JP2000298594A - フォールトトレラント制御方法および冗長コンピュータシステム - Google Patents

Abstract

(57)【要約】 【課題】外乱要因による過渡的なフォールトや間欠フォ
ールトを判断できるようにする。 【解決手段】情報処理構成要素１ａ，１ｂの動作の比較
を行い、該比較結果が不一致となり、かつ、フォールト
の発生が検出されなかった場合は、各情報処理構成要素
１ａ，１ｂの動作状態をそれぞれ結果記憶装置３ａ，３
ｂに記憶するとともに再実行処理を行って再度動作の比
較を行う。この比較結果が一致した場合は、各情報処理
構成要素にそのまま処理を継続させ、不一致となった場
合は、再実行における各情報処理構成要素の動作状態と
結果記憶装置３ａ，３ｂに記憶した動作状態との比較を
行う。この状態比較で、いずれかの動作状態が不一致と
なった場合は、不一致となった方をシステムから切り離
し、両方とも不一致となった場合は、システムの運用を
停止する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ハードウェアを二
重化した冗長コンピュータシステムおよびそのシステム
において行われるフォールトトレラント制御方法に関す
る。

【０００２】

【従来の技術】図５に、従来の冗長コンピュータシステ
ムの概略構成を示す。この冗長コンピュータシステム
は、ＣＰＵやメモリなどで構成される情報処理構成要素
１００ａ、１００ｂと、これら情報処理構成要素１００
ａ、１００ｂにそれぞれ設けられた同期・比較装置１０
１ａ、１０１ｂと、ディスク装置やネットワーク・イン
ターフェース・カードなどで構成される入出力構成要素
１０２ａ、１０２ｂと、これら入出力構成要素１０２
ａ、１０２ｂにそれぞれ設けられた比較装置１０３ａ、
１０３ｂとからなる。

【０００３】同期・比較装置１０１ａ、１０１ｂは互い
に協調し合って、情報処理構成要素１００ａ、１００ｂ
における動作を同期させるとともに、情報処理構成要素
１００ａ、１００ｂの動作または出力が一致しているか
どうかの比較を行う。また、同期・比較装置１０１ａ、
１０１ｂは、それぞれに入出力構成要素１０２ａ、１０
２ｂの出力が入力されており、両入力が一致しているか
どうかの比較を個々に行い、比較結果が一致している場
合に、入出力構成要素１０２ａ、１０２ｂの出力を情報
処理構成要素１００ａ、１００ｂに入力する。

【０００４】比較装置１０３ａ、１０３ｂは、入出力構
成要素１０２ａ、１０２ｂの動作または出力が一致して
いるかどうかの比較を行う。また、比較装置１０３ａ、
１０３ｂは、それぞれに情報処理構成要素１００ａ、１
００ｂの出力が入力されており、両入力が一致している
かどうかの比較を個々に行い、比較結果が一致している
場合に、情報処理構成要素１００ａ、１００ｂの出力を
入出力構成要素１０２ａ、１０２ｂに入力する。

【０００５】上記の冗長コンピュータシステムでは、同
期・比較装置１０１ａ、１０１ｂによって情報処理構成
要素１００ａ、１００ｂの動作または出力の不整合が検
出された場合は、情報処理構成要素１００ａ、１００ｂ
のいずれかでフォールトが発生したとして以下にような
運用が行われる。

【０００６】情報処理構成要素１００ａ、１００ｂのど
ちらか一方においてフォールトの発生が検出されている
場合は、フォールトの発生が検出された方の情報処理構
成要素をシステムから切り離して縮退運用を行う。情報
処理構成要素１００ａ、１００ｂのいずれからもフォー
ルトの発生が検出されない場合は、フォールトの発生箇
所を特定できない致命的な固定フォールトが発生したと
して、その時点で運用を停止するか、あるいは情報処理
構成要素１００ａ、１００ｂのどちらか一方が正常状態
にあると想定して他方を切り離して縮退運用を行う。

【０００７】また、上記の冗長コンピュータシステムで
は、比較装置１０３ａ、１０３ｂによって入出力構成要
素１０２ａ、１０２ｂの動作または出力の不整合が検出
された場合は、入出力構成要素１０２ａ、１０２ｂのい
ずれかでフォールトが発生したとして以下にような運用
が行われる。

