JP7327235B2 - フォールトトレラントシステム - Google Patents

Description

本開示は、フォールトトレラントシステムに関する。

従来、プライマリ仮想マシンで入力した擬似割り込みタイミングを正確にセカンダリ仮想マシンに伝達し、セカンダリ仮想マシンにおいて同じタイミングで擬似割り込みを入力できるフォールトトレラントシステムが知られている（例えば、特許文献１参照）。

特開２０１４－５９７４９号公報

低負荷で動作するフォールトトレラントシステムが求められる。

本開示は、上述の点に鑑みてなされたものであり、低負荷で動作できるフォールトトレラントシステムを提供することを目的とする。

幾つかの実施形態に係るフォールトトレラントシステムは、バイトコードを実行し、実行したバイトコードに関する情報に基づく同期情報を出力する同期情報生成部と、外部から入力される割り込みを遮断する第１割り込み遮断部とを有するプライマリバーチャルマシンと、前記同期情報に基づいて前記バイトコードを実行する同期実行部と、前記割り込みを遮断する第２割り込み遮断部とを有するセカンダリバーチャルマシンとを備え、前記同期情報生成部は、前記割り込みを取得した場合、前記割り込みに基づいて前記バイトコードを実行し、前記第１割り込み遮断部は、前記バイトコードが前記割り込みを受け付ける命令を含む場合、前記割り込みを受け付ける命令の実行中に入力された前記割り込みを前記同期情報生成部に出力する。このようにすることで、冗長化のための処理量又はプログラムサイズを小さくすることができる。その結果、低負荷で動作できるフォールトトレラントシステムが実現される。

一実施形態に係るフォールトトレラントシステムにおいて、前記バイトコードは、実行中に前記割り込みを受け付ける第１命令と実行中に前記割り込みを受け付けない第２命令とを含んでよい。前記第１割り込み遮断部は、前記同期情報生成部が前記第１命令を実行中に入力された前記割り込みを前記同期情報生成部に出力してよく、前記同期情報生成部が前記第２命令を実行中に入力された前記割り込みを前記同期情報生成部に出力しなくてよい。このようにすることで、複雑なタイミング調整を実行することなく、必要に応じて割り込みを受け付けつつ冗長化を実現することができる。その結果、低負荷で動作できるフォールトトレラントシステムが実現される。

一実施形態に係るフォールトトレラントシステムにおいて、前記割り込みは、前記第１命令で受け付けられる第１割り込みと、前記第１命令で受け付けられない第２割り込みとを含んでよい。前記第１割り込み遮断部は、前記同期情報生成部が実行中の命令にかかわらず前記第２割り込みを遮断し、前記同期情報生成部が前記第２命令を実行中に前記第１割り込みを遮断してよい。このようにすることで、第２割り込みの遮断が簡単に実行され得る。つまり、割り込み遮断部の処理負荷が低減される。その結果、低負荷で動作できるフォールトトレラントシステムが実現される。

一実施形態に係るフォールトトレラントシステムにおいて、前記同期情報は、前記同期情報生成部が実行したバイトコードを特定する情報を含んでよい。このようにすることで、割り込み遮断部は、同期情報に基づいて第１割り込みを遮断するか判定しやすくなる。つまり、割り込み遮断部の処理負荷が低減される。その結果、低負荷で動作できるフォールトトレラントシステムが実現される。

一実施形態に係るフォールトトレラントシステムにおいて、前記バイトコードは、外部からデータを取得する入力命令を含んでよい。前記同期情報生成部は、前記入力命令を実行して取得したデータに関する情報を、前記同期情報として出力してよい。このようにすることで、セカンダリバーチャルマシンは、同期情報に基づいて外部から入力されたデータを取得できる。したがって、セカンダリバーチャルマシンを備えるセカンダリマシンが外部と通信しなくてもよくなる。その結果、フォールトトレラントシステム１の負荷が軽減されるとともに、低負荷で動作できるフォールトトレラントシステム１が実現される。

一実施形態に係るフォールトトレラントシステムにおいて、前記割り込みは、タイマー処理を含んでよい。このようにすることで、フォールトトレラントシステムは、割り込みを無条件で遮断するのではなく、必要な割り込みを受け付けることができる。その結果、フォールトトレラントシステムの有用性が向上する。

一実施形態に係るフォールトトレラントシステムにおいて、前記割り込みは、ネットワーク送受信処理を含んでよい。このようにすることで、フォールトトレラントシステムは、割り込みを無条件で遮断するのではなく、必要な割り込みを受け付けることができる。その結果、フォールトトレラントシステムの有用性が向上する。

本開示によれば、低負荷で動作できるフォールトトレラントシステムが提供される。

比較例に係るフォールトトレラントシステムを示すブロック図である。 一実施形態に係るフォールトトレラントシステムの構成例を示すブロック図である。 ネットワーク処理部の構成例を示すブロック図である。 バイトコードを実行する構成例を示すブロック図である。 バイトコードを実行する手順の一例を示すフローチャートである。 セカンダリＶＭがバイトコードを引き続き実行する手順の一例を示すフローチャートである。 他の実施形態に係るフォールトトレラントシステムの構成例を示すブロック図である。

（比較例）
図１に示されるように、比較例に係るフォールトトレラントシステム９は、プライマリマシン８００と、セカンダリマシン９００とを備える。プライマリマシン８００及びセカンダリマシン９００は、ネットワーク３００を介して通信可能に接続される。プライマリマシン８００とセカンダリマシン９００とは、両方とも同じ処理を実行する。プライマリマシン８００に障害が発生した場合、セカンダリマシン９００が処理を引き継ぐ。このようにすることで、フォールトトレラントシステム９全体として、処理が継続される。

プライマリマシン８００は、ハードウェア８４０を備え、ハードウェア８４０上でプライマリＯＳ（Operating System）８３０又はハイパーバイザを動作させる。プライマリマシン８００は、プライマリＯＳ８３０上又はハイパーバイザ上でプライマリＶＭ（Virtual Machine）８２０を動作させる。プライマリＶＭ８２０は、擬似割り込み生成部８２２と、同期情報生成部８２４とを含む。プライマリマシン８００は、プライマリＶＭ８２０上でプライマリゲストＯＳ８１２及びアプリケーション８１０を動作させる。

セカンダリマシン９００は、ハードウェア９４０を備え、ハードウェア９４０上でセカンダリＯＳ９３０又はハイパーバイザを動作させる。セカンダリマシン９００は、セカンダリＯＳ９３０上又はハイパーバイザ上でセカンダリＶＭ９２０を動作させる。セカンダリＶＭ９２０は、擬似割り込み入力変換部９２２と、同期補正部９２４とを含む。セカンダリマシン９００は、セカンダリＶＭ９２０上で、セカンダリゲストＯＳ９１２及びアプリケーション９１０を動作させる。

プライマリマシン８００及びセカンダリマシン９００は、アプリケーション８１０及びアプリケーション９１０の処理が同じ処理となるように、アプリケーション８１０及びアプリケーション９１０を動作させる。このようにすることで、プライマリマシン８００に障害が発生した場合、セカンダリマシン９００が処理を引き継ぐことができる。アプリケーション８１０及び９１０は、区別されない場合、単にアプリケーションと称される。

ハードウェア８４０は、ＣＰＵ（Central Processing Unit）８４２と、メモリ８４４と、ＮＩＣ（Network Interface Controller）８４６とを備える。ハードウェア９４０は、ＣＰＵ９４２と、メモリ９４４と、ＮＩＣ９４６とを備える。ハードウェア８４０及び９４０は、区別されない場合、単にハードウェアと称される。

ＣＰＵ８４２及び９４２は、互いに同一又は類似の構成であってよい。ＣＰＵ８４２及び９４２は、１つ以上のプロセッサで構成されてよい。プロセッサは、所定のプログラムを実行することによって、種々の機能を実現してよい。プロセッサは、メモリ８４４及び９４４からプログラムを取得してもよいし、ネットワーク３００からプログラムを取得してもよい。ＣＰＵ８４２及び９４２は、区別されない場合、単にＣＰＵと称される。

メモリ８４４及び９４４は、互いに同一又は類似の構成であってよい。メモリ８４４及び９４４は、例えば半導体メモリ等で構成されてよいし、磁気ディスク等の記憶媒体で構成されてもよい。メモリ８４４及び９４４はそれぞれ、ＣＰＵ８４２及び９４２のワークメモリとして機能してよい。メモリ８４４及び９４４は、ＣＰＵ８４２及び９４２に含まれてもよい。メモリ８４４及び９４４は、区別されない場合、単にメモリと称される。

