JP2013254333A - 多重系制御システム及びその制御方法 - Google Patents

Abstract

【課題】待機系計算機からの１回の電文受信で、障害となった稼動系計算機の計算機停止と計算機リセット停止とを実現する。
【解決手段】システムを構成する複数の計算機のそれぞれは、他系計算機の生存を監視する他系監視手段113と、計算機リセット制御手段、計算機リセット停止タイマを有する系切換え制御(LXP)ボード110とを備える。稼働系計算機のLXPボードは、稼働系計算機に障害が発生し、待機系計算機から計算機停止電文を受け取ると、稼動系計算機の計算機リセット停止手段が、稼動系計算機の他系監視手段にマスク不可能割込み信号を送信すると共に、計算機リセット停止タイマを起動する。稼動系計算機の他系監視手段は、マスク不可能割込み信号を受けて、障害となった稼動系計算機の障害情報の保存の処理を開始させ、障害情報の保存ができず計算機リセット停止タイマがタイムアップした場合に、稼動系計算機をリセット停止させる。
【選択図】図２

Description

本発明は、多重系制御システム及びその制御方法に係り、特に、工場のライン管理や鉄道の運行管理等の連続運転の必要性が強いシステムで使用して好適な多重系制御システム及びその制御方法に関する。

一般に、工場のライン管理や鉄道の運行管理などの連続運転の必要性が強い場所で使用される制御システムは、どのような場合にもシステムの停止を避けなくてはならない。そのため、この種の制御システムは、通常、複数の計算機をネットワークにより結合して、１つのシステムとした多重系制御システムとして構築されている。このような多重制御システムは、通常、１つの稼動系計算機と１または複数の待機系計算機とにより構成され、稼動系計算機が障害等により停止しても、停止した稼働系計算機の作業を正常稼動している待機系計算機が引き継ぐことにより、システムが停止することを防止している。

多重系制御システムに関する従来技術として、例えば、特許文献１等に記載された技術が知られている。この従来技術は、系切換え制御（ＬＸＰ）ボードを用いた多重系制御システムに関するもので、稼動系計算機に障害が発生した場合、稼動系計算機が自身の障害情報を保存し、待機系計算機が稼動系計算機の処理を停止させている。また、この従来技術は、発生した障害が、その障害情報を稼動系計算機自身で保存することができないような深刻な障害であった場合、障害を生じた稼働系計算機から誤った制御情報が出力されることを防ぐため、待機系計算機が障害の発生した稼働系計算機をロック（リセット停止）させている。

すなわち、前述した従来技術による多重系制御システムは、待機系計算機が稼動系計算機の障害発生を検出した場合、待機系計算機が稼動系計算機の系切換え制御（ＬＸＰ）ボード（計算機の障害検出や復旧処理を行う）に対して計算機を停止させる計算機停止電文を送信し、稼動系計算機の系切換え制御（ＬＸＰ）ボードがＮＭＩ（マスク不可能割込み）を発生させていた。そして、ＮＭＩが発生すると稼働系計算機のＯＳ（Operating System）は、ディスク装置等の記憶媒体に障害情報を保存（メモリダンプ）し、メモリダンプが完了し次第、稼動系計算機を停止していた。そして、この従来技術は、発生した障害がハードウェア障害等のメモリダンプを実行することができないような深刻な障害であった場合、誤った制御情報が出力されることを防ぐため、計算機停止電文の後に待機系計算機から送信されてくる計算機リセット停止電文により障害が発生した稼働系計算機をリセット停止させていた。

また、前述の従来技術は、障害発生の検出を、計算機をそれぞれを相互に接続しているネットワークを介して相互に監視させることにより実現し、障害が発生した稼動系計算機の処理停止を、待機系計算機がネットワークを介して、稼動系計算機に処理停止要求を出すことにより実現している。

特開２００７−５８７０８号公報

前述した従来技術による多重系制御システムは、系切換え制御（ＬＸＰ）ボードに実装さていれるＬＡＮコントローラ（ネットワークの通信や計算機停止電文または計算機リセット停止電文のやり取りを制御する）が、待機系計算機からの電文を２回まで受信することができるようにされていたため、稼動系計算機が計算機停止電文と計算機リセット停止電文とを受信することができていた。

しかし、近年、コンピュータのバスアーキテクチャがＰＣＩからＰＣＩｅへ移行しており、この移行に伴って、ＬＡＮコントローラは、一度電文を受信すると自身をリセットしない限り次の電文を受信することができなくなるものが主流になりつつある。このようなＬＡＮコントローラを使用した場合、前述した従来技術は、計算機にハードウェア障害等の深刻な障害が発生したとき、稼動系計算機が待機系計算機からの計算機リセット停止電文を受信することができなくなってしまい、障害が発生した稼働系計算機をリセット停止することができないという問題点を生じさせる。

