JPH08190494A - 二重化処理装置を有する高信頼化コンピュータ - Google Patents

Abstract

(57)【要約】 【目的】本発明の目的は、汎用計算機と共通性が高く性
能価格比の高い高信頼計算機の提供に有る。 【構成】２つの同じ構成のＣＰＵと入出力装置から成る
計算機において、両ＣＰＵへの同一周波数，同一位相ク
ロック供給手段と，両ＣＰＵと入出力装置を接続する二
重化制御装置ＤＳＢＡと，両ＣＰＵ間でＣＰＵの状態等
を受け渡す通信手段を有する。ＤＳＢＡは、一方のＣＰ
Ｕからの出力指示を選択して入出力装置に伝え、入出力
装置からの応答を両方のＣＰＵに伝え、入出力装置から
のメモリアクセスを両方のＣＰＵ内のメモリに伝え、一
方のＣＰＵからのメモリアクセス応答を選択して入出力
装置に伝える。ＣＰＵでの障害発生時には、ＤＳＢＡが
障害ＣＰＵを自動的に切り離して健全なＣＰＵでプログ
ラムの実行を継続する。 【効果】本発明により、容易かつ安価に高信頼性を実現
でき、またオンライン業務実行中に障害部位を交換でき
る。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は高信頼化コンピュータ
（フォールトトレラントコンピュータ）の構成にかか
り、特に二重化されたプロセッサとメモリを単一の入出
力バスに接続したフォールトトレラントコンピュータに
関するものである。

【０００２】

【従来の技術】交通管制システム，金融システム等の社
会の根幹を占める機能をコンピュータが担うようになっ
てきている。これらの機能を担うコンピュータに障害が
発生し動作が停止すると、社会に大きな混乱を与える。
従って、コンピュータの信頼性が益々要求されてきてい
る。

【０００３】このようなコンピュータに対する高信頼化
の要求は、電子制御(コントローラ)の分野で従来より研
究がなされており、特開昭57−20847 号公報に示すよう
な多重計算機システムが発案されている。特開昭57−20
847 号公報では、高信頼化の方式として複数のコンピュ
ータで同一の演算を行わせて、データ出力の時点でこれ
らを比較し、正しいものを出力する方法が示されてい
る。このような方法は、ソフトウエアで出力のタイミン
グを合わせて、比較することが前提となっており比較的
小規模な制御システムならば適用可能である。しかし、
大規模かつ複雑な動きをする近年のアプリケーションソ
フトウエアでは、データ比較のために多大な工数が必要
となり適用できない。このような問題点に対応するため
に、ハードウエア主体でデータ比較を行う下記の高信頼
化技術が、発案されている。

【０００４】コンピュータの高信頼化(フォールトトレ
ランス：Fault-tolerance）技術に関しては、特開平2−
202638 号公報がある。この方式のように多数決に加わ
っているプロセッサが独立したクロックで動作している
とプロセッサ間で同期を採るためになんらかの工夫が必
要である。特開平2−202638 号公報はプロセッサ間で同
期を採る手段に関する発明である。

【０００５】またより高い処理性能のコンピュータへの
要求に応えて、処理性能向上のために従来からマルチプ
ロセッサ構成のコンピュータが広く用いられている。マ
ルチプロセッサ構成のコンピュータのフォールトトレラ
ンス技術としては文献「日経エレクトロニクス１９８３
年５月９日号第１９７頁から第２０２頁」がある。

【０００６】この文献には、Pair and spare法と呼ばれ
る、自己診断機能のあるメモリ，プロセッサなどからな
る配線基板２枚を１組にして動作をする技術が記載され
ている。片方の配線基板上の回路でフォールトが生じた
場合には、もう一方の配線基板上の回路で処理動作を続
ける方式である。この方法によれば、フォールト発生時
でも動作が続けられるのでチェックポイントリスタート
(Checkpoint Restart)と呼ばれるフォールト発生時点以
前のチェックポイントからの処理のやりなおし動作が不
要となる。

【０００７】また、他の高信頼化技術としては、米国特
許第4907228号（特開平1−154240号公報）及び米国特許
第5255367号（特開平1−154241号公報）がある。これ
は、二つのプロセッサから伸びるデータパス（２重レー
ル）にメモリなどの共有リソースを接続し、共有リソー
スの入り口で二つのデータバスからの信号を比較するこ
とによりエラーの検出を可能とする基本データ処理装置
を１組（２台）準備する。そして、１組のデータ処理装
置で共有される入出力装置には、入り口での比較による
エラー検出手段を持つ高信頼な計算機構成方法が示され
ている。

【０００８】またさらに他の高信頼化技術としては、特
開平4−241039 号公報がある。これは、障害時の取替え
単位である各々の配線基板上に構成されるＢＰＵ自体に
フォールトトレランス機能を持たせたものである。ＢＰ
Ｕ内で障害が発生してもフォールトトレランス機能によ
り次の「切りの良い時点」（以下便宜上チェックポイン
トと呼ぶ）まで正常動作を継続し、チェックポイントで
他のＢＰＵに処理を引き継ぐものである。この場合、
「切りの良い時点」（チェックポイント）は例えばタス
ク切り替えの時点などに設定するのが適当である。

【０００９】そして、ＢＰＵ内で障害が発生しても次の
チェックポイントまで正常動作を継続させるために、Ｂ
ＰＵを構成する各要素を多重化（冗長化）し、正常な要
素を組み合わせて動作を継続させる。パリティチェック
などにより障害検出が可能なキャッシュメモリなどは二
重化し、正常なキャッシュメモリを選択して用いる。Ｍ
ＰＵに汎用品を用いる場合はＭＰＵにチェック機能を持
たせることはできないので、ＭＰＵの出力信号を比較照
合して正常異常を判断し、正常なものを選択して用いる
ために三重化又は四重化する。

【００１０】このようにして取替え単位である各々の配
線基板上に構成されるＢＰＵ自体が内部で障害が発生し
ても次のチェックポイントまで処理を継続できるので、
障害発生時のチェックポイントリスタートに備えてチェ
ックポイント時点の状態を保存する動作による処理性能
の低下を減少することが出来る。しかもペアとなるＢＰ
Ｕが不要であるので、別々のＢＰＵ間のクロック同期の
ための信号線は不要となり、クロックの高速化が可能と
なる。

【００１１】また、取替え単位を構成するＭＰＵが同一
クロックで動作するので、ＭＰＵ間の同期のための特別
な動作が不要となり、このための処理性能の低下がな
い。

【００１２】以上の従来技術は、いずれもソフトウエア
実行に必要な最小限の環境であるプロセッサとメモリを
多重化し、これらの部分に障害が発生したときにはハー
ドウエアで障害部位を切り離して、プログラムの継続を
保証しようとするものである。つまりプログラムから
は、プロセッサとメモリ部分の障害が全く見えない（透
過）ことを実現するものであり、高信頼システム構築の
ための特殊なプログラミングを軽減するための重要技術
となっている。

【００１３】

【発明が解決しようとする課題】これらの従来技術は、
一般に流通している汎用プロセッサを用いてその周辺回
路に特別な工夫を行って多重化したＣＰＵを実現するも
のであり、同じ汎用プロセッサを用いた通常のデータ処
理装置やワークステーションやパーソナルコンピュータ
と比較した場合、コストの増大やハードウエア・ソフト
ウエアのオーバヘッドの増大が避けられないものとなっ
ている。