ＮＩＣ８４６及び９４６は、互いに同一又は類似の構成であってよい。ＮＩＣ８４６及び９４６は、ＬＡＮ（Local Area Network）等の通信インタフェースを含んで構成されてよい。ＮＩＣ８４６及び９４６は、区別されない場合、単にＮＩＣと称される。

プライマリＶＭ８２０は、擬似割り込み生成部８２２と、同期情報生成部８２４とを備える。擬似割り込み生成部８２２は、プライマリＯＳ８３０又はハイパーバイザに対して実際に入力された外部からの割り込みに対して、割り込みの頻度又はタイミングを調整した擬似割り込みを生成し、アプリケーション８１０に入力する。同期情報生成部８２４は、プライマリＶＭ８２０におけるアプリケーション８１０の実行状況をセカンダリＶＭ９２０に伝えるための同期情報を生成し、セカンダリＶＭ９２０に送信する。

セカンダリＶＭ９２０は、擬似割り込み入力変換部９２２と、同期補正部９２４とを備える。擬似割り込み入力変換部９２２は、プライマリＶＭ８２０の同期情報生成部８２４から取得した同期情報のタイミングに合わせてアプリケーション９１０に擬似割り込みを入力する。同期補正部９２４は、プライマリＶＭ８２０から同期情報を受信し、プライマリＶＭ８２０におけるアプリケーション８１０の実行状況に同期してアプリケーション９１０を実行する。

比較例に係るフォールトトレラントシステム９において、プライマリＶＭ８２０に対して外部からの割り込みが発生すると、割り込みが発生したタイミングとそのデータとを含む同期情報がセカンダリＶＭ９２０に送信される。セカンダリＶＭ９２０は、プライマリＶＭ８２０より少し遅れて動作し、受信した同期情報と同じタイミングでデータ又は割り込みを擬似的に入力する。これによって、プライマリＶＭ８２０とセカンダリＶＭ９２０とは、同期して同じ動作を実行できる。

ここで、プライマリＶＭ８２０とセカンダリＶＭ９２０との間で外部割り込みを同期させるために、以下の処理が必要となる。まず、プライマリＶＭ８２０において、割り込みが入力されたタイミングが計測される。具体的には、ＣＰＵの機能を利用して、コンピュータ起動時点からの実行命令数等としてタイミングが計測される。次に、セカンダリＶＭ９２０は、任意のタイミングで割り込みを入力するために、指定した実行命令数で仮想マシンの処理を一時中断し、擬似的な割り込みを入力し、仮想マシンの動作を再開させる。これらの処理による外部割り込みの同期処理は、ＣＰＵに過大な処理負荷を与える処理であり、ＣＰＵの処理能力に依存する処理となっている。例えば、指定したタイミングで処理を中断できない場合があるため、プライマリＶＭ８２０の処理を中断するタイミングを調整する機能が必要とされる。タイミング調整は、ＣＰＵの機能に依存した複雑な処理を行っているため、組み込みプロセッサで動作させるためには、対象プロセッサに合わせた調整方法が実装される必要がある。

また、中間言語プログラムとしてＪａｖａ（登録商標）等の高機能なプログラミング言語が用いられる場合、マルチスレッドで効率よく動作することが可能であるが、スレッド間の処理の同期が必要である。また、高機能であるために中間言語の実行環境のプログラムサイズが大きくなる。組み込み機器は、メモリサイズが限られるため、シンプルで軽量な実行環境が必要となる。なお、中間言語の実行環境は、一般的に「バーチャルマシン」と呼ばれる。例えば、Ｊａｖａ（登録商標）の中間言語の実行環境はＪａｖａＶＭと呼ばれる。ここで、「ＪａｖａＶＭ」は、「ＶＭ」という記載を含むものの、プライマリＶＭ８２０又はセカンダリＶＭ９２０の「ＶＭ」とは異なる。よって、「ＪａｖａＶＭ」は、「中間言語の実行環境」と表されるとする。

また、特開２００３－３６１０１号公報に記載されているように、外部との間のデータの入出力のタイミングで同期をとることも可能である。しかし、入出力のタイミングで同期をとる手法において、フォールトトレラントシステム９で実現する冗長化機能の対象アプリケーションが、例えばＩＥＣ６１１３１－３規格等のＰＬＣ制御用プログラミング言語に限定される。また、データ等値化のために専用のシステムバスでコントローラが結合される必要がある。

以上述べてきたように、比較例に係るフォールトトレラントシステム９において、冗長化の機能を実現するためには、ハードウェアの負荷が過大になっていた。また、汎用コンピュータで汎用プログラミング言語を用いて冗長化の機能を実現することも求められていた。

そこで、本開示は、低負荷で動作できるフォールトトレラントシステム１（図２参照）について説明する。

（実施形態）
図２に示されるように、本開示の一実施形態に係るフォールトトレラントシステム１は、プライマリマシン１００と、セカンダリマシン２００とを備える。プライマリマシン１００とセカンダリマシン２００とは、ネットワーク３００を介して通信可能に接続される。プライマリマシン１００とセカンダリマシン２００とは、両方とも同じ処理を実行する。プライマリマシン１００に障害が発生した場合、セカンダリマシン２００が処理を引き継ぐ。このようにすることで、フォールトトレラントシステム１全体として、処理が継続される。

プライマリマシン１００は、ハードウェア１４０を備え、ハードウェア１４０上でプライマリＯＳ（Operating System）１３０を動作させる。プライマリマシン１００は、プライマリＯＳ１３０上でプライマリバーチャルマシン１２０を動作させる。以下、プライマリバーチャルマシン１２０は、プライマリＶＭ（Virtual Machine）１２０と称される。プライマリＶＭ１２０は、割り込み遮断部１２２と、同期情報生成部１２４とを有する。プライマリマシン１００は、プライマリＶＭ１２０上でアプリケーション１１０を動作させる。

セカンダリマシン２００は、ハードウェア２４０を備え、ハードウェア２４０上でセカンダリＯＳ２３０を動作させる。セカンダリマシン２００は、セカンダリＯＳ２３０上でセカンダリバーチャルマシン２２０を動作させる。以下、セカンダリバーチャルマシン２２０は、セカンダリＶＭ２２０と称される。セカンダリＶＭ２２０は、割り込み遮断部２２２と、同期実行部２２４とを有する。セカンダリマシン２００は、セカンダリＶＭ２２０上で、アプリケーション２１０を動作させる。

プライマリマシン１００及びセカンダリマシン２００は、アプリケーション１１０及びアプリケーション２１０の処理が同じ処理となるように、アプリケーション１１０及びアプリケーション２１０を動作させる。このようにすることで、プライマリマシン１００に障害が発生した場合、セカンダリマシン２００が処理を引き継ぐことができる。アプリケーション１１０及び２１０は、区別されない場合、単にアプリケーションと称される。

（構成例）
ハードウェア１４０は、ＣＰＵ（Central Processing Unit）１４２と、メモリ１４４と、ＮＩＣ（Network Interface Controller）１４６とを備える。ハードウェア２４０は、ＣＰＵ２４２と、メモリ２４４と、ＮＩＣ２４６とを備える。ハードウェア１４０及び２４０は、区別されない場合、単にハードウェアと称される。

ＣＰＵ１４２及び２４２は、互いに同一又は類似の構成であってよい。ＣＰＵ１４２及び２４２は、１つ以上のプロセッサで構成されてよい。プロセッサは、所定のプログラムを実行することによって、種々の機能を実現してよい。プロセッサは、メモリ１４４及び２４４からプログラムを取得してもよいし、ネットワーク３００からプログラムを取得してもよい。ＣＰＵ１４２及び２４２は、区別されない場合、単にＣＰＵと称される。

メモリ１４４及び２４４は、互いに同一又は類似の構成であってよい。メモリ１４４及び２４４は、例えば半導体メモリ等で構成されてよいし、磁気ディスク等の記憶媒体で構成されてもよい。メモリ１４４及び２４４はそれぞれ、ＣＰＵ１４２及び２４２のワークメモリとして機能してよい。メモリ１４４及び２４４は、ＣＰＵ１４２及び２４２に含まれてもよい。メモリ１４４及び２４４は、区別されない場合、単にメモリと称される。

ＮＩＣ１４６及び２４６は、互いに同一又は類似の構成であってよい。ＮＩＣ１４６及び２４６は、ＬＡＮ（Local Area Network）等の通信インタフェースを含んで構成されてよい。ＮＩＣ１４６及び２４６は、区別されない場合、単にＮＩＣと称される。

プライマリＶＭ１２０は、割り込み遮断部１２２と、同期情報生成部１２４とを備える。割り込み遮断部１２２は、プライマリＯＳ１３０に対して入力される外部からの割り込みを、アプリケーション１１０の実行処理から遮断する。プライマリＶＭ１２０の割り込み遮断部１２２は、第１割り込み遮断部とも称される。同期情報生成部１２４は、プライマリＶＭ１２０におけるアプリケーション１１０の実行状況をセカンダリＶＭ２２０に伝えるための同期情報を生成し、セカンダリＶＭ２２０に送信する。

