JPS6240547A - 誤り回復装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔発明の技術分野〕 本発明はフォールトートレラント計算システムに関し、
特に、計算装置内で発生した誤りからの回復に関する。

〔従来技術およびその問題点〕

誤りの発生とは、機械命令の実行中に、データまたは以
降の機械命令の実行を正しくないものにするでき事であ
る。計算システムを全く停止して再ブートするのではな
く、最小量の中断で、データおよび以降の機械命令の実
行が確実に正しいものになるように１機械命令の実行を
修復し続行するのが望ましい。

計算システムはシステム状態と呼ばれる一組の属性によ
って特徴づけられる。システム状態にはプロセス−コン
トロール・ブロックとプロセスがアクセスできるローカ
ル−データとから成るプロセス−データと、データベー
ス・ファイルのような永久的なデータから成るファイル
拳データとがある。

従来の修復機構は発生した誤りを部分的に回復するだけ
であった。誤りの発生前に開始されたフ　。

アイル・データの修正は完全に終了するかあるいは開始
前の状態に完全に戻されるかのいずれかであった。従来
の修復機構では、チェックポイントにおいて、チェック
ポイントに現存するシステム状態であるチェックポイン
ト・システム状態を完全に回復するのに充分なデータを
定期的に記録していた。

誤りが検出されると、以前に行われたファイルの修正は
ファイルの修正を記述しである過去に記録された情報を
後向きにたどることによって１元の状態に戻していた。

計算７ステムは、最後のチェックポイント・システム状
態として定義されている最も最近に記録されたチェック
ポイント・システム状態にリセットされていた。

従来の修復機構は一般にファ、イル・データを誤り発生
の直前に存在していたと同じ状態にまでは回復しなかっ
た。誤り発生前にファイル・データの修正を終らないプ
ロセスはアポートされ、再始動されなかった。誤り修復
を完了することによって得られる７ステム状態は、最終
システム状態と定義されるが、一般的には誤り前システ
ム状態ではなかった。誤り前システム状態とは誤り発生
の直前に存在していたシステム状態である。最終システ
ム状態は単に最後のチェックポイント−システム状態で
あるに過ぎないことが多かった。

従来の修復システムはフォールト会トレラントにするた
めモジュール式冗長性を採用していた。

二つ以上のプロセラ丈が並列に動作し、同じコードを実
行する。定期的チェックポイントで、並列的な結果を比
較する。結果が相違していることがわかれば、裁定機構
により並列結果のどちらかを選択する。モジュール式冗
長性は極めて高価なものについた。ハードウェアを二重
にすることは余りにも高価だったのである。

先行技術においては、ある修復機構は、最終システム状
態を誤り前システム状態にすることができるようにして
いた。チェックポイントが非再現入出力動作を行うべき
各点の前に挿入された。各チェックポイントにおいて、
ユーザはチェックポイント・システム状態を回復するた
めに充分〜な情報を記録するコードを挿入しなければな
らなかった。

この機構にはいくつかの短所があった。この機構はユー
ザにとってトランスペアレントではな（。

エラーを確実に修正するのは部分的にはユーザの責任に
なつくいた。この機構ではユーザは各チェックポイント
でどの情報を記録しなげればならないかを選択する必要
があった。したがってトランスペアレントになっている
機構に比べて人間り）エラーが入り勝ちであった。選択
するｔ＃報が不充分であれば正しい回復は望めなくなり
、反面、あまりにも多くの情報を選択すればシステムの
性能が低下するつ 他の短所はチェックポイントの間隔、すなわち二つの隣
合うチェックポイントの間の間隔がプログラムに無関係
ではなくプログラムで決まることである。各再現性入出
力動作前にチェックポイントメ嘴報を記録するには過大
なオーバーヘッドがかかる。この過大なオーバーヘッド
のためシステムの性能は甚だしく低Ｆした。チェックポ
イント間隔は非再現性入出力動作の間隔より長くはでき
なかった。チェックポイント間隔を長くしてオーバーヘ
ッドを「薄める」ことによりシステム性能を向上させる
ことはできなかった。平均修復時間はチェックボ、イ／
ト間隔に関係するので、チェックポイント間隔を自由に
設定できないことから。

システム性能と平均修復時間との間で妥協をはかること
はできなかった。

〔発明の目的〕

本今明はアプリケーションからはトランスペアレントで
また多様な環境下で正確な誤り回復な可能とすることを
目的とする。

〔発明の概安〕

本発明の好ましい実施例によれば、機械命令の本来の実
行中に発生する、計算システム内の誤りを回復すること
ができる装置が提供される。計算システムは最後のチェ
ックポイント−システム状態にリセットされ、機械命令
の実行が再開される７本発明は計算システムを指定され
た誤り前システム状態と同一の最終システム状態まで回
復する。

