JPH0895816A

JPH0895816A - 故障検出方法および情報処理装置

Info

Publication number: JPH0895816A
Application number: JP6232838A
Authority: JP
Inventors: Yoshimichi Sato; 美道佐藤; Nobuyasu Kanekawa; 信康金川; Shoji Suzuki; 昭二鈴木; Shinya Otsuji; 信也大辻
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1994-09-28
Filing date: 1994-09-28
Publication date: 1996-04-12

Abstract

(57)【要約】【目的】多重化構成の情報処理装置において、信頼性を
落とすことなく、高性能化を容易にする。【構成】マスタデータ処理部２は、データ処理の結果の
出力が確定すると、第１の出力確定通知を出力する手段
５ａを備え、チェッカデータ処理部４は、データ処理の
結果の出力の確定と、第１の出力確定通知の出力のいず
れか遅いときに、第２の出力確定通知を出力する手段５
ｂを備える。照合手段６は、第２の出力確定通知を検出
すると、両データ処理部２、４の出力を検査し、誤りを
検出すると故障検出信号１２を出力する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、高性能かつ高信頼性が
要求される情報処理装置および故障検出方法に係り、特
にコントローラ向きプロセッサの故障検出に適する故障
検出方法、および、該方法を用いて故障を検出する情報
処理装置に関する。

【０００２】

【従来の技術】情報処理装置のプロセッサの高信頼化の
ための方法として、電子情報通信学会編「フォールトト
レラントシステム論」平成２年６月、第２４６〜２５０
頁に記載されているように、いくつかの方法が従来より
知られている。

【０００３】代表的な方法としては、密に同期するクロ
ックを用いて複数の冗長構成のプロセッサを同期動作さ
せ、各プロセッサの出力（バス出力）について照合チェ
ックあるいは多数決等を行ない故障検出する方法が、知
られている。この方法によれば、ソフトウェアの構築、
運用に際して、ハードウェアの冗長性を基本的に意識す
る必要がない。

【０００４】

【発明が解決しようとする課題】しかし、上述の同期す
るクロックを用いる方法では、クロック周波数および同
期動作についての、つぎのような問題が生じる。

【０００５】まず、クロック周波数について考えると、
高い冗長プロセッサ数を得ようとするとき、あるいは高
い性能を得ようとするとき、各プロセッサに分配するク
ロックについて、信頼性と同期を保ちながら高い周波数
を得るのは容易でない。クロック分配の配線ネットが広
がるほど、また、その負荷容量が増大するほど、得られ
る周波数の上限は低くなる。この問題を解決しながら信
頼性をたもつためには、実装上の工夫を要する。配線ネ
ットの容量やクロックバッファの負荷、遅延を正確に管
理するため、綿密設計が必要であり、設計コストが増大
する。

【０００６】また、同期動作について考えると、各プロ
セッサに入力される同一信号へのノイズ混入等により、
各プロセッサの動作に同期ずれが生じることがある。ま
た、各プロセッサの動作立ち上げの同期保証が必要であ
る。そこで、これに対して監視回路、同期合わせ回路を
付加する方法などが考案されている。しかしながら、こ
れらの問題の対策のための付加回路が増えると、それら
の回路自体の信頼性がまた新たな課題となる。

【０００７】以上のように、クロックの完全同期方法に
は、綿密な実装設計および付加回路の工夫などを必要と
し、プロセッサなどのデータ処理装置（データ処理部）
および照合回路以外の設計コストをかけねばならない。
これらの設計コストは、たとえ同一種のプロセッサおよ
び照合回路を用いていても、システムの構成が異なれ
ば、システム構成毎にそれぞれ掛けねばならない。

【０００８】そこで、同期するクロックを用いることな
く、冗長系の高信頼性を確保する手段が望ましいと考え
られる。このように、クロックによる同期を行わない場
合、照合の対象となる複数の出力がそれぞれ異なる時刻
に確定する。従って、この場合、故障検出を行うための
各プロセッサの出力の照合に必要とされるインタフェー
ス手段とプロトコルが提供されなければならない。

【０００９】実際、従来より、クロック等のハードウェ
ア同期を必要としない方法として、ソフトウェアにより
同期照合を実行し故障検出を行なう方法が提案されてい
る。しかし、この方法では、同期をとるための時間の損
失が大きくなるという欠点があり、高性能化には向かな
い。

【００１０】また、相互のプロセッサに密な同期動作は
させず、演算結果をプロセッサ外部に設けたレジスタに
あらかじめ定められた周期でセットさせるようプログラ
ムシーケンスを設定し、レジスタに登録された演算結果
をハードウエア照合させることによって故障検出を行な
う方法も提案されている。だが、照合頻度を考慮しなが
らプログラムシーケンスを管理していくのは容易ではな
い。

【００１１】そこで、本発明は、同期するクロックを用
いることなく、同期をとるための時間の損失がなく、照
合頻度を考慮しながらプログラムシーケンス管理する必
要がない、冗長系の故障検出装置、および該故障検出装
置を用いてプロセッサ等のデータ処理装置の高信頼化を
実現した情報処理装置を提供することを目的とする。

