JPH07501642A - 多重障害時動作可能なフォールトトレラント・クロック - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 多重障害時動作可能なフォールトトレラント・クロ１り発明の分野 本発明は、ディジタル回路用のクロックに関するものである。より詳しくは、本 発明は、フォールトトレラントを有するクロックに関する。

発明の背景 システムにディジタル・フォールトトレラントを与えることは、７ステム障害が 重大な結果を招くことを考えれば不可欠である。このようなフォールトトレラン トを達成する一般的な方法は、タイムベース（時間基準）を同期させなければな らないコンビ二一夕のようなシステムまたはサブシステムやセンサに冗長性を持 たせることである。しかしながら、その場合、タイムベースの同期化がフォール トトレラントであることが必須である。また、実際にフォールトトレラント同期 化を行う方法または装置は、保守やトラブルシューティングによってシステム障 害予防を促進することができるように、潜在的障害検出機能及びリボ−ティング 機能が組み込まれるべきである。

並列に接続されたコンピユータ等からなる冗長サブシステムの集合の場合は、ど のサブシステムもタスク処理動作が池のサブシステムより進み過ぎたり、遅れ過 ぎたりしないことが重要である。／ステム間には同期化が必要であるが、そのよ うな同ＸＩＩ化は、フォールトトレラントでなければならず、かつ潜在的障害検 出機能及びリポ−ティング機能がなければならない。さらに、冗長構成要素の直 列接続（例えば冗長プロセッサと直列に接続された冗長センサ）は、情報を伝達 するために同期化を必要とする。

フォールトトレラント同期化には様々な方式がある。一部の低周波クロックを同 期させるのに適した方式では、同期化機構自体における変動によって生じるス牛 ニーを許容可能な程度とするような計算を行うようになっている。この場合、ク ロック周期は計算に必要な時間に比して非常に長い。このような方式は、ソフト ウェアで実行することができる。しかしながら、このようなソフトウェアによる やり方は、何台かのコンピュータがあって、それらが様々なタスクに専用に割り 当てられる一部のディジタルシステムのアーキテクチャについては不適合である 。このような状況において、同期化タスクを行わせるために、汎用コンビ二一夕 を少なくとも１台まるまる増設することは、専用のクロック回路を用いるのに比 べて非常に非効率的となる場合がある。

最小の専用クロック回路を設けることによりフォールトトレラント・クロックを 達成しようとする技法もある。このような技法のほとんどは、（３Ｎ＋　Ｉ　） 個のクロックモジュールによりＮｆｆ１障害時動作可能性が達成されるアルゴリ ズム（回路ではない）を使用する１つを除いて、単一障害時動作可能性しか得ら れない。

これまで、潜在的障害検出機能を具備したフォールトトレラント・クロックの技 術は知られていない。潜在的障害検出機能がない場合、フォールトトレラント・ クロックは、１つまたは２つ以上の潜在的障害が存在する状態で動作し続けるが 、ついにはさらに１つ障害が起こっただけで、太き（障害に影響される状態とな る。すなわち、クロックは、最終的にはもはやフォールトトレラントではなくな り、しかもそのような状況は検出されない。これは、フォールトトレラント・ク ロックとしては許容されるものではない。

発明の概要 本発明は、相互接続された４つの同じクロックモジュールを有するフォールトト レラント・クロックにある。このいわゆるカッドクロック（四重クロ１り）によ れば、単一障害時動作可能性が１００％達成され、また二重障害時動作可能性が ほぼ１００％が達成される。二重障害時に１００％のフォールトトレラント性が 確保されないのは、同時に起こる、それも２つの別個のりロックモジュールで同 時に起こる二重障害で、無障害のモジュールが障害として認識することができ、 しかも悪質な障害、すなわちそれら２つの有障害モジニールが無障害のモノ一− ルを［騙すＪように作用する障害の場合である。動作停止につながるのはこのよ うな二重障害である。

また、本発明のフォールトトレラント・クロックにおいては、３つ、４つまたは それ以上の障害、すなわちモジュール間の多数の通信回線が故障するような場合 にも、ある程度フォールトトレンランス性が確保される。

本発明によれば、フォールトトレラントな同時始動が行われる。パワーオン後、 カッドクロックは、外部、すなわちこのクロックによりサポートされるエレクト ロニクス系統の残りの部分には、同時にスタートするように見える。これは、モ ノコール間における（レディ）フラグの受渡し及び投票によって達成される。別 個のモジュールから外部へ送られる最初のクロックエツジは同時に起こる。この 同時始動はフォールトトレラントである。レディ（使用可能）回線上の障害はマ スクされ、最も可能性がある障害（例えば適切な時間内にレディ状態を示す信号 を出すことができない故障）が検出され、リポートされる。最悪の場合、始動回 路に多重障害があると、クロックが始動しないことがある。

本発明においては、フォールトトレラント動作診断装置が組み込まれる。この診 断装置は潜在的障害検出機能を有する。本願において「潜在的」障害とは、外部 から見る限りにおいて、クロ・１りの適切な挙動に影響を及ぼすことがない障害 をいう。潜在的障害検出は、４つの全てのクロ１クモジユールで独立して行われ る。所与のモジュールが、他のモジニールからの信号が誤っていると認識すると 、フォールトフラグがセブトされる。クロックの動作状態はフォールトフラグに よって決まる。重要な動作状態のｆｉ類には、［障害なしｊｌ　「二重障害時動 作可能」、「単一障害時動作可能」、「動作可能」及び「動作不能」などの状態 がある。このような動作状態の種類に関する情報は、保守スケジュール作成のた めに必要である。また、これらの動作状態を評価することができるようモジ、− ル間においてもフォールトフラグの交換が行われる。このような情報の交換自体 もフォールトトレラントである。

４つの各モジュールは、１２のポイントッーポイント回線接続によって各々のク ロック信号を他の各モジニールへ送信する。フォールトトレラントな同時始動を 行うためにはさらに１２のポイントッーポイント回線接続が必要である。フォー ルトフラグ情報を伝達するにはさらに１２のポイントッーポイント回線接続が必 要である。また、各モジコールが相互接続を介して各々のフラグを自己宛に送る 場合は、フラグ通信用に全部で１６の相互接続回線またはポイントッーポイント 回線接続が必要である。これらの接続態様によれば、モジュールを相互に全く同 じ関係とすることができる。

これらのモジコールは、受信した信号及び投票されたクロック出力の短時間のヒ ストリを記憶するために使用されるシフトレジスタが組み込まれ、これにより最 小限の組合せ論理を付加するだけであらゆる形の障害を検出することが可能であ る。不安定性の解消は、シフトレジスタの第１段によって自動的に行われる。

標準的なロードダブルカウンタ（ｌｏａｄａｂｌｅ　ｃｏｕｎｔｅｒ）が、デニ ーテイサイクルを容易に選択することが可能なりロック信号を発生させる。クロ ックモジュール回路全体は、小さな集積回路または最新の技術によるプログラマ ブル回路に容易に作り込むことができる。

一般に、本発明のクロックは、フ堵−ルトトレラント同時始動が可能な二重障害 時動作可能性／フェールセーフ動作及び二重障害時動作状態報告という条件を満 足するような設計が最も効率的な設計となる。また、本発明は、２つの周波数オ ブン璽ン、すなわちを１つの周波数とその倍数の周波数を出力することができ、 これらの周波数における同期ループ及び障害検出ループが設けられる。その低い 方の周波数の信号及び高い方の周波数の信号共フォールトトレラントである。

図面の簡単な説明 各々、図１ａ及び１ｂは、それぞれ本発明の４つのクロックモジ５−ル間の相互 接続及びそれらの各クロックモジコールのブロック図を示す。

図２は、クロックモジュールの要部の詳細なブロック図である。

図３は、４つのクロ／クモジュール及び、これらのモジニールと別途に任意に設 けることができる障害捕捉部（ｆａｕｌｔ　ｃｏｎｔａｉｎｍｅｎｔ　ｒｅｇｔ ｏｎ）クロック受信器との接続間係を示すプロ１フ図である。

図４は、クロックモジコール、マイクロプロセッサ及び不揮発性メモリを組み込 んだシステムのブロック図である。

図５は、クロックモジュールのクロ・、クイネーブル回路の回路図である。

図６は、パワーオン時の初期タイミングシーケンス図である。

図７は、クロ１クモジユールのクロック発生器回路の回路図である。

図８は、クロックモジュールのり０．り受信器回路の回路図である。

図９は、クロック受信器回路の入カクロｙクマネージャ回路の回路図である。

図１０は、クロック受信器回路のデータコレクタ回路の回路図である。

図１１は、クロ１り受信器回路の基準クロックマネージャ回路の回路図である。

図１２は、クロックシステムの二重故障時動作可能構成におけるフォールトトレ ラント・リセット相互接続トポロジの説明図である。

図１３は、単一故障時動作可能構成のトポロジの説明図である。

図１４は、動作可能構成のトポロジの説明図である。

図１５は、投票クロック信号の合成のタイミング図を示す。

図１６ａは、過渡的構成のトポロジの説明図である。

図１６ｂは、安定状態の構成のトポロジの説明図である。

図１７ａ及至１７ｃは、それぞれ単方向リンクを有するトポロジの説明図である 。

図１８ａも単方向リンクを有するトポロジの説明図である。

図！８ｂは、単方向リンクを有しないトポロジの説明図である。

図＋９ａ及至１９ｃは、互いに等価な３つのネブトワークトポロジの１つをそれ ぞれ示す説明図である。

図２０８及至２０Ｊは、１０の双方向クロック構成のトポロジの中の１つ及びそ の安定性をそれぞれ示す説明図である図２１は、プロークンベア構成のトポロジ の説明図である。

図２２は、フォールトフラグ通信システムの機能ブロック図である。

図２３は、フォールトフラグ通信のタイミング図である。

図２４８及び２４ｂは、フォールトフラグ通信クロツクのブロック図及びそのク ロック位相のタイミング図である。

図２６は、フォールトフラグ送信器の回路図である。

図２６ａは、−組のフォールトフラグ受信器を示す回路図である。

図２６６は、フォールトフラグ受信器詳細図である。

図２７は、フォールトフラグ通信回線故障探知システムの回路図である。

図２８ａ及び２８ｂは、それぞれフォールトフラグ・パーマネントラッチ回路及 びその１ビット分のラッチ回路の詳細を示す回路図である。

図２９は、カード及びカードの絶対番号と相対番号との対応関係をまとめた表で ある。

図３０は、全てのクロｙりに共通のフォールトフラグ順序付は表である。

図３１ａ及至３１ｆは、それぞれクロｙり及びリセットンステムの動作判断のた めの組合せ論理回路の構成を示す回路図である。

実施例の説明 本発明は、あらゆる非同時性二重障害に対してフォールトトレラントを持たせる ことを目的として構成されたディジタルクロック回路にある。この回路は、最大 周波数誤差が１００万分の１４０で、相互に２００ナノ秒以内に同期したフォー ルトトレラントな４つの１００ヘルツクロツク、最大周波数誤差が１００万分の １４０で、相互に１２００ナノ秒以内に同期したフォールトトレラントな４つの １６００ヘルツクロツク、及び回路の状態を監視し、保守診断を行い易くするた めに使用される３２のフォールトフラグ信号を供給する。

