JP4893180B2 - 記憶装置の故障回復方法、故障回復プログラムおよび制御装置 - Google Patents

Description

本発明はＲＡＩＤ装置の様な複数の装置を用いることで冗長性を確保している記憶装置に発生した複数の障害によるデータ消失といった致命的なトラブル時の、データ構造仕様や最新時間に着目した汎用的な記憶装置の故障回復方法、故障回復プログラムおよび制御装置に関する。

ハードディスクの大容量化が急速に進むにつれて、ハードディスクの故障時に受ける被害はますます大きくなる。このため、ハードディスクの故障によるデータ損失を防ぎ、合わせて処理性能を向上するために、ＲＡＩＤ(Redundant Array of Inexpensive Disks)技術が用いられている。複数台のハードディスクを組み合わせて、冗長化された１台のハードディスクとして管理する技術である。この技術は、ハードディスクへのデータ配置や、データの冗長化方法により、ＲＡＩＤ０〜ＲＡＩＤ５の６つのレベルに分類されて定義されている。例えばＲＡＩＤ５構成のＲＡＩＤ装置では、データをブロック単位に分割し、データ用ディスクに記録する。一方、ブロック単位に分割されたデータの排他的論理和からパリティを生成して、各ディスクに分散して配置する。データ更新時には更新前のデータとパリティを読み出し、更新パリティを作成後書き込む余分な動作が必要になる。しかし、更新するパリティは、異なるディスクに配置されているため、ライト処理が多重で発行された場合でも同時に実行することができ、高い性能を実現できる。このようなＲＡＩＤ５構成のＲＡＩＤ装置では、例えばＲＡＩＤ装置内のデータ用ディスク装置が１台故障した場合に、故障装置のデータが次のように修復される。まずＲＡＩＤコントローラは、故障したディスク装置以外の他のディスク装置から、ブロック毎にデータを読み出す。またパリティが格納されているディスク装置からパリティを読み出す。そして、ＲＡＩＤコントローラは、各ディスク装置から読み出したブロックデータおよびパリティデータをもとに、排他的論理和により故障ディスク装置のデータを復元する。このようにして、故障したディスク装置のすべてのデータを、故障したディスク装置に代えて用いられるスペアディスク装置内に修復することができる。このように、ＲＡＩＤ５構成のＲＡＩＤ装置では、ＲＡＩＤ内のディスク装置が１台故障しても、故障したディスク装置のデータを元通りに修復することができる。しかしながら、同一のＲＡＩＤ内で複数のディスク装置が故障する複数故障が発生した場合には、ＲＡＩＤ装置のデータの冗長性を利用してユーザデータを修復することはできない。この場合、ＲＡＩＤ装置全体の故障となり、使用不可となる。 また、冗長状態でも、ＲＡＩＤコントローラとディスク装置間でバス系の障害が発生すると、複数のディスク装置が全て障害と判断されてしまい、いっきにデータにアクセス不能になる。このようにＲＡＩＤ装置が使用不可となった場合、複数台の故障したディスク装置を交換し、データをバックアップコピーしている磁気テープ装置などから、このＲＡＩＤ装置に対しデータをライトバックする必要がある。 しかしながら、磁気テープ装置からのライトバックは、長時間を要するため、その間システムが停止状態となる問題がある。さらにデータのバックアップを行っていない場合には、システムの復旧には膨大な時間と労力を必要とする。このため、同一ＲＡＩＤ装置内でのディスクドライブの多重故障 により当該ＲＡＩＤ装置が使用不可となったとしてもディスク装置故障が一過性または部分的なものであったならば、外部からの要求に応じて当該ＲＡＩＤ装置を簡単に使用可能な状態に復旧することができるＲＡＩＤ装置のエラー回復方法、ＲＡＩＤコントローラ及びＲＡＩＤ装置が提案されている(特許文献１)。
特開２００２−３７３０５９号公報（第８頁段落００４８−００５３、図１）

