JP5286135B2 - コンピュータ機能の災害対応移行システムと方法、同方法を実行させるコンピュータプログラムおよび同コンピュータプログラムを格納した記憶媒体 - Google Patents

Description

本発明は、災害時のコンピュータの機能維持に関するものであり、特に、災害が発生した場合に、災害の影響を受けるコンピュータが有する機能の少なくとも一部を災害の影響を実質的に受けない他のコンピュータに移転させることによって機能を維持するシステム、方法等に関するものである。

業務に使用されるコンピュータは、インターネット、ＬＡＮ、ＷＡＮ等のネットワークを介して複数が相互にデータを送受信可能な状態に接続されることが多い。また、サーバ、大容量記憶装置等を装備してクライアント・コンピュータまたはローカル・サーバから受信した情報を処理し、格納するいわゆるデータセンターが各拠点に設置されることが多い。

上記のデータセンターの機能とデータを保護するために、データセンターの建物の耐震性を向上させたり免震工法を採用するなどの対策が可能であるが、その場合においてもなお大地震からの震源距離が近い場合など、データセンターが何らかの機能障害を受けることが考えられる。一方、下記の気象庁が配信する緊急地震速報を受信することによって地震の発生をいち早く知ることができるほか、煙感知器や漏水検知器等必要な検出装置を配置することによって、火災、漏水等の災害がデータセンターの機能に及ぶ前に把握することができるのが一般的である。

地震が発生した際には、地震波が到達する前に対策を講じることで重要なデバイスを保護する考え方があり、そのために気象庁は地震発生後速やかに緊急地震速報を送信することが行われている。

緊急地震速報を利用してデバイスあるいは人命を保護するための試みとしては、特開２００８−６３０６６号公報（特許文献１）に記載されたものがある。同公報に記載された発明は、緊急地震速報を受信した時点から、地震波の到達までの余裕時間を算出して、余裕時間に応じて優先順位の高いより安全な階床への移動を行うエレベータの地震時管制運転装置に関するものである。同発明のシステムは、エレベータの運転を制御するエレベータ制御装置と、緊急地震速報を受信する地震情報受信手段とを備え、地震情報受信手段が緊急地震速報を受信した時、緊急地震速報受信から地震波が到達するまでの余裕時間を算出し、ビル仕様に応じてあらかじめ設定されている避難階の優先順位に基づいて、余裕時間と各避難階への走行時間とから避難階を決定し、優先順位の高いより安全な階床への管制運転を行うものである。

上記の発明は、地震波の到着前にエレベータをどの階で停止させるべきかという判断に基づくエレベータの管制方法であるが、データセンターの機能を如何に維持するかに関するものではなく、事象に応じて種類の異なる制御対象デバイスに優先順位をつけて管理を実行する技術思想は存在しない。

特開２００８−２１０７９号公報（特許文献２）は、地震の主要動が到達する前に、ユーザが端末装置において編集中のファイルを自動的に保存してファイルを保護するファイル保護システムに関するものである。当該発明によれば、地震情報配信サーバは、気象庁の緊急地震速報配信サーバから配信される緊急地震速報を受信して、管轄する１または複数のコンピュータネットワークシステムが存在する対象地域について、少なくともそれぞれの対象地域に係る震度予測値および主要動到達予測時刻を算出し、これらを含む地震情報を通信ネットワークを介して同報通信する。クライアント端末は、地震情報配信サーバと、通信ネットワークを介して地震情報配信サーバに接続されて、地震情報が同報通信されると、編集中のファイルを自動的に保存する。

上記の発明は、地震動の到達前にファイルを自動保存することによってデータあるいは情報を保護するものであるが、当該地震によって当該ファイルを有するコンピュータが破損された場合にはやはりコンピュータの機能が損なわれる問題があるために、一層の対策が必要である。

特開２００８−６３０６６号公報 特開２００８−２１０７９号公報

本発明は、従来の方法が有する上記のような課題を克服することを目的になされたもので、災害の発生が知られた場合に、災害による影響を受ける惧れのあるコンピュータの機能とデータを他のコンピュータに移転させることで、災害の発生にもかかわらず必要な機能の維持を図るシステムと方法等に関するものである。

