JP5061739B2

JP5061739B2 - データ処理装置、二重化装置、その障害時系切替方法および障害時系切替プログラム

Info

Publication number: JP5061739B2
Application number: JP2007155074A
Authority: JP
Inventors: 修平山口
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2007-06-12
Filing date: 2007-06-12
Publication date: 2012-10-31
Anticipated expiration: 2027-06-12
Also published as: JP2008310411A

Description

本発明は、データ処理を二重化するためのデータ処理装置、二重化構成の二重化装置、その障害時系切替方法および障害時系切替プログラムに係わり、特に障害が発生したときに系の切り替えを行うデータ処理装置、二重化装置、その障害時系切替方法および障害時系切替プログラムに関する。

各種のデータ処理装置や通信装置では、それらの処理内容の信頼性を高めるために２つの系を配置し、一方を運用系（現用系）とし他方を待機系（予備系）とした二重化されたデータ処理システムを構成することが多い。このような二重化されたデータ処理システムでは、それぞれの系の現在の状態をシステム全体で共有できるようにしている。このために、それぞれの系は自系がどのような状態にあるかを示す記憶領域を備えている。そして、他系の状態はこの記憶領域を参照して把握することが可能なようになっており、自系の状態は記憶領域の参照だけでなく、状態変化に応じてその内容を更新できるようになっている。たとえば、運用系の装置に障害が発生したとき、他系としての待機系の装置はこの障害発生を認識して自系を運用系に変更する。障害の発生した運用系の装置の方は、自系を停止系に変更してデータ処理システムから切り離す。

このように二重化されたデータ処理システムでは、一方の系の装置で障害が発生した場合、他方の系の装置でもこれを確実に認識し、たとえば自系の装置を待機系から運用系に切り替えるといった処理が行われることを前提としている。ところが、このような前提が成り立たない場合がある。

たとえばそれぞれ個別にコンピュータを備えた二重化されたデータ処理システムで、２つの装置が割り込み線を用いて障害発生時の通知のために割り込み処理を行う場合を考えてみる。一方の系の装置の内部で障害が発生すると、割り込み線を通じてその系と他方の系の双方の装置に対して障害発生の通知のための割り込みが試みられる。ところが、可能性としては、このうちの一方の系の装置のみが割り込みに失敗する場合がある。このような場合には、障害の発生を割り込みによって検知した装置は、これに対応させて、たとえば自装置を待機系から運用系へ切り替える。これに対して、割り込みに失敗した装置（この例では運用系の装置）では、障害の発生を割り込み処理で検出できないので、相変わらず前の系の状態としての運用系を保持することになる。この結果、この例では２つの装置が共に運用系となってしまうという不具合を発生させる。

そこで、運用系コンピュータの監視ができなくなるような障害が発生した場合に、この障害となった運用系のコンピュータをリセットすることが提案されている（たとえば特許文献１参照）。この提案では、運用系のコンピュータのリセットが成功すると、この旨の通知を残りのコンピュータに行って、所定の優先順位に沿って他のコンピュータがリセットされたコンピュータに代わって運用系となるようにしている。
特開２００６−０１１９９２号公報（第００２２段落、第００３１段落、図１）

ところが、このように運用系の装置が監視できない状態になったときこれをリセットするようにすると、運用系の装置の障害が断続的に発生するよう場合、リセットした時点で障害が存在しなければこの装置が再度運用系に選択されることになる。したがって、運用系の装置のリセットが頻繁に発生するような事態が生じてシステムが安定しないという問題があった。

そこで本発明の目的は、二重化されたデータ処理システムで、２つの装置のいずれかに障害が発生したときに一方の装置がこの検出を失敗してもシステムの系の変更が可能なデータ処理装置、二重化装置、その障害時系切替方法および障害時系切替プログラムを提供することにある。

本発明では、（イ）自装置としての自系の装置で発生する障害の監視を行う自系障害監視手段と、（ロ）この自系障害監視手段の検出した自系の装置の障害を、自系の装置と共に二重化システムを構成する他系の装置に一端を接続する障害監視リンクを通じて通知する自系障害発生時障害通知手段と、（ハ）前記した他系の装置に障害が発生したときこれを前記した障害監視リンクを通じて自系の装置で受信する他系障害発生時障害受信手段と、（ニ）前記した自系障害発生時障害通知手段あるいは前記した他系障害発生時障害受信手段で障害の発生が検出されたとき障害通知割り込みを発生させる障害通知割込発生手段と、（ホ）この障害通知割込発生手段による割り込みがあったとき、これが自系の装置の障害であるか否かを判別する自系障害有無判別手段と、（へ）この自系障害有無判別手段が自系の装置の障害であると判別したとき自系の装置を停止系に推移させる自系障害判別時自系状態変更手段と、（ト）この自系障害判別時自系状態変更手段が自系の装置を停止系に推移させたときこれを停止系推移完了通知として前記した二重化システムを構成する他系の装置に一端を接続する系間リンクを通じて前記した他系の装置に通知する停止系推移完了通知手段と、（チ）前記した自系障害有無判別手段が他系の障害であると判別したとき前記した他系の装置を停止系に推移させるための他系停止系推移処理を行う他系停止系推移処理手段と、（リ）前記した障害通知割込発生手段による障害通知割り込みが発生しない状態で前記した他系の装置から前記した停止系推移完了通知を前記した系間リンクを通じて受信するかを判別する停止系推移完了通知受信待機手段と、（ヌ）この停止系推移完了通知受信待機手段で前記した停止系推移完了通知を受信したとき、あるいは前記した他系停止系推移処理を行った自系の装置が運用系でないときで前記した他系の装置から前記した停止系推移完了通知を受信したとき自系の装置を運用系に推移させる停止系推移完了通知受信時自系状態変更手段と、（ル）この停止系推移完了通知受信時自系状態変更手段で自系の装置が運用系に推移したことを前記した他系の装置に前記した系間リンクを通じて通知する運用系推移完了通知手段と、（ヲ）前記した停止系推移完了通知受信待機手段で前記した停止系推移完了通知を受信していない状態で前記した他系停止系推移処理の実行が求められるかを判別する他系停止系推移処理実行要求有無判別手段と、（ワ）この他系停止系推移処理実行要求有無判別手段で前記した他系停止系推移処理の実行が求められたと判別したとき前記した他系の装置による停止系推移処理が実行されて自系の装置が停止系に推移する停止系推移処理を行う停止系推移処理手段と、（カ）この停止系推移処理手段が自系の装置を停止系に推移させたとき停止系への推移が完了したことを前記した系間リンクを通じて前記した他系の装置に通知する停止系推移完了通知手段とをデータ処理装置が具備する。

