WO2002065289A1 - Automatische inbetriebnahme eines clustersystems nach einem heilbaren fehler - Google Patents

Automatische inbetriebnahme eines clustersystems nach einem heilbaren fehler Download PDF

Info

Publication number
WO2002065289A1
WO2002065289A1 PCT/EP2002/000657 EP0200657W WO02065289A1 WO 2002065289 A1 WO2002065289 A1 WO 2002065289A1 EP 0200657 W EP0200657 W EP 0200657W WO 02065289 A1 WO02065289 A1 WO 02065289A1
Authority
WO
WIPO (PCT)
Prior art keywords
cluster
error
nodes
node
active
Prior art date
Application number
PCT/EP2002/000657
Other languages
English (en)
French (fr)
Inventor
Dietmar Krauss
Jürgen Bragulla
Original Assignee
Siemens Aktiengesellschaft
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens Aktiengesellschaft filed Critical Siemens Aktiengesellschaft
Priority to US10/433,941 priority Critical patent/US7373542B2/en
Priority to EP02702300A priority patent/EP1358554B1/de
Priority to DE50202840T priority patent/DE50202840D1/de
Priority to BR0206138-4A priority patent/BR0206138A/pt
Publication of WO2002065289A1 publication Critical patent/WO2002065289A1/de

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0793—Remedial or corrective actions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0709—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in a distributed system consisting of a plurality of standalone computer nodes, e.g. clusters, client-server systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G06F11/0781—Error filtering or prioritizing based on a policy defined by the user or on a policy defined by a hardware/software module, e.g. according to a severity level
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1415—Saving, restoring, recovering or retrying at system level
    • G06F11/1438—Restarting or rejuvenating
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant

