JP2569063B2

JP2569063B2 - 複合サブシステム形オンラインシステムの障害回復方法

Info

Publication number: JP2569063B2
Application number: JP62183330A
Authority: JP
Inventors: 哲和歌山; 一夫正井
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1987-07-24
Filing date: 1987-07-24
Publication date: 1997-01-08
Anticipated expiration: 2012-01-08
Also published as: JPS6428737A

Description

【発明の詳細な説明】〔産業上の利用分野〕本発明は、複合サブシステム形オンラインシステムの
障害回復に係り、特にシステム内で実行されるトランザ
クションが複数のデータベースにまたがってアクセスす
るオンラインシステムに好適な障害回復方式に関する。

〔従来の技術〕

従来の複合サブシステム形オンラインシステムにおい
ては、各サブシステム毎に自己が管理するデータベース
に対するアクセルの状況を管理していた。一つのトラン
ザクションが複数のデータベースシステムのデータを更
新した場合には、２フェーズコミット方式を用い、該ト
ランザクションによる複数データベースシステムに対す
る更新の一貫性を保証している。２フェーズコミット方
式については、プリンシプルオブデータベースシス
テムズ，ジェフリィディー．ウルマン，コンピュータ
サイエンスプレス,1980,第351頁から第356頁（Prin
ciples of Database Systems,Jeffrey D.Ullman,COMP U
TER SCIENCE RPESS,1980,pp351−356）において論じら
れている。

２フェーズコミット方式では、トランザクションを受
けたサブシステムが該トランザクションのデータベース
へのアクセスに先立ってトランザクションの開始を各デ
ータベースに連絡する。連絡を受けたデータベースで
は、該トランザクションに対し自システム内での各トラ
ンザクションの識別のための識別子を該トランザクショ
ンに付与し、該データコミュニケーションシステムに返
す。該トランザクションの終了にあたっては、該データ
コミュニケーションシステムが第１段階として前述の識
別子を指定し各データベースに該トランザクションのコ
ミット準備を指示する。ここでコミット準備とは、該ト
ランザクションの完了を保証するための準備処理のこと
であり、一般にはジャーナルの出力処理が対応する。

サブシステムは、指示を出した全てのデータベースか
らコミット準備完了の報告を受けた後、コミット指示を
出す。もし一つでもコミット準備に失敗したデータベー
スがあると、サブシステムは、全データベースに対し、
該トランザクションの失敗を指示する。該トランザクシ
ョンの失敗指示を受けた各データベースは、コミット準
備処理にて出力しておいた該トランザクションのジャー
ナルを読み出しデータベースの戻し処理を行う。

オンラインシステム中のデータベースの一つが障害と
なった場合、実行中の全トランザクションを中断させる
ためにシステム全体を異常終了させる。その後、各サブ
システム毎にジャーナルをもとに実行中であった全トラ
ンザクションの障害回復処理を行う。

障害発生時に実行中トランザクションを中断させず処
理を続行させた場合には、実行中トランザクションの終
了時点で、前述のコミット準備で失敗となり、該トラン
ザクションのアクセスした全データベースシステムで該
トランザクションの戻し処理を行う。

〔発明が解決しようとする問題点〕

上記従来技術では、オンラインシステム中の一つのデ
ータベースが障害となった場合、当該データベースアク
セスしたトランザクションを特定することができないた
め、実行中トランザクションの全て障害回復の対象とし
システム全体を異常終了させていた。

しかし、現実の業務形態を考えると、上記のような複
数データベースを含むオンラインシステムにおいてもい
ずれか一つのデータベースにだけアクセツするトランザ
クションが大部分を占め、複数のデータベースにアクセ
スするトランザクションの比率は少ない。

従って、オンラインシステム中の一つのデータベース
に障害が発生した場合、当該データベースにアクセスし
ていたトランザクションだけでなく実行中トランザクシ
ョン全てを障害対象とする従来方式では、正常な処理続
行が可能であるトランザクションまでも障害回復の対象
としてしまっており、障害発生時の影響範囲を小たくす
ることに十分な配慮がされておらず、システム運用上問
題があった。

一方、実行中トランザクションを全て障害回復対象と
せずに処理を続行し、各トランザクションの終了時点で
障害回復が必要なトランザクションを検出する方式の場
合、サブシステムに障害が発生した時点で該サブシステ
ムに既にアクセスしていたトランザクションについても
処理を続行してしまうため、該トランザクションが障害
となったデータベースシステム以外のデータベースシス
テムに対する更新を続けた場合に該トランザクションの
終了時点で大量の戻し処理を行わなければならなくな
る。

本発明の目的は、上記のようなオンラインシステムに
おいて、一部サブシステムに障害が発生した場合に障害
範囲を限定し、後の障害回復処理を容易にすることを目
的とする。

〔問題点を解決するための手段〕

上記目的は、当該オンラインシステムに一つのコント
ローラをもうけ、当該システム上で実行される個々のト
ランザクションについてサブシステムはトランザクショ
ンを受け付けると、まずコントロールに該トランザクシ
ョンを登録する。次に該トランザクションが個々のデー
タベースにアクセスする場合、アクセス要求を一旦コン
トローラで受け付けた後、要求内容から要求先のデータ
ベースを識別し、該トランザクションが該データベース
にアクセスしたことを記録した後に各データベースに該
トランザクションのアクセス要求を振り分ける。以上の
ようにして、当該トランザクションがいずれのサブシス
テムで発生し、いずれのデータベースにアクセスしたか
を当該コントローラに管理することによって、当該オン
ラインシステム中の一部のデータベースに障害が発生し
た場合に、当該データベースの障害によって障害となる
トランザクションだけを選別することにより達成され
る。

〔作用〕

オンラインシステム内で発生したトランザクション
は、該トランザクションを受け付けたサブシステムによ
ってコントローラに全て登録され、該トランザクション
がアクセスしたデータベースはコントローラの共通振分
け機構により該トランザクション毎にコントローラに管
理されている。

以上のことによって、オンラインシステム中のデータ
ベースの一つに障害が発生した場合、そのデータベース
をアクセスしたトランザクション群を障害回復の対象と
して選別することができ、障害発生時点で直ちに該トラ
ンザクション群の処理だけを中断させることができ、該
トランザクション群が障害となっていない他のデータベ
ースシステムの更新の続行を防ぐことができる。

