JPH10326202A - 高信頼化コンピュータシステム及び高信頼化コンピュータシステムの復旧方法 - Google Patents

Abstract

(57)【要約】 【課題】システムを停止することなく容易にプロセッサ
ボードの交換を実現できる高信頼化コンピュータシステ
ムの復旧方法を提供することを目的とする。 【解決手段】本発明の高信頼化コンピュータシステムに
おいては、システムバス上の複数スロットに主記憶装置
のボードと、同一演算を実行する複数プロセッサで構成
され複数のベーシックプロセッサボードとが挿入されて
作動し、障害発生の後も一部回路で運転継続している旧
ベーシックプロセッサボードの処理は主記憶装置に退避
後、新ベーシックプロセッサボードに移して稼働せし
め、旧ベーシックプロセッサボードを停止してスロット
から除去せしめる。 【効果】プロセッサボードが複数装着されている場合で
も、システムを停止することなくプロセッサボードの交
換を実現できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は高信頼化コンピュー
タシステムにかかり、特に障害発生時に運転継続できる
ことは勿論、その後の復旧策について工夫された高信頼
化コンピュータシステムの復旧方法に関する。

【０００２】

【従来の技術】例えば交通管制システムや、金融，証券
システムは情報化社会の浸透に伴い、社会生活の根幹を
占めるようになってきており、これらに使用されるコン
ピュータシステムは障害が発生しないように工夫される
とともに、仮に障害が発生したとしてもデータの一貫性
を保持したまま処理を続行するように構成される必要が
ある。

【０００３】これらの要求に応えるため、従来より、障
害許容コンピュータもしくは、耐故障，耐欠陥コンピュ
ータシステムが種々提案されており、障害が発生しても
データ処理を継続できるように同じ機能を有する複数の
システムないし、部品で構成し、各部で冗長性を持たせ
ることにより障害の発生したシステムないし部品を検出
し、データ処理を続行するようにされている。

【０００４】具体的な従来例として、米国特許第465485
7 号は、通称ペアアンドスペア法と呼ばれる方式を採用
し、自己診断機能のあるメモリ，プロセッサ，入出力制
御装置などからなるプロセッサボード２枚を１組にして
動作する。どのプロセッサボードも内部には２個のマイ
クロプロセッサを持ち、マイクロプロセッサの出力を照
合し、不一致の場合はボード故障と見なすことにより、
障害を検出している。また、プロセッサボードからバス
に出された出力はもう一方のプロセッサボードとバスク
ロック毎に照合、同期するロックステップ方式を採用し
ており、片方のプロセッサボードで障害が発生してもそ
のバスクロック内で検出し、切り離し処理が行われ、正
常なプロセッサボードの出力のみが使用される。

【０００５】また、特開昭59−160899 号では、米国特
許第4654857号と同様に二重のシステムバスの夫々に接
続され、その内部に２つのプロセッサを有する２つのプ
ロセッサボードを有し、その同期化のためにキャッシュ
メモリに着目し、キャッシュメモリから主記憶装置への
フラッシュ動作をＯＳ制御の下で行うことにより、ロッ
クステップ動作による性能制限を避けている。そして、
プロセッサボード内の２個のマイクロプロセッサの照合
により障害が検出された場合、前回のフラッシュポイン
トから代替プロセッサボードで処理を再実行する。

【０００６】上記システムではプロセッサボード上の２
台と別のプロセッサボード上の２台の計４台のマイクロ
プロセッサを使用するが、特開平1−258057 号では、Ｔ
ＭＲ（Triple Modular Redundancy ）技法を採用し、プ
ロセッサ３台の出力結果を多数決回路を介して二重化シ
ステムバスに出力する。

【０００７】

【発明が解決しようとする課題】上記従来例は、１つの
プロセッサボ−ド上に何台のプロセッサを配置するかと
言ったことは別にして、いずれの場合も３台乃至４台の
プロセッサを使用するシステムであり、そのいずれかの
プロセッサに障害を発生したときにはこのプロセッサを
切り離して２台運転にシステムを縮小し、その後新たな
別の１台または２台のプロセッサを組み込んで元のシス
テム構成に再構成されるものである。

【０００８】これらのシステムでは障害発生前のプロセ
ッサの組と、復旧後のプロセッサの組とは全く相違す
る。つまり、前２者の従来例では当初Ａ，Ｂ，Ｃ，Ｄの
４つのプロセッサで運転していたとすると、復旧後のプ
ロセッサ構成はＥ，ＦＣ，Ｄにて運転されることにな
る。また最後の従来例では当初Ａ，Ｂ，Ｃのものが、
Ｄ，Ｂ，Ｃとなる。このように従来のものでは障害発生
後の復旧時にプロセッサの組替えが必要であり、このた
め従来例のものではそのシステムを構成する他のプロセ
ッサとの間での特別な接続，切り離しハードウェア，同
期機構が必要である。また、プロセッサあるいはプロセ
ッサボードは徐々にバージョンアップされ、あるいはレ
ビジョンされるのが通例であるが、システムの一部であ
るプロセッサあるいはプロセッサボードを交換する上記
従来例では復旧後のミスマッチを防ぐための十分な事前
対応が不可欠である。また、プロセッサボードを交換す
るものでは常に高価な交換ボードを準備しておく必要が
ある。さらに、プロセッサ間での同期化が困難である。

【０００９】以上のことから本発明では、プロセッサボ
ードを交換する際に、システムを停止することなく容易
にプロセッサボードの交換を実現できる高信頼化コンピ
ュータシステムの復旧方法を提供することを目的とす
る。

【００１０】

【課題を解決するための手段】本発明の高信頼化コンピ
ュータシステムにおいては、システムバス上にボードを
挿入するための複数スロットを備え、当該スロットに主
記憶装置のボードと、同一演算を実行する複数プロセッ
サで構成され複数のベーシックプロセッサボードとが挿
入されて作動し、障害が発生して一部回路で運転継続し
ている旧ベーシックプロセッサボードの処理は主記憶装
置に待避後、新ベーシックプロセッサボードに移して稼
働せしめ、旧ベーシックプロセッサボードを停止してス
ロットから除去せしめ、一部プロセッサの故障による縮
退運転状態から復旧させる。

【００１１】本発明では、プロセッサボードが複数装着
されている場合でも、システムを停止することなく、ま
たシステム性能を低下させることなくプロセッサボード
の交換を実現できる。

【００１２】

【発明の実施の形態】以下本発明について詳細に説明す
るが、本明細書での説明はその理解を容易にするために
以下の項目に分けて行う。

【００１３】Ｉ． システムの概略全体構成 II． ＢＰＵ２の構成 III. 異常検出手法 IV． 異常時の構成変更制御 Ｖ． 内部バス接続時の信号処理 VI． 異常発生後の復旧策 VII. 各部回路の代案変形例 Ｉ． システムの概略全体構成 図１に本発明のフォルトトレーラントシステムの概略全
体構成を示す。このシステムは２組のシステムバス１−
１と１−２を有しており、このバス上には１つまたは複
数のベーシックプロセッシングユニット（以下単にＢＰ
Ｕという）２−１，２−２……２−ｎがシステムバス１
−１と１−２に夫々接続されている。またシステムバス
１−１には主記憶装置３−１が、１−２には主記憶装置
３−２が夫々個別に接続され、入出力装置（以下単にＩ
ＯＵという）４−１，４−２が夫々システムバスの何れ
にも接続される。主記憶装置３及びＩＯＵ４は、夫々２
台を１組として使用され、図１の例では各１組ずつ使用
する例を示しているが、これはシステムの拡張に応じて
適宜組数を増加して使用することができる。図示のｎ組
のＢＰＵは、通常は夫々別の処理を実行しているが、何
れも同じ構成とされているのでここでの説明は特に必要
のないかぎりＢＰＵ２−１を例にとってその構成及び作
用について説明する。

