JPH05181823A - 区画区分式プロセス環境における区画間制御のための方法及び装置 - Google Patents

Abstract

(57)【要約】 【目的】 論理区画区分式データ処理システムにおいて
区画間のバックアップ機能を全自動化してオペレータの
介入を不要にする。 【構成】 論理区画ごとに各々システムを確立し１１、
各々の論理区画のシステムの動作を別の論理区画のシス
テムに監視させる１２。各論理区画のシステムには、他
の論理区画のシステムの故障を検出した際に取るべき動
作を規定したアベイラビリティ・ポリシーを備えてお
く。あるシステムが故障したならば、そのシステムの故
障の際の応答動作を許可されているシステムが、プロセ
ッサ・リソース／システム・マネジャ（ＰＲ／ＳＭ）機
構等のハイパーバイザと通信して、そのハイパーバイザ
に、故障したシステムの論理区画に対する、システム・
リセット、非活動化等の処理を行なわせる１３。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、論理区画区分式データ
処理システムの分野に関するものである。より詳しく
は、本発明は、ある１つの論理区画において活動状態に
あるプロセスが別の論理区画の中のプロセスに対して影
響を及ぼす活動を行わねばならない場合の、区画間対話
のメカニズムに関するものである。

【０００２】

【従来の技術】

『論理区画』論理区画区分の機能を利用すると、１台の
大型コンピュータ・システムを、マイクロコードの制御
下に置かれた複数の区画へ分割することができる（例え
ば、ＩＢＭ社のＰＲ／ＳＭ機構を利用して、ＩＢＭ３０
９０プロセッサを複数の区画に分割することができ
る）。論理区画（logical partition:ＬＰ）とは、シス
テム制御プログラム（system control program: ＳＣ
Ｐ）を実行するのに充分な量のハードウェア資源（プロ
セッサ、メモリ、チャネル、等々）のセットのことをい
う。更なる背景技術は、ＩＢＭ社の「ＥＳ／３０９０プ
ロセッサ・コンプレックス：プロセッサ・リソース／シ
ステム・マネジャ（ＧＡ２２−７１２３）」の中に記載
されている。

【０００３】論理区画区分式マシンでは、その中の各々
のＳＣＰを互いに分離してあり、それらＳＣＰの実行
は、あたかも、各ＳＣＰがそのＳＣＰの専用の物理セン
トラル・プロセッサ・コンプレックス（ＣＰＣ）の中に
置かれているかのようにして行なわれる。また、区画区
分の機能を利用することによって、非常に大きな融通性
が得られる。例えば、一日のうちの何回かの作業交替の
たびに行なわれる導入処理や、或いは、それより長い期
間に亙る、新たなソフトウェア、ないしはソフトウェア
の新たなバージョンに関する、試験ないし移行の際に行
なわれる導入処理において、その導入処理の際に異なっ
た論理区画を活動化することができる。更には、論理区
画区分の機能を利用することによって、ユーザがマシン
の物理資源を最大限に利用することが可能となる。

【０００４】しかしながら、同じ１台の物理マシンの上
に複数のＳＣＰが置かれているにもかかわらず、それら
ＳＣＰには、直接その他のＳＣＰとの間で通信をした
り、直接その他のＳＣＰを制御したりするための手段は
備えられていない。そして、サービス・プロセッサに接
続された１台のシステム・コンソールを介して、オペレ
ータが、論理区画の制御を行なうようにしている。ま
た、論理区画区分式マシンでは、複数のＳＣＰを実際に
は同じ１つのＣＰＣの上に置くようにしてあり、それら
複数のＳＣＰが、単一のサービス・プロセッサを共用す
るようにしてある。更に、ハードウェアによる論理区画
区分の機能を装備したマシンには、再構成サポート機能
も併せて装備してあり、この再構成サポート機能によっ
て、ＳＣＰがチャネルや記憶機構等の資源を追加するこ
とができるようにしてある。ただしこの場合に、ある資
源を論理区画の構成に追加することができるのは、その
資源が「解放されている」場合に限られ、ここで「解放
されている」とは、その資源がその他の区画に使用され
ていない状態にあることをいう。

【０００５】論理区画非活動化とは、オペレータによっ
て開始される、論理区画を閉鎖するための機能である。
ある論理区画を非活動化したならば、その論理区画は、
それまでその論理区画に割り振られていたプロセッサや
記憶機構を全て解放すると共に、その論理区画として構
成されていたチャネル経路をリセットする。（これにつ
いての更なる詳細は、ＩＢＭ社の「ＥＳ／３０９０プロ
セッサ・コンプレックス：プロセッサ・リソース／シス
テム・マネジャ（ＧＡ２２−７１２３）」を参照された
い）。

【０００６】プロセッサ・リソース／システム・マネジ
ャ（ＰＲ／ＳＭ）機構の主要機能のうちの１つに、記憶
機構並びに物理ＣＰＣの処理能力を区画区分することの
できる能力がある。これは、論理区画の各々に主記憶機
構ないし拡張記憶機構の一部分を付与することのできる
能力である。

【０００７】このＰＲ／ＳＭ機構の、記憶機構再構成機
能を用いると、複数の区画の間で記憶機構の動的な再構
成を行なうことができる。即ち、ある区画に割り振られ
ている記憶機構の割当分のうちの一部を、その区画から
構成解除し（即ち除去し）、そしてその部分を、別の区
画を活動化する際に使用することができる。また、別の
方法として、ある区画を非活動化して、その区画に割り
振られていた記憶機構の割当分の全てを、別の区画のも
のとして構成することも可能である。

【０００８】ＳＣＰがサービス・プロセッサに対して記
憶機構の再構成を実行するよう要求する際には、サービ
ス・コールによってその要求を発するようにしている。

【０００９】夫々の区画の記憶機構の構成を規定するに
は、論理区画規定フレームを利用するようにしている。
また、記憶機構再構成機能を利用するためには、１つの
論理区画に対する記憶機構の割当分を規定する際に、そ
れを２つの割当量に関して規定しておく必要があり、そ
の１つは初期記憶量、もう１つは予約記憶量である。更
に、物理構成の中における開始アドレスも定めておかね
ばならない。即ち、ある区画（第１区画とする）に、そ
れとは別の区画（第２区画とする）の割当分として規定
されていた記憶機構を追加できるのは、その第２区画の
記憶機構が、この第１区画の記憶機構の予約記憶部分と
同一の物理アドレスの中から始まるように規定されてい
た場合に限られるのである。（これに関する更なる詳細
は、ＩＢＭ社の「ＥＳ／３０９０プロセッサ・コンプレ
ックス：プロセッサ・リソース／システム・マネジャ
（ＧＡ２２−７１２３）」、並びに「プロセッサ・リソ
ース／システム・マネジャの動的記憶機構再構成のため
のＭＶＳガイド（ＧＣ２８−１３６５）」を参照された
い）。

【００１０】各々のＳＣＰは、「サービス・コール論理
プロセッサ（Service Call LogicalProcessor: ＳＣＬ
Ｐ）」との間で通信を行なう際に使用する、サービス・
プロセッサ・インターフェースを備えている。ＳＣＰ
は、それ自身の記憶機構の中に制御情報をセットアップ
した上で、サービス・コール命令を実行する。このサー
ビス・コール命令は、その制御情報の中に指定した機能
を、サービス・コール論理プロセッサ（以下、サービス
・プロセッサ）に実行させるための命令である。また、
サービス・プロセッサ・インターフェースの、その全体
的な目的は、サービス・プロセッサとの間で通信を行な
い、サービス・プロセッサによって提供されるサービス
を起動することにある。個々の具体的な機能の種類に応
じて、実際の実行が行なわれるのは、ＣＰＣの中であっ
たり、サービス・プロセッサの中であったり、或いは、
それら両方の中であったりする。

【００１１】サービス・コール命令には、「ＳＣＬＰコ
マンド・ワード」と呼ばれる３２ビットの値と、サービ
ス・コール制御ブロック（Service Call Control Bloc
k: ＳＣＣＢ）の実アドレスとが含まれていなければな
らない。このＳＣＣＢには、ＳＣＬＰコマンドに関連し
た制御情報を入れてある。サービス・コール命令は、そ
のＳＣＬＰコマンドがサービス・コール論理プロセッサ
（ＳＣＬＰ）に受入れられたときをもって、その実行が
完了する。そして実質的な機能は、非同期的に実行され
る。ＳＣＬＰコマンドが実行を完了したことは、「’２
４０１’Ｘ」という外部割込みコード（サービス信号）
を持った外部割込みによって通知されるようにしてあ
る。

【００１２】『マルチシステムにおけるアプリケーショ
ン』従来より公知となっている多くのアプリケーション
（例えばＣＩＣＳ、ＩＭＳ等）では、マルチシステム環
境の中の１つのＳＣＰ（例えばＭＶＳ等）の上で各々が
実行されるアプリケーションには、２とおりの立場があ
り、その１つは「活動」（ないしは「プライマリ」）、
もう１つは「代替」（ないしは「バックアップ」）の立
場である。あるプライマリ・アプリケーションが、その
サービスを実行不能な状態に陥ったときには、そのプラ
イマリ・アプリケーションの役割をバックアップ・アプ
リケーションが引継ぐようにしている。ただし、アプリ
ケーションの故障ばかりでなく、ＳＣＰの故障や、遠隔
通信アクセス法の処理プログラム（例えばＶＴＡＭ等）
の故障に対しても、機能防護できるようにすることが望
まれる場合には、マルチシステム式の構成が必要とな
る。これらの防護を可能とする拡張回復機能（Extended
Recovery Facility: ＸＲＦ）は、故障が発生した際に
そのアプリケーションのエンド・ユーザが直面すること
になるサービス中断時間を短縮するのに大いに役立つも
のである。これについての更なる詳細は、ＩＢＭ社の
「ＣＩＣＳ／ＥＳＡ￣ＸＲＦガイドＶ３．１（ＳＣ３３
−０６６１）」を参照されたい。

【００１３】この種のバックアップ能力を備えるために
は、導入処理の際に、各々が完全に構成された、２組の
システムを構成しておけなければならない。それらシス
テムの一方をプライマリとして機能させ、他方をバック
アップとして機能させるのである。更には、プライマリ
の故障を確認するための処理には、これまで、オペレー
タの頻繁な介入や、追加のハードウェアないしソフトウ
ェアが必要とされていた。例えば、ＣＩＣＳ￣ＸＲＦ
は、通常、ＣＩＣＳないしＶＴＡＭの故障からは自動的
に回復することができるが、ＭＶＳの故障からの回復処
理は、本発明以前にはオペレータの介入なしには、その
全てを行なうことができなかった。即ち、ＭＶＳが故障
した場合には、オペレータが（或いは、オペレーション
・オートメーション・ツールが）、代替ＣＩＣＳから送
出されたメッセージを見て、ＭＶＳのシステム・リセッ
トをし、活動ＣＩＣＳがどのあたりを走っていたのかを
推測し、そして更に、その代替ＣＩＣＳのメッセージに
応答して、リセットが正常に完了したことの確認を与え
るようにする必要があった。

【００１４】必要な機能が達成されるようにするための
方法として２とおりの方法があり、第１はオペレータが
介入するというもの、そして第２は追加のハードウェア
ないしソフトウェア・パッケージを使用するというもの
である。

【００１５】『オペレータの介入による解決法』以下に
示す想定状況は、論理区画を利用して高いアベイラビリ
ティを達成するためには、導入処理をどのように行なっ
ておけば良いかを、説明するためのものである。 １．活動システムの論理区画から代替システムの論理区
画への、記憶機構の再構成が可能なように、論理区画を
規定する。 ２．第１システムには、活動アプリケーション（例えば
ＣＩＣＳ等）を走らせる。 ３．第２システムには、代替アプリケーションを走らせ
る。 ４．第１システムが故障する。 ５．所定時間（この時間はユーザが制御することができ
る）の経過後に、第２システムがオペレータに対して、
第１システムのステータスに関するプロンプトを出す。 ６．これに応えてオペレータは、手操作で第１システム
をリセットする。 ７．次にオペレータは、手操作で第１システムを非活動
化する（上のリセットを行なっていなかった場合には、
この非活動化によって第１システムのリセットも併せて
行なわれる）。 ８．次にオペレータは、第１システムから記憶機構を獲
得するための再構成コマンドを、手操作で第２システム
へ送出し、そして、そのオペレーションが完了するのを
待つ。 ９．次にオペレータは、上のステップ５において出され
たプロンプトに対して応答する。 １０．この時点で、ワークロードを第２システムへ切替
えるための処理を、アプリケーションが開始する。