本発明の目的は、前述した従来技術の問題点を解決し、待機系計算機からの１回の電文受信で、障害となった稼動系計算機の計算機停止と計算機リセット停止とを実現することを可能とした、稼働系、待機系の各計算機が系切換え制御（ＬＸＰ）ボードを備えている計算機により構成される多重系制御システム及びその制御方法を提供することにある。

本発明によれば前記目的は、複数の計算機の１つを稼働系計算機とし、他の計算機を待機系計算機として構成される多重系制御システムにおいて、前記複数の計算機のそれぞれは、他系計算機の生存を監視する他系監視手段と、計算機リセット制御手段、及び、計算機リセット停止タイマを有する系切換え制御（ＬＸＰ）ボードとを備え、前記稼働系計算機の系切換え制御（ＬＸＰ）ボードは、自計算機である前記稼働系計算機に障害が発生し、正常に動作している待機系計算機から計算機停止電文を受け取ると、前記計算機リセット停止手段が、自計算機の前記他系監視手段にマスク不可能割込み信号を送信すると共に、前記計算機リセット停止タイマを起動し、前記自計算機の前記他系監視手段は、前記マスク不可能割込み信号を受けて、障害情報の保存の処理を開始させ、障害情報の保存の処理を開始することができず、前記計算機リセット停止タイマがタイムアップした場合に、前記計算機リセット制御手段を介して自計算機をリセット停止させることにより達成される。

本発明によれば、稼働系計算機に障害が発生し、稼働系計算機をリセット停止をさせなければならない場合にも、待機系計算機からのリセット停止電文を必要とせずに稼動系計算機をリセット停止させることができる。

本発明の一実施形態による多重系制御システムの構成例を示すブロック図である。 系切換え制御（ＬＸＰ）ボードの内部の構成例を示すブロック図である。 他系監視プログラムがメモリダンプを実行して障害発生計算機を停止する処理手順を説明するシーケンスチャートである。 他系監視プログラムがモリダンプを実行できない場合に、障害発生計算機をリセット停止する処理手順を説明するシーケンスチャートである。

以下、本発明による多重制御システム及びその制御方法の実施形態を図面により詳細に説明する。

図１は本発明の一実施形態による多重系制御システムの構成例を示すブロック図である。

図１に示す本発明の実施形態による多重系制御システムは、２台の計算機を含んだ二重系制御システムとして構成した例であるが、本発明の多重系制御システムは、３台以上の計算機により構成してもよい。その場合、１台の計算機が稼働系計算機として使用され、残りの計算機が待機系計算機として使用される。また、待機系計算機は、稼働系計算機と全く同一のデータを受け取って、稼働系計算機と同一の処理を行うように構成されていてもよく、また、稼働系計算機が障害となったときにデータを引き継ぐように構成されていてもよい。

図１に示すように、本発明の実施形態による多重系制御システムは、２台の計算機１０１、１０２が相互に接続されて構成され、一方の計算機１０１が稼動系計算機１０１として動作し、他方の計算機１０２が待機系計算機１０２として動作するように構成されている。図１に示す多重系制御システムにおいて、系切換えが実施されると、稼動系計算機１０１が待機系となり、待機系計算機１０２が稼動系となって、動作を継続する。

そして、稼働系計算機１０１及び待機系計算機１０２のそれぞれは、ＣＰＵ１０３と、メインメモリ１０４と、ディスク装置１０６とが、入出力制御装置（Ｉ／Ｏ）１０５を介して相互に接続可能に備えて構成されると共に、入出力制御装置（Ｉ／Ｏ）１０５には、監視バス１０７を介したＬＡＮ制御ボード１０９、拡張バス１０８を介した系切換え制御（ＬＸＰ）ボード１１０が接続されて構成されている。

メインメモリ１０４内には、他系監視プログラム１１３及びＯＳ１１４が格納されて動作しており、他系監視プログラム１１３は、ＣＰＵ１０３により実行され、本発明の実施形態での処理を制御している。すなわち、他系監視プログラム１１３は、ＬＡＮ制御ボード１０９及び系切換え制御（ＬＸＰ）ボード１１０による相手計算機の生存の監視、後述するＬＡＮ制御ボード１０９による相手計算機との間での情報送受信の制御、系切換え制御（ＬＸＰ）ボード１１０を介する計算機停止電文の授受、その電文を受信することによる自計算機に対する停止処理等の制御を行っている。

