JPH05314083A - 計算装置およびその方法 - Google Patents

計算装置およびその方法

Info

Publication number
JPH05314083A
JPH05314083A JP4266177A JP26617792A JPH05314083A JP H05314083 A JPH05314083 A JP H05314083A JP 4266177 A JP4266177 A JP 4266177A JP 26617792 A JP26617792 A JP 26617792A JP H05314083 A JPH05314083 A JP H05314083A
Authority
JP
Japan
Prior art keywords
processor
simulator
output
computing device
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP4266177A
Other languages
English (en)
Inventor
Roger S Fitzpatrick
シーン フィッツパトリック ロジャー
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Smiths Group PLC
Original Assignee
Smiths Group PLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Smiths Group PLC filed Critical Smiths Group PLC
Publication of JPH05314083A publication Critical patent/JPH05314083A/ja
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1641—Error detection by comparing the output of redundant processing systems where the comparison is not performed by the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/165—Error detection by comparing the output of redundant processing systems with continued operation after detection of the error
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/183—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components
    • G06F11/184—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components where the redundant components implement processing functionality
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2023—Failover techniques

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Hardware Redundancy (AREA)
  • Debugging And Monitoring (AREA)
  • Test And Diagnosis Of Digital Computers (AREA)

Abstract

(57)【要約】 【目的】 多通路計算処理構造で通路間の不一致の検出
に基づいて少なくとも１本の通路の動作をシミュレーシ
ョンして、計算処理の二重性を維持する。 【構成】 二重通路の計算装置は、プロセッサ（２，
３，Ｉ，Ｉ′，IIａ，IIｂ， IIa′， IIb′，III ，II
Ib）および、それに結合されて当該プロセッサに供給さ
れる入力データおよびその到達時刻を記憶する、記憶装
置（18，19，62，59，57，56）を具える。前記通路は、
通路間の不一致時点を検出する比較器（８，37）に供給
する名目的同一出力を発生する。不一致検出時、外部プ
ロセッサ（12，45）は前記通路の動作をシミュレーショ
ンするソフトウエアをロードされる。不一致の検出の直
前に前記記憶装置内のデータを供給されるシミュレータ
は、このデータを用いて１本の通路の動作をシミュレー
ションし、そのシミュレータの出力は、前記比較器で不
一致発生時に記録されたその通路の実際の出力と比較さ
れる。