【００１６】以上の想定状況において、ステップ５、
６、７、８、及び９では、オペレータの手操作が必要と
されている。この手操作による介入があるために、遅延
時間が長くなっている上に誤操作の可能性も生じてお
り、それらによって、エンド・ユーザにとっての、アプ
リケーションのアベイラビリティが、低いものとなって
いる。

【００１７】『追加のハードウェアないしソフトウェア
による解決法』次に示す想定状況は、ＮＥＴＶＩＥＷ並
びにＩＳＣＦという製品を利用し且つ追加のハードウェ
アを購入して接続するという方法によって、高いアベイ
ラビリティを達成するためには、導入処理をどのように
行なえば良いのかを説明するためのものである。（これ
に関し、ＩＢＭ社の「ＩＳＣＦの計画及び導入ガイド」
（ＳＣ３０−３４７２）を参照されたい）。以下の想定
状況は、それがどのようにして機能するかを示したもの
である。 １．活動システムの論理区画から代替システムの論理区
画への、記憶機構の再構成が可能なように、論理区画を
規定する。 ２．導入処理に関しては、ＮＥＴＶＩＥＷ並びにＩＳＣ
Ｆという製品を購入してシステムに導入する。ユーザは
更に、ＰＳ／２を購入すると共に、２つのシステムにお
ける夫々のシステム・コンソールとオペレータ・コンソ
ールとにＩＳＣＦを接続するためのケーブルを購入す
る。 ３．更にユーザは、ＮＥＴＶＩＥＷ並びにＩＳＣＦの制
御情報を、必要な動作を実行させることができるように
設定する必要がある。 ４．第１システムには、活動アプリケーション（例えば
ＣＩＣＳ等）を走らせる。 ５．第２システムには、代替アプリケーションを走らせ
る。 ６．第１システムが故障する。 ７．所定時間（この時間はユーザが制御することができ
る）の経過後に、第２システムがオペレータに対して、
第１システムのステータスに関するプロンプトを出す。 ８．ＮＥＴＶＩＥＷがそのメッセージを捕捉して、ユー
ザ側のオートメーション・ルーチンを起動する。 ９．起動されたこのオートメーション・ルーチンは、Ｉ
ＳＣＦの諸機能のうちの、第１システムの論理区画を非
活動化する機能を起動する。 １０．ＩＳＣＦは、ＶＴＡＭを介して、ＩＳＣＦのＰＳ
／２への通信を行なう。 １１．ＩＳＣＦのＰＳ／２は、システム・コンソールへ
の通信を行なって、非活動化機能の実行を要求する。 １２．続いてＩＳＣＦのＰＳ／２は、システム・コンソ
ールをモニタして、要求したその非活動化機能の実行完
了を確認する。それが実行完了したならば、ＩＳＣＦの
ＰＳ／２は、第２システム上においてＩＳＣＦへ応答を
返すための通信を行ない、その通信を受けたＩＳＣＦ
は、ＮＥＴＶＩＥＷのオートメーション・ルーチンへ制
御を返して、その機能が実行完了したことを知らせる。 １３．この時点で、オートメーション・ルーチンは、資
源を再構成するためのＭＶＳ再構成コマンドを起動する
必要がある。 １４．次に、オートメーション・ルーチンは、上のステ
ップ７で出されたプロンプトに対して応答する。 １５．この時点で、ワークロードを第２システムへ切替
えるための処理を、アプリケーションが開始する。

【００１８】この方式は、人間による操作が必要とされ
ている場合に生じがちな、長時間に亙る予測不可能な遅
延を防止するためには大いに役立つものであるが、ただ
し、本発明と比較した場合には著しく劣った方式といわ
ざるを得ない。なぜならば、この方式では、ＭＶＳが故
障した場合に、ＣＩＣＳ￣ＸＲＦの引継ぎ処理を行なお
うとしたときに、適正な動作が適正な順序で行なわれる
ことが保証されないからである。この状況における誤動
作は、極めて重大なものであり、その理由は、この状況
において誤動作が発生したならば、そのためにユーザの
データを損傷させてしまうおそれがあり、しかも通常、
そのデータが損傷したことが判明するまでの間に、その
損傷したデータによって、その他の大量のデータが誤っ
た更新をされてしまうおそれがあるからである。

【００１９】以上のＩＳＣＦ／ＮＥＴＶＩＥＷ方式が、
ＣＩＣＳ￣ＸＲＦに用いるのに適したものであることを
保証できない具体的な理由は、以下のとおりである。 １．この方式のプロセスは、ＰＳ／２、ＩＳＣＦの接続
機器（追加の制御装置）、ＮＥＴＶＩＥＷ、ＩＳＣＦ、
及びＶＴＡＭという夫々の製品の信頼性、並びに、導入
の際に書き込むオートメーション・ルーチンの信頼性に
左右される。これらのいずれによっても、夫々に故障発
生率が増大することに加えて、更に、導入の費用とし
て、追加のハードウェア製品並びにソフトウェア製品の
費用もかかることになる。 ２．このプロセスは、そのとき存在しているメッセージ
を横取りして、そして、それらメッセージに対する応答
等の、必要な動作を自動的に行なうものである。従っ
て、人間であるオペレータが、メッセージに対して早ま
って応答を返してしまうという誤操作の可能性を、払拭
することができない。 ３．このＩＳＣＦ／ＮＥＴＶＩＥＷ方式では、システム
・リセットが必要となった原因を成すＳＣＰの状況を示
す固有の識別子を、受け取ることも、利用することもで
きない。この欠点によって例えば次の問題が生じるおそ
れがある。即ち、データを損傷してしまうという問題、
健全なＳＣＰがその必要もないのにユーザから引き離さ
れてしまうという問題、或いは、ＭＶＳの故障の原因を
診断することを目的としてそれまで実行していたスタン
ド・アローン・ダンプが失われてしまうという問題等が
生じる可能性がある。 ４．導入処理のたび毎に、該当するメッセージを捉えた
際にいかなる動作を実行すべきかを指定したなんらか
の、しかも比較的複雑なプログラムを書き込まねばなら
ない。このプログラムを開発し、維持するにはかなりの
費用がかかる。しかもこのプログラムは、誤りを含んだ
ものとなり易いにもかかわらず、それをテストするのは
困難であり、なぜならば、起こり得る故障の状況には極
めて多くの種類があるからである。また、この種のプロ
グラムに誤りがあった場合には、結果的にデータを損傷
してしまうことが多いが、そのデータ損傷の事実はかな
り長期に亙って表面に出ないため、回復が非常に困難で
ある。また、たとえそのデータ損傷の事実が速やかに判
明したとしても、その損傷したデータの正しいバージョ
ンを、バックアップ・コピーから出発して、前向き回復
して行くことによって元の状態に復元するまでの間は、
エンド・ユーザに対するサービスは、機能低下したまま
の状態が続くことになる。

【００２０】

【発明の概要】本発明は、第１の論理区画の中のプロセ
スを用いて、第２の論理区画の中の全てのプロセスを、
効率的にしかも自動的に監視し且つ中止させることがで
きるようにし、それによって、第２の論理区画内のワー
クロードを、第１の論理区画へ移動させることができる
ようにした、方法及び装置を提供するものである。

【００２１】動作について説明すると、先ず、論理区画
区分式システムの中の選択した区画を、区画間機能を行
使できるようにイネーブルする。次いで、それら選択し
た区画においてオペレーティング・システムを始動させ
る。始動した各々のオペレーティング・システムは、み
ずからを区画間機能の処理対象となり得るようにイネー
ブルする。更に、それら各々のオペレーティング・シス
テムは、他の区画内のオペレーティング・システムが故
障した際の動作を指定したポリシーを活動化する。それ
ら他のシステムのうちの１つが故障したならば、その故
障システム以外のその他のシステムが、みずからのポリ
シーを調べて、自動的に適当な動作を実行する。この自
動的な動作には、非活動化、リセット、それに、故障し
たターゲット・システムの論理区画から資源を移動させ
る資源再構成等の動作が含まれている。

【００２２】従って本発明の目的は、ある区画内のプロ
セスに、別の区画内の故障システムの下でランしていた
別のプロセスの機能を引継がせるプロセスを自動化する
ことにある。本発明の更なる目的は、区画間制御のため
の信頼性の高いメカニズムを提供することにある。本発
明の更なる目的は、異なった区画内をランしているプロ
セスに対して適用するアベイラビリティ・ポリシーを、
高い信頼性を持って規定し運用することのできるメカニ
ズムを提供することにある。本発明の更なる目的は、あ
る区画内でランしているプロセスを、別の区画内でラン
しているプロセスで自動的にバックアップするようにす
る際の、追加のハードウェアないしソフトウェアの必要
を低減し、また、信頼性の劣るハードウェアないしソフ
トウェアの必要を低減することにある。

【００２３】

【実施例】本発明は、マルチシステム環境が確立されて
いることを必要とする。これに関して以下の説明では、
シスプレックスという用語（「システム」と「コンプレ
ックス」との合成語）を使用するが、この用語は、マル
チシステム環境内の複数のシステムから成る、システム
のセット（集合）を言い表わしたものである。どのよう
な場合に複数のシステムをシスプレックスと呼べるかと
いう、その限界を更に明瞭に示すならば、シスプレック
スであるためには、その中の複数のシステムの各々が、
以下の条件を満たしていなければならない（以下の説明
に関しては、図１７を参照されたい）。 −それら複数のシステムの各々が、共用ＤＡＳＤ上の、
共通の１つのシスプレックス・データ・セット１７０１
を共用できるようにしてあること。 −それら複数のシステムの各々が、そのシスプレックス
・データ・セットの中へ、固有のシステム使用許可識別
子１７０２を書き込むことによって、その他のシステム
がそのシステムとの間で通信できるようになるようにし
てあること。この識別子の固有の値は「システムＩＤ」
とも呼ばれるものであり、これについては後に詳述す
る。 −それら複数のシステムの各々が、シスプレックス・デ
ータ・セットの中の固有のセクション（１７０３Ａ、１
７０３Ｂ、１７０３Ｃ）を要求することができ、且つ、
更新することができるようにしてあること。各システム
は、この固有の部分（セクション）の中において、タイ
ム・スタンプを含んだステータス・フィールド１７０４
を一定の期間ごとに更新する。各システムは更に、その
システムの故障検出期間１７０５（この期間は導入の際
に指定される）を書き込んでおく。そして、あるシステ
ムが、この故障検出期間１７０５を超える時間に亙って
ステータス・フィールドの更新を行なわずにいた場合に
は、それをもって「ステータス更新欠落」が発生したも
のと判断する。 −あるシスプレックスの中の複数のシステムは、その各
々のシステムが、そのシスプレックスの中の、その他全
てのシステムのステータス・フィールドを読み取れるよ
うにしてあること。こうしておくことによって、ステー
タス更新欠落状態を、その他のシステムが検出すること
ができる。 −シスプレックスの中のあるシステムに、別のあるシス
テムを対象とした、アベイラビリティ・ポリシーに従っ
た動作を実行する必要が生じた場合には、その対象とさ
れるシステムのシステムＩＤ（１７０２）が、シスプレ
ックス・データ・セットから得られるようにしてあるこ
と。こうして得られたシステムＩＤがＰＲ／ＳＭ機構へ
渡されることによって、区画間リセット、ないしは区画
間非活動化が行なわれるようにする。また、このシステ
ムＩＤは、動作実行側システムの論理区画（ＬＰ）が、
故障側システムのＬＰに対して区画間機能を行使し得る
ものであることを示す、使用許可値でもある。

【００２４】図１は、本発明のハイレベルなフローチャ
ートを示したものである。初期化段階１１には、次のも
のが含まれている。即ち先ず、ある論理区画を対象とし
た動作を実行する権限を、それとは別のどの論理区画に
許可しておくかを規定するために必要なセットアップが
あり、また、オペレーティング・システムの初期プログ
ラム・ロード（ＩＰＬ）があり、更に、そのオペレーテ
ィング・システムが実行すべき動作を管理するアベイラ
ビリティ・ポリシーの活動化が含まれている。オペレー
ティング・システムのＩＰＬが正常に終了したならば、
モニタ動作段階１２が開始される。このモニタ動作は、
あるオペレーティング・システムが故障していると判断
される場合に、その故障の事実を識別するためのもので
ある。次の１３で示した分離段階は、故障したシステム
が共用資源にアクセスすることを防止するプロセスであ
る。あるシステム（ある論理区画の中でランしているシ
ステム）が故障していることを確認し、その故障システ
ムを共用資源から分離した後には、資源再構成段階１４
において、その故障システムから、そのシステムの資源
（例えば記憶機構、プロセッサ、等々）を解放すること
ができ、そして、解放したそれら資源は、同じマシンの
中の異なった論理区画の中でランしているその他のシス
テムが、それらを獲得することができる。また、この資
源再構成と同時に、ワークロード引継ぎ段階１５におい
て、故障システムのワークロードの引継ぎを行なって、
それを、バックアップ即ち代替システム上のワークロー
ドとすることができる。こうして、ワークロードを他の
論理区画の上をランしているバックアップ・システムへ
移転させることによって、故障システムから獲得したシ
ステム資源を利用することが可能となる。

