JP2003345679A - サーバシステム、仲介装置、及び、クライアントサーバ型システムにおける誤り隠蔽方法 - Google Patents

Abstract

(57)【要約】 【課題】 可用性が高く連続運転に適したサーバシステ
ム及び仲介装置並びに誤り隠蔽方法を提供する。 【解決手段】 クライアント５０とサーバ２０の間に仲
介装置３０を複数介在させ、該仲介装置３０が、クライ
アント５０からの処理要求をサーバに転送するとともに
サーバ２０から受信した前記処理要求に対する応答結果
のうち正当なものを要求元のクライアント５０に転送す
る一方、全ての仲介装置３０のうち常に一の仲介装置３
０のみがクライアント・サーバ間の処理要求及び応答結
果の転送を行う状態（ａｃｔｉｖｅ状態）となるように
前記転送処理を制御する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ＥＣサーバ・ＷＥ
Ｂサーバ・認証サーバ等のインターネットビジネス用シ
ステムや通信網のノードシステムなどのように長時間の
連続運転が求められるサーバシステムに関する。

【０００２】

【従来の技術】この種のサーバシステムは、クライアン
トに対して常にサービスを適切に提供する必要がある。
すなわち、サーバシステムの「誤り」を隠蔽し、「障害
（Ｆａｉｌｕｒｅ）」発生を防止する必要がある。ここ
で「障害」とはシステムの機能損失を意味する。「障
害」発生要因の具体例としては例えばハードウェアにお
けるバグや故障、ソフトウェアにおけるバグなどが挙げ
られる。そして、これら「障害」の原因を「フォール
ト」と呼ぶ。仮にシステムに「フォールト」が存在して
いても、そのことが直ちに「障害」を引き起こすとは限
らず潜在することもある。「フォールト」が原因で障害
が表面化することを「誤り（Ｅｒｒｏｒ）」という。そ
して、「誤り」が発生したシステムが正常な状態から逸
脱すると「障害」が発生する。なお、「誤り」はバグや
故障などの狭義の「フォールト」のみが原因ではなく、
例えば間欠故障やオペレータの設定ミスや操作ミスなど
も「誤り」の原因となる。

【０００３】この「誤り」を隠蔽することができる高信
頼性サーバシステムの一例として、出願人は特願２００
１−２５６５１１号「サーバシステム，仲介装置，クラ
イアントサーバ型システムにおける誤り隠蔽方法」を提
案した。この高信頼性サーバシステムの一例について図
２０を参照して説明する。なお、ここではクライアント
に対してＷｅｂサービスを提供するシステムについて例
示する。

【０００４】この高信頼性サーバシステム１０１０は、
図２０に示すように、クライアント１０４１の要求を受
け取り、該要求に対する応答を返す高信頼性サーバ１０
２０と、高信頼性サーバ１０２０とクライアント１０４
１との間に介在する仲介装置１０３０を備えている。

【０００５】高信頼性サーバ１０２０は、一つ以上のサ
ーバで構成されている。図２０の例では、高信頼性サー
バ１０２０は、三つのサーバ１０２１，１０２２，１０
２３で構成されている。各サーバは、正常に稼働してい
れば、同じ要求に対してそれぞれ同じ応答を返す。

【０００６】仲介装置１０３０は、ネットワーク１０５
０を介してクライアント１０４１からの要求を受け取り
後述する適切なタイミングで高信頼性サーバ１０２０へ
該要求を転送し、高信頼性サーバ１０２０からの応答の
正当性をチェックして正しい応答をクライアント１０４
１へ返す制御部１０３１と、高信頼性サーバ１０２０の
各サーバ１０２１，１０２２，１０２３の状態を管理す
るサーバ管理表１０３２とを備えている。制御部１０３
１は、サーバ管理表１０３２に対してどのサーバが正常
又は障害であるかを登録し、このサーバ管理表１０３２
を参照して、どのサーバにクライアント１０４１からの
要求を処理させるかを判断する。サーバ管理表１０３２
は、サーバを識別するためのサーバＩＤ，サーバのＩＰ
アドレス，サーバの稼働情報から構成される。

【０００７】クライアント１０４１は、Ｗｅｂブラウザ
を用いて、ネットワーク１０５０を経由して高信頼性サ
ーバ１０２０にＷｅｂページを要求する。

【０００８】次に、仲介装置１０３０の動作について説
明する。クライアント１０４１が高信頼性サーバシステ
ム１０１０へＷｅｂページ要求メッセージ１１１０を送
信すると、制御部１０３１はこの要求メッセ時１１１０
を受け取り、サーバ管理表１０３２を見て、正常なサー
バへ転送する。例えば、サーバ管理表１０３２において
サーバ１０２１，１０２２，１０２３が正常であれば、
制御部１０３１は要求メッセージ１１１０のコピー１１
１１，１１１２，１１１３を作り、それぞれをサーバ１
０２１，１０２２，１０２３へ転送する。

【０００９】サーバ１０２１は、要求メッセージ１１１
１を受け取り、応答１１２１を制御部１０３１へ返す。
同様に、サーバ１０２２は応答１１２２を、サーバ１０
２３は応答１１２３を制御部１０３１へ返す。制御部１
０３１は、応答１１２１，１１２２，１１２３で多数決
を行い、多数派の応答を正常と判断してクライアント１
０４１へ応答１１２０を返す。

【００１０】もし、多数決の結果、全部一致せずに不一
致の応答があった場合、その応答を返したサーバは障害
であると制御部１０３１は判断し、サーバ管理表１０３
２の稼働状態を情報を「正常」から「障害」へ変更す
る。以後、制御部１０３１は障害となったサーバへはク
ライアントからの要求を転送しない。

