JPH10154085A - 二重化された監視／制御プロセッサによるシステム監視・制御方法および二重化監視／制御プロセッサ・システム - Google Patents

Abstract

(57)【要約】 【課題】 二重化した監視／制御プロセッサ間での通信
処理を実現可能とし、両系の処理に一貫性を持たせ、ノ
ーストップ・システムを実現すること。 【解決手段】 二重化された監視／制御プロセッサ３
ａ，３ｂ間相互で通信を行うための通信手段４を設け、
発生した事象を上記監視／制御プロセッサ３ａ，３ｂ間
で相互に通知し、互いに相互の状態を把握しながらシス
テムの状態を監視・制御する。また、二重化された監視
／制御プロセッサ３ａ，３ｂ間で一定時間毎に所定の通
知事象（alive message)を交換することにより、互いに
監視／制御プロセッサの動作を監視する。上記データの
送信する際、シーケンス番号を付与して送信し、シーケ
ンス番号により受信エラー発生時の再送処理を行う。ま
た、監視／制御プロセッサ３ａ，３ｂの一方を活性交換
する際、他方の系でシステムの動作を継続することがで
きる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】中規模以上の計算機システム
においては、通常、メインプロセッサとは独立して、環
境、装置、電源といったシステムの監視、制御、保守の
機能を担当する監視／制御プロセッサが設けられる（以
下、これを必要に応じてＳＣＦ：System Control Facil
ity と呼ぶ）。本発明は、同一システム内に二重化され
た監視／制御プロセッサを持つ計算機システムに関し、
特に、本発明は二重化された監視／制御プロセッサによ
るシステムの監視／制御方法および二重化監視／制御プ
ロセッサ・システムに関するものである（以下、上記二
重化監視／制御プロセッサ間の通信を必要に応じてＳＣ
Ｆ間通信またはＳＣＦＬｉｎｋと呼ぶ）。

【０００２】

【従来の技術】従来から、資源を二重化した計算機シス
テムが知られているが、これらのシステムにおいては、
ＳＣＦ自体は一つであったため、ＳＣＦ自体が故障した
場合は、システムとして動作不能（システムダウン）と
なった。また、ＳＣＦ自体を二重化する試みもなされて
いるが、ＳＣＦを二重化した場合でも、従来においては
両ＳＣＦ間通信が行えなかったため、共通資源の排他制
御や片系資源の故障時の動作保証が困難であった。

【０００３】

【発明が解決しようとする課題】同一システム内で各種
資源を二重化することにより、システムとしてノーダウ
ン、ノーストップを可能とする高信頼性システムを実現
することができる。しかしながら、資源を二重化した場
合、それぞれの資源をＳＣＦが監視／制御して一つのシ
ステムの動作を実現しなければならず、また、共通資源
については、各ＳＣＦ間での制御が競合しないように排
他制御を行う必要があり、常に他系の状態を監視し、把
握しておく必要がある。

【０００４】本発明は上記した事情に鑑みなされたもの
であって、本発明の第１の目的は、二重化したＳＣＦ間
での通信処理を実現可能とすることにより、両ＳＣＦ間
の処理に一貫性を持たせるとともに、片系異常時でも適
切な処理を迅速に行うことを可能とし、ノーストップ・
システムを実現することである。本発明の第２の目的
は、共通資源の排他制御や、片系故障時の切り離し処理
および他系資源の監視引き継ぎを容易にすることであ
る。本発明の第３の目的は、二重化した両ＳＣＦ間の通
信異常を迅速に検出し、ハード異常なのか他系未実装に
よる通信異常なのかを認識できるようにするとともに、
受信エラーの検出や受信エラー発生時の他系への通知処
理および再送事象の検索処理を容易にすることである。

【０００５】本発明の第４の目的は、システム動作中の
まま、片系のＳＣＦを交換することを可能とするととも
に、活性挿入されたＳＣＦに対して、動作中のＳＣＦの
内部情報を引き継ぐことができるようにし、あたかもず
っと二重化状態で動いていたように動作をさせることで
ある。本発明の第５の目的は、二重化した両ＳＣＦ間で
お互いの機能レベルの自動認識を可能とすることによ
り、機能版数が異なった状態で動作することをなくし、
二重化システムの動作を常に保証することである。本発
明の第６の目的は、他系の自己診断時の異常を迅速に検
出できるようにし、自己診断異常時に適切な処理を行え
るようにすることである。

【０００６】

【課題を解決するための手段】図１は本発明の原理図で
ある。同図において、１はメインプロセッサ、２はメイ
ンプロセッサと監視／制御プロセッサ間を接続するバ
ス、３ａ，３ｂは、監視、制御、保守等を行う監視／制
御プロセッサであり、監視／制御プロセッサ３ａ，３ｂ
は同一の構成を有し、両系の間に通信手段４が設けられ
ている。５は監視／制御プロセッサ３ａ，３ｂがそれぞ
れ監視・制御する固有資源、６は監視／制御プロセッサ
３ａ，３ｂの両方が監視・制御する共有資源である。

【０００７】図１に示すように、本発明においては次の
ようにして前記課題を解決する。 （１）メインプロセッサ１とは独立して設けられたシス
テムの監視、制御、保守を行うための監視／制御プロセ
ッサを二重化し、二重化された監視／制御プロセッサ３
ａ，３ｂによりシステムの監視・制御を行うに際して、
監視／制御プロセッサ３ａ，３ｂ間相互で通信を行うた
めの通信手段４を設け、発生した事象を上記監視／制御
プロセッサ３ａ，３ｂ間で相互に通知し、互いに相互の
状態を把握しながらシステムの状態を監視・制御する。 （２）上記（１）において、二重化された監視／制御プ
ロセッサ３ａ，３ｂ間で一定時間毎に所定の通知事象
（alive message)を交換することにより、互いに監視／
制御プロセッサの動作を監視する。 （３）上記（１）（２）において、監視／制御プロセッ
サ３ａ，３ｂ間で通知事象を送信する際、シーケンス番
号を付与して送信し、シーケンス番号により受信エラー
発生時の再送処理を行う。

【０００８】（４）上記（１）（２）（３）において、
監視／制御プロセッサ３ａ，３ｂ間の通信異常を全て受
信側で検出し、通信異常の検出結果に基づき、通信異常
の原因を切り分ける。 （５）上記（１）（２）（３）（４）において、他系の
監視／制御プロセッサの実装／未実装状態を検出し、通
信異常が検出されたとき、上記検出結果に基づき他系の
監視／制御プロセッサの未実装による異常であるか否か
を判別する。 （６）上記（１）（２）（３）（４）（５）において、
二重化された監視／制御プロセッサ３ａ，３ｂのそれぞ
れが監視・制御する固有資源５に事象が発生したとき、
該事象を検出した監視／制御プロセッサがメインプロセ
ッサ１に事象を通知するとともに、他系の監視／制御プ
ロセッサに上記事象を通知し、他系の監視／制御プロセ
ッサは、上記事象を検出した監視／制御プロセッサがメ
インプロセッサ１に事象を通知できない場合にのみ、上
記通知された事象をメインプロセッサ１に通知する。

【０００９】（７）上記（１）（２）（３）（４）
（５）（６）において、二重化された監視／制御プロセ
ッサ３ａ，３ｂの両方が監視・制御する共有資源６に事
象が発生したとき、監視／制御プロセッサ３ａ，３ｂの
それぞれが他系の監視／制御プロセッサに事象の発生を
通知し、予め定められた監視／制御プロセッサもしくは
正常な監視／制御プロセッサが他系の監視／制御プロセ
ッサからの事象の発生の通知を待って、メインプロセッ
サ１に事象の通知を行う。 （８）上記（６）（７）において、二重化された監視／
制御プロセッサ３ａ，３ｂ間に通信異常が発生した場
合、二重化された監視／制御プロセッサ３ａ，３ｂのそ
れぞれが監視・制御する固有資源５については、それぞ
れの監視／制御プロセッサ３ａ，３ｂが担当する資源５
の監視を継続し、上記資源５に事象が発生したとき、そ
れぞれの監視／制御プロセッサがメインプロセッサ１に
事象を通知する。また、二重化された監視／制御プロセ
ッサ３ａ，３ｂの両方が監視・制御する共有資源６につ
いては、常に両方の監視／制御プロセッサ３ａ，３ｂが
資源６の監視を継続し、上記資源６に事象が発生したと
き、他系の監視／制御プロセッサからの通知を待たず
に、事象をメインプロセッサ１に通知する。

【００１０】（９）上記（８）において、二重化された
監視／制御プロセッサ３ａ，３ｂの一方を活性交換する
際、他系の監視／制御プロセッサに活性交換することを
通知して、上記活性交換される監視／制御プロセッサが
監視していた資源の監視を他系の監視／制御プロセッサ
に引き継ぐとともに、上記他系の監視／制御プロセッサ
を監視／制御プロセッサ間通信異常状態で動作させる。
そして、一方の監視／制御プロセッサの活性交換したの
ち、該監視／制御プロセッサの自己診断終了を待って、
上記他系の監視／制御プロセッサの通信異常状態を復旧
させて、二重化された監視／制御プロセッサによる監視
・制御を再開させる。 （１０）上記（９）において、二重化された監視／制御
プロセッサ３ａ，３ｂの一方を活性交換した後、二重化
された監視／制御プロセッサのそれぞれが監視・制御す
る固有資源５については、活性交換されなかった監視／
制御プロセッサが引き続き担当の資源の監視／通知を行
うとともに、活性交換後の監視／制御プロセッサが起動
時から担当する資源の監視／通知を行う。また、二重化
された監視／制御プロセッサ３ａ，３ｂの両方が監視・
制御する共有資源６については、通信異常が復旧したの
ち、両方の監視／制御プロセッサが資源の監視／通知を
行い、上記資源に事象が発生したとき、他系の監視／制
御プロセッサからの通知を待って、事象をメインプロセ
ッサ１に通知する。

