JPS61500875A - 補助記憶装置へのアクセス喪失に耐える処理システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 補助記憶装置へのアクセス喪失に耐える処理システム且土立！ 本発明は耐冨害処理システム、より詳細には複製補助記憶装置を含む処理システ ムに関する。 衾匪立！量 各種の記憶装置のコスト及び性能の違いから、処理システムは、通常、少なくと も２つのタイプの記憶装置を使用する。１つのタイプは主記憶装置として使用さ れる実質的にリアルタイムにて読出し及び書込みを行なうことができる高速直接 アクセス記憶装置である。主記憶装置はコアあるいは半導体記憶装置として実現 されるが、１ビツト当たりの記憶空間は割高となる。従って、通常、主記憶装置 は処理システムに直ちに必要とされる情報を十分に保持できる程度のものに設計 される。処理システムによって使用される他の多量の情報は補助記憶装置と呼ば れる別のタイプの記憶装置に保持され、必要に応じて、処理システムによって情 報がこの主記憶装置と補助記憶装置との間に伝送される。 補助記憶装置は、通常、順次アクセス磁気記憶媒体、例えば、テープあるいはデ ィスクとして実現される０通常、主記憶装置と比較して、補助記憶装置へのアク セスは低速となる。しかし、補助記憶装置は１ビツト当たりの記憶空間が安く、 従って、比較的低コストにて大量の記憶能力が提供できる長所を持つ。 リアルタイム処理が要求され、一方で、処理能力の喪失に十分に対処できてない 処理システム、が多くの用途でみかけられるが、−例として、電話電子交換シス テムなどもこの部類に属する。このような用途に使用される処理システムは信頼 性が高く、障害が発生した場合にもこれにはえられることが要求される。 信頼性が高く、障害に対して強い処理システムを達成する方法の１つとして、シ ステム内の機能装置を、補助記憶装置及びそれらの内容を含めて、二重にしたり 、あるいはさらに多くのこれらの複製を提供する方法がある。二重にされた補助 記憶装置は活動／待機状態に構成されるが、活動状態の記憶装置はオフラインと され処理システムによって要求される記憶及び検索タスクを遂行し、一方、他方 の記憶装置はこの活動状態の記憶装置と同じ内容を持つように常時更新され、現 在活動状態の装置に故、隙が発生したとき活動状態の装置として動作できるよう に待機される。こうして、システムは、通常、片方の補助記憶装置が障害を起こ したときでも処理能力を失なうことな（これに耐えることができるようにされる 。 合でも、そのシステムの処理能力が完全に喪失されるわけではない、システムに 格納される情報の幾つかを主記憶装置に格納し、この情報を使用することによっ てシステムの幾っがのタスクの遂行を継続することが可能である。つまり、処理 システムの全ての複製補助記憶装置が故障した場合、処理システムが少なくとも そのシステムの能力を維持できるか否かは、これら補助記憶装置以外のソースか ら使用できる情報がシステム内にどの程度残るかに依存することとなる０例えば 、ある種の電子交換システムにおいては、システムの動作に欠くことのできない 情報、例えば、最もリアルタイムを必要とする必須システム／アプリケーション 　プログラム／パラメータはシステムの主記憶装置内のプログラム格納部分に永 久的に格納され、一方、その他の情報、例えば、そのシステムによって処理され る特定の顧客に関するデータなどは、重複ディスク上に格納され、必要なときに のみ主記憶装置の呼格納部分に運ばれる０重複ディスクの両方が障害を起こした 場合でも、システムは必須プログラムへのアクセスは可能であり、従って、シス テムの呼格納部分に必要なデータが格納されたデータを持つ、あるいは格納され たデータを必要としない、タスクの遂行する能力、あるいは顧客に対するサービ ス能力を維持することが可能となる。 現代的な電子交換システムを含む大多数の処理システムは上述の交換システムの ような構造を持たない、つまり、こ弗ら多くの処理システムは前述の交換システ ムとこれらが主記憶装置内に全ての必須プログラム及びシステム　パラメータを 永久的に格納し　パない点で異なる。これら処理システムは、通常、システムの 殆どのパラメータ、プログラム及びその他の情報を補助記憶装置、例えば、ディ スク記憶装置内に格納し、必要に応じてこれら情報を主記憶装置と補助記憶装置 の間で伝送する。これには多くの理由があるが、これら理由には、これら処理シ ステムはプロセス及びその他の情報を主記憶装置と補助記憶装置との間で効率的 に伝送する能力を持つ高速のオペレーティング　システムを持ち、従って、主記 憶装置には処理システムによって実行される全てのプログラムを格納せずこれに 格納しておくことが好ましいと考えられるものだけを格納することにより主記憶 装置の容量を小さくする方が経済的であること、及び、処理システムを主記憶装 置に格納できる制約された数及びサイズのプログラムのみを実行するように制限 しない方が多様性及び汎用性の点でえ得策であることなどを挙げることができる 。 しかし、これらシステムがそのシステムに欠くことのできない情報を補助記憶装 置と主記憶装置の間で伝送することによって動作するため、これらシステムは補 助記憶装置へのアクセスが得られなくなるとこれら情報にアクセスできなくなる 。補助記憶装置へのアクセスの喪失はいつ起っても不思議でなく、さらにこれに よってアクセスできなくなるｔｒｉがそれなしではシステムが処理活動を継続で きないような性格のものであるときは、処理システムは補助記憶装置の障害によ ってその処理能力を失なうこととなる。 犬」廊と」ｈ 本発明は先行技術による処理システムのこれら及びその他の短所を解決すること を目的とする０本発明による処理システムは情報、例えば、動作に必要なプログ ラム及びデータなどを格納するための複製の補助記憶装置、例えば、二重ディス クを持ち、補助記憶装置に障害が発生した場合でも必須の処理能力を失なうこと はない、複製の補助記憶装置の１つを除く全て、あるいは少なくとも１つが障害 を起こすと、補助記憶装置から提供される指定の情報がシステムの主記憶装置内 に格納及びロックされ、この結果、全ての補助記憶装置が使用できなくなった場 合でもこれらｔ！報がシステムによって使用できるようにされる。 複製の補助記憶装置の全てが使用できなくなると、システムの動作は主記憶装置 内にロックされた指定の情報の使用に制限される。複製の補助記憶装置の少なく とも１つが回復すると、動作の制限は解除されるが、指定の情報は主記憶装置内 にロックされたままとなる。他方のｒｉ製禎助記憶装置も回復すると、指定の情 報が主記憶装置からアンロックされ、これら情報の主記憶装置からの移動が可能 となる。 好ましくは、この補助記憶装置に加えて複製の機能装置をもつ本発明による処理 システムは複製の少なくとも幾つかの記憶装置が故障すると、故はした？ｉＲ助 記憶装置を回復するためにこの複製の機能装置を使用して自体を再構成する。　 ゛好ましくは、本発明による処理システムは、複製ネ覇助記憶装置の全てが障害 を起した場合でも少なくとも一部のシステム能力を保持する。これは、システム の動作に必須のシステム及びアプリケーション　プログラムを含む必須情報をそ れらの複製補助記憶装置内に格納するようなシステムにも通用できる。従って、 本発明は、通常、それらのプログラムを補助記憶装置内に格納し、動作の際に１ ．必要に応じてこれら情報をオペレーティング　システムの制御下で主記憶装置 内にあるいはこれから補助記憶袋］こ移動させるような現代的な処理システムに 特に通ずる０本発明はこれら処理システムにこれまで実現ができなかった程度の 耐障害能力を提供する。 本発明のこれら及びその他の長所及び特徴は図面を参照しての本発明の一例とし て実施！３様の以下の説明からより明白となるものである。 ■工二呈星呈森ユ 第１図は本発明を具現する一例としての処理システムのブロック図を示し； 第２図は第１図の処理システムの構成状態の状態図を示し；第３図は第１図の処 理システムのディスパンチャ制御テーブルを示し； 第４図は第１図の処理システムのディスクに関する動作モードの図を示し； 第５図は第４図の動作モード図のシンプレックス　プロ・ツクへの装置除去遷移 の論理流れ図を示し； 第６図は第４図の動作モード図のシンプレ７クス　ブロックからの装置回復遷移 の論理流れ図を示し；第７図は第４図の動作モード図のソフト　スイッチ　ブロ ックの論理流れ図を示し； 第８図は第４図の動作モード図のハード　スイッチ　ブロックの論理流れ図を示 し； 第９図は第４図の動作モード図のフル　ディスク　リング　モード　ブロックへ の遷移の論理流れ図を示し；そして第１０図は第４図の動作モード図の手動ブー ト　プロ、りの論理流れ図を示す。 ｋ■星段所 Ａ、＞五±ム１底 第１図には本発明を組み込んだ処理システムの一例としての実施！