JPH08241173A - ディスク記憶装置制御システム - Google Patents

Abstract

(57)【要約】 【課題】 ディスク記憶システムの制御装置またはその
メモリが故障した場合に即時に正確な故障回復を行な
う。 【解決手段】 ディスク記憶システムは、それぞれリア
ルタイムで同期したミラー型メモリを有する二重の制御
装置を備え、一つの制御装置またはそのメモリが故障し
た場合に即時に交代することができる。ミラー型メモリ
は、不揮発性ランダムアクセス・メモリで構成され、デ
ータを保持する。二重制御装置においてリアルタイムで
同期したミラー型メモリを使用するので、一つの制御装
置が故障したとき、この制御装置から他の制御装置へと
故障時交代を行う場合に回復の速さおよび正確さが向上
する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、一般に、コンピュ
ータ用ディスク記憶装置制御装置に関し、更に詳細に
は、正確且つ即時のフェールオーバー（failover;故障
時の交代）信頼性を示すリアルタイムのミラー型メモリ
制御装置に関する。

【０００２】

【従来の技術】高信頼性コンピュータディスク記憶装置
では、サブシステムを構成するすべての物理的部品に冗
長性を与えて部品の故障時にデータの損失および中断時
間を減らしたい。各々がそれ自身のメモリを備えている
二重ディスク記憶装置制御装置を使用すれば、ディスク
記憶装置に幾つかの大きな利益が得られる。たとえば、
(1)格納情報の冗長性を保持して一つの制御装置または
そのメモリの故障または損失の場合の回復に備え、(2)
二次制御装置のフェールオーバー能力により使用不能と
なった制御装置の修理が可能であり、(3)利用可能な二
次制御装置を通して更に大きいシステムの利用可能時間
（アップタイム）の向上が達成される。

【０００３】これら冗長サブシステムに一層多くの性能
を求めて、キャッシングおよび一時的記憶装置としての
メモリの使用が普通になってきている。しかし、これら
二重の物理的メモリを同期させておく手段には困難が伴
うことがある。或るディスクシステムはこの二重性を作
るのに潜伏的（遅延的または大量の更新）プロセスを使
用しているが、この方法では経費が増える傾向があり、
管理するのが非常に複雑であり、性能が低下し、故障か
らの回復の正確さが制限される。

【０００４】

【発明が解決しようとする課題】したがって、本発明の
目的は一つの制御装置またはそのメモリが故障した場合
に即時、正確、且つ確実なフェールオーバーを行なうリ
アルタイムの同期したミラー型メモリを備えた二重制御
装置ディスク記憶システムを提供することである。

【０００５】

【課題を解決するための手段】本発明は、データを二重
化する処理の正確さをあげ、データを保持するために実
時間（リアルタイム）ミラー型メモリ処理を形成する。
二重制御装置においてリアルタイムで同期した冗長メモ
リ（ミラー型メモリ）を使用すれば、一つの制御装置か
ら他の制御装置へと故障時交代（フェールオーバー）を
行う場合に回復の速さおよび正確さが向上する。本発明
のその好適実施形態における原理によれば、ディスク記
憶装置制御システムは、間にリアルタイムの同期したミ
ラー型メモリを有する二重制御装置を備え、一つの制御
装置またはそのメモリが故障した場合に即時、正確、且
つ確実なフェールオーバーを行なうことができる。停電
中におよび制御装置の修理の目的でハードウェアを操作
中には、不揮発性ランダムアクセス・メモリがデータを
保持する。通信経路は制御装置間のミラー型メモリ内に
確立され、それらの活動を監視し、統合する。ミラー型
メモリの状態はミラーおよび故障検出の正確さについて
連続的に監視されている。

【０００６】このシステムおよび方法はホストの要求を
満足させるのに余分の操作または余分の直接メモリアク
セス（ＤＭＡ）の活動を必要とせずに各制御装置につい
て同じディスク記憶装置制御データセットに同時に且つ
容易にアクセスする。したがって、いずれの制御装置も
ディスク記憶装置について即時フェールオーバー制御を
行なうことができる。更に、いずれの制御装置も、故障
の場合、準備を介在させることなくホットスワップ（ho
t swap）されることができる。最後に、故障したスタン
ドアローンの制御装置の場合、共有するミラー型メモリ
が故障していないかぎり二次制御装置をシステムに物理
的に挿入して故障した制御装置のメモリから鏡像を回復
することができる。

【０００７】本発明の他の目的、長所、および能力は説
明が進むにつれて一層明らかになるであろう。

【０００８】

【発明の実施の形態】図１は本発明の二重制御装置を有
するディスク記憶システムの概観を示すブロック図であ
る。ディスク記憶システムは全般に10で示してあり、全
般にディスク駆動整列（アレイ）15で示したディスク記
憶装置12、および20（スロット「Ａ」の中）および25
（スロット「Ｂ」の中）で示した二重ディスク記憶装置
制御装置を備えている。ディスク記憶システム10はコン
ピュータ27および周辺装置29とは別の構成要素として示
してあるが、共通の外囲器の中に入れることができる。

【０００９】図２を参照して、制御装置20および25には
それぞれメモリ30および35がある。ほとんどすべての形
式のランダムアクセス・メモリ（ＲＡＭ）はメモリ30お
よび35として使用するのに適しているが、好適実施例で
は不揮発性ＲＡＭ（または予備電源を使用することによ
り不揮発性にした揮発性ＲＡＭ）を使用して、停電、制
御装置の故障、通信の故障、または類似の場合のデータ
の保持に備えている。ここでは二重制御装置20および25
だけを図示して一般的に説明しているが、多数制御装置
の環境、すなわち、３個以上の制御装置にも同様に適用
可能であることが明らかである。

【００１０】各メモリ30および35はミラー型メモリであ
る。当業者に周知のように、ミラー型メモリとは単に一
つのメモリ内のデータが他のメモリ内に複製される、す
なわち「鏡像になる」ことを意味している。本発明に使
用する限り、ミラー型メモリとは一方の制御装置のメモ
リの中のデータが他方のコントローラのメモリの中に複
製される、すなわち「鏡像になる」ことを意味する。好
適実施例では、ミラー型メモリはリアルタイムミラー型
メモリであり、すなわち、単一マイクロプロセッサまた
は直接メモリアクセスが二つのメモリ30および35をまた
はそこから実質上同時にデータを更新または検索する。
二重制御装置が存在し、各々にミラー型メモリが存在す
ることにより、ディスク記憶システム10に故障に寛容な
環境が与えられる。

