JPH0934809A - 高信頼化コンピュータシステム - Google Patents
高信頼化コンピュータシステムInfo
- Publication number
- JPH0934809A JPH0934809A JP7181222A JP18122295A JPH0934809A JP H0934809 A JPH0934809 A JP H0934809A JP 7181222 A JP7181222 A JP 7181222A JP 18122295 A JP18122295 A JP 18122295A JP H0934809 A JPH0934809 A JP H0934809A
- Authority
- JP
- Japan
- Prior art keywords
- central processing
- input
- processing unit
- access
- output
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
- G06F11/2053—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where persistent mass storage functionality or persistent mass storage control functionality is redundant
- G06F11/2056—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where persistent mass storage functionality or persistent mass storage control functionality is redundant by mirroring
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
- G06F11/2017—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where memory access, memory control or I/O control functionality is redundant
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
- G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
- G06F11/2046—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant where the redundant components share persistent storage
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/004—Error avoidance
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/1604—Error detection or correction of the data by redundancy in hardware where the fault affects the clock signals of a processing unit and the redundancy is at or within the level of clock signal generation hardware
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/1629—Error detection by comparing the output of redundant processing systems
- G06F11/1641—Error detection by comparing the output of redundant processing systems where the comparison is not performed by the redundant processing components
- G06F11/1645—Error detection by comparing the output of redundant processing systems where the comparison is not performed by the redundant processing components and the comparison itself uses redundant hardware
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/1629—Error detection by comparing the output of redundant processing systems
- G06F11/165—Error detection by comparing the output of redundant processing systems with continued operation after detection of the error
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/1658—Data re-synchronization of a redundant component, or initial sync of replacement, additional or spare unit
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
- G06F11/2002—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where interconnections or communication control functionality are redundant
- G06F11/2005—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where interconnections or communication control functionality are redundant using redundant communication controllers
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
- G06F11/2053—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where persistent mass storage functionality or persistent mass storage control functionality is redundant
- G06F11/2089—Redundant storage control functionality
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Quality & Reliability (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Hardware Redundancy (AREA)
- Debugging And Monitoring (AREA)
- Multi Processors (AREA)
Abstract
(57)【要約】
【目的】 ＩＯ側の障害がＣＰＵ内に波及するのを防止
し、且つ、代替えのＩＯを使用して処理の続行を可能に
する。 【構成】 ＣＰＵ１Ａと１Ｂは、通常、同一クロックに
同期して同一処理を実行する。入出力バスアダプタ（Ｉ
ＯＢＡ）２０Ａと２０Ｂには、それぞれ入出力バス３０
Ａ，３０Ｂを介し種々の入出力デバイス等が接続され
る。ＣＰＵ１Ａと１Ｂ及びＩＯＢＡ２０Ａと２０Ｂは接
続装置２を介して接続される。接続装置２は、ＤＳＢＡ
ｐ−ＡとＤＳＢＡｓ−Ｂ、ＤＳＢＡｐ−ＢとＤＳＢＡｓ
−Ａをそれぞれ組とする二重化システムバスアダプタ
（ＤＳＢＡ）で構成される。接続装置２はＣＰＵとＩＯ
ＢＡのアクセスを監視して、ＣＰＵ側で障害が発生する
と、該障害ＣＰＵを切り離し、また、ＩＯ側で障害が発
生すると、ＣＰＵの指示で障害した側の入出力バスを切
り離す。
し、且つ、代替えのＩＯを使用して処理の続行を可能に
する。 【構成】 ＣＰＵ１Ａと１Ｂは、通常、同一クロックに
同期して同一処理を実行する。入出力バスアダプタ（Ｉ
ＯＢＡ）２０Ａと２０Ｂには、それぞれ入出力バス３０
Ａ，３０Ｂを介し種々の入出力デバイス等が接続され
る。ＣＰＵ１Ａと１Ｂ及びＩＯＢＡ２０Ａと２０Ｂは接
続装置２を介して接続される。接続装置２は、ＤＳＢＡ
ｐ−ＡとＤＳＢＡｓ−Ｂ、ＤＳＢＡｐ−ＢとＤＳＢＡｓ
−Ａをそれぞれ組とする二重化システムバスアダプタ
（ＤＳＢＡ）で構成される。接続装置２はＣＰＵとＩＯ
ＢＡのアクセスを監視して、ＣＰＵ側で障害が発生する
と、該障害ＣＰＵを切り離し、また、ＩＯ側で障害が発
生すると、ＣＰＵの指示で障害した側の入出力バスを切
り離す。
Description
【０００１】
【産業上の利用分野】本発明は高信頼化コンピュータシ
ステムに係り、特に中央処理装置（ＣＰＵ）と入出力装
置との接続に関するものである。さらに、本発明は入出
力装置側のみならず、プロセッサやメモリも含めたシス
テム全体を二重化した高信頼化コンピュータ（フォール
トトレラントコンピュータ）の、入出力装置側の接続制
御に関するものである。
ステムに係り、特に中央処理装置（ＣＰＵ）と入出力装
置との接続に関するものである。さらに、本発明は入出
力装置側のみならず、プロセッサやメモリも含めたシス
テム全体を二重化した高信頼化コンピュータ（フォール
トトレラントコンピュータ）の、入出力装置側の接続制
御に関するものである。
【０００２】
【従来の技術】近年、コンピュータの利用は目覚まし
く、交通管制システムや金融システムなど社会の根幹を
占める分野をコンピュータが担うようになってきてい
る。これらのコンピュータに障害が発生し動作が停止す
ると、社会に大きな混乱を与える。従って、コンピュー
タの信頼性が益々要求されてきている。
く、交通管制システムや金融システムなど社会の根幹を
占める分野をコンピュータが担うようになってきてい
る。これらのコンピュータに障害が発生し動作が停止す
ると、社会に大きな混乱を与える。従って、コンピュー
タの信頼性が益々要求されてきている。
【０００３】このようなコンピュータに対する高信頼化
の要求は、特に電子制御（コントローラ）の分野で従来
よりあり、これに対しては、例えば特開昭５７−２０８
４７号公報に示すような多重計算機システムが提案され
ている。ここでは、複数のコンピュータで同一の演算を
行わせて、データ出力の時点でこれらを比較し、正しい
ものを出力する方式が示されている。この方式は、ソフ
トウエアで出力のタイミングを合わせて、比較すること
が前提となっており、比較的小規模な制御システムなら
ば適用可能である。しかし、大規模かつ複雑な動きをす
る近年のアプリケーションソフトウエアでは、データ比
較のために多大な工数が必要となり適用できない。この
ような問題に対処するために、近年はハードウエア主体
でデータ比較を行う高信頼化技術が種々提案されてい
る。
の要求は、特に電子制御（コントローラ）の分野で従来
よりあり、これに対しては、例えば特開昭５７−２０８
４７号公報に示すような多重計算機システムが提案され
ている。ここでは、複数のコンピュータで同一の演算を
行わせて、データ出力の時点でこれらを比較し、正しい
ものを出力する方式が示されている。この方式は、ソフ
トウエアで出力のタイミングを合わせて、比較すること
が前提となっており、比較的小規模な制御システムなら
ば適用可能である。しかし、大規模かつ複雑な動きをす
る近年のアプリケーションソフトウエアでは、データ比
較のために多大な工数が必要となり適用できない。この
ような問題に対処するために、近年はハードウエア主体
でデータ比較を行う高信頼化技術が種々提案されてい
る。
【０００４】コンピュータの高信頼化（フォールトトレ
ランス：Ｆault-tolerance）技術に関しては、例えば特
開平２−２０２６３８号公報がある。ここでは、典型的
には３個の同一のＣＰＵで同じ命令ストリームを実行
し、それらの多数決をとることを前提にしているが、多
数決に加わっているプロセッサが独立したクロックで動
作していると、プロセッサ間で同期を採るためになんら
かの工夫が必要である。特開平２−２０２６３８号は、
プロセッサ間で緩く同期を採る手段を提供するものであ
る。
ランス：Ｆault-tolerance）技術に関しては、例えば特
開平２−２０２６３８号公報がある。ここでは、典型的
には３個の同一のＣＰＵで同じ命令ストリームを実行
し、それらの多数決をとることを前提にしているが、多
数決に加わっているプロセッサが独立したクロックで動
作していると、プロセッサ間で同期を採るためになんら
かの工夫が必要である。特開平２−２０２６３８号は、
プロセッサ間で緩く同期を採る手段を提供するものであ
る。
【０００５】また、より高い処理性能のコンピュータへ
の要求に応えて、処理性能向上のために従来からマルチ
プロセッサ構成のコンピュータが広く用いられている。
マルチプロセッサ構成のコンピュータのフォールトトレ
ランス技術としては、例えば日経エレクトロニクス１９
８３年５月９日号第１９７頁から第２０２頁に記載の、
Ｐair and spare法と呼ばれる方式が知られている。こ
れは、自己診断機能のあるメモリ、プロセッサなどから
なる配線基板２枚を１組にして動作をする方式である。
即ち、片方の配線基板上の回路でフォールトが生じた場
合には、もう一方の配線基板上の回路で処理を動作を続
ける方式である。この方式によれば、フォールト発生時
でも動作が続けられるので、チェックポイントリスター
ト（chekpoint restart）と呼ばれるフォールト発生時
点以前のチェックポイントからの処理のやりなおし動作
が不要となる。
の要求に応えて、処理性能向上のために従来からマルチ
プロセッサ構成のコンピュータが広く用いられている。
マルチプロセッサ構成のコンピュータのフォールトトレ
ランス技術としては、例えば日経エレクトロニクス１９
８３年５月９日号第１９７頁から第２０２頁に記載の、
Ｐair and spare法と呼ばれる方式が知られている。こ
れは、自己診断機能のあるメモリ、プロセッサなどから
なる配線基板２枚を１組にして動作をする方式である。
即ち、片方の配線基板上の回路でフォールトが生じた場
合には、もう一方の配線基板上の回路で処理を動作を続
ける方式である。この方式によれば、フォールト発生時
でも動作が続けられるので、チェックポイントリスター
ト（chekpoint restart）と呼ばれるフォールト発生時
点以前のチェックポイントからの処理のやりなおし動作
が不要となる。
【０００６】また、他の高信頼化技術としては、特開平
１−１５４２４０号公報及び特開平１−１５４２４１号
公報に記載の二重レールプロセッサがある。ここには、
２つのプロセッサから伸びるデータパス（二重レール）
にメモリなどの共有リソースを接続して、共有リソース
の入り口で２つのデータバスからの信号を比較してエラ
ーを検出可能な基本データ処理装置を１組（２台）準備
し、そして、この１組のデータ処理装置で共有される入
出力装置には、入り口に比較によるエラー検出手段を持
つ、高信頼な計算機構成法が示されている。
１−１５４２４０号公報及び特開平１−１５４２４１号
公報に記載の二重レールプロセッサがある。ここには、
２つのプロセッサから伸びるデータパス（二重レール）
にメモリなどの共有リソースを接続して、共有リソース
の入り口で２つのデータバスからの信号を比較してエラ
ーを検出可能な基本データ処理装置を１組（２台）準備
し、そして、この１組のデータ処理装置で共有される入
出力装置には、入り口に比較によるエラー検出手段を持
つ、高信頼な計算機構成法が示されている。
【０００７】また、さらに他の高信頼化技術としては、
特開平４−２４１０３９号公報に記載のコンピュータシ
ステムがある。これは、障害時の取替え単位である各々
の配線基板上に構成されるプロセッサユニット（ＢＰ
Ｕ）自体にフォールトトレランス機能を持たせたもので
ある。ＢＰＵ内で障害が発生しても、フォールトトレラ
ンス機能により次の「切りの良い時点」（以下便宜上チ
ェックポイントと呼ぶ）まで正常動作を継続し、チェッ
クポイントで他のＢＰＵに処理を引き継ぐものである。
この場合、「切りの良い時点」（チェックポイント）は
例えばタスク切替えの時点などに設定するのが適当であ
るとする。このように、ＢＰＵ内で障害が発生しても次
のチェックポイントまで正常動作を継続させるために、
ＢＰＵを構成する各要素を多重化(冗長化)し、正常な要
素を組み合わせて動作を継続させる。パリティチェック
などにより障害検出が可能なキャッシュメモリなどは２
重化し、正常なキャッシュメモリを選択して用いる。Ｍ
ＰＵに汎用品を用いる場合はＭＰＵにチェック機能を持
たせることはできないので、ＭＰＵの出力信号を比較照
合して正常異常を判断し、正常なものを選択して用いる
ために３重化又は４重化する。
特開平４−２４１０３９号公報に記載のコンピュータシ
ステムがある。これは、障害時の取替え単位である各々
の配線基板上に構成されるプロセッサユニット（ＢＰ
Ｕ）自体にフォールトトレランス機能を持たせたもので
ある。ＢＰＵ内で障害が発生しても、フォールトトレラ
ンス機能により次の「切りの良い時点」（以下便宜上チ
ェックポイントと呼ぶ）まで正常動作を継続し、チェッ
クポイントで他のＢＰＵに処理を引き継ぐものである。
この場合、「切りの良い時点」（チェックポイント）は
例えばタスク切替えの時点などに設定するのが適当であ
るとする。このように、ＢＰＵ内で障害が発生しても次
のチェックポイントまで正常動作を継続させるために、
ＢＰＵを構成する各要素を多重化(冗長化)し、正常な要
素を組み合わせて動作を継続させる。パリティチェック
などにより障害検出が可能なキャッシュメモリなどは２
重化し、正常なキャッシュメモリを選択して用いる。Ｍ
ＰＵに汎用品を用いる場合はＭＰＵにチェック機能を持
たせることはできないので、ＭＰＵの出力信号を比較照
合して正常異常を判断し、正常なものを選択して用いる
ために３重化又は４重化する。
【０００８】このようにして、取替え単位である各々の
配線基板上に構成されるＢＰＵ自体が内部で障害が発生
しても次のチェックポイントまで処理を継続できるの
で、障害発生時のチェックポイントリスタートに備えて
チェックポイント時点の状態を保存する動作による処理
性能の低下が皆無となる。しかもペアとなるＢＰＵが不
要であるので、別々のＢＰＵ間のクロック同期のための
信号線は不要となり、クロックの高速化が可能となる。
また、取替え単位を構成するＭＰＵが同一クロックで動
作するので、ＭＰＵ間の同期のための特別な動作が不要
となり、このための処理性能の低下がない。
配線基板上に構成されるＢＰＵ自体が内部で障害が発生
しても次のチェックポイントまで処理を継続できるの
で、障害発生時のチェックポイントリスタートに備えて
チェックポイント時点の状態を保存する動作による処理
性能の低下が皆無となる。しかもペアとなるＢＰＵが不
