JPH07182189A - 計算機システム及びプロセッサチップ及び障害復旧方法 - Google Patents

Abstract

(57)【要約】 【目的】 構成ユニットを多重化した高信頼化計算機装
置において、多重化や障害検知・切り換えによる性能低
下を押え高性能な計算機システムを得る。 【構成】 システムバスを３重化し、その各々のシステ
ムバス１、２、３に１つまたは複数のプロセッサ１１、
１２、１３、２１、２２、２３を接続し、プロセッサは
異なるバス上の３個が同期動作を行い、１つの論理的な
プロセッシングユニットを構成する。３重化されたシス
テムバスの出力は、メモリおよびＩ／Ｏで比較され正し
いものが選択される。Ｉ／Ｏは第２層のシステムバスに
接続し、そのバスは３重化、２重化、非多重の構成を信
頼性、経済性、汎用性などを考慮し、最適なものを選択
する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、多重構成による高信
頼化計算機において、特に高周波クロックで動作し、複
数のプロセッシングユニットを備え高性能な処理能力を
有する計算機システムと、障害発生後の障害回復方式に
関するものである。

【０００２】

【従来の技術】フォールトトレラント計算機の分野にお
いて、計算機の信頼性を高める方法として、故障率の高
いモジュールを多重化し、あるモジュールが故障しても
残りのモジュールで正しい動作を行う方式が一般的にと
られている。この、多重化の範囲はＣＰＵ、メモリ、バ
スなどであり、これらに種々のエラーチェック機能を付
加して、高信頼化を行っている。

【０００３】従来例として、例えば、特開昭５８−１３
７０５４号では、プロセッシングボード、主記憶、入出
力制御装置が、通称ペア＆スペアとよばれる二重化され
た２枚のボードで構成され（プロセッシングユニットと
しては、全体で４個のプロセッサを必要とする）、完全
に同期動作を行う。各ボード内では、出力段の比較照合
を行い、一致しなければ、そのボードは故障したものと
みなし、外部バスへのアクセスをしない。故障したボー
ドの情報はスペア側に伝えられ、スペア側のみでシステ
ムは動作を実行し続けることができる。

【０００４】また、特開平２−２０２６３６号では、３
つの独立したプロセッシングボード（同一周波数だが位
相が異なるクロックで各々動作する）で構成され、各プ
ロセッシングボードは、プロセッサ、キャッシュメモ
リ、ローカルメモリから成る。各プロセッシングボード
は、グローバルメモリへのアクセス時、およびサイクル
カウンタと称するカウンタのオーバフロー時に同期をと
りながら動作する。

【０００５】さらに、特開平４−２４１０３８号及び特
開平４−２４１０３９号では、同一プロセッシングボー
ドに３つのプロセッサを実装し、同一クロックで完全同
期して動作する。該プロセッサのうち、選択回路により
選択された２つの出力をそれぞれ外部に出力する。プロ
セッサからキャッシュメモリや外部へのアクセス経路
は、選択回路の判定結果に従って内部バスのゲートの開
閉することで決定される。

【０００６】さらに、特開昭５９−１６０８９９号で
は、同一プロセッシングボードに２つのプロセッサと１
つのキャッシュを実装し、プロセッシングボードが処理
を行なう場合は、命令およびデータを２重化された主記
憶からキャッシュ（ストアインキャッシュ）にロードし
てきて、該２つのプロセッサは同期動作を行ない、実行
結果を比較する。一連の処理が正常に完了する（即ち、
２重化プロセッサの処理が常に一致していた）場合また
はキャッシュがオーバーフローする場合にキャッシュの
内容を主記憶に書き戻す。この方式は、２重化された主
記憶（の少なくとも一方）に常に正しいデータを確保す
ることを保証とすることによって、信頼性を向上してい
る。プロセッシングユニットの障害は、正しく検知さえ
できればよい（該ユニットによる継続はできなくてよ
い）。プロセシングユニットの障害時には、そのユニッ
トが行なった処理を、（古いが）正しい主記憶上のデー
タをもとに別のプロセッシングユニットで再実行する。

【０００７】また、図３１に示すように、従来の計算機
システムの高信頼化の一方式として、プロセッサを３重
化し、各プロセッサは同一命令を実行し、出力を多数決
回路で、比較・選択し、システムバスに出力する方式が
ある。こうすることによって単一のプロセッサの故障に
対して、システムは正常な運用が続行できる。

【０００８】

【発明が解決しようとする課題】従来の技術によると、
１つの箇所が故障しても、正常に動作を続けるフォール
トトレラント計算機を実現するために、さまざまな方法
がなされているが、これらの方法で、高周波クロックで
動作し、複数のプロセッシングユニットを要する高性能
な計算機を構築しようとすると以下の問題点があった。

【０００９】上記従来例の特開昭５８−１３７０５４号
では、プロセッシングユニットがペア＆スペアの２枚で
構成されているため、１プロセッシングユニットあたり
４個のプロセッサが必要である。一般に高速動作可能な
プロセッサチップは、他の部品に比較して非常に高価な
ため、このような構成はコストが高くなる。

【００１０】また、上記従来例の特開平２−２０２６３
６号では、３つの独立したプロセッサボードで構成され
ている。各プロセッサボードは、同一周波数（厳密には
同一ではない）だが位相の異なるクロックで動作するた
め、各プロセッサボード間の同期あわせのための特別な
機構を必要とし、マルチプロセッサ化などの高速性能化
手法を適用するのは困難が伴うと思われる。

【００１１】また、上記従来例の特開平４−２４１０３
８、特開平４−２４１０３９号では、プロセッシングユ
ニットを同一のボードで構成し、３つのプロセッサを実
装し、同一クロックで完全同期して動作するもので、マ
ルチプロセッサ化による高性能化も適用できる。しか
し、プロセッサとキャッシュメモリ間にプロセッサの出
力の正当性を確認する回路が入り、プロセッサのノーウ
ェイト動作と高周波数の動作の障害となり、やはり高性
能化を阻害している。

【００１２】また、上記従来例の特開昭５９−１６０８
９９号では、プロセッシングボードは独立クロックで動
作し、内部は２つのプロセッサで構成され、プロセッサ
故障時は、前回のキャッシュメモリのフラッシュタイミ
ングで主記憶に格納された内容から別のプロセッシング
ユニットが処理を再実行するチェックポイント方式で、
通常処理においてもキャッシュメモリのフラッシュなど
のオーバヘッドがあり、障害時にはチェックポイントま
で後戻りする欠点があり、性能が低下する。

【００１３】また、図３１に示す方式だと、１論理ＣＰ
Ｕ毎に多数決回路が必要であり、論理ＣＰＵの台数が多
いマルチプロセッサの構成を考えた場合、相対的に多く
のＨ／Ｗを必要とする。また、ＣＰＵの周波数も付加回
路で制約を受けやすいし、キャッシュを有するプロセッ
サの場合、キャッシュのスヌープおよびコヒーレンシを
とるためのバストランザクションが発生するが、このよ
うな処理でオーバヘッドが発生して、性能が低下する。

【００１４】この発明は、上記のような問題点を解消す
るためになされたもので、高性能なフォールトトレラン
ト計算機、特に最新の技術を用いた標準の高性能なプロ
セッサチップおよび周辺のチップセットの有する高速性
を十分発揮させ、またマルチプロセッサ技術を包含する
最新のオペレーティングシステムを搭載することで、非
常に高い性能を発揮できるフォールトトレラント計算機
を提供することにある。

【００１５】また、上記のような計算機において障害発
生時やその回復処理において、信頼性を低下させない障
害回復方法や、性能を低下させない障害回復方法を有す
る計算機システムを提供する。

【００１６】また、同じハードウェア構成で、信頼性を
要求するシステムと、性能を要求するシステムの両方に
対応できる計算機ハードウェア構成を提供する。

【００１７】

【課題を解決するための手段】この発明の計算機システ
ムは、以下の要素を有することを特徴とする。（ａ）デ
ータを転送する３以上複数のバス、（ｂ）上記複数のバ
スに個々に接続され同一動作する３以上複数のプロセッ
サを備えたプロセッシングユニット、（ｃ）上記プロセ
ッサからバスを介してアクセスされるデバイスと、上記
３以上のバスと上記デバイスの間にあってバスの選択を
行う選択手段と、選択手段により選択されたバスとデバ
イス間のデータ転送を制御する制御部を備えたサブシス
テム。

【００１８】上記プロセッシングユニットは、複数存在
し、ひとつのバスに複数のプロセッサを備えたことを特
徴とする。

【００１９】上記選択手段は、バスからデバイスへデー
タを転送する場合、複数のバスからひとつのバスを選択
してデバイスと接続し、デバイスからバスへデータを転
送する場合、複数のバスを選択してデバイスと接続する
ことを特徴とする。

【００２０】上記制御部は、上記３以上のバスのデータ
を比較して、障害の発生を検出し、その検出結果に基づ
いて上記選択手段のバスの選択を制御する障害検出手段
を備えたことを特徴とする。

【００２１】上記計算機システムは、上記障害検出手段
の検出結果に基づいて、障害があったバスを切り離す切
り離し手段を備えたことを特徴とする。

【００２２】上記サブシステムは、主記憶装置であり、
上記デバイスはメモリであり、上記制御部はメモリとバ
ス間のデータ転送を行うメモリ制御部であることを特徴
とする。

【００２３】上記主記憶装置を複数備え、上記複数のバ
スにそれぞれ接続したことを特徴とする。

【００２４】上記サブシステムは、周辺機器システムで
あり、上記デバイスは入出力装置であり、上記制御部は
入出力装置とバス間のデータ転送を行う入出力制御装置
であることを特徴とする。

【００２５】上記周辺機器システムは、上記複数のバス
に対応する３以上の第２バスと、上記バスと第２のバス
をそれぞれ接続する３以上のバスブリッジを備えたこと
を特徴とする。

【００２６】上記周辺機器システムは、上記選択手段と
上記入出力装置の間にひとつバスから成る第３のバスを
備えたことを特徴とする。

【００２７】上記周辺機器システムは、上記選択手段を
ふたつ備え、ふたつの選択手段と上記入出力装置の間に
ふたつのバスから成る第４のバスを備えたことを特徴と
する。

【００２８】上記複数の主記憶装置は、バスに対してデ
ータを送出するプライマリ主記憶装置とバスに対してデ
ータを送出しないセカンダリ主記憶装置を備えたことを
特徴とする。

【００２９】上記プライマリ主記憶装置は、バスに転送
するデータの正当性をチェックするチェック手段と、チ
ェック手段のチェック結果に基づいてセカンダリ主記憶
装置とプライマリ主記憶装置を交替する交替手段を備え
たことを特徴とする。

【００３０】上記チェック手段は、各バスから転送され
てきたデータの正当性をチェックする冗長コードを生成
する複数の冗長コード生成手段と、生成された複数の冗
長コードから正しい冗長コードを選択して記憶する冗長
コード選択手段を備えたことを特徴とする。

【００３１】上記チェック手段は、各バスに対応して冗
長コードをチェックする複数の冗長コードチェック手段
を備えたことを特徴とする。

【００３２】上記計算機システムは、動作モードとして
３以上のバスを同期動作させる同期動作モードと、３以
上のバスをそれぞれ非同期に動作させる個別動作モード
を備えたことを特徴とする。

【００３３】上記選択手段は、個別動作モードにおい
て、複数のバスからデバイスへのデータ競合を制御する
とともに、デバイスからデータを対応するいずれかのバ
スに出力することを特徴とする。

【００３４】上記計算機システムは、さらに、同期動作
モードにおいて、複数のバスへ出力されたバス獲得要求
をひとつのバス獲得要求として処理し、個別動作モード
において、複数のバスへ出力されたバス獲得要求ををそ
れぞれ個別のバス獲得要求として処理するアビトレーシ
ョン手段を備えたことを特徴とする。

【００３５】上記計算機システムは、動作モードとして
３以上のバスを同期動作させる同期動作モードと、３以
上のバスをそれぞれ非同期に動作させる個別動作モード
を備え、上記複数の主記憶装置は、個別動作モードにお
いて異なるアドレスを用いてアクセスされるメモリを備
えたことを特徴とする。

【００３６】上記計算システムは、上記動作モードを指
定するモード指定手段と、モード指定手段により指定さ
れたモードに設定するモード設定手段を備えたことを特
徴とする。

【００３７】この発明のプロセッサチップは、以下の要
素を有することを特徴とする。（ａ）第１のプロセッ
サ、（ｂ）第２のプロセッサ、（ｃ）上記第１と第２の
プロセッサを個別にリセットするリセット手段、（ｄ）
上記第１と第２のプロセッサの動作を個別に停止させる
停止手段、（ｅ）上記第１と第２のプロセッサのバス使
用要求を個別に出力するバス使要求出力手段、（ｆ）上
記第１と第２のプロセッサへバス使用許可を個別に入力
するバス使用許可入力手段、（ｇ）上記第１と第２のプ
ロセッサのその他の入出力を共通化して行なう共用手
段。

【００３８】また、３以上のバスと、各バスに対応して
上記プロセッサチップを３以上備え、第１と第２のプロ
セッサをそれぞれ同一のバスに接続したことを特徴とす
る。

【００３９】また、上記バスを４つ備えたことを特徴と
する。

【００４０】また、この発明は第１、第２、第３のバス
にそれぞれ個々に接続され同一動作を行なう第１、第
２、第３のプロセッサを備えた第１のプロセッシングユ
ニットと、第１、第２、第３のバスにそれぞれ個々に接
続され同一動作を行なう第４、第５、第６のプロセッサ
を備えた第２のプロセッシングユニットとを備えた計算
機システムの第１のプロセッサに障害が発生した場合の
障害復旧方法において、以下の工程を有することを特徴
とする。（ａ）第１のプロセッシングユニットで実行中
の処理を第２及び第３のプロセッサにより継続して実行
する継続実行工程、（ｂ）上記継続実行工程後、第１の
プロセッシングユニットの動作を停止させ、第２のプロ
セッシングユニットにより次の処理を開始するシングル
ユニット処理工程。

【００４１】上記継続実行工程は、（ａ）第１のプロセ
ッサと第４のプロセッサの出力を抑止する出力抑止工程
と、（ｂ）第１のバスの動作を第２、第３のバスの動作
に追随させ第４のプロセッサの出力を除く動作を継続実
行させる追随工程を備え、上記シングルユニット処理工
程は、（ａ）第１のプロセッシングユニットの動作停止
後、第４のプロセッサの出力を許可する許可工程と、
（ｂ）第１のバスを第２、第３のバスに同期させる同期
工程を備えたことを特徴とする。

【００４２】上記追随工程は、第１のバスの動作を１サ
イクル以上所定サイクル停止させてから第１のバスの動
作を第２、第３のバスの動作に追随させるバス追随工程
と、第４のプロセッサの動作を所定サイクル停止させて
第５、第６のプロセッサから所定サイクル遅れた同期動
作を行なわせるプロセッサ追随工程を備え、上記同期工
程は、第５、第６のプロセッサの動作を所定サイクル停
止させて第４のプロセッサの動作と同期させるプロセッ
サ同期工程と、第１のバスの動作を第２、第３のバスの
動作と同期させるバス同期工程を備えたことを特徴とす
る。

【００４３】また、この発明は、第１、第２、第３のバ
スにそれぞれ個々に接続され同一動作を行なう第１、第
２、第３のプロセッサを備えた第１のプロセッシングユ
ニットと、第１、第２、第３のバスにそれぞれ個々に接
続され同一動作を行なう第４、第５、第６のプロセッサ
を備えた第２のプロセッシングユニットとを備えた計算
機システムの第１のプロセッサに障害が発生した場合の
障害復用方法において、（ａ）第１のプロセッシングユ
ニットで実行中の処理を、第２、第３のプロセッサによ
り継続して実行、第２のプロセッシングユニットで実行
中の処理を、第５、第６のプロセッサにより継続して実
行する継続実行工程、（ｂ）上記継続実行工程中に、第
１と第４のプロセッサを新規なプロセッサを交換する交
換工程、（ｃ）上記交換工程後、第１と第４のプロセッ
サを他のプロセッサと同期させて動作させる同期工程を
備えたことを特徴とする。

【００４４】上記同期手段は、（ａ）第１のバスを第
２、第３のバスの動作から１サイクル以上所定サイクル
遅らせて動作させるバス追随工程と、（ｂ）第１と第４
のプロセッサ他のプロセッサの動作から所定サイクル遅
らせて動作させるプロセッサ追随工程と、（ｃ）上記第
２、第３、第５、第６のプロセッサの動作を所定サイク
ル停止させて第１と第４のプロセッサの動作と同期させ
るプロセッサ同期工程と、（ｄ）第１のバスの動作を第
２、第３のバスの動作と同期させるバス同期工程を備え
たことを特徴とする。

