(57)【要約】【課題】  等価な動作を行う冗長構成の複数の処理装置に障害が検出されないにもかかわらず、複数の処理装置の出力結果が不一致となるような状況下における情報処理システムの可用性を向上させる。【解決手段】  互いに等価な動作を行う０系処理装置２０および１系処理装置３０と、これらの一方を選択して周辺システム６０に接続する冗長構成制御装置４０を備えた情報処理システム１０において、０系処理装置２０の電源２２および１系処理装置３０の電源３２の電圧変動を監視する電源監視装置２３および電源監視装置３３を設け、０系処理装置２０および１系処理装置３０の双方にエラーが検出されないにもかかわらず、両者の入出力情報２４および入出力情報３４が一致しない場合に、電圧変動の小さい側の入出力情報を選択して周辺システム６０に接続することで、情報処理システム１０の稼働を継続する。【選択図】図１
2006260259.tif 000002
【特許請求の範囲】
【請求項１】
互いに等価な動作を行う複数の処理装置を含む情報処理システムの制御方法であって、
個々の前記処理装置ではエラーが検出されず、且つ複数の前記処理装置からの出力情報が一致しない場合に、電源電圧の変動量が相対的に大きい側の前記処理装置を前記情報処理システムから切り離すことを特徴とする情報処理システムの制御方法。
【請求項２】
請求項１記載の情報処理システムの制御方法において、
前記エラーは、前記処理装置の各々の内部エラーと、前記処理装置の各々に対する入出力データに関するＥＣＣチェックエラーまたはパリティチェックエラーを含むことを特徴とする情報処理システムの制御方法。
【請求項３】
請求項１記載の情報処理システムの制御方法において、
前記電源電圧の定格値と、前記処理装置が正常に動作可能な動作可能電圧との間に閾値を設定し、前記閾値を基準として前記電源電圧の変動量の大小を判定することを特徴とする情報処理システムの制御方法。
【請求項４】
互いに等価な動作を行う複数の処理装置に電源電圧監視手段を設け、個々の前記処理装置ではエラーが検出されないが、個々の前記処理装置からの出力データが一致しない場合に、電源電圧の変動量が相対的に大きい側の前記処理装置に障害が発生したと見なすことを特徴とする情報処理システムの制御方法。
【請求項５】
互いに等価な処理を行う複数の第１および第２処理装置を含む情報処理システムにおいて、前記第１および第２処理装置の各々の電源電圧の変動を閾値で検出し電圧監視信号として出力する電圧監視手段を設け、
前記第１および第２処理装置のいずれにおいても異常を検出していないにもかかわらず、前記第１および第２処理装置からの出力データが不一致の場合に、前記電圧監視手段からの前記第１および第２処理装置の各々の前記電圧監視信号を参照し、電源電圧が異常を示している前記第１または第２処理装置を切り離すことを特徴とする情報処理システムの制御方法。
【請求項６】
複数の第１および第２処理装置に同じ情報処理を行わせ、動作状態が健全な第１または第２処理装置を使用する情報処理システムの制御方法であって、
前記第１および第２処理装置に関する電源電圧以外のエラーチェック項目が正常か否かを判別する第１工程と、
前記エラーチェック項目が正常な場合に、前記第１および第２処理装置の各々からの出力が一致するか否かを判別する第２工程と、
前記第２工程にて前記出力が不一致の場合に、前記第１および第２処理装置の各々の電源電圧の変動量に基づくエラー判定にて異常無しと判定された側の第１または第２処理装置を使用する第３工程と、
を含むことを特徴とする情報処理システムの制御方法。
【請求項７】
請求項６記載の情報処理システムの制御方法において、
前記第３工程における前記電源電圧の変動量に基づくエラー判定では、
前記電源電圧の定格値と、前記第１および第２処理装置が正常に動作可能な動作可能電圧との間に設定された閾値よりも前記電源電圧が低下した場合に、前記電源電圧の異常と判定することを特徴とする情報処理システムの制御方法。
【請求項８】
複数の第１および第２処理装置と、
前記第１および第２処理装置の各々の電源電圧の変動を監視する電圧監視手段と、
前記第１および第２処理装置のいずれを使用するかを切り替える選択手段とを含み、
前記選択手段は、
前記第１および第２処理装置に関する電源電圧以外のエラーチェック項目が正常か否かを判別する第１判別手段と、
前記エラーチェック項目が正常な場合に、前記第１および第２処理装置の各々からの出力が一致するか否かを判別する第２判別手段と、
前記第２判別手段にて前記出力が不一致と判定された場合に、前記第１および第２処理装置の各々の電源電圧の変動量に基づくエラー判定にて異常無しと判定された側の第１または第２処理装置を選択する第３判別手段と、
を含むことを特徴とする情報処理システム。
【請求項９】
複数の第１および第２処理装置と、前記第１および第２処理装置のいずれを使用するかを切り替える選択手段と、を含む情報処理システムの制御プログラムであって、
前記選択手段に、
前記第１および第２処理装置に関する電源電圧以外のエラーチェック項目が正常か否かを判別する第１工程と、
前記エラーチェック項目が正常な場合に、前記第１および第２処理装置の各々からの出力が一致するか否かを判別する第２工程と、
前記第２工程にて前記出力が不一致の場合に、前記第１および第２処理装置の各々の電源電圧の変動量に基づくエラー判定にて異常無しと判定された側の第１または第２処理装置を使用する第３工程と、
を実行させることを特徴とする情報処理システムの制御プログラム。
