JPH04257931A - 計算機システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、冗長構成を持ち、故障
が発生しても連続運転可能な計算機システムに関する。

【０００２】

【従来の技術】従来、この種の計算機システムは、２つ
の方式が採用されていた。一つは、３重化以上の冗長構
成をとり、多数決にて故障モジュールを特定し、残りの
モジュールで運転を継続する方式であった。他の一つは
、自己障害検出機構を持ったモジュールが２重化されて
おり、一のモジュールが障害を検出すると、他のモジュ
ールにて運転を継続する方式であった。

【０００３】前者の従来例を図２に示し、後者の従来例
を図３に示す。図２は従来の計算機システムの一例を示
し、特に３重化システムの場合の構成図である。同図に
おいて、　２００〜２０２　は、計算機システムを構成
する機能モジュールであって、これらの機能モジュール
　２００〜２０２　は、それぞれ同一機能のシステム構
成要素である。計算機システムは、これらの機能モジュ
ール　２００〜２０２　により３重化構成となっている
。機能モジュール　２００は、バス２０６　に動作結果
を出力し、機能モジュール２０１　はバス２０７　に動
作結果を出力し、機能モジュール　２０２はバス２０８
　に動作結果を出力するように結線されている。機能モ
ジュール　２００は多数決回路２０３　を有し、機能モ
ジュール２０１　は多数決回路２０４　を有し、機能モ
ジュール　２０２は多数決回路２０５　を有している。 これらの多数決回路　２０３〜２０５　は、それぞれ、
３つのバス　２０６〜２０８　に接続されている。

【０００４】このような構成のもとでは、機能モジュー
ル　２００〜２０２　のいずれかに故障が発生した場合
は、バス　２０６〜２０８　のいずれかに誤った結果が
出力される。このため、多数決回路　２０３〜２０５　
は、バス　２０６〜２０８　からの情報を比較し不一致
を検出し、更に多数決により故障モジュールを特定し、
自モジュールが故障の時は、運転を停止し、他モジュー
ルが故障の時は運転を継続することにより、連続運転を
可能としていた。

【０００５】図３は、従来の計算機システムの他の例を
示し、特に自己障害検出機構を持ったモジュールの２重
化システムの場合の構成図である。同図において、３０
０　、３０１　は、計算機システムを構成する機能モジ
ュールであって、これらの機能モジュール３００　、３
０１　は、それぞれ同一機能のシステム構成要素である
。計算機システムは、これらの機能モジュール３００　
、３０１　により２重化構成となっている。機能モジュ
ール３００　、３０１　は、ともにバス３０４　３０４
　、３０５　に接続されている。機能モジュール３００
　は、バス３０４　、３０５に動作結果を出力し、機能
モジュール３０１　は、バス３０４　、３０５　に動作
結果を出力しないようになっている。機能モジュール３
００　、３０１　は、それぞれ図示の如く自己故障検出
機構３０２　、３０３　を有している。このような構成
のもとに、機能モジュール３００　、３０１　のいずれ
かに故障が発生すると、自己故障検出機構３０２　、３
０３　のいずれかにより故障が検出され、故障に係る機
能モジュールは、運転を停止し、他の正常モジュールは
運転を継続する。これにより、連続運転を可能としてい
た。

【０００６】

【発明が解決しようとする課題】しかしながら、上述し
た従来方式では次のような問題があった。即ち、前者の
３重化システム（図２）では、バスも３重化する必要が
あり、非常に多くのバス信号線を必要としていた。計算
機システムにおいて、取扱うデータおよびアドレスのビ
ット幅はともに、今後増加するため、バスを３重化する
ことは非常に大きな問題である。また、後者の自己故障
検出機構を持ったモジュールの２重化システム（図３）
では、自己故障検出を行なうために、機能モジュール内
部も冗長構成にする必要があり、非常に多くのハードウ
ェアを必要とするという問題点があった。本発明の目的
は、このような従来の問題点を解決し、従来方式に比べ
少ないハードウェアにて冗長構成を実現し、信頼性の高
い計算機システムを提供することにある。

【０００７】

【課題を解決するための手段】本発明は、機能モジュー
ルを冗長構成とし、一つの機能モジュールに故障が発生
しても、残りの正常な機能モジュールにて連続運転する
ことができるようにした計算機システムにおいて、第１
バスおよび第２バスに接続されており、自機能モジュー
ルの動作結果を前記第１バスへ出力し、自機能モジュー
ルの動作結果と前記第２バスからの入力情報とを比較し
、不一致を検出すると自機能モジュールの動作結果を保
持した状態で前記第１バスへの出力を停止する第１の機
能モジュールと、前記第１バスおよび前記第２バスに接
続されており、自機能モジュールの動作結果を前記第２
バスに出力し、自機能モジュールの動作結果と前記第１
バスからの入力情報とを比較い、不一致を検出すると自
機能モジュールの動作結果を保持した状態で前記第２バ
スへの出力を停止する第２の機能モジュールと、前記第
１バスおよび前記第２バスに接続されており、自機能モ
ジュールの動作結果を前記第１バスおよび第２バスへ出
力せず、自機能モジュールの動作結果と前記第１バスお
よび前記第２バスからの入力情報とを比較し、不一致を
検出すると、多数決により自機能モジュールが故障でな
いとき、前記第１バスおよび第２バスに自機能モジュー
ルの動作結果を出力する第３の機能モジュールとを備え
、前記第１および第２の機能モジュールは、前記不一致
のとき、前記第１バスおよび前記第２バスからの前記第
３の機能モジュールの出力情報と保持した自機能モジュ
ールの動作結果とを比較し、一致していれば動作を再開
し、不一致のときは動作を停止するように構成したもの
である。

