JPH06342369A

JPH06342369A - 多重バージョン機能実現方法および開発支援システム

Info

Publication number: JPH06342369A
Application number: JP5130557A
Authority: JP
Inventors: Shoji Suzuki; 昭二鈴木; Nobuyasu Kanekawa; 信康金川; Yoshimichi Sato; 美道佐藤; Shinya Otsuji; 信也大辻
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1993-06-01
Filing date: 1993-06-01
Publication date: 1994-12-13

Abstract

(57)【要約】【目的】多重バージョンプログラム開発コストの増加を
抑え、バージョン構成モジュール間接合部の高信頼化を
はかる手段を提供すること。【構成】入力部４１、多重バージョン実行部４２、多数
決部４３、出力部４４を有して構成される。４２内部に
おいて、例えば、作成された８つの、一連の機能を実現
するバージョンが実行される。また、各バージョンは、
例えば、３つのモジュールを有して構成されている。
多数決部４３は、実行結果を多数決し、結果を出力部４
４に送る構成になっている。【効果】複数モジュールより構成される一連の機能に対
し、各モジュールについて少なくとも１つ以上のバージ
ョンを作成し、その組み合わせにより構成する複数個の
バージョンの一連の機能は、低コストで生成でき、か
つ、モジュール間接合部の冗長度が高くなるため、多数
決実行による高信頼化が図れる。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】高信頼性が要求される計算機、コ
ントローラ等の情報処理装置において、冗長モジュール
を使用した高信頼化技術、特に、フォールトトレランス
技術に関する。

【０００２】

【従来の技術】冗長モジュールを使用した高信頼化のた
めの技術のうち、いわゆる、Ｎバージョン(多重バージ
ョン)プログラムの使用が提案されている。

【０００３】これは、同一の仕様にもとづいて作成され
た、Ｎ（Ｎは２以上の整数）個のバージョンを実行し、
個々のバージョンに残存するバグを、相互にチェックす
るか、あるいは、多数決を使用してマスクキングするこ
とにより正確な答えを出力する、ソフトウェア・フォー
ルトトレランス技術である。

【０００４】多重バージョンプログラムに関する従来技
術は、例えば、文献：「J-C Laprieet al,"Definition
and Analysis of Hardware- and Software-Fault-Tolar
anct Architectures",Computer, Vol. 23, No. 7, Jul.
1990, pp. 39-51」等に記載されている。

【０００５】

【発明が解決しようとする課題】多重バージョン実行に
よる信頼性を向上するためには、バージョン数Ｎを大き
くすればよい。しかしながら、ソフトウェアの開発、保
守等に必要なコストまでもが、Ｎ倍、あるいは、それ以
上になってしまう。

【０００６】本発明が解決する第１の課題は、ソフトウ
ェアの開発、保守に必要なコストの増加を抑え、さら
に、信頼性を向上させることにある。

【０００７】一方、ソフトウェアの巨大化、複雑化、品
質管理能力の向上および生産性向上に対応するために、
ソフトウェアの開発は、複数個のモジュールに分割化さ
れ、作成されるのが一般的である。

【０００８】これにより、ソフトウェアの開発、保守等
は、基本的には「モジュール単位」で行なわれる。

【０００９】その結果、個々のモジュール内部に残存す
るバグは、ほぼ完全に近い形で摘出することが可能とな
り、モジュール自体の信頼性は高くなる。

【００１０】すなわち、分割化により、個々のモジュー
ルの規模が小さくなり、モジュール自体がとりうる状態
の数がそれほど大きくならないからである。

【００１１】ところで、ソフトウェア全体の高信頼化を
実現するためには、上記に加え、ソフトウェアを構成す
る複数個のモジュール間のデータ入出力処理や、共有資
源アクセス処理といった機能を有する、いわゆるモジュ
ール間の接合部（以下、単に「モジュール間接合部」と
称することが多い）の高信頼化を実現する必要がある。

【００１２】しかしながら、一般に、複数のモジュール
同士の相互作用により、各モジュールがとりうる状態の
数は、非常に大きく、対象が巨大化、複雑化してしまう
ため、デバッグが十分に行えないことになる。

【００１３】また、仕様書は、モジュール内部の仕様に
関しては詳細に記述されているのに対し、モジュール間
のインタフェースに関しては、それほど厳格には記述さ
れていない。

【００１４】そのため、ソフトウェアに残存するバグ
は、モジュール自体よりも、むしろ、モジュール間接合
部に多く存在する傾向がある。したがって、モジュール
間接合部の高信頼化を図ることが、今後、非常に重要な
ことになると予想される。

【００１５】さらに、他のソフトウェアにて使用されて
いるモジュールを組み合わせることにより、新しいソフ
トウェアを開発するといったモジュールの再利用が、ソ
フトウェアの生産性向上のために、今後、より一層行わ
れることが予想される。

【００１６】その際、モジュール間の整合性（例えば、
モジュール間で伝送するデータのサイズ等）を保証する
必要があり、整合性のチェックを行なったり、場合によ
っては、整合性を保証するインタフェースモジュール
（これもモジュール間接合部である）を新たに作成する
必要もある。

【００１７】モジュール自体は、既に他のソフトウェア
にて使用されていたのであるから、実績があり、信頼性
も高いといえる。これに比べ、モジュール間接合部は、
新規に作成したものであるため、実績がない上に、状態
数も大きく、デバッグが複雑である場合が非常に多い、
すなわち、信頼性に劣る可能性が非常に高い。

【００１８】ところで、モジュール間接合部の高信頼化
を実現するためには、モジュール間の整合不良、すなわ
ち、バグを取り除くことが必要であるが、上記理由によ
り、多大なコストを要し、バグを完全に摘出すること
は、非常に困難であることは経験的事実の示すところで
ある。そのうち、特にデバッグが難しいモジュール間に
おける整合不良は、例えば、モジュール間の共有資源に
対するアクセス不良であり、また、かかるアクセス不良
は、データの破壊、データ一貫性の欠如、デッドロック
等を発生させる。このような不良は、各モジュールを１
タスクとしたマルチタスクによる並行処理において、特
に発生しやすい傾向にある。

【００１９】そこで、モジュール間接合部の高信頼化を
実現するためには、フォールトトレランス技術を適用し
て、モジュール間の整合不良をマスキングすることが必
要となる。

【００２０】しかしながら、モジュール間接合部に対す
るフォールトトレランス技術の適用は、従来は行なわれ
ていなかった。

【００２１】以上のように、本発明が解決する第２の課
題は、モジュール間接合部の高信頼化を図ることであ
る。

【００２２】

【課題を解決するための手段】上記の課題を解決するた
め、主に、以下の６つの手段が考えられる。

【００２３】第１の手段は、与えられた単一の仕様に基
づき、実現すべき一連の機能を複数のモジュールの構成
により実現する方法であって、各モジュールについて、
少なくとも１以上のバージョンを作成し、各モジュール
ごとにｍｉ(ｍｉは、モジュールiのバージョン数、ｉ
は、モジュールの番号である）個のバージョンの中から
任意の１個を選択し、選択されたモジュールを組み合わ
せていくことによりｎ(ｎ＞ｍｉ)個の異なるバージョン
の一連の機能を実現する手段である。

【００２４】第２の手段は、第１の手段において、異な
るバージョン間の機能の実行結果の一致／不一致の情報
にもとづいて、故障箇所を特定する手段である。

【００２５】第３の手段は、前記故障箇所を特定した後
に、故障バージョンを、故障箇所を有さない、他のバー
ジョンと取り換える手段である。

【００２６】第４の手段は、第２の手段を有し、故障箇
所をユーザに表示する機能を有する多重バージョン機能
デバッガである。

【００２７】第５の手段は、前記多重バージョン機能デ
バッガを具備し、与えられた仕様にもとづいて、コーデ
ングからバージョン生成、デバッグまでの一連の作業を
支援する多重バージョン機能開発支援システムである。

【００２８】第５の手段は、複数のモジュールを有して
構成される一連の機能に対し、モジュール同士を接続す
る接合部を、複数個のバージョンを使用して多重構成と
し、該接合部の機能は、多重バージョンの実行結果の相
互チェック処理に基づいて実現する手段である。

【００２９】

【作用】上記第１の手段により、実現される一連の機能
を有するバージョン数をｎとすると、ｎは、各モジュー
ル毎に作成されたバージョン数ｍｉ(iは、モジュールの
番号である）の積となる。すなわち、ｎ＝ｍ1×ｍ2×…×mi×…ｍf (ｆは、一連の機能を構
成するモジュール数 )となる。