【請求項１０】
情報処理システム内に冗長に設けられた複数の処理装置を監視し、障害の前記処理装置を前記情報処理システムから切り離す動作を行う冗長構成制御装置であって、
個々の前記処理装置ではエラーが検出されないが、個々の前記処理装置からの出力データが一致しない場合に、電源電圧の変動量が相対的に大きい側の前記処理装置に障害が発生したと判定する制御論理を備えたことを特徴とする冗長構成制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理システムの制御方法、情報処理システム、情報処理システムの制御プログラム、冗長構成制御装置に関し、特に、冗長構成のハードウェアに等価な情報処理を行わせることで故障耐性を高める情報処理技術に適用して有効な技術に関する。
【背景技術】
【０００２】
たとえば、高信頼性を要求されるサーバシステムにおいては、故障耐性を高めるために、プロセッサ等のハードウェアを２重にして双方に同じ情報処理を実行させ、一方のプロセッサに異常が発生しても、正常に動作している他方のプロセッサの入出力信号を使って情報処理を継続する、ミラーリング機能を有する情報処理システムが知られている。
【０００３】
プロセッサの異常検出は入出力データのパリティエラーやＥＣＣエラー、各プロセッサの処理動作のタイムアウトエラー等により行うが、２重に動作しているプロセッサのいずれでも上述のエラー（異常）が検出されていないにも関わらず、双方のプロセッサからの出力信号が不一致になった場合には、どちらのプロセッサを異常と見なすのかの判断基準が存在しない。このため、信頼性を重視する場合にはシステムを停止させる必要があり、システムの可用性が低下する、という技術的課題がある。
【０００４】
また、一般に、プロセッサ等の論理回路の動作速度に比較すると、電源の異常検出には長い時間を要する。このため、プロセッサが動作不能に陥るような大きな電源電圧降下を伴う電源異常の検出信号を使って異常系統の判別を行う場合には、上述のように両系が正常に見えるが出力信号が一致しないような障害の救済手段とはならない。
【０００５】
たとえば、特許文献１には、同一構成の第１および第２ＣＰＵと、これらのＣＰＵに対して同一周波数かつ同一位相のクロック及びリセット信号を供給するクロック手段と、これら二つのＣＰＵと入出力装置を接続するデュアルシステムアダプタ（ＤＳＢＡ）と、二つのＣＰＵ間でＣＰＵの状態等を受け渡しするブロック間通信手段とを具備した高信頼化コンピュータが開示されている。そして、クロック手段によって二つのＣＰＵの同期したプログラムの実行を実現するとともに、一方のＣＰＵが故障した場合に、デュアルシステムアダプタが当該ＣＰＵを切り離し、健全な他のＣＰＵにて処理を続行させるものである。
【０００６】
すなわち、中心にあるＤＳＢＡが、２つのＣＰＵの監視および比較を行い、正常に動作している側のＣＰＵから来ている信号を使って、メモリやＩ／Ｏ等のシステムへのアクセスを行う。
【０００７】
ＤＳＢＡでは、二重に設けられた各ＣＰＵから送られて来る信号のＥＣＣチェック，パリティチェック等を行い、また、ＣＰＵが内部で検出した異常を通知するエラー信号をモニタして、ＣＰＵの正常性を確認している。ＤＳＢＡはＣＰＵの異常を検知すると、異常と判断された側の系を切り離し、正常なＣＰＵのみを使って処理を継続する。
【０００８】
どちらのＣＰＵに対しても異常を検出していないが、ＣＰＵ０，ＣＰＵ１から送られて来た信号が不一致になった場合、継続不能としてシステムを停止するか、どちらか片方のＣＰＵのみを使って処理を継続させることになる。
【０００９】
特許文献１のシステムにおいて、ＣＰＵ内部の半導体の故障やソフトエラーによって、内部回路に矛盾が生じた場合は、内部に設けられた、パリティチェック等によるエラー検出回路で検出可能である。また、ＣＰＵとＤＳＢＡ間のバスでエラーが生じた場合は、ＤＳＢＡまたはＣＰＵの入力で、バスのパリティチェックやＥＣＣチェックを行う事により検出可能である。
【００１０】
しかしながら、ＣＰＵに動作電力を供給している電源に異常が生じた場合、ＣＰＵ全体に影響が生じるため、ＣＰＵ内部の故障検出回路等が正常に機能できないまま、エラー信号が出力されず、あたかも正常に動作しているごとく、コントローラにデータを出力してしまう恐れがある。
【００１１】
電源故障の場合、急激な電圧降下によってＣＰＵへの供給電圧が正常に動作可能な下限値を下回り、数ミリ秒（ｍｓ）後には、ＣＰＵが重大な異常状態に陥ると考えられるため、長い時間で見ればどちらのＣＰＵが異常になったか判断可能である。しかし、ハードウェアによるミラーリング（ＣＰＵの多重化）を行う場合、２系統のＣＰＵから異なる信号が出力された時に、直ちにエラー判断を行う必要があり、数ｍｓの時間を待つ事はできない。従って、電源故障がＣＰＵ回路の誤動作にまで波及する前に、電源の異常を検知する必要がある。
【００１２】
また、近年のＣＰＵは消費電力が大きくなり、ＣＰＵ毎に専用の電源を必要とするようになっており、ミラーリングを行うにあたり、電源故障による影響も考慮する必要が生じてきた。
【００１３】
なお、特許文献２には、複数の処理装置と、これらを監視する監視装置を含むデータ処理システムにおいて、処理装置の電源電圧を監視する電圧異常検出器の出力を保持するラッチを設け、処理装置に異常が検出された時に、監視装置がラッチを参照して電源電圧の異常を確認することで、電圧異常の検出と処理装置の誤動作の同時性を確認可能とし、電圧異常と処理装置の異常の因果関係の明確化を実現する技術が開示されている。
