JP2007293422A - ネットワークブート計算機システムの高信頼化方法 - Google Patents

Abstract

【課題】ネットワーク計算機システムにおいて、ネットワーク上のネットワークスイッチや外部ディスク装置などの機器の障害発生時には、障害回復ができない場合がある。
【解決手段】複数のサーバと、複数のネットワークと、複数の外部ディスク装置と、管理計算機と、を備える計算機システムにおいて、前記管理計算機は、障害が発生したことを検知し、前記障害を原因として、利用していた前記ディスクにアクセスできなくなる業務停止サーバを検索し、前記検索された業務停止サーバが利用していたディスクと同一の内容を格納するディスクと、そのディスクを含む前記外部ディスク装置を検索し、前記検索された外部ディスク装置にアクセスできる業務再開サーバを検索し、前記検索された業務再開サーバに、前記検索されたディスクを利用して起動するための指示を送信する。
【選択図】図１

Description

本願明細書で開示される技術は、ネットワークブートサーバ計算機システムにおいて、システム内の機器に障害が発生した場合に業務を復旧する方法に関する。

複数のサーバがネットワークを介して外部ディスク装置と接続された環境において、各サーバが外部ディスク装置のディスクからオペレーティングシステム（ＯＳ）等のプログラムを読み込むことによってブートする、ネットワークブート計算機システムが存在する。ネットワークブート計算機システムでは、複数のサーバが、ネットワーク及びネットワークスイッチを介して外部ディスク装置に接続されている。このため、あるサーバが参照するブートディスクは、別のサーバからも参照可能である。

上記のようなネットワークブート計算機システムにおいて、障害が発生したサーバの業務を別のサーバへと引き継ぐ障害回復方法が開示されている。具体的には、業務を実行中のサーバで障害が発生した場合、そのサーバが利用していた外部ディスク装置のブートディスクを、別の、業務を実行していないサーバが利用してブートする。その結果、障害が発生したサーバの業務が別のサーバに引き継がれる（例えば、特許文献１及び特許文献２参照）。
特開２００２−２１５４７４号公報 特開２０００−４７８９４号公報

上記の障害回復方法では、サーバに障害が発生した場合、障害回復が可能である。しかし、サーバとブートディスクとを接続するネットワーク上に存在するネットワークスイッチ、又は、ブートディスクを含む外部ディスク装置に障害が発生した場合には、上記の方法による障害回復は不可能である。例えば、業務を稼動していたサーバと、業務を稼動中でないサーバとが同一のネットワークスイッチ又は外部ディスク装置に接続されている場合には、ネットワークスイッチ又は外部ディスク装置に障害が発生すると、どちらのサーバも業務を続行できずに共倒れになる。

このように、従来のネットワークブート計算機システムでは、ネットワーク上のネットワークスイッチ又は外部ディスク装置等に障害が発生した場合に、ブートディスクを引き継ぐべきサーバがブートディスクにアクセスできない場合がある。この場合、サーバが業務を引き継いで障害を回復することができない。

本発明は、上記の問題点に鑑みてなされたものであり、ネットワークブート計算機システムにおいて、ネットワークパス上に存在するネットワークスイッチ又は外部ディスク装置等の機器に発生した障害を回復し、業務を続行することを目的とする。

本願で開示する代表的な発明は、複数のサーバと、前記複数のサーバに接続される複数のネットワークと、前記複数のネットワークに接続される複数の外部ディスク装置と、前記複数のサーバ、前記複数のネットワーク及び前記複数の外部ディスク装置に管理ネットワークを介して接続される管理計算機と、を備える計算機システムの制御方法であって、前記各外部ディスク装置は、データを格納する一つ以上のディスクを備え、前記管理計算機は、前記管理ネットワークに接続されるインターフェースと、前記インターフェースに接続される第１プロセッサと、前記プロセッサに接続される第１メモリと、を備え、前記方法は、前記第１プロセッサが、前記サーバ、前記ネットワーク又は前記外部ディスク装置に障害が発生したことを検知し、前記複数のサーバの中から、前記発生した障害を原因として、利用していた前記ディスクにアクセスできなくなる業務停止サーバを検索し、前記複数のディスクの中から、前記検索された業務停止サーバが利用していた前記ディスクと同一の内容を格納するディスクを検索し、前記検索されたディスクを含む前記外部ディスク装置を検索し、前記複数のサーバの中から、前記検索された外部ディスク装置に、障害が発生していない前記ネットワークを経由してアクセスできる業務再開サーバを検索し、前記検索された業務再開サーバに、前記管理ネットワークを介して、前記検索されたディスクを利用して起動するための指示を送信することを特徴とする。

本発明の一実施形態によれば、ネットワークブート計算機システムにおいて、サーバがブートに利用するネットワークパス上に存在するネットワークスイッチ又は外部ディスク装置等の機器で障害が発生した場合にも、ネットワークブート計算機システム上に、ブートディスクにネットワークを通じてアクセス可能なサーバが必ず存在する。そして、そのサーバがブートディスクを引き継いでブートすることによって、業務を回復することができる。このような業務の回復のための処理は、管理計算機によって自動的に実行されるため、システム管理者の作業負担が軽減される。

以下、本発明の実施の形態を図面を参照して説明する。

図１は、本発明の第１の実施の形態の計算機システムの構成を示すブロック図である。

本実施の形態の計算機システムは、管理サーバ１０１、複数のサーバ１０２、複数の外部ディスク装置１０３、ネットワークスイッチ（ＮＷ−ＳＷ）１０４及び管理ネットワークスイッチ（管理ＮＷ−ＳＷ）１０５を備える。

各サーバ１０２は、管理ＮＷ−ＳＷ１０５に接続されるネットワークインターフェースカード（ＮＩＣ）１２１、及び、ＮＷ-ＳＷ１０４に接続されるネットワークアダプタ（Adaptor）１２０を備える。

ＮＷ-ＳＷ１０４は、サーバ１０２と外部ディスク装置１０３とを接続するネットワークを構成する。ＮＷ-ＳＷ１０４は、イーサネット（登録商標）プロトコルを取り扱うスイッチ、ファイバチャネルのスイッチ、又は、その他の種類のネットワークスイッチであってもよい。

管理ＮＷ-ＳＷ１０５は、管理サーバ１０１、サーバ１０２、外部ディスク装置１０３及びＮＷ−ＳＷ１０４を接続するネットワークを構成する。管理ＮＷ-ＳＷ１０５は、ＮＷ-ＳＷ１０４と同様、イーサネット（登録商標）プロトコルを取り扱うスイッチ、ファイバチャネルのスイッチ、又は、その他の種類のネットワークスイッチであってもよい。

ＮＷ-ＳＷ１０４は、外部ディスク装置１０３のコントローラ１３０が備えるポート（図示省略）に接続される。図１の例では、各コントローラ１３０の一つのポートがＮＷ-ＳＷ１０４と接続されているが、各コントローラ１３０の複数のポートがＮＷ-ＳＷ１０４と接続されていてもよい。あるいは、サーバ１０２のアダプタ１２０が、ＮＷ-ＳＷ１０４を介さず、直接コントローラ１３０と接続されていてもよい。

外部ディスク装置１０３は、一つ以上のディスク１３１を備える。サーバ１０２は、ＮＷ−ＳＷ１０４及びコントローラ１３０を経由してディスク１３１にアクセスすることができる。外部ディスク装置１０３は、例えば、ディスクアレイ装置であっても、ネットワークファイルシステムを取り扱うサーバであっても、ｉＳＣＳＩを取り扱うサーバであってもよい。

コントローラ１３０は、ＣＰＵ等の情報処理装置を備え、コントローラ１３０に入出力される情報及び外部ディスク装置１０３内のディスク１３１に記録される情報を制御する。外部ディスク装置１０３は、複数のコントローラ１３０を備えることができ、あるコントローラ１３０は、別のコントローラ１３０が障害を発生しても影響を受けることなく稼動することができる。ディスク１３１は、サーバ１０２から読み込みや書き込みといったアクセスが可能な情報記憶装置である。

ディスク１３１は、論理的に一つの情報記憶装置と認識される記憶領域（いわゆる論理ボリューム）である。一つのディスク１３１は、一つの物理的なディスクドライブによって構成されてもよいし、複数の物理的なディスクドライブによって構成されてもよい。あるいは、ディスク１３１は、ディスクドライブ以外の情報記憶装置（例えば、半導体記憶装置）によって構成されてもよい。ディスク１３１は、いわゆるＲＡＩＤ構成であってもよい。

ディスク１３１には、サーバ１０２が利用するオペレーティングシステム（ＯＳ）、アプリケーション、ミドルウェア、又はドライバ等のプログラム、及び、プログラムが利用するデータ又はログ等の情報が記録されている。以下、上記のようにディスク１３１に記録されている情報（データ）をディスクイメージと呼ぶ。言い換えると、ディスクイメージとは、ディスク１３１の内容である。図１において、ディスクイメージは、Ｄ０、Ｄ１等のディスクイメージ識別子によって図示される。複数のディスク１３１の内容が同一である場合、それらのディスク１３１に記録されるディスクイメージは、同一のディスクイメージ識別子を持つ。

例えば、ディスクイメージ識別子が「Ｄ０」であるディスクイメージを記録しているディスク１３１が二つ存在する場合、それらのディスク１３１全体の内容が同一である。言い換えると、それらの二つのうち一方のディスク１３１に格納されているデータは、必ず、もう一方のディスク１３１にも格納されている。

管理ＮＷ-ＳＷ１０５は、システムを管理する管理サーバ１０１、サーバ１０２のＮＩＣ１２１、ＮＷ-ＳＷ１０４のコントローラ１４０が備える管理ポート（図示省略）、及び、外部ディスク装置１０３のコントローラ１３０が備える管理ポート（図示省略）に接続されている。外部ディスク装置１０３のコントローラ１３０は、管理ポートを経由して、管理サーバ１０１からの外部ディスク装置１０３の制御を受け付けることができる。さらに、コントローラ１３０は、管理ポートを経由して、外部ディスク装置１０３の障害発生を管理サーバ１０１に通知することができる。ＮＷ−ＳＷ１０４のコントローラ１４０の管理ポートは、管理サーバ１０１からのＮＷ-ＳＷ１０４の制御を受け付けることができる。さらに、コントローラ１４０の管理ポートは、ＮＷ-ＳＷ１０４の障害発生を管理サーバ１０１に通知することができる。

管理サーバ１０１は、障害回復プログラム１１０及びブートパス冗長化プログラム１１１を備える。障害回復プログラム１１０は、計算機システムが備える機器で障害が発生した場合に、障害からの回復処理を実行する。ブートパス冗長化プログラム１１１は、サーバ１０２と、サーバ１０２がブート（起動）に利用する外部ディスク装置１０３とを接続するネットワークパスを冗長化し、さらに、セキュリティ設定を実行する。管理サーバ１０１は、例えば、ＣＰＵ、メモリ及びネットワークカード等を備える計算機である（図３３参照）。

図２は、本発明の第１の実施の形態のサーバ１０２の詳細な構成を示すブロック図である。

サーバ１０２は、メモリ２０１、ＣＰＵ２０２、不揮発メモリ２０３、アダプタ１２０、ＮＩＣ１２１及びBaseboard Management Controller（ＢＭＣ）２０５を備える。

メモリ２０１は、例えば半導体メモリであり、プログラム及びデータを格納する。本実施の形態のメモリ２０１には、プログラムとして、サーバ１０２が起動するときに実行されるブートプログラム２１０が格納される。

ＣＰＵ２０２は、メモリ２０１に格納されたプログラムを実行するプロセッサである。

アダプタ１２０が備えるメモリ（図示省略）には、一意の識別子（ＩＤ）２０４が格納されている。アダプタ１２０がネットワークアダプタである場合、ＩＤ２０４は、例えばＭＡＣアドレス又はＩＰアドレスである。アダプタ１２０がファイバチャネルのホストバスアダプタである場合、ＩＤ２０４は、例えばWorld Wide Name（ＷＷＮ）である。

ＢＭＣ２０５は、主にサーバ１０２のハードウェアの監視及び制御を行う。サーバ１０２のハードウェアに異常が発生した場合、障害検出機能２５０がその異常を検知して、計算機システムの外部に通知することができる。また、ＢＭＣ２０５を通じて、遠隔からサーバ１０２の電源の投入（ＯＮ）及び遮断（ＯＦＦ）をすることができる。障害検出機能２５０は、ＢＭＣ２０５内のメモリ（図示省略）に格納され、ＢＭＣ２０５内のプロセッサ（図示省略）によって実行されるプログラムであってもよい。あるいは、障害検出機能２５０は、ハードウエアロジックとして実現されてもよい。

不揮発メモリ２０３は、例えば、ＥＥＰＲＯＭ又はハードディスクドライブのような不揮発性のメモリである。不揮発メモリ２０３には、サーバ１０２がブートに利用するデバイス（機器）が予め登録されている。

ブートプログラム２１０は、例えば、System BIOS又はsEFI等のプログラムである。これらのプログラムは、サーバ１０２の電源が投入されたときに、不揮発メモリ２０３に登録されている機器を利用して、サーバ１０２がブートするように動作する。具体的には、ブートプログラム２１０は、不揮発メモリ２０３に登録されているアクセスパスを経由して、不揮発メモリ２０３に登録されているディスク１３１からＯＳ等を読み込むことによって、ブートを実行する。さらに、ブートプログラム２１０は、ネットワークブートを実行することができる。ネットワークブートとは、アダプタ１２０がネットワークからプログラムを受信することによってブートすることである。ネットワークブートには、例えば、ＰＸＥプロトコル等によって実行される。

図３３は、本発明の第１の実施の形態の管理サーバ１０１の構成を詳細に示すブロック図である。

管理サーバ１０１は、メモリ３３０１、ＣＰＵ３３０２及びＮＩＣ３３０３を備える。

メモリ３３０１は、例えば半導体メモリであり、プログラム及びデータを格納する。障害回復プログラム１１０及びブートパス冗長化プログラム１１１は、メモリ３３０１上に格納されたプログラムである。これらのプログラムは、ＣＰＵ３３０２によって実行される。

ＣＰＵ３３０２は、メモリ３３０１に格納されたプログラムを実行するプロセッサである。具体的には、ＣＰＵ３３０２は、障害回復プログラム１１０及びブートパス冗長化プログラム１１１を実行する。したがって、以下の説明においてこれらのプログラムが実行する処理は、実際にはＣＰＵ３３０２によって実行される。

ＮＩＣ３３０３は、管理ＮＷ−ＳＷ１０５に接続されるインターフェースである。

図３は、本発明の第１の実施の形態の障害回復プログラム１１０及びブートパス冗長化プログラム１１１の詳細な説明図である。

障害回復プログラム１１０は、障害監視モジュール３０１、業務停止サーバ検索モジュール３０２、業務再開サーバ検索モジュール３０３、ブート設定変更モジュール３０４、サーバ電源制御モジュール３０５、サーバ情報テーブル３０６及び外部ディスク装置情報テーブル３０７を含む。

