JPH06504389A - フォルトトレラント・コンピュータ装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 本発明は、多数のプロセッサを利用するオペレーティングシステム・ソフトウェ アをペースとするフォルトトレラント・コンピュータ装置に関するものである。

２、背景技術 ］ンピュータ装置の応用においては、部品が故障した場合にも、コンピュータ装 置の連続運転を行うことが望ましいことがしばしばある。たとえば、パーソナル 書コンピュータ（ＰＣ’　ｓ）または７−クステーシロンはデータ、アプリケ− シーン、ファイル、処理バフ−１通信、およびプリンタ、モデム、大容量記憶装 置等のようなその他の資源を共用できるようにするためζこコンピュータａネッ トワークをしばしば用いる。一般に、資源の共用はネットワーク・サーバの使用 により行われる。サーバというのは、集中化されている資源を管理し、データを 管理し、それらの資源を顧客のＰＣ’　ｓまたはワークステーションで共用する ことに専用される処理装置のことである。サーバ、ネットワークおよびＰＣ’　 ｓまたはワークステーションは一緒に組合わされてコンピュータ装置を構成する 。ネットワークｅサーバに障害が存在するならば、ネットワーク上のＰＣ’　ｓ およびワークステージロンは希望の集中化されている資源の障害とシステム障害 をもはやアクセスできない。

構成装置が障害を引き起こしている間もコンピュータ装置の運転を維持するため に、冗長システムまたはバックアップ・システムを必要とする。従来技術の１つ のパフクアップＯシステムは完全なハードウェア冗長性を含む。コンピュータ装 置の運転中に２つの同一のプロセッサへ同じハードウェア信号レベルの同じ入力 が同時に供給される。典型的には、１つのプロセッサが主プロセツサとみなされ 、別のプロセッサが第２のプロセッサとみなされる。主プロセツサが障害を起こ すと、システムは第２のプロセッサへ切り換える。そのようなハードウェア冗長 システムがラベエル（Ｌｏｗｅｌｌ）　、米国特許第３，４４４，５２８号に記 載されている。ラベエル（Ｌｏｖｅｌｌ）においては、２つの同一のフンピユー タ装置が同じ人力を受け、同じ動作を行う。しかし、障害がなければただ１つの コンピュータが出力を供給する。その場合には第２のコンピュータは出力をＷＩ ４御する。動作時には、主フンピユータに誤動作が起きるまではバックアップフ ンピユータの出力回路は動作不能にさせられる。その時に、バックアップコンビ エータは動作可能にさせられる。

同一のプロセッサまたは同一のハードウェアの使用にはいくつかの潜在的な欠点 がある。１つの欠点はプロセッサをある信号レベルに同期させる事が複雑で、コ ストがかかることである。

バックアップ・システムを用意する別の従来の方法は「チェックポイント」シス テムと呼ばれているものである。チェックポイント−システムはｒ＊ａ状態オー トマトン」として知られている原理を利用する。この原理は、２つの装置が同じ 状態にあるとすると、それらの装置への同一の入力により各ＨＭが同一の出力を 生じ、かつ各装置が同じ同一の状態へ進む結果となる事を主張している。

チェックポイント・システムにおいては、プロセッサの状態および関連するメモ リのような装置の全体の状態は、主プロセツサの各動作の後で別のバックアップ −プロセッサへ転送される。障害発生時には、バックアップｅプロセッサは主プ ロセツサの最後の有効な状態にあることが理想的である。最後の動作はバックア ップ・プロセッサへ供給され、バックアップ中プロセッサを用いてその点から動 作は続行される。あるいは、主プロセツサの各動作の後で状態情報が大容量記憶 装置へ供給される。障害発生時には、障害発生時以前には別の動作のために使用 でき、または使用できなかったバックアップ・プロセッサへ、記憶されている情 報が供給される。

従来技術の１つのチェックポイント−システムが、グレイザー（Ｇｒａｓｅｒ） 　、米国特許第４．５９０．５５４号に記載されている。グレイザー（Ｇｒｕｓ ｅｒ）においては、あるタスクを実行するために主プロセツサが設番すられる。

別のタスクを実行するために第２のプロセッサが設けられる。主プロセツサの状 態が第２のプロセッサへ周期的に転送される。主プロセツサに障害が起きると、 主プロセツサおよびバックアップ・プロセッサの最後の同期以後に主プロセツサ により実行された任意のオペレージ習ンがバックアップ・プロセッサにより実行 されて、それを主プロセツサと同じ状態にする。グレイザ−（Ｇｒａｓｅｒ）の 装置、およびその他のチェックポイント・／ステムにはいくつかの欠点がある。

１つの欠点は主装置の状態を第２の装置へ転送するために要する時間の長さとメ モリの量である。チェックポイント・システムの別の欠点は、主装置に障害が生 じた時のサービスの割込みである。第２の装置は、メツセージ列中のメツセージ の実行により「速度を向上」させねばならない。

この問題を解決するための従来技術の１つの試みは、主装置の状態のうち、以前 の状態から変更されている部分だけを更新することである。しかし、これには複 雑なメモリ技術および複雑なデータ管理技術を必要とする。

本発明の目的は、バックアップ装置の同期のために特殊なノ１−ドクエアを必要 としないバックアップ装置を得ることである。

本発明の別の目的は、非同期事象にとって明らかであるバックアップ装置を得る ことである。

本発明の別の目的は、ネットワーク・サーバ拳オペレージ１ンのための改良した バックアップ装置を得ることである。

本発明の更に別の目的は、単一のハードウェア構成装置障害でもサービスを継続 することである。

発明の概要 本発明は、主処理装置に障害が存在するものとすると、全く同一の装置が中断な しに動作を引き継ぐ事ができるように、フオルトトレラント・ノイブクアップ装 置を提供する方法および装置である。主処理装置およびバックアップ処理装置は 、高速通信チャネルにより接続される別々のコンピュータである。本発明はｌイ ックアップ装置を同期させるためのソフトウェア解決を提供するものである。本 発明はネットワーク・サーバとして実現されるが、本発明の背景の原理を、別の 処理環境においても同様に使用できる。サーバは特別に構成されたオペレーティ ングシステムを用いる。本発明はこのオペレーティングシステムを２つの「エン ジン」に分割する。入力／出力（Ｉｌｏ）エンジンはシステムにおける全てのデ ータおよび非同期事象の取扱いと受け取りを行う。Ｉ１０エンジンは物理的装置 および装置ドライバを制御し、かつ物理的装置および装置ドライバをインターフ ェイスする。オペレーティングシステム（Ｏ５）エンジンがＩ１０エンジンから 受けたデータを処理するために用いられる。主サーバにおいては、それらのエン ジンは主Ｉ１０エンジンおよび主ＯＳエンジンと呼ばれる。

オペレーティングシステムの状態を変更する事ができる全ての事象または全ての データは、Ｉ１０エンジンを介して送られ、メツセージ・フォーマットへ変換さ れる。メツセージは、ＯＳエンジンによりアクセスされるメツセージ待ち行列へ 供給される。したがって、事象のタイミングとは無関係に、（すなわち、非同期 事象）、ＯＳエンジンは全ての事象を入力データの連続する順次流れを介して順 次受ける。その結果、ＯＳエンジンは装置の残りの一次元人力「ビュー」を介す る有限状態オートマトンである。このように、ＯＳエンジンが非同期事象を処理 させられるとしても、事象の処理は単一の順序をつけられた入力順序で制御され る。

