JPS61502223A - 再構成可能なデュアル・プロセッサ・システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】

再構成可能なデュアル・プロセッサ・システム本発明は第１および第２のプロセ ッサと、第１のプロセッサ中に含まれる第１のメモリと、第２のプロセッサ中に 含まれる第２のメモリと、第１および第２のメモリを相互接続する更新バスより 成る処理システムに関する。 発明の背景 従来の処理システムは一般に単一の中央プロセッサの周囲に構成されて来た。中 央プロセッサは処理システムの主計算ユニットであった。中央プロセッサはまた 一般にシステムの主管理ユニットであり、種々のシステム・ユニットの動作を調 整してシステム・タスクを実行させる役割を有していた。中央プロセッサと同様 、他のシステム・ユニットもほとんどの場合システムにおいて二重化されていな かった。 このようなシステムは、構成ユニットが障害を起した結果として部分的あるいは 全面的な動作障害を引き起しやすいという意味で信頼性が高くなかった。詳細に 述べると、中央プロセッサの主要な障害によ、り一般に処理システム全体がダウ ンし、システムは障害が修理されるまで割当てられたタスクを実行出来なくなる 。 システムの処理能力に対する日毎に強まる要求はしばしば単一の中央プロセッサ の計算能力を越えてしまう。 この問題に対する解決策の１つとしてこのようなシステムの中央プロセッサに１ つまたはそれ以上の補助プロセッサを取り付けることがある。補助プロセッサの 機能は計算負荷の１部を中央プロセッサから取り上げ、それによって全体として のシステムの処理能力をあげることにある。、しかし、一般に取り付けられたプ ロセッサは中央プロセッサの制御の下にある単なる特殊目的の計算ユニットとし て動作する。この取付けられたプロセッサは一般に他のシステム資源を中央プロ セッサと共有し、しばしば中央プロセッサを介してのみこれら資源と通信する・ よう作られている。即ち中央プロセッサは処理システムに対し管理制御権限を保 持していることになる。 システムの処理能力は付加的プロセッサを取り付けることにより大幅罠増加する 。しかし、殆んどのシステム・ユニットは二重化されておらず、中央プロセッサ はその処理システムにおいてキーとなる位置を占めているので、システムの信頼 性は改善されたい。詳細に述べると、中央プロセッサにおける障害に対するシス テムの感受性は単一のプロセッサ構成と実質的に変らないことになる。 他方、通信交換システムの如き処理システムのおる種の応用用途にろってはシス テム・ユニットの障害によるサービス断の状態は許容出来ないことがある。この ような応用用途′ｌｃ、ｆ）つては高い信頼性を有する処理システムを使用する ことが要求される。このようなシステムにおける信頼性はシステム・ユニット、 特に中央プロセッサを二重化することにより達成される。一般にこのようなシス テムにおける二重化された中央プロセッサは各プロセッサが他のプロセッサと並 列にすべてのシステム・タスクを実行するロック・ステップ構成で動作するか、 るるいは一方のプロセッサがすべてのシステム・タスクを実行し、第２のプロセ ッサはバックアップとして動作し、１方のプロセッサが障害を起したとき取って 替る準備が出来ている待機状態にある活性−待機構成で動作するか、プロセッサ が実行するトランスアクションに関する情報を他方のプロセッサに送信し、それ ばよって１方のプロ・セッサに障害が起ると他方のプロセッサが障害を起したプ ロセッサの現在の状態を計算してそのトランスアクションをその点から引き受け るチェックポイント構成で動作するようになっている。 このようなシステムにあっては、二重化されたプロセッサのいずれもすべてのシ ステム・タスクを単独で取扱うよう作られている。このようにしていずれか一方 のプロセッサの障害は処理システム全体としての障害とはならない。他方のプロ セッサは障害を起したプロセッサがタスクを実行する。このようなシステムにろ っては、両方のプロセッサが同時に障害を起すとシステムは無能力状態となる。 このようにしてシステムの信頼性は単一のプロセッサ構成の場合に比べて大幅に 改善される。しかし、このような信頼性の高いシステムが中央プロセッサを含む システム・ユニットの二重化という出費を払ったとしても、このシステムは任意 の時刻においてプロセッサの内の唯一方のみの処理能力しか使用できない。従っ てその処理能力は唯一つのプロセッサを有する相応するシステムの処理能力より 良くはならない。 当業者にあってはマルチ・プロセッサ・システムも周知である。このシステムは しばしば互いに独立に製作する複数個の処理ユニットを含んでいる。処理ユニッ トは一般に通信バスに接続されており、このバスを共通使用することによって処 理ユニットは互いに通信し、かつメモリの如き共有資源と通信する。問題点は処 理ユニ、ットがナベてメモリの如き資源を共有し、従ってその共有資源が適正に 機能しているということに依存しているため、このようなシステムの信頼性が高 いない点［６る。そして、複数個の処理ユニットが資源を共有しているため、処 理ユニットの１つが障害を起し、それが共有の資源に極めて悪い影響を及ぼし、 それによってその資源に依存する他の処理ユニットの動作にも極めて悪い影響を 与える機会が増大する。 前述の問題点は本発明に従い、更新バスが選択的に各メモリを更新し、内容の変 更は他方のメモリ中で行ない、第１および第２のメモリは同じ内容を有するよう にし、プロセッサはある条件に応動して第１および第２の動作モードの一方から 他方にシステム動作を自動的に変更させ、第１のモードにろっては両方のプロセ ッサが活性状態にあり、各プロセッサは第１および第２のグループのタスクの内 の異なるものから選択された他方のタスクとは独立に実行し、第２の動作モード にありては、プロセッサの内の選択された一方は不活性状態にあり、プロセッサ の他方は活性状態にあって第１および第２のタスクの両方から選択されたタスク を実行する処理システムにより解決された。 発明の要旨 本発明の目的は従来技術の前述およびその他の欠点を解決することにある。本発 明圧従い、デュアル・プロセッサ・システムは両方のプロセッサが活性状態にあ り、各々が互いに独立にシステム・タスクを実行している第１のモードと、１方 のプロセッサが不活性状態にあり、他方のプロセッサが不活性状態にあってシス テム・タスクを実行している第２のモードで選択的に動作する。 システムは２つのプロセッサを含んでいる。各プロセッサはそれ自身のメモリを 有しており、これら２つのメモリは同じ内容を有している。これら２つのメモリ は、各メモリを更新し、内容の変更は他方のメモリ中で行い、それによって２つ のメモリが互いの内容の複製を作る装置によって相互接続されている。特に該シ ステムはある条件に応動してシステムの動作を一方のモードから他方のモードに 自動的に変更する装置を含んでいる。これらの条件は例えば手動およびプログラ ムてよるコマンド、ならびに第１および第２の型のシステム障害状態である。 第１のモードにあっては、両方のプロセッサは活性状態にあり、各プロセッサは 他方とは独立に第１および第２のグループのタスクの異なる一方から選択された タスクを実行する。第２のモードにあってはプロセッサの内の選択された一方は 不活性状態でちり、他方のプロセッサは活性状態であって第１お工び第２のグル ープのタスクから選択されたタスクを実行する。 更に、該システムは２組の周辺装置を含んでおり、周辺装置の各組はプロセッサ のいずれか一方に選択的に接続するコントローラを有している。。 第２のモードにあっては、不活性状態にあるプロセッサは待機用プロセッサであ って、タスクの実行を行う準備が整っている。システムの動作を変更する装置は 選択されたプロセッサを選択的に始動および停止させる装置と、一方のプロセッ サが停止したとき実行すべき両方のグループのタスクを残りの活性状態にあるプ ロセッサにき各グループのタスクを異なるプロセッサに割当てる装置とを含んで いる。この割当てはディスパッチ・キューを介して実行される。 本発明のシステムは処理能力の面で強力であり、極めて信頼性゛も高い。本発明 のシステムは補助プロセッサが取り付けられた中央プロセッサを有するシステム の計算能力を有している。それでいてプロセッサが障害を起した場合には二重化 されたプロセッサ・システムと同じ信頼性を有している。そしてプロセッサは各 々にそれ自身のメモリを有しているので、本システムはプロセッサがメモリを共 有するシステムで生じる信頼性の問題は回避される。本発明のシステムは両方の プロセッサが活性状態にあり、システム・タスクを独立に実行するモードあるい は一方のプロセッサが活性状態にあり、他方のプロセッサが待機状態にあるモー ドのいずれかで選択的に動作することが可能である。更に、各プロセッサはシス テムのすべての資源（すべての周辺ユニットを含む〕にアクセスを有し、従って いずれかのプロセッサもすべての゛システム・タスクを同等に・実行することが 出来る。本システムは１方の動作モードから他方の動作モードに自由に移ること が出来る。本システムは手動コマンドまたは障害の生起の如きシステム条件に応 動して適当なモードに自動的に自分自身を再構成する。そして重大なハードウェ ア障害の如き致命的な障害に続いて実行されるシステムの再構成の場合を除き、 はとんどのシステム再構成はシステム上で実行されている応用プログラムに対し てはトランスペアレントである。応用プログラムはシステムが動作しているモー ドおよびシステムの構成の変化は気に留めない。 本発明のこれらおよび他の特徴は付図を参照した本発明の実施例に関する以下の 記述から明白となろう。 図面の簡単な説明 第１図は本発明を具現する処理システムのブロック図、第２図は第１図のシステ ムの動作モードおよび状態を示す状態図ならびにその間の遷移を示す図、第３お よび４図は夫々第２図の収束モードおよび発散モード時の第１図のシステム１０ ０のメモリのオペレーティング・システム部のメモリ・レイアウトのブロック図 、 第５図は第１図のプロセッサのシステム・ステータス・インディケータのブロッ ク図、 第６および７図は第１図のシステムの保守リセット機能（、Ｍ　ＲＦ　）の論理 機能図、 第８図は第１図の活性状態にあるプロセッサによって実行される回復動作の論理 流れ図、 第９図は第６図の停止および切換え過程の論理流れ図、第１０図は第２図の復旧 過程の論理機能図、第１１図は第２図の除去過程の論理機能図、第１２図は第２ 図の発散過程の論理機能図、第１３図は第２図のソフト的収束の論理機能図、第 １４図は第２図のソフト的切喚え過程の論理機能図、第１５図は第２図のハード 的収束過程の論理機能図、第１６図は第２図のハード的切換えおよびＦＯＮ、Ｌ 　／ＦＯＦＬ過程の論理機能図である。。 詳細な説明 本発明は実施例がデュアル・プロセッサ・システム１００の場合について第１図 のブロック図として示されている。このシステムにおいて本発明がどのように機 能するか圧ついて簡単に説明する。 デュアル・プロセッサ・システム１０口は１対のプロセッサ１０１および１０２ ↓り成る。プロセッサ１０１および１０２は実質的に同一でらる。