【００１４】ＢＰＵ２は、複数のマイクロプロセッシン
グユニット２０（以下単にＭＰＵという。図の例では３
台），複数のＭＰＵ出力チェック回路２３(図の例では
３台)、３ステートバッファ２９等、複数のキャッシュ
メモリ２２０，２２１，複数のバスインタフェース回路
２７（以下単にＢＩＵという）等を主要な構成要件とし
ている。ここで図１回路の概略の動作を説明しておく
と、３台のＭＰＵ２０により演算が実行され、このＭＰ
Ｕの出力がチェック回路２３においてチェックされ、正
常と判断された２つのＭＰＵの出力が夫々バスインタフ
ェース回路２７を介して２組のシステムバス１、あるい
は２組のキャッシュメモリ２２０，２２１に夫々出力さ
れる。ＭＰＵの１つに異常が発見された場合、このＭＰ
Ｕは除外されて残りの２つの正常なＭＰＵによりその出
力が夫々バスインタフェース回路２７を介して２組のシ
ステムバス１に、あるいは２組のキャッシュメモリ２２
０，２２１に夫々出力される。３台のＭＰＵ２０の一部
に異常が発見された後は、適宜のタイミングで３台のＭ
ＰＵ２０が全く別の新たな３台のＭＰＵ２０に切替えら
れて演算を実行する。

【００１５】II．ＢＰＵ２の構成 ＢＰＵ２のより詳細な構成は図２に示されている。なお
後述するように、BPUは１枚のプリント板上に図示の機
能を搭載されるのが良い。

【００１６】図２において、３台のＭＰＵ２０−１，２
０−２，２０−３は図示せぬクロックにより同期演算が
実行され、その結果がアドレスラインＡとデータライン
Ｄに夫々出力される。ＭＰＵ２０−１，２０−２，２０
−３のアドレスラインＡ上のアドレスとデータラインＤ
上のデータには、パリティ生成／検査照合回路１０乃至
１５から適宜のパリティ信号が付与されてＭＰＵ出力チ
ェック回路２３に与えられる。ＭＰＵ出力チェック回路
２３は、ＭＰＵＡ（２０−１）からの出力（パリティ信
号が付与されたアドレス，データ）とＭＰＵＢ（２０−
２）からの出力とを比較する第１のチェック回路ＣＨＫ
ＡＢ（２３−１）と、ＭＰＵＡ（２０−１）からの出力
とＭＰＵＣ（２０−３）からの出力とを比較する第２の
チェック回路ＣＨＫＣＡ（２３−２）と、ＭＰＵＢ（２
０−２）からの出力とＭＰＵＣ（２０−３）からの出力
とを比較する第３のチェック回路ＣＨＫＢＣ(２３−３)
と、３つのチェック回路ＣＨＫからの比較結果に応じて
ＭＰＵのいずれの故障であるかを特定するエラーチェッ
ク回路２３４，２３５から構成される。このMPU出力チ
ェック回路２３はいわゆる多数決回路であり、この判定
結果に応じて３ステートバッファ２００，２０１，２０
３，２０４，２９の開閉状態が制御される。この判定結
果と３ステートバッファ回路の状態の関係については後
述するが、要するに異常と判定されたＭＰＵを以後使用
せず、正常とされたＭＰＵの出力を２つのキャッシュメ
モリ２２０，２２１に与えて二重系として運用するもの
である。なお、以下の説明においては３ステートバッフ
ァ回路のイネーブル状態を単に開状態と称し、ディセー
ブル状態を閉状態ということにする。

【００１７】３ステートバッファ２００，２０１，２０
３，２０４を介して得られたアドレス，データは２つの
キャッシュメモリ２２０，２２１に夫々与えられ、その
際パリティチェック回路２５０においてパリティ生成／
検査照合回路１０乃至１５で付与したパリティのチェッ
クが行われる。またＭＰＵ出力は、同期回路２９０，２
９１において２つのＭＰＵ出力の同期が図られ、バスイ
ンタフェースユニットＢＩＵを介してシステムバスに送
出される。その際パリティチェック回路３０，３１にお
いてパリティ生成／検査照合回路１０乃至１５で付与し
たパリティのチェックが行われる。以上の構成は、ＭＰ
Ｕからのライトアクセスを主体に述べたものであるが、
このようにＭＰＵからのライトアクセスのときはＭＰＵ
出力チェック回路２３とパリティチェック回路３０，３
１においてチェックが行われる。これに対し、キャッシ
ュリードアクセス時は、各キャッシュメモリ２２０，２
２１，３ステートバッファ２０２，２０５，ＭＰＵのル
−トで信号伝送が行われ、この場合にはパリティ生成／
検査照合回路１０乃至１５でキャッシュメモリからのア
ドレス，データのチェックが行われる。なお、２６，２
７も３ステートバッファであり、キャッシュリードアク
セス時にパリティ生成／検査照合回路１０乃至１５での
アドレス，データのチェック結果に応じて開閉状態が制
御される。

【００１８】図２の構成から明らかなように、本発明の
ＢＰＵシステムでは少なくとも３台のＭＰＵと、多数決
回路による異常ＭＰＵ検出回路と、二重化されたキャッ
シュメモリと、二重化された出力回路部分とを有する。

【００１９】III．異常検出手法 図２のＢＰＵ内部には、その異常検出部としてＭＰＵ出
力チェック回路２３と、多くのパリティチェック回路を
採用している。この項では、これらの異常検出手法につ
いて説明する。

【００２０】《ＭＰＵ出力回路による異常検出》このう
ち、ＭＰＵ出力チェック部分について図３に示す。図３
において第１のチェック回路ＣＨＫＡＢの出力をＡＢ，
第２のチェック回路ＣＨＫＣＡの出力をＣＡ，第３のチ
ェック回路ＣＨＫＢＣの出力をＢＣ，エラーチェック回
路２３１の出力を夫々Ａｇ，Ｃｇ，２９ｇとして、３つ
のチェック回路の出力とそのときの３ステートバッファ
回路の開閉状態との関係について説明する。なお、この
図においてＣは図２では記述しない制御線である。

【００２１】まず、第１乃至第３のチェック回路ＣＨＫ
は、その夫々の２組の入力（アドレス，データ，制御信
号）を得て、第１のチェック回路ＣＨＫＡＢはＭＰＵＡ
の出力とＭＰＵＢの出力との比較結果ＡＢを、第２のチ
ェック回路ＣＨＫＣＡはMPUAの出力とＭＰＵＣの出力と
の比較結果ＣＡを、第３のチェック回路ＣＨＫＢＣはＭ
ＰＵＢの出力とＭＰＵＣの出力との比較結果ＢＣを出力
する。この比較結果は一致するか、しないかのいずれか
の状態信号である。

【００２２】エラーチェック回路２３１は、３つのチェ
ック回路ＣＨＫの出力ＡＢ，ＢＣ，ＣＡから、（１），
（２），（３）式に従いＭＰＵＡ，ＭＰＵＢ，ＭＰＵＣ
の正常を表す出力Ａｇ，Ｂｇ，Ｃｇを得る。なお、図
２，図３においてエラーチェック回路は二重化されてい
る。

【００２３】 Ａｇ＝「ＡＢ・「ＣＡ＋「ＡＢ・ＢＣ・ＣＡ＋ＡＢ・ＢＣ・「ＣＡ……（１） Ｂｇ＝「ＡＢ・「ＢＣ＋「ＡＢ・ＢＣ・ＣＡ＋ＡＢ・「ＢＣ・ＣＡ……（２） Ｃｇ＝「ＢＣ・「ＣＡ＋ＡＢ・「ＢＣ・ＣＡ＋ＡＢ・ＢＣ・「ＣＡ……（３） 但し、ＡＢ：ＭＰＵＡとＭＰＵＢの出力不一致の事象
（２３−１で確認） ＢＣ：ＭＰＵＢとＭＰＵＣの出力不一致の事象（２３−
３で確認） ＣＡ：ＭＰＵＡとＭＰＵＣの出力不一致の事象（２３−
２で確認） ・：論理積（ＡＮＤ） ＋：論理和（ＯＲ） 「：否定（ＮＯＴ） （１)，(２)，(３）式演算の結果に応じて３ステートバ
ッファ２００，２０１，２０４，２０５，２９の開閉状
態が制御されるが、この説明は次の項で行う。表１は、
３つのチェック回路ＣＨＫＡＢ，ＣＨＫＢＣ、ＣＨＫＣ
Ａの出力（一致，不一致）と、このときの異常ＭＰＵの
判定結果Ａｇ，Ｂｇ，Ｃｇと、その結果としての３ステ
ートバッファ回路の開閉状態を纏めた表である。なお、
表１中の判定結果の項において、１はＭＰＵ正常，０は
異常または不明を意味する。

