JPH01154243A - 耐欠陥性でない要素と耐欠陥性システムとのインターフェイス - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 産業上の利用分野 本発明は、耐欠陥マルチプロセッサコンピュータシステ
ムを形成する方法及びシステムに係る。

従来の技術 データ処理が中断されないことが重要であるようなコン
ピュータシステムの用途は多数ある。

このような用途としては、例えば、ファイナンスの業界
、原子カプラントのような厳密な工業設備。

そして一般には、コンピュータシステムの欠陥によって
重大な破壊を招く場合が挙げられる。

耐欠陥コンピュータシステムは、成る欠陥が生じてもデ
ータ処理を継続できるように複数のシステム又はシステ
ム部品を備えた色々な程度の冗長度で形成されている。

耐欠陥コンピュータシステムを得るために多数の解決策
が利用されている。

１つの解決策においては、各々がそれ自身のメモリを有
した多数のマルチプロセッサが別々のタスクを実行する
。別の解決策においては、多数のマルチプロセッサが共
通のメモリを共有し、別々のタスクを実行する。更に別
の解決策は、各々それ自身のメモリを有する２つ以上の
マイクロプロセッサを使用してこれらが同じタスクを一
緒に行うようにすることで−ある。更に別の解決策は、
共通のメモリを共有する２つ以上のマルチプロセッサを
用いて同じタスクを一緒に行うことである。

上記の４つの解決策を組み合わせて使用する耐欠陥コン
ピュータシステムも考えられる。１つの公知の耐欠陥コ
ンピュータシステムにおいては、４つの中央処理ユニッ
トが使用され、そのうちの２つは第１のボードにおいて
デユープレックス形態で作動しそして他の２つは第２の
ボードにおいてデユープレックス形態で作動する。各ボ
ードからの出力が等しいとき及び等しくないときを検出
するために比較器が使用される。これらが等しくないこ
とが比較器によって検出された場合には。

欠陥ボードが自動的に停止され、その後、他のボードに
よって出力が与えられる。

発明が解決しようとする課題 公知の耐欠陥コンピュータシステムは、種々の程度の耐
欠陥特性を与えるが、その本来の目的を満たさず、然も
、本発明によってもたらされるような効果も与えない。

そこで、本発明の目的は、通常同時に動作する二重のコ
ンピュータシステムを有した耐欠陥コンピュータ方法及
びシステムを提供することである。この二重構成は、単
一欠陥点が生じないように確保し、一方のシステムのエ
ラー又は欠陥により全コンピュータシステムが作動不能
にならないようにする。更に、このような欠陥は、全て
、エラーを生じたモジュール又は素子を作動不能にする
か又は無視することにより修正できる。

本発明の更に別の目的及び効果は、以下の説明にその一
部分が記載されていると共に、以下の説明からその一部
分が明らかであろうし、又、本発明を実施することによ
って学び取ることができよう。本発明の目的及び効果は
、特許請求の範囲に特に指摘する方法、装置及びその組
み合わせによって実現されそして達成されるであろう。

課題を解決するための手段 これら及び他の目的を達成するために、以下で述べるよ
うに実施される本発明によれば、耐欠陥データ処理モジ
ュールを具備し、該モジュールは、該モジュールの動作
中に生じたエラーを検出して修正し、高度なデータ完全
性を維持するようにする手段と、上記耐欠陥データ処理
モジュールへの全てのデータの送信を制御すると共に上
記耐欠陥データ処理モジュールの全てのデータの受信を
制御するためのデータ送信制御手段と、このデータ送信
制御手段に接続され、上記データを受信及び送信するた
めの入力／出力ターミナルとを備えており、更に、上記
耐欠陥データ処理モジュールの上記入力／出力ターミナ
ルへ上記データを送信するように接続された耐欠陥性で
ない入力／出力モジュールを具備し、この耐欠陥性でな
い入力／出力モジュールは、上記データ送信制御手段か
らの要求に応答して耐欠陥コンピュータシステムへデー
タを転送するための読み取り手段と、上記耐欠陥性でな
い入力／出力モジュールが上記耐欠陥データ処理モジュ
ールへのデータの転送を開始しないようにするファイア
ウオール手段とを備えたことを特徴とする耐欠陥コンピ
ュータシステムが提供される。

本発明の別の特徴によれば、上記耐欠陥データ処理モジ
ュールは、上記入力／出力モジュールからのデータを記
憶するメモリと、上記メモリに接続され、上記耐欠陥デ
ータ処理モジュールの単独の制御を受け、上記データを
記憶すべき上記メモリ内の位置を指示するアドレスを発
生するためのアドレス手段とを備えている。

本発明の更に別の特徴によれば、上記入力／出力モジュ
ールは、該モジュール内で情報を転送するための入力／
出力バスを備え、そして上記ファイアウオール手段は、
上記入力／出力バスに接続されたバスインターフェイス
要素を備えている。

本発明の別の特徴によれば、上記データ送信制御手段は
、上記耐欠陥コンピュータシステムと上記耐欠陥性でな
い入力／出力モジュールとの間の通信を制御するクロス
リンク要素を備えている。

本発明の別の特徴によれば、耐欠陥データ処理モジュー
ルを具備し、該モジュールは、該モジュールの動作中に
生じたエラーを検出して修正し、高度なデータ完全性を
維持するようにする手段と、上記耐欠陥データ処理モジ
ュールのためのデータを記憶するメモリユニットと、耐
欠陥データ処理システムへの全ての入力データの受信を
制御するためのデータ送信制御手段であって、データを
受け取るべき上記メモリユニット内の全てのアドレスを
発生する手段を含んでいるデータ送信制御手段と、この
データ送信制御手段に接続され、上記入力データを受け
取る入力ターミナルと、更に、上記耐欠陥データ処理モ
ジュールの上記入力ターミナルに上記入力データを送信
するように接続された出力モジュールを具備し、該出力
モジュールは、上記耐欠陥データ処理モジュールへ上記
入力データを送信するための出力手段を備えた耐欠陥コ
ンピュータシステムが提供される。

本明細書に含まれてその一部分を構成する添付図面は、
本発明の一実施例を示すもので、これを参照しながら本
発明の詳細な説明する。

実施例 以下、添付図面を参照し、本発明の好ましい実施例を詳
細に説明する。

Ａ、システムの説明 第１図は、本発明の目的を達成する耐欠陥コンピュータ
システム１０のブロック図である。この耐欠陥コンピュ
ータシステム１０は、ゾーン又はステーションと称する
二重のシステムを含んでいる。通常のモードにおいては
、これらゾーンが同時に作動する。この二重構成では、
単一欠陥点が生じないように確保すると共に、一方のゾ
ーンのエラー又は欠陥によってコンピュータシステム１
０が作動不能にならないようにする。更に、このような
全ての欠陥は、その欠陥を生じたモジュール又は素子を
作動不能にするか又は無視することによって修正するこ
とができる。２つのゾーン１１及び１１′が二重の処理
システム２０及び２０′を含むものとして第１図に示さ
れている。然し乍ら、二重性は処理システムの範囲を越
える。

第２図は、耐欠陥コンピュータシステム１０の物理的な
ハードウェアを示していると共にシステムの二重性を示
している。各ゾーン１１及び１１′は、各々、別々のキ
ャビネット１２及び１２′に収容される。キャビネット
１２は、バッテリ１３と、電力レギュレータ１４と、冷
却ファン１６と、交流入力１７とを備えている。キャビ
ネット１２′は、キャビネット１２の要素１２−１４．
１６及び１７に対応する別々の要素を備えている。

以下で詳細に述べるように、処理システム２０及び２０
’は、バックプレーンによって相互接続された多数のモ
ジュールを備えている。成るモジュールが欠陥又はエラ
ーを含んでいる場合には、コンピュータシステムｌＯを
作動不能にすることなく−そのモジュールを取外して交
換することができる。これは、処理システム２０及び２
０’　が物理的に別々のものであって、別々のバックプ
レーンを有しており、これらバックプレーンにモジュー
ルを差し込んで互いに独立して動作させることができる
からである。従って、一方の処理システムが動作を続け
ている間に他方の処理システムのバックプレーンからモ
ジュールを取り外したり差し込んだりすることができる
。

二重の処理システム２０及び２０’は同一のものであっ
て、同一のモジュールを含んでいる。

従って、処理システム２０についてのみ完全に説明すれ
ば、処理システム２０′が同等に動作することが理解さ
れよう。

処理システム２０は、第３図及び第４図に詳細に示され
たＣＰＵモジュール３０を備えている。

このＣＰＵモジュール３０は、以下で詳細に説明するク
ロスリンク通路２５によって処理システム２０′のＣＰ
Ｕモジュール３０’に相互接続される。クロスリンク通
路２５は、処理システム２０と２０’　との間のデータ
送信経路を形成し、処理システム２０及び２０′が同期
して動作するよう確保するタイミング信号を搬送する。

又、処理システム２０は、第３図及び第１７図に詳細に
示されたＩ１０モジュール１００．１１０及び１２０を
備えている。これらＩ１０モジュール１００．１１０及
び１２０の各々は、二重レールモジュール相互接続部１
３０及び１３２によってＣＰＵモジュール３０に接続さ
れている。

モジュール相互接続部１３０及び１３２は、処理システ
ム２０のためのバックプレーンとして働く。

Ｂ、耐欠陥システムの原理 耐欠陥コンピュータシステム１０は、各要素が二重にな
っているので、単一欠陥点をもつことがない、処理シス
テム２０及び２０′の各々は。

欠陥停止処理システムであり、即ち、これらシステムは
サブシステム内の欠陥又はエラーを検出するとそれらが
制御されない状態で他のサブシステムへ伝播するのを防
止することができる。

２つの欠陥停止処理システム２０及び２０′は、規定の
状態で動作する幾つかの要素によって相互接続されて、
フェイルセーフシステムを形成する。耐欠陥コンピュー
タシステム１０として実施されるフェイルセーフシステ
ムにおいては、欠陥停止処理システム２０及び２０’の
一方に欠陥が生じた場合でもコンピュータシステム全体
が処理を続けることができる。

一般に、２つの欠陥停止処理システム２０及び２０′は
ロックステップ同期状態で動作する。

３つの重要な例外がある。その第１は、以下で詳細に述
べるブートストラップ技術によって両方のプロセッサを
同期状態にもっていくときの初期化である。第２の例外
は、処理システム２０及び２０″が２つの異なるワーク
ロードにおいて独立して（非同期で）動作するときであ
る。第３の例外は、処理システム２０及び２０’に幾つ
かのエラーが生じるときである。この第３の例外におい
ては、処理システム又はモジュールの１つが動作不能に
され、同期動作が終了となる。

二重処理システム２０及び２０’の同期は、同じ入力を
受けて同じ既知の状態でスタートするときに常に同じマ
シン状態に入ってエラーが生じない限り同じ結果を与え
る決定的なマシンとして各システムを処理することによ
って実行される。

処理システム２０及び２０″は、同一の構成にされ、同
じ入力を受け、それ故、同じ状態を通る。

従って、両方のプロセッサが同期して動作する限りこれ
らプロセッサが同じ結果を与えそして同じ状態に入らな
ければならない。処理システムが同じ状態にないか又は
異なった結果を与える場合には、処理システム２０及び
２０’の一方に欠陥が生じたと仮定される。修正処置を
とるためには欠陥源を分離し１例えば、欠陥モジュール
を動作不能にしなければならない。

エラー検出には、一般に、付加的な処理時間又は論理の
形態のオーバーヘッドが含まれる。このようなオーバー
ヘッドを最小にするためには、耐欠陥動作に適合するよ
うにできるだけ頻繁にならないようにシステムがエラー
をチエツクしなけ五ばならない。ＣＰＵモジュール３０
及び３０’からデータが出力される前に行うエラーチエ
ツクは非常に僅かセなければならない。さもなくば、原
子炉の場合と同様に内部の処理エラーによって外部のシ
ステムに不適切な動作が生じ、このような状態を防止す
るように耐欠陥システムが設計されている。

付加的なエラーチエツクを行う理由は幾つかある。例え
ば、欠陥又はエラーを分離するためには、ＣＰＵモジュ
ール３０及び３０′によって受け取ったデータを記憶又
は使用の前にチエツクすることが望ましい。さもなくば
、エラーのある記憶データが後でアクセスされて付加的
なエラーが生じたときには、エラーの発生源を見つける
ことが困難もしくは不可能となる。これは、特に、エラ
ーのあるデータがいつの間にか記憶さ九た場合にいえる
ことである０時間がたったりエラーデータが後で処理さ
れたときにはエラー発生源への追跡動作が破壊される。

エラーが検出される前に記憶される時間の長さを表わす
「エラー待ち時間」も後で問題を生じ゛させる。例えば
、めったに使用しないルーチンは、コンピュータシステ
ムが手前のエラーによって減少した容量で既に動作して
いるときには待ち時間エラーをカバーしない。コンピュ
ータシステムの容量が減少したときには、待ち時間エラ
ーによってシステムがクラッシュする。

更に、二重レールシステムである処理システム２０及び
２０’においては、メモリのような共有リソースのごと
き単一レールシステムにデータを転送する前にエラーを
チエツクすることが所望される。というのは、このよう
な転送の後には２つの独立したデータリソースがもはや
なく、単一レールシステムのエラーが後で検出された場
合には、エラーの追跡が不可能ではないまでも困蒐にな
るからである。

Ｃ，モジュールの説明 １、ＣＰＵモジュール 第１図に示されたＣＰＵモジュール３０の要素が第３図
及び第４図に詳細に示されている。第３図はＣＰＵモジ
ュールのブロック図であり、第４図はＣＰＵモジュール
３０、Ｉ１０モジュール１００及びそれらの相互接続部
のブロック図である。ＣＰＵモジュール３０及び３０′
に含まれた要素及びその動作は同じであるから、ＣＰＵ
モジュール３０についてのみ説明する。

ＣＰＵモジュール３０は、二重のＣＰＵ４０及び５０を
含んでいる。これらＣＰＵ４０及び５０は、当業者に知
られている標準的な中央処理ユニットである。ここに述
べる好ましい実施例では、ＣＰＵ４０及び５０は、本発
明の譲受人であるデジタルエクイップメント社によって
製造されたＶＡＸ（登録商標）プロセッサである。

ＣＰＵ４０及び５０には、これらＣＰＵに対して充分な
メモリサイズの標準的なキャッシュＲＡＭであるキャッ
シュメモリ４２及び５２が各々組み合わされる。好まし
い実施例においては、キャッシュＲＡＭが４ＫＸ６４ビ
ツトである。然し。

本発明は、キャッシュＲＡＭをもつ必要はない。

ＣＰＵ４０とキャッシュ４２との間のインターフェイス
として働くのは、システムサポート・キャッシュ制御要
素４４であり、ＣＰＵ５０とキャッシュ５２との間のイ
ンターフェイスとして働くのは、システムサポート・キ
ャッシュ制御要素５４である。要素４４と５４は同一で
あり、その各々は対応するキャッシュとＣＰＵとの間の
標準的なインターフェイスをなし、又、インターバルタ
イマのような従来の周辺装置機能をＣＰＵに与える。キ
ャッシュバス４３及び５３は、ＣＰＵ４０及び５０を各
々システムサポート・キャッシュ制御モジュール５２及
び４２に接続する。

２、メモリモジュール ＣＰＵ４０及び５０は、４つまでのメモリモジュール６
０を共有できるのが好ましい。第５図は１つのメモリモ
ジュール６０のブロック図であり、そして第６図はモジ
ュール６０の特定のメモリ要素を示す詳廁図である。

メモリモジュール６０は、−次メモリ制御器７０から３
２ビツト雨方向メモリバス８５を経てデータを受け取る
。又、メモリモジュール６０は。

）モリ制御器７０及び７５から各々バス８０及び８２を
経てアドレス／制御信号も受け取る。バス８０及び８２
は、行及び列のアドレス信号と、タイミング及び制御信
号、例えば、ＲＡＳ　（行アドレスストローブ）、ＣＡ
Ｓ　（列アドレスストローブ）、ＷＥ（書き込みイネー
ブル）及びリフレッシュ信号とを含んでいる。

第５図に示すように、メモリモジュール６０はメモリア
レイ６００を含んでいる。このメモリアレイ６００は、
行及び列アドレスによってアドレスできる標準的なＲＡ
Ｍであるのが好ましい。

好ましい実施例では、メモリアレイ６００は、メモリを
８バンクまで含むことができる。

制御論理回路６１０は、アドレス及びメモリ制御信号を
伝送しそしてタイミング及び内部制御信号を発生する。

第６図に詳細に示されたように、制御論理回路６１０は
、−次制御信号デマルチプレクサ６１２と、ミラー制御
信号デマルチプレクサ６１４と、−次制御信号ドライバ
６１６と、システムタイミング制御信号発生器６１８と
を備えている。−次制御信号デマルチプレクサ６１２は
。

−次ボードアドレス及び−次バンクアドレス信号及び−
次ＲＡＳ、ＣＡＳ、ＷＥ及びリフレッシュ信号を一次メ
モリ制御器７０から受け取る。−次ボードアドレス信号
が特定のボードを識別する場合には、そのボードがアク
ティブとなり、そのボードのデマルチプレクサ６１２は
、ＲＡＳ、ＣＡＳ、リフレッシュ及び３ビツトのバンク
アドレス信号から２組の８個の制御信号を発生する。こ
れら８個の制御信号は、−次制御信号ドライバ６１６か
らの８個のＰＲＡＳ　（−次ＲＡＳ）及び８個のＰＣＡ
Ｓ　（−次ＣＡＳ）信号となる。ドライバ６１６は、こ
れらの信号をブーストして種々のメモリバンクを駆動す
る。アクティブなメモリボードについては、デマルチプ
レクサ６１２は、ＷＥ倍信号デマルチプレクスしてその
４つのコピーを形成し、これらはドライバ６１６によっ
てブーストされて４つのＰＷＥ　（−次ＷＥ）信号が形
成される。リフレッシュ動作中には、全てのボードがア
クティブとなる。

ミラー制御信号デマルチプレクサ６１４は、ミラー信号
に対して等しく動作する。ミラー信号は別々のボードに
供給されず、エラー検出に使用されるだけであるから、
ドライバを必要としない。

