ
シングボードに障害が生じた場合のその障害回復処理は
前述した割り込みスレーブ型プロセッシングボードの場
合と同様のものを用いることができる。すなわち、図３
０に示した割り込みスレーブ型プロセッシングボードの
障害回復処理フローを割り込み同報型プロセッシングボ
ードの障害回復処理フローとして用いることができる。
同様に、他の例として図３２に示した割り込みスレーブ
型プロセッシングボードの障害回復処理フローを割り込
み同報型プロセッシングボードの障害回復処理フローと
して用いることができる。図３０及び図３２の処理フロ
ーの動作は、すでに説明したので、ここではその説明を
省略する。

【０２０４】次に、図３３から図３６はプロセスキュー
の動作について説明したものである。ここでは、図３３
から図３６を用いて故障したプロセッシングボードから
他のプロセッシングボードにプロセスを引き継ぐ場合の
いくつかの例について説明する。

【０２０５】このプロセスの引き継ぎ処理は前述した割
り込みマスタ型プロセッシングボード及び割り込みスレ
ーブ型プロセッシングボードの何れの場合にも共通して
いるものである。従って、以下に述べる引き継ぎ例にお
いては、プロセッシングボードの種類については特別に
分けて説明を行わない。各図において、５００はプロセ
スキューを示しており、括弧内の添字は各プロセッシン
グボードに対応したプロセスキューの番号である。

【０２０６】図３３は代表的な引き継ぎ例１を示す図で
ある。プロセスの引き継ぎ処理は、オペレーティングシ
ステムのプロセススケジューラにより実施される。プロ
セスの引き継ぎは故障したプロセッシングボードのプロ
セスキューへの新たなプロセスの登録を中止し、未だキ
ュー登録されてないが、以降実行するはずであったプロ
セスを別のプロセッシングボードにスケジュールしなお
すことによってなされる。また故障したプロセッシング
ボードはすでに予約されているプロセスキュー５００の
内容（矢印５１０が示すところまでのプロセス）をすべ
て実行する。この例では故障したプロセッシングボード
１２５（１）が、すでにキュー５００（１）に予約され
ているプロセスａ、プロセスｄを実行し、プロセススケ
ジューラが、故障したプロセッシングボードにより以降
実行するはずであったプロセスｈ、プロセスｉを別のプ
ロセッシングボードのプロセスキュー５００（２）、５
００（ｎ＋１）に分配している。

【０２０７】図３４は引き継ぎ例２を示す図である。こ
の引き継ぎ処理は、オペレーティングシステムにより、
故障したプロセッシングボードのプロセスキューへの新
たなプロセスの登録を中止するとともに、すでに予約さ
れているプロセスキュー５００の内容を別のプロセッシ
ングボードにスケジュールしなおすことによって成され
るようにしたものである。ここでは故障したプロセッシ
ングボード１２５（１）が、すでにキュー５００（１）
に予約されているプロセスａ、プロセスｄを別のプロセ
ッシングボードのプロセスキュー５００（２）、５００
（ｎ＋１）に分配している。なお、この例では故障した
プロセッシングボードにすでに予約されているプロセス
を別のプロセッシングボードにスケジュールしなおすも
のであり、故障したプロセッシングボードが既に実行中
のプロセスを他のプロセッシングボードにスケジュール
しなおすものではない。従って、故障したプロセッシン
グボードが故障した時点で実行中のプロセスはそのまま
故障したプロセッシングボードにより実行される。この
例の場合は、予約されていたプロセスを他のプロセッシ
ングボードに分配してしまうので、上記引き継ぎ例１に
比べて故障したプロセッシングボードがより早い時点で
動作を停止することができる。

【０２０８】図３５は引き継ぎ例３を示す図である。こ
の引き継ぎ処理は、オペレーティングシステムにより、
新たなプロセスの登録を中止するとともに、故障したプ
ロセッシングボード１２５（１）に予約されているプロ
セスを特定のプロセッシングボードに割り付け、引き継
いだプロセッシングボードに既に予約されているプロセ
スを更に別のプロセッシングボードに移行するものであ
る。

【０２０９】このような多段階にわたる引き継ぎ処理
は、予めオペレーティングシステムに引き継ぎ条件を設
定しておくことにより達成できる。例えば、プロセスキ
ュー５００（１）に予約されているプロセスをプロセス
キュー５００（２）に移動させ、プロセスキュー５００
（２）に予約されているキーをプロセスキュー５００
（ｎ＋１）に移行させるということを予め、オペレーテ
ィングシステムに設定しておくことにより、図３５に示
すように、すでにプロセスキュー５００（１）に予約さ
れているプロセスａ，ｄ，ｇ，ｈをプロセスキュー５０
０（２）に移行させ、そしてプロセスキュー５００
（２）の予約されているプロセスｂをプロセスキュー５
００（ｎ＋１）に移行させることができる。その結果プ
ロセスキュー５００（２）にプロセスキュー５００
（１）のプロセスが引き継がれる。

【０２１０】この多段階の引き継ぎ処理は故障したプロ
セッシングボードに割り付けられた複数の処理を複数の
プロセッシングボードで実行したくない場合に有効であ
る。例えば、この引き継ぎ処理はリアルタイム応答性を
より確定的にするため、予め決められた複数のプロセス
をひとつのプロセッシングボードで順に実行させたい場
合などに有効である。

【０２１１】図３６は引き継ぎ例４を示す図である。こ
の引き継ぎ処理はオペレーティングシステムにより、故
障したプロセッシングボード１２５（１）に予約されて
いるプロセスを特定のプロセッシングボードに割り付け
るものである。但しこの場合は上記引き継ぎ例３のよう
にプロセスの移行を受けるプロセッシングボードに対し
て予約済みのプロセスを他のキュー５００に移行するこ
とはなく、プロセスを特定のプロセッシングボードにの
み移行する。

【０２１２】この引き継ぎ処理も、予めオペレーティン
グシステムに引き継ぎ条件を設定しておくことにより達
成できる。オペレーティングシステムに処理分散を行う
プロセッシングボードを特定しておけばよい。この引き
継ぎ処理は引き継ぎを受けるプロセッシングボードを限
定する場合に有効である。

【０２１３】なお、前記引き継ぎ例３及び引き継ぎ例４
では、故障したプロセッシングボードのすでに予約済み
のプロセスを移行するのではなく、引き継ぎ例１と同様
に、予約済みのプロセスは故障したプロセッシングボー
ドに実行させ、その後実行するはずであったプロセスを
他のプロセッシングボードに移行するようにしてもよ
い。

【０２１４】このように、故障したプロセッシングボー
ドは、引き継ぎ処理をオペレーティングシステムと連携
して行なう。故障したプロセッシングボードとオペレー
ティングシステムは処理を中断することなく、別のプロ
セッシングボードに処理を引き継がせる。故障したプロ
セッシングボードはその後新しいプロセッシングボード
と交換される。

【０２１５】図３７は、他の形式のプロセスキューを用
いた場合の動作を示す図である。前述した引き継ぎ例１
〜４では、プロセッシングボード毎にプロセスキューが
あるが、この例ではシステムで１つの共通のプロセスキ
ュー５００しか存在しない。各プロセッシングボードで
実行されるプロセスは、この１つのプロセスキュー５０
０で管理される。プロセッシングボードで実行すべきプ
ロセスはプロセッシングボードの処理が空きしだい、こ
のプロセスキューから順に決定される。プロセスキュー
の構造はＦＩＦＯ構造になっていて、先に登録されたプ
ロセスが先に出される。このような方式にすると、引き
継ぎ例１〜４で述べたような故障したプロセッシングボ
ードに対して予めプロセスキューに登録され、予定され
ていたプロセス（たとえば、図３３のプロセスａ、プロ
セスｄ）というものがなくなる。従って、図３７のよう
にプロセッシングボードが空きになった順番にプロセス
がプロセスキューから取り出されて実行される。故障し
たプロセッシングボードは、プロセッシングボードに故
障が発生したことをオペレーティングシステムに通知す
る。通知を受けたオペレーティングシステムがプロセス
キューからの故障したプロセッシングボードへ新たな処
理のスケジュールを中止し、プロセスキューから新たな
処理を他のプロセッシングボードへスケジュールする。
たとえば、プロセッシングボード１２５（１）→１２５
（２）→１２５（３）→１２５（４）→１２５（５）の
順に処理が終了して空きになり、プロセスａがプロセッ
シングボード１２５（１）で実行され、プロセスｂがプ
ロセッシングボード１２５（２）で実行され、プロセス
ｃがプロセッシングボード１２５（３）で実行され、プ
ロセスｄがプロセッシングボード１２５（４）で実行さ
れるはずであった場合、プロセッシングボード１２５
（１）が故障したことにより、プロセスａがプロセッシ
ングボード１２５（２）で実行され、プロセスｂがプロ
セッシングボード１２５（３）で実行され、プロセスｃ
がプロセッシングボード１２５（４）で実行され、プロ
セスｄがプロセッシングボード１２５（５）で実行され
る。この例によれば、複数のプロセッシングボードに対
して、ひとつのプロセスキューしかなく、プロセッシン
グボードに対してすでに予約されたプロセスというもの
が存在せず、プロセッシングボードの故障の際のプロセ
スの引き継ぎ処理が発生しない。この例によれば、プロ
セスキューがひとつしかないので、プロセスキューの管
理が容易になる。また、プロセッシングボードの故障時
も引き継ぎ処理がなく、故障したプロセッシングボード
とオペレーティングシステムの負荷が増加しない。