機械命令の再実行が開始されると、計算システムは、計
算システムが機械命令を最初実行する間に行ったと同じ
入力に対し同じ命令点で動作するっ命令点とは各機械命
令の実行あるいは再実行が終了した点のことである。命
令点は実行された機械命令の数により決まる（つまり「
ステップ」で数えられる）ものであって、時間の経過に
よって決まるものではない。

本発明では１機械命令の再実行中、機械命令の最初の実
行中に処理された各決定イベントを繰返す。決定イベン
トとはその処理が最終システム状態の決定に影響する非
同期の割込のことである。

たとえば、決定イベントは典型的には入力イベント、メ
ツセージの受取り、実時間クロックの読み取り、プロセ
スの生成、またはプロセスのスワツピングである。各決
定イベントは、機械命令の最初の実行時に決定イベント
が始めに処理された命令点と同じ機械命令の再実行時の
命令点で繰返される。決定イベントを繰返すには、決定
イベントを再発生させこれを処理するか、あるいは決定
イベントの再発生および処理をシミュンートするかのい
ずれかによろう 本発明では、機械命令の再実行中には非決定イベントを
必ずしも繰返すことはしないっ非決定イベントとはその
処理が最終システム状態の決定に対してトランスペアレ
ントな非同期割込のことである。たとえば、非決定イベ
ントはキャッシュ・７オルトやページｈ７オルトである
。非決定イベントは機械命令の再実行中に繰返えされて
もよいが、非決定イベントは計算システムを誤り前シス
テム状態まで回復するのには必らずしも繰返される必要
はない。

本発明は実行されたあるいは再実行された機械命令を数
え、機械命令の最初の実行時に決定イベントが処理した
命令点と同じ命令点で決定イベントを繰返す。決定イベ
ントの処理中あるいは操ぺし中に実行した機械命令と、
非決定イベントの処理中に実行した機械命令については
通常は数えない。

本発明は決定イベントが繰返される時刻の一記録をとっ
ておくことだけにより誤り修復をしようとする計算シス
テムより優れている。機械命令の最初の実行を完了する
までの時間は、同じ機械命令の再実行よりも長くなった
りあるいは短かくなったりする゛かもしれない。たとえ
ば、その実行時間がディスクの最初のヘッド位置に関係
して決まる入出力動作では、再実行時のアクセス時間は
違って来る。

計算システムが、決定イベントの発生時刻の記録をとっ
てお（だけの場合には、この決定イベントは機械命令の
再実行時においては、決定イベントが最初に処理された
命令点と同じ命令点で繰返されないかもしれない。機械
命令の再実行により得られる最終システム状態は機械命
令の最初０実行によって得られた誤り前システム状態と
は異なることになる。本発明は誤り前クステム状態を確
実に再現できるようにするものである。本発明は機械命
令の再実行時には常に１機械命令の実行時に決定イベン
トが最初に処理された命令点と同じ命令点で決定イベン
トを繰返す。

本発明ではチェックポイント間隔をユーザのアプリケー
ション・プログラムと無関係にすることができる。チェ
ックポイント間隔はプログラム可能であシ、これによシ
システム性能と平均回復時間との間で妥協をはかること
ができる。本発明はユーザのアプリケ−７ヨンに対して
トランスペアレントであり、したがってプログラマが不
注意で誤りをおかす危険が少くなる。

本発明は誤りの検出とは直接関係していない。

人間の介在を必要とする副作用が広がる前に誤りが検出
されるかぎり、誤りはなお修復することができる。従っ
て、誤りを直ちに検出するハードウェアを５誤りを迅速
に検出するハードウェアとソフトウェアとで置きかえる
ことができるので、・・−ドウエアは少くて済む。

〔発明の実施例〕

好ましい実施例は最初に実行される機械命令およびエラ
ーが起った場合に再実行される機械命令を数える修復カ
ウンタな使用する。第１図中には修復カウンタ１００が
示されており、これは制御しＩジスタである。計算シス
テム１０１はプロセス−コントロール−ブロック１０３
とローカル−データ１０５との他に、ディスク１０９上
にファイル・データ１０７を備えている。修復カウンタ
１００内に記憶しである修復カクンタ値１０２は、プロ
セッサ１０４が機械命令を１同案行するごとにｌだけ減
らされる。

Ｐ　Ｓ　Ｗ　（Ｐｒｏｃｅｓｓｏｒ　５ｔａｔｕｓ　Ｗ
ｏｒｄ　）　１０８の中のイネーブル／ディスエーブル
・ビットは修復カクンタ１００がカウントを行えるよう
にしあるいは行えないようにするのに使用することがで
きる。修復カウンタ１００はバス１１０を介して読み出
したり書き込んだりすることができる。