【００１２】

【課題を解決するための手段】上記目的を達成するため
に、本発明では、入力された指示に応じたデータ処理を
行い、結果を出力するデータ処理部であって、同じ指示
を受けるデータ処理部を、各々備える主系のデータ処理
系と副系のデータ処理系とを備える情報処理装置におけ
る該データ処理部の故障検出方法において、上記主系お
よび副系のデータ処理部の出力を検査する照合手段を備
え、上記主系の備えるデータ処理部は、一のマスタデー
タ処理部であり、上記副系の備えるデータ処理部は、一
以上のチェッカデータ処理部であり、上記主系が、上記
マスタデータ処理部の、入力された指示に応じたデータ
処理の結果の出力が確定すると、第１の出力確定通知を
出力するステップと、上記副系が、すべての上記チェッ
カデータ処理部の、上記指示に応じたデータ処理の結果
の出力の確定と、上記第１の出力確定通知の出力のいず
れか遅いときに、第２の出力確定通知を出力するステッ
プと上記照合手段が、上記第２の出力確定通知を検出す
ると、上記検査を行い、誤りを検出すると、故障検出信
号を出力するステップとを、この順に備えることを特徴
とする故障検出方法、および該方法を用いてデータ処理
部の故障を検査する情報処理装置が提供される。

【００１３】また、本発明では、上記のように、主系と
副系とがあらかじめ定められていない第２の故障検出方
法も提供される。すなわち、入力された指示に応じたデ
ータ処理を行い、結果を出力するデータ処理部であっ
て、同じ指示を受けるデータ処理部を複数備える情報処
理装置の、該データ処理部の故障検出方法において、上
記情報処理装置は、優先調停手段と照合手段とを備え、
上記データ処理部が、該データ処理部による、入力を受
け付けた指示に応じたデータ処理の結果の出力が確定す
ると、上記出力許可要求を優先調停手段に通知する許可
要求ステップと、上記優先調停手段が、許可要求を受け
付け、該要求のうち最先に受け付けたものを出力した上
記データ処理部に許可を通知する許可通知ステップと、
上記許可の通知を受け付けるた上記データ処理部が、第
１の出力確定通知を出力する第１の出力確定通知出力ス
テップと、上記第１の出力確定通知の出力されたとき
と、該第１の出力確定通知を出力した上記データ処理部
の他のすべてのデータ処理部による、上記指示に応じた
データ処理の結果の出力が確定したときとの、いずれか
遅いときに、第２の出力確定通知を出力する第２の出力
確定通知出力ステップと、上記照合手段が、上記第２の
出力確定通知を検出すると、上記データ処理部の出力を
検査し、誤りを検出すると、故障検出信号を出力する故
障検出ステップとを、この順に備えることを特徴とする
故障検出方法が提供される。本発明では、さらに、この
第２の方法を用いてデータ処理部の故障を検査する情報
処理装置が提供される。

【００１４】

【作用】本発明は、プロセッサ冗長構成システムにおい
て、容易に高い周波数のクロックでプロセッサを動作さ
せることができるようになり、信頼性を低下しかねない
余分な付加回路を不要にする手段を提供するものであ
る。

【００１５】上記手段により、冗長構成のデータ処理装
置（例えば、プロセッサ）の故障検出を行なえば、該デ
ータ処理装置の動作を起動するクロックを同期させる必
要がなくなる。また各データ処理装置の入力信号へのノ
イズの混入は何ら支障をきたさず、動作立ち上げは多少
のずれがあってもよい。さらに、用いられる手段は高信
頼化が容易なものであって、信頼性が問題になる余分な
付加回路を必要としない。ゆえに、本発明は、プロセッ
サのようなデータ処理装置を多重化して構成した情報処
理装置において、信頼性を落とすことなく、高性能化を
容易にする。また、クロックの厳密な同期の必要がない
ため、システムの実現の際に対し柔軟性を提供する。な
お、本発明は入出力頻度が低いほど高性能化の効果が得
られるものであり、コントローラへの応用が適してい
る。また、本発明の故障検出方法は、プロセッサに限ら
ず、多重化された一般データ処理装置の故障検出に適用
できる。

【００１６】

【実施例】以下、本発明の実施例を図面を用いて説明す
る。なお、以下の各実施例では、「アサート(assert)」
および「ネゲート(negate)」という言葉を各所に用い
る。これは、信号には”アクティブ・ハイ(active-hig
h)”と”アクティブ・ロウ(active-low)”があり、これ
らを混在して扱う場合の混乱を防ぐためである。「アサ
ート」というのは、電位レベルの”ロウ（Low）”、”
ハイ（High）”にかかわらず、信号がアクティブ（有
効）つまり真（ｔｒｕｅ）であることを意味する。そし
て、「ネゲート」というのは信号がインアクティブ（無
効）つまり偽（ｆａｌｓｅ）であることを意味する。

【００１７】（実施例１）図１に、２つのプロセッサを
用いて冗長化、故障検出する場合の情報処理装置の構成
を示す。なお、クロック発生回路１，３、プロセッサ
２，４、照合回路（照合手段）６、およびインタフェー
スタイムアウト監視回路（インタフェース監視手段）７
以外の構成要素については、本実施例の故障検出方法に
は直接拘らないので、図示を省略した。ここでは、プロ
セッサが２つの場合について説明するので、主系はプロ
セッサ２であり、副系はプロセッサ４である。

【００１８】本実施例の情報処理装置は、２組の周期信
号を発生するクロック発生回路１，３およびプロセッサ
２，３を備え、さらに、プロセッサ２，３の出力データ
の一致照合を行う照合回路６と、時間監視を行うインタ
フェースタイムアウト監視回路７とを備える。プロセッ
サ２および３は、同一の動作を行う。

【００１９】プロセッサ２はクロック発生回路１より供
給されるクロック信号８を基準に動作する。同様にプロ
セッサ４はクロック発生回路３より供給されるクロック
信号９を基準に動作する。２つのクロック信号８および
９は、本実施例では非同期である。従って、２つのプロ
セッサ２，３は、同一の動作を行うが、その動作には、
時間的ずれが生じることになる。