【００１１】

【発明が解決しようとする課題】上述のように、出願人
が提案した高信頼性サーバシステムでは、クライアント
からの要求を受け取った制御部は複数のサーバへ該要求
を転送し、該要求に対するサーバからの応答を受け取り
多数決を実行するという方式を採用している。これによ
り、あるサーバが仮に障害となり誤った応答を制御部へ
返したとしても、多数決によってその誤りを隠蔽するこ
とができる。しかしながら、制御部自体が障害となった
場合にはシステムダウンしてしまうという問題があっ
た。

【００１２】本発明は、上記事情に鑑みてなされたもの
であり、その目的とするところは、可用性が高く連続運
転に適したサーバシステム及び仲介装置並びに誤り隠蔽
方法を提供することにある。

【００１３】

【課題を解決するための手段】上記目的を達成するため
に、本願発明は、クライアントサーバ型システムにおい
て、クライアントとサーバの間に仲介装置を複数介在さ
せ、該仲介装置が、クライアントからの処理要求をサー
バに転送するとともにサーバから受信した前記処理要求
に対する応答結果のうち正当なものを要求元のクライア
ントに転送する一方、全ての仲介装置のうち常に一の仲
介装置のみがクライアント・サーバ間の処理要求及び応
答結果の転送を行う状態（ａｃｔｉｖｅ状態）となるよ
うに前記転送処理を制御することを特徴とする。

【００１４】本発明によれば、クライアント・サーバ間
の処理要求及び応答結果を転送している一の仲介装置が
障害となっても、他の正常な仲介装置によって前記転送
を継続できるので、システム全体のダウンを防ぎ、より
可用性の高いクライアントサーバ型システムを構築でき
る。

【００１５】

【発明の実施の形態】（第１の実施の形態）本発明の一
実施の形態にかかる高信頼性サーバシステムについて図
面を参照して説明する。図１は第１の実施の形態に係る
高信頼性サーバシステムの全体構成を説明するブロック
図である。なお、本実施の形態ではクライアントに対し
て認証サービスを提供するシステム、具体的にはサーバ
がＲＡＤＩＵＳサーバであるシステムについて例示す
る。

【００１６】この高信頼性サーバシステム１０は、図１
に示すように、クライアント５０からの処理要求に対し
て応答を返す高信頼性サーバ２０と、高信頼性サーバ２
０とクライアント５０との間に介在する複数の仲介装置
３０とを備えている。図１の例では、仲介装置３０とし
て２つの仲介装置３０ａ及び３０ｂを備えている。

【００１７】このシステムにおいて各装置間の通信プロ
トコル体系は不問である。本実施の形態ではＴＣＰ／Ｉ
Ｐプロトコルスイートを用いた。なお、ＴＣＰ／ＩＰプ
ロトコルスイートは、ＴＣＰ及びＩＰを狭義に表すもの
ではなく、ＵＤＰやＡＲＰなどを含む広義のプロトコル
体系を意味する。

【００１８】高信頼性サーバ２０は、一つ以上のサーバ
で構成される。図１の例では、高信頼性サーバ２０は、
三つのサーバ２１，２２，２３で構成されている。各サ
ーバは、正常に稼働していれば、同じ要求に対してそれ
ぞれ同じ応答を返す。ここで、各サーバ２１，２２，２
３は、コンピュータ上などで動作するソフトウェアで実
装しても良いし、ハードウェアで実装しても良い。すな
わち、高信頼性サーバ２０は、複数のハードウェアによ
って実現してもよいし、一台のハードウェア上に複数の
サーバを実装することによって実現してもよい。なお、
図１の例では、各サーバ２１，２２，２３に、それぞれ
１８０．１０．１．１、１８０．１０．１．２、１８
０．１０．１．３というＩＰアドレスが付されている。

【００１９】各仲介装置３０には互いに異なるＩＰアド
レス及びＭＡＣアドレスが付されている。図１の例で
は、仲介装置３０ａには、ＩＰアドレスとして１７５．
１０．１．１が、ＭＡＣアドレスとしてａａ：ａａ：ａ
ａ：ａａ：ａａ：０１が付されており、仲介装置３０ｂ
には、ＩＰアドレスとして１７５．１０．１．２が、Ｍ
ＡＣアドレスとしてａａ：ａａ：ａａ：ａａ：ａａ：０
２が付されている。

【００２０】各仲介装置３０は、ネットワーク４０を介
してクライアント５０からの要求を受け取り、高信頼性
サーバ２０へ転送し、高信頼性サーバ２０からの応答の
正当性をチェックして正しい応答をクライアント５０へ
返すサーバ制御部３１と、高信頼性サーバ２０の各サー
バ２１，２２，２３の状態を管理するサーバ管理表３２
と、仲介装置３０ａ，３０ｂの状態を管理する仲介装置
管理表３３と、仲介装置間で正常状態か障害状態かを確
認するとともに、サーバ管理表３２と仲介装置管理表３
３の情報をやりとりする仲介装置制御部３４とを備えて
いる。

【００２１】サーバ制御部３１は、サーバ管理表３２に
対してどのサーバが正常又は障害であるかを登録し、こ
のサーバ管理表３２を参照して、どのサーバにクライア
ント５０からの要求を処理させるかを判断する。