修復力ワンタ＠　１０２がカウントｅダウンされて０を
またぐと、その最上位ビット１１２がトラップを生ずる
。トラップとは、プログラム制御をトラップを処理する
ソフトウェアであるトラップ・・・ンドラ１１４に渡す
内部割込みのことである。イベント・ハンドラ１２２と
イベント・レコーダ１２３はソフトウェアに入っている
。チェンクポイントーシステム状態レコーダ１２６、誤
りフィクサ１２４、チェックポイント・システム状態リ
セッタ１１８、およびイベント−ノミュレータ１２０も
ソフトウェアに入っている。情報はディスク１１６に書
き込むことができる。

第２図は非同期イベントを分類する階層構造を明らかに
している。非決定イベント２００は決定イベント２０２
、まｔこは非決定イベント２０４として定義される。前
に説明したとうり、決定イベントはその処理が最終シス
テム状態に影響する非同期割込みであり、非決定イベン
トはその処理が最終システム状態の決定には影響しない
非同期割込みである。

決定イベント２（＋２は再現イベント２０６か非再現イ
ベント２０８かのいずれかとして定＄ｉされる。再現イ
ベントは機械命令の再実行の結果発生する決定イベント
である。たとえば、ディスク読み出しする。非再現イベ
ントとは機械命令の再実行では発生しない決定イベント
である。たとえば、−人間のキーボード入力による入力
イベントは、機械命令のＲｋ？）Ｊの実行中に発生して
も、その機械命令の再実行の結果再度発生することはな
い。

機械命令の再実行時、再現イベント２０６は早再現イベ
ント２１Ｏかあるいは遅再現イベント２１２かのいずれ
かに分類される。早再現イベントは機械命令の再実行時
、命令点ＩＰ’より前の命令点で発生する。ただし、エ
ビは命令点ＩＰと同じであり、早再現イベントは最初は
機械命令の実行時ＩＰで処理されたものである。遅再現
イベントは機械命令の再実行時、命令点Ｉｆ”以降の命
令点で発生する。ただし、エビは命令点ＩＰと同じであ
り、遅再現イベントは最初機械命令の実行時ＩＰで処理
されたものである。

第３図は誤りが発生した命令点をつきとめることができ
る構成における好ましい実施例を示す。

典型的な実行シーケンス３００および典型的な再実行シ
ーケンス３０２で実行される一連の機械命令を示しであ
る。実行シーケンスとは誤り発生前に実行される一連の
機械命令である。再実行シーケンスとは誤り検出後に実
行される、指定された実行シーケンスに対応する一連の
機械命令である。再実行シーケンスは最初に実行した機
械命令と本質的に同一の、実行済み機械命令を含んでい
る。機械命令は機械命令を最初に実行した指定の順序と
同じ順序で再実行される。

命令点３０４はチェックポイントである。命令点３０４
１Ｃ，チェックポイントークステム状態３０５が存在す
る。一連の機械命令３０６はチェックポイント−システ
ム状態レコーダ１２６が走ることによって実行される。

チェックポイント・システム状態レコーダ１２６は計算
システム１０１をチェックポイント・システム状態３０
５まで完全に回復することができるのに充分な情報なデ
・イスク１１６に記録する。一連の機械命令３０６を実
行したところで、計算システム１０１はまたチェツクボ
イノト番システム状態３０５に置かれている。

実行う−ケノス３００には一連の機械命令３０８゜３０
９、３１０．３１１，３１２、および３１３が含まれて
いる。先に実行した一連の機械命令３０８．３０９．３
１０．３１１．３１２、および３１３は再実行シーケン
ス３０２で再実行される。

一連の機械命令３１４．３１５、および３１６は命令点
３２０で発生する再現イベント３１８を処理するために
実行される。イベント・ハンドラ１２２を走行させるこ
とにより一連の機械詰合３１４と３１６が実行される。

またイベント・レコーダ１２３を走行させることにより
、一連の機械命令３１５が実行される。イベント拳しコ
ーダ１２３ヲ走行させることによシ、決定イベント情報
を記録する。決定イベント情報とは、ある決定イベント
の発生を他の決定イベントの発生から区別するのに必要
な情報である。決定イベント情報には、最後のチェック
ポイント以降実行された機械命令で、非決定イベントの
処理のため実行した機械命令以外σ）ものを数えた結果
が人っている。