【００１４】特に近年、汎用プロセッサは急激に性能を
向上させており、この高速プロセッサを用いた通常のデ
ータ処理装置やワークステーションやパーソナルコンピ
ュータの開発速度は、早まる一方である。このことは、
同じプロセッサを用いても特別な周辺回路を必要とする
高信頼化計算機と、通常のデータ処理装置やワークステ
ーションやパーソナルコンピュータとの性能価格差がさ
らに開いていく問題が内在することを意味する。

【００１５】本発明は、これらの問題点に鑑みてなされ
たものであり、本発明の目的は、汎用計算機と共通性が
高く、汎用計算機と共同開発可能で性能価格性の高い高
信頼計算機を提供することに有る。

【００１６】

【課題を解決するための手段】上記目的を達成するため
に、メモリとプロセッサを例とするデータ処理装置より
構成されるＣＰＵを例とする第１のデータ処理ブロック
及び入出力バスと入出力デバイスから成る入出力装置と
を有する計算機に対して、第１のＣＰＵと同じ構成を持
つ第２のＣＰＵと、これら第１及び第２のＣＰＵに対し
て同一周波数かつ同一位相のクロック乃至はリセット信
号を供給するクロック手段と、二つのＣＰＵと入出力装
置を接続する二重化制御手段ＤＳＢＡ（デュアルシステ
ムバスアダプタ(Dual System Bus Adapter）、以下ＤＳ
ＢＡと呼ぶ）と、二つのＣＰＵ間でＣＰＵの状態などを
受け渡しするブロック間通信手段を具備する。

【００１７】ＤＳＢＡは、第１または第２のＣＰＵから
の出力指示を選択して入出力装置に伝え、入出力装置か
らの応答を第１及び第２の両方のＣＰＵに伝える。また
DSBAは、入出力装置からのメモリアクセスを第１及び第
２のＣＰＵ内のメモリに伝え、第１または第２のＣＰＵ
からのメモリアクセス応答を選択して入出力装置に伝え
る機能を持つ。

【００１８】

【作用】上記の構成において、電源投入による初期立ち
上げの時は、クロック手段によって同一のクロックを二
つのＣＰＵに供給しておき、それぞれのＣＰＵでメモリ
クリアなどの初期化動作を独立に行う。そして、両方の
初期化終了を通信手段によって確認した後、クロック手
段によって同じタイミングで二つのＣＰＵにリセットを
かける。これによって、以降二つのＣＰＵは、全く同じ
動作、即ち同じプログラムを同じ順番で実行するように
なる。そして入出力アクセスの時には、前述のようにＤ
ＳＢＡで二重化ＣＰＵのアクセス制御を行う。

【００１９】次に、ＣＰＵで障害が発生したときは、Ｄ
ＳＢＡが障害ＣＰＵを自動的に切り離すことによって、
健全なＣＰＵでプログラムの実行を継続する。

【００２０】以上のように、ＣＰＵで障害が発生したと
きに、ＤＳＢＡが障害ＣＰＵを自動的に切り離すことに
よって、健全なＣＰＵでプログラムの実行を継続できる
ので高信頼なコンピュータを実現出来る。

【００２１】さらに、ＣＰＵのような非常に高速で高度
な実装技術が要求される部分に二重化制御装置を設ける
のでなく、入出力装置との低速なインタフェイス部分に
DSBAを設けることで、容易にかつ安価に高信頼性を実現
でき、ＣＰＵと入出力装置を通常のデータ処理装置やワ
ークステーションやパーソナルコンピュータと共通化出
来るのでコストの低減と開発速度の向上をはかることが
できる。

【００２２】

【実施例】以下本発明の実施例を図面を用いて説明す
る。

【００２３】図２は、本発明が実施される高信頼化コン
ピュータ（以下計算機）の外観を示す。２００Ａ，２０
０ＢはＣＰＵ−ＢＯＸであり、プロセッサやメモりを含
んでいる。２０１Ａ，２０１Ｂはディスク装置であり、
ディスク装置の信頼性を向上させるために必要に応じて
ミラーディスク構成を採る事が出来る。２０２Ａ，２０
２Ｂは電源であり、それぞれＡ系とＢ系に電源を供給す
る。２０３Ａ，２０３Ｂは冷却ファンであり、それぞれ
Ａ系とＢ系の冷却を行う。この様にシステムの稼働に必
要なハードウエアを全て二重化する事によって、ハード
ウエアの一点故障が発生しても、障害モジュールを切り
離すことによって、連続稼働を実現できる。

【００２４】また、図２の様な装置実装を採る事によっ
て、Ａ系，Ｂ系を物理的に分離できるので二重化形態が
明確になり、保守作業時のヒューマンエラーを減らし、
またバックボード清掃などの重点検も可能となる。

【００２５】図３，図２に示した計算機の概念的なハー
ドウエア構成を示す。

【００２６】１Ａ，１Ｂは、プロセッサやメモリ及びこ
れらの周辺制御回路を有する中央処理装置（ＣＰＵ）で
ある。ＣＰＵ１Ａ，１Ｂは、通常稼働時には同一周波
数，同一位相のクロックに同期して全く同じプログラム
を同じ命令実行順序で実行する。２は、二つのＣＰＵ１
Ａ，１Ｂと入出力バス３０Ａまたは３０Ｂを接続するＤ
ＳＢＡであり、正常なＣＰＵのアクセスを入出力バスに
伝え、入出力バス３０（３０Ａ，３０Ｂ）からのアクセ
スを二つのＣＰＵに伝える働きをする。入出力バス３０
Ａ，３０Ｂは、様々な入出力装置アダプタ（ＩＯＡ）を
含む。ＩＯＡとしては、例えばディスク装置用のＩＯ
Ａ，回線制御装置用のＩＯＡやネットワーク用のＬＡＮ
Ｃなどがある。

【００２７】図からも分かるように、ハードウエアの１
点故障に対する高信頼性を実現するために全てのハード
ウエアを二重化する。ここで、エラー検出能力を持ち、
切り離しの単位となるものをブロックと呼ぶことにす
る。本実施例では、３種類のブロックを持ち、各ブロッ
クはＡ系，Ｂ系で二重化されているので合計６ブロック
ある。各ブロックの主な構成要素は、以下の表１の通り
である。

【００２８】

【表１】

【００２９】本実施例での故障に対する動作の上で特徴
的な点は、多重化されたブロックの切り離しをハードウ
エアとソフトウエアで分担していることにある。つま
り、ＣＰＵブロックは、ハードウエアで二重化制御を行
い、ＩＯバスブロックとデバイスブロックは、ソフトウ
エアによって二重化制御を行う点である。ＣＰＵブロッ
ク内で検出されるエラーについては、ハードウエアで当
該ブロックの切り離しを行い、ＩＯブロックおよびデバ
イスブロックで検出されるエラーについては、ソフトで
当該ブロックの切り離しを行い、残った正常な系による
処理を継続する。

【００３０】従って、入出力バスを制御するソフトウエ
アから見ると、独立したアドレスを持つ二つの入出力バ
ス３０Ａ，３０Ｂが存在しており、どちらの入出力バス
が正常かを示すフラグをメモりに持って、このフラグに
従って二つの入出力装置を組み合わせて使う事によっ
て、入出力装置の二重化して入出力装置の１点故障に対
して連続稼働を実現する。

【００３１】図１に図３で示したハード構成図のより詳
細なブロック図を示す。ここで構成図の右半分と左半分
は、全く同じ構成なので、ここでは、左半分のＡ系部分
について詳細に説明する。