【００２４】表２は表１の一致，不一致のチェック回路
出力を生じる原因として想定される事例の一部を述べた
ものであるが（本発明は、異常の際にＢＰＵ内の回路構
成を如何に変更し運転継続させるかに主眼があり、異常
発生原因を特定することは本旨ではないので）、ここで
の詳細説明を省略する。

【００２５】

【表１】

【００２６】

【表２】

【００２７】図３，図２，表１，表２を参照して説明し
たように、本発明においては、MPU出力チェック回路２
３で以上の論理でＭＰＵの正常，異常を判断する。

【００２８】次に、ＢＰＵ内各部にその他の異常検出手
法として採用したパリティチェック回路による異常検出
手法について説明する。但し、パリティチェック回路自
体は周知であり任意のものが採用できるので回路につい
ての詳細説明を省略し、ここではパリティエラー検出し
たときの異常箇所特定手法について説明する。

【００２９】図２に示すように、ライトアクセス時には
パリティ生成／検査照合回路１０乃至１５から適宜のパ
リティ信号が付与されてアドレスラインＡ，データライ
ンＤに情報送出され、この異常をパリティチェック回路
２５０，３０，３１にて検知する。またリードアクセス
時には、パリティ生成／検査照合回路１０乃至１５，パ
リティチェック回路２５０，３０，３１にて情報の異常
を検知する。これらのパリティチェックは基本的にアド
レスとデータに分けて個別に実施される。そしてアドレ
スについてみると、アドレス情報にパリティエラーを検
出したときの異常箇所はこのアドレス信号を送出してい
るバスマスタであり、図２の内部バスの使用権を与える
バスアービタ（図示していない）からのバスグラント信
号を監視することでバスマスタとなっている機器（ＭＰ
Ｕ，キャッシュメモリ，ＢＩＵ）を特定することができ
る。次にデータについてみると、ライトアクセス時にデ
ータ情報のパリティエラーを検出したときの異常箇所は
このデータ信号を送出しているバスマスタである。バス
マスタの特定は、バスアービタのバスグラント信号監視
により行われる。最後に、リードアクセス時にデータ情
報のパリティエラーを検出したときの異常箇所はこのデ
ータ信号の出力元であり、この特定はこのデータに付属
するアドレスが指し示しているデバイスをアドレスをデ
コードすることで特定できる。

【００３０】この異常箇所特定の考え方を論理式にて示
すと以下のようになる。

【００３１】 《パリティチェックによる異常検出》 PTYGEN／ＮＧ＝ＡＰＥ・ＭＰＵ／ＭＳＴ＋ＤＰＥ（ＷＴ・ＭＰＵ／ＭＳＴ ＋ＲＤ・ＭＰＵ／ＳＮＤ） ……（４） Ｃａｃｈ／ＮＧ＝ＡＰＥ・Ｃａｃｈ／ＭＳＴ＋ＤＰＥ（ＷＴ・Ｃａｃｈ／ＭＳＴ ＋ＲＤ・Ｃａｃｈ／ＳＮＤ） ……（５） ＢＩＵ／ＮＧ＝ＡＰＥ・ＢＩＵ／ＭＳＴ＋ＤＰＥ（ＷＴ・ＢＩＵ／ＭＳＴ ＋ＲＤ・ＢＩＵ／ＳＮＤ） ……（６） SYSBUS／ＮＧ＝ＢＩＵ／ＮＧ ……（７） 但し、（４）乃至（７）式において、 PTYGEN：パリティ生成／検査照合回路１０乃至１５ ／ＮＧ：パリティ異常 ＡＰＥ：アドレスパリティ異常 ・：論理積 ／ＭＳＴ：バスマスタ ＋：論理和 ＤＰＥ：データパリティ異常 ＷＴ：バスマスタがデータ出力 Ｃａｃｈ：キャッシュメモリ ＲＤ：バスマスタがデータ入力 ／ＳＮＤ：データ出力元 IV．異常時の構成変更制御 ＢＰＵ内の異常には、ＭＰＵからのライトアクセス時に
ＭＰＵ出力チェック回路で検知されるものと、ライトア
クセス時あるいはキャッシュリードアクセス時にパリテ
ィチェック回路で発見されるものとがある。

【００３２】〔ＭＰＵ出力チェック回路による異常検出
時の構成変更〕前記ＭＰＵ出力チェック回路２３のエラ
ーチェック回路２３１の出力Ａｇに応じて３ステートバ
ッファ２００，２０１が、Ｃｇに応じて２０３，２０４
が、２９ｇに応じて２９の開閉状態が、夫々表１のよう
に制御される。なお、表１において、ＭＰＵ判定結果Ａ
ｇ＝１は２００，２０１開、Ａｇ＝０は２００，201閉
に基本的に対応し、Ｃｇ＝１は２０３，２０４開、Ｃｇ
＝０は２０３，２０４閉に基本的に対応するが、Ｂｇと
２９ｇは対応関係にはない。２９ｇに従って、２９の開
閉状態は、Ａｇ＝１かつＣｇ＝１のときに閉、ＡｇとＣ
ｇのいずれかが１のときは０となった３ステートバッフ
ァ回路に向かう方向の３ステートバッファ２９のみが開
放される。以下、表１の各ケースについて、図４の系統
構成を参照してより詳細に説明する。

【００３３】ケース１：全てのＭＰＵ出力が一致し、全
ＭＰＵ正常である。３ステートバッファ２００，２０
１，２０３，２０４が開状態，２９が閉状態とされ、図
４(ａ)のようにＭＰＵＡとキャッシュメモリ２２０によ
る系統と、ＭＰＵＣとキャッシュメモリ２２１による系
統とが独立して二重化運用される。

【００３４】ケース２：チェック回路ＣＨＫＣＡのみが
不一致出力を与えており、ＭＰＵＢのみが正常と判断さ
れる。図２に示すようにＭＰＵＢは他のＭＰＵの参照用
として使用され、キャッシュメモリに出力を与えるよう
に構成されていないので構成変更しての運転継続不可能
であり、この場合システムダウンとなる。

【００３５】ケース３：チェック回路ＣＨＫＢＣのみが
不一致出力を与えており、ＭＰＵＡのみが正常と判断さ
れる。この場合には３ステートバッファ２００，２０１
が開状態，２０３，２０４が閉状態，２９はキャッシュ
メモリ２２１方向への３ステートバッファ回路のみが開
状態とされる。ＭＰＵＢとＭＰＵＣは停止され、図４
（ｂ）のようにＭＰＵＡのみによる単独系統による運転
とされる。キャッシュメモリ２２１方向への３ステート
バッファ回路２９のみが開状態とされるのは、キャッシ
ュメモリ記憶内容の同一性保持のためである。

【００３６】ケース４：チェック回路ＣＨＫＡＢのみが
一致出力を与えており、ＭＰＵＡとＭＰＵＢが正常と判
断される。この場合には３ステートバッファ２００，２
０１が開状態，２０３，２０４が閉状態、２９はキャッ
シュメモリ２２１方向への３ステートバッファ回路のみ
が開状態とされる。この場合にはＭＰＵＣを停止し、図
４（ｃ）のようにＭＰＵＡとＭＰＵＢで二重系を構成し
て、ＭＰＵＢによりＭＰＵＡの出力を監視する二重化運
転とされる。キャッシュメモリ２２１方向への３ステー
トバッファ回路２９のみが開状態とされるのは、キャッ
シュメモリ記憶内容の同一性保持のためである。

【００３７】ケース５：チェック回路ＣＨＫＡＢのみが
不一致出力を与えており、ＭＰＵＡとＭＰＵＢが異常，
ＭＰＵＡのみが正常と判断される。この場合には３ステ
ートバッファ２００，２０１が閉状態，２０３，２０４
が開状態，２９はキャッシュメモリ２２０方向への３ス
テートバッファ回路のみが開状態とされる。この場合に
はＭＰＵＡとＭＰＵＢを停止し、図４（ｄ）のようにＭ
ＰＵＣのみによる単独運転とされる。キャッシュメモリ
２２０方向への３ステートバッファ回路２９のみが開状
態とされるのは、キャッシュメモリ記憶内容の同一性保
持のためである。

