JP4957068B2 - 二重化系切替え方法 - Google Patents

Description

本発明は、同一システム内で運用系、予備系といった具合に、制御部が二重化されている場合の系切替え方法に関するものである。

従来の系切替え方法としては、特開平２−２７７３２１に記載のような系切替え方法が開示されている。
特開平２−２７７３２１号公報

しかしながら、従来技術では、運用系（ACT）、予備系（SBY）切替えの際のタイミングによって発生する不具合の対策については言及されていなかった。本発明は、切替え時に発生する不具合対策を考慮して考案されたものであり、運用系、予備系のスムーズな切替え方法を提供することにある。

制御部を二重化したシステムにおいて、一方が運用系制御部、他方が予備系制御部として動作を開始し、前記運用系制御部に障害が発生した場合、障害通知を前記予備系制御部に送信するとともに、前記運用系制御部のCPUへの障害通知である割り込み信号を遮断し、前記障害通知を受信した前記予備系制御部は、制御部切替え操作を行うとともに切替え信号を前記運用系制御部へ送信し、自側を新しい運用系制御部として動作を開始し、前記運用系制御部は、前記切替え信号を受前すると、遮断していた割り込み信号を前記CPUへ接続し、自側を新しい予備系制御部として動作させるようにしたことを特徴とする。

この発明によれば、ACTの障害発生にて行う自己復旧を遅らせるので、その障害発生直後にSBYが行う系切替えが先に発動し、ACTがSBYに切替わる前に呼処理を開始してしまう不具合を回避できる。また、SBYが障害等で系切替え発動出来ない状況にあっても、ACTは自己復旧し呼処理開始できる。

以下、本発明の実施例について説明する。

図１はPBX中央制御装置のシステム構成を示す。CCUは中央制御ユニットであり冗長構成二重化の構成になっており、101を0系、109を1系とする（0系、1系は、運用系にも予備系にもなりうる。）

0系CCU101において、102のMPUはユニット全体を制御するマイクロプロセッサでPBXの呼処理を行うソフトが組み込まれ105のMPUバスにて周辺回路へアクセスする。103のWDT監視部はMPUバス105からMPUの周辺へのアクセス状態を監視するウオッチドックタイマーで異常を検出すると106のWDT障害信号を出力する。

104の系切替え制御部は0系と1系相互に呼処理を行う運用系ACTと呼処理をせず待機状態の予備系SBYを切替える回路を有し、0系のWDT障害信号106と1系から114のWDT障害信号を入力して監視し、それによって107の割込み信号をMPU102に対して出力し、また、108のACT/SBY信号0系→1系はACTとSBYの状態識別信号として1系CCU109へ出力し、同様に1系から116のACT/SBY信号1系→0系を入力する。

1系CCU109は、0系CCU101と同一の構成であり、110と102のMPU、111と103のWDT監視部、112と104の系切替え制御部、113と105のMPUバス、114と106のWDT障害信号、115と107の割込み信号、116と108のACT/SBY信号はそれぞれ同じ機能である。

図２は図１の系切替え制御部104及び112の内部の構成を示す。

0系から見た場合、206の自系WDT障害信号は図１のWDT障害信号106、207の他系WDT障害信号は図１のWDT障害信号114、211の自系ACT/SBY信号は図１のACT/SBY信号108、212の他系ACT/SBY信号は図１のACT/SBY信号116をそれぞれ示す。1系から見た場合逆になり、206の自系WDT障害信号は図１のWDT障害信号114、207の他系WDT障害信号は図１のWDT障害信号106、211の自系ACT/SBY信号は図１のACT/SBY信号116、212の他系ACT/SBY信号は図１のACT/SBY信号108をそれぞれ示す。

201の系制御フラグ部は、自系WDT障害信号206、他系WDT障害信号207、自系ACT/SBY信号211、209の系切替え信号の入力を元にフラグを生成し、205のMPUバス経由でソフトへ割込み要因として伝える回路である。202の信号遅延部は自系WDT障害信号206を一定の時間遅延させ、208の自系WDT障害遅延信号として出力する。

203の割込み発生部は自系WDT障害遅延信号208と系切替え信号209の入力を元に210の割込み信号を出力する。204の系切替え発動部は自系WDT障害信号206、他系WDT障害信号207、他系ACT/SBY信号212の入力を元に系切替え信号209と自系ACT/SBY信号211を出力する。

