JPH11120154A - コンピュータシステムにおけるアクセス制御装置および方法 - Google Patents

Abstract

(57)【要約】 【課題】 マルチプロセッサシステムにおいて、ＣＰＵ
のソフトウェアに依存することなく、システムの信頼性
を維持することが課題である。 【解決手段】 プロセッサモジュール内の接続ユニット
制御部２３は、メモリ２５に格納されたマイクロプログ
ラムを実行して、ＣＰＵ２１から共有メモリモジュール
へのアクセスを監視する。そして、アクセスエラーが発
生すると、マイクロプログラム実行部２４は、マイクロ
プログラムの指示に従ってリトライ等の救済処理を行
う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、複数のプロセッサ
モジュール（プロセッシングモジュール）と共有メモリ
がシステムバスを介して接続されたマルチプロセッサシ
ステムの高信頼性技術に関する。

【０００２】

【従来の技術とその問題点】従来のマルチプロセッサシ
ステムにおいては、プロセッサモジュールから共有メモ
リモジュールへの同期アクセス時にエラーが発生した場
合、中央処理ユニット（ＣＰＵ）に対して例外の発生が
通知される。ここで、同期アクセスとは、ＣＰＵが共有
メモリモジュールに対して直接アクセスすることを意味
し、例外の発生は、メモリコントローラなどのシステム
コントローラからＣＰＵに通知される。このとき、ＣＰ
Ｕが例外処理を行って、ソフトウェアによりエラーの解
析およびリカバリが行われる。

【０００３】このような例外処理は、システムバスの仕
様やシステムバスの接続ユニットにより処理方法が異な
り、システムバスが異なるとソフトウェアも変更する必
要がある。したがって、システムの性能を上げるために
システムバスの仕様を変更すると、それに伴って例外処
理のソフトウェアも変更する必要がある。また、このソ
フトウェアは、専用のオペレーティングシステムの下で
しか動作せず、汎用のオペレーティングシステム上で動
作させることができない。

【０００４】また、近年、ＣＰＵを高速化するために、
回路を削減して、簡素化した回路構成が用いられるよう
になっている。このような簡素化に伴い、例外発生時の
動作保証を行うために必要な回路も削減され、同期アク
セスにおいてＣＰＵに例外が発生すると、その後の動作
を保証することが困難になってきている。

【０００５】例えば、最高３００ＭＨｚ程度の性能を持
つＣＰＵを搭載したシステムでは、例外が発生したとき
に、プログラムカウンタの値を正しくセットできない場
合がある。したがって、従来の処理方法のままでは、高
速のＣＰＵを使用して高信頼性コンピュータシステムを
構築することが非常に困難である。

【０００６】本発明の課題は、マルチプロセッサシステ
ムにおいて、ＣＰＵのソフトウェアを変更することなく
システムの信頼性を維持し、例外処理後の動作が保証さ
れないようなＣＰＵを用いた場合でもそれを維持するこ
とのできるアクセス制御装置およびその方法を提供する
ことである。

【０００７】

【課題を解決するための手段】図１は、本発明のアクセ
ス制御装置の原理図である。図１のアクセス制御装置
は、複数のプロセッサモジュール１と、共有メモリモジ
ュール２とを有するマルチプロセッサシステムのための
アクセス制御を行い、格納手段３と実行手段４を備え
る。

【０００８】格納手段３は、上記複数のプロセッサモジ
ュール１のうちの１つのプロセッサモジュールから上記
共有メモリモジュール２へのアクセスを制御するための
マイクロプログラムを格納する。実行手段４は、上記マ
イクロプログラムを実行して上記アクセスの結果を監視
し、そのアクセスにおいてエラーが発生した場合に、そ
のエラーを救済するための処理を行う。

【０００９】このアクセス制御装置は、例えば、各プロ
セッサモジュール１内に設けられ、ＣＰＵのソフトウェ
アによる共有メモリモジュール２へのアクセスを監視す
る。実行手段４は、共有メモリモジュール２からの応答
をチェックして、アクセスエラーが発生したことを認識
すると、マイクロプログラムの記述に従って、アクセス
のリトライや故障モジュールの切り離し等の救済処理を
行う。

【００１０】このように、アクセスエラーの監視と救済
の処理を、ソフトウェアに代わってマイクロプログラム
が実行することにより、ＣＰＵに依存することなく、エ
ラーを救済することが可能になる。したがって、システ
ムバスが変更されても、ＣＰＵのソフトウェアを変更す
ることなく、システムの信頼性を維持することができ
る。また、例外処理後の動作が保証されないようなＣＰ
Ｕを用いた場合でも、システムの信頼性を維持すること
ができる。

【００１１】例えば、図１の格納手段３は、後述する図
３のマイクロプログラムメモリ２５に対応し、実行手段
４はマイクロプログラム実行部２４に対応する。

【００１２】

【発明の実施の形態】以下、図面を参照しながら、本発
明の実施の形態を詳細に説明する。図２は、実施形態の
マルチプロセッサシステムの構成図である。図２のマル
チプロセッサシステムでは、二重化されたシステムバス
１１に複数のプロセッサモジュール（ＰＭ）１２および
複数の共有メモリモジュール（ＳＳＭ）１３が接続され
ている。バスハンドラ（ＢＨ）１４は、各システムバス
１１に接続され、そのアービトレーション機能を有す
る。

【００１３】各プロセッサモジュール１２は、図３に示
すように、ＣＰＵ２１、メインメモリ２２、システムバ
ス１１に接続される接続ユニット（バスコントローラ）
２６、接続ユニット２６の制御を行う接続ユニット制御
部２３、およびマイクロプログラムを格納するマイクロ
プログラムメモリ２５を備える。また、接続ユニット制
御部２３には、メモリ２５に格納されたマイクロプログ
ラムを実行するマイクロプログラム実行部２４が含まれ
ている。

【００１４】ここでは、プロセッサモジュール１２は４
つのＣＰＵ２１を含んでいるが、一般に、ＣＰＵ２１の
個数は任意である。ＣＰＵ２１、メインメモリ２２、お
よび接続ユニット制御部２３は、内部バス２７により互
いに接続されており、マイクロプログラムメモリ２５お
よび各接続ユニット２６も、接続ユニット制御部２３に
接続されている。内部バス２７は、データ系の信号を転
送するデータバスと制御系の信号を転送する制御バスと
を含む。

【００１５】また、各共有メモリモジュール１３は、図
４に示すように、複数のプロセッサモジュール１２から
アクセスされる共有メモリ３１と、システムバス１１に
接続される接続ユニット３２を備え、それらは内部バス
３３により互いに接続されている。

【００１６】本発明においては、各ＰＭの接続ユニット
制御部２３にマイクロプログラムを実行する機能を持た
せ、マイクロプログラム実行部２４が接続ユニット２６
を経由するＰＭからＳＳＭへのアクセス内容を制御す
る。したがって、接続ユニット制御部２３およびマイク
ロプログラムメモリ２５がアクセス制御装置に対応す
る。

【００１７】ＰＭからＳＳＭへのアクセス時にエラーが
発生した場合、マイクロプログラムに従ってマイクロプ
ログラム実行部２４がエラー救済のための処理を行う。
これにより、ＰＭのＣＰＵ２１で走行するソフトウェア
には一切の変更を必要とせずに、ＰＭからＳＳＭへのア
クセスの信頼性を高めることができる。

【００１８】また、ＰＭからＳＳＭへのシステムバスを
経由したアクセスにおいてアクセスエラーが発生した場
合、それを検出したＰＭの接続ユニット制御部２３内の
マイクロプログラムの処理により、アクセスの無条件リ
トライを一定時間または一定回数繰り返す。これによ
り、ＰＭからＳＳＭへのアクセスの信頼性を高めること
ができる。

【００１９】また、マイクロプログラムの処理により、
アクセスエラーの種類によって間隔を変更してリトライ
を行うことで、ＰＭからＳＳＭへのアクセスの信頼性を
高める。例えば、ＳＳＭがビジーであることを示すエラ
ーが発生した場合は、リトライ間隔を長くし、システム
バスのテンポラリの故障（間欠障害）の場合は、リトラ
イ間隔を短くすることにより、システムの性能を落とす
ことなく、アクセスの信頼性を高めることができる。

【００２０】また、マイクロプログラムの処理により、
システムバスの経路を変更することで、ＰＭからＳＳＭ
へのアクセスの信頼性を高める。また、マイクロプログ
ラムの処理により、アクセスエラーの解析を行い、シス
テムバスの固定障害と判断した場合は、システムバスを
使用不可にするようにＢＨに指示することで、以降のＰ
ＭからＳＳＭへのアクセスの正常性を確保する。

【００２１】また、マイクロプログラムの処理によっ
て、定期的にＳＳＭおよびシステムバスの診断を行い、
アクセスエラーを監視する。そして、診断時に発生した
アクセスエラーの解析を行い、故障モジュールを特定し
て、それをＣＰＵ２１に割込みにて通知したり、故障モ
ジュールを切り離したりする。これにより、ＣＰＵ２１
がＳＳＭに対してアクセスする前に、故障モジュールを
特定して切り離し、以降のＰＭからＳＳＭへのアクセス
の正常性を確保することができる。

【００２２】また、マイクロプログラムの処理により、
ＰＭからＳＳＭへのライトアクセス時に複数のＳＳＭに
同じデータを書き込む。そして、ＰＭからＳＳＭへのリ
ードアクセス時には、同一のデータを書き込まれた複数
のＳＳＭのうちの１つからデータを読み出す。このよう
に、同一のメモリ内容を持つ複数のＳＳＭを作り出すこ
とで、そのうちの１つのＳＳＭが切り離されても、シス
テムの運用を継続することができる。

【００２３】マイクロプログラムの処理により、システ
ム動作中に１つのＳＳＭの全データを新たに挿入された
他のＳＳＭに転送することで、挿入されたＳＳＭを、動
的に他のＳＳＭと同一のメモリ内容を持つＳＳＭにする
ことができる。

【００２４】上述の方法によりＳＳＭが二重化されたマ
ルチプロセッサシステムにおいて、ＰＭからＳＳＭへの
リードアクセスでアクセスエラーが発生した場合、マイ
クロプログラムの処理により、各ＳＳＭの状態を調査す
る。そして、正常と判定されたＳＳＭからデータを読み
出すことにより、リードアクセスを救済する。

【００２５】また、ＰＭからＳＳＭへのアクセスでアク
セスエラーが発生した場合、マイクロプログラムの処理
により、ＳＳＭの状態を調査し、異常と判断されたＳＳ
Ｍをシステムから切り離す。これにより、以降のＰＭか
らＳＳＭへのアクセスの正常性を確保することができ
る。

【００２６】また、マイクロプログラムの処理により、
アクセス救済に要する処理時間を認識し、その時間に応
じて救済内容を変更する。これにより、ＰＭからＳＳＭ
へのアクセス時間を一定時間内に制限して、システム全
体の性能低下を防ぐことが可能になる。

