JP2006172390A - フォルトトレラント・二重化コンピュータシステムとその制御方法 - Google Patents

Abstract

【課題】二重化運転を停止することなく障害情報を採取し、継続させる処理の正確性を高めることができるフォルトトレラント・二重化コンピュータシステムを提供する。
【解決手段】各システム１１０，１２０のＣＰＵ１１２，１２２、メモリ１１３，１２３、ＩＯプロセッサ１１４，１２４は、発生した障害が修復可能である場合、故障診断プロセッサ１１６，１２６に修復可能障害を通知し、発生した障害が修復不可能である場合、修復不可能障害を通知する。互いの同期ずれが確認された場合には、同期ずれを通知する。故障監視部１３０は、修復可能障害を受信した場合、該当するシステムの修復可能障害情報１３１を更新し、修復不可能障害を受信した場合、該当するシステムの修復不可能障害情報１３２を更新する。同期ずれを受信した場合には、障害情報の少ないシステムをアクティブ系、障害情報の多いシステムをスタンバイ系として、同期処理の指示を行う。
【選択図】図１

Description

本発明は、２つのシステムが互いの動作状況を監視しながら同期して二重化運転を行うフォルトトレラント・二重化コンピュータシステムに関する。

従来、２重化されたプロセッサを有するシステムにおいて、障害発生時には２重化動作を一旦停止させて、障害の状況に従って正常と思われるプロセッサの動作継続を行うコンピュータシステムがある（例えば、特許文献１参照）。

この処理の中断を抑止するためには、修復可能な障害情報の採取を実施せずに２重化システムの動作を継続することとなる。
特開平０６−２６６５７４号公報

しかしながら、従来は、修復可能な障害の障害情報を採取するために二重化運転を一旦停止していたため、処理が中断してしまうという問題があった。

また、処理の中断を抑止するために修復可能な障害情報の採取を実施しないと、アクティブ系、スタンバイ系の判断精度が低下してしまうという問題があった。

そこで本発明は、修復可能な障害であっても二重化運転を停止することなく障害情報を採取し、採取した障害情報を同期ずれが発生した場合のアクティブ系、スタンバイ系の判断材料に利用することにより、判断精度を高めることで継続させる処理の正確性を高めることができるフォルトトレラント・二重化コンピュータシステムとその制御方法を提供することを目的とする。

上述の課題を解決するため、本発明は、２つのシステムが互いの動作状況を監視しながら同期して二重化運転を行う二重化コンピュータシステムにおいて、各システムが、システム内のデータのやりとりや演算処理の過程で発生した障害修復処理を行い通知するデータ処理部と、システム内で発生した障害情報の通知を行い、そのシステムに対して指示された処理を行う故障診断プロセッサとを有し、前記二重化コンピュータシステムは、各システムから受信した障害情報の分類を行い、修復可能障害情報又は修復不可能障害情報として記録すると共に、その情報を元に障害修復処理を各システムに指示する故障監視部を備え、この故障監視部は、各システムから修復可能障害を受信した場合には、該当するシステムの修復可能障害情報を更新し、修復不可能障害を受信した場合には、該当するシステムの修復不可能障害情報を更新して、該当するシステムの診断指示を行い、同期ずれを受信した場合には、各システムの障害情報の比較を行い、障害情報の少ないシステムをアクティブ系、障害情報の多いシステムをスタンバイ系として、同期処理の指示を行うことを特徴とする。

以上の構成によって、二重化運転を行いながら各システムに対応して修復可能障害情報及び修復不可能障害情報を記録し、その記録された障害情報を、同期ずれが発生した場合のアクティブ系、スタンバイ系の判断材料に利用することができる。

本発明による第１の効果は、アクティブ系、スタンバイ系の判断精度を高めることで、継続させる処理の正確性を高めることができることである。修復可能な障害であっても障害情報を採取し、採取した障害情報を同期ずれが発生した場合のアクティブ系、スタンバイ系の判断材料に利用しているためである。

第２の効果は、同期ずれ発生時の処理の中断を最小限に抑えることができることである。二重化運転を停止することなく障害情報を採取できるためである。

次に、本発明の最良の形態について図面を参照して説明する。

図１は、本発明の一実施例を示した構成図である。システム１１０，１２０は、同期バス１４０を介して互いの動作状況を監視しあいながら、同期して二重化運転を行っている。システム１１０，１２０は、それぞれデータ処理部としてＣＰＵ１１２，１２２、メモリ１１３，１２３、ＩＯプロセッサ１１４，１２４、故障診断プロセッサ１１６，１２６を含んで構成される。