【００３０】また、２モジュールｉ，ｊ間の接合部の多
重度(冗長度)をｎijとすると：ｎij＝ｍi×ｍj となる。

【００３１】さらに、３モジュールｉ，ｊ，ｋ間の接合
部の多重度(冗長度)をｎijkとすると：ｎijk＝ｍi×ｍj×ｍk となる。４モジュール以上のモジュール間の接合部も同
様に多重化される。

【００３２】上記第２の手段は、上記第１の手段により
実現される異なるバージョン間の機能の実行結果の一致
／不一致の情報にもとづいて、故障箇所を特定する処理
を行う。

【００３３】また、上記第３の手段は、故障バージョン
を、故障箇所を有さない、他のバージョンと取り換え処
理を行う。

【００３４】さらに、上記第４の手段は、上記手段を、
機能開発における一過程であるデバッグ処理に適用する
ことにより、バージョン内に存在する故障箇所、すなわ
ち、バグを特定、表示し、デバッグ処理の効率を向上さ
せる。

【００３５】さらにまた、上記第４の手段は、与えられ
た仕様にもとづいて、コーデングからバージョン生成、
デバッグまでの一連の作業を支援し、ソフトウエアの開
発効率を向上させる。

【００３６】また、上記第６の手段によって、モジュー
ル間接合部の複数個のバージョンのうち、いずれかがエ
ラーを発生しても、相互チェック処理によって、当該エ
ラーはマスキングされ、モジュール間同士で、正確な情
報の伝達が行なわれることになる。

【００３７】

【実施例】以下、本発明による一実施例を図面を参照し
て説明する。ここでは説明を簡単にするため、３つのモ
ジュールを有して構成される一連の機能に対し、各モジ
ュールについてバージョンを２個ずつ作成する場合を例
にとり説明する。

【００３８】この場合、モジュールの組み合わせによ
り、８つ（２×２×２＝８）のバージョンが生成される
ことになる。

【００３９】また本実施例では、同時に実行する一連の
機能のバージョン数が、３以上の場合を扱っているため
に、該バージョン間の機能実行結果の相互チェックは、
いわゆる多数決で実現している。バージョン数が２の場
合は、機能実行結果の相互チェックは、結果が一致しな
いエラー発生時のみ報告を行なうようにすればよい。

【００４０】なお一連の機能を構成するモジュール数、
各モジュールの作成数が、いくつになっても、本発明は
有効であることはいうまでもない。

【００４１】図１は、多重バージョン機能実現方法を表
すブロック図である。

【００４２】各構成要素は、例えば、ＣＰＵ、ＲＯＭ、
ＲＡＭ、および、プログラム等によって実現できる。

【００４３】図中、31は、一連の機能を記載した仕様部
（例えば、入力データの加工処理手順等を記載してあ
る）、そのうち1A， 1B， 1Cは、一連の機能を構成する
ための３つのモジュールA，B，Cの仕様を表す。32は、
コーデング部を示し、与えられた仕様に対してコーデン
グ処理を行う。1A0，1A1は、1Aに対する２種類のコーデ
ィングA0， A1、また、1B0，1B1は、1Bに対する２種類
のコーディングB0， B1、さらに、1C0， 1C1は、1Cに対
する２種類のコーディングC0，C1を表す。

【００４４】また、33は、モジュールを作成する手段で
あるモジュール作成部を表す。34は、作成されたモジュ
ールを格納しておくモジュール格納部を表し、2a0，2a
1，2b0，2b1，2c0，2c1は、それぞれ1A0，1A1，1B0，1B
1，1C0，1C1を、33によって作成したモジュールa0，a
1，b0，b1，c0，c1を表す。

【００４５】35は、多重バージョンを生成する多重バー
ジョン生成部を表す。

【００４６】36は、生成されたバージョンを格納するバ
ージョン格納部を表し、20，21，22，23，24，25，26，
27は、それぞれ、34内に格納されたモジュールを、35に
よって生成した一連の機能のバージョンV0，V1，V2，V
3，V4，V5，V6，V7を表し、28は、生成された一連の機
能のバージョン構成情報を格納しておくバージョン情報
格納部を表す。37は、多重バージョン実行装置を表し、
41は入力情報を受け付ける入力部、42は、多重バージョ
ン実行部、43は多数決処理を行う多数決部、44は、情報
を出力する出力部を表す。

【００４７】以下、図１の動作を説明する。

【００４８】３つのモジュールA，B，Cを有して構成さ
れる一連の機能を記載した仕様31にもとづき、コーディ
ング部32にて、コーディング処理、例えば、プログラミ
ングを行なう。この場合、仕様1Aに対応して２種類のコ
ーデング1A0，1A1を、仕様1Bに対応して２種類のコーデ
ング1B0，1B1を、仕様1Cに対応して２種類のコーデング
1C0，1C1を行なう。

【００４９】すなわち、各モジュール仕様より２個ず
つ、合計６個のコーディングを行なうことになる。

【００５０】次に、モジュール作成部33によって、32に
て行なわれた各コーデングに対してモジュールを作成す
る。33は、例えば、32がソフトウェアのソースファイル
の場合は、ソースファイルに対応してオブジェクトファ
イルを作成するコンパイラに相当する。

【００５１】さらに、多重バージョン生成部35により、
作成された各モジュールごとに、複数個のバージョンの
中から１個を選択し、選択された各モジュールを組み合
わせて、仕様31を満足する異なるバージョンを生成す
る。該バージョンは、一連の機能を実現する。

【００５２】図１４に、多重バージョン生成部３５の動
作をフローチャートにて表す。図において、Ｕ：一連の機能を構成するモジュール数 i：モジュール番号、1≦i≦U j(i)：モジュールiのバージョン番号、1≦j(i)≦m(i) m(i)：モジュールiのバージョン数、i:モジュール番号Ｍi j(i)：モジュールiのバージョンj(i) Π：モジュール間結合手段 Σ：バージョン番号選択手段とする。また、ステップ901〜911は、フローチャート上
の各種動作を表す。

【００５３】まずステップ902にて、各モジュールのバ
ージョン番号j(1)〜j(U)を初期化にする。次に、ステッ
プ903にて、変数ｋに１を代入し、ステップ904にて、モ
ジュールkのバージョン番号j(k)を、１だけインクリメ
ントする。

【００５４】ステップ905にて、j(k)とモジュールkのバ
ージョン数m(k)とを比較し、j(k)がm(k)より大きけれ
ば、ステップ906にて、j(k)を「０」に設定し、ステッ
プ907にて、kを１だけインクリメントする。

【００５５】ステップ908にて、kの値を、一連の機能を
構成するモジュール数Uと比較し、kがUよりも大きけれ
ば処理を終了する。そうでなければ、ステップ904に戻
る。

【００５６】また、ステップ905にて、j(k)がm(k)より
大きくなければ、ステップ910にて、その時点での各モ
ジュールのバージョンj(1)〜j(U)、すなわち、Ｍ1 j(1)
〜ＭUj(U)を結合し、一連の機能が実現可能なバージョ
ンを生成する。

【００５７】そして、ステップ911にて、k=1か否かをチ
ェックし、k=1ならばステップ904に戻る。それ以外な
ら、ステップ903に戻る。

【００５８】なお、ステップ910によるモジュール結合
処理は、例えば、各モジュールのバージョンを表すオブ
ジェクトファイルから、１つの実行ファイルを生成す
る、リンク処理にて実現される。また、モジュール結合
処理とあわせて、生成された一連の機能のバージョンを
構成するモジュールに関する情報として、例えば、構成
モジュールのバージョン番号：j(1)〜j(U)を、図１に示
すバージョン情報格納部28に格納する。

【００５９】以上より、多重バージョン生成部35によっ
て、「ｎ＝m(1)×…×m(U)」個の異なるバージョンが生
成され、各バージョンは、一連の機能を実現する。

【００６０】本実施例では、各モジュールは、２個ずつ
冗長に作成されており（mA=mB=mC=2、mAは、モジュール
Aのバージョン数、mBは、モジュールBのバージョン数、
mCは、モジュールCのバージョン数）、生成される一連
の機能のバージョン数ｎは、各モジュール作成バージョ
ン数（冗長モジュール数）の積、すなわち、ｎ＝mA×mB
×mC＝２×２×２＝８個になる。

【００６１】最後に、多重バージョン実行装置37によ
り、生成された一連の機能のバージョンを実行する。37
では、入力部41を介して入力されたバージョンに対し
て、多重バージョン実行部42が、該バージョンを同時に
実行する処理を行う。そして、各バージョンの実行結果
を43にて多数決し、多数決の結果、メジャーとなった結
果を、出力部44に出力する。