従来の動作モ ードにあっては、プロセッサ１０１および１０２の内の１方が活性状態にあり、 応用タスク（プログラムまたはプロセスとも呼ばれる）を実行するためにオペレ ーティング・システムの制御の下で動作する。プロセッサ１０１および１０２の 内の他方は従来はアイドル状態にるり、障害によってプロセッサ１０１および１ ０２の内の活性状態にあるものがサービス不能の状態になったとき直ちに活性状 態となるよう待機している。 プロセッサ１０１のメイン・タスクの実行、制御およびデータ処理操作は中央処 理ユニット（ＣＰＵ）１１２によって実行される。ＣＰＵ１１２はマイクロプロ グラミングされたマシンであり、殆んどのプロセッサ機能はＣＰＵ１１２の内部 のマイクロプログラム記憶装置（図示せず）Ｋ記憶されたマイクロ・インストラ クションの実行によって実現される。マイクロ・インストラクション系列の実行 匠よゆプログラム・インストラクションによって指示される動作が実現される。 ＣＰＵ１１２は一般に主記憶装置（ＭＡＳ）１１４と呼ばれるプロセッサ１０１ のメイン・オン・ライン・メモリ装置からデータおよびプログラム・インストラ クションを取り出す。応用プログラムおよびオペレーティング・システム・ソフ トウェアも主記憶装置１１４中に記憶されていても良い。 動作速度を改善するため、ＣＰＵ１１２にはオプションとして書き込みが出来な いキャブシュ１１３（これはＣＰＵと主記憶装置１１４の間の情報転送用の高速 度バッファとして機能する）が実装されていて良い。 主記憶装置１１４とＣＰＵ１１２およびキャッシュ１１３の如きデバイスの間の 通信は主記憶バスＣＭＳＲ）１１６を介して行なわれ、主記憶装置１１４に対す るアクセスを仲裁する主記憶更新ユニット（ＭＡＳＵ）１１５によって制御され ている。１対の直接メモリ・アクセス・コントローラ（ＤＭＡＣ）ｉｌｏおよび １１１がまた主記憶バス１１６に接続されており、主記憶装置１１４とプロセッ サ１０１０周辺装置の間の直接的な情報転送手段として機能している。 プロセッサ１０１および１０２は互いに他の複製物でおるので、プロセッサ１０ ２は同様にしてＭＳ８１２６によって相互接続された１対のＤＭＡＣｌ２Ｏおよ び１２１、ＣＰＵ１２２、キャッシュ１２３、ＭＡＳ１２４およびＭＡＳＵ１２ ５より成っている。 プロセッサ１０１および１０２０周辺装置は複数個の周辺装置ユニット（ＰＥＵ ）１３１〜１３．２および１４１〜１４２より成る。これらのユニットはディス ク・メモリおよびテープ・メモリ・システムの如き２次記憶装置、ＣＲＴディス プレイ、キーボード端末およびテレプリンタの如き入出力通信装置、ならびにデ ュアル・プロセッサ・システム１００が使用される応用用途に応じて要求される 他の装置のホストを含んでいて良い。周辺装置ユニット１３１〜１３２の第１の グループはデュアル・ポート・コントローラ（ＤＰＣ）１３０に接続されている 。 デュアル・ポート・コントローラ１３０の１つの通信ポートは通信チャネル１３ ３に接続されており、コントローラ１３Ｇの他方のポートはチャネル１３４に接 続されている。コントローラ１３０はチャネル１３３〜１３４を介して受信され た指令に従って周辺装置ユニット１３１〜１３２をチャネル１３３または１３４ のいずれかに選択的に接続する。チャネル１３３はＤＭＡコントローラ１１１に 接続されており、チャネル１３４はＤＭＡコントローラ１２１に接続されており 、従って両方のプロセッサ１０１および１０２が周辺装置ユニット１３１〜１３ ２にアクセスすることを許容する。 信頼性をあげるため、デュアル・ポート・コントロー成っている。コントローラ 対１３０ａ、ｔ３０ｂの一方の選択・活性化はチャネル１３３〜１３４の１つを 介して送信されるコマンドを介して実行される。 同様にして、周辺装置ユニット１４１〜１４２の第２のグループはデュアル・ポ ート・コントローラ１４０によって１対のチャネル１４３および１４４の一方と 選択的に接続される。チャネル１４３はＤＭＡＣ１１０に接続されており、チャ ネル１４４はＤＭＡＣｌ２Ｏに接続されており、それＫよって両方のプロセッサ １０１および１０２が周辺装置ユニット１４１〜１４２にアクセス出来ることに なる。コントローラ１４０はまた二重化されており、コントローラｔ４０ａ、１ ４０ｂ対の一方の選択はチャネル１４３および１４４を介して行なわれる。 プロセッサ１０１および１０２のいずれもがシステム・タスクを同等に実行する ことを許容し、いずれか一方が障害を起したときに他方の代りとして用いるため に主記憶装置１１４お工び１２４は同一状態に保持されていなければならない。 このため、プロセッサ１０１および１０２の主記憶更新ユニット１１５および１ ２５は更新バス１０３と呼ばれる通信バスによって相互接続されている。 主記憶装置１１４に対するアクセスを仲裁するのに加えて、主記憶更新ユニット １１５は主記憶装置１１４に対してなされるアクセスの型をモニタする。要求さ れたアクセスが例えば書き込み操作またはクリア操作の如く主記憶装置１１４の 内容を変化させる型のアクセスであると、主記憶ｙ新ユニット１１５は、バス１ ２６に接続されている他のユニットがするのど同じように、主記憶更新ユニット １２５が主記憶バス１２６にアクセスしたいという要求を発する。主記憶更新ユ ニット１２５はこの要求をバス１２Ｇに対する他のアクセス要求と同様に処理す るが、この要求には最も高い優先度を与える。バス１２６が利用可能な状態にな ると主記憶更新ユニット１２５は主記憶更新ユニット１１５のアクセスの許可信 号を発生し、更新バス１０３の一端を主記憶バス１２６に接続する。前記許可信 号に応動して、主記憶更新ユニット１１５は更新バス１０３の他端を主記憶バス １１６に接続し、最初に要求された主記憶装置１１４に対するアクセスを許容す る。このときバス１１６および１２６は接続されているので、主記憶アクセスは 両方のバス１１Ｇおよび１２６を介して両方の主記憶ユニット１１４および１２ ４に対して行なわれ、ユニット１１４および１２４の内容は同じ仕方で変更され る。アクセスの完了後、両方の主記憶更新ユニット１１５および１２５は更新バ ス１０３を夫々の主記憶バス１１６および１２６から切離す。夫々他のプロセッ サのＭＡＳ１２４または１１４を更新するＭＡＳ［Ｊ１１５および１２５のこの 機能はＭＡＳＯ１１５および１２５に対するコマンドによって禁止することが出 来る。 プロセッサ１０２で生起する主記憶書き込みまたはクリア・アクセス（これらの アクセスは主記憶１１４と１２４の両方に対して行なわれる必要がある）に関し ては、主記憶更新ユニット１１５および１２５の前述の役割を単に入れ替えれば 良い。 更に１直接通信チャネルがＣＰＵ１１２とｃｐσ１２２の間に設けられている。 保守チャネル（ＭＴＣＨ）１０４ａと呼ばれるチャネルはオン・ライン活性状態 にあるプロセッサが不活性のプロセッサを診断するだめの制御・通信バスを提供 する。保守チャネル１０４ａはまた障害回復プログラム用の低レベル保守制御を 提供し、プロセッサの切替え動作に悪影響を与えることなく実行することが出来 るよう罠なっている。更に、他の保守制御として、保守チャネル１０４ａを介し てプロセッサ１０１および１０２の１方が他方のプロセッサ上の初期化系列を開 始させたり、プログラムの実行を停止させることが出来る。保守チャネル１０４ ａはまた外部源からマイクロ・インストラクションを受信し、それを実行するこ とが出来る。保守チャネル１０４ａはまたプロセッサ・バスを制御し、プロセッ サ制御信号を発生することが出来る。このようＫして、保守チャネル１０４ａは プロセッサに対してほぼ完全な制御を実行することが出来、プロセッサを診断す るのに十分なアクセスを提供することが出来る。 信頼性をあげるため、保守チャネル１０４ａはバックアップ保守チャネル１０４ ｂによってバックアップされている。バックアップ保守チャネル１０４ｂは単に プロセッサが他のプロセッサの１正常であることを示す′タイマ（図示せず）を リセットすることを許容する。′正常であることを示す′タイマはプロセッサの 電源が投入されたときにプロセッサ上で動作するハードウェア的に実現されたタ イマである。′正常であることを示す′タイマはある値で時間切れとなり、その 時点でプロセッサの再初期化が生じるよってする。このようにして１正常である ことを示す１タイマは再初期化が起ることを防止するため周期的にリセットされ ねばならない。 他のプロセッサによりプログラムされたインタラブド要求（ＯＰＰＩＲ）信号線 １０５ａおよび１０５ｂがＣＰＵＩ　１２とｃｐσ１２２の間に延びている。そ の名が示すように、これらの信号線はＣＰＵ１１２お工び１２２がプログラムさ れた、即ちソフトウェアによって開始されたインタラブド要求を互いに発生する ことを許容する。 プロセッサ・システム１００の前述のハードウェア構成の助けにより、デュアル ・プロセッサ・システム１００°のオペレーティング・システムは第２図に示す ような複数個の構成の内の１つの構成で選択的に動作し、かつそのオペレータに よってシステム１００に与えられたコマンドまたは障害の生起の如き内部的に検 出された状態に応動じて再構成することを許容する。 デュアル・プロセッサ・システム１００の従来の通常の動作モードは収束モード であり、第２図のシステム１００の構成状態図では番号１０で示されている。収 束モード１０Ｖｃ６つては、プロセッサ１０１および１０２の一方のみが活性状 態であって、すべてのシステム・タスクを実行しており、他のプロセッサは不活 性である。 通常のシステム動作期間中、不活性なプロセッサは待機状態にあり、要求により 活性プロセッサとなる準備が出来ている。一般に活性プロセッサに障害が起ると 、；障害を起したプロセッサは不活性プロセッサとなり、サービスからはずされ 、最早活性プロセッサとしては使えないものと見做される。このような障害の後 に、先に不活性でめったプロセッサが活性となり、システム・タスクを実行する のに加えて障害を起したプロセッサを診断し、該プロセッサを活性状態または待 機状態に戻そうと努力する。 第３図のメモリ・レイアウト・マツプに示すように１収束動作モード１０１Ｃ６ つては、３００と番号の付されたオペレーティング・システムのただ１つのバー ジョンのみがシステム１００中に存在する。（但しそのコピーは主記憶１１４お よび１２４中に記憶されている。）、オペレーティング・システムのこのバージ ョン３００は２つのプロセッサ１０１および１０２の内たまたま活性であるもの の上で実行される。 第２図に戻ると、収束動作モー　ドにあってはシステム１００は４つの動作状態 ３〜６の内のいずれかの状態にある。これら状態の各々は次のようなラベルで表 わされている。即ち最初の記号はプロセッサ０（第１図の１０１）の状態を表わ し、ついでスラッシュが入り、その次にプロセッサＪ（第１図の１０２）の状態 が来ている。第２図に示すように、状態３に８つ１ノはプロセッサ０１０１は活 性状態（ａ）であり、プロセッサ１１ｏ２は待機状態（ＳＴＢＹ）である。状態 ４にろっではプロセッサ１０１と１０２の動作状態は逆転し７ている。状態５に あってはプロセッサ０１０１は活性状態であり、プロセッサ１１０２は非サービ ス状態（ＯＯＳ）であり、状態６にあっては２つのプロセッサ１ｏ１と１０２０ 動作状態は逆転している。 