JP5532687B2 - 情報処理システム、情報処理システムの障害対応機構、及び情報処理システムの障害対応方法 - Google Patents

Description

本発明は、コンピュータ装置とディスクアレイ装置とを接続して構成した情報処理システムに関し、特にコンピュータ装置の障害対応機構及び障害対応方法に関する。

今日、コンピュータネットワークを構成する情報処理システムは社会的な重要性が増大し、高い可用性と信頼性が要求されている。例えばサーバーシステムにおいては、サーバーに障害が発生した場合には、管理者への通知、誤動作防止のため障害発生サーバーの停止、復旧処置などの対応を迅速に行う必要がある。

近年ではサーバーシステムの障害対策として、フェイルオーバー機能の導入が一般的になっている。フェイルオーバーとは、サーバーに障害が発生した場合に代替サーバーが処理やデータを自動的に引き継ぐ機能である。具体的には例えば、予備を含む複数のサーバーを共通のディスクアレイ装置に接続し、各サーバーはディスクアレイ装置内の論理ディスクをマウントして処理を実行できるシステム構成とする。運用中のサーバーに障害が発生した場合には、予備サーバーが当該論理ディスクをマウントして運用サーバーの処理を引き継ぐことができる。

なおフェイルオーバーには、コールドスタンバイおよびホットスタンバイと呼ばれる方式がある。

コールドスタンバイは、通常稼動させる運用サーバーの他に、同等のサーバーを用意しておき、予備サーバーとして稼動させずに待機させておく。もし運用サーバーに障害が発生した場合は、予備サーバーが自動的に稼動し、運用サーバーに替わって処理を開始する。この方式はサーバーの切り替えに若干時間がかかり、切り替え中はシステムが停止することになる。特許文献１にはコールドスタンバイ方式においてフェイルオーバーを実行するまでのシステム停止時間を短縮するための技術の例が開示されている。特許文献１のコールドスタンバイ方式フェイルオーバーは、運用サーバーや予備サーバーとは別に管理用のサーバーを用意し、当該管理サーバーが系切り替えのための情報管理や制御を実施する構成となっている。

一方ホットスタンバイは、コールドスタンバイとは異なり、予備サーバーは運用サーバーとともに常に稼動させておき、運用サーバーに障害が発生した場合には即座に予備サーバーを運用サーバーとして切り替える方式である。ホットスタンバイはコールドスタンバイよりコストはかかるが、より高い可用性と信頼性を得ることができる。特許文献２にはホットスタンバイ方式フェイルオーバーの例が開示されている。特許文献２が開示する技術は、運用サーバーと予備サーバーとが常に互いの動作状態を監視し、かつ処理のステータス情報を共有し、運用サーバーに障害が発生しても無停止で予備サーバーに処理を引き継ぐシステムである。

特開２００８−２９３２４５ 特開平１１−２５９３２６

しかしながら上述したホットスタンバイ方式フェイルオーバー技術は、障害の監視や障害発生時の系切り替え等の対応をサーバー側が主体的に行っているため、実際の運用上、障害の内容や発生状況によっては以下の問題を生じる場合があった。

第１の問題点は、運用サーバーに障害が発生し、ディスクアレイ装置内の論理ディスクをマウントしたまま応答不能になると、予備サーバーへの系切り替えが上手く行えない場合があることである。

その理由は、予備サーバーが処理の引き継ぎのために、運用サーバーがマウントしていた論理ディスクをマウントしようとすると、ディスクアレイ装置からはこれが二重マウントの要求に見え、マウントを妨げる場合があるからである。従って予備サーバーは運用サーバーの障害は検出したものの、ディスクアレイ装置内の論理ディスクをマウントできずサービス継続不能となる。

第２の問題点は、系切り替えが正常に行われても、故障として系切り替えを実施されていた当初の運用サーバーが、その後リブートなどにより突然復旧すると、論理ディスクのデータを破壊する場合があることである。

その理由は、当初の運用サーバーは障害発生時にディスクアレイ装置内の論理ディスクをマウントした状態を解除できずに停止しており、復旧すると再びその論理ディスクに対してアクセスを開始するためである。すなわち復旧した当初の運用サーバーが、現行の運用サーバーがマウントしている論理ディスクに対して、再びアクセスすることにより二重マウントが起きる場合がありデータが破壊されうる。