３様がブロッ ク図にて示される。ここにはジエアル　プロセッサ　システム１００が示される が、これには好ましくは、エイティ　アンド　ティ　ウェスタン　エレクトリッ ク（ＡＴ＆ＴＷｅｓｔｅｒｎ　Ｅｌｅｃｔｒｉｃ）によって製作される３ＢＴ１ １２００／ＤＭＥＲＴコンビエータ　システムが使用される。このシステムは３ Ｂ２０Ｄプロセツサによって実行されるＤＭＥＲＴオペレーティングシステムを 含む、３Ｂ２０Ｄ／ＤＭＥＲＴコンピュータ　システムは、ベル　システム　テ クニカル　ジャーナル（ＢｅｌｌＳｙｓｔｅｍ　Ｔｅｃｈｎｉｃａｌ　Ｊｏｕｒ ｎａｌ　）　、Ｖｏｌ、　６４、寛１、パート２．１９８３年１月号において説 明されている。この３Ｂ２０Ｄ／Ｄ　Ｍ　Ｅ　ＲＴコンビニータ　システムの構 造及び動作の詳細に関しては上記の雑誌を参照を勧めるものとし、ここでは、本 発明が機能する環境を説明する目的でこれに関して簡単に説明するにとどめる。 シュアル　プロセッサ　システム１００は対のプロセッサ１０１及び１０２を含 む、プロセッサ１０１及び１０２は川ね同一である。従来のモードの動作におい ては、プロセッサ１０１か１０２の片方は活動状態にあり、そのプロセッサによ る実行を割り当てられたプロセス、あるいはタスクを実行するためにオペレーテ ィング　システムの制御下で動作し、一方、プロセッサ１０１か１０２の他方は アイドル状態にあり、待機し、プロセッサ１０１か１０２の活動状態のプロセン サが故障によってサービスができなくなったときこれにかわって動作する。プロ セスは、用の機能をもつこともある。プロセスは、通常、専用のデータスペース 及びレジスタ値、並びに場合によっては他のプロセスと共用されるセントのコー ド、つまり、プログラム命令を持つ。 プロセッサ１０１の主プログラムの実行、制御及びデータ処理機能は中央処理装 置（ＣＰＵ）１１２によりて遂行される。 ＣＰＵＩ　１２はマイクロプログラム　マシーンであり、殆どのプロセフす機能 はＣＰＵ１１２の内部のマイクロプログラム記憶装置（図示なし）内に格納され たマイクロ命令の実行によって遂行される。マイクロ命令のシーケンスの実行は プログラム命令によって指令される動作を実現する。ＣＰＵ１１２は、通常、Ｃ ＰｔＪが要求する情報、例えば、データ及びプログラム命令をプロセッサ１０１ の主記憶袋ｒＬ（ＭＡＳ）１１４と呼ばれる主オンライン記憶装置から得る。ア プリケーション　プロセス及びオペレーティング　システム　プロセスの両方の 選択された部分が主記憶装置１１４内に格納される。動作速度を向上させるため に、ＣＰＵ１１２にはオプション的にキャッシュ１１３を提供することもできる が、このキャッシュはＣＰＵ１１２と主記憶装置１１４との間の情報伝送用の高 速バッファとして機能する。 主記憶装置と装置、例えば、ＣＰＵＩ　１２及びキャッシュ１１３との間の通信 は主記憶装置バス（ＭＳＢ）１１６を通じて行なわれ、主記憶装Ｗ、１１４への アクセスを調停する主記憶装置更新装置（ＭＡ　Ｓ　Ｕ）によりてｔｉＩＩ＠さ れる。対の直接メモリ　アクセス　コントローラ（ＤＭＡＣ）１１０及び１１１ も主記憶装置バス１１６に接続し、主記憶装置１１４とプロセッサ１０１の周辺 装置゛の間の直接情報伝送装置として機能する。 プロセフす１０１と１０２は実質的に同一であり、プロセッサ１０２も同様にＭ ＳＢ１２６によって相互接続される対のＤＭＡＣｌ２Ｏ及び１２１、ＣＰＵ１２ ２、キヤツシユ１２３、ＭＡＳ１２４、及びＭＡＳＵ１２５を含む。 プロセッサ１０１及び１０２の周辺装置には各種の装置が含まれるが、これらの 殆どは処理システム１００が使用される用途によって決定される９周辺装置は第 １図に示されるように、大容量記憶装置、例えば、ディスク　メモリ　サブシス テム１３９及び１４９並びにテープ　サブシステム１５９および１６９を含む。 サブシステム１３９及び１５９からなる周辺装置の第１のグループはシュアル　 ボート　コントローラ（ＤＰＣ）１３０にＷｊ続される。シュアル　ボート　コ ントローラ１３００片方の通信ボートは通信チャネル１３３に接続され、一方、 コントローラ１３０の他方のボートはチャネル１３４に接続される。コントロー ラ１３０はサブシステム１３９及び１５９をチャネル１３３−１３４を通じて受 信される命令に従ってチャネル１３３−１３４のどちらかに選択的にインタフェ ースする。チャネル１３３はＤＭＡコントローラ１１１に接続し、チャネル１３ ４はＤＭＡコントローラ１２１に接続し、こうして、プロセッサ１０１および１ ０２の両方にサブシステム１３９および１５９へのアクセスを特坦’６１−５０ ０８７５　（４） 提供する。ＤＭＡＣｌ　１１及び１２１はまた従来の方法にてＭＡＳ　１１４及 び１２４とサブシステム１３９及び１５９の間の情報の伝送を制御する。 類似の方法にて、サブシステム１４９及び１６９からなる周辺装置の第２のグル ープはシュアル　ボート　コントローラ（ＤＰＣ）１４０によって対のチャネル １４３及び１４４０片方に選択的にインクフェースされる。チャネル１４３はＤ ＭＡＣ１１０に接続し、一方、チャネル１４４はＤＭＡＣ１２０に接続し、こう して、プロセッサ１０１及び１０２の両方にサブシステム１４９および１６９へ のアクセスを提供する。ＤＭＡＣ１１０及び１２０はまた従来の方法にてＭＡＳ 　Ｌ　１４及び１２４とサブシステム１４９及び１６９の間の情報の伝送を制御 する。 記憶装置、並びに包括される記憶装置の動作を制御し、周知の方法にて通信チャ ネルへの通信のためにこれらをインタフェースするコントローラを含む、ディス ク　メモリ　サブシステム１３９では、この記憶装置は複数の可動ヘンド　ディ スク（ＭＨＤ）１３１−１３２からなる。これらディスクはディスク　ファイル コントローラ（ＤＦＣ）１３５によって制御される。同様に、ディスク　メモリ 　サブシステム１４９はＤＦＣ１４５によって制御される複数のＭＨＤ１４１− １４２からなる。テープ　サブシステム１５９では、情報はテープ１５１上に格 納されるが、これはテープ　ファイル　コントローラ゛（ＴＦＣ）１５５によっ て制御される。同様に、テープ　メモリ　サブシステム１６９はテープ１６１及 びＴＦＣｌ　６５を含む。 サブシステム１３９のＭＨＤ１３１−１３２の幾つかあるいは全てはサブシステ ム１４９のＭＨＤ１４１−１４２の幾つかあるいは全てと重複する。２つのＭＨ Ｄは同一の情報のコピーを格納する場合、互いに重複する。互いに重複する２つ のＭＨＤはディスクの重複ペアと呼ばれる０通常、システム内では、任意の時間 においてＭ　ＨＤの重複ペアの片方のＭＨＤのみが必要となる０重複ペアの他方 のＭＨＤはスペアとして機能する０重複ペアのＭ’ＨＤは、通常、同一の情報を 持つように常に更新され、重複ペアの他方へのアクセスが失なわれた場合でも、 システム１００はこれに格納された情報を得ることができ、従って、システム１ ００の処理能力に影響を受けることがない。 テープ１５１及び１６１の幾らかあるいは全ても同様に互いに重複する。しかし 、テープ１５１及び１６１は手操作にてサブシステム１５９及び１６９の間を移 動できるため、通常、テープ１５１及び１６１を互いに重複させる必要はない。 重複ディスク　ペアと同様に、プロセッサ１０１と１０２のどちらでもシステム 　タスクを同じように遂行でき、これらのどちらかが故障した場合、他方がこれ にかわることができるようにするため、主記憶装置１１４及び１２４の内容も互 いに重複させることが必要である。このためプロセフす１０１及び１０２の主記 憶装置更新装置１１５及び１２５は更新バス１０３として示される通信バスによ って相互接続される。更新バス１０３は以下の方法にて主記憶装置更新装置１１ ５及び１２５によって制御及び使用される。 主記憶装置更新装置１１５は主記憶装置１１４へのアクタスの調停を行なうのに 加えて、主記憶装置１１４へのアクセスのタイプを監視する。必要とされるアク セスが主記憶装置１１４の内容を変更するようなタイプ、例えば、書込みあるい は消去動作であり・そしてプロセッサ１０２がサービス中であるとき番ヨ、主記 憶装置更新装置１１５はバス１２６に接続される他の全ての装置によって行なわ れるように、主記憶装置バス１２６に対スルアクセスの要求を主記憶装置更新装 置１２５に発行する。 主記憶装置更新装置１２５はこの要求をバス１２６への他の全てのアクセス要求 と同様に処理する。バス１２６が空き使用できる状態になると、主記憶装置更新 装置１２５はアクセス許可信号を主記憶装置更新装置１１５に送信し、更新バス １０３の一端を主記憶装置バス１２６にｔｉ続する。 許可信号に応答して、主記憶装置更新装置１１５は更新バス　′１０３の他端を 主記憶装置バス１１６に接続し、最初に要求された主記憶装置１１４へのアクセ スを実現する。