【０００８】入出力構成要素１０２ａ、１０２ｂのどち
らか一方においてフォールトの発生が検出されている場
合は、フォールトの発生が検出された方の入出力構成要
素をシステムから切り離して縮退運用を行う。入出力構
成要素１０２ａ、１０２ｂのいずれからもフォールトの
発生が検出されない場合は、入出力構成要素１０２ａ、
１０２ｂに対する入出力処理の再実行を行う。再実行に
おいて、比較装置１０３ａ、１０３ｂにおける入出力構
成要素１０２ａ、１０２ｂの動作または出力の比較結果
が一致した場合は、フォールトは外乱要因による過渡的
なものと判断してそのまま処理を継続し、比較結果が再
び不整合になった場合には、フォールトの発生箇所を特
定できない致命的な固定フォールトが発生したとして、
その時点で運用を停止するか、あるいは入出力構成要素
１０２ａ、１０２ｂのどちらか一方が正常状態にあると
想定して他方を切り離して縮退運用を行う。

【０００９】

【発明が解決しようとする課題】しかしながら、上述し
た従来の冗長コンピュータシステムにおいては、ハード
ウェア以外の冗長手段を持たないため、システム構成要
素、例えば情報処理構成要素でフォールトの発生が検出
されなかった場合は、外乱要因による過渡的なフォール
トやハードウェア故障と外乱要因の複合条件により発生
する間欠フォールトを無条件に致命的なフォールトと判
断されてしまうという問題がある。近年、半導体集積度
の向上、動作電圧の低下、動作周波数の向上、携帯電話
やモバイル機器の普及など、外乱要因による過渡的なフ
ォールトや間欠フォールトの発生する確率が増加してき
ており、上記問題に対する何らかの対策が必要となって
いた。

【００１０】なお、システム構成要素を三重化以上の冗
長構造とすることで上記問題を解決することが可能であ
るが、この場合は、大幅なコストの上昇を避けることが
できない。

【００１１】本発明の目的は、上記問題を解決し、最小
限のコストで、外乱要因による過渡的なフォールトや間
欠フォールトを判断することができる、冗長コンピュー
タシステムおよびフォールトトレラント制御方法を提供
することにある。

【００１２】

【課題を解決するための手段】上記目的を達成するた
め、本発明のフォールトトレラント制御方法は、システ
ム構成要素が二重化されてそれぞれ同期がとられる冗長
コンピュータシステムにおいて行われるフォールトトレ
ラント制御方法において、前記システム構成要素の少な
くとも１つの二重化されたモジュールについて、該二重
化されたモジュールの動作または出力が一致しているか
どうかの比較を行う第１のステップと、前記第１のステ
ップの比較結果が不一致となり、かつ、前記二重化され
たモジュールのいずれにおいてもフォールトの発生が検
出されなかった場合は、該各モジュールの動作状態をそ
れぞれ記憶するとともに再実行処理を行って再度各モジ
ュールの動作または出力が一致しているかどうかの比較
を行う第２のステップと、前記第２のステップの比較結
果が一致した場合は、各モジュールにそのまま処理を継
続させ、比較結果が不一致となった場合は、再実行にお
ける各モジュールの動作の状態と前記第２のステップで
記憶した動作の状態との比較を行う第３のステップと、
前記第３のステップの状態比較で、いずれかのモジュー
ルの動作状態が不一致となった場合は、該不一致となっ
た方のモジュールをシステムから切り離し、両方とも不
一致となった場合は、システムの運用を停止し、両方と
も一致となった場合は、前記第２のステップの再実行処
理を再度行う第４のステップとを含むことを特徴とす
る。

【００１３】また、本発明の冗長コンピュータシステム
は、システム構成要素が二重化されてそれぞれ同期がと
られる冗長コンピュータシステムにおいて、前記システ
ム構成要素の少なくとも１つの二重化されたモジュール
がそれぞれ、 前記二重化されたモジュールの動作また
は出力が一致しているかどうかの比較を行う比較手段
と、前記比較手段による比較結果が不一致の場合で、か
つ、前記二重化されたモジュールのいずれにおいてもフ
ォールトが検出されなかった場合に、該各モジュールの
動作状態がそれぞれ記憶される結果記憶手段とを有し、
前記二重化されたモジュールがそれぞれ、前記比較手段
による比較結果が不一致となった場合は再実行処理を行
い、該再実行における前記比較手段による比較結果が一
致した場合はそのまま処理を継続し、該再実行における
比較結果が不一致となった場合には、該再実行における
動作状態と前記結果記憶手段に記憶されている状態とを
比較し、該比較結果が不一致となった場合に、自らシス
テムから切り離すように構成されていることを特徴とす
る。