【００２０】プロセッサ２とプロセッサ４とは、それぞ
れ、入力された指示に応じてデータを処理しするデータ
処理部（図示せず）、該データ処理部に入力された指示
を通知し、該処理部の処理結果を出力する入出力手段１
０，１１、および、ハンドシェークインタフェース手段
５ａ，ｂを備える。入出力手段としては、例えばアドレ
ス出力、あるいはデータ入出力バス等があるが、本実施
例では、データ入出力バスである。この２つのプロセッ
サ２，３はハンドシェークインタフェース５ａ，ｂを介
してに相互に接続され、出力の際、ハンドシェークイン
タフェース５ａ，ｂにより待ち合わせを行なう。双方の
出力が揃うと、それが、ハンドシェークインタフェース
５ａ，ｂにより、照合回路６およびインタフェースタイ
ムアウト監視回路７に信号線５を介して通知される。

【００２１】照合回路６は、２つのプロセッサ２，３の
出力がそろったことの通知を受けると、入出力手段１
０，１１から出力されたデータの一致照合を行ない、不
一致のときには故障を検出したとみなして故障検出信号
１２を出力して外部へ知らせる。

【００２２】また、インタフェースタイムアウト監視回
路７は、一定時間以上の信号線５を介して出力行われた
ことの通知がなされないと、これを故障とみなし、外部
へ知らせるために故障検出信号１３を出力する。プロセ
ッサ２，３のうちの一方が、故障によりハンドシェーク
インタフェースに応答しなくなってしまうと、照合回路
によって故障を検出することは不可能になるためであ
る。なお本実施例のインタフェースタイムアウト監視回
路７のような時間監視による故障検出の手段ではなく、
信号レベルの異常を検出する手段や、プロトコル規定
（状態遷移）違反を検出する手段など、他の故障検出手
段をプロセッサに備えることにより、照合のできない故
障を検出するようにしてもよい。

【００２３】つぎに、ハンドシェークインタフェース５
ａ，ｂを、図２を用いて具体的に説明する。なお、図２
では、図１に示したクロック発生回路１，３の図示は省
略した。

【００２４】一般的に、２重化プロセッサ方式である
「マスタ／チェッカ方式」では、「マスタ」の機能をも
つプロセッサと「チェッカ」の機能を持つプロセッサと
を用いる。本実施例では、プロセッサ２として「マス
タ」の機能をもつプロセッサを用い、プロセッサ４とし
て「チェッカ」の機能をもつプロセッサを用いている。

【００２５】信号線５は、図２に示すように、２本の信
号線１４および１５からなる。信号線１４は、インタフ
ェース信号である”ＳＴＲＢ（ストローブの意）”信号
を伝達する。信号線１５は、インタフェース信号であ
る”ＡＣＫ（アクノリッジの意）”信号を伝達する。Ｓ
ＴＲＢ信号は第１の出力確定通知である。また、本実施
例では、プロセッサが２つであることから、ＡＣＫ信号
は、第２の出力確定通知かつ第３の出力確定通知であ
る。

【００２６】プロセッサ２のハンドシェークインタフェ
ース５ａは、プロセッサ２の出力（入出力手段１０によ
る出力）が有効になると、ＳＴＲＢ信号１４をアサート
する。ＳＴＲＢ信号１４がアサートされると、プロセッ
サ４のハンドシェークインタフェース５ｂは、ＳＴＲＢ
信号１４のアサートを受け取り、かつ、入出力手段１１
による出力が有効となった時点で、ＡＣＫ信号１５をア
サートする。プロセッサ２のハンドシェークインタフェ
ース５ａは、ＳＴＲＢ信号１４をアサートした後、ＡＣ
Ｋ信号１５がアサートされるまで、プロセッサ２の動作
を停止させる。

【００２７】このようにして、２つのプロセッサ２，４
は、外部への出力に際して、待ち合わせを行なう。照合
回路６は、ＡＣＫ信号１５がアサートされることによ
り、プロセッサ２，４の両者の出力がそろったことを検
知することができる。また、インタフェースタイムアウ
ト監視回路７は、ＳＴＲＢ信号１４およびＡＣＫ信号１
５のアサートを検出することにより、各プロセッサ２，
４による応答の実行を検知することができる。

【００２８】つぎに、図３を用いて、各構成手段の具体
的動作の詳細を説明する。図３は、時間の経過に伴う信
号のレベル変化や回路の動作内容を表すタイムチャート
である。図３では、時間の経過を左から右へ示す。図中
の数字は図２の構成要素と対応させてある。すなわち、
図３において、プロセッサ２の１０は出力信号のレベル
変化を、１１はプロセッサ４の出力信号のレベル変化
を、１４はＳＴＲＢ信号のレベル変化を、１５はＡＣＫ
信号のレベル変化を、それぞれ示し、６は照合回路の動
作内容を、７はインタフェースタイムアウト監視回路の
動作内容を示している。なお、図３では、１４、１５は
負論理で示した。

【００２９】仮に、プロセッサ２の入出力手段１０によ
る出力（以下、出力１０と呼ぶ）はプロセッサ２のアド
レス出力であり、プロセッサ４の入出力手段１１による
出力（以下、出力１１と呼ぶ）はプロセッサ４のアドレ
ス出力であるとする。