障害監視モジュール３０１は、計算機システム内のサーバ１０２、ネットワークスイッチ１０４、外部ディスク装置１０３及びコントローラ１３０等の機器の状態を監視し、これらの機器に発生した障害を検出する。

業務停止サーバ検索モジュール３０２は、計算機システム内の機器の障害を原因として業務が稼動できなくなるサーバを検索する。

業務再開サーバ検索モジュール３０３は、サーバ１０２の業務が稼動できなくなったとき、その業務を再開するサーバ１０２、及び、そのサーバ１０２が利用するネットワークのパス情報を検索する。

ブート設定変更モジュール３０４は、サーバ１０２のブート設定を変更する。ブート設定変更モジュール３０４は、例えば、ＰＸＥプロトコルを用いてサーバ１０２をブートするＤＨＣＰサーバ機能を備え、サーバ１０２にブート設定変更プログラム３４０を送信することができる。

ブート設定変更プログラム３４０は、それを受信したサーバ１０２によって実行され、サーバ１０２のブートプログラム２１０の設定を変更する。具体的には、ブート設定変更プログラム３４０は、不揮発メモリ２０３に登録されている情報を変更することによって、ブートプログラム２１０がブートを実行する際に利用するディスク１３１、及び、そのディスクにアクセスするために利用するアクセスパスを変更することができる。アクセスパスとは、具体的には、アクセスに利用されるＮＷ−ＳＷ１０４及びコントローラ１３０等である。

サーバ電源制御モジュール３０５は、サーバ１０２の電源投入（ＯＮ）、電源遮断（ＯＦＦ）及びリセット等の電源制御を実行する。

サーバ情報テーブル３０６は、サーバ１０２の状態、サーバ１０２が利用する外部ディスク装置１０３の情報、及び、サーバ１０２が利用しているネットワークパスの情報を管理する。

外部ディスク装置情報テーブル３０７は、外部ディスク装置１０３のポートＩＤ等の情報を管理する。ポートＩＤは、外部ディスク装置１０３のコントローラ１３０が備えるポートに付与された識別子（例えば、ＷＷＮ）である。

ブートパス冗長化プログラム１１１は、論理ディスク制御モジュール３２０、同期ディスク制御モジュール３２１、ネットワークセキュリティ制御モジュール３２２及び冗長パス情報テーブル３２３を含む。

論理ディスク制御モジュール３２０は、外部ディスク装置１０３内のディスク１３１が構成する論理ディスクを制御する。論理ディスクとは、サーバ１０２によって一つの情報記憶装置と認識される仮想的な記憶領域である。

同期ディスク制御モジュール３２１は、同期ディスクを制御する。同期ディスクとは、あるディスク１３１と同一の内容を記録しており、かつ、そのディスク１３１と異なる外部ディスク装置１０３に含まれるディスク１３１である。あるディスク１３１に記録されている、サーバ１０２によって利用されるデータは、そのディスク１３１の同期ディスクにも記録される。

ネットワークセキュリティ制御モジュール３２２は、ネットワーク上のセキュリティ設定を制御する。

冗長パス情報テーブル３２３は、計算機システムのディスク１３１にアクセス可能なネットワークパスを管理する。

図４は、本発明の第１の実施の形態のサーバ情報テーブル３０６の説明図である。

サーバ管理テーブル３０６の各列（カラム）４０１〜４０８は、計算機システム内のサーバ１０２の一覧、各サーバ１０２の稼動状態、各サーバ１０２が利用しているネットワーク上のディスク、及び、利用されているネットワークのパスに関する情報を含む。

カラム４０１には、計算機システム内のサーバ１０２を識別する情報が登録される。例えば、カラム４０１は、サーバ１０２のシリアル番号、ＵＵＩＤ又はＭＡＣアドレス等であってもよい。図２の例では、カラム４０１として「Ｓ１」、「Ｓ２」等が登録される。

カラム４０２は、カラム４０１に登録されたサーバ１０２の状態を示している。例えば、サーバ１０２が業務を稼動中である場合、そのサーバ１０２に対応するカラム４０２は、「稼動中」となる。業務を稼動していないサーバ１０２に対応するカラム４０２は、「待機中」となる。

稼動中であったサーバ１０２の業務を別のサーバ１０２が引き継いだ場合、前者のサーバ１０２に対応するカラム４０２は「停止中」となる。さらに、前者のサーバ１０２に対応するカラム４０２には、業務を引き継いだ後者のサーバ１０２の識別子が登録される。例えば、図２に示すように、サーバ「Ｓ２」が稼動していた業務がサーバ「Ｓ７」によって引き継がれた場合、「Ｓ２」に対応するカラム４０２に「Ｓ７へ交代」が登録される。

一方、業務を引き継いだサーバ１０２のカラム４０２には、「稼動中」及びその業務をかつて稼動していたサーバ１０２の識別子が登録される。図２のサーバ「Ｓ７」の場合、カラム４０２には「Ｓ２から交代」が登録される。

カラム４０３には、カラム４０１に登録されたサーバ１０２が利用しているディスク１３１の内容を示すディスクイメージの識別子が登録される。ディスクイメージ識別子は計算機システムで一意である。例えば、複数のディスク１３１が同一のディスクイメージを記録している場合、それらのディスク１３１は同一のディスクイメージ識別子で示される。また、ディスクイメージ識別子は、後で説明するブートパス冗長化プログラム１１１の冗長パス情報テーブル３２３のカラム６０１と対応する。

カラム４０４は、カラム４０１に登録されたサーバ１０２が、カラム４０５から４０８によって特定されるネットワークパスのうち、どのネットワークパスを利用しているのかを示す情報である。具体的には、サーバ１０２によって利用されているパスに対応するカラム４０４に「ＹＥＳ」が登録される。

なお、一つのサーバ１０２が一つのディスク１３１にアクセスするために利用できるネットワークパスが複数存在する場合、それらのネットワークパスごとに、利用中パス４０４が登録される。図２の例では、サーバ「Ｓ０」がディスクイメージ「Ｄ０」にアクセスするために二つのネットワークパスを利用することができる。このため、サーバ「Ｓ０」及びディスク「Ｄ０」に対応するカラム４０４は二つに分割され、それぞれに「ＹＥＳ」又は「ＮＯ」が登録される。

なお、上記のサーバ「Ｓ０」とは、サーバ識別子「Ｓ０」によって識別されるサーバ１０２である。ディスクイメージ「Ｄ０」とは、ディスクイメージ識別子「Ｄ０」によって識別されるディスクイメージである。以下、本実施の形態の計算機システム内の各部に同様の表記方法を適用する。

カラム４０５からカラム４０８は、サーバ１０２がディスク１３１にアクセスするために利用されるネットワークパスに関する情報を示す。

カラム４０５は、カラム４０１に登録されたサーバ１０２が備えるアダプタ１２０の識別子（ＷＷＮ）を示す。

カラム４０６は、カラム４０５に登録されたアダプタ１２０に接続されたＮＷ−ＳＷ１０４の識別子を示す。

カラム４０７は、カラム４０６に登録されたＮＷ−ＳＷ１０４に接続された外部ディスク装置１０３の識別子を示す。

カラム４０８は、カラム４０７に登録された外部ディスク装置１０３が備えるコントローラ１０３のうち、カラム４０６が示すＮＷ−ＳＷ１０４に接続されているものの識別子を示す。

例えば、図４の例では、カラム４０１の値「Ｓ０」に対応して、カラム４０２の値「稼動中」、カラム４０３の値「Ｄ０」、カラム４０４の値「ＹＥＳ」及び「ＮＯ」、カラム４０５の値「ＷＷＮ０」、カラム４０６の値「ＳＷ０」、カラム４０７の値「ＡＲＲＡＹ０」及び「ＡＲＲＡＹ１」、及び、カラム４０８の値「ＣＴＲＬ０」及び「ＣＴＲＬ０」が登録されている。これは、次のような状態を示している。

すなわち、識別子が「Ｓ０」であるサーバ１２１は、識別子が「ＷＷＮ０」であるアダプタ１２０を備える。識別子が「ＷＷＮ０」であるアダプタ１２０は、識別子が「ＳＷ０」であるＮＷ−ＳＷ１０４を介して、識別子が「ＡＲＲＡＹ０」である外部ディスク装置１０３の、識別子が「ＣＴＲＬ０」であるコントローラ１３０と接続される。識別子が「ＷＷＮ０」であるアダプタ１２０は、さらに、識別子が「ＳＷ０」であるＮＷ−ＳＷ１０４を介して、識別子が「ＡＲＲＡＹ１」である外部ディスク装置１０３の、識別子が「ＣＴＲＬ０」であるコントローラ１３０とも接続される。外部ディスク装置「ＡＲＲＡＹ０」及び「ＡＲＲＡＹ１」は、いずれも、ディスクイメージ「Ｄ０」が記録されたディスク１３１を備えている。

この例において、サーバ「Ｓ０」は、アダプタ「ＷＷＮ０」、ＮＷ−ＳＷ「ＳＷ０」及びコントローラ「ＣＴＲＬ０」を経由して外部ディスク装置「ＡＲＲＡＹ０」に至るパスを利用してディスク「Ｄ０」にアクセスすることによって、業務を稼動している。一方、サーバ「Ｓ０」は、アダプタ「ＷＷＮ０」、ＮＷ−ＳＷ「ＳＷ０」及びコントローラ「ＣＴＲＬ０」を経由して外部ディスク装置「ＡＲＲＡＹ１」に至るパスを利用して、ディスク「Ｄ０」にアクセスすることも可能である。しかし、図４の例では、このパスは利用されていない。

図５は、本発明の第１の実施の形態の外部ディスク装置情報テーブル３０７の説明図である。

外部ディスク装置情報テーブル３０７は、計算機システムが備える外部ディスク装置１０３の情報を管理する。

カラム５０１は、計算機システムに存在する外部ディスク装置１０３の識別子を示す。本実施の形態の計算機システムは、図１に示すように、二つの外部ディスク装置１０３を備える。このため、カラム５０１には、これらの二つの外部ディスク装置１０３の識別子「ＡＲＲＡＹ０」及び「ＡＲＲＡＹ１」が登録される。カラム５０１は、図４に示したカラム４０７と対応する。

カラム５０２は、カラム５０１に示す外部ディスク装置１０３が備えるコントローラ１３０の識別子である。本実施の形態の外部ディスク装置１０３は、図１に示すように、それぞれ二つのコントローラ１３０を備える。このため、カラム５０２には、外部ディスク装置１０３ごとに、これらの二つのコントローラ１３０の識別子「ＣＴＲＬ０」及び「ＣＴＲＬ１」が登録される。カラム５０２は、図４に示したカラム４０８と対応する。

カラム５０３は、カラム５０２に示すコントローラ１３０が備えるポート（図示省略）の識別子（ポートＩＤ）を示す。例えば、コントローラ１３０のポートがファイバチャネルネットワークに接続されている場合、カラム５０３にはポートのＷＷＮ等が登録されてもよい。ポートがiSCSI又はネットワークファイルシステム等のイーサネット（登録商標）プロトコル上のＴＣＰを利用したネットワークに接続されている場合、カラム５０３にはポートのＩＰアドレス又はＭＡＣアドレス等が登録されてもよい。

図５の例では、ポートＩＤとしてWorld Wide Port Name（ＷＷＰＮ）が使用される。具体的には、外部ディスク装置「ＡＲＲＡＹ０」のコントローラ「ＣＴＲＬ０」及び「ＣＴＲＬ１」が備えるポートのポートＩＤが、それぞれ、「ＷＷＰＮ０」及び「ＷＷＰＮ１」である。外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ０」及び「ＣＴＲＬ１」が備えるポートのポートＩＤが、それぞれ、「ＷＷＰＮ２」及び「ＷＷＰＮ３」である。

図６は、本発明の第１の実施の形態の冗長パス情報テーブル３２３の説明図である。

冗長パス情報テーブル３２３は、計算機システムに存在するディスクイメージの情報を管理する。

カラム６０１は、ディスクイメージの識別子を示す。本実施の形態の計算機システムには五つのディスクイメージが存在するため、カラム６０１には、それらの五つのディスクイメージの識別子「Ｄ０」、「Ｄ１」、「Ｄ２」、「Ｄ４」及び「Ｄ５」が登録される。カラム６０１は、図４に示すカラム４０３と対応する。

カラム６０２は、カラム６０１に示すディスクイメージが記録されているディスク１３１を備える外部ディスク装置１０３を示す。図６の例では、ディスクイメージ「Ｄ０」、「Ｄ１」及び「Ｄ２」が外部ディスク装置「ＡＲＲＡＹ０」内のディスク１３１に記録され、ディスクイメージ「Ｄ４」及び「Ｄ５」が外部ディスク装置「ＡＲＲＡＹ１」内のディスク１３１に記録されている。

カラム６０３は、カラム６０２に示す外部ディスク装置１０３に含まれ、かつ、カラム６０１に示すディスクイメージを記録しているディスク１３１を、外部ディスク装置１０３内で一意に識別する識別子を示す。図６の例では、ディスクイメージ「Ｄ０」、「Ｄ１」、「Ｄ２」、「Ｄ４」及び「Ｄ５」が、それぞれ、ディスク「ＶＯＬ０」、「ＶＯＬ１」、「ＶＯＬ２」、「ＶＯＬ４」及び「ＶＯＬ５」に記録されている。

カラム６０４は、カラム６０３に示すディスク１３１にアクセス可能であるコントローラ１３０の識別子を示す。言い換えると、カラム６０４に示すコントローラ１３０に搭載されるポートに接続された機器は、カラム６０３に示すディスク１３１にアクセス可能である。カラム６０４は、コントローラ１３０が複数のポートを備える場合、そのポート毎に、ディスク１３１に対してアクセス可能であることを示す情報を含んでもよい。

図６の例では、外部ディスク装置「ＡＲＲＡＹ０」のコントローラ「ＣＴＲＬ０」及び「ＣＴＲＬ１」に接続された機器が、ディスク「ＶＯＬ０」、「ＶＯＬ１」及び「ＶＯＬ２」にアクセス可能である。さらに、外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ０」及び「ＣＴＲＬ１」に接続された機器が、ディスク「ＶＯＬ４」及び「ＶＯＬ５」にアクセス可能である。

カラム６０５は、カラム６０４が示すコントローラ１３０が、カラム６０３に示すディスク１３１に付与する論理ディスクの識別子を示す。論理ディスクとは、サーバ１０２がディスク１３１にアクセスできるようにするために、コントローラ１３０が設定する論理的な（言い換えると、仮想的な）ディスクである。サーバ１０２は、論理ディスクを認識し、論理ディスクに対してアクセス要求を発行する。コントローラ１３０は、そのアクセス要求を受けると、要求の対象の論理ディスクに対応するディスク１３１へのアクセスを実行する。コントローラ１３０による論理ディスクの管理については、後で詳細に説明する（図７参照）。

各コントローラ１３０は、そのコントローラ１３０が使用するディスク１３１に、そのコントローラ１３０内で一意の論理ディスク識別子を付与することができる。このため、一般には、複数のコントローラ１３０が、同一のディスク１３１に対してそれぞれ異なる論理ディスク識別子を付与する場合もある。しかし、本発明では、図６に示すように、各コントローラ１３０が同一のディスク１３１に対して同一の論理ディスク識別子を付与する。

