JP2013069075A - コンピュータシステム、及びジョブ制御方法 - Google Patents

Abstract

【課題】 サービスを提供するサーバ機器に異常が発生した場合であっても、適切に異常を排除する対応を進めながら、許容できる範囲でサービスを提供する。
【解決手段】 論理的な正常ネットワークと制限ネットワークとを設けて、制限ネットワークに接続したサーバ機器に対して検疫処理を実行する検疫ネットワークを有するコンピュータシステムであって、検疫ネット管理装置は、第１のサーバ機器と第２のサーバ機器におけるキューに関するデータを取得し、第１のサーバ機器に障害がある場合に、第１のサーバ機器のキューのジョブを第２のサーバ機器に転送するか否かを判断し、この判断結果に応じて、ジョブが第２のサーバ機器に転送された場合に、第１のサーバ機器に対する修復を実行させ、第１のサーバ機器は、ジョブを第２のサーバ機器に転送すると判断された場合に、ジョブを第２のサーバ機器に転送し、ジョブの転送後に修復を実行する。
【選択図】図１

Description

本発明の実施形態は、検疫ネットワークを含むコンピュータシステム、同ネットワークに接続されたサーバ装置のジョブ制御方法に関する。

近年、ウイルスやワームに感染したパーソナルコンピュータを、例えば社員が自覚のないまま社内ネットワークに持ち込んでしまうことを想定して、検疫ネットワークの運用が考えられている。検疫ネットワークは、社内ネットワークにアクセスしようとする全てのパーソナルコンピュータを、セキュリティの状態を確認するために用意した特別なネットワーク領域（例えば隔離ゾーン）に接続させる。隔離ゾーンのパーソナルコンピュータは、社内ネットワークとは論理的に切り離されている。この状態において、パーソナルコンピュータに対してセキュリティポリシーに合っているかどうかが確認される。例えば、ファイアウォール（ソフトウェア）が導入されているか、その検出用パターンファイルは最新か、禁止されているソフトウェアをインストールしていないか、またＯＳの最新修正プログラム（パッチ）を適用しているか、といった内容が確認される。また、パーソナルコンピュータがワームやウイルスに感染しているか調べ、必要があれば駆除する。そして、ワームやウイルスの駆除及び対処が完了したパーソナルコンピュータのみを社内ネットワークに接続できるようにする。

特開２０１０−２８７９３２号公報

このように、検疫ネットワークを用いることにより、外部から持ち込まれるパーソナルコンピュータについては、安全な状態にあることを確認した後に、社内ネットワークに接続させることが可能となる。

ところで、コンピュータシステムには、クライアントＰＣからの処理要求に対して、各種サービスを提供するサーバ機器が存在するものがある。サーバ機器については、例えば定期的に検査が行われて、セキュリティ上、正常な状態にあるかチェックされる。正常な状態にない場合には、前述したパーソナルコンピュータと同様に、例えば最新修正プログラム（パッチ）を適用するなどの検疫処理により正常な状態に修復される。また、想定外の異常設定が発覚した場合についても適切な検疫処理により修復される。

サーバ機器の場合には、個人が使用するパーソナルコンピュータと異なり、クライアントＰＣからの処理要求に応じたジョブをキューに貯めている場合がある。従って、ジョブをキューに貯めている状態の場合に、修正処理が必要になるとサービスの提供に影響を及ぼしてしまう。

特に、ゼロデイアタックに関わる緊急パッチの場合には、直ちに修正を施す必要があるため、サービスの提供を即時に停止して修正処理を実行する、あるいは修正処理が完了するまでサービスの提供を待機させるといった対応をとらなければならなかった。

本発明が解決しようとする課題は、サービスを提供するサーバ機器に異常が発生した場合であっても、適切に異常を排除する対応を進めながら、許容できる範囲でサービスを提供することができるコンピュータシステム及びジョブ制御方法を提供することである。

実施形態によれば、論理的な正常ネットワークと制限ネットワークとを設けて、前記制限ネットワークに接続したサーバ機器に対して検疫処理を実行する検疫ネットワークを有するコンピュータシステムであって、検疫ネット管理装置は、第１のサーバ機器と第２のサーバ機器におけるキューに関するデータを取得する取得手段と、前記第１のサーバ機器に障害がある場合に、前記第１のサーバ機器のキューのジョブを前記第２のサーバ機器に転送するか否かを判断する転送可否判断手段と、前記転送可否判断手段による判断結果に応じて、前記ジョブが前記第２のサーバ機器に転送された場合に、前記第１のサーバ機器に対する修復を実行させる修復実行指示手段とを有し、前記第１のサーバ機器は、前記転送可否判断手段により前記ジョブを前記第２のサーバ機器に転送すると判断された場合に、前記ジョブを前記第２のサーバ機器に転送する転送手段と、前記転送手段による前記ジョブの転送後に、前記修復実行指示手段からの指示に応じて修復を実行する修復実行指示手段とを有する。