〔実施例〕

以下、本発明の一実施例を第１図から第18図により説
明する。

第１図は、本発明を実現する複合サブシステム形オン
ラインシステムの全体構成図を示す。

第１図において、複合サブシステム形オンラインシス
テムは、複数のサブシステムを制御する複合サブシステ
ムコントローラ１（以下単にコントローラと呼ぶ）と、
その配下にある２種類のサブシステム（フロントエンド
形サブシステム２及びバックエンド形サブシステム３）
と、各サブシステムごと及びコントローラ用のリカバリ
ファイル４（以下単にRFと呼ぶ）と、全サブシステムの
ジャーナルを格納するジャーナルファイル５（以下、JN
LFと呼ぶ）と、全サブシステムの資源状態を管理する資
源管理テーブル６と、トランザクションを管理するトラ
ンザクション管理テーブル７と、システムの状態を管理
するシステムステータステーブル８と、システムステー
タステーブルの外部記憶装置上の複写として存在するシ
ステムステータスファイル９（以下、SYSSFと呼ぶ）か
ら成る。

フロントエンド形サブシステム（以下FEと呼ぶ）は、
オンライン端末10を有し、業務処理の単位であるトラン
ザクションを発生させる。バックエンド形サブシステム
（以下、BEと呼ぶ）は、データベース11を有し、FE2の
発生させたトランザクションによる要求に従ってデータ
ベース11をアクセスする。

分散データベースシステムは、他プロセッサからのデ
ータベースアクセス要求を受け、自プロセッサ内にトラ
ンザクションを発生させて行うFEの役割（以下分散サー
バと呼ぶ）と、トランザクションからの他プロセッサの
データベースアクセス要求を受けるBEの役割（以下分散
クライアントと呼ぶ）を合わせて持つサブシステムとし
て位置づけられる。従って、複合サブシステム形オンラ
インシステムの一部に分散データベースを考えることも
可能である。

第２図に、リカバリファイル４の構成を示す。RF4
は、サブシステム毎とコントローラ１用が存在しサブシ
ステム又はシステム全体が障害となった際の回復用情報
を格納する外部記憶の総称であり、チエックポイントダ
ンプを格納するチエックポイントファイル410と、テー
ブル回復に使用するテーブルリカバリファイル420と、
トランザクション単位のジャーナルを退避するためのト
ランザクションリカバリファイル430から成る。以下、
チエックポイントファイルをCKPTFと呼び、テーブルリ
カバリファイルをTBLRFと呼び、トランザクションリカ
バリファイルをTRRFと呼ぶ。

第３図に資源管理テーブル６の構成を示す。資源管理
テーブル６は、各FE2ごとにキューイングされたトラン
ザクションノード610と、各BE3ごとにキューイングされ
た資源ノード620と、トランザクションと資源の排他保
持または待ち状態を示す資源排他ノード630から成る。

トランザクションノード610は、トランザクションID
を格納してあるトランザクションID部611と次のトラン
ザクションノードへのリンク612と資源排他ノードへの
リンク613から成る。資源ノード620は、資源名の格納し
てある資源名部621と、資源排他ノードへのリンク622と
次の資源ノードへのリンク623から成る。資源排他ノー
ド630は、資源名部631と同一資源に対して待ちをなして
いる次の資源排他ノードへのリンク632と同一トランザ
クションが保持又は、待っている次の資源に対する資源
排他ノードへのリンク633とトランザクションID部634
と、該資源排他ノード情報がジャーナルとして取得され
ているか否かを示すフラグ635と、該資源排他ノード情
報は、資源を保持しているのか待っているのかを示すフ
ラグ636から成る。

あるトランザクションTR₁が資源RS₁を保持している場
合、TR₁とRS₁に対応するトランザクションノード610と
資源ノード620からリンク613とリンク622にて結合され
る資源排他ノード630が存在し、排他保持か待ちかを示
すフラグ636がオンになる。さらに、該資源RS₁を待つト
ランザクションTR₂が存在する場合、TR₁とRS₁とリンク
されている資源排他ノードから次の資源排他ノードへの
リンク632が作成されTR₂との間にもリンク613が作成さ
れる。TR₂からリンクされる資源排他ノードでは、排他
保持か待ちを示すフラグ636がオフとなる。該資源管理
テーブル６を用いると、リンク632,633をたどることに
より特定のトランザクションの保持する資源一覧、又は
特定の資源を保持しているトランザクション名が得られ
る。各排他ノード中には、ジャーナル上に排他ノード情
報が退避されたか否かを示すフラグ635を持つ。

資源管理テーブル６が、サブシステムを通してコント
ローラ１上に一本化されているので、サブシステムダウ
ン時は、排他情報が保持できるだけでなく、サブシステ
ムをまたがったデッドロックの検出が容易となってい
る。

第４図にトランザクション管理テーブル７の構成を示
す。トランザクション管理テーブルには、各FE2がある
時点で発生している全トランザクションが登録される。

該テーブルには、トランザクションID701（該テーブ
ルのエントリ番号7011と同一エントリを使用するたびに
カウントアップする通番7012から成る）と、発生FF領域
702と、使用BE領域703と、トランザクションステータス
領域710と、トランザクションの回復に必要となるジャ
ーナルへのジャーナルポインタ720と、ジャーナルを格
納するTRRF430の最終ポインタ730と、資源管理テーブル
の排他ノード630へのポインタ740から成るエントリがト
ランザクション単位に存在する。トランザクションステ
ータス領域710には、チエックポイントダンプ取得時の
同期用ビットすなわち影響ビット711と実行監視ビット7
12及び、トランザクションの凍結制御用のトランザクシ
ョン凍結要フラグ713とロールバック回復を行う必要が
あることを示すロールバック要フラグ714とトランザク
ションが同期点を通過したか否かを示す同期点フラグ71
5とトランザクションが凍結中であることを示す凍結フ
ラグ716とトランザクションが同期点準備を通過しかつ
同期点通過前であることを示す同期点準備通過フラグ71
7とからなる。

第５図にシステムステータステーブル８の構成を示
す。システムステータステーブルには、コントローラ１
の状態810と各サブシステムの状態820と、システムのチ
エックポイント時点のジャーナル通番記録領域815から
成る。