【００１１】（１１）上記（１）（２）（３）（４）
（５）（６）（７）（８）（９）（１０）において、二
重化された監視／制御プロセッサ３ａ，３ｂを起動する
際、監視／制御プロセッサ３ａ，３ｂの機能版数を互い
に通知して、他系の機能版数を認識し、自系と他系の監
視／制御プロセッサ３ａ，３ｂの機能版数が不一致の場
合、機能版数が高い方の監視／制御プロセッサの機能レ
ベルを、機能版数が低い監視／制御プロセッサの機能レ
ベルに落として動作させる。 （１２）上記（９）（１０）（１１）において、二重化
された監視／制御プロセッサ３ａ，３ｂの一方を活性交
換した後、監視／制御プロセッサ３ａ，３ｂの機能版数
を互いに通知して、他系の機能版数を認識し、活性交換
後の監視／制御プロセッサ３ａ，３ｂの機能版数が、活
性交換されなかった監視／制御プロセッサの機能版数よ
り高いとき、活性交換後の監視／制御プロセッサの機能
レベルを活性交換されなかった監視／制御プロセッサの
機能レベルに落として動作させる。また、活性交換後の
監視／制御プロセッサの機能版数が、活性交換されなか
った監視／制御プロセッサの機能版数より低いとき、活
性交換異常を通知する。

【００１２】（１３）上記（１）（２）（３）（４）
（５）（６）（７）（８）（９）（１０）（１１）（１
２）において、二重化された監視／制御プロセッサ３
ａ，３ｂを起動する際、予め定められた一方の系の監視
／制御プロセッサに自己診断を行わせ、上記自己診断の
終了の通知を待って、もしくは、所定の時間経過後、他
系の監視／制御プロセッサの自己診断を開始させる。そ
して、一方の監視／制御プロセッサの自己診断異常が検
出されたとき、他系の監視／制御プロセッサが正常に立
ち上がった後、他系の監視／制御プロセッサに自己診断
異常を通知する。また、他系の監視／制御プロセッサに
応答が返ってこないとき、他系の監視／制御プロセッサ
は、一方の監視／制御プロセッサが未実装もしくはハン
グアップであると認識する。 （１４）上記（１３）において、自己診断異常を検出さ
れた系の監視／制御プロセッサは、他系の監視／制御プ
ロセッサに異常の内容を示す情報を送信し、他系の監視
／制御プロセッサが、上記監視／制御プロセッサの異常
を外部に通知する。また、自己診断中の監視／制御プロ
セッサがハングアップしたとき、他系の監視／制御プロ
セッサは、所定期間、応答が上記監視／制御プロセッサ
から返ってこないことにより上記監視／制御プロセッサ
がハングアップしたことを検出し、上記監視／制御プロ
セッサの異常を外部に通知する。

【００１３】以上のように、本発明の請求項１，１５の
発明においては、上記（１）のようにしたので、お互い
の状態を把握しながらメインプロセッサに対して同じ動
作を行うことができ、二重化された監視／制御プロセッ
サに全体として一つの動作を行わせることができる。ま
た、片系異常時、これを迅速に検出し、適切な処理（シ
ステムダウンしないように、正常な系で制御）を継続す
ることが可能となる。本発明の請求項２，１６の発明に
おいては、上記（２）のようにしたので、一定時間、事
象（alive message)が通知されなかったことをタイマの
タイムアウトにより知ることができ、タイムアウトによ
り他系に何らかの異常が発生したことを知ることが可能
となる。また、上記事象（alive message)の送信権をい
ずれか一方の系が持つという機能を利用することによ
り、共通資源のアクセス権等の排他制御を行うことが可
能となる。

【００１４】本発明の請求項３，１７の発明において
は、上記（３）のように構成したので、送受信した全て
の事象をシーケンス番号により管理することができ、ま
た、送信側では、送信した事象の記憶と、再送依頼時の
再送事象の取り出しが容易となる。また、受信側では、
事象単位のシーケンスチェックによって、未受信事象の
検出が可能となり、送信側への再送依頼もエラーとなっ
たシーケンス番号を通知するだけでよく、処理が簡略化
される。本発明の請求項４の発明においては、上記
（４）のようにしたので、通信異常を全て受信側で検出
することができ、また、検出機構によって通信異常の原
因の予測が可能となり、通信異常に対して適切な処理を
行うことが可能となる。また、通信異常が発生した場
合、これをいち早く検出し、適切な処理を行うことによ
って、通信異常が発生した場合であってもシステムの動
作を保証することができる。

【００１５】本発明の請求項５，１８の発明において
は、上記（５）のようにしたので、他系を未実装のまま
立ち上げた場合や、運用中に他系が不当に抜かれた場
合、通信異常でないことを知ることができ、他系未実装
という適切なメッセージを外部に通知することができ
る。本発明の請求項６の発明においては、上記（６）の
ようにしたので、正常状態で動作中は特に意味をもたな
いが、固有資源の事象検出した系においてメインプロセ
ッサに事象通知できない異常が発生した際、他系から代
替通知をさせることができる。また、他系の固有資源と
自系の固有資源の２つの状態を総合的に判断し、適切な
処理を行うことができる。

【００１６】本発明の請求項７の発明においては、上記
（７）のようにしたので、共有資源のメインプロセッサ
に対する事象通知を、両系で検出した時のみに一方の系
から通知させることができ、二重化された監視／制御プ
ロセッサ全体を一つのシステムとして動作させることが
できる。また、片系が異常時や通信異常時でも動作を継
続することができる。本発明の請求項８の発明において
は、上記（８）のようにしたので、二重化された監視／
制御プロセッサ間の通信異常時でも、システムを継続し
て動作し続けることが可能となる。本発明の請求項９の
発明においては、上記（９）のようにしたので、運用状
態のまま、個々の監視／制御プロセッサを交換すること
ができ、片系の異常ではダウンしないノーストップシス
テムを実現することができる。本発明の請求項１０の発
明においては、上記（１０）のようにしたので、監視／
制御プロセッサが後から活性挿入された場合でも、運用
中の監視／制御プロセッサから情報を引き継ぎ、両系を
矛盾なく動作させることが可能となる。

【００１７】本発明の請求項１１の発明においては、上
記（１１）のようにしたので、両系が異なる版数のまま
動作することを防止することができる。本発明の請求項
１２の発明においては、上記（１２）のようにしたの
で、活性挿入された監視／制御プロセッサの機能版数
が、動作中の監視／制御プロセッサの機能版数より低い
とき、活性挿入を拒否し、正しい機能版数の監視／制御
プロセッサが挿入されるまで、挿入前の状態で動作を継
続させることができる。本発明の請求項１３の発明にお
いては、上記（１３）のようにしたので、両系で自己診
断を行っていた場合であっても、自己診断中の異常を、
正常な系が立ち上がったのちに、確実に検出することが
可能となる。本発明の請求項１４の発明においては、上
記（１４）のようにしたので、他系が自己診断中に異常
を検出したり、異常によりハングアップした場合でも、
正常に動作している系により、外部に異常を通知するこ
とが可能となる。

【００１８】

【発明の実施の形態】図２は、本発明の実施例のシステ
ムの構成と監視資源を示す図である。同図において、１
０はメインプロセッサ、１２，１３は二重化されたＳＣ
Ｆであり（ＳＣＦ１２，１３を、それぞれ＃Ａ系ＳＣＦ
１２、＃Ｂ系ＳＣＦ１３という）、＃Ａ系、＃Ｂ系のＳ
ＣＦ１２，１３は同一の構成を備えている。上記メイン
プロセッサ１０と各ＳＣＦ１２，１３はＳＣバス（ＳＣ
Ｆとメインプロセッサ間通信線）１１で接続されてい
る。１４はＳＣＦ１２，１３をハード的に接続する信号
線（ＳＣＦＬｉｎｋ）であり、後述するようにＳＣＦ間
通信レジスタに接続されている。１５はＲＳ２３２Ｃイ
ンタフェース、１６は外部無停電電源装置（外部ＵＰ
Ｓ）、１７は外部設備、ＥＰＣは外部電源制御インタフ
ェース、１８は拡張装置、ＲＣＩは拡張装置制御インタ
フェース、１９は拡張装置電源、ＥＤＰＣＩは拡張装置
電源制御インタフェース、２０は温度センサ、２１はフ
ァンである。また、２２はオペレータ操作パネル、２３
はサブ電源装置（ＰＳＵ）、２４は内蔵無停電電源装置
（ＵＰＳ）、２５はメイン電源装置（ＰＤＵ）である。

【００１９】図２に示すように、各ＳＣＦ１２，１３に
は二重化された監視資源が接続されているが、外部無停
電電源装置（外部ＵＰＳ）１６、拡張筐体制御インタフ
ェースＲＣＩ、温度センサ２０等は固有資源である。ま
た、メイン電源（ＰＤＵ）２５、内蔵無停電電源装置
（ＵＰＳ）２４、ファン２１、オペレータ操作パネル２
２等は共用資源であり、両系から監視可能であ。それぞ
れのＳＣＦ１２，１３は、上記したようにＳＣバス１１
によってメインプロセッサと接続されているが、両系で
監視している資源の事象は、いずれかの系から一回だけ
通知する必要があり、また、他系の通知担当資源の事象
でも、例えば、いずれかのＳＣバスが断線した場合等に
は、正常な系から代替通知が行えるように構成されてい
る。