【００３０】ハンドシェークインタフェース５ａは、プ
ロセッサ２が外部との入出力のため有効なアドレス（出
力１０）を出力するとき（時刻Ａ）、ＡＣＫ信号１５が
ネゲートされたことを確認したのち、ＳＴＲＢ信号１４
をアサートする。ハンドシェークインタフェース５ｂ
は、ＳＴＲＢ信号１４のアサートを受け取り、かつ、プ
ロセッサ４のアドレス出力１１が有効な状態になったと
き（時刻Ｂ）、ＡＣＫ信号１５をアサートする。

【００３１】照合回路６は２つのアドレス出力１０，１
１が有効となった時点（時刻Ｂ）をＳＴＲＢ信号１４と
ＡＣＫ信号１５とがアサートされたことから判断し、出
力１０の内容であるアドレスと出力１１の内容であるア
ドレスとの一致照合を行なう。一致照合の結果不一致で
あれば、故障と判断して外部へ故障検出信号１２を出力
する。

【００３２】また、インタフェースタイムアウト監視回
路７はＳＴＲＢ信号１４がネゲート状態からアサート状
態へ切り替わった時点（時刻Ａ）からの経過時間を計測
する。そして、あらかじめ設定された一定時間（本実施
例１では、１５０ｎｓとした。なお、本実施例１では、
プロセッサ２，３として、３３ＭＩＰＳの処理速度のプ
ロセッサを用いた。）を過ぎてもＡＣＫ信号１５がアサ
ートされないときは、故障が発生したものと判断して、
故障検出信号１３を外部へ出力する。なお、あらかじめ
設定される一定時間は、故障のないときの、最も大きく
なると考えられる待ち合わせ時間より大きいものに設定
するのがよい。

【００３３】さて、時刻ＢのＡＣＫ信号１５のアサート
を受け取ると、プロセッサ２のハンドシェークインタフ
ェース５ａは、ＳＴＲＢ信号１４をネゲートし、アドレ
ス出力１０の出力をやめる（時刻Ｃ）。もし、一致照合
や入出力動作のために充分な時間をとらねばならないと
きは、あらかじめ設定した一定時間、ネゲートを遅らせ
てもよい。こうしてプロセッサ２の一回のバスサイクル
は終了する。

【００３４】一方、プロセッサ４のハンドシェークイン
タフェース５ｂは、時刻ＣにおいてＳＴＲＢ信号１４が
ネゲートされたことを確認すると、ＡＣＫ信号１５をネ
ゲートして、アドレス出力１１の出力をやめる（時刻
Ｄ）。プロセッサ２のハンドシェークインタフェース５
ａは、次にＳＴＲＢ信号１４をアサートするのは少なく
ともＡＣＫ信号１５がネゲートされたことを確認したあ
と（時刻Ｄ以降）でなければならない。

【００３５】以上のように、プロセッサの出力動作時点
で、ハンドシェークインタフェース５ａ，ｂにより同期
をとるようにすれば、動作立ち上げの際の、クロックに
よる密な同期は不要である。なぜなら、密に同期してい
なくてもおのおののプロセッサの最初の入出力動作で待
ち合わせにより同期がとられるからである。従って、本
実施例１によれば、クロック信号８および９の同期のい
かんに拘らず、二重化されたプロセッサの出力を照合検
査することができる。

【００３６】なお、プロセッサ２，３に、出力する前に
出力データの誤りを自ら検出、訂正する手段を設けても
よい。このようにすれば、処理結果の信頼性を向上させ
ることができる。あるいは、プロセッサにメモリを内蔵
させ、処理性能を向上させてもよい。

【００３７】さらに、プロセッサ２，３の出力をデータ
圧縮する手段を設け、圧縮後のデータが照合回路に入力
されるようにしてもよい。このようにすれば、照合対象
が縮小されるため、照合回路を縮小できることに加え、
照合対象が縮小されるため、照合時間が短縮されるの
で、システムの性能を向上させることが可能になる場合
がある。

【００３８】また、インターフェースタイムアウト監視
回路の計時するタイミングを増やして、一回のバスサイ
クル中に複数回計時を行うようにしてもよい。このよう
にすれば、時間監視の信頼性を向上させることができ
る。なお、インターフェースタイムアウト監視回路の計
時するタイミングは、システムごとに、その運用に応じ
た最適な場所を求めて、設定することが好ましい。

【００３９】（実施例２）また、実施例１のシステムで
は、インタフェースタイムアウト監視回路７は一つだけ
備えられているが、２つ以上に多重化してもよい。この
ようにすれば、時間監視の信頼性を向上させることがで
きる。照合回路を２つ以上に多重化してもよい。このよ
うにすれば、照合の信頼性を向上させることができる。
そこで、本実施例２では、図４に示すように、照合回路
６とインタフェースタイムアウト監視回路７との両方を
２重化した。本実施例のシステムでは、出力１０，１１
は、２重化された照合回路６ａ，６ｂの両方により、そ
れぞれ独立に一致照合される。また、ハンドシェークイ
ンタフェース５ａ，５ｂの出力信号１４、１５は、２重
化されたインタフェースタイムアウト監視回路７ａ，７
ｂの両方により、それぞれ独立に時間監視される。照合
回路６ａ，６ｂは、いずれも、データの不一致を検出す
ると故障検出信号１２を外部に出力する。また、インタ
フェースタイムアウト監視回路７ａ，７ｂも、いずれも
所定時間が超過しても出力が揃わないことを検出する
と、故障検出信号１３を外部に出力する。

【００４０】（実施例３）実施例１では、プロセッサを
二重化した場合について説明したが、本発明の故障検出
方法によれば、図５に示すように、３線式のハンドシェ
ークを用いてプロセッサの数を３つ以上に多重化するこ
ともできる。このように、プロセッサを３つ以上多重化
すれば、、プロセッサ出力の多数決を行なうことによ
り、故障したプロセッサを検出して、正常なプロセッサ
から選択的に出力させることができる。

