JPH06187102A - 二重化ディスク処理方式 - Google Patents

Abstract

(57)【要約】 【目的】ファイルシステムの破壊と計算機システムの長
時間停止を回避する。 【構成】第１及び第２のディスク装置22，23からなる二
重化ディスク装置21を有する計算機システム11におい
て、システム11内のＯＳ12等のバグに起因した論理的不
整合を検出するエラー検出部15を設け、不整合検出時に
第２のディスク装置23のデータ更新を停止し、該システ
ム12内のメモリ13（13ａ）に格納されたディスクの更新
データを第２のディスク装置23に保存させ、保存後に論
理的不整合を訂正する。訂正後に第１のディスク装置22
を用いてデータ更新処理を継続し、通常のシステム動作
状態からシステムを監視する試行期間に移行する。さら
に、試行期間にシステムを監視して不整合のないことを
確認して試行期間を終了するシステム監視部14を設け、
試行期間終了後に第２のディスク装置23のデータ更新処
理を再開し、二重化ディスク装置21の通常のシステム動
作状態に復帰する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は二重化ディスク装置を有
する計算機システムのシステム側でソフトウェアバグが
発生した場合に適用される二重化ディスク処理方式に関
する。

【０００２】

【従来の技術】従来、計算機システムにおいてＯＳ内部
でソフトウェアバグが発生した場合、システムが停止す
るような障害が発生するという問題があった。また、シ
ステム停止を回避するために内部ロジックのバグに起因
した不正な状態になった際に強制的に修正を行ない、処
理を継続する、いわゆるフォワードリカバリ処理を行な
うものがある。

【０００３】しかしながらこのフォワードリカバリ処理
にあっては、システムを停止せずに処理を継続できるの
でシステム全体のアベイラビリティが向上する反面、本
来システムを停止するような状況を強制的に修正するた
めに、場合によってはファイルシステムが破壊され、フ
ァイルシステムの復旧が困難になり、かえって長時間計
算機システムが停止しなければならなくなるという問題
が生じていた。

【０００４】

【発明が解決しようとする課題】このように、従来の計
算機システムにおいては、ＯＳ内部のソフトウェアにバ
グが発生した場合、システムが停止してしまう可能性が
あるという問題があった。また、ソフトウェアバグをフ
ォワードリカバリ処理により解消しようとした場合は、
強制的に内部ロジックのバグに起因した不正な状態の修
正を行なうため、場合によってはファイルシステムが破
壊され、長時間システムが停止してしまう可能性がある
という問題があった。

【０００５】本発明は上記のような実情に鑑みてなされ
たもので、その目的とするところは、二重化ディスク装
置を有する計算機システムにおいて、システム内でソフ
トウェアバグが発生した場合にシステム停止を回避する
フォワードリカバリ処理を行なうことによって生じる可
能性のある、ファイルシステムの破壊とそれに伴なう計
算機システムの長時間停止という事態を回避することが
可能な二重化ディスク処理方式を提供することにある。

【０００６】

【課題を解決するための手段】すなわち本発明は、

【０００７】（１） 同一のデータ更新処理をパラレル
に行なう第１のディスク装置及び第２のディスク装置か
らなる二重化ディスク装置を有する計算機システムにお
いて、この計算機システム内のソフトウェアバグに起因
した論理的不整合を検出するエラー検出部を設け、この
エラー検出部による不整合検出時に上記第２のディスク
装置のデータ更新処理を停止した後、該システム内のメ
モリ上にバッファリングされているディスクの更新デー
タを上記第２のディスク装置に保存させ、この保存処理
後に上記論理的不整合を訂正する。そして、この訂正後
に上記第１のディスク装置を用いてデータ更新処理を継
続し、通常のシステム動作状態から上記システムを監視
する試行期間に移行する。さらに、この試行期間にシス
テムを監視して論理的不整合のないことを確認し、試行
期間を終了させるシステム監視部を設け、上記試行期間
終了後に上記第２のディスク装置によるデータ更新処理
を再開し、二重化ディスク装置の通常のシステム動作状
態に復帰させる。

【０００８】（２） 上記（１）項において、上記試行
期間に移行する際に上記第２のディスク装置を利用して
論理的不整合を生じたソフトウェアバグを解析するよう
にしたものである。 （３） 上記（１）項において、上記試行期間中に上記
第２のディスク装置の記憶内容を他の外部記憶媒体に転
送記憶するようにしたものである。

