JPH02118872A - Ｉ／ｏの読み取りに対するエラーチェック機能を有したデュアルレールプロセッサ - Google Patents

Ｉ／ｏの読み取りに対するエラーチェック機能を有したデュアルレールプロセッサ

Info

Publication number
JPH02118872A
JPH02118872A JP1220114A JP22011489A JPH02118872A JP H02118872 A JPH02118872 A JP H02118872A JP 1220114 A JP1220114 A JP 1220114A JP 22011489 A JP22011489 A JP 22011489A JP H02118872 A JPH02118872 A JP H02118872A
Authority
JP
Japan
Prior art keywords
data
error
memory
zone
central processing
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP1220114A
Other languages
English (en)
Inventor
William F Bruckert
ウィリアム　エフ　ブルッカート
Thomas D Bissett
トーマス　ディー　ビセット
Dennis Mazur
デニス　メイザー
John Munzer
ジョン　ムンザー
Frank Bernaby
フランク　バーナビー
Jay H Bhatia
ジェイ　エイチ　バーティア
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Digital Equipment Corp
Original Assignee
Digital Equipment Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Digital Equipment Corp filed Critical Digital Equipment Corp
Publication of JPH02118872A publication Critical patent/JPH02118872A/ja
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1633—Error detection by comparing the output of redundant processing systems using mutual exchange of the output between the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0721—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment within a central processing unit [CPU]
    • G06F11/0724—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment within a central processing unit [CPU] in a multiprocessor or a multi-core unit
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0727—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in a storage system, e.g. in a DASD or network based storage system
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/079—Root cause analysis, i.e. error or fault diagnosis
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operations
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1415—Saving, restoring, recovering or retrying at system level
    • G06F11/142—Reconfiguring to eliminate the error
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/165—Error detection by comparing the output of redundant processing systems with continued operation after detection of the error
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/076—Error or fault detection not based on redundancy by exceeding limits by exceeding a count or rate limit, e.g. word- or bit count limit
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/08—Error detection or correction by redundancy in data representation, e.g. by using checking codes
    • G06F11/10—Adding special bits or symbols to the coded information, e.g. parity check, casting out 9's or 11's
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/08—Error detection or correction by redundancy in data representation, e.g. by using checking codes
    • G06F11/10—Adding special bits or symbols to the coded information, e.g. parity check, casting out 9's or 11's
    • G06F11/1008—Adding special bits or symbols to the coded information, e.g. parity check, casting out 9's or 11's in individual solid state devices
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1658—Data re-synchronization of a redundant component, or initial sync of replacement, additional or spare unit
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/2097—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements maintaining the standby controller/processing unit updated
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/22—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing
    • G06F11/2205—Detection or location of defective computer hardware by testing during standby operation or during idle time, e.g. start-up testing using arrangements specific to the hardware being tested
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/845—Systems in which the redundancy can be transformed in increased performance

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Hardware Redundancy (AREA)
  • Retry When Errors Occur (AREA)