また、本発明では、（イ）自系の装置と共に二重化システムを構成する他系の装置に接続する障害監視リンクおよび系間リンクと、（ロ）自装置としての前記した自系の装置で発生する障害の監視を行う自系障害監視手段と、この自系障害監視手段の検出した自装置の障害を、前記した他系の装置に前記した障害監視リンクを通じて通知する自系障害発生時障害通知手段と、前記した他系の装置に障害が発生したときこれを前記した障害監視リンクを通じて受信する他系障害発生時障害受信手段と、前記した自系障害発生時障害通知手段あるいは前記した他系障害発生時障害受信手段で障害の発生が検出されたとき障害通知割り込みを発生させる障害通知割込発生手段と、この障害通知割込発生手段による割り込みがあったとき、これが自装置の障害であるか否かを判別する自系障害有無判別手段と、この自系障害有無判別手段が自装置の障害であると判別したとき自装置を停止系に推移させる自系障害判別時自系状態変更手段と、この自系障害判別時自系状態変更手段が自装置を停止系に推移させたときこれを停止系推移完了通知として前記した系間リンクを通じて前記した他系の装置に通知する停止系推移完了通知手段と、前記した自系障害有無判別手段が他系の障害であると判別したとき前記した他系の装置を停止系に推移させるための他系停止系推移処理を行う他系停止系推移処理手段と、前記した障害通知割込発生手段による障害通知割り込みが発生しない状態で前記した他系の装置から前記した停止系推移完了通知を前記した系間リンクを通じて受信するかを判別する停止系推移完了通知受信待機手段と、この停止系推移完了通知受信待機手段で前記した停止系推移完了通知を受信したとき、あるいは前記した他系停止系推移処理を行った自装置が運用系でないときで前記した他系の装置から前記した停止系推移完了通知を受信したとき自装置を運用系に推移させる停止系推移完了通知受信時自系状態変更手段と、この停止系推移完了通知受信時自系状態変更手段で自装置が運用系に推移したことを前記した他系の装置に前記した系間リンクを通じて通知する運用系推移完了通知手段と、前記した停止系推移完了通知受信待機手段で前記した停止系推移完了通知を受信していない状態で前記した他系停止系推移処理の実行が求められるかを判別する他系停止系推移処理実行要求有無判別手段と、この他系停止系推移処理実行要求有無判別手段で前記した他系停止系推移処理の実行が求められたと判別したとき前記した他系の装置による停止系推移処理が実行されて自装置が停止系に推移する停止系推移処理を行う停止系推移処理手段と、この停止系推移処理手段が自装置を停止系に推移させたとき停止系への推移が完了したことを前記した系間リンクを通じて前記した他系の装置に通知する停止系推移完了通知手段とを具備する第１のデータ処理装置と、（ハ）この第１のデータ処理装置と同一の構成であって、前記した他系の装置を構成する第２のデータ処理装置とを二重化装置が具備する。

更に本発明では、（イ）自装置としての自系の装置で発生する障害の監視を行う自系障害監視ステップと、（ロ）この自系障害監視ステップで検出した自系の装置の障害を、自系の装置と共に二重化システムを構成する他系の装置に一端を接続する障害監視リンクを通じて通知する自系障害発生時障害通知ステップと、（ハ）前記した他系の装置に障害が発生したときこれを前記した障害監視リンクを通じて自系の装置で受信する他系障害発生時障害受信ステップと、（ニ）前記した自系障害発生時障害通知ステップあるいは前記した他系障害発生時障害受信ステップで障害の発生が検出されたとき障害通知割り込みを発生させる障害通知割込発生ステップと、（ホ）この障害通知割込発生ステップによる割り込みがあったとき、これが自系の装置の障害であるか否かを判別する自系障害有無判別ステップと、（へ）この自系障害有無判別ステップが自系の装置の障害であると判別したとき自系の装置を停止系に推移させる自系障害判別時自系状態変更ステップと、（ト）この自系障害判別時自系状態変更ステップで自系の装置を停止系に推移させたときこれを停止系推移完了通知として前記した二重化システムを構成する他系の装置に一端を接続する系間リンクを通じて前記した他系の装置に通知する停止系推移完了通知ステップと、（チ）前記した自系障害有無判別ステップで他系の障害であると判別したとき前記した他系の装置を停止系に推移させるための他系停止系推移処理を行う他系停止系推移処理ステップと、（リ）前記した障害通知割込発生ステップによる障害通知割り込みが発生しない状態で前記した他系の装置から前記した停止系推移完了通知を前記した系間リンクを通じて受信するかを判別する停止系推移完了通知受信待機ステップと、（ヌ）この停止系推移完了通知受信待機ステップで前記した停止系推移完了通知を受信したとき、あるいは前記した他系停止系推移処理を行った自系の装置が運用系でないときで前記した他系の装置から前記した停止系推移完了通知を受信したとき自系の装置を運用系に推移させる停止系推移完了通知受信時自系状態変更ステップと、（ル）この停止系推移完了通知受信時自系状態変更ステップで自系の装置が運用系に推移したことを前記した他系の装置に前記した系間リンクを通じて通知する運用系推移完了通知ステップと、（ヲ）前記した停止系推移完了通知受信待機ステップで前記した停止系推移完了通知を受信していない状態で前記した他系停止系推移処理の実行が求められるかを判別する他系停止系推移処理実行要求有無判別ステップと、（ワ）この他系停止系推移処理実行要求有無判別ステップで前記した他系停止系推移処理の実行が求められたと判別したとき前記した他系の装置による停止系推移処理が実行されて自系の装置が停止系に推移する停止系推移処理を行う停止系推移処理ステップと、（カ）この停止系推移処理ステップが自系の装置を停止系に推移させたとき停止系への推移が完了したことを前記した系間リンクを通じて前記した他系の装置に通知する停止系推移完了通知ステップとを障害時系切替方法が具備する。