【００４５】

【作用】この発明に係わる計算機システムは、システム
の高性能化のためにプロセッサとシステムバスを一体化
して３重化したものである。この一体化したプロセッサ
とシステムバスを同一クロックで同期動作させることに
より、システムの高性能化が計れる。一方、主記憶装置
等のサブシステムは、プロセッサやシステムバスほど高
速化は要求されないため、かつ多重化する場合に費用が
かかるため３重化されない。プロセッサ及びシステムバ
スが３重化されているのに対してサブシステムが３重化
されていないためサブシステムに対して選択手段を設け
３重化されたバスとの間でのデータ転送を制御する。こ
の発明は従来の様にプロセッサの多重化を行なうだけで
なくシステムプロセッサとシステムバスを一体化して多
重化している点に特徴がある。バスまで多重化すること
によりシステム全体の信頼性を向上させることができ
る。一方サブシステムは、プロセッサやシステムバスに
比べて高性能に動作する必要はなくさほど高速処理が要
求されない。また、主記憶装置等のサブシステムを３重
化することはシステムのコストを増加させてしまうとい
う欠点がある。従って、この発明においては、プロセッ
サとシステムバスを一体化して３重化し、サブシステム
はこれら３重化された出力を選択手段により選択するよ
うにしたものである。また、プロセッサとシステムを３
重化することにより単に２重化した場合に比べて３つの
出力を比較するという簡単な方法によりエラーを検出す
ることが可能になる。プロセッサやバスを単に２重化し
た場合には単に２つの出力を比較しただけではどちらが
障害を起こしているか判断することができずパリティチ
ェックやＥＣＣ等の冗長コードを用いた特殊なエラー検
出機能を持たせなければならない。これに対し３重化し
た場合には多数決を取るという簡単な回路により障害を
起こしたものを特定することができる。

【００４６】第２の発明においては、一つのバスに複数
のプロセッサを備え、バスの使用効率を向上する。

【００４７】第３の発明においては、選択手段は複数の
バスから一つのバスを選択してデバイスにデータを転送
し、逆にデバイスからのデータを複数のバスに転送する
ようにしているのでバスが３重化されていてもデータ転
送が矛盾なく行なえる。

【００４８】第４の発明においては、障害検出手段が単
にバスのデータを比較することにより障害を検出するこ
とができ簡単な構成により障害を検出できる。このよう
にバスが３本以上ある場合にはパリティやＥＣＣ等の冗
長機能を不要にできる。

【００４９】第５の発明においては、障害が発見された
場合にはそのバスを切り離すため障害のあったバスが他
のバスに影響を及ぼすことはなくなる。

【００５０】第６の発明においては、サブシステムが主
記憶装置であることを特徴としている。主記憶装置は価
格的にも高価格であるため、プロセッサやバスと同じ数
だけ多重化することはできない為、複数のプロセッサ及
び複数のバスにより共有化される。

【００５１】第７の発明においては、主記憶装置を複数
備えそれぞれの主記憶装置を複数のバスに接続したこと
を特徴としている。このように主記憶装置を複数にする
ことにより主記憶装置の信頼性を向上させる。

【００５２】第８の発明においては、複数のバスに周辺
機器システムを接続したことを特徴とするものである。
周辺機器システムには、デバイスとして入出力装置が存
在し、制御部として入出力制御装置が存在する。この様
に周辺機器システムをサブシステムとして接続する場合
でも前述した複数のバスとの間でデータの転送を行なう
ことができる。この周辺機器システムにおいても周辺機
器システム内に選択手段があることにより３重化された
プロセッサ及びバスを選択的に入出力装置に接続する。

【００５３】第９の発明においては、上記周辺機器シス
テム内には第２のバス（ローカルバス）が存在してお
り、この第２のバスは前述した複数のバスにそれぞれ対
応して設けられている。第２のバスをそれぞれ接続する
場合にはバスブリッジを介して接続する。この様に周辺
機器システム内にあるローカルバスを多重化することに
より信頼性を高めることができる。

【００５４】第１０の発明においては、周辺機器システ
ム内のバスを単一のバスとした場合である。周辺機器シ
ステムの経済性を考えた場合の構成である。

【００５５】第１１の発明においては、周辺機器システ
ム内のバスを２重化する場合の構成であり、周辺機器シ
ステム内部のバスを２重化する場合には選択手段を二つ
設け２重化されたバスに対して接続する。このようにし
て３重化されたバスを２重化されたバスのそれぞれに接
続できるようになる。

【００５６】第１２の発明においては、主記憶装置が多
重化された場合に、その一つをプライマリ主記憶装置と
して通常バスに対してデータを送出するようにしたもの
である。プライマリ主記憶装置以外はセカンダリ主記憶
装置としてバスに対してデータを送出しない。この様に
して主記憶装置からバスに対してのデータの転送を矛盾
なく行なう。

【００５７】第１３の発明においては、プライマリ主記
憶装置にデータの正当性をチェックするチェック手段を
設けているためチェック手段により障害発生が検出され
た場合にはいずれかのセカンダリ主記憶装置をプライマ
リ主記憶装置に変更する。

【００５８】第１４の発明においては、各バスに対応し
てデータの正当性をチェックする冗長コードを生成する
複数の冗長コード生成手段を設けており、生成されたコ
ードの中から誤りのないコードを選択して記憶する。従
って生成された冗長コードの信頼性が高まる。

【００５９】第１５の発明においては、各バスに対応し
て冗長コードをチェックする冗長コードチェック手段を
備えているので各バスに出力されるデータの正当性を個
別チェックすることができる。また、主記憶装置内のメ
モリからバスの間で起きる障害をチェックすることがで
きる。

【００６０】第１６の発明においては前述した複数のバ
スをそれぞれ非同期に動作させる個別動作モードを備え
ている。従って、バスを同期させて動作させる場合には
システムの信頼性が向上すると共に、非同期に個別動作
させる場合には、各プロセッサ及び各バスはそれぞれ別
個の処理をすることができ性能を向上させることができ
る。

【００６１】第１７の発明においては、個別動作モード
において、選択手段が同期動作モードとは異なる動作を
することを特徴としている。個別モード動作においては
各バスが個別に動作するためサブシステムに対するアク
セスが競合する。従って、選択手段はこの競合を制御し
て矛盾なく扱う。一方、デバイスからのデータをバスに
出力する場合には同期動作をしている場合と異なり個別
のバスに出力する。

【００６２】第１８の発明においては、同期動作モード
と個別動作モードにおいて異なる処理を行なうアービト
レーション手段を備えている。同期動作モードにおいて
は複数のバスは同一動作を行なう為、複数のバスからの
バス獲得要求は一つのバス獲得要求として処理し、個別
動作モードの場合は、複数のバスが個別に動作している
為それぞれのバス獲得要求を独立のバス獲得要求として
処理する。

【００６３】第１９の発明においては、主記憶装置が複
数存在する場合であって、かつ、個別動作を行う場合に
は、主記憶装置の各メモリが異なるアドレス空間に割り
当てられることを特徴としている。個別モード動作の場
合は、プロセッサ及びバスが個別に動作するため主記憶
装置も複数存在する場合はそれぞれ個別にアクセスでき
るようにして広範囲なメモリ空間を提供する。

【００６４】第２０の発明においては、前述した同期動
作モードと個別動作モードを指定するモード指定手段が
存在し、このモード指定手段により指定されたモードに
システムを設定するモード設定手段を備えている。従っ
て、電源投入時やシステムリセット時に所望のモードに
システムを切り替えることができる。

【００６５】第２１の発明においては、二つのプロセッ
サを封入したプロセッサチップに対して、リセット手段
と停止手段とバス使用要求出力手段とバス使用許可入力
手段がそれぞれ第１と第２のプロセッサに対して個別に
働くように設計されている。その他の信号線（データ線
やアドレス線）は第１と第２のプロセッサで共用して用
いられる。この様なプロセッサチップにおいては、第１
と第２のプロセッサを同期させて同一動作をさせること
も可能であるし、また第１と第２のプロセッサを個別に
動作させることも可能になる。

【００６６】第２２の発明においては、前述したプロセ
ッサチップを３以上備えたことを特徴としており、各チ
ップの第１と第２のプロセッサは同一バスに接続されて
いる。従って、第１の発明で説明した計算機システムに
おいて同期動作モードと個別動作モードの両方を可能に
するシステムを提供することができる。

【００６７】第２３の発明においては、バスを４重化し
た場合でありシステムの信頼性を更に向上させることが
できる。

【００６８】第２４の発明においては、３重化されたシ
ステムにおいて障害が発生した場合の信頼性の低下を回
避する障害復旧方法を提供するものである。第１のプロ
セッサに障害が発生した場合には第２、第３のプロセッ
サにより継続して処理を続行すると共に、第１のプロセ
ッングユニットの処理を適当な時点で終了させ、その後
は、第２のプロセッシングユニットにより処理を行なう
ようにしたことにより、システムが３重化されて動作す
る機会をなるべく多くし、システムの信頼性を維持する
ことができる。

【００６９】第２５の発明においては、障害が発生した
バスを他の正常なバスに追随させる様にして処理を続行
し、第２のプロセッシングユニットにより次の処理を回
避する場合には追随動作を終了させ三つのバスを同期さ
せる様にしたものである。

【００７０】第２６の発明においては、前述した追随動
作の方法をさらに具体化したものであり、第１のバスを
所定サイクル停止させた後に、他のバスに追随させると
共に、第４のプロセッサを所定サイクル停止させて、他
のプロセッサに追随させる様にしたものである。また、
同期を戻す場合には、正常なプロセッサを所定サイクル
停止させて同期させると共に、追随動作しているバスを
他の正常なバスと同期させる様にしたものである。

【００７１】第２７の発明においては、障害の回復処理
時の性能の低下を回避する。性能を維持する場合は、動
作可能なプロセッサの数を維持して処理をさせることが
望ましい。従って、第１のプロセッサが故障した場合で
も、第２と第３のプロセッサを動作させ続けることによ
り性能を維持する。そして同一バスに接続されている第
４のプロセッサと故障した第１のプロセッサを交換す
る。この第１と第４のプロセッサの交換は、新しく挿入
された第１と第４のプロセッサを他のプロセッサと同期
させて動作させることにより、故障の前後においてプロ
セッサの動作する数が等しくなる。

【００７２】第２８の発明においては、プロセッサを交
換した後の同期動作の手順を示している。具体的には第
一のバスを他のバスに追随させるとともに、第１と第４
のプロセッサを他のプロセッサに追随させる。その後正
常なプロセッサを所定サイクル停止させて第１と第４の
プロセッサと同期させ最後に３つのバスの同期をとるこ
とによりプロセッサ交換後の同期をとることができる。

【００７３】

【実施例】

実施例１．図１は、この発明の計算機システムの概略図
である。この図においては、システムバスを３重化し、
各システムバス上のおのおのにプロセッサを接続する。
従って１つの論理ＣＰＵが３つのプロセッサで構成さ
れ、通常は同一の命令を実行する。３重化されたシステ
ムバスも同一のトランザクションを同期して実行し、メ
モリアクセスをする場合、そのアクセスのうち動作が正
しいと判断されるものを選択回路で選択し、結果をイン
タフェースユニットで出力し、他のシステムバスもそれ
と同じレスポンスをメモリ装置から受ける。従って、正
常状態では３重化システムバスの動きは同期しつづけ
る。プロセッサの１つに何等かの障害が発生した場合、
そのシステムバスの動きが他２者とは異なるので障害が
選択回路で検知され、選択の対象からはずされる。よっ
て、プロセッサの故障がメモリの内容に影響を及ぼさ
ず、システムは正常な動作を続行できる。このような構
成によれば、複数の論理ＣＰＵ間に付加回路がない（プ
ロセッサとシステムバスが直結している）ので、キャッ
シュのコヒーレンシが高速にとれる。また、選択回路の
数は論理ＣＰＵの数に比例して多くならないので、大規
模なマルチプロセッサ・システムになってもハードウェ
ア量は比較的少なくでき、高性能な高信頼計算機が容易
に構築できる。

【００７４】図２は、更にこの発明の他の例を示す図で
ある。図２において、図１と異なる点は論理ＣＰＵが２
重化されている点である。論理ＣＰＵ１と論理ＣＰＵ２
は個別に動作し、それぞれの論理ＣＰＵ内のプロセッサ
はすべて同期した同一動作を行なう。この様に論理ＣＰ
Ｕを２重化することにより、バスの使用効率とシステム
の性能が向上する。

【００７５】図３は、更にこの発明の他の構成を示す図
である。図３において図２と異なる点は主記憶装置を２
重化した点である。メモリＡとメモリＢは、同一のアド
レス空間に配置されており、同一のデータを記憶する。
図３に示すように、この構成はメモリモジュール、選択
回路、インタフェースユニットを２重化する。メモリへ
のデータライト時には、両メモリ（メモリＡ、Ｂ）へラ
イトし、リード時にはどちらかの内容を３重化システム
バスに出力する。また、このシステムは、メモリおよび
選択回路、インタフェースユニットに対する障害検知能
力を持ち、これらの部位で障害が検知されたら、システ
ムから切り離し、もう片系のメモリ、選択回路、インタ
フェースユニットでシステムの動作を継続する。このよ
うな構成にすると、プロセッサのみならず、メモリ、選
択回路、インタフェース回路の１点故障に対してはシス
テムの正常続行ができ、信頼性のより高い計算機システ
ムが構築できる。

【００７６】図４は、この発明の他の構成を示す図であ
る。図１から図３においては、信頼性を向上させるため
３つのシステムバスを同一動作をさせる場合について説
明したが、図４の場合は高性能なシステムを得るために
それぞれのプロセッサを個別に動作させるものである。
この構成においては、Ｓ／Ｗからのコマンドで３重化プ
ロセッサを個別に動作するように切り換えることができ
る。即ち、選択回路が、システムバス間のメモリアクセ
スの競合制御を行ない、逐次アクセスするモードを持
つ。従って、図２のような構成のシステムが２論理ＣＰ
Ｕから６論理ＣＰＵに拡張され、システムの演算性能が
向上する。このような構成によれば、１つのハードウェ
ア構成で、信頼性を要求されるシステムとＣＰＵの演算
性能を要求されるシステムの両者に対応でき、効率的な
ハードウェアの使用ができる。また図４は、メモリＡと
メモリＢが個別のアドレス空間を持つ場合を示してい
る。前述したようにこのシステムＳ／Ｗからのコマンド
で、３重化プロセッサを個別に動作するように切り換え
ることができるとともに、２重化されたメモリを別の空
間としてアクセスできるように切り換えることができる
モードを持つ。こうすることによって、ＣＰＵの演算能
力が増大し、Ｓ／Ｗから使用できるメモリ空間も増大
し、システム性能が向上する。このようにこの構成によ
れば、１つのハードウェア構成で、信頼性を要求される
システムとシステム性能を要求されるシステムの両者に
対応でき、効果的にハードウェアリソースの利用でき
る。

【００７７】図５は、この発明の他の構成を示す図であ
る。図５においては、前述した構成に第２階層システム
バス及びその第２階層システムバスに接続される入出力
装置を接続した点が特徴である。このシステムにおいて
は、第２階層システムバスも３重化されておりこの３重
化された第２階層システムバスに対して選択回路および
インタフェースユニットが接続されている。選択回路と
インタフェースユニットは前述したメモリに用いられる
選択回路およびインタフェースユニットと同様のもので
ある。このように図５においては、第２階層システムバ
スを有している場合でも、これらの第２階層システムバ
スを含んでサブシステムと考えることができる。即ち、
第１階層のシステムバスと第２階層のシステムバスはバ
スアダプターにより接続されており連続したシステムバ
スと同様のものと考えることができる。このように図５
に示す構成においては、３重化されたシステムバスのお
のおのに対してバスアダプタを介して、第２階層システ
ムバスを接続する。従って、第２階層システムバスも３
重化される。３重化されたシステムバスと制御装置は、
選択回路とインタフェースユニットを介してアクセスさ
れる。３重化された第１階層システムバスとバスアダプ
タおよび第２階層システムバスの組は、障害がないとき
は同期動作をおこない、プロセッサやバスアダプタに障
害が発生した場合、動作の同期がくずれ、障害が選択回
路で検知される。そして、障害発生の系を切り離し、正
しいデータのみを制御装置やメモリに提供し、システム
は停止しない。一般に第２階層システムバスは、第１階
層システムバスと比べ、低速ではあるが、安価に制御装
置が作成可能という経済性、前機種のものがそのまま使
えるという互換性、市販されている制御装置がそのまま
つかえるという汎用性を満たすものを選択できる。この
ような構成にすると、経済性、互換性、汎用性を維持し
つつ、最新のテクノロジを利用した高性能で高信頼な計
算機システムが構築できる。