図１ａには、４つのモジュール１１％　１２．１３及び１４及びこれらのモノニ ール間の相互接続回線を有するクロックｌＯが示されている。図１１）は、モジ ュール１１，１２、＋３または１４のブロック図である。これらの各モジニール は、リセット手段１６、クロ１り受信器（クロック受信器回路）２０及びクロッ ク発生器（クロック発生器回路）１８を有するクロック装置＋１５、及び動作診 断回路（動作診断手段、フォールトフラグ通信回路）１７を有する。図２は、上 記各モジュール１Ｌ１２．１３または１４の部分モジュール１５を示す。また、 これらの各モジュールは、図２２に示すようなフォールトフラグ通信回路１７を 有する。上記各モジュールの４つの主要構成要素のうち、リセット手段またはフ ォールトトレラント・リセット回路またはクロ７クイネーブル回路１６は、池の 全てのクロックモジコールへ同期した初期イネーブル信号を供給し、クロｙり発 生器回路１８は、１００ヘルツ及び１６００ヘルツのクロ１り信号を出力し、ク ロック受信器回路２０は、他の３つのクロ、クモジュールからの入力クロックに よってこれら他のモジュールを監視し、クロ、り発生器回路１８に同期化コマン ドを供給し、動作診断手段１７は、他のモジコールの動作を診断する。また、ク ロック受信器２０は、フォールトトレラント・クロック及び保守フラグＦｌ、Ｆ Ｊ。

ＦＫ、ＦＬを出力する。図３は、４つのフォールトトレラント・クロックをクロ ック受信器回路２２へ出力するクロックモジュール１１．＋２．１３及び１４を 有する本発明の一実施例の構成１４０を示す。クロ・ｌり受信器２２は、クロ／ クモジュールのクロック受信器２０とほぼ同じであるが、クロック受信器２２で は、組合せ論理装置６４においてゲート１３ｇを省いた点が若干具なっている（ 図１０）。図３の構成１４０において、クロック受信器２２は１つの外部フォー ルトトレラント・クロック信号を出力する。

図４は、図１の詳細図で、４つのクロックモジュールの相互接続関係及び外部接 続関係が詳細に示されており、またこれらのクロック信号を用いる外部システム への適用を図るためのメモリ１２０及びプロセッサ２４との相互接続関係が示さ れている。これら４つの同じモジュール間には、１２ポイントツーポイント・ワ イヤテトラヘドロン（ｗｉｒｅ　ｔｅｔｒａｈｅｄｒｏｎ）型クロツク相互接続 アーキテクチャ、１２ポイントツーポイント・Ｊイヤテトラへドロン型フォール トトレラント・リセット相互接続アーキテクチャ及び１２ポイントツーポイント ・ワイヤ式動作状態相互接続アーキテクチャまたは１６ポイントツーポイント・ ワイヤ式動作状態相互接続アーキテクチャが講じられている。このフォールトト レラント・クロック回路は、不安定状態に起因する全ての潜在的障害を排除する よう構成されている。回路内の様々なディジタル構成要素に関しては、セットア ツプ時間及び士−ルド時間の条件は満たされている。シフトレジスタを用いてク ロックの新しいヒストリが記録され、これによって障害検出及び信号同期化を行 うことが可能となる。

同期に要求される条件は、全ての対のクロ１クモジユールの１００ヘルツ信号間 でスキューエラーが１０００ナノ秒以下、全ての対のクロックモジュールの１６ ００ヘルツ信号間ではｒ＊密な同期」が必要であり、ある特別のアプリケ−シリ ン、すなわち飛行データ慣性基準装置（Ａｉｒ　Ｄａｔａ　ｒｎｅｒｔｉａｌＲ ｅｆｅｒｅｎｃｅ　Ｕｎｉｔ（ＡＤＩＲυ））用の場合は、周波数誤差が１００ 万分の２００以下でなければならない。

各クロック発生器回路１８は、各モジュールの１００ヘルツ及び１６００ヘルツ の同期したクロック信号を出力する。１００ヘルツクロツク信号は、フォールト トレラント・クロック回路内だけで使用される。１６００ヘルツクロック信号は 、ＨＥ　Ｘ　Ａ　Ｄ装置に供給される。また、各クロック受信器回路２ｏは、各 モジュールの１００ヘルツ基準クロ・ツク信号を出力する。基準クロγり信号は 、マイクロプロセッサ２４に供給される。ＨＥ　Ｘ　Ａ　Ｄ装置は、ジャイロス フーブ及び／または加速度計よりなる６つのセンサで構成され、６つのセンサの 中の２つが故障しても十分機能することができるようになっている６センサ装置 である。

クロック発生器１８は、ロード値が周波数及びデニーティサイクルを制御するよ うに選択されるローダプルカウンタ５６を有する。ローダプルカウンタ５６及び カウンタ５８からなる２段カウンタは、１６００Ｈｚと１００Ｈｚの同期したク ロック信号を供給する。本発明の新規な特徴の一つは、１００Ｈｚクロツクの立 ち上がりエツジ及び立ち下がりエツジでの同期化と、１６００　ＨＺ及び１００ Ｈｚクロγり出力のデ１−ティサイクルを５０パーセントにしたことである。ま た、クロック発生器１８にスロー障害検出組合せ論理袋Ｗ１１１６を設けたこと も新規な特徴である。最大許容スキニー及び最大許容周波数誤差を計算するには 、次の式が使用される。

スキュー（クロック発生器出力）　、、、　＝　２　Ａ　Ｔ　ｍ　＋　２　Ｔ　 ＊ｒｃｔｇスキニー（クロック受信器出力）　−１−”　Ｚ　Ｔｌ１ＦｅＬＩＶ 　（ｆ　ｒ　ｅＱ）　＊１１１１　＝Ａ＋２　（Ｔ＋＋ｖｃＬｗ　／Ｔ、　）こ こで、Ａ＝高周波水晶発振器の精度 Ｔ、＝同期周期（同期後のエツジ間の公称経過時間）Ｔ□Ｃ□−高周波水晶発信 器Ａ器の出力信号の周期これらの式は、クロｌり受信１１２０の出力間のスキニ ーがクロック発生器１８の出力間のスキニーより小さいことを示している。クロ ・７り受信器２ｏはマイクロプロセッサ２４を駆動するので、クロック性能を判 断するためにはクロック受信器の１００ヘルツ信号間のスキニーを用いるべきで ある。しかしながら、クロック発生器の１６００ヘルツ出力間のス牛コー値は、 回路障害の試験を行うために用いられるので、非常に重要である。若干修正した クロック受信器回路２２を各ＨＥ　Ｘ　Ａ　Ｄに付加することによって、ＨＥ　 Ｘ　Ａ　Ｄに供給される１６００ヘルツ信号間のスキニーを上式１のスキニーか ら上式２のレベルまで低減することも可能である。クロック発生器回路１８には 、１００万分の１００の精度の発振器が用いられる。上記の式１．２及び３は、 Ｔｍｔｃｔ＊が小さいほどクロＩり性能が改善されるということを示している。

高周波水晶発信器の出力周波数を１０メガヘルツにすると、Ｔ□ＣＬ４は比較的 小さい値（この場合１００ナノ秒）となり、しかもディジタル構成要素のタイミ ングのずれの問題を解消するのに十分な時間を確保することができる。１００へ ルックロック信号の立ち上がりと立ち下がりの両エツジで同期を取ると（Ｔ、＝ ５４す秒）、ｉｏｏヘルツクロック信号のどちらか一方のエツジだけで同期を取 る場合（Ｔ＊＝１０ｉす秒）と比較して、スキューを著しく小さくすることがで きる周波数の精度は水晶発振器の精度に関係する。

パラメータをＡ＝１００ｘｌＯ−’、ＴａＦＣＬＩ　＝　１００　Ｘ　１０−’ 、Ｔｓ−５ｘ１０１とすると、前記の３つの方程式はそれぞれ下記のようになる ニスキュー（クロック発生器）ｍ　＝１２００ｎｓｅｃスキニー（受信器）ｓｕ ｍ　＝２００ｎｓｅｃ■（周波数）、、、＝１４０ｐｐｍ 図５のリセ−ｙ　）手段またはクロックイネーブル回路１６は、最初の同期した イネーブル信号を全てのクロックモジュールに供給してクロ１り起動時に４つの モジュールを相互に確実に同期させると共に、クロ１クイネーブル回路１６自体 内部の潜在的障害の有無を連続的に検出し、ラッチし、リポ−ティングし、不安 定性を解消するべく機能する。この回路、すなわちフォールトトレラントなリセ ット回路１６は、リセット回路１６におけるハードウェア障害を検出し、フォー ルトフラグをラッチする二重障害時動作可能な初期化障害検出論理を具現するた めの２／４投票器機構、及び回路初期化時に不安定性解消を図るためのマスター −スレーブ・フリ１ブフロブブ組合わせ回路を有する。このリセット手段または クロックイネーブル回路１６は、組合せ論理装置！！１０６、障害検出リセット 回路１０８及びリセ・ットラッチ１１０からなる。クロックイネーブル回路１６ は、最初のパワーオン後、クロックはこれにより駆動される全てのマイクロプロ セッサ２４が完全に初期化されるまで動作すべきでなな（、また全てのクロック モジコールは最初に同期を取るべきであるというパワーオン時の多重タイミング の必要条件を満たす。

動作が開始されると、Ｔ＝０において４クロツクプロセツサボードに電源が供給 される。この時、内部クロ１クリセ・１ト信号２６が各々対応するクロックモジ コール１１．１２．１３及び１４内でアサート（能動化）される。信号２６は、 フォールトトレラント・クロックを確実に非動作状態に保つためにマイクロプロ セッサ２４の初期化期間を通してアサート状態に保たれる。マイクロプロセッサ ２４は、ランダム要因のため、初期化が同時には完了しない。そのために、初期 化の最小完了時間ＴＡ及び最大完了時間Ｔ、が指定される。４つの内部クロック リセット信号２６は少なくとも時間ＴＩが経過するまでアサート状態に保つ必要 がある。診断ルーチンによっては、前のセブ７Ｗノからの未解消の障害を障害ラ ッチにロードするシステムの能力が要求されることもある。その場合は、クロッ クイネーブル障害ラッチには、内部クロメクリセット信号２６が抑止されるでい る時、不揮発性メモリに記憶されたデータがロードされる。

１１．１２、＋３及び１４の各クロックモジニールは、マイクロプロセッサ２４ の初期化後にアサートされる内部クロックイネーブル信号２８を使用する。信号 ２８は、クロックモジュール１１％　１２．１３及び１４が確実に内部クロ１ク リセット信号２６から解除されるよう、Ｔ、より十分後にアサートされる（最小 介入期間”’Ｔｅ　Ｔａ）。ランダム要因のために、４つの内部クロックイネー ブル信号２８は時間ＴｃとＴ、の間アサートされる。

クロックイネーブル回路１６は、その回路中の障害をマスクするよう構成されて いる。障害は、第２のクロックイネーブル信号を受け取ると同時に組合せ論理装 置１＋０６からの妥当性を確認されたクロックイネーブル信号３０をアサートす る２／４投票器によってマスクされる。従って、クロックモジニール１１，１２ ．１３または１４の中の１つがその内部クロックイネーブル信号２９（パワーオ ンレディ信号）を余り早く受け取っても、その障害はそのモジュールのいずれの 妥当性確認済みクロックイネーブル信号３０にも伝達されない。同様に、クロ・ ツクモジコール１１．１２．１３及び１４の中の２つが内部クロ／クイネーブル 信号２９を全くアサートしない場合も、これら４つのクロックは、全てそれぞれ の妥当性確認済みクロ１クイネーブル信号３０を発生させることができる。