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 産業上の利用分野 本発明は、耐欠陥マルチブロセッザコンピュータシステ
ムを形成する方法及びシステムに係る。
従来の技術 データ処理が中断されないことが重要であるようなコン
ピュータシステムの用途は多数ある。
このような用途としては、例えば、ファイナンスの業界
、原子カプラントのような厳密な工業設備、そして一般
には、コンピュータシステムの欠陥によって重大な破壊
を招く場合が挙げられる。
耐欠陥コンピュータシステムは、成る欠陥が生じてもデ
ータ処理を継続できるように複数のシステム又はシステ
ム部品を備えた色々な程度の冗長度で形成されている。
耐欠陥コンピュータシステムを得るために多数の解決策
が利用されている。
１つの解決策においては、各々がそれ自身のメモリを有
した多数のマルチプロセッサが別々のタスクを実行する
。別の解決策においては、多数のマルチプロセッサが共
通のメモリを共有し、別々のタスクを実行する。更に別
の解決策は、各々それ自身のメモリを有する２つ以上の
マイクロプロセッサを使用してこれらが同じタスクを一
緒に行うようにすることである。更に別の解決策は、共
通のメモリを共有する２つ以上のマルチプロセッサを用
いて同じタスクを一緒に行うようにすることである。
上記の４つの解決策を組み合わせて使用する耐欠陥コン
ピュータシステムも考えられる。１つの公知の耐欠陥コ
ンピュータシステムにおいては、４つの中央処理ユニッ
トが使用され、そのうちの２つは第１のボードにおいて
デユーブレックス形態で作動しそして他の２つは第２の
ボードにおいてデユープレックス形態で作動する。各ボ
ードからの出力が等しいとき及び等しくないときを検出
するために比較器が使用される。これらが等しくないこ
とが比較器によって検出された場合には、欠陥ボードが
自動的に停止され、その後、他のボードによって出力が
与えられる。
発明が解決しようとする課題 公知の耐欠陥コンピュータシステムは、種々の程度の耐
欠陥特性を与えるが、その本来の目的を満たさず、然も
、本発明によつ、でもたらされるような効果も与えない
。
そこで、本発明の目的は、通常同時に動作する二重のコ
ンピュータシステムを有した耐欠陥コンピュータ方法及
びシステムを提供することである。このような二重構成
は、単一欠陥点が生じないように確保し、一方のシステ
ムのエラー又は欠陥によって全コンピュータシステムが
作動不能にならないようにする。更に、このような欠陥
は、全て、エラーを生じさせたモジュール又は素子を作
動不能にするか又は無視することによって修正すること
ができる。
本発明の更に別の目的及び効果は、以下の説明にその一
部分が記載されていると共に、以下の説明からその一部
分が明らかであろうし、又、本発明を実施することによ
って学び取ることができよう０本発明の目的及び効果は
、特許請求の範囲に特に指摘する方法、装置及びその組
み合わせによって実現されそして達成されるであろう。
課題を解決するための手段 これら及び他の目的を達成するために、以下で述べるよ
うに実施される本発明によれば、プロセッサ間エラーチ
ェック機能を有するデュアルプロセッサのデータ処理シ
ステムにおいて、一連の命令を実行する第１の中央処理
ユニットと、この第１の中央処理ユニットと独立して及
び同期して上記一連の命令を実行する第２の中央処理ユ
ニットと、上記第１の中央処理ユニットに接続され。
上記第１の中央処理ユニットに入力されるべきデータを
受け取る第１のデータバスと、上記第２の中央処理ユニ
ットに接続され、上記第２の中央処理ユニットに入力さ
れるべきデータを受け取る第２のデータバスと、上記第
１及び第２のデータバスに接続され、上記第１及び第２
のデータバスを経て送られたデータをチェックすると共
に、上記データを上記第１及び第２の中央処理ユニット
に供給する前にＩ１０読み取りに対するエラーを検出す
るためのエラーチェック手段であって、上記第１及び第
２のデータバスの上記データが等しくないときにエラー
を指示するための比較手段を含んでいるエラーチェック
手段と、上記ニラ−チェック手段から検出されたエラー
に応答して、システムを同期状態に保ちながらエラーの
原因を分析するためのエラー分離手段とを具備すること
を特徴とするデュアルプロセッサのデータ処理システム
が提供される。
本発明の別の特徴によれば、デュアルプロセッサのデー
タ処理システムは、上記第１及び第２の中央処理ユニッ
トに接続された主メモリユニットを具備し、エラーチェ
ック手段は、第１及び第２の入力バス上の入力データが
等しくないときにエラーの存在を指示するメモリ制御手
段を備えている。
本発明の別の特徴においては、上記メモリ制御手段は、
上記第１データバスに接続された一次メモリ制御器であ
って、上記第１データバスから上記主メモリユニットへ
データを転送するための手段を含んだ一次メモリ制御器
と、上記第２バスに接続されたミラーメモリ制御器であ
って、上記第２のデータバスからのデータをエラーチェ
ックの目的で上記第１データバスからのデータと比較す
る手段を含んでいるようなミラーメモリ制御器とを備え
ている。
又、本発明の特徴によれば、第１の処理システムを具備
し、このシステムは、一連の命令を実行する第１の中央
処理ユニットと、該第１の中央処理ユニットと独立して
及び同期して上記一連の命令を実行する第２の中央処理
ユニットと、上記第１の中央処理ユニットに接続され、
上記第１の中央処理ユニットに入力されるべきデータを
受け取る第１のデータバスと、上記第２の中央処理ユニ
ットに接続され、上記第２の中央処理ユニットに入力さ
れるべきデータを受け取る第２のデータバスと、上記第
１及び第２のデータバスに接続され、上記第１及び第２
のデータバスを経て送られたデータをチェックすると共
に、上記第１及び第２の中央処理ユニットに上記データ
を供給する前にＩ／Ｏの読み取りに対するエラーを検出
するための第１のエラーチェック手段であって、上記第
１及び第２データバス上の上記データが等しくないとき
にエラーを指示する第１比較手段を備えているような第
１のエラーチェック手段とを備えており、そして更に、
上記第１の処理システムと実質的に同期して作動する第
２の処理システムを具備し、この第２の処理システムは
、上記一連の命令を実行する第３の中央処理ユニットと
、該第３の中央処理ユニットと独立して及び同期して上
記一連の命令を実行する第４の中央処理ユニットと。
上記第３の中央処理ユニットに接続され、上記第３の中
央処理ユニットに入力されるべきデータを受け取る第３
のデータバスと、上記第４の中央処理ユニットに接続さ
れ、上記第４の中央処理ユニットに入力されるべきデー
タを受け取る第４のデータバスと、上記第３及び第４の
データバスに接続され、上記第３及び第４のデータバス
を経て送られたデータをチェックすると共に、上記第３
及び第４の中央処理ユニットに上記データを供給する前
にＩ／Ｏの読み取りに対するエラーを検出するための第
２のエラーチェック手段であって、上記第３及び第４デ
ータバス上の上記データが等しくないときにエラーを指
示する第２比較手段を備えているような第２のエラーチ
ェック手段とを備えており、そして更に、上記第１と第
２の処理システム間に接続されたクロスリンク通信手段
であって、上記第１と第２の処理システム間に両方向性
の同期通信を与えるクロスリンク通信手段を備えたこと
を特徴とする耐欠陥コンピュータシステムが提供される
。
又、本発明によれば、上記第１又は第２のエラーチェッ
ク手段から検出されたエラーに応答して、上記第１及び
第２の処理システムを同期状態に保ちながらエラーの原
因を分析するエラー分離手段を備えたデュアルプロセッ
サのコンピュータシステムが提供される。
本明細書に含まれてその一部分を構成する添付図面は１
本発明の一実施例を示すもので、これを参照しながら本
発明の詳細な説明する。
実施例 以下、添付図面を参照し、本発明の好ましい実施例を詳
細に説明する。
Ａ、システムの説明 第１図は１本発明の目的を達成する耐欠陥コンピュータ
システム１０のブロック図である。この耐欠陥コンピュ
ータシステム１０は、ゾーン又はステーションと称する
二重のシステムを含んでいる０通常のモードにおいては
、これらゾーンが同時に作動する。この二重構成では、
単一欠陥点が生じないように確保すると共に、一方のゾ
ーンのエラー又は欠陥によってコンピュータシステム１
０が作動不能にならないようにする。更に、このような
全ての欠陥は、その欠陥を生じたモジュール又は素子を
作動不能にするか又は無視することによって修正するこ
とができる。２つのゾーン１１及び１１′が二重の処理
システム２ｏ及び２０′を含むものとして第１図に示さ
れている。然し乍ら、二重性は処理システムの範囲を賊
える。
第２図は、耐欠陥コンピュータシステ１１１０の物理的
なハードウェアを示していると共にシステムの二重性を
示している。各ゾーン１１及び１１′は、各々、別々の
キャビネット１２及び１２′に収容される。キャビネッ
ト１２は、バッテリ１３と、電力レギュレータ１４と、
冷却ファン１６と、交流入力１７とを備えている。キャ
ビネット１２′は、キャビネット１２の要素１２−１４
．１６及び１７に対応する別々の要素を備えている。
以下で詳細に述べるように、処理システム２ｏ及び２０
′は、バックプレーンによって相互接続された多数のモ
ジュールを備えている。成るモジュールが欠陥又はエラ
ーを含んでいる場合には。
コンピュータシステム１０を作動不能にすることなくそ
のモジュールを取外して交換することができる。これは
、処理システム２０及び２０’　が物理的に別々のもの
であって、別々のバンクプレーンを有しており、これら
バックプレーンにモジュールを差し込んで互いに独立し
て動作させることができるからである。従って、一方の
処理システムが動作を続けている間に他方の処理システ
ムのバックプレーンからモジュールを取り外したり差し
込んだりすることができる。
二重の処理システム２０及び２０′は同一のものであっ
て、同一のモジュールを含んでいる。
従って、処理システム２０についてのみ完全に説明すれ
ば、処理システム２０′が同等に動作することが理解さ
れよう。
処理システム２０は、第３図及び第４図に詳細に示され
たＣＰＵモジュール３０を備えている。
このＣＰＵモジュール３０は、以下で詳細に説明するク
ロスリンク通路２５によって処理システム２０′のＣＰ
Ｕモジュール３０′に相互接続される。クロスリンク通
路２５は、処理システム２０と２０′との間のデータ送
信経路を形成し、処理システム２ｏ及び２０’　が同期
して動作するよう確保するタイミング信号を搬送する。
又、処理システム２０は、第３図及び第１７図に詳細に
示されたＩ１０モジュール１００．１１０及び１２０を
備えている。これらＩ１０モジュール１００．１１０及
び１２０の各々は、二重レールモジュール相互接続部１
３０及ヒ１３２　ニよってＣＰＵモジュール３０に接続
されている。
モジュール相互接続部１３０及び１３２は、処理システ
ム２ｏのためのバックプレーンとして働く。
Ｂ、耐欠陥システムの原理 耐欠陥コンピュータシステム１０は、各要素が二重にな
っているので、単一欠陥点をもつことがない、処理シス
テム２０及び２０’の各々は。
欠陥停止処理システムであり、即ち、これらシステムは
サブシステム内の欠陥又はエラーを検出するとそれらが
制御されない状態で他のサブシステムへ伝播するのを防
止することができる。
２つの欠陥停止処理システム２ｏ及び２０’は、規定の
状態で動作する幾つかの要素によって相互接続されて、
フェイルセーフシステムを形成する。耐欠陥コンピュー
タシステム１０として実施されるフェイルセーフシステ
ムにおいては、欠陥停止処理システム２０及び２０′の
一方に欠陥が生じた場合でもコンピユークシステ１１全
体が処理を続けることができる。
一般に、２つの欠陥停止処理システム２０及び２０′は
ロックステップ同期状態で動作する。
３つの重要な例外がある。その第１は、以下で詳細に述
べるブートストラップ技術によって両方のプロセッサを
同期状態にもっていくときの初期化である。第２の例外
は、処理システム２０及び２０′が２つの異なるワーク
ロードにおいて独立して（非同期で）動作するときであ
る。第３の例外は、処理システム２ｏ及び２０′に幾つ
かのエラーが生じるときである。この第３の例外におい
ては、処理システム又はモジュールの１つが動作不能に
され、同期動作が終了となる。
二重処理システム２０及び２０’の同期は、同じ入力を
受けて同じ既知の状態でスタートするときに常に同じマ
シン状態に入ってエラーが生じない限り同じ結果を与え
る決定的なマシンとして各システムを処理することによ
って実行される。
処理システム２０及び２０’は、同一の構成にされ、同
じ入力を受け、それ故、同じ状態を通る。
従って、両方のプロセッサが同期して動作する限りこれ
らプロセッサが同じ結果を与えそして同じ状態に入らな
ければならない、処理システムが同じ状態にないか又は
異なった結果を与える場合には、処理システム２０及び
２０′の一方に欠陥が生じたと仮定される。修正処置を
とるためには欠陥源を分離し、例えば、欠陥モジュール
を動作不能にしなければならない。
エラー検出には、一般に、付加的な処理時間又は論理の
形態のオーバーヘッドが含まれる。このようなオーバー
ヘッドを最小にするためには、耐欠陥動作に適合するよ
うにできるだけ頻繁にならないようにシステムがエラー
をチェックしなければならない、ＣＰＵモジュール３０
及び３０’からデータが出力される前に行うエラーチェ
ックは非常に僅かでなければならない、さもなくば、原
子炉の場合と同様に内部の処理エラーによって外部のシ
ステムに不適切な動作が生じ、このような状態を防止す
るように耐欠陥システムが設計されている。
付加的なエラーチェックを行う理由は幾つかある。例え
ば、欠陥又はエラーを分離するためには、ＣＰＵモジュ
ール３０及び３０’　によって受け取ったデータを記憶
又は使用の前にチェックすることが望ましい、さもなく
ば、エラーのある記憶データが後でアクセスされて付加
的なエラーが生じたときには、エラーの発生源を見つけ
ることが困難もしくは不可能となる。これは、特に、エ
ラーのあるデータがいつの間にか記憶された場合にいえ
ることである１時間がたったりエラーデータが後で処理
されたときにはエラー発生源への追跡動作が破壊される
。
エラーが検出される前に記憶される時間の長さを表わす
「エラー待ち時間」も後で問題を生じさせる。例えば、
めったに使用しないルーチンは。
コンピュータシステムが手前のエラーによって減少した
容量で既に動作しているときには待ち時間エラーをカバ
ーしない、コンピュータシステムの容量が減少したとき
には、待ち時間エラーによってシステムがクラッシュす
る。
更に、二重レールシステムである処理システム２０及び
２０’　においては、メモリのような共有リソースのご
とき単一レールシステムにデータを転送する前にエラー
をチェックすることが所望される。というのは、このよ
うな転送の後には２つの独立したデータリソースがもは
やなく、単一レールシステムのエラーが後で検出された
場合には、エラーの追跡が不可能ではないまでも困難に
なるからである。
Ｃ，モジュールの説明 １、ＣＰＵモジュール 第１図に示されたＣ　Ｐ　ｔＪモジュール３０の要素が
第３図及び第４図に詳細に示されている。第３図はＣＰ
Ｕモジュールのブロック図であり、第４図はＣＰＵモジ
ュール３０、Ｉ１０モジュール１００及びそれらの相互
接続部のブロック図である。ＣＰＵモジュール３０及び
３０′に含まれた要素及びその動作は同じであるから、
ＣＰＵモジュール３０についてのみ説明する。
ＣＰＵモジュール３０は、二重のＣＰＵ４０及び５０を
含んでいる。これらＣＰＵ４０及び５０は、当業者に知
ら九でいる標準的な中央処理ユニットである。ここに述
べる好ましい実施例では、ＣＰＵ４０及び５０は、本発
明の譲受人゛であるデジタルエクイップメント社によっ
て製造されたＶＡＸ（登録商標）プロセッサである。
ＣＰＵ４０及び５０には、これらＣＰＵに対して充分な
メモリサイズの標準的なキャッシュＲＡＭであるキャッ
シュメモリ４２及び５２が各々組み合わされる。好まし
い実施例においては、キャッシュＲＡＭが４ＫＸ６４ビ
ツトである。然し。
本発明は、キャッシュＲＡＭをもつ必要はない。
ＣＰ　Ｕ　４０とキャッシュ４２との間のインターフェ
イスとして働くのは、システムサポート・キャッシュ制
御要素４４であり、ＣＰＵ５０とキャッシュ５２との間
のインターフェイスとして働くのは、システムサポート
・キャッシュ制御要素５４である。要素４４と５４は同
一であり、その各々は対応するキャッシュとＣＰＵとの
間の標準的なインターフェイスをなし、又、インターバ
ルタイマのような従来の周辺装置機能をＣＰＵに与える
、キャッシュバス４３及び５３は、ＣＰＵ４０及び５０
を各々システムサポート・キャッシュ制御モジュール５
２及び４２に接続する。
２、メモ曹モジュール ＣＰＵ４０及び５０は、４つまでのメモリモジュール６
０を共有できるのが好ましい、第５図は１つのメモリモ
ジュール６０のブロック図であり、そして第６図はモジ
ュール６０の特定のメモリ要素を示す詳細図である。
メモリモジュール６０は、−次メモリ制御器７０から３
２ビット両方向メモリバス８５を経てデータを受け取る
。又、メモリモジュール６０は。
メモリ制御器７ｏ及び７５から各々バス８０及び８２を
経てアドレス／制御信号も受け取る。バス８ｏ及び８２
は、行及び列のアドレス信号と、タイミング及び制御信
号１例えば、ＲＡＳ　（行アドレスストローブ）、ＣＡ
Ｓ　Ｃ列アドレスストローブ）、ＷＥ（ｌＦき込みイネ
ーブル）及びリフレッシュ信号とを含んでいる。
第５図に示すように、メモリモジュール６０はメモリア
レイ６００を含んでいる。このメモリアレイ６００は１
行及び列アドレスによってアドレスできる標準的なＲＡ
Ｍであるのが好ましい。
好ましい実施例では、メモリアレイ６００は、メモリを
８バンクまで含むことができる。
制御論理回路６１０は、アドレス及びメモリ制御信号を
伝送しそしてタイミング及び内部制御信号を発生する。
第６図に詳細に示されたように。
制御論理回路６１０は、−次制御信号デマルチプレクサ
６１２と、ミラー制御信号デマルチプレクサ６１４と、
−次制御信号ドライバ６１６と、システムタイミング制
御信号発生器６１８とを備えている。−次制御信号デマ
ルチプレクサ６１２は、−次ボードアドレス及び−次バ
ンクアドレス信号及び−次ＲＡＳ、ＣＡＳ、ＷＥ及びリ
フレッシュ信号を一次メモリ制御ｌ１７０から受け取る
。−次ボードアドレス信号が特定のボードを識別する場
合には、そのボードがアクティブとなり、そのボードの
デマルチプレクサ６１２は、ＲＡＳ、ＣＡＳ、リフレッ
シュ及び３ビツトのバンクアドレス信号から２組の８個
の制御信号を発生する。これら８個の制御信号は、−次
制御信号ドライバ６１６からの８個のＰＲＡＳ　（−次
ＲＡＳ）及び８個のＰＣＡＳ　（−次ＣＡＳ）信号とな
る。ドライバ６１６は、これらの信号をブーストして種
々のメモリバンクを駆動する。アクティブなメモリボー
ドについては、デマルチプレクサ６１２は、ＷＥ倍信号
デマルチプレクスしてその４つのコピーを形成し、これ
らはドライバ６１６によってブーストされて４つのＰＷ
Ｅ　（−次ＷＥ）信号が形成される。リフレッシュ動作
中には、全てのボードがアクティブとなる。
ミラー制御信号デマルチプレクサ６１４は。
ミラー信号に対して等しく動作する。ミラー信号は別々
のボードに供給されず、エラー検出に使用されるだけで
あるから、ドライバを必要としない。
システムタイミング／制御信号発生器６１８は、４種類
の入力、即ちクロッ信号と、書き込み、読み取り及びリ
フレッシュタイミングのようなメモリサイクル信号と、
当業者に良く知られた幾つかの他のシステム制御信号と
、アドレスビット２９とを受け取る。アドレスビット２
９は、アドレス信号がメモリスペース（即ち、メモリー
アレイ６００）へのアクセスを識別するか又はＩ１０ス
ペース（■１０装置又はシステムレジスタの１つ）への
アクセスを識別するかを決定する。システムタイミング
制御信号発生器６１８は、以下に述べるメモリモジュー
ル６０の他の要素の整合及びタイミングを制御する。
第５図に示された構成エラー論理回路６２０は、メモリ
モジュール６０の動作中に検出されたエラーに関連した
情報を記憶する。特に、比較論理回路６３０によってエ
ラーが検出された場合には、構成エラー論理回路６２０
は、その欠陥アドレス及び／又はデータを識別するに必
要な情報を記憶する。然し乍ら、比較論理回路６３０は
、制御及びアドレス信号をチェックするだけで、メモリ
データ信号はチェックしない。
メモリデータ信号はエラー検出コード（ＥＤＣ）を用い
てチェックされる。好ましい実施例では、メモリ制御器
７０及び７５によって必要とされるものと同じコードを
使用し、これは、単一ビット修正、二重ビット検出、エ
ラー修正コード（ＥＣＣ）であるのが好ましい。
第６図に示されたように、構成エラー論理回路６２０は
、エラー処理論理回路６２５及びＥＥＰＲＯＭ６２６を
備えている。エラー処理論理回路６２５は、エラーカウ
ンタと、制御論理回路と。
４つの記憶レジスタ（１つは一次アドレス用、１つは二
次アドレス用、１つはＥＣＣ用そして１つはデータワー
ド用）とを備えている。論理回路６２５は、以下で詳細
に述べる比較論理回路６３０の出力からエラー信号を発
生する。好ましくは、エラー状態が検出されたときに、
カウンタが増加し、論理回路６２５のレジスタが一次及
びそのミラーメモリアドレスと、ＦＣＣと、それに関連
したデータワードとを記憶する。何等かの形式のＮＶＲ
ＡＭ（不揮発性ＲＡＭ）　であルＥ　Ｅ　Ｐ　ＲＯＭ６
２６は、オフライン診断に対してメモリエラーデータを
記憶する。メモリモジュールに欠陥が生じた後にこのモ
ジュールが取り外されたときには、欠陥の原因を判断す
るためにＥＥＰＲＯＭ６２６から記憶されたデータが取
り出される。
比較論理回路６３０は、−次メモリ制御器７０からのＥ
ＣＣ１制御及びアドレス信号をミラーメモリ制御器７５
からの信号と比較することによりエラー検出を行い、こ
れら信号が互いに等しくないことを検出する。比較論理
回路６３０は、第６図に詳細に示されており、行及び列
アドレスメモリドライバ６３２．アドレス比較器６３４
、制御信号比較器６３６、ＥＣＣ信号比較器６３８゜デ
ータ及びＥＣＣトランシーバ６４０、及びＥＣＣ発生器
６４２を備えている。
行及び列アドレスメモリドライバ６３２は、１１ビツト
の行及び列アドレス信号を受け取って各信号の４つのコ
ピーを発生し、メモリアレイ６００の全てのメモリバン
クに対して充分な信号強度を与える。
各々の一次行及び列アドレス信号の４つのコピーは、ミ
ラー行及び列アドレス信号と同様に、アドレス比較器６
３４へ入力される。メモリモジュール６０の好ましい実
施例においては２行及び列の両方のアドレスが１１ビツ
トの長さであり、交互のサイクルにバス８０及び８２を
経て送信される。従って、各メモリアドレスごとに、２
つの比較が順次行われる。
アドレス比較器６３４は、別々の信号に各々対応する１
１個の５人力排他的オアゲート回路を用いて４４個の一
次行及び列アドレス信号と１１個のミラー行及び列アド
レス信号を同時に比較する。排他的オアゲート回路は、
いずれかの入力が異なる場合にそれらの出力をイネーブ
ルする。同様に、アドレス比較器６３４は、−次ボード
アドレス信号とミラーボードアドレス信号を比較すると
共に、−次バンクアドレス信号とミラーバンクアドレス
信号を比較する。これら全ての信号は、デマルチプレク
サ６１２及び６１４へも入力される。
システムタイミング及び制御信号発生器６１８は、入力
信号が安定したときに比較を行うようにするためにアド
レス比較器６３４のタイミングを制御する。比較の結果
は、エラー処理及び制御論理回路６２５へ入力される。
アドレス比較器６３４がいずれかの対応する信号が互い
に異なることが分かった場合には、回路６２５がエラー
を指示し、アドレス／制御エラー信号７６２をメモリ制
御器７０及び８０に送ることによって適当な処置をとる
。
制御信号比較器６３６は、アドレス信号比較器６３４と
同様に動作する。制御信号比較器６３６は、ＰＲＡＳ信
号とＭＲＡＳ信号を比較し、ＰＣＡＳ信号とＭＣＡＳ信
号を比較し、ＰＷＥ信号とＭＷＥ信号を比較しそして一
次リフレッシュ信号とミラーリフレッシュ信号を比較す
る。制御信号比較器６３６は、アドレス比較器６３４と
はゾ同様にタイミングどりされ、比較エラーが指示され
たときに、エラー処理及び制御論理回路６２５はエラー
を指示し、アドレス／制御エラー信号をメモリ制御器７
０及び７５に送信する。
ＥＣＣ比較回路６３８は、比較器６３４及び６３６とは
若干具なった動作をする。書き込み動作の場合、ＥＣＣ
比較器６３８は、データ及びＥＣＣ）−ランシーバ６４
０から７ビツトの一次ＥＣＣデータを受け取る。トラン
シーバ６４０はメモリアレイ６００に対するデータ及び
ＥＣＣ信号をバッファする０次いで、ＥＣＣ比較器６３
８は、トランシーバ６４０からのＥＣＣ信号と、トラン
シーバ６４０の出力の３２ビット−次データ信号からＥ
ＣＣ発生器６４２によって形成されたＥＣＣ信号とを比
較する。
又、ＥＣＣ比較器６３８は、ミラーメモリ制御器７５か
ら受け取ったミラーＥＣＣ信号と、−次メモリ制御器７
ｏから受け取った一次制御信号とを比較する。いずれか
のＦＣＣ比較によって２つの信号が等しくないことが指
示された場合には、エラー処理及び制御論理回路６２５
がエラーを指示し、ＦＣＣエラー信号７５２をメモリ制
御器７０及び７５に送信する。比較器６３４及び６３６
の場合と同様に、ＥＣＣ比較器６３８は、入力信号が安
定したときに比較が行われるようにタイミングどりされ
る。
読み取り動作の場合には、３２ビツトデータ及び７ビツ
トＥＣＣがメモリアレ、イ６００から読み取られる。更
に、ＥＣＣ発生器６４２は、ＥＣＣ比較器６３８がメモ
リアレイ６００からの７ビツトＦＣＣと比較するところ
の３２ビツトデータから７ビツトＦＣＣを発生する。又
、ＥＣＣ比較器６３８は、入力信号が安定したときに比
較が行われるようにタイミングどりされる。２つの信号
が等しくない場合には、エラー処理及び制御論理回路６
２５がエラーを指示し、ＦＣＣエラー信号７５２をメモ
リ制御器７０及び７５へ送信する。
前記したように、エラー処理論理回路６２５は、読み取
り動作中に生じる第１ＦＣＣエラーの一次及びミラーア
ドレスをセーブする。論理回路６２５内のカウンタのＥ
ＣＣエラーカウントは、これが最初に発生する場合に１
にセットされる。
その後にＥＣＣ読み取りエラーが生じると、メモリモジ
ュール６０内のＥＣＣエラーカウントが増加される。Ｃ
ＰＵ４０及び５０は、メモリモジュールに記憶されたア
ドレス及びカウント情報を通常の診断テストの一部分と
して周期的にポーリングする。ポーリングプロセスの一
部分によりこれらレジスタがクリアされ、ＦＣＣエラー
のある次のアドレスをトラップできるようにする。ＣＰ
Ｕ４０及び５０が修正されたデータをトラップされたア
ドレスに書き込むときには、メモリアレイ６００からの
これら「ソフトエラー」が修正される。
３・凶（−＋Ｊ　ｍ旧１肛 前記したように、メモリモジュール６０は、メモリへの