【００１１】説明上、フェールオーバーの正確さは、二
重制御装置システムが異常存在時にデータ損失なくフェ
ールオーバーする能力である。フェールオーバーの確実
性は、二重制御装置システムが複数の異なるハードウェ
ア故障を検出し、それから回復する能力である。正確さ
とはシステムが如何に良くフェールオーバーするかを指
し、信頼性とはどれだけ多くの状況からフェールオーバ
ーできるかを指す。たとえば、この明細書の内容は、フ
ェールオーバーメモリ像が一次像と矛盾しないようにす
る監視機能を含んでいる。これにより正確さは、確実に
向上するが信頼性にはあまり関係しない。対照的に、他
の特徴は信頼性に重点を置いているが、正確さを高める
傾向はない。

【００１２】ディスク制御装置20および25は、好適実施
例の他の機能のうち、ミラー処理を制御し、低レベルの
ミラー精度を維持し、ミラー処理の低レベルの故障検出
を行なう制御論理40および45を備えている。別の実施例
では、制御論理を制御装置とは別に中央位置に置くこと
ができる。低レベルの検出は、その特定の動作での異
常、すなわち、故障のハードウェアレベルの検出を求め
てアクセスごとに作用する。対照的に、故障の論理レベ
ルは、ミラー像内の矛盾の検出、大きなハードウェア故
障の検出、およびボードがシステム事象に関して通信不
能になっていることが含まれる。

【００１３】制御装置とディスク配列15との間のデータ
の流れは、66でディスク組立体のバックプレーンを通
る。制御装置20と25との間のデータの流れも67でバック
プレーンを経由する。

【００１４】次に図３は、データを各制御装置メモリに
書込み、それによりリアルタイム同期ミラー型メモリを
得る本発明のシステムの概略ブロック図である。各図の
間で同じ構成要素には同じ参照番号を付けてある。した
がって、各制御装置20および25が全般的に参照され、各
ミラー型メモリ30および35が好適実施例に使用されてい
るように不揮発性動的ランダムアクセスメモリ（ＮＶＤ
ＲＡＭ）として参照され、制御論理40および45が同様に
図２でのように参照される。簡単にする目的で、ＮＶＤ
ＲＡＭをここではＤＲＡＭとして参照している。方向矢
はすべて通信および／またはデータ転送の経路を示して
いる。

【００１５】一方の制御装置から他方の制御装置への実
質的に完全で且つ即時のフェールオーバーを行なうに
は、二つの重要なハードウェア因子を考慮しなければな
らない。つまり(1)ミラー型メモリ30および35を一貫し
てリアルタイムで同期に且つ正確に保持しなければなら
ないことと、(2)制御装置の故障、データ転送の故障、
およびメモリの故障は故障が生じたら直ちに検出されな
ければならないことである。

【００１６】したがって、制御論理40および45は、フェ
ールオーバーのためのこれら二つの重要な因子を満足さ
せるため二重制御装置の関係を監視し制御することに貢
献する。すなわち、制御装置（制御論理）の間で信号が
交換されて、各制御装置の動作状態に関して他の制御装
置に知らせ、リアルタイムの同期したミラー処理を選択
的に制御し、故障を検出する。その結果、低レベルの故
障が検出されると、ミラーを選択的に使用不能にするこ
とができ、完全、正確、且つ即時のフェールオーバーを
生ずることができる。

【００１７】図３を続いて参照して、リアルタイムの同
期ミラー型メモリを維持する手段および方法を以下に説
明する。

【００１８】各ＤＲＡＭコントローラ50および55はその
それぞれの回路を管理し、メモリ更新の要求を開始する
ような目的のためにそれ自身の内部クロック（図示せ
ず）を備えている。同様に、各制御論理40および45はそ
れ自身の内部クロックを備え、それにより制御装置間
の、すなわち、一つ制御論理から他への制御装置間の交
渉中の応答中断（タイムアウト）を検出することができ
る。制御論理40および45はどの制御装置にメモリ30およ
び35へのアクセスを認めるか、およびどの制御装置をそ
れらへのアクセスから無効にするかを制御する。こうし
て制御論理40および45は、それぞれ、互いに、ＤＲＡＭ
コントローラ50、55、バッファー60、65、制御トランシ
ーバー70、75、およびデータトランシーバー80、85と話
をし、調停／交渉する。

【００１９】当技術で普通であるように、ＤＲＡＭコン
トローラ50および55はタイミングを管理、発生し、それ
ぞれＤＲＡＭ30および35の適切なアドレスにアクセスす
るための、行アドレスストローブ（ＲＡＳ）、列アドレ
スストローブ（ＣＡＳ）、書込イネーブル（ＷＥ）、出
力イネーブル（ＯＥ）などのような論理信号を制御す
る。バッファー60および65はそれぞれＤＲＡＭ30および
35へのアクセスに関して各ＤＲＡＭコントローラ50およ
び55を有効／無効にするＤＲＡＭコントローラ・バッフ
ァーである。

【００２０】制御トランシーバ70および75は、(1)アド
レス信号をコン ピュータ・システムのバックプレーン7
8に駆動して他の（遠隔）制御装置のメモリにアクセス
するか、または(2)遠隔制御装置からバックプレーンを
通してアドレス信号を受け取り、ローカル制御装置のメ
モリにアクセスする、ローカル制御装置（すなわち、ト
ランシーバが設置されている制御装置）用双方向トラン
シーバ・バッファーである。同様に、データ・トランシ
ーバ80および85は、(1)データ信号をバックプレーン78
に駆動して遠隔制御装置に送る、または(2)データ信号
を遠隔制御装置からバックプレーンを通して受け取る、
ローカル制御装置用双方向トランシーバ・バッファーで
ある。

【００２１】図３の動作は、図４に示す例を用いて最も
良く説明される。図４は、図３の双方向の矢が、図４で
は制御装置20によりミラー型メモリの両側にリアルタイ
ムで同期書込するデータ転送の一方向の矢で置き換えら
れている他は、図３と同じである。

【００２２】以下の説明で、マスタ、スレーブ、要求な
どのような「ハードウェア状態」は、ミラー処理を制御
するための機械における状態の遷移であることに注目す
べきである。対照的に、同様の名称「論理状態」とは、
どの制御装置が能動／受動の二重制御装置関係でホスト
要求を処理しているかを指す。