【０２１６】以上のように、この実施例は、システムバ
スと該システムバスに接続される主記憶装置、及びシス
テムバスに接続されるプロセッシングボードを複数台備
えられる高信頼化計算機において、前記プロセッシング
ボードは各々にキャッシュメモリをもつ少なくとも３台
のプロセッシングユニットにより同一命令を実行してお
り、いずれかのプロセッシングユニットの故障時には、
残りのプロセッシングユニットで同一命令を継続実行
し、その後、同時に稼働する他の複数台のプロセッシン
グボードに処理を移行することを特徴とする。

【０２１７】また、故障発生をオペレーティングシステ
ムに通知し、その後オペレーティングシステムが処理を
管理する区切りで故障したプロセッシングボードへの新
たな処理の投入を中止し、自己の処理がすべて完了した
ところで、故障したプロセッシングボードを停止するこ
とを特徴とする。

【０２１８】また、その後、故障したプロセッシングユ
ニットを交換して、故障前の構成に復帰することを特徴
とする。

【０２１９】更に、この実施例は、プロセッシングボー
ドが故障を通知する割り込みを発生させ、プロセッシン
グボードがＩ／Ｏ割り込みを受け付けるための割り込み
ベクタを変更することにより、前記割り込み発生後、予
め決められた優先度に従って定められた他のプロセッシ
ングボードに割り込みベクタを移行することを特徴とす
る。

【０２２０】また、前記プロセッシングボードは、正常
動作ランプ、故障動作ランプ及びボード交換ランプを備
えており、オペレータにその稼働状態を通知し、故障時
には通常時と異なる状態を通知し、その後、他のプロセ
ッシングボードに処理の移行を行い、Ｉ／Ｏ割り込みベ
クタの移行完了後に、オペレータにプロセッシングボー
ド交換可能状態を通知することを特徴とする。

【０２２１】以上のように、この実施例によれば、故障
したプロセッシングボードで処理を継続するとともに、
故障したプロセッシングボードの処理を他のプロセッシ
ングボードに直ちに移行するため、一次故障及び二次故
障からのシステム障害を最小限にとどめることができ、
システムの信頼性をより一層向上させる効果がある。

【０２２２】また、プロセッシングボードの処理を停止
させずに処理の移行を自動的に行なうので、チェックポ
イントのような手段が不要となる。また、処理の引き継
ぎはプロセス単位で行なわれるので、途中まで実行した
プロセスを再び始めから実行しなおすというような処理
の引き継ぎの際に発生する処理の後戻りもなく処理を継
続できる。

【０２２３】また、この実施例は、システムバスと該シ
ステムバスに接続される主記憶装置、及びシステムバス
に接続され、同一命令を実行する少なくとも３台のプロ
セッシングユニットを備える前記プロセッシングボード
を複数台備えられる高信頼化計算機において、ある仕事
量を処理するＮ台のプロセッシングボードに、更に１台
のプロセッシングボードを追加し、通常はＮ＋１台のプ
ロセッシングボードでその処理を実行し、プロセッシン
グボードの故障時には、故障部位を除いた残りの構成で
処理を継続実行し、その後、他のＮ台のプロセッシング
ボードに処理を移行させることを特徴とする。

【０２２４】このように、システムとしてＮ台で実行す
る仕事を、予めＮ＋１台のプロセッシングボードで実行
していることから、引き継ぎ後もＮ台となるだけで、予
め想定していたＮ台の負荷分散により、処理の引き継ぎ
ができる。

【０２２５】［シングルプロセッサの回復方式］ 実施例８．図３８はシングルプロセッサ（Ｎ＝１）の場
合のシステム構成を示している。図２８と同様に、シス
テムバス１４１には、プロセッシングボード１２５、主
記憶１４３、入出力バスアダプタ１４５が接続され、プ
ロセッシングボード１２５が１台ある構成である。本シ
ステムは、通常１台のプロセッシングボード１２５で処
理を実行する。プロセッシングボード１２５はシャーシ
に設けられたスロットに収められる。このようにプロセ
ッシングボード１２５が１台の場合は、前述したマルチ
プロセッサの場合においてＮ＝１の場合である。プロセ
ッシングボードの機能はマルチプロセッサのものとなん
ら変更がない。ここでは、シングルプロセッサ時におけ
るマルチプロセッサとの違いだけを説明する。

【０２２６】以下、故障時のプロセッシングボード１２
５の移行処理について説明する。シングルプロセッサの
システムでは、プロセッシングボード故障時に、移行を
行なうプロセッシングボードがないことから、できるだ
け早期に新たなるプロセッシングボードを挿入して、そ
の後故障したプロセッシングボードの引き継ぎを実施
し、故障したプロセッシングボードを抜去してプロセッ
シングボードの交換を完了することが望ましい。

【０２２７】図３９は、シングルプロセッサの場合の引
き継ぎ処理フローを示したものである。まず、プロセッ
シングボード１２５（１）が、故障を引き起こしている
状態とする。故障が発生している間は、正常動作ランプ
６０１ａと故障動作ランプ６０１ｂが点灯する。オペレ
ーティングシステムは、故障したプロセッシングボード
からの故障の通知を受けた後、故障の内容を判断する。
固定故障と判定された場合、故障したプロセッシングボ
ードは新しいプロセッシングボードの挿入まで処理を継
続する（ｓｔ１２０）。

【０２２８】次に、新しいプロセッシングボード１２５
（２）を挿入する。新しいプロセッシングボード１２５
（２）はプロセッシングボード挿入後、スロットへの正
常設置を示す正常動作ランプ６０１ａを点灯させ、自己
診断を実行して、オペレーティングシステムにその旨を
通知する。オペレーティングシステムにより新しいプロ
セスの割り付けが新しいプロセッシングボード１２５
（２）に行なわれる（ｓｔ１２１）。その後、オペレー
ティングシステムは、新しいプロセスを故障したプロセ
ッシングボードのプロセスキューに今後登録することを
止める（ｓｔ１００）。故障したプロセッシングボード
は、既にプロセスキューに登録済みのプロセスを実行
し、オペレーティングシステムは、以後実行すべきプロ
セスを新しいプロセッシングボードのプロセスキューに
登録する（ｓｔ１０１）。

【０２２９】次に故障したプロセッシングボードの割り
込みベクタを新しいプロセッシングボードに移行する
（ｓｔ１０２）。故障したプロセッシングボードは割り
込みベクタの移行完了後オペレーティングシステムにそ
の旨を通知する。

【０２３０】新しいプロセッシングボードは、その割り
込みベクタを引き継ぎ、以後の割り込みの受け付けを開
始する。

【０２３１】次に、ベクタ移行完了を受けたオペレーテ
ィングシステムは、故障したプロセッシングボード自身
のキャッシュメモリをフラッシュする（ｓｔ１０３）。
そしてフラッシュ動作の完了によって、故障したプロセ
ッシングボードはボード交換ランプを点灯させる（ｓｔ
１０４）。故障したプロセッシングボードの抜去は、ボ
ード交換ランプのランプ点灯を確認してから実施する
（ｓｔ１２２）。故障したプロセッシングボードの抜去
により、故障したプロセッシングボード１２５（１）と
新しいプロセッシングボード１２５（２）との交換が完
了する。

【０２３２】前述した例においては、シングルプロセッ
サ（Ｎ＝１）の場合に、そのプロセッシングボードの故
障により新たなプロセッシングボードを追加する場合に
ついて説明した。

【０２３３】実施例９．新たなボードを追加する場合
は、シングルプロセッサ（Ｎ＝１）の場合ばかりでな
く、マルチプロセッサ（Ｎ≧２）の場合であってもかま
わない。マルチプロセッサの場合であっても、故障した
プロセッシングボードに対して新たなプロセッシングボ
ードを追加して交換する手順はシングルプロセッサの場
合と同様である。

【０２３４】以上のように、実施例８及び実施例９は、
通常はＮ台の前記プロセッシングボードでその処理を実
行し、プロセッシングボードの故障時には、故障部位を
除いた残りの構成で処理を継続実行し、その後１台のプ
ロセッシングボードを新たに追加し、全体でＮ＋１台の
プロセッシングボードで処理を実行した後に、故障した
プロセッシングボードの処理を他のＮ台のプロセッシン
グボードに移行させることを特徴とする。

【０２３５】実施例１０．次に図４０はシングルプロセ
ッサ（Ｎ＝１）の場合の他のシステム構成を示してい
る。システムバス１４１には２台のプロセッシングボー
ド１２５ｐ，１２５ｓ、主記憶１４３、入出力バスアダ
プタ１４５が接続される。プロセッシングボードは、２
台を１組として、１つの論理プロセッシングボード１２
５ｒを構成している。通常は１台のプロセッシングボー
ド１２５ｐで処理を実行している。もう１台の予備のプ
ロセッシングボード１２５ｓは、プロセッシングボード
の自己診断をある周期で実施しているホットスタンバイ
状態にある。予備のプロセッシングボード１２５ｓは、
この時点ではいずれの表示ランプ６０１ａ，６０１ｂ，
６０１ｃも点灯していない。

【０２３６】以下、プロセッシングボード１２５ｒ故障
時の処理の移行手順について説明する。図４０に示す論
理プロセッシングボード１２５ｒのうち、一方のプロセ
ッシングボード１２５ｐは故障状態にあり、故障部位を
除いた残りの構成で運転を継続しているものとする。こ
の状態の間、故障したプロセッシングボード１２５ｐは
正常動作ランプ６０１ａと故障動作ランプ６０１ｂを点
灯している。プロセッシングボード１２５ｐの故障は、
オペレーティングシステムに通知される。オペレーティ
ングシステムで故障の状況が判定され、固定故障と判断
されたら、処理の引き継ぎが開始される。