この方法は、ディスク装置故障が一過性または部分的の場合に、ユーザの指定によりディスク故障直前のＲＡＩＤ構成に戻すことで、一時的に故障エリアにアクセスすることが、可能となる場合を想定している。多重故障発生直前のＲＡＩＤの構成情報をＲＡＩＤコントローラの不揮発性メモリまたはディスク装置に記憶しており、それをもとに回復を図っている。しかし、ＲＡＩＤの構成情報を不揮発性メモリに格納している場合には、データが格納されているディスク装置と不揮発性メモリが分離された場合は、元に戻すことはできなくなる。また、装置によっては、故障発生による構成情報の変化をディスク装置に記憶する構成を有していないものもある。このような装置では、多重故障発生によるＲＡＩＤ装置の障害に対応できない。

本願発明は、ＲＡＩＤ装置の構成情報を記憶する手段を持たない場合でも、ＲＡＩＤ装置の多重障害からの回復を可能とするディスク装置のデータ回復方法、ディスク装置のデータ回復プログラム、サーバを提供することを目的とする。

本発明は、冗長構成の複数台の、ファイルシステム上のファイルデータを記憶する記憶装置を接続する制御装置による記憶装置の故障回復方法であって、複数台の前記記憶装置の故障が発生したときに、複数台の前記記憶装置の中の１台を閉塞状態にし、他の前記記憶装置を閉塞解除状態とする、複数台の前記記憶装置のすべての組合せを生成する組合せ生成ステップと、前記ファイルシステムが、複数台の前記記憶装置の生成された組合せ毎に読みだされた、前記ファイルシステム上のファイルデータをもとに、前記組合せのうちいずれかの組合せでファイルデータを正常に読み出しうることを確認する整合性確認ステップと、整合性が確認された前記記憶装置の組合せを閉塞解除する閉塞解除ステップと、を有する構成である。この構成により、整合性が確認された故障ディスク装置の閉塞が解除されるので、制御装置による当該ディスク装置のアクセスが可能となる。

冗長性を確保する必要性がある重要な情報記憶装置のデータが失われた場合のリカバリの仕組み、あるいは手法を提供することで、バックアップをとっていなかったとしても、データを回復できる可能性がある。

（実施例１）
図１にＲＡＩＤシステムの構成図を示す。ＲＡＩＤシステム３１は、サーバ２１およびサーバのデータを格納するＲＡＩＤ装置２２を有する。サーバ２１は、ＲＡＩＤ装置２２を制御する制御装置である。復元制御部１を有する。復元制御部１は、故障により閉塞したディスク装置２について、閉塞解除するか否かを判断する。復元制御部１は、閉塞制御部１１、整合性／時間確認部１２、閉塞解除部１３からなる。閉塞制御部１１は、ＲＡＩＤコントローラ３に対して、ディスク装置２への閉塞指示を行う。整合性／時間確認部１２は、ディスク装置２から読み出したデータの整合性を確認する。又、最新時間の装置を確認する。閉塞解除部１３は、データの整合性の確認または最新時間の確認により決定された回復対象のディスク装置２の閉塞を解除する指示を行う。ＲＡＩＤ装置２２は、ＲＡＩＤコントローラ３と複数のディスク装置２とからなる。ＲＡＩＤコントローラ３は、複数のディスク装置２に対して、サーバ２１の指示によりリードライト制御を行う。ディスク装置２は、データを格納する装置である。複数の装置Ａ〜Ｎよりなる。ディスク装置２が複数故障するマルチデッドをディスク装置２が１台故障するシングルデッドの状態に戻すことにより、古いバックアップデータよりも新しいデータにアクセスすることができ、あるいは、バックアップに失敗していたとしてもデータにアクセスすることができる。

ここで重要なのは、以下の二点である。第１は、障害と判断されたはずのディスク装置２を戻す、すなわち、論理的に再接続することである。第２は、障害と判断された複数のディスク装置２のうちどのディスク装置２を元に戻すかである。まず、第１の障害と判断されたはずのディスク装置２を再接続できるかについてであるが、ディスク装置２の単体障害、バス障害に着目することでこれを実現できる。すなわち、ディスク装置２の単体障害は、例えばリードエラーのように、異常状態が一定の閾値を超えた場合に、故障と判断され、論理的に接続を切り離されるが、必ずしも対象装置が壊れたことを意味しておらず、再初期化により再び使用可能なこともある。また、バス障害は、ディスク装置２の障害ではないため、バスを初期化、交換を行えば、ディスク装置２は、使用可能となる。したがって、初期化等を行うことにより、故障直前の状態に復帰することが可能となる。