こうして、現在、バス１１６と１２６が接続されているためバス １１６及び１２６の両方を通じて主記憶装置１１４＆び１２４の両方へのアクセ スが行なわれ、装置１１４及び１２４の内容が同じように変更される。アクセス が完了すると、主記憶装置更新装置１１５及び１２５は両方とも更新バス１０３ を対応する主記憶装置バス１１６及び１２６から切断する。 主記憶装置１１４及び１２４の両方に対して必要なプロセッサ１０２による主記 憶装置へのアクセスの場合は、上述の主記憶装置更新装置１１５及び１２５の動 作が単に反対にとなるのみである。 また、ＣＰＵ１１２とＣＰＵＩ　２２の間には直接通信チャネルが提供される。 これは保守チャネル１０４として示され、これはプロセッサ１０１あるいは１０ ２のオンラインで活動状態のプロセッサからオンラインで非活動状懸のプロセッ サを診断するための制御及び通信ハスとして機能する。保守チャネル１０４はま た障害回復プログラムに対する低レベル保守制御を提供し、プロセンサの切り替 えが動作に影響を与えることなく遂行できるように。 する、これに加えて、プロセッサ１０．１及び１０２のどちらかによって保守チ ャネル１０４を通じて他の保守制御を行ない、他方のプロセンサの初期化シーケ ンスを開始したり、あるいは他方のプロセッサによるプログラムの実行を停止す ることができる。保守チ島ネル１０４はまた外部ソースからマイクロ命令を受信 して、これを実行することもできる。保守チャネル１０４はさらにプロセッサ　 バスを制御し、プロセッサ制御信号を発行することができる。こうして、保守チ ャネル１０４はプロセンサを殆ど完全に制御することができ、マイクロ制御が不 在の場合でもこれを使用してマシーンを診断することができる。信頼性の目的か ら保守チャネル１０４も同様に重複されチャネル１０４ａと１０４ｂからなる。 シュアル　プロセッサ　システム１００の上述のハードウェア構成の助けをかり 、シュアル　プロセッサ　システム１００のオペレーティング　システムはシス テム１００を複数の構成の選択された１つにて動作させ、またオペレータによっ てシステム１００に与えられる命令に応答して、あるいは内部的に検出された状 況、例えば、障害の発生に応答してシステム１００を再構成する。 動作においては、プロセッサ１０１か１０２の片方のみが動作状態となり全ての システム　タスクを遂行し、一方、他方のプロセッサ上ン 活動状態のプロセッサは呼び出されたら活動状態のプロセッサとしてかわりに動 作できるように待機状態にある０通常、活動状態のプロセフすに故障が発生する と、これは非活動プロセッサとなり、サーζ゛スから外され（ＯＯ’Ｓ）　、こ れはもはや動作プロセッサとしてかわることができないものとしてみなされる。 このような故障が発生すると、Ｘったプロセッサが故障したプロセッサを診断し 、故障したプロセッサを待機状態にもどすことを試みる。 システム１００内には、主記憶装置１１４及び１２４並びに大容量記憶サブシス テム１３９．１４９．１５９及び１６９内にその重複コピーが）各納されてはい るが、これには１つのバージョンのオペレーティング　システムのみが存在する 。この１つのバージョンのオペレーティング　システムが２つのプロセッサ１０ １及び１０２の活動状態にある方のプロセッサ上で実行される。 動作において、システムは第２図に示される４つの構成状態の１つをとる。状態 １においては、プロセッサ１０１か１０２の片方が活動体感（ａ）にあり、他方 が待機状ｓ　（ＳＴＢＹ）にある。 状態２においては、この２つのプロセッサの動作状態が切り替えられている。状 ！３３においては、プロセッサ１０１あるいは１０２のいずれかが動作状態にあ り、他方がサービスから外された状５３（００Ｓ）にある、状！３４においては ミこの２つのプロセッサの動作状態が切り替えられている。動作状況、例えば、 故障の発生に応答して、あるいはシステム管理者からの命令に応答して、システ ム１００はこれら各種の構成状態の間の遷移を行なう。 システム１００の構成状態の遷移は太き（２つの範ちゅう、つまり、ハード遷移 及びソフト遷移に分類できる。ハード遷移はシステム１００のある程度の初期化 を必要とし、従って、システム１００上で実行されるプロセスに影響を与えるこ となく（トランスバレントに）初期化を行なうことができないような遷移である 。 システムの初期化は故はが発生した場合に通常の処理能力を回復するために行な われる一連の動作である。ハード遷移は、通宝、活動状態のプロセッサにそのプ ロセッサが動作を継続することができず、従って、サービスから外す必要が生じ る程度の故障が発生した場合に起こる。ハード遷移はハード遷移を起こす程では ないがソフト遷移による回復が失敗した場合にその故障の回復をハード遷移によ って試みるような場合にも起こる。第２図において、ハード遷移は状：３１から 状！３４への遷移、状態２から状態３への遷移あるいは状態３と状！：ｉ４の間 の遷移であり、“ハード　スイッチ１と呼ばれる。ハード遷移は、現在の活動状 態のプロセッサ上のシステム動作が停止され、他方のプロセッサに切り替えられ るため“ストツプ　アンド　スイッチ”とも呼ばれる。 ソフト遷移はシステムの再初期化を必要としない、あるいはシステム１００上で 実行されているアブリケーシッン　プロセスに影響を与えることなく（トランス バレントに）行なうことが可能な程度の初期化を必要とする遷移である。これら は、通常、ハード遷移を起さない程度のハードウェアの故障の発生、ソフトウェ アの故障の発生、及びシステム１００に与えられた外部的に生成された命令の結 果として起こる。このようなソフト遷移には、例えば、状！３１と状！３２の間 の遷移があるが、これは“ソフト　スイッチ”と呼ばれる。もう１つのソフト遷 移、つまり、状！３３から状！３１への遷移あるいは状態４から状！ｉ３２への 遷移は１プロセッサ回復２遷移と呼ばれるが、これは外部的に生成された命令に 応答して、あるいはシステム１００の診断及び回復プログラムによるサービスか ら外されたプロセッサが持回プロセッサとして使用でき、現在活動状態のプロセ ッサが故はしたときに活動状態となることができるとの判定に応答して起こる。 そして、状態１から状態３へのソフト遷移、あるいは状態２から状態４へのソフ ト遷移は、“プロセッサ除去“遷移と呼ばれる。これは動作状態のプロセッサの ハード遷移を起こすようなハードウェア障害の発生によっても起こされるが、こ の例ではこのような障害によって影響を受けるようなプロセスが待機プロセッサ によって実行されていないためここではこの遷移は起こらない、プロセッサは手 操作による命令によってもサービスから外すことができる。 システム１００は、障害検出及び回復ソフトウェア及びハードウェアに基づいて 、障害が検出された場合、これに応答して自動的に再構成を行なう、システム１ ００の障害検出及び回復機構は前述のベル　システム　テクニカル　ジャーナル （ＢＳＴＵ）において説明されているため、詳細に関してはこれを参照すること 　゛を勧めることにし、ここでは、システム１００内で本発明が機能する環境を 説明する目的でこれら機構について簡単に説明することにとどめる。 システム１００内に含まれる隙害挟出回路及びプログラムは高度なものである。 障害検出ハードウェア及びソフトウェア技法にはローカル　マツチング回路、全 てのバスに対するパリティ検査、主記憶装置に対するハミング　エラー修正、補 助記憶装置に対する巡回冗長コード、及び制御装置及び周辺装置などに対する各 種のハードウェア及びソフトウェア衛生タイマ等が広く採用されている。これに 加えて、障害検出機構自体の障害を検出するために診断ルーチンが使用される。 また衛生検査ルーチンが周辺サブシステムの０！康状態を確認するために使用さ れる。さらに、システム統合ルーチンによって個々の検出器によっては発見でき ないキャッチ障害がチェックされる。 任意の障害検出器がエラー状態を検出すると、影響を受けたプロセッサ１０１あ るいは１０２内に割込みが登録される。最も重大な障害に起因する割込み（よ動 作を自動的に影響を受けないプロセッサに切り替えるハードウェア　シーケンス 、つまり、ハード遷移を起こさせる。障害の程度が軽い場合はマイクロコードへ の割込みが発生し、これはソフトウェアにシステムを回復するように命令する。 障害回復プログラムはハードウェア及びソフトウェアの障害検出及び回復を制御 する。ハードウェア障害回復プログラムはハードウェア割込みを受信し、その後 に行なわれる回復手順を制御する。特定のエラーが所定の頻度いき値を越えるこ とが検出されると、システム構成の健康状態への遷移が行なわれる。 