【００２０】次に本発明の実施例の各部の構成および動
作について説明する。 （１）ＳＣＦ間通信 図３は本発明の実施例のＳＣＦ間通信の概略構成を示す
図である。同図において、１０はメインプロセッサ、１
１はＳＣバス、１２，１３は二重化されたＳＣＦボード
である。＃Ａ系ＳＣＦボート１２、＃Ｂ系ＳＣＦボード
１３は、ＳＣＦ間通信を行うため、それぞれＳＣＦ間通
信用レジスタ１２ａ，１３ａを備えており、ＳＣＦ間通
信用レジスタ１２ａ，１３ａは受信用レジスタＥＣＯＭ
Ｒ１と送信用レジスタＥＣＯＭＲ２から構成されてい
る。＃Ａ系ＳＣＦボード１２の受信用レジスタＥＣＯＭ
Ｒ１と＃Ｂ系ＳＣＦボード１３の送信用レジスタＥＣＯ
ＭＲ２はハード的にシリアル転送を行う信号線１４によ
り接続されており、また、＃Ｂ系ＳＣＦボード１２の受
信用レジスタＥＣＯＭＲ１と＃Ａ系ＳＣＦボード１２の
送信用レジスタＥＣＯＭＲ２は、同様な信号線１４によ
り接続されており、送信用レジスタＥＣＯＭＲ２にデー
タを書き込むと、他系のＳＣＦに送信され、受信用レジ
スタＥＣＯＭＲ１に上記データが書き込まれる。１２
ｂ，１３ｂは送受信処理を行うＳＣＦファームウエア、
１２ｃ，１３ｃはＳＣＦ制御用ＣＰＵである。

【００２１】図４は、ＳＣＦ間通信用レジスタ１２ａ，
１３ａにおける受信用および送信用レジスタＥＣＯＭＲ
１，ＥＣＯＭＲ２の構成を示す図である。受信用および
送信レジスタＥＣＯＭＲ１，ＥＣＯＭＲ２は同図に示す
ように、１６ビット構成であり、下位９ビット（ＦＣ
Ｒ，ＥＣＯＮＤ）は共通のデータ領域、ビット１５（Ｉ
ＮＴ）は割り込みに使用される。送信用レジスタＥＣＯ
ＭＲ２のＩＮＴビットに１を設定すると他系の受信用レ
ジスタＥＣＯＭＲ１のＩＮＴビットに１がセットされ、
その系のＳＣＦ制御用ＣＰＵに割り込みが通知される。
また、ビット１４（ＰＥＲＲ）にはパリティ異常時に１
がセットされる。すなわち、１６ビットのレジスタに１
ビットのパリティがハードウェアで付加され、受信時に
ハードウェアでパリティチェックを行い、パリティ異常
時にビット１４（ＰＥＲＲ）に１がセットされる。

【００２２】図３、図４において、送信側のＳＣＦファ
ームウェア１２ｂまたは１３ｂは他系への通知事象が発
生すると、通知データを送信用レジスタＥＣＯＭＲ２に
書き込み、ＩＮＴビットに１をセットする。このデータ
は信号線１４を介して受信側のＳＣＦに送信され、受信
用レジスタＥＣＯＭＲ１に書き込まれる。受信用レジス
タＥＣＯＭＲ１のＩＮＴビットに１が書き込まれると、
ＳＣＦ制御用ＣＰＵに割り込みが上がり、ＣＰＵから起
動されたＳＣＦファームウェア１２ｂまたは１３ｂの割
り込みハンドラは受信用レジスタＥＣＯＭＲ１を読み取
り、ＳＣＦ間通信が実現される。

【００２３】図５はＳＣＦ間通信レジスタのアクセス方
法を示す図である。本実施例のＳＣＦ間通信レジスタ１
２ａ，１３ａは、同図に示すように、１バイトずつのＲ
ＥＡＤ／ＷＲＩＴＥしか行うことができない。従って、
複数バイトを送受信できるようにするため、コマンド方
式によりデータ送信を行い、送信するデータ長をコマン
ド毎にあらかじめ規定する。また、通知事象発生時の送
信データ長は不定なので、１パケットの送信データの先
頭と最後に必ずコマンドを付して１バイトずつ送信を行
う。図６はＳＣＦ間通信レジスタ１２ａ，１３ａの使い
方を説明する図であり、同図に示すように、送信データ
がコマンドの場合には、送信用レジスタＥＣＯＭＲ２の
ビット１５のＩＮＴ、ビット８のＦＣＲをそれぞれ１に
セットし、０〜７ビットのＥＣＯＮＤの上位４ビットに
コマンド種別を、また、下位４ビットに詳細コードをセ
ットする。また、送信データがデータの場合には、ＥＣ
ＯＭＲ２のビット１５のＩＮＴを１に、ビット８のＦＣ
Ｒを０にセットし、０〜７ビットのＥＣＯＮＤにデータ
を設定する。

【００２４】図７はコマンド別送信形式を示す図であ
り、同図に示すように、コマンドには以下のものがあ
り、次の形式を持つ。 「フェーズ通知」 自己診断中に送信されるコマンドであり、詳細コード
は、自己診断フェーズを示すフェーズ番号である。 「自己診断エラー通知」 自己診断エラーが発生したとき通知されるコマンドであ
り、詳細コードはコマンドシーケンス番号（後述する）
である。また、送信データは、ログコードと、オペレー
タ操作パネル２２に設けられた液晶表示装置（以下、Ｌ
ＣＤという）の上段および下段への表示コードである。 「機能版数通知」 ＳＣＦの機能レベル（以下、機能版数という）を通知す
るためのコマンドであり、「初期通知」と、ＳＣＦが非
活性（ＳＣＦが動作中でない）であることを通知する
「非活性通知」、ＳＣＦが活性状態であるとき通知され
る「活性応答」があり、詳細コードにより種別が通知さ
れる。また、送信データは自系の機能版数である。

【００２５】「alive message 」 両系ＳＣＦ間で一定時間毎にある決まった通知事象（こ
の通知事象を以後、alive message という）を交換する
ことにより、常に他系の状態を監視することができる
（alive message の交換については後述する）。図７の
「alive message 」は上記したalive message を通知す
るためのコマンドであり、「通常通信」と「送信異常
時」があり、詳細コードは、シーケンス番号である。 「再送依頼」 受信エラーが発生したとき再送依頼を行うためのコマン
ドであり、詳細コードはエラー検出したシーケンス番号
である。 「データ開始」 データ開始を示すコマンドであり、詳細コードはシーケ
ンス番号、送信データは送信データ＋終了コードであ
る。 「データ終了」 送信データの終了を示すコマンドであり、詳細コード
は、送信データ長であり、送信データは送信したデータ
のサムデータである。

【００２６】図５において、送信は次のように行われ
る。 (a) 送信は必ず１バイト単位とし、送信側のＳＣＦは、
１バイト書き込んだ後、続けてデータを書き込む場合
は、相手が読み取ったことを確認せずに、一定時間以上
の間隔を空けて、データを書き込む（他系が読み取る前
に、次のデータを書き込んでしまうオーバランのチェッ
クは受信側で行う）。 (b) 受信側は、１回の割り込みが上がると受信用レジス
タＥＣＯＭＲ１を一回リードして他系からの通知データ
を読み取る。 (c) 複数バイトのデータ送信中に、alive message 通知
または通知事象が発生した場合は、送信中のデータ送信
が全て完了するまで待ってから送信する。 (d) 但し、受信エラー時の再送依頼を送信する場合は、
複数バイトデータの送信完了を待たずに再送依頼を送信
中のデータの間に割り込んで送信する。

【００２７】図８は通知事象発生時の送信シーケンスを
示す図であり、同図に示すように、通知事象が発生する
と、データ開始コマンドを送信したのち、データを１バ
イト目から最終バイト目まで送信する。受信側では、該
受信データを記憶する。そして、データ終了コマンドが
通知されると、受信側では、終了コマンドにより送られ
たデータ長データと実際に受信したデータ長を比較チェ
ックする。さらに、送信側から１パケットの送信データ
の全ての和であるサムデータが送信されてくると、サム
チェックを行う。

【００２８】図９は複数バイト送信中の通知事象発生時
の処理を示す図である。同図に示すように、通知事象Ａ
が発生し通知事象Ａのデータを送信し、ｎバイト目まで
送信したとき、alive message 等の通知事象Ｂが発生し
ても、このデータは送信待ちになる。一方、通知事象Ａ
の送信中に再送依頼による通知事象Ｃが発生すると再送
依頼は即送信され、受信側でエラー処理（再送処理）が
行われる。そして、通知事象Ａの送信が終了した後に、
前記送信待ち状態であった通知事象Ｂが送信される。

【００２９】図１０はＳＣＦ間通信におけるシーケンス
チェック処理を示す図である。ＳＣＦ間通信を行う際、
通知事象にシーケンス番号を付与して送信し、送信側、
受信側でシーケンス番号により、未受信エラーの検出
や、受信エラー発生時の再送処理を実現する。また、Ｓ
ＣＦは、送信済事象とシーケンス番号を一定数記憶する
送信事象管理テーブルを備えており、該テーブルにより
送信履歴を管理する。

【００３０】すなわち、図１０に示すようにデータの送
信が行われる。 (a) 通知事象（発生事象、alive message ）を送信する
際、通知事象毎に一連のシーケンス番号（０〜ｎ）を付
与して、通知事象と一緒に他系のＳＣＦに送信する（シ
ーケンス番号がｎを越えたら０に戻す）。 (b) 送信側は、送信履歴として送信済事象とシーケンス
番号を管理テーブルに一定数記憶しておく（例えばｎ＋
１個、古いデータは破棄する）。上記送信済事象とシー
ケンス番号は、再送依頼時に必要であり、シーケンスエ
ラーが発生しシーケンス番号を付して再送依頼があった
とき、上記管理テーブルから該当事象を取り出し再送す
る。また、再送する場合にも、新たなシーケンス番号を
付与して送信する。 (c) 受信側では、受信したシーケンス番号の最新の値を
記憶しておく。これは、受信したシーケンス番号と、受
信済シーケンス番号から受信エラーを検出するために必
要であり、受信したシーケンス番号が、前回受信のシー
ケンス番号＋１でない場合、〔前回受信シーケンス番号
＋１〕〜〔今回受信シーケンス番号−１〕までを未受信
エラーとして、他系に再送依頼する。