【００２３】制御装置20がメモリへの書込を開始する場
合、ＤＲＡＭコントローラ50は要求信号をそれ自身の制
御論理40に表明する。そこで制御論理40はハードウェア
要求状態に入り、（制御装置25が現在ミラーにアクセス
していると仮定して）制御装置25の制御論理45がハード
ウエア・スレーブ状態に入るのを待つ。ハードウェア要
求状態は、（この例では）ローカル制御論理40が、遠隔
制御論理45がローカル制御装置20に遠隔ＤＲＡＭ35への
アクセスを認めるのを待つ状態である。ハードウエア・
スレーブ状態は、遠隔制御論理45が（この例では）ＤＲ
ＡＭコントローラ・バッファー65を無効にしてローカル
制御装置20にＤＲＡＭ35へのアクセスを認めるときであ
る。

【００２４】更に詳細に述べれば、制御装置25のＤＲＡ
Ｍコントローラ55がメモリを使用する（読取りまたは書
込）サイクルを完了すると、制御論理45へのそれ自身の
要求を引っ込め、ハードウェア・スレーブ状態に入る。
ハードウェア・スレーブ状態に入ると、制御論理45は、
バッファー65から方向矢が出ていない（遠くからバッフ
ァー65を指している）描画により示したようにＤＲＡＭ
コントローラ・バッファー65を無効にする。制御論理45
はまた制御トランシーバ75を、方向矢73および77で示す
ようにアドレス信号をバックプレーン78からＤＲＡＭ35
に駆動するように設定し、データトランシーバ85を方向
矢87および83に示すようにバックプレーン78からＤＲＡ
Ｍ35に駆動するように設定する。

【００２５】制御論理40は、これを制御装置20をメモリ
30および35の両方にアクセスさせるハードウェア・マス
タ状態に入ることにより確認（アクノレッジ）する。制
御論理40はそのローカルＤＲＡＭコントローラ・バッフ
ァー60を矢印62により示すように有効にし、制御トラン
シーバー70を方向矢73により示すように制御装置20から
バックプレーン78に駆動するように設定し、データ・ト
ランシーバ80を有効にして方向矢87で示すように制御装
置20からバックプレーン78に駆動する。

【００２６】次に、ＤＲＡＭコントローラ50は行アドレ
スを駆動することによりＤＲＡＭ書込サイクルを行い、
方向矢64に示すようにその自身のＤＲＡＭ30にアクセス
し、制御トランシーバ70および75を通して行アドレスを
駆動することにより矢印66、73、および77に示すように
制御装置25のＤＲＡＭ35にアクセスする。次にＲＡＳが
アサートされ、列アドレスが駆動され、適切なデータを
ＤＲＡＭ30に書込み、実質上同時に、（矢印76、87、お
よび83により示すように）ＤＲＡＭ35に書き込むため、
ＣＡＳも同様にアサートされる（矢印71および74により
示す）。したがって、ＤＲＡＭ30および35へのデータの
この書込は、ミラー像のアドレス場所に対して行なわ
れ、実質的にリアルタイムで同期的に行なわれる。

【００２７】次に故障検出の概念（図３および図４）を
参照すると、故障検出の一実施例は、調停制御論理40お
よび45を利用する。各制御論理は制御論理が載っている
制御装置のミラー式メモリアクセス状態を識別する状態
遷移信号を発生する。各制御論理は他の制御装置の状態
遷移信号をも監視する。二重制御装置間のミラー型メモ
リシステムの故障は、制御装置が他の制御装置から伝え
られた不正状態の遷移信号を検知することにより検出さ
れる。故障は、また制御装置が特定の中断時間内に他か
らの状態遷移信号を検知しないことにより検出される。
メモリ更新サイクルを途中でタップして、調停制御論理
に状態制御信号を循環させ、それにより各制御装置に強
制的にミラー・メモリのアクセスを規則的に行なわせ、
それによりメモリ・システムの故障を検出することがで
きる。このシステムおよび方法は、論理的なマスタ／マ
スタ（同等者／同等者）あるいは論理的なマスタ／スレ
ーブのような、どんな二重制御装置関係においても信頼
性を生ずる。スレーブ制御装置は、ミラー型メモリを頻
繁にアクセスすることができず、それ故、遠隔制御装置
が故障しているか否かを検出するのが遅れ有害な結果を
生じることがあるので、この手法は、論理的なマスタ／
スレーブ制御装置の関係にとって特に価値がある。

【００２８】メモリアクセス・サイクル（読取り、書
込、または更新）がＤＲＡＭコントローラ50または55に
より発生するよう合図されると、その信号はそのローカ
ル制御論理40または45まで駆動される。そのローカル制
御装置が現在ミラー型メモリアクセスを行なっていなけ
れば、ローカル制御論理はこのようなアクセスを要求し
ている他の（遠隔）制御装置に状態遷移信号を駆動す
る。状態遷移信号は信号を送っている（ローカル）制御
装置のミラー型メモリのアクセス状態を識別する。たと
えば、この例では、メモリアクセスを要求している状態
遷移信号は遠隔制御論理に送られる。応答して、ミラー
・メモリをアクセスしている遠隔制御装置は、要求して
いる状態遷移信号を検知し、要求中のミラー・メモリへ
の制御装置アクセスを認める応答状態遷移信号で返事す
る。応答は、要求を受け取るとそのようなことが生ずる
場合に、遠隔制御装置がその自身のミラー型メモリアク
セスを完了してから承認される。このプロセスは、リア
ルタイム同期書込について図４を参照して前に説明した
ものと本質的に同じである。

【００２９】ローカル制御装置論理がメモリ要求を送る
や否や、ローカル制御装置論理はそれ自身のタイマーを
始動して中断（タイムアウト）期間を計時する。遠隔制
御装置が所定の時間間隔内、すなわち、中断期間内に応
答しなければ、ローカル制御装置は故障が遠隔制御装置
のメモリシステムにまたは遠隔制御装置に関連する調停
手段に生じていることを認識する。

【００３０】遠隔制御装置のメモリ・システムの故障は
遠隔制御装置から送られた不正状態遷移信号をローカル
制御装置が検知したときにも検出される。たとえば、ロ
ーカル制御装置自身、ミラー型メモリにアクセスするの
を承認する状態遷移信号を受け取ることを予想している
のに、代わりに遠隔制御装置から或る他の状態遷移信号
を受け取る場合、ローカル制御装置は、故障が生じてい
ることを認識する。