クロ１クイネーブル回路１６内の潜在的障害は、ンフトレジスタ３６の出力３１ ．３２．３３及び３４によって指示される１６のフォールトフラグにより検出さ れ、リポ−ティングされる。これらの１６のフォールトフラグは、単に保守を行 い易くするために入れられており、クロックの動作には全く影響を及ぼさない。

各モジュールは、外部クロックからのクロックイネーブル信号３７．３８及び３ ９、及び内部クロックからのクロ・１クイネ一ブル信号２９に対応する４つのフ ォールトフラグ３１．３２．３３及び３４を有する。クロック受信器２ｏがらの 妥当性確認済みクロ１り信号４ｏが対応するクロックイネーブル信号２９．３７ ．３８または３９より前にアサートされると、フォールトフラグがアサートされ る。

検出された障害は、過渡的リポ−ティングを防ぐために全てラッチされる。

クロ１クイネーブル回路！６は、本来非同期であるから、これが速過ぎて内部イ ネーブル信号２９についての障害の判断をすることができないということはない 。すなわち、内部クロックイネーブル信号２９　ｔ、−障害があるという結論を 出すまでに十分な時間的余裕がある。内部クロ・２クイネ一ブル信号２９と対応 する故障信号くフォールトフラグ）３４は、最初に、Ｎビット・ディジタルカウ ンタ４２を介して妥当性確認済みクロック信号４ｏを遅延させることによってデ ィスエーブル化（無効化）される。カウンタ４２による遅延が十分にするのに必 要な最小ビット数Ｎは次式によって与えられる：ｎ＝　［１０ｇ＝　（（Ｔｏ　 −Ｔｃ　）　ＴａｔｃＬｇ　）　］ただし、７ｃ＝内部クロックイネーブル信号 アサートに必要な最小時間Ｔ、＝内部クロりクィネーブ信号アサートに必要な最 大時間ＴｌｌＦｅ＋４　＝高周波発振器信号ＨＦ　ＣＬ　Ｋの周期クロックモジ ュール１１．１２．１３または１４がクロックイネーブル信号２９．３７．３８ または３９の中の少なくとも２つを受け取ると、妥当性確認済みクロ１クイネー ブル信号３０がアサートされ、妥当性確認済みクロックイネーブル信号３０は２ つのＤフリップフロ１ブ４６によってラッチされ、ローカルの（そのモジュール の）ＨＦＣＬＫ信号４４に同期される。内部の同期したクロックイネーブル信号 ２９はＨＦＣＬＫ信号４４の次のエツジでアサートされる。クロックモジコール １１．１２．１３または１４内の同期した全てのデバイスは、正エツジでトリガ ーされるので、不安定性は解消される。フリップフロ・１ブ４６及びカウンタ４ ２は、「早期の」パワーオン・リセット信号である内部クロックリセット信号１ １２が入力される。

図６は、クロ・１クイネ一ブル回路１６のパワーオン後の初期タイミング動作の シーケンスを示す。各モジュール１１，１２．１３または１４において、マイク ロプロセッサ２４が初期化されるのは、早くとも、各内部クロックリセット信号 がアサートされるより時間εだけ前である。各マイクロプロセッサ２４の初期化 は、この時間εの期間内の様々な時点で終了する。全てのマイクロプロセッサ２ ４が初期化された後、あるいは最後のマイクロプロセッサが初期化された時、内 部クロックリセット信号がアサートされる。各モジュール１１％　１２．１３及 び１４において、内部クロックリセット信号がアサートされてから時間δ後に、 内部クロブクイネーブル信号がアサートされる。時間δは時間εより長い。

クロ・ツク発生器回路１８は、クロック受信器回路２０から受け取る同期化コマ ンド信号４８及び５０に従って動作する。コマンド信号４８及び５０がない時は 、クロｙり発生器回路１８は自走発振器として動作する。クロック発生器回路１ ８は図７に詳細に示されている。クロック発生器回路１８の出力には、他の３つ のクロックモジュールの１００ヘルツクロック発生器出力５２に厳密に同期した フォールトトレラントな１００ヘルツ信号、及び他の３つのクロ１クモジユール の１６００へルックロック発生器出力５４に厳密に同期したフォールトトレラン トな１６００ヘルツ信号５４がある。

各々５０％デユーティサイクルの１００ヘルツと１６００ヘルツのクロック信号 が必要であるが、これらのクロック信号は、この実施例ではタンデムカウンタ設 計よりなる１７Ｎ分周段によって供給される。第２のカウンタ５８は、１／３２ 分周段として機能し、１００ヘルツ及び１６００ヘルツ信号を両方とも供給する 。第２のカウンタ５８の最下位ピットの周期は、最上位ビットの周期の１６分の ！である。策ｌのカウンタ５６の最上位ビットのデコーティサイクルは５０パー セントではないが、第２のカウンタ５８の出力の５ビツトはほぼ５０パーセント のデ１−ティサイクルを有する。第１のカウンタ５６は、箪２のカウンタ５８に ３２００ヘルツの信号を供給する。この３２００ヘルツ信号は、１０メガヘルツ 水晶発振器ＨＦＣＬＫの出力信号４４を３１２５分割することによって得られる 。第１のカウンタ５６は、１／３１２５分周段として結線されている。クロ１り 受信器回路２０は、正の基準エツジが入力されると、高周波水晶発振器（ＨＦＣ ＬＫ）の信号４４の１サイクルの間ＵＰＳＹＮＣ信号５０をアサートする。信号 ５０の線を介しては、１００Ｈｚクロ１りが同期している場合、その値が立ち上 がり（上向き、正の）エツジにあるか、立ち下がり（下向き、負の）エツジにあ るかによって、それぞれｌまたは０がロードされ、これによって次の半周期の間 にクロックがセットされる。信号５ｏによりｌがロードされると、第１のカウン タ５６は、０Ｏ１１１１００１０１１＊　（４０９６＋＊　３１２５＋、）ｌ＋ ｌ：Ｃ’−ドされる一方、第２０カウンタ５８は最上位ビットが論理値ｌにセッ トされる。上記のロード値に対して高周波信号４４のパルス入力が加算されてフ ルカウントに達する毎に、第１のカウンタ５６が出力パルスを出す結果、第２の カウンタ５８に公称３２００ヘルツの信号６０が供給される。クロック受信器回 路２ｏが、上記の正の基準エツジから５ミリ秒以内に負の基準エツジを受け取る と、ＨＦＣＬＫ信号４４の１サイクルの間ＤＯＷＮＳＹＮＣ信号４８がアサート される。そして、第１のカウンタ５６には００１１１１００１１００ｍがロード され、第２のカウンタ５８は全ビットが論理値０にセットされる。クロック受信 器２ｏに上記の正の基準上ｙ′）から５ミリ秒以内に負の基準エツジが入力され ないと、第２の段のカウンタは基準信号とは無関係に単に「循環（ｒｏｌ　１　 ｏｖｅｒ）Ｊする。

その全ビットは論理値０にセットされる。クロック受信器回路２ｏの構成は図８ に示されている。クロック受信器回路２０はフォールトトレラント・クロック回 路内部の障害を検出し、検出された障害を外部システム（すなわち不揮発性メモ リ）へリポ−ティングし、回路障害についての情報を用いて正しく設定された基 準信号を抽出し、同期化コマンド信号４８及び５０をクロック発生器回路１８に 供給する。同期化コマンド信号４８及び５ｏは基準信号に従って計算される。各 ＨＥＸＡＤ装置にはクロック受信器回路２０を若干修正した回路が設けられる。

クロ１り受信器２０は、１６００ヘルツの同期したクロック間のスキニーを低減 させるものである。

クロック受信器２０は受信したクロ・１り及び妥当性確認済みクロックの最新の ヒストリをセーブするための新規な５ンフトレジスタアーキテクチヤを有する。

入力クロックマネージャ６２は、フォールトフラグを生成するための新規な組合 せ論理装置、フォールトフラグラッチ手段及び不揮発性のメモリインタフェース を有する。データコレクタ組合せ論理装置６４は、フォールトフラグに基づいて 入力クロックの適否を投票する。基準クロックマネージャ６６は、同期化コマン ド信号４８及び５０を発生させるための組合せ論理及びチェ、り信号８２及び８ ８を発生させるための組合せ論理を有する。

クロック受信器回路２０は、３つの主要構成回路を有する。まず、３つのモジュ ール間！００へルノクロｙり信号および１つのモジュール内１００ヘルツクロブ タ信号を同期させるための４つの入力クロックマネージャ６２が設けられている 。また、入力クロツクマネージャ６２は、障害を検出してリポ−ティングする。

データコレクタ６４は、メジアン（中位信号）投票器アルゴリズムを実行する。

基準クロックマネージャ６６は、コレクタ６４の候補基準クロｙり６８からグリ ッチ（ｇｌｉｔｃｈ；瞬間的誤信号）を除去する。また、マネージャ６６は障害 検出を支援し、同期化コマノド信号４８及び５０をクロック発生器回路１８に供 給する。入力クロックマネージャ６２は、外部クロ７クモジコールから入力され る１００へルックロックをローカルの（そのモジニールの）高周波タイムベース １１ＦＣＬＫ４４に同期させる。また、入力クロックマネージャ６２は、人力さ れる各１００ヘルツ信号について障害を検出し、リポ−ティングする。既に同期 されている内部の（ローカル）１００ヘルツ信号に対しても、障害検出及びリポ −ティング（通知）は実行される。図９は、入力クロックマネージャ６６の構成 を示す。入力同期化は、／フトレジスタ６８によって行われる。シフトレジスタ ６８の第１の化カビノドはメディアン投票器アルゴリズムで用いられるデータコ レクタ６４への同期した入力信号７０である。

次に、障害検出／通知回路について説明する。考えられる障害検出の１つに過早 エツジの検出がある。例えば、入力クロックマネージャ６２の入力に現れるクロ ック信号の１つのレベル遷移の経過について考えて見よう。ＨＦＣＬＫ４４の（ ｎ−１）サイクルが経過すると、信号Ｅ　Ａ　ＲＬ　Ｙ　ＣＨＥ　Ｃに（過早チ ェック）７２がＨＦＣＬＫ４４の１周期の間アサートされる。同時に、シフトレ ジスタ６８の（ｎ−１）番目の出カフ４が基準クロ７クマネージヤ６６からの非 同期基準クロック信号７６と比較される。これら２つの信号７４と７６が一致し ないか、互いに異なる場合は、ＥＡＲＬＹ　ＦＡＵＬＴ（過早）信号７８がアサ ートされる。ＥＡＲＬＹ　ＦＡＵＬＴ信号７８は、個々のどのクロック信号も基 準クロ１り信号７６より所定値以上先行すべきではないという前提に基づいてい る。

クロックエツジを受け取ってからそのクロ１クエツジが進んでいるかどうかをチ ェックするまでの間に経過する時間の大きさはｎの値、すなわち入力クロツクマ ネージャ６２のビット数によって決まる。進んだクロックエツジはクロックモジ ュール１１．１２．１３または１４のうち、僅かに発信周波数が高い水晶発振器 を有するモジニールより生じると考えられるから、ｎの値は発振周波数の変動に よる許容範囲内のスキューに対応し得るよう十分大きな値を選択すべきである。