要であるので、別々のＢＰＵ間のクロック同期のための
信号線は不要となり、クロックの高速化が可能となる。
また、取替え単位を構成するＭＰＵが同一クロックで動
作するので、ＭＰＵ間の同期のための特別な動作が不要
となり、このための処理性能の低下がない。
【０００９】以上の従来技術は、いづれもソフトウエア
実行に必要な最小限の環境であるプロセッサとメモリを
多重化し、これらの部分に障害が発生したときにはハー
ドウエアで障害部位を切り離して、プログラムの継続を
保証しようとするものである。つまりプログラムから
は、プロセッサとメモリ部分の障害が全く見えない（透
過）ことを実現するものであり、高信頼化システム構築
のための特殊なプログラミングを軽減するための重要技
術である。
実行に必要な最小限の環境であるプロセッサとメモリを
多重化し、これらの部分に障害が発生したときにはハー
ドウエアで障害部位を切り離して、プログラムの継続を
保証しようとするものである。つまりプログラムから
は、プロセッサとメモリ部分の障害が全く見えない（透
過）ことを実現するものであり、高信頼化システム構築
のための特殊なプログラミングを軽減するための重要技
術である。
【００１０】そして、入出力装置の高信頼化に関して
は、先のＰair and spare法と呼ばれる方式では、自己
診断機能のある入出力装置からなる配線基板２枚を１組
にして動作させており、片方の配線基板上の回路でフォ
ールトが生じた場合には、もう一方の配線基板上の回路
で処理を動作を続けることが可能である。この方式によ
れば、フォールト発生時でも動作が続けられるので入出
力処理においても、チェックポイントリスタート（chek
point restart）と呼ばれるフォールト発生時点以前の
チェックポイントからの処理のやりなおし動作が不要で
あるが、特別な入出力装置が必要である。
は、先のＰair and spare法と呼ばれる方式では、自己
診断機能のある入出力装置からなる配線基板２枚を１組
にして動作させており、片方の配線基板上の回路でフォ
ールトが生じた場合には、もう一方の配線基板上の回路
で処理を動作を続けることが可能である。この方式によ
れば、フォールト発生時でも動作が続けられるので入出
力処理においても、チェックポイントリスタート（chek
point restart）と呼ばれるフォールト発生時点以前の
チェックポイントからの処理のやりなおし動作が不要で
あるが、特別な入出力装置が必要である。
【００１１】また、特開平１−１５４２４０号公報及び
特開平１−１５４２４１号公報に記載の方式は、１組の
データ処理装置で共有される入出力装置には、入り口に
比較によるエラー検出手段を持ち、故障が検出された場
合には故障の特性を確認し、動作を続行できないと判断
すれば該当入出力装置をシステムから切り離し、動作を
続行できると判断すれば該当入出力装置を故障処理ルー
チンを行うことにより該当入出力装置を故障から回復さ
せていた。この方式でも特別な入出力装置が必要であ
り、入出力装置が動作を続行できないと判断された場合
には該当入出力装置をシステムから切り離され、処理が
続行できないという欠点があった。
特開平１−１５４２４１号公報に記載の方式は、１組の
データ処理装置で共有される入出力装置には、入り口に
比較によるエラー検出手段を持ち、故障が検出された場
合には故障の特性を確認し、動作を続行できないと判断
すれば該当入出力装置をシステムから切り離し、動作を
続行できると判断すれば該当入出力装置を故障処理ルー
チンを行うことにより該当入出力装置を故障から回復さ
せていた。この方式でも特別な入出力装置が必要であ
り、入出力装置が動作を続行できないと判断された場合
には該当入出力装置をシステムから切り離され、処理が
続行できないという欠点があった。
【００１２】
【発明が解決しようとする課題】上述の従来技術のもの
は、一般に流通している汎用プロセッサを用いて、その
周辺回路に特別な工夫を行って多重化したＣＰＵを実現
しており、同じ汎用プロセッサを用いた通常のデータ処
理装置やワークステーションやパーソナルコンピュータ
と比較すると、コストの増大やハードウエア・ソフトウ
エアのオーバヘッドの増大が避けられないものとなって
いる。
は、一般に流通している汎用プロセッサを用いて、その
周辺回路に特別な工夫を行って多重化したＣＰＵを実現
しており、同じ汎用プロセッサを用いた通常のデータ処
理装置やワークステーションやパーソナルコンピュータ
と比較すると、コストの増大やハードウエア・ソフトウ
エアのオーバヘッドの増大が避けられないものとなって
いる。
【００１３】特に近年、汎用プロセッサは急激に性能を
向上させており、この高速プロセッサを用いた通常のデ
ータ処理装置やワークステーションやパーソナルコンピ
ュータの開発速度は早まる一方である。このことは、同
じプロセッサを用いても特別な周辺回路を必要とする高
信頼化計算機と通常のデータ処理装置やワークステーシ
ョンやパーソナルコンピュータとの性能価格差がさらに
開いていく問題が、内在することを意味する。
向上させており、この高速プロセッサを用いた通常のデ
ータ処理装置やワークステーションやパーソナルコンピ
ュータの開発速度は早まる一方である。このことは、同
じプロセッサを用いても特別な周辺回路を必要とする高
信頼化計算機と通常のデータ処理装置やワークステーシ
ョンやパーソナルコンピュータとの性能価格差がさらに
開いていく問題が、内在することを意味する。
【００１４】具体的には、従来のＰair and spare法と
呼ばれる方式や、特開平１−１５４２４０号公報及び特
開平１−１５４２４１号公報に示される方式は、入出力
装置の高信頼化のために特別のハードウエアを開発する
必要があった。しかしながら、通常のデータ処理装置や
ワークステーションやパーソナルコンピュータで用いら
れている高速プロセッサと入出力装置をそのまま組み合
わせるだけでは、プロセッサや入出力装置の高信頼化は
図れない。特に、問題となるのは、次の点である。
呼ばれる方式や、特開平１−１５４２４０号公報及び特
開平１−１５４２４１号公報に示される方式は、入出力
装置の高信頼化のために特別のハードウエアを開発する
必要があった。しかしながら、通常のデータ処理装置や
ワークステーションやパーソナルコンピュータで用いら
れている高速プロセッサと入出力装置をそのまま組み合
わせるだけでは、プロセッサや入出力装置の高信頼化は
図れない。特に、問題となるのは、次の点である。
【００１５】（１）通常のデータ処理装置やワークステ
ーションやパーソナルコンピュータで用いられている超
高速プロセッサでは、ＩＯアクセス命令によるＩＯアク
セスはプログラムの命令実行に対し非同期に実行される
ものがあり、ＩＯアクセスで障害が発生し障害が報告さ
れた時にはプログラムは障害の発生したＩＯアクセス命
令よりもずっと先の命令を実行している。
ーションやパーソナルコンピュータで用いられている超
高速プロセッサでは、ＩＯアクセス命令によるＩＯアク
セスはプログラムの命令実行に対し非同期に実行される
ものがあり、ＩＯアクセスで障害が発生し障害が報告さ
れた時にはプログラムは障害の発生したＩＯアクセス命
令よりもずっと先の命令を実行している。
【００１６】（２）通常のデータ処理装置やワークステ
ーションやパーソナルコンピュータで用いられている入
出力装置は一般に二重化構成になっていない。そのた
め、入出力装置をデータ処理装置に２個接続し、入出力
デバイスを２個の入出力装置に接続し、片方の入出力装
置に障害が発生した場合にはデータ処理装置からの指示
により該当入出力装置を切り離し、他方の入出力装置を
使用する構成を採用できる。しかし、この場合には入出
力装置自体や入出力バスに障害が発生した場合にも、障
害の発生した入出力装置と入出力デバイスの接続を解除
する手段が必須である。
ーションやパーソナルコンピュータで用いられている入
出力装置は一般に二重化構成になっていない。そのた
め、入出力装置をデータ処理装置に２個接続し、入出力
デバイスを２個の入出力装置に接続し、片方の入出力装
置に障害が発生した場合にはデータ処理装置からの指示
により該当入出力装置を切り離し、他方の入出力装置を
使用する構成を採用できる。しかし、この場合には入出
力装置自体や入出力バスに障害が発生した場合にも、障
害の発生した入出力装置と入出力デバイスの接続を解除
する手段が必須である。
【００１７】本発明の目的は、一般に流通している汎用
プロセッサを用いて、且つ、特殊な周辺回路を大量に用
いることなく、汎用計算機と共通性が高く、汎用計算機
と共同開発可能で性能価格性の高い高信頼化コンピュー
タシステムを実現することにある。
プロセッサを用いて、且つ、特殊な周辺回路を大量に用
いることなく、汎用計算機と共通性が高く、汎用計算機
と共同開発可能で性能価格性の高い高信頼化コンピュー
タシステムを実現することにある。
【００１８】
【課題を解決するための手段】図１に、本発明にかかる
コンピュータシステムの基本構成の概念図を示す。これ
は、ＣＰＵ系とＩＯバス系をいずれも一重構成とする最
も簡単なシステム構成を示すものである。図において、
１はプロセッサやメモリ及びこれらの周辺制御回路を有
する中央処理装置（ＣＰＵ）である。２０は入出力バス
（ＩＯバス）であり、配下に入出力バスアダプタ（ＩＯ
ＢＡ）３０を介して、ディスク装置（ＤＫＵ）や回線プ
ロセッサ（ＬＰ）及びその他のデバイス、さらにＬＡＮ
等の他の回線網などが接続されている。このＣＰＵ１と
ＩＯＢＡ２０との間に、接続装置２を設置する。これが
二重システムバスアダプタ（ＤＳＢＡ；Ｄual Ｓystem
Ｂus Ａdapter）である。ただし、図１はＣＰＵ系とＩ
Ｏバス系がいずれも一重構成であるため、ＤＳＢＡは一
重接続装置として動作する。
コンピュータシステムの基本構成の概念図を示す。これ
は、ＣＰＵ系とＩＯバス系をいずれも一重構成とする最
も簡単なシステム構成を示すものである。図において、
１はプロセッサやメモリ及びこれらの周辺制御回路を有
する中央処理装置（ＣＰＵ）である。２０は入出力バス
（ＩＯバス）であり、配下に入出力バスアダプタ（ＩＯ
ＢＡ）３０を介して、ディスク装置（ＤＫＵ）や回線プ
ロセッサ（ＬＰ）及びその他のデバイス、さらにＬＡＮ
等の他の回線網などが接続されている。このＣＰＵ１と
ＩＯＢＡ２０との間に、接続装置２を設置する。これが
二重システムバスアダプタ（ＤＳＢＡ；Ｄual Ｓystem
Ｂus Ａdapter）である。ただし、図１はＣＰＵ系とＩ
Ｏバス系がいずれも一重構成であるため、ＤＳＢＡは一
重接続装置として動作する。
【００１９】ＤＳＢＡは、ＣＰＵ１からＩＯＢＡ２０へ
のアクセスを監視して、該アクセスが正常終了しない場
合にＣＰＵ１へアクセス異常を報告する。また、該ＤＳ
ＢＡは、正常終了しないアクセスがリードアクセスであ
る場合は固定パターンデータをＣＰＵ１へ返送する。Ｃ
ＰＵ１は、ＩＯリードアクセスを発行し、そのリードデ
ータが固定パターンの場合、ＩＯ側で障害が発生したと
認識する。これにより、ＣＰＵ１では、異ったデータが
入力され、そのデータを用いてＣＰＵ１がメモリ等のシ
ステムリソースを破壊するのを回避できる。
のアクセスを監視して、該アクセスが正常終了しない場
合にＣＰＵ１へアクセス異常を報告する。また、該ＤＳ
ＢＡは、正常終了しないアクセスがリードアクセスであ
る場合は固定パターンデータをＣＰＵ１へ返送する。Ｃ
ＰＵ１は、ＩＯリードアクセスを発行し、そのリードデ
ータが固定パターンの場合、ＩＯ側で障害が発生したと
認識する。これにより、ＣＰＵ１では、異ったデータが
入力され、そのデータを用いてＣＰＵ１がメモリ等のシ
ステムリソースを破壊するのを回避できる。
【００２０】図２は、ＣＰＵ系は一重構成で、ＩＯバス
系のみ二重構成（Ａ系、Ｂ系と称す）とした場合の本発
明コンピュータシステムの概念図である。図において、
ＣＰＵ１は図１の場合と同様である。２０ＡはＡ系のＩ
ＯＢＡ（ＩＯＢＡ−Ａ）で、ＩＯバス３０Ａに接続さ
れ、２０ＢはＢ系のＩＯＢＡ（ＩＯＢＡ−Ｂ）で、ＩＯ
バスバス３０Ｂに接続される。入出力デバイス（ＤＫ
Ｕ、ＬＰなど）はＡ系とＢ系の両方のＩＯバス３０Ａ、
３０Ｂに物理接続される。接続装置２はＤＳＢＡ−Ａと
ＤＳＢＡ−Ｂで構成し、ＤＳＢＡ−ＡはＩＯＢＡ２０Ａ
に、ＤＳＢＡ−ＢはＩＯＢＡ２０Ｂにそれぞれ接続す
る。ＣＰＵ１はＤＳＢＡ−ＡとＤＳＢＡ−Ｂの両方に接
続される。なお、ＤＳＢＡを一台とし、そのＩＯバスの
入出力ボートのみを２組用意して、それぞれＤＳＢＡ２
０Ａ、ＤＳＢＡ２０Ｂに接続することでもよい。
系のみ二重構成（Ａ系、Ｂ系と称す）とした場合の本発
明コンピュータシステムの概念図である。図において、
ＣＰＵ１は図１の場合と同様である。２０ＡはＡ系のＩ
ＯＢＡ（ＩＯＢＡ−Ａ）で、ＩＯバス３０Ａに接続さ
れ、２０ＢはＢ系のＩＯＢＡ（ＩＯＢＡ−Ｂ）で、ＩＯ
バスバス３０Ｂに接続される。入出力デバイス（ＤＫ
Ｕ、ＬＰなど）はＡ系とＢ系の両方のＩＯバス３０Ａ、
３０Ｂに物理接続される。接続装置２はＤＳＢＡ−Ａと
ＤＳＢＡ−Ｂで構成し、ＤＳＢＡ−ＡはＩＯＢＡ２０Ａ
に、ＤＳＢＡ−ＢはＩＯＢＡ２０Ｂにそれぞれ接続す
る。ＣＰＵ１はＤＳＢＡ−ＡとＤＳＢＡ−Ｂの両方に接
続される。なお、ＤＳＢＡを一台とし、そのＩＯバスの
入出力ボートのみを２組用意して、それぞれＤＳＢＡ２
０Ａ、ＤＳＢＡ２０Ｂに接続することでもよい。
【００２１】ＤＳＢＡ（ＤＳＢＡ−Ａ ＤＳＢＡ−Ｂ）
は、ＣＰＵ１からＩＯＢＡ２０ＡあるいはＩＯＢＡ２０
Ｂへのアクセスを監視して、当該アクセスが正常終了し
ない場合にＣＰＵ１へ当該アクセス異常を報告し、さら
に、正常終了しないアクセスがリードアクセスである場
合は固定パターンデータをＣＰＵ１へ返送する。ＣＰＵ
１は、Ａ系あるいはＢ系のＩＯリードアクセスを発行
し、そのリードデータが固定パターンの場合、該当、Ｉ
Ｏバス系で障害が発生したと認識する。Ａ系あるいはＢ
系のＩＯＢＡやＩＯバスで障害が発生した場合、ＤＳＢ
Ａは、ＣＰＵ１からの指示により、該障害の発生した側
のＩＯバスと入出力デバイスとの論理接続を切り離す。
これにより、ＣＰＵ１は、障害の発生していない側のＩ
Ｏバスを使用して、入出力デバイスでの処理を継続でき
る。
は、ＣＰＵ１からＩＯＢＡ２０ＡあるいはＩＯＢＡ２０
Ｂへのアクセスを監視して、当該アクセスが正常終了し
ない場合にＣＰＵ１へ当該アクセス異常を報告し、さら
に、正常終了しないアクセスがリードアクセスである場
合は固定パターンデータをＣＰＵ１へ返送する。ＣＰＵ
１は、Ａ系あるいはＢ系のＩＯリードアクセスを発行
し、そのリードデータが固定パターンの場合、該当、Ｉ
Ｏバス系で障害が発生したと認識する。Ａ系あるいはＢ
系のＩＯＢＡやＩＯバスで障害が発生した場合、ＤＳＢ
Ａは、ＣＰＵ１からの指示により、該障害の発生した側
のＩＯバスと入出力デバイスとの論理接続を切り離す。
これにより、ＣＰＵ１は、障害の発生していない側のＩ
Ｏバスを使用して、入出力デバイスでの処理を継続でき
る。
【００２２】図３は、ＣＰＵ系とＩＯバス系の両方を二
重化構成（Ａ系、Ｂ系と称す）とした場合の本発明コン
ピュータシステムの概念図である。図において、１Ａは
Ａ系のＣＰＵ（ＣＰＵ−Ａ）、１ＢはＢ系のＣＰＵ（Ｃ
ＰＵ−Ｂ）である。ＣＰＵ１ＡとＣＰＵ１Ｂは、通常稼
働時には同一周波数／位相のクロックに同期して同一プ
ログラムを同一順序で実行する。ＩＯバス系は図２と同
じであり、ＩＯＢＡ２０ＡとＩＯバス３０Ａの側がＡ
系、ＩＯＢＡ２０ＢとＩＯバス３０Ｂの側がＢ系を構成
している。接続装置２は、ＤＳＢＡｐ−ＡとＤＳＢＡｓ
−Ｂが第１の組のＤＳＢＡ（第１の二重化接続装置）、
ＤＳＢＡｐ−ＢとＤＳＢＡｓ−Ａが第２の組のＤＳＢＡ
（第２の二重化接続装置）を構成している。ここで、Ｄ
ＳＢＡｐ−ＡとＤＳＢＡｐ−ＢをプライマリＤＳＢＡと
称し、ＤＳＢＡｓ−ＡとＤＳＢＡｓ−ＢをセカンダリＤ
ＳＢＡと称す。
重化構成（Ａ系、Ｂ系と称す）とした場合の本発明コン
ピュータシステムの概念図である。図において、１Ａは
Ａ系のＣＰＵ（ＣＰＵ−Ａ）、１ＢはＢ系のＣＰＵ（Ｃ
ＰＵ−Ｂ）である。ＣＰＵ１ＡとＣＰＵ１Ｂは、通常稼
働時には同一周波数／位相のクロックに同期して同一プ
ログラムを同一順序で実行する。ＩＯバス系は図２と同
じであり、ＩＯＢＡ２０ＡとＩＯバス３０Ａの側がＡ
系、ＩＯＢＡ２０ＢとＩＯバス３０Ｂの側がＢ系を構成
している。接続装置２は、ＤＳＢＡｐ−ＡとＤＳＢＡｓ
−Ｂが第１の組のＤＳＢＡ（第１の二重化接続装置）、
ＤＳＢＡｐ−ＢとＤＳＢＡｓ−Ａが第２の組のＤＳＢＡ
（第２の二重化接続装置）を構成している。ここで、Ｄ
ＳＢＡｐ−ＡとＤＳＢＡｐ−ＢをプライマリＤＳＢＡと
称し、ＤＳＢＡｓ−ＡとＤＳＢＡｓ−ＢをセカンダリＤ
ＳＢＡと称す。
【００２３】プライマリＤＳＢＡｐ−ＡとセカンダリＤ
ＳＢＡｓ−Ｂは、それぞれＣＰＵ１Ａと１Ｂから同時に
Ａ系に対するＩ／Ｏアクセスを受け取るが、プライマリ
ＤＳＢＡｐ−ＡだけがそれをＩＯＢＡ２０Ａに伝える。
また、ＩＯＢＡ２０Ａからの応答はＤＳＢＡｐ−ＡとＤ
ＳＢＡｓ−Ｂの両方で受け取り、それぞれＣＰＵ１Ａと
１Ｂに伝える。同様に、プライマリＤＳＢＡｐとセカン
ダリＤＳＢＡｓ−Ａでは、それぞれＣＰＵ１Ａと１Ｂか
ら同時にＢ系に対するＩＯアクセスを受け取るが、ＤＳ
ＢＡｐ−ＢだけがそれをＩＯＢＡ２０Ｂに伝え、該ＩＯ
ＢＡ２０Ｂからの応答はＤＳＢＡｐ−Ｂ、ＤＳＢＡｓ−
Ａの両方で受け取ってそれぞれＣＰＵ１Ａと１Ｂに伝え
る。
ＳＢＡｓ−Ｂは、それぞれＣＰＵ１Ａと１Ｂから同時に
Ａ系に対するＩ／Ｏアクセスを受け取るが、プライマリ
ＤＳＢＡｐ−ＡだけがそれをＩＯＢＡ２０Ａに伝える。
また、ＩＯＢＡ２０Ａからの応答はＤＳＢＡｐ−ＡとＤ
ＳＢＡｓ−Ｂの両方で受け取り、それぞれＣＰＵ１Ａと
１Ｂに伝える。同様に、プライマリＤＳＢＡｐとセカン
ダリＤＳＢＡｓ−Ａでは、それぞれＣＰＵ１Ａと１Ｂか
ら同時にＢ系に対するＩＯアクセスを受け取るが、ＤＳ
ＢＡｐ−ＢだけがそれをＩＯＢＡ２０Ｂに伝え、該ＩＯ
ＢＡ２０Ｂからの応答はＤＳＢＡｐ−Ｂ、ＤＳＢＡｓ−
Ａの両方で受け取ってそれぞれＣＰＵ１Ａと１Ｂに伝え
る。
【００２４】これは、ＣＰＵ１Ａと１Ｂの両方が正常な
場合であるが、例えばＣＰＵ１Ａが故障した場合は、セ
カンダリＤＳＢＡｓ−Ｂが、ＣＰＵ１ＢからのＡ系に対
するＩＯアクセスをＩＯＢＡ２０Ａに伝え、該ＩＯＢＡ
２０Ａからの応答をＣＰＵ１Ｂに伝える。プライマリＤ
ＳＢＡｐ−Ｂが、ＣＰＵ１ＢからのＢ系に対するＩＯア
クセスをＩＯＢＡ２０Ｂに伝え、該ＩＯＢＡ２０Ｂから
の応答をＣＰＵ１Ｂに伝えることは、ＣＰＵ１Ａの正常
／故障にかかわらず同じである。同様にして、ＣＰＵ１
Ｂが故障した場合は、ＤＳＢＡｐ−ＡとＤＳＢＡｓ−Ａ
が正常なＣＰＵ１ＡとＡ系、Ｂ系のＩＯバス間の通信を
それぞれ受け持つ。これにより、正常なＣＰＵによって
Ａ系およびＢ系の両方のＩＯアクセスの処理を継続でき
る。
場合であるが、例えばＣＰＵ１Ａが故障した場合は、セ
カンダリＤＳＢＡｓ−Ｂが、ＣＰＵ１ＢからのＡ系に対
するＩＯアクセスをＩＯＢＡ２０Ａに伝え、該ＩＯＢＡ
２０Ａからの応答をＣＰＵ１Ｂに伝える。プライマリＤ
ＳＢＡｐ−Ｂが、ＣＰＵ１ＢからのＢ系に対するＩＯア
クセスをＩＯＢＡ２０Ｂに伝え、該ＩＯＢＡ２０Ｂから
の応答をＣＰＵ１Ｂに伝えることは、ＣＰＵ１Ａの正常
／故障にかかわらず同じである。同様にして、ＣＰＵ１
Ｂが故障した場合は、ＤＳＢＡｐ−ＡとＤＳＢＡｓ−Ａ
が正常なＣＰＵ１ＡとＡ系、Ｂ系のＩＯバス間の通信を
それぞれ受け持つ。これにより、正常なＣＰＵによって
Ａ系およびＢ系の両方のＩＯアクセスの処理を継続でき
る。
【００２５】接続装置２を構成するプライマリやセカン
ダリの各ＤＳＢＡは、図１や図２のＤＳＢＡと同様に、