【００６２】以上の動作により、低コストで、一連の機
能を実現可能なバージョン数を大きくできるため、多数
決による信頼性の向上を図ることができる。

【００６３】図１を参照して説明している実施例によれ
ば、３つのモジュールを有して構成される一連の機能に
対し、各モジュールのバージョンを各々２つずつ作成す
れば、従来の一連の機能の２バージョン作成分のコスト
によって、８バージョン生成されることになり、該バー
ジョン数が大きくなるため、多数決による、より一層の
高信頼化を図れる効果がある。

【００６４】さらにモジュール間接合部の高信頼化をも
図ることが可能であるが、この効果については、以下の
図２を参照して説明する。

【００６５】図２は、多重バージョン実行装置の構成例
を示すブロック図である。

【００６６】図中、41は入力部、42は多重バージョン実
行部、43は多数決部、44は出力部を表す。

【００６７】42内部において、20，21，22，23，24，2
5，26，27は、それぞれ、作成されたバージョンV0，V
1，V2，V3，V4，V5，V6，V7を表す。

【００６８】さらに、各バージョン内部において、2a0
1，2a02，2a03，2a04は、モジュールa0を、2a11，2a1
2，2a13，2a14は、モジュールa1を、2b01，2b02，2b0
3，2b04は、モジュールb0を、2b11，2b12，2b13，2b14
は、モジュールb1を、2c01，2c02，2c03，2c04は、モジ
ュールc0を、2c11，2c12，2c13，2c14は、モジュールc1
を表す。

【００６９】多重バージョン実行装置37の動作は、入力
部41を介して入力された入力情報に対して、多重バージ
ョン実行部42にて生成された、一連の機能を有するバー
ジョン20，21，22，23,，24，25，26，27を、同時に実
行する。

【００７０】各バージョンは、自バージョンを構成する
３つのモジュールを実行し、実行結果を出力する。な
お、図２では、各モジュール間の実行の流れを連続的に
書いているが、モジュール間で行われる処理は、例え
ば、マルチタスクによる並行処理によって行われるもの
であってもよい。

【００７１】そして、各バージョンの実行により出力さ
れた実行結果を、43にて多数決し、メジャーとなった結
果を、出力部44に出力する。

【００７２】多重バージョン実行部42における冗長度
は、以下のようになる。

【００７３】仕様書のモジュールA(1A)にもとづいて作
成されたモジュールのバージョンは、a0とa1の２つであ
るため、モジュールAの冗長度は、「２」となる。他の
モジュールB，C(1B，1C)の冗長度も同様である。また、
仕様書のモジュールAとB(1Aと1B)間の組み合わせは、a0
とb0、a0とb1、a1とb0、a1とb1の４通りが存在するた
め、モジュールAB間接合部の冗長度は、「４」になる。
他のモジュール間接合部BC，CA(1Bと1C，1Cと1A)の冗長
度も同様である。さらに、仕様書のモジュールAとBと
C(1Aと1Bと1C)間の組み合わせは、生成された、一連の
機能を有するバージョン数だけ存在するため、モジュー
ルABC間接合部の冗長度は、「８」になる。

【００７４】このように、冗長モジュールの組み合わせ
により、モジュール間接合部の冗長度が高くなる。した
がって、多重バージョン実行装置37を備えた効果は、上
述のように、冗長モジュールの組み合わせによって、モ
ジュール間接合部の冗長度が高くなるために、モジュー
ル間接合部に対して、多数決による高信頼化を図れるこ
とにある。

【００７５】次に、２モジュールを有して構成される一
連の機能において、各モジュールについて２バージョン
を生成する場合を例にとり、従来例と本実施例による信
頼度を比較する。

【００７６】図１２は、上記の例における、従来例と本
実施例による信頼度を説明図である。

【００７７】本実施例によれば、図１２(2)のように、
２モジュール間は、a0-b0，a0-b1，a1-b0，a1-b1間接合
部により４重化された構成となっている。ここでは、説
明を簡略化するために、各モジュールの信頼度は全て等
しく、各モジュール間接合部の信頼度も全て等しいとす
る。さて、モジュールの信頼度をｒ、モジュール間接
合部の信頼度をｓとする。また、従来とと本発明にかか
る機能自体の信頼度をＲ0,Ｒ1とする。なお、ここで述
べられている信頼度は、機能の一部が故障しいても正し
い出力が得られる確率を指す。

【００７８】従来の機能において、Ａ系「a0〜a0−b0〜
b0」は直列に接続されているため、全てのモジュールが
正常でなければ、Ａ系より正しい出力は得られない。し
たがってＡ系の信頼度は、「ｒ²ｓ」になる。Ｂ系「a1
〜b1−a1〜b1」の信頼度も同じである。逆にＡ、Ｂ系が
故障する確率は、ともに「１−ｒ²ｓ」になる。従来の
機能においては、Ａ、Ｂ系が並列接続されているため、
いずれか一方が正常なら、換言すれば、双方とも故障し
てしまう状況以外ならば、正しい出力が得られる。よっ
てＲ0は、「１−（Ａ系が故障する確率）×（Ｂ系が故
障する確率）」で表され、次式１となる。

【００７９】

【数１】

【００８０】次に、本発明にかかる機能においては、a
0、a1のいずれか一方が正常で、かつ、a0-b0，a0-b1，a
1-b0，a1-b1のうちいずれかが正常で、かつ、b0，b1の
いずれか一方が正常であれば、正しい出力を得れる。換
言すれば、a0、a1が双方故障してしまう状況以外で、か
つ、a0-b0，a0-b1，a1-b0，a1-b1が全て故障する状況以
外で、かつ、b0，b1が双方故障してしまう状況以外であ
れば、正しい結果が得れる。ここでa0、a1が双方故障す
る確率は「（a0が故障する確率）×（a1が故障する確
率）」＝（１−ｒ）×（１−ｒ）＝（１−ｒ）²であ
る。b0、b1が双方故障する確率も同じである。また、a0
-b0，a0-b1，a1-b0，a1-b1が全て故障する確率は、
「（a0-b0が故障する確率）×（a0-b1が故障する確率）
×（a1-b0が故障する確率）×（a1-b1が故障する確
率）」＝（１−s）×（１−s)×（１−s）×（１−s）
＝（１−s）⁴となる。

【００８１】次に、a0、a1が双方故障する以外の確率
は、「１−（a0、a1が双方故障する確率）」＝１−（１
−ｒ）² となる。b0、b1が双方故障する以外の確率も
同じである。また、a0-b0，a0-b1，a1-b0，a1-b1が全て
故障する以外の確率は、「１−（a0-b0，a0-b1，a1-b
0，a1-b1が全て故障する確率）」＝１−（１−s）⁴ と
なる。したがって信頼度Ｒ1は、「（a0、a1が双方故障
する以外の確率）×（b0、b1が双方故障する以外の確
率）×（a0-b0，a0-b1，a1-b0，a1-b1が全て故障する以
外の確率）」となり、式２にて表される。

【００８２】

【数２】

【００８３】ここで、信頼度を比較するため、ｆ(ｓ)＝
(Ｒ1−Ｒ0)／ｒｓとして計算を進めると、

【００８４】

【数３】

【００８５】となる。この時、ｆ(０)、ｆ(１)は、

【００８６】

【数４】

【００８７】

【数５】

【００８８】となる。また、式３をｓで微分すると：

【００８９】

【数６】

【００９０】となる。この時、ｆ’(０)、ｆ’(１)
は：

【００９１】

【数７】

【００９２】

【数８】

【００９３】となる。また、式３をｓで２階微分する
と、

【００９４】

【数９】

【００９５】となる。

【００９６】したがって、０＜ｒ＜１、０＜ｓ＜１にお
いて、式３は、下に凸であり、かつ、ｓの３次関数であ
ることより、図１３のようになる。

【００９７】以上より、ｆ(ｓ)＝(Ｒ1−Ｒ0)／ｒｓ＞０すなわち、Ｒ1＞Ｒ0 が成立する。これは、本発明によ
って信頼性の向上が図れたことにほかならない。

【００９８】一連の機能実現ために使用されるモジュー
ル数、モジュールについて生成されるバージョン数が、
他の場合であっても同様のことがいえる。

【００９９】なお、図２に示す、各々の、一連の機能を
実現するバージョンが、ソフトウェアの場合、多重バー
ジョン実行装置の実行環境としては、生成バージョン数
と同数のプロセッサを備えたマルチプロセッサ構成によ
る並列処理の場合や、生成されたバージョンを、１台の
プロセッサにて、マルチタスクによる並行処理を利用し
て実行する等、生成バージョン数が、プロセッサ数より
多い場合が考えられるが、いずれの場合においても、本
発明は有効であることはいうまでもない。