【００２２】図２にサーバ管理表３２の一例を示す。図
２に示すように、サーバ管理表３２は、各サーバを識別
するためのサーバＩＤ，サーバのＩＰアドレス，サーバ
の稼働状態情報から構成される。図２の例では各サーバ
の状態が正常である場合を示している。

【００２３】図３に仲介装置管理表３３の一例を示す。
図３に示すように、仲介装置管理表３３は、各仲介装置
を識別するための仲介装置ＩＤ，仲介装置のＩＰアドレ
ス，仲介装置の稼働状態情報から構成される。仲介装置
の稼働情報は、後述する三つの状態（ａｃｔｉｖｅ，ｂ
ａｃｋｕｐ，ｄｏｗｎ）を取り得る。図３の例では仲介
装置３０ａがａｃｔｉｖｅであり、仲介装置３０ｂがｂ
ａｃｋｕｐである状態を示している。

【００２４】仲介装置３０は、（１）システム内の複数
の仲介装置３０のうち一つだけがａｃｔｉｖｅ状態（ク
ライアント５０とサーバ２０に対して処理を行っている
状態）、（２）ｂａｃｋｕｐ状態（ａｃｔｉｖｅ状態の
仲介装置の障害に備えて待機している状態）、（３）ｄ
ｏｗｎ状態（障害などが原因でａｃｔｉｖｅ状態になる
ことができない状態）を取りうる。図１の例では、仲介
装置３０ａがａｃｔｉｖｅ状態であり、仲介装置３０ｂ
はｂａｃｋｕｐ状態である。

【００２５】仲介装置３０は、ａｃｔｉｖｅ状態のもの
だけがＶＩＡ（Ｖｉｒｔｕａｌ ＩＰ Ａｄｄｒｅｓ
ｓ：仮想ＩＰアドレス）を持っている。ＶＩＡは、仲介
装置３０が持っている通常のＩＰアドレスとは別に、別
名のＩＰアドレスをエイリアスすることで実現する。こ
のＶＩＰによってクライアント５０は、複数の装置で構
成される高信頼性サーバシステム１０を単一の装置であ
るかの如くみなすことができる。したがって、仲介装置
３０の状態が変動しても、クライアント５０では高信頼
性サーバシステム１０と通信するために改造や設定を変
更する必要がない。例えば、図１の例では、ａｃｔｉｖ
ｅ状態である仲介装置３０が１７５．１０．１．１００
のＶＩＰを持っているが、これはクライアント５０にと
っては図４のように１７５．１０．１．１００というＩ
Ｐアドレスを持った仮想的に単一のＲＡＤＩＵＳサーバ
のように見える。

【００２６】仲介装置制御部３４は、ａｃｔｉｖｅ状態
の場合、一定周期毎にサーバ管理表３２と仲介装置管理
表３３の内容を他の仲介装置３０の仲介装置制御部３４
へ送信する。一方、仲介装置制御部３４は、ｂａｃｋｕ
ｐ状態の場合、他の仲介装置制御部３４からの前記メッ
セージを受け取ったら、その内容をそれぞれサーバ管理
表３２と仲介装置管理表３３へ反映する。これにより、
各仲介装置３０のサーバ管理表３２及び仲介装置管理表
３３の同期を図っている。ｂａｃｋｕｐ状態の仲介装置
制御部３４は、一定時間待っても他の仲介装置制御部３
４からメッセージを受け取れなかった場合、当該仲介装
置３０が障害になったと判断し、自身のサーバ制御部３
１を起動して仲介装置３０をａｃｔｉｖｅ状態とする。

【００２７】仲介装置３０がａｃｔｉｖｅ状態になる時
に、サーバ管理表３２に蓄積されているサーバの稼働状
態情報と実際のサーバの稼働情報が不一致となる場合が
ある。この状態を修正するために、仲介装置制御部３４
は、サーバ制御部３１を起動する前にサーバ２１，２
２，２３に稼働状態を問い合わせるメッセージを送信
し、それぞれの応答から「正常」又は「障害」を判定
し、サーバ管理表３２を修正する。

【００２８】また、仲介装置３０は、ａｃｔｉｖｅ状態
になる時に、仲介装置管理表３３も修正する。例えば、
仲介装置３０ａが障害となって仲介装置３０ｂがａｃｔ
ｉｖｅ状態になる場合は、仲介装置３０ｂをａｃｔｉｖ
ｅ，仲介装置３０ａをｄｏｗｎと変更する。

【００２９】さらに、仲介装置３０は、ａｃｔｉｖｅ状
態になる時に、ＶＩＰに関する情報を修正する。つま
り、仲介装置制御部３４は、自身の仲介装置３０に１７
５．１０．１．１００のＶＩＰをエイリアスすると同時
に、自身の仲介装置３０が所属しているネットワークに
Ｇｒａｔｕｉｔｏｕｓ ＡＲＰ（ＲＦＣ２００２参照）
をブロードキャストすることにより、該ネットワークに
接続されている機器におけるＡＲＰテーブル中のＶＩＰ
のＭＡＣアドレスを、新しくａｃｔｉｖｅ状態になった
仲介装置３０のＭＡＣアドレスに更新する。例えば、仲
介装置３０ａがａｃｔｉｖｅ状態、仲介装置３０ｂがｂ
ａｃｋｕｐ状態の場合で、仲介装置３０ａが障害になっ
て仲介装置３０ｂがａｃｔｉｖｅ状態になる場合、各通
信機器のＡＲＰテーブルのＶＩＰに対するＭＡＣアドレ
スの情報をａａ：ａａ：ａａ：ａａ：ａａ：０１からａ
ａ：ａａ：ａａ：ａａ：ａａ：０２へ変更する。これ
は、各通信機器のＡＲＰテーブルのＶＩＰの情報が古い
ために、新しくａｃｔｉｖｅ状態になった仲介装置３０
ｂと通信できない状態を防ぐためである。

