JPH11282726A

JPH11282726A - 情報処理システム及びウォッチドッグタイマ運用方法並びにその制御プログラムを記録した記録媒体

Info

Publication number: JPH11282726A
Application number: JP10082045A
Authority: JP
Inventors: Hiroshi Yoshida; 廣吉田
Original assignee: NEC Engineering Ltd
Current assignee: NEC Engineering Ltd
Priority date: 1998-03-27
Filing date: 1998-03-27
Publication date: 1999-10-15

Abstract

(57)【要約】【課題】誤動作あるいは誤データ出力のないＷＤＴ運
用方法を得る。【解決手段】ＣＰＵ周辺回路３はＣＰＵ５上にて動作
中のプログラムによって、ＷＤＴ回路９はＣＰＵ５のソ
フトウェア暴走を監視し、暴走したときにタイムアウト
を起こして、アラームを通知して、ＡＬＭ状態表示とな
る。また、ＣＰＵ周辺回路３へ自己リセット出力ｂにて
リセットをかけてＣＰＵ５を再スタートさせる。この
時、ＣＰＵ周辺以外の回路４にはリセットはかけない。
状態表示回路７は「運用」状態、及び「待機」状態の正
常状態、ウォッチドッグタイマのタイムアウトの発生、
及びハードウエア異常による「ＡＬＭ」状態、他系２あ
るいは１からのリセット、及び回路全体に電源が入力さ
れた時の「リセット」状態の状態表示８及び制御を行
う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は情報処理システム及
びＷＤＴ（ウオッチドッグタイマ）運用方法並びにその
方法の制御プログラムを記録した記録媒体に関し、特に
冗長構成の情報処理システム及びＷＤＴ運用方法並びに
その方法の制御プログラムを記録した記録媒体に関す
る。

【０００２】

【従来の技術】情報処理システムにおいて、情報処理装
置（ＣＰＵ）にて動作しているプログラムが正常に動作
しているときは、ＣＰＵはＷＤＴ（ウォッチドッグタイ
マ）回路内のカウンタを定期的にクリアし、カウンタを
タイムアウトさせないようにしている。

【０００３】もし、ＣＰＵにて動作しているプログラム
が暴走して、ＷＤＴ回路内のカウンタをクリアできずタ
イムアウトした場合は、状態表示回路にアラーム（ＡＬ
Ｍ）表示した後、自己リセット（ＲＥＳＥＴ）を発生さ
せ、情報処理システム全体にリセットをかけてプログラ
ムを最初から立上げる。

【０００４】本発明は、同一情報処理回路を２個配置し
た冗長（現用／予備）構成の情報処理システムにおい
て、ＣＰＵにて動作中のプログラムが暴走したときに、
確実に動作復帰（リセット）を行い自己復帰をしたこと
を他装置へ通知する回路に関し、特に通信装置の信頼性
向上の冗長構成回路に関する。

【０００５】従来、冗長構成のＷＤＴ回路は、例えば特
開平５−２５０１９７号公報に示されるように、ＣＰＵ
に関する緊急動作が起動された場合に、起動要因が電源
断等の再開不可能なものか、ウォッチドッグタイマによ
る動作系における再開（プログラム暴走のリセット）が
可能かを判定し、再開不可能な場合は系を（待機系に）
切替えて再開処理を実行する。動作系における再開処理
が可能な場合は、フラグを参照した上で再開（プログラ
ムの再立ち上げ）処理を実行する。こうすることによ
り、緊急動作での主記憶装置の内容による再開処理が可
能となり、自律系構成に要する時間を短縮することがで
きる。

【０００６】図２３は従来の冗長構成のＷＤＴの制御方
式の一例を示すフローチャートである。図２３におい
て、ＣＰＵに関する緊急動作が起動された場合、起動要
因が電源断等の動作系での再開が不可能なものか、ウォ
ッチドッグタイマによる障害検出等の動作系での再開が
可能なものかを判定し（ステップＳ１）、ウォッチドッ
グタイマによる障害検出等の動作系での再開処理が不可
能な場合は、系を切替えた後（ステップＳ２）、再開処
理を実行する（ステップＳ３）。

【０００７】動作系での再開処理が可能な場合は、他系
再開禁止フラグを参照し（ステップＳ４）、設定されて
いれば動作系を切換えずに再開処理を実行する（ステッ
プＳ３）。設定されていなければ、再開系指示フラグに
基づいて動作系を決定し（ステップＳ５）、再処理を実
行するようになっている（ステップＳ３）。

【０００８】更に詳述すると、待機系においてファイル
更新あるいは診断を実行する際には、予めソフトウェア
により他系再開禁止フラグを設定する。待機系での処理
が完了し、主記憶再開が可能になった時点で他系再開禁
止フラグを解除する。この操作を行うことにより、待機
系の主記憶装置の内容が破壊されている状態で緊急動作
の起動が発生した場合は、動作系の主記憶装置の内容で
再開処理を実行する。

【０００９】こうすると、他系再開禁止フラグが設定さ
れている場合に、動作系での再開処理が可能な、緊急動
作の起動が発生した場合には、系の切換えを行わず、主
記憶装置の内容による再開処理の実行が可能になる。待
機系の主記憶装置の状態で再開処理が実行できない場合
に、他系再開禁止フラグを設定することにより、１回の
緊急動作にて主記憶装置の内容による再開処理が可能に
なり、自律系構成に要する時間を短縮する効果がある。

【００１０】また、ファイル更新時に、系構成を制御す
るソフトウェアと、主記憶装置の内容にて再開処理を行
えない時の再緊急動作起動を制御するソフトウェアとを
不要にすることができる。

【００１１】

【発明が解決しようとする課題】図２３に示す従来の情
報処理システムにおいては、ＣＰＵ上にて動作中のプロ
グラムが暴走してウォッチドッグタイマのタイムアウト
が発生したとき、ＣＰＵ周辺回路ヘリセットをかけるこ
となく緊急動作の作動中にソフトウェアが実行される問
題がある。

【００１２】すなわち、ソフトウェア（プログラム）が
暴走してウォッチドッグタイマのタイムアウトが発生し
た時は、ＣＰＵよりアクセスできる部分（範囲）はすで
に不正データに書変わっている可能性があり、ソフトウ
ェアの暴走時にフラグを参照する動作は、破壊されたフ
ラグを参照してソフトウェアが動作を行う可能性があり
誤動作の要因となる。

【００１３】また、ウォッチドッグタイマのタイムアウ
トによる障害のとき、切替え動作をハードウェア制御に
て行わないで、ソフトウェア制御にて行っている問題が
ある。すなわち、ソフトウェアが暴走してウォッチドッ
グタイマのタイムアウトが発生した時は、上述のように
ソフトウェアの誤動作に問題があり、切替え動作が誤動
作する可能性があるからである。また、ソフトウェアに
よる制御はハードウェア制御の切替えに比べて時間がか
かる。