【０００８】

【作用】第１の機能モジュールに故障が起きると、第１
および第２の機能モジュールは、自モジュールの動作結
果を保持した状態で出力を停止する。第３の機能モジュ
ールは、自モジュールの正しい動作結果を第１バスと第
２バスへ出力する。第１および第２の機能モジュールは
保持した自モジュールの動作結果と第３の機能モジュー
ルが出力したバス情報とを比較する。第１の機能モジュ
ールは不一致により動作を停止し、第２の機能モジュー
ルは一致により動作を開始する。

【０００９】

【実施例】次に本発明の実施例について図面を用いて説
明する。図１は、本発明による計算機システムの一実施
例を示す構成図である。同図において、　１００〜１０
２　は、計算機システムを構成する第１〜第３の機能モ
ジュール　１００〜１０２　によって３重化構成されて
いる。第１〜第３の機能モジュール　１００〜１０２　
の出力側は、それぞれ２本の第１バス１０６　、第２バ
ス１０７　に接続されている。この場合、第１の機能モ
ジュール１００　は、第１バス１０６　へ出力を供給し
、第２バス１０７　へは出力を供給しないようになって
いる（点線の矢印で示す）。また、第２の機能モジュー
ル１０１　は、第１バス１０６　へ出力を供給せず（点
線の矢印で示す）、第２バス１０７　へ出力を供給する
ようになっている。また、第３の機能モジュール１０２
　は、第１バス１０６　および第２バス１０７　へ出力
を供給しないようになっている（点線の矢印で示す）。

【００１０】第１の機能モジュール（第１モジュールと
略称する。）１００　は、多数決回路１０３　を有し、
第２の機能モジュール（第２モジュールと略称する。）
１０１　は多数決回路１０４　１０４　を有し、第３の
機能モジュール（第３モジュールと略称する。）１０２
　は、多数決回路１０５　を有している。多数決回路　
１０３〜１０５　は、それぞれ自機能モジュール（以下
、自モジュールという。）の動作結果が入力されるよう
になっており、かつ第１バス１０６　および第２バス１
０７　に接続されている。多数決回路　１０３〜１０５
　は、自モジュールの動作結果と第１バス１０６　およ
び第２バス１０７　から入力される情報（動作結果）と
を比較し、不一致か否かを判定し、不一致のとき異常で
あると判定するものである。また、多数決回路　１０３
〜１０５　は、自モジュールの動作結果と第１バス１０
６　および第２バス１０７　から入力される情報（動作
結果）とを比較し、多数決により自モジュールが異常で
あるか否か（但し、自モジュールの動作結果が多数を占
めれば正常と判定する。）を判定するものである。

【００１１】次に図１の動作について、図４のフローチ
ャートを用いて説明する。なお図４は、図１の動作フロ
ーチャートである。 （１）　まず、第１の機能モジュール１００　にて故障
が発生したときの動作の概要について説明する。いま、
第１〜第３の機能モジュール　１００〜１０２　が動作
を開始する。そして、第１の機能モジュール１００　は
、動作結果を第１バス１０６　へ出力し、第２の機能モ
ジュール１０１　は、動作結果を第２バス１０７　へ出
力する（ステップＳ１、Ｓ１１）。 第３の機能モジュール１０２　は、動作結果を、第１バ
ス１０６　、第２バス１０７　へ出力しない（ステップ
Ｓ２１）。これら第１〜第３の機能モジュール　１００
〜１０２　で構成される計算機システムの運転中、第１
の機能モジュール１００　にて故障が発生すると、誤っ
た動作結果が第１バス１０６　へ出力される。各第１〜
第３の機能モジュール　１００〜１０２　において、多
数決回路　１０３〜１０５　は、自モジュールの動作結
果と第１バス１０６　および第２バス１０７　から入力
される情報（動作結果）とを比較し、不一致か否かによ
り異常か否かの検出を行なう（ステップＳ２、Ｓ３、Ｓ
１２、Ｓ１３、Ｓ２２、Ｓ２３）。

【００１２】第１の機能モジュール１００　は、多数決
回路１０３　にて自モジュールの動作結果と第２バス１
０７　からの入力情報が異なり（不一致となり）、異常
を検出すると、第１バス１０６　へ動作結果を出力する
のを止める（ステップＳ４）。また、第２の機能モジュ
ール１０１　は、多数決回路１０４　にて自モジュール
の動作結果と第１バス１０６　からの入力情報が異なり
（不一致となり）、異常を検出すると、第２バス１０７
　へ動作結果を出力するのを止める（ステップＳ１４）
。

【００１３】また、第３の機能モジュール１０２　の多
数決回路１０５　は、自モジュールの動作結果と第１バ
ス１０６　および第２バス１０７からの入力情報（ここ
では、第１バス１０６　からの入力情報が誤った動作結
果となっている。）とが異なり（不一致となり）、異常
を検出する。更に、第３の機能モジュール１０２　の多
数決回路１０５　は、自モジュールの動作結果と第１バ
ス１０６　又は第２バス１０７　からの入力情報（ここ
では、第２バス１０７　からの入力情報）が一致するの
で、多数決により自モジュールが正常であると判定し、
他モジュール（第１の機能モジュール１００　又は第２
の機能モジュール１０１　）が異常であると判定する。 これにより、第３の機能モジュール１０２　は、次のバ
スサイクルにて正しい動作結果を第１バス１０６　およ
び第２バス１０７　へ出力する（以上、ステップＳ２３
、Ｓ２４）。

【００１４】第１の機能モジュール１００　は、多数決
回路１０３　にて、自モジュールの動作結果と第１バス
１０６　および第２バス１０７　からの入力情報（正し
い動作結果）とを比較し、多数決により自モジュールが
異常であると判定すると、動作を停止（運転停止）する
（ステップＳ５、Ｓ６、Ｓ７）。