【００２７】また、１つのＰＭ内に複数のＣＰＵ２１を
搭載可能なマルチプロセッサシステムにおいて、システ
ムの起動時にＣＰＵ２１の実装数を接続ユニット制御部
２３に入力することで、ＣＰＵ２１の実装状況に応じて
各ＣＰＵ毎にアクセス救済を行うことができる。

【００２８】また、マイクロプログラムの処理によりア
クセスエラーの救済を行った場合、接続ユニット制御部
２３がＣＰＵ２１に対して割込みを発生し、ＣＰＵ２１
上で走行するソフトウェアに対してアクセスエラーの発
生を通知する。これにより、ＣＰＵ２１上で走行するソ
フトウェアが適切なエラー予防処置をとることが可能に
なる。

【００２９】また、接続ユニット制御部２３が故障モジ
ュールの切り離しを行った場合、割込みとともにアクセ
スエラーの救済内容を通知することにより、ＣＰＵ上で
走行するソフトウェアにおいてアクセスエラーの発生箇
所の特定を容易にする。

【００３０】また、接続ユニット制御部２３に、他のＰ
Ｍの接続ユニット制御部２３との通信機能を設けること
で、接続ユニット制御部２３が各ＰＭのアクセスエラー
発生状況を解析して、故障モジュールの特定を行うこと
ができる。

【００３１】また、接続ユニット制御部２３に他のＰＭ
の接続ユニット制御部２３からＳＳＭアクセスエラー統
計情報を読み出す機能を設けることで、接続ユニット制
御部２３が各ＰＭのアクセスエラー発生状況を解析し
て、故障モジュールの特定を行うことができる。

【００３２】また、マイクロプログラムを書き換え可能
なメモリ装置に格納しておけば、その内容をシステム運
用中に書き換えることが可能になる。上述のような接続
ユニット制御部２３を備えることで、ソフトウェアの変
更を必要とせずに、ＰＭからＳＳＭへのアクセスの信頼
性を高めることができる。また、同期アクセスにおい
て、例外発生後の動作を保証しないＣＰＵを使用した場
合でも、ＰＭからＳＳＭへのアクセスの信頼性を高める
ことができる。より具体的には、次の各点で信頼性が向
上する。 （１）システムバスの間欠障害が発生しても、アクセス
のリトライによりシステムの運用を継続できる。 （２）システムバスの固定障害が発生しても、システム
バスの経路変更によりシステムの運用を継続できる。 （３）システムバスの固定障害が発生した場合、システ
ムバスを使用不可にすることにより、性能低下を招くこ
となく、システムの運用を継続できる。 （４）バス診断を定期的に行うことにより、早期に故障
モジュールを発見できる。 （５）ＳＳＭを二重化することにより、１つのＳＳＭが
故障してもシステムの運用を継続できる。 （６）故障ＳＳＭを切り離すことにより、性能低下を招
くことなく、システムの運用を継続できる。 （７）システム全体のアクセスエラーの統計情報を解析
することにより、故障モジュールの特定を正確に行うこ
とができる。

【００３３】次に、図５から図４７までを参照しなが
ら、図３の接続ユニット制御部２３の各機能を詳細に説
明する。図５は、接続ユニット制御部の構成図である。
図５において、実線の矢印はデータ系の信号線を表し、
破線の矢印は制御系の信号線を表す。接続ユニット制御
部は、インタフェース部４１、プログラム実行部２４、
セレクタ４９、接続ユニットデータ送信制御部５０、コ
マンド生成部５１、応答データ生成部５２、接続ユニッ
トデータ受信制御部５３、リトライ用タイマ５４、およ
び処理時間監視用タイマ５５を含む。

【００３４】ＰＭに複数のＣＰＵが搭載されている場合
は、インタフェース部４１はその搭載数と同じ数だけ必
要となる。このインタフェース部４１は、ＣＰＵ受信バ
ッファ４２、ＣＰＵインタフェース制御部４３、ＣＰＵ
送信バッファ４５、割込み制御部４６、レジスタ制御部
４７、およびシステムバスコマンド生成部４８を含む。

【００３５】ＣＰＵ受信バッファ４２は、ＣＰＵからの
ＳＳＭリード／ライトアクセスおよびレジスタリード／
ライトのコマンドを受け取るバッファである。ＣＰＵイ
ンタフェース制御部４３は、ＣＰＵからのリード／ライ
トアクセスの起動信号（Ｃ．ＳＴＴ）を受信したとき、
ＣＰＵからのコマンドを受信バッファ４２に格納する。
そして、プログラム実行部２４に起動指示を行い、マイ
クロプログラムの指示により、ＣＰＵに対して完了応答
（Ｃ．ＥＮＤ）を送信する。

【００３６】また、ＣＰＵインタフェース制御部４３内
のＣＰＵ完了コード通知部４４は、ＣＰＵインタフェー
ス制御部４３がＣＰＵにＣ．ＥＮＤを出力したとき、プ
ログラム実行部２４からの指示により、ＳＳＭアクセス
の結果を表す完了コードをＣＰＵに通知する。

【００３７】割込み制御部４６は、バス診断にて故障モ
ジュールを特定した場合またはアクセスエラーを救済し
た場合に、それをＣＰＵに通知するための割込みを発生
させる。ＣＰＵ送信バッファ４５は、ＳＳＭリードデー
タ、ＣＰＵ実装情報、救済内容、システム構成情報等の
情報をＣＰＵに通知する。

【００３８】レジスタ制御部４７は、ＣＰＵからのコマ
ンドを転送するシステムバスの経路を決定する機能、コ
マンドの発行元を表すＳｏｕｒｃｅ−ＩＤを設定する機
能、およびＣＰＵ実装情報やシステム構成情報を設定す
る機能を持つ。システムバスの経路は、２つのシステム
バスの一方に対応する識別子であるＢＵＳＮＯを用いて
指定される。また、Ｓｏｕｒｃｅ−ＩＤ、ＣＰＵ実装情
報、およびシステム構成情報は、ＰＭに設けられた外部
ピンまたはレジスタライトにより設定される。

【００３９】システムバスコマンド生成部４８は、プロ
グラム実行部２４の指示により、ＣＰＵからのコマンド
を元に各種コマンドを作成して、接続ユニットデータ送
信制御部５０に通知する。

【００４０】接続ユニットデータ送信制御部５０は、プ
ログラム実行部２４の指示により、システムバスコマン
ド生成部４８、コマンド生成部５１、および応答データ
生成部５２からのデータを接続ユニットに送信する。こ
のとき、セレクタ４９は、プログラム実行部２４の指示
により、システムバスコマンド生成部４８、コマンド生
成部５１、および応答データ生成部５２のうちいずれか
からのデータを入力として選択する。

【００４１】コマンド生成部５１は、プログラム実行部
２４の指示により、各種コマンドを生成する。応答デー
タ生成部５２は、プログラム実行部２４の指示により、
各種応答データを生成する。接続ユニットデータ受信制
御部５３は、接続ユニットからの各種コマンド／応答を
受信し、プログラム実行部２４に通知する。

【００４２】リトライ用タイマ５４は、アクセスエラー
の種類によりリトライの間隔を変える場合に使用され、
処理時間監視用タイマ５５は、アクセスエラー救済に要
した処理時間をプログラム実行部２４に通知する。

【００４３】プログラム実行部２４は、マイクロプログ
ラムメモリ２５からマイクロプログラムを読み出し、そ
の命令を実行する。マイクロプログラムメモリ２５は、
プログラム実行部２４が実行する命令を格納するメモリ
であり、リードオンリメモリ（ＲＯＭ）の場合とリード
／ライト共に可能なランダムアクセスメモリ（ＲＡＭ）
の場合とがある。

【００４４】ＣＰＵがＳＳＭにアクセスする場合、接続
ユニット制御部に起動信号Ｃ．ＳＴＴを出力するととも
に、コマンドを発行する。接続ユニット制御部では、信
号Ｃ．ＳＴＴを受領したＣＰＵインタフェース制御部４
３が動作し、図６に示すように、ＣＰＵ受信バッファ４
２にＣＰＵからのコマンドを格納する。

【００４５】図６において、“Ｃｏｍｍａｎｄ”はＳＳ
Ｍリード、ＳＳＭライト、レジスタリード、レジスタラ
イト等のアクセス種別を表し、“Ａｄｄｒｅｓｓ”はＳ
ＳＭ等の対象モジュールのアドレス（３６ビット）を表
し、“Ｄａｔａ”はライトデータ等を表す。そして、Ｃ
ＰＵインタフェース制御部４３は、コマンドを格納した
ことをレジスタ制御部４７とプログラム実行部２４に通
知する。

【００４６】これを受けて、プログラム実行部２４は、
システムバスコマンド生成部４８にＳＳＭアクセスコマ
ンドを生成するように指示する。これにより、システム
バスコマンド生成部４８は、図７に示すように、ＣＰＵ
受信バッファ４２からの“Ｃｏｍｍａｎｄ”、“Ａｄｄ
ｒｅｓｓ”、および“Ｄａｔａ”と、レジスタ制御部４
７からのＢＵＳＮＯ、ＳＳＭ−ＩＤ、およびＳｏｕｒｃ
ｅ−ＩＤを用いて、ＳＳＭアクセスコマンドを生成す
る。生成されたＳＳＭアクセスコマンドは、システムバ
スコマンド生成部４８内のＣＰＵ受信コマンド保持バッ
ファ６０に格納される。

【００４７】レジスタ制御部４７は、図８に示すよう
に、経路情報制御部６１、ＳＳＭ−ＩＤ制御部６２、Ｓ
ｏｕｒｃｅ−ＩＤレジスタ６３、ＣＰＵ実装情報レジス
タ６４、およびシステム構成情報レジスタ６５を含んで
いる。そして、ＣＰＵインタフェース制御部４３からの
通知を受けて、ＢＵＳＮＯ、ＳＳＭ−ＩＤ、およびＳｏ
ｕｒｃｅ−ＩＤを決定する。

【００４８】ＢＵＳＮＯは、次のようにして決定され
る。経路制御部６１は、ＦＰＴＨビットとＰＳＥＬビッ
トを含むレジスタ６６を有し、これらのビットの値はＣ
ＰＵ上で動作するソフトウェアにより制御される。経路
制御部６１は、ＦＰＴＨ＝１の場合、ＰＳＥＬの値をＢ
ＵＳＮＯとしてシステムバスコマンド生成部４８に通知
する。また、ＦＰＴＨ＝０の場合は、ＣＰＵ受信コマン
ド保持バッファ６０に保持されている３６ビットの“Ａ
ｄｄｒｅｓｓ＜３５：０＞”のうち“Ａｄｄｒｅｓｓ＜
８＞”の値を読み出し、それをＢＵＳＮＯとしてシステ
ムバスコマンド生成部４８に通知する。

【００４９】また、ＳＳＭ−ＩＤは、次のようにして決
定される。ＳＳＭには複数のＰＭの共有データが格納さ
れているため、ＳＳＭに故障が発生するとシステムが停
止してしまう。そこで、１つのアドレスにマスタＳＳＭ
とスレーブＳＳＭの２つを割り当て、同じデータをそれ
らの２つのＳＳＭに保持させる。このように、ＳＳＭを
二重化することで、一方のＳＳＭが故障しても他方のＳ
ＳＭを使用することができ、システムの運用を継続する
ことができる。

