JPS635439A - 多重化システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 産業上の利用分野 本発明は情報処理装置に関し、特に複数のＣＰＵで構成
される多重化システムに関する。

従来の技術 昨今のマイクロプロセッサの高性能化により、その応用
分野は様々な領域に拡大した為、そのシステムの信頼性
も高いものが要求されている。マイクロプロセッサを利
用したシステムで高信頼性を得る場合、１つには複数の
ＣＰＵに同一の処理を行わせ、出力を比較して誤動作を
検知するという方法がある。これを多重化システムと称
し、ＣＰＵ自体の価格が低いマイクロプロセッサ・シス
テムでは比較的安価で、かつ効果の高い高信頼性システ
ムを得る事ができる。

上記のように、通常、多重化システムを構成する場合に
は、２台の同じＣＰＵを並行運転させる。

これら２台のＣＰＵからの出力結果に不一致が生じた場
合にはどちらかのＣＰ［Ｊが異常動作をしたと見なし、
そのＣＰＵの組を停止させた後、別に用意しである予備
のＣＰＵの組を起動して誤動作に対処する為のルーチン
を走らせる、という制御方法が従来から用いられている
。

発明が解決しようとする問題点 上述した従来の多重化システムでは、誤動作が検出され
た後、システムダウンさせない為には最小構成でもＣＰ
ＬＩ２台の組を２組、すなわち４台のＣＰｔＪが必要と
なり、高コストのシステムとなってしまう。また、誤動
作が検出された場合、主ＣＰＵを、それまで動作してい
なかった予備のＣＰＵに切り換えてしまう為、異常が生
じた時点でのＣＰ口内部の状態は全く不明であり、処理
を続行する事は不可能である。さらに、誤動作が生じた
場合、主ＣＰＵの組を切り換え、誤動作処理ルーチンを
起動させる為に、かなりのタイムロスを生じ、またハー
ドウェア・ソフトウェア両方に対する負担も大きくなる
という欠点を有している。

そこで、本発明は、３台以上のＣＰＵからなる多重化シ
ステムにおいて、誤動作が検出された時、直ちにマイク
ロプロセッサからの誤動作信号を解析し、極力短いロス
タイムで故障ＣＰＵの切り放し、もしくはシステムの再
構成を行い、命令の実行を続行可能とするシステムを提
供する事を目的とする。

問題点を解決する為の手段 本発明の多重化システムは、主ＣＰＵと２台以上の監視
ＣＰＬＩと、前記各監視ＣＰＵからの出力信号と前記主
ＣＰＵの出力信号を比較する比較器と、該比較器からの
一致信号により故障ＣＰＵを判別する故障ＣＰＵ判別回
路を有し、前記故障ＣＰＵ判別回路の出力に基づき特定
される故障ＣＰＵが前記監視ＣＰＵのいずれか一つであ
る場合には他のＣＰＵを停止させることなく、前記主Ｃ
ＰＵが次のバスサイクルに処理を進める以前に前記故障
ＣＰＵの切り放しを行った後処理を続行し、前記故障Ｃ
ＰＵ判別回路の出力により特定される故障ＣＰＵが前記
主ＣＰＵである場合には、システム再構成の後、誤動作
ルーチンを起動して処理の続行を可能とする機能を有し
ている。

実施例 第１図に、ＣＰＵ３台を用いて本発明を施したシステム
を構成した例を示す。

３台のＣＰ　０１０１．１０２．１０３はそれぞれ同一
テアリ、コントロールユニット１０５からのＦＲＭ信号
１１２．１１３．１１４によって主モードと監視モード
が切り換えられるようになっている。ＦＲＭ信号がイン
アクティブの場合には主ＣＰＵとして通常の動作を行う
。これに対しＦＲＭ信号がアクティブの場合にはＣＰＵ
は監視モードとなり、コントロール出力バス、アドレス
バス、データバス上に主ＣＰＩＪから出力があった時、
そのバス上の信号と、自分が出力するはずである信号を
常に比較し続け、不一致が認められた場合に不一致信号
ＭＳＭＡＴ　１１５．１１６．１１７をアクティブにし
て外部のコントロールユニット１０５に知らせる。外部
制御回路であるこのコントロールユニット１０５におい
て故１ｃｐｕの特定、切り放し、システムの再構成など
を行う。コントロールユニット１０５カラは、誤動作が
発生した場合に処理の続行が可能かどうかを示すＲＴ／
ＥＰ信号１１０、誤動作処理の場合にシステムを停止さ
せる必要がある場合に使用するＨＡＬＴ信号１１１が各
ＣＰＵに対して送り出される。