データ信号の比較は行わない、−次及びミラーメモリ制
御器７０及び７５がこのような比較を行う。メモリ制御
器７ｏ及び７５は、各々、メモリモジュール６０へのＣ
ＰＵ４０及び５０のアクセスを制御する。−次メモリ制
御器７０が第７図に詳細に示されており、ミラーメモリ
制御器７５が第８図に詳細に示されている。これらメモ
リ制御器７０及び７５は第７図及び第８図では若干具な
って示されているが、融通性を得るためにはこれらが同
一であるのが好ましい、これらの図面は説明を簡略化す
るために別々に示されている。
第７図に示すように、−大制御及びアドレスラインは一
次メモリ制御器７０を通して一メモリモジュール６０へ
直結されている。メモリ相互接続部８０の一次制御信号
は、ＲＥＡＤ及びＷＲＩＴＥといった必要な全°てのタ
イミング及び内部制御信号を形成するために回路（図示
せず）によって処理され、デコードされる。
データライン７０は、書き込み動作中に書き込みバッフ
ァ７１５及び７２０を経てメモリ相互接続部８５へ接続
される。読み取り動作中には、メモリモジュール６０か
らメモリ相互接続部８５に送られるデータが読み取りバ
ッファ７２５を通り、ＥＣＣ発生器７３０及びＥＣＣチ
ェック／修正回路７３５へ入力される。ＥＣＣチェック
／修正回路７３５の出力は、読み取りバッファ７４０へ
入力され、その出力はデータライン７１０へ接続される
。
ＥＣＣ発生器７３０は、メモリモジュール６０に書き込
まれるようにデータライン７１０から受け取ったデータ
に対しＥＣＣを発生する。この発生器７３０からのＥＣ
Ｃは、書き込みバッファ７４５を経てメモリモジュール
６０へ送られる一次ＥＣＣ信号である。
読み取り動作中にメモリモジュール６０から受け取られ
た一次ＥＣＣ信号は、読み取りバッファ７４８を経てＥ
ＣＣチェック／修正回路７３５へ送られる。ＥＣＣチェ
ック／修正回路７３５は。
メモリ相互接続部８５から受け取ったデータから発生さ
れたＦＣＣをチェックして、エラーを検出する。又、回
路７３５は単一ビットエラーを修正し、修正したデータ
を読み取りバッファ７４０を経て送信する。ＥＣＣチェ
ック／修正回路７３５がエラーを修正できないと判断し
た場合には、修正不能読み取りエラー信号７３８をエラ
ーラッチ７５０に送信し、該ラッチはこの信号を記憶す
る。
エラーラッチ７５０への他の入力は、アンドゲート７５
５から受け取ったＥＣＣエラー信号７５８である。アン
ドゲート７５５は、−次ＦＣＣエラー信号７５２（エラ
ー処理及び制御論理回路６２５からの）及びＷＲＩＴＥ
信号を入力として受け取る。ＦＣＣチェック／修正回路
は読み取り動作に対しエラーの検出及び修正、を行うの
で、アンドゲート７５５は、書き込み動作中にのみ一次
Ｆ　ＣＣ，エラーを指示するように確保する。
エラーラッチ７５０への別の入力は、エラー処理及び制
御論理回路６２５からの一次アドレス／制御エラー信号
７６２である。エラーランチ７５０への残りの入力はミ
ラー比較不一致信号７６８である。このミラー不一致信
号７６８は、−次メモリ制御器７０及びミラーメモリ制
御器７５からメモリモジュール６０へ送られた信号が互
いに不一致であることを比較器が検出したときにミラー
メモリ制御器７５から受け取られる。
エラーラッチ７５０に記憶される信号は各々データビッ
トとして記憶される。これらのビットはオアゲート７６
０へ入力され、該ゲートは、エラーラッチ７５０のいず
れかのピッ１−がイネーブルされた場合に一次ミラーエ
ラー信号をイネーブルする。
ミラーメモリ制御器７５が第８図に詳細に示されている
。ミラーアドレス及び制御信号８２は。
それに対応する一次制御信号８０が一次メモリ制御器７
０を通過したのと同様にミラーメモリ制御器７５に通さ
れてデコードされる。データライ、ン７１１は書き込み
バッファ７１６を通して受け取られ、比較器７６５へ入
力される。これらのデータラインは、又、ＥＣＣ発生器
７３１へも入力され、該発生器はミラーＥＣＣ信号を発
生する。ミラーＥＣＣ信号は、書き込みバッファ７４６
によってメモリモジュール６０に送られる。
データライン７１１は、制御器７５が一次制御器として
働く必要がある場合に、書き込みバッファ７２２を経て
メモリモジュール相互接続部８５にも接続される。然し
乍ら、一般に、１組のデータ信号しかメモリモジュール
６０に送られず。
バッフ７７２２は通常ディスエイプルされる。
データは、読み取り及び書き込みの両方の動作中にメモ
リモジュール６０からメモリ相互接続部８５を経てメモ
リ制御器７５へ受け取られる。
書き込み動作中には、メモリ相互接続部８５のデータは
、−次メモリ制御器７ｏがメモリモジュール６０へ送る
ものと同じデータである。−このデータは、書き込みバ
ッファ７２１を経て比較器７６５へ受け取られる。ＩＦ
き込み動作中に、−次メモリ制御器７０からのデータが
ミラーメモリ制御器７５からのデータに等しくない場合
には、比較器７６５がミラー比較不一致信号７６８をイ
ネーブルし、この信号は、−次メモリ制御１７０のエラ
ーラッチ７５０及びミラーメモリ制御器７５のエラーラ
ッチ７５１の両方に入力される。
読み取り動作中に、メモリモジュール６０からのデータ
は相互接続部８５から読み取りバッファ７２６を経て受
け取られ、次いで、ＥＣＣチェック／修正回路７３６へ
入力される。メモリモジュール６０から受け取ったミラ
ーＥＣＣ信号は、読み取りバッファ７４９を経て受け取
られると共に、ＥＣＣチェック／修正回路７３６にも入
力される６−次メモリ制御器７０のＥＣＣチェック／修
正回路７３５と同様に、ＦＣＣチェック／修正回路７３
６は、読み取りバッファ７４１を経てデータライン７１
１にデータを出力する前に全ての単一ビットエラーを修
正する。ＦＣＣチェック／修正回路７３６がエラーを修
正できない場合には。
修正不能読み取りエラー信号７３９をイネーブルし、こ
の信号は一次メモリ制御器７０のラッチ７５０の場合と
同様にエラーラッチ７５１に記憶される。
又、エラーラッチ７５１は、アンドゲート７５６からの
ＥＣＣエラー信号７５９も記憶し、このアンドゲートは
、メモリモジュール６０からのミラーメモリエラー信号
７５３とＷＲＩＴＥ信号とを合成する。更に、エラーラ
ッチは、メモリエラーモジュール６０のエラー処理論理
及び制御回路６２５からのミラーアドレス／Ｍ御エラー
信号７６３も記憶する。エラーラッチ７５１の出力はオ
アゲート７６１に入力される。オアゲート７６１は、エ
ラーラッチ７５１のいずれかのビットがイネーブルされ
た場合にミラーメモリエラー信号をイネーブルする。
処理システム２０′は、内部的には二重レールシステム
である。一方のレールは、ＣＰＵ４０と、キャッシュメ
モリ４２と、メモリ制御器７０と、内部バス４６とを備
えている。他方のレールは、ＣＰＵ５０と、キャッシュ
メモリ５２と、メモリ制御器７５と、内部バス５６とを
備えている。
然し乍ら、メモリモジュール６０は共有リソースである
。従って、メモリモジュール７０及び７５は、メモリモ
ジュール６０に対しては二重レール−単一レールインタ
ーフェイスをなす、従って、本明細書のＢ節で述べた本
明細書の原理によれば、このインターフェイスにおいて
エラーチェックが与えられる。好ましい実施例において
は、このようなエラーチェックが２つの異なった技術を
含む。
先ず第１に、ＣＰＵ５０からメモリ制御器７５へ送られ
るデータ信号はメモリモジュール６０に書き込まれず、
ＣＰＵ４０からメモリ制御器７０を経て送られるデータ
信号と比較される。メモリ制御器７５はこの比較を行う
と共に、メモリモジュール６０へ送られたデータに対し
てエラーチェックを行う、メモリモジュール６０は、メ
モリ制御器７０及び７５からのアドレス、制御信号及び
ＥＣＣを比較し、不一致を検出する。第２のエラーチェ
ック技術は、メモリ制御器７０及び７５がメモリデータ
からそれ自身のＥＣＣを発生することを含む。
本発明の別の特徴は、単一ビットメモリエラーによって
システム欠陥を生じさせるのではなくてメモリ制御器７
０及び７５により単一ビットメモリエラーを修正するこ
とである。この技術は、例えば、アルファ粒子が衝突す
ることにより通常生じる単一ビットメモリエラーを受け
入れる。このようなエラーを修正すると、システム欠陥
時間が減少され、単一の共有のメモリモジュールを使用
できるようにする。エラーの発生及び位置に注目するこ
とにより後で診断を行うことができる。
例えば、所定数以上のこのような修正可能なエラーを受
けるメモリボードを交換することが所望される。
メモリモジュール６０と、−次及びメモリ制御ａ７０及
び７５との間のインターフェイスが第７図及び第８図の
左側部分に一般的に示されている。第９図は、メモリ制
御器７０と内部バス４６及びクロスリンク９０とのイン
ターフェイス回路７７０を示している。メモリ制御器７
５にも同じインターフェイス回路が含まれる。
インターフェイス回路７７０はＤＭＡエンジン７７５に
も接続され、これは、メモリモジュール６０への直接メ
モリアクセス経路のためのアドレス及びコマンド信号を
発生する。好ましくは従来設計のものであるＤＭＡエン
ジン７７５の一般的な動作を詳細に理解することは、本
発明を理解する上で必要ではない。ＤＭＡエンジン７７
５は、Ｄ　Ｍ　Ａ転送のためのアドレスを有する１つの
カウンタと、転送回数の経過を保持するための別のカウ
ンタとを含んでいる。各転送の後に、アドレスカウンタ
は増加されそして転送回数カウンタは減少される。
ＤＭＡエンジン７７５の１つの重要な特徴は、対応する
ＣＰＵがＤＭＡエンジン７７５の動作のだめのアドレス
信号及び制御信号を発生して受信データを適切な位置に
書き込めるようにすることである。従って、Ｉ／Ｏ又は
周辺ユニットがエラーアドレスを発生することはない。
このようなエラーアドレスは、特にこのアドレスによっ
て工１０データがシステム情報又は他のデータの上に書
き込まれるような場合には有害な影響をもたらす。
バッファ７８６は、ＣＰＵ４０から内部バス４６を経て
データを受け取る。バッファ７８８はメモリ制御器７ｏ
からデータライン７１０を経てデータを受け取る。バッ
ファ７９０はクロスリンク９０からデータを受け取る。
インターフェイス回路７７０においては、ドライバ７８
０がその作動時に内部バス４６及びＣＰＵ４０へのデー
タ経路を与える。ドライバ７８０は、ＣＰＵがメモリモ
ジュール６０を読み取るか又はＩ／Ｏを読み取る間に作
動される。ドライバ７８０への入力を与えるマルチプレ
クサ７９２は、ＣＰＵ４０がメモリを読み取る場合には
バッファ７８８からの入力を、或いはＣＰＵ４０が工１
０装置からデータを読み取る場合にはバッファ７９０か
らの入力を、内部バス４０のデータとして選択する。
ドライバ７８２は、メモリ制御器７０へのデータ経路を
与え、ＣＰＵがメモリモジュール６０へ書き込みするか
メモリモジュール６０へＤ　Ｍ　Ａ書き込みするか或い
はメモリ再同期（スレーブ）動作をするために作動され
る。メモリ再同期動作については以下で詳細に述べる。
これらの動作は。
メモリモジュール６ｏ及び６０″の内容が互いに等しく
セットされるようにするために使用される。
メモリ再同期動作においては、データを受け取っている
モジュールが「スレーブ」となり、そしてデータを送信
しているモジュールが「マスター」となる、ドライバ７
８２へ入力を与えるマルチプレクサ７９４は、実行され
ている動作がＣＰＵのメモリ書き込みである場合にはバ
ッファ７８６からの入力を、或いは動作がＤＭＡ杏き込
みであるかメモリ再同期（スレーブ）動作である場合に
はバッファ７９０からの入力をメモリモジュール６Ｏの
ためのデータとして選択する。
バッファ７８４はクロスリンク９０へのデータ路を与え
、Ｉ１０装置へ書き込みするかメモリのＤＭＡ読み取り
を行うか又はメモリ再同期（マスター）動作を行うよう
に作動される。バッファ７８４へ入力を与えるマルチプ
レクサ７９６は、動作がメモリのＤＭＡ読み取りである
場合にはバッファ７８８からの入力を、或いは動作がＩ
１０装置へのＣＰＵ書き込みであるか又はメモリ再同期
（マスター）動作である場合にはバッファ７８６からの
入力をクロスリンク９０のためのデータとして選択する
。
マルチプレクサ７９８及び７９９は、アドレス及び制御
信号を各々メモリ相互接続部８０へ供給する０両方のマ
ルチプレクサ７９８及び７９９は、ＤＭＡ又はメモリ再
同期（スレーブ）動作を伴わないメモリ動作に対しては
バッファ７８６の出力を、ＤＭＡ動作に対してはＤＭＡ
エンジン７７５の出力を、或いはメモリ再同期（スレー
ブ）動作に対してはバッファ７９０の出力を、上記アド
レス及び制御信号のソースとして選択する。
４・孟且五旦之之 メモリ再同期、ＤＭＡ及びＩ　１０動作のためのデータ
はクロスリンク９０及び９５に通される。
一般に、クロスリンク９０及び９５は、ＣＰＵモジュー
ル３０と、ＣＰＵモジュール３０′と、工／○モジュー
ル１００，１１０，１２０と、工／○モジュール１００
’　、１１０’　、１２０″との間の通信を行う、クロ
スリンク９０及び９５は同じものであるから、クロスリ
ンク９０の要素及び動作についてのみ説明する。
クロスリンク９０は、第１０図及び第１１図に各々示さ
れた並列レジスタ及び直列レジスタを含んでいる。これ
ら面形式のレジスタは、本発明の好ましい実施例ではプ
ロセッサ間通信に使用される０通常の動作中には、プロ
セッサ２０と２０’が同期され、クロスリンク９０／９
５及び９０’／９５＋の並列レジスタによって各々処理
システム２０と２０’　との間でデータが並列に交換さ
れる。処理システム２０及び２０′が同期されないとき
には（ブートストラップ中に最も注目すべきことである
）、データが直列レジスタによって交換される。
第１Ｏ図に示された並列レジスタは、クロスリンク診断
通信レジスタ９０１、セーブ状態レジスタ９０３１通信
レジスタ９０６及び状態レジスタ９０９を備えている。
並列レジスタのアドレスはＩ１０スペース内にある。こ
のＩ１０スペース内においてこれらのアドレスはシステ
ムアドレススペース内にあるか又はゾーンアドレススペ
ース内にある。「システムアドレススペース」という用
語は、システム１ｏ全体にわたってアクセスでき、ひい
ては、両プロセッサ２ｏ及び２０′によってアクセスで
きるアドレスを意味する。「ゾーンアドレススペース」
という用語は、特定のクロスリンクを含むゾーンのみに
よってアクセスできるアドレスを意味する。
クロスリンクＤＣＲ（診断通信レジスタ）９０１は、ク
ロスリンク９０内に存在し、情報を交換すると共にゾー
ン１１′からゾーン１１内の診断機能を作用させること
のできる能力を有している。クロスリンクＤＣＲ，９０
１は、次のように構成された３２ビツトレジスタである
のが好ましい。
ビット　　　　皇里 ３１　　　　　受信フラグ ３０：２４　　　［指定済み：全てＯコ２３：１６　　
　受信データ １５　　　　　送信フラグ １４：８　　　　　［指定済み：全てＯコア：０　　　
　送信データ クロスリンクは、両方のゾーンへの割込みを生じさせる
ことができると共に、他のゾーンによってデータを受け
取ったり当該ゾーンでデータを利用したりできるように
する。ＤＣＲは、Ｉ１０モジュールがロックステップ状
態にあって且つクロスリンクがマスター／スレーブモー
ドにあるときしか使用できない、一方のゾーン、即ちマ
スターゾーンは、他方のゾーン、即ちスレーブゾーンの
ｌ１０ｔｊｌｉを制御し、スレーブゾーンのクロスリン
クは通信に使用される。マスターゾーンのクロスリンク
ＤＣＲは使用されない。発生される割込みは、スレーブ
ゾーンのＣＰＵ及びマスターゾーンのＣＰＵへ至る。各
ゾーンは、データの送信及び受信に対して割込みを使用
するかポーリングを使用するかについてそれ自身の選択
を行う。
ゾーン１１が全てのＩ１０装置を制御する場合には１次
のようなシーケンスを経てゾーン１１′に通知する。
１、ゾーン１１′のクロスリンクＤＣＲにビット２３：
１６を書き込む。
２、割込みをイネーブルする（ゾーン１１′の並列状態
レジスタ９０９） ３、割込みのための待機 ４、送信器の空き割込みは、ゾーン１１′がゾーン１１
′のクロスリンクＤＣＲを読み取ったことを報告する。
５、受イ８器いっばい割込みは、ゾーン１１′が応答す
ることを報告する。
ゾーン１１′は、その直列状態レジスタを用いて、それ
白身の割込みを以下に述べるように設定する。その並列
状態レジスタ９０９は、クロスリンクがスレーブモード
にセットされたときにはＩ１０装置と共にゾーン１１に
与えら籾ているので、使用することができない。
明らかなように、クロスリンクＤＣＨのアドレスは、読
み取り及び書き込みに対しシステム及びゾーンアドレス
スペースの両方になければならない、特に、各ゾーンは
、それ自身のクロスリンクＤＣＲ（ゾーンアドレススペ
ース）及び他のゾーンのクロスリンクＤＣＲ（システム
アドレススペース）から個々に読み取ることができねば
ならない。同様に、各ゾーンは、それ自身及び他のゾー
ンのＤＣＲに書き込みできねばならない。
セーブ状態レジスタ９０３は、処理システム２０を再ブ
ートするための状態情報を含んでいる。
ＣＰＵ４０及び５０は、このような情報をシステムアド
レススペースにおいてセーブ状態レジスタ９０３に書き
込む。というのは、同期動作中にデータがレジスタ９０
３に記憶されるからである。
同期動作へと再ブートするためには、同じ状態情報をク
ロスリンク９０及び９５とクロスリンク９０′及び９５
′とに書き込みことが必要である。
ブートストラップは非同期な動作であるので、各ＣＰＵ
４０及び５０は、それ自身のクロスリンクしかアクセス
しない、従って、状態レジスタ９０３はゾーンアドレス
スペースから読み取られる。
通信レジスタ９０６は、ゾーン間で交換されるべき独特
のデータを含んでいる。このようなデータは、通常は、
各ゾーンにとって独特のメモリソフトエラーカウントの
ような非同期データである。レジスタ９０６のデータが
独特であるから。
書き込みのための通信レジスタ９０６のアドレスは、ゾ
ーンアドレススペース内にある。アドレスがシステムス
ペースにある場合には、情報が開方のゾーンにおいて通
信レジスタへ書き込まれ、もはや独特ではなくなる。
然し乍ら、読み取りのための通信レジスタ９０６のアド
レスはシステムアドレススペース内にある。従って、同
期動作の間には１両方のゾーンが一方のゾーンから通ず
８レジスタを読み取れると同時に他方のゾーンから通信
レジスタを読み取ることができる。
状態レジスタ９０９は、クロスリンク９０に対して多数
の状態ビットを含んでいる。状態レジスタ９０９は、好
ましくは３２ビット長さであり、次のようなビット指定
を有している。
〈ＺΣ　　値 ３１：１４　０ ：６ ４：３　　　　　ｏ。
１：０　　　　　００ 意味 ［指定済み］ 割込みイネーブル（ビット１０−１２）をセット ＤＣＲバッファ空き割込みをイネーブルＤＣＲ受信割込
みをイネーブル クロック位相エラー割込みをイネーブルＤＣＲバッファ
空きフラグ、ＤＣＲが書き込まれるときにはＯにセット
そしてＤＣＲが読み取られるときには１にセット。
ＤＣＲ受信いっばいフラグ、全てのＤＣＲが書き込まれ
るときには１にセラトモしてＤＣＲが読み取られるとき
には０にセット。
クロック位相エラービットはクロック位相エラーの際に
セットされそして直列状態レジスタを通してリセットさ
れる 通常のバス動作（リードオンリ） メモリ再同期スレーブ メモリ再同期マスター 二重同期要求 クロスリンクオフ（リードオンリ） クロスリンクオンスレープ １０　　クロスリンクオンマスター １１　　クロスリンクオン二重 メモリ再同期動作及びクロック位相エラーは、以下で詳
細に説明する．ビット０及び１によって識別されるスレ
ーブ、マスター及び二重モードは、処理システム２０と
２０’　との間のクロスリンク通信の形式を示している
。
「クロスリンクオフ」とは、並列クロスリンク９１０で
２０と２０′との間の通信が行えないときの状態を意味
する．このモードは，ゾーン間の同期をとらない．「ク
ロスリンクオンスレープ」とは、成るゾーンがそのモジ
ュールを他のゾーンに相互接続するために使用する状態
を意味する。
ゾーンＡが「クロスリンクオンスレープ」である場合に
は，ゾーンＢが「クロスリンクオンマスター」となる、
従ッテ、ＣＰＵ４０’　及び５０’は、モジュールの相
互接続部１３０及び１３２と１３０′及び１３２′とに
対して制御権を有する．ＣＰＵ４０及び５０は、相互接
続部１３０，１３２、１３０′及び１３２′へアクセス
しない．［クロスリンクオンスレープノ及び「クロスリ
ンクオンマスター」は、モジュール相互接続部間の同期
はとるが．ＣＰＵ間の同期はとらない。
「クロスリンクオン二重」は、両Ｃ−ＰＵ４０及び４０
′がモジュール相互接続部１３０及び１３０’　を制御
できるようにすると共に、ＣＰＵ５０及び５０′が相互
接続部１３２及び１３２′を制御できるようにする．「
クロスリンクオン二重」は、ＣＰＵの同期をとると共に
Ｉ１０相互接続部の同期をとる．これらＣＰＵを同期さ
せるには。
両ゾーンの全てのメモリレジスタ及びバスサイクルが同
一であることが必要である．通信レジスタ９ｏ６を経て
独特のデータを取り扱わねばならない．モジュール相互
接続部の同期とは，クロスリンク９０、９５．９０’及
び９５′が同じ又は同等のバスサイクルでそれらの各々
のモジュール相互接続部１３０、１３２、１３０′及び
１３２′を駆動することを意味する。
クロスリンク９０が「マスターモード」にあるときには
、ＣＰＵ４０及び５ｏが４つ全部のモジュール相互接続
部１３０．１３２．１３０’　及び１３２′を制御する
。ＣＰＵ４０及び５ｏがクロスリンク９０’及び９５″
の状態をチェックするために、状態レジスタ９０９′の
読み取り及び書き込みアドレスがシステムアドレススペ
ース内にある。
セーブ状態レジスタ９０３９通信レジスタ９０６及び状
態レジスタ９０９は、全て、これらが単一の並列レジス
タバス９１０を経て情報を転送できるようにするインタ
ーフェイス回路を含んでいる。並列レジスタバス９１０
は、クロスリンク９０の他部分が並列レジスタと通信で
きるようにする。
直列レジスタが第１１図に示されている。全ての直列ク
ロスリンクレジスタは、非同期通信に使用されるので、
ゾーンの特定のスペース内にある。直列クロスリンクレ
ジスタ及び直列クロスリンクの目的は、プロセッサ２０
及び２０′がロックステップ同期状態（即ち位相固定ク
ロック及び同じメモリ状態）で動作していなくてもこれ
らプロセッサが通信できるようにすることである。
直列クロスリンクは、６個のレジスタと１つの制御器と
９２５を備えている。これらのレジスタには、制御及び
状態レジスタ９１２、直列クロスリンク要求レジスタ９
１４、直列クロスリンク応答レジスタ９１６、直列クロ
スリンク質問レジスタ９１８、直列クロスリンク送信レ
ジスタ９２０及び直列クロスリンク受信レジスタ９２２
が含まれる。送信レジスタ９２０は直列クロスリンク送
信ライン９２１に接続され、受信レジスタ９２２は直列
クロスリンク受信ライン９２３に接続される。制御器９
２５はこれら直列レジスタの動作を整合する。
制御及び状態レジスタ９１２は、制御及び状態フラグと
並列クロスリンクレジスタに記憶された全ての情報のコ
ピーとを含んでいる。制御及び状態レジスタ９１２の内
容は５次の通りである。
Ｍｙ五 ３１　：　２７ ２１：２０ 嵩味 指定済み ゾーンＩＤ（読み取りのみ） クロック位相検出器エラー（読み取り／ＩＦき込み）　
（書き込み１はクリア） クロスリンクＤＣＲバッファ空き（読み取りのみ）ＤＣ
Ｈの書き込みによりクリアクロスリンクＤＣＲ受信いっ
ばい（読み取りのみ）ＤＣＲの読み取りによってクリア
直列送信器ビジー（いずれかのゾーンによって要求され
たアクティビティ）　（読み取りのみ） 他のゾーンに対する自動応答（読み取りのみ） このゾーンからのループバック要求の送信このゾーンか
らの状態読み取り要求の送信このゾーンからの質問の送
信 送信バッファ空き 直列応答オーバーフロー（読み取りのみ）クロスリンク
応答レジスタの読み取りによりリセット　　゛ 直列応答いっばい（読み取りのみ） クロスリンク応答レジスタの読み取りによりリセット 直列質問オーバーフロー（読み取りのみ）クロスリンク
質問レジスタの読み取りによりリセット 直列質問いっばい（読み取りのみ） クロスリンク質問レジスタの読み取りによりリセット ０４：０３ ０１　：　００ ル（読み取り／書き込み） クロック位相エラー割込みのイネーブル（読み取り／書
き込み） 送信完了割込みのイネーブル（読み取り／書き込み） 応答受信割込みのイネーブル（読み取り／書き込み） 質問受信割込みのイネーブル（読み取り／書き込み） 無機能 ループバック要求 状態読み取り要求 ＣＰＵ質問要求の送信 再同期状態のセット（０４：０３の作動）（書き込み） 通常のバス動作（読み取り／書き込み）メモリ再同期ス
レーブ メモリ再同期マスター 二重同期要求 クロスリンク状態のセット（０１：００の作動）　（書
き込み） クロスリンクオフ（読み取り／ＩＦき込み）クロスリン
クオンスレーブ クロスリンクオンマスター クロスリンクオンニ重 クロスリンクＤＣＲ受信割込みのイネーブレジスタ９１
２及び他の直列レジスタの機能は、直列クロスリンクの
動作の説明から理解することができよう２これら動作の
１つはループバックである。ループバック動作はプロセ
ッサ２０′を含むが、このプロセッサを整合せずに行わ
れる。
直列の制御及び状態レジスタ９１２にループバンク要求
フラグをセットすると、直列要求レジスタ９１４の内容
がゾーン１１′のクロスリンク９０′（即ち、９０’又
は９５′）へ送られる。クロスリンク９０″はメツセー
ジを直列応答レジスタ９１６へ返送する。このループバ
ック機能により、クロスリンクケーブルを照合できると
共に、一方のゾーンが他方のゾーンが電力を有すること
を確認することができる。
もう１つの動作は状態の読み取りであり、これは、一方
のゾーンのクロスリンクが他方のゾーンのクロスリンク
の状態を読み取れるようにする。
直列の制御及び状態レジスタ９１２に状態読み取り要求
フラグをセントすると、要求レジスタ９１４が状態情報
の要求をクロスリンク９０′に送信するようにされる。
このメツセージを受け取ると。
クロスリンク９０’　はその直列の制御及び状態レジス
タ９１２′の内容をクロスリンク９Ｑの直列応答レジス
タ９１６に送信する。
第３の機能は、汎用のクロスリンクデータ転送であるデ
ータ転送機能である。転送されるべきデータ（好ましい
実施例では３２ビツト）を直列クロスリンク要求レジス
タ９１４へ書き込んだ後に、直列の制御及び状態レジス
タ９１２にＣＰＵ質問要求フラグをセットすると、要求
レジスタ９１４の内容がクロスリンク９０’　に送られ
、該クロスリンクはこれらの内容を質問レジスタ９１８
′に保持する。自動応答は発生されないが、ＣＰＯ４０
′にデータは得られる。ＣＰＵ４０’　による応答は、
クロスリンク９ｏの直列質問レジスタ９１８へ送られる
。
与えられる最後の機能は、直列割込み及び状態である。
好ましい実施例では、直列のクロスリンクは、次の事象
に基づいて割込みを発生することができる。
直列要求及び送信の完了； 直列応答の完了（ループバック又は状態応答に対し）； 直列質問受信の完了； 診断通信レジスタのデータ利用； 診断通信レジスタのバッファ空き＝及びゾーン間クロッ