【００５０】ＳＳＭ−ＩＤ制御部６２は、ＡＤＤＲＥＳ
Ｓ＜３５：３２＞、マスタＳＳＭ−ＩＤ、およびスレー
ブＳＳＭ−ＩＤを保持するレジスタ６７と、ＳＬＶビッ
トを保持するレジスタ６８とを有し、これらのレジスタ
のデータはＣＰＵ上で動作するソフトウェアにより制御
される。

【００５１】ＳＳＭ−ＩＤ制御部６２は、ＣＰＵ受信コ
マンド保持バッファ６０に保持されている“Ａｄｄｒｅ
ｓｓ＜３５：０＞”のうち“Ａｄｄｒｅｓｓ＜３５：３
２＞”の値を読み出し、それをＡＤＤＲＥＳＳ＜３５：
３２＞の値と比較する。そして、“Ａｄｄｒｅｓｓ＜３
５：３２＞”と一致するＡＤＤＲＥＳＳ＜３５：３２＞
があれば、それに対応するマスタＳＳＭ−ＩＤまたはス
レーブＳＳＭ−ＩＤを、システムバスコマンド生成部４
８に通知する。このとき、レジスタ６８のＳＬＶの値が
０であればマスタＳＳＭ−ＩＤを送信し、ＳＬＶの値が
１であればスレーブＳＳＭ−ＩＤを送信する。

【００５２】また、Ｓｏｕｒｃｅ−ＩＤはレジスタ６３
に保持され、その値はＣＰＵ上で動作するソフトウェア
により制御される。通常、Ｓｏｕｒｃｅ−ＩＤとして
は、レジスタ制御部４７を含むＰＭのＩＤ（ＰＭ−Ｉ
Ｄ）が設定される。レジスタ制御部４７は、レジスタ６
３の値をＳｏｕｒｃｅ−ＩＤとしてシステムバスコマン
ド生成部４８に通知する。

【００５３】また、プログラム実行部２４は、セレクタ
４９の入力をシステムバスコマンド生成部４８からの信
号線に設定し、接続ユニットデータ送信制御部５０にコ
マンドの送信を指示する。これにより、接続ユニットデ
ータ送信制御部５０は、ＣＰＵ受信コマンド保持バッフ
ァ６０に保持されたコマンドを接続ユニットに送信す
る。

【００５４】例えば、ＳＳＭからデータを読み出すＳＳ
Ｍリードコマンドは、図９のような形式で発行され、Ｓ
ＳＭにデータを書き込むＳＳＭライトコマンドは、図１
０のような形式で発行される。

【００５５】図１１は、接続ユニット制御部の第１の動
作のフローチャートである。接続ユニット制御部は、ま
ず、ＣＰＵからＳＳＭアクセスのためのコマンドを受け
取ると（ステップＳ１）、上述の動作を行って、転送ア
ドレスと転送データを接続ユニットへ転送する（ステッ
プＳ２）。そして、ＳＳＭからの応答を接続ユニットか
ら受け取ったかどうかを判定し（ステップＳ３）、それ
を受け取っていなければ、応答があるまで判定を繰り返
す。

【００５６】接続ユニットは、ＳＳＭから完了コードを
含む応答を受け取ると、接続ユニットデータ受信制御部
５３に対してコマンド応答を送信し、接続ユニットデー
タ受信制御部５３は、それをプログラム実行部２４に通
知する。例えば、図９のＳＳＭリードコマンドに対する
応答は図１２のような形式で送られ、図１０のＳＳＭラ
イトコマンドに対する応答は図１３のような形式で送ら
れる。

【００５７】図１２、１３において、ＳＳＭ−ＩＤは応
答を発信したＳＳＭのＩＤを表し、ＰＭ−ＩＤは応答を
受信したＰＭのＩＤを表し、完了コードは対応するＳＳ
Ｍのアクセス結果を表す。完了コードが００−のとき
は、アクセスが正常に行われたことを示し、それが０１
−のときは、ビジー系のアクセスエラーが発生したこと
を示す。ここで、完了コードに含まれる記号“−”は、
０または１のいずれかの値を表す。

【００５８】また、完了コードが１０−のときは、相手
先モジュールの故障のためアクセスエラーが発生したこ
とを示し、それが１１−のときは、システムバスの故障
のためアクセスエラーが発生したことを示す。また、図
１２の“Ｄａｔａ”は、ＳＳＭから読み出されたデータ
を表す。

【００５９】プログラム実行部２４は、応答を受け取る
と、それに含まれる完了コードを確認し（ステップＳ
４）、完了コードがアクセスエラーを示しているかどう
かをチェックする（ステップＳ５）。そして、アクセス
エラーが発生したと認識した場合、エラーの救済のため
の処理を行って（ステップＳ６）、ステップＳ３以降の
動作を繰り返す。

【００６０】エラーが救済されると、プログラム実行部
２４は、アクセスが正常に完了したことを示す完了コー
ドをＣＰＵ完了コード通知部４４に格納し、ＣＰＵに完
了通知を行うように、ＣＰＵインタフェース制御部４３
に指示する（ステップＳ７）。これにより、ＣＰＵイン
タフェース制御部４３は、完了信号Ｃ．ＥＮＤと正常完
了コードをＣＰＵに送信し、動作が終了する。

【００６１】ステップＳ６における救済処理としては、
システムに応じて様々な処理が考えられる。以下では、
この救済処理の具体例について説明する。図１４は、接
続ユニット制御部の第２の動作のフローチャートであ
る。接続ユニット制御部は、まず、ＣＰＵからＳＳＭア
クセスのためのコマンドを受け取ると（ステップＳ１
１）、転送アドレスと転送データをＳＳＭアクセスコマ
ンドとしてＣＰＵ受信コマンド保持バッファ６０に格納
し（ステップＳ１２）、それを接続ユニットへ転送する
（ステップＳ１３）。そして、ＳＳＭからの応答を接続
ユニットから受け取ったかどうかを判定し（ステップＳ
１４）、それを受け取っていなければ、応答があるまで
判定を繰り返す。

【００６２】プログラム実行部２４は、応答を受け取る
と、それに含まれる完了コードを確認し（ステップＳ１
５）、完了コードがアクセスエラーを示しているかどう
かをチェックする（ステップＳ１６）。そして、アクセ
スエラーが発生したと認識した場合、処理時間監視用タ
イマ５５の値を参照して、処理時間があらかじめ決めら
れた一定時間を経過したかどうかを判定する（ステップ
Ｓ１７）。一定時間を経過していなければ、ＣＰＵ受信
コマンド保持バッファ６０のＳＳＭアクセスコマンドを
接続ユニットデータ送信制御部５０に転送し、接続ユニ
ットデータ送信制御部５０にＳＳＭアクセスコマンドを
発行するように指示する（ステップＳ１８）。このコマ
ンドの再発行はリトライと呼ばれ、完了コードが正常と
なるか、または、処理時間が一定時間を経過するまで繰
り返される。

【００６３】ステップＳ１６において完了コードが正常
となると、プログラム実行部２４は、アクセスが正常に
完了したことを示す完了コードをＣＰＵ完了コード通知
部４４に格納し、ＣＰＵに完了通知を行うように、ＣＰ
Ｕインタフェース制御部４３に指示する（ステップＳ１
９）。これにより、ＣＰＵインタフェース制御部４３
は、完了信号Ｃ．ＥＮＤと正常完了コードをＣＰＵに送
信し、動作が終了する。

【００６４】また、ステップＳ１７において処理時間が
一定時間を経過した場合、リトライを打ち切る。そし
て、アクセスが異常終結したことを示す完了コードをＣ
ＰＵ完了コード通知部４４に格納し、ＣＰＵに完了通知
を行うように、ＣＰＵインタフェース制御部４３に指示
する（ステップＳ２０）。これにより、ＣＰＵインタフ
ェース制御部４３は、完了信号Ｃ．ＥＮＤと異常完了コ
ードをＣＰＵに送信し、動作が終了する。

【００６５】ステップＳ１７において、処理時間が一定
時間を経過したときにリトライを打ち切る代わりに、リ
トライ回数が一定回数を越えたときにそれを打ち切るよ
うにしてもよい。

【００６６】ところで、ＳＳＭアクセスエラーには、シ
ステムバスがビジー状態にある場合やＳＳＭがビジー状
態にある場合のように、ある一定時間の間必ず発生する
ものと、システムバスパリティエラーのように非常に短
い時間しか発生しないものとがある。もし、エラーの種
類に無関係に即時リトライを行うと、リトライに起因す
るシステムバスのビジー期間が長くなり、バスのスルー
プットが低下する。また、エラーの種類に無関係に一定
時間待ってリトライを行うと、エラー救済の処理時間が
長くなり、ＣＰＵに対するレスポンスが低下する。

【００６７】そこで、リトライ用タイマ５４を用いて、
エラーの種類に応じてリトライ間隔を変更することによ
り、性能の低下を招くことなく、エラーの救済を行うこ
とが可能になる。

【００６８】図１５は、このようなリトライ方法に基づ
く、接続ユニット制御部の第３の動作のフローチャート
である。接続ユニット制御部は、まず、ＣＰＵからＳＳ
Ｍアクセスのためのコマンドを受け取ると（ステップＳ
２１）、転送アドレスと転送データをＳＳＭアクセスコ
マンドとしてＣＰＵ受信コマンド保持バッファ６０に格
納し（ステップＳ２２）、それを接続ユニットへ転送す
る（ステップＳ２３）。そして、ＳＳＭからの応答を接
続ユニットから受け取ったかどうかを判定し（ステップ
Ｓ２４）、それを受け取っていなければ、応答があるま
で判定を繰り返す。

【００６９】プログラム実行部２４は、応答を受け取る
と、それに含まれる完了コードを確認し（ステップＳ２
５）、完了コードがアクセスエラーを示しているかどう
かをチェックする（ステップＳ２６）。そして、アクセ
スエラーが発生したと認識した場合、エラーの種類がビ
ジー系かそれ以外かを判定する（ステップＳ２７）。

【００７０】ここで、完了コードが０１−の場合はビジ
ー系のエラーと判定し、リトライ用タイマ５４をスター
トさせて一定時間待機する（ステップＳ２８）。そし
て、一定時間が経過すると、ＣＰＵ受信コマンド保持バ
ッファ６０のＳＳＭアクセスコマンドを接続ユニットデ
ータ送信制御部５０に転送し、接続ユニットデータ送信
制御部５０にリトライを指示する（ステップＳ２９）。
これにより、ステップＳ２４以降の動作が繰り返され
る。

【００７１】また、完了コードが１０−または１１−の
場合は、プログラム実行部２４はビジー系以外のエラー
と判定し、直ちにステップＳ２９以降の動作を行う。そ
して、ステップＳ２６において完了コードが正常になる
と、接続ユニット制御部は、ＣＰＵに正常応答を行い
（ステップＳ３０）、動作を終了する。