Description

【発明の詳細な説明】
【０００１】
【産業上の利用分野】本発明は、少なくとも２本の通路
を含み、各通路は、名目的に同一の出力を夫々発生する
少なくとも１つのプロセッサと、それらの出力間の不一
致を検出する手段と故障を合図する手段とを有している
ような、計算装置に関するものである。
【０００２】
【従来の技術】計算装置においては、２本またはそれ以
上のハードウエア通路内で実行すべき計算機能を繰り返
すために、その計算装置の故障が望ましくないことが知
られており、したがって、前述した各通路は、１本の通
路が故障した場合に前記通路が動作し続けるようにし
て、前記計算装置の意図する機能を実行することとは無
関係にすることができる。不一致の検査、すなわち１本
の通路が故障したことを示す不一致の検出の際に、上述
のような多重通路装置の出力を比較することが、同様に
知られている。
【０００３】２本の通路のみが設置されている場合、そ
れらのどちらが故障しているかは不確定になり、その装
置はもはや使用できなくなることがある。２本以上の通
路が設置されている場合、多数決の過程のために、どの
通路が不一致であるかを確認する必要があることが知ら
れており、その不一致の通路は直ちに分離されるととも
に出力が一致したままになっている通路のみを使用して
前記装置は動作を継続する。
【０００４】
【発明が解決しようとする課題】前述のような計算構造
の特徴は、それら計算構造がそれらの機能が厳密に必要
とするよりも少なくとも１本多い動作通路を組み入れて
いることと、故障の発見の後に継続した動作が必要な場
合には少なくとも２本多い通路を必要とすることと、前
述のような故障の発見および故障した通路の分離に基づ
いて前記装置の余剰分が１通路ずつ減少することであ
る。
【０００５】本発明の目的は、改良した計算装置および
方法を提供することである。
【０００６】
【課題を解決するための手段】本発明においては、上述
のような計算装置が提供され、その計算装置において
は、各プロセッサは夫々のプロセッサに供給されるデー
タを記憶する、結合される記憶装置を有し、前記計算装
置は前記通路間の不一致の検出に基づいて少なくとも前
記通路の１本の一部の動作をシミュレーションするシミ
ュレータを含み、前記シミュレータは、不一致の検出の
直前にその通路に結合されるプロセッサに供給された前
記通路の１本の記憶装置の記憶内容を供給され、前記シ
ミュレータは前記記憶装置からのデータを用いて前記１
本の通路の動作をシミュレーションすることを特徴とす
る。
【０００７】
【作用】前記記憶装置は、その記憶装置に供給されるデ
ータの到達時刻を記憶することができる。前記計算装置
は、前記通路の動作をシミュレーションするソフトウエ
アの記憶装置を含むことができ、そのソフトウエアの記
憶装置は、前記シミュレータから分離するとともに、前
記２本の通路間の不一致の検出のみに基づいて前記シミ
ュレータから導入された、そのソフトウエアの記憶装置
の記憶内容から分離することができる。前記計算装置
は、前記シミュレータの出力を前記通路の出力で比較す
るとともに前記シミュレータと不一致の通路を分離す
る、比較器を含むのが好ましい。前記シミュレータの出
力は前記計算装置の代替出力を提供することができる。
各通路は、少なくとも２つのプロセッサを含むことがで
き、各プロセッサは、それらプロセッサに対するデータ
入力を記録する、結合される記憶装置を有しており、前
記シミュレータは、第１のプロセッサの動作をシミュレ
ーションするとともに、第１のプロセッサの故障の検出
に基づき第１のプロセッサからの出力の代わりに、第２
のプロセッサに対し出力を供給するようになっている。
【０００８】前記シミュレータは、前記第２のプロセッ
サの動作をシミュレーションするとともに、前記第２の
プロセッサの２つのシミュレータを実行することがで
き、それらシミュレータの一方は前記第１のプロセッサ
からの出力を利用し、他方は前記第１のプロセッサのシ
ミュレーションによって発生される出力を利用する。前
記プロセッサに結合される記憶装置は、前記計算装置に
対する中断に引き続いて再開が必要な場合、それら結合
されるプロセッサに入力データを再び導入することがで
きる。
【０００９】
【実施例】まず、図１を参照すると、図１には装置境界
１およびそれに含まれるプロセッサ２，３によって描か
れた、簡略化した二重通路の計算装置が示されており、
各プロセッサは、ライン４および５を介してその装置の
外部の信号源（図示せず）からの同一の入力を受ける。
プロセッサ２および３は、前記入力データに基づいて、
ライン６および７を介して名目上同一の出力を発生する
ために、同一の数学上の過程を実行する。それら出力
は、比較器８で比較され、同一であることが判明した場
合、ライン６または７を介して受けた信号の双方はライ
ン９を介してその装置からの出力として供給される。
【００１０】比較器８がライン６および７の出力間に不
一致を見いだした場合、その故障状態はライン10を介し
て装置排他的論理和のモニタ11に合図され、そのモニタ
11はこの計算装置の構成要素の１つまたは外部の構成要
素とすることができる。モニタ11は同様に、２つのメモ
リまたは記憶装置18，19からライン16および17を介して
前記データを受けるための指令をプロセッサ12に発し、
前記データは、前記不一致が生じた瞬間、すなわち前記
不一致の検出の直前に、プロセッサ２および３に導入さ
れる。このこと関しては、記憶装置18および19は、結合
されるプロセッサ２および３によって前記データが夫々
受けられた時刻に関する情報を含んでいる。プロセッサ
12は、何をその訂正出力とすべきであったかを識別する
ために、前記計算装置のシミュレーションを実行させる
ようにする。
【００１１】前記シミュレーションのプロセッサ12によ
って計算された前記訂正出力は、ライン２０を介してモ
ニタ11に伝達され、そのモニタは、そこから装置のライ
