JPH09179836A - 多重化計算機およびその障害検出処理方法 - Google Patents

Abstract

(57)【要約】 【課題】 従来技術ではどのプロセッシング装置が異常
であるかが切り分けできないような場合でも処理を継続
できる計算機システムを提供すること。 【解決手段】 メモリ制御装置３３０には、系内のプロ
セッッシング装置間でのデータの一致性を監視する。ま
た、アドレス検出回路３５０は、プロセッシング装置の
出力するアドレスを監視することで、プロセッシング装
置３１０が例外処理状態となっているか否かを判断す
る。データ不一致の場合、インタフェース制御装置３４
０は、当該系を切り離す。データは一致しているが例外
処理状態となっていた場合も、当該系を切り離す。但
し、切り離しは照合回路３６０によって他系の状態も確
認した上で行う。処理を引き継ぐ系については、自己診
断処理を実行させる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、複数のプロセッシ
ング装置が同期に同一処理を行う中央処理装置を有する
多重化計算機およびその障害検出処理方法に関する。

【０００２】

【従来の技術】近年、交通管制システム、金融システム
等の社会基盤を支える要素として、データ処理システム
が重要な位置を占めている。このような社会背景におい
て、データ処理システムの故障により不当なデータが発
生しこれによってデータ処理システムが停止すること
は、社会にとって多大な影響を与える。従って、処理シ
ステムが扱うデータの正当性および処理の継続性を保つ
ことは、非常に重要な課題である。

【０００３】このような高信頼化が要求される処理シス
テムにおけるデータの不当性を検出する技術としては、
例えば、米国特許第５０２００２４号がある。この技術
では、デュアルプロセッサ間の出力データの比較を行う
機能を有した中央処理装置を２重化した構成をとってい
る。そして、各中央処理装置間で同一であるべき制御信
号の不一致を検出している。この技術では各中央処理装
置内のデータ比較だけでは検出できなかった障害も検出
できるため、障害検出率が高い。

【０００４】

【発明が解決しようとする課題】前述の公知例では、多
重化したプロセッシング装置の異常検出は、系内での制
御信号の不一致、系間での制御信号の不一致を検出する
ことで行っている。仮にいずれかの系のデータが正当で
あっても不一致が発生した場合には、プロセッシング装
置の処理は停止してしまう。このような機能により、障
害検出率を向上することは、高信頼性を要求される計算
機システムでは、重要な要素の１つではある。しかし、
障害検出後、システムダウンにいたらしめることなく処
理を継続させることもまた重要な要素である。この処理
継続性はプログラムの完成度に依存する割合が高いが、
ハードウエア面からも改善の余地がある。

【０００５】本発明は、従来方式ではいずれのプロセッ
シング装置が異常であるかを判断できなかった異常時で
も、システムダウンにいたらしめることなく処理を継続
することのできる多重化計算機およびその障害検出処理
方法を提供することを目的とする。

【０００６】本発明は、障害発生時に処理を引き継ぐ
（あるいは継続する）プロセッシング装置、周辺ハード
ウエアに真に異常のないことを確認することのできる多
重化計算機を提供することを目的とする。

【０００７】

【課題を解決するための手段】本発明は上記目的を達成
するためになされたもので、その第１の態様としては、
多重化された複数個のプロセッシング装置を備えた系を
複数備え、異常の発生時にはこれら系と外部装置との接
続関係を変更することで処理を継続する多重化計算機に
おける障害検出処理方法において、上記異常が上記プロ
セッシング装置それぞれの出力のうちのどれが正当であ
るかを判別できないものである場合には、上記系それぞ
れの上記プロセッシング装置の処理状態を確認し、上記
確認の結果、上記プロセッシング装置があらかじめ定め
られた例外処理を実行している状態（以下“例外処理状
態”という）にある系と、上記プロセッシング装置があ
らかじめ定められた例外処理を実行していない状態（以
下“通常処理状態”という）にある系とがあった場合に
は、通常処理状態にある系によってそれ以降の処理を引
き継ぐこと、を特徴とする多重化計算機における障害検
出処理方法が提供される。

【０００８】本発明の第２の態様としては、多重化され
た複数個のプロセッシング装置を備えた系を複数備え、
これら系と外部装置との接続関係を変更することで障害
発生時にも処理を継続する多重化計算機において、上記
系のそれぞれは、自系の多重化された上記プロセッシン
グ装置間での処理結果の不一致を検出する不一致検出手
段と、自系の多重化された上記プロセッシング装置の処
理状態は、あらかじめ定められた例外処理プログラムを
実行している状態（以下“例外処理状態”という）と、
上記例外処理プログラムを実行していない状態（以下
“通常処理状態”という）とのいずれであるかを判定す
る処理状態判定手段と、他の系の多重化された上記プロ
セッシング装置の処理状態は、上記例外処理状態と上記
通常処理状態とのいずれであるかを確認する他系処理状
態確認手段と、自系の上記不一致検出手段が不一致を検
出した場合、または、自系の上記処理状態判定手段が例
外処理状態であると判定し且つ上記他系処理状態確認手
段が上記通常処理状態となっている系が存在することを
確認した場合、自系を上記外部装置から切り離させる切
換手段と、を有することを特徴とする多重化計算機が提
供される。

【０００９】上記系のそれぞれは、さらに、自系の上記
不一致検出手段が不一致を検出した場合、または、自系
の上記処理状態判定手段が例外処理状態であると判定し
且つ上記他系処理状態確認手段が上記通常処理状態とな
っている系が存在することを確認した場合、自系を上記
外部装置から切り離してもよいか否かの確認を、他の系
に対して要求する要求手段と、他の系から当該他の系を
切り離してもよいか否かの確認を要求された場合、自系
の状態を確認し、当該他の系の行っていた処理を引き継
ぐことが可能であれば当該他の系を上記外部装置から切
り離すことを許す許可信号を当該他の系に対して出力す
る応答手段と、を備え、上記切換手段は、自系の上記要
求手段による要求に対し他の系の上記応答手段から許可
信号が返された場合に限り、自系を上記外部装置から切
り離させるものであることが好ましい。

【００１０】上記切換手段は、上記応答手段が他の系に
対して上記許可信号を出力した場合には、自系を上記外
部装置に接続させるものであることが好ましい。

【００１１】上記処理状態判定手段は、上記例外処理プ
ログラムの格納されている領域を示すアドレス（以下
“例外処理アドレス”という）をあらかじめ備え、上記
プロセッシング装置がアクセスするアドレスが上記例外
処理アドレスであるか否かを判定し、該判定の結果、上
記例外処理アドレスをアクセスしていた場合には例外処
理状態にあると判定するものであってもよい。

【００１２】上記処理状態判定手段は通常状態であると
判定し且つ他系処理状態確認手段が例外処理状態となっ
ている他の系の存在を確認した場合には、当該通常状態
であった系のプロセッシング装置は自己診断を行うもの
であってもよい。

