JPH10254723A - 二重化コンピュータシステム - Google Patents

Abstract

(57)【要約】 【課題】 同じ処理を並行して行う二重化コンピュータ
システムでは、ハードウェアによる異常には他方のコン
ピュータに切り替えることで処理を継続できるが、ソフ
トウェアの異常には対応できない。 【解決手段】 予備用コンピュータの中央処理装置２Ｂ
は、入力バッファ５からのトランザクション出力をバッ
ファ１０を通して１トランザクションだけ遅れた処理を
行い、運転用コンピュータの中央処理装置２Ａの処理中
に異常検出機構８が異常を検出すると、中央処理装置２
Ｂの処理が終了したときに切替機構６に対する切替指示
によって中央処理装置２Ｂの出力を実際の出力に切り替
える。異常発生を識別した処理手順４Ｂは、トランザク
ションの種別に対応した異常回避処理機構１２に切り替
え、異常時トランザクションポインタ１１を参照するな
どして、異常処理の回避手段を講じ、処理の継続を可能
にする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、データ処理の信頼
性を確保するため、中央処理装置、主記憶装置及び補助
記憶装置等を二重化した二重化コンピュータシステムに
係り、特に一方のコンピュータが異常になったときに他
方のコンピュータによる処理の継続方式に関する。

【０００２】

【従来の技術】コンピュータシステムを構成する中央処
理装置、主記憶装置およぴ補助記憶装置は、１００％信
頼性があるわけではなく、製造時の欠陥、振動や放射線
による破壊等によって、稼働中に故障に至る場合があ
る。

【０００３】例えば、磁性体を記憶媒体とする補助記憶
装置では、データの書込みを行った直後に読み出せば、
書込んだ時と同じ値を読み出せなければならないが、書
込みを行った後でその部分の磁性体が剥離してしまう
と、書き込んだ値を読み出せなくなってしまう。

【０００４】このような状況を回避するため、図２に示
すように、Ａ系とＢ系を構成する２台のコンピュータ
Ａ、Ｂのそれぞれの主記憶装置１Ａ，１Ｂと中央処理装
置２Ａ，２Ｂと補助記憶装置３Ａ，３Ｂを全く同じ構成
とし、両コンピュータで全く同じ処理を並行的に実行
し、例えば上記の要因でコンピュータＢの補助記憶装置
３Ｂが動作不能になっても、コンピュータＡの装置で正
常な処理を継続できるようにしている。

【０００５】

【発明が解決しようとする課題】従来の二重化コンピュ
ータシステムは、その解決しようとしている観点では充
分に目的を達成している。

【０００６】しかしながら、コンピュータは、そのハー
ドウェアの製造技術の向上とクロック速度の向上に伴
い、大量のソフトウェアが一時期に中央処理装置を占有
して動作できるようになって、ソフトウェアの欠陥によ
るシステムの異常停止も回避すべき問題として重要にな
ってきており、従来の並行処理方式ではこれに対応する
ことができない。

【０００７】すなわち、同一のハードウェアを用いて同
一のソフトウェアを同時実行する二重化システムにおい
ては、たとえハードウェアに欠陥が発生しなかったとし
ても、ソフトウェアの欠陥は同時に遭遇するため、同時
に動作している両コンピュータも同時に異常停止に至
り、正常な結果に至る手段を失ってしまう。

【０００８】この様子は、図３に例示するように、両コ
ンピュータ１、２の中央処理装置１Ｂ，２Ｂが同一の命
令を同時に実行しようとするときに、該命令に欠陥があ
って命令を実行できなくなると、両中央処理装置１Ｂ，
２Ｂが同時に異状停止になってしまい、システムダウン
になる。このことを以下の具体例で説明する。

【０００９】図４は、図２又は図３の具体例を示してい
る。Ａ系の中央処理装置２ＡとＢ系の中央処理装置２Ｂ
は、それぞれ主記憶装置１Ａ，１Ｂ又は補助記憶装置３
Ａ，３Ｂに持つ処理手順４Ａと処理手順４Ｂを実行する
が、この場合の処理手順４Ａと処理手順４Ｂの内容は全
く同一である。また、中央処理装置２Ａと中央処理装置
２Ｂの処理は、中央処理装置２Ａあるいはその処理手順
に異常が現れるまでは、全く同一の処理を行う。

【００１０】中央処理装置２Ａおよぴ中央処理装置２Ｂ
が処理を開始し、その処理で用いるトランザクション
は、入力バッフア５に格納してあり、格納順に取り出し
て中央処理装置２Ａおよぴ中央処理装置２Ｂに与えられ
る。

【００１１】中央処理装置２Ａが正常に動作している間
は、切替機構６は、実際の出力となる出力装置７への出
力には、中央処理装置２Ａが生成する出力を接続し、同
様に、入力バッファ５ヘ投入する新規に生成したトラン
ザクションもまた中央処理装置２Ａが生成するものを接
続している。