一連の機械命令３２３は、命令点３２８で発生する非決
足イベント３２６を処理するために実行される。

イベント参ノ・ンドラ１２２が走行することにより。

一連の機械命令３２３が実行される。

一連の機械命令３３０，３３１．３３２および３３３は
命令点３３６で発生する非再現イベ７１−３３４を処理
するために実行される。イベント番／・ンドラ１２２が
走行することにより、一連の機械命令３３０と３３３が
実行される。またイベント・レコーダ１２３が走行する
ことにより、一連の機械命令３３１と３３２が実行され
る。一連の機械命令３３１の実行により決定イベント情
報が記録され、一連の機械命令３３２の実行により、非
再現入力が記録される。非再現入力とは非再現イベント
の処理の一部として受取られる入力である。

一連の機械命令３３８．３３９、および３４０は命令点
３４４で発生する再現イベント３４２を処理するために
実行される。イベント番・・ンドラ１２２が走行するこ
とで、一連の機械命令３３８と３４０が実行され、イベ
ント・レコーダ１２３が走行することにより、一連の機
械命令３３９が実行される。イベント・レコーダ１２３
を走行させることにより、決定イベント情報を記録する
。

誤り発生３４７は命令点３４６で起るとしているので、
誤り前ンステム状態３４５は命令点３４６の状態である
。この誤りの検出は命令点３４８で起る。一連の機械命
令３５０は命令点３４６と命令点３４８との間で実行さ
れる。誤り発生３４７により一連の機械命令３５０゛の
実行が無効となる。

誤り検出３４９に続き、計算システム１０１は概念的に
修復モードに入り、一連の機械命令３５２が誤りフイク
サ１２４を走行させることにより実行される。一連の機
械命令３５２を実行するのは発生した誤り３４７と同一
または類似の誤りが差し迫って発生しないようにするも
のである。たとえば、誤り発生３４７が過渡的でなく、
物理的メモリの部分的な故障による場合には、計算シス
テム１０１の新しい物理的構成を反映するように仮想メ
モリ管理用制御データが更新される。

誤りフイクサ１２４も再実行シーケンス３０２の間に、
ある出力が望まれないのに繰返されることがないように
あるステップを踏む。たとえば、誤りフイクｔ１２４は
プリンタ用および端末装置用の出力ポートのようなある
出力ポートを一時的にディスエーブルする。誤りフイク
サ１２４は再実行シーケンス３０２が計算システム１０
１の新しい物理的構成に影響されないようにするステッ
プを踏む。たとえば、ある装置までの新しい物理的径路
が長くなると、装置までのソフト９エア上の径路が長く
なり、装置への各アクセスに対して二つの余分な機械命
令を実行しなければならなくなる。誤りフイクテ１２４
は、実行７−ケンス３００の間に装置がアクセスされた
か否かおよびその時期をｉｇするため、あらかじめ記録
しておいたデータを使用する。誤りフイクサ１２４は実
行された機械命令のあらかじめ記録しておいたカウント
を修正することにより、その装置へ各アクセスに対する
再実行シーケンス３０２において実行しなければならな
い二つの余分な機械命令を反映させる。

誤りフイクサ１２４が計算システム１０１の内部の損擾
を修理することができない場合には、誤りフイクサ１２
４は人間の介在を要求する。人間の介在により計算シス
テム１０１を停止させなければならなくなった場合でも
、一旦故障が１膠埋されれば完全な誤り回復を可能とす
るに充分な情報が既にディスク１１６に記録されている
。計算システム１０１を修理できない場合には、並列計
算システムで完全な誤り回復を可能とするに充分な情報
が既にディスク１１６に記録されている。

チェックポイント・システム状態リセツタ１１８が走行
することにより、一連の機械命令３５４が実行される。

実行シーケンス３０００間に、ファイル・データは、フ
ァイル・データになされる変更を後から元に戻すことが
できるような態様で修正される。あらかじめ記録してお
いたログを使用することにより、チェックポイント・シ
ステム状態リセツタ１１８はファイル・データ１０７、
プロセス・テム１０１をチェックポイント・システム状
Ｌ１３０５まで戻す。

トラップ３５６は最上位ピット１１２により命令点３５
７で発生する。再実行う−ケンス３０２における命令点
３５７は実行７−ケンス３００における命令点３２０と
同一である。再現イベント３１８は命令点３５７で再び
取扱われるべきである。再現イベント３１８はこの例で
は遅再現イベントであり、命令点３６０になるまで発生
しない。プロセッサ１０４は再現イベント３１８を待つ
。トラップ滲ハ／ドラ１１４を走行させることにより、
初期トラップ処理を行う一連の機械命令３５８を実行す
る。プロセンｔ１０１はアイドル・サイクルでループし
て、一連の機械命令３５９を実行し、再現イベント３１
８が再び起るのを待つ。

