JP2021082052A - 制御装置及び制御プログラム - Google Patents

Abstract

【課題】他の制御装置と冗長システムを構築するとともに、第１ＯＳと第２ＯＳが動作し第１ＯＳが第２ＯＳと協働して動作する制御装置において、第２ＯＳがパニックになったときに第１ＯＳのパニックリブートを防ぐこと。【解決手段】第１ＯＳ（ＮＡＳ制御部１１ａ）のＯＳ通信ドライバ２３がＳＣＳＩドライバ経由でＩ／Ｏ要求を受け取ると第２ＯＳ（ＳＡＮ制御部１２ａ）がアクティブであるか否かを判定し、アクティブでない場合に、ＮＡＳ通信ドライバ２４がＩ／Ｏ要求を他の制御装置（ＣＭ１０）へ転送する。【選択図】図７

Description

本発明は、制御装置及び制御プログラムに関する。

２つのＯＳ（Operating System）が動作し、第１ＯＳが第２ＯＳに依存して動作する制御装置がある。例えば、ストレージ装置を制御する制御装置では、ＮＡＳ（Network Attached Storage）制御ＯＳとＳＡＮ（Storage Area Network）制御ＯＳが動作し、ＮＡＳ制御ＯＳは、クライアントからＩ／Ｏ要求を受信すると、ＳＡＮ制御ＯＳに対してＩ／Ｏ要求を行う。ここで、クライアントは、ストレージ装置を利用する情報処理装置であり、Ｉ／Ｏ要求は、ストレージ装置が備えるＨＤＤ（Hard Disk Drive）装置、ＳＳＤ（Solid State Drive）装置等の不揮発性記憶装置への読み書き要求である。

ＳＡＮ制御ＯＳは、ＮＡＳ制御ＯＳからＩ／Ｏ要求を受け取って処理し、ＮＡＳ制御ＯＳに処理結果を返す。ＮＡＳ制御ＯＳは、ＳＡＮ制御ＯＳから受け取った処理結果をクライアントに送信する。

なお、従来技術として、停止状態になった計算機を再起動するのに専用ハードウェアを必要とせず、ハードウェアコストが低減可能なマルチコンピュータシステムがある。このマルチコンピュータシステムは、複数のＯＳがそれぞれ動作している複数の計算機から構成される。このマルチコンピュータシステムでは、それぞれの計算機は、互いに生存通知の送受信を行うことによって他の計算機の生死監視機能を行うプログラムを有する。また、それぞれの計算機は、監視先ＯＳの生死監視を行う監視元ＯＳを有しており、監視先ＯＳが停止した場合には、監視元ＯＳが監視先ＯＳの再起動を行う。

また、従来技術として、冗長構成を有する分散コンピュータシステムにおいて通信路を含めた故障に対して処理の中断時間を短縮し得る分散システムがある。この分散システムでは、コンピュータＡの処理要求プログラムからの処理の要求をコンピュータＢの被要求プログラムで実行途中に、コンピュータＢが故障すると、処理の要求を実施し得るコンピュータＣに処理の実行を要求することで、処理の再要求が実現される。

特開２００３−１８６６８１号公報 特開平７−５６８７２号公報

図１７は、ＮＡＳ制御ＯＳがライトＩ／Ｏ要求を受信した場合のＮＡＳ制御ＯＳとＳＡＮ制御ＯＳの処理を説明するための図である。図１７において、ＣＭ（Controller Module）＃０及びＣＭ＃１で表されるＣＭ９０は、ストレージ装置を制御する制御装置である。ＣＭ＃０とＣＭ＃１は、冗長システムを構築する。

ＣＭ＃０のＮＡＳ制御ＯＳ９１は、ライトＩ／Ｏ要求を受け取り（ｔ９１）、データを書き込む領域をメモリ９３に確保する。そして、ＮＡＳ制御ＯＳ９１は、クライアントからデータを受け取り、メモリ９３に確保した領域に書き込む（ｔ９２）。そして、ＮＡＳ制御ＯＳ９１は、ＳＡＮ制御ＯＳ９２へライト要求を行う（ｔ９３）。ＮＡＳ制御ＯＳ９１は、ライト要求を行う際に、データを書き込んだ領域のアドレスをＳＡＮ制御ＯＳ９２へ通知する。

ＳＡＮ制御ＯＳ９２は、通知されたアドレスのデータを、自身が管理するメモリ９３上のキャッシュ領域にコピーする（ｔ９４）。そして、ＳＡＮ制御ＯＳ９２は、ＣＭ＃１との間でキャッシュデータの二重化を行う（ｔ９５）。

このように、ＮＡＳ制御ＯＳ９１は、ＳＡＮ制御ＯＳ９２を使用してクライアントからのＩ／Ｏ要求を処理する。このため、ＳＡＮ制御ＯＳ９２がパニック状態になると、ＮＡＳ制御ＯＳ９１は、ＳＡＮ制御ＯＳ９２へＩ／Ｏ要求を行うことができず、パニックリブートする。ここで、パニック状態とは、ＯＳにおいて致命的な障害が生じ、正常状態への復旧が不可能な状態である。また、パニックリブートとは、復旧不可能な状態が発生したため、ＯＳが再起動することである。