セカンダリＶＭ２２０は、割り込み遮断部２２２と、同期実行部２２４とを備える。割り込み遮断部２２２は、セカンダリＯＳ２３０に対して入力される外部からの割り込みを、アプリケーション２１０の実行処理から遮断する。セカンダリＶＭ２２０の割り込み遮断部２２２は、第２割り込み遮断部とも称される。同期実行部２２４は、プライマリＶＭ１２０から同期情報を受信し、プライマリＶＭ１２０におけるアプリケーション１１０の実行状況に同期してアプリケーション２１０を実行する。

プライマリＶＭ１２０及びセカンダリＶＭ２２０は、必須ではないが、それぞれネットワーク処理部１５０及び２５０を備える。ネットワーク処理部１５０及び２５０は、ネットワーク３００からデータを受信したり、ネットワーク３００にデータを送信したりする。ネットワーク処理部１５０は、図３に例示されるように、ネットワークプロトコルスタック１５２と、外部通信用仮想ＮＩＣ１５４と、同期通信用仮想ＮＩＣ１５６と、仮想Ｌ２ＳＷ（Layer 2 Switch）１５８とを備える。ネットワーク処理部１５０が備える各構成の説明は、後述される。ネットワーク処理部２５０は、ネットワーク処理部１５０と同一又は類似に構成される。

（アプリケーションの動作）
プライマリＶＭ１２０は、プライマリＯＳ１３０上で動作する。セカンダリＶＭ２２０は、セカンダリＯＳ２３０上で動作する。プライマリＶＭ１２０及びセカンダリＶＭ２２０は、ＶＭと総称される。プライマリＯＳ１３０及びセカンダリＯＳ２３０は、ＯＳと総称される。つまり、ＶＭは、ＯＳ上で動作する。ＯＳ及びＶＭの機能は、ＣＰＵを含むハードウェアによって実現される。

プライマリＯＳ１３０は、プライマリＶＭ１２０にアプリケーション１１０の処理を実行させる。セカンダリＯＳ２３０は、セカンダリＶＭ２２０にアプリケーション２１０の処理を実行させる。つまり、ＯＳは、ＶＭにアプリケーション１１０及び２１０の処理を実行させる。

ＶＭは、汎用のプログラミング言語処理系として実現されてよい。汎用のプログラミング言語処理系は、例えば、ｍｒｕｂｙ又はＭｉｃｒｏ Ｐｙｔｈｏｎ等を含んでよい。ｍｒｕｂｙは、組み込みシステム向けの軽量なＲｕｂｙ言語処理系であり、省メモリの環境でも動作できる。Ｒｕｂｙの処理系は、主にインタプリタとして実装される。ソースコードは、プログラムの実行時又はプログラムの実行前にバイトコードにコンパイルされる。インタプリタは、バイトコードを１命令ずつ実行する。

プライマリＶＭ１２０及びセカンダリＶＭ２２０は、各バイトコードを同じ命令アドレスに格納する。プライマリＶＭ１２０及びセカンダリＶＭ２２０は、同じ命令アドレスからバイトコードを取得し、バイトコードに対応する動作を実行する。バイトコードに対応する動作を実行することは、バイトコードを実行するともいう。プライマリＶＭ１２０は、同期情報生成部１２４にバイトコードを実行させてよい。セカンダリＶＭ２２０は、同期実行部２２４にバイトコードを実行させてよい。プライマリＶＭ１２０及びセカンダリＶＭ２２０は、１つのバイトコードに対応する動作を実行する毎に同期をとる。プライマリＶＭ１２０及びセカンダリＶＭ２２０は、１つのバイトコードに対応する動作を実行して同期をとった後、次のバイトコードに対応する動作を実行する。このようにすることで、プライマリＶＭ１２０及びセカンダリＶＭ２２０は、互いに同期をとりながら処理を進めることができる。

バイトコードが外部から入力されるデータを取得したり外部にデータを出力したりする動作に対応する場合、プライマリＶＭ１２０だけが実際に外部との間でデータの入出力を実行する。一方で、セカンダリＶＭ２２０は、実際に外部との間でデータの入出力を実行しない。

バイトコードが外部から入力されるデータを取得する動作に対応する場合、セカンダリＶＭ２２０は、外部から入力されるデータを取得する代わりに、プライマリＶＭ１２０に対して外部から入力されたデータを、プライマリＶＭ１２０から取得する。バイトコードが外部にデータを出力する動作に対応する場合、セカンダリＶＭ２２０は、そのバイトコードの実行をスキップする。

プライマリＶＭ１２０は、１つのバイトコードを実行する毎に、セカンダリＶＭ２２０に対して同期情報を送信する。同期情報は、バイトコードが格納されている命令アドレス、又は、プライマリＶＭ１２０に対して外部から入力されたデータを含んでよい。同期情報は、実行した命令数を表す情報を含んでもよい。同期情報は、プライマリＶＭ１２０が実行したバイトコードを特定する情報を含んでもよい。

セカンダリＶＭ２２０は、プライマリＶＭ１２０から同期情報を受信し、同期情報に基づいてバイトコードの処理を進める。セカンダリＶＭ２２０は、プライマリＶＭ１２０から受信した命令アドレス又は実行した命令数に一致するバイトコードの処理を進める。セカンダリＶＭ２２０は、１つのバイトコードの処理の終了後、次の同期情報をプライマリＶＭ１２０から受信するまで、処理を中断する。

プライマリＶＭ１２０及びセカンダリＶＭ２２０は、上述のように同期情報を送受信することによって、バイトコードの処理を同期して進めることができる。

ｍｒｕｂｙは、ＶＭの省メモリ化を実現するために、処理を簡略化してＶＭのプログラムサイズを小さくしている。処理を簡略化するための機能の一つは、プログラム処理のシングルスレッド化である。シングルスレッド化は、複数の命令を同時に並列で実行しないとともに、外部からの割り込みによって処理を中断しないように構成されることを意味する。外部からの割り込みによって処理が中断されないことによって、複雑なタイミング調整機能が不要になる。その結果、処理が簡略化される。

ここで、ＶＭのレベルでは外部からの割り込みが発生しないとしても、ＯＳのレベルでは外部からの割り込みが発生することがある。したがって、ＶＭでバイトコードを実行している間に外部からの割り込みが発生することがある。しかし、外部からの割り込みによってバイトコードの実行結果は変化しない。

プライマリＶＭ１２０の同期情報生成部１２４は、プライマリＶＭ１２０におけるバイトコードの実行に伴って、実行したバイトコードの命令アドレス又は実行命令数を取得する。同期情報生成部１２４は、プライマリＶＭ１２０が外部から入力されたデータを取得した場合、そのデータを取得する。同期情報生成部１２４は、取得した命令アドレス若しくは実行命令数又は外部から入力されたデータを含む同期情報を生成し、セカンダリＶＭ２２０に送信する。外部から入力されたデータを取得する命令は、入力命令とも称される。同期情報生成部１２４は、バイトコードとして入力命令を実行することによって外部から入力されたデータを同期情報として出力する。

また、同期情報生成部１２４は、セカンダリＶＭ２２０に同期情報を送信した後、セカンダリＶＭ２２０から応答通知を受信するまで、プライマリＶＭ１２０に次のバイトコードを実行させないようにする。言い換えれば、同期情報生成部１２４は、セカンダリＶＭ２２０から応答通知を受信した場合、プライマリＶＭ１２０が次のバイトコードを実行することを許可する。

セカンダリＶＭ２２０の同期実行部２２４は、プライマリＶＭ１２０の同期情報生成部１２４から同期情報を受信する。同期実行部２２４は、受信した同期情報に基づいて、セカンダリＶＭ２２０におけるバイトコードの実行を制御する。例えば、同期実行部２２４は、同期情報に含まれる命令アドレスに格納されているバイトコードをセカンダリＶＭ２２０に実行させてよい。同期実行部２２４は、同期情報に含まれる実行命令数に一致するようにバイトコードをセカンダリＶＭ２２０に実行させてよい。

同期実行部２２４は、セカンダリＶＭ２２０で次に実行されるバイトコードが外部から入力されるデータを取得する動作に対応する場合、セカンダリＶＭ２２０にそのバイトコードの実行をスキップさせる。この場合、同期情報は、外部から入力されたデータを含む。セカンダリＶＭ２２０は、同期情報に含まれる外部から入力されたデータを、スキップしたバイトコードの実行結果として得られたデータとみなして、次のバイトコードの処理に進む。同期情報が外部から入力されたデータを含むことによって、セカンダリマシン２００が外部と通信しなくてもよくなる。このようにすることで、フォールトトレラントシステム１の負荷が軽減される。その結果、低負荷で動作できるフォールトトレラントシステム１が実現される。