【００１５】次に第２の機能モジュール１０１　は、多
数決回路１０４　にて、自モジュールの動作結果と第１
バス１０６　および第２バス１０７　からの入力情報（
正しい動作結果）とを比較し、多数決により自モジュー
ルが正常であると判定すると、動作を再開（運転を継続
）する（ステップＳ１５、Ｓ１６、Ｓ１７）。以上の動
作説明から判るように第１の機能モジュール１００　は
、運転を停止するが、他の２台の機能モジュール、即ち
第２および第３の機能モジュール１０１　および１０２
　は運転を継続することになる。

【００１６】（２）　上記（１）　では、第１の機能モ
ジュール１００　に故障が発生した場合について説明し
たが、第２の機能モジュール１０１　に故障が発生した
場合については、次のように動作する。即ち、第１〜第
３の機能モジュール　１００〜１０２　が動作を開始す
る。そして、第１の機能モジュール１００　は、動作結
果を第１バス１０６　へ出力し、第２の機能モジュール
１０１　は動作結果を第２バス１０７　へ出力する（ス
テップＳ１、Ｓ１１）。第３の機能モジュール１０２　
は、動作結果を第１バス１０６　、第２バス１０７　へ
出力しない（ステップＳ２１）。このようにして計算機
システム運転中に、第２の機能モジュール１０１にて故
障が発生すると、第２の機能モジュール１０１　より誤
った動作結果が第２バス１０７　へ出力される。

【００１７】第１〜第３の機能モジュール　１００〜１
０２　の多数決回路　１０３〜１０５　は、自モジュー
ルの動作結果と第１バス１０６　および第２バス１０７
　から入力される情報（動作結果）とを比較し、不一致
か否かにより異常か否かの検出を行なう（ステップＳ２
、Ｓ３、Ｓ１２、Ｓ１３、Ｓ２２、Ｓ２３）。第１の機
能モジュール１００　は、多数決回路１０３　にて、自
モジュールの動作結果と第２バス１０７　からの入力情
報が異なり（不一致となり）、異常を検出すると、第１
バス１０６　へ動作結果を出力するのを止める（ステッ
プＳ４）。第２の機能モジュール１０１　は、多数決回
路１０４　にて、自モジュールの動作結果と第１バス１
０６　からの入力情報が異なり（不一致となり）、異常
を検出すると、第２バス１０７　へ動作結果を出力する
のを止める（ステップＳ１４）。

【００１８】第３の機能モジュール１０２　の多数決回
路１０５　は、自モジュールの動作結果と第１バス１０
６　および第２バス１０７　からの入力情報（ここでは
、第２バス１０７　からの入力情報が誤った動作結果と
なっている。）とが異なり（不一致となり）、異常を検
出する。また、第３の機能モジュール１０２　の多数決
回路１０５　は、自モジュールの動作結果と、第１バス
１０６　および第２バス１０７　からの入力情報（ここ
では、第１バス１０６　からの入力情報）が一致するの
で、多数決により自モジュールが正常であると判定し、
他モジュール（第１の機能モジュール１００　又は第２
の機能モジュール１０１　）が異常であると判定する。 これにより、第３の機能モジュール１０２　は、次のバ
スサイクルにて正しい動作結果を第１バス１０６　およ
び第２バス１０７　へ出力する（以上、ステップＳ２２
〜Ｓ２４）。

【００１９】次に第１の機能モジュール１００　は、多
数決回路１０３　にて、自モジュールの動作結果と第１
バス１０６　および第２バス１０７　からの入力情報（
正しい動作結果）とを比較し、多数決により自モジュー
ルが正常であると判定すると、動作を再開する（運転を
継続する）（ステップＳ５、Ｓ６、Ｓ１７）。また、第
２の機能モジュール１０１　は、多数決回路１０４　に
て、自モジュールの動作結果と第１バス１０６　および
第２バス１０７　からの入力情報（正しい動作結果）と
を比較し、多数決により自モジュールが異常であると判
定すると、動作を停止する（運転停止する）（ステップ
Ｓ１５、Ｓ１６、Ｓ７）。以上の動作説明から判るよう
に、第２の機能モジュール１０１　は運転を停止するが
、第１の機能モジュール１００　は運転を継続し、第３
の機能モジュール１０２　は運転し続けることになる。

【００２０】（３）　次に、第３の機能モジュール１０
２　に故障が発生した場合について説明する。第１〜第
３の機能モジュール　１００〜１０２　が動作を開始す
る。第１の機能モジュール１００　は、自モジュールの
動作結果を第１バス１０６　へ出力し、第２の機能モジ
ュール１０１　は自モジュールの動作結果を第２バス１
０７　へ出力する（ステップＳ１、Ｓ１１）。第３の機
能モジュール１０２　は、自モジュールの動作結果を第
１バス１０６　、第２バス１０７　へ出力しない（ステ
ップＳ２１）。このようにして計算機システムの運転中
に、第３の機能モジュール１０２に故障が発生したとす
る。この場合、第３の機能モジュール１０２　は、故障
にもとづく誤った動作結果を第１バス１０６　および第
２バス１０７へ出力しない（ステップＳ２１）。第１〜
第３の機能モジュール　１００〜１０２　の多数決回路
　１０３〜１０５　は、自モジュールの動作結果と第１
バス１０６　および第２バス１０７　からの入力情報と
を比較し、不一致か否かにより異常検出を行なう（ステ
ップＳ２、Ｓ３、Ｓ１２、Ｓ１３、Ｓ１２２、Ｓ２３）
。