【０２３７】処理の引き継ぎは、オペレーティングシス
テムにより、その仕事の処理を管理する単位（プロセ
ス）の切り替わるタイミングで開始され、故障したプロ
セッシングボード１２５ｐが以降受け付ける予定であっ
たプロセスを、予備の正常なプロセッシングボード１２
５ｓに移行する。

【０２３８】この移行により、予備のプロセッシングボ
ード１２５ｓは故障したプロセッシングボード１２５ｐ
の処理を引き継ぎ、その処理を開始する。この開始によ
り予備のプロセッシングボード１２５ｓは正常動作ラン
プが点灯する。これら一連の動作は、システムの中断や
性能低下を引き起こすことなく行なわれる。

【０２３９】そして移行処理が完了しだい、故障したプ
ロセッシングボード１２５ｐは直ちに交換可能状態にな
り、それを示すボード交換ランプ６０１ｃが点灯する。
しかる後に故障したプロセッシングボード１２５ｐを交
換して通常の構成に復帰する。プロセッシングボード１
２５は活線交換でき、システム動作に影響を与えること
はない。

【０２４０】図４１は論理プロセッシングボードの場合
の引き継ぎから交換までの処理フローを示したものであ
る。まずオペレーティングシステムは、プロセスの切り
替えタイミングなどで故障したプロセッシングボード１
２５ｐが保有するデータを主記憶に送出する（ｓｔ２０
０）。予備のプロセッシングボード１２５ｓは主記憶か
ら順次データを入力する（ｓｔ２０１）。故障したプロ
セッシングボードは、次にキャッシュメモリをフラッシ
ュする（ｓｔ２０２）。そしてキャッシュメモリのフラ
ッシュが完了しだい、Ｉ／Ｏ割り込みベクタを予備のプ
ロセッシングボード１２５ｓに移行する（ｓｔ２０
３）。予備のプロセッシングボード１２５ｓは、そのベ
クタを引き継ぐとともに、処理を再開する。故障したプ
ロセッシングボードはその交換ランプ６０１ｃを点灯さ
せる（ｓｔ２０４）。その後、オペレータは交換ランプ
６０１ｃの点灯を確認してプロセッシングボードを交換
する。

【０２４１】以上のように上記実施例は、システムバス
と該システムバスに接続される主記憶装置、及びシステ
ムバスに接続され、同一命令を実行する複数台のプロセ
ッシングユニットを備え、プロセッシングボード２台を
１組とする論理プロセッシングボードを備える高信頼化
計算機において、通常は一方のプロセッシングボードが
処理を実行し、プロセッシングボードの故障時には、故
障部位を除いた残りの構成で処理を継続実行し、その
後、他方のプロセッシングボードに処理を移行すること
を特徴とする。

【０２４２】また、前記プロセッシングボードは、プロ
セッシングボード間で引き継ぎデータを送受し、キャッ
シュメモリをフラッシュし、プロセッシングボード間で
Ｉ／Ｏ割り込みベクタを交換又は移動することを特徴と
する。

【０２４３】また、前記プロセッシングボードは、正常
動作ランプ、故障動作ランプ及びボード交換ランプを備
えており、オペレータにその稼働状態を通知し、故障時
には通常時と異なる状態を通知し、その後、他のプロセ
ッシングボードに処理の移行を行い、Ｉ／Ｏ割り込みベ
クタの移行完了後に、オペレータにプロセッシングボー
ド交換可能状態を通知することを特徴とする。

【０２４４】実施例１１．次に、多数決ユニットにより
多重系を構成している場合について説明する。ここで
は、プロセッシングボードが、３台以上のプロセッシン
グユニットと各プロセッシングユニットの結果を入力す
る複数の多数決ユニットを備えており、それぞれの多数
決ユニットにより、独立に処理を行なう複数の独立系が
存在することにより、プロセッシングボードが処理をそ
れぞれの独立系で多重化させて行なう場合について説明
する。３台のプロセッシングユニットのうち１台のプロ
セッシングユニットが故障した際は、残りのプロセッシ
ングユニットで処理を継続実行し、多数決ユニットによ
り構成された複数の独立系それぞれで処理を続行する。
また、そのプロセッシングボードが他のプロセッシング
ボードに処理を移行する場合は、複数の独立系がそれぞ
れ対応するプロセッシングボードの独立系に処理を移行
する。

【０２４５】また、多数決ユニットが故障することによ
り、１つの独立系が故障してしまう場合が考えられる。
この場合には、残りの独立系で処理を実行し、その後他
の複数台のプロセッシングボードに処理を移行する。ま
た、何れかの独立系の故障時には、その故障した系を一
旦切り離し、残りの系で同一処理を継続実行させ、その
後故障した系を再度接続して故障前の構成に復帰させ
る。

【０２４６】以上のように、この実施例は、同一命令を
実行する少なくとも３台のプロセッシングユニットを備
えるプロセッシングボードにおいて、前記プロセッシン
グユニットのうち１つを選択する多数決ユニットと全て
のプロセッシングユニットと多数決ユニットを接続する
プロセッサバスと多数決ユニットに接続され外部と入出
力のインタフェースをとるためのバスを有する独立系が
複数組あるプロセッシングボードであって、プロセッシ
ングユニットの故障の際は、残りのプロセッシングユニ
ットで継続実行し、その後、他の複数台のプロセッシン
グボードに処理を移行することを特徴とする。

【０２４７】また、通常は、複数の独立系により多重化
で処理を行い、いずれかの独立系が故障した場合、残り
の独立系で継続実行し、その後、他の複数台のプロセッ
シングボードに処理を移行することを特徴とする。

【０２４８】また、いずれかの独立系の故障時には、そ
の故障した系を一旦切り離し、残りの系で同一処理を継
続実行し、その後故障した系を再度接続して、故障前の
構成に復帰させることを特徴とする。

【０２４９】以上のように、プロセッシングボードに複
数の独立系がそれぞれ多重化されて処理を実行する場合
であっても、前述した例と同様の手順により故障の回復
を図ることができる。

【０２５０】このように、マルチプロセッサ及びシング
ルプロセッサのいずれの場合でも、故障したプロセッシ
ングボードは、移行処理をオペレーティングシステムと
連携して行なう。故障したプロセッシングボードとオペ
レーティングシステムは処理を中断することなく、新し
いプロセッシングボードもしくは予備のプロセッシング
ボードに処理を引き継ぐことができる。また、故障した
プロセッシングボードを抜去して新しい予備のプロセッ
シングボードも設置できる。

【０２５１】ＩＩＩ．プロセッシングユニットの回復方
式 実施例１２．次にプロセッシングユニットが故障した場
合の回復方法について説明する。プロセッシングボード
１２５は３台のプロセッシングユニットを実装してい
る。プロセッシングボード１２５上のひとつのプロセッ
シングユニットの故障時に、その故障プロセッシングユ
ニットだけを交換する。この場合には、他のプロセッシ
ングボードへの処理の移行はない。また、プロセッシン
グユニットの故障時には、ボード交換ランプ６０１ｃは
点灯はせずに、ドータボード交換ランプが点灯する。そ
の他の動作は、前述の実施例と変わらない。

【０２５２】図４２は１台の前記プロセッシングボード
に３台のプロセッシングユニット１−１，１−２，１−
３を実装したものである。７００−１，７００−２，７
００−３は個々のプロセッシングユニット１−１，１−
２，１−３が実装されるドータボード、８００−１，８
００−２，８００−３はドータボードの活線挿抜の可能
を示すドータボード交換ランプ、８０１−１，８０１−
２，８０１−３はドータボード毎にあるドータボード活
線挿抜スイッチで、機能は活線挿抜スイッチ６０２と同
一である。ドータボード７００−１，７００−２，７０
０−３はコネクタによりプロセッシングボードと接続さ
れている。従って、いずれかのプロセッシングユニット
１−１，１−２，１−３の故障時には、このプロセッシ
ングユニットが実装されているドータボードを交換す
る。

【０２５３】以下、ドータボードの交換動作について説
明する。ドータボード７００−１，７００−２，７００
−３の交換は通常のプロセッシングボード交換同様で、
該ドータボードを他のドータボード（プロセッシングユ
ニット）が動作中に活線挿抜できるようになっている。
交換対象ユニットはドータボード交換ランプ８００−
１，８００−２，８００−３で知らされ、それを確認後
にドータボード７００−１，７００−２，７００−３の
交換を実施する。

【０２５４】ドータボードの挿入後の動作は、「Ｉ．プ
ロセッシングボードの基本動作」の実施例１で述べてい
る故障プロセッシングユニットの復旧動作と同じであ
る。この復旧動作はオペレーティングシステムの指示の
もとにより行なわれる。すなわちドータボードの挿入に
より割り込みが発生して、オペレーティングシステムに
ドータボードの挿入が通知される。オペレーティングシ
ステムはドータボードの挿入かどうかを判定し、ドータ
ボードの挿入であれば、前述の復旧動作を行なう。すな
わち最初に隔離動作をさせながら自己診断を実施させ、
診断の結果異常のないことを確認した後に、他の正常な
プロセッシングユニットと同一クロックにより挿入され
たドータボードのプロセッシングユニットを同期実行さ
せる。

【０２５５】なお、ドータボード個々に対応して設けら
れたドータボード活線挿抜スイッチ８０１からも、保守
などの用途として、ドータボードの活線交換ができる。
ドータボード活線挿抜スイッチ８０１−１，８０１−
２，８０１−３の抜去要求はオペレーティングシステム
に通知され、オペレーティングシステムがそのプロセッ
シングユニットを切り離して、ドータボード交換ランプ
８００−１，８００−２，８００−３を点灯させる。