本発明を具現するシステム１００は第２図に番号１１で示す発散動作モードを付 加的に有している。このモードでは両方のプロセッサー０１および１０２が活性 状態にあって、異なるシステム・タスクを実行している。異なるタスクとしては 同じプログラムのコピーの実行を含んでいて良い。発散動作モードにおいてはシ ステム１００は２つの動作状態の内のいずれかの状態にある。状態１にあっては プロセッサ０１０１は主プロセツサ（ａ　）と名付けられ、プロセッサー０２は ２次プロセッサ（＆、）と名付けられる。状態２にあってはプロセッサ１０１お よび１０２の主および２次の命名は逆転される。 収束モード１０の如き活性−不活性システム構成にあっては、活性プロセッサは 常に主プロセツサであると見做される。従って、第２図が示唆するように、状態 １．３および５にあっては、プロセッサ０ｊＯ１は主プロセツサであり、プロセ ッサー１ｏ２は２次プロセッサであり、状態２．４および６ではプロセッサー０ １および１０２の主および２次の命名は逆転している。 プロセッサの主および２次の命名は例えば各プロセッサー０１および１０２中に おいて第５図に示すフラグ２１０を適当にセットすることにより行なわれる。フ ラグ２１０は各プロセッサー０１および１０２と関連する複数個のシステム・ス テータス・インディケータ２００の１つである。フラグ２ｔＯはシステムの構成 を示すレジスタのフラグ・ビットであって良い。あるいはフラグ２１０はメモリ の１つのワードであってもよい。フラグ２１０は次のように実現される。即ち主 記憶装置の１つのワー、ドはプロセッサ０またはプロセッサｌを主プロセツサと 同定する。このワードはプロセッサが主であるか２次であるかを決定するために プロセッサがプロセッサ０であるかプロセッサ１であるかを同定するそれ自身の 構成を示すシステム・ステータス・レジスタ（ＳＳＲ）中のフラグ・ビットと共 にプロセッサ中で使用される。 第４図のメモリ・レイアウト・マツプに示すように、発散動作モード１１におっ ては番号３００および３０１で示す２つのオペレーティング・システムのバージ ョンがシステム１００中に存在する。オペレーティング・システムの主バージョ ン３００はプロセッサ１０１および１０２の内の主プロセツサ上で実行され、２ 次バージョン３０１は２次バージョン上で実行される。主記憶ユニット１１４お よび１２４は更新された状態にあるので（即ちその内容は同一であるように保持 されているので入オペレーティング・システムの２つのバージョン３００および ３０１のコピーが各々の主記憶ユニット１１４および１２４中に記憶されている 。 発散モード１１にあっては、２つのプロセッサ１０１および１０２は個々のプロ セッサとして互いに独立して動作しており、従って各プロセッサ１０１および１ ０２はオペレーティング・システムのバージョン３００および３０１の内の異な るものを実行していることになる。 しかしバージョン３００および３０１は同じオペレーティング・システムのバー ジョンであることに注意されたい。更に、たとえプロセッサ１０１および１０２ が各々それ自身のディスパッチ、・キュー（至急用待行列）から得た独立したタ スクを実行しているときでさえも、２つのディスパッチ・キューは共通ワーク・ リストから供給される。従って、両方のバージョン３００および３０１に共通な オペレーティング・システムの部分、例えばオペレーティング・システム・テキ スト、メツセージ・バッファおよびディスパッチ制御表は２つのバージョン３０ ０および３０１によって共有されている。オペレーティング・システムの各バー ジョン３００および３０１は、それが実行されるプロセッサ１０１または１０２ が主プロセツサでおるか２次プロセッサであるかに依存し、かつ実行している特 定のタスクに依存するオペレーティング・システムの部分のみを別個に保守する 。これらの要因に依存するタスクの例としては例えばインタラブド・スタックお よびディスパッチ・キュー、データならびにセグメント・テーブルがある。 障害の生起の如き動作状態に応動して、あるいはシステム・ユーザからのコマン ドに応動して、システム１００は種々の動作状態の間の遷移を行ないうる。第２ 図の矢印で図式的に示すようなこれら遷移がどのようＫして行なわれるのかを述 べるのが残りの議論の主要な部分を占めている。 システム１００の動作状態の変化は一般に２つのカテゴリーに分れる。即ちハー ド的変化とソフト的変化である。ハード的変化は応用プログラムに対してトラン スペアレントではらり得ないようなある程度のシステム１００の初期化を伴う変 化である。システムの初期化とは障害に出会った後に正規の処理能力を回復する ために実行しなければならない動作系列のことを言う。ハード的な変化は一般に 活性状態にあるプロセッサが動作を継続出来ないような障害を起し、非サービス 状態としなければならないときに生じる。これらは致命的障害と呼ばれる。 ハード的変化はまた非致命的障害（即ちハード的変化を起させる必要は必ずしも ない障害〕からの回復の試みのニスカレーション（即ちソフト的な変化によって 回復させようとした試みが失敗した場合）の結果としても生じ得る。ハード的変 化を引き起す障害は第１の型の障害と呼ばれる。ハード的変化はまた手動の、即 ちオペレータによる要求またはプログラムの要求に応動して生じ得る。 第２図を参照すると、ハード的変化は状態３がら状態６−の遷移、または状態４ から状態６への遷移であることが分るが、これは１ハード的切替え′と呼ばれる 。ハード的切替えのプロセスについては第１６図と関連して議論する。１強制オ ンライン／強制オフライン１と呼ばれる状態５と６の間の変化も同様にハード的 変化であり、これについても第１６図と関連して議論する。ハード的変化はまた 状態１から状態５への遷移も含んでおり、これは１主プロセツサへのハード的収 束′と呼ばれる。更にハード的変化として状態１から状態６または状態２から状 態、５への遷移もあり、これは１２次プロセッサへのハード的収束′と呼ばれる 。ハード的収束のプロセスについては第１５図と関連して議論する。 ソフト的変化とはシステムの再初期化を伴わないか、またはシステム１００上で 実行されている殆んどの応用プログラムに対してトランスペアレントであるよう な性質の初期化を伴う変化である。ソフト的変化を引き起す障害は第２の型の障 害と呼ばれる。ソフト的変化はまた手動の要求またはプログラムの要求知応動ｌ −でも生じ得る。ソフト的状態変化としては状態１から状態３への変化、状態２ から状態４への変化（これらは１主プロセツサへのソフト的収束′と呼ばれる） 。ならびに状態１がら状態４への変化、状態２から状態３への変化（これらは１ ２次プロセッサへのソフト的収束′と呼ばれる）を含んでいる。ソフト的収束の プロセスについては第１３図と関連して議論する。ソフト的状態変化はまた状態 ３から状態１への変化、また状態４から状態２の変化（これらは１発散１と呼ば れる）を含んでいる。発散のプロセスについては第１２図と関連して議論する。 状態５がら状態３への変化、また状態６から状態４への変化もまたソフト的変化 であり、′プロセッサ復旧ｔと呼ばれる。 プロセッサ復旧のプロセスについては第１．０図と関連して議論する。状態３か ら状態５へのソフト的変化、また状態４から状態６へのソフト的変化は１プロセ ツサ除去１と呼ばれる。プロセッサ除去はまた活性状態にあるプロセッサにハー ド的変化を生じさせる非活性状態にあるプロセッサのハード的障害に応動しても 生じ得る。このようなハード的障害は非活性状態にあるプロセッサのハード的変 化は引き起さない。何做ならば障害によって影響を受けるソフトウェアは待機中 のプロセッサ上では実行状態にないからでおる。プロセッサ除去のプロセスにつ いては第１１図と関連して議論する。 障害の検出に応動した自動再構成に関しては、システム１００は障害の検出およ び回復用のハードウェアならびにソフトウェアに依存する。本発明がシステム１ ００内においてどのように機能するかを説明するためにそのメカニズムについて 簡単に述べる。 システム１００内に含まれる障害検出回路およびプログラムは大規模なものであ る。障害検出ハードウェアおよびソフトウェア技法は局部整合回路、すべてのバ ス上のパリティ技法、主記憶上のハミング誤り訂正、２次および３次記憶装置上 のサイクリック・リダンダンシ・コード、および制御ユニットならびに周辺装置 全体にわたる種々のハードウェアおよびソフトウェアが１正常であることを示す ′タイマなどん広範囲に使用している。更に障害検出メカニズムそれ自身の障害 を検出するのにルーチン診断が使用されている。′正常であること′のルーチン ・チェックは周辺のサブシステムが健全であることを保証するのに使用される。 最後に、システムの完全性チェックは固有の検出器では捕捉し得ないような問題 を捕捉する。 いずれかの障害検出器が誤り状態を検出すると、インタラブドが影響を受けるプ ロセッサ１０１または１０２中に登録される。障害の内張も重大なものによって 引き起されたインタラブドは自動的ハードウェア・シーケンスならびにハード的 変更を生じさせ、それによって作業は影響を受けなかったプロセッサに切替えら れる。より重大でない障害はシステムの回復を行なうマイクロコードならびにソ フトウェア九対するインタラブドを生じさせる。 障害回復プログラムはハ・−・ドおよびソフトによる障害の検出ならびに回復全 制御する。ハードウェア障害回復プログラムはハードウェア・インタラブドを受 信し、そｎに続く回復シーケンスを制御する。特定の誤シが予め定められた度数 の閾値を越したことが検出されると、システムの構成は健全な状態に変更さｎる 。 ソフトウェア障害回復プログラムはアーキテクチュア的にハ・−ドウエア障害回 復と極めて類似している。ソフトウェアの各々の主ユニットは防御的検査の如き 障害検出機構、誤シ閾値、ならびに失敗によるリターン、デ・−タ訂正検査およ び再初期化技法の如き誤り回復機構と関連している。更に１．プログラムの実行 はモニタさｎていて、プログラムか無限の実行ループに入つ友シ、メツセージ・ バッファの如きシステム資源全過度に消費した択指定さｊた限界上越えたメモリ にアクセスしたり、プログラムに許可されていないインストラクション全実行し ｆｃすすることがないようにかつでいる。各プログラムまたσプログラムの組は 再初期化および回復制御機能を鳴しておシ、そ扛によって回復全行うことが出来 る↓うになっている。こｊ２は通常各プログラムに障害エントリ・ポイントと呼 ばれる別個のエントリ・ポイントを提供することにより実行される。 回復動作によりシステム１００からハードウェアまたはソフトウェア・ユニット が除去される場合には、診断および検査プログラムが自動的に急派さｎ５除去を 引き起したハードおよびソフトの問題点の解析が行わｎる。 ブートストラップおよび他の初期化プログラムはプロセッサの初期化を制御し、 それによって正規の処理能力の回復を図るためにマイクロコードおよびソフトウ ェアにより実現される動作の基本的集会全提供する。システムの初期化は、障害 の如き状態に出合つ定径に正規の処理状態を回復するために使用されるマイクロ コード化さｎた動作シーケンスの実行を含んでいる。