【０１００】さて、図３に、エラー制御付き多重バージ
ョン実行装置の構成を表すブロック図の一例を示す。

【０１０１】図中、37aは、エラー制御付き多重バージ
ョン実行装置を表し、41は入力部、42は多重バージョン
実行部、43は多数決部、44は出力部を表す。45は、エラ
ー制御部を表し、451は、fault箇所特定部、452は、構
成制御部を表す。

【０１０２】また36は、バージョン格納部を表し、ま
た、20，21，22，23，24，25，26，27は、バージョンV
0，V1，V2，V3，V4，V5，V6，V7を表し、さらに、28
は、バージョン構成する情報を格納してあるバージョン
情報格納部を表す。

【０１０３】図３において、エラー制御付き多重バージ
ョン実行装置37aの動作は、41〜44に関しては37と同様
であり、入力部41を介して入力された入力情報に対し
て、多重バージョン実行部42にて、生成された一連の機
能を実現するバージョンを同時に実行し、各バージョン
の実行結果を43にて多数決し、メジャーとなった結果
を、出力部44に出力する。

【０１０４】さらに、多数決部43は、多重バージョン実
行部42の実行結果にもとづいて、エラーを発生したバー
ジョン（多数決で、メジャーとなった結果以外を出力し
た、一連の機能を実現するバージョン）を、エラー制御
部45に通知する。エラー制御部45では、内部のfault箇
所特定部451が、バージョン格納部36内のバージョン情
報格納部28に格納されたバージョンの構成に関する情報
と、多数決部43からの入力情報にもとづいて、バージョ
ン内の故障箇所を特定する。

【０１０５】続いて、構成制御部452にて、fault箇所特
定部451からの故障箇所特定結果とバージョンの構成に
関する情報にもとづいて、多重バージョン実行部42と多
数決部43に対し、故障箇所を有する故障バージョンの実
行停止を報告する。

【０１０６】そして報告を受け取った多重バージョン実
行部42は、故障バージョンの実行を取りやめる。また、
多数決部43では、故障バージョンからの入力を遮断す
る。

【０１０７】ところで、一連の機能を実現するために使
用されるモジュール数が多いと、それだけ、多数のバー
ジョンが生成されることになる。しかし、ハードウェア
資源あるいは処理時間の制約により、生成された全ての
バージョンを実行することは困難であるため、実行バー
ジョン数が、生成バージョン数よりも少なくなり、未実
行のバージョンが存在する場合がある。このような場
合、実行中に特定された故障バージョンを、共通の故障
箇所を有さない、他のバージョンと取り換えることによ
り、多重バージョン実行の信頼性が、故障発生前と同一
のレベルまで回復できることになる。

【０１０８】図４は、構成制御部452の故障バージョン
特定方法の一例を表すブロック図である。

【０１０９】図中、4521は、fault箇所特定部451からの
入力情報、4522は比較器、28はバージョン情報（バージ
ョンが、どのようなモジュールを有して構成されている
かを示す情報）を表す。入力情報4521は、例えば、６
ビットの情報で表され、各ビットは、上位ビットより、
それぞれ、モジュールa0，a1，b0，b1，c0，c1に関する
状態を表す。

【０１１０】そして、モジュールの「正常」をビット・
オフ（＝０）、「故障」をビット・オン（＝１）で表
す。図４では、b0およびc1に対応するビットが、オンに
なっているが、これは、b0およびc1の接合部に故障が発
生していることを意味する。

【０１１１】またバージョン情報280（バージョン情報
格納部28に格納されている情報）は、例えば、図のよう
に「８×８ビット」のマトリクス状の図で表され、
「行」は、上からそれぞれバージョンV0，V1，V2，V3，
V4，V5，V6，V7を表し、「列」は、最初の６列が、バー
ジョンを構成する各モジュールを表し、左からそれぞ
れ、モジュールa0，a1，b0，b1，c0，c1を表し、ビット
・オンのモジュールで、バージョンが構成されている。
例えば、バージョンV0は、モジュールa0，b0，c0を有し
て構成されていることを表す。

【０１１２】また７列目は、バージョンの故障を表すビ
ットで、ビット・オンで「故障」を表す。最後の８列目
が、バージョンの使用状態を表すビットで、ビット・オ
ンで「未使用」であることを表す。図４では、V4，V7が
未使用である。

【０１１３】構成制御部452による故障バージョンの特
定方法は、fault箇所特定部451からの、入力情報4521
を、比較器4522にて、バージョン情報280の各行の最初
の６列と比較する。

【０１１４】そして、入力情報4521を包含するバージョ
ンは、故障とみなされ、７列目のバージョンの故障を表
すビットをオンにする。図４の例では、バージョンV1お
よびV5に対して、故障ビットがオンになる。これは、入
力情報4521は、モジュールb0およびc1の接合部が故障し
ていることを表しているが、バージョン情報280を参照
すると、バージョンV1とV5がモジュールb0とc1を有して
いるためである。

【０１１５】次に、故障部位を有しないバージョンを、
未使用バージョンの中から取り出す。バージョン情報28
0の８列目より、未使用バージョンはV4およびV7の２つ
であり、また７列目の情報より、このうちのいずれも
が、故障部位を有していないことがわかる。従って、故
障バージョンV1とV5を、V4とV7に交換することにし、多
重バージョン実行部42と多数決部43に対し報告する。そ
して、バージョン情報280の８列目のV4とV7に対応する
ビットをオフにする。

【０１１６】以上のように、図３に示すエラー制御付き
多重バージョン実行装置37aによれば、故障箇所を有す
る故障バージョンの実行を取りやめることにより、信頼
性を回復させることができる。

【０１１７】さらに、構成制御部452にて、故障バージ
ョンを未実行バージョンと取り換える処理を行うため、
多重バージョン実行の信頼性が、故障発生前と同一のレ
ベルまで回復できる。

【０１１８】次に、fault箇所特定部451について説明す
る。

【０１１９】まずfault箇所特定部451の動作の基本的な
考え方を説明する。

【０１２０】図５は、fault箇所特定部451の基本動作説
明図である。説明を簡略化するために、バージョンV0，
V1，V5が有するモジュールを要素として表したベン図を
用いる。

【０１２１】図中に示されているモジュールは、各バー
ジョンの構成モジュールを表し、例えば、a0は、V0，V1
に属するが、V5には属さないことを表す。

【０１２２】ここで、多数決により、バージョンV1，V5
にてエラーが発生したと判定されたとする。この場
合、故障箇所は、V1，V5の交わり部分に属するモジュー
ルb0，c1、あるいは、これらのモジュール間接合部b0-c
1が考えられる。しかし、例えば、モジュールb0は、バ
ージョンV0にも属し、また、V0は、エラーを発生してい
ないのであるから、b0自体の故障ではない。さらに、V0
以外の他のバージョン（c1を有している）においてもエ
ラーが発生していないことを考慮すると、c1自体の故障
でもない。結局、考えられる故障箇所は、モジュール間
接合部 b0-c1ということになる。以上が、fault箇所特
定部451の動作の基本的な考え方である。

【０１２３】図６は、fault箇所特定の動作の説明図で
ある。

【０１２４】図中、81は、多数決部43より送られてくる
多数決結果、801〜826は、モジュール間接合部あるいは
モジュール自体の故障検出ノード、80は、各ノードの状
態（故障か否かの状態）を受け付けるノードチェック部
を表す。

【０１２５】多数決結果81は、例えば８ビットの情報で
表され、上位ビットより、それぞれバージョンV0，V1，
V2，V3，V4，V5，V6，V7の状態を表す。また、エラーを
発生した場合に、該当するバージョンのビットをオンに
する。図６では、V1，V5が、エラーを発生したことを表
す。

【０１２６】また、ノード801〜808は、それぞれ３モジ
ュール間、a0-b0-c0，a0-b0-c1，a0-b1-c0，a0-b1-c1，
a1-b0-c0，a1-b0-c1，a1-b1-c0，a1-b1-c1間の接合部の
故障検出ノードを表す。ノード809〜820は、それぞれ
２モジュール間、a0-b0，a0-b1，a1-b0，a1-b1，b0-c
0，b0-c1，b1-c0，b1-c1，c0-a0，c0-a1，c1-a0，c1-a1
間の接合部の故障検出ノードを表す。ノード821〜826
はそれぞれモジュールa0，a1，b0，b1，c0，c1自体の故
障検出ノードを表す。

【０１２７】次に、多数決結果81の各ビット、および、
ノード801〜826間の接続関係について説明する。

【０１２８】多数決結果81の各ビットは、該ビットに対
応するバージョンを構成するモジュールを有するノード
に接続される。従って多数決結果81の各ビットは、上位
よりそれぞれノード801〜808に一対一に接続される。