【００３２】３Ａ及び４Ａは、全く同一構成のキャッシ
ュメモリを内蔵したプロセッサであり、通常は全く同じ
動作を行う。５Ａは、命令やデータを格納するメモリで
あり、その容量や構成は当業者周知の様々なものが有る
が、いずれの場合も本発明の実施にあたっては、問題と
ならないのでここでは詳しく述べない。

【００３３】６Ａは、プロセッサ３Ａ，４Ａとメモリ５
Ａとシステムバス９Ａを接続するプロセッサメモリ制御
ユニット(ＰＭＣＵ)あり、主にプロセッサ３Ａまたは４
Ａからのアクセスをメモリやシステムバス９Ａに伝えた
り、システムバスからのアクセスをメモリに伝えたりす
る。さらに、プロセッサ３Ａと４Ａの出力信号５００と
５０１を比較して、二つのプロセッサの出力不一致を調
べてプロセッサ内の故障を検出する。

【００３４】７Ａは、ＣＰＵ１Ａと１Ｂ間で信号線５７
（ＰＸＩバス）を介して、ＣＰＵに状態などの情報を受
け渡すための制御を行うプロセッサ間インタフェイス制
御装置（ＰＸＩ）である。

【００３５】８Ａは、発振器を有するクロック回路（Ｃ
ＬＫ）であり、ＣＬＫ８Ａは、信号線５５を介してＢの
ＣＬＫ８Ｂと協調して、同一周波数／位相のクロックを
Ａ系全体にクロックタイミング信号を供給する。またＣ
ＬＫ８Ａは、発振器の停止検出回路を有している。

【００３６】１１，１２，１３，１４は、Ａ系とＢ系を
接続するＤＳ(Dual System）バスを制御するＤＳＢＡで
ある。本実施例では、４組のＤＳＢＡが示されており、
それぞれ１１Ａと１１Ｂ（１１），１２Ａと１２Ｂ（１
２），１３Ａと１３Ｂ(１３)，１４Ａと１４Ｂ（１４）
が１組となっており、さらに１１と１２の組と１３と１
４の組が、入出力バス及び入出力装置の二重系を形成し
ている。各組の動作は、同じなのでここでは、１１Ａと
１１Ｂの組（１１）について説明する。

【００３７】１６は、ＤＳバスのＡ系側１５ＡとＢ系側
１５Ｂの接続／分離を行うバススイッチであり、遅延デ
ィレイの少ないＣ−ＭＯＳプロセスで製造されたＭＯＳ
スイッチが好ましい。バススイッチを切ることによりＡ
系Ｂ系間が論理的にも電気的にも分離できるのでオンラ
イン動作状態での部品交換がやりやすくなる。

【００３８】DSBA11AはプライマリＤＳＢＡと定義さ
れ、他方のDSBA11Bは、セカンダリDSBAと定義される。
プライマリとセカンダリＤＳＢＡは、それぞれのＣＰＵ
１Ａと１Ｂから同時にＤＳバスアクセスを受けるが、実
際にはプライマリＤＳＢＡだけが、ＤＳバスに対してそ
のＣＰＵアクセスと伝える。即ち一種のセレクタを形成
する。そして、ＤＳバスからのアクセスは、プライマリ
とセカンダリＤＳＢＡが同時に受けて、それぞれのＣＰ
Ｕ１Ａと１Ｂに同じタイミングで伝える。

【００３９】２０Ａと２１Ａは、ＤＳバスと入出力バス
３０Ａを接続する入出力バスアダプタ(ＩＯＢＡ)であ
る。３１Ａ，３５Ａは、それぞれ入出力バス３０ＡとＳ
ＣＳＩ（Small Computer System Interface)バスに代表
される標準的な入出力装置バス３２Ａ，３３Ａ，３６
Ａ，３７Ａを接続する入出力アダプタ（ＩＯＡ）であ
る。３９Ａは、イーサネット（Ethernet）に代表される
ローカルエリアネットワークを接続するローカルエリア
ネットワーク制御装置（ＬＡＮＣ）である。

【００４０】３４（３４Ａ，３４Ｂ）は、所謂ディスク
装置であり本実施例の場合は３４Ａと３４Ｂをソフトウ
エアでミラーディスク構成としているが、ここに示さな
い他の高信頼なディスク構成を採る事も可能である。３
８は、公衆回線網に接続するための公衆回線接続装置で
ある。

【００４１】本実施例で注意すべきことは、これらの入
出力バスがソフトウエアからは、２０Ａと２０Ｂは異な
ったアドレスを持ったＩＯＢＣと認識され、また入出力
装置がソフトウエアからは、それぞれ異なった入出力装
置と認識されることである。

【００４２】従って、ソフトウエアの設定だけで様々な
グレードを持った高信頼計算機が実現できる。例えば、
ここでは全ての入出力バスと入出力装置を二重化した例
を示しているが、システム上で重要性の少ない入出力装
置を１重化することによって、システムのコストを下げ
るなど柔軟な対応が可能となる。あるいは、非常に重要
なデータを格納したディスクを４重化するなどの対応も
可能となる。

【００４３】（ａ）プロセッサメモリ制御ユニット（Ｐ
ＭＣＵ）：図４にＰＭＣＵのブロック図を示す。６Ａも
６Ｂも全く同じ構成なのでここでは６Ａを取り上げて説
明する。ＰＭＣＵは、大きくプロセッサインタフェイス
ユニット(ＰＩＵ）４０とメモリインタフェイスユニッ
ト(ＭＩＵ）４１とシステムバスインタフェイスユニッ
ト（ＳＢＩＵ）４２及びプロセッサ出力比較器４４にわ
かれる。４０は、プロセッサ３Ａと４Ａとのインタフェ
イスユニット(ＰＩＵ)であり、プロセッサの外部アクセ
スがメモリアクセスのときは、マスタプロセッサ３Ａか
らのメモリアドレス・データを信号線５００を介して受
信バッファ４７に取り込み、プロセッサの外部アクセス
が入出力バスへのアクセス（ＰＩＯアクセス）のとき
は、メモリアドレス・データを受信バッファ４６に格納
する。一方、スレーブプロセッサ４Ａからのメモリアド
レス・データは、信号線５０１介してＰＭＣＵに取り込
まれるが、受信バッファには格納されない。

【００４４】マスタ及びチェッカプロセッサからのアド
レスやデータや制御信号は、マスタプロセッサが書き込
みアクセスを出力したとき、プロセッサ出力比較器４４
で比較される。そして値が不一致の時は、マスタチェッ
カエラー信号４００は、アサートされる。また、図示さ
れていないがこのＰＩＵ動作中に検出されるパリティエ
ラーや制御回路のエラーなどは、信号線４０１を介して
論理和素子４３に伝えられる。

【００４５】ＭＩＵ４１は、ＰＩＵからのメモリアクセ
スとＳＢＩＵからのＤＭＡアクセスをセレクタ５０６で
受けて、メモリ５Ａをアクセスして応答をそれぞれＰＩ
ＵあるいはＳＢＩＵに返す。ＭＩＵがＰＩＵから受ける
アクセスは、メモリリードとメモリライトである。メモ
リリードのときには受信バッファ４７に格納されたリー
ドアドレスがセレクタ５０６を介して、メモリ５Ａに伝
えられる。そして、読み出されたデータは、セレクタ５
０５を介して、送信バッファ４８に格納され、マスタ・
チェッカプロセッサ３Ａと４Ａに返される。メモリライ
トのときには受信バッファ４７に格納されたリードアド
レスとライトデータがセレクタ５０６を介して、メモリ
５Ａに書き込まれる。