該システムステータステーブルは更新の都度SYSSFへ
対応エントリを書き出しておき、SYSSFに複写を作って
おく。

本実施例で示す複合サブシステム形オンラインシステ
ムでは、障害発生時の回復のために、種々の情報を外部
記憶装置に出力しながら業務処理を進めて行く。回復す
べき資源（データ，情報の総称）は、大きく分けて、次
の２種類がある。

（１）仮想記憶装置上のテーブルの様に、障害発生時
には消失してしまうタイプの揮発生資源（２）外部記憶装置上のデータベースの様に、障害発
生時にも、一般には障害発生時点の状態を保持したまま
となるタイプの不揮発生資源障害発生時点で消失する揮発生資源を回復するために
は、定期的に該資源の複写を不揮発性の外部記憶装置に
作成しておく（該複写をチエックポイントダンプと呼
ぶ）。チエックポイントダンプ取得以降変更の都度変更
の差分情報をジャーナルとして取得しておき、チエック
ポイントダンプに該ジャーナル情報を重畳することで回
復が行える。このタイプのジャーナルを履歴形ジャーナ
ルと呼ぶ。

障害発生時点と状態が保持される不揮発性資源を回復
するには、変更の都度ジャーナルを取得する。回復時に
は、業務処理単位であるトランザクション毎に更新を完
結させるか、更新を無効にするかを判断し、変更都度取
得したジャーナルの変更後情報を重畳するか、変更前情
報を重畳するかで回復を行う。このタイプのジャーナル
をトランザクション形ジャーナルと呼ぶ。

本実施例のシステムでは、障害回復に備えて、データ
ベース更新，テーブル更新に先立ってジャーナル出力を
行う。ジャーナル出力は、コントローラ配下の機能を用
いて、各サブシステムを統合して一つのLNLF5に行う。L
NLF5を統合することは、複合サブシステムを運転する際
の操作性向上に大きく寄与する。ジャーナル取得の方式
を以下に説明する。

ジャーナルは、データベース更新，テーブル更新前に
必ず取得する。ジャーナル取得前に変更を行うと、変更
後、ジャーナル取得前に障害が発生した場合に回復でき
なくなる。

トランザクションの終了に際して、該トランザクショ
ンの全ジャーナルを出力した後に、全ジャーナルが出力
済すなわち同期点を示すジャーナル（以下同期点ジャー
ナルと呼ぶ）を出力する。

該同期点ジャーナルがジャーナルとして存在するトラ
ンザクションでは、不揮発性資源の回復に必要となるす
べてのトランザクション形ジャーナルが存在するため、
該トランザクションの処理を完結させる方向の回復が行
える。それに対し、同期点ジャーナルが存在しないトラ
ンザクションでは、全ジャーナルが出力されている保証
はないが、変更前には必ずジャーナルを出力しているた
め、存在するジャーナルの変更前情報を用いて、該トラ
ンザクションを無効とする方向の回復が行える。

トランザクションが完結した後に、トランザクション
終了を示すジャーナルを取得する。該終了を示すジャー
ナルを終了ジャーナルと呼ぶ。該ジャーナルが出力され
た後は、トランザクション形ジャーナルによる回復は不
要となる。

分散データベースの場合には、一つのトランザクショ
ンが自システム内のデータベースと他プロセッサ内のデ
ータベースを更新するため、プロセッサ間にまたがって
データベース更新の同期が必要となる。分散データベー
スの場合のジャーナル取得の方式を以下に説明する。

トランザクションの終了に際して、まず分散クライア
ント側の全ジャーナルが出力される。この時点で分散ク
ライアント側から分散サーバ側に全ジャーナルの出力指
示（以下、これを同期点準備指示と呼ぶ）を行う。分散
サーバ側では該指示を受け全ジャーナルの出力後の同期
点準備が完了したことを示すジャーナル（以下、これを
同期点準備ジャーナルと呼ぶ）を出力する。該ジャーナ
ルの出力完了後、分散サーバは分散クライアントに同期
点準備の完了を報告する。分散クライアント側では、該
トランザクションの自システム内の全ジャーナルの出
力、及び要求を出した全ての他プロセッサの分散サーバ
から同期点準備完了報告を受けた後、同期てジャーナル
を出力する。同期点ジャーナルの出力が完了した後、分
散クライアントは自システム内のデータベースの更新を
行い、分散サーバに対し該トランザクションが同期点に
達した旨の指示（以下、これを同期点指示と呼ぶ）を行
う。分散サーバは、同期点指示を受けると、まず同期点
ジャーナルを出力した後、バッファ上に残る該トランザ
クションのデータベース更新を完了する。その後終了ジ
ャーナルを出力し、出力が完了後、分散クライアントに
トランザクション完了を報告する。分散クライアント側
では、自システム内のデータベースの更新、及び指示を
出した全ての分散サーバから完了報告を受けた後、終了
ジャーナルを出力する。

分散クライアント側では、同期点ジャーナルが存在す
れば、該トランザクションを有効とする方向の回復を行
い、なければ無効とする方向の回復を行うことができ
る。分散サーバ側では、同期点準備ジャーナルと同期点
ジャーナルが存在すれば、該トランザクションを有効と
する方向の回復を行い、同期点ジャーナル及び同期点準
備ジャーナルのいずれも存在しない場合には、該トラン
ザクションを無効とする方向の回復を行う。同期点準備
ジャーナルだけが存在する場合には、分散クライアント
側の同期点ジャーナルの有無を調べ、それに従えば回復
を行うことができる。

なお、該プロセッサ内で独自のジャーナルファイルを
持ちジャーナルを取得する従来形オンラインシステムを
複合サブシステム形オンラインシステムに接続し、該オ
ンラインシステム下で実行するトランザクションから、
複合サブシステム形オンラインのBEのデータベースを更
新する場合、該オンラインシステムを分散サーバと同様
の一つのFEとして扱い、前述のジャーナル取得方式を用
いることにより該オンラインシステム内のデータベース
更新と複合サブシステム形オンラインシステムのBEのデ
ータベース更新の同期をとった回復ができる。

本実施例では、回復すべきテーブルを定期的にチエッ
クポイントダンプとしてサブシステム毎に取得し、同期
点にてトランザクション形ジャーナルをTRRFに退避す
る。各情報取得の方式を以下に説明する。