ＣＭ＃０のＮＡＳ制御ＯＳ９１がパニックリブートすると、ＣＭ＃１への切り替えが行われるが、切り替えに時間がかかり、Ｉ／Ｏ処理が一時停止するという問題がある。切り替えに時間がかかる理由は、ＣＭ＃１のＮＡＳ制御ＯＳ９１への切り替えでは、ネットワークの引継ぎが行われるためである。ネットワークの引継ぎでは、ＴＣＰ／ＩＰ（Transmission Control Protocol／Internet Protocol）層の引継ぎが完了した後に、上位プロトコルでの引継ぎも必要であり、時間がかかる。なお、上位プロトコルは、ＮＦＳ（Network File System）／ＣＩＦＳ（Common Internet File System）である。

本発明は、１つの側面では、ＳＡＮ制御ＯＳ９２のような第２ＯＳがパニック状態になった場合に、ＮＡＳ制御ＯＳ９１のような第１ＯＳのパニックリブートを防ぐことで、処理の一時停止を防ぐことを目的とする。

１つの態様では、制御装置は、他の制御装置と冗長システムを構築する。前記制御装置では、第１ＯＳと第２ＯＳが動作し前記第１ＯＳが前記第２ＯＳと協働して動作する。前記第１ＯＳが前記制御装置が備えるＣＰＵで動作することで実現される制御部は、判定部と通信部とを有する。前記判定部は、前記第２ＯＳが正常であるか否かを判定する。前記通信部は、前記判定部により前記第２ＯＳが正常でないと判定された場合に、前記処理要求を前記判定部から受け取って前記他の制御装置に転送する。

１つの側面では、本発明は、第１ＯＳから処理を依頼される第２ＯＳがパニック状態になった場合に、第１ＯＳのリブートを防ぐことで、処理の停止を防ぐことができる。

図１は、１つのコアで動作する２つのＯＳを説明するための図である。 図２は、実施例に係る制御装置で動作するＮＡＳ制御ＯＳとＳＡＮ制御ＯＳを説明するための図である。 図３は、ＮＡＳ制御ＯＳが用いるファイルシステムを説明するための図である。 図４は、実施例に係るストレージ装置におけるＣＭ間通信を説明するための図である。 図５は、ＮＡＳ制御ＯＳとＳＡＮ制御ＯＳとの間の生存監視を説明するための図である。 図６は、ＳＡＮ制御ＯＳがパニックリブートしているときのＮＡＳ制御ＯＳの動作を説明するための図である。 図７は、ＮＡＳ制御部及びＳＡＮ制御部の機能構成を示す図である。 図８は、ＳＡＮ制御部が正常な場合の各機能部の動作を示す図である。 図９は、ＳＡＮ制御部がパニックリブートしているときにＩ／Ｏ要求を受信した場合の各機能部の動作を示す図である。 図１０は、ＳＡＮ制御部のパニックリブートが完了した後にＩ／Ｏ要求を受信した場合の各機能部の動作を示す図である 図１１は、ＮＡＳ制御部によるＳＡＮ制御部の生存監視の処理のフローを示すフローチャートである。 図１２は、ＳＡＮ制御部によるＮＡＳ制御部の生存監視の処理のフローを示すフローチャートである。 図１３は、Ｉ／Ｏ要求をＳＣＳＩドライバ経由で受け取ったときのＯＳ通信ドライバの処理のフローを示すフローチャートである。 図１４は、ＳＡＮ制御部の状態変化の通知を受け取ったときのＯＳ通信ドライバの処理のフローを示すフローチャートである。 図１５は、生存監視部による処理のフローを示すフローチャートである。 図１６は、ＣＭのハードウェア構成を示す図である。 図１７は、ＮＡＳ制御ＯＳがライトＩ／Ｏ要求を受信した場合のＮＡＳ制御ＯＳとＳＡＮ制御ＯＳの処理を説明するための図である。

以下に、本願の開示する制御装置及び制御プログラムの実施例を図面に基づいて詳細に説明する。なお、この実施例は開示の技術を限定するものではない。

まず、実施例に係る２つのＯＳについて図１〜図５を用いて説明する。図１は、１つのコア（Core）で動作する２つのＯＳを説明するための図である。図１では、コア＃０〜コア＃３で表される４つのコア２を備えるが、ＣＰＵ１は、４以外の数のコア２を備えてよい。

図１に示すように、各コア２は、ハイパースレッデイング（Hyper-Threading）機能により２つのスレッドに分割される。コア＃０はスレッド＃０とスレッド＃１に分割され、コア＃１はスレッド＃２とスレッド＃３に分割され、コア＃２はスレッド＃４とスレッド＃５に分割され、コア＃３はスレッド＃６とスレッド＃７に分割される。スレッド＃０、スレッド＃２、スレッド＃４及びスレッド＃６では第１ＯＳが動作し、スレッド＃１、スレッド＃３、スレッド＃５及びスレッド＃７では第２ＯＳが動作する。

このように、ハイパースレッデイング機能によりコア２を２つのスレッドに分割することで、１つのコア２で２つのＯＳを動作させることができる。実施例に係る制御装置は、ハイパースレッデイング機能によりコア２を２つのスレッドに分割することで、ＮＡＳ制御ＯＳとＳＡＮ制御ＯＳを動作させることができる。ＮＡＳ制御ＯＳとＳＡＮ制御ＯＳを動作させることで、実施例に係る制御装置は、ユニファイドストレージを実現する。すなわち、実施例に係る制御装置は、ＳＡＮ環境ストレージをＮＡＳ環境でも利用可能にする。このため、実施例に係る制御装置は、ＮＡＳのプロトコルに基づくディスクアクセスをＳＡＮ制御ＯＳを介して行う。