図６の例では、ディスク「ＶＯＬ０」、「ＶＯＬ１」、「ＶＯＬ２」、「ＶＯＬ４」及び「ＶＯＬ５」に対応して、それぞれ、論理ディスク識別子「ＬＵＮ０」、「ＬＵＮ１」、「ＬＵＮ２」、「ＬＵＮ４」及び「ＬＵＮ５」が付与される。このため、これらの論理ディスク識別子がカラム６０５に登録される。

カラム６０６は、カラム６０３に示すディスク１３１の同期ディスクを含む外部ディスク装置１０３の識別子を示す。図６の例では、ディスク「ＶＯＬ０」、「ＶＯＬ１」及び「ＶＯＬ２」の同期ディスクが外部ディスク装置「ＡＲＲＡＹ１」に含まれる。ディスク「ＶＯＬ４」及び「ＶＯＬ５」の同期ディスクが外部ディスク装置「ＡＲＲＡＹ０」に含まれる。

カラム６０７は、カラム６０６に示す外部ディスク装置１０３に含まれ、かつ、カラム６０３が示すディスク１３１の同期ディスクであるディスク１３１の識別子を示す。図６の例では、ディスク「ＶＯＬ０」、「ＶＯＬ１」、「ＶＯＬ２」、「ＶＯＬ４」及び「ＶＯＬ５」の同期ディスクがディスク「ＳＶＯＬ０」、「ＳＶＯＬ１」、「ＳＶＯＬ２」、「ＳＶＯＬ４」及び「ＳＶＯＬ５」である。

カラム６０８は、カラム６０７に示すディスク１３１にアクセス可能であるコントローラ１３０の識別子を示す。カラム６０８は、コントローラ１３０が複数のポートを備える場合、そのポート毎に、ディスク１３１に対してアクセス可能であることを示す情報を含んでもよい。

図６の例では、外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ０」及び「ＣＴＲＬ１」に接続された機器が、ディスク「ＳＶＯＬ０」、「ＳＶＯＬ１」及び「ＳＶＯＬ２」にアクセス可能である。外部ディスク装置「ＡＲＲＡＹ０」のコントローラ「ＣＴＲＬ０」に接続された機器が、ディスク「ＳＶＯＬ４」にアクセス可能である。さらに、外部ディスク装置「ＡＲＲＡＹ０」のコントローラ「ＣＴＲＬ０」及び「ＣＴＲＬ１」に接続された機器が、ディスク「ＳＶＯＬ５」にアクセス可能である。

カラム６０９は、カラム６０８が示すコントローラ１３０が、カラム６０７に示すディスク１３１を識別するために使用する論理ディスク識別子を示す。図６の例では、ディスク「ＳＶＯＬ０」、「ＳＶＯＬ１」、「ＳＶＯＬ２」、「ＳＶＯＬ４」及び「ＳＶＯＬ５」に対応して、それぞれ、論理ディスク識別子「ＬＵＮ１０」、「ＬＵＮ１１」、「ＬＵＮ１２」、「ＬＵＮ１４」及び「ＬＵＮ１５」が付与される。

図７は、本発明の第１の実施の形態の外部ディスク装置１３０が備える論理ディスク管理プログラムの説明図である。

図７の外部ディスク装置１０３は、例えば、図６の外部ディスク装置「ＡＲＲＡＹ０」に対応する。

図７のコントローラ７３０及び７３１は、それぞれ、図１のコントローラ１３０の一つに相当する。例えば、コントローラ７３０及び７３１は、それぞれ、図６のコントローラ「ＣＴＲＬ０」及び「ＣＴＲＬ１」に対応する。

論理ディスク管理プログラム７４０及び７４１は、それぞれ、コントローラ７３０及び７３１のメモリ（図示省略）に格納され、それらのコントローラのプロセッサ（図示省略）によって実行される。

サーバ７０１及び７０２は、それぞれ、図１のサーバ１０２の一つに相当する。

ＮＷ−ＳＷ７０３及び７０４は、それぞれ、図１のＮＷ−ＳＷ１０４の一つに相当する。

ディスク７３３、７３４及び７３５は、それぞれ、図１のディスク１３１の一つに相当する。例えば、ディスク７３３、７３４及び７３５は、それぞれ、図６のディスク「ＶＯＬ０」、「ＶＯＬ１」及び「ＶＯＬ２」に対応する。

論理ディスク管理プログラム７４０及び７４１は、外部ディスク装置１０３に存在するディスク７３３、７３４及び７３５のうち、例えば、単一のディスク７３３に対応する論理ディスク７５０及び論理ディスク７５１を生成する。論理ディスク７５０及び７５１は、それぞれ、単一のディスク７３３の全体に対応する。図７の外部ディスク装置１０３が図６の外部ディスク装置「ＡＲＲＡＹ０」と対応する場合、論理ディスク７５０及び７５１は、いずれも、論理ディスク「ＬＵＮ０」に対応する。

その結果、コントローラ７３１のポートにＮＷ−ＳＷ７０３経由で接続されているサーバ７０１と、コントローラ７３２に搭載のポートにＮＷ−ＳＷ７０４経由で接続されているサーバ７０２の両方が、ディスク７３３にアクセスできるようになる。

論理ディスクテーブル７７０及び７７１は、ディスク７３３、７３４及び７３５と、論理ディスク７５０及び７５１との対応を示す情報を保持するテーブルである（図８参照）。論理ディスクテーブル７７０及び７７１は、コントローラ７３０及び７３１のメモリ（図示省略）に格納される。

論理ディスク管理プログラム７４０及び７４１は、コントローラ７３０及び７３１の管理ポート（図示省略）に接続されている管理サーバ１０１によって制御され、論理ディスク７５０及び７５１等の生成、削除又は変更を実行することができる。コントローラ７３０及び７３１が論理ディスク機能７４０及び７４１を持たない場合、サーバ７０１及びサーバ７０２は、ディスク７３３、７３４及び７３５に直接アクセスできる。

図７には、ディスク「ＶＯＬ０」に対応する論理ディスク「ＬＵＮ０」のみを示すが、実際には、「ＶＯＬ１」及び「ＶＯＬ２」に対応する論理ディスク「ＬＵＮ１」及び「ＬＵＮ２」がコントローラ７３０及び７３１の両方に生成されてもよい。

図７に示す外部ディスク装置１０３が図６に示す外部ディスク装置「ＡＲＲＡＹ０」である場合、この外部ディスク装置１０３は、さらにディスク「ＳＶＯＬ４」及び「ＳＶＯＬ５」を含む。この場合、コントローラ７３０及び７３１の両方に、ディスク「ＳＶＯＬ４」及び「ＳＶＯＬ５」に対応する論理ディスク「ＬＵＮ１４」及び「ＬＵＮ１５」が生成される。

図８は、本発明の第１の実施の形態の論理ディスクテーブルの説明図である。

図８は、例として、図７における論理ディスクテーブル７７０及び７７１の詳細を示す。

カラム８０１はディスクの識別子である。例えば、図７に示すディスク７３３、７３４及び７３５の識別子がそれぞれ「ＶＯＬ０」、「ＶＯＬ１」及び「ＶＯＬ２」であった場合、カラム８０１にはそれらの識別子が登録される。図７の外部ディスク装置１０３が図６の外部ディスク装置「ＡＲＲＡＹ０」である場合、カラム８０１には、さらに「ＳＶＯＬ４」及び「ＳＶＯＬ５」が登録される。このように、カラム８０１は、図６のカラム６０３及びカラム６０８と対応する。

カラム８０２は、カラム８０１に示すディスクに対応する論理ディスクの識別子である。図８の例では、ディスク「ＶＯＬ０」、「ＶＯＬ１」、「ＶＯＬ２」、「ＳＶＯＬ４」及び「ＳＶＯＬ５」に対応する論理ディスクの識別子として、「ＬＵＮ０」、「ＬＵＮ１」、「ＬＵＮ２」、「ＬＵＮ１４」及び「ＬＵＮ１５」が登録される。カラム８０２は、図６のカラム６０５及びカラム６０９に対応する。

図９は、本発明の第１の実施の形態の外部ディスク装置が備えるディスク同期プログラムの説明図である。

図９の例において、外部ディスク装置９３０及び９３１は、図６の外部ディスク装置「ＡＲＲＡＹ０」及び「ＡＲＲＡＹ１」に対応する。コントローラ９４０は、外部ディスク装置「ＡＲＲＡＹ０」のコントローラ「ＣＴＲＬ０」又は「ＣＴＲＬ１」のいずれかに対応する。コントローラ９４１は、外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ０」又は「ＣＴＲＬ１」のいずれかに対応する。コントローラ９４０及びコントローラ９４１は、ネットワーク９０３を介して接続されている。ディスク９７０及び９７１は、それぞれ、ディスク「ＶＯＬ０」及び「ＳＶＯＬ０」に対応する。

ディスク同期プログラム９５０及び９５１は、それぞれ、コントローラ９４０及び９４１のメモリ（図示省略）に格納され、それらのコントローラのプロセッサ（図示省略）によって実行される。

ディスク同期プログラム９５０及び９５１は、外部ディスク装置９３０内のディスク９７０に記録されたディスクイメージ「Ｄ０」と同じ内容を記録する同期ディスク９７１を、外部ディスク装置９３１に生成する。図９の例では、外部ディスク装置９３０がディスク「ＶＯＬ０」を含む。外部ディスク装置９３１には、ディスク「ＶＯＬ０」の同期ディスクであるディスク「ＳＶＯＬ０」が生成される。ディスク「ＶＯＬ０」及びディスク「ＳＶＯＬ０」には、いずれも、同一のディスクイメージ「Ｄ０」が記録されている。

説明の便宜上、図９にはディスク「ＶＯＬ０」及びディスク「ＳＶＯＬ０」のみを示すが、実際には、各外部ディスク装置が他のディスク（例えば、「ＶＯＬ１」及び「ＳＶＯＬ１」等）を含んでもよい。

サーバ９０１は、ＮＷ−ＳＷ９０２を介して、コントローラ９４０が備えるポート９８０と接続され、さらに、コントローラ９４１が備えるポート９８１にも接続されている。この場合、コントローラ９４０及び９４１のどちらも、同一のディスクイメージ「Ｄ０」にアクセスすることができる。

同期ディスクテーブル９６０及び９６１は、ディスク９７０と同期ディスク９７１との対応を示す情報を保持するテーブルである（図１０参照）。同期ディスクテーブル９６０及び９６１は、コントローラ９４０及び９４１のメモリ（図示省略）に格納される。

ディスク同期プログラム９５０及び９５１は、コントローラ９３０及び９３１の管理ポート（図示省略）に接続されている管理サーバ１０１によって制御され、同期ディスク９７１の生成、削除又は変更を実行することができる。

図１０は、本発明の第１の実施の形態の同期ディスクテーブルの説明図である。

図１０は、例として、図９における同期ディスクテーブル９６０の詳細を示す。

カラム１００１は、ディスクの識別子を示す。カラム１００１は、図６のカラム６０３と対応する。

カラム１００２は、カラム１００１に示すディスク１３１の同期ディスクが存在する外部ディスク装置１０３の識別子を示す。カラム１００２は、図６のカラム６０６に対応する。

カラム１００３は、同期ディスクの識別子を示す。カラム１００３は、図６のカラム６０７に対応する。

例えば、図９の外部ディスク装置９３０が図６の外部ディスク装置「ＡＲＲＡＹ０」に対応する場合、カラム１００１には、「ＶＯＬ０」、「ＶＯＬ１」及び「ＶＯＬ２」が登録される。カラム１００２には、「ＶＯＬ０」、「ＶＯＬ１」及び「ＶＯＬ２」に対応して、「ＡＲＲＡＹ１」が登録される。カラム１００３には、「ＶＯＬ０」、「ＶＯＬ１」及び「ＶＯＬ２」に対応して、「ＳＶＯＬ０」、「ＳＶＯＬ１」及び「ＳＶＯＬ２」が登録される。これは、外部ディスク装置「ＡＲＲＡＹ０」のディスク「ＶＯＬ０」、「ＶＯＬ１」及び「ＶＯＬ２」の同期ディスクが、それぞれ、外部ディスク装置「ＡＲＲＡＹ１」内のディスク「ＳＶＯＬ０」、「ＳＶＯＬ１」及び「ＳＶＯＬ２」であることを意味する。

図１１は、本発明の第１の実施の形態の外部ディスク装置１０３が備えるセキュリティ制御プログラムの説明図である。

セキュリティ制御プログラム１１０３は、コントローラ１３０のメモリ（図示省略）に格納され、そのコントローラのプロセッサ（図示省略）によって実行される。

セキュリティ制御プログラム１１０３は、サーバ１０２による論理ディスクへのアクセスを許可又は禁止する。例えば、図１１に示すように、コントローラ１３０が備えるポートと、サーバ１１０１が備えるアダプタ１１１０と、サーバ１１０２が備えるアダプタ１１２０とがＮＷ−ＳＷ１０４を介して接続されている場合について説明する。ここで、アダプタ１１１０及び１１２０は、それぞれ、ＩＤ１１１１及びＩＤ１１２１によって識別される。

この場合、セキュリティ制御プログラム１１０３は、サーバ１１０１による論理ディスク１１３０へのアクセスを許可し、サーバ１１０２による論理ディスク１１３１へのアクセスを許可し、サーバ１１０１による論理ディスク１１３１へのアクセスを禁止し、サーバ１１０２による論理ディスク１１３０へのアクセスを禁止することができる。

その結果、サーバ１１０１は、論理ディスク１１３０にアクセスすることができるが、論理ディスク１１３１にアクセスすることができない。サーバ１１０２は、論理ディスク１１３１にアクセスすることができるが、論理ディスク１１３０にアクセスすることができない。このアクセス許可又は禁止の制御は、セキュリティ制御プログラム１１０３が、ＩＤ１１１１及びＩＤ１１２１と、論理ディスク１１３０及び論理ディスク１１３１との間のアクセス許可のマッピングを設定することによって実行される。

上記の説明は、ディスク１１３０及び１１３１が論理ディスクである場合の例であるが、ディスク１１３０及びディスク１１３１は、図１のディスク１３１であっても、論理ディスクであっても、同期ディスクであってもよい。

図１１のディスクマッピングテーブル１１３２は、論理ディスク１１３０及び論理ディスク１１３１と、ＩＤ１１１１及びＩＤ１１２１との間のマッピング関係を示す情報を保持するテーブルである。セキュリティ制御プログラム１１０３は、コントローラ１３０の管理ポート（図示省略）に接続されている管理サーバ１０１によって制御され、論理ディスク１１３０及び論理ディスク１１３１と、ＩＤ１１１１及びＩＤ１１２１との間のマッピングの設定及び解除を実行することができる。