【００７２】本実施形態では、図２に示したように、Ｐ
ＭとＳＳＭは二重化されたシステムバスに接続されてい
るため、システムバス故障によるＳＳＭアクセスエラー
が発生した場合、システムバスを切り替えて使用するこ
とで、エラーを救済することができる。図１６は、シス
テムバスを切り替えてエラーを救済する、接続ユニット
制御部の第４の動作のフローチャートである。接続ユニ
ット制御部は、まず、ＣＰＵからＳＳＭアクセスのため
のコマンドを受け取ると（ステップＳ３１）、転送アド
レスと転送データとＢＵＳＮＯをＳＳＭアクセスコマン
ドとしてＣＰＵ受信コマンド保持バッファ６０に格納し
（ステップＳ３２）、それを接続ユニットへ転送する
（ステップＳ３３）。そして、ＳＳＭからの応答を接続
ユニットから受け取ったかどうかを判定し（ステップＳ
３４）、それを受け取っていなければ、応答があるまで
判定を繰り返す。

【００７３】プログラム実行部２４は、応答を受け取る
と、それに含まれる完了コードを確認し（ステップＳ３
５）、完了コードがアクセスエラーを示しているかどう
かをチェックする（ステップＳ３６）。そして、アクセ
スエラーが発生したと認識した場合、そのときのＢＵＳ
ＮＯをＣＰＵ受信コマンド保持バッファ６０から読み出
す（ステップＳ３７）。

【００７４】ここで、ＢＵＳＮＯが０の場合はそれを１
に書き換えて（ステップＳ３８）、ＣＰＵ受信コマンド
保持バッファ６０のＳＳＭアクセスコマンドを接続ユニ
ットデータ送信制御部５０に転送し、接続ユニットデー
タ送信制御部５０にリトライを指示する（ステップＳ３
９）。また、ＢＵＳＮＯが１の場合はそれを０に書き換
えて（ステップＳ４０）、ステップＳ３９の動作を行
う。

【００７５】これにより、ＣＰＵが指示したものとは異
なるシステムバスを使用してリトライが行われ、ステッ
プＳ３４以降の動作が繰り返される。そして、ステップ
Ｓ３６において完了コードが正常になると、接続ユニッ
ト制御部は、ＣＰＵに正常応答を行い（ステップＳ４
１）、動作を終了する。

【００７６】ステップＳ３７において、プログラム実行
部２４は、完了コードの値を調べ、それが１１である場
合、すなわち、システムバスの故障が発生したと認識し
た場合のみ、ＢＵＳＮＯを書き換える救済処理を行うよ
うにしてもよい。この場合、完了コードが他のアクセス
エラーを示していれば、異なる救済処理が行われる。

【００７７】また、システムバスに固定的な障害が発生
すると、常にアクセスエラーの救済処理が行われて、性
能低下を招くことになる。このような場合には、障害の
発生したシステムバスを切り離すことが望ましい。

【００７８】図１７は、システムバスを切り離してエラ
ーを救済する、接続ユニット制御部の第５の動作のフロ
ーチャートである。接続ユニット制御部は、まず、ＣＰ
ＵからＳＳＭアクセスのためのコマンドを受け取ると
（ステップＳ５１）、転送アドレスと転送データとＢＵ
ＳＮＯをＳＳＭアクセスコマンドとしてＣＰＵ受信コマ
ンド保持バッファ６０に格納し（ステップＳ５２）、そ
れを接続ユニットへ転送する（ステップＳ５３）。そし
て、ＳＳＭからの応答を接続ユニットから受け取ったか
どうかを判定し（ステップＳ５４）、それを受け取って
いなければ、応答があるまで判定を繰り返す。

【００７９】プログラム実行部２４は、応答を受け取る
と、それに含まれる完了コードを確認し（ステップＳ５
５）、完了コードがアクセスエラーを示しているかどう
かをチェックする（ステップＳ５６）。そして、アクセ
スエラーが発生したと認識した場合、エラーの種類を判
定する（ステップＳ５７）。

【００８０】ここで、エラーの種類は、例えば、エラー
の連続発生回数を元にして判定される。同じシステムバ
スを使用したアクセスを複数回繰り返し、エラーの連続
発生回数が一定数以上の場合は、固定障害に起因するエ
ラーと認識され、それが一定数未満の場合は、間欠障害
に起因するエラーと認識される。

【００８１】エラーが間欠障害に起因していると認識し
た場合、ＣＰＵ受信コマンド保持バッファ６０のＢＵＳ
ＮＯを書き換えて、システムバスの経路を変更し（ステ
ップＳ５８）、ＳＳＭアクセスコマンドを接続ユニット
データ送信制御部５０に転送して、接続ユニットデータ
送信制御部５０にリトライを指示する（ステップＳ５
９）。これにより、ステップＳ５４以降の動作が繰り返
される。

【００８２】また、エラーが固定障害に起因していると
認識した場合、プログラム実行部２４は、システムバス
を切り離すコマンドを生成するように、コマンド生成部
５１に指示する（ステップＳ６０）。これにより、コマ
ンド生成部５１は、図１８に示すようなバスハンドラ切
り離しコマンドを生成する。

【００８３】また、プログラム実行部２４は、セレクタ
４９に対して、入力をコマンド生成部５１からの信号線
に切り替えるように指示し、接続ユニットデータ送信制
御部５０に対して、システムバスの管理を行うＢＨに、
バスハンドラ切り離しコマンドを、別のシステムバスを
経由して発行するように指示する。これにより、バスハ
ンドラ切り離しコマンドがＢＨに発行され、ＢＨの制御
により、固定障害の発生したシステムバスが使用不可と
なる。そして、図１９に示されるような応答が、ＢＨか
ら接続ユニット制御部に返送される。

【００８４】次に、プログラム実行部２４は、ステップ
Ｓ５８以降の動作を行って、別のシステムバスを用いた
リトライを実行する。そして、ステップＳ３６において
完了コードが正常になると、接続ユニット制御部は、Ｃ
ＰＵに正常応答を行い（ステップＳ６１）、動作を終了
する。このようにしてシステムバスを切り離すことによ
り、システムバスの故障箇所の調査を行い、修理するこ
とが可能となる。

【００８５】ステップＳ５７において、プログラム実行
部２４は、完了コードの値を調べ、システムバスの故障
が発生したと認識した場合のみ、経路を変更する救済処
理を行うようにしてもよい。この場合、完了コードが他
のアクセスエラーを示していれば、異なる救済処理が行
われる。

【００８６】図２０は、エラーの発生時に、ＳＳＭ等の
モジュールからＰＭに返送される完了コードの種類を示
している。完了コードが０１−、１０−のときは、それ
ぞれ、ビジー系のエラー、相手先モジュールの故障を表
す。特に、完了コードが１００のときは、マスタＳＳＭ
またはＢＨの故障を表し、それが１０１のときは、スレ
ーブＳＳＭの故障を表す。したがって、完了コードの最
後のビットにより、マスタとスレーブを判別することが
できる。

【００８７】また、完了コードが１１−のときはシステ
ムバスの故障を表し、そのときのＢＵＳＮＯに対応する
経路に障害が発生しているものと認識される。ここで
は、１つの経路上で完了コード１１−のエラーが連続し
て４回以上発生すると固定障害と判定され、連続発生回
数が４回未満の場合は間欠障害と判定される。

【００８８】また、ＣＰＵがＳＳＭアクセスを行ってい
ない期間に、プログラム実行部２４が一定間隔でＳＳＭ
リードアクセスを行って、ＳＳＭおよびシステムバスを
診断することも可能である。

【００８９】図２１は、ＳＳＭおよびシステムバスの診
断を行う、接続ユニット制御部の第６の動作のフローチ
ャートである。接続ユニット制御部は、まず、ＳＳＭ／
ＢＨに保持されている診断データの読み出しを接続ユニ
ットに指示する（ステップＳ７１）。診断データは、適
当なダミーデータであり、ＳＳＭ／ＢＨの適当なアドレ
スに格納されている。

【００９０】ＳＳＭの診断データを読み出す場合、プロ
グラム実行部２４は、コマンド生成部５１に、図９のよ
うなＳＳＭリードコマンドを生成するように指示し、接
続ユニットデータ送信制御部５０に、そのコマンドを接
続ユニットに転送するように指示する。ＢＨの診断デー
タを読み出す場合も、コマンド生成部５１により、同様
のリードコマンドが生成される。そして、ＳＳＭ／ＢＨ
からの応答を接続ユニットから受け取ったかどうかを判
定し（ステップＳ７２）、それを受け取っていなけれ
ば、応答があるまで判定を繰り返す。

【００９１】プログラム実行部２４は、応答を受け取る
と、それに含まれる完了コードを確認し（ステップＳ７
３）、完了コードがアクセスエラーを示しているかどう
かをチェックする（ステップＳ７４）。そして、アクセ
スエラーが発生したと認識した場合、図１７の場合と同
様にして、エラーの種類を判定する（ステップＳ７
５）。

【００９２】エラーが間欠障害に起因していると認識し
た場合、エラーの統計情報を収集し（ステップＳ７
６）、それを解析して故障モジュールを特定する。そし
て、故障モジュールを割込みによりＣＰＵに通知して
（ステップＳ７７）、動作を終了する。

【００９３】例えば、ＳＳＭリードアクセスのエラーの
場合は、プログラム実行部２４は、ＢＵＳＮＯ、相手先
のＳＳＭ−ＩＤ、完了コード、エラー発生回数等をレジ
スタに記録して、図２２に示すようなＳＳＭアクセス統
計情報を作成する。そして、それを解析して、エラー発
生回数の多いＳＳＭを故障モジュールとみなし、そのＳ
ＳＭ−ＩＤに対応するレジスタ制御部４７のＡＤＤＲＥ
ＳＳ＜３５：３２＞の情報を、ＣＰＵ送信バッファ４５
を介してＣＰＵに送信する。ＣＰＵ上で動作するソフト
ウェアは、受け取った情報を元にして、故障モジュール
へのアクセスを回避することができる。

【００９４】また、エラーが固定障害に起因していると
認識した場合、プログラム実行部２４は、システムバス
を管理するＢＨを故障モジュールとみなし、図１７の場
合と同様にして、バスハンドラ切り離しコマンドをＢＨ
に発行する（ステップＳ７８）。これにより、ＢＨがシ
ステムから機能的に切り離され、固定障害の発生したシ
ステムバスが使用不可となる。

【００９５】そして、プログラム実行部２４は、そのシ
ステムバスのＢＵＳＮＯを割込みによりＣＰＵに通知し
て（ステップＳ７９）、動作を終了する。ＣＰＵ上で動
作するソフトウェアは、通知されたＢＵＳＮＯと異なる
ＢＵＳＮＯを指定して、ＳＳＭアクセスを行う。

【００９６】ステップＳ７７、Ｓ７９においてＣＰＵに
通知された故障モジュールやＢＵＳＮＯ等の情報は、図
３のメインメモリ２２内に設けられた、そのＣＰＵに対
応する領域に格納される。