【００１３】本発明の第２の態様としては、多重化され
た複数個のプロセッシング装置を備えた系を複数備え、
障害発生時にはこれら系と外部装置との接続関係を変更
することで処理を継続する多重化計算機における障害検
出処理方法において、上記系それぞれの上記プロセッシ
ング装置の処理状態を確認し、上記プロセッシング装置
があらかじめ定められた例外処理プログラムを実行して
いる状態（以下“例外処理状態”という）にある系と、
上記プロセッシング装置があらかじめ定められた例外処
理プログラムを実行していない状態（以下“通常処理状
態”という）にある系とがあった場合には、通常処理状
態にある系によってそれ以降の処理を引き継ぐこと、を
特徴とする多重化計算機における障害検出処理方法が提
供される。

【００１４】本発明の作用を上述した構成に基づいて説
明する。

【００１５】不一致検出手段は、自系の多重化されたプ
ロセッシング装置間での処理結果に不一致が生じていな
いかを監視している。これと並行して、処理状態判定手
段は、自系のプロセッシング装置が、例外処理状態と通
常処理状態とのいずれの状態になっているかを判定して
いる。この判定は、例えば、プロセッシング装置のアク
セスするアドレスを監視することで行う。アクセスされ
たアドレスが、例外処理プログラムの格納されている領
域であれば例外処理状態となっていることがわかる。ま
た、他系処理状態確認手段は、他の系のプロセッシング
装置が例外処理状態と通常処理状態とのいずれの状態に
なっているかを確認している。

【００１６】切換手段は、下記いずれかの場合には
自系を外部装置から切り離す。

【００１７】自系の不一致検出手段が不一致を検出し
た場合。

【００１８】自系の処理状態判定手段が例外処理状態
であると判定し且つ他系処理状態確認手段が通常処理状
態となっている系が存在することを確認した場合。

【００１９】外部装置と多重化計算機との接続が多重化
されている場合（つまり、外部装置自体も多重化されて
おり、各系と各外部装置とがそれぞれ接続されている場
合）には、このように単に自系を切り離すだけでも構わ
ない。この後は、多重化されている他の系によって処理
が引き継がれる。

【００２０】しかし、外部装置と多重化計算機との接続
関係が多重化されていない場合には、いきなり切り離し
たのでは、他系が処理を引き継ぐことができず処理が中
断してしまうことも考えられる。従って、このような場
合には以下のように切り離しの可否を確認してから切り
離しを行うことが好ましい。

【００２１】つまり、上記、のいずれかの場合、要
求手段は、自系を外部装置から切り離してもよいか否か
の確認を他の系に対して要求する。この要求を受けた系
の応答手段は、自分の属している系の状態を確認する。
そして、該要求をしてきた系の行っていた処理を自系が
引き継ぐことが可能であれば、許可信号を当該他の系
（切り離しの可否の確認を要求してきた系）に対して出
力する。自系の要求手段が出力した要求に対し他の系の
応答手段から許可信号が返された場合、切換手段は自系
を外部装置から切り離す。一方、許可信号を出力した系
の切換手段は、自系を外部装置に接続する。

【００２２】また、処理状態判定手段が自系は通常状態
であると判定し、且つ、他系処理状態確認手段が例外処
理状態となっている他の系の存在を確認される場合（つ
まり、通常状態にある系と、例外処理状態となっている
系との両方が存在している場合）もある。このような場
合には、通常状態であった系のプロセッシング装置は自
己診断を行う。これにより、この通常状態であった系の
プロセッシング装置は、自らの系が正常であることを確
認できる。

【００２３】

【発明の実施の形態】以下、本発明の実施形態を図面を
用いて説明する。

【００２４】本実施形態は、本発明の多重化計算機にお
ける障害処理方法が適用された２重化計算機である。ま
ず、本実施形態の２重化計算機の概要を図２を用いて説
明する。

【００２５】この計算機は、２つの系（Ａ系、Ｂ系）を
備えたフォールトトレラントコンピュータシステムであ
る。

【００２６】Ａ系は、プロセッシング装置３１０Ａ−
１，３１０Ａ−２を備えた中央処理装置３００Ａと、入
出力装置群等とからなる。プロセッシング装置３１０Ａ
−１とプロセッシング装置３１０Ａ−２とは、互いに同
期に同一処理を実行するようになっている。

【００２７】Ｂ系は、Ａ系と同一の構成を採っており、
プロセッシング装置３１０Ｂ−１，３１０Ｂ−２を備え
た中央処理装置３００Ｂと、入出力装置群等とからな
る。

【００２８】フォールトトレラントコンピュータシステ
ムにおいては、系内のみならず系間においても（すなわ
ち、Ａ系とＢ系とは）互いに同期に同一処理を行ってい
る。そして、２つある系のうちいずれかを主系とし、他
方を従系としている。主系になんらかの要因で障害が発
生すると、直ちに主系を切り離し、それ以降は従系によ
って処理を継続するようになっている。

【００２９】これ以降は、Ａ系を主系として、Ｂ系を従
系として稼働させることを前提として説明を行う。ま
た、以下において述べる“例外処理状態”とは、プロセ
ッサに何らかの異常が発生した場合に行われる特別の処
理（例外処理）を実行している状態である。

【００３０】上述のように図の右半分（Ｂ系）と左半分
（Ａ系）は、全く同じ構成なので、ここでは、左半分の
Ａ系部分について説明する。

【００３１】Ａ系の中央処理装置３００Ａについて説明
する。

【００３２】中央処理装置３００Ａは、プロセッシング
装置３１０Ａ−１，３１０Ａ−２、主記憶装置３２０
Ａ、プロセッサメモリ制御装置３３０Ａ、プロセッサ系
間インタフェース制御装置３４０Ａ、例外処理アドレス
アクセス検出回路３５０Ａ、他系例外処理照合回路３６
０Ａからなる。また、これら各部間，Ｂ系，伝送バスと
の間でデータ等を授受するための各種信号線を備えてい
る。なお、以下においては各信号線を通じて入出力され
ている信号を、当該信号線に付されている符号を付して
呼ぶ場合がある。例えば、信号線６１０を通じて入出力
される信号を、信号６１０と呼ぶ場合がある。

【００３３】プロセッシング装置３１０Ａ−１及びプロ
セッシング装置３１０Ａ−２は、全く同一の汎用プロセ
ッシング装置である。

【００３４】主記憶装置３２０Ａは、命令やデータを格
納するものである。

【００３５】プロセッサメモリ制御装置３３０Ａは、プ
ロセッシング装置３１０Ａ−１，３１０Ａ−２と、主記
憶装置３２０Ａと、システムバス３７０Ａとを接続する
ものである。これは、主にプロセッシング装置３１０Ａ
−１，３１０Ａ−２からのアクセスを、データ線５０４
を介して主記憶装置３２０Ａやシステムバス３７０Ａに
伝える役割を果たしている。また、システムバス３７０
Ａからのアクセスを主記憶装置３２０Ａに伝える役割を
果たしている。さらに、プロセッサメモリ制御装置３３
０Ａは、プロセッシング装置３１０Ａ−１の出力信号５
００Ａと、プロセッシング装置３１０Ａ−２の出力信号
５０２Ａとを比較することで、プロセッシング装置３１
０の異常の有無を監視する役割も果たしている。２つの
プロセッシング装置３１０Ａ−１，３１０Ａ−２の出力
が不一致であれば、いずれかのプロセッシング装置にお
いて何らかの異常が発生していることになる。

