JP2005025325A

JP2005025325A - 冗長装置交換機構

Info

Publication number: JP2005025325A
Application number: JP2003187912A
Authority: JP
Inventors: Jinichi Nakamura; 仁一中村
Original assignee: Seiko Epson Corp
Current assignee: Seiko Epson Corp
Priority date: 2003-06-30
Filing date: 2003-06-30
Publication date: 2005-01-27

Abstract

【課題】耐障害性が求められる装置や部品は、２重３重に冗長化して信頼性を高めているが、交換時での安全確保の機構は十分ではなかった。例えば２重化されている装置の故障装置を交換しようとして誤って正常の装置を抜いてしまえば復旧することが不能となってしまう場合もある。
【解決手段】２つ以上の冗長機能を持つ機構において、排他的に安全に交換するためのロックする機構で構成する。夫々の装置に付けるロック機構３１について、装置のロック部分３４と、他の装置のロック機構へ開閉状態を伝える状態信号３３と、装置のロック部分３４の開閉を制御する制御信号３２により、ある装置のロックを解除すると、再びロックするまで、その装置以外のいかなる装置のロックは解除されない。冗長化装置の信頼性を障害発生時の対処時においても確保することができるようにする。
【選択図】図３

Description

【０００１】
【発明の属する技術分野】
信頼性と耐障害性能が要求される情報処理システムにおいて、記憶装置や電源や冷却機構など、障害が発生するとシステムの稼動を停止させてしまうような重要装置や部品を冗長化させることで、万一の障害発生に備え、かつ装置の稼動を停止させることなく障害から復旧させることができるような装置やシステムに関する技術分野に属する。
【０００２】
【従来の技術】
重要な装置や耐障害性が求められる装置や部品は、万一の障害や故障に備え２重３重に装置を冗長化して、単独装置の故障であれば、装置全体の稼動が継続できるようにして信頼性を高めている。例えばハードディスク（以下ＨＤＤ）は、複数台を冗長させることでディスクアレイにして、ＨＤＤの故障や障害にも稼動を停止させることがないようにする技術（以下ＲＡＩＤ）は広く普及している。ＲＡＩＤの構成や方式も様々な考案がなされている。ＨＤＤの交換においてもＲＡＩＤ制御装置から、故障したＨＤＤのみ交換できるようにかんがえられたものもある（例えば、特許文献１参照。）。しかしながらそうしたものはＨＤＤにインテリジェンスを持たせなければならない。
【０００３】
【特許文献１】
特開平０７−２１９７１５（第１−３頁、第１図）
【０００４】
【発明が解決しようとする課題】
冗長化することで装置の信頼性を確保することはできていても、障害発生時の対処時において、ヒューマンエラーや不測の事態に対する信頼性確保の機構は十分ではなかった。例えば２重化されている装置の故障装置を交換しようとして誤って正常の装置を抜いてしまえば復旧することが不能となってしまう場合もある。ＨＤＤ等の記憶装置を３台でディスクアレイとしたＲＡＩＤ５の方式の場合も、故障していない装置を交換している場合に、正常の装置を１つ抜いてしまえば、その時点でＲＡＩＤ５の機能が保てなくなりデータが失われるという課題がある。
【０００５】
【課題を解決するための手段】
２つ以上の冗長機能を持つ機構において、装置のロック機構を安全確実に機能するようにする。そのために各装置のロック機構は、自らのロックを他の装置へ通知し、他の装置のロック機構の状態を認識できる機構を持たせる。ロック解除は排他的に許可される仕様とする。
【０００６】
【発明の実施の形態】