【００２５】図２は、初期化段階における制御の流れを
示したフローチャートである。オペレーティング・シス
テムのＩＰＬを行なう前に、先ず、論理区画をイネーブ
ルして（２１）、後刻、いずれかのシステムが故障した
場合に必要となる、区画間機能を実行することができる
ようにしておく必要がある。この制御を行なうようにし
てあることによって、導入処理の際に、同一のＣＰＣ上
に置かれた、夫々ユーザが異なった複数の論理区画どう
しを、互いから適切に分離した状態を維持することがで
きるようになっている。また、従来より公知の、論理区
画セキュリティ・フレーム（ＬＰＳＥＣフレーム）（こ
れに関しては、例えばＩＢＭ社の「ＥＳ／３０９０プロ
セッサ・リソース／システム・マネジャ（ＧＡ２２−７
１２３）等を参照されたい）の中に、論理区画のため
の、種々のセキュリティ関係の制御を包含させている。
更に本発明では、このＬＰＳＥＣフレームに、区画間制
御許可の機能を追加してあり、この区画間制御許可の機
能は、ある論理区画の、他の論理区画に影響を及ぼす区
画間機能（例えば区画間システム・リセット機能等）を
行使する能力を、制限するためのものである。図３は、
このＬＰＳＥＣフレームを示したものである。同図に示
したように、論理区画の区画間制御許可を、ＬＰＳＥＣ
フレームのＸＬＰの縦列３１の中に指定するようにして
いる。

【００２６】図３に示した例では、１つのＬＰＳＥＣフ
レームに、２つの論理区画（「ＰＲＩＭＡＲＹ」３２と
「ＢＡＣＫＵＰ１」３３）を規定している。そして、
「ＢＡＣＫＵＰ１」論理区画には、区画間機能を行使す
る権限を付与してある（即ち、ＸＬＰ縦列の中のこの
「ＢＡＣＫＵＰ１」論理区画に対応した位置３４には
「イエス」を表わす「Ｙ」を指定してある）。このＸＬ
Ｐの情報は、セキュリティ制御テーブル（図８の１８０
３）の中に維持するようにしている。

【００２７】次に（図２の２２）、従来の一般的な仕方
で、オペレーティング・システムを論理区画の中に初期
プログラム・ロード（ＩＰＬ）する。（本実施例ではＭ
ＶＳをＩＰＬするようにしているが、このときロードす
る機能は、ＭＶＳオペレーティング・システムには限ら
れない。

【００２８】次に、２３では、オペレーティング・シス
テムの初期化の実行中のいずれかの時点で、その他のオ
ペレーティング・システム・インスタンスに対して、次
の許可を与える。即ち、その許可とは、このオペレーテ
ィング・システムに故障が発生した場合に、その他のオ
ペレーティング・システム・インスタンスが、このオペ
レーティング・システムを対象とした動作を取ることの
許可である。この許可の機能は図８に更に詳細に示して
あり、また、後述する同図に関する記載の中で更に詳細
に説明する。

【００２９】オペレーティング・システムが動作してい
る任意の時点で、オペレータが（或いはオートメーショ
ンによって）アベイラビリティ・ポリシーを活動化する
ことができるようにしてある（２４）。このアベイラビ
リティ・ポリシーは、オペレーティング・システムに対
して、その他のオペレーティング・システムの故障を検
出した場合に取るべき動作を指定したものである。この
アベイラビリティ・ポリシーについては、アベイラビリ
ティ・ポリシー初期化の説明の中で、更に詳細に説明す
る。

【００３０】複数のシステムの活動状態をモニタするた
めの、モニタ・プロセスの概要を示したものが、図４で
ある。ある１つのシステムが故障した場合にその故障を
検出できるようにするために、関与している複数のシス
テムの各々が、共用ＤＡＳＤ上の共用データ・セットの
中に、周期的にタイム・スタンプを書き込むようにして
いる（４１）。このタイム・スタンプの書込みは、当該
システムの中の優先順位が高位のタスク（可能最高位の
指名順位にセットされたタスク）によって行なわれるよ
うにしている。これに関して本発明が前提としているの
は、高位のタスクがその仕事を完了することができない
のであれば、アプリケーションが走っていない可能性が
非常に高いということである。また、このタイム・スタ
ンプと共に、各システムは、共用データ・セットの中に
そのシステムの故障検出期間（図１７の１７０５）（こ
の故障検出期間はユーザが指定するものであり、例えば
１分に指定する）を書き込んでおくようにしている。更
に、各システムは、そのシステムのタイム・スタンプの
書込みを行なうと共に、その他全てのシステムのタイム
・スタンプの読取りを行なう（４２）。

【００３１】他の１つのシステムのタイム・スタンプを
読み取ったならば、その読み取ったタイム・スタンプを
現在時刻と比較する（４３）。そして、その読み取った
タイム・スタンプが、その故障検出期間内に（例えば最
近の１分間の間に）更新されていなかったならば、その
システムをステータス更新欠落状態にあるものと判断し
（４４）、その旨の表示をポリシー活動化タスク（４
５）へ渡すようにしている。このとき、ポリシー活動化
タスクは、アベイラビリティ・ポリシーを調べることに
よって、何らかの動作を実行すべきか否かを判断する
（後述する「アベイラビリティ・ポリシー」の中のＮＯ
ＳＴＡＴＵＳポリシー・ステートメントを参照された
い）。一方、そのシステムが、故障検出期間内にみずか
らのステータスの更新を行なっていたならば、ステータ
スのタイム・スタンプの次回の読取りを行なうまでの
間、これ以上の動作は何も行なわない。あるシステムが
ステータス更新欠落状態にあると識別されて、しかもア
ベイラビリティ・ポリシーがそのシステムをマルチシス
テム環境から排除すべきである旨を表示していた場合に
は、分離段階へ入る。

【００３２】図５は、分離段階における制御の流れを示
したフロー・チャートである。検出動作を実行している
側のシステムにおける、オペレーティング・システム上
のポリシー活動化タスク（Policy Activation Task: Ｐ
ＡＴ）が、区画間システム・リセット機能または区画間
非活動化機能を起動し（５１）、それによって、故障シ
ステムがそれ以後、共用資源へは決してアクセスできな
いようにする。これについては、図９、並びに後述の同
図に関する説明を参照されたい。

【００３３】区画間システム・リセットないし区画間非
活動化を実行したならば、その実行の結果を調べて（５
２）、実行した機能が正常に終了したか否かを判断す
る。そして、その機能が正常に終了していたならば、シ
スプレックス区画区分を開始する（５３）。このシスプ
レックス区画区分は、シスプレックス内のある１つのシ
ステムが、他の１つのシステムをそのシスプレックスか
ら排除する際に使用するプロセスである。（尚、あるシ
ステムを閉鎖するための別の方法として、手操作による
方法、即ち、オペレータが駆動するインターフェース介
してシステムを閉鎖する（５８）方法もあることを特記
しておく）。このシステムの排除の際に実行される動作
は次のとおりである。 −そのシスプレックス内のシステムのリスト（図１７参
照）から、そのターゲット・システム（処理対象のシス
テム、ここでは故障したシステムのこと）を除去する
（５４）。これによって、以後発せられる、このシスプ
レックス内のそのリストに載っているシステムを求める
要求に対して、その故障システムが割り当てられること
はなくなる。。 −マルチシステムの構成要素のうち、当該故障オペレー
ティング・システムの中に組み入れられていた構成要素
は、その故障システムのシステム・レコード（図１７の
１７０５Ａ）の不在を検出し、それによって、それまで
その故障システムが所有していた資源の全てを一掃して
構わないということを知る。 −当該シスプレックス内の各々のシステムは、こうして
故障システムが確認されたことを検出したならば、みず
からのシステム上のＰＡＴへ、ＳＹＳＧＯＮＥ（システ
ム消滅）事象を渡して、更なるポリシー動作（アベイラ
ビリティ・ポリシーに従って実行する動作）を実行させ
る。

【００３４】ポリシー活動化タスク５６は、ＳＹＳＧＯ
ＮＥ状態を知らされたならば、何らかの動作を実行する
必要があるか否かを判定する。ポリシー活動化タスクの
目的のうちの、ＳＹＳＧＯＮＥ状態に関する主目的は、
資源再構成段階、並びにワークロード引継ぎ段階をトリ
ガすることにある。これら２つの段階は同時並行的に処
理される。（これらについての更なる詳細は、図６、図
７、並びに本明細書中のそれらの図面に関する説明を参
照されたい）。

【００３５】分離処理が正常に終了しなかった場合に
は、オペレータに対して、故障システムが既にリセット
されていることを確認して応答するよう求める、プロン
プトが出される。尚、オペレータが故障の確認応答をし
た後には、本発明に関するオートメーションの残りが部
分の処理が、続行可能となるようにしてあることを、特
記しておく。

【００３６】（尚、与えられたアベイラビリティ・ポリ
シーには、分離段階を実行した後には、資源再構成段階
とワークロード引継ぎ段階とを実行せずにとばしてしま
うよう指定されていることもあることを、特記してお
く。）

【００３７】あるシステムを共有資源から分離した後に
は、もし資源関係のポリシー動作が必要とされていたな
らば、そのポリシー動作を実行する。図６は、ポリシー
活動化タスクが、図５に５５で示したようにＳＹＳＧＯ
ＮＥ通知を受け取ったときに実行する、資源再構成に関
する重要な機能を示したものである。

【００３８】ある資源を移転して別の論理区画に組み込
むためには、その前に先ず、その資源を、以前の論理区
画上の故障オペレーティング・システムには、もはや割
り当てられていない状態にする必要がある。そうするた
めには、区画間非活動化機能を起動して（６１）、（ア
ベイラビリティ・ポリシーが指定している）ターゲット
論理区画（即ち故障システムの論理区画）にそのとき割
り当てられている全ての資源を解放するか、或いは、無
指定の区画間非活動化機能を起動して、このポリシー動
作を実行しているシステムの論理区画の、アドレッシン
グ・レンジ内に位置している複数の論理区画に割り当て
られている、全ての資源を解放するようにすれば良い。
これらのサービスの詳細については、図９と図１０、並
びにそれらの図に関する本明細書中の説明を参照された
い。

【００３９】故障システム即ち故障論理区画から、その
資源を解放した後には、その解放した資源を、その故障
論理区画と同じＣＰＣ上に置かれている他の論理区画へ
再構成することができる。この場合に処理される資源
は、アベイラビリティ・ポリシーの中に指定されている
資源である。ＭＶＳは、該当するＭＶＳ￣ＣＯＮＦＩＧ
コマンドを内部的に発生して、それら資源を、システム
に対してオン・ラインとなるように構成する（このコマ
ンドの詳細については、「ＭＶＳ／ＥＳＡ動作：システ
ム・コマンド（ＧＣ２８−１８２６）」を参照された
い）。そのアベイラビリティ・ポリシーの中に、ＳＴＯ
ＲＥ（ＹＥＳ）が指定されていた場合には、（６２）、
ＰＡＴが、ＣＯＮＦＩＧ￣ＳＴＯＲ（Ｅ＝１），ＯＮＬ
ＩＮＥコマンドを内部的に発生して（６３）、主記憶機
構をそのシステムに対してオン・ライン状態となるよう
に構成する。また、もし、そのアベイラビリティ・ポリ
シーの中に、ＥＳＴＯＲＥ（ＹＥＳ）が指定されていた
ならば（６４）、ＭＶＳが、ＣＯＮＦＩＧ￣ＥＳＴＯＲ
（Ｅ＝Ｘ），ＯＮＬＩＮＥコマンド（このコマンドは、
「ＢＡＣＫＵＰ１」（バックアップ・システム）がその
ときＥＳＴＯＲＥ（拡張記憶機構）を割り当てられてい
なければＸ＝０とし、一方、「ＢＡＣＫＵＰ１」が既に
幾らかのＥＳＴＯＲＥを割り当てられているならばＸ＝
１とする）を内部的に発生して（６５）、主記憶機構な
いし拡張記憶機構を、そのシステムに対してオン・ライ
ン状態となるように構成する。