上記の課題を解決するために、本発明は、相互にデータ送受信可能に接続された複数のコンピュータを包含するシステムであって、
前記複数のコンピュータのうちの１つが災害情報を受信すると、当該コンピュータが有する機能の少なくとも一部を当該災害の影響を実質的に受けない他のコンピュータに移転させるコンピュータ機能の災害対応移行システムを提案する。

本発明において相互にデータ送受信可能とは、手段の如何を問わずデータを送信することができ、および／または、受信することができることをいい、ここでデータはデジタル値として表現できるもの全てをさすので、デジタル表現が可能で有る限りいわゆるデータに限定されずソフトウェア、命令、信号等を含む。データ送受信可能な接続は、有線・無線を問わず、インターネット、ＬＡＮ、ＷＡＮ、電話回線等を含む。本発明においてコンピュータは、サーバ、クライアント、データ装置、メインフレームを含み、名称を問わず、情報処理装置を指す意味で用いる。

複数のコンピュータのうちの１つが災害情報を受信するとは、複数のコンピュータが災害情報を受信する場合を含む意味で用いる。災害情報とは、地震、台風等のいわゆる自然災害に関する情報を含むがこれらに限定されず、コンピュータに障害を生じさせる可能性のある事象を広く含む意味であり、火災、漏水、停電、突風、温度の異常上昇または低下、冷却装置等関連機器の動作異常、不法侵入、機器損壊などの人為的な事象をも含む意味で用いる。

コンピュータが有する機能とは、例えば仮想マシン（ＶＭ）、仮想化環境におけるゲストＯＳ、管理ＯＳ、仮想レイヤ、ホストＯＳ、ＯＳインスタンス、メモリー、ソフトウェア等の各機能を含む意味で用いる。前記機能の典型的な例は、仮想マシンまたは仮想ＯＳである。仮想化の実現にはゲストＯＳとアプリを一体で扱う仮想マシン（ＶＭＭ）の方式と、仮想ＯＳは一つで（同じ仮想ＯＳで）幾つかの仮想アプリケーション環境が動く方式があるが、本明細書で仮想マシン（ＶＭ）あるいは仮想化環境と言う場合は両者を含む。災害の影響を実質的に受けない他のコンピュータは、移転を行うコンピュータが所属するデータセンターとは異なるデータセンターに存在するものであっても良いが、事象によっては同一のデータセンターに所属するコンピュータであっても良い。災害の影響を実質的に受けないとは、地震による振動が有っても、コンピュータが機能を喪失するほどでは無い場合などを含む。移転とは、仮想マシン、仮想化環境におけるゲストＯＳ等のコピーを作成することをいうが、移転元と同じ機能を維持できる限り、これらが完全なコピーである必要は無い。

前記災害情報は、緊急地震速報、火災情報、漏水情報、異常温度情報、一部機能の動作異常情報、不法侵入情報などである。緊急地震情報は、地震発生直後に気象庁のサーバから各サーバに対して地震の規模、発生時刻、地震動到達予想時刻、予想震度などと共に通知されるもので、各サーバの設置位置における地震動到達予想時刻と地震動の強さの予想が可能になる。火災情報に関しては、例えば、建物内の各所に煙感知装置などを設置して、煙の感知によって火災の発生を検出し、同時に煙感知位置からサーバまでの距離に基づいて火災がサーバに到達する時刻を予想することができる。

本発明の１つの実施例に基づけば、前記複数のコンピュータ各々が、移転先の優先度を規定したセンターポリシーと、機能別の移転優先度を規定した移転ポリシーを有し、
災害情報を受信すると、前記、センターポリシーと移転ポリシーに基づいて移転を行うことができる。

前記移転先の優先度を規定したセンターポリシーとは、データ転送速度、地理的関係、空き記憶容量の大きさなどを考慮して、災害発生の際にどのデータセンターに機能を移転させるべきかを定めた順位表（例えば、関東のデータセンターは、関西、東北、九州の順で各データセンターに移転を行わせる等）のようなものである。前記移転ポリシーは、ＶＭの移転順序等を予め定めた順位表のようなものである。