【００１４】（作用）上記のとおりの本発明において
は、二重化されたモジュールの動作または出力が不一致
となり、かつ、いずれのモジュールにおいてもフォール
トの発生が検出されなかった場合は、各モジュールの動
作状態をそれぞれ記憶するとともに再実行処理を行い、
該再実行における各モジュールの動作または出力が一致
しているかどうかの比較が行われる。この再実行におけ
る比較結果が一致した場合は、フォールトは放射線や電
磁ノイズなどの外乱要因による過渡的なものと判断し
て、各モジュールにそのまま処理を継続させ、不一致と
なった場合は、各モジュールの再実行における動作状態
と先の実行処理で記憶された各モジュールの動作状態と
の比較が行われる。そして、この状態比較において、い
ずれかのモジュールの動作状態が不一致となった場合
は、該不一致となった方のモジュールにフォールトが発
生しているとして該モジュールをシステムから切り離
し、両方とも不一致となった場合は、原理的に二重化構
造の冗長システムでは対処できない二重の固定的または
間欠的なフォールトが発生したと判断して、システムの
運用が停止される。このように、本発明によれば、ハー
ドウェアを三重化することなく、外乱要因による過渡的
なフォールトや間欠フォールトを判断することができ
る。

【００１５】

【発明の実施の形態】次に、本発明の実施形態について
図面を参照して説明する。

【００１６】図１に、本発明の冗長コンピュータシステ
ムの一実施形態を示す。この冗長コンピュータシステム
は、演算制御モジュールと入出力制御モジュールがそれ
ぞれ二重化されたフォールトトレランス構造になってい
る。各モジュールは、それぞれフォールトの発生を検証
する機能を備え、フォールトを検出すると、自らシステ
ムから切り離すように構成されている。以下、各モジュ
ールの構成を具体的に説明する。

【００１７】演算制御モジュールは、情報処理構成要素
１ａ，１ｂ、ライトキャッシュ２ａ，２ｂ、結果記憶装
置３ａ，３ｂ、同期・比較装置４ａ，４ｂからなる。入
出力制御モジュールは、入出力構成要素５ａ，５ｂ、結
果記憶装置６ａ，６ｂ、比較装置７ａ，７ｂからなる。

【００１８】情報処理構成要素１ａ，１ｂは、システム
全体の制御や演算を行うためのＣＰＵおよびメモリ（メ
インメモリ）などから構成される。入出力構成要素５
ａ，５ｂは、ディスク装置やネットワーク・インターフ
ェース・カードなどから構成される。

【００１９】同期・比較装置４ａ，４ｂは、互いに協調
し合って、システムクロック、入出力割り込みまたはタ
イマー割り込み、ソフトウェアのブレークポイントなど
により情報処理構成要素１ａ，１ｂの動作の同期をとる
とともに、これら情報処理構成要素１ａ，１ｂの動作ま
たは出力が一致しているかどうかの比較を行う。また、
同期・比較装置４ａ，４ｂは、入出力構成要素５ａ，５
ｂに対しても同様に動作の同期、比較を行う。さらに、
この同期・比較装置４ａ，４ｂは、それぞれに入出力構
成要素５ａ，５ｂの出力が入力されており、これら入力
が一致しているかどうかの比較を個々に行い、両入力が
一致している場合にのみ、入出力構成要素５ａ，５ｂの
出力をそれぞれ情報処理構成要素１ａ，１ｂに入力す
る。

【００２０】比較装置７ａ，７ｂは、入出力構成要素５
ａ，５ｂの動作または出力が一致しているかどうかの比
較を行う。また、この比較装置７ａ，７ｂは、それぞれ
に情報処理構成要素１ａ，１ｂの出力が入力されてお
り、両入力が一致しているかどうかの比較を個々に行
い、両入力の比較結果が一致している場合にのみ、情報
処理構成要素１ａ，１ｂの出力をそれぞれ入出力構成要
素５ａ，５ｂに入力する。ライトキャッシュ２ａ，２ｂ
は、それぞれ同期・比較装置４ａ，４ｂにおける情報処
理構成要素１ａ，１ｂの動作または出力の一致の確認が
行われるまでの間の、情報処理構成要素１ａ，１ｂ内の
メインメモリに対する書き込みデータを保持する。