【００４６】ＭＩＵがＳＢＩＵから受けるアクセスは、
ＤＭＡリードとメモリライトである。ＤＭＡリードのと
きには受信バッファ５０に格納されたリードアドレスが
セレクタ５０６を介して、メモリ５Ａに伝えられる。そ
して、読み出されたデータは、送信バッファ４９に格納
され、システムバス９Ａを介して入出力バスあるいは入
出力装置に返される。ＤＭＡライトのときには受信バッ
ファ５０に格納されたリードアドレスとライトデータが
セレクタ５０６を介して、メモリ５Ａに書き込まれる。
セレクタ５０６の制御方法は、ここでは示していない
が、ＳＢＩＵを優先することが望ましい。

【００４７】このＭＩＵ動作中に検出されるパリティエ
ラーや制御回路のエラーなどは、信号線４０２を介して
論理和素子４３に伝えられる。４５は、メモリコピー
（詳細後述）の時に正常系のＭＩＵが行うメモリへのリ
ード・ライトアクセスを監視して、必要に応じてアドレ
スとデータを取り込む。そして、これを信号線５０４を
介してメモリコピーアクセスとして、システムバスに出
力して、組みとなっているＤＳＢＡを経由して、他系の
メモリに書き込まれる。

【００４８】SBIU42は、システムバス９ＡからのＤＭＡ
アクセスとＰＩＵからのＰＩＯアクセスを処理する。Ｐ
ＩＵからのＰＩＯリードアクセスのときは、受信バッフ
ァ４６に格納されたアドレスをシステムバス権を獲得
後、システムバス９Ａに出力する。そして、リードデー
タは、セレクタ５０５を介して、送信バッファ４８に格
納され、マスタ・チェッカプロセッサ３Ａと４Ａに返さ
れる。ＰＩＯライトのときには受信バッファ４６に格納
されたリードアドレスとライトデータがセレクタ５０７
を介して、システムバス権を獲得後、システムバス９Ａ
に出力する。システムバス９ＡからのＤＭＡリード・ラ
イトアクセスのときは、前述の通りである。これらのＳ
ＢＩＵ動作中にパリティエラーや制御回路のエラーなど
が検出されたときは、信号線４０３を介して、論理和素
子４３に伝えられる。

【００４９】４３は、論理和素子であり、ＰＭＣＵの動
作中に何等かのエラーが検出されると、信号線（ＰＭＣ
Ｕ−ＥＲＲ）９５Ａをアサートして、ＰＸＩ７Ａに伝え
る。 （ｂ）クロック回路（ＣＬＫ）：図５にクロック回路８
Ａ，８Ｂの内部構成図と接続を示す。クロック回路自体
は、Ａ，Ｂとも同じなので、８Ａについて説明する。５
０Ａは、水晶発信器を有する当業者周知のオシレータ
（ＯＳＣ）であり、１０ＭＨｚの比較的低い周波数のク
ロック５０１Ａを出力する。ＯＳＣの周波数を低く設定
することによって、図２に示したような８Ａと８Ｂの間
が数１０センチメートル離れる実装を行っても、安定し
たクロックを両方の系に供給できる。５１Ａは、自系の
ＯＳＣからのクロックと他系のＯＳＣからのクロックを
選択するセレクタである。５２Ａは、フェーズロックル
ープ回路（ＰＬＬ）であり、５１Ａで選択されたクロッ
クと位相の合ったｎ倍周波数のクロック５４Ａを生成し
て、プロセッサや周辺回路に必要な高周波数クロックを
供給する。５３Ａは、ＯＳＣの停止検出回路であり、５
０１Ａ，５０１Ｂの発信停止を検出すると、セレクタの
制御信号５６Ａによって、正常なＯＳＣの出力を選択す
るようにする。

【００５０】OSC50Aと５０Ｂは、最初に電源の入った方
をクロックマスタとするマスタ・スレーブ動作を行う。
例えば、Ａ系が先に立ち上がったとすれば、５０Ａがク
ロックマスタとなりセレクタ５１Ａ，５１Ｂは、いずれ
も５０１Ａを選択する。そして、５０Ａが停止したとき
には、停止検出回路５１Ａ，５１Ｂでこれを検出して、
セレクタが５０１Ｂを選択するように動作する。この切
替動作は、ＰＬＬ引き込み時間よりも小さい、３００ｎ
ｓ程度の短い時間で行われるためにセレクタが切り替わ
っても両方のＰＬＬの出力は、途切れることなくプロセ
ッサや周辺回路にクロックを供給できる。

【００５１】（ｃ）多重システムバスアダプタ（ＤＳＢ
Ａ）：図６と図７及び図８を用いて、二つのＣＰＵと１
つの入出力バスを接続する多重システムバスアダプタ
（ＤＳＢＡ）を説明する。図６にＤＳＢＡによる二重化
システムバス制御まわりに焦点を当てた構成を示す。DS
BA11A はプライマリDSBAと定義され、他方のDSBA11B
は、セカンダリＤＳＢＡと定義される。二つのDSBAは、
それぞれのＣＰＵ１Ａと１Ｂから同時にＤＳバスアクセ
スを受けるが、プライマリＤＳＢＡだけが、ＤＳバスに
対してそのＣＰＵアクセスと伝える。そして、ＤＳバス
からのアクセスは、プライマリとセカンダリＤＳＢＡが
同時に受けて、それぞれのＣＰＵ１Ａと１Ｂに同じタイ
ミングで伝える。つまり、ＤＳＢＡは、ＣＰＵからのア
クセスに対しては、セレクタを形成し、ＤＳバスからの
アクセスに対しては、ディストリビュータの役割をす
る。

【００５２】ところで、ＣＰＵ１Ａ，１Ｂは、正常時に
は同じ動作をしているが、何等かの障害が発生すると同
期動作がずれてくる。この同期ずれは、二つのＣＰＵが
１つのＤＳバス１５Ａにアクセスするときに顕在化す
る。ＤＳＢＡ間インタフェイス６０は、この同期ずれを
検出し、片系障害時に障害系ＣＰＵブロックを切り離す
タイミングを生成する。ＤＳＢＡ間インタフェイス６０
は図６に示すように、少なくとも８本の信号線を有して
いる。６１Ａ，６１Ｂは、それぞれＣＰＵ１Ａと１Ｂか
らのシステムバス要求であり、６２Ａ，６２Ｂは、それ
ぞれＣＰＵ１Ａと１Ｂが生成するシステムバスの使用許
可信号である。６３Ａ，６３Ｂは、それぞれのＤＳＢＡ
内でエラーを検出したことを示すエラー信号である。本
実施例では、ＤＳＢＡ間インタフェイス６０にパリティ
ビットなどのエラー検出符号を付加していないが、必要
に応じて付加できることは、明かである。

【００５３】図７に、DSBA11A の内部構成を示す。ＤＳ
ＢＡは、プライマリかセカンダリによって動作は異なる
が、全て同じハードウエアで実現できるので、ここで
は、DSBA11A を説明する。