第２の障害と判断された複数のディスク装置２のうちどのディスク装置２を元に戻すかについては、基本ＯＳのファイルシステムのデータ構造を考慮して、その変化を調べることで、これを実現できる。ファイルシステムとしては、例えば、ＦＡＴ（Ｆｉｌｅ Ａｌｌｏｃａｔｉｏｎ Ｔａｂｌｅ）ファイルシステムである。ファイルを構成するデータの物理的な格納位置をディレクトリ、ＦＡＴと呼ばれるテーブルにより管理する。ディスク媒体上は、データ領域とディレクトリ、ＦＡＴを格納する領域に分割されている。さらにデータ領域は、細かい区画に分割されたクラスタに分割されて管理されている。クラスタは、複数のセクタからなり、ファイルを構成するデータが格納されている。クラスタには、ファイルを特定するための番号が付与されている。そして、各ファイルとクラスタとの関係を示すために、ファイルを構成するデータの先頭部分が格納されているクラスタ番号とファイル名、ファイルサイズ、作成年月日時分秒をディレクトリに格納している。そして、各ファイルを構成するすべてのクラスタは、ＦＡＴによりクラスタ番号のリンク状態が格納されている。本実施例では、ＲＡＩＤコントローラ３からサーバ２１へのリードデータをサーバ２１のファイルシステムのデータ格納先を示すポインタとして使用している。

図２にＲＡＩＤ装置の故障回復の説明図１を示す。ディスク装置２のＡ、Ｂ、Ｃ３台がひとつのバスに接続され、それを制御するＲＡＩＤコントローラ３があるＲＡＩＤ装置２２（ＲＡＩＤ４または５）をもとに説明する（図２（ａ）参照）。このＲＡＩＤ装置では、２つのディスク装置２のＡ，Ｂにデータが残りのディスク装置２のＣにパリティデータが格納される。また、ＲＡＩＤ４または５なので、データは、分散されて格納されている。ここで、ディスク装置２のＣに何らかの障害が発生すると（図２（ｂ）参照）、ディスク装置２のＣが論理的に切断されると（図２（ｃ）参照）、冗長性がなくなる。ここで、バス障害が発生しなければ残ったディスク装置２のＡ、Ｂでデータを更新し続ける。その後、ディスク装置２のＢに障害が発生すると（図２（ｄ）参照）、ディスク装置２のＢが論理的に切断され（図２（ｅ）参照）、ＲＡＩＤコントローラ３から２台とも論理的に切断されるので、データの更新処理は、停止する。次にデータ構造が分散する特性から、アクセス不能になる直前の状態を仮定し(図２（ｆ）、図２(ｇ))、その状態にオンライン化して、実際にアクセスを行い、ファイルシステムのデータ構造から整合性異常が無いかどうかを確認する。

図３にＲＡＩＤ装置の故障回復の処理の流れ図１を示す。まず、サーバ２１の復元制御部１は、故障した１台を閉塞にして、他をオンライン状態とする組み合わせを生成する（Ｓ１ステップ）。具体的には、ディスク装置２のＡ、Ｂ、ＣについてＣを閉塞にし、Ａ、Ｂをオンライン化した状態の組み合わせを生成する。またＢを閉塞にし、Ａ、Ｃをオンライン化した状態の組み合わせを生成する。またＡを閉塞にし、Ｂ、Ｃをオンライン化した状態の組み合わせを生成する。次に、整合性を確認する（Ｓ２ステップ）。確認した結果、整合性あるか否かを判定する（Ｓ３ステップ）。今回は、図２（ｆ）では整合性異常が発生せず、図２(ｇ)では更新が続いていた装置と停止していた装置との組み合わせなので、データ整合性異常が発生する可能性がある。図示していないが、Ａを閉塞にし、Ｂ、Ｃをオンライン化した状態の組み合わせも同様にデータ整合性異常が発生する可能性がある。この確認において、ファイルシステムのデータ構造から整合性異常が存在すれば、それはアクセス不能になる直前の状態では無いことを意味する。また、仮に、全ての組み合わせで整合性異常が存在しない場合は、全てのディスク装置２に対して同時に障害が発生したためと判断することができる。この様にして、アクセス不能になる直前の状態を仮定し、ファイルシステムのデータ構造から正当性を検証することで、アクセス不能になる直前の状態を判断し、アクセス可能な状態に一時的に戻し（Ｓ４ステップ）、業務として必要な一時的な処理を行う（図２（h）参照）。整合性がすべての組合せでとれない場合には、複合故障の状態のままとし、閉塞を解除しない（Ｓ５ステップ）。