図１２は、本発明の第１の実施の形態のディスクマッピングテーブル１１３２の説明図である。

図１２は、例として、図１１に示すディスクマッピングテーブル１１３２の詳細を示す。

カラム１２０１は、論理ディスクの識別子を示す。カラム１２０１は図６のカラム６０５およびカラム６０９に対応する。ここで、外部ディスク装置１０３のコントローラ１３０が図７に示す論理ディスク管理プログラム７４０及び７４１を備えない場合、カラム１２０１には、図１のディスク１３１が登録されても、図９の同期ディスク９７１が登録されてもよい。

カラム１２０２は、カラム１２０１に示す論理ディスクへのアクセスを許可されているアダプタのＩＤを示す。例えば、カラム１２０２には、図１１のアダプタ１１１０のＩＤ１１１１及びアダプタ１１２０のＩＤ１１２１が登録される。

図１２の例では、カラム１２０１に、論理ディスク「ＬＵＮ０」、「ＬＵＮ１」、「ＬＵＮ２」、「ＬＵＮ４」、「ＬＵＮ５」及び「ＬＵＮ１２」が登録されている。そして、これらの論理ディスクに対応して、カラム１２０２に、「ＷＷＮ０」、「ＷＷＮ１」、「ＷＷＮ２」、「ＷＷＮ４」、「ＷＷＮ５」及び「ＷＷＮ７」が登録されている。これは、サーバ１０２のアダプタ「ＷＷＮ０」、「ＷＷＮ１」、「ＷＷＮ２」、「ＷＷＮ４」、「ＷＷＮ５」及び「ＷＷＮ７」が、それぞれ、論理ディスク「ＬＵＮ０」、「ＬＵＮ１」、「ＬＵＮ２」、「ＬＵＮ４」、「ＬＵＮ５」及び「ＬＵＮ１２」にアクセスできることを示す。一方、例えば、アダプタ「ＷＷＮ０」は、論理ディスク「ＬＵＮ１」にアクセスすることができない。

図１３は、本発明の第１の実施の形態の各機器が実行する動作シーケンスの説明図である。

図示するシーケンスは、業務停止サーバ１３０１、業務再開サーバ１３０２、障害回復プログラム１３０３及びブートパス冗長化プログラム１３０４の動作シーケンスである。ここで、業務停止サーバ１３０１は、図１に示すサーバ１０２のうち、計算機システム上で発生した障害を原因として、業務遂行のために使用していたディスク１３１にアクセスできなくなるサーバ１０２である。業務停止サーバ１３０１は、ディスク１３１にアクセスできなくなる結果、業務を続行することができなくなる。業務再開サーバ１３０２は、図１に示すサーバ１０２のうち、業務停止サーバ１３０１から業務を引き継ぐサーバ１０２である。障害回復プログラム１３０３及びブートパス冗長化プログラム１３０４は、それぞれ、図３に示す障害回復プログラム１１０及びブートパス冗長化プログラム１１１である。

最初に、ブートパス冗長化プログラム１３０４が、ブートパスの冗長化を実行する（ステップ１３４０）。ステップ１３４０が実行される結果、業務停止サーバ１３０１が利用するディスクイメージが、一つ以上の外部ディスク装置１０３の一つ以上のコントローラ１３０のポートを介して、いずれかのサーバ１０２によってアクセスできる状態となる。ここで、業務停止サーバ１３０１が利用するディスクイメージとは、業務停止サーバ１３０１が、ブート、データの記録又は参照のために利用するディスクイメージである。ただし、この時点では、ネットワークのセキュリティ設定によって、業務停止サーバ１３０１のみが、業務停止サーバ１３０１が利用するディスクイメージにアクセス可能な状態となっている。ステップ１３４０の処理については、後で詳細に説明する（図１４参照）。

次に、業務停止サーバ１３０１が業務を開始する（ステップ１３１０）。

次に、計算機システム上のいずれかの機器で障害が発生する。このとき、障害回復プログラム１３０３が、機器に障害が発生したことを検知する（ステップ１３３０）。

次に、障害回復プログラム１３０３は、機器の障害が原因で業務が停止するサーバ１０２を検索する（ステップ１３３１）。図１３の例では、この検索の結果発見されたサーバ１０２が業務停止サーバ１３０１である。なお、ステップ１３３１において、複数の業務停止サーバ１３０１が発見されてもよい。

次に、障害回復プログラム１３０３は、業務停止サーバ１３０１の電源遮断（ＯＦＦ）を要求する（ステップ１３３２）。この要求を受けた業務停止サーバ１３０１は、電源を遮断する（ステップ１３１１）。業務停止サーバ１３０１は、電源を遮断する前に、ＯＳのシャットダウン、アプリケーションの停止手続き、メモリダンプ取得又はログ取得等の障害解析のための作業を実行してもよい。業務停止サーバ１３０１の停止を障害回復プログラム１３０３が確認すると、次のステップ１３３３に進む。

ステップ１３３３において、障害回復プログラム１３０３は、業務再開サーバ１３０２を検索する。具体的には、業務停止サーバ１３０１が利用していたディスクイメージにアクセス可能であり、かつ、障害を発生していないコントローラ１３０のポートに、障害が発生した機器を経由せずに接続されているサーバ１０２が業務再開サーバ１３０２として検索される。なお、業務停止サーバ１３０１が複数存在する場合、障害回復プログラム１３０３は、それと同じ数の業務再開サーバ１３０２を検索する。

業務再開サーバ１３０２の検索が完了すると、ブートパス冗長化プログラム１３０４が、ネットワークのセキュリティ設定を変更する（ステップ１３４１）。具体的には、ブートパス冗長化プログラム１３０４は、業務停止サーバ１３０１が利用していたディスクイメージに業務再開サーバ１３０２がアクセスできるように、ネットワークのセキュリティ設定を変更する。

ネットワークのセキュリティ設定変更が完了すると、障害回復プログラム１３０３は、業務再開サーバ１３０２のブート設定を変更するため、業務再開サーバ１３０２をネットワークブートする（ステップ１３３４）。このとき、障害回復プログラム１３０３は、ブート設定変更プログラム３４０を業務再開サーバ１３０２に送信する。その結果、業務再開サーバ１３０２がネットワークブートする（ステップ１３２０）。そして、業務再開サーバ１３０２は、障害回復プログラム１３０３から送信されたブート設定変更プログラム３４０を実行することによって、業務再開サーバ１３０２が保持しているブートに必要なパラメータを更新する。

ブート設定の変更が完了すると、障害回復プログラム１３０３は、業務停止サーバ１３０１が利用していたディスクイメージを利用してブートするように、業務再開サーバ１３０２に指示する（ステップ１３３５）。

ステップ１３３５の指示を受けた業務再開サーバ１３０２は、業務停止サーバ１３０１が利用していたディスクイメージを利用してブートする（ステップ１３２１）。具体的には、業務再開サーバ１３０２は、業務停止サーバ１３０１が利用していたディスクイメージからＯＳ等を読み込むことによってブートする。

次に、業務再開サーバ１３０２は、業務停止サーバ１３０１が実行していた業務を再開する（ステップ１３３２）。

以下、図１３に示したシーケンスをより詳細に説明する。

図１４は、本発明の第１の実施の形態のブートパス冗長化プログラム１１１が実行するブートパスの冗長化を説明するフローチャートである。

図１４は、図１３におけるステップ１３４０を詳細に説明する図である。図１４のシーケンスは、論理ディスク制御モジュール３２０及び同期ディスク制御モジュール３２１によって実行される。

なお、図１４の処理は、計算機システム内で、一つのディスク１３１にしか記録されていないディスクイメージが存在する場合に、そのディスク１３１を対象として実行される。例えば、ディスクイメージ「Ｄ０」が、ディスク「ＶＯＬ０」のみに記録されている場合、ディスク「ＶＯＬ０」を対象として図１４の処理が実行される。その結果、ディスク「ＳＶＯＬ０」が作成される。

最初に、論理ディスク制御モジュール３２０が、冗長パス情報テーブル３２３を参照し、外部ディスク装置の論理ディスク管理プログラムに対して、処理の対象のディスク１３１に対応する論理ディスクの作成を要求する（ステップ１４０１）。例えば、論理ディスク制御モジュール３２０は、図６に示す冗長パス情報テーブル３２３を参照し、カラム６０２に示す外部ディスク装置１０３に対して、カラム６０３に示すディスク１３１に対応する論理ディスクとして、カラム６０４に示すコントローラにおいてカラム６０５に示す論理ディスクを作成することを要求する。

この要求を受けた外部ディスク装置１０３は、要求に従い、論理ディスクを作成する。論理ディスク作成を完了すると、外部ディスク装置１０３は、完了通知を論理ディスク制御モジュール３２０に送信する。

論理ディスク制御モジュール３２０は、外部ディスク装置１０３の論理ディスク管理プログラムから論理ディスク作成完了通知を受信する（ステップ１４０２）。

次に、同期ディスク制御モジュール３２１は、冗長パス情報テーブル３２３を参照し、同期外部ディスク装置に同期ディスクを作成するように要求する（ステップ１４０３）。例えば、同期ディスク制御モジュール３２１は、図６の冗長パス情報テーブル３２３を参照し、カラム６０６に示す同期外部ディスク装置に対して、カラム６０７に示す同期ディスクの作成を要求する。

この要求を受けた外部ディスク装置１０３は、要求に従い、同期ディスクを作成する。そして、外部ディスク装置１０３は、完了通知を同期ディスク制御モジュール３２１に送信する。

同期ディスク制御モジュール３２１は、同期外部ディスク装置から同期ディスク作成及び同期開始の完了通知を受信する（ステップ１４０４）。

次に、論理ディスク制御モジュール３２０は、冗長パス情報テーブル３２３を参照し、同期外部ディスク装置の論理ディスク管理プログラムに対して、同期ディスクに対応する論理ディスクの作成を要求する（ステップ１４０５）。例えば、論理ディスク制御モジュール３２０は、図６のカラム６０６に示す外部ディスク装置１０３に対して、カラム６０７に示すディスク１３１に対応する論理ディスクとして、カラム６０８に示すコントローラにおいてカラム６０９に示す論理ディスクを作成するように要求する。

この要求を受けた外部ディスク装置１０３は、要求に従い、論理ディスクを作成する。論理ディスク作成を完了すると、外部ディスク装置１０３は、完了通知を論理ディスク制御モジュール３２０に送信する。

論理ディスク制御モジュール３２０は、同期外部ディスク装置の論理ディスク管理プログラムから論理ディスク作成完了通知を受信する（ステップ１４０６）。

次に、同期ディスク制御モジュール３２１は、ディスク同期プログラムに対して、処理の対象のディスク１３１と、同期外部ディスク装置内の同期ディスクとの間で、記録された内容を同期する処理の開始を要求する（ステップ１４０７）。ディスク１３１の内容を同期する処理とは、一方のディスク１３１に記録された内容を、もう一方のディスク１３１に複写する処理である。例えば、同期ディスク制御モジュール３２１は、図６の冗長パス情報テーブル３２３を参照し、カラム６０２に示す外部ディスク装置１０３と、カラム６０６に示す外部ディスク装置１０３に対して、カラム６０３に示すディスク１３１に記録された内容を、カラム６０７に示すディスク１３１に複写する処理を開始するように要求する。要求を受けた外部ディスク装置１０３は、要求に従い、ディスクの同期を開始する。そして、外部ディスク装置１０３は、同期開始の完了通知を同期ディスク制御モジュール３２１に送信する。

同期ディスク制御モジュール３２１は、外部ディスク装置１０３のディスク同期プログラムから同期開始完了通知を受信する（ステップ１４０８）。

図１５は、本発明の第１の実施の形態の障害回復プログラム１１０が実行する障害監視処理を説明するフローチャートである。

図１５に示す処理は、図１３のステップ１３３０において、障害監視モジュール３０１によって実行される。

計算機システムを構成する機器で障害が発生すると、障害監視モジュール３０１が機器の障害発生通知を検知する（ステップ１５０１）。計算機システムを構成する機器とは、例えば、サーバ１０２、アダプタ１２０、ＮＷ−ＳＷ１０４、外部ディスク装置１０３又はコントローラ１３０である。

なお、障害監視モジュール３０１は、計算機システムを構成する機器と、ネットワークを介して通信可能である。各機器は、例えばSimple Network Management Protocol（ＳＮＭＰ）等のプロトコル又はプロプライエタリな通信手段によって、機器に発生した障害を障害監視モジュール３０１に通知することができる。障害監視モジュール３０１は、機器から障害発生通知を受信することで、障害の発生を検知できる。あるいは、障害監視モジュール３０１は、機器に対して機器の状態を定期的に問い合わせ、状態の変化を監視することで、機器の障害発生を検知することもできる。

次に、障害監視モジュール３０１は、障害が発生した機器を特定する（ステップ１５０２）。ここで、機器の障害の程度が軽度であり、機器の障害の影響が計算機システムの運用に影響しない場合、障害発生を無視することができる。

次に、障害監視モジュール３０１は、業務停止サーバ検索モジュール３０２及び業務再開サーバ検索モジュール３０３に、障害が発生した機器（以下、障害発生機器と記載する）の識別子を通知する（ステップ１５０３）。

図１６は、本発明の第１の実施の形態の障害回復プログラム１１０が実行する業務停止サーバ検索及びサーバ電源制御を説明するフローチャートである。

図１６に示す処理は、図１３のステップ１３３１及びステップ１３３２において、業務停止サーバ検索モジュール３０２及びサーバ電源制御モジュール３０５によって実行される。

最初に、業務停止サーバ検索モジュール３０２が障害監視モジュール３０１から障害発生機器の識別子を受信する（ステップ１６０１）。この情報は、図１５のステップ１５０３において送信されたものである。

次に、業務停止サーバ検索モジュール３０２は、サーバ情報テーブル３０６を参照し、業務停止サーバ１３０１を検索する（ステップ１６０２）。業務停止サーバ１３０１とは、障害発生機器を利用しているサーバ１０２である。

例えば、外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ１」において障害が発生した場合について説明する。この場合、図４において、サーバ「Ｓ４」は、カラム４０７及びカラム４０８に示すように、外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ１」に接続されている。さらに、カラム４０４に示すように、サーバ「Ｓ４」から外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ１」に至るパスは、「利用中」である。したがって、外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ１」に障害が発生した場合、でサーバ「Ｓ４」は、業務の続行ができなくなる。このため、サーバ「Ｓ４」が業務停止サーバ１３０１となる。

どのサーバ１０２も障害発生機器を利用していない場合、業務停止サーバ１３０１は存在しない。

次に、業務停止サーバ検索モジュール３０２は、業務停止サーバ１３０１が存在するか否かを判定する（ステップ１６０３）。

ステップ１６０３において、業務停止サーバ１３０１が存在しないと判定された場合、いずれかのサーバ１０２が業務を引き継ぐ必要がない。この場合、処理が終了する。

一方、ステップ１６０３において、業務停止サーバ１３０１が存在すると判定された場合、業務停止サーバ検索モジュール３０２は、業務停止サーバ１３０１の電源遮断をサーバ電源制御モジュール３０５に要求する（ステップ１６０４）。