更にまた、本発明では、コンピュータに、障害時系切替プログラムとして、（イ）自装置としての自系の装置で発生する障害の監視を行う自系障害監視処理と、（ロ）この自系障害監視処理で検出した自系の装置の障害を、自系の装置と共に二重化システムを構成する他系の装置に一端を接続する障害監視リンクを通じて通知する自系障害発生時障害通知処理と、（ハ）前記した他系の装置に障害が発生したときこれを前記した障害監視リンクを通じて自系の装置で受信する他系障害発生時障害受信処理と、（ニ）前記した自系障害発生時障害通知処理あるいは前記した他系障害発生時障害受信処理で障害の発生が検出されたとき障害通知割り込みを発生させる障害通知割込発生処理と、（ホ）この障害通知割込発生処理による割り込みがあったとき、これが自系の装置の障害であるか否かを判別する自系障害有無判別処理と、（へ）この自系障害有無判別処理が自系の装置の障害であると判別したとき自系の装置を停止系に推移させる自系障害判別時自系状態変更処理と、（ト）この自系障害判別時自系状態変更処理で自系の装置を停止系に推移させたときこれを停止系推移完了通知として前記した二重化システムを構成する他系の装置に一端を接続する系間リンクを通じて前記した他系の装置に通知する停止系推移完了通知処理と、（チ）前記した自系障害有無判別処理で他系の障害であると判別したとき前記した他系の装置を停止系に推移させるための処理を行う他系停止系推移理処理と、（リ）前記した障害通知割込発生処理による障害通知割り込みが発生しない状態で前記した他系の装置から前記した停止系推移完了通知を前記した系間リンクを通じて受信するかを判別する停止系推移完了通知受信待機処理と、（ヌ）この停止系推移完了通知受信待機処理で前記した停止系推移完了通知を受信したとき、あるいは前記した他系停止系推移処理を行った自系の装置が運用系でないときで前記した他系の装置から前記した停止系推移完了通知を受信したとき自系の装置を運用系に推移させる停止系推移完了通知受信時自系状態変更処理と、（ル）この停止系推移完了通知受信時自系状態変更処理で自系の装置が運用系に推移したことを前記した他系の装置に前記した系間リンクを通じて通知する運用系推移完了通知処理と、（ヲ）前記した停止系推移完了通知受信待機処理で前記した停止系推移完了通知を受信していない状態で前記した他系停止系推移処理の実行が求められるかを判別する他系停止系推移処理実行要求有無判別処理と、（ワ）この他系停止系推移処理実行要求有無判別処理で前記した他系停止系推移処理の実行が求められたと判別したとき前記した他系の装置による停止系に推移するための処理が実行されて自系の装置が停止系に推移する処理を行う停止系推移処理と、（カ）この停止系推移処理が自系の装置を停止系に推移させたとき停止系への推移が完了したことを前記した系間リンクを通じて前記した他系の装置に通知する停止系推移完了通知処理とを実行させることを特徴とする。

このように本発明によれば、障害の発生の通知の受信に成功した側の装置が障害が自装置と他装置のいずれの側で発生したかを判断し、発生した側の装置を停止系に推移させるので、両方の装置が共に障害の通知の受信に成功した場合に限定して所定の装置を停止系に推移させるよりも障害系をシステムから迅速かつ確実に切り離すことができる。また、比較的安全な方の装置を運用系として残すことが可能になる。

以下実施例につき本発明を詳細に説明する。

図１は、本発明の一実施例における二重化システムの構成を表わしたものである。この二重化システム１００は、第１の装置１０１と第２の装置１０２の２つの装置を用いて通信システムを二重化したデュプレックスシステムを構成している。ここで第１の装置１０１は運用系となっており、通信路１０３または通信路１０４に接続された第１の切替スイッチ１０５および第２の切替スイッチ１０６が共に第１の装置１０１側に接続されている。第２の装置１０２は、待機系となっている。

第１の装置１０１は第１の切替スイッチ１０５側に第１の入出力部１１１₁₁を配置しており、第２の切替スイッチ１０６側に第１の入出力部１１１₁₂を配置している。第２の装置１０２は第１の切替スイッチ１０５側に第２の入出力部１１１₂₁を配置しており、第２の切替スイッチ１０６側に第２の入出力部１１１₂₂を配置している。

第１の装置１０１は、系の状態を制御する第１の系状態制御部１１２₁を備えており、この内部にはＣＰＵ（Central Processing Unit）１１３₁と、このＣＰＵ１１３₁が実行する制御プログラムを格納したメモリ１１４₁が配置されている。また、第１の装置１０１は、第１の系間通信対応部１１６₁と、自系の障害監視を行う第１の障害監視部１１７₁を備えている。

第２の装置１０２も同様の構成となっている。すなわち、第２の装置１０２は、系の状態を制御する第２の系状態制御部１１２₂を備えており、この内部にはＣＰＵ１１３₂と、このＣＰＵ１１３₂が実行する制御プログラムが格納されたメモリ１１４₂が配置されている。また、第２の装置１０２は、第２の系間通信対応部１１６₂と、自系の障害監視を行う第２の障害監視部１１７₂を備えている。