ン６および７の出力を比較することにより、前記計算装
置の通路４，５のどちらが故障したかを識別することが
できる。前記モニタは、他の通路を用いる計算を継続す
ることを許容するとともに、ライン21を介して前記故障
通路を無視するための指令を比較器８に発する。
【００１２】いま、図２(a) を参照すると、そこには前
述したような簡略論理計算装置の正確に機能している単
一通路のより詳しい構成が示されており、その中におい
ては、データ値は左から右に流れる。前記装置に対する
外部信号源からのデータ値入力端である位置Ａ、および
Ｂにおいては、プロセッサ２または３の一方に対し前記
２つのデータ値入力を記録する記憶装置が設けられてい
る。Ｃには、プロセッサ２または３に実際に入力される
値が示されている。Ｄには、プロセッサ２，３が実行す
るそれ自体の論理機能が示されており、その論理機能は
前記２つの入力を加算してＥに合成出力を発生するもの
である。
【００１３】Ｆは、次段のプロセッサに対する入力を記
録する記憶装置であり、その入力は前記Ｅの出力を含ん
でいる。Ｇは、次段のプロセッサに対し入力される実際
の値である。Ｈには、次段のプロセッサの機能が示され
ており、その機能は、前記２つの入力を再び加算してＩ
に示す合成出力を発生するものである。Ｊには、次段の
プロセッサの入力が記録されており、その入力はＩの出
力を含んでいる。Ｋには、次段のプロセッサの実際の入
力が示されている。Ｌには、再び加算してＭに合成出力
を発生する、次段の機能が示されている。Ｎは、前記出
力の記録であり、Ｏは前記装置の最終的な出力である。
【００１４】図２(b) は、入力値の加算５＋１が値７と
いう誤り出力となる、プロセッサＨにおける故障を表わ
した同一の装置を示す。図２(c) は、再び同一の装置を
示し、この場合全てのプロセッサは正確に機能している
が、記憶装置ＦがプロセッサＤからの出力値５を値６と
して誤って記録している。
【００１５】図３(a) は、本発明に基づく、図２(a) に
対応する訂正機能をなす装置のソフトウエアのシミュレ
ーションを線図的に示しており、その中では、Ｐで示す
プログラムのステップに、前記の実際の装置から記録さ
れた記憶装置Ｂからの値２および３が式Ｄに入力されて
いる。この式は、前記入力を加算して出力値５を発生し
てその出力を比較器Ｘにおいて実際の装置の記憶装置Ｆ
からの記録された出力値５と比較する、実際の装置内の
プロセッサＤの機能を模倣するものである。この比較は
訂正すべきことを発見するものであり、前記シミュレー
ションは、記憶装置Ｆから値を取り出し、前記Ｈの機能
を模倣し、比較器Ｘを用いて前記出力をＪに記憶された
値と比較し、一致を発見することを継続する。このシミ
ュレーションは、Ｌの機能を模倣し、それ自体の出力を
Ｎに記録された値と比較し、実際の装置を正確に機能す
るように完結させるために、Ｊに記録された値を使用す
る。
【００１６】図３(b) は、上記実際の装置の、図２(b)
の状態と対応するソフトウエアのシミュレーションを示
し、その中では、プログラムのステップＰにおいて、前
記シミュレーション過程がプロセッサ手段Ｄを正確に機
能するように論証している。しかしながら、記憶装置Ｊ
からの同一機能に対する実際の装置の記録された出力は
７であることが判明したにも拘らず、Ｈの機能の模倣に
基づいて、前記シミュレーションは加算５＋１によって
値６を発生する。このとき、前記シミュレーションのプ
ロセッサは、Ｌの機能を模倣するために、Ｊから記録さ
れた出力（値７および１）を用いて、加算値８を発生し
てその加算値を比較器Ｘにおいて記憶装置手段Ｎ内にＬ
の出力として記録された値８と正確に比較することによ
り前記計算処理の連鎖を完全にする。
【００１７】次に、前記シミュレータは、ＰＰで示した
それ自体の代替のプログラムを実行し、そのプログラム
は、Ｈの機能に対してＬによる前記値の出力が６＋１＝
７になるべきであることを推定するために、それ自体の
計算した出力値６を利用する。これにより、実際の装置
のプロセッサＨが正確に機能していない場合、実際の装
置の単一計算処理要素の検査に基づいてプログラムＰお
よびＰＰの双方で不一致が生じているため、Ｎに記録さ
れた記憶値とのミスマッチが生じる。
【００１８】図３(c) は、図２(c) に対応する代替のソ
フトウエアのシミュレーションを示し、その中では、記
憶値Ｂは、プロセッサＤの機能を模倣するため実際の装
置から取り出されてステップＤを通過する。これによ
り、比較器Ｘが記憶装置Ｆに記録された実際の装置の出
力値６と相違していることを発見する、２＋３＝５の計
算結果の値を発生する。前記シミュレータは、機能Ｈを
模倣して６＋１＝７の計算結果の値を発生するために、
実際の値Ｆを用いて前記計算処理の連鎖の次のステップ
を完全にし、その計算結果の値は、再び記憶装置Ｊに記
録された実際の装置の出力値６とは異なるものになる。
【００１９】次に、前記シミュレータは、機能Ｄに対す
るそれ自体の計算した出力値５を用いてそれ自体の代替
のプログラムＰＰを実行する。これにより、Ｊと一致す
る５＋１＝６の計算結果の値が発生し、双方の不一致が
同一プログラムＰ中に生じているため、記憶装置Ｆが故
障して誤った値を記録していると推論される。次に、前
記シミュレータは、ステップＬを経て、検査された実際
の装置の正確な機能を確認する計算結果を発生する、そ
れ自体のシミュレーションを継続する。
【００２０】図４は、装置境界22によって表わされた２
通路の計算装置内の、本発明の装置を示す。この装置の
各通路は、外部信号源23，24，25，26，27から前記第１
の通路に向かうライン28，29，30，31，32および、前記
第２の（基本）通路に向かうライン28′，29′，30′，
31′，32′を介してデータをこの装置に導入するように
して、プロセッサI ，II，III によって示される計算の
３位置に利用される。前記データは、プロセッサI ，II