【００９７】また、ステップＳ７４において完了コード
が正常の場合は、プログラム実行部２４は、ＳＳＭおよ
びシステムバスが正常であると認識し、動作を終了す
る。このように、接続ユニット制御部がＳＳＭおよびシ
ステムバスの診断を行い、アクセスエラーの発生を監視
することで、ＣＰＵによるＳＳＭアクセスの際にエラー
が発生することを未然に防ぎ、性能低下を防止すること
ができる。

【００９８】次に、ＳＳＭの二重化の動作と、それを利
用したエラー救済処理について説明する。プログラム実
行部２４は、ＳＳＭアドレス空間の１つのＳＳＭアドレ
スに対応する、図８のＳＳＭ−ＩＤ制御部６２に、マス
タＳＳＭ−ＩＤとスレーブＳＳＭ−ＩＤをあらかじめ登
録しておく。このとき、ＳＬＶの値は０に設定される。

【００９９】図２３は、二重化されたＳＳＭにデータを
書き込む、接続ユニット制御部の第７の動作のフローチ
ャートである。接続ユニット制御部は、まず、ＣＰＵか
らＳＳＭライトアクセスのためのコマンドを受け取ると
（ステップＳ８１）、転送アドレスと転送データとＢＵ
ＳＮＯをＳＳＭライトコマンドとしてＣＰＵ受信コマン
ド保持バッファ６０に格納する（ステップＳ８２）。

【０１００】このとき、ＳＳＭ−ＩＤ制御部６２は、コ
マンドのアドレスから対応するマスタＳＳＭ−ＩＤを決
定して、ＣＰＵ受信コマンド保持バッファ６０に格納す
る。次に、接続ユニット制御部は、ＳＳＭライトコマン
ドを発行し、マスタＳＳＭに対してデータを書き込む
（ステップＳ８３）。

【０１０１】マスタＳＳＭへのライトアクセスが完了す
ると、プログラム実行部２４は、ＳＳＭ−ＩＤ制御部６
２のＳＬＶの値を１に設定し、ＳＳＭライトコマンドの
再発行を指示する（ステップＳ８４）。これにより、ス
レーブＳＳＭ−ＩＤがＣＰＵ受信コマンド保持バッファ
６０に格納され、マスタＳＳＭと同じデータがスレーブ
ＳＳＭに書き込まれる（ステップＳ８５）。そして、プ
ログラム実行部２４は、ＳＬＶの値を０に設定し（ステ
ップＳ８６）、動作を終了する。

【０１０２】また、図２４は、二重化されたＳＳＭから
データを読み出す、接続ユニット制御部の第８の動作の
フローチャートである。接続ユニット制御部は、まず、
ＣＰＵからＳＳＭリードアクセスのためのコマンドを受
け取ると（ステップＳ９１）、転送アドレスと転送デー
タとＢＵＳＮＯをＳＳＭリードコマンドとしてＣＰＵ受
信コマンド保持バッファ６０に格納する（ステップＳ９
２）。

【０１０３】このとき、ＳＳＭ−ＩＤ制御部６２は、コ
マンドのアドレスから対応するマスタＳＳＭ−ＩＤを決
定して、ＣＰＵ受信コマンド保持バッファ６０に格納す
る。次に、接続ユニット制御部は、ＳＳＭリードコマン
ドを発行し、マスタＳＳＭからデータを読み出して（ス
テップＳ９３）、動作を終了する。読み出されたデータ
は、図２５に示すような形式でＣＰＵ送信バッファ４５
に格納され、ＣＰＵに転送される。

【０１０４】このようなリード／ライト動作により、マ
スタＳＳＭとスレーブＳＳＭには常に同じデータが格納
され、２つのＳＳＭはＣＰＵからは１つのＳＳＭのよう
に見える。この状態をＳＳＭ二重化状態と呼ぶことにす
る。

【０１０５】ところで、マスタＳＳＭしか搭載されてい
ないシステムにおいて、システム運用中にスレーブＳＳ
Ｍを搭載したい場合、スレーブＳＳＭにマスタＳＳＭと
同じデータをコピーする必要がある。この動作を再二重
化処理と呼ぶことにする。

【０１０６】図２６は、ＳＳＭの再二重化処理を行う、
接続ユニット制御部の第９の動作のフローチャートであ
る。接続ユニット制御部は、まず、ＣＰＵから再二重化
処理の指示を受け取ると（ステップＳ１０１）、マスタ
ＳＳＭのデータを読み出し（ステップＳ１０２）、それ
を新たに搭載されたスレーブＳＳＭに書き込む（ステッ
プＳ１０３）。

【０１０７】次に、マスタＳＳＭのデータをすべてスレ
ーブＳＳＭに転送したかどうかを判定し（ステップＳ１
０４）、未転送のデータがあれば、ステップＳ１０２以
降の動作を繰り返す。そして、すべてのデータを転送し
終えると、動作を終了する。こうして、マスタＳＳＭの
データと同じデータがスレーブＳＳＭに格納される。転
送が完了した後、ＣＰＵがスレーブＳＳＭ−ＩＤをＳＳ
Ｍ−ＩＤ制御部６２に登録することにより、ＳＳＭ二重
化状態が構成される。

【０１０８】ＳＳＭ二重化状態において、ＣＰＵからＳ
ＳＭリードアクセスを行い、マスタＳＳＭのリードアク
セスでエラーが発生した場合、接続ユニット制御部がス
レーブＳＳＭへのリードアクセスを行うことにより、エ
ラーを救済することができる。

【０１０９】図２７は、スレーブＳＳＭを利用してエラ
ーを救済する、接続ユニット制御部の第１０の動作のフ
ローチャートである。接続ユニット制御部は、まず、Ｃ
ＰＵからＳＳＭリードアクセスのためのコマンドを受け
取ると（ステップＳ１１１）、転送アドレスと転送デー
タとＢＵＳＮＯとＳＳＭ−ＩＤを、ＳＳＭリードコマン
ドとしてＣＰＵ受信コマンド保持バッファ６０に格納し
（ステップＳ１１２）、それを接続ユニットへ転送する
（ステップＳ１１３）。そして、ＳＳＭからの応答を接
続ユニットから受け取ったかどうかを判定し（ステップ
Ｓ１１４）、それを受け取っていなければ、応答がある
まで判定を繰り返す。

【０１１０】応答を受け取ると、プログラム実行部２４
は、それに含まれる完了コードを確認し（ステップＳ１
１５）、完了コードがアクセスエラーを示しているかど
うかをチェックする（ステップＳ１１６）。そして、ア
クセスエラーが発生したと認識した場合、エラーの要因
を判定する（ステップＳ１１７）。ここでは、例えば、
完了コードが１０−であれば、相手先のＳＳＭが要因で
あるとみなされ、完了コードが０１−または１１−であ
れば、ＳＳＭ以外が要因であるとみなされる。

【０１１１】エラーの要因がＳＳＭであると認識した場
合、ＳＳＭ−ＩＤ制御部６２のＳＬＶの値を１に設定し
て、ＣＰＵ受信コマンド保持バッファ６０にＳＳＭ−Ｉ
Ｄを再設定する（ステップＳ１１８）。これにより、ス
レーブＳＳＭ−ＩＤがＣＰＵ受信コマンド保持バッファ
６０に格納される。そして、接続ユニット制御部は、ス
レーブＳＳＭに対するリードアクセスを行い（ステップ
Ｓ１１９）、ステップＳ１１４以降の動作を繰り返す。

【０１１２】そして、ステップＳ１１６において完了コ
ードが正常になると、ＣＰＵへ正常応答を行って（ステ
ップＳ１２０）、動作を終了する。また、エラーの要因
がＳＳＭ以外であると認識した場合、他の異常処理を行
って（ステップＳ１２１）、動作を終了する。

【０１１３】また、ＳＳＭ二重化状態において、ＣＰＵ
からＳＳＭアクセスを行い、アクセスエラーが発生した
場合、接続ユニット制御部は、エラーの発生したＳＳＭ
の状態を読み出す。そして、ＳＳＭが異常であると判断
すると、それをシステムから切り離す。

【０１１４】図２８は、異常なＳＳＭを切り離してエラ
ーを救済する、接続ユニット制御部の第１１の動作のフ
ローチャートである。接続ユニット制御部は、まず、Ｃ
ＰＵからＳＳＭアクセスのためのコマンドを受け取ると
（ステップＳ１３１）、転送アドレスと転送データとＳ
ＳＭ−ＩＤを、ＳＳＭアクセスコマンドとしてＣＰＵ受
信コマンド保持バッファ６０に格納し（ステップＳ１３
２）、それを接続ユニットへ転送する（ステップＳ１３
３）。そして、マスタＳＳＭからの応答を接続ユニット
から受け取ったかどうかを判定し（ステップＳ１３
４）、それを受け取っていなければ、応答があるまで判
定を繰り返す。

【０１１５】応答を受け取ると、プログラム実行部２４
は、それに含まれる完了コードを確認し（ステップＳ１
３５）、完了コードがアクセスエラーを示しているかど
うかをチェックする（ステップＳ１３６）。そして、ア
クセスエラーが発生したと認識した場合、相手先モジュ
ールの故障かどうかを判定する（ステップＳ１３７）。

【０１１６】相手先モジュールの故障であれば、プログ
ラム実行部２４は、次に、それがマスタＳＳＭかどうか
を判定する（ステップＳ１３８）。こうして、マスタＳ
ＳＭの状態が異常であると認識した場合、プログラム実
行部２４は、コマンド生成部５１、セレクタ４９、およ
び接続ユニットデータ送信制御部５０を制御して、図２
９に示すようなＳＳＭ切り離しコマンドをマスタＳＳＭ
に発行する（ステップＳ１３９）。

【０１１７】これにより、マスタＳＳＭの状態レジスタ
に、切り離された状態を表すデータＤＩＳＣが設定さ
れ、マスタＳＳＭはシステムから機能的に切り離され
る。そして、図３０に示すような応答が、マスタＳＳＭ
から接続ユニット制御部に返送される。

【０１１８】次に、図３１に示すようなＳＳＭ状態変更
コマンドをスレーブＳＳＭに発行して、その状態レジス
タのデータをマスタを表すデータに書き換える。これに
より、スレーブＳＳＭがマスタＳＳＭに切り替えられ
（ステップＳ１４０）、マスタＳＳＭに切り替えられた
ＳＳＭからは、図３２に示すような応答が接続ユニット
制御部に返送される。

【０１１９】さらに、ＳＳＭ−ＩＤ制御部６２にスレー
ブＳＳＭ−ＩＤとして登録されているＳＳＭ−ＩＤを、
マスタＳＳＭ−ＩＤとして再登録し、新たなマスタＳＳ
Ｍ−ＩＤへのアクセスコマンドを発行する（ステップＳ
１４１）。そして、ステップＳ１３４以降の動作を繰り
返す。