図２は、実施例に係る制御装置で動作するＮＡＳ制御ＯＳとＳＡＮ制御ＯＳを説明するための図である。図２において、ＣＭ＃０で表されるＣＭ１０は、実施例に係るストレージ装置３を制御する制御装置である。図２に示すように、ＣＭ＃０では、ＮＡＳ制御ＯＳ１１とＳＡＮ制御ＯＳ１２が動作する。ＮＡＳ制御ＯＳ１１は、ＮＡＳＩ／Ｏを受け付け、ＮＡＳデータボリューム及びＮＡＳシステムボリュームにアクセスする。ＳＡＮ制御ＯＳ１２は、ＳＡＮＩ／Ｏを受け付け、ＳＡＮデータボリュームにアクセスする。

ＳＡＮ制御ＯＳ１２は、ＳＡＮ制御ＯＳ１２の機能のみでＳＡＮＩ／Ｏを処理する。一方、ＮＡＳ制御ＯＳ１１は、ＳＡＮ制御ＯＳ１２の機能を使用してＮＡＳＩ／Ｏを処理する。このため、ＮＡＳ制御ＯＳ１１が動作するためには、ＳＡＮ制御ＯＳ１２が動作することが必須である。すなわち、ＮＡＳ制御ＯＳ１１は、ＳＡＮ制御ＯＳ１２と協働して動作する。

図３は、ＮＡＳ制御ＯＳ１１が用いるファイルシステムを説明するための図である。図３に示すように、実施例に係るストレージ装置３は、ＣＭ＃０とＣＭ＃１で表される２つのＣＭ１０を有する。ＣＭ＃０とＣＭ＃１は、冗長システムを構築する。したがって、１つのＮＡＳデータボリュームは、ＣＭ＃０で動作するＮＡＳ制御ＯＳ１１とＣＭ＃１で動作するＮＡＳ制御ＯＳ１１の両方から更新される。このため、ＮＡＳデータボリュームへの書き込みには排他制御が必要であり、排他制御はファイルシステムにより行われる。

図４は、実施例に係るストレージ装置３におけるＣＭ間通信を説明するための図である。図４に示すように、ＣＭ間通信には、ＳＡＮ制御ＯＳ間の通信とＮＡＳ制御ＯＳ間の通信がある。ＳＡＮ制御ＯＳ間の通信は、キャッシュデータの二重化及びＳＡＮ制御ＯＳ間の生存監視に用いられる。ＮＡＳ制御ＯＳ間の通信は、ＮＡＳ制御ＯＳ間の生存監視に用いられる。ＮＡＳ制御ＯＳ間の通信には、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）が用いられる。

また、実施例に係るストレージ装置３では、ＮＡＳ制御ＯＳ１１とＳＡＮ制御ＯＳ１２との間でも生存監視が行われる。図５は、ＮＡＳ制御ＯＳ１１とＳＡＮ制御ＯＳ１２との間の生存監視を説明するための図である。図５に示すように、ＮＡＳ制御ＯＳ１１及びＳＡＮ制御ＯＳ１２は、共有メモリ１４に設けられたカウンタ１６及びカウンタ１５をそれぞれ更新する。

そして、ＮＡＳ制御ＯＳ１１は、タイマー割込みにより、カウンタ１５が更新されているか否かを確認することで、ＳＡＮ制御ＯＳ１２の生存確認を行う。ＳＡＮ制御ＯＳ１２は、タイマー割込みにより、カウンタ１６が更新されているか否かを確認することで、ＮＡＳ制御ＯＳ１１の生存確認を行う。ＳＡＮ制御ＯＳ１２は、一定の時間、更新されていない場合は、ＮＡＳ制御ＯＳ１１をパニックリブートする。

次に、ＳＡＮ制御ＯＳ１２がパニックリブートしているときのＮＡＳ制御ＯＳ１１の動作について説明する。図６は、ＳＡＮ制御ＯＳ１２がパニックリブートしているときのＮＡＳ制御ＯＳ１１の動作を説明するための図である。

図６に示すように、ＣＭ＃０のＮＡＳ制御ＯＳ１１は、ライトＩ／Ｏ要求を受け取り（ｔ１）、データを書き込む領域をメモリ１３に確保する。そして、ＣＭ＃０のＮＡＳ制御ＯＳ１１は、クライアントからデータを受け取り、メモリ１３に確保した領域に書き込む（ｔ２）。そして、ＣＭ＃０のＮＡＳ制御ＯＳ１１は、ＳＡＮ制御ＯＳ１２がパニックリブートしていることを検知し、ＣＭ＃１のＮＡＳ制御ＯＳ１１にデータを送信する（ｔ３）。

ＣＭ＃１のＮＡＳ制御ＯＳ１１は、データを受信してメモリ１３に書き込み、ＳＡＮ制御ＯＳ１２へライト要求を行う（ｔ４）。ＮＡＳ制御ＯＳ１１は、ライト要求を行う際に、データを書き込んだ領域のアドレスをＳＡＮ制御ＯＳ１２へ通知する。ＳＡＮ制御ＯＳ１２は、ライト要求を受け取ると、通知されたアドレスのデータを、自身が管理するメモリ１３上のキャッシュ領域にコピーする（ｔ５）。

このように、ＣＭ＃０のＮＡＳ制御ＯＳ１１は、ＳＡＮ制御ＯＳ１２がパニックリブートしていることを検知すると、ＣＭ＃１のＮＡＳ制御ＯＳ１１にデータを送信し、ＣＭ＃１のＮＡＳ制御ＯＳ１１がＣＭ＃１のＳＡＮ制御ＯＳ１２へライト要求を行う。したがって、ＣＭ＃０のＮＡＳ制御ＯＳ１１は、自身のパニックリブートを防ぐことができ、ＣＭ＃１への切り替えを防ぐことができる。このため、実施例に係るストレージ装置３は、ネットワークの引継ぎを行うことなく、ライトＩ／Ｏ要求を処理することができ、処理の一時停止を防ぐことができる。