各ＣＰＵ１１２，１２２、メモリ１１３，１２３、ＩＯプロセッサ１１４，１２４は、データバス１１１，１２１を介してデータのやりとりを行うことで、演算処理を実現している。また、各ＣＰＵ１１２，１２２、メモリ１１３，１２３、ＩＯプロセッサ１１４，１２４は、データのやりとりや演算処理の過程で障害が発生した場合には、その障害が、ＥＣＣ(Error Correcting Code)等の付加データにより修復可能であるか否かを判断し、修復可能である場合には、診断バス１１５，１２５を通して故障診断プロセッサ１１６，１２６に修復可能障害の通知を行い、障害を修復して以後の処理を継続する。

発生した障害が修復不可能である場合には、診断バス１１５，１２５を通して故障診断プロセッサ１１６，１２６に修復不可能障害の通知を行い、以後の処理を停止し、故障診断プロセッサ１１６，１２６からの指示を待つ。また、各ＣＰＵ１１２，１２２、メモリ１１３，１２３、ＩＯプロセッサ１１４，１２４は、同期バス１４０上で互いの同期がずれたことが確認された場合には、診断バス１１５，１２５を通して故障診断プロセッサ１１６，１２６に同期ずれの通知を行う。

故障監視部１３０は、システム１１０とシステム１２０からそれぞれ受信した障害情報の分類を行い、各システムに対応した修復可能障害情報１３１及び修復不可能障害情報１３２として記録している。

図２は、故障診断プロセッサの内部構成を示す。故障診断プロセッサ１１６，１２６は、故障検出部２０１で診断バス１１５，１２５を通して、各ＣＰＵ１１２，１２２、メモリ１１３，１２３、ＩＯプロセッサ１１４，１２４からの修復可能障害、修復不可能障害、同期ずれの通知を受信する。

故障情報通信部２０２は、通信バス１４１，１４２を通して、修復可能障害の場合には通知のみ、修復不可能障害、同期ずれの場合には、通知及び以後の処理内容の問い合わせを故障監視部１３０に対して実施し、問い合わせた結果を故障対策部２０３に通知する。

故障対策部２０３は、故障監視部１３０への問い合わせ結果をもとに、システム１１０，１２０の修復不可能障害、同期ずれ発生後の処理の指示を、各ＣＰＵ１１２，１２２、メモリ１１３，１２３、ＩＯプロセッサ１１４，１２４に対して実施する。

次に図３に示すフローチャートを参照して、故障監視部の動作の概略を説明する。故障監視部１３０は、通信バス１４１，１４２を通してシステム１１０、１２０からの修復可能障害、修復不可能障害、同期ずれの通知を受信する（ステップ３０１）。

修復可能障害を受信した場合には、該当するシステムの修復可能障害情報１３１を更新する（ステップ３１０）。修復不可能障害を受信した場合には、該当するシステムの修復不可能障害情報１３２を更新し（ステップ３２０）、該当するシステムの診断指示を行う（ステップ３２１）。動作可能であると判断した場合には再度、同期処理の指示を（ステップ３２３）、該当するシステムに通知する（ステップ３２５）。動作不可能であると判断した場合には、該当するシステムの処理を停止し、システムの交換通知を行う（ステップ３２４）。また、同期ずれを受信した場合には、システム１１０とシステム１２０の障害情報の比較を行い、障害情報の少ないシステム１１０をアクティブ系、障害情報の多いシステム１２０をスタンバイ系として、同期処理の指示を行う（ステップ３３０）。システム１２０に対して、通信バス１４２を通してスタンバイ系としての同期処理の指示を通知する（ステップ３３１）。

次に、各傷害情報に対応した故障監視部の動作について説明する。まず、２つ同期して動作している一方のシステムで修復可能障害が発生した場合の動作に関して、図４を用いて説明する。

何らかの要因でシステム１２０のＩＯプロセッサ１２４で障害が発生したとする。ＩＯプロセッサ１２４は障害の内容を判断し、修復可能であるとの判断を行い、障害を修復して以後の処理を継続し、修復可能障害の発生を診断バス１２５を通して故障診断プロセッサ１２６に通知する。

故障診断プロセッサ１２６は、故障検出部２０１でＩＯプロセッサ１２４から修復可能障害の通知を受信し、故障情報通信部２０２は通信バス１４２を通して、修復可能障害の発生を故障監視部１３０に通知する。

故障監視部１３０は、通信バス１４２を通してシステム１２０からの修復可能障害の通知を受信する（ステップ３０１）。受信した通知が修復可能障害であるため、システム１２０の修復可能障害情報１３１を更新し（ステップ３１０）、処理を終了する。