ク位相エラー 割込みは、１つの共通の割込みベクトルで個々にマスク
される。
更に、ここに示す実施例では、制御及び状態レジスタ９
１２の幾つかの状態ビットが直列リンクの状態及びマシ
ンの再同期状態に関連している。
これらのビットは次の通りである。
クロスリンク同期状態； イネーブルされた割込み； ベンディングの割込み；及び 受信オーバーフローインジケータ。
クロスリンク９０の制御器９２５が第１２図に示されて
いる。制御器９２５の制御デコーダ９３０は、以下で詳
細に述べる規定に従って信号Ａ−■を発生する。制御器
９２５は、ドライバ、バッファ、マルチプレクサ及び遅
延要素を含んでいる。遅延要素は、同期のために追加さ
れる。コンピュータシステム１０は高速動作であると共
に密接な同期が要求されるので、適切な動作及び同期を
維持するためにはケーブルの延びのような固有の信号遅
延がクロスリンクによって補償されねばならない０例え
ば、以下で詳細に述べるように、Ｉ／Ｏからの読み取り
中には、各ＣＰＵモジュールが別々の処理システム２０
及び２０′のＩ１０モジュールからデータを受け取る。
別々のシステムからのデータは別々の経路をたどるので
、このような動作により同期の欠陥が生じる。遅延要素
は、同期を保持するために信号遅延及び経路の差を補償
する。第１２図に示すように、クロスリンク９０の遅延
要素は、マルチプレクサへの入力の速度を下げるのに用
いられる。但し、これはマルチプレクサへの他の入力が
並列クロスリンク通路２５から送られるときである。
制御器９２５においては、ドライバ９３３が信号Ａによ
ってイネーブルされてデータをメモリ制御器７ｏへ送信
する。ドライバ９３６は、信号Ｂによってイネーブルさ
れて、並列レジスタバス９１０を経て並列レジスタヘデ
ータを送信する。
ドライバ９３９は信号Ｃによってイネーブルされ、モジ
ュールの相互接続部１３０ヘデータを送信する。ドライ
バ９４２は信号りによってイネーブルされて並列クロス
リンク通路２５ヘデータを送信する。
制御器９２５のバッファは、外部で発生したデータを受
信するのに用いられる。バッファ９４５はメモリ制御器
７ｏからのデータを受け取りそしてバッファ９４８はバ
ッファ９４５の出力に現われるそのデータを直列レジス
タへ送信する。バッファ９５１は並列クロスリンク通路
２５がらデータを受け取る。バッファ９５７は並列レジ
スタから並列レジスタバス９１０を経てデータを受け取
る。
各マルチプレクサは、特定の行き先に対して別々のデー
タソースを選択する。マルチプレクサ９６０は信号Ｅに
よって制御され、バッファ９５１から並列クロスリンク
通路２５を経てデータを受け取ると共に、遅延要素９８
α及びマルチプレクサ９６３からデータを受け取る。マ
ルチプレクサ９６０の出力はドライバ９３３を経てメモ
リ制御器７０へ送られる。
マルチプレクサ９６３は信号Ｆによって制御され、並列
レジスタバス９１０からバッファ９５７を経て入力を受
け取り、直列レジスタから入力を受け取りそしてモジュ
ール相互接続部１３０からバッファ９５４を経て入力を
受け取る。マルチプレクサ９６３の出力は、遅延要素９
８０を通過した後にマルチプレクサ９６０へ入力される
。
マルチプレクサ９６６は信号Ｇによって制御され、並列
クロスリンク通路２５からバッファ９５１を経て入力を
受け取ると共に、メモリ制御器７０からバッファ９４５
及び遅延要素９８５を経て入力を受け取る。マルチプレ
クサ９６６の出力はドライバ９３６を経て並列レジスタ
バス９１０へ送られる。
マルチプレクサ９６９は信号Ｈによって制御され、並列
クロスリンク通路２５のデータをバッファ９５１によっ
て受け取ると共に、メモリ制御器７０のデータをバッフ
ァ９４５及び遅延要素９８５によって受け取る。マルチ
プレクサ９６９の出力はドライバ９３９を経て相互接続
部１３０に送られる。
マルチプレクサ９７０は信号■によって制御され、並列
レジスタからバス９１０及びバッファ９５７を経て入力
を受け取り、メモリ制御器７０からバッファ９４５を経
て入力を受け取りそしてモジュール相互接続部１３０か
らバッファ９５４を経て入力を受け取る。マルチプレク
サ９７０の出力は、ドライバ９４２によって並列クロス
リンク通路２５へ送られる。
信号Ａ−Ｄ及び選択コードＥ−Ｉの状態は、実行される
べき動作、クロスリンクモード（即ち。
二重、マスター又はスレーブ）及びクロスリンクの状態
（オン／オフ）と、クロスリンクが一次レールにあるか
（即ち、−次メモリ制御器７０に接続されているか）ミ
ラーレールにあるか（即ち。
ミラーメモリ制御器７５に接続されているか）によって
決まる。
一般に、次のような１０個の機能を実行することが必要
である。
他のゾーンを読み取る； 他のゾーンを書き込む； このゾーンの直列レジスタを読み取る；このゾーンの直
列レジスタを書き込む；並列レジスタのゾーンアドレス
を読み取る；並列レジスタのゾーンアドレスを書き込む
；並列レジスタのシステムアドレスを読み取る；並列レ
ジスタのシステムアドレスを書き込む；Ｉ／Ｏを読み取
る；そして Ｉ／Ｏを書き込む。
第１３Ａ図ないし第１３Ｐ図は、実行されるべき種々の
機能と、クロスリンクの種々のモード及び状態とに対す
る信号Ａないし■の状態を示している。各々の状態及び
機能を説明するのではなく、第１３Ａ図ないし第１３Ｐ
図をいかに用いるかを理解するために２つについてのみ
詳細に説明する。
第１３Ａ図は、二重モードにあるときのクロスリンク９
０に対する（即ち、ゾーン１１の一次レールにおける）
制御信号の状態を示している。
Ｉ１０読み取り動作においては、制御信号Ａ及びＤが「
オン」であり、Ｂ及びＣが「オフ」である。
信号Ａはドライバ９３３をイネーブルしてデータがメモ
リ制御器７０へ通過するように確保し、そして信号りは
ドライバ９４２をイネーブルしてデータが並列クロスリ
ンク通路２５を経てクロスリンク９０へ通過するように
確保する。メモリ制御器７０及び並列クロスリンク通路
２５ヘデータを送る際に含まれるマルチプレクサは、信
号Ｅ、　Ｆ及び工によって各々制御されるマルチプレク
サ９６０．９６３及び９７０である。制御信号Ｅは、マ
ルチプレクサ９６３の出力に対応する入力１を選択する
ようにセットされる。制御信号Ｆは、マルチプレクサ９
６３がモジュール相互接続部１３０からのデータに対応
する入力３を選択するようにセットされる。制御信号Ｉ
は、マルチプレクサ９７０がモジュール相互接続部１３
０を選択するようにセットされる。
従って、この信号選択状態では、モジュール相互接続部
１３０からのデータがマルチプレクサ９６３及び９６０
とドライバ９３３とを経てメモリ制御器７０へ送られる
。これは、Ｉ１０読み取りトランザクションのためのデ
ータ経路である。
又、このデータは、マルチプレクサ９７０及びドライバ
９４２を経て並列クロスリンク通路２５へ送られ、これ
が適当であるのは、クロスリンク９０が二重モードにあ
るためである。
第１３Ｅ図は、同じ状態に対する制御信号を示している
が、メモリ制御器９０はマスターモードにあり、従って
、クロスリンク９０′に信号を送信しない、この状態の
Ｉ１０読み取り動作は、モジュール相互接続部１３０か
らのデータがメモリ制御器７０へ送られるように確保す
るために同じ信号設定を含む、信号りが「オフ」であり
、■に対する選択信号がないので、並列クロスリンク通
路２５を経てメモリ制御器９０″へ至るデータ通路はな
く、これは、クロスリンク９０がマスターモードにある
ときの動作として適している。
メモリ制御器９０が二重モードにある状態での工／○書
き込み動作の場合には、ｒオン」になる唯一のドライバ
制御信号が信号Ｃであり、これはドライバ９３９をイネ
ーブルしてモジュール相互接続部１３０ヘデータを通せ
るようにする。それ故、制御する必要のある唯一のマル
チプレクサはマルチプレクサ９６９であり、第１３Ａ図
は、制御信号Ｈがメモリ制御器７０からのデータを選択
することを示している。第１３図のクロスリンク９５（
二重モードにあるゾーン１１のミラーレール）の動作は
、第１３Ｂ図のクロスリンク９０に対する制御信号と若
干異なる。これは、以下で述べるように、Ｉ１０書き込
み動作中には、各Ｉ１０モジュールへのデータが両プロ
セッサ２０及び２０’から送られるからである。
５・見１晟 両方の処理システム２ｏ及び２０′が二重モードとして
知られている冗長形態で同じタスクを実行するときには
、ＣＰＵモジュール３０及び３０′が同じ速度で動作を
実行することが重要である。さもなくば、処理システム
同志を再同期させてＩ／Ｏとプロセッサ間とのエラーチ
ェックを行うのに多量の処理時間がかシることになる。
処理システム２０及び２０’の好ましい実施例において
は、基本的なりロック信号が同期され、互いに位相固定
される。耐欠陥コンピュータシステム１０は、処理シス
テム２０及び２０’へのクロック信号の周波数を制御す
ると共に各処理システムのクロック信号間の位相差を最
小にするためのタイミングシステムを備えている。
第１４図は、処理システム２ｏ及び２０′において実施
される本発明のタイミングシステムのブロック図である
。このタイミングシステムは。
処理システム２０のＣＰＵモジュール３０に含まれた発
振システム２００と、処理システム２０′のＣＰＵモジ
ュール３０′に含まれた発振システム２００′とを備え
ている０発振器２００’の要素は、発振器２００の要素
と同じであり１両方の発振システムの動作は同じである
。従って、発振器２００と２００’の動作が異なる場合
を除いて、発振器２００の要素及び動作のみについて説
明する。
第１４図に示すように、発振システム２００の大部分、
特にデジタル論理回路は、クロスリンク９５の内部に存
在するが、その配置は本発明にとって重要ではない０発
振システム２００は、電圧制御式のクリスタル発振子（
ＶＣＸＯ）２０５を備えており、これは、好ましくは６
６．６６ＭＨｚの基本的な発振信号を発生する。ＶＣＸ
Ｏ２０５の周波数は、その入力の電圧レベルによって調
整することができる。
クロック分配チップ２１０は、基本的な発振信号を分割
し、好ましくは、全て同じ周波数を有する４つの主たる
クロックを発生する。主ＣＰＵ４０については、クロッ
クがＰＣＬＫ　　Ｌ及びＰＣＬＩＫ　　Ｈであり、これ
らは論理的に互いに逆のものである。ミラーＣＰＵ５０
については、クロック分配チップ２１０がクロック信号
ＭＣＬＫＬ及びＭＣＬＫ　　Ｈを発生し、これらも論理
的に互いに逆のものである。これらクロック信号のタイ
ミング及び位相関係は、第１５図に示されている。好ま
しくは、クロック信号ＰＣＬＫ　　Ｌ、ＰＣＬＫ　　Ｈ
，ＭＣＬＫ　　Ｌ及びＭＣＬＫ　　Ｈの周波数は約３３
．３３ＭＨｚである。又、クロックチップ２１０は、第
１５図に示すように１６．１６　Ｍ　Ｈｚの位相固定ル
ープ信号ＣＬＫＣＨも発生する。この位相固定ループ信
号はクロック論理回路２２０に送られ、該回路はこの信
号をバッファする。
クロック論理バッファ２２０は、ＣＬＫＣＨ信号を同期
とりに用いるために発振器２００’に送信する０発振器
２００′のクロック論理バッファ２２０′は、それ自身
のバッファされた位相固定ループ信号ＣＬＫＣ’　　Ｈ
を発振器２００の位相検出器２３０に送信する。又、位
相検出器２３０は、クロック論理バッファ２２０から遅
延要素２２５を経て、バッファされた位相固定ループ信
号ＣＬＫＣＨを受信する。遅延要素２２５は。
クロック論理バッファ２２０′からのケーブルの延長に
よる遅延を近似する。
位相検出器２３０は、その入力の位相固定ループ信号を
比較し、２つの出力を発生する。その１つは、位相差信
号２３５であり、これはループ増幅器２４０を経てＶＣ
ＸＯ２０５の電圧入力に送られる。この位相差により、
増幅器２４０は、位相差を補償するようにＶＣＸＯ２０
５の周波数を変更する信号を発生する。
位相検出器２３０の他の出力は、あり得べき同期欠陥を
指示する位相エラー信号２３６である。
第１６図は、位相検出器２３０の詳細な図である０位相
検出器２３０は、位相比較器２３０と、アナログ電圧比
較器２３４とを含んでいる。位相比較器２３２は、遅延
素子２２５からのクロック信号（ＣＬＫＣＨ）及び発振
器２００′からの位相固定ループクロツタ信号（ＣＬＫ
Ｃ’　　Ｈ）を受け取り、これら信号の位相差を表わす
アナログ電圧レベル２３５を発生する。
処理システム２０がクロック同期の目的でｒスレーブ」
となった場合には、スイッチ２４５が「スレーブ」位ｉ
！（即ち、閉位ｉｔ）どなり、アナログ電圧レベル２３
５は、ループ増幅器２４０によって増幅された後に、Ｖ
ＣＸＯ２０５の周波数を制御する０両スイッチ２４５及
び２４５″が「マスター」位置にある場合には、処理シ
ステム２０及び２０’が位相固定されず、非同期で（独
立して）動作する。
アナログ電圧レベル２３５は、位相の進み及び遅れの許
容範囲を表わす２つの基準電圧Ｖ　ｒｅｆ　１及びＶｒ
ｅｆ２と共に電圧比較器２３４へ入力される。
位相差が許容範囲内である場合には、ＰＨＡＳＥＥＲＲ
ＯＲ（位相エラー）信号が作用されない。
位相差が許容範囲から外れ、電圧比較器２３４がＶｒｅ
ｆｌないしＶｒｅｆ２の電圧範囲から外れる位相差信号
２３５を感知した場合には、位相エラー信号が作用され
、クロックデコーダ２２０を経てクロスリンク９５へ送
られる。
第１７図は、Ｉ１０モジュール１００の好ましい実施例
を示している。Ｉ１０モジュール１００及び１００′は
同一のものであるから、モジュール１００についてのみ
説明する。更に、Ｉ１０モジュール１１０及び１２０（
従って、モジュール１１０′及び１２０’）はモジュー
ル１００と同様であるが、異なったＩ１０装置に接続さ
れているために全く同じ形態をとることはない。
工／○モジュール１００は、二重レールモジュール相互
接続部１３０及び１３２によってＣＰＵモジュール３０
に接続されている。各々のモジュール相互接続部は、各
々ファイアウオール１゜００及び１０１０によって受け
入れられる。ファイアウオール１０ｏＯ及び１０１０は
、モジュール相互接続部１３０及び１３２を経て送信さ
れるデータの一致性をチェックするチェックバス１゜０
５によって相互接続される。このチェックは、ＣＰＵモ
ジュール３０及び３０’のロックステップ同期によって
行ねれ、これは、ＣＰＵモジュール３ｏ及び３０’から
工／○モジュール１００へ書き込まれたデータをファイ
アウオール１０００及び１０１０に同時に得られるよう
にする。
第１８図は、ファイアウオール１０００の要素及び好ま
しい実施例を示している。ファイアウオール１０００は
、モジュール相互接続部１３０への３２ビツトバスイン
ターフエイス１８１ｏと。
第１７図に示されたバス１０２ｏへ接続するための３２
ビツトバスインターフエイス１８２ｏとを備えている。
これらのインターフェイス１８１゜及び１８２０は、内
部ファイアウオールバス１８１５によって相互接続され
、該バスはファイアウオール１０００の他の要素にも接
続されている。
バス１８１５は、１６ビツト巾又は３２ビツト巾の並列
バスであるのが好ましい。
又、ファイアウオール１ｏ００は、ＣＰＵモジュール３
０とオペレータコンソールとの間でコンソールリンク１
ｏ９０に接続されたコンソールサポートレジスタ１８３
ｏも備えているのが好ましい、コンソールリンクは、モ
ジュール相互接続部、クロスリンク及びメモリ制御器の
ような通常のデータ経路をバイパスし、コンピュータシ
ステム１０の他の部分に欠陥が生じた場合にもオペレー
タはＣＰＵと通信することができる。コンソールサポー
トレジスタ１８３０は、−時的な記憶レジスタ１８３２
、受信器１８３４及び送信器１８３６を備えているのが
好ましい、レジスタ１８３２、受信器１８３４及び送信
器１８３６の相互接続は、当業者に良く知られた一般的
なものである。
ファイアウオール１０００は、複数のチェック回路を含
んだファイアウオール比較回路１８４０も備えている。
ファイアウオール比較回路１８４０は、ファイアウオー
ル１０１０内の同等の要素に接続される。ファイアウオ
ール比較回路１８４ｏ内のチェック回路は、モジュール
相互接続部１３０から受け取ったデータをモジュール相
互接続部１３２から受け取ったデータと比較する。
般に、両方のモジュール相互接続部がＣＰＵモジュール
３０から受け入れられるとしても、モジュール相互接続
部１３０からのデータは一方のゾーンからのものであり
そしてモジュール相互接続部１３２からのデータは別の
ゾーンがらのものである。ファイアウオール比較回路１
８４ｏ内のチェック回路がこれらデータ間の不一致を検
出した場合には、割込み制御回路１８８０が作動されて
、エラー信号を発生し、これにより、クロスリンク９０
及び９５はＣ：ＰＵモジュ　／１ｚ３０及び３０’に欠
陥の検出を通知する。
ファイアウオール比較回路１８４ｏは、ＣＰＵモジュー
ル３０及び３０’から受け取ったデータのみをチェック
する。ＣＰＵモジュール３ｏ及び３０’に送られるデー
タは、共通の発生源からのものであり、従って、チェッ
クを必要としない。
むしろ、Ｉ１０装置から受け取ったデータで、ＣＰＵモ
ジュール３０及び３０′に送られるべきデータは、ＣＲ
Ｃ発生器１８５ｏによって行われる繰返し冗長チェック
（ＣＲＣ）のようなエラー検出コード（ＥＤＣ）によっ
てチェックされる。又。
ＣＲＣ発生器５ｏは、内部ファイアウオールバス１８１
５にも接続される。
ＣＲＣ発生Ｓ７１８５０は、Ｉ１０装置ニょって使用さ
れるものと同じＣＲＣコードを発生し、チェックする。
Ｉ１０モジュール１００は、２つのＥＤＣを発生するの
が好ましい。その一方は、ＣＲＣでもあって、モジュー
ル１００が接続されたエサ−ネットパケットネットワー
クのようなネットワークに対するインターフェイスとし
て用いられる。その他方は、第１７図のディスクインタ
ーフェイス１０７２のようなディスクインターフェイス
として用いられる。
モジュール相互接続部は二重であるから、ＣＰＵモジュ
ール３０と工／○モジュール１００との間にはＣＲＣの
機能が必要とされない０例えば、ＣＰＵモジュール３０
においては、クロスリンク９０がモジュール相互接続部
１３０を経てファイアウオール１０００と通信し、そし
てクロスリンク９５がモジュール相互接続部１３２を経
てファイアウオール１０１０と通信する。
エサ−ネットネットワーク１０８２から受け取ったメツ
セージは、第１７図に示されたネットワーク制御器１０
８０により有効ＣＲＣに対してチェックされる。ＣＲＣ
とで完成するデータは、第１７図に示されたローカルＲ
ＡＭ１０６０に書き込まれる。ローカルＲＡＭ１０．６
０の全てのデータは、Ｄ　Ｍ　Ａを用いてメモリモジュ
ール６０へ転送される。ＤＭＡ制御器１８９０は転送の
整合をとり、転送されているＣＲＣエンコードデータの
有効性をチェックするようにＣＲＣ発生器１８５ｏに指
示する。
Ｉ１０装置との殆どのデータ転送は、ＤＭＡで行すれる
。データは主メモリと工／○バッファメモリとの間で移
動される。転送されるデータの各論理ブロックは、ＣＲ
Ｃによってカバーされる。
エサ−ネットの場合には、論理ブロックがメツセージパ
ケットである。メツセージは、ＤＭＡにより、主メモリ
６０からファイアウオール１０００を通ってローカルＲ
ＡＭ　１０６０へ転送される。
ファイアウオール１０００のＣＲＣ発生器１８５０は、
メツセージに対してＣＲＣを計算する。
Ｄ　Ｍ　Ａ制御器１８９ｏは、データ転送に対するＣＲ
Ｃ発生器１８５０の動作を制御する。論理ブロックが転
送されたときには、ＤＭＡ制御器１８９０がＣＲＣ発生
器１８５０からの発生されたＣＲＣを読み取り、それを
、ローカルＲＡＭｌ０６０に記憶されたデータに加える
。ネットワーク制御器１０８０は、ローカルＲＡＭ１０
６０からエサ−ネットネットワーク１０８２ヘデータを
転送すると、ＣＲＣをチェックする。ＣＲＣコード自体
を除く全てのエサ−ネットパケットは、メモリモジュー
ル６０へ転送される。ＣＲＣのエラーはＣＲＣ発生器１
８５０によって識別され、割込み制御器１８８０を介し
て報告される。
ディスクサブシステムとのデータのやり取りは、エサ−
ネットインターフェイスと同様に行われる。ＣＲＣ発生
器１８５０は、ディスク制御器１０７２によって使用さ
れる特定のＣＲＣコードを発生し又はチェックする。こ
れは、工／○モジュール１００の場合と同様に単一レー
ルシステムに存在するか又はこれを通して転送されてい
るデータがエラー検出コードによってカバーされるよう
に確保し、これは、データが最終的に通過する通信媒体
と少なくとも同程度の信頼性を有するものであることが
好ましい０種々のＩ１０モジュール、例えば、同期プロ
トコルを取り扱う一モジュールは、適当なプロトコルの
ＣＲＣコードを発生してチェックするＣＲＣ発生器を有
しているのが好ましい。
一般に、ＤＭＡ制御器１８９０は、共有のメモリ制御器
１ｏ５０及びアドレスされているローカルＲＡＭｌ０６
０に対して特定のＤＭＡ動作の一部分を処理する。３２
ビツトバス１０２０は、２つの異なったモードで駆動さ
れる。Ｄ　Ｍ　Ａ　設定中には、ＤＭＡ制御器１８９０
はバス１０２０を標準的な非同期マイクロプロセッサバ
スとして使用する。ＤＭＡ動作が行われるローカルＲＡ
　Ｍ　１０６０のアドレスは、共有メモリ制御器１０５
゜及びＤ　Ｍ　Ａ制御９１８９０によって供給される。
実際のＤＭＡ転送中には、ＤＭＡ制御器１８９０がバス
１０２ｏを同期状態で駆動するようにＤＭＡ制御ライン
１８９５に指示する６共有メモリ制御２”ｓ　１０５０
は、バス１０２０の各バスサイクルごとに３２ビツトデ
ータワードを転送し、ＤＭＡ制御器１８９０は、転送さ
れるべきワードがどれほど残されているかの経過を保持
する。又、共有メモリ制御器１０５０は、ローカルＲＡ
Ｍ１０６０を制御し、次のＤＡＭアドレスを発生する。
Ｉ　１Ｏ−Ｔ−ジュー／Ｌ／　（１００，１１０，１２
ｏ）は、それら自身のローカルＲＡＭ　１０６０に対す
る読み取り／書き込み動作を制御する役目を果たｔ、Ｃ
ＰＵモジュール３０は、メモリアレイ６０との転送動作
を制御する役目を果たす、メモリ制御器７０及び７５（
第９図に示す）のＤＭＡエンジン７７５は、ＣＰＵモジ
ュール３０に対しＤＭＡ動作を指示する。このような労
力の分割によりいずれかのモジュールのＤＭＡ論理の欠
陥がゾーン１１又は１１′の他のモジュールにおけるデ
ータ完全性を低下しないようにする。
又、ファイアウオール１０００は、Ｉ１０モジュール１
００に対し他の重要な機能も実行する。
ファイアウオール１０００のＩ１０診断制御レジスタ１
８６ｏは、クロスリンク診断ＩＩＪ御レジスタ９０１と
同じ構造を有し、ＣＰＵ４０．５０，４０′及び５０’
　と診断マイクロプロセッサ１１００との間で通信を行
うことができ、る０診断マイクロプロセッサ１１００の
この間接的な接続により。
該マイクロプロセッサがコンピュータシステム１０の他
のモジュールに影響を及ぼすことが防止される。
トレースＲＡＭ１８７２及びトレースＲＡＭ制御器１８
７０の機能については以下で詳細に述べる。簡単に述べ
ると、欠陥が検出されてＣＰＵ及びＣＰＵモジュール３
０及び３０′に通知されたときには、コンピユータシス
テム１０全体にわたる種々のトレースＲＡＭが以下に述
べる幾つかの機能を実行するようにされる。トレースＲ
ＡＭとの通信は、トレースバス１０９５を経て行われる
。トレースＲＡＭ制御器１８７０は、トレースバス１０
９５からの信号に応答して、トレースＲＡＭ１８７２が
記憶を停止するか又はその内容をトレースバス１０９５
にダンプするようにさせる。
好ましくは３２ビツトの並列バスである工１０モジュー
ルバス１０２０は、ファイアウオール１０００及び１０
１０と、ｌ１０（−ジューＪｔｚｌＯＯの他の要素とに
接続される。共有メモリ制御器１０５０も、Ｉ１０モジ
ュール１００の工／○バス１０２０に接続されている。
共有メモリ制御器１０５０は、３２ビツト＋パリテイを
有する共有メモリバス１０６５によってローカルメモリ
１０６０に接続されている。好ましくは、ローカルメモ
ＩＪ　１０６０は、メモリ容量が１２８ＫＢ（７）ＲＡ
Ｍであるが、ＲＡＭ１０６０のサイズは任意である。共
有メモリ制御器１０５０及びローカルＲＡＭ１０６０は
、工／○モジュール１００に対するメモリ容量を備えて
いる。
ディスク制御器１０７０は、第１図のディスク１０７５
．１０７５’のようなディスクに対する標準的なインタ
ーフェイスを与える。ディスク１０７５は、５ＣＳＩ（
小型コンピュータ標準インターフェイス）バスの実施の
ごとき標準バスインターフェイス１０７２によってディ
スク制御器１０７０に接続されるのが好ましい、又、デ
ィスク制御器１０７０は、ローカルＲＡＭ１０６０を使
用するか又はＩ１０モジュールバス１０２０と通信する
ために共有メモリ制御器１０５−０に接続される。
ネットワーク制御器１０８０は、ネットワークインター
フェイス１０８２により、エサ−ネットネットワークの
ような標準ネットワークにインターフェイスする。又、
ネットワーク制御器１０８０は、ローカルＲＡＭ１０６
０及びＩ１０モジュールバス１０２０の両方に対するイ
ンターフェイスとして働く共有メモリ制御器１０５０に
も接続される。然し乍ら、Ｉ／○モジュールバス１０２
０のいずれか１つの特定の編成又は構造にする必要はな
い。
ＰＣＩＭ（ｆｆｉ力及び冷却インターフェイスモジュー
ル）サポート要素１０３０は、Ｉ１０モジュールバス１
０２０及びＡＳＣＩＩインターフェイス１ｏ３２に接続
される。ＰＣＩＭサポート要素１０３０は、処理システ
ム２０が電源システム（即ち、バッテリ、レギュレータ
、等）の状態を監視できるようにすると共に、冷却シス
テムがそれらの適切な動作を確保できるようにする。Ｐ
ＣＩＭサポート要素１０３０は、成る欠陥又は欠陥のお
それの指示、例えば、バッテリ電圧が許容できないほど
低下したという指示があったときだけメツセージを受け
取るのが好ましい、又、ＰＣＩＭサポート要素１０３０
を用いて全ての電力及び冷却サブシステムを濁期的に監
視することもできる。ＰＣＩＭサポート要素１０３０及
びＩ１０モジュール１００′の同等の要素は、プロセッ
サ２０及び２０′のサポートシステムが機能不良になっ
た場合に耐欠陥コンピュータシステム１０が成るゾーン
を停止できるようにする。
システムサポート及びコンソール要素１０４０は、Ｉ１
０モジュールバス１０２０にも接続される。システムサ
ポート及びコンソール要素１０４ｏは、ＡＳＣＩＩイン
タ　７ｚイＸ１０４２を介してオペレータコンソールの
インターフェイスを与える。オペレータコンソールは１
年のような成る情報を入力できるだけでなく１診断の目
的にも使用することができる。オペレータコンソールは
、コンソールリンク１ｏ９０及び１０９１を経そしてフ
ァイアウオール１０００．及び１０１０のコンソールサ
ポートレジスタ１８３０を経てＣＰＵとデータを交換す
る。
又、診断マイクロプロセッサ１１００は、Ｉ１０モジュ
ールバス１０２０にも接続されている。
診断マイクロプロセッサ１１００の動作については以下
で詳細に述べる。一般に、マイクロプロセッサ１１００
は、欠陥が検出されたときにトレースＲＡＭ１８７２の
ようなトレースＲＡ　Ｍからのエラーチェック情報を収
集するのに用いられる。
このデータは、トレースバス１０９５及び１０９６に集
められ、ファイアウオール１０００及び１０１０を各々
通り、モジュールバス１０２０を経てマイクロプロセッ
サ１１００へ送り込まれる。
Ｃ，プロセッサ間及びモジュール間通信１、Ｌ二久及及 コンピュータシステム１０の要素はそれ自体で耐欠陥シ