クロック発生器信号間の許容スキニーについての前出の式から、ｎは次式で与え られる値を有するべきである。

ｎ　＝　（２ＡＴｓ　＋　２７ＩＩＦ（Ｌｍ　）　／　Ｔ＋＋ｖｃＬｘここで、 Ａ＝高周波水晶発振器の精度 Ｔ、−同期周期（同期後のエツジ間の公称経過時間）Ｔ□。、＝高周波水晶発振 器の周期 ここで、４つのクロ１クモジユール１１．１２．１３及び１４は相互に同期して いるので、モノニール１２のクロックＪはモジュール１１のクロック■の同期し たクロック遷移をほぼ瞬時に検出することが可能である。しかしながら、クロッ ク■はそれ自身のクロック遷移を観測するのにまるまるＨＦＣＬＫ４４の１サイ クルだけ待たなければならない。この遅延を回避するため、内部クロック信号と 対応する入力り口・７クマネージヤ６２は、そのシフトレジスタ６８のビット数 を１つ少なくすることも可能である。

入力クロックマネージャ６２は、基準クロック信号に対して個々のクロックのエ ツジが遅過ぎる場合にこれを検出するための回路を有する。言い換えると、クロ ックモジュール１１，１２、＋３または１４の入力のレベル遷移は、それらの各 モジニールの入力の遷移レベルからこれに対応する基準信号のレベル遷移までの 経過時間が許容できないほど大きい場合、通運（ｇｌｏｓｓｌｙ　１ａｔｅ）と みなされる。各モジュールのどの人力クロ１りもその基準クロックからの遅延が 過大であってはならない。

ここで、例えば、クロック障害なしの状況を考えてみよう。あるクロックモジュ ールが基準エツジを検出するということは、他のクロックモジュールのうち少な （とも２つで遷移が起こったばかりであるということを意味する。基準エツジを 検出したクロｌクモジュールは、次にそれ自身の同期した信号を遷移させる。

この時までには、４つのモジュールのうち少なくとも３つが遷移し終えている。

その後、第４のクロックが、多（ともそれ自身のＨＦ　ＣＬ　Ｋ　４４の２サイ クルから成る投票器遅延後に遷移を生じる。この第４のモジュール自身のＨＦＣ ＬＫ４４の１サイクルの間に、他の３つのモ；ニールでは第４のモジトルの遷移 が観測されるはずである。これに要する全経過時間は、ＨＦＣＬＫ４４の３サイ クル分の時間である。このように、クロｌクモジュールでいったん基準エツジが 観測されたならば、その後１（Ｆ　ＣＬ　Ｋ　４４の３サイクル以内に残りの遷 移が全て観測されるはずである。しかしながら、４つのモジニール１１，１２． １３及び１４は、異なるＨＦＣＬＫ４４を有するため、遅れ障害（ｌａｔｅ　ｆ ａｕｌｔ）検出回路によって追加の許容範囲を設けなければならない。

基準クロック信号エツジが検出されると、基準クロック信号のエツジが発生して から数サイクル後に、基準クロックマネージャ６６によってＬＡＴＥ　ＣＨＥＣ Ｋ（通運チェック）信号８２が発生する。ＬＡＴＥ　ＣＨＥＣＫ信号８２は、Ｅ ＡＲＬＹ　ＣＨＥＣＫ信号７２と同様の方法で得られる。同期した入力信号７０ と基準信号７６との間に差があると、１．ＡＴＥ　ＤＩＦＦＥＲ（遅れ差）信号 ８６がアサートされる。Ｌ　Ａ　Ｔ　Ｅ　ＣＨＥ　ＣＫ信号８２がアサートされ ているとき、これら２つの信号７０と７６の間に差があると、ＬＡＴＥ　ＦＡＵ ＬＴ信号８４も同時にセットされる。

クロ１り回路によって検出される障害の１つに、モジコール間１００ヘルツ信号 のノイズがある。多くの場合、ノイズは自動的にマスクされ、過早エツジを検出 する回路６２によって検出される。しかしながら、１つのエツジが入力されたあ る特殊な場合に、これと同時に２番目の入力がノイズによって壊乱されることが 起こり得る。そして３番目のエツジが到着しなかった場合は、基準クロ１りがノ イズ信号に追従し、それ自身が壊乱されてしまう。基準クロック信号の壊乱は、 クロ１り発生器回路１８がその壊乱によって同期され、壊乱がマイクロプロセッ サ２４に伝達されるので、全く許容されない。

そのために、基準クロックマネージャ６６には、基準クロック信号がこのような ノイズによって壊乱されるのを防ぐための回路が設けられている。さらに、基準 クロックマネージャ６６は、基準クロック信号を壊乱しようとする傾向を検出す ると、ノイズチェック信号８８を瞬間的にアサートする。ノイズ性の入力は、そ の入力と同時に入力クロックマネージヤ６２内のＮ０ＩＳＥ　ＨＥＲＥ（ノイズ あり）信号９０をにアサートする。Ｎ０ＩＳＥ　ＨＥＲＥ信号９０及びＮｏｔＳ Ｅ　ＣＨＥＣＫ（ノイズチェック）信号８８が同時に発生すると、対応する入力 クロ・１クマネージヤ６２のＮ０ＩＳＥ　ＦＡＵＬＴ（ノイズ障害）信号９２が アサートされる。

ＥＡＲＬＹ　ＦＡＵＬＴ信号７８、ＬＡＴＥ　ＦＡＵＬＴ信号８４またはＮ。

ＩＳＥ　ＦＡＵＬＴ信号９２が発生すると、ＦＡＵＬＴ　ＩＮ（障害あり）信号 ９４が障害ラッチ９６にアサートされる。障害う・ノチ９６は、その出力が逆に 入力に接続されたＤフリノブフロップであり、パワーオン期間全体を通して論理 値ｌをラッチする。さらに、前の七１／襲ンからの未解消の障害もパワーオンで ラッチ９６にロードされ得る。このような未解消障害は、例えば不揮発性メモリ に記憶される。

データコレクタ６４は、人カクロツクマネージャ６２からのフォールトフラグ９ ８及び同期したクロック信号７０を累積してメディアン投票画法を実行する。

図１Ｏはデータコレクタ６４の回線構成を示す。このフロータアルゴリズム（ｆ ｌｏｓｔｅｒ　ａｌｇｏｒｉｔｈｍ）は、基本的には、障害クロ１り及び障害が ある場合にのみ入り込む内部信号を除き、互いに一致する信号のベア（一致信号 ベア）を探索する。

３つの外部クロ１り信号Ｔ、Ｊ及びＫと内部クロック信号り、及びこれらに対応 するフォールトフラグＦｉ　、Ｆｊ％Ｆｋ及びＦｌがデータコレクタ６４に供給 されると、次式によって示されるようなある論理に従う基準クロック信号候補（ ＣＲＣ）６８が出力される。

ＣＲＣ＝ＩＪＦｉ　Ｆｊ　＋ＩＫＦｉ　Ｆｋ　＋ＪＫＦｊ　Ｆｋ　＋ＦＩ　（Ｆ ｌ　＋Ｆｊ　＋Ｆｋ）（Ｉ　ＬＦＩ　＋Ｊ　ＬＦｊ　＋ＫＬＦｋ　）データコレ クタ６４の出力信号６８は、ノイズによって壊乱される場合がある。

これが出力信号６８が基準クロック信号「候補」と称する所以である。

ＨＥ　Ｘ　Ａ　Ｄに設けられるクロック受信器は、フォールトトレラント・クロ Ｉり内のクロック受信器回路２０とほぼ同じである。両者の唯一の違いは、ＨＥ 　Ｘ　ＡＤではデータコレクタ６４が若干修正されているという点である。ＨＥ ＸＡＤ装置のクロック受信器の場合、４つのクロ１クモジユール１１．１２．１ ３及び１４は、全ての同じ役割を有するか、または外部／内部クロックの区別が ないのと同じように扱われる。従って、ＨＥＸＡＤのクロック受信器用のデータ コレクタの投票アルゴリズムをは単に一致信号ベアを探索するだけである。ＨＥ ＸＡＤのクロック受信器用のデータコレクタの基準クロνり信号候補は次式で表 される。

ＣＲＣ＝ＩＪＦｉ　Ｆｊ　＋ＩにＦｉ　Ｆｋ＋ＩＬＦＩ　Ｆｌ　＋ＪＫＦｊ　Ｆ ｋ＋ＪＬＦｊＦｌ　＋ＫＬＦｋ　Ｆｌ 図ｘＭ準ツクロックマネージャ回路６の構成を示す。基準クロックマネージャ６ ６は、例えば基準クロ１り信号候補６８からノイズグリフチを除去する。基準ク ロック信号候補６８でレベル遷移が起こると、排他的ＯＲゲート１００はＨＦＣ ＬＫ４４の次の５サイクルの間に順次アサートされる。このアサートの期間中、 基準クロック信号候補６８は口７クアウトされ、ンフトレジスタ１０２の入力は ンフトレノスタ１０２の最初のどノドに送られる。基準工ｙ）の発生はそのすぐ 近くに少なくともの２つの入力エツジがあるということを意味するから、障害の ないクロックは、信号６８の基準クロックエツジ候補が基準クロックマネージャ ６６に再度入るまでには全て状態遷移するはずである。クロックモジコールで観 測される２番目のクロックエツジがノイズによって壊乱されると、３番目のエツ ジの発生前に基準クロック信号候Ｎ＠６８にグリッチが発生する。このようなグ リッチが発生すると、４つの各入力クロックマネージャ６２のノイズチェｙり信 号８８がアサートされる。このようにして、ノイズ性の信号が検出され、フラグ を立てられる。また、基準クロ、クマネージャ６６は、基準クロ７り信号上のレ ベル遷移の数サイクル後にＬＡＴＥ　ＣＨＥＣＫ信号８２を入力クロックマネー ジャ６２に供給する。さらに、基準クロフクマネーノヤ６６はクロック発生器回 路１８に同期信号４８及び５０を供給し、ローカルのマイクロプロセッサ２４に 同期した基準クロｙり信号＋０４を供給し、非同期の基準クロック信号７６を４ つの入力クロックマネージャ６２に供給する。

クロック受信器２０及びクロック発生器１８の回路の１００ヘルツ及び１６００ ヘルツ出力は、クロック受信器回路２０により供給されるフォールトフラグによ ってゲートされる。クロ１クモジユールは、クロｌクモジュールがそのモジュー ル目体に障害があることを検出するか、他の３つのクロックモジュールに障害が あることを検出すると、その１００ヘルツ及び１６００ヘルツの出力信号を完全 に遮断する。さらに、いずれか第１のクロックモジュールが第２のクロｌクモジ ュールに障害があることを検出すると、その第１のクロｌクモジュールは、その 第２のクロックモジュールへの１００ヘルツ出力を遮断する。

フォールトトレラント・クロ・ｙりを構成する４づのクロ・Ｉクモリコール１１ ．１２．１３及び１４の相互接続はテトラヘドロン（四面体）盟であるというこ とができる。図１２に示すように、四面体はクロック構成１０のトポロジである 。

図１にも示すように、四面体の６稜は、それぞれ２つのモジコール間で各方向に クロック信号を伝達する２本のポイントッーポイントワイヤを有する。

一つのモジニールが他のいずれかのモジュールからのクロック信号に障害がある ことを検出すると、それ以後そのモジュールからの信号を無視し、そのモジュー ルへの同時通信を中止する。最初の動作、すなわち入力無視では、基本的にフォ ールトトレラント・クロック構成ｌＯの２本の一方向回線の中の１本が削除され る。第２の動作、すなわち同時通信の中止は、上記他のクロックに障害検出を知 らせる効果があり、このクロックはこれによって残りの一方向回線を削除する。