【０１２９】また、ノード801〜808は、各ノードに属す
る３モジュールより選択される、２モジュール間接合部
を構成するノードに接続される。

【０１３０】従って、801は、809，813，817に、802
は、809，814，819に、803は、810，815，817に、804
は、810，816，819に、805は、811，813，818に、806
は、811，814，820に、807は、812，815，818に、808
は、812，816，820に、それぞれ接続される。

【０１３１】さらに、ノード809〜820は、各ノードに属
する２モジュールそれぞれを表すノードに接続される。
従って、809は、821，823に、810は、821，824に、811
は、822，823に、812は、822，824に、813は、823，825
に、814は、823，826に、815は、824，825に、816は、8
24，826に、817は、821，825に、818は、822，825に、8
19は、821，826に、820は、822，826にそれぞれ接続さ
れる。

【０１３２】なお、各ノード801〜826は、ノードチェッ
ク部80に接続する。なお、これらの接続は、例えば信号
線によって実現される。

【０１３３】ここで、fault箇所特定部451の動作を説明
する前に、fault箇所特定部の内部に備えられたノード
の動作を説明する。

【０１３４】図７は、fault箇所特定部内に備えられる
ノード814の構成を表すブロック図である。

【０１３５】図中、814は、b0-c1間接合部故障検出ノー
ド、8141は加算器、8142，8143は、カウンタ、8144は、
故障判定部を表す。また、802，806，823，826は、それ
ぞれa0-b0-c1間接合部，a1-b0-c1間接合部，b0自体，c1
自体の故障検出ノード、80は、ノードチェック部を表
し、２ノードより入力し、２ノードへ出力する構成をと
っている。

【０１３６】b0-c1間接合部故障検出ノード814は、b0-c
1間接合部を含むノード802，806からの入力を、加算器8
141にて足し合わせ、b0自体,c1自体を表すノード823，
８２６へ出力する。また、ノード８０２，806からの入
力を、それぞれにてカウンタ0（8142）、カウンタ1（81
43）に加え、その結果を故障判定部8144に渡す。故障判
定部8144では、更新されたカウンタ0，カウンタ1の値に
もとづいて、故障判定を行う。

【０１３７】故障判定方法は、例えば、各カウンタ値
が、予め定められたしきい値以上で、かつ、カウンタ値
間の偏差が、予め定められた偏差限界値以内である場合
に限って、該接合部は、故障であると判定する。故障判
定を行い、故障と判断した場合、ノードチェック部80
に、故障である旨をを通知する。

【０１３８】以上が、ノード814の動作説明であるが、
他の２モジュール間接合部故障検出ノード809〜813，81
5〜820の構成および動作も同様である。

【０１３９】また、３モジュール間接合部故障検出ノー
ド801〜808については、１ノードより入力し、３ノード
へ出力する構成となる。また、１ノード入力ゆえ、加算
器は必要無く、カウンタも１個設けておけば良い。ま
た、故障判定は、１入力ゆえ、入力値のしきい値チェッ
クは行なうが、偏差のチェックは行なわない。その他の
構成および動作は、ノード814と同様である。

【０１４０】さらに、モジュール自体の故障検出ノード
821〜826については、４ノードからの入力となる。ノー
ドからの出力はないので、加算器は不要である。また、
カウンタは、４ノードからの入力があるため、４個設け
ておく。故障判定は、４入力ゆえ、入力値のしきい値チ
ェックおよび偏差のチェックは、ノード814の場合と同
様である。その他の構成および動作は、ノード814と同
様である。

【０１４１】以下、fault箇所特定部451の動作例を表を
参照して説明する。

【０１４２】

【表１】

【０１４３】表１は、多数決結果とfault箇所特定部内
に備えられたノードのカウンタのとりうる値の関係を表
したものである。V0〜V7は、多数決結果を表している。
また、ここでは、モジュール自体の故障特定ノードの代
表として、b0（図６の823）のカウンタ値を、２モジュ
ール間接合故障特定ノードの代表としてa0-b0，b0-c1
（図６の809，814）のカウンタ値を、３モジュール間接
合故障特定ノードの代表として、a0-b0-c1，a1-b1-c0
（図６の802，807）のカウンタ値を表している。

【０１４４】ノードb0の内部の４つのカウンタ値K0，K
1，K2，K3は、それぞれノードa0-b0，a1-b0，b0-c0，b0
-c1（図６の809，811，813，814）からの出力情報がエ
ラー発生を示す場合に、加算される。ノードa0-b0の内
部の２つのカウンタ値K4，Ｋ５は、それぞれノードａ０
−ｂ０−ｃ０，a0-b0-c1（図６の801，802）からの出力
情報がエラー発生を示す場合に加算される。ノードb0-c
1の内部の２つのカウンタ値K6，K7は、それぞれノードa
0-b0-c1，a1-b0-c1（図６の802，806）からの出力情報
がエラー発生を示す場合に加算される。

【０１４５】ノードa0-b0-c1の内部のカウンタ値K8は、
多数決結果81の上位から２ビット目のビット情報がエラ
ー発生を示す場合に加算される。ノードa1-b1-c0の内部
のカウンタ値K9は、多数決結果81の上位から６ビット目
のビット情報がエラー発生を示す場合に加算される。な
お、各カウンタの初期値は０である。

【０１４６】また、表では、９回分のエラー発生の履歴
を表しており、各行は各回のエラー発生状況を示してい
る。

【０１４７】さらに、本実施例では、一例として、各ノ
ードのしきい値として、モジュール自体のしきい値を
「１０」、２モジュール間接続部のしきい値を「５」、
３モジュール間接続部のしきい値を「７」としている。
また、偏差は、例えば、次式で計算している。

【０１４８】すなわち、偏差＝(ノード内最大カウンタ
値−最小カウンタ値)÷カウンタ平均値で表し、各ノー
ドの偏差限界値を０．１としている。なお、しきい値、
偏差を求める式、偏差限界値は、あくまで一例に過ぎな
いので、必要に応じて設定し直せば良い。

【０１４９】表１に示されているように、エラーが発生
する毎に、各ノード内のカウンタ値が更新されて行く様
子が分かる。そして、８回目のエラー発生により、ノー
ドb0-c1の内部カウンタK6，K7が、ともに、しきい値５
以上になり、かつ、偏差は「０」で、偏差限界値以下を
満足しているので、b0-c1間接合部が故障と判定され、
かかる判定情報をノードチェック部80に通知する。

【０１５０】さらに、９回目のエラー発生により、ノー
ドa1-b1-c0の内部カウンタK9が、しきい値７以上になる
ので、a1-b1-c0間接合部が故障と判定され、かかる判定
情報をノードチェック部80に通知する。

【０１５１】そして、ノードチェック部80では、ノード
からの故障判定通知にもとづいて、故障特定情報を構成
制御部452に通知する。

【０１５２】なお、a1-b1-c0間接合部の故障特定のよう
に、バージョンを構成する全モジュール間の整合部の故
障特定に対しては、特にバージョンがソフトウェアで構
成されている場合、以下の問題が生じる。

【０１５３】すなわち、バージョンを構成する全モジュ
ール間の接合部は、唯一のバージョンにのみ存在し、か
つ、該バージョンを実行するハードウェアが単一である
ため、このままでは、故障が特定されても、ソフトウェ
アの故障であるのか、あるいは、ハードウェアの故障で
あるのか区別できないという問題が発生する。

【０１５４】したがって、このような場合には、該バー
ジョンを、別のハードウェアにて実行し、再度エラー発
生の履歴をとることにより、故障箇所を特定することが
好ましい。

【０１５５】以上より、fault箇所特定部451は、上記に
示した統計的手法にもとづいて、各バージョンの実行状
態の違いより生じる以下の状況、すなわち、故障箇所を
有する全てのバージョンが必ずしも同時にエラーを発生
しない場合や、逆に、複数種類の故障箇所が同時にエラ
ーを発生する場合においても、故障箇所を特定すること
ができる。

【０１５６】図８は、多重バージョン機能デバッガを表
すブロック図である。

【０１５７】図中、36は、バージョン格納部である。例
えば、ＲＡＭ，ディスク装置等によって実現される。

【０１５８】20，21，22，23，24，25，26，27は、それ
ぞれバージョンV0，V1，V2，V3，V4，V5，V6，V7であ
り、前記バージョン格納部に格納される。

【０１５９】28は、バージョンの構成に関する情報であ
るバージョン情報の格納部である。

【０１６０】385は、入出力ペアの格納部を表す。テス
ト用入出力ペア作成部381にて作成された、入出力ペア
が、前記入出力ペア格納部385に格納される。ここで入
出力ペアとは、プログラムが正確に作成されているなら
ば、予め一定の関係を有するようなデータの組をいう。
すなわち、例えば、入力データと、これに対応して、出
力することが予想される出力データをいう。また、テス
ト用入出力ペア作成部381は、例えば、キーボード等に
より実現できる。