次に、この整合性の確認方法についての説明を行う。図４に整合性の説明図１を示す。ディスク装置２であるＡ〜Ｄの４台構成のＲＡＩＤ４またはＲＡＩＤ５の例である。Ａ〜Ｄの媒体上に５５ｈ、ＡＡｈ、Ａ５ｈ、５Ａｈがライトされている。Ｄにパリティがライトされている例である。ｈは１６進表示を意味する。従って、正常にリードすれば、５５ｈ、ＡＡｈ、Ａ５ｈの値がリードデータとしてサーバ２１に読み込まれる（図４（ａ）参照）。しかし、Ｃに障害が発生し、シングルデッドの状態の場合（図４（ｂ）参照）、デッドしたＣの装置に対する９６ｈのライト行為が行われることがある。この場合、結果的にパリティ部分が５Ａｈから６９ｈに更新される（図４（ｃ）参照）。Ｃは、デッドなので、データは、ライトできない。その後、マルチデッドがＡまたはＢまたはＤに発生した場合、シングルデッドの状態をもとに、全クリティカル状態の組合せについて整合性をチェックする。期待するデータは、５５ｈ、ＡＡｈ、９６ｈである。図４(ｅ)〜（ｉ）にこれらの整合性チェックのためにデータを読み出した場合の３つのパターンを示す。 図４(ｅ)は、４台回復させて、読み出した場合である。過去のデータ５５ｈ、ＡＡｈ、Ａ５ｈが読み出される。しかし、期待データとは異なる。 図４(ｆ)は、Ｄを除いた３台を回復させての整合性チェックをするものである。過去のデータ５５ｈ、ＡＡｈ、Ａ５ｈが読み出される。しかし、期待データとは異なる。図４(ｇ)は、Ｃを除いた３台を回復させての整合性チェックをするものである。５５ｈ、ＡＡｈ、６９ｈから、Ｃの９６ｈが生成されるので、５５ｈ、ＡＡｈ、９６ｈが正常データとして読み出される。図４(ｈ)は、Ｂを除いた３台を回復させての整合性チェックをするものである。５５ｈ、Ａ５ｈ、６９ｈから、Ｂの９９ｈが生成される。しかし、媒体上のデータＡＡｈと異なるデータ９９ｈが読み出され、５５ｈ、９９ｈ、Ａ５ｈであるので異常データである。すなわち期待データとは異なる。図４(ｉ)は、Ａを除いた３台を回復させての整合性チェックをするものである。ＡＡｈ、Ａ５ｈ、６９ｈから、Ａの６６ｈが生成される。しかし、媒体上のデータＡＡｈと異なるデータ６６ｈが読み出され、６６ｈ、ＡＡｈ、Ａ５ｈであるので異常データである。すなわち期待データとは異なる。このように、マルチデッドが発生した場合、クリティカル状態の組合せを実施すると、過去のデータ、正常なデータ、異常なデータとしてリードされる。

次に、これらの結果が実際のファイルシステムに与える影響を説明する。図５に整合性の説明図２を示す。まず正常のファイルシステムの状態を示す。図５（ａ）に初期状態を示す。Ｃ￥Ｄｏｃｕｍｅｎｔ￥Ｕｓｅｒ１￥ａｂ．ｄｏｃとＣ￥Ｄｏｃｕｍｅｎｔ￥Ｕｓｅｒ１￥１２３．ｘｌｓの２つのファイルが生成されているものとする。図５（ｂ）にファイル更新後の状態を示す。新規作成ファイルとして、Ｃ￥Ｄｏｃｕｍｅｎｔ￥Ｕｓｅｒ１￥ｄｅ．ｔｘｔを生成した例である。また、１２３．ｘｌｓを上書き保存した例である。新規作成のファイルｄｅ．ｔｘｔは、Ｕｓｅｒ１ のリストに格納先データが追加され、実際にその指定された場所にファイルが作成される（ｂ１参照）。上書き更新されたファイル１２３．ｘｌｓは、データ量が増えた場合は、指定された領域に入りきらないデータを別の格納先データが追加され、追加された格納先に、残りのデータが保存される（ｂ２参照）。