【００７８】図６は、この発明の他の構成を示す図であ
る。図６が図５と異なる点は、サブシステム内に含まれ
る第２階層システムバスがシングルバスである点であ
る。このように第２階層システムバスがシングルバスで
ある場合には、第１階層システムバスと第２階層システ
ムバスの間に選択回路を設けることによりデータの転送
を行なうことができる。図６に示す構成においては、３
重化したシステムバスのおのおのに対してバスアダプタ
および選択回路を介して第２階層システムバスを接続す
る。障害がないときは、３重化システムバスは同期動作
を行ない、プロセッサやバスアダプタに障害が発生した
場合、動作の同期がくずれ、障害が選択回路で検知され
る。そして、障害発生系の第１のシステムバスを切り離
す。第２階層システムバス上の制御装置やメモリには選
択回路により正しいデータが供給され、システムは停止
しない。図５および図６に示すように第２階層システム
バスは３重化したりあるいは１重化したりすることがで
きる。特に図６に示す第２階層システムバスは、互換
性、汎用性を満足し、しかも経済的に構成できる。ま
た、図５に示す構成に比べて制御装置毎の選択回路が不
要なので、より経済的である。このような構成にする
と、経済性、互換性、汎用性を維持しつつ、最新のテク
ノロジを利用した高性能で高信頼な計算機システムが構
築できる。

【００７９】図７はこの発明の他の構成を示す図であ
る。図７が前述した構成と異なる点は第２階層システム
バスが２重化されている点である。第２階層システムバ
スが２重化されている場合には選択回路を２重化するこ
とにより３重化された第１階層システムバスとのインタ
フェースをとることができる。図７に示す構成において
は３重化されたバスアダプタのうち、いずれか一つの出
力を選択する選択回路とインタフェースユニットを２つ
持ち、第２階層システムバスを２重化することができ
る。第２階層システムバスは、エラーの検知機能があ
り、第２階層システムバス上で障害が発生すると、２つ
の選択回路のうち、障害のない方がバスアダプタにアク
セスする。このようにすると、プロセッサ、バスアダプ
タ、メモリ、選択回路／インタフェースユニット、第１
および第２階層システムバスで１つの障害が発生して
も、システムは停止せず、処理が続行できる。このよう
な構成にすると、経済性、互換性、汎用性を維持しつ
つ、最新のテクノロジを利用した高性能で高信頼な計算
機システムが構築できる。

【００８０】図８は前述したような構成において故障し
たＣＰＵを切り離しする場合の動作を説明する図であ
る。この構成においては、第１、第２、第３のシステム
バスから構成され、論理ＣＰＵは、第１、第２、第３の
プロセッサを備え、同一の演算を実行しており、論理Ｃ
ＰＵ２は、第４、第５、第６のプロセッサを備え、別の
同一の演算を実行しており、第１のプロセッサは第１の
システムバスに、第２のプロセッサは第２のシステムバ
スに、第３のプロセッサは第３のシステムバスに、それ
ぞれ接続され、同様に第４のプロセッサは第１のシステ
ムバスに第５のプロセッサは第２のシステムバスに、第
６のプロセッサは第３のシステムバスにそれぞれ接続さ
れる。上記の論理ＣＰＵ内のプロセッサのうち、いずれ
か一つ（例えば第１のプロセッサ）が故障した時に、故
障したプロセッサの接続されていない残り２つのバス上
のプロセッサ（第２、第３のプロセッサ）により、現在
実行中のプログラムを切りの良いところ（他の論理ＣＰ
Ｕにプログラムの移行が可能となるところ）まで実行さ
せ正常に停止させた後、故障プロセッサを有するバス
（第１のバス）上の故障していないプロセッサ（第４の
プロセッサ）を他の二つのプロセッサ（第５、第６のプ
ロセッサ）と同じ内部状態に復元し、故障のない論理Ｃ
ＰＵ（論理ＣＰＵ２）は、同一の命令を実行し、従っ
て、３本のシステムバスは同一の動作を行なう。故障し
た論理ＣＰＵで実行していた処理は、別の論理ＣＰＵ
（論理ＣＰＵ２＝第４、第５、第６のプロセッサ）に移
行する。以上のようにこの復旧方法によれば実行中のプ
ログラムを破棄することなく、故障した論理ＣＰＵを切
り離し、正常な論理ＣＰＵおよびシステムバスは３重化
の同期動作を継続でき、信頼性の高い計算機システムが
構築できる。

【００８１】図９は故障したプロセッサを交換する場合
の一例を示す図である。図９に示すように３つのプロセ
ッサが一つのＣＰＵボードに搭載されている場合にはＣ
ＰＵボード単位の交換が行なわれる。図９に示す構成に
おいては論理ＣＰＵ（論理ＣＰＵ１または２）の、各プ
ロセッサ（第１、第２、第３のプロセッサまたは第４、
第５、第６のプロセッサ）が同一の交換モジュール（Ｃ
ＰＵボード）内に配置されており、故障したプロセッサ
（例では第１のプロセッサ）を含むＣＰＵボード（ＣＰ
Ｕボード１）を、全てのプロセッサに障害がない正常な
ＣＰＵボードと交換する。交換されるＣＰＵボードは、
３重化システムバスにアクセスを抑止され、システムバ
スの動作は妨害されない。交換後はＣＰＵボードは、３
重化システムバスにアクセス可能となる。このように図
９に示す構成においては、システムの運転状態が故障発
生以前の状態に戻り、演算性能が回復し、次の障害にも
耐久性ができるため、高信頼性、高性能性を長期に渡っ
て維持できる計算機システムが構築できる。特に交換モ
ジュールの引き抜き時にもバスの３重化動作が続行で
き、信頼性が低下しない。

【００８２】図１０は故障したプロセッサを交換する他
の例を示す図である。図１０においては、２つのプロセ
ッサが一つのＣＰＵボードに搭載されている。そして一
つのＣＰＵボードに搭載された二つのプロセッサは同一
のシステムバスに接続されている。このような構成で、
プロセッサが故障した場合には二つのプロセッサを搭載
したＣＰＵボード単位の交換になる。図１０に示す構成
においては、同一システムバス（第１または第２または
第３のシステムバス）に接続されている各プロセッサ
（第１と第４、または、第２と第５、または、第３と第
６）が同一交換モジュール（ＣＰＵボード）内に配置さ
れており、故障したプロセッサ（例では第１のプロセッ
サ）を含むＣＰＵボード（ＣＰＵボード１）を、全ての
プロセッサに障害がない正常なＣＰＵボードと交換す
る。交換されるＣＰＵが接続されるシステムバスは、シ
ステムの他の部位（例えばメモリ）と切り放され、交換
によりシステムは影響を受けない。

【００８３】図１１は、図１０に示した二つのプロセッ
サを搭載したＣＰＵボードを集積化して一つのチップに
封入する場合の構成を示す図である。システムの運転状
態が故障発生以前の状態以前の状態に戻り、演算性能が
回復し、次の障害にも耐久性ができるため、高信頼性、
高性能を長期に渡って維持できる計算機システムが構築
できる。特に交換モジュールのコネクタ部分のピン数が
少なくハードウェア量が減り、小型化、低価格化に有利
である。また、論理ＣＰＵ数も減少しないので性能低下
がない。図１１に示すようにこのシステムにおいては、
同一バスに接続する複数のプロセッサを同一のチップに
パックする。このチップを各システムバス上に接続し３
重化し、高信頼計算機システムを構築する。このような
構成によれば、複数のマイクロプロセッサがパッケージ
ングされたチップを使用し、小型で安価で高性能な高信
頼計算機システムが構築できる。

【００８４】実施例２．前述した実施例においては概略
を説明したが、ここでは前述した構成の具体的実施例に
ついて説明する。図１２において、１、２、３は３重化
されたシステムバスである。１０はプロセッシングユニ
ット、１１、１２、１３はプロセッシングユニット１０
を構成する３重化されたプロセッサで、バスインタフェ
ースユニット１４、１５、１６を経由してそれぞれシス
テムバス１、２、３に接続されている。２０も同様にプ
ロセッシングユニットで、２１、２２、２２はプロセッ
サ、２４、２５、２６はバスインタフェースユニットで
ある。５０は主記憶装置、５１はメモリアレイブロッ
ク、５２はメモリインタフェースユニット、５３は３つ
のシステムバスの出力を一つ選択したりメモリの出力を
複数のシステムバスに送出する選択回路である。６０も
同様に主記憶装置で、６１はメモリアレイ、６２はメモ
リインタフェースユニット、６３は選択回路である。９
０はシステムバスの使用者を決定するアービトレーショ
ン回路、１０１、１０２、１０３はシステムバスと第２
層のシステムバスを接続するバスブリッジ、１１０は３
重化されたバスブリッジの出力の内何れか一つを選択す
る第２階層システムバスインタフェースユニット、１０
４は第２階層システムバスである。１１１、１１２、１
１３は第２階層システムバス１０４に接続される入出力
制御装置、１２１、１２２、１２３はそれぞれ、入出力
制御装置１１１、１１２、１１３に接続される入出力装
置（フロッピーディスク、磁気テープ、プリンタ）であ
る。また、２０１、２０２、２０３はシステムバスと別
の第２層システムバスを接続するバスブリッジ、２０
４、２０５、２０６はそれぞれ、バスブリッジ２０１、
２０２、２０３に接続された３重化された第２層のシス
テムバスである。２１１、２１２、２１３第２階層シス
テムバス２０４、２０５、２０６の出力を選択する入出
力インタフェースユニット、２２１、２２２、２２３は
入出力インタフェースユニット２１１、２１２、２１３
に接続される入出力装置制御装置、２３１、２３２、２
３３は入出力装置制御装置２２１、２２２、２２３に接
続される入出力装置（ディスク、ＬＡＮ）である。

【００８５】（１．正常実行動作）次に正常実行動作に
ついて説明する。プロセッシングユニット１０は、プロ
セッサ１１、１２、１３から構成されるが、プロセッサ
１１、１２、１３は同一クロックで動作し、常に同一の
命令を実行している。同様に、プロセッシングユニット
２０も、プロセッサ２１、２２、２３から構成される
が、プロセッサ２１、２２、２３は同一クロックで動作
し、常に同一の命令を実行している。また、各プロセッ
シングユニットがシステムバスを使用するときは、各プ
ロセッサ毎に同時にシステムバス要求をアービトレーシ
ョン回路９０に送出し、同時にシステムバス使用許可信
号が返され、同一プロセッシングユニットの各プロセッ
サは、同時に同一のバストランザクションを発行する。
また、後述するとおり、バスブリッジ１０１、１０２、
１０３またはバスブリッジ２０１、２０２、２０３のシ
ステムバス上へのバストランザクションも同期してい
る。従って、プロセッシングユニットからシステムバス
１、２、３へのバストランザクションは正常動作時は同
期している。選択回路５３、６３およびメモリインタフ
ェースユニット５２、６２はシステムバスからのトラン
ザクションに対して、お互い同期して動作し、メモリラ
イトに対しては、５０、６０両方の主記憶装置にライト
し、メモリリードに対しては、一方がプライマリ（ここ
では５０とする）となり、もう一方がセカンダリ（ここ
では６０とする）となり、プライマリ（５０）のみが
１、２、３に対して同時にリードされたデータを送出す
る。

【００８６】（１．１ ＣＰＵ動作）ここで、図１３
で、上記動作のうちプロセッサ１１の動作を詳細に説明
する。図１３において、１はシステムバス、１１はプロ
セッサ、１４はバスインタフェースユニットである。１
４ａ、１４ｂ、１４ｃ、１４ｄ、１４ｅはドライバであ
る１４ｆは出力イネーブル信号、１４ｈはリセット信号
である。１１ｒはシステムバス要求信号、１１ｇはシス
テムバス使用許可信号である。

【００８７】通常実行時は、リセット信号１４ｈは有意
でないのでプロセッサは動作できる。出力イネーブル信
号１４ｆは有意で、ドライバ１４ｂはプロセッサ１１の
出力をシステムバス１に送出する。ドライバ１４ｃはプ
ロセッサ１１のシステムバス要求をシステムバス要求信
号１１ｒとしてアービトレーション回路に送出する。ア
ービトレーション回路はシステムバス使用許可信号１１
ｇを用いて該プロセッサがシステムバス１を使用可能な
ことを伝える。

【００８８】（１．２ 主記憶装置の動作）さらに、図
１４で、主記憶装置５０の動作を詳細に説明する。図１
４において、メモリアレイブロック５１は、メモリデー
タバス５１ａ、ＥＣＣデータバス５１ｂ、メモリアレイ
５１ｃ、ＥＣＣアレイ５１ｄから構成される。メモリイ
ンタフェースユニット５２は、メモリ制御回路５２ａ、
ＥＣＣ生成回路５２ｂ、ＥＣＣチェック回路５２ｃ、プ
ライマリビット５２ｄ、ＡＮＤ素子５２ｅ、他プライマ
リ要求出力線５２ｆ、自プライマリ要求入力線５２ｇ、
ドライバ５２ｈ、５２ｉ、５２ｊ、ＡＮＤ素子５２ｋ、
５２ｌ、５２ｍ、メモリ２重化指定ビット５２ｏ、ＡＮ
Ｄ素子５２ｐから構成される。メモリ制御回路５２ａ
は、メモリアドレス範囲のどの部分に対してアクセスす
るかを指定するメモリアドレス範囲指定レジスタ５２ａ
ａを有している。インタフェースユニット５３は、セレ
クタ５３ａ、比較回路５３ｂ、セレクタ５３ｃ、システ
ムバスの状態を保持するレジスタ５３ｊ、５３ｋ、５３
ｌ、ドライバ素子５３ｍ、５３ｍ、５３ｏから構成され
る。プライマリビット５２ｄは、その主記憶装置がプラ
イマリでリードデータをドライブすることを示すビット
であり、２重化された主記憶装置５０、６０の一方のプ
ライマリビット５２ｄがプラマリとしてセットされてお
り、もう一方はセカンダリとなりプライマリビット５２
ｄはセットされない。この例では、主記憶装置５０がプ
ライマリなので、プライマリビット５２ｄはセットされ
る。主記憶装置６０の同等のビット（図にはないが６２
ｄとする）はセットされていないものとする。尚、主記
憶装置６０は主記憶装置５０と同じ構成をとり、主記憶
装置６０内の構成要素は主記憶装置５０内のそれの５０
番台の番号を６０番台にふり直したものとする（例え
ば、５２ｄを６２ｄとするなど）。ここで、各種レジス
タの初期値は、メモリアドレス範囲指定レジスタ５２ａ
ａおよび６２ａａは同じアドレス範囲が設定してあり、
メモリ２重化指定ビット５２ｏ、６２ｏは共に１がセッ
トしてあるものとする。これらの設定の手順については
後述する。また、９１はプロセッサを個別に実行するか
３重化同期動作させるかを指定する個別実行指定信号、
９２はシステムバス選択信号である。ここでの説明では
個別実行指定信号９１は３重化同期動作を指定するよう
に固定されているものとする。さらに、主記憶装置５０
と６０が相互に連絡するために自プライマリ要求入力線
５２ｇと他プライマリ要求入力線６２ｆは接続されてお
り、自プライマリ要求入力線６２ｇと他プライマリ要求
入力線５２ｆは接続されている。

【００８９】システムバス１、２、３よりシステムバス
の動作が比較回路５３ｂで比較され、セレクタ５３ｃを
経由してセレクタ５３ａに選択信号が伝えられる。そこ
で正常動作しているバスの出力がセレクタ５３ａで選択
され、メモリデータバス５１ａに出力される（ここで、
正常動作しているバスとは、他の２者のバスと動作の異
なるバス以外のバスである。つまり、１本のバスが他の
２本のバスと動作が異なる場合、その一本のバスを正常
動作でないバスとみなし、他の２本のバスを正常動作し
ているバスとする）。メモリ制御回路５２ａはバストラ
ンザクションを解析し、そのアドレスが５２ａａで指定
する範囲内であれば、自メモリへのアクセス（リードま
たはライト）とし、以下の動作を行う。

【００９０】メモリライト時は、メモリ制御回路５２ａ
がメモリデータバス５１ａ上のデータをメモリアレイ５
１ｃにライトするべく制御を行い、データはメモリアレ
イ５１ｃに格納される。同時に、５１ａ上のデータ毎に
ＥＣＣ生成回路５２ｂがＥＣＣコードを生成し、ＥＣＣ
データバス５１ｂを経由してＥＣＣアレイ５１ｄにメモ
リ制御回路５２ａの制御によりＥＣＣコードを格納す
る。

【００９１】メモリリード時は、メモリ制御回路５２ａ
がメモリアレイ５１ｃ、ＥＣＣアレイ５１ｄ内の所望の
アドレスのデータをリードすべく制御を行い、メモリデ
ータはメモリデータバス５１ａに、ＥＣＣデータはＥＣ
Ｃデータバス５１ｂに出力される。これらのデータより
ＥＣＣチェック回路５２ｃがリードされたデータの正当
性をチェックする。データが正当であれば、プライマリ
ビット５２ｄの内容は変化せずセットされたままであ
る。従って、ドライバ５２ｈ、５２ｉ、５２ｊは、ＡＮ
Ｄ素子５２ｅおよびＡＮＤ素子５２ｋ、５２ｌ、５２ｍ
を経由したメモリ制御回路５２ａの制御により、メモリ
データバス５１ａ上のメモリデータを、システムバス
１、２、３に出力する。