以下に本発明の一実施例を示す。図１では最も一般化した冗長化装置の構成例として３台のＨＤＤによるＲＡＩＤ５の構成で説明する。ＲＡＩＤ５はデータとパリティを各ＨＤＤに分散させて扱うもので、仮に１台のＨＤＤが故障しても、パリティからデータを計算して、ＲＡＩＤ５システムを停止させることなく稼動継続することができる技術である。ミラーリングであるＲＡＩＤ１などとは異なり、複数台のＨＤＤからＲＡＩＤ５を構成できるため総記憶容量と耐障害の面で有利なＲＡＩＤ方式である。１台のＨＤＤが故障しても、該当ＨＤＤを交換することで、装置を停止させることなく正常状態へ復旧できる。しかしながら２台目も故障した場合は、ＲＡＩＤ５で記録されていたデータの旧は不可能となる。
【０００７】
各ＨＤＤは脱着可能な個別筐体に収められて、装置全体の筐体に格納される。説明を明確にするため、以下では各装置を収めた筐体をそのまま各ＨＤＤと記載し、筐体と記載した場合はＲＡＩＤ５システム全体の筐体を示すこととする。各ＨＤＤのロック機構は、筐体側にあっても、各ＨＤＤ側にあっても良いが、筐体側にあったほうが製造しやすく部品コストを抑えることができるため通常は筐体側にある。図１でも筐体側にあることとして説明する。なお、ＲＡＩＤ５システム全体の電源スイッチや、電源ユニット、各ＨＤＤの通電したままの挿抜を可能とする回路やバックプレーン基板などはわかりやすくするために図１から省略している。また、ＲＡＩＤ５の筐体が独立していても、コンピュータ全体の筐体内部に組み込まれていても本発明の効果としては違いがない。
【０００８】
ＲＡＩＤ５を構成している筐体１１に、警告音を発生するスピーカ１２が組み込まれている。これはＲＡＩＤ５の制御装置がいずれかのＨＤＤに異常があった場合に、警告を発するものである。しかしながら実際の運用にあたっては、音を出すか出さないかは運用管理する側の判断で設定されるべきものである。また筐体１１の前面の見やすいところにＬＣＤなどを用いた表示装置１３がある。これはシステムの稼動状況のモニタとして、情報を表示している。異常がある場合はＬＣＤであれば、表示色を赤系統の色に変えたり、バックライトを最大輝度に上げるなどして異常状態を警告表現をする。もちろん表示装置の配置や形状などは、機器の構成や環境、設置などの条件により、適切な判断をすればよい。
【０００９】
図１ではＨＤＤを３台でＲＡＩＤ５を構成している。ＨＤＤが内蔵されたＨＤＤ１１４とＬＥＤやＬＣＤによる簡易表示装置１５、ロック機構１６、ＨＤＤが内蔵されたＨＤＤ２１７とＬＥＤやＬＣＤによる簡易表示装置１８、ロック機構１９、ＨＤＤが内蔵されたＨＤＤ３１ＡとＬＥＤやＬＣＤによる簡易表示装置１Ｂ、ロック機構１Ｃで構成されている。なお、各ロック機構のロックと解除の方式は、鍵であっても、レバーであっても、あるいは他の方式であってもよく、施錠と開錠ができるものであればよい。各ＨＤＤはシステムの電源が入って稼動中であっても挿抜が可能である。ＲＡＩＤ５のシステム制御装置はＣＰＵボードであってＲＡＩＤ５システム筐体１１に内蔵されていても、あるいは接続先のホストコンピュータによりソフトウェアで処理されていても良いが、ＨＤＤの異常を検出すると、スピーカ１２と表示装置１３により、警告状態となる。場合によっては操作者の操作画面にメッセージを表示したり、ネットワーク接続によりメールを送信したり、電話へボイスメッセージを発信したりすることもおこなわれている。同時に障害を検出されている該当ＨＤＤがいずれであるかわかりやすいように、各ＨＤＤの側に組み込まれている簡易表示装置が発色または点滅して作業者へ通知するようになっている。これは誤って正常なＨＤＤを抜いてしまい、障害とヒューマンエラーにより最悪の事態とならないようにするために必須である。
【００１０】
異常となった該当ＨＤＤは、早急に正常なＨＤＤと交換し、ＲＡＩＤの再構築と称する作業により、障害発生前と同じような正常稼動状態としなければならない。そのためには該当ＨＤＤを交換するためロックを解除する。仮にＨＤＤ１１４が異常であったとすると、ＨＤＤ１１４のロック１６を解除すると、ＨＤＤ２１７のロック１９およびＨＤＤ３１Ａのロック１Ｃに状態が通知され、ロック状態が強制的に維持され、意図的にロックを解除しようとしてもできなくなる。再びＨＤＤ１１４のロック１６をロックすると、ＨＤＤ２１７のロック１９およびＨＤＤ３１Ａのロック１Ｃに状態が通知され、その後いずれかのＨＤＤに障害が発生した場合に、該当ＨＤＤのロックを解除することができる。このようにロックを解除できるのは排他的に一つのＨＤＤだけである。
