JPH0512048A - 多重化サブシステム間処理引継ぎ処理方式 - Google Patents

Abstract

(57)【要約】 【目的】サブシステムを多重化してフォールトトレラン
ト化を図ったデータ処理装置における多重化サブシステ
ム間処理引継ぎ処理方式に関し，引継ぎ情報の内容を必
要最小限にするとともに，引継ぎのための各種処理を統
一化できるようにすることを目的とする。 【構成】定常処理時に，第１の情報書出し手段13と，第
２の情報書出し手段14と，第３の情報書出し手段15とに
よって，それぞれ持続性保証情報，アトミシティ保証情
報，非アイデンポテント処理保証情報を所定の領域に書
き出し，障害発生による処理の引継ぎ時には，第１の情
報読込み手段16と，第２の情報読込み手段17と，第３の
情報読込み手段18とによって，それぞれ持続性保証情報
とアトミシティ保証情報と非アイデンポテント処理保証
情報とを読み込むことにより，必要最小な引継ぎ情報に
よる効率的な処理の引継ぎを行う。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は，各種冗長部品をシステ
ム内に組み込んで，現用サブシステムの障害発生時に
は，他のサブシステムまたはその構成要素が処理を引き
継ぐことにより，フォールトトレラント化を図ったデー
タ処理装置において，必要最小限の情報を効率よく引き
継ぐことができるようにした多重化サブシステム間処理
引継ぎ処理方式に関する。

【０００２】

【従来の技術】フォールトトレラントを提供しようとす
るオペレーティング・システム（ＯＳ）においては，各
種のフォールト（故障）に対し，各種冗長部品をシステ
ム内に組み込んで，現用の障害発生時には処理主体を冗
長部品に切り替えることを常套手段としている。

【０００３】ところで，従来のオペレーティング・シス
テムでは，フォールトトレラント化を考える場合，ハー
ドウェアの故障対策が主要なターゲットであった。ハー
ドウェアの故障することを主として考慮したシステムに
おいては，メモリの内容の丸コピーを別のマシン（例え
ばプロセッサ）上に採っておいて，現在処理を行ってい
るマシンで故障が発生した場合には，他のマシン上で処
理を継続する。

【０００４】このようなシステムで，ソフトウェアの故
障を原因とする異常が発生すると，引継ぎのための情報
はメモリの内容の丸コピーであるため，処理を引き継い
でも同様の原因ですぐさま異常が発生する可能性が大き
い。

【０００５】そこで，ソフトウェアの故障に対してもフ
ォールトトレラントであるための新技術として，「エッ
センス引継ぎによるフォールトトレラント」が考案され
ている。（特開平１−２２４８４６号参照）。

【０００６】図８はその従来技術の例を示す。図８に示
すように，オペレーティング・システムの機能をいくつ
かのサブシステムＳ１，Ｓ２に分割し，それぞれのサブ
システムを多重化（Ｓ１１〜Ｓ１２，Ｓ２１〜Ｓ２３）
する。多重化したサブシステムのどれか一つで異常が発
生すると，その他のサブシステムが処理を引き継ぐ。

【０００７】サブシステムＳ１１，Ｓ１２のように，完
全二重化の場合には，待機系が処理を引き継ぐ。Ｎ＋１
冗長化の場合，サブシステムＳ２１〜Ｓ２３のように，
正常に動作しているサブシステムで負荷分散し処理を引
き継ぐ。すなわち，図８に示す例では，サブシステムＳ
１１のクラッシュに対して，待機系のサブシステムＳ１
２が処理を引き継ぎ，サブシステムＳ２１のクラッシュ
に対して，サブシステムＳ２２，Ｓ２３が分散して処理
を引き継ぐようになっている。

【０００８】処理を引き継ぐために必要な情報をエッセ
ンス情報という。エッセンス情報は，メモリの丸コピー
ではなく，処理の引継ぎに必要な情報である。必要な情
報だけを引き継ぐことにより，異常の原因を引き継ぐ可
能性を小さくでき，ソフトウェアの故障に対しても，フ
ォールトトレラント化することができる。