a ，I ′およびIIa ′によって、またプロセッサIIｂお
よびIIa ′によってライン33および33′を介してプロセ
ッサI およびI ′の出力と結合して、変更されずに利用
される。前記プロセッサIIａおよびIIｂの出力は、ライ
ン34および35を介してプロセッサIII によって利用され
る。この装置が正確に動作している場合に同一になるべ
きである、この装置の最終出力をライン36および36′を
介して発生するために、前記プロセッサIIa ′およびII
b ′の出力は、ライン34′および35′を介してプロセッ
サIII ′によって利用される。前記プロセッサによって
実行される計算は、図示していない。
【００２１】前記２本の通路からの最終出力36および3
6′は、比較器37によって比較される。比較器37は、不
一致の検出に基づき、本発明に基づく故障発見計算処理
を開始する警戒警報を、ライン38を介して装置排他的論
理和のモニタ39に通過させる。図示した２つの同一の通
路の上部のみを引用した場合、各機能は下部（基本）通
路に対称になるように表わされている。
【００２２】前記装置を通過するデータのビットは、シ
ステムクロック（図示せず）によって、１つのプロセッ
サから次段のプロセッサに向かって放送波のように装置
のクロックサイクル毎に１回移動する。不一致が検出さ
れたことの警戒警報を受けた場合、モニタ39は、その装
置が故障調査中であることをライン41を介して外部に発
表する警告フラグ40をセットするとともに、前記装置の
シミュレーション検査を実施するためにライン43を介し
て故障検査モニタ42に指令を発する。故障検査モニタ
（マネージャ）42は、この装置の計算処理要素に（図示
しないラインを介して）停止指令を発し、その停止指令
を受けることにより、その装置内のデータの流れが阻止
された瞬間をクロックサイクル０として記録する。
【００２３】クロックサイクル０から逆方向に計時した
場合、故障検査マネージャ42は、クロックサイクル１の
時点でそれ自体の停止指令を発し、モニタ39はクロック
サイクル２の時点でそれ自体の検査指令を発することが
明らかになった。比較器38はクロックサイクル３の時点
でそれ自体の警戒警報を発し、偶然の不一致は、プロセ
ッサ手段III 内で発生した場合、クロックサイクル４の
時点で生じているだろう。不一致がプロセッサ手段IIａ
またはIIｂ内で発生した場合、その不一致はクロックサ
イクル５の時点で生じているだろうが、それに対しその
不一致がプロセッサ手段I 内である場合、その不一致は
クロックサイクル６の時点で生じているだろう。
【００２４】故障検査マネージャ42は、それ自体の現在
の計算処理タスク（データの流れ46で示す）を中断する
ため、ライン44を介して外部プロセッサ45に指令を発生
する。前記マネージャ42は、同様に、プロセッサ45にラ
イン49を介してソフトウエアを導入するため、ライン47
を介してソフトウエアライブラリ48に１つの指令を与
え、その指令により前記プロセッサは疑わしい計算装置
の機能をシミュレーションすることができる。プロセッ
サ45に対しデータを供給するため、メモリ検索装置51に
ライン50を介して同様に１つの指令が与えられ、そのデ
ータは疑わしい計算装置のプロセッサ要素の各々に前記
不一致が生じ得る瞬間、すなわちその不一致の検出の直
前に導入されているものである。
【００２５】メモリ検索装置51は、前記疑わしい装置自
体のシミュレーションの実施が必要なとき、メモリダン
プバス54を介してメモリデータローダ55およびそこから
プロセッサ45に必要なデータをダウンロードするため、
メモリ検索バス52を介してメモリストリッパ53に命令を
発する。メモリストリッパ53は、前記計算装置のプロセ
ッサの各々に対する入力ラインに結合されるメモリサイ
クルバッファより必要とされる、データビットを抽出す
る。
【００２６】プロセッサIII に関しては、サイクルバッ
ファ56はそれ自体に結合されるプロセッサに導入された
入力データを４クロックサイクルの間記憶し、メモリス
トリッパ53はクロックサイクル４の時点でライン34およ
び35を介して前記プロセッサに導入されたビットを抽出
する。プロセッサIIａに関しては、サイクルバッファ57
はライン28および32を介して到達した入力データを５ク
ロックサイクルの間記憶し、そのメモリストリッパ53は
クロックサイクル５の時点で到達したビットを抽出す
る。プロセッサIIａは、同様に、メモリ58に状態信号を
分離して出力するとともにメモリストリッパ53によって
同様に抽出される、ラッチング機能を具体化する。
【００２７】プロセッサIIｂに関しては、クロックサイ
クル５の時点で到達したビットが再びメモリストリッパ
53によって抽出されるように、サイクルバッファ59はラ
イン29および33を介して到達した入力データを記録す
る。プロセッサIIｂは同様にラッチング機能を具体化す
るが、前記状態を報告する分離出力を提供しない。した
がって、分離プロセッサ60は、ライン29および33を介し
て入力データを供給されて、プロセッサIIｂのラッチン
グ計算を繰り返すとともに、メモリ61にメモリストリッ
パ53によってアクセスされた上記状態のアナログ信号を
出力する。
【００２８】プロセッサ手段I に関しては、サイクルバ
ッファ62はライン30および31を介して到達した入力デー
タを記憶する。メモリストリッパ53はクロックサイクル
６の時点で到達したビットを抽出するが、サイクルバッ
ファ62は、前記不一致が生じる瞬間の簡略化したシミュ
レーションにとって必要とされるよりも大きな分析過程
または履歴の記録が必要な場合、より広範囲のデータ到
着の履歴を記録するため、静電容量で表わされる。この
ことは、再起動履歴が必要とされる場合または、この装
置が検査状態になっている間により遅いデータを受けた
場合に、現実になる。
【００２９】プロセッサ45は、提供されたデータを用い
て疑わしい計算装置の通路の双方のシミュレーションを