前記移転の開始前に、移転のために要する時間および災害の影響を受けるまでの時間を考慮して移転すべき前記機能を決定することもできる。緊急地震速報に基づく移転のような場合、移転を完了すべき時間が非常に短いので、時間内に移転を完了することのできない機能は後回しにして、時間内の移転が可能な機能あるいはＶＭの中から優先度にしたがって移転させるのが好ましい。

移転の開始前に移転先の空き容量の大きさを確認し、機能を移転させるために十分な容量があることを確認した後に移転を行わせることもできるが、移転の開始後に、前記他のコンピュータの記憶容量が一杯になった場合には、残部をさらに他のコンピュータに移転させるようにしてもよい。この場合、移転の開始前あるいは開始後に、他のコンピュータから、空き容量が不十分である旨のメッセージを受ければ、移転もとのコンピュータは他のコンピュータに対して移転の可能性を打診することができる。移転は、複数のコンピュータに対して並行に行われるものであっても良い。

本発明はまた、相互にデータの送受信可能に接続された複数のコンピュータを包含するシステムを前提としたシステムの災害対応移行方法であって、
前記複数のコンピュータのうちの１つが災害情報を受信すると、当該コンピュータが有する機能の少なくとも一部を当該災害の影響を実質的に受けない他のコンピュータに移転させる災害対応移行方法を開示する。

本発明はまた、相互にデータの送受信可能に接続された複数のコンピュータに対して、上記の方法を実行させるためのコンピュータプログラム、および当該コンピュータプログラムを格納した、コンピュータによって読み取り可能な記憶媒体を開示する。

本発明の実施例に基づく、コンピュータ機能の災害対応移行システムの基本構成を示す概念図 本発明の実施例に基づく、各データセンターの連携状態を示す概念図 本発明の実施例に基づく、ＶＭ管理サーバの構成を示す概念図 本発明の実施例に基づく、地震速報に基づく移転の状態を示す概念図 本発明の実施例に基づく、移転先の中途変更を示す概念図 本発明の実施例に基づく、ハイパーバイザ上の仮想マシン（ＶＭ）の移転の様子を示す概念図

以下に、実施例に基づいて本発明について詳細に説明するが、実施例は本発明の理解を助けるために記載するものであって、本発明を記載された実施例に限定する趣旨で無いことは自明である。

図１は、本発明の実施例に基づく、コンピュータ機能の災害対応移行システムの基本構成を示す概念図である。データセンターに設けられたＶＭ（仮想マシン）サーバ１００は、重要度別ＶＭサーバ別ＶＭ情報１１０、他センターＶＭサーバ情報１２０、ＶＭサーバ別キャパシティ情報１３０を有しており、他センターＶＭ制御サーバ３００および気象庁の緊急地震速報配信サーバ２００とインターネットあるいは専用回線等を介して接続されている。また、ＶＭ制御サーバ１００は、インターネット４００を介して、他のデータセンターに設けられたＶＭサーバ１（５００）、ＶＭサーバ２（６００）と接続されており、これらのＶＭサーバはまたそれぞれ他センターＶＭサーバ３１０、３２０と接続されている。ＶＭサーバ１（５００）とＶＭサーバ２（６００）が、それぞれＶＭ情報５１０、６１０を有することは、前記ＶＭ制御サーバ１００と同様である。

上記の構成において、地震時の移転が行われる順序を以下に記載する。
１）気象庁からの緊急地震速報受信
気象庁の緊急地震速報配信サーバ２００から緊急地震速報を受信したＶＭ制御サーバ１００は、当該ＶＭ制御サーバ１００が設置された地点および他のデータセンターへの地震動の到達予測時刻、予想震度を計算する。表１にその結果を例示する。この時、ＶＭ制御サーバ１００が設置された地点の予想震度に応じて移転の優先順位をつけるのが好ましい。

２）他データセンターへの移転が可能なＶＭサーバ名、ＶＭ名の取得
ＶＭ制御サーバ１００は、移転すべきＶＭサーバ（機能）の順序と、地震波到達までの時間内に移転を完了することができるＶＭサーバ等から、実際に移転すべきＶＭサーバ（機能）とその順序を決定する。表２はその際考慮するＶＭ情報１１０の例である。ランクはＶＭサーバのＣＰＵ性能等を現すものでありＳ，Ｌ，Ｍ，Ｎの順に良いとする。