第６図，第７図，第８図にチエックポイントダンプ取
得の概念と取得の流れ図を示す。

第６図に示すように、各サブシステム2,3は、定期的
に仮想記憶装置上のチエックポイント対象テーブル411
の内容をCKPTF410へ格納する。チエックポイントダンプ
格納中にCKPTF410に障害が発生しても回復が行える様に
CKPTF410は世代管理を行う。システムの障害発生後の回
復時には、際し世代のCKPTF410上の情報と、JNLF5に格
納されているチエックポイント時点以降の更新情報を重
畳して行くことによりテーブルが回復できる。チエック
ポイントダンプを定期的に取得することは、障害発生後
の回復時に必要となるジャーナル情報を限定することに
なり、回復時に入力するジャーナル量の削減と回復時間
の短縮化の効果がある。

チエックポイントダンプ取得は、各サブシステムで行
うが、この際、当該サブシステムを使用する業務処理を
停止させない。このため、更新中のテーブルをチエック
ポイントダンプとして取得する可能性がある。更新中の
テーブル情報をチエックポイントダンプに取得しても、
該更新に対応するジャーナルがチエックポイント時点以
降に取得されていれば、チエックポイントダンプ取得完
了後は、チエックポイント時点以全の履歴形ジャーナル
情報を必要としない。

テーブルの更新と対応するジャーナル取得が完了する
タイミング410eは、トランザクションごとにまちまちで
あり同期していない。またチエックポイントダンプ取得
にも有限の時間がかかる。このため、チエックポイント
ダンプは、第７図に示すようにチエックポイント時点41
0aとチエックポイントダンプ取得開始時点40b,取得終了
時点410c、及びチエックポイントダンプ有効時点410dの
４つの時点を分けて取得する。チエックポイントダンプ
を取得する必要が発生すると、まずチエックポイント時
点410aの宣言を行う。該時点で更新中のテーブル情報に
対応するジャーナルは、チエックポイント時点410a以前
に取得されている可能性があるのでまだチエックポイン
トダンプ取得を開始できない。そこで、チエックポイン
ト時点410aで更新中の処理がすべて更新処理を完了した
時点まで待ち、完了後チエックポイントダンプ取得開始
を行う。チエックポイントダンプ取得が完了しても、ま
だ更新に対応するジャーナルが出力されていない可能性
があるので、チエックポイントダンプ取得終了時点410c
に更新中の処理に対応するジャーナルがすべて出力され
た時点まで待ち、出力完了後、チエックポイントダンプ
有効時点410dとする。チエックポイントダンプ有効時点
410dを経過する以前に障害が発生した場合には、当該チ
エックポイントダンプは使用せず、一世代前のチエック
ポイントダンプによる回復を行う。

本実施例では、第８図に示す流れに従ってチエックポ
イントダンプを取得する。まず、コントローラ１は、一
定のジャーナル出力件数に到達するとチエックポイント
ダンプ取得タスク412を起動する。起動されたタスク412
は、チエックポイント時点の宣言を行い、この時点での
ジャーナル通番をコントローラの管理する仮想記憶上に
チエックポイント時点ジャーナル通番815として記憶し
チエックポイント取得開始待ちとなる。チエックポイン
ト取得開始が可能となると、各サブシステムにチエック
ポイントダンプ取得指示を行う。各サブシステムは、チ
エックポイントダンプ取得指示に従い、チエックポイン
トダンプを各サブシステムのCKPTF410に取得する。取得
が完了するとコントローラに取得完了報告を行う。コン
トローラは、各サブシステムの取得完了報告を確認した
後、チエックポイントダンプ有効化待ちとなる。チエッ
クポイントダンプ有効化か可能となると、当該CKPTF410
とSYSSF9に有効ビットを記録して、チエックポイントダ
ンプ取得を終了し、次の取得タイミングまで待ちとな
る。

ここで、チエックポイントダンプ取得開始待ちと、チ
エックポイントダンプ有効化待ちは、同一の方式を用い
る。本方式を第９図を用いて説明する。

第8a図において、各トランザクションは、チエックポ
イント対象となっているテーブル更新を含む機能を使用
する際には、トランザクション管理テーブル７上の影響
フラグ711をオンにし、機能使用終了時に影響フラグ711
及び実行監視フラグ712をオフにする。本フラグ操作
は、処理ルーチンへ渡る際の共通ルーチンにて行う。な
お共通ルーチンを経由しない場合、各サブシステムの処
理で開始，終了を宣言する方式をとればよい。

第10図においてコントローラ内のチエックポイントダ
ンプ取得タスク412でチエックポイントダンプ開始待ち
又は、有効化待ちを開始するには、トランザクション管
理テーブル７上の全トランザクションについて影響フラ
グ711がオンであれば実行監視フラグ712をオンにする。
その後タイマで待ち、起動されるたびにすべての実行監
視フラグ712がオフになっているかどうかをチエックす
る。すべての実行監視フラグ712がオフになれば、待ち
を開始する時点にテーブル更新を含む処理がすべて終了
した事になる。

チエックポイントダンプ出力時には、後述するジャー
ナルポインタ情報の退避や、資源管理テーブルの論理情
報の退避を行い、チエックポイント時点以前のジャーナ
ル情報や資源管理情報がなくても、回復ができるように
する。また、トランザクション管理テーブルは、チエッ
クポイントダンプ対象テーブルとなっており、回復がで
きる。資源管理テーブルの論理情報の退避は、第11図に
示す資源管理情報テーブル750という形式にして行う。
該論理情報テーブルは資源管理テーブル中の全資源に対
し、該資源を保持しているトランザクションのトランザ
クションID701を第３図に示す資源管理テーブル６の資
源ノード620から資源排他ノードへのリンク622をたどる
ことにより資源排他ノード630を求め資源名751とトラン
ザクションID752をペアにして格納することで作成す
る。この時出力すべきペアは、チエックポイント時点以
前に資源保持情報をジャーナルに出力したものであり、
チエックポイント時点以降の資源保持情報は、後述する
様にジャーナルから回復する。