【００１２】異常検出機構８が中央処理装置２Ａあるい
は処理手順４Ａに異常を検出したならば、異常検出機構
８は中央処理装置２Ａに対して停止指示を与えると共
に、切替機構６に対して、実際の出力および入力バッフ
アへ投入するトランザクションを、中央処理装置２Ａが
生成していたものから中央処理装置２Ｂが生成するもの
に切り替える。なお、入力バツファ５には、入力装置９
から生成されるトランザクションも投入される。

【００１３】ここでいうトランザクションとは、一回の
処理で用いるデータと、その処理を識別する情報を合わ
せたもので、タスクあるいはスレッドと称する処理単位
に相当する。ひとつの卜ランザクションに対する処理手
順による処理は、出力あるいは新たなトランザクション
の生成を伴うものの、新たな入力を待ち受ける動作はな
いものとする。

【００１４】したがって、中央処理装置２Ａ，２Ｂなど
のハードウェアの異常には、異常検出機構８の異常検出
により切替機構６が他方のトランザクション及び出力に
切り替えて正常な処理を継続できるが、ソフトウェアの
異常検出時には同じソフトウェアで処理している他方の
中央処理装置も同時に異常となり、トランザクション及
び出力を切り替えるも正常な処理を行うことができな
い。

【００１５】本発明の目的は、ソフトウェアの異常にも
処理の継続ができる二重化コンピュータシステムを提供
することにある。

【００１６】

【課題を解決するための手段】本発明は、同じ処理を行
う運転用コンピュータと予備用コンピュータを備えた二
重化コンピュータシステムにおいて、前記予備用コンピ
ュータは、前記運転用コンピュータの処理に対して１ト
ランザクション以上遅れて処理を実行し、運転用コンピ
ュータの異常発生信号が与えられたときからのトランザ
クションの実行に異常を回避する処理を実行する手段を
設け、前記運転用コンピュータに異常が発生したとき、
前記予備用コンピュータが処理中のトランザクションの
終了時に該予備用コンピュータに異常発生信号と運転用
コンピュータが異常発生時に処理中のトランザクション
信号を与え、実際の出力を前記運転用コンピュータの出
力から予備用コンピュータの出力に切り替える異常時切
り替え手段を設けたことを特徴とする。

【００１７】この構成により、予備用コンピュータは、
運転用のコンピュータに対して１トランザクション遅れ
た処理を行い、運転用コンピュータが異常になったトラ
ンザクション処理の間に発生したトランザクション処理
の異常を回避するものであり、運転用コンピュータの異
常検出機構が異常を検出したときに運転用コンピュータ
を停止し、予備用コンピュータの出力を実際の出力に切
り替え、異常が発生するトランザクション処理の直前の
状態で異常を回避する。

【００１８】

【発明の実施の形態】図１は、本発明の実施形態を示す
構成図であり、図４と異なる部分は、バッファ１０と異
常時トランザクションポインタ１１と異常回避機構１２
を設けた点にある。

【００１９】中央処理装置２Ａ及び中央処理装置２Ｂ
は、システム全体の初期化により、最初のトランザクシ
ョンの待ち受け状態になる。入力装置９、例えばキーボ
ードからのキー入力により最初のトランザクションが発
生すると、それはまず中央処理装置２Ａの処理手順４Ａ
にしたがって処理を開始すると共に中央処理装置２Ｂの
入力バッファ１０に入って中央処理装置２Ａの処理終了
待ちとなる。

【００２０】この時、中央処理装置２Ａに異常が発生し
た時の処理で発生したトランザクションの格納位置を示
す異常時トランザクションポインタ１１を、システム全
体の入力バツファ５の中の最初の格納位置を指すように
設定する。中央処理装置２Ａの処理中に発生する全ての
トランザクションはシステム全体の入力バッファ５に入
って処理待ちとなる。

【００２１】中央処理装置２Ａの最初のトランザクショ
ンに対する処理はいくつかのトランザクションの発生と
いくつかの出力を行って終了する。中央処理装置２Ａの
処理が正常に終了したならば、２番目のトランザクショ
ンの処理を中央処理装置２Ａが開始すると共に、最初の
トランザクションに対する処理を処理手順４Ｂにしたが
って中央処理装置２Ｂが開始し、２番目のトランザクシ
ョンを入力バッファ１０に格納する。

【００２２】この時、異常時トランザクションポインタ
１１は最後のトランザクションを格納した入力バツファ
５の次の位置を指すようにする。最初の卜ランザクショ
ンに対するのと同様に中央処理装置２Ａは２番目のトラ
ンザクションを処理し、終了する。中央処理装置２Ｂも
同様にして最初のトランザクションを処理し終了する。
中央処理装置２Ｂによって生じるトランザクションは入
力バッファ５には記録しない。