起動させられると、または第２のプロセッサが最初に提供されると、主プロセツ サは「飢えさせられる」、すなわち、ＯＳエンジンが安定な状態に達するまで、 全ての命令またはその他の状態変更事象が停止させられる。その点において、状 態はバックアップ装置のＯＳエンジンへ転送される。その点から、同一のメツセ ージ（事象）が各ＯＳエンジンへ供給される。両方の装置は同一の状態から始ま り、同じ入力を受けるから、装置の０８１２２７部分が同一の出力を発生し、同 一の状態へ進む。

バックアップ装置はオペレーティングシステムを第２のＯＳエンジンと第２の１ １０エンジンへ分割もする。第２のＯＳエンジンは第１のＯＳエンジンと通信す る。主装置が諸具合を起こすと、コンピュータ装置の残りの部分がほとんど中断 なしに第２の装置へ切り換えられる。これが可能である理由は、各事象がバック アップ装置と主装置によりほぼ瞬時に実行されるからである。このように、構成 ｇｉｌｌに障害が起きている間もシステム動作が中断される事はない。更に、最 初の同期が取られた時は状態の転送はめられない、これにより装置の構成が簡単 になり、メモリの管理に対する要求が減少し、中断のないサービスを行う。

図面の簡単な説明 ＠ｌは本発明の好適な実施例のブロック図である。

図２はａｔのＩ１０エンジンの詳細図である。

図３は図１のＯＳエンジンの詳細図である。

図４Ａは要求および事象の実行中のＯＳエンジン動作を示す流れ図である。

図４Ｂは事象の実行中の第２のＩ１０エンジン動作を示す流れ図である。

図４０は要求の実行中の主Ｉ１０エンジンおよび第２のＩ１０ニンジンの動作を 示す流れ図である。

図５は本発明の状態遷移を示す図である。

図６は主装置および第２の装置の同期を示す流れ図である。

図７は本発明の別の実施例のブロック図である。

発明の詳細な説明 ネットワーク・サーバとして用いられるフオルトトレラント・システムを説明す る。以下の説明においては、本発明を完全に理解できるようにするために、数多 くの特定の詳細について述べる。しかし、それらの特定の詳細なしに本発明を実 施できることが当業者には明らかであろう。他の場合には、本発明を不必要にあ いまいにしないようにするために、周知の構成は説明しなかった。

本発明のブロック図 本発明の好適な実施例のブロック図が図１に示されている。本発明は、破線２１ の内部の要素により全体的に示されている主プロセツサおよびオペレーティング システムと、破８２２の内部に入っている要素により全体的に示されている第２ のプロセッサおよびオペレーティングシステムを提供するものである。主オペレ ーティングシステム２１は、人力／出力（Ｉｌｏ）エンジン１２へ結合されてい るオペレーティングシステム（Ｏ５）ニンジン１０を育する。Ｉ１０エンジンお よびＯＳエンジンは「事象」待ち行列および「要求」待ち行列を介して通信する 。Ｉ１０エンジンは事象を事象待ち行列へ書込み、ＯＳエンジンは要求待ち行列 からその事象を読出す。ＯＳエンジンは要求を要求待ち行列へ書込み、■１０エ ンジンはその要求を読出す。

バックアップ２２はそれ自身のＯＳエンジン１６を含む。このＯＳエンジンは事 象待ち行列１７および要求待ち行列４２を介してＩ１０エンジン１８と通信する 。ｒ１０エンジン１２は高速通信バス１５Ａおよび１５Ｂを介してＩ１０エンノ ンＩ８と通信する。１５Ａ＃よび１５Ｂは２ＷＡ類のメツセージ、Ａと８１を通 信するために用いられる１つのハードウェアｅチャネルである。高速通信バスは 主サーバから第２のサーバへ事象を転送するために用いられる（１５Ａ）。それ はＩ１０エンジンの間の別の通信のためにも用いられる（１５Ｂ）。Ｉ１０エン ジン１２は線１３を介して大容量記憶装置１４をアクセスする事もできる。Ｉ１ ０エンジン１２は、バス６４を介してＩ１０エンジン１２へ結合されているブロ ック４４Ａとして記号的に示されている、タイマ、キーボード、表示装置等のよ うな別の装置へも結合される。Ｉ１０エンジン１８は線１θを介して大容量記憶 装置２０へ結合される。Ｉ１０ニンジン１２とＩ１０エンジン１８はネットワー ク２３へおのおの接続される。Ｉ１０エンジン１８はバス６５を介してブロック ４４Ｂ（タイマ、キーボード表示装置等）へ結合される。

Ｉ１０エンジン１２は、それが一部を構成しているコンピュータ装置からデータ と非同期事象を受ける。たとえば、本発明がネットワーク・サーバとして用いら れるものとすると、ネットワークへ結合されている別の装置からＩ１０エンジン １２はＬＡＮパケットを受ける。Ｉ１０エンジンは、大容量記憶装置１４、キー ボードまたはタイマのような、物理的装置および装置ドライバを制御し、かつそ れらとインターフェイスする。

ＯＳエンジンは夏１０エンジンから事象待ち行列１１．１７を介して受けたデー タを演算する。希望の動作が実行された後で、別のシステム装置へ出力するため に、データは要求待ち行列４１．４２を介してＩ１０エンジンへ戻される。

主サーバ２１はネットワーク２３から入力！１２４を介してデータまたは事象を 受ける。Ｉ１０エンジン１２はそれらの事象またはデータを「メツセージ」フォ ーマットへ変換する。各メツセージは、オペレーティングシステムの状態を変化 できるデータまたは事象を表す。Ｉ１０エンジンＩ２はそれらのメツセージをま ずバス１５Ａへ供給し、■１０エンジン１８がそのメツセージを受けたことを夏 １０エンジン１８が信号すると、そのメツセージはＩ１０エンジン１２．１８に より事象メツセージ待ち行列１１．１７を介して両方のＯＳエンジンへ与えられ る。それらのメツセージはＯＳエンジン１０，１６により順次実行される。メツ セージを待ち行列化することにより、全ての非同期事象が事象メツセージの同期 列へ変換されるように、時間依存性がシステムから除去される。ＯＳエンジンを １１０エンジンから分離することにより、ＯＳエンジンがシステムの一次元図（ すなわち、事象メツセージ待ち行列）を育する有限状態オートマトンであるかの ように、ＯＳエンジンは動作させられる。

主Ｉ１０エンジン１２を第２のＯＳエンジン１８へ結合するバス１５Ａ、１５Ｂ は双方向通信チャネルを利用する。物理的には、バス１５Ａと１５Ｂは高速通信 を行わせ、待ち時間が短＜、ＣＰＵオーバーヘッドが低い。バス拡張器およびロ ーカルエリアネブト７−り（ＬＡＮ）カードを含めた、適当な任意の通信チャネ ルを本発明で使用できる。