本実施形態のコンピュータシステムの構成を示すブロック図。 本実施形態における検疫ネットワークを説明するための図。 本実施形態のコンピュータシステム（検疫ネットワーク）における各装置の機能構成を示すブロック図。 本実施形態におけるＭＦＰ処理決定を示すフローチャート。 本実施形態における転送可否判断処理を説明するための図。 本実施形態における処理続行判定処理を説明するための図。 本実施形態における処理続行判定処理を説明するための図。 本実施形態におけるＰＯＳ処理決定を示すフローチャート。 本実施形態における転送可否判断処理を説明するための図。

以下、本実施形態について、図面を参照しながら説明する。
図１は、本実施形態のコンピュータシステムの構成を示すブロック図である。図１に示すコンピュータシステムは、例えばオフィス内に構築されたシステムであり、複数のパーソナルコンピュータ１４（１４−１，…，１４−ｍ）、サーバ機器２０，２３（２３−１，２３−２，…，２３−ｎ）がネットワーク２５を介して接続されている。また、検疫ネットワーク１６を構成する検疫処理境界装置３０、検疫ネット管理装置３２、及び隔離機器修復装置３４がネットワーク２５を介して接続されている。

パーソナルコンピュータ１４（１４−１，…，１４−ｍ）は、ネットワーク２５を介して、サーバ機器２０，２３に対して、サーバ機器２０，２３が提供するサービスに対する処理要求を出力する。

サーバ機器２０，２３（２３−１，２３−２，…，２３−ｎ）は、パーソナルコンピュータ１４あるいは機器本体に設けられた操作部からの処理要求に応じたサービスを提供する。サーバ機器２０，２３は、複数のパーソナルコンピュータ１４や操作部からの処理要求を受け付け、各処理要求に応じたジョブをキューにより管理して順次処理する。

なお、本実施形態におけるサーバ機器２０，２３は、例えばＭＦＰ（Multi Function Peripheral）として説明する。サーバ機器（ＭＦＰ）２０，２３は、データの制御や演算などの処理を行うプロセッサ（ＣＰＵ：Central Processing Unit）と、プロセッサが処理するためのデータを一時的に記憶するＲＡＭ（Random Access Memory）と、処理プログラムなどを記憶するＲＯＭ（Read Only Memory）と、ネットワーク２５を介してデータを入出力するネットワークインタフェース（Ｉ／Ｆ）等を有している。

サーバ機器２０，２３は、画像読み取りユニット、印刷ユニット、ＦＡＸユニットが設けられ、パーソナルコンピュータ１４からの処理要求に応じて、プロセッサの制御のもとで、スキャナ機能、プリンタ機能、ＦＡＸ機能によるサービスを提供する。例えば、サーバ機器２０，２３は、パーソナルコンピュータ１４からの指示に応じて、スキャナ機能によって文書等が記録された紙媒体をスキャンして画像データ（スキャン画像）を読み取って出力したり、プリンタ機能により文書を印刷したりすることができる。また、ＦＡＸ機能により文書をＦＡＸにより送信することができる。

サーバ機器２０，２３は、例えばオフィスの部署毎、フロア毎などに分散して配置されている。通常、社員は、パーソナルコンピュータ１４から自分の席に近い場所に設置されたサーバ機器２０，２３の何れかを指定して処理要求を出力する。

検疫処理境界装置３０は、例えば無線ＡＰ、有線スイッチ、ゲートウェイサーバ等によって実現されるもので、検疫ネット管理装置３２の制御のもとで、ネットワーク２５に接続された機器（パーソナルコンピュータ１４やサーバ機器２０，２３）を、論理的な正常ネットワーク（以下、セキュアゾーンとも称する）と制限ネットワーク（以下、隔離ゾーンとも称する）の何れかに接続する。検疫処理境界装置３０は、隔離ゾーンに接続（隔離）された機器と検疫処理のための他の機器（検疫ネット管理装置３２、隔離機器修復装置３４、他の機器）との通信経路の切り替えを行なう。検疫処理境界装置３０は、隔離ゾーンに接続（隔離）された機器について、検疫処理に必要なデータのみを他の機器と通信するよう制御する。

検疫ネット管理装置３２は、例えばＮＡＰ（Network Access Protection）サーバやActiveDirectory等により実現されるもので、検疫処理境界装置３０及び隔離機器修復装置３４を制御して検疫ネットワーク１６を管理する。検疫ネット管理装置３２は、ネットワーク２５に接続されたサーバ機器２０，２３の検疫処理の対象とする状態検出、検疫処理の対象とする機器のセキュアゾーンから隔離ゾーンへの接続の切り替え、隔離ゾーンに接続（隔離）された機器に対する隔離機器修復装置３４を介した修復等を制御する。また、本実施形態における検疫ネット管理装置３２は、ネットワーク２５に接続されたサーバ機器２０，２３からそれぞれのキュー（処理待ちのジョブ）に関するデータを取得する。検疫ネット管理装置３２は、サーバ機器２０，２３のキューの状態をもとに、隔離ゾーンに接続（隔離）されたサーバ機器のジョブを他のサーバ機器に転送するための制御を行なう。