【００３０】仲介装置３０は、コンピュータ上のソフト
ウェアで実装しても良いし、ハードウェアで実装しても
よい。本実施の形態では、仲介装置３０ａ，３０ｂをそ
れぞれ異なるハードウェア上に構築した。

【００３１】クライアント５０は、ネットワーク４０を
経由して高信頼性サーバシステム１０に認証サービスあ
るいはアカウンティングサービスなどを要求する。

【００３２】次に、仲介装置３０の動作について図５乃
至図８を参照して説明する。まず、ａｃｔｉｖｅ状態に
おける仲介装置３０の、クライアント・サーバ間の処理
要求及び応答結果の転送処理について説明する。ここで
は、図１〜図３で例示しているように、各サーバ２１，
２２，２３が正常であり、且つ、仲介装置３０ａがａｃ
ｔｉｖｅ状態、仲介装置３０ｂがｂａｃｋｕｐ状態であ
る場合について説明する。図５は、ａｃｔｉｖｅ状態に
おける仲介装置の動作を説明するフローチャート、図６
クライアントからの処理要求の流れを説明する図、図７
はサーバからの応答結果の流れを説明する図である。

【００３３】サーバ制御部３１は、クライアント５０か
らの要求を受信したかどうかを確認し（ステップＳＡ
１）、要求がなかった場合には再び要求受信をチェック
する。クライアント５０から要求があった場合、サーバ
管理表３２で稼働状態が「正常」になっているサーバへ
クライアント５０からの処理要求を転送する（ステップ
ＳＡ２）。以上の処理によるクライアント５０からの処
理要求の流れを図６の太線矢印で示した。

【００３４】次に、タイマを設定して各サーバからの応
答をチェックする（ステップＳＡ３）。タイムアウトで
ない場合、何れかのサーバからの応答を受信したかどう
かをチェックする（ステップＳＡ４）。何れのサーバか
らも応答を受信していない場合、再びタイムアウトのチ
ェックを行う（ステップＳＡ３）。何れかのサーバから
の応答を受信した場合、要求を送信した各サーバの全て
からの応答を受信したかどうかをチェックする（ステッ
プＳＡ５）。全ての応答が揃ってない場合、再びタイム
アウトのチェックを行う（ステップＳＡ３）。

【００３５】全ての応答が揃った場合、障害になったサ
ーバがあるかどうかをチェックする（ステップＳＡ
６）。障害になったサーバがあるかどうかを判断する方
法としては、例えば、複数の応答で多数決を行う方法
や、応答に含まれるデータの正当性をチェックする方法
などが挙げられる。後者のデータ正当性のチェックと方
法しては、例えば、（１）有り得ないコードが含まれて
いる場合には障害と判断する、（２）あるはずのコード
が含まれていない場合には障害と判断する、などが挙げ
られる。障害になったサーバがある場合、サーバ管理表
３２に、該当するサーバの稼働状態を「障害」と登録す
る（ステップＳＡ７）。

【００３６】その後に、正常な応答をクライアント５０
へ送信する（ステップＳＡ８）。以上の処理による全て
のサーバ２１，２２，２３から応答された応答結果の流
れを図７に示した。また、例としてサーバ２３が障害と
なった場合のサーバ管理表３２を図８に示す。

【００３７】前記ステップＳＡ６において障害になった
サーバがない場合、正常な応答をクライアント５０へ送
信する（ステップＳＡ８）。

【００３８】また、前記ステップＳＡ３においてタイム
アウトになった場合、すなわち応答を返さないサーバが
存在する場合、当該サーバは障害であると判断し、サー
バ管理表３２に、該当するサーバの稼働情報を「障害」
と登録し（ステップＳＡ９）、正常な応答をクライアン
ト５０へ送信する（ステップＳＡ８）。

【００３９】応答をクライアント５０へ送信した（ステ
ップＳＡ８）後は、再びクライアント５０からの要求を
チェックする（ステップＳＡ１）。

【００４０】以上の処理により、高信頼性サーバ２０を
構成する各サーバ２１，２２，２３のうち「障害」とな
ったサーバへは、クライアント５０からの要求は転送さ
れず、高信頼性サーバシステム１０から切り離されたこ
とになる。

【００４１】次に、ａｃｔｉｖｅ状態における仲介装置
３０の、仲介装置管理処理について図９を参照して説明
する。

【００４２】ａｃｔｉｖｅ状態である仲介装置制御部３
４は、一定期間スリープした後（ステップＳＢ１）、他
の仲介装置制御部３４からの組み込み要求（後述するス
テップＳＤ３）があるかどうかをチェックする（ステッ
プＳＢ２）。なお、「組み込み」とは、本高信頼性サー
バシステム１０を構成する装置となるための処理を意味
し、例えば電源投入時などに実施される処理である。

【００４３】他の仲介装置制御部３４からの組み込み要
求があった場合、その仲介装置３０の情報（ＩＰアドレ
スなど）を仲介装置管理表３３へ記憶し（ステップＳＢ
９）、その仲介装置制御部３４へ応答を返す（ステップ
ＳＢ１０）。