【００３１】各制御装置の制御論理の間で送られるこれ
ら状態遷移信号により、および各状態遷移信号に関連す
る特定の中断時間に関連して、各制御装置は(1) それ自
身のミラー型メモリアクセス状態を他の制御装置に送
り、(2)他の制御装置のアクセス状態を検知し、および
／または(3)適切な状態信号が送られたか否かを検知す
る。更に、メモリ更新サイクルから分かれて、状態遷移
信号を通じて調停サイクルを強制し、それによりミラー
型メモリが規則的にアクセスされるようにし、メモリ・
システムにおける故障検出を一貫性のある確実なものに
することができる。

【００３２】次に図５を参照すると、制御装置間で通信
および論理的故障検出を行なう他の手段は、通信用郵便
箱およびそれと堅く結合している通信プロトコルを備え
ている。すなわち、各ミラー型メモリ30および35におい
て、保留部分100および105が通信用郵便箱として指定さ
れている。郵便箱100および105は通信および制御手段の
下位の論理層として使用され、制御装置間の活動を監
視、統合する。

【００３３】各郵便箱を通して、費用効果のよいリアル
タイムのリンクが提供され、各制御装置が二重制御装置
の状態を監視し、活動を統合する異ができるように、通
信が制御装置20と25との間で行なわれる。通信は、（ロ
ーカル）制御装置がメッセージをそれ自身の郵便箱に書
き込み、次に他の（遠隔）制御装置がその同じ郵便箱か
らメッセージを読み出すことにより行なわれる。

【００３４】複数の郵便箱間に確立される通信経路は、
ミラー精度を保持し即時フェールオーバーを行なう重要
な構成要素であるため、あらゆる予防策を講じてそれら
の間の通信が完璧であるようにしておかなければならな
い。したがって、通信プロセス自身の損傷を避けるため
に、および郵便箱を通して通信するとき制御装置のメモ
リの付随的な損傷を避けるために（すなわち、或る故障
の場合にデータを完全にしておくために）、各郵便箱10
0および105は、郵便箱が設置されている制御装置により
読取りおよび書込が行なわれるが、他の制御装置によっ
ては読取りだけが行なわれる。たとえば、制御装置20
は、それ自身の郵便箱100に対して読み書きし、他の郵
便箱105に対しては読取りだけを行なう。同様に、制御
装置25はそれ自身の郵便箱105に対して読み書きし、他
の郵便箱100については読み取りだけを行う。メモリ30
および35は、一般にミラー型メモリであるが、それらの
間の通信を有効にするとともに他の制御装置のメモリに
対する意図しない付随的損傷を回避するため、ミラー
は、保留郵便箱部分100および105の書込中、選択的に制
御される（無効にされる）。他の（遠隔）郵便箱の読取
り中、ミラー・プロセスは同様に遠隔データだけが読ま
れるように選択的に制御される。

【００３５】各郵便箱100および105は、好適実施例では
実際に少なくとも二つの別々の郵便箱部分を備えてい
る。一つは制御メッセージを保持し伝える制御郵便箱11
0および115であり、一つは返答メッセージを保持し伝え
る返答郵便箱120および125である。制御メッセージは、
他の制御装置に向ける特定の要求（または質問）であ
り、返答メッセージは、要求または質問に対する特定の
返答である。また、図面には示してないが、汎用ミラー
型メモリを使用する際に簡単にする目的で、使用してい
ない制御郵便箱および返答郵便箱に対応して各メモリに
アドレスが存在している。

【００３６】説明上、郵便箱100および105は全二重通信
経路を構成している。特に、郵便箱100の制御部分110で
作られる要求は郵便箱105の返答部分125により返答され
る。他に、郵便箱105の制御部分115で作られる要求は郵
便箱100の返答部分120により返答される。

【００３７】郵便箱と制御装置との間のメッセージの通
信は堅く結合された通信プロトコルを通してだけ行なわ
れ、適切なメッセージの交換が行われる。すなわち、各
メッセージについて特定の明瞭で且つ一義的要求（質
問）に対して特定の明瞭で且つ一義的応答（返答）が存
在する。これにより返答の受信者（すなわち、要求また
は質問の創始者）は返答が実際自分の出した特定の要求
に対する答えであることを確認することができる。

【００３８】制御装置20と25との間の通信経路に対する
更に他の寄与として、郵便箱100および105に書き込まれ
たメッセージに関連して、滑りウィンドウ連動（スライ
ディング・ウィンドウ・インターロック；sliding wind
ow interlock）機構が使用されている。当技術において
知られているように、また本発明の文脈において、滑り
ウィンドウ連動機構は、各メッセージに関する識別番号
を使用してメッセージの検出および一対一のメッセージ
正確性を更に確実にすることを含くんでいる。たとえ
ば、要求制御装置が要求メッセージをその郵便箱に書き
込むと、滑りウィンドウ連動識別番号も書き込まれる。
他方の返答制御装置は、メッセージを読むとき、識別番
号も読み取る。したがって、返答制御装置が要求メッセ
ージに応答して返答メッセージをその自身の返答郵便箱
に書き込むと、それには返答とともに同じ識別番号が含
まれている。要求制御装置は、返答メッセージを読むと
き、識別番号をも読んで、それが要求メッセージととも
に元々送られたと同じ番号であることを確認し、したが
って要求制御装置は返答が事実その元々の要求に対する
目的どおりの返答であることを検出し確認することがで
きる。

【００３９】本発明におけるメッセージの通信および検
出の手段について更に詳述し、簡単にする目的で、「要
求制御装置」という用語の使用は、メッセージをそれ自
身の郵便箱に書込み、続いて他の制御装置の返答郵便箱
からの返答メッセージを読む制御装置を意味するものと
する。「返答制御装置」という用語の使用は、他の制御
装置の制御郵便箱からのメッセージを読み、続いて返答
メッセージをそれ自身の返答郵便箱に書き込む制御装置
を意味するものとする。

【００４０】要求制御装置は、メッセージをそれ自身の
郵便箱に書き込むとすぐに、返答制御装置が読むための
メッセージが要求制御装置の郵便箱に存在することを返
答制御装置に伝える。要求制御装置はこれを割り込み信
号を発生することにより返答制御装置に伝える。割り込
み信号は普通に当業者に知られているようにハードウェ
アおよび／またはソフトウェアにより発生される。