計算機１０１、計算機１０２のそれぞれに設けられるＬＡＮ制御ボード１０９は、汎用ネットワークであるＬＡＮ１１１を介して相互に接続され、他系監視プログラム１１３の制御の下で相手計算機の生存を監視している。汎用ネットワークであるＬＡＮ１１１としては、広く普及しているEthernet（登録商標）等を使用することができる。

また、計算機１０１、計算機１０２のそれぞれに設けられる系切換え制御（ＬＸＰ）ボード１１０は、計算機の系切換え制御（ＬＸＰ）のための機能拡張ボードであり、汎用ネットワークであるＬＡＮ１１２を介して相互に接続され、他系監視プログラム１１３の制御の下で相手計算機の生存を監視している。また、系切換え制御（ＬＸＰ）ボード１１０は、各計算機停止電文を含む計算機１０１、計算機１０２相互間で授受される指示電文の送受信を行っており、指示電文を受信したときには、自計算機にその指示内容を実行させる。

前述したように、本発明の実施形態では、相手計算機の生存確認を他系監視プログラム１１３の制御の下で、ＬＡＮ制御ボード１０９及び系切換え制御（ＬＸＰ）ボード１１０を用いて２重のルートにより行っている。

図２は系切換え制御（ＬＸＰ）ボード１１０の内部の構成例を示すブロック図である。

系切換え制御（ＬＸＰ）ボード１１０は、ＬＡＮコントローラ２０１と、計算機リセット制御回路２０２と、計算機リセット停止タイマ２０３とを備えて構成されている。そして、ＬＡＮコントローラ２０１は、ネットワークインタフェース２０５と、電文比較回路２０４とを有して構成され、拡張バス１０８を介して入出力制御装置（Ｉ／Ｏ）１０５に接続されると共に、ネットワークインタフェース２０５が汎用ＬＡＮ１１２を介して他系計算機のＬＸＰに接続されている。

また、計算機リセット制御回路２０２は、図では接続していないが、拡張バス１０８を介して入出力制御装置（Ｉ／Ｏ）１０５に接続され、ＮＭＩ信号２１０及び計算機リセット停止信号２１１を、入出力制御装置（Ｉ／Ｏ）１０５を介して他系監視プログラム１１３に送信する。

前述のように構成される系切換え制御（ＬＸＰ）ボード１１０は、ネットワークインタフェース２０５が、ＬＡＮ１１２を介して他系計算機の系切換え制御（ＬＸＰ）ボード１１０との間で各種の信号２０６の送受信を行っている。電文比較回路２０４は、ネットワークインタフェース２０５を介して、他系計算機の系切換え制御（ＬＸＰ）ボード１１０からの電文の信号２０６を受信すると、自比較回路２０４内に予め保持している電文のひな型と、受信した電文との比較を行って受信した電文を識別し、受信した電文が計算機停止電文２０７であった場合、計算機停止要求２０８を計算機リセット制御回路２０２に出力する。

計算機停止要求２０８を受け取った計算機リセット制御回路２０２は、リセット停止タイマ起動要求２０９を計算機リセット停止タイマ２０３に出力し、計算機リセット停止タイマ２０３は、これにより時間の計測を開始する。これと同時に、計算機リセット制御回路２０２は、入出力制御装置（Ｉ／Ｏ）１０５を経由してＣＰＵ１０３にＮＭＩ（マスク不可能割込み）信号２１０を送信する。

その後、計算機リセット停止タイマ２０３は、予め決めておいた時間の経過を計測してタイムアップすると、計算機リセット制御回路２０２に計算機リセット停止要求信号２１１を送信する。計算機リセット制御回路２０２は、この計算機リセット停止要求信号２１１を受け取ると、計算機リセット停止信号２１２を入出力制御装置（Ｉ／Ｏ）１０５を経由してＣＰＵ１０３に出力し、自系計算機をリセット停止させる。

また、計算機リセット停止タイマ２０３が予め決めておいた時間より前に、メモリダンプが開始された場合、他系監視プログラム１１３が、入出力制御装置（Ｉ／Ｏ）１０５を介して計算機リセット制御回路２０２に計算機リセット停止タイマ２０３を停止させる信号を送信してくるので、これを受けた計算機リセット制御回路２０２は、リセット停止タイマ停止信号２１３を計算機リセット停止タイマ２０３に送信して計算機リセット停止タイマ２０３を停止させる。