ＣＰＵ１Ａあるいは１ＢからのＩＯＢＡ２０Ａあるいは
２０Ｂへのアクセスを監視して、当該アクセスが正常終
了しない場合にＣＰＵ１Ａあるいは１Ｂへ当該アクセス
異常を報告し、さらには、正常終了しないアクセスがリ
ードアクセスである場合は固定パターンデータをＣＰＵ
１Ａあるいは１Ｂへ返送する。ＣＰＵ１Ａあるいは１Ｂ
は、これによりＡ系あるいはＢ系で障害が発生したこと
を認識する。
ダリの各ＤＳＢＡは、図１や図２のＤＳＢＡと同様に、
ＣＰＵ１Ａあるいは１ＢからのＩＯＢＡ２０Ａあるいは
２０Ｂへのアクセスを監視して、当該アクセスが正常終
了しない場合にＣＰＵ１Ａあるいは１Ｂへ当該アクセス
異常を報告し、さらには、正常終了しないアクセスがリ
ードアクセスである場合は固定パターンデータをＣＰＵ
１Ａあるいは１Ｂへ返送する。ＣＰＵ１Ａあるいは１Ｂ
は、これによりＡ系あるいはＢ系で障害が発生したこと
を認識する。
【００２６】例えば、Ａ系のＩＯＢＡ２０ＡやＩＯバス
３０Ａで障害が発生した場合、ＣＰＵ１ＡがＤＳＢＡｐ
−Ａに指示し、該ＤＳＢＡｐ−ＡがＩＯバス３０Ａとそ
の入出力デバイスとの論理接続を切り離す。以後は、障
害の発生していない側のＩＯＢＡ２０ＢとＩＯバス３０
Ｂを使用して、入出力デバイスの処理を継続する。この
場合、セカンダリＤＳＢＡｓ−ＡとプライマリＤＳＢＡ
ｐ−Ｂが、それぞれＣＰＵ１Ａと１Ｂから同時にＢ系の
ＩＯアクセスを受け取るが、プライマリＤＳＢＡｐ−Ｂ
だけがそれをＩＯＢＡ２０Ｂに伝え、ＩＯＢＡ２０Ｂか
らの応答はＤＳＢＡｐ−ＢとＤＳＢＡｓ−Ａの両方で受
け取り、それぞれＣＰＵ１Ａと１Ｂに伝える。これは、
ＣＰＵ１Ａと１Ｂの両方が正常な場合と同じである。
３０Ａで障害が発生した場合、ＣＰＵ１ＡがＤＳＢＡｐ
−Ａに指示し、該ＤＳＢＡｐ−ＡがＩＯバス３０Ａとそ
の入出力デバイスとの論理接続を切り離す。以後は、障
害の発生していない側のＩＯＢＡ２０ＢとＩＯバス３０
Ｂを使用して、入出力デバイスの処理を継続する。この
場合、セカンダリＤＳＢＡｓ−ＡとプライマリＤＳＢＡ
ｐ−Ｂが、それぞれＣＰＵ１Ａと１Ｂから同時にＢ系の
ＩＯアクセスを受け取るが、プライマリＤＳＢＡｐ−Ｂ
だけがそれをＩＯＢＡ２０Ｂに伝え、ＩＯＢＡ２０Ｂか
らの応答はＤＳＢＡｐ−ＢとＤＳＢＡｓ−Ａの両方で受
け取り、それぞれＣＰＵ１Ａと１Ｂに伝える。これは、
ＣＰＵ１Ａと１Ｂの両方が正常な場合と同じである。
【００２７】図３のシステム構成は、ハードウエアの１
点故障に対する高信頼性を実現するために全てのハード
ウエアを２重化するものである。ここで、エラー検出能
力を持ち、切り離しの単位となるものをブロックと呼ぶ
ことにする。図１乃至図３に示したように、一般に３種
類のブロックに分かれるが、図３の構成では、各ブロッ
クはＡ系・Ｂ系で２重化されているので、合計６ブロッ
クある。
点故障に対する高信頼性を実現するために全てのハード
ウエアを２重化するものである。ここで、エラー検出能
力を持ち、切り離しの単位となるものをブロックと呼ぶ
ことにする。図１乃至図３に示したように、一般に３種
類のブロックに分かれるが、図３の構成では、各ブロッ
クはＡ系・Ｂ系で２重化されているので、合計６ブロッ
クある。
【００２８】図３の構成での故障に対する動作の上での
特徴的な点は、多重化されたブロックの切り離しをハー
ドウエアとソフトウエアで分担していることにある。つ
まり、ＣＰＵブロック（プロセッサ、メモリ、システム
バス、ＤＳＢＡなど）は、ハードウエアで二重化接続を
行い、ＩＯバスブロック（ＩＯＢＡ、ＩＯバス、ＩＯ
Ａ、ＬＡＮＣなど）とデバイスブロック（ＤＫＵ、Ｌ
Ｐ、ＬＡＮなど）は、ソフトウエアによって二重化接続
を行う点である。ＣＰＵブロック内で検出されるエラー
については、ハードウエアで当該ブロックの切り離しを
行い、ＩＯバスブロックおよびデバイスブロックで検出
されるエラーについては、ソフトウエアで当該ブロック
の切り離しを行って、残った正常系による処理を継続す
る。従って、入出力バスを制御するソフトウエアから見
ると、独立したアドレスを持つＡ系、Ｂ系の２つの入出
力バスが存在しており、どちらの入出力バスが正常かを
示すフラグをメモりに持って、このフラグに従って２つ
の入出力バスとデバイスを組み合わせて使う事によっ
て、ＩＯ系の１点故障に対しても連続稼働が実現でき
る。
特徴的な点は、多重化されたブロックの切り離しをハー
ドウエアとソフトウエアで分担していることにある。つ
まり、ＣＰＵブロック（プロセッサ、メモリ、システム
バス、ＤＳＢＡなど）は、ハードウエアで二重化接続を
行い、ＩＯバスブロック（ＩＯＢＡ、ＩＯバス、ＩＯ
Ａ、ＬＡＮＣなど）とデバイスブロック（ＤＫＵ、Ｌ
Ｐ、ＬＡＮなど）は、ソフトウエアによって二重化接続
を行う点である。ＣＰＵブロック内で検出されるエラー
については、ハードウエアで当該ブロックの切り離しを
行い、ＩＯバスブロックおよびデバイスブロックで検出
されるエラーについては、ソフトウエアで当該ブロック
の切り離しを行って、残った正常系による処理を継続す
る。従って、入出力バスを制御するソフトウエアから見
ると、独立したアドレスを持つＡ系、Ｂ系の２つの入出
力バスが存在しており、どちらの入出力バスが正常かを
示すフラグをメモりに持って、このフラグに従って２つ
の入出力バスとデバイスを組み合わせて使う事によっ
て、ＩＯ系の１点故障に対しても連続稼働が実現でき
る。
【００２９】
【作用】ＤＳＢＡがアクセスを監視する手段と、リード
アクセスが正常終了しない場合に固定パターンのデータ
をＣＰＵに返送する手段を具備しているため、ＣＰＵは
プログラムによりそのチエックを行うことによって、入
出力装置側に障害が発生したときにも、入出力装置側の
障害がＣＰＵに波及することを防止できる。さらに、Ｄ
ＳＢＡが入出力バス系と入出力デバイスとの論理接続を
強制的に切り離す手段を有しているため、障害の発生し
た入出力バス系を確実に切り離すことができる。また、
ＤＳＢＡをＣＰＵのような非常に高速で高度な実装技術
が要求される部分に設けるのではなく、入出力装置側と
の低速なインタフェイス部分に設けることで、システム
性能を劣化させることなく、ＣＰＵと入出力装置側を通
常のデータ処理装置やワークステーションやパーソナル
コンピュータと共通化出来る。
アクセスが正常終了しない場合に固定パターンのデータ
をＣＰＵに返送する手段を具備しているため、ＣＰＵは
プログラムによりそのチエックを行うことによって、入
出力装置側に障害が発生したときにも、入出力装置側の
障害がＣＰＵに波及することを防止できる。さらに、Ｄ
ＳＢＡが入出力バス系と入出力デバイスとの論理接続を
強制的に切り離す手段を有しているため、障害の発生し
た入出力バス系を確実に切り離すことができる。また、
ＤＳＢＡをＣＰＵのような非常に高速で高度な実装技術
が要求される部分に設けるのではなく、入出力装置側と
の低速なインタフェイス部分に設けることで、システム
性能を劣化させることなく、ＣＰＵと入出力装置側を通
常のデータ処理装置やワークステーションやパーソナル
コンピュータと共通化出来る。
【００３０】
【実施例】以下、本発明の実施例について詳述する。な
お、以下の実施例では、図１乃至図３のうちで最も複雑
である図３の完全二重化システムのケースについて示
す。図１あるいは図２のケースは、基本的に図３のケー
スの一部構成や一部機能を省略することで実現可能であ
る。
お、以下の実施例では、図１乃至図３のうちで最も複雑
である図３の完全二重化システムのケースについて示
す。図１あるいは図２のケースは、基本的に図３のケー
スの一部構成や一部機能を省略することで実現可能であ
る。
【００３１】図４は、本発明の一実施例にかかる完全二
重化構成の高信頼化コンピュータシステムの外観を示
す。図において、（ａ）は前面、（ｂ）は裏面である。
２００Ａと２００ＢはＣＰＵ−ＢＯＸであり、それぞれ
プロセッサやメモりを含んでいる。このＣＰＵ−ＢＯＸ
と並べて、それぞれＡ系とＢ系のＤＳＢＡ−ＣＡＲＤ２
０１、２０１Ｂを配置する。２０２Ａと２０２ＢはＩＯ
ＢＡ、ＩＯＡ、その他のＩＯ−ＣＡＲＤ、２０３Ａと２
０３Ｂはディスク装置である。このディスク装置は、信
頼性を向上させるために必要に応じてミラーディスク構
成を採る事が出来る。２０４Ａと２０４Ｂは電源であ
り、それぞれＡ系とＢ系に電源を供給する。２０５Ａと
２０５Ｂは冷却ファンであり、それぞれＡ系とＢ系の冷
却を行う。
重化構成の高信頼化コンピュータシステムの外観を示
す。図において、（ａ）は前面、（ｂ）は裏面である。
２００Ａと２００ＢはＣＰＵ−ＢＯＸであり、それぞれ
プロセッサやメモりを含んでいる。このＣＰＵ−ＢＯＸ
と並べて、それぞれＡ系とＢ系のＤＳＢＡ−ＣＡＲＤ２
０１、２０１Ｂを配置する。２０２Ａと２０２ＢはＩＯ
ＢＡ、ＩＯＡ、その他のＩＯ−ＣＡＲＤ、２０３Ａと２
０３Ｂはディスク装置である。このディスク装置は、信
頼性を向上させるために必要に応じてミラーディスク構
成を採る事が出来る。２０４Ａと２０４Ｂは電源であ
り、それぞれＡ系とＢ系に電源を供給する。２０５Ａと
２０５Ｂは冷却ファンであり、それぞれＡ系とＢ系の冷
却を行う。
【００３２】この様に、システムの稼働に必要なハード
ウエアを全て２重化する事によって、ハードウエアの一
点故障が発生しても、障害モジュールを切り離すことに
よって連続稼働を実現できる。また、図４の様な装置実
装を採る事によって、Ａ・Ｂ系を物理的に分離できるの
で、２重化形態が明確になり、保守作業時のヒューマン
エラーを減らし、また、バックボード清掃などの重点検
も可能となる。
ウエアを全て２重化する事によって、ハードウエアの一
点故障が発生しても、障害モジュールを切り離すことに
よって連続稼働を実現できる。また、図４の様な装置実
装を採る事によって、Ａ・Ｂ系を物理的に分離できるの
で、２重化形態が明確になり、保守作業時のヒューマン
エラーを減らし、また、バックボード清掃などの重点検
も可能となる。
【００３３】図５に、図３で示したシステム構成の概念
図のより詳細なブロック図を示す。図において、左半分
はＡ系、右半分はＢ系であるが、これらは全く同じ構成
なので、ここでは、左半分のＡ系部分を中心に説明す
る。
図のより詳細なブロック図を示す。図において、左半分
はＡ系、右半分はＢ系であるが、これらは全く同じ構成
なので、ここでは、左半分のＡ系部分を中心に説明す
る。
【００３４】中央処理装置（ＣＰＵ）１Ａはプロセッサ
３Ａ及び４Ａ、メモリ５Ａ、プロセッサメモリ制御ユニ
ット６Ａ、プロセッサ間インタフェイス制御装置７Ａ、
クロック回路８Ａ、システムバス９Ａからなる。プロセ
ッサ（ＭＰＵ）３Ａ及び４Ａは全く同一のキャッシュメ
モリを内蔵し、通常は全く同じ動作を行う。即ち、プロ
セッサ自体、ここでは二重化構成をとる。メモリ（Ｍ
Ｓ）５Ａは命令やデータを格納する。該メモリその容量
や構成は当業者周知の様々なものが有るが、いずれの場
合も本発明の実施にあたっては問題とならないので、こ
こでは詳しく述べない。プロセッサメモリ制御ユニット
（ＰＭＣＵ）６Ａは、プロセッサ３Ａ及び４Ａとメモリ
５Ａとシステムバス９Ａを接続し、主にプロセッサ３Ａ
または４Ａからのアクセスをメモリ５Ａやシステムバス
９Ａに伝えたり、システムバス９Ａからのアクセスをメ
モリ５Ａに伝えたりする。さらに、プロセッサ３Ａと４
Ａの出力信号５００と５０１を比較して、２つのプロセ
ッサの出力不一致を調べてプロセッサ内の故障を検出す
る。プロセッサ間インタフェイス制御装置（ＰＸＩ）７
Ａは、ＣＰＵ１ＡとＣＰＵ１Ｂ間で信号線（ＰＸＩバ
ス）５７を介して、ＣＰＵ状態などの情報を受け渡すた
めの制御を行う。クロック回路（ＣＬＫ）８Ａは発振器
を有し、信号線５５を介してＢ系のクロック回路８Ｂと
協調して、同一周波数／位相のクロックをＡ全体にクロ
ックタイミング信号を供給する。また、クロック回路８
Ａは発振器の停止検出回路を有している。
３Ａ及び４Ａ、メモリ５Ａ、プロセッサメモリ制御ユニ
ット６Ａ、プロセッサ間インタフェイス制御装置７Ａ、
クロック回路８Ａ、システムバス９Ａからなる。プロセ
ッサ（ＭＰＵ）３Ａ及び４Ａは全く同一のキャッシュメ
モリを内蔵し、通常は全く同じ動作を行う。即ち、プロ
セッサ自体、ここでは二重化構成をとる。メモリ（Ｍ
Ｓ）５Ａは命令やデータを格納する。該メモリその容量
や構成は当業者周知の様々なものが有るが、いずれの場
合も本発明の実施にあたっては問題とならないので、こ
こでは詳しく述べない。プロセッサメモリ制御ユニット
（ＰＭＣＵ）６Ａは、プロセッサ３Ａ及び４Ａとメモリ
５Ａとシステムバス９Ａを接続し、主にプロセッサ３Ａ
または４Ａからのアクセスをメモリ５Ａやシステムバス
９Ａに伝えたり、システムバス９Ａからのアクセスをメ
モリ５Ａに伝えたりする。さらに、プロセッサ３Ａと４
Ａの出力信号５００と５０１を比較して、２つのプロセ
ッサの出力不一致を調べてプロセッサ内の故障を検出す
る。プロセッサ間インタフェイス制御装置（ＰＸＩ）７
Ａは、ＣＰＵ１ＡとＣＰＵ１Ｂ間で信号線（ＰＸＩバ
ス）５７を介して、ＣＰＵ状態などの情報を受け渡すた
めの制御を行う。クロック回路（ＣＬＫ）８Ａは発振器
を有し、信号線５５を介してＢ系のクロック回路８Ｂと
協調して、同一周波数／位相のクロックをＡ全体にクロ
ックタイミング信号を供給する。また、クロック回路８
Ａは発振器の停止検出回路を有している。
【００３５】接続装置２は、Ａ系とＢ系のＣＰＵとＩＯ
ＢＡを接続するＤＳ(Ｄual Ｓystem）バスを制御する多
重システムバスアダプタ（ＤＳＢＡ）である。本実施例
では、接続装置２は４組のＤＳＢＡで構成されており、
それぞれＤＳＢＡｐ１１ＡとＤＳＢＡｓ１１Ｂ、ＤＳＢ
Ａｓ１２ＡとＤＳＢＡｐ１２Ｂ、ＤＳＢＡｐ１３ＡとＤ
ＳＢＡｓ１３Ｂ、ＤＳＢＡｓ１４ＡとＤＳＢＡｐ１４Ｂ
が組となっている。ここで、ＤＳＢＡｐ１１ＡとＤＳＢ
Ａｓ１１Ｂの組がＡ系のＩＯバスに接続され、ＤＳＢＡ
ｐ１２とＤＳＢＡｓ１２Ａの組がＢ系のＩＯバスに接続
される。他の組についても同様である。各組の動作は同
じなので、ここでは、ＤＳＢＡｐＡ１１ＡとＤＳＢＡｓ
１１Ｂの組について説明する。ＤＳＢＡｐ１１Ａはプラ
イマリＤＳＢＡと定義され、ＤＳＢＡｓ１１Ｂはセカン
ダリＤＳＢＡと定義される。図３で説明したように、プ
ライマリＤＳＢＡとセカンダリＤＳＢＡは、それぞれＣ
ＰＵ１ＡとＣＰＵ１Ｂから同時にＩＯバスアクセスを受
けるが、通常はプライマリＤＳＢＡだけが、ＩＯバスに
対してそのＣＰＵアクセスを伝える。そして、ＤＳバス
からのアクセスは、プライマリＤＳＢＡとセカンダリＤ
ＳＢＡが同時に受けて、それぞれＣＰＵ１ＡとＣＰＵ１
Ｂに同じタイミングで伝える。１６は、ＤＳバスのＡ系
側１５ＡとＢ系側１５Ｂの接続／分離を行うバススイッ
チであり、遅延ディレイの少ないＣ−ＭＯＳプロセスで
製造されたＭＯＳスイッチが好ましい。バススイッチ１
６は通常ではオンラインとしておくが、これを切ること
により、Ａ系とＢ系間が論理的にも電気的にも分離でき
るので、オンライン動作状態での部品交換がやりやすく
なる。なお、このバススイッチ１６のオン／オフはマニ
アル、コマンドのいずれも可能とする。１７ＡＡと１７
ＡＢは入出力バスと入出力デバイスを論理的に切り離す
ための信号線である。
ＢＡを接続するＤＳ(Ｄual Ｓystem）バスを制御する多
重システムバスアダプタ（ＤＳＢＡ）である。本実施例
では、接続装置２は４組のＤＳＢＡで構成されており、
それぞれＤＳＢＡｐ１１ＡとＤＳＢＡｓ１１Ｂ、ＤＳＢ
Ａｓ１２ＡとＤＳＢＡｐ１２Ｂ、ＤＳＢＡｐ１３ＡとＤ
ＳＢＡｓ１３Ｂ、ＤＳＢＡｓ１４ＡとＤＳＢＡｐ１４Ｂ
が組となっている。ここで、ＤＳＢＡｐ１１ＡとＤＳＢ
Ａｓ１１Ｂの組がＡ系のＩＯバスに接続され、ＤＳＢＡ
ｐ１２とＤＳＢＡｓ１２Ａの組がＢ系のＩＯバスに接続
される。他の組についても同様である。各組の動作は同
じなので、ここでは、ＤＳＢＡｐＡ１１ＡとＤＳＢＡｓ
１１Ｂの組について説明する。ＤＳＢＡｐ１１Ａはプラ
イマリＤＳＢＡと定義され、ＤＳＢＡｓ１１Ｂはセカン
ダリＤＳＢＡと定義される。図３で説明したように、プ
ライマリＤＳＢＡとセカンダリＤＳＢＡは、それぞれＣ
ＰＵ１ＡとＣＰＵ１Ｂから同時にＩＯバスアクセスを受
けるが、通常はプライマリＤＳＢＡだけが、ＩＯバスに
対してそのＣＰＵアクセスを伝える。そして、ＤＳバス
からのアクセスは、プライマリＤＳＢＡとセカンダリＤ
ＳＢＡが同時に受けて、それぞれＣＰＵ１ＡとＣＰＵ１
Ｂに同じタイミングで伝える。１６は、ＤＳバスのＡ系
側１５ＡとＢ系側１５Ｂの接続／分離を行うバススイッ
チであり、遅延ディレイの少ないＣ−ＭＯＳプロセスで
製造されたＭＯＳスイッチが好ましい。バススイッチ１
６は通常ではオンラインとしておくが、これを切ること
により、Ａ系とＢ系間が論理的にも電気的にも分離でき
るので、オンライン動作状態での部品交換がやりやすく
なる。なお、このバススイッチ１６のオン／オフはマニ
アル、コマンドのいずれも可能とする。１７ＡＡと１７
ＡＢは入出力バスと入出力デバイスを論理的に切り離す
ための信号線である。
【００３６】２０Ａと２１Ａは、ＤＳバスのＡ系側と入
出力バスを接続する入出力バスアダプタ（ＩＯＢＡ）で
ある。本実施例では、ＩＯＢＡ２０Ａには入出力バス
（ＩＯバス）３０Ａが接続され、該ＩＯバス３０Ａに、
それぞれ入出力アダプタ（ＩＯＡ）３１Ａ、３５Ａを介
して、ＳＣＳＩ（Ｓmall Ｃomputer Ｓystem Ｉnerfac
e）バスに代表される標準的な入出力装置バス３２Ａ、
３３Ａ、３６Ａ、３７Ａが接続され、これら入出力装置
バスにディスク装置３４Ａ、３４Ｂ、ラインプロセッサ
（ＬＰ）３８Ａ、３８Ｂが接続されている。ディスク装
置３４Ａと３４Ｂは、例えばソフトウエアでミラーディ
スク構成を採用することができるが、他の高信頼なディ
スク構成採用することでもよい。ラインプロセッサ（Ｌ
Ｐ）３８Ａ、３８Ｂには所謂ラインコントローラ（Ｌ
Ｃ）を介して一般通信回線が接続される。さらに、ＩＯ
バス３０Ａには、イーサネット（Ｅthernet）やＦＤＤ
Ｉに代表されるローカルエリアネットワーク（ＬＡＮ）
を接続するローカルエリアネットワーク制御装置（ＬＡ
ＮＣ）が接続される。なお、これらのディスク装置、ラ
インプロセッサ、ＬＡＮは、同様にＢ系のＩＯバス３０
Ｂにも接続されている。
出力バスを接続する入出力バスアダプタ（ＩＯＢＡ）で
ある。本実施例では、ＩＯＢＡ２０Ａには入出力バス
（ＩＯバス）３０Ａが接続され、該ＩＯバス３０Ａに、
それぞれ入出力アダプタ（ＩＯＡ）３１Ａ、３５Ａを介
して、ＳＣＳＩ（Ｓmall Ｃomputer Ｓystem Ｉnerfac
e）バスに代表される標準的な入出力装置バス３２Ａ、
３３Ａ、３６Ａ、３７Ａが接続され、これら入出力装置
バスにディスク装置３４Ａ、３４Ｂ、ラインプロセッサ
（ＬＰ）３８Ａ、３８Ｂが接続されている。ディスク装
置３４Ａと３４Ｂは、例えばソフトウエアでミラーディ
スク構成を採用することができるが、他の高信頼なディ
スク構成採用することでもよい。ラインプロセッサ（Ｌ
Ｐ）３８Ａ、３８Ｂには所謂ラインコントローラ（Ｌ
Ｃ）を介して一般通信回線が接続される。さらに、ＩＯ
バス３０Ａには、イーサネット（Ｅthernet）やＦＤＤ
Ｉに代表されるローカルエリアネットワーク（ＬＡＮ）
を接続するローカルエリアネットワーク制御装置（ＬＡ
ＮＣ）が接続される。なお、これらのディスク装置、ラ
インプロセッサ、ＬＡＮは、同様にＢ系のＩＯバス３０
Ｂにも接続されている。
【００３７】本実施例で注意すべきことは、ソフトウエ
アからは、ＩＯＢＡ２０Ａと２０Ｂは異なったアドレス
を持ったＩＯバスプロックと認識され、また、入出力装
置が、ソフトウエアからはそれぞれ異なった入出力装置
と認識されることである。従って、ソフトウエアの設定