【０００９】

【発明が解決しようとする課題】処理の引継ぎのための
エッセンス情報は，従来技術では，ケース・バイ・ケー
スで決められていた。そのため，引継ぎ情報の採取およ
び引継ぎ情報による処理の再開を行うための処理手順
は，各々のサブシステムについて統一化することが難し
く，引継ぎ情報の内容についても，全体で必要最小限に
なるとは限らなかった。

【００１０】本発明は上記問題点の解決を図り，ソフト
ウェア故障に対するフォールトトレラント化の技法とし
て，エッセンス引継ぎ方式を採用する場合，引継ぎ情報
の内容を必要最小限にするとともに，引継ぎのための各
種処理を統一化できるようにすることを目的としてい
る。

【００１１】

【課題を解決するための手段】図１は本発明の原理説明
図である。図１において，１０は一つ以上のＣＰＵおよ
びメモリを備えたデータ処理装置，１１はオペレーティ
ング・システム等の機能を提供するサブシステム，１２
−１，１２−２は多重化されたサブシステムの構成要
素，１３は第１の情報書出し手段，１４は第２の情報書
出し手段，１５は第３の情報書出し手段，１６は第１の
情報読込み手段，１７は第２の情報読込み手段，１８は
第３の情報読込み手段，２０はクラッシュ時にも記憶内
容が保存される不揮発メモリ，２１は持続性保証情報
域，２２はアトミシティ保証情報域，２３は非アイデン
ポテント処理保証情報域を表す。

【００１２】データ処理装置１０では，ソフトウェアお
よびハードウェアの故障によるオペレーティング・シス
テム障害の範囲を限定するために，オペレーティング・
システムを複数のサブシステムに分け，それぞれのサブ
システムを多重化し，サービス提供中の多重化したサブ
システムの構成要素の一つに異常が発生すると，他の動
作可能なサブシステムの構成要素にサービスを引き継ぐ
ことにより，サービス能力の継続を可能としている。

【００１３】例えば，サブシステムの構成要素１２−１
が現用でサービスしているときに，異常発生によりクラ
ッシュすると，他のサブシステムの構成要素１２−２が
処理を引き継ぐ。その引継ぎを効率的に行うために，特
に，本発明では，以下の処理手段を備えている。

【００１４】第１の情報書出し手段１３は，定常処理時
に，既に完了したサービスを保証するための持続性保証
情報を，持続性保証情報域２１に書き出す処理を行うも
のである。

【００１５】第２の情報書出し手段１４は，定常処理時
に，現用系が仕掛中のサービスのアトミシティを保証す
るためのアトミシティ保証情報を，アトミシティ保証情
報域２２に書き出す処理を行うものである。

【００１６】第３の情報書出し手段１５は，定常処理時
に，アイデンポテントでない処理に対して処理結果を保
証するための非アイデンポテント処理保証情報を，非ア
イデンポテント処理保証情報域２３に書き出す処理を行
うものである。

【００１７】なお，アイデンポテントな処理とは，処理
を何回実行しても結果が同じ処理のことをいう。例え
ば，ある領域に定数“１００”を設定する処理は，何回
実行してもその領域の値が“１００”であるため，アイ
デンポテントな処理である。ある領域の値に“５０”を
加算する処理は，処理を繰り返すごとに値が“５０”ず
つ増えるのでアイデンポテントでない処理ということに
なる。

【００１８】第１の情報読込み手段１６は，処理の引継
ぎ時に，持続性保証情報域２１から持続性保証情報を読
み込み，サービスの持続性を保証する処理を行うもので
ある。

【００１９】第２の情報読込み手段１７は，処理の引継
ぎ時に，アトミシティ保証情報域２２からアトミシティ
保証情報を読み込み，仕掛中のサービスのアトミシティ
を保証する処理を行うものである。

【００２０】非アイデンポテント処理保証情報域２３
は，処理の引継ぎ時に，非アイデンポテント処理保証情
報域２３から非アイデンポテント処理保証情報を読み込
み，アイデンポテントでない処理に対する処理結果を保
証する処理を行うものである。