Definitions

  • the invention relates to a method for starting up a cluster after an error, comprising a plurality of nodes, in which one node takes over the jobs of another node (12) in the event of an error.
  • the invention is in the field of high availability systems, and in particular in ensuring an automatic transition to an error-free operating state of the cluster after a defective node has started up.
  • US 5708776 shows a method for automatically restoring the state before
  • a first and a second reboot partition are made available. If booting from the first reboot partition proves unsuccessful, the system is booted from the second partition.
  • a monitoring processor executes the software for automatic recovery, after which an error in an operating system software or an application software has been covered.
  • this publication does not contain any information on the commissioning of a cluster system after a reboot. Putting a cluster back into operation means taking into account significantly more and more complex interdependencies between the individual nodes, which is generally controlled by a cluster controller.
  • cluster systems are used for this.
  • Systems of various types are summarized under this term, in which several, each autonomous machines are networked with redundant resources and are controlled by a cluster controller in their use.
  • active-passive and active-active cluster architectures A distinction is made between active-passive and active-active cluster architectures.
  • the active-passive clusters pairs of machines or servers are formed, virtually, with one server being active and offering the respective service or executing the respective software. If there is no error, the other server always runs in stand-by or passive mode. Only when an error is noticed on the active server does it take on its jobs. The passive server runs in stand-by mode without a task and jumps in as quickly as possible in the event of an error.
  • each server within the cluster takes on a task and both work actively in parallel.
  • the intact server takes over all tasks of the defective server in the event of an error.
  • a better load distribution can be achieved with the active-active concept than with the active-passive architecture.
  • a still functional server takes over the jobs of the defective server in the event of an error in cluster systems. This process is called fail-over.
  • the external storage system must also be adapted to the cluster system for highly available systems.
  • data can be stored redundantly on distributed memories in order to increase the security of the system.
  • the so-called RAID-1 system Redundant Array of Inexpensive Disks " uses a redundancy concept that is based on mirroring data records.
  • JP 14 87 04 A2 shows a method for maintaining the operation of a cluster, in which an error in a memory area of the cluster has been detected.
  • a system controller which is set up on each node, informs about an error and forwards this error message to a central location so that this defective node can be prevented from becoming a Downtime of the cluster leads.
  • the cluster must be started up manually after a reboot.
  • the solution of the task according to the main claim consists in particular in that the cluster can return to its operating state automatically and automatically after a curable fault in a node of the cluster that has led to a reboot.
  • the method is implemented with an EWSD system to which a SUN cluster is connected.
  • EWSD electronic dialing system, gital
  • EWSD is a public, digital switching system in which over 200 million ports have already been set up in various countries.
  • a geographically remote telephone network is monitored for errors with a central monitoring device. If there is a remediable error that was triggered, for example, by a software error or by an interruption in the power supply (these errors are classified as temporary errors that should be remedied by an automated process), then the telephone network can be carried out according to the invention from a central location - can be put back into operation without manual intervention on site.
  • the automated commissioning of a cluster system after a reboot results in significantly improved downtimes of the software used, particularly in the area of applications for network operators and service providers.
  • the method is used for automatic commissioning of a SUN cluster system 2.x.
  • a particularly advantageous embodiment of the invention relates to an active-passive cluster system which, for example, consists of one or more pairs of servers, a server performing a specific task which is assigned to it.
  • the other machine is in stand-by
  • the "Solaris" environment is used as the operating system.
  • the invention is to be seen in particular in the fact that an automatic and, above all, dynamic generation of a commissioning strategy for the cluster takes place - depending on the analysis of the previous error which led to the server being reset -.
  • Fig. 1 is a schematic representation of a cluster system
  • FIG. 2 shows a flowchart for carrying out the change of state according to a preferred embodiment of the invention.
  • a conventional cluster architecture - as is known in the prior art - is shown below with reference to FIG. 1.
  • the method is implemented for a cluster 10 that supports high-availability applications.
  • it is an active stand-by cluster.
  • These usually include a pair of ser- vern, which are also called knots here.
  • a first node 12 is defined as the primary server, to which certain jobs are assigned.
  • a second node 14 is defined as a stand-by server.
  • the first node 12 has an error and is therefore also referred to as a defective node, while the second node 14 is the intact node. It is of course also within the scope of the invention that the second node 14 fails and is taken into account as a defective node.
  • the second node 14 serves to take over its jobs and then no longer act as a standby server but as a new primary server.
  • the "down-time" of the system can be minimized.
  • the two nodes 12, 14 are coupled to one another via a high-speed interface, which is characterized by the connecting lines between the two servers 12, 14 in FIG. 1.
  • the planned and unplanned downtimes of the system can be further minimized by the cluster 10 being subjected to a reboot operation after a serious error and then being put back into operation automatically or subsequently.
  • the steps according to the invention are described below. The method is used in cases where the cluster system has to be restarted due to a software error or due to a central power failure.
  • the first and second nodes 12 and 14 are subjected to an analysis, which in particular reads the lifetime of both nodes and takes them into account in the further processing.
  • the so-called uptime of the first node 12 is compared with the uptime of the second node 14. If both times match up to a predetermined tolerance value (which defines the deviation tolerance), then it can be indirectly concluded that it must have been a central power failure that caused the system to be rebooted.
  • the tolerance value can be determined by entering a threshold value. This can vary depending on the system and application. Otherwise, for example, if it is detected that the first node 12 has been alive for several days, while the second node 14 was only active in the range of minutes, then it cannot have been a matter of a central interruption in the voltage supply.
  • two error classes 16 are determined.
  • a first error class 16-1 includes the cases in which the process for starting up the cluster is to be triggered automatically.
  • a second error class 16-2 includes the cases in which a further analysis of the error is to take place and the method is continued manually.
  • the first error class 16-1 is defined by the parameters "software error” and / or
  • central power failure This means that the system automatically analyzes the state of the system or the cause of the reboot due to the error, in particular by examining the uptimes of nodes 12, 14 and the result of software error detection.
  • the error is classified in the first error class 16-1. It is assumed here that this is only a temporary error, which can be remedied by rebooting and resuming the faulty node in the cluster. Therefore, automated commissioning can take place in these cases. In all other cases, the error is classified in the second error class 16-2. Here it is assumed that this is a serious error that cannot be remedied by a reboot. Examples include the cases a hardware error or a serious combined hardware and software error.
  • the error classes 16 With the determination of the error classes 16 by the administrator, it can be dynamically set in which cases the cluster 10 should be started up automatically and in which cases not.
  • the start-up sequence of the cluster 10 can be dynamically adapted to the respective system after an error, for example by assigning certain errors to a special error class that requires separate startup, since the defective node is automatically repeated in the Cluster 10 consequential errors would arise.
  • the second error class 16-2 can alternatively include cases in which an automatic but time-delayed start-up is also to take place, for example in order to be able to carry out further error analyzes. However, it can also be specified for the second error class 16-2 that manual commissioning must always take place in these cases.
  • the two nodes 12, 14 are introduced into the cluster 10 in a coordinated manner after the reboot.
  • the error-class-controlled procedure enables dynamic startup of the cluster (10) depending on the current error status.
  • boot program or boot block program and the commissioning method can advantageously be interleaved. This means that booting does not necessarily have to be completely completed before individual steps of the cluster start-up are triggered.
  • the Solaris operating system environment is very well suited for use in highly available cluster systems, since it enables efficient communication with the underlying hardware layer and also supports monitoring functions and is therefore part of the preferred embodiment of the system according to the invention.
  • a Solaris 2.x system can be booted in various so-called run levels.
  • the run level indicates the operating mode of the computer and defines the state and the services it provides. A distinction is made here in particular between eight run levels. No UNIX is running in runlevel 0 (also called monitor mode), while in runlevel 1 the UNIX kernel is already activated. Runlevel 3 (also called Multi User Mode) describes the state in which the
  • the following steps are carried out in particular: After the first node 12 has been added to the cluster 10 (for example using the "scadmin startcluster” command) it must be checked whether this step could also be carried out successfully (for example using the "hastat” command). The second node 14 must then be added to the cluster 10 with another command (for example with the "scadmin startnode” command) in order to then check this step again for errors (command "hastat"). After successfully integrating both nodes 12, 14 into cluster 10, the latter can be started. The services or applications that are to be controlled by the cluster controller must be registered.
  • the individual servers or nodes 12, 14 of the cluster 10 are preferably in data exchange with one another via a so-called private link connection. This connection is therefore designed redundantly in order to be able to control failures of the nodes 12, 14.
  • the method is expanded in that further analyzes are carried out in the case of an error assigned to error class 16-2, in which therefore no immediate automatic commissioning cycle is to be initiated. Due to the automatic acquisition of further parameters, which allow conclusions to be drawn about the type of error, an automatic commissioning may make sense at a later point in time or the process is otherwise ended.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Hardware Redundancy (AREA)
  • Stored Programmes (AREA)
  • Retry When Errors Occur (AREA)

Abstract

Die Erfindung betrifft ein Verfahren zur automatischen Inbetriebnahme eines Clusters (10) nachdem ein Fehler in einem Knoten (12, 14) des Clusters (10) aufgetreten ist, der zu einem Reboot des Knotens (12, 14) geführt hat. Dabei wird automatisch erkannt, ob es sich um einen behebbaren Fehler handelt, bei dem der Cluster (10) automatisch gestartet werden kann. Mit diesem Verfahren kann der Cluster (10) nach einem Fehler selbständig in seinen Betriebszustand zurückkehren und kann dadurch die Ausfallzeit des Systems minimieren.