【００２１】結果記憶装置３ａ，３ｂは、それぞれ同期
・比較装置４ａ，４ｂによって情報処理構成要素１ａ，
１ｂの動作または出力の不整合が検出された場合で、情
報処理構成要素１ａ，１ｂのいずれにおいてもフォール
トの発生が検出されなかった場合に、情報処理構成要素
１ａ，１ｂの動作状態を記憶する。

【００２２】結果記憶装置６ａ，６ｂは、それぞれ比較
装置７ａ，７ｂによって入出力構成要素５ａ，５ｂの動
作または出力の不整合が検出された場合で、入出力構成
要素５ａ，５ｂのいずれにおいてもフォールトの発生が
検出されなかった場合に、入出力構成要素５ａ，５ｂの
動作状態を記憶する。

【００２３】次に、この冗長コンピュータシステムの動
作を具体的に説明する。

【００２４】（１）演算制御モジュールの動作 システムが起動されて実行されると、まず、同期・比較
装置４ａ，４ｂが、情報処理構成要素１ａ、１ｂにおけ
る動作の同期をとるとともに情報処理構成要素１ａ，１
ｂにおける動作または出力が一致しているかどうかの比
較を行う。

【００２５】同期・比較装置４ａ，４ｂによる情報処理
構成要素１ａ，１ｂの動作または出力の一致の確認が行
われると、それまでの間の情報処理構成要素１ａ，１ｂ
内のメインメモリに対する書き込みデータがそれぞれラ
イトキャッシュ２ａ，２ｂに保持される。

【００２６】同期・比較装置４ａ，４ｂによって情報処
理構成要素１ａ，１ｂの動作または出力の不整合が検出
された場合は、情報処理構成要素１ａ，１ｂのいずれか
でフォールトが発生したとして各モジュールによる以下
のような制御が行われる。

【００２７】情報処理構成要素１ａ，１ｂのどちらか一
方においてフォールトの発生が検出された場合は、フォ
ールトの発生が検出された方の情報処理構成要素を含む
モジュールがシステムから切り離されて縮退運用が行わ
れる。

【００２８】情報処理構成要素１ａ，１ｂのいずれから
もフォールトの発生が検出されない場合は、結果記憶装
置３ａ、３ｂに情報処理構成要素１ａ，１ｂの状態が記
憶された後、ライトキャッシュ２ａ，２ｂの内容が無効
とされ、情報処理構成要素１ａ，１ｂの状態がそれぞれ
実行前の状態に戻されて再実行処理が行われる。

【００２９】再実行処理が行われると、再び同期・比較
装置４ａ，４ｂによる情報処理構成要素１ａ，１ｂの動
作または出力の一致の確認が行われると同時に、それま
での間の情報処理構成要素１ａ，１ｂのメインメモリに
対する書き込みデータがそれぞれライトキャッシュ２
ａ，２ｂに保持される。

【００３０】上記の再実行で、同期・比較装置４ａ，４
ｂによって情報処理構成要素１ａ，１ｂの動作または出
力の一致が検出された場合は、フォールトは外乱要因に
よる過渡的なものと判断され、そのまま処理（通常処
理）が継続される。

【００３１】一方、上記再実行で再度、同期・比較装置
４ａ，４ｂにて不整合が検出された場合には、情報処理
構成要素１ａの状態と結果記憶装置３ａに記憶された状
態、情報処理構成要素１ｂの状態と結果記憶装置３ｂに
記憶された状態がそれぞれ比較される。この比較におい
て、情報処理構成要素１ａ，１ｂの一方が一致して他方
が不一致となった場合は、不一致となった方の情報処理
構成要素を含むモージュールがシステムから切り離され
て縮退運用が行われ、両方とも不一致となった場合に
は、二重の固定的または間欠的なフォールトが発生した
と判断して、その時点でシステムの運用が停止される。
両方とも一致となった場合には、同様の再実行が繰り返
される。なお、所定の回数だけ再実行が行われても、情
報処理構成要素１ａ，１ｂの間に不整合があり、かつ、
結果記憶装置とも不一致となる場合には、フォールトの
発生箇所を特定することができない致命的な固定フォー
ルトが発生したと判断して、その時点でシステムの運用
を停止する。