【００１４】さらに、両系にほぼ同時に緊急動作が起き
たときに、図２３に示すフロー通りには動作しないこと
が考えられる問題がある。すなわち、緊急動作時にハー
ドウェアではなく、ソフトウェアにて切替え動作を行っ
ており、同時に緊急動作を発生する場合を考えておら
ず、両系がウォッチドッグタイマのタイムアウトにてＡ
ＬＭ（アラーム状態）になったときは、相手の状態も信
頼できず、お互いが確実に動作しなくなる。

【００１５】さらにまた、装置が遠隔地にある場合、緊
急動作が発生したことが検知できない問題がある。すな
わち、外部インタフェース（Ｉ／Ｆ）回路を含まず、外
部装置へ通知する機能を有していない。仮に、外部イン
タフェースの回路を設けた場合でも、破壊されたフラグ
を参照してプログラムにて判断を行うので、外部へ誤っ
たデータを出力する可能性がある。

【００１６】本発明の目的は、誤動作あるいは誤データ
出力のない情報処理システム及びＷＤＴ運用方法並びに
その方法の制御プログラムを記録した記録媒体を提供す
ることである。

【００１７】すなわち、ＣＰＵ上にて動作中のプログラ
ムの暴走が発生したときに、確実に復旧することを目的
とする。また、冗長構成の装置において、ソフトウェア
暴走が発生したときに、確実に早く他（待機）系を運用
系として動作させることを目的とする。さらに、冗長構
成の装置において、両系がソフトウェア暴走した時でも
確実に動作を復旧することを目的とする。

【００１８】さらにまた、ソフトウェア暴走して復旧後
に、自己リセットにより再起動を行い誤動作をしないこ
とを目的とする。さらにまた、両系ソフトウェアが暴走
して復旧したことを正確に外部装置へ知らせることを目
的とする。

【００１９】

【課題を解決するための手段】本発明による情報処理シ
ステムは、ＣＰＵ上のプログラムの暴走を監視するウォ
ッチドッグタイマ回路を有する同一回路構成の二個の情
報処理回路を現用系／待機系として使用する冗長構成の
情報処理システムであって、現用系として動作している
ときに前記ウォッチドッグタイマ回路の出力により第一
のアラームを発して前記現用系／待機系を切替える現用
／待機切替え手段と、同時にＣＰＵ周辺回路をハードウ
エアにて自己リセットする自己リセット手段とを含むこ
とを特徴とする。

【００２０】本発明によるウォッチドッグタイマ運用方
法は、ＣＰＵ上のプログラムの暴走を監視するウォッチ
ドッグタイマ回路を有する同一回路構成の二個の情報処
理回路を現用系／待機系として使用する冗長構成の情報
処理システムのウォッチドッグタイマ運用方法であっ
て、現用系として動作しているときに前記ウォッチドッ
グタイマ回路の出力により第一のアラームを発して前記
現用系／待機系を切替えをハードウエアにて行うステッ
プと、同時にＣＰＵ周辺回路をハードウエアにて自己リ
セットするステップと、電源投入時に前記ＣＰＵ周辺回
路及びＣＰＵ周辺回路以外の回路を同時に電源リセット
するステップと、ハードウエアの障害を検知すると第二
のアラームを発して前記現用系／待機系の切替えを行う
ステップと、前記第一及び第二のアラーム発生後のアラ
ーム中、前記自己リセット、前記電源リセット及び他系
からの他系リセットのリセット中、前記現用中、前記待
機中を表示するステップと、前記第一及び第二のアラー
ム、前記自己リセット、前記電源リセット、前記他系リ
セット、前記現用中、前記待機中を外部に通知するステ
ップと、前記他系が前記現用中に前記第一のアラームが
発生したとき、前記他系リセットを受け付けるステップ
と、前記他系が前記アラーム中に前記第一のアラームが
発生したとき、前記アラーム中を解除するステップと含
むことを特徴とする。

【００２１】本発明の作用を述べる。冗長構成回路にお
けるウォッチドッグタイマ方式は、同一の回路を２つ配
し、正常に両系の回路が動作しているとき、一方を運用
（動作）系、もう一方を待機（予備；ホットスタンバ
イ）系として、通常、運用系が装置内のコントロールを
行い、運用系がＣＰＵ上にて動作中のプログラム（ソフ
トウェア）暴走により、ウォッチドッグタイマのタイム
アウトが発生した場合、ＣＰＵを含むＣＰＵ周辺回路を
ハードウェアにて自己リセットをする機能を有する。

【００２２】また、ウォッチドッグタイマのタイムアウ
トが発生した時は、ＣＰＵ周辺以外の回路はハードウェ
アにてアラーム表示にする機能を有し、自己リセットを
ＣＰＵ周辺以外の回路にはかけずにアラーム表示を保持
する。その他に、本回路の状態には、正常状態である運
用状態、待機状態があり、異常状態のアラーム（ＡＬ
Ｍ）状態、リセット中のリセット状態がある。各状態は
状態表示回路にて制御を行う。また、運用状態と非運用
状態を他系の状態表示回路より入力し、両系が同時に運
用状態にならない制御を行う。その他に運用系がウォッ
チドッグタイマのタイムアウトを含む異常状態（アラー
ム表示）のとき、待機系が運用系ヘハードウェアにて切
替わる。また、切替えによって運用系はアラーム表示を
している異常状態の系をリセット制御する。

【００２３】その他に、ソフトウェアが暴走後、ウォッ
チドッグタイマのタイムアウト発生によって、ＣＰＵ周
辺部に自己リセットがかかり、プログラムが起動後、両
系の表示状態の取得を行い分析し、自系がウォッチドッ
グタイマのタイムアウトによるアラーム状態であって、
かつ他系が正常状態の時は、両系の状態が変化するまで
両系の状態を取得し続けて、状態が変化するまでその状
態を保持し、運用系状態である他系からのリセットを行
う。

【００２４】また、自系がウォッチドッグタイマのタイ
ムアウトによるアラーム状態であって、かつ他系が異常
状態（正常状態でない）のときは、自系のアラーム表示
の解除を行い、両系異常状態を回避する。その他に、冗
長構成の両系がソフトウェア暴走して、ウォッチドッグ
タイマのタイムアウトが発生し、お互いに自己リセット
をかけて復帰できる機能を有する。

【００２５】また、復帰後、先に復帰した系は、他系が
非運用状態なので、アラーム表示を解除して運用状態と
なり、自己リセットにより復帰したことを通知し、遠隔
でもモニタできる機能を含む。

【００２６】ＣＰＵが動作中のプログラム（ソフトウェ
ア）暴走にて、ウォッチドッグタイマのタイムアウトが
発生したとき、ＣＰＵ周辺回路をハードウェアにて、自
己リセットをかける。このため、ウォッチドッグタイマ
のタイムアウトが発生したときは、ソフトウェアにて両
系の状態を判断する必要がない。ソフトウェア暴走に
て、ウォッチドッグタイマのタイムアウトが発生したと
き、レジスタの内容及びメモリー上に配置されているフ
ラグの内容が破壊されても、ＣＰＵ周辺に自己リセット
をかけるので、メモリー及びレジスタの内容をクリアし
ソフトウェアが誤動作することがない。