Description

Beschreibung
Automatische Inbetriebnahme eines Clustersystems nach einem heilbaren Fehler
Die Erfindung betrifft ein Verfahren zur Inbetriebnahme eines Clusters nach einem Fehler, bestehend aus mehreren Knoten, bei denen im Fehlerfall jeweils ein Knoten die Jobs eines weiteren Knotens (12) übernimmt.
Die Erfindung liegt auf dem Gebiet der Hochverfügbarkeitssysteme, und insbesondere darin, einen automatischen Übergang in einen fehlerfreien Betriebszustand des Clusters nach einem Hochlauf eines defekten Knotens zu gewährleisten.
Grundsätzlich gibt es verschiedenste Fehlerquellen, die dazu führen, daß eine Maschine oder ein System von Rechnern neu gestartet werden muß, da sich der Fehler als so hartnäckig erweist, daß dies die einzige Möglichkeit darstellt, ihn zu beheben. Ein solcher Reset eines Systems setzt üblicherweise den Einsatz von manuellen Befehlen voraus. Berücksichtigt man die Zeit, die benötigt wird, ein System manuell, insbesondere durch interaktive Eingaben zu starten, so wird deutlich, daß dies bei Systemen die eine hohe Verfügbarkeit erfordern, nicht tragbar ist.
Deshalb gab es bisher Bestrebungen, einen Restart eines Systems zu automatisieren. So zeigt die US 5708776 ein Verfahren zur automatischen Wiederherstellung des Zustandes vor dem
Fehler für Netzwerk Anwendungen. Dazu werden eine erste und eine zweite Reboot Partition zur Verfügung gestellt. Erweist sich das Booten von der ersten Reboot Partition als nicht erfolgreich, wird das System von der zweiten Partition geboo- tet. Ein Überwachungsprozessor führt die Software für das automatische Recovery aus, nach dem ein Fehler in einer Betriebssystem-Software oder einer Applikationssoftware ent- deckt worden ist. Diese Druckschrift enthält jedoch keine Hinweise auf die Inbetriebnahme eines Clustersystems nach einem Reboot. Ein Cluster wieder in Betrieb zu nehmen bedeutet, wesentlich mehr und komplexere Interdependenzen der einzelnen Knoten zu berücksichtigen, was im allgemeinen durch einen Cluster Controller gesteuert wird.
Für Systeme, die eine maximale Verfügbarkeit voraussetzen, wie beispielsweise Carrier-Grade-Systeme auf dem Gebiet der Telekommunikation oder Systeme im Kranken- oder Finanzwesen, sind hochverfügbare Rechnerarchitekturen eingeführt worden, die eine maximale Ausfallsicherheit gewährleisten sollen. Die auszuführenden Tasks sollen dabei rund um die Uhr und ohne Unterbrechung ausgeführt werden können.
Dazu werden insbesondere Clustersysteme eingesetzt. Unter diesem Begriff sind Systeme verschiedener Art zusammengefaßt, bei denen mehrere, jeweils autonome Maschinen mit redundanten Ressourcen vernetzt sind und von einem Cluster-Controller in ihrem Einsatz gesteuert werden.
Man unterscheidet zwischen Aktiv-Passiv und Aktiv-Aktiv Clusterarchitekturen. Bei den aktiv-passiven Clustern, sind - virtuell - jeweils Paare von Maschinen bzw. Servern gebildet, wobei ein Server aktiv ist und den jeweiligen Dienst anbietet oder die jeweilige Software ausführt. Findet dabei kein Fehler statt, so läuft der andere Server grundsätzlich im Stand- By- oder Passiv-Modus. Erst wenn ein Fehler bei dem aktiven Server bemerkt wird, übernimmt dieser dessen Jobs. Der passi- ve Server läuft dabei ohne Aufgabe im Stand-By-Betrieb und springt im Fehlerfall möglichst schnell ein.
Bei Aktiv-Aktiv-Clustern übernimmt jeder Server innerhalb des Clusters eine Aufgabe und beide arbeiten parallel aktiv. Je nach Systemkonfiguration übernimmt im Fehlerfall der intakte Server alle Aufgaben des defekten Servers. Mit dem Aktiv- Aktiv-Konzept kann eine bessere Lastverteilung als bei der Aktiv-Passiv-Architektur erzielt werden. Unabhängig von der jeweiligen Architektur übernimmt bei Clustersystemen ein noch funktionsfähiger Server im Fehlerfall die Jobs des defekten Servers. Dieser Vorgang wird als Fail-Over bezeichnet.
Neben der Rechnerhardware muß für hochverfügbare Systeme auch noch das externe Speichersystem an das Clustersystem angepaßt sein. Beispielsweise können Daten redundant auf verteilten Speichern abgelegt werden, um die Sicherheit des Systems zu erhöhen. So verwendet das sogenannte RAID-1-System (Redundant Array of Inexpensive Disks") ein Redundanzkonzept, das auf einer Spiegelung von Datensätzen basiert.
Wesentlich bei allen Clustersystemen ist, daß sie auf einer "intelligenten" Steuerung, Koordination und Kommunikation zwischen den einzelnen Clusterrechnern basieren. Es muß beispielsweise festgelegt sein, welche Übergabeprotokolle Verwendung finden, wie die einzelnen aufzuteilenden Prozesse miteinander kommunizieren oder nach welchen Kriterien das Fail-Over gesteuert wird. Ein wesentlicher Punkt ist ferner, daß die Integrität des Clusters erhalten bleibt. So muß gewährleistet sein, daß auch nach einem Reboot des Systems konsistente Datensätze auf allen Knoten vorhanden sind.
Tritt bei einem Clustersystem nun ein zwar behebbarer aber dennoch so schwerwiegender Fehler auf, daß ein Knoten neu gebootet werden muß, so war es bisher nach dem Reboot des Knotens erforderlich, den Cluster durch manuelle Eingabe von Befehlen in Betrieb zu nehmen.