【００３６】例外処理アドレスアクセス検出回路３５０
Ａは、プロセッシング装置３１０Ａ−１が例外処理状態
になっているか否かを検出するためのものである。この
例外処理アドレスアクセス検出回路３５０Ａは例外処理
ルーチンの格納されているアドレスを備えている。そし
て、プロセッシング装置３１０Ａ−１がアクセスしたア
ドレスを監視することで、この例外処理ルーチンにアク
セスが行われたか否か（すなわちプロセッシング装置３
１０Ａ−１が例外処理状態にあるか否か）を検出してい
る。

【００３７】他系例外処理照合回路３６０Ａは、Ａ系と
Ｂ系との状態を確認することで、その時の状態が後述す
る特例の状態に該当するか否かを判定するものである。
この特例の状態に該当していた場合には、該他系例外処
理照合回路３６０Ａは、Ａ系の切り離しを求める信号６
０６Ａを出力する。該他系例外処理照合回路３６０Ａ
は、例外処理アドレスアクセス検出回路３５０Ａの出力
信号６１０と、プロセッサメモリ制御装置３３０Ａの出
力信号６０４Ａと、によってＡ系の状態を獲得してい
る。一方、Ｂ系の状態は、中央処理装置３００ＡとＢ系
の中央処理装置３００Ｂとの間の信号線６１２，６２４
を通じて獲得している。なお、特例の状態とは、Ａ系内
においてはデータ不一致は発生してはいないものプロセ
ッシング装置３１０Ａが例外処理状態となっており、一
方Ｂ系はプロセッシング装置３１０Ｂが例外処理状態と
はなっておらず、データの不一致も発生していない状態
を指す。なお、この点については後ほど図６を用いて詳
細に説明する。

【００３８】プロセッサ系間インタフェース制御装置３
４０Ａは、中央処理装置３００ＡとＢ系の中央処理装置
３００Ｂとの間において、信号線６２２，６２４を通じ
て、中央処理装置の状態を示す情報の受け渡しを行うた
めのものである。該プロセッサ系間インタフェース制御
装置３４０Ａは、他系例外処理照合回路３６０Ａから信
号６０６Ａが出力された場合には、Ａ系を切り離しても
よいか否かの確認を求める要求信号６２２を中央処理装
置３００Ｂに対して出力するようになっている。また、
プロセッサメモリ制御装置３３０Ａからエラー信号６０
４Ａが出力された場合も同様に、Ａ系を切り離してよい
か否かの確認を求める要求信号６２２を出力するように
なっている。逆に、Ｂ系から要求信号があった場合に
は、これに応えて確認などを行い返答するようになって
いる。このプロセッサ系間インタフェース制御装置３４
０Ａの詳細および該受け渡しを行う情報の詳細について
は、後ほど説明する。

【００３９】本実施形態のシステムでは、中央処理装置
３００のみならず、入出力バス５２０も２重化されてい
る。上述の中央処理装置３００Ａおよび中央処理装置３
００Ｂは、それぞれ、入出力バス５２０Ａ，５２０Ｂに
接続されている。このような接続関係を実現するため、
入出力バス５２０と中央処理装置３００とを繋ぐシステ
ムバス５１８も２重化されている。つまり、２重化シス
テムバス５１８Ａは、中央処理装置３００Ａおよび中央
処理装置３００Ｂと、入出力バス５２０Ａとを繋いでい
る。同様に、２重化システムバス５１８Ｂは、中央処理
装置３００Ａおよび中央処理装置３００Ｂと、入出力バ
ス５２０Ｂとを繋いでいる。これらの２重化システムバ
ス５１８Ａ，５１８Ｂは、多重システムバスアダプタ３
８０Ａ−１，３８０Ａ−２，３８０Ｂ−１，３８０Ｂ−
２によって制御されており、各中央処理装置３００と入
出力バス５２０との接続／切り離しがそれぞれ独立して
行えるようになっている。つまり、多重システムバスア
ダプタ３８０は、中央処理装置３００と入出力バス５２
０との対応関係を変更するための一種のセレクタを構成
している。通常は、中央処理装置３００Ａの入出力は入
出力バス５２０Ａを通じて、一方、中央処理装置３００
Ｂの入出力は入出力バス５２０Ｂを通じて行うように設
定されている。

【００４０】既に述べたとおり、中央処理装置３００Ａ
および中央処理装置３００Ｂは、同時に同じ処理を行っ
ている。従って、多重システムバスアダプタ３８０Ａ−
１は中央処理装置３００Ａから、また、多重システムバ
スアダプタ３８０Ｂ−１は中央処理装置３００Ｂから、
同時に２重化システムバス５１８Ａへのアクセスを受け
る。しかし、通常は、多重システムバスアダプタ３８０
Ａ−１によって中央処理装置３００Ａからのアクセスの
みが２重化システムバス５１８Ａに伝えられる。中央処
理装置３００Ｂからのアクセスは、多重システムバスア
ダプタ３８０Ｂ−１によって遮断されている。

【００４１】一方、２重化システムバス５１８Ａからの
アクセスは、多重システムバスアダプタ３８０Ａ−１，
３８０Ｂ−１が同時に受けて、それぞれの中央処理装置
３００Ａと３００Ｂに同じタイミングで伝える。多重シ
ステムバスアダプタ３８０Ａ−２，３８０Ｂ−２につい
ても同様である。

【００４２】次に、系内で処理データの不一致が発生し
た場合の動作を説明する。

【００４３】ここでは、主記憶装置３２０Ａへのアクセ
スを伴う動作において、プロセッシング装置３１０Ａ−
１の処理データと、プロセッシング装置３１０Ａ−２の
処理データとが不一致であった場合について述べる。プ
ロセッシング装置３１０Ｂ−１とプロセッシング装置３
１０Ｂ−２との処理データは一致しているものとする。

【００４４】主記憶装置３２０Ａへのライト時、プロセ
ッシング装置３１０Ａ−１からのアクセスは、プロセッ
サメモリ制御装置３３０Ａを経由して主記憶装置３２０
Ａに対して出力される。この場合、プロセッサメモリ制
御装置３３０Ａは、プロセッシング装置３１０Ａ−１か
ら出力された処理データと、プロセッシング装置３１０
Ａ−２から出力された処理データとを比較する。そし
て、この比較の結果、不一致を検出した場合には、他系
例外処理照合回路３６０Ａおよびプロセッサ系間インタ
フェース制御装置３４０Ａにエラー信号６０４Ａを出力
する。なお、図２では、図を簡単にするため、論理素子
６０２Ａを省略したかたちで回路構成を描いている。し
かし、実際には、該エラー信号は、図１に示すとおり、
論理和素子６０２Ａを介して入力されるようになってい
る。

【００４５】エラー信号６０４Ａを入力されたプロセッ
サ系間インタフェース制御装置３４０Ａは、系間インタ
フェース信号線６２２を通じて、プロセッサ系間インタ
フェース制御装置３４０Ｂに、Ａ系を切り離してもよい
か否かの確認を要求する。