【００４１】返答制御装置はメッセージが要求制御装置
の郵便箱に存在することを二つの明確な方法で検出する
ことができ、その一方を検出の主要手段として使用する
ことができる。一方で、返答制御装置はメッセージが存
在することを、要求制御装置により発生された、メッセ
ージが存在することを返答制御装置に明白に伝える割り
込み信号を検出することにより検出する。他方、返答制
御装置は、要求制御装置により発生される割り込み信号
を受け取ったかどうかに関係なく、要求制御装置の郵便
箱を調節された時間間隔でポーリングすることにより、
メッセージの存在を検出する。好適実施例では、調節さ
れた時間間隔は約16秒である。各制御装置は他の制御装
置の郵便箱をポーリングすることにより調節された時間
間隔でそれ自身のクロックに応答してメッセージが存在
するか否かを検出する。メッセージを検出するこの二重
の方法は、一つの方法または他方の方法に故障が生じた
場合に制御装置間の通信に付加的な頑丈さおよび信頼性
を与える。

【００４２】説明したとおり、制御装置は他の制御装置
の郵便箱に書き込まれているメッセージを検出し、読む
ことができる。この形式のメッセージを「明示」メッセ
ージという。しかし、制御装置は実際には他の制御装置
の郵便箱に書き込まれていない「暗示」メッセージを検
出して「読む」こともできる。「暗示」メッセージはい
ずれかの制御装置に関連する一組の事項を解釈すること
により読むことができる。たとえば、要求制御装置が要
求メッセージを送ったが、他方の制御装置から返答メッ
セージを受け取っていない（この状態は中断時間間隔を
検出すると認識される）か、または受け取った返答メッ
セージがいずれかの制御装置に関連する幾つかの通信問
題のため不適切または正しくなかったと仮定する。これ
らの場合には、「暗示」通信が発生している。すなわ
ち、要求制御装置は「明示」返答メッセージを受け取っ
ていないが、明示返答メッセージを受け取っていないと
いうことを検出または認識していれば、要求制御装置は
状況、すなわち、返答メッセージを受け取っていないこ
とを「読み」、適切な処置を開始する。

【００４３】この適切な処置とは、制御装置に遵守する
ことを指示する所定の標準動作手順（ＳＯＰ）である。
一例として、適切な処置は、要求制御装置が、ミラー処
理が複数の制御装置の間で選択的に無効になる分離モー
ドに入り、要求制御装置が通信故障の修理が行なわれる
までそれ自身でディスク記憶装置の制御を引き受けるこ
とであってよい。暗示メッセージまたは明示メッセージ
に応答して、いかなる数またはいかなる種類のＳＯＰを
指定し遵守させることもできるのは明らかだが、これら
すべての可能性を規定するのはここでの目的ではない。
ここでの目的は、検出された明示または暗示メッセージ
に応答して、制御装置が或る所定の処置を取るという事
実を反映することだけである。

【００４４】先に示したように、返答制御装置は、要求
メッセージが存在することを（割り込みまたはポーリン
グにより）検出すると要求制御装置の制御郵便箱110ま
たは115に入っているメッセージを読む。要求に応答し
て返答制御装置は、特定の返答をそれ自身の返答郵便箱
120または125に書込み、続いて要求制御装置が従うのと
同じ手順に従って割り込み信号を要求制御装置に送り返
す。次に要求制御装置は、返答制御装置の返答郵便箱に
あるメッセージを先に説明した割り込みまたは調節した
時間間隔のポーリングにより検出する。その結果、各制
御装置は要求および返答のメッセージに基づいて適切な
処置を取る。

【００４５】次に図６は、本発明により実施した堅く結
合している通信プロトコルを表すメッセージを描いた表
である。堅く結合している通信プロトコルは、リアルタ
イム同期ミラー型メモリを保持し、即時且つ正確なフェ
ールオーバーに備えるためにいずれかの制御装置の故障
を検出する本発明のシステムおよび方法の一つの要素に
すぎない。この堅く結合しているプロトコルは、各メッ
セージについて、通信が正確で、理解され、且つ知られ
るようにするために、特定の明瞭な要求に対して特定の
明瞭な応答が生じるようになっている。

【００４６】メッセージは、説明の便宜上、参照しやす
くするため表において番号を付けてあり、この参照のた
め以外にはメッセージに関係していない。図示したメッ
セージは、本発明の堅く結合された通信プロトコルのも
とで使用することができる可能なすべてのメッセージを
示すものではないことが理解される。むしろ、これらメ
ッセージは、好適実施例に使用されるものを単に表して
いるにすぎない。

【００４７】「送られたメッセージ」という用語は、た
とえメッセージが実際にどこにも「送られて」おらず、
事実、本書で先に説明したように、他の制御装置により
郵便箱から単に読み取られているだけであっても、メッ
セージが制御装置によりそれ自身の郵便箱（通信の状態
が生じた場合、制御郵便箱または返答郵便箱のいずれか
該当するもの）に書き込まれているという事実を指す。
また、「マスタ」という用語は、現在動作しており、デ
ィスク記憶装置に対するホストコンピュータのすべての
要求に応答している論理的マスタ制御装置を指し、「ス
レーブ」という用語は他の制御装置（すなわち、ホスト
要求に応答していない制御装置）の論理的スレーブ状態
を指す。

【００４８】図６は、論理的マスタ／スレーブ関係を持
つ二重制御装置で最も使用されると思われるメッセージ
を表している。しかし、本発明の原理は他の多数制御装
置関係（すなわち、マスタ／スレーブなど）に同等に適
用できることは明らかである。

【００４９】メッセージ番号１、ＡＲＥ-ＹＯＵ-ＡＣＴ
ＩＶＥ（活動中ですか）は、スレーブ制御装置によりマ
スタに鼓動メッセージ（定期的に送られる）として送ら
れ、スレーブによりマスタが故障したことを検出するの
に使用されるメッセージである。マスタがなお活動し通
信していれば、その唯一の応答はＹＥＳ-ＡＣＴＩＶＥ
（はい、活動中です）であり、これはすべてが順調であ
ることを示している。他方、マスタが、もはやマスタと
して働いていないこと、またはもはやマスタとして働く
ことができないことを認識していれば、その唯一の応答
はＮＯ-ＩＮＡＣＴＩＶＥ（いいえ、非活動中です）で
ある。特定の明瞭な要求に応答してこれら特定の明瞭な
返答のいずれかを与えれば、各制御装置は取るべき処置
を正確に知る。