Die JP 14 87 04 A2 zeigt in diesem Zusammenhang ein Verfahren zur Aufrechterhaltung des Betriebs eines Clusters, bei dem ein Fehler in einem Speicherbereich des Clusters erkannt worden ist. Dabei informiert ein Systemcontroller, der auf jedem Knoten eingerichtet ist über einen Fehler und leitet diese Fehlermeldung an eine zentrale Stelle weiter, damit verhindert werden kann, daß dieser fehlerhafte Knoten zu einer Downtime des Clusters führt. Es wird allerdings kein Hinweis darauf gegeben, wie ein Cluster nach einem Reboot aufgrund von unterschiedlichsten Fehlern wieder automatisch in Betrieb genommen werden kann. Auch hier ist eine manuelle Inbetrieb- nähme des Clusters nach einem Reboot erforderlich.
Dieses manuelle Vorgehen ist jedoch bei Hochverfügbarkeis- clustern aufgrund der dadurch erhöhten Ausfallzeiten nicht vertretbar.
Die vorliegende Erfindung hat sich deshalb zur Aufgabe gestellt ein Verfahren zur Verfügung zu stellen, das eine automatische, zeitoptimierte Inbetriebnahme eines Clustersystems, insbesondere eines Stand-By-Clusters, ermöglicht, nachdem ein Reboot eines defekten Knotens aufgrund eines heilbaren Fehlers erfolgte.
Diese Aufgabe wird durch das eingangs erläuterte Verfahren mit folgenden Schritten gelöst: - Bestimmung von mindestens einer ersten und einer zweiten Fehlerklasse,
- Analyse des Fehlers, der zu einem Reboot des ersten Knotens führte
- Klassifikation des Fehlers in eine der Fehlerklassen - automatische Inbetriebnahme des Clusters mit den Knoten, falls der Fehler in die erste Fehlerklasse klassifiziert worden ist.
Die Lösung der Aufgabe gemäß Hauptanspruch besteht insbeson- dere darin, daß der Cluster nach einem heilbaren Fehler in einem Knoten des Clusters, der zu einem Reboot geführt hat, selbständig und automatisch in seinen Betriebszustand zurückkehren kann.
In einer bevorzugten Ausführungsform der Erfindung wird das Verfahren mit einem EWSD-System realisiert, an das ein SUN- Cluster angebunden wird. EWSD (Elektronisches Wählsystem, di- gital) ist ein öffentliches, digitales Vermittlungssystem, bei dem bereits über 200 Mio. Ports in verschiedenen Staaten eingerichtet worden sind.
In diesem Ausführungsbeispiel wird ein geographisch entfernt eingerichtetes Telefonnetz mit einer zentralen Überwachungseinrichtung auf Fehler überwacht. Liegt ein behebbarer Fehler vor, der beispielsweise durch einen Software Fehler oder durch eine Unterbrechung der Stromversorgung ausgelöst worden ist (diese Fehler werden als temporäre Fehler eingestuft, die sich durch ein automatisiertes Verfahren wieder beheben lassen sollten) , dann kann das Telefonnetz erfindungsgemäß von zentraler Stelle - ohne manuelles Eingreifen vor Ort - wieder in Betrieb genommen werden.
Durch die automatisierte Inbetriebnahme eines Clustersystems nach einem Reboot ergeben sich insbesondere auf dem Gebiet der Applikationen für Netzbetreiber und Dienstleistungsanbieter wesentlich verbesserte Ausfallzeiten der eingesetzten Software.
In den bevorzugten Ausführungsformen der Erfindung wird das Verfahren für eine automatische Inbetriebnahme eines SUN- Clustersystem 2.x eingesetzt.
Eine besonders vorteilhafte Ausführungsform der Erfindung bezieht sich auf ein aktiv-passiv Clustersystem, das beispielsweise aus einem oder mehreren Paaren von Servern besteht, wobei ein Server eine bestimmte Aufgabe ausführt, die ihm zuge- ordnet ist. Die andere Maschine befindet sich im Stand-By-
Modus. Erst wenn die erste Maschine meldet, daß Probleme auftreten, übernimmt die zweite Maschine die Jobs der ersten. Die jeweils aktiven Server müssen deshalb fortlaufend überwacht werden. Der aktive Server könnte beispielsweise auf- grund eines Hardwarefehlers, einer Blockierung des Betriebssystems oder aufgrund einer Netzspannungsunterbrechung komplett ausfallen. Um die Verfügbarkeit zu erhöhen und andere Systemparameter vorteilhaft zu beeinflussen werden vielfach auch Aktiv-Aktiv- Cluster eingesetzt. Eine alternative Ausführungsform des er- findungsgemäßen Verfahrens ist in der Anwendung auf derartige Architekturen zu sehen.
In einer weiteren vorteilhaften Ausführungsform der Erfindung wird als Betriebssystem Umgebung "Solaris" verwendet.
Die Erfindung ist insbesondere darin zu sehen, daß eine automatische und vor allem dynamische Generierung einer Inbetriebnahmestrategie für den Cluster erfolgt - abhängig von der Analyse des vorausgegangenen Fehlers, der zu dem Reset des Servers geführt hat -.
Andere vorteilhafte Weiterbildungen der Erfindung ergeben sich aus den Unteransprüchen.
Weitere Vorteile der Erfindung und besondere Ausführungsformen mit deren Merkmalen sind in der nachfolgenden detaillierten Figurenbeschreibung dargestellt. Darin zeigt:
Fig. 1 eine schematische Darstellung eines Clustersystems und
Fig. 2 ein Flußdiagramm für eine Durchführung des Zu- standswechsels gemäß einer bevorzugten Ausführungsform der Erfindung.