システムタイミング／制御信号発生器６１８は、４種類
の入力、即ちクロッ信号と、書き込み、読み取り及びリ
フレッシュタイミングのようなメモリサイクル信号と、
当業者に良く知られた幾つかの他のシステム制御信号と
、アドレスビット２９とを受け取る。アドレスビット２
９は、アドレス信号がメモリスペース（即ち、メモリア
レイ６００）へのアクセスを識別するか又はＩ１０スペ
ース（Ｉ１０装置又はシステムレジスタの１つ）へのア
クセスを識別するかを決定する。システムタイミング制
御信号発生器６１８は、以下に述べるメモリモジュール
６０の他の要素の整合及びタイミングを制御する。

第５図に示された構成エラー論理回路６２０は、メモリ
モジュール６ｏの動作中に検出されたエラーに関連した
情報を記憶する。特に、比較論理回路６３０によってエ
ラーが検出された場合には、構成エラー論理回路６２０
は、その欠陥アドレス及び／又はデータを識別するに必
要な情報を記憶する。然し乍ら、比較論理回路６３０は
、制御及びアドレス信号をチエツクするだけで、メモリ
データ信号はチエツクしない。

メモリデータ信号はエラー検出コード（ＥＤＣ）を用い
てチエツクされる。好ましい実施例では、メモリ制御器
７０及び７５によって必要とされるものと同じコードを
使用し、これは、単一ビット修正、二重ビット検出、エ
ラー修正コード（ＦＣＣ）であるのが好ましい。

第６図に示されたように、構成エラー論理回路６２０は
、エラー処理論理回路６２５及びＥＥＰＲＯＭ６２６を
僅えている。エラー処理論理回路６２５は、エラーカウ
ンタと、制御論理回路と、４つの記憶レジスタ（１つは
一次アドレス用、１つは二次アドレス用、１つはＥＣＣ
用そして１つはデータワード用）とを備えている。論理
回路６２５は、以下で詳細に述べる比較論理回路６３０
の出力からエラー信号を発生する。好ましくは、エラー
状態が検出されたときに、カウンタが増加し、論理回路
６２５のレジスタが一次及びそのミラーメモリアドレス
と、ＦＣＣと、それに関連したデータワードとを記憶す
る。何等かの形式のＮＶＲＡＭ　（不揮発性ＲＡＭ）　
であるＥ　Ｅ　Ｐ　ＲＯＭ６２６は、オフライン診断に
対してメモリエラーデータを記憶する。メモリモジュー
ルに欠陥が生じた後にこのモジュールが取り外されたと
きには、欠陥の原因を判断するためにＥＥＰＲＯＭ６２
６から記憶されたデータが取り出される。

比較論理回路６３０は、−次メモリ制御器７０からのＦ
ＣＣ１制御及びアドレス信号をミラーメモリ制御器７５
からの信号と比較することによりエラー検出を行い、こ
れら信号が互いに等しくないことを検出する。比較論理
回路６３０は、第６図に詳細に示されており、行及び列
アドレスメモリドライバ６３２、アドレス比較器６３４
、制御信号比較器６３６、ＦＣＣ信号比較器６３８、デ
ータ及びＥＣＣトランシーバ６４０、及びＥＣＣ発生器
６４２を備えている。

行及び列アドレスメモリドライバ６３２は。

１１ビツトの行及び列アドレス信号を受け取って各信号
の４つのコピーを発生し、メモリアレイ６００の全ての
メモリバンクに対して充分な信号強度を与える。

各々の一次行及び列アドレス信号の４つのコピーは、ミ
ラー行及び列アドレス信号と同様に。

アドレス比較器６３４へ入力される。メモリモジュール
６０の好ましい実施例においては、行及び列の両方のア
ドレスが１１ビツトの長さであり、交互のサイクルにバ
ス８０及び８２を経て送信される。従って、各メモリア
ドレスごとに、２つの比較が順次行われる。

アドレス比較器６３４は、別々の信号に各々対応する１
１個の５入力排他的オアゲート回路を用いて４４個の一
次行及び列アドレス信号と１１個のミラー行及び列アド
レス信号を同時に比較する。排他的オアゲート回路は、
いずれかの入力が異なる場合にそれらの出力をイネーブ
ルする。同様に、アドレス比較器６３４は、−次ボード
アドレス信号とミラーボードアドレス信号を比較すると
共に、−次バンクアドレス信号とミラーバンクアドレス
信号を比較する。これら全ての信号は、デマルチプレク
サ６１２及び６１４へも入力される。

システムタイミング及び制御信号発生器６１８は、入力
信号が安定したときに比較を行うようにするためにアド
レス比較器６３４のタイミングを制御する。比較の結果
は、エラー処理及び制御論理回路６２５へ入力される。

アドレス比較器６３４がいずれかの対応する信号が互い
に異なることが分かった場合には、回路６２５がエラー
を指示し、アドレス／制御エラー信号７６２をメモリ制
御器７０及び８０に送ることによって適当な処置をとる
。

制御信号比較器６３６は、アドレス信号比較器６３４と
同様に動作する。制御信号比較器６３６は、ＰＲＡＳ信
号とＭＲＡＳ信号を比較し、ＰＣＡＳ信号とＭＣＡＳ信
号を比較し、ＰＷＥ信号とＭＷＥ信号を比較しそして一
次リフレッシュ信号とミラーリフレッシュ信号を比較す
る。制御信号比較器６３６は、アドレス比較器６３４と
はゾ同様にタイミングどりされ、比較エラーが指示され
たときに、エラー処理及び制御論理回路６２５はエラー
を指示し、アドレス／制御エラー信号をメモリ制御器７
°０及び７５に送信する。

ＦＣＣ比較回路６３８は、比較器６３４及び６３６とは
若干異なった動作をする。書き込み動作の場合、ＥＣＣ
比較器６３８は、データ及びＥＣＣトランシーバ６４０
から７ビツトの一次ＥＣＣデータを受け取る。トランシ
ーバ６４０はメモリアレイ６００に対するデータ及びＥ
ＣＣ信号をバッファする０次いで、ＥＣＣ比較器６３８
は。

トランシーバ６４０からのＥＣＣ信号と、トランシーバ
６４０の出力の３２ビット−次データ信号からＥＣＣ発
生器６４２によって形成されたＥＣＣ信号とを比較する
。

又、ＥＣＣ比較器６３８は、ミラーメモリ制御器７５か
ら受け取ったミラーＥＣＣ信号と、−次メモリ制御器７
０から受け取った一次ＦＣＣ信号とを比較する。いずれ
かのＦＣＣ比較によって２つの信号が等しくないことが
指示された場合には、エラー処理及び制御論理回路６２
５がエラーを指示し、ＦＣＣエラー信号７５２をメモリ
制御器７０及び７５に送信する。比較器６３４及び６３
６の場合と同様に、ＥＣＣ比較器６３８は、入力信号が
安定したときに比較が行われるようにタイミングどりさ
れる。

読み取り動作の場合には、３２ビツトデータ及び７ビツ
トＦＣＣがメモリアレイ６００から読み取られる。更に
、ＥＣＣ発生器６４２は、ＥＣＣ比較器６３８がメモリ
アレイ６００からの７ビツトＦＣＣと比較するところの
３２ビツトデータから７ビツトＥＣＣを発生する。又、
ＥＣＣ比較器６３８は、入力信号が安定したときに比較
が行われるようにタイミングとりされる。２つの信号が
等しくない場合には、エラー処理及び制御論理回路６２
５がエラーを指示し、ＦＣＣエラー信号７５２をメモリ
制御器７０及び７５へ送信する。

前記したように、エラー処理論理回路６２５は、読み取
り動作中に生じる第１ＦＣＣエラーの一次及びミラーア
ドレスをセーブする。論理回路６２５内のカウンタのＥ
ＣＣエラーカウントは、これが最初に発生する場合に１
にセットされる。

その後にＦＣＣ読み取りエラーが生じると、メモリモジ
ュール６０内のＥＣＣエラーカウントが増加される。Ｃ
ＰＵ４０及び５０は、メモリモジュールに記憶されたア
ドレス及びカウント情報を通常の診断テストの一部分と
して周期的にポーリングする。ポーリングプロセスの一
部分によりこれらレジスタがクリアされ、ＦＣＣエラー
のある次のアドレスをトラップできるようにする。ＣＰ
Ｕ４０及び５０が修正されたデータをトラップされたア
ドレスに書き込むときには、メモリアレイ６００からの
これら「ソフトエラー」が修正される。

３・差ｊ巳Ｊ側尋 前記したように、メモリモジュール６０は、メモリへの
データ信号の比較は行わない。−次及びミラーメモリ制
御器７０及び７５がこのような屁較を行う。メモリ制御
器７０及び７５は、各々、メモリモジュール６０へのＣ
ＰＵ４０及び５０のアクセスを制御する。−次メモリ制
御器７０が第７図に詳細に示されており、ミラーメモリ
制御器７５が第８図に詳細に示されている。これらメモ
リ制御器７０及び７５は第７図及び第８図では若干異な
って示されているが、融通性を得るためにはこれらが同
一であるのが好ましい。これらの図面は説明を簡略化す
るために別々に示されている６第７図に示すように、−
次制御及びアドレスラインは一次メモリ制御器７０を通
してメモリモジュール６０へ直結されている。メモリ相
互接続部８０の一次制御信号は、ＲＥＡＤ及びＷＲＩＴ
Ｅといった必要な全てのタイミング及び内部制御信号を
形成するために回路（図示せず）によって処理され、デ
コードされる。

データライン７０は、書き込み動作中に書き込みバッフ
ァ７１５及び７２０を経てメモリ相互接続部８５へ接続
される。読み取り動作中には、メモリモジュール６０か
らメモリ相互接続部８５に送られるデータが読み取りバ
ッファ７２５を通り、ＥＣＣ発生器７３０及びＥＣＣチ
エツク／修正回路７３５へ入力される。ＥＣＣチエツク
／修正回路７３５の出力は、読み取りバッファ７４０へ
入力され、その出力はデータライン７１０へ接続される
。

ＥＣＣ発生器７３０は、メモリモジュール６０に書き込
まれるようにデータライン７１０から受け取ったデータ
に対しＦＣＣを発生する。この発生器７３０からのＥＣ
Ｃは、書き込みバッファ７４５を経てメモリモジュール
６０へ送られる一次ＦＣＣ信号である。

読み取り動作中にメモリモジュール６０から受け取られ
た一次ＦＣＣ信号は、読み取りバッファ７４８を経てＥ
ＣＣチエツク／修正回路７３５へ送られる。ＥＣＣチエ
ツク／修正回路７３５は、メモリ相互接続部８５から受
け取ったデータから発生されたＦＣＣをチエツクして、
エラーを検出する。又、回路７３５は単一ビットエラー
を修正し、修正したデータを読み取りバッファ７４０を
経て送信する。ＥＣＣチエツク／修正回路７３５がでラ
ーを修正できないと判断した場合には、修正不能読み取
りエラー信号７３８をエラーラッチ７５０に送信し、該
ラッチはこの信号を記憶する。

エラーラッチ７５０への他の入力は、アンドゲート７５
５から受け取ったＦＣＣエラー信号７５８である。アン
ドゲート７５５は、−次ＦＣＣエラー信号７５２（エラ
ー処理及び制御論理回路６２５からの）及びＷＲＩＴＥ
信号を入力として受け取る。ＦＣＣチエツク／修正回路
は読み取り動作に対しエラーの検出及び修正を行うので
、アンドゲート７５５は、書き込み動作中にのみ一次Ｆ
ＣＣエラーを指示するように確保する。

エラーラッチ７５０への別の入力は、エラー処理及び制
御論理回路６２５からの一次アドレス／制御エラー信号
７６２である。エラーラッチ７５０への残りの入力はミ
ラー比較不一致信号７６８である。このミラー不一致信
号７６８は、−次メモリ制御器７０及びミラーメモリ制
御器７５からメモリモジュール６０へ送られた信号が互
いに不一致であることを比較器が検出したときにミラー
メモリ制御器７５から受け取られる。

エラーラッチ７５０に記憶される信号は各々データビッ
トとして記憶される。これらのビットはオアゲート７６
０へ入力され、該ゲートは、エラーラッチ７５０のいず
れかのビットがイネーブルされた場合に一次ミラーエラ
ー信号をイネーブルする。

ミラーメモリ制御器７５が第８図に詳細に示されている
。ミラーアドレス及び制御信号８２は、それに対応する
一次制御信号８０が一次メモリ制御器７０を通過したの
と同様にミラーメモリ制御器７５に通されてデコードさ
れる。データライン７１１は書き込みバッファ７１６を
通して受け取られ、比較器７６５へ入力される。これら
のデータラインは、又、ＥＣＣ発生器７３１へも入力さ
れ、該発生器はミラーＦＣＣ信号を発生する。ミラーＦ
ＣＣ信号は、書き込みバッファ７４６によってメモリモ
ジュール６０に送られる。

データライン７１１は、制御器７５が一次制匈器として
働く必要がある場合に、書き込みバッファ７２２を経て
メモリモジュール相互接続部８５にも接続される。然し
乍ら、一般に、１組のデータ信号しかメモリモジュール
６０に送られず、バッファ７２２は通常ディスエイプル
される。

データは、読み取り及び書き込みの両方の動作中にメモ
リモジュール６０からメモリ相互接続部８５を経てメモ
リ制御器７５へ受け取られる。

書き込み動作中には、メモリ相互接続部８５のデータは
、−次メモリ制御器７０がメモリモジュール６ｏへ送る
ものと同じデータである。このデータは、書き込みバッ
ファ７２１を経て比較器７６５へ受け取られる。書き込
み動作中に、−次メモリ制御器７０からのデータがミラ
ーメモリ制御器７５からのデータに等しくない場合には
、比較器７６５がミラー比較不一致信号７６８をイネー
ブルし、この信号は、−次メモリ制御器７０のエラーラ
ッチ７５０及びミラーメモリ制御器７５のエラーラッチ
７５１の両方に入力される。

読み取り動作中に、メモリモジュール６ｏからのデータ
は相互接続部８５から読み取りバッファ７２６を経て受
け取られ、次いで、ＦＣＣチエツク／修正回路７３６へ
入力される。メモリモジュール６０から受け取ったミラ
ーＦＣＣ信号は、読み取りバッファ７４９を経て受け取
られると共に、ＦＣＣチエツク／修正回路７３６にも入
力される。−次メモリ制御器７０のＦＣＣチエツク／修
正回路７３５と同様に、ＦＣＣチエツク／修正回路７３
６は、読み取りバッファ７４１を経てデータライン７１
１にデータを出力する前に全ての単一ビットエラーを修
正する。ＦＣＣチエツク／修正回路７３６がエラーを修
正できない場合には、修正不能読み取りエラー信号７３
９をイネーブルし、この信号は一次メモリ制御器７０の
ラッチ７５０の場合と同様にエラーラッチ７５１に記憶
される。

又、エラーラッチ７５１は、アンドゲート７５６からの
ＥＣＣエラー信号７５９も記憶し、このアンドゲートは
、メモリモジュール６０からのミラーメモリエラー信号
７５３とＷＲＩＴＥ信号とを合成する。更に、エラーラ
ッチは、メモリエラーモジュール６０のエラー処理論理
及び制御回路６２５からのミラーアドレス／制御エラー
信号７６３も記憶する。エラーラッチ７５１の出力はオ
アゲート７６１に入力される。オアゲート７６１は、エ
ラーラッチ７５１のいずれかのビットがイネーブルされ
た場合にミラーメモリエラー信号をイネーブルする。

処理システム２０′は、内部的には二重レールシステム
である。一方のレールは、ＣＰＵ４０と、キャッシュメ
モリ４２と、メモリ制御器７０と、内部バス４６とを備
えている。他方のレールは、ＣＰＵ５０と、キャッシュ
メモリ５２と、メモリ制御器７５と、内部バス５６とを
備えている。

然し乍ら、メモリモジュール６０は共有リソースである
。従って、メモリモジュール７０及び７５は、メモリモ
ジュール６０に対しては二重レール−単一レールインタ
ーフェイスをなす。従って、本明細書のＢ節で述べた本
明細書の原理によれば、このインターフェイスにおいて
エラーチエツクが与えられる。好ましい実施例において
は、このようなエラーチエツクが２つの異なった技術を
含む。

先ず第１に、ＣＰＵ５０からメモリ制御器７５へ送られ
るデータ信号はメモリモジュール６０に書き込まれず、
ＣＰＵ４０からメモリ制御器７ｏを経て送られるデータ
信号と比較される。メモリ制御器７５はこの比較を行う
と共に、メモリモジュール６０へ送られたデータに対し
てエラーチエツクを行う。メモリモジュール６０は、メ
モリ制御器７０及び７５からのアドレス、制御信号及び
ＦＣＣを比較し、不一致を検出する。第２のエラーチエ
ツク技術は、メモリ制御器７０及び７５がメモリデータ
からそれ自身のＦＣＣを発生することを含む。

本発明の別の特徴は、単一ビットメモリエラーによって
システム欠陥を生じさせるのではなくてメモリ制御器７
０及び７５により単一ビットメモリエラーを修正するこ
とである。この技術は、例えば、アルファ粒子が衝突す
ることにより通常生じる単一ビットメモリエラーを受け
入れる。このようなエラーを修正すると、システム欠陥
時間が減少され、単一の共有のメモリモジュールを使用
できるようにする。エラーの発生及び位置に注目するこ
とにより後で診断を行うことができる。

例えば、所定数以上のこのような修正可能なエラーを受
けるメモリボードを交換することが所望される。

メモリモジュール６ｏと、−次及びメモリ制神器７０及
び７５との間のインターフェイスが第７図及び第８図の
左側部分に一般的に示されている。第９図は、メモリ制
御器７０と内部バス４６及びクロスリンク９０とのイン
ターフェイス回路７７０を示している。メモリ制御器７
５にも同じインターフェイス回路が含まれる。

インターフェイス回路７７０はＤＭＡエンジン７７５に
も接続され、これは、メモリモジュール６０への直接メ
モリアクセス経路のためのアドレス及びコマンド信号を
発生する。好ましくは従来設計のものであるＤＭＡエン
ジン７７５の一般的な動作を詳細に理解することは、本
発明を理解する上で必要ではない。ＤＭＡエンジン７７
５は、Ｄ　Ｍ　Ａ転送のためのアドレスを有する１つの
カウンタと、転送回数の経過を保持するための別のカウ
ンタとを含んでいる。各転送の後に、アドレスカウンタ
は増加されそして転送回数カウンタは減少される。

ＤＭＡエンジン７７５の１つの重要な特徴は、対応する
ＣＰＵがＤＭＡエンジン７７５の動作のだめのアドレス
信号及び制御信号を発生して受信データを適切な位置に
書き込めるようにすることである。従って、Ｉｌｏ又は
周辺ユニットがエラーアドレスを発生することはない。