【０００９】（４） 上記（１）項において、上記試行
期間中に該計算機システムに障害が発生して二重化ディ
スク装置内のファイルシステムが破壊された場合に、上
記第２のディスク装置をバックアップとみなして、上記
第１のディスク装置に上記バックアップをコピーし、二
重化ディスク装置の状態を上記ソフトウェアバグに起因
したエラーの発生時の状態にまで復旧するようにしたも
のである。

【００１０】（５） 上記（１）項において、上記試行
期間中に計算機システムに障害が発生して二重化ディス
ク装置内のファイルシステムが破壊された場合に、上記
第２のディスク装置をバックアップとみなし、上記第１
のディスク装置に上記バックアップをコピーし、上記第
２のディスク装置に格納されたメモリ上にバッファリン
グされていたディスクの更新データを上記第２のディス
ク装置および上記第１のディスク装置に反映して、二重
化ディスク装置の状態を上記ソフトウェアバグに起因し
たエラーの発生時の状態にまで復旧するようにしたもの
である。

【００１１】

【作用】上記のような構成によれば、ソフトウェアバグ
による論理的不整合が発生した場合に、フォワードリカ
バリ処理を行なう前のディスクの状態とメモリ上にバッ
ファリングされているディスクの更新データを二重化デ
ィスク装置の一方を利用して保存しておき、二重化ディ
スク装置の他方でフォワードリカバリ処理を実行し、シ
ステムの処理を継続することにより、ソフトウェアバグ
が発生した場合にシステム停止を回避するフォワードリ
カバリ処理によって生じる可能性のあるファイルシステ
ムの破壊とそれに伴なう計算機システムの長時間停止と
いう問題を回避するため、計算機システムを停止するこ
となくフォワードリカバリ処理による復旧をより安全に
実行でき、アベイラビリティを向上させることができ
る。

【００１２】

【実施例】以下図面を参照して本発明の一実施例を説明
する。図１は本発明の一実施例に係る計算機システムの
回路の概略構成を示すもので、計算機システム本体11と
二重化ディスク装置21とから構成される。

【００１３】計算機システム本体11内には、装置を動作
させるためのオペレーティングシステム（ＯＳ）12、二
重化ディスク装置21のデータの更新処理等を行なうため
のデータを一時的に格納するディスクバッファ13ａを備
えたメモリ13、後述する試行期間時にＯＳ12内で論理的
な不整合が発生するか否かを監視し、不整合を発生した
プログラムがあれば、そのプログラムが一定回数もしく
は一定期間実行された後に上記試行期間を終了させるシ
ステム監視部14、上記ＯＳ12内で発生したソフトウェア
バグによってファイルシステム内で発生した論理的な不
整合の検出や不正な割込みの検出を行なうエラー検出部
15、上記二重化ディスク装置21の制御を行なうチャネル
16で構成されている。

【００１４】一方、二重化ディスク装置21は、プライマ
リディスク装置22及びセカンダリディスク装置23から構
成され、通常の動作時には計算機システム本体11内のメ
モリ13に格納された更新データをチャネル16の制御によ
りプライマリディスク装置22とセカンダリディスク装置
23の双方にパラレルに更新記憶するものである。

【００１５】上記のような構成にあって、ＯＳ12内のソ
フトウェアバグに起因する論理的不整合をエラーとして
検出してから後述するシステム動作を監視する試行期間
に移行し、その後に該試行期間を終了して再度通常の動
作に復帰するまでの動作について図３及び図４を用いて
説明する。

【００１６】図３は通常動作時にＯＳ12にソフトウェア
バグに起因する論理的不整合を検出してから該試行期間
に移行するまでの処理内容を示すものである。すなわ
ち、通常動作時にＯＳ12内部に潜んでいたソフトウェア
バグにより計算機システム本体11内で二重化ディスク装
置21からメモリ13上に読込んであるはずのファイル管理
テーブルエントリがメモリ13上に存在しない、あるいは
ハッシュリストにリンクされているはずのファイル管理
テーブルエントリがリンクされていない等の論理的な不
整合の発生をファイル参照時にエラー検出部15が検出し
た場合、エラー検出部15はＯＳ12、二重化ディスク装置
21の制御を行なうチャネル16及びシステム監視部14に対
してエラーが発生したことを通知する（ステップＡ
１）。

【００１７】エラー通知を受けたチャネル16は、二重化
ディスク装置21を論理的に２つのディスクとして動作す
るようにコンフィグレーションを分割変更し、二重化デ
ィスク装置21の一方のディスクであるセカンダリディス
ク装置23のデータ更新を停止する（ステップＡ2 ）。