３）移転受け入れ容量の確認
ＶＭ制御サーバは相互に定期的に空き容量情報を交換しており、各ＶＭ制御サーバは常に最新の空き容量情報を有している構成であっても良いし、移転が必要になった際に他のデータセンターに設置されたＶＭサーバの空き容量を確認する構成であっても良い。あるいは、他のＶＭサーバの空き容量を確認せずに、ともかく送信を開始する構成であっても良い。下の表３は、移転先として考えられる東北および関西の各データセンターにおけるサーバの要領を例示したものである。

４）移転の実行
関東Ａデータセンター（ＤＣ）では、ＶＭ制御サーバ２のＶＭ１は、データサイズが８ＧＢであるが、時間内に移転可能で、空き容量１０ＧＢを有する東北ＤＣのＶＭサーバ２に収容することができる、関東ＡデータセンターのＶＭサーバ１のＶＭ３はデータサイズが大きすぎるために地震動が到来するまでの４０秒間に移転を完了することができないので、移転を断念する。ただし、時間内にＶＭサーバ中の複数のＶＭマシンの内で、時間内に移転が可能なＶＭマシンだけを移転を行うことを選択することもできる。
ただし、時間内に可能な部分だけでも移転を行うことを選択することもできる。時間内に通信回線の送信容量を考慮し、各センタに分割して全部を移転する選択をすることもできる。関東ＡデータセンターのＶＭサーバ３のＶＭ１は、移転時間データサイズ共に関西ＤＣのＶＭサーバ１に収容可能である。そこで、これらのＶＭ制御サーバは、上記の対象に対して移転を開始する。

図２は、各データセンターがデータの送受信可能な状態に接続された様子を示す概念図である。関東Ａデータセンター等の各データセンターは、インターネットあるいは専用回線等を通じて他のデータセンターと接続されており、各データセンターは図示されたように、それぞれのサーバの記憶容量を記載したキャパシティ定義ファイル３３、４３を有する。

図３は、地震速報システム２００からの情報に基づいて、関東地方の２つのデータセンター（関東ＡｉＤＣ１０と関東ＢｉＤＣ２０）が機能あるいはＶＭの移転を決定した際の流れを図示した概念図である。前記と同様の手順に従って関東ＡｉＤＣ１０のＶＭ制御サーバ１００はセンターポリシー１０２（どのセンター又はサーバに移転すべきかの順序を定めた順位表）とＶＭ移転ポリシー１０４（移転の優先度を定めた順位表）および他のデータセンターの空き情報等を参照した結果西日本ｉＤＣ３０へのＶＭ移転を開始する。同様に、関東ＢｉＤＣ２０では東北ｉＤＣ４０への移転を開始する。

図４は、関東ＡｉＤＣ１０が西日本ｉＤＣ３０にＶＭの移転を行っていた際に、途中で記憶装置の空き容量がなくなってしまった場合の処理を示す概念図である。西日本ｉＤＣ３０のＶＭ制御サーバ６００から空き容量が不足する旨の警告をパケットで受けた関東ｉＤＣ１０のＶＭ制御サーバ１００は、東北ｉＤＣ４０のＶＭ制御サーバに移転の可能性を打診するが、東北ｉＤＣ４０は関東ＢｉＤＣからのＶＭ移転を受信中なので移転を受け入れることができない。関東ＡｉＤＣ１０は、次に九州ｉＤＣ５０に対して移転の受け入れを打診し、受諾されたので、西日本ｉＤＣ３０に移転し切れなかったＶＭを九州ｉＤＣ５０のＶＭ制御サーバに移転させる。

図５は、関東ＡｉＤＣ１０から、西日本ｉＤＣ３０と九州ｉＤＣ５０への移転を並行に行っている様子を図示した概念図である。前述のように移転先である西日本ｉＤＣ３０のデータセンターの容量が一杯になることが明らかになった場合、西日本ｉＤＣ３０の要領が実際にいっぱいになってから次の九州ｉＤＣ５０への移転を行っても良いが、両者を並行に行っても良い。