プライマリＶＭ１２０の割り込み遮断部１２２及びセカンダリＶＭ２２０の割り込み遮断部２２２は、ＯＳに対して外部から入力される割り込みを遮断する。ＯＳに対して外部から入力される割り込みは、外部割り込みとも称される。外部割り込みは、ＯＳ及びＶＭの機能を実現するＣＰＵから見た外部からの割り込みであってよい。ＣＰＵから見た外部からの割り込みは、メモリ又はＮＩＣからの割り込みを含んでよいし、ハードウェアの外部からの割り込みを含んでもよい。割り込み遮断部１２２及び２２２は、外部割り込みがバイトコードを実行している途中のＶＭに影響を及ぼさないように外部割り込みを遮断する。

プライマリＶＭ１２０は、遮断した外部割り込みがバイトコードの実行に関連しているか判定する。遮断した外部割り込みがバイトコードの実行に関連していない場合、割り込み遮断部１２２は、その外部割り込みを捨ててよい。遮断した外部割り込みがバイトコードの実行に関連する場合、割り込み遮断部１２２は、その外部割り込みをプライマリＶＭ１２０に送信する。言い換えれば、バイトコードが割り込みを受け付けてその割り込みに基づいて実行される命令である場合、割り込み遮断部１２２は、その命令の実行中に入力された割り込みをプライマリＶＭ１２０（同期情報生成部１２４）に送信する。プライマリＶＭ１２０は、外部割り込みに基づいてバイトコードを実行してよい。セカンダリＶＭ２２０は、外部割り込みを受け付けてその割り込みに基づいて実行されるバイトコードを実行しない。したがって、セカンダリＶＭ２２０の割り込み遮断部２２２は、全ての外部割り込みを捨ててよい。

＜プログラムの一例＞
ここで、ｍｒｕｂｙのプログラムとして、外部から文字列を取得し、取得した文字列に別の文字列を連結し、連結した文字列を外部に出力するプログラムが例として説明される。２つの文字列は、Ｘ及びＹと表されるとする。このプログラムは、以下の４つのバイトコードにコンパイルされ得る。コードＡ、Ｂ、Ｃ及びＤはそれぞれ１命令に対応する。
コードＡ：ＶＭは、第１レジスタに文字列定数「Ｘ」を代入する。
コードＢ：ＶＭは、外部から入力されたデータとして文字列を取得し、第２レジスタに代入する。本プログラム例において、文字列として「Ｙ」が取得される。
コードＣ：ＶＭは、第１レジスタの文字列と第２レジスタの文字列とを連結し、連結した文字列を第１レジスタに代入する。
コードＤ：ＶＭは、第１レジスタの文字列を外部に出力する。

プライマリマシン１００及びセカンダリマシン２００が上述のバイトコードを同期させながら実行する構成が図４及び図５を参照しながら説明される。

図４に示されるように、プライマリマシン１００及びセカンダリマシン２００は、ネットワーク３００を介して外部機器５００と通信可能に接続される。プライマリマシン１００は、外部機器５００から入力データを取得する。プライマリマシン１００は、外部機器５００に出力データを出力する。プライマリマシン１００は、セカンダリマシン２００に同期情報を送信する。プライマリマシン１００は、外部機器５００から入力データを取得した場合、入力データを含む同期情報をセカンダリマシン２００に出力する。

仮にプライマリマシン１００で障害が発生した場合、セカンダリマシン２００がバイトコードの実行を継続できる。セカンダリマシン２００は、プライマリマシン１００が動作している間、外部機器５００と通信しないものの、プライマリマシン１００が障害で停止した場合、外部機器５００と通信してデータを入出力できる。

プライマリＶＭ１２０及びセカンダリＶＭ２２０は、図５に示される手順で、上述のバイトコードを実行する。

プライマリＶＭ１２０は、コードＡを実行する（ステップＳ１１）。プライマリＶＭ１２０は、コードＡに対応する動作として、第１レジスタに文字列定数「Ｘ」を代入する。プライマリＶＭ１２０は、ステップＳ１１の手順でコードＡを実行した後、同期情報ＡをセカンダリＶＭ２２０に送信する。なお、文字列定数「Ｘ」は、コードＡに含まれているので同期情報Ａに含まれない。

セカンダリＶＭ２２０は、プライマリＶＭ１２０から同期情報Ａを受信した場合、同期情報Ａに基づいてコードＡを実行する（ステップＳ２１）。セカンダリＶＭ２２０は、コードＡに対応する動作として、第１レジスタに文字列定数「Ｘ」を代入する。セカンダリＶＭ２２０は、ステップＳ２１の手順でコードＡを実行した後、コードＡの実行を完了したことを表す応答をプライマリＶＭ１２０に送信する。

プライマリＶＭ１２０は、セカンダリＶＭ２２０から応答を受信した場合、次のバイトコードであるコードＢを実行する（ステップＳ１２）。プライマリＶＭ１２０は、コードＢに対応する動作として、外部機器５００から入力データとして文字列「Ｙ」を取得し、第２レジスタに代入する。プライマリＶＭ１２０は、ステップＳ１２の手順でコードＢを実行した後、外部機器５００からの入力データである文字列「Ｙ」を含む同期情報ＢをセカンダリＶＭ２２０に送信する。

セカンダリＶＭ２２０は、プライマリＶＭ１２０から同期情報Ｂを受信した場合、同期情報Ｂに基づいてコードＢを実行する（ステップＳ２２）。セカンダリＶＭ２２０は、コードＢに対応する動作として、外部機器５００から入力データを取得する代わりに、同期情報Ｂに含まれる文字列「Ｙ」を第２レジスタに代入する。セカンダリＶＭ２２０は、ステップＳ２２の手順でコードＢを実行した後、コードＢの実行を完了したことを表す応答をプライマリＶＭ１２０に送信する。

プライマリＶＭ１２０は、セカンダリＶＭ２２０から応答を受信した場合、次のバイトコードであるコードＣを実行する（ステップＳ１３）。プライマリＶＭ１２０は、コードＣに対応する動作として、第１レジスタの文字列と第２レジスタの文字列とを連結し、連結した文字列を第１レジスタに代入する。この場合、第１レジスタに代入された文字列は「ＸＹ」となっている。プライマリＶＭ１２０は、ステップＳ１３の手順でコードＣを実行した後、同期情報ＣをセカンダリＶＭ２２０に送信する。

セカンダリＶＭ２２０は、プライマリＶＭ１２０から同期情報Ｃを受信した場合、同期情報Ｃに基づいてコードＣを実行する（ステップＳ２３）。セカンダリＶＭ２２０は、コードＣに対応する動作として、第１レジスタの文字列と第２レジスタの文字列とを連結し、連結した文字列を第１レジスタに代入する。この場合、セカンダリＶＭ２２０においても、第１レジスタに代入された文字列は「ＸＹ」となっている。セカンダリＶＭ２２０は、ステップＳ２３の手順でコードＣを実行した後、コードＣの実行を完了したことを表す応答をプライマリＶＭ１２０に送信する。

プライマリＶＭ１２０は、セカンダリＶＭ２２０から応答を受信した場合、次のバイトコードであるコードＤを実行する（ステップＳ１４）。プライマリＶＭ１２０は、コードＤに対応する動作として、第１レジスタの文字列を外部機器５００に出力する。この場合、外部機器５００が取得する文字列は「ＸＹ」となっている。プライマリＶＭ１２０は、ステップＳ１４の手順でコードＤを実行した後、同期情報ＤをセカンダリＶＭ２２０に送信する。

セカンダリＶＭ２２０は、プライマリＶＭ１２０から同期情報Ｄを受信した場合、同期情報Ｄに基づいてコードＤを実行する（ステップＳ２４）。セカンダリＶＭ２２０は、コードＤに対応する動作として、外部機器５００に対して第１レジスタの文字列を出力せず、何も実行しない。つまり、セカンダリＶＭ２２０は、コードＤに対応する動作をスキップする。セカンダリＶＭ２２０は、ステップＳ２４の手順でコードＤの実行として対応する動作をスキップした後、コードＤの実行を完了したことを表す応答をプライマリＶＭ１２０に送信する。

セカンダリＶＭ２２０は、コードＤの実行を完了したことを表す応答をプライマリＶＭ１２０に送信した後、一連のバイトコードの実行を終了する。プライマリＶＭ１２０は、セカンダリＶＭ２２０から応答を受信することによって、一連のバイトコードの実行を終了する。