【００１８】その後エラー通知を受けたＯＳ12は、メモ
リ13上のディスクバッファ13ａ内に存在する更新情報を
チャネル16を介して二重化ディスク装置21のセカンダリ
ディスク装置23に書込み記憶させたのち、二重化ディス
ク装置21のうちのもう一方のディスクであるプライマリ
ディスク装置22を使用して上記論理的な不整合を訂正す
るためのフォワードリカバリ処理を実行する（ステップ
Ａ3 ）。

【００１９】このフォワードリカバリ処理として、例え
ば上記不整合のうち、二重化ディスク装置21からメモリ
13上に読込んであるはずのファイル管理テーブルエント
リが実際にはメモリ13上に存在しない場合には、ファイ
ル管理テーブルエントリをあらためてメモリ13上に読込
むことを行なう。また、ハッシュリストにリンクされて
いるはずのファイル管理テーブルエントリがリンクされ
ていない場合には、ハッシュリストにリンクする処理を
行なう。

【００２０】その後、エラー通知を受けたシステム監視
部14が、不整合を発生したＯＳ12の該当プログラムの監
視を開始する。これによりシステム状態をシステム動作
を監視する「試行期間」に移行し、更新データの書込み
／読出しは二重化ディスク装置21のプライマリディスク
装置22とメモリ13のディスクバッファ13ａとの間でのみ
行なうことで、システム全体の処理を継続する（ステッ
プＡ4 ）。

【００２１】システムの試行期間の定義には、いくつか
の方法が存在する。このうち、試行期間中は、システム
監視部14により不整合を起こしたプロセスの実行回数お
よび試行期間時間を条件として計測しておき、どちらか
一方の条件が予め設定された値を満たせば試行期間を終
了し、それをＯＳ12に通知する方法を考えてみる。

【００２２】例えば、不整合を起こしたプロセスの実行
回数を５回、試行期間の時間を５分という条件にした場
合、試行期間が開始されてから５分間システムに異常が
発生しなかった場合、もしくは不整合を発生したプログ
ラムが試行期間中に５回正常に実行された場合に試行期
間を終了することになる。

【００２３】図４は試行期間を終了してから再度通常の
動作に復帰するまでの処理内容を示すもので、ＯＳ12は
試行期間が終了したことを示す通知をシステム監視部14
から受けると（ステップＢ1 ）、プライマリディスク装
置22とセカンダリディスク装置23の２つを元の二重化デ
ィスク装置21の状態に戻すことをチャネル16に通知する
（ステップＢ2 ）。

【００２４】チャネル16は、コンフィグレーションを元
の状態に戻すとともに、プライマリディスク装置22に記
憶されている試行期間に更新された内容をセカンダリデ
ィスク装置23にコピーする（ステップＢ3 ）。コピーが
終了した時点で二重化ディスク装置21は復旧されたこと
なり、システムは再度元の正常時の動作に移行、復帰す
る。なお、上記試行期間の終了条件としては他に、プロ
セスの実行回数に代えて、不整合を起こした関数の呼出
し回数を条件にすることもできる。

【００２５】しかしながら上記のような動作にあって、
フォワードリカバリ処理を行なって処理を継続した結
果、試行期間中にプライマリディスク装置22に記憶され
るファイルシステムが破壊され、計算機システムがクラ
ッシュすることもあり得る。この場合、計算機システム
は二重化ディスク装置21のプライマリディスク装置22を
使用してＯＳ12を起動させることとなるが、ファイルシ
ステムチェックで該ファイルシステムの破壊が検出され
るかもしれない。

【００２６】その場合には、ＯＳ12がセカンダリディス
ク装置23の情報を使用することでシステムを再起動し、
それから破壊されたプライマリディスク装置22を復旧す
るためにチャネル16に対しセカンダリディスク装置23内
の情報をプライマリディスク装置22にコピーするように
通知する。このコピー通知後にＯＳ12は、チャネル16か
らコピー処理の終了を示す通知があるまで処理を中断す
る。

【００２７】コピー通知を受けたチャネル16は、セカン
ダリディスク装置23に記憶される更新データを除いた全
ての情報をプライマリディスク装置22へコピーしたの
ち、ＯＳ12に対してコピー終了の通知を送る。