【０１２０】また、ステップＳ１３８においてスレーブ
ＳＳＭの状態が異常であると認識した場合、プログラム
実行部２４は、ＳＳＭ切り離しコマンドをスレーブＳＳ
Ｍに発行する（ステップＳ１４４）。これにより、スレ
ーブＳＳＭの状態レジスタにデータＤＩＳＣが設定さ
れ、スレーブＳＳＭはシステムから機能的に切り離され
る。

【０１２１】次に、ＳＳＭ−ＩＤ制御部６２にスレーブ
ＳＳＭ−ＩＤとして登録されているＳＳＭ−ＩＤを削除
し（ステップＳ１４５）、ステップＳ１３４以降の動作
を繰り返す。

【０１２２】そして、ステップＳ１３６において完了コ
ードが正常になると、ＣＰＵへ正常応答を行って（ステ
ップＳ１４２）、動作を終了する。また、ステップＳ１
３７において、相手先モジュールの故障ではないと判定
した場合は、他の異常処理を行って（ステップＳ１４
３）、動作を終了する。

【０１２３】このように、マスタＳＳＭが異常である場
合、スレーブＳＳＭを新たにマスタＳＳＭとして登録す
ることで、システム運用を継続することができる。ま
た、切り離されたＳＳＭを交換し、図２６の再二重化処
理を行うことにより、システム運用を停止することな
く、ＳＳＭ二重化状態を再現することができる。

【０１２４】以上説明したようなエラーの救済を無限に
繰り返すと、ＣＰＵに対するレスポンスが非常に遅くな
り、システム性能の低下を招く。また、同じエラー救済
処理を繰り返すよりも、処理時間に応じて救済内容を変
更したほうが、アクセスが正常化する可能性が高くな
る。

【０１２５】図３３は、処理時間に応じて救済内容を変
更する、接続ユニット制御部の第１２の動作のフローチ
ャートである。エラー救済処理が開始されると、プログ
ラム実行部２４は、処理時間監視用タイマ５５の値を参
照して、処理時間があらかじめ決められた制限時間を越
えたかどうかを判定する（ステップＳ１５１）。処理時
間が制限時間を越えていなければ、次に、処理時間があ
らかじめ決められたしきい値を越えたかどうかを判定す
る（ステップＳ１５２）。このしきい値は制限時間より
短く設定され、例えば、制限時間が１００ｍｓであれ
ば、しきい値は５０ｍｓに設定される。

【０１２６】処理時間がしきい値を越えていなければ、
同じシステムバスを用いてリトライを行ったり、システ
ムバスの経路を変更してリトライを行ったりして（ステ
ップＳ１５３）、動作を終了する。また、処理時間がし
きい値を越えていれば、ＢＨまたはＳＳＭの切り離し処
理を行って（ステップＳ１５４）、動作を終了する。

【０１２７】また、ステップＳ１５１において、処理時
間が制限時間を越えていれば、エラー救済処理を終了し
て（ステップＳ１５５）、完了コードによりアクセスエ
ラーの発生をＣＰＵに通知して（ステップＳ１５６）、
動作を終了する。

【０１２８】ところで、本実施形態では、ＰＭの性能を
向上させるため、図３に示したように、１つの接続ユニ
ット制御部に複数のＣＰＵを接続しており、接続ユニッ
ト制御部は、図５のインタフェース部４１をＣＰＵの搭
載数だけ備えている。これにより、複数のＣＰＵからＳ
ＳＭアクセスが行われた場合でも、接続ユニット制御部
は、各ＣＰＵ毎にアクセスエラーを救済することができ
る。

【０１２９】また、接続ユニット制御部は、各インタフ
ェース部４１のレジスタ制御部４７のＣＰＵ実装情報レ
ジスタ６４に、図３４に示すようなＣＰＵ実装情報を保
持する。オペレータは、システム立ち上げ時に、ＰＭ上
に設けられた設定スイッチ（外部ピン）を操作するか、
またはレジスタライトを行うことにより、このＣＰＵ実
装情報を設定する。このとき、実装されているＣＰＵに
対応するデータＣＰＵｉ（ｉ＝０，１，２，３）には１
が設定され、実装されていないＣＰＵに対応するデータ
ＣＰＵｉには０が設定される。

【０１３０】そして、ＣＰＵ送信バッファ４５は、レジ
スタ制御部４７からＣＰＵ実装情報を受け取り、それを
ＣＰＵに通知する。ＣＰＵは、受け取ったＣＰＵ実装情
報を参照して、ＰＭ内に実装されているＣＰＵの数を認
識する。そして、例えば、接続ユニット制御部からエラ
ーの発生を通知されたときに、図３のメインメモリ２２
内に格納された他のＣＰＵのエラー情報を参照して、故
障箇所の特定等のエラー処理を行う。

【０１３１】このように、各ＣＰＵは、ＣＰＵ実装情報
を利用することにより、他のＣＰＵの持つ故障モジュー
ル等の情報を参照して、より正確に故障箇所を特定する
ことができる。

【０１３２】また、本実施形態では、ＣＰＵのソフトウ
ェアがアクセスエラーの処理を行わず、代わりに、接続
ユニット制御部がエラー救済を行うことを特徴としてい
る。しかし、ソフトウェアが割込み処理を行って、エラ
ー頻度の高いシステムバスやＳＳＭの使用を行わないよ
うにしたり、予防的に故障モジュールの交換を指示した
方が、性能の低下を防ぐことができる。

【０１３３】そこで、プログラム実行部２４は、アクセ
スエラーの救済を行った場合、ＣＰＵに対して割込みを
発生させ、ソフトウェアにアクセスエラーの発生を通知
する。これにより、ＣＰＵは、適切なエラー予防措置を
とることが可能になる。

【０１３４】図３５は、ＣＰＵによるこのような割込み
処理のフローチャートである。処理が開始されると、Ｃ
ＰＵは、まず、プログラム実行部２４のＳＳＭアクセス
エラー統計情報を読み出し（ステップＳ１６１）、いず
れかのＳＳＭに対応する完了コード１０−のエラー発生
回数がしきい値以上かどうかを判定する（ステップＳ１
６２）。ＳＳＭアクセスエラー統計情報は、例えば、図
２２のようなデータを含む。

【０１３５】そして、しきい値以上の数のエラーが発生
しているＳＳＭがあれば、オペレータに対して予防交換
のメッセージを出力して（ステップＳ１６４）、処理を
終了する。ここで、予防交換のメッセージとは、エラー
の多発しているモジュールが故障する前にその交換を促
すメッセージであり、例えば、システムに備えられたデ
ィスプレイ装置の画面上に表示される。

【０１３６】しきい値以上の数のエラーが発生している
ＳＳＭがなければ、次に、いずれかのＢＨに対応する完
了コード１１−のエラー発生回数がしきい値以上かどう
かを判定する（ステップＳ１６３）。そして、しきい値
以上の数のエラーが発生しているＢＨがあれば、オペレ
ータに対して予防交換のメッセージを出力して（ステッ
プＳ１６５）、処理を終了する。

【０１３７】また、接続ユニット制御部がシステムバス
またはＳＳＭを切り離した等の情報をＣＰＵに通知し、
ソフトウェアが、次のアクセスからそれらのシステムバ
ス等を使用しないようにしたり、マスタＳＳＭ−ＩＤの
登録を変更したりする処理を行った方が、性能の低下を
防ぐことができる。また、接続ユニット制御部からの通
知を元に、オペレータに対して故障モジュールの交換を
指示し、迅速な修理を行わせることができる。

【０１３８】そこで、プログラム実行部２４が、モジュ
ールを切り離してアクセスエラーを救済した場合、ＣＰ
Ｕに対して割込みを発生させ、ソフトウェアに救済処理
の内容を通知することにより、ソフトウェアによる故障
モジュールの特定を容易にする。

【０１３９】図３６は、ＣＰＵによるこのような割込み
処理のフローチャートである。処理が開始されると、Ｃ
ＰＵは、まず、接続ユニット制御部から、図３７に示す
ような救済内容通知を受信する（ステップＳ１７１）。
この救済内容通知は、プログラム実行部２４により作成
され、ＣＰＵ送信バッファ４５を介してＣＰＵに送信さ
れる。そして、例えば、以下のようなコードで記述され
る。

【０１４０】ＸＸ００：エラーのリカバリ（救済）は実
行していない。 ＸＸ０１：システムバスの切り替えによりリカバリが成
功した。 ＸＸ１０：ＳＳＭの切り替えによりリカバリが成功し
た。

【０１４１】ＸＸ１１：リカバリが失敗した。 ＹＹ００ＸＸ：モジュールの切り離しは行っていない。 ＹＹ０１ＸＸ：ＢＨの切り離しを行った。

【０１４２】ＹＹ１０ＸＸ：ＳＳＭの切り離しを行っ
た。 ここで、ＹＹの部分には、対応するＳＳＭ−ＩＤやＢＵ
ＳＮＯ等が記述される。ＣＰＵは、受信した救済内容通
知を解析して、ＳＳＭの切り離しが行われたかどうかを
判定する（ステップＳ１７２）。ＳＳＭの切り離しが行
われていれば、ＳＳＭ−ＩＤ制御部６２の対応するマス
タＳＳＭ−ＩＤを書き換えて、切り離されたＳＳＭの使
用を禁止し（ステップＳ１７４）、処理を終了する。

【０１４３】ＳＳＭの切り離しが行われていなければ、
次に、ＢＨの切り離しが行われたかどうかを判定する
（ステップＳ１７３）。ＢＨの切り離しが行われていれ
ば、経路制御部６１のＦＰＴＨの値を１に設定し、切り
離されたＢＨとは異なるＢＨに対応するＢＵＳＮＯをＰ
ＳＥＬに設定して（ステップＳ１７５）、処理を終了す
る。これにより、次のアクセスから、ＰＳＥＬの値が自
動的にＢＵＳＮＯとして用いられ、切り離されたＢＨに
対応するシステムバスの使用が禁止される。

【０１４４】一般に、システムバスに多数のモジュール
が接続されているシステムにおいてアクセスエラーが発
生した場合、１つのＰＭが取得したアクセスエラー統計
情報だけでは、故障モジュールの特定が困難であること
が多い。

【０１４５】そこで、各ＰＭがマスタＰＭに対して、定
期的に統計情報を含むメッセージコマンドを発行するこ
とにする。ここで、マスタＰＭとは、あらかじめ指定さ
れた代表モジュールであり、すべてのＰＭを統括管理す
る。マスタＰＭは、他のＰＭから受信したメッセージコ
マンドにより、システム全体のエラー情報を収集し、よ
り正確に故障モジュールを特定することができる。

【０１４６】図３８は、マスタＰＭ以外の各ＰＭの接続
ユニット制御部による第１３の動作のフローチャートで
ある。プログラム実行部２４は、まず、ＳＳＭアクセス
においてエラーが発生したかどうかを判定する（ステッ
プＳ１８１）。そして、エラーが発生したと認識すれ
ば、コマンド生成部５１、セレクタ４９、および接続ユ
ニットデータ送信制御部５０を制御して、図３９に示す
ようなメッセージコマンドをマスタＰＭに発行し（ステ
ップＳ１８２）、動作を終了する。

