JPH07141215A - 障害発生防止方法 - Google Patents

Abstract

(57)【要約】 【目的】 一旦障害が発生し、再立ち上げを行った場合
に同一の障害が再発生することのないよう制御した。 【構成】 例えば、あるタスクＴ２がソフトウェア上の
障害を発生した場合に、再立ち上げ後そのタスクＴ２に
対しメッセージを送信する別のタスクＴ１、Ｔ３がある
場合に、これらのメッセージに対しそれぞれ任意の遅延
を発生させる。これにより、遅延のない場合と遅延を発
生させた場合とで、各タスクからのメッセージの到着順
序が異なってくる。従って、障害の発生したタスクＴ２
による処理順序が、障害発生時と異なるものとなり、同
一の障害が再発生する確率が減少する。即ち、タスクＴ
２によるプログラムのロジック誤り等の箇所が動作する
タイミングをずらして、障害再発生を防止する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、情報処理装置において
一定のソフトウェアを実行する場合に発生する障害を、
再立ち上げ後再び発生することのないように防止措置を
施す障害発生防止方法に関する。

【０００２】

【従来の技術】情報処理装置において、一定の処理を行
う場合に、複数のタスクが相互にメッセージを交換しな
がら処理を実行するものがある。図２に、このようなソ
フトウェアの概念図を示す。図において、オペレーショ
ンシステム１は複数のタスクＴ１、Ｔ２、…Ｔ４の処理
動作を管理している。これらのタスクＴ１、Ｔ２、…Ｔ
４は、それぞれメッセージをオペレーションシステム１
を介して交換し処理を実行する。即ち、タスクＴ１はタ
スクＴ２に対しメッセージＭ１２を送信し、タスクＴ２
はこのメッセージＭ１２に基づいて一定の処理を実行す
る。同様に、タスクＴ２はタスクＴ１に対しメッセージ
Ｍ２１を送信する。また、タスクＴ３に対しメッセージ
Ｍ２３を送信する。一方、タスクＴ３はタスクＴ２に対
しメッセージＭ３２を送信する。

【０００３】このようなメッセージは、何れも一旦オペ
レーションシステム１が受け入れ、該当するタスクに対
し送信する制御を行う。図３に、このようなメッセージ
送受信処理の実行のためのブロック図を示す。図に示す
ように、オペレーションシステム１は、メッセージ送信
処理部３とメッセージ受信処理部４とを備えている。一
方、各タスクＴ１、Ｔ２、…Ｔ４は、それぞれメッセー
ジ送信依頼部５とメッセージ受信依頼部６を備えてい
る。

【０００４】即ち、例えばタスクＴ１が一定の処理を他
のタスクに要求する場合、メッセージ送信依頼部５によ
って所定のメッセージを生成し、オペレーションシステ
ム１のメッセージ送信処理部３に送り込む。メッセージ
送信処理部３はこのメッセージを該当するタスクのキュ
ーに並べる。このキューはメッセージの処理順を設定す
るための待ち行列を管理するためのものである。なお、
図２の例に示したプログラムの各タスクは、それぞれ直
接メッセージを交換する相手となるタスクが予め定めら
れている。

【０００５】即ち、図３に示すタスクＴ１のメッセージ
Ｍ１２−１やＭ１２−２は、何れもタスクＴ２のキュー
に配列される。また、タスクＴ２の送信するメッセージ
Ｍ２１−１やＭ２１−２はタスクＴ１のキューに配列さ
れる。なお、図２に示すように、例えばタスクＴ２につ
いては、タスクＴ１とタスクＴ３からメッセージを受け
てその処理を実行する。もちろん、別のプログラムで
は、２以上のタスクからメッセージを受け付けて処理を
実行するタスクも存在する。

【０００６】図４に、上記のようなソフトウェアによる
一般のメッセージ送受信動作フローチャートを示す。図
４（ａ）に示すように、図３に示したようなオペレーシ
ョンシステム１のメッセージ送信処理部は、メッセージ
を受け付けるとステップＳ１において、そのメッセージ
を送信先タスクの待ちキューにキューイングする。そし
てステップＳ２において、送信先タスクを起動する。