図３は他系監視プログラム１１３がメモリダンプを実行して障害発生計算機を停止する処理手順を説明するシーケンスチャートであり、次に、これについて説明る。なお、図３に示す例では、障害が発生した計算機を稼働系計算機３０１とし、正常動作している計算機を待機系計算機３０２として示している。また、図示例では、１つのブロック内に、他系監視プログラム１１３と、ＬＸＰ１１０とが存在しているように示しているが、説明の便宜上このように示しているだけであり、これらは、実際には図１に示して説明したように配置されている。

（１）２つの計算機３０１、３０２内の他系監視プログラム１１３は、２つの計算機間における生存通知電文３０３の送受信を行って、相手計算機からの生存通知電文の３０３の受信を監視し、他系計算機の生死を監視している（ステップ３０４）。

（２）いま、一方の計算機、図示例では、稼働系計算機３０１に障害が発生したものとする。この結果、稼働系計算機３０１からの生存通知電文が待機系計算機３０２に送信されなくなる（ステップ３０５）。

（３）正常に動作している待機系計算機３０２側の他系監視プログラム１１３は、稼働系計算機３０１からの生存通知電文３０３が予め決められた時間の経過後まで届かなかったことを検出すると、稼働系計算機３０１に障害が発生したと判断する。そして、待機系計算機３０２側の他系監視プログラム１１３は、他系計算機である障害が発生した稼働系計算機３０１に計算機停止電文２０７を送信する（ステップ３０６）。

（４）障害が発生した稼働系計算機３０１の系切換え制御（ＬＸＰ）ボード１１０は、計算機停止電文２０７を受信し、その電文が計算機停止電文２０７であると認識すると、計算機リセット制御回路２０２が、ＮＭＩ信号２１０を発生すると共に、計算機リセット停止タイマ２０３を起動する。

（５）ＮＭＩ信号２１０を受け付けた障害が発生した稼働系計算機３０１の他系監視プログラム１１３は、メモリダンプ処理を開始させ、リセット停止タイマ停止信号２１３を計算機リセット停止タイマ２０３に送信して計算機リセット停止タイマ２０３を停止させる（ステップ３０７）。

（６）メモリダンプの処理３０７が完了すると、障害が発生した稼働系計算機３０１は、自身を正常に停止させる。その後、正常に動作している待機系計算機３０２が、稼働系計算機となって、システムとしての動作を継続する（ステップ３０８）。

図４は他系監視プログラム１１３がモリダンプ３０７を実行できない場合に、障害発生計算機をリセット停止する処理手順を説明するシーケンスチャートであり、次に、これについて説明する。なお、図３の場合と同様に、図４に示す例では、障害が発生した計算機を稼働系計算機３０１とし、正常動作している計算機を待機系計算機３０２として示している。また、図示例では、１つのブロック内に、他系監視プログラム１１３と、ＬＸＰ１１０とが存在しているように示しているが、説明の便宜上このように示しているだけであり、これらは、実際には図１に示して説明したように配置されている。また、以下の説明において、図３に示して説明した処理と同一の処理については同一の符号を付し、異なる処理についてだけ異なる符号を付している。

（１）２つの計算機３０１、３０２内の他系監視プログラム１１３は、２つの計算機間における生存通知電文３０３の送受信を行って、相手計算機からの生存通知電文の３０３の受信を監視し、他系計算機の生死を監視している（ステップ３０４）。

（２）いま、一方の計算機、図示例では、稼働系計算機３０１に障害が発生したものとする。この結果、稼働系計算機３０１からの生存通知電文が待機系計算機３０２に送信されなくなる（ステップ３０５）。

（３）正常に動作している待機系計算機３０２側の他系監視プログラム１１３は、稼働系計算機３０１からの生存通知電文３０３が予め決められた時間の経過後まで届かなかったことを検出すると、稼働系計算機３０１に障害が発生したと判断する。そして、待機系計算機３０２側の他系監視プログラム１１３は、他系計算機である障害が発生した稼働系計算機３０１に計算機停止電文２０７を送信する（ステップ３０６）。

（４）障害が発生した稼働系計算機３０１の系切換え制御（ＬＸＰ）ボード１１０は、計算機停止電文２０７を受信し、その電文が計算機停止電文２０７であると認識すると、計算機リセット制御回路２０２が、ＮＭＩ信号２１０を発生すると共に、計算機リセット停止タイマ２０３を起動する。