このようなエラーアドレスは、特にこのアドレスによっ
て工／○データがシステム情報又は他のデータの上に書
き込まれるような場合には有害な影響をもたらす。

バッファ７８６は、ＣＰＵ４０から内部バス４６を経て
データを受け取る。バッファ７８８はメモリ制御器７０
からデータライン７１０を経てデータを受け取る。バッ
ファ７９０はクロスリンク９０からデータを受け取る。

インターフェイス回路７７０においては、ドライバ７８
０がその作動時に内部バス４６及びＣｐＵ４０へのデー
タ経路を与える。ドライバ７８０は、ＣＰＵがメモリモ
ジュール６０を読み取るか又はＩｌｏを読み取る間に作
動される。ドライバ７８０への入力を与えるマルチプレ
クサ７９２は、ＣＰＵ４０がメモリを読み取る場合には
バッファ７８８からの入力を、或いはＣＰＵ４０が工１
０装置からデータを読み取る場合にはバッファ７９０か
らの入力を、内部バス４０のデータとして選択する。

ドライバ７８２は、メモリ制御器７０へのデータ経路を
与え、ＣＰＵがメモリモジュール６０へ書き込みするか
メモリモジュール６ｏへＤＭＡ書き込みするか或いはメ
モリ再同期（スレーブ）動作をするために作動される。

メモリ再同期動作については以下で詳細に述べる。これ
らの動作は。

メモリモジュール６０及び６０′の内容が互いに等しく
セットされるようにするために使用される。

メモリ再同期動作においては、データを受け取っている
モジュールが「スレーブ」となり、そしてデータを送信
しているモジュールが［マスター」となる。ドライバ７
８２へ入力を与えるマルチプレクサ７９４は、実行され
ている動作がＣＰＵのメモリ書き込みである場合にはバ
ッファ７８６からの入力を、或いは動作がＤＭＡ書き込
みであるかメモリ再同期（スレーブ）動作である場合に
はバッファ７９０からの入力をメモリモジュール６０の
ためのデータとして選択する。

バッファ７８４はクロスリンク９０へのデータ路を与え
、工１０装置へ書き込みするかメモリのＤＭＡ読み取り
を行うか又はメモリ再同期（マスター）動作を行うよう
に作動される。バッファ７８４へ入力を与えるマルチプ
レクサ７９６は、動作がメモリのＤＭＡ読み取りである
場合にはバッファ７８８からの入力を、或いは動作がＩ
１０装置へのＣＰＵ書き込みであるか又はメモリ再同期
（マスター）動作である場合にはバッファ７８６からの
入力をクロスリンク９０のためのデータとして選択する
。

マルチプレクサ７９８及び７９９は、アドレス及び制御
信号を各々メモリ相互接続部８０へ供給する。両方のマ
ルチプレクサ７９８及び７９９は、ＤＭＡ又はメモリ再
同期（スレーブ）動作を伴わないメモリ動作に対しては
バッファ７８６の出力を、ＤＭＡ動作に対してはＤＭＡ
エンジン７７５の出力を、或いはメモリ再同期（スレー
ブ）動作に対してはバッファ７９０の出力を、上記アド
レス及び制御信号のソースとして選択する。

４．クロスリンク メモリ再同期、ＤＭＡ及びＩ１０１００ためのデータは
クロスリンク９０及び９５に通される。

一般に、クロスリンク９０及び９５は、ＣＰＵモジュー
ル３０と、ＣＰＵモジュール３０′と、工／○モジュー
ル１００，１１０，１２０と、Ｉ１０モジュール１００
’　、１１０’　、１２０’　との間の通信を行う。ク
ロスリンク９０及び９５は同じものであるから、クロス
リンク９０の要素及び動作についてのみ説明する。

クロスリンク９０は、第１０図及び第１１図に各々示さ
れた並列レジスタ及び直列レジスタを含んでいる。これ
ら画形式のレジスタは、本発明の好ましい実施例ではプ
ロセッサ間通信に使用される。通常の動作中には、プロ
セッサ２０と２０′が同期され、クロスリンク９０／９
５及び９０′／９５′の並列レジスタによって各々処理
システム２０と２０’　との間でデータが並列に交換さ
れる。処理システム２０及び２０’　が同期されないと
きには（ブートストラップ中に最も注目すべきことであ
る）、データが直列レジスタによって交換される。

第１０図に示された並列レジスタは、クロスリンク診断
通信レジスタ９０１、セーブ状態レジスタ９０３、通信
レジスタ９０６及び状態レジスタ９０９を備えている。

並列レジスタのアドレスはＩ１０スペース内にある。こ
のＩ１０スペース内においてこれらのアドレスはシステ
ムアドレススペース内にあるか又はゾーンアドレススペ
ース内にある。「システムアドレススペース」という用
語は、システム１０全体にわたってアクセスでき、ひい
ては１両プロセッサ２０及び２０’によってアクセスで
きるアドレスを意味する。「ゾーンアドレススペース」
という用語は、特定のクロスリンクを含むゾーンのみに
よってアクセスできるアドレスを意味する。

クロスリンクＯＣＲ（診断通信レジスタ）９０１は、ク
ロスリンク９０内に存在し、情報を交換すると共にゾー
ン１１′力１らゾーン１１内の診断機能を作用させるこ
とのできる能力を有している。クロスリンクＤＣＲ９０
１は、次のように構成された３２ビツトレジスタである
のが好ましい。

ビット　　　　胆 ３１　　　　　受信フラグ ３０：２４　　　［指定済み：全てＯ］２３：１６　　
　受信データ １５　　　　　送信フラグ １４：８　　　　［指定済み：全て０］７：ｏ　　　　
送信データ クロスリンクは１両方のゾーンへの割込みを生じさせる
ことができると共に、他のゾーンによってデータを受け
取ったり当該ゾーンでデータを利用したりできるように
する。ＯＣＲは、Ｉ１０モジュールがロックステップ状
態にあって且つクロスリンクがマスター／スレーブモー
ドにあるときしか使用できない。一方のゾーン、即ちマ
スターゾーンは、他方のゾーン、即ちスレーブゾーンの
Ｉ１０装置を制御し、スレーブゾーンのクロスリンクは
通信に使用される。マスターゾーンのクロスリンクＤＣ
Ｒは使用されない。発生される割込みは、スレーブゾー
ンのＣＰＵ及びマスターゾーンのＣＰＵへ至る。各ゾー
ンは、データの送信及び受信に対して割込みを使用する
かポーリングを使用するかについてそれ自身の選択を行
う。

ゾーン１１が全てのＩ１０装置を制御する場合には、次
のようなシーケンスを経てゾーン１１’に通知する。

１、ゾーン１１’のクロスリンクＤＣＲにビット２３：
１６を書き込む。

２、割込みをイネーブルする（ゾーン１１′の並列状態
レジスタ９０９） ３、割込みのための待機 ４、送信器の空き割込みは、ゾーン１１′がゾーン１１
′のクロスリンクＯＣＲを読み取ったことを報告する。

５、受信器いっばい割込みは、ゾーン１１′が応答する
ことを報告する。

ゾーン１１′は、その直列状態レジスタを用いて、それ
自身の割込みを以下に述べるように設定する。その並列
状態レジスタ９０９は、クロスリンクがスレーブモード
にセットされたときにはＩ１０装置と共にゾーン１１に
与えられているので、使用することができない。

明らかなように、クロスリンクＯＣＲのアドレスは、読
み取り及び書き込みに対しシステム及びゾーンアドレス
スペースの両方になければならない。特に、各ゾーンは
、それ自身のクロスリンクＤＣＲ（ゾーンアドレススペ
ース）及び他のゾーンのクロスリンクＤＣＲ（システム
アドレススペース）から個々に読み取ることができねば
なら゛　ない。同様に、各ゾーンは、それ自身及び他の
ゾーンのＤＣＨに書き込みできねばならない。

セーブ状態レジスタ９０３は、処理システム２０を再ブ
ートするための状態情報を含んでいる。

ＣＰＵ４０及び５０は、このような情報をシステムアド
レススペースにおいてセーブ状態レジスタ９０３に書き
込む。というのは、同期動作中にデータがレジスタ９０
３に記憶されるからである。

同期動作へと再ブートするためには、同じ状態情報をク
ロスリンク９０及び９５とクロスリンク９０′及び９５
′とに書き込みことが必要である。

ブートストラップは非同期な動作であるので、各ＣＰＵ
４０及び５０は、それ自身のクロスリンクしかアクセス
しない。従って、状態レジスタ９０３はゾーンアドレス
スペースから読み取られる。

通信レジスタ９０６は、ゾーン間で交換されるべき独特
のデータを含んでいる。このようなデータは、通常は、
各ゾーンにとって独特のメモリソフトエラーカウントの
ような非同期データである。レジスタ９０６のデータが
独特であるから、書き込みのための通信レジスタ９０６
のアドレスは、ゾーンアドレススペース内にある。アド
レスがジ−ステムスペースにある場合には、情報が両方
のゾーンにおいて通信レジスタへ書き込まれ、もはや独
特ではなくなる。

然し乍ら、読み取りのための通信レジスタ９０６のアド
レスはシステムアドレススペース内にある。従って、同
期動作の間には、両方のゾーンが一方のゾーンから通信
レジスタを読み取れると同時に他方のゾーンから通信レ
ジスタを読み取ることができる。

状態レジスタ９０９は、クロスリンク９０に対して多数
の状態ビットを含んでいる。状態レジスタ９０９は、好
ましくは３２ビット長さであり、次のようなビット指定
を有している。

均υ　　値　　窩味 ３１：１４　０　　　　［指定済み］ １３　　　１　　　割込みイネーブル（ビット１Ｏ−１
２）をセット １２　　　　１　　　　ＤＣＲバッファ空き割込みをイ
ネーブル１１　　　　１　　　　ＤＣＲ受信割込みをイ
ネーブル１０　　　１　　　クロック位相エラー割込み
をイネーブル９　　　　　１　　　　ＤＣＲバッファ空
きフラグ。ＤＣＲが書き込まれるときには０にセットそ
してＤＣＲが読み取られるときにはｌにセット。

８　　　　　　Ｌ　　　　ＤＣＲ受信いっばいフラグ。

全てのＤＣＲが書き込まれるときには１にセットそして
ＤＣＲが読み取られるときにはＯにセット。

７：６　　　Ｘ　　　クロック位相エラービットはクロ
ック位相エラーの際にセットされそして直列状態レジス
タを通してリセットされる ４：３　　　００　　　通常のバス動作（リードオンリ
）０１　　メモリ再同期スレーブ １０　　メモリ再同期マスター １１　　二重同期要求 １：０　　　００　　　クロスリンクオフ（リードオン
リ）ｏｌ　　クロスリンクオンスレープ １０　　クロスリンクオンマスター メモリ再同期動作及びクロック位相エラーは、以下で詳
細に説明する。ビットＯ及び１によって識別されるスレ
ーブ、マスター及び二重モードは、処理システム２０と
２０′との間のクロスリンク通信の形式を示している。

「クロスリンクオフ」とは、並列クロスリンク９１０で
２０と２０′との間の通信が行えないときの状態を意味
する。このモードは、ゾーン間の同期をとらない。「ク
ロスリンクオンスレープ」とは、成るゾーンがそのモジ
ュールを他のゾーンに相互接続するために使用する状態
を意味する。

ゾーンＡが［クロスリンクオンスレープ」である場合に
は、ゾーンＢが「クロスリンクオンマスター」となる。

従って、ＣＰＵ４０’及び５０′は、モジュールの相互
接続部１３０及び１３２と１３０′及び１３２′とに対
して制御権を有する。ＣＰＵ４０及び５０は、相互接続
部１３０，１３２．１３０′及び１３２′へアクセスし
ない。「クロスリンクオンスレープ」及び［クロスリン
クオンマスター」は、モジュール相互接続部間の同期は
とるが、ＣＰＵ間の同期はとらない。

「クロスリンクオン二重」は、両ＣＰＵ４０及び４０’
がモジュール相互接続部１３０及び１３０′を制御でき
るようにすると共に、ＣＰＵ５０及び５０′が相互接続
部１３２及び１３２′を制御できるようにする。「クロ
スリンクオン二重」は、ＣＰＵの同期をとると共にＩ１
０相互接続部の同期をとる。これらＣＰＵを同期させる
には、両ゾーンの全てのメモリレジスタ及びバスサイク
ルが同一であることが必要である。通信レジスタ９０６
を経て独特のデータを取り扱わねばならない。モジュー
ル相互接続部の同期とは、クロスリンク９０．９５．９
０′及び９５′が同じ又は同等のバスサイクルでそれら
の各々のモジュール相互接続部１３０，１３２，１３０
′及び１３２′を駆動することを意味する。

クロスリンク９ｏが「マスターモード」にあるときには
、ＣＰＵ４０及び５０が４つ全部のモジュール相互接続
部１３０，１３２．１３０’及び１３２′を制御する。

ＣＰＵ４０及び５０がクロスリンク９０′及び９５′の
状態をチエツクするために、状態レジスタ９０９′の読
み取り及び書き込みアドレスがシステムアドレススペー
ス内にある。

セーブ状態レジスタ９０３１通信レジスタ９０６及び状
態レジスタ９０９は、全て、これらが単一の並列レジス
タバス９１０を経て情報を転送できるようにするインタ
ーフェイス回路を含んでいる。並列レジスタバス９１０
は、クロスリンク９０の他部分が並列レジスタと通信で
きるようにする。

直列レジスタが第１１図に示されている。全ての直列ク
ロスリンクレジスタは、非同期通信に使用されるので、
ゾーンの特定のスペース内にある。直列クロスリンクレ
ジスタ及び直列クロスリンクの目的は、プロセッサ２０
及び２０’がロックステップ同期状態（即ち位相固定ク
ロック及び同じメモリ状態）で動作していなくてもこれ
らプロセッサが通信できるようにすることである。

直列クロスリンクは、６個のレジスタと１つの制御器と
９２５を備えている。これらのレジスタには、制御及び
状態レジスタ９１２、直列クロスリンク要求レジスタ９
１４、直列クロスリンク応答レジスタ９１６、直列クロ
スリンク質問レジスタ９１８、直列クロスリンク送信レ
ジスタ９２０及び直列クロスリンク受信レジスタ９２２
が含まれる。送信レジスタ９２０は直列クロスリンク送
信ライン９２１に接続され、受信レジスタ９２２は直列
クロスリンク受信ライン９２３に接続される。制御器９
２５はこれら直列レジスタの動作を整合する。

制御及び状態レジスタ９１２は、制御及び状態フラグと
並列クロスリンクレジスタに記憶された全ての情報のコ
ピーとを含んでいる。制御及び状態レジスタ９１２の内
容は、次の通りである。

〈ス五　　値　　尽味 ３１：２７　０　　　　指定済み ２６　　　　　Ｘ　　　　ゾーンＩＤ（読み取りのみ）
２５　　　　　Ｘ　　　　クロック位相検出器エラー（
読み取り／Ｗき込み）（書き込み１はクリア） ２４　　　１　　　クロスリンクＤＣＲバッファ空き（
読み取りのみ）ＤＣＨの書き込みによりクリア２３　　
　１　　　クロスリンクＤＣＲ受信いっばい（読み取り
のみ）ＤＣＨの読み取りによってクリア２２　　　１　
　　直列送信器ビジー（いずれかのゾーンによって要求
されたアクティビティ）　（読み取りのみ） ２１：２０　　ｏｏ　　　他のゾーンに対する自動応答
（読み取りのみ） ０１　　このゾーンからのループバック要求の送信１０
　　このゾーンからの状態読み取り要求の送信１１　　
このゾーンからの質問の送信 １９　　　１　　　送信バッファ空き １８　　　１　　　直列応答オーバーフロー（読み取り
のみ）クロスリンク応答レジスタの読み取りによりリセ
ット １７　　　１　　　直列応答いっばい（読み取りのみ）
クロスリンク応答レジスタの読み取りによりリセット １６　　　１　　　直列質問オーバーフロー（読み取り
のみ）クロスリンク質問レジスタの読み取りによりリセ
ット １５　　　１　　　直列質問いっばい（読み取りのみ）
クロスリンク質問レジスタの読み取りによりリセット １４　　　１　　　割込みイネーブルのセット（書き込
み）１３　　　１　　　クロスリンクＤＣＲバッファ空
き割込みのイネーブル（読み取り／書き込み） １２　　　１　　　クロスリンクＤＣＲ受信割込みのイ
ネーブル（読み取り／書き込み） １１　　　１　　　クロック位相エラー割込みのイネー
ブル（読み取り／書き込み） １０　　　１　　　送信完了割込みのイネーブル（読み
取り／書き込み） ０９　　　１　　　応答受信割込みのイネーブル（読み
取り／書き込み） ０８　　　　１　　　　質問受信割込みのイネーブル（
読み取り／書き込み） ０７：０６　　ｏｏ　　　無機能 ０１　　ループバック要求 １０　　状態読み取り要求 １１　　　ＣＰＵ質問要求の送信 ０５　　　　１　　　　再同期状態のセット（０４：０
３の作動）（書き込み） ０４：０３　　ｏｏ　　　通常のバス動作（読み取り／
書き込み）０１　　メモリ再同期スレーブ １０　　メモリ再同期マスター １１　　二重同期要求 ０２　　　　１　　　　クロスリンク状態のセット（０
１：００の作動）（書き込み） ０１：００　　ｏｏ　　　クロスリンクオフ（読み取り
／書き込み）０１　　クロスリンクオンスレープ １ｏ　　クロスリンクオンマスター １１　　クロスリンクオンニ重 レジスタ９１２及び他の直列レジスタの機能は、直列ク
ロスリンクの動作の説明から理解することができよう。

これら動作の１つはループバックである。ループバック
動作はプロセッサ２０′を含むが、このプロセッサを整
合せずに行われる。

直列の制御及び状態レジスタ９１２にループバック要求
フラグをセットすると、直列要求レジスタ９１４の内容
がゾーン１１′のクロスリンク９０′（即ち、９０’又
は９５′）へ送られる。クロスリンク９０’はメツセー
ジを直列応答レジスタ９１６へ返送する。このループバ
ック機能により、クロスリンクケーブルを照合できると
共に、一方めゾーンが他方のゾーンが電力を有すること
を確認することができる。