図４及び図５を参照して説明してきたように、プライマリＶＭ１２０及びセカンダリＶＭ２２０は、互いに同期をとりながらバイトコードを実行できる。プライマリＶＭ１２０が一連のバイトコードの実行の途中で障害によって停止した場合でも、セカンダリＶＭ２２０がバイトコードを引き続き実行できる。セカンダリマシン２００は、ネットワーク３００を介して外部機器５００に通信可能に接続されることによって、データを入出力する動作に対応するバイトコードも引き続き実行できる。

フォールトトレラントシステム１において、プライマリマシン１００及びセカンダリマシン２００が両方とも正常に動作している場合、処理の冗長化が実現される。ここで、プライマリマシン１００又はセカンダリマシン２００が障害によって停止する場合におけるフォールトトレラントシステム１の動作が説明される。

＜プライマリマシン１００の障害が発生する場合＞
プライマリマシン１００の障害が発生した場合、プライマリＶＭ１２０は、バイトコードの実行等の制御処理を正常に実行できなくなることがある。フォールトトレラントシステム１は、バイトコードの実行等の制御処理を、プライマリマシン１００のプライマリＶＭ１２０からセカンダリマシン２００のセカンダリＶＭ２２０に切り替える。フォールトトレラントシステム１は、セカンダリマシン２００だけが動作するシングル運転の状態となる。シングル運転の状態において、プライマリＶＭ１２０の動作を代替するセカンダリＶＭ２２０は、プライマリＶＭ１２０との同期処理を停止する。

プライマリＶＭ１２０は、プライマリマシン１００の障害を検出できた場合、セカンダリＶＭ２２０への障害通知の送信を試みつつ、プライマリマシン１００を停止させたり再起動させたりする。障害通知は、同期情報と同じ通信経路で送信されてよい。プライマリＶＭ１２０がセカンダリＶＭ２２０へ障害通知を送信できた場合、セカンダリＶＭ２２０は、プライマリＶＭ１２０から障害通知を受信することによってプライマリマシン１００で障害が発生したことを把握する。プライマリＶＭ１２０がセカンダリＶＭ２２０へ障害通知を送信できなかった場合、セカンダリＶＭ２２０は、プライマリマシン１００を監視する手段によってプライマリマシン１００で障害が発生したことを把握してよい。セカンダリＶＭ２２０は、プライマリマシン１００で障害が発生したことを把握した場合、バイトコードの実行等の制御処理をプライマリＶＭ１２０から引き継ぐとともに、プライマリマシン１００との同期処理を停止する。また、セカンダリＶＭ２２０は、セカンダリＯＳ２３０を介して、プライマリＶＭ１２０の代わりに外部との間のデータの入出力処理を実行する。

プライマリＶＭ１２０がプライマリマシン１００の障害を検出できなかった場合、プライマリマシン１００はそのまま停止する。セカンダリＶＭ２２０は、プライマリマシン１００を監視する手段によってプライマリマシン１００で障害が発生したことを把握してよい。セカンダリＶＭ２２０は、プライマリマシン１００で障害が発生したことを把握した場合、バイトコードの実行等の制御処理をプライマリＶＭ１２０から引き継ぐとともに、プライマリマシン１００との同期処理を停止する。

＜セカンダリマシン２００の障害が発生する場合＞
セカンダリマシン２００の障害が発生した場合、フォールトトレラントシステム１は、プライマリマシン１００だけが動作するシングル運転の状態となる。シングル運転の状態において、プライマリＶＭ１２０は、セカンダリＶＭ２２０との同期処理を停止する。

セカンダリＶＭ２２０は、セカンダリマシン２００の障害を検出できた場合、プライマリＶＭ１２０への障害通知の送信を試みつつ、セカンダリマシン２００を停止させたり再起動させたりする。障害通知は、同期情報と同じ通信経路で送信されてよい。セカンダリＶＭ２２０がプライマリＶＭ１２０へ障害通知を送信できた場合、プライマリＶＭ１２０は、セカンダリＶＭ２２０から障害通知を受信することによってセカンダリマシン２００で障害が発生したことを把握する。セカンダリＶＭ２２０がプライマリＶＭ１２０へ障害通知を送信できなかった場合、プライマリＶＭ１２０は、セカンダリマシン２００を監視する手段によってセカンダリマシン２００で障害が発生したことを把握してよい。プライマリＶＭ１２０は、セカンダリマシン２００で障害が発生したことを把握した場合、バイトコードの実行等の制御処理におけるセカンダリマシン２００との同期処理を停止する。プライマリＶＭ１２０は、同期情報生成部１２４の動作を停止することによって同期処理を停止してもよい。

セカンダリＶＭ２２０がセカンダリマシン２００の障害を検出できなかった場合、セカンダリマシン２００はそのまま停止する。プライマリＶＭ１２０は、セカンダリマシン２００を監視する手段によってセカンダリマシン２００で障害が発生したことを把握してよい。プライマリＶＭ１２０は、セカンダリマシン２００で障害が発生したことを把握した場合、バイトコードの実行等の制御処理におけるセカンダリマシン２００との同期処理を停止する。

プライマリＶＭ１２０がセカンダリマシン２００を監視する手段、又は、セカンダリＶＭ２２０がプライマリマシン１００を監視する手段は、例えば以下のようにして実現され得る。

例えば、プライマリＶＭ１２０とセカンダリＶＭ２２０とは、互いにハートビート等の死活監視のための定期的な通信を実行してよい。プライマリＶＭ１２０は、セカンダリＶＭ２２０からの応答がない場合に、セカンダリマシン２００の障害が発生したと判定してよい。セカンダリＶＭ２２０は、プライマリＶＭ１２０からの応答がない場合に、プライマリマシン１００の障害が発生したと判定してよい。セカンダリＶＭ２２０は、同期処理におけるプライマリＶＭ１２０からの同期情報の受信によって、プライマリマシン１００に障害が発生していないと判定してもよい。プライマリＶＭ１２０は、同期処理におけるセカンダリＶＭ２２０からの応答の受信によって、セカンダリマシン２００に障害が発生していないと判定してもよい。

例えば、プライマリマシン１００及びセカンダリマシン２００とは異なる第３のマシンが、プライマリマシン１００及びセカンダリマシン２００の動作を監視してもよい。第３のマシンは、プライマリマシン１００で発生した障害をセカンダリＶＭ２２０に通知してもよいし、セカンダリマシン２００で発生した障害をプライマリＶＭ１２０に通知してもよい。第３のマシンは、プライマリＶＭ１２０及びセカンダリＶＭ２２０との間でハートビート等の死活監視のための定期的な通信を実行してもよい。

プライマリＶＭ１２０及びセカンダリＶＭ２２０は、死活監視のための通信がネットワーク障害によって途絶することによって、プライマリマシン１００及びセカンダリマシン２００の障害が発生したと誤って判定することがある。ネットワーク障害によるプライマリマシン１００及びセカンダリマシン２００の障害の誤検出を避けるために、死活監視のための通信経路が多重化されてもよい。

ここで、プライマリマシン１００の障害が発生した場合のフォールトトレラントシステム１の動作の一例が説明される。セカンダリＶＭ２２０は、例えば図６に示されるフローチャートの手順を実行することによって、プライマリＶＭ１２０が障害によって停止した場合に、バイトコードを引き続き実行してもよい。

プライマリマシン１００の障害が発生したとする（ステップＳ３１）。プライマリＶＭ１２０は、プライマリマシン１００の障害を検出したか判定する（ステップＳ３２）。

プライマリＶＭ１２０は、プライマリマシン１００の障害を検出しなかった場合（ステップＳ３２：ＮＯ）、ステップＳ３５の手順に進む。プライマリＶＭ１２０は、プライマリマシン１００の障害を検出した場合（ステップＳ３２：ＹＥＳ）、プライマリマシン１００で障害が発生したことをセカンダリＶＭ２２０に通知可能か判定する（ステップＳ３３）。つまり、プライマリＶＭ１２０は、セカンダリＶＭ２２０に障害通知を送信可能か判定する。

プライマリＶＭ１２０は、セカンダリＶＭ２２０に障害通知を送信可能でない場合（ステップＳ３３：ＮＯ）、ステップＳ３５の手順に進む。プライマリＶＭ１２０は、セカンダリＶＭ２２０に障害通知を送信可能である場合（ステップＳ３３：ＹＥＳ）、セカンダリＶＭ２２０に障害通知を送信する（ステップＳ３４）。