【００１４】
しかし、この特許文献２の技術では、電圧異常と個々の処理装置の誤動作との因果関係を確定することはできるものの、上述のような、個々のＣＰＵでは障害が検出されないにもかかわらず、複数のＣＰＵの処理結果が不一致になる障害における障害のＣＰＵの判別技術については開示されていない。
【００１５】
同様に、特許文献３には、多重化された処理装置の各々に、自処理装置での入力電源を監視し、瞬断に伴う電源の再投入の有無を記憶する電源状態保持手段と、他の処理装置での無応答検出に応じて他の処理装置の電源状態保持手段を参照し、無応答の原因が電源の瞬断に伴うシステム再立ち上げによるものか否かを判断するとともに当該他の処理装置の電源状態保持手段の状態をリセットする制御手段とを備えた多重化システムが開示されている。
【００１６】
しかし、この特許文献３の技術でも、特許文献２同様に、上述のような、個々のＣＰＵでは障害が検出されないにもかかわらず、複数のＣＰＵの処理結果が不一致になる障害における障害のＣＰＵの判別技術については開示されていない。
【００１７】
さらに、特許文献４には、コンピュータシステムを構成する回路と、各回路をの障害状態を独立して検出し、障害状態と各回路とを関連付ける障害管理システムを備えたコンピュータシステムが開示されている。しかし、この特許文献４においても、上述のような、個々のＣＰＵでは障害が検出されないにもかかわらず、複数のＣＰＵの処理結果が不一致になる障害における障害のＣＰＵの判別技術については開示されていない。
【特許文献１】特開平８−１９０４９４号公報
【特許文献２】特開昭５７−１４１７３１号公報
【特許文献３】特開平３−２６６１３１号公報
【特許文献４】特開平１０−１４３３８７号公報
【発明の開示】
【発明が解決しようとする課題】
【００１８】
本発明の目的は、冗長構成の複数の処理装置に等価な動作を行わせることで高信頼化を図る情報処理システムにおいて、個々の処理装置に障害が検出されないにもかかわらず、複数の処理装置の出力結果が不一致となるような状況下における情報処理システムの可用性を向上させることにある。
【課題を解決するための手段】
【００１９】
本発明の第１の観点は、互いに等価な動作を行う複数の処理装置を含む情報処理システムの制御方法であって、
個々の前記処理装置ではエラーが検出されず、且つ複数の前記処理装置からの出力情報が一致しない場合に、電源電圧の変動量が相対的に大きい側の前記処理装置を前記情報処理システムから切り離す情報処理システムの制御方法を提供する。
【００２０】
本発明の第２の観点は、互いに等価な動作を行う複数の処理装置に電源電圧監視手段を設け、個々の前記処理装置ではエラーが検出されないが、個々の前記処理装置からの出力データが一致しない場合に、電源電圧の変動量が相対的に大きい側の前記処理装置に障害が発生したと見なす情報処理システムの制御方法を提供する。
【００２１】
本発明の第３の観点は、互いに等価な処理を行う複数の第１および第２処理装置を含む情報処理システムにおいて、前記第１および第２処理装置の各々の電源電圧の変動を閾値で検出し電圧監視信号として出力する電圧監視手段を設け、
前記第１および第２処理装置のいずれにおいても異常を検出していないにもかかわらず、前記第１および第２処理装置からの出力データが不一致の場合に、前記電圧監視手段からの前記第１および第２処理装置の各々の前記電圧監視信号を参照し、電源電圧が異常を示している前記第１または第２処理装置を切り離す情報処理システムの制御方法を提供する。
【００２２】
本発明の第４の観点は、複数の第１および第２処理装置に同じ情報処理を行わせ、動作状態が健全な第１または第２処理装置を使用する情報処理システムの制御方法であって、
前記第１および第２処理装置に関する電源電圧以外のエラーチェック項目が正常か否かを判別する第１工程と、
前記エラーチェック項目が正常な場合に、前記第１および第２処理装置の各々からの出力が一致するか否かを判別する第２工程と、
前記第２工程にて前記出力が不一致の場合に、前記第１および第２処理装置の各々の電源電圧の変動量に基づくエラー判定にて異常無しと判定された側の第１または第２処理装置を使用する第３工程と、
を含む情報処理システムの制御方法を提供する。
【００２３】
本発明の第５の観点は、複数の第１および第２処理装置と、
前記第１および第２処理装置の各々の電源電圧の変動を監視する電圧監視手段と、
前記第１および第２処理装置のいずれを使用するかを切り替える選択手段とを含み、
前記選択手段は、
前記第１および第２処理装置に関する電源電圧以外のエラーチェック項目が正常か否かを判別する第１判別手段と、
前記エラーチェック項目が正常な場合に、前記第１および第２処理装置の各々からの出力が一致するか否かを判別する第２判別手段と、
前記第２判別手段にて前記出力が不一致と判定された場合に、前記第１および第２処理装置の各々の電源電圧の変動量に基づくエラー判定にて異常無しと判定された側の第１または第２処理装置を選択する第３判別手段と、
を含む情報処理システムを提供する。
【００２４】
本発明の第６の観点は、複数の第１および第２処理装置と、前記第１および第２処理装置のいずれを使用するかを切り替える選択手段と、を含む情報処理システムの制御プログラムであって、
前記選択手段に、
前記第１および第２処理装置に関する電源電圧以外のエラーチェック項目が正常か否かを判別する第１工程と、