【００４０】図７は、ワークロード引継ぎ処理を図示し
たものである。アプリケーションに故障したシステムか
らバックアップ即ち代替システムへの引継ぎを行なわせ
る際の最初のステップは、そのアプリケーションが、問
題が発生していることを知るステップである。このステ
ップは次のようにして行なわれる。 −バックアップ・アプリケーションには、プライマリ・
アプリケーションをモニタする（７１）手段を備えてあ
り、そのため、プライマリ・アプリケーションが仕事の
実行を停止したときには、バックアップ・アプリケーシ
ョンは、それを知ることができる。既述の如く、これ
は、ＣＩＣＳ並びにＸＲＦという製品において既に採用
されている従来技術である。 −バックアップ・アプリケーションは、プライマリ・ア
プリケーションが故障したことを検出したならば（７
２）、ＳＣＰに実行させる調査サービスを起動する。 −調査サービスはシスプレックス・データ・セット７６
を読取り（７３）、シスプレックス内のシステムのステ
ータスを返す。この場合、プライマリ・システムの取り
得る状態と、その状態に応じたバックアップ・アプリケ
ーションの反応は次のとおりである。 −プライマリ・システムは、ステータス更新欠落状態に
ある。バックアップ・アプリケーションは、このプライ
マリ・システムが既に故障していて共用資源から分離さ
れた状態にあると判断されるまでは、プライマリ・アプ
リケーションのモニタとシスプレックスの調査とを続行
する。 −プライマリ・システムは、正常動作を再開した状態に
ある。バックアップ・アプリケーションは、通常モニタ
動作へ復帰する（これはテスト７４の結果が「ＮＯ」で
あった場合である）。 −プライマリ・システムは、シスプレックス区画区分と
いう処理が実行されたことによって、その停止処理が正
常に終了し、既に消滅している。（これはテスト７４の
結果が「ＹＥＳ」であった場合である）。バックアップ
・アプリケーションは、従来技術において行なわれてい
るように、通常のＸＲＦ処理を行なうことによってワー
クロードをバックアップ・システムへ移転させる処理
を、開始する（７５）。

【００４１】図８は、区画間イネーブルメントにおける
制御の流れを示したフローチャートである。８１では、
ＳＣＰが、共用ＤＡＳＤ上の共用データ・セット８２を
読み取った上で、固有のシーケンス番号（これはシステ
ム使用許可ＩＤの一部である−図１７の１７０２を参照
されたい）を生成している。生成されたそのシーケンス
番号は、システム使用許可識別子（即ちシステム使用許
可ＩＤ）の一部として使用され、このシステム使用許可
ＩＤを「システムＩＤ」と呼ぶこともある（図１７の１
７０２）。このシステムＩＤの構成は、シスプレックス
名と、システム番号と、固有のシーケンス番号とから成
るものである。システムＩＤの中のこのシーケンス番号
は、新たなシステム・レコードを生成するたびに「１」
ずつインクリメントするようにした番号である。８３で
は、ＳＣＰが、ＰＲ／ＳＭ機構の機能のうちの、論理区
画に対する区画間イネーブルメント機能を起動し、この
機能の起動は、ＰＲ／ＳＭ機構へＳＣＣＢを転送する
（８４）ことによって行なっている。区画間イネーブル
メント機能は、区画間機能をロックした上で、ハードウ
ェアで構成した、システム領域の中のステータス・テー
ブル（図１８の１８０２）の中に、システムＩＤを記憶
させるというものである（記憶させた後にロックを解除
する）。（注：このＳＣＣＢは、ＳＣＰが、要求を取扱
う論理区画コントローラ（本実施例ではＰＲ／ＳＭ機
構）と間で通信を行なうために使用する、一般的な機構
である。ＳＣＣＢの通常のフォーマットは図１６に示し
たとおりであり、機能コード１６０１、応答コード１６
０２、ターゲットＬＰ識別子１６０３、及び許可コード
１６０４を含んでおり、これらは、ハードウェアで構成
したシステム領域（図１８の１８０２）の中に記憶させ
るようにしている）。次に、８５では、識別子（システ
ムＩＤ）が、そのハードウェアのシステム領域の中に正
常に書き込まれたか否かを調べるテストを行なう。（こ
のことは、ＰＲ／ＳＭ機構がセットした応答コード（図
１６の１６０２）によって、しかもこのＰＲ／ＳＭ機構
がＥＸＴＥＲＮＡＬ割込みを発生することによって示さ
れるようにしてある）。そして、ハードウェアのシステ
ム領域への書込みが正常に行なわれていたならば、更に
そのシステムＩＤを、共用データ・セットの中の当該シ
ステムに関連したシステム・レコード（図１７の１７０
２を参照されたい）の中へ書き込む（８６）。ここへ書
き込まれたシステムＩＤは、このシスプレックスの中の
別のシステムが、その他のシステムの論理区画を対象と
した区画間機能を発生しようとするときに（特に、ＮＯ
ＳＴＡＴＵＳ事象またはＳＹＳＧＯＮＥ事象が発生した
ときに）、それらのシステムによって読み取られ、そし
て、以後の、このシステムＩＤに対応したシステムを対
象とした区画間リセットないし区画間非活動化のコール
の際に使用されるものである。一方、８５におけるテス
トの結果、そのシステムＩＤが、ハードウェアのシステ
ム領域（ＨＳＡ）の中に正常に書き込まれていないこと
が判明したならば、そのシステムＩＤを「０」にセット
した上で（８７）、その「０」を共用データ・セットに
書き込む。これによって、当該システム及び論理区画を
対象とした区画間リセットないし区画間非活動化は、い
ずれも実行を阻止されるようになる。

【００４２】図９は、区画間非活動化並びに区画間シス
テム・リセットにおける制御の流れを示したフローチャ
ートである。ＳＣＣＢ（制御ブロック）９１は、これら
２つの機能（非活動化機能とシステム・リセット機能）
の双方へ入力される。ＳＣＣＢ９１は、その中に、区画
間非活動化機能の機能コード或いは区画間システム・リ
セット機能の機能コードと、ターゲット論理区画に対応
した１６バイトの区画間許可ＩＤ（即ちシステムＩＤ−
図１７の１７０２）と、ターゲット論理区画に対応した
論理区画ＩＤとを含んでいる。９２では、初期有効性チ
ェックを実行し（この初期有効性チェックは、上で説明
した、当該論理区画がその他の論理区画を対象とした区
画間機能を発生する許可を与えられているかというチェ
ックを含んでいる−許可を与えるか否かはＬＰＳＥＣフ
レームにおいて指定する）、そしてタイマをセットす
る。更に、ターゲット論理区画に対して、排他的ロック
を施すことによって、この機能が完了するまでは、オペ
レータが入力する可能性のある競合コマンドが決して実
行されないように、そして、２つのうちの他方の区画間
機能が、決して実行を試みられることがないようにす
る。タイマを使用する目的は、この機能を、妥当な時間
の範囲内（例えば３０秒以内）で必ず終了させるためで
ある。９３では、ターゲット論理区画に対応した許可Ｉ
Ｄの値が、ＳＣＣＢに入れられてこのサービスへ転送さ
れてきた許可ＩＤの値（この値は論理区画ステータス・
テーブル−図１８の１８０２−の中に保持してある）と
一致するか否かのテストを行なう。もし一致しなけれ
ば、応答コードをセットした上で、割込みを発生してそ
の応答コードをＳＣＰへ送り返す（９５）。（この後、
ロックを解除する）。一方、それらのＩＤの値が一致し
ていたならば、ＳＣＣＢに入れられて転送されてきた機
能コードに従って、当該論理区画をリセットするか、或
いは非活動化するかのいずれかを行なう（９４）。リセ
ット機能が指定されていた場合には、サービス・コール
論理プロセッサ（ＳＣＬＰ）が、システム・コンソール
から入力される「ＳＹＳＲＥＳＥＴ」コマンドやＯＰＲ
ＣＴＬフレームで指定される「０３」コマンドを処理す
る際に起動するサービスと同一のサービスを起動する。
また、このサービスの起動の際には、ＳＣＣＢの中に指
定されているターゲット論理区画を、起動したサービス
のターゲット論理区画とする（これについては、ＩＢＭ
社の「システム・コンソールのオペレータ制御（ＳＣ３
８−００６８）」を参照されたい）。このサービスの実
行により、論理ＣＰがリセットされ、浮動割込みがリセ
ットされ、論理区画のＩ／Ｏサブシステムがリセットさ
れる（これについては、ＩＢＭ社の「ＥＳＡ／３７０の
オペレーションの原則（ＳＡ２２−７２００）」の、第
１２章「オペレータによって開始される機能」と、第４
章「外部から開始されるシステム・リセットの定義のた
めの機能」とを参照されたい）。尚、最後に、論理区画
をリセットすることになった原因をオペレータに知らせ
るための情報メッセージ（監査証跡メッセージ）を、シ
ステム・コンソール上に発生させるようにしている。以
上による総合的な結果は、ターゲット・システムが、こ
れ以後いかなる仕事も実行しなくなり、また、共用資源
への、その全てのＩ／Ｏが停止されるということであ
る。このシステム・リセットが完了したならば（このこ
とは、非同期的に信号で通知される）、他のシステム
は、そのリセットされたシステムとの間でそれまで共用
していた資源に対して、変更を加えても大丈夫であるこ
とを知ることになる。続いて、タイマのリセットを行な
った後に、当該ＳＣＰへの応答のための「正常終了」応
答コードを、ＳＣＣＢの中にセットする（９５）。（ま
た、ロックの解除も行なう）。

【００４３】一方、入力された機能コードが「非活動
化」を指定していた場合には、ＳＣＬＰは、システム・
コンソールから入力される「ＤＥＡＣＴＬＰ」コマンド
を処理するときに起動するサービスと同一のサービスを
起動し、そしてその際に、ＳＣＣＢの中に指定されてい
るターゲット論理区画を、起動したサービスのターゲッ
ト論理区画とする（これについては、ＩＢＭ社の「ＰＲ
／ＳＭ計画ガイド（ＧＡ２２−７１２３）」を参照され
たい）。このサービスの実行によって資源が解放され、
解放された資源は、同じプロセッサ・コンプレックス
（即ちシスプレックス）上のその他の論理区画が、それ
を使用することができるようになる（また更に、システ
ム・リセットを行なう）。以上が終了したならば、非活
動化の完了を表示する情報メッセージをシステム・コン
ソール上に映し出すようにしている。このシステム非活
動化による総合的な結果は、当該システムがこれ以後い
かなる仕事も実行しなくなり、また、共用資源への、そ
の全てのＩ／Ｏが停止されるということである。このシ
ステム非活動化が完了したならば（このことは、非同期
的に信号で通知される）、他のシステムは、その非活動
化されたシステムとの間でこれまで共用してきた資源に
対して変更を加えても大丈夫であり、また解放された資
源を獲得することができることを知ることになる。続い
て、タイマをリセットし、ロックを解除した後に、「正
常終了」応答コードをセットした上、その応答コードを
当該ＳＣＰへ返すようにする（９５）。

【００４４】タイマにセットした時間内（例えば３０秒
以内）に、リセットないし非活動化が完了しなかった場
合には、タイム・アウトを発生させ（９６）、該当する
応答コードをＳＣＰへ返すようにする。この場合、コマ
ンドを発生した論理区画に対しては、後にリセットない
し非活動化が終了しても、特に表示を送出することはし
ない。

【００４５】図１０は、無指定区画間システム非活動化
における制御の流れを示したフローチャートである。入
力されたＳＣＣＢ（１００１）からは、無指定区画間非
活動化機能の機能コードが入力として与えられる。する
と、無指定非活動化機能が、初期有効性チェックを実行
すると共に、タイマを始動させる（１００２）。このタ
イマを使用する目的は、この無指定非活動化機能が完了
するか、さもなくば、然るべき応答コードが送出される
かの、いずれかが確実に行なわれるようにするためであ
る。１００３では、この無指定非活動化機能をコールし
た論理区画を除いた全ての論理区画を順次処理して行
く。１００４では、処理中の論理区画が、この機能をコ
ールした論理区画と、記憶機構を（主記憶機構と拡張記
憶機構とのいずれについても）共用しているか否かをチ
ェックする。（この情報は、各々の論理区画に対応した
記憶機構割り振りテーブル−図１８の１８０１−に保持
しておく）。その処理中の論理区画が記憶機構を共用し
ていなかったならば、その論理区画の次の順番の論理区
画を処理する。一方、その処理中の論理区画が記憶機構
を共用していたならば、その論理区画を非活動化し（１
００５）、この非活動化は、先に図９に関して説明した
論理区画非活動化と同様に行なう。全ての論理区画の処
理が完了したならば、タイマををリセットし、応答コー
ドをセットし、そして割込みを送出して、その応答コー
ドを元のＳＣＰへ返す（１００６）。また、もしタイマ
にセットした時間内（例えば３０秒以内）に、この無指
定非活動化の全てが完了しなかったならば、タイム・ア
ウトを発生させて（１００７）、該当する応答コードを
元のＳＣＰへ返すようにする。