一つのモジコールがそれ自体に欠陥があることを検出した場合は、そのモジトル 全体がシステムｌＯから切り離されるが、このことはノード、すなわち四面体の 頂点の１つが除去されることに相当する。

図１２の各一方向リンクの削除は、受信モジコールにおけるフォールトフラグの 設定に相当する。図１２に示す１２本のリンクは、１２のフォールトフラグに相 当する。また、各モジニールは各モジュール自体に欠陥があることを検出した時 これを指示するためのフラグを有し、これによってフォールトフラグの総数は１ ６となる。そして、動作診断タスクは、これら１６のフラグを検査することによ ってクロックシステムｌＯ全体の動作状１を推測することである。

図１２に示すように、四面体全体が完全な場合、すなわち障害が全く検出されな い場合は、クロック回路ｌＯは全体として少なくとも二重障害時動作可能である 。図１３に示すように、四面体の少な（とも１つの側面が完全な場合、クロック 回路１０は全体として少なくとも単一障害時動作可能である。図１４に示すよう に、四面体の少なくと６１稜が完全な場合、クロック回路ｌＯは全体として少な くとも動作可能である。

二重障害時動作可能状態においては、４つのクロック１１．１２．１３及び１４ は、全ての正常に動作し、かつ互いに同期した状態を維持する。単一障害時動作 可能状態においては、少なくとも３つのクロック（場合によっては４つ）が正常 に動作し、かつ互いに同期した状態を維持する。上記の少なくとも動作可能な状 態においては、少なくとも２つの（場合によってはそれ以上）クロックが正常に 動作し、かつ互いに同期した状態を維持する。上記の許容可能な障害数において 物理的障害の数がさらに多くなっても、回路が完全に故障するとは限らず、特に 多数の障害が１つのモジトル内だけで起こった場合は回路が完全にダウンするこ とはほとんどない。回路ｌＯは、通信回線で接続された２つのクロックモジュー ルが正常に動作していれば、動作可能である。

クロック信号接続の他、フォールトトレラント・クロ１り１０は、さらに２種類 の相互接続回線、すなわち７堵−ルトトレラントリセット及びフォールトフラグ の通信に関連する回線を有する。フォールトトレラントリセット回線は、クロッ クｌＯのものと基本的に同じである。フォールトトレラントリセット相互接続回 線は、図１２に示すような四面体トポロジーを有する。

図１２は、フォールトトレラントリセット相互接続のトポロジを示す。このリセ ット機構の場合、フォールトフラグは全て保守警報を発生させる。この警報は、 障害がリセット機構が故障してクロ７り回路ｌＯが始動しなくなるほど多数累積 されるのを防ぐのに役立つ。しかも、緊急警報（ｄｉｓｐａｔｃｈ　ａｌｅｒｔ ）に関する判断を行うためにリセット回路の障害時動作状態の確認（すなわち回 路が単一障害時動作可能か単にフェールセーフであるだけかの確認）を行う必要 がない。いったんリセットが行われると、４つのクロックモジニール１１．＋２ ．１３及び１４はリセット信号をラッチし、それ以後はリセット回路とは無関係 な状態に保たれる。ラッチは、クロック相互接続に関する動作診断がラッチに障 害が起こったとき緊急警報に関して正しい決定を行うようにしてクロックモジュ ールの障害捕捉部の一部になっている。要するに、リセットはその全ての機能を 始動時に完了するので、単にクロック回路１０が始動したというだけでは、リセ ット機構に付随する障害に応答して緊急警報を発生させる必要がない。多重リセ ット障害によってカプトクロック１０が始動しない場合は、当然緊急警報が発生 する。

各クロックモジニールは、それぞれのフォールトトレラント・クロックを投票ク ロック信号に同期させる（図１５参尺）。投票されたクロック信号は、ローカル （そのクロック）のフォールトトレラント・クロックと３つの外部クロックの関 数になっている。各クロックモジュールは、各モジュールが検出した障害の数及 び種類によって決まる仕方によって投票する。図１５には、４つの場合が示され ている。第１の場合（ケースりにおいては、あるクロックモジュールがそれ自体 及び他の３つの外部クロ１りが正常であると宣言すると、投票されたクロック信 号は３つの外部クロックの中の中位の信号になる。ケース２においては、あるク ロ１クモジユールがそれ自体は正常であるが、３つの外部クロ・１りの中の１つ が不良であると宣言すると、投票されたクロック信号はそのローカルのクロック 信号と２つの正常な外部クロック信号の中位の信号になる。ケース３においては 、あるクロックモジュールがそれ自体は正常であるが、３の外部クロックの中の ２つが不良であると宣言すると、投票されたクロック信号はその内部クロック信 号と正常な外部クロック信号のうち遅い方の信号になる。ケース４においては、 あるクロックモジュールが３つの外部クロック全部かまたはそのモジュール自体 のどちらかが不良であると宣言すると、投票された信号は出力されず、そのクロ ７クモジニールは動作不能になる。

フォールトトレラント設計においては、許容処理すべき障害の部類についていく つかの仮定を行う必要がある。フォールトトレラント・クロックの場合は、多数 の共通の回路障害が起こり得る。このような障害としては、物理的接続不良、完 全な集積回路障害、出力または入力バッファの多種多様な障害、回路基板の短絡 または開路障害、規定範囲外の緩慢なドリフトを含む発振器障害、基板外部の電 源装置故障等がある。単一の「物理的障害」という場合、その意味にはこれらの 障害のいずれか１つが含まれる。

クロック回路ｌＯの説明から理解できるように、これらの障害は全て２つの共通 の特性、すなわち可観測性及び共有性を有する。指定された許容範囲外にあるク ロックエツジが観測されると、障害があることが観測可能である。すなわち、１ つ以上のクロックが他のクロ１りが指定された許容範囲外にあることを認識する ことができる。このようなりロックの指定許容範囲外挙動があると、フォールト フラグがセットされる。

共有性に関しては、１つの物理的障害があると、１つ以上のフォールトフラグが セットされるが、これらの全てのフラグは１つのクロ、りを共有する。例えば、 これらの各フォールトフラグが１つのクロックによる他のクロックから受け取っ た信号についての障害の「告発」であるとみなすと、単一の物理的障害からの全 てのフォールトフラグは１つクロックを共有することになる。すなわち、全ての 場合に１つのクロックが「原告」または「被告」になる。例えば、クロックｌと ２がクロ・１り４に障害があると「告発」する一方、クロック４がクロ、ツク２ に障害があると「告発」するなどである。この場合の告発は全て、クロック４が 「原告」または「被告」として関与している。図３０にこのような「被告」／「 原告」フォーマットを示す。

通常の障害はほとんど全て可観測性及び共有性を有するが、ある部類の特異な障 害は観測可能ではない。このような障害は、クロックモジュール回路の動作に影 響しないが、以後の動作可能性に影響することがあるクロ・ツクモジュール回路 内部の細部にある。その−例は、現在セットされておらず、セット不可能なよう な形を取るフォールトフラグラッチの障害である。このような障害は潜在的障害 である。ここで潜在的というのは、それらの障害は外部から見たフォールトトレ ラント・クロック出力の正確さに影響を及ぼさないという意味である。

全ての潜在的障害を検出することは実際上不可能であるが、保守警報及び／また は緊急警報を出し易くするために、最重要の障害及び起こり得る潜在的障害は全 て検出され、リポートされると共に、この実施例のクロック回路ｌＯの設計によ れば、いくつかの潜在的障害が別の１つの障害の結果として突然顕在化するよう な極めて希な場合でもそれらの結果を許容処理することができるよう、フェール セーフになっている。

フォールトトレラント・クロ・ツクｌＯは、４つの）−ド、すなわち、図１２に 示すように、１２本の経路によって接続されたクロックモジュールとみなすこと ができ、この場合１２本の経路は１００ヘルツ信号を共用する。いずれか第１の クロックモジニールが第２のクロックモジュールから供給される信号が誤ってい ると判断すると、その第１のクロックモジュールは第２のクロックからの信号を 無視する。このことは、四面体からその経路の接続をなくすことによって異なる ネットワーク構成を得ることに相当する。クロックｌＯのネットワーク構成は過 渡的なものである。過渡構成は、それ以上障害がない場合においても安定構成に 変化する。その安定構成は、次の障害がない時は固定される。また、最終の安定 構成は、最初の過渡構成よりリンク数が少な（なっている。例えば、図１６ａで の構成は過渡構成である。モジュール４はモジュール２または３とは通信しない から、その妥当性確認済みクロ・１りは、モジュール４及びモジュールｌにおい て受信される最も遅いクロックである。４つのクロｌクモジュール１１　（１） 、１２（２）、１３（３）及び１４（４）は、周波数が相互に僅かに変化する傾 向がある。その結果、クロックモジュール１４（４）は最も遅いクロックモジュ ールとなる。クロックモジュール１４（４）は、その周波数誤差が十分許容範囲 内にある場合も、それ自身の自走クロック発生器に同期される。モジュール１１ （１）、１２（２）及び１３（３）は相互に同期されており、その結果モジュー ル１４（４）はネットワークｌＯの他のモジュールと同期が外れた状態になる。

−この状態が、図１６ｂに示すような最終の安定構成である。

フォールトトレラント・クロックｌＯは、能動的リンク制御を実行する。クロッ クモジュール１１．１２．１３及び１４は双方向経路だけから成るネブトワーク トポロノを構成する。いずれか第１のクロックが第２のクロックをそのクロック に「障害がある」と宣言すると、その第１のクロックは第２のクロックを無視す るばかりでなく、そのクロックへのクロック信号送出も停止する。このようにし て、第２のクロックが実際には正常である場合、第２のクロックは第１のクロッ クに「障害がある」ことを宣言し、第２のクロックに真に障害がある場合は、既 に第１のクロックへの問い掛けを停止していることになる。いずれの場合も、最 終的には、一対のネットワークリンクが除去される結果となる。クロ、りｌＯの 解析は、単方向経路を有する全てのネットワークを除外すると極めて簡単になる 。ある第１のクロックモジュールが第２のクロックモジュールから入って来る信 号が誤っていると判断すると、第１のクロ１クモジコールは第２のモジュールか らの信号を無視する。これは、ネットワークからリンクを除去することに相当す る。多重障害が考えられる場合には、可能な回線構成が４，０９６通りある。

双方向経路のみによる構成に着目すると、図１７ａ、ｂ及びＣに示すような単方 向経路を含む多数のネットワークトポロジを分析する必要がなくなる。

単方向経路がある場合は、過渡の一部の構成は、クロックｌＯの全７ステムの障 害に還元することができる。例えば、図１８ａにおいて、適当なランダムパラメ ータを与えると、クロックｌと２はクロック３によって同期を外すことができ、 これによってクロｙりｌＯ全全体障害に帰着することが可能である。一方、図１ ８ｂの構成は安定しており、池に障害がなければ、クロックモジュール１１（１ ）と１２（２）は互いに同期した状態に保たれる。実際、双方向リンクのみを有 する全ての構成は、安定であるか、または安定したワーキングクロＩり構成に還 元される。図１８ａの例は一般的ではない。はとんど場合、単方向リンクはクロ ／りを不安定化せず、またその動作状態を変えることもない。