【００３１】例えば、図１０に示すように、通知事象Ｂ
（シーケンス番号Ｎｏ．３）が未受信であり、シーケン
ス番号Ｎｏ．２の通知事象Ａの次にシーケンス番号Ｎ
ｏ．４の通知事象Ｃを受信したとき、シーケンス番号Ｎ
ｏ．３（〔Ｎｏ．２＋１〕＝Ｎｏ．３〜〔Ｎｏ．４−
１〕＝Ｎｏ．３）のデータが未受信であるとして、再送
依頼を行う。送信側では、再送依頼があると、送信対象
管理テーブルから該当事象（通知事象Ｂ）を取り出し、
新たなシーケンス番号Ｎｏ．５を付与して再送する。

【００３２】（２）alive message による状態監視 前記したように、上記したＳＣＦ間通信機能を用いて、
両系ＳＣＦ間で一定時間毎にある決まった通知事象（こ
の通知事象をalive message という）を交換することに
より、常に他系の状態を監視することが可能となる。す
なわち、他系にalive message を送信したら、他系が一
定時間alive message を保持した後、再び自系に送信さ
れてくるような仕組みにしておくと、一定時間経っても
alive message が送信されてこなかった場合、他系に異
常が発生したと判断することが可能となる。

【００３３】具体的には、常に何れかの系でalive mess
age の送信権（alive message 保持中の状態で、次にal
ive message を送信する権利）を持たせておくように
し、alive message の送信権は、他系からalive messag
e を受信するか、一定時間（ｍ）のalive message 獲得
タイマがタイムアウトしたとき獲得するようにする。ま
た、alive message を獲得した系は、一定時間（ｎ）の
保持タイマを設定し、保持タイマがタイムアウトしたと
き、他系にalive message を送信して送信権を放棄す
る。上記のようにすることにより、正常時は常に何れか
の系がalive message の送信権を持つようになる。そし
て、獲得タイマのタイムアウトによってalive message
送信権を獲得した場合は、他系がalive message を通知
できない何らかの異常が発生したと判断する。

【００３４】図１１、図１２、図１３は上記したalive
message の交換制御を説明する図であり、図１１は通常
時のalive message の交換制御、図１２は経路異常時の
alive message の交換制御、図１３は他系の未実装また
はハングアップの場合を示している。図１１において、
＃Ａ系において、保持タイマがタイムアウトすると、al
ivemessage を＃Ｂ系に送信し、alive message の送信
権を放棄する。また、それと同時に獲得タイマを設定し
動作を開始させる。＃Ｂ系においては、上記alive mess
age を受信すると、獲得タイマの動作を停止し、保持タ
イマを設定して動作を開始する。そして、＃Ｂ系におい
て、保持タイマがタイムアウトすると、alive message
を＃Ａ系に送信し、alive message の送信権を放棄す
る。また、それと同時に獲得タイマを設定し動作を開始
させる。

【００３５】上記したalive message の交換制御におい
て、通信経路に異常が発生すると、図１２に示すように
なる。両系で相互にalive message を交換していると
き、同図に示すように、＃Ａ系が＃Ｂ系にalive messag
e を送信したとき経路異常が発生すると、＃Ｂ系ではal
ive message が受信されないので、獲得タイマがタイム
アウトし、送信権を獲得する。そして、保持タイマを設
定し、保持タイマがタイムアウトしたとき、＃Ａ系にal
ive message を送信し送信権を放棄するとともに、獲得
タイマを設定して動作を開始させる。次いで、経路異常
により＃Ａ系からのalive message が再び＃Ｂ系で受信
されないと、上記と同様、＃Ｂ系の獲得タイマがタイム
アウトし、＃Ｂ系が送信権を獲得する。

【００３６】なお、図１２の片系の通信経路異常の例で
は、他系は動作中であるが、alivemessage 送信権が重
なることはないので、後述する共用資源の排他制御は問
題なく継続される。また、上記したalive message の交
換制御において、他系のＳＣＦが未実装の場合、または
ハングアップ（停止）した場合には、図１３に示すよう
になる。すなわち、＃Ａ系と＃Ｂ系でalive message を
交換している際、図１３に示すように、＃Ａ系のＳＣＦ
ボードが抜かれて未実装状態になったり、あるいは、＃
Ａ系のＳＣＦがハングアップした場合には、図１２と同
様、＃Ｂ系ではalive message が受信されないので、獲
得タイマがタイムアウトし、送信権を獲得する。そし
て、保持タイマを設定し、保持タイマがタイムアウトし
たとき、＃Ａ系にalive message を送信し送信権を放棄
するとともに、獲得タイマを設定して動作を開始させ
る。次いで、経路異常により＃Ａ系からのalive messag
e が再び＃Ｂ系で受信されないと、上記と同様、＃Ｂ系
の獲得タイマがタイムアウトし、＃Ｂ系が送信権を獲得
する。

【００３７】以上のように、獲得タイマのタイムアウト
によって＃Ｂ系がalive message 送信権を獲得した場合
は、＃Ａ系がalive message を通知できない何らかの異
常が発生したと判断することができる。なお、前記した
シーケンスエラーは、通知事象が発生しない限り検出で
きないが、上記のようにシーケンス番号が付与されたal
ive message を定期的に交換することにより、通知事象
が発生しない場合であっても、問題なく通信異常を検出
することができる。

【００３８】（３）通信異常の検出と原因の切りわけ及
び通信異常時の処理 （i ）通信異常の定義と原因 何らかの異常を検出し、ＳＣＦｌｉｎｋが正常に機能し
ていない状態を通信異常とする。通常時を含め、ＳＣＦ
の状態をシステム全体から見た場合、そのパターンは図
１４に示すように４パターンがある。図１４において、
片系のＳＣＦ（＃Ａ系）に着目した場合、相手からの事
象が受信できない場合に通信異常（同図のパターン３，
４）になっていることが分かる。ここで、送信が正常に
いっていても、異常であっても送信している系の処理は
変わらないため、通信異常は、相手の通信異常要因には
なるが、自系を通信異常とはしない。また、この定義に
よると通信異常が発生する原因としては、大きく分けて
通信経路が異常（ハード異常）の場合と、他系が停止
（ハングアップ）した場合、および、他系が未実装の場
合の３通りが考えられる。

【００３９】（ii）通信異常の検出方法 上記（i ）で述べたように、受信側は、自分が正常に受
信できない事により、通信異常を検出できるが、送信側
は相手が正常に受信したかどうかを自力で検出する事は
できず、また、検出しても通信異常であるためにそれを
確実に相手に通知できる保証はない。以上のことから、
通信異常の検出は受信側で行うものとし、送信側ではチ
ェックは行わない。本実施例では、図１５に示すように
３つの検出機構により通信異常の検出を行う。以下の全
ての原因に対する通信異常は、受信側で検出することが
できる。

【００４０】(a) 受信エラーの発生 受信エラーの発生は、後述するように、パリティチェッ
ク、受信データ長チェツク、受信データサムチェック、
シーケンスチェックにより検出することができる。ま
た、その異常原因は、ハード異常（通信経路異常等）で
ある。 (b) alive message 獲得タイムアウト 前記（２）で説明したように、alive message の交換制
御により何らかの異常が発生したことを検出することが
できる。この場合の異常原因は、ハード異常（通信経路
断線等）、他系ＳＣＦ未実装、他系ＳＣＦハングアップ
（停止）である。 (c) 異常要因検出 上記以外の異常要因としては、後述するように他系のＳ
ＣＦ未実装検出、他系のＳＣＦ停止通知受信、他系の自
己診断認識がある。これらの異常要因は、他系ＳＣＦ未
実装、他系ＳＣＦハングアップ、他系ＳＣＦ活性交換
（システム動作中における他系ＳＣＦの交換）、他系自
己診断中の場合である。

【００４１】（iii) 受信エラー検出 受信エラーの検出について詳述する。ＳＣＦファームウ
ェア１２ｂ，１３ｂは、次のようなチェック機構を備え
ており、各チェック機構により受信エラーを検出し、受
信エラー検出時、エラー通知（再送依頼）、返信処理
（受信エラーシーケンス番号の決定）を次のように行
う。 (a) パリティエラー検出 受信用レジスタＥＣＯＭＲ１の読み込み時に、ハードウ
ェアが検出したパリティエラービットがオンの場合、パ
リティエラーとする。パリティエラーを検出した場合、
受信データおよび受信済データを破棄し、未受信状態と
する。この時点では再送依頼は行わない。これは、次の
コマンド受信時に、受信エラーを検出できるためであ
る。また、パリティエラーを検出した以降、次のコマン
ドを受信するまで、受信データは全て破棄する。そし
て、コマンド受信時に、受信エラー（データ長不一致、
または、シーケンスエラー）となり、再送依頼が送信さ
れる。

【００４２】(b) データ長不一致検出 通知事象を送信するとき、送信データのデータ長をコマ
ンドに付与して送信し、受信側で受信したデータのデー
タ長が、コマンドで通知されたデータ長と不一致の場合
に、受信データ長不一致とする。データ長不一致を検出
した時点で送信側に再送依頼を送信し、受信済データは
破棄する。また、再送依頼するシーケンス番号は、受信
完了シーケンス番号＋１（受信中シーケンス番号）とす
る。

【００４３】(c) サムチェックエラー検出 通知事象を送信するとき、送信データの全ての和のサム
値を計算して最後に送信し、受信側で受信中のデータの
サム計算を行い、最後に送られてきたサム値と比較する
ことにより受信データの正当性をチェックする。サムチ
ェックエラー検出時、受信した時点で送信側に再送依頼
を送信し、受信済データは破棄する。また、再送依頼す
るシーケンス番号は、受信完了シーケンス番号＋１（受
信中シーケンス番号）とする。