希望によっては、Ｉ１０エンジンとＯＳエンジンを単一のプロセッサで実現でき る。あるいは、ＯＳエンジンに１つと、■１０エンジンに１つの別々のプロセッ サを利用できる。付加プロセッサを用いて付加ＯＳエンジンを本発明で利用する 事もできる。そうすると全てのＯＳエンジンの状態は反映させられる。

ＯＳエンジンとＩ１０エンジンのために１つのプロセッサまたは２つのプロセッ サが利用されるかとは無関係に、システムＲＡＭメモリが２つのエンジンの間に 分割される。Ｉ１０エンジンはＯＳエンジン・メモリをアクセスできるが、ＯＳ エンジンはＩ１０エンジン・メモリをアクセスできない。その理由はメモリ・バ ッフ１・アドレスが主Ｉ１０エンジンと第２のＩ１０エンジンに対して興なるこ とがあり、主ＯＳエンジンと第２のＯＳエンジンがＩ１０エンジン・メモリ内の アドレスをアクセスすることを許されたとすると、それらのＯＳエンジンの状態 を興なるようにするからである。

主サーバとバックアップ・サーバが同一のプロセッサを持つ必要はない。プロセ ッサの性能は類似せねばならず（ＣＰＵの型、ＣＰＵの速度）、プロセッサは、 必ずしもビンおよびバスサイクル・レベルにおいてではなくて、メモリへ書込ま れた値および命令順序付はレベルにおいて、同様にして命令を実行せねばならな い。たとえば、アメリカ合衆国カリフォルニア州すンタ・クララＣ３ａｎｔａ　 Ｃ１ａｒａ）所在のインチル・コーボレーシ１ン（Ｉｎｔｅｌ　Ｃｏｒｐｏｒａ ｔｉｏｎ）により製造された８０３８８マイクロプロセツサを主サーバに使用で き、インテル８０４８Ｂを第２のサーバに使用できる。第２のエンジンは、主Ｏ Ｓエンジンにより使用されているＲＡＭの数と少なくとも同数のＲＡＭを有する ことをめられる。また、主サーバと第２のサーバは同じ構成のディスク記憶装置 を同数持たねばならない。

ハードウェアとソフトウェアの少なくとも一方のアップグレードおよび変更を、 サービスの喪失なしにシステムに対して行うことができる。たとえば、ユーザー はより多くのＲＡＭを主サーバと第２のサーバへ付加することを望むことである 。これを行うために、主サーバまたは第２のサーバをシステムから取り出す。

主サーバがラインから外されたとすると、第２のサーバはその発生を障害として 取扱い、主サーバとして動作を開始するから、システムの動作の崩壊すなわち中 断はない。それから、ラインから外されたサーバをアップグレードでき、オンラ インへ戻すことができる。それからそれらのサーバを再び同期させ、別のサーバ をラインから外してアップグレードする。第２のサーバのアップグレードの後で 、そのサーバはオンラインへ戻され、サーバは再び同期され、新たに付加された ＲＡＭを用いて両方共スタートする。このようにして、サービスの喪失なしにハ ードウェアおよびソフトウェアのアップグレードを行うことができる。本発明を ネットワーク・サーバに関連して説明したが、汎用コンピュータ装置へ等しく応 用される。

第２のオペレーティングシステムを初期化するために、それが安定状態に達する まで、主ＯＳエンジン１０からの全ての新しい事象が保留される。安定した時点 でＯＳエンジン１０の状態（ＯＳエンジン１０のメモリ画像で具体化される）が メツセージバス１５Ｂを介してバックアップ・オペレーティングシステムのＯＳ エンジン１６へ転送される。そうすると、ＯＳエンジン１０はＯＳエンジン１６ と同一の状態を有する。この時には、［１０エンジン１２により発生されてＯＳ エンジンＩＯへ供給された全てのメツセージが、バス１５Ａを介してＩ１０エン ジン１８へも供給され、ＯＳエンジン１６へ転送される。ＯＳエンジンｌＯと１ ６は同一の状態で開始し、同一の入力を受け、各ＯＳエンジンは各事象またはメ ツセージの後で間−の状態へ進む。

本発明においては、同一のメツセージが主オペレーティングシステム・エンノン とバックアップ・オペレーティングシステム・エンジン内に同一の状態を生ずる から、従来技術のチェックポイント動作はめられない。時間に依存する配慮すべ き事柄は最小にされ、同期事象と非同期事象がメツセージ待ち行列へ供給される から、同時動作のためのそれぞれのＯＳエンジンの同期は不必要であり、メツセ ージ待ち行列は、非同期事象を同期事象へ変換するための方法として機能する。

主装置に障害が生ずると、第２のオペレーティングシステムのＩ１０エンジン１ ８がネットワーク２３へ結合される。それから第２のＩ１０エンジン１８ｈ（メ ツセージを発生するために用いられる。それらのメツセージは第２のＯＳエンジ ン１６へ供給される。バックアップ・オペレーティングシステムは主オペレーテ ィングシステムと同じ状態にあるから、サーバを用いている顧客に対して、サー バの切り換え中に動作が行われなくなることはない。

Ｉ１０エンノン１０Ｓエンジンの分離 本発明においては、■１０エンジンとＯＳエンジンはほぼ論理的に独立して〜す る。パブクアブブＯＳエンジンへ反映できない望ましくない状態変化を阻止する ために、以下に更に説明するように、Ｉ１０エンジンとＯＳエンジンにより共用 されるデータが制御される。各エンジンはそれ自身の自立プロセス・スケジュー ラ−、コマンド・インタープリタ−、メモリ管理装置、およびＯ５の機能に重要 なＯ８の部分に関連するコードを有する。

ＯＳエンジンとＩ１０エンジンの間の分割は、ドライノ（支持層における〕１− ドウエア・ドライバ中レベルの上で行われる。ドライバ支持層ソフトウェアは■ １０エンジンとＯＳエンジンの両方において複製され、同じトップレベル・イン ターフェイスを維持する。Ｉ１０エンジンとＯＳエンジンのためにドライノ（支 持層ソフトウェアは修正される。Ｉ１０エンジンのドライバ支持層はドライノく ・レベル・インターフェイスを維持し、物理的／＼−ドウエア・ドライノくへ通 信する。それはハードウェア・ドライバ・レベル事象をメツセージへ変換する。

それらのメツセージはＯＳエンジンの事象待ち行列へ供給される。

ＯＳエンジンは、割り込みまたはＩ１０ボートアドレスを割り当てるためのよう な、ハードウェア・ドライバ・インターフェイス支持ルーチンを持たなｔ）。ノ 為−ドウェア成分を含むオペレージロン（たとえば、書込みまたはディスクから の読出し）をＯＳエンジンが要求すると、ＯＳエンジン内のドライ／＜支持層゛ ソフトウェアが動作を要求へ変換し、それを実行のためにＩ１０エンジン要求待 ち行列へ供給する。それから、その要求の結果が、１１０工ンジン畢ドライバ支 持層により発生された事象メツセージとしてＯＳエンジンへ戻される。