ジャーナルを外部記憶装置上のJNLF5に出力する際、
出力するバッファ上に存在する全てのトランザクション
形ジャーナルについて、第12図に示す形式のジャーナル
ポインタ720を作成し、トランザクション管理テーブル
の該当トランザクションエントリに退避する。該ポイン
タ720は、ジャーナルの通番721とJNLF5のファイル名722
及びファイルの先頭からの相対ブロック番号723から成
り、該ポインタを用いることにより、必要な時点に当該
トランザクションで出力したジャーナルを得ることがで
きる。障害発生時、コントローラ１がダウンしていなけ
れば、トランザクション回復時には、該ジャーナルポイ
ンタでダイレクトにジャーナルを得ることができる。

チエックポイントダンプ出力時には、チエックポイン
トダンプ有効時点410dの時点で存在するトランザクショ
ンに関して、有効化に先だち、ジャーナルポインタ720
を用いてジャーナルをJNLF5から読み出し、トランザク
ションカバリファイル430へ退避しておく。退避すべき
か否かは、トランザクションテーブル７中のジャーナル
ポインタ720にあるジャーナル通番721を参照しチエック
ポイント時点410aのジャーナル通番815より以前の番号
であれば、退避を行い、以降であればチエックポイント
時点以降のJNLF5中に存在するジャーナルなので退避し
た。

本実施例では、トランザクションの開始に先立ち、各
トランザクションにTRRF430の一定領域を割り当てる。

退避を行う場合、一世代前のチエックポイント時点に
退避したTRRF430中の情報を失うことのないように、ト
ランザクションテーブル７中のTRRF最終ポインタ730か
ら追加書きを行う。ここでTRRF最終ポインタ730は、ト
ランザクション発生時に該トランザクションに割り当て
たTRRF中の領域の先頭を指し、以降ジャーナル退避を行
う都度更新して、常にTRRF中の該トランザクションに割
り当てた領域の最終を指すポインタである。

ジャーナル情報をTRRF430に退避することにより、チ
エックポイントダンプ取得以降は、チエックポイント時
点以前から長期化しているトランザクションの回復にも
チエックポイント時点以前のジャーナルは不要となる。
TRRF430は、トランザクション単位のエントリに整理さ
れているので、トランザクション単位の回復時にも該TR
RF430とチエックポイント時点以降のジャーナルで回復
に必要なデータが容易にそろう。

さらに、トランザクション形ジャーナル出力時には、
資源保持情報も同時に出力する。これは、トランザクシ
ョン形ジャーナルを出力する際に、当該トランザクショ
ンの保有している資源を、資源管理テーブル６のトラン
ザクションノード610から資源排他ノード630をたどるこ
とにより求め該資源保持情報を第11図に示す資源管理論
理情報のエントリと同様の形式でトランザクション形ジ
ャーナルに付加して出力することで行う。

障害発生後の回復時には、CKPTF410中のチエックポイ
ントダンプとして保持されていた資源管理論理情報テー
ブルとトランザクション形ジャーナルと共にJNLF5に出
力した資源保持情報から資源確保処理をくり返すことに
より資源管理テーブルが回復できる。このため、データ
ベースを全面閉塞すなわち、データベースに対するアク
セスを全面禁止するのではなく限定した範囲（使用して
いな部分だけ）を閉塞すれば済み、一部サブシステムが
ダウンしていたり、一部トランザクションの決着がつか
ない場合にも、オンラインシステムを立上げることがで
きる。

複合サブシステム形オンラインシステム全体が障害と
なった時の回復を全面回復と呼び、特定のサブシステム
だけが障害となった際の回復をサブシステム回復と呼
ぶ。以下、複合サブシステム形オンラインシステムの全
面回復，サブシステム回復について説明する。

第１に、複合サブシステム形オンラインシステムの全
面回復の流れを第13図から第17図を用いて説明する。全
面回復では、まずコントローラ１の機能を回復する。そ
の後各サブシステムの回復を行うが一部のサブシステム
機能が回復できなくても当該機能を縮退したままシステ
ムを再開できる。コントローラ１の機能回復は、まずSY
SSF9からコントローラ用CKRTF410を決め、該CKPTF410か
らコントローラ内のトランザクション管理テーブル７を
回復する。又、資源管理論理情報テーブル750も回復す
る。なお、コントローラ用CKPTF410を読むことにより、
現在の最新チエックポイント時点のジャーナル通番及び
該ジャーナル通番のジャーナルに対するジャーナルポイ
ンタ815が決まる。

次に、第14図に示すように最新チエックポイント時点
のジャーナルポインタ815で指す位置からJNLF5を順に読
む。読み出されたジャーナルは、コントローラの出力し
た履歴形ジャーナルであれば、第15図の流れに従いトラ
ンザクション管理テーブユ７や、資源管理論理情報テー
ブル750更新情報として使用し、各テーブルを障害発生
時点の状態に回復して行く。コントローラ以外が出力し
た履歴形ジャーナルは、出力サブシステムのTBLPF420へ
出力する。トランザクション形ジャーナルの場合は、ト
ランザクション管理テーブル７の該当するトランザクシ
ョンエントリのジャーナルポインタ720の領域にジャー
ナルポインタ形式で格納して行く。トランザクション管
理テーブル７の各トランザクションのエントリは、同期
点ジャーナルが見つかれば同期点通過ステータスを同期
点通過フラグ715をオンにすることで記録し終了ジャー
ナルが見つかれば、該エントリを削除する。

分散データベースの分散サーバ側のように同期点基準
ジャーナルが存在する場合、同期点基準ジャーナルが見
つかれば、まず同期点基準通過フラグ717をオンにする
ことで同期点基準状態であることを記録する。同期点ジ
ャーナルが見つかれば同期点基準通過フラグ717をオフ
にし、同期点通過フラグ715をオンにする。終了ジャー
ナルが見つかれば、該エントリを削除する。

ジャーナル読み込みが完了した時点では、各サブシス
テムの履歴形ジャーナルは、サブシステムごとにTBLRF4
20に分類されて出力されてある。トランザクション管理
テーブル７は、障害発生時点まで回復されており、障害
発生時点で存在したトランザクションだけが登録されて
ある。この時点でトランザクション管理テーブル７中の
全トランザクションの凍結要フラグをオンにしておく各
トランザクションごとのエントリは、ジャーナルポイン
タ720領域を含めれて回復されてある。