ステムを構成しない、正常の動作中に通信を行うことが
できそして欠陥検出及び修正中に動作を行うことのでき
る通信経路及びプロトコルが必要とされる。このような
通信にとって重要なことはクロスリンク通路２５である
。クロスリンク通路２５は、並列リンク、直列リンク及
び既に述べたクロック信号で構成される。これらは。
第１９図に示されている。並列リンクは、２つの同じ組
のデータ及びアドレスライン（１６）、制御ライン（７
）、割込みライン（７）及びエラーライン（７）を含ん
でいる。１６本のデータ及びアドレスラインと、７本の
制御ラインは、ＣＰＵモジュール間で、例えば、モジュ
ール制御接続部１３０及び１３２（又は１３０′及び１
３２’）から或いはメモリモジュール６０　（６０’　
”）から交換されるべき情報を含んでいる。
７本の割込みラインは、４つの異なった１７０割込みレ
ベルを表わす４本のラインと、両ゾーンに対するコンソ
ール「ホルト」要求を同期させる１本のラインと、両ゾ
ーンに対するマシンチェックを同期させる１本のライン
と、ＣＰＵ／メモリ欠陥の発生を他のゾーンに指示する
１本のラインとを備えているのが好ましい。
耐欠陥コンピュータシステム１０は−１はとんどの過渡
欠陥が生じても二重レールシステムとして連続的に動作
するように設計されている。Ｉ１０サブシステム（モジ
ュール１００，１１０，１２０．１００’　、１１０’
及び１２０’）も、過渡欠陥を受けることがあるが、動
作を続けることができる。好ましい実施例においては、
ファイアウオール比較回路１８４０によってエラーが検
出されると、ＣＰＵで指示された動作に対しライン２５
を介して同期マシンチェックを行うことが要求される。
ＣＰＵ３０及び３０’のソフトウェアは、欠陥の生じた
動作を再トライする。ＤＭＡによって指示された動作の
場合には、同じエラー検出によってライン２５を経て同
期割込みが生じ、ＣＰＵ４０．５０．４０’及び５０′
のソフトウェアがＤＭＡ動作を再スタートさせる。
幾つかの過渡エラーは直ちに修復されない。
例えば、ＣＰＵモジュール３０のエラー信号７６２によ
って指示される制御エラーは、メモリモジュール６０に
未知のデータを生じさせる。この状態においては、ＣＰ
Ｕモジュール３０は、もはやフェイルセーフシステムの
一部分として確実に機能できないので、除去される。従
って、メモリアレイ６０は、ＣＰＵ３０がシステムに再
び加わる前にメモリ再同期動作を受けねばならない、Ｃ
ＰＵ／メモリ欠陥ラインは、ＣＰＵ３０に欠陥が生じた
ことをＣＰＵ３０’　に指示する。
サイクルの状態、バイトマスク、方向及びレディ状態の
組み合わせを表わしている７本の制御ラインは、ＣＰＵ
モジュール（３０及び３０′）と工／○モジュールとの
間にハンドシェイクを与える。サイクルの状態は、実行
されているバス動作の形式、即ち、ＣＰＵによる工／○
の読み取り、ＤＭＡ転送、ＤＭＡ４９定又は割込みベク
トル要求を指示する。「バイトマスク」は、ローカルＲ
ＡＭ１０６０において３２ビツトワードのデータの１バ
イト（８ビツト）を修正できるように、１６本のデータ
ラインのどれが有効なデータを含んでいるかを指示する
。「方向」は、ＤＭＡ動作に対しトランシーバ経路の選
択を固定する。ＤＭＡ転送は所定のソースと行き先との
間−で生じるので、データ経路を選択するのに関連した
時間オーＡ−ヘッドを、データ転送のごとに支払う必要
はない。
「レディ」メツセージは、要求された動作の完了を指示
するためにＣＰＵとＩ１０モジュールとの間に送られる
。
任意の時間にいずれかの処理システム２０又は２０’　
を作動して制御ラインの状態を読み取ることができる。
作動したり停止したりすることは処理システム２０と２
０’　との間で同期して行われる。
直列クロスリンクは、状態読み取り、ループバック、デ
ータ転送、状態の転送割込みに対し。
直列データ転送を行うために２組の２本のラインを備え
ている。
交換されるクロック信号は１位相固定クロック信号ＣＬ
ＫＣＨ及びＣＬＫＣ’　　Ｈ（遅延）である。
第２ＯＡ図ないし第２０Ｄ図は、ＣＰＵモジュール３０
及び３０’と工／○モジュール１０゜及び１００’の要
素（これらを介して種々の作動中にデータが通過する）
のブロック図である。これら要素の各々については既に
述べた。
一般に、動作中のデータ経路は対象的である。
例えば、ＣＰＵのＩ１０読み取りは、互いにミラー像関
係にある経路を経て工／○モジュール１００及び■／○
モジュール１００′に対して行われる。このような場合
に、図面は全てのデータ経路を示しているが、その１つ
のみについて詳細に説明する。
第２０Ａ図は、ＣＰＵの工／○読み取り動作用のデータ
通路を示している０例えば、ディスク１０７５　　（１
０７５’　）又はネットワークからのデータは、共有メ
モリ制御器１０５０（１０５０′）を通して転送するた
めにローカルＲＡＭ１０６０（１０６０’）に記憶され
るものとする。１つの経路については、データがモジュ
ール相互接読部１３０のファイアウオール１０００を経
てクロスリンク９０へ送られる。このときには、データ
がメモリ制御器７０及びクロスリンク９０’まで転送さ
れる。第１２図に示すように、クロスリンク９ｏは、フ
ァイアウオール１０００からメモリ制御器７０へのデー
タを遅延し、クロスリンク９０’へのデータが「捕獲」
に充分な時間を有し且つ処理システム２ｏ及び２０’　
が同期状態に保たれるようにする１次いで、データは、
クロスリンク９０からメモリ制御器７０を通りそして内
部バス４６を経てＣＰＵ４０へ送られる。同様に、クロ
スリンク９０’へのデータもＣＰＵ４０’へ送られる。
データをＣＰＵ５０及び５０′へ読み込むために同様の
経路がとられる。共有メモリ制御器１０５０からのデー
タは、ファイアウオール１０１０を経てクロスリンク９
５へ送られる。このときには、データがクロスリンク９
５′へ送られると共に、クロスリンク９５内の遅延ユニ
ットに通される。
Ｉ　１０ｓ置からデータを読み取るときには、１つの読
み取り動作しか必要とされない、「ミラーＪＣＰＵのＩ
１０読み取り動作は、処理システム２０’のＩ１０装置
から共有メモリ制御器１０５０’　を経て受け取ったデ
ータ及びＩ１０装置１００′のローカルＲＡＭから受け
取ったデータに対して行われる。
Ｉ１０モジュール１００．１１０及び１２０は、各々、
Ｉ１０モジュール１００’　、１１０’及び１２０′と
同様であってそれに対応しているが、対応する■／○モ
ジュールは互いにロックステップ同期状態にない。ＣＰ
Ｕの工／○読み取りに対してメモリ制御器１０５０’及
びローカルＲＡＭ１０６０’　を使用して、データは先
ずクロスリンク９０′及び９５′へ送られる。他のデー
タ経路は、メモリ制御器１０５０からの経路と同等であ
る。データは、クロスリンク９０′及び９５′からメモ
リ制御器７０’及び７５′を経て最終的にＣＰＵ４０’
及び５０’へ各々送られる。同時に、データは、各々、
クロスリンク９０及び９５へ送られ、次いで、遅延要素
を通ることなく、各々、ＣＰＵ４０及び５０まで送られ
続ける。
第２０Ｂ図は、ＣＰＵのＩ１０書き込み動作を示してい
る。データは、２つの別々のＣＰＵ工／○書き込み動作
において、ＣＰＵ４０．５０．４０′及び５０’　を経
て共有メモリ制御器１０５０及び１０５０’とローカル
ＲＡＭ１０６０及び１０６０’　とに転送される。ＣＰ
Ｕ４０によって転送されるデータは、ＣＰＵの工／○読
み取り中のデータとは逆方向に同じ経路に沿って送られ
る。
特に、このようなデータは、メモリバス４６、メモリ制
御器７０．遅延ユニット９８５（同期をとれるようにす
るための）、ファイアウオール１０００及びメモリ制御
器１０５０を経て送られる。
ＣＰＵ５０’からのデータも、ＣＰＵ　　Ｉ／○読み取
りの経路を逆方向にたどる。特に、このようなデータは
、内部バス５６′、メモリ制御器７５′クロスリンク９
５′、クロスリンク９５．ファイアウオール１０１０及
び共有メモリ制御器１０５０を経て送られる。上記した
ように、ファイアウオール１０００及び１０１０は、Ｉ
１０書き込み動作中にデータをチェックし、出力の前に
エラーをチェックする。
ＣＰＵ５０及び４０’からのデータは、処理システム２
０’のＩ１０装置への次のＣＰｔＴ　　Ｉ／○書き込み
の際に、対象的な経路を経て共有メモリ制御器１０５０
’へ送信される。ＣＰＵ５０及び４０′からのデータは
、ゾーン間チェックのためにファイアウオール１０００
及び１０１０によって比較される。各ゾーンに対するレ
ール間チェックは、メモリ制御器７０．７５．７０′及
び７５′において既に実行されている。
第２１Ｃ図は、Ｄ　Ｍ　Ａ読み取り動作のためのデータ
経路を示している。メモリアレイ６ｏｏからのデータは
、メモリ制御器７０及び７５とクロスリンク９０及び９
５とに同時に送り込まれる。
クロスリンク９５は、そのデータを、ファイアウオール
１０００及び共有メモリ制御器１０５０へ送信するまで
遅延する。
メモリアレイ６００′からのデータは、メモリ制御器７
０′及び７５′に同時に通され、次いで、クロスリンク
９０’及び９５′に通される。
クロスリンク９５′からのデータは、クロスリンク９５
及びファイアウオール１０１０を−通って共有メモリ制
御器１０５０へ送られる。
ＣＰＵのＴ／○書き込み動作と同様に、このデータ経路
と、ファイアウオール１０００’及び１０１０’　を通
る対象的な経路は、ゾーン間エラーチェックを与える。
レール間エラーチェックは、メモリモジュール７０．７
５．７０’及び７５′において行われる。
ＤＭＡ書き込み動作のためのデータ経路が第２１Ｄ図に
示されており、これはＣＰＵのＩ１０読み取りの場合と
同様である。特に、共有メモリ制御器１０５０’　から
のデータは、ファイアウオール１０００’、クロスリン
ク９０′　（遅延を伴う）及びメモリ制御器７０′を経
てメモリアレイ６００’へ送られる。同時に、このデー
タは、ファイアウオール１０１０’、クロスリンク９５
′（遅延を伴う）及びメモリ制御器７５′に通され。
このときには、レール間エラーチャック中にメモリ制御
器７０’　からのデータと比較される。或いは又、ＣＰ
ＵのＩ１０読み取りの場合と同様に、ＤＭＡ書き込み動
作のデータは、同等の動作中に共有メモリ制御器１０５
０まで送られてもよい。
又、クロスリンク９０′からのデータは、クロスリンク
９０及びメモリ制御器７０を経てメモリアレイ６００へ
通される。クロスリンク９５′からのデータは、クロス
リンク９５′及びメモリ制御器７５′に通され、このと
きには、同時のレール間チェック中にメモリ制御器７０
’からのデータと比較される。
メモリ再同期動作のためのデータ経路が第２０Ｅ図に示
されている。メモリ再同期動作については第２３図に関
連して以下で詳細に述べる。メモリ再同期中のデータ経
路を理解するために、メモリ再同期の一部分であるバル
クメモリコピー機能動作が第２１図に示されている。
第２１図に示すように、バルクメモリコピー動作の第１
の段階は、クロスリンクをメモリ再同期マスター／スレ
ーブモードにセットして第２０Ｅ図に示すデータ経路を
形成できるようにすることである（ステップ２１００）
、第１３Ｉ図ないし第１３Ｌ図は、クロスリンクがスレ
ーブモードにあるときに通信が本質的に一方向であるこ
とを示している。従って、クロスリンクがスレーブモー
ドにある処理システムのメモリにデータを書き込むこと
ができるが、このメモリから情報を読み取ることはでき
ない。更に、第１３Ｅ図ないし第１３Ｈ図は、第１３Ｉ
図ないし第１３Ｌ図と共に５クロスリンクがマスターモ
ードにある処理システムがそのメモリモジュールに書き
込みを行うたびに、クロスリンクがスレーブモードにあ
る処理システムもその同じデータを書き込む、従って、
クロスリンクがスレーブモードにある処理システムは、
クロスリンクがマスターモードにある処理システムと共
に、そのときまでの情報を記憶するメモリモジュールを
有している。
次いで、第２１図のバルクメモリ転送フローチャートに
示されたように、マスター処理システムは、そのメモリ
モジュールを検査し、そのモジュールの全てのメモリペ
ージを見つける（ステップ２１１０）、これら全てのペ
ージが既知になると、マスター処理システムのＤＡＭエ
ンジンの待ち行列に入れられる（ステップ２１２０）、
好ましくは、マスター処理システムのＤＭＡエンジンは
、ＤＭＡ要求の待ち行列を含み、各要求は、転送の形式
の指示、スタートアドレス、転送されるべき要素の数及
び行き先の指示を含むのが好ましい、スレーブ処理シス
テムへの全てのＤ　Ｍ　Ａ転送の行き先は、スレーブ処
理システムのメモリモジュールである。
次いで、メモリ再同期動作により、スレーブ処理システ
ムのＤＭＡエンジンへコマンドを送信しくステップ２１
３０）そして次のページのＤＭＡ転送を開始して完了す
る（ステップ２１４０）という対話プロセスが開始され
る。スレーブのＤＭＡエンジンへのコマンドは、ＤＭＡ
転送のサイズ及びスタートアドレスを指示し、スレーブ
処理システムのメモリモジュールがマスターモジュール
と同一・に構成されるよう確保する。これらのステップ
は、全てのマスターメモリの転送が完了する（ステップ
２１５０）まで繰り返される。
全てのマスターメモリの転送が完了−すると（ステップ
２１５０）、マスタープロセッサはそのＣＰＵレジスタ
の全ての内容を後で再ブートストラップ動作に使用する
ためにメモリに記憶する（ステップ２１６０）、ＣＰＵ
レジスタの内容がマスターメモリに記憶されることによ
り、それらがスレーブメモリにも記憶される０次いで、
バルクメモリ転送動作が開始されて、再同期プロセスを
開始することができるようにされる。
メモリ再同期動作においては、第２０Ｅ図のメモリアレ
イ６００’、即ち「マスター」からのデータがメモリ制
御器７０′及び７５′、クロスリンク９０’及び９５′
、クロスリンク９０及び９５、並びにメモリ制御器７０
及び７５を同時に通過し、このときに、レール間エラー
チェックのためにデータが比較される。メモリ制御”ｉ
ａ　７０からのデータは、メモリアレイ６００に入れら
れる。
メモリ再同期動作を除けば、前記したデータ経路は、全
て、ゾーン１１及び１１′がロックステップ同期状態に
あるときに生じる。然し乍ら、耐欠陥コンピュータシス
テム１０は、プロセッサ２０及び２０’がロックステッ
プ同期状態にないときの動作も受け入れねばならない、
これら状態の１つは、初期化時の「コールド」ブートス
トラップ動作中に生じる。別の状態は、以下に述べるメ
モリ再同期動作中に生じる。
第２２Ａ図ないし第２２Ｈ図は、ＣＰＵモジュール３０
及び３０’　をロックステップ同期状態にもっていくブ
ートストラップシーケンスを示すフローチャートである
。
一般に、ステップ２２２８のようなエラー状態において
は、他のゾーンに成る刺激に対する不適当な応答が与え
られる。他のゾーンからの適当な応答を受け取り損なっ
たことに対する応答は。
そのゾーンによって生じたエラーを記録することである
。この情報は、現場のサービス要員によってエラーを分
析するのに使用することができる。
更に、他のゾーンからの適当な応答を受け取り損なった
ことに対する応答は、そのゾーンによって生じたエラー
を記録することである。第２２Ａ図ないし第２２Ｈ図に
おいては、ゾーンが一般にゾーンＡ及びＢと称される。
とうのは、上記した動作が各々のゾーンに適用されるか
らである。
コールドブートストラップ動作に入ると（ステップ２２
００）、クロスリンク通路がオフに切り換えられ、プロ
セッサが通常の動作に対してセットされる（ステップ２
２０２）、通常の動作とは、ＣＰＵがそれらの各々のメ
モリ制御器を直接的に制御する状態を指す０次いで＋　
ＣＰＵは、ＣＰＵに配置されたＥＥＰＲＯＭからそれ自
身のブートストラップトークンを読み取る（ステップ２
２ｏ４）と共に、他のゾーンのＣＰＵからブートストラ
ップトークンを読み取る（ステップ２２０６）、両方の
プロセッサは１次いで、ゾーンＡからの応答を待機しく
ステップ２２０８）、ブートストラップ動作の目的でゾ
ーンＡが「ブートマスター」となるかどうかを判断する
。もしそうであれば、両方のシステムは、ゾーンＢがブ
ートストラップ動作のためのブートマスタとなると考え
ているかどうか判断する（ステップ２２１２）、もしそ
うであれば、ゾーンＢは非ブート状態にセットされ、ブ
ートマスターとならない（ステップ２２１４）。
ステップ２２１０の判断の結果としてゾーンＡがブート
マスターとならない場合には、雨ゾーンがゾーンＢがブ
ートマスターであるかどうか判断する（ステップ２２１
６）、ゾーンＢがブートマスターでない場合には、ゾー
ンＡがブートマスターとしてセットされる（ステップ２
２１８）。
ステップ２２１０−２２１８が行われてブートマスター
が決定された後に、各ゾーンはブートマスターであるか
どうかそれ自身に尋ねる（ステップ２２２０）、ブート
マスターとなったゾーンは、第２２Ｂ図のステップ２２
２２へ進む、他のゾーンは、第２２Ｆ図のステップ２２
８４へ進む。
第２２Ａ図ないし第２２１−１図のフローチャートの説
明上、ゾーンＡがブートマスターであるとする。
ゾーンＡは、先ず、そのオペレーティングシステムをブ
ートする。ブートプロセスの一部分には、システム１０
に存在する全てのＩ／’Ｏ装置を制御するのに必要なテ
ーブル記述及びルーチンをロードすることが含まれる。
然し乍ら、ゾーンＡのこれらＩ１０装置のみが初期化さ
れ、アプリケーションプログラムに利用できるようにさ
れる。
ブートマスターは、ブートシンプレックス手順に入り（
ステップ２２２２）、これは、ゾーンＡがゾーンＢから
のメツセージの受信を待機する（ステップ２２２４）状
態で開始する。ゾーンＢからメツセージを受信すると、
ゾーンＡは、ゾーンＢがゾーンＡと接続する要求をなし
たがどうかの判断をする（ステップ２２２６）、もしそ
うでなければ、プロセスはエラー状態２２２８へ入り。
ブートストラップ手順が完了され、ゾーンは非同期状態
に保たれる。ゾーンＢが接続の要求をなした場合には、
ゾーンＡがゾーンＢにｒイエス」の応答を出しくステッ
プ２２３０）そしてゾーンＡが再びゾーンＢの応答を待
機する（ステップ２２３２）、ゾーンＢがＩ／Ｏを供給
しない場合には（即ち、ゾーンＢがそのＩ１０装置の制
御を保持する場合には）、別のエラー状態に入り（ステ
ップ２２３６）、ブートストラップ手順が終了される。
ゾーンＢがＩ／Ｏを供給する場合には、ゾーンＡがゾー
ンＢのクロスリンク状態を読み取る（ステップ２２３８
）、ゾーンＢのクロスリンク状態がゾーンＢがクロスリ
ンクスレーブであることを指示しない場合には（ステッ
プ２２４０）、エラー状態に入り（ステップ２２４２）
そしてブートストラップ手順が再び終了される。
ゾーンＢのクロスリンク状態が該ゾーンがクロスリンク
スレーブモードにあることを指示する場合には（ステッ
プ２２４０）、ゾーンＡがそれ自身のクロスリンク状態
を「マスター」にセットする（ステップ２２４４）、ゾ
ーンＢのＩ１０装置が初期化され、アプリケーションプ
ログラムに対して利用できるようにされる。ゾーンＡは
ゾーンＢからの要求を待機する（ステップ２２４６）。
ゾーンＡが再同期要求を受け取らない場合には（ステッ
プ２２４８）、エラー状態に入り（ステップ２２５０）
そしてブートストラップ手順が完了される。
ゾーンＡがゾーンＢから再同期要求を受け取る場合には
（ステップ２２４８）、ゾーンＡがゾーンＢに「イエス
」の応答を与え（ステップ２２５２）そしてゾーンＢか
らの応答を待機する（ステップ２２５４）、ゾーンＡは
、ゾーンＢが再同期の準鍔ができるまで待機する（ステ
ップ２２５６）。
ゾーンＢが再同期メモリに対して構成されている場合に
は、そのクロスリンク状態が「クロスリンクオンスレー
プ」及び「再同期スレーブ」となる、再同期スレーブモ
ードは、ゾーンＢのＣＰＵをそれらのメモリ制御器から
外すようにロックする。ここで、ゾーンＢのメモリ制御
器は、それに関連したクロスリンクから全ての指示を受
け取る。これは、ゾーンＢのメモリをゾーンＡで制御す
るようにする。ゾーンＢが再同期の準備ができた場合に
は、ゾーンＡがゾーンＢのクロスリンクの状態を再び読
み取り（ステップ２２５８）そしてゾーンＢの状態が該
ゾーンが再同期スレーブモードにあることを指示するか
どうか判断する（ステップ２２６０）、もしそうでなけ
れば、別のエラー状態に入り（ステップ２２６２）そし
てブートストラップ手順が終了される。
ゾーンＢのクロスリンク状態が該ゾーンが再同期スレー
ブモードにあることを指示する場合には（ステップ２２
６０）、ゾーンＡがそれ自身の状態を再同期マスターモ
ードにセントしくステップ２２６４）そしてメモリ転送
の待ち行列を形成する（ステップ２２６６）、これは、
第２１図について述べるバルクメモリ転送である。
次いで、ゾーンＡは、ＤＭＡがメモリ再同期に対して完
了するまで待機しくステップ２２６８）。
そのシステム状態をメモリから読み取り（ステップ２２
７０）そして再同期の後にゾーンがスター１−するメモ
リ位置である再スタートベクトルをセーブする（ステッ
プ２２７２）。システム状態は。
全て、ソフトウェア及びハードウェアの実行を制御する
ＣＰＵモジュールのレジスタ常駐情報である。この情報
は、ＣＰＵの汎用レジスター、アドレス変換テーブル、
プロセス状態ワード、スタックポインタ、プログラムカ
ウンタ、割込み状態、構成レジスタ及びインターバルタ
イマを含むが、これに限定されるものではない、これら
の値は、メモリアレイ６０にセーブされる。メモリ再同
期がまだ有効であるから、値はメモリアレイ６０′にも
セーブされる。セーブされた値のメモリアドレスは、ク
ロスリンクのセーブ状態レジスタに書き込まれる。従っ
て、ゾーンＡの全ての処理は保留され、キャッシュメモ
リがフラッシュされる。アプリケーション処理を再スタ
ートするのに必要な全ての情報はメモリアレイ６０及び
６０’　に常駐する。
次いで、ゾーンＡは、デユープレックス同期要求をセッ
トしくステップ２２７４）そしてゾーンＢのクロスリン
ク状態を読み取る（ステップ２２７６）、ゾーンＢの状
態が該ゾーンがデュープレックス同期モードにないこと
を指示する場合には、エラー状態に入り（ステップ２２
８０）そしてブートストラップ手順が終了する。ゾーン
８７５″：デユープレックス同期モードにある場合には
、ゾーンＡがデユープレックス同期要求をセットし、第
２２Ｈ図のステップ２３０８で始まる同期動作に入る。
ゾーンＡの動作と同時に、ゾーンＢはブートストラップ
のための別の組のステップを実行する。
ブートストラップ技術においてゾーンＢがスレーブであ
ると決定された後に、該ゾーンはゾーンＡと接続する要
求を発しくステップ２２８４）そして応答を待機する（
ステップ２２８６）、ゾーンＡの応答がゾーンＢに接続
できないという応答である場合には、ゾーンＢがコンソ
ール状態に入る。
成る状態のもとでは、１つのゾーンのみと動作すること
が所望される。１つのゾーンはブートできるが、他方の
ゾーンは拡張診断を実行する。
従って、ゾーンＡはゾーンＢをブートしないように命令
され、ゾーンＢが接続の要求を出したときには、許可が
与えられない。次いで、ゾーンＢは、コンソールオペレ
ータからの命令をコンソール状態で待機する。
ゾーンＡがゾーンＢの接続要求に対してｒイエス」の応
答を出した場合には、ゾーンＢがその工／○を手放しく
ステップ２２９０）、そのクロスリンク状態を「スレー
ブ」モードにセットしそして再同期動作を要求する（ス
テップ２２９４）。
次いで、ゾーンＢはゾーンＡからの応答を待機する（ス
テップ２２９６）。
ゾーンＢの再同期要求に対するゾーンＡの応答が「イエ
ス」でない場合には（ステップ２２９８）、ゾーンＢが
コンソール状態２３００に入り。
ブートストラップ動作が終了される。ゾーンＡがゾーン
Ｂの再同期要求に対して「イエス」の応答を出した場合
には（ステップ２２９８）、ゾーンＢが「再同期レディ
」メツセージをゾーンＡに送り（ステップ２３０２）そ
してそのクロスリンク状態を「スレーブ」モードにセッ
トする（ステップ２３０４）、次いで、ゾーンＢは、同
期動作に入るまでゾーンＡからの再同期を待機する。
ブートストラップルーチンがまだ終了されないか又はコ
ンソール状態に入らない場合には、雨ゾーンがゾーンＡ
のクロスリンク状態を読み取る（ステップ２３０８）と
同時に、ゾーンＢのクロスリンク状態を読み取る（ステ
ップ２３１０）。
両方のクロスリンク状態が等しい場合には（ステップ２
３１２）、ブートストラップが完了しそしてブートスト
ラップ手順が終了される。
クロスリンクＡ及びクロスリンクＢの状態が等しくない
場合には、クロスリンクがオフにされ（ステップ２３１
４）そして両方のプロセッサがブートマスターとなるか
どうか質問する（ステップ２３１６）、クロスリンク状
態が不一致であることは、２つのゾーンの同期がうまく
とれなかったことを意味する。ブートマスターゾーン（
ゾーンＡ）は、スレーブゾーン（ゾーンＢ）の構成テー
ブルから装置を除去し、そして処理を続行する。
ゾーンＢは、コンソール状態において、コンソールオペ
レータが更に別の命令を与えるのを待機する。ブートマ
スターであるゾーンについては、ブートストラップルー
チンが終了される（ステップ２３１６）、他のゾーンに
ついては、コンソール状態に入り（ステップ２３１８）
、次いで、ブートストラップルーチンが終了される。
３・工とｉ旦」１υ」１走 メモリ再同期動作は、コールドブートストラップ手順の
間と、以下に述べるように、ゾーンが同期を失うように
させる過渡エラーが検出された後とに使用される。一方
のゾーンは、好ましくは、他方のゾーンの動作を停止さ
せることなく再同期しなければならない、このような再
同期にとって重要なことは、コンピュータシステム１０
を完全に停止することなくメモリアレイ６００及び６０
０″　を互いに等しくセットする技術である。これは、
メモリ再同期によって行われる。
メモリ再同期のフローチャートが第２３図に示されてい
る。メモリ再同期のための一連のシーケンスの多くは、
ブートストラップ動作に用いられたものと同様である。
これらのシーケンスは、簡単にいえば「ルーチン」と称
され、第２２図のブートストラップ動作のフローチャー
トに示された一連のシーケンスに相関される。
メモリがコピーされるゾーンは「マスター」であり、マ
スターメモリのコピーを受け取るゾーンは「スレーブ」
と称する。マスターはクロスリンクマスターでもあり、
スレーブはクロスリンクスレーブでもある。メモリ再同
期の初期化時に。
マスターのクロスリンクは「クロスリンクオン（マスタ
ー）」モードである。マスターが他のゾーンから再同期
要求を受け取ると（ステップ２３２０）、マスターは「
イエス」で応答しくステップ２３２２）そしてスレーブ
からの応答を待機する（ステップ２３２４）、マスター
は応答を受け取ると、メモリ再同期（マスター）ルーチ
ンに入り（ステップ２３２６）、これは、第２２Ｂ図及
び第２２Ｃ図に示されたステップ２２５６ないし２２８
２より成る０次いで、変更されたブートストラップルー
チンである自動ウオーム再スタート手順が開始される。
この手順については以下で述べる。
そのメモリが同期されることを要求しているゾーンで、
スレーブとなるようなゾーンが再同期を所望していると
きには（ステップ２３３０）、「再同期要求」をマスタ