【００３２】切り離された情報処理構成要素は、診断お
よび修理を行い、正常であることを確認した上で再びシ
ステムに組み込む。この組み込みの際、正常に動作して
いる情報処理構成要素の状態を、組み込まれる情報処理
構成要素にコピーし、再度、同期・比較装置４ａ，４ｂ
によって情報処理構成要素の動作の同期をとるようにす
る。

【００３３】（２）入出力制御モジュールの動作 比較装置７ａ，７ｂによって入出力構成要素５ａ，５ｂ
の動作または出力の不整合が検出された場合は、入出力
構成要素５ａ，５ｂののいずれかでフォールトが発生し
たとして各モジュールによる以下のような制御が行われ
る。

【００３４】入出力構成要素５ａ，５ｂのどちらか一方
においてフォールトの発生が検出された場合は、フォー
ルトの発生が検出された方の入出力構成要素を含むモジ
ュールがシステムから切り離されて縮退運用が行われ
る。

【００３５】入出力構成要素５ａ，５ｂのいずれからも
フォールトの発生が検出されなかった場合は、結果記憶
装置６ａ、６ｂに入出力構成要素５ａ，５ｂの状態がそ
れぞれ記憶された後、入出力処理の再実行が行われる。

【００３６】上記の再実行で、比較装置７ａ，７ｂによ
って入出力構成要素５ａ，５ｂの出力の一致が検出され
た場合は、フォールトは外乱要因による過渡的なものと
判断され、そのまま処理が継続される。再度、比較装置
７ａ，７ｂにて不整合が検出された場合には、入出力構
成要素５ａの状態と結果記憶装置６ａに記憶された状
態、入出力構成要素５ｂの状態と結果記憶装置６ｂに記
憶された状態がそれぞれ比較される。この比較におい
て、入出力構成要素５ａ，５ｂの一方が一致して他方が
不一致となった場合は、不一致となった方の入出力構成
要素を含むモージュールがシステムから切り離されて縮
退運用が行われ、両方とも不一致となった場合には、二
重の固定的または間欠的なフォールトが発生したと判断
して、その時点でシステムの運用が停止される。両方と
も一致となった場合には、同様の再実行が繰り返され
る。

【００３７】なお、所定の回数だけ再実行が行われて
も、入出力構成要素５ａ，５ｂの出力に不整合があり、
かつ、結果記憶装置６ａ，６ｂに記憶された状態とも不
一致となる場合には、フォールトの発生箇所を特定する
ことができない致命的な固定フォールトが発生したと判
断して、その時点でシステムの運用が停止される。

【００３８】切り離された入出力構成要素は、診断およ
び修理を行い、正常であることを確認した上で、再びシ
ステムに組み込まれる。この組み込みの際、正常に動作
している入出力構成要素の状態を、組み込まれる入出力
構成要素にコピーし、再度、同期・比較装置４ａ，４ｂ
によって入出力構成要素の動作の同期をとるようにす
る。

【００３９】以上のように本形態の冗長コンピュータシ
ステムにおいては、ライトキャッシュ２ａ，２ｂ、結果
記憶装置３ａ，３ｂを設けたことにより、情報処理構成
要素１ａ，１ｂに不整合が生じた場合の再実行による情
報処理構成要素の状態の比較が可能になっており、これ
によりフォールトの発生箇所を特定できる。

【００４０】また、本形態においては、結果記憶装置６
ａ，６ｂを設けたことにより、入出力構成要素５ａ，５
ｂに不整合が生じた場合の再実行による入出力構成要素
の状態の比較が可能になっており、これによりフォール
トの発生箇所を特定できる。なお、本形態では、演算制
御モジュールおよび入出力制御モジュールが二重化さ
れ、これらモジュールについて再実行によるフォールト
発生箇所の特定を行うようにしたが、本発明はこれに限
定されるものではなく、システムを構成するいずれかの
二重化されたモジュールについて再実行によるフォール
ト発生箇所の特定を行うようにしてもよい。