【００４６】すると、プロセッサ系間インタフェース制
御装置３４０Ｂは、中央処理装置３００Ｂの状態を確認
する。該確認の結果、Ｂ系がこの後の処理を引き継ぐこ
とのできる状態にあった場合には、中央処理装置３００
Ａの切り離しを許可する信号（Ａ系切り離し許可信号）
を、系間インタフェース信号線６２４を通じてプロセッ
サ系間インタフェース制御装置３４０Ａに出力する。ま
た、プロセッサ系間インタフェース制御装置３４０Ｂ
は、中央処理装置３００Ｂを２重化システムバス５１８
Ａ（すなわち、入出力バス５２０Ａ）に接続させる指示
信号（Ａ系接続指示信号）を、インタフェース信号線６
１４Ｂを通じて多重システムバスアダプタ３８０Ｂ−１
に出力する。

【００４７】Ａ系接続指示信号を受けた多重システムバ
スアダプタ３８０Ｂ−１は、中央処理装置３００Ｂから
のアクセスを、２重化システムバス５１８Ａへ伝えられ
るようにする。これにより、中央処理装置３００Ｂは、
入出力バスアダプタ３９０Ａ及び入出力アダプタ４００
Ａへのアクセスが可能となる。

【００４８】また、上述のＡ系切り離し許可信号を受け
取ったプロセッサ系間インタフェース制御装置３４０Ａ
は、中央処理装置３００Ａを２重化システムバス５１８
Ａから切り離させるべく切り離し指示信号を、多重シス
テムバスアダプタ３８０Ａ−１に出力する。この切り離
し指示信号を受けた多重システムバスアダプタ３８０Ａ
−１は、これ以後、中央処理装置３００Ａからのアクセ
スを２重化システムバス５１８Ａへ伝えないようにす
る。

【００４９】なお、多重システムバスアダプタ３８０Ａ
−２は、通常の状態では、中央処理装置３００Ａと２重
化システムバス５１８Ｂと切り離した状態とされてい
る。従って、多重システムバスアダプタ３８０Ａ−２に
はその状態を維持させる。

【００５０】以上のようにして系の切り替えが完了す
る。これ以降は、中央処理装置３００Ｂによって処理が
引き継がれることになる。この後は、中央処理装置３０
０Ｂが真に正常に機能しているか否かを確認するため
に、適当なタイミングを見計らって中央処理装置３００
Ｂの自己診断処理が実行される。この自己診断処理につ
いては、後ほど図７などを用いて説明する。

【００５１】次に、系内でのデータの不一致は発生して
いないものの、プロセッシング装置が例外処理状態とな
っている場合の動作を図１および図３を用いて説明す
る。

【００５２】ここでは、Ａ系，Ｂ系それぞれの系内にお
いてはデータが一致しているものの、Ａ系のプロセッシ
ング装置３１０Ａが例外処理状態となっている場合につ
いて述べる。

【００５３】図１は、図２の中央処理装置３００の詳細
を示す図である。既に述べたが、エラー信号６０４Ａ
は、実際にはこの図１のごとく論理和素子６０２Ａを通
じてプロセッサ系間インタフェース制御装置３４０に入
力されるようになっている。図３のフローチャートは、
プロセッシング装置のマシンサイクル毎に実行される処
理である。

【００５４】先ず、プロセッサメモリ制御装置３３０Ａ
は、プロセッシング装置３１０Ａ−１がデータバス５０
０Ａ−１に出力したデータと、プロセッシング装置３１
０Ａ−２がデータバス５０２Ａ−１に出力したデータと
を比較する。また、同様に、プロセッシング装置３１０
Ａ−１がアドレスバス５００Ａ−２に出力したアドレス
と、プロセッシング装置３１０Ａ−２がアドレスバス５
０２Ａ−２に出力したアドレスとを比較する（ステップ
２００）。

【００５５】この比較結果が不一致であった場合には、
プロセッサメモリ制御機構３３０Ａは、他系例外処理照
合回路３６０Ａおよびプロセッサ系間インタフェース制
御装置３４０Ａにエラー信号６０４Ａを出力する（ステ
ップ２０２）。この後は、ステップ２１４、２１６、２
１８の処理を経て、Ａ系が切り離される。なお、Ａ系を
切り離す一連の処理（ステップ２０２→ステップ２１４
→ステップ２１６→ステップ２１８）については、系内
で不一致が発生した場合の処理動作として既に述べたと
おりである。

【００５６】ステップ２００における比較の結果データ
及びメモリアドレスが一致していた場合、プロセッサメ
モリ制御装置３３０Ａは、データバス５０４Ａ−１を通
じてデータを主記憶装置３２０Ａへ出力する。また、ア
ドレスバス５０４Ａ−２を通じて、メモリアドレスを主
記憶装置３２０Ａへ出力する。アドレスバス５０４Ａ−
２は、例外処理アドレスアクセス検出回路３５０Ａにも
接続されている。従って、このアドレスは例外処理アド
レスアクセス検出回路３５０Ａにも入力されることにな
る。

【００５７】例外処理アドレスアクセス検出回路３５０
Ａは、この時アドレスバス５０４Ａ−２に出力されたア
ドレスが、あらかじめ定められた例外処理アドレスであ
るか否かを確認する（ステップ２０４）。この確認は、
アドレスバス５０４Ａ−２を通じて入力されたアドレス
が、例外処理ルーチンの格納されているメモリ領域を示
すアドレスと、一致するか否かを判定することで行う。

【００５８】ステップ２０４の結果、例外処理アドレス
でなかった場合には、例外処理アドレスアクセス検出回
路３５０Ａは中央処理装置Ａは正常状態であると判断し
て何もしない。

【００５９】一方、ステップ２０４の結果、例外処理ア
ドレスであった場合、例外処理アドレスアクセス検出回
路３５０Ａは、他系例外処理照合回路３６０Ａおよび他
系例外処理照合回路３６０Ｂに、Ａ系例外処理アドレス
検出信号６１０を出力する（ステップ２０８）。

【００６０】ところで、Ｂ系でもＡ系と同期して同様の
処理が行われている。Ｂ系が例外処理状態となっている
場合には、例外処理アドレス検出回路３５０ＢからＢ系
例外処理アドレス検出信号６１２が他系例外処理照合回
路３６０Ａに入力される。また、Ｂ系においてデータの
不一致が発生した場合には、プロセッサ系間インタフェ
ース制御装置３４０ＢからＢ系切り離し要求信号６２４
が入力される。

【００６１】他系例外処理照合回路３６０Ａは、Ｂ系例
外処理アドレス検出信号６１２、エラー信号６０４Ａ、
Ｂ系切り離し要求信号６２４の状態に基づいて、Ａ系切
り離し要求信号６０６Ａの出力判定を行う（ステップ２
１０）。なお、この判定論理については後ほど図５、図
６を用いて他系例外処理照合回路３６０Ａの詳細と共に
説明する。

【００６２】ステップ２１０において出力要と判定され
た場合、他系例外処理照合回路３６０Ａは、Ａ系切り離
し要求信号６０６Ａを、論理和素子６０２Ａへ出力する
（ステップ２１２）。

【００６３】論理和素子６０２Ａは、エラー信号６０４
ＡまたはＡ系切り離し要求信号６０６Ａが出力されてい
る場合、Ａ系切り離し要求信号６０８Ａをプロセッサ系
間インタフェース制御装置３４０Ａに出力する。Ａ系切
り離し要求信号６０８Ａが入力されると、プロセッサ系
間インタフェース制御装置３４０Ａは、Ａ系を切り離し
てもよいか否かの確認を要求する信号（Ａ系切り離し要
求信号）６２２を、プロセッサ系間インタフェース制御
装置３４０Ｂに対して出力する（ステップ２１４）。