システムの初。 期化はハードウェアまたはソフトウェア回復機構、あるいは手動要求によって自 動的に開始さ扛る。 システムの初期化または再初期化は次のような場合に要求さｊ、る。即ちシステ ムが最初にサービス状態とされるとき（即ち電源が投入さｎたとき）；ハード約 １たはソフト的なプロセッサ切替えを要求するハードウェア障害が起ったとき； カウンタによって指示される過度の／Ｘ・−ドウエアおよびソフトウェア・イン タラブドが生じたとき；プログラム要求に応動したとき；手動要求に応動したと きなどである。 初期化シーケンスは七の原因の如何暉関係なくプロセッサ内の“保守リセット信 号“と呼ばれるＩ＼−ドウエア信号によって開始される。この保守リセット信号 はそれが発せらｎたプロセッサにインタラブドを生じさせる。 保守リセット信号の結果生じたインタラブドはシス夙ム１００における最も優先 度の高いマイクロコード・インタラブドｋｆｉわす。保守リセット信号の受信時 に実行される初期化シーケンスにより当該プロセッサの初期化が行われる。この 初期化シーケンスは保守リセット機能（ＭＲＦ）と呼ばれる。ＭＲＦは第６およ び７図と関連して以下で更に詳細に議論する。 システム１００は回復を行うために漸進的初期化戦略に従う。実行さｎる初期化 動作は処理能力の不必要な損失を防止する之め障害の度付に整合している。特定 レベルの初期化で回復が出来ないと、既に最高レベルにある場合を除き回復が得 ら九る筐で初期化のレベルがニスカレートされる。 システム中の活性状態に６るプロセッサが実行し得る漸進的なソフトウェア的初 期化には４つの位相がある。 ソフトウェア回復の位相１（φ１）にあっては、プロセッサのハードウェアは周 知の状態にリセットされ、プログラムは再初期化され、プロセッサのオペレーテ ィング・システムの核に周知のエントリ・ポイントから入る。 これは迅速な回復であり、ブートストラップはない（即ち２次メモリから主記憶 への再ローディングは無い。）。 ソフトウェア回復の位相２（φ２）にあっては、プロセッサはブートストラップ を行う。即ちオペレーティング・システムおよび応用プログラムの新しいコピー がディスクの如きバックアップ用の２次メモリから主記憶中にロードさｆる。し かし、装置の構成データ・ベース（ＥＣＤ）およびプログラムの保護された応用 セグメント（ＰＡＳ　）からのデータのローカル・コピーは保存されている。そ の名前が示すように、ＥＣＤは、システム１００にはどのような装置およびオプ ションが実装さ扛ているのか、こｎらの装置がどのような構成になっているのか およびこれら装置の間でどのような通侶および信号手続きが行わｎるかの如きシ ステム１０Ｇの構成を規定するデータ・ベースである。ＥＣＤ情報は再ロードさ れないので、再初期化は、ＥＣＤの２次記憶コピー中の情報と矛盾しない周知の 状態に周辺装置全回復する必要がないため早められる。ＰＡＳはプロスセが典型 例ではその回復に必要な情報をセーブするのに使用するプロセス

【割当てらｎた セグメント・メモリである。 ソフトウェア回復の位相３（φ３）はφ２と類似しているが、ＰＡＳのみが保存 され、ＥＣＤはバックアップ・メモリから再ロードされる。 ソフトウェア回復の位相４（φ４）はφ３と類似しているが、すべてのものがプ ロセッサの主記憶からクリアされ、バックアップ記憶装置から再ロードさｎる。 ＰＡＳが破壊されることがあるが、このレベルの回復は手動コマンドによっての み開始され得る。 活性状態にあるプロセッサ上のＭＲＦシーケンスによって実行されるハードウェ ア初期化のレベルが第５図に示す１対の初期化シーケンス制御（ＩＳＣ）ビット ２１１および２１２によって示さｎている。３Ｂ２０計算機にあってＨ１ｒｓｃ ビット２１１および２１２はプロセッサのシステム・ステータス・レジスタ（Ｓ ＳＲ）内に設けられている。 ＩＳＣビット２１１および２１２はマイクロコードに対するハードウェア初期化 レベル・カウンタと見做すことが出来る。活性状態にあるプロセッサから要求さ 江ると、ＭＲＦはＩＳＣビット２１１および２１２を調べ、実行すべき回復のレ ベルを決定する。第６および第７図から明らかなように、ハードウェア回復の各 レベルはソフトウェア回復のあるレベル金倉んでいる。 不活性な状態にあるプロセッサ上で実行さｊ、ているＭＲＦはＩＳＣビット２１ １および２１２の値を無視する。 不活性な状態にあるプロセッサにあっては、ＭＲＦＫよ・りて実行される初期化 のレベルは通常プロセッサに電源を入れ之ときに実行されるような基本的な初期 化である。 ハードウェア初期化シーケンスへ・のエントリは影響ヲ受けるプロセッサが不安 定であると考えら扛る初期化期間の開始時点全マークする。ハードウェア初期化 に対する他の要求がこの期間中に生じると、初期化期間の開始時点においてその ２進値が減少さｎたＩＳＣビット２１１および２１２は初期化のレベルをニスカ レートさせる。 （即ち初期化の次のレベルが実行されるようにする。）これに応動じて、次のレ ベルのハードウェア初期化シーケンスに入り、ＩＳＣビット２１１および２１２ の値は再び減少され、初期化期間のタイミングが再スタートさｎる。この期間中 に更に他の初期化要求があると初期化の次のレベルに進む。ＩＳＣビット２１１ および２１２の値はこれ以上減少出来ず、従って未満７の初期化期間中にその後 生じるプロセッサによって発生された回復要求に対しては最も高位の自動回復レ ベルが再試行さｎることになる。各々の初期化要求の後、初期化期間が他の初期 化要求を受信することなく終了すると、ｒｓｃビット２１１および２１２はアイ ドル２進値にリセットさｎる。 ＭＲＦはその人力としてＭＲＦが呼ばれたときのシステム１００の構成、即ち状 態ならびにＭＲＦが呼ばｎた理由（即ちＭＲＦが呼ばｎた状態あるいはＭＲＦ” 、呼んだ源）を取り入れる。 ＭＲＦＶｉ第６および７図に論理流れ図として図示されている。議論を簡単にす るため、第５ａ−ｂ図においてＭＲＦがプロセッサ０１０１上で呼ばれたものと 仮定する。 （ＭＲＦがプロセッサ１１０２上で呼ばれた場合にもＭＲＦによって実行さｎる 動作は等価であること？理解さｎたい。）プロセッサ０１０１上で呼ば扛ると（ ブロック＋００）、ＭＲＦは最初ブロック４０１によって示すようニ、フロセッ サのマイクロ記憶装置中にそのプロセッサ０１０１のハードウェア状態を記憶す ることにより応動する。 プロセッサのハードウェア状態はそのプロセッサの特別なレジスタの内のあるも のの内容によって指示される。 特別なレジスタはプロセッサの状態（誤シ全含む）を示すレジスタである。この 特別なレジスタとしては次のようなレジスタがある。即ち現在実行しているプロ グラムと関連するソフトウェアと関係する情報を記憶するプログラム・ステータ ス・ワード・レジスタ（ＰＳＷ）　；システムの構成、保守および回復制御なら びに状態の如きものと関連するシステムと関係する情報を記憶するシステム・ス テータス・レジスタ（ＳＳＲ）　；ハードウェア状態および制御情報を記憶する ハードウェア・ステータス・レジスタ（Ｈ３Ｒ）　；システム・エラー・ステー タスを記憶するエラー・レジスタ（ＥＲ）などがある。特別なレジスタの内容は 、必要な場合その後に呼ばｎた診断および回復プログラムがこの情報を調べ、そ れによってどのようにして影響を受けたプロセッサおよびシステム１００’ｉ復 旧させるかを決定するために保存さｎている。 プロセッサ０１０１のハードウェア状態を保存した後、ＭＲＦは何故呼ばｔｌｔ かの理由全決定する。まず最初にブロック４０２中に示すように、ＭＲＦは電源 の入れらｎたプロセッサ０１ｏ１に応動して呼はルたがどうかチェックする。も しそうであると、ＭＲＦはブロック４０３に示すように、プロセッサ０１０１を 初期化する。実行さｎる初期化のレベルは基本的、徹底的な初期化であり、プロ セッサ０１０１はすべて周知の状態とさｎる。初期化によシプロセッサの特別な レジスタおよび“正常であることを示す“タイマはクリアされ、久方および出力 動作は禁止さ扛る。 ブロック４０３においてプロセッサ０１０１が初期化さｎると、ＭＲＦＶｊブロ ック４０４に示すようにＭＡＳ１１＋ノ内容全クリア、即ちＯとする。この点に おいて、ＭＡｓＵの更新機能はオフとされ、従ってＭＡＳ１１４のクリアはＭＡ Ｓ１２４の内容に対し何らの影響も与えない。 ＭＡ３１１４にクリアすると１．ＭＲＦは再びブロック＋０５中にテすようにプ ロセッサ０１０１ｉ初期化し、ＭＡＳｉクリアすることにより生じたかも知ｎな い誤り’＆クリアし、再びプロセッサの正常さを示すタイマをリセットする。 次にＭＲＦはブロック４０６に示すように電源投入による初期化が完了したこと の指示金与える。この指示は第５図に示すインディケータ２１３０セツトを含ん でいる。 ３Ｂ２０計算機にあっては、インディケータ２１３はＭＡＳ１１４のワード３で ある。次Ｋ　ＭＲＦは第６図のブロック４０７中に示すようにプロセッサ０１０ １ｔホールトさせることによシ活動を完了する。 他のプロセッサ１１０２が既に活性状態にあると、電源投入による初期化が完了 したという指示（例えばインディケータ２１３）は他のプロセッサ１１ｏ２によ って周期的にモニタされる。プロセッサ０１０１に電源が投入され、初期化され たことをプロセッサ１１０２が検出すると、該プロセッサ１１０２はＥＣＤ中の インディケータ２１８をセットすることによってプロセッサ０１０１がサービス が出来ない状態であることをマークする。このマーキングは活性状態にあるプロ セッサ１１０２に対し、該プロセッサ１１０２が、不活性であるが今電源が投入 さｎ、従って利用可能なプロセッサ０１０１の正常であることを示すタイマ全リ セットして、正常であることを示すタイマが障害指示全発生しないようにする役 目を果す。次にプロセッサ１１０２はその動作全継続する。 セッサ１１０２はプロセッサ０１０１によって実行された電源投入による初期化 の完了指示には応動しない。従ってプロセッサ０１０１の正常であること金示す タイマは時間切ｎとな９、障害指示？発生する。不活性なプロセッサ０１０１は 停止および切替え（第９図参照）を試みることによってこの障害指示に応動する 。停止および切替えはプロセッサ０１０１’ｅ停止させ、他のプロセッサ１１０ ２上ＫＭＲＦ（ｉ−呼び出すことを含んでいる。プロセッサは例えばそのために 用意されたフリップ・フロップの如きフラグ全セットおよびリセットすることに より通常の仕方で停止および始動さ扛る。プロセッサ１１０２’に電源が投入さ ｊ、るとき、ＭＲＦｉ呼ぶことにより一般にプロセッサ０１０１またはプロセッ サ１１０２が活性状態となる。このことは第７図のブロック４５０〜４６５の議 論から明らかとなろう。 しかし、他方のプロセッサ１１０２に電源が投入されていないと、該プロセッサ １１０２は停止および切替えには応動しない。プロセッサ１１０２はプロセッサ ０１０１の正常さを示すタイマをリセットしないから、正常さを示すタイマは第 ２の閾値において時間切れとなり、該タイマはバックアップの正常さ金示すタイ マと呼ばｎる。この結果プロセッサ０１０１の障害指示が生じ、それによってＭ ＲＦがプロセッサｏ　ｉ　ｏ　１　、Ｊ：で呼ば扛る。