【００２３】中央処理装置２Ａが２番目のトランザクシ
ョンの処理を終了し、中央処理装置２Ｂが最初のトラン
ザクションの処理を終了することを確認した後で、中央
処理装置２Ａは３番目のトランザクションの処理を開始
し、中央処理装置２Ｂは２番目のトランザクションの処
理を開始する。以下同様にして、全てのトランザクショ
ンの処理を完了するかＡ系で異常が発生するまで処理を
続ける。

【００２４】なお、入力バッファ５、入力バッファ１
０、異常時トランザクションポインタ１１、処理手順４
Ｂは、Ａ系の処理から保護されているものとする。

【００２５】次に、図１において、異常検出機構８は、
不正なアドレスへのアクセスを検出するメモリ保護機能
や、ウトッチドッグタイマを用いたチェックポイントの
確認などの機能を組み台わせて実現しているものとす
る。

【００２６】ここで例えば中央処理装置２Ａが３番目の
トランザクションの処理中にソフトウェアを原因とする
異常が発生し、異常検出機構８がＡ系の異常を検出する
と、異常検出機構８はまず中央処理装置２Ａを停止し、
続いて中央処理装置２Ｂの処理の終了を待つ。中央処理
装置２Ｂの処理が終了すると、異常検出機構８は切替機
構６に対する切替指示によって中央処理装置２Ｂの処理
結果が出力装置７に出力されるように切り替えると共
に、中央処理装置２Ｂに対して異常発生信号を与え、異
常が発生したことを示す。

【００２７】そして、中央処理装置２Ｂが異常発生信号
によって中央処理装置２Ａの異常発生を識別すると、処
理手順４Ｂを３番目のトランザクションの種別に対応し
た異常回避処理手順１２に切り替え、異常回避処理の実
行に移る。異常回避処理手順１２は、例えば、処理手順
４Ｂのサブルーチンとして与えられた手順であって、中
央処理装置２Ｂで動作するときに異常時トランザクショ
ンポインタ１１を参照するなどして、異常処理の回避手
段を講じる。

【００２８】この異常処理の回避手順は、例えば、３番
目のトランザクション処理のデータ加工を制限したり、
処理を実行することなく４番目のトランザクション処理
を行うことで処理の継続を可能にする。

【００２９】なお、予備用コンピュータのトランザクシ
ョン処理の遅れは、１トランザクションに限らず、２ト
ランザクション以上の遅れとすることでも良い。

【００３０】

【発明の効果】以上のとおり、本発明によれば、トラン
ザクション処理を遅延させて実行する予備の系を備え、
運転している系が先行するトランザクション処理におい
て異常に至った場合に、予備の系の後続するトランザク
ション処理の終了の後に、運転していた系が異常に至っ
たトランザクションに対して異常回避手続きを選択して
実行できるようにしたため、常時稼働し続けなければな
らないシステムのハードウェアの異常発生に対するシス
テムの運転継続及び制御プログラムの異常発生にもシス
テムの運転継続ができる効果がある。

【図面の簡単な説明】

【図１】本発明の実施形態を示す構成図。

【図２】従来技術における処理の２重化の説明図。

【図３】ソフトウェアの欠陥に対する従来システムの動
作説明図。

【図４】従来の具体例を示す構成図。

【符号の説明】

１Ａ、１Ｂ…主記憶装置 ２Ａ、２Ｂ…中央処理装置 ３Ａ、３Ｂ…補助記憶装置 ４Ａ、４Ｂ…処理手順 ５…入力バッファ ６…切替機構 ７…出力装置 ８…異常検出機構 ９…入力装置 １０…バッファ １１…異常時トランザクションポインタ １２…異常回避機構

Claims (2)

【特許請求の範囲】
1. 【請求項１】 同じ処理を行なう運転用コンピュータと
   予備用コンピュータを備えた二重化コンピュータシステ
   ムにおいて、 前記運転用コンピュータに異常が発生したとき、前記予
   備用コンピュータに異常発生信号を与える異常検出手段
   と、 該異常検出手段が異常を検出するとシステムの出力を運
   転用コンピュータの出力から予備用コンピュータの出力
   に切り替える異常時切替手段とを備えると共に、 前記予備コンピュータの処理を前記運転用コンピュータ
   の処理に対してトランザクション以上遅れて実行せしめ
   たことを特徴とする二重化コンピュータシステム。
2. 【請求項２】 前記予備用コンピュータに、前記運転用
   コンピュータが異常発生時に実行していたトランザクシ
   ョンに対して、異常を回避する処理を施すための異常回
   避手段を具備せしめたことを特徴とする請求項１記載の
   二重化コンピュータシステム。