【００６４】Ａ系切り離し要求信号６２２を受けたプロ
セッサ系間インタフェース制御装置３４０Ｂは、Ｂ系の
プロセッシング装置３１０が正常であることを確認す
る。この確認は、Ｂ系切り離し要求信号６０８Ｂの出力
の有無を判定することで行う。Ｂ系切り離し要求信号６
０８Ｂが出力されていない場合には、Ｂ系のプロセッシ
ング装置３１０が正常であるとプロセッサ系間インタフ
ェース制御装置３４０Ｂは判断し、Ａ系の切り離しを許
可するべくＡ系プロセッサ系間インタフェース制御装置
３４０ＡにＡ系切り離し許可信号６２４を出力する。ま
た、多重システムバスアダプタ３８０Ｂ−１に、Ａ系接
続指示信号６１４Ｂを出力する。

【００６５】Ａ系切り離し許可信号６２４を受信したＡ
系プロセッサ系間インタフェース制御装置３４０Ａは、
切り離し指示信号６１４Ａを多重システムバスアダプタ
３８０Ａ−１に出力する（ステップ２１６，２１８）。

【００６６】これに応じて多重システムバスアダプタ３
８０Ｂ−１は、中央処理装置３００Ｂと２重化システム
バス５１８Ａとを接続する。一方、多重システムバスア
ダプタ３８０Ａ−１は、中央処理装置３００Ａを２重化
システムバス５１８Ａから切り離す。

【００６７】このように例外処理状態にあるか否かを判
定することでいずれの系を信頼すべきかを決定してい
る。そして、例外処理状態になっていない方の系によっ
て処理を継続することとしている。この後は、処理を継
続することとなった系の自己診断処理を適当なタイミン
グを見計らって実行する。この自己診断処理については
後ほど、図７などを用いて説明する。

【００６８】次に、上記各部ごとのより詳細な構成を説
明する。

【００６９】プロセッサメモリ制御装置３３０Ａの詳細
を図４を用いて説明する。なお、プロセッサメモリ制御
装置３３０Ｂは、プロセッサメモリ制御装置３３０Ａと
全く同じ構成である。

【００７０】プロセッサメモリ制御装置３３０Ａは、大
きく分けて、プロセッサインタフェースユニット（以下
“ＰＩＵ”と呼ぶ）７００、メモリインタフェースユニ
ット（以下“ＭＩＵ”と呼ぶ）７０２、システムバスイ
ンタフェースユニット（以下“ＳＢＩＵ”と呼ぶ）７０
４、論理和素子７０６およびプロセッシング装置出力比
較器７０８からなる。また、該装置内の各所には、必要
に応じて適宜ラッチＬが配置されている。

【００７１】ＰＩＵ７００は、プロセッシング装置３１
０からのアクセスを受け付けるものである。プロセッシ
ング装置３１０Ａ−１の外部アクセスがメモリアクセス
の場合、ＰＩＵ７００は、プロセッシング装置３１０Ａ
−１の出力するメモリアドレスおよびデータを、バス５
００Ａ−１，５００Ａ−２を通じて受信バッファ７１４
に取り込むようになっている。プロセッシング装置３１
０Ａ−１の外部アクセスが入出力バスへのアクセスの場
合も同様に、プロセッシング装置３１０Ａ−１の出力す
るメモリアドレスおよびデータを受信バッファ７１２に
格納するようになっている。

【００７２】ＳＢＩＵ７０４は、システムバス３７０Ａ
からのＤＭＡアクセスと、ＰＩＵ７００からの入出力バ
スへのアクセスを処理するものである。

【００７３】ＰＩＵ７００からのアクセスが入出力バス
リードアクセスである場合、ＳＢＩＵ７０４はシステム
バス権を獲得した後、受信バッファ７１２に格納された
アドレスをセレクタ７３４を通じてシステムバス３７０
Ａに出力する。また、システムバス３７０Ａから入力さ
れたリードデータを、セレクタ７３２を介して、一旦、
送信バッファ７１６に格納させる。このリードデータは
この後、プロセッシング装置３１０Ａ−１，３１０Ａ−
２に返される。一方、ＰＩＵ７００からのアクセスが入
出力バスライトアクセスである場合、ＳＢＩＵ７０４
は、システムバス権を獲得した後、受信バッファ７１２
に格納されているリードアドレスとライトデータをセレ
クタ７３４等を介してシステムバス３７０Ａに出力す
る。

【００７４】システムバス３７０ＡからのアクセスがＤ
ＭＡリードである場合、ＳＢＩＵ７０４は受信バッファ
７２０に格納されているリードアドレスを、ＭＩＵ７０
２のセレクタ７３６に出力する。また、システムバス３
７０ＡからのアクセスがＤＭＡライトである場合は、受
信バッファ７２０に格納されたライトアドレスとライト
データを、ＭＩＵ７０２のセレクタ７３６に出力する。

【００７５】ＭＩＵ７０２は、ＰＩＵ７００からのメモ
リアクセスとＳＢＩＵ７０４からのＤＭＡアクセスとを
セレクタ７３６で受け付け、これに応じて主記憶装置３
２０Ａにアクセスする。そして、その応答結果を、それ
ぞれＰＩＵ７００あるいはＳＢＩＵ７０４に返す。

【００７６】ＭＩＵ７０２がＰＩＵ７００から受けるア
クセスには、メモリリードとメモリライトとがある。メ
モリリードの場合、受信バッファ７１４に格納されたリ
ードアドレスがセレクタ７３６を介して、主記憶装置３
２０Ａに伝えられる。そして、読み出されたデータは、
セレクタ７３２を介して、一旦、送信バッファ７１６に
格納される。そして、この後、プロセッシング装置３１
０Ａ−１，３１０Ａ−２に返される。一方、ＰＩＵ７０
０から受けたアクセスがメモリライトの場合、受信バッ
ファ７１４に格納されているライトアドレスおよびライ
トデータがセレクタ７３６を介して、主記憶装置３２０
Ａに伝えられる。主記憶装置３２０Ａは、このライトア
ドレスにこのライトデータを書き込む。

【００７７】ＭＩＵ７０２がＳＢＩＵ７０４から受ける
アクセスには、ＤＭＡリードとＤＭＡライトとがある。
ＤＭＡリードの場合、ＭＩＵ７０２はＳＢＩＵ７０４の
受信バッファ７２０から送られてきたリードアドレスを
セレクタ７３６を介して主記憶装置３２０Ａに伝える。
そして、主記憶装置３０２Ａから読み出されたデータ
を、セレクタ７３２を介して一旦ＳＢＩＵ７０４の送信
バッファ７１８に格納する。この後、この読み出された
データは、システムバス３７０Ａを介して入出力バスあ
るいは入出力装置に返される。一方、ＳＢＩＵ７０４か
ら受けたアクセスがＤＭＡライトの場合、ＭＩＵ７０２
はＳＢＩＵ７０４の受信バッファ７２０から送られてき
たライトアドレスとライトデータを、セレクタ７３６を
介して、主記憶装置３２０Ａに伝える。すると、主記憶
装置３２０Ａは、このライトアドレスにこのライトデー
タを書き込む。