【００４６】図１１は、本発明に係るアベイラビリティ
・ポリシー指定法のシンタックスを示したものである。
このポリシーのキーワード並びにオプションには、次の
ような意味を持たせてある。

【００４７】『ＮＯＳＴＡＴＵＳ（ｆａｉｌｓｙｓ）』
これは、ステータス更新欠落状態が発生した場合に、そ
の状態を発生した故障システム（ｆａｉｌｓｙｓ）をタ
ーゲット・システム（動作対象のシステム）として、指
定された動作を実行すべきことを表わす。

【００４８】『ＲＥＳＥＴＴＩＭＥ（ｎｎｎｎｎ）』こ
のＲＥＳＥＴＴＩＭＥオプションは、故障システムを、
指定した時間が経過した後に「システム・リセット（Ｓ
ＹＳＲＥＳＥＴ）」することを要求するオプションであ
る。時間の長さ「ｎｎｎｎｎ」は、秒単位で指定する。
例えば、ＲＥＳＥＴＴＩＭＥ（１０）として指定したな
らば、ステータス更新欠落状態が検出されてから１０秒
の後に、故障システムのシステム・リセットが実行され
ることになる。また、ＲＥＳＥＴＴＩＭＥ（０）として
指定した場合には、ステータス更新欠落状態がオペレー
ティング・システムによって検出されると即座に、シス
テム・リセットが実行されることになる。ＳＹＳＲＥＳ
ＥＴを送出することができるのは、ＰＲ／ＳＭ機構の制
御下においてＬＰＡＲモードでランしている、当該シス
プレックス内のその他のシステムであって、しかも故障
システムと同じＣＰＣの上に置かれているシステムだけ
である。 注：故障していたシステムが、時間「ｎｎｎｎｎ」が経
過する以前に、そのステータス更新を再開した場合に
は、ＳＹＳＲＥＳＥＴの機能は実行されない。

【００４９】『ＤＥＡＣＴＴＩＭＥ（ｎｎｎｎｎ）』こ
のＤＥＡＣＴＴＩＭＥオプションは、故障システムが存
在している論理区画を、指定した時間が経過した後に
「非活動化（ＤＥＡＣＴＩＶＡＴＥ）」することを要求
するオプションである。時間の長さ「ｎｎｎｎｎ」は、
秒単位で指定する。例えば、ＤＥＡＣＴＴＩＭＥ（１
０）を指定したならば、「ステータス更新欠落」状態が
検出されてから１０秒の後に、故障システムのＤＥＡＣ
ＴＩＶＡＴＥが実行されることになる。また、ＤＥＡＣ
ＴＩＶＡＴＥが実行されるときにはＳＹＳＲＥＳＥＴも
実行されるようにしてある。ＤＥＡＣＴＩＶＡＴＥを送
出することができるのは、ＰＲ／ＳＭ機構の制御下にお
いてＬＰＡＲモードでランしている、当該シスプレック
ス内のその他のシステムであって、しかも故障システム
と同じＣＰＣの上に置かれているシステムだけである。 注：故障していたシステムが、時間「ｎｎｎｎｎ」が経
過する以前に、そのステータス更新を再開した場合に
は、このＤＥＡＣＴＩＶＡＴＥの機能は実行されない。

【００５０】『ＳＹＳＧＯＮＥ（ｆａｉｌｓｙｓ）』こ
れは、故障システム（ｆａｉｌｓｙｓ）が、アベイラビ
リティ・ポリシーによって、或いはオペレータによって
リセット（或いは非活動化）されたときに、オペレーテ
ィング・システムがポリシー活動化タスクへ、システム
消滅（ＳＹＳＧＯＮＥ）事象を通知するためのものであ
る。

【００５１】『ＳＹＳＴＥＭ（ｓｙｓｎａｍｅ）』必須
パラメータである、このＳＹＳＴＥＭパラメータ上に指
定してあるシステムは、当該シスプレックス内のシステ
ムであって、故障システムの消滅を知らせるＳＹＳＧＯ
ＮＥ通知を受け取ったときに、指定された動作を実行す
べきシステムを特定したものである。ＰＯＬＩＣＹ（ア
ベイラビリティ・ポリシー）は、全てのシステムの中に
組み込んであるため、このＳＹＳＴＥＭパラメータで特
定したシステムが、そのＳＹＳＧＯＮＥの通知に対して
応答すべき唯一のシステムであるようにしているのであ
る。このＳＹＳＴＥＭパラメータに特定してあるｓｙｓ
ｎａｍｅが、現在システムのＳＹＳＮＡＭＥ（システム
名）と一致しない場合には、そのポリシー・ステートメ
ントは現在システムには何ら影響を及ぼさない。

【００５２】『ＤＥＡＣＴＩＶＡＴＥ（ｏｔｈｅｒｓｙ
ｓ／ＡＬＬ）』このＤＥＡＣＴＩＶＡＴＥキーワード
は、非活動化（ＤＥＡＣＴＩＶＡＴＥ）すべきシステム
をユーザが指定するためのキーワードである。また、こ
のＤＥＡＣＴＩＶＡＴＥは、必須のキーワードである。
ＤＥＡＣＴＩＶＡＴＥ（ｏｔｈｅｒｓｙｓ）を指定する
場合、そのｏｔｈｅｒｓｙｓには、当該シスプレックス
内の別のシステムを指定しなければならず、さもなく
ば、いかなる動作も行なわれないことになる。この非活
動化の機能が、ターゲット論理区画のオペレーティング
・システム並びにハードウェアに、どのような影響を及
ぼすかについての説明は、図９並びに同図に関する本明
細書中の記載を参照されたい。特に、ＳＹＳＴＥＭパラ
メータに指定したシステムと、ｏｔｈｅｒｓｙｓとは、
同じ１つのＣＰＣの上をランしているシステムでなけれ
ばならないことに注意されたい。一方、ＤＥＡＣＴＩＶ
ＡＴＥ（ＡＬＬ）を指定した場合には、ＳＹＳＴＥＭパ
ラメータに指定してあるシステムが、ＰＲ／ＳＭ機構に
対して、そのシステムのアドレッシング・レンジ内にあ
る他の全ての論理区画を非活動化するように要求するこ
とになる。この要求が、無指定区画間非活動化と呼んで
いるものである。この無指定区画間非活動化の機能が、
ターゲット論理区画のオペレーティング・システム並び
にハードウェアに、どのような影響を及ぼすかについて
は、図１０並びに同図に関する本明細書中の記載を参照
されたい。ＮＯＳＴＡＴＵＳ処理の一部としてＤＥＡＣ
ＴＩＶＡＴＥが既に実行されていた場合には、ＳＹＳＧ
ＯＮＥ処理のために実行されたＤＥＡＣＴＩＶＡＴＥ
は、ターゲット・システムが既に消滅していることを検
出することになるが、その場合にも、再構成の機能が要
求されていれば、その再構成の機能を実行する。

【００５３】『ＳＴＯＲＥ（ＹＥＳ／ＮＯ）』ＹＥＳを
指定しておいた場合には、他の論理区画の非活動化が正
常終了したときに、それに続いて、ＳＹＳＴＥＭパラメ
ータに指定してあるシステムが、主記憶機構をオンライ
ン状態に構成するよう要求するコマンドを発生する。例
えば、ＭＶＳの中では、このコマンドは次のようにな
る。 ＣＯＮＦＩＧ￣ＳＴＯＲ（Ｅ＝１），ＯＮＬＩＮＥ このコマンドが実行されると、当該システムは、非活動
化された論理区画から解放された主記憶機構を獲得す
る。 注：たとえＤＥＡＣＴＩＶＡＴＥが正常に終了しなくて
も、ターゲットＬＰＡＲが活動状態にはないことが表示
されれば、記憶機構再構成コマンドの実行に取りかかる
ようにしてある。ＳＴＯＲＥ（ＮＯ）はデフォールト値
である。

【００５４】『ＥＳＴＯＲＥ（ＹＥＳ／ＮＯ）』ＹＥＳ
を指定しておいた場合には、他の論理区画の非活動化が
正常終了したときに、それに続いて、ＳＹＳＴＥＭパラ
メータに指定してあるシステムが、拡張記憶機構をオン
ライン状態に構成するよう求めるコマンドを発生する。
例えば、ＭＶＳの中では一般的なコマンドとしては次の
ようになる。 ＣＯＮＦＩＧ￣ＥＳＴＯＲ（Ｅ＝Ｘ），ＯＮＬＩＮＥ このコマンドが実行されると、当該システムは、非活動
化された論理区画から解放された拡張記憶機構を獲得す
る。ＥＳＴＯＲＥ（ＮＯ）はデフォールト値である。

【００５５】『ＯＴＨＥＲＲＥＳＯＵＲＣＥ（ＹＥＳ／
ＮＯ）』ＹＥＳを指定しておいた場合には、他の論理区
画の非活動化が正常終了したときに、それに続いて、Ｓ
ＹＳＴＥＭパラメータに指定してあるシステムが、その
他の資源をオンライン状態にするよう求めるコマンドを
発生する。この構成を拡張して、システムが動的に再構
成し得るいかなる資源をも包含するようにすることも可
能である。ＯＴＨＥＲＲＥＳＯＵＲＣＥ（ＮＯ）はデフ
ォールト値である。

【００５６】『アベイラビリティ・ポリシーの初期化』
アベイラビリティ・ポリシーは、パラメータ・ライブラ
リ（ＰＡＲＭＬＩＢ）の中に入れておくことができるよ
うにしてあり、これは、従来技術におけるその他多くの
ＭＶＳの制御値のセットがそのようにしてあるのと同様
である。また、アベイラビリティ・ポリシーは、オペレ
ータが発するコマンドにより、従来の通常の仕方で初期
化することができるようにしてある。（その他の従来の
方法、例えばシステム初期化パラメータ、或いはシステ
ム・サービスを利用する方法とすることもできる）。ア
ベイラビリティ・ポリシーを初期化するためのＭＶＳ￣
ＳＥＴＡＶＡＩＬコマンドの使用法のシンタックスは次
のとおりである。 ＳＥＴＡＶＡＩＬ￣ＰＯＬＩＣＹ，ＡＣＴＩＶＡＴＥ＝ｍｅｍｎａｍｅ ＤＥＡＣＴＩＶＡＴＥ この式において、ｍｅｍｎａｍｅは、パラメータ・ライ
ブラリのメンバを表わしている。ＰＯＬＩＣＹの指定
は、次の夫々のようにして、行なうことができる。 「ＡＣＴＩＶＡＴＥ＝ｍｅｍｎａｍｅ」このようにポリ
シーのメンバ名を指定したならば、ＭＶＳが、指定され
たメンバ名をパラメータ・ライブラリから読み取り、そ
れを活動ポリシーとする。もし新たなメンバ名を処理し
ている間に、シンタックス・エラー等の問題が発生した
場合には、旧ポリシーを（もしそれがあれば）有効のま
まにしておくようにしている。 「ＤＥＡＣＴＩＶＡＴＥ」ＤＥＡＣＴＩＶＡＴＥを指定
した場合には、オペレーティング・システムが、全ての
アベイラビリティ・ポリシー処理を停止するようにして
ある。

【００５７】『アベイラビリティ・ポリシー処理』アベ
イラビリティ・ポリシー処理が行なわれることになるの
は、シスプレックスのモニタ実行中に、ステータス更新
欠落状態の存在が検出されたときか、或いは、シスプレ
ックス区画区分機能によって、シスプレックスからある
システムが排除されたときかの、いずれかの場合であ
る。アベイラビリティ・ポリシー処理は、ポリシー活動
化タスク（ＰＡＴ）が行なう。