【００９２】メモリアレイ５１ｃやＥＣＣアレイ５１ｄ
に障害がある場合は、メモリリード時に、ＥＣＣチェッ
ク回路５２ｃによりＥＣＣエラーとして検知され、１ビ
ット誤りなど自己訂正可能なものであれば、訂正したも
のをメモリデータバス５１ａに送出すればよい。一方、
自己訂正不能な障害が発生した場合は、ＥＣＣチェック
回路５２ｃからの制御によりプライマリビット５２ｄを
リセットし、自主記憶装置はセカンダリになる。同時
に、メモリ２重化ビット５２ｏがセットされているの
で、ＡＮＤ素子５２ｐを経由して、他プライマリ要求出
力線５２ｆが出力される。これによってペアとなってい
る主記憶装置６０に、プライマリになる要求を自プライ
マリ要求入力線６２ｇを介して伝え、主記憶装置６０の
プライマリビット６２ｄがセットされ、主記憶装置６０
がプライマリになり、リードデータを出力する。ここ
で、主記憶装置５０、６０のプライマリビットのセッ
ト、リセット条件を図１５に示す。

【００９３】以上のような構成であるので、プロセッシ
ングユニット１０、２０のような高速動作が要求される
部分には、ボータや選択回路が含まれておらず、高速化
の阻害要因とならない。さらに、システムバスが３重化
されているため、バスのデータの正当性を保証するため
の冗長データ、例えば、パリティビットやＥＣＣコード
を付加しなくともバスの信頼性および耐障害性は十分と
いえ、これらの冗長コードを省けば、バスの高速化が計
れる。本実施例におけるプロセッサ〜メモリ間の障害検
知、正常系選択のための構成を図にすると図１６に示す
ようになる。一方、従来例のものは、一般に図１７とし
て表される。これらの図を比較してもわかるように本実
施例により、障害検知、正常系選択のための手段が簡略
かされ、プロセッサ〜メモリ間のデータ転送が高速に行
えることが分かる。また、選択回路を別の構成にするこ
とで、更に高速化（および高信頼化）が図れるが、別の
実施例として後述する。

【００９４】（１．３ 入出力装置の動作）入出力装置
は、その入出力装置に求められている要求（信頼性、経
済性、汎用性など）で最適な構成が異なってくる。第２
階層のシステムバスは多重化されていない第２階層シス
テムバス１０４と、３重化された第２階層システムバス
２０４、２０５、２０６の２つの異なる構成をとり、上
記の要求に応えている。ディスクやＬＡＮなどシステム
の根幹である入出力装置は、高い信頼性を要求される。
従って、３重化した第２階層システムバス２０４、２０
５、２０６に入出力インタフェースユニット２１１、２
１２、２１３を介して接続する。こうすることで、第２
階層システムバスの障害が発生しても、入出力インタフ
ェースユニット２１１などで検知され、検知された障害
バスを切り離し、システムとしては正常な運転が継続で
きる。一方、ある種のデバイス、例えば、フロッピーデ
ィスク、磁気テープ、プリンタなどは、それ自体が故障
して使用不能になってもシステムとしては、直ちにダウ
ンにつながることはなく、ユーザや専任のオペレータの
運用で障害が切り抜けられるものもある。しかし、市販
されている様々なデバイスのレパートリィをサポートで
き、しかも安価に接続する必要がある。この様な場合に
は、第２階層システムバス１０４の構成にすれば良い。
第２階層システムバス１０４をＩＳＡ、ＥＩＳＡ、ＶＭ
Ｅなどの汎用バスにすれば、市販されている多数のデバ
イスが接続可能となる。また、３重化バスに比べて入出
力インタフェースユニットが不要なので安価になる。

【００９５】図１２に戻って、ディスク２３１から主記
憶装置５０、６０へのデータ転送について説明する。デ
ィスク２３１からメモリへのデータ転送要求およびその
データは入出力制御装置２２１でメモリライトトランザ
クション（データを含む）として発行され入出力インタ
フェースユニット２１１に送られる。入出力インタフェ
ースユニット２１１は第２階層システムバス２０４、２
０５、２０６に該トランザクションを同期して送出し、
それぞれバスブリッジ２０１、２０２、２０３がシステ
ムバス１、２、３を使用して主記憶装置５０、６０にラ
イトする。このとき、バスブリッジ２０１、２０２、２
０３は同時にシステムバス要求をアービトレーション回
路９０に送出し、同時にアービトレーション回路９０か
らシステムバス使用許可信号が返され、従って、同時に
同一のトランザクションが発行される。また、主記憶装
置５０、６０のライト動作は前述と同様である。

【００９６】逆に主記憶装置５０、６０からディスク２
３１へのデータ転送について説明する。主記憶装置５
０、６０へディスク２３１からのデータリード要求は、
ライトトランザクションと同じ３つの経路で主記憶装置
５０、６０に伝わる。プライマリである主記憶装置５０
がリードデータをシステムバス１、２、３に送出し、主
記憶装置６０は送出しない。リードデータは、それぞれ
バスブリッジ２０１→第２階層システムバス２０４、バ
スブリッジ２０２→第２階層システムバス２０５、バス
ブリッジ２０３→第２階層システムバス２０６を経由し
て入出力インタフェースユニット２１１に到達し、入出
力インタフェースユニット２１１はデータを選択し入出
力制御装置２２１に送る。入出力装置２３１は入出力制
御装置２２１にデータをライトする。以上の動作は３重
化された部分はすべて同期動作する。

【００９７】ここで、入出力インタフェースユニット２
１１の動作を図１８において、説明する。図において、
２０４、２０５、２０６は３重化された第２階層のシス
テムバス、２１１は入出力インタフェースユニット、２
１１ａはセレクタ、２１１ｂは比較回路、２１１ｃ、２
１１ｄ、２１１ｅはドライバ素子、２１１ｆ、２１１ｇ
はバスモニタ、２１１ｈはドライバ素子である。

【００９８】図において、第２階層のシステムバス２０
４、２０５、２０６は、同期動作をしている。第２階層
のシステムバス２０４、２０５、２０６から入出力制御
装置２２１へ向う信号は、比較回路２１１ｂで比較され
正常動作しているシステムバスを判定し、セレクタ２１
１ａで選択し出力する。バスモニタ２１１ｇによりバス
トランザクションを監視し、入出力制御装置２２１へ送
出すべき信号を判定し、該信号をドライバ素子２１１ｈ
が入出力制御装置２２１に送出する。入出力制御装置２
２１から第２階層システムバス２０４、２０５、２０６
へ向う信号は、バスモニタ２１１ｆが監視し、送出すべ
き信号を判定し、該信号をドライバ２１１ｃ、２１１
ｄ、２１１ｅを経由して第２階層システムバス２０４、
２０５、２０６に送出する。

【００９９】次に図１２に戻って、磁気テープ１２２か
ら主記憶装置５０、６０へのデータ転送を説明する。入
出力制御装置１１２は磁気テープ１２２のデータをリー
ドし、メモリライトトランザクションを発行し、第２階
層システムバス１０４を経由し、第２階層システムバス
インタフェースユニット１１０に到達する。第２階層シ
ステムバスインタフェースユニット１１０は３つのバス
ブリッジ１０１、１０２、１０３にメモリライトトラン
ザクションを送出し、それぞれバスブリッジ１０１→シ
ステムバス１、バスブリッジ１０２→システムバス２、
バスブリッジ１０３→システムバス３を経由して主記憶
装置５０、６０に到達する。主記憶装置５０、６０は受
信したデータをそれぞれメモリアレイ５１、６１にライ
トする。逆に、主記憶装置５０、６０から磁気テープ１
２２へのデータ転送について説明する。入出力制御装置
１１２はメモリリードトランザクションを第２階層シス
テムバス１０４に発行し、メモリライトトランザクショ
ンと同じ３つの経路で主記憶装置５０、６０に到達す
る。プライマリである主記憶装置５０がリードデータを
システムバス１、２、３に送出し、主記憶装置６０は送
出しない。リードデータは、それぞれバスブリッジ１０
１、１０２、１０３を経由して第２階層システムバスイ
ンタフェースユニット１１０で選択され第２階層システ
ムバス１０４に送出される。入出力装置１１２が第２階
層システムバス１０４のリードデータを受信し、磁気テ
ープ１２２にライトする。以上３重化された部位は、す
べて同期動作をしている。

【０１００】ここで、インタフェースユニット１１０の
動作を図１９に基づいて、説明する。図において、１０
１、１０２、１０３は３重化されたバスブリッジ、１０
４は第２階層システムバス、１１０はインタフェースユ
ニット、１１０ａはセレクタ、１１０ｂは比較回路、１
１０ｃ、１１０ｄ、１１０ｅはドライバ素子、１０１
ｆ、１０１ｇはバスモニタ、１０１ｈはドライバ素子で
ある。

【０１０１】図において、バスブリッジ１０１、１０
２、１０３は、同期動作をしている。バスブリッジ１０
１、１０２、１０３から第２階層システムバス１０４へ
向う信号は、比較回路１１０ｂで比較され、正常動作し
ているシステムバスを判定し、セレクタ１１０ａで選択
する。バスモニタ１０１ｇでバストランザクションを監
視し、第２階層システムバス１０４へ送出すべき信号を
判定し、ドライバ素子１０１ｈが該信号を第２階層シス
テムバス１０４へ出力する。第２階層システムバス１０
４からバスブリッジ１０１、１０２、１０３へ向う信号
は、バスモニタ１０１ｆが監視し、バスブリッジ１０
１、１０２、１０３に送出する必要のある信号を判定
し、ドライバ１１０ｃ、１１０ｄ、１１０ｅを経由して
バスブリッジ１０１、１０２、１０３に送出する。

【０１０２】（２．プロセッサの障害時の動作及び復旧
処理）次に一つのプロセッサが障害を発生した場合につ
いて説明する。障害発生から回復までの動作は、正常動
作時とは異なり、信頼性か性能かのどちらかが犠牲にな
り低下する。別の言い方をすれば、信頼性を維持する
か、性能を維持するかで障害発生から回復までの処理が
異なる。また、それにともない、プロセッサのオンライ
ン交換の単位が異なる。信頼性を維持する場合は、故障
プロセッサを含むプロセッシングユニット以外のプロセ
ッシングユニットは常に３重化同期動作を行うべきであ
り、従って、オンライン交換の単位はプロセッシングユ
ニット単位が望ましい。一方、性能を維持する場合は、
故障プロセッサを含むシステムバス以外のプロセッサは
常に動作を行い正常時と同等のプロセッシングユニット
数を維持すべきであり、従って、オンライン交換の単位
はシステムバス単位が望ましい。以下にその両方の場合
について説明する。

【０１０３】（２．１ 信頼性維持の場合）図１２に基
づいて説明する。二つのプロセッシングユニットは、そ
れぞれ別の演算を行なっている状態で、プロセッシング
ユニット１０のプロセッサ１１に障害が発生したケース
について説明する。プロセッサ１１の故障により、シス
テムバス１の動作は、他のシステムバスと動作が異な
り、選択回路５３および６３で故障が検知される。選択
回路は、すぐさま、システムバス１上のプロセッサ１
１、２１の出力をディセーブル（図１３のドライバ１４
ｆを有意にしない）し、替りに主記憶装置５０がシステ
ムバス２の出力をシステムバス１に送出する追随モード
になる。したがって、システムバス１上のトランザクシ
ョンは、プロセッサ１１が故障したといえども正常なも
のを送出でき、システムバス１に接続された他のプロッ
サ２１はプロセッサ２２、２３との同期動作を継続する
ことができる。従って、故障したプロセッシングユニッ
ト１０をＳ／Ｗの都合のよいタイミング（たとえばタス
クの切り換え時）に停止させ、以降バストランザクショ
ンが発生しないようにする。一旦プロセッシングユニッ
ト１０が停止したら、システムバス１を追随モードから
３者比較モードに戻すことが可能である。なぜなら、プ
ロセッサ１１の障害にもかかわらずプロセッサ２１は追
随モードによりプロセッサ２２、２３と同一の演算を実
行し続けたので内部状態は、他のプロセッサと同一であ
る。プロセッサ２１の出力をイネーブルにし、メモリ制
御回路を追随モードから３者比較モードに戻すとプロセ
ッサ２１、２２、２３の同期動作による３者比較が可能
になる。続いて、プロセッサ１１を含むプロセッシング
ユニット１０をオンラインで交換し、システムが再度使
用を開始すればもとの状態に回復する。

【０１０４】システムバス１が追随モードの場合、図１
４に示した比較回路５３ｂでは、システムバス２、３の
比較のみ行い、システムバス１は比較および選択の対象
にしない。また、メモリリード時にはＡＮＤ素子５２ｅ
からのドライバ制御信号を、比較回路５３ｂからの制御
信号を入力するＡＮＤ回路５２ｋでマスクすることで抑
止し、ドライバ５２ｈはデータをドライブしない。一
方、比較回路５３ｂの制御により、クロック毎にシステ
ムバス３の内容が保持されたレジスタ５３ｅの内容をド
ライバ５３ｅを経由して出力する。こうすることで、シ
ステムバス３（システムバス２と同じ）の内容がシステ
ムバス１に出力される。但し、１サイクル遅い状態が伝
播される。

【０１０５】（２．２ 性能維持の場合）再度図１２に
基づいて説明する。二つのプロセッシングユニットはそ
れぞれ別の演算を行なっている状態で、プロセッシング
ユニット１０のプロセッサ１１に障害が発生したケース
について説明する。プロセッサ１１の故障により、シス
テムバス１の動作は、他のシステムバスと動作が異な
り、選択回路５３および６３で故障が検知される。シス
テムバス１の動作は選択回路５３でマスクされ、システ
ムバス１の動作がメモリに伝わることはない。性能維持
の場合はシステムバス１に接続されるプロセッサ１１、
２１が一つのオンライン交換の単位とし、これらをオン
ラインで交換する。このときプロセッサ１２と１３、２
２と２３は同期動作を継続し、性能は故障発生以前もの
が維持できる。オンライン交換後、システムバス１を追
随モードにし、システムバス２、３と同期動作をさせ
る。続いて、プロセッシングユニット１０をＳ／Ｗの都
合のよいタイミング（たとえばタスクの切り換え時）に
初期化する。こうすることで、新規挿入されたプロセッ
サ１１がプロセッサ１２、１３と同期動作開始する。さ
らに、同様にプロセッシングユニット２０をＳ／Ｗの都
合のよいタイミング（たとえばタスクの切り換え時）に
初期化する。同様に新規挿入されたプロセッサ２１がプ
ロセッサ２２、２３と同期動作開始する。プロセッサ１
１、２１の出力をイネーブルにし、メモリ制御回路を追
随モードから３者比較モードに戻すともとの同期動作に
復旧する。

【０１０６】（３．高信頼モード／高性能モードの切り
換え）ここで、同一ハードウェア構成で、高信頼な計算
機システムと高性能な計算機システムをとる例について
説明する。図２０の表に示すとおり、本実施例の計算機
ハードウェアは、高信頼を実現する高信頼モードと高性
能を実現する高性能モードをもち、高信頼モードでは、
プロセッサの３重化、主記憶装置の２重化により信頼性
と連続運転性を高め、一方、高性能モードでは、プロセ
ッサを個別動作させプロセッシングユニットの数を増大
させ、主記憶装置も別々のアドレス範囲のデータを格納
することで広いアドレス空間をサポートすることで高性
能を実現する。

【０１０７】図２１でアービトレーション回路９０の内
部について説明する。図において、９０ａは、ＣＰＵ高
性能／高信頼を指定するＣＰＵ個別実行指定ビット、９
０ｂ、９０ｃは３者の入力の多数決をとる多数決回路、
９０ｄ、９０ｅ、９０ｆ、９０ｇ、９０ｈ、９０ｉはセ
レクタ、９０ｊは４者からの１者を選択するアービトレ
ーション回路、９０ｋは１２者から１者を選択するアー
ビトレーション回路、９０ｌ、９０ｍ、９０ｎはＯＲ素
子、９０ｏ、９０ｐは多数決回路、９０ｑ、９０ｒ、９
０ｓ、９０ｔ、９０ｕ、９０ｖはセレクタ、９０ｗ、９
０ｘ、９０ｙはＯＲ素子、９１はＣＰＵ個別実行モード
指定信号、９２は９０ｌ、９０ｍ、９０ｎの出力を束ね
たもので個別実行モードでどのシステムバスが選択され
ているかを示すシステムバス選択信号である。信号線１
１ｒ〜２３ｒはそれぞれプロセッサ１１〜２３からのシ
ステムバスリクエスト信号で該プロセッサがシステムバ
スを要求していることを表し、信号線１１ｇ〜２３ｇは
プロセッサ１１〜２３へのシステムバス使用許可信号で
該プロセッサにシステムバスの使用を許可したことを表
す。信号線１０１ｒ〜１０３ｒ、２０１ｒ〜２０３ｒは
それぞれバスブリッジ１０１〜１０３、２０１〜２０３
からのシステムバスリクエスト信号で該バスブリッジが
システムバスを要求していることを表し、信号線１０１
ｇ〜１０３ｇ、２０１ｇ〜２０３ｇはバスブリッジ１０
１〜１０３、２０１〜２０３へのシステムバス使用許可
信号で該プロセッサにシステムバスの使用を許可したこ
とを表す。