この要求を受けたサーバ電源制御モジュール３０５は、業務停止サーバ１３０１の電源遮断を実行する（ステップ１６０５）。例えば、サーバ電源制御モジュール３０５は、図２に示したＢＭＣ２０５に対して、ネットワークを介して電源遮断の実行を要求してもよい。その要求を受けたＢＭＣ２０５は、サーバの電源を遮断する。さらに、サーバ電源制御モジュール３０５は、電源遮断を実行する前に、サーバ１０２で稼動するソフトウェアの停止又はシャットダウンを要求することもできる。

次に、サーバ電源制御モジュール３０５は、業務停止サーバ１３０１の電源遮断を確認する（ステップ１６０６）。そして、サーバ電源制御モジュール３０５は、業務停止サーバ検索モジュール３０２に電源遮断完了を通知する。

以上で、サーバ電源制御モジュール３０５の処理が終了する。

業務停止サーバ検索モジュール３０２は、電源遮断完了の通知を受信すると、業務再開サーバ検索モジュール３０３に業務再開サーバ１３０２の検索を要求する（ステップ１６０７）。

以上で、業務停止サーバ検索モジュール３０２の処理が終了する。

図１７は、本発明の第１の実施の形態の障害回復プログラム１１０が実行する業務再開サーバの検索を説明するフローチャートである。

図１７に示す処理は、図１３のステップ１３３３及びステップ１３３４において、業務再開サーバ検索モジュール３０３によって実行される。

最初に、業務再開サーバ検索モジュール３０３は、障害監視モジュール３０１から、障害発生機器の識別子を受信する（ステップ１７０１）。この情報は、図１５のステップ１５０３において送信されたものである。

次に、業務再開サーバ検索モジュール３０３は、業務停止サーバ検索モジュール３０２から、業務再開サーバ１３０２の検索要求を受信する（ステップ１７０２）。この要求は、図１６のステップ１６０７において送信されたものである。

次に、業務再開サーバ検索モジュール３０３は、業務再開サーバ１３０２を検索する（ステップ１７０３）。詳細は後述する（図１８参照）。

次に、業務再開サーバ検索モジュール３０３は、ステップ１７０３の結果を参照して、業務再開サーバ１３０２が存在するか否かを判定する（ステップ１７０４）。

ステップ１７０４において、業務再開サーバ１３０２が存在しないと判定された場合、どのサーバ１０２も、業務停止サーバ１３０１から業務を引き継ぐことができない。このため、処理が終了する。

一方、ステップ１７０４において、業務再開サーバ１３０２が存在すると判定された場合、業務再開サーバ検索モジュール３０３は、ネットワークセキュリティ制御モジュール３２２に、業務再開サーバ１３０２の識別子、利用ディスク識別子及び利用機器を通知する（ステップ１７０５）。ここで、利用機器とは、業務再開サーバ１３０２が業務を再開するために利用する計算機システムの機器の一覧である。例えば、利用機器は、図４に示すサーバ情報テーブル３０６のカラム４０５、カラム４０６、カラム４０７及びカラム４０８に示す機器の組み合わせである。

ステップ１７０５の通知を受信したネットワークセキュリティ制御モジュール３２２が実行するネットワークセキュリティ設定については、後述する（図１９参照）。

次に、業務再開サーバ検索モジュール３０３は、ネットワークセキュリティ制御モジュール３２２からネットワークセキュリティ設定完了通知を受信する（ステップ１７０６）。この通知は、後述する図１９のステップ１９０５において送信されたものである。

次に、業務再開サーバ検索モジュール３０３は、外部ディスク装置情報テーブル３０７を参照し、業務再開サーバ１３０２の識別子と、業務再開サーバ１３０２がブートに利用する外部ディスク装置１０３のコントローラ１３０のポートＩＤを、ブート設定変更モジュール３０４に通知する（ステップ１７０７）。例えば、図５に示す外部ディスク装置情報テーブル３０７のカラム５０１に示す外部ディスク装置１０３が備える、カラム５０２に示すコントローラがブートに利用される場合、カラム５０３に示すポートＩＤが通知される。

次に、業務再開サーバ検索モジュール３０３は、ブート設定変更モジュール３０４に、業務再開サーバ１３０２のブート設定変更を要求する（ステップ１７０８）。

以上で、業務再開サーバ検索モジュール３０３の処理が終了する。

図１８は、本発明の第１の実施の形態の障害回復プログラム１１０が実行する業務再開サーバの検索を詳細に説明するフローチャートである。

具体的には、図１８は、図１７のステップ１７０３において業務再開サーバ検索モジュール３０３が実行する処理を詳細に示す。

最初に、業務再開サーバ検索モジュール３０３は、サーバ情報テーブル３０６を参照し、障害発生機器を利用しない待機中のサーバ１０２を検索する（ステップ１８０１）。例えば、外部ディスク装置「ＡＲＲＡＹ１」が備えるコントローラ「ＣＴＲＬ１」に障害が発生した場合について、図４のサーバ情報テーブル３０６を参照して説明する。この場合、待機中のサーバ「Ｓ３」及び「Ｓ６」のいずれも、外部ディスク装置「ＡＲＲＡＹ０」のコントローラ「ＣＴＲＬ１」を利用することができる。言い換えると、これらのサーバは、外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ１」を利用しなくてもよい。このため、サーバ「Ｓ３」及び「Ｓ６」が、障害発生機器を利用しない待機中のサーバ１０２に該当する。

次に、業務再開サーバ検索モジュール３０３は、ステップ１８０１の検索の結果を参照し、障害発生機器を利用しない待機中のサーバ１０２が存在するか否かを判定する（ステップ１８０２）。

ステップ１８０２において、ステップ１８０１の条件に該当するサーバが存在しないと判定された場合（すなわち、「ＮＯ」の場合）、業務停止サーバ１３０１から業務を引き継ぐことができるサーバ１０２が存在しない。この場合、図１８の処理が終了する。

ステップ１８０２において、ステップ１８０１の条件に該当するサーバが存在すると判定された場合、業務再開サーバ検索モジュール３０３は、冗長パス情報テーブル３２３及びサーバ情報テーブル３０６を参照して、業務再開サーバとして利用できる一つ以上のサーバ１０２と、そのサーバ１０２が利用する機器とを検索する（ステップ１８０３）。

業務再開サーバとして利用できるサーバ１０２とは、具体的には、ステップ１８０１で検索されたサーバ１０２のうち、業務停止サーバ１３０１が業務に利用していたものと同一のディスクイメージを記録する論理ディスク又はその同期ディスクの論理ディスクを持つ外部ディスク装置１０３とコントローラ１３０との組み合わせに対して接続可能なサーバ１０２である。

そして、そのサーバ１０２が利用する機器とは、そのサーバ１０２がディスクイメージにアクセスするために利用するアダプタ１２０、ＮＷ−ＳＷ１０４、コントローラ１３０及び外部ディスク装置１０３等の機器のうち、障害が発生していないものである。

例えば、外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ１」に障害が発生し、業務停止サーバ１３０１がディスクイメージ「Ｄ４」を利用していた場合について、冗長パス情報テーブル３２３（図６）及びサーバ情報テーブル３０６（図４）を参照して説明する。

まず、冗長パス情報テーブル３２３（図６）が参照される。ディスクイメージ「Ｄ４」は、外部ディスク装置「ＡＲＲＡＹ１」内のディスク「ＶＯＬ４」、及び、外部ディスク装置「ＡＲＲＡＹ０」内のディスク「ＳＶＯＬ４」に記録されている。外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ０」は、ディスク「ＶＯＬ４」を、論理ディスク「ＬＵＮ４」としてサーバ１０２に提供している。外部ディスク装置「ＡＲＲＡＹ０」のコントローラ「ＣＴＲＬ０」は、ディスク「ＳＶＯＬ４」を、論理ディスク「ＬＵＮ１４」としてサーバ１０２に提供している。

次に、上記の論理ディスク「ＬＵＮ４」又は「ＬＵＮ１４」を利用できるサーバ１０２を検索するために、サーバ情報テーブル３０６（図４）が参照される。ここでは、ステップ１８０１においてサーバ「Ｓ３」及び「Ｓ６」が検索された場合について説明する。

サーバ情報テーブル３０６に示す通り、サーバ「Ｓ３」は、外部ディスク装置「ＡＲＲＡＹ０」の「ＣＴＲＬ０」に接続可能である。言い換えると、サーバ「Ｓ３」は、外部ディスク装置「ＡＲＲＡＹ０」の「ＣＴＲＬ０」が提供する論理ディスク「ＬＵＮ１４」を利用することができる。一方、サーバ「Ｓ６」は、外部ディスク装置「ＡＲＲＡＹ１」のコントローラ「ＣＴＲＬ０」、及び、外部ディスク装置「ＡＲＲＡＹ０」のコントローラ「ＣＴＲＬ０」のいずれにも接続することができない。言い換えると、サーバ「Ｓ６」は、論理ディスク「ＬＵＮ４」及び「ＬＵＮ１４」のいずれも利用することができない。

この場合、ステップ１８０３の検索の結果として、サーバ「Ｓ３」が取得される。この場合、利用機器は、アダプタ「ＷＷＮ３」（カラム４０５参照）、ＮＷ−ＳＷ「ＳＷ０」（カラム４０６参照）、外部ディスク装置「ＡＲＲＡＹ０」及びコントローラ「ＣＴＲＬ０」となる。

以上で、ステップ１８０３が終了する。

次に、業務再開サーバ検索モジュール３０３は、ステップ１８０３の検索の結果としていずれかのサーバ１０２が発見されたか否かを判定する（ステップ１８０４）。

ステップ１８０４において、ステップ１８０３の検索の結果としていずれのサーバ１０２も発見されなかったと判定された場合（すなわち、「ＮＯ」の場合）、業務停止サーバ１３０１から業務を引き継ぐことができるサーバ１０２が存在しない。この場合、図１８の処理が終了する。

一方、ステップ１８０４において、ステップ１８０３の検索の結果としていずれかのサーバ１０２が発見されたと判定された場合、発見されたサーバ１０２は、業務停止サーバ１３０１から業務を引き継ぐことができる。この場合、業務再開サーバ検索モジュール３０３は、ステップ１８０３の結果のサーバ１０２及び利用機器から、業務再開サーバ１３０１及び利用機器を決定する（ステップ１８０５）。利用機器とは、業務再開サーバ１３０１が利用するアダプタ１２０、ＮＷ−ＳＷ１０４、外部ディスク装置１０３、コントローラ１３０及び論理ディスクの組み合わせである。

例えば、ステップ１８０３の結果、複数のサーバ１０２及び利用機器が発見された場合、サーバ１０２及び利用機器のスペック、これらの位置条件又は物理条件、又は、優先度に基づいて、業務再開サーバ１３０１及び利用機器が決定されてもよい。あるいは、ユーザが記述したポリシーに基づいて業務再開サーバ１３０１及び利用機器が決定されてもよい。

ステップ１８０５が終了すると、図１８に示す処理が終了する。

図１８に示す処理が終了すると、業務再開サーバ検索モジュール３０３の処理は、図１７のステップ１７０４に戻る。

ステップ１８０５が実行された結果、図１８の処理が終了した場合、業務再開サーバ検索モジュール３０３は、ステップ１７０４において、「存在する」と判定する。

一方、ステップ１８０２又は１８０４において「ＮＯ」と判定された結果、図１８の処理が終了した場合、業務再開サーバ検索モジュール３０３は、ステップ１７０４において、「存在しない」と判定する。

図１９は、本発明の第１の実施の形態のブートパス冗長化プログラム１１１が実行するネットワークセキュリティ制御を説明するフローチャートである。

図１９に示す処理は、図１３のステップ１３４１において、ネットワークセキュリティ制御モジュール３２２によって実行される。

最初に、ネットワークセキュリティ制御モジュール３２２は、業務再開サーバ検索モジュール３０２から、業務再開サーバ１３０２の識別子と、利用するディスク識別子と、利用機器の識別子と、を受信する（ステップ１９０１）。これらの情報は、図１７のステップ１７０５において送信されたものである。ここで、利用機器とは、業務再開サーバ１３０２が業務を再開するために利用する計算機システム内の機器である。例えば、利用機器は、図４に示すサーバ情報テーブル３０６のカラム４０５、カラム４０６、カラム４０７及びカラム４０８に示す機器の組み合わせである。

次に、ネットワークセキュリティ制御モジュール３２２は、利用機器の情報のうち、業務再開サーバ１３０２のアダプタＩＤ、外部ディスク装置１０３、コントローラ１３０及び論理ディスクの情報を取得する（ステップ１９０２）。

次に、ネットワークセキュリティ制御モジュール３２２は、ステップ１９０２で取得した外部ディスク装置１０３のコントローラ１３０のセキュリティ制御プログラムに対して、ステップ１９０２で取得したアダプタＩＤと論理ディスクとの間のディスクアクセスを許可するように、セキュリティ設定を変更することを要求する（ステップ１９０３）。セキュリティ設定変更とは、ディスクマッピングテーブル１１３２（図１１及び図１２参照）に登録されたマッピング関係を変更することである。

例えば、図１１において、サーバ１１０１が備えるアダプタ１１１０のＩＤ１１１１が「ＷＷＮ０」であり、サーバ１１０２が備えるアダプタ１１２０のＩＤ１１２１が「ＷＷＮ１」であると仮定する。図１２に示すように、論理ディスク「ＬＵＮ０」はアダプタ「ＷＷＮ０」にマッピングされ、論理ディスク「ＬＵＮ１」はアダプタ「ＷＷＮ１」にマッピングされている。したがって、この場合、サーバ１１０１は、論理ディスク「ＬＵＮ０」１１３０のみにアクセス可能であり、サーバ１１０２は、論理ディスク「ＬＵＮ１」１１３１のみにアクセス可能である。

この場合、ネットワークセキュリティ制御モジュール３２２は、セキュリティ制御プログラムに要求することによって、例えば、図１２のディスクマッピングテーブル１１３２において、論理ディスク「ＬＵＮ１」（カラム１２０１）に対応するカラム１２０２の値を、「ＷＷＮ１」から「ＷＷＮ０」に変更することができる。その結果、論理ディスク「ＬＵＮ１」には、新たにアダプタ「ＷＷＮ０」がマッピングされる。その結果、サーバ１１０１が論理ディスク「ＬＵＮ１」１１３１にアクセス可能となる。このように、論理ディスクとアダプタ１２０との間のマッピングを変更することによって、セキュリティ設定が変更される。

ステップ１９０３の要求を受けた外部ディスク装置１０３のセキュリティ制御プログラムは、その要求に従って、セキュリティ設定変更を実行する。そして、セキュリティ設定変更が完了すると、セキュリティ制御プログラムは、ネットワークセキュリティ制御モジュール３２２に対して完了を通知する。

ネットワークセキュリティ制御モジュール３２２は、外部ディスク装置１０３のセキュリティ制御プログラムから、セキュリティ設定変更完了通知を受信する（ステップ１９０４）。

次に、ネットワークセキュリティ制御モジュール３２２は、業務再開サーバ検索モジュール３０２に対して、セキュリティ設定変更完了を通知する（ステップ１９０５）。

以上で、ネットワークセキュリティ制御モジュール３２２は、処理を終了する。

図２０は、本発明の第１の実施の形態の障害回復プログラム１１０が実行するブート設定変更及びサーバ電源制御を説明するフローチャートである。

図２０に示す処理は、図１３のステップ１３３４、ステップ１３３５及びステップ１３２０において、ブート設定変更モジュール３０４、サーバ電源制御モジュール３０５及び業務再開サーバ１３０２によって実行される。