【００４１】本実施例３で用いられているプロセッサ２
６，２７，２８は三重化構成のプロセッサであり、同一
内容の動作を行なう。実施例１と同様に、それぞれのプ
ロセッサ２６，２７，２８は個別のクロック発生回路２
０，２１，２２からのクロック信号２３，２４，２５に
基づいて、非同期に動作する。本実施例３では、プロセ
ッサ２６が「マスタ」の機能をもち、他の２つのプロセ
ッサ２７，２８は、「チェッカ」の機能を備える。すな
わち、本実施例３では、主系はマスタデータ処理部であ
るプロセッサ２６からなり、副系はチェッカデータ処理
部であるプロセッサ２７およびプロセッサ２８からな
る。

【００４２】各プロセッサ２６，２７，２８は、それぞ
れ、入出力手段２９，３０，３１およびハンドシェーク
インタフェース５ｃ，５ｄ，５ｅを備えている。本実施
例３でも、実施例１と同様に、プロセッサの出力の同期
を、これらのハンドシェークインタフェース５ｃ，５
ｄ，５ｅによりとる。３つのプロセッサ２６，２７，２
８の出力が揃うと、それが、ハンドシェークインタフェ
ース５ｃ，５ｄ，５ｅにより、信号線３２を介して、照
合回路３３およびインタフェースタイムアウト監視回路
３５に通知される。

【００４３】インタフェースタイムアウト監視回路３５
は、実施例１と同様に、ハンドシェークインタフェース
５ｃ，５ｄ，５ｅからの出力を監視し、故障を検出する
と故障検出信号３６を出力する。また、本実施例３の照
合回路３３は、３つのプロセッサ２６〜２８の出力２９
〜３１の一致照合を行なう。出力２９〜３１の不一致を
検出すると、照合回路３３は、プロセッサの故障検出信
号３４を外部へ出力する。なお、本実施例では、照合回
路３３に、不一致の出力（出力２９〜３１のいずれか）
を無効にし、該出力を行ったプロセッサ（２６〜２８の
いずれか）の動作を停止させる手段を設けてもよい。

【００４４】本実施例３では、信号線３２は、図６に示
すように、３本の信号線３７，３８，３９からなる。な
お、図６は図５と同じ装置の図であるが、ハンドシェー
ク用信号線３２を詳細に示してある。信号線３７は、Ｓ
ＴＲＢ信号のための信号線である。信号線３８は、ＡＣ
Ｋ信号のための信号線である。信号線３９は、”ＩＡＣ
Ｋ（インバースアクノリッジ）信号”（ＡＣＫ信号３８
の論理反転出力）のための信号線である。ＳＴＲＢ信号
３７はプロセッサ２６のアドレス出力が確定したときに
アサートされる。これに対し、ＡＣＫ信号３８は、プロ
セッサ２７、プロセッサ２８のそれぞれの出力が確定し
たとき、アサートされる。本実施例３のように、３線式
ハンドシェークを用いれば、結線数を節約できる利点が
ある。

【００４５】３本の信号線３７〜３９へのプロセッサ出
力は、ワイヤードＯＲ（直接接続による論理和）が可能
なものを用いる。つまり、例えばＭＯＳデバイスを用い
るならばオープンドレイン出力であり、バイポーラデバ
イスを用いるならばオープンコレクタ出力である。そし
てこのような出力端は信号レベルを低位に駆動する能力
しか持たない。したがって、各信号線３７〜３８の高電
位レベルを保証するため、各信号線３７〜３８には、電
源電位（図６では”Ｖｃｃ”として図示）へのプルアッ
プ抵抗４０，４１，４２が接続されている。また、本実
施例３では、３つの信号線３７〜３９の信号は負論理で
ある。すなわち、高電位が論理値０、低電位が論理値１
に対応する。

【００４６】つぎに、照合の対象を実施例１と同様にア
ドレス出力であるとして、図７を用いて、図６の各構成
手段の具体的動作の詳細を説明する。図７は時間の経過
に伴う信号のレベル変化や回路の動作内容を表すタイム
チャートである。図７では、左から右へ時間が経過して
いる。図７において、２９〜３１は、それぞれプロセッ
サ２６〜２８の入出力手段２９〜３１の出力信号のレベ
ル変化を、３７は信号線３７のＳＴＲＢ信号のレベル変
化を、３８は信号線３８のＡＣＫ信号のレベル変化を、
３９は信号線３９のＩＡＣＫ信号のレベル変化を、それ
ぞれ示し、３３は照合回路３３の動作内容を、３５はイ
ンタフェースタイムアウト監視回路３５の動作内容を、
それぞれ示している。

【００４７】また、７１はプロセッサ２７のハンドシェ
ークインタフェース５ｄの出力しようとするＡＣＫ信号
３８（以下、ＡＣＫ（ｂ）信号とする）のレベル変化
を、７２はハンドシェークインタフェース５ｄの出力し
ようとするＩＡＣＫ信号３９（以下、ＩＡＣＫ（ｂ）信
号とする）のレベル変化を、７３はプロセッサ２８のハ
ンドシェークインタフェース５ｅの出力しようとするＡ
ＣＫ信号３８（以下、ＡＣＫ（ｃ）信号とする）のレベ
ル変化を、７４はハンドシェークインタフェース５ｅの
出力しようとするＩＡＣＫ信号３９（以下、ＩＡＣＫ
（ｃ）信号とする）のレベル変化を、それぞれ示す。Ａ
ＣＫ（ｂ）信号７１およびＡＣＫ（ｃ）信号７３、ＩＡ
ＣＫ（ｂ）信号７２およびＩＡＣＫ（ｃ）信号７４は、
それぞれワイヤードＯＲされているため、信号線３８，
３９における実際の信号レベルは、図７中の信号レベル
変化３８，３９に表されるものになる。すなわち、ＡＣ
Ｋ（ｂ）信号７１およびＡＣＫ（ｃ）信号７３のワイヤ
ードＯＲがＡＣＫ信号３８であり、ＩＡＣＫ（ｂ）信号
７２およびＩＡＣＫ（ｃ）信号７４のワイヤードＯＲが
ＩＡＣＫ信号３９である。