【００３８】ケース６：チェック回路ＣＨＫＢＣのみが
一致出力を与えており、ＭＰＵＣとＭＰＵＢが正常と判
断される。この場合には３ステートバッファ２００，２
０１が閉状態，２０３，２０４が開状態，２９はキャッ
シュメモリ２２０方向への３ステートバッファ回路のみ
が開状態とされる。この場合には基本的にケース４と同
様に運用される。

【００３９】ケース７：チェック回路ＣＨＫＣＡのみが
一致出力を与えており、ＭＰＵＣとＭＰＵＡが正常と判
断される。この場合には参照用ＭＰＵの異常なので、図
４（ｅ）ケース７のように、ＭＰＵＢのみを切り離し、
３ステートバッファ回路は何等の変更もせずにＭＰＵＣ
とＭＰＵＡによる二重化運転を継続する。

【００４０】ケース８：いずれのチェック回路ＣＨＫも
不一致を検出しており、全ＭＰＵが異常であることから
以後の運転継続が不可能である。

【００４１】以上のようにして、３台のＭＰＵとその周
辺回路（例えばパリティ生成／検査照合回路）の正常性
が確認され、適宜構成変更制御が実施されるが、この表
１はあくまでも照合結果の考え得る組合わせを述べたに
すぎず、実際問題としてはケース２から８の７つの異常
事象が同一確率で発生するわけではない。つまり、この
うち単一故障のケースは４，６，７の３事例、二重故障
は２，３，５の３事例、三重故障は８のケースであり、
良く知られているように運転継続不能となるケース２，
８を含む多重故障の同時発生確率は単一故障に比べて極
めて低い。しかも、実際には単一故障が進展して多重故
障に至ることが殆どであり、従って単一故障の時点で何
等かの回復対策を施すことで事実上運転継続に支障のな
いシステム構成とすることができる。なお、本発明では
仮に二重故障が発生したとしても多くの場合に支障なく
運転継続可能であり、この意味においては非常に信頼性
の高いシステムであるといえる。

【００４２】なお、以上の異常事象発生の際に図２には
図示がないが、異常ＭＰＵを停止する信号がＭＰＵ出力
チェック回路２３から発生されてこれを停止し、あるい
は外部出力されて運転員に異常の発生を報知し、以後の
対策の必要性を報知せしめることは当然のこととして行
われる。

【００４３】〔パリティチェックによる異常検出時の構
成変更〕前記のIII項で述べたようにして、ライトアク
セス時あるいはキャッシュリードアクセス時に、キャッ
シュメモリ２２０，２２１，ＢＩＵ２７−１，２７−２
の異常箇所が特定できる。次に各異常の時のＢＰＵ内部
の構成変更制御について説明する。なお、表３はキャッ
シュリードアクセス時の各部異常の際にキャッシュメモ
リ２２０，２２１，ＢＩＵ２７−１，２７−２，３ステ
ートバッファ２９，２６，２７をどのように制御するの
かを一覧表にしたものである。

【００４４】

【表３】

【００４５】図５は各ケースの時の回路構成を図示した
ものであり、以下表３と図５を参照して説明する。図５
（ａ）は正常時の信号の流れを示している。この場合、
３ステートバッファ２９，２６は閉、２７は開とされて
おり、従ってＢＩＵ２７−１またはキャッシュメモリ２
２０からの情報がＭＰＵＡ２０−１と、ＭＰＵＢ２０−
１に供給され、ＢＩＵ２７−２またはキャッシュメモリ
２２１からの情報がＭＰＵＣ２０−３に供給される。こ
のように、通常はＢＩＵ２７−１，キャッシュメモリ２
２０，ＭＰＵＡ２０−１，ＭＰＵＢ２０−１が１つの組
を構成し、ＢＩＵ２７−２，キャッシュメモリ２２１，
ＭＰＵＣ２０−３が別の１組を構成するように運用され
る。

【００４６】ケース１：キャッシュメモリ２２０の異常
である。図５（ｂ）のように、キャッシュメモリ２２０
の出力が停止され、３ステートバッファ２９はＭＰＵＡ
２０−１側への信号のみが通過するように制御され、３
ステートバッファ２６は開、２７は閉とされる。これに
より、全てのＭＰＵはキャッシュメモリ２２１からの共
通情報を受け取るように構成されて異常発見後も運転継
続される。なお、３ステートバッファ２６を開、２７を
閉のように正常状態から切替える理由は、論理的にはキ
ャッシュメモリ２２０の異常と特定していても、キャッ
シュメモリ220が接続された内部バスの異常の可能性も
否定できず、念のためにキャッシュメモリ２２１側に切
替えるものである。もし、キャッシュメモリ２２０が接
続された内部バスの異常のときは、３ステートバッファ
２９が一方向通信となっているためにＭＰＵＣ側にはそ
の影響が現れない。

【００４７】ケース２：キャッシュメモリ２２１の異常
である。図５（ｃ）のように、キャッシュメモリ２２１
の出力が停止され、３ステートバッファ２９はＭＰＵＣ
２０−３側への信号のみが通過するように制御され、こ
れにより全てのＭＰＵはキャッシュメモリ２２０からの
共通情報を受取るように構成されて異常発見後も運転継
続される。

【００４８】ケース３，５：ＢＩＵ２７０あるいはその
接続されたシステムバス１−１側の異常である。図５
（ｄ），（ｅ）のように、ＢＩＵ２７０あるいはその接
続されたシステムバス１−１側を停止し、ケース１と同
様に運用する。

【００４９】以上のようにして、パリティエラーによる
異常検知されたときは構成変更とともに異常の旨、外部
報知される。

【００５０】以上詳細に述べたように、本発明によれば
ＢＰＵの内部に異常が発生したとしても、その回路構成
の一部を切り離しあるいは情報の流れを変更することに
よって、正常時と同様に運転継続が可能である。このた
めデータ処理の途中で異常が発生した場合には、（１）
切りの良い時点または、修理保守時期まで当該ＢＰＵで
の動作を継続させ、（２）切りの良い時点または、修理
保守時期に当該ＢＰＵで実行していた処理を他の正常な
ＢＰＵに引き継がせれば良い。

【００５１】この結果、異常発生時のチェックポイント
リスタートに備えてのバックアップ動作が不要となり、
処理性能を向上させることができる。

【００５２】Ｖ．内部バス接続時の信号処理 以上説明したように、各部異常の際に内部バスの切替え
を３ステートバッファ２９を用いて行うが、３ステート
バッファ２９の開閉操作は、通常の経路でのライトアク
セスに比べて切替えに時間がかかり、しかもバス間で迂
回するために時間がかかる。この改善策としては、図６
のように異常発生時にのみリトライによりバスサイクル
を延長するのがバスサイクルの遅延を生じず有効であ
る。

【００５３】つまり、異常が発見された（ステップＳ
１，Ｓ２）ときには、ステップＳ４においてリトライを
させる信号をアサートし、ステップＳ５において異常出
力の停止（異常ＭＰＵの切り離し操作等），正常出力の
迂回処理を実施した後で、ステップＳ６においてこのバ
スサイクルを終了させる信号をアサートして一連の処理
を終了する。なお、正常であるときにはステップＳ３に
おいてこのバスサイクルを終了させる信号をアサートす
るのみでよい。ＭＰＵにバスサイクルを終了させたり、
リトライをさせたりするための信号線はＭＰＵの種類に
より名称が異なるが、多くのＭＰＵではリトライ信号を
ＭＰＵに入力することでＭＰＵが自動的に実行する。表
４に代表的なＭＰＵの信号名を示す。

【００５４】

【表４】

【００５５】図７，図８は図６のリトライ方式をライト
アクセス時に採用したときの信号の流れを示したもので
あり、図７は正常時、図８は異常時を示す。同図におい
て、縦軸は時間の経過を示し、横軸はＭＰＵ出力がキャ
ッシュメモリに至るまでの各部回路を示している。通
常、ＭＰＵからはデータ信号に先立って、アドレス信号
が出力される。図７では、アドレス信号，データ信号が
ともに正常であるためにＭＰＵ出力チェック回路２３，
パリティチェック回路２５０では正常と判断され、ＭＰ
Ｕには終了信号が返され、キャッシュメモリ２２０では
データを格納しバスサイクルが終了する。