だけで様々なグレードを持った高信頼計算機システムが
実現できる。例えば、図５では全ての入出力バスと入出
力装置を２重化した例を示しているが、システム上で重
要性の少ない入出力装置を１重化することによって、シ
ステムのコストを下げるなど、柔軟な対応が可能とな
る。あるいは、非常に重要なデータを格納したディスク
等を４重化するなどの対応も可能となる。
アからは、ＩＯＢＡ２０Ａと２０Ｂは異なったアドレス
を持ったＩＯバスプロックと認識され、また、入出力装
置が、ソフトウエアからはそれぞれ異なった入出力装置
と認識されることである。従って、ソフトウエアの設定
だけで様々なグレードを持った高信頼計算機システムが
実現できる。例えば、図５では全ての入出力バスと入出
力装置を２重化した例を示しているが、システム上で重
要性の少ない入出力装置を１重化することによって、シ
ステムのコストを下げるなど、柔軟な対応が可能とな
る。あるいは、非常に重要なデータを格納したディスク
等を４重化するなどの対応も可能となる。
【００３８】以下に、図５の実施例における主要部分の
具体的構成例を示す。 〈プロセッサメモリ制御ユニット（ＰＭＣＵ）〉図６に
ＰＭＣＵの具体的ブロック図を示す。ＰＭＣＵ６Ａと６
Ｂは全く同じ構成であるので、ここではＣＰＵ１Ａ側の
ＰＭＣＵ６Ａを取り上げて説明する。ＰＭＣＵ６Ａは、
大きくプロセッサインタフェイスユニット（ＰＩＵ）４
０、メモリインタフェイスユニット（ＭＩＵ）４１、シ
ステムバスインタフェイスユニット（ＳＢＩＵ）４２及
びプロセッサ出力比較器４４にわかれる。
具体的構成例を示す。 〈プロセッサメモリ制御ユニット（ＰＭＣＵ）〉図６に
ＰＭＣＵの具体的ブロック図を示す。ＰＭＣＵ６Ａと６
Ｂは全く同じ構成であるので、ここではＣＰＵ１Ａ側の
ＰＭＣＵ６Ａを取り上げて説明する。ＰＭＣＵ６Ａは、
大きくプロセッサインタフェイスユニット（ＰＩＵ）４
０、メモリインタフェイスユニット（ＭＩＵ）４１、シ
ステムバスインタフェイスユニット（ＳＢＩＵ）４２及
びプロセッサ出力比較器４４にわかれる。
【００３９】ＰＩＵ４０は、プロセッサ３Ａと４Ａとの
インタフェイスユニット（ＰＩＵ）であり、プロセッサ
の外部アクセスがメモリアクセスのときは、マスタプロ
セッサ（３Ａとする）からのメモリアドレスやデータを
信号線５００を介して受信バッファ４７に取り込み、プ
ロセッサの外部アクセスが入出力バスへのアクセス（Ｐ
ＩＯアクセス）のときは、メモリアドレスやデータを受
信バッファ４６に格納する。一方、スレーブプロセッサ
（４Ａとする）からのメモリアドレスやデータは、信号
線５０１介して該ＰＭＣＵ６Ａに取り込まれるが、受信
バッファ４６や４７には格納されない。マスタ及びスレ
ーブプロセッサ３Ａ、４Ａからのアドレスやデータや制
御信号は、マスタプロセッサ３Ａが書き込みアクセスを
出力したとき、プロセッサ出力比較器４４で比較され
る。そして値が不一致の時、マスタ・フレーブエラー信
号４００がアサートされる。また、このＰＩＵ４０の動
作中に検出されるパリティエラーや制御回路のエラーな
どは、信号線４０１を介して論理和素子４３に伝えられ
る。
インタフェイスユニット（ＰＩＵ）であり、プロセッサ
の外部アクセスがメモリアクセスのときは、マスタプロ
セッサ（３Ａとする）からのメモリアドレスやデータを
信号線５００を介して受信バッファ４７に取り込み、プ
ロセッサの外部アクセスが入出力バスへのアクセス（Ｐ
ＩＯアクセス）のときは、メモリアドレスやデータを受
信バッファ４６に格納する。一方、スレーブプロセッサ
（４Ａとする）からのメモリアドレスやデータは、信号
線５０１介して該ＰＭＣＵ６Ａに取り込まれるが、受信
バッファ４６や４７には格納されない。マスタ及びスレ
ーブプロセッサ３Ａ、４Ａからのアドレスやデータや制
御信号は、マスタプロセッサ３Ａが書き込みアクセスを
出力したとき、プロセッサ出力比較器４４で比較され
る。そして値が不一致の時、マスタ・フレーブエラー信
号４００がアサートされる。また、このＰＩＵ４０の動
作中に検出されるパリティエラーや制御回路のエラーな
どは、信号線４０１を介して論理和素子４３に伝えられ
る。
【００４０】ＭＩＵ４１は、ＰＩＵ４０からのメモリア
クセスと後述のＳＢＩＵ４２からのＤＭＡアクセスをセ
レクタ５０６で受け、信号線５０３を介してメモリ５Ａ
をアクセスし、応答をそれぞれＰＩＵ４０あるいはＳＢ
ＩＵに返す。ＭＩＵ４１がＰＩＵ４０から受けるアクセ
スは、メモリリードとメモリライトである。メモリリー
ドのときには、受信バッファ４７に格納されたリードア
ドレスがセレクタ５０６を介して、メモリ５Ａに伝えら
れる。そして、メモリ５Ａから読み出されたデータは、
セレクタ５０５を介して、送信バッファ４８に格納さ
れ、マスタ・スレーブプロセッサ３Ａと４Ａに返され
る。メモリライトのときには、受信バッファ４７に格納
されたリードアドレスとライトデータがセレクタ５０６
を介して、メモリ５Ａに書き込まれる。ＭＩＵ４１がＳ
ＢＩＵ４２から受けるアクセスは、ＤＭＡリードとＤＭ
Ａライトである。ＤＭＡリードのときには、受信バッフ
ァ５０に格納されたリードアドレスがセレクタ５０６を
介して、メモリ５Ａに伝えられる。そして、メモリ５Ａ
から読み出されたデータは、送信バッファ４９に格納さ
れ、システムバス９Ａを介して入出力バス側に返され
る。ＤＭＡライトのときには、受信バッファ５０に格納
されたリードアドレスとライトデータがセレクタ５０６
を介して、メモリ５Ａに書き込まれる。セレクタ５０６
の制御方法は、ここでは示していないが、ＳＢＩＵ４２
側を優先することが望ましい。このＭＩＵ４１の動作中
に検出されるパリティエラーや制御回路のエラーなど
は、信号線４０２を介して論理和素子４３に伝えられ
る。ＭＳアクセスモニタ４５は、メモリコピー（詳細は
後述）の時に正常系のＭＩＵが行うメモリへのリード・
ライトアクセスを監視して、必要に応じてアドレスとデ
ータを取り込むものである。この取り込んだアドレスと
データは、信号線５０４を介してメモリコピーアクセス
としてシステムバス９４Ａに出力されて、組みとなって
いるＤＳＢＡを経由して、他系のメモリに書き込まれ
る。
クセスと後述のＳＢＩＵ４２からのＤＭＡアクセスをセ
レクタ５０６で受け、信号線５０３を介してメモリ５Ａ
をアクセスし、応答をそれぞれＰＩＵ４０あるいはＳＢ
ＩＵに返す。ＭＩＵ４１がＰＩＵ４０から受けるアクセ
スは、メモリリードとメモリライトである。メモリリー
ドのときには、受信バッファ４７に格納されたリードア
ドレスがセレクタ５０６を介して、メモリ５Ａに伝えら
れる。そして、メモリ５Ａから読み出されたデータは、
セレクタ５０５を介して、送信バッファ４８に格納さ
れ、マスタ・スレーブプロセッサ３Ａと４Ａに返され
る。メモリライトのときには、受信バッファ４７に格納
されたリードアドレスとライトデータがセレクタ５０６
を介して、メモリ５Ａに書き込まれる。ＭＩＵ４１がＳ
ＢＩＵ４２から受けるアクセスは、ＤＭＡリードとＤＭ
Ａライトである。ＤＭＡリードのときには、受信バッフ
ァ５０に格納されたリードアドレスがセレクタ５０６を
介して、メモリ５Ａに伝えられる。そして、メモリ５Ａ
から読み出されたデータは、送信バッファ４９に格納さ
れ、システムバス９Ａを介して入出力バス側に返され
る。ＤＭＡライトのときには、受信バッファ５０に格納
されたリードアドレスとライトデータがセレクタ５０６
を介して、メモリ５Ａに書き込まれる。セレクタ５０６
の制御方法は、ここでは示していないが、ＳＢＩＵ４２
側を優先することが望ましい。このＭＩＵ４１の動作中
に検出されるパリティエラーや制御回路のエラーなど
は、信号線４０２を介して論理和素子４３に伝えられ
る。ＭＳアクセスモニタ４５は、メモリコピー（詳細は
後述）の時に正常系のＭＩＵが行うメモリへのリード・
ライトアクセスを監視して、必要に応じてアドレスとデ
ータを取り込むものである。この取り込んだアドレスと
データは、信号線５０４を介してメモリコピーアクセス
としてシステムバス９４Ａに出力されて、組みとなって
いるＤＳＢＡを経由して、他系のメモリに書き込まれ
る。
【００４１】ＳＢＩＵ４２は、システムバス９Ａからの
ＤＭＡアクセスとＰＩＵ４７からのＰＩＯアクセスを処
理する。ＰＩＵ４０からのＰＩＯリードアクセスのとき
は、システムバス権を獲得後、受信バッファ４６に格納
されたアドレスをセレクタ５０を介してシステムバス９
Ａに出力する。そして、入出力デバイスなどからのリー
ドデータは、セレクタ５０５を介して、送信バッファ４
８に格納され、マスタ・スレーブプロセッサ３Ａと４Ａ
に返される。ＰＩＵ４０からのＰＩＯライトのときに
は、同様にシステムバス権を獲得後、受信バッファ４６
に格納されたリードアドレスとライトデータをセレクタ
５０７を介してシステムバス９Ａに出力する。システム
バス９ＡからのＤＭＡリード・ライトアクセスのときの
動作は、ＭＩＵ４１で述べた通りである。このＳＢＩＵ
４２の動作中にパリティエラーや制御回路のエラーなど
が検出されたときは、信号線４０３を介して、論理和素
子４３に伝えられる。
ＤＭＡアクセスとＰＩＵ４７からのＰＩＯアクセスを処
理する。ＰＩＵ４０からのＰＩＯリードアクセスのとき
は、システムバス権を獲得後、受信バッファ４６に格納
されたアドレスをセレクタ５０を介してシステムバス９
Ａに出力する。そして、入出力デバイスなどからのリー
ドデータは、セレクタ５０５を介して、送信バッファ４
８に格納され、マスタ・スレーブプロセッサ３Ａと４Ａ
に返される。ＰＩＵ４０からのＰＩＯライトのときに
は、同様にシステムバス権を獲得後、受信バッファ４６
に格納されたリードアドレスとライトデータをセレクタ
５０７を介してシステムバス９Ａに出力する。システム
バス９ＡからのＤＭＡリード・ライトアクセスのときの
動作は、ＭＩＵ４１で述べた通りである。このＳＢＩＵ
４２の動作中にパリティエラーや制御回路のエラーなど
が検出されたときは、信号線４０３を介して、論理和素
子４３に伝えられる。
【００４２】論理和素子４３は、当該ＰＭＣＵ６４の動
作中に何等かのエラーが検出されると、即ち、信号線４
００〜４０３のいずれか一つでも“１”となると、信号
線（ＰＭＣＵ−ＥＲＲ）９５Ａをアサートして、プロセ
ッサ間インタフェイス制御装置（ＰＸＩ）７Ａに伝え
る。
作中に何等かのエラーが検出されると、即ち、信号線４
００〜４０３のいずれか一つでも“１”となると、信号
線（ＰＭＣＵ−ＥＲＲ）９５Ａをアサートして、プロセ
ッサ間インタフェイス制御装置（ＰＸＩ）７Ａに伝え
る。
【００４３】〈クロック回路（ＣＬＫ）〉図７に両ＣＰ
Ｕ１Ａと１Ｂクロック回路８Ａ、８Ｂの内部構成例と接
続関係を示す。クロック回路自体は８Ａと８Ｂとも同じ
なので、ここでは８Ａについて説明する。５０Ａは水晶
発信器を内蔵する当業者周知のオシレータ（ＯＳＣ）で
あり、１０ＭＨｚなどの比較的低い周波数のクロック５
０１Ａを出力する。ＯＳＣ５０Ａの周波数を低く設定す
ることによって、図４に示したようなＡ系とＢ系のＣＰ
Ｕの間が数１０センチメートル離れる実装を行っても、
安定したクロックを両方の系に供給できる。５１Ａは、
自系のＯＳＣ５０Ａからのクロックと他系のＯＳＣ５０
Ｂからのクロックを選択するセレクタ（ＳＥＬ）であ
る。５２Ａは、フェーズロックループ回路（ＰＬＬ）で
あり、ＳＥＬ５１Ａで選択されたクロックと位相の合っ
たｎ倍周波数のクロック５４Ａを生成して、プロセッサ
や周辺回路に必要な高周波数クロックを供給する。５３
Ａは、両ＯＳＣ５０Ａ、５０Ｂの停止検出回路であり、
クロ粘ク５０１Ａあるいは５０１Ｂの発信停止を検出す
ると、制御信号５６Ａによって、セレクタ５１Ａが正常
なＯＳＣの出力を選択するように制御する。ＯＳＣ５０
Ａと５０Ｂは、最初に電源の入った方をクロックマスタ
とするマスタ・スレーブ動作を行う。例えば、Ａ系が先
に立ち上がったとすれば、ＯＳＣ５０Ａがクロックマス
タとなり、セレクタ５１Ａと５１Ｂは、いづれもクロッ
ク５０１Ａを選択する。そして、ＯＳＣ５０Ａが停止し
たときには、これを停止検出回路５１Ａと５１Ｂでそれ
ぞれ検出して、セレクタ５１Ａ、５１Ｂがクロック５０
１Ｂを選択するように動作する。この切替動作を、ＰＬ
Ｌ引き込み時間よりも小さい、例えば３００ｎｓ程度の
短い時間で行うことにより、クロックが切り替わって
も、両方のＰＬＬ５２Ａ、５２Ｂの出力は途切れること
なくプロセッサや周辺回路にクロックを供給できる。
Ｕ１Ａと１Ｂクロック回路８Ａ、８Ｂの内部構成例と接
続関係を示す。クロック回路自体は８Ａと８Ｂとも同じ
なので、ここでは８Ａについて説明する。５０Ａは水晶
発信器を内蔵する当業者周知のオシレータ（ＯＳＣ）で
あり、１０ＭＨｚなどの比較的低い周波数のクロック５
０１Ａを出力する。ＯＳＣ５０Ａの周波数を低く設定す
ることによって、図４に示したようなＡ系とＢ系のＣＰ
Ｕの間が数１０センチメートル離れる実装を行っても、
安定したクロックを両方の系に供給できる。５１Ａは、
自系のＯＳＣ５０Ａからのクロックと他系のＯＳＣ５０
Ｂからのクロックを選択するセレクタ（ＳＥＬ）であ
る。５２Ａは、フェーズロックループ回路（ＰＬＬ）で
あり、ＳＥＬ５１Ａで選択されたクロックと位相の合っ
たｎ倍周波数のクロック５４Ａを生成して、プロセッサ
や周辺回路に必要な高周波数クロックを供給する。５３
Ａは、両ＯＳＣ５０Ａ、５０Ｂの停止検出回路であり、
クロ粘ク５０１Ａあるいは５０１Ｂの発信停止を検出す
ると、制御信号５６Ａによって、セレクタ５１Ａが正常
なＯＳＣの出力を選択するように制御する。ＯＳＣ５０
Ａと５０Ｂは、最初に電源の入った方をクロックマスタ
とするマスタ・スレーブ動作を行う。例えば、Ａ系が先
に立ち上がったとすれば、ＯＳＣ５０Ａがクロックマス
タとなり、セレクタ５１Ａと５１Ｂは、いづれもクロッ
ク５０１Ａを選択する。そして、ＯＳＣ５０Ａが停止し
たときには、これを停止検出回路５１Ａと５１Ｂでそれ
ぞれ検出して、セレクタ５１Ａ、５１Ｂがクロック５０
１Ｂを選択するように動作する。この切替動作を、ＰＬ
Ｌ引き込み時間よりも小さい、例えば３００ｎｓ程度の
短い時間で行うことにより、クロックが切り替わって
も、両方のＰＬＬ５２Ａ、５２Ｂの出力は途切れること
なくプロセッサや周辺回路にクロックを供給できる。
【００４４】〈多重システムバスアダプタ（ＤＳＢ
Ａ）〉図８乃至図１４を用いて、２つのＣＰＵと１つの
入出力バスを接続する接続装置すなわち多重システムバ
スアダプタ（ＤＳＢＡ）を説明する。
Ａ）〉図８乃至図１４を用いて、２つのＣＰＵと１つの
入出力バスを接続する接続装置すなわち多重システムバ
スアダプタ（ＤＳＢＡ）を説明する。
【００４５】図８に、ＤＳＢＡによる２重化システムバ
ス（ＤＳバス）制御まわりに焦点を当てた構成を示す。
ここでは、図５の実施例においてＣＰＵ１Ａ、１ＢとＡ
系の入出力バス３０Ａの接続に関す与するＤＳＢＡｐ１
１ＡとＤＳＢＡｓ１１Ｂの組について説明するが、他の
ＤＳＢＡの組の場合も同じである。ＤＳＢＡｐ１１Ａは
プライマリＤＳＢＡと定義され、ＤＳＢＡｓ１１Ｂはセ
カンダリＤＳＢＡと定義される。２つのＤＳＢＡp11Ａ
とＤＳＢＡｓ１１Ｂは、それぞれＣＰＵ１Ａと１Ｂから
同時にＩＯＤＳバスアクセスを受けるが、ＤＳＢＡｐ１
１Ａだけが、ＤＳＢＡ２０Ａに対してそのＣＰＵアクセ
スを伝える。そして、ＤＳＢＡ２０Ａからのアクセス
は、ＤＳバスを介してＤＳＢＡｐ１１ＡとＤＳＢＡｓ１
１Ｂが同時に受けて、それぞれのＣＰＵ１ＡとＣＰＵ１
Ｂに同じタイミングで伝える。つまり、ＤＳＢＡは、Ｃ
ＰＵからのアクセスに対してはセレクタを形成し、ＩＯ
バスからのアクセス（応答）に対してはディストリビュ
ータの役割をする。
ス（ＤＳバス）制御まわりに焦点を当てた構成を示す。
ここでは、図５の実施例においてＣＰＵ１Ａ、１ＢとＡ
系の入出力バス３０Ａの接続に関す与するＤＳＢＡｐ１
１ＡとＤＳＢＡｓ１１Ｂの組について説明するが、他の
ＤＳＢＡの組の場合も同じである。ＤＳＢＡｐ１１Ａは
プライマリＤＳＢＡと定義され、ＤＳＢＡｓ１１Ｂはセ
カンダリＤＳＢＡと定義される。２つのＤＳＢＡp11Ａ
とＤＳＢＡｓ１１Ｂは、それぞれＣＰＵ１Ａと１Ｂから
同時にＩＯＤＳバスアクセスを受けるが、ＤＳＢＡｐ１
１Ａだけが、ＤＳＢＡ２０Ａに対してそのＣＰＵアクセ
スを伝える。そして、ＤＳＢＡ２０Ａからのアクセス
は、ＤＳバスを介してＤＳＢＡｐ１１ＡとＤＳＢＡｓ１
１Ｂが同時に受けて、それぞれのＣＰＵ１ＡとＣＰＵ１
Ｂに同じタイミングで伝える。つまり、ＤＳＢＡは、Ｃ
ＰＵからのアクセスに対してはセレクタを形成し、ＩＯ
バスからのアクセス（応答）に対してはディストリビュ
ータの役割をする。
【００４６】ところで、ＣＰＵ１ＡとＣＰＵ１Ｂは、正
常時には同じ動作をしているが、何等かの障害が発生す
ると同期がずれてくる。この同期ずれは、２つのＣＰＵ
が１つのＤＳバス１５Ａにアクセスするときに顕在化す
る。ＤＳＢＡｐ１１ＡとＤＳＢＡｓ１１Ｂは、この同期
ずれをＤＳＢＡ間インタフェイス６０を介して検出し、
片系障害時に障害系ＣＰＵブロックを切り離すタイミン
グを生成する。図９に、ＤＳＢＡ間インタフェイス６０
の信号の一例を示す。６１Ａと６１Ｂは、それぞれＣＰ
Ｕ１Ａと１Ｂからのシステムバス使用許可信号であり、
６２Ａと６３Ｂは、それぞれＤＳＢＡが生成するシステ
ムバス要求信号である。６３Ａと６３Ｂは、それぞれの
ＤＳＢＡ内でエラーを検出したことを示すエラー信号で
ある。次の図１０のＤＳＢＡの具体的構成例では、ＤＳ
ＢＡ間インタフェイス６０にパリティビットなどのエラ
ー検出符号を付加していないが、図９に示すように、必
要に応じて付加できることは明かである。
常時には同じ動作をしているが、何等かの障害が発生す
ると同期がずれてくる。この同期ずれは、２つのＣＰＵ
が１つのＤＳバス１５Ａにアクセスするときに顕在化す
る。ＤＳＢＡｐ１１ＡとＤＳＢＡｓ１１Ｂは、この同期
ずれをＤＳＢＡ間インタフェイス６０を介して検出し、
片系障害時に障害系ＣＰＵブロックを切り離すタイミン
グを生成する。図９に、ＤＳＢＡ間インタフェイス６０
の信号の一例を示す。６１Ａと６１Ｂは、それぞれＣＰ
Ｕ１Ａと１Ｂからのシステムバス使用許可信号であり、
６２Ａと６３Ｂは、それぞれＤＳＢＡが生成するシステ
ムバス要求信号である。６３Ａと６３Ｂは、それぞれの
ＤＳＢＡ内でエラーを検出したことを示すエラー信号で
ある。次の図１０のＤＳＢＡの具体的構成例では、ＤＳ
ＢＡ間インタフェイス６０にパリティビットなどのエラ
ー検出符号を付加していないが、図９に示すように、必
要に応じて付加できることは明かである。
【００４７】図１０に、ＤＳＢＡｐ１１Ａの内部構成例
を示す。ＤＳＢＡはプライマリかセカンダリによって動
作は異なるが、全て同じハードウエアで実現できるの
で、ここでは、Ａ系ＣＰＵ１Ａに接続されるプライマリ
ＤＳＢＡｐ１１Ａを例に説明する。
を示す。ＤＳＢＡはプライマリかセカンダリによって動
作は異なるが、全て同じハードウエアで実現できるの
で、ここでは、Ａ系ＣＰＵ１Ａに接続されるプライマリ
ＤＳＢＡｐ１１Ａを例に説明する。
【００４８】システムバス９Ａの信号は、データ／アド
レス信号７５１とリード／ライトなどの制御信号７５２
を含んでいる。同様にＤＳバス１５Ａの信号は、データ
／アドレス信号７５３と制御信号７５４を含んでいる。
受信バッファ７３はシステムバス９Ａからのアドレスや
データを格納するバッファ、送信バッファ７４はＤＳバ
ス１５Ａからのアドレスやデータを格納するバッファで
ある。ＤＳＢＡが処理するアクセスは、ＣＰＵから入出
力装置へのアクセス（ＰＩＯリードアクセスとＰＩＯラ
イトアクセス）、入出力装置側からメモリへのアクセス
（ＤＭＡリードアクセスとＤＭＡライトアクセス）であ
る。ＰＩＯリードアクセスの時は、信号線７５１上のリ