【００２７】また、運用系にて動作後も、リセットにて
一度クリアしているので異常動作をしない。ソフトウェ
ア暴走にてウォッチドッグタイマのタイムアウトが発生
したとき、状態表示機能を含むＣＰＵ周辺以外はハード
ウェアにてアラーム状態とする。このため、ソフトウェ
アにて状態の監視を行い制御する必要がない。

【００２８】ソフトウェア暴走にて、ウォッチドッグタ
イマのタイムアウトが発生したとき、アラーム状態とな
っていない系はハードウェアにて運用動作を行うので、
フラグを用いたソフトウェアでの分析を必要としない。
従って、誤動作せずにかつ早く運用系の切替えができ
る。運用系がアラーム状態となった系をアラーム原因に
関わらずリセットを行う。このため、ソフトウェア暴走
に起因するウォッチドッグタイマのタイムアウトによる
アラームあるいはハードウエア不良等、アラーム発生の
原因をソフトウェアにて分析する必要がない。このと
き、アラーム要因の分析を暴走したソフトウェアにて行
なうと、誤動作の原因になるので、アラームの要因にか
かわらず、すぐにリセットをかけることが必要である。

【００２９】両系のソフトウェアが暴走したときに、ウ
ォッチドッグタイマのタイムアウトが発生し、自己リセ
ットをかけた時は外部に通知する。このため、遠隔地に
て片系がアラーム状態になり、リセットがかかっている
のか、両系がソフトウェア暴走にてウォッチドッグタイ
マのタイムアウトが発生して自己リセットにて復帰した
のかが判明し、原因を究明するために装置のある場所に
保守担当者が赴く（いる）必要がない。

【００３０】非運用系がアラーム状態の時は、アラーム
状態の系に対するリセットをかけたことを、運用系が通
知する。両系が、ウォッチドッグタイマのタイムアウト
が発生して、アラーム状態のときは、両系がともに運用
していないので通知できない。自己リセットをお互いに
掛けた後、他系が非運用状態のアラームを解除して自系
を運用系とし、自己リセットにて復帰したことを通知す
る。２つの現象が遠隔地にいてもモニタできる。

【００３１】

【発明の実施の形態】以下に、本発明の実施例について
図面を参照して説明する。

【００３２】図１は本発明による情報処理システムの実
施例の構成を示すブロック図である。図１において、本
発明による情報処理システムは、ＣＰＵ５を含んだＣＰ
Ｕ周辺回路３と、ＣＰＵ周辺以外の回路４とにて構成さ
れており、当該ＣＰＵ周辺以外の回路４はウォッチドッ
グタイマ（ＷＤＴ）回路９と、状態表示回路７と、外部
インタフェース（Ｉ／Ｆ）回路１０と、他系リセット機
能６を有している。

【００３３】また、同一回路構成の２つの情報処理回路
１，２を配し、冗長（現用系／予備系）構成を形成す
る。いま、例えばこの２系（回路）をＮ系（回路）１と
Ｅ系（かいろ）２と呼ぶ。各回路１，２は同一の回路構
成を持ち、ここではＮ系１について説明するが、Ｅ系２
もまったく同様の構成となる。

【００３４】ＣＰＵ５を含むＣＰＵ周辺回路３はＣＰＵ
５上にて動作中のプログラムによって自系１あるいは２
全体のコントロールを行い、各回路の制御を行ってい
る。ＷＤＴ回路９はＣＰＵ５のソフトウェア暴走を監視
しており、ＣＰＵ５上にて動作しているプログラムが暴
走したときに、タイムアウトを起こして、ＷＤＴ回路９
から状態表示回路７ヘアラーム（ＡＬＭ）を通知して、
ＡＬＭ状態表示となる。

【００３５】また、ＣＰＵ周辺回路３へ自己リセット出
力ｂにてリセットをかけてＣＰＵ５を再スタートさせ
る。この時、ＣＰＵ周辺以外の回路４には、自己リセッ
ト出力ｂによるリセットはかけないようにする。

【００３６】状態表示回路７は自系１あるいは２の「運
用」及び「待機」状態の表示、ウォッチドッグタイマの
タイムアウト発生やハードウエア異常による「ＡＬＭ」
状態の表示、他系２あるいは１からのリセットや回路全
体に電源が入力された時の電源「リセット（ＲＥＳＥ
Ｔ）」状態の表示を夫々行うものである。

【００３７】また、状態表示回路７はハードウェアにて
両系１，２の「運用」状態の監視を行い、Ｎ系回路１、
Ｅ系回路２が両系とも正常時は、自系１あるいは２が運
用系、他系２あるいは１が待機系となり、仮にＮ系回路
１が運用系であってＥ系２が待機系のとき、Ｎ系１がＡ
ＬＭ状態になると、Ｅ系２が運用状態として動作を行
う。

【００３８】ＣＰＵ５からは自系１あるいは２の「運
用」状態と、「待機」状態と、「ＡＬＭ」状態と、「リ
セット」状態と、他系２あるいは１の「運用」状態の監
視が行え、プログラムの動作を変化させる要素となる。
また、状態表示回路７はＷＤＴタイムアウト発生し、自
己リセットがかかっても、ＣＰＵ周辺以外の回路４には
リセットがかからないので「ＡＬＭ」状態を保持する。

【００３９】他系リセット機能６は他系全体２あるいは
１にリセットｃをかける機能であり、ＣＰＵ５がプログ
ラムにてアクセスをする。その他のリセットには電源リ
セットが有り、電源入力時にＮ系回路全体１とＥ系回路
全体２とにリセットがかかる。外部インタフェース（Ｉ
／Ｆ）回路１０はＷＤＴタイムアウト発生後自己リセッ
トによりプログラムが立上ったか、他系２あるいは１か
らのリセットｃが全系１あるいは２にかけられたかを、
外部装置に知らせる機能であり、本装置１，２のリセッ
ト状況を遠隔地でもモニタできる。

【００４０】次に、本発明の実施例について図２〜図６
を参照して詳細に説明する。図２において、本発明によ
る情報処理システムには、ＣＰＵ周辺回路３とＣＰＵ周
辺以外の回路４とが有って冗長構成にて形成され、各系
回路１，２は同一であり、Ｎ系回路１、Ｅ系回路２とす
る。

【００４１】ＣＰＵ周辺回路３には、ＣＰＵ５と、リセ
ット後すぐにプログラムが立上るようにするプログラム
が入っているＲＯＭ１２と、メインプログラムが入つて
いるデイスクドライブ１３と、メインプログラムがディ
スクドライブ１３から転送されるＲＡＭｌ４と、その他
にアドレスデコーダ等他のＣＰＵ周辺回路１５がある。
ＣＰＵ周辺以外の回路４には、ソフトウェアの暴走を監
視するＷＤＴ回路９と、自系回路１あるいは２の監視を
行いハードウエア不良を検出するハード監視回路１８
と、リセット後プログラムによる初期化が終了後に運用
動作へ移行するためにＣＰＵ５からアクセスできる運用
可レジスタ１６とがある。