プロせツサ０１０１が機 能しているときにはこれによって第７図のブロック４５０−４６５の議論から明 らかとなろう。 電源の投入さ扛たプロセッサ０１０１に応動してＭＲＦが呼ばれないと（第５ａ 図のブロック４０２）、ブロック４２０によって示すようにＭＲＦはバックアッ プ用保守チャネルＢＭＴＣＨ１０４ｂ　（第１図参照）を介してプロセッサ】１ ０２によって呼ばれたかどうかチェックする。 もし呼ばれた場合には、七扛はプロセッサ１１ｏ２が例えばプロセッサ０１０１ の正常さ金示すタイマ全リセットするために保守チャネルｉｏ＋ａｌ介してプロ セッサ０１０１にアクセスすることを望んだが、ＭＴＣＨ１０４ａの障害のため にアクセス出来なかったことの指示となる。 ＭＲＦはブロック４２１に示すようにプロセッサ０１０１を初期化することによ り応動する。プロセッサ０１０１は前述の基本初期化レベルておいて初期化さｎ １障害を起したＭＴＣＨｌ　０４　ａが発生した誤シヲクリアし、プロセッサ０ １０１の正常さを示すタイマをリセットする。初期化に続いてＭＲＦはブロック ４２２に示すように再びプロセッサ０１０１’に停止させる。 電源投入（ブロック４０２）またはバックアップＭＴＣＨ１０４ｂ（ブロック４ ２０）によってＭＲＦが呼ばしなかつた場合、ＭＲＦはブロック４３０に示すよ うにプロセッサ０１０１が現在強制的にオフ・ラインとされているがどうか（Ｆ ＯＦＬ　、第２図参照）をチェックする。そのインデイケーションはシステム・ ステータス・レジスタ（ＳＳＲ）中のフラグ・ビットとして実現さｎている第５ 図に示すインディケータ２１４により与えらｎる。プロセッサ０１０１が強制的 にオフ・ラインとされていると、ＭＲＦはブロック４３１中に示すように基本初 期化レベルにおいてプロセッサ０１０１に初期化することによシ応動する。 次にブロック４３２中に示すようにＭＲＦは再びプロセッサ０１０１全停止させ る。 プロセッサ０１０１が強制的にオフラインにされていないと、ＭＲＦはプロセッ サ０１０１が活性状態となるよう準備を整える。ＭＲＦはブロック４３５に示す ように基本初期化レベルにおいて再びプロセッサ０１０１を初期化する。ＭＲＦ は次にブロック４３６中に示すようにプロセッサ０１０１が入出力動作に従事し 得るようにする。 これは第５図に示すＳＳＲ中のフラグ・ビット２１６をセットすることによシ実 行される。ＭＲＦはまたブロック４３７中に示すようにブロック４０１で保存さ ｎたプロセッサ０１０１のハードウェアの状態をマイクロ記憶装置からＭＡ８１ １４中に転送させる。 第７図に戻ると、ＭＲＦはブロック斗４０に示すように手動のコマンドに応動し て呼ばれたかどうか全チェックする。そのインデイケーションは第５図のインデ ィケータ２１７によって与えられる。３Ｂ２０計算機にあっては、インディケー タ２１７は緊急動作インタフェース（ＦＡＩ）パラメータ・バッファ中に組み込 ｔｎている。手動で呼ばれると、ＭＲＦはブロック４４１に示すようにブートス トラップがそｎによって要求さｎ念かどうか全決定するコマンドをチェックする 。ブートストラップが要求さｎると、ＭＲＦはブロック４４２中に示すように要 求されたレベル（即ち初期化の位相２．３または４）においてプロセッサ０１０ １上でブートストラップ全実行する。この回復の試みが回復の試みのニスカレー ションに至らない場合には、ブートストラップの完了時点においてプロセッサ０ １０１は再初期化によって決定さｎる点に戻らされる。 手動コマンドがブートストラップ全要求しない場合（ブロック４４１　）、ブロ ック４４５に示すようにＭＲＦは要求がテープからディスクにロードすべきこと であったかどうか全チェックする。ディスクは通常システム１００の２次メモリ であり、テープは通常システム１００の３次メモリである。両者が第１図の周辺 装置ユニット（ＰＥＵ）１３１〜１３２においては包摂さｎている。要求がテー プからディスクヘロードすることであると、ＭＲＦはブロック４４６中に示すよ うに要求を満そうとする。次いでＭＲＦはブロック４４６中に示すように次の手 動コマンドを待機する。期待されるコマンドはブートストラップに対する要求で ある。 手動コマンドによってブートストラップもテープからディスクへのローディング も要求されないと、ＭＲＦはブロック４４８中に示すようにプロセッサ０１０１ に対シ位相１時ベルの初期化を実行する。この回復の試みが回復の試みのニスカ レーションをもたらさない場合には、再初期化の位相１の完了時点において、プ ロセッサ０１０１ｆｌ再初期化によって決定さｎる点に戻ってその中断さｎた活 動を再開する。 ・ブロック４４０においてＭＲＦが手動コマンドによって呼ばれたのではないと 決定すると、ＳＳＲのＩＳＣピット２１１および２１２の値全調べて初期化のど のレベルを実行すべきかを決定する。ｌ／　１１　ＩＩなる２進の値は活性−不 活性構成に配列さまたプロセッサ１０１および１０２のＩＳＣビット２１１およ び２１２のアイドル値でおる。 ＩＳＣビット２１１お工び２１２が“１１“なる２進の値を有することｉ　ＭＲ Ｆが見出すと（ブロック４５０）、ＭＲＦはブロック４５１に示すようにその値 を“１０″に減少させ、ブロックキ５２に示すようにそれ自身のプロセッサ０１ ０１上で位相ルベルの初期化を実行する。 再びこの回復の試みが回復の試みのニスカレーションをもたらさない場合には、 再初期化の位相ルベルの完了時点において、プロセッサ０１０１は再初期化によ って決定される点において中断され次活動に戻り、活動を再開する。 第１の減少さした２進の値“１０“は活性−不活性構成されたプロセッサ１０１ および１０２の工ＳＣビット２１１および２１２のアイドル値である。ＩＳＣビ ット２１１および２１２が２進の値“１０”を有すること全ＭＲＦが見出すと（ ブロック４６０）、ＭＲＦはブロック４６１に示すようにその値ｔ　／／　ｏ　 ｏ“に減少させ、停止および切替えとして知られるハード的変更を実行する。 ＭＲＦカ実行するハード的変更の型はＭＲＦ’に対する呼び出しが行われたとき に第２図の状態１〜６の内のどれにシステム１００がいたかの関数となる。種々 のハード的変更に関係するプロセスについては第１５および１６図と関連して議 論する。 第７図のブロック４５０および４６０においてプロセッサ０１０１のＩＳＣビッ ト２１１および２１２の値が“ｌ】“または“１０“以外であるとＭＲＦが判定 すると、ＭＲＦはそｎに応動しであるレベルのブートストラップ、即ち再初期化 の位相２または３レベルを実行する。これがブロック４６１中に示さｎている。 実行されるブートストラップのレベルはＭＲＦによって呼ばれたソフトウェアに よって決定されると共に所望の回復の型にも依存する。これは例えば試みられた が不成功に終ったブートストラップの最後のレベルに依存し、ブートストラップ ・レベルのニスカレーションを表わしている。再び、この回復の試みが回復の試 みの更なるニスカレーション、即ち繰返しをも九らさない場合には、ブートスト ラップの完了時点において、プロセッサ１０１は再初期化によって決定される点 に戻される。 １度ブートストラップされ、更に初期化期間中にＭＲＦを呼んでもＩＳＣビット ２１１および２１２の値は変化せず、単にＭＲＦ金してより高いレベルのブート ストラップ再初期化全試みさせることになる。位相４レベルの再初期化はＭＲＦ によっては自動的にニスカレートされない。 こ扛はブロック４４２に示すように手動のコマンドにのみ応動して実行される。 ここで活性プロセッサ中で行わｎるシステム回復プロセスの手順について注目さ れたい。この手順は第８図に論理的に図式弄現さｎている。第８図の議論ｔ−明 快にするため、障害の検出ならびに七牡に対する応動はプロセッサ０１０１上で 生起するものと仮定する。 第８図に示し、前述したように、システム１０Ｇの活性状態にあるプロセッサ０ １０１のハードウェアの障害の検出によシ影響を受けたプロセッサ０１０１にハ ードウェア・インタラブドが発生さｎる。 ハードウェア・インタラブドが致命的な障害（即ち影響を受けたプロセッサ０１ ０１が動作を継続することが出来ず、サービス中止状態としなければならないよ うな程度の障害）の生起全指示する場合、インタラブドに応動する機構は自動的 に停止および切替え信号を発生する。 停止および切替え信号に対するプロセッサ０１０１の応動は第９図に論理流れ図 として示されている。ブロック５００における停止および切替え信号の発生は保 守チャネル１０４ａに応動して行われ、ブロック５０１中に示すように他のプロ セッサ１１０２に対するＭＲＦ呼び出しが実行されることになる。停止および切 替え信号はまたブロック５０２中に示すように障害を起したプロセッサ０１０１ を停止させる。 第８図の考察に戻ると、保守チャネル１０◆ａが他のプロセッサ１１０２にＭＲ Ｆ呼び出しを発生するとき、ＭＲＦはプロセッサ１１０２が不活性状態であると きのみプロセッサ１上に呼び出さ扛る。不活性なプロセッサｌであると、ＭＲＦ 呼び出しはＭＲＦ呼び出し要求のプロセッサ１１０２の障害回復ソフトウェアの 告示となる。プロセッサ１１０２の障害回復ソフトウェアはプロセッサ０１０１ の以前の状態の関数として応動する。プロセッサ０１０１がＭＲＦ’ｉプロセッ サ１１０２上に呼び出したときプロセッサ０１０１が活性状態にあると、プロセ ッサ１１０２の障害回復ソフトウェアはプロセッサ１１０２に対するハード的収 束を実行することによシ応動する。 ハード的収束のプロセスは第１５図と関連して議論する。 しかしプロセッサ０１０１が不活性状態であると、プロセッサ１１０２の障害回 復ソフトウェアはプロセッサ０１０１が障害を起していると見做し、従ってプロ セッサ０１０１をサービスから取シ除く。プロセッサ除去のプロセスは第１１図 と関連して議論する。 ハードウェア・インタラブドが致命的な障害を・指示しない場合、このハードウ ェア・インタラブドは影響を受けたプロセッサ０１０１において誤りの型に依存 して適当なしノベルのソフトウェア・インタラブドに変換さ１．ム同様に、障害 がプロセッサ０１０１のソフトウェア中で検出されると、影響？受は念プロセッ サ０ｊ０１において適当なレベルのソフトウェア・インタラブドが発生されるこ とになる。 ソフトウェア・インタラブドは影響金受けたプロセッサ０１０１のマイクロコー ドによって応動される。マイクロコー・ドはプロセッサ０１０１のソフトウェア に対する障害のインパクトを調べる。すべてのインタラブドがマスクされ、プロ セッサ０１０１の障害回復機能が現在実行されていること金示す場合、ＭＲＦに 対する呼び出しが障害を起したプロセッサ０１０１上で行われる。ＭＲＦは第６ および７図に示すようにプロセッサ０１０１のＩＳＣビットの値の関数として障 害に応動する。 マイクロコードて対するすべてのインタラブドがマスクされていない場合には、 インタラブドは影響全党けたプロセッサ０１０１の障害回復ソフトウェアに対す る誤りインタラブド全発生させる。 これに応動して、影響を受けたプロセッサ０１０１の障害回復プログラムは適当 な誤９カウンタ（図示せず）を更新、即ち増加させ、その状態を調べる。カウン タの更新により指定された閾値計数値を越すと、障害回復機構はシステム１００ め構成のソフト的変更全試みる。実行されるソフト的変更の型はシステム１００ の現在の構成の関数である。