【００５６】図８では、ＭＰＵＡが異常でアドレス信
号，データ信号がともにＭＰＵ出力チェック回路２３に
より異常と判定され、各ＭＰＵに終了信号とともにリト
ライ信号が返されリトライ動作に入る。リトライ動作時
には３ステートバッファ２００，２０１を閉状態として
ＭＰＵＡから内部バスへの信号伝達を阻止し、３ステー
トバッファ２９を一方向のみ開としてＭＰＵＣの出力信
号をキャッシュメモリ２５０にも供給する。その後、各
ＭＰＵには終了信号が返され、動作が終了する。

【００５７】図９，図１０，図１１は図６のリトライ方
式をキャッシュリードアクセス時に採用したときの信号
の流れを示したものであり、図９は正常時、図１０はア
ドレス信号異常時、図１１はデータ信号異常時を夫々示
す。図９では、アドレス信号、データ信号がともに正常
であり異常が見られないために、ＭＰＵには終了信号が
返され、ＭＰＵはキャッシュメモリ２５０からのデータ
を格納してバスサイクルを終了する。図１０では、ＭＰ
ＵＡからのアドレス信号が他と一致せずに異常と判断さ
れ、各ＭＰＵに終了信号とともにリトライ信号が返され
リトライ動作に入る。リトライ動作時には３ステートバ
ッファ２０１を閉状態としてＭＰＵＡから内部バスへの
信号伝達を阻止し、３ステートバッファ２９を一方向の
み開としてＭＰＵＣのアドレス出力信号をキャッシュメ
モリ２２０に供給し、キャッシュメモリ２２０は与えら
れたアドレスに格納されているデータをＭＰＵＡとMPUB
に供給する。その後、各ＭＰＵに終了信号を返して、リ
トライ動作が終了する。

【００５８】図１１では、キャッシュメモリ２２０から
のデータに異常があり、パリティ生成／照合検査回路１
０，１２，パリティチェック回路２５０でのパリティチ
ェックにより正常と判断され、各ＭＰＵに終了信号とと
もにリトライ信号が返されリトライ動作に入る。リトラ
イ動作時にはキャッシュメモリ２２０の出力が阻止さ
れ、３ステートバッファ２９を一方向のみ開としてキャ
ッシュメモリ２２１の出力をＭＰＵＡとＭＰＵＢに供給
する。なおこの場合、３ステートバッファ２６を閉、２
７を開のように正常状態から切替え、３ステートバッフ
ァ２６を通じてキャッシュメモリ２２１の出力をＭＰＵ
Ｂに供給することにより、キャッシュメモリ２２０から
ＭＰＵＢへのデータ信号の経路の異常により誤ったデー
タがMPUBへ供給されるのを防ぐことができる。

【００５９】VI．異常発生後の復旧策 このように本発明装置は異常発生後も運転継続できる
が、この構成のまま永続的に運転することは二次的故障
の可能性を考慮すると、早急に初期の状態に復旧させる
べきであり、次に、以上発生したＢＰＵの機能を正常に
復旧させるための復旧策について説明する。その方法
は、図１のＢＰＵを１つのプリント板上に形成してお
き、異常ＢＰＵプリント板を正常ＢＰＵプリント板に交
換することで達成される。

【００６０】図１２は、計算機盤構成を示しており、そ
の扉を開放するとその内部にプリント板を収納するスロ
ット部が形成され、更に各スロットには図１の主記憶装
置３，ＢＰＵ２，入出力制御装置ＢＩＵ４を構成する各
プリント板が挿入され、挿入された状態で図１１には図
示せぬシステムバスに接続されるようになっている。図
示の例ではスロットＳＬは１２個あり、このうちＳＬ
１，ＳＬ３〜ＳＬ６にプリント板が挿入され、他のＳＬ
２，ＳＬ７〜ＳＬ１２が空きスロットとなっている。ス
ロットＳＬに挿入されるプリント板ＰＬは通常知られた
もので良いが、本発明のものではこのプリント板をスロ
ットＳＬに固定するためのレバー２８２，プリント板が
停止中か否かを表わす表示ランプ２８０を備え、必要に
応じて適宜プリント板の取り外し要求ボタン２８１が備
えられる。以下、ＢＰＵプリント板の交換手順について
説明する。

【００６１】《ＢＰＵプリント板が１枚のときの交換》
図１３は、システムバス（説明の都合上一重系で示す）
１にプリント板ＰＬが接続可能なｎ個のスロットＳＬの
うち、ＳＬ１にその内部で異常発生したＢＰＵ，ＳＬ２
に主記憶装置３，ＳＬｎにＩＯＵ４のプリントが夫々挿
入されており、ＳＬ３が空きスロットとなっている例を
示す。ここでは、異常ＢＰＵに代わり機能すべき新ＢＰ
Ｕは未だスロットに挿入されていない。そしてプリント
板上の表示ランプ２８０は稼働中のために消灯してい
る。

【００６２】この状態で、旧ＢＰＵ２Ａの機能を正常な
新ＢＰＵ２Ｂに引き継ぐには、まず、空きスロットを用
意する。図１３の例の場合は、スロットＳＬ３が空きス
ロットとなっているので、次に新ＢＰＵ２Ｂを空きスロ
ットＳＬ３に挿入する。

【００６３】ＢＰＵ２ＡはＢＰＵ２Ｂの挿入を検知し、
そのオペレーティングシステム（以下ＯＳと略す）の処
理により、旧ＢＰＵＡで実行中のタスクを新ＢＰＵ２Ｂ
に移管し、旧ＢＰＵ２Ａのプリント板上の表示ランプ２
８０を点灯する。以降、オンラインの業務は新ＢＰＵ２
Ｂにより実行される。旧ＢＰＵ２Ａから新ＢＰＵ２Ｂへ
の業務移管は瞬時に行われる。その後、旧ＢＰＵプリン
ト板上の表示ランプ280が点灯し、該ＢＰＵが停止状態
であることを確認した上で、旧ＢＰＵ２Ａを取り外す。
以上の手順により、旧ＢＰＵ２Ａを抜く前に、オンライ
ン業務を新BPU2Bに移管完了されているため、システム
を停止することなく、またシステム性能を低下させるこ
となくＢＰＵの交換を実現できる。

【００６４】図１４は，図１３で示した例についてＢＰ
Ｕ交換手順を人による動作と計算機内部の処理に分けて
処理の内容を示したＢＰＵ交換手順処理フローである。
BPUを交換する場合、まず空きスロットを用意（Ｓｔ
１）する。空きスロットは、既に未使用の空きスロット
があればそれを用いればよく、また空きスロットがない
場合も、一時的に取り外し可能なハードウェアボードが
あれば、そのボードを抜き、一時的に空きスロットを作
り出し、目的のＢＰＵ交換後に、再び該ボードを戻すこ
とにより空きスロットを準備することも可能である。次
に、空きスロットに新ＢＰＵを挿入（Ｓｔ５）する。そ
のＢＰＵ挿入を、旧ＢＰＵ２Ａは割込等の手段で認識
（Ｓｔ４）する。すると、旧ＢＰＵ２Ａは現在実行中の
タスクを主記憶装置上に退避（Ｓｔ３）し、新ＢＰＵ２
Ｂが該タスクの処理を続行できるようにする。新ＢＰＵ
２Ｂはそれを受けて、該タスクを実行（Ｓｔ５）し、オ
ンライン業務を開始する。旧ＢＰＵ２Ａは自らＢＰＵ上
のボード停止ランプを点灯（Ｓｔ６）し、処理を停止
（Ｓｔ７）する。その後、旧ＢＰＵ上のボード停止ラン
プが点灯しているのを人間が確認（Ｓｔ８）後、旧ＢＰ
Ｕを取り外す(Ｓｔ９）。これで、ＢＰＵ交換は完了で
ある。

【００６５】図１５は、上記実施例における、旧ＢＰＵ
２Ａ上で実行中のタスクを新ＢＰＵ２Ｂに引き継ぎする
手段を詳細に説明した図である。システムバスに旧ＢＰ
Ｕ２Ａ，新ＢＰＵ２Ｂ、さらに主記憶装置３の各々プリ
ント板が装着されている。旧ＢＰＵ２Ａ上では、あるタ
スク９２０−１が実行中である。その時に、新BPU2Bが
挿入されたことの連絡が旧ＢＰＵ２Ａに入ったとする
と、旧ＢＰＵ２Ａは、処理を中断し、実行中のタスク９
２０−１を主記憶装置３上に退避する。一方、新ＢＰＵ
２Ｂは主記憶装置３上に退避されたタスク９２０−１に
続くタスク９２０−２を回復して、中断したポイントか
らタスクの処理を続行する。以上の方式を用いて、交換
したＢＰＵ間の業務の引き継ぎを行う。