隔離機器修復装置３４は、隔離ゾーンに隔離された機器に対して、検疫ネット管理装置３２からの指示に応じて検疫処理を実行し、セキュリティ上の異常を修復するための処理を実行する。隔離機器修復装置３４は、検疫ネット管理装置３２によって機器から検出された異常に応じた修復、例えば最新修正プログラム（パッチ）を適用する、ファイアウォールの検出用パターンファイルを最新にするといった対応をする。

図２は、本実施形態における検疫ネットワーク１６を説明するための図である。
検疫ネットワーク１６は、検疫処理境界装置３０と検疫ネット管理装置３２によって、セキュアゾーン１０と隔離ゾーン１２とを構築する。なお、以下の説明では、サーバ機器２０にセキュリティ上の脅威となる異常設定が検出され、検疫処理（修復）の対象となるものとする。以下、隔離対象サーバ機器２０として説明する。

検疫ネット管理装置３２は、隔離対象サーバ機器２０に異常が検出されたことにより、隔離対象サーバ機器２０に対して検疫処理をするためにセキュアゾーン１０から隔離ゾーン１２へ接続を切り替えて、パーソナルコンピュータ１４やサーバ機器２３から隔離する。本実施形態の検疫ネットワーク１６では、隔離対象サーバ機器２０に対して検疫処理により修復をする際に、隔離対象サーバ機器２０のキュー（処理待ちのジョブ）に対する処理のタイミングと修復するタイミングを調整する。ジョブの処理を優先する場合、隔離対象サーバ機器２０のジョブは、セキュアゾーン１０にあるサーバ機器群２２から選択された何れかのサーバ機器２３に転送され、転送先において実行される。その後、隔離機器修復装置３４により隔離対象サーバ機器２０に対する検疫処理（修復）が実行される。

図３は、本実施形態のコンピュータシステム（検疫ネットワーク１６）における各装置の機能構成を示すブロック図である。
図３に示すように、隔離対象サーバ機器２０には、通常時ジョブ処理管理部４０、ジョブ処理実行部４１、緊急時ジョブ処理管理部４２、緊急時ジョブ処理判定部４３、及び修復実行処理部４４の機能が設けられる。隔離対象サーバ機器２０のプロセッサによりメモリに記録されたジョブ制御プログラムを実行することにより、通常時ジョブ処理管理部４０、ジョブ処理実行部４１、緊急時ジョブ処理管理部４２、緊急時ジョブ処理判定部４３が実現される。また、検疫プログラムを実行することで修復実行処理部４４が実現される。

通常時ジョブ処理管理部４０は、通常時のパーソナルコンピュータ１４から入力された処理要求に応じたジョブの処理を管理する。通常時ジョブ処理管理部４０は、複数のパーソナルコンピュータ１４からの処理要求をキューにより管理する。

ジョブ処理実行部４１は、通常時ジョブ処理管理部４０の管理のもとで、パーソナルコンピュータ１４から入力された処理要求に応じたジョブ（例えば、プリンタ機能による文書の印刷、スキャナ機能による文書のスキャン等）を実行する。

緊急時ジョブ処理管理部４２は、検疫ネット管理装置３２により隔離対象サーバ機器２０からセキュリティ上の異常が検出された場合に、緊急時ジョブ処理判定部４３による処理判定に応じて、通常時ジョブ処理管理部４０により管理されているジョブについて、検疫処理（修復）前にジョブを実行する、検疫処理（修復）後にジョブを実行する、あるいはジョブの実行を中止するかを制御する。

緊急時ジョブ処理判定部４３は、隔離対象サーバ機器２０が隔離ゾーン１２に隔離された場合に、通常時ジョブ処理管理部４０により管理されたジョブの内容（例えば、処理データの機密度など）や検疫ネット管理装置３２の転送判断処理部５２による判断結果（例えば、ジョブ転送先機器の有無、ジョブ転送先の負荷状況）に応じて、通常時ジョブ処理管理部４０により管理されたジョブに対する処理を判定する。すなわち検疫処理（修復）前にジョブを実行する、検疫処理（修復）後にジョブを実行する、あるいはジョブの実行を中止するかを判定する。

修復実行処理部４４は、通常時ジョブ処理管理部４０により管理されたジョブに対する取り扱いが決定された後、隔離機器修復装置３４からから指示される修復処理を実行する。

また、検疫ネット管理装置３２には、サービス中央制御管理部５０、転送判断情報管理部５１、転送判断処理部５２、及び修復実行指示部５３の機能が設けられる。

サービス中央制御管理部５０は、検疫処理の対象とする異常が検出された隔離対象サーバ機器２０に対して、キュー（処理待ちのジョブ）に対する処理のタイミングと修復するタイミングを調整するための制御を行なう。サービス中央制御管理部５０は、転送判断情報管理部５１と転送判断処理部５２により、隔離対象サーバ機器２０のジョブ転送を制御し、修復実行指示部５３により隔離対象サーバ機器２０の修復を制御する。サービス中央制御管理部５０は、ネットワーク２５を介して接続された隔離対象サーバ機器２０及びサーバ機器２３（通常時ジョブ処理管理部）のそれぞれからキュー（処理待ちのジョブ）に関するデータを取得して、転送判断情報管理部５１に提供する。キュー（処理待ちのジョブ）に関するデータには、処理待ちのジョブの処理内容やデータサイズが含まれる。