【００４１】また、情報処理構成要素１ａ，１ｂまたは
入出力構成要素５ａ，５ｂに不整合が生じた場合の再実
行の回数は特に限定されるものではないが、再実行の回
数を多くとればとるほど信頼性は向上することになる。

【００４２】（他の実施形態）図２に、本発明の冗長コ
ンピュータシステムの他の実施形態を示す。この冗長コ
ンピュータシステムは、各演算制御モジュールにそれぞ
れ再実行回数カウンタ８ａ，８ｂが設けられ、各入出力
制御モジュールにそれぞれ再実行回数カウンタ９ａ，９
ｂが設けられた以外は図１に示したシステムと同様の構
成となっている。図２中、図１に示すものと同じ構成に
は同じ符号を付してある。

【００４３】本形態では、情報処理構成要素１ａ，１ｂ
は、それぞれ複数のＣＰＵとメモリ（メインメモリ）か
ら構成されている。入出力構成要素５ａ，５ｂは、それ
ぞれディスク装置と２つのネットワークインターフェー
スカードから構成されている。このネットワークインタ
ーフェースカードの一方は、各入出力制御モジュール間
を接続するプライベートＬＡＮに接続され、他方はパブ
リックＬＡＮに接続されている。

【００４４】再実行回数カウンタ８ａ，８ｂおよび再実
行回数カウンタ９ａ，９ｂは、それぞれ各演算制御モジ
ュールおよび各入出力制御モジュールにおける再実行の
回数をカウントするためのものである。

【００４５】図３および図４に、この冗長コンピュータ
システムにおけるフォールトトレラント制御動作のフロ
ーを示す。以下、この図３および図４を参照してフォー
ルトトレラント制御動作を説明する。

【００４６】システムを起動して通常実行を行うと（ス
テップＳ１０）、情報処理構成要素１ａ，１ｂの動作を
システムクロック、入出力割り込みまたはタイマー割り
込み、ソフトウェアのブレークポイントなどにより同期
させる（ステップＳ１１）。

【００４７】続いて、情報処理構成要素１ａ，１ｂの動
作又は出力が一致しているかどうかの確認を行う（ステ
ップＳ１２）。この確認の際に、それまでの間の情報処
理構成要素１ａ，１ｂ内のメインメモリに対する書き込
みデータがそれぞれライトキャッシュ２ａ，２ｂに保持
される。

【００４８】上記ステップＳ１２の確認が一致である場
合は、各ライトキャッシュ２ａ，２ｂの内容を各情報処
理構成要素のメインメモリにそれぞれ書き出した後（ス
テップＳ１３）、上述のステップＳ１０の通常実行に戻
る。不整合が検出された場合は、続いて、各情報処理構
成要素１ａ，１ｂにおけるフォールト発生の有無を確認
する（ステップＳ１４）。

【００４９】上記ステップＳ１４の確認で、情報処理構
成要素１ａ，１ｂのどちらか一方においてフォールトの
発生が検出された場合は、フォールトの発生が検出され
た方の情報処理構成要素を含むモジュールをシステムか
ら切り離して縮退運用行う（ステップＳ１５）。また、
情報処理構成要素１ａ，１ｂのいずれからもフォールト
の発生が検出されない場合は、結果記憶装置３ａ、３ｂ
に情報処理構成要素１ａ，１ｂの状態を記憶し（ステッ
プＳ１６）、再実行回数カウンタ８ａ，８ｂのカウンタ
値を１インクリメントする（ステップＳ１７）。

【００５０】上記ステップＳ１６，Ｓ１７の後、ライト
キャッシュ２ａ，２ｂの内容を無効にして、情報処理構
成要素１ａ，１ｂの状態をそれぞれ実行前の状態に戻し
（ステップＳ１８）、再実行回数カウンタ８ａ，８ｂの
カウンタ値が規定値を超えていないかを確認する（ステ
ップＳ１９）。

【００５１】上記ステップＳ１９の確認で、カウンタ値
が規定値を超えた場合はシステムの運用を停止し（ステ
ップＳ２０）、カウンタ値が規定値以内の場合は再実行
を行う（ステップＳ２１）。ここで、再実行はＩ／Ｏ発
生またはライトキャッシュに保持される書き込みデータ
が満杯になるまで行われる。