ＣＰＵの外部には主メモリ、Ｉ１０装置など１０４カア
って、コントロールバス１０６．１０７　、アドレスバ
ス１０８、データバス１０９　によりＣＰＵｌ０Ｉ、１
０２．１０３と接続されている。なお、コントロールバ
スは、説明の都合上、ＣＰＵからメモリ等へ出力される
コントロール出力バス１０６　と、ＣＰＵに人力される
コントロール入力バス１０７に分割して示す。

次に、ＣＰｔＪ内部の多重化システムの為の機構を説明
する。第２図は、ＣＰ口内部の主モード／監視モード切
り換えに要する部分のブロック図である。

ＣＰＵ２０１は多重化システムに対する機能をもたない
、本来のＣＰＵ機能のみをもつＣＰＵである。コントロ
ール入力バス２１８は主モード／監視モードに関係なく
常に内部ＣＰＬＩ２０１に接続されている必要がある為
、スイッチ、比較器を経由せずに内部ＣＰＵ２０１に直
結される。また、コントロール出力バス２１９はスイッ
チ１　（２０２）　　に、アドレスバス２２０はスイッ
チ２　（２０３）　　に、データバス２２１はスイッチ
３　（２０４）に、それぞれ接続されている。さらに、
ＣＰＵ２０１の出力がスイッチ４　（２０５）に、ＣＰ
Ｕ２０１のアドレス出力がスイッチ５　（２０６）に、
ＣＰＵ２０１のデータ出力がスイッチ６　（２０７）に
接続されている。スイッチ２０２のＡ端子にはスイッチ
２０５のＡ端子の出力が接続し、スイッチ２０２とスイ
ッチ２０５のＢ端子の出力には比較器２０８が接続して
いる。スイッチ２０３のＡ端子にはスイッチ２０６のＡ
端子の出力が接続し、スイッチ２０３とスイッチ２０６
のＢ端子の出力には比較器２０９が接続している。スイ
ッチ２０４とスイッチ２０７はＡ端子同志が接続し、そ
れぞれのスイッチのＢ端子出力は比較器２１０に接続し
ている。スイッチ２０２．２０３゜２０５、　２０６の
Ｂ／Ａ信号はＦＲＭ信号に接続している。

従って、ＦＲＭ信号がアクティブの時、つまりＣＰＵが
監視モードの時スイッチはＢ側が使用されることになる
為、外部バスの状態と内部ＣＰＵの出力とが比較器２０
８．２０９に人力される。データバス２２１に関しては
、監視モードの場合であっても、データ入力の時は内部
ＣＰＵ２０１に直結され、データ出力の時のみ、比較器
２１０に人力される必要がある。この為、データ読み込
み／書き出し信号Ｒ／Ｗ２２２をインバータ２１１で反
転してアンドゲート２１２に入力する一方、ＦＲＭ信号
をこのアンドゲート２１２の他方の端子に人力して、そ
の出力をＢ／Ａ信号としている。こうすることにより、
監視モードで、かつデータ出力の場合にのみスイッチを
Ｂ側に接続して、データバス２２１の状態と内部ＣＰＵ
２０１のデータとを比較器２１０に入力することができ
る。比較器２０８．２０９．２１０の出力は、それぞれ
インバータ２１３．２１４．２１５により不一致信号に
してオアゲート２１６に人力する。

ひとつでも不一致を生じた場合にはオアゲート２１６の
出力はアクティブになる。この信号は、ＣＰＵが主モー
ドの場合及びバス上のデータが不確定の場合に無効とな
るように、ＦＲＭ信号２２４とバス上のデータが有効で
あることを示すＤＳ信号２２３とともにアンドゲート２
１７に人力される。このアンドゲート２１７の出力がＭ
ＳＭＡＴ信号２２５として出力される。