【００２１】第１および第２の機能モジュール１００　
および１０１　の多数決回路１０３　および１０４　は
、それぞれ自モジュールの動作結果と第１バス１０６　
および第２バス１０７　からの入力情報とが一致してい
るため、異常でない（正常である）と判定した場合、第
１および第２の機能モジュール１００　および１０１　
は、運転し続ける（ステップＳ２、Ｓ３のＮＯルート、
Ｓ１２、Ｓ１３のＮＯルート）。一方、第３の機能モジ
ュール１０２　の多数決回路１０５　は、自モジュール
の動作結果（故障の発生により誤った動作結果となって
いる。）と、第１バス１０６　および第２バス１０７　
からの入力情報（正しい動作結果）とが異なり（不一致
となり）、異常を検出する。更に多数決回路１０５　は
、自モジュールの動作結果（誤った動作結果）と、第１
バス１０６　および第２バス１０７　からの入力情報（
正しい動作結果）が一致しないので、多数決により自モ
ジュールが異常であると判定し、他の第１および第２の
モジュール１００　および１０１　は正常であると判定
する（以上ステップＳ２２、Ｓ２３）。これにより、第
３の機能モジュール１０２　は、動作を停止する（運転
停止する）（ステップＳ２５）。以上の動作説明より判
るように、第３の機能モジュール１０２　は、故障発生
により運転を停止するが、第１および第２の機能モジュ
ール１０１　および１０２　は運転し続けることになる
。

【００２２】（４）　第１〜第３の機能モジュール　１
００〜１０２が全て正常運転の場合について説明する。 この場合、第１および第２の機能モジュール１００　お
よび１０１　の動作については、前記（３）　で説明し
たと同様であるが、第３の機能モジュール１０２　の動
作については次のようである。即ち、第３の機能モジュ
ール１０２　の多数決回路１０５　は、自モジュールの
動作結果と第１バス１０６　および第２バス１０７　か
らの入力情報とを比較し、全てが一致することにより第
１〜第３の機能モジュール　１００〜１０２　が異常で
ない（正常である）と判定する（ステップＳ２２、Ｓ２
３）。そして、全ての第１〜第３の機能モジュール　１
００〜１０２　は運転し続けることになる。

【００２３】次に図１の具体例について図５を用いて説
明する。図５は、図１の一具体例を示す詳細構成図であ
る。図５において、計算機システムは、第１〜第３の機
能モジュール　１００〜１０２　によって三重化構成さ
れている。これらの第１〜第３の機能モジュール　１０
０〜１０２　は、それぞれ全く同一の構成である。第１
〜第３の機能モジュール　１００〜１０２は、それぞれ
モード決定回路４０１　、５０１　、６０１　を有し、
第１〜第３の機能モジュール　１００〜１０２　の動作
モードは、これらのモード決定回路４０１　、５０１　
、６０１　により決定されるようになっている。

【００２４】第１の機能モジュール１００　の内部構成
について以下に説明する。第１の機能モジュール１００
　は、処理ユニット４００　と、モード決定回路４０１
　と、多数決回路４０２　と、制御回路４０３　などか
ら構成される。処理ユニット４００　は、機能モジュー
ルの機能を実現するものであり、処理ユニット４００　
の出力は、処理ユニット動作結果出力線４０８　を介し
て多数決回路４０２　、バスドライバ４０６および４０
７　へ供給されるようになっている。モード決定回路４
０１は、３つの動作モード、即ちモード１〜３のうち、
該当機能モジュールの動作モードを決定するものである
。ここで、モード１は、処理ユニットの動作結果を第１
バス１０６　へ出力し、モード２は処理ユニットの動作
結果を第２バス１０７　へ出力し、モード３は、処理ユ
ニット動作結果を第１バス１０６、第２バス１０７　へ
出力しないものとなっている。モード決定回路４０１　
の出力線であるモード１信号線は、オア素子４１０　、
アンド素子４１６　の各一方の入力端に接続され、同じ
く出力線であるモード２信号線はオア素子４１０　の他
方の入力端、アンド素子４１７　の一方の入力端に接続
され、また同じく出力線であるモード３信号線は、アン
ド素子４１４の入力端の一つに接続されている。

【００２５】多数決回路４０２　は、バスレシーバ４０
４　、４０５を介して第１バス１０６　、第２バス１０
７　に接続されている。この多数決回路４０２　は、自
モジュールの動作結果（自処理ユニットの動作結果）と
第１バス１０６　および第２バス１０７　からのバスレ
シーバ４０４　および４０５　を介して供給される入力
情報（動作結果）を比較し、不一致か否かを判定し、不
一致のとき異常であると判定するものである。また、多
数決回路４０２　は、自モジュールの動作結果（自処理
ユニットの動作結果）と第１バス１０６　および第２バ
ス１０７　から入力される情報（動作結果）とを比較し
、多数決により自モジュールが異常であるか否か（但し
、自モジュールの動作結果が多数を占めれば、正常と判
定する）を判定するものである。多数決回路４０２　は
、図１の多数決回路１０３　に相当するものである。

【００２６】多数決回路４０２　の出力線である不一致
信号線はアンド素子４１１　、４１８　の各一方の入力
端、アンド素子４１４　の入力端の一つおよびオア素子
４１３の一方の入力端に接続されている。多数決回路４
０２　の自モジュール異常信号線は、アンド素子４１４
　の入力端の一つに接続されている。制御回路４０３　
は、処理ユニット４００　、モード決定回路４０１　お
よび多数決回路４０２　の各出力が供給され、かつ第１
バス１０６　および第２バス１０７　への出力および処
理ユニット４００　の動作を制御するものである。バス
ドライバ４０６　は、入力端が処理ユニット動作結果出
力線４０８　を介して処理ユニット４００　に接続され
、制御入力端がオア素子４２０　を出力端に接続され、
かつ出力端が第１バス１０６　に接続されている。また
、バスドライバ４０７　は、入力端が処理ユニット動作
結果出力線４０８　を介して処理ユニット４００　に接
続され、制御入力端がオア素子４２１　の出力端に接続
され、かつ出力端が第２バス１０７　に接続されている
。