【０１０８】高性能モードの動作について説明する。図
２１において、アービトレーション回路９０のＣＰＵ個
別実行モードビット９０ａをセットし、ＣＰＵを個別実
行させ処理性能を向上させる。また、図２０において、
選択回路５０、６０のメモリ２重化指定ビット５２ｏ、
６２ｏによりメモリ個別アクセスを設定し、プライマリ
ビット５２ｄ、６２ｄをともにセットし、メモリアドレ
ス範囲指定レジスタ５２ａａ、６２ａａにメモリアドレ
スのを範囲ををれぞれセットする。メモリアドレス範囲
指定レジスタ５２ａａと６２ａａにセットするアドレス
範囲は異なる（重ならないで連続するものが望ましい）
ようにセットする。以上のレジスタおよびビットのセッ
トをシステムのパワーオン直後か、システムリセットの
直後に行うことで、以後そのシステムを高性能モードで
使用することができる。

【０１０９】６個のプロセッサおよび６個のバスブリッ
ジは、それぞれ信号線１１ｒ〜２３ｒでシステムバス使
用要求をアービトレーション回路に伝え、１２者から１
者を選択するアービトレーション回路９０ｋで１個のプ
ロセッサが選択される。以降、例えばプロセッサ１１が
選択されたとする。アービトレーション回路９０ｋから
の出力がセレクタ９０ｄを経由して、プロセッサ１１に
対するバス使用権信号１１ｇが出力されプロセッサ１１
に伝えられる。ＣＰＵ個別実行モードビット９０ａがセ
ットされているので、セレクタ９０ｄは、アービトレー
ション回路９０ｊの出力ではなくアービトレーション回
路９０ｋの出力を選択する。また、同時にアービトレー
ション回路９０ｋの出力はＯＲ素子９０ｌを経由して、
システムバス選択信号９２として出力される。ＣＰＵ個
別実行モードビット９０ａの内容も、ＣＰＵ個別実行指
定モード信号９１として出力される。続いて、図１４
で、ＣＰＵ個別実行指定モード信号９１により、セレク
タ５３ｃはシステムバス選択信号９２を選択し、この信
号でセレクタ５３ａは、システムバス１を選択し、プロ
セッサ１１がメモリにアクセスすることができる。この
ようにして、６個のプロセッサは独立に動作を実行する
ことができる。各プロセッサがキャッシュを持っていれ
ば、少ないバスアクセスで多くの処理を実行できるの
で、２個のプロセッシングユニットで実行していたとき
より、格段の性能向上が期待できる。

【０１１０】また、メモリアクセスに際しては、２つの
主記憶装置５０、６０において、メモリアクセス範囲指
定レジスタ５２ａａに個別の値がセットされていて、プ
ライマリビット５２ｄ、６２ｄ共にセットされているの
で、主記憶装置はそれぞれ個別のメモリ空間に対してプ
ライマリ（即ち、リード／ライト可能）として動作す
る。メモリ２重化指定ビット５２ｏをセットし、ＡＮＤ
回路５２ｐでマスクすることで、ＥＣＣチェック回路５
２ｃの出力がもう一方の主記憶装置に影響を及ぼすのを
防いでいる。このようにして、メモリを２重化して使用
したときより大容量なメモリ空間をサポートすることが
可能になり、メモリを多く使用するアプリケーションや
非常に多くのプログラムを並行して処理するケースに対
しては、メモリのディスクへの退避の頻度を減少させる
ことができ性能の向上が期待できる。

【０１１１】ここで、パワーオン直後または、システム
のリセット直後からの高性能モードまたは高信頼モード
の設定手順について説明する。図２２にそのフローを示
す。本実施例の計算機がパワーオンされたり、リセット
が入りそれが解除されるとプロセッサは主記憶装置、バ
ス、プロセッサ自身などハードウェアリソースの診断を
実行する。このときは、モードは高性能でも高信頼でも
都合のよい方でよい。診断でＯＫであれば、あるプロセ
ッシングユニットは、これから設定すべき実行モードを
判定する。実行モードは、計算機外部のスイッチ情報、
不揮発性のメモリの内容、通常の主記憶装置の特定アド
レスの内容、あるいはシステムコンソールからの入力な
どの手段およびそれらの組み合わせなどで決定される。
実行モードが決ると該プロセッシングユニットは、モー
ドを指定するための各種レジスタ（９０ａ、５２ａａ、
５２ｄ、５２ｏ、６２ａａ、６２ｄ、６２ｏ）に値をセ
ットする。セットする値の一例を図２３に示す。これら
のレジスタをセットし終ると所望のモードになる。続い
て、オペレーティングシステムを立ちあげ、システムを
稼働状態にする。オペレーティングシステムはこのとき
現在認識できるプロセッシングユニットまたは、メモリ
空間に応じて、プロセッサ管理テーブルやメモリ管理テ
ーブルを生成すればよく、標準のオペレーティングシス
テムの移植性は損なわれない。

【０１１２】以上のように、この実施例は、システムバ
スとこのシステムバスに接続される主記憶装置、システ
ムバスに接続される１つまたは複数のプロセッシングユ
ニットからなる高信頼計算機システムにおいて、各プロ
セッシングユニットと主記憶装置は、同一の動作を実行
する３本以上の複数のシステムバスで接続され、各プロ
セッシングユニットは同一の演算を実行する３台以上の
プロセッサで構成され、上記プロセッサはバスインタフ
ェースユニットによりシステムバスに個別に接続され、
主記憶装置は、データを格納するメモリアレイと、上記
３つのシステムバスのうちいずれか一つの出力を選択す
る選択回路と、選択された出力をメモリアレイにライト
し、またメモリアレイからリードしたデータをシステム
バスに出力するためのメモリインタフェースユニットか
ら構成され、上記回路の故障部位を取り除いた残りの構
成によって運転継続させる故障検出と故障部切り離し機
構とから構成されることを特徴とする。

【０１１３】また、主記憶装置は２台以上複数が３本以
上複数のシステムバスに接続され、同一のデータを保持
し、各主記憶装置は、保持したデータの誤りを検出する
手段を有することを特徴とする。

【０１１４】また、これらシステムバスに接続される同
一の動作を実行する３台以上のバスブリッジを有し、そ
れぞれに第２階層のシステムバスが接続され、上記３本
の第２階層のシステムバスのうちいずれか一つの出力を
選択する選択回路と、選択された出力を入出力制御装置
に出力し、また入出力制御装置からのデータを取り込む
ための入出力インタフェースユニットを有することを特
徴とする。

【０１１５】また、これらシステムバスに接続される同
一の動作を実行する３台以上のバスブリッジを有し、上
記３つバスブリッジのうちいずれか一つの出力を選択す
る選択回路、選択された出力を第２階層システムバスに
出力し、また、第２階層システムバスからの信号を３台
のバスブリッジに送出する機能を有する第２階層システ
ムバスインタフェースユニットを有することを特徴とす
る。

【０１１６】この実施例は、さらに、前記システムバス
は第１、第２、第３のシステムバスから構成され、同一
の動作を行い、前記各プロセッシングユニットは第１、
第２、第３のプロセッサを備えて、同一の演算を実行し
ており、第１のプロセッサは第１のシステムバスに、第
２のプロセッサは第２のシステムバスに、第３のプロセ
ッサは第３のシステムバスにそれぞれ接続されており、
同様に第４のプロセッサは第１のシステムバスに、第５
のプロセッサは第２のシステムバスに、第６のプロセッ
サは第３のシステムバスにそれぞれ接続されており、プ
ロセッシングユニットが１つのオンライン交換単位であ
る高信頼計算機システムにおいて、上記３つのプロセッ
サの内いずれか一つが故障した時に、残りの２つのプロ
セッサにより現在実行中のプログラムの実行を正常に停
止させた後、そのプログラムの再開は第４、第５、第６
のプロセッサによる同一演算に処理を移行することを特
徴とする。

【０１１７】また、プロセッサの故障をそれが接続され
るシステムバスの動作を監視することで検知する機能
と、各プロセッサの出力を個別に抑止する機能と、シス
テムバスの動作を他のシステムバスの動作に強制的に同
期動作（追随動作）させるシステムバス追随機能を有
し、第１のプロセッサが故障した場合、第１のプロセッ
サの出力を抑止し、同時に第１のシステムバスに接続さ
れた第４のプロセッサの出力を抑止し、第１のシステム
バスは第２または第３のシステムバスと同じ動作を実行
し、故障していない第４のプロセッサを第５、第６のプ
ロセッサと同じ演算を実行させ、第２、第３のプロセッ
サが停止した後、第４のプロセッサの出力を再び許可
し、第１のシステムバスが第２、第３のシステムバスと
の同期動作を再開することを特徴とする。また、各プロ
セッサは、そのバスに障害が検知された場合、１サイク
ルまたは複数サイクル停止する機能と、他のシステムバ
スに対して追随動作を実行しているシステムバスは、１
サイクルまたは複数サイクル遅れた追随動作を行う機能
と、および、指令により、任意のプロセッサを１サイク
ルまたは複数サイクル停止する機能を有し、第１のプロ
セッサが故障した場合、第１のプロセッサの出力を抑止
し、第１のシステムバスに接続された第４のプロセッサ
の出力を抑止するとともに、１または複数サイクル停止
させることで、第１のシステムバスは第２または第３の
システムバスに１または複数サイクル遅れてと同じ動作
を実行し、故障していない第４のプロセッサを第５、第
６のプロセッサに一定サイクル遅れた同期動作を行い、
第２、第３のプロセッサが停止した後は、指令により第
５、第６のプロセッサを１または複数サイクル停止さ
せ、第４のプロセッサの出力を許可し、その後、第１の
システムバスが第２、第３のシステムバスと同期動作を
再開することを特徴とする。

【０１１８】また、同一システムバスに接続されるプロ
セッサ（第１と第４、第２と第５、第３と第６）が一つ
のオンライン交換単位である高信頼計算機システムにお
いて、第１のプロセッサが故障した場合、第２と第３、
第５と第６のそれぞれのプロセッサが同期動作を継続す
る機能を有し、第１と第４のプロセッサを含む交換単位
を、第２と第３、第５と第６のプロセッサを動作させな
がら交換したあと、第１のシステムバスを第２または第
３のシステムバスに追随動作ができる機能を有し、第１
のプロセッサの動作を、第２または第３のプロセッサの
動作にあわせ、続いて、第４のプロセッサの動作を、第
５または第６のプロセッサの動作にあわせることを特徴
とする。

【０１１９】また、各プロセッサボードは、システムバ
スへの出力を抑止する手段を有し、メモリインタフェー
スユニットは、システムバスの出力を他のシステムバス
の動作の一定サイクル遅れた信号変化を出力する手段を
有し、プロセッシングユニットを構成するプロセッサ
（例えば、第１、第２、第３のプロセッサ）の内、任意
の一つのプロセッサを他の２つのプロセッサに比べて、
一定サイクル遅れてリセットを解除する手段を有し、各
プロセッサおよび各システムバスは、一定サイクル動作
を停止する手段を有し、第１、第４のプロセッサをオン
ライン交換した場合、第１のシステムバスを第２、第３
のシステムバスに一定サイクル遅れた追随動作をさせ、
第１のプロセッサの動作を、第２または第３のプロセッ
サの動作にあわせるとき、第１のプロセッサのリセット
を第２、第３のプロセッサのリセットを解除するより一
定サイクル遅らせて解除し、第１のプロセッサの動作
を、第２または第３のプロセッサの一定サイクル遅れた
動作にあわせ、同様に、第４のプロセッサの動作を、第
５または第６のプロセッサの一定サイクル遅れた動作に
あわせ、以上が完了した後、第２、第３、第５、第６の
プロセッサおよび、第２、第３のシステムバスを一定サ
イクル動作を停止し、同時に第１、第４のプロセッサの
出力を許可し、バスインタフェースユニットは、第１の
システムバスを追随モードから他の２本のシテムバスと
の比較するモードに変更し、第１のプロセッサは第２、
第３のプロセッサと、第４のプロセッサは第５、第６の
プロセッサと、第１のシステムバスは第２、第３のシス
テムバスと同期動作を回復することを特徴とする。

【０１２０】また、この実施例は上記の高信頼計算機シ
ステムにおいて、第１および第２の主記憶装置を有し、
第１の主記憶装置は第１のメモリインタフェースユニッ
ト、第１の選択回路、第１のメモリアレイを有し、第２
の主記憶装置は第２のメモリインタフェースユニット、
第２の選択回路、第２のメモリアレイを有し、各選択回
路は、それぞれ３本のシステムバスに接続され、システ
ムバスを比較し、故障したシステムバスの故障を検知
し、故障していないシステムバスの信号を選択して主記
憶装置に取り込む手段を有し、また、第１および第２の
メモリインタフェースユニットは、通常時は同期動作
し、選択されたシステムバスの信号を第１、第２のメモ
リアレイに同時に送出する手段と、第１、第２のメモリ
アレイからのリードデータを正当性をチェックするため
のチェックコードを生成する手段、上記チェックコード
よりリードデータの正当性をチェックする手段、プライ
マリおよびセカンダリというモードを保持する手段を有
し、上記プライマリ状態のメモリインタフェースユニッ
トは、システムバスに信号を送出し、セカンダリ状態の
メモリインタフェースユニットは、システムバスへは信
号を送出せず、第１と第２のメモリインタフェースユニ
ットは排他的にプライマリとセカンダリのモードにな
り、メモリインタフェースユニットをプライマリとする
主記憶装置の保持するデータが自己訂正不可能な誤りを
有する場合、２つのメモリインタフェースユニットのプ
ライマリとセカンダリを交換する機能を有することを特
徴とする。

【０１２１】また、同一の演算を実行する３台以上のプ
ロセッサが指令によって異なる演算を実行するモードを
有し、選択回路は３本のシステムバスの出力を競合制御
を実施して逐次的にメモリに出力するモードをもち、ま
たメモリからのデータをいずれかのシステムバスに出力
する手段を持つメモリインタフェースユニットを有する
ことを特徴とする。

【０１２２】また、システムバスの使用権は各プロセッ
サからの使用要求をアービトレーション回路で裁定する
高信頼計算機システムにおいて、システムバスのアービ
トレーション回路は、３重化同期動作のモードと個別動
作のモードを有し、３重化同期動作のモードにおいて
は、同一動作が期待されている３つのプロセッシングユ
ニットおよび３つのバスブリッジからのバス要求信号は
多数決回路で一つにまとめたあと、バスアービトレショ
ンを行う手段と、個別動作のモードでは、すべてのプロ
セッシングユニットとすべてのバスブリッジからのバス
要求信号に対してバスアービトレションを行う手段を有
し、上記２つの手段がソフトウェアからの指令によって
選択できる手段を有することを特徴とする。

【０１２３】また、同一の演算を実行する３台以上のプ
ロセッサが指令によって異なる演算を実行するモードを
有し、選択回路は各システムバスの出力を競合制御を実
施して逐次的にメモリに出力するモードをもち、またメ
モリからのデータをいずれかのシステムバスに出力する
手段を持つメモリインタフェースユニットを有し、２つ
のメモリは異なるアドレスでアクセスされるメモリであ
るようなモードを有することを特徴とする。

【０１２４】また、外部スイッチや特定アドレスのメモ
リや不揮発性のメモリ素子などにより、システムバスの
動作モードおよび主記憶装置の動作モードを指定する手
段と、ソフトウェアで動作モードおよび主記憶装置の動
作モードを設定する手段を有し、システムの電源投入直
後または、リセット直後に、外部スイッチ情報あるいは
特定アドレスのメモリあるいは不揮発性のメモリの内容
から、システムバスの動作モードまたは、主記憶装置の
動作モードを読み、モード設定に必要な手段により該モ
ードをセットし、それらが完了した後オペレーティング
システムを立ちあげる手順を有することを特徴とする。

【０１２５】このシステムによれば、ＣＰＵの高性能化
のために、プロセッサ、キャッシュメモリ、システムバ
スを一体化して３重化し、それらを同一クロックで同期
動作させる。プロセッサ程高速化が要求されない主記憶
装置は、３重化されたシステムバスとインタフェース装
置で接続される。主記憶装置の信頼性を要求する場合
は、これを２重化する。Ｉ／Ｏ装置は、Ｉ／Ｏの要求さ
れる性質（信頼性、経済性、汎用性、互換性）などによ
り構成上のバリエーション（Ｉ／Ｏバスの３重化、２重
化、非冗長）がある。