【０００７】一方、受信処理においては各タスクのメッ
セージ受信依頼部は、（ｂ）に示すように、ステップＳ
１において自分のタスクの待ちキューからメッセージを
１つ取り出す動作を行う。ここで、ステップＳ２におい
て、取り出すべきメッセージがあったかどうかを判断す
る。そして、無い場合にはステップＳ３に移り、再びメ
ッセージ待ち状態となりステップＳ１に戻る。一方、メ
ッセージがあった場合にはメッセージ受信依頼部自身の
処理は終了し、その後そのメッセージについての一定の
処理を実行する。

【０００８】

【発明が解決しようとする課題】ところで、上記のよう
な複数のタスクがメッセージを互いに交換しながら処理
を行うソフトウェアは、通信制御のためのプログラムや
各種のアプリケーションに広く採用されている。このよ
うなソフトウェアの立ち上げの際、あるいは一定の処理
を開始した後に、ソフトウェア自体の欠陥等が原因で障
害を発生する場合がある。このような障害が発生する
と、ソフトウェアの動作の継続が不可能となりシステム
ダウンする。この場合、システムの再立ち上げが不可能
な重大な障害が発生した場合を除き、通常全てのソフト
ウェアの再立ち上げが行われる。なお、障害の発生した
ソフトウェアのみを終了させ、その障害となったソフト
ウェア部分のみを再立ち上げする場合もある。

【０００９】しかしながら、このような再立ち上げを行
った場合、再び同一の部分で障害が発生し、システムダ
ウンと再立ち上げとを繰り返すようなケースも発生す
る。これでは再立ち上げを行うこと自体が無意味にな
る。本発明は以上の点に着目してなされたもので、一旦
障害が発生し、再立ち上げを行った場合に、同一部分で
同様の障害が発生することのないよう制御した障害発生
防止方法を提供することを目的とするものである。

【００１０】

【課題を解決するための手段】本発明の第１発明は、複
数のタスクが相互にメッセージを交換して、各タスクが
メッセージを受け付けた順に処理を実行するものおい
て、前記処理の実行中に障害が発生したタスクを認識し
て、再立ち上げにより処理を再開する場合に、障害の発
生したタスクの受信するメッセージに、任意の遅延を発
生させて、他のタスクからのメッセージの受け付け順序
を変更することを特徴とする障害発生防止方法に関す
る。

【００１１】本発明の第２発明は、複数のタスクが相互
にメッセージを交換して、各タスクがメッセージを受け
付けた順に処理を実行するものおいて、前記処理の実行
中に障害が発生したタスクを認識して、再立ち上げによ
り処理を再開する場合に、障害の発生したタスクのコン
フィグレーションを変更して再立ち上げを行うことを特
徴とする障害発生防止方法に関する。

【００１２】本発明の第３発明は、複数のタスクが相互
にメッセージを交換して、各タスクがメッセージを受け
付けた順に処理を実行するものおいて、前記処理の実行
中に障害が発生したタスクを認識して、再立ち上げによ
り処理を再開する場合に、障害の発生したタスクと、そ
のタスクと直接メッセージを交換する別のタスクのコン
フィグレーションを変更して再立ち上げを行うことを特
徴とする障害発生防止方法に関する。

【００１３】本発明の第４発明は、複数のタスクが相互
にメッセージを交換して、各タスクがメッセージを受け
付けた順に処理を実行するものおいて、前記処理の実行
中に障害が発生した後、再立ち上げにより処理を再開す
る場合に、全てのタスクのコンフィグレーションを変更
して再立ち上げを行うことを特徴とする障害発生防止方
法に関する。

【００１４】

【作用】本発明においては、例えばあるタスクがソフト
ウェア上の障害を発生した場合に、再立ち上げ後そのタ
スクに対しメッセージを送信する別のタスクがある場合
に、これらのメッセージに対しそれぞれ任意の遅延を発
生させる。これにより、遅延のない場合と遅延を発生さ
せた場合とで、各タスクからのメッセージの到着順序が
異なってくる。従って、障害の発生したタスクによる処
理順序が障害発生時と異なるものとなり、同一の障害が
再発生する確率が減少する。即ち、タスクによるプログ
ラムのロジック誤り等の箇所が動作するタイミングをず
らして、障害再発生を防止する。