【０１６１】50は、多重バージョン機能デバッガを表
し、521，522は、それぞれ入力データ格納部、出力デー
タ格納部であり、例えば、ＲＡＭにより実現できる。

【０１６２】531，532は、スイッチであり、例えば、ア
ナログスイッチ等により実現できる。

【０１６３】54は、出力データ群格納部であり、例え
ば、ＲＡＭにより実現できる。

【０１６４】55は、比較器であり、例えば、ＣＰＵ、Ｒ
ＯＭ、ＲＡＭ、各種ＣＭＯＳ等によって実現できる。

【０１６５】56は、表示用データ変換部を表し、データ
を表示に適したデータに加工する処理を行う手段であ
り、例えば、ＣＰＵ、ＲＯＭ、ＲＡＭ、各種ＣＭＯＳ等
によって実現できる。

【０１６６】45aは、エラー制御部、451は、fault箇所
特定部、452aは、fault制御部を表す。

【０１６７】さらに、42は、多重バージョン実行部、43
は、多数決部である。

【０１６８】なお、前述の説明で使用した符号と同一の
符号が付された手段は、前述の説明にある手段と同様な
機能を有し、同様に実現可能である。

【０１６９】また、382はデータ入力部であり、例えば
キーボード等により実現される。

【０１７０】383は、モード切換え部であり、データ入
力部あるいはテスト用入出力ペア作成部のいずれかを起
動させるかの切換処理を行う手段であり、例えば、スイ
ッチ、キーボード等により実現される。384は、fault箇
所表示部を表し、該構成要素は、ユーザーにfault箇所
に関する情報を知らしめる機能を有する。例えば、ＣＲ
Ｔ、液晶ディスプレイ等により実現できる。

【０１７１】以下、多重バージョン機能デバッガ50の動
作について説明する。

【０１７２】まず、多重バージョン実行部42、エラー制
御部45a内に設けられたfault箇所特定部451およびfault
制御部452aは、それぞれ、バージョン格納部36から、バ
ージョン20〜27、バージョン情報格納部28からバージョ
ン情報をロードする。

【０１７３】入出力ペア385は、前述した通り、多重バ
ージョンを実行した時に、与えた入力データと、これに
対し予想される正しい出力結果とを含む入出力情報で、
381によって、ユーザーが予め作成し、385に記憶してお
く。

【０１７４】多重バージョン機能デバッガ50は、入出力
ペア385を用いたデバッグと、使用者が直接382を介して
行なうデータ入力によるデバッグの２種類のモードを、
必要に応じて選択できるが、モードの切換えは383によ
り行なう。

【０１７５】入出力ペア格納部385に格納された入出力
ペアを使用したデバッグモードにおいては、fault制御
部452aが、スイッチ531，532によって、521と42を、さ
らに、42と54とを接続する。

【０１７６】そして、fault制御部452aは、521、522に
対し、入出力ペア格納部385から入力データおよび出力
データを１セットとり、それぞれ、入力データ格納部52
1、出力データ格納部522に格納する。

【０１７７】521に格納された入力データは、42の入力
情報となり、42にて多重バージョン実行され、各バージ
ョンの実行結果が、出力データ群格納部54に蓄えられ
る。そして、比較器55にて、出力データ群格納部54に格
納された実行結果のデータは、各々、出力データ522と
比較され、予め定められた出力データ522と一致しない
実行結果を与えたバージョンは、バグを有すると判断さ
れる。

【０１７８】55での比較結果をfault箇所特定部451に通
知する。451では、この通知情報にもとづいて、故障箇
所を特定し、その特定結果を表示用データ変換部56とfa
ult制御部452aに送る。 56では、送られてきた情報を
表示用データに変換して、384に故障箇所等を表示させ
る。表示させる内容は、ユーザーの操作性を考慮し各
種の項目が考えられる。

【０１７９】452aは、次々と、521、522に別の入出力デ
ータを格納させ、多重バージョン実行を、順次行なわせ
て行く処理を継続する。また、エラー発生時には、452a
は、同じ入出力データにもとづいて、多重バージョンを
再実行させる機能を有する構成にするのが好ましい。

【０１８０】データ入力部382を介して、直接、必要な
データを入力せしめデバックを行うデバッグモードで
は、fault制御部452aが、スイッチ531、532の切換によ
り、382と42、42と43を接続する。

【０１８１】42にて、データ入力部382を介して与えら
れた入力データを、多重バージョン実行し、さらに、各
バージョンの実行結果は、43にて多数決され、また、そ
の結果は、fault箇所特定部451に通知される。451で
は、通知情報にもとづいて故障箇所を特定し、その特定
結果を、表示用データ変換56とfault制御452aに送る。5
6では、送られてきた情報を、表示用データに変換し
て、384に、故障箇所等を表示させる。

【０１８２】なお、入出力ペアを使用したデバッグモー
ドは、残存バグの比較的多い、デバッグ初期段階におい
て有効であり、直接データを入力するデバッグモード
は、残存バグが少なくなったデバッグ終期段階にて有効
である。

【０１８３】以上のように、デバッガに、多重バージョ
ン実行機能を付随させ、生成された全てのバージョンを
同時に実行すると、冗長度の高い部位のエラー発生率
は、確率的に高くなる。したがって、エラー制御部に
よる故障箇所の特定と、冗長度の高いモジュール間接合
不良の検出が一層正確に行われることにより、効率的な
デバッグが可能になる。

【０１８４】また、各バージョンにおけるエラー発生状
況を記録しておくことにより、図３にて述べた実行バー
ジョン数が、生成バージョン数より少ない場合におい
て、エラー発生頻度の少ないバージョンから順番に実行
バージョンとしていくことにより、実行バージョンの信
頼度が、他の未実行バージョンより高いため、より信頼
性の高い多重バージョン実行が可能となる。

【０１８５】図９は、多重バージョン機能付開発支援シ
ステムの構成例を示すブロック図である。

【０１８６】各構成要素は、例えば、ＣＰＵ、ＲＯＭ、
ＲＡＭ、各種ＣＭＯＳ、プログラム、キーボード、ＣＲ
Ｔディスプレイ等のうち、少なくともいずれか一つを使
用して実現できる。

【０１８７】また、前述の説明で使用した符号と同一の
符号が付された手段は、前述の説明にある手段と同様な
機能を有し、同様に実現可能である。

【０１８８】図中、31は、一連の機能を記載した仕様、
そのうち1A，1B，1Cは、該機能を実現するために使用さ
れる３つのモジュールA，B，Cの仕様を表す。

【０１８９】32はコーデング部であり、1A0，1A1は、1A
のコーディングA0，A1、また、1B0，1B1は、1Bのコーデ
ィングB0，B1、さらに、1C0，1C1は、1Cのコーディング
C0，C1を表す。33は、モジュール作成部を表す。

【０１９０】34は、作成されたモジュールを格納してお
くモジュール格納部を表し、2a0，2a1，2b0，2b1，2c
0，2c1は、それぞれ、1A0，1A1，1B0，1B1，1C0，1C1
を、33によって作成した、モジュールa0，a1，b0，b1，
c0，c1を表す。61は、モジュール別デバッガ、62は第１
修正箇所判定部、35は、多重バージョン生成部を表す。
36は、生成されたバージョンを格納するバージョン格納
部を表し、20，21，22，23，24，25，26，27は、それぞ
れ、34に格納されていた各モジュールを使用して、35に
よって生成したバージョンV0，V1，V2，V3，V4，V5，V
6，V7を表し、また、28は、生成されたバージョンの構
成に関する情報を格納するバージョン情報格納部、385
は、入出力ペアを格納する入出力ペア格納部を表す。

【０１９１】50は、多重バージョン機能デバッガ、63
は、第２修正箇所判定部を表す。

【０１９２】381は、テスト用の入出力ペアを作成する
ためのテスト用入出力ペア作成部、382は、直接データ
を入力するためのデータ入力、383は、モード切換え
部、384は、fault箇所表示部を表す。

【０１９３】以下、多重バージョン機能開発支援システ
ムの動作を説明する。

【０１９４】まず、３つのモジュールA，B，Cを有して
構成される、一連の機能を記載した仕様31にもとづい
て、コーディング部32にてコーディング処理を行なう。

【０１９５】次に、モジュール作成部33により、32にて
作成された各コーデングに対して、モジュールを作成す
る。作成された各モジュールは、それぞれ個別に、モジ
ュール別デバッガ61にてデバッグされる。