次に、ＮＡＳ制御部及びＳＡＮ制御部の機能構成について説明する。ここで、ＮＡＳ制御部は、ＮＡＳ制御ＯＳ１１がＣＰＵ１で実行されることにより実現される機能であり、ＳＡＮ制御部は、ＳＡＮ制御ＯＳ１２がＣＰＵ１で実行されることにより実現される機能である。図７は、ＮＡＳ制御部及びＳＡＮ制御部の機能構成を示す図である。図７に示すように、ＮＡＳ制御部１１ａは、ファイルシステム２１と、ブロックデバイス２６と、ＳＣＳＩ（Small Computer System Interface）ドライバ２２と、ＯＳ通信ドライバ２３と、ＮＡＳ通信ドライバ２４と、生存監視部２５とを有する。ＳＡＮ制御部１２ａは、ＯＳ通信ドライバ３１と、ＣＡ（Channel Adapter）部３２と、キャッシュ管理部３３と、ＣＭドライバ３４と、生存監視部３５とを有する。

ファイルシステム２１は、ＮＡＳデータボリューム上のファイルを管理する。ファイルシステム２１は、クライアントからＮＡＳＩ／Ｏ要求を受信してブロックデバイス２６に渡す。ブロックデバイス２６は、ファイルシステム２１が受信したＩ／Ｏ要求をＳＣＳＩコマンドに変換し、ＳＣＳＩドライバ２２経由でＯＳ通信ドライバ２３に渡す。

ＳＣＳＩドライバ２２は、ＳＣＳＩで接続されるディスクへのアクセスを行うドライバであるが、ここでは、ブロックデバイス２６とＯＳ通信ドライバ２３の間の通信を中継する。

ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａとの通信を行うドライバである。ＯＳ通信ドライバ２３は、Ｉ／Ｏ要求をＳＣＳＩドライバ２２から受け取ると、ＳＡＮ制御部１２ａがアクティブであるか否かを判定する。そして、ＳＡＮ制御部１２ａがアクティブである場合には、ＯＳ通信ドライバ２３は、Ｉ／Ｏ要求の処理をＳＡＮ制御部１２ａに依頼し、Ｉ／Ｏ要求に対する応答をＳＡＮ制御部１２ａから受け取る。一方、ＳＡＮ制御部１２ａがアクティブでない場合には、ＯＳ通信ドライバ２３は、Ｉ／Ｏ要求をＮＡＳ通信ドライバ２４を介して他のＣＭ１０のＯＳ通信ドライバ２３へ送信し、Ｉ／Ｏ要求に対する応答を他のＣＭ１０のＯＳ通信ドライバ２３から受信する。

なお、ＯＳ通信ドライバ２３は、Ｉ／Ｏ要求の処理をＳＡＮ制御部１２ａに依頼すると、ＳＡＮ制御部１２ａの処理をタイマーで監視する。タイマー監視時間は、ＳＡＮ制御部１２ａでのディスク異常の処理時間も反映した時間であるので、ＳＡＮ制御部１２ａの異常をタイマー監視で検出すると、検出までに時間がかかる。そこで、生存監視部２５は、ＳＡＮ制御部１２ａの状態に変化があると、ＯＳ通信ドライバ２３に通知する。

ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａの状態がアクティブからインアクティブへ変化したことを生存監視部２５から通知されると、ＳＡＮ制御部１２ａに依頼中のＩ／Ｏ要求が複数ある場合には、複数のＩ／Ｏ要求を１つの要求にまとめる。そして、ＯＳ通信ドライバ２３は、１つの要求を他のＣＭ１０へ転送するようにＮＡＳ通信ドライバ２４に指示する。ＯＳ通信ドライバ２３は、複数のＩ／Ｏ要求を１つの要求にまとめることで、Ｉ／Ｏ要求の他のＣＭ１０への転送時間を短縮することができる。

ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａがアクティブでない他のＣＭ１０からＮＡＳ通信ドライバ２４を介してＩ／Ｏ要求を受け取ると、Ｉ／Ｏ要求の処理をＳＡＮ制御部１２ａに依頼し、Ｉ／Ｏ要求に対する応答をＳＡＮ制御部１２ａから受け取る。そして、ＯＳ通信ドライバ２３は、受け取った応答をＮＡＳ通信ドライバ２４を介して他のＣＭ１０に送信する。

ＮＡＳ通信ドライバ２４は、他のＣＭ１０のＮＡＳ制御部１１ａと通信を行うドライバである。ＮＡＳ通信ドライバ２４は、ＮＡＳ制御ＯＳ間の生存監視及びファイルの排他のための制御情報の通信等に用いられる。

ＮＡＳ通信ドライバ２４は、自ＣＭ１０のＳＡＮ制御部１２ａがインアクティブである場合に、Ｉ／Ｏ要求を他のＣＭ１０のＮＡＳ通信ドライバ２４に転送し、Ｉ／Ｏ要求に対する応答を他のＣＭ１０のＮＡＳ通信ドライバ２４から受信する。

ＮＡＳ通信ドライバ２４は、他のＣＭ１０のＮＡＳ通信ドライバ２４からＩ／Ｏ要求を受信すると、ＯＳ通信ドライバ２３に渡し、ＯＳ通信ドライバ２３から応答を受け取ると、他のＣＭ１０のＮＡＳ通信ドライバ２４へ送信する。