【００１５】

【実施例】以下、本発明を図の実施例を用いて詳細に説
明する。 ［実施例１］図１は、本発明の障害発生防止方法説明図
である。本発明は、既に図２や図３を用いて説明したよ
うに、複数のタスクが相互にメッセージを交換して、各
タスクがそのメッセージを受け付けた順に一定の処理を
実行するソフトウェアについて適用される。各タスクは
それぞれ各種の内容のプログラムやその一部を構成し、
これらのタスクはオペレーションシステム１により処理
を管理される。本発明では、これらのタスクがそれぞれ
処理を実行している場合に何らかの障害を発生した場
合、その再立ち上げの際の環境を変更してタイミングを
異ならせることによって障害の発生を防止する。

【００１６】この目的のために、オペレーションシステ
ム１は次のような管理情報を保持する。図５に、ＯＳ管
理情報説明図を示す。図に示すように、オペレーション
システム１の内部には、タスク名と、各タスクに隣接す
るタスク名と、そのタスクに障害が発生したかどうかを
認識するための障害フラグＦとがそれぞれ対応付けられ
て格納される。即ち、例えばタスクＴ１は隣接タスクが
Ｔ２であって、現在障害が発生していない。即ち、障害
フラグＦは０というように表示されている。また、タス
クＴ２は隣接タスクはＴ１及びＴ３であって、今回障害
が発生し障害フラグＦが１となっている。なお、このよ
うな障害の内容としては、例えば命令の例外や、アクセ
スしたメモリアドレスの不正、自己矛盾の検出等によっ
て一定の処理が異常終了した場合等が挙げられる。

【００１７】図１（ａ）、（ｂ）に示すシーケンスチャ
ートは、タスクＴ２に対しタスクＴ１やタスクＴ３がメ
ッセージＭ１２−１、Ｍ１２−２、Ｍ３２−１及びＭ３
２−２を送信して一定の処理を実行する場合の例を示し
ている。各メッセージはそれぞれオペレーションシステ
ム１が受け付け、該当するタスクに向け送信する構成と
なっている。このメッセージ送受信のメカニズムは、既
に図３を用いて説明した従来のものと同様である。

【００１８】ここで、（ｂ）に示した再立ち上げ前のタ
スクＴ２の動作をまず説明すると、タスクＴ２は一番初
めにタスクＴ１からメッセージＭ１２−１を受け取り、
次にタスクＴ３からメッセージＭ３２−１を受け取り、
更にタスクＴ１からメッセージＭ１２−２を受け取って
最後にタスクＴ３からメッセージＭ３２−２を受け取
る。このようなメッセージを受け取ったタスクＴ２は、
受け付け順にこれらのメッセージについての一定の処理
を実行する。

【００１９】ここで、何らかの障害が発生すると、タス
クＴ２についてその障害フラグＦが１となり、これを認
識した状態でシステムダウンする。この場合に、ソフト
ウェアの再立ち上げを行うとき、オペレーションシステ
ム１は、このタスクＴ２が前回障害を発生したというこ
とを認識する。そして、（ａ）に示すように、このタス
クＴ２に他のタスクＴ１やＴ３から送信されるメッセー
ジＭ１２−１、Ｍ１２−２、Ｍ３２−１、Ｍ３２−２の
タスクＴ２への転送動作について、それぞれ任意の遅延
を発生させる。

【００２０】即ち、例えばタスクＴ１からタスクＴ２に
送信されるメッセージＭ１２−１に対しては遅延時間Ｄ
１を発生させる。また、タスクＴ１からタスクＴ２に送
信されるメッセージＭ１２−２については遅延時間Ｄ２
を発生させる。同様に、タスクＴ３からタスクＴ２に送
信されるメッセージＭ３２−１とＭ３２−２に対して
は、それぞれ遅延時間Ｄ３、Ｄ４を発生させる。なお、
これらの遅延時間Ｄ１、Ｄ２、Ｄ３、Ｄ４は何れも任意
に設定されるがこれらの値がばらつくことが好ましい。