次に、２つ同期して動作している一方のシステムで修復不可能障害が発生した場合の動作に関して、図５を用いて説明する。

何らかの要因でシステム１２０のＩＯプロセッサ１２４で障害が発生したとする。ＩＯプロセッサ１２４は障害の内容を判断し、修復不可能であるとの判断を行い、以後の処理を中止し、修復不可能障害の発生を診断バス１２５を通して故障診断プロセッサ１２６に通知する。

故障診断プロセッサ１２６は、故障検出部２０１でＩＯプロセッサ１２４から修復不可能障害の通知を受信し、故障情報通信部２０２は通信バス１４２を通して、修復不可能障害の発生と以後の処理内容の問い合わせを故障監視部１３０に通知する。

故障監視部１３０は、通信バス１４２を通してシステム１２０からの修復不可能障害の通知を受信する（ステップ３０１）。受信した通知が修復不可能障害であるため、システム１２０の修復不可能障害情報１３２を更新し（ステップ３２０）、システム１２０に対して診断指示を行う（ステップ３２１）。

故障診断プロセッサ１２６は、故障監視部１３０からの診断実施の指示を、通信バス１４２を通して故障情報通信部２０２で受信する。受信した診断実施の指示を故障対策部２０３で診断バス１２５を通して、修復不可能障害の発生を通知したＩＯプロセッサ１２４に伝える。

ＩＯプロセッサ１２４は、故障診断プロセッサ１２６からの診断実施の指示に従って、内部の診断を実施し、その結果を診断バス１２５を通して、故障診断プロセッサ１２６に伝える。

故障診断プロセッサ１２６は、受信したＩＯプロセッサ１２４からの診断結果を、通信バス１４２を通して、故障監視部１３０に通知する。

故障診断プロセッサ１２６は、受信した診断結果の判定を行い（ステップ３２２）、動作可能であると判断した場合には再度、同期処理の指示を（ステップ３２３）、システム１２０に通知する（ステップ３２５）。故障診断プロセッサ１２６により動作可能であると判断されたシステム１２０は、同期処理の指示を受信し、システム１１０との同期処理を開始し、二重化運転を再開する。動作不可能であると判断した場合には、システム１２０への通知は行わず、以後の処理を停止したままの状態にしておき、システム１２０の交換要求をディスプレイに表示する等により、システム管理者に通知する（ステップ３２４）。

次に、２つ同期して動作しているシステム間で同期ずれが発生した場合の動作に関して、図６を用いて説明する。

何らかの要因でシステム１１０とシステム１２０の間で同期ずれが発生したとする。システム１１０では、ＣＰＵ１１２が同期バス１４０を介してシステム１２０の動作状況を監視しており、同期ずれが発生したことを検出する。ＣＰＵ１１２は同期ずれを検出すると、システム１２０との同期ずれ検出処理を停止し、診断バス１１５を通して故障診断プロセッサ１１６に同期ずれの通知を行う。

故障診断プロセッサ１１６は、故障検出部２０１でＣＰＵ１１２から同期ずれの通知を受信し、故障情報通信部２０２は通信バス１４１を通して、同期ずれの発生と以後の処理内容の問い合わせを故障監視部１３０に通知する。

システム１２０では、ＣＰＵ１２２が同期バス１４０を介してシステム１１０の動作状況を監視しており、同期ずれが発生したことを検出する。ＣＰＵ１２２は同期ずれを検出すると、システム１１０との同期ずれ検出処理を停止し、診断バス１２５を通して故障診断プロセッサ１２６に同期ずれの通知を行う。

故障診断プロセッサ１２６は、故障検出部２０１でＣＰＵ１２２から同期ずれの通知を受信し、故障情報通信部２０２は通信バス１４２を通して、同期ずれの発生と以後の処理内容の問い合わせを故障監視部１３０に通知する。

故障監視部１３０は、通信バス１４１を通してシステム１１０からの同期ずれの通知を、通信バス１４２を通じてシステム１２０からの同期ずれの通知を受信する（ステップ３０１）。

受信した通知が同期ずれであるため（ステップ３０２）、システム１１０とシステム１２０の障害情報の比較を行い、障害情報の少ないシステム１１０をアクティブ系、障害情報の多いシステム１２０をスタンバイ系として、同期処理の指示を行う（ステップ３３０）。システム１２０に対して、通信バス１４２を通してスタンバイ系としての同期処理が通知される（ステップ３３１）。