系切替え発動部204の動作は、図３の系切替えフローにて示す。

ACTの系切替え条件は他系がACTになることであり、その動作は次のようになる。最初に自系状態を判定してACTへ（301）、次に他系状態を判定しSBYであれば（302）、ACT通常動作の経路（313）にて状態保持となり（305）ACT状態を保つ。

しかし、302の他系状態を判定しACTであれば（302）、ACT→SBY系切替え動作の経路（312）にてACT/SBY信号=SBYへ遷移し（303）、系切替え信号を発生し（304）、ACTからSBYへの系切替えが生ずる。

SBYの系切替え条件は自系が正常で他系が障害になることであり、その動作は次のようになる。最初に自系状態を判定してSBYへ（301）、次に自系WDT障害を判定し障害であれば（306）、状態保持となり（307）SBYを保つ。

あるいは、自系WDT障害を判定し正常で（306）、かつ他系WDT障害も正常であれば（308）、SBY通常動作の経路（315）にて状態保持となり（311）SBYを保つ。

しかし、他系WDT障害を判定し障害であれば（308）、SBY→ACT系切替え動作の経路（314）にてACT/SBY信号=ACTへ遷移し（309）、系切替え信号を発生し（310）、SBYからACTへの系切替えが生ずる。

以上の動作により、系切替えはACTの障害を見てSBYがACTへ遷移し、それを見てACTがSBYへ遷移するという順序になる。

一方、障害の発生やそれに伴う系切替えの後は、呼処理継続あるいは自己復旧のため、ソフトを再開させる必要がある。また、再開処理は系の状態や障害有無により異なり、リブート、解析のため要因記録、呼処理の開始，継続，停止がある。

図２において、割込み発生部203は自系WDT障害遅延信号208の障害、または系切替え信号209の発生にて割込み信号210を発生する。その際、ソフトは割込み要因によって異なる再開処理を区別するため、それを認識する必要がある。そのため、系制御フラグ部201に割込み要因フラグとして一時記憶する。その種類は図４の割込み要因フラグ一覧に示す。

401は自系WDT障害フラグであり、障害か正常いずれかの状態を示し、元になる信号は自系WDT障害信号である。402は系切替え発生フラグであり、有りか無しいずれかの状態を示し、元になる信号は系切替え信号のパルス検出である。403は他系WDT障害フラグであり、障害か正常いずれかの状態を示し、元になる信号は他系WDT障害信号である。404はACT/SBY識別フラグであり、ACTかSBYいずれかの状態を示し、元になる信号は自系ACT/SBY信号である。

ソフトの再開処理については、図５の再開処理フローに示す。

ACTにて障害となって再開した場合は、自己復旧のため処理は次のようになる。最初にACT/SBY識別フラグがACTで（501）、次に自系WDT障害フラグが障害の場合は（502）、ACT障害処理の経路（515）にて、リブート（503）、割込み要因フラグを記録（504）、呼処理開始（505）となる。

他系の障害で系が切替わってACTとなって再開した場合は、呼処理継続のため処理は次のようになる。最初にACT/SBY識別フラグがACTで（501）、次に自系WDT障害フラグが正常で（502）、次に系切替え発生フラグが有りで（506）、次に他系WDT障害フラグが障害の場合は（508）、他系障害によるACTへの系切替え処理の経路（516）にて、呼処理継続（509）、割込み要因フラグを記録（510）となる。

系の切替わり有無にかかわらず、自系の障害でSBYとなって再開した場合は、自己復旧のため処理は次のようになる。ACT/SBY識別フラグがSBYで（501）、SBYの再開処理の経路（517）にて、リブート（512）、割込み要因フラグを記録（513）、呼処理停止（514）となる。

以上の再開処理を正常に行うためには、図２における信号遅延部202による自系WDT障害信号の遅延が必要となる。これは次の理由による。

つまり、ACTにて障害となって再開した場合と系切替えによって自系の障害でSBYとなって再開した場合の二つのイベントが非常に近い時間で発生する点である。これがどのような問題をもたらすか、図６の自系WDT障害遅延信号無しのタイミングに示す。

前提として、602の自系WDT障害遅延信号は無しで、系の状態は最初0系がACT、1系がSBYとして始まる。まず、0系にて601の自系WDT障害信号が609のWDT障害発生によって障害になり、それによって606の割込み信号が有りになる。その障害は1系に伝わり、607の他系WDT障害信号が障害になり、1系で系切替えが生じ、608のACT/SBY信号がSBYからACTになる。