【００２１】これによって、図に示した例のように、こ
れまで（ｂ）のタスクＴ２にはメッセージがＭ１２−
１、Ｍ３２−１、Ｍ１２−２、Ｍ３２−２の順で受信さ
れたのに対し、再立ち上げ後のタスクＴ２にはメッセー
ジがＭ３２−１、Ｍ１２−１、Ｍ１２−２、Ｍ３２−２
の順で到着する。これによって、メッセージの受け付け
順が変更され、再立ち上げ前と再立ち上げ後とでは異な
るタイミングでタスクＴ２が動作することになる。こう
すれば、同一のタイミングで処理が実行される確率が低
下し、同一の障害再発生が防止される。

【００２２】図６に、上記のような遅延動作を具体的に
説明するフローチャートを図示した。図に示すように、
オペレーションシステムはステップＳ１においてあるタ
スクから別のタスクへメッセージが送信される場合、そ
の送信先のタスクの障害フラグを確認する。そして、そ
の障害フラグが０でない場合には、ランダムな値を発生
させてメッセージに対し一定の遅延を生じさせる（ステ
ップＳ２）。その後、ステップＳ３において、メッセー
ジを送信先タスクの待ちキューにキューイングする。そ
の後、ステップＳ４において送信先タスクを起動する。

【００２３】［実施例２］この実施例２は第２発明に該
当する。第２発明においては、障害の発生したタスク自
身が、再立ち上げの際、そのコンフィグレーションを変
更し、同一の環境で同様の障害が発生する確率を低下さ
せる。なお、このコンフィグレーションとは、例えばタ
スクの内部で使用するバッファ量、タイマー値、リトラ
イ値等がある。

【００２４】図７は、コンフィグレーション変更動作
（その１）を示す。各タスクは、例えば予め２種類以上
の異なるコンフィグレーションを一定のコンフィグレー
ション情報として保持しておく。そして、障害発生の
後、再立ち上げが行われる際には、オペレーションシス
テムから障害が発生した旨の通知を受け、その通知に従
って前回使用したコンフィグレーション情報と異なるコ
ンフィグレーションを使用する。即ち、タスクの初期化
にあたり、図７に示すステップＳ１において、オペレー
ションシステムから障害フラグが０である旨の通知を受
けたと判断すると、ステップＳ２において第１コンフィ
グレーション情報を使用してその初期化を行う。一方、
ステップＳ１において障害フラグが０でないという旨の
通知を受けるとステップＳ３に移り、第２コンフィグレ
ーション情報を使用して初期化を実行する。

【００２５】図８には、図７とは別の方法によるコンフ
ィグレーション変更動作（その２）を示した。図のよう
に、この例ではタスクの初期化の際、ステップＳ１にお
いてオペレーションシステムから障害フラグの内容の通
知があると、その内容が０の場合にはステップＳ２に移
り、図７の処理と同様に第１コンフィグレーション情報
を使用して初期化を実行する。一方、ステップＳ１にお
いて、障害フラグが０でないと判断された場合にはステ
ップＳ３に移り、第１コンフィグレーション情報の各要
素の値を、例えば予め設定した数式等を用いて自動的に
変更する。このような方法によってもコンフィグレーシ
ョンの変更が可能となる。

【００２６】図９に、コンフィグレーション変更の場合
のシーケンスチャート（その１）を示す。第２発明では
このようなシーケンスでコンフィグレーション変更が行
われる。まず、この例ではタスクＴ１、Ｔ２、Ｔ３が処
理を実行し、オペレーションシステム１はこれらの動作
を監視してその障害情報を保持するものとする。まず、
当初の処理開始にあたっては、オペレーションシステム
１はステップＳ１、Ｓ２、Ｓ３において各タスクＴ１、
Ｔ２、Ｔ３に対しそれぞれ障害フラグが０である旨の通
知を行いこれらを起動する。ここでステップＳ３の後、
ステップＳ４においてタスクＴ３に障害が発生したとす
る。この場合、ステップＳ５においてソフトウェアの再
立ち上げが行われる。この再立ち上げの後、オペレーシ
ョンシステム１はタスクＴ１、Ｔ２に対しては障害フラ
グが０である旨の通知を行う（ステップＳ６、Ｓ７）。
一方、タスクＴ３に対しては障害フラグが０でない旨の
通知を行う（ステップＳ８）。タスクＴ３はこのような
通知を受けて、ステップＳ９においてコンフィグレーシ
ョン変更を行う。