第１の系間通信対応部１１６₁と第２の系間通信対応部１１６₂は、系間リンク１２１によって接続されている。系間リンク１２１は、第１の系間通信対応部１１６₁と第２の系間通信対応部１１６₂の間で同期シーケンス用の通信を行うために使用される。また、第１の障害監視部１１７₁と第２の障害監視部１１７₂は、障害監視リンク１２２によって接続されている。障害監視リンク１２２は、第１の装置１０１と第２の装置１０２のいずれかに障害が発生したときこれを両系の第１の障害監視部１１７₁と第２の障害監視部１１７₂にハードウェア割り込みによって通知するために使用される。

第１の装置１０１と第２の装置１０２は、系の切り替えに関するデータの共通した記憶領域として装置状態情報格納部１２３を備えている。装置状態情報格納部１２３は、第１の装置領域１２４₁と第２の装置領域１２４₂を備えている。第１の装置１０１は第１の装置領域１２４₁を参照したり、第１の装置領域１２４₁に書き込みができるが、第２の装置領域１２４₂からはデータの参照のみが可能である。同様に、第２の装置１０２は第２の装置領域１２４₂を参照したり、第２の装置領域１２４₂に書き込みができるが、第１の装置領域１２４₁からはデータの参照のみが可能である。装置状態情報格納部１２３に格納されているデータに更新があると、第１の装置領域１２４₁と第２の装置領域１２４₂のいずれに対しても、状態の更新の通知が行われるようになっている。装置状態情報格納部１２３には、たとえば第１の装置１０１と第２の装置１０２がそれぞれ現時点で運用系であるか、待機系であるか、あるいは停止系であるかといった情報が格納されるようになっている。

このような本実施例の二重化システム１００で障害が発生して系の切り替えを行う場合を説明する。本実施例の説明を行う前に、本発明に関連する技術として一般に行われている系の切り替えのためのシーケンスを説明する。

図２は一般に行われている２つの系の切替シーケンスを表わしたものである。この図２に示したように、図１に示した第１の装置１０１に対応する運用系２０１と、第２の装置１０２に対応する待機系２０２が存在するものとする。この図２では、図の上から下方向に時間が経過しているものとする。

ある時刻ｔ₁に運用系２０１に障害２０３が発生したものとする。すると、その後の時刻ｔ₂に、ハードウェアからの運用系障害通知の割り込みが運用系２０１と待機系２０２に対して行われる（ステップＳ３０１）。運用系２０１と待機系２０２がこの障害割り込みを正しく受信したとする。

すると、互いの状態情報を認識して、正常系としての待機系２０２は障害系としての運用系２０１に対して同期動作が可能であるかどうかの問い合わせ（チェック）を行う（ステップＳ３０２）。これに対して運用系２０１から同期動作がＯＫ（肯定）であるという返答が待機系２０２に届いたものとする（ステップＳ３０３）。これを基にして待機系２０２は運用系２０１に対して、停止系に推移するための状態の推移を要求する（ステップＳ３０４）。この要求を運用系２０１が受信すると、自系の状態を変更処理して（ステップＳ３０５）、停止系２０１′に推移し、停止系推移完了通知を待機系２０２に送出することになる（ステップＳ３０６）。

待機系２０２はこの停止系推移完了通知を受信すると、自系の状態を変更処理して（ステップＳ３０７）、待機系２０２から運用系２０２′に推移する。そして、運用系推移完了通知を停止系２０１′に送出することになる（ステップＳ３０８）。以上の処理が終了すると、停止系２０１′がシステムから切り離される。

ところで、図２に示したこのような処理の手順が採られた場合には、ステップＳ３０１で示したようにハードウェアからの運用系障害通知の割り込みが運用系２０１と待機系２０２の双方で成功する必要がある。このような割り込みが運用系２０１と待機系２０２の双方で成功すれば、その後に、待機系２０２側が同期動作チェックを行うことで（ステップＳ３０２）、運用系２０１へ停止系２０１′への推移を要求することができる。

ところが、ハードウェアからの運用系障害通知の割り込みが運用系２０１と待機系２０２のうちの片方のみしか成功しない場合があり得る。この場合には、図２に示した状況とは異なってくる。すなわち、図２に示した本発明に関連する技術で、ある時刻ｔ₁に運用系２０１に障害２０３が発生したにもかかわらず、その後の時刻ｔ₂に、ハードウェアからの運用系障害通知の割り込み２０４を運用系２０１が正しく受信できなかったとする。この場合にはステップＳ３０４で待機系２０２から運用系２０１に対して、停止系に推移するための状態の推移の要求があったとしても、これが正しい要求であるかの判断ができない。待機系２０２に障害（図示せず）が発生してこのような停止系への推移の要求があったとすれば、運用系がステップＳ３０５で自系状態変更処理を行って停止系２０１′に変更してしまうと、運用系がどこにも存在しなくなってしまう恐れがある。

一方、ある時刻ｔ₁に運用系２０１に障害２０３が発生したとき、その後の時刻ｔ₂に、ハードウェアからの運用系障害通知の割り込み２０５を待機系２０２が正しく受信できなかったとする。この場合、待機系２０２はステップＳ３０２の同期動作チェックを開始することができないので、ステップＳ３０７の自系状態変更処理を行うことができず、運用系２０２′に変更することができない。

本実施例では、図２を基にして説明したこのような本発明に関連する技術に存在する問題点を解消している。すなわち、図１に示した本実施例の二重化システム１００は、図２で示したステップＳ３０２〜ステップＳ３０４のプロセスを行わず、障害の通知についての割り込み２０４、２０５を受けた装置（第１の装置１０１あるいは第２の装置１０２）が自系の状態を制御するようにしている。

図３は、本実施例で障害が発生したときの第１の装置と第２の装置のそれぞれの処理の様子を表わしたものである。このような処理は、図１に示した第１または第２の装置１０１、１０２内のＣＰＵ１１３₁、１１３₂が自装置のメモリ１１４₁、メモリ１１４₂に格納された制御プログラムをそれぞれ実行することによって実現する。図１および図２を用いて説明を行う。ただし、図２の運用系２０１は初期的に第１の装置１０１であり、待機系２０２は初期的に第２の装置１０２である。