ードアドレスを受信バッファ７３に格納し、このアドレ
スをＤＳバス１５Ａに送出する。そして、入出力装置側
から読み出されたデータは、送信バッファ７４に一旦格
納された後、信号線７５１を介してＣＰＵに伝えられ
る。ＰＩＯライトアクセスの時には、信号線７５１上の
ライトアドレスとライトデータを受信バッファ７３に格
納し、これをＤＳバス１５Ａに送出する。そして、この
データは、アドレスで示される入出力装置に書き込まれ
る。一方、ＤＭＡリードアクセスの時は、信号線７５３
上のリードアドレスを送信バッファ７４に格納し、この
アドレスを用いてメモリ（ＭＳ）をアクセスする。そし
て、メモリから読み出されたデータは、受信バッファ７
３に一旦格納された後、ＤＳバス９Ａに送出する。ＰＭ
ＣＵは、を介してＤＭＡアクセス元に返される。ＤＭＡ
ライトアクセスの時には、信号線７５３上のライトアド
レスとライトデータを送信バッファ７４に格納し、シス
テムバス９Ａに送出する。ＰＭＣＵは、このアドレスを
用いてデータをメモリに書き込む。
レス信号７５１とリード／ライトなどの制御信号７５２
を含んでいる。同様にＤＳバス１５Ａの信号は、データ
／アドレス信号７５３と制御信号７５４を含んでいる。
受信バッファ７３はシステムバス９Ａからのアドレスや
データを格納するバッファ、送信バッファ７４はＤＳバ
ス１５Ａからのアドレスやデータを格納するバッファで
ある。ＤＳＢＡが処理するアクセスは、ＣＰＵから入出
力装置へのアクセス（ＰＩＯリードアクセスとＰＩＯラ
イトアクセス）、入出力装置側からメモリへのアクセス
（ＤＭＡリードアクセスとＤＭＡライトアクセス）であ
る。ＰＩＯリードアクセスの時は、信号線７５１上のリ
ードアドレスを受信バッファ７３に格納し、このアドレ
スをＤＳバス１５Ａに送出する。そして、入出力装置側
から読み出されたデータは、送信バッファ７４に一旦格
納された後、信号線７５１を介してＣＰＵに伝えられ
る。ＰＩＯライトアクセスの時には、信号線７５１上の
ライトアドレスとライトデータを受信バッファ７３に格
納し、これをＤＳバス１５Ａに送出する。そして、この
データは、アドレスで示される入出力装置に書き込まれ
る。一方、ＤＭＡリードアクセスの時は、信号線７５３
上のリードアドレスを送信バッファ７４に格納し、この
アドレスを用いてメモリ（ＭＳ）をアクセスする。そし
て、メモリから読み出されたデータは、受信バッファ７
３に一旦格納された後、ＤＳバス９Ａに送出する。ＰＭ
ＣＵは、を介してＤＭＡアクセス元に返される。ＤＭＡ
ライトアクセスの時には、信号線７５３上のライトアド
レスとライトデータを送信バッファ７４に格納し、シス
テムバス９Ａに送出する。ＰＭＣＵは、このアドレスを
用いてデータをメモリに書き込む。
【００４９】送受信制御部７１は、制御信号７５２、７
５４を取り込み、バッファ７３、７４を管理して、シス
テムバス９ＡあるいはＤＳバス１５Ａへのアドレスやデ
ータの送出を制御する部分である。この送受制御部７１
は、ＤＳバス１５Ａ上のアクセスを監視し、アクセスが
正常終了しない場合には割り込みトランザクションのデ
ータパターン７７をシステムバス９Ａに送出することに
より、ＣＰＵ１Ａにアクセス異常を報告する。また、そ
の正常終了しないアクセスがリードアクセスである場合
には、割り込みトランザクションのデータパターン７７
をシステムバス９Ａに送出したうえで、固定パターンの
データ７８をシステムバス９Ａに送出することにより、
ＣＰＵ１Ａにリターンデータとして返送する。ＣＰＵ１
Ａ内のプロセッサ上で動作するプログラムは、ＩＯアク
セス命令の正常終了を確認すべき場合にはＩＯリードア
クセスを発行し、リードデータが固定パターンと一致す
るか否かを比較することにより障害の発生を認識でき、
かつ、誤データが入力されて、そのデータを用いて命令
実行する事による両系メモリをプログラムにより破壊す
ることを回避できる。ちなみに、このＤＳバス１５Ａ上
のアクセスの監視は、ＤＳバスのパリティエラー等のア
クセス時に即座に発生するもののみならず、ＰＩＯリー
ドのタイムアウト検出等も含む。特にＰＩＯリードのタ
イムアウト検出を行うことは重要である。なぜなら、入
出力装置等の故障によるＩＯアクセスの異常終了に対
し、ＤＳＢＡにて固定パターンのデータ７８をＣＰＵ１
Ａにリターンデータとして返送することにより、システ
ムダウンを防止しているからである。 ＩＯ空間畳込み
回路７６は、受信バッファ７３に格納されたＰＩＯアク
セスのアドレスを当該ＤＳＢＡ配下の入出力アダプタあ
るいは入出力装置内のアドレスに変換する回路である。
フラグ７７１は、ＩＯ空間畳込み回路７６の出力を有効
とするかの選択を指示するフラグであり、ＤＳＢＡ内の
制御レジスタの一つとして、該ＤＳＢＡと対になるＤＳ
ＢＡが故障したときにソフトウエアによって設定され
る。
５４を取り込み、バッファ７３、７４を管理して、シス
テムバス９ＡあるいはＤＳバス１５Ａへのアドレスやデ
ータの送出を制御する部分である。この送受制御部７１
は、ＤＳバス１５Ａ上のアクセスを監視し、アクセスが
正常終了しない場合には割り込みトランザクションのデ
ータパターン７７をシステムバス９Ａに送出することに
より、ＣＰＵ１Ａにアクセス異常を報告する。また、そ
の正常終了しないアクセスがリードアクセスである場合
には、割り込みトランザクションのデータパターン７７
をシステムバス９Ａに送出したうえで、固定パターンの
データ７８をシステムバス９Ａに送出することにより、
ＣＰＵ１Ａにリターンデータとして返送する。ＣＰＵ１
Ａ内のプロセッサ上で動作するプログラムは、ＩＯアク
セス命令の正常終了を確認すべき場合にはＩＯリードア
クセスを発行し、リードデータが固定パターンと一致す
るか否かを比較することにより障害の発生を認識でき、
かつ、誤データが入力されて、そのデータを用いて命令
実行する事による両系メモリをプログラムにより破壊す
ることを回避できる。ちなみに、このＤＳバス１５Ａ上
のアクセスの監視は、ＤＳバスのパリティエラー等のア
クセス時に即座に発生するもののみならず、ＰＩＯリー
ドのタイムアウト検出等も含む。特にＰＩＯリードのタ
イムアウト検出を行うことは重要である。なぜなら、入
出力装置等の故障によるＩＯアクセスの異常終了に対
し、ＤＳＢＡにて固定パターンのデータ７８をＣＰＵ１
Ａにリターンデータとして返送することにより、システ
ムダウンを防止しているからである。 ＩＯ空間畳込み
回路７６は、受信バッファ７３に格納されたＰＩＯアク
セスのアドレスを当該ＤＳＢＡ配下の入出力アダプタあ
るいは入出力装置内のアドレスに変換する回路である。
フラグ７７１は、ＩＯ空間畳込み回路７６の出力を有効
とするかの選択を指示するフラグであり、ＤＳＢＡ内の
制御レジスタの一つとして、該ＤＳＢＡと対になるＤＳ
ＢＡが故障したときにソフトウエアによって設定され
る。
【００５０】本実施例に於ては、２重化された入出力装
置の制御をすべてソフトウエアで行う場合を中心に説明
しているが、上記ＩＯ空間畳込み回路７６を用いること
によって、入出力装置を切り替えてもソフトウエア（た
とえばデバイスドライバなど）に対してのアドレスをか
えずに済むため、２重化制御の負担を減らすことが可能
になる。
置の制御をすべてソフトウエアで行う場合を中心に説明
しているが、上記ＩＯ空間畳込み回路７６を用いること
によって、入出力装置を切り替えてもソフトウエア（た
とえばデバイスドライバなど）に対してのアドレスをか
えずに済むため、２重化制御の負担を減らすことが可能
になる。
【００５１】コマンド解析／実行回路７９は、ＤＳＢＡ
のレジスタ空間へのＰＩＯライトとして、ＣＰＵからＤ
ＳＢＡへ指示されるコマンドを解析し、実行する回路で
ある。当該ＤＳＢＡｐ１１Ａの場合には、ＣＰＵ１Ａか
ら入出力アダプタ３１Ａ、３５Ａ、３９Ａと入出力デバ
イスとの論理接続を切り離す指示コマンドを受領する
と、コマンド解析／実行回路７９は入出力アダプタ３１
Ａ、３５Ａ、３９Ａに対し、切離し信号線１７ＡＡをオ
ンにする。ＤＳＢＡｓ１１Ｂの場合にも、ＣＰＵ１Ｂか
ら入出力アダプタ３１Ａ、３５Ａ、３９Ａと入出力デバ
イスとの論理接続を切り離す指示コマンドを受領する
と、切離し信号線１７ＡＢをオンにし、これを切離し信
号線１７ＡＡに伝える。また、図５において、ＤＳＢＡ
ｓ１２Ａの場合には、ＣＰＵ１Ａから入出力アダプタ３
１Ｂ、３５Ｂ、３９Ｂと入出力デバイスとの論理接続を
切り離す指示コマンドを受領すると、切離し信号線１７
ＢＡをオンにし、これを切離し信号線１７ＢＢに伝え、
入出力装置３１Ｂ、３５Ｂ、３９Ｂを切り離す。ＤＳＢ
Ａｐ１２Ｂの場合には、ＣＰＵＢから入出力アダプタ３
１Ｂ、３５Ｂ、３９Ｂと入出力デバイスとの論理接続を
切り離す指示コマンドを受領すると、入出力アダプタ３
１Ｂ、３５Ｂ、３９Ｂに対し、切離し信号線１７ＢＢを
オンにする。この切離し制御指示のコマンドとその切離
し信号線は、各入出力アダプタ毎に個別であることが望
ましいが、入出力装置３１Ａ、３５Ａ、３９Ａ、および
入出力アダプタ３１Ｂ、３５Ｂ、３９Ｂに対し、グルー
ピングされていてもかまわない。
のレジスタ空間へのＰＩＯライトとして、ＣＰＵからＤ
ＳＢＡへ指示されるコマンドを解析し、実行する回路で
ある。当該ＤＳＢＡｐ１１Ａの場合には、ＣＰＵ１Ａか
ら入出力アダプタ３１Ａ、３５Ａ、３９Ａと入出力デバ
イスとの論理接続を切り離す指示コマンドを受領する
と、コマンド解析／実行回路７９は入出力アダプタ３１
Ａ、３５Ａ、３９Ａに対し、切離し信号線１７ＡＡをオ
ンにする。ＤＳＢＡｓ１１Ｂの場合にも、ＣＰＵ１Ｂか
ら入出力アダプタ３１Ａ、３５Ａ、３９Ａと入出力デバ
イスとの論理接続を切り離す指示コマンドを受領する
と、切離し信号線１７ＡＢをオンにし、これを切離し信
号線１７ＡＡに伝える。また、図５において、ＤＳＢＡ
ｓ１２Ａの場合には、ＣＰＵ１Ａから入出力アダプタ３
１Ｂ、３５Ｂ、３９Ｂと入出力デバイスとの論理接続を
切り離す指示コマンドを受領すると、切離し信号線１７
ＢＡをオンにし、これを切離し信号線１７ＢＢに伝え、
入出力装置３１Ｂ、３５Ｂ、３９Ｂを切り離す。ＤＳＢ
Ａｐ１２Ｂの場合には、ＣＰＵＢから入出力アダプタ３
１Ｂ、３５Ｂ、３９Ｂと入出力デバイスとの論理接続を
切り離す指示コマンドを受領すると、入出力アダプタ３
１Ｂ、３５Ｂ、３９Ｂに対し、切離し信号線１７ＢＢを
オンにする。この切離し制御指示のコマンドとその切離
し信号線は、各入出力アダプタ毎に個別であることが望
ましいが、入出力装置３１Ａ、３５Ａ、３９Ａ、および
入出力アダプタ３１Ｂ、３５Ｂ、３９Ｂに対し、グルー
ピングされていてもかまわない。
【００５２】なお、図５に示すように、切離し信号線１
７ＡＡ、１７ＢＢは、入出力バス信号線（１５Ａ、１５
Ｂ、３０Ａ、３０Ｂ等）とは別線であり、入出力アダプ
タ側も該切離し信号線のオンにより強制的に入出力デバ
イスとの論理接続を切り離す回路を含むことにより、入
出力バスや入出力アダプタに障害が発生した場合、確実
に入出力デバイスとの論理接続を切り離すことが可能と
なり、この故障の発生した入出力装置とペアの入出力ア
ダプタと入出力デバイスを確実に接続することにより、
入出力デバイスでの処理を確実に継続できる。
７ＡＡ、１７ＢＢは、入出力バス信号線（１５Ａ、１５
Ｂ、３０Ａ、３０Ｂ等）とは別線であり、入出力アダプ
タ側も該切離し信号線のオンにより強制的に入出力デバ
イスとの論理接続を切り離す回路を含むことにより、入
出力バスや入出力アダプタに障害が発生した場合、確実
に入出力デバイスとの論理接続を切り離すことが可能と
なり、この故障の発生した入出力装置とペアの入出力ア
ダプタと入出力デバイスを確実に接続することにより、
入出力デバイスでの処理を確実に継続できる。
【００５３】この切離し制御は、特にＦＤＤＩのＬＡＮ
に接続しているＬＡＮＣには重要である。ＬＡＮＣの故
障時には、故障したＬＡＮＣを切り離し、ペアのＬＡＮ
Ｃを故障したＬＡＮＣと同一のＭＡＣアドレスでＦＤＤ
Ｉに加入させる。これはＭＡＣアドレスを引き継ぐこと
により、通信相手からＬＡＮＣの故障による切り替えを
意識させないためである。しかし、ＦＤＤＩにはＭＡＣ
アドレスの重複チェック機構があるため、故障したＬＡ
ＮＣをＦＤＤＩから離脱させないと、切り替えたＬＡＮ
ＣのＦＤＤＩへの加入が成功しない。そのため、ＬＡＮ
Ｃは切離し信号線による指示を契機にＬＡＮＣ全体をリ
セットし、光信号の送出を停止することにより、ＦＤＤ
Ｉから離脱する。この動作例については後述する。
に接続しているＬＡＮＣには重要である。ＬＡＮＣの故
障時には、故障したＬＡＮＣを切り離し、ペアのＬＡＮ
Ｃを故障したＬＡＮＣと同一のＭＡＣアドレスでＦＤＤ
Ｉに加入させる。これはＭＡＣアドレスを引き継ぐこと
により、通信相手からＬＡＮＣの故障による切り替えを
意識させないためである。しかし、ＦＤＤＩにはＭＡＣ
アドレスの重複チェック機構があるため、故障したＬＡ
ＮＣをＦＤＤＩから離脱させないと、切り替えたＬＡＮ
ＣのＦＤＤＩへの加入が成功しない。そのため、ＬＡＮ
Ｃは切離し信号線による指示を契機にＬＡＮＣ全体をリ
セットし、光信号の送出を停止することにより、ＦＤＤ
Ｉから離脱する。この動作例については後述する。
【００５４】また、ディスク装置用の入出力アダプタ、
回線制御装置用の入出力アダプタに関する切離し制御で
は、切離し信号線による指示を契機に当該入出力アダプ
タ（ＩＯＡ）をリセットすることにより、それ以降、障
害の発生したＩＯＡから入出力デバイスへのアクセスを
停止させて、別系に切り替えたＩＯＡからの入出力デバ
イスへのアクセスが妨害されことを防止する。なお、入
出力デバイスによっては、この切離し信号線による指示
を契機にＩＯＡをリセットするとともに、それに接続さ
れる入出力デバイスをもリセットした方が好ましいもの
もある。これは、各系で切離し信号線を複数本用意し、
入出力デバイスに対してもリセットするか否かをプログ
ラムにより指示できるようにすることで可能である。
回線制御装置用の入出力アダプタに関する切離し制御で
は、切離し信号線による指示を契機に当該入出力アダプ
タ（ＩＯＡ）をリセットすることにより、それ以降、障
害の発生したＩＯＡから入出力デバイスへのアクセスを
停止させて、別系に切り替えたＩＯＡからの入出力デバ
イスへのアクセスが妨害されことを防止する。なお、入
出力デバイスによっては、この切離し信号線による指示
を契機にＩＯＡをリセットするとともに、それに接続さ
れる入出力デバイスをもリセットした方が好ましいもの
もある。これは、各系で切離し信号線を複数本用意し、
入出力デバイスに対してもリセットするか否かをプログ
ラムにより指示できるようにすることで可能である。
【００５５】パリティチエック（ＰＣ）７５５と７５６
は、それぞれ信号線７５１と７５３上のアドレス／デー
タをパリティチェックし、エラーを検出すると、パリテ
ィエラーとして論理和素子７６に伝える。送受信制御部
７１も、エラーを検出すると、それを論理和素子７６に
伝える。ＤＳＢＡ内で何等かのエラーが検出されると、
論理和素子７６の出力として、ＤＳＢＡＥＲＲＯＲ６３
Ａが自系と他系の切離し要求生成部７２に伝えられる。
切離し要求生成部７２は、これらＤＳＢＡ内あるいはＤ
ＳＢＡ間でエラーを検出したときに、故障ＣＰＵブロッ
クの切離し要求信号（ＤＩＳＣＯＮＲＥＱ）６４Ａを生
成して、他系のＰＸＩ（ＰＸＩ７Ｂ）に伝える。
は、それぞれ信号線７５１と７５３上のアドレス／デー
タをパリティチェックし、エラーを検出すると、パリテ
ィエラーとして論理和素子７６に伝える。送受信制御部
７１も、エラーを検出すると、それを論理和素子７６に
伝える。ＤＳＢＡ内で何等かのエラーが検出されると、
論理和素子７６の出力として、ＤＳＢＡＥＲＲＯＲ６３
Ａが自系と他系の切離し要求生成部７２に伝えられる。
切離し要求生成部７２は、これらＤＳＢＡ内あるいはＤ
ＳＢＡ間でエラーを検出したときに、故障ＣＰＵブロッ
クの切離し要求信号（ＤＩＳＣＯＮＲＥＱ）６４Ａを生
成して、他系のＰＸＩ（ＰＸＩ７Ｂ）に伝える。
【００５６】出力ゲート制御回路７５は、ＤＳバス１５
Ａへの出力ゲートの制御を行う回路である。図１１に出
力ゲート制御回路７５の詳細を示す。通常の出力ゲート
制御は、送受信制御部７１からＤＳバス１５Ａへの送信
信号（ｓｅｎｄ）が出されたときに出力ゲートを開けれ
ば良い。しかし、本実施例では、ＤＳＢＡを多重システ
ムバスアダプタとして動作させるために、図１１に示す
構成を採る。図１１において、８１、８２は論理積素子
であり、８３０、８３１、８３２は否定論理素子であ
る。信号線８４は、送受信制御部７１からＤＳバス１５
Ａへの送信信号（ｓｅｎｄ）であり、信号線６５は、自
系ＣＰＵブロックが切り離されていることを示すＤＩＳ
ＣＯＮ信号である。信号線６６は、他系ＣＰＵブロック
が切り離されていることを示すＤＩＳＣＯＮ信号であ
る。信号線６７は、セカンダリＤＳＢＡであることを示
す信号である。２つのＣＰＵが正常に動作しているとき
には、プライマリ・セカンダリ両方のＤＳＢＡは同じ様
にｓｅｎｄ信号８４をアサートとするが、プライマリ
（即ち信号線６７がネゲートされている）ＤＳＢＡだけ
が論理積素子８１で信号線８５をイネーブルし、出力ゲ
ートが開いて、アドレス／データ等ＤＳバスにを送出で
きる。また、自系ＣＰＵブロックが障害を起こして、切
り離される（信号線６５がアサート）時には、信号線６
５によって信号線８５がネゲートされるので、自系の出
力ゲートは一切開かず、これによって自系ＣＰＵブロッ
クがＤＳバスからの切離しを実現する。また、他系が障
害を起こして、切り離される（信号線６６がアサート）
時には、セカンダリＤＳＢＡであってもｓｅｎｄ信号８
４に従って信号線８５がアサートし、アドレス／データ
等をＤＳバス等に送出できる。
Ａへの出力ゲートの制御を行う回路である。図１１に出
力ゲート制御回路７５の詳細を示す。通常の出力ゲート
制御は、送受信制御部７１からＤＳバス１５Ａへの送信
信号（ｓｅｎｄ）が出されたときに出力ゲートを開けれ
ば良い。しかし、本実施例では、ＤＳＢＡを多重システ
ムバスアダプタとして動作させるために、図１１に示す
構成を採る。図１１において、８１、８２は論理積素子
であり、８３０、８３１、８３２は否定論理素子であ
る。信号線８４は、送受信制御部７１からＤＳバス１５
Ａへの送信信号（ｓｅｎｄ）であり、信号線６５は、自
系ＣＰＵブロックが切り離されていることを示すＤＩＳ
ＣＯＮ信号である。信号線６６は、他系ＣＰＵブロック
が切り離されていることを示すＤＩＳＣＯＮ信号であ
る。信号線６７は、セカンダリＤＳＢＡであることを示
す信号である。２つのＣＰＵが正常に動作しているとき
には、プライマリ・セカンダリ両方のＤＳＢＡは同じ様
にｓｅｎｄ信号８４をアサートとするが、プライマリ
（即ち信号線６７がネゲートされている）ＤＳＢＡだけ
が論理積素子８１で信号線８５をイネーブルし、出力ゲ
ートが開いて、アドレス／データ等ＤＳバスにを送出で
きる。また、自系ＣＰＵブロックが障害を起こして、切
り離される（信号線６５がアサート）時には、信号線６
５によって信号線８５がネゲートされるので、自系の出
力ゲートは一切開かず、これによって自系ＣＰＵブロッ
クがＤＳバスからの切離しを実現する。また、他系が障
害を起こして、切り離される（信号線６６がアサート）
時には、セカンダリＤＳＢＡであってもｓｅｎｄ信号８
４に従って信号線８５がアサートし、アドレス／データ
等をＤＳバス等に送出できる。
【００５７】図１２に切離し要求生成部７２の構成例を
示す。９００−１〜９００−４は論理積素子、９０１は
論理和素子、９０２は排他的論理和素子、９０３は否定
論理素子である。９０は１０マイクロ秒のタイマであ
る。タイマ９０は、自／他系ＰＭＣＵからのシステムバ
ス使用許可信号９１Ａ（６１Ａ）と９１Ｂ（６１Ｂ）の