【０１２６】また、このシステムによれば３重化された
システムバスのうち、障害発生・回復処理を必要とする
プロセッサが接続されているシステムバスを他のシステ
ムバスに追随させることで、障害発生時の信頼性の低下
を回避する構成や回復処理時の性能の低下を回避する構
成をとれる。

【０１２７】さらに、このシステムによれば３重化され
たシステムバスおよびそれに接続されたプロセッサを個
別に動作させるモード、２重化された主記憶装置を個別
のアドレス空間として認識できるようにさせるモード、
多重化されたＩ／Ｏバスを個別にアクセスできるモード
を持つことで、同一のハードウェアで高性能な計算機シ
ステムが構築できる。

【０１２８】実施例３．実施例１とは異なる第２階層の
システムバスの構成例を示す。図２４に基づいて、以
下、この実施例を説明する。図において、図１と同一符
号は図１と同一又は担当部分を示し、その説明を省略す
る。３０１、３０２はバススイッチ、３０３、３０４は
第２階層システムバス、３１１、３１２は第２階層シス
テムバス３０３、３０４の出力を選択する入出力インタ
フェースユニット、３２１、３２２は入出力制御装置、
３３１、３３２は入出力装置（ディスク、ＬＡＮ）であ
る。

【０１２９】ＣＰＵからのメモリアクセスに関しては、
実施例１と同等なので説明省略する。ここでは、入出力
装置３３１、３３２からのメモリアクセスについて説明
する。この実施例における、第２階層システムバス３０
３、３０４はバス上にパリティなどの障害検知機能を付
加する必要がある。パリティ生成は、バスブリッジまた
はバススイッチおよび入出力インタフェースユニットに
よってなされ、これにより、第２階層システムバスの障
害を入出力インタフェースユニットやバススイッチが検
知し、正しいバスのデータを選択できる。この場合を実
施例１の３重化された第２階層システムバス２０１、２
０２、２０３と信頼性および経済性を比較すると、実施
例１の３重化バスに比べれば、入出力インタフェースユ
ニットが小型で安価にでき、経済的である（信頼性に関
しては一部の制御線にパリティを付加できなければ、信
頼性上問題が残ることがある）。また、パリティ等のな
い非冗長バスに比べれば、経済的には不利であるが、障
害発生時に障害検知・切り離しによる連続運転ができる
ので信頼性はかなり高いといえる。

【０１３０】ここで、ディスク３３１から主記憶装置５
０、６０へのデータ転送を説明する。ディスク３３１か
らメモリへのデータ転送要求およびデータは入出力制御
装置３２１でライトトランザクションになり入出力イン
タフェースユニット３１１に送られる。入出力インタフ
ェースユニット３１１は第２階層システムバス３０３、
３０４にトランザクション（データを含む）を送出し、
それぞれバススイッチ３０１、３０２に到達する。バス
スイッチ３０１と３０２のうちの一方がプライマリとな
り、バスブリッジ１０１、１０２、１０３にトランザク
ションを送出し、それぞれ、システムバス１、２、３を
経由して主記憶装置５０、６０にライトする。もし、第
２階層システムバスに障害があれば、パリティなどのバ
スの障害検知機構によりバススイッチ３０１、３０２で
検知され、障害がなかった方がプライマリとなり、バス
ブリッジ１０１、１０２、１０３にトランザクションを
送出する。したがって、第２階層システムバスに障害が
発生してもシステムは停止せず処理を続行できる。

【０１３１】逆に主記憶装置５０、６０からディスク３
３１へのデータ転送をする場合について説明する。主記
憶装置５０、６０のメモリデータのディスク３３１から
の転送要求は、ライトトランザクションと同じ３つの経
路で主記憶装置５０、６０に伝わる。プライマリである
主記憶装置５０がリードデータをシステムバス１、２、
３に送出し、主記憶装置６０は送出しない。リードデー
タは、バススイッチ１０１、１０２、１０３を経由して
バススイッチ３０１、３０２に到達し、バススイッチ３
０１、３０２がバススイッチ１０１〜１０３からのデー
タを比較し、正しいデータをそれぞれ第２階層システム
バス３０３、３０４に送出し、入出力インタフェースユ
ニット３１１がその両者のデータを受け、正しい方を選
択し、入出力制御装置３２１に転送する。入出力制御装
置３２１はメモリからのリードデータをディスク３３１
に格納する。もし、第２階層システムバス３０３または
３０４に障害があれば、パリティなどのバスの障害検知
機構により入出力インタフェースユニット３１１で検知
され、入出力インタフェースユニット３１１は障害がな
い方のデータを選択し、入出力制御装置３２１に転送す
る。したがって、第２階層システムバスに障害が発生し
てもシステムは停止せず処理を続行できる。

【０１３２】ここでバススイッチ３０１の動作を、図２
５に基づいて説明する。図において、１０１、１０２、
１０３はバスブリッジ、３０３は第２階層システムバス
で、通常バス３０３ａとパリティバス３０３ｂから構成
される。３０１はバススイッチで、セレクタ３０１ａ、
比較回路３０１ｂ、ドライバ素子３０１ｃ、３０１ｄ、
３０１ｅ、パリティチェック回路３０１ｆ、パリティ生
成回路３０１ｇ、ドライバ素子３０１ｈ、プライマリビ
ット３０１ｉ、他プライマリ要求出力信号３０１ｊ、自
プライマリ要求入力信号３０１ｋ、バスモニタ３０１
ｌ、ドライバ素子３０１ｍ、バスモニタ３０１ｏ、ＡＮ
Ｄ素子３０１ｐから構成される。通常は、プライマリビ
ット３０１ｉと３０２ｉ（バススイッチ３０２のプライ
マリビット）のうち一方が排他的にセットされる。ここ
では、プライマリビット３０１ｉがセットされていると
する。

【０１３３】バスブリッジ１０１、１０２、１０３から
第２階層システムバス３０３、３０４に送出する信号の
場合、バスブリッジ１０１、１０２、１０３は同期動作
をし、その出力信号が比較回路３０１ｂで比較され、正
常動作している出力がセレクタ３０１ａで選択・出力さ
れる。その出力をバスモニタ３０１ｌが監視し、通常バ
ス３０３ａに出力すべき信号を判定し、該信号をドライ
バ３０１ｈが第２階層システムバスの通常バス３０３ａ
に出力する。同時にパリティ信号がパリティ生成回路３
０１ｇで生成され、ドライバ素子３０１ｈでパリティバ
ス３０３ｂに出力される。この場合バススイッチ３０１
のペアとなるバススイッチ３０２も全く同じ動作をする
ので、バススイッチ３０２により第２階層システムバス
３０３と３０４は同期動作をする。

【０１３４】一方、第２階層システムバス３０３、３０
４からバスブリッジ１０１、１０２、１０３に送出する
信号の場合、第２階層システムバス３０３、３０４は同
期動作をしているので、バススイッチ３０１と３０２は
同期動作をしている。バスモニタ３０１ｏはバストラン
ザクションを監視し、バススイッチ１０１、１０２、１
０３に送出すべき信号がある場合、パリティ信号３０３
ｂと通常バス３０３ａの信号をパリティチェック回路３
０１ｆがチェックし、第２階層システムバス３０３の正
当性をチェックする。もし、誤りがなければ、プライマ
リビット３０１ｉはセットされたままなので３０１ｏか
らの出力制御信号がＡＮＤ素子３０１ｐを経由してドラ
イバ３０１ｃ、３０１ｄ、３０１ｅに伝えられる。そこ
で、通常バス３０３ａの信号をドライバ３０１ｃ、３０
１ｄ、３０１ｅが出力し、バススイッチ１０１、１０
２、１０３が受信する。誤りがあれば、プライマリビッ
ト３０１ｉはリセットされ、バススイッチ３０１は第２
階層システムバス３０３の信号を出力しない。同時に他
プライマリ要求信号３０１ｊが出力され、ペアのバスス
イッチ３０２は自プライマリ要求入力信号３０２ｋとし
て入力され、プライマリビット３０２ｉがセットされ、
第２階層システムバス３０４に誤りがなければ、その信
号を出力し、バススイッチ１０１、１０２、１０３が受
信する。

【０１３５】ここで、入出力インタフェースユニット３
１１の動作について、図２６に基づいて説明する。図に
おいて、３０３ａは第１の第２階層システムバスの通常
バス、３０３ｂは同パリティバス、３０４ａは第２の第
２階層システムバスの通常バス、３０４ｂは同パリティ
バス、３１１ａはセレクタ、３１１ｂはパリティチェッ
ク回路、３１１ｃ、３１１ｄはパリティ生成回路、３１
１ｆはドライバ素子、３１１ｇはバスモニタ、３２１は
入出力制御装置である。

【０１３６】図において、第２階層のシステムバス３０
３、３０４は、同期動作をしていて第２階層のシステム
バス、３０３、３０４から入出力制御装置３２１へ向う
信号は、比較回路３１１ｂで両第２階層システムバスの
パリティをチェックし正常動作している第２階層システ
ムバスを判定し、セレクタ３１１ａで選択し出力する。
バスモニタ３１１ｅによりバストランザクションを監視
し、入出力制御装置３２１へ送出すべき信号を判定し、
該信号をドライバ素子３１１ｆが入出力制御装置３２１
に送出する。入出力制御装置３２１から第２階層システ
ムバス３０３、３０４へ向う信号は、バスモニタ３１１
ｇが監視し、送出すべき信号を判定し、該信号をドライ
バ２１１ｈ、２１１ｉを経由して通常バス３０３ａ、３
０４ａに送出する。同時にパリティ生成回路３１１ｃ、
３１１ｄでパリティデータが生成されパリティバス３０
３ｂ、３０４ｂに送出される。

【０１３７】以上のように、この実施例は、各プロセッ
シングユニットは同一の演算を実行する３台以上のプロ
セッサで構成され、上記プロセッサはバスインタフェー
スユニットによりシステムバスに個別に接続され、これ
らシステムバスに接続される同一の動作を実行する３台
以上のバスブリッジを有し、上記３つバスブリッジのう
ちいずれか一つの出力を選択する２つの選択回路、選択
された出力を第２階層システムバスに出力し、また、第
２階層システムバスからの信号を３台のバスブリッジに
送出する２つの第２階層システムバスインタフェースユ
ニットを有することを特徴とする。

【０１３８】実施例４．実施例１で示した主記憶装置
は、信頼性の点で、次の問題点がある。メモリライト時
にメモリデータバス５１ａのデータを使用して、ＥＣＣ
生成回路５２ｂがＥＣＣを生成するが、セレクタ５３ａ
からＥＣＣ生成回路５２ｂまでのパスでメモリデータバ
ス５１ａに障害があった場合、変更された不正なデータ
に対してＥＣＣ生成回路５２ｂはＥＣＣを生成してしま
い、そのデータをリードする時にはＥＣＣチェック回路
５２ｃでデータのエラーを検知できない。従って、その
主記憶装置がプライマリであれば誤ったデータをそのま
ま３重化システムバスに出力してしまう。また、メモリ
リード時には、本主記憶装置がプライマリの場合、メモ
リデータバス５１ａ上のＥＣＣチェック回路５２ｃがデ
ータを取り込む地点からシステムバス１、２、３に分岐
する地点の間で障害があった場合、ＥＣＣチェック回路
５２ｃがエラーを検知していない正しいデータが変更さ
れ、不正なデータとしてシステムバス１、２、３に送出
されてしまう。このようなことが起れば、システムが誤
動作してしまう。

【０１３９】そこで別の実施例として、選択回路を実施
例１で示したものより高性能化、高信頼化した例を図２
７に示す。図において、メモリアレイブロック５１は、
メモリデータバス５１ａ、ＥＣＣデータバス５１ｂ、メ
モリアレイ５１ｃ、ＥＣＣアレイ５１ｄから構成され
る。メモリインタフェースユニット５２は、メモリ制御
回路５２ａ、プライマリビット５２ｄ、ＡＮＤ素子５２
ｅ、他プライマリ要求出力線５２ｆ、自プライマリ要求
入力線５２ｇ、ＥＣＣチェック回路５２ｈ、５２ｉ、５
２ｊ、ＯＲ素子５２ｎ、メモリデータバスドライバ５２
ｋ、５２ｌ、５２ｍから構成される。インタフェースユ
ニット５３は、セレクタ５３ａ、比較回路５３ｂ、シス
テムバスドライバ５３ｃ、５３ｄ、５３ｅ、ＥＣＣ生成
回路５３ｆ、５３ｇ、５３ｈ、セレクタ５３ｉから構成
される。プライマリビット５２ｄは、その主記憶装置が
プライマリでリードデータをドライブすることを示すビ
ットであり、主記憶装置５０、６０で２重化された主記
憶装置の一方のプライマリビットがプラマリとしてセッ
トされており、もう一方のプライマリビットはセカンダ
リとしてセットされていない。この例では、主記憶装置
５０がプライマリなので、プライマリビット５２ｄはセ
ットされていて、主記憶装置６０の同等のビット（図に
はないが６２ｄとする）はセットされていないものとす
る。

【０１４０】システムバス１、２、３よりシステムバス
の動作が５３ｂ比較回路で比較され、正常動作している
バスの出力がセレクタ５３ａで選択され、メモリデータ
バス５１ａに出力される。同時にＥＣＣ生成回路５３
ｆ、５３ｇ、５３ｈがシステムバス１、２、３のデータ
よりＥＣＣデータを生成し、正常動作しているバスのデ
ータから生成されたＥＣＣデータがセレクタ５３ｉによ
り選択され、ＥＣＣデータバス５１ｂに出力される。メ
モリ制御回路５２ａはバストランザクションを解析し、
自メモリへのアクセス（リードまたはライト）であれ
ば、以下の動作を行う。

【０１４１】メモリライト時は、メモリ制御回路５２ａ
がメモリデータバス５１ａ上のデータをメモリアレイ５
１ｃにライトするべく制御を行い、データはメモリアレ
イ５１ｃに格納される。同時に、ＥＣＣデータバス５１
ｂ上のＥＣＣデータをＥＣＣアレイ５１ｄにメモリ制御
回路５２ａの制御により格納する。実施例１に比べ、Ｅ
ＣＣデータデバイス５３ｂによる障害検知とＥＣＣ生成
回路５３ｆ、５３ｇ、５３ｈによるＥＣＣ生成が同時
に、また、メモリアレイ５１ｃとＥＣＣアレイ５１ｄへ
の書込みが同時にできるため、メモリライト動作が短い
時間で完了する。この様子を図２８に示す。また、ＥＣ
Ｃを生成するためのデータを５１ａとは別のシステムバ
ス１、２、３から直接取っているので、メモリデータバ
ス５１ａが障害を発生して、不正データをメモリアレイ
５１ｃにライトしたら、リード時にＥＣＣエラーとして
検出できる。また、ＥＣＣ生成回路５３ｆ、５３ｇ、５
３ｈの近辺のバスが障害を発生した場合は、セレクタ５
３ｉで不正なＥＣＣコードが選択されＥＣＣアレイ５１
ｄにライトされるが、やはりリード時にそれを検知でき
る。

【０１４２】メモリリード時は、メモリ制御回路５２ａ
がメモリアレイ５１ｃ、ＥＣＣアレイ５１ｄ内の所望の
アドレスのデータをリードすべく制御を行い、メモリデ
ータはメモリデータバス５１ａに、ＥＣＣデータはＥＣ
Ｃデータバス５１ｂに出力される。これらのデータはメ
モリデータバスドライバ５２ｋ、５２ｌ、５２ｍを経由
した後、ＥＣＣチェック回路５２ｈ、５２ｉ、５２ｊに
より正当性をチェックされる。ＥＣＣチェック回路５２
ｈ、５２ｉ、５２ｊのいずれかがＥＣＣ２ビットエラー
を検知すると、それらの出力がＯＲ素子を経由してプラ
イマリビット５２ｄをリセットする。データが正当であ
れば、プライマリビット５２ｄの内容は変化せずセット
されたままである。従って、システムバスドライバ５３
ｃ、５３ｄ、５３ｅは、ＡＮＤ素子５２ｅを経由したメ
モリ制御回路５２ａの制御により、メモリデータバス５
１ａ上のメモリデータを、システムバス１、２、３に出
力する。このようにしているので、メモリアレイブロッ
ク５１、メモリインタフェースユニット５２、インタフ
ェースユニット５３内のデータパスの１点の障害は、Ｅ
ＣＣチェック回路５２ｈ、５２ｉ、５２ｊで検知される
か、検知されなくとも誤って不正データを送出するのは
システムバス１、２、３のうち一本に限られ、システム
の誤動作は回避できる。

【０１４３】以上のように、この実施例は、メモリデー
タの正当性のチェックコードの生成手段を３重化し、３
つのシステムバスのそれぞれに接続し、システムバスの
比較回路の出力により、それらのうち１つを選択し、格
納する機能を有することを特徴とする。また、チェック
コードによるメモリデータの正当性のチェック手段を３
重化し、３重化システムバスへのデータパスのそれぞれ
に接続したことを特徴とする。