実行し、ライン63を介して故障検査マネージャ42にそれ
自体の分析を報告し、その分析は前記装置の状態およ
び、故障していることを発見された全ての構成要素の同
一性を、ライン64を介してモニタ39に交互に報告する。
【００３０】前記計算装置に適用し得る規則によれば、
故障が確認された場合、モニタ39は、故障記録装置65内
にその故障の詳細を記録するとともに、ライン67を介し
て外部にその故障を報告するため、装置故障フラグ66を
セットすることができる。モニタ39は、その代わりに、
その装置の明らかに機能している通路のみを利用しなが
ら動作を再開するためその装置に命令することができ、
あるいはモニタ39は、検出された故障構成要素の代わり
に外部のプロセッサ45を利用しながら動作を再開するた
めその装置に命令することができる。
【００３１】計算の再開を装置の規則が許容する場合、
モニタ39はライン68を介して構成フォーマット装置69に
指令を発する。フォーマット装置69は、ライン70を介し
て装置のデータの外部収納装置に適切な再起動警戒警報
を発するとともに、ライン71を介して前記装置の計算処
理要素に初期設定命令を発する。前記装置の計算処理要
素にライン74を介して再起動動作に必要なデータを停止
の開始瞬時として発するため、フォーマット装置69は、
同様に、ライン73を介して再起動タイムフレームメモリ
72に指令を発し、そのデータは継続的に供給され、その
装置の各クロックサイクルにおいてメモリダンプバス54
を介して前記再起動タイムフレームメモリによって記憶
される。
【００３２】装置を満足に再起動させるには、その装置
が検査状態で動作していない期間の間にその装置に導入
されていたデータの、完全化または時間標本化した履歴
を必要とすることができる。このデータは、構成フォー
マット装置69によってメモリ手段62として構成された入
力データメモリから抽出することができる。装置の規則
が故障した構成要素を含んでいる通路の切断を命ずる場
合、モニタ39は、確認された故障している構成要素を含
む通路を分離するため、ライン75を介して通路選択器76
に指令を発する。
【００３３】代替の予備の構成要素がこの装置の構成中
に組み込まれている場合、モニタ39は、確認された故障
している構成要素を置き換えるため、例えばその装置内
（部分的に点線で示す）の故障しているプロセッサIIｂ
およびIIb ′の何れか一方を置き換えるための指令がラ
イン77を介して代替プロセッサ78に発せられるようにし
て、それら構成要素の活性化を指令することができる。
【００３４】装置の規則がその装置の通路分離基準の緩
和を許容する場合、モニタ39はライン79を介して通路ス
イッチ80に指令を発することができる。この指令は、例
えば、この装置の第１の位置のプロセッサの１つが故障
していると確認された場合、それ自体の通路および、そ
の隣の通路（点線で示す）の第２の位置のプロセッサ手
段IIｂまたはIIb ′の双方に対して二重化されるように
するために、生き残っているプロセッサI またはI ′の
一方の出力を許容するようにして、発生することができ
る。上記手段により、双方の通路に対する第１の位置の
計算処理は、まだ正確に機能していることが判明したプ
ロセッサI またはI ′の何れか一方によって実行するこ
とができ、また双方の通路は正確に機能しているプロセ
ッサの出力を用いて動作を再開することができる。この
ような状況においては、プロセッサ45は、前記装置の初
期の２通路計算処理構造の二重性を維持するため、１つ
の生き残って正確に機能している第１位置のプロセッサ
に基づいて連続シミュレーション検査を実行し続けるこ
とができる。
【００３５】前記装置の動作を記録するため、前記装置
の各計算処理要素に導入されるデータの流れは、長期間
の保存のためにライン81を介してデータ記録器82へ連続
的に通過する。この発明によって検査される計算処理要
素は、いかなるサイズにすることもでき、そのサイズ
は、例えば、各々が大規模電子装置のライン交換可能モ
ジュールを構成することができたり、あるいはその代わ
りに各々が上述のライン交換モジュールの回路基板上の
単一電子構成要素を構成することができたり、あるいは
各々が上述の回路基板上の単一ソリッドステートデバイ
ス内に機能要素を構成することができる。
【００３６】計算処理メディアとして利用できるもの
は、電子、光子、アナログまたはデジタル、もしくはそ
れらのいずれかまたは前記計算作用の発生に適したその
他のメディアの組み合わせとすることができる。
【００３７】航空機の場合、本発明に基づいて保護され
た計算装置は、航空機の操縦室の計器表示装置に結合さ
れたコンピュータ等の飛行臨界装置とすることができ、
前記シミュレーションプロセッサ手段が検査を要求され
る限り、前記表示装置のコンピュータは、上述した検査
機能に専念する特別に設けられた計算処理デバイスとす
ることができるが、データ記憶装置、通信管理装置また
は客室娯楽装置等の飛行機の機内に別に存在している非
飛行臨界装置の計算処理要素とするのが好ましい。前述
した非飛行臨界計算処理デバイスは、通常、航空機の機
内に多数使用することができ、それにより、起こり得る
多数の故障が許容できるようになり、回復された多重通
路の余裕分を持続することにより、検査の実行および再
起動された装置が正確に機能するようになる。
【図面の簡単な説明】
【図１】本発明の構成要素を示す、簡略化した計算装置
の概要図である。
【図２】(a),(b),(c) は夫々、起こり得る故障形態を示
す、前記計算装置の１本の通路の概略図である。
【図３】(a),(b),(c) は夫々、図２の故障を分析するシ
ミュレーションプログラムの線図である。
【図４】本発明の詳細を示す、前記計算装置の概略図で
ある。
【符号の説明】
１ 装置境界 ２ プロセッサ ３ プロセッサ ８ 比較器 11 モニタ 12 プロセッサ 18 記憶装置 19 記憶装置