【００４４】(d) シーケンスエラー検出 前記したように、受信した通知事象のシーケンス番号
が、前回受信した通知事象のシーケンス番号＋１でない
場合、シーケンスエラーとする。開始コマンドを受信せ
ずに、データを受信した場合は、そのデータを破棄し、
未受信状態のままとする。これは、終了コマンド等受信
時に再度エラー検出できるためである。上記以外のシー
ケンスエラーを検出した場合は、検出した時点で送信側
の再送依頼を送信する。また、受信済データは破棄す
る。再送依頼するシーケンス番号は、受信していないシ
ーケンス番号とする。すなわち、前記したように、〔前
回までに正常に受信したシーケンス番号＋１〕〜〔今回
正常に受信したシーケンス番号−１〕である。なお、未
受信の事象が２つ以上ある場合は、連続して再送依頼を
送信する。

【００４５】（iv）通信異常時の処理 通信異常が発生した場合、以下の処理を行うことによっ
て、通信異常が発生した状態でのシステム動作を保証す
る。 (a) 通信異常検出時の処理 メインプロセッサ１０へ「通信異常」を通知する。 メモリにエラーログを出力する。 オペレータ操作パネル２２のＬＣＤに異常表示をす
るとともに、チェックランプを点灯する。 (b) 通信異常中の処理 alive message 交換制御はそのまま継続する。 他系への送信処理は継続する。 他系からの受信事象は読み捨てる。 受信エラー発生を他系に通知しない（再送依頼未送
信）。 通信異常時のシステム監視事象は、それぞれのＳＣＦが
独立して通知を行う。したがって、通信異常状態時に限
り、共有資源で事象が発生した場合は、両系から異常通
知される場合がある。

【００４６】（v ）通信異常解除要因とその検出方法 通信異常が発生した場合、その原因がハード異常（ＳＣ
Ｆボードの異常等）とわかる場合は、交換されるまで通
信異常を復旧しない処理が必要である。また、単なる他
系未実装やハングアップしただけの場合には、リセット
によって復旧する必要がある。そこで、通信異常の復旧
は原因別に以下の条件を満たした場合に復旧させるよう
にする。

【００４７】(a) パリティエラー、通信経路異常等の復
旧 ハード異常のため、自系リセットもしくは他系の活性交
換完了により復旧させる。上記復旧は、次のように行わ
れる。なお、ＳＣＦ活性交換については後で詳述する。 他系ＳＣＦ未実装から実装を認識→フェーズ通知受信→
機能版数またはalivemessage 受信→通信異常復旧 (b) 他系ＳＣＦハングアップ又は他系ＳＣＦ未実装の復
旧 他系がリセットされ、自己診断完了にて復旧する。すな
わち、次のようにして復旧する。 フェーズ通知受信→機能版数又はalive message 受信→
通信異常復旧

【００４８】（４）他系ＳＣＦ未実装の検出 二重化システム通信において、一方の系の活性交換時
や、他系のＳＣＦ故障時など、片系のＳＣＦのみでの運
用（他系が未実装状態）を余儀なく行わなければならな
い場合がある。この場合は、内部的に通信異常を検出す
ることとなるが、それが本当の通信異常なのか、他系未
実装による異常なのかを見極める必要がある。そこで、
本実施例では、他系の実装／未実装状態をハード的に検
出し、レジスタのビットのＯＮ／ＯＦＦでＳＣＦファー
ムウェアに通知する仕組みを実現している。ＳＣＦファ
ームウェアは、上記レジスタを定期的にポーリングし
て、監視および内部フラグの更新を行うことにより、常
に他系の実装状態を把握することができる。

【００４９】他系ＳＣＦの未実装は具体的には次のよう
に検出する。 (a) 最初から他系未実装の場合 alive message 獲得タイマの連続タイムアウトにより、
通信異常を検出するので、この時、ポーリングにより更
新される上記内部フラグ（他系の実装状態を示す）を見
にいき、通信異常の原因が他系のＳＣＦ未実装によるも
のであるかを判断する。 (b) 運用中に他系のＳＣＦが抜かれた場合 上記レジスタをポーリングすることによって、他系のＳ
ＣＦが実装から未実装に変化した場合を検出することが
できるので、この時点で他系ＳＣＦ未実装による通信異
常処理を行い、この後、alive message 獲得タイマの連
続タイムアウトが発生しても異常処理を行わないように
する。以上のようにすることにより、他系が未実装のま
まシステムを立ち上げた場合や、運用中に不当に抜かれ
た場合でも、通信異常でなく、適切なメッセージ（他系
未実装）を外部に通知することができる。

【００５０】（５）資源の監視と事象通知 各ＳＣＦは次のようにして各資源の監視を行い、通知事
象が発生したとき、メインプロセッサに事象を通知し、
また、他系のＳＣＦに通知する。 (a) 片系固有で監視可能な事象の資源の監視と事象の通
知 前記図２に示した外部無停電電源装置（外部ＵＰＳ）１
６、拡張筐体制御インタフェースＲＣＩ、温度センサ２
０等、二重化した個々のＳＣＦのそれぞれが監視・制御
する固有資源において事象が発生した場合、検出した系
でメインプロセッサ１０に事象を通知する。また、ＳＣ
Ｆ間通信機能を使用して他系のＳＣＦに情報を通知する
（検出系からメインプロセッサ１０に事象通知ができな
い異常時に、他系ＳＣＦから代替通知させるため）。他
系のＳＣＦが通知すべき事象を、他系のＳＣＦから通知
された系は、その事象を保留しておき、特に処理は行わ
ない。なお、上記のように、他系がメインプロセッサ１
０に事象通知できないことを検出した場合は、保留して
いた事象、および、新たに通知された事象については、
他系に代わってメインプロセッサ１０に代替通知を行
う。

【００５１】(b) 両系で監視可能な資源の監視と事象通
知 メイン電源（ＰＤＵ）２５、内蔵無停電電源装置（ＵＰ
Ｓ）２４、ファン２１、オペレータ操作パネル２２等、
二重化したＳＣＦそれぞれが１個の資源を監視・制御す
る共有資源において事象が発生した場合は、両系で同じ
事象を検出することが可能である。しかしながら、両系
で事象を検出してメインプロセッサ１０に通知すると、
両系から同じ事象が二重に通知されることになってしま
う。また、検出回路の異常の場合で、片系でしか検出す
ることができなかった場合は、両系のＳＣＦ間で矛盾が
生ずる可能性がある。以上のことから、共有資源につい
ては、事象を検出した時点でＳＣＦ間通信機能を使用し
て他系に事象を送信し、他系からも同じ事象通知がきて
初めて処理を行うようにする。また、メインプロセッサ
１０への通知は、あらかじめ通知担当を分けて決めてお
き、二重に事象が通知されないようにしておく。なお、
他系が異常状態時には、他系事象通知担当分も処理する
ことで、システム全体としては、監視が継続されるよう
にする。

【００５２】（６）通常時および通信異常時のシステム
制御 二重化通信異常時は、通常時に対して以下のようなシス
テム制御を行うことによって、システムの動作を保証す
る。 （ｉ）通常時の動作 (a) 固有資源の監視／通知担当 それぞれの系が自分の担当の資源を監視する。 メインプロセッサ１０への通知は自分の担当の資源
の異常を検出した場合に通知する。 (b) 共有資源の監視／通知担当 共有資源は常に両系で監視する。 通知担当は予めいずれかに固定されている。 メインプロセッサ１０への通知は自分の担当の資源
の異常を検出し、且つ、他系から同じ異常を通知された
場合に通知する。

【００５３】(c) 共有資源の排他制御( オペレータ操作
パネル２２のＬＣＤ表示等） alive message 交換制御により、alive message 送
信権を持っている時のみ、アクセス権を獲得しアクセス
可能とする。例えば、オペレータ操作パネル２２のＬＣ
Ｄ表示あるいは操作スイッチの排他制御においては、al
ive message 送信権を持つＳＣＦがアクセス権を持つ。 アクセス権（alive message 送信権）を持っていな
い時にアクセス要因が発生した場合は、次のアクセス権
を持つまで待つ。

【００５４】（ii）通信異常時の動作 (a) 固有資源の監視／通知担当 それぞれの系が自分の担当の資源を監視する。 メインプロセッサ１０への通知は自分の担当の資源
の異常を検出した場合に通知する。 (b) 共有資源の監視／通知担当 共有資源は常に両系で監視する。 メインプロセッサ１０への通知権は無条件で獲得す
る。 通信異常を検出したら、他系からの異常通知を待た
ずにメインプロセッサ１０へ通知する。

【００５５】(c) 共有資源の排他制御( オペレータ操作
パネル２２のＬＣＤ表示等） alive message 交換制御はそのまま継続し、通常時
と同様alive message 送信権を持っている時のみ、アク
セス可能とする。なお、通信異常時といえども、アクセ
ス権をいずれかに持たせるようなことはしない。これ
は、他系から共通資源をアクセスできなくなることを防
ぐためであり、この方式によって片系のみの通信異常で
あれば、１００％排他制御が可能となる。また、両系が
通信異常の場合でも、初期（起動直後）のalive messag
e 送信権の獲得を両系で意識的にずらすことによって、
両系のアクセス権が重なることなく、排他制御が可能と
なる。 アクセス権（alive message 送信権）を持っていな
い時にアクセス要因が発生した場合は、次のアクセス権
を持つまで待つ。