前記エラーチェック項目が正常な場合に、前記第１および第２処理装置の各々からの出力が一致するか否かを判別する第２工程と、
前記第２工程にて前記出力が不一致の場合に、前記第１および第２処理装置の各々の電源電圧の変動量に基づくエラー判定にて異常無しと判定された側の第１または第２処理装置を使用する第３工程と、
を実行させる情報処理システムの制御プログラムを提供する。
【００２５】
本発明の第７の観点は、情報処理システム内に冗長に設けられた複数の処理装置を監視し、障害の前記処理装置を前記情報処理システムから切り離す動作を行う冗長構成制御装置であって、
個々の前記処理装置ではエラーが検出されないが、個々の前記処理装置からの出力データが一致しない場合に、電源電圧の変動量が相対的に大きい側の前記処理装置に障害が発生したと判定する制御論理を備えた冗長構成制御装置を提供する。
【００２６】
上記した本発明によれば、冗長構成の複数の処理装置に互いに等価な動作を行わせ、一方に障害が発生した場合に、他方の健全な処理装置を用いて処理を継続する情報処理システムにおいて、個々の処理装置では障害が検出されないにもかかわらず、各処理装置の処理結果が不一致となるような、従来では障害の判別が困難な状況においても、電源電圧の変動量が相対的に大きい側の処理装置を障害と見なしてシステムから切り離し、他方の健全な処理装置を用いてシステムの稼働を継続させることが可能となり、情報処理システムの可用性が向上する。
【発明の効果】
【００２７】
本発明によれば、冗長構成の複数の処理装置に等価な動作を行わせることで高信頼化を図る情報処理システムにおいて、個々の処理装置に障害が検出されないにもかかわらず、複数の処理装置の出力結果が不一致となるような状況下における情報処理システムの可用性を向上させることが可能になる。
【発明を実施するための最良の形態】
【００２８】
以下、図面を参照しながら、本発明の実施の形態について詳細に説明する。
図１は、本発明の一実施の形態である情報処理システムの構成の一例を示すブロック図であり、図２は、本実施の形態の情報処理システム１０を構成する冗長構成制御回路の内部構成の一例を示すブロック図、図３は、本実施の形態の冗長構成制御回路における判定動作の一例を示す説明図、図４は、本実施の形態の冗長構成制御回路における電源電圧の判定動作の一例を示す線図、図５は、本実施の形態の冗長構成制御回路における判定動作の一例を示すフローチャートである。
【００２９】
本実施の形態の情報処理システム１０は、複数の０系処理装置２０（第１処理装置）および１系処理装置３０（第２処理装置）、冗長構成制御装置４０（選択手段）、周辺システム６０を含んでいる。
【００３０】
周辺システム６０は、たとえば記憶装置、入出力機器、通信機器等を含む。
０系処理装置２０と１系処理装置３０は、互いに同一の構成を備えており、互いに等価な同一の動作を行う。そして、冗長構成制御装置４０は、等価な動作を行う０系処理装置２０および１系処理装置３０の動作を監視し、いずれか一方を周辺システム６０に接続する動作を行う。これにより、０系処理装置２０および１系処理装置３０のいずれか一方が故障しても、他方を選択して周辺システム６０に接続することで、情報処理システム１０の情報処理を継続できる。
【００３１】
０系処理装置２０は、中央処理装置２１（ＣＰＵ０）、電源２２、電源監視装置２３を含んでいる。
中央処理装置２１は、冗長構成制御装置４０との間で、入出力情報２４の授受を行う。この入出力情報２４には、たとえば、ＥＣＣ（Ｅｒｒｏｒ  Ｃｏｒｒｅｃｔｉｎｇ  Ｃｏｄｅ）やパリティ等のエラーチェックデータ２５が付加され、冗長構成制御装置４０の内部において、入出力情報２４のエラー検出および訂正が行われる。
【００３２】
中央処理装置２１は、自装置の内部で発生する内部障害を検出する機能を備えており、この内部障害の検出結果は、内部エラー信号２６にて冗長構成制御装置４０に伝達される。
【００３３】
１系処理装置３０は、中央処理装置３１（ＣＰＵ１）、電源３２、電源監視装置３３を含んでいる。
中央処理装置３１は、冗長構成制御装置４０との間で、入出力情報３４の授受を行う。この入出力情報３４には、たとえば、ＥＣＣ（Ｅｒｒｏｒ  Ｃｏｒｒｅｃｔｉｎｇ  Ｃｏｄｅ）やパリティ等のエラーチェックデータ３５が付加され、冗長構成制御装置４０の内部において、入出力情報３４のエラー検出および訂正が行われる。
【００３４】
中央処理装置３１は、自装置の内部で発生する内部障害を検出する機能を備えており、この内部障害の検出結果は、内部エラー信号３６にて冗長構成制御装置４０に伝達される。
【００３５】
中央処理装置２１は、電源２２から供給される電源電圧Ｖにて動作する。本実施の形態では、電源２２から中央処理装置２１に供給される電源電圧Ｖの変動を監視する電源監視装置２３が設けられている。この電源監視装置２３は、高速かつ高感度にて電源電圧Ｖの変化を検出する図示しない検出回路を備えている。そして、後述のように、電源２２から中央処理装置２１に供給される電源電圧Ｖが、ＣＰＵ動作可能電圧Ｖａ以下に低下した場合に、電源エラー信号２３ａを冗長構成制御装置４０に出力する。
【００３６】
同様に、中央処理装置３１は、電源３２から供給される電源電圧Ｖにて動作する。本実施の形態では、電源３２から中央処理装置３１に供給される電源電圧Ｖの変動を監視する電源監視装置３３が設けられている。この電源監視装置３３は、高速かつ高感度にて電源電圧Ｖの変化を検出する図示しない検出回路を備えている。そして、後述のように、電源３２から中央処理装置３１に供給される電源電圧Ｖが、ＣＰＵ動作可能電圧Ｖａ以下に低下した場合に、電源エラー信号３３ａを冗長構成制御装置４０に出力する。