再現イベント３１８が命令点３６０で再び起ると。

一連の機械命令３６３と３６４が再現イベント３１８を
再処理するために実行される。イベント・ハンドラ１２
２を走行させて一連の機械命令３６３を実行し、トラッ
プ・ハンドラ１１４を走行させて一連の機械命令３６４
を実行する。

トラップは非決定イベント３２６に関しては再実行７−
ケンス３０２においては発生せず、非決定イベント３２
６も再実行シーケンス３０２においては発生しない。

最上位ピント１１２０反転により、命令点３６７でトラ
ップが発生する。再実行シーケンス３０２における命令
点３６７は実行シーケンス３００における命令点３３６
と同じである。非再現イベント３３４は再実行シーケン
ス３０２においては機械命令が再実行されるからと言っ
て再度起ることはない。非再現イベント３３４はシミュ
レートされる。一連の機械命令３６８．３６９、および
３７０は非再現イベント３３４をシミュレートするため
に実行される。トラップ・ハンドラ１１４を走行させる
ことにより、一連の機械命令３６８と３７０を実行する
。またイベント・シミュレータ１２０を走行させること
により、一連の機械命令３６９を実行する。イベント・
シミュレータ１２０は、先に記録しておいた非再現入力
を使用して、非再現イベント３３４の再現と処理をシミ
ュレートするっ 再実行シーケンス３０２の命令点３７３は実行シーケン
ス３００における命令点３４４と同一である。再現イベ
ント３４２は命令点３７３で再び処理されるべきである
。この例では再現イベント３４２は早再現イベントであ
る。再現イベント３４２は命令点３７２で再び起るがこ
れは命令点３７３よりも前である。

一連の機械命令３７１．３７４、および３７９は再現イ
ベント３４２が再発生した時点で実行される。イベント
−ハンドラ１２２を走行させることにより、一連の機械
命令３７１と３７９を実行する。またイベント・レコー
ダ１２３を走行させることにより、一連の機械命令３７
４を実行する。イベント・ハンドラ１２２は命令点３７
２では再現イベ７　）　３４２を直ちには再処理しない
、イベント・ハンドラ１２２はイベント−レコーダ１２
３を呼び、再現イベント３４２の再現を記録し識別する
が、再現イベント３４２は命令点３７３に来るまでは再
処理されない。再現イベント３４２に命令点３７２時点
で直ちに手当をする必要がある場合には、イベント・ハ
ンドラ１２２は再現イベント３４２を命令点３７２で処
理する。しかし命令点３７３　Ｋ来るまでは「報告Ｊは
行われない。

よって、ユーザ・プログラムから見ると、再現イベント
３４２は命令点３７３までは再処理されない。

命令点３７３に来る前に、一連の（！ｌ！械命令３１２
が再実行される。最上位ビット１１２０反転によりトラ
ップ３７５が命令点３７３で発生する。再現イベント３
４２は、命令点３７３から始まって再処理される。

一連の機械命令３７６．３７７、および３７８は再現イ
ベント３４２を再び処理するために実行される。トラッ
プ・ハンドラ１１４を走行させることにより一連の機械
命令３７６と３７８を実行する。またイベント・ハンド
ラ１２２を走行させることにより、一連の機械命令３７
７を実行する。

最上位ビット１１２０反転によシ、トラップ３８２が命
令点３８０で発生する。命令点３８０は命令点３４６と
同一であシ、また誤り発生３４７は命令点３４６で起っ
たのである。トラップ・ハンドラ１１４を走行させるこ
とにより一連の機械命令３８３を実行する。

トラップ・ノ・／ドラ１１４は修復カウンタの数置を命
令点３４６時点における直にリセットする。トラップ・
ハンドラ１１４は計算システム１０１を修復モードから
抜は出させる。

命令点３８４で最終システム状態になるが、これは誤り
前システム状態３４５と同一である。命令点３８４より
後では、一連の機械命令３８６が実行され正常実行を継
続する。

第４図は誤り発生からの回復な単偏する際好ましい実施
例が行うステップを示す。チェックポイント・システム
状態を完全に回復するのに充分なデータが、ステップ４
００でチェックポイント−システム状態レコーダ１２６
を走行させることによりディスク１１６に定期的に記録
される。修復カウンタ直１０２はステップ４０２でバス
１１０を介して、指定された初期直にリセットされる。

機械命令はプロセッサ１０４により実行され、修復カウ
ンタ直１０２は機械命令が実行されるごとにステップ４
０４でデクリメントされる。

ステップ４０６で誤り発生が検出されれば、ステップ４
０８で誤り修復が実行される。誤り修復についてはＦで
説明されまた第５人図および第５Ｂ図に一層詳細に示し
である。その後ステップ４０４に戻り、機械命令の実行
が継続する。