【００２７】［実施例３］第３発明では、障害の発生し
たタスクだけでなく、このタスクに隣接し、このタスク
と直接メッセージのやり取りを行うタスクのコンフィグ
レーションも同時に変更する。このように隣接するタス
クのコンフィグレーションを変更することによって、更
に一層動作条件を再立ち上げ前の場合と異ならせること
ができ、同一の障害再発生防止効果が大きくなる。

【００２８】図１０は、このような第３発明のコンフィ
グレーション変更シーケンス（その２）を示す。図に示
すように、オペレーションシステム１はステップＳ１、
Ｓ２、Ｓ３においてタスクＴ１、Ｔ２、Ｔ３に対し障害
フラグが０である旨の通知を行い、ソフトウェアを起動
する。その後、ステップＳ４においてタスクＴ３に障害
が発生すると、ステップＳ５においてソフトウェアの再
立ち上げが行われる。

【００２９】次に、オペレーションシステム１はタスク
Ｔ１に対し障害フラグが０である旨の通知を行う（ステ
ップＳ６）。一方、オペレーションシステム１は、既に
図５を用いて説明したように、障害の発生したタスクＴ
３に隣接するタスクを認識している。従って、ステップ
Ｓ７及びステップＳ８において、タスクＴ３と共にタス
クＴ２に対してもその障害フラグが０でない旨の通知を
行う。これによって、タスクＴ２、タスクＴ３は、既に
図７や図８で説明したのと同様の動作に従ってコンフィ
グレーションの変更を行う（ステップＳ１０）。

【００３０】［実施例４］実施例４は第４発明に該当す
る。第４発明では、一旦障害が発生した場合障害の発生
したタスクも、それ以外のタスクも、全てそのコンフィ
グレーションを変更する。障害発生を監視しどのタスク
に障害が発生したかを認識することが常にできるとは限
らない。即ち、障害は発生したが障害発生のタスクを特
定できないようなケースも生じる。このような場合に
は、既に説明した第１発明から第３発明をそのまま実施
することが難しい。従って、第４発明では障害の発生し
たタスクが認識できなくても、再立ち上げ後同一のタイ
ミングで同様の障害が発生しないように対処している。

【００３１】図１１に、コンフィグレーション変更シー
ケンス（その３）を示す。図に示すように、この第４発
明では、オペレーションシステム１はステップＳ１、Ｓ
２、Ｓ３において各タスクＴ１、Ｔ２、Ｔ３に対し障害
フラグが０である旨の通知を行い、ソフトウェアを起動
する。そして、その後ステップＳ４において、タスクＴ
３に障害が発生したとする。この場合、ステップＳ５に
おいてソフトウェアの再立ち上げが行われる。

【００３２】次に、ステップＳ６、Ｓ７、Ｓ８におい
て、オペレーションシステム１は全てのタスクＴ１、Ｔ
２、Ｔ３に対し障害フラグが０でない旨の通知を行う。
これによって、各タスクＴ１、Ｔ２、Ｔ３は、何れも既
に図７や図８において説明したようなコンフィグレーシ
ョン変更処理を実行する。これにより、ソフトウェアの
実行環境が変更され、再立ち上げ前と同一の障害が発生
する確率が減少する。

【００３３】本発明は以上の実施例に限定されない。ソ
フトウェアの実行の際にメッセージを変換するタスクの
数は任意でよく、また各タスクは任意の数のタスクと直
接メッセージを交換して処理を実行するものであってよ
い。また、メッセージの受け付け順を変更して障害発生
を防止する第１発明においては、各タスクがメッセージ
を受け付けて実行するその順序は結果に影響しないこと
が必要である。しかしながら、コンフィグレーションを
変更して立ち上げを行うような第２、第３、第４発明に
おいては、各タスクが処理すべきメッセージの順番は何
らかの制限を受けていても差し支えない。また、障害を
発生したタスクの認識は必ずしも特定のタスクという認
識でなく、例えば全体で１０個のタスクの内３個のタス
クに障害が発生した場合、これらの各タスクについて上
記発明を実施して差し支えない。また、３個のタスクの
何れかに障害が発生したと認識しても、３個のタスクの
何れに障害が発生したか不明な場合には、これらの３個
のタスクについて全て障害が発生したものとして取り扱
うようにしても差し支えない。