しかしＲＡＩＤ５装置全体１１の設置導入時や、電源を切って停止している時などは、上記制御をしなければならない必然性はないため、任意のＨＤＤを任意の数だけロック解除してもよい。
【００１１】
また、本発明の交換機構を発展させ、各ＨＤＤの異常検出とロックの制御を管理するアルゴリズムにおいて、通常稼動時は全装置のロックを解除不可とし、異常を検出すると、該当ＨＤＤのロックのみを解除可能とし、ヒューマンエラーや不測の事態でも、正常なＨＤＤのロックが外され引き抜かれることがないようにすることも可能である。これはフェイルセーフを最も厳重に適用する場合である。
【００１２】
図２は本発明の冗長化した装置のロック機構を示す論理図である。一般化するためにＨＤＤのＲＡＩＤなどのように限定せず、ｎ台の装置により冗長化装置システムが構成されている場合を例としている。図での記号は、「○」は該当番号の装置のロックが解除されている状態を示す。「×」は該当番号の装置がロックされている状態を示す。装置に電源が投入されシステム全体が通常状態で稼動している状態では、各装置ともロックされている。また設置導入時やメンテナンス時、あるいはシステムを停止している場合には、電源も投入されておらず、各装置のロックは全て解除されている。この状態でもロックを個別排他的にしても良いが、作業性が必ずしもよいとはいえず、安全を確保できる条件さえ定義できれば、各装置全てロック解除の状態を用意しておくことは問題がない。障害対応時という状態は、いずれかの装置が故障したり、障害が見込まれる場合など、装置システム全体は稼動継続させながら、個別の装置を交換などする場合である。この状態では該当装置以外のロックは解除してはならず、作業終了後に再度該当装置をロックすると、前述の通常状態となり、全ての装置にロックがかかる。
【００１３】
この論理図から、実際の冗長化装置システムのロック機構を構成すれば良い。構成の手段も、機械的にバネや歯車や板金により構成しても良く、電気的にロジック素子と半導体スイッチやリレーで構成しても良い。あるいは別の構成手段であってもかまわない。
【００１４】
図３は本発明のロック機構の例である。ロック機構３１は実際に鍵の施錠と開錠にあたる部品３４と、入力信号である制御信号３２と、出力信号である状態信号３３より構成されている。制御信号３２は、他の装置からの状態信号を反映している信号だが、冗長化装置の制御管理装置から直接入力する場合もある。信号レベルがハイの状態、すならち電圧レベルが回路設計上のスレッシホルド電圧より高い状態（以下「Ｈ」）が、ロック開放不可を表している。したがって「Ｈ」であればロックを開放しようとしてもできない。信号レベルがローの状態、すならち電圧レベルが回路設計上のスレッシホルド電圧より低い状態（以下「Ｌ」）が、ロック開放可能を表している。「Ｌ」であればロックを開放しようとすればできる。部品３４は回転機構の部品で、ロックする場合は突起部分が右側水平３時方向となり、図３には記載していないがフレーム側の凹部分にはまることでロックがかかる。その際、電源電圧に接続されている導電性接点に接触し、部品３４はロック状態の時に「Ｈ」の状態をあらわすこととなる。ロックを開放する場合は突起部分が下側６時方向となり、ロックが外れて開放可能となる。その際、グランド信号に接続されている導電性接点に接触し、部品３４はロック開放の時に「Ｌ」の状態をあらわすこととなる。部品３４の状態は状態信号３３としてロック機構３１から出力される。なお、図３では３時方向と６時方向の間でロックの施錠、開錠を表したが、別の位置でもよいし、水平方向や垂直方向に移動するスライダのようなものでもよい。施錠、開錠を実現する機構部品と、制御する入力信号と、状態を示す出力信号で構成されるということであればよい。
【００１５】