【００４８】さて、プロセッサ２６のアドレス出力２９
が確定したとき、プロセッサ２６のハンドシェークイン
タフェース５ｃはＳＴＲＢ信号（第１の出力確定通知）
３７をアサートする（時刻Ｊ）。このＳＴＲＢ信号のア
サートを受け取ったプロセッサ２７のハンドシェークイ
ンタフェース５ｄとプロセッサ２８のハンドシェークイ
ンタフェース５ｅとは、それぞれのアドレス出力３０，
３１が有効となった時点で、それぞれのＡＣＫ信号（Ａ
ＣＫ（ｂ）信号７１，ＡＣＫ（ｃ）信号７３）をアサー
トする。時刻Ｋがプロセッサｂに関するそれであり、時
刻Ｌがプロセッサ２８に関するそれである。

【００４９】このように、本実施例３では複数のプロセ
ッサからＡＣＫ信号（第３の出力確定通知）が出力され
ることになるが、全て（ここでは２つ）のＡＣＫ信号が
出そろったことは、ＩＡＣＫ信号３９のレベルが高位と
なったことから判断できる（時刻Ｌ）。なぜなら、ＩＡ
ＣＫ信号はＡＣＫ信号の論理反転出力であるから、ＩＡ
ＣＫ（ｂ）信号７２およびＩＡＣＫ（ｃ）信号７４のワ
イヤードＯＲであるＩＡＣＫ信号３９が高位になったと
いうことは、ＡＣＫ（ｂ）信号７１およびＡＣＫ（ｃ）
信号７３のいずれもアサートされたことを意味するため
である。すなわち、ＩＡＣＫ信号３９は、第３の出力確
定通知であるＡＣＫ（ｂ）信号７１およびＡＣＫ（ｃ）
信号７３の論理積（第２の出力確定通知）の論理反転出
力であると考えられるからである。

【００５０】したがって、インタフェースタイムアウト
監視回路３５は、ＳＴＲＢ信号３７がアサートされる
（時刻Ｊ）と計時を開始し、ＩＡＣＫ信号３９が高位レ
ベルになる（時刻Ｌ）前にあらかじめ定められた時間
（本実施例３では、実施例１と同様に１５０ｎ秒）が経
過すると、故障検出信号３６を出力する。

【００５１】照合回路３３は、ＩＡＣＫ信号３９が高位
レベルになると（時刻Ｌ）、出力２９から３１の一致照
合を開始し、不一致を検出すると、故障検出信号３４を
出力する。「マスタ」のプロセッサ２６のハンドシェー
クインタフェース５ｃは、ＩＡＣＫ信号３９が高位レベ
ルとなり照合および入出力に十分な時間が経ってから
（本実施例３では１０ｎ秒）、ＳＴＲＢ信号３７をネゲ
ートする（時刻Ｍ）。プロセッサ２６〜２８の入出力手
段２９〜３１は、アドレス出力２９を、時刻Ｌ以降、十
分な時間が経過するまで保持しておく（本実施例３では
１５ｎ秒）。ＳＴＲＢ信号３７がネゲートされたことを
検出すると、プロセッサ２７のシェークハンドインタフ
ェース５ｄは、ＡＣＫ（ｂ）信号をネゲートし（時刻
Ｎ）、プロセッサ２８のシェークハンドインタフェース
５ｅは、ＡＣＫ（ｃ）信号をネゲートする（時刻Ｏ）。
これで、バスサイクルは終了する。

【００５２】なお、本実施例３では、冗長プロセッサ数
を３としたが、４以上にしても、いずれか一つのプロセ
ッサを「マスタ」とし、他を「チェッカ」とすることに
より、本実施例３のような３線系のハンドシェークを用
いて、出力を照合する際の同期を図ることができる。

【００５３】（実施例４）実施例３では、「マスタ」の
役割を果たすプロセッサがあらかじめ定められていた
が、「マスタ」の役割を動的に割り当てるようにしても
よい。処理ごとに、最も速く出力を行ったプロセッサを
「マスタ」にすれば、入出力処理のさらなる高速化が可
能になる。本実施例では、図８に示すように、アービト
レーション回路（優先調停手段である調停回路）４９に
より、動的割り当てを実現する。

【００５４】図８に示した信号線４３〜４５は、それぞ
れ３つのプロセッサからのマスタ権要求信号の信号線で
あり、信号線４６〜４８は、おのおののプロセッサへの
マスタ権許可信号の信号線である。

【００５５】本実施例４では、各プロセッサのハンドシ
ェークインタフェース５ｆ，５ｇ，５ｈは、該プロセッ
サの出力信号が確定すると、それぞれ、マスタ権要求信
号を出力する。これを受けたアービトレーション回路４
９は、最も早期にマスタ権要求信号を出力したプロセッ
サに、マスタ権許可信号を通知して、マスタ権を許可す
る。マスタ権を許可されたプロセッサのみが、ＳＴＲＢ
信号（第１の出力確定通知）を出力する。