【００５０】メッセージ番号２、ＴＩＭＥＯＵＴ-Ｉ′
Ｍ-ＢＥＣＯＭＩＮＧ-ＭＡＳＴＥＲ（中断、私がマスタ
になります）は、スレーブが中断が生じたことを検出し
た時、すなわち、マスタが所定時間内に返答していない
（これはメッセージのタイマにも基づいたポーリングの
速さに直接関係している）ことをスレーブが検出したと
き、スレーブにより送られるメッセージである。マスタ
がこれに返答できる唯一の応答はＯＫ-ＢＥＣＯＭＩＮ
Ｇ-ＳＬＡＶＥ（了解、スレーブになります）であり、
そのスレーブがマスタになることを意味している。代わ
りに、マスタは或る故障のため応答できないことがあ
り、この場合スレーブは、応答の失敗を認識してとにか
くマスタになる。

【００５１】メッセージ番号３、ＢＲＯＫＥＮ-ＰＬＥ
ＡＳＥ-ＲＥＰＯＲＴ（故障、報告してください）は、
スレーブがそれ自身の故障を検出したときスレーブから
マスタに送られるメッセージである。マスタが返答する
ことができる唯一の応答はＯＫ-ＲＥＰＯＲＴＩＮＧ-Ｂ
ＲＯＫＥＮ（了解、故障報告中）であり、これはマスタ
が故障をホストコンピュータに報告することを意味す
る。

【００５２】メッセージ番号４、ＴＡＫＥＯＶＥＲ（交
代）は、マスタがスレーブに新しいマスタになってほし
いとき、マスタによりスレーブに送られるメッセージで
ある。スレーブが応答できる唯一の有効返答はＯＫ-Ｔ
ＡＫＩＮＧ-ＯＶＥＲ（了解、交代します）である。

【００５３】メッセージ番号５、ＣＯＭＭ-ＦＡＩＬＵ
ＲＥ（通信障害）は、或る通信故障が検出されていると
きいずれかの制御装置により他の制御装置に送られるメ
ッセージである。唯一の有効返答はＡＣＫＮＯＷＬＥＤ
ＧＥ-ＣＯＭＭ-ＦＡＩＬＵＲＥ（了解、通信障害）であ
る。

【００５４】メッセージ番号６、ＰＬＥＡＳＥ-ＲＥＳ
ＥＴ（リセットしてください）は、他の制御装置をリセ
ットして生じている或る故障を補正する必要があるとき
いずれかの制御装置により他の制御装置に送られるメッ
セージである。唯一の有効返答はＯＫ-ＲＥＳＥＴＴＩ
ＮＧ（了解、リセット中）である。

【００５５】メッセージ番号７、ＵＰＤＡＴＥ-ＴＯ-Ｖ
ＡＬＩＤ-ＳＬＡＶＥ（有効スレーブに更新）は、スレ
ーブにそのミラー状態変数を更新させるために、マスタ
によりスレーブに送られるメッセージである。この場合
の唯一の有効返答はＵＰＤＡＴＥＤ-ＴＯ-ＶＡＬＩＤ-
ＳＬＡＶＥ（有効スレーブに更新済み）である。

【００５６】メッセージ番号８、ＮＯ-ＭＥＳＳＡＧＥ
／ＮＯ-ＲＥＰＬＹ（メッセージなし/返答なし）は、い
ずれかの制御装置から他に送られ、ＮＯ-ＭＥＳＳＡＧ
Ｅ／ＮＯ-ＲＥＰＬＹが書き込まれているそれぞれの制
御または返答郵便箱にメッセージ（または補償できる場
合、返答）が送られていないことを確認するメッセージ
である。たとえば、このメッセージは制御メッセージを
制御郵便箱に送るとき返答郵便箱が「無」または「空」
（すなわち、ＮＯ-ＲＥＰＬＹ）の有効メッセージを伝
えていることを確認することである。同様に、返答メッ
セージを返答郵便箱に送るとき制御郵便箱が「無」また
は「空」（すなわち、ＮＯ-ＲＥＰＬＹ）の有効メッセ
ージを伝え ていることを確認することである。更に、
ＮＯ-ＭＥＳＳＡＧＥ／ＮＯ-ＲＥＰＬＹは他のメッセー
ジが現時点で送信されていないかまたは予想されていな
いことを伝えるために送られる。更に特定の例として、
要求制御装置が（ＡＲＥ-ＹＯＵ-ＡＣＴＩＶＥのよう
な）メッセージをその自身の郵便箱に書き込むとき、Ｎ
Ｏ-ＲＥＰＬＹメッセージをもそれ自身の返答郵便箱に
書き込むので、他の制御装置は、制御メッセージが送ら
れているのであり、誤った返答メッセージが送られてい
るのではないことを知る。

【００５７】これら各例は堅く結合されている通信プロ
トコルが制御装置間でそれらの活動を監視し統合するた
めに遵守される仕方を示している。各要求および返答メ
ッセージは非常に特定で明瞭であり、各「空」メッセー
ジは特定で明瞭であるため、明示通信は絶対的に理解さ
れ、堅く結合しているプロトコルにより検出される明示
通信の欠如から暗示通信が生じる。

【００５８】これまで、記憶装置管理システム10に二重
制御装置20および25を同時に使用しているとき本発明で
動作のフェールオーバーが行なわれる仕方を説明してき
た。しかし、本発明は故障したスタンドアローンの制御
装置から正確且つ完全なフェールオーバーが生ずること
も可能にする。すなわち、記憶装置管理システム10が、
スタンドアローン・モードの制御装置20（スロット
「Ａ」で）ような単独制御装置で使用され、制御装置25
が現在システムに挿入されていないと仮定する。制御装
置20が故障し、故障がＮＶＤＲＡＭメモリにまたはその
アクセス回路に関係していないならば、本発明のシステ
ムは、制御装置25をスロット「Ｂ」に挿入して制御装置
20から制御装置25への完全なフェールオーバーができる
ように、ホットスワップを許可する。具体的には、フェ
ールオーバーは、準備を介在させることなしに行なわれ
る。故障した制御装置のミラー内容の状態および正確さ
を検出するのに、準備命令または類似のものは不要であ
り、故障した制御装置のメモリ内容を新しく挿入された
（ホットスワップされた）制御装置に書き込むのに、準
備または操作は不要である。