以下に、第１図に示した３台のＣＰＵによる多重化シス
テムを例にとり、本発明のシステムの動作を詳細に説明
する。

コントロールユニット１０５は、初期状態では主ＣＰＵ
とするべきＣＰＵに対するＦＲＭ信号のみをインアクテ
ィブとする。第１図の例では、ＦＲＭ１信号１１２をイ
ンアクティブとしてｃｐｕｔを主ＣＰＵとし、ＦＲＭ２
信号１１３及びＦＲＭ３信号１１４をアクティブとして
ＣＰＵ２及びＣＰＵ３を監視ＣＰＵとする。また、ＨＡ
ＬＴ信号１１１はインアクティブとしておく。

３台のＣＰＵが全て正常に動作している場合には、各Ｃ
ＰＵは全く同様の動作を続けている為、コントロール出
力バス１０６、アドレスバス１０８、データバス１０９
の各バス上のデータは監視ＣＰＵの出力用データと常に
一致する。よって、ＭＳＭＡＴ２信号１１６、ＭＳＭＡ
Ｔ３信号１１７は共にインアクティブである。コントロ
ールユニット１０５はこれら２つの信号から、システム
が正常動作していると判断しく第８図参照）、ＭＳＭＡ
Ｔ２信号１１６あるいはＭＳＭＡＴ３信号１１７のどち
らかがアクティブとなるまで各ＦＲＭ信号及びＨＡＬＴ
信号を上述の初期状態のまま保持する。

続いて、監視ＣＰＵであるＣＰＵ２が故障した場合の、
故障発生から２台のＣＰＵによるシステム再始動、さら
にもう１つのＣＰＵの故障によるシステムダウンまでの
推移を以下に示す。

ＣＰＵ２に故障が発生した場合のＣＰＵのメモリ書き込
みサイクルのタイミングチャート及び状態遷移図を第５
図及び第７図に示す。このタイミングチャートでわかる
様に、タロツク信号ＣＬＫのＴ１ステートの立上がりで
アドレスＡ。−２３がセフトされる。また、Ｔ１ステー
トの立下がりでデータＤ。−＋５がセットされる。次い
でＴ２ステートの立上がりでデータストローブ信号ＤＳ
によってバス上のデータが確定する。監視ＣＰＬＩはこ
のタイミングでデータの不一致を確認し、ＭＳＭＡＴ２
信号１１６をアクティブにして不一致のあった事をコン
トロールユニット１０５に知らせる。コントロールユニ
１）１０５は全ＭＳＭＡＴ信号を調べ、アクティブにな
っているのがＭＳＭＡＴ２信号１１６ひとつだけである
ことから、不一致を告げたＣＰＵ２自身が故障している
と判断しく第８図参照）、次のステートからＭ　Ｓ’Ｍ
　Ａ　Ｔ　２をマスクし、以降のシステムの動作に影響
を与えないようにする。

また、ＣＰＵ２は監視モードである為、ＭＳＭＡＴ以外
の全信号端子は人力状態になっている。よって、ＣＰＵ
２はシステムに対して何の動作もできない事になり、シ
ステム側から見た場合、ＣＰＵ２は完全に切り放された
ちあとすることができる。以上の処理は、ＨＡＬＴ信号
を使用しない為、主ＣＰＵ１はそのままロスタイムなく
命令を続行する事ができる。すなわち、第７図に示した
バスサイクルの状態遷移図でステートＴｌからＴ、まで
進んだあと続いてすぐに次のステートＴ１　に戻る。

なお、この状態では、主ＣＰＵ１と監視ＣＰＵ３が１台
ずつで動いている事になる為、さらに監視ＣＰＵ３が不
一致を検出した場合にはどのＣＰＵが故障したのかを判
断することができない。その為、ＭＳＭＡＴＳがアクテ
ィブになった時は、直ちにＨＡＬＴ信号１１１をアクテ
ィブにして主ＣＰＬＪＩと監視ＣＰＵ３の両方に緊急停
止をかけ、システムの破壊を最小限に留める。