【００５６】（７）ＳＣＦ活性交換 二重化システムにおいて、片系が故障した場合等に、運
用状態のまま故障したＳＣＦ等の交換を実現するＳＣＦ
活性交換について説明する。本実施例では以下に説明す
るように、システム運用状態のまま、個々のＳＣＦを交
換することができ、片系の異常ではダウンしないノース
トップを実現している（この運用中のＳＣＦ交換を、活
性交換又は活性挿入という）。 (a) 活性交換の認識 活性交換を行うには、まず動作中の正常系ＳＣＦに対し
て、保守ツールにて「他系停止通知」を発行する。「他
系停止通知」を受信した系は、他系がこれから活性交換
されると認識し、以後、他系未実装等の異常を検出して
も異常処理を行わないように、この時点で内部的に通信
異常状態とする。通信異常状態となった動作系ＳＣＦ
は、前記したように他系の監視範囲であった共有資源の
監視／通知権を引き継ぐため、システムとして動作し続
けることができる。

【００５７】(b) 活性交換の認識（交換後） ＳＣＦが交換され活性挿入されると、挿入された系はリ
セットされ、自己診断を開始し、他系に自己診断フェー
ズ通知を送信する。自己診断が終了すると、メインプロ
セッサ１０から内部引き継ぎ情報をＳＣＦコマンドにて
通知され、オンライン状態とする。一方、通信異常で動
作中であった系は、他系からの自己診断フェーズ通知を
受信することにより、他系がリセット（活性交換）され
たと認識し、自己診断終了後の機能版数通知（後述す
る）を受信することにより、通信異常状態を解除する。
これによって、二重化ＳＣＦによるシステム制御が再開
され、運用中の活性交換が実現する。

【００５８】図１６は活性交換の手順を示す図であり、
同図に示すように活性交換が実現される（以下の(1) 〜
(11)は図１６の丸数字に対応する）。 (1) 保守ツールから、正常なＳＣＦに他系を活性交換す
ることを通知する。（→他系停止通知の発行） (2) 他系が上記停止通知を受信すると、他系が停止／抜
かれることに対する監視異常検出を抑止する。また、内
部的に通信異常状態で動作させるとともに、他系監視範
囲を正常なＳＣＦが引き継ぐ。 (3) 交換ＳＣＦを抜く。この場合、他系未実装等の異常
検出は行わない。 (4) 新しいＳＣＦを挿入し、リセットする。 (5) 新しいＳＣＦは自己診断を開始し、自己診断のフェ
ーズ通知を送信する。 (6) 動作中のＳＣＦは他系のリセットを認識し、自己診
断中とする。 (7) 新しいＳＣＦのタスクが起動し、挿入されＳＣＦの
機能版数を動作中のＳＣＦに通知する。

【００５９】(8) 動作中のＳＣＦは機能版数を受信し、
機能版数のチェック処理を行う。そして、自系の機能版
数を機能版数応答として新しいＳＣＦに通知する。さら
に、動作中のＳＣＦは通信異常を復旧し、他系監視範囲
であった資源の監視引き継ぎを停止する。 (9) 新しいＳＣＦは、動作中のＳＣＦから機能版数応答
を受信すると、機能版数チェック処理を行い、新しいＳ
ＣＦの正常起動を保守ツールに通知する。 (10)保守ツールは新しいＳＣＦの正常動作を認識し、デ
ィスクに退避していたデータを読み込み、内部情報を動
作側のＳＣＦから新しいＳＣＦ側に複写する。また、Ｓ
ＣＦコマンドにより動作中のＳＣＦから新しいＳＣＦへ
の内部情報の引き継ぎを行う。 (11)新しいＳＣＦはＳＣＦコマンドを受信し、オンライ
ン状態に遷移する（活性交換完了）。

【００６０】（８）ＳＣＦ活性交換後の資源の監視およ
び事象の通知 以上のように活性交換が完了した後の固有資源および共
有資源の監視／通知は次のように行われる。 (a) 固有資源の監視／通知担当 動作側の系は、自分の監視／通知担当の固有資源を引き
続き監視／通知し、挿入側の系も、起動時から、自分の
監視／通知担当の固有資源の監視を行うことにより、そ
れぞれの系が自分の担当の資源を監視／通知する。

【００６１】(b) 共有資源の監視／通知担当 動作側の系は、今までは（通信異常状態時）、異常検出
すると他系からの異常通知を待たずにメインプロセッサ
１０に異常通知していたが、通信異常が解除された時点
で、メインプロセッサ１０への通知権はそのまま引き継
ぐが、異常検出をしたとき、前記したように他系からの
同じ異常通知を待ち合わせるようにする。なお、挿入側
の系は共有資源の監視は行うが、通知権を獲得しないよ
うにすることによって、処理を簡略化することもでき
る。 (c) 共有資源の排他制御（オペレータ操作パネルのＬＣ
Ｄ表示等） 他系の活性挿入によって、alive message 交換制御が復
活するため、共通資源の排他制御は自動的に行われるよ
うになる。以上のように構成することにより、ＳＣＦが
後から挿入された場合でも、運用中のＳＣＦから情報を
引き継ぎ、両系を矛盾なく動作させることが可能とな
る。

【００６２】（９）機能版数の整合性チェックと対処 両系のＳＣＦ同時起動時、およびＳＣＦ活性挿入時に、
それぞれのＳＣＦの機能版数が不一致であると、ＳＣＦ
間の通信に不具合が生ずる。そこで、機能版数の整合性
をチェックし、機能版数不整合の場合、次のような対処
を行う。 (a) 両系のＳＣＦ同時起動時における機能版数の整合性
チェックと対処 ＳＣＦ間通信は、両系ＳＣＦが決められたコマンドイン
タフェースによって動作することにより成り立つが、両
系ＳＣＦは二重化によってノーストップシステムを実現
するため、個別に交換可能に構成されている。ＳＣＦが
交換される要因の中には、コマンドインタフェース仕様
が追加・変更される場合も考えられ、両系で異なったコ
マンドインタフェースとなった場合、動作保証されない
ままに動作してしまう。上記のような問題を防止するた
め、ＳＣＦ起動時にコマンドインタフェース版数（機能
版数）をお互いに通知／認識しあって、機能版数が不一
致の場合に、機能版数の高い方が低い方の機能レベルに
落として動作させることにより、両系のコマンドインタ
フェースを保証する。

【００６３】図１７は両系ＳＣＦが同時に起動された際
の機能版数チェツク結果とその対処を示す図である。具
体的には、次のようにして機能版数の整合性チェックと
機能版数不整合の場合の対処を行う。 ＳＣＦが起動されて、ＳＣＦ間通信が開始される前
に版数情報（版数情報問い合わせコマンドを発行）を両
系ＳＣＦ間で通信し合う。なお、機能版数情報を送信す
るタイミングは、自系ＳＣＦが機能された場合（機能版
数通知コマンド発行）、あるいは、他系から上記機能版
数通知コマンドを受信した場合（機能版数応答コマンド
を発行）である。また、機能版数応答コマンドを受信し
た場合には、機能版数の通知を停止する。 他系のＳＣＦから起動直後の機能版数を受信した
ら、自系で版数比較によるチェックを行うとともに、自
系の機能版数情報を応答として返す。 機能版数をチェックし、＃Ａ系と＃Ｂ系の機能版数
が同じ場合には、問題がないので処理を行わない。ま
た、＃Ａ系と＃Ｂ系の機能版数が異なる場合には、次の
ような処理を行う。 ・＃Ａ系と＃Ｂ系のＳＣＦは機能版数が不一致であるこ
とを認識し、オペレータ操作パネルのＬＣＤ、コンソー
ル等に表示することにより、機能版数の不一致をオペレ
ータに通知する。 ・機能版数が高いＳＣＦの版数機能を下げて、機能版数
が低いＳＣＦに機能に合わせて動作させる。なお、機能
が追加・変更された場合は、低い版数の機能がわかって
いるので、旧版数の機能をサポートしつつ、新機能をサ
ポートさせる。

【００６４】(b) ＳＣＦ活性挿入時の機能版数の整合性
チェックと対処 上記(a) では、両系のＳＣＦが同時に起動しているた
め、いずれかの系に優先度がなく、版数の低い方に機能
を合わせれば、二重化状態で動作させることが可能であ
った。しかし、活性交換時には、既に動作中のＳＣＦの
機能が優先されるので、それより低い版数のＳＣＦが挿
入された場合、動作中のＳＣＦの機能を後から挿入され
た系に合わせることができない。そこで、活性交換時に
は、この場合の挿入を拒否し、正しいＳＣＦが挿入され
るまで、挿入前の状態で動作を継続させる。

【００６５】図１８はＳＣＦ活性挿入時の機能版数チェ
ツク結果とその対処を示す図である。前記図１６で説明
したように機能版数を通知して機能版数をチェックす
る。そして、図１８に示すように、＃Ａ系と＃Ｂ系の機
能版数が同じ場合には、問題がないので処理を行わな
い。また、＃Ａ系と＃Ｂ系の機能版数が異なる場合に
は、次のような処理を行う。 ・既に動作中の＃Ａ系のＳＣＦより活性挿入された＃Ｂ
系のＳＣＦの機能レベルが高い場合には、機能版数が不
一致であることをオペレータ操作パネルのＬＣＤ、コン
ソール等に表示することにより、オペレータに通知し、
活性挿入された＃Ｂ系のＳＣＦの機能版数を低下させ、
＃Ａ系のＳＣＦの機能版数に合わせて両系で動作を継続
する。 ・既に動作中の＃Ａ系のＳＣＦより活性挿入された＃Ｂ
系のＳＣＦの機能レベルが高い場合、既に動作中の＃Ａ
系のＳＣＦの機能版数を下げることは不可能なので、＃
Ｂ系ＳＣＦの活性挿入異常を通知する。また、＃Ａ系の
ＳＣＦは挿入前と同じ状態で動作を継続する。

【００６６】（１０）自己診断中の監視動作および自己
診断異常検出時の処理 ＳＣＦの自己診断は、自分で検出して異常となる場合
と、ハングアップした場合の２つのケースが考えられ
る。この２つのケースの場合、他系は相手の異常を認識
する必要がある。そのため、ＳＣＦ自己診断中は、常に
自分の診断フェーズを他系に通知し、他系はそのを監視
することにより相手の異常を認識する。具体的には次の
ように行う。