【００６６】以上が、ＢＰＵが１つの場合のＢＰＵの交
換の例である。上記実施例では、ＢＰＵが１つの場合で
も、システムを停止することなくＢＰＵの交換が可能で
ある。

【００６７】《ＢＰＵプリント板が複数のときの交換》
次にＢＰＵが複数の場合、あるいは挿入したＢＰＵが正
しく動作しなかった場合の対応について説明する。図１
６の本実施例では、ＢＰＵが複数装着されている。それ
ぞれのＢＰＵは交換されるべきＢＰＵを指定する手段と
して、ボード取り外し要求ボタン２８１と、プリント板
番号２８２を具備している。

【００６８】システムバス１にプリント板を接続するた
めの、スロットＳＬ１からＳＬ３にはＢＰＵ２Ａ，２
Ｂ，２Ｃがそれぞれ装着されている。スロットＳＬ４に
は主記憶装置が接続されている。スロットＳＬ５は空き
スロットである。また、各BPUは、ＢＰＵが停止したと
きに点灯する表示ランプ２８０と、取り外すべきＢＰＵ
を指定するために用いるプリント板取り外し要求ボタン
２８１と、プリント板番号２８２を有する。ここで、プ
リント板番号はＢＰＵ２Ａが１、ＢＰＵ２Ｂが２，ＢＰ
Ｕ２Ｃが３と約束されている。今、新ＢＰＵ２Ｄをスロ
ットＳＬ２に装着されている旧ＢＰＵ２Ｂと交換する場
合には、まず、新ＢＰＵ２Ｄを空きスロットであるスロ
ットＳＬ５に挿入する。それから、スロットＳＬ１〜Ｓ
Ｌ３に装着されているＢＰＵのうち、交換したいスロッ
トＳＬ２のＢＰＵ２Ｂの取り外し要求ボタン２８１を押
す。そうすると、旧ＢＰＵ２Ｂは実行中のタスクと自身
のプリント板番号を主記憶装置３上に退避し、新ＢＰＵ
２Ｄが主記憶装置３上に退避されたプリント板番号を取
り込み、退避中タスクを実行する。旧ＢＰＵ２Ｂは、表
示２８０を点灯し自ら停止する。その後、旧ＢＰＵ２Ｂ
のボード停止ランプ２８０が点灯しているのを確認後、
該ＢＰＵ２Ｂを取り外す。

【００６９】図１７は、図１６で示した例についてのＢ
ＰＵ交換手順を人による動作と計算機内部の処理に分け
て処理の内容を示したＢＰＵ交換手順処理フローであ
る。

【００７０】ＢＰＵ交換する場合、まず空きスロットを
用意（Ｓｔ１）する。空きスロットは、既に未使用の空
きスロットがあればそれを用いればよく、また空きスロ
ットがない場合も、一時的に取り外し可能なハードウェ
アボードがあれば、そのボードを抜き、一時的に空きス
ロットを作り出し、目的のＢＰＵ交換後に、再び該ボー
ドを戻すことにより空きスロットを準備することも可能
である。

【００７１】次に、空きスロットに新ＢＰＵ２Ｄを挿入
（Ｓｔ２）する。その後、取り外したい旧ＢＰＵ２Ｂの
プリント板取り外し要求ボタンを押す（Ｓｔ３）。する
と、旧ＢＰＵ２Ｂは現在実行中のタスクと自プリント板
番号を主記憶装置３上に退避（Ｓｔ４）し、新ＢＰＵ２
Ｄが該タスクの処理を続行できるようにする。新ＢＰＵ
２Ｄはそれを受けて、該タスクを実行（Ｓｔ５）し、オ
ンライン業務を開始する。旧ＢＰＵ２Ｂは自らＢＰＵ上
の表示ランプを点灯（Ｓｔ６）し、処理を停止（Ｓｔ
７）する。その後、旧ＢＰＵ２Ｂ上の表示ランプが点灯
しているのを確認（Ｓｔ８）後、旧ＢＰＵ２Ｂを取り外
す（Ｓｔ９）。これで、ＢＰＵ交換は完了である。

【００７２】図１８は、上記実施例における、旧ＢＰＵ
上で実行中のタスクとプリント板番号を新ＢＰＵに引き
継ぐ手段を詳細に説明した図である。システムバスに旧
BPUが３台（２Ａ，２Ｂ，２Ｃ）、新ＢＰＵ２Ｄ、さら
に主記憶装置が装着されている。旧ＢＰＵ２Ａ，２Ｂ，
２Ｃ上では、夫々タスク１，２，３、旧ＢＰＵ２Ｃ上で
はタスク２が実行中である。また、旧ＢＰＵ２Ａ，２
Ｂ，２Ｃのプリント板番号２８２は夫々１，２，３であ
る。その時に、取り外しＢＰＵを指定するために、旧Ｂ
ＰＵ２Ｂのプリント板取り外し要求ボタンが押されたと
すると、旧BPU2Bは、処理を中断し、実行中のタスク２
と自プリント板番号２を主記憶装置３上に退避する。一
方、新ＢＰＵ２Ｄは主記憶装置３上に退避されたプリン
ト板番号２とタスク２を回復し、中断ポイントからタス
クの処理を続行する。以上の方式を用いて、交換したＢ
ＰＵ間の業務の引き継ぎを行う。

【００７３】本実施例によれば、交換されるべきＢＰＵ
を指定する手段であるプリント板取り外し要求ボタンを
設けることにより、ＢＰＵが複数装着されている場合で
も、システムを停止することなく、さらにはシステム性
能を低下させることなくBPUを交換できるという長所が
ある。

【００７４】また、交換するＢＰＵに割当てているプリ
ント板番号を交換ＢＰＵ間で引き継ぐことにより、ユー
ザプログラムにより動作プリント板番号が指定されてい
る場合でも、ユーザプログラムを変更することなくＢＰ
Ｕを交換できるという長所がある。

【００７５】《挿入されたＢＰＵが正しく作動しなかっ
た場合》一方、交換された新ＢＰＵが万一正常に動作し
ない場合に、システムに重大な影響を及ぼすという短所
がある。図１９，図２０によれば、挿入されたＢＰＵの
動作チェックを実行する手段を有し、新しく挿入した新
ＢＰＵが万一正常に動作しない場合にもシステムへの影
響を与えることがない。

【００７６】図１９は、新ＢＰＵ２Ｂが挿入された状態
を示す図であり、このとき旧BPU2Aではあるタスクが実
行中である。新ＢＰＵ２Ｂが挿入されると、該ＢＰＵ上
で動作チェックを行うため、ＢＰＵ自己診断プログラム
９２５を実行する。診断プログラムが正常に終了するま
では旧ＢＰＵＡにはボード挿入の連絡はしない。該診断
プログラム９２５により新ＢＰＵに故障箇所が発見され
ると旧ＢＰＵへは連絡せず、自ＢＰＵ２Ｂの表示ランプ
２８０を点灯し、処理を停止する。旧ＢＰＵでは、新Ｂ
ＰＵ挿入タイミングでタスク１を中断することなく、何
事もなかったかのようにタスクの処理を続行する。

【００７７】図２０は、上記実施例における、ＢＰＵ交
換手順を人による動作と計算機内部の処理に分けて処理
の内容を示したＢＰＵ交換手順処理フローである。Ｓｔ
１，Ｓｔ２，Ｓｔ４〜Ｓｔ８，Ｓｔ１１〜Ｓｔ１３の処
理については、図２１と全く同一の処理であるためここ
では説明を省略し、本実施例に特有の処理につき説明す
る。