最初に、ブート設定変更モジュール３０４は、業務再開サーバ検索モジュール３０２から、業務再開サーバ１３０２の識別子、ブートに利用する外部ディスク装置１０３のコントローラ１３０のポートＩＤ、及び、ブート設定変更要求を受信する（ステップ２００１）。これらの情報は、図１７のステップ１７０７及び１７０８において送信されたものである。

次に、ブート設定変更モジュール３０４は、業務再開サーバ１３０２の電源投入をサーバ電源制御モジュール３０５に要求する（ステップ２００２）。

ステップ２００２の要求を受信したサーバ電源制御モジュール３０５は、業務再開サーバ１３０２に対して電源投入を指示する（ステップ２００３）。例えば、サーバ電源制御モジュール３０５は、図２に示したＢＭＣ２０５に対して、ネットワークを介して電源投入の要求を送信する。この要求を受信したＢＭＣ２０５が、サーバの電源を投入する。

次に、サーバ電源制御モジュール３０５は、業務再開サーバ１３０２の電源投入の完了を確認する（ステップ２００４）。ここで、業務再開サーバ１３０２はネットワークブートが可能であることを前提とする。例えば、業務再開サーバ１３０２が備えるＮＩＣ１２１は、ネットワークブートプロトコルであるＢＯＯＴＰ又はＰＸＥ等をサポートしている。さらに、電源投入時にネットワークブートによってブートされるように、業務再開サーバ１３０２のＳｙｓｔｅｍＢＩＯＳ又はＥＦＩのブート順序が設定されている。

ステップ２００４において電源投入完了が確認されると、ブート設定変更モジュール３０４は、業務再開サーバ１３０２のネットワークブート要求を受信し、業務再開サーバ１３０２をネットワークブートし、さらに、ブート設定変更プログラム３４０を業務再開サーバ１３０２に送信する（ステップ２００５）。ここで、ブート設定変更モジュール３０４は、例えば、ＤＨＣＰサーバ等である。その場合、ブート設定変更モジュール３０４は、ネットワークを経由して業務再開サーバ１３０２から送信されるＢＯＯＴＰプロトコルを受信し、ブートに必要なＯＳ及びブート設定変更プログラム３４０をｔＦＴＰ等の方法によって業務再開サーバ１３０２に送信する。業務再開サーバ１３０２は、受信したブート設定プログラム３４０を利用してブートする。

業務再開サーバ１３０２は、ブート設定変更モジュール３０４から受信したブート設定変更プログラム３４０を実行し、業務再開サーバ１３０２の不揮発メモリ２０３に書き込まれたブート設定のポートＩＤを変更する（ステップ２００６）。ここで、ブート設定のポートＩＤとは、例えばアダプタ１２０がファイバチャネルのＨＢＡ（Ｈｏｓｔ Ｂｕｓ Ａｄａｐｔｏｒ）である場合、ＨＢＡがブートに利用する接続先のＷＷＮである。アダプタ１２０がｉＳＣＳＩのＮＩＣである場合、ポートＩＤは、ブートに利用するＩＰアドレス又はＭＡＣアドレスである。ブート設定のポートＩＤは、アダプタ１２０が備える不揮発メモリ（図示省略）に保持されてもよい。

ブート設定変更モジュール３０４は、ブート設定変更プログラム３４０から業務再開サーバ１３０２のブート設定変更完了通知を受信し、ブート設定変更完了を確認する（ステップ２００７）。

次に、ブート設定変更モジュール３０４は、業務停止サーバ１３０２のリセットをサーバ電源制御モジュール３０５に要求する（ステップ２００８）。

以上で、ブート設定変更モジュール３０４の処理が終了する。

ステップ２００８の要求を受信したサーバ電源制御モジュール３０５は、業務再開サーバ１３０２の電源遮断及び電源投入を順次実行することによって、業務再開サーバ１３０２をリセットする（ステップ２００９）。あるいは、ブート設定変更プログラム３４０が、ブート設定変更完了時に自動的にリセットしてもよい。

次に、サーバ電源制御モジュール３０５は、業務再開サーバ１３０２のリセット完了を確認する（ステップ２０１０）。業務再開サーバ１３０２は、リセットが実行された後は、ネットワークブートせずに、外部ディスク装置１０３のディスクを利用してブートする。ネットワークブートを実行しない方法としては、例えば、ブート設定変更プログラム３４０がＳｙｓｔｅｍＢＩＯＳ又はＥＦＩのブート順序設定を変更する方法、ブート設定変更モジュール３０４がネットワークブート要求を無視する方法、又は、業務再開サーバ１３０２のＢＭＣ２０５に対してコマンドを送付してブート順序を変更する方法がある。

以上の本発明の第１の実施の形態によれば、計算機システム内の機器が二重化される。このため、いずれかの機器に障害が発生した結果、いずれかのサーバ１０２が業務を続行できなくなった場合にも、障害が発生していないサーバ１０２が、障害が発生していない機器を利用して起動することによって、業務を再開することができる。発生した障害によって業務を続行できなくなるサーバ１０２を判定し、その業務を引き継ぐサーバ１０２及びそのサーバ１０２が利用する機器を判定し、そのサーバ１０２を起動する処理は、管理サーバ１０１によって自動的に実行される。このため、システム管理者の作業負担が軽減される。

次に、本発明の第２の実施の形態について説明する。

本発明の第２の実施の形態は、図９で示したディスク同期プログラムが存在しない点において、第１の実施の形態と異なる。以下、第２の実施の形態が第１の実施の形態と異なる点についてのみ説明する。

図２１は、本発明の第２の実施の形態において実行されるミラーリングの説明図である。

具体的には、図２１は、本実施の形態において、異なる二つの外部ディスク装置２１２０及び２１２１の間でディスク２１３０及び２１３１の内容を同期し、同一のディスクイメージＤ０を保持する方法を示す。

本実施の形態のサーバ１０２は、ミラーリングプログラム２１００を備える。

ミラーリングプログラム２１００は、ＣＰＵ２１１０がディスク２１３０へ情報の書き込むために書き込み命令２１１１を実行すると、ディスク２１３０へ情報を書き込むとともに、同じ情報をディスク２１３１に対しても書き込む。これによって、サーバ１０２によるディスク２１３０への更新は、常にディスク２１３１へも適用されることとなり、ディスク２１３０とディスク２１３１の内容は一致する。

ミラーリングプログラム２１００は、サーバ１０２のメモリ２０１上に保持されるデーモン又はサービス等の常駐プログラムであっても、ドライバ等のプログラムであってもよい。その場合、ミラーリングプログラム２１００は、ＣＰＵ２１１０によって実行される。あるいは、ミラーリングプログラム２１００の機能が、アダプタ１２０に付随するハードウェアによって実現されてもよい。上記のいずれの場合においても、ＣＰＵ２１１０が一つのディスク２１３０に対するデータ書き込み命令を発行すると、アダプタ１２０は、二つのディスク２１３０及び２１３１に対する書き込み命令を送信する。

あるいは、ミラーリングプログラム２１００（又は同等の機能を備えるハードウェア）は、サーバ１０２の外部に存在してもよい。その場合、ミラーリングプログラム２１００は、サーバ１０２のアダプタ１２０から出力される情報の一つ以上のコピー情報を作成し、元の情報と、各コピー情報とを、それぞれ別々の外部ディスク装置１０３に送信してもよい。

管理サーバ１０１は、ネットワークを介してミラーリングプログラム２１００を制御することによって、ディスク２１３０等の同期開始及び停止を制御することができる。

本発明の第２の実施の形態の計算機システム内の各機器は、第１の実施の形態と同様、図１３に示すシーケンスに従って処理を実行する。ただし、第２の実施の形態のステップ１３４０の処理は、第１の実施の形態と相違する。以下、この相違点について説明する。

図２２は、本発明の第２の実施の形態のブートパス冗長化プログラム１１１が実行するブートパスの冗長化を説明するフローチャートである。

具体的には、図２２は、第２の実施の形態における図１３のステップ１３４０において、論理ディスク制御モジュール３２０及び同期ディスク制御モジュール３２１によって実行される処理を示す。

図２２に示す処理は、図１４のステップ１４０７及びステップ１４０８を、それぞれ、ステップ２２０１及びステップ２２０２によって置き換えたものである。図２２のステップ１４０１から１４０６までは、図１４のステップ１４０１から１４０６までと同じであるため、説明を省略する。

ステップ２２０１では、同期ディスク制御モジュール３２１が、図２１に示したサーバ１０２のミラーリングプログラム２１００に対して、業務停止サーバ１３０１が利用しているディスク２１３０と、別の外部ディスク装置２１２１に存在する同期ディスク２１３１との間で、内容の同期を開始することを要求する。この要求を受けたミラーリングプログラム２１００は、ディスクの同期を開始して、同期ディスク制御モジュール３２１に同期開始完了を通知する。その後、ＣＰＵ２１１０が一つのディスク２１３０に対するデータ書き込み命令を発行すると、アダプタ１２０は、二つのディスク２１３０及び２１３１に対する書き込み命令を送信する。

ステップ２２０２では、同期ディスク制御モジュール３２１が、図２１に示したサーバ１０２のミラーリングプログラム２１００から同期開始完了通知を受信する。

次に、本発明の第３の実施の形態について説明する。

本発明の第３の実施の形態は、図９で示したディスク同期プログラムが存在しない点において第１の実施の形態と異なり、図２１で示したミラーリングプログラムが存在しない点で第２の実施の形態とも異なる。

図２３は、本発明の第３の実施の形態において実行される同期ディスクの作成の説明図である。

具体的には、図２３は、本実施の形態において、異なる二つの外部ディスク装置２３１０及び２３１１の間でディスク２３２０及び２３２１の内容を同期し、同一のディスクイメージＤ０を保持する方法を示す。

本実施の形態では、計算機システム上のサーバ１０２の一つが同期サーバ２３０１となる。同期サーバ２３０１は、同期プログラム２３００を備える。同期サーバ２３０１は、業務を実施中のサーバ１０２であっても、そうでないサーバ１０２であってもよい。同期サーバ２３０１は、アダプタ２３０２及びＮＷ−ＳＷ１０４を介して、ディスク２３２０及びディスク２３２１にアクセスすることができる。同期プログラム２３００は、定期的にディスク２３２０の内容を読み込み、読み込んだ内容をディスク２３２１へ書き込むことによって、二つのディスク２３２０及び２３２１の内容を同期する。その結果、計算機システム上のサーバ１０２がディスク２３２０の内容を更新すると、同期プログラム２３００がディスク２３２１を更新する。

同期プログラム２３００は、同期サーバ２３０１のメモリ２０１上に保持されるデーモン又はサービス等の常駐プログラムであっても、ドライバ等のプログラムであってもよい。その場合、同期プログラム２３００は、ＣＰＵ２０２によって実行される。あるいは、同期プログラム２３００の機能が、アダプタ２３０２に付随するハードウェアによって実現されてもよい。

管理サーバ１０１は、ネットワークを介して同期プログラム２３００を制御することによって、ディスクの同期開始及び停止の制御を制御することができる。

本発明の第３の実施の形態の計算機システム内の各機器は、第１の実施の形態と同様、図１３に示すシーケンスに従って処理を実行する。ただし、第３の実施の形態のステップ１３４０の処理は、第１の実施の形態と相違する。以下、この相違点について説明する。

図２４は、本発明の第３の実施の形態のブートパス冗長化プログラム１１１が実行するブートパスの冗長化を説明するフローチャートである。

具体的には、図２４は、第３の実施の形態における図１３のステップ１３４０において、論理ディスク制御モジュール３２０及び同期ディスク制御モジュール３２１によって実行される処理を示す。

図２４に示す処理は、図１４のステップ１４０７及びステップ１４０８を、それぞれ、ステップ２４０１及びステップ２４０２によって置き換えたものである。図２４のステップ１４０１から１４０６までは、図１４のステップ１４０１から１４０６までと同じであるため、説明を省略する。

ステップ２４０１では、同期ディスク制御モジュール３２１が、図２３に示した同期サーバ２３０１の同期プログラム２３００に対して、業務停止サーバ１３０１が利用するディスク２３２０と、別の外部ディスク装置２３１１の同期ディスク２３２１との間で、内容の同期を開始することを要求する。この要求を受けた同期プログラム２３００は、ディスクの同期を開始して、同期ディスク制御モジュール３２１に同期開始完了を通知する。その後、同期プログラム２３００が実行される。

ステップ２４０２では、同期ディスク制御モジュール３２１が、図２３に示した同期サーバ２３０１の同期プログラム２３００から同期開始完了通知を受信する。

上記の本発明の第２及び第３の実施の形態によれば、外部ディスク装置１０３が同期ディスクを作成する機能を備えない場合にも、サーバ１０２が同期ディスクを作成することによって、本発明を実施することができる。

次に、本発明の第４の実施の形態について説明する。

上記の本発明の第１から第３の実施の形態では、外部ディスク装置１０３のコントローラ１３０がセキュリティ制御プログラムを備える。そして、そのセキュリティ制御プログラムが、サーバ１０２によるディスク１３１へのアクセスの許可及び禁止を制御する。しかし、このようなアクセスの許可及び禁止は、ネットワークが備える機能によって制御されてもよい。ネットワークが備える機能とは、例えば、Ｖｉｒｔｕａｌ ＬＡＮ（ＶＬＡＮ）機能、又は、ゾーニング機能である。

本発明の第４の実施の形態では、ＮＷ−ＳＷ１０４のコントローラ１４０がセキュリティ制御プログラムを備える。

図２５は、本発明の第４の実施の形態のサーバ情報テーブル３０６の説明図である。

図２５に示すサーバ情報テーブル３０６は、図４に示すサーバ情報テーブル３０６を、本実施の形態に適用するために拡張したものである。拡張された部分はカラム４１０である。カラム４０１から４０８は、図４のカラム４０１から４０８と同様であるため、説明を省略する。カラム４０７及び４０８の内容は省略されているが、これらのカラムには、図４のカラム４０７及び４０８と同様の内容が登録される。

カラム４１０には、カラム４０５に示すアダプタＩＤによって識別されるアダプタ１２０が、カラム４０６に示す接続先のＮＷ−ＳＷ１０４の物理ポートに接続されているとき、その接続先の物理ポートのポート番号が登録される。

図２５によれば、例えば、アダプタ「ＷＷＮ０」がＮＷ−ＳＷ「ＳＷ０」のポート「０」に接続され、アダプタ「ＷＷＮ１」がＮＷ−ＳＷ「ＳＷ０」のポート「１」に接続されている。

図２６は、本発明の第４の実施の形態の外部ディスク装置情報テーブル３０７の説明図である。

図２６に示す外部ディスク装置情報テーブル３０７は、図５に示す外部ディスク装置情報テーブル３０７を、本実施の形態に適用するために拡張したものである。拡張された部分は、カラム５１０及びカラム５１１である。カラム５０１から５０３は、図５のカラム５０１から５０３と同様であるため、説明を省略する。