【００６７】(a) 自己診断で異常認識した場合 他系が正常に立ち上がったのを確認してから、他系に自
己診断異常発生を通知する。これは、ＳＣＦが両系同時
に起動された場合、他系も自己診断中の可能性があるた
め、この時に自己診断異常を通知しても、他系は異常処
理を行えない場合があるからである。そこで、他系が正
常に起動したことを表す機能版数通知またはalive mess
age通知を待ち、これを受信して初めて他系に異常を通
知することにより他系は相手が異常となったことを知る
ことができる。

【００６８】図１９は自己診断異常検出時の処理シーケ
ンスを示す図である。二重化システムに場合、自己診断
を両系で同時に行うと、診断項目によっては、アクセス
異常が発生することがある。そこで、本実施例では、あ
らかじめいずれかの系が先に自己診断を行うように決め
ておき、一方の自己診断が完了したら他方のＳＣＦが自
己診断を開始するようにしている。すなわち、図１９に
示すように、＃Ａ系が自己診断中のとき、＃Ｂ系は自己
診断アイドリング中とする。そして、＃Ａ系から初期診
断終了のフェーズを貰うか、他系の初期診断中のタイム
アウトを検出するまでアイドリングを続ける。正常時に
は、両系の自己診断が完了した時点で、両系のＳＣＦが
同時に起動されるが、図１９に示すように、＃Ａ系のＳ
ＣＦが自己診断異常を検出した場合、この時点で他系に
異常を通知しても、他系が正常動作中とは限らないの
で、正常に立ち上がったことを示す機能版数通知を受信
して初めて、自己診断異常通知を送信する。

【００６９】自己診断異常を検出した＃Ａ系は、＃Ｂ系
にその異常のエラーログコードと、ＬＣＤ表示データを
予め規定されたコマンド形式で１バイトずつ通知する。
自己診断異常通知を受けた＃Ｂ系では、＃Ａ系が異常を
検出して動けないことをことを知り、全てのデータを受
信するまでワーク領域にデータを格納しておき、全ての
データを受信した時点で、受信した相手の異常をエラー
ログ登録し、ＬＣＤ表示器等により外部に通知するとと
もに、片系で動作を続けられるよう適切な処理を行う。

【００７０】(b) 自己診断中にハングアップした場合 この場合には、自己診断フェーズが通知できなくなるの
で、他系は自己診断フェーズのタイムアウトによって相
手がハングアップしたことを認識することができる。な
お、監視側は、実際に自己診断フェーズ通知を監視して
いるのではなく、alive message の獲得タイマの連続タ
イムアウトによって相手の異常を認識し、他系が一番最
後に通知したデータを受信用レジスタＥＣＯＭＲ１をリ
ードしにいくことにより調べる。そしてそれが自己診断
フェーズであった場合は、その診断フェーズでハングア
ップしたと認識する仕組みとなっている。

【００７１】図２０は自己診断中ハングアップ時の処理
シーケンスを示す図である。自己診断中にハングアップ
した場合、正常系（＃Ｂ系）が他系（＃Ａ系）自己診断
中のタイムアウトを検出するところまでは前記した図１
９と同じであるが、その後、機能版数の応答やalive me
ssage が送信されてこないので、図２０に示すように、
＃Ｂ系のalive message 獲得タイマが連続タイムアウト
し、＃Ａ系が停止したことを認識する。ここで、受信用
カウンタＥＣＯＭＲ１には一番最後に動作していた自己
診断フェーズが残っているので、受信用カウンタＥＣＯ
ＭＲ１をリードすることにより、＃Ａ系の自己診断がど
こまで動作したかを知ることができる。この情報を元
に、前記したように、異常をエラーログ登録し、ＬＣＤ
表示器等により外部に通知するとともに、片系で動作を
続けられるよう適切な処理を行う。以上のようにするこ
とにより、両系で自己診断を行っていた場合でも、自己
診断の異常を、正常な系が立ち上がった後に必ず検出す
ることができる。

【００７２】

【発明の効果】以上説明したように、本発明において
は、以下の効果を得ることができる。 （１）二重化ＳＣＦ間での通信処理を行えるようになる
ため、二重化システムの制御を行う上で、両ＳＣＦ間で
の処理に一貫性を持たせることができる。また、片系異
常時でも適切な処理を迅速に行うことができ、ノースト
ップシステムの実現を容易に行うことが可能となる。 （２）共有資源の排他制御や、片系故障時の切り離し処
理、他系資源の監視引き継ぎ処理を容易に行うことがで
きる。 （３）二重化した両ＳＣＦ間で常に他系の状態を監視す
ることができ、片系故障の対処が容易になる。

【００７３】（４）通知事象単位の送受信データを全て
シーケンス番号で管理することができ、受信エラーの検
出や、受信エラー発生時の他系の通知処理および再送事
象の検索処理等が容易になる。 （５）二重化した両ＳＣＦ間の通信異常を迅速に検出
し、ハード異常なのか他系異常なのかを切り分けて適切
な処理を行うことが可能となる。 （６）他系の未実装時に、通信異常を検出しても、ハー
ド異常としないで、他系未実装による通信異常と認識す
ることができる。 （７）それぞれのＳＣＦが監視している固有資源の通知
事象を、自系からメインプロセッサに通知できない異常
時であっても、他系から代替通知をすることができる。 （８）両系で監視している共有資源で検出した事象を、
他系でも検出していることを確認した上で処理すること
ができる。また、メインプロセッサへの通知も両系から
二重に通知されることがない。 （９）二重化した両ＳＣＦ間において、一方の系に監視
異常が発生した場合であっても、システムダウンとなら
ずに動作させ続けることが可能となる。

【００７４】（１０）システム動作中のまま、片系のＳ
ＣＦを交換することが可能となり、片系故障時でもノー
ストップ／ノーダウンシステムを実現することができ
る。 （１１）活性挿入されたＳＣＦに対して、動作中のＳＣ
Ｆの内部情報を引き継ぐことが可能となり、あたかも、
ずっと二重化状態で動いていたように動作させることが
できる。 （１２）二重化した両ＳＣＦ間でお互いのＳＣＦ機能レ
ベルの自動認識ができるようになるため、機能版数が異
なるままで動作することがなくなり、二重化システムの
動作を常に保証することが可能となる。 （１３）活性挿入時に、機能版数がアップされたＳＣＦ
を挿入しても、二重化システムの動作を常に保証するこ
とが可能となる。また、オペレータによる操作ミス等の
より機能版数がダウンしたＳＣＦを挿入された場合で
も、そのまま動作することなく挿入拒否をすることが可
能となる。 （１４）他系の自己診断の異常を迅速に検出することが
可能となり、適切な処置を行うことが可能となる。 （１５）エラーログ出力およびＬＣＤ表示不可能な異常
（ハングアップ）が発生した場合でも、監視している他
系ＳＣＦによって異常を外部に通知することが可能とな
る。

【図面の簡単な説明】

【図１】本発明の原理構成図である。

【図２】本発明の実施例のシステム制御構成と監視資源
を示す図である。

【図３】本発明の実施例の二重化ＳＣＦ間通信の概略図
である。

【図４】本発明の実施例のＳＣＦ間通信レジスタの構成
を示す図である。

【図５】ＳＣＦ間通信レジスタのアクセス方法を説明す
る図である。

【図６】ＳＣＦ間通信レジスタの使い方を説明する図で
ある。

【図７】コマンド別送信形式を示す図である。

【図８】通知事象発生時の送信シーケンスを示す図であ
る。

【図９】複数バイト送信中の通知事象発生時の処理を示
す図である。

【図１０】ＳＣＦ間通信におけるシーケンスチェック処
理を示す図である。

【図１１】通常時のalive message の交換制御を説明す
る図である。

【図１２】経路異常時のalive message の交換制御を説
明する図である。

【図１３】未実装又はハングアップ時のalive message
交換制御を説明する図である。

【図１４】システム全体からみた通信異常パターンを示
す図である。

【図１５】異常検出機構と異常原因を示す図である。

【図１６】ＳＣＦ活性交換の手順を示す図である。

【図１７】両系ＳＣＦの機能版数と処理を示す図（両系
同時起動時）である。

【図１８】両系ＳＣＦの機能版数と処理を示す図（活性
挿入時）である。

【図１９】自己診断異常検出時の処理シーケンスであ
る。

【図２０】自己診断中ハングアップ時の処理シーケンス
である。

【符号の説明】

１ メインプロセッサ ２ バス ３ａ，３ｂ 監視／制御プロセッサ ４ 通信手段 ５，５ 固有資源 ６ 共有資源 １０ メインプロセッサ １１ ＳＣバス １２，１３ ＳＣＦ １４ 信号線（ＳＣＦＬｉｎｋ） １５ ＲＳ２３２Ｃインタフェース １６ 外部無停電電源装置（外部ＵＰＳ） １７ 外部設備 １８ 拡張装置 １９ 拡張装置電源 ２０ 温度センサ ２１ ファンである。 ２２ オペレータ操作パネル ２３ サブ電源装置（ＰＳＵ） ２４ 内蔵無停電電源装置（ＵＰＳ） ２５ メイン電源装置（ＰＤＵ） ＥＰＣ 外部電源制御インタフェース ＥＤＰＣＩ 拡張装置電源制御インタフェース ＲＣＩ 拡張装置制御インタフェース ＥＣＯＭＲ１ 受信用レジスタ ＥＣＯＭＲ２ 送信用レジスタ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 多幡 武朗 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 佐藤 晶子 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 田村 秀敏 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 小倉 康二朗 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 泉田 直樹 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内

Claims (18)