【００５２】上記ステップＳ２１にて再実行が行われる
と、上記ステップＳ１１の場合と同様にして、情報処理
構成要素１ａ，１ｂの動作を同期させる（ステップＳ２
２）。続いて、情報処理構成要素１ａ，１ｂの動作又は
出力が一致しているかどうかの確認を行う（ステップＳ
２３）。この確認の際に、それまでの間の情報処理構成
要素１ａ，１ｂ内のメインメモリに対する書き込みデー
タがそれぞれライトキャッシュ２ａ，２ｂに保持され
る。

【００５３】上記ステップＳ２２の確認が一致である場
合は、再実行回数カウンタ８ａ，８ｂのカウンタ値を０
にし（ステップＳ２４）、上述のステップＳ１３の処理
に戻る。不一致である場合は、続いて、各情報処理構成
要素１ａ，１ｂにおけるフォールト発生の有無を確認す
る（ステップＳ２５）。

【００５４】上記ステップＳ２５の確認で、情報処理構
成要素１ａ，１ｂのどちらか一方においてフォールトの
発生が検出された場合は、フォールトの発生が検出され
た方の情報処理構成要素を含むモジュールをシステムか
ら切り離して縮退運用行う（ステップＳ２６）。また、
情報処理構成要素１ａ，１ｂのいずれからもフォールト
の発生が検出されない場合は、情報処理構成要素１ａ，
１ｂの状態が結果記憶装置３ａ、３ｂに記憶されている
状態と一致するかを確認する（ステップＳ２７）。情報
処理構成要素１ａ，１ｂのどちらか一方において状態の
不一致が確認された場合は、状態の不一致が検出された
方の情報処理構成要素を含むモジュールをシステムから
切り離して縮退運用行い（ステップＳ２６）、ともに状
態の一致が確認された場合は、再実行回数カウンタ８
ａ，８ｂのカウンタ値を１インクリメントする（ステッ
プＳ２８）。

【００５５】続いて、ライトキャッシュ２ａ，２ｂの内
容を無効にして、情報処理構成要素１ａ，１ｂの状態を
それぞれ前回の同期処理時点の状態に戻し（ステップＳ
２９）、再実行回数カウンタ８ａ，８ｂのカウンタ値が
規定値を超えていないかを確認する（ステップＳ３
０）。カウンタ値が規定値以上の場合はシステムの運用
を停止し（ステップＳ３１）、カウンタ値が規定値より
小さな場合は前述のステップＳ１３に戻って再実行を行
う。

【００５６】

【発明の効果】以上説明したように、本発明によれば、
ハードウェアを三重化することなく、外乱要因による過
渡的なフォールトや間欠フォールトを判断することがで
きるので、より低コストで、より信頼性の高い冗長コン
ピュータシステムを提供することができる。

【図面の簡単な説明】

【図１】本発明の冗長コンピュータシステムの一実施形
態を示すブロック図である。

【図２】本発明の冗長コンピュータシステムの他の実施
形態を示すブロック図である。

【図３】図２に示す冗長コンピュータシステムにおいて
行われるフォールトトレラント制御動作の一例を示すフ
ローチャート図である。

【図４】図２に示す冗長コンピュータシステムにおいて
行われるフォールトトレラント制御動作の一例を示すフ
ローチャート図である。

【図５】従来の冗長コンピュータシステムの概略構成を
示すブロック図である。

【符号の説明】

１ａ，１ｂ 情報処理構成要素 ２ａ，２ｂ ライトキャッシュ ３ａ，３ｂ，６ａ，６ｂ 結果記憶装置 ４ａ，４ｂ 同期・比較装置 ５ａ，５ｂ 入出力構成要素 ７ａ，７ｂ 比較装置

Claims (8)