【０２５６】このように、オペレーティングシステムの
復旧動作により、システムとして処理を中断することな
く、プロセッシングユニットの交換を行なうことができ
る。

【０２５７】以上のように、この実施例は、同一命令を
実行する少なくとも３台の脱着可能なプロセッシングユ
ニットを備えるプロセッシングボードにおいて、いずれ
かのプロセッシングユニットの故障時には、残りのプロ
セッシングユニットで同一命令を継続実行することを特
徴とする。

【０２５８】また、前記プロセッシングボードは、ドー
タボード交換ランプを備え、プロセッシングユニットが
ドータボード交換ランプによりオペレータに交換可能状
態を通知し、故障したプロセッシングユニットをユニッ
ト単位で交換することを特徴とする。

【０２５９】また、プロセッシングユニット抜去要求を
通知する手段と該抜去要求を検知する手段を有し、該抜
去要求を検知したときに、プロセッシングユニットを他
のプロセッシングユニットから隔離し、隔離完了後、オ
ペレータに交換可能状態を通知し、該ユニットを交換し
た後、プロセッシングユニットが正常挿入されたとき、
オペレータに通常状態を通知し、プロセッシングユニッ
トの自己診断が正常終了したときにオペレーティングシ
ステムにその旨を通知し、オペレーティングシステムに
より元の構成に復旧することを特徴とする。

【０２６０】また、故障したプロセッシングボードが実
行すべき処理を異なる処理を実行している別のプロセッ
シングボードに移行させ、その後、故障したプロセッシ
ングボードを抜去し、故障したプロセッシングユニット
を交換した後、前記プロセッシングボードを挿入して、
故障前の構成に復帰するようにしてもよい。

【０２６１】また、この実施例によれば、プロセッシン
グユニットの故障時には、プロセッシングボードの交換
に加え、故障したプロセッシングユニットの交換も可能
になり、ボード単位よりも、より安価なユニット単位の
交換部品を提供できる。

【０２６２】

【発明の効果】以上のようにこの発明によれば、プロセ
ッシングユニットの瞬時故障に対して、他の正常プロセ
ッシングユニットと再度同期動作できるため故障のつど
プロセッシングボード交換する必要がなく、直ちに元の
構成に復旧できる。また、固定故障に対して、処理の継
続実行後にプロセス単位で処理を移行するため障害回復
が容易かつ迅速なシステムを提供することができる。

【０２６３】特に第１の発明によれば、故障したプロセ
ッシングユニットに自己診断を行わせ、自己診断結果に
より、故障が一時的なものである場合には、再び正常な
動作をさせるので、一時的な故障が発生した場合には、
プロセッシングユニットは正常動作に復帰することがで
きる。

【０２６４】また、第２の発明によれば、故障が固定的
なものである場合にも、処理を継続実行させ、その後他
のプロセッシングボードに処理を移行させるので、故障
したプロセッシングボードが実行中の処理を故障したプ
ロセッシングボードで終了させることができる。

【０２６５】また、第３の発明によれば、故障したプロ
セッシングボードの処理を他のプロセッシングボードに
移行した後、プロセッシングボードを抜き、故障したプ
ロセッシングユニットを交換した後、再びそのボードを
装着するので、故障したプロセッシングユニットのみの
交換が可能になり、障害復旧のコストを低減することが
できる。

【０２６６】また、第４の発明によれば、こうしたプロ
セッシングボードのプロセッシングユニットを処理の実
行中に交換するので、障害回復作用中においてもプロセ
ッシングボードの処理が実行され、処理性能が低下しな
い。また、故障単位、復旧単位がプロセッシングユニッ
ト単位で行われるため、障害復旧のコストをおさえるこ
とができる。

【０２６７】また、第５の発明によれば、プロセッシン
グユニットが故障しても、多重化された多数決回路が存
在することにより、継続して処理を実行し、その後故障
したプロセッシングボードの処理を他のプロセッシング
ボードに移行するので、プロセッシングボードに複数の
独立系が存在する場合にいずれかのプロセッシングユニ
ットが故障した場合でも継続実行ができるとともに、正
常なプロセッシングユニットに処理を移行することがで
きる。

【０２６８】また、第６の発明によれば、いずれかの独
立系の故障時には、一方の正常な独立系を用いて処理を
実行し、その後他のプロセッシングボードに処理を移行
するので、複数の独立系を有する場合、一方の独立系の
故障があっても他の独立系を用いて処理を継続できると
ともに、他の正常な独立系に処理を移行することができ
る。

【０２６９】また、第７の発明によれば、２台のプロセ
ッシングボードを組にしており、一方のプロセッシング
ボードの故障により他方のプロセッシングボードに処理
を移行するので、一方のプロセッシングボードが故障し
た場合でも常に他のプロセッシングボードに処理を移行
できるので、システムの性能を低下させることがない。

【０２７０】また、第８の発明によれば、あらかじめス
ケジュールされた処理を実行してから、故障したプロセ
ッシングボードの動作を停止するので、すでにスケジュ
ールされた処理を他のプロセッシングボードに割り当て
る必要がなく、オペレーティングシステムの負荷が少な
くなる。

【０２７１】また、第９の発明によれば、新たな処理の
スケジュールを他の正常なプロセッシングボードへスケ
ジュールするので、故障したプロセッシングボードへの
新たな処理を中止するという簡単な処理により、処理の
移行を行うことができる。

【０２７２】また、第１０の発明によれば、故障したプ
ロセッシングボードが現在実行中の処理を実行した後、
その動作を停止するので、故障したプロセッシングボー
ドの処理が最小限のもので済み、システムの信頼性が向
上する。

【０２７３】また、第１１の発明によれば、故障したプ
ロセッシングボードに対してすでにスケジュールされた
処理を他のプロセッシングボードへスケジュールし直す
ので、故障したプロセッシングボードの処理を早期に停
止することができる。

【０２７４】また、第１２の発明によれば、他のプロセ
ッシングボードへ処理をスケジュールし直す場合、特定
のプロセッシングボードに対して割り当てを行うので、
処理の移行に対して優先度を持たせることができる。

【０２７５】また、第１３の発明によれば、前述した特
定のプロセッシングボードにすでに割り当てられた処理
をさらに他のプロセッシングボードに割り当てるので、
特定のプロセッシングボードに対して処理が偏ってしま
うという不都合を排除することができる。

【０２７６】また、第１４の発明によれば、プロセッシ
ングボードが抜去可能な状態をオペレータに通知するの
で、プロセッシングボードを誤って抜去してしまうこと
がなくなる。

【０２７７】また、第１５の発明によれば、プロセッシ
ングユニットが交換可能な状態にあることをオペレータ
に通知するので、プロセッシングユニットを誤って交換
してしまうことがなくなる。

【０２７８】また、第１６の発明によれば、新たなプロ
セッシングユニットが挿入された場合、自己診断を行わ
せるので、新たなプロセッシングユニットが正常である
ことを確かめてから動作させることができる。

【０２７９】また、第１７の発明によれば、プロセッシ
ングボードが識別子を有しており、故障したプロセッシ
ングボードを他の正常なプロセッシングボードの識別子
とするので、識別子を変更するたけで処理の移行を行う
ことができる。

【０２８０】また、第１８の発明によれば、識別子がＩ
／Ｏ割り込みを受け付けるための割り込みベクタであ
り、故障したプロセッシングボードの割り込みベクタを
他の正常なプロセッシングボードに割り当てるので、Ｉ
／Ｏ割り込みには何等変更を加えず、処理の移行を行う
ことができる。

【０２８１】また、第１９の発明によれば、ふたつのプ
ロセッシングボードが対になった論理プロセッシングボ
ードを構成している場合、主記憶装置介してデータを引
き継ぐとともに、割り込みベクタを正常なプロセッシン
グボードに移行するので、一方のプロセッシングボード
から他方のプロセッシングボードへの処理の引継ぎを容
易に行うことができる。

【０２８２】また、第２０の発明によれば、Ｎ台で処理
する処理量に対して、故障が生じる場合のことを考慮し
てあらかじめＮ＋１台のプロセッシングボードを備えて
いるので、ひとつのプロセッシングボードが故障した場
合でもシステムの性能に影響することなく処理を継続す
ることができる。

【０２８３】また、第２１の発明によれば、プロセッシ
ングボードが故障したことにより新たなプロセッシング
ボードを追加し、その後故障したボードを抜去するの
で、常にＮ台以上のプロセッシングボードが動作してお
り、システムの性能を低下させない。

【０２８４】また、第２２の発明によれば、障害の有無
に係わりなくプロセッシングボードにあるプロセッシン
グユニットをそれぞれ個別に抜去することができるの
で、プロセッシングユニットを任意の時点で交換するこ
とが可能になる。

【０２８５】また、第２３の発明によれば、障害の有無
に係わりなくプロセッシングボードを抜去することがで
きるので、プロセッシングボードを任意の時点で交換す
ることが可能になる。

【０２８６】また、第２４の発明においては、プロセッ
シングボードを交換するための具体的な手順を示してお
り、故障したプロセッシングボードの障害回復が正しく
行われる。

【０２８７】また、第２５の発明においては、割り込み
マスタ型プロセッシングボードが故障した場合の障害回
復方法として、処理の移行を行ってからプロセッシング
ボードを交換する場合を示しており、割り込みマスタ型
プロセッシングボードの交換が正しく行われる。