それによって0系にて、603のACT/SBY信号がACTからSBYになり、604の系切替え信号が有りのパルスを発生し、605の系切替えフラグが有りになる。すると、割込み発生にて611のタイミングで再開処理（ACT障害処理）が始まるが、610のタイミングで遅れてSBYに遷移するので、最終的にSBYになるにもかかわらずソフトがACTとして自己復旧し呼処理を開始してしまう不具合が生じる。

それに対して、自系WDT障害信号を遅延させることによりその不具合を回避出来る。それについて、図７の自系WDT障害遅延信号有りのタイミングに示す。

前提として、702の自系WDT障害遅延信号は有りで、系の状態は最初0系がACT、1系がSBYとして始まる。まず、0系にて701の自系WDT障害信号が709のWDT障害発生によって障害になるが、706の割込み信号は無しのまま変化しない。702の自系WDT障害遅延信号を割込み発生条件に使うためである。

しかし、1系に伝わるのは遅延していない方の自系WDT障害信号701であり、707の他系WDT障害信号が障害になり、1系で系切替えが生じ、708のACT/SBY信号がSBYからACTになる。それによって0系にて、703のACT/SBY信号がACTからSBYになり、704の系切替え信号が有りのパルスを発生し、705の系切替えフラグと706の割込み信号が有りになる。再開処理はこのタイミングから始まるが、既に703のACT/SBY信号がSBYになっているので図６のような不具合は生じない。

しかし、ここで、SBYが障害等の理由で系切替えを発動出来ないケースも考えられる。自系WDT障害信号を一定の遅延にするのはそれも考慮したものである。それについて、図８の自系WDT障害遅延信号有りでSBY系切替え不可の場合のタイミングに示す。

前提として、802の自系WDT障害遅延信号は有りで、系の状態は0系がACT、1系はSBYであるが系切替えは発動出来ないものとする。まず、0系にて801の自系WDT障害信号が807のWDT障害発生によって障害になるが、806の割込み信号は無しのまま変化しない。

系切替えが生じないので803のACT/SBY信号はACT状態を保ったままで、804の系切替え信号と805の系切替え発生フラグも無しのまま変化しない。やがて、802の自系WDT障害遅延信号が遅れて障害になるので、それによって806の割込み信号が有りになる。

結果として、SBYが系切替え発動出来なくても、ACTは809のタイミングにて再開処理（ACT障害処理）にて自己復旧が可能となる。基本的には、ACTの障害時はSBYからの系切替えを期待するため、遅延時間は系切替え発動時間より十分に長く設定しておけば良い（808）。

PBXの中央制御装置に二重化にて搭載されるCCUのシステム構成である。 CCU内部の系切替え制御部構成である。 系切替え制御部の系切替えフローである。 系制御フラグ部内に一時記憶される割込み要因フラグ一覧である。 割込み時のソフトの再開処理フローである。 自系WDT障害遅延信号無しのタイミングである。 自系WDT障害遅延信号有りのタイミングである。 自系WDT障害遅延信号有りでSBY系切替え不可の場合のタイミングである。

符号の説明

101 0系CCU
102 0系MPU
103 0系WDT監視部
104 0系系切替え制御部
105 0系MPUバス
106 0系WDT障害信号
107 0系割込み信号
108 0系ACT/SBY信号
109 1系CCU
110 1系MPU
111 1系WDT監視部
112 1系系切替え制御部
113 1系MPUバス
114 1系WDT障害信号
115 1系割込み信号
116 1系ACT/SBY信号
201 系制御フラグ部
202 信号遅延部
203 割込み発生部
204 系切替え発動部
205 MPUバス
206 自系WDT障害信号
207 他系WDT障害信号
208 自系WDT障害遅延信号
209 系切替え信号
210 割込み信号
211 自系ACT/SBY信号
212 他系ACT/SBY信号

Claims (1)

1. 制御部を二重化したシステムにおいて、
   一方が運用系制御部、他方が予備系制御部として動作を開始し、
   前記運用系制御部に障害が発生した場合、障害通知を前記予備系制御部に送信するとともに、前記運用系制御部のCPUへの障害通知である割り込み信号を遮断し、
   前記障害通知を受信した前記予備系制御部は、制御部切替え操作を行うとともに切替え信号を前記運用系制御部へ送信し、自側を新しい運用系制御部として動作を開始し、
   前記運用系制御部は、前記切替え信号を受前すると、遮断していた割り込み信号を前記CPUへ接続し、自側を新しい予備系制御部として動作させるようにしたことを特徴とする二重化系切替え方法。
   

Images