ＣＰＵ２故障発生からここまでのシステムの状態遷移図
を第３図に示し、以下にこの図における各ステートを簡
単に説明する。

（１）Ｔｌ　：ＭＳＭＡＴ２がアクティブとなる。

（２）Ｔ２：ＭＳＭＡＴ２をマスクする。

（３）ＴＷ２　：ＭＳＭＡＴ３がアクティブになるまで
待つ。

（４）Ｔ３：ＣＰＵ１に対するホールド要求信号ＨＬＤ
ＲＱ１、及びＣＰＵ３に対するホールド要求信号ＨＬＤ
ＲＱ３をアクティブにする。

（５）Ｔ４：（システムダウン） 次に、主ＣＰＵＩが故障した場合の、故障発生から２台
のＣＰＵによるシステム再始動、さらにもう１つのＣＰ
Ｕの故障によるシステムダウンまでの推移を以下に示す
。

この状態の、ＣＰＬＩ　１に故障が発生したバスサイク
ルのタイミングチャートは第６図に示す様になる。

先に示した、ＣＰＩＪ２故障の場合と同様にして、クロ
ック信号ＣＬＫのＴ１ステートの立上がりでアドレスΔ
。−２，がセットされる。また、Ｔ１ステートの立下が
りでデータＤ　Ｏ−Ｉ　Ｓがセットされる。

次いでＴ２ステートにおいてＣＰＵ２及びＣＰＵ３はデ
ータの不一致を確認し、ＭＳＭＡＴ２とＭＳ　Ｍ　Ａ　
Ｔ　３をアクティブにして不一致のあった事をコントロ
ールユニッ）　１０５　に知らせる。コントロールユニ
ット１０５は全てのＭＳＭＡＴ信号がアクティブになっ
ている事から、ｃｐｕｌが故障と判断しく゛第８図参照
）、次のステー）Ｔ３でＨＡＬＴ信号をアクティブにし
、全ＣＰＵに緊急停止をかける。ＨＡＬＴ信号により、
実際にアドレスバス及びデータバスがハイインピーダン
スになるのは、そのバスサイクルが終了した後である為
、緊急停止をかけてからＣＰＵが停止するまでに最大１
バスサイクル分の時間を要する。よって、ＨＡＬＴ信号
をアクティブにしてから１バスサイクル分の時間の後、
ＦＲＭ１信号１１２をアクティブにし、ＦＲＭ２信号１
１３をインアクティブにする事により主ＣＰＩＪをＣＰ
ＬｌｌからＣＰＬＩ２へ切り換える。この時、ＨＡＬＴ
信号によって全てのコントロール出力はインアクティブ
になっている為、切り換え途中にバスの競合が起こる事
はない。

また、ＣＰＵ２を主ＣＰＵとしたことで、ＣＰＵ２のＭ
ＳＭＡＴ信号は不要になる。そこで、コントロールユニ
ッ）１０！１１！ＩのＭＳＭＡＴ２をハイインピーダン
スにし、ＣＰＵ２との接続を断つ。

ここで、故障を発生したのが監視ＣＰＵではなく、主Ｃ
ＰＵであるＣＰＵＩである為、異常が認められたバスサ
イクルで主メモリ、Ｉ１０装置等１０４への書き込みが
行われていた場合、システムの一部が破壊されている可
能性がある。そうなると命令の続行は不可能である。そ
こで、コントロールユニット１０５側のＲＴ／ＥＰ信号
をインアクティブにして、命令処理の続行が不可能な事
をＣＰＵ側に知らせる。

これと同時に、ＨＡＬＴ信号をインアクティブとしてシ
ステムを再始動する。この時、ＣＰＵ　１はＦＲＭ信号
がアクティブとなっている為、監視モードとなっており
、ＭＳＭＡＴ以外の全出力信号は入力状態となっている
。また、コントロールユニット１０５側のＭＳＭＡＴＩ
はＣＰＵ１が主ＣＰＵであった時のまま、ハイインピー
ダンスとなっている。従って、ＣＰＵ１はシステムに影
響を与える事が不可能となり、システム側からはＣＰＵ
１は完全に切り放されたと考えることができる。

ＨＡＬＴ信号が解除され、システムはＣＰＵ２を主ＣＰ
Ｕとして２台のＣＰＵ状態で実行を再開する。上述した
ように、この時ＲＴ／ＥＰがインアクティブとなる為、
ＣＰＵ２は直ちに内部割込みを発生し、あらかじめ用意
されている誤動作処理ルーチンを起動する。