Ｉ１０エンジン ここで図２を参照すると、Ｉ１０エンジンはドライバ・レベルと、管理ソフトウ ェアのレベルと、メツセージ・レベルとの３つのレベルより成る。装置ドライ／ ＜２６Ａ〜２８Ｅは、プリンタ、記憶装置（たとえば、ディスク・ドライブ）、 表示装置ｆ、ＬＡＮアダプタ、キーボード等のようなハードウェア要素をドライ ブする。管理ソフトウェア−レベルは装置ドライバのための制御器を含む。たと えば、ディスク・ブロック２７はディスク装置ドライバ（たとえば、ディスク装 置ドライバ２６Ａ）を制御する。ディスク・ブロック２７はディスクの読出しと 書込みとの開始を制御する。また、ディスクφブロック２７はディスク・オペレ ーン−ンの状態を追跡する。主Ｉ１０エンジン（すなわち、！１０エンジン１２ ）のディスク・ブロック２７はディスク・オペレージロンの状態をバックアップ ■１０エンジンと通信する。主大容量記憶装置１１４と第２の大容置記憶装置２ ０はほぼ同一の装置である。主Ｉ１０エンジンがディスク１４からの読出しを実 行したとすると、それは読出しが終了させられたことをＩ１０エンジン１８へ通 信する。主Ｉ１０エンジンが読出しを最初に終了したとすると、データをメツセ ージとしてバス１５Ｂを介して第２のＩ１０エンジンＩ８へ送ることができる。

あるいは、Ｉ１０エンジン１８はデータをそれ自身のディスク・ドライブ２０か ら続出す。

ＬＡＮブロック２８は、ローカル・エリア・ネットワークへのような外部通信を 制御する。しかし本発明はローカル−エリア・ネットワークに限定されるもので はなく、本発明は任意の種類の通信を利用できる。ＬＡＮＩＩａｌ器は情報パケ ットをネット７−りから受け、そのパケットをＯＳエンジンへ供給するかどうか を決定する。

表示ブロック２９は、装置ドライバ２６Ｃを介するＣＲＴスクリーンのような表 示装置への通信を制御する。タイマ・ブロック３０はシステム時間クロックをド ライブし、キーボード・ブロック３１はキーボードとのインターフェイスおよび 通信を行う。

メツセージ・ブロック４７は／ステム事象をメツセージへ変換し、ＯＳエンジン の事象待ち行列へ供給し、ＯＳエンジンからの要求を待ち行列から外す。メツセ ージはヘブダ・フィールドとデータ・フィールドで構成される。ヘブダ・フィー ルドはメツセージまたはオペレージ１ンの型を示す。データ・フィールドはオペ レーンぎンを実行すべきデータを含む。メツセージ台レベルは事象メツセージを 事象バス１５Ａを介してＩ１０エンジンと通信する。

ＯＳエンジン 図３を参照すると、ＯＳエンジンは、■１０エンジンから受けた事象メツセージ を待ち行列から順次外し、要求を待ち行列に入れてＯＳエンジン要求をＩ１０エ ンジンの要求ブロック４７へ供給する。ＯＳエンジンは、Ｋ１０エンジンの管理 ソフトウェアに対応する管理ソフトウェアも含む。たとえば、ＯＳエンジンはデ ィスク管理ソフトウェア３３と、ＬＡＮ管理ソフトウェア３４と、タイマー管理 ソフトウェアと、キーボード・ソフトウェア３７とを含む。ＯＳエンジンのトッ プレベル４８は本発明を用いるコンピュータ装置のオペレーティングシステムで ある。

ディスク管理ソフトウェア３３は冗長ディスク１４．２０へのデータの鏡映され たコピーを制御する。ディスク読出しオペレージ胃ンのようなディスク・オペレ ーシ−ンを実行するものとすると、両方のＩ１０エンジン１２，１８が読出しオ ペレーン璽ンを実行するか、Ｉ１０エンジン１２が読出しを実行してデータを第 ２のＩ１０エンジン１８へ転送するのかをディスク管理ソフトウェア３３が決定 する。タイマ管理ソフトウェア３６はタイマ事象を制御する。一般に、オペレー ティングシステムは周期的に中断されるタイマを育する。このタイマ中断は時間 に独立なオペレージロンのためにしばしば用いられる。本発明においては、タイ マ中断自体は人力待ち行列における事象である。タイマ中断をメツセージへ転換 することにより、タイマ事象は絶対的の代わりに相対的になる。タイマ事象は非 同期事象から同期事象へ変更される。ＬＡＮブロック３４と、表示ブロック３５ と、キーボード・ブロック３７とはそれぞれネットワーク事象、表示事象、キー ボード事象を制御する。

オペレージ瞠ン ＯＳエンジンが事象メツセージを受けると、ＯＳエンノンの状態にいくつかの変 更を行わせることができ、それらの変更を行わせるためにある有限の時間がかか る。本発明においては、メツセージがＯＳエンジンによりひとたび受けられると 、メツセージの関数として実行できる全てのオペレーシーンをＯＳエンジンは実 行する。それらのオペレーシーンが全て実行されると、ＯＳエンジンはメツセー ジ待ち行列を検査して実行のために別のメツセージを利用できるかどうかを判定 する。利用できる別のメツセージがなければ、メツセージを利用できるようにな るまでＯＳエンジンは動作しな（なる。主ＯＳエンジンと第２のＯＳエンジンが 同期されたままであるようにこのオペレージ１ン方法がめられる。！１０エンジ ンが非同期であるから、新しいメツセージを主ＯＳエンジンと第２のＯＳエンジ ンへ興なる時刻に与えることができる。したがって、ＯＳエンジンの状態を変更 するために、新しい事象の存在または非存在に対して働きかける事または利用す る事はできない。

本発明の好適な実施例においては、Ｏ８環境は非先使用であると定義される。

先使用は本質的に非同期事象である。従来技術においては、タスクの実行をタイ マ中断により中断して、別のタスクで置き換えることができる。このシステムは １度に１つのメツセージを実行するから、メツセージ待ち行列中のそのメツセー ジに達するまで、タイマ中断または非先使用の要求はｏＳエンジンに影響を及ぼ さない。タイマ事象を受ける事ができ、かつＯＳエンジンにより実行できる前に 、ＯＳエンジンで実行しているタスクは制御を放棄せねばならない。

エンジン間通信 本発明においては、ＯＳエンジンとＩ１０エンジンの間の通信が制御される。

ＯＳエンジンに対する単−人力源を保存することにより、時間に依存する事象と 、Ｉ１０エンジンにより行われる変更とがＯＳエンジンの状態に影響することを 阻止するために本発明は構成される。

Ｉ１０エンジンとＯＳエンジンの間の通信は下記のように特徴づけられる。

１、ＯＳエンジンはそれ自身のＯＳエンジンのメモリをアクセスできるだけであ る。ＯＳエンジンとＩ１０エンジンの間の全ての通信はＯＳエンジンのメモリ内 で起こさねばならない。ＯＳエンジンはＩ１０エンジン自メモリと名づけられて いるメモリをアクセスできない。メモリのコヒーレンシイが保存される。本発明 においては主ＯＳエンジンと第２のＯＳエンジンが鏡像関係にされるが、主■１ ０エンジンと第２のＩ１０エンジンはそうではない。したがって、各１１０エン ジンで構成されているメモリは興ならせることができる。ＯＳエンジンが■１０ メモリをアクセスしない限りは、安定な同期が維持される。