ソフトウェア障害回復プログラムはハードウェア障害回復プログラムと非常に類 似する構造を持つ、ソフトウェアの個々の主要単位はそれと関連する障害検出機 構、例えば、防衛チェフク及び監査、エラーいき値等、並びにエラー回復機構、 例えば、障害復帰、データ修正監査、及び再初期化技術等を持つ、これに加えて ミあるプロセスが無限実行ループに入ったり、システム資源、例えば、メツセー ジ　バッファを不当に消費したりしないよう、あるいはメツセージの定義される 範囲の外側にアクセスしたり、そのプロセスに許可されてない命令を実行したり しないように、プロセスの実行が正しく行なわれているか監視する０個々のプロ セスは回復を行なうための再初期化及び回復制御を行なう。 回復動作の結果としてシステム１００からのハードウェアあるいはソフトウェア が除去されると、診断及び監査プログラムがその除去の原因となったハードウェ ア障害及びソフトウェア障害を分析するために自動的に送られる。 プートストラップ及び初期化ルーチンはマイクロプロセスを初期化し、これによ って通常の処理能力を達成するための制御を行なうマイクロコード及びソフトウ ェア実現動作の基本セットを提供する。システムの初期化は障害状態のような状 況に遭遇した場合に通常の処理動作を回復するために実行されるマイクロコード 化された動作のシーケンスからなる。システムの初期化はソフトウェアないしソ フトウェアの回復機構によって自動的に、あるいは手操作による要求によって開 始される。 初期化シーケンスはそのソースと無関係にプロセッサ内の保守リセット信号と呼 ばれるハードウェア信号内に共通の開始点を持つ、保守リセット信号の受信によ って実行される初期化シーケンスは保守リセットｍｌ（ＭＲＦ）と呼ばれる。保 守リセット信号に起因する割込みはシステム１００内の最も優先度の高いマイク ロコード割込みである。ＭＲＦは呼び出しがあったプロセッサの初期化を開始す る。 システム１００は回復を達成するために段階的な初期化動作に従う、不必要に処 理能力が失われるのを避けるために障害の規模にみあった初期化動作がとられる 。あるレベルの初期化動作において回復を達成できない場合、それが最大レベル に達してないかぎり回復が達成されるまで、初期化動作のレベルが次のレベルに 上げられる。 第１図に再び戻り、メモリ　スキームはハードウェア装置と処理システム１００ のオペレーティング　システムとの協同で動作される。メモリ　スキームの該当 する機能は以下の通りである：ケージ　サブ−システム１５９及び１６９は処理 システム１００に対する基本記憶装置である。サブシステム１５９及び１６９は 処理システム１００内の記憶装置の第３のレベルを提供する。これらは、システ ム１００が動作するのに必要なオペレーティングシステム　ソフトウェア、基本 アプリケーション　プログラム、並びにシステム及びアプリケーション　パラメ ータを含む基本プログラム、データ、制御、及びその他の情報を格納する。シス テム１００が初めて初期化される場合、例えば、最初にシステムにパワーが投入 されると、サブシステム１５９及び１６９のテープ１５１及び１６１の内容がシ ステム１００のディスク　メモリサブシステム１３９及び１４９からなる第２の 記憶装置に転送、つまり、コピー及び格納される。これらは動作中、システム１ ００によってここからアクセスされる。この転送は手操作ブートストランプと呼 ばれる周知の方法によって行なわれる。 全てのＭ）ＩＤ１３１−１３２及び１４１−１４２がシステム１００によって使 用されるこれら情報を格納するが、ディスクの１つの重複ペアのみ、この例では 、ＭＨＤ１３２及び１４２のみがシステム１００の動作に必須の情報を釡む、こ のためＭＨＤ１３２及び１４２はディスクのシステム必須重複ベアと呼ばれる。 これらが含む情報にはテープ　サブシステム１５９及び１６９がら転送されるシ ステム清ｉｉ！：っまり、オペレーティング　システム　プロセス、システムの 初期化に必要な情報、診断プログラム、並びにシステム管理者とインタフェース するためのプロセスなどが含まれる。 システム必須重複ベア、ＭＨＤ　１３２及び１４２以外のＭＨＤはシステム１０ ０のアプリケーションに関、する情報、例えば、アプリケーション　プロセス、 システム１００の顧客会計情報、並びに幾つかのデータ　ベースを含む、これら 情報の多くもテープサブシステム１５９及び１６９がらこれらディスクに転送さ れる。 システム１００にとって、システムに掛けられたアプリケーションを遂行するの に欠くことのできないアプリケージクン　プロセスは必須アプリケーション　プ ロセスと呼ばれる。この必須ア・プリケーシッン　プロセスを格納するＭＨＤ、 つまり、この例では、ＭＨＤ　１３１及び１４１はディスクのアプリケージ目ン 必須重復ベアと呼ばれるディスクの重複ベアを構成する。 必須ＭＨＤと非必須ＭＨＤの差はシステム１００は動作を非必須ＭＨＤ上に格納 された情報にアクセスするたことなく継続する能力を持つが、必須ＭＨＤ上に格 納された必須情報にアクセスすることなく継続することはできない点である。 システム動作にとってどのような情報が必須であるかは、シス例えば、全てのプ ロセスのプロセス制御情報ブロック内にそのプロセスが必須であるか否かを指定 する欄を含める。 ＭＨＤ　ｌ　３２及び１４２のシステム必須重複ベアは、テープサブシステム１ ５９及び１６９からこれに転送されたシステムプロセスを格納するのに加えて、 これらプロセス及びシステム１００内に存在する他のプロセスのイメージを格納 する。このプロセスのイメージはＭＨＤ　１３２及び１４２のスワツプ　スペー スと呼ばれる領域内に格納される。プロセスのイメージはそのプロセスの実行あ るいは実行可能なバージョンである。１つのイメージはそれ自体の関連するデー タ及びその他の情報とともにそのプロセス　プログラム　コードのコピーを含む 、プロセスのイメージはそのプロセスへの呼に応答して生成され、このイメージ はその実行が完了すると破壊される。プロセス　イメージの生成及び破壊はオペ レーティング　システムに依存する。プロセス　イメージはそれ自体独立したプ ロセスである。従って、プロセスとそのイメージには差異はなく、プロセス　イ メージは、通常、単にプロセスと呼ばれる。 システム１００によって始めて実行される最初のアプリケージタン　プロセスの １つはａ・須アプリケーション　プロセスへの呼を行ない、それによってＭＨＤ 　１３２及び１４２のシステム必須１？１ペアのスワップ領域内に必須アプリケ ーション　プロセスのイメージを生成するプロセスである。システム１００はこ うして、ＭＨＤ　１３２及び１４２を通じて必須アプリケージタン　プロセスへ のアクセスを行なう、この結果、システム１００はＭＨＤ１３１及び１４１のア プリケーション必須重複ペアに７クセスすることなく所期のアプリケージ３ンを 遂行することができる。 ＭＨＤ１３２及び１４２は、従って、システム１００の動作に本当に必須の唯一 のディスクであり、従って、ディスク　メモリサブシステム１３９及び１４９の 以降の説明はＭＨＤ１３２及び１４２について集中的に述べる。 ＭＡＳ　Ｉ　Ｌ　４及び１２４はシステム１００の主記憶装置を構成する。ＭＡ Ｓ１１４及び１２４の記憶容量はディスク　メモリサブシステム１３９及び１４ ９の記憶容量と比較して小さい。 ＭＡＳ　１１４及び１２４は、従って、ある任意の時間において、ディスク　メ モリ　サブシステム１３９及び１４９の内容の一部のみを含む、ある情報がＣＰ Ｕ１１２あるいは１２４、あるいはその他のシステム１００の装置によって必要 となったときにその情報のブロックがディスク　メモリ　サブシステム１３９及 び１４９からＭＡＳ１１’４及び１２４に転送、あるいはスワップされる０例え ば、プロセスあるいはその一部がこれを実行するためにＭＡＳ１１４及び１２４ ゛内にスワップされる。 ＭＡＳ　１１４あるいは１２４内にスワップされる情報のための領域を確保する ためにＭＡＳ　ｌ　ｌ　４及び１２４内に駐在し現在使用されてない他の情報の ブロックはＭＡＳ１１４及び１２４がらディスク　メモリ　サブシステム１３９ 及び１４９にスワップアウトされる。より風体的には、ＭＡＳ１’１４及び１２ ４からスワップ　アウトされたプロセスはＭＨＤ１３２＆び１４２のスワップ領 域内に格納される。ＭＡＳ１１４及び１２４内への、あるいはこれから外への情 報のスワップ動作はメモリ　マネージャと呼ばれるオペレーティング　システム の部分によって制御される。 このプロセスは当技術において周知である。 プロセッサ１０１及び１０２とディスク　メモリ　サブシステム１３９及び１４ ９の間の情報の伝送はディスク　ドライバと呼ばれるオペレーティング　システ ム　プロセスによって始動及び管理される。ディスク　ドライバは要求に応答− でディスク　メモリ　サブシステム１３９及び１４９からの情報の検索及びこれ への情報の格納を行なう。 ディスク　ドライバは情報の伝送を遂行する装置を選択し、必要なりＭＡＣに情 報の伝送を遂行するように命令し、そして要求された伝送を遂行する選択された ＤＭＡＣ＆び周辺装置からの応答信号あるいはエラー報告などのメツセージに応 答する。