故障診断プロセッサ１２６は、故障監視部１３０からのスタンバイ系としての同期処理を、通信バス１４２を通して故障情報通信部２０２で受信する。スタンバイ系としての同期処理を受け取った故障診断プロセッサ１２６は、システム１２０の処理を停止し、システム１１０との同期化処理を行い、システム１１０、システム１２０の二重化運転を再開する。

本発明は、例えば、インターネットショッピング等のユーザ情報を管理するための２４時間、３６５日処理を停止することができないデータサーバに適用される二重化コンピュータシステムに適用可能である。

本発明の一実施例を示した構成図である。 故障診断プロセッサの内部構成図である。 故障監視部の動作を説明するフローチャートである。 一方のシステムで修復可能障害が発生した場合の説明図である。 一方のシステムで修復不可能障害が発生した場合の説明図である。 システム間で同期ずれが発生した場合の説明図である。

符号の説明

１１０，１２０ システム
１１１，１２１ データバス
１１２，１２２ ＣＰＵ
１１３，１２３ メモリ
１１４，１２４ ＩＯプロセッサ
１１５，１２５ 診断バス
１１６，１２６ 故障診断プロセッサ
１３０ 故障監視部
１３１ 修復可能障害情報
１３２ 修復不可能障害情報
１４０ 同期バス
１４１，１４２ 通信バス

Claims (6)

1. ２つのシステムが互いの動作状況を監視しながら同期して二重化運転を行う二重化コンピュータシステムにおいて、
   各システムが、システム内のデータのやりとりや演算処理の過程で発生した障害修復処理を行い通知するデータ処理部と、
   システム内で発生した障害情報の通知を行い、そのシステムに対して指示された処理を行う故障診断プロセッサとを有し、
   前記二重化コンピュータシステムは、各システムから受信した障害情報の分類を行い、修復可能障害情報又は修復不可能障害情報として記録すると共に、その情報を元に障害修復処理を各システムに指示する故障監視部を備え、
   この故障監視部は、各システムから修復可能障害を受信した場合には、該当するシステムの修復可能障害情報を更新し、
   修復不可能障害を受信した場合には、該当するシステムの修復不可能障害情報を更新して、該当するシステムの診断指示を行い、
   同期ずれを受信した場合には、各システムの障害情報の比較を行い、障害情報の少ないシステムをアクティブ系、障害情報の多いシステムをスタンバイ系として、同期処理の指示を行うことを特徴とするフォルトトレラント・二重化コンピュータシステム。
2. 修復不可能障害を受信した場合の診断結果が、動作可能であると判断した場合には再度、同期処理の指示を、該当するシステムに通知することを特徴とする請求項１記載のフォルトトレラント・二重化コンピュータシステム。
3. 修復不可能障害を受信した場合の診断結果が、動作不可能であると判断した場合には、該当するシステムの処理を停止し、システムの交換通知を行うことを特徴とする請求項１記載のフォルトトレラント・二重化コンピュータシステム。
4. システム内のデータのやりとりや演算処理の過程で発生した障害修復処理を行い通知するデータ処理部を各システムに有する二重化コンピュータシステムが、各システムで互いの動作状況を監視しながら同期して二重化運転を行うフォルトトレラント制御方法であって、
   システム内で発生した障害情報の通知を行い、そのシステムに対して指示された処理を行う故障診断ステップと、
   各システムから受信した障害情報の分類を行い、修復可能障害情報又は修復不可能障害情報として記録すると共に、その情報を元に障害修復処理を各システムに指示する故障監視ステップとを含み、
   この故障監視ステップにおいて、各システムから修復可能障害を受信した場合には、該当するシステムの修復可能障害情報を更新し、
   修復不可能障害を受信した場合には、該当するシステムの修復不可能障害情報を更新して、該当するシステムの診断指示を行い、
   同期ずれを受信した場合には、各システムの障害情報の比較を行い、障害情報の少ないシステムをアクティブ系、障害情報の多いシステムをスタンバイ系として、同期処理の指示を行うことを特徴とする二重化コンピュータシステムのフォルトトレラント制御方法。
5. 修復不可能障害を受信した場合の診断結果が、動作可能であると判断した場合には再度、同期処理の指示を、該当するシステムに通知することを特徴とする請求項４記載の二重化コンピュータシステムのフォルトトレラント制御方法。
6. 修復不可能障害を受信した場合の診断結果が、動作不可能であると判断した場合には、該当するシステムの処理を停止し、システムの交換通知を行うことを特徴とする請求項４記載の二重化コンピュータシステムのフォルトトレラント制御方法。

Images