【０１４７】このとき、送信メッセージとして、ＳＳＭ
アクセスエラー統計情報が送られ、マスタＰＭからは、
図４０に示すような応答が返送される。この応答は、マ
スタＰＭの応答データ生成部５２により生成される。ま
た、ステップＳ１８１においてエラーが発生していない
と認識すれば、メッセージコマンドを発行せずに、動作
を終了する。

【０１４８】また、図４１は、マスタＰＭの接続ユニッ
ト制御部による第１４の動作のフローチャートである。
まず、接続ユニットデータ受信制御部５３が、図４２に
示すような、各ＰＭからのメッセージコマンドを受信
し、ＳＳＭアクセスエラー統計情報をプログラム実行部
２４に転送する（ステップＳ１９１）。次に、プログラ
ム実行部２４は、それらを解析して故障箇所を推定し
（ステップＳ１９２）、故障モジュールの切り離し処理
を行って（ステップＳ１９３）、動作を終了する。

【０１４９】上述のようにメッセージコマンドを利用し
て統計情報を収集する代わりに、マスタＰＭが他のＰＭ
の統計情報レジスタのデータを読み出すことにより、同
様の効果を得ることができる。

【０１５０】図４３は、統計情報の読み出しを行う、接
続ユニット制御部の第１５の動作のフローチャートであ
る。マスタＰＭのプログラム実行部２４は、コマンド生
成部５１、セレクタ４９、および接続ユニットデータ送
信制御部５０を制御して、図４４に示すような統計情報
リードコマンドを、定期的に各ＰＭに発行する（ステッ
プＳ２０１）。

【０１５１】これにより、相手先のＰＭの接続ユニット
データ受信制御部５３は、図４５に示すような統計情報
リードコマンドを受信し、応答データ生成部５２は、図
４６に示すような応答を生成する。そして、この応答が
マスタＰＭに返送される。

【０１５２】マスタＰＭのプログラム実行部２４は、次
に、受信したＳＳＭアクセスエラー統計情報を解析して
故障箇所を推定し（ステップＳ２０２）、故障モジュー
ルの切り離し処理を行って（ステップＳ２０３）、動作
を終了する。

【０１５３】さらに、マイクロプログラムメモリ２５と
して書き換え可能なメモリシステムを採用することによ
って、システム構成によりマイクロプログラムを変更し
たり、エラーの発生状況によりプログラムを書き換えた
りすることが可能になる。システム構成とは、例えば、
ＳＳＭやシステムバスが二重化されているかどうかに対
応し、その情報は、図８のシステム構成情報レジスタ６
５に格納されている。このシステム構成情報は、プログ
ラム実行部２４の制御によりＣＰＵに通知される。

【０１５４】図４７は、システム運用中にマイクロプロ
グラムを変更する、ＣＰＵの処理のフローチャートであ
る。ここでは、あらかじめメモリ２５に、ＳＳＭ／ＢＨ
の切り離し処理を含むマイクロプログラムが格納されて
いるものとする。

【０１５５】処理が開始されると、ＣＰＵは、まず、接
続ユニット制御部からのシステム構成情報を受信し（ス
テップＳ２１１）、ＳＳＭが一重化システムかどうかを
判定する（ステップＳ２１２）。ここで、一重化システ
ムとは、マスタＳＳＭとスレーブＳＳＭの区別がなく、
１つのアドレスに対して１つのＳＳＭしか登録されてい
ないシステムを指す。

【０１５６】ＳＳＭが一重化システムであれば、エラー
救済処理としてＳＳＭの切り離しを行わないようなマイ
クロプログラムをメモリ２５にロードし（ステップＳ２
１４）、処理を終了する。

【０１５７】ＳＳＭが一重化システムでなければ、次
に、システムバスが一重化システムかどうかを判定する
（ステップＳ２１３）。ここで、一重化システムとは、
経路が１つしかないシステムバスを指す。システムバス
が一重化システムであれば、エラー救済処理としてＢＨ
の切り離しを行わないようなマイクロプログラムをメモ
リ２５にロードし（ステップＳ２１５）、処理を終了す
る。また、システムバスが一重化システムでなければ、
そのまま処理を終了する。

【０１５８】また、システム構成情報として、システム
バスの転送速度やビット幅等を記録しておき、それらの
値に応じて、図１７のステップＳ５７で用いるエラー発
生回数のしきい値を変更するようにしてもよい。

【０１５９】

【発明の効果】本発明によれば、複数のプロセッサモジ
ュールと共有メモリを有するマルチプロセッサシステム
において、共有メモリに対するアクセスエラーが発生し
た場合、ＣＰＵの処理に依存することなく、エラーを救
済することができる。したがって、システムバスが変更
されても、ＣＰＵのソフトウェアを変更することなく、
システムの信頼性を維持することができる。また、例外
処理後の動作が保証されないようなＣＰＵを用いた場合
でも、システムの信頼性を維持することができる。

【図面の簡単な説明】

【図１】本発明のアクセス制御装置の原理図である。

【図２】マルチプロセッサシステムの構成図である。

【図３】プロセッサモジュールの構成図である。

【図４】共有メモリモジュールの構成図である。

【図５】接続ユニット制御部の構成図である。

【図６】ＣＰＵ受信バッファの構成図である。

【図７】システムバスコマンド生成部の構成図である。

【図８】レジスタ制御部の構成図である。

【図９】ＳＳＭリードコマンドを示す図である。

【図１０】ＳＳＭライトコマンドを示す図である。

【図１１】接続ユニット制御部の第１の動作のフローチ
ャートである。

【図１２】ＳＳＭリードコマンド応答を示す図である。

【図１３】ＳＳＭライトコマンド応答を示す図である。

【図１４】接続ユニット制御部の第２の動作のフローチ
ャートである。

【図１５】接続ユニット制御部の第３の動作のフローチ
ャートである。

【図１６】接続ユニット制御部の第４の動作のフローチ
ャートである。

【図１７】接続ユニット制御部の第５の動作のフローチ
ャートである。

【図１８】バスハンドラ切り離しコマンドを示す図であ
る。

【図１９】バスハンドラ切り離しコマンド応答を示す図
である。

【図２０】エラー完了コードを示す図である。

【図２１】接続ユニット制御部の第６の動作のフローチ
ャートである。

【図２２】統計情報を示す図である。

【図２３】接続ユニット制御部の第７の動作のフローチ
ャートである。

【図２４】接続ユニット制御部の第８の動作のフローチ
ャートである。

【図２５】ＳＳＭリードデータを示す図である。

【図２６】接続ユニット制御部の第９の動作のフローチ
ャートである。

【図２７】接続ユニット制御部の第１０の動作のフロー
チャートである。

【図２８】接続ユニット制御部の第１１の動作のフロー
チャートである。

【図２９】ＳＳＭ切り離しコマンドを示す図である。

【図３０】ＳＳＭ切り離しコマンド応答を示す図であ
る。

【図３１】ＳＳＭ状態変更コマンドを示す図である。

【図３２】ＳＳＭ状態変更コマンド応答を示す図であ
る。

【図３３】接続ユニット制御部の第１２の動作のフロー
チャートである。

【図３４】ＣＰＵ実装情報を示す図である。

【図３５】ＣＰＵの第１の処理のフローチャートであ
る。

【図３６】ＣＰＵの第２の処理のフローチャートであ
る。

【図３７】救済内容通知を示す図である。

【図３８】接続ユニット制御部の第１３の動作のフロー
チャートである。

【図３９】第１のメッセージコマンドを示す図である。

【図４０】メッセージコマンド応答を示す図である。

【図４１】接続ユニット制御部の第１４の動作のフロー
チャートである。

【図４２】第２のメッセージコマンドを示す図である。

【図４３】接続ユニット制御部の第１５の動作のフロー
チャートである。

【図４４】第１の統計情報リードコマンドを示す図であ
る。

【図４５】第２の統計情報リードコマンドを示す図であ
る。

【図４６】統計情報リードコマンド応答を示す図であ
る。

【図４７】ＣＰＵの第３の処理のフローチャートであ
る。

【符号の説明】

１、１２ プロセッサモジュール ２、１３ 共有メモリモジュール ３ 格納手段 ４ 実行手段 １１ システムバス １４ バスハンドラ ２１ ＣＰＵ ２２ メインメモリ ２３ 接続ユニット制御部 ２４ マイクロプログラム実行部 ２５ マイクロプログラムメモリ ２６、３２ 接続ユニット ２７、３３ 内部バス ３１ 共有メモリ ４１ インタフェース部 ４２ ＣＰＵ受信バッファ ４３ ＣＰＵインタフェース制御部 ４４ ＣＰＵ完了コード通知部 ４５ ＣＰＵ送信バッファ ４６ 割込み制御部 ４７ レジスタ制御部 ４８ システムバスコマンド生成部 ４９ セレクタ ５０ 接続ユニットデータ送信制御部 ５１ コマンド生成部 ５２ 応答データ生成部 ５３ 接続ユニットデータ受信制御部 ５４ リトライ用タイマ ５５ 処理時間監視用タイマ ６０ ＣＰＵ受信コマンド保持バッファ ６１ 経路制御部 ６２ ＳＳＭ−ＩＤ制御部 ６３ Ｓｏｕｒｃｅ−ＩＤレジスタ ６４ ＣＰＵ実装情報レジスタ ６５ システム構成情報レジスタ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 山田 和平 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 中川 秀樹 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内

Claims (33)