本発明の目的は、上記問題を解決し、多重化したコンピュータ装置により構成した情報処理システムにおいて、論理ディスクの二重マウント防止が管理されたコンピュータ装置の障害対応機構および障害対応方法を提供することである。

本発明の情報処理システムの障害対応機構は、予備のコンピュータ装置を含む、少なくとも２つのコンピュータ装置を共通の外部記憶装置に接続して構成され、前記予備のコンピュータ装置は常に、運用中のコンピュータ装置と同じ稼動状態を保ちながら待機している、多重化したコンピュータ装置を構成する情報処理システムにおける障害対応機構であって、前記コンピュータ装置の障害発生を個別に監視する監視手段と、前記監視手段が、前記コンピュータ装置のうちのいずれかに障害発生したことを検出した時に、当該障害発生の検出を受けて、当該障害発生したコンピュータ装置からの前記外部記憶装置への入出力アクセスを遮断するアクセス遮断手段と、前記監視手段が、前記コンピュータ装置のうちのいずれかに障害発生したことを検出した時に、当該障害発生の検出を受けて、前記障害発生の情報を前記コンピュータ装置のうち障害発生していないコンピュータ装置に通知する通知手段と、を有する。

また本発明の情報処理システムの障害対応方法は、予備のコンピュータ装置を含む、少なくとも２つのコンピュータ装置を共通の外部記憶装置に接続して構成され、前記予備のコンピュータ装置は常に、運用中のコンピュータ装置と同じ稼動状態を保ちながら待機している、多重化したコンピュータ装置を構成する情報処理システムにおける障害対応方法であって、
前記コンピュータ装置の障害発生を個別に監視するステップと、
前記コンピュータ装置のうちのいずれかに障害発生したことを検出した時に、当該障害発生の検出を受けて、当該障害発生したコンピュータ装置からの前記外部記憶装置への入出力アクセスを遮断するステップと、
前記コンピュータ装置のうちのいずれかに障害発生したことを検出した時に、当該障害発生の検出を受けて、前記障害発生の情報を前記コンピュータ装置のうち障害発生していないコンピュータ装置に通知するステップと、を有する。

本発明によれば、多重化したコンピュータ装置を構成する情報処理システムにおいて、運用コンピュータ装置が論理ディスクをマウントしたまま応答不能となった場合でも、予備コンピュータ装置が論理ディスクをマウントするのを妨げられることがなくなる。また障害発生した運用コンピュータ装置が突然復旧した場合でも二重マウントによるデータの破壊を引き起こすことがなくなる。

図１Ａは本発明の実施の形態の基本構成を示すブロック図である。 図１Ｂは本発明の実施の形態の基本動作を示すフローチャートである。 図２は本発明の実施の形態の二重化サーバーシステムのシステム構成図である。 図３は本発明の実施の形態の二重化サーバーシステムの動作手順を示すフローチャートである。

次に、本発明の実施の形態について図面を参照して詳細に説明する。

図１Ａ及び図１Ｂはそれぞれ、本発明の実施の形態の情報処理システムの障害対応機構及び障害対策方法についての、システム基本構成を示すブロック図および基本動作を示すフローチャートである。

図１Ａを参照すると、本システムの障害監視機構は、障害監視手段、アクセス遮断手段、障害通知手段を装備している。障害監視手段は、外部記憶装置に接続された各コンピュータ装置の障害発生を個別に監視している。アクセス遮断手段は、運用中のコンピュータ装置のいずれかに障害発生したことを障害監視手段が検出した場合、障害発生したコンピュータ装置からの外部記憶装置への入出力アクセスを遮断する。また障害通知手段も、障害発生の情報を正常に稼動している各コンピュータ装置へ通知する。

図１Ｂは、運用中のコンピュータ装置と予備のコンピュータ装置を含む複数のコンピュータ装置が共通の外部記憶装置に接続され、多重化されたコンピュータ装置で構成した情報処理システムにおける基本動作を示す。運用中の各コンピュータ装置は、外部記憶装置の所定の領域をそれぞれマウントし、運用データにアクセスして処理を実行している。そして予備のコンピュータ装置は、運用中のコンピュータ装置と常に同じ稼動状態を保ちながら、運用中のコンピュータ装置の故障に備えて待機している。