【００３７】
図２を参照して、冗長構成制御装置４０の構成の一例について説明する。本実施の形態の冗長構成制御装置４０は、エラー検出／訂正回路４１、エラー検出／訂正回路４２、データ比較器４３、論理積回路４４、論理積回路４５、論理積回路４６、論理積回路４７、論理積回路４８、論理積回路４９およびセレクタ５０を備えている。なお、以下に説明する図２中の各信号において、真は“１”、偽は“０”、である。
【００３８】
また、この図２の論理回路では、内部エラー信号２６、内部エラー信号３６の判定は省いてある。すなわち、この内部エラー信号２６、内部エラー信号３６は、中央処理装置２１、中央処理装置３１の内部のより重大な障害を示しており、当該内部エラー信号２６または内部エラー信号３６が検出された中央処理装置２１または中央処理装置３１は、無条件に情報処理システム１０から切り離されるためである。
【００３９】
エラー検出／訂正回路４１は、中央処理装置２１との間で授受される入出力情報２４に冗長に付加されたエラーチェックデータ２５を用いて、当該入出力情報２４のエラー検出および訂正を行う。このエラー検出および訂正において訂正不能なエラーが検出された場合には、エラー検出／訂正回路４１は、訂正不能エラー検出信号４１ａを論理積回路４６に出力する。
【００４０】
エラー検出／訂正回路４２は、中央処理装置３１との間で授受される入出力情報３４に冗長に付加されたエラーチェックデータ３５を用いて、当該入出力情報３４のエラー検出および訂正を行う。このエラー検出および訂正において訂正不能なエラーが検出さされた場合には、エラー検出／訂正回路４２は、訂正不能エラー検出信号４２ａを論理積回路４７に出力する。
【００４１】
データ比較器４３は、中央処理装置２１から入力される入出力情報２４と、中央処理装置３１から入力される入出力情報３４とを比較し、両者が不一致の場合に、論理積回路４４および論理積回路４５に対してデータ不一致検出信号４３ａを出力する。
【００４２】
論理積回路４４は、電源監視装置２３から入力される電源エラー信号２３ａ（ＰＷＲ＿Ｅｒｒ０）とデータ比較器４３から入力されるデータ不一致検出信号４３ａの論理積をとって０系障害推定信号４４ａを出力する。
【００４３】
論理積回路４５は、電源監視装置３３から入力される電源エラー信号３３ａ（ＰＷＲ＿Ｅｒｒ１）とデータ比較器４３から入力されるデータ不一致検出信号４３ａの論理積をとって１系障害推定信号４５ａを出力する。
【００４４】
論理積回路４６は、エラー検出／訂正回路４１から入力される訂正不能エラー検出信号４１ａの論理反転信号と、０系障害推定信号４４ａの論理反転信号の論理積をとって０系データ有効信号４６ａを出力する。
【００４５】
論理積回路４７は、エラー検出／訂正回路４２から入力される訂正不能エラー検出信号４２ａの論理反転信号と、１系障害推定信号４５ａの論理反転信号の論理積をとって１系データ有効信号４７ａを出力する。
【００４６】
論理積回路４８は、論理積回路４６から入力される０系データ有効信号４６ａの論理反転信号と、論理積回路４７から入力される１系データ有効信号４７ａの論理反転信号の論理積をとって、データ選択制御信号４９ａをセレクタ５０に出力する。
【００４７】
論理積回路４９は、論理積回路４６から入力される０系データ有効信号４６ａの論理反転信号と、論理積回路４７から入力される１系データ有効信号４７ａの論理積をとってデータ選択制御信号４９ａをセレクタ５０に出力する。
【００４８】
セレクタ５０は、データ選択制御信号４９ａが真（“１”）の場合には、１系処理装置３０の側の入出力情報３４を選択し、偽（“０”）の場合には、０系処理装置２０の側の入出力情報２４を選択する。
【００４９】
図３は、互いに等価な動作を行う複数の０系処理装置２０および１系処理装置３０の各々のエラー発生状況（状況Ｓ１〜Ｓ８）に応じた冗長構成制御装置４０の判定処理を示している。
【００５０】
すなわち、図２に例示した冗長構成制御装置４０の論理回路では、図３に例示した状況Ｓ１〜状況Ｓ８のうち、０系処理装置２０および１系処理装置３０にはエラーが発生していなが、双方の入出力情報２４および入出力情報３４の比較結果が不一致（データ不一致検出信号４３ａが真）になった場合に、０系処理装置２０および１系処理装置３０のいずれを選択するかを判断する。
【００５１】
以下、本実施の形態の情報処理システム１０の作用の一例について説明する。
上述のように、本実施の形態では、中央処理装置２１に電力を供給する電源２２に設けられた電源監視装置２３、および中央処理装置３１に電力を供給する電源３２に設けられた電源監視装置３３から、電源エラー信号２３ａおよび電源エラー信号３３ａを冗長構成制御装置４０に入力している。
【００５２】
この電源監視装置２３および電源監視装置３３は、中央処理装置２１および中央処理装置３１が電源電圧Ｖの低下により誤動作するよりも早期に電圧異常を検知する必要があるため、高速動作が可能な部品を使用し、かつ閾値も高めに設定する。
【００５３】
すなわち、本実施の形態では、電源監視装置２３および電源監視装置３３での異常判定の閾値である電圧変動検出閾値Ｖｔは、図４に例示されるよう、定格電圧Ｖ０とＣＰＵ動作可能電圧Ｖａの間に設定され、かつ、定格電圧Ｖ０に近くなるように比較的高く設定されている。