Nachfolgend wird unter Bezugnahme auf Figur 1 eine übliche Clusterarchitektur - wie sie im Stand der Technik bekannt ist - dargestellt. In einer bevorzugten Ausführungsform der Erfindung ist das Verfahren für ein Cluster 10 realisiert, das hochverfügbare Anwendungen unterstützt. Es ist insbesondere ein Aktiv-Stand- By-Cluster . Diese umfassen üblicherweise ein Paar von Ser- vern, die hier auch Knoten genannt werden. Es wird ein erster Knoten 12 als primärer Server definiert, dem bestimmte Jobs zugewiesen sind. Ein zweiter Knoten 14 wird als Stand-By- Server festgelegt. In diesem Ausführungsbeispiel weist der erste Knoten 12 eine Fehler auf und wird deshalb auch als defekter Knoten bezeichnet, während der zweite Knoten 14 der intakte Knoten ist. Es liegt natürlich ebenso im Rahmen der Erfindung, daß der zweite Knoten 14 ausfällt und als defekter Knoten berücksichtigt wird. Der zweite Knoten 14 dient dazu, im Fehlerfall, das heißt bei Ausfall des primären Servers (des ersten bzw. defekten Knotens 12) dessen Jobs zu übernehmen und dann nicht mehr als Stand-By-Server sondern als neuer primärer Server zu fungieren. Durch diese Architektur kann die "Down-Time" des Systems minimiert werden.
Für die Erkennung eines Fehlerzustandes und die Steuerung des Übernahmeprozesses gibt es unterschiedlichste sogenannte Fai- lover-Konzepte . Beispielsweise muß die auszuführende Software, die generell nur auf einer dafür vorgesehenen Maschine laufen soll, hier auch auf allen anderen Knoten lauffähig sein, damit diese im Fehlerfall ein fehlerfreies Failover gewährleisten können.
Selbstverständlich ist das Verfahren ebenso auf Systeme anwendbar, die komplexere Architekturen aufweisen.
Die beiden Knoten 12, 14 sind über eine Hochgeschwindigkeitsschnittstelle miteinander gekoppelt, was durch die Verbin- dungslinien zwischen den beiden Servern 12, 14 in Fig. 1 gekennzeichnet ist.
Mit Hilfe des erfindungsgemäßen Verfahrens können die geplanten und ungeplanten Downtimes des Systems weiter minimiert werden, indem der Cluster 10 nach einem schwerwiegenden Fehler einer Reboot-Operation unterzogen wird und daraufhin bzw. währenddessen automatisch wieder in Betrieb genommen wird. Im Hinblick auf das in Figur 2 dargestellte Flow-Chart sollen nachfolgend die erfindungsgemäßen Schritte beschrieben werden. Das Verfahren setzt in den Fällen ein, in denen das Clustersystem aufgrund eines Software Fehlers oder aufgrund eines zentralen Spannungsausfalls nochmals hochgefahren werden muß.
Um zwischen diesen und weiteren Fehlerklassen bzw. Fallgrup- pen zu unterscheiden, wird ein sogenannter Power-On-
Erkennungsmechanismus eingesetzt. Hierzu werden der erste und zweite Knoten 12 und 14 einer Analyse unterzogen, die insbesondere die Lebenszeit beider Knoten ausliest und in der weiteren Verarbeitung berücksichtigt. Die sogenannte Uptime des ersten Knotens 12 wird dabei mit der Uptime des zweiten Knotens 14 verglichen. Stimmen beide Zeiten bis auf einen vorbestimmten Toleranzwert (der die Abweichungstoleranz festlegt) überein, dann kann daraus indirekt geschlossen werden, daß es sich um einen zentralen Ξpannungsausfall gehandelt haben muß, aufgrund dessen das System einem Reboot unterzogen worden ist. Der Toleranzwert ist durch die Eingabe eines Schwellenwertes bestimmbar. Dieser kann System- und anwendungsabhängig variieren. Wird andernfalls beispielsweise erfaßt, daß der erste Knoten 12 bereits mehrere Tage lebt, während der zweite Knoten 14 nur im Bereich von Minuten aktiv war, dann kann es sich nicht um eine zentrale Unterbrechung der Spannungsversorgung gehandelt haben.
Wird bei dem Power-On-Mechanismus festgestellt, daß die je- weiligen Uptimes signifikant voneinander abweichen, so kann indirekt auf einen anderen Fehler (z.B. Hardware-Fehler, Software Fehler, Spannungsausfall eines einzelnen Knotens) rückgeschlossen werden. In diesem Fall wird die automatische koordinierte Aufnahme beider Knoten in den Cluster 10 ange- stoßen. Bei der anschließenden Inbetriebnahme des Cluster- systems 10 kann dadurch der fehlerfreie Zustand auf allen Clusterknoten 12, 14 aktiviert werden. Für die generelle Steuerung des Verfahrens können vor dem jeweiligen Ablauf des Inbetriebnahmeverfahrens Fehlerklassen 16 festgelegt werden, die durch die Angabe bestimmter Parameter definiert werden. Dieser erste Verfahrensschritt kann unabhängig von dem Clusterbetrieb erfolgen und diesem vorgeschaltet sein; dies soll durch die gepunktet dargestellte Linie in Fig. 2 angedeutet werden. Die restlichen Verfahrensschritte erfolgen während des Clusterbetriebes bzw. während eines Feh- lers im Clusterbetrieb.
In dem nachfolgend beschriebenen Ausführungsbeispiel werden zwei Fehlerklassen 16 bestimmt.
Eine erste Fehlerklasse 16-1 umfaßt die Fälle, in denen das Verfahren zur Inbetriebnahme des Clusters automatisch angestoßen werden soll.
Eine zweite Fehlerklasse 16-2 umfaßt die Fälle, in denen eine weitere Analyse des Fehlers erfolgen soll und das Verfahren manuell fortgeführt wird. Die erste Fehlerklasse 16-1 wird durch die Parameter definiert "Software Fehler" und/oder
"zentraler Spannungsausfall". Das heisst, daß das System automatisch den Zustand des Systems bzw. die Ursache für den Reboot aufgrund des Fehlers analysiert, indem insbesondere die Uptimes der Knoten 12, 14 und das Ergebnis einer Software Fehlererkennung untersucht werden.
Ist das Ergebnis, daß ein Software Fehler oder eine Spannungsunterbrechung vorgelegen haben muß, so wird der Fehler in die erste Fehlerklasse 16-1 eingeordnet. Hier wird angenommen, daß es sich um einen nur vorübergehenden Fehler han- delt, der durch ein Reboot und eine Wiederaufnahme des fehlerhaften Knotens in den Cluster behoben werden kann. Deshalb kann in diesen Fällen eine automatisierte Inbetriebnahme erfolgen. In allen anderen Fällen wird der Fehler in die zweite Fehler- klasse 16-2 eingestuft. Hier wird angenommen, daß es sich um einen schweren Fehler handelt, der durch ein Reboot nicht beseitigt werden kann. Hierunter sind beispielsweise die Fälle eines Hardware Fehlers oder eines schwerwiegenden kombinierten Hard- und Softwarefehlers subsumiert.