【特許請求の範囲】
1. 【請求項１】 複数のプロセッサモジュールと、共有メ
   モリモジュールとを有するマルチプロセッサシステムの
   ためのアクセス制御装置であって、 前記複数のプロセッサモジュールのうちの１つのプロセ
   ッサモジュールから前記共有メモリモジュールへのアク
   セスを制御するためのマイクロプログラムを格納する格
   納手段と、 前記マイクロプログラムを実行して前記共有メモリモジ
   ュールへのアクセスの結果を監視し、該アクセスにおい
   てエラーが発生した場合に、該エラーを救済するための
   処理を行う実行手段とを備えることを特徴とするアクセ
   ス制御装置。
2. 【請求項２】 各プロセッサモジュールは、ソフトウェ
   アを動作させる１つ以上の中央処理ユニットを含み、前
   記アクセス制御装置は、該ソフトウェアによる前記共有
   メモリモジュールへのアクセスを制御することを特徴と
   する請求項１記載のアクセス制御装置。
3. 【請求項３】 前記アクセスのためのコマンドを保持す
   るコマンド保持手段をさらに備え、前記実行手段は、前
   記エラーが発生した場合に、該コマンド保持手段に保持
   されたコマンドを用いて、アクセスのリトライを行うこ
   とを特徴とする請求項１記載のアクセス制御装置。
4. 【請求項４】 前記実行手段は、前記エラーが発生した
   場合に、前記リトライを一定時間行うことを特徴とする
   請求項３記載のアクセス制御装置。
5. 【請求項５】 前記実行手段は、前記エラーが発生した
   場合に、前記リトライを一定回数行うことを特徴とする
   請求項３記載のアクセス制御装置。
6. 【請求項６】 前記実行手段は、前記エラーが発生した
   場合に、該エラーの種類に応じてリトライ間隔を変更し
   て、前記リトライを行うことを特徴とする請求項３記載
   のアクセス制御装置。
7. 【請求項７】 前記マルチプロセッサシステムは、前記
   複数のプロセッサモジュールと共有メモリモジュールと
   を接続するシステムバスを含み、前記実行手段は、前記
   エラーが発生した場合に、該システムバスの経路を変更
   して、前記リトライを行うことを特徴とする請求項３記
   載のアクセス制御装置。
8. 【請求項８】 前記マルチプロセッサシステムは、前記
   複数のプロセッサモジュールと共有メモリモジュールと
   を接続するシステムバスと、該システムバスのアービト
   レーションを行うバスハンドラを含み、前記実行手段
   は、前記エラーが発生した場合に、該エラーを解析し、
   該エラーが該システムバスの固定障害に起因すると判断
   したとき、該バスハンドラに対して該システムバスを使
   用禁止にする指示を送ることを特徴とする請求項１記載
   のアクセス制御装置。
9. 【請求項９】 前記マルチプロセッサシステムは、前記
   複数のプロセッサモジュールと共有メモリモジュールと
   を接続するシステムバスを含み、前記実行手段は、前記
   マイクロプログラムを実行して、該共有メモリモジュー
   ルとシステムバスのうち少なくとも一方の診断を定期的
   に行い、アクセスエラーの発生を監視することを特徴と
   する請求項１記載のアクセス制御装置。
10. 【請求項１０】 各プロセッサモジュールは、ソフトウ
    ェアを動作させる１つ以上の中央処理ユニットを含み、
    前記アクセス制御装置は、該中央処理ユニットに割込み
    を発生させる割込み制御手段をさらに備え、前記実行手
    段は、前記診断時に、前記共有メモリモジュールにコマ
    ンドを発行し、該共有メモリモジュールからの応答を受
    け取り、発生したアクセスエラーの解析を行って、故障
    箇所を特定し、該割込み制御手段を用いて該故障箇所を
    該中央処理ユニットに通知することを特徴とする請求項
    ９記載のアクセス制御装置。
11. 【請求項１１】 前記実行手段は、前記診断時に、前記
    共有メモリモジュールにコマンドを発行し、該共有メモ
    リモジュールからの応答を受け取り、発生したアクセス
    エラーの解析を行って、故障モジュールを特定し、該故
    障モジュールを機能的に切り離すことを特徴とする請求
    項９記載のアクセス制御装置。
12. 【請求項１２】 各プロセッサモジュールは、ソフトウ
    ェアを動作させる１つ以上の中央処理ユニットを含み、
    前記マルチプロセッサシステムは、該ソフトウェアが指
    定する１つのアドレスに対応付けられたマスタ共有メモ
    リモジュールとスレーブ共有メモリモジュールを含み、
    前記実行手段は、前記アクセスが該アドレスに対するラ
    イトアクセスであるとき、該マスタ共有メモリモジュー
    ルとスレーブ共有メモリモジュールに同じデータを書き
    込み、前記アクセスが該アドレスに対するリードアクセ
    スであるとき、該マスタ共有メモリモジュールからデー
    タを読み出すことを特徴とする請求項１記載のアクセス
    制御装置。
13. 【請求項１３】 前記実行手段は、前記マルチプロセッ
    サシステムの動作中における前記スレーブ共有メモリモ
    ジュールの挿入時に、前記マスタ共有メモリモジュール
    のデータを該スレーブ共有メモリモジュールに転送し
    て、該マスタ共有メモリモジュールを動的に二重化する
    ことを特徴とする請求項１２記載のアクセス制御装置。
14. 【請求項１４】 前記実行手段は、前記リードアクセス
    において前記エラーが発生した場合に、前記スレーブ共
    有メモリモジュールからデータを読み出すことを特徴と
    する請求項１２記載のアクセス制御装置。
15. 【請求項１５】 前記実行手段は、前記エラーが発生し
    た場合に、アクセス先の共有メモリモジュールの状態を
    調査し、該状態が異常であると判断したとき、該アクセ
    ス先の共有メモリモジュールを機能的に切り離すことを
    特徴とする請求項１２記載のアクセス制御装置。
16. 【請求項１６】 前記エラーを救済するための処理に要
    する時間を計測するタイマ手段をさらに備え、前記実行
    手段は、救済処理の処理時間に応じて該救済処理の内容
    を変更して、制限時間内で該救済処理を終了することを
    特徴とする請求項１記載のアクセス制御装置。
17. 【請求項１７】 前記１つのプロセッサモジュールは、
    ソフトウェアを動作させる複数の中央処理ユニットを含
    み、前記アクセス制御装置は、各中央処理ユニットから
    前記共有メモリモジュールへの前記アクセスを制御し、
    該アクセスの結果を各中央処理ユニットに通知するイン
    タフェース手段をさらに備え、前記実行手段は、各中央
    処理ユニット毎に前記エラーを救済するための処理を行
    うことを特徴とする請求項１記載のアクセス制御装置。
18. 【請求項１８】 各プロセッサモジュールは、ソフトウ
    ェアを動作させる１つ以上の中央処理ユニットを含み、
    前記アクセス制御装置は、該中央処理ユニットに割込み
    を発生させる割込み制御手段をさらに備え、前記実行手
    段は、前記エラーを救済するための処理を行った場合
    に、該割込み制御手段を用いて該エラーの発生を該中央
    処理ユニットに通知することを特徴とする請求項１記載
    のアクセス制御装置。
19. 【請求項１９】 前記中央処理ユニットは、前記エラー
    の発生を通知されたとき、次のアクセスにおいてエラー
    の発生を予防するための処理を行うことを特徴とする請
    求項１８記載のアクセス制御装置。
20. 【請求項２０】 前記実行手段は、前記エラーを救済す
    るための処理においてモジュールを機能的に切り離した
    場合、前記中央処理ユニットに救済内容を通知すること
    を特徴とする請求項１８記載のアクセス制御装置。
21. 【請求項２１】 前記中央処理ユニットは、前記救済内
    容を通知されたとき、切り離されたモジュールを使用禁
    止にするための処理を行うことを特徴とする請求項２０
    記載のアクセス制御装置。
22. 【請求項２２】 前記アクセス制御装置は、各プロセッ
    サモジュールからエラー統計情報を収集する通信手段を
    含み、該エラー統計情報を解析して、故障箇所を特定す
    ることを特徴とする請求項１記載のアクセス制御装置。
23. 【請求項２３】 前記通信手段は、前記エラー統計情報
    を読み出すためのコマンドを各プロセッサモジュールに
    発行するコマンド発行手段を含み、各プロセッサモジュ
    ールは、該コマンドに対する応答として該エラー統計情
    報を該通信手段に返送することを特徴とする請求項２２
    記載のアクセス制御装置。
24. 【請求項２４】 各プロセッサモジュールは、ソフトウ
    ェアを動作させる１つ以上の中央処理ユニットを含み、
    前記格納手段は、前記マイクロプログラムを格納する書
    き換え可能なメモリ手段を含み、該中央処理ユニット
    は、前記マルチプロセッサシステムの動作中に、該メモ
    リ手段に格納された該マイクロプログラムの内容を書き
    換えることを特徴とする請求項１記載のアクセス制御装
    置。
25. 【請求項２５】 前記格納手段と実行手段は、前記１つ
    のプロセッサモジュールに含まれることを特徴とする請
    求項１記載のアクセス制御装置。
26. 【請求項２６】 共有メモリモジュールと、該共有メモ
    リモジュールにアクセスする少なくとも１つのプロセッ
    サモジュールを含む複数のアクセスモジュールとを有す
    るシステムのためのアクセス制御装置であって、 前記プロセッサモジュールから前記共有メモリモジュー
    ルへのアクセスを制御するためのマイクロプログラムを
    格納する格納手段と、 前記マイクロプログラムを実行して前記共有メモリモジ
    ュールへのアクセスの結果を監視し、該アクセスにおい
    てエラーが発生した場合に、該エラーを救済するための
    処理を行う実行手段とを備えることを特徴とするアクセ
    ス制御装置。
27. 【請求項２７】 前記格納手段と実行手段は、前記プロ
    セッサモジュールに含まれることを特徴とする請求項２
    ６記載のアクセス制御装置。
28. 【請求項２８】 複数のプロセッサモジュールと、共有
    メモリモジュールとを有するマルチプロセッサシステム
    のためのアクセス制御装置であって、 前記複数のプロセッサモジュールのうちの１つのプロセ
    ッサモジュールから前記共有メモリモジュールへのアク
    セスを制御する制御手段と、 前記制御手段による前記共有メモリモジュールへのアク
    セスの結果を監視し、 該アクセスにおいてエラーが発生した場合に、該エラー
    を救済するための処理を行う実行手段とを備えることを
    特徴とするアクセス制御装置。
29. 【請求項２９】 前記制御手段と実行手段は、前記１つ
    のプロセッサモジュールに含まれることを特徴とする請
    求項２８記載のアクセス制御装置。
30. 【請求項３０】 共有メモリモジュールと、該共有メモ
    リモジュールにアクセスする少なくとも１つのプロセッ
    サモジュールを含む複数のアクセスモジュールとを有す
    るシステムのためのアクセス制御装置であって、 前記プロセッサモジュールから前記共有メモリモジュー
    ルへのアクセスを制御する制御手段と、 前記制御手段による前記共有メモリモジュールへのアク
    セスの結果を監視し、該アクセスにおいてエラーが発生
    した場合に、該エラーを救済するための処理を行う実行
    手段とを備えることを特徴とするアクセス制御装置。
31. 【請求項３１】 前記制御手段と実行手段は、前記プロ
    セッサモジュールに含まれることを特徴とする請求項３
    ０記載のアクセス制御装置。
32. 【請求項３２】 複数のプロセッサモジュールと、共有
    メモリモジュールとを有するマルチプロセッサシステム
    におけるアクセス制御を行うためのマイクロプログラム
    を記録した記録媒体であって、 前記複数のプロセッサモジュールのうちの１つのプロセ
    ッサモジュールから前記共有メモリモジュールへのアク
    セスの結果を監視する機能と、 前記アクセスにおいてエラーが発生した場合に、該エラ
    ーを救済するための処理を行う機能とをマイクロプログ
    ラム実行装置に実現させるためのマイクロプログラムを
    記録した読み取り可能な記録媒体。
33. 【請求項３３】 複数のプロセッサモジュールと、共有
    メモリモジュールとを有するマルチプロセッサシステム
    において用いられるアクセス制御方法であって、 前記複数のプロセッサモジュールのうちの１つのプロセ
    ッサモジュールから前記共有メモリモジュールへのアク
    セスを制御するためのマイクロプログラムを生成し、 前記マイクロプログラムを実行して前記共有メモリモジ
    ュールへのアクセスの結果を監視し、 前記アクセスにおいてエラーが発生した場合に、前記マ
    イクロプログラムを実行して該エラーを救済するための
    処理を行うことを特徴とするアクセス制御方法。