障害監視手段は、外部記憶装置に接続された各コンピュータ装置の障害発生を個別に監視している。運用中のコンピュータ装置のひとつに障害が発生したのを検出した場合、アクセス遮断手段は障害発生したコンピュータ装置からの外部記憶装置への入出力アクセスを遮断する。さらに障害通知手段により、正常に稼動している各コンピュータ装置に対し、障害発生の情報を通知する。

以上のステップを経ることにより、障害発生したコンピュータ装置の処理を引き継ぐべき予備のコンピュータ装置が、障害発生情報の通知を受け、系を切り替え、処理引き継ぎを行う際に、以下の効果が得られる。すなわち予備のコンピュータ装置は、処理引き継ぎのために、障害発生したコンピュータ装置が使用していた外部記憶装置の所定領域をマウントし運用データへのアクセスを行う必要がある。もし障害発生したコンピュータ装置が外部記憶装置をマウントした状態で停止していた場合でも、停止した時点で外部記憶装置は当該コンピュータ装置からの入出力アクセスを遮断されている。従って予備のコンピュータ装置が処置引き継ぎのため外部記憶装置の同じ領域のマウントを行っても二重マウントによる問題は発生しない。このため外部記憶装置は、予備のコンピュータ装置によるマウントを妨げる必要がなく、系の切り替えをスムーズに行うことができる。

また障害発生により停止していたコンピュータ装置が、予備のコンピュータ装置が処理を引き継いだ後に不意に動作を再開したとしても、既に外部記憶装置へのアクセスは遮断されているため、再度運用データを処理することができない。従ってこの場合も、二重マウントによりデータが破壊されるという問題は生じない。

図２は、本発明の実施の形態の具体的なシステム構成の例として、二重化サーバーシステムについてのシステム構成を示す図である。

コンピュータ装置として運用サーバー１０および予備サーバー２０は共に一般的なサーバー機能を具備し、外部記憶装置として共通のディスクアレイ装置３０にインターフェースを介して接続する。運用サーバー１０はディスクアレイ装置の論理ディスクをマウントして処理を実行する。予備サーバー２０は運用サーバーが故障したときには直ちに処理を引き継げるよう、稼動状態で待機している。なお運用サーバー１０および予備サーバー２０は互いの状態を監視できるインターフェースを具備し、相互にデータの同期を取っている。そして運用サーバー１０、予備サーバー２０およびディスクアレイ装置３０は、ホットスタンバイ方式フェイルオーバー機能を備えた二重化システムを構成している。

ディスクアレイ装置３０は、複数のハードディスクから構成される論理ディスク３１と、各サーバーからの定期的な書き込み処理がなされる監視ディスク３２を具備している。なお監視ディスク３２には、運用サーバー１０と予備サーバー２０とで専用の対象領域を割当て、それぞれ個別に書き込みできるものとしている。各サーバーは監視ディスク装置３２へ定期的にアクセスし、アクセス記録を書き込む。ディスクアレイ装置３０に装備された障害対応装置４０は、障害監視手段として、監視ディスク３２への書き込みがあったことをチェックして各サーバーの動作状態を確認する機能を有している。また障害対応装置４０は、アクセス遮断手段として、サーバーの異常を検出した際は、異常発生サーバーからの論理ディスク３１へのアクセスを遮断する機能を有している。さらに障害対応装置４０は、障害通知手段として、正常なサーバー及びシステム管理施設５０に異常発生を通知する機能を有している。

次に図３に示したフローチャートによって、本システムを構成する運用サーバー１０、予備サーバー２０、論理ディスク３１、監視ディスク３２、障害対応装置４０について、具体的な障害対応動作を説明する。

運用サーバー１０および予備サーバー２０はそれぞれ定期的にディスクアレイ装置３０内の監視ディスク３２に対してアクセスし、障害監視用データとして、例えば自己のハートビートシグナル符号を書き込む（Ｓｔｅｐ１）。