Mit der Bestimmung der Fehlerklassen 16 durch den Administra- tor kann dynamisch eingestellt werden, in welchen Fällen der Cluster 10 automatisch in Betrieb genommen werden soll und in welchen Fällen nicht. Vorteilhafterweise kann damit der Ablauf der Inbetriebnahme des Clusters 10 nach einem Fehler dynamisch an das jeweilige System angepaßt werden, indem bei- spielsweise bestimmte Fehler einer speziellen Fehlerklasse zugeordnet werden, die eine gesonderte Inbetriebnahme erfordert, da bei einem automatischen wiederholten Einbinden des fehlerhaften Knotens in den Cluster 10 Folgefehler entstehen würden.
Die zweite Fehlerklasse 16-2 kann alternativ Fälle umfassen, in denen zwar auch eine automatische aber zeitlich verzögerte Inbetriebnahme erfolgen soll, um beispielsweise noch weitere Fehleranalysen durchführen zu können. Es kann aber für die zweite Fehlerklasse 16-2 auch festgelegt werden, daß in diesen Fällen immer eine manuelle Inbetriebnahme erfolgen muß.
In beiden Fällen der ersten Fehlerklasse 16-1 ("temporärer Software Fehler" oder "zentraler Spannungsausfall") werden nach dem Reboot die beiden Knoten 12, 14 koordiniert in den Cluster 10 eingebracht.
Durch die fehlerklassengesteuerte Vorgehensweise ist eine dynamische Inbetriebnahme des Clusters (10) abhängig vom je- weils aktuellen Fehlerzustand möglich.
Vorteilhafterweise können bei dem hier vorgestellten Inbetriebnahmekonzept das Bootprogramm bzw. Bootblockprogramm und das Inbetriebnahmeverfahren ineinander verschachtelt sein. Das heißt, daß das Booten nicht notwendigerweise komplett abgeschlossen sein muß, bevor einzelne Schritte der Clusterin- betriebnahme angesteuert werden. Die Solaris Betriebssystem Umgebung eignet sich sehr gut für die Anwendung bei hochverfügbaren Clustersystemen, da es eine effiziente Kommunikation mit der darunterliegenden Hardwareschicht ermöglicht und weiterhin Überwachungsfunktionen un- terstützt und ist deshalb Bestandteil der bevorzugten Ausführungsform des erfindungsgemäßen Systems.
Ein Solaris 2.x-System kann in verschiedenen sogenannten Run- leveln gebootet werden. Der Runlevel gibt den Betriebsmodus des Rechners an und definiert den Zustand und die von ihm zur Verfügung gestellten Dienste. Es wird hier insbesondere zwischen acht Runleveln unterschieden. Im Runlevel 0 (auch Monitor Mode genannt) läuft noch kein UNIX, währen im Runlevel 1 der UNIX-Kernel schon aktiviert ist. Das Runlevel 3 (auch Multi User Mode genannt) beschreibt den Zustand, in dem die
Maschine bereits über die volle Funktionalität verfügt und in dem bereits alle Filesysteme gemountet sind und die Netzwerkprozesse laufen.
Vorteilhafterweise können mit Hilfe des erfindungsgemäßen
Verfahrens beide Clusterknoten bereits synchronisiert und automatisch in Betrieb genommen werden nachdem das Runlevel 3 erreicht wurde.
Zur deutlichen Zeitoptimierung des Verfahrens trägt vor allem der Umstand bei, daß durch die Zuordnung in die jeweiligen Fehlerklassen 16 automatisch die Fälle erkannt werden können, bei denen eine automatische Wiederinbetriebnahme des Clusters möglich ist. Damit kann die Downtime des Systems signifikant reduziert werden, da in allen vorher als nicht-kritisch definierten Fällen eine sofortige Wiederinbetriebnahme erfolgt. Bislang mußte auch in den nicht-kritischen Fällen manuell in Betrieb genommen werden, was eine wesentlich längere Ausfallzeit des Systems nach sich zog.
Bei der Inbetriebnahme des Clusters 10 werden insbesondere folgende Schritte ausgeführt: Nachdem der erste Knoten 12 in den Cluster 10 aufgenommen worden ist (beispielsweise durch das Kommando "scadmin startcluster") muß überprüft werden, ob dieser Schritt auch erfolgreich ausgeführt werden konnte (beispielsweise mit dem Kommando "hastat") . Anschließend muß der zweite Knoten 14 mit einem anderen Kommando in den Cluster 10 aufgenommen werden (beispielsweise mit dem Kommando "scadmin startnode"), um daraufhin diesen Schritt wiederum auf Fehlerfreiheit zu überprüfen (Kommando "hastat"). Nach dem erfolgreichen Einbinden beider Knoten 12, 14 in den Cluster 10 kann letzterer gestartet werden. Dabei müssen die Dienste bzw. Applikationen registriert werden, die unter die Steuerung des Clustercontrol- lers fallen sollen.
Die einzelnen Server bzw. Knoten 12, 14 des Clusters 10 stehen vorzugsweise über eine sogenannte private-link-Verbindung miteinander in Datenaustausch. Diese Verbindung ist deshalb redundant ausgelegt, um Ausfälle der Knoten 12, 14 kontrollieren zu können.
In einer alternativen, ebenfalls in Fig. 2 dargestellten Ausführungsform der Erfindung ist das Verfahren erweitert, indem bei einem der Fehlerklasse 16-2 zugeordnetem Fehler, bei dem also kein sofortiger automatischer Inbetriebnahmezyklus ange- stoßen werden soll, weitere Analysen erfolgen. Durch die automatische Erfassung weitere Parameter, die Rückschlüsse auf die Art des Fehlers erlauben, kann zu einem späteren Zeitpunkt gegebenenfalls doch eine automatische Inbetriebnahme sinnvoll sein oder das Verfahren wird andernfalls beendet.