転送判断情報管理部５１は、サービス中央制御管理部５０により隔離対象サーバ機器２０及びサーバ機器２３から取得されたキュー（処理待ちのジョブ）に関するデータを管理する。

転送判断処理部５２は、転送判断情報管理部５１により管理されたデータをもとに、隔離対象サーバ機器２０が管理するキューのジョブを他のサーバ機器２３に転送するタイミングを判断し、隔離対象サーバ機器２０の緊急時ジョブ処理判定部４３を通じてジョブの転送処理を実行させる。

修復実行指示部５３は、サービス中央制御管理部５０の制御のもとで、隔離機器修復装置３４に対して隔離対象サーバ機器２０の修復実行を指示する。

また、サーバ機器２３は、隔離対象サーバ機器２０のジョブの転送先として検疫ネット管理装置３２により選択されたもので、通常時ジョブ処理管理部６０、ジョブ処理実行部６１が設けられる。
なお、ジョブの転送通常時ジョブ処理管理部６０とジョブ処理実行部６１は、それぞれ隔離対象サーバ機器２０の通常時ジョブ処理管理部４０、ジョブ処理実行部４１に相当し、基本的に同様の機能を有している。ただし、通常時ジョブ処理管理部６０は、隔離対象サーバ機器２０の通常時ジョブ処理管理部４０からジョブが転送されると、他のパーソナルコンピュータ１４等から入力された処理要求に応じたジョブと同様にキューにより管理して、ジョブ処理実行部６１により処理させる。

次に、本実施形態におけるコンピュータシステムの動作について説明する。
図４は、本実施形態における隔離対象サーバ機器２０（ＭＦＰ）のキュー（処理待ちのジョブ）に対する処理のタイミングと修復するタイミングを調整するためのＭＦＰ処理決定を示すフローチャートである。隔離対象サーバ機器２０は、前述したようにＭＦＰであり、ネットワーク２５を介して接続された複数のパーソナルコンピュータ１４（１４−１，…，１４−ｍ）から、文書の印刷等の処理要求（ジョブ）が入力される。

検疫ネット管理装置３２は、ネットワーク２５に接続された隔離対象サーバ機器２０、サーバ機器２３を監視し、セキュリティ上の異常が発生していないかチェックしている。ここで、検疫ネット管理装置３２は、隔離対象サーバ機器２０の異常を検出すると、検疫処理境界装置３０及び検疫ネット管理装置３２に、隔離対象サーバ機器２０の修復指示を送信する（ステップＢ１）。

また、検疫ネット管理装置３２は、隔離対象サーバ機器２０に対して、対象処理（ジョブ）が制御下にあるかをチェックするよう指示する（ステップＢ２）。緊急時ジョブ処理判定部４３は、検疫ネット管理装置３２からの指示に応じて、通常時ジョブ処理管理部４０によりキューのジョブが制御されているかを判別する。

ここで、制御不能であると判別された場合（ステップＢ３、Ｎｏ）、緊急時ジョブ処理判定部４３は、隔離対象サーバ機器２０を再起動するようＭＦＰ処理決定処理を中止する（ステップＢ４）。これにより、通常時ジョブ処理管理部４０により管理されていたキューは全てフラッシュ（無効）される。すなわち、検疫ネット管理装置３２により異常が検出され、制御不能となった状態においては、予測不能の障害発生を回避するため、ジョブの実行を断念して強制的に処理を終了する。

一方、制御可能であると判別された場合（ステップＢ３、Ｙｅｓ）、緊急時ジョブ処理判定部４３は、検疫ネット管理装置３２に通知する。検疫ネット管理装置３２は、検疫処理境界装置３０に対して、隔離対象サーバ機器２０を隔離ゾーン１２に隔離するよう指示する。また、検疫ネット管理装置３２は、隔離対象サーバ機器２０（緊急時ジョブ処理判定部４３）に対して、隔離対象サーバ機器２０のジョブの転送先候補となるサーバ機器２３に関するデータを送信する。

検疫処理境界装置３０は、検疫ネット管理装置３２からの指示に応じて、隔離対象サーバ機器２０を論理的なセキュアゾーン１０から隔離ゾーン１２に接続を切り替える。

隔離対象サーバ機器２０の緊急時ジョブ処理判定部４３は、隔離ゾーン１２に接続が切り替えられると、通常時ジョブ処理管理部４０のキューにあるジョブが対象とするデータの機密度（重要度）をチェックして、予め決められた基準値より高いかを判定する（ステップＢ６）。

例えば、隔離対象サーバ機器２０のプリンタ機能によって文書を印刷するジョブの場合、印刷対象とする文書の機密度をチェックする。文書の機密度は、例えば文書中に文字列やすかしデータなどによって５段階で示されているものとする。あるいは、文書印刷の処理要求時に利用者が機密度（例えば５段階）を指定するようにしても良い。緊急時ジョブ処理判定部４３は、例えば機密度が４以上であった場合に機密度が高いと判定する。