もう１つの動作は状態の読み取りであり、これは、一方
のゾーンのクロスリンクが他方のゾーンのクロスリンク
の状態を読み取れるようにする。

直列の制御及び状態レジスタ９１２に状ｉ３１読み取り
要求フラグをセットすると、要求レジスタ９１４が状態
情報の要求をクロスリンク９０’に送信するようにされ
る。このメツセージを受け取ると、クロスリンク９０’
はその直列の制御及び状態レジスタ９１２′の内容をク
ロスリンク９０の直列応答レジスタ９１６に送信する。

第３の機能は、汎用のクロスリンクデータ転送であるデ
ータ転送機能である。転送されるべきデータ（好ましい
実施例では３２ビツト）を直列クロスリンク要求レジス
タ９１４へ書き込んだ後に、直列の制御及び状態レジス
タ９１２にＣＰＵ質問要求フラグをセットすると、要求
レジスタ９１４の内容がクロスリンク９０′に送られ、
該クロスリンクはこれらの内容を質問レジスタ９１８′
に保持する６自動応答は発生されないが、ＣＰＵ４０’
　にデータは得られる。ＣＰＵ４０’　による応答は、
クロスリンク９０の直列質問レジスタ９１８へ送られる
。

与えられる最後の機能は、直列割込み及び状態である。

好ましい実施例では、直列のクロスリンクは、次の事象
に基づいて割込みを発生することができる。

直列要求及び送信の完了； 直列応答の完了（ループバック又は状態応答に対し）； 直列質問受信の完了； 診断通信レジスタのデータ利用； 診断通信レジスタのバッファ空き；及びゾーン間クロッ
ク位相エラー。

割込みは、１つの共通の割込みベクトルで個々にマスク
される。

更に、ここに示す実施例では、制御及び状態レジスタ９
１２の幾つかの状態ビットが直列リンクの状態及びマシ
ンの再同期状態に関連している。

どれらのビットは次の通りである。

クロスリンク同期状態； イネーブルされた割込み； ベンディングの割込み；及び 受信オーバーフローインジケータ。

クロスリンク９０の制御器９２５が第１２［７に示され
ている。制御器９２５の制御デコーダ９３０は、以下で
詳細に述べる規定に従って信号Ａ−■を発生する。制御
器９２５は、ドライバ、バッファ、マルチプレクサ及び
遅延要素を含んでいる。遅延要素は、同期のために追加
される。コンピュータシステム１０は高速動作であると
共に密接な同期が要求されるので、適切な動作及び同期
を維持するためにはケーブルの延びのような固有の信号
遅延がクロスリンクによって補償されねばならない。例
えば、以下で詳細に述べるように、Ｉｌｏからの読み取
り中には、各ＣＰＵモジュールが別々の処理システム２
０及び２０′のＩ１０モジュールからデータを受け取る
。別々のシステムからのデータは別々の経路をたどるの
で、このような動作により同期の欠陥が生じる。遅延要
素は、同期を保持するために信号遅延及び経路の差を補
償する。第１２図に示すように、クロスリンク９ｏの遅
延要素は、マルチプレクサへの入力の速度を下げるのに
用いられる。但し、これはマルチプレクサへの他の入力
が並列クロスリンク通路２５から送られるときである。

制御器９２５においては、ドライバ９３３が信号Ａによ
ってイネーブルされてデータをメモリ制御器７０へ送信
する。ドライバ９３６は、信号Ｂによってイネーブルさ
れて、並列レジスタバス９１０を経て並列レジスタヘデ
ータを送信する。

ドライバ９３９は信号Ｃによってイネーブルされ、モジ
ュールの相互接続部１３０ヘデータを送信する。ドライ
バ９４２は信号りによってイネーブルされて並列クロス
リンク通路２５ヘデータを送信する。

制御器９２５のバッファは、外部で発生したデータを受
信するのに用いられる。バッファ９４５はメモリ制御器
７０からのデータを受け取りそしてバッファ９４８はバ
ッファ９４５の出力に現われるそのデータを直列レジス
タへ送信する。バッファ９５１は並列クロスリンク通路
２５からデータを受け取る。バッファ９５７は並列レジ
スタから並列レジスタバス９１０を経てデータを受け取
る。

各マルチプレクサは、特定の行き先に対して別々のデー
タソースを選択する。マルチプレクサ９６０は信号Ｅに
よって制御され、バッファ９５１から並列クロスリンク
通路２５を経てデータを受け取ると共に、遅延要素９８
０及びマルチプレクサ９６３からデータを受け取る。マ
ルチプレクサ９６０の出力はドライバ９３３を経てメモ
リ制御器７０へ送られる。

マルチプレクサ９６３は信号Ｆによって制御され、並列
レジスタバス９１０からバッファ９５７を経て入力を受
け取り、直列レジスタから入力を受け取りそしてモジュ
ール相互接続部１３０からバッファ９５４を経て入力を
受け取る。マルチプレクサ９６３の出力は、遅延要素９
８０を通過した後にマルチプレクサ９６０へ入力される
。

マルチプレクサ９６６は信号Ｇによって制御され、並列
クロスリンク通路２５からバッファ９５１を経て入力を
受け取ると共に、メモリ制御器７０からバッファ９４５
及び遅延要素９８５を経て入力を受け取る。マルチプレ
クサ９６６の出力はドライバ９３６を経て並列レジスタ
バス９１０へ送られる。

マルチプレクサ９６９は信号Ｈによって制御され、並列
クロスリンク通路２５のデータをバッファ９５１によっ
て受け取ると共に、メモリ制御器７０のデータをバッフ
ァ９４５及び遅延要素９８５によって受け取る。マルチ
プレクサ９６９の出力はドライバ９３９を経て相互接続
部１３０に送られる。

マルチプレクサ９７０は信号工によって制御され、並列
レジスタからバス９１０及びバッファ９５７を経て入力
を受け取り、メモリ制御器７０からバッファ９４５を経
て入力を受け取りそしてモジュール相互接続部１３０か
らバッファ９５４を経て入力を受け取る。マルチプレク
サ９７０の出力は、ドライバ９４２によって並列クロス
リンク通路２５へ送られる。

信号Ａ−Ｄ及び選択コードＥ−１の状態は、実行される
べき動作、クロスリンクモード（即ち、二重、マスター
又はスレーブ）及びクロスリンクの状態（オン／オフ）
と、クロスリンクが一次レールにあるか（即ち、−次メ
モリ制御器７０に接′　　続されているか）ミラーレー
ルにあるか（即ち、ミラーメモリ制御器７５に接続され
ているか）によって決まる。

一般に、次のような１０個の機能を実行することが必要
である。

他のゾーンを読み取る； 他のゾーンを書き込む； このゾーンの直列レジスタを読み取る；このゾーンの直
列レジスタを書き込む；並列レジスタのゾーンアドレス
を読み取る；並列レジスタのゾーンアドレスを書き込む
；並列レジスタのシステムアドレスを読み取る；並列レ
ジスタのシステムアドレスを書き込む；Ｉｌｏを読み取
る；そして Ｉｌｏを書き込む。

第１３Ａ図ないし第１３Ｐ図は、実行されるべき種々の
機能と、クロスリンクの種々のモード及び状態とに対す
る信号Ａないし工の状態を示している。各々の状態及び
機能を説明するのではなく、第１３Ａ図ないし第１３Ｐ
図をいかに用いるかを理解するために２つについてのみ
詳細に説明する。

第１３Ａ図は、二重モードにあるときのクロスリンク９
０に対する（即ち、ゾーン１１の一次レールにおける）
制御信号の状態を示している。

Ｉ１０読み取り動作においては、制御信号Ａ及びＤがｒ
オン」であり、Ｂ及びＣが「オフ」である。

信号Ａはドライバ９３３をイネーブルしてデータがメモ
リ制御器７０へ通過するように確保し、そして信号りは
ドライバ９４２をイネーブルしてデータが並列クロスリ
ンク通路２５を経てクロスリンク９０へ通過するように
確保する。メモリ制御Ｆｔ　７０及び並列クロスリンク
通路２５ヘデータを送る際に含まれるマルチプレクサは
、信号Ｅ、　Ｆ及びＩによって各々制御されるマルチプ
レクサ９６０．９６３及び９７０である。制御信号Ｅは
、マルチプレクサ９６３の出力に対応する入力１を選択
するようにセットされる。制御信号Ｆは、マルチプレク
サ９６３がモジュール相互接続部１３０からのデータに
対応する入力３を選択するようにセットされる。制御信
号工は、マルチプレクサ９７０がモジュール相互接続部
１３０を選択するようにセットされる。

従って、この信号選択状態では、モジュール相互接続部
１３０からのデータがマルチプレクサ９６３及び９６０
とドライバ９３３とを経てメモリ制御器７０へ送られる
。これは、Ｉ１０読み取りトランザクションのためのデ
ータ経路である。

又、このデータは、マルチプレクサ９７０及びドライバ
９４２を経て並列クロスリンク通路２５へ送られ、これ
が適当であるのは、クロスリンク９０が二重モードにあ
るためである。

第１３Ｅ図は、同じ状態に対する制御信号を示している
が、メモリ制御器９０はマスターモードにあり、従って
、クロスリンク９０′に信号を送（ｉ　Ｌない。この状
態のＩ１０読み取り動作は、モジュール相互接続部１３
０からのデータがメモリ制御器７０へ送られるように確
保するために同じ信号設定を含む。信号りが「オフ」で
あり、Ｉに対する選択信号がないので、並列クロスリン
ク通路２５を経てメモリ制御器９０′へ至るデータ通路
はなく、これは、クロスリンク９ｏがマスターモードに
あるときの動作として適している。

メモリ制御器９０が二重モードにある状態での工／○書
き込み動作の場合には、ｒオン」になる唯一のドライバ
制御信号が信号Ｃであり、これはドライバ９３９をイネ
ーブルしてモジュール相互接続部１３０ヘデータを通せ
るようにする。それ故、制御する必要のある唯一のマル
チプレクサはマルチプレクサ９６９であり、第１３Ａ図
は、制御信号Ｈがメモリ制御器７０からのデータを選択
することを示している。第１３図のクロスリンク９５（
二重モードにあるゾーン１１のミラーレール）−の動作
は、第１３Ｂ図のクロスリンク９０に対する制御信号と
若干異なる。これは、以下で述べるように、Ｉｌｏ書き
込み動作中には、各Ｉ１０モジュールへのデータが両プ
ロセッサ２０及び２０’　から送られるからである。

５・見夏塁 両方の処理システム２０及び２０′が二重モ−ドとして
知られている冗長形態で同じタスクを実行するときには
、ＣＰＵモジュール３０及び３０′が同じ速度で動作を
実行することが重要である。さもなくば、処理システム
同志を再同期させて■／○とプロセッサ間とのエラーチ
エツクを行うのに多量の処理時間がか＼ることになる。

処理システム２０及び２０′の好ましい実施例において
は、基本的なりロック信号が同期され、互いに位相固定
される。耐欠陥コンピュータシステム１０は、処理シス
テム２０及び２０’へのクロック信号の周波数を制御す
ると共に各処理システムのクロック信号間の位相差を最
小にするためのタイミングシステムを備えている。

第１４図は、処理システム２０及び２０′において実施
される本発明のタイミングシステムのブロック図である
。このタイミングシステムは、処理システム２０のＣＰ
Ｕモジュール３０　Ｌ：含まれた発振システム２００と
、処理システム２０′のＣＰＵモジュール３０′に含ま
れた発振システム２００′とを備えている。発振器２０
０’の要素は、発振器２００の要素と同じであり、両方
の発振システムの動作は同じである。従って、発振器２
００と２００’の動作が異なる場合を除いて、発振器２
００の要素及び動作のみについて説明する。

第１４図に示すように、発振システム２００の大部分、
特にデジタル論理回路は、クロスリンク９５の内部に存
在するが、その配置は本発明にとって重要ではない。発
振システム２００は、電圧制御式のクリスタル発振子（
ＶＣＸＯ）２０５を備えており、これは、好ましくは６
６．６６ＭＨｚの基本的な発振信号を発生する。ＶＣＸ
Ｏ２０５の周波数は、その入力の電圧レベルによって調
整することができる。

クロック分配チップ２１０は、基本的な発振信号を分割
し、好ましくは、全て同じ周波数を有する４つの主たる
クロックを発生する。主ＣＰＵ４０については、クロッ
クがＰＣＬＫ　　Ｌ及びＰＣＬＩＫＨであり、これらは
論理的に互いに逆のものである。ミラーＣＰＵ５０につ
いては、クロック分配チップ２１０がクロック信号ＭＣ
ＬＫＬ及びＭＣＬＫ　　Ｈを発生し、これらも論理的に
互いに逆のものである。これらクロック信号のタイミン
グ及び位相関係は、第１５図に示されている。好ましく
は、クロック信号ＰＣＬＫ　　Ｌ、ＰＣＬＫ　　Ｈ，Ｍ
ＣＬＫ　　Ｌ及びＭＣＬＫＨの周波数は約３３．３３Ｍ
Ｈｚである。又、クロックチップ２１０は、第１５図に
示すように１６．１６　Ｍ　Ｈｚの位相固定ループ信号
ＣＬＫＣＨも発生する。この位相固定ループ信号はクロ
ック論理回路２２０に送られ、該回路はこの信号をバッ
ファする。

クロック論理バッファ２２０は、ＣＬＫＣＨ信号を同期
とりに用いるために発振器２００’に送信する。発振器
２００′のクロック論理バッファ２２０′は、それ自身
のバッファされた位相固定ループ信号ＣＬＫＣ’　　Ｈ
を発振器２００の位相検出器２３０に送信する。又、位
相検出器２３０は、クロック論理バッファ２２０から遅
延要素２２５を経て、バッファされた位相固定ループ信
号ＣＬＫＣＩ（を受信する。遅延要素２２５は、クロッ
ク論理バッファ２２０’　からのケーブルの延長による
遅延を近似する。

位相検出器２３０は、その入力の位相固定ループ信号を
比較し、２．つの出力を発生する。その１つは、位相差
信号２３５であり、これはループ増幅器２４０を経てＶ
ＣＸＯ２０５の電圧入力に送られる。この位相差により
、増幅器２４０は、位相差を補償するようにＶＣＸＯ２
０５の周波数を変更する信号を発生する。

位相検出器２３０の他の出力は、あり得べき同期欠陥を
指示する位相エラー信号２３６である。

第１６図は、位相検出器２３０の詳細な図である一０位
相検出器２３０は、位相比較器２３０と、アナログ電圧
比較器２３４とを含んでいる。位相比較器２３２は、遅
延素子２２５からのクロック信号（ＣＬＫＣＨ）及び発
振器２００’からの位相固定ループクロック信号（ＣＬ
ＫＣ’　　Ｈ）を受け取り、これら信号の位相差を表わ
すアナログ電圧レベル２３５を発生する。

処理システム２０がクロック同期の目的で「スレーブ」
となった場合には、スイッチ２４５が「スレーブ」位置
（即ち、閉位置）となり、アナログ電圧レベル２；３５
は、ループ増幅器２４０によって増幅された後に、ＶＣ
ＸＯ２０５の周波数を制御する。両スイッチ２４５及び
２４５′が「マスター」位置にある場合には、処理シス
テム２０及び２０′が位相固定されず、非同期で（独立
して）動作する。

アナログ電圧レベル２３５は、位相の進み及び遅れの許
容範囲を表わす２つの基準電圧Ｖｒｅｆｌ及びＶｒｅｆ
２と共に電圧比較器２３４へ入力される。

位相差が許容範囲内である場合には、ＰＨＡＳＥＥＲＲ
ＯＲ（位相エラー）信号が作用されない。

位相差が許容範囲から外れ、電圧比較器２３４がＶｒｅ
ｆｌないしＶｒｅｆ２の電圧範囲から外れる位相差信号
２３５を感知した場合には、位相エラー信号が作用され
、クロックデコーダ２２０を経てクロスリンク９５へ送
られる。

第１７図は、Ｉ１０モジュール１００の好ましい実施例
を示している。Ｉ１０モジュール１００及び１００′は
同一のものであるから、モジュール１００についてのみ
説明する。更に、Ｉ１０モジュール１１０及び１２０（
従って、モジュール１１０′及び１２０’）はモジュー
ル１００と同様であるが、異なった■／○装置に接続さ
れているために全く同じ形態をとることはない。

Ｉ１０モジュール１００は、二重レールモジュール相互
接続部１３０及び１３２によってＣＰＵモジュール３０
に接続されている。各々のモジュール相互接続部は、各
々ファイアウオール１０ｂＯ及び１０１０によって受け
入れられる。ファイアウオール１０００及び１０１０は
、モジュール相互接続部１３０及び１３２を経て送信さ
れるデータの一致性をチエツクするチエツクバス１００
５によって相互接続される。このチエツクは、ＣＰＵモ
ジュール３０及び３０’　のロックステップ同期によっ
て行われ、これは、ＣＰＵモジュール３ｏ及び３０′か
らＩ１０モジュール１００へ書き込まれたデータをファ
イアウオール１０００及び１０１０に同時に得られるよ
うにする。

第１８図は、ファイアウオール１０００の要素及び好ま
しい実施例を示している。ファイアウオール１０００は
、モジュール相互接続部１３０への３２ビツトバスイン
ターフエイス１８１０と、第１７図に示されたバス１０
２０へ接続するための３２ビツトバスインターフエイス
１８２０とを備えている。これらのインターフェイス１
８１０及び１８２０は、内部ファイアウオールバス１８
１５によって相互接続され、該バスはファイアウオール
１０００の他の要素にも接続されている。

バス１８１５は、１６ビツト巾又は３２ビツト巾の並列
バスであるのが好ましい。

又、ファイアウオール１０００は、ＣＰＵモジュール３
０とオペレータコンソールとの間でコンソールリンク１
０９０に接続されたコンソールサポートレジスタ１８３
０も備えているのが好ましい。コンソールリンクは、モ
ジュール相互接続部、クロスリンク及びメモリ制御器の
ような通常のデータ経路をバイパスし、コンピュータシ
ステム１０の他の部分に欠陥が生じた場合にもオペレー
タはＣＰＵと通信することができる。コンソールサポー
トレジスタ１８３ｏは、−時的な記憶レジスタ１８３２
．受信器１８３４及び送信器１８３６を備えているのが
好ましい。レジスタ１８３２、受信器１８３４及び送信
器１８３６の相互接続は、当業者に良く知られた一般的
なものである。