【００４２】また、自系回路１あるいは２の状態を表示
及び出力する状態表示回路７と、他系回路２あるいは１
全体にリセットをかけられる他系リセット制御６と、他
（外部）の装置へ通信できる外部インタフェース（Ｉ／
Ｆ）１０と、その他にＣＰＵ周辺以外の他の機能が入っ
ている他の回路１７がある。各回路はＣＰＵ５とバス１
１にて接続されており、ＣＰＵ５よりプログラムにてア
クセスができる。ＣＰＵ周辺回路３及びＣＰＵ周辺以外
の回路４の以外の機能は系全体１あるいは２のクロック
（ＣＬＫ）供給を行うＣＬＫ供給回路１９、系１あるい
は２に電源を供給する電源供給回路２０があり、リセッ
トがかからないように構成されている。

【００４３】次に、状態表示回路７の構成を図３を参照
して詳細に説明する。図３（ａ）において、状態表示回
路７は各回路からの状態の表示を行い、他系２あるいは
１へ運用状態を出力している。各状態８を状態遷移図図
３（ｂ）に示す。各状態を決める入力はリセット（ＲＥ
ＳＥＴ）と、運用可レジスタ１６と、ウォッチドッグタ
イマ（ＷＤＴ）回路９と、ハード監視１８と、他系２あ
るいは１の状態表示回路７からの入力ａである。状態表
示回路７の出力ａは他系２あるいは１の状態表示回路７
へ接続される。また、自系１あるいは２の各状態表示は
バス１１を介してＣＰＵ５にてアクセスが行えプログラ
ムの動作を変える要素となる。

【００４４】図３（ｂ）において、（表示）状態８は
「運用」状態と、運用可レジスタ１６をオン（ＯＮ）す
るまでの「待機」状態と、運用可ＯＮ後他系２あるいは
１が運用時の「待機」状態と、ソフトウェア暴走による
ウォッチドッグタイマ９の「ＡＬＭ」状態と、ハードウ
エア故障によるハード「ＡＬＭ」状態と、系全体１ある
いは２にリセットがかかったときの「リセット」状態と
があり、各入力によって状態が変化する。

【００４５】次に、ＷＤＴ回路９の構成を図４を参照し
て詳細に説明する。図４（ａ）において、ＷＤＴ回路１
０９はダウンカウンタ２１をＣＰＵ５上にて動作してい
るプログラムが一定間隔にてアクセスを行いダウンカウ
ンタ２１をクリアする。バス１１を介しての一定間隔で
のプログラムからのクリアが無いとき、ダウンカウンタ
２１はタイムアウトｂして状態表示回路７へ通知し、ア
ラーム（ＡＬＭ）状態とする。また、タイムアウトｂを
リセット（ＲＥＳＥＴ）として自系１あるいは２のＣＰ
Ｕ周辺回路３へかける。この時、ＣＰＵ周辺以外の回路
４にはリセットがかからないので、状態表示回路７はＡ
ＬＭ状態を示している。

【００４６】次に、ハード監視回路１８の構成を図５を
参照して詳細に説明する。図５において、ハード監視回
路１８はＣＬＫ１９の発振停止２２と、ＲＯＭｌ２の実
装抜け２３と、ディスクドライブ１３の未挿入２４等の
ハードウエア不良及び操作ミスの検出とを行い、検出し
たときは状態表示回路７ヘハードＡＬＭを出力する。

【００４７】次に、リセット（ＲＥＳＥＴ）の系統を図
６を参照して詳細に説明する。図６において、リセット
はＣＰＵ周辺回路３と、ＣＰＵ周辺以外の回路４とへ別
々にかけられる。リセットの種類はパワーＯＮ（電源）
リセットと、他系２あるいは１からの他系リセットと、
ウォッチドッグタイマ９のタイムアウトが発生（ＷＤＴ
タイムアウト発生）した時の自己リセットの３種類があ
る。

【００４８】パワーＯＮリセットは、電源がＯＦＦ→Ｏ
Ｎになった時に、電源回路２０はＣＰＵ周辺回路３とＣ
ＰＵ周辺以外の回路４とにリセットをかける。ＷＤＴタ
イムアウトが発生後の自己リセットはＷＤＴ回路９にて
タイムアウトしたときにＣＰＵ周辺回路３ヘリセットを
かけ、ＣＰＵ周辺以外の回路４にはリセットをかけな
い。他系２あるいは１からの他系リセット制御ｃはＣＰ
Ｕ周辺回路３とＣＰＵ周辺以外の回路４とにかける。こ
の時、自系１あるいは２にはリセットをかけない。

【００４９】本発明の実施例の動作を図７〜１０により
説明する。図７に本発明の実施例の動作フローを示す。
図７において、リセット解除後、両系１，２の表示回路
７の表示状態を入力し（ステップ３０）、両系１，２の
状態の分析を行う（ステップ３１）。自系１あるいは２
にウォッチドックタイマ９のタイムアウトが発生する
と、ＷＤＴＡＬＭの状態２７にて、かつ他系２あるい
は１が運用状態のときは、他系２あるいは１が非運用状
態になるか、あるいは他系２あるいは１からのリセット
をかけられるかを待つ。

【００５０】自系１あるいは２がＷＤＴＡＬＭ以外の
ときは、他系２あるいは１からの他系リセットあるいは
パワーオンリセットにて起動したことになるので、次の
処理へ進む。自系１あるいは２がＷＤＴＡＬＭ状態で
あって、かつ他系２あるいは１が非運用状態のときは、
ＷＤＴタイムアウトが発生して自己リセット後、他系２
あるいは１も非運用状態であって、そのままだとシステ
ムダウンが継続されるので、ＡＬＭ解除を行い（ステッ
プ３２）次の処理へ進む。

【００５１】図８に自系１あるいは２がＡＬＭ時に、他
系２あるいは１にウォッチドッグタイマ９のタイムアウ
トが発生した例を示す。図８には、ＣＰＵ周辺回路３の
動作及び状態表示回路７の表示状態を示す。Ｎ系１が
「運用」状態、Ｅ系２が「アラーム（ＡＬＭ）」状態の
とき、Ｎ系１の運用動作中に（ステップ３３）ソフトウ
ェアが暴走してＷＤＴタイムアウトが発生する（ステッ
プ３４）と、状態表示７は「ＡＬＭ」状態となる。

【００５２】Ｎ系１はハードウェアにて、自己リセット
をＣＰＵ周辺３のみにかける（ステップ３５）。自己リ
セット後、プログラムが起動し両系１，２の状態表示回
路７の状態を入力し分析をする（ステップ３６）。自系
１あるいは２がＡＬＭ状態、かつ他系２あるいは１が非
運用状態なので、状態表示回路７の「ＡＬＭ」の解除を
行う（ステップ３７）。この時、Ｅ系２は「ＡＬＭ」状
態なので、Ｎ系１は「運用」状態となり運用系としての
運用動作する（ステップ３８）。

【００５３】図９に両系１，２正常時、Ｎ系１にウォッ
チドッグタイマ９のタイムアウトが発生した例を示す。
図９において、Ｎ系１が「運用」状態、Ｅ系２が「待
機」状態（ステップ４０）から、Ｎ系１のソフトウェア
が暴走してＷＤＴタイムアウトが発生する（ステップ４
１）と、状態表示７は「ＡＬＭ」状態となる。ハードウ
ェアによる自己リセットをＣＰＵ周辺３のみに掛ける
（ステップ４２）。