【００５４】
このように、電圧変動検出閾値Ｖｔを定格電圧Ｖ０の近くに設定した場合、電源監視装置２３、電源監視装置３３が非常に敏感になるため、中央処理装置２１および中央処理装置３１での負荷変動や、周囲のノイズ等による電源２２および電源３２の電源電圧Ｖの僅かな変動にも反応する。
【００５５】
従って、本実施の形態では、この電源監視装置２３および電源監視装置３３から出力される電源エラー信号２３ａ、電源エラー信号３３ａを使って、直接的に多重に設けられた０系処理装置２０および１系処理装置３０のいずれかを切り離すような処理は行わない。
【００５６】
すなわち、冗長構成制御装置４０は、０系処理装置２０および１系処理装置３０の各々における入出力情報２４および入出力情報３４のパリティチェックあるいはＥＣＣチェック、および内部エラー信号２６（Ｅｒｒｏｒ）のチェックを優先させ、これらに異常が無いにも関わらず、０系処理装置２０の入出力情報２４および１系処理装置３０の入出力情報３４に不一致が生じた時に初めて、電源監視装置２３および電源監視装置３３の電源エラー信号２３ａおよび電源エラー信号３３ａを参照し、この電源エラー信号２３ａまたは電源エラー信号３３ａが異常を示している側の０系処理装置２０または１系処理装置３０を、情報処理システム１０から切り離す処理を行い、他方の１系処理装置３０または０系処理装置２０を用いて情報処理を継続する。
【００５７】
従って、０系処理装置２０の入出力情報２４と、１系処理装置３０の入出力情報３４とが一致している場合は、電源エラー信号２３ａおよび電源エラー信号３３ａは無視される。
【００５８】
上述の図２に例示される冗長構成制御装置４０の論理回路の動作は、冗長構成制御装置４０を制御する制御プログラム７０等のソフトウェアによって実現することもできる。すなわち、この制御プログラム７０は、中央処理装置２１および中央処理装置３１の各々の障害監視を行うチェック処理論理７１、およびチェック処理論理７２、０系処理装置２０の入出力情報２４と、１系処理装置３０の入出力情報３４とを比較する比較論理７３、入出力情報２４および入出力情報３４のいずれを選択して入出力データ５１として用いるかを選択する選択論理７４、を含む。
【００５９】
この場合の制御プログラム７０の動作を、図５のフローチャートを参照して説明する。
まず、中央処理装置２１および中央処理装置３１の各々の内部エラー信号２６および内部エラー信号３６を参照して、双方が障害を示しているか否かを判定し（ステップ１０１）、両方とも障害無しの場合には、さらに、中央処理装置２１および中央処理装置３１の双方の入出力情報２４および入出力情報３４のＥＣＣ／パリティチェック結果を判別する（ステップ１０２）。
【００６０】
そして、双方の系に異常がない場合には、０系処理装置２０および１系処理装置３０の入出力情報２４および入出力情報３４が一致するか否かを判別し（ステップ１０３）、両者が一致する場合は、異常なしなので、ステップ１０１に戻る（状況Ｓ１）。
【００６１】
一方、ステップ１０３で不一致（ＮＯ）の場合、すなわち、０系処理装置２０および１系処理装置３０の双方に全くエラーが検出されないにもかかわらず、両者の入出力情報２４および入出力情報３４が不一致となった場合（状況Ｓ２〜状況Ｓ５）、従来では、０系処理装置２０および１系処理装置３０のいずれを選択するかの根拠がないので、原因不明の障害として情報処理システム１０を停止させる必要があり、可用性が低下していた。
【００６２】
これに対して、本実施の形態の場合には、ステップ１０３で入出力情報２４および入出力情報３４が不一致と判定された場合には（状況Ｓ２〜状況Ｓ５）、電源エラー信号２３ａを参照して、一方の０系処理装置２０側の電源電圧変動エラーを確認し（ステップ１０４）、エラー有りの場合には、さらに、他方の１系処理装置３０の電源エラー信号３３ａを参照して、１系処理装置３０側の電源電圧変動エラーを確認し（ステップ１０９）、エラー無しの場合には、当該１系処理装置３０の側の入出力情報３４を入出力データ５１として選択して（すなわち、０系処理装置２０を情報処理システム１０から切り離して）、周辺システム６０に接続する（ステップ１１０）（状況Ｓ４）。
【００６３】
一方、ステップ１０４で０系処理装置２０の電源電圧変動エラーがないと判定された場合には、他方の１系処理装置３０の電源エラー信号３３ａを参照して、１系処理装置３０側の電源電圧変動エラーを確認し（ステップ１０５）、エラー有りの場合には、０系処理装置２０の入出力情報２４を選択して（すなわち、１系処理装置３０の側を情報処理システム１０から切り離して）稼働を継続する（ステップ１１１）（状況Ｓ３）。
【００６４】
また、ステップ１０５で１系処理装置３０の電源電圧変動エラーが検出されない場合は、０系処理装置２０および１系処理装置３０の双方の電源電圧も正常であり、この場合は、原因不明として０系処理装置２０および１系処理装置３０の双方をエラーと判定する（ステップ１０６）（状況Ｓ２）。
【００６５】
同様に、ステップ１０９で１系処理装置３０の電源電圧変動エラーが検出された場合は、０系処理装置２０および１系処理装置３０の双方で電源電圧変動エラーが検出されたことになり、この場合も、原因不明として０系処理装置２０および１系処理装置３０の双方をエラーと判定する（ステップ１０６）（状況Ｓ５）。
【００６６】