ディスク　ドライバは伝送を正常に完了させるか、あるいはその伝送が 完結されない理由をオペレーティング　システムに通知する任務を持つ、ディス ク　ドライバも当技術において周知である。 もう１つのプロセス　マネージャと呼ばれるオペレーティングシステム　プロセ スはシステム１００内のプロセスの生成、破壊及び追跡を行なう、プロセス　マ ネージャも同様に当技術において周知である。プロセス　マネージャは第３図に 示されるディスバッチャ制御テーブル（ＤＣＴ）３００の助けを得てプロセスの 追跡を行なう。 ＤＣＴ３００はＭＡＳＩＬ４及び１２４内に駐在する。これはシステム１００内 に存在する個々のプロセスに対する項目３０１を含む、プロセス　マネージャは それが新たなプロセスを生成したときＤＣＴ３００に項目を加える。プロセス　 マネージャはそれがプロセスを破壊したときＤＣＴ３００からそのプロセスの項 目を削除する０個々のプロセス項目はオペレーティング　システムによってその プロセスを正しく管理するのに必要とされるそのプロセスに関する情報を含む、 この情報は複数の欄の中に格納される識別子（ＩＤ）Ｆ！１３０２はそのプロセ スを同定する。状！３欄３０３は、例えば、そのプロセスがＭＡＳ　１１４及び １２４に駐在するか否か、あるいはそれが中断されているか、つまり、ＭＨＤ１ ３２及び１４２上にスワップ　アウトされているか否かなどを示す、タイプ掴３ ０４はそのプロセスが必須として指定さロセス　マネージャによって、例えば、 そのプロセスのプロセス制御ブロックから得られる。ロック３０５はそのプロセ スが主メモリからスワップ　アウトできるか否かを示す、ＤＣＴ３００内には、 第３図に示されていないその他の欄を含めることもできる。 Ｂ、之五之人飲詐 ここに説明されるシステム１００は、ＭＨＤ１２３及び１４２の両方のシステム 必須重複ペアへのアクセスが失われた後でも、能力は落ちるが、動作を継続する ことが可能である。ＭＨＤ１３２及び１４２のシステム必須ペアのＭＨＤの片方 あるいは両方が失われたときシステム１００がいかに対処するかまず第４図を参 照して説明する。第４図にはシステム１００が経過する動作のモード、及びシス テム１００がシステム必須ディスクが失われたとき最大限の初期化能力を保持す るために試みるこれらモードにおける動作が示される。 システム１００は、ブロック４００にて示される二重モードの動作から開始する ものと仮定するが、ブロック４００の状態においては、必須ＭＨＤ　１３２及び １４２の重複ペアの両方ともがプロセッサ１０１及び１０２の活動状態の方のプ ロセッサによってアクセスすることが可能である。二重モードの動作は通常の勤 咋のモードであるが、ただし、これは第２図の構成状ｊ３１　＋　４のいずれに も対応する。プロセッサ１０１が活動状態のプロセッサであるものと仮定すると （第２図の状！３１あるいは３）、情報の伝送が必要に応じてサブシステム１３ ９及び１４９とＭＡＳ　ｌ　１４の間で起こる。非活動状態のプロセッサ１０２ が待機状態にある　−とく第２図の状態１）、ＭＡＳ１１４と１２４の内容が一 致することを維持するためにＭＡＳ　１２４がＭＡＳｔＪ１１５及び１２５によ ってＭＡＳ１１４と同一の情報にて更新される。プロセッサ１０２がサービスか ら外されているときは（第２図の状態３）、ＭＡＳ　１２４は更新を中断する。 第４図のブロック４００の二重モードにおいては、ディスクドライバはメモリ　 マネージャの要求、つまり、ディスク格納情報をその情報がＭ）（Ｄの重複ペア 内に格納されているときは交互にサブシステム１３９及びサブシステム１４９か ら、そしてその情報が非重複ＭＨ’Ｄ内に格納されているときはサブシステム１ ３９あるいは１４９の該当する方から検索しこれを主メモリ内に伝送することに 対する要求に満足に答える。１３ｊＭＨＤからの情報の検索の場合はサブシステ ム１３９及び１４９の両方を交互に動作させることによって、ディスク　ドライ バはサブシステム１３９及び１４９の両方が継続されて正しく動作されているか 否かの最新情報を得る。ディスク　ドライバはメモリ　マネージャによって指定 される情報をＭＡＳ　ｌ　１４からスワップ　アウトし、サブシステム１３９及 び１４９の両方のスワップ領域に格納する。 ディスク　ドライバはこうして、ＭＨＤ１３２及び１４２の両方の情報内容を同 一とどめる。 プロセッサ１０１はＭＨＤへのアクセスに関与する機能装置の連鎖に影響を与え るような幾つかの状態が発生することによってＭＨＤへのアクセスを失なう場合 がある０例えば、ＭＨＤ自体が障害を起こす場合もあり、あるいは制御ＤＦＣが 障害を起こすこともある。さらに、ディスク　メモリ　サブシステムをプロセッ サに接続するチャネルが障害を起こす場合もあり、またアクセスを行なっている Ｄ　Ｍ　Ａ　Ｃが障害を起こす場合も考えられる。アクセスの失敗には完全な失 敗もあり、単にエラー率が許容範囲を越えて異常に高いという場合もある。アク セスはさらに装置のパワーが切られる、あるいはシステム１００から切断される ことによりでも失われる。 アクセスの失敗の発生について通知する。ディスク　ドライバは示される障害の タイプによってその障害が単に過渡的なものであるか否かを判定するためにアク セスを再試行する。所望のＭＨＤつ部分にこのことを通知する。非−システム必 須ＭＨＤである場合は、オペレーティング　システムの構成プロセスが障害によ る影響を受けた装置あるいは装置群をサービスから外す。 第５図にシステム必須ＭＨＤをサービスから外すときにとられるステップが図式 的に示される。ブロック５００において、ディスク　ドライバによってシステム 必須ＭＨＤへのアクセスが失敗したことを通知されると、構成プロセスは、ブロ ック５０１に示されるごとく、これが二重モードからの遷移であることを確認す るためにシステム必須ＭＨＤ１３２及び１４２の重複ペアの他方がサービスから 外されているか否かを判定する。これをｆ！認した後においてはじめて、構成プ ロセスは、ブロック５０２によって示されるごと＜、障害による影響を受けた装 置あるいは装置群をサービスから外す、サービスから外されたＭＨＤはＭＡＳ　 １１４及び１２４からスワップ　アウトされる情報によって更新されることを中 断される。 ブロック５０２において示されるごとく、装置をサービスから外す動作は、シス テムの装置構成データ　ベース（ＥＣＤ）内に該当する標識をセントすることに よって達成される０名前によって示されるごとく、ＥＣＤ　（図示なし）はシス テム１００の構成、し、その装置をいかに構成し、装置間にどのような通信及び 信号法手続きを使用するを定義する主メモリ駐在データ　ベースである。 非−重複ＭＩＤがサービスから外された場合は、ＭＨＤが失われたことは単にＥ ＣＤ内においてのみ確認され、システム１００は動作を継続し、単にＭＩＤから の情報をめるプロセスに対してＭＨＤがアクセスできない旨を通知する。そして 、非−システム必須重複ＭＨＤ、例えば、Ｍ）（Ｄ　１３１がサービスから外さ れた場合は、ディスク　ドライバはこれ代わりに重複ペアの他方のＭＨＤ　１４ １にアクセスするように命令を行ない、システムの動作は変化なくｍ続される。 つまり、第４図のブロック４０Ｇの二重モードにて動作が１！続される。しかし 、システム必須ＭＨＤ。 例えば、ＭＨＤ１３２がこれをプロセッサ１０１に連結する他の装置の１つがサ ービスから外された結果としてサービスから外され場合は状況が異なる。つまり 、システム必須ディスク、例えば、ＭＨＤ　１３２へのアクセスが失われると、 システム１００は第４図においてブロック４０１にて示されるシンプレフクス　 モードの動作に移る。 システム１００が二重モードからブロック４０１のシンプレ７事態の通知を受け る。プロセス　マネージャも同様にこの事態の通知を受けるが、プロセス　マネ ージャのその後の動作が第５図のブロック５０３−５０５に示される。ブロック ５０３に示されるごとく、プロセス　マネージャはこの通知に応答してＤＣＴ３ ００　（第３図参照）を検索し、タイプｆｉｉ３０４によってそれらが必須プロ セスであることが示される全てのプロセスを調べる。 プロセス　マネージャは全てのメモリ駐在必須プロセスのロックＭＡＳ　Ｉ　Ｌ 　４からスワップ　アウトされるのを防止し、こうして、ブロック５０４によっ て示されるようにこれらプロセスをＭ　Ａ　５１１４内にロックする。必須プロ セスの状Ｆ３３０３がそのプロセスが現在ＭＡＳ１１４に駐在しておらず、ディ スク上にスワツプアウトされていることを示すときは、プロセス　マネージャは 、ブロック５０５によって示されるごとく、そのプロセスがＭＡＳ１１４内に戻 されこれに格納されることを要求する。この要求に応答して、ディスク　ドライ バは他方のシステム必須ＭＨＤ、この例ではＭＨＤ１４２を通常の方法でアクセ スできるように゛し、変更し、ブロック５０５にて示されるように、このプロセ スをＭＡＳ１１４内にロックする。