Claims

Patentansprüche
1. Verfahren zur Inbetriebnahme eines Clusters (10) nach einem Fehler, bestehend aus mehreren Knoten (12, 14), bei de- nen im Fehlerfall jeweils ein zweiter Knoten (14) Jobs eines ersten Knotens (12) übernimmt, mit folgenden Schritten:
- Bestimmung von mindestens einer ersten und einer zweiten Fehlerklasse (16-1, 16-2),
- Analyse des Fehlers, der zu einem Reboot des ersten Kno- tens (12) führte
- Klassifikation des Fehlers in eine der Fehlerklassen (16-1, 16-2)
- automatische Inbetriebnahme des Clusters (10) mit den Knoten (12, 14), falls der Fehler in die erste Fehlerklasse (16-1) klassifiziert worden ist.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Inbetriebnahme des Clusters (10) für die zweite Fehler- klasse (16-2) nicht automatisch erfolgt.
3. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die Analyse des Fehlers zumindest in einer Power-On-Erkennung besteht, insbesondere durch Auslesen und Vergleichen der Lebenszeiten der Knoten (12, 14) erfolgt.
4. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß der Cluster (10) ein SUN-Cluster, insbesondere vom Typ 2.x, ist.
5. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die Inbetriebnahme des Clusters (10) nach dem Reboot des ersten Knotens (12) im Runlevel 3 erfolgt.
6. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennz ei chnet , daß der Cluster ( 10) ein Aktiv-Aktiv-Cluster ist .
7. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß der Cluster (10) ein Aktiv-Passiv-Cluster ist.
8. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß
Analyse des Fehlers für das Reboot auf zwei für den Cluster (10) einander zugeordneten Knoten (12, 14) erfolgt.
9. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die Inbetriebnahme des Clusters (10) mit koordinierten Knoten (12, 14) ausgeführt wird, indem die Knoten (12, 14) sequentiell, mit jeweils unterschiedlichen Befehlen in den Cluster (10) eingebunden werden und indem jeder dieser Einbindungen auf Fehlerfreiheit überprüft wird.
10. Verfahren nach Anspruch 6 und 9, dadurch gekennzeichnet, daß die Koordination der Knoten (12, 14) durch Ermittlung eines Zustande der Knoten (12, 14) auf beiden Seiten des Clusters (10) zu vorbestimmten Koordinationszeitpunkten erfolgt.
11. Programm umfassend Softwarecodeabschnitte, mit denen ein Verfahren nach einem der Ansprüche 1 bis 10 durch einen Prozessor ausgeführt wird.
12. Anordnung zur Durchführung eines Verfahrens nach einem der Ansprüche 1 bis 10.
PCT/EP2002/000657 2001-02-09 2002-01-23 Automatische inbetriebnahme eines clustersystems nach einem heilbaren fehler WO2002065289A1 (de)