不一致が排他的論理和素子９０２で検出されて信号９１
０がアサートされるか、あるいは自系ＰＭＣＵでエラー
が検出されてＰＭＣＵＥＲＲ信号９５Ａがアサートされ
ると、カウントを開始し、他系のＣＰＵブロックを切り
離すＸＤＩＳＣＯＮ信号６６がアサートされると、カウ
ントを停止してクリアするが、１０マイクロ秒経過する
と、タイムアウト信号９６をアサートする。論理積素子
９００ー１は、他系エラーを検出する回路である。即
ち、信号６３ＡのＮＯＴ信号と信号６３Ｂを入力して、
自系がエラーでなく他系がエラーの時に、他系のエラー
信号９９をアサートする。これによって、論理和素子９
０１から他系ＣＰＵブロックの切離し要求信号９４Ａ
（６４Ａ）がアサートされる。論理積素子９００ー２、
９００−３は、それぞれ同期ずれを検出する回路であ
る。即ち、自系／他系のシステムバス要求信号９２Ａ
（６２Ａ）、９２Ｂ（６２Ｂ）やシステムバス使用許可
信号９１Ａ（６１Ａ）、９１Ｂ（６１Ｂ）について、他
系の信号をアサートしない場合に故障と見なして、他系
の同期ずれエラー信号９１１や９８をアサートする。こ
のうち、システムバス使用許可信号に着目する同期ずれ
エラー信号９８については、ＣＰＵが別の原因で既に同
期ずれを起こしている可能性があるので、すぐに切り離
し要求信号９４Ａ（６４Ａ）をだすのは危険である。そ
こで、要因が判明するまでしばらくの間、論理積素子９
００−４により、タイマ９０の出力９６で同期ずれエラ
ー信号９８をマスクする。
示す。９００−１〜９００−４は論理積素子、９０１は
論理和素子、９０２は排他的論理和素子、９０３は否定
論理素子である。９０は１０マイクロ秒のタイマであ
る。タイマ９０は、自／他系ＰＭＣＵからのシステムバ
ス使用許可信号９１Ａ（６１Ａ）と９１Ｂ（６１Ｂ）の
不一致が排他的論理和素子９０２で検出されて信号９１
０がアサートされるか、あるいは自系ＰＭＣＵでエラー
が検出されてＰＭＣＵＥＲＲ信号９５Ａがアサートされ
ると、カウントを開始し、他系のＣＰＵブロックを切り
離すＸＤＩＳＣＯＮ信号６６がアサートされると、カウ
ントを停止してクリアするが、１０マイクロ秒経過する
と、タイムアウト信号９６をアサートする。論理積素子
９００ー１は、他系エラーを検出する回路である。即
ち、信号６３ＡのＮＯＴ信号と信号６３Ｂを入力して、
自系がエラーでなく他系がエラーの時に、他系のエラー
信号９９をアサートする。これによって、論理和素子９
０１から他系ＣＰＵブロックの切離し要求信号９４Ａ
（６４Ａ）がアサートされる。論理積素子９００ー２、
９００−３は、それぞれ同期ずれを検出する回路であ
る。即ち、自系／他系のシステムバス要求信号９２Ａ
（６２Ａ）、９２Ｂ（６２Ｂ）やシステムバス使用許可
信号９１Ａ（６１Ａ）、９１Ｂ（６１Ｂ）について、他
系の信号をアサートしない場合に故障と見なして、他系
の同期ずれエラー信号９１１や９８をアサートする。こ
のうち、システムバス使用許可信号に着目する同期ずれ
エラー信号９８については、ＣＰＵが別の原因で既に同
期ずれを起こしている可能性があるので、すぐに切り離
し要求信号９４Ａ（６４Ａ）をだすのは危険である。そ
こで、要因が判明するまでしばらくの間、論理積素子９
００−４により、タイマ９０の出力９６で同期ずれエラ
ー信号９８をマスクする。
【００５８】図１３と図１４に、同期ずれエラーを検出
してから、他系ＣＰＵブロック切り離し要求がアサート
されるまでのタイムチャートを示す。
してから、他系ＣＰＵブロック切り離し要求がアサート
されるまでのタイムチャートを示す。
【００５９】第１３図は、ＰＭＣＵからのバス使用許可
信号が、Ａ系からは正常に出力されたが、Ｂ系から出力
されなかった場合を示している。Ｂ系バス使用許可信号
の欠落がＡ系のＤＳＢＡ１１Ａの切離し要求生成部７２
で検出される時の動作は次の通りである。Ｂ系のＰＭＣ
Ｕからのバス使用許可信号（ＰＢＧＲＴＢ−Ｎ）は、Ｄ
ＳＢＡ１１Ｂ内でラッチされ、ＤＳＢＡ間インタフェイ
ス信号６１ＢとしてＡ系ＤＳＢＡ１１Ａに渡される。一
方、Ａ系のＤＳＢＡ１１Ａでは、Ｂ系からのバス使用許
可信号とタイミングをあわせるためにＡ系のバス使用許
可信号を２回ラッチして信号９１Ａを生成する。そし
て、信号９１Ａと９１Ｂを比較して不一致信号（ＣＭＰ
ＥＲＲ−Ｎ）をアサートする。Ａ系バス使用許可信号に
ついても前述と同様の動作が対称的にＤＳＢＡ１１Ａと
ＤＳＢＡ１１Ｂの間でおこなわれ、それぞれのＤＳＢＡ
で同時に不一致信号（ＣＭＰＥＲＲ−Ｎ）がアサートさ
れる。
信号が、Ａ系からは正常に出力されたが、Ｂ系から出力
されなかった場合を示している。Ｂ系バス使用許可信号
の欠落がＡ系のＤＳＢＡ１１Ａの切離し要求生成部７２
で検出される時の動作は次の通りである。Ｂ系のＰＭＣ
Ｕからのバス使用許可信号（ＰＢＧＲＴＢ−Ｎ）は、Ｄ
ＳＢＡ１１Ｂ内でラッチされ、ＤＳＢＡ間インタフェイ
ス信号６１ＢとしてＡ系ＤＳＢＡ１１Ａに渡される。一
方、Ａ系のＤＳＢＡ１１Ａでは、Ｂ系からのバス使用許
可信号とタイミングをあわせるためにＡ系のバス使用許
可信号を２回ラッチして信号９１Ａを生成する。そし
て、信号９１Ａと９１Ｂを比較して不一致信号（ＣＭＰ
ＥＲＲ−Ｎ）をアサートする。Ａ系バス使用許可信号に
ついても前述と同様の動作が対称的にＤＳＢＡ１１Ａと
ＤＳＢＡ１１Ｂの間でおこなわれ、それぞれのＤＳＢＡ
で同時に不一致信号（ＣＭＰＥＲＲ−Ｎ）がアサートさ
れる。
【００６０】第１３図の場合は、ＰＭＣＵの信号の同期
ずれであり、ＣＰＵの別の原因で同期ずれを起こしてお
り、ＰＭＣＵから切り離し要求が出されている可能性が
ある。そこで、しばらく切り離しを待って、切り離しが
行われなければ、ＤＳＢＡが改めて切り離し要求を出す
ことを示している（９４Ａ）。
ずれであり、ＣＰＵの別の原因で同期ずれを起こしてお
り、ＰＭＣＵから切り離し要求が出されている可能性が
ある。そこで、しばらく切り離しを待って、切り離しが
行われなければ、ＤＳＢＡが改めて切り離し要求を出す
ことを示している（９４Ａ）。
【００６１】第１４図は、同様に、ＤＳＢＡからのバス
使用要求信号が、Ａ系からは正常に出力されたが、Ｂ系
から出力されなかった場合を示している。ＤＳＢＡから
のバス使用要求信号（ＰＢＲＥＱＢーＮ）は、ＤＳＢＡ
間インタフェイス６０を介して、１サイクルかけて２つ
のＤＳＢＡ間で渡される（９２Ｂ）。自系のＤＳＢＡ内
では、他系からのバス使用要求信号と位相をあわせるた
めに内部でさらにラッチする（９２Ａ）。ＤＳＢＡで
は、９２Ａと９２Ｂを比較して不一致信号（ＣＭＰＥＲ
Ｒ−Ｎ）をアサートし、切り離し要求信号を出す（９４
Ａ）。この切り離し要求信号は、６４ＡとしてＰＸＩ７
Ａに伝えられて、最終的な切り離し信号を生成する。
使用要求信号が、Ａ系からは正常に出力されたが、Ｂ系
から出力されなかった場合を示している。ＤＳＢＡから
のバス使用要求信号（ＰＢＲＥＱＢーＮ）は、ＤＳＢＡ
間インタフェイス６０を介して、１サイクルかけて２つ
のＤＳＢＡ間で渡される（９２Ｂ）。自系のＤＳＢＡ内
では、他系からのバス使用要求信号と位相をあわせるた
めに内部でさらにラッチする（９２Ａ）。ＤＳＢＡで
は、９２Ａと９２Ｂを比較して不一致信号（ＣＭＰＥＲ
Ｒ−Ｎ）をアサートし、切り離し要求信号を出す（９４
Ａ）。この切り離し要求信号は、６４ＡとしてＰＸＩ７
Ａに伝えられて、最終的な切り離し信号を生成する。
【００６２】〈プロセッサ間インタフェイス制御装置
（ＰＸＩ）〉図１５に、切り離し信号（ＸＤＩＳＣＯ
Ｎ）の生成かかわるＰＸＩの構成を示す。ＰＸＩは各系
にあるが、全く同じ構成なので、ここではＡ系のＰＸＩ
７Ａについて説明する。６４Ａは、自系のＤＳＢＡから
出される他系ＣＰＵブロックの切り離し要求信号である
（図１２）。５７は他系のＰＸＩとのインタフェイス信
号であり、ＬＸＤＩＳＣＯＮＲＥＱＡーＮはＡ系からの
Ｂ系切り離し要求、ＬＸＤＩＳＣＯＮＲＥＱＢーＮはＢ
系からのＡ系切り離し要求、ＬＸＤＩＳＣＯＮＡーＮは
Ａ系からのＢ系切り離し指示、ＬＸＤＩＳＣＯＮＢーＮ
はＢ系からのＡ系切り離し指示である。６５は、ＬＸＤ
ＩＳＣＯＮＢーＮをラッチで受けて、タイミング調整し
た自系ＣＰＵブロックの切り離し指示信号であり、ＤＳ
ＢＡの出力ゲート制御回路７５が出力ゲートを閉じるこ
とによって自系をＤＳバスから切り離す（図１０）。１
２１は、信号６４Ａとその他のＣＰＵブロック切り離し
要求信号との論理和をとる論理和素子である。１２２
は、自系のＣＰＵの状態を保持する状態レジスタであ
る。ＣＰＵの状態としては、後述の図１７に示す６つの
状態（ＮＯＮＥ、ＩＮＩＴ、ＲＥＡＤＹ、ＣＯＰＹ、Ｏ
ＮＬＮ、ＤＩＳＣＯＮ）がある。切離し判定回路１２０
は、論理和素子１２１の出力の他系への切り離し要求信
号１２３と他系ＰＸＩから自系への切り離し要求信号１
２５及び自系ＣＰＵ状態レジスタ１２２の状態信号によ
り、どちらの系を切り離すかを判定する。エラーは同時
に２箇所で発生したり、既に片系が切り離されていると
きに残存系でエラーが発生する事があるため、切り離し
要求を受けてそのまま切り離し指示を出すと、両系切り
離しという致命的な状態になる場合がある。そこで、切
離し判定回路１２０で切り離してよいか否かのネゴシエ
ーションを行ってからＡ系からのＢ系切り離し指示ＬＸ
ＤＩＳＣＯＮＡ１２４をアサートする。図１６に、切離
し判定回路１２０の判定論理を示す。即ち、Ａ系からの
Ｂ系切り離し指示信号ＬＸＤＩＳＣＯＮＡ１２４がアサ
ートされるのは、自系がオンライン状態（ＯＮＬＮ）で
あって、自系への切り離し要求がなくかつ他系への切り
離し要求が自系ＣＰＵから出されているときにのみであ
る。
（ＰＸＩ）〉図１５に、切り離し信号（ＸＤＩＳＣＯ
Ｎ）の生成かかわるＰＸＩの構成を示す。ＰＸＩは各系
にあるが、全く同じ構成なので、ここではＡ系のＰＸＩ
７Ａについて説明する。６４Ａは、自系のＤＳＢＡから
出される他系ＣＰＵブロックの切り離し要求信号である
（図１２）。５７は他系のＰＸＩとのインタフェイス信
号であり、ＬＸＤＩＳＣＯＮＲＥＱＡーＮはＡ系からの
Ｂ系切り離し要求、ＬＸＤＩＳＣＯＮＲＥＱＢーＮはＢ
系からのＡ系切り離し要求、ＬＸＤＩＳＣＯＮＡーＮは
Ａ系からのＢ系切り離し指示、ＬＸＤＩＳＣＯＮＢーＮ
はＢ系からのＡ系切り離し指示である。６５は、ＬＸＤ
ＩＳＣＯＮＢーＮをラッチで受けて、タイミング調整し
た自系ＣＰＵブロックの切り離し指示信号であり、ＤＳ
ＢＡの出力ゲート制御回路７５が出力ゲートを閉じるこ
とによって自系をＤＳバスから切り離す（図１０）。１
２１は、信号６４Ａとその他のＣＰＵブロック切り離し
要求信号との論理和をとる論理和素子である。１２２
は、自系のＣＰＵの状態を保持する状態レジスタであ
る。ＣＰＵの状態としては、後述の図１７に示す６つの
状態（ＮＯＮＥ、ＩＮＩＴ、ＲＥＡＤＹ、ＣＯＰＹ、Ｏ
ＮＬＮ、ＤＩＳＣＯＮ）がある。切離し判定回路１２０
は、論理和素子１２１の出力の他系への切り離し要求信
号１２３と他系ＰＸＩから自系への切り離し要求信号１
２５及び自系ＣＰＵ状態レジスタ１２２の状態信号によ
り、どちらの系を切り離すかを判定する。エラーは同時
に２箇所で発生したり、既に片系が切り離されていると
きに残存系でエラーが発生する事があるため、切り離し
要求を受けてそのまま切り離し指示を出すと、両系切り
離しという致命的な状態になる場合がある。そこで、切
離し判定回路１２０で切り離してよいか否かのネゴシエ
ーションを行ってからＡ系からのＢ系切り離し指示ＬＸ
ＤＩＳＣＯＮＡ１２４をアサートする。図１６に、切離
し判定回路１２０の判定論理を示す。即ち、Ａ系からの
Ｂ系切り離し指示信号ＬＸＤＩＳＣＯＮＡ１２４がアサ
ートされるのは、自系がオンライン状態（ＯＮＬＮ）で
あって、自系への切り離し要求がなくかつ他系への切り
離し要求が自系ＣＰＵから出されているときにのみであ
る。
【００６３】〈ＣＰＵ動作モード〉図１７にＣＰＵの状
態モード、図１８にその定義を示す。ＣＰＵ状態として
は、６つの状態（ＮＯＮＥ、ＩＮＩＴ、ＲＥＡＤＹ、Ｃ
ＯＰＹ、ＯＮＬＮ、ＤＩＳＣＯＮ）がある。ＮＯＮＥ
は、未実装状態またはクロック停止であり、全く動作し
ていない状態である。ＩＮＩＴは、ＣＰＵの初期化中で
あり、他系とは非同期に自ＣＰＵの初期化処理を実行し
ている状態である。ＲＥＡＤＹは、メモリコピ−開始待
ち状態である。ＣＯＰＹは、メモリコピ−中であり、他
系からのメモリコピ−を受けてメモリ一致化処理を行っ
ている状態である。メモリコピーについては後述する。
ＯＮＬＮは、システムに組み込まれて正常に動作してい
る状態である。ＤＩＳＣＯＮは、他系によって切り離し
指示が出されている状態である。
態モード、図１８にその定義を示す。ＣＰＵ状態として
は、６つの状態（ＮＯＮＥ、ＩＮＩＴ、ＲＥＡＤＹ、Ｃ
ＯＰＹ、ＯＮＬＮ、ＤＩＳＣＯＮ）がある。ＮＯＮＥ
は、未実装状態またはクロック停止であり、全く動作し
ていない状態である。ＩＮＩＴは、ＣＰＵの初期化中で
あり、他系とは非同期に自ＣＰＵの初期化処理を実行し
ている状態である。ＲＥＡＤＹは、メモリコピ−開始待
ち状態である。ＣＯＰＹは、メモリコピ−中であり、他
系からのメモリコピ−を受けてメモリ一致化処理を行っ
ている状態である。メモリコピーについては後述する。
ＯＮＬＮは、システムに組み込まれて正常に動作してい
る状態である。ＤＩＳＣＯＮは、他系によって切り離し
指示が出されている状態である。
【００６４】初期復電時の状態はＮＯＮＥであり、ＣＰ
Ｕの初期化処理を行った後にＯＮＬＮ状態になる。一
方、２重化同期動作状態からエラー発生によって、切り
離された後再投入された場合には、ＣＰＵの初期化処理
を行った後に正常系のＣＰＵからのメモリの複写開始待
ち状態になる。その後、実際に正常系のＣＰＵからのメ
モリの複写を受けるＣＯＰＹ状態になり、複写が終了す
るとＯＮＬＮ状態となって２重化同期運転状態に復旧す
る。
Ｕの初期化処理を行った後にＯＮＬＮ状態になる。一
方、２重化同期動作状態からエラー発生によって、切り
離された後再投入された場合には、ＣＰＵの初期化処理
を行った後に正常系のＣＰＵからのメモリの複写開始待
ち状態になる。その後、実際に正常系のＣＰＵからのメ
モリの複写を受けるＣＯＰＹ状態になり、複写が終了す
るとＯＮＬＮ状態となって２重化同期運転状態に復旧す
る。
【００６５】次に、本実施例に示す高信頼化コンピュー
タシステムの代表的な動作例について説明する。
タシステムの代表的な動作例について説明する。
【００６６】〈正常時の動作〉 （１）ＩＯバスアクセスを伴わない時 ＩＯバスアクセスを伴わずプロセッサとメモリだけでプ
ログラム実行が行われる時には、２つのＣＰＵ１Ａ、１
Ｂは、同じプログラムを同じ順序で同期しつつも独立し
て実行する。
ログラム実行が行われる時には、２つのＣＰＵ１Ａ、１
Ｂは、同じプログラムを同じ順序で同期しつつも独立し
て実行する。
【００６７】（２）ＩＯアクセスを伴う時 図１９に、両系正常時のＩＯアクセス動作の概要を示
す。図１９（ａ）に示すように、ＩＯアクセス起動時に
は、２つのＣＰＵから同じＩＯに対するアクセスが同時
に出力される。プライマリとセカンダリのＤＳＢＡは、
それぞれこれを受るが、プライマリＤＳＢＡ側のアクセ
スだけが入出力バスあるいは入出力アダプタに伝えられ
る（１４０、１４１）。ＩＯ側からの応答は、図１９
（ｂ）に示すように、プライマリとセカンダリのＤＳＢ
Ａが受けて、２つのＣＰＵ１Ａ、１Ｂに同時に同じ応答
を返す（１４２、１４３）。図１９では、ＣＰＵをアク
セス元としたが、入出力バスあるいは入出力デバイスが
アクセス元となるＤＭＡ（ダイレクトメモリアクセス）
の時は、図１９の起動と応答が逆になるだけである。つ
まり、同期運転をしている２つのＣＰＵと１つの入出力
バス、入出力アダプタをプライマリとセカンダリＤＳＢ
Ａで接続し、ＣＰＵからのアクセスをＤＳＢＡで選択
し、入出力バスあるいは入出力アダプタ側からのアクセ
スを２つのＣＰＵに分配する事によって、ＩＯを伴って
もＣＰＵの２重化同期運転を続けることができる。
す。図１９（ａ）に示すように、ＩＯアクセス起動時に
は、２つのＣＰＵから同じＩＯに対するアクセスが同時
に出力される。プライマリとセカンダリのＤＳＢＡは、
それぞれこれを受るが、プライマリＤＳＢＡ側のアクセ
スだけが入出力バスあるいは入出力アダプタに伝えられ
る（１４０、１４１）。ＩＯ側からの応答は、図１９
（ｂ）に示すように、プライマリとセカンダリのＤＳＢ
Ａが受けて、２つのＣＰＵ１Ａ、１Ｂに同時に同じ応答
を返す（１４２、１４３）。図１９では、ＣＰＵをアク
セス元としたが、入出力バスあるいは入出力デバイスが
アクセス元となるＤＭＡ（ダイレクトメモリアクセス）
の時は、図１９の起動と応答が逆になるだけである。つ
まり、同期運転をしている２つのＣＰＵと１つの入出力
バス、入出力アダプタをプライマリとセカンダリＤＳＢ
Ａで接続し、ＣＰＵからのアクセスをＤＳＢＡで選択
し、入出力バスあるいは入出力アダプタ側からのアクセ
スを２つのＣＰＵに分配する事によって、ＩＯを伴って
もＣＰＵの２重化同期運転を続けることができる。
【００６８】〈ＣＰＵ障害時の動作〉障害時の動作とし
ては、（１）エラーの検出、（２）障害ブロックの特
定、（３）障害ブロックの切り離し、（４）処理の継
続、などのステップが必要となる。実施例では、ＣＰＵ
障害時は、これらのステップが次の通りハードウェアに
より自動的に行われる。
ては、（１）エラーの検出、（２）障害ブロックの特
定、（３）障害ブロックの切り離し、（４）処理の継
続、などのステップが必要となる。実施例では、ＣＰＵ
障害時は、これらのステップが次の通りハードウェアに
より自動的に行われる。
【００６９】（１）エラー検出 ＣＰＵブロックには図６に示したように、パリティチェ
ックなど様々なハードウェアのエラー検出手段がある
が、ＣＰＵブロック内でエラー検出した場合には、以下
に述べる処理ステップはエラーの内容によらず同様であ
る。従ってここでは、片系のメモリでパリティエラーが
発生した場合を考える。
ックなど様々なハードウェアのエラー検出手段がある
が、ＣＰＵブロック内でエラー検出した場合には、以下
に述べる処理ステップはエラーの内容によらず同様であ
る。従ってここでは、片系のメモリでパリティエラーが
発生した場合を考える。
【００７０】（２）障害ブロックの特定 エラーの発生がＰＸＩに報告され、ＰＸＩは障害ブロッ
クを特定する。
クを特定する。
【００７１】（３）障害ブロックの切り離し エラーの発生がＰＸＩに報告されるとＰＸＩは、３００
ｎｓ程度の非常に短い時間でエラーが発生したＣＰＵブ
ロックに対して切離し指示信号６５を出す（図１５）。
ＤＳＢＡは、切離し指示信号６５に従って出力ゲートを
閉じてＣＰＵブロックを入出力バスから切り離す（図１
０）。
ｎｓ程度の非常に短い時間でエラーが発生したＣＰＵブ
ロックに対して切離し指示信号６５を出す（図１５）。
ＤＳＢＡは、切離し指示信号６５に従って出力ゲートを
閉じてＣＰＵブロックを入出力バスから切り離す（図１
０）。
【００７２】（４）処理の継続 図２０に、片系ＣＰＵ障害時のＩＯアクセス動作の概要
を示す。図２０（ａ）に示すように、ＩＯアクセス起動
時には、プライマリとセカンダリに関係無く正常系のＤ
ＳＢＡのアクセスだけが入出力バスあるいは入出力アダ
プタに伝えられる（１４４）。ＩＯからの応答も、図２
０（ｂ）に示すように、正常系のＤＳＢＡ（プライマリ
とセカンダリに関係無く）がこれを受けて、正常なＣＰ
Ｕにのみ応答を返す（１４５）。図２０では、ＣＰＵを
アクセス元としたが、入出力バスあるいは入出力デバイ
スがアクセス元となるＤＭＡ（ダイレクトメモリアクセ
ス）の時は、図２０の起動と応答が逆になるだけだあ
る。このように、正常系のＣＰＵの処理にとって他系Ｃ
ＰＵの障害の発生は処理継続という点では透過である。