【００５４】システムバス９Ａの信号は、データ／アド
レス信号７５１と制御信号７５２を含んでいる。同様に
ＤＳバス３０Ａの信号は、データ／アドレス信号７５３
と制御信号７５４を含んでいる。７３と７４は、アドレ
スやデータを格納するバッファである。７１は、バッフ
ァ７３，７４を管理してシステムバス９ＡあるいはＤＳ
バス３０Ａへのアクセスを管理する送受信制御部であ
る。ＤＳＢＡが処理するアクセスは、ＣＰＵから入出力
装置へのアクセス（ＰＩＯリードアクセスとライトアク
セスと呼ぶ），入出力装置からメモリへのアクセス（Ｄ
ＭＡリードアクセスとライトアクセスと呼ぶ）である。

【００５５】ＰＩＯリードアクセスの時は、信号線７５
１上のリードアドレスを受信バッファ７３に格納し、こ
のアドレスを用いてＤＳバスをアクセスする。そして入
出力アダプタあるいは入出力装置から詠み出されたデー
タは、システムバスへの送信バッファ７４に一旦格納さ
れた後、信号線７５１を介してＣＰＵに伝えられる。Ｐ
ＩＯライトアクセスの時には、信号線７５１上のライト
アドレスとライトデータを受信バッファ７３に格納し、
このアドレスを用いてＤＳバスをアクセスする。そして
入出力アダプタあるいは入出力装置内のレジスタに書き
込まれる。

【００５６】ＤＭＡリードアクセスの時は、信号線７５
３上のリードアドレスを送信バッファ７４に格納し、こ
のアドレスを用いてＣＰＵ内のメモリをアクセスする。
そしてメモリから読み出されたデータは、ＤＳバスへの
受信バッファ７３に一旦格納された後、信号線７５３を
介してＤＭＡアクセス元に返される。ＤＭＡライトアク
セスの時には、信号線７５３上のライトアドレスとライ
トデータを送信バッファ７４に格納し、このアドレスを
用いてメモリに書き込まれる。

【００５７】７６は、受信バッファ７３に格納されたＰ
ＩＯアクセスのアドレスを当該DSBA配下の入出力アダプ
タあるいは入出力装置内のアドレスに変換するＩＯ空間
畳み込み回路である。７７１は、ＩＯ空間畳み込み回路
７６の出力を有効とするかの選択を指示するフラグであ
り、ＤＳＢＡ内の制御レジスタの一つとして本DSBAと対
になるＤＳＢＡが故障したときにソフトウエアによって
設定される。本実施例に於ては、二重化された入出力装
置の制御をすべてソフトウエアで行う場合を中心に説明
しているが、上記ＩＯ空間畳み込み回路７６を用いるこ
とによって、入出力装置を切り替えてもソフトウエア
（たとえばデバイスドライバなど）に対してのアドレス
をかえずに済むため２重制御の負担を減らすことが可能
になる。

【００５８】７５５と７５６は、それぞれ信号線７５１
と７５３のパリティチェッカであり、エラーを検出する
とパリティエラーとして論理和素子７６に伝えられる。
DSBA内で何等かのエラーが検出されると、DSBAERROR63A
として自系と他系の切り離し要求生成部に伝えられる。
切り離し要求生成部７２は、これらＤＳＢＡ内あるいは
ＤＳＢＡ間でエラーを検出したときに、故障ＣＰＵブロ
ックを切り離し要求信号（DISCONREQ)６４Ａを生成し
て、ＰＸＩ７Ｂ（他系のＰＸＩ）に伝える。７５は、Ｄ
Ｓバスへの出力ゲートの制御を行う出力ゲート制御回路
である。

【００５９】図８に出力ゲート制御回路の詳細を示す。
通常の出力ゲート制御は、送受信制御回路からＤＳバス
への送信信号（send）が出されたときに出力ゲートを開
ければ良い。しかし、本実施例では、ＤＳＢＡを多重シ
ステムバスアダプタとして動作させるために、図８に示
す構成を採る。８１，８２は、論理積素子であり、８３
０，８３１，８３２は、否定論理素子である。信号線８
４は、送受信制御回路からＤＳバスへの送信信号（sen
d）であり、信号線６５は、自系ＣＰＵブロックが切り
離されていることを示すDISCON信号である。信号線６６
は、他系ＣＰＵブロックが切り離されていることを示す
DISCON信号である。信号線６７は、セカンダリＤＳＢＡ
であることを示す信号である。二つのＣＰＵが正常に動
作しているときには、プライマリ・セカンダリ両方のＤ
ＳＢＡは同じ様に送信信号８４をアサートするが、プラ
イマリ(即ち信号線６７がネゲートされている)ＤＳＢＡ
だけの出力ゲートが開いて、アドレス／データ等を送出
できる。また、自系ＣＰＵブロックが障害を起こして、
切り離される（信号線６５がアサート）時には、信号線
６５によって出力ゲート制御信号（ＯＥ）８５がネゲー
トされるので、自系の出力ゲートは一切開かず、これに
よって自系ＣＰＵブロックがＤＳバスからの切り離しを
実現する。また、他系が障害を起こして、切り離される
（信号線６６がアサート）時には、セカンダリＤＳＢＡ
であってもsend信号８４に従って、アドレス／データ等
を送出できる。

【００６０】図９に切り離し要求制御部の構成を示す。
９００(９００−１〜９００−４)，９０１，９０２，９
０３(９０３−１〜９０３−３)は、それぞれ論理積素
子，論理和素子，排他的論理和素子，否定論理素子であ
る。９０は、１０マイクロ秒のタイマである。タイマ９
０は、ＰＭＣＵからのシステムバス使用許可信号９１Ａ
（６１Ａ)と９１Ｂ(６１Ｂ）の不一致が排他的論理和素
子９０２で検出されて信号９１０がアサートされるか、
あるいはＰＭＣＵでエラーが検出されてPMCUERR信号９
５Ａがアサートされると、カウントを開始し、他系のＣ
ＰＵブロックを切り離すXDISCON 信号がアサートされる
と、カウントを停止しクリアされるが、１０マイクロ秒
経過するとタイムアウト信号９６をアサートする。論理
積素子９００−１は、片系エラーを検出する回路であ
る。即ち、自系がエラーでなく他系がエラーの時に、他
系のエラー信号９９をアサートし、これによって他系CP
Uブロックの切り離し要求信号９４Ａがアサートされ
る。論理積素子９００−２，９００−３は、それぞれ同
期ずれを検出する回路である。システムバス要求信号や
システムバス使用許可信号をアサートしていない方を故
障と見なして、他系の同期ずれエラー信号９１１，９８
をアサートする。このうち同期ずれエラー信号９８につ
いては、ＣＰＵが別の原因で既に同期ずれを起こしてい
る可能性があるので、すぐに切り離し要求をだすのは危
険である。そこで、要因が判明するまで前述の様にしば
らくの間、タイマ９０，出力９６で同期ずれエラー信号
９８をマスクする。

【００６１】図１０と図１１に同期ずれエラーを検出し
てから、片系ＣＰＵブロック切り離し要求がアサートさ
れるまでのタイムチャートを示す。図１０は、ＰＭＣＵ
からのバス使用許可信号が、Ｂ系からは正常に出力され
たが、Ｂ系から出力されなかった場合を示している。Ｐ
ＭＣＵからのバス使用許可信号(PBGRTB−N）は、一旦Ｄ
ＳＢＡでラッチされ（６２Ｂ）、ＤＳＢＡ間インタフェ
イス６０を介して、１サイクルかけて二つのＤＳＢＡ間
で渡される（９１Ｂ）。自系のＤＳＢＡ内では、他系か
らのバス使用許可信号と位相をあわせるために内部でさ
らにラッチする（９１Ａ）。ＤＳＢＡでは、９１Ａと９
１Ｂを比較して不一致信号(CMPERR−N）をアサートす
る。