【０１９６】61は、通常使用される、汎用のデバッガで
ある。

【０１９７】第１修正箇所判定部は、61による修正の必
要箇所があるか否かを判断する機能を有する。修正の
必要箇所がある間は、32に戻って、該当箇所の修正作業
を行なうことになる。修正箇所が無くなった時に、多重
バージョン生成部35が、作成されたモジュールを組み合
わせて、仕様31を満足するバージョンを生成する。ま
た、35は、各バージョンを構成するモジュールに関する
情報を作成し、バージョン情報格納部28に格納する。さ
らに、381により、テスト用の入出力ペアを作成し、36
内に設けられた入出力ペア格納部385に格納する。次
に、36に格納された各種情報とデータ入力部382、モー
ド切換え部383を使用して多重バージョン機能デバッガ5
0を起動させ、デバッグを行なう。

【０１９８】第２修正箇所判定部は、50による修正の必
要箇所があるか否かを判断する機能を有する。修正の
必要箇所がある間は、fault箇所表示部384に表示され
る、故障箇所情報にもとづいて、32に戻って、該当箇所
の修正作業を行なうことになる。修正箇所が無くなった
時点で、動作を終了する。

【０１９９】以上のように、ソフトウェア開発に、多重
バージョン実行を適用し、かつ、故障箇所の特定および
冗長度の高いモジュール間接合不良の検出の加速化が可
能な、多重バージョン機能デバッガを使用することによ
り、信頼性の高いソフトウェアの開発を、効率良く行な
うことが可能になる。

【０２００】次に、モジュール間整合部の信頼性を向上
するため、モジュール間整合部のみの冗長化を図るため
の実施例について説明する。本実施例では、モジュール
間整合部を３重化する場合を例に取り説明しているが、
本発明の適用例が３重化に限られないことはいうまでも
ない。

【０２０１】さて、図１０に、モジュール間接合部冗長
構成例を表す。

【０２０２】図中、2a，2bは、モジュールａ，ｂを表
す。2ab1，2ab2，2ab3は、モジュール間接合部1，2，3
を、21a，22a，23aは、モジュールａの受け入れチェッ
ク部a1，a2，a3を表す。

【０２０３】2ab11，2ab12，2ab13は、情報変換部1,2,
3を表す。21b，22b，23bは、モジュールｂの受け入れチ
ェック部b1，b2，b3を表す。また43aは、多数決部を表
す。

【０２０４】図１０の動作は、以下のようになる。

【０２０５】2a、すなわちモジュールａから、2b、すな
わちモジュールｂへの情報伝達時に、2aからの出力は、
2ab1，2ab2，2ab3に分岐する。2ab1，2ab2，2ab3は、同
一仕様にもとづいて作成された、モジュール間接合部で
ある。各モジュール間接合部の内部では、・2aからの出力情報の受入れチェック、・両モジュール間それぞれの入出力情報の規約の違いを
吸収するための情報変換、・2bへの入力情報の受入れチェックを行ない、各処理は、a1，a2，a3、2ab11，2ab12，2ab1
3、b1，b2，b3にて、それぞれ実行される。そして、各
モジュール間接合部2ab1，2ab2，2ab3からの出力を、43
aにて多数決を行ない、その結果を2bに送る。

【０２０６】なお、情報変換は、一般に、仕様書に詳細
に記載されているので、信頼性の高いものである場合に
は、2ab11，2ab12，2ab13については、同一のものを使
用する構成が考えられる。さらに、図１１に示すよう
に、a1，a2，a3の出力を、43bにて多数決し、その結果
を一つだけ設けられている情報変換部2ab11に送り、2ab
11の出力結果は、b1，b2，b3に３分岐し、それらの実行
結果を、43aにて多数決し、その結果を2bに送るという
構成も考えられる。

【０２０７】以上のように、本発明によれば、特に、モ
ジュール自体の信頼度が運用実績等により非常に高い場
合において、モジュール間接合部の高信頼化を図ること
により、実現すべき機能全体の信頼度を向上させること
が可能となる。さらに、モジュール自体を冗長化する従
来の多重バージョン実行に比べ、コストの低減が図れ
る。

【０２０８】

【発明の効果】本発明によれば、低コストで、多数個の
バージョンの一連の機能を実現することができ、信頼性
が向上する。特に、モジュール間接合部の多重化が図
れ、モジュール間接合部の信頼性が向上する。

【図面の簡単な説明】

【図１】多重バージョン機能実現手段のブロック図であ
る。

【図２】多重バージョン実行装置のブロック図である。

【図３】エラー制御付き多重バージョン実行装置のブロ
ック図である。

【図４】構成制御部の故障バージョン特定方法を表す図
である。

【図５】fault箇所特定の基本概念の説明図である。

【図６】fault箇所特定の動作説明図である。

【図７】fault箇所特定内のノード814の構成を表すブロ
ック図である。

【図８】多重バージョン機能デバッガのブロック図であ
る。

【図９】多重バージョン機能開発支援システムのブロッ
ク図である。

【図１０】モジュール間接合部冗長構成を表すブロック
図である。

【図１１】モジュール間接合部冗長構成を表すブロック
図である。

【図１２】モジュール間組み合わせによる効果の説明図
である。

【図１３】本発明の信頼度と従来の信頼度の関係を表す
グラフである。

【図１４】多重バージョン生成部の動作を表すフローチ
ャートである。

【符号の説明】

３１…仕様、３２…コーデング部、３３…モジュール作
成部、３４…モジュール格納部、３５…多重バージョン
生成部、３６…バージョン格納、２８…バージョン情報
格納部、37…多重バージョン実行装置、４１…入力部、
４２…多重バージョン実行部、４３…多数決部、４４…
出力部、３７a…エラー制御付き多重バージョン実行装
置、４５…エラー制御部、４５１…fault箇所特定部、
４５２…構成制御部、４５２１…fault箇所特定部４５
１からの入力情報、４５２２…比較器、８０１〜８２６
…モジュール間接合部あるいはモジュール自体の故障検
出ノード、８０…ノードチェック部、８１４１…加算
器、８１４２、８１４３…カウンタ、８１４４…故障判
定部、５０…多重バージョン機能デバッガ、５２１…入
力データ格納部、５２２…出力データ格納部、５３１…
スイッチ、５３２…スイッチ、５４…出力データ群格納
部、５５…比較器、５６…表示用データ変換部、４５a
…エラー制御部、４５２a…fault制御部、３８１…テス
ト用入出力ペア作成部、３８２…データ入力部、３８３
…モード切換え部、３８４…fault箇所表示部、６１…
モジュール別デバッガ、６２…第１修正箇所判定部、６
３…第２修正箇所判定部、２a…モジュールａ,２b…モ
ジュールｂ、２ab１…モジュール間接合部１、２ab２…
モジュール間接合部２、２ab３…モジュール間接合部
３、２１a…チェック部a１、２２a…チェック部a２、２
３a…チェック部…a３、２ab１１…情報変換部１、２ab
１２…情報変換部２、２ab１３…情報変換部３、２１b
…チェック部b１、２２b…チェック部b２、２３b…チェ
ック部b３、４３a…多数決部、４３b…多数決部

───────────────────────────────────────────────────── フロントページの続き (72)発明者大辻信也茨城県日立市大みか町七丁目１番１号株式会社日立製作所日立研究所内