システム１００が活性−活性構成であると、試みら れるソフト的変更は他のプロセッサ１０２に対するソフト的収束である。ソフト 的収束のプロセスは第１３図と関連して議論する。システム１００が活性−待機 構成であると、ソフト的変更は他のプロセッサ１０２に対するソフト的切替えで ある８ソフト的切替えのプロセスは第１４図と関連して議論する。 試みられたソフト的変更が失敗に終ると、影響を受けたプロセッサ０１０１の障 害回復ソフトウェアは他のプロセッサ１１０２に対するハード的変更を試みる。 実行されるハード的変更の型はシステム１０Ｇの現在の構成の関数である。シス テムが活性−活性構成にあると、試みられるハード的変更は他のプロセッサ１１ ０２に対するハード的収束である。ハード的収束のプロセスについては第１５図 と関連して議論する。システム１００が活性−待機構成であると、ハード的変更 は他のプロセッサ１１０２に対するハード的切替えとなる。ハード的切替えのプ ロセスについては第１６図と関連して議論する。 ソフト的変更が成功すると、現在残りの活性状態にあるプロセッサ１１０２上で 実行されている障害回復プログラムはソフト的変更のオペレーティング・システ ム核を通知する。 ソフト的変更の核の通知後、あるいはカウンタの更新によっても指定された閾値 計数値を越さない場合、障害回復プログラムは障害に関して集められた情報を調 べ、システム１００のソフトウェアが障害によって影響を受けたかどうかを決定 する。ソフトウェアが影響を受けない場合には、核がその上で実行さｉｔている プロセッサはシステム・タスクの実行を再開する。ソフトウェアが影響全党ける と、障害回復プログラムはまた核に対し障害に関して集めた情報を知らせる。 前述の議論が示すように、障害に関する情報が提供さｎた核はプロセッサの変更 が成功裡に行われたか否かに依存して障害を起したプロセッサ０１０１または他 方のプロセッサ１１０２上で実行さｎる。核は障害回復プログラムから受信され 念情報金調べて核そｎ自身が障害によって影響を受けたかどうか、あるいけ他の 核でないプログラムがそれＫよって影響を受けたかどうかを決定する。核が七扛 自身障害によって影響を受けたと決定すると、核は障害回復全要求し、核を実行 しているプロセッサ上にＭＲＦ−ｉ呼び出す。呼び出し源はＭＲＦから見るとシ ステム・ソフトウェアであるように見える。（即ちＭＲＦに対する手動要求では ない。）従ってＭＲＦはそれが呼び出されたプロセッサのＩＳＣビット２１１お よび２１２の指令に従って応動する。 核がそれ自身障害てよって直接影響されなかったと決定すると、核は他のどのプ ログラムが障害によって影響されたかを決定する。影響を受けたプログラムが障 害エントリ・ポイントを有していないと、該プログラムは核によって終了される 。影響されたプログラムが障害エントリ・ポイントを有している場合、該プログ ラムは核の指示によシその障害エントリ・ポイントよ夕実行さｎる。 障害エントリ・ポイントから入った後、プログラム（はそれ自身全清掃する。即 ち障害の影響を回復する。このダラムがそれ自身システム資源に対する制ａｔ有 しておシ、その資源はシステムの初期化によってのみ回復し得るものと決定する と、該プログラムはシステムの障害回復プログラムに対し該プログラムが実行さ れているプロセッサ上にＭＲＦ　ｉ呼び出すこと全要求する。ＭＲＦに対する呼 び出し源は尚ＭＲＦにとってはシステム・ソフトウェアであると見做さｎている ので（即ちＭＲＦＫ対する手動要求ではない）、ＭＲＦはその上に呼び出された プロセッサのＩＳＣビット２１１および２１２の指令に従って応動する。 システムの障害回復の一部として自動的に実行さｎた前述の構成の変化はシステ ム１００が行う唯一の構成変化ではない。例えばシステム１００はサービス金し ていないプロセッサが活性となる状態にあると決定する診断に応動して活性−非 サービス構成から活性−待機構成の如き他の自動変更も行い得る。活性−待機か ら活性−活性状態への変化、またはその逆はプログラムの要求に応動して行われ 得る。そしてシステム１ｏｏｕシステム１００のオペレータにより手動で加えら れたコマンドに応動して要求されるどのような変更も行い得る。第２図の種々の 状態変化中に含まれている動作については次に述べる。 先に述べた如く、システム１００は電源投入時活性／非サービス（ＯＯ８）状態 ５または６となる。システム１００ハ活性／非サービス状態５または６から活性 −待機状態３または４に２つの方法の内のいずｊ、かの方法で遷移する。まず第 １に活性状態にあるプロセッサは周期的に検査プロセスおよび他の診断プロセス を非サービス状態のプロセッサ上で実行１７てそのプロセッサの状態全決定する 。非サービス状態のプロセッサが診断を通過し、該プロセッサが待機状態となり 得ることが示さｎると、復旧コマンドが自動的に活性状態にあるプロセッサに与 えらｒ２る。そして第２に、活性状態にあるプロセッサは手動コマンドを受信し て非サービス状態にあるプロセッサを復旧することが考えら扛る。復旧には非サ ービス状態のプロセッサを待機状態に遷移ζせること金含んでいる。 復１日のプロセスは第１０図に論理図として示さｎている。 第１０図に示すように、ブロック６００に示すように復旧指令全受信すると、活 性状態にあるプロセッサ（例えばプロセッサ０１０１はプロセッサＥＣＤ２００ の適当なインディケータ２１８および２２０（第５図参照）を検査し、ブロック ６０１に示すよう例システム構成が本当に活性／非サービス状態にあるかどうか を確認する。 もしそうでない場合には活性状態にあるプロセッサ０１０１はブロック６０２に 示すように誤シメッセージを発生する。システムの構成が活性／非サービスであ ると、活性状態にあるプロセッサ０１０１は次に第５図に示すようにＳＳＲのフ ラグ・ビットとして実現されたインディケータ２０９をセットし、主記憶更新回 路１１５および１２５全してブロック６０３に示すように主記憶装置１１４およ び１２４の更新全再開させる。 更新能力の復旧に続いて、活性状態にあるプロセッサ０１０１はこの能力を使用 してブロック８０４に示すようにその主記憶１１４の内容を他のプロセッサ１１ ０２の主記憶１２４中にコピーする。このようにして主記憶１１４と１２４の内 容は同一となる。次に活性状態にあるプロセッサ０１０１はブロック６０５に示 すように待機状態にあるプロセッサ１１０２の準備を整える。この準備には待機 状態にあるプロセッサ１１０２上におけるパリティ検査の如きテストの実行が含 まれており、これによって待機中のプロセッサ１１０２が活性状態となり得る状 態にあることが確認される。待機中のプロセッサ１１０２が前記の準備を整える テストに失敗すると（ブロック６０６）、活性状態にあるプロセッサ０１０１は ブロック６０７に示すように復旧を中止する。復旧の中止は例えば再び主記憶更 新ユニット１１５および１２５が主記憶１１４および１２４を更新を中止させ、 システム１００のオペレータにエラー・メツセージを発すること金含んでいる。 待機中のプロセッサ上１０２がブロック６０６において前記の準備を整えるテス トに合格すると、活性状態にあるプロセッサ０１０１ばＥＣＤに入り、適当なイ ンディケータ２１８および２１９の［’ｚｆｆｉ更することにより他方、即ち非 サービス状態のプロセッサ１１０２をブロック６０８中に示すように待機状態と してマークする。プロセッサ１１０２の待機状態に対する復旧は完了し、活性プ ロセッサ０１０１はブロック６０９に示すようにその活動を継続する。 復旧プロセスの逆は除去プロセスでオシ、該プロセスはシステム１００の状態３ 筐几は４から状態５または６への遷移を含んでいる。除去プロセスは待機状態に あるプロセッサを除去して非サービス状態とする。このプロセスは第１１図に論 理図として示されている。 第１１図゛に示すように、除去コマンド、即ち要求を受信すると（ブロック７０ ０　）、活性状態にあるプロセッサ、例えばプロセッサ０１０１はＥＣＤのイン ディケータ２１９および２２０によって記憶された情報全チェックし、ブロック ７０１に示すようにシステムの構成が本当に活性−待機状態であるかどうかが確 認される。システム構成が活性−待機状態にないと、活性状態にあるプロセッサ ０１０１はブロック７０２に示すようにエラー・メツセージを出力する。システ ム構成が活性−待機状態であると、活性状態にあるプロセッサ０１０１は再びＥ ＣＤに入り、ブロック７０３に示すようにその中に他方、即ち待機中のプロセッ サ１１０２が非サービス状態であることを示す情報を記憶させる。次に活性状態 にあるプロセッサ０１０１はＳＳＨのインディケータ２０９をリセットし、ブロ ック７０４に示すように主記憶更新回路１１５および１２５全して夫々の主記憶 １１４および１２４の他方の主記憶中に加えられた情報による更新を中止させる 。次に活性状態にあるプロセッサ０１０１はブロック７０５に示すようにその活 動を継続する。除去プロセスは実行プログラムに対しては完全にトランスペアレ ント（透明）である。何故ならば除去さｎたプロセッサ上ではプログラムは実行 さｎていなかったからである。 収束モード１０の活性−待機状態３または４から夫々発散モード１１の活性−活 性状態１または２への遷移が第１２図に論理図として示さｎている。 発散コマンドを受信すると（ブロック８００　）、活性状態にあるプロセッサ、 例スばプロセッサ０１０１はＥＣＤにアクセスし、ブロック８０１に示すように システム１００が活性−待機構成にあることを検証する。システム１００が活性 −待機構成されていないと、活性状態にあるプロセッサ０１０１はブロック８０ ２に示すようにエラー・メツセージを発生する。システム１００がブロック８０ １に示すように適当に構成されていることが見出されると、活性状態におるプロ セッサ０１０１はブロック８０３に示すように他のプロセッサ１１０２に対する 必要なオペレーティング・システムの構造を生成し、他方のプロセッサ１１０２ がオペレーティング・システムのそれ自身のバージョンを実行する準備を整える 。第４図に示すように、これはせグメント・チー・プルおよびデータのコピーの 生成および第２のインタラブド・スタックおよびディスパッチ・キュー３１１の 生成を含んでいる。 第１２図に戻ると、活性状態にあるプロセッサ０１０１は次にブロック８０４に 示すように障害回復プログラムのシャドウを生成する。シャドウとはシステム１ ００においてプロセッサ毎に実行されねばならない活動を実行する障害回復プロ グラムの部分コピーでおる。システム全体として実行する必要のある動作（例え ば正常さを示すタイマの保守）は主プロセツサｏ１０Ｌ即ち現在活性状態にある プロセッサの障害回復プログラムによって実行され、シャドウ（これは２次プロ セッサ１１０２上で実行される）から除外される。 シャドウの生成に続いて、活性状態にあるプロセラササ１１０２を周知の初期化 された状態とする。活性状態にあるプロセッサ０１０１はまたブロック８０６に 示すようにＩＳＣビット２１１および２１２のアイドル状態を“１．１’から“ １０＃に変更し、予期される活性−活性プロセッサ構成を反映させる。