また、上述のステップ１０１で、ＮＯと判定された場合、すなわち、内部エラー信号２６および内部エラー信号３６の少なくとも一方が真の場合は、０系処理装置２０および１系処理装置３０の両方の二重障害か判定し（ステップ１０７）、双方とも障害の場合は、ステップ１０６に分岐する（状況Ｓ８）。
【００６７】
また、ステップ１０７で、０系処理装置２０および１系処理装置３０の一方が障害と判定された場合は、他方の１系処理装置３０または０系処理装置２０を選択して処理を継続する（ステップ１０８）（状況Ｓ６、状況Ｓ７）。上述のステップ１０２でＮＯと判定された場合も同様である。
【００６８】
以上説明したように、本実施の形態によれば、等価な動作を行う複数の０系処理装置２０および１系処理装置３０を備えた情報処理システム１０において、０系処理装置２０および１系処理装置３０のいずれにおいてもエラーが検出されないにもかかわらず、両者の入出力情報２４および入出力情報３４が一致しない状況が発生した場合に、０系処理装置２０および１系処理装置３０の各々に設けられた電源２２および電源３２の電圧変動を監視する電源監視装置２３および電源監視装置３３からの電源エラー信号２３ａおよび電源エラー信号３３ａを参照して、電源電圧変動エラーが検出された側を障害と見なして情報処理システム１０から切り離し、他方を用いて情報処理システム１０の稼働を継続することが可能となる。従って、情報処理システム１０の可用性が向上する。
【００６９】
なお、上述の説明では、電源２２および電源３２の電源電圧Ｖの変動を、電源監視装置２３および電源監視装置３３において、電圧変動検出閾値Ｖｔを用いて判定する場合を例示したが、これに限定されない。
【００７０】
たとえば、定格電圧Ｖ０とＣＰＵ動作可能電圧Ｖａの範囲で、電源２２と電源３２の各々の電源電圧Ｖの変動量を比較し、変動量が相対的に小さい方を正常と判定し、大きい方をエラーと判定する方法も用いることができる。
なお、本発明は、上述の実施の形態に例示した構成に限らず、その趣旨を逸脱しない範囲で種々変更可能であることは言うまでもない。
【００７１】
（付記１）
互いに等価な動作を行う複数の処理装置を含む情報処理システムの制御方法であって、
個々の前記処理装置ではエラーが検出されず、且つ複数の前記処理装置からの出力情報が一致しない場合に、電源電圧の変動量が相対的に大きい側の前記処理装置を前記情報処理システムから切り離すことを特徴とする情報処理システムの制御方法。
（付記２）
付記１記載の情報処理システムの制御方法において、
前記エラーは、前記処理装置の各々の内部エラーと、前記処理装置の各々に対する入出力データに関するＥＣＣチェックエラーまたはパリティチェックエラーを含むことを特徴とする情報処理システムの制御方法。
（付記３）
付記１記載の情報処理システムの制御方法において、
前記電源電圧の定格値と、前記処理装置が正常に動作可能な動作可能電圧との間に閾値を設定し、前記閾値を基準として前記電源電圧の変動量の大小を判定することを特徴とする情報処理システムの制御方法。
（付記４）
互いに等価な動作を行う複数の処理装置に電源電圧監視手段を設け、個々の前記処理装置ではエラーが検出されないが、個々の前記処理装置からの出力データが一致しない場合に、電源電圧の変動量が相対的に大きい側の前記処理装置に障害が発生したと見なすことを特徴とする情報処理システムの制御方法。
（付記５）
互いに等価な処理を行う複数の第１および第２処理装置を含む情報処理システムにおいて、前記第１および第２処理装置の各々の電源電圧の変動を閾値で検出し電圧監視信号として出力する電圧監視手段を設け、
前記第１および第２処理装置のいずれにおいても異常を検出していないにもかかわらず、前記第１および第２処理装置からの出力データが不一致の場合に、前記電圧監視手段からの前記第１および第２処理装置の各々の前記電圧監視信号を参照し、電源電圧が異常を示している前記第１または第２処理装置を切り離すことを特徴とする情報処理システムの制御方法。
（付記６）
複数の第１および第２処理装置に同じ情報処理を行わせ、動作状態が健全な第１または第２処理装置を使用する情報処理システムの制御方法であって、
前記第１および第２処理装置に関する電源電圧以外のエラーチェック項目が正常か否かを判別する第１工程と、
前記エラーチェック項目が正常な場合に、前記第１および第２処理装置の各々からの出力が一致するか否かを判別する第２工程と、
前記第２工程にて前記出力が不一致の場合に、前記第１および第２処理装置の各々の電源電圧の変動量に基づくエラー判定にて異常無しと判定された側の第１または第２処理装置を使用する第３工程と、
を含むことを特徴とする情報処理システムの制御方法。
（付記７）
付記６記載の情報処理システムの制御方法において、
前記第１工程における前記エラーチェック項目は、前記第１および第２処理装置の各々の内部エラーと、前記第１および第２処理装置の各々に対する入出力データに関するＥＣＣチェックエラーまたはパリティチェックエラーを含むことを特徴とする情報処理システムの制御方法。
（付記８）
付記６記載の情報処理システムの制御方法において、
前記第３工程における前記電源電圧の変動量に基づくエラー判定では、
前記電源電圧の定格値と、前記第１および第２処理装置が正常に動作可能な動作可能電圧との間に設定された閾値よりも前記電源電圧が低下した場合に、前記電源電圧の異常と判定することを特徴とする情報処理システムの制御方法。
（付記９）
複数の第１および第２処理装置と、
前記第１および第２処理装置の各々の電源電圧の変動を監視する電圧監視手段と、
前記第１および第２処理装置のいずれを使用するかを切り替える選択手段とを含み、