【００６２】図１０の場合は、ＰＭＣＵの信号の同期ず
れであり、ＣＰＵの別の原因で同期ずれを起こしてお
り、ＰＭＣＵから切り離し要求が出されている可能性が
ある。そこで、しばらく切り離しを待って、切り離しが
行われなければ、ＤＳＢＡが改めて切り離し要求を出す
（９４Ａ）。

【００６３】図１１は、ＤＳＢＡからのバス使用要求信
号が、Ｂ系からは正常に出力されたが、Ｂ系から出力さ
れなかった場合を示している。ＤＳＢＡからのバス使用
要求信号(PBREQB−N）は、ＤＳＢＡ間インタフェイス６
０を介して、１サイクルかけて二つのＤＳＢＡ間で渡さ
れる（９２Ｂ）。自系のＤＳＢＡ内では、他系からのバ
ス使用許可信号と位相をあわせるために内部でさらにラ
ッチする（９２Ａ）。ＤＳＢＡでは、９２Ａと９２Ｂを
比較して不一致信号（９１０）をアサートし、切り離し
要求を出す（９４Ａ）。上記切り離し要求は、ＰＸＩ７
Ａに伝えられて、最終的な切り離し信号を生成する。

【００６４】（ｄ）プロセッサ間インタフェイス制御装
置（ＰＸＩ）：図１２（ａ）に切り離し信号を生成する
ＰＸＩ７Ａの構成を示す。ＰＸＩは、各系にあるが、全
く同じ構成なのでここでは、Ａ系のＰＸＩについて説明
する。９４Ａは、自系のＤＳＢＡから出される他系ＣＰ
Ｕブロックの切り離し要求信号である。５７は、他系の
ＰＸＩとのインタフェイス信号であり、LXDISCONREQA−
N は、Ａ系からのＢ系切り離し要求、LXDISCONREQB−N
は、Ｂ系からのＡ系切り離し要求、LXDISCONA−Nは、Ａ
系からのＢ系切り離し指示、LXDISCONB−Nは、Ｂ系から
のＡ系切り離し指示である。６５は、LXDISCONB−Nをラ
ッチで受けて、タイミング調整した自系ＣＰＵブロック
の切り離し指示信号であり、ＤＳＢＡの出力ゲートを閉
じることによって自系をＤＳバスから切り離す。１２１
は、論理和素子である。

【００６５】１２２は、自系のＣＰＵの状態を保持する
状態レジスタである。状態としては、図１３に示す６つ
の状態(ＮＯＮＥ,ＩＮＩＴ,ＲＥＡＤＹ,ＣＯＰＹ,ＯＮ
ＬＮ,DISCON）がある。１２０は、どちらの系を切り離
すかを判定する切り離し判定回路である。エラーは、同
時に２箇所で発生したり、既に片系が切り離されている
ときに残存系でエラーが発生する事があるため、切り離
し要求を受けてそのまま切り離し指示を出すと両系切り
離しという致命的な状態になる場合がある。そこで、切
り離し判定回路１２０で切り離してよいかのネゴシエー
ションを行ってからＡ系からのＢ系切り離し指示LXDISC
ONA124をアサートする。

【００６６】図１２（ｂ）に切り離し判定回路１２０の
判定論理を示す。即ち、自系がオンライン状態であっ
て、自系への切り離し要求がなくかつ他系への切り離し
要求が自系ＣＰＵから出されているときにのみ、LXDISC
ONA124がアサートされる。

【００６７】（ｅ）ＣＰＵ動作モード：図１３にＣＰＵ
の状態を示す。状態としては、図１３に示す６つの状態
（NONE，ＩＮＩＴ，ＲＥＡＤＹ，ＣＯＰＹ，ＯＮＬＮ，
DISCON）がある。ＮＯＮＥは、未実装状態またはクロッ
ク停止であり、全く動作していない状態である。INIT
は、ＣＰＵの初期化中であり、他系とは非同期に自ＣＰ
Ｕの初期化処理を実行している状態である。ＲＥＡＤＹ
は、メモリコピー開始待ち状態である。メモリコピーに
ついては、後述する。ＣＯＰＹは、メモリコピー中であ
り、他系からのメモリコピーを受けてメモリ一致化処理
を行っている状態である。ＯＮＬＮは、システムに組み
込まれて正常に動作している状態である。DISCONは、他
系によって切り離し指示が出されている状態である。

【００６８】初期復電時の状態は、ＮＯＮＥであり、Ｃ
ＰＵの初期化処理を行った後にONLN状態になる。一方、
二重化同期動作状態からエラー発生によって、切り離さ
れた後再投入された場合には、ＣＰＵの初期化処理を行
った後に正常系のＣＰＵからのメモリの複写開始待ち状
態になる。その後、実際に正常系のＣＰＵからのメモリ
の複写を受けるＣＯＰＹ状態になり、複写が終了すると
ＯＮＬＮ状態となって二重化同期運転状態に復旧する。

【００６９】（ｆ）動作説明：次に、本実施例で示す高
信頼計算機の代表的な動作について説明する。

【００７０】（イ）正常時の動作： （１）ＩＯバスアクセスを伴わない時 ＩＯバスアクセスを伴わずプロセッサとメモリだけでプ
ログラム実行が行われる時には、二つのＣＰＵは、同じ
プログラムを同じ順序で同期しつつも独立して実行す
る。

【００７１】（２）ＩＯアクセスを伴う時 図１４に示すようにＩＯアクセス起動時には、二つのＣ
ＰＵから同じＩＯに対するアクセスが同時に出力され
る。ＤＳＢＡ（図７で示すプライマリとセカンダリのＤ
ＳＢＡ）は、これを受けて、プライマリＤＳＢＡ側のア
クセスだけを入出力バスあるいは入出力装置に伝える
（１４０，１４１）。ＩＯからの応答は、プライマリと
セカンダリのＤＳＢＡが受けて、二つのＣＰＵに同時に
同じ応答を返す（１４２，１４３）。ここでは、ＣＰＵ
をアクセス元としたが、入出力バスあるいは入出力装置
がアクセス元となるＤＭＡ（ダイレクトメモリアクセ
ス）の時は、図１４の起動と応答が逆になるだけであ
る。つまり、同期運転をしている二つのＣＰＵと１つの
入出力バスあるいは入出力装置をＤＳＢＡで接続し、Ｃ
ＰＵからのアクセスをＤＳＢＡで選択し、入出力バスあ
るいは入出力装置からのアクセスを二つのＣＰＵに分配
する事によって、ＩＯを伴ってもＣＰＵの二重化同期運
転を続けることができる。

【００７２】（ロ）ＣＰＵ障害時の動作：障害時の動作
として（１）エラーの検出、（２）障害ブロックの切り
離し、（３）障害ブロックの交換、（４）交換ブロック
の再投入、のステップが必要なので、このステップに従
って説明する。

【００７３】（１）エラー検出 パリティチェックなど様々なエラー検出手段が考えられ
ているが、本発明ではエラー検出できることが重要であ
りどのような手段を用いるかは問題でない。従ってここ
では、片系のメモリでパリティエラーが発生した場合を
考える。