４．０９６のネットワーク構成があるため、このような多くのトポロジを試験す るのに必要な計算時間は法外な値になる。しかしながら、これらの構成の多くは 互いに等価である。例えば、図＋９ａ、ｂ及びＣの３つの構成は等価である。

等優性を得るためには、これらのクロ１クモジコールをオーバーレイ・ネットワ ークトポロジの４次元回転によって並べ替える。このようにすると、図１９８、 ｂ及びＣの３つ回路は等価であるから、その中の１つだけ試験すればよい。また 、単方向経路を有するトポロジも全て除外される。その結果、−意の回路がｌＯ だけ残り、それらの回路は全妥当時間以内で試験することができる。図２０は、 これらのｌＯの双方向回線構成を示す。図２０の構成１は、安定しており、障害 を除外し、４つのクロックモジュールは全て相互に同期した状態に保たれる。構 成２は安定している。構成３は、過渡構成であり、安定な構成５に変化する。構 成４は過１１ｆｔｉ成であり、安定な構成９またはｌＯに変化する。構成３から ５．４から９及び１Ｏ１６からｔｏ、７から９及びｌＯｌ及び８から１０への矢 印は過渡構成から安定構成への変化を示す。

これらのクロック構成は、障害カバレジ（ｆａｕｌｔ　ｃｏｖｅｒａｇｅ）のレ ベルに従って分類する口とができる。構成４．６．７．８．９及び１０は、シス テム１ｏ全体の障害から１障害分だけ手前の状態にある。従って、これらの構成 は単に動作可能な状態であり、フェールセーフである。構成２．３及び５は、シ ステム１ｏ全体の障害から少なくともの２障害分手前の状態にある。従って、こ れら３つの構成は単一障害時動作可能である。構成ｌは、二重障害時動作可能な 唯一の構成である。要するに、完全な四面体を含む構成は、全て二重障害時動作 可能であり、四面体の完全なｌ側面を含む構成は単一障害時動作可能であり、四 面体の１稜を含む構成は単に動作可能で、フェールセーフである。

図２１は、隣合わない２稜に還元されたクロック回路を示し、分解されたペア構 成と見なされる。この構成は、各一対のクロックが違いに同期しており、全体の クロック構成が変化しないという意味で安定である。しかしながら、２つベアの クロックは違いに接続されておらず、また同期した状態に保たれてはいない。

通常は、速い方のクロ７クペアと遅い方のベアがある。これら２つのクロ１クベ アが互いに同期状態から離れ過ぎた時は、システムの同期を維持するために、２ つのペアの一方を「正常」なペアと見なす必要がある。クロック信号の受取り系 は、第１のペアを最も早いクロックとみなし、遅い方の２つのモジエールを投票 除外する。障害が起こると、クロック信号の受取り系は、第１のベアに代えて第 ２のペアクロックに追従することが起こり得る。

動作診断回路（診断手段）（フォールトフラグ通信回路）１７は、クロｌり整相 回路＋２２、回線試験信号発生機能を有する送信＠Ｉ２６、フォールトフラグ受 信器１２８及びフォールトフラグラッチ回路１３０をフォールトトレラント状態 情報収集が可能なように組み合わせた点において新規な回路である。また、診断 手段１７は動作状態推論のための無分岐組合わせ論理を有する。図２２及至２８ は、／ステムｌＯのフォールトフラグ通信回路１７が詳細に示されている。図２ ２は、フォールトフラグ通信回路１７の機能ブロック図である。図２３は、タイ ミング図である。図２４ａ及びｂは、クロ・ｌり位相手段１２２のを説明するた めの図である。図２５はフラグ通信送信器１２６のブロック図である。図２６ａ 及びｂは、フォールトフラグ受信器を説明するための図である。図２７１よフォ ールトフラグ通信回線障害検出手段１３４の回路図である。また、図２８ａ及び ｂは、フォールトフラグラッチ回路１３０の回路図である。

フォールトフラグは、各モジュールから他の全てのモジュールへ送られる。同じ 回線に全てのフラグを多重化すると、モジニールの間に１２の一方向性ポインド ラ−ポイント接続を形成することになる。これらのモジ、−Ｊしを真１こ同等１ こする（カードケージにおけるそれらのスロットの位置にかかわらず）ため１こ １！、各モジュールは、それ自信のフォールトフラグを基板外に送出し、送り返 させな（すればならず、その結果フォールトフラグ通信には全部で１６本のポイ ント・ノーポイントワイヤの接続が必要となる。

各モジュールは、送信するための８つのフラグを有する。利用可能な同期した１ ６００ヘルツ信号を用いて、各モジュールは、１００ヘルツクロック信号の２分 の１周期の間に８ビツトの信号（１６００ヘルツ信号）を送信する。１６００ヘ ルツの立ち上がりエツジと立ち下がりエツジを用いた綿密なタイミング図法１こ よれば、フォールトフラグ通信は確実にグリッチなしで行われる。１００へＩレ ノ信号の他の半周期は、「障害あり」に相当する論理レベルを送信するため１こ 用Ｌ％られる。このようにして、受信器は通信回線が「セットされた」フォール トフラグを送信することができるかどうかを監視することができる。

回線がフォールトフラを送信することができないときは受信回路１１障害力ｆあ るかも知れないと仮定する。このように仮定することには、これら２つのモジュ ール間の通信を実際に障害があるときに障害ありとラベルすると０う望まし一１ 効果がある０フオ一ルトフラグ通信／ステムは、フォールトフラグ；よ通常ベア で人力され、動作状態評価を控え目に行うことができ、フラグ通信障害１よ高（ Ａ確率で検出され、フォールトフラグ通信は、４チヤンネルの冗長性があるので 、フォールトトレラントである。フォールトフラグがセットされている時は、そ のフラグをセットしたモジュールはそのクロック出力を他方のモジ３−ｊレヘ送 信することを中止する。すなわち、モジュールの間の双方向性リンクがそっくり 除去されるＯこの場合、正常動作中であれば、第２のモジニールがその１ノンク の除去（こ気付き、第２のフォールトフラグがセーｙトされる。これが起こると 、動作状態は四面体の完全な稜にのみ依存するから、正しい診断がなされるため には、２つのフラグの一方だけは支障なく他のモジュールに伝達されなければな らない。

動作診断のタスクは、確かなことだけを決定することである。フォールトフラグ の通信に障害が生じると、診断では２つのクロックの間のクロ・ツクリンクの使 用可能性を確認することができないので、リンクに障害があると推定することが ある。フラグの真の状態を知ることは必ずしも必要ではない。クロックトポロジ における対応するリンクが信頼できないということを知ることができさえすれば よい。動作状態区分（稜が完全、側面が完全、四面体が完全）は、作動して（す ると分かるものを含み、障害があると分かるものは含まない。

２つのタイプのエラーとして、フラグがセットされていないとき伝達される「セ ットされたフラグ」及びフラグが実際にセフ）されてるとき伝達される「セット されていないフラグ」がある。この後者の状況の確率は、通信リンクが「セット されたフラグ」の論理レベルを送ることができるかどうかが絶えずチェ・ツクさ れるために小さい。実際、このような通信リンクの試験は、リンク上のアクティ ビティの５０％を占める。障害時には最悪のケースが仮定される。すなわち、フ ラグの全てがセットされると仮定される。同様に、実際のフラグがセｙ　）され ていないとき、「セットされたフラグ」が伝達されたとすると、その送信モジニ ールを含む通信障害の指示が出される結果となる。動作状態の特徴化は作動中で あると分かるものを含み、障害があると分かるものは含まないので、通信故障検 出は、フラグをセットすることによって実行される。

クロックは、４チヤンネルの冗長性を有し、クロｙりの受信側システム（１様々 なプロセッサ基板の出力に関して投票を行う。１つのフォールトフラグ受信器に 障害があって、フラグがセットされると、対応するプロセッサは他のブロモ・１ すとは異なる状態評価を行うことができる。そして、クロックの受信側システム は、障害のあるそのプロセッサ基板を正しく呼び出して、保守警報を発生させる 。１つのフォールトフラグ送信器に障害があると、全ての受信器がフラグをセッ トする。これらのフラグは、１つのモジュール、すなわち送信モジニールを共有 することになる。全てのモジュールが同じ動作状態情報を引き出し、同じ基板に 全てのモジュールが関係する状態になる。この場合も、保守警報が出されるが、 これは回路が適切に動作していない場合においては適切なステップである。

４つの別個のプロセッサは、累積された３２のフォールトフラグの４種類の異な るバージ謬ンを見てクロ、り回路１０の動作状態を決定することができる。評価 関数はプール論理式から成る。各プロセッサは、プール論理式全体を評価する場 合、分岐することなく正しい状態結論に違する。分岐がないことによって、４つ のプロセッサは同数のマシンサイクルで評価を完了することができる。リセット 障害状態評価については、１６のリヤ１トフオールトフラグが互いに論理的にＯ Ｒ処理されて、リセット保守警報フラグが生成される。

４つのクロアクモジュールのワンワイヤリング方式は、相互接続のためのいくつ かの技法の中の１つである。この説明においては、下記のようないくつかの用語 の定義を用いる。「カード位置番号」または「絶対番号」は、カード位置に基づ くクロックモジニールの番号である。すなわち、カードの４番目の位置にあるク ロックモジトルの絶対番号は４番である。「相対番号」は、他のクロックモジュ ールから見たクロックモジュールの番号である。各モジュールは、他のクロアク モジュールからの信号用の入力ビンを有する。例えば、モジュール２の第１の入 力の信号はモジュール３から供給されるかも知れない。もしそうであるならば、 モジュール３は、モジュール２によってクロ１り番号ｌと見なされる。すなわち 、モジュール２に対してはモジュール３の番号はｌである。図２９は、絶対的ナ ンバリングと相対的ナンバリングの対応関係を示す。この対応関係は、相互接続 結線の定義をなしている。

フォールトフラグの順序付けの仕方は、上記の相対ナンバリング法に相当する。

例えば、カード番号ｌ上のモジュールは、その２番目の入力クロックに障害があ ることを発見すると、２番目のフォールトフラグをセットする。このことは、図 ２９によれば、カードｌ上のモジュールがカード３上のモジュールから受信した 信号上に障害があることを指示するということを意味する（図２９の対応するボ ックス内にｒ３／２Ｊが書き込まれていることによる）。

フォールトフラグ通信システムは、１６のフォールトフラグを取り込む。このよ うに取り込まれる１６のフラグは、４つの全てのクロックモジュール上で同じ順 序になっている。カードｌからの４ビツトは、１６ビツトワードの最初の４ビツ トであり、カード２からの４ビツトは１６ビブトワードの次の４ビツトであり、 以下も同様の対応関係になっている。このフォーマブトは障害ビットがどこから 送られて来たかを示し、図２９には、ビットポシンクン及び障害ビットがどこか ら送られてきたかに基づいて、どのカードが関与しているかが示されており、こ れによって図３０に示すような１６のフォールトフラグの意味かが説明される。