【００５４】自己リセット後、プログラムが起動し両系
１，２の状態表示回路７の状態を入力して分析を行い
（ステップ４３）、自系１あるいは２がＷＤＴＡＬＭ
状態、かつ他系２あるいは１が運用状態なので、状態が
変化するまで状態を入力している。Ｎ系１が「ＡＬＭ」
状態となったので、ハードウェアにてＥ系２は「待機」
状態から「運用」状態となる。「運用」状態となったＥ
系２は、Ｎ系１の状態表示が「ＡＬＭ」なのでＮ系全体
１をリセットする（ステップ４９）。

【００５５】Ｎ系１はリセット状態後、プログラムが起
動し、両系１，２の状態を入力して分析を行い（ステッ
プ４７）、自系１あるいは２がＡＬＭ以外の状態（正常
状態）であって、かつ他系２あるいは１は「運用」状態
なので、Ｎ系１は「待機」状態のままで待機動作を行う
（ステップ４８）。

【００５６】図１０に両系１，２のウォッチドッグタイ
マ９のタイムアウトが発生した時の具体例を示す。図１
０において、Ｎ系１が「運用」状態、Ｅ系２が「待機」
状態（ステップ５０）からＮ系１のソフトウェアが暴走
し、ＷＤＴタイムアウトが発生する（ステップ５１）
と、Ｎ系１の状態表示７は「ＡＬＭ」状態となり、ハー
ドウェアによる自己リセットにてＣＰＵ周辺３のみにリ
セットをかける（ステップ５２）。

【００５７】Ｎ系１が「ＡＬＭ」状態となり、ハードウ
ェアにてＥ系２は「待機」状態（ステップ５６）から
「運用」状態となる（ステップ５７）。また、このとき
運用動作していたＥ系２のソフトウェアが暴走し、ＷＤ
Ｔタイムアウトが発生する（ステップ５８）と、Ｅ系２
の状態表示７は「ＡＬＭ」を表示し、ハードウェアによ
る自己リセットにてＣＰＵ周辺３のみにリセットをかけ
る（ステップ５９）。

【００５８】先に、自己リセットがかかったＮ系１は両
系１，２の状態を入力して分析を行い（ステップ５
３）、自系１あるいは２がＡＬＭ状態でかつ他系２ある
いは１が非運用状態なので、状態表示回路７の「ＡＬ
Ｍ」の解除を行い（ステップ５４）、その後、他系２あ
るいは１は非運用状態なので、運用動作を行う（ステッ
プ５５）。また、Ｅ系２はリセット後、プログラムが起
動したらＮ系１同様に分析を行い（ステップ６０）、
「ＡＬＭ」を解除して（ステップ６１）「待機」状態と
して動作をする（ステップ６２）。

【００５９】次に、図１１に本発明による回路が組込ま
れたシステムの遠隔モニタヘの通知の具体例を示す。図
１１（ａ）に、図８に示す自系１あるいは２に「ＡＬ
Ｍ」、他系２にウォッチドッグタイマ９のタイムアウト
発生時を示す。Ｎ系１が自己リセットにて立上った（ス
テップ３５）ので、外部インタフェース（Ｉ／Ｆ）１０
から自己リセットがかかって立上ったことの通知を行
う。

【００６０】図１１（ｂ）に図９に示す両系１，２正常
時、自系１あるいは２がウォッチドッグタイマ９のタイ
ムアウトが発生した時を示す。Ｎ系１はＷＤＴタイムア
ウト発生（ステップ４１）後、自己リセットにて（ステ
ップ４２）、状態表示７は「ＡＬＭ」となっている。Ｅ
系２は「ＡＬＭ」状態のＮ系１にリセットをかける（ス
テップ４９）。その後、Ｅ系２は外部Ｉ／Ｆ１０からＮ
系１にリセットをかけたことの通知を行う。このように
２種類のリセットが外部Ｉ／Ｆ１０を通して遠隔地にい
てもモニタできる。

【００６１】次に、本発明の実施例の動作について図１
２〜１７を参照して詳細に説明する。ＣＰＵ５の起動動
作フローを図１２を使用して説明する。図１２におい
て、ＣＰＵ５のリセット解除（ステップ６３）後、ＲＯ
Ｍ１２に入っている初期プログラムが動作すると、ＣＰ
Ｕ周辺部３の初期値を設定（ステップ６４）し、自系１
あるいは２の状態入力（ステップ６５）の後、状態の分
析を行う（ステップ６６）。

【００６２】自系１あるいは２がウオッチドッグタイマ
アラーム（ＷＤＴＡＬＭ）ならば、他系状態入力を行
い（ステップ６７）、自系１あるいは２がＷＤＴＡＬ
Ｍ以外ならば、他系状態入力（ステップ６７）部分の処
理をとばして次の処理（ステップ７１以下）を行う。他
系２あるいは１の状態表示（回路）７を読込み（ステッ
プ６７）、他系２あるいは１が運用状態かどうかを判定
（ステップ６８）し、他系２あるいは１が運用状態なら
ば、他系状態入力（ステップ６７）を再び読込み状態が
変化するまで繰返す。他系が運用状態でないならば、Ｗ
ＤＴＡＬＭの解除を行い（ステップ６９）、自己リセ
ットを報告するためのフラグをＯＮにして（ステップ７
０）次の処理へ進む。

【００６３】次に、ディスクドライブ１３からＲＡＭ１
４ヘメインプログラムの転送を行い（ステップ７１）、
ＲＡＭ１４に転送したメインプログラムヘジャンプして
（ステップ７２）、メインプログラムが実行される。Ｒ
ＯＭ１２のアクセス転送した部分へのジャンブまで割込
みの禁止を行い、スタックを使用しないことによりＲＯ
Ｍ１２にて動作している期間のソフトウェア暴走を防
ぐ。ＲＡＭ１４へ転送されたメインプログラムはスタッ
クの設定、割込みの設定等のメインプログラムの初期設
定を行い（ステップ７３）、マルチタスクの設定を行う
（ステップ７４）。そして、運用可設定レジスタ１６に
て運用可にする（ステップ７５）。運用可となるとハー
ドウェアにて、他系２あるいは１が運用状態でない場合
には、運用状態となり、他系２あるいは１が運用状態の
場合には、待機状態にて動作をする。

【００６４】運用状態になった後、自己リセットフラグ
ＯＮが設定されたかどうかを分析して（ステップ７
６）、設定されていれば他装置へ自己リセットの報告を
行い（ステップ７７）、設定されていなければ報告しな
い。また、他系２あるいは１がＡＬＭの時は、他系２あ
るいは１にリセットをかけ（ステップ７８）、他装置へ
他系リセットしたことを報告する（ステップ７９）。Ｃ
ＰＵ５の起動はパワーオンリセットとウォッチドッグタ
イマ９のタイムアウトが発生（ＷＤＴタイムアウト発
生）したときの自己リセットと、他系２あるいは１から
のリセットの３種があり、３種類とも図１２に示すＣＰ
Ｕ５の起動フローによる動作を行う。