【００２７】オア素子４１０　の出力端は、アンド素子
４１１　の他方の入力端に接続されている。アンド素子
４１１　の出力端は、Ｄ型フリップフロップ素子４１２
　の入力端子Ｄに接続されている。Ｄ型フリップフロッ
プ素子４１２　は、クロック同期を目的とし、出力端が
アンド素子　４１６〜４１８　の各他方の入力端に接続
されている。オア素子４１３　の他方の入力端は、保持
型フリップフロップ素子４１９　の出力端Ｑに接続され
、かつオア素子４１３　の出力端は、処理ユニット動作
停止指示線４０９　を介して処理ユニット４００　に接
続されている。アンド素子４１４　の出力端は、Ｄ型フ
リップフロップ素子４１５　の入力端子Ｄに接続されて
いる。 Ｄ型フリップフロップ素子４１５　は、クロック同期を
目的とし、その出力端は、オア素子４２０　および４２
１　の各一方の入力端に接続されている。オア素子４２
０　の他方の入力端は、アンド素子４１６　の出力端に
接続されている。オア素子４２１　の他方の入力端は、
アンド素子４１７　の出力端に接続されている。

【００２８】アンド素子４１８　の出力端は、保持型フ
リップフロップ素子４１９　のセット入力端子Ｓに接続
されている。保持型フリップフロップ素子４１９　は、
状態の保持を目的とするものである。なお、制御回路４
０３　は、オア素子４１０　、４１３　、４２０　、４
２１　とアンド素子４１１　、４１４　、４１６　〜４
１８　とＤ型フリップフロップ素子４１２　、４１５　
と、保持型フリップフロップ素子４１９　と、バスドラ
イバ４０６　、４０７　から構成されている。

【００２９】次に第２の機能モジュール１０１　の内部
構成について説明する。第２の機能モジュール１０１　
は、処理ユニット５００　と、モード決定回路５０１　
と、多数決回路５０２　と、制御回路５０３　などから
構成される。ここに、処理ユニット５００　は、処理ユ
ニット４００　と同じものであり、モード決定回路５０
１　は、モード決定回路４０１　と同じものである。ま
た、多数決回路５０２　は多数決回路４０２　と同じも
のであり、図１の多数決回路１０４　に相当するもので
ある。この多数決回路５０２　は、バスレシーバ５０４
　、５０５　を介して、第１バス１０６　、第２バス１
０７　に接続されており、かつ処理ユニット動作結果出
力線５０８　を介して処理ユニット５００　に接続され
ている。制御回路５０３　は、処理ユニット５００　、
モード決定回路５０１　および多数決回路５０２　の各
出力が供給され、かつ第１バス１０６　および第２バス
１０７　への出力や処理ユニット５００　の動作を制御
するものである。この制御回路５０３　は、制御回路４
０３　と同一の構成となっており、図示省略してあるが
制御回路４０３　と同様にオア素子４１０　、４１３　
、４２０　、４２１　と、アンド素子４１１　、４１４
　、　４１６〜４１８　と、Ｄ型フリップフロップ素子
４１２　、４１５　と、保持型フリップフロップ素子４
１９　と、バスドライバ４０６　、４０７　から構成さ
れている。

【００３０】以上より、第２の機能モジュール１０１　
は、第１の機能モジュール１００　の処理ユニット４０
０　、モード決定回路４０１　、多数決回路４０２　、
制御回路４０３　、バスレシーバ４０４　、４０５　、
処理ユニット動作結果出力線４０８　および、処理ユニ
ット動作停止指示線４０９　をそれぞれ処理ユニット５
００　、モード決定回路５０１　、多数決回路５０２　
、制御回路５０３　、バスレシーバ５０４　、５０５　
、処理ユニット動作結果出力線５０８　および処理ユニ
ット動作停止指示線５０９　で置き換えたものに相当す
る。

【００３１】次に、第３の機能モジュール１０２　の内
部構成について説明する。第３の機能モジュール１０２
　は、処理ユニット６００　と、モード決定回路６０１
　と、多数決回路６０２　と、制御回路６０３　などか
ら構成される。ここに、処理ユニット６００　は、処理
ユニット４００　と同じものであり、モード決定回路６
０１　はモード決定回路４０１　と同じものである。ま
た、多数決回路６０２　は、多数決回路４０２　と同じ
ものであり、図１の多数決回路１０５　に相当するもの
である。この多数決回路６０２　は、バスレシーバ６０
４　、６０５　を介して、第１バス１０６　、第２バス
１０７　に接続されており、かつ処理ユニット動作結果
出力線６０８　を介して処理ユニット６００　に接続さ
れている。

【００３２】制御回路６０３　は、処理ユニット６００
　、モード決定回路６０１　および多数決回路６０２　
の各出力が供給され、かつ第１バス１０６　および第２
バス１０７　への出力や処理ユニット６００　の動作を
制御するものである。この制御回路６０３　は、制御回
路４０３　と同一の構成となっており、図示省略してあ
るが、制御回路４０３　と同様にオア素子４１０　、４
１３　、４２０　、４２１　と、アンド素子４１１　、
４１４　、　４１６〜４１８　と、Ｄ型フリップフロッ
プ素子４１２　、４１５　と、保持型フリップフロップ
素子４１９　と、バスドライバ４０６　、４０７　から
構成されている。