活性状態 におるプロセッサ０１０１は次に保守チャネル１０４を使用して他方のプロセッ サ１１０２上でテスト・ルーチンを実行させ（ブロック８０７　）、他方のプロ セッサ１１０２が活性状態となり得る状態にあることを検証する。他方のプロセ ッサ１１０２がテストに失敗すると（ブロック８０８）、活性状態にあるプロセ ッサ０１０１はブロック８０９に示すように発散プロセスを中止する。発散プロ セスの中止は例えばインタラブド・スタックお：びディスパッチ・キュー３１１ および他方のプロセッサ１１０２のために生成された他の構造の除去、障害回復 プログラムのシャドウの終了、ＩＳＣビット２１１および２１２のアイドル状態 を“１１″にリセットすることおよびシステム１０００オペレータに対するエラ ー・メツセージを発生することを含んでいる。 他方のプロセッサ１１０２がブロック８０８においてテストに合格すると、活性 状態にあるプロセッサ０１０１はブロック８１０に示すようにシャドウを他方の プロセッサ１１０２のディスパッチ・キューに移す。ＯＰＰ　ＩＲ線路１０５ａ を使用することによって、活性状態にあるプロセッサｏ１０１は他方のプロセッ サ１１０２中でインタラブドを発生させ、これはブロック８１１に示すように他 方のプロセッサ１１０２上で実行されるシャドウとなる。シャドウが他方のプロ セッサ１１０２中で障害を見出したと報告すると（ブロック８１２）、活性状態 にあるプロセッサ０１０１はブロック８１３に示すように再び発散を中止させる 。シャドウが他方のプロセッサ１１０２中に障害が無いと報告すると（ブロック ８１２）、活性状態にあるプロセッサ０１０１はブロック８１４に示すように２ つのプロセッサのディスパッチ・キューを発散させる。ディスパッチ・キューの 発散はいくつかのタスクを活性状態にあるプロセッサ０１０１のディスパッチ・ キューから他方のプロセッサ１１０２のディスパッチ・キューに転送することを 含んでいる。 各タスクは主プロセツサと２次プロセッサのいずれの上で実行されることが好ま しいを示す情報を有していても良く、活性状態にあるプロセッサ０１０１はこの 情報に基づいてディスパッチ・キューを発散させる。 ディスパッチ・キューの発散につづいて、活性状態にあるプロセッサ０１０’ｌ は再び０ＰＰＩＲ線路１０５ａを使用してブロック８１５に示す↓うに他方のプ ロセッサ１１０２の動作を開始させる。元々活性状態にあるプロセッサＯ↑０１ は主プロセツサに留まり、以前に待機状態にあったプロセッサ１１０２は２次プ ロセッサとなる。このようにして発散プロセスは完了し、主プロセツサ０１０１ はブロック８１６に示すようにその正規の処理動作を再開する。 発散モード１１の状態１お工び２から、システム１００はソフト的収束プロセス によって活性−待機状態３または４に戻される。システム１００は主プロセツサ または２次プロセッサにソフト的に収束し得る。２つのソフト的収束プロセスは 実質的に同一であり、両者は第１１図に論理図として示されている。 ソフト的収束指令を受信すると（ブロック９００）、指令を受信するプロセッサ （例えばプロセッサ０１０１）はブロック９０１に示すようにプロセッサ１０１ および１０２の内子゛活性状態となる方のディスパッチ・キュー上に収束プログ ラムを配置する。この立ち退くプロセッサはプロセッサ１０１および１０２のい ずれでらっても良く、従ってプロセッサ０１０１は収束プログラムをそれ自身ま たは他方のプロセッサのディスパッチ・キュー上に配置することが出来る。例え ば、プロセッサ０１０１がそれ自身に収束しているとき、該プロセッサは収束プ ログラムを他方のプロセッサ１１０２のディスパッチ・キュー上に配置する。プ ロセッサ０１０１は次にブロック９０２に示すようにその処理動作を継続する。 収束プログラムはシステム１００における最も優先度の低いタスクでらる。その 結果、該プログラムは、立ち退くプロセッサ上の他のプログラムがインタラブド 即ち実行の途中に停止されて実行の継続を待機している状態にないときにのみ、 立ち退くプロセッサ上で実行される。このようにして、収束プログラムの実行が 開始されると、エリ優先度の高いプログラムによってインタラブドされていたよ り優先度の低いプログラムは存在せず、従って立ち退くプロセッサのインタラブ ド・スタックは空であることが保証される。インタラブド・スタ゛ククはごく普 通のものでおって、インタラブドされたプログラムの実行を再開するために必要 な情報を記憶するだめのＦＵＦＯで動作する記憶領域でちる。 ブロック９０３において実行が開始されると、収束プログラムは立ち退くプロセ ッサをしてＥＣＤにアクセスさせ、ブロック９０４に示す↓うにシステムが活性 −活性構成にあることを検証させる。システムの構成が活性−活性でないと、収 束プログラムはブロック９０５に示す↓）にエラー・インデイケ・−ジョンを発 生させる。この時点で収束プログラムは終了し、システム１００け他のプログラ ムの実行を継続する。 システムの構成が活性−活性であることが見出されると（ブロック９０４　）、 収束プログラムはブロック９０６に示すようにそれが実行されているプロセッサ 、即ち立ち退くプロセッサ上に核収束プログラムを急派する。収束プログラムは またブロック９０６に示すように核収束プログラムの実行優先度レベル金最高レ ベル（Ｃ上げる。 これに工り一度核収束プログラムが実行を開始すると、この核収束プログラムが インタラブドされて、他のタスクにとってかわられることがないことが保証され る。 核収束プログラムが立ち退くプロセッサ上で実行されるとき、該核収束プログラ ムはブロック９０７に示すように０ＰＰＩＲ１０５を介して他のプロセッサにイ ンタラブドを送信する。次に核収束プログラムはブロック９０８に示すように立 ち退くプロセッサを停止させる。 ブロック９１０において立ち退くプロセッサから受信するインタラブドに応動し て、他方の活性状態におるプロセッサはブロック９１１中に示す↓うにプロセッ サのＩＳＣビット２１１および２１２のアイドル状態を“１０″から“１１″′ に変更し、活性−不活性プロセッサ構成を反映させる。次に残りの活性状態にあ るプロセッサはブロック９１２に示す工うに２次プロセッサのディスパッチ・キ ューから主プロセツサのディスパッチ・キューにナベてのタスクをｙすことによ り２つのプロセッサのディスパッチ・キューを収束させる。障害回復プログラム のシャドウは最早不要であり、ブロック９１３に示すように残りの活性状態にち るプロセッサはシャドウを終了させる。 ここでブロック９１４に示す工うに主プロセツサに対するソフト的収束と２次プ ロセッサに対するソフト的収束とは異なる。要求された収束が２次プロセッサに 対するものでｂると、残りの活性状態にあるプロセッサは２次プロセッサであり 、該プロセッサはブロック９１５に示すようにインディケータ２１Ｇにアクセス してプロセッサ１０１および１０２のアイデンティティを切替える。 前に主プロセツサで多つた停止されたプロセッサは現在は２次プロセッサとなり 、以前２次のプロセッサでめった残りの活性状態にるるプロセッサは現在主プロ セツサとなる。 プロセッサのアイデンティティの変更に続いて（即ち要求された収束が主プロセ ツサに対するものである場合）、残りの活性状態にあるプロセッサはプロセッサ はＥＣＤに入り、インディケータ２１９および２２Ｇにアクセスして、ブロック ９１６中に示すようにシステム１００が現在活性−待機状態３または４にあるこ とを示す情報をその中に記憶させる。次に残りの活性状態にあるプロセッサはシ ステム１００の動作を継続する。 状態３または４の活性−待機構成にあっては、プロセッサ１０１および１０２は 状態が切替えられる。ソフト的切替えにより実行中のプロセスまたは現在進行中 の入出力動作に対してはトランスペアレントな仕方で一方のプロセッサから他方 のプロセッサにシステムの活動が切替えられる。ソフト的切替えは第１４図に論 理図として示されている。 ソフト的切替え要求を受信すると（ブロック１０００）、活性状態にあるプロセ ッサ（例えばプロセッサ０１０１）はブロック１００１に示すようにＥＣＤにア クセスしてシステム１００の構成が活性−待機状態であるかどうか決定する。も しそうでない場合には、活性状態にあるプロセッサ０１０１はブロック１００２ に示すようにシステム１００のオペレータにエラー・メツセージを発スる。 システム１００の構成が活性−待機状態であると、活性状態にあるプロセッサ０ １０１は正規のタスクの実行を停止してブロック１００３に示すように活性状態 にらるプロセッサ０１０１の状態を凍結させる。次にプロ・セツスしてブロック １００４に示す工うにその内部プロセッサ状態を決定する。以前活性状態にあっ たプロセッサ０１０１の初期プロセッサ状態が一度決定されると、プロセッサ０ １０１はブロック１００５に示すように保守チャネル１０４を使用して他方のプ ロセッサ１１０２を前記内部プロセッサ状態にセットする。この操作にはプロセ ッサ１１０２のインディケータ２００をプロセッサ０１０１の相応するインディ ケータ２００によって保持されている状態にセットすることが含まれており、従 ってプロセッサ１１０２は主プロセツサとなる。次にプロセッサ０１０１はブロ ック１００６に示すように他方のプロセッサ１１０２に開始を告げるコマンドを ＭＴＣ）（１０４ａを介して送信する。他方のプロセッサ１１０２は正規のシス テム処理活動を以前活性状態にあったプロセッサ０１０１が活動を停止した地点 から引き継ぎ、ブロック１００７に示すようにプロセッサ０１０１は停止し、待 機状態となる。 ブロック１１００においてハード的収束指令を受信すると、この指令を受け取っ た残りの活性状態にあるプロセッサ（例えばプロセッサｏ１０１）はそのＳＳＲ のインディケータ２０９をリセットし、ブロック１１０１に示す↓うにそのＭＡ ＳＵｌ　１５をして他方のプロセッサの主記憶１２４の更新を中止させる。プロ セッサ０１０１はまたプロセッサのＩＳＣビット２１１お↓び２１２のアイドル 状態をブロック１１０２に示ｊ、ｃうに”１０’から“１１″に変化させ、予期 される活性／非サービスプロセッサ構成を反映する。次にプロセッサ０１０１は ＥＣＤに入り、その中でブロック１１０３に示すように他方の停止したプロセッ サ１１０２を非サービス状態とマークする。 ・次に、活性状態にあるプロセッサｏ１０１はブロック１１０５に示すように２ 次プロセッサのディスパッチ・キューからのすべてのタスクを主プロセツサのデ ィスパッチ・キューに移すことにより主お↓び２次プロセッサのディスパッチ・ キュー全収束させる。主プロセツサはプロセッサ１０１お；び１０２のいずれて らってもよく、従ってプロセッサ０１０１はディスパッチ・キューをそれ自身ま たはプロセッサ１０２のディスパッチ・キューに収束させる。活性状態にあるプ ロセッサ０１０１は次に適当なインディケータをセットする如きステップを実行 シフ、ブロック１１Ｃｉ６中に示すようにすべてのプロセスを実行前に再初期化 状態とする。障害回復プログラムのシャドウは後続の収束では必要でなく、従っ て活性プロセッサ０１０１はブロック１１０γに示すようにシャドウを終了する 。 この時点においてブロック１１０８に示すように、主プロセツサに対するハード 的収束と２次プロセッサに対するハード的収束は異なる。