資源管理論理情報についても、最新のチェックポイン
ト時点の状態と、それ以降の更新情報がすべてそろって
いる。ジャーナルの読み込みが完了すると、資源管理論
理情報をもとに、資源確保，解放操作をくり返すことに
よって資源管理テーブル６を回復する。さらに回復され
た資源管理テーブルの全排他ノード630について凍結状
態にする。凍結状態になった資源に対して新たに資源確
保を行うと、凍結状態のため、排他ノード630を作るこ
とをせずに、資源確保要求が失敗する。従って資源管理
テーブルを凍結状態にすることで、障害発生時に使用し
ていた資源を一時的に使用禁止状態にすることができ、
新たなトランザクションが発生しても、使用可能な資源
だけで動作できるならば、実行ができ使用不可の資源を
必要とするならばエラーとして扱われ長時間待つことが
ない。すなわち、資源管理テーブル６の回復と凍結が済
んだ時点でコントローラ１としての回復は終了する。こ
の時点で、システムレディのメッセージを出力するがま
だサブシステムが回復されていないので、複合サブシス
テム型オンラインシステム全体としては、動作を開始し
ない。

なお、資源の凍結は、後で述べる決着で失敗した時点
で始めて行う方法もある。この場合、同一資源にアクセ
スするトランザクションは待ちになるが、決着が終るま
で待つだけなので障害の影響を小さくできる。

次に、サブシステムの回復を始める。各サブシステム
は、コントローラ１の指示で並行して回復処理を行う。
各サブシステムの回復は、TBLRF420に格納されている履
歴形ジャーナルをもとに、サブシステム内の回復対象テ
ーブルを回復することで終る。この時点で、複合サブシ
ステム形オンラインシステムは動作を開始する。なお、
一部のサブシステムが回復に失敗した場合には該サブシ
ステムだけが縮退した状態となる。この時点でも、障害
発生時点で動作中のトランザクションは回復されていな
いが、これらのトランザクションはすべて凍結要となっ
ており、後で述べるトランザクションの凍結決着処理に
て回復する。新しく発生したトランザクションは、その
まま実行される。

各サブシステムへの回復指示を出した後、サブシステ
ムにおける回復と並行してコントローラ１では、トラン
ザクション管理テーブル７に存在する凍結要フラグがオ
ンとなっている全トランザクションがアクセスしていた
資源（一般にはデータベース）をすべて回復する。そこ
で、コントローラ１は、トランザクションの回復のため
の処理を開始する。これを凍結決着処理と呼ぶ。凍結決
着処理の流れを第16図に示す。

凍結決着処理では、まず、凍結要となっているトラン
ザクションの凍結処理を行う。ここで、トランザクショ
ンを凍結状態にするとは、該トランザクションを終了さ
せずに一時的に停止させることであり、このために回復
に必要な情報を保存する。

トランザクションの凍結処理では、第16図に示すよう
にトランザクション管理テーブル７のジャーナルポイン
タ720をもとに、該トランザクションのもとで出力した
ジャーナルをJNLF5から読み出す。読み出したジャーナ
ルは、チエックポイントダンプ出力時と同様に、トラン
ザクション管理テーブル７のTRRF最終ポインタ730の位
置から追加書きでTRRF430に書き込んで行く。該トラン
ザクションのジャーナルポインタ720に関して、すべて
のジャーナルをTRRF430へ退避した時点で、該トランザ
クションの凍結処理が完了し、凍結要フラグをオフと
し、凍結フラグをオンとする。トランザクションが凍結
されると、該トランザクションの回復に必要となるすべ
てのジャーナルがTRRF430中に格納されたことになる。
これは、最新のチェックポイント時点以前に出力された
該トランザクションのジャーナルは、チェックポイント
時点にTRRF430に退避済であり、チェックポイント時点
以降のジャーナルは、ジャーナルポインタ720を要いて
凍結処理でTRRF430に退避したためである。

凍結状態になったトランザクションすなわち、凍結フ
ラグがオンとなっているトランザクションは、コントロ
ーラ１が定期的にトランザクション管理テーブル７から
選択し、該トランザクションの保持する資源を回復す
る。資源の回復は、同期点ジャーナルの有無により決め
る。同期点ジャーナルが存在すれば、すなわち同期点通
過フラグ715がオンであれば、ジャーナルをもとに更新
を完結させる。これをロールファワードと呼ぶ。同期点
ジャーナルが存在しなければ、すなわち同期点通過フラ
グ715がオフであれば、トランザクションでの更新を無
効とし、更新済の部分はジャーナルをもとに以前の状態
に戻す。これをロールバックと呼ぶ。ロールファワード
とロールバック処理を合わせて資源の決着、またはトラ
ンザクションの決着と呼ぶ。

決着処理は、第16図に示す様に、まず、トランザクシ
ョン管理テーブル７中の凍結フラグ716がオンとなって
いるトランザクションを一つ選択し該トランザクション
の状態をトランザクション管理テーブル７中の同期点通
過フラグ715でチエックする。同期点を通過していれ
ば、ロールファワード処理を行い、同期点通過以前であ
れば、ロールバック処理を行う。ロールファワード，ロ
ールバックは、該トランザクションの使用BE3をトラン
ザクション管理テーブル７の使用BE703から決め、全使
用BEに対してロールフォワード，ロールバックを指示す
ることで行う。指示を行うには、事前にTRRF430を読
み、該トランザクションの該BEに関連するジャーナルを
テーブルとして仮想記憶上に作成し、該BEに引き渡す。
BE3は、BE自身の回復が済みBE機能が回復していれば、
渡されたジャーナルをもとに資源の決着を行う。回復が
済めば、凍結されていた該資源の排他ノードを解放し、
資源を解放し、凍結フラグ716をオフにする。BE自身の
回復が完了していない、若しくは回復できない場合は、
該トランザクションを凍結したままとする。従って、障
害回復のできないBEによって回復処理が終了しない場合
でも、回復できない範囲を該BEのデータベースを更新し
たトランザクション群だけに限定することができる。