【００５９】スタンドアローンの制御装置20の故障が生
じた場合、フェールオーバーの手段および方法は次のと
おりである。 (1) 作業し得る（新しい）制御装置25を、システム電源
をオンまたはオフにして、その制御装置のスロット
「Ｂ」に挿入する。 (2) 新しい制御装置25は、故障した（遠隔）制御装置2
0の状態から、遠隔制御装置がマスタ制御装置であった
という遠隔ＮＶＤＲＡＭの状態を検出し、受動（スレー
ブ）状態を取る。 (3) 新しい制御装置が、鼓動メッセージまたはホストか
らの明白な「Take Control（制御をとれ）」 命令によっ
て、自己がマスタとなるべきことを検出する。 (4) 新しい制御装置が、自己のローカルＮＶＤＲＡＭメ
モリを（その内容を特に変えることなく）テストしてそ
の正しい動作を確認する。 (5) 新しい制御装置が、遠隔ＮＶＤＲＡＭメモリを
（その内容を特に変えることなく）テストしてその正し
い動作を確認する。 (6) 新しい制御装置が、二つのＮＶＤＲＡＭ像が相似で
あるかチェックして確認し、二つの像の間に差異がある
ことを見いだす。 (7) 新しい制御装置が、遠隔ＮＶＤＲＡＭがこのディス
ク・サブシステムに対して維持すべき正しい像であるこ
とを（ＮＶＤＲＡＭメモリの各々に示されている状態を
通して）決定する。 (8) 新しい制御装置が、遠隔ＮＶＤＲＡＭ像をそのロー
カルＮＶＤＲＡＭ像に複写（抽出）し、新しく獲得した
像に関係する状態情報を更新する。 (9) 新しい制御装置がホスト要求のサービスを始める。

【００６０】したがって、本発明のスタンドアローン故
障の回復能力により、完全且つ正確なフェールオーバー
が故障したスタンドアローンの制御装置から新しく挿入
された制御装置に重要なデータを失うことなく、かつ準
備を介在させずに行なわれる。

【００６１】したがって、能動的にミラー処理されてい
る二つの制御装置で実行するとき、いずれかの制御装置
は、上述したと同じホットスワップを使用して、その制
御装置を除去する準備をする準備命令を必要としない
で、システムから除去されることができる。これは、シ
ステムが二つの制御装置のいずれかのハードウェア故障
から回復する能力を更に高める。

【００６２】正確なフェールオーバーを行なう他の手段
は、各制御装置メモリの鏡像のデータ一貫性をメモリを
「洗浄する」ことにより常時監視、検出することによ
る。この洗浄するプロセスはメモリ内の誤りを検出し、
フェールオーバー事象の可能性に対する準備として正確
な鏡像を保持するのに役立つ。

【００６３】二重制御装置の文脈では、論理的マスタ制
御装置は、洗浄プロセスを好適には背景モードでまたは
システム10が遊んでいるとき行なう。洗浄プロセスは、
各々およびすべてのアドレス場所を読取り、補正可能／
補正不能誤りを見付け、このような誤りを固定して制御
装置間に一貫性を確保する。洗浄は、二つのメモリ鏡像
の一貫性を常時監視して故障の将来の点まで確実に同期
している（正確である）ようにする。

【００６４】規則正しいメモリアクセスもこのような誤
りを見付けて固定するが、規則正しいメモリアクセス
は、洗浄プロセスが行なうように定期的且つ適時に各ア
ドレス場所に常にアクセスするとは限らない。同様に、
図３および図４で説明したメモリ更新サイクルは、メモ
リにアクセスしてメモリアクセスの調停で故障が生じて
いるか否かを検出するが、更新サイクルは、一貫性をチ
ェックせず、論理的ビット誤りを訂正しない。対照的
に、洗浄プロセスは、当業者に知られている誤り訂正技
法を使用して、および／または制御装置間で共有してい
る冗長メモリを使用して誤りの訂正を行う。

【００６５】リアルタイム・ミラー型メモリ処理を使用
する別の利益は、単独ディスク記憶装置制御データセッ
トへの同時アクセスを許すことである（論理的マスタ／
マスタ二重制御装置関係で特に有利）。ディスク記憶装
置制御データセットには制御構造、写像、キャッシュ、
および進行中のホスト要求を制御する構造がある。特
に、両制御装置はそのデータセットに関連するデータ制
御構造にリアルタイムアクセスする。それ故、同じデー
タセットへの同時アクセスは、いずれかの制御装置から
のホスト要求を満足するのに別の操作またはＤＭＡ活動
なしに行なわれる。たとえば、ディスクにまたはキャッ
シュにある特定の論理アドレスからデータにアクセスす
る特定のホスト要求を、論理的なマスタ／マスタ二重制
御装置関係を成すいずれかの制御装置により処理するこ
とができる。

【００６６】要約すれば、そしてすべての図を参照すれ
ば、本発明のシステムは、二重制御装置20および25およ
びミラー型メモリ30および35を使用することにより、故
障に寛容なコンピュータ用ディスク記憶装置制御システ
ムとなる。一つの制御装置から他への実質的に完全、正
確、且つ即時の動作フェールオーバーが下記により行な
われる。 (1) フェールオーバーの精度および信頼性を更に大き
くしながら、共有の（ミラー式）メモリ情報を維持する
のに必要な時間を最小限にしてシステムのＩ／Ｏ性能を
維持する手段を設け、(2) 通信用郵便箱100および105
および堅く結合された通信プロトコルを用いるミラー型
メモリ構造間の通信に関連してミラー型メモリ構造を使
用することによりメモリの同期および一貫性をリアルタ
イムで管理し、(3) 通信用郵便箱、堅く結合された通
信プロトコル、割り込み信号、および独立のタイマ検出
時間間隔を用いて制御装置間のメッセージを同期化し、
(4) 各制御装置に通信の目的で他の制御装置の郵便箱に
ではなくそれ自身の郵便箱にだけ書き込ませ、各制御装
置に他の制御装置の郵便箱だけを読み取らせることによ
り、各ミラー式メモリを制御装置間の通信プロセスから
生ずる腐食から保護し、(5) 郵便箱および通信プロトコ
ルによる制御装置間の通信を常時監視し、確認すること
によりミラー・メモリの一貫性を管理し、(6) 明示通信
および暗示通信を検出し、それに応答することおよび標
準動作手順を使用することにより制御装置間の通信プロ
セスエラーまたは総体通信故障を管理し、(7) 当該明示
通信または暗示通信メッセージを検出し、それに応答す
ることおよび標準動作手順を使用することによりハード
ウェア故障を管理し、(8) メモリの像を洗浄することに
より各制御装置メモリのフェールオーバーデータ像を正
確に維持し、(9) 郵便箱通信構造を用いて制御装置故
障、通信故障、およびメモリ故障を検出し、(10) メモ
リ更新サイクルを切り開いてメモリシステム故障を検出
し、(11) 故障制御装置を検出するとミラー処理を選択
的に無効とし、制御を故障していない制御装置に与え
る。