を示す。図２０（ａ）に示すように、ＩＯアクセス起動
時には、プライマリとセカンダリに関係無く正常系のＤ
ＳＢＡのアクセスだけが入出力バスあるいは入出力アダ
プタに伝えられる（１４４）。ＩＯからの応答も、図２
０（ｂ）に示すように、正常系のＤＳＢＡ（プライマリ
とセカンダリに関係無く）がこれを受けて、正常なＣＰ
Ｕにのみ応答を返す（１４５）。図２０では、ＣＰＵを
アクセス元としたが、入出力バスあるいは入出力デバイ
スがアクセス元となるＤＭＡ（ダイレクトメモリアクセ
ス）の時は、図２０の起動と応答が逆になるだけだあ
る。このように、正常系のＣＰＵの処理にとって他系Ｃ
ＰＵの障害の発生は処理継続という点では透過である。
【００７３】〈ＬＡＮＣ障害時の動作〉障害時の動作と
して、（１）エラーの検出、（２）障害部位の特定、
（３）障害部位の切り離し（４）処理の継続、などの各
ステップが必要となる。ＬＡＮＣ障害時は、これらのス
テップが次のようにしてハードウェアとソフトウェアの
連携により行われる。
して、（１）エラーの検出、（２）障害部位の特定、
（３）障害部位の切り離し（４）処理の継続、などの各
ステップが必要となる。ＬＡＮＣ障害時は、これらのス
テップが次のようにしてハードウェアとソフトウェアの
連携により行われる。
【００７４】（１）エラー検出 図１０で説明したように、ＤＳＢＡにてＤＳバス上のア
クセスを監視し、アクセスが正常終了しない場合には割
込みトランザクションのデータパターンをシステムバス
に送出することにより、ＣＰＵにアクセス異常を報告す
る。また、その正常終了しないアクセスがリードアクセ
スである場合には、割込みトランザクションのデータパ
ターンをシステムバスに送出したうえで、固定パターン
のデータをＣＰＵにリターンデータとして返送する。こ
こでは、特に正常終了しないアクセスがリードアクセス
である場合について述べる。
クセスを監視し、アクセスが正常終了しない場合には割
込みトランザクションのデータパターンをシステムバス
に送出することにより、ＣＰＵにアクセス異常を報告す
る。また、その正常終了しないアクセスがリードアクセ
スである場合には、割込みトランザクションのデータパ
ターンをシステムバスに送出したうえで、固定パターン
のデータをＣＰＵにリターンデータとして返送する。こ
こでは、特に正常終了しないアクセスがリードアクセス
である場合について述べる。
【００７５】（２）障害部位の特定 割り込みトランザクションによりアクセス異常を報告さ
れたＣＰＵ内のプロセッサ上で動作するプログラムは、
割込みトランザクションの内容に従いＤＳＢＡにて検出
された障害を認識し、ＤＳＢＡにて採取されている障害
ログの内容により障害部位の特定を行う。たとえばＤＳ
バスのパリティエラー等の場合は障害部位はＤＳバスで
あると特定され、ＰＩＯリードのタイムアウト検出でし
かもＤＳバスのアクセス時に他のエラーを検出していな
い場合には、ＤＳＢＡにて採取されているタイムアウト
検出対象のアクセスアドレスにより、障害部位はアクセ
ス対象の入出力装置側であるとプログラムにより特定で
きる。
れたＣＰＵ内のプロセッサ上で動作するプログラムは、
割込みトランザクションの内容に従いＤＳＢＡにて検出
された障害を認識し、ＤＳＢＡにて採取されている障害
ログの内容により障害部位の特定を行う。たとえばＤＳ
バスのパリティエラー等の場合は障害部位はＤＳバスで
あると特定され、ＰＩＯリードのタイムアウト検出でし
かもＤＳバスのアクセス時に他のエラーを検出していな
い場合には、ＤＳＢＡにて採取されているタイムアウト
検出対象のアクセスアドレスにより、障害部位はアクセ
ス対象の入出力装置側であるとプログラムにより特定で
きる。
【００７６】（３）障害部位の切り離し 障害部位の特定を特定したＣＰＵ内のプロセッサ上で動
作するプログラムは、ＤＳＢＡへのレジスタ空間へのＰ
ＩＯライトにより、入出力アダプタと入出力デバイスと
の論理接続を切り放す指示コマンドを発行することによ
り、障害部位を切り離す。これも図１０で述べたとおり
である。なお、入出力バスが正常であり、入出力デバイ
スが自身のレジスタ空間に対する切り離しコマンドを受
領できるレベルの障害であれば、プログラムは、入出力
デバイス自身に指示コマンドを発行することにより障害
部位を切り離すことも可能である。
作するプログラムは、ＤＳＢＡへのレジスタ空間へのＰ
ＩＯライトにより、入出力アダプタと入出力デバイスと
の論理接続を切り放す指示コマンドを発行することによ
り、障害部位を切り離す。これも図１０で述べたとおり
である。なお、入出力バスが正常であり、入出力デバイ
スが自身のレジスタ空間に対する切り離しコマンドを受
領できるレベルの障害であれば、プログラムは、入出力
デバイス自身に指示コマンドを発行することにより障害
部位を切り離すことも可能である。
【００７７】（４）処理の継続 ＣＰＵ内のプロセッサ上で動作するプログラムは、障害
の発生した入出力アダプタとペア関係にある入出力アダ
プタと入出力デバイスの論理接続を行い、未完了状態で
あるＩＯ処理を再起動することにより、入出力デバイス
を用いた処理を継続する。この切り替えによるＦＤＤＩ
−ＬＡＮでの処理の継続動作例を図２１に示す。
の発生した入出力アダプタとペア関係にある入出力アダ
プタと入出力デバイスの論理接続を行い、未完了状態で
あるＩＯ処理を再起動することにより、入出力デバイス
を用いた処理を継続する。この切り替えによるＦＤＤＩ
−ＬＡＮでの処理の継続動作例を図２１に示す。
【００７８】ここで、図２２に示すように、ＣＰＵ内の
プロセッサ上で動作するプログラムは、処理結果の確認
を行うためにＩＯアクセス命令の正常終了を確認すべき
場合にはＩＯリードアクセスを発行し、リードデータが
固定パターンと一致するか否かを比較することにより障
害の発生を認識するためのアクセスをおこなう。このＩ
Ｏアクセス命令は、一連の入出力処理ステップの最後等
にのみおこなうことにより、プログラムの処理ステップ
の増大を防ぐようにする。
プロセッサ上で動作するプログラムは、処理結果の確認
を行うためにＩＯアクセス命令の正常終了を確認すべき
場合にはＩＯリードアクセスを発行し、リードデータが
固定パターンと一致するか否かを比較することにより障
害の発生を認識するためのアクセスをおこなう。このＩ
Ｏアクセス命令は、一連の入出力処理ステップの最後等
にのみおこなうことにより、プログラムの処理ステップ
の増大を防ぐようにする。
【００７９】また、図２３に示すように、入出力デバイ
ス内にあるメモリのポインタ値を示すレジスタをアクセ
スするような場合には、リードデータが固定パターンと
一致するか否かを比較し、固定パターンと一致するする
場合には入出力デバイスの障害の発生を認識し、該当処
理を異常終了する。なぜなら、謝ったリードデータ値を
信じてＣＰＵ内のプロセッサ上で動作するプログラムが
処理を続行すると、誤ったメモリアドレスをアクセスす
ることとなり、誤ったメモリの内容を用いて動作し続け
たり、メモリの内容を破壊したり、未実装のメモリにア
クセスしたりしてしまう。これは、両系のＣＰＵで同時
に発生するため、システムダウンとなってしまう。その
ため、上記のように、リードデータが固定パターンと一
致するか否かを比較することにより、誤ったデータか否
かを確認したうえでプログラムが処理を続行するように
することにより、システムダウンを回避できる。
ス内にあるメモリのポインタ値を示すレジスタをアクセ
スするような場合には、リードデータが固定パターンと
一致するか否かを比較し、固定パターンと一致するする
場合には入出力デバイスの障害の発生を認識し、該当処
理を異常終了する。なぜなら、謝ったリードデータ値を
信じてＣＰＵ内のプロセッサ上で動作するプログラムが
処理を続行すると、誤ったメモリアドレスをアクセスす
ることとなり、誤ったメモリの内容を用いて動作し続け
たり、メモリの内容を破壊したり、未実装のメモリにア
クセスしたりしてしまう。これは、両系のＣＰＵで同時
に発生するため、システムダウンとなってしまう。その
ため、上記のように、リードデータが固定パターンと一
致するか否かを比較することにより、誤ったデータか否
かを確認したうえでプログラムが処理を続行するように
することにより、システムダウンを回避できる。
【００８０】
【発明の効果】本発明によれば、中央処理装置（ＣＰ
Ｕ）のような非常に高速で高度な実装技術が要求される
部分に二重化接続装置（ＤＳＢＡ）を設けるのでなく、
ＣＰＵと入出力装置側との接続部分にＤＳＢＡを設ける
ことで、通常のデータ処理装置やワークステーションや
パーソナルコンピュータと共通のＣＰＵと入出力装置を
使用した上で、高信頼性を実現できる。つまり、ＣＰＵ
だけでなく入出力装置のハードウエアに１点障害が発生
しても当該障害部分を確実に切り離して、処理を続行す
ることによりノーダウン運転を実現できる。
Ｕ）のような非常に高速で高度な実装技術が要求される
部分に二重化接続装置（ＤＳＢＡ）を設けるのでなく、
ＣＰＵと入出力装置側との接続部分にＤＳＢＡを設ける
ことで、通常のデータ処理装置やワークステーションや
パーソナルコンピュータと共通のＣＰＵと入出力装置を
使用した上で、高信頼性を実現できる。つまり、ＣＰＵ
だけでなく入出力装置のハードウエアに１点障害が発生
しても当該障害部分を確実に切り離して、処理を続行す
ることによりノーダウン運転を実現できる。
【図１】ＣＰＵとＩＯバス系がともに一重構成の本発明
システムの基本構成を示す概念図である。
システムの基本構成を示す概念図である。
【図２】ＣＰＵが一重でＩＯバス系のみ二重化構成の本
発明システムの概念図である。
発明システムの概念図である。
【図３】ＣＰＵとＩＯバス系がともに二重化構成の本発
明システムの概念図である。
明システムの概念図である。
【図４】本発明システムの一実施例の装置外観図であ
る。
る。
【図５】図３に対応する本発明システムの一実施例の概
略構成図である。
略構成図である。
【図６】図５中のプロセッサメモリユニット（ＰＭＣ
Ｕ）の具体的構成図である。
Ｕ）の具体的構成図である。
【図７】図５中のクロック回路（ＣＬＫ）の具体的構成
図である。
図である。
【図８】二重化バスシステムアダプタ（ＤＳＢＡ）まわ
りの概略構成図である。
りの概略構成図である。
【図９】ＤＳＢＡ間インタフェイス信号の一覧表であ
る。
る。
【図１０】ＤＳＢＡの全体構成図である。
【図１１】図１０中の出力ゲート制御回路の具体的構成
図である。
図である。
【図１２】図１０中の切離し要求生成回路の具体的構成
図である。
図である。
【図１３】システムバス使用許可信号の同期ずれ検出時
のタイムチャートである。
のタイムチャートである。
【図１４】システムバス要求信号の同期ずれ検出時のタ
イムチャートである。
イムチャートである。
【図１５】プロセッサ間インタフェイス制御装置（ＰＸ
Ｉ）の具体的構成図である。
Ｉ）の具体的構成図である。
【図１６】図１５中の切離し判定回路の判定論理を示す
図である。
図である。
【図１７】ＣＰＵブロックの動作モードの遷移図であ
る。
る。
【図１８】図１７の各状態の定義を説明する図である。
【図１９】正常時のＩＯアクセス動作例を示す図であ
る。
る。
【図２０】ＣＰＵ障害時のＩＯアクセス動作例を示す図
である。
である。
【図２１】ＬＡＮＣ障害時のＬＡＮＣ切り替えによるＦ
ＤＤＩでの処理の継続動作例を示す図である。
ＤＤＩでの処理の継続動作例を示す図である。
【図２２】入出力装置の制御に関するプログラム処理例
を示す図である。
を示す図である。
【図２３】ＩＯリードアクセスに関するプログラム処理
例を示す図である。
例を示す図である。
１ ＣＰＵ ２ 接続装置 ３、４ プロセッサ ５ メモリ ６ プロセッサメモリ制御ユニット ７ プロセッサ間インタフェイス制御装置 ９ システムバス １１、１２、１３、１４ 多重システムバスアダプタ
（ＤＳＢＡ） ２０、２１ 入出力バスアダプタ ３０ 入出力バス ３１、３５ 入出力アダプタ ３９ ＬＡＮ制御装置
（ＤＳＢＡ） ２０、２１ 入出力バスアダプタ ３０ 入出力バス ３１、３５ 入出力アダプタ ３９ ＬＡＮ制御装置
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.6 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｇ０６Ｆ 11/30 7313−5Ｂ Ｇ０６Ｆ 11/30 Ｋ ３２０ 7313−5Ｂ ３２０Ｆ // Ｇ０６Ｆ 15/16 ４７０ 15/16 ４７０Ｂ (72)発明者 高谷 壮一 茨城県日立市大みか町５丁目２番１号 株 式会社日立製作所大みか工場内 (72)発明者 平松 昌高 神奈川県海老名市下今泉810番地 株式会 社日立製作所オフィスシステム事業部内 (72)発明者 明浦 伸夫 神奈川県海老名市下今泉810番地 株式会 社日立製作所オフィスシステム事業部内
Claims (5)
- 【請求項１】 プログラム及びデータを格納するメモリ
と該メモリからプログラム及びデータを取り出してこれ
を処理するプロセサとを有する中央処理装置と、上記中
央処理装置の指定により処理結果を格納あるいは外部に
送出する入出力装置と、上記中央処理装置と上記入出力
装置に接続される接続装置とから構成され、 上記接続装置は、上記中央処理装置から上記入出力装置
へのアクセスを監視する手段と、アクセスが正常終了し
ない場合に上記中央処理装置にアクセス異常を報告する
手段と、その正常終了しないアクセスがリードアクセス
である場合には固定パターンのデータを上記中央処理装
置に返送する手段とを具備することを特徴とする高信頼
化コンピュータシステム。 - 【請求項２】 プログラム及びデータを格納するメモリ
と該メモリからプログラム及びデータを取り出してこれ
を処理するプロセッサとを有する中央処理装置と、上記
中央処理装置の指定により処理結果を格納あるいは外部
に送出する第１の入出力アダプタと、該第１の入出力ア
ダプタと同一構成の第２の入出力アダプタと、上記中央
処理装置と上記第１及び第２の入出力アダプタに接続さ
れる接続装置と、上記第１の入出力アダプタと第２の入
出力アダプタの両方に物理接続される入出力デバイスと
から構成され、 上記接続装置は、上記中央処理装置から上記第１及び第
２の入出力アダプタへのアクセスを監視する手段と、ア
クセスが正常終了しない場合に上記中央処理装置にアク
セス異常を報告する手段と、その正常終了しないアクセ
スがリードアクセスである場合には固定パターンのデー
タを上記中央処理装置に返送する手段と、上記中央処理
装置からの指示により上記第１あるいは第２の入出力ア
ダプタと入出力デバイスとの論理接続を切り離す手段を
具備することを特徴とする高信頼化コンピュータシステ
ム。 - 【請求項３】 プログラム及びデータを格納するメモリ
と該メモリからプログラム及びデータを取り出してこれ
を処理するプロセッサとを有する第１の中央処理装置
と、該第１の中央処理装置と同一構成の第２の中央処理
装置と、上記第１及び第２の中央処理装置にクロック及
びリセット信号を供給するクロック手段と、上記第１及
び第２の中央処理装置の指定により処理結果を格納ある
いは外部に送出する第１の入出力装置と、上記第１及び
第２の中央処理装置と上記第１の入出力装置に接続され
る第１の二重化接続装置と、上記第１及び第２の中央処
理装置の指定により処理結果を格納あるいは外部に送出
する上記第１の入出力装置と同一構成の第２の入出力装
置と、上記第１及び第２の中央処理装置と上記第２の入
出力装置に接続される第２の二重化接続装置とから構成
され、 上記第１及び第２の中央処理装置は、相互に通信を行う
ための第１及び第２のプロセッサ間通信手段を具備し、 上記第１及び第２の二重化接続装置は、各々の中央処理
装置から第１あるいは第２の入出力装置へのアクセスを
監視する手段と、アクセスが正常終了しない場合に上記
第１及び第２の中央処理装置にアクセス異常を報告する
手段と、その正常終了しないアクセスがリードアクセス
である場合には固定パターンのデータを上記第１及び第
２の中央処理装置に返送する手段とを具備することを特
徴とする高信頼化コンピュータシステム。 - 【請求項４】 プログラム及びデータを格納するメモリ
と該メモリからプログラム及びデータを取り出してこれ
を処理するプロセッサとを有する第１の中央処理装置
と、該第１の中央処理装置と同一構成の第２の中央処理
装置と、上記第１及び第２の中央処理装置にクロック及
びリセット信号を供給するクロック手段と、上記第１及
び第２の中央処理装置の指定により処理結果を格納ある
いは外部に送出する第１の入出力アダプタと、上記第１
及び第２の中央処理装置と上記第１の入出力アダプタに
接続される第１の二重化接続装置と、上記第１及び第２
の中央処理装置の指定により処理結果を格納あるいは外
部に送出する上記第１の入出力アダプタと同一構成の第
２の入出力アダプタと、上記第１及び第２の中央処理装
置と上記第２の入出力アダプタに接続される第２の二重
化接続装置と、上記第１の入出力アダプタと第２の入出
力アダプタの両方に物理接続される入出力デバイスとか
ら構成され、上記第１及び第２の二重化接続装置は、上
記第１及び第２の中央処理装置からの指示により、上記
第１あるいは第２の入出力アダプタと入出力デバイスと
の論理接続を切り離す手段を具備することを特徴とする
高信頼化コンピュータシステム。 - 【請求項５】 プログラム及びデータを格納するメモリ
と該メモリからプログラム及びデータを取り出してこれ
を処理するプロセッサとを有する第１の中央処理装置
と、該第１の中央処理装置と同一構成の第２の中央処理
装置と、上記第１及び第２の中央処理装置にクロック及
びリセット信号を供給するクロック手段と、上記第１及
び第２の中央処理装置の指定により処理結果を格納ある
いは外部に送出する第１の入出力アダプタと、上記第１
及び第２の中央処理装置と上記第１の入出力アダプタに
接続される第１の二重化接続装置と、上記第１及び第２
の中央処理装置の指定により処理結果を格納あるいは外
部に送出する上記第１の入出力アダプタと同一構成の第
２の入出力アダプタと、上記第１及び第２の中央処理装
置と上記第２の入出力アダプタに接続される第２の二重
化接続装置と、上記第１の入出力アダプタと第２の入出
力装置の両方に物理接続される入出力デバイスとから構
成され、 上記第１及び第２の中央処理装置は、相互に通信を行う
ための第１及び第２のプロセッサ間通信手段を具備し、 上記第１及び第２の二重化接続装置は、各々の中央処理
装置から上記第１あるいは第２の入出力アダプタへのア
クセスを監視する手段と、アクセスが正常終了しない場
合に上記第１及び第２の中央処理装置にアクセス異常を
報告する手段と、その正常終了しないアクセスがリード
アクセスである場合には固定パターンのデータを上記第
１及び第２の中央処理装置に返送する手段と、上記第１
及び第２の中央処理装置からの指示により、上記第１あ
るいは第２の入出力アダプタと入出力デバイスとの論理
接続を切り離す手段とを具備することを特徴とする高信
頼化コンピュータシステム。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP18122295A JP3595033B2 (ja) | 1995-07-18 | 1995-07-18 | 高信頼化コンピュータシステム |