ーへ送り（ステップ２３３２）そして応答を待機する（
ステップ２３３４）。
マスターからの応答を受け取ると、メモリ再同期（スレ
ーブ）ルーチンを開始する。これは、第２２Ｇ図に示す
ブートストラップルーチンのステップ２２９８ないし２
３０６で構成される。このルーチンが完了すると、スレ
ーブは自動ウオーム再スタート手順を開始しくステップ
２３３８）、次いで１両ゾーンはゾーン再同期手順に入
る。
ゾーン再同期ルーチンは、第２２　Ｈ図に示すブートス
トラップルーチンのステップ２３０８−２３１８より成
る。唯一の相違は、第２２Ｈ図に示されたステップ２３
１６において、ゾーンがブートマスターであるかどうか
ではなくてクロスリンクマスターであるかどうかをそれ
自体に尋ねる。
４、ウオーム再スタート手順 ウオーム再スタート手順が第２４図に示されている。こ
の手順に入ると、最初に尋ねる質問は。
クロスリンクの状態が何であるかである。それが通常動
作、マスター再同期動作又はスレーブ再同期動作である
場合には、ウオーム再同期動作が終了される。
クロスリンク状態が「デユーブレックス同期Ｊである場
合には、ＣＰＵが一時的に停止され（ステップ２４２０
）、次いで、コンソールコードに入って（ステップ２４
３０）、ブートストラップ動作を完了する。スレーブ状
態レジスタが分析される。スレーブ状態レジスタが０で
ある場合には第２２図に示すようにコールドブートスト
ラップを行う必要がある（ステップ２４５０）、さもな
くば、ＣＰＵレジスタは所定のメモリ位置からロードさ
れ、これらはスレーブ状態レジスタの値十４であるのが
好ましい（ステップ２４６０）、次いで、スレーブ状態
レジスタによって指示された位置へ分岐がなされろ（ス
テップ２４７０）。この後者の動作によりオペレーティ
ングシステム及び全ての保留されたジミブが再スタート
される。
Ｄ、欠陥検出、分離及び修理 １、トレースＲＡＭ 欠陥検出のための種々の方法は、ＣＰＵモジュール３０
及び３０′とファイアウオール１０００及び１０１０と
の説明において既に述べた。これらの方法は、メモリ制
御器から受け取ったアドレス及び制御信号が同じである
ことをメモリモジュール６０及び６０′によってチェッ
クすることと、修正不能なメモリデータのエラーをチェ
ックすることとを含む、又、これらの方法は、２つの「
レール」を通過するアドレス、制御及びデータ信号が同
じであることをメモリ制御器の対７０／７５及び７０’
　／７５’によって比較することも含む、又、ファイア
ウオール１０００及び１０１０は、ｌ１０８き込み中に
ゾーンからのデータを比較するチエッカを有している。
他の欠陥検出機構も考えられる。
処理システム２０及び２０’の欠陥停止機能と矛盾しな
いように、処理システムの欠陥検出は、欠陥が制御され
ない状態で他のモジュールへ伝播されないようにする。
然し乍ら、フェイスセーフ機能を実現するためには、コ
ンピュータシステム１０は、欠陥の発生源を分離してシ
ステムを修理することができねばならない、欠陥の発生
源を探索するための好ましい技術は、トレースＲＡ　Ｍ
と称する再循環レジスタを使用しており、これらのＲＡ
Ｍは処理システム２０及び２０′のデータ経路全体にわ
たって配置されている。これらのトレースＲＡＭは、そ
れに関連したデータ経路を経て送られる連続するメツセ
ージを記録する。欠陥が生じたときには、欠陥の発生源
を探索するようにメツセージが分析される。
第２５図は、コンピュータシステム１０におけるトレー
スＲＡＭの好ましい位置を示すＣＰＵモジュール３０及
びＩ１０モジュール１００のブロック図である。他の位
置を使用することもできる。処理システム２０において
は、トレースＲＡＭが全てのデータ経路に配置されるの
が好ましい。
従って、第２５図において、トレースＲＡＭ２５ＯＯ及
び２５０５は、各々、メモリ制御器７０及び７５に配置
される。トレースＲＡＭ２５１０．２５１５及び２５１
８はクロスリ、ンク９０の全てのインターフェイスに配
置され、そしてトレースＲＡＭ２５２０．２５２５及び
２５２８はクロスリンク９５の全てのインターフェイス
に配置される。トレースＲＡＭ１ｇ’７２及び１８７７
は各々ファイアウオール１０００及び１０１０に配置さ
れる。相補的な組のトレースＲＡＭは、処理システム２
０′に配置される。
トレースＲＡＭの選択及び配置ははゾ任意であるが、好
ましくは、エラーのソースを正確に識別してエラー源を
識別できるようにするためには各データ経路が少なくと
も１つのトレースＲＡ　Ｍを含んでいなければならない
。
トレースＲＡＭ２６００の一例が第２６図に示されてい
る。トレースＲＡＭ２６００は、関連バス経路のＮ個の
最新のサイクルに転送されたデータを記憶する円形バッ
ファとして編成されるのが好ましい、トレースＲＡＭ２
ＧＯＯはバクファレジスタ２６０５を備えており、その
入力はそれに関連したデータ経路からデータを受け取る
ように接続されている。バッファ２０００へのロード入
力はアンドゲート２６１５の出力である。アンドゲート
２６１５の入力は、データ経路からのクロック信号と、
欠陥が検出されたときに発生されたＦＲＥＥＺＥ　　Ｔ
ＲＡＣＥ　　ＲＡＭ信号である。
バッファ２６０５のアドレス入力は、アンドゲート２６
１５からカウント信号を受け取るリサイクルカウンタ２
６１ｏに接続されている。
トレースＲＡＭ２６００のサイズＮは、最も遠いメツセ
ージ転送に必要なバスサイクルの全数と、エラー又は欠
陥が生じたときにトレースＲＡＭに制御信号を送信する
に必要とされるサイクルの全数との和によって決定され
る。この制御信号は、トレースＲＡＭがそのデータを凍
結してそれ以上のメツセージの記憶を停止するためのコ
マンドであるのが好ましい。
次いで、トレースＲＡ　Ｍの各々は、それに関連したデ
ータ経路におけるＮ個の最新のトランザクションのコピ
ーをそのメモリに保持する２例えば、第２５図において
、トレースＲＡＭ２５１　Ｂは、モジュール相互接続部
１３０におけるＮ個の最新のトランザクションのコピー
を保持する。
２・澗」Ｌジ之ニー 第２７図は、エラー又は欠陥が検出されたときにその発
生源を分離するのに使用される手順を示すフローチャー
トである。エラーは、「内実」な状態を繰り返さない「
間欠的」なものであるか。
このような状態を繰り返すものである。成る要素によっ
て欠陥が検出されると、エラー信号がそれに関連したク
ロスリンク（即ち、ファイアウオール１０００及びメモ
リ制御器７０のクロスリンク９０）に送られる。クロス
リンクはＣＰＵに割り込むか又はＣＰＵがトラップ状態
に入るようにさせる。
一般に、エラー信号は、ファイアウオール又はメモリ制
御器からのものである場合には１つのサイクルでクロス
リンクへ送られそしてメモリアレイからのものである場
合には２つのサイクルでクロスリンクに送られる。次い
で、クロスリンクの遅延要素は、両ゾーンのＣＰＵがエ
ラー又は欠陥について同時に通知されるように（即ち、
割込み又はトラップによって）確保する。
同時に、ＦＲＥＥＺＥ　　ＴＲＡＣＥ　　ＲＡＭ信号は
、エラーを検出した要素からコンピユータシステム１０
全体にわたって伝播する（ステップ２７００）、このＦ
ＲＥＥＺＥ　　ＴＲＡＣＥ　　ＲＡＭ信号は、一般に、
そのゾーンのクロスリンクの到達するのに１つ又は２つ
のメモリサイクルを必要とし、他のゾーンのクロスリン
クと、エラーが見つかったゾーンのファイアウオール及
びメモリ制御器とに到達するのに別のサイクルを必要と
し、そして非欠陥ゾーンのファイアウオール及びメモリ
制御器に到達するのに別のクロックサイクルを必要とす
る。
ＣＰＵは、マシンチェックルーチンに入り（ステップ２
７０２）そしてＣＰＵが既にマシンチェックルーチンに
ある間にエラーが検出されたかどうかを判断することに
より（ステップ２７０５）トラップ又は割込みを処理す
る。エラーが検出された場合には、そのエラーが内実な
エラーであるとされ、システムは、第２８−六回ないし
第２８Ｃ図に示す内実な欠陥を分離する手順を開始する
。
ＣＰＵがマシンチェック手順にない場合には。
検出されたエラーが間欠的であるとされる０次いで、Ｃ
ＰＵは入力フラグをセットしくステップ２７１０）、そ
のエラーを分離する手順を開始する。
この入力フラグは５割込みが生じたときにＣＰＵがマシ
ンチェック手順にあるかどうかを判断するためにステッ
プ２７０５においてテストされるフラグである。
次いで、全てのトレースＲＡＭデータがトレースＲＡＭ
バスを介してその処理システムに関連したファイアウオ
ールに読み込まれる（ステップ２７２０）、次いで、診
断マイクロプロセッサは、全てのトレースＲＡＭデータ
をロードしくステップ２７３０）、ＣＰＵ４０．５０．
４０′及び５０′に転送する（ステップ２７３５）。
次いで、各ＣＰＵは、エラー信号を送った要素でスター
トしくステップ２７４０）、要素の欠陥源を分離する。
トレースＲＡＭデータの比較は。
２５００／２５０５．２５１０／２５２０．２５１５／
２５２５、等のような対向するレール上の同じ位置のト
レースＲＡＭからのデータを比較することによって行わ
れる。対応するメツセージ（即ち、トレースＲＡＭの同
じ深さにあるメツセージ）が比較されて、エラー（即ち
、対応するメツセージ間の不一致）が検出されたかどう
か調べられる。エラー検出器においてトレースＲＡＭが
分析された後に、次のトレースＲＡＭは、欠陥が生じた
動作中にデータがたどった経路を逆にたどる。従って、
ＣＰＵの読み取りに対しては、経路がＣＰＵから離れる
方向となる。
エラー検出ルーチンの最初の段階においては。
ＣＰＵモジュール３０及び３０’の各レールからのトレ
ースＲＡＭデータが比較される（ステップ２７５０）。
別々のレールにおけるトレースＲＡＭ間にエラーがなく
て（ステップ２７５２）、対応するデータ経路における
トレースＲＡＭデータが等しいことを意味する場合には
、他のデータ経路の存在が決定される（ステップ２７５
’４）、他のデータ経路が保持される場合には、別の経
路がとられ（ステップ２７５６）、次の比較が行われる
（ステップ２７５０以降）。
他の経路がない場合には、ＣＰＵは、チェックされたト
レースＲＡ　Ｍ対が第１のものであるかどうか判断する
（ステップ２７５８）、もしそうであれば、例えば、Ｃ
ＰＵ読み取りの際にファイアウオール１０００及び１０
１０において最初にデータが受け取られたときにエラー
が生じているはずである。この点では単一のデータレー
ルが２つの経路に分割されているので、データは同じは
ずであり、従って、エラー検出器は「カルプリント（ｇ
％人）」であると考えられ、欠陥であると記録される（
ステップ２７６０）、次いで、入力フラグがクリアされ
（ステップ２７６２）、これはマシンチェックルーチン
の終了を指示すると共に割込みをクリアし、そしてマシ
ンチェックルーチンが終了となる（ステップ２７６４）
。
ステップ２７５４及び２７５８において他の経路が保持
されないが現在のトレースＲＡＭ対がチェックされた最
初の対ではないことが判断された場合には、エラーがそ
の経路において手前のレベルで生じたものと判断される
。というのは、これは、トレースＲＡＭがデータの変更
を発生時に記録した場合であると共にエラーが最初に生
じた場合だからである（ステップ２７６６）、次いで、
ステップ２７６２及び２７６４において、各々、入力フ
ラグがクリアされ、そしてマシンチェックルーチンが終
了される。
然し乍ら、ステップ２７５２においてエラーが指示され
た場合には、そのエラーがオペレーションソースである
かどうかについて次の判断がなされる（ステップ２７７
０）、ｒオペレーションソース」とは、特定の経路に対
するデータ経路の開始を短く表現したものである。もし
そうでなければ、経路はオペレーションソースに向かっ
て後退され（ステップ２７７５）、レール間で別の比較
がなされる（ステップ２７５０以降）、ステップ２７７
０においてエラーチェックルーチンがそのときオペレー
ションソースであると判断された場合には、各々、その
オペレーションソースが欠陥の位置として記録され（ス
テップ２７８０）、入力フラグがクリアされ（ステップ
２７６２）そしてマシンチェックルーチンが終了される
（ステップ２７６４）。
３、五叉Ｘ隨 欠陥が内実欠陥であると判断されると（第２７図参照）
、第２８Ａ図ないし第２８Ｃ図のフローチャートに示す
ようにこのような内実欠陥を分離する手順が開始される
。内実欠陥処理の第１のステップは、耐欠陥コンピュー
タシステム１０をその２つの別々のゾーン１１及び１１
′に分割することである（ステップ２８００）、これは
、全てのクロスリンクをオフに切り換えることによって
行おれる０次いで、各ゾーンの診断マイクロプロセッサ
がそれらゾーンに対するトレースＲＡＭデータを読み取
り（ステップ２８０５）そしてそのデータをデュアルレ
ールアクセスによってゾーンのＣＰＵに送る（ステップ
２８１０）、このプロセス中にエラーが検出された場合
には（ステップ２８１５）、エラー処理中にハードウェ
ア欠陥が生じており、そのゾーンがコンピュータシステ
ム１０から除去される（ステップ２８２０）、欠陥を報
告する試みがなされる（ステップ２８２５）が、ハード
ウェア欠陥であるためにこれは不可能であり、この手順
はコンソールへと続く、これにより、コンソールオペレ
ータは詳細な診断テストを開始して、内実欠陥を探索す
ることができる。
トレースＲＡＭデータのデュアルレールアクセス中にエ
ラーが検出されない場合には、そのトレースデータが分
析される（ステップ２８３０）。
この分析に用いる手順は、過渡エラー分析のステップ２
７４０−２７８０に類似している。然し、ゾーンが分割
されていて一方のゾーンでしかエラーが検出されないの
で、手順に相違が生じる。このような場合の手順は、分
析を行っているゾーンではエラーを示さず、クロスリン
クにおいてエラーを示す０分析中にハードウェア欠陥が
検出された場合には、そのゾーンが除去され（ステップ
２８２０）、報告の試みがなされ（ステッ′ブ２８２５
）そして手順はコンソールへと続く。
トレースＲＡＭデータのゾーン分析によりエラーがある
ことが示された場合には（ステップ２８３５）、エラー
の位置が検討される（ステップ２８４０）、エラーがゾ
ーン内にある場合には。
欠陥がもはやハード即ち内実でないことが決定されるか
又は多数の欠陥が存在することが分かり。
過渡欠陥を分離しようと試みる間に生じる過渡欠陥は元
の過渡欠陥を見掛は上内実であるようにする（ステップ
２８４５）、まれなことであるが。
このような状態は、エラー処理中にハードウェアの欠陥
が生じた場合にたどるステップに類似した更に別の分析
を必要とし、欠陥を生じたゾーンがシステムから除去さ
れ（ステップ２８５０）、ニラ−を報告する試みがなさ
れ（ステップ２８５５）そして内実欠陥手順を終了して
コンソールへ至る。
ステップ２８４０において、クロスリンクに欠陥がある
と決定された場合には、欠陥が実際にはクロスリンク通
路２５にあるか又は他のゾーンニアル（ステップ２８６
０’）。このような場合。
第２８Ｂ図に示すように、そのゾーンは、そのエラー分
析を直列クロスリンクを経て他のゾーンへ送り（ステッ
プ２８６５）そして他のゾーンが応答するかどうかにつ
いて判断がなされる（ステップ２８６８）、他のゾーン
からの応答がない場合には（ステップ２８７０）、他の
ゾーンが不作動であると判断され、欠陥が報告される（
ステップ２８７０）、次いで、エラー状態がクリアされ
（ステップ２８７５）、内実欠陥分析ルーチンが完了す
る。
他のゾーンが応答する場合には、更に別のエラー分析が
行われて、他のゾーンが欠陥状態にあるかどうか又はク
ロスリンクが欠陥状態にあるかどうかの判断がなされる
（ステップ２８７７）。
ステップ２８７７の分析によって他のゾーンが欠陥状態
にあると分かった場合には、該他のゾーンに欠陥が生じ
たと報告され（ステップ２８７９）、エラー状態がクリ
アされ（ステップ２８７５）そして内実欠陥分析手順が
完了する。
一方、ステップ２８７７の分析結果がクロスリンクが欠
陥状態にあるというものであった場合には、直列クロス
リンクを介して欠陥のあるクロスリンクを識別する試み
がなされる（ステップ２８８１）、これは、第２８Ａ図
のステップ２８３５と同様の手順によって行われる。欠
陥のあるクロスリンクが識別されると、欠陥のあるゾー
ンが除去されそして欠陥が報告される（ステップ２８８
３）。次いで、エラー状態がクリアされ（ステップ２８
７５）そして内実欠陥の分析手順が完了する。
ステップ２８３５において、トレースＲＡ　Ｍデータが
分析されそして他のゾーンに欠陥があると判断された場
合には、第２８Ｃ図の手順をたどる。この手順において
、ゾーンは直列クロスリンクを経てトレースＲＡＭの分
析結果を交換しくステップ２８８５）そして他のゾーン
が応答しているかどうか判断される（ステップ２８８７
）、他のゾーンが応答しない場合には、そのゾーンが欠
陥として報告され（ステップ２８８９）、エラー状態が
クリアされ（ステップ２８９１）そして内実欠陥の分析
ルーチンが完了する。
応答が受信された場合には（ステップ２８８７）、第２
８Ｂ図のステップ２８３５のエラー分析に類似したエラ
ー分析が実行される（ステップ２８９３）、エラー分析
は２つの結論のうちの１つに到達する。その結論が他の
ゾーンが欠陥状態にあるというものである場合には、そ
のゾーンが欠陥として報告される（ステップ２８８９）
。その結論がクロスリンクが欠陥状態にあるというもの
である場合には、クロスリンク又は他のゾーンが欠陥で
あると報告される（ステップ２８９５）。
ステップ２８８９又は２８９５の報告の後に、エラー状
態がクリアされ（ステップ２８９１）そして分析手順が
終了する。
４．１里 第２７図及び第２８Ａ図ないし第２８Ｃ図に示された欠
陥及び内実欠陥分点手順の結果、ＣＰＵモジュール（即
ち、ＣＰＵ／メモリ／メモリ制御器の組み合わせ）：ク
ロスリンク：クロスリンク通路２５；モジュール相互接
続部；又は工／○モジュール内においてエラー又は欠陥
が探索されたとすることができる。一般に、間欠欠陥が
検出された場合には、耐欠陥コンピュータシステム１０
のＣＰＵが間欠欠陥の位置を指示し、増分カウンタが欠
陥要素に対する間欠エラーの数を指示する。要素に対す
るカウントが所定数を越えない限りそれ以上の動作は生
じない、カウントが所定数を越えて１間欠欠陥の生じる
頻度が許容するには高過ぎることを指示する場合、又は
検出された欠陥が内実欠陥である場合には、モジュール
又は要素に欠陥があり、それらを作動不能にして、その
要素を含むモジュールを交換できるまで耐欠陥コンピュ
ータシステム１ｏが効果的に動作を続けられるようにし
なければならない。
ＣＰＵモジュールが欠陥であると分かった場合には、そ
のモジュールのクロスリンクを「デユーブレックス」モ
ードから「スレーブＪモードに切り換えることによって
そのモジュールを動作不能にしなければならない、「ス
レーブ」モードにおいては、モジュールをそのクロスリ
ンク診断制御レジスタによって他のゾーンのＣＰＵモジ
ュールと通信するしかない。動作不能にされたＣＰＵモ
ジュールはコンソールモジュールに復帰される。
クロスリンクが欠陥であると分かった場合には、欠陥状
態にあるクロスリンクの部分に基づいて３つの動作のう
ちの１つをとることができる。
メモリ制御器に接続されたクロスリンクの部分は、実際
には、それに関連したＣＰＵモジュールから区別するこ
とができない。その部分に欠陥がある場合には、ＣＰＵ
モジュールを動作不能にしたのと同じ手順を行わねばな
らない。
モジュール相互接続部に接続されたクロスリンクの部分
は、実質上、モジュール相互接続部と区別することがで
きない。この状態においてクロスリンクを動作不能にす
るプロセスは、モジュール相互接続部を動作不能にする
手順と同じである。
クロスリンクの一部分は、クロスリンク通路と実質上区
別できないクロスリンク通路２５に接続される。この場
合、又は欠陥がクロスリンク通路にある場合には、クロ
スリングをオフに切り換えると共に、欠陥のあるクロス
リンクを含むと考えられるＣＰＵモジュールを動作不能
にすることにより、ゾーンが分割される。然し乍ら、欠
陥の発生源を決定できない場合には、ＣＰＵモジュール
３ｏ及び３０’の所定の１つが先ず動作不能にされる。
エラーが持続する場合には、他のＣＰＵモジュールが再
ブートされ、予め選択されたモジュールが動作不能にさ
れる。
同じ手順を使用して、欠陥のあるＩ１０モジュールや、
モジュール相互接続部や、モジュールインターフェイス
に欠陥の生じたクロスリンクが動作不能にされる。３つ
全ての状態において、欠陥はＩ１０モジュールを伴うト
ランザクション中に生じ、従って、Ｉ１０モジュールが
動作不能にされる。これは、全てのＣＰＵ４０．５０．
４０′及び５０″のオペレーティングシステムにそのＩ
１０モジュールの参照記号を除去するように通知するこ
とによって行われる。
クロスリンク又はモジュール相互接続部の欠陥を表わす
欠陥が生じた場合には、それらのモジュールを含むゾー
ンを動作不能にすることができる。これに対する好まし
い解決策は、欠陥が生じたときに通信状態にあるＩ１０
モジューを動作不能に保持することである。モジュール
相互接続部及びクロスリンクの当該部分も、接続された
全てのＩ１０モジュールが動作不能にされたときに実際
上動作不能にされる。工１０モジュールをもたないＣＰ
Ｕモジュールは、大部分の目的に対し実際上動作不能に
される。
亙筑 以上、好ましい実施例について示した本発明は、前記し
た本発明の目的を達成する。本発明の装置及び方法につ
いて種々の修正及び変更がなされることが当業者に明ら
かであろう、従って１本発明は、その広い吹点において
、ｍ記した特定の細部、代表的な方法及び！Ａ青、並び
に解説のための例に限定されない。従って、本発明の一
般的な考え方の精神又は範囲から逸脱せずに上記細部と
は異なったものが考えられる。
【図面の簡単な説明】
第１図は１本発明による耐欠陥コンピュータシステムの
ブロック図、 第２図は、第１図の耐欠陥コンピュータシステムを含む
物理的なハードウェアを示す図、第３図は、第１図の耐
欠陥コンピュータシステムに示されたＣＰＵモジュール
のブロック図。 第４図は、第１図に示されたコンピュータシステムの相
互接続されたＣＰＵモジュール及びＩ１０モジュールの
ブロック図、 第５図は、第１図に示された耐欠陥コンピュータシステ
ムのメモリモジュールを示すブロック図。 第６図は、第Ｓ図に示されたメモリモジュールの要素を
示す詳細図、 第７図は、男３図に示されたＣＰＵモジュールの一次メ
モリ制御器を示すブロック図。 第８図は、第３図のＣＰＵモジュールに含まれたミラー
メモリ制御器のブロック図、第９図は、第７図及び第８
図に示されたメモリ制御器のインターフェイス回路を示
す図、第１０図は、第３図に示されたＣＰＵモジュール
のクロスリンクの並列レジスタを示す図、第１１図は、
第３図に示されたＣＰＵモジュールのクロスリンクの直
列レジスタを示す図、第１２図は、第３図に示されたＣ
ＰＵモジュールのクロスリンクの制御器の要素を示すブ
ロック図、 第１３Ａ図ないし第１３Ｐ図は、第１２図に示された制
御器に対する信号の状態を示す表５第１４図は、第１図
の耐欠陥コンピュータシステムのためのタイミングシス
テムのためのブロック図。 第１５図は、第１４図のタイミングシステムによって発
生されたクロックイ３号のタイミング図。 第１６図は、第１４図に示されたタイミングシステ１１
の位相検出器を詳細に示す図、第１７図は、第１図のコ
ンピュータシステムのＩ１０モジュールを示すブロック
図、第１８図は、第１７図に示されたＩ１０モジュール
のファイアウオール要素を詳細に示す図、第１９図は、
第１図のコンピュータシステムに対するクロスリンク通
路の要素を詳細に示す図、第２ＯＡ図ないし第２０Ｅ図
は、第１図のコンピュータシステムのデータ流れ線図。 第２１図は、第１図のコンピュータシステムによるバル
クメモリ転送のための論理流れ線図、第２２Ａ図ないし
第２２Ｈ図は、第１図のコンピュータシステムのブート
ストラップ動作のための論理流れ線図、 第２３図は、第１図のコンピュータシステムのメモリ再
同期動作のための論理流れ線図、第２４図は、第１図の
コンピュータシステムのウオーム再スタート手順のため
の論理流れ線図。 第２５図は、トレースＲＡＭの配置を含む第１図のコン
ピュータシステムのブロック図、第２６図は、トレース
ＲＡ　Ｍのブロック図。 第２７図は、第１図のコンピュータシステムについて間
欠欠陥を分離するための論理流れ線図。 そして 第２８Ａ図ないし第２８Ｃ図は、第１図のコンピュータ
システムにおいて内実欠陥を分離するための論理流れ線
図である。 図中： １０・・・耐欠陥コンピュータシステム１１．１１’　
　・・・ゾーン １２．１２′　・・・キャビネット １３・・・バッテリ １４・・・電力レギュレータ １６・・・冷却ファン　　１７・・・交流入力２０．２
０’　　・・・処理システム ３０．３０’　　・・・ＣＰｔＪモジュール４０．５０
・・・ＣＰＵ ４２．５２・・・キャッシュメモリ ４３．５３・・・キャッシュバス ４４．５４・・・システムサポー１〜及びキャッシュ制
御器 ６０・・・メモリモジュール ７０、７５ ８０．８２ １００、１ １３０．１ ６００　・　・ ６１０　・　・ ６１２　・　・ ６１４　・　・ ６１６　・　・ ６１８　・　・ ６２０　・　・ ６２５　・　・ ６２６　・　・ ６３０　　・　・ ６３２　・　・ ６３４　・　・ ６３６　・　・ ６３８　・　・ ６４０　　・　・ ６４２　・　・ ・・・−次メモリ制御器 ・・・バス １０．１２０・・・工１０モジュール ３２・・・モジュール相互接続部 ・メモリアレイ ・制御論理回路 ・−大制御信号デマルチプレクサ ・ミラー制御信号デマルチプレクサ ・−次制御信号ドライバ ・システムタイミング制御信号発生器 ・構成エラー論理回路 ・エラー処理論理回路 ・Ｅ　Ｅ　Ｐ　ＲＯＭ ・比較論理回路 ・行及び列アドレスメモリドライバ ・アドレス比較器 ・制御信号比較器 ・ＥＣＣ信号比較器 ・データ及びＥＣＣｌ−ランシーバ ・ＥＣＣ発生器 第 Ａ 図 Ｉ　− 一ンλネテ／列アドレス 第１３Ａ、図 テ１ゲレックスぞ一ドの−）χレールソ°−ン１１第１
３Ｂ、図 テζりｂツクスモードのξラーレールソ―ン１第１３０
．図 テ１−プレッグスモードのミ５−レールソーン１１′Ｍ
１３ｃ、図 ％、ゲレックスＨ−ｇの一；χし＝ルゾーン１１′第１
３Ｅ図 マスターモードの−次レールゾーン 第１３Ｆ図 マスター七−ドのミう−レールゾーン 第１３Ｈ図 マスターモードのミラーレールゾーン　１１′帛／３Ｇ
、図 マスターも一ドの一次レールゾーン１１′第１３１図 スレーブモードの−次レールソ一ン１１第１３Ｊ図 スレーブも−ドのミラー゛グーン１１ 第１３Ｌ、図 ズレ−７も一ドのミラーレールゾーン１１′第１３に図 スレーフ゛石−ドの−；χレールゾーン１′ 第１３Ｍ図 ＣリングＪフの−次レールゾーン１１ 第１３Ｎ、図 Ｃリンクオフのミラーレールゾーン 第７３８図 Ｃリンクオフのミラーレールゾーンド 第１３ｏ、図 Ｃリンクオフの−ン欠レールゾーン１１′第１５０図 第 図 ｒｅ１２ 第２Ｚ図 ノ＼゛ルクメモリ転送 第２２０図 第２２Ｆ図 第２２Ｈ図 第２４．図 ウオーム再スタート メミ 第２３．図 り再同期 第２６１図 トレースＲＡＭ １ｂＵコ 第２８８図