【００７８】プロセッサメモリ制御装置３３０Ａは、プ
ロセッシング装置３１０Ａ−２の出力するメモリアドレ
ス／データも信号線５０２Ａ−１、５０２Ａ−２を介し
て取り込んでいる。しかし、ＰＩＵ７００は、これらを
受信バッファ７１２，７１４には格納しない。プロセッ
シング装置３１０Ａ−２の出力するメモリアドレス／デ
ータは、プロセッシング装置３１０Ａ−１から送られて
来たアドレス／データおよび制御信号との比較にのみ用
いられる。この比較は、プロセッシング装置３１０Ａ−
１が書き込みアクセスを出力した時に、プロセッシング
装置出力比較器７０８によって行われる。比較の結果、
値が不一致であった場合には、プロセッシング装置出力
比較器７０８は、エラー信号７２２をアサートする。こ
のエラー信号７２２は論理和素子７０６に出力されてい
る。

【００７９】次に、例外処理アドレスアクセス検出回路
３５０Ａおよび他系例外処理照合回路３６０Ａを図５を
用いて説明する。

【００８０】なお、Ｂ系の例外処理アドレスアクセス検
出回路３５０Ｂ、他系例外処理照合回路３６０Ｂは、例
外処理アドレスアクセス検出回路３５０Ａおよび他系例
外処理照合回路３６０Ａと全く同じ構成である。

【００８１】例外処理アドレスアクセス検出回路３５０
Ａは、メモリ７３４，７３６等と、比較器７３８，７４
０等と、論理和素子７４２とからなる。また、該装置内
の各所には、必要に応じて適宜ラッチＬが配置されてい
る。

【００８２】メモリ７３４，７３６・・・には、主記憶
装置３２０Ａ上において例外処理ルーチンの格納されて
いる領域を示すアドレス（以下“例外処理アドレス”と
いう）があらかじめ格納されている。

【００８３】比較器７３８，７４０は、アドレスバス５
０４−２に出力されたメモリアドレスと、メモリ７３
４、７３６等に格納されている例外処理アドレスとを比
較するものである。該比較の結果、両者が一致していた
場合には、該比較器７３８等は、その旨を示す信号を出
力する。

【００８４】なお、これらのメモリおよび比較器は、検
出したい例外処理アドレスの個数分だけ設ければよい。

【００８５】論理和素子７４２は、例外処理アドレス一
致を検出したことを他系例外処理照合回路３６０Ａに伝
えるためのものであり、比較器７３８，７４０等の出力
信号が入力されている。

【００８６】他系例外処理照合回路３６０Ａには、エラ
ー信号６０４Ａと、Ｂ系切り離し要求信号６２４と、Ｂ
系例外処理アドレス検出信号６１２と、Ａ系例外処理ア
ドレス検出信号６１０が入力されている。他系例外処理
照合回路３６０ＡのＡ系切り離し要求／Ａ系自己診断要
求出力判定部７４４は、これらの入力信号の状態に基づ
いて出力判定を行う。そして、その判定結果に応じて、
Ａ系切り離し要求信号６０６ＡとＡ系自己診断要求割込
信号６２０Ａを出力する。他系例外処理照合回路３６０
Ａによるこの出力判定の判定論理を図６に示した。この
図はＡ系についてのものであるため、図中における“他
系”とは“Ｂ系に相当する。また、”自系“とはＡ系に
相当する。他の図中での記載についても同様である。

【００８７】図６からわかるとおり、Ａ系切り離し要求
信号６０６Ａがアサートされるのは、図６（ｆ）の場
合、つまり、エラー信号６０４Ａ，Ｂ系切り離し要求６
２４およびＢ系例外処理アドレス検出信号６１２はアサ
ートされず、Ａ系例外処理アドレス検出６１０のみがア
サートされている場合である。但し、信号６０８Ａは、
図６（ｆ）の場合のみならず、図６（ａ），（ｂ）の場
合にも出力される。これは、論理和素子６０２Ａにはエ
ラー信号６０４Ａが直接入力されているからである。つ
まり、他系例外処理照合回路３６０Ａは下記のの状態
（特例）が発生しているか否かを見極めるための回路で
ある。Ａ系からＢ系に対してＡ系切り離し要求６２２が
出力されるのは以下のの場合（原則）と、の場合
（特例）とである。

【００８８】原則 Ａ系内でデータ不一致が発生しエラー信号６０４Ａが出
力された場合。

【００８９】特例 Ａ系内においてはデータ不一致は発生してはいないもの
プロセッシング装置３１０Ａが例外処理状態となってお
り、一方Ｂ系はプロセッシング装置３１０Ｂが例外処理
状態とはなっておらず、データの不一致も発生していな
い場合。

【００９０】また、Ａ系自己診断要求割込信号６２０Ａ
がアサートされるのは、図６（ｅ）の場合、つまり、エ
ラー信号６０４Ａ，Ｂ系切り離し要求信号６２４および
Ａ系例外処理アドレス検出信号６１０はアサートされて
おらず、Ｂ系例外処理アドレス検出信号６１２のみがア
サートされている場合である。

【００９１】なお、図６（ａ）は、Ａ系内，Ｂ系内にお
いてともにデータの不一致が発生している場合であり、
Ａ系切り離し要求信号６２２、Ｂ系切り離し要求信号６
２４が共に出力されることになる。（ｂ）は、Ａ系内に
おいてのみデータの不一致が発生している場合であり、
必ずＡ系切り離し要求信号６２２が出力される。（ｃ）
は、Ｂ系においてのみデータの不一致が発生している場
合であり、Ｂ系切り離し要求信号６２４が出力される。
（ｄ）は、Ａ系，Ｂ系ともに正常な場合である。（ｅ）
は、Ａ系内，Ｂ系内においてはともにデータが一致して
はいるものの、Ｂ系が例外処理状態となっている場合で
ある。この場合には、Ａ系がこの後も引き続き処理を担
当する。但し、Ａ系は自己診断を実行することで、正常
であることを確認する。（ｆ）は、Ａ系内，Ｂ系内にお
いてはともにデータが一致してはいるものの、Ａ系が例
外処理状態となっている場合である。この場合には、Ｂ
系が処理を引き継ぐ。また、図には記載していないが、
Ｂ系は自己診断を実行することで、正常であることを確
認する。（ｇ）は、 Ａ系内，Ｂ系内においてはともに
データが一致してはいるものの、Ａ系，Ｂ系ともに例外
処理状態となっている場合である。この場合は、主系た
るＡ系によって処理を引き続き行う。

【００９２】次に、他系例外処理照合回路３６０Ａが自
己診断要求割込６２０Ａを出力した場合に行われる自己
診断処理を図７を用いて説明する。

【００９３】ここでは、他系例外処理照合回路３６０Ａ
が自己診断要求割込信号６２０Ａをプロセッシング装置
３１０Ａ−１，３１０Ａ−２に出力した場合（上述の図
６（ｅ）の場合）について述べる。

【００９４】自己診断要求割込信号６２０Ａが入力され
ると、プロセッシング装置３１０Ａ−１，３１０Ａ−２
は、その時実行中の命令終了後に、あらかじめ定められ
た自己診断用の四則演算を実行する（ステップ２３
０）。