前記選択手段は、
前記第１および第２処理装置に関する電源電圧以外のエラーチェック項目が正常か否かを判別する第１判別手段と、
前記エラーチェック項目が正常な場合に、前記第１および第２処理装置の各々からの出力が一致するか否かを判別する第２判別手段と、
前記第２判別手段にて前記出力が不一致と判定された場合に、前記第１および第２処理装置の各々の電源電圧の変動量に基づくエラー判定にて異常無しと判定された側の第１または第２処理装置を選択する第３判別手段と、
を含むことを特徴とする情報処理システム。
（付記１０）
付記９記載の情報処理システムにおいて、
前記電圧監視手段は、前記電源電圧の定格値と、前記第１および第２処理装置が正常に動作可能な動作可能電圧との間に設定された閾値よりも前記電源電圧が低下した場合に、前記電源電圧の異常と判定することを特徴とする情報処理システム。
（付記１１）
付記９記載の情報処理システムにおいて、
前記第１判定手段が行う前記エラーチェック項目は、前記第１および第２処理装置の各々の内部エラーと、前記第１および第２処理装置の各々に対する入出力データに関するＥＣＣチェックエラーまたはパリティチェックエラーを含むことを特徴とする情報処理システム。
（付記１２）
複数の第１および第２処理装置と、前記第１および第２処理装置のいずれを使用するかを切り替える選択手段と、を含む情報処理システムの制御プログラムであって、
前記選択手段に、
前記第１および第２処理装置に関する電源電圧以外のエラーチェック項目が正常か否かを判別する第１工程と、
前記エラーチェック項目が正常な場合に、前記第１および第２処理装置の各々からの出力が一致するか否かを判別する第２工程と、
前記第２工程にて前記出力が不一致の場合に、前記第１および第２処理装置の各々の電源電圧の変動量に基づくエラー判定にて異常無しと判定された側の第１または第２処理装置を使用する第３工程と、
を実行させることを特徴とする情報処理システムの制御プログラム。
（付記１３）
付記１２記載の情報処理システムの制御プログラムにおいて、
前記第１工程における前記エラーチェック項目は、前記第１および第２処理装置の各々の内部エラーと、前記第１および第２処理装置の各々に対する入出力データに関するＥＣＣチェックエラーまたはパリティチェックエラーを含むことを特徴とする情報処理システムの制御プログラム。
（付記１４）
付記１２記載の情報処理システムの制御プログラムにおいて、
前記第３工程における前記電源電圧の変動量に基づくエラー判定では、
前記電源電圧の定格値と、前記第１および第２処理装置が正常に動作可能な動作可能電圧との間に設定された閾値よりも前記電源電圧が低下した場合に、前記電源電圧の異常と判定することを特徴とする情報処理システムの制御プログラム。
（付記１５）
情報処理システム内に冗長に設けられた複数の処理装置を監視し、障害の前記処理装置を前記情報処理システムから切り離す動作を行う冗長構成制御装置であって、
個々の前記処理装置ではエラーが検出されないが、個々の前記処理装置からの出力データが一致しない場合に、電源電圧の変動量が相対的に大きい側の前記処理装置に障害が発生したと判定する制御論理を備えたことを特徴とする冗長構成制御装置。
【図面の簡単な説明】
【００７２】
【図１】本発明の一実施の形態である情報処理システムの構成の一例を示すブロック図である。
【図２】本発明の一実施の形態である情報処理システムを構成する冗長構成制御回路の内部構成の一例を示すブロック図である。
【図３】本発明の一実施の形態である冗長構成制御回路における判定動作の一例を示す説明図である。
【図４】本発明の一実施の形態である冗長構成制御回路における電源電圧の判定動作の一例を示す線図である。
【図５】本発明の一実施の形態である冗長構成制御回路における判定動作の一例を示すフローチャートである。
【符号の説明】
【００７３】
１０  情報処理システム
２０  ０系処理装置
２１  中央処理装置
２２  電源
２３  電源監視装置
２３ａ  電源エラー信号
２４  入出力情報
２５  エラーチェックデータ
２６  内部エラー信号
３０  １系処理装置
３１  中央処理装置
３２  電源
３３  電源監視装置
３３ａ  電源エラー信号
３４  入出力情報
３５  エラーチェックデータ
３６  内部エラー信号
４０  冗長構成制御装置
４１  エラー検出／訂正回路
４１ａ  訂正不能エラー検出信号
４２  エラー検出／訂正回路
４２ａ  訂正不能エラー検出信号
４３  データ比較器
４３ａ  データ不一致検出信号
４４  論理積回路
４４ａ  ０系障害推定信号
４５  論理積回路
４５ａ  １系障害推定信号
４６  論理積回路
４６ａ  ０系データ有効信号
４７  論理積回路
４７ａ  １系データ有効信号
４８  論理積回路
４９  論理積回路
４９ａ  データ選択制御信号
５０  セレクタ
５１  入出力データ
６０  周辺システム
７０  制御プログラム
７１  チェック処理論理
７２  チェック処理論理
７３  比較論理
７４  選択論理
Ｖ  電源電圧
Ｖ０  定格電圧
Ｖａ  ＣＰＵ動作可能電圧
Ｖｔ  電圧変動検出閾値
【図１】
2006260259.tif 000003
【図２】
2006260259.tif 000004
【図３】
2006260259.tif 000005
【図４】
2006260259.tif 000006
【図５】
2006260259.tif 000007