【００４４】組み込み要求がない場合、ｂａｃｋｕｐの
仲介装置３０があるかどうかを仲介装置管理表３３を参
照してチェックする（ステップＳＢ３）。ｂａｃｋｕｐ
の仲介装置３０がある場合、サーバ管理表３２と仲介装
置管理表３３の内容をｂａｃｋｕｐ状態の仲介装置制御
部３４へ送信する（ステップＳＢ４）。その後、ｂａｃ
ｋｕｐ状態の仲介装置制御部３４からの応答を確認する
ためにタイマを設定し（ステップＳＢ５）、タイムアウ
トをチェックする（ステップＳＢ６）。

【００４５】タイムアウトせずにｂａｃｋｕｐ状態の仲
介装置３０からの応答がない場合（ステップＳＢ７）、
再びタイムアウトのチェックを行う（ステップＳＢ
６）。タイムアウトせずに、ｂａｃｋｕｐ状態の仲介装
置３０からの応答（後述するステップＳＣ５）を受信し
た場合（ステップＳＢ７）、再びスリープする（ステッ
プＳＢ１）。タイムアウトした場合、当該ｂａｃｋｕｐ
状態の仲介装置３０に障害が生じた判断し、該仲介装置
３０について仲介装置管理表３３の情報をｂａｃｋｕｐ
からｄｏｗｎに変更し（ステップＳＢ８）、再びスリー
プする（ステップＳＢ１）。

【００４６】上記ステップＳＢ３において、ｂａｃｋｕ
ｐ装置がない場合（例えば、全てｄｏｗｎしている場合
など）、再びスリープする（ステップＳＢ１）。

【００４７】次に、ｂａｃｋｕｐ状態における仲介装置
３０の動作について図１０を参照して説明する。

【００４８】ｂａｃｋｕｐ状態の仲介装置制御部３４
は、前記ステップＳＢ４におけるａｃｔｉｖｅ状態の仲
介装置制御部３４からのデータ受信を確認するためにタ
イマを設定し（ステップＳＣ１）、タイムアウトしたか
どうかをチェックする（ステップＳＣ２）。タイムアウ
トせず、かつ、ａｃｔｉｖｅ状態の仲介装置３０からの
パケットを受信していない場合（ステップＳＣ３）、再
びタイムアウトのチェックを行う（ステップＳＣ２）。

【００４９】前記ステップＳＣ２においてタイムアウト
せず、かつ、ａｃｔｉｖｅ状態の仲介装置３０からのパ
ケットを受信した場合（ステップＳＣ３）、サーバ管理
表３２と仲介装置管理表３３へ該パケットの内容を記録
し（ステップＳＣ４）、記録が完了したことを通知する
ためにａｃｔｉｖｅ状態の仲介装置３０へ応答を返す
（ステップＳＣ５）。その後、再びタイマを設定し（ス
テップＳＣ１）、タイムアウトのチェックを行う（ステ
ップＳＣ２）。

【００５０】前記ステップＳＣ２においてタイムアウト
した場合、ａｃｔｉｖｅ状態であった仲介装置３０に障
害が生じた判断し、以後、自身の仲介装置３０がａｃｔ
ｉｖｅ状態になるための処理を行う（ステップＳＣ６〜
ＳＣ１０）。具体的には、仲介装置制御部３４は、全て
のサーバ２１，２２，２３の稼働状態を調査し、サーバ
管理表３２の内容を修正する（ステップＳＣ６）。次
に、仲介装置管理表３３において、ａｃｔｉｖｅ状態だ
った仲介装置３０ａはｄｏｗｎ、ｂａｃｋｕｐ状態だっ
た自身の仲介装置３０ｂはａｃｔｉｖｅと変更する（ス
テップＳＣ７）。次に、自身のサーバ制御部３１を起動
し、サーバ制御部３１は図５を参照して説明した動作を
開始する（ステップＳＣ８）。次に、仲介装置制御部３
４は、自身の仲介装置３０に１７５．１０．１．１００
のＶＩＰをエイリアスし（ステップＳＣ９）、Ｇｒａｔ
ｕｉｔｏｕｓ ＡＲＰをブロードキャストして他の通信
装置のＡＲＰテーブルを更新する（ステップＣ１０）。
以後、図９を参照して前述したａｃｔｉｖｅ状態の仲介
装置３０として動作する。

【００５１】ａｃｔｉｖｅ状態であった仲介装置３０ａ
が障害となってシステムダウンし、代わりにｂａｃｋｕ
ｐ状態であった仲介装置３０ｂがａｃｔｉｖｅ状態にな
った様子を図１１に示す。また、その時の仲介装置３０
ｂの仲介装置管理表３３ｂの内容を図１２に示す。

【００５２】次に、仲介装置３０を高信頼性サーバシス
テム１０へ組み込む場合の仲介装置制御部の動作につい
て図１３を参照して説明する。

【００５３】仲介装置３０の組み込み処理は、例えば、
電源が投入された後に手段でコマンドを投入することに
よって行われるほか、電源投入時に自動的に組み込み処
理が実行される。例えば、仲介装置３０のＯＳとしてＵ
ＮＩＸ（登録商標）系マシンを利用している場合であれ
ば、／ｅｔｃ／ｉｎｉｔ．ｄの下にｓｈｅｌｌ ｓｃｒ
ｉｐｔを設定しておいて、電源が入ると同時に自動で起
動するようにしてもよい。

【００５４】まず、仲介装置制御部３４は、組込要求に
対する応答を確認するためにタイマを設定し（ステップ
ＳＤ１）、タイムアウトかどうかをチェックする（ステ
ップＳＤ２）。