ファイアウオール１０００は、複数のチエツク回路を含
んだファイアウオール比較回路１８４０も備えている。

ファイアウオール比較回路１８４ｏは、ファイアウオー
ル１０１０内の同等の要素に接続される。ファイアウオ
ール比較回路１８４０内のチエツク回路は、モジュール
相互接続部１３０から受け取ったデータをモジュール相
互接続部１３２から受゛け取ったデータと比較する。−
般に、両方のモジュール相互接続部がＣＰＵモジュール
３０から受け入れられるとしても、モジュール相互接続
部１３０からのデータは一方のゾーンからのものであり
そしてモジュール相互接続部１３２からのデータは別の
ゾーンからのものである。ファイアウオール比較回路１
８４ｏ内のチエツク回路がこれらデータ間の不一致を検
出した場合には１割込み制御回路１８８０が作動されて
、エラー信号を発生し、これにより、クロスリンク９０
及び９５はＣＰＵモジュール３０及び３０’に欠陥の検
出を通知する。

ファイアウオール比較回路１８４０は、ＣＰＵモジュー
ル３０及び３０′から受け取ったデータのみをチエツク
する。ＣＰＵモジュール３０及び３０’に送られるデー
タは、共通の発生源からのものであり、従って、チエツ
クを必要としない。

むしろ、Ｉ１０装置から受け取ったデータで、ＣＰＵモ
ジュール３０及び３０′に送られるべきデータは、ＣＲ
Ｃ９！生器１８５０によって行われる繰返し冗長チエツ
ク（ＣＲＣ）のようなエラー検出コード（ＥＤＣ）によ
ってチエツクされる。又、ＣＲＣ発生器５０は、内部フ
ァイアウオールバス１８１５にも接続される。

ＣＲＣ発生器１８５０は、Ｉ１０装ｆｆｉ　ニヨッて使
用されるものと同じＣＲＣコードを発生し、チエツクす
る。Ｉ１０モジュール１００は、２つのＥＤＣを発生す
るのが好ましい。その一方は、ＣＲＣでもあって、モジ
ュール１００が接続されたエサ−ネットパケットネット
ワークのようなネットワークに対するインターフェイス
として用いられる。その他方は、第１７図のディスクイ
ンターフェイス１０７２のようなディスクインターフェ
イスとして用いられる。

モジュール相互接続部は二重であるから、ＣＰＵモジュ
ール３０とＩ１０モジュール１００との間にはＣＲＣの
機能が必要とされない。例えば、ＣＰＵモジュール３０
においては、クロスリンク９０がモジュール相互接続部
１３０を経てファイアウオール１０００と通信し、そし
てクロスリンク９５がモジュール相互接続部１３２を経
てファイアウオール１０１０と通信する。

エサ−ネットネットワーク１０８２から受け取ったメツ
セージは、第１７図に示されたネットワーク制御器１０
８０により有効ＣＲＣに対してチエツクされる。ＣＲＣ
とで完成するデータは、第１７図に示されたローカルＲ
ＡＭ　１０６０に書き込まれる。ローカルＲＡＭ１０６
０の全てのデータは、ＤＭＡを用いてメモリモジュール
６０へ転送される。Ｄ　Ｍ　Ａ制御器１８９０は転送の
整合をとり、転送されているＣＲＣエンコードデータの
有効性をチエツクするようにＣＲＣ発生器１８５０に指
示する。

Ｉ１０装置との殆どのデータ転送は、ＤＭＡで行われる
。データは主メモリとＩ１０バッファメモリとの間で移
動される。転送されるデータの各論理ブロックは、ＣＲ
Ｃによってカバーされる。

エサ−ネットの場合には、論理ブロックがメツセージパ
ケットである。メツセージは、ＤＭＡにより、主メモリ
６０からファイアウオール１０００を通ってローカルＲ
ＡＭ１０６０へ転送される。

ファイアウオール１０００のＣＲＣ発生器１８５０は、
メツセージに対してＣＲＣを計算する。

ＤＭＡ制御器１８９０は、データ転送に対するＣＲＣ発
生器１８５０の動作を制御する。論理ブロックが転送さ
れたときには、ＤＭＡ制御器１８９０がＣＲＣ発生器１
８５０からの発生されたＣＲＣを読み取り、それを、ロ
ーカルＲＡＭｌ０６０に記憶されたデータに加える。ネ
ットワーク制御器１０８０は、ローカルＲＡＭ１０６０
からエサ−ネットネットワーク１０８２ヘデータを転送
すると、ＣＲＣをチエツクする。ＣＲＣコード自体を除
く全てのエサ−ネットパケットは、メモリモジュール６
０へ転送される。ＣＲＣのエラーはＣＲＣ発生′ａ１８
５０によって識別され、割込み制御″ａ１８８０を介し
て報告される。

ディスクサブシステムとのデータのやり取りは、エサ−
ネットインターフェイスと同様に行われる。−ＣＲＣ発
生器１８５０は、ディスク制御器１０７２によって使用
される特定のＣＲＣコードを発生し又はチエツクする。

これは、Ｉ１０モジュール１００の場合と同様に単一レ
ールシステ１１に存在するか又はこれを通して転送され
ているデータがエラー検出コードによってカバーされる
ように確保し、これは、データが最終的に通過する通信
媒体と少なくとも同程度の信頼性を有するものであるこ
とが好ましい。種々のＩ１０モジュール、例えば、同期
プロトコルを取り扱うモジュールは、適当なプロトコル
のＣＲＣコードを発生してチエツクするＣＲＣ発生器を
有しているのが好ましい。

一般に、ＤＭＡ制御器１８９０は、共有のメモリ制御器
１０５０及びアドレスされているローカルＲＡ　Ｍ　１
０６０に対して特定のＤＭＡ動作の一部分を処理する。

３２ビツトバス１０２０は、２つの異なったモードで駆
動される。ＤＭＡ設定中には、ＤＭＡ制御器１８９０は
バス１０２０を標準的な非同期マイクロプロセッサバス
として使用する。ＤＭＡ動作が行われるローカルＲＡＭ
　１０６０のアドレスは、共有メモリ制御器１０５．０
及びＤＭＡ制御器１８９０によって供給される。

実際のＤ　Ｍ　Ａ転送中には、ＤＭＡ制御器１８９０が
バス１０２０を同期状態で駆動するようにＤＭＡ制御ラ
イン１８９５に指示する。共有メモリ制御器１０５０は
、バス１０２０の各バスサイクルごとに３２ビツトデー
タワードを転送し、ＤＭＡ制御器１８９０は、転送され
るべきワードがどれほど残されているかの経過を保持す
る。又、共有メモリ制御器１０５０は、ローカルＲＡＭ
１０６０を制御し１次のＤＡＭアドレスを発生する。

Ｉ１０モジュール（１００，１１０，１２０）は、それ
ら自身のローカルＲＡＭ１０６０に対する読み取り／書
き込み動作を制御する役目を果たす、ＣＰＵモジュール
３０は、メモリアレイ６０との転送動作を制御する役目
を果たす。メモリ制御器７０及び７５（第９図に示す）
のＤＭＡエンジン７７５は、ＣＰＵモジュール３０に対
しＤＭＡ動作を指示する。このような労力の分割により
いずれかのモジュールのＤＭＡ論理の欠陥がゾーン１１
又は１１′の他のモジュールにおけるデータ完全性を低
下しないようにする。

又、ファイアウオール１０００は、Ｘ／○モジュール１
００に対し他の重要な機能も実行する。

ファイアウオール１０００のＩ１０診断制御レジスタ１
８６０は、クロスリンク診断制御レジスタ９０１と同じ
構造を有し、ＣＰＵ４０．５０．４０′及び５０′と診
断マイクロプロセッサ１１００との間で通信を行うこと
ができる。診断マイクロプロセッサ１１００のこの間接
的な接続により。

該マイクロプロセッサがコンピュータシステム１０の他
のモジュールに形響を及ぼすことが防止される。

トレースＲＡＭ１８７２及びトレースＲＡＭ制御器１８
７０の機能については以下で詳細に述べる。簡単に述べ
ると、欠陥が検出されてＣＰＵ及びＣＰＵモジュール３
０及び３０’に通知されたときには、コンピュータシス
テム１０全体にわたる種々のトレースＲＡＭが以下に述
べる幾つかの機能を実行するようにされる。トレースＲ
ＡＭトノ通信は、トレースバス１０９５を経て行われる
。トレースＲＡＭ制御器１８７０は、トレースバス１０
９５からの信号に応答して、トレースＲＡ　Ｍ　１８７
２が記憶を停止するか又はその内容をトレースバス１０
９５にダンプするようにさせる。

好ましくは３２ビツトの並列バスである工１０モジュー
ルバス１０２０は、ファイアウオール１０００及び１０
１０と、Ｉ１０モジュール１゜Ｏの他の要素とに接続さ
れる。共有メモリ制御器１０５０も、Ｉ１０モジュール
１００の工１０パス１ｏ２０に接続されている。共有メ
モリ制御器１０５０は、３２ビツト＋パリテイを有する
共有メモリバス１０６５によってローカルメモリ１０６
０に接続されている。好ましくは、ローカルメモリ１０
６０は、メモリ容量が１２８ＫＢのＲＡＭであるが、Ｒ
ＡＭ１０６０のサイズは任意である。共有メモリ制御器
１０５０及びローカルＲＡＭ１０６０は、Ｉ　１０−１
−ジュール１００に対するメモリ容量を備えている。

ディスク制御器１０７０は、第１図のディスク１０７５
．１０７５’のようなディスクに対する標準的なインタ
ーフェイスを与える。ディスク１０７５は、５ＣＳＩ（
小型コンピュータ標準インターフェイス）バスの実施の
ごとき標準バスインターフェイス１ｏ７２によってディ
スク制御器１０７０に接続されるのが好ましい。又、デ
ィスり制御器１０７０は、ローカルＲＡ　Ｍ　１０６０
を使用するか又は工／○モジュールバス１０２０と通信
するために共有メモリ制御器１０５０に接続される。

ネットワーク制御器１０８０は、ネットワークインター
フェイス１０８２により、エサ−ネットネットワークの
ような標準ネットワークにインターフェイスする。又、
ネットワーク制御器１０８０は、ローカルＲＡＭ１０６
０及びＩ１０モジュールバス１０２０の両方に対するイ
ンターフェイスとして働く共有メモリ制御器１０５０に
も接続される。然し乍ら、Ｉ１０モジュールバス１０２
０のいずれか１つの特定の編成又は構造にする必要はな
い。

ｐｃＩＭ（ｆｆｉ力及び冷却インターフェイスモジュー
ル）サポート要素１ｏ３０は、Ｉ１０モジュールバス１
ｏ２０及びＡＳＣＩＩインターフェイス１０３２に接続
される。ＰＣＩＭサポート要素１０３０は、処理システ
ム２０が電源システム（即ち、バッテリ、レギュレータ
、等）の状態を監視できるようにすると共に、冷却シス
テムがそれらの適切な動作を確保できるようにする。Ｐ
ＣＩＭサポート要素１ｏ３０は、成る欠陥又は欠陥のお
それの指示、例えば、バッテリ電圧が許容できないほど
低下したという指示があったときだけメツセージを受け
取るのが好ましい。又、ＰＣＩＭサポート要素１０３０
を用いて全ての電力及び冷却サブシステムを周期的に監
視することもできる。ＰＣＩＭサポート要素１０３０及
びＩ１０モジュール１００′の同等の要素は、プロセッ
サ２０及び２０′のサポートシステムが機能不良になっ
た場合に耐欠陥コンピュータシステム１０が戒名ゾーン
を停止できるようにする。

システムサポート及びコンソール要素１０４０は、Ｉ１
０モジュールバス１０２０にも接続される。システムサ
ポート及びコンソール要素１．０４０は、ＡＳＣＳＣイ
エターフェイス１０４２を介してオペレータコンソール
のインターフェイスを与える。オペレータコンソールは
、年のような成る情報を入力できるだけでなく１診断の
ｇ的にも使用することができる。オペレータコンソール
は、コンソールリンク１０９０及び１０９１を経そして
ファイアウオール１０００及び１０１０のコンソールサ
ポートレジスタ１８３０を経てＣＰＵとデータを交換す
る゛。

又、診断マイクロプロセッサ１１００は、工１０モジュ
ールバス１０２０にも接続されている。

診断マイクロプロセッサ１１００の動作については以下
で詳細に述べる。一般に、マイクロプロセッサ１１００
は、欠陥が検出されたときにトレースＲＡＭ１８７２の
ようなトレースＲＡＭからのエラーチエツク情報を収集
するのに用いられる。

このデータは、トレースバス１０９５及び１０９６に集
められ、ファイアウオール１０００及び１０１０を各々
通り、モジュールバス１ｏ２０を経てマイクロプロセッ
サ１１００へ送り込まれる。

Ｃ，プロセッサ間及びモジュール間通信１、データ経路 コンピュータシステム１０の要素はそれ自体で耐欠陥シ
ステムを構成しない。正常の動作中に通信を行うことが
できそして欠陥検出及び修正中に動作を行うことのでき
る通信経路及びプロトコルが必要とされる。このような
通信にとって重要なことはクロスリンク通路２５である
。クロスリンク通路２５は、並列リンク、直列リンク及
び既に述べたクロック信号で構成される。これらは、第
１９図に示されている。並列リンクは、２つの同じ組の
データ及びアドレスライン（１６）、制御ライン（７）
、割込みライン（７）及びエラーライン（７）を含んで
いる。１６本のデータ及びアドレスラインと、７本の制
御ラインは、ＣＰＵモジュール間で、例えば、モジュー
ル制御接続部−１３０及び１３２（又は１３０′及び１
３２’）から或いはメモリモジュール６０　（６０’　
）から交換されるべき情報を含んでいる。

７本の割込みラインは、４つの異なったＩ１０割込みレ
ベルを表わす４本のラインと、両ゾーンに対するコンソ
ール「ホルト」要求を同期させる１本のラインと、両ゾ
ーンに対するマシンチエツクを同期させる１本のライン
と、ＣＰＵ／メモリ欠陥の発生を他のゾーンに指示する
１本のラインとを備えているのが好ましい。

耐欠陥コンピュータシステム１ｏは、はとんどの過渡欠
陥が生じても二重レールシステムとして連続的に動作す
るように設計されている。Ｉ１０サブシステム（モジュ
ール１００．１１０．１２０．１００’　、１１０’　
及び１２０’）も、過渡欠陥を受けることがあるが、動
作を続けることができる。好ましい実施例においては、
ファイアウオール比較回路１８４０によってエラーが検
出されると、ＣＰＵで指示された動作に対しライン２５
を介して同期マシンチエツクを行うことが要求される。

ＣＰＵ３０及び３０′のソフトウェアは、欠陥の生じた
動作を再トライする。ＤＭＡによって指示された動作の
場合には、同じエラー検出によってライン２５を経て同
期割込みが生じ、ＣＰ　ｔＪ　４．０５５０．４０’及
び５０′のソフトウェアがＤＭＡ動作を再スタートさせ
る。

幾つかの過渡エラーは直ちに修復されない。

例えば、ＣＰＵモジュール３０のエラー信号７６２によ
って指示される制御エラーは、メモリモジュール６０に
未知のデータを生じさせる。この状態においては、ＣＴ
’Ｕモジュール３０は、もはやフェイルセーフシステム
の一部分として確実に機能できないので、除去される。

従って、メモリアレイ６０は、ＣＰＵ３０がシステムに
再び加わる前にメモリ再同期動作を受けねばならない。

ＣＰＵ／メモリ欠陥ラインは、ＣＰＵ３０に欠陥が生じ
たことをＣＰＵ３０’　に指示する。

サイクルの状態、バイトマスク、方向及びレディ状態の
組み合わせを表わしている７本の制御ラインは、ＣＰＵ
−１：ジュ−ＪＬ＋（３０及び３０′）−ｋＩ１０モジ
ュールとの間にハンドシェイクを与える；サイクルの状
態は、実行されているバス動作の形式、即ち、ＣＰＵに
よるＩｌｏの読み取り、ＤＭＡ転送、ＤＭＡ設定又は割
込みベクトル要求を指示する。ｒバイトマスク」は、ロ
ーカルＲＡＭ１０６０において３２ビツトワードのデー
タの１バイト（８ビツト）を修正できるように、１６本
のデータラインのどれが有効なデータを含んでいるかを
指示する。「方向」は、ＤＭＡ動作に対しトランシーバ
経路の選択を固定する。ＤＭＡ転送は所定のソースと行
き先との間で生じるので、データ経路を選択するのに関
連した時間オーバーヘッドを、データ転送のごとに支払
う必要はない。

［レディｊメツセージは、要求された動作の完了を指示
するためにＣＰＵとＩ１０モジュールとの間に送られる
。

任意の時間にいずれかの処理システム２０又は２０’　
を作動して制御ラインの状態を読み取ることができる。

作動したり停止したりすることは処理システム２０と２
０’　との間で同期して行われる。

直列クロスリンクは、状態読み取り、ループバック、デ
ータ転送、状態の転送割込みに対し、直列データ転送を
行うために２組の２本のラインを備えている。

交換されるクロック信号は、位相固定クロック信号ＣＬ
ＫＣＩ−Ｉ及びＣＬＫＣ’　　Ｈ（遅延）である。

第２ＯＡ図ないし第２０Ｄ図は、ＣＰＵモジュール３０
及び３０′とＩ　１Ｏ−１＝ジユール１０゜及び１ｏＯ
′の要素（これらを介して種々の作動中にデータが通過
する）のブロック図である。これら要素の各々について
は既に述べた。

一般に、動作中のデータ経路は対象的である。

例えば、ＣＰＵのＩ１０読み取りは、互いにミラー像関
係にある経路を経てＩ１０モジュール１００及びＩ１０
モジュール１００′に対して行われる。このような場合
に１図面は全てのデータ経路を示しているが、その１つ
のみについて詳細に説明する。

第２０Ａ図は、ＣＰＵのＩ１０読み取り動作用のデータ
通路を示している。例えば、ディスク１０７５　（１０
７５’　）又はネットワークからのデータは、共有メモ
リ制御器１０５０（１０５０’）を通して転送するため
にローカルＲＡＭ１０６０（１０６０’）に記憶される
ものとする。１つの経路については、データがモジュー
ル相互接続部１３０のファイアウオール１０００を経て
クロスリンク９０へ送られる。このときには、データが
メモリ制御器７０及びクロスリンク９０′まで転送され
る。第１２図に示すように、クロスリンク９０は、ファ
イアウオール１０００からメモリ制御器７０へのデータ
を遅延し、クロスリンク９０’へのデータが［捕獲）に
充分な時間を有し且つ処理システム２０及び２０′が同
期状態に保たれるようにする。次いで、データは、クロ
スリンク９０からメモリ制御器７０を通りそして内部バ
ス４６を経てＣＰＵ４０へ送られる。同様に、クロスリ
ンク９０′へのデータもＣＰＵ４０’へ送られる。