システム１００は、その後、第４図のシンプ レックス　モードにて、第５図のブロック５０６によって示されるとと（、他方 のＭ）ＩＤ１４２を使用して通常の動作を継続する。これは、システム必須ＭＨ Ｄ　１３２＆び１４２の両方へのアクセスが失われた場合でも、必須プロセスが システム１００にアクセス可能であることを確保する。 システム保守要員がプロセッサ１０１がシステム必須ＭＨＤ１３２へのアクセス を不可能にした原因を取り除き、ＭＨＤ１３２へのアクセス能力を回復すると、 システム管理者はシステ　′ム１００にディスク回復命令を与える。活動状態の プロセッサ、この例では、プロセッサ１０１は、この命令を学信し、これに第６ 図に示されるように応答する。より詳細には、回復の検出がディスク　ドライバ に通知され、ディスク　ドライバはこの命令に応答して、ブロック６００−６０ １によって示されるようにＭＨＤ１３２へのアクセスが本当に回復されたか検証 する目的でテストを行なう、テスト　アクセスが失敗した場合は、システム管理 者に対してシンブレックス状態が＄１！ＨＥされる旨のメツセージを発行する。 テスト　アクセスが成功したときは、ディスク　ドライバはＭＨＤ１４２からＭ ＨＤ１３２をリポビュレーションし、新たにアクセス可能になったＭＨＤ１３２ の内容を使用できる状態に回復する。ブロック６０２によって示されるごとく、 このリポビュレーションは、動作状態でアクセス可能な状態にとどまるＭＨＤ１ ４２の内容をＭＨＤ　ｌ　４２からＭＡＳ　１１４、そしてこれからＭＨＤ　ｌ 　３２への情報のＤＭＡ転送を介して回復されたＭＨＤ１３２にコピーすること によって達成される。ディスクのりポピユレーションはＭＨＤ１４２と〜ｆＨＤ １３２が再度互いに一致する内容となり、また両方がＭＡＳ１１４及び１２４の 内容と一致する内容を持つことを確保する。ＭＨＤ１３２はこうして。 完全に動作できる状態に回復され、ディスク　ドライバはオペレーティング　シ ステムの他の部分にこのことを通知する。 両方のディスクへのアクセスが回復されたことを通知されると、構成プロセスは 、ブロック６０３に示されるごとく、ＥＣＤ内の該当する標品をＭＨＤ１３２を サービス中であるとマークするために変更する。そして、プロセス　マネージャ は、ブロック６０４に示されるごとく、ＤＣＴ３００にアクセスし、ａ・須プロ セスのロック欄３０５を１アンロンク”状態にセントし、こうして、ＭＡＳ　Ｌ 　１４からのプロセスのスワップを可能にする。システム１００は次に、第４図 のブロック４００において再び二重モードに入り、そして、第６図のブロック６ ０５に示されるごとく、通常の動作を継続する。 プロセッサ１０１がＭＨＤの非−システム必須重複ベアの両方のＭＨＤへのアク セスを失った場合は、システム１００は回復動作、例えば、ＭＨＤベアの少なく とも１つへのアクセスを回復することを目上してシステムの）活動をプロセン、 す１０１がらプロセッサ１０２に切り替えるなどの動作を行なう、これらＭＨＤ の少な（とも１つへのアクセスを回復することに失敗した場合は、システム１０ ０は動作をＨＴｉＨし、単にアクセス不能のＭＨＤからの情報を要求するプロセ スに対してこれらＭＨＤがアクセスできないことを通知する。これらディスクが アプリケージシン必須ＭＨＤ　１３１及び１４１である場合は、システムはさら に、ブートストラップを試みてもこれはシステムに無忘味な回復の企てを反復し て送る結果となるため、自動ブートストラップが始動されることを阻止する。し かし、これらが必須ディスク１３２及び１４２である場合は、システムＩＱＱは 第４図のブロック４０１のシンプレックス　モードにとどまる。 システム１００がシンプレックス　モードにある間にプロセッサ１０１による他 のシステム必須ＭＨＤ　１４２へのアクセスも失敗する場合もある。このような 二重のディスク障害が発生すると、プロセンサ１０１はシステム必須ＭＨＤ１３ ２及び１４２の両方へのアクセスを失う、アクセスが失われたことを検出すると 、ディスク　ドライバはその失敗が単に過渡的な状態であるか否かを判定するた めにＭＨＤ１４２へのアクセスを再度法みる。ＭＨＤ１４２が本当にアクセスで きないことをｉ認すると、ディスクドライバは再びオペレーティング　システム の構成プロセスにこの状況を通知する。　ｆＩ構成プロセスＭＨＤ　１４２をサ ービスから外すことができるか否かを判定する。システム必須ＭＨＤ　１３２及 び１４２の二重障害が発生しているため、代替ＭＨＤ　１３２もアクセス不能で あり、構成プロセスはＭ）ＩＤ１４２をサービスから外すことができないと判定 する。この結果システム１００はディスク　リング　モードに入るが、これは、 システム１００の動作がシステム必須ディスクの重複ベアのいずれにもアクセス せずに“リンブ状態に１力）れること力）らりンプ　モードと呼ばれる。 ただし、システム１００は、この状態でも演算能力は低下するが動作を継続でき る。 システム１００がディスク　リン１　モードに入っている間に、構成プロセスは システム１００がシステム必須ＭＨＤ　１３２及び１４２の少なくとも１つへの アクセスを百度回復できるようシステム１００の再構成を試みる。ｔｉ構成プロ セス、第４図のプロ７り４０２に示されるように、最初にソフト　スイッチを要 求する。 ソフト　スイッチは活動状態のプロセッサ１０１から待機プロセンサ１０２にア プリケーション　プロセス及び進行中の入／出力妙作に影響を与えないように（ トランスバレントに）処理動作を移す、第７図にソフト　スイッチ　プロセスの 論理図が示される。 れるごとく、システム１００の構成が活動−待機状態にあるが否かを判定するた めにＭＡＳ１１４内のＥＣＤにアクセスする。この状態にない場合は、ＭＡＳ１ ２４は必ずしもＭＡＳ　１１４と一致するように更新されていない、従って、ソ フト　スイッチは遂行することができず、ソフト　スイッチ　プロセスは、ブロ ック７０２に示されるように構成プロセスに対してエラー　メツセージを発行す る。一方、システム１００の構成が活動−待機構成であるときは、ソフト　スイ ッチ　プロセスは、プロ７り７０３に７０４に示されるように、活動状態のプロ セッサ１０１の状態レジスタにアクセスして、その内部プロセッサの状態を判定 する。 活動プロセッサ１０１の内部プロセッサの状態を判定したら、保守チャネル１０ ４を使用して、ブロック７０５に示されるように、他方のプロセッサ１０２をそ の内部プロセッサの状態にセントする。活動プロセッサ１０１は、次に、ブロッ ク７０６に示されるように、保守チャネルに対して他方のプロセッサ１０２を始 動するように命令する。他方のプロセッサ１０２が前に活動状態にあったプロセ ッサ１０１が停止した点からシステムの通常の処理動作を変って遂行し、プロセ ッサ１０１は、ブロック７０７に示されるように、停止し、待機状態に入る。 ソフト　スイッチがプロセッサ１０２をプロセンサ１ｏ１と同一の内部伏憇にす るため、プロセッサ１０２はプロセッサ１０１が失敗したのと同一のディスク　 アクセスを試みる。これはプロセッサ１０２は、プロセッサ１０１によって使用 されたのとは異なるチャネル及び異なるＤＭＡＣを通じて同一のＭＨＤ、この例 では、ＭＨＤ１４２にアクセスすることを意味する。このアクセスが成功した場 合は、これはソフト　スイッチが他のプロセッサ１０１のアクセスを失敗させる 原因となったエラーを除去することに成功したことを意味する。従って、システ ム１００は第４図のブロック４０１のシンプレックス　モードの動作をとる。こ のモードにおいて、プロセッサ１０２はＭＨＤ１４２を使用してシステムの通常 の処理動作を継続する。 第４図において、ソフト　スイッチがプロセフす１０１によるＭＨＤ１４２への アクセスを失敗させる原因となったエラーを除去することに成功しなかったとき は、プロセッサ１０２によって同一のアクセスが試みられた場合、これも失敗す る。この失敗に応答して、ディスク　ドライバは他方の必須ＭＨＤ１３２及び関 連するＤＦＣＬ　３５がアクセスの可能性も含めて使用できるか否かをチェック する。サービスから外されているとマークされている場合でも、これらがアクセ ス可能であり、電源が切られてない限り、これらが障害を持たない場合、あるい はこれらの少なくとも片方の回復が行なわれ、これが成功している場合は、使用 可能であるとみなされる。 ＭＨＤ１３２及びＤＦＣＬ３５が使用可能でないと判定された場合は、構成プロ セスがその旨の通知を受け、構成プロセスはこの通知に応答して、システム１０ ０がブロック４０５のフル　ディスク　リング　モードの動作にあることを示す 標識をＥＣＤ内にセントする。 Ｍ）（Ｄ　１３２及びＤＦＣ，１３５が使用可能であると判定された場合は、シ ステム１００はＭＨＤ１３２を使用して動作できる。 