【００５５】タイムアウトでない場合、ａｃｔｉｖｅ状
態の仲介装置３０へ組み込み要求を送信する（ステップ
ＳＤ３）。ここで、ａｃｔｉｖｅ状態の仲介装置３０は
ＶＩＰで通信可能なため、仲介装置制御部３４はＶＩＰ
宛てに送信すればよい。ａｃｔｉｖｅ状態の仲介装置３
０から応答が返ってきた場合（ステップＳＤ４）、自身
の仲介装置３０はｂａｃｋｕｐ状態になるために、以
後、仲介装置制御部３４は図１０を参照して説明した動
作（ｂａｃｋｕｐ状態時の仲介装置制御部３４の動作）
を行う。ａｃｔｉｖｅ状態の仲介装置３０から応答が返
ってこない場合（ステップＳＤ４）、再びタイムアウト
のチェックを行う（ステップＳＤ２）。

【００５６】前記ステップＳＤ２においてタイムアウト
した場合、ａｃｔｉｖｅ状態の仲介装置３０は存在しな
いと判断し、以後、自身の仲介装置３０がａｃｔｉｖｅ
状態となるための処理を行う（ステップＳＤ５〜ＳＤ１
０）。具体的には、全てのサーバ２１，２２，２３の稼
働状態を調査し、サーバ管理表３２を作成する（ステッ
プＳＤ５）。次に、仲介装置管理表３３を作成する（ス
テップＳＤ６）。ここでは自身の仲介装置３０しか存在
しないため、自身の仲介装置３０の項目をａｃｔｉｖｅ
とする。次に、サーバ制御部３１を起動する（ステップ
ＳＤ７）。以後、サーバ制御部３１は図５を参照して説
明した処理を行う。次に、仲介装置制御部３４は、ＶＩ
Ｐ（１７５．１０．１．１００）をエイリアスし（ステ
ップＳＤ８）、Ｇｒａｔｕｉｔｏｕｓ ＡＲＰをブロー
ドキャストして各通信機器のＡＲＰテーブルを更新する
（ステップＳＤ９）。

【００５７】（第２の実施の形態）本発明の第２の実施
の形態に係る高信頼性サーバシステムについて図面を参
照して説明する。図１４は第２の実施の形態に係る高信
頼性サーバシステムの全体構成を説明するブロック図で
ある。

【００５８】本実施の形態が第１の実施の形態と異なる
点は、３つの仲介装置３０を備えている点にある。これ
に伴い、仲介装置３０の動作が異なる。以下に相違点に
ついて説明する。

【００５９】図１４に示すように、この高信頼性サーバ
システム１０は、３つの仲介装置３０を備えている。図
１４の例では、仲介装置３０ａがａｃｔｉｖｅ状態であ
り、仲介装置３０ｂ，３０ｃがｂａｃｋｕｐ状態であ
る。

【００６０】ｂａｃｋｕｐ状態の仲介装置３０は、ａｃ
ｔｉｖｅ状態の仲介装置３０が障害になった場合に、ｂ
ａｃｋｕｐからａｃｔｉｖｅになる装置に優先度が決め
られている。図１４の例では、仲介装置３０ｂが優先度
１（最も優先度が高い）、仲介装置３０ｃが優先度２で
あり、それぞれｂａｃｋｕｐ（１）のように数字を付け
ることで優先度を識別する。したがって、図１４の例の
場合には、各仲介装置３０の仲介装置管理表３３は図１
５に示すようになる。

【００６１】図１６に、ａｃｔｉｖｅ状態における仲介
装置制御部３４の処理フローを示す。図において図９を
参照して説明した第１の実施の形態と同じステップには
同じ符号で示し、その説明は省略する。

【００６２】本実施の形態では、図９におけるステップ
ＳＢ４と対応するステップＳＢＢ４では、「全ての」ｂ
ａｃｋｕｐ状態の仲介装置３０へサーバ管理表３２と仲
介装置管理表３３の内容を送信する（ステップＳＢＢ
４）。

【００６３】また、ステップＳＢＢ１１では、全てのｂ
ａｃｋｕｐ状態の仲介装置３０から応答を受信したかど
うかをチェックする。さらに、ステップＳＢＢ８では、
応答が来なかったｂａｃｋｕｐ状態の仲介装置３０の全
てをｄｏｗｎに変更する。その後、ステップＳＢＢ１２
では、正常なｂａｃｋｕｐ状態の仲介装置３０の優先度
を繰り上げるように変更する。例えば、仲介装置３０ｂ
がｄｏｗｎしたが仲介装置３０ｃは正常である場合、図
１７に示すように仲介装置３０ｂの状態はｄｏｗｎに変
更され、仲介装置３０ｃの状態はｂａｃｋｕｐ（１）
（優先度１のｂａｃｋｕｐ状態）に変更される。

【００６４】図１８に、ｂａｃｋｕｐ状態の仲介装置制
御部３４の処理フローを示す。図１０と同じステップは
同じ符号で示してある。図において、図１０を参照して
説明した第１の実施の形態と同じステップには同じ符号
で示し、その説明は省略する。