図６は、関東ＡｉＤＣ１０から関東ＢｉＤＣ２０へのＶＭの移転を行う場合を例に仮想化されたデータ構造を示したものである。関東ＡｉＤＣの制御サーバ１００が有する記憶手段１４０上には、ハイパーバイザ１５０が構築されており、その上に複数の仮想マシン（ＶＭ）１６２、１６４、１６６、１６８が構成されている。一方、関東ＢｉＤＣ２０に設けられたＶＭ制御サーバ上にも同様にハイパーバイザ２５０、仮想マシン（ＶＭ）２７２、２７４、２７６が構成されている。この状態で、ＶＭ制御サーバ１００上の仮想マシン１６２を関東ＢｉＤＣに移転させるには、既に構築されているハイパーバイザ２５０上に、実質的に仮想マシン１６２のコピーである仮想マシン２６２を構成する。

以上、地震時の移転を例にとって記載したように、仮想マシン（ＶＭ）あるいはコンピュータが有する機能を他のコンピュータに移転することで、外部に対しては所定の機能を継続することができる。上述の記載は、地震時を例にとったが、地震以外であっても、コンピュータの機能に損傷を与ええる災害の発生が感知された際に、上記と同様の手順によってコンピュータの有する機能を他のコンピュータに移転させることによって、その機能を維持することができることは明らかである。

１０、２０、３０、４０、５０ 各データセンター
３３、４３、１０３ キャパシティ定義ファイル
１００、３１０、３２０、５００、６００ ＶＭ（仮想マシン）制御サーバ
１０２、５０２ センターポリシー
１０４ ＶＭ移転ポリシー
１１０、５１０、６１０ 重要度別、ＶＭサーバ別、ＶＭ情報
１２０ 他センターのＶＭサーバ情報
１３０ ＶＭサーバ別キャパシティ情報
１４０、２４０ 記憶媒体
１５０、２５０ ハイパーバイザ
１６２、１６４、１６６、１６８ 仮想マシン（ＶＭ−関東Ａ ｉＤＣ）
２６２、２７２、２７４、２７６ 仮想マシン（ＶＭ−関東Ｂ ｉＤＣ）
２００ 気象庁緊急地震速報配信サーバ
４００ インターネット

Claims (7)

1. 相互にデータ送受信可能に接続された複数のコンピュータを包含するシステムであって、
   前記複数のコンピュータのうちの１つが災害情報を受信すると、当該コンピュータが有する仮想マシン、または仮想アプリケーション環境、または仮想アプリケーション環境と仮想ＯＳの機能の少なくとも一部を当該災害の影響を実質的に受けない他のコンピュータに移転させ、
   前記移転の開始前に、移転のために要する時間および災害の影響を受けるまでの時間を考慮して移転すべき前記機能を決定するコンピュータ機能の災害対応移行システム。
2. 前記災害情報は、緊急地震速報、火災情報、漏水情報、異常温度情報、一部機能の動作異常情報、不法侵入情報のうちの何れかである請求項１に記載の災害対応移行システム。
3. 前記複数のコンピュータ各々が、移転先の優先度を規定したセンターポリシーと、機能別の移転優先度を規定した移転ポリシーを有し、
   災害情報を受信すると、前記、センターポリシーと移転ポリシーに基づいて移転を行う請求項１または２に記載の災害対応移行システム。
4. 前記移転の開始後に、移転先の空き記憶容量が一杯になった場合、或いは一杯になることが予測される場合には、残部をさらに他のコンピュータに移転させる請求項１ないし３の何れか一項に記載の災害対応移行システム。
5. 相互にデータの送受信可能に接続された複数のコンピュータを包含するシステムを前提としたシステムの災害対応移行方法であって、
   前記複数のコンピュータのうちの１つが災害情報を受信すると、当該コンピュータが有する仮想マシン、または仮想アプリケーション環境、または仮想アプリケーション環境と仮想ＯＳの機能の少なくとも一部を当該災害の影響を実質的に受けない他のコンピュータに移転させ、
   前記移転の開始前に、移転のために要する時間および災害の影響を受けるまでの時間を考慮して移転すべき前記機能を決定する災害対応移行方法。
6. 相互にデータの送受信可能に接続された複数のコンピュータに対して、請求項５に記載した方法を実行させるコンピュータプログラム。
7. 請求項６に記載したコンピュータプログラムを格納した、コンピュータによって読み取り可能な記憶媒体。

Images