【００５８】シスプレックスのモニタ実行中に、あるシ
ステムがステータス更新欠落状態にあることが検出され
たならば、ＰＡＴは、アベイラビリティ・ポリシーの中
のＮＯＳＴＡＴＵＳの部分を処理する。このとき、その
アベイラビリティ・ポリシーの処理にあたるＰＡＴは、
そのステータス更新欠落状態を検出したシステムの上の
ＰＡＴである。このＰＡＴがそのＮＯＳＴＡＴＵＳポリ
シー・ステートメントを処理する仕方は次のとおりであ
る。「ＲＥＳＥＴＴＩＭＥ（ｎｎｎｎｎ）」−ＰＡＴは
「ｎｎｎｎｎ」秒間待機し、その間中、そのステータス
更新欠落状態が持続したならば、そのステータス更新欠
落状態が発生しているシステムの論理区画を、区画間シ
ステム・リセット機能を用いてシステム・リセットし、
そして更に、シスプレックス区画区分機能へ、そのシス
テムがもはや活動状態にはないことを通知する。「ＤＥ
ＡＣＴＴＩＭＥ（ｎｎｎｎｎ）−ＰＡＴは「ｎｎｎｎ
ｎ」秒間、待機し、その間、そのステータス更新欠落状
態が持続したならば、そのステータス更新欠落状態が発
生しているシステムの論理区画を、区画間非活動化機能
を用いて非活動化し、そして更に、シスプレックス区画
区分機能へ、そのシステムがもはや活動状態にはないこ
とを通知する。

【００５９】シスプレックス区画区分機能によって、シ
スプレックスからあるシステムが排除されたときには、
ＰＡＴは、アベイラビリティ・ポリシーの中のＳＹＳＧ
ＯＮＥの部分を処理する。ＳＹＳＧＯＮＥ（ｆａｉｌｓ
ｙｓ）が指定しているシステムがシスプレックスから排
除されたときには、ＳＹＳＴＥＭ（ｓｙｓｎａｍｅ）が
指定しているシステム上のＰＡＴがそのポリシーの処理
にあたる。このＰＡＴがＳＹＳＧＯＮＥポリシー・ステ
ートメントを処理する仕方は、次のとおりである。「Ｄ
ＥＡＣＴＩＶＡＴＥ（ｏｔｈｅｒｓｙｓ）」−ＰＡＴ
は、シスプレックス区画区分機能によってシスプレック
スから排除されたシステムの論理区画を、区画間非活動
化機能を用いて非活動化する（ただしその論理区画は、
アベイラビリティ・ポリシーのＮＯＳＴＡＴＵＳ部分を
処理したＰＡＴによって既に非活動化されている場合も
ある）。「ＤＥＡＣＴＩＶＡＴＥ（ＡＬＬ）」−ＰＡＴ
は、そのＰＡＴのアドレッシング・レンジ内にある全て
の論理区画を、無指定区画間非活動化機能を用いて非活
動化する。「ＳＴＯＲＥ（ＹＥＳ）」−ＰＡＴは、中央
記憶機構（主記憶機構）が使用可能であるならば、該当
するＭＶＳ￣ＣＯＮＦＩＧ￣ＳＴＯＲ，ＯＮＬＩＮＥコ
マンドを内部的に発生して、中央記憶機構をオンライン
状態に構成する。「ＥＳＴＯＲＥ（ＹＥＳ）」−ＰＡＴ
は、拡張記憶機構が使用可能であるならば、該当するＭ
ＶＳ￣ＣＯＮＦＩＧ￣ＥＳＴＯＲ（Ｅ＝Ｘ），ＯＮＬＩ
ＮＥコマンドを内部的に発生して、拡張記憶機構をオン
ライン状態に構成する。「ＯＴＨＥＲＲＥＳＯＵＲＣＥ
（ＹＥＳ）」−ＰＡＴは、該当するＭＶＳ￣ＣＯＮＦＩ
Ｇコマンドを内部的に発生して、その他のプロセッサ資
源をオンライン状態に構成する。

【００６０】以下に示す具体例は、システム故障が発生
した後に、システム資源を再構成するためのアベイラビ
リティ・ポリシーを活動化するようにした場合に、実行
することが必要となる全てのステップを示したものであ
る。尚、図１２に全体の状況を示してある。 １．ある論理区画の中において、活動ＭＶＳシステムの
初期プログラム・ロード（ＩＰＬ）を行なう。この活動
ＭＶＳシステムは、ＩＰＬを行なう最初のシステムであ
るため、複数のシステムから成るコンプレックスである
シスプレックスの動作は、この活動ＭＶＳシステムをも
って開始することになる。 ２．この活動ＭＶＳシステムは、そのＭＶＳのＩＰＬの
実行中に、場合によってはこのシスプレックスに参加し
てこの活動ＭＶＳシステムの論理区画を対象とした破壊
的動作を実行することになる可能性のある、他の全ての
ＭＶＳシステム（例えば代替ＭＶＳシステム等）に、そ
の動作の許可を与える。この活動ＭＶＳシステムは、区
画間リセット／非活動化イネーブルメント要求をＰＲ／
ＳＭ機構へ送出することによって、それら他のＭＶＳシ
ステムにその許可を与えるようにしている。このように
活動ＭＶＳシステムが他のシステムに許可を与えたなら
ば、それによって、シスプレックスの中の他のＭＶＳシ
ステムが、この活動ＭＶＳシステムの論理区画をシステ
ム・リセットないし非活動化することができるようにな
る。 ３．次に、別の論理区画の中に、代替ＭＶＳシステムの
ＩＰＬを行なう。活動ＭＶＳシステムと代替ＭＶＳシス
テムとは、同一のプロセッサ上の別々の論理区画の中の
ものとしても、また、互いに異なったプロセッサ上の夫
々の論理区画の中のものとしても、それらシステムの実
行に支障は生じない。代替ＭＶＳシステムの論理区画と
するプロセッサ資源の割当量をどれ程の量に定めるか
は、アベイラビリティ・ポリシーにどのような指定をす
るのかによって異なったものとなる。即ち、アベイラビ
リティ・ポリシーに、活動ＭＶＳシステムの論理区画
を、（非活動化すべき論理区画ではなく）システム・リ
セットすべき論理区画であると指定するのであれば、代
替ＭＶＳシステムの論理区画には、活動ＭＶＳシステム
のワークロードを走らせるのに充分な分量のプロセッサ
資源を割り当てておかねばならない。一方、アベイラビ
リティ・ポリシーに、活動ＭＶＳシステムの論理区画は
（システム・リセットすべき論理区画ではなく）非活動
化すべき論理区画であると指定するのであれば、代替Ｍ
ＶＳシステムの論理区画には、ＭＶＳのＩＰＬを行なう
ことができ、且つ、ＶＴＡＭ並びに必要な代替ＣＩＣＳ
を走らせることができる程度の、プロセッサ資源を割り
当てておくだけで充分である。なぜならば、この場合に
は、代替ＭＶＳシステムの論理区画は、活動ＭＶＳシス
テムの論理区画に以前割り当てられていたプロセッサ資
源を、獲得することができるからである。 ４．活動ＭＶＳシステム上で、活動ＣＩＣＳ領域を始動
させる。活動ＣＩＣＳ領域を始動した後には、ＣＩＣＳ
のワークロードの処理が行なわれることになる。しかし
ながら、このとき、この活動ＣＩＣＳ領域は、ＸＲＦ能
力を持たないまま処理を行なっている。 ５．代替ＭＶＳシステム上で、代替ＣＩＣＳ領域を始動
させる。代替ＣＩＣＳ領域は、一般的な方法でＸＲＦの
機能を確立する。活動ＣＩＣＳ領域がＣＩＣＳのワーク
ロードを処理しているとき、代替ＣＩＣＳ領域は、故障
に備えて待機している。活動ＣＩＣＳ領域は一般的な方
法で、代替ＣＩＣＳ領域へＣＩＣＳ￣ＸＲＦ監査信号を
送出し、一方、代替ＣＩＣＳ領域は、その監査信号をモ
ニタして、その中に故障の徴候が現れていないかを調べ
ている。 ６．活動ＭＶＳシステムに関するアベイラビリティ・ポ
リシーのＮＯＳＴＡＴＵＳ条件を、代替ＭＶＳシステム
上で活動化する。このアベイラビリティ・ポリシーは、
活動ＭＶＳシステムが故障した際に代替ＭＶＳシステム
が実行すべき回復動作を指定したものである。 ７．活動ＭＶＳシステムが、明らかではない何らかの原
因で故障する。この結果、活動ＭＶＳシステムは、その
ステータス・フィールドの更新を行なわなくなる。 ８．代替ＭＶＳシステムは、活動ＭＶＳシステムがその
シスプレックス監査信号を更新していないことを検出
し、活動ＭＶＳシステムが故障したものと判断する。 ９．代替ＭＶＳシステムは、活動ＭＶＳシステムの故障
を埋め合わせるために、アベイラビリティ・ポリシーの
処理を開始する。このアベイラビリティ・ポリシーの中
のステートメントに対応して代替ＭＶＳシステムが実行
する処理について、以下に要約して説明する。活動ＭＶ
Ｓシステムの論理区画のシステム・リセット−これは、
活動ＭＶＳシステムの論理区画をシステム・リセットし
て、その活動ＭＶＳシステムをシスプレックスから排除
するよう要求する、区画間システム・リセット要求を、
ＰＲ／ＳＭ機構へ送出することによって行なう。活動Ｍ
ＶＳシステムの論理区画の非活動化−これは、活動ＭＶ
Ｓシステムの論理区画を非活動化して、その活動ＭＶＳ
システムをシスプレックスから排除するよう要求する、
区画間非活動化要求を、ＰＲ／ＳＭ機構へ送出すること
によって行なう。全ての非活動化−これは、代替ＭＶＳ
システムのために予約されている記憶機構資源を共用し
ている論理区画を、非活動化するよう要求する無指定区
画間非活動化要求を、ＰＲ／ＳＭ機構へ送出することに
よって行なう。プロセッサ資源の獲得−これは、予約し
てある使用可能なプロセッサ資源を、代替ＭＶＳシステ
ムの論理区画へ割り当てし直すことを要求する要求を、
ＰＲ／ＳＭ機構へ送出することによって行なう。アベイ
ラビリティ・ポリシーが活動ＭＶＳシステムの論理区画
の非活動化を指定していた場合であって、しかもその非
活動化が正常終了した場合に、活動ＭＶＳシステムの論
理区画の資源は、代替ＭＶＳシステムの論理区画へのみ
割り当てし直される。一方、アベイラビリティ・ポリシ
ーが全てを非活動化することを指定していた場合であっ
て、しかも代替ＭＶＳシステムが所有している記憶機構
資源を共用している全ての論理区画が正常に非活動化さ
れた場合には、それらの論理区画の資源が、この代替Ｍ
ＶＳシステムの論理区画へのみ、割り当てし直される。 １０．この時点で、活動論理区画を非活動化（またはシ
ステム・リセット）する。これによってこの活動論理区
画は、これ以後、共用資源に対する処理も、またアクセ
スも共に行なえなくなる。 １１．活動ＭＶＳシステムが故障したならば、それから
しばらくして代替ＣＩＣＳ領域は、活動ＣＩＣＳ領域の
ＣＩＣＳ￣ＸＲＦ監査信号が消失したことから、活動Ｃ
ＩＣＳ領域が故障したものと判断する。このように判断
したならば、代替ＣＩＣＳ領域は、一般的な方法でのＸ
ＲＦ引継ぎ処理を自動的に開始する。この引継ぎ処理
は、オペレータの介入を必要とすることなく完了し、ま
た、この処理の完了の時点は、この代替ＣＩＣＳ領域
が、シスプレックスのステータスの照会を行なうことに
よって、活動ＭＶＳシステムが排除されたことを検出し
た時点である。

【００６１】『同一プロセッサ上のシステムを対象とし
たシステム・リセット』アプリケーションの種類によっ
ては（例えばＩＭＳ￣ＸＲＦ等）、バックアップ・シス
テム（ＢＡＣＫＵＰ）が、プライマリ・システム（ＰＲ
ＩＭＡＲＹ）と同量の記憶機構を必要とすることもあ
る。この場合、ＢＡＣＫＵＰはワークロードを走らせる
のに充分な量の資源を最初から所有しているため、ＰＲ
ＩＭＡＲＹが故障した際にも、ＢＡＣＫＵＰは論理区画
を非活動化して再構成する必要はない。この場合、ＢＡ
ＣＫＵＰにとって必要なことは、ＰＲＩＭＡＲＹは、も
はや共用資源へアクセスすることはないという肯定的確
認である。

【００６２】もう１つの別の理由から、非活動化ではな
く、システム・リセット（ＳＹＳＲＥＳＥＴ）の方が選
択されることもあり、その理由とは、システム故障の後
にはＳＡＤＭＰ（スタンド・アローン・ダンプ）が必要
となることもあるということである。