【００６５】本実施の形態では、ステップＳＣ２におい
てタイムアウトした場合、自身がｂａｃｋｕｐ（１）か
どうかをチェックする（ステップＳＣＣ１１）。ｂａｃ
ｋｕｐ（１）でない場合（ステップＳＣＣ１１）、仲介
装置管理表３３のｂａｃｋｕｐ状態の優先度を一つずつ
上げ、ｂａｃｋｕｐ（１）はａｃｔｉｖｅに変更する
（ステップＳＣＣ１２）。自身がｂａｃｋｕｐ（１）の
場合、全てのサーバの稼働状態を調査し、サーバ管理表
３２を修正する（ステップＳＣ６）。次に、仲介装置管
理表３３の内容を変更する、つまり、自分自身（ｂａｃ
ｋｕｐ（１））をａｃｔｉｖｅにし、それ以外のｂａｃ
ｋｕｐの優先度を一つずつ繰り上げる（ステップＳＣＣ
７）。図１９に、図１４及び図１５の状態で仲介装置３
０ｂに障害が生じた場合の仲介装置管理表３３の例を示
す。

【００６６】以上詳述したように、本発明に係る高信頼
性サーバシステム１０によれば、高信頼性サーバ２０と
クライアント５０との間で処理要求及び応答結果の転送
を行う仲介装置３０を複数備えており、しかも転送処理
を実施している仲介装置３０に障害が生じた場合でも他
の仲介装置３０により転送処理が継続される。すなわ
ち、可用性の高いシステムとなる。

【００６７】なお、上記実施の形態は例示的なものであ
り、本発明はこれに限定されるものではない。本発明の
範囲は特許請求の範囲によって示されており、この特許
請求の範囲の意味に入る全ての変形例は本発明に含まれ
るものである。

【００６８】例えば、各サーバは同じ応答を返すならば
同じ実装である必要はない。すなわち、バージョン，仕
様，プログラム言語，コンパイラの種類，コンパイラオ
プション，ハードウェアかソフトウェアか、などが異な
っていても良い。さらに、サーバは一つの部品で構成さ
れていても複数の部品で構成されていてもよい。

【００６９】また、上記実施の形態では、サーバ制御
部，サーバ管理表，仲介装置制御部を一つの仲介装置に
実装し、サーバは別の装置で実装しているが、高信頼性
サーバシステムの各構成要素の実装上の物理的位置関係
は任意である。すなわち、例えば、各構成要素を一つの
コンピュータ上に実装しても良いし、異なるコンピュー
タ上に実装しても良い。また、一部を同一のコンピュー
タに実装しても良い。

【００７０】さらに、上記実施の形態では、クライアン
トが一つの場合を想定しているが、クライアントが複数
であってもよい。その場合、上記実施の形態では、仲介
装置が一のクライアントの処理（図５のフローチャー
ト）を実行中に他のクライアントからの要求があった場
合、一のクライアントの処理が終了するまで他のクライ
アントの処理が待たされることになる（なぜならば、図
５のステップＳＡ１で新しい要求の処理を開始するた
め）。これを避けるために、複数のプロセスやスレッド
を起動し、それぞれのクライアントに対して図５の処理
を並列に動作させるように実装してもよい。

【００７１】さらに、上記実施の形態では仲介装置３０
が２又は３備えたシステムについて説明したが、４つ以
上の仲介装置３０備えていても良い。

【００７２】さらに、上記実施の形態ではａｃｔｉｖｅ
状態の仲介装置３０にＶＩＰを付すことにより、障害が
生じてｂａｃｋｕｐ状態の仲介装置３０に転送処理が移
行しても、クライアント５０からは同じアドレスでアク
セスできるようにしている。また、転送処理の移行の際
にはａｃｔｉｖｅ状態になった仲介装置３０からＧｒａ
ｔｕｉｔｏｕｓ ＡＲＰを発することにより、移行処理
を迅速且つ円滑に行っていた。これらの処理はプロトコ
ル体系としてＴＣＰ／ＩＰプロトコルスイートを用いた
のものであるが、他のプロトコル体系であっても同等の
機能を有していれば本発明を実施できる。

【００７３】

【発明の効果】以上詳述したように、本発明によれば、
仲介装置を冗長化することによって、より信頼性が向上
するという効果が得られる。

【図面の簡単な説明】

【図１】第１の実施の形態に係る高信頼性サーバシステ
ムの全体構成を説明するブロック図

【図２】サーバ管理表の一例を説明する図

【図３】仲介装置管理表の一例を説明する図

【図４】クライアントから高信頼性サーバシステムがど
のように見えるかを説明する図

【図５】ａｃｔｉｖｅ状態における仲介装置の動作を説
明するフローチャート

【図６】クライアントからの処理要求の流れを説明する
図

【図７】サーバからの応答結果の流れを説明する図

【図８】サーバに障害が生じた場合のサーバ管理表の一
例を説明する図

【図９】ａｃｔｉｖｅ状態における仲介装置の動作を説
明するフローチャート

【図１０】ｂａｃｋｕｐ状態における仲介装置の動作を
説明するフローチャート

【図１１】ａｃｔｉｖｅ状態の仲介装置に障害が生じた
場合の高信頼性サーバシステムのブロック図

【図１２】ａｃｔｉｖｅ状態の仲介装置に障害が生じた
場合の仲介装置管理表の一例を示す図

【図１３】仲介装置の組み込み処理を説明するフローチ
ャート

【図１４】第２の実施の形態に係る高信頼性サーバシス
テムの全体構成を説明するブロック図

【図１５】仲介装置管理表の一例を説明する図

【図１６】ａｃｔｉｖｅ状態における仲介装置の動作を
説明するフローチャート

【図１７】ｂａｃｋｕｐ状態の仲介装置に障害が生じた
場合の仲介装置管理表の一例を説明する図

【図１８】ｂａｃｋｕｐ状態における仲介装置の動作を
説明するフローチャート

【図１９】ａｃｔｉｖｅ状態の仲介装置に障害が生じた
場合の仲介装置管理表の一例を説明する図

【図２０】従来の高信頼性サーバシステムの全体構成を
説明するブロック図

【符号の説明】

１０…高信頼性サーバシステム、２０…高信頼性サー
バ、２１，２２，２３…サーバ、３０…仲介装置、３１
…サーバ制御部、３２…サーバ管理表、３３…仲介装置
管理表、３４…仲介装置制御部、４０…ネットワーク、
５０…クライアント