【００２１】このように，異常が発生したサブシステム
の構成要素１２−１から他の構成要素１２−２へのサー
ビスを引き継ぐための情報を，持続性保証情報とアトミ
シティ保証情報と非アイデンポテント処理保証情報とす
ることにより，引継ぎ情報の採取およびその読込み処理
を統一化し，無駄のない引継ぎを可能とする。

【００２２】

【作用】フォールトトレラントのために，メモリそのも
のを二重化すると，ソフトウェアのバグなどによる処理
結果についても引き継いでしまうため，ソフトウェア故
障に対してフォールトトレラントでなくなる。そこで，
メモリを丸コピーするのではなく，エッセンス引継ぎに
より，必要な情報のみを引き継ぐ。

【００２３】本発明は，この従来のエッセンス引継ぎ方
式をさらに改良発展させ，引継ぎ情報として必要な情報
を整理することにより，以下のような明確化した論理的
に必要最小の情報を使った引継ぎを実現する。

【００２４】現用系の故障を要求元に見せずにサービス
を継続するためには，現用系が提供する個々のサービス
に対して，次の二つの性質を保証すればよい。 持続性（durability) ひとたびサービスが完了すると，故障が起きてもサービ
スの効果は保存される。

【００２５】 アトミシティ（atomicit） サービスは完全になされるか，一切なされないか（all
or nothing）のいずれかである。

【００２６】また，アイデンポテントでない処理に対し
ては，一つの要求に対して，処理を重ねて実行しないこ
とを保証しなければならない（）。これらの，，
を保証するために，待機系に引き継ぐ必要のある情報
は，次の三つに集約できる。

【００２７】 既に完了したサービスを保証する（du
rability）ための情報（以下，これをα情報という）。
現用系が仕掛中のサービスのアトミシティを保証す
るための情報（以下，これをβ情報という）。

【００２８】 アイデンポテントでない処理に対し
て，処理結果を保証するための情報（以下，これをδ情
報という）。言い換えれば，α，β，δ情報以外の情報
は引き継ぐ必要はない。すなわち，例えばスタック内の
情報というような自プログラムが走行するために必要な
情報は引き継ぐ必要はない。また，処理途中で生成され
る中間的な情報についても引き継ぐ必要はない。

【００２９】

【実施例】最初に図２に従って，本実施例の前提となる
メッセージ再送機能について説明する。図２において，
Ｃ１，Ｃ２はメッセージによって処理を要求するクライ
アント，ＦＳ１，ＦＳ２はファイル管理機能を提供する
ファイルサーバ，３０はオペレーティング・システムの
核によるメッセージ通信機構を表す。

【００３０】ファイルサーバＦＳ１は現用としてサービ
スしており，ファイルサーバＦＳ２は現用系が故障した
ときのために待機している。クライアントＣ１は，ファ
イルサーバＦＳ１に対し，ファイルのオープン要求（ｏ
ｐｎｆｉｌｅ）を行い，クライアントＣ２は，ファイル
サーバＦＳ２に対し，ファイルの創成要求（ｃｒｔｆｉ
ｌｅ）を行っている。これらの要求は，メッセージ通信
機構３０を介して，メッセージを送信することにより行
う。

【００３１】メッセージの再送機能とは，送信先サーバ
（例えばファイルサーバＦＳ１）がクラッシュすると，
メッセージ通信機構３０によって，送信先サーバの新現
用であるファイルサーバＦＳ２へメッセージを再送する
機能をいう。メッセージには，メッセージ通信機構３０
により，自動的に要求番号が付加され，送信先サーバが
障害によりクラッシュして，メッセージを再送する場合
には，同一の要求番号が用いられる。

【００３２】図２の例では，クライアントＣ１，Ｃ２の
要求メッセージは，ファイルサーバＦＳ１のクラッシュ
により，新現用となったファイルサーバＦＳ２に対し
て，再送されている。メッセージに付加される要求番号
は，それぞれ１００，１０１であり，最初の要求番号と
同じである。