【００７８】新ＢＰＵが挿入されると、まず該ＢＰＵの
動作チェックを実施するため診断プログラムを実行（Ｓ
ｔ３）する。該診断プログラムの結果、正常と判定され
た場合には、前実施例と同じく処理Ｓｔ４に移る。しか
し、故障と判定された場合には、挿入された新ＢＰＵ上
の表示ランプを点灯(Ｓｔ９)し、新ＢＰＵの処理を停止
（Ｓｔ１０）する。その後、新ＢＰＵ上の表示ランプの
点灯を確認(Ｓｔ１４)し、新ＢＰＵを再度取り外す（Ｓ
ｔ１５）。この結果、ＢＰＵの交換は失敗に終ったもの
の、旧ＢＰＵが処理を継続しているため、オンラインシ
ステムには影響を与えることはない。交換が成功したか
否かは、ＢＰＵ挿入後，新旧ＢＰＵのどちらの表示ラン
プが点灯するかにより判定する。

【００７９】以上、本実施例の方式により、挿入された
ＢＰＵが正常に動作しない場合にも、オンラインシステ
ムには影響を排除することが可能となった。

【００８０】《異常発生前後の構成と処理》以上述べた
旧ＢＰＵ２Ａと新ＢＰＵ２Ｂ内のＭＰＵの処理並びに構
成を時系列的に示したものが図２１であり、正常運転時
にはＢＰＵ２Ａの３台のＭＰＵが運転しており、その多
数決結果が出力されている。そして処理Ｂの実行中にMP
UCに障害が発生するとこれを切り離し、ＭＰＵＡとＭＰ
ＵＢによる多重化回路構成により運転が正常に継続され
る。他方ＭＰＵＡの異常報知により新ＢＰＵ２Ｂのプリ
ント板を空きスロットに挿入すると、新ＢＰＵ２Ｂ内の
各ＭＰＵは自己診断を実施し、適宜の時点で処理を旧Ｂ
ＰＵ２Ａから新ＢＰＵ２Ｂに移してＢＰＵ２Ｂの３台の
ＭＰＵ(ＭＰＵＤ，ＭＰＵＥ，ＭＰＵＦ)の多数決結果に
よる処理Ｄを実行する。この処理引き継ぎは、切りの良
い時点または、修理保守時期まで、当該ＢＰＵでの動作
を継続させ、切りの良い時点または、修理保守時期に当
該ＢＰＵで実行した処理を他の正常なＢＰＵに引き継が
せれば良く、実際にはソフトウェアの都合で最も性能上
望ましい時点で行うことができる。このようなタイミン
グとしては、タスク切替えのタイミングが一般的にはふ
さわしいことは明らかである。なんとなれば、マルチプ
ロセッサシステムにおけるプロセッサの切替えとまった
く同一手順でＢＰＵの切替えが可能であり、引き継ぎに
伴う余分な性能上のオーバーヘッドを０にすることが可
能であるからである。このため本発明によれば、フォー
ルト発生時のチェックポイントリスタートに備えてのバ
ックアップ動作が不要となり、処理性能を向上させるこ
とができる。

【００８１】なお、フォールトが発生した場合には、ハ
ードウェアはフォールトの発生状況をレジスタに記録
し、オペレーティングシステムはコンテクストスイッチ
時や修理保守のための割込み処理時にレジスタを参照
し、処理の引き継ぎが必要な場合には、処理引き継ぎ先
のＢＰＵに割込みなどで通知し、自ＢＰＵでの処理を終
了する。ＢＰＵ２を構成する要素（ＭＰＵ，キャッシュ
メモリなど）の一部で故障が発生した場合、他の要素は
正常であっても、本方式では処理引き継ぎ後には、他の
正常な要素も含めてＢＰＵ２全体の使用を中止する。

【００８２】図２２に、フォールトトレランスの為に冗
長化したＭＰＵＡ，ＭＰＵＢ，MPUCが故障などの原因で
障害を受けた場合の引き継ぎ時の本発明方式と公知例と
の構成の相違を模式的に示す。従来の方法では、障害を
受けたＭＰＵＡのみを正常なＭＰＵＤと交換する方法を
採っていた。これに対し、本発明による方法では、障害
を受けたＭＰＵＡだけでなく、正常なＭＰＵＢ，ＭＰＵ
Ｃも新たにＭＰＵＤ，ＭＰＵＥ，ＭＰＵＦと交換してい
る。以上の様にすることにより、フォールトトレランス
の為に冗長化したＭＰＵの組合わせ、すなわちＭＰＵ
Ａ，ＭＰＵＢ，ＭＰＵＣの組合わせを固定化することが
できる。従ってＭＰＵの組合わせを交換単位にすれば、
それぞれの組合わせを構成するＭＰＵ間を高速のクロッ
クで結合することができ、高速のフォールトトレラント
コンピュータを実現することができる。また従来のよう
に、ＭＰＵの組替えに伴う種々のハードウェア，ソフト
ウェアが不要である。

【００８３】なお、ＢＰＵは単一故障の場合には動作を
継続することができるので、この処理引き継ぎは故障発
生後直ちに行う必要はなく、処理の切りの良い時点また
は、修理保守時に処理引き継ぎを行えばよい。

【００８４】本実施例により処理を継続しながら、故障
の発生したＢＰＵ２０−１の配線基板を引き抜き、正常
な配線基板に交換することができる。

【００８５】VII．各部回路の代案変形例以上、本発明
について説明したが、本発明の各部回路等は適宜変更し
て実現することができる。以下、これらの代案，変形例
について説明する。

【００８６】《多数決論理部》図２３は、図２の多数決
論理回路部の組方と切替えの様子を、他の構成要件を省
いて簡略化し理解しやすい形にして示したものであり、
ＭＰＵＡとＭＰＵＣを出力専用に固定化して用い、ＭＰ
ＵＢをＭＰＵＡとＭＰＵＣの健全性確認の参照用として
のみ用いるとともに、ＭＰＵＡあるいはＭＰＵＣの異常
時には健全性の確認された方の１つの出力を共通に用い
て２組のキャッシュメモリに供給するようにしたもので
ある。この方式の場合、ＭＰＵの出力が多数決回路を通
らずに直接キャッシュメモリに入力されるので、多数決
回路での遅延時間の分キャッシュメモリアクセス時間を
短縮できる。

【００８７】本発明においては、以上のようにして多数
決論理を用いて三重系を二重系に切替えて運転継続する
ものであり、本発明の変形例としてはこの方式以外にも
種々のものとすることができる。例えば、図２５では３
つのＭＰＵの出力を多数決選択回路２１０と２１１に夫
々与え、３つのＭＰＵの中から健全性の確認された１つ
の出力を選択する。この場合、故障した方の多数決選択
回路に接続されているキャッシュメモリのデータが破壊
されるが、正常な多数決選択回路に接続されているキャ
ッシュメモリのデータを用いて運転継続できる。

【００８８】また、図２４のようにＭＰＵの出力をゲー
ト回路，切替回路等を通さずに直接キャッシュメモリに
入力し、異常となったＭＰＵから信号を受けるキャッシ
ュメモリの動作を停止して以降そのデータを使用しない
ようにすれば、さらにゲート回路，切替回路等の遅延時
間の分キャッシュメモリアクセス時間を短縮することが
できる。しかも多くの信号線からなるアドレスバス，デ
ータバスの切替手段が不要となるのでハード量を減少さ
せることができる。

【００８９】図２６は４台のＭＰＵを備え、ＭＰＵＡと
ＭＰＵＣを出力専用に固定し、MPUBとＭＰＵＤをそれら
の参照用に用い、２組の出力一致により出力専用ＭＰＵ
の出力を夫々与えるものである。なお、ＭＰＵの異常時
には、健全側のものに切替えて使用する方法とか、異常
となったＭＰＵから信号を受けるキャッシュメモリの動
作を停止して以降そのデータを使用しないようにする方
法等で対応できる。

【００９０】《キャッシュデータのリードアクセス部》
また、キャッシュメモリについてみると、キャッシュメ
モリ２２０，２２１の出力（データ）はパリティチェッ
クにより正常／異常が判断できるので、図２７のように
パリティチェック２５０により正常と判断されたキャッ
シュメモリの出力を切替手段２６０を通じてＭＰＵＡ，
ＭＰＵＢ，ＭＰＵＣに入力する。また、両方のキャッシ
ュメモリが正常である場合には、キャッシュメモリの主
系，従系を予め決めておき、主系の出力を選択すればよ
い。