【０１４４】実施例５．更に、別の実施例として、複数
のプロセッサを１チップに封入した例を図２９に示す。
図において、１はシステムバス、４１は２つのプロセッ
サが封入されているＬＳＩで、内部にプロセッサ１１と
１２を有し、４１ａはプロセッサ１１のリセット信号、
４１ｂはプロセッサ１２のリセット信号、４１ｃはプロ
セッサ１１のシステムバス要求信号、４１ｄはプロセッ
サ１２のシステムバス要求信号、４１ｅは１１のシステ
ムバス使用許可信号、４１ｆはプロセッサ１２のシステ
ムバス使用許可信号、４１ｇはプロセッサ１１および１
２に対するその他の入出力信号でアドレス、データ、制
御線を含む。４２はバスインタフェースユニット、４２
ａ〜４２ｈはドライバ素子、４２ｉは出力イネーブル信
号、４２ｊはプロセッサ１１のリセット信号、４２ｋは
プロセッサ１２リセット信号である。

【０１４５】動作について説明する。プロセッサ１１、
１２は個別に演算を行い、システムバス１を使用する要
求が発生したら、それぞれシステムバス要求信号４１
ｃ、４１ｄをアービトレーション回路に送出し、それが
アービトレーション回路からそれぞれシステムバス使用
許可信号４１ｅ、４１ｆを受信すると入出力信号４１ｇ
を用いてドライバ４２ａ、４２ｂを経由してシステムバ
ス１を使用する。ここで、システムバス１１を使用する
のはアービトレーション回路によってプロセッサ１１、
１２のうちの一方に限られるから、リセット、システム
バス要求、システムバス使用許可信号以外の信号は一度
に一方しか使わないので、共通にできる。一方、システ
ムバス要求、システムバス使用許可信号はバスの使用者
を外部回路に明確にするため共通にしない。また、リセ
ットも、プロセッサごとにリセットをかけられるよう共
通にしない。

【０１４６】プロセッサ毎にリセット、バスの使用権を
明確に区別することによって、システムが実行中に一方
のプロセッサが停止していても、もう一方のプロセッサ
は追随モードで処理を同期実行することができる。従っ
て、プロセッシングユニットの再同期処理によるリセッ
ト、初期化処理による通常処理の中断は、一度には一つ
のプロセッサの実行中断に限られ、性能低下は少なく押
えられる。

【０１４７】以上のように、この実施例は、第１と第
４、第２と第５、第３と第６ののプロセッサをそれぞれ
同一チップに封入し、同一チップ内と言えども、プロセ
ッサ毎にチップ外部からリセットが入力でき、プロセッ
サ毎にチップ外部からプロセッサの停止を制御する手段
を有し、外部へのシステムバスの使用要求出力およびそ
の返答であるバス使用許可入力は、プロセッサごとに制
御可能であることを特徴とする。

【０１４８】このように、複数のプロセッサを一部の入
力信号（リセット、バス許可信号）をプロセッサ毎に分
離し、それ以外の信号線を共通化して一つのＬＳＩに封
入することで、少ないＩ／Ｏピンで高性能なチップを実
現できる。

【０１４９】また、複数プロセッサを１チップに封入
し、大部分の入出力信号を共通のピンにすることで、同
一性能を得るのに少ない部品数、少ないピン数で実現さ
れ、信頼性が向上する。

【０１５０】実施例６．更に、この発明の別の実施例を
図に基づいて説明する。図３０において、１、２、３、
４は４重化されたシステムバスである。１０はプロセッ
シングユニット、１１、１２、１３、１４はプロセッシ
ングユニット１０を構成する４重化されたプロセッサ
で、バスインタフェースユニット１５、１６、１７、１
８を経由してそれぞれシステムバス１、２、３、４に接
続されている。２０も同様にプロセッシングユニットで
あり、２１、２２、２２、２４はプロセッサ、２５、２
６、２６、２７はバスインタフェースユニットである。
５０は主記憶装置であり、５１はメモリアレイブロッ
ク、５２はメモリインタフェースユニット、５３は４つ
のシステムバスの出力を一つ選択する選択回路である。
６０も同様に主記憶装置であり、６１はメモリアレイ、
６２はメモリ制御回路、６３は選択回路である。９０は
システムバスの使用者を決定するアービトレーション回
路、１０１、１０２、１０３、１０４はシステムバスと
第２層システムバスを接続するバスブリッジ、１１０は
４重化されたバスブリッジの出力の内何れか一つを選択
する第２階層システムバスインタフェースユニット、１
０５は第２階層システムバスである。１１１、１１２、
１１３は、第２階層システムバス１０５に接続される入
出力制御装置、１２１、１２２、１２３はそれぞれ、入
出力制御装置１１１、１１２、１１３に接続される入出
力装置である。

【０１５１】続いて、動作について説明する。正常動作
時には、プロセッサ１１、１２、１３、１４は同じ演算
を実行し、プロセッサ２１、２２、２３、２４も同じ演
算を実行し、バスブリッジ１０１、１０２、１０３、１
０４は同じ処理を行い、従って、システムバス１、２、
３、４は同じ動作を行う。

【０１５２】一つのプロセッサ（例えばプロセッサ１
１）に障害が発生した場合、システムバス１１の動作が
他の３者と異なり、選択回路５３、６３および第２階層
システムバスインタフェースユニット１１０は、障害を
発生したシステムバス１を選択せず、システムは正常実
行を続けられる。つまり、プロセッサ１２、１３、１４
は同じ演算が継続でき、プロセッサ２２、２３、２４も
同じ演算が継続でき、バスブリッジ１０２、１０３、１
０４も同じ演算が継続でき、従って、システムバス２、
３、４は同じ動作を継続する。

【０１５３】この状態で、オペレータや保守員によって
プロセッサ１１が交換されるのを待つ。この間、通常は
数時間から１日程度が望ましいが、場合によっては、数
日程度待たねばならないこともありうる。この間に別の
プロセッサが更に故障する可能性もある。しかし、この
場合もシステムバスは３重化同期動作をしているので、
その故障を選択回路５３、６３、第２階層システムバス
インタフェースユニット１１０は正しく検知し、切り離
す（即ち選択しないということ）ことができ、システム
は正常に動作を続けることができる。

【０１５４】プロセッサ１１が交換されたあと、システ
ムバス１を追随モードにし、他のシステムバス２、３、
４と同じ動作をさせ、続いて、プロセッサ１１、１２、
１３、１４を同時にリセット・初期化し、内部状態を合
わせ、同様に、プロセッサ２１、２２、２３、２４を同
時にリセット・初期化し、内部状態を合わせ、システム
バス１の追随モードを解除し、システムは正常実行状態
にもどる。

【０１５５】上記に示すようにシステムバスを４重化す
ることによって、１つのプロセッサに障害が発生して
も、プロセッサの交換作業が完了するまで、システムバ
スを３重化同期動作させることで、各選択回路はいわゆ
る多数決による正常バスの判定ができ、もう一つの別の
プロセッサの障害に対しても正しく障害を検知、切り離
しができる。従って、障害発生時に性能も信頼性も低下
させない構成が可能である。

【０１５６】実施例７．この構成で、別の動作例につい
て説明する。図３０において、正常動作時には、プロセ
ッサ１１、１２、１３は同じ演算を実行し、プロセッサ
２１、２２、２３も同じ演算を実行し、バスブリッジ１
０１、１０２、１０３は同じ処理を行い、従って、シス
テムバス１、２、３は同じ動作を行う。プロセッサ１
４、２４およびバスブリッジ１０４は予備用として、停
止している。従って、プロセッサ１４、２４、バスブリ
ッジ１０４の動作時に比べて消費電力は少なくなる。

【０１５７】一つのプロセッサ（例えばプロセッサ１
１）に障害が発生した場合、システムバス１１の動作が
他の２者と異なり、選択回路５３、６３および第２階層
システムバスインタフェースユニット１１０は、障害を
発生したシステムバス１を選択せず、システムは正常実
行を続けられる。つまり、プロセッサ１２、１３は同じ
演算が継続でき、プロセッサ２２、２３も同じ演算が継
続でき、バスブリッジ１０２、１０３も同じ演算が継続
でき、従って、システムバス２、３は同じ動作を継続す
る。

【０１５８】プロセッサ１１、２１、バスブリッジ１０
１を停止したあと、プロセッサ１４、２４、バスブリッ
ジ１０４を動作開始させ（ここでは、他のプロセッサと
の同期動作はしていない）、続いて、システムバス４を
追随モードにし、他のシステムバス２、３と同じ動作を
させる。プロセッサ１２、１３、１４を同時にリセット
・初期化し、内部状態を合わせ、同様に、プロセッサ２
２、２３、２４を同時にリセット・初期化し、内部状態
を合わせ、システムバス４の追随モードを解除し、シス
テムはシステムバス２、３、４の３重化同期実行状態に
なる。

【０１５９】この状態で、オペレータや保守員によって
プロセッサ１１が交換されるのを待つ。この間、通常は
数時間から１日程度が望ましいが、場合によっては、数
日程度待たねばならないこともありうる。この間に別の
プロセッサが更に故障する可能性もある。しかし、この
場合もシステムバスは３重化同期動作をしているので、
その故障を選択回路５３、６３、第２階層システムバス
インタフェース１１０は正しく検知し、切り離す（即ち
選択しないということ）ことができ、システムは正常に
動作を続けることができる。

【０１６０】プロセッサ１１が交換されたあと、プロセ
ッサ１４、２４、バスブリッジ１０４を停止させ、続い
て、プロセッサ１１、２１、バスブリッジ１０１を動作
開始させる。続いて、システムバス１を追随モードに
し、他のシステムバス２、３と同じ動作をさせ、続い
て、プロセッサ１１、１２、１３を同時にリセット・初
期化し、内部状態を合わせ、同様に、プロセッサ２１、
２２、２３を同時にリセット・初期化し、内部状態を合
わせ、システムバス１の追随モードを解除し、システム
は元の正常実行状態にもどる。

【０１６１】上記に示すようにシステムバスを４重化
し、そのうち３本を同期動作させ、一本を予備とするこ
とによって、１つのプロセッサに障害が発生しても、プ
ロセッサの交換作業が完了するまで、システムバスを３
重化同期動作させることで、各選択回路はいわゆる多数
決による正常バスの判定ができ、もう一つの別のプロセ
ッサの障害に対しても正しく障害を検知、切り離しがで
きる。従って、障害発生時に性能も信頼性も低下させな
い構成が可能である。しかも、通常システムバス３本分
しか動作していないので、実施例５に比べて消費電力が
少なくて済み、また容量の小さい電源で済むので経済的
に有利である。

【０１６２】以上のように、この実施例は、前記システ
ムバスは第１、第２、第３、第４のシステムバスから構
成され、同一の動作を行い、前記各プロセッシングユニ
ットは第１、第２、第３、第４のプロセッサを備えて、
同一の演算を実行しており、第１のプロセッサは第１の
システムバスに、第２のプロセッサは第２のシステムバ
スに、第３のプロセッサは第３のシステムバスに、第４
のプロセッサは第４のシステムバスそれぞれ接続されて
おり、同様に第５のプロセッサは第１のシステムバス
に、第６のプロセッサは第２のシステムバスに、第７の
プロセッサは第３のシステムバスに、第８のプロセッサ
は第４のシステムバスにれぞれ接続されており、同一シ
ステムバスに接続されるプロセッサ（第１と第５、第２
と第６、第３と第７、第４と第８）が一つのオンライン
交換単位である高信頼計算機システムにおいて、第１の
プロセッサが故障した場合、第２と第６、第３と第７、
第４と第８のそれぞれのプロセッサが同期動作を継続す
る機能を有し、第１と第５のプロセッサを含む交換単位
を、第２と第６、第３と第７、第４と第８のプロセッサ
を動作させながら交換したあと、第１のシステムバスを
第２または第３または第４のシステムバスに追随動作が
できる機能を有し、第１のプロセッサの動作を、第２ま
たは第３または第４のプロセッサの動作にあわせ、続い
て、第５のプロセッサの動作を、第６または第７または
第８のプロセッサの動作にあわせることを特徴とする。

【０１６３】また、前記システムバスは第１、第２、第
３、第４のシステムバスから構成され、上記プロセッシ
ングユニットは第１、第２、第３、第４のプロセッサを
備えて、第１のプロセッサは第１のシステムバスに、第
２のプロセッサは第２のシステムバスに、第３のプロセ
ッサは第３のシステムバスに、第４のプロセッサは第４
のシステムバスそれぞれ接続されており、同様に別のプ
ロセッシングユニットは、第５、第６、第７、第８のプ
ロセッサを備えて、第５のプロセッサは第１のシステム
バスに、第６のプロセッサは第２のシステムバスに、第
７のプロセッサは第３のシステムバスに、第８のプロセ
ッサは第４のシステムバスにれぞれ接続されており、第
１、第２、第３のシステムバスは同一の動作を行い、第
４のシステムバスは待機系として停止しており、第１、
第２、第３のプロセッサは同一の演算を実行し、第４の
プロセッサは停止しており、また、第５、第６、第７の
プロセッサは同一の演算を実行し、第８のプロセッサは
停止しており、同一システムバスに接続されるプロセッ
サ（第１と第５、第２と第６、第３と第７、第４と第
８）が一つのオンライン交換単位である高信頼計算機シ
ステムにおいて、第１のプロセッサが故障した場合、第
２と第６、第３と第７のそれぞれのプロセッサが同期動
作を継続する手段と、直ちに第４のプロセッサを第２ま
たは第３のプロセッサの状態に、第８のプロセッサを第
６または第７の状態に同期させる手段を有し、第１と第
５のプロセッサを含む交換単位を、第２と第６、第３と
第７、第４と第８のプロセッサを動作させながら交換し
たあと、第１のシステムバスを第２または第３または第
４のシステムバスに追随動作ができる機能を有し、第１
のプロセッサの動作を、第２または第３または第４のプ
ロセッサの動作にあわせ、続いて、第５のプロセッサの
動作を、第６または第７または第８のプロセッサの動作
にあわせることを特徴とする。

【０１６４】

【発明の効果】以上のように、この発明によれば、プロ
セッサの高周波数動作の阻害要因が入らないかたちで、
プロセッサの３重化による高信頼化を行える。また、高
性能な高信頼計算機が構築でき、また、Ｉ／Ｏも信頼性
の要求される構成がとれるし、経済性が要求される構成
もとれる効果がある。

【０１６５】さらに、障害発生・回復処理時に信頼性の
低下しない計算機システムや性能の低下しない計算機シ
ステムが構築できる効果がある。

【０１６６】さらに、同一のハードウェアで、高信頼性
を要求されるシステムと高性能を要求されるシステムの
両者が構築できる効果がある。

【０１６７】さらに、１つのパッケージに複数のプロセ
ッサを封入することにより、高性能なシステムが、より
小型に実現できる効果がある。

【０１６８】特に第１の発明によれば、プロセッサとシ
ステムバスを３重化しているので、多重化計算機の高性
能化が計れる。

【０１６９】第２の発明によれば、１つのバスに複数の
プロセッサが存在するためさらに、計算機システムの性
能が向上する。

【０１７０】第３の発明によれば、選択回路によりデー
タの転送を制御するので多重化されたバスと多重化され
ていないデバイスとの間でのデータ転送が、矛盾なく行
なえる。

【０１７１】第４の発明によれば、バスが３重化されて
いるため障害検出手段が容易に障害を検出することがで
きる。

【０１７２】第５の発明によれば、障害のあったバスを
切り離すため障害が発生しても信頼性が低下しないシス
テムを提供することができる。

【０１７３】第６の発明によれば、主記憶装置を３重化
したバスに接続するため主記憶装置までのデータ転送の
高信頼化が計れる。

【０１７４】第７の発明によれば、主記憶装置を２重化
しているのでメモリ部分の高信頼化が計れる。

【０１７５】第８の発明によれば、周辺機器システムを
３重化されたシステムに接続することが可能になる。

【０１７６】第９の発明によれば、周辺機器システム内
のシステムを３重化しているので周辺機器システム自身
が高信頼化できる。

【０１７７】第１０の発明によれば、周辺機器システム
内のバスをシングルバスとしているため周辺機器システ
ムを安価に作成することができる。

【０１７８】第１１の発明によれば、周辺機器システム
内部のバスを２重化しており前述したような３重化され
たバスよりも安価にできると共にシングルバスに比べて
高信頼化が計れる。

【０１７９】第１２の発明によれば、主記憶装置が複数
存在する場合にでも、データの送出をプライマリ記憶装
置に行なわせることにより矛盾なくデータの転送が行な
える。

【０１８０】第１３の発明によれば、チェック手段によ
りデータの正当性がないと判断された場合にはプライマ
リ主記憶装置を交換することができるので故障が生じた
場合でも正当なデータを転送することができる。