図４は本発明のロック機構により冗長化した装置を構成した例である。ｎ台の装置にそれぞれロック機構がついているが、図４では装置１、装置２と装置ｎの３台のみ記載している。装置１のロック機構１４１には、入力信号４Ａと出力信号４Ｂがあるが、各装置の出力信号と、リセット信号等を反映した信号４８のＮＡＮＤ素子４７を入力とするＡＮＤ素子４２の出力が、入力信号４Ａとなっている。以下同様に装置２のロック機構２４３には、入力信号４Ｃと出力信号４Ｄ、装置ｎのロック機構ｎ４５には、入力信号４Ｅと出力信号４Ｆがある。制御信号４Ａ、４Ｃ、４Ｅの状態が「Ｈ」であればロックを開放することができないことを示し、「Ｌ」であればロックを開放することができることを示している。また出力である状態信号４Ｂ、４Ｄ、４Ｆは、「Ｈ」であればロックされている状態、「Ｌ」であればロックが開放されている状態を示している。各装置の状態信号はＮＡＮＤ素子４７の入力となり、その出力は制御信号のＡＮＤ素子４２、４４、４６の入力となっている。さらに電源が入っていない状態やリセットがかかっている状態、または初期の設置導入時にも、制御信号を「Ｌ」としてＮＡＮＤ素子４７の入力し、ロック開放可能となるように構成している。
【００１６】
この回路構成の動作としては、任意の装置のロックをすると、残り他の装置ではロックの開放ができなくなるように、排他的にロック解除を実現するというものである。
【００１７】
【発明の効果】
冗長化することで装置の信頼性を確保し、障害発生時の対処時においても、例えヒューマンエラーや不測の事態が生じたとしてもその信頼性を確実に確保することができるようにする。
【図面の簡単な説明】
【図１】本発明の冗長化した装置の構成例。
【図２】本発明の冗長化した装置のロック機構を示す論理図。
【図３】本発明のロック機構の例。
【図４】本発明のロック機構による装置の構成例。
【符号の説明】
１１：本発明の冗長化した装置の例でＲＡＩＤ５のＨＤＤ装置
１２：異常が検出された場合に警告音を発するスピーカ
１３：装置の稼動状況を表示するモニタ用の表示装置
１４：ＨＤＤ１
１５：ＨＤＤ１用の簡易表示装置
１６：ＨＤＤ１用のロック機構
１７：ＨＤＤ２
１８：ＨＤＤ２用の簡易表示装置
１９：ＨＤＤ２用のロック機構
１Ａ：ＨＤＤ３
１Ｂ：ＨＤＤ３用の簡易表示装置
１Ｃ：ＨＤＤ３用のロック機構
３１：ロック機構部分
３２：ロック機構への制御信号
３３：ロック機構の状態を示す信号
３４：実際にロックの施錠、開錠の役割をする部品
３５：ロック状態の時に「Ｈ」の状態となるように電源電圧に接続されている導電性接点
３６：ロック開放状態の時に「Ｌ」の状態となるようにグランド信号に接続されている導電性接点
４１：装置１のロック機構部分
４２：ＡＮＤ素子
４３：装置２のロック機構部分
４４：ＡＮＤ素子
４５：装置ｎのロック機構部分
４６：ＡＮＤ素子
４７：ＮＡＮＤ素子
４８：システムのリセットや接地時に「Ｌ」となる制御信号
４Ａ：装置１のロック機構部分に入力される制御信号
４Ｂ：装置１のロック機構部分から出力される状態信号
４Ｃ：装置２のロック機構部分に入力される制御信号
４Ｄ：装置２のロック機構部分から出力される状態信号
４Ｅ：装置ｎのロック機構部分に入力される制御信号
４Ｆ：装置ｎのロック機構部分から出力される状態信号

Claims

信頼性を確保するために重要装置や部品を冗長化させたシステムにおいて、障害発生時に、障害が発生した該当装置を切り離す機構と、冗長化している装置により稼動を継続させる機構と、障害発生装置のみを交換できる機構と、音や発光やメッセージの表示する機構を有する冗長装置交換機構。
上記冗長化した装置において、脱着や開閉ができないような鍵（以下ロック）を付けてある冗長装置交換機構。
複数ある冗長化装置のうち、ロックを解除できるのは排他的に一つだけである冗長化装置の交換機構。すなわち、任意の装置のロックを解除すると、他の装置のロックが解除されなくなるように状態通知機能を有し、ロックを解除した装置を障害復旧後に再びロックすると、他の冗長化装置に通知されされ、再び任意の装置のロックを解除することができる冗長装置交換機構。
複数ある冗長化装置をもつシステムで、各装置の異常検出とロックの制御を管理するアルゴリズムにより、通常稼動時は全装置のロックを解除不可とし、異常を検出すると、該当装置のロックのみを解除可能とする冗長化装置交換機構。