各フォールトフラグは、「原告」クロックと「被告」クロ１りを伴う。図３０に 示す各ビットにおいて、分子は被告クロックを示し、分母は原告クロックを示す 。図３０には、図１２におけるクロ・１り四面体の完全な四面体、完全な側面及 び完全な稜線に基づく回路の動作状態に関するプール論理式を示すための情報が 与えられている。ここで、ｆｌはに１６ビツトのフォールトフラグワードの１番 目のビットを表すものとする。ｆｉはｆｌの補数を表すものとする。「＋」はＯ Ｒを、「・」はＡＮＤを表示表すものとする。完全な四面体に相当する「二重障 害時動作可能」の状態は、例えば３２ＦＯという記号で表すことができ、次式で 与えられる： ５２ＦＯ＝ｆｌ≧ｆ２≧ｆ３≧ｆ４≧≧≧≧ｆｌＧ各クロツクは、自らを障害あ りと指示しないことが必要である。１つの「単一障害時使用可能」状態は、「四 面体上のに１つの完全な側面がある」ということと等価である。四面体は、４つ の側面を有する。そして、「単一障害時使用可能性」の論理値を得るためには、 ４つの側面の完全性を個別にチェックし、それらの結果をＯＲ処理するだけでよ い。クロック２．３及び４にかかわる側面の完全性は、例えばＳ　Ｆ２３４とい う記号で表すことができ、次式で与えられる：５Ｆ２３４＝　ｆ　５≧ｆ６≧ｆ ８≧ｆ９≧ｆ１１≧ｆ１２≧ｆ１４≧ｆｌｓ≧ｆ１６すなわち、この側面に含ま れないモジュールにかかわるものを除いてフォールトフラグワードの全てのビッ トがＯＲ処理される。他の側面についての評価も同様に行われる。すると、［単 一障害時使用可能性」は、Ｓ　ＩＦＯ＝　Ｓ　Ｆ２３４＋　Ｓ　Ｆ１３４＋　Ｓ 　Ｆ＋２４＋　Ｓ　Ｆ１２３で与えられる。同様に、クロックｌと２との間の稜 の完全性は、例えば記号Ｓ　Ｅ１２で表すことができ、次式で与えられる：５Ｅ １２＝ｆｌ≧ｆ４≧ｆ７≧ｆ８ そして、［動作可能及びフェールセーフ」の状態は、例えば記号ＳＯＰで表すこ とができ、次式で与えられる： ５ＯＰ＝ＳＥ＋２　＋５Ｅ１３　＋５ＥＩ４　＋５Ｅ２３　＋５Ｅ２４　＋５Ｅ ３４この動作診断は、特定モジュールに障害があるということを暗に意味するも のではない。この動作診断は、クロック回路ＩＯの最小限のフォールトトレラン トを保証するものである。他の種類の保守診断のような診断は、ここで行われな かった障害分離を遂行しなければならないであろう。

要するに、本発明は、複数の同じモジニール１１．１２．１３．１４を有する多 重障害時動作可能なフォールトトレラント・クロックｌＯにある。各モジュール は、各々受信器２０及びクロｙり発生器１８を含むクロ１り装ｊｉｌｌ１５を有 する。また、各モジュールは、クロック装置１１５に接続されていてフォールト トレラントの同時始動を行うためのリセット手段１６、及び各モジュール１１． １２．１３、＋４のクロック装置１１５及びリセット手段１６に接続されて０て これら複数のモジュール１１．１２．１３．１４クロｙり装置１１５に関する障 害情報を収集する（フォールトトレラントモードにおいて）するための動作診断 手段１７を有する。

各モジコール１１．１２．１３．１４のクロ１り装置１１５は、互（Ａに他の各 モジュール１１．＋２．１３．１４のクロック装置＋１５に対する２つのポイン トッーポイント接続手段を有する。各モジュール１１．＋２．１３．１４のリセ ット手段１６は、互いに他の各モジニール１１．１２．１３．１４のリセット手 段１６に対する２つのポイントッーポイント接続手段を有する。これらの各モジ ュールの動作診断手段１７は、互いに他のモジュール１１，１２．１３．１４の 動作診断手段１７に対する２つのポイントッーポイント接続手段を有する。

各クロック装置１１１５の受信器２０は、各クロｙり装置１１５のポイノドノー ボイ／ト接続手段に接続されていて入力クロックの最新の履歴を記憶すると共ζ こ障害検出を実行するための複数の入力クロックマネージャ６２を有する。各ク ロック装置１１５の受信器２０の複数の入力クロックマネージャ６２に接続され たデータコレクタ６４は、障害が除去されたフォールトトレラント・クロック信 号である候補基準クロック信号を発生させる。データコレクタ６４及び受信器２ ０の複数の入力クロックマネージャ６２とクロック発生器１８に接続された基準 クロックマネージャ６６は、基準フォールトトレラント・クロ１り入力信号１１ ｇ、同期信号４８．５０及び障害チェｌクライミング信号７６．８２．８８を発 生させる。ここで、これらのタイミング信号は、複数の入力クロックマネージャ ６２が障害の有無をチェックするべきタイミングを指示する。

クロｙり発生器１８は、受信器２０から同期信号４８．５０を受け取り、クロッ クイネーブル機構をリセットし、高周波クロック信号を分周し、コマンドが入力 されたときセルフリローディングする第１のカウンタ５６；第１のカウンタ５６ 、クロックイネーブル機構及びリセット手段ｌ「に接続されていて受信器２゜か ら同期信号４８．５０を受け取ると共に、各々１６００及び１００ヘルツ信号５ ４．５２を発生させるための第２のカウンタ５８；及びクロ７り発生器１８の第 １及び第２のカウンタ５６．５８に接続されていて受信器２０から同期信号４８ ．５０を受け取ると共に、クロック装置１１５で使用されるび外部高周波クロッ クのスロー障害を検出し、スロー障害信号１４６を入力クロックマネージャ６２ へ送出す組合わせ論理手段１１６を有する。

リセット手段１６またはクロックイネーブル手段１６（図５）は、二重障害時動 作可能性またはフェールセーフ初朋化、４者択２投票器論理を達成するための組 合わせ論理手段を１０６有し、これは他のクロックモジュールからの３つの外部 クロックイネーブル信号３７．３８．３９に接続された複数の入力を有し、また クロックイネーブル信号２８を他のクロックモジュールへ供給すると共に、「早 期の」パワーオンレディト及びパワーオンレディであるフォールトトレラント・ クロックの外部へ内部クロ１クイネーブル信号３ｏを供給する出力を有する。

また、リセット手段１６は、クロックイネーブル信号３０をモジニールの水晶発 振器に同期させると共に、１４源がオン状態の間クロ７りを「オン」位置にラッ チするためのリセットラッチ１１０を有し、その第１の入力はリセット手段１６ の出力３０に接続され、第２の入力は内部クロツクリセブ）１１２に接続されて いる。リセット障害検出論理回路１０８も、同様にリセット手段１６の一部をな しており、オーバーオールクロック（全てのモジトルに対して全体的に作用し、 クロックの全体的収集をリセ−／）する）にかかわるハードウェア障害及び通信 障害を検出すると共に、他のモジュールからのクロメクイネーブル信号３７．３ ８．３９に接続されかつ前回の障害ラッチ状態を記録する不揮発性のメモリ１２ ０に接続された入力を有し、フォールトフラグ信号が動作診断回路に接続された 出力を有し、さらに早期クロブクリセット（前に述べたように、早期クロフクリ セ１トパワーオルディに先行する）である内部クロブクリセットに接続された入 力を有する。

動作診断手段１７またはフ堵−ルトフラグ通信システム１７は、図２２にクロ、 り装置１５と共に示しである。図２３は、動作診断手段１７のクロック信号及び フォールトフラグ通信装置信号の波形タイミング図を示す。動作診断手段１７（ 図２２−２９＞は、同じモジュールのフォールトトレラント・クロック出力５２ から僅かに位相がずれたもう１つのクロック信号１２４を得るためにクロ１り整 相回路１２２（図２２及び２４）を有しくすなわち、この回路は、高低の周波数 を両方共使用するという点において独特であり、フォールトトレラント・モジュ ールのクロック出力にはより高い周波数のクロツクが必要である）、モジュール からの両方の周波数の信号５２．５４及びリセ７）回路１１０からの同期クロ、 クイネーブル信号２９に接続された入力を有する。整相回路１２２は、１６００ Ｈｚクロ１りの立ち上がり工・ｙジを入力して１００Ｈｚクロツクにｌ／３２サ イクルの遅延を与えるフリツブフロップである。

また、動作診断手段は、クロックモジュール１１のフォールトフラグ状態を例え ば、他のモジュール１２．１３．１４の動作診断手段１７へ送信するためにフォ ールトフラグ通信送信器１２６（図２２及び２５）を有しくフラグを処理するク ロｙクリセｌト）、この場合各モジュール１１．１２．１３．１４は他のモジュ ールから独立した８つのフラグを有し、かつこれらの各モジュールは２４のフラ グの他、それ自身の８つのフラグ、４つのクロックフラグ及び４つのり七ノドフ ラグを受け取り（各モジュールから１つずつ）、これらの各フラグは各モジュー ル自体及び他のモジュールを含めたモジュールによるオピニオンであり（４＋４ ｘ４）、各モジュール自体の入力はクロック整相回路１２２の出力及びリセ・ノ ド回路１６とクロック受信器回路２０からのフォールトフラグに接続されている 。

送信器＋２６は、他のモジュールの動作診断回路１７へ７リアルデータを出力し 、各フラグは、受信器１２８に通信回線に障害があるかどうかを検出させる出力 である回線試験信号を発生させる機能を有する。通信回線が使用されていないと きにも動作中であると判断されると、これらの出力は通信回線を通る時間の５０ ／ｆ−セントの間セットされる。

フォールトフラグ受信器１２８（図２２及び２６）も動作診断手段１７の一部を なし、シリアルフォールトフラグデータをパラレルフラグデータに変換する（全 てのフォールトフラグを組合わせ論理回路１３２に同時に供給して処理すること ができるようにするために）役割を有する。受信３１１２８の入力は、全てのモ ジュールのフォールトフラグ通信送信器１２６の出力及び同じモジュールのクロ ック整相回路１２２に接続され、出力は３２ビツトフオールトフラグラツチ１３ ０　（図２２．２８）にｔｌｆｆｌされたパラレルフォールトフラグである。回 線障害検出回路１３４（図２２及び２７）は、フォールトフラグ通信回線がフォ ールトフラグを送信することができない時、これを検出する。論理回路１３２の 入力には、フォールトフラグ受信器１２８からのパラレルフォールトフラグ、及 びクロック整相回路１２２からのクロック信号（１００Ｈｚクロック信号−一モ ジュールにおけるフォールトトレラント・クロック信号）が接続されている。マ スター−スレーブ・フリツブフロ１プ１３６の出力は、そのモジュールのフラグ ラッチ１３０に供給される回線障害フラグである。

フォールトフラグラッチ１３０（図２２．２８）は、回線障害フラグとパラレル フォールトフラグを結合して、永久ラッチされる３２ビツトのフォールトフラグ ワードを生成する役割を有する。ラッチ１３０の入力は、回線障害検出回路１３ ４からの回線障害フラグ、フォールトフラグ受信器１２８からのパラレルフォー ルトフラグと、クロ１り整相回路１２２からの１００Ｈｚフオールトトレラント ・クロックである。フォールトフラグラッチ１３０は、３２ビツトのフォールト フラグワードをマイクロプロセッサ２４または組合わせ論理回路（クロ１クンス テム及びクロ１クリセット機構が二重障害時動作可能モード、単一障害時動作可 能モードまたはゼロ障害時動作可能モードとなることを各々指示する前述の式で 示されるように、プール論理によるハードウェア、ファームウェアまたはソフト ウェアで実施される）へ出力し、各モジュール１１．１２．１３．１４は各々３ ２ピツトワードを有する。