【００６３】このシステム・リセットの具体例を示した
のが、図１３である。説明を簡明にするために、この構
成には、システムが２つしか含まれていないものとし、
それらを夫々、ＰＲＩＭＡＲＹ（１３０１ないし１３０
１Ａ）、及びＢＡＣＫＵＰ１（１３０２ないし１３０２
Ａ）と呼ぶことにする。また、これら２つのシステム
は、同じＰＲ／ＳＭマシンの中の、同じシスプレックス
に所属しているものとする。以上において、ＰＲＩＭＡ
ＲＹに故障が発生した場合には（この故障の発生は、導
入処理によってパラメータ・ライブラリの中に指定され
た故障検出期間の経過後に検出される）、導入処理は更
に２０秒間待った後に（この２０秒間というのはアベイ
ラビリティ・ポリシーＡＶＡＩＬ０１の中のＲＥＳＥＴ
ＴＩＭＥキーワードに指定されている時間である）ＢＡ
ＣＫＵＰ１にＰＲＩＭＡＲＹのワークロードの引継ぎを
実行させようとする。一方、ＢＡＣＫＵＰ１システムの
方に故障が発生した場合には（この故障の発生は、導入
処理によってパラメータ・ライブラリの中に指定された
故障検出期間の経過後に検出される）、導入処理は更に
１０秒間待った後に（この１０秒間というのは、ＡＶＡ
ＩＬ０１の中のＲＥＳＥＴＴＩＭＥキーワードに指定さ
れている時間である）ＰＲＩＭＡＲＹにＢＡＣＫＵＰ１
のリセットを行なわせようとする。ここで、ＢＡＣＫＵ
Ｐ１のリセットを行なわせるのは、ＰＲＩＭＡＲＹにバ
ックログが発生するのを防止するためである。

【００６４】ＰＲＩＭＡＲＹとＢＡＣＫＵＰ１との双方
のシステムにおいてポリシーを活動化するために、ユー
ザの導入処理においては、下記のオペレータ・コマンド
が発生される。 ＳＥＴＡＶＡＩＬ￣ＰＯＬＩＣＹ，ＡＣＴＩＶＡＴＥ＝ＡＶＡＩＬ０１

【００６５】アベイラビリティ・ポリシーＡＶＡＩＬ０
１の、パラメータ・ライブラリの中に含まれているメン
バは次のとおりである。 ＮＯＳＴＡＴＵＳ（ＰＲＩＭＡＲＹ） ＲＥＳＥＴＴＩＭＥ（２０） ＮＯＳＴＡＴＵＳ（ＢＡＣＫＵＰ１） ＲＥＳＥＴＴＩＭＥ（１０）

【００６６】上記内容のアベイラビリティ・ポリシーが
設定されているときに、ＰＲＩＭＡＲＹシステムが待機
状態へ入ったならば、以下の一連の事象が発生する。 １．ＰＲＩＭＡＲＹが待機状態へ入り、みずからのステ
ータス・フィールドの更新を止めてしまう。 ２．故障検出期間（図１７の１７０５）の経過後に、Ｂ
ＡＣＫＵＰ１システムが、ステータス更新欠落事象の発
生を宣言する。 ３．ステータス更新欠落事象の発生がＢＡＣＫＵＰ１に
おいて検出されたことによって、ポリシー活動化タスク
が現在ポリシーの処理を開始し、この現在ポリシーに
は、このステータス更新欠落状態が２０秒間解消せずに
続いたならばシステム・リセットを実行すべき旨指定さ
れている。 ４．２０秒が経過したならば、ＢＡＣＫＵＰ１がＰＲＩ
ＭＡＲＹのステータスをチェックして、ステータス更新
が再開されていないことを知る。すると、ＢＡＣＫＵＰ
１上のポリシー活動化タスクが、ＰＲＩＭＡＲＹを区画
間システム・リセットするよう求める要求を発生する。 ５．このシステム・リセットが正常終了したならば、そ
れに続いて、ＢＡＣＫＵＰ１上のＭＶＳが、システム消
滅（ＳＹＳＧＯＮＥ）通知をシスプレックス内の全ての
システムへ向けてトリガして、ＰＲＩＭＡＲＹシステム
がもはや共用資源のいずれをも使用していないことを表
示する。この時点で、ＰＲＩＭＡＲＹは非活動状態とな
っており（１３０１Ａ）、一方、ＢＡＣＫＵＰ１は、通
常の処理を実行している（１３０２Ａ）。ただし、それ
ら２つの論理区画の定め方は、以前のもの（１３０１と
１３０２）と変わっていない。 ６．アプリケーションが、一般的な方法で、ワークロー
ドの引継ぎを実行する。

【００６７】上に示した内容のアベイラビリティ・ポリ
シーが設定されているときに、ＢＡＡＣＫＵＰ１がステ
ータス更新欠落状態へはいった場合にも、同様の事象が
発生する。この場合、ＰＲＩＭＡＲＹは、１０秒後にＢ
ＡＣＫＵＰ１のシステム・リセットを実行する。

【００６８】『同一プロセッサ上のシステムを対象とし
た非活動化』同一プロセッサ上のシステムに対する非活
動化の具体例を示したのが、図１４である。説明を簡明
にするために、この構成には、システムが２つしか含ま
れていないものとし、それらを夫々、ＰＲＩＭＡＲＹ
（１４０１）、及びＢＡＣＫＵＰ１（１４０２ないし１
４０２Ａ）と呼ぶことにする。また、これら２つのシス
テムは、同じＰＲ／ＳＭマシンの中に存在しており、同
じシスプレックスの中に構成されているものとする。以
上において、ＰＲＩＭＡＲＹに故障が発生したならば
（この故障の発生は指定されている故障検出期間の経過
後に検出される）、導入処理は更に５秒間待った後に
（この５秒間というのはＡＶＡＩＬ０１の中のＲＥＳＥ
ＴＴＩＭＥキーワードに指定されている時間である）Ｂ
ＡＣＫＵＰ１にＰＲＩＭＡＲＹのワークロードの引継ぎ
を実行させようとする。また、導入処理によって、ＢＡ
ＣＫＵＰ１においてポリシーを活動化するために、下記
のコマンドが起動される。 ＳＥＴＡＶＡＩＬ￣ＰＯＬＩＣＹ，ＡＣＴＩＶＡＴＥ＝
ＡＶＡＩＬ０１ この具体例においては、ＰＲＩＭＡＲＹの中にはＰＯＬ
ＩＣＹ（アベイラビリティ・ポリシー）の指定をしてお
く必要はない。ユーザがＰＲＩＭＡＲＹにも同じＰＯＬ
ＩＣＹを指定しておいても支障はないが、ただしそのＰ
ＯＬＩＣＹは、ＰＲＩＭＡＲＹが実行するいかなる動作
も規定はしない。

【００６９】アベイラビリティ・ポリシーＡＶＡＩＬ０
１のパラメータ・ライブラリのメンバの内容は次のとお
りである。 ＮＯＳＴＡＴＵＳ（ＰＲＩＭＡＲＹ） ＤＥＡＣＴＴＩＭＥ（５） ＳＹＳＧＯＮＥ（ＰＲＩＭＡＲＹ） ＳＹＳＴＥＭ（ＢＡＣＫＵＰ１） ＤＥＡＣＴＩＶＡＴＥ（ＰＲＩＭＡＲＹ） ＳＴＯＲＥ（ＹＥＳ） ＥＳＴＯＲＥ（ＹＥＳ）

【００７０】この内容のアベイラビリティ・ポリシーが
設定されているときに、ＰＲＩＭＡＲＹシステムが待機
状態へ入ったならば、以下の一連の事象が発生する。 １．ＰＲＩＭＡＲＹが待機状態へ入り、みずからのステ
ータス・フィールドの更新を止めてしまう。 ２．故障検出期間（導入処理によってパラメータ・ライ
ブラリの中に指定されている）の経過後に、ＢＡＣＫＵ
Ｐ１システムが、ステータス更新欠落事象の発生を宣言
する。 ３．ステータス更新欠落事象の発生がＢＡＣＫＵＰ１に
おいて検出されたことによって、ポリシー活動化タスク
が現在ポリシーの処理を開始し、この現在ポリシーに
は、このステータス更新欠落状態が５秒間解消せずに続
いたならば、区画間非活動化を実行すべき旨指定されて
いる。 ４．５秒が経過したならば、ＢＡＣＫＵＰ１がＰＲＩＭ
ＡＲＹのステータスをチェックして、ステータス更新が
再開されていないことを知る。すると、ＢＡＣＫＵＰ１
上のポリシー活動化タスクが、ＰＲＩＭＡＲＹを区画間
非活動化するよう求める要求を発生する。 ５．この区画間非活動化が正常終了したならば、それに
続いて、ＢＡＣＫＵＰ１上のＭＶＳが、システム消滅
（ＳＹＳＧＯＮＥ）通知をこのシスプレックス内の全て
のシステムへ向けてトリガし、それによって、ＰＲＩＭ
ＡＲＹシステムがもはや共用資源のいずれも使用してい
ないということを表示する。このＳＹＳＧＯＮＥ通知
は、機能の引継ぎが可能な状態になったことをマルチシ
ステム・アプリケーションに知らせるための、信号の役
割を果たすことになる。 ６．このＳＹＳＧＯＮＥ通知によって、ポリシーに関す
る更にもう１つの動作がトリガされる。特にこの場合で
は、ＢＡＣＫＵＰ１上のポリシー活動化タスクが、区画
間非活動化を実行するよう求める要求を発生する。この
２回目の区間非活動化要求の起動の理由は、システム消
滅事象は、このシスプレックス内における別の動作の結
果として、発生することもあるからである。 ７．これまでのステップにおける非活動化機能のいずれ
もが正常終了していたならば、ポリシー活動化タスク
が、このポリシーに従って、ＣＯＮＦＩＧ￣ＳＴＯＲ，
ＯＮＬＩＮＥコマンドと、ＣＯＮＦＩＧ￣ＥＳＴＯＲ，
ＯＮＬＩＮＥコマンドとを内部的に発生して、全ての記
憶機構をオンライン状態に構成するようにする。これが
実行されることによって、以前ＰＲＩＭＡＲＹが使用し
ていた記憶機構を、ＢＡＣＫＵＰ１が使用することがで
きるようになる。

【００７１】『２つのマシンのセットアップ』２つのマ
シンのセットアップの具体例を示したのが、図１５であ
る。この構成は、システムを３つ含んでおり、それらを
夫々、ＰＲＩＭＡＲＹ（１５０１ないし１５０１Ａ）、
ＢＡＣＫＵＰ、及びＴＥＳＴと呼ぶことにする。ＰＲＩ
ＭＡＲＹは、専用のＣＰＣの上に置かれており、一方、
ＢＡＣＫＵＰ（１５０３ないし１５０３Ａ）とＴＥＳＴ
（１５０２）とは互いに同一のＣＰＣの上に、ＰＲ／Ｓ
Ｍ論理区画として置かれている。ＰＲＩＭＡＲＹとＢＡ
ＣＫＵＰとは同じシスプレックスに所属している。以上
において、ＰＲＩＭＡＲＹに故障が発生した場合には
（この故障の発生は指定されている故障検出期間の経過
後に検出される）、そのワークロードがＢＡＣＫＵＰへ
移転される。また、導入処理によって、ＢＡＣＫＵＰに
おいてポリシーを活動化するために下記のオペレータ・
コマンドが発生される。 ＳＥＴＡＶＡＩＬ￣ＰＯＬＩＣＹ，ＡＣＴＩＶＡＴＥ＝ＡＶＡＩＬ０１ この具体例においては、ＰＲＩＭＡＲＹシステムとＴＥ
ＳＴシステムとに関してはＰＯＬＩＣＹの指定を行なわ
ない。

【００７２】アベイラビリティ・ポリシーＡＶＡＩＬ０
１のパラメータ・ライブラリのメンバの内容は、例えば
次のとおりである。 ＳＹＳＧＯＮＥ（ＰＲＩＭＡＲＹ） ＳＹＳＴＥＭ（ＢＡＣＫＵＰ） ＤＥＡＣＴＩＶＡＴＥ（ＡＬＬ） ＳＴＯＲＥ（ＹＥＳ） ＥＳＴＯＲＥ（ＹＥＳ）