（５）ＮＭＩ信号２１０を受け付けた障害が発生した稼働系計算機３０１の他系監視プログラム１１３が、稼働系計算機３０１にメモリダンプ処理を開始させようとするが、その障害がメモリダンプを実行することができないようなハードウェア障害４０１であった場合、稼働系計算機３０１は、メモリダンプを実行することができないため、計算機リセット停止タイマ２０３は、予め決められていた時間を計時してタイムアウトとなる。

（６）系切換え制御（ＬＸＰ）ボード１１０は、計算機リセット停止タイマ２０３がタイムアウトしたことにより、障害発生計算機３０１をリセット停止する。これ以降、障害となった稼働系計算機３０１は、リセット停止状態となり、障害による誤った制御情報が出力されるようなことを防止することができる。また、その後、正常に動作している待機系計算機３０２が、稼働系計算機となって、システムとしての動作を継続する（ステップ４０２）。

前述した本発明の実施形態によれば、従来と同様の系切換え制御（ＬＸＰ）ボードを用いて構成される多重系制御システムにおいて、稼働系計算機に障害が発生し、稼働系計算機をリセット停止をさせなければならない場合にも、ＬＡＮコントローラの種類に依存せず、待機系計算機からのリセット停止電文を必要とせずに稼動系計算機をリセット停止することができる。

１０１ 稼動系計算機
１０２ 待機系計算機
１０３ ＣＰＵ
１０４ メインメモリ
１０５ 入出力制御装置（Ｉ／Ｏ）
１０６ ディスク装置
１０７ 監視バス
１０８ 拡張バス
１０９ ＬＡＮ制御ボード
１１０ 系切換え制御（ＬＸＰ）ボード
１１１、１１２ ＬＡＮ
１１３ 他系監視プログラム
１１４ ＯＳ
２０１ ＬＡＮコントローラ
２０２ 計算機リセット制御回路
２０３ 計算機リセット停止タイマ
２０４ 電文比較回路
２０５ ネットワークインターフェース

Claims (3)

1. 複数の計算機の１つを稼働系計算機とし、他の計算機を待機系計算機として構成される多重系制御システムにおいて、
   前記複数の計算機のそれぞれは、他系計算機の生存を監視する他系監視手段と、計算機リセット制御手段、及び、計算機リセット停止タイマを有する系切換え制御（ＬＸＰ）ボードとを備え、
   前記稼働系計算機の系切換え制御（ＬＸＰ）ボードは、前記稼働系計算機に障害が発生し、正常に動作している待機系計算機から計算機停止電文を受け取ると、前記稼動系計算機の計算機リセット停止手段が、稼動系計算機の前記他系監視手段にマスク不可能割込み信号を送信すると共に、前記計算機リセット停止タイマを起動し、
   前記稼動系計算機の前記他系監視手段は、前記マスク不可能割込み信号を受けて、障害となった前記稼動系計算機の障害情報の保存の処理を開始させ、障害情報の保存の処理を開始することができず、前記計算機リセット停止タイマがタイムアップした場合に、前記計算機リセット制御手段を介して稼動系計算機をリセット停止させることを特徴とする多重系制御システム。
2. 前記稼動系計算機の前記他系監視手段は、前記障害情報の保存の処理が開始された場合、前記稼動系計算機の計算機リセット制御手段を介して、前記計算機リセット停止タイマをリセットさせると共に、前記障害情報の保存の処理が終了したとき、前記稼動系計算機を正常停止させることを特徴とする請求項１記載の多重系制御システム。
3. 複数の計算機の１つを稼働系計算機とし、他の計算機を待機系計算機として構成される多重系制御システムの制御方法において、
   前記複数の計算機のそれぞれは、他系計算機の生存を監視する他系監視手段と、計算機リセット制御手段、及び、計算機リセット停止タイマを有する系切換え制御（ＬＸＰ）ボードとを備え、
   前記稼働系計算機の系切換え制御（ＬＸＰ）ボードは、前記稼働系計算機に障害が発生し、正常に動作している待機系計算機から計算機停止電文を受け取ると、前記稼動系計算機の計算機リセット停止手段が、稼動系計算機の前記他系監視手段にマスク不可能割込み信号を送信すると共に、前記計算機リセット停止タイマを起動し、
   前記稼動系計算機の前記他系監視手段は、前記マスク不可能割込み信号を受けて、障害となった前記稼動系計算機の障害情報の保存の処理を開始させ、障害情報の保存の処理を開始することができず、前記計算機リセット停止タイマがタイムアップした場合に、前記計算機リセット制御手段を介して稼動系計算機をリセット停止させることを特徴とする多重系制御システムの制御方法。

Images