プライマリＶＭ１２０は、プライマリマシン１００を停止又は再起動する（ステップＳ３５）。プライマリＶＭ１２０がプライマリマシン１００の障害を検出しなかった場合、プライマリマシン１００はそのまま停止する。プライマリＶＭ１２０は、障害通知を送信できないと判定した後、又は、障害通知を送信した後において、プライマリマシン１００を停止してもよいし、プライマリマシン１００を再起動してもよい。プライマリマシン１００が停止又は再起動されることによって、プライマリマシン１００とセカンダリマシン２００とが両方ともプライマリマシン１００として動作することが避けられる。プライマリＶＭ１２０は、ステップＳ３５の手順の実行後、図６のフローチャートの手順の実行を終了する。

セカンダリＶＭ２２０は、プライマリＶＭ１２０から障害通知を受信したか判定する（ステップＳ４１）。

セカンダリＶＭ２２０は、プライマリＶＭ１２０から障害通知を受信した場合（ステップＳ４１：ＹＥＳ）、ステップＳ４５の手順に進む。セカンダリＶＭ２２０は、プライマリＶＭ１２０から障害通知を受信していない場合（ステップＳ４１：ＮＯ）、プライマリＶＭ１２０からの応答を受信したか判定する（ステップＳ４２）。セカンダリＶＭ２２０は、プライマリＶＭ１２０から応答を受信しない場合（ステップＳ４２：ＮＯ）、ステップＳ４５の手順に進む。セカンダリＶＭ２２０は、プライマリＶＭ１２０から応答を受信した場合（ステップＳ４２：ＹＥＳ）、プライマリマシン１００が正常に動作していると判定する（ステップＳ４３）。セカンダリＶＭ２２０は、プライマリマシン１００が正常に動作している場合、セカンダリＶＭ２２０としての動作を継続する（ステップＳ４４）。セカンダリＶＭ２２０は、ステップＳ４４の手順の実行後、図６のフローチャートの手順の実行を終了する。

セカンダリＶＭ２２０は、ステップＳ４１の手順でプライマリＶＭ１２０から障害通知を受信した場合、又は、ステップＳ４２の手順でプライマリＶＭ１２０から応答を受信しなかった場合、プライマリマシン１００の障害が発生していると判定する（ステップＳ４５）。セカンダリＶＭ２２０は、プライマリマシン１００の障害が発生した場合、プライマリＶＭ１２０の動作を代替し、バイトコードの実行を継続する（ステップＳ４６）。具体的には、セカンダリＶＭ２２０の同期実行部２２４は、プライマリＶＭ１２０からの同期情報の受信待ちを停止することによって、プライマリＶＭ１２０との同期処理を停止する。セカンダリＶＭ２２０は、プライマリＶＭ１２０が次に実行する予定であったバイトコードを、プライマリＶＭ１２０の代わりに実行する。例えば、プライマリＶＭ１２０が外部からのデータ入力を受け付けるバイトコードを実行する予定であった場合、セカンダリＶＭ２２０は、プライマリＶＭ１２０の代わりに外部からのデータ入力を受け付ける。セカンダリＶＭ２２０の割り込み遮断部２２２は、プライマリＶＭ１２０の割り込み遮断部１２２と同様の処理を実行する。セカンダリＶＭ２２０は、ステップＳ４６の手順の実行後、図６のフローチャートの手順の実行を終了する。

フォールトトレラントシステム１は、図６に例示したフローチャートの手順を実行することで、プライマリマシン１００に障害が発生しても、セカンダリマシン２００でバイトコードの実行等の制御処理を継続できる。図６の手順に続いて、セカンダリマシン２００が制御処理を継続している間にプライマリマシン１００の障害が解消した場合、フォールトトレラントシステム１は、シングル動作の状態から冗長化処理の状態に戻ることができる。具体的には、セカンダリＶＭ２２０は、プライマリマシン１００の障害が発生する前の動作に戻る。プライマリＶＭ１２０は、プライマリマシン１００の障害が発生していた間にセカンダリＶＭ２２０が処理した情報を同期情報として受信し、プライマリＶＭ１２０としての動作をセカンダリＶＭ２２０から引き継ぐ。または、プライマリＶＭ１２０とセカンダリＶＭ２２０が機能を入れ替えて動作してもよい。

以上述べてきたように、本実施形態に係るフォールトトレラントシステム１は、複雑なタイミング調整を実行することなく、プライマリマシン１００とセカンダリマシン２００との間で同期をとりながらバイトコードを実行させることができる。このようにすることで、プライマリマシン１００及びセカンダリマシン２００の冗長化を実現するための処理負荷が低減される。つまり、冗長化のための処理量又はプログラムサイズが小さくされる。その結果、低負荷で動作できるフォールトトレラントシステム１が実現される。言い換えれば、フォールトトレラントシステム１は、プライマリマシン１００及びセカンダリマシン２００として処理性能が低いプロセッサを用いた場合であっても冗長化を実現できる。

（割り込み処理の例）
バイトコードは、実行中に外部割り込みを受け付ける命令と、実行中に外部割り込みを受け付けない命令とに分類される。実行中に外部割り込みを受け付ける命令は、処理の実行に応じた外部割り込みが発生する命令に対応し、割り込み命令又は第１命令とも称される。実行中に外部割り込みを受け付けない命令は、処理の実行に応じた外部割り込みが発生しない命令に対応し、非割り込み命令又は第２命令とも称される。上述した、バイトコードを特定する情報は、バイトコードが割り込み命令に該当するか非割り込み命令に該当するかを特定してもよい。

割り込み命令は、例えば、ネットワーク送受信命令、ストレージ読み書き命令、又は、タイマー処理に関する命令等を含む。ＶＭの機能を実現するＣＰＵは、割り込み命令を処理する場合、処理を開始してから終了するまでに時間がかかる場合がある。また、割り込み命令の処理にＣＰＵ以外のメモリ又はＮＩＣが利用されることがあるので、ＣＰＵは、処理完了がわからないことがある。この場合、ＣＰＵは、割り込み命令の処理の完了を、メモリ又はＮＩＣからの割り込みによって把握できる。したがって、ＣＰＵは、外部割り込みを受信することによって割り込み命令の実行を終了できる。

非割り込み命令は、例えば、レジスタへ値を代入する処理、又は、四則演算処理等を含む。ＣＰＵは、外部割り込みにかかわらず、非割り込み命令の実行を終了できる。

以下、割り込み命令の具体例が説明される。

＜ネットワーク送受信処理に関する命令＞
ＮＩＣは、ネットワーク３００からのデータの受信を完了した場合、又は、ネットワーク３００へのデータの送信を完了した場合に、外部割り込みを発行する。ＯＳは、外部割り込みを受け付けると、他の処理を中断して、ＮＩＣで受信したデータをＮＩＣから読み出したり、ＮＩＣに送信させるデータをＮＩＣに書き込んだりする。

ＣＰＵによって実現されるＯＳ及びＶＭは、ネットワーク送受信に関する命令を、以下にステップＳ５１からＳ５６までの手順として示される動作で実行する。
Ｓ５１：ＶＭは、ネットワーク送受信に関する命令に対応するバイトコードの実行を開始する。
Ｓ５２：ＶＭは、ＯＳのネットワーク送受信に関する命令（システムコール）を実行し、完了するまで待つ。
Ｓ５３：ＯＳは、ＮＩＣとの間でデータを送受信し、ＮＩＣから外部割り込みを受信する。外部割り込みは、ＮＩＣが外部からデータを受信した場合、又は、ＮＩＣが外部にデータを送信した場合に発生する。
Ｓ５４：ＯＳは、ＶＭとの間でデータを送受信し、ＶＭに外部割り込みを通知する。
Ｓ５５：ＶＭは、外部割り込みによってネットワーク送受信命令の処理が完了したことを把握し、システムコールから復帰する。また、プライマリＶＭ１２０は、外部割り込みを受けた場合に、外部割り込みを同期情報生成部１２４に出力し、同期情報生成部１２４で外部割り込みに関する情報を含む同期情報を生成し、セカンダリＶＭ２２０に送信する。
Ｓ５６：ＶＭは、送受信したデータに対して必要な処理を実行し、ネットワーク送受信に関する命令に対応するバイトコードの実行を終了する。

上述したステップＳ５１からＳ５６までの手順が実行されることによって、ネットワーク送受信命令に対応するバイトコードをＶＭが実行している間に発生した外部割り込みは、ＶＭ内で処理され、アプリケーションに通知されない。ＮＩＣが発行する外部割り込みがＶＭ内で処理されることによって、フォールトトレラントシステム１は、割り込みを無条件で遮断するのではなく、必要な割り込みを受け付けることができる。その結果、フォールトトレラントシステム１の有用性が向上する。

＜タイマー処理に関する命令＞
ハードウェアは、タイマーを更に備えるとする。タイマーは、設定された時間に応じて外部割り込みを発行する。タイマーは、一定の周期で外部割り込みを発行するように設定されてよい。タイマーは、１回毎に設定される時間に応じて外部割り込みを発行してもよい。