Claims (11)

【特許請求の範囲】
1. 【請求項１】 クライアントサーバ型システムにおける
   サーバ側のシステムにおいて、 クライアントからの処理要求をサーバに転送するととも
   にサーバから受信した前記処理要求に対する応答結果の
   うち正当なものを要求元のクライアントに転送する転送
   手段を備えた仲介装置を複数設けるとともに、 前記仲介装置は、全ての仲介装置のうち常に一の仲介装
   置のみがクライアント・サーバ間の処理要求及び応答結
   果の転送を行う状態（ａｃｔｉｖｅ状態）となるように
   前記転送手段の動作を制御する制御手段を備えたことを
   特徴とするサーバシステム。
2. 【請求項２】 前記仲介装置は、他の仲介装置の障害を
   検出する障害検出手段を備えたことを特徴とする請求項
   １記載のサーバシステム。
3. 【請求項３】 前記仲介装置の制御手段は、自仲介装置
   がａｃｔｉｖｅ状態の場合は、前記障害検出手段により
   障害が検出された他の仲介装置をシステムから切り離す
   ことを特徴とする請求項２記載のサーバシステム。
4. 【請求項４】 前記仲介装置の制御手段は、自仲介装置
   の転送手段がクライアント・サーバ間の処理要求及び転
   送結果の転送を行うように動作していない状態（ｂａｃ
   ｋｕｐ状態）であり、且つ、前記障害検出手段がａｃｔ
   ｉｖｅ状態の仲介装置の障害を検出した場合は、自仲介
   装置がａｃｔｉｖｅ状態となるように転送手段を制御す
   ることを特徴とする請求項２又は３何れか１項記載のサ
   ーバシステム。
5. 【請求項５】 ｂａｃｋｕｐ状態の仲介装置には各々優
   先度が定められており、ｂａｃｋｕｐ状態の仲介装置の
   制御手段は、前記障害検出手段がａｃｔｉｖｅ状態の仲
   介装置の障害を検出した場合は、ｂａｃｋｕｐ状態の各
   仲介装置の優先度のうち自仲介装置の優先度が最も高い
   ときには自仲介装置がａｃｔｉｖｅ状態となるように転
   送手段を制御し、自仲介装置の優先度よりも高い優先度
   の仲介装置があるときには自仲介装置の優先度を繰り上
   げることを特徴とする請求項２乃至４何れか１項記載の
   サーバシステム。
6. 【請求項６】 ａｃｔｉｖｅ状態の仲介装置にのみ仮想
   アドレスを付したことを特徴とする請求項１乃至５何れ
   か１項記載のサーバシステム。
7. 【請求項７】 クライアント・サーバ・仲介装置間の通
   信としてＴＣＰ／ＩＰプロトコルスイートを用い、ａｃ
   ｔｉｖｅ状態の仲介装置にのみネットワーク層における
   仮想ＩＰアドレスを付したことを特徴とする請求項６記
   載のサーバシステム。
8. 【請求項８】 ｂａｃｋｕｐ状態からａｃｔｉｖｅ状態
   となった仲介装置は、前記仮想アドレスと仲介装置を一
   意に特定可能なアドレスとの対応関係の更新を指示する
   パケットをネットワークに送出することを特徴とする請
   求項６又は７何れか１項記載のサーバシステム。
9. 【請求項９】 クライアント・サーバ・仲介装置間の通
   信としてＴＣＰ／ＩＰプロトコルスイートを用い、仮想
   ＩＰアドレスとＭＡＣアドレスとの対応関係を更新する
   Ｇｒａｔｕｉｔｏｕｓ ＡＲＰをブロードキャストする
   ことを特徴とする請求項８記載のサーバシステム。
10. 【請求項１０】 クライアントサーバ型システムにおけ
    るサーバ側のシステムにおいてクライアントとサーバの
    間に介在する仲介装置であって、 クライアントからの処理要求をサーバに転送するととも
    にサーバから受信した前記処理要求に対する応答結果の
    うち正当なものを要求元のクライアントに転送する転送
    手段と、 クライアント・サーバ間に介在する複数の仲介装置のう
    ち常に一の仲介装置のみがクライアント・サーバ間の処
    理要求及び応答結果の転送を行う状態（ａｃｔｉｖｅ状
    態）となるように前記転送手段の動作を制御する制御手
    段とを備えたことを特徴とする仲介装置。
11. 【請求項１１】 クライアントサーバ型システムにおい
    てサーバで発生した誤りをクライアントに対して隠蔽す
    る方法において、 クライアントとサーバの間に、クライアントからの処理
    要求をサーバに転送するとともにサーバから受信した前
    記処理要求に対する応答結果のうち正当なものを要求元
    のクライアントに転送する転送手段を有する仲介装置を
    複数介在させ、 各仲介装置は、全ての仲介装置のうち常に一の仲介装置
    のみがクライアント・サーバ間の処理要求及び応答結果
    の転送を行う状態（ａｃｔｉｖｅ状態）となるように前
    記転送手段の動作を制御することを特徴とするクライア
    ントサーバ型システムにおける誤り隠蔽方法。