２、メモリのブロックをＩ１０エンジンにより修正する事をＯＳエンジンが要求 すると、修正が行われたことをＯＳエンジンへ知らせる事象をＩ１０エンジンが 送り返すまで、ＯＳエンジンはそのメモリ・ブロックをアクセスできないことが ある。主ＯＳエンジンと第２のＯＳエンジンは完全に同期して動作するわけでは ない。それらのＯＳエンジンの動作のいくらかのスキューおよび分岐が存在する ことがある（もりとも状態は常に集中する）、また、主Ｉ１０エンジンおよび第 ２のＯＳエンジンは糟々の時にＯＳエンジン・メモリを修正できる。それから、 ｉ１０エンジンにより変更されているプロセス中にあるメモリ場所の現在の値に 関連するＯＳエンジンにより判定が行われ、種々の修正時刻に起因するスキュー のデータをそのメモリ場所が含んでいるものとすると、２つのＩ１０エンジンの 間の同期化は失われることになる。

実際の動作においては、Ｉ１０エンジンからのデータのコピーをＯＳエンジンが めたとすると、それはデータを保持するために作業バッファを割り当て、その作 ！バッフＴのアドレスをＩ１０エンジンへ供給する。Ｉ１０エンジンはめられた データを作業バフファヘコビーし、データが置かれたことを裏付ける事象をＯＳ エンジンに対して発生する。ＯＳエンジンは作業バッフＴからのデータをその最 終的な宛先ヘコビーし、作業バッフ１を解放する。

３、ＯＳエンジンによりＯＳエンジン・メモリ場所の明らかな制御が行われてい なければ、■１０エンジンはＯＳエンジン・メモリと名づけられているメモリを 変更できない。Ｉ１０エンジンがＯＳエンジン・メそりの制御をＯＳエンジンへ 転送して戻すと、（ＩＩ象を介して）■１０エンジンはそのメモリをアクセスで きない。

４、ＯＳエンジン書ソフトウェアは、ポール会ループ中にプロセッサの制御を放 棄することなしに、メモリ値における変化に対してｒボール」できない。その理 由は、この実現においてＯＳエンジンを先使用ドライブまたは割り込みドライブ できないからである。全ての変更は事象を介して行われ、実行中のプロセスによ りプロセッサが放棄されるまで新しい事象は受けられない。

主サーバに障害が起きると、第２のサーバが主サーバになる。ＯＳエンジンのア ドレスは変更しないが、「ネットワーク」から受けられたメツセージは、メツセ ージを第２のサーバへ向けるために再び経路指定される。

ディスク・ミラーリング 本発明の動作のために主記憶装置１４と第２の記憶装置２０は鏡映関係になけれ ばならない、新しい第２のエンジンがラインへつながれると、ディスク装置は第 ２のエンジンにおけるドライブを主エンジンにおける対応するドライブへマツプ する。２つのエンジンにおけるドライブには、どのドライブがより現在であるか 、または２つのドライブが既に完全に同期させられている事かを示すために使用 できる「現在の同期化レベル」カランタでマークされる。その同期化レベルが変 化した（すなわち、別のサーバに障害が生じた）とすると、生き残ってｔするサ ーバにより現在の同期化レベルが高くされる。生き残うているサーバは、ディス クへ書込まれたメモリｅブロックのトラッキングを開始する。障害を起こしたエ ンジンがラインへ復帰すると、それが以前の媒体と同じ媒体であることを確認し た後で、サービスから外されている間に変更されたメモリ・ブロックだけを介し て転送することにより、修理したエンジンを再び同期させることができる。シス テムが最初に起動させられ、元の主エンジンがラインへつながれると、それはど のディスク・ブロックが同じ理由で変更させられたかを追跡する。

主Ｉ１０エンジンと第２の［７０エンジンの通信主システムの夏１０エンジンは 、主ＯＳエンジンと第２のＯＳエンジンへ供給される事象の順序を決定する。あ る事象に、主ＯＳエンジンーメそりにおいて修正された任意のデータを加え合わ せたものが、主ＯＳエンジンへそれの事象待ち行列内の事象が与えられる前に第 ２のＯＳエンジンへ通信される。この通信はバス１５Ａを介して行われる。第２ のシステムのＩ１０エンジンは第２のＯＳエンジン・メモリを修正して、事象を 第２のＯＳエンジンへ供給する。

事象を通信する事に加えて、主Ｉ１０エンジンと第２のｒ１０エンジンは別の情 報を通信する。種々のドライバ層支持ルーチンが、別のシステム内の片割れと通 信できるようにする機構が設けられる。この通信は双方向であり、バス１５Ｂを 介して行われる。そのような通信は、ディスク・ハードウェアの障害のためにシ ステムの一方にデータが記憶されているだけである時に、ディスク１１０要求の 終了と、ディスクＩ１０データの通信とを例として含む。

ＯＳエンジンの間の通信のために用いられる２つの手順がある。ある事象をＯＳ エンジンへ与えるためにＩ１０エンジンによりｒＡｄｄＦ５ＥｖｅｎｔＪが用い られ、Ｉ１０エンノンに対する要求を通信するためにＯＳエンジンにより　ｒＭ ａｋｅｌＯＲｅｑｕｅｓｔＪが呼び出される。＾ｄｄＦｓＥｖｅｎｔは主Ｉ１０ エンジンにより呼び出すことができるだけである。行われている要求または事象 を識別するために、両方の呼び出しは要求の型または事象の型を用いる。また、 両方の呼び出しは、機能に特有のやりかたで定められたパラメータを送る。たと えば、それはＯＳエンジン・メモリ内のデータ構造へのポインタとすることがで きる。

主システムＩ１０エンジンがＯＳエンジン内のデータ構造を修正すると、事象を ＯＳエンジンへ与える事ができる前に第２のＯＳエンジンにおいて同じ修正を同 様に行う必要がある。ＯＳエンジン内のデータ構造に対するポインタをＡｄｄＦ ＳＥｖｅｎ　ｔへ与える事ができ、それは事象とともに第２のサーバへ転送され て、ＯＳエンジン・データ修正を第２のシステムへ転送する。

第２のシステムにおいては、要求の型ごとに１つずつのハンドラ手順が！１０エ ンジンに存在する。それらのハンドラ手順は、事象が主サーバから受けられたと きに呼び出される。ハンドラ手順は元のパラメータと、修正する必要があるＯＳ エンジン内の区域に対するポインタで呼び出される。

第２のＩ１０エンジン事象ハンドラ手順は、事象を受けるか、放すかの選択を持 つ。事象がＯＳエンジンからの要求に応答し、かつ第２のシステムが要求をまだ 得ていなければ、放棄が用いられる。その事象が放棄されなかったとすると、潜 在的にメモリをＯＳエンジンにおいて想起に変更できる。通常は、第２のＩ１０ エンジン内の事象ハンドラーが、それらがトラッキングして、事象を受ける事を 信号する顕著な要求を除去する。データがコピーされた後で、事象が第２のＯＳ エンジンへ与えられる。インプリメンテーン１ンにより必要があれば、第２のシ ステムの事象ハンドラーはＯＳエンジン壷メモリに対する別の変更を行うことが できる。