Claims (9)

    【特許請求の範囲】
  1. 【請求項１】 少なくとも２本の通路を含む計算装置で
    あって、各通路は、名目的に同一の出力を夫々発生する
    少なくとも１つのプロセッサと、それら出力間の不一致
    を検出する手段と、故障を合図する手段とを有してい
    る、計算装置において、 各プロセッサ（２，３，I ，I ′, IIａ，IIｂ，IIa
    ′，IIb ′，III およびIIIb）は結合される記憶装置
    （18，19，62，59，57，56）を有し、それら記憶装置は
    それ自体のプロセッサに夫々入力データを記憶し、前記
    計算装置は前記通路間の不一致の検出に基づき少なくと
    も１本の通路の一部の動作をシミュレーションするシミ
    ュレータ（12，42，45）を含み、前記シミュレータは、
    不一致の検出の直前にその通路に結合されるプロセッサ
    に供給された前記通路の１本の記憶装置の記憶内容を供
    給され、前記シミュレータは前記記憶装置からのデータ
    を用いて前記１本の通路の動作をシミュレーションする
    ことを特徴とする、計算装置。
  2. 【請求項２】 請求項１記載の計算装置において、前記
    記憶装置（18，19，62，59，57，56）は、その記憶装置
    に供給されたデータの到達時刻を記憶することを特徴と
    する、計算装置。
  3. 【請求項３】 請求項１または２記載の計算装置におい
    て、前記装置は前記通路の動作をシミュレーションする
    ソフトウエアの記憶装置（48）を含み、該ソフトウエア
    の記憶装置はシミュレータ（45）から分離され、前記ソ
    フトウエアの記憶装置の記憶内容は、前記２本の通路間
    の不一致の検出に基づいてのみシミュレータ（45）内に
    導入されることを特徴とする、計算装置。
  4. 【請求項４】 前記各請求項の何れか１項に記載の計算
    装置において、前記装置はシミュレータ（12，45）の出
    力を前記通路の出力と比較する比較器（８，37）を含
    み、前記シミュレータと不一致になっている通路を分離
    することを特徴とする、計算装置。
  5. 【請求項５】 前記各請求項の何れか１項に記載の計算
    装置において、前記シミュレータの出力は前記装置の代
    替出力を供給することを特徴とする、計算装置。
  6. 【請求項６】 前記各請求項の何れか１項に記載の計算
    装置において、各通路は少なくとも２つのプロセッサ
    （I ，I ′，IIａ，IIa ′，IIｂ，IIb ′，III および
    III ′）を含み、各プロセッサは結合される記憶装置
    （62，59，57，56）を有し、それら記憶装置は前記プロ
    セッサに対するデータ入力を記憶し、前記シミュレータ
    は、第１のプロセッサの動作をシミュレーションすると
    ともに、第１のプロセッサにおける故障の検出に基づき
    第１のプロセッサからの出力の代わりに第２のプロセッ
    サの出力を供給することを特徴とする、計算装置。
  7. 【請求項７】 請求項６記載の計算装置において、前記
    シミュレータは前記第２のプロセッサの動作をシミュレ
    ーションすることを特徴とする、計算装置。
  8. 【請求項８】 請求項７記載の計算装置において、前記
    シミュレータは前記第２のプロセッサの２つのシミュレ
    ーションを実行し、それらシミュレーションの一方は前
    記第１のプロセッサからの出力を使用し、それらシミュ
    レーションの他方は前記第１のプロセッサのシミュレー
    ションによって発生される出力を使用することを特徴と
    する、計算装置。
  9. 【請求項９】 前記各請求項の何れか１項に記載の計算
    装置において、前記プロセッサに結合される記憶装置
    は、前記装置に対する中断に引き続いてその装置を再起
    動すべき場合、それら記憶装置に結合されるプロセッサ
    に対し入力データを再び導入することを特徴とする、計
    算装置。
JP4266177A 1991-10-10 1992-10-05 計算装置およびその方法 Pending JPH05314083A (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
GB919121540A GB9121540D0 (en) 1991-10-10 1991-10-10 Computing systems and methods
GB9121540:0 1991-10-10