【００３３】次に，図３に従って，本発明の一実施例に
よる引継ぎの例を説明する。ファイルサーバは，現用
（ＦＳ１）・待機（ＦＳ２）の二重化構成とする。現用
系は，定常処理時に，図３の（Ａ）に示すようにα，
β，δ情報を，不揮発メモリ２０に書き出す。

【００３４】待機系では，引継ぎ時に，図３の（Ｂ）に
示すように，不揮発メモリ２０からα，β，δ情報を読
み込み，α情報により現用系で保証したサービスの効果
を保証し，β情報により仕掛中処理のアトミシティを保
証した後，サービスを再開する。サービス開始後，アイ
デンポテントでない処理に対する要求がきた場合，図３
の（Ｃ）に示すように，δ情報から既にサービスが完了
した情報かどうか判断し，既に完了していれば，処理を
行わずに結果だけ返答する。

【００３５】この例におけるα情報，β情報，δ情報
は，以下の内容のものである。 〔α情報〕ファイルのオープン依頼に対して，ファイル
サーバＦＳ１では，ファイルにアクセスするための権限
をチェックし，以降アクセス時に使用する識別子（これ
をファイルアクセスｉｄという）を要求元に返す。この
ファイルアクセスｉｄと，オープンしたファイルを関係
付けるための情報，すなわちオープンファイル管理情報
をメモリ上に置く。

【００３６】このとき，現用の故障により，要求元から
のアクセスが不能にならないように，オープンファイル
管理情報をα情報として不揮発メモリ２０の持続性保証
情報域２１に書き出す。オープンファイル管理情報は，
ファイルアクセスｉｄ，ファイルｉｄからなり，数バイ
トの大きさである。

【００３７】〔β情報〕ファイル創成処理では，スペー
スを獲得するためスペース管理情報を更新し，その後，
名前を登録するため名前管理情報の更新を行う。スペー
ス管理情報の更新後，何らかの障害で現用の処理が中断
した場合に，スペース管理情報と名前管理情報との間に
矛盾を生じさせないため，引継ぎ時には，待機系で，ど
の管理情報を更新したかを意識してアトミシティを保証
する必要がある。そのために，スペース管理情報の更新
に先立って，どの情報を更新するかを，β情報としてア
トミシティ保証情報域２２の安定記憶に書き出す。β情
報の大きさは，数十バイト程度である。

【００３８】〔δ情報〕ファイル創成処理は，アイデン
ポテントでない処理である。すなわち，ファイル創成要
求に対してファイルを創成し，次に再度同じファイルを
創成しようとすると，ファイルは既に存在するためエラ
ーとなる。

【００３９】現用系では，ファイル創成要求を受けた場
合，要求番号を不揮発メモリ２０の非アイデンポテント
処理保証情報域２３にδ情報として書き出す。また，創
成処理が完了した場合には，その処理結果を要求番号に
対応させて，δ情報として不揮発メモリ２０に書き出
す。

【００４０】ファイルサーバＦＳ１がファイル創成処理
を実行中にクラッシュした場合には，クライアントＣ２
から新現用のファイルサーバＦＳ２へメッセージが再送
される。再送メッセージを受けた新現用のファイルサー
バＦＳ２では，既に処理を完了した要求と同一要求であ
るかどうかを，δ情報の要求番号により認識し，完了し
ている場合には処理結果のδ情報を返答する。δ情報
は，要求番号，処理結果（復帰コード）からなり，数バ
イトの大きさである。

【００４１】図４および図５は，本発明の一実施例によ
る定常時の処理フローを示す。以下，図４および図５に
示す処理(a) 〜(l) に従って説明する。 (a) サーバは，クライアントからの要求を受信する。こ
の要求メッセージには，要求内容（Ｄとする）とメッセ
ージ通信機構が付加した要求番号が含まれる。

【００４２】(b) 処理（Ｐ）を開始する。なお，ここで
処理（Ｐ）とは，サーバをフォールトトレラント化しな
い場合に，クライアントからの要求（Ｄ）を完了するた
めに必要な処理である。