時刻ｔ₁に運用系の第１の装置１０１あるいは待機系の第２の装置１０２で障害が発生したものとする。第１の装置１０１にとりあえず着目する。図２で説明したように第１の装置１０１は、時刻ｔ₁の障害２０３の発生に基づいて、時刻ｔ₂にハードウェアからの障害通知の割り込み２０４の処理を受ける。第１の装置１０１がこの割り込み２０４を正しく受信できたものとする（ステップＳ４０１：Ｙ）。すると、第１の装置１０１は自系に障害が検出されたかを判別する（ステップＳ４０２）。

この結果、図２に示したように自系である運用系２０１に障害が検出されたものとする（ステップＳ４０２：Ｙ）。この場合、第１の装置１０１は図２のステップＳ３０２〜ステップＳ３０４の処理を行うことなく、直ちに自系状態変更処理（ステップＳ３０５）を行って、運用系から停止系に推移する（ステップＳ４０３）。そして、停止系推移完了通知（ステップＳ３０６）を他系としての第２の装置１０２に送出する（ステップＳ４０４）。ここで停止系推移完了通知とは、たとえばハードウェアのスイッチがオン・オフの状態を現在（たとえばオン）の状態から他方の状態（この例の場合にはオフ）に切り替えるものであってもよい。この例の場合には、スイッチの状態が切り替わったことを第２の装置１０２が検出することで、停止系推移完了通知を受信したことになる。

図４は、運用系の障害を運用系自身が検出したこのような場合の処理を表わしている。時刻ｔ₁に運用系２０１である第１の装置１０１に障害２０３が発生して、時刻ｔ₂にハードウェアからの障害通知の割り込み２０４の処理を受ける。この結果、第１の装置１０１は自系状態変更処理（ステップＳ４０３）を行って、運用系２０１から停止系２０１′に推移する（ステップＳ４０３）。そして、停止系推移完了通知（ステップＳ３０６）を待機系２０２の第２の装置１０２に送出する。図４でこれ以外の部分については後に説明する。

図３に戻って、第１の装置１０１がハードウェアからの障害通知の割り込み２０４処理を受けたものの、自系の障害が検出されなかった場合の処理（ステップＳ４０２：Ｎ）について説明する。この場合には他系に障害が発生している。そこで、この他系を停止系に推移させるための他系停止系推移処理を実行する（ステップＳ４０５）。そして、第１の装置１０１は自系が運用系となっているかを判別する（ステップＳ４０６）。第１の装置１０１は運用系となっている（Ｙ）。また、障害は待機系の方で発生している。したがって、第１の装置１０１は運用系の状態を保持して処理を終了する（エンド）。

図５は、待機系の障害を運用系が検出したこのような場合の処理を表わしている。時刻ｔ₁に待機系である第２の装置１０２に障害２１１が発生する。これを基にして、時刻ｔ₂にハードウェアからの障害通知の割り込み２０４が第１の装置１０１で受信される（ステップＳ４０１：Ｙ）。第１の装置１０１はその後の時刻ｔ₃に第２の装置１０２に対して他系停止系推移処理を実行することになる（ステップＳ４０５）。図５でこれ以外の部分については後に説明する。

図３に戻って、障害が発生したことを受信したものの自系には障害が検出されず、かつ自系は運用系でなかった場合の処理（ステップＳ４０６：Ｎ）について説明する。この場合、運用系に障害が発生している。そこで、停止系推移完了通知の受信を待って（ステップＳ４０７）、受信したら（Ｙ）、自系状態変更処理を行って自系を運用系に推移させる（ステップＳ４０８）。そして、自系が運用系になったことを運用系推移完了通知として他系に送出する（ステップＳ４０９）。このようにして、たとえば運用系であった第１の装置１０１に障害が発生したときには、待機系であった第２の装置１０２が運用系に推移することになる。

図６は、運用系の障害を基に、待機系が運用系に推移する上記のような場合の処理を表わしている。時刻ｔ₁に運用系２０１である第１の装置１０１に障害２０３が発生し、時刻ｔ₂に待機系２０２である第２の装置１０２が障害通知の割り込み２０５を受信し（ステップＳ４０１：Ｙ）、自系に障害がないことを判別する（ステップＳ４０２：Ｎ）。この場合、第２の装置１０２は時刻ｔ₃に第１の装置１０１に対して他系停止系推移処理を実行する（ステップＳ４０５）。そして、第１の装置１０１が運用系２０１から停止系２０１′に推移して、時刻ｔ₄に停止系推移完了通知（ステップＳ３０６）を送ってくる。第２の装置１０２は停止系推移完了通知（ステップＳ３０６）を受信して（ステップＳ４０７：Ｙ）、自系状態変更処理（ステップＳ３０７）を行って運用系２０２′に推移する（ステップＳ４０８）。そして、時刻ｔ₅に運用系推移完了通知（ステップＳ３０８）を他系としての第１の装置１０１に送出することになる（ステップＳ４０９）。

以上、図３で障害通知割り込みを受けた側の装置の動作について説明した。次に、障害が発生したにも係らず、これを運用系と待機系の片方のみが受信するような場合に着目してその説明を行う。ハードウェアからの障害通知割り込みが発生したときで、運用系と待機系の一方がこの割り込みを認識し、他方が認識しないとされる場合は、次の４通りが考えられる。
（ａ）運用系の障害を待機系が認識できない場合（運用系の障害を運用系のみが検出）（図４）
（ｂ）待機系の障害を運用系が認識できない場合（待機系の障害を待機系のみが検出）（図７）
（ｃ）運用系の障害を運用系が認識できない場合（運用系の障害を待機系のみが検出）（図６）
（ｄ）待機系の障害を待機系が認識できない場合（待機系の障害を運用系のみが検出）（図５）