【０１８１】第１４の発明によれば、チェックコードの
生成を３重化したため主記憶装置の高信頼化が計れる。

【０１８２】また、第１５の発明によれば、チェック手
段を３重化したため主記憶装置の高信頼化が計れる。

【０１８３】第１６の発明によれば、同期動作モードと
個別動作モードを備えているため高信頼な計算機と高性
能な計算機を同一のハードウェアで実現することができ
る。

【０１８４】第１７の発明によれば、個別動作モードに
おいては選択回路が個別動作用の制御を行なうため個別
動作モードにおいてもその他の部分に対して特別な変更
を要しない。

【０１８５】第１８の発明においては、アービトレーシ
ョン手段が同期動作モードと個別動作モードに対応でき
るためいずれの動作モードにおいてもバスの獲得を正常
に行なうことができる。

【０１８６】第１９の発明によれば、複数の主記憶装置
が存在する場合個別モードにおいてはそれぞれのアドレ
ス空間を異ならせるようにしているため、より広いアド
レス空間に対してアクセスすることが可能になる。

【０１８７】第２０の発明によれば、モード指定手段と
モード設定手段によりシステムの立ち上げ時あるいはシ
ステムのリセット時にいずれかのモードを任意にセット
することができる。

【０１８８】第２１の発明によれば、１つのチップに２
つのプロセッサを封入しながらも個別にプロセッサを制
御することができる。

【０１８９】第２２の発明によれば、前述したプロセッ
サチップをシステムに用いているため高性能なシステム
がより小型に実現できる。

【０１９０】第２３の発明によれば、バスを４重化した
ため、さらに信頼性のあるシステムを得ることができ
る。

【０１９１】第２４の発明によれば、障害が発生した場
合にも信頼性を維持するような方法でプロセッサを動作
させるため障害時においても信頼性を維持することがで
きる。

【０１９２】第２５の発明によれば、障害の発生時及び
障害の復旧後においても高信頼な計算機システムを提供
することができる。

【０１９３】第２６の発明によれば、障害の復旧を複数
サイクル停止するだけで行なうことができる。

【０１９４】第２７の発明によれば、障害発生時にも高
性能なシステムを提供することができる。

【０１９５】第２８の発明によれば、前述した障害発生
時であっても性能を維持しながら処理を続行する障害復
旧方法を一定サイクルの遅延のみで実現することができ
る。

【図面の簡単な説明】

【図１】この発明の概略構成図である。

【図２】この発明の論理ＣＰＵが２台の場合の概略構成
図である。

【図３】この発明のメモリが２重化された場合の概略構
成図である。

【図４】この発明の高性能モードの概略構成図である。

【図５】この発明の周辺機器システムを有した概略構成
図である。

【図６】この発明の周辺機器システムを有した概略構成
図である。

【図７】この発明の周辺機器システムを有した概略構成
図である。

【図８】この発明の故障したＣＰＵを切り離す場合の動
作を説明する図である。

【図９】この発明のＣＰＵボードの交換を示す図であ
る。

【図１０】この発明のＣＰＵボードの交換を示す図であ
る。

【図１１】この発明のプロセッサチップの概略図であ
る。

【図１２】この発明の一実施例による高信頼計算機のブ
ロック図である。

【図１３】この発明の一実施例によるプロセッサまわり
のブロック図である。

【図１４】この発明の一実施例による主記憶装置のブロ
ック図である。

【図１５】この発明の一実施例によるプライマリビット
のセット／リセットを示す図である。

【図１６】この発明の一実施例による障害検知の手段を
表す図である。

【図１７】従来例による障害検知の手段を表す図であ
る。

【図１８】この発明の一実施例による入出力インタフェ
ースユニットのブロック図である。

【図１９】この発明の一実施例によるインタフェースユ
ニットのブロック図である。

【図２０】この発明の一実施例による高信頼モード／高
性能モードを表す図である。

【図２１】この発明の一実施例によるアービトレーショ
ン回路のブロック図である。

【図２２】この発明の一実施例によるパワーオン／リセ
ット直後のフロー図である。

【図２３】この発明の一実施例によるモード設定関連レ
ジスタの設定例を示す図である。

【図２４】この発明の別の実施例による高信頼計算機の
ブロック図である。

【図２５】この発明の別の実施例による第２階層システ
ムバスインタフェースユニットのブロック図である。

【図２６】この発明の別の実施例による入出力インタフ
ェースユニットのブロック図である。

【図２７】この発明の別の実施例による主記憶装置のブ
ロック図である。

【図２８】この発明の別の実施例による障害検知の手段
を表す図である。

【図２９】この発明の別の実施例によるプロセッサまわ
りのブロック図である。

【図３０】この発明の別の実施例による高信頼計算機の
ブロック図である。

【図３１】従来の高信頼計算機のブロック図である。

【符号の説明】

１ システムバス ２ システムバス ３ システムバス １０ プロセシングユニット １１ プロセッサ １２ プロセッサ １３ プロセッサ １４ バスインタフェースユニット １５ バスインタフェースユニット １６ バスインタフェースユニット ２０ プロセシングユニット ２０ プロセシングユニット ２１ プロセッサ ２２ プロセッサ ２３ プロセッサ ２４ バスインタフェースユニット ２５ バスインタフェースユニット ２６ バスインタフェースユニット ５０ 主記憶装置 ５１ メモリアレイ ５２ メモリインタフェースユニット ５３ 選択回路 ６０ 主記憶装置 ６１ メモリアレイ ６２ メモリインタフェースユニット ６３ 選択回路 ９０ アービトレーション回路 １０１ バスブリッジ １０２ バスブリッジ １０３ バスブリッジ １０４ 第２階層システムバス １１０ 第２階層システムバスインタフェースユニット １１１ 入出力制御装置 １１２ 入出力制御装置 １１３ 入出力制御装置 １２１ 入出力装置 １２２ 入出力装置 １２３ 入出力装置 ２０１ バスブリッジ ２０２ バスブリッジ ２０３ バスブリッジ ２０４ 第２階層システムバス ２０５ 第２階層システムバス ２０６ 第２階層システムバス ２１１ 入出力インタフェースユニット ２１２ 入出力インタフェースユニット ２１３ 入出力インタフェースユニット ２２１ 入出力制御装置 ２２２ 入出力制御装置 ２２３ 入出力制御装置 ２３１ 入出力装置 ２３２ 入出力装置 ２３３ 入出力装置

───────────────────────────────────────────────────── フロントページの続き (72)発明者 安永 裕明 鎌倉市上町屋325番地 三菱電機株式会社 コンピュータ製作所内

Claims (28)

【特許請求の範囲】
1. 【請求項１】 以下の要素を有する計算機システム
   （ａ）データを転送する３以上複数のバス、（ｂ）上記
   複数のバスに個々に接続され同一動作する３以上複数の
   プロセッサを備えたプロセッシングユニット、（ｃ）上
   記プロセッサからバスを介してアクセスされるデバイス
   と、上記３以上のバスと上記デバイスの間にあってバス
   の選択を行う選択手段と、選択手段により選択されたバ
   スとデバイス間のデータ転送を制御する制御部を備えた
   サブシステム。
2. 【請求項２】 上記プロセッシングユニットは、複数存
   在し、ひとつのバスに複数のプロセッサを接続したこと
   を特徴とする請求項１記載の計算機システム。
3. 【請求項３】 上記選択手段は、バスからデバイスへデ
   ータを転送する場合、複数のバスからひとつのバスを選
   択してデバイスと接続し、デバイスからバスへデータを
   転送する場合、複数のバスを選択してデバイスと接続す
   ることを特徴とする請求項１記載の計算機システム。
4. 【請求項４】 上記制御部は、上記３以上のバスのデー
   タを比較して、障害の発生を検出し、その検出結果に基
   づいて上記選択手段のバスの選択を制御する障害検出手
   段を備えたことを特徴とする請求項１記載の計算機シス
   テム。
5. 【請求項５】 上記計算機システムは、上記障害検出手
   段の検出結果に基づいて、障害があったバスを切り離す
   切り離し手段を備えたことを特徴とする請求項１記載の
   計算機システム。
6. 【請求項６】 上記サブシステムは、主記憶装置であ
   り、上記デバイスはメモリであり、上記制御部はメモリ
   とバス間のデータ転送を行うメモリ制御部であることを
   特徴とする請求項１、２、３、４、又は５記載の計算機
   システム。
7. 【請求項７】 上記主記憶装置を複数備え、上記複数の
   バスにそれぞれ接続したことを特徴とする請求項６記載
   の計算機システム。
8. 【請求項８】 上記サブシステムは、周辺機器システム
   であり、上記デバイスは入出力装置であり、上記制御部
   は入出力装置とバス間のデータ転送を行う入出力制御装
   置であることを特徴とする請求項１、２、３、４、又は
   ５記載の計算機システム。
9. 【請求項９】 上記周辺機器システムは、上記複数のバ
   スに対応する３以上の第２バスと、上記バスと第２のバ
   スをそれぞれ接続する３以上のバスブリッジを備えたこ
   とを特徴とする請求項８記載の計算機システム。
10. 【請求項１０】 上記周辺機器システムは、上記選択手
    段と上記入出力装置の間にひとつバスから成る第３のバ
    スを備えたことを特徴とする請求項８記載の計算機シス
    テム。
11. 【請求項１１】 上記周辺機器システムは、上記選択手
    段をふたつ備え、ふたつの選択手段と上記入出力装置の
    間にふたつのバスから成る第４のバスを備えたことを特
    徴とする請求項８記載の計算機システム。
12. 【請求項１２】 上記複数の主記憶装置は、バスに対し
    てデータを送出するプライマリ主記憶装置とバスに対し
    てデータを送出しないセカンダリ主記憶装置を備えたこ
    とを特徴とする請求項７記載の計算機システム。
13. 【請求項１３】 上記プライマリ主記憶装置は、バスに
    転送するデータの正当性をチェックするチェック手段
    と、チェック手段のチェック結果に基づいてセカンダリ
    主記憶装置とプライマリ主記憶装置を交替する交替手段
    を備えたことを特徴とする請求項１２記載の計算機シス
    テム。
14. 【請求項１４】 上記チェック手段は、各バスから転送
    されてきたデータの正当性をチェックする冗長コードを
    生成する複数の冗長コード生成手段と、生成された複数
    の冗長コードから正しい冗長コードを選択して記憶する
    冗長コード選択手段を備えたことを特徴とする請求項１
    ３記載の計算機システム。
15. 【請求項１５】 上記チェック手段は、各バスに対応し
    て冗長コードをチェックする複数の冗長コードチェック
    手段を備えたことを特徴とする請求項１３記載の計算機
    システム。
16. 【請求項１６】 上記計算機システムは、動作モードと
    して３以上のバスを同期動作させる同期動作モードと、
    ３以上のバスをそれぞれ非同期に動作させる個別動作モ
    ードを備えたことを特徴とする請求項１記載の計算機シ
    ステム。
17. 【請求項１７】 上記選択手段は、個別動作モードにお
    いて、複数のバスからデバイスへのデータ競合を制御す
    るとともに、デバイスからデータを対応するいずれかの
    バスに出力することを特徴とする請求項１６記載の計算
    機システム。
18. 【請求項１８】 上記計算機システムは、さらに、同期
    動作モードにおいて、複数のバスへ出力されたバス獲得
    要求をひとつのバス獲得要求として処理し、個別動作モ
    ードにおいて、複数のバスへ出力されたバス獲得要求を
    をそれぞれ個別のバス獲得要求として処理するアビトレ
    ーション手段を備えたことを特徴とする請求項１６記載
    の計算機システム。
19. 【請求項１９】 上記計算機システムは、動作モードと
    して３以上のバスを同期動作させる同期動作モードと、
    ３以上のバスをそれぞれ非同期に動作させる個別動作モ
    ードを備え、上記複数の主記憶装置は、個別動作モード
    において異なるアドレスを用いてアクセスされるメモリ
    を備えたことを特徴とする請求項７記載の計算機システ
    ム。
20. 【請求項２０】 上記計算システムは、上記動作モード
    を指定するモード指定手段と、モード指定手段により指
    定されたモードに設定するモード設定手段を備えたこと
    を特徴とする請求項１６又は１９記載の計算機システ
    ム。
21. 【請求項２１】 以下の要素を有するプロセッサチップ
    （ａ）第１のプロセッサ、（ｂ）第２のプロセッサ、
    （ｃ）上記第１と第２のプロセッサを個別にリセットす
    るリセット手段、（ｄ）上記第１と第２のプロセッサの
    動作を個別に停止させる停止手段、（ｅ）上記第１と第
    ２のプロセッサのバス使用要求を個別に出力するバス使
    要求出力手段、（ｆ）上記第１と第２のプロセッサへバ
    ス使用許可を個別に入力するバス使用許可入力手段、
    （ｇ）上記第１と第２のプロセッサのその他の入出力を
    共通化して行なう共用手段。
22. 【請求項２２】 ３以上のバスと、各バスに対応して上
    記請求項２１記載のプロセッサチップを３以上備え、第
    １と第２のプロセッサをそれぞれ同一のバスに接続した
    ことを特徴とする計算機システム。
23. 【請求項２３】 上記バスを４つ備えたことを特徴とす
    る請求項１、２、３、４、又は５記載の計算機システ
    ム。
24. 【請求項２４】 第１、第２、第３のバスにそれぞれ個
    々に接続され同一動作を行なう第１、第２、第３のプロ
    セッサを備えた第１のプロセッシングユニットと、第
    １、第２、第３のバスにそれぞれ個々に接続され同一動
    作を行なう第４、第５、第６のプロセッサを備えた第２
    のプロセッシングユニットとを備えた計算機システムの
    第１のプロセッサに障害が発生した場合の障害復旧方法
    において、以下の工程を有することを特徴とする障害復
    旧方法（ａ）第１のプロセッシングユニットで実行中の
    処理を第２及び第３のプロセッサにより継続して実行す
    る継続実行工程、（ｂ）上記継続実行工程後、第１のプ
    ロセッシングユニットの動作を停止させ、第２のプロセ
    ッシングユニットにより次の処理を開始するシングルユ
    ニット処理工程。
25. 【請求項２５】 上記継続実行工程は、（ａ）第１のプ
    ロセッサと第４のプロセッサの出力を抑止する出力抑止
    工程と、（ｂ）第１のバスの動作を第２、第３のバスの
    動作に追随させ第４のプロセッサの出力を除く動作を継
    続実行させる追随工程を備え、 上記シングルユニット処理工程は、（ａ）第１のプロセ
    ッシングユニットの動作停止後、第４のプロセッサの出
    力を許可する許可工程と、（ｂ）第１のバスを第２、第
    ３のバスに同期させる同期工程を備えたことを特徴とす
    る請求項２４記載の障害復旧方法。
26. 【請求項２６】 上記追随工程は、 第１のバスの動作を１サイクル以上所定サイクル停止さ
    せてから第１のバスの動作を第２、第３のバスの動作に
    追随させるバス追随工程と、第４のプロセッサの動作を
    所定サイクル停止させて第５、第６のプロセッサから所
    定サイクル遅れた同期動作を行なわせるプロセッサ追随
    工程を備え、 上記同期工程は、第５、第６のプロセッサの動作を所定
    サイクル停止させて第４のプロセッサの動作と同期させ
    るプロセッサ同期工程と、第１のバスの動作を第２、第
    ３のバスの動作と同期させるバス同期工程を備えたこと
    を特徴とする請求項２５記載の障害復旧方法。
27. 【請求項２７】 第１、第２、第３のバスにそれぞれ個
    々に接続され同一動作を行なう第１、第２、第３のプロ
    セッサを備えた第１のプロセッシングユニットと、第
    １、第２、第３のバスにそれぞれ個々に接続され同一動
    作を行なう第４、第５、第６のプロセッサを備えた第２
    のプロセッシングユニットとを備えた計算機システムの
    第１のプロセッサに障害が発生した場合の障害復旧方法
    において、（ａ）第１のプロセッシングユニットで実行
    中の処理を、第２、第３のプロセッサにより継続して実
    行、第２のプロセッシングユニットで実行中の処理を、
    第５、第６のプロセッサにより継続して実行する継続実
    行工程、（ｂ）上記継続実行工程中に、第１と第４のプ
    ロセッサを新規なプロセッサを交換する交換工程、
    （ｃ）上記交換工程後、第１と第４のプロセッサを他の
    プロセッサと同期させて動作させる同期工程を備えたこ
    とを特徴とする障害復旧方法。
28. 【請求項２８】 上記同期手段は、（ａ）第１のバスを
    第２、第３のバスの動作から１サイクル以上所定サイク
    ル遅らせて動作させるバス追随工程と、（ｂ）第１と第
    ４のプロセッサ他のプロセッサの動作から所定サイクル
    遅らせて動作させるプロセッサ追随工程と、（ｃ）上記
    第２、第３、第５、第６のプロセッサの動作を所定サイ
    クル停止させて第１と第４のプロセッサの動作と同期さ
    せるプロセッサ同期工程と、（ｄ）第１のバスの動作を
    第２、第３のバスの動作と同期させるバス同期工程を備
    えたことを特徴とする請求項２７記載の障害復旧方法。