しかし、ＭＨＤ１３２はサービスから外されているとマークされているため、こ れはＭＡＳ　１１４及び１２４からのＭ）ＩＤ１４２と同一の情報によって更新 されていないことがわかる。従って、ＭＨＤ１３２を使用する前にＭＡＳ１２４ の内容をＭＨＤ　１３２の内容と一致させることが必要である。これを達成する には、ブロック４０３に示されるように、ＭＡＳ　１２４をＭＨＤ　１３２から 自動プートする。この自動ブートストラップはＭＡＳ　１２４内に格納されるプ ロセスのバージロンをＭＨＤ　１３２内に存在するプロセスのコピーと置換する ことからなる。しかし、プロセスのＥＤＣ及び堡謹アプリケーション　セグメン ト（ＰＡＳ）はＭＡＳ　１２４内に保管される。ＰＡＳはプロセスに割り当てら れたメモリのセグメントであり、通常、プロセスはこの中にそのプロセスの回復 に欠くことのできない情報を保管する。 自動ブートストラップに続いて、システム１００は、ブロック４０１のシンプレ ックス　モードの動作をとる。このモードにおいて、プロセフ＋１０２はＭｌ（ Ｄ　ｌ　３２を使用して通常のシステム処理動作を継続する。システム１００は このシンプレックスモードから、第６図との関連で前述した方法にてプロ、り４ ００の二重モードに復帰することが可能である。 一方、ソフト　スイッチが成功しなかった場合は、最初にＭＨＤ　１３２及びＤ ＦＣ１３５が使用可能であるかをチェックする代わりに、システム１００は後述 するフル　ディスク　リングモードに直接に入る。 上述したごとく、ソフト　スイッチはシステム１００が活動−待機構成にあると きにのみ可能であり、システム１００が他の構成にあるときは、ソフト　スイッ チ　プロセスに呼を送ると、構成プロセスにエラー　メソセージが返信さ−れる 。ディスク　ドライバはエラーの通知を受けると、上述の方法にて、他方のシス テム必須ＭＨＤ１３２及びＤＦＣ１３５が使用可能であるかチェックする。ＭＨ Ｄ１３２及びその１）ＦＣ１３５が使用可能であると判定された場合は、システ ム１００はＭＨＤ１３２を使用して動作できる。しかし、上述の理由によって、 ブロック４０３によって示されるように、ＭＡＳ１１４をＭ）ＩＩ）１３２から 自動的にブートすることが必要である。この自動ブートストラップの後、システ ム１００はブロック４０１のシンプレ７クス動作に戻る。このモードにおいて、 プロセッサ１０１はＭＨＤ１３２を使用して通常のシステム処理動作を継続する 。ここでも、システム１００は、第６図と関連して前述した方法に従ってシンプ レ７クス　モードから二重モードに復帰することができる。 一方、ソフト　スイッチが許されない場合は、システム１００は、最初にＭＨＤ 　１３２及びＤＦＣ１３５が使用可能であるかチェックする代わりに、後述する 暫定ディスク　リング　モードに入る。 ソフト　スイッチが許されず、またＭＨＤ　１３２及びＤＦＣ１３５がチェック された結果、使用できないと判定された場合は、システム１００は、暫定ディス ク　リンズ　モードの動作に入る。 ディスク　リング　モードの場合と同様に、暫定ディスク　リング　モードにお いて、システム１００はそれ自体をシステム必須ＭＨＤ１３２及び１４２の少な くとも片方へのアクセスを回復できるように再構成する。暫定ディスク　リング 　モードにおいては、システム１００の構成は′８２図の活動７００Ｓ状態とな る。 これ以外の場合は、第４図のブロック４０２において、ソフトスイッチが許され る。従って、システム動作をプロセッサ１０１からプロセッサ１０２に移すため に、システム構成プロセスは請求する。このハード　スイッチはシステム１００ を第２図の活動／○Ｏ８状態の構成からｏＯ８／活動状態の構成にする。第８図 にハード　スイッチ　プロセスが論理図にて示される。 第８図のブロック８００において、ハード　スイッチ命令を受信すると、ハード 　スイッチ　プロセスはＭＡＳ　１１４内のＥＣＤにアクセスすることによって 、ブロック８０１によって示されるごとく、プロセ、す１０２が失敗したとマー クされているか否かを判定する。失敗したとマークされている場合は、処理動作 をプロセッサ１０２に切り替えすることはできず、ハード　スイッチ　プロセス はブロック８０２に示されるように構成プロセスにエラー　メツセージを発行す る。構成プロセスはこれに応答・して、ＥＣＤ内にシステム１（ＩＱがプロ７り ４０５のフル　ディスク　リンズ　モードの動作であることを示すＩａ識をセッ トする。 しかし、プロセフす１０２が失敗したとマークされていない場合は、ハード　ス イッチ　プロセスは保守チャネル１０４に、ブロック８０３に示されるように、 他方のプロセッサ１０２上にＭＲＦを呼び出す、ハード　スイッチ　プロセッサ は、次にブロック８０４において示されるように、活動状態のプロセッサ１０１ を（亭止する。 プロセッサ１０２によって保守リセット信号が受信されると、ブロック８０５に おいて、Ｍ　ＲＦシーケンスがプロセッサ１０２上で実行を開始される。ＭＲＦ シーケンスは、ブロック８０６に示されるごとく、呼び出されたプロセッサ１０ ２を初期化する。 ＭＲＦシーケンスも、プロ７り８０７に示されるように、プロセスが実行される 前に該当する標ｔΔをセットするなどして全てのプロセスを初期化する。ＭＲＦ シーケンスの実行の頂点として、ブロック８０８に示されるようにＭＲＦが呼び 出されたプロセッサ１０２によるプロセスの実行が開始される。現在活動状態の プロセッサ１０２上で実行されることにより、ハード　スイッチ　プロセスはＭ ＡＳ　１２４のＥＣＤに入り、ブロック８０９に示されるごとく、ここに現在の システム構成、つまり、現在非活動状態のプロセッサ１０１をサービスから外さ れたものとしてマークする情報を格納する。現在活動状態のプロセッサ１２０は 次に、プ続し、プロセスの実行を初期化によって示される点から再開する。 通常のシステム処理動作が再開されると、プロセッサＩＱ２はシステム必須ディ スク　アクセスを企てる結果となる。ＭＨＤ１３２はまだＥＣＤ内でサービスか ら外されているとマークされているため、ディスク　アクセスはここでもＭＨＤ １４２に向けて行なわれる。ただし、これはプロセッサ１０１によって使用され たのとは異なるチャネルを通して、また異なるＤ　Ｍ　Ａ　Ｃを使用して行なわ れる。アクセスが成功した場合は、これはハード　スイッチが他方のプロセッサ １０１によるアクセスを失敗させる原因となったエラーを除去することに成功し たことを示す、システム１００は、従って、１４１ｉＵのブロック４０１のシン プレックスモードの動作を再開する。このモードにおいて、プロセッサ１０２は ＭＨＤ１４２を使用して通常のシステム処理動作を継続する。 ハード　スイッチがプロセッサ１０１によるＭＨＤ　１４２へのアクセスを失敗 させる原因とｔったエラーを除去できなかったときは、プロセッサ１０２による ＭＨＤ１４２へのアクセスの試みも失敗に終わる。構成プロセスはこの失敗を通 知されると、これに応答してＥＤＣ内にシステム１００が第４図のブロック４０ ５前述したごとく、システム１００は、ソフト　スイッチあるいはハード　スイ ッチがシステム必須ＭＨＤへのアクセスを回復することに失敗した場合、あるい はソフト　スイッチあるいはハード　スイッチが許されない場合にフル　ディス ク　リン１　モードの動作に入る。−万、システム１００は重複システム必須デ ィスクは書が発生した場合は、必ずしもディスク　リン１　モード及び暫定ディ スク　リン１　モードを経ることなく、ブロック４０１のシンプレックス　モー ドから直接にフル　ディスク　リン１　モードに入る。 フル　ディスク　リンズ　モードにおいては、プロセッサ１０１あるいは１０２ からシンブレ７クス必須ＭＨＤ　１３２あるいは１４２にアクセスすることは不 可能、゛あるいは許されない。 通常のシステム動作を回復するには黛害の発生した装置を修理し、手操作による ブートストラップを行なうことが必要である。しかし、システム１００は、減速 されたレベルの演算能力で動作を継続する。 第９図にシステム１００によってフル　ディスク　リンズ　モードに遷移される ステップが論理的に図示される。前述したごとく、プロ、り９００において、フ ル　ディスク　リン１　モードに入ったことを通知されると、構成プロセスは、 ブロック９０１に示されるように、ＥＣ，Ｄ内にフル　ディスク　リンズ　モー ド１ｍをセットする。これに応答して、ブロック９０２に示されるように、シス テふ管理者がフル　ディスク　リンズ　モードに入ったことを通知される。同様 に、ブロック９０３に示されるようンプ　モードに入っていることを通知されて おり、このようなメプロセス　マネージャ及びディスク　ドライバもフル　ディ スプロセスを終結、つまり破壊する。プロセッサ１０１あるいはブロック９０ａ に示されるように、そのプロセスがシステム必須ディスク　アクセス要求し、失 敗することを防止するために、シ通知する。 