本実施例では、図２で説明した例と異なり、一方の系のみが障害通知の割り込みを正しく受信した場合であっても、系を適正に推移させることができる。なお、待機系の障害を運用系が認識できない場合の例としての図７は、後に説明する。

図３では、このように障害通知の割り込みを受信できなかった装置が適切な系に推移できるように、障害通知割り込みが行われなかった場合の処理についても定めている。まず第１として、図４に示したように自系（この例では待機系１０２）が障害通知割り込みに失敗した場合で（ステップＳ４０１：Ｎ）、時刻ｔ₄に停止系推移完了通知を他系が送ってきた場合（ステップＳ４１０：Ｙ）を説明する。この場合、その他系がその系の障害２０３によって運用系から停止系に推移しているので（ステップＳ４０３、ステップＳ４０４参照）、待機系１０２は自系状態変更処理（ステップＳ３０７）を行って、自系を運用系２０２′に推移させる処理を行う。

すなわち、図４の第２の装置１０２が時刻ｔ₂のハードウェアからの運用系の障害通知を受け取れなかった例では、停止系推移完了通知を第１の装置１０１から時刻ｔ₄に受信することで、第２の装置１０２は自系状態変更処理（ステップＳ３０７）を行って、運用系２０２′に推移することができる（ステップＳ４０８）。そして、時刻ｔ₅に、運用系推移完了通知（ステップＳ３０８）を停止系となった第１の装置１０１に送出して（ステップＳ４０９）、系の変更に伴う処理を終了させることになる（エンド）。

次に、障害通知割り込みを処理できない状態で（ステップＳ４０１：Ｎ）、他系停止推移処理の実行が求められた場合には（ステップＳ４１０：Ｎ、ステップＳ４１１：Ｙ）、他系による停止系推移処理が実行されて自系が停止系に推移する処理（ステップＳ４１２）と、停止系推移完了通知（ステップＳ４１３）が実行される。

これを、図５に示した例で説明する。この例では、待機系２０２としての第２の装置１０２が障害２１１の発生に対する時刻ｔ₂の割り込み処理に失敗する（ステップＳ４０１：Ｎ）。しかしながら、この例では運用系２０１としての第１の装置１０１が時刻ｔ₂に割り込み２０４を行う（ステップＳ４０１：Ｙ）。第１の装置１０１は自系に障害が検出されないので（ステップＳ４０２：Ｎ）、時刻ｔ₃に第２の装置１０２に対して他系停止系推移処理を実行することになる（ステップＳ４０５）。

したがって、第２の装置１０２ではこの時刻ｔ₃に他系停止推移処理が実行されることになり（ステップＳ４１１：Ｙ）、自系の障害発生を結果的に判別することになる。そこで、第２の装置１０２は他系停止系推移処理によって停止系２０２′′に推移する（ステップＳ４０５）。そして、その後の時刻ｔ₄に停止系推移完了通知（ステップＳ３０６）を第１の装置１０１に送出して（ステップＳ４１３）、系の変更に伴う処理を終了させる（エンド）。

最後に、図７に示した待機系の障害を運用系が認識できない場合の動作を図３と共に説明する。この例では、時刻ｔ₁に待機系２０２である第２の装置１０２に障害２１１が発生して、時刻ｔ₂にハードウェアからの障害通知の割り込み２０５の処理を第２の装置１０２のみが受けとっている。

まず、待機系２０２としての第２の装置１０２側に着目した処理を説明する。第２の装置１０２は時刻ｔ₂にハードウェアからの障害通知の割り込み２０５の処理を受信する（ステップＳ４０１：Ｙ）。この例で、第２の装置１０２は自系に障害を検出する（ステップＳ４０２：Ｙ）。そこで、第２の装置１０２は図２のステップＳ３０２〜ステップＳ３０４の処理を行うことなく、直ちに自系状態変更処理を行って（ステップＳ４０３）、待機２０２系から停止系２０２′′に推移する。そして、時刻ｔ₄に停止系推移完了通知（ステップＳ３０６）を他系としての第２の装置１０２に送出することになる（ステップＳ４０４）。

次に、この図７で運用系２０１としての第１の装置１０１側に着目した処理を説明する。第１の装置１０１は時刻ｔ₂にハードウェアからの障害通知の割り込み処理を受信することができない（ステップＳ４０１：Ｎ）。したがって、当面の間は第２の装置１０２側の障害発生の事実を知らない。しかしながら、第２の装置１０２が自装置の処理で待機系２０２から停止系２０２′′に推移して、時刻ｔ₄に停止系推移完了通知が第１の装置１０１に送られてくる。したがって、この時点で運用系２０１としての第１の装置１０１は第２の装置１０２が停止系２０２′′に推移したことを知ることができる。

以上説明したように本実施例によれば、障害箇所によりシーケンス同期が取れないような場合でも、正常な系を運用系としてサービスの続行ができるという効果がある。また、障害箇所により両系の認識する装置状態に不一致が発生した場合でも、正常な系を運用系としてサービスの続行ができるという効果がある。更に、障害箇所のために障害系が自身の障害を認識できない場合でも、これを危険な系として正しくシステムから切り離すことができるという効果がある。更にまた、強制的な系切替に伴う状態変更通知により、両系が正しく状態を認識できる機会が増えるという効果もある。

なお、以上説明した実施例では、装置状態情報格納部１２３を第１の装置１０１と第２の装置１０２の双方に接続された装置のように示したが、第１の装置領域１２４₁および第２の装置領域１２４₂がそれぞれの装置１０１、１０２の運用系、待機系等の現状を反映させ、かつそれぞれの書き込みや読み出しが制限の範囲で可能であれば、どのような回路構成をとってもよいことは当然である。