【特許請求の範囲】
1. 【請求項１】 メインプロセッサとは独立して設けられ
   たシステムの監視、制御、保守を行うための監視／制御
   プロセッサを二重化し、 上記二重化された監視／制御プロセッサにより、システ
   ムの監視・制御を行う監視・制御方法であって、 上記監視／制御プロセッサ間相互で通信を行うための通
   信手段を設け、 発生した事象を、上記監視／制御プロセッサ間で相互に
   通知し、互いに相互の状態を把握しながらシステムの状
   態を監視・制御することを特徴とする二重化された監視
   ／制御プロセッサによるシステム監視・制御方法。
2. 【請求項２】 二重化された監視／制御プロセッサ間で
   一定時間毎に所定の通知事象を交換することにより、互
   いに監視／制御プロセッサの動作を監視することを特徴
   とする請求項１の二重化された監視／制御プロセッサに
   よるシステム監視・制御方法。
3. 【請求項３】 監視／制御プロセッサ間で通知事象を送
   信する際、シーケンス番号を付与して送信し、 上記シーケンス番号により受信エラー発生時の再送処理
   を行うことを特徴とする請求項１または請求項２の二重
   化された監視／制御プロセッサによるシステム監視・制
   御方法。
4. 【請求項４】 監視／制御プロセッサ間の通信異常を全
   て受信側で検出し、通信異常の検出結果に基づき、通信
   異常の原因を切り分けることを特徴とする請求項１，２
   または請求項３の二重化された監視／制御プロセッサに
   よるシステム監視・制御方法。
5. 【請求項５】 他系の監視／制御プロセッサの実装／未
   実装状態を検出し、通信異常が検出されたとき、上記検
   出結果に基づき他系の監視／制御プロセッサの未実装に
   よる異常であるか否かを判別することを特徴とする請求
   項１，２，３または請求項４の二重化された監視／制御
   プロセッサによるシステム監視・制御方法。
6. 【請求項６】 二重化された監視／制御プロセッサのそ
   れぞれが監視・制御する固有資源に事象が発生したと
   き、該事象を検出した監視／制御プロセッサがメインプ
   ロセッサに事象を通知するとともに、他系の監視／制御
   プロセッサに上記事象を通知し、 他系の監視／制御プロセッサは、上記事象を検出した監
   視／制御プロセッサがメインプロセッサに事象を通知で
   きない場合にのみ、上記通知された事象をメインプロセ
   ッサに通知することを特徴とする請求項１，２，３，４
   または請求項５の二重化された監視／制御プロセッサに
   よるシステム監視・制御方法。
7. 【請求項７】 二重化された監視／制御プロセッサの両
   方が監視・制御する共有資源に事象が発生したとき、監
   視／制御プロセッサのそれぞれが他系の監視／制御プロ
   セッサに事象の発生を通知し、 予め定められた監視／制御プロセッサもしくは正常な監
   視／制御プロセッサが他系の監視／制御プロセッサから
   の事象の発生の通知を待って、メインプロセッサに事象
   の通知を行うことを特徴とする請求項１，２，３，４，
   ５または請求項６の二重化された監視／制御プロセッサ
   によるシステム監視・制御方法。
8. 【請求項８】 二重化された監視／制御プロセッサ間に
   通信異常が発生した場合、 二重化された監視／制御プロセッサのそれぞれが監視・
   制御する固有資源については、それぞれの監視／制御プ
   ロセッサが担当する資源の監視を継続し、上記資源に事
   象が発生したとき、それぞれの監視／制御プロセッサが
   メインプロセッサに事象を通知し、 二重化された監視／制御プロセッサの両方が監視・制御
   する共有資源については、常に両方の監視／制御プロセ
   ッサが資源の監視を継続し、上記資源に事象が発生した
   とき、他系の監視／制御プロセッサからの通知を待たず
   に、事象をメインプロセッサに通知することを特徴とす
   る請求項６または請求項７の二重化された監視／制御プ
   ロセッサによるシステム監視・制御方法。
9. 【請求項９】 二重化された監視／制御プロセッサの一
   方を活性交換する際、他系の監視／制御プロセッサに活
   性交換することを通知して、上記活性交換される監視／
   制御プロセッサが監視していた資源の監視を他系の監視
   ／制御プロセッサに引き継ぐとともに、上記他系の監視
   ／制御プロセッサを監視／制御プロセッサ間通信異常状
   態で動作させ、 一方の監視／制御プロセッサの活性交換したのち、該監
   視／制御プロセッサの自己診断終了を待って、上記他系
   の監視／制御プロセッサの通信異常状態を復旧させて、
   二重化された監視／制御プロセッサによる監視・制御を
   再開させることを特徴とする請求項８の二重化された監
   視／制御プロセッサによるシステム監視・制御方法。
10. 【請求項１０】 二重化された監視／制御プロセッサの
    一方を活性交換した後、 二重化された監視／制御プロセッサのそれぞれが監視・
    制御する固有資源については、活性交換されなかった監
    視／制御プロセッサが引き続き担当の資源の監視／通知
    を行うとともに、活性交換後の監視／制御プロセッサが
    起動時から担当する資源の監視／通知を行い、 二重化された監視／制御プロセッサの両方が監視・制御
    する共有資源については、通信異常が復旧したのち、両
    方の監視／制御プロセッサが資源の監視／通知を行い、
    上記資源に事象が発生したとき、他系の監視／制御プロ
    セッサからの通知を待って、事象をメインプロセッサに
    通知することを特徴とする請求項９の二重化された監視
    ／制御プロセッサによるシステム監視・制御方法。
11. 【請求項１１】 二重化された監視／制御プロセッサを
    起動する際、監視／制御プロセッサの機能版数を互いに
    通知して、他系の機能版数を認識し、 自系と他系の監視／制御プロセッサの機能版数が不一致
    の場合、機能版数が高い方の監視／制御プロセッサの機
    能レベルを、機能版数が低い監視／制御プロセッサの機
    能レベルに落として動作させることを特徴とする請求項
    １，２，３，４，５，６，７，８，９または請求項１０
    の二重化された監視／制御プロセッサによるシステム監
    視・制御方法。
12. 【請求項１２】 二重化された監視／制御プロセッサの
    一方を活性交換した後、 監視／制御プロセッサの機能版数を互いに通知して、他
    系の機能版数を認識し、 活性交換後の監視／制御プロセッサの機能版数が、活性
    交換されなかった監視／制御プロセッサの機能版数より
    高いとき、活性交換後の監視／制御プロセッサの機能レ
    ベルを活性交換されなかった監視／制御プロセッサの機
    能レベルに落として動作させ、 活性交換後の監視／制御プロセッサの機能版数が、活性
    交換されなかった監視／制御プロセッサの機能版数より
    低いとき、活性交換異常を通知することを特徴とする請
    求項９，１０または請求項１１の二重化された監視／制
    御プロセッサによるシステム監視・制御方法。
13. 【請求項１３】 二重化された監視／制御プロセッサを
    起動する際、予め定められた一方の系の監視／制御プロ
    セッサに自己診断を行わせ、 上記自己診断の終了の通知を待って、もしくは、所定の
    時間経過後、他系の監視／制御プロセッサの自己診断を
    開始させ、 一方の監視／制御プロセッサの自己診断異常が検出され
    たとき、他系の監視／制御プロセッサが正常に立ち上が
    った後、他系の監視／制御プロセッサに自己診断異常を
    通知し、 また、他系の監視／制御プロセッサに応答が返ってこな
    いとき、他系の監視／制御プロセッサは、一方の監視／
    制御プロセッサが未実装もしくはハングアップであると
    認識することを特徴とする請求項１，２，３，４，５，
    ６，７，８，９，１０，１１または請求項１２の二重化
    された監視／制御プロセッサによるシステム監視・制御
    方法。
14. 【請求項１４】 自己診断異常を検出された系の監視／
    制御プロセッサは、他系の監視／制御プロセッサに異常
    の内容を示す情報を送信し、他系の監視／制御プロセッ
    サが、上記監視／制御プロセッサの異常を外部に通知
    し、 また、自己診断中の監視／制御プロセッサがハングアッ
    プしたとき、他系の監視／制御プロセッサは、所定期
    間、応答が上記監視／制御プロセッサから返ってこない
    ことにより上記監視／制御プロセッサがハングアップし
    たことを検出し、上記監視／制御プロセッサの異常を外
    部に通知することを特徴とする請求項１３の二重化され
    た監視／制御プロセッサによるシステム監視・制御方
    法。
15. 【請求項１５】 メインプロセッサとは独立して設けら
    れ、システムの監視、制御、保守を行うための二重化さ
    れた監視／制御プロセッサと、 上記監視／制御プロセッサのそれぞれが監視・制御する
    固有資源と、上記監視／制御プロセッサの両方が監視・
    制御する共有資源と、 上記監視／制御プロセッサ間に設けられた通信手段とを
    備え、 上記監視／制御プロセッサは、発生した事象を、上記監
    視／制御プロセッサ間で相互に通知し、互いに相互の状
    態を把握しながらシステムの状態を監視・制御すること
    を特徴とする二重化監視／制御プロセッサ・システム。
16. 【請求項１６】 二重化された監視／制御プロセッサ間
    で、通信手段を介して一定時間毎に所定の通知事象を交
    換し、互いに監視／制御プロセッサの動作を監視する手
    段を備えていることを特徴とする請求項１５の二重化監
    視／制御プロセッサ・システム。
17. 【請求項１７】 監視／制御プロセッサ間で通知事象を
    送信する際、シーケンス番号を付与して送信し、上記シ
    ーケンス番号により受信エラー発生時の再送処理を行う
    手段を備えていることを特徴とする請求項１５または請
    求項１６の二重化監視／制御プロセッサ・システム。
18. 【請求項１８】 他系の監視／制御プロセッサの実装／
    未実装状態を検出する手段を備えていることを特徴とす
    る請求項１５または請求項１６の二重化監視／制御プロ
    セッサ・システム。