| US08/682,956 US6032265A (en) | 1995-07-18 | 1996-07-18 | Fault-tolerant computer system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP18122295A JP3595033B2 (ja) | 1995-07-18 | 1995-07-18 | 高信頼化コンピュータシステム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH0934809A true JPH0934809A (ja) | 1997-02-07 |
| JP3595033B2 JP3595033B2 (ja) | 2004-12-02 |
Family
ID=16096957
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP18122295A Expired - Fee Related JP3595033B2 (ja) | 1995-07-18 | 1995-07-18 | 高信頼化コンピュータシステム |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US6032265A (ja) |
| JP (1) | JP3595033B2 (ja) |
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20020033254A (ko) * | 2000-10-30 | 2002-05-06 | 구자홍 | 이중화 프로세서의 흐름 제어장치 및 방법 |
| JP2007323190A (ja) * | 2006-05-30 | 2007-12-13 | Hitachi Ltd | データ通信を行う計算制御システム及びその通信方法 |
| US7685473B2 (en) | 2004-12-16 | 2010-03-23 | Nec Corporation | Computer system, method of detecting a stall in a computer system, and signal-bearing medium embodying a program causing a computer system to perform a method of detecting a stall in a computer system |
| US7725761B2 (en) | 2004-12-13 | 2010-05-25 | Nec Corporation | Computer system, fault tolerant system using the same and operation control method and program thereof |
| JP2012198822A (ja) * | 2011-03-22 | 2012-10-18 | Fujitsu Ltd | 情報処理装置、制御装置および異常ユニット判定方法 |
| US8917793B2 (en) | 2010-01-15 | 2014-12-23 | Rib Laboratory, Inc. | Communication circuit, communication network, and connecting apparatus |
| JP2015179386A (ja) * | 2014-03-19 | 2015-10-08 | 三菱電機インフォメーションネットワーク株式会社 | フォールトトレラントサーバ装置及び通信制御装置の切替プログラム |
| JP2018125044A (ja) * | 2012-12-13 | 2018-08-09 | コーヒレント・ロジックス・インコーポレーテッド | 改善された二次相互接続ネットワークを備えたマルチプロセッサシステム |
| US11169882B2 (en) | 2018-07-06 | 2021-11-09 | Fujitsu Limited | Identification of a suspect component causing an error in a path configuration from a processor to IO devices |
Families Citing this family (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6208616B1 (en) * | 1997-05-13 | 2001-03-27 | 3Com Corporation | System for detecting errors in a network |
| US6289022B1 (en) * | 1997-10-21 | 2001-09-11 | The Foxboro Company | Methods and systems for fault-tolerant data transmission |
| JPH11143729A (ja) * | 1997-11-07 | 1999-05-28 | Nec Corp | フォールトトレラントコンピュータ |
| US6304983B1 (en) * | 1998-09-30 | 2001-10-16 | International Business Machines Corporation | Checkpoint logging without checkpoint display device availability |
| US7026913B2 (en) * | 1999-11-30 | 2006-04-11 | Ncr Corporation | Methods and apparatus for self-diagnosing electronic price labels |
| US6971043B2 (en) * | 2001-04-11 | 2005-11-29 | Stratus Technologies Bermuda Ltd | Apparatus and method for accessing a mass storage device in a fault-tolerant server |
| US7904775B2 (en) | 2004-04-21 | 2011-03-08 | Stmicroelectronics Sa | Microprocessor comprising signature means for detecting an attack by error injection |
| WO2007149688A2 (en) | 2006-05-30 | 2007-12-27 | Schneider Automation Inc. | Remote virtual placeholder configuration for distributed input/output modules |
| US8949659B2 (en) * | 2012-10-18 | 2015-02-03 | International Business Machines Corporation | Scheduling workloads based on detected hardware errors |
| JP5840173B2 (ja) * | 2013-06-21 | 2016-01-06 | 京セラドキュメントソリューションズ株式会社 | 情報処理装置、入出力制御部の再起動方法 |
Family Cites Families (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPS5720847A (en) * | 1980-07-11 | 1982-02-03 | Hitachi Ltd | Computer system |
| US4920540A (en) * | 1987-02-25 | 1990-04-24 | Stratus Computer, Inc. | Fault-tolerant digital timing apparatus and method |
| US4939643A (en) * | 1981-10-01 | 1990-07-03 | Stratus Computer, Inc. | Fault tolerant digital data processor with improved bus protocol |
| EP0306211A3 (en) * | 1987-09-04 | 1990-09-26 | Digital Equipment Corporation | Synchronized twin computer system |
| US4907228A (en) * | 1987-09-04 | 1990-03-06 | Digital Equipment Corporation | Dual-rail processor with error checking at single rail interfaces |
| AU616213B2 (en) * | 1987-11-09 | 1991-10-24 | Tandem Computers Incorporated | Method and apparatus for synchronizing a plurality of processors |
| CA2003338A1 (en) * | 1987-11-09 | 1990-06-09 | Richard W. Cutts, Jr. | Synchronization of fault-tolerant computer system having multiple processors |
| US4965717A (en) * | 1988-12-09 | 1990-10-23 | Tandem Computers Incorporated | Multiple processor system having shared memory with private-write capability |
| US5295258A (en) * | 1989-12-22 | 1994-03-15 | Tandem Computers Incorporated | Fault-tolerant computer system with online recovery and reintegration of redundant components |
| JP3255934B2 (ja) * | 1991-01-25 | 2002-02-12 | 株式会社日立製作所 | ベーシックプロセッシングユニット及び高信頼化コンピュータシステム |
| JPH04311238A (ja) * | 1991-04-09 | 1992-11-04 | Toshiba Corp | 入出力インターフェース装置 |
| JP2888025B2 (ja) * | 1992-04-27 | 1999-05-10 | 日本電気株式会社 | 耐故障コンピュータシステム |
-
1995
- 1995-07-18 JP JP18122295A patent/JP3595033B2/ja not_active Expired - Fee Related
-
1996
- 1996-07-18 US US08/682,956 patent/US6032265A/en not_active Expired - Lifetime
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20020033254A (ko) * | 2000-10-30 | 2002-05-06 | 구자홍 | 이중화 프로세서의 흐름 제어장치 및 방법 |
| US7725761B2 (en) | 2004-12-13 | 2010-05-25 | Nec Corporation | Computer system, fault tolerant system using the same and operation control method and program thereof |
| US7685473B2 (en) | 2004-12-16 | 2010-03-23 | Nec Corporation | Computer system, method of detecting a stall in a computer system, and signal-bearing medium embodying a program causing a computer system to perform a method of detecting a stall in a computer system |
| JP2007323190A (ja) * | 2006-05-30 | 2007-12-13 | Hitachi Ltd | データ通信を行う計算制御システム及びその通信方法 |
| US8917793B2 (en) | 2010-01-15 | 2014-12-23 | Rib Laboratory, Inc. | Communication circuit, communication network, and connecting apparatus |
| JP2012198822A (ja) * | 2011-03-22 | 2012-10-18 | Fujitsu Ltd | 情報処理装置、制御装置および異常ユニット判定方法 |
| JP2018125044A (ja) * | 2012-12-13 | 2018-08-09 | コーヒレント・ロジックス・インコーポレーテッド | 改善された二次相互接続ネットワークを備えたマルチプロセッサシステム |
| JP2015179386A (ja) * | 2014-03-19 | 2015-10-08 | 三菱電機インフォメーションネットワーク株式会社 | フォールトトレラントサーバ装置及び通信制御装置の切替プログラム |
| US11169882B2 (en) | 2018-07-06 | 2021-11-09 | Fujitsu Limited | Identification of a suspect component causing an error in a path configuration from a processor to IO devices |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3595033B2 (ja) | 2004-12-02 |
| US6032265A (en) | 2000-02-29 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6141769A (en) | Triple modular redundant computer system and associated method | |
| JP3595033B2 (ja) | 高信頼化コンピュータシステム | |
| EP0731945B1 (en) | Fault resilient/fault tolerant computing | |
| US5398331A (en) | Shared storage controller for dual copy shared data | |
| JPH03182939A (ja) | ソフトウェアのエラー処理の方法 | |
| JPH03184130A (ja) | ソフトウェアの誤り処理方法 | |
| JPH01154241A (ja) | 同期二重コンピュータシステム | |
| JPH01154240A (ja) | 単一レールインターフェイスにエラーチェック機能を有する二重レールプロセッサ | |
| CA2530913A1 (en) | Fault tolerant computer system and interrupt control method for the same | |
| JPH03184129A (ja) | 特定のデータをシステムデータに変換する方法 | |
| KR100566340B1 (ko) | 정보 처리 장치 | |
| WO2010100757A1 (ja) | 演算処理システム、再同期方法、およびファームプログラム | |
| WO1997043712A2 (en) | Triple modular redundant computer system | |
| JPH06242979A (ja) | 二重化コンピュータ装置 | |
| JPH07182189A (ja) | 計算機システム及びプロセッサチップ及び障害復旧方法 | |
| JPH0916426A (ja) | ２ポートコンソールを持つフォールトトレラントコンピュータ | |
| JPH08190494A (ja) | 二重化処理装置を有する高信頼化コンピュータ | |
| JPS5917467B2 (ja) | 制御用計算機のバツクアツプ方式 | |
| JPH04241039A (ja) | ベーシックプロセッシングユニット及び高信頼化コンピュータシステム | |
| JPH03184155A (ja) | 非存在メモリエラー処理の方法 | |
| JPH10240555A (ja) | フォールト・トレラント・データ処理システムとその方 法 | |
| JPH09179836A (ja) | 多重化計算機およびその障害検出処理方法 | |
| JPH09146853A (ja) | 二重化計算機及びその障害系復旧方法 | |
| JPS62296264A (ja) | デ−タ処理システムの構成制御方式 | |
| Di Giovanni et al. | H/W and S/W redundancy techniques for 90's rotorcraft computers |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20040809 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20040902 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20070910 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080910 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080910 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090910 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090910 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100910 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100910 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110910 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120910 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120910 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130910 Year of fee payment: 9 |
|
| LAPS | Cancellation because of no payment of annual fees |