本発明の一実施例における二重化装置の構成を表わしたブロック図である。一般に行われている２つの系の切替シーケンスを示した説明図である。本実施例で各装置の切替制御の処理内容を示した流れ図である。本実施例で運用系の障害を待機系が認識できない場合の切替シーケンスを示した説明図である。本実施例で待機系の障害を待機系が認識できない場合の切替シーケンスを示した説明図である。本実施例で運用系の障害を運用系が認識できない場合の切替シーケンスを示した説明図である。本実施例で待機系の障害を待機系が認識できない場合の切替シーケンスを示した説明図である。

符号の説明

１０１第１の装置
１０２第２の装置
１０５第１の切替スイッチ
１０６第２の切替スイッチ
１１２₁ 第１の系状態制御部
１１２₂ 第２の系状態制御部
１１３₁、１１３₂ ＣＰＵ
１１７₁ 第１の障害監視部
１１７₂ 第２の障害監視部
１２２障害監視リンク
１２３装置状態情報格納部
１２４₁ 第１の装置領域
１２４₂ 第２の装置領域

Claims

自装置としての自系の装置で発生する障害の監視を行う自系障害監視手段と、
この自系障害監視手段の検出した自系の装置の障害を、自系の装置と共に二重化システムを構成する他系の装置に一端を接続する障害監視リンクを通じて通知する自系障害発生時障害通知手段と、
前記他系の装置に障害が発生したときこれを前記障害監視リンクを通じて自系の装置で受信する他系障害発生時障害受信手段と、
前記自系障害発生時障害通知手段あるいは前記他系障害発生時障害受信手段で障害の発生が検出されたとき障害通知割り込みを発生させる障害通知割込発生手段と、
この障害通知割込発生手段による割り込みがあったとき、これが自系の装置の障害であるか否かを判別する自系障害有無判別手段と、
この自系障害有無判別手段が自系の装置の障害であると判別したとき自系の装置を停止系に推移させる自系障害判別時自系状態変更手段と、
この自系障害判別時自系状態変更手段が自系の装置を停止系に推移させたときこれを停止系推移完了通知として前記二重化システムを構成する他系の装置に一端を接続する系間リンクを通じて前記他系の装置に通知する停止系推移完了通知手段と、
前記自系障害有無判別手段が他系の障害であると判別したとき前記他系の装置を停止系に推移させるための他系停止系推移処理を行う他系停止系推移処理手段と、
前記障害通知割込発生手段による障害通知割り込みが発生しない状態で前記他系の装置から前記停止系推移完了通知を前記系間リンクを通じて受信するかを判別する停止系推移完了通知受信待機手段と、
この停止系推移完了通知受信待機手段で前記停止系推移完了通知を受信したとき、あるいは前記他系停止系推移処理を行った自系の装置が運用系でないときで前記他系の装置から前記停止系推移完了通知を受信したとき自系の装置を運用系に推移させる停止系推移完了通知受信時自系状態変更手段と、
この停止系推移完了通知受信時自系状態変更手段で自系の装置が運用系に推移したことを前記他系の装置に前記系間リンクを通じて通知する運用系推移完了通知手段と、
前記停止系推移完了通知受信待機手段で前記停止系推移完了通知を受信していない状態で前記他系停止系推移処理の実行が求められるかを判別する他系停止系推移処理実行要求有無判別手段と、
この他系停止系推移処理実行要求有無判別手段で前記他系停止系推移処理の実行が求められたと判別したとき前記他系の装置による停止系推移処理が実行されて自系の装置が停止系に推移する停止系推移処理を行う停止系推移処理手段と、
この停止系推移処理手段が自系の装置を停止系に推移させたとき停止系への推移が完了したことを前記系間リンクを通じて前記他系の装置に通知する停止系推移完了通知手段
とを具備することを特徴とするデータ処理装置。
自系の装置と共に二重化システムを構成する他系の装置に接続する障害監視リンクおよび系間リンクと、
自装置としての前記自系の装置で発生する障害の監視を行う自系障害監視手段と、この自系障害監視手段の検出した自装置の障害を、前記他系の装置に前記障害監視リンクを通じて通知する自系障害発生時障害通知手段と、前記他系の装置に障害が発生したときこれを前記障害監視リンクを通じて受信する他系障害発生時障害受信手段と、前記自系障害発生時障害通知手段あるいは前記他系障害発生時障害受信手段で障害の発生が検出されたとき障害通知割り込みを発生させる障害通知割込発生手段と、この障害通知割込発生手段による割り込みがあったとき、これが自装置の障害であるか否かを判別する自系障害有無判別手段と、この自系障害有無判別手段が自装置の障害であると判別したとき自装置を停止系に推移させる自系障害判別時自系状態変更手段と、この自系障害判別時自系状態変更手段が自装置を停止系に推移させたときこれを停止系推移完了通知として前記系間リンクを通じて前記他系の装置に通知する停止系推移完了通知手段と、前記自系障害有無判別手段が他系の障害であると判別したとき前記他系の装置を停止系に推移させるための他系停止系推移処理を行う他系停止系推移処理手段と、前記障害通知割込発生手段による障害通知割り込みが発生しない状態で前記他系の装置から前記停止系推移完了通知を前記系間リンクを通じて受信するかを判別する停止系推移完了通知受信待機手段と、この停止系推移完了通知受信待機手段で前記停止系推移完了通知を受信したとき、あるいは前記他系停止系推移処理を行った自装置が運用系でないときで前記他系の装置から前記停止系推移完了通知を受信したとき自装置を運用系に推移させる停止系推移完了通知受信時自系状態変更手段と、この停止系推移完了通知受信時自系状態変更手段で自装置が運用系に推移したことを前記他系の装置に前記系間リンクを通じて通知する運用系推移完了通知手段と、前記停止系推移完了通知受信待機手段で前記停止系推移完了通知を受信していない状態で前記他系停止系推移処理の実行が求められるかを判別する他系停止系推移処理実行要求有無判別手段と、この他系停止系推移処理実行要求有無判別手段で前記他系停止系推移処理の実行が求められたと判別したとき前記他系の装置による停止系推移処理が実行されて自装置が停止系に推移する停止系推移処理を行う停止系推移処理手段と、この停止系推移処理手段が自装置を停止系に推移させたとき停止系への推移が完了したことを前記系間リンクを通じて前記他系の装置に通知する停止系推移完了通知手段とを具備する第１のデータ処理装置と、