【００５６】ここで、プロセッサ２６が、最も速く出力
を行った場合を例に、本実施例の「マスタ」の割当につ
いて、説明する。プロセッサ２６における、マスタ権要
求信号のアサート(時刻Ｈ)から、マスタ権を許可されて
(時刻Ｉ)、ＳＴＲＢ信号をアサートする(時刻Ｊ)まで
の、プロセッサ２６のハンドシェークインタフェース５
ｆの授受する信号のレベル変化を、図９に示す。

【００５７】プロセッサ２６のハンドシェークインタフ
ェース５ｆは、出力が確定すると、マスタ権要求信号
（Ｒｅｑ）をアサートする。すべてのプロセッサのう
ち、プロセッサ２７，２８のいずれからもまだマスタ権
要求を受けていないアービトレーション回路４９は、プ
ロセッサ２６への信号線４６のマスタ権許可信号（Ｇｒ
ｎｔ）をアサートする(時刻Ｉ)。マスタ権許可信号４６
がアサートされたことを検出したプロセッサ２６のハン
ドシェークインタフェース５ｆは、ＳＴＲＢ信号をアサ
ートする(時刻Ｊ)。このＳＴＲＢ信号のアサート以降の
動作は、実施例３の時刻Ｊ以降の動作と同様である。

【００５８】（実施例５）つぎに、図１０は本発明を単
一バス(50)上へ適用した実施例を示す。本実施例５の情
報処理装置は、照合回路５１〜５３を、各プロセッサ２
６〜２８に対応するように備え、該競合回路５１〜５３
は、それぞれ、対応するプロセッサ２６〜２８の出力デ
ータの照合を行い、故障を検出すると、故障検出信号を
出力する。

【００５９】さらに、本実施例５の情報処理装置は、実
施例３と同様のハンドシェーク用信号線３２およびイン
タフェースタイムアウト監視回路３５と、実施例４と同
様のアービトレーション回路４９および信号線４３〜４
８（図示せず）とを備える。また、本実施例５の情報処
理装置は、単一バス５０を備え、プロセッサ２６〜２８
の出力は、アービトレーション回路４９のマスタ権許可
信号に応じて、この単一バス５０に出力される。

【００６０】このように、本実施例５では、マスタ権を
許可されたプロセッサのみがバス５０への出力を行なう
ので、システムの複数モジュールによる構成が容易にな
るという利点がある。

【００６１】

【発明の効果】以上説明したように、本発明によれば、
冗長構成プロセッサに与えるクロックは同期させる必要
はなく、動作周波数を高く設定することが容易になり、
高性能化が可能になる。また、余分な付加回路を必要と
しないため、付加回路により信頼性を低下させることも
ない。

【図面の簡単な説明】

【図１】本発明の一実施例の構成を示すブロック図であ
る。

【図２】ハンドシェークを２線式ハンドシェークで実現
した実施例１の情報処理装置の構成図である。

【図３】実施例１の情報処理装置の動作を示すタイミン
グチャートである。

【図４】照合回路およびインタフェースタイムアウト監
視回路を二重化した実施例２の情報処理装置の構成を示
すブロック図である。

【図５】プロセッサを多重化した実施例３の情報処理装
置の構成を示すブロック図である。ハンドシェークを３
線式ハンドシェークで実現した実施例３の情報処理装置
の構成図である。

【図６】ハンドシェークを３線式ハンドシェークで実現
した実施例３の情報処理装置の構成図である。

【図７】実施例３の情報処理装置の動作を示すタイミン
グチャートである。

【図８】アービトレーション回路を備える実施例４の情
報処理装置の構成を示すブロック図である。

【図９】実施例４におけるアービトレーション回路とプ
ロセッサとの間の動作を示すタイミングチャートであ
る。

【図１０】単一バスへの出力を行う実施例５の情報処理
装置の構成を示すブロック図である。

【符号の説明】

１，３，２０〜２２…クロック発生回路、２，４，２６
〜２８…プロセッサ、５ａ〜ｅ…ハンドシェークインタ
フェース、６…照合回路、７…インタフェースタイムア
ウト監視回路、８，９…クロック信号、１０，１１，２
９〜３１…入出力手段、１２，１３…故障検出信号、１
４，３７…ＳＴＲＢ信号（線）、１５，３８…ＡＣＫ信
号（線）、３９…ＩＡＣＫ信号（線）、４９…アービト
レーション回路。

───────────────────────────────────────────────────── フロントページの続き (72)発明者大辻信也茨城県日立市大みか町七丁目１番１号株式会社日立製作所日立研究所内