データをＣＰＵ５０及び５０′へ読み込むために同様の
経路がとられる。共有メモリ制御器１０５０からのデー
タは、ファイアウオール１０１０を経てクロスリンク９
５へ送られる。このときには、データがクロスリンク９
５′へ送られると共に、クロスリンク９５内の遅延ユニ
ットに通される。

Ｉ１０装置からデータを読み取るときには、１つの読み
取り動作しか必要とされない、［ミラーＪＣＰＵのＩ１
０読み取り動作は、処理システム２０′のＩ１０装置か
ら共有メモリ制御器１０５０′を経て受け取ったデータ
及びＩ１０装置１００″のローカルＲＡ　Ｍから受け取
ったデータに対して行われる。

Ｉ１０モジュール１００，１１０及び１２０は、各々、
Ｉ１０モジュール１００’　、ＩＩＱ’及び１２０′と
同様であってそれに対応しているが、対応するＩ１０モ
ジュールは互いにロックステップ同期状態にない。ＣＰ
ＵのＩ１０読み取りに対してメモリ制御器１０５０°′
及びローカルＲＡＭ１０６０’　を使用して、データは
先ずクロスリンク９０′及び９５′へ送られる。他のデ
ータ経路は、メモリ制御器１０５０からの経路と同等で
ある。データは、クロスリンク９０′及び９５′からメ
モリ制御器７０′及び７５′を経て最終的にＣＰＵ４０
’及び５０′へ各々送ら九る。同時に、データは、各々
、クロスリンク９０及び９５へ送られ、次いで、遅延要
素を通ることなく、各々、ＣＰＵ４０及び５０まで送ら
れ続ける。

第２０Ｂ図は、ＣＰＵのＩ１０書き込み動作を示してい
る。データは、２つの別々のＣＰＵｌ１０書き込み動作
において、ＣＰＵ４０．５０．４０′及び５０′を経て
共有メモリ制御器１０５０及び１０５０”とローカルＲ
ＡＭ１０６０及び１０６０’　とに転送される。ＣＰＵ
４０によって転送されるデータは、ＣＰＵのＩ１０読み
取り中のデータとは逆方向に同じ経路に沿って送られる
。

特に、このようなデータは、メモリバス４６、メモリ制
御器７０、遅延ユニット９８５（同期をとれるようにす
るための）、ファイアウオール１０００及びメモリ制御
器１０５０を経て送られる。

ＣＰＵ４０ＭＪＳらのデータも、ＣＰＵ　　Ｉ１０読み
取りの経路を逆方向にたどる。特に、このようなデータ
は、内部バス５６′、メモリ制御器７５′。

クロスリンク９５′、クロスリンク９５、ファイアウオ
ール１０１０及び共有メモリ制御器１０５０を経て送ら
れる。上記したように、ファイアウオール１０００及び
１０１０は、Ｉ１０書き込み動作中にデータをチエツク
し、出力の前にエラーをチエツクする。

ＣＰＵ５０及び４０′からのデータは、処理システム２
０′のＩ１０装置への次のＣＰＵ　　Ｉ１０書き込みの
際に、対象的な経路を経て共有メモリ制御器１０５０’
へ送信される。ＣＰＵ５０及び４０’からのデータは、
ゾーン間チエツクのためにファイアウオール１０００及
び１０１０によって比較される。各ゾーンに対するレー
ル間チエツクは、メモリ制御器７０．７５．７０′及び
７５′において既に実行されている。

第２１Ｃ図は、ＤＭＡ読み取り動作のためのデータ経路
を示している。メモリアレイ６００からのデータは、メ
モリ制御器７０及び７５とクロスリンク９０及び９５と
に同時に送り込まれる。

クロスリンク９５は、そのデータを、ファイアウオール
１０００及び共有メモリ制御器１０５０へ送信するまで
遅延する。

メモリアレイ６ｏＯ′からのデータは、メモリ制御器７
０’及び７５′に同時に通され、次いで、クロスリンク
９０″及び９５′に通される。

クロスリンク９５′からのデータは、クロスリンク９５
及びファイアウオール１０１０を通って共有メモリ制御
器１０５０へ送られる。

ＣＰＵのＩ１０書き込み動作と同様に、このデータ経路
と、ファイアウオール１０００’及び１０１０’　を通
る対象的な経路は、ゾーン間エラーチエツクを与える。

レール間エラーチエツクは、メモリモジュール７０．７
５．７０’及び７５′において行われる。

ＤＭＡ書き込み動作のためのデータ経路が第２１Ｄ図に
示されており、これはＣＰＵのＩ１０読み取りの場合と
同様である６特に、共有メモリ制御器１０５０’　から
のデータは、ファイアウオール１０００’、クロスリン
ク９０′　（遅延を伴う）及びメモリ制御器７０’　を
経てメモリアレイ６ｏｏ’へ送られる。同時に、このデ
ータは、ファイアウオール１０１０’、クロスリンク９
５′（遅延を伴う）及びメモリ制御器７５′に通され。

このときには、レール間エラーチャック中にメモリ制御
器７０’からのデータと比較される。或いは又、ＣＰＵ
のＩ１０読み取りの場合と同様に、Ｄ　Ｍ　Ａ書き込み
動作のデータは、同等の動作中に共有メモリ制御器１０
５０まで送られてもよい。

又、クロスリンク９０′からのデータは、クロスリンク
９ｏ及びメモリ制御器７０を経てメモリアレイ６００へ
通される。クロスリンク９５′からのデータは、クロス
リンク９５′及びメモリ制御器７５′に通され、このと
きには、同時のレール間チエツク中にメモリ制御器７０
′からのデータと比較される。

メモリ再同期動作のためのデータ経路が第２−ＯＥ図に
示されている。メモリ再同期動作については第２３図に
関連して以下で詳細に述永る。メモリ再同期中のデータ
経路を理解するために、メモリ゛再同期の一部分である
バルクメモリコピー機能動作が第２１図に示されている
。

第２１図に示すように、バルクメモリコピー動作の第１
の段階は、クロスリンクをメモリ再同期マスター／スレ
ーブモードにセットして第２０Ｅ図に示すデータ経路を
形成できるようにすることである（ステップ２１００）
、第１３Ｉ図ないし第１３Ｌ図は、クロスリンクがスレ
ーブモードにあるときに通信が本質的に一方向であるこ
とを示している。従って、クロスリンクがスレーブモー
ドにある処理システムのメモリにデータを書き込むこと
ができるが、このメモリから情報を読み取ることはでき
ない。更に、第１３Ｅ図ないし第１３　Ｉ−Ｉ図は、第
１３Ｉ図ないし第１３Ｌ図と共に、クロスリンクがマス
ターモードにある処理システムがそのメモリモジュール
に書き込みを行うたびに、クロスリンクがスレーブモー
ドにある処理システムもその同じデータを書き込む。従
って、クロスリンクがスレーブモードにある処理システ
ムは、クロスリンクがマスターモードにある処理システ
ムと共に、そのときまでの情報を記憶するメモリモジュ
ールを有している。

次いで、第２１図のバルクメモリ転送フローチャートに
示されたように、マスター処理システムは、そのメモリ
モジュールを検査し、そのモジュールの全てのメモリペ
ージを見つける（ステップ２１１０）。これら全てのペ
ージが既知になると、マスター処理システムのＤＡＭエ
ンジンの待ち行列に入れられる（ステップ２１２０）。

好ましくは、マスター処理システムのＤＭＡエンジンは
、ＤＭＡ要求の待ち行列を含み、各要求は、転送の形式
の指示、スタートアドレス、転送されるべき要素の数及
び行き先の指示を含むのが好ましい。スレーブ処理シス
テムへの全てのＤＭＡ転送の行き先は、スレーブ処理シ
ステムのメモリモジュールである。

次いで、メモリ再同期動作により、スレーブ処理システ
ムのＤ　Ｍ　Ａエンジンへコマンドを送信しくステップ
２１３０）そして次のページのＤＭＡ転送を開始して完
了する（ステップ２１４０）という対話プロセスが開始
される。スレーブのＤＭＡエンジンへのコマンドは、Ｄ
ＭＡ転送のサイズ及びスタートアドレスを指示し、スレ
ーブ処理システムのメモリモジュールがマスターモジュ
ールと同一に構成されるよう確保する。これらのスチッ
プは、全てのマスターメモリの転送が完了する（ステッ
プ２１５０）まで繰り返される。

全てのマスターメモリの転送が完了すると（ステップ２
１５０）、マスタープロセッサはそのＣＰＵレジスタの
全ての内容を後で再ブートストラップ動作に使用するた
めにメモリに記憶する（ステップ２１６０）、ＣＰＵレ
ジスタの内容がマスターメモリに記憶されることにより
、それらがスレーブメモリにも記憶される。次いで、バ
ルクメモリ転送動作が開始されて、再同期プロセスを開
始することができるようにされる。

メモリ再同期動作においては、第２０Ｅ図のメモリアレ
イ６００’　、即ち［マスター」からのデータがメモリ
制御器７０′及び７５′、クロスリンク９０’及び９５
′、クロスリンク９０及び９５、並びにメモリ制御器７
０及び７５を同時に通過し、このときに、レール間エラ
ーチエツクのためにデータが比較される。メモリ制御器
７０からのデータは、メモリアレイ６００に入れられる
。

２、コールドブートストラップ メモリ再同期動作を除けば、前記したデータ経路は、全
て、ゾーン１１及び１１′がロックステップ同期状態に
あるときに生じる。然し乍ら、耐欠陥コンピュータシス
テム１０は、プロセッサ２０及び２０’が９ツクステッ
プ同期状態にないときの動作も受け入れねばならない。

これら状態の１つは、初期化時の「コールド」ブートス
トラップ動作中に生じる。別の状態は、以下に述べるメ
モリ再同期動作中に生じる。

第２２Ａ図ないし第２２Ｈ図は、ＣＰＵモジュール３０
及び３０’　をロックステップ同期状態にもっていくブ
ートストラップシーケンスを示すブローチヤードである
。

二股に、ステップ２２２８のようなエラー状態において
は、他のゾーンに成る刺激に対する不適当な応答が与え
られる。他のゾーンからの適当な応答を受け取り損なっ
たことに対する応答は、そのゾーンによって生じたエラ
ーを記録することである。この情報は、現場のサービス
要員によってエラーを分析するのに使用することができ
る。

更に、他のゾーンからの適当な応答を受け取り損なった
ことに対する応答は、そのゾーンによって生じたエラー
を記録することである。第２２Ａ図ないし第２２Ｈ図に
おいては、ゾーンが一般にゾーンＡ及びＢと称される。

とうのは、上記した動作が各々のゾーンに適用されるか
らである。

コールドブートストラップ動作に入ると（ステップ２２
００）、クロスリンク通路がオフに切り換えられ、プロ
セッサが通常の動作に対してセットされる（ステップ２
２０２）、通常の動作とは、ＣＰＵがそれらの各々のメ
モリ制御器を直接的に制御する状態を指す。次いで、Ｃ
ＰＵは、ＣＰＵに配置されたＥＥＰＲＯＭからそれ自身
のブートストラップトークンを読み取る（ステップ２２
０４）と共に、他のゾーンのＣＰＵからブートストラッ
プトークンを読み取る（ステップ２２０６）。両方のプ
ロセッサは、次いで、ゾーンＡからの応答を待機しくス
テップ２２０８）、ブートストラップ動作の目的でゾー
ンＡが「ブートマスター」となるかどうかを判断する。

もしそうであれば、両方のシステムは、ゾーンＢがブー
トストラップ動作のためのブートマスタとなると考えて
いるかどうか判断する（ステップ２２１２）。もしそう
であれば、ゾーンＢは非ブート状態にセットされ、ブー
トマスターとならない（ステップ２２１４）。

ステップ２２１０の判断の結果としてゾーンＡがブート
マスターとならない場合には、両ゾーンがゾーンＢがブ
ートマスターであるかどうか判断する（ステップ２２１
６）。ゾーンＢがブートマスターでない場合には、ゾー
ンＡがブートマスターとしてセットされる（ステップ２
２１８）。

−ステップ２２１０−２２１８が行われてブートマスタ
ーが決定された後に、各ゾーンはブートマスターである
かどうかそれ自身に尋ねる（ステップ２２２０）。ブー
トマスターとなったゾーンは、第２２Ｂ図のステップ２
２２２へ進む。他のゾーンは、第２２Ｆ図のステップ２
２８４へ進む。

第２２Ａ図ないし第２２Ｈ図のフローチャートの説明上
、ゾーンＡがブートマスターであるとする。

ゾーンＡは、先ず、そのオペレーティングシステムをブ
ートする。ブートプロセスの一部分には、システム１０
に存在する全てのＩ１０装置を制御するのに必要なテー
ブル記述及びルーチンをロードすることが含まれる。然
し乍ら、ゾーンＡのこれらＩ１０装置のみが初期化され
、アプリケーションプログラムに利用できるようにされ
る。

ブートマスターは、ブートシンプレックス手順に入り（
ステップ２２２２）、これは、ゾーンＡがゾーンＢから
のメツセージの受信を待機する（ステップ２２２４）状
態で開始する６ゾーンＢからメツセージを受信すると、
ゾーンＡは、ゾーンＢがゾーンＡと接続する要求をなし
たかどうかの判断をする（ステップ２２２６）。もしそ
うでなければ、プロセスはエラー状態２２２８へ入り、
ブートストラップ手順が完了され、ゾーンは非同期状態
に保たれる。ゾーンＢが接続の要求をなした場合には、
ゾーンＡがゾーンＢに「イエス」の応答を出しくステッ
プ２２３０）そしてゾーンＡが再びゾーンＢの応答を待
機する（ステップ２２３２）、ゾーンＢがＩｌｏを供給
しない場合には（即ち、ゾーンＢがそのＩ１０装置の制
御を保持する場合には）、別のエラー状態に入り（ステ
ップ２２３６）、ブートストラップ手順が終了される。

ゾーンＢがＩｌｏを供給する場合には、ゾーンＡがゾー
ンＢのクロスリンク状態を読み取る（ステップ２２３８
）。ゾーンＢのクロスリンク状態がゾーンＢがクロスリ
ンクスレーブであることを指示しない場合には（ステッ
プ２２４０）。

エラー状態に入り（ステップ２２４２）そしてブートス
トラップ手順が再び終了される。

ゾーンＢのクロスリンク状態が該ゾーンがクロスリンク
スレーブモードにあることを指示する場合には（ステッ
プ２２４０）、ゾーンＡがそ九自身のクロスリンク状態
を「マスター」にセットする（ステップ２２４４）。ゾ
ーンＢのＩ１０装置が初期化され、アプリケーションプ
ログラムに対して利用できるようにされる。ゾーンＡは
ゾーンＢからの要求を待機する（ステップ２２４６）。

ゾーンＡが再同期要求を受け取らない場合には（ステッ
プ２２４８）、エラー状態に入り（ステップ２２５０）
そしてブートストラップ手順が完了される。

ゾーンＡがゾーンＢから再同期要求を受け取る場合には
（ステップ２２４８）、ゾーンＡがゾーンＢに「イエス
」の応答を与え（ステップ２２５２）そしてゾーンＢか
らの応答を待機する（ステップ２２５４）、ゾーンＡは
、ゾーンＢが再同期の準備ができるまで待機する（ステ
ップ２２５６）。

ゾーンＢが再同期メモリに対して構成されている場合に
は、そのクロスリンク状態が［クロスリンクオンスレー
プ」及び「再同期スレーブ」となる。再同期スレーブモ
ードは、ゾーンＢのＣＰＵをそれらのメモリ制御器から
外すようにロックする。ここで、ゾーンＢのメモリ制御
器は、それに関連したクロスリンクから全ての指示を受
け取る。これは、ゾーンＢのメモリをゾーンＡで制御す
るようにする。ゾーンＢが再同期の準備ができた場合に
は、ゾーンＡがゾーンＢのクロスリンクの状態を再び読
み取り（ステップ２２５８）そしてゾーンＢの状態が該
ゾーンが再同期スレーブモードにあることを指示するか
どうか判断する（ステップ２２６０）。もしそうでなけ
れば、別のエラー状態に入り（ステップ２２６２）そし
てブートストラップ手順が終了される。

ゾーンＢのクロスリンク状態が該ゾーンが再同期スレー
ブモードにあることを指示する場合には（ステップ２２
６０）、ゾーンＡがそれ自身の状態を再同期マスターモ
ードにセットしくステップ２２６４）そしてメモリ転送
の待ち行列を形成する（ステップ２２６６）。これは、
第２１図について述べるバルクメモリ転送である。

次いで、ゾーンＡは、ＤＭＡがメモリ再同期に対して完
了するまで待機しくステップ２２６８）、そのシステム
状態をメモリから読み取り（ステップ２２７０）そして
再同期の後にゾーンがスタートするメモリ位置である再
スタートベクトルをセーブする（ステップ２２７２）。

システム状態は、全て、ソフトウェア及びハードウェア
の実行を制御するＣＰＵモジュールのレジスタ常駐情報
である。この情報は、ＣＰＵの汎用レジスタ、アドレス
変換テーブル、プロセス状態ワード、スタックポインタ
、プログラムカウンタ、割込み状態、構成レジスタ及び
インターバルタイマを含むが、これに限定されるもので
はない。これらの値は、メモリアレイ６０にセーブされ
る。メモリ再同期がまだ有効であるから、値はメモリア
レイ６０′にもセーブされる。セーブされた値のメモリ
アレイは、クロスリンクのセーブ状態レジスタに書き込
まれる。従って、ゾーンＡの全ての処理は保留され、キ
ャッシュメモリがフラッシュされる。アプリケーション
処理を再スタートするのに必要な全ての情報はメモリア
レイ６０及び６０′に常駐する。

次いで、ゾーンＡは、デユープレックス同期要求をセッ
トしくステップ２２７４）そしてゾーンＢのクロスリン
ク状態を読み取る（ステップ２２７６）。ゾーンＢの状
態が該ゾーンがデユープレックス同期モードにないこと
を指示する場合には、エラー状態に入り（ステップ２２
８０）そしてブートストラップ手順が終了する。ゾーン
Ｂがデユープレックス同期モードにある場合には、ゾー
ンＡがデユープレックス同期要求をセットし、第２２　
Ｈ図のステップ２３０８で始まる同期動作に入る。