ステップ４１０で非同期イベントが発生しない場合には
、ステップ４３６が実行される。ステン、ブ４３６でチ
ェックポイントを取るべきことが晦められれば、プロセ
ラｆ１０４はステップ４００に戻る。チェックポイント
・システム状態を完全に回復するに充分なデータがディ
スク１１６に記録される。ステップ４３６゛でチェック
ポイントに到達していないことが確認されれば、プロセ
ッサ１０４はステップ４０４に戻る。他の機械命令が１
つ実行され、修復カウンタ値１０２がデクリメントされ
る。

ステップ４１０で非同期イベントが発生すれば、修復カ
ウンタ１００は一時的にディスエーブルされる。修復カ
ウンタ１００は、ステップ４１２でイネーブル／ディス
エーブルΦビット１０６をリセットすることによりハー
ドウェアで自動的にディスエーブルされる。

ステップ４１４で決定イベントが発生したことが１ｌＩ
ＰＩＩｌされれば、ステップ４１８で修復力クンタ１ｉ
ｉｉ　１０２がバス１１０を介して読出され記録される
。イベント・ハンドラ１２２を走行させてステップ４２
０で決定イベントを処理する。イベント・レコーダ１２
３を走行させステップ４２２で決定イベント情報をディ
スク１１６に記録する。

再現イベントが発生していることがステップ４２４でｍ
ｇされると、ステップ４３０でイネーブル／ディスエー
ブル−ビット１０６す操作することにより、修復カウン
タ１００が再びイネーブルされる。割込み処理からの復
帰が実行されこれによりステップ４３０でイネーブル／
ディスエーブル・ビット１０６をリセットするとき、修
復力９ンタ１００はノ１−ドウエアで自動的に再びイネ
ーブルされる。チェックポイントに到達したか否かはス
テップ４３６でチェックされる。

非再現イベントが発生していることがステップ４２４で
確認されれば、非再現イベントの処理中に受取った入力
である、非再現入力がステップ４２８でディスク１１６
に記録される。ステップ４３０でイネーブル／ディスエ
ーブル・ビット１０６の操作により修復カウンタ１００
は再びイネーブルされる。

チェックポイントに到達しているか否かはステップ４３
６でチェックされる。

非決定イベントが発生していることがステップ４１４で
ｉｇされれば、ステップ４３４でイベント・ハンドラ１
２２を走行させることによりこの非決定イベントを処理
する。ステップ４３０でイネーブル／ディスエーブル・
ビットを操作することにより修復カウンタ１００は再び
イネーブルされる。チェックポイントに到達しているか
否かはステップ４３６でチェックされる。

別の好ましい実施例では、非同期イベントが発生すると
、修復カウンタ１００は、修復カウンタ直１０２および
この非同期イベントを識別するのに光分な情報が記録さ
れてから再びイネーブルされる。

非同期イベントを完全に処理する前に修復カウンタ１０
０が再びイネーブルされると、優先度の高い第２の非同
期イベントがイネーブルされ優先度の低い第１の非同期
イベントの処理に割込みがかかる。

第５Ａ図および第５Ｂ図は誤りが検出されたとき計算シ
ステム１月が行なう回復ステップを示す。

修復モードへはステップ５００で入る。ステップ５０１
でイネーブル／ディスエーブル・ピント１０６を操る。

誤り検出時点の修復カウンタ呟１０２はバス１１０を介
して読出されステップ５０３で記録される。ステップ５
０４で、ファイル・データ１０７が、チェックポイント
・システム状態リセンタ１１８を走行させることにより
、リセットされる。このとき、先にディスク１１６に記
録したイベント・ログを使用する。ステップ５０６で、
チェックポイント・システム状態リセツタ１１８を走行
させることにより、７ゝ１ プロセス争コントロール・メロツク１０３ドローカル・
データ１０５をリセットするっこれにより計算システム
１０１を最近のチェックポイント−システム状態までリ
ストアする。

修復カウンタ［１０２はステップ５０８でバス１１０を
介してリセットされる。修復カウンタＩｌ［１０２は、
リストアされたことにより現在いる命令点から指定され
た決定イベントまたは誤りが発生した命令点と同一の命
令点に達するために実行しなけ、ればならない機械命令
の個数にリセットされる。この機械命令の個数はカウン
トダウン数と呼ばれる。

カウントダウン数はあらかじめ記録しておいた修復カウ
ンタ１直から決められる。

ステップ５０９で、イネーブル／ディスエーブル・ビッ
ト１０６を操作することにより、修復カウンタ１００が
再びイネーブルされる。機械命令はプロセッサ１０４で
再実行され、修復カウンタ直１０２は、各機械命令が再
実行される毎にステップ５１０でデクリメントされる。