【０２８８】また、第２６の発明においては、割り込み
スレーブ型プロセッシングボードの障害回復方法とし
て、処理の移行を行ってからプロセッシングボードを交
換する場合を示しており、割り込みスレーブ型プロセッ
シングボードの交換が正しく行われる。

【０２８９】また、第２７の発明においては、割り込み
マスタ型プロセッシングボードの障害回復方法として、
新しいプロセッシングボードを挿入してから処理の移行
を行い、最後に故障したプロセッシングボードを抜去す
る場合を示しており、割り込みマスタ型プロセッシング
ボードの交換が正しく行われるとともに、新しいプロセ
ッシングボードを先に挿入するのでシステムの性能を落
とさずにボードの交換ができる。

【０２９０】また、第２８の発明においては、割り込み
スレーブ型プロセッシングボードの障害回復方法とし
て、新しいプロセッシングボードを挿入してから処理の
移行を行い、最後に故障したプロセッシングボードを抜
去する場合を示しており、割り込みスレーブ型プロセッ
シングボードを正しく交換できるとともに、新しいボー
ドを早期に挿入するのでシステムの性能を落とさずにプ
ロセッシングボードの交換をすることができる。

【０２９１】また、第２９の発明においては、複数のプ
ロセッシングボードに対して一つのプロセスキューが存
在する場合の障害回復方法として、プロセッシングボー
ドの故障により移行しなければならない処理というもの
が発生しない場合を示しており、各プロセッシングユニ
ットにプロセスキューを備えている場合に比べて、故障
したプロセッシングユニットにすでに予約されたプロセ
スをスケジュールするという手続きが存在せず、故障時
の処理が簡単になる。

【０２９２】また、第３０の発明においては、割り込み
同報型プロセッシングボードの障害回復方法として、処
理の移行を行った後にプロセッシングボードを交換する
場合を示しており、割り込み同報型プロセッシングボー
ドの交換が正しく行われる。

【０２９３】また、第３１の発明においては、割り込み
同報型プロセッシングボードの障害回復方法として、新
たなプロセッシングボードを挿入した後、処理移行を行
い、最後に故障したプロセッシングボードを抜去する場
合を示しており、割り込み同報型プロセッシングボード
の交換が正しく行われるとともに、新しいボードを早期
に挿入するのでシステムの性能を落とすことなくプロセ
ッシングボードの交換を行うことができる。

【０２９４】また、第３２の発明によれば、故障したプ
ロセッシングボードのキャッシュメモリをフラッシュす
るので、データの整合性を確保して故障の復旧を行うこ
とができる。

【図面の簡単な説明】

【図１】本発明の実施例１の全体構成を示すブロック図
である。

【図２】本発明の実施例１の多数決ユニットを示すブロ
ック図である。

【図３】本発明の実施例１の多数決回路を示す図であ
る。

【図４】本発明の実施例１の多数決回路内にある比較回
路を示す図である。

【図５】本発明の実施例１の多数決回路内にあるエラー
判別回路を示す図である。

【図６】本発明の実施例１の多数決回路内にある選択回
路を示す図である。

【図７】本発明の実施例１の多数決回路の動作を示す図
である。

【図８】本発明の実施例１の機能回路を示す図である。

【図９】本発明の実施例１の凍結回路を示す図である。

【図１０】本発明の実施例１の障害検出回路の真理値表
を示す図である。

【図１１】本発明の実施例１の制御レジスタのビットア
サインを示す図である。

【図１２】本発明の実施例１の故障が発生したプロセッ
シングユニットの復旧動作を示すフローチャート図であ
る。

【図１３】本発明の実施例１の故障が発生したプロセッ
シングユニットの復旧動作を示すタイミングチャート図
である。

【図１４】本発明の実施例１の主記憶装置の退避領域を
示す図である。

【図１５】本発明の実施例１の電源投入時における自己
診断のシーケンスを示すフローチャート図である。

【図１６】本発明の実施例１の動作フローチャート図で
ある。

【図１７】本発明の実施例２の凍結回路を示すブロック
図である。

【図１８】本発明の実施例２の機能回路を示すブロック
図である。

【図１９】本発明の実施例３の機能回路を示すブロック
図である。

【図２０】本発明の実施例４の凍結回路を示すブロック
図である。

【図２１】本発明の実施例４の機能回路を示すブロック
図である。

【図２２】本発明の実施例４のタイマの関係図である。

【図２３】本発明の実施例４のタイマの起動／停止／設
定時間経過後の処置を示すブロック図である。

【図２４】本発明の実施例４の制御レジスタのビットア
サインを示す図である。

【図２５】本発明の実施例５の全体構成を示すブロック
図である。

【図２６】本発明の実施例６の全体構成を示すブロック
図である。

【図２７】本発明の故障したプロセッシングボードの表
示ランプ例を示す図である。

【図２８】本発明のマルチプロセッサの実施例のシステ
ム構成図である。

【図２９】本発明のマルチプロセッサの実施例の割り込
みマスタ型の処理フローを示す図である。

【図３０】本発明のマルチプロセッサの実施例の割り込
みスレーブ型及び割り込み同報型の処理フローを示す図
である。

【図３１】本発明のマルチプロセッサの実施例の割り込
みマスタ型の処理フローを示す図である。

【図３２】本発明のマルチプロセッサの実施例の割り込
みスレーブ型及び割り込み同報型の処理フローを示す図
である。

【図３３】本発明のマルチプロセッサの引き継ぎ例１の
処理の移行を示す図である。

【図３４】本発明のマルチプロセッサの引き継ぎ例２の
処理の移行を示す図である。

【図３５】本発明のマルチプロセッサの引き継ぎ例３の
処理の移行を示す図である。

【図３６】本発明のマルチプロセッサの引き継ぎ例４の
処理の移行を示す図である。

【図３７】本発明のマルチプロセッサの他の引き継ぎ例
を示す図である。

【図３８】本発明のシングルプロセッサの実施例のシス
テム構成図である。

【図３９】本発明のシングルプロセッサの実施例の処理
フローを示す図である。

【図４０】本発明のシングルプロセッサの実施例のシス
テム構成図である。

【図４１】本発明のシングルプロセッサの実施例の処理
フローを示す図である。

【図４２】本発明のプロセッシングユニット交換の実施
例のプロセッシングボード図である。

【図４３】従来の高信頼性ディジタルデータプロセッサ
のブロック図である。

【図４４】従来の障害回復動作を示すフローチャート図
である。

【図４５】従来のフォールトトレラントな機能を備えた
コンピュータを示すブロック図である。

【図４６】従来の障害回復動作を示すフローチャート図
である。

【図４７】従来の高信頼化コンピュータシステムを示す
ブロック図である。

【図４８】従来の障害回復動作を示すフローチャート図
である。

【図４９】従来の障害回復方式を示す図である。

【図５０】従来のメモリバックアップシステムを示すブ
ロック図である。

【図５１】従来の障害回復動作を示すフローチャート図
である。

【符号の説明】

１ プロセッシングユニット ２ 多数決回路 ７ 多数決信号 ９ 単一故障信号 １４ 機能回路 ７０ 接続フラグ １２５ プロセッシングボード １３５ 多数決ユニット １４１ システムバス １４３ 主記憶装置 １４５ 入出力バスアダプタ １４７ Ｉ／Ｏバス １４９ Ｉ／Ｏ装置 １６１ 応答信号（Ａ） １６２ 応答信号（Ｂ） １６３ 応答信号（Ｃ） ２０２ 凍結回路 ２１３ 隔離フラグ ２１４ 強制割込フラグ ２１７ 同期フラグ ２４０ 接続セーブフラグ ２７１ 制御レジスタ ２８０ 隔離監視タイマ ３０１ 下限フェンスレジスタ ３０２ 上限フェンスレジスタ ３８１ 隔離時間タイマ ３８２ 隔離間隔タイマ ５００ プロセスキュー ６００ フロントパネル ６０１ａ 正常動作ランプ ６０１ｂ 故障動作ランプ ６０１ｃ ボード交換ランプ ６０２ 活線挿抜スイッチ ７００ ドータボード ８００ ドータボード交換ランプ ８０１ ドータボード活線挿抜スイッチ

フロントページの続き (72)発明者 畑下 豊仁 鎌倉市大船五丁目１番１号 三菱電機株式 会社情報システム研究所内 (72)発明者 阿部 薫 鎌倉市大船五丁目１番１号 三菱電機株式 会社情報システム研究所内 (72)発明者 亀丸 敏久 鎌倉市上町屋325番地 三菱電機株式会社 コンピュータ製作所内 (72)発明者 曽我 正和 鎌倉市大船五丁目１番１号 三菱電機株式 会社情報システム研究所内

Claims (32)