Publications (1)

Publication Number Publication Date
JPH05314083A true JPH05314083A (ja) 1993-11-26

Family

ID=10702723

Family Applications (1)

Application Number Title Priority Date Filing Date
JP4266177A Pending JPH05314083A (ja) 1991-10-10 1992-10-05 計算装置およびその方法

Country Status (5)

Country Link
US (1) US5581739A (ja)
JP (1) JPH05314083A (ja)
DE (1) DE4233837A1 (ja)
FR (1) FR2682504A1 (ja)
GB (2) GB9121540D0 (ja)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5859962A (en) * 1995-12-21 1999-01-12 Ncr Corporation Automated verification of digital design
DE19653429C2 (de) * 1996-12-20 1998-10-15 Siemens Ag Verfahren zur Überprüfung der Funktionsfähigkeit einer Recheneinheit
DE69822694T2 (de) 1997-04-25 2004-08-12 Matsushita Electric Industrial Co., Ltd., Kadoma Verfahren zum prüfgerechten Entwurf, Verfahren zur Prüfsequenzerzeugung und integrierte Halbleiterschaltung
GB2366012B (en) * 2000-08-14 2002-08-14 Sun Microsystems Inc A computer system
US8010846B1 (en) * 2008-04-30 2011-08-30 Honeywell International Inc. Scalable self-checking processing platform including processors executing both coupled and uncoupled applications within a frame
US8365024B2 (en) * 2010-02-26 2013-01-29 Honeywell International Inc. High integrity data bus fault detection using multiple signal components
US8054208B2 (en) 2010-03-30 2011-11-08 Honeywell International Inc. Re-configurable multipurpose analog interface
US8782299B2 (en) 2010-04-27 2014-07-15 Honeywell International Inc. Re-configurable multi-purpose digital interface
US8390324B2 (en) 2010-09-20 2013-03-05 Honeywell International Inc. Universal functionality module
FR3093829B1 (fr) * 2019-03-12 2021-02-26 Safran Aircraft Engines Localisation de panne dans un système d’acquisition redondant