障害対応装置４０は当該書き込み処理が定期的に行われていることを監視することにより、各サーバーの正常性を確認する（Ｓｔｅｐ２）。

運用サーバーに障害発生し、書き込み処理が途絶すると、障害対応装置４０は運用サーバーに障害が発生したと判断する（Ｓｔｅｐ３）。

障害対応装置４０は、障害と判断した運用サーバー１０の論理ディスク３１へのアクセス権を削除することにより、運用サーバー１０を切り離す（Ｓｔｅｐ４）。これにより予備サーバー２０は運用サーバー１０の処理を引き継ぐため論理ディスク３１をマウントできるようになる。また停止した運用サーバー１０は、その後リブートなどにより不意に再起動することがあっても、もはや論理ディスク３１にはアクセスできない。

障害対応装置４０は、運用サーバー１０の障害発生を予備サーバー２０及びシステム管理施設５０に対してそれぞれ通知する（Ｓｔｅｐ５）。

障害対応装置４０より、運用サーバー１０の障害発生を通知された予備サーバー２０は、直ちに自らが運用サーバーとなるための系切り替え処理を実施する（Ｓｔｅｐ６）。そして予備サーバー２０は障害発生した運用サーバー１０がマウントしていた論理ディスク３１をマウントし、運用サーバー１０の処理を引き継ぐ（Ｓｔｅｐ７）。

なおＳｔｅｐ４での運用サーバー１０の論理ディスク３１への入出力アクセスの遮断は、障害対応装置４０が実施する処理であり、運用サーバー１０が再起動したとしても、自動的にアクセスまで復旧することはない。Ｓｔｅｐ５でシステム管理施設に障害発生が通知された後は、システム管理者は復旧のためのオペレーターを手配し、必ず保守作業者の介在のもとに復旧作業が行われる（Ｓｔｅｐ８）。

このように本実施の形態は、単にサーバー同士が互いの状態を監視することによって障害発生を検出しフェイルオーバー動作を行う場合と異なり、ディスクアレイ装置側が主体で各サーバーの障害発生を検知している。ディスクアレイ装置は障害発生を検知すると直ちに障害発生サーバーとの入出力アクセスを遮断するので二重マウントが起きる場合はなくなる。従って系切り替え時に、予備サーバーによる論理ディスクのマウントをディスクアレイ装置が妨げる動作は不要なものとして排除でき、系切り替えは常にスムーズに行われる。また障害発生した運用サーバーが突然復旧した場合でも、ディスクアレイ装置への入出力アクセスの遮断は自動では復旧しないので、データの破壊などを引き起こすこともなくなる。

なお上述した本発明の実施の形態は、図３のＳｔｅｐ１で各サーバーが監視ディスク３２へ書き込む障害監視用データとして、各サーバーのハートビートシグナル符号を用いた場合について説明した。一方、本発明の他の実施の形態として、この障害監視用データとして各サーバーが管理する内部時刻情報を用いることが出来る。この実施の形態では、サーバーに障害が発生して障害監視用データとしての時刻情報の監視ディスク３２への書き込みが途絶えた場合に、最後に書き込まれた時刻データから、障害が発生した時刻をある程度特定することができ、障害解析に役立てることが出来るという利点がある。

以上、本発明の実施の形態として、二重化されたサーバーシステムについて説明したが、もちろん本発明は３台以上のサーバーが接続され、それらが多重化された一般的なサーバーシステムにおいても同様に使用することができる。すなわち、図３において運用サーバー１０や予備サーバー２０が多数存在したとしても、障害対応装置４０は図１Ｂのフローに基づき各サーバーの障害発生に個別に対応する手順を実施すればよい。

１０ 運用サーバー
２０ 予備サーバー
３０ ディスクアレイ装置
３１ 論理ディスク
３２ 監視ディスク
４０ 障害対応装置
５０ システム管理施設

Claims (13)