装置修理モードの動作に入る。このモードにおいては、システム１００はブロッ ク４０５のフル　ディスク　リン１　モードにて動作するが、これに加えて、シ ステム　サービス要員はシステム１００を呼び出して、必須プロセスの中に含ま れるユティリティプロセスを実行して、どのシステム装置が障害を起こしたかの 判定、障害の性格の判定、及び修理の効果のチェックを行なうことも片方へのア クセスが可能になると、システムの回復が開始される。システム１００に手操作 によるブート命令が与えられ、システム１００が第り図のブロック４０７のディ スク回復モードに入れられる。第１０図にディスク　回復モードにおけるシステ ムの動作が図示される。主メモリ内の非必須プロセスが破壊されており、処理が システム必須ＭＨＤ　１３２および１４２の更新を行なうことな（継続されたた め、主メモリの内容とシステム必須ディスクの内容は互いに一致しない、従って 、ディスク回復モードにおいては、システム１００はテープ　サブシステム１５ ９あるいは１６９から再初期化を行なうことが必要である。テープ　サブム必須 ディスク及び主メモリにロードすることが必要である。システム管理者によって 手操作ブート命令の一部として、システム定される。この命令に対する応答の一 部として、ブロック１００れ、回復されたＭＨＤ１３２にテープ１５１からの情 報のコピーが再ロードされ、こうして、ＭＨＤ　１３２が再初期化される０次に 、ブロック１００３によって示されるごとく、ＭＡＳ　１１４及び１２４が新た に初期化されたＭＨＤ　１３２からブートストラップされる。全ての情報の新た なコピーがＭＨＤ１３２から主メモリにスワップされる。ＭＡＳ１１４及び１２ ４内のＥＣＤ及びＰＡＳは保管されない０ＭＡＳ１１４及び１２４のブートスト ランプの一部として、ＥＣＤ内のフル　ディスク　リン１　モードであることを 示す標１へが解除される。これは応答して、システムは第４図のブロック４０１ のシンブレ７クス　モードの動作をとる０回復されたＭＨＤ１３２が、第１０図 のブロック１００４によって示されるごとく、ＥＣＤ内においてサービス中であ るとマークされる。システムは次に、ブロック１００５によって示されるごと（ 、シンプレックス　モードにて処理動作を継続する。このモードから第６図と関 連して既に説明の方法に従ってブロック４００全二重モードに入る。 各々のセットを前述の方法にてシステムに処理されることもできる。また、補助 メモリ　サブシステムは必ずしもディスク　サブシステムである必要はなく、他 のメモリ　サブシステム例えば、ドラム或はテープを使用して実現することもで きる。同様に個々の複製された必須補助記憶装置は必ずしも専用チャネル、つま り専用ＤＭＡＣを介してプロセッサに接続する必要はなく、これら記ｔ！！装置 Ｏ共通のＤＭＡＣにて接続することも可能である。さらに１本発明を具現する処 理システムは必ずしもシュアル処理システムである必要はなく、単一プロセッサ 或は多重プロセッサ　システムであってもよい、また１本発明を具現する処理シ ステム内の個々のプロセッサは必ずしも専用の主記憶装置を持つ必要はなく、プ ロセッサに単一の主記憶装置を共用させることもできる。 これら変更及び修正は本発明の精神及び範囲から逸脱することなく、又、本発明 によって得られる利益を軽減することなく実現できるものである。従って、これ ら変更及び修正も以下の請求の範囲に網羅されるものと解釈されるべきである。 Ｉｆ（Ｆ、　２ ソ７トスイ−７す 乙に４ んτ５　Ｆｌ６．　（ｐ ＦＩ６：７　Ｆｌに、ｅ！！ んで夕　Ｆｌ６．　ｊ０ 国際調−Ｆ餠失 、＾コＣトロ＝：（：口？−Ｌｒ）「：＝＝；（２１λ：＝Ｓ；−二Ｓ＝メース ：３ｉ’ＬＥ？ｃ：（ＴＯ？１τ５龜　加ｒｏｐａａｎ　？ＩＬ：ａｎＥ　Ｃ− ｆｉｃａ　ｉｓ　ｉｒ＋　＝ｏ　ｈ＆７　’−二ムｂＬ＠　！Ｏｒ　ｔ５ａｓ＊ ｐａｒｔｉｃｕｌａｒｓ　ｙｈｉｃ？、　ａｒｍ　ｅ＊：＊Ｌｙ　ｇｉｖａｎ　 ？口ｒ　Ｑ＊　ｐ＊ｑｏ＊ａ　ｏ！Ｌｎ？ｏｒｍａセｉｏｒ、。

Claims (9)

【特許請求の範囲】
1. １．各々が処理システムによって使用される指定の情報を含む情報の複製を格納 するための複数の補助記憶装置、該情報の選択された部分を格納するための主記 憶装置、及び該情報の部分を該主記憶装置と該補助記憶装置の間で伝送するため の装置を含む処理システムにおける。 該主記憶装置と該複数の補助記憶装置の間の該情報の伝送に障害が発生した場合 に少なくとも幾つかのシステム処理能力が失われるのを保護する方法であって、 該方法が：該主記憶装置と少なくとも１つを除く該複数の補助記憶装置との間の 該情報の伝送機能に障害が発生したことを検出するステップ； 該検出に応答して指定の全ての情報を該主記世装置に格約するステップ；及び 該指定の情報が該主記憶装置から伝送されるのを停止するステップを含む； これによって該主記憶装置と該複数の補助記憶装置の間の情報の伝送機能に障害 が発生したときに該指定された情報が該処理システムによって使用できるように 該主記憶装置内にとどまることが確保されることを特徴とする方法。
2. ２．請求の範囲第１項に記載の方法において、該指定の全ての情報を該主記憶装 置に格納する該ステップが：該主記憶装置に格約されていない指定の情報を該少 なくとも１つの補助記憶装置から該主記憶装置に伝送するステップを含むことを 特徴とする方法。
3. ３．請求の範囲第１項に記載の方法において、更に故主記憶装置と該少なくとも ２個の補助記憶装置との間の情報伝送機能が回復されたことを検出するステップ ；及び該検出に応答して該指定の情報を該主記憶装置から伝送できるようにする ステップが含まれることを特徴とする方法。
4. ４．請求の範囲第１項に記載の方法において、更に該主記憶装置と全ての該補助 記憶装置の間の情報伝送機能が失われたことを検出するステップ；及び 該検出に応答してシステムの動作を指定された情報の使用だけに制限するステッ プが含まれることを特徴とする方法。
5. ５．請求の範囲第４項に記載の方法において、更に該主記憶装置と少なくとも１ つの補助記憶装置の間の情報伝送機能が回復されたことを検出するステップ；及 び該検出に応答してシステム動作の制限を解除し、一方、該指定の情報が該主記 憶装置から伝送されるのを防止するステップが含まれることを特徴とする方法。
6. ６．請求の範囲第５項に記載の方法において、更に故主記憶装置と少なくとも２ つの該補助記憶装置の間の情報伝送機能が回復されたことを検出するステップ； 及び該検出に応答して該指定の情報を該主記憶装置から伝送でさるようにするス テップが含まれることを特徴とする方法。
7. ７．ディスク記憶装置へのアクセスの喪失に耐えられる処理システムにおいて、 該システムが： 各々が該処理システムによって使用されるシステム動作に必須であると指定され るプロセスを含むプロセスを格約するのに使用される１対のディスク記憶装置； 選択されたプロセスを格納するのに使用される主記憶装置；該主記憶装置と該デ ィスク記憶装置の間でプロセスを伝送するための伝送装置； 該伝送装置と協力して該主記憶装置とディスク記憶装置の間のプロセスの伝送機 能の喪失を検出するための装置；選択されたプロセスをそれらが該主記憶装置か ら伝送されないように該主記憶装置内にロックするための装置；及び該伝送機能 喪失検出装置に応等して、該主記世装置と１つの該ディスク記憶装置との間のプ ロセス伝送機能の喪失が検出されたとき、該伝送装置に該主記憶装置に格納され ていない指定プロセスを該主記憶装置内に伝送させ、また該ロック装置に指定プ ロセスを該主記憶装置内にロックさせる制御装置を含み、これによって該主記世 装置畳と該両方のディスク記憶装置との間のプロセス伝送機能が喪失されたとき でも該指定プロセスが故主記憶装置内にとどめられ該処理システムが処理を継続 できるようにされることを特徴とする処理システム。
8. ８．請求の範囲第７項に記載の処理システムにおいて、更に該主記憶装置と１つ のディスク記憶装置との間のプロセス伝送機能が回復されたことを検出するため の装置が含まれ；そして該制御装置がさらに該伝送機能回復検出装置に応答して 、該主記憶装置と該両方のディスク記憶装置との間のプロセス伝送機能の回復が 検出されたとさ、ロック装置に該主記憶装置内の該指定プロセスが該主記憶装置 から伝送できるようにロックを解除させる制御装置を含むことを特徴とする処理 システム。
9. ９．請求の範囲第８項に記載の処理システムにおいて、更に該制御装置が該回復 検出装置に応答して、該主記憶装置と該両方のディスク記憶装置との間のプロセ ス伝送機能の回復が検出されたとき、該伝送装置に該ディスク記憶装置の片方に 格納された該プロセスを該ディスク記憶装置の他方にコピーさせる装置を含むこ とを特徴とする処理システム。