【００３４】

【発明の効果】以上説明した本発明の障害発生防止方法
においては、複数のタスクが相互にメッセージを交換し
てそのメッセージを実行する場合に、処理の実行中に障
害が発生したタスクを認識して再立ち上げにより処理を
再開する場合に、障害の発生したタスクの受信するメッ
セージに任意の遅延を発生してメッセージの受付順序を
変更するようにすれば、再立ち上げ前と異なるタイミン
グで処理が進められるため、同一の障害が再び繰り返え
される確率が減少する。障害が発生したタスクのコンフ
ィグレーションを変更して再立ち上げを行うようにした
場合にも同様の効果がある。

【００３５】また、障害の発生したタスクとそのタスク
と直接メッセージを交換する別のタスクのコンフィグレ
ーションを変更するようにすれば、更に同一障害の発生
する確率を低下できる。また、障害発生のタスクを特定
できないような場合には、再立ち上げのとき、全てのタ
スクのコンフィグレーションを変更するようにすれば、
同様にして同一の障害発生確率を低下できる。

【図面の簡単な説明】

【図１】本発明の障害発生防止方法説明図である。

【図２】本発明の方法を実行するソフトウェアの概念図
である。

【図３】メッセージ送受信処理ブロック図である。

【図４】一般のメッセージ送受信動作フローチャートで
ある。

【図５】ＯＳ管理情報説明図である。

【図６】遅延動作フローチャートである。

【図７】コンフィグレーション変更動作（その１）であ
る。

【図８】コンフィグレーション変更動作（その２）であ
る。

【図９】コンフィグレーション変更シーケンス（その
１）である。

【図１０】コンフィグレーション変更シーケンス（その
２）である。

【図１１】コンフィグレーション変更シーケンス（その
３）である。

【符号の説明】

１ オペレーションシステム（ＯＳ） Ｔ タスク Ｍ メッセージ Ｄ 遅延時間

Claims (4)

【特許請求の範囲】
1. 【請求項１】 複数のタスクが相互にメッセージを交換
   して、各タスクがメッセージを受け付けた順に処理を実
   行するものおいて、 前記処理の実行中に障害が発生したタスクを認識して、 再立ち上げにより処理を再開する場合に、 障害の発生したタスクの受信するメッセージに、任意の
   遅延を発生させて、他のタスクからのメッセージの受け
   付け順序を変更することを特徴とする障害発生防止方
   法。
2. 【請求項２】 複数のタスクが相互にメッセージを交換
   して、各タスクがメッセージを受け付けた順に処理を実
   行するものおいて、 前記処理の実行中に障害が発生したタスクを認識して、 再立ち上げにより処理を再開する場合に、 障害の発生したタスクのコンフィグレーションを変更し
   て再立ち上げを行うことを特徴とする障害発生防止方
   法。
3. 【請求項３】 複数のタスクが相互にメッセージを交換
   して、各タスクがメッセージを受け付けた順に処理を実
   行するものおいて、 前記処理の実行中に障害が発生したタスクを認識して、 再立ち上げにより処理を再開する場合に、 障害の発生したタスクと、そのタスクと直接メッセージ
   を交換する別のタスクのコンフィグレーションを変更し
   て再立ち上げを行うことを特徴とする障害発生防止方
   法。
4. 【請求項４】 複数のタスクが相互にメッセージを交換
   して、各タスクがメッセージを受け付けた順に処理を実
   行するものおいて、 前記処理の実行中に障害が発生した後、 再立ち上げにより処理を再開する場合に、 全てのタスクのコンフィグレーションを変更して再立ち
   上げを行うことを特徴とする障害発生防止方法。