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4306286A (en) * 1979-06-29 1981-12-15 International Business Machines Corporation Logic simulation machine
FR2461261A1 (fr) * 1979-07-11 1981-01-30 Cit Alcatel Dispositif de controle de bon fonctionnement d'un equipement electronique
US4370706A (en) * 1980-09-26 1983-01-25 The Bendix Corporation Controller for a dual servo system
US4423594A (en) * 1981-06-01 1984-01-03 United Technologies Corporation Adaptive self-correcting control system
DE3376592D1 (en) * 1982-07-13 1988-06-16 Nec Corp Logic simulator operable on level basis and on logic block basis on each level
US4751639A (en) * 1985-06-24 1988-06-14 Ncr Corporation Virtual command rollback in a fault tolerant data processing system
US4703481A (en) * 1985-08-16 1987-10-27 Hewlett-Packard Company Method and apparatus for fault recovery within a computing system
JPS6272248A (ja) * 1985-09-25 1987-04-02 Hitachi Ltd デ−タ伝送システムの現用予備切替方法
US4763289A (en) * 1985-12-31 1988-08-09 International Business Machines Corporation Method for the modeling and fault simulation of complementary metal oxide semiconductor circuits
US4967347A (en) * 1986-04-03 1990-10-30 Bh-F (Triplex) Inc. Multiple-redundant fault detection system and related method for its use
DE3642851A1 (de) * 1986-12-16 1988-06-30 Bbc Brown Boveri & Cie Fehlertolerantes rechensystem und verfahren zum erkennen, lokalisieren und eliminieren von fehlerhaften einheiten in einem solchen system

Also Published As

Publication number Publication date
GB2260430A (en) 1993-04-14
GB2260430B (en) 1995-04-12
DE4233837A1 (de) 1993-04-15
GB9219956D0 (en) 1992-11-04
FR2682504A1 (fr) 1993-04-16
US5581739A (en) 1996-12-03
GB9121540D0 (en) 1991-11-27

Similar Documents

Publication Publication Date Title
US6539337B1 (en) Embedded diagnostic system and method
US4849979A (en) Fault tolerant computer architecture
JPS63141139A (ja) 構成の変更が可能なコンピュータ
US6954875B2 (en) Method of recovering a flight critical computer after a radiation event
EP0263055B1 (en) Autoequalization in redundant channels
EP0273043A1 (en) MULTIPLE REDUNDANCY ERROR DETECTION SYSTEM AND RELATIVE USE METHOD.
US4665522A (en) Multi-channel redundant processing systems
JPH01267742A (ja) 故障診断方式
KR101723932B1 (ko) 이중화 채널을 포함하는 비행조종컴퓨터의 고장 진단 방법
JPH05314083A (ja) 計算装置およびその方法
US20130061094A1 (en) Apparatus and Method for the Protection and for the Non-Destructive Testing of Safety-Relevant Registers
US4734687A (en) Monitoring
Johnson et al. Fault tolerant computer system for the A129 helicopter
Oh et al. A Fault Management Design of Dual-Redundant Flight Control Computer for Unmanned Aerial Vehicle
Carter Fault-tolerant computing: An introduction and a viewpoint
RU2696964C1 (ru) Экспериментально-отладочный комплекс для судовых интегрированных навигационных систем
US7321948B1 (en) Highly available system test mechanism
Sims Redundancy management software services for seawolf ship control system
Bavuso Advanced reliability modeling of fault-tolerant computer-based systems
JP3348251B2 (ja) 入出力装置
JPH02226432A (ja) クロック障害処理システム
Murray et al. Highly reliable multiprocessors
CN121806795A (zh) 一种控制器通道切换及故障测试方法、装置、计算机设备及介质
Avizienis Design methods for fault-tolerant navigation computers
JP2670645B2 (ja) 入出力装置