ゾーンＡの動作と同時に、ゾーンＢはブートストラップ
のための別の組のステップを実行する。

ブートストラップ技術においてゾーンＢがスレーブであ
ると決定された後に、該ゾーンはゾーンＡと接続する要
求を発しくステップ２２８４）そして応答を待機する（
ステップ２２８６）。ゾーンＡの応答がゾーンＢに接続
できないという応答である場合には、ゾーンＢがコンソ
ール状態に入る。

成る状態のもとでは、１つのゾーンのみと動作すること
が所望される。１つのゾーンはブートできるが、他方の
ゾーンは拡張診断を実行する。

従って、ゾーンＡはゾーンＢをブートしないように命令
され、ゾーンＢが接続の要求を出したときには、許可が
与えられない０次いで、ゾーンＢは。

コンソールオペレータからの命令をコンソール状態で待
機する。

ゾーンＡがゾーンＢの接続要求に対して「イエス」の応
答を出した場合には、ゾーンＢがその■／○を手放しく
ステップ２２９０）、そのクロスリンク状態を「スレー
ブ」モードにセットしそして再同期動作を要求する（ス
テップ２２９４）。

次いで、ゾーンｎはゾーンＡからの応答を待機する（ス
テップ２２９６）。

ゾーンＢの再同期要求に対するゾーンＡの応答が「イエ
ス」でない場合には（ステップ２２９８）、ゾーンＢが
コンソール状態２３００に入り、ブートストラップ動作
が終了される。ゾーンＡがゾーンＢの再同期要求に対し
て「イエス」の応答を出した場合には（ステップ２２９
８）、ゾーンＢが「再同期レディ」メツセージをゾーン
Ａに送り（ステップ２３０２）そしてそのクロスリンク
状態を「スレーブ」モードにセットする（ステップ２３
０４）、次いで、ゾーンＢは、同期動作に入るまでゾー
ンＡからの再同期を待機する。

ブートストラップルーチンがまだ終了されないか又はコ
ンソール状態に入らない場合には、両ゾーンがゾーンＡ
のクロスリンク状態を読み取る（ステップ２３０８）と
同時に、ゾーンＢのクロスリンク状態を読み取る（ステ
ップ２３１０）。

両方のクロスリンク状態が等しい場合には（ステップ２
３１２）、ブートストラップが完了しそしてブートスト
ラップ手順が終了される。

クロスリンクＡ及びクロスリンクＢの状態が等しくない
場合には、クロスリンクがオフにされ（ステップ２３１
４）そして両方のプロセッサがブートマスターとなるか
どうか質問する（ステップ２？３１６）。クロスリンク
状態が不一致であることは、２つのゾーンの同期がうま
くとれなかったことを意味する。ブートマスターゾーン
（ゾーンＡ）は、スレーブゾーン（ゾーンＢ）の構成テ
ーブルから装置を除去し、そして処理を続行する。

ゾーンＢは、コンソール状態において、コンソールオペ
レータが更に別の命令を与えるのを待機する。ブー１−
マスターであるゾーンについては、ブートストラップル
ーチンが終了される（ステップ２３１６）。他のゾーン
については、コンソール状態に入り（ステップ２３１８
）、次いで、ブートストラップルーチンが終了される。

３、メモリ再同期動作 メモリ再同期動作は、コールドブートストラップ手順の
間と、以下に述べるように、ゾーンが同期を失うように
させる過渡エラーが検出された後とに使用される。一方
のゾーンは、好ましくは。

他方のゾーンの動作を停止させることなく再同期しなけ
ればならない。このような再同期にとって重要なことは
、コンピュータシステム１ｏを完全に停止することなく
メモリアレイ６００及び６００′を互いに等しくセラ卜
する技術である。これは、メモリ再同期によって行われ
る。

メモリ再同期のフローチャートが第２３図に示されてい
る。メモリ再同期のための一連のシーケンスの多くは、
ブートス１〜ラツプ動作に用いられたものと同様である
。これらのシーケンスは、簡単にいえば「ルーチン」と
称され、第２２図のブートスｊ・ラップ動作のフローチ
ャートに示された一連のシーケンスに相関される。

メモリがコピーされるゾーンは「マスター」であり、マ
スターメモリのコピーを受け取るゾーンは「スレーブ」
と称する。マスターはクロスリンクマスターでもあり、
スレーブはクロスリンクスレーブでもある。メモリ再同
期の初期化時に、マスターのクロスリンクは「クロスリ
ンクオン（マスター）」モードである。マスターが他の
ゾーンから再同期要求を受け取ると（ステップ２３２０
）、マスターは「イエス」で応答しくステツーｆ２３２
２）そしてスレーブからの応答を待機する（ステップ２
３２４）。マスターは応答を受け取ると、メモリ再同期
（マスター）ルーチンに入り（ステップ２３２６）、こ
れは、第２２Ｂ図及び第２２Ｃ図に示されたステップ２
２５６ないし２２８２より成る。次いで、変更されたブ
ートストラップルーチンである自動ウオーム再スタート
手順が開始される。この手順については以下で述べる。

そのメモリが同期されることを要求しているゾーンで、
スレーブとなるようなゾーンが再同期を所望していると
きには（ステップ２３３０）、「再！１期要求」をマス
ターへ送り（ステップ２３３２）そして応答を待機する
（ステップ２３３４）。

マスターからの応答を受け取ると、メモリ再同期（スレ
ーブ）ルーチンを開始する。これは、第２２Ｇ図に示す
ブートストラップルーチンのステップ２２９８ないし２
３０６で構成される。このルーチンが完了すると、スレ
ーブは自動ウオーム再スタート手順を開始しくステップ
２３３８）、次いで、両ゾーンはゾーン再同期手順に入
る。

ゾーン再同期ルーチンは、第２２Ｈ図に示すブートスト
ラップルーチンのステップ２３０８−２３１８より成る
。唯一の相違は、第２２　Ｈ図に示されたステップ２３
１６において、ゾーンがブートマスターであるかどうか
ではなくてクロスリンクマスターであるかどうかをそれ
自体に尋ねる。

４、ウオーム再スタート動作 ウオーム再スタート手順が第２４図に示されている。こ
の手順に入ると、最初に尋ねる質問は、クロスリンクの
状態が何であるかである。それが通常動作、マスター再
同期動作又はスレーブ再同期動作である場合には、ウオ
ーム再同期動作が終了される。

クロスリンク状態が「デユープレックス同期」である場
合には、ＣＰＵが一時的に停止され（ステップ２４２０
）、次いで、コンソールコードに入って（ステップ２４
３０）、ブートストラップ動作を完了する。スレーブ状
態レジスタが分析される。スレーブ状態レジスタがＯで
ある場′合には。

第２２図に示すようにコールドブートストラップを行う
必要がある（ステップ２４５０）。さもなくば、ＣＰＵ
レジスタは所定のメモリ位置からロードされ、これらは
スレーブ状態レジスタの値十４であるのが好ましい（ス
テップ２４６０）。次いで、スレーブ状態レジスタによ
って指示された位置へ分岐がなされる（ステップ２４７
０）。この後者の動作によりオペレーティングシステム
及び全ての保留されたジョブが再スタートされる。

Ｄ、欠陥検出、分前及び修理 １、トレースＲＡＭ 欠陥検出のための種々の方法は、ＣＰＵモジュール３０
及び３０’　とファイアウオール１０００及び１０１０
との説明において既に述べた。これらの方法は、メモリ
制御器から受け取ったアドレス及び制御信号が同じであ
ることをメモリモジュール６０及び６０′によってチエ
ツクすることと、修正不能なメモリデータのエラーをチ
エツクすることとを含む。又、これらの方法は、２つの
「レール」を通過するアドレス、制御及びデータ信号が
同じであることをメモリ制御器の対７０／７５及び７０
’／７５’　によって比較することも含む。又、ファイ
アウオール１０００及び１０１０は、Ｉ　１０書き込み
中にゾーンからのデータを比較するチエッカを有してい
る。他の欠陥検出機構も考えられる。

処理システム２０及び２０′の欠陥停止機能と矛盾しな
いように、処理システムの欠陥検出は、欠陥が制御され
ない状態で他のモジュールへ伝播されないようにする。

然し乍ら、フェイスセーフ機能を実現するためには、コ
ンピュータシステム１０は、欠陥の発生源を分能してシ
ステムを修理することができねばならない。欠陥の発生
源を探索するための好ましい技術は、トレースＲＡ　Ｍ
と称する再循環レジスタを使用しており、これらのＲＡ
Ｍは処理システム２０及び２０’のデータ経路全体にわ
たって配置されている。これらのトレースＲＡＭは、そ
れに関連したデータ経路を経て送られる連続するメツセ
ージを記録する。欠陥が生じたときには、欠陥の発生源
を探索するようにメツセージが分析される。

第２５図は、コンピュータシステム１０におけるトレー
スＲＡ　Ｍの好ましい位置を示すＣＰＵモジュール３０
及びＩ１０モジュール１００のブロック図である。他の
位置を使用することもできる。処理システム２ｏにおい
ては、トレースＲＡＭが全てのデータ経路に配置される
のが好ましい。

従って、第２５図において、トレースＲＡＭ２５００及
び２５０５は、各々、メモリ制御器７０及び７５に配置
される。トレースＲＡＭ２５１０゜２５１５及び２５１
８はクロスリンク９０の全てのインターフェイスに配置
され、そしてトレースＲＡ　Ｍ　２５２０．２５２５及
び２５２８はクロスリンク９５の全てのインターフェイ
スに配置される。トレースＲＡＭ１８７２及び１８７７
は各々ファイアウオール１００ｏ及び１０１０に配置さ
れる。相補的な組のトレースＲＡＭは、処理システム２
０′に配置される。

トレースＲＡＭの選択及び配置ははゾ任意であるが、好
ましくは、エラーのソースを正確に識別してエラー源を
識別できるようにするためには各データ経路が少なくと
も１つのトレースＲＡＭを含んでいなければならない。

トレースＲＡＭ２６００の一例が第２６図に示されてい
る。トレースＲＡＭ２６００は、関連バス経路のＮ個の
最新のサイクルに転送されたデータを記憶する円形バッ
ファとして編成されるのが好ましい。トレースＲＡＭ２
６００はバッファレジスタ２６ｏ５を備えており、その
入力はそれに関連したデータ経路からデータを受け取る
ように接続されている。バッファ２０００へのロード入
力はアンドゲート２６１５の出力である。アンドゲート
２６１５の入力は、データ経路からのクロック信号と、
欠陥が検出されたときに発生されたＦＲＥＥＺＥ　　Ｔ
ＲＡＣＥ　　ＲＡＭ信号である。

バッファ２６０５のアドレス入力は、アンドゲート２６
１５からカウント信号を受け取るリサイクルカウンタ２
６１０に接続されている。

トレースＲＡＭ２６００のサイズＮは、最も遠いメツセ
ージ転送に必要なバスサイクルの全数と、エラー又は欠
陥が生じたときにトレースＲＡＭに制御信号を送信する
に必要とされるサイクルの全数との和によって決定され
る。この制御信号は、トレースＲＡＭがそのデータを凍
結してそれ以上のメツセージの記憶を停止するためのコ
マンドであるのが好ましい。

次いで、トレースＲＡＭの各々は、それに関連したデー
タ経路におけるＮ個の最新のトランザクションのコピー
をそのメモリに保持する。例えば、第２５図において、
トレースＲＡＭ２５１８は、モジュール相互接続部１３
０におけるＮ個の最新のトランザクションのコピーを保
持する。

２、間欠エラー 第２７図は、エラー又は欠陥が検出されたときにその発
生源を分離するのに使用される手順を示すフローチャー
トである。エラーは、「内実」な状態を繰り返さない「
間欠的」なものであるか、このような状態を繰り返すも
のである。成る要素によって欠陥が検出されると、エラ
ー信号がそれに関連したクロスリンク（即ち、ファイア
ウオール１０００及びメモリ制御器７０のクロスリンク
９０）に送られる。クロスリンクはＣＰＵに割り込むか
又はＣＰＵがトラップ状態に入るようにさせる。

一般に、エラー信号は、ファイアウオール又はメモリ制
御器からのものである場合には１つのサイクルでクロス
リンクへ送られそしてメモリアレイからのものである場
合には２つのサイクルでクロスリンクに送られる。次い
で、クロスリンクの遅延要素は、両ゾーンのＣＰＵがエ
ラー又は欠陥について同時に通知されるように（即ち、
割込み又はトラップによって）確保する。

同時に、ＦＲＥＥＺＥ　　ＴＲＡＣＥ　　ＲＡＭ信号は
、エラーを検出した要素からコンピュータシステ１％　
１０全体にわたって伝播する（ステップ２７００）、：
（７）ＦＲＥＥＺＥ　　ＴＲＡＣＥ　　ＲＡＭ信号は、
一般に、そのゾーンのクロスリンクの到達するのに１つ
又は２つのメモリサイクルを必要とし、他のゾーンのク
ロスリンクと、エラーが見つかったゾーンのファイアウ
オール及びメモリ制御器とに到達するのに別のサイクル
を必要とし、そして非欠陥ゾーンのファイアウオール及
びメモリ制御器に到達するのに別のクロックサイクルを
必要とする。

ＣＰＵは、マシンチエツクルーチンに入り（ステップ２
７０２）そしてＣＰＵが既にマシンチエツクルーチンに
ある間にエラーが検出されたかどうかを判断することに
より（ステップ２７０５）トラップ又は割込みを処理す
る。エラーが検出された場合には、そのエラーが内実な
エラーであるとされ、システムは、第２８Ａ図ないし第
２８Ｃ図に示す内実な欠陥を分離する手順を開始する。

ＣＰＵがマシンチエツク手順にない場合には、検出され
たエラーが間欠的であるとされる。次いで、ＣＰＵは入
力フラグをセットしくステップ２７１０）、そのエラー
を分離する手順を開始する。

この入力フラグは、割込みが生じたときにＣＰＵがマシ
ンチエツク手順にあるかどうかを判断するためにステッ
プ２７０５においてテストされるフラグである。

次いで、全てのトレースＲＡＭデータがトレースＲＡ　
Ｍバスを介してその処理システムに関連したファイアウ
オールに読み込まれる（ステップ２７２０）。次いで、
診断マイクロプロセッサは、全てのトレースＲＡ　Ｍデ
ータをロードしくステップ２７３０）、ＣＰＵ４０．５
０．４０’及び５０′に転送する（ステップ２７３５）
。

次いで、各ＣＰＵは、エラー信号を送った要素でスター
トしくステップ２７４０）、要素の欠陥源を分離する。

トレースＲＡＭデータの比較は、２５００／２５０５．
２５１０／２５２０．２５１５／２５２５、等のような
対向するレール上の同じ位置のトレースＲＡＭからのデ
ータを比較することによって行われる。対応するメジセ
ージ（即ち、トレースＲＡＭの同じ深さにあるメツセー
ジ）が比較されて、エラー（即ち、対応するメツセージ
間の不一致）が検出されたかどうか調べられる。エラー
検出器においてトレースＲＡ　Ｍが分析された後に１次
のトレースＲＡＭは、欠陥が凍じた動作中にデータがた
どった経路を逆にたどる。従って、ＣＰＵの読み取りに
対しては、経路がＣＰＵから離れる方向となる。

エラー検出ルーチンの最初の段階においては、ＣＰＵモ
ジュール３ｏ及び３０′の各レールからのトレースＲＡ
Ｍデータが比較される（ステップ２７５０）。別々のレ
ールにおけるトレースＲＡＭ間にエラーがなくて（ステ
ップ２７５２）、対応するデータ経路におけるトレース
ＲＡＭデータが等しいことを意味する場合には、他のデ
ータ経路の存在が決定される（ステップ２７５４）。他
のデータ経路が保持される場合には、別の経路がとられ
（ステップ２７５６）、次の比較が行われる（ステップ
２７５０以降）。

他の経路がない場合には、ＣＰＵは、チエツクされたト
レースＲＡＭ対が第１のものであるかどうか判断する（
ステップ２７５８）。もしそうであれば、例えば、ＣＰ
Ｕ読み取りの際にファイアウオール１０００及び１ｏ１
０において最初にデータが受け取られたときにエラーが
生じているはずである。この点では単一のデータレール
が２つの経路に分割されているので、データは同じはず
であり、従って、エラー検出器はｒカルブリット（罪人
）」であると考えられ、欠陥であると記録される（ステ
ップ２７ＧＯ）、次いで、入力フラグがクリアされ（ス
テップ２７６２）、これはマシンチエツクルーチンの終
了を指示すると共に割込みをクリアし、そしてマシンチ
エツクルーチンが終了となる（ステップ２７６４）。

ステップ２７５４及び２７５８において他の経路が保持
されないが現在のトレースＲＡＭ対がチエツクされた最
初の対ではないことが判断された場合には、エラーがそ
の経路において手前のレベルで生じたものと判断される
。というのは、これは、１−レースＲＡＭがデータの変
更を発生時に記録した場合であると共にエラーが最初に
生じた場合だからである（ステップ２７６６）。次いで
。

ステップ２７６２及び２７６４において、各々、入力フ
ラグがクリアされ、そしてマシンチエツクルーチンが終
了される。

−然し乍ら、ステップ２７５２においてエラーが指示さ
れた場合には、そのエラーがオペレーションソースであ
るかどうかについて次の判断がなされる（ステップ２７
７０）。「オペレーションソース」とは、特定の経路に
対するデータ経路の開始を短く表現したものである。も
しそうでなければ、経路はオペレーションソースに向か
って後退され（ステップ２７７５）、レール間で別の比
較がなされる（ステップ２７５０以降）、ステップ２７
７０においてエラーチエツクルーチンがそのときオペレ
ーションソースであると判断された場合には、各々、そ
のオペレーションソースが欠陥の位置として記録され（
ステップ２７８０）、入力フラグがクリアされ（ステッ
プ２７６２）そしてマシンチエツクルーチンが終了され
る（ステップ２７６４）。