ここで、ジョブの対象とするデータの機密度が高いと判定された場合（ステップＢ７、Ｎｏ）、緊急時ジョブ処理判定部４３は、ジョブを他のサーバ機器２３に転送できないものとしてＭＦＰ処理決定処理を中止する（ステップＢ４）。すなわち、隔離対象サーバ機器２０にセキュリティ上の問題がある状態でジョブを他のサーバ機器２３に転送した場合、このサーバ機器２３において実行されたジョブが正常に実行されず、例えば機密度の高い文書が転送先で記録されたり、外部に出力されるといった不正な処理が実行されることを回避する。また、隔離対象サーバ機器２０においても正常ではないため機密度が高い文書に対するジョブを実行しない。

一方、ジョブの対象とするデータの機密度が低いと判定された場合（ステップＢ７、Ｙｅｓ）、緊急時ジョブ処理判定部４３は、検疫ネット管理装置３２から受信したジョブの転送先候補となるサーバ機器２３に関するデータをもとに、転送先候補が存在するか判別する。すなわち、セキュアゾーン１０に隔離対象サーバ機器２０のジョブを代替して実行可能なサーバ機器２３が存在しているかを判別する。ここで、隔離対象サーバ機器２０と同一のサーバ機器２３である必要はなく、ジョブを代替して実行可能であれば良い。

ここで、ジョブの転送先候補が複数存在する場合には、緊急時ジョブ処理判定部４３は、所定の条件に従って転送先とするサーバ機器２３を選択する。例えば、隔離対象サーバ機器２０に対して予め決められたサーバ機器２３（設置場所が近いなど）や、複数のサーバ機器２３に対して予め決められた順番（ローテーション）のサーバ機器２３、あるいは負荷が少ない（キューのジョブが少ない）状態にあるサーバ機器２３などを選択する。

転送先候補が存在する場合には（ステップＢ９、Ｙｅｓ）、検疫ネット管理装置３２の転送判断処理部５２は、緊急時ジョブ処理判定部４３により選択されたサーバ機器２３を対象として転送可否判断処理を実行する（ステップＢ１０）。転送可否判断処理では、通常時ジョブ処理管理部４０によりキューで管理されているジョブを、サーバ機器２３に転送して実行させるか、あるいはジョブの転送をしないでそのまま隔離対象サーバ機器２０において実行させるかを判断する。ここでは、ジョブの処理が完了するまでに要する時間に基づいて判断する。

例えば、転送判断処理部５２は、対象とするジョブについて、図５（ａ）に示すように、隔離対象サーバ機器２０において実行した場合に要する時間と、図５（ｂ）に示すように、サーバ機器２３に転送して実行した場合に要する時間とを比較する。

図５（ａ）では、隔離対象サーバ機器２０において実行した場合に要する時間として、例えば、対象とするジョブの前にあるキュー（他のジョブ）の処理に要する推定処理時間と、対象とするジョブ単体の実行に要する単体処理時間と、予め設定された許容時間パラメータ（パラメータｋ（単位：時間））とを加算して求める。ジョブ単体の実行に要する単体処理時間は、処理内容とデータサイズに基づいて算出される。許容時間パラメータは、ジョブを転送することで増大する処理時間に対する許容可能な時間が設定される。ここで、推定処理時間と単体処理時間の合計をＴ１、許容時間パラメータが示す時間をｋとする。

図５（ｂ）では、サーバ機器２３に転送して実行した場合に要する時間として、例えば、転送先のサーバ機器２３で管理されている転送したジョブの前に処理待ちとなっているキュー（他のジョブ）の処理に要する推定処理時間と、隔離対象サーバ機器２０からサーバ機器２３へのジョブ転送に要する推定転送時間と、対象とするジョブ単体の実行に要する単体処理時間とを加算して求める。推定転送時間は、転送先としてサーバ機器２３が選択された際にスループット情報を収集しておき、この情報をもとに算出することができる。ここで、推定処理時間と推定転送時間と単体処理時間の合計をＴ２とする。

転送判断処理部５２は、（Ｔ１＋ｋ）＜Ｔ２である場合には、ジョブを転送しないで隔離対象サーバ機器２０で実行するものと判断し、（Ｔ１＋ｋ）＞＝Ｔ２である場合には、ジョブを転送してサーバ機器２３で実行するものと判断する。

本来、隔離対象サーバ機器２０に異常が発生しているために直ちに検疫処理（修復）に移行すべきであるため、許容時間を考慮した時間内で転送先でジョブを実行可能であればジョブを転送するものと判断する。

転送判断処理部５２は、ジョブを転送すると判断した場合（ステップＢ１１、Ｙｅｓ）、緊急時ジョブ処理判定部４３に通知する。緊急時ジョブ処理管理部４２は、通常時ジョブ処理管理部４０により管理されている対象とするジョブを、転送先として選択しているサーバ機器２３（通常時ジョブ処理管理部６０）に転送する（ステップＢ１２）。