【００２８】コピー終了通知を受けとったＯＳ12は、セ
カンダリディスク装置23に格納されている更新データを
基にしてプライマリディスク装置22の情報を更新するた
めに、該更新データをメモリ13のディスクバッファ13ａ
に読込んだ後、プライマリディスク装置22に更新データ
を書込む。この書込処理により、プライマリディスク装
置22は不整合を発生した直後の状態に復旧されるので、
ＯＳ12は計算機システム本体11を復旧させることが可能
となる。

【００２９】これにより、計算機システム本体11内でソ
フトウェアバグが発生した場合にも、システムを停止せ
ずに処理を継続することができ、かつ、計算機システム
本体11を復旧するフォワードリカバリ処理をより安全に
実施することができ、高いアベイラビリティを実現でき
る。

【００３０】また、もし上記フォワードリカバリ処理
後、ファイルシステムが破壊されてシステムが停止した
場合でも、ファイルシステムをソフトウェアバグによる
不整合が発生したときの状態に短時間で復旧できるた
め、計算機システムが停止する時間を最小限に抑えるこ
とができ、計算機システムを再スタートすることが可能
になる。

【００３１】次に、上述した試行期間中に、セカンダリ
ディスク装置23に格納されている情報を利用して通常の
動作と並行してソフトウェアバグを解析する場合を説明
する。ここでは、ＯＳ12内に予め用意されるソフトウェ
アバグを解析する診断プロセスプログラムを使用した場
合について示す。

【００３２】例えば、計算機システム内でソフトウェア
バグによる論理的な不整合が発生して試行期間に移行す
る際に、メモリ13のディスクバッファ13ａ上の更新デー
タに加えてメモリ13等のシステム情報をセカンダリディ
スク装置23に保存しておく。試行期間に移行した後、Ｏ
Ｓ12は診断プロセスプログラムを生成する。

【００３３】こうして試行期間に移行している間、上述
したようにメモリ13のディスクバッファ13ａに格納され
る更新データのプライマリディスク装置22に対する書込
み／読出しを行なう一方、上記診断プロセスプログラム
は他のプロセスと並行に動作しながらセカンダリディス
ク装置23よりシステム情報やシステムファイル等の読出
しを行なう。

【００３４】そして診断プロセスプログラムは、読出し
た情報を基にオペレータの操作もしくは自動的にソフト
ウェアバグの解析を行ない、得られた結果を画面に表示
して解析処理を終了する。そして、解析結果に問題がな
いと確認されると、以上でシステムの試行期間を終了さ
せるものである。

【００３５】また、図２は上記図１の構成に加えて、外
部記憶媒体としての磁気テープ装置31をチャネル16に接
続し、セカンダリディスク装置23内の情報を該外部記憶
媒体に保存するようにした他の構成例を示すものであ
り、以下にその動作を示す。ここでは、外部記憶媒体と
して磁気テープ装置31を用いているが、これに限ること
なく、光磁気ディスク装置、光ディスク装置等を用いて
もよいことは勿論である。

【００３６】しかして、例えば計算機システム本体11内
でソフトウェアバグによる論理的な不整合の発生により
試行期間に移行した際に、ＯＳ12がチャネル16に対して
セカンダリディスク装置23内の情報を磁気テープ装置31
に保存するように通知する。

【００３７】チャネル16はこの保存通知を受取ると、磁
気テープ装置31の状態を確認した後にセカンダリディス
ク装置23内の情報を順次磁気テープ装置31に保存させ
る。その後にチャネル16は、磁気テープ装置31への保存
が終了した時点でＯＳ12に対して保存終了を通知する。

【００３８】但し、磁気テープ装置31にセカンダリディ
スク装置23内のすべてのデータが保存される前に上記図
１で説明した試行期間の終了通知をシステム監視部14よ
り受けた場合、ＯＳ12は磁気テープ装置31への保存が終
了するまで試行期間を延長し、上記保存終了通知をチャ
ネル16より受取った時点でプライマリディスク装置22と
セカンダリディスク装置23の２つを元の二重化ディスク
装置21の状態に戻す通知をチャネル16に通知する。

【００３９】よって、試行期間中の計算機システム本体
11ではバックアップとして保存してあるセカンダリディ
スク装置23の情報を利用して、計算機システムを停止せ
ずにソフトウェアバグによる論理的な不整合などの計算
機システムの異常状態を解析できる。また、システム異
常発生時の情報をシステム停止なしで磁気テープ装置31
等の二次記憶装置に保存できるので、事後にバグ解析を
行なうこともできる。