【００６７】上に説明してきたものは二重制御装置ディ
スク記憶装置の好適実施例であり、それにより、制御装
置故障の場合リアルタイムミラー式メモリが完全、正
確、且つ即時のフェールオーバーを行なう。本発明が制
御装置間に費用効果的なリアルタイムのリンクを設け、
各制御装置に他の制御装置の状態を監視させ、そして各
制御装置の活動を統合させる強力な道具になることは明
らかである。その上、当業者には本発明が当技術に現存
する多様なハードウェアおよびソフトウェアの道具を利
用して容易に実施されることが明らかであろう。本発明
を特定の実施例を参照して説明してきたが、他の代わり
の実施例および実施方法または修正案を本発明の真の精
神および範囲を逸脱することなく採用し得ることが明ら
かであろう。

【００６８】本発明は、例として次の実施態様を含む。 １． (a) 各々が不揮発性メモリ（30、35）を備えてい
る第１および第２のディスク制御装置（2O、25）と、
(b) データを第１および第２の制御装置メモリ（30、3
5）に、実質上同時に、選択的に書込み、それにより反
射型メモリを得る手段と、(c) システム（40、45、10
0、105）の故障を監視し、検出する手段、および(d) 故
障を検出すると直ちに実質上即時、且つ実質上完全な動
作フェールオーバーを一方の制御装置から他方へ与える
手段と、から構成されているコンピュータ用ディスク記
憶装置制御システム（10）。 ２． 書込む手段は、ホストの要求を満足させるのに余
分な操作または余分な直接メモリアクセス（ＤＭＡ）活
動を必要とせずに各制御装置に対して同じディスク記憶
装置制御データセットおよびディスクデータ（30、35）
への同時且つ容易なアクセスを与える上記１に記載のシ
ステム。 ３．書込む手段は、第２の制御装置に、第１の制御装置
が故障してからデータを第１の制御装置メモリから抽出
して第２の制御装置メモリに複写する手段を備え、それ
により第１の制御装置のメモリの鏡像を第２の制御装置
のメモリに作る上記１に記載のシステム。 ４． フェールオーバーを与える手段は、反射型メモリ
の精度状態および一貫性を監視し検出する手段を備えて
いる上記１に記載のシステム。 ５．制御装置の一つを、準備を介在させることなくホッ
トスワッピングする手段を備えている上記１に記載のシ
ステム。 ６．各々が不揮発性メモリ（30、35）を備えている第１
および第２のディスク制御装置（20、25）を備えたコン
ピュータ用ディスク記憶装置制御システム(10)において
動作フェールオーバーを与える方法であって、(a) デ
ータを第１および第２の制御装置メモリ（30、35）に、
実質上同時に、書込み、それにより反射型メモリを得る
こと、(b) 制御装置（40、45、100、105）の一つにお
ける故障を監視し検出すること、および(c) 故障が検出
された一方の制御装置から実質上即時、且つ実質上完全
な動作フェールオーバーを他方の制御装置に伝えるこ
と、から構成される方法。 ７． 書込みは、ホストの要求を満足させるのに余分な
操作または余分な直接メモリアクセス（ＤＭＡ）活動を
必要とせずに各制御装置に対して同じディスク記憶装置
制御データセットおよびディスクデータ（30、35）への
同時且つ容易なアクセスを与える上記６に記載の方法。 ８． 段階ａおよびｂの順序が逆であり、且つ書込み
は、第１の制御装置の故障の後故障が検出されている第
１の制御装置メモリから第２の制御装置によりデータを
抽出して複写するように、データを第１および第２の制
御装置メモリに選択的に書込み、それにより第１の制御
装置のメモリの鏡像を第２の制御装置のメモリの中にに
作る上記６に記載の方法。 ９．鏡像の一貫性を保存する目的で検出されたミラー型
メモリの精度状態に基づき、ミラー型メモリの誤差を訂
正することを含む上記６に記載の方法。 １０．故障が検出された制御装置の一つを、準備を介在
させることなくホットスワッピングすることを含む上記
６に記載の方法。

【００６９】

【発明の効果】本発明は、以上説明したような形態で実
施され、一つの制御装置またはそのメモリが故障した場
合に即時、正確、且つ確実なフェールオーバーを行なう
ことができる。

【図面の簡単な説明】

【図１】 二重制御装置を備えた本発明のコンピュータ
用ディスク記憶装置制御システムの概観を示すブロック
図である。

【図２】 図１の二重制御装置ディスク記憶装置の更に
詳細なブロック図である。

【図３】 本発明の制御回路の概略ブロック図である。

【図４】 図３の概略ブロック図であるが、データ流れ
の一方向経路が制御装置20から制御装置25へのリアルタ
イム同期ミラー型メモリ書込みプロセスを模範として描
いてある。

【図５】 各制御装置反射メモリ間の好適実施例の通信
経路を描くブロック図である。

【図６】 本発明で具体化した堅く結合されている通信
プロトコルを表すメッセージを描いた表である。

【符号の説明】

10 ディスク記憶装置制御システム 20,25 ディスク制御装置 30,35 不揮発性メモリ 40,45 制御論理

Claims (1)

【特許請求の範囲】
1. 【請求項１】 (a) 各々が不揮発性メモリを備える第
   １および第２のディスク制御装置と、 (b) データを実質上同時に上記第１および第２の制御装
   置のメモリに選択的に書込み、それによりミラー型メモ
   リを形成する手段と、 (c) システムの故障を監視し、検出する手段と、 (d) 故障を検出すると直ちに実質上即時に、一方の制御
   装置から他方へ実質上完全なフェールオーバーを行わせ
   る手段と、を備えるコンピュータ用ディスク記憶装置制
   御システム。