ＮＡＳ通信ドライバ２４は、他のＣＭ１０のＮＡＳ通信ドライバ２４から１つの要求にまとめられた複数のＩ／Ｏ要求を受信すると、元の複数のＩ／Ｏ要求に分割してＯＳ通信ドライバ２３に渡す。ＮＡＳ通信ドライバ２４は、分割してＯＳ通信ドライバ２３に渡したＩ／Ｏ要求ごとに応答を受け取り、他のＣＭ１０のＮＡＳ通信ドライバ２４へ送信する。ＮＡＳ通信ドライバ２４は、１つの要求にまとめられる前のＩ／Ｏ要求ごとに応答を他のＣＭ１０のＮＡＳ通信ドライバ２４へ送信するので、応答をまとめる場合の待合せ時間をなくし、クライアントへの応答時間を短縮することができる。

生存監視部２５は、ＳＡＮ制御部１２ａの生存監視部３５と連携して、相互に生存監視を行う。具体的には、生存監視部２５は、タイマー割込みにより、一定の周期で共有メモリ上のカウンタ１６を更新する。また、生存監視部２５は、タイマー割込みにより、一定の周期で共有メモリ上のカウンタ１５を確認する。そして、生存監視部２５は、カウンタ１５が更新されていない場合に、ＳＡＮ制御部１２ａの状態がアクティブであればインアクティブに変更する。また、生存監視部２５は、カウンタ１５が更新されている場合に、ＳＡＮ制御部１２ａの状態がインアクティブであればアクティブに変更する。生存監視部２５は、ＳＡＮ制御部１２ａの状態に変化があると、ＳＡＮ制御部１２ａの状態の変化をＯＳ通信ドライバ２３に通知する。

ＯＳ通信ドライバ３１は、ＮＡＳ制御部１１ａと通信を行うドライバである。ＣＡ部３２は、クライアントと通信を行うインタフェースであるＣＡを制御するが、ここでは、ＯＳ通信ドライバ３１とキャッシュ管理部３３の間の通信を中継する。

キャッシュ管理部３３は、メモリ上のキャッシュデータを管理する。キャッシュ管理部３３は、他のＣＭ１０のキャッシュ管理部３３との間でキャッシュデータの二重化を行う。

ＣＭドライバ３４は、他のＣＭ１０のＳＡＮ制御部１２ａと通信を行うドライバである。ＣＭドライバ３４は、キャッシュデータの二重化及びＳＡＮ制御ＯＳ間の生存監視に用いられる。

生存監視部３５は、ＮＡＳ制御部１１ａの生存監視部２５と連携して、相互に生存監視を行う。具体的には、生存監視部３５は、タイマー割込みにより、一定の周期で共有メモリ上のカウンタ１５を更新する。また、生存監視部３５は、タイマー割込みにより、一定の周期で共有メモリ上のカウンタ１６を確認し、カウンタ１６が更新されていない場合に、ＮＡＳ制御部１１ａをパニックリブートする。

次に、ＮＡＳＩ／Ｏ要求に対する各機能部の動作について図８〜図１０を用いて説明する。図８は、ＳＡＮ制御部１２ａが正常な場合の各機能部の動作を示す図である。図８に示すように、ファイルシステム２１は、ＮＡＳＩ／Ｏ要求を受け取ると（ｔ１１）、ＳＣＳＩドライバ２２及びブロックデバイス２６経由でＮＡＳＩ／Ｏ要求をＯＳ通信ドライバ２３に渡す。ＯＳ通信ドライバ２３は、自ＣＭ１０のＳＡＮ制御部１２ａにＩ／Ｏ要求を行う（ｔ１２）。

ＳＡＮ制御部１２ａのＯＳ通信ドライバ３１は、Ｉ／Ｏ要求を受け取ると、ＣＡ部３２経由でキャッシュ管理部３３にＩ／Ｏ要求を渡す。そして、キャッシュ管理部３３は、Ｉ／Ｏ処理を行う（ｔ１３）。なお、キャッシュ管理部３３は、必要であればキャッシュデータを他のＣＭ１０へ送信する。

図９は、ＳＡＮ制御部１２ａがパニックリブートしているときにＩ／Ｏ要求を受信した場合の各機能部の動作を示す図である。図９に示すように、ＮＡＳ制御部１１ａの生存監視部２５は、ＯＳ間生存監視（ｔ２１）において、ＳＡＮ制御部１２ａがパニックリブートしていることを検知すると、ＳＡＮ制御部１２ａの状態をアクティブからインアクティブに変更する。

ファイルシステム２１は、ＮＡＳＩ／Ｏ要求を受け取ると（ｔ２２）、ＳＣＳＩドライバ２２及びブロックデバイス２６経由でＮＡＳＩ／Ｏ要求をＯＳ通信ドライバ２３に渡す。ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａの状態がインアクティブであるので、ＣＭ＃１のＮＡＳ制御部１１ａにＮＡＳ通信ドライバ２４を介してＮＡＳＩ／Ｏ要求を転送する（ｔ２３）。ＣＭ＃１のＯＳ通信ドライバ３１は、ＮＡＳ通信ドライバ２４を介してＮＡＳＩ／Ｏ要求を受信すると、ＳＡＮ制御部１２ａにＮＡＳＩ／Ｏ要求を行う（ｔ２４）。

このように、ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａの状態がインアクティブであると、ＣＭ＃１のＮＡＳ制御部１１ａにＮＡＳＩ／Ｏ要求を転送するので、ＮＡＳ制御部１１ａのパニックリブートを防ぐことができる。