ＣＰＵによって実現されるＯＳ及びＶＭは、タイマー処理に関する命令を、以下にステップＳ６１からＳ６７までの手順として示される動作で実行する。
Ｓ６１：ＶＭは、タイマー処理に関する命令に対応するバイトコードの実行を開始する。
Ｓ６２：ＶＭは、ＯＳのタイマー命令（システムコール）を実行し、完了するまで待つ。
Ｓ６３：ＯＳは、タイマーに待ち時間（インターバル）を設定する。
Ｓ６４：ＯＳは、タイマーに設定された時間が経過した後にタイマーが発行する外部割り込みを受信する。
Ｓ６５：ＯＳは、ＶＭに外部割り込みを通知する。
Ｓ６６：ＶＭは、外部割り込みによってタイマー処理が完了したことを把握し、システムコールから復帰する。また、プライマリＶＭ１２０は、外部割り込みを受けた場合に、外部割り込みを同期情報生成部１２４に出力し、同期情報生成部１２４で外部割り込みに関する情報を含む同期情報を生成し、セカンダリＶＭ２２０に送信する。
Ｓ６７：ＶＭは、タイマーに対して必要な処理を実行し、タイマー処理に関する命令に対応するバイトコードの実行を終了する。

上述したステップＳ６１からＳ６７までの手順が実行されることによって、タイマー処理に関する命令に対応するバイトコードをＶＭが実行している間に発生した外部割り込みは、ＶＭ内で処理され、アプリケーションに通知されない。タイマーが発行する外部割り込みがＶＭ内で処理されることによって、フォールトトレラントシステム１は、割り込みを無条件で遮断するのではなく、必要な割り込みを受け付けることができる。その結果、フォールトトレラントシステム１の有用性が向上する。

以上、ネットワーク送受信命令又はタイマー処理に関する命令を実行する構成について説明してきたとおり、フォールトトレラントシステム１は、複雑なタイミング調整を実行することなく、必要に応じて割り込みを受け付けつつ冗長化を実現することができる。このようにすることで、ＣＰＵの処理負荷が低減される。その結果、ＣＰＵとして処理性能が低いプロセッサを用いた場合であっても冗長化を実現できる。また、フォールトトレラントシステム１は、アプリケーションの処理に影響を及ぼさずに外部割り込みを処理できる。

例示したネットワーク処理に関する命令は、ＮＩＣが発行する割り込みを受け付けるものの、他の割り込みを受け付けない。また、タイマー処理に関する命令は、タイマーが発行する割り込みを受け付けるものの、他の割り込みを受け付けない。つまり、種々の割り込みは、割り込み命令が受け付ける割り込みと、割り込み命令が受け付けない割り込みとに分類される。割り込み命令が受け付ける割り込みは、第１割り込みとも称される。割り込み命令が受け付けない割り込みは、第２割り込みとも称される。プライマリＶＭ１２０の割り込み遮断部１２２は、プライマリＶＭ１２０（同期情報生成部１２４）が割り込み命令（第１命令）を実行中か非割り込み命令（第２命令）を実行中かにかかわらず、第２割り込みを遮断する。一方で、割り込み遮断部１２２は、プライマリＶＭ１２０（同期情報生成部１２４）が非割り込み命令（第２命令）を実行中であれば、第１割り込みを遮断する。このようにすることで、第２割り込みの遮断が簡単に実行され得る。つまり、割り込み遮断部１２２の処理負荷が低減される。その結果、低負荷で動作できるフォールトトレラントシステム１が実現される。また、プライマリＶＭ１２０が実行したバイトコードを特定する情報が同期情報に含まれることによって、割り込み遮断部１２２は、同期情報に基づいて割り込みを遮断するか判定しやすくなる。つまり、割り込み遮断部１２２の処理負荷が低減される。その結果、低負荷で動作できるフォールトトレラントシステム１が実現される。

（他の実施形態）
以下、他のいくつかの実施形態が説明される。

＜同期タイミング＞
プライマリＶＭ１２０及びセカンダリＶＭ２２０は、外部との間での入出力を伴う動作に対応するバイトコードを実行する場合に、同期情報を送受信してもよい。この場合、プライマリＶＭ１２０及びセカンダリＶＭ２２０は、外部との間で入出力が実行されるタイミングのみ、互いに処理を同期させる。

具体的には、外部からの入力があるタイミングのみプライマリＶＭ１２０からセカンダリＶＭ２２０へ同期情報を送信する。つまり、セカンダリＶＭ２２０は、外部からの入力に対応するバイトコードを実行する場合のみプライマリＶＭ１２０からの同期情報を待つ。また、外部への出力があるタイミングのみセカンダリＶＭ２２０からプライマリＶＭ１２０へ応答を送信する。つまり、プライマリＶＭ１２０は、外部への出力に対応するバイトコードを実行する場合のみセカンダリＶＭ２２０からの応答を待つ。プライマリＶＭ１２０及びセカンダリＶＭ２２０は、その他のバイトコードを実行する場合、互いに待たずにバイトコードを実行してよい。

以上説明してきたように、外部との間での入出力を伴う場合にのみ同期させることによって、１つのバイトコードを実行する毎に同期情報と応答とを送受信する場合と比べて、処理の遅延が低減される。

＜同期情報の送受信方法＞
プライマリＶＭ１２０とセカンダリＶＭ２２０との間における同期情報の送受信は、例えばイーサネット（登録商標）によって実行されてよい。この場合、プライマリマシン１００及びセカンダリマシン２００それぞれにＩＰアドレスが割り当てられる必要がある。

ＩＰアドレスを割り当てる１つの方法として、例えば、プライマリマシン１００及びセカンダリマシン２００に同じＩＰアドレスが割り当てられてよい。このようにすることで、プライマリマシン１００が障害で停止してセカンダリマシン２００が処理を引き継いだ場合に、外部機器５００は、同じＩＰアドレスでデータ通信を続けることができる。一方で、プライマリマシン１００とセカンダリマシン２００との間におけるＩＰ通信が実行できない。そこで、プライマリマシン１００とセカンダリマシン２００との間の通信は、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）又はＵＤＰ／ＩＰ（User Datagram Protocol/Internet Protocol）を利用せず、ＭＡＣ（Media Access Control）アドレスを利用したイーサネット（登録商標）フレーム通信によって実現される。

また、ＩＰアドレスを割り当てる他の方法として、例えば、プライマリマシン１００及びセカンダリマシン２００それぞれに異なるＩＰアドレスが割り当てられてもよい。このようにすることで、プライマリマシン１００とセカンダリマシン２００との間の通信は、ＩＰ通信によって実現される。一方で、プライマリマシン１００が障害で停止してセカンダリマシン２００が処理を引き継いだ場合に、外部機器５００から見てフォールトトレラントシステム１と通信を続けるためにＩＰアドレスを切り替える必要がある。

例示した２つの方法のどちらにおいても、プライマリマシン１００及びセカンダリマシン２００それぞれのＭＡＣアドレスは、互いに異なる。したがって、外部機器５００がフォールトトレラントシステム１と通信を継続するために、ＭＡＣアドレスを変更する必要がある。ここで、ＵＤＰ／ＩＰ通信が用いられている場合、ＵＤＰ／ＩＰ通信は、コネクションが不要であることから通信を継続できる。一方で、ＴＣＰ／ＩＰ通信が用いられている場合、ＴＣＰ／ＩＰ通信は、ＴＣＰコネクションを引き継ぐことができないので再接続する必要がある。

＜ＴＣＰ／ＩＰ通信の継続＞
以下、ＴＣＰ／ＩＰ通信の継続の方法の一例が説明される。図２及び図３で例示したように、プライマリマシン１００及びセカンダリマシン２００はそれぞれ、必須ではないが、ネットワーク処理部１５０及び２５０を更に備える。ネットワーク処理部１５０及び２５０は、区別されない場合、単にネットワーク処理部と称される。

図２及び図３に例示されるプライマリマシン１００及びセカンダリマシン２００は、ＴＣＰ／ＩＰ又はＵＤＰ／ＩＰ等のネットワークプロトコル処理をＮＩＣとＯＳとで実行している。ＮＩＣのＭＡＣアドレスは、ハードウェア毎に固定されている。したがって、プライマリマシン１００とセカンダリマシン２００との間でＭＡＣアドレスが引き継がれない。また、ネットワークプロトコル処理がＯＳ内で行われるので、通信に必要な情報、例えばＴＣＰのコネクション情報等がＶＭの冗長化機能（一方のＶＭの停止時に他方のＶＭで処理を引き継ぐ機能）で引き継がれない。したがって、ＴＣＰ通信は、ＶＭの冗長化の対象外とされることがある。