【特許請求の範囲】
1. 【請求項１】 システム構成要素が二重化されてそれぞ
   れ同期がとられる冗長コンピュータシステムにおいて行
   われるフォールトトレラント制御方法において、 前記システム構成要素の少なくとも１つの二重化された
   モジュールについて、該二重化されたモジュールの動作
   または出力が一致しているかどうかの比較を行う第１の
   ステップと、 前記第１のステップの比較結果が不一致となり、かつ、
   前記二重化されたモジュールのいずれにおいてもフォー
   ルトの発生が検出されなかった場合は、該各モジュール
   の動作状態をそれぞれ記憶するとともに再実行処理を行
   って再度各モジュールの動作または出力が一致している
   かどうかの比較を行う第２のステップと、 前記第２のステップの比較結果が一致した場合は、各モ
   ジュールにそのまま処理を継続させ、比較結果が不一致
   となった場合は、再実行における各モジュールの動作の
   状態と前記第２のステップで記憶した動作の状態との比
   較を行う第３のステップと、 前記第３のステップの状態比較で、いずれかのモジュー
   ルの動作状態が不一致となった場合は、該不一致となっ
   た方のモジュールをシステムから切り離し、両方とも不
   一致となった場合は、システムの運用を停止し、両方と
   も一致となった場合は、前記第２のステップの再実行処
   理を再度行う第４のステップとを含むことを特徴とする
   フォールトトレラント制御方法。
2. 【請求項２】 請求項１に記載のフォールトトレラント
   制御方法において、 前記モジュールをＣＰＵおよびメインメモリを含む情報
   処理構成要素とすることを特徴とするフォールトトレラ
   ント制御方法。
3. 【請求項３】 請求項２に記載のフォールトトレラント
   制御方法において、 前記第１または第２のステップにおける各情報処理構成
   要素の動作または出力の比較を行う際に、それまでの各
   情報処理構成要素内のメインメモリに対する書き込みデ
   ータをライトキャッシュに保持するようにし、該比較結
   果が一致した場合に、前記ライトキャッシュに保持され
   たデータを前記メインメモリに書き出すステップをさら
   に含むことを特徴とするフォールトトレラント制御方
   法。
4. 【請求項４】 請求項１に記載のフォールトトレラント
   制御方法において、 前記第４のステップの、状態比較が両方とも一致となっ
   た場合に行われる再実行処理の繰り返しが所定回数行わ
   れても、前記第２のステップの比較結果が不一致とな
   り、かつ、前記第３のステップの比較結果が不一致とな
   る場合には、システムの運用を停止するステップをさら
   に含むことを特徴とするフォールトトレラント制御方
   法。
5. 【請求項５】 システム構成要素が二重化されてそれぞ
   れ同期がとられる冗長コンピュータシステムにおいて、 前記システム構成要素の少なくとも１つの二重化された
   モジュールがそれぞれ、 前記二重化されたモジュール
   の動作または出力が一致しているかどうかの比較を行う
   比較手段と、 前記比較手段による比較結果が不一致の場合で、かつ、
   前記二重化されたモジュールのいずれにおいてもフォー
   ルトが検出されなかった場合に、該各モジュールの動作
   状態がそれぞれ記憶される結果記憶手段とを有し、 前記比較手段による比較結果が不一致となった場合は再
   実行処理を行い、該再実行における前記比較手段による
   比較結果が一致した場合はそのまま処理を継続し、該再
   実行における比較結果が不一致となった場合には、該再
   実行における動作状態と前記結果記憶手段に記憶されて
   いる状態とを比較し、該比較結果が不一致となった場合
   に、自らシステムから切り離すように構成されているこ
   とを特徴とする冗長コンピュータシステム。
6. 【請求項６】 請求項５に記載の冗長コンピュータシス
   テムにおいて、 前記モジュールがＣＰＵおよびメインメモリを含む情報
   処理構成要素であることを特徴とする冗長コンピュータ
   システム。
7. 【請求項７】 請求項６に記載の冗長コンピュータシス
   テムにおいて、 前記情報処理構成要素はそれぞれ、 前記比較手段による比較が行われる際に、それまでの間
   の前記メインメモリに対する書き込みデータを保持する
   ライトキャッシュを有し、 前記ライトキャッシュは、前記比較手段における比較結
   果が一致した場合に、保持されたデータが前記メインメ
   モリに書き出されるように構成されていることを特徴と
   する冗長コンピュータシステム。
8. 【請求項８】 請求項５に記載の冗長コンピュータシス
   テムにおいて、 再実行処理の回数をカウントするカウンタ手段をさらに
   有し、 前記二重化されたモジュールはそれぞれ、前記カウンタ
   手段のカウンタ値が規定値を超えない範囲で再実行処理
   を繰り返すように構成されていることを特徴とする冗長
   コンピュータシステム。