図６に整合性の説明図３を示す。図６（ａ）に正常状態のファイルシステムを示す。正常な状態では、サーバ２１の全てのファイルのリンクが正しく結合されている。復元制御部１は、複数のＡ〜Ｎからなるディスク装置２を１つディスク装置２としてファイルシステムを構築している。その結果、例えばＣ￥Ｄｏｃｕｍｅｎｔ￥Ｕｓｅｒ１￥ａｂ．ｄｏｃの指定する領域に図４（ｃ）の例では、期待データ５５ｈ、ＡＡｈ、９６ｈに対応するファイルの格納先が格納されていると扱われる。シングルデッドの場合は、故障している物理的領域は、閉塞しているため、アクセスされないが、ＲＡＩＤ４またはＲＡＩＤ５の構成をもとに生成されたデータが使用できるため、全てのファイルのリンクが正しく結合されている。

図６（ｂ）に異常状態のファイルシステムを示す。マルチデッドの場合、異常データが読み出される異常な状態では、サーバ２１のファイルシステムのリンクが切れる場合が発生する。例えば、図４（ｈ）の例では、Ｕｓｅｒ１ のリストのａｂ．ｄｏｃには、ファイルの格納先を示すディスク装置Ａ、Ｃ、Ｄで構成されるディスク装置２のデータが格納されている。Ｃは、旧データが格納されている。一方、ディスク装置２のＢは、閉塞されているため、パリティ計算で求められたデータが生成され格納されている。この結果、Ｂ、Ｃのデータが期待データとは異なるため、異常データとなり、リンク先異常となる。また、図４（ｉ）の例のＡが閉塞した場合も同様である。また、マルチデッドの場合、過去のデータが読み出される場合がある。図４（ｅ）のように、全部が閉塞していない状態にした場合に、ディスク装置２のＡ、Ｂ、Ｃのデータを取得する。過去のデータと同じリンク先が形成されるが、期待データとはＣの格納先に変化を生じているので、リンク先異常と判断する。また、図４（ｆ）のように、ディスク装置２のＤを閉塞した場合、ディスク装置２のＡ、Ｂ、Ｃのデータをサーバ２１は、取得する。この場合、Ｕｓｅｒ１ のリストのａｂ．ｄｏｃには、ファイルの格納先を示すディスク装置Ａ、Ｂ、Ｃで構成されるディスク装置２のデータが格納されている。過去のデータと同じリンク先が形成されるが、期待データとはＣの格納先に変化を生じているので、リンク先異常と判断する。また、図４（ｇ）のように、ディスク装置２のＣを閉塞した場合、ディスク装置２のＡ、Ｂ、Ｄのデータをサーバ２１は取得する。この場合、Ｕｓｅｒ１ のリストのａｂ．ｄｏｃには、ファイルの格納先を示すディスク装置２のＡ、Ｂ、Ｃのデータが格納されている。このとき、ディスク装置２のＣは、閉塞されているため、パリティ計算で求められたデータが生成され格納されている。この結果、Ａ、Ｂ、Ｃのデータは、期待データと同一であり、ファイルの格納先のデータに変化はない。整合性あるデータとして読み出される。リンク先は正常である。この処理をディスク装置２に格納されているすべてのファイルにおいて行う。Ｕｓｅｒ１のａｂ．ｄｏｃ以外のファイルについて格納先に変化がない場合には、図４（ｇ）に示す整合性ある組み合わせのＡ，Ｂ，Ｄをオンライン化することで、必要なデータを一時的に読み出すことができる。