一つのトランザクションで複数BEのデータベースを更
新した場合の決着処理を図17に示す。複数BEのデータベ
ースを更新した場合、TRRF430から入力したジャーナル
を渡すべきBE3が障害中であれば、該ジャーナルとばしT
RRF430中の残りのジャーナルについて処理を続ける。TR
RF430中のジャーナル終了後、BE3が障害中のためとばし
たジャーナルがあれば、該BE3を除き処理済となったBE3
についての部分的終了ジャーナルを出力し、決着済BEに
対応する資源を解放し、該トランザクションは凍結状態
のままにしておく。処理済となったBE3については、ト
ランザクション管理テーブル中に使用BEエントリーに処
理済であることを記録しておく。次に決着処理が実行さ
れる場合には、TRRF430から入力されたジャーナルが既
に処理済BE3のジャーナルであれば読みとばす。従っ
て、一つのトランザクションが複数BEのデータベースを
更新した場合の一部BEが障害中の回復処理では、該トラ
ンザクション全体ではなく、該トランザクションの障害
中BEについての回復が保留されるだけであり、回復可能
なBEについての回復処理を完了することによって、回復
できない範囲を最小限にすることができる。

分散データベースの分散サーバ側の場合、該サブシス
テムはFE2に相当し、同期点通過以前の状態が更に、同
期点準備状態と同期点準備以前の状態に分けられる。同
期点準備以前の状態であれば、ロールバック処理を行
い、同期点通過後の状態であれば、ロールファワード処
理を行う。同期点準備状態の場合、分散データベースの
分散サーバから当該トランザクションを発生させた分散
クライアントに問い合わせを行い、分散クライアント側
の対応するトランザクションが同期点通過後であればロ
ールフォワード処理を行い、同期点通過以前であればロ
ールバック処理を行う。分散サーバから問い合わすべて
相手の分散クライアントとトランザクションの識別情報
は、分散サーバ側でのトランザクション発生時点にトラ
ンザクション管理テーブルの発生FEエントリ702に記録
しておく。

自システム内の分散データベースサブシステムが障害
中、又は他プロセッサ側が障害中の場合、同期点基準状
態のトランザクションのみが決着できずに残されるが、
他のトランザクションは、図16,図17の流れに従い決着
する。

一方分散データベースの分散クライアント側の場合該
サブシステムはBE3に相当する。図17の流れにおいて、
コントローラ１は、トランザクション管理テーブル中の
使用BEエントリ703に、分散クライアントが記録されて
いたならば、各BE3へのジャーナル渡し処理時に分散ク
ライアントに対し、ロールバック、又はロールフォワー
ドの指示を出す。分散クライアントは、該指示を分散サ
ーバ側に送る。分散サーバ側では、指示を受けたトラン
ザクションが同期点基準状態であれば、ロールフォワー
ド指示の場合は同期点通過状態にする。ロールバック指
示の場合は同期点準備以前状態にし、各々該当する決着
処理を行う。

なお、分散サーバ側のトランザクションから、更に他
プロセッサの分散データベースに対する要求が出された
場合には、該トランザクションの一つのBEとして該シス
テム上の分散クライアントを使用した場合に対応ずける
だけで同様に扱うことができる。

第２に、サブシステム障害の回復について、第18図を
用いて説明する。

複合サブシステム形オンラインシステムでは、サブシ
ステム内に障害が発生した場合には、該サブシステムだ
けを障害扱いとし、サブシステム回復を行う。サブシス
テム回復方式は、FE2とBE3で異なる。

FE2に障害が発生した時の回復では、該サブシステム
の機能の回復と該サブシステム下で生成した全トランザ
クションを回付する必見がある。サブシステムのみ障害
の場合、コントローラ１の持つトランザクション管理テ
ールブ７はそのまま仮想記憶装置上に存在するので、該
サブシステムの異常終了時に呼び出されるルーチンの中
で、トランザクション管理テールブ７の発生FE領域702
を参照して該サブシステムの発生させた全トランザクシ
ョンについて凍結要フラグ713をオンにしておく。ここ
で、障害となってFE2が発生させたトランザクション
は、トランザクション管理テーブル中の発生トランザク
ション領域702を参照することで限定している。このた
め、該FEの障害は、該FEの発生させたトランザクション
に限定でき、他FEの発生させたトランザクションに対し
ては影響なく業務処理が遂行できる。サブシステムダウ
ンをコントローラが検出するとコントローラ１は、全面
ダウン時と同様に、JNLF5を最新チエックポイント時点
から順次読み出し、該障害発生サブシステムに関連する
履歴形ジャーナルを該サブシステムのLBLRF420に格納す
る。その後、コントローラ１は該サブシステムを再起動
し、起動後該サブシステムに回復指示を出す。回復指示
を受けたサブシステムは、CKPTF410とTBLRF420をもとに
該サブシステムの機能回復を行う。

該サブシステムの機能回復と並行して、コントローラ
１は、トランザクション管理テーブル７の凍結要フラグ
713がオンの全トランザクションについて、全面回復時
と同様に第16図の流れに従いすべて凍結し、決着を行
う。資源管理テーブル６は、コントローラ１が管理して
いるため、サブシステム障害，回復時にも有効のままな
ので、障害発生FE2は、該サブシステム機能の回復が済
めば、コントローラ１のトランザクション凍結，決着を
待つことなく、新しいトランザクションの処理を開始で
きる。

BE3に障害が発生した時の回復では、該サブシステム
の機能回復と、該BEを使用していたトランザクションの
回復を行う必要がある。FE2障害時同様、トランザクシ
ョン管理テーブルは仮想記憶装置上に存在するので、該
BE3の異常終了時に呼び出されるルーチンの中で、トラ
ンザクション管理テーブル７の使用BE領域703領域を参
照して、該BEを使用していた全トランザクションについ
て、ロールバック要フラグ714をオンにしておく。ここ
で、障害発生となったBE3を使用したトランザクション
をトランザクション管理テーブル７の使用BE領域703で
限定しているため、該BEの障害は、該BEを実際に使用し
ているトランザクションに限定でき、他BEだけを使用し
ているトランザクションに対しては、影響なく業務処理
が遂行できる。

さらに、該BE3の管理していた資源は、該BE3の障害回
復が終了するまで解放できないので資源凍結を行う必要
がある。資源の凍結は、該BE2の異常終了時に呼び出さ
れるルーチンの中で資源管理テーブル６中の該BE3に継
がる全資源ノード630について行う。資源凍結は、障害
発生時には単に凍結要としておき、BE回復，トランザク
ション決着が一通り済むまで遅延させる方式も考えられ
る。これにより、同一資源を要求している他トランザク
ションはエラーリターンではなく、一時的に待ちを行
い、該資源を保持しているトランザクションが正常に決
着されれば、障害はなかったものとして処理が継続でき
ることになる。