サービス中央制御管理部５０は、隔離対象サーバ機器２０によりジョブの転送が終了した後、修復実行指示部５３を通じて、隔離対象サーバ機器２０に対する異常に応じた検疫処理（修復）を指示する。隔離機器修復装置３４は、修復実行指示部５３からの指示に応じて、隔離対象サーバ機器２０に生じている異常に応じた修復、例えば最新修正プログラム（パッチ）を適用するなどの処理を修復実行処理部４４により実行させる。修復実行処理部４４は、隔離機器修復装置３４の制御のもとで修復を実行する。

一方、転送判断処理部５２は、ジョブを転送しないと判断した場合（ステップＢ１１、Ｎｏ）、処理続行判定処理を実行する（ステップＢ１３）。処理続行判定処理では、通常時ジョブ処理管理部４０によりキューで管理されているジョブを、修復前に処理するか、修復後に処理するか、あるいは処理を中止するかを、ジョブの処理にかかる予想時間とジョブに対して設定されている隔離処理時専用（緊急時）処理時間期待限度値（以下、期待限度値）及び処理続行フラグに基づいて判定する。期待限度値と処理続行フラグは、例えばジョブの処理対象とする処理データに含めるようにしても良いし、予め検疫ネット管理装置３２の管理者が予め設定しておくようにしても良い。

期待限度値は、ジョブ処理に要する時間の許容限度を示すものである。期待限度値は、処理要求時に利用者が指定しても良いし、通常時の処理時間期待値Ｔなどのデータを既に記録している場合には、この処理時間期待値Ｔに固定値を加算した値（Ｔ＋６００（sec）など）により代替させても良い。また、処理続行フラグは、ジョブの処理を続行すると期待限度値が示す時間を越える場合に、ジョブの処理を続行させるか、あるいは処理中止とするかを示す。

例えば、通常時ジョブ処理管理部４０には、図６に示すように、ジョブが管理されているものとする。すなわち、キューにはジョブＡ，Ｂ，Ｃ，Ｄ，Ｅ，Ｆ，Ｇが存在している。転送判断処理部５２は、ジョブＡ，Ｂ，Ｃ，Ｄ，Ｅ，Ｆ，Ｇのそれぞれの単体処理時間ｔａ，ｔｂ，ｔｃ，ｔｄ，ｔｅ，ｔｆ，ｔｇをもとに、各ジョブＡ〜Ｇの処理に掛かる予想時間を算出する。

図７（ａ）に示すように、ジョブＥを対象とした場合、ジョブＥを処理するまでに要する予想時間Ｔは、キューのジョブＥまでの各ジョブの単体処理時間ｔａ，ｔｂ，ｔｃ，ｔｄ，ｔｅの合計となる。転送判断処理部５２は、予想時間Ｔと、ジョブＥに対して設定されている期待限度値Ｔｅとを比較する。

その結果、Ｔ＜Ｔｅである場合には、期待限度値Ｔｅが示す時間が経過する前にジョブの処理が完了すると予想されるため、修復前にジョブの処理を実行するものと判定する（ステップＢ１４（Ｙｅｓ）、ステップＢ１５、（ステップＢ１６（Ｙｅｓ））。

また、Ｔ＞＝Ｔｅであり、処理続行フラグがジョブの処理を続行を示す場合、修復後にジョブの処理を実行するものと判定する（ステップＢ１４（Ｙｅｓ）、ステップＢ１５、（ステップＢ１６（Ｎｏ））。図７（ｂ）では、ジョブＥについての処理続行フラグが「○」である（ジョブの処理を続行を示す）ため、ジョブＥについては修復後にジョブＥを実行する。

また、Ｔ＞＝Ｔｅであり、処理続行フラグがジョブの処理中止を示す場合、ジョブの処理を中止するものと判定する（ステップＢ１４、Ｎｏ）。

修復前にジョブの処理を実行するものと判定した場合（ステップＢ１６、Ｙｅｓ）、緊急時ジョブ処理管理部４２は、通常時ジョブ処理管理部４０により該当するジョブをジョブ処理実行部４１により実行させる（ステップＢ１９）。ジョブの処理が完了すると、緊急時ジョブ処理判定部４３から検疫ネット管理装置３２に通知される。

検疫ネット管理装置３２（サービス中央制御管理部５０）は、隔離対象サーバ機器２０によりジョブの処理が終了した後、修復実行指示部５３を通じて、隔離対象サーバ機器２０に対する異常に応じた検疫処理（修復）を隔離機器修復装置３４に指示する。隔離機器修復装置３４は、修復実行指示部５３からの指示に応じて、隔離対象サーバ機器２０に生じている異常に応じた修復を修復実行処理部４４により実行させる（ステップＢ２０）。修復実行処理部４４は、隔離機器修復装置３４の制御のもとで修復を実行する。