ここで、プライマリＶＭ１２０内のネットワーク処理部１５０は、仮想Ｌ２ＳＷ１５８と、外部通信用仮想ＮＩＣ１５４と、同期通信用仮想ＮＩＣ１５６と、ネットワークプロトコルスタック１５２とを備える。これによって、通信に必要な情報を引き継ぐために必要な処理をＶＭが管理できる。外部通信用仮想ＮＩＣ１５４及び同期通信用仮想ＮＩＣ１５６は、仮想ＮＩＣとも総称される。

具体的には、以下に例示される動作が実行される。

ＶＭは、ＮＩＣをプロミスキャスモードで動作させることによって、全ての受信データを仮想ＮＩＣに転送する。この場合、ＮＩＣは、一般のネットワークスイッチ（Ｌ２スイッチ）と同様の扱いとなり、ハードウェアで固定されているＭＡＣアドレスが通信の切り替えに影響を及ぼさない。

仮想Ｌ２ＳＷは、ＮＩＣと仮想ＮＩＣとの間の通信を中継する。

仮想ＮＩＣにソフトウェアでＭＡＣアドレスが設定される。ソフトウェアでＭＡＣアドレスが設定されることによって、プライマリＶＭ１２０の仮想ＮＩＣとセカンダリＶＭ２２０の仮想ＮＩＣとで同じＭＡＣアドレスが設定される。仮想ＮＩＣは、外部通信用仮想ＮＩＣ１５４と同期通信用仮想ＮＩＣＩ１５６とを含む。外部通信用仮想ＮＩＣ１５４及び同期通信用仮想ＮＩＣＩ１５６それぞれにＩＰアドレスが割り当てられる。外部通信用仮想ＮＩＣ１５４は、外部との通信に用いられる。同期通信用仮想ＮＩＣ１５６は、プライマリＶＭ１２０とセカンダリＶＭ２２０との間の同期情報の送受信に用いられる。

ネットワークプロトコルスタック１５２は、ＯＳが行っていたネットワークプロトコル処理を行う。具体的には、仮想ＮＩＣが受信した通信データのネットワーク層（ＩＰ）及びトランスポート層（ＴＣＰ又はＵＤＰ）の処理を行う。これによって、ＴＣＰコネクション情報等がＶＭ内で管理されることができる。

プライマリＶＭ１２０の同期情報生成部１２４は、生成した同期情報に加えて、仮想ＮＩＣ又はネットワークプロトコルスタック１５２の情報を収集してセカンダリＶＭ２２０に送信する。これによってＴＣＰコネクション情報が等値化される。その結果、ＴＣＰ／ＩＰ通信の継続が可能となる。

図７に示されるように、プライマリマシン１００は、プライマリＶＭ１２０として、第１プライマリＶＭ１２０Ａから第ＮプライマリＶＭ１２０Ｎまでを備える。第１プライマリＶＭ１２０Ａから第ＮプライマリＶＭ１２０Ｎまでは、それぞれ第１アプリケーション１１０Ａから第Ｎアプリケーション１１０Ｎまでの処理を実行する。プライマリマシン１００は、ネットワーク処理部１５０を、プライマリＶＭ１２０から切り離した構成として備える。
セカンダリマシン２００は、セカンダリＶＭ２２０として、第１セカンダリＶＭ２２０Ａから第ＮセカンダリＶＭ２２０Ｎまでを備える。第１セカンダリＶＭ２２０Ａから第ＮセカンダリＶＭ２２０Ｎまでは、それぞれ第１アプリケーション２１０Ａから第Ｎアプリケーション２１０Ｎまでの処理を実行する。セカンダリマシン２００は、ネットワーク処理部２５０を、セカンダリＶＭ２２０から切り離した構成として備える。

この構成において、プライマリマシン１００及びセカンダリマシン２００は、ネットワーク処理部をＶＭから切り離した別のプロセスとして動作させることができる。このようにすることで、フォールトトレラントシステム１は、複数のアプリケーションを同時に処理する場合であっても、通信処理をまとめて処理することができる。この場合、プライマリＶＭ１２０及びセカンダリＶＭ２２０の動作は、これまで説明してきた実施形態に係る動作と同じであってよい。

以上、本開示に係る実施形態について、図面を参照して説明してきたが、具体的な構成はこの実施形態に限定されるものではなく、本開示の趣旨を逸脱しない範囲においての種々の変更も含まれる。

１ フォールトトレラントシステム
１００ プライマリマシン（１１０：アプリケーション、１１０Ａ～１１０Ｎ：第１～第Ｎアプリケーション、１２０：プライマリＶＭ、１２０Ａ～１２０Ｎ：第１～第ＮプライマリＶＭ、１２２：割り込み遮断部、１２４：同期情報生成部、１３０：プライマリＯＳ）
１４０ ハードウェア（１４２：ＣＰＵ、１４４：メモリ、１４６：ＮＩＣ）
１５０ ネットワーク処理部（１５２：ネットワークプロトコルスタック、１５４：外部通信用仮想ＮＩＣ、１５６：同期通信用仮想ＮＩＣ、１５８：仮想Ｌ２ＳＷ）
２００ セカンダリマシン（２１０：アプリケーション、２１０Ａ～２１０Ｎ：第１～第Ｎアプリケーション、２２０：セカンダリＶＭ、２２０Ａ～２２０Ｎ：第１～第ＮセカンダリＶＭ、２２２：割り込み遮断部、２２４：同期実行部、２３０：セカンダリＯＳ）
２４０ ハードウェア（２４２：ＣＰＵ、２４４：メモリ、２４６：ＮＩＣ）
２５０ ネットワーク処理部
３００ ネットワーク
５００ 外部機器

Claims (8)

1. プライマリＯＳ上で動作するプライマリバーチャルマシンであって、バイトコードを実行し、実行したバイトコードに関する情報に基づく同期情報を出力する同期情報生成部と、前記プライマリＯＳに入力される第１の割り込みを遮断する第１割り込み遮断部とを有するプライマリバーチャルマシンと、
   セカンダリＯＳ上で動作するセカンダリバーチャルマシンであって、前記同期情報に基づいて前記バイトコードを実行する同期実行部と、前記セカンダリＯＳに入力される第２の割り込みを遮断する第２割り込み遮断部とを有するセカンダリバーチャルマシンと
   を備え、
   前記同期情報生成部は、前記第１の割り込みを取得した場合、前記第１の割り込みに基づいて前記バイトコードを実行し、
   前記第１割り込み遮断部は、前記バイトコードに含まれる、前記第１の割り込みを受け付ける命令の実行中に入力された前記第１の割り込みを前記同期情報生成部に出力する、
   フォールトトレラントシステム。
2. 前記第２割り込み遮断部は、
   前記プライマリバーチャルマシンにおいて、前記第１の割り込みに基づいて前記バイトコードが実行される場合に前記第２の割り込みを捨て、
   前記プライマリバーチャルマシンにおいて、前記第１の割り込みに基づいて前記バイトコードが実行されない場合に、前記第２の割り込みを前記同期実行部に出力する、
   請求項１に記載のフォールトトレラントシステム。
3. 前記バイトコードは、実行中に前記割り込みを受け付ける第１命令と実行中に前記割り込みを受け付けない第２命令とを含み、
   前記第１割り込み遮断部は、前記同期情報生成部が前記第１命令を実行中に入力された前記割り込みを前記同期情報生成部に出力し、前記同期情報生成部が前記第２命令を実行中に入力された前記割り込みを前記同期情報生成部に出力しない、請求項１又は２に記載のフォールトトレラントシステム。
4. 前記割り込みは、前記第１命令で受け付けられる第１割り込みと、前記第１命令で受け付けられない第２割り込みとを含み、
   前記第１割り込み遮断部は、前記同期情報生成部が実行中の命令にかかわらず前記第２割り込みを遮断し、前記同期情報生成部が前記第２命令を実行中に前記第１割り込みを遮断する、請求項３に記載のフォールトトレラントシステム。
5. 前記同期情報は、前記同期情報生成部が実行したバイトコードを特定する情報を含む、請求項１から４までのいずれか一項に記載のフォールトトレラントシステム。
6. 前記バイトコードは、外部からデータを取得する入力命令を含み、
   前記同期情報生成部は、前記入力命令を実行して取得したデータに関する情報を、前記同期情報として出力する、請求項１から５までのいずれか一項に記載のフォールトトレラントシステム。
7. 前記割り込みは、タイマー処理を含む、請求項１から６までのいずれか一項に記載のフォールトトレラントシステム。
8. 前記割り込みは、ネットワーク送受信処理を含む、請求項１から７までのいずれか一項に記載のフォールトトレラントシステム。

Images