【００７４】（２）障害ブロックの切り離し エラーの発生がＰＸＩに報告されるとＰＸＩは、３００
ｎｓ程度の非常に短い時間でエラーが発生したＣＰＵブ
ロックに対して切り離し指示信号６５を出す。ＤＳＢＡ
は、切り離し指示信号６５に従って出力ゲートを閉じて
ＣＰＵブロックを入出力バスから切り離す。これによっ
て図１５に示すようにＩＯアクセス起動時には、正常系
のＤＳＢＡ（ライマリとセカンダリに関係無く）のアク
セスだけが入出力バスあるいは入出力装置に伝えられる
（１４４）。ＩＯからの応答は、正常系のＤＳＢＡ（ラ
イマリとセカンダリに関係無く）が受けて、正常なＣＰ
Ｕにのみ応答を返す（１４５）。ここでは、ＣＰＵをア
クセス元としたが、入出力バスあるいは入出力装置がア
クセス元となるＤＭＡ（ダイレクトメモリアクセス）の
時は、図１５の起動と応答が逆になるだけである。

【００７５】（３）障害ＣＰＵの交換 エラーが、回復不可能な永久故障による場合には、ＣＰ
Ｕの交換が必要となる。この交換は、正常系でオンライ
ン業務を実行中に行うので、ＣＰＵのオンライン挿抜と
呼ぶことにする。図１６にＣＰＵのオンライン挿抜手順
を示す。図２のＣＰＵ−ＢＯＸには、図１６(ａ)に示す
オンライン挿抜用パネルがある。１６０は、抜去要求ス
イッチでありシステム対して、当該ＣＰＵを抜去したい
意志を正常系のＣＰＵに伝える。１６１は、抜去許可ラ
ンプであり、正常系のＣＰＵが抜去要求のあったＣＰＵ
を抜去してよいときに赤色点灯する。１６２は、ＣＰＵ
−ＢＯＸの電源スイッチであり、抜去許可状態の時のみ
有効である。１６３は、ＣＰＵ−ＢＯＸを固定するため
のメカニカルキーであり、鍵を持たない作業者が誤って
抜去することを防止する。

【００７６】抜去時の手順を図１６（ｂ）のフローチャ
ートに示す。まず作業者は、抜去要求スイッチをオンし
てから抜去許可ランプが赤色点灯するまで待つ。そして
点灯したら、電源を切った後に抜去する。次に交換ＣＰ
Ｕ−ＢＯＸを挿入する場合は図１６（ｃ）のフローのよ
うに、抜去要求スイッチがオフしていることを確認して
挿入後に電源を入れる。

【００７７】（４）交換ＣＰＵの再投入 交換ＣＰＵ−ＢＯＸは、復電後、図１３に示す様にＣＰ
Ｕの初期化処理を行った後に正常系のＣＰＵからのメモ
リの複写開始待ち状態になる。その後、実際に正常系の
ＣＰＵからのメモリの複写を受けるＣＯＰＹ状態とな
る。正常系のＣＰＵは、交換ＣＰＵがＣＯＰＹ状態にな
ると、メモリコピープログラムを生成して全てのメモリ
を走査する。

【００７８】図１７にメモリコピー時のデータの流れを
示す。プロセッサからメモリにアクセス（１７０）があ
るとＰＭＣＵ内のメモリアクセスモニタ４５がメモリア
クセスのアドレスとデータを盗みとってＤＳバス経由で
交換ＣＰＵ−ＢＯＸのメモリに書き込む（１７１）。こ
の時のプロセッサからメモリにアクセスとしては、メモ
リコピープログラムがメモリを走査するときに発生する
ものとそれ以外のオンライン業務用のプログラムが発生
せるものがあるが、いずれの場合もメモリコピー動作と
しては同じ様に扱う。

【００７９】一方、メモリコピー中に発生するＤＭＡラ
イトアクセス（１７２）も同様にメモリアクセスモニタ
４５がメモリアクセスのアドレスとデータを盗みとって
ＤＳバス経由で交換ＣＰＵ−ＢＯＸのメモリに書き込む
（１７３）。つまり、メモリコピープログラムで全ての
メモリを走査して、正常系のＣＰＵのメモリ内容を交換
ＣＰＵのメモリに複写しつつ、この間に行われる通常プ
ログラムによるメモリ更新やＤＭＡによるメモリ更新を
も全て交換ＣＰＵのメモリに反映することによって、メ
モリコピープログラムのメモリ走査が完了したときに
は、二つのメモリの内容は完全に一致している事にな
る。

【００８０】しかしこのままでは、プロセッサの内部状
態が一致していないので、二つのＣＰＵを同時にリセッ
トして全く同じ動作を開始させる。これによって、再び
二重化同期運転状態に復旧できる。

【００８１】

【発明の効果】本発明によれば、ＣＰＵのような非常に
高速で高度な実装技術が要求される部分に二重化制御装
置を設けるのでなく、入出力装置との接続部分にＤＳＢ
Ａを設けることで、容易にかつ安価に高信頼性を実現で
きる。つまり、ハードウエアの１点障害が発生しても当
該障害部分を切り離して、処理を続行することによりノ
ンストップ運転を実現できる。またオンライン業務実行
中に障害部位を交換することができるため、ノーダウン
運転を実現できる。

【図面の簡単な説明】

【図１】高信頼計算機の全体構成図である。

【図２】装置外観図である。

【図３】概略構成図である。

【図４】ＰＭＣＵの構成図である。

【図５】クロック給電図である。

【図６】ＤＳＢＡ間インタフェイスの図である。

【図７】ＤＳＢＡの構成図である。

【図８】ＤＳＢＡ出力ゲート制御回路の図である。

【図９】切り離し要求生成回路の図である。

【図１０】同期ずれ検出時のタイムチャートの図であ
る。

【図１１】同期ずれ検出時のタイムチャートの図であ
る。

【図１２】切り離し判定手段の図である。

【図１３】ＣＰＵブロックの動作モードの図である。

【図１４】正常時のＩＯアクセス動作の図である。

【図１５】ＣＰＵ障害時のＩＯアクセス動作の図であ
る。

【図１６】オンライン挿抜手順の図である。

【図１７】メモリコピー時のデータの流れの図である。

【符号の説明】

３Ａ，３Ｂ，４Ａ，４Ｂ…プロセッサ、５Ａ，５Ｂ…メ
モリ、６Ａ，６Ｂ…プロセッサメモリ制御ユニット、９
Ａ…システムバス、１１Ａ，１１Ｂ，１２Ａ，１２Ｂ，
１３Ａ，１３Ｂ，１４Ａ，１４Ｂ…多重システムバスア
ダプタ、１６…バススイッチ、２０Ａ，２０Ｂ，２１
Ａ，２１Ｂ…入出力バスアダプタ。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 宮崎 義弘 茨城県日立市大みか町五丁目２番１号 株 式会社日立製作所大みか工場内 (72)発明者 日向 一弘 茨城県日立市大みか町五丁目２番１号 株 式会社日立製作所大みか工場内 (72)発明者 石川 佐孝 神奈川県海老名市下今泉810番地 株式会 社日立製作所オフィスシステム事業部内 (72)発明者 大黒 浩 神奈川県海老名市下今泉810番地 株式会 社日立製作所オフィスシステム事業部内

Claims (13)