【００６５】次に、具体例を図１３〜１７を参照して詳
細に説明する。パワーオンリセット後の立上りを図１３
を使用して説明する。図１３において、パワーオンリセ
ット後、Ｎ系１、Ｅ系２のリセット（ステップ８０，８
８）からの立上り時間の違いからＮ系１が先にＣＰＵ５
が動作を行い、「待機」状態となり、初期値設定（ステ
ップ８１）、自系状態入力（ステップ８２）の後、分析
を行う（ステップ８３）。

【００６６】自系１あるいは２はＷＤＴのＡＬＭ状態で
ない状態なので、メインプログラムをディスクドライブ
１３からＲＡＭ１４へ転送（ステップ８４）後、転送し
たメインプログラムヘジャンプして（ステップ８５）、
メインプログラムが立上りタスクを設定して（ステップ
８６）運用可設定を行う（ステップ８７）。Ｅ系２は遅
く立上り「待機」状態となり、初期値設定（ステップ８
９）後、自系状態入力（ステップ９０）を行い分析し
（ステップ９１）、自系１あるいは２はＷＤＴのＡＬＭ
状態以外なので、メインプログラムをディスクドライブ
１３からＲＡＭ１４へ転送（ステップ９２）後、転送し
たメインプログラムヘジャンプして（ステップ９３）、
メインプログラムが立上りタスクを設定して（ステップ
９４）、運用可設定（ステップ９５）を行う。

【００６７】先に、運用可設定（ステップ８７）は、Ｅ
系２が「待機」状態なので、ハードウェアにて「運用」
状態となり、プログラムの動作は運用の動作となる。ま
た、Ｅ系２が運用可設定を行った（ステップ９５）とき
は、Ｎ系１は「運用」状態なので、Ｅ系２は待機の動作
を行う。

【００６８】次に、両系１，２正常時にて、待機系にウ
ォッチドッグタイマ９のタイムアウトが発生したときを
図１４を使用して説明する。図１４において、「待機」
状態であるＥ系２がＷＤＴタイムアウトを発生し（ステ
ップ９７）、状態表示７は「ＷＤＴＡＬＭ」となる。
自己リセットをＣＰＵ周辺部回路３のみにかけて（ステ
ップ９８）、ＣＰＵ周辺部３以外の回路にはリセットを
かけないので、状態表示７は「ＷＤＴＡＬＭ」のまま
で保持される。リセット後、初期値設定（ステップ９
９）、自系状態入力（ステップ１００）の後、分析を行
い（ステップ１０１）、ＷＤＴタイムアウト発生のＡＬ
Ｍなので、他系状態を入力し（ステップ１０２）、他系
２あるいは１は運用状態なので、他系２あるいは１の状
態が変化するまでステップ１０２，１０３を繰返えす。

【００６９】Ｅ系２が「ＡＬＭ」状態なので、Ｎ系１は
Ｅ系２をリセット（ステップ９６）し、リセットしたこ
とを外部インタフェース（Ｉ／Ｆ）回路１０から他の装
置へ報告（ステップ９７）する。リセット（ステップ１
０４）されたＥ系２は、Ｅ系全体２にリセットがかか
り、「ＡＬＭ」の状態もクリアされる。リセット後は図
１３と同様の動作を行い、運用可設定（ステップ１１
１）後他系２あるいは１が運用状態なので、「待機」動
作を行う。

【００７０】次に、両系１，２正常時にて運用系にウォ
ッチドッグタイマ９のタイムアウトが発生した時を図１
５を使用して説明する。「運用」にて動作しているＮ系
１がＷＤＴタイムアウト発生（ステップ１１２）とな
り、状態表示７は「ＡＬＭ」となる。ハードウェアにて
Ｅ系２が運用状態となり、「運用」の動作を行う。その
後は図１４のＮ１／Ｅ２シーケンスを逆にして動作を行
う。

【００７１】次に、自系１あるいは２がハード「ＡＬ
Ｍ」、他系２あるいは１にウォッチドッグタイマ９のタ
イムアウトが発生した例を図１６を参照して詳細に説明
する。図１６において、Ｎ系１が「運用」動作中にハー
ドＡＬＭが発生し（ステップ１２９）、「ＡＬＭ」の状
態になる。Ｅ系２はハードウェアにて運用の状態とな
り、「運用」にて動作を開始する。Ｎ系１が「ＡＬＭ」
なので、Ｅ系２はＮ系１にリセットを行う（ステップ１
３２）。Ｎ系１はリセット２３２がかかり（ステップ１
３０）起動するが、ハードＡＬＭのために再度「ＡＬ
Ｍ」となる。Ｅ系２はＮ系１にリセットを何度も掛ける
のを防ぐためにＮ系リセットをかける（ステップ１３
２）ときに、ソフトウェアにてタイマをカウントし（ス
テップ１３３）、一定時間以内にＮ系１が再度「ＡＬ
Ｍ」になったときは、それ以上リセットはかけないよう
にする。

【００７２】その後、Ｅ系２にＷＤＴタイムアウトが発
生する（ステップ１３５）と、Ｅ系２はＷＤＴの「ＡＬ
Ｍ」状態となり、自己リセット（ステップ１３６）によ
り、ＣＰＵ周辺３のみにリセットをかけて立上り、初期
値設定（ステップ１３７）後、自系状態入力（ステップ
１３８）し分析を行う（ステップ１３９）。ＷＤＴＡＬ
Ｍ状態でないので、他系状態入力を行い（ステップ１４
０）他系２あるいは１が非運用（「ＡＬＭ」）状態（ス
テップ１４１がＮＯ）なので、自系１あるいは２が立上
るためにＡＬＭ解除を行い（ステップ１４２）、「待
機」系となる。

【００７３】その後、ディスクドライブ１３からＲＡＭ
１４ヘメインプログラムの転送を行い（ステップ１４
４）、メインプログラムヘジャンプ（ステップ１４５）
後、メインプログラムが動作し（ステップ１４６）運用
可設定を行う（ステップ１４７）。Ｎ系１は「ＡＬＭ」
状態なので、Ｅ系２は運用状態となり「運用」で動作を
行う。

【００７４】本動作中、Ｎ系１をリセット（ステップ１
４８）後、Ｎ系１をリセットしたことを他装置に報告す
る（ステップ１３４）、また、Ｅ系２を自己リセット
（ステップ１３６）後、「ＡＬＭ」を解除し（ステップ
１４２）自己リセットフラグをＯＮにして（ステップ１
４３）、「運用」にて動作後、自己リセットによって復
帰したことを通知する（ステップ１４９）。正常のリセ
ットが行われたか、自己リセットにて立ち上がったかを
遠隔地でもモニタできる。