また、修復後にジョブの処理を実行するものと判定した場合（ステップＢ１６、Ｎｏ）、緊急時ジョブ処理管理部４２は、通常時ジョブ処理管理部４０により該当するジョブを一時保存させる。ジョブは、信頼のおけるところ（セキュア）に保存されるものとする。例えば、ＴＰＭ機構やセキュリティＨＤＤ等を用いることができる。

検疫ネット管理装置３２（サービス中央制御管理部５０）は、隔離対象サーバ機器２０によりジョブが保存されると、修復実行指示部５３を通じて、隔離対象サーバ機器２０に対する異常に応じた検疫処理（修復）を隔離機器修復装置３４に指示する。隔離機器修復装置３４は、修復実行指示部５３からの指示に応じて、隔離対象サーバ機器２０に生じている異常に応じた修復を修復実行処理部４４により実行させる（ステップＢ１７）。

修復実行処理部４４による修復が完了すると、通常時ジョブ処理管理部４０により、一時保存したジョブを元の状態に戻した（正常化）後、このジョブの処理をジョブ処理実行部４１により実行させる。

このようにして、転送可否判断処理と処理続行判定処理の結果に応じて、隔離対象サーバ機器２０のキュー（処理待ちのジョブ）に対する処理のタイミングと修復するタイミングを調整することで、セキュリティ上の異常を排除する対応を進めながら、許容できる範囲でジョブの処理を実行してサービス提供を継続することができる。

なお、前述した説明では、転送可否判断処理、処理続行判定処理を検疫ネット管理装置３２（転送判断処理部５２）において実行するものとして説明しているが、これらの処理を隔離対象サーバ機器２０（緊急時ジョブ処理判定部４３）によって実行するものとしても良い。隔離対象サーバ機器２０の緊急時ジョブ処理判定部４３は、処理に必要な他のサーバ機器２３のジョブに関するデータ等を検疫ネット管理装置３２から取得して、前述と同様の処理を実行すれば良い。

また、前述した説明では、サーバ機器２０，２３をＭＦＰとして説明しており、ジョブの処理内容や処理対象とするデータサイズがジョブ毎に異なるため、前述した単体処理時間や期待限度値などがジョブ毎に異なっている。これに対して、ジョブの処理対象とするデータのサイズが均一で即応性が求められるコンピュータシステムでは、前述した処理を簡略化して実行することができる。例えば、ＰＯＳ（Point of Sales）システムでは、処理データが同一サイズであり、即応性が重視されるシステムである。以下、ＰＯＳシステムを対象とした場合について説明する。

図８は、本実施形態におけるＰＯＳシステムを対象とした場合の隔離対象サーバ機器２０のキューに対する処理のタイミングと修復するタイミングを調整するためのＰＯＳ処理決定を示すフローチャートである。例えば、隔離対象サーバ機器２０は、店舗サーバであり、ネットワーク２５を介して接続された複数のＰＯＳ端末（パーソナルコンピュータ１４（１４−１，…，１４−ｍ））から売り上げ情報などを含むＰＯＳデータが入力される。

図８に示すステップＡ１〜Ａ５の処理は、図４に示すＭＦＰ処理決定処理のステップＢ１〜Ｂ５と同様にして実行される（詳細な説明を省略する）。ＰＯＳシステムでは、データが均一であり重要度（機密度）にも違いがないため、図４のフローチャートにおける機密度に関する処理は省略できる。

また、ステップＡ６〜Ａ７，Ａ１０〜Ａ１２の処理は、図４に示すＭＦＰ処理決定処理のステップＢ８〜Ｂ１２と同様にして実行される（詳細な説明を省略する）。ただし、ＰＯＳシステムでは、ジョブのデータが均一（同セル化、同サイズ）であるため、転送可否判断処理における判断を簡略化することができる。すなわち、キューの順番に対して固定の閾値ｋを設定し、この閾値ｋと対象とするジョブのキューの順番とを単純に比較して判断する。

例えば、通常時ジョブ処理管理部４０には、図９に示すように、キューにはジョブＡ，Ｂ，Ｃ，Ｄ，Ｅ，Ｆ，Ｇが存在している。ここで、図９に示すように、閾値ｋが設定されているものとすると、この閾値ｋと対象とするジョブ（例えば、ジョブＥ）とを比較し、対象ジョブのキュー（先頭から j番目） j ＜ k ならば隔離対象サーバ機器２０においてジョブを処理し（ステップＡ１１、Ｎｏ）、j ＞＝ ｋ ならば（ステップＡ１１、Ｙｅｓ）、他のＰＯＳシステムへジョブを転送すると判定する。

ステップＡ８，Ａ９の処理は、図４に示すＭＦＰ処理決定処理のステップＢ１７，Ｂ１８と同様にして実行される（詳細な説明を省略する）。

なお、ＰＯＳシステムでは、即応性が重視されるため修復処理が完了した後にジョブの処理を続行することはしないものとして、転送先候補が存在しない場合（ステップＡ７、Ｙｅｓ）、及び転送可否判断処理によって転送不可と判断された場合には（ステップＡ１１、Ｎｏ）、ジョブの処理を終了させるようにしても良い。