【特許請求の範囲】
1. 【請求項１】プログラム及びデータを格納する第一のメ
   モリと該メモリからプログラム及びデータを取り出して
   これを処理する第一のデータ処理装置を有する第一のデ
   ータ処理ブロックと，プログラム及びデータを格納する
   第二のメモリと該メモリからプログラム及びデータを取
   り出してこれを処理する第二のデータ処理装置を有する
   第二のデータ処理ブロックと，第一及び第二のデータ処
   理ブロックにクロック及びリセット信号を供給するクロ
   ック手段と，第一及び第二のデータ処理ブロックの指定
   により処理結果を格納あるいは外部に送出する入出力装
   置と，第一及び第二のデータ処理ブロックと該入出力装
   置に接続される二重化制御手段と，第一及び第二のデー
   タ処理ブロックに接続される第一のブロック間通信手段
   と第二のブロック間通信手段を具備することを特徴とす
   る二重化処理装置を有する高信頼化コンピュータ。
2. 【請求項２】プログラム及びデータを格納する第一のメ
   モリと該メモリからプログラム及びデータを取り出して
   これを処理する第一のデータ処理装置を有する第一のデ
   ータ処理ブロックと，プログラム及びデータを格納する
   第二のメモリと該メモリからプログラム及びデータを取
   り出してこれを処理する第二のデータ処理装置を有する
   第二のデータ処理ブロックと，第一及び第二のデータ処
   理ブロックにクロック及びリセット信号を供給するクロ
   ック手段と，第一及び第二のデータ処理ブロックの指定
   により処理結果を格納あるいは外部に送出する第一の入
   出力装置と，第一及び第二のデータ処理ブロックと該入
   出力装置に接続される第一の二重化制御手段と，第一及
   び第二のデータ処理ブロックの指定により処理結果を格
   納あるいは外部に送出する第一の入出力装置と同一構成
   の第二の入出力装置と，第一及び第二のデータ処理ブロ
   ックと該入出力装置に接続される第二の二重化制御手段
   と，第一及び第二のデータ処理ブロックに接続される第
   一のブロック間通信手段と第二のブロック間通信手段を
   具備することを特徴とする二重化処理装置を有する高信
   頼化コンピュータ。
3. 【請求項３】請求項１および請求項２に記載の高信頼化
   コンピュータにおいて、前記二重化制御手段は、前記第
   一または第二のデータ処理ブロックからの出力指示を選
   択して該入出力装置に伝え、該入出力装置からの応答を
   該第一及び第二のデータ処理ブロックに伝えることを特
   徴とする二重化処理装置を有する高信頼化コンピュー
   タ。
4. 【請求項４】請求項１および請求項２に記載の高信頼化
   コンピュータにおいて、前記二重化制御手段は、該入出
   力装置からのメモリアクセスを前記第一及び第二のデー
   タ処理ブロック内のメモリに伝え、該第一または第二の
   データ処理ブロックからのメモリアクセス応答を選択し
   て該入出力装置に伝えることを特徴とする二重化処理装
   置を有する高信頼化コンピュータ。
5. 【請求項５】請求項１および請求項２に記載の高信頼化
   コンピュータにおいて、前記クロック供給手段は、前記
   第一及び第二のデータ処理ブロック及び前記二重化制御
   手段に同一周波数かつ同一位相のクロックを供給するこ
   とを特徴とするを二重化処理装置を有する高信頼化コン
   ピュータ。
6. 【請求項６】請求項１および請求項２に記載の高信頼化
   コンピュータにおいて、前記二重化制御手段は、前記第
   一のデータ処理ブロックと入出力バスに接続される主制
   御手段と，該第二のデータ処理ブロックと該入出力バス
   に接続される従制御手段より成り、該主制御手段が該入
   出力バスに起動信号を送出し、主及び従制御手段が該入
   出力バスからの起動信号を受けることを特徴とする二重
   化処理装置を有する高信頼化コンピュータ。
7. 【請求項７】請求項１記載の高信頼化コンピュータにお
   いて、前記第一のデータ処理装置は、メモリからプログ
   ラム及びデータを取り出してこれを処理する主プロセッ
   サと，該主プロセッサと同一クロックを使用し、同期し
   て同じプログラムを実行しつつもメモリへのデータ書き
   込みは行わない従プロセッサと、該主及び従プロセッサ
   に接続され、該主プロセッサが外部アクセスを行ったと
   き、該主及び従プロセッサの出力データを比較する比較
   手段を持ったことを特徴とする二重化処理装置を有する
   高信頼化コンピュータ。
8. 【請求項８】請求項１および請求項２に記載の高信頼化
   コンピュータにおいて、前記第一のデータ処理装置は、
   該データ処理装置内で発生するエラーを検出する第一の
   エラー検出手段を有し、該エラー検出手段がエラーを検
   出したときには該データ処理装置を前記二重化制御手段
   から切り離すための第一の切り離し要求を前記第一及び
   第二のブロック間通信手段に発し、前記第二のデータ処
   理装置は、該データ処理装置内で発生するエラーを検出
   する第二のエラー検出手段を有し、該エラー検出手段が
   エラーを検出したときには該データ処理装置を該二重化
   制御手段から切り離すための第二の切り離し要求を第二
   のブロック間通信手段に発し、第一のブロック間通信手
   段は、第一の切り離し要求が無く第二の切り離し要求が
   あったときに二重化制御手段に対して第二のデータ処理
   装置を二重化制御手段から切り離す第二の切り離し指示
   を発し、第二のブロック間通信手段は、第一の切り離し
   要求があり第二の切り離し要求が無かったときに二重化
   制御手段に対して第一のデータ処理装置を二重化制御手
   段から切り離す第一の切り離し指示を発することを特徴
   とする二重化処理装置を有する高信頼化コンピュータ。
9. 【請求項９】請求項５記載の高信頼化コンピュータにお
   いて、前記主制御装置手段は、切り離し指示に応じて入
   出力バスへの起動信号送出を抑止し、前記従制御手段
   は、切り離し指示に応じて主制御装置手段に替わって入
   出力バスへの起動信号送出を開始することを特徴とする
   二重化処理装置を有する高信頼化コンピュータ。
10. 【請求項１０】請求項２記載の高信頼化コンピュータに
    おいて、前記第一および第二の二重化制御手段と前記第
    一および第二の入出力装置は、独立したアドレスを有
    し、第一および第二のメモりに、いずれの二重化制御装
    置と入出力装置が正常かを示す状態情報を具備すること
    を特徴とする二重化処理装置を有する高信頼化コンピュ
    ータ。
11. 【請求項１１】請求項１０記載の高信頼化コンピュータ
    において、前記状態情報が第一の二重化制御手段と第一
    の入出力装置が正常であることを示していれば、第一の
    二重化制御手段と第一の入出力装置を使用し、該状態情
    報が第二の二重化制御手段と第二の入出力装置が正常で
    あることを示していれば、第二の二重化制御手段と第二
    の入出力装置を使用することを特徴とする二重化処理装
    置を有する高信頼化コンピュータ。
12. 【請求項１２】請求項２記載の高信頼化コンピュータに
    おいて、前記第一および第二の二重化制御手段と前記第
    一および第二の入出力装置は、独立したアドレスを有
    し、第二の二重化制御手段は、第一の入出力装置に対す
    るアドレスをも受信し、該アドレスを第二の入出力装置
    のアドレスに変換して、第二の入出力装置の送信する機
    能を有し、該機能を有効とするか否かの設定手段を具備
    することを特徴とする二重化処理装置を有する高信頼化
    コンピュータ。
13. 【請求項１３】請求項１２記載の高信頼化コンピュータ
    において、前記設定手段は、第一の入出力装置が故障し
    たとき有効に設定されることを特徴とする二重化処理装
    置を有する高信頼化コンピュータ。