この第１のデータ処理装置と同一の構成であって、前記他系の装置を構成する第２のデータ処理装置
とを具備することを特徴とする二重化装置。
自装置としての自系の装置で発生する障害の監視を行う自系障害監視ステップと、
この自系障害監視ステップで検出した自系の装置の障害を、自系の装置と共に二重化システムを構成する他系の装置に一端を接続する障害監視リンクを通じて通知する自系障害発生時障害通知ステップと、
前記他系の装置に障害が発生したときこれを前記障害監視リンクを通じて自系の装置で受信する他系障害発生時障害受信ステップと、
前記自系障害発生時障害通知ステップあるいは前記他系障害発生時障害受信ステップで障害の発生が検出されたとき障害通知割り込みを発生させる障害通知割込発生ステップと、
この障害通知割込発生ステップによる割り込みがあったとき、これが自系の装置の障害であるか否かを判別する自系障害有無判別ステップと、
この自系障害有無判別ステップが自系の装置の障害であると判別したとき自系の装置を停止系に推移させる自系障害判別時自系状態変更ステップと、
この自系障害判別時自系状態変更ステップで自系の装置を停止系に推移させたときこれを停止系推移完了通知として前記二重化システムを構成する他系の装置に一端を接続する系間リンクを通じて前記他系の装置に通知する停止系推移完了通知ステップと、
前記自系障害有無判別ステップで他系の障害であると判別したとき前記他系の装置を停止系に推移させるための他系停止系推移処理を行う他系停止系推移処理ステップと、
前記障害通知割込発生ステップによる障害通知割り込みが発生しない状態で前記他系の装置から前記停止系推移完了通知を前記系間リンクを通じて受信するかを判別する停止系推移完了通知受信待機ステップと、
この停止系推移完了通知受信待機ステップで前記停止系推移完了通知を受信したとき、あるいは前記他系停止系推移処理を行った自系の装置が運用系でないときで前記他系の装置から前記停止系推移完了通知を受信したとき自系の装置を運用系に推移させる停止系推移完了通知受信時自系状態変更ステップと、
この停止系推移完了通知受信時自系状態変更ステップで自系の装置が運用系に推移したことを前記他系の装置に前記系間リンクを通じて通知する運用系推移完了通知ステップと、
前記停止系推移完了通知受信待機ステップで前記停止系推移完了通知を受信していない状態で前記他系停止系推移処理の実行が求められるかを判別する他系停止系推移処理実行要求有無判別ステップと、
この他系停止系推移処理実行要求有無判別ステップで前記他系停止系推移処理の実行が求められたと判別したとき前記他系の装置による停止系推移処理が実行されて自系の装置が停止系に推移する停止系推移処理を行う停止系推移処理ステップと、
この停止系推移処理ステップが自系の装置を停止系に推移させたとき停止系への推移が完了したことを前記系間リンクを通じて前記他系の装置に通知する停止系推移完了通知ステップ
とを具備することを特徴とする障害時系切替方法。
コンピュータに、
自装置としての自系の装置で発生する障害の監視を行う自系障害監視処理と、
この自系障害監視処理で検出した自系の装置の障害を、自系の装置と共に二重化システムを構成する他系の装置に一端を接続する障害監視リンクを通じて通知する自系障害発生時障害通知処理と、
前記他系の装置に障害が発生したときこれを前記障害監視リンクを通じて自系の装置で受信する他系障害発生時障害受信処理と、
前記自系障害発生時障害通知処理あるいは前記他系障害発生時障害受信処理で障害の発生が検出されたとき障害通知割り込みを発生させる障害通知割込発生処理と、
この障害通知割込発生処理による割り込みがあったとき、これが自系の装置の障害であるか否かを判別する自系障害有無判別処理と、
この自系障害有無判別処理が自系の装置の障害であると判別したとき自系の装置を停止系に推移させる自系障害判別時自系状態変更処理と、
この自系障害判別時自系状態変更処理で自系の装置を停止系に推移させたときこれを停止系推移完了通知として前記二重化システムを構成する他系の装置に一端を接続する系間リンクを通じて前記他系の装置に通知する停止系推移完了通知処理と、
前記自系障害有無判別処理で他系の障害であると判別したとき前記他系の装置を停止系に推移させるための処理を行う他系停止系推移処理と、
前記障害通知割込発生処理による障害通知割り込みが発生しない状態で前記他系の装置から前記停止系推移完了通知を前記系間リンクを通じて受信するかを判別する停止系推移完了通知受信待機処理と、
この停止系推移完了通知受信待機処理で前記停止系推移完了通知を受信したとき、あるいは前記他系停止系推移処理を行った自系の装置が運用系でないときで前記他系の装置から前記停止系推移完了通知を受信したとき自系の装置を運用系に推移させる停止系推移完了通知受信時自系状態変更処理と、
この停止系推移完了通知受信時自系状態変更処理で自系の装置が運用系に推移したことを前記他系の装置に前記系間リンクを通じて通知する運用系推移完了通知処理と、
前記停止系推移完了通知受信待機処理で前記停止系推移完了通知を受信していない状態で前記他系停止系推移処理の実行が求められるかを判別する他系停止系推移処理実行要求有無判別処理と、
この他系停止系推移処理実行要求有無判別処理で前記他系停止系推移処理の実行が求められたと判別したとき前記他系の装置による停止系に推移するための処理が実行されて自系の装置が停止系に推移する処理を行う停止系推移処理と、
この停止系推移処理が自系の装置を停止系に推移させたとき停止系への推移が完了したことを前記系間リンクを通じて前記他系の装置に通知する停止系推移完了通知処理
とを実行させることを特徴とする障害時系切替プログラム。