このようにして、ＰＯＳシステムのようなデータを扱うシステムでは、より簡略化した処理によって、セキュリティ上の異常を排除する対応を進めながら、許容できる範囲でジョブの処理を実行してサービス提供を継続することができる。

また、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

また、前述した実施の形態において記載した処理は、コンピュータに実行させることのできるプログラムとして、例えば磁気ディスク（フレキシブルディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリなどの記録媒体に書き込んで各種装置に提供することができる。また、通信媒体により伝送して各種装置に提供することも可能である。コンピュータは、記録媒体に記録されたプログラムを読み込み、または通信媒体を介してプログラムを受信し、このプログラムによって動作が制御されることにより、上述した処理を実行する。

１０…セキュアゾーン、１２…隔離ゾーン、２０…隔離対象サーバ機器、２３（２３−１，２３−２，…，２３−ｎ）…サーバ機器、３０…検疫処理境界装置、３２…検疫ネット管理装置、３４…隔離機器修復装置、４０…通常時ジョブ処理管理部、４１…ジョブ処理実行部、４２…緊急時ジョブ処理管理部、４３…緊急時ジョブ処理判定部、４４…修復実行処理部、５０…サービス中央制御管理部、５１…転送判断情報管理部、５２…転送判断処理部、５３…修復実行指示部、６０…通常時ジョブ処理管理部、６１…ジョブ処理実行部。

Claims (6)

1. 論理的な正常ネットワークと制限ネットワークとを設けて、前記制限ネットワークに接続したサーバ機器に対して検疫処理を実行する検疫ネットワークを有するコンピュータシステムであって、
   検疫ネット管理装置は、
   第１のサーバ機器と第２のサーバ機器におけるキューに関するデータを取得する取得手段と、
   前記第１のサーバ機器に障害がある場合に、前記第１のサーバ機器のキューのジョブを前記第２のサーバ機器に転送するか否かを判断する転送可否判断手段と、
   前記転送可否判断手段による判断結果に応じて、前記ジョブが前記第２のサーバ機器に転送された場合に、前記第１のサーバ機器に対する修復を実行させる修復実行指示手段とを有し、
   前記第１のサーバ機器は、
   前記転送可否判断手段により前記ジョブを前記第２のサーバ機器に転送すると判断された場合に、前記ジョブを前記第２のサーバ機器に転送する転送手段と、
   前記転送手段による前記ジョブの転送後に、前記修復実行指示手段からの指示に応じて修復を実行する修復実行指示手段とを有したコンピュータシステム。
2. 前記転送可否判断手段は、
   前記ジョブを前記第１のサーバ機器で実行した場合に要する第１時間を、前記ジョブの前にあるキューの推定処理時間、前記ジョブの実行に要する単体処理時間、及び予め設定された許容時間をもとに算出し、
   前記第２のサーバ機器に前記ジョブを転送して実行する場合に要する第２時間を、前記第２のサーバ機器のキューの推定処理時間と、前記ジョブを転送するために要する推定転送時間と、前記単体処理時間をもとに算出し、
   前記第１時間と前記第２時間の比較によって判断する請求項１記載のコンピュータシステム。
3. 前記検疫ネット管理装置は、前記転送可否判断手段により前記ジョブを前記第２のサーバ機器に転送しないと判断された場合に、前記ジョブを実行するまでに要する時間と、前記ジョブに対して予め設定された処理が完了するまでの期待限度値とに基づいて、前記ジョブを修復前に実行するか修復後に実行するかを判定する処理続行判定手段をさらに有する請求項２記載のコンピュータシステム。
4. 前記処理判定手段は、前記キューの順番に対して設定された閾値と、前記ジョブの前記キューの順番との比較結果に基づいて判断する請求項１記載のコンピュータシステム。
5. 前記検疫ネット管理装置は、前記ジョブの対象となるデータの機密度に基づいて、前記ジョブを前記第２のサーバ機器に転送するか否かを判定する機密度チェック手段をさらに有し、
   前記転送可否判断手段は、前記機密度チェック手段により転送すると判断された場合に、前記ジョブを前記第２のサーバ機器に転送するか否かを判断する請求項１記載のコンピュータシステム。
6. 論理的な正常ネットワークと制限ネットワークとを設けて、前記制限ネットワークに接続したサーバ機器に対して検疫処理を実行する検疫ネットワークを有するコンピュータシステムにおけるジョブ制御方法であって、
   検疫ネット管理装置は、
   第１のサーバ機器と第２のサーバ機器におけるキューに関するデータを取得し、
   前記第１のサーバ機器に障害がある場合に、前記第１のサーバ機器のキューのジョブを前記第２のサーバ機器に転送するか否かを判断し、
   前記転送可否判断に応じて、前記ジョブが前記第２のサーバ機器に転送された場合に、前記第１のサーバ機器に対する修復を実行させ、
   前記第１のサーバ機器は、
   前記転送可否判断により前記ジョブを前記第２のサーバ機器に転送すると判断された場合に、前記ジョブを前記第２のサーバ機器に転送し、
   前記ジョブの転送後に、修復を実行するジョブ制御方法。

Images