【特許請求の範囲】
1. 【請求項１】 同一命令を実行する３台以上のプロセッ
   シングユニットを有しオペレーティングシステムにより
   スケジュールされた処理を実行するプロセッシングボー
   ドを複数備えた計算機の障害回復方法において、以下の
   工程を備えたことを特徴とする計算機の障害回復方法 （ａ）プロセッシングユニットの故障を検出し、故障し
   たプロセッシングユニットの動作を停止させる故障検出
   工程、（ｂ）故障したプロセッシングユニットを単独で
   動作させ自己診断を行わせる故障診断工程、（ｃ）故障
   診断工程による自己診断結果により、故障が一時的なも
   のである場合、上記故障したプロセッシングユニットを
   正常なプロセッシングユニットに同期させて動作を再開
   させる同期工程、（ｄ）故障診断工程による自己診断結
   果により、故障が固定的なものである場合、残りの正常
   なプロセッシングユニットで処理を継続し、その後故障
   したプロセッシングユニットを有するプロセッシングボ
   ードの処理を他のプロセッシングボードに移行する故障
   回避工程。
2. 【請求項２】 同一命令を実行する３台以上のプロセッ
   シングユニットを有しオペレーティングシステムにより
   スケジュールされた処理を実行するプロセッシングボー
   ドを複数備えた計算機の障害回復方法において、以下の
   工程を備えたことを特徴とする計算機の障害回復方法 （ａ）いずれかのプロセッシングユニットの故障時に、
   故障したプロセッシングユニットを有するプロセッシン
   グボードの他の正常なプロセッシングユニットを用いて
   命令を継続して実行する継続実行工程、（ｂ）故障した
   プロセッシングユニットを有するプロセッシングボード
   に対してスケジュールされた処理であって継続実行工程
   により実行される処理以外の処理を他のプロセッシング
   ボードに移行する移行工程。
3. 【請求項３】 同一命令を実行する脱着可能な３台以上
   のプロセッシングユニットを有し、オペレ−ティングシ
   ステムによりスケジュールされた処理を実行する脱着可
   能なプロセッシングボードを複数備えた計算機の障害回
   復方法において、以下の工程を備えたことを特徴とする
   計算機の障害回復方法 （ａ）いずれかのプロセッシングユニットの故障時に、
   故障したプロセッシングユニットを有するプロセッシン
   グボードの他の正常なプロセッシングユニットを用いて
   命令を継続して実行する継続実行工程、（ｂ）故障した
   プロセッシングユニットを有するプロセッシングボード
   にスケジュールされた処理を他のプロセッシングボード
   に移行する移行工程、（ｃ）上記移行工程後、故障した
   プロセッシングユニットを有するプロセッシングボード
   を抜去し、故障したプロセッシングユニットを新たなプ
   ロセッシングユニットと交換し、そのプロセッシングボ
   ードを再び装着する脱着工程、（ｄ）上記脱着工程後、
   再び装着されたプロセッシングボードを動作させる動作
   工程。
4. 【請求項４】 同一命令を実行する脱着可能な３台以上
   のプロセッシングユニットを有するプロセッシングボー
   ドを備えた計算機の障害回復方法において、以下の工程
   を備えたことを特徴とする計算機の障害回復方法 （ａ）いずれかのプロセッシングユニットの故障時に、
   故障したプロセッシングユニットを有するプロセッシン
   グボードの他の正常なプロセッシングユニットを用いて
   命令を継続して実行する継続実行工程、（ｂ）命令の継
   続実行中に、故障したプロセッシングユニットを新たな
   プロセッシングユニットと交換する交換工程、（ｃ）交
   換した新たなプロセッシングユニットを他のプロセッシ
   ングユニットとともに動作させる同期工程。
5. 【請求項５】 同一命令を実行する３台以上のプロセッ
   シングユニットとこれらプロセッシングユニットの出力
   をそれぞれ入力して多数決をとりその多数決結果に基づ
   いて動作する複数の独立系とを有するプロセッシングボ
   ードを複数備えた計算機の障害回復方法において、以下
   の工程を備えたことを特徴とする計算機の障害回復方法 （ａ）いずれかのプロセッシングユニットの故障時に、
   いずれの独立系においても他の正常なプロセッシングユ
   ニットの出力により多数決をとり処理を継続して実行す
   る継続実行工程、（ｂ）故障したプロセッシングユニッ
   トを有するプロセッシングボードに対してスケジュール
   された処理であって継続実行工程により実行される処理
   以外の処理を他のプロセッシングボードに移行する移行
   工程。
6. 【請求項６】 同一命令を実行する３台以上のプロセッ
   シングユニットとこれらプロセッシングユニットの出力
   をそれぞれ入力して多数決をとりその多数決結果に基づ
   いて動作する複数の独立系とを有するプロセッシングボ
   ードを複数備えた計算機の障害回復方法において、以下
   の工程を備えたことを特徴とする計算機の障害回復方法 （ａ）いずれかの独立系の故障時に、他の独立系を用い
   て処理を継続して実行する継続実行工程、（ｂ）上記故
   障した独立系を有するプロセッシングボードに対してス
   ケジュールされた処理であって上記継続実行工程により
   実行される処理以外の処理を他のプロセッシングボード
   に移行する移行工程。
7. 【請求項７】 処理を実行する２台のプロセッシングボ
   ードを組にした論理プロセッシングボードを備えた計算
   機の障害回復方法において、以下の工程を備えたことを
   特徴とする計算機の障害回復方法 （ａ）論理プロセッシングボードの一方のプロセッシン
   グボードを用いて処理を実行する通常実行工程、（ｂ）
   上記通常実行工程で動作するプロセッシングボードの故
   障時に、通常実行工程で動作するプロセッシングボード
   の他の正常な部分により処理を継続する継続実行工程、
   （ｃ）上記継続実行工程後、論理プロセッシングボード
   の他方のプロセッシングボードに処理を移行する移行工
   程。
8. 【請求項８】 上記継続実行工程は、（ａ）故障したプ
   ロセッシングボードに対して、既にスケジュールされた
   処理を故障したプロセッシングボードで実行する実行工
   程、（ｂ）既にスケジュールされた処理を故障したプロ
   セッシングボードで実行した後、故障したプロセッシン
   グボードの動作を停止する停止工程を備えたことを特徴
   とする請求項２〜６又は７記載の計算機の障害回復方
   法。
9. 【請求項９】 上記移行工程は、（ａ）プロセッシング
   ボードに故障が発生したことをオペレーティングシステ
   ムに通知する故障通知工程、（ｂ）通知を受けたオペレ
   ーティングシステムが故障したプロセッシングボードへ
   新たな処理のスケジュールを中止し、新たな処理を他の
   プロセッシングボードへスケジュールするスケジュール
   工程を備えたことを特徴とする請求項８記載の計算機の
   障害回復方法。
10. 【請求項１０】 上記継続実行工程は、（ａ）故障した
    プロセッシングボードが既に実行中の処理を故障したプ
    ロセッシングボードで実行する実行工程、（ｂ）既に実
    行中の処理を故障したプロセッシングボードで実行した
    後、故障したプロセッシングボードの動作を停止する停
    止工程を備えたことを特徴とする請求項２〜６又は７記
    載の計算機の障害回復方法。
11. 【請求項１１】 上記移行工程は、（ａ）プロセッシン
    グボードに故障が発生したことをオペレーティングシス
    テムに通知する故障通知工程、（ｂ）通知を受けたオペ
    レーティングシステムが故障したプロセッシングボード
    に対して既にスケジュールされた処理を他のプロセッシ
    ングボードへスケジュールしなおすとともに、故障した
    プロセッシングボードへ新たな処理のスケジュールを中
    止し、新たな処理を他のプロセッシングボードへスケジ
    ュールするスケジュール工程を備えたことを特徴とする
    請求項１０記載の計算機の障害回復方法。
12. 【請求項１２】 上記スケジュール工程は、他のプロセ
    ッシングボードへ処理を割り当てる場合、特定のプロセ
    ッシングボードに対して処理を割り当てる工程を備えた
    ことを特徴とする請求項９又は１１記載の計算機の障害
    回復方法。
13. 【請求項１３】 上記スケジュール工程は、更に、処理
    を割り当てられる特定のプロセッシングボードに対して
    既にスケジュールされた処理を他のプロセッシングボー
    ドに割り当てる工程を備えたことを特徴とする請求項１
    ２記載の計算機の障害回復方法。
14. 【請求項１４】 上記脱着工程の前に、故障したプロセ
    ッシングユニットを有するプロセッシングボードが抜去
    可能な状態にあることをオペレータに通知するボード交
    換通知工程を備えたことを特徴とする請求項３記載の計
    算機の障害回復方法。
15. 【請求項１５】 上記交換工程の前に、故障したプロセ
    ッシングユニットが交換可能な状態にあることをオペレ
    ータに通知するユニット交換通知工程を備えたことを特
    徴とする請求項４記載の計算機の障害回復方法。
16. 【請求項１６】 上記同期工程は、（ａ）交換した新た
    なプロセッシングユニットに対して自己診断を行なわせ
    る工程、（ｂ）自己判断の結果により新たなプロセッシ
    ングユニットが正常であると判定された場合、新たなプ
    ロセッシングユニットを他のプロセッシングユニットと
    同期させて動作させる工程を備えたことを特徴とする請
    求項４記載の計算機の障害回復方法。
17. 【請求項１７】 上記プロセッシングボードは、プロセ
    ッシングボードを識別する識別子を有しており、上記計
    算機は、識別子をもとに処理を各プロセッシングボード
    に割り当てて命令を実行していくとともに、上記移行工
    程は、 いずれかのプロセッシングボードの故障時に、他の正常
    なプロセッシングボードの識別子を故障したプロセッシ
    ングボードの識別子に変更する識別子変更工程を備えた