最初に実行された機械命令と同一の機械命令が再実行さ
れる。機械命令はトラップまたは非同期イベントが発生
するまでステップ５１０で再実行される。

ステップ５１２でトラップまたは非同期イベントが発生
すると、ステップ５１４でイネーブル、／ディスエーブ
ルービット１０６を操作することにより、修復カウンタ
１００は一時的にディスエーブルされる。修復カウンタ
植１０２がステップ５１６でチェックされる。修復カウ
ンタ匝１０２がＯより下にカウントダウンしていなけれ
ば、非同期イベントが発生している。修復カウンタ直１
０２がＯより下にカウントダウンし一〇いれば、最上位
ビット１１２ＩＣよりトラップが発生している。

ステップ５１８で早再現イベントが発生していることが
確認されれば、イベント・Ｖニーダ１２３を走行させ、
ステップ５２０で早再現イベントの再発生を記録する。

イベント・レコーダ１２３は、早再現イベントが他の再
現イベントに対して順序が乱れて生じている場合に、こ
の早再現イベントの発生を識別する。イベント・−・ン
ドラ１２２は直ちにはこの早再現イベ／トを処理しない
。早再現イベントはステップ５３６で後に処理される。

ステップ５０９に戻り、修復カウンタ１００が再びイネ
ーブルされる。

非決定イベントが発生していることがステップ５１８で
ｆｆ１ｉｄされれば、イベント・ハンドラ１２２を走行
させることにより、ステップ５２６で非決定イベントを
処理する。修復カウンタ１００はステップ５０９で再び
イネーブルされる。

ステップ５２８で非再現イベントの命令点（すなわち最
初の実行シーケンス３００で非再現イベントが起った命
令点）に到達していることが確認されれば、トラップ・
ハンドラ１１４がイベント・シミュレータ１２０を呼び
出してステップ５３０で非再現イベントを７ミユレート
する。非再現イベントの最初の処理中に非再現入力を受
取っていた場合にハ、非再現入力はイベント・シミュレ
ータ１２０ニより筺用される。修復カウンタ値１０２は
ステップ５０８で次のカウントダウン数にリセットされ
る。

ステップ５３４で早再現イベントの命令点（すなわち最
初の実行シーケンス３００で対応する再現イベントが起
った命令点）に到達していることが確認されれば、トラ
ップ・・・ンドラ１１４がイベント・ハンドラ１２２を
呼出してステップ５３６で早再現イベントを再処理する
。修復カウンタ直１０２はステップ５０８で次のカウン
トダウン数にリセットされる。

遅再現イベントの命令点に到達していることが、ステッ
プ５３８で確認されれば、トラップ・ノーノドラ１１４
はステップ５４０でこの遅再現イベントが再発生するの
を待つ。これが発生すると、トラップ・ハンドラ１１４
はイベントーノ）ンドラ１２２を呼出してステップ５４
２でこの遅再現イベントを再処理する。修復カウンタ値
１０２はステップ５０８で次のカウントダウン数にリセ
ットされる。

トラップは発生しているが、非再現イベント。

早再現イベント、あるいは遅再現イベントの命令点のい
ずれにも到達していない場合には、誤り発生の命令点に
到達している。ステップ５４４で、修復カウンタ＠　１
０２を、先に記録しておいた誤り発生時点の［Ｋ、バス
１１０を介してリセットする。

ステップ５４５でイネーブル／ディスエーブル・ビット
１０６を操作することにより修復カウンタ１００を再び
イネーブルする。

別の好ましい実施例においては、誤り検出が適時に行わ
れれば、誤りが発生した命令点を計算システム１０１が
精密に知る必要はない。第６図は典一連の機械命令を示
している。

実行シーケンス６０２において、チェンクポイント・シ
ステム状態６１０は命令点６１２における状態であると
する。誤り発生６１４は命令点６１６で起るトスル。プ
ロセラｆ−１０４は命令点６２０でディスク読出し要求
６１８を開始する。ディスク続出し要求６１８と同時に
、ディスク読出し要求６１８を記録するためフラグがセ
ントされる。ディスク読出し要求６１８に応答する入力
イベントである再現イベント６２２が命令点６２４で発
生する。再現イベント６２６は命令点６２８で発生する
。誤り検出６３０は命令点６３２テ起る。計算システム
１０１からは誤り発生６１４の位置を精密につきとめる
ことはできず、命令点６１２と６３２との間のどこかで
発生しているというずディスク読出し要求６１８を開始
させた場合に何が起るかを示す典型的な例である。ディ
スク続出し要求６１８は、フラグ設定とともに、命令点
６３６で発生する。再実行シーケンス６０４の命令点６
３６は実行シーケンス６０２の命令点６２０と同一であ
る。