図７にＲＡＩＤ装置の故障回復の説明図２を示す。ＦＡＴファイルシステムのデータ構造のディレクトリのファイル更新時間を基に故障回復を行う。ＲＡＩＤ１構成のディスク装置２のＡ、Ｂ２台がひとつのバスに接続され、それを制御するＲＡＩＤコントローラ３があるＲＡＩＤ装置２２（ディスク装置２のＡ、Ｂ）をもとに説明する（図７（ａ）参照）。ここで、ディスク装置２のＢに何らかの障害が発生すると（図７（ｂ）参照）、ディスク装置２のＢが論理的に切断されると（図７（ｃ）参照）、冗長性がなくなる。２００５年７月１３日１０時０分８秒に障害発生し、２００５年７月１３日１０時０分１０秒に論理切断したことを示す。ここで、複数障害にあたるバス障害が発生しなければ残ったディスク装置２のＡでデータを更新し続ける。その後、ディスク装置２のＡに障害が発生すると（図７（ｄ）参照）、ディスク装置２のＡが論理的に切断され（図７（ｅ）参照）、サーバ２１から２台とも論理的に切断されるので、データの更新処理は、停止する。２００５年７月１４日１１時３０分３８秒に障害発生し、２００５年７月１４日１１時３０分４０に論理切断したことを示す。

図８にＲＡＩＤ装置の故障回復の処理の流れ図２を示す。まず、アクセス不能になる直前の状態に再接続を行う。このため、サーバ２１の復元制御部１は、論理的に切断し閉塞した装置と１つずつ再接続する（Ｓ１１ステップ）。そしてアクセスを行い、ＦＡＴファイルシステムのデータ構造の中のディレクトリに格納されているファイル毎の更新時間を取得し（Ｓ１２ステップ）、最新の時間かを比較する。その結果、ディスク装置２のＡは、２００５年７月１４日１１時３０分３８秒であり（図７（ｆ）参照）、ディスク装置２のＢは、２００５年７月１３日１０時０分８秒である（図７（ｇ）参照）。そのため、ディスク装置２のＡが最新時間の装置のため、回復させる判断をして（Ｓ１３ステップ）、接続モードを閉塞からオンラインに変更する（Ｓ１４ステップ、図７（ｈ）参照）。このようにして、アクセス不能になる直前の状態をそのデータ構造の最新時間を検討することで、アクセス不能になる直前の状態を判断し、アクセス可能な状態に一時的に戻すことが可能となる。

以上の実施例を含む実施形態に関し、更に以下の付記を開示する。
（付記１）冗長構成の複数の記憶装置を接続する制御装置による記憶装置の故障回復方法であって、複数台の故障が発生したときに、複数台の１台を閉塞状態にし、他の記憶装置を閉塞解除状態とする記憶装置のすべての組合せを生成する組合せ生成ステップと、生成された組合せにより、整合性を確認する整合性確認ステップと、整合性が確認された記憶装置の組合せを閉塞解除する閉塞解除ステップと、を有することを特徴とする記憶装置の故障回復方法。
（付記２）冗長構成の複数の記憶装置を接続する制御装置による記憶装置の故障回復方法であって、故障により閉塞中の記憶装置の閉塞した時の時間を取得するステップと、閉塞した時間が最新の時間の記憶装置を選択する選択ステップと、選択された記憶装置の閉塞を解除する解除ステップと、を有することを特徴とする記憶装置の故障回復方法。
（付記３）冗長構成の複数の記憶装置を接続する制御装置による記憶装置の故障回復プログラムであって、複数台の故障が発生したときに、複数台の１台を閉塞状態にし、他の記憶装置を閉塞解除状態とする記憶装置のすべての組合せを生成する組合せ生成ステップと、生成された組合せにより、整合性を確認する整合性確認ステップと、整合性が確認された記憶装置の組合せを閉塞解除する閉塞解除ステップと、をコンピュータに実行させるための記憶装置の故障回復プログラム。
（付記４）冗長構成の複数の記憶装置を接続する制御装置による記憶装置の故障回復プログラムであって、故障により閉塞中の記憶装置の閉塞した時の時間を取得するステップと、閉塞した時間が最新の時間の記憶装置を選択する選択ステップと、選択された記憶装置の閉塞を解除する解除ステップと、をコンピュータに実行させる記憶装置の故障回復プログラム。
（付記５）冗長構成の複数の記憶装置を接続する制御装置であって、複数台の故障が発生したときに、複数台の１台を閉塞状態にし、他の記憶装置を閉塞解除状態とする記憶装置のすべての組合せを生成する組合せ生成手段と、生成された組合せにより、整合性を確認する整合性確認手段と、整合性が確認された記憶装置の組合せを閉塞解除する閉塞解除手段と、を有することを特徴とする制御装置。
（付記６）冗長構成の複数の記憶装置を接続する制御装置であって、故障により閉塞中のディスク装置の閉塞した時の時間を取得する手段と、閉塞した時間が最新の時間のディスク装置を選択する選択手段と、選択されたディスク装置の閉塞を解除する解除手段と、を有することを特徴とする制御装置。
（付記７）整合性確認手段は、ファイルシステムのデータ構造を基に確認することを特徴とする付記５記載の制御装置。