図１０は、ＳＡＮ制御部１２ａのパニックリブートが完了した後にＩ／Ｏ要求を受信した場合の各機能部の動作を示す図である。図１０に示すように、ＮＡＳ制御部１１ａの生存監視部２５は、ＯＳ間生存監視（ｔ３１）において、ＳＡＮ制御部１２ａが動作可能になったことを検知すると、ＳＡＮ制御部１２ａの状態をインアクティブからアクティブに変更する。

ファイルシステム２１は、ＮＡＳＩ／Ｏ要求を受け取ると（ｔ３２）、ＳＣＳＩドライバ２２及びブロックデバイス２６経由でＮＡＳＩ／Ｏ要求をＯＳ通信ドライバ２３に渡す。ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａの状態がアクティブであるので、自ＣＭ１０のＳＡＮ制御部１２ａにＩ／Ｏ要求を行う。

ＳＡＮ制御部１２ａのＯＳ通信ドライバ３１は、Ｉ／Ｏ要求を受け取ると、ＣＡ部３２経由でキャッシュ管理部３３にＩ／Ｏ要求を渡す。そして、キャッシュ管理部３３は、必要であれば、ＣＭドライバ３４経由でＣＭ＃１のＳＡＮ制御部１２ａへデータを転送する（ｔ３３）。そして、キャッシュ管理部３３は、Ｉ／Ｏ処理を行う（ｔ３４）。

次に、ＣＭ１０による処理のフローについて図１１〜図１５を用いて説明する。図１１は、ＮＡＳ制御部１１ａによるＳＡＮ制御部１２ａの生存監視の処理のフローを示すフローチャートである。図１１に示すように、ＮＡＳ制御部１１ａは、タイマー割込みにより、一定の周期で共有メモリ上のＳＡＮ制御部１２ａのカウンタ１５が更新されているかを確認する（ステップＳ１）。

そして、ＮＡＳ制御部１１ａは、更新ありか否かを判定し（ステップＳ２）、更新なしの場合には、ＳＡＮ制御部１２ａの状態がアクティブのときインアクティブに変更する（ステップＳ３）。一方、更新ありの場合には、ＮＡＳ制御部１１ａは、ＳＡＮ制御部１２ａの状態がインアクティブのときアクティブに変更する（ステップＳ４）。

このように、ＮＡＳ制御部１１ａは、カウンタ１５の更新状態に基づいて、ＳＡＮ制御部１２ａの生存監視を行うことで、Ｉ／Ｏ要求の転送先を決定することができる。

図１２は、ＳＡＮ制御部１２ａよるＮＡＳ制御部１１ａの生存監視の処理のフローを示すフローチャートである。図１２に示すように、ＳＡＮ制御部１２ａは、タイマー割込みにより、一定の周期で共有メモリ上のＮＡＳ制御部１１ａのカウンタ１６が更新されているかを確認する（ステップＳ１１）。そして、ＳＡＮ制御部１２ａは、更新ありか否かを判定し（ステップＳ１２）、更新なしの場合には、ＮＡＳ制御部１１ａが動作していないと判断し、ＮＡＳ制御部１１ａをパニックリブートさせる（ステップＳ１３）。

このように、ＳＡＮ制御部１２ａは、カウンタ１６の更新状態に基づいて、ＮＡＳ制御部１１ａの生存監視を行うことで、ＮＡＳ制御部１１ａをパニックリブートさせることができる。

図１３は、Ｉ／Ｏ要求をＳＣＳＩドライバ経由で受け取ったときのＯＳ通信ドライバ２３の処理のフローを示すフローチャートである。図１３に示すように、ＯＳ通信ドライバ２３は、ファイルシステム２１が受信したＩ／Ｏ要求をＳＣＳＩドライバ経由で受け取り（ステップＳ２１）、ＳＡＮ制御部１２ａの状態はアクティブであるか否かを判定する（ステップＳ２２）。

そして、ＳＡＮ制御部１２ａの状態がアクティブの場合には、ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａのＯＳ通信ドライバ３１にＩ／Ｏ要求を行う（ステップＳ２３）。一方、ＳＡＮ制御部１２ａの状態がインアクティブの場合には、ＯＳ通信ドライバ２３は、他のＣＭ１０へのＩ／Ｏ要求の転送をＮＡＳ通信ドライバ２４に指示する（ステップＳ２４）。

このように、ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａの状態がインアクティブの場合に、他のＣＭ１０へのＩ／Ｏ要求の転送をＮＡＳ通信ドライバ２４に指示するので、
ＮＡＳ制御部１１ａのパニックリブートを防ぐことができる。

図１４は、ＳＡＮ制御部１２ａの状態変化の通知を受け取ったときのＯＳ通信ドライバ２３の処理のフローを示すフローチャートである。図１４に示すように、ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａの状態変化の通知を受け取り（ステップＳ３１）、ＳＡＮ制御部１２ａの状態変化がアクティブへの変化であるか否かを判定する（ステップＳ３２）。

そして、ＳＡＮ制御部１２ａの状態変化がアクティブへの変化である場合には、ＯＳ通信ドライバ２３は、次のＩ／Ｏ要求を待つ（ステップＳ３３）。一方、ＳＡＮ制御部１２ａの状態変化がアクティブへの変化でない場合には、ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａへ依頼中のＩ／Ｏ要求を１つの要求にまとめ、他のＣＭ１０への転送をＮＡＳ通信ドライバ２４に指示する（ステップＳ３４）。