Claims

【特許請求の範囲】

【請求項１】入力された指示に応じたデータ処理を行
い、結果を出力するデータ処理部であって、同じ指示を
受けるデータ処理部を、各々備える主系のデータ処理系
と副系のデータ処理系とを備える情報処理装置におい
て、上記主系の備えるデータ処理部は、一のマスタデータ処
理部であり、上記主系は、上記マスタデータ処理部の、入力された指
示に応じたデータ処理の結果の出力が確定すると、第１
の出力確定通知を出力する手段とを備え、上記副系の備えるデータ処理部は、一以上のチェッカデ
ータ処理部であり、上記副系は、すべての上記チェッカデータ処理部の、上
記指示に応じたデータ処理の結果の出力の確定と、上記
第１の出力確定通知の出力のいずれか遅いときに、第２
の出力確定通知を出力する手段を備え、上記情報処理装置は、上記第２の出力確定通知を検出すると、上記主系および
副系のデータ処理部の出力を検査し、誤りを検出する
と、故障検出信号を出力する照合手段を備えることを特
徴とする情報処理装置。
【請求項２】請求項１において、前記副系は、複数の前記チェッカデータ処理部を備え、前記第２の出力確定通知を出力する手段は、上記チェッカデータ処理部の出力が確定する毎に、それ
ぞれ、第３の出力確定通知を出力する手段と、前記指示に応じたデータ処理の結果の出力に伴う、すべ
ての上記第３の出力確定通知の論理積を、第２の出力確
定通知として出力する手段とを備えることを特徴とする
情報処理装置。
【請求項３】入力された指示に応じたデータ処理を行
い、結果を出力するデータ処理部であって、同じ指示を
受けるデータ処理部を複数備える情報処理装置におい
て、上記データ処理部からの許可要求を受け付け、該要求の
うち最先に受け付けたものを出力した上記データ処理部
に許可を通知する優先調停手段を備え、上記データ処理部は、該データ処理部による入力を受け付けた指示に応じたデ
ータ処理の結果の出力が確定すると、上記出力許可要求
を上記優先調停手段に通知する手段と、上記許可の通知を受け付けると、第１の出力確定通知を
出力する手段と、他のデータ処理部による上記第１の出力確定通知の出力
を検知すると、上記指示に応じた該データ処理部による
処理結果の出力が確定したときと、該第１の出力確定通
知の出力を検知したときとの、いずれか遅い方のとき
に、第３の出力確定通知を出力する手段とを備え、上記情報処理装置は、上記指示に応じたすべての出力の内容を検査し、誤りを
検出すると、故障検出信号を出力する照合手段と、上記第３の出力確定通知を基に、上記指示に応じたすべ
ての出力が揃うと、第２の出力確定通知を上記照合手段
に通知する手段とを備え、上記照合手段は、上記第２の出力確定通知を検出する
と、上記検査を行うことを特徴とする情報処理装置。
【請求項４】前記データ処理部は３以上備えられてお
り、前記第２の出力確定通知を照合手段に通知する手段は、
前記指示に係るすべての第３の出力確定通知の論理積を
第２の出力確定通知として、前記照合手段に通知する手
段であることを特徴とする情報処理装置。
【請求項５】請求項１または３において、前記検査は、前記指示に係るすべての前記データ処理部の出力が一致
するかどうかの検査であり、上記誤りとは、出力内容の不一致であることを特徴とす
る情報処理装置。
【請求項６】請求項５において、前記データ処理部は３以上備えられており、前記照合手段は、前記データ処理部の不一致を検出すると、一致した出力
数の多い出力を有効とし、他を無効とする手段をさらに
備えることを特徴とする情報処理装置。
【請求項７】請求項１または３において、前記データ処理部は、互いに非同期に動作することを特
徴とする情報処理装置。
【請求項８】請求項１または３において、前記第１の出力確定通知を検出したのち、あらかじめ定
められた時間が経過しても、前記第２の出力確定通知を
検出しないときは、故障検出信号を出力するインタフェ
ース監視手段を、さらに備えることを特徴とする情報処
理装置。
【請求項９】入力された指示に応じたデータ処理を行
い、結果を出力するデータ処理部であって、同じ指示を
受けるデータ処理部を、各々備える主系と副系との２の
データ処理系を備える情報処理装置における該データ処
理部の故障検出方法において、上記主系および副系のデータ処理部の出力を検査する照
合手段を備え、上記主系の備えるデータ処理部は、一のマスタデータ処
理部であり、上記副系の備えるデータ処理部は、一以上のチェッカデ
ータ処理部であり、上記主系が、上記マスタデータ処理部の、入力された指
示に応じたデータ処理の結果の出力が確定すると、第１
の出力確定通知を出力するステップと、上記副系が、すべての上記チェッカデータ処理部の、上
記指示に応じたデータ処理の結果の出力の確定と、上記
第１の出力確定通知の出力のいずれか遅いときに、第２
の出力確定通知を出力するステップと上記照合手段が、
上記第２の出力確定通知を検出すると、上記検査を行
い、誤りを検出すると、故障検出信号を出力するステッ
プとを、この順に備えることを特徴とする故障検出方
法。
【請求項１０】入力された指示に応じたデータ処理を行
い、結果を出力するデータ処理部であって、同じ指示を
受けるデータ処理部を複数備える情報処理装置の、該デ
ータ処理部の故障検出方法において、上記情報処理装置は、優先調停手段と照合手段とを備
え、上記データ処理部が、該データ処理部による、入力を受
け付けた指示に応じたデータ処理の結果の出力が確定す
ると、上記出力許可要求を優先調停手段に通知する許可
要求ステップと、上記優先調停手段が、許可要求を受け付け、該要求のう
ち最先に受け付けたものを出力した上記データ処理部に
許可を通知する許可通知ステップと、上記許可の通知を受け付けるた上記データ処理部が、第
１の出力確定通知を出力する第１の出力確定通知出力ス
テップと、上記第１の出力確定通知の出力されたときと、該第１の
出力確定通知を出力した上記データ処理部の他のすべて
のデータ処理部による、上記指示に応じたデータ処理の
結果の出力が確定したときとの、いずれか遅いときに、
第２の出力確定通知を出力する第２の出力確定通知出力
ステップと、上記照合手段が、上記第２の出力確定通知を検出する
と、上記データ処理部の出力を検査し、誤りを検出する
と、故障検出信号を出力する故障検出ステップとを、こ
の順に備えることを特徴とする故障検出方法。