【００７５】次に、両系１，２にウォッチドッグタイマ
９のタイムアウトが発生した例を図１７を参照して詳細
に説明する。図１７において、Ｎ系１が運用動作からＷ
ＤＴタイムアウトが発生し（ステップ１５０）、ＷＤＴ
「ＡＬＭ」状態となり、Ｅ系２がハードウェアにて運用
状態となり「運用」にて動作を行う。このとき、Ｅ系２
もＷＤＴタイムアウトが発生して（ステップ１６５）、
ＷＤＴ「ＡＬＭ」となる。先に、ＷＤＴタイムアウトが
発生したＮ系１は自己リセットを行い（ステップ１５
１）、リセット後初期値設定し（ステップ１５２）、自
系状態入力（ステップ１５３）の後分析を行う（ステッ
プ１５４）。

【００７６】ＷＤＴの「ＡＬＭ」なので、他系状態の入
力２０７を行い（ステップ１５５）、他系２あるいは１
は非運用（「ＡＬＭ」）状態なので（ステップ１５６が
ＮＯ）、自系１あるいは２が立上るためにＡＬＭ解除２
１０を行い（ステップ１５７）、「待機」系となり自己
リセットのフラグをＯＮにする（ステップ１５８）。そ
の後、ディスクドライブ１３からＲＡＭ１４ヘメインプ
ログラムの転送２１２を行い（ステップ１５９）、メイ
ンプログラムヘジャンプ（ステップ１６０）後メインプ
ログラムが動作し（ステップ１６１）、運用可設定２１
７を行う（ステップ１６２）。

【００７７】Ｅ系２は非運用状態なので、Ｎ系１は運用
状態となり「運用」にて動作する。運用動作後、自己リ
セットフラグはＯＮ状態なので（ステップ１６３がＹＥ
Ｓ）自己リセットの報告を他装置へ行う（ステップ１６
４）。Ｅ系２は、ＷＤＴタイムアウトが発生（ステップ
１６５）後、自己リセットを行い（ステップ１６６）、
その後Ｎ系１と同様の動作を行い運用可設定を行い（ス
テップ１７７）、Ｎ系１は「運用」状態なので、待機状
態のままで「待機」の動作を行う。

【００７８】次に、本発明の第２の実施例について図１
８〜２２を参照して説明する。図１に示す第１の実施例
においては、ＷＤＴ回路９のリセット出力ｂがＣＰＵ周
辺回路３のみに接続されていたが、図１８に示す本発明
の第２の実施例においては、ＣＰＵ周辺回路３とＣＰＵ
周辺以外の回路４とに同時に入力されていることであ
る。

【００７９】図１９において、本発明の第２の実施例で
は、ウォッチドッグタイマ（ＷＤＴ）回路９の出力は図
６に示す第１の実施例におけるリセット系統図のＷＤＴ
回路９の出力がＣＰＵ周辺回路３のみにリセット（ＲＥ
ＳＥＴ）入力しているのに加え、ＣＰＵ周辺以外の回路
４にもリセットをかけることである。ＣＰＵ周辺回路３
及びＣＰＵ周辺以外の回路４のリセットはＷＤＴ回路９
の自己リセットと、電源２０によるリセットと、他系２
あるいは１からのリセットとがあり、いずれも両回路
３，４にかかる。

【００８０】本発明の第２の実施例の動作フローを図２
０を参照して説明する。リセット解除（ステップ１８
０）、初期値設定（ステップ１８１）後、ディスクドラ
イブ１３からＲＡＭ１４ヘプログラム転送（ステップ１
８２）、メインプログラムヘジャンプ（ステップ１８
３）とのＲＯＭ１２でのアクセス後、ＲＡＭ１４に転送
されたメインプログラムが動作し（ステップ１８４，１
８５，１８６）、第１の実施例と同様に「運用」あるい
は「待機」となる。

【００８１】第２の実施例ではリセットを全系３，４に
かけるので、ＷＤＴタイムアウトが発生して、自己リセ
ットをかけても状態表示回路７が「ＡＬＭ」からクリア
されて、図１２に示された実施動作中の自系状態入力
（ステップ６５）、他系状態入力（ステップ６７）の動
作及び分析、ＡＬＭの解除（ステップ６９）が無いため
に、パワーオンリセットか自己リセットかが区別ができ
ないので自己リセットの報告はできない。

【００８２】次に、本発明の第二の実施例の詳細動作例
を示す。第１の実施例における図１４に示す動作に対応
する、第二の実施例の動作を図２１を参照して説明す
る。図２１において、Ｅ系２が「待機」系にて動作して
いるとき、ＷＤＴタイムアウトが発生する（ステップ１
８９）と、ＷＤＴ「ＡＬＭ」となり、自己リセット２３
７’により（ステップ１９０）「リセット」状態とな
る。その後、初期値設定２０３’を行い（ステップ１９
１）、図２０のＣＰＵ５の立上り動作と同様に立上り運
用可設定を行い（ステップ１９５）、Ｎ系１は「運用」
状態なので待機状態となり「待機」動作を行う。

【００８３】次に、第１の実施例における図１７に示す
動作に対応する第二の実施例の動作を図２２を参照して
説明する。図２２において、Ｎ系１にＷＤＴタイムアウ
トが発生し（ステップ１９６）ＷＤＴの「ＡＬＭ」状態
となる。Ｅ系２が運用状態となり「運用」にて動作を行
う。このとき、すぐにＥ系２にもＷＤＴタイムアウトが
発生し（ステップ２０４）、ＷＤＴの「ＡＬＭ」状態と
なる。先に、ウォッチドッグタイマ９のタイムアウトが
発生したＮ系１は自己リセットを行い（ステップ１９
７）、リセット後、初期値設定等を行い（ステップ１９
８，１９９，２００，２０１）、運用可設定し（ステッ
プ２０２）、Ｅ系２が「待機」なので、運用状態となり
「運用」にて動作する。

【００８４】Ｅ系２も「ＡＬＭ」後、自己リセットを行
い（ステップ２０４）、Ｎ系１同様の動作を行い（ステ
ップ２０５，２０６，２０７，２０８）、運用可設定を
行い（ステップ２０９）、Ｎ系１が「運用」状態なので
待機状態となり、「待機」動作を行う。

【００８５】

【発明の効果】以上説明したように本発明は、ＣＰＵ５
上にて動作中のプログラム（ソフトウェア）の暴走時、
確実に動作が復帰する効果がある。すなわち、ソフトウ
ェアが暴走したときは、ウォッチドッグタイマのタイム
アウトが発生して、ハードウェアにてＣＰＵ周辺に自已
リセットを行ってフラグレジスタのクリアを行い、ソフ
トウェアの動作を行う。

【００８６】また、冗長構成時、運用系のソフトウェア
が暴走したときに、確実に切換えを行い、かつ早く切替
わる効果がある。すなわち、アラームによる運用系の切
替えにハードウェアを使用しているからである。

【００８７】さらに、両系がほぼ同時にソフトウェア暴
走にてウォッチドッグタイマのタイムアウトが発生して
も、確実に動作が復旧する効果がある。すなわち、ソフ
トウェア暴走にてウォッチドッグタイマのタイムアウト
が発生したときは、お互いに自己リセットを掛けてから
動作を復帰を行うので誤動作しないからである。