    ことを特徴とする請求項２〜５又は６記載の計算機の障
    害回復方法。
18. 【請求項１８】 上記識別子はプロセッシングボードが
    Ｉ／Ｏ割り込みを受け付けるための割り込みベクタであ
    り、上記識別子変更工程は、プロセッシングボードが有
    する割り込みベクタを変更する工程を備えたことを特徴
    とする請求項１７記載の計算機の障害回復方法。
19. 【請求項１９】 上記移行工程は、（ａ）故障した一方
    のプロセッシングボードにより引き継ぎデータを主記憶
    装置に転送する工程、（ｂ）他方のプロセッシングボー
    ドにより主記憶装置から引き継ぎデータを受け取る工
    程、（ｃ）故障したプロセッシングボードの割り込みベ
    クタを他方のプロセッシングボードに移行する工程、
    （ｄ）他方のプロセッシングボードにより処理を開始す
    る工程、（ｅ）故障したプロセッシングボードを交換す
    る工程を備えたことを特徴とする請求項７記載の計算機
    の障害回復方法。
20. 【請求項２０】 上記計算機は、Ｎ台（Ｎ≧１）のプロ
    セッシングボードで処理する処理量に対してＮ＋１台の
    プロセッシングボードを備え、（ａ）通常、Ｎ＋１台の
    プロセッシングボードを動作させる工程、（ｂ）上記継
    続実行工程実行中はＮ＋１台のプロセッシングボードを
    動作させる工程、（ｃ）上記移行工程実行後は、Ｎ台の
    プロセッシングボードを動作させる工程を備えたことを
    特徴とする請求項２〜５又は６記載の計算機の障害回復
    方法。
21. 【請求項２１】 上記計算機は、Ｎ台（Ｎ≧１）のプロ
    セッシングボードで処理する処理量に対してＮ台のプロ
    セッシングボードを備え、（ａ）通常、Ｎ台のプロセッ
    シングボードを動作させる工程、（ｂ）上記継続実行工
    程実行中は、新たなプロセッシングボードを追加してＮ
    ＋１台のプロセッシングボードを動作させる工程、
    （ｃ）上記移行工程実行後は、Ｎ台のプロセッシングボ
    ードを動作させる工程を備えたことを特徴とする請求項
    ２〜５又は６記載の計算機の障害回復方法。
22. 【請求項２２】 同一命令を実行する脱着可能な３台以
    上のプロセッシングユニットを有するプロセッシングボ
    ードを備え、プロセッシングボードが、障害の有無にか
    かわりなく、各プロセッシングユニット毎に各プロセッ
    シングユニットに対して、そのプロセッシングユニット
    の抜去要求を通知するユニット抜去通知手段を備えた計
    算機の障害回復方法において、以下の工程を備えたこと
    を特徴とする計算機の障害回復方法 （ａ）上記ユニット抜去通知手段によりプロセッシング
    ユニットの抜去要求をプロセッシングボードに通知する
    要求工程、（ｂ）上記要求工程後、そのプロセッシング
    ユニットの動作を停止させる停止工程、（ｃ）上記停止
    工程後、そのプロセッシングユニットが抜去可能である
    ことを通知するユニット変換通知工程、（ｄ）上記ユニ
    ット変換通知工程後、そのプロセッシングユニットを抜
    去する抜去工程。
23. 【請求項２３】 同一命令を実行する脱着可能な３台以
    上のプロセッシングユニットを有する着脱可能なプロセ
    ッシングボードを備え、プロセッシングボードが、障害
    の有無にかかわりなく、プロセッシングボードの抜去要
    求を通知するボード抜去通知手段を備えた計算機の障害
    回復方法において、以下の工程を備えたことを特徴とす
    る計算機の障害回復方法 （ａ）上記ボード抜去通知手段によりプロセッシングボ
    ードの抜去要求を通知する要求工程、（ｂ）上記要求工
    程後、プロセッシングボードで既に実行中の処理を実行
    した後、そのプロセッシングボードの動作を停止させる
    停止工程、（ｃ）上記停止工程後、そのプロセッシング
    ボードが抜去可能であることを通知するボード変換通知
    工程、（ｄ）上記ボード変換通知工程後、そのプロセッ
    シングボードを抜去する抜去工程。
24. 【請求項２４】 同一命令を実行する３台以上のプロセ
    ッシングユニットを有しオペレーティングシステムによ
    りスケジュールされた処理を実行するプロセッシングボ
    ードを複数備えた計算機の障害回復方法において、以下
    の工程を備えたことを特徴とする計算機の障害回復方法 （ａ）故障発生後、故障したプロセッシングボードが、
    オペレーティングシステムにその故障を通知する工程、
    （ｂ）オペレーティングシステムにより、故障したプロ
    セッシングボードに対して新たな処理の割り付けを禁止
    する工程、（ｃ）故障したプロセッシングボードは、す
    でにスケジュールされた処理を実行し、その後キャッシ
    ュメモリをフラッシュし、オペレータにボード交換可能
    状態を通知して故障したプロセッシングボードの動作を
    停止する工程、（ｄ）故障したプロセッシングボードを
    新しいプロセッシングボードに交換する工程、（ｅ）新
    しいプロセッシングボードが、正常な設置状態であるこ
    とをオペレータに通知し、自己診断を実行して、自己診
    断が正常終了のとき、オペレーティングシステムにその
    結果を通知する工程、（ｆ）オペレーティングシステム
    により、新しいプロセッシングボードに処理を割り当
    て、故障前と同じ構成により処理を開始する工程。
25. 【請求項２５】 同一命令を実行する３台以上のプロセ
    ッシングユニットを有し、オペレーティングシステムに
    よりスケジュールされた処理を実行するプロセッシング
    ボードを複数備えた計算機の障害回復方法において、上
    記プロセッシングボードは、Ｉ／Ｏ割り込みを受け付け
    て他のプロセッシングボードに分配する割り込みマスタ
    型プロセッシングボードと、割り込みマスタ型プロセッ
    シングボードから分配されたＩ／Ｏ割り込みを受け付け
    る割り込みスレーブ型プロセッシングボードがあり、各
    プロセッシングボードは各プロセッシングボードに割り
    当てられた割り込みベクタによりＩ／Ｏ割り込みを受け
    付けるものであり、故障したプロセッシングボードが割
    り込みマスタ型プロセッシングボードの場合、以下の工
    程を備えたことを特徴とする計算機の障害回復方法 （ａ）故障発生後、故障したプロセッシングボードが、
    オペレーティングシステムにその故障を通知する工程、
    （ｂ）オペレーティングシステムにより、故障したプロ
    セッシングボードに対して新たな処理の割り付けを禁止
    する工程、（ｃ）オペレーティングシステムにより、故
    障したプロセッシングボードに対する新たな処理を、他
    のプロセッシングボードに移行する工程、（ｄ）処理の
    移行を受けたプロセッシングボードがその処理を開始す
    る工程、（ｅ）故障したプロセッシングボードにより、
    故障したプロセッシングボードの割り込みベクタを他の
    プロセッシングボードに移行し、その動作完了後オペレ
    ーティングシステムにその旨を通知する工程、（ｆ）故
    障したプロセッシングボードがキャッシュメモリをフラ
    ッシュする工程、（ｇ）キャッシュメモリのフラッシュ
    完了後、オペレータにボード交換可能状態を通知する工
    程、（ｈ）故障したプロセッシングボードを新しいプロ
    セッシングボードに交換する工程、（ｉ）新しいプロセ
    ッシングボードが、正常な設置状態であることをオペレ
    ータに通知し、自己診断を実行して、自己診断が正常終
    了のとき、オペレーティングシステムにその結果を通知
    する工程、（ｊ）オペレーティングシステムにより、新
    しいプロセッシングボードに処理を割り当て、故障前と
    同じ構成により処理を開始する工程。
26. 【請求項２６】 同一命令を実行する３台以上のプロセ
    ッシングユニットを有し、オペレーティングシステムに
    よりスケジュールされた処理を実行するプロセッシング
    ボードを複数備えた計算機の障害回復方法において、上
    記プロセッシングボードは、Ｉ／Ｏ割り込みを受け付け
    て他のプロセッシングボードに分配する割り込みマスタ
    型プロセッシングボードと、割り込みマスタ型プロセッ
    シングボードから分配されたＩ／Ｏ割り込みを受け付け
    る割り込みスレーブ型プロセッシングボードがあり、各
    プロセッシングボードは各プロセッシングボードに割り
    当てられた割り込みベクタによりＩ／Ｏ割り込みを受け
    付けるものであり、故障したプロセッシングボードが割
    り込みスレーブ型プロセッシングボードの場合、以下の
    工程を備えたことを特徴とする計算機の障害回復方法 （ａ）故障発生後、故障したプロセッシングボードが、
    オペレーティングシステムにその故障を通知する工程、
    （ｂ）オペレーティングシステムにより、故障したプロ
    セッシングボードに対して新たな処理の割り付けを禁止
    するとともに、故障したプロセッシングボードのＩ／Ｏ
    割り込み受付を停止する工程、（ｃ）オペレーティング
    システムにより、故障したプロセッシングボードに対す
    る新たな処理を、他のプロセッシングボードに移行する
    工程、（ｄ）処理の移行を受けたプロセッシングボード
    がその処理を開始する工程、（ｅ）故障したプロセッシ
    ングボードがキャッシュメモリをフラッシュする工程、
    （ｆ）キャッシュメモリのフラッシュ完了後、オペレー
    タにボード交換可能状態を通知する工程、（ｇ）故障し
    たプロセッシングボードを新しいプロセッシングボード
    に交換する工程、（ｈ）新しいプロセッシングボード
    が、正常な設置状態であることをオペレータに通知し、
    自己診断を実行して、自己診断が正常終了のとき、オペ
    レーティングシステムにその結果を通知する工程、
    （ｉ）オペレーティングシステムにより、新しいプロセ
    ッシングボードに処理を割り当て、故障前と同じ構成に
    より処理を開始する工程。