カラム５１０には、カラム５０３に示すポートＩＤによって識別される物理ポートの接続先のＮＷ−ＳＷ１０４の識別子が登録される。

カラム５１１には、カラム５０３に示すポートＩＤによって識別される物理ポートがカラム５１０に示すＮＷ−ＳＷ１０４の物理ポートに接続されているとき、その接続先のＮＷ−ＳＷ１０４の物理ポートのポート番号が登録される。

図２７は、本発明の第４の実施の形態のＮＷ−ＳＷ１０４が実行するセキュリティ制御の説明図である。

具体的には、図２７は、本実施の形態のＮＷ−ＳＷ１０４が備えるセキュリティ制御プログラム１４１が実行する処理の概要を示す。ＮＷ−ＳＷ１０４のコントローラ１４０は、セキュリティ制御プログラム１４１を備える。セキュリティ制御プログラム１４１は、例えば、ポートＶＬＡＮ機能、タグＶＬＡＮ機能又はゾーニング機能等を実現するプログラムである。セキュリティ制御プログラム１４１は、コントローラ１４０内のメモリ（図示省略）に格納され、コントローラ１４０内のＣＰＵ（図示省略）によって実行される。

セキュリティ制御プログラム１４１は、ＮＷ−ＳＷ１０４が備える物理ポート２７５５等の番号を指定して、通信が可能なポートの組み合わせを制限することができる。

図２７の例では、サーバ２７０１が備えるアダプタ２７１０のＩＤ２７１１によって識別されるポートは、ＮＷ−ＳＷ１０４のポート５（２７５５）と接続されている。サーバ２７０２が備えるアダプタ２７２０のＩＤ２７２１によって識別されるポートは、ＮＷ−ＳＷ１０４のポート７（２７５７）と接続されている。外部ディスク装置２７０３は、ＮＷ−ＳＷ１０４のポート１０（２７６０）と接続されている。外部ディスク装置２７０４は、ＮＷ−ＳＷ１０４のポート１１（２７６１）と接続されている。

セキュリティ制御プログラム１４１が、ポート５とポート１０の間の通信を許可し、さらに、ポート７とポート１１の間の通信を許可していると仮定する。この場合、許可されたポートの間の通信が可能である。ポート５とポート１１の間の通信は許可されていないため、サーバ２７０１はディスク２７４０にはアクセスできない。

コントローラ１４０は、セキュリティテーブル１４２を保持する。セキュリティテーブル１４２には、通信可能なＮＷ−ＳＷ１０４のポート番号の組み合わせが登録される（図２８参照）。セキュリティテーブル１４２は、コントローラ１４０内のメモリ（図示省略）に格納される。

セキュリティ制御プログラム１４１は、ＮＷ−ＳＷ１０４のポート番号の組み合わせを指定する代わりに、ＮＷ−ＳＷ１０４に接続されているアダプタのＩＤ２７１１及び２７２１、又は、外部ディスク装置２７０３及び２７０４のポートＩＤ２７３１及び２７３２を指定して通信を許可又は禁止することによって、通信可能な組み合わせを制御することもできる。

図２８は、本発明の第４の実施の形態のセキュリティテーブル１４２の説明図である。

カラム２８０１は、セキュリティのグループＩＤを示す。グループＩＤは、例えば、ＶＬＡＮのＩＤ又はゾーニングにおけるゾーンの識別名等である。

カラム２８０２は、カラム２８０１に示すグループに所属するＮＷ−ＳＷ１０４のポート番号の組み合わせである。ここで、同一のグループに属するポート番号同士では通信が可能である。

図２８の例では、カラム２８０１に、セキュリティグループＩＤとして、「Ａ」、「Ｂ」及び「Ｃ」が登録されている。カラム２８０２には、セキュリティグループＩＤ「Ａ」、「Ｂ」及び「Ｃ」に対応して、それぞれ、「５、１０」、「７、１１」及び「９、１２」が登録されている。これは、ポート５及びポート１０が同一のセキュリティグループＡに属し、ポート７及びポート１１が同一のセキュリティグループＢに属し、ポート９及びポート１２が同一のセキュリティグループＣに属することを示す。

セキュリティ制御プログラム１４１は、同一のグループに属するポート間の通信を許可する。このため、同一のグループに属するポート間の通信は可能であるが、同一のグループに属するポート間では通信できない。すなわち、図２７に示すように、ポート５に接続されたサーバ２７０１は、ポート１０に接続された外部ディスク装置２７０３の論理ディスク「ＶＯＬ０」にアクセスすることができるが、ポート１１に接続された外部ディスク装置２７０４の論理ディスク「ＶＯＬ３」にアクセスすることができない。

カラム２８０２には、ＮＷ−ＳＷ１０４のポート番号の代わりに、ＮＷ−ＳＷ１０４に接続されているアダプタ１２０のＩＤ及び外部ディスク装置１０３のコントローラ１３０のＩＤとして、例えば、ＷＷＮ、ＩＰアドレス又はＭＡＣアドレスの組み合わせが登録されてもよい。

本発明の第４の実施の形態の計算機システム内の各機器は、第１の実施の形態と同様、図１３に示すシーケンスに従って処理を実行する。ただし、第４の実施の形態のステップ１３４１の処理は、第１の実施の形態と相違する。以下、この相違点について説明する。

図２９は、本発明の第４の実施の形態のブートパス冗長化プログラム１１１が実行するネットワークセキュリティ制御を説明するフローチャートである。

具体的には、図２９は、第４の実施の形態における図１３のステップ１３４１において、ネットワークセキュリティ制御モジュール３２２によって実行される処理を示す。

図２９に示す処理は、図１９のステップ１９０４と１９０５の間に、ステップ２９０１から２９０３を追加したものである。図２９のステップ１９０１から１９０５までは、図１９のステップ１９０１から１９０５までと同じであるため、説明を省略する。

本実施の形態のネットワークセキュリティ制御モジュール３２２は、ステップ１９０４を実行した後、ステップ２９０１を実行する。

ステップ２９０１において、ネットワークセキュリティ制御モジュール３２２は、サーバ情報テーブル３０６（図２５）及び外部ディスク装置情報テーブル３０７（図２６）を参照する。そして、ネットワークセキュリティ制御モジュール３２２は、業務再開サーバ１３０２のアダプタポートの接続先ＮＷ−ＳＷ１０４の識別子（カラム４０６）と、接続先の物理ポートの識別子（カラム４１０）とを取得する。さらに、ネットワークセキュリティ制御モジュール３２２は、ステップ１９０２において取得された外部ディスク装置１０３のコントローラ１３０が備えるポートの接続先のＮＷ−ＳＷ１０４の識別子（カラム５１０）と、接続先の物理ポートの識別子（カラム５１１）とを取得する。

次に、ステップ２９０２において、ネットワークセキュリティ制御モジュール３２２は、ステップ２９０１で取得した業務再開サーバ１３０２のアダプタポートの接続先であり、かつ、ステップ１９０２において取得された外部ディスク装置１０３のコントローラ１３０が備えるポートの接続先であるＮＷ−ＳＷ１０４のセキュリティ制御プログラム１４１に対して、ステップ２９０１で取得した物理ポートが所属するセキュリティグループを作成することを要求する。例えば、サーバ情報テーブル３０６（図２５）のカラム４０６に登録されたＮＷ−ＳＷ１０４の識別子と、外部ディスク情報テーブル３０７（図２６）のカラム５１０に登録されたＮＷ−ＳＷの識別子が同一である場合、カラム４１０に登録されたポート番号とカラム５１１に登録されたポート番号とを同一のセキュリティグループに所属させる。

この要求を受けたＮＷ−ＳＷ１０４のセキュリティ制御プログラム１４１は、要求に従って、セキュリティテーブル１４２を更新する。そして、セキュリティ制御プログラム１４１は、ネットワークセキュリティ制御モジュール３２２に対して、セキュリティグループ作成の完了通知を送付する。

次に、ステップ２９０３において、ネットワークセキュリティ制御モジュール３２２は、ＮＷ−ＳＷ１０４のセキュリティ制御プログラム１４１からセキュリティグループ作成完了通知を受信する。

その後、ステップ１９０５が実行され、処理が終了する。

上記の本発明の第４の実施の形態によれば、ネットワークがＶＬＡＮ機能又はゾーニング機能を備える場合にも、本発明を実施することができる。

次に、本発明の第５の実施の形態について説明する。

本発明の第１の実施の形態では、外部ディスク装置１０３のセキュリティ制御プログラム１１０３が、ディスクマッピングテーブル１１３２を設定することによって、サーバ１０２のディスク１３１に対するアクセスの許可及び禁止を制御した。しかし、サーバ１０２のアダプタＩＤを変更すれば、外部ディスク装置１０３側の設定を変更せずに、サーバ１０２のアクセスの許可及び禁止を制御することができる。本発明の第５の実施の形態では、上記のように、サーバ１０２の設定を変更することによって、セキュリティが制御される。

図３０は、本発明の第１の実施の形態の障害回復プログラム１１０及びブートパス冗長化プログラム１１１の詳細な説明図である。

図３０に示すように、本実施の形態の障害回復プログラム１１０は、第１の実施の形態の障害回復プログラム１１０（図３参照）と同じである。一方、本実施の形態のブートパス冗長化プログラム１１１は、本実施の形態のネットワークセキュリティ制御モジュール３２２がアダプタＩＤ変更プログラム３０００を含むことを除き、第１の実施の形態のブートパス冗長化プログラム１１１（図３参照）と同じである。アダプタＩＤ変更プログラム３０００は、サーバ１０２が備えるアダプタ１２０のＩＤを変更するプログラムである。

本発明の第５の実施の形態の計算機システム内の各機器は、第１の実施の形態と同様、図１３に示すシーケンスに従って処理を実行する。ただし、さらに、第５の実施の形態のステップ１３３３、１３３４及び１３４１の処理は、第１の実施の形態と相違する。以下、この相違点について説明する。

図３１は、本発明の第５の実施の形態の障害回復プログラム１１０が実行する業務再開サーバの検索を説明するフローチャートである。

図３１に示す処理は、本実施の形態の業務再開サーバ検索モジュール３０３が、図１３のステップ１３３３及びステップ１３３４において実行する処理である。

図３１に示す処理は、図１７のステップ１７０５を、ステップ３１００によって置き換えたものである。図３１のステップ１７０１から１７０４及びステップ１７０６から１７０８は、それぞれ、図１７のステップ１７０１から１７０４及びステップ１７０６から１７０８と同じであるため、説明を省略する。

ステップ３１００では、業務再開サーバ検索モジュール３０３が、ネットワークセキュリティ制御モジュール３２２に、業務再開サーバ１３０２の識別子、その業務再開サーバ１３０２のアダプタ１２０のＩＤ、業務停止サーバ１３０１の識別子、及び、その業務停止サーバ１３０１のアダプタのＩＤを通知する。

図３２は、本発明の第５の実施の形態のブートパス冗長化プログラム１１１が実行するネットワークセキュリティ制御を説明するフローチャートである。

図３２に示す処理は、本実施の形態のネットワークセキュリティ制御モジュール３２２、サーバ電源制御モジュール３０５及び業務再開サーバ１３０２が、図１３のステップ１３４１において実行する処理である。

最初に、ネットワークセキュリティ制御モジュール３２２は、業務再開サーバ検索モジュール３０３から、業務再開サーバ１３０２の識別子、その業務再開サーバ１３０２のアダプタのＩＤ、業務停止サーバ１３０１の識別子、及び、その業務停止サーバ１３０１のアダプタのＩＤを受信する（ステップ３２０１）。

次に、ネットワークセキュリティ制御モジュール３２２は、業務再開サーバ１３０２の電源投入をサーバ電源制御モジュール３０５に要求する（ステップ３２０２）。

ステップ３２０２の要求を受けたサーバ電源制御モジュール３０５は、業務再開サーバ１３０２の電源を投入する（ステップ３２０３）。

次に、サーバ電源制御モジュール３０５は、業務再開サーバ１３０２の電源投入が完了したことを確認する（ステップ３２０４）。ここで、業務再開サーバ１３０２は、例えばＰＸＥ等の方法でネットワークブートするように設定されている。

次に、ネットワークセキュリティ制御モジュール３２２が、業務再開サーバ１３０２をネットワークブートし、アダプタＩＤ変更プログラム３０００を業務再開サーバ１３０２に送信する（ステップ３２０５）。ここで、ネットワークセキュリティ制御モジュール３２２は、例えばＤＨＣＰ等のネットワークブートに対応するプログラムを起動中であり、ｔｆｔｐ等の方法で業務再開サーバ１３０２にアダプタＩＤ変更プログラム３０００を送信することができる。

業務再開サーバ１３０２は、受信したアダプタＩＤ変更プログラム３０００を実行する（ステップ３２０６）。その結果、ステップ３２０１で取得した業務再開サーバ１３０２のアダプタ１２０のＩＤが、業務停止サーバ１３０１のアダプタ１２０のＩＤに書き換えられる。例えば、アダプタ１２０自身がＩＤの書き換え機能を備え、アダプタＩＤ変更プログラム３０００がその機能を利用して書き換えてもよい。あるいは、アダプタＩＤ変更プログラム３０００が、ＩＤが保存されているファイル又はデータを直接書き換えてもよい。

次に、ネットワークセキュリティ制御モジュール３２２は、業務再開サーバ１３０２のブート設定変更完了を確認する（ステップ３２０７）。

次に、ネットワークセキュリティ制御モジュール３２２は、業務再開サーバ検索モジュール３０３に対してセキュリティ設定変更完了を通知する（ステップ３２０８）。

以上で、図３２の処理が終了する。

上記の本発明の第５の実施の形態によれば、ネットワーク側及び外部ディスク装置１０３側のセキュリティ設定を変更しなくても、本発明を実施することができる。

以上の本発明の実施の形態によれば、計算機システムの信頼性が向上する。さらに、サーバが複数の独立したネットワークを介して同一のディスクイメージにアクセスできるため、それぞれのネットワークを利用するサーバが並列にデータ処理を実現することもできる。その結果、計算機システムの処理が高速化されるという効果もある。