【００３３】以上より、第３の機能モジュール１０２　
は、第１の機能モジュール１００　の処理ユニット４０
０　、モード決定回路４０１、多数決回路４０２　、制
御回路４０３　、バスレシーバ４０４　、４０５　、処
理ユニット動作結果出力線４０８　および処理ユニット
動作停止指示線４０９　を、それぞれ処理ユニット６０
０　、モード決定回路６０１　、多数決回路６０２　、
制御回路６０３　、バスレシーバ６０４　、６０５　、
処理ユニット動作結果出力線６０８　および処理ユニッ
ト動作停止指示線６０９　で置き換えたものに相当する
。

【００３４】このように構成された計算機システムの動
作について説明する。第１の機能モジュール１００　に
おいて、モード決定回路４０１　は動作モードとしてモ
ード１に設定される。従って、第１の機能モジュール１
００　は、自モジュールの動作結果、即ち処理ユニット
４００　の動作結果を第１バス１０６　に出力するモー
ド１にて動作している。よって、正常時は、モード決定
回路４０１　の出力線のうち、モード１信号線のみが論
理１である（モード２信号線、モード３信号線は、共に
論理０である）ので、オア素子４１０　の出力は論理１
となる。多数決回路４０２　の不一致信号線は論理０で
あるから、アンド素子４１１　の出力は論理０となり、
Ｄ型フリップフロップ素子４１２　の出力Ｑは論理０と
なる。アンド素子４１６　および４１７　の各出力は、
モード１信号線が論理１であり、モード２信号線が論理
０であるから、論理１および０である。また、アンド素
子４１４　の出力は、モード３信号線が論理０であるか
ら、論理０となり、更にＤ型フリップフロップ４１５　
の出力も論理０である。オア素子４２０　および４２１
　の各出力は、それぞれ論理１および０である。このた
め、第１の機能モジュール１００　の動作結果、即ち処
理ユニット４００　の動作結果は、バスドライバ４０６
　を介して第１バス１０６　へ出力されるが、バスドラ
イバ４０７　を介して第２バス１０７　へは出力されな
い。

【００３５】また、第２の機能モジュール１０１　にお
いては、モード決定回路５０１　は、動作モードとして
モード２に設定される。従って、第２の機能モジュール
１０１　は、自モジュールの動作結果、即ち、処理ユニ
ット５００　の動作結果を第２バス１０７　へ出力する
モード２にて動作している。よって、正常時は、モード
決定回路５０１　の出力線のうち、モード２信号線のみ
が論理１である（モード１信号線、モード３信号線は共
に論理０である）ので、制御回路５０３　において、オ
ア素子４１０　の出力は論理１である。また、多数決回
路５０２　の不一致信号線は論理０であるから、アンド
素子４１１　の出力は論理０であり、このため、Ｄ型フ
リップフロップ素子４１２　の出力Ｑは論理０である。 従って、アンド素子４１６および４１７　の各出力は、
それぞれ論理０および１である。また、モード決定回路
５０１　の出力線であるモード３信号線は論理０である
から、アンド素子４１４　の出力は論理０であり、Ｄ型
フリップフロップ素子４１５　の出力Ｑは論理０である
。オア素子４２０　および４２１　の各出力は、モード
１信号線が論理０であり、モード２信号線が論理１であ
るから、それぞれ論理０および１である。このため、第
２の機能モジュール１０１　の動作結果、即ち処理ユニ
ット５００　の動作結果は、バスドライバ４０７　を介
して第２バス１０７　へ出力されるが、バスドライバ４
０６　を介して第１バス１０６　へは出力されない。

【００３６】また、第３の機能モジュール１０２　にお
いては、モード決定回路６０１　は、動作モードとして
モード３に設定される。従って、第３の機能モジュール
１０２　は、自モジュールの動作結果、即ち処理ユニッ
ト６００　の動作結果を第１バス１０６　および第２バ
ス１０７　へ出力しないモード３にて動作している。よ
って、正常時は、モード決定回路６０１　の出力線のう
ち、モード３信号線のみが論理１である（モード１信号
線、モード２信号線は共に論理０である。）ので、制御
回路６０３　において、アンド素子４１６　、４１７　
の各出力は論理０である。また、多数決回路６０２　の
不一信号線は論理０であるから、制御回路６０３　のア
ンド素子４１４　の出力は論理０であり、従ってＤ型フ
リップフロップ素子４１５　の出力は論理０である。こ
のため、オア素子４２０　、４２１　の各出力は、共に
論理０である。従って、第３の機能モジュール１０２の
動作結果、即ち処理ユニット６００　の動作結果は、処
理ユニット動作結果出力線６０８　を介してバスドライ
バ４０６　、４０７　に供給されるが、バスドライバ４
０６　、４０７　により阻止され第１バス１０６　、第
２バス１０７　へ出力されない。

【００３７】以上のように、計算機システムの運転中に
、第１の機能モジュール１００　にて故障が発生した場
合の動作について、図６を用いて説明する。なお、図６
は、図５において、第１の機能モジュール１００　に故
障が発生した場合の動作タイムチャートである。ここで
は、計算機システムは、バスサイクルに同期して動作し
ているものとする。

【００３８】バスサイクルＴにて、第１の機能モジュー
ル１００　に故障が発生したとする。これにより、第１
の機能モジュール１００　の誤った動作結果（誤ったデ
ータ）が処理ユニット４００　より処理ユニット動作結
果出力線４０８　、バスドライバ４０６　を介して第１
バス１０６　へ出力される（図６の（ａ）、（ｂ））。 しかし、バスサイクルＴにて、第２バス１０７　には、
前述したように第２の機能モジュール１０１　の正しい
動作結果（正常データ）が出力される（図６の（ａ）（
ｃ））。