図３１ａは、出力Ｓ　２ＦＯに対する１６のクロックフォールトフラグ（ＦＦＣ Ｌ）入力の論理１４２を示す。５２ＦＯ＝１であれば、クロノクンステムは二重 障害時動作可能である。図ａｔｂは、出力５Ｒ２ＦＯに対する１６のリセットフ ォールトフラグ（ＦＦＲＬ）入力の論理１４４を示す。５Ｒ２ＦＯ＝１であれば 、クロ／クリセット機構は二重障害時動作可能である。始動またはリセット機構 用の障害検出システムは、クロック用の障害検出システムとは異なる。

図３１ｃは、５ＩＦＯ出力に用いられるクロックフォールトフラグ入力の論理を 示す。５ＩＦＯ＝１ならば、クロックンステムは、少なくとも単一障害時動作可 能である。ＦＦＣＬ　Ｉは、図３０に示すような順序付けの１６ビツトワードＦ ＦＣＬの量番目の要素を表す。図３１６は、５ＲＩＦＯ出力に用いられるフォー ルトフラグ人力の論理を示す。５ＲＩＦＯ＝１ならば、リセット回路は少なくと も単一障害時動作可能である。ＦＦＲＬｉの１番目の項は、１６ビｙトワードＦ ＦＲＬのｉ番目の要素を表す。図３１ｃは、ＳＯＰ出力に用いられるクロックフ ォールトフラグ入力の論理である。５ＯＰ＝１であれば、クロノクンステムは少 なくとも動作可能でありかつフェールセーフである。図３１ｆは、５ＨＯＰ出力 に用いられるリセット回路フォールトフラグ入力の論理である。５ＨＯＰ＝　１ であれば、クロックリセット機構または回路は少なくとも動作可能でありかつフ ェールセーフである。

４つオーＩＬ）ｌ−Ｌう、ト・７０．．７ＦＩｏ、４ 二ＩＴ’専虫吟勧べ［町Ａ匠を構幌　（□−蝿閣係　）７年を時勅都町醜ｒｘｋ ＋泣 ＦＩＧ、　７２　ＦＩＧ、　７３ 壜３横嵯　ｆＩ亀鴇Ｖ ＦＩＧ、　７６ａ　ＦＩＧ、　１６ｂ ＦＩＧ、　１７ａ　ＦＩＧ、　１７ｂ ｊトカ狗り；７トηす屯庁ン　キう丘へリニ”’ＨＪＩの市４片２ＦＩＧ、　１ ８ａ　ＦＩＧ、　１８ｂ ＦＩＧ、　７９ａ　ＦＩＧ、　７９ｂ ＦＩＧ、　７９ｃ　ＦＩＧ、２７− ＦＩＧ、２０ａ　ＦＩＧ、２０ｂ ＦＦＣＩ（Ｊ）−ＰＦｃ　Ｉｅ＋；４ＢｎＭ訃、　ｌ＋ｅ１，２，３．　ｑ＋ｘ 　４ＵＮＥ　ＦＡＵＬＴＯ：ｆ”’ＩＬＬｈａｔ％ｊ３　加ｈ’ｊ’７’ｚ７” ６”ｌ’ｉＡυＬＴ北ｔＪ：’ＪＬＳＦｉｇ、２８ｂ ５２ＦＯ＝１　杢７０−１！”７−人テ４ｒａ＝−ｉλ％＄ｈ予ａｈ　＊　ｑ　 ＊ｔＳＲ２ＦＯ＝１：＞　’７［３＝−７′）ヒｔＹ％？Ｊ４ａ二＊Ｔｉｔ’ｌ （％ｂｒ１６町六ＥＦｉｇ、３７θ

Claims (1)

1. 【特許請求の範囲】 １．複数のクロックモジュール（１１、１２、１３、１４）よりなる多量障害時 動作可能フォールトトレラント・クロック（１０）において、各クロックモジュ ールが： クロック発生器（１８）と； 上記クロック発生器（１８）に接続されたクロック受信器（２０）；上記クロッ ク受信器（２０）に接続されたリセット手段（１６）と；上記リセット手段（１ ６）及び上記クロック受信器（２０）に接続されたフォールトフラグ送信器（１ ２６）と； 上記フォールトフラグ送信器（１２６）に接続されたフォールトフラグ受信器（ １２８）と； 上記クロック発生器（１８）、上記フォールトフラグ送信器（１２６）、及び上 記フォールトフラグ受信器（１２８）に接続されたクロック整相回路（１２２） と； 上記クロック整相回路（１２２）及び上記フォールトフラグ受信器（１２８）に 接続された回線障害検出器（１３４）と；上記クロック整相回路（１２２）、上 記フォールトフラグ受信器（２０）及び上記回線障害検出器（１３４）に接続さ れた永久ラッチ（１３０）と；からなり、上記各クロックモジニールの上記リセ ット手段（１６）、上記クロック受信器（２０）、上記フォールトフラグ送信器 （１２６）、上記フォールトフラグ受信器（１２８）、上記クロック発生器（１ ８）及び上記クロック発生器（１８）を、上記複数のクロックモジュール（１１ 、１２、１３、１４）の各他のクロックモジュールに接続したことを特徴とする 多量障害時動作可能フォールトトレラント・クロック。 ２．複数のクロックモジェール（１１、１２、１３、１４）よりなる多重障害時 動作可能フォールトトレラント・クロック（１０）において、各クロックモジュ ールが： クロック受信器（２０）及びこのクロック受信器（２０）に接続されたクロック 発生器（１８）からなるクロック装置（１１５）と；上記複数のクロックモジュ ール（１１、１２、１３、１４）の各クロックモジュールの上記クロック装置（ １１５）の上記クロック受信器（２０）及び上記クロック発生器（１８）に接続 されて、上記クロック装置（１１５）をフォールトトレラントと同時始動させる リセット手段（１６）と；上記複数のクロックモジュール（１１１２、１３、１ ４）の各クロックモジュールの上記クロック受信器（２０）及び上記リセット手 段（１６）に接続された動作診断手段（１７）と； からなることを特徴とするフォールトトレラント・クロック（１０）。 ３．上記クロック受信器（２０）が： 上記複数のクロックモジュール（１１、１２、１３、１４）の各クロックモジュ ールの各クロック装置（１１５）に接続された複数の入力クロックマネージャ（ ６２）と； 上記複数の入力クロックマネージャ（６２）に接続されて、障害を除去したフォ ールトトレラント・クロック信号よりなる候補基準クロック信号（６８）を発生 させるデータコレクタ（６４）と； 上記コレクタ（６４）及び上記複数の入力クロックマネージャ（６２）と上記ク ロック発生器（１８）に接続されていて、基準フォールトトレラント・クロック 入力信号、同期信号、及び上記複数の人力クロックマネージャ（６２）が障害の 有無をチェックするタイミングを指示する障害チェックタイミング信号を発生さ せる基準クロックマネージャ（６６）と；からなることを特徴とする請求項２記 載のフォールトトレラント・クロック（１０）。 ４．上記クロック発生器（１８）が： 上記基準クロックマネージャ（６６）及び上記リセット手段（１６）に接続され て高周波信号を分周する第１のカウンタ（５６）と；上記第１のカウンタ（５６ ）及び上記基準クロックマネージャ（６６）と上記リセット手段（１６）に接続 されて、特定周波数の信号を発生させる第２のカウンタ（５８）と； 上記の第１及び第２のカウンタと、上記複数の人力クロックマネージャ（６２） 及び上記基準クロックマネージャ（６６）に接続されて、上記基準クロックマネ ージャ（６６）から少なくとも１つ同期信号を受け取り、外部高周波信号のスロ ー障害を検出するための組合わせ論理手段（１１６）と；からなることを特徴と する請求項３記載のフォールトトレラント・クロック（１０）。 ５．上記リセット手段（１６）が： 上記複数のクロックモジュール（１１、１２、１３、１４）の各クロックモジュ ールの他のリセット手段（１６）に接続されて、上記複数のクロックモジュール （１１、１２、１３、１４）の各クロックモジュールの他のリセット手段（１６ ）にクロックイネーブル信号を供給する祖合わせ論理手段（１０６）と：上記ク ロック受信器（２０）に接続されて、上記リセット手段（１６）を発振器に同期 させると共に、上記クロック装置（１１５）をオン状態にラッチするリセットラ ッチ（１１０）と； 上記組合わせ論理手段（１０６）、上記リセットラッチ（１１０）及び上記クロ ック受信器（２０）に接続されており、かつ上記複数のクロックモジュール（１ １、１２、１３、１４）の各他のクロックモジュールの上記リセット手段（１６ ）に接続されて、上記リセット手段（１６）の障害を検出するリセット障害検出 論理回路（１０８）と； からなることを特徴とする請求項４記載のフォールトトレラント・クロック（１ ０）。 ６．上記動作診断手段（１７）が： 上記クロック発生器（１８）及び上記リセット手段（１６）に接続されて、フォ ールトトレラント・クロック信号に対して僅かに位相がずれたもう１つのクロッ ク信号を発生させるクロック整相手段（１２２）と；上記リセット手段（１６） 、クロック整相手段（１２２）、上記クロック装置（１１５）、及び上記複数の クロックモジュール（１１、１２、１３、１４）の各他のクロックモジュールに に接続されて、上記複数のクロックモジュールの上記各クロックモジュールから 各他のクロックモジュールにフォールトフラグを送信するフォールトフラグ送信 器（１２６）と；上記複数のクロックモジュール（１１、１２、１３、１４）の 各クロックモジュール、上記フォールトフラグ送信器（１２６）、及び上記クロ ック整相手段（１２２）に接続されて、上記複数のクロックモジュール（１１、 １２、１３、１４）の各クロックモジュールの上記フォールトフラグ送信器（１ ２６）からフォールトフラグを受信する複数のフォールトフラグ受信器（１２８ ）と；上記複数のフォールトフラグ受信器（１２８）及び上記クロック整相手段 （１２２）に接続されていて、フォールトフラグ送信及び受信の障害の有無を確 認するための回線故障検出器（１３４）と；上記回線故障検出器（１３４）、上 記複数のフォールトフラグ受信器（１２８）及び上記クロック整相手段（１２２ ）に接続されて、上記多量障害時動作可能フォールトトレラント・クロック（ｌ ０）の動作モードの指示信号を出力するフォールトフラグラッチ（１３０）と； からなることを特徴とする請求項５記載のフォールトトレラント・クロック（１ ０）。 ７．複数のクロックモジュール（１１、１２、１３、１４）よりなる多重障害時 動作可能フォールトトレラント・クロック（１０）において、各クロックモジュ ールが： クロック信号を発生させるためのクロック手段（１１５）と；上記クロック手段 （１１５）に接続されて、上記クロック手段（１１５）をフォールトトレラント 同時始動させるリセット手段（１６）と；よりなることを特徴とする多重障害時 動作可能フォールトトレラント・クロック。 ８．複数のクロックモジュール（１１、１２、１３、１４）よりなる多重障害時 動作可能フォールトトレラント・クロック（１０）において、各クロックモジュ ールが： クロック受信器（２０）と上記クロック受信器（２０）に接続されたクロック発 生器（１８）とからなるクロック装置（１１５）と；上記クロック受信器（２０ ）及び上記複数のクロックモジュール（１１、１２、１３、１４）の各クロック モジュールの上記クロック装置（１１５）の上記クロック発生器（１８）に接続 されて、上記クロック装置（１１５）をフォールトトレラント同時始動させるリ セット手段（１６）と；からなることを特徴とする多重障害時動作可能フォール トトレラント・クロック。