本発明の第１の実施の形態の計算機システムの構成を示すブロック図である。 本発明の第１の実施の形態のサーバの詳細な構成を示すブロック図である。 本発明の第１の実施の形態の障害回復プログラム及びブートパス冗長化プログラムの詳細な説明図である。 本発明の第１の実施の形態のサーバ情報テーブルの説明図である。 本発明の第１の実施の形態の外部ディスク装置情報テーブルの説明図である。 本発明の第１の実施の形態の冗長パス情報テーブルの説明図である。 本発明の第１の実施の形態の外部ディスク装置が備える論理ディスク管理プログラムの説明図である。 本発明の第１の実施の形態の論理ディスクテーブルの説明図である。 本発明の第１の実施の形態の外部ディスク装置が備えるディスク同期プログラムの説明図である。 本発明の第１の実施の形態の同期ディスクテーブルの説明図である。 本発明の第１の実施の形態の外部ディスク装置が備えるセキュリティ制御プログラムの説明図である。 本発明の第１の実施の形態のディスクマッピングテーブルの説明図である。 本発明の第１の実施の形態の各機器が実行する動作シーケンスの説明図である。 本発明の第１の実施の形態のブートパス冗長化プログラムが実行するブートパスの冗長化を説明するフローチャートである。 本発明の第１の実施の形態の障害回復プログラムが実行する障害監視を説明するフローチャートである。 本発明の第１の実施の形態の障害回復プログラムが実行する業務停止サーバ検索及びサーバ電源制御を説明するフローチャートである。 本発明の第１の実施の形態の障害回復プログラムが実行する業務再開サーバの検索を説明するフローチャートである。 本発明の第１の実施の形態の障害回復プログラムが実行する業務再開サーバの検索を詳細に説明するフローチャートである。 本発明の第１の実施の形態のブートパス冗長化プログラムが実行するネットワークセキュリティ制御を説明するフローチャートである。 本発明の第１の実施の形態の障害回復プログラムが実行するブート設定変更及びサーバ電源制御を説明するフローチャートである。 本発明の第２の実施の形態において実行されるミラーリングの説明図である。 本発明の第２の実施の形態のブートパス冗長化プログラムが実行するブートパスの冗長化を説明するフローチャートである。 本発明の第３の実施の形態において実行される同期ディスクの作成の説明図である。 本発明の第３の実施の形態のブートパス冗長化プログラムが実行するブートパスの冗長化を説明するフローチャートである。 本発明の第４の実施の形態のサーバ情報テーブルの説明図である。 本発明の第４の実施の形態の外部ディスク装置情報テーブルの説明図である。 本発明の第４の実施の形態のＮＷ−ＳＷが実行するセキュリティ制御の説明図である。 本発明の第４の実施の形態のセキュリティテーブルの説明図である。 本発明の第４の実施の形態のブートパス冗長化プログラムが実行するネットワークセキュリティ制御を説明するフローチャートである。 本発明の第５の実施の形態の障害回復プログラム及びブートパス冗長化プログラムの詳細な説明図である。 本発明の第５の実施の形態の障害回復プログラムが実行する業務再開サーバの検索を説明するフローチャートである。 本発明の第５の実施の形態のブートパス冗長化プログラムが実行するネットワークセキュリティ制御を説明するフローチャートである。 本発明の第１の実施の形態の管理サーバの構成を詳細に示すブロック図である。

符号の説明

１０１ 管理サーバ
１０２ サーバ
１０３ 外部ディスク装置
１０４ ネットワークスイッチ（ＮＷ−ＳＷ）
１０５ 管理ＮＷ−ＳＷ
１１０ 障害回復プログラム
１１１ ブートパス冗長化プログラム
１２０ アダプタ（Ａｄａｐｔｏｒ）
１２１ ネットワークインターフェースカード（ＮＩＣ）
１３０ 外部ディスク装置コントローラ
１３１ ディスク

Claims (14)

1. 複数のサーバと、前記複数のサーバに接続される複数のネットワークと、前記複数のネットワークに接続される複数の外部ディスク装置と、前記複数のサーバ、前記複数のネットワーク及び前記複数の外部ディスク装置に管理ネットワークを介して接続される管理計算機と、を備える計算機システムの制御方法であって、
   前記各外部ディスク装置は、データを格納する一つ以上のディスクを備え、
   前記管理計算機は、前記管理ネットワークに接続されるインターフェースと、前記インターフェースに接続される第１プロセッサと、前記第１プロセッサに接続される第１メモリと、を備え、
   前記方法は、前記第１プロセッサが、
   前記サーバ、前記ネットワーク又は前記外部ディスク装置に障害が発生したことを検知し、
   前記複数のサーバの中から、前記発生した障害を原因として、利用していた前記ディスクにアクセスできなくなる業務停止サーバを検索し、
   前記複数のディスクの中から、前記検索された業務停止サーバが利用していた前記ディスクと同一の内容を格納するディスクを検索し、前記検索されたディスクを含む前記外部ディスク装置を検索し、
   前記複数のサーバの中から、前記検索された外部ディスク装置に、障害が発生していない前記ネットワークを経由してアクセスできる業務再開サーバを検索し、
   前記検索された業務再開サーバに、前記管理ネットワークを介して、前記検索されたディスクを利用して起動するための指示を送信することを特徴とする方法。
2. 前記第１メモリは、
   前記各サーバの識別子と、前記各サーバが利用する前記ディスクの内容の識別子と、前記各サーバが利用する前記ディスクを含む前記外部ディスク装置の識別子と、前記各サーバが前記ディスクを利用するためのアクセス経路を構成する前記ネットワークの識別子と、を含むサーバ情報と、
   前記各ディスクの識別子と、前記各ディスクの内容の識別子と、前記各ディスクを含む前記外部ディスク装置の識別子と、を含む冗長パス情報と、を保持し、
   前記方法は、前記第１プロセッサが、
   前記サーバ情報を参照して、前記複数のサーバの中から、前記発生した障害を原因として、利用していた前記ディスクにアクセスできなくなる業務停止サーバを検索し、
   前記冗長パス情報を参照して、前記複数のディスクの中から、前記検索された業務停止サーバが利用していた前記ディスクと同一の内容を格納するディスクを検索し、前記検索されたディスクを含む前記外部ディスク装置を検索し、
   前記サーバ情報を参照して、前記複数のサーバの中から、前記検索された外部ディスク装置に、障害が発生していない前記ネットワークを経由してアクセスできる業務再開サーバを検索することを特徴とする請求項１に記載の方法。
3. 前記外部ディスク装置は、前記複数のネットワークに接続される複数のコントローラを備え、
   二つの前記コントローラは、一つの前記ディスクを、同一の内容を格納する二つの論理的なディスクとして前記サーバに提供し、
   前記方法は、前記二つの論理的なディスクの一方が、前記業務停止サーバが利用していた前記ディスクとして検索された場合、前記第１プロセッサが、前記二つの論理的なディスクの他方を、前記検索された業務停止サーバが利用していた前記ディスクと同一の内容を格納するディスクとして検索することを特徴とする請求項１に記載の方法。
4. 前記方法は、
   前記第１プロセッサが、前記外部ディスク装置に含まれる複写元の前記ディスクに格納されたデータを、他の前記外部ディスク装置に含まれる複写先の前記ディスクに複写する指示を前記外部ディスク装置に送信し、
   前記複写元のディスク及び前記複写先のディスクの二つのディスクの一方が、前記業務停止サーバが利用していた前記ディスクとして検索された場合、前記第１プロセッサが、前記二つのディスクの他方を、前記検索された業務停止サーバが利用していた前記ディスクと同一の内容を格納するディスクとして検索することを特徴とする請求項１に記載の方法。
5. 前記各サーバは、前記ネットワークに接続されるアダプタと、前記アダプタに接続される第２プロセッサと、前記第２プロセッサに接続される第２メモリと、を備え、
   前記方法は、
   前記第２プロセッサが、一つの前記外部ディスク装置内の一つの前記ディスクに対する書き込み命令を発行すると、前記アダプタが、前記書き込み命令を、二つの前記外部ディスク装置内の二つの前記ディスクを対象として送信し、
   前記二つのディスクの一方が、前記業務停止サーバが利用していた前記ディスクとして検索された場合、前記第１プロセッサが、前記二つのディスクの他方を、前記検索された業務停止サーバが利用していた前記ディスクと同一の内容を格納するディスクとして検索することを特徴とする請求項１に記載の方法。
6. 前記各サーバは、前記ネットワークに接続されるアダプタと、前記アダプタに接続される第２プロセッサと、前記第２プロセッサに接続される第２メモリと、を備え、
   前記方法は、
   前記第２プロセッサが、一つの前記外部ディスク装置内の一つの前記ディスクに格納されたデータを読み出し、読み出されたデータを、他の前記外部ディスク装置内の前記ディスクに書き込み、
   前記データが読み出されるディスク及び前記データが書き込まれるディスクの二つのディスクの一方が、前記業務停止サーバが利用していた前記ディスクとして検索された場合、前記第１プロセッサが、前記二つのディスクの他方を、前記検索された業務停止サーバが利用していた前記ディスクと同一の内容を格納するディスクとして検索することを特徴とする請求項１に記載の方法。
7. 前記外部ディスク装置は、前記ディスクの識別子と、前記ディスクへのアクセスを許可された前記サーバの識別子と、を含むディスクマッピング情報を保持し、
   前記方法は、前記第１プロセッサが、前記検索されたディスクを利用して起動するための指示を送信する前に、前記検索された業務再開サーバによる前記検索されたディスクへのアクセスを許可するために前記ディスクマッピング情報を更新する指示を前記検索された外部ディスク装置に送信することを特徴とする請求項１に記載の方法。
8. 前記複数のネットワークは、複数のネットワークスイッチを備え、
   前記方法は、前記第１プロセッサが、前記検索されたディスクを利用して起動するための指示を送信する前に、前記検索された業務再開サーバによる前記検索されたディスクへのアクセスを許可するための指示を、少なくとも一つの前記ネットワークスイッチに送信することを特徴とする請求項１に記載の方法。
9. 前記各サーバは、前記ネットワークに接続されるアダプタを備え、
   前記アダプタは、そのアダプタの識別子を保持し、
   前記方法は、前記第１プロセッサが、前記業務再開サーバが備えるアダプタの識別子を、前記業務停止サーバが備えるアダプタの識別子によって書き換える指示を前記業務再開サーバに送信することを特徴とする請求項１に記載の方法。
10. 前記各サーバは、前記ネットワークに接続されるアダプタと、前記アダプタに接続される第２プロセッサと、前記第２プロセッサに接続される第２メモリと、を備え、
    前記第２メモリは、前記サーバが起動するときに前記第２プロセッサによって実行されるブートプログラムを保持し、
    前記方法は、
    前記第１プロセッサが、前記検索されたディスクを利用して起動するように前記ブートプログラムの設定を変更する設定変更プログラムを、前記業務再開サーバに送信し、
    前記第２プロセッサが、前記設定変更プログラムを実行し、
    前記第１プロセッサが、前記業務再開サーバを起動することを特徴とする請求項１に記載の方法。
11. 複数のサーバと、前記複数のサーバに接続される複数のネットワークと、前記複数のネットワークに接続される複数の外部ディスク装置と、前記複数のサーバ、前記複数のネットワーク及び前記複数の外部ディスク装置に管理ネットワークを介して接続される管理計算機と、を備える計算機システムにおいて前記管理計算機を制御するプログラムであって、
    前記各外部ディスク装置は、データを格納する一つ以上のディスクを備え、
    前記管理計算機は、前記管理ネットワークに接続されるインターフェースと、前記インターフェースに接続されるプロセッサと、前記プロセッサに接続され、前記プログラムを格納するメモリと、を備え、
    前記プログラムは、
    前記サーバ、前記ネットワーク又は前記外部ディスク装置に障害が発生したことを検知する第１手順と、
    前記複数のサーバの中から、前記発生した障害を原因として、利用していた前記ディスクにアクセスできなくなる業務停止サーバを検索する第２手順と、
    前記複数のディスクの中から、前記検索された業務停止サーバが利用していた前記ディスクと同一の内容を格納するディスクを検索し、前記検索されたディスクを含む前記外部ディスク装置を検索する第３手順と、
    前記複数のサーバの中から、前記検索された外部ディスク装置に、障害が発生していない前記ネットワークを経由してアクセスできる業務再開サーバを検索する第４手順と、
    前記検索された業務再開サーバに、前記管理ネットワークを介して、前記検索されたディスクを利用して起動するための指示を送信する第５手順と、を前記プロセッサに実行させることを特徴とするプログラム。
12. 前記メモリは、
    前記各サーバの識別子と、前記各サーバが利用する前記ディスクの内容の識別子と、前記各サーバが利用する前記ディスクを含む前記外部ディスク装置の識別子と、前記各サーバが前記ディスクを利用するためのアクセス経路を構成する前記ネットワークの識別子と、を含むサーバ情報と、
    前記各ディスクの識別子と、前記各ディスクの内容の識別子と、前記各ディスクを含む前記外部ディスク装置の識別子と、を含む冗長パス情報と、を保持し、
    前記プログラムは、前記第２手順において前記プロセッサに前記サーバ情報を参照させ、前記第３手順において前記プロセッサに前記冗長パス情報を参照させ、前記第４手順において前記プロセッサに前記サーバ情報を参照させることを特徴とする請求項１１に記載のプログラム。
13. 複数のサーバと、前記複数のサーバに接続される複数のネットワークと、前記複数のネットワークに接続される複数の外部ディスク装置と、前記複数のサーバ、前記複数のネットワーク及び前記複数の外部ディスク装置に管理ネットワークを介して接続される管理計算機と、を備える計算機システムにおいて、
    前記各外部ディスク装置は、データを格納する一つ以上のディスクを備え、
    前記管理計算機は、前記管理ネットワークに接続されるインターフェースと、前記インターフェースに接続されるプロセッサと、前記プロセッサに接続されるメモリと、を備え、
    前記プロセッサは、
    前記サーバ、前記ネットワーク又は前記外部ディスク装置に障害が発生したことを検知し、
    前記複数のサーバの中から、前記発生した障害を原因として、利用していた前記ディスクにアクセスできなくなる業務停止サーバを検索し、
    前記複数のディスクの中から、前記検索された業務停止サーバが利用していた前記ディスクと同一の内容を格納するディスクを検索し、前記検索されたディスクを含む前記外部ディスク装置を検索し、
    前記複数のサーバの中から、前記検索された外部ディスク装置に、障害が発生していない前記ネットワークを経由してアクセスできる業務再開サーバを検索し、
    前記検索された業務再開サーバに、前記管理ネットワークを介して、前記検索されたディスクを利用して起動するための指示を送信することを特徴とする計算機システム。
14. 前記メモリは、
    前記各サーバの識別子と、前記各サーバが利用する前記ディスクの内容の識別子と、前記各サーバが利用する前記ディスクを含む前記外部ディスク装置の識別子と、前記各サーバが前記ディスクを利用するためのアクセス経路を構成する前記ネットワークの識別子と、を含むサーバ情報と、
    前記各ディスクの識別子と、前記各ディスクの内容の識別子と、前記各ディスクを含む前記外部ディスク装置の識別子と、を含む冗長パス情報と、を保持し、
    前記プロセッサは、
    前記サーバ情報を参照して、前記複数のサーバの中から、前記発生した障害を原因として、利用していた前記ディスクにアクセスできなくなる業務停止サーバを検索し、
    前記冗長パス情報を参照して、前記複数のディスクの中から、前記検索された業務停止サーバが利用していた前記ディスクと同一の内容を格納するディスクを検索し、前記検索されたディスクを含む前記外部ディスク装置を検索し、
    前記サーバ情報を参照して、前記複数のサーバの中から、前記検索された外部ディスク装置に、障害が発生していない前記ネットワークを経由してアクセスできる業務再開サーバを検索することを特徴とする請求項１３に記載の計算機システム。

Images