【００３９】次に、第１の機能モジュール１００　にお
いて、多数決回路４０２　は、自モジュールの動作結果
（処理ユニット４００　の誤った動作結果）と第２バス
１０７　からの情報（正しい動作結果）が異なるため、
不一致信号線を論理１とする。従って、制御回路４０３
　において、アンド素子４１１　の出力は論理１となり
、Ｄ型フリップフロップ素子４１２　はセットされる。 また、多数決回路４０２　の不一致信号線は論理１とな
るから、アンド素子４１３　の出力線である処理ユニッ
ト動作停止指示線４０９　は、論理１となり（図６の（
ｄ））、処理ユニット４００　は、動作結果を保持した
まま停止する。また、Ｄ型フリップフロップ素子４１２
　がセットされ、その出力Ｑが論理１となると、アンド
素子４１６　の出力は論理０となり、オア素子４２０　
の出力も論理０となり、バスドライバ４０６　は無効と
なり、処理ユニット４００　の動作結果は、第１バス１
０６　へ出力されなくなる。

【００４０】また、第２の機能モジュール１０１　にお
いて、多数決回路５０２　は、自モジュールの動作結果
と第１バス１０６　からの情報（誤った動作結果）が異
なるため、不一致信号線が論理１となり、制御回路５０
３のアンド素子４１１　の出力は論理１となり、Ｄ型フ
リップフロップ素子４１２　がセットされる。また、多
数決回路５０２　の不一致信号線が論理１となるから、
制御回路５０３　のオア素子４１３　の出力線である処
理ユニット動作停止指示線５０９　が論理１となり、処
理ユニット５００　は動作結果を保持したまま停止する
（図６の（ｅ））。また、Ｄ型フリップフロップ素子４
１２　がセットされ、その出力Ｑが論理１になると、ア
ンド素子４１７　の出力は論理０となり、オア素子４２
０　の出力も論理０となり、バスドライバ４０７　は無
効となり、処理ユニット５００　の動作結果は第２バス
１０７　へ出力されなくなる。

【００４１】また、第３の機能モジュール１０２　にお
いて、多数決回路６０２　は、自モジュールの動作結果
と第１バス１０６　および第２バス１０７　からの情報
を比較し、不一致のため不一致信号線を論理１とし、か
つ多数決により自モジュールが正常である（自モジュー
ルの動作結果と第２バス１０７　からの情報が一致する
。）ため、自モジュール異常信号線を論理０とする。こ
れにより、制御回路６０３　のアンド素子４１４　の出
力は論理１となり、Ｄ型フリップフロップ素子４１５　
はセットされる。また、多数決回路６０２　の不一致信
号線が論理１となるから、制御回路６０３のオア素子４
１３　の出力線である処理ユニット動作停止指示線６０
９が論理１となり、処理ユニット６００　は、動作結果
を保持したまま停止する（図６の（ｆ））。

【００４２】次に、図６の（ａ）に示すバスサイクルＴ
＋１においては、第３の機能モジュール１０２　、第１
の機能モジュール１００　および第２の機能モジュール
１０１　は、次のように動作する。まず、第３の機能モ
ジュール１０２　では、制御回路６０３　において、Ｄ
型フリップフロップ素子４１５　の出力は論理１であり
、この論理１がオア素子４２０　、４２１　を介してバ
スドライバ４０６　、４０７　の制御入力端に供給され
る。従って、バスドライバ４０６　、４０７　が有効と
なり、処理ユニット６００　の正しい動作結果が処理ユ
ニット動作結果出力線６０８　、バスドライバ４０６　
、４０７　を介して第１バス１０６、第２バス１０７　
へ出力される（図６の（ｂ）、（ｃ））。

【００４３】また、第１の機能モジュール１００　では
、多数決回路４０２　は、自モジュールの動作結果（誤
った動作結果）と第１バス１０６　および第２バス１０
７　からの正しい動作結果を比較し、再び不一致信号線
を論理１とする。 これにより制御回路４０３　において、アンド素子４１
１　の出力は論理１となり、Ｄ型フリップフロップ素子
４１２　の出力Ｑは論理１である。このため制御回路４
０３　において、アンド素子４１８の出力は論理１とな
り、保持型フリップフロップ素子４１９　がセットされ
、その出力Ｑは論理１を維持する。従って、制御回路４
０３　のオア素子４１３　の出力線である処理ユニット
動作停止指示線４０９　が論理１状態を維持し、第１の
機能モジュール１００　は、運転を停止する（図６の（
ｄ））。

【００４４】また、第２の機能モジュール１０１　では
、多数決回路５０２　は、自モジュールの動作結果（正
しい動作結果）と第１バス１０６　および第２バス１０
７　からの正しい動作結果とを比較し、それらが一致す
るので、不一致信号線を論理０とする。これにより、制
御回路５０３　において、アンド素子４１１　の出力が
論理０となり、Ｄ型フリップフロップ素子４１２　がリ
セットされる。そして、Ｄ型フリップフロップ素子４１
２　の出力が論理０となると、アンド素子４１８　の出
力は論理０となり、保持型フリップフロップ素子４１９
　がリセットされ、その出力は論理０となる。従って、
オア素子４１３　の出力線である処理ユニット動作停止
指示線５０９　は論理０となり、第２の機能モジュール
１０１　の処理ユニット５００　は次のバスサイクルよ
り運転を維持する。

【００４５】第３の機能モジュール１０２　では、多数
決回路６０２　は、自モジュールの動作結果と第１バス
１０６　および第２バス１０７　からの情報（正しい動
作結果）を比較し、一致するので、不一致信号線を論理
０とする。これにより、制御回路６０３　のオア素子４
１３　の入力は全て論理０であるから、オア素子４１３
　の出力線である処理ユニット動作停止指示線６０９　
は論理０となり（図６の（ｆ））、処理ユニット６００
　は動作を再開する。つまり、第３の機能モジュール１
０２　は、運転を継続し、モード３にて動作する。以上
より、第１の機能モジュール１００　は運転を停止する
が、他の２台の機能モジュール、即ち第２の機能モジュ
ール１０１　、第３の機能モジュール１０２　は運転を
継続する。以上、第１の機能モジュール１００　に、故
障が発生した場合の動作について説明したが、第２の機
能モジュール１０１　に故障が発生した場合の動作も、
同様である。