Claims (5)

    【特許請求の範囲】
  1. （１）プロセッサ間エラーチェック機能を有するデュア
    ルプロセッサのデータ処理システムにおいて、 一連の命令を実行する第１の中央処理ユニットと、 上記第１の中央処理ユニットと独立して及び同期して上
    記一連の命令を実行する第２の中央処理ユニットと、 上記第１の中央処理ユニットに接続され、上記第１の中
    央処理ユニットに入力されるべきデータを受け取る第１
    のデータバスと、 上記第２の中央処理ユニットに接続され、上記第２の中
    央処理ユニットに入力されるべきデータを受け取る第２
    のデータバスと、 上記第１及び第２のデータバスに接続され、上記第１及
    び第２のデータバスを経て送られるデータをチェックす
    ると共に、上記データを上記第１及び第２の中央処理ユ
    ニットに供給する前にＩ／Ｏ読み取りに対するエラーを
    検出するためのエラーチェック手段であって、上記第１
    及び第２のデータバスの上記データが等しくないときに
    エラーを指示するための比較手段を含んでいるエラーチ
    ェック手段と、 上記エラーチェック手段から検出されたエラーに応答し
    て、システムを同期状態に保ちながらエラーの原因を分
    析するためのエラー分離手段とを具備することを特徴と
    するデュアルプロセッサのデータ処理システム。
  2. （２）上記第１及び第２の中央処理ユニットに接続され
    た主メモリユニットを更に具備し、エラーチェック手段
    は、第１及び第２の入力バス上の入力データが等しくな
    いときにエラーの存在を指示するメモリ制御手段を備え
    ている請求項１に記載のデュアルプロセッサのデータ処
    理システム。
  3. （３）上記メモリ制御手段は、 上記第１のデータバスに接続された一次メモリ制御器で
    あって、上記第１のデータバスから上記主メモリユニッ
    トへデータを転送するための手段を含んだ一次メモリ制
    御器と、 上記第２のバスに接続されたミラーメモリ制御器であっ
    て、上記第２のデータバスからのデータをエラーチェッ
    クの目的で上記第１のデータバスからのデータと比較す
    る手段を含んでいるようなミラーメモリ制御器とを備え
    ている請求項２に記載のデュアルプロセッサのデータ処
    理システム。
  4. （４）第１の処理システムを具備し、このシステムは、
    一連の命令を実行する第１の中央処理ユニットと、該第
    １の中央処理ユニットと独立して及び同期して上記一連
    の命令を実行する第２の中央処理ユニットと、上記第１
    の中央処理ユニットに接続され、上記第１の中央処理ユ
    ニットに入力されるべきデータを受け取る第１のデータ
    バスと、上記第２の中央処理ユニットに接続され、上記
    第２の中央処理ユニットに入力されるべきデータを受け
    取る第２のデータバスと、上記第１及び第２のデータバ
    スに接続され、上記第１及び第２のデータバスを経て送
    られたデータをチェックすると共に、上記第１及び第２
    の中央処理ユニットに上記データを供給する前にＩ／Ｏ
    の読み取りに対するエラーを検出するための第１のエラ
    ーチェック手段であって、上記第１及び第２データバス
    上の上記データが等しくないときにエラーを指示する第
    １比較手段を備えているような第１のエラーチェック手
    段とを備えており、そして更に、 上記第１の処理システムと実質的に同期して作動する第
    ２の処理システムを具備し、この第２の処理システムは
    、上記一連の命令を実行する第３の中央処理ユニットと
    、該第３の中央処理ユニットと独立して及び同期して上
    記一連の命令を実行する第４の中央処理ユニットと、上
    記第３の中央処理ユニットに接続され、上記第３の中央
    処理ユニットに入力されるべきデータを受け取る第３の
    データバスと、上記第４の中央処理ユニットに接続され
    、上記第４の中央処理ユニットに入力されるべきデータ
    を受け取る第４のデータバスと、上記第３及び第４のデ
    ータバスに接続され、上記第３及び第４のデータバスを
    経て送られたデータをチェックすると共に、上記第３及
    び第４の中央処理ユニットに上記データを供給する前に
    Ｉ／Ｏの読み取りに対するエラーを検出するための第２
    のエラーチェック手段であって、上記第３及び第４デー
    タバス上の上記データが等しくないときにエラーを指示
    する第２比較手段を備えているような第２のエラーチェ
    ック手段とを備えており、そして更に、上記第１と第２
    の処理システム間に接続されたクロスリンク通信手段で
    あって、上記第１と第２の処理システム間に両方向性の
    同期通信を与えるクロスリンク通信手段を備えたことを
    特徴とする耐欠陥コンピュータシステム。
  5. （５）上記第１又は第２のエラーチェック手段から検出
    されたエラーに応答して、上記第１及び第２の処理シス
    テムを同期状態に保ちながらエラーの原因を分析するエ
    ラー分離手段を備えた請求項４に記載のデュアルプロセ
    ッサのコンピュータシステム。
JP1220114A 1987-09-04 1989-08-25 Ｉ／ｏの読み取りに対するエラーチェック機能を有したデュアルレールプロセッサ Pending JPH02118872A (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US9317987A 1987-09-04 1987-09-04
US093179 1987-09-04