【００４３】(c) サーバ外の情報を更新する処理かどう
かを判定する。サーバ外の情報を更新する処理の場合，
処理(d) へ移る。そうでない場合，処理(f) へ進む。 (d) β情報書出し処理部（図１に示す第２の情報書出し
手段１４に相当）により，意図リストの作成と書出しを
行う。意図リストとは，異常発生の際に，アトミシティ
保証のため，Ａ１，Ａ２，…，Ａｎの情報のすべてが書
き出されるか，またはどの一つも書き出されないように
する必要があるような情報を対象としている場合に，そ
の中のＡｉを書き出すという意図を示すリストである。
これをβ情報としてアトミシティ保証情報域２２に書き
出す。

【００４４】(e) 意図リストに書いた処理を行う。すな
わち，実際にＡｉの情報を書き出す処理を実行する。 (f) 処理（Ｐ）が終了したかどうかを判定し，終了した
ならば，処理(h) へ進む。そうでなければ，処理(g) へ
移る。

【００４５】(g) 処理（Ｐ）を続け，処理(c) から処理
(f) を繰り返す。 (h) 処理の効果をクライアントに保証するのに必要な情
報を，サーバのメモリ上に持つかどうかを判定する。持
つ場合，処理(i) を実行し，そうでない場合，次の処理
(j) へ移る。

【００４６】(i) α情報書出し処理部（図１に示す第１
の情報書出し手段１３に相当）により，処理の効果を保
証するのに必要な情報を，不揮発メモリ２０の持続性保
証情報域２１にα情報として書き出す。

【００４７】(j) 処理結果がアイデンポテントかどうか
を判定する。アイデンポテントである場合，処理(l) へ
進み，アイデンポテントでない場合，処理(k) を実行す
る。 (k) δ情報書出し処理部（図１に示す第３の情報書出し
手段１５に相当）により，メッセージに付加されている
要求番号と処理結果とを対応させて，非アイデンポテン
ト処理保証情報域２３にδ情報として書き出す。

【００４８】(l) 処理結果をクライアントへ返信し，処
理を終了する。 図６は，本発明の一実施例による引継ぎ時の処理フロー
を示す。以下，図６に示す処理(a) 〜(d) に従って説明
する。

【００４９】(a) サーバの現用系がクラッシュし，待機
系が処理を引き継ぐ場合，まずα情報読込み処理部（図
１に示す第１の情報読込み手段１６に相当）により，処
理の効果を保証するのに必要な情報を読込み，メモリ上
に復元する。

【００５０】(b) 次に，β情報読込み処理部（図１に示
す第２の情報読込み手段１７に相当）により，β情報の
意図リストをメモリに読込む。 (c) 意図リストから処理が中途半端になっている処理を
見つけ，その処理についてアトミシティを保証する。こ
の例では，Ａの処理はＡ１，Ａ２とも完了しているが，
Ｂの処理はＢ１が完了で，Ｂ２が未完である。そこで，
Ｂ２の情報の書出しを行い，Ｂ２を完了させることによ
り，アトミシティを保証する。

【００５１】(d) δ情報読込み処理部（図１に示す第３
の情報読込み手段１８に相当）により，要求番号と処理
結果のδ情報を，非アイデンポテント処理保証情報域２
３から読み込んで復元する。以上で引継ぎ処理を完了す
る。

【００５２】図７は，図６の引継ぎ処理の後の同一要求
に対する処理フローを示す。以下，図７に示す処理(a)
〜(d) に従って説明する。 (a) クライアントからの要求を受信する。この要求メッ
セージには，Ｄの要求内容と要求番号とが含まれてい
る。

【００５３】(b) 要求番号が既存かどうかを判定する。
すなわち，図６に示すδ情報読込み処理部によってメモ
リ上に復元した要求番号の中に，今回のメッセージで通
知された要求番号と同一のものがあるかどうかを調べ
る。同一の要求番号がない場合，新しい要求であるの
で，処理(c) を実行し，同一の要求番号がある場合，ア
イデンポテントでない処理の要求についての再送メッセ
ージであるので，処理(d)を実行する。