【００９１】又、図２８のようにＭＰＵＡ，ＭＰＵＢは
接続するキャッシュをそれぞれキャッシュメモリを２２
０，２２１に固定しておきＭＰＵＢのみに選択したキャ
ッシュメモリの出力を入力してもよい。この場合、いず
れかのキャッシュメモリが故障しても３つのうちの２つ
のＭＰＵに正常な動作をさせることができ、しかもハー
ド量を削減することができる。

【００９２】

【発明の効果】本発明では、プロセッサボードが複数装
着されている場合でも、システムを停止することなく、
またシステム性能の低下を抑えてプロセッサボードの交
換を実現できる。

【図面の簡単な説明】

【図１】本発明の全体システム構成を示す図。

【図２】本発明のＢＰＵの構成を示す図。

【図３】ＭＰＵ出力チェック回路の一実施例図。

【図４】ライトアクセスでの異常時のＢＰＵの構成を示
す図。

【図５】リードアクセスでの異常時のＢＰＵの構成を示
す図。

【図６】バスサイクル制御フロー図。

【図７】ＭＰＵ正常時のＢＰＵ内の信号の流れを示す
図。

【図８】ＭＰＵ異常時のＢＰＵ内の信号の流れを示す
図。

【図９】ＭＰＵ正常時のＢＰＵ内の信号の流れを示す
図。

【図１０】アドレス信号異常時のＢＰＵ内の信号の流れ
を示す図。

【図１１】データ信号異常時のＢＰＵ内の信号の流れを
示す図。

【図１２】計算機盤構成を示す図。

【図１３】ＢＰＵ交換原理説明図。

【図１４】ＢＰＵ交換手順を示す図。

【図１５】新旧ＢＰＵの処理引き継ぎを示す図。

【図１６】マルチプロセッサ時のＢＰＵ交換原理説明
図。

【図１７】マルチプロセッサ時のＢＰＵ交換手順を示す
図。

【図１８】マルチプロセッサ時の新旧ＢＰＵ処理引き継
ぎを示す図。

【図１９】挿入ＢＰＵ故障時のＢＰＵ交換処理を示す
図。

【図２０】挿入ＢＰＵ故障時のＢＰＵ交換処理フロー
図。

【図２１】ＢＰＵ故障時の処理の引き継ぎを示す図。

【図２２】ＢＰＵ故障時の処理の引き継ぎを示す図。

【図２３】３ＭＰＵによる比較照合の実施例図。

【図２４】３ＭＰＵによる比較照合の他の実施例図。

【図２５】多数決方式の他の実施例図。

【図２６】４ＭＰＵによる比較照合の実施例図。

【図２７】キャッシュデータのリードアクセスを示す
図。

【図２８】キャッシュデータのリードアクセスの他の実
施例図。

【符号の説明】

１…システムバス、２…ＢＰＵ、１０，１１，１２，１
３，１４，１５…パリティ生成／検査照合回路、２０…
ＭＰＵ、２３…ＭＰＵ出力チェック回路、２７…ＢＩＵ
（バスインタフェースユニット）、３０，３１…パリテ
ィチェック回路、２６，２７，２９，２００乃至２０５
…３ステートバッファ、２２０，２２１…キャッシュメ
モリ、２３４，２３５…エラーチェック回路。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 荒岡 学 茨城県日立市大みか町五丁目２番１号 株 式会社日立製作所大みか工場内 (72)発明者 中村 智明 茨城県日立市大みか町五丁目２番１号 株 式会社日立製作所大みか工場内 (72)発明者 丹治 雅行 茨城県日立市大みか町五丁目２番１号 株 式会社日立製作所大みか工場内 (72)発明者 金子 茂則 茨城県日立市大みか町五丁目２番１号 株 式会社日立製作所大みか工場内 (72)発明者 桝井 晃二 茨城県日立市大みか町五丁目２番１号 株 式会社日立製作所大みか工場内 (72)発明者 飯島 三朗 茨城県日立市大みか町五丁目２番１号 日 立プロセスコンピュータエンジニアリング 株式会社内 (72)発明者 山口 伸一朗 茨城県日立市大みか町七丁目１番１号 株 式会社日立製作所日立研究所内 (72)発明者 金川 信康 茨城県日立市大みか町七丁目１番１号 株 式会社日立製作所日立研究所内 (72)発明者 小林 芳樹 茨城県日立市大みか町七丁目１番１号 株 式会社日立製作所日立研究所内

Claims (4)

【特許請求の範囲】
1. 【請求項１】システムバス上にボードを挿入するための
   複数スロットを備え、当該スロットに主記憶装置のボー
   ドと、同一演算を実行する複数プロセッサで構成される
   ベーシックプロセッサボードとが挿入されて作動する高
   信頼化コンピュータシステムにおいて、 一部プロセッサの故障による縮退運転状態からの復旧が
   以下のようにして行われる高信頼化コンピュータシステ
   ムの復旧方法。 ａ．旧ベーシックプロセッサボードが、空きスロットに
   新ベーシックプロセッサボードが挿入され作動可能状態
   であることを検知し、実行中のタスクを主記憶装置に退
   避する。 ｂ．新ベーシックプロセッサボードは、自己診断を実行
   し、正常な場合のみ主記憶装置に退避されたタスクを実
   行する。 ｃ．旧ベーシックプロセッサボードを停止する。
2. 【請求項２】システムバス上にボードを挿入するための
   複数スロットを備え、当該スロットに主記憶装置のボー
   ドと、同一演算を実行する複数プロセッサで構成される
   複数のベーシックプロセッサボードとが挿入されて作動
   する高信頼化コンピュータシステムにおいて、 ベーシックプロセッサボードはその一部にボード取り外
   し要求手段を有しており、一部プロセッサの故障による
   縮退運転状態からの復旧が以下のようにして行われる高
   信頼化コンピュータシステムの復旧方法。 ａ．旧ベーシックプロセッサボードは、自己に備えられ
   たボード取り外し要求手段からの信号によって、実行中
   のタスクと自己のボードを示す識別番号とを主記憶装置
   に退避する。 ｂ．新ベーシックプロセッサボードは、主記憶装置に退
   避されたタスクと識別番号とを入力し、旧ベーシックプ
   ロセッサボードの実行すべき処理を引続いて実行する。 ｃ．旧ベーシックプロセッサボードを停止する。
3. 【請求項３】システムバス上にボードを挿入するための
   複数スロットを備え、当該スロットに主記憶装置のボー
   ドと、同一演算を実行する複数プロセッサで構成される
   複数のベーシックプロセッサボードとが挿入されて作動
   する高信頼化コンピュータシステムにおいて、 ベーシックプロセッサボードはその一部にボード取り外
   し要求手段を有しており、一部プロセッサの故障による
   縮退運転状態からの復旧が以下のようにして行われる高
   信頼化コンピュータシステムの復旧方法。 ａ．旧ベーシックプロセッサボードは、自己に備えられ
   たボード取り外し要求手段からの信号によって、実行中
   のタスクと自己のボードを示す識別番号とを主記憶装置
   に退避する。 ｂ．新ベーシックプロセッサボードは、自己診断を実施
   し、正常である場合のみ主記憶装置に退避されたタスク
   と識別番号とを入力し、旧ベーシックプロセッサボード
   の実行すべき処理を引続いて実行する。 ｃ．旧ベーシックプロセッサボードを停止する。
4. 【請求項４】システムバス上にボードを挿入するための
   複数スロットを備え、当該スロットに主記憶装置のボー
   ドと、同一演算を実行する複数プロセッサで構成され、
   その一部回路に障害が発生したとき障害部位を除いた残
   りの構成で運転継続する複数のベーシックプロセッサボ
   ードとが挿入されて作動する高信頼化コンピュータシス
   テムにおいて、 複数スロットの全てに稼働状態のボードが挿入されてい
   るときに任意のボードを取り外し、代わりに新ベーシッ
   クプロセッサボードを挿入し、障害が発生して一部回路
   で運転継続している旧ベーシックプロセッサボードの処
   理を新ベーシックプロセッサボードに移して稼働せし
   め、旧ベーシックプロセッサボードを停止してスロット
   から除去し、除去後のスロット位置に前記取り外した任
   意のボードを挿入して稼働せしめることを特徴とする高
   信頼化コンピュータシステムの復旧方法。