Claims

【特許請求の範囲】

【請求項１】一連の機能を実現するソフトウエアを、複
数のモジュールを組み合わせて実現する方法であって、
各モジュールの機能を記述してある、与えられた仕様に
もとづき、各モジュールについてＭi(Ｍiは、モジュー
ルiのバージョン数で２以上の整数である）個のバージ
ョンを作成し、各モジュールごとに、Ｍi個存在するバ
ージョンの中から１個を選択し、選択されたモジュール
を組み合わせることにより、異なるｎ(ｎは、整数であ
る)個の、一連の機能を実現するバージョンを作成する
ことを特徴とする多重バージョン機能実現方法。
【請求項２】請求項１において、作成された異なるｎ
(ｎは、整数である)個の、一連の機能を実現するバージ
ョンの各々に対応して、その各々を構成するモジュール
の組合せを表すモジュール情報を生成することを特徴と
する多重バージョン機能実現方法。
【請求項３】請求項１において、さらに、作成された異
なるｎ個（ｎは、３以上の整数である）のバージョンの
一連の機能を同時に実行し、実行結果を多数決判定し、
メジャーとなった実行結果を、唯一の実行結果として出
力することを特徴とする多重バージョン機能実現方法。
【請求項４】請求項３において、さらに、一連の機能を
実現するバージョンの各々に対応して、その各々を構成
するモジュールの組合せを表すモジュール情報、およ
び、各バージョンの実行結果の一致・不一致の情報にも
とづいて、予め定めた規則にしたがって、モジュール、
および、モジュール間の接合部であるモジュール間接合
部を含む故障箇所を特定することを特徴とする多重バー
ジョン機能実現方法。
【請求項５】請求項４において、前記予め定めた規則
は、異なるバージョン間の実行結果の一致・不一致の情
報を参照したとき、メジャーとなっていない実行結果を
出力した各バージョンの有するモジュール情報間におけ
る共通箇所である、モジュールまたはモジュール間接合
部のいずれかを少なくとも含む箇所を、故障箇所とする
多重バージョン機能実現方法。
【請求項６】請求項４において、前記予め定めた規則
は、異なるバージョン間の実行結果の一致・不一致の情
報を参照したとき、メジャーとなっていない実行結果を
出力した各バージョンの有するモジュール情報間におけ
る共通箇所である、モジュールまたはモジュール間接合
部のいずれかを少なくとも含む箇所の出現回数が、予め
定めたしきい値以上になったとき、該箇所を故障箇所と
する多重バージョン機能実現方法。
【請求項７】請求項４において、故障箇所を特定後、故
障箇所を有するバージョンを、故障箇所を有さないバー
ジョンと取り換えることを特徴とする多重バージョン機
能実現方法。
【請求項８】一連の機能を実現するソフトウエアを、複
数のモジュールを組み合わせて実現する方法であって、
各モジュールの機能を記述してある、与えられた仕様に
もとづき、各モジュールについてＭi(Ｍiは、モジュー
ルiのバージョン数で２以上の整数である）個のバージ
ョンを作成し、各モジュールごとに、Ｍi個存在するバ
ージョンの中から１個を選択し、選択されたモジュール
を組み合わせることにより、異なるｎ(ｎは、整数であ
る)個の、一連の機能を実現するバージョンを作成し、
さらに、異なる（ｎ−Ｒ）個（ｎ、Ｒは、整数である）
のバージョンの一連の機能を同時に実行し、実行結果を
多数決判定し、メジャーとなった実行結果を、唯一の実
行結果として出力し、さらにまた、一連の機能を実現す
るバージョンの各々に対応して、その各々を構成するモ
ジュールの組合せを表すモジュール情報、および、各バ
ージョンの実行結果の一致・不一致の情報にもとづい
て、予め定めた規則にしたがって、モジュール、およ
び、モジュール間の接合部であるモジュール間接合部を
含む故障箇所を特定し、故障バージョンの取り換えに際
し、特定した故障箇所の情報と前記モジュール情報を比
較し、共通の故障箇所を有さず、かつ、未使用である一
連の機能を実現するＲ個のバージョン内からバージョン
を選択し、該選択したバージョンと故障バージョンを取
り換えることを特徴とする多重バージョン機能実現方
法。
【請求項９】複数のモジュールを組み合わせて構成する
一連の機能の実現方法であって、モジュール同士を接続する接合部を、複数個のバージョ
ンからなる多重バージョンを使用して多重構成とし、多
重バージョンの実行結果を多数決し、メージャとなった
実行結果を出力するバージョンによって、接合部の有す
る機能を実現するモジュール間接合部機能実現方法。
【請求項１０】請求項９において、前記接合部は、接合
部に情報を入力する出力モジュールと、接合部から情報
を出力する入力モジュールとを備えておき、第一に、出力モジュールからの情報が、予め予想される
ものと一致するか否かのチェックを行い、第二に、チェ
ックにより妥当と判断された情報を、出力モジュールか
ら入力モジュールへ送るために所定の変換を行い、第三
に、入力モジュールへ与える情報が、予め予想されるも
のと一致するか否かのチェックを行い、チェックにより
妥当とされた情報を入力モジュールに出力することを特
徴とするモジュール間接合部機能実現方法。
【請求項１１】各モジュールの機能を記述してある、与
えられた仕様にもとづき、各モジュールについてＭi(Ｍ
iは、モジュールiのバージョン数で２以上の整数であ
る）個のバージョンを作成し、記憶しておく記憶手段
と、各モジュールごとに、Ｍi個存在するバージョンの
中から１個を選択し、選択されたモジュールを組み合わ
せることにより、異なるｎ(ｎは、整数である)個の一連
の機能を実現し、与えられたデータに対して実行を行う
実行部と、一連の機能を実現する機能を有する複数のバ
ージョンの実行結果を、多数決処理する多数決部と、該
多数決部の出力結果および一連の機能を実現するバージ
ョンの各々を構成するモジュールの組合せを表すバージ
ョン情報にもとづいて、モジュール、モジュール間接合
部を含む故障箇所を特定する故障箇所特定部と、特定さ
れた故障箇所を含む故障情報を表示する表示部と、前記
記憶手段に格納された、モジュール、モジュール間に存
在する接合部の少なくとも一つを修正可能なデバッガ用
入力装置とを具備する多重バージョン実行用デバッガ装
置。
【請求項１２】請求項１１において、さらに、入力デー
タと作成されたバージョンが仕様を満足しているとき得
られるべき出力データとを入出力ペアとして、該入出力
ペアを少なくとも１以上格納する入出力ペア格納部と、
前記入力データを与えて前記実行部を起動したときに得
られる実行結果と前記出力データが一致しているか否か
を比較する比較部と、該比較部の出力結果と前記バージ
ョン情報にもとづいて、モジュール、モジュール間接合
部を含む故障箇所を特定する、新たな故障箇所特定部
と、特定された故障箇所を含む故障情報にもとづき、該
入力データを与えて前記実行部を起動する処理の再実
行、あるいは、新たな入出力ペアを構成する新たな入力
データを前記実行部に与える新たな実行のうち、少なく
とも一方を実行する故障箇所制御部と、前記故障情報を
前記表示部に表示させる表示制御部とを備えたことを特
徴とする多重バージョン実行用デバッガ装置。
【請求項１３】請求項１２において、さらに、デバッグ
モード選択手段を備え、該デバッグモード選択手段は、
該デバッガ選択手段の選択動作により、前記デバッガ用
入力装置を介してのデバッグモード、および、前記入出
力ペア格納部に格納された入出力ペアを使用してのデバ
ッグモードのいずれかを選択可能にしたことを特徴とす
る多重バージョン実行用デバッガ装置。
【請求項１４】一連の機能を実現するソフトウエアを、
複数のモジュールを組み合わせて実現するため、各モジ
ュールの機能を記述してある与えられた仕様にもとづ
き、各モジュールについてＭi(Ｍiは、モジュールiのバ
ージョン数で２以上の整数である）個のバージョンをコ
ーディングするモジュールコーディング部と、各コーデ
ィングを実行ファイルに変換するモジュール作成部と、
作成した各実行ファイルを直接デバッグ可能なモジュー
ル別デバッガと、生成した各実行ファイルにおいて、各
モジュールごとに、Ｍi個存在するバージョンの中から
１個を選択し、選択されたモジュールを組み合わせるこ
とにより、異なるｎ(ｎは、整数である)個の、一連の機
能を実現するバージョンの実行ファイルおよび各バージ
ョンを構成するモジュールを示すモジュール情報を作成
する多重バージョン作成部と、前記コーディング、モジ
ュールの実行ファイル、モジュール情報、および一連の
機能を実現するバージョンの実行ファイルを少なくとも
格納する格納部と、前記一連の機能を実現するバージョ
ンの実行ファイルの実行を少なくとも行う実行部と、多
重バージョン機能デバッガ部と、第１および第２故障検
出手段とを具備し、前記多重バージョン機能デバッガ部は、表示手段と、前記記憶手段に格納された内容を修正可能
なデバッガ用入力装置と、前記第１および第２故障検出
手段の切換手段とを備え、前記第１故障検出手段は、前記実行部の実行結果を多数決する多数決部と、多数決
の結果と前記モジュール情報にもとづいて故障箇所を特
定する第１故障箇所特定部と、特定された故障箇所を含
む故障情報を前記表示手段に表示する第１表示処理部と
を備え、前記第２故障検出手段は、入力データと作成されたバージョンが仕様を満足してい
るとき得られるべき出力データとを入出力ペアとして、
該入出力ペアを少なくとも１以上格納する入出力ペア格
納部と、前記入力データを与えて前記実行部を起動した
ときに得られる実行結果と前記出力データが一致してい
るか否かを比較する比較部と、該比較部の出力結果と前
記バージョン情報にもとづいて故障箇所を特定する第２
故障箇所特定部と、特定された故障箇所を含む故障情報
にもとづき、該入力データを与えて前記実行部を起動す
る処理の再実行、あるいは、新たな入出力ペアを構成す
る新たな入力データを前記実行部に与える新たな実行の
うち、少なくとも一方を実行する故障箇所制御部と、特
定された故障箇所を含む故障情報を前記表示手段に表示
する第２表示処理部とを備えたことを特徴とする多重バ
ージョン機能開発支援装置。