ある事象をＥＯＳエンジンへ与える前に、第２のシステムがその事象を受けるま で主Ｉ１０エンジンが待つ事が重要である。さもないと、主ＯＳエンジンは事象 を処理でき、元の事象が転送される前に第２のシステムへ応答を供給する（事象 を主システムにおける待ち行列で遅延させて、第２のシステムへ送られる事を待 つ）、第２のシステムへまだ転送されていない事象の関数である要求を主システ ムが発生したとすると、主システムが外部の障害を起こしたならば、顧客からみ たそれの状態は第２のシステムへ同期されない。

オペレージ１ンおよび遷移のサーバ状部Ｉ１０エンジン・ソフトウェアは、どの サーバも活動状態でない、第２の状態でない主システム、第２の状態にある主シ ステム、および第２のシステム状態、の４つの状態で実行する。また、■１０エ ンジンは、サーバ非活動から第２の状態でない主システムへ、第２の状態でない 主システムから第２の状態にある主システムへ、第２のシステムから主システム への状態遷移を行う。第２のシステムの同期化中に起きるい（つかの付加状態が ある。

本発明のシステムの状態が図５に示されている。気が付くように、Ｉ１０エンジ ンは４つの状！Ｉｓ　１．３２．Ｓ３、Ｓ４の内の１つの状態で動作する。状ｆ ｉＳ１、無サーバ・エンジン、は、■１０エンジンが動作しているが、オペレー ジジンが動作していない時に生ずる。状態２、第２の状態でない主システムは、 Ｉ１０エンジンとＯＳエンジンがロードされるが、システムが鏡映されていない 時に起きる。システムが鏡映されると、それは主ＯＳエンジンになり、■１０エ ンジンは主Ｉ１０エンジンとして動作する。

状ｆｉ３は第２の状態にある主システムと呼ばれる。この状態におり１ては、Ｉ １０エンジンは鏡映されている主システムで動作する。状ｆｉ４、主の状態にあ る第２のシステムは、■１０エンジンが鏡映されている第２のシステムで動作す る時に起きる。

Ｉ１０エンジンが経験できる可能な状態遷移は５つある。それらは線Ｔｌ−Ｔ５ により示されている。第１の遷移Ｔ１は状１１５１から状！！ｌＳ２へである。

この遷移はＯＳエンシフが起動させられた後で起きる。

第２の遷移Ｔ２は状！１５２から状１１Ｓ３へで、主システムが第２のシステム へ同期させられた時に主システム内で起きる。遷移Ｔ３は状ａＳｔから状態Ｓ４ へで、ＯＳエンジンが主システムへ同期させられた時に第２のシステム内で起き る遷移Ｔ４は状態Ｓ４から状ｆｉＳ２へで、主システムに障害がある時に起きる 。

遷移Ｔ５は状１１ｓ３から状ｕＳ２へで、第２のシステムに障害がある時に起き る第２のサーバ要求のトラッキングおよび実行第２のシステムＴ１０エンジンは それ自体のＯＳエンジンから要求を受けるが、通常はそれらは実行しない。その 代わりに、それは要求を待ち行列に入れ、主Ｉ１０システムが要求に応答するま で待ち、それから応答（主Ｉ１０システムにより発生された事象）のコピーを得 て、要求のそれ自身のコピーを待ち行列に入れ、応答「事象」がそれ自身のＯＳ エンジンへ与えられる事を許す。

い（つかの理由から、第２のＴ１０エンジンはＯＳエンジンからの要求を待ち行 列に入れねばならない。まず初めに、ＯＳエンジンはそれの要求のおのおの１つ からある種の応答「事象」を通常期待する。主システムに障害が生ずると、第２ のシステム（今は主システム）が要求を完了して、適切な応答事象を発生する。

別の理由は、第２のシステムがその応答事象を受けることを認めることができる 前にその第２のシステムが要求を受けるまで第２のシステムは待たなければなら ないからである（主システムが第２のシステムより大きく進んでいるならば起き る事ができるケースである）。さもないと第２のシステムは、受ける事をまだ準 備していないそれのＯＳエンジンへデータを転送するからで、第２のシステムが 要求を待ち行列に入れたとすると、それは応答事象を受け、そうでなければ、「 放し」て再び試みる事を主システムへ知らせる。

両方のサーバにより実行されることが必要となり、そうすると主システムにより 調整される実際の終了「事象」を有するＯＳエンジンにより与えられる要求があ る。これの１つの例がディスク書き込みである。第２のシステムはそれが要求に より行われる時に主システムへ知らせねばならない。すなわち、主システムは、 書込みを終了し、第２のシステムが終了「事象」を発生する前に第２のシステム から終了確認を受けるまで、待たねばならない。

事象および要求の実行を示す流れ図が図４Ａ〜４ｃに示されている。まず、ＩＳ エンジンの動作が示されているｒＩ！Ｊ４Ａを参照する。

ＯＳエンジンが要求を発生する時のそのＯＳエンジンの動作がステップ５１と５ ２に示されている。事象を受ける時のｏｓエンジンの動作がステップ５３と５４ に示されている。ステップ５１においては、Ｉ１０動作を行う必要があることを ＯＳエンジンの管理層が決定する。ステップ５２においては、ｏｓエンジンは１ １０エンジンに対する要求を発生し、待機モードに入って、Ｔ１０エンジンから の応答事象を待つ。

ステップ５３においては、ｏｓエンジンの事象待ち行列内のＴ１０エンジンから ある事象が受けられる。その事象は、ディスク・ブロック、ＬＡＮブロック、キ ーボード−ブロック等のような適切な管理層ブロックへ与えられる。ステップ５ ４においては、管理層は最初のＩ１０事象を元の要求に一致させることにより、 その事象を終了す１゜ 事象処理中のＩ／”Ｏエンジンの動作を示す流れ図が図４Ｂに示されている。ス テップ５５〜５８は主Ｉ１０エンジンを示し、ステップ５９〜６３は第２のに１ ０エンジンを示す、スナップ５５においては、ｏｓエンジンのための事象が存在 することを主Ｉ１０エンジンの管理層が決定する。ステップ５Ｂにおいては、こ の事象はメツセージ゛へ組み込まれて第２のＴ１０エンジンへ送られる。それか ら、第２のＴ１０エンジンがメツセージを主ｏｓエンジンへ供給する前に肯定応 答するまで、主ｌ１０−工ンジンは待つ０判定ブロック５７においては、事象が 第２のＯＳエンジンによ”り受けられたかどうかについての判定が行われる。事 象がまだ受けられて（１ない・七すると、肯定応答が行われるまで主Ｉ１０エン ジンは待つ。第２のＴ１０エンジンが事象を受けたとすると、ステップ５８にお いて、Ｔ１０エンジンは事象を主ＯＳエンジン事象待ち行列内に置（。

ステップ５９において、第２のＴ１０エンジンは主１１０エンジンがらの事象を 待つ。判定ブロック６０においては、第２のＴ１０エンジンが受けられた事象に 対してレディであるかどうかを判定する。第２のＴ１０エンジンがレディでない とすると、ステップ６１において、それは受けないメツセージを主１１０エンノ ンへ送り、ステップ５９へ戻って別の事象を待つ。第２のＴ１０エンジンが事象 を受ける用意ができており、判定ブロック６０における条件が満たされたとすれ ば、ステップ６２において、第２のＴ１０エンジンはその事象の肯定応答を主Ｉ １０エンジンへ送る。それから、ステップ６３において、第２のＴ１０エンジン は事象を第２のＯＳエンジン事事象待行列に置く。