【００４０】

【発明の効果】以上詳述した如く本発明によれば、ソフ
トウェアバグによる不整合が発生したときに、二重化デ
ィスク装置の一方を処理継続用に、他方をバックアップ
用に切換え、計算機システムのフォワードリカバリ処理
を実行後、一定期間該計算機システムを監視した後に切
換えた二重化ディスク装置を元の状態に戻すことによ
り、フォワードリカバリ処理の失敗に伴うファイルシス
テムの破壊が発生しても短時間に、かつ自動的にファイ
ルシステムを復旧できるため、ソフトウェアバグによる
不整合が発生した場合にもフォワードリカバリ処理によ
り計算機システムを停止することなくより安全に復旧で
き、高いアベイラビリティを実現できる。

【図面の簡単な説明】

【図１】本発明の一実施例に係る概略構成を示すブロッ
ク図。

【図２】同実施例に係る他の構成例を示すブロック図。

【図３】同実施例に係るソフトウェアバグに起因した論
理的不整合の検出から試行期間の処理の開始に至る処理
内容を示すフローチャート。

【図４】同実施例に係る試行期間の終了時の処理内容を
示すフローチャート。

【符号の説明】

11…計算機システム本体、12…オペレーティングシステ
ム（ＯＳ）、13…メモリ、13ａ…ディスクバッファ、14
…システム監視部、15…エラー検出部、16…チャネル、
21…二重化ディスク装置、22…プライマリディスク装
置、23…セカンダリディスク装置、31…磁気テープ装
置。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 飯島 徹 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内 (72)発明者 亀井 信義 神奈川県川崎市幸区堀川町66番２ 東芝シ ーエーイーシステムズ株式会社内

Claims (5)

【特許請求の範囲】
1. 【請求項１】 同一のデータ更新処理をパラレルに行な
   う第１のディスク装置及び第２のディスク装置からなる
   二重化ディスク装置を有する計算機システムにおいて、 この計算機システム内のソフトウェアバグに起因した論
   理的不整合を検出するエラー検出手段と、 このエラー検出手段による不整合検出時に、上記第２の
   ディスク装置のデータ更新処理を停止した後、該システ
   ム内のメモリ上にバッファリングされているディスクの
   更新データを上記第２のディスク装置に保存する保存手
   段と、 この保存手段での保存処理後に上記論理的不整合を訂正
   する訂正手段と、 この訂正手段での上記論理的不整合の訂正後に上記第１
   のディスク装置を用いてデータ更新処理を継続し、通常
   のシステム動作状態から上記システムを監視する試行期
   間に移行する移行手段と、 この移行手段による試行期間にシステムを監視して論理
   的不整合のないことを確認し、試行期間を終了させる監
   視手段と、 上記試行期間終了後に上記第２のディスク装置によるデ
   ータ更新処理を再開し、二重化ディスク装置の通常のシ
   ステム動作状態に復帰する復帰手段とを具備したことを
   特徴とする二重化ディスク処理方式。
2. 【請求項２】 上記移行手段により試行期間に移行する
   際に、上記第２のディスク装置を利用して論理的不整合
   を生じたソフトウェアバグを解析する解析手段を設けた
   ことを特徴とする請求項１記載の二重化ディスク処理方
   式。
3. 【請求項３】 上記試行期間中に、上記第２のディスク
   装置の記憶内容を他の外部記憶媒体に転送記憶する転送
   手段を設けたことを特徴とする請求項１記載の二重化デ
   ィスク処理方式。
4. 【請求項４】 上記試行期間中に該計算機システムに障
   害が発生して二重化ディスク装置内のファイルシステム
   が破壊された場合に、上記第２のディスク装置をバック
   アップとみなして、上記第１のディスク装置に上記バッ
   クアップをコピーし、二重化ディスク装置の状態を上記
   ソフトウェアバグに起因したエラーの発生時の状態にま
   で復旧する復旧手段を設けたことを特徴とする請求項１
   記載の二重化ディスク処理方式。
5. 【請求項５】 上記試行期間中に計算機システムに障害
   が発生して二重化ディスク装置内のファイルシステムが
   破壊された場合に、上記第２のディスク装置をバックア
   ップとみなし、上記第１のディスク装置に上記バックア
   ップをコピーし、上記第２のディスク装置に格納された
   メモリ上にバッファリングされていたディスクの更新デ
   ータを上記第２のディスク装置および上記第１のディス
   ク装置に反映して、二重化ディスク装置の状態を上記ソ
   フトウェアバグに起因したエラーの発生時の状態にまで
   復旧する復旧手段を設けたことを特徴とする請求項１記
   載の二重化ディスク処理方式。