３・カブじ（Δ 欠陥が内実欠陥であると判断されると（第２７図参照）
、第２８Ａ図ないし第２８Ｃ図のフローチャートに示す
ようにこのような内実欠陥を分離する手順が開始される
。内実欠陥処理の第１のステップは、耐欠陥コンピュー
タシステム１０をその２つの別々のゾーン１１及び１１
′に分割することである（ステップ２８００）。これは
、全てのクロスリンクをオフに切り換えることによって
行われる０次いで、各ゾーンの診断マイクロプロセッサ
がそれらゾーンに対するトレースＲＡＭデータを読み取
り（ステップ２８０５）そしてそのデータ゛をデュアル
レールアクセスによってゾーンのＣＰＵに送る（ステッ
プ２８１０）。このプロセス中にエラーが検出された場
合には（ステップ２８１５）、エラー処理中にハードウ
ェア欠陥が生じており、そのゾーンがコンピュータシス
テム１０から除去される（ステップ２８２０）。欠陥を
報告する試みがなされる（ステップ２８２５）が、ハー
ドウェア欠陥であるためにこれは不可能であり、この手
順はコンソールへと続く。これにより、コンソールオペ
レータは詳細な診断テストを開始して、内実欠陥を探索
することができる。

トレースＲＡＭデータのデュアルレールアクセス中にエ
ラーが検出されない場合には、そのトレー−スデータが
分析される（ステップ２８３０）。

この分析に用いる手順は、過渡エラー分析のステップ２
７４０−２７８０に類似している。然し、ゾーンが分割
されていて一方のゾーンでしかエラーが検出されないの
で１手順に相違が生じる。このような場合の手順は、分
析を行っているゾーンではエラーを示さず、クロスリン
クにおいてエラ−を示す。分析中にハードウェア欠陥が
検出された場合には、そのゾーンが除去され（ステップ
２８２０）、報告の試みがなされ（ステップ２８２５）
そして手順はコンソールへと続く。

トレースＲＡＭデータのゾーン分析によりエラーがある
ことが示された場合には（ステップ２８３５）、エラー
の位置が検討される（ステップ２８４０）。エラーがゾ
ーン内にある場合には、欠陥がもはやハード即ち内実で
ないことが決定されるか又は多数の欠陥が存在すること
が分かり、過渡欠陥を分離しようと試みる間に生じる過
渡欠陥は元の過渡欠陥を見掛は上内実であるようにする
（ステップ２８４５）。まれなことであるが、このよう
な状態は、エラー処理中にハードウェアの欠陥が生じた
場合にたどるステップに類似した更に別の分析を必要と
し、欠陥を生じたゾーンがシステムから除去され（ステ
ップ２８５０）、エラーを報告する試みがなさｔＬ（ス
テップ２８５５）そして内実欠陥手順を終了してコンソ
ールへ至る。

ステップ２８４０において、クロスリンクに欠陥がある
と決定された場合には、欠陥が実際にはクロスリンク通
路２５にあるか又は他のゾーンにある（ステップ２８６
０）。このような場合、第２８Ｂ図に示すように、その
ゾーンは、そのエラー分析を直列クロスリンクを経て他
のゾーンへ送り（ステップ２８６５）そして他のゾーン
が応答するかどうかについて判断がなされる（ステップ
２８６８）。他のゾーンからの応答がない場合には（ス
テップ２８７０）、他のゾーンが不作動であると判断さ
れ、欠陥が報告される（ステップ２８７０）。次いで、
エラー状態がクリアされ（ステップ２８７５）、内実欠
陥分析ルーチンが完了する。

他のゾーンが応答する場合には、更に別のエラー分析が
行われて、他のゾーンが欠陥状態にあるかどうか又はク
ロスリンクが欠陥状態にあるかどうかの判断がなされる
（ステップ２８７７）。

ステップ２８７７の分析によって他のゾーンが欠陥状態
にあると分かった場合には、該他のゾーンに欠陥が生じ
たと報告され（ステップ２８７９）、エラー状態がクリ
アされ（ステップ２８７５）そして内実欠陥分析手順が
完了する。

一方、ステップ２８７７の分析結果がクロスリンクが欠
陥状態にあるというものであった場合には、直列クロス
リンクを介して欠陥のあるクロスリンクを識別する試み
がなされる（ステップ２８８１）。これは、第２８Ａ図
のステップ２８３５と同様の手順によって行われる。欠
陥のあるクロスリンクが識別されると、欠陥のあるゾー
ンが除去されそして欠陥が報告される（ステップ２８８
：３）。次いで、エラー状態がクリアされ（ステップ２
８７５）そして内実欠陥の分析手順が完了する。

ステップ２８３５において、トレースＲＡＭデータが分
析されそして他のゾーンに欠陥があると判断された場合
には、第２８Ｃ図の手順をたどる。この手順において、
ゾーンは直列クロスリンクを経てトレースＲＡ　Ｍの分
析結果を交換しくステップ２８８５）そして他のゾーン
が応答しているかどうか判断される（ステップ２８８７
）。他のゾーンが応答しない場合には、そのゾーンが欠
陥として報告され（ステップ２８８９）　、エラー状態
がクリアされ（ステップ２８９１）そして内実欠陥の分
析ルーチンが完了する。

応答が受信された場合には（ステップ２８８７）、第２
８Ｂ図のステップ２８３５のエラー分析に類似したエラ
ー分析が実行される（ステップ２８９３）。エラー分析
は２つの結論のうちの１つに到達する。その結論が他の
ゾーンが欠陥状態にあるというものである場合には、そ
のゾーンが欠陥として報告される（ステップ２８８９）
。その結論がクロスリンクが欠陥状態にあるというもめ
である場合には、クロスリンク又は他のゾーンが欠陥で
あると報告される（ステップ２８９５）。

ステップ２８８９又は２８９５の報告の後に、エラー状
態がクリアされ（ステップ２８９１）そして分析手順が
終了する。

４、血星 第２７図及び第２８Ａ図ないし第２８Ｃ図に示された欠
陥及び内実欠陥分離手順の結果、ｃｐＵモジュール（即
ち、ＣＰＵ／メモリ／メモリ制御器の組み合わせ）；ク
ロスリンク；クロスリンク通路２５；モジュール相互接
続部；又はＩ１０モジュール内においてエラー又は欠陥
が探索されたとすることができる。一般に、間欠欠陥が
検出された場合には、耐欠陥コンピュータシステム１０
のＣＰ　ＴＪが間欠欠陥の位置を指示し、増分カウンタ
が欠陥要素に対する間欠エラーの数を指示する。要素に
対するカウントが所定数を戴えない限りそれ以上の動作
は生じない。カウントが所定数を越えて、間欠欠陥の生
じる頻度が許容するには高過ぎることを指示する場合、
又は検出された欠陥が内実欠陥である場合には、モジュ
ール又は要λりに欠陥があり、それらを作動不能にして
、その要素を含むモジュールを交換できるまで耐欠陥コ
ンピュータシステム１０が効果的に動作を続けられるよ
うにしなければならない。

ＣＰＵモジュールが欠陥であると分かった場合には、そ
のモジュールのクロスリンクを「デユープレックス」モ
ードから「スレーブ」モードに切り換えることによって
そのモジュールを動作不能にしなければならない。「ス
レーブ」モードにおいては、モジュールをそのクロスリ
ンク診断制御レジスタによって他のゾーンのＣＰＵモジ
ュールと通信するしかない。動作不能にされたＣＰＵモ
ジュールはコンソールモジュールに復帰される。

クロスリンクが欠陥であると分かった場合には、欠陥状
態にあるクロスリンクの部分に基づいて３つの動作のう
ちの１つをとることができる。

メモリ制御器に接続されたクロスリンクの部分は。

実際には、それに関連したＣＰＵモジュールから区別す
ることができない。その部分に欠陥がある場合には、Ｃ
ＰＵモジュールを動作不能にしたのと同じ手順を行わね
ばならない。

モジュール相互接続部に接続されたクロスリンクの部分
は、実質上、モジュール相互接続部と区別することがで
きない。この状態においてクロスリンクを動作不能にす
るプロセスは、モジュール相互接続部を動作不能にする
手順と同じである。

クロスリンクの一部分は、クロスリンク通路と実質上区
別できないクロスリンク通路２５に接続される。この場
合、又は欠陥がクロスリンク通路にある場合には、クロ
スリンクをオフに切り換えると共に、欠陥のあるクロス
リンクを含むと考えられるＣＰＵモジュールを動作不能
にすることにより、ゾーンが分割される。然し乍ら、欠
陥の発生源を決定できない場合には、ＣＰＵモジュール
３０及び３０′の所定の１つが先ず動作不能にされる。

エラーが持続する場合には、他のＣＰＵモジュールが再
ブー１−され、予め選択されたモジュールが動作不能に
される。

同じ手順を使用して、欠陥のあるＩ１０モジュールや、
モジュール相互接続部や、モジュールインターフェイス
に欠陥の生じたクロスリンクが動作不能にされる。３つ
全ての状態において、欠陥はＩ１０モジュールを伴うト
ランザクション中に生じ、従って、Ｉ１０モジュールが
動作不能にさ１ｎ７ｒ。コレは、全１”のＣＰＵ４０．
５ｏ、４０′及び５０’のオペレーティングシステムに
そのＩ１０モジュールの参照記号を除去するように通知
することによって行われる。

クロスリンク又はモジュール相互接続部の欠陥を表わす
欠陥が生じた場合には、それらのモジュールを含むゾー
ンを動作不能にすることができる。これに対する好まし
い解決策は、欠陥が生じたときに通信状態にあるＩ１０
モジューを動作不能に保持することである。モジュール
相互接続部及びクロスリンクの当該部分も、接続された
全てのＩ１０モジュールが動作不能にされたときに実際
上動作不能にされる。Ｉ１０モジュールをもたないＣＰ
Ｕモジュールは、大部分の目的に対し実際上動作不能に
される。

−糀廠 以上、好ましい実施例について示した本発明は、前記し
た本発明の目的を達成する。本発明の装置及び方法につ
いて種々の修正及び変更がなされることが当業者に明ら
かであろう。従って、本発明は、その広い観点において
、前記した特定の細部、代表的な方法及び装置、並びに
解説のための例に限定されない。従って、本発明の一般
的な考え方の精神又は範囲から逸脱せずに上記細部とは
異なったものが考えられる。

【図面の簡単な説明】

第１図は、本発明による耐欠陥コンピュータシステムの
ブロック図、 第２図は、第１図の耐欠陥コンピュータシステムを含む
物理的なハードウェアを示す図、第３図は、第１図の耐
欠陥コンピュータシステムに示されたＣＰＵモジュール
のブロック図、第４図は、第１図に示されたコンピュー
タシステムの相互接続されたＣＰＵモジュール及び■／
○モジュールのブロック図、 第５図は、第１図に示された耐欠陥コンピュータシステ
ムのメモリモジュールを示すブロック図、 第６図は、第５図に示されたメモリモジュールの要素を
示す詳細図、 第７図は、第３図に示されたＣＰＵモジュールの一次メ
モリ制御器を示すブロック図、第８図は、第３図のＣＰ
Ｕモジュールに含まれたミラーメモリ制御器のブロック
図、第９図は、第７図及び第８図に示されたメモリ制御
器のインターフェイス回路を示す図、第１０図は、第３
図に示されたＣＰＵモジュールのクロスリンクの並列レ
ジスタを示す図、第１１図は、第３図に示されたＣＰＵ
モジュールのクロスリンクの直列レジスタを示す図、第
１２図は、第３図に示されたＣＰＵモジュールのクロス
リンクの制御器の要素を示すブロック図、 第１３Ａ図ないし第１３Ｐ図は、第１２図に示された制
御器に対する信号の状態を示す表、−第１４図は、第１
図の耐欠陥コンピュータシステムのためのタイミングシ
ステムのためのブロック図、 第１５図は、第１４図のタイミングシステムによって発
生されたクロック信号のタイミング図、第１６図は、第
１４図に示されたタイミングシステムの位相検出器を詳
細に示す図。 第１７図は、第１図のコンピュータシステムのＩ１０モ
ジュールを示すブロック図、第１８図は、第１７図に示
されたＩ１０モジュールのファイアウオール要素を詳細
に示す図、第１９図は、第１図のコンピュータシステム
に対するクロスリンク通路の要素を詳細に示す図、第２
０Ａ図ないし第２０Ｅ図は、第１図のコンピュータシス
テムのデータ流れ線図、第２１図は、第１図のコンピュ
ータシステムによるバルクメモリ転送のための論理流れ
線図、第２２Ａ図ないし第２２Ｈ図は、第１図のコンピ
ュータシスチームのブートストラップ動作のための論理
流れ線図、 第２３図は、第１図のコンピュータシステムのメモリ再
同期動作のための論理流れ線図、第２４図は、第１図の
コンピュータシステムのウオーム再スタート手順のため
の論理流れ線図、第２５図は、トレースＲＡ　Ｍの配置
を含む第１図のコンピュータシステムのブロック図。 第２６図は、トレースＲＡＭのブロック図、第２７図は
、第１図のコンピュータシステムについて間欠欠陥を分
離するための論理流れ線図、そして 第２８Ａ図ないし第２８Ｃ図は、第１図のコンピュータ
システムにおいて内実欠陥を分離するための論理流れ線
図である。 図中： １０・・・耐欠陥コンピュータシステム１１．１１′　
・・・ゾーン １２．１２′　・・・キャビネット １３・・・バッテリ １４・・・電力レギュレータ １６・・・冷却ファン　　１７・・・交流入力−２０，
２０′　・・・処理システム ３（Ｃ３０’−−−ＣＰＵモジュール ４０．５０・・・ＣＰＵ ４２．５２・・・キャッシュメモリ ４３．５３・・・キャッシュバス ４４．５４・・・システムサポート及びキャッシュ制御
器 ６０・・・メモリモジュール ７ｏ、７５・・・−次メモリ制御器 ８０．８２・・・バス １００．１１０．１２０・・・Ｉ１０モジュール１３０
．１３２・・・モジュール相互接続部６００・・・メモ
リアレイ ６１０・・・制御論理回路 ６１２・・・−次制御信号デマルチプレクサ６１４・・
・ミラー制御信号デマルチプレクサ６１６・・・−次制
御信はドライバ ６１８・・・システムタイミング制御信号発生器６２０
・・・構成エラー論理回路 ６２５・・・エラー処理論理回路 ６２６・・・ＥＥＰＲＯＭ ６３０・・・比較論理回路 ６３２・・・行及び列アドレスメモリドライバ６３４・
・・アドレス比較器 ６３Ｇ・・・制御信号比較器 ６３８・・・ＥＣＣ信号比較器 ６４０・・・データ及びＦＣＣトランシーバ６４２・・
・ＥＣＣ発生器 図面゛の浄■（内容に変更なし） 第を図 第く図 第５０図 第２１図 ノマルクメモリ転送 第２２０．図 第２２Ｆ図 第＆Ｗ図 第２３．図 メモリ再同期 第２４．図 ウオーム再スタート 第２６図 トレースＲＡＭ 第２８Ｂ、図 第２８Ｃ図

Claims (6)

【特許請求の範囲】
1. （１）耐欠陥データ処理モジュールを具備し、該モジュ
   ールは、該モジュールの動作中に生じたエラーを検出し
   て修正し、高度なデータ完全性を維持するようにする手
   段と、上記耐欠陥データ処理モジュールへの全てのデー
   タの送信を制御すると共に上記耐欠陥データ処理モジュ
   ールの全てのデータの受信を制御するためのデータ送信
   制御手段と、このデータ送信制御手段に接続され、上記
   データを受信及び送信するための入力／出力ターミナル
   とを備えており、 更に、上記耐欠陥データ処理モジュールの上記入力／出
   力ターミナルへ上記データを送信するように接続された
   耐欠陥性でない入力／出力モジュールを具備し、この耐
   欠陥性でない入力／出力モジュールは、上記データ送信
   制御手段からの要求に応答して耐欠陥コンピュータシス
   テムへデータを転送するための読み取り手段と、上記耐
   欠陥性でない入力／出力モジュールが上記耐欠陥データ
   処理モジュールへのデータの転送を開始しないようにす
   るファイアウォール手段とを備えたことを特徴とする耐
   欠陥コンピュータシステム。
2. （２）上記耐欠陥データ処理モジュールは、上記入力／
   出力モジュールからのデータを記憶するメモリと、 上記メモリに接続され、上記耐欠陥データ処理モジュー
   ルの単独の制御を受けるようになっていて、上記データ
   を記憶すべき上記メモリ内の位置を指示するアドレスを
   発生するためのアドレス手段とを備えている請求項１に
   記載の耐欠陥コンピュータシステム。
3. （３）上記入力／出力モジュールは、該モジュール内で
   情報を転送するための入力／出力バスを備え、そして上
   記ファイアウォール手段は、上記入力／出力バスに接続
   されたバスインターフェイス要素を備えている請求項１
   に記載の耐欠陥コンピュータシステム。
4. （４）上記データ送信制御手段は、上記耐欠陥コンピュ
   ータシステムと上記耐欠陥性でない入力／出力モジュー
   ルとの間の通信を制御するためのクロスリンク要素を備
   えた請求項１に記載の耐欠陥コンピュータシステム。
5. （５）耐欠陥データ処理モジュールを具備し、該モジュ
   ールは、該モジュールの動作中に生じたエラーを検出し
   て修正し、高度なデータ完全性を維持するようにする手
   段と、上記耐欠陥データ処理モジュールのためのデータ
   を記憶するメモリユニットと、耐欠陥データ処理システ
   ムへの全ての入力データの受信を制御するためのデータ
   送信制御手段であって、データを受け取るべき上記メモ
   リユニット内の全てのアドレスを発生する手段を含んで
   いるデータ送信制御手段と、該データ送信制御手段に接
   続され、上記入力データを受け取る入力ターミナルと、
   上記耐欠陥データ処理モジュールの上記入力ターミナル
   に上記入力データを送信するように接続された出力モジ
   ュールとを備え、該出力モジュールは、上記耐欠陥デー
   タ処理モジュールへ上記入力データを送信するための出
   力手段を備えていることを特徴とする耐欠陥コンピュー
   タシステム。
6. （６）上記出力モジュールは、更に、上記耐欠陥データ
   処理モジュールから受け取ったデータを記憶するための
   記憶手段と、該記憶手段に接続されていて、上記耐欠陥
   データ処理モジュールからデータを受け取るべき上記記
   憶手段内の全てのアドレスを発生するための記憶制御手
   段とを備えており、更に、上記耐欠陥データ処理モジュ
   ールは、上記出力モジュールに接続されて上記出力モジ
   ュールにデータを送信するための出力ターミナルと、上
   記出力ターミナルに接続されて上記出力モジュールへ送
   信するためのデータを上記出力ターミナルに送信する手
   段とを備えている請求項５に記載の耐欠陥コンピュータ
   システム。