【００４６】次に、第１〜第３の機能モジュール１００
　〜１０２　が正常運転されている場合に、第３の機能
モジュール１０２　が故障したときの動作について説明
する。この場合、第３の機能モジュール１０２　では、
多数決回路６０２　は、自モジュールの動作結果（誤っ
た動作結果）と第１バス１０６　および第２バス１０７
　からの正しい動作結果とを比較し、不一致であるので
、不一致信号線を論理０とする。これにより、制御回路
６０３　のオア素子４１３　の出力線である処理ユニッ
ト動作停止指示線６０９　が論理１となり、処理ユニッ
ト６００　は、動作結果を保持したまま動作を停止する
。また、多数決回路６０２　は、自モジュールの動作結
果と第１バス１０６　および第２バス１０７　からの情
報を比較し、多数決により自モジュールが異常であると
判定し、自モジュール異常信号線を論理１とする。しか
し、制御回路６０３　のアンド素子４１４　の出力は、
論理０の状態のままなので、オア素子４２０　、４２１
　の出力も論理０の状態のままである。従って、バスド
ライバ４０６　、４０７　は有効とならず、処理ユニッ
ト６００　の誤った動作結果は第１バス１０６　、第２
バス１０７　へ出力されない。

【００４７】このように、第３の機能モジュール１０２
　が故障したとき、第３の機能モジュール１０２　は、
多数決回路６０２　にて、多数決により自分で自モジュ
ールの故障を判断することができ、しかも制御回路６０
３にて処理ユニット６００　の動作を停止させる。従っ
て、第３の機能モジュール１０２　の運転は、停止する
が、他の２台の機能モジュール、即ち、第１および第２
の機能モジュール１００　および１０１　は、第３の機
能モジュール１０２　の故障に全く影響されずに運転を
続行する。

【００４８】以上の説明から判るように、第１の機能モ
ジュール１００　は、第２および第３の機能モジュール
１０１　および１０２　で３重化構成され、これら第１
〜第３の機能モジュール１００　〜１０２　は、２重化
された第１バス１０６　、第２バス１０７　により相互
接続されている。そして、第１〜第３の機能モジュール
１００　〜１０２　のうち、どの機能モジュールに故障
が発生しても、残りの正常な機能モジュール２台で連続
運転をすることができる。また、本発明では、第１バス
１０６　、第２バス１０７　の２本のバスにて３重化シ
ステムの多数決論理を可能としたため、少ないハードウ
ェアにて３重化システムを実現できる。これにより、信
頼性と価格において、優れた計算機システム　　の実現
が可能となった。本発明は本実施例に限定されることな
く、本発明の要旨を逸脱しない範囲で、種々の応用およ
び変形が考えられる。

【００４９】

【発明の効果】上述したように本発明によれば、２本の
バスを使用して、即ち従来方式に比べ少ないハードウェ
アにて多数決論理の３重化システムを実現でき、信頼性
と価格において優れた計算機システムの実現が可能とな
った。

【図面の簡単な説明】

【図１】本発明による計算機システムの一実施例を示す
構成図である。

【図２】従来の３重化システムの一例を示す構成図であ
る。

【図３】従来の２重化システムの一例を示す構成図であ
る。

【図４】図１の動作フローチャートである。

【図５】図１の一具体例を示す詳細構成図である。

【図６】図５の一実施例を示す動作タイムチャートであ
る。

【符号の説明】

１００　　　第１の機能モジュール １０１　　　第２の機能モジュール １０２　　　第３の機能モジュール １０３　〜１０５　　　多数決回路 １０６　　　第１バス １０７　　　第２バス

Claims (1)

【特許請求の範囲】
1. 【請求項１】　　機能モジュールを冗長構成とし、一つ
   の機能モジュールに故障が発生しても残りの正常な機能
   モジュールにて連続運転することができるようにした計
   算機システムにおいて、第１バスおよび第２バスに接続
   されており、自機能モジュールの動作結果を前記第１バ
   スへ出力し、自機能モジュールの動作結果と前記第２バ
   スからの入力情報とを比較し、不一致を検出すると自機
   能モジュールの動作結果を保持した状態で前記第１バス
   への出力を停止する第１の機能モジュールと、前記１バ
   スおよび前記第２バスに接続されており、自機能モジュ
   ールの動作結果を前記第２バスへ出力し、自機能モジュ
   ールの動作結果と前記第１バスからの入力情報とを比較
   し、不一致を検出すると自機能モジュールの動作結果を
   保持した状態で前記第２バスへの出力を停止する第２の
   機能モジュールと、前記第１バスおよび前記第２バスに
   接続させており、自機能モジュールの動作結果を前記第
   １バスおよび前記第２バスへ出力せず、自機能モジュー
   ルの動作結果と前記第１バスおよび前記第２バスからの
   入力情報とを比較し、不一致を検出すると、多数決によ
   り自機能モジュールが故障でないとき、前記第１バスお
   よび前記第２バスに自機能モジュールの動作結果を出力
   する第３の機能モジュールとを備え、前記第１バスおよ
   び第２の機能モジュールは、前記不一致のとき、前記第
   １バスおよび前記第２バスからの前記第３の機能モジュ
   ールの出力情報と保持した自機能モジュールの動作結果
   とを比較し、一致していれば動作を再開し、不一致のと
   きは動作を停止するようにしたことを特徴とする計算機
   システム。