サブシステムダウンとコントローラ１が検出すると、
コントローラ１は、FE2障害時と同様にJNLF5からTBLRF4
20を作成する。その後、コントローラ１は、該BE3を再
起動し、起動後、障害発生BE3に回復指示を行う。回復
指示を受けたBEは、CKPTF410とTBLRF420をもとに該BEの
機能回復を行う。ただし、BEの種類によっては、CKPTF4
10やTBLRF420を必要としない。この場合は、コントロー
ラ１は、JNLF5を読まずに単に回復指示を出し、該BEは
機能回復を行う。

該サブシステムの機能回復を待ち、コントローラ１
は、トランザクション管理テーブル７のロールバック要
フラグ714がオンの全トランザクションについて、全面
回復時と同様に第16図の流れに従いすべて凍結し、ロー
ルバック方向の決着を行う。

以上サブシステムの障害回復で示した様にトランザク
ション管理テーブル７の発生FE領域702及び使用BE領域7
03を用いてサブシステム障害の影響を特定のトランザク
ションに限定している。本機構のため、一部サブシステ
ム障害時でも他のサブシステムの処理は正常に遂行でき
ることとなり、複合サブシステム形オンラインシステム
の運転を続行できることになる。また、RF4を持つこと
で、障害となったサブシステムは、他サブシステムの処
理が先に進む異に影響されずに遅延しながらも回復し、
他サブシステムに影響することなく合流することができ
る。

第３に、業務処理プログラムに障害が発生し、実行中
のトランザクションが異常終了した場合には、異常終了
時に呼び出されるルーチンにて、該トランザクションの
凍結要フラグ713をオンにしておく。これにより、全面
グウン時と同様にコントローラ１が該トランザクション
の凍結，決着を行う。業務処理プログラムは、FE2によ
って再度起動されることで、機能を回復する。

【図面の簡単な説明】

第１図は複合サブシステム形オンラインシステムの全体
構成図、第２図はリカバリファイルの構成図、第３図は
資源管理テーブルの構成図、第４図はトランザクション
管理テーブルの構成図、第５図はシステムステータステ
ーブルの構成図、第６図はチエックポイントダンプ取得
の概念図、第７図はチエックポイントダンプ取得のタイ
ミング図、第８図はチエックポイントダンプ取得の流れ
図、第９図はチエックポイントダンプ有効化方式の流れ
図、第10図はチエックポイントダンプ取得における待ち
処理の流れ図、第11図は資源管理論理情報テーブルの構
成図、第12図はジャーナルポインタの概念及び構成図、
第13図は全面回復の流れ図、第14図はジャーナル回復の
流れ図、第15図はコントローラのジャーナル回復の流れ
図、第16図はトランザクション凍結／決着の流れ図、第
17図は一つのトランザクションが複数BE更新時の決着の
流れ図、第18図はサブシステム障害回復の流れ図であ
る。１……複合サブシステムコントローラ、２……フロントエンドサブシステム、３……バックエンドサブシステム、４……リカバリファイル、５……ジャーナルファイル、６……資源管理テーブル、７……トランザクション管理テーブル、８……システムステータステーブル、９……システムステータスファイル、 10……オンライン端末、11……データベース、 410……チエックポイントファイル、 411……チエックポイント対象テーブル、 410a……チエックポイント時点、 410b……チエックポイント取得開始、 410c……チエックポイント取得終了、 410d……チエックポイント有効時点、 410e……テーブル更新と対応するジャーナル取得が完了
するタイミング、 412……チエックポイントダンプ取得タスク、 420……テーブルリカバリファイル、 430……トランザクションリカバリファイル、 610……トランザクションノード、 611……トランザクションID部、 612……次トランザクションノードへのリンク、 613……資源排他ノードへのリンク、 620……資源ノード、621……資源名部、 622……資源排他ノードへのリンク、 623……次資源ノードへのリンク、 630……資源排他ノード、631……資源名部、 632……同一資源に対して待ちをしている次資源排他ノ
ードへのリンク、 633……同一トランザクションが保持又は待っている次
の資源排他ノードへのリンク、 634……トランザクションID部、 635……本資源排他ノード情報がジャーナルとして取得
されているか否かを市すフラグ、 636……本資源排他ノード情報は資源を保持しているの
か、待っているのかを示すフラグ、 701……トランザクションID領域、 702……発生フロントエンドサブシステム領域、 703……使用バックエンドサブシステム領域、 710……ステータスフラグ領域、 711……影響フラグ、712……実行監視フラグ、 713……凍結要フラグ、 714……ロールバック要フラグ、 715……同期点通過フラグ、 716……凍結フラグ、 717……同期点基準通過フラグ、 720……ジャーナルポインタ領域、 721……ジャーナル通番、 722……ジャーナルファイル名、 723……相対ブロック番号、 730……TRRF最終ポインタ領域、 740……資源管理テーブルへのポインタ、 750……資源管理情報テーベル、 751……資源名領域、 752……トランザクションID領域、 810……システムの状態領域、 815……チエックポイント時点のジャーナルポインタ領
域、 820……サブシステムの状態領域、 7011……エントリ番号、 7012……通番。

Claims

(57)【特許請求の範囲】

【請求項１】一つのコントローラと、それぞれ別のデー
タベースサブシステムにアクセスしながら処理を遂行す
る複数のサブシステムとを有する複合サブシステム形オ
ンラインシステムにおいて、前記コントローラのトラン
ザクションを管理し前記サブシステム単位に前記データ
ベースサブシステムの使用の有無を表すフィールドを備
えたトランザクション管理テーブルを設けて、実行中の
トランザクションがいずれのデータベースサブシステム
にアクセスしたかを前記トランザクション管理テーブル
に備えられたフイールドに登録することで管理し、ある
データベースサブシステムに障害が発生した場合、当該
障害の発生したデータベースサブシステムが原因で障害
となったトランザクションを前記トランザクション管理
テーブルのフイールドの内容に基づいて識別し、前記障
害の発生したデータベースサブシステムに対するアクセ
ス履歴を有するトランザクション群だけを即時障害回復
対象とすることを特徴とする複合サブシステム形オンラ
インシステムの障害回復方法。