このように、ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａの状態がインアクティブに変化した場合に、ＳＡＮ制御部１２ａへ依頼中のＩ／Ｏ要求を１つの要求にまとめ、他のＣＭ１０への転送をＮＡＳ通信ドライバ２４に指示する。したがって、ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａのパニックによりＳＡＮ制御部１２ａへ依頼中のＩ／Ｏ要求が処理されない事態の発生を防ぐことができる。

図１５は、生存監視部２５による処理のフローを示すフローチャートである。なお、生存監視部２５は、タイマー割込みにより、一定の周期で図１５に示す処理を行う。図１５に示すように、生存監視部２５は、ＳＡＮ制御部１２ａのカウンタ１５が更新されているか否かを判定し（ステップＳ４１）、更新されている場合には、ＳＡＮ制御部１２ａの状態はアクティブか否かを判定する（ステップＳ４２）。そして、ＳＡＮ制御部１２ａの状態がアクティブの場合には、生存監視部２５は、処理を終了する。

一方、ＳＡＮ制御部１２ａの状態がアクティブでない場合には、生存監視部２５は、ＳＡＮ制御部１２ａの状態をアクティブに変更し（ステップＳ４３）、ＳＡＮ制御部１２ａの状態変化をＯＳ通信ドライバ２３に通知する（ステップＳ４４）。

また、ステップＳ４１において、ＳＡＮ制御部１２ａのカウンタ１５が更新されていない場合には、生存監視部２５は、ＳＡＮ制御部１２ａの状態はアクティブか否かを判定する（ステップＳ４５）。そして、ＳＡＮ制御部１２ａの状態がアクティブの場合には、生存監視部２５は、ＳＡＮ制御部１２ａの状態をインアクティブに変更し（ステップＳ４６）、ＳＡＮ制御部１２ａの状態変化をＯＳ通信ドライバ２３に通知する（ステップＳ４４）。一方、ＳＡＮ制御部１２ａの状態がアクティブでない場合には、生存監視部２５は、処理を終了する。

このように、生存監視部２５が、ＳＡＮ制御部１２ａの状態を監視して状態を管理し、状態に変化があるとＯＳ通信ドライバ２３に通知するので、ＯＳ通信ドライバ２３は、ＳＡＮ制御部１２ａの状態及び状態変化に基づく処理を行うことができる。

次に、ＣＭ１０のハードウェア構成について説明する。図１６は、ＣＭ１０のハードウェア構成を示す図である。図１６に示すように、ＣＭ１０は、ＣＰＵ１と、メモリ１３と、ＣＡ４１と、ＩＯＣ（Input Output Controller）４２と、ＥＸＰ（Expander）４３と、ＮＩＦ(Network Interface)４４と、ＳＩＦ(SAN Interface)４５とを有する。

ＣＰＵ１は、メモリ１３に記憶されたファームウェアを読出して実行する。メモリ１３は、ファームウェア、ファームウェアの実行に必要なデータ、ファームウェア実行の途中結果等を記憶する。また、メモリ１３は、キャッシュデータを記憶する。

ＣＡ４１は、クライアントとのインタフェースである。ＩＯＣ４２は、ＳＡＳ（Serial Attached ＳＣＳＩ）のコントローラである。ＥＸＰ４３は、ＳＡＳ接続用のチップである。ＮＩＦ４４は、ＮＡＳ制御ＯＳ間の通信に用いられる通信インタフェースである。ＮＡＳ通信ドライバ２４は、ＮＩＦ４４を用いて通信を行う。ＳＩＦ４５は、ＳＡＮ制御ＯＳ間の通信に用いられる通信インタフェースである。ＣＭドライバ３４は、ＳＩＦ４５を用いて通信を行う。

上述してきたように、実施例では、ＯＳ通信ドライバ２３がＳＣＳＩドライバ経由でＩ／Ｏ要求を受け取るとＳＡＮ制御部１２ａがアクティブであるか否かを判定し、アクティブでない場合に、ＮＡＳ通信ドライバ２４がＩ／Ｏ要求を他のＣＭ１０へ転送する。したがって、ＳＡＮ制御部１２ａがパニックリブートしているときに、ＣＭ１０は、ＮＡＳ制御部１１ａがパニックリブートするのを防ぐことができる。このため、ＣＭ１０は、冗長系への切り替えを防ぎ、Ｉ／Ｏ処理の一時停止を防ぐことができる。

また、実施例では、ＳＡＮ制御部１２ａがアクティブからインアクティブに変化すると、生存監視部２５が、ＯＳ通信ドライバ２３に当該変化を通知する。すると、ＯＳ通信ドライバ２３はＳＡＮ制御部１２ａに依頼中のＩ／Ｏ要求をＮＡＳ通信ドライバ２４を介して他のＣＭ１０へ転送する。したがって、ＣＭ１０は、インアクティブに変化したＳＡＮ制御部１２ａに依頼中のＩ／Ｏ要求の処理依頼を他のＣＭ１０に迅速に行うことができる。

また、実施例では、ＯＳ通信ドライバ２３は、インアクティブに変化したＳＡＮ制御部１２ａに依頼中のＩ／Ｏ要求が複数ある場合には、１つの要求にまとめてＮＡＳ通信ドライバ２４を介して他のＣＭ１０へ転送する。したがって、ＣＭ１０は、インアクティブに変化したＳＡＮ制御部１２ａに依頼中のＩ／Ｏ要求を効率よく転送することができる。