【００９５】中央処理装置３００Ａ内の自己診断プログ
ラム（図示せず）は、この四則演算の結果に異常がある
か否かを判定する（ステップ２３１）。判定の結果、正
常であった場合には、続いて、主記憶装置３２０Ａに対
する任意データのライト／リード比較チェックを実行さ
せる（ステップ２３２）。そして、同様に、その結果が
正常であるか否かを判定する（ステップ２３３）。判定
の結果、正常であった場合は、この自己診断のために一
時停止していたプログラムの実行を再開する。再開位置
は、自己診断の開始直前に実行していた命令の次の命令
からとする。

【００９６】ステップ２３１またはステップ２３３で異
常があった場合には、自己診断部は、プロセッシング装
置３１０Ａ−１，３１０Ａ−２に対して処理停止要求割
込を入力する（ステップ２３４）。すると、プロセッシ
ング装置３１０Ａ−１，３１０Ａ−２は処理を停止す
る。

【００９７】尚、ここでは診断内容としてプロセッシン
グ装置の演算と主記憶装置のライト／リード比較のみ記
述したが、必要に応じプロセッシング装置周辺のハード
ウェア診断も実行する。

【００９８】次に、プロセッサ系間インタフェース制御
装置３４０Ａの詳細を、図８，図９を用いて説明する。
なお、プロセッサ系間インタフェース制御装置３４０Ｂ
は、プロセッサ系間インタフェース制御装置３４０Ａと
全く同じ構成である。

【００９９】プロセッサ系間インタフェース制御装置３
４０Ａは、状態レジスタ７６８と、切り離し判定回路７
６４とを備えている。また、該装置内の各所には、必要
に応じて適宜ラッチＬが配置されている。

【０１００】状態レジスタ７６８は、中央処理装置３０
０Ａの状態を保持するものである。

【０１０１】切り離し判定回路７６４は、どちらの系を
切り離すべきかを判定するためのものである。この切り
離し判定回路７６４は、後述する判定論理に従って、い
ずれの系を切り離すかを決定する。

【０１０２】Ａ系切り離し要求信号６０８Ａは、エラー
信号６０４ＡとＡ系切り離し要求信号６０６Ａとの論理
和をとったものである。Ａ系切り離し要求信号６０８Ａ
は切り離し判定回路７６４に入力されている。また、こ
の信号６０８Ａは、そのままＡ系切り離し要求信号６２
２−１として、プロセッサ系間インタフェース制御装置
３４０Ｂに対して出力されている。このＡ系切り離し要
求信号６２２−１に対する応答としてプロセッサ系間イ
ンタフェース制御装置３４０Ｂから返されてくるのが、
Ａ系切り離し許可信号６２４−２である。このＡ系切り
離し許可信号６２４−２を、ラッチで受けて、タイミン
グ調整した上で出力したのが、中央処理装置３００Ａの
切り離し指示信号６１４Ａ−２である。この切り離し指
示信号６１４Ａ−２によって、中央処理装置３００Ａを
２重化システムバス５１８Ａ、５１８Ｂから切り離す。

【０１０３】これとは反対に、プロセッサ系間インタフ
ェース制御装置３４０Ａには、プロセッサ系間インタフ
ェース制御装置３４０ＢからＢ系切り離し要求信号６２
４−１が入力されている。このＢ系切り離し要求信号６
２４−１は、信号７７０として切り離し判定回路７６４
へ入力される。そして、これに対する応答としてＡ系の
切り離し判定回路７６４がプロセッサ系間インタフェー
ス制御装置３４０Ｂに出力するのがＢ系切り離し許可信
号６２２−２である。また、中央処理装置３００Ａと２
重化システムバス５１８Ｂとを接続させるべく切り離し
判定回路７６４が出力するのが、Ｂ系接続指示信号６１
４Ａ−１である。

【０１０４】切り離し判定回路７６４の判定論理を図９
を用いて説明する。

【０１０５】エラーは、同時に２箇所で発生したり、既
に片系が切り離されているときに残存系でエラーが発生
することがある。そのため、切り離し要求に対してその
まま切り離し許可を出力したのでは、両系とも切り離し
てしまうことになる場合がある。そこで、切り離し判定
回路７６４は、その時Ａ系が処理を継続できる状態にあ
ることを確認してから、Ｂ系切り離し許可信号７６６
（６２２−２）と、Ｂ系接続指示信号６１４Ａ−１とを
アサートする。

【０１０６】従って、Ｂ系切り離し指示信号７６６とＢ
系接続信号６１４Ａ−１がアサートされるのは、図９
（ｂ）の場合、つまり、Ａ系がオンライン状態であっ
て、Ａ系切り離し要求６０８Ａ（６２２−１）が入力さ
れておらず、且つ、Ｂ系切り離し要求７７０（６２４−
１）が出力されている場合のみである。

【０１０７】なお、図９（ａ）は、Ａ系，Ｂ系ともにデ
ータ不一致となっている場合である（図６（ａ）に相
当）。図９（ｂ）は、Ｂ系のみがデータ不一致となって
いる場合（図６（ｃ）に相当）、あるいは、Ａ系内，Ｂ
系内においてはともにデータが一致してはいるもののＢ
系が例外処理状態となっている場合（図６（ｅ）に相
当）である。また、Ａ系は正常でオンライン状態となっ
ている。図９（ｃ）は、図９（ｂ）と同様の状況ではあ
るものの、Ａ系には他の何らかの障害が発生している場
合である。図９（ｄ）は、Ａ系のみにデータ不一致が発
生している場合（図６（ｂ）に相当）、あるいは、Ａ系
内，Ｂ系内においてはともにデータが一致してはいるも
ののＡ系が例外処理状態となっている場合（図６（ｆ）
に相当）である。図９（ｅ）は、Ａ系，Ｂ系ともに正常
な場合（図６（ｄ）に相当）、あるいは、 Ａ系内，Ｂ
系内においてはともにデータが一致してはいるもののＡ
系，Ｂ系ともに例外処理状態となっている場合（図６
（ｇ）に相当）である。

【０１０８】以上説明したとおり本実施形態では、単に
データの一致／不一致のみならず、プロセッシング装置
が例外処理状態にあるか否かをも故障系の切り分けの判
断基準としている。そのため、Ａ系，Ｂ系それぞれの系
内においては２重化プロセッシング装置間のデータが一
致してはいるものの、その一致しているデータがＡ系と
Ｂ系とで異なっているような事態（系内一致、系間不一
致）が生じても、これに対処して処理を継続することが
できる。

【０１０９】また、処理を引き継ぐプロセッシング装置
および周辺ハードウエアに自己診断処理を行わせること
で、真に異常の無いことを確認できる。

【０１１０】上記実施形態ではいずれかの系を切り離す
場合には、該切り離された系にそれまで接続されていた
バスに、それ以降処理を引き継ぐ系を接続するようにし
ていた。しかし、上記実施形態では中央処理装置３００
のみならず入出力バス５２０およびシステムバス３８０
も多重化しており、処理を引き継ぐ系も自らのバスを備
えている。従って、単に障害のあった系をそのバスから
切り離すだけでも構わない。例えば、障害の発生したＡ
系を入出力バス５２０Ａから切り離す場合でも、処理を
引き継ぐＢ系を入出力バス５２０Ａに接続させなくても
構わない。Ｂ系は当初から自らに接続されている入出力
バス５２０Ｂを使用して処理を引き継ぐことができる。