【００７３】この内容のアベイラビリティ・ポリシーが
設定されているときに、ＰＲＩＭＡＲＹシステムが待機
状態へ入ったならば、以下の一連の事象が発生する。 １．ＰＲＩＭＡＲＹが待機状態へ入り、みずからのステ
ータス・フィールドの更新を止めてしまう。 ２．故障検出期間の経過後に、ＢＡＣＫＵＰシステム
が、ステータス更新欠落事象の発生を宣言する。 ３．ステータス更新欠落事象の発生がＢＡＣＫＵＰにお
いて検出されたことによって、ポリシー活動化タスクが
現在ポリシーの処理を開始するが、それによっていかな
る動作も不要であることを発見する。 ４．ＳＣＰが、オペレータに対して、ＰＲＩＭＡＲＹの
故障を確認するよう求めるプロンプトを出す。 ５．オペレータは、結局、ＰＲＩＭＡＲＹシステムはダ
ウン（ＤＯＷＮ）したとの応答を返すことになる。 ６．ＢＡＣＫＵＰ上のＭＶＳが、システム消滅（ＳＹＳ
ＧＯＮＥ）通知をこのシスプレックス内の全てのシステ
ムへ向けてトリガし、それによって、ＰＲＩＭＡＲＹシ
ステムは、もはや共用資源のいずれも使用していないと
いうことを表示する。このＳＹＳＧＯＮＥ通知は、機能
の引継ぎが可能な状態になったことをマルチシステム・
アプリケーションに知らせるための、信号の役割を果た
すことになる。 ７．このＳＹＳＧＯＮＥ通知によって、ポリシーに関す
る更にもう１つの動作がトリガされる。特にこの場合で
は、ＢＡＣＫＵＰ上のポリシー活動化タスクが、このＰ
Ｒ／ＳＭマシンの中の他の論理区画であって、しかもＢ
ＡＣＫＵＰシステムの論理区画のアドレッシング・レン
ジ内に位置している、全ての論理区画を対象とした、無
指定区画間非活動化を実行することになる。 ８．この非活動化が正常終了したならば、ポリシー活動
化タスクが、このポリシーに従って、ＣＯＮＦＩＧ￣Ｓ
ＴＯＲ，ＯＮＬＩＮＥコマンドと、ＣＯＮＦＩＧ￣ＥＳ
ＴＯＲ，ＯＮＬＩＮＥコマンドとを内部的に発生して、
全ての記憶機構をオンライン状態にする。これが実行さ
れることによって、以前ＴＥＳＴシステムが使用してい
た記憶機構を、ＢＡＣＫＵＰが使用することができるよ
うになる（１５０３Ａ）。

【００７４】以上に本発明の具体的な実施例を開示した
が、当業者には理解されるように、本発明の概念並びに
範囲から逸脱することなく、これらの具体的実施例に対
して変更を加えることが可能である。

【図面の簡単な説明】

【図１】本発明の主要な諸機能の間の流れを示したブロ
ック図である。

【図２】本発明の初期化段階のフローチャートである。

【図３】本発明に採用した論理区画セキュリティ・フレ
ームを示す模式図である。

【図４】本発明のモニタ段階のフローチャートである。

【図５】本発明の分離段階のフローチャートである。

【図６】本発明の資源再構成段階のフローチャートであ
る。

【図７】本発明のワークロード引継ぎ処理のフローチャ
ートである。

【図８】区画間イネーブルメント機能のフローチャート
である。

【図９】区画間システム・リセット機能並びに区画間非
活動化機能のフローチャートである。

【図１０】無指定区画間非活動化機能のフローチャート
である。

【図１１】アベイラビリティ・ポリシーのシンタックス
を示した図である。

【図１２】「活動」システムの中の処理ステップと「代
替」システムの中の処理ステップとを並べて図示した、
本発明における、活動システムからの引継ぎを代替シス
テムに実行させる際に実行される動作を示した図であ
る。

【図１３】本発明を用いて同一プロセッサ上のシステム
のシステム・リセットを実行したときの「実行前」と
「実行後」の夫々の構成を示した図である。

【図１４】本発明を用いて同一プロセッサ上のシステム
の非活動化を実行したときの「実行前」と「実行後」の
夫々の構成を示した図である。

【図１５】本発明を用いて２つのマシンのセットアップ
を実行したときの「実行前」と「実行後」の夫々の構成
を示した図である。

【図１６】ＳＣＣＢのフォーマットを示した制御ブロッ
クの図である。

【図１７】本発明に採用したシスプレックス・データ・
セットの主要部分のフォーマットを示した図である。

【図１８】ＰＲ／ＳＭ機構の、本発明に関係した主要な
制御フィールドを示した図である。

【符号の説明】

１１ 初期化段階 １２ モニタ段階 １３ 分離段階 １４ 資源再構成段階 １５ ワークロード引継ぎ段階 ７６ シスプレックス・データ・セット １００１ サービス・コール制御ブロック（ＳＣＣＢ） １６０１ 機能コード １６０２ 応答コード １６０３ ターゲット論理区画識別子 １６０４ 許可コード １７０１ シスプレックス・データ・セット １７０２ システムＩＤ １７０４ ステータス・フィールド １７０５ 故障検出期間 １８０２ ステータス・テーブル

───────────────────────────────────────────────────── フロントページの続き (72)発明者 デービッド・ブラッドレイ・ピーターセン アメリカ合衆国12590、ニューヨーク州 ワッピンガーズ・フォールズ、ヴァレー・ ロード 25番地 (72)発明者 イアン・ジョフレー・レディング イギリス国ハンプシャー、エスオー21・１ エヌダブリュー、ウィンチェスター、トゥ ワイフォード、ハイ・ストリート、ホー ム・ミード（番地なし) (72)発明者 スティーブン・ジョン・シュマント 東京都渋谷区上原２−22−６ ホーマッ ト・スワン 301

Claims (12)

【特許請求の範囲】
1. 【請求項１】 少なくとも１つの物理プロセッサを備
   え、該少なくとも１つの物理プロセッサに少なくとも２
   つの論理区画を設けるようにし、且つ、それら論理区画
   の各々にその論理区画に関連した制御プログラムを収容
   できるようにした論理区画区分式データ処理装置の、区
   画間制御装置において、 ａ）前記少なくとも２つの論理区画のうちの第１論理区
   画の中の制御プロセスに、該少なくとも２つの論理区画
   のうちの第２論理区画に関する応答動作を開始すること
   の許可を与える、許可手段と、 ｂ）トリガ事象と該トリガ事象に関連付けた１組の応答
   動作規定とから構成したポリシー規定手段であって、該
   １組の応答動作規定のうちの各々の応答動作規定が夫々
   制御プログラムを有し、且つ前記トリガ事象の発生時に
   開始すべき応答動作を指定しているようにした、前記ポ
   リシー規定手段と、 ｃ）前記少なくとも２つの論理区画のうちの前記第１論
   理区画の中に設けたモニタ手段であって、該少なくとも
   ２つの論理区画のうちのその他の論理区画のステータス
   をモニタして、該少なくとも２つの論理区画のうちのそ
   れらその他の論理区画のうちの１つの論理区画の中のト
   リガ事象を検出するための、前記モニタ手段と、 ｄ）前記少なくとも１つの物理プロセッサの中に設け
   た、前記応答動作を開始させるためのハイパーバイザ手
   段と、 ｅ）前記少なくとも２つの論理区画のうちの前記第１論
   理区画の中の前記制御プロセスから前記ハイパーバイザ
   手段へ、応答動作の実行要求を伝達するための伝達手段
   であって、この要求伝達を行なうのは、前記モニタ手段
   が前記したように前記トリガ事象を検出し、且つ、前記
   許可手段が前記したように前記制御プロセスに許可を与
   えているときであり、更に、この要求伝達において実行
   要求される応答動作は、前記トリガ事象を生じる側の制
   御プログラムに関連付けられている応答動作規定が指定
   している応答動作である、前記伝達手段と、を備えた区
   画間制御装置。
2. 【請求項２】 前記許可手段が、 ａ）前記少なくとも２つの論理区画のうちの前記第１論
   理区画に、該少なくとも２つの論理区画のうちの前記第
   ２論理区画に関する応答動作を開始することの許可を与
   える、セキュリティ・フレーム手段と、 ｂ）前記少なくとも２つの論理区画のうちの前記その他
   の論理区画のうちの前記１つの論理区画の中の前記制御
   プログラムに設けられた区画間イネーブルメント手段で
   あって、当該制御プログラムを対象とした応答動作を開
   始することの許可を前記制御プロセスに与える、前記区
   画間イネーブルメント手段と、を備えていることを特徴
   とする請求項１の区画間制御装置。
3. 【請求項３】 前記トリガ事象には、前記制御プログラ
   ムの故障という事象が含まれていることを特徴とする請
   求項２の区画間制御装置。
4. 【請求項４】 前記１組の応答動作規定には、区画間非
   活動化動作と、区画間システム・リセット動作と、無指
   定非活動化動作とが含まれていることを特徴とする請求
   項３の区画間制御装置。
5. 【請求項５】 前記１組の応答動作規定には更に、資源
   再構成動作が含まれていることを特徴とする請求項４の
   区画間制御装置。
6. 【請求項６】 前記伝達手段が、ＳＣＣＢ（サービス・
   コール制御ブロック）インターフェースを有するサービ
   ス・コール論理プロセッサ機構を備えていることを特徴
   とする請求項５の区画間制御装置。
7. 【請求項７】 少なくとも１つの物理プロセッサを備
   え、該少なくとも１つの物理プロセッサに少なくとも２
   つの論理区画を設けるようにし、且つ、それら論理区画
   の各々にその論理区画に関連した制御プログラムを収容
   できるようにした論理区画区分式データ処理装置の、区
   画間制御方法において、 ａ）前記少なくとも２つの論理区画のうちの第１論理区
   画の中の制御プロセスに、該少なくとも２つの論理区画
   のうちの第２論理区画に関する応答動作を開始すること
   の許可を与える、許可ステップと、 ｂ）トリガ事象と該トリガ事象に関連付けた１組の応答
   動作規定とから構成したポリシーであって、該１組の応
   答動作規定のうちの各々の応答動作規定が夫々制御プロ
   グラムを有し、且つ前記トリガ事象の発生時に開始すべ
   き応答動作を指定しているようにした前記ポリシーを、
   初期化するステップと、 ｃ）前記少なくとも２つの論理区画のうちの前記第１論
   理区画に、該少なくとも２つの論理区画のうちのその他
   の論理区画のステータスをモニタさせ、それによって、
   該少なくとも２つの論理区画のうちのそれらその他の論
   理区画のうちの１つの論理区画の中のトリガ事象を検出
   させるステップと、 ｄ）前記少なくとも１つの物理プロセッサの中に設けた
   ハイパーバイザによって、前記応答動作を開始させるス
   テップと、 ｅ）前記少なくとも２つの論理区画のうちの前記第１論
   理区画の中の前記制御プロセスから前記ハイパーバイザ
   へ、応答動作の実行要求を伝達する、伝達ステップであ
   って、この要求伝達を行なうのは、前記少なくとも２つ
   の論理区画のうちの前記第１論理区画が前記したように
   前記トリガ事象を検出し、且つ、前記制御プロセスに許
   可が与えられているときであり、更に、この要求伝達に
   おいて実行要求される応答動作は、前記トリガ事象を生
   じる側の制御プログラムに関連付けられている応答動作
   規定が指定している応答動作である、前記伝達ステップ
   と、を含んでいる区画間制御方法。
8. 【請求項８】 前記許可ステップが、 ａ）セキュリティ・フレーム手段によって、前記少なく
   とも２つの論理区画のうちの前記第１論理区画に、該少
   なくとも２つの論理区画のうちの前記第２論理区画に関
   する応答動作を開始することの許可を与えるステップ
   と、 ｂ）前記少なくとも２つの論理区画のうちの前記その他
   の論理区画のうちの前記１つの論理区画の中の前記制御
   プログラムに設けられた区画間イネーブルメント手段に
   よって、当該制御プログラムを対象とした応答動作を開
   始することの許可を前記制御プロセスに与えるステップ
   と、を含んでいることを特徴とする請求項７の区画間制
   御方法。
9. 【請求項９】 前記トリガ事象が、前記制御プログラム
   の故障という事象を含んでいるようにしたことを特徴と
   する請求項８の区画間制御方法。
10. 【請求項１０】 前記１組の応答動作規定が、区画間非
    活動化動作と、区画間システム・リセット動作と、無指
    定非活動化動作とを含んでいるようにしたことを特徴と
    する請求項９の区画間制御方法。
11. 【請求項１１】 前記１組の応答動作規定が更に、資源
    再構成動作を含んでいるようにしたことを特徴とする請
    求項１０の区画間制御方法。
12. 【請求項１２】 前記伝達ステップを、ＳＣＣＢ（サー
    ビス・コール制御ブロック）インターフェースを有する
    サービス・コール論理プロセッサ機構によって実行する
    ようにしたことを特徴とする請求項１１の区画間制御方
    法。