活性状態におるプロセ ッサ０１０１が２次プロセッサであると、実行されているプロセスは２次プロセ ッサに対するハード的収束であり、活性状態にあるプロセッサ０１０１はインデ ィケータ２０９にアクセスしてプロセッサ・アイデンティティを切替え、それ自 身を主プロセツサとする（ブロック１１０９）。 プロセッサ・アイデンティティの切替えに続いて（即ち活性状態にあるプロセッ サ０１０１が主プロセツサであり、従ってハード的収束プロセスは主プロセツサ に対するものであるとき）、活性状態にあるプロセス０１０１はＥＣＤに入り、 ブロック１１１０に示すようにその中にシステムの新らしい活性／非サービス状 態を示す情報を記憶する。次にプロセッサ０１０１はブロック１１１１に示すよ うに正規のシステム処理活動を継続する。 システム１００は状態３または４の活性−待機構成から状態６または５の非サー ビス／活性構成にハード的切替えを行う。システム１００はまた活性／非サービ ス状態５お工び非サービス／活性状態６の間で状態を切替え、以前に非サービス 状態てらったプロセッサを活性状態、即ちオンラインとし、以前に活性状態であ ったプロセッサを非サービス状態、即ちオフラインとする。ハード的切替えおよ び強制オンライン／強制オフラインプロセスは共に同様なステップを含んでいる 。両方のプロセスは第１４図に論理図として示されている。 ブロック１２００においてハード的切替えまたは強制オンライン／強制オフライ ン指令を受信すると、以、前不活性状態で６ったプロセッサ（例えばプロセッサ ０１０１）は、ブロック１２０１に示す工うに活性化され、それ自身初期化され る。初期化のレベルは第６および７図と関連して以前に議論した如き基本レベル である。この時点において他方の以前活性状態であったプロセッサ１１０２は不 活性状態であす、ハード的切替え、またはＦ　ＯＮ　Ｌ／ＦＯＦＬプロセス（第 ８図参照）の実行に導いた停止および切替え信号によって停止された状態にるる 。活性化されたプロセッサｏ１０１はまた適当なインディケータをセットする如 きステップを実行し、ブロック１２０２に示すように実行前にすべてのプロセス を初期化させる。 ブロック１２０３に示すように、次にプロセッサ０１０１はシステム１００の活 性状態にあるプロセッサとして活動を開始する。活性状態にあるプロセッサ０１ ０１はＥＣＤに入り、ブロック１２０４に示すように現在のシステムの構成を示 し、現在不活性でろるプロセッサ１１０２を非サービス状態であるとマークする 情報をその中に記憶させる。次に活性状態にるるプロセッサ０１０１はブロック １２０５に示すように正規のシステム・タスクの実行を継続する。 もちろん、前述の図示の実施例に対し種々の変更および変形を加え得ることは当 業者にあっては明白である。 例えば、不発明は任意の適当な処理システム上で実現することが出来る。このよ うな変更および菱形は本発明の精神および範囲を逸脱することなく、またその付 随する利点を損うことなく実現し得る。従って、そのような変更および変形は別 記の特許請求の範囲に含まれる。 八４６ Ｆ渥７　゛ Ｆπ夕　６２に ｌ７ζＩ んてＢ Ｆにｌ　ｂてＩ □／６ 国際調査報告 １ｍ、１１ｅａａ’　ｈ−ｅｓ＝ｎ　Ｎ１１．　ＰＣＴ／ＵＳ　８５１００９３ ６

Claims (8)

【特許請求の範囲】
1. １．処理システムにおいて、該処理システムは：第１および第２のプロセツサ（ １０１、１０２）と；第１のプロセツサ中に含まれる第１のメモリ（ＭＡＳＵＯ ）と第２のプロセツサ中に含まれる第２のメモリ（ＭＡＳＵＩ）と； 第１および第２のメモリを相互接続する更新バス（１０３）とを含み； 前記更新バスは各メモリを更新し、内容の変更は他方のメモリ中で行なわれ、そ れによつて第１および第２のメモリが同じ内容を有するようにし； プロセツサはある条件に応動して自動的に第１（１０）および第２（１１）の動 作モードの一方から他方にシステムの動作を変更し、第１のモードにあつては両 方のプロセツサは活性状態にあり、各々は互いに他とは独立に第１および第２の タスク・グループの内の異なる一方から選択されたタスクを実行し、第２の動作 モードにあつては２つのプロセツサの内選択されたものは不活性状態であり、プ ロセツサの他方は活性状態であつて第１および第２のタスクの両方から選択され たタスクを実行することを特徴とする処理システム。
2. ２．請求の範囲第１項に記載の処理システムにおいて、前記ある条件は手動およ びプログラム・コマンドならびに第１および第２の型のシステム障害状態より成 ることを特徴とする処理システム。
3. ３．請求の範囲第１項に記載の処理システムにおいて、第２のモードにある不活 性状態のプロセツサはタスクの実行の準備が出来た状態で待機しており；プロセ ツサは： 選択されたプロセツサを選択的に開始および停止させる回路を含み、 デイスパツチ・キユー（３１０、３１１）、システムステータス・インデイケー タ（第４図）およびチヤネル（ＯＰＰＩＲおよびＭＴＣＨ）はプロセツサと協同 動作して一方のプロセツサが停止しているとき第１および第２のグループのタス クを実行するべく活性プロセツサに割当て、両方のプロセツサが活性状態にある とき第１のグループのタスクを一方のプロセツサに、第２のグループのタスクを 他方のプロセツサに割当てることを特徴とする処理システム。
4. ４．請求の範囲第３項に記載の処理システムにおいて、第１のグループおよび選 択的に第２のグループからのタスクを同定する活性状態にあるプロセツサと関連 する第１のデイスパツチ・キユーと； 第２のグループのタスクを同定する第２の活性状態にあるプロセツサと関連する 第２のデイスパツチ・キユーとを含み、 該デイスパツチ・キユー（３１０、３１１）、システム・ステータス・インデイ ケータ（第４図）およびチヤネル（ＯＰＰＩＲおよびＭＴＣＨ）は１つのプロセ ツサが停止したとき第１および第２のデイスパツチ・キユーを収束させ、両方の プロセツサが活性状態になつたとき第１および第２のキユーを発散させることを 特徴とする処理システム。
5. ５．請求の範囲第１項に記載の処理システムにおいて、該システムは更に： 第１および第２の周辺デバイスと； 第１の周辺デバイスと第１および第２のプロセツサの間に介在配置され、第１の 周辺デバイスを第１および第２のプロセツサの一方と選択的に接続する第１のコ ントローラと； 第２の周辺デバイスと第１および第２のプロセツサの間に介在配置され、第２の 周辺デバイスを第１および第２のプロセツサの１つと選択的に接続する第２のコ ントローラを含むことを特徴とする処理システム。
6. ６．第１および第２のプロセツサと、該第１のプロセツサ中に含まれる第１のメ モリと、第２のプロセツサ中に含まれる第２のメモリとを含み、該第１および第 ２のメモリは障害回復プログラムおよび実行すべきプログラムのアイデンテイテ イを保持する第１のデイスパツチ・キユーを含むプログラムを含む同じ内容を有 しており、更に第１および第２のメモリを相互接続する装置を含み、それによつ て内容の変更は他方のメモリ中で行なわれるという形で、各メモリを、第２のプ ロセツサが不活性状態であり、第１のプロセツサが活性状態であり、第１のデイ スパツチ・キユーによつて同定されたプログラムから選択されたプログラムを実 行している第１の状態から、第１および第２のプロセツサの内の異なる一方によ つて実行されるべきプログラムのアイデンテイテイを各々保持している第１およ び第２のデイスパツチ・キユーが存在し、両方のプロセツサが活性状態にあり、 夫々のデイスパツチ・キユーによつて同定された各々のプログラムとは独立に実 行している第２の状態に更新する処理システムのシステム動作を自動的に変更す る方法において、該方法は： 第２のプロセツサによつて実行されるべきプログラムを同定する第２のデイスパ ツチ・キユーを生成し；障害回復プログラムの選択された部分より成るシヤドウ 障害回復プログラムを生成し； 第２のプロセツサを周知の状態に設定し；シヤドウ障害回復プログラムのアイデ ンテイテイを第２のデイスパツチ・キユー中に配置し；シヤドウ障害回復プログ ラムを第２のプロセツサ上で実行し； 第２のプロセツサによつて実行すべきプログラムのアイデンテイテイを第１のデ イスパツチ・キユーから第２のデイスパツチ・キユーに転送し； 第２のプロセツサを開始させて第２のデイスパツチ・キユーによつて同定された プログラムを実行し；第１のデイスパツチ・キユーによつて同定されたプログラ ムの第１のプロセツサによる実行を継続するステツプより成ることを特徴とする 方法。
7. ７．両方のプロセツサが活性状態にあり、夫々のデイスパツチ・キユーによつて 同定された各々のプログラムとは独立に実行する第１の状態から、第２のプロセ ツサはプログラムの実行の準備が出来た状態で待機しており、第１のプロセツサ は活性状態にあり、第１のデイスパツチ・キユーによつて同定されたプログラム から選択されたプログラムを実行する第２の状態にシステムの動作を自動的に変 更する第６項に従う方法において、該方法は：第１のプログラムのアイデンテイ テイを第２のプロセツサのデイスパツチ・キユー中に配置し；インタラプトされ たプログラムが第２のプロセツサのデイスパツチ・キユーによつて同定されない ときにのみ第１のプログラムの実行を開始し； 第１のプログラムの実行に応動して第２のプログラムをインタラプトすることな く第２のプロセツサ上で実行させ； 第２のプログラムの実行に応動して第１のプロセツサをインタラプトし； 第２のプロセツサを停止させ； インタラプトに応動してプログラムのアイデンテイテイを第２のデイスパツチ・ キユーから第１のデイスパツチ・キユーに移し； シヤドウ障害回復プログラムのアイデンテイテイを第１のデイスパツチ・キユー から取り除き；インデイケータ装置をチエツクして第１のプロセツサが主プロセ ツサであるかどうかを決定し；第１のプロセツサが主プロセツサでない場合、イ ンデイケータ装置を変更してプロセツサを切替え；第１のデイスパツチ・キユー によつて同定されたプログラムを第１のプロセツサ上で実行することを継続する ステツプより成る方法。
8. ８．両方のプロセツサが活性状態で、夫々デイスパツチキユーによつて同定され た各々のプログラムとは独立に実行を行う第１の状態から、第２のプロセツサが 非サービス状態で、第１のプロセツサが活性状態で、第１のデイスパツチ・キユ ーによつて同定されたプログラムから選択されたプログラムを実行している第２ の状態にシステム動作を自動的に変化させる第６項に従う方法であつて、該方法 は： 第２のプロセツサを停止させ； メモリ更新装置をデイスエイブルし； プログラムのアイデンテイテイを第２のデイスパツチキユーから第１のデイスパ ツチ・キユーに移動させ；第１のデイスパツチ・キユーによつて同定されたプロ セスを初期化し； シヤドウ障害回復プログラムのアイデンテイテイを第１のデイスパツチ・キユー から取り除き；インデイケータ装置をチエツクして第１のプロセツサが主プロセ ツサとなつているかどうかを決定し；インデイケータ装置を変更してもし第１の プロセツサが主プロセツサでない場合にはプロセツサの役害を切替え； 第１のデイスパツチ・キユーによつて同定された第１のプロセツサのプログラム の実行を継続するステツプより成ることを特徴とする方法。