【０１１１】なお、特許請求の範囲において言う“不一
致検出手段”とは、上述の実施形態のＡ系においてはプ
ロセッサメモリ制御装置３３０Ａに相当する。“処理状
態判定手段”とは例外処理アドレスアクセス検出回路３
５０Ａに相当する。“他系処理状態確認手段“とは他系
例外処理照合回路３６０Ａに相当する。“切換手段”と
は、他系例外処理照合回路３６０Ａ、およびプロセッサ
系間インタフェース制御装置３４０Ａに相当する。“要
求手段”および“応答手段”とは、プロセッサ系間イン
タフェース制御装置３４０Ａ（特に、切り離し判定部７
６４）に相当する。“許可信号”とは、信号６２２−
２、６２４−２に相当する（図８参照）。“切り離して
もよいか否かの確認の要求”とは、信号６２４−１、６
２２−１に相当する（図８参照）。“外部装置”とは、
入出力バス５２０Ａ，Ｂ、システムバス３８０Ａ−１，
Ａ−２，Ｂ−１，Ｂ−２およびこれらを制御するバスア
ダプタ、さらには、これらの入出力バスを通じて接続さ
れる機器に相当する。

【０１１２】

【発明の効果】本発明によれば、どのプロセッシング装
置が異常であるか判断できないような場合（例えば、系
内一致系間不一致）でもシステムダウンさせることな
く、処理を継続させることができる。

【０１１３】また、自己診断処理を行うことで、異常の
ないことを確実に確認することができる。

【図面の簡単な説明】

【図１】本発明の第１の実施形態の要部構成を示すブロ
ック図である。

【図２】第１の実施形態の全体構成を示すブロック図で
ある。

【図３】動作を示すフローチャートである。

【図４】プロセッサメモリ制御装置３３０Ａのブロック
図である。

【図５】例外処理アドレスアクセス検出回路３５０Ａお
よび他系例外処理照合回路３６０Ａの詳細を示すブロッ
ク図である。

【図６】他系例外処理照合回路３６０Ａの判定論理を示
す図である。

【図７】自己診断処理を示すフローチャートである。

【図８】プロセッサ系間インタフェース制御装置３４０
Ａの詳細を示すブロック図である。

【図９】切り離し判定回路７６４の判定論理を示す図で
ある。

【符号の説明】

３１０・・・プロセッシング装置、３２０・・・主記憶
装置、３３０・・・プロセッサメモリ制御装置、３４０
・・・プロセッサ系間インタフェース制御装置、３５０
・・・例外処理アドレスアクセス検出回路、３６０・・
・他系例外処理照合回路

───────────────────────────────────────────────────── フロントページの続き (72)発明者 宮崎 義弘 茨城県日立市大みか町五丁目２番１号 株 式会社日立製作所大みか工場内 (72)発明者 石倉 秀司 茨城県日立市大みか町五丁目２番１号 株 式会社日立製作所大みか工場内

Claims (6)

【特許請求の範囲】
1. 【請求項１】多重化された複数個のプロセッシング装置
   を備えた系を複数備え、異常の発生時にはこれら系と外
   部装置との接続関係を変更することで処理を継続する多
   重化計算機における障害検出処理方法において、 上記異常が上記プロセッシング装置それぞれの出力のう
   ちのどれが適当であるかを判別できないものである場合
   には、上記系それぞれの上記プロセッシング装置の処理
   状態を確認し、 上記確認の結果、上記プロセッシング装置があらかじめ
   定められた例外処理を実行している状態（以下“例外処
   理状態”という）にある系と、上記プロセッシング装置
   があらかじめ定められた例外処理を実行していない状態
   （以下“通常処理状態”という）にある系とがあった場
   合には、通常処理状態にある系によってそれ以降の処理
   を引き継ぐこと、 を特徴とする多重化計算機における障害検出処理方法。
2. 【請求項２】多重化された複数個のプロセッシング装置
   を備えた系を複数備え、これらの系と上記外部装置との
   接続関係を変更することで障害発生時にも処理を継続す
   る多重化計算機において、 上記系のそれぞれは、 自系の多重化された上記プロセッシング装置間での処理
   結果の不一致を検出する不一致検出手段と、 自系の多重化された上記プロセッシング装置の処理状態
   は、あらかじめ定められた例外処理プログラムを実行し
   ている状態（以下“例外処理状態”という）と、上記例
   外処理プログラムを実行していない状態（以下“通常処
   理状態”という）とのいずれであるかを判定する処理状
   態判定手段と、 他の系の多重化された上記プロセッシング装置の処理状
   態は、上記例外処理状態と上記通常処理状態とのいずれ
   であるかを確認する他系処理状態確認手段と、 自系の上記不一致検出手段が不一致を検出した場合、ま
   たは、自系の上記処理状態判定手段が例外処理状態であ
   ると判定し且つ上記他系処理状態確認手段が上記通常処
   理状態となっている系が存在することを確認した場合、
   自系を上記外部装置から切り離させる切換手段と、 を有することを特徴とする多重化計算機。
3. 【請求項３】上記系のそれぞれは、さらに、 自系の上記不一致検出手段が不一致を検出した場合、ま
   たは、自系の上記処理状態判定手段が例外処理状態であ
   ると判定し且つ上記他系処理状態確認手段が上記通常処
   理状態となっている系が存在することを確認した場合、
   自系を上記外部装置から切り離してもよいか否かの確認
   を、他の系に対して要求する要求手段と、 他の系から当該他の系を切り離してもよいか否かの確認
   を要求された場合、自系の状態を確認し、当該他の系の
   行っていた処理を引き継ぐことが可能であれば当該他の
   系を上記外部装置から切り離すことを許す許可信号を当
   該他の系に対して出力する応答手段と、を備え、 上記切換手段は、自系の上記要求手段による要求に対し
   他の系の上記応答手段から許可信号が返された場合に限
   り、自系を上記外部装置から切り離させるものであるこ
   と、 を特徴とする請求項２記載の多重化計算機。
4. 【請求項４】上記切換手段は、上記応答手段が他の系に
   対して上記許可信号を出力した場合には、自系を上記外
   部装置に接続させるものであること、 を特徴とする請求項３記載の多重化計算機。
5. 【請求項５】上記処理状態判定手段は、上記例外処理プ
   ログラムの格納されている領域を示すアドレス（以下
   “例外処理アドレス”という）をあらかじめ備え、上記
   プロセッシング装置がアクセスするアドレスが上記例外
   処理アドレスであるか否かを判定し、該判定の結果、上
   記例外処理アドレスをアクセスしていた場合には例外処
   理状態にあると判定するものであること、 を特徴とする請求項１記載の多重化計算機。
6. 【請求項６】上記処理状態判定手段は通常状態であると
   判定し且つ他系処理状態確認手段が例外処理状態となっ
   ている他の系の存在を確認した場合には、当該通常状態
   であった系のプロセッシング装置は自己診断を行うもの
   であること、を特徴とする請求項２記載の多重化計算
   機。