図４Ｃは、ＯＳエンジンにより処理要求が発生された時の！１０エンジンの処理 状態を示す。ステップ７０〜７４はそれらの動作中の主Ｉ１０エンジンの状態を 示し、ステップ７５〜８１はそれらの動作中の第２のＴ１０エンジンの状態を示 す。ステップ７０においては、Ｔ１０エンジンのメツセージレベルは要求待ち行 列において利用できる要求があることを決定する。ステップ７１においては、要 求はＴ１０エンジンにより実行される。この要求はディスク書込みオペレーノー ンとすることができ、ＬＡＮ等へパケットを送る。判定ブロック７２においては 、第２のＴ１０エンジンによる要求の実行がめられているかどうかが判定される 。別の実行がめられていないとすると、主Ｉ１０エンジンはステップ７４へ進む 。第２の実行がめられるとすると、主Ｉ１０エンジンは判定ブロック７３へ進む 。第２のプロセッサが終了させられたとすると、主１１０エンジンはステップ７ ４Ａへ進む。第２のステップが終了させられないとすると、第２のステップが終 了させられるまで主Ｉ１０エンジンは待つ。判定ブロック７４Ａにおいては、要 求が終了事象を発生するかどうかにっての判定が行われる。回答が肯定であれば 、主Ｉ１０エンジンはステップ７４Ｂへ進んで終了事象を発生する。

終了事象がめられないとすると、主Ｉ１０エンジンはステップ７４Ｃへ進んで行 われる。

ステップ７５においては、ＯＳエンジンから利用できる要求があることを第２の メツセージレベルが決定する。判定ブロック７６においては、要求を実行するた めに第２のプロセッサがめられるかどうかについての判定が行われる。第２の１ １０エンジンが要求を実行するものとすると、第２のＴ１０エンジンはステップ ７７へ進み、その要求を実行する。要求の実行の後で、第２のＴ１０エンジンは 終了を主１１０エンジンへ知らせる。第２のＴ１０エンジンが要求を実行しない ものとすると、第２のＴ１０エンジンは判定ブロック７８へ進み、要求が終了事 象を発生するかどうかを判定する。要求による終了事象が発生されないとすると 、第２のＴ１０エンジンはステップ８ｏへ進み、それが実行される。要求がある 事象を発生するものとすると、ステップ８１において第２のＴ１０エンジンは主 Ｉ１０エンジンから対応する事象を待つ。

サーバ同期化シーケンス 第２のシステムと主システムの同期化中は、ｏｓエンジンの全「状態」、および ＯＳエンジンの状態に関連する主Ｉ１０エンジンの状態を第２のシステムへ通信 せねばならない。主システムと第２のシステムの同期化を開始するために、主Ｏ Ｓエンジン・システムが析しい事象が「飢えＪさせられる。すなわち、新しい事 象が主システムの事象待ち行列へ供給されない。主システムのメツセージ待ち行 列が空にされたあとで、主システムＯＳエンジンはループして、新しい事象を待 つ、、ＯＳエンジンが新しい事象を待っている時は、それは再び安定状態にあり 、新しい事象に遭遇するまでそのままになっている。そうするとｏｓエンジンの 全状部がＯＳエンジンのメモリ画像内に含まれる。それからそのメモリ画像は第 ２のシステムへ単に転送される。最後に、両方のｏｓエンジンへ新しい事象の同 じセットが与えられ、互いにミラーリングを開始する。

本発明の同期化シーケンスを示す流れ図が図６に示されている。ステップ８５〜 ８９は主サーバの状態および遷移を表す。ステップ９０〜８３は第２のサーバの 状ｆｉおよび遷移を表す。主サーバは最初は状１１５２にあり、ステップ８５、 第２のサーバは最初へ状ＬＩｔＳ１（Ｔ１０エンジンのみ）にある、ステップ９ ０゜１１０エンジンは同期化シーケンシングを調整する。同期化するためのコマ ンドがサーバへ与えられると、主１１０エンジンの管理ソフトウェアが同期化の 用意をする、ステップ８６゜これにより、攬々のドライバ支持層がｏｓエンジン と通信する事が許され、同期化を阻止するどのようなタスクも終了させる。主シ ステムはＯＳエンジンの「飢え」を開始させ、ｏｓエンジンから要求を取ること を同様に停止させる。

次に、Ｔ１０エンジンにより実行されているどのような未解決の要求も終了させ られる（および適切な終了事象がＯＳエンジン・メモリ１ｉｉｆｆｌへ転送され るが、隠されて、この時にはＯＳエンジンへ与えられない）。ステップ８７およ び９１においては、Ｉ１０エンジンは状態情報を交換する。！１０エンジンが相 互の状態に気がつき、第２のＩ１０エンジンがＯＳエンジンからの任意の未解決 な状態に気がつくようになるように、主Ｉ１０エンジンがそれの状態情報を第２ のｉ１０エンジンへ供給する。このステップは第２のＩ１０エンジン・シーケン スのステップ９１により表される。

ステップ８８においては、主Ｉ１０エンジンがＯＳエンジン・メモリ画像を第２ のサーバへ転送する。これは、第２の！１０エンジンがＯＳエンジン・メモリ画 像を主サーバから受ける第２のサーバｅシーケンスのステップ９２に対応するス テップ８９においては、同期化は終了し、主システムは状態Ｓ３（第２のを有す る主）にある。同様に、第２のサーバの対応するステップ９３において、同期化 プロセスが終了し、第２のサーバは状ｆｉＳ４にある。

同期化シーケンス中にサーバまたは通信に障害起きることがある。主システムに 障害が起きたり、サーバ間通信リンクに障害が起きたとすると、第２のシステム は同様に停止せねばならない。第２のシステムに障害が生ずるか、通信リンクに 障害が生じたとすると、主システムを回復してｒＰｒｉ膳ａｒｙＮｏｓｅｃｏｎ ｄａｒｙＪ　Ｓ　２状態へ戻らねばならない。それらの状態は同期化シーケンス 中の異なる時刻に知らせられねばならない。変化が起きた後で、隠されていて待 ち行列に入れられた事象がＯＳエンジンへ戻され、■１０エンジンがＯＳエンジ ンからの要求の処理を再び開始する。同期化中に障害が発生したとすると、Ｉ１ ０エンジン管理ソフトウェアは、同期させるために行われたどのような変更も元 へ戻し、非鯛映された状態へ戻す必要がある。

主サーバ障害による遷移 第２のシステムに障害が存在すると、待ち行列に組み入れられて第２のシステム へ送られる全てのメツセージは捨てられる。そのメツセージがＯＳエンジン事象 であるならば、それらのメツセージはＯＳエンジンへ単に供給される。Ｉ１０エ ンジンのドライバ支持層は、第２のシステムからの未決の通知を待ってｂまたど のような要求も終了する。