27. 【請求項２７】 同一命令を実行する３台以上のプロセ
    ッシングユニットを有し、オペレーティングシステムに
    よりスケジュールされた処理を実行するプロセッシング
    ボードを複数備えた計算機の障害回復方法において、上
    記プロセッシングボードは、Ｉ／Ｏ割り込みを受け付け
    て他のプロセッシングボードに分配する割り込みマスタ
    型プロセッシングボードと、割り込みマスタ型プロセッ
    シングボードから分配されたＩ／Ｏ割り込みを受け付け
    る割り込みスレーブ型プロセッシングボードがあり、各
    プロセッシングボードは各プロセッシングボードに割り
    当てられた割り込みベクタによりＩ／Ｏ割り込みを受け
    付けるものであり、故障したプロセッシングボードが割
    り込みマスタ型プロセッシングボードの場合、以下の工
    程を備えたことを特徴とする計算機の障害回復方法 （ａ）故障発生後、故障したプロセッシングボードが、
    オペレーティングシステムにその故障を通知する工程、
    （ｂ）故障したプロセッシングボードにより、新しいプ
    ロセッシングボードの挿入まで処理を継続する工程、
    （ｃ）新しいプロセッシングボードを挿入する工程、
    （ｄ）新しいプロセッシングボードが、正常な設置状態
    であることをオペレータに通知し、自己診断を実行し
    て、自己診断が正常終了のとき、オペレーティングシス
    テムにその旨を通知する工程、（ｅ）オペレーティング
    システムが、新しいプロセッシングボードに処理を割り
    当てる工程、（ｆ）オペレーティングシステムにより、
    故障したプロセッシングボードに対して新たな処理の割
    り付けを禁止する工程、（ｇ）オペレーティングシステ
    ムにより、故障したプロセッシングボードに対する新た
    な処理を、他のプロセッシングボードに移行する工程、
    （ｈ）処理の移行を受けたプロセッシングボードがその
    処理を開始する工程、（ｉ）故障したプロセッシングボ
    ードにより、割り込みベクタを他のプロセッシングボー
    ドに移行し、その動作完了後、オペレーティングシステ
    ムにその旨を通知する工程、（ｊ）故障したプロセッシ
    ングボードはキャッシュメモリをフラッシュする工程、
    （ｋ）キャッシュメモリのフラッシュ完了後、オペレー
    タにボード交換可能状態を通知する工程、（ｌ）故障し
    たプロセッシングボードを抜去する工程。
28. 【請求項２８】 同一命令を実行する３台以上のプロセ
    ッシングユニットを有し、オペレーティングシステムに
    よりスケジュールされた処理を実行するプロセッシング
    ボードを複数備えた計算機の障害回復方法において、上
    記プロセッシングボードは、Ｉ／Ｏ割り込みを受け付け
    て他のプロセッシングボードに分配する割り込みマスタ
    型プロセッシングボードと、割り込みマスタ型プロセッ
    シングボードから分配されたＩ／Ｏ割り込みを受け付け
    る割り込みスレーブ型プロセッシングボードがあり、各
    プロセッシングボードは各プロセッシングボードに割り
    当てられた割り込みベクタによりＩ／Ｏ割り込みを受け
    付けるものであり、故障したプロセッシングボードが割
    り込みスレーブ型プロセッシングボードの場合、以下の
    工程を備えたことを特徴とする計算機の障害回復方法 （ａ）故障発生後、故障したプロセッシングボードが、
    オペレーティングシステムにその故障を通知する工程、
    （ｂ）故障したプロセッシングボードにより、新しいプ
    ロセッシングボードの挿入まで処理を継続する工程、
    （ｃ）新しいプロセッシングボードを挿入する工程、
    （ｄ）新しいプロセッシングボードが、正常な設置状態
    であることをオペレータに通知し、自己診断を実行し
    て、自己診断が正常終了のとき、オペレーティングシス
    テムにその旨を通知する工程、（ｅ）オペレーティング
    システムが、新しいプロセッシングボードに処理を割り
    当てる工程、（ｆ）オペレーティングシステムにより、
    故障したプロセッシングボードに、新たな処理の割り付
    けを禁止するとともに、故障したプロセッシングボード
    のＩ／Ｏ割り込み受付を停止する工程、（ｇ）オペレー
    ティングシステムにより、故障したプロセッシングボー
    ドに対する新たな処理を、他のプロセッシングボードに
    移行する工程、（ｈ）処理の移行を受けたプロセッシン
    グボードがその処理を開始する工程、（ｉ）故障したプ
    ロセッシングボードはキャッシュメモリをフラッシュす
    る工程、（ｊ）キャッシュメモリのフラッシュ完了後、
    オペレータにボード交換可能状態を通知する工程、
    （ｋ）故障したプロセッシングボードを抜去する工程。
29. 【請求項２９】 同一命令を実行する３台以上のプロセ
    ッシングユニットを有しオペレーティングシステムによ
    りスケジュールされた処理を実行するプロセッシングボ
    ードを複数備え、これら複数のプロセッシングボードに
    対してプロセスをスケジュールするひとつのプロセスキ
    ューを備えた計算機の障害回復方法において、以下の工
    程を備えたことを特徴とする計算機の障害回復方法 （ａ）いずれかのプロセッシングユニットの故障時に、
    故障したプロセッシングユニットを有するプロセッシン
    グボードの他の正常なプロセッシングユニットを用いて
    命令を継続して実行する継続実行工程、（ｂ）プロセッ
    シングボードに故障が発生したことをオペレーティング
    システムに通知する故障通知工程、（ｃ）通知を受けた
    オペレーティングシステムがプロセスキューからの故障
    したプロセッシングボードへ新たな処理のスケジュール
    を中止し、プロセスキューからの新たな処理を他のプロ
    セッシングボードへスケジュールするスケジュール工
    程。
30. 【請求項３０】 同一命令を実行する３台以上のプロセ
    ッシングユニットを有し、オペレーティングシステムに
    よりスケジュールされた処理を実行するプロセッシング
    ボードを複数備えた計算機の障害回復方法において、上
    記プロセッシングボードは、共通の割り込みベクタによ
    りＩ／Ｏ割り込みを受け付けるものであり、いずれかの
    プロセッシングボードが故障した場合、以下の工程を備
    えたことを特徴とする計算機の障害回復方法 （ａ）故障発生後、故障したプロセッシングボードが、
    オペレーティングシステムにその故障を通知する工程、
    （ｂ）オペレーティングシステムにより、故障したプロ
    セッシングボードに対して新たな処理の割り付けを禁止
    するとともに、故障したプロセッシングボードのＩ／Ｏ
    割り込み受付を停止する工程、（ｃ）オペレーティング
    システムにより、故障したプロセッシングボードに対す
    る新たな処理を、他のプロセッシングボードに移行する
    工程、（ｄ）処理の移行を受けたプロセッシングボード
    がその処理を開始する工程、（ｅ）故障したプロセッシ
    ングボードがキャッシュメモリをフラッシュする工程、
    （ｆ）キャッシュメモリのフラッシュ完了後、オペレー
    タにボード交換可能状態を通知する工程、（ｇ）故障し
    たプロセッシングボードを新しいプロセッシングボード
    に交換する工程、（ｈ）新しいプロセッシングボード
    が、正常な設置状態であることをオペレータに通知し、
    自己診断を実行して、自己診断が正常終了のとき、オペ
    レーティングシステムにその結果を通知する工程、
    （ｉ）オペレーティングシステムにより、新しいプロセ
    ッシングボードに処理を割り当て、故障前と同じ構成に
    より処理を開始する工程。
31. 【請求項３１】 同一命令を実行する３台以上のプロセ
    ッシングユニットを有し、オペレーティングシステムに
    よりスケジュールされた処理を実行するプロセッシング
    ボードを複数備えた計算機の障害回復方法において、上
    記プロセッシングボードは、共通の割り込みベクタによ
    りＩ／Ｏ割り込みを受け付けるものであり、いずれかの
    プロセッシングボードが故障した場合、以下の工程を備
    えたことを特徴とする計算機の障害回復方法 （ａ）故障発生後、故障したプロセッシングボードが、
    オペレーティングシステムにその故障を通知する工程、
    （ｂ）故障したプロセッシングボードにより、新しいプ
    ロセッシングボードの挿入まで処理を継続する工程、
    （ｃ）新しいプロセッシングボードを挿入する工程、
    （ｄ）新しいプロセッシングボードが、正常な設置状態
    であることをオペレータに通知し、自己診断を実行し
    て、自己診断が正常終了のとき、オペレーティングシス
    テムにその旨を通知する工程、（ｅ）オペレーティング
    システムが、新しいプロセッシングボードに処理を割り
    当てる工程、（ｆ）オペレーティングシステムにより、
    故障したプロセッシングボードに、新たな処理の割り付
    けを禁止するとともに、故障したプロセッシングボード
    のＩ／Ｏ割り込み受付を停止する工程、（ｇ）オペレー
    ティングシステムにより、故障したプロセッシングボー
    ドに対する新たな処理を、他のプロセッシングボードに
    移行する工程、（ｈ）処理の移行を受けたプロセッシン
    グボードがその処理を開始する工程、（ｉ）故障したプ
    ロセッシングボードはキャッシュメモリをフラッシュす
    る工程、（ｊ）キャッシュメモリのフラッシュ完了後、
    オペレータにボード交換可能状態を通知する工程、
    （ｋ）故障したプロセッシングボードを抜去する工程。
32. 【請求項３２】 上記プロセッシングユニットは、キャ
    ッシュメモリとプロセッサを備え、上記移行工程は、故
    障したプロセッシングボードのキャッシュメモリをフラ
    ッシュするフラッシュ工程を備えたことを特徴とする請
    求項２、３、５、６又は７記載の計算機の障害回復方
    法。