以上のように、主ＣＰＵが故障した場合でも、システム
は数クロックサイクル程度のロスタイムで実行を再開す
る事ができる。

第６図のバスサイクルの状態遷移図で説明する。

主ＣＰＵに故障が発生した際にはＴ１ステートからＴ、
まで進む。そこでステートＴＨに変わって主ＣＰＵの切
り換えを行なった後、再びステートＴ４に戻り、次のス
テートＴ＋へと進んでいく。

なお、ＣＰＵ２故障の場合と同様、この状態では主ＣＰ
Ｕと監視ＣＰＵが１台ずつしかない為、次に不一致が検
出された場合にはシステムの復旧は不可能である。よっ
てこの場合もＭＳＭＡＴ３がアクティブになった時は直
ちにＨＡＬＴ信号をアクティブにし、両方のＣＰＵを緊
急停止させてシステムの破壊を最小限に留める。

ＣＰＵＩ故障発生からここまでのシステムの状態遷移図
を第４図に示し、以下にこの図の各ステートを説明する
。

（１）Ｔｌ：ＨＡＬＴをアクティブにする。

（２）ＴＷＩ：現在のバスサイクルが終了するのを待つ
。

（３）Ｔ２：ＦＲＭＩをアクティブにする。

Ｆ’ＲＭ２をインアクティブにする。

ＭＳＭＡＴ２をハイインピーダンスにする。

（４）Ｔ３：ＲＴ／ＥＰをインアクティブにする。

ＨＡＬＴをインアクティブにする。

（５）ＴＷ　３　：　Ｍ　Ｓ　ＭＡ’Ｔ　３がアクティ
ブになるまで待つ。。

（６）Ｔ４：ＨＡＬＴをアクティブにする。

（７）Ｔ５：（システムダウン） 発明の詳細 な説明したように本発明は、使用するＣＰＬＩ及び制御
回路の信号の種類及びタイミングを最適化することによ
り、多重化システムにおける故障ＣＰＵの切り放しもし
くはシステムの再構成に生ずるロスタイムを最小限にで
きる。また、可能な限りシステムに支障をきたす事なく
、命令の処理を続行できる効果がある。

【図面の簡単な説明】

第１図は本発明の実施例であるシステムのブロック図で
ある。 第２図はＣＰ口内部の多重化システムに関与する部分の
ブロック図である。 第３図は監視ＣＰＵであるＣＰＵ２の故障からシステム
ダウンまでの状態遷移図である。 第４図は主ＣＰＵであるｃｐｕｌの故障からシステムダ
ウンまでの状態遷移図である。 第５図は本発明の多重化システムにおいて、監視ＣＰＵ
であるＣＰＵ２に故障が発生した場合のバスサイクルの
タイミングチャートである。 第６図は同様に主ＣＰＵであるｃｐｕｉに故障が発生し
た場合のタイミングチャートである。 第７図はＣＰＵのバスサイクルの状態遷移図である。 第８図は外部制御回路が故障ＣＰＵを特定するための判
断基準である。 （主な参照番号） １０１　　・・ＣＰ　Ｕ　１　　１０２　　・・ＣＰＵ
２１０３　　・・ＣＰ　Ｕ　３　１０４・・主メモリ、
Ｉ１０装置等１０５　　・・コントロールユニット １０６　　・・コントロール出力バス １０７　　・・コントロール人力ハス １０８　　・・アドレスバス　１０９　　・・テータパ
ス２０１　　・・ＣＰＵ

Claims (1)

【特許請求の範囲】
1. 主ＣＰＵと２台以上の監視ＣＰＵからなる多重化システ
   ムにおいて、該多重化システムは前記各監視ＣＰＵから
   の出力信号と前記主ＣＰＵの出力信号を比較する比較器
   と、該比較器からの一致信号により故障ＣＰＵを判別す
   る故障ＣＰＵ判別回路を有し、前記故障ＣＰＵ判別回路
   の出力に基づき特定される故障ＣＰＵが前記監視ＣＰＵ
   のいずれか一つである場合には他のＣＰＵを停止させる
   ことなく、前記主ＣＰＵが次のバスサイクルに処理を進
   める以前に前記故障ＣＰＵの切り放しを行った後処理を
   続行し、前記故障ＣＰＵ判別回路の出力により特定され
   る故障ＣＰＵが前記主ＣＰＵである場合には、システム
   再構成の後、誤動作ルーチンを起動して処理を続行する
   ことを特徴とする多重化システム。