再現イベント６２２は命令点６３８で早めに発生する。

再現イベント６２２はトラップ６４０が命令点６４４で
発生するまで処理されない。再実行シーケンス６０４の
命令点６４４は実行シーケンス６０２の命令点６２４と
同一である。再現イベント６２６は命令点６４６で早め
に発生する。再現イベント６２６はトラップ６４８が命
令点６５０で発生するまで処理されない。再実行シーケ
ンス６０４の命令点６５０は実行シーケンス６０２の命
令点６２８と同一である。再現イベント６２６を再処理
した後はもはや先に記録しておいた決定イベント情報は
残っていないので、正常実行が継続する。

再実行シーケンス６０６は誤り発生６１４が伝播し。

ディスク読出し要求６１８を誤って開始させた場合に何
が起るかを示す典型的な例である。ここでは再実行シー
ケンス６０６の期間中、誤り発生６１４は繰返されない
。このためディスク読出し要求６１８が発生されず、フ
ラグはセットされない。トラップ６４０は命令点６４４
で発生する。以前記婦しておいた決定イベント情報は再
現イベント６２２を命令点６４４で再処理すべきことを
示している。しかし、ディスク読出しを示すフラグがセ
ットされていないので、再現イベント６２２が実行シー
ケンス６０２中に誤って発生したことを確認することが
できる。

再実行が、実行シーケンス６０２で誤りが本来発生した
命令点と同一の命令点を通り過ぎて進んでしまったこと
を確認することができる。そこで、再現イベント６２２
および６２６について以前記録しておいた情報は捨てら
れ、正常な実行が継続する。

再実行７−クンス６０８は誤り発生６１４が伝播しディ
スク読出し要求を誤って開始させた場合に伺が起るかの
他の例である。再実行シーケンス６０８０期間中、誤り
発生６１４は繰返されない。このためディスク読出し要
求６１８は発生せず、フラグもセットされない。ディス
ク読出し要求６５６は命令点６５８で発生する。ディス
ク読取り要求６５６と同時に、ディスク読出し！求６５
６があったことを記録するためフラグがセットされる。

ディスク読出し要求６５６は命令点６６２で再現イベン
ト６６０を発生させる。イベント・ハンドラ１２３が再
現イベント６６０を再現イベント６２２および６２６　
Ｋ関して以前記録しておいた情報に対してうまく対応付
けることができないときは、再実行が、実行シーケンス
６０２で本来誤りが発生した命令点と同一の命令点を通
り過ぎて進んでしまったことをｆｉｌ認することができ
る。再現イベント６２２と６２６に関して以前記録して
おいた情報は捨てられ、正常実行が継続する。

発生した誤り６１４は、誤り検出６３０が行なわれる以
前に既に計算システム１０１が処理するにはあまりにも
重大な影響をおよぼすエラーを伝播してしまっているこ
ともある。以前記録しておいた情報がこのようなエラー
が伝播されたことを示している場合には、プロセッサ１
０４は実行を停止し。

人間の介在が便求される。

〔発明の効果〕

以上説明したように１本発明によれば、命令ステップを
数えまた決定イベントに関する情報を記録することによ
り、入出力を行なったりその他の外部割込みがかかった
りする等のより実際丙な環　′境下での正確な誤り回復
が可能となる。またアプリケーションからはトランスペ
アレントな誤り修復を行なうことができる。

【図面の簡単な説明】

第１図は本発明の一実施例のブロック図、第２図は非同
期イベントの分類を示す図、第３図は本発明の一実施例
における誤り回復動作の一例を示す図、第４図は本発明
の一実施例（おける誤り回復のための準備の動作を主に
示すフローチャート、第５Ａ図および第５８図は本発明
の一実施例における誤り検出層の動作を示すフローチャ
ート、第５図は第５Ａ図と第５Ｂ図の接続関係を示す図
。 第６図は本発明の他の実施例の動作を示す図である。 １００　：修復カウンタ、１０１：計算システム。 １０３　：プロセスーコントロールーブロック。 １０４：プロセツテ、１０５：ローカル・データ。 １０９、１１６　：ディスク。 １１４　：　トラップ−ハンドラ。 １１８：チェックポイント・クステム状態すセンタ。 １２０：イベント・シミュレータ、 １２２：イベント・ハンドラ。 １２３：イベント・レコーダ、 １２４：誤りフイクサ。 １２６：チェックポイント・７ステム状態レコーダ。

Claims (1)

1. 【特許請求の範囲】 実行された機械命令を計数する計数手段と、前記計数手
   段の値を読出す読出し手段と、 決定イベント情報を記録する記録手段 とを設けて成る誤り回復装置。