【００８８】さらにまた、遠隔地にいても両系ソフトウ
ェアが暴走後自己リセットにて復旧したことをモニタで
きる効果がある。すなわち、状態を通知する機能が入っ
ており、両系がソフト暴走にてウォッチドッグタイマの
タイムアウトが発生したときに、先に運用となった系が
自己リセットによって復帰したことを通知するからであ
る。

【図面の簡単な説明】

【図１】本発明の実施例のブロック図である。

【図２】本発明の実施例の詳細ブロック図である。

【図３】状態表示回路の説明図である。

【図４】ウオッチドッグタイマ回路の説明図である。

【図５】ハード監視回路の説明図である。

【図６】リセット系統図である。

【図７】本発明の実施例のフローチャートである。

【図８】本発明の実施例の詳細フローチャート（その
１）である。

【図９】本発明の実施例の詳細フローチャート（その
２）である。

【図１０】本発明の実施例の詳細フローチャート（その
３）である。

【図１１】本発明の実施例の詳細フローチャート（その
４）である。

【図１２】本発明の実施例の詳細フローチャート（その
５）である。

【図１３】本発明の実施例の詳細フローチャート（その
６）である。

【図１４】本発明の実施例の詳細フローチャート（その
７）である。

【図１５】本発明の実施例の詳細フローチャート（その
８）である。

【図１６】本発明の実施例の詳細フローチャート（その
９）である。

【図１７】本発明の実施例の詳細フローチャート（その
１０）である。

【図１８】本発明の他の実施例のブロック図である。

【図１９】本発明の他の実施例の制御ブロック図であ
る。

【図２０】本発明の他の実施例のフローチャートであ
る。

【図２１】本発明の他の実施例の詳細フローチャート
（その１）である。

【図２２】本発明の他の実施例の詳細フローチャート
（その２）である。

【図２３】従来の情報処理システムのリセットフローチ
ャートである。

【符号の説明】

１，２情報処理回路（Ｎ系／Ｅ系）３ＣＰＵ周辺回路４ＣＰＵ周辺以外の回路５ＣＰＵ６他系リセット回路７状態表示回路８表示９ウォッチドッグタイマ回路１０外部Ｉ／Ｆ回路

Claims

【特許請求の範囲】

【請求項１】ＣＰＵ上のプログラムの暴走を監視する
ウォッチドッグタイマ回路を有する同一回路構成の二個
の情報処理回路を現用系／待機系として使用する冗長構
成の情報処理システムであって、現用系として動作して
いるときに前記ウォッチドッグタイマ回路の出力により
第一のアラームを発して前記現用系／待機系を切替える
現用／待機切替え手段と、同時にＣＰＵ周辺回路をハー
ドウエアにて自己リセットする自己リセット手段とを含
むことを特徴とする情報処理システム。
【請求項２】前記現用系／待機系の切替えをハードウ
エアにて行うことを特徴とする請求項１記載の情報処理
システム。
【請求項３】電源投入時に前記ＣＰＵ周辺回路及びＣ
ＰＵ周辺回路以外の回路を同時に電源リセットすること
を特徴とする請求項１あるいは２記載の情報処理システ
ム。
【請求項４】前記ＣＰＵはハード監視回路を有してお
り、このハード監視回路は、ハードウエアの障害を検知
すると第二のアラームを発して前記現用系／待機系の切
替えを行うことを特徴とする請求項１〜３いずれか記載
の情報処理システム。
【請求項５】前記第一及び第二のアラーム発生後のア
ラーム中、前記自己リセット、前記電源リセット及び他
系からの他系リセットのリセット中、前記現用中、前記
待機中を表示する表示手段を有することを特徴とする請
求項１〜４いずれか記載の情報処理システム。
【請求項６】前記第一及び第二のアラーム、前記自己
リセット、前記電源リセット、前記他系リセット、前記
現用中、前記待機中を外部に通知することを特徴とする
請求項１〜５いずれか記載の情報処理システム。
【請求項７】前記他系が前記現用中に前記第一のアラ
ームが発生したとき、前記他系リセットを受け付け、前
記他系が前記アラーム中に前記第一のアラームが発生し
たとき、前記アラーム中を解除することを特徴とする請
求項１〜６いずれか記載の情報処理システム。
【請求項８】ＣＰＵ上のプログラムの暴走を監視する
ウォッチドッグタイマ回路を有する同一回路構成の二個
の情報処理回路を現用系／待機系として使用する冗長構
成の情報処理システムのウォッチドッグタイマ運用方法
であって、現用系として動作しているときに前記ウォッ
チドッグタイマ回路の出力により第一のアラームを発し
て前記現用系／待機系の切替えをハードウエアにて行う
ステップと、同時にＣＰＵ周辺回路をハードウエアにて
自己リセットするステップと、電源投入時に前記ＣＰＵ
周辺回路及びＣＰＵ周辺回路以外の回路を同時に電源リ
セットするステップと、ハードウエアの障害を検知する
と第二のアラームを発して前記現用系／待機系の切替え
を行うステップと、前記第一及び第二のアラーム発生後
のアラーム中、前記自己リセット、前記電源リセット及
び他系からの他系リセットのリセット中、前記現用中、
前記待機中を表示するステップと、前記第一及び第二の
アラーム、前記自己リセット、前記電源リセット、前記
他系リセット、前記現用中、前記待機中を外部に通知す
るステップと、前記他系が前記現用中に前記第一のアラ
ームが発生したとき、前記他系リセットを受け付けるス
テップと、前記他系が前記アラーム中に前記第一のアラ
ームが発生したとき、前記アラーム中を解除するステッ
プと含むことを特徴とするウォッチドッグタイマ運用方
法。
【請求項９】ＣＰＵ上のプログラムの暴走を監視する
ウォッチドッグタイマ回路を有する同一回路構成の二個
の情報処理回路を現用系／待機系として使用する冗長構
成の情報処理システムのウォッチドッグタイマ運用方法
の制御プログラムを記録した記録媒体であって、現用系
として動作しているときに前記ウォッチドッグタイマ回
路の出力により第一のアラームを発して前記現用系／待
機系の切り替えをハードウエアにて行うステップと、同
時にＣＰＵ周辺回路をハードウエアにて自己リセットす
るステップと、電源投入時に前記ＣＰＵ周辺回路及びＣ
ＰＵ周辺回路以外の回路を同時に電源リセットするステ
ップと、ハードウエアの障害を検知すると第二のアラー
ムを発して前記現用系／待機系の切り替えを行うステッ
プと、前記第一及び第二のアラーム発生後のアラーム
中、前記自己リセット、前記電源リセット及び他系から
の他系リセットのリセット中、前記現用中、前記待機中
を表示するステップと、前記第一及び第二のアラーム、
前記自己リセット、前記電源リセット、前記他系リセッ
ト、前記現用中、前記待機中を外部に通知するステップ
と、前記他系が前記現用中に前記第一のアラームが発生
したとき、前記他系リセットを受け付けるステップと、
前記他系が前記アラーム中に前記第一のアラームが発生
したとき、前記アラーム中を解除するステップと含むプ
ログラムを記録した記録媒体。