【００５４】(c) 要求内容（Ｄ）に対する処理を実行す
る。この処理は，図４および図５に示す定常時の処理と
同様である。 (d) 再送メッセージである場合，アイデンポテントでな
い処理の処理結果を保証するため，要求に対する処理は
行わず，クライアントへδ情報から得た処理結果のみを
返信する。

【００５５】

【発明の効果】以上説明したように，本発明によれば，
以下の効果がある。 (1) ソフトウェア障害に対してもフォールトトレラント
である。

【００５６】ハードウェア（プロセッサモジュール）の
故障に対してフォールトトレラント化されるほか，必要
最小の情報を引き継いでいるため，ソフトウェア障害に
対してもフォールトトレラントである。 (2) 定常処理時のオーバヘッドが小さい。

【００５７】必要最小の情報を引き継ぐことにより，引
き継ぐ情報量を大幅に削減できる。 (3) 引継ぎに関する処理が簡素化される。 引継ぎ情報が，α情報，β情報，δ情報として整理され
ているため，引継ぎに関する処理ロジックの統一化が可
能となり，サーバなどのプログラム開発が容易になる。

【図面の簡単な説明】

【図１】本発明の原理説明図である。

【図２】本発明の一実施例を説明するためのメッセージ
再送機能説明図である。

【図３】本発明の一実施例による引継ぎの例を示す図で
ある。

【図４】本発明の一実施例による定常時の処理フローを
示す図である。

【図５】本発明の一実施例による定常時の処理フローを
示す図である。

【図６】本発明の一実施例による引継ぎ時の処理フロー
を示す図である。

【図７】本発明の一実施例による引継ぎ後の同一要求に
対する処理フローを示す図である。

【図８】従来技術の例を示す図である。

【符号の説明】

１０ データ処理装置 １１ サブシステム １２−１，１２−２ サブシステムの構成要素 １３ 第１の情報書出し手段 １４ 第２の情報書出し手段 １５ 第３の情報書出し手段 １６ 第１の情報読込み手段 １７ 第２の情報読込み手段 １８ 第３の情報読込み手段 ２０ 不揮発メモリ ２１ 持続性保証情報域 ２２ アトミシティ保証情報域 ２３ 非アイデンポテント処理保証情報域

Claims (1)

1. 【特許請求の範囲】 【請求項１】 ソフトウェアおよびハードウェアの故障
   によるオペレーティング・システム障害の範囲を限定す
   るために，オペレーティング・システムを複数のサブシ
   ステムに分け，それぞれのサブシステムを多重化し，サ
   ービス提供中の多重化したサブシステムの構成要素の一
   つに異常が発生すると，他の動作可能なサブシステムの
   構成要素にサービスを引き継ぐことにより，サービス能
   力の継続を可能とするデータ処理装置(10)における多重
   化サブシステム間処理引継ぎ処理方式において， 定常処理時に，既に完了したサービスを保証するための
   持続性保証情報を所定の領域に書き出す第１の情報書出
   し手段(13)と， 定常処理時に，現用系が仕掛中のサービスのアトミシテ
   ィを保証するためのアトミシティ保証情報を所定の領域
   に書き出す第２の情報書出し手段(14)と， 定常処理時に，アイデンポテントでない処理に対して処
   理結果を保証するための非アイデンポテント処理保証情
   報を所定の領域に書き出す第３の情報書出し手段(15)
   と， 処理の引継ぎ時に，前記持続性保証情報を読み込み，サ
   ービスの持続性を保証する第１の情報読込み手段(16)
   と， 処理の引継ぎ時に，前記アトミシティ保証情報を読み込
   み，仕掛中のサービスのアトミシティを保証する第２の
   情報読込み手段(17)と， 処理の引継ぎ時に，前記非アイデンポテント処理保証情
   報を読み込み，アイデンポテントでない処理に対する処
   理結果を保証する第３の情報読込み手段(18)とを備え， 異常が発生したサブシステムの構成要素から他の構成要
   素へのサービスを引き継ぐための情報を，持続性保証情
   報とアトミシティ保証情報と非アイデンポテント処理保
   証情報としたことを特徴とする多重化サブシステム間処
   理引継ぎ処理方式。