また、実施例では、ＮＡＳ通信ドライバ２４は、他のＣＭ１０からＩ／Ｏ要求が送られてくると、ＯＳ通信ドライバ２３に渡し、ＯＳ通信ドライバ２３は、Ｉ／Ｏ要求の処理をＳＡＮ制御部１２ａに依頼する。したがって、ＣＭ１０は、他のＣＭ１０が受信したＩ／Ｏ要求を処理することができる。

また、実施例では、ＮＡＳ通信ドライバ２４は、他のＣＭ１０から複数のＩ／Ｏ要求がまとめて送られてくると、個々のＩ／Ｏ要求に分割してＯＳ通信ドライバ２３に渡す。そして、ＯＳ通信ドライバ２３は、Ｉ／Ｏ要求ごとにＳＡＮ制御部１２ａに処理を依頼し、ＳＡＮ制御部１２ａからのＩ／Ｏ要求ごとの応答をＮＡＳ通信ドライバ２４に渡す。そして、ＮＡＳ通信ドライバ２４は、Ｉ／Ｏ要求ごとに応答を他のＣＭ１０へ送信する。したがって、送られてきた複数のＩ／Ｏ要求の応答をまとめて他のＣＭ１０へ送信する場合と比較して、ＣＭ１０は、複数の応答間の待合せ時間をなくし、クライアントへの応答を高速に行うことができる。

なお、実施例では、ストレージ装置３を制御する制御装置について説明したが、制御装置は、他の装置を制御してもよい。このとき、制御装置では、ＮＡＳ制御ＯＳ１１に対応する第１ＯＳと、ＳＡＮ制御ＯＳ１２に対応する第２ＯＳが動作する。例えば、第１ＯＳは、高度なＨＭＩ（Human Machine Interface）機能、画像処理機能、ネットワーク機能等を有するＯＳであり、第２ＯＳは、リアルタイムＯＳである。

１ ＣＰＵ
２ コア
３ ストレージ装置
１０，９０ ＣＭ
１１，９１ ＮＡＳ制御ＯＳ
１１ａ ＮＡＳ制御部
１２，９２ ＳＡＮ制御ＯＳ
１２ａ ＳＡＮ制御部
１３，９３ メモリ
１４ 共有メモリ
１５ カウンタ
１６ カウンタ
２１ ファイルシステム
２２ ＳＣＳＩドライバ
２３ ＯＳ通信ドライバ
２４ ＮＡＳ通信ドライバ
２５ 生存監視部
２６ ブロックデバイス
３１ ＯＳ通信ドライバ
３２ ＣＡ部
３３ キャッシュ管理部
３４ ＣＭドライバ
３５ 生存監視部
４１ ＣＡ
４２ ＩＯＣ
４３ ＥＸＰ
４４ ＮＩＦ
４５ ＳＩＦ

Claims (8)

1. 他の制御装置と冗長システムを構築するとともに、第１ＯＳと第２ＯＳが動作し前記第１ＯＳが前記第２ＯＳと協働して動作する制御装置において、
   前記第１ＯＳが前記制御装置が備えるＣＰＵで動作することで実現される制御部は、前記第２ＯＳが正常であるか否かを判定する判定部と、
   前記判定部により前記第２ＯＳが正常でないと判定された場合に、処理要求を前記判定部から受け取って前記他の制御装置に転送する通信部
   を有することを特徴とする制御装置。
2. 前記制御部は、
   前記第２ＯＳを監視し、該第２ＯＳが正常から異常に変化したことを特定する監視部をさらに有し、
   前記判定部は、前記第２ＯＳが正常から異常に変化したことを前記監視部が特定すると、該第２ＯＳに依頼中の処理要求があるか否かを判定し、
   前記通信部は、前記判定部により前記第２ＯＳに依頼中の処理要求があると判定された場合に、該処理要求を前記他の制御装置に転送することを特徴とする請求項１に記載の制御装置。
3. 前記通信部は、前記第２ＯＳに依頼中の処理要求が複数ある場合に、該複数の処理要求をまとめて前記他の制御装置に転送することを特徴とする請求項２に記載の制御装置。
4. 前記通信部は、他の制御装置の通信部から転送された処理要求を受信し、
   前記判定部は、前記通信部により受信された処理要求を該通信部から受け取って前記第２ＯＳに渡すことを特徴とする請求項３に記載の制御装置。
5. 前記通信部は、他の制御装置の通信部から複数の処理要求をまとめて受信すると、前記判定部に１つずつ処理要求を渡し、
   前記判定部は、前記通信部から１つずつ処理要求を受け取って前記第２ＯＳに渡すことを特徴とする請求項４に記載の制御装置。
6. 前記判定部は、前記第２ＯＳから前記処理要求に対する応答を１つずつ受け取って前記通信部に渡し、
   前記通信部は、前記複数の処理要求に対する応答を１つずつ前記他の制御装置の通信部に送信することを特徴とする請求項５に記載の制御装置。
7. 前記処理要求は、記憶装置への読み書き要求であり、
   前記第１ＯＳは、ＮＡＳ制御ＯＳであり、
   前記第２ＯＳは、ＳＡＮ制御ＯＳであり、
   をさらに有することを特徴とする請求項２に記載の制御装置。
8. 他の制御装置と冗長システムを構築する制御装置のコンピュータで他の制御プログラムに協働して動作する制御プログラムおいて、
   前記他の制御プログラムが正常であるか否かを判定し、
   前記他の制御プログラムが正常でないと判定した場合に、処理要求を前記他の制御装置に転送する
   処理を前記コンピュータに実行させることを特徴とする制御プログラム。
   

Images