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP63222172A Division JPH01152543A (ja) 1987-09-04 1988-09-05 欠陥分離及び修理機能を有する耐欠陥コンピュータシステム

Publications (1)

Publication Number Publication Date
JPH02118872A true JPH02118872A (ja) 1990-05-07

Family

ID=22237590

Family Applications (2)

Application Number Title Priority Date Filing Date
JP63222172A Pending JPH01152543A (ja) 1987-09-04 1988-09-05 欠陥分離及び修理機能を有する耐欠陥コンピュータシステム
JP1220114A Pending JPH02118872A (ja) 1987-09-04 1989-08-25 Ｉ／ｏの読み取りに対するエラーチェック機能を有したデュアルレールプロセッサ

Family Applications Before (1)

Application Number Title Priority Date Filing Date
JP63222172A Pending JPH01152543A (ja) 1987-09-04 1988-09-05 欠陥分離及び修理機能を有する耐欠陥コンピュータシステム

Country Status (5)

Country Link
US (1) US5099485A (ja)
EP (1) EP0306244B1 (ja)
JP (2) JPH01152543A (ja)
CA (1) CA1311849C (ja)
DE (1) DE3854026D1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH02111612A (ja) * 1988-10-20 1990-04-24 Sumitomo Electric Ind Ltd 粒状ダイヤモンドの合成方法

Families Citing this family (88)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5185877A (en) * 1987-09-04 1993-02-09 Digital Equipment Corporation Protocol for transfer of DMA data
KR930007185B1 (ko) * 1989-01-13 1993-07-31 가부시키가이샤 도시바 레지스터뱅크회로
US5148537A (en) * 1989-05-02 1992-09-15 Belsan Jay S Method and apparatus for effecting an intra-cache data transfer
US5163138A (en) * 1989-08-01 1992-11-10 Digital Equipment Corporation Protocol for read write transfers via switching logic by transmitting and retransmitting an address
ATE139632T1 (de) * 1989-08-01 1996-07-15 Digital Equipment Corp Verfahren zur softwarefehlerbehandlung
US5251227A (en) * 1989-08-01 1993-10-05 Digital Equipment Corporation Targeted resets in a data processor including a trace memory to store transactions
US5068780A (en) * 1989-08-01 1991-11-26 Digital Equipment Corporation Method and apparatus for controlling initiation of bootstrap loading of an operating system in a computer system having first and second discrete computing zones
US5068851A (en) * 1989-08-01 1991-11-26 Digital Equipment Corporation Apparatus and method for documenting faults in computing modules
DE69032865T2 (de) * 1989-08-01 1999-08-05 Digital Equipment Corp., Maynard, Mass. Gezielte Rücksetzungen in einem Datenprozessor
FR2658934B1 (fr) * 1990-02-28 1992-04-30 Bull Sa Architecture de systeme et utilisation de cette architecture dans un procede de remplacement de cartes.
US5544347A (en) 1990-09-24 1996-08-06 Emc Corporation Data storage system controlled remote data mirroring with respectively maintained data indices
US5278969A (en) * 1991-08-02 1994-01-11 At&T Bell Laboratories Queue-length monitoring arrangement for detecting consistency between duplicate memories
US5361267A (en) * 1992-04-24 1994-11-01 Digital Equipment Corporation Scheme for error handling in a computer system
US5751932A (en) * 1992-12-17 1998-05-12 Tandem Computers Incorporated Fail-fast, fail-functional, fault-tolerant multiprocessor system
US5838894A (en) 1992-12-17 1998-11-17 Tandem Computers Incorporated Logical, fail-functional, dual central processor units formed from three processor units
US5640530A (en) * 1992-12-17 1997-06-17 International Business Machines Corporation Use of configuration registers to control access to multiple caches and nonvolatile stores
JPH06274354A (ja) * 1993-03-12 1994-09-30 Internatl Business Mach Corp <Ibm> 破壊的なハードウェア動作を制御する方法及びシステム
US5963962A (en) 1995-05-31 1999-10-05 Network Appliance, Inc. Write anywhere file-system layout
US7174352B2 (en) 1993-06-03 2007-02-06 Network Appliance, Inc. File system image transfer
US6138126A (en) 1995-05-31 2000-10-24 Network Appliance, Inc. Method for allocating files in a file system integrated with a raid disk sub-system
US5604863A (en) * 1993-11-01 1997-02-18 International Business Machines Corporation Method for coordinating executing programs in a data processing system
EP0731945B1 (en) * 1993-12-01 2000-05-17 Marathon Technologies Corporation Fault resilient/fault tolerant computing
JP2790034B2 (ja) * 1994-03-28 1998-08-27 日本電気株式会社 非運用系メモリ更新方式
US6141769A (en) 1996-05-16 2000-10-31 Resilience Corporation Triple modular redundant computer system and associated method
US5901327A (en) * 1996-05-28 1999-05-04 Emc Corporation Bundling of write data from channel commands in a command chain for transmission over a data link between data storage systems for remote data mirroring
US6052797A (en) * 1996-05-28 2000-04-18 Emc Corporation Remotely mirrored data storage system with a count indicative of data consistency
US5790397A (en) * 1996-09-17 1998-08-04 Marathon Technologies Corporation Fault resilient/fault tolerant computing
US5787485A (en) * 1996-09-17 1998-07-28 Marathon Technologies Corporation Producing a mirrored copy using reference labels
US5815571A (en) * 1996-10-28 1998-09-29 Finley; Phillip Scott Computer system with secured data paths and method of protection
US5805606A (en) * 1997-03-13 1998-09-08 International Business Machines Corporation Cache module fault isolation techniques
US6085288A (en) * 1997-04-14 2000-07-04 International Business Machines Corporation Dual cache directories with respective queue independently executing its content and allowing staggered write operations
US5867511A (en) * 1997-04-14 1999-02-02 International Business Machines Corporation Method for high-speed recoverable directory access
US6023746A (en) * 1997-04-14 2000-02-08 International Business Machines Corporation Dual associative-cache directories allowing simultaneous read operation using two buses with multiplexors, address tags, memory block control signals, single clock cycle operation and error correction
US6006311A (en) * 1997-04-14 1999-12-21 Internatinal Business Machines Corporation Dynamic updating of repair mask used for cache defect avoidance
US5943686A (en) * 1997-04-14 1999-08-24 International Business Machines Corporation Multiple cache directories for non-arbitration concurrent accessing of a cache memory
FR2767001B1 (fr) * 1997-07-31 1999-08-27 Bull Sa Procede de purge des tampons de liaisons series a haut debit et dispositif de mise en oeuvre du procede
JPH11143729A (ja) * 1997-11-07 1999-05-28 Nec Corp フォールトトレラントコンピュータ
US6516351B2 (en) 1997-12-05 2003-02-04 Network Appliance, Inc. Enforcing uniform file-locking for diverse file-locking protocols
US6202090B1 (en) * 1997-12-11 2001-03-13 Cisco Technology, Inc. Apparatus and method for downloading core file in a network device
US7389442B1 (en) 1997-12-26 2008-06-17 Samsung Electronics Co., Ltd. Apparatus and method for self diagnosis, repair, removal by reversion of computer problems from desktop and recovery from booting or loading of operating system errors by removable media
US6457130B2 (en) * 1998-03-03 2002-09-24 Network Appliance, Inc. File access control in a multi-protocol file server
US6023737A (en) * 1998-04-24 2000-02-08 International Business Machines Corporation Multi-stage pipelined data coalescing for improved frequency operation
US7096358B2 (en) * 1998-05-07 2006-08-22 Maz Technologies, Inc. Encrypting file system
US6279011B1 (en) 1998-06-19 2001-08-21 Network Appliance, Inc. Backup and restore for heterogeneous file server environment
US6574591B1 (en) 1998-07-31 2003-06-03 Network Appliance, Inc. File systems image transfer between dissimilar file systems
US6119244A (en) 1998-08-25 2000-09-12 Network Appliance, Inc. Coordinating persistent status information with multiple file servers
US7013305B2 (en) 2001-10-01 2006-03-14 International Business Machines Corporation Managing the state of coupling facility structures, detecting by one or more systems coupled to the coupling facility, the suspended state of the duplexed command, detecting being independent of message exchange
US6351829B1 (en) * 1998-10-28 2002-02-26 Honeywell Inc System and method for distinguishing a device failure from an inter-device communication failure
US6343984B1 (en) 1998-11-30 2002-02-05 Network Appliance, Inc. Laminar flow duct cooling system
US6457015B1 (en) 1999-05-07 2002-09-24 Network Appliance, Inc. Adaptive and generalized status monitor
US6961749B1 (en) 1999-08-25 2005-11-01 Network Appliance, Inc. Scalable file server with highly available pairs
US6615374B1 (en) * 1999-08-30 2003-09-02 Intel Corporation First and next error identification for integrated circuit devices
FR2803057B1 (fr) * 1999-12-22 2002-11-29 Centre Nat Etd Spatiales Systeme informatique tolerant aux erreurs transitoires et procede de gestion dans un tel systeme
US6691249B1 (en) 2000-03-22 2004-02-10 Agilent Technologies, Inc. Probabilistic diagnosis, in particular for embedded and remote applications
US6820213B1 (en) 2000-04-13 2004-11-16 Stratus Technologies Bermuda, Ltd. Fault-tolerant computer system with voter delay buffer
US6633996B1 (en) 2000-04-13 2003-10-14 Stratus Technologies Bermuda Ltd. Fault-tolerant maintenance bus architecture
US6708283B1 (en) 2000-04-13 2004-03-16 Stratus Technologies, Bermuda Ltd. System and method for operating a system with redundant peripheral bus controllers
AU2001293360A1 (en) * 2000-04-13 2001-10-30 Stratus Technologies International, S.A.R.L. Method and system for upgrading fault-tolerant systems
US6691257B1 (en) 2000-04-13 2004-02-10 Stratus Technologies Bermuda Ltd. Fault-tolerant maintenance bus protocol and method for using the same
US6973517B1 (en) 2000-08-31 2005-12-06 Hewlett-Packard Development Company, L.P. Partition formation using microprocessors in a multiprocessor computer system
US6745347B1 (en) 2000-09-27 2004-06-01 International Business Machines Corporation System, method and program for determining the availability of interfaces to a device from information provided by the device
US6850997B1 (en) 2000-09-27 2005-02-01 International Business Machines Corporation System, method, and program for determining the availability of paths to a device
US6748557B1 (en) 2000-09-27 2004-06-08 International Buisness Machines Corporation System, method, and program for determining the availability of interfaces to a control unit
US7065672B2 (en) * 2001-03-28 2006-06-20 Stratus Technologies Bermuda Ltd. Apparatus and methods for fault-tolerant computing using a switching fabric
US6728898B2 (en) 2002-03-06 2004-04-27 Marathon Technologies Corporation Producing a mirrored copy using incremental-divergence
US7024586B2 (en) 2002-06-24 2006-04-04 Network Appliance, Inc. Using file system information in raid data reconstruction and migration
US7197664B2 (en) * 2002-10-28 2007-03-27 Intel Corporation Stateless redundancy in a network device
US7100151B2 (en) * 2002-11-22 2006-08-29 Texas Instruments Incorporated Recovery from corruption using event offset format in data trace
US7251744B1 (en) * 2004-01-21 2007-07-31 Advanced Micro Devices Inc. Memory check architecture and method for a multiprocessor computer system
US7409585B2 (en) 2004-01-30 2008-08-05 Dell Products L.P. Automatic media repair after read failure due to media error
US7343529B1 (en) 2004-04-30 2008-03-11 Network Appliance, Inc. Automatic error and corrective action reporting system for a network storage appliance
US7624305B2 (en) * 2004-11-18 2009-11-24 International Business Machines Corporation Failure isolation in a communication system
JP2006178636A (ja) * 2004-12-21 2006-07-06 Nec Corp フォールトトレラントコンピュータ、およびその制御方法
US7496787B2 (en) * 2004-12-27 2009-02-24 Stratus Technologies Bermuda Ltd. Systems and methods for checkpointing
US20070028144A1 (en) * 2005-07-29 2007-02-01 Stratus Technologies Bermuda Ltd. Systems and methods for checkpointing
US20070038891A1 (en) * 2005-08-12 2007-02-15 Stratus Technologies Bermuda Ltd. Hardware checkpointing system
US20070233821A1 (en) * 2006-03-31 2007-10-04 Douglas Sullivan Managing system availability
JP5299281B2 (ja) * 2007-09-25 2013-09-25 富士通株式会社 情報処理装置及び制御方法
WO2014055064A1 (en) 2012-10-02 2014-04-10 Hewlett-Packard Development Company, L.P. Security shield assembly
US8918893B2 (en) 2012-10-29 2014-12-23 Hewlett-Packard Development Company, L.P. Managing a fault condition by a security module
US9251002B2 (en) 2013-01-15 2016-02-02 Stratus Technologies Bermuda Ltd. System and method for writing checkpointing data
EP3090345B1 (en) 2013-12-30 2017-11-08 Stratus Technologies Bermuda Ltd. Method of delaying checkpoints by inspecting network packets
WO2015102875A1 (en) 2013-12-30 2015-07-09 Stratus Technologies Bermuda Ltd. Checkpointing systems and methods of using data forwarding
EP3090344B1 (en) 2013-12-30 2018-07-18 Stratus Technologies Bermuda Ltd. Dynamic checkpointing systems and methods
US10838815B2 (en) 2018-09-19 2020-11-17 Dell Products L.P. Fault tolerant and diagnostic boot
US11044141B2 (en) * 2019-07-09 2021-06-22 Phillip N Hughes High density, high availability compute system
CN112751688B (zh) * 2019-10-30 2023-08-01 中兴通讯股份有限公司 一种otn设备的流控处理方法、电子设备及存储介质
CN112130521B (zh) * 2020-09-22 2021-04-20 郑州嘉晨电器有限公司 一种用于工程机械安全操控的控制装置

Family Cites Families (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AT285689B (de) * 1968-03-29 1970-11-10 Siemens Ag Zentralgesteuerte Vermittlungsanlage der Fernmelde-, insbesondere Fernsprechtechnik
US3665173A (en) * 1968-09-03 1972-05-23 Ibm Triple modular redundancy/sparing
DE2012068A1 (de) * 1970-03-13 1971-09-23 Siemens Ag Anordnung zur Suche nach Fehlern an elektronischen Schaltungen
FR2182259A5 (ja) * 1972-04-24 1973-12-07 Cii
US4099241A (en) * 1973-10-30 1978-07-04 Telefonaktiebolaget L M Ericsson Apparatus for facilitating a cooperation between an executive computer and a reserve computer
US4031372A (en) * 1973-11-06 1977-06-21 Westinghouse Electric Corporation System for manually or automatically transferring control between computers without power generation disturbance in an electric power plant or steam turbine operated by a multiple computer control system
IT1014277B (it) * 1974-06-03 1977-04-20 Cselt Centro Studi Lab Telecom Sistema di controllo di elaboratori di processo operanti in parallelo
US4228496A (en) * 1976-09-07 1980-10-14 Tandem Computers Incorporated Multiprocessor system
US4099234A (en) * 1976-11-15 1978-07-04 Honeywell Information Systems Inc. Input/output processing system utilizing locked processors
US4141066A (en) * 1977-09-13 1979-02-20 Honeywell Inc. Process control system with backup process controller
US4153318A (en) * 1977-10-17 1979-05-08 Square D Company Bus stab for panelboard assembly
GB2019622B (en) * 1978-04-14 1982-04-07 Lucas Industries Ltd Digital computing apparatus
US4200226A (en) * 1978-07-12 1980-04-29 Euteco S.P.A. Parallel multiprocessing system for an industrial plant
JPS55106976A (en) * 1979-02-02 1980-08-16 Hitachi Ltd Controller for elevator
US4245344A (en) * 1979-04-02 1981-01-13 Rockwell International Corporation Processing system with dual buses
US4253147A (en) * 1979-04-09 1981-02-24 Rockwell International Corporation Memory unit with pipelined cycle of operations
US4428044A (en) * 1979-09-20 1984-01-24 Bell Telephone Laboratories, Incorporated Peripheral unit controller
DE3003291C2 (de) * 1980-01-30 1983-02-24 Siemens AG, 1000 Berlin und 8000 München Zweikanalige Datenverarbeitungsanordnung für Eisenbahnsicherungszwecke
US4330826A (en) * 1980-02-05 1982-05-18 The Bendix Corporation Synchronizer and synchronization system for a multiple computer system
JPS56110162A (en) * 1980-02-06 1981-09-01 Hitachi Ltd Stage tracer
US4371754A (en) * 1980-11-19 1983-02-01 Rockwell International Corporation Automatic fault recovery system for a multiple processor telecommunications switching control
US4486826A (en) * 1981-10-01 1984-12-04 Stratus Computer, Inc. Computer peripheral control apparatus
US4541094A (en) * 1983-03-21 1985-09-10 Sequoia Systems, Inc. Self-checking computer circuitry
US4610013A (en) * 1983-11-08 1986-09-02 Avco Corporation Remote multiplexer terminal with redundant central processor units
US4751702A (en) * 1986-02-10 1988-06-14 International Business Machines Corporation Improving availability of a restartable staged storage data base system that uses logging facilities

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH02111612A (ja) * 1988-10-20 1990-04-24 Sumitomo Electric Ind Ltd 粒状ダイヤモンドの合成方法

Also Published As

Publication number Publication date
EP0306244A2 (en) 1989-03-08
US5099485A (en) 1992-03-24
CA1311849C (en) 1992-12-22
EP0306244B1 (en) 1995-06-21
DE3854026D1 (de) 1995-07-27
EP0306244A3 (en) 1991-04-10
JPH01152543A (ja) 1989-06-15

Similar Documents

Publication Publication Date Title
US4907228A (en) Dual-rail processor with error checking at single rail interfaces
US5005174A (en) Dual zone, fault tolerant computer system with error checking in I/O writes
EP0306244B1 (en) Fault tolerant computer system with fault isolation
US5249187A (en) Dual rail processors with error checking on I/O reads
US4916704A (en) Interface of non-fault tolerant components to fault tolerant system
US5153881A (en) Method of handling errors in software
US5068851A (en) Apparatus and method for documenting faults in computing modules
US5291494A (en) Method of handling errors in software
US5251227A (en) Targeted resets in a data processor including a trace memory to store transactions
US5065312A (en) Method of converting unique data to system data
JPH03232045A (ja) Ｄｍａデータ転送のためのプロトコル
US5048022A (en) Memory device with transfer of ECC signals on time division multiplexed bidirectional lines
EP0415552B1 (en) Protocol for read and write transfers
EP0411805B1 (en) Bulk memory transfer during resync
EP0416732B1 (en) Targeted resets in a data processor
EP0415547A2 (en) Method of handling nonexistent memory errors