ＲＡＩＤシステムの構成図 ＲＡＩＤ装置の故障回復の説明図１ ＲＡＩＤ装置の故障回復の処理の流れ図１ 整合性の説明図１ 整合性の説明図２ 整合性の説明図３ ＲＡＩＤ装置の故障回復の説明図２ ＲＡＩＤ装置の故障回復の処理の流れ図２

符号の説明

１ 復元制御部
２ ディスク装置
３ ＲＡＩＤコントローラ
１１ 閉塞制御部
１２ 整合性／時間確認部
１３ 閉塞解除部
２１ サーバ
２２ ＲＡＩＤ装置
３１ ＲＡＩＤシステム

Claims (3)

1. 冗長構成の複数台の、ファイルシステム上のファイルデータを記憶する記憶装置を接続する制御装置による記憶装置の故障回復方法であって、
   複数台の前記記憶装置の故障が発生したときに、複数台の前記記憶装置の中の１台を閉塞状態にし、他の前記記憶装置を閉塞解除状態とする、複数台の前記記憶装置のすべての組合せを生成する組合せ生成ステップと、
   前記ファイルシステムが、複数台の前記記憶装置の生成された組合せ毎に読みだされた、前記ファイルシステム上のファイルデータをもとに、前記組合せのうちいずれかの組合せでファイルデータを正常に読み出しうることを確認する整合性確認ステップと、
   整合性が確認された前記記憶装置の組合せを閉塞解除する閉塞解除ステップと、
   を有することを特徴とする記憶装置の故障回復方法。
2. 冗長構成の複数台の、ファイルシステム上のファイルデータを記憶する記憶装置を接続する制御装置による記憶装置の故障回復プログラムであって、
   複数台の前記記憶装置の故障が発生したときに、複数台の前記記憶装置の中の１台を閉塞状態にし、他の前記記憶装置を閉塞解除状態とする、複数台の前記記憶装置のすべての組合せを生成する組合せ生成ステップと、
   前記ファイルシステムが、複数台の前記記憶装置の生成された組合せ毎に読みだされた、前記ファイルシステム上のファイルデータをもとに、前記組合せのうちいずれかの組合せでファイルデータを正常に読み出しうることを確認する整合性確認ステップと、
   整合性が確認された前記記憶装置の組合せを閉塞解除する閉塞解除ステップと、
   をコンピュータに実行させるための記憶装置の故障回復プログラム。
3. 冗長構成の複数台の、ファイルシステム上のファイルデータを記憶する記憶装置を接続する制御装置であって、
   複数台の前記記憶装置の故障が発生したときに、複数台の前記記憶装置の中の１台を閉塞状態にし、他の前記記憶装置を閉塞解除状態とする、複数台の前記記憶装置のすべての組合せを生成する組合せ生成手段と、
   前記ファイルシステムが、複数台の前記記憶装置の生成された組合せ毎に読みだされた、前記ファイルシステム上のファイルデータをもとに、前記組合せのうちいずれかの組合せでファイルデータを正常に読み出しうることを確認する整合性確認手段と、
   整合性が確認された前記記憶装置の組合せを閉塞解除する閉塞解除手段と、
   を有することを特徴とする制御装置。

Images