1. 予備のコンピュータ装置を含む、少なくとも２つのコンピュータ装置を共通の外部記憶装置に接続して構成され、前記予備のコンピュータ装置は常に、運用中のコンピュータ装置と同じ稼動状態を保ちながら待機している、多重化したコンピュータ装置を構成する情報処理システムにおける障害対応機構であって、
   前記コンピュータ装置の障害発生を個別に監視する監視手段と、
   前記監視手段が、前記コンピュータ装置のうちのいずれかに障害発生したことを検出した時に、当該障害発生の検出を受けて、当該障害発生したコンピュータ装置からの前記外部記憶装置への入出力アクセスを遮断するアクセス遮断手段と、
   前記監視手段が、前記コンピュータ装置のうちのいずれかに障害発生したことを検出した時に、当該障害発生の検出を受けて、前記障害発生の情報を前記コンピュータ装置のうち障害発生していないコンピュータ装置に通知する通知手段と、を有することを特徴とした、情報処理システムの障害対応機構。
2. 前記コンピュータ装置は、サーバーであって、前記情報処理システムは、多重化したサーバーシステムを構成していることを特徴とした、請求項１記載の情報処理システムの障害対応機構。
3. 前記外部記憶装置は、ディスクアレイ装置であって、前記コンピュータ装置が個別に障害監視用データを書き込むための監視用記憶領域を有することを特徴とした、請求項１または２に記載の情報処理システムの障害対応機構。
4. 前記監視手段は、前記コンピュータ装置が定期的に行う前記監視用記憶領域への前記障害監視用データの書き込みの状況を監視することを特徴とした、請求項３に記載の情報処理システムの障害対応機構。
5. 前記障害監視用データは、前記コンピュータ装置が個別に管理している内部時刻情報であることを特徴とした、請求項４に記載の情報処理システムの障害対応機構。
6. 前記監視手段が、前記コンピュータ装置のうちのいずれかに障害発生したことを検出した時は、前記障害の発生情報を、予め登録された通知先へ通知する手段を有することを特徴とした、請求項１から５のいずれかに記載の情報処理システムの障害対応機構。
7. 請求項１から６のいずれかに記載の障害対応機構と、前記少なくとも２つのコンピュータ装置と、前記外部記憶装置と、を有することを特徴とした情報処理システム。
8. 予備のコンピュータ装置を含む、少なくとも２つのコンピュータ装置を共通の外部記憶装置に接続して構成され、前記予備のコンピュータ装置は常に、運用中のコンピュータ装置と同じ稼動状態を保ちながら待機している、多重化したコンピュータ装置を構成する情報処理システムにおける障害対応方法であって、
   前記コンピュータ装置の障害発生を個別に監視するステップと、
   前記コンピュータ装置のうちのいずれかに障害発生したことを検出した時に、当該障害発生の検出を受けて、当該障害発生したコンピュータ装置からの前記外部記憶装置への入出力アクセスを遮断するステップと、
   前記コンピュータ装置のうちのいずれかに障害発生したことを検出した時に、当該障害発生の検出を受けて、前記障害発生の情報を前記コンピュータ装置のうち障害発生していないコンピュータ装置に通知するステップと、を有することを特徴とした、情報処理システムの障害対応方法。
9. 前記コンピュータ装置は、サーバーであって、前記情報処理システムは、多重化したサーバーシステムを構成していることを特徴とした、請求項８記載の情報処理システムの障害対応方法。
10. 前記外部記憶装置は、ディスクアレイ装置であって、前記コンピュータ装置が個別に障害監視用データを、当該ディスクアレイ装置が有する監視用記憶領域に書き込むステップを有することを特徴とした、請求項８または９に記載の情報処理システムの障害対応方法。
11. 前記外部記憶装置が、前記コンピュータ装置の障害発生を個別に監視するステップは、前記コンピュータ装置が定期的に行う前記監視用記憶領域への前記障害監視用データの書き込みの状況を監視することによることを特徴とする、請求項１０に記載の情報処理システムの障害対応方法。
12. 前記障害監視用データは、前記コンピュータ装置が個別に管理している内部時刻情報であることを特徴とする、請求項１１に記載の情報処理システムの障害対応方法。
13. 前記外部記憶装置は、前記コンピュータ装置のうちのいずれかに障害発生したことを検出した時は、前記障害の発生情報を、予め登録された通知先へ通知するステップを有することを特徴とする、請求項８から１２のいずれかに記載の情報処理システムの障害対応方法。

Images