多数のＯＳエンジンおよび余分なプロセッサ以上、単一のＯＳエンジンをおのお の育する主サーバおよび第２のサーバに関連して本発明を説明した。本発明の別 の実施例が図７に示されている。この実施例では主サーバと第２のサーバの少な （とも一方が１つまたは複数のＯＳエンジンを有することができる。図７を参照 すると、主サーバは３つのプロセッサで構成される。プロセッサ１は主サーバの Ｉ１０エンジンを実現する。第１のＯＳエンジンと第２のＯＳエンジンがそれぞ れプロセッサ２と３により実現される。

同様に、第２のサーバはＩ１０エンジンを実現する第１のプロセッサと、第１の ＯＳエンジンと第２のＯＳエンジンを実現する第３のプロセッサとを有する。

動作時には、各ＯＳエンジンが同じ事象で動作するように、多数の事象待ち行列 が各ＯＳエンジンのために維持される。このようにして、１つのサーバに障害が 生じたときに別のサーバが動作を開始できるように、各ＯＳエンジンの状態をほ ぼ同一に維持できる。

以上、フォルトトレラント・コンピュータ装置について説明した。

Ｏ５工ンシ′ン ＦＩＧＵＲＥ　４Ａ Ｉ１０エンジン ＦＩＧＵＲＥ　４Ｂ 主ツーーノく゛ 日ＧＵＲＥ４Ｃ−Ｉ Ｌ１０エシジン 特表千６−５０４３８９　（ＩＱ） 日ＧＵＲＥ　５ ７’（７セアグ同朗イ也シ一ケンス ＦＩＧＬＩＭＥ　！ ＦＩＧＬｉＲＥ　７ 手続補正書（方式） 平成６年１月１３日

Claims (16)

【特許請求の範囲】
1. １．フォルトトレラント・コンピュータ装置を動作させるために、第１のオペレ ーティングシステム（ＯＳ）エンジンと第１の入力／出力（Ｉ／Ｏ）エンジンを 備える第１の処理手段を供給する過程と、前記コンピュータ装置を動作させるた めに、第２のオペレーティングシステム（ＯＳ）エンジンと第２の入力／出力（ Ｉ／Ｏ）エンジンを備える第２の処理手段を供給する過程と、 前記第１の処理手段の状態を決定し、その状態を前記第２の処理手段へ供給する 過程と、 前記第１のＯＳエンジンの前記状態を変化できるオペレーションを事象として定 める過程と、 各事象を前記第１のＩ／Ｏエンジンへ供給し、各前記事象をメッセージへ変換す る過程と、 前記メッセージを前記第１のＯＳエンジン内の第１のメッセージ待ち行列と前記 第２のＯＳエンジン内の第２のメッセージ待ち行列へ供給する過程と、前記第１ のＯＳエンジンの前記状態と前記第２のＯＳエンジンの前記状態がほぼ同一に維 持されるように前記第１のＯＳエンジン内の前記メッセージと前記第２のＯＳエ ンジンの内の前記メッセージを実行する過程と、を備えるフォルトトレラント・ コンピュータ装置を提供する方法。
2. ２．請求項１記載の方法において、 前記第１の処理手段が動作しない時に各事象を前記第２のＩ／Ｏエンジンへ供給 する過程と、 各前記事象を前記第２のＯＳエンジン内のメッセージへ変換する過程と、前記第 ２のＯＳエンジンにより実行するために、前記第２のＯＳエンジン内の前記第２ のメッセージ待ち行列へ前記メッセージを供給する過程と、を更に含む方法。
3. ３．請求項１記載の方法において、前記第１の処理手段の状態を決定する前記過 程と、前記状態を前記第２の処理手段へ供給する前記過程とは、前記第１のＯＳ エンジンが利用できる任意のメッセージを、前記第１のＯＳエンジンが安定な状 態を達成するまで、前記第１のＯＳエンジンにおいて実行する過程と、 前記第１のＯＳエンジンのメモリ画像を前記第１のＩ／Ｏエンジンを介して前記 第２の処理手段へ転送する過程と、 を備える方法。
4. ４．請求項１記載の方法において、前記第１の処理手段が少なくとも１つのプロ セッサを備える方法。
5. ５．請求項１記載の方法において、前記第２の処理手段が少なくとも１つのプロ セッサを備える方法。
6. ６．請求項１記載の方法において、 入力／出力動作を行うための要求を前記ＯＳエンジン内で発生する過程と、 前記第１のＯＳエンジンにより実行するために前記要求を前記第１のＯＳエンジ ン内の第１の待ち行列へ供給する過程と、を更に含む方法。
7. ７．請求項１記載の方法において、前記事象は非同期である方法。
8. ８．第１のオペレーティングシステム（ＯＳ）エンジンと第１の入力／出力（Ｉ ／Ｏ）エンジンを備え、フォルトトレラント・コンピュータ装置を動作させるた めの第１の処理手段と、 第２のオペレーティングシステム（ＯＳ）エンジンと第２の入力／出力（Ｉ／Ｏ ）エンジンを備え、前記コンピュータ装置を動作させるための第２の処理手段と 、 前記第１のＯＳエンジンと前記第２のＯＳエンジンはほぼ同一の状態をおのおの 有し、 前記第１のＩ／Ｏエンジンは第１のパスを介して前記第２のＯＳエンジンへ結合 され、 前記第１のＯＳエンジンは、前記第１のＯＳエンジンの前記状態を変更できるオ ペレーションをメッセージへ交換し、前記第１のＯＳエンジンは前記メッセージ を前記第１のＯＳエンジン内の第１のメッセージ待ち行列と、へ供給し、前記第 ２のＯＳエンジン内の第２のメッセージ待ち行列へ供給し、 前記第１のＯＳエンジンの前記状態と前記第２のＯＳエンジンの前記状態がほぼ 同一のままであるように、前記第１のＯＳエンジンと前記第２のＯＳエンジンは 前記メッセージを実行する、フォルトトレラント・コンピュータ装置。
9. ９．請求項８記載のコンピュータ装置において、前記第１の処理手段は少なくと も１つのプロセッサを備えるコンピュータ装置。
10. １０．請求項８記載のコンピュータ装置において、前記第２の処理手段は少なく とも１つのプロセッサを備えるコンピュータ装置。
11. １１．請求項８記載のコンピュータ装置において、前記第１の処理手段へ結合さ れ、前記第１のＯＳエンジンの前記状態に対応するメモリ画像を記憶する第１の 記憶手段を更に含むコンピュータ装置。
12. １２．請求項８記載のコンピュータ装置において、前記第２の処理手段へ結合さ れ、前記第２のＯＳエンジンの前記状態に対応するメモリ画像を記憶する第２の 記憶手段を更に含むコンピュータ装置。
13. １３．請求項８記載のコンピュータ装置において、前記第１のＯＳエンジンは前 記コンピュータ装置の命令の実行を制御するコンピュータ装置。
14. １４．請求項８記載のコンピュータ装置において、前記Ｉ／Ｏエンジンは入力装 置および出力装置との通信を制御するコンピュータ装置。
15. １５．請求項１３記載のコンピュータ装置において、前記第１のＯＳエンジンは 前記コンピュータ装置の命令の実行できない時に、前記第２のＯＳエンジンは前 記命令の実行を制御するコンピュータ装置。
16. １６．請求項８記載のコンピュータ装置において、前記メッセージは同期事象と 非同期事象を備えるコンピュータ装置。