Priority Applications (4)

Application Number Priority Date Filing Date Title
US10/433,941 US7373542B2 (en) 2001-02-09 2002-01-23 Automatic startup of a cluster system after occurrence of a recoverable error
EP02702300A EP1358554B1 (de) 2001-02-09 2002-01-23 Automatische inbetriebnahme eines clustersystems nach einem heilbaren fehler
DE50202840T DE50202840D1 (de) 2001-02-09 2002-01-23 Automatische inbetriebnahme eines clustersystems nach einem heilbaren fehler
BR0206138-4A BR0206138A (pt) 2001-02-09 2002-01-23 Ativação automática de um sistema de cluster após um erro recuperável

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP01103108A EP1231537A1 (de) 2001-02-09 2001-02-09 Automatische Inbetriebnahme eines Clustersystems nach einem heilbaren Fehler
EP01103108.5 2001-02-09

Publications (1)

Publication Number Publication Date
WO2002065289A1 true WO2002065289A1 (de) 2002-08-22

Family

ID=8176448

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2002/000657 WO2002065289A1 (de) 2001-02-09 2002-01-23 Automatische inbetriebnahme eines clustersystems nach einem heilbaren fehler

Country Status (6)

Country Link
US (1) US7373542B2 (de)
EP (2) EP1231537A1 (de)
CN (2) CN1322422C (de)
BR (1) BR0206138A (de)
DE (1) DE50202840D1 (de)
WO (1) WO2002065289A1 (de)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1304915C (zh) * 2004-01-16 2007-03-14 西北工业大学 计算机硬盘数据加密方法及其装置

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10238547A1 (de) * 2002-08-22 2004-03-04 Bayerische Motoren Werke Ag Steuersystem und Verfahren zur Fehlerbehebung in elektronischen Einheiten oder Teilnetzen
US7076645B2 (en) * 2003-06-25 2006-07-11 Nokia Inc. Method of rebooting a multi-device cluster while maintaining cluster operation
US7174389B2 (en) * 2004-01-23 2007-02-06 Metro Packet Systems, Inc. Tandem node system and a method therefor
GB0611038D0 (en) * 2006-06-02 2006-07-12 Ibm Apparatus and method for cluster recovery
US7664980B2 (en) * 2006-07-28 2010-02-16 Fujitsu Limited Method and system for automatic attempted recovery of equipment from transient faults
JP5571667B2 (ja) 2008-08-18 2014-08-13 エフ５ ネットワークス、インコーポレイテッド 可用性を維持しながらネットワークトラフィック管理装置をアップグレードする方法
US8814903B2 (en) 2009-07-24 2014-08-26 Depuy Mitek, Llc Methods and devices for repairing meniscal tissue
US8828053B2 (en) 2009-07-24 2014-09-09 Depuy Mitek, Llc Methods and devices for repairing and anchoring damaged tissue
US9597064B2 (en) 2010-04-27 2017-03-21 DePuy Synthes Products, Inc. Methods for approximating a tissue defect using an anchor assembly
US9451938B2 (en) 2010-04-27 2016-09-27 DePuy Synthes Products, Inc. Insertion instrument for anchor assembly
CN102404139B (zh) * 2011-10-21 2014-01-15 浪潮电子信息产业股份有限公司 一种提高容错服务器应用层级容错性能的方法
CN103701657A (zh) * 2012-09-28 2014-04-02 中国银联股份有限公司 用于不间断运行的数据处理系统的异常监控及处理装置和方法
US9348717B2 (en) * 2013-07-24 2016-05-24 Netapp, Inc. Storage failure processing in a shared storage architecture
CN105700975B (zh) * 2016-01-08 2019-05-24 华为技术有限公司 一种中央处理器cpu热移除、热添加方法及装置
US10305970B2 (en) * 2016-12-13 2019-05-28 International Business Machines Corporation Self-recoverable multitenant distributed clustered systems
TWI620087B (zh) * 2017-02-15 2018-04-01 財團法人資訊工業策進會 驗證伺服器、驗證方法及其電腦程式產品

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1995015529A1 (en) * 1993-12-01 1995-06-08 Marathon Technologies Corporation Fault resilient/fault tolerant computing
US5502812A (en) * 1991-10-04 1996-03-26 Aerospatiale Societe Nationale Industrielle Method and system for automatic fault detection and recovery in a data processing system
WO1999005596A2 (de) * 1997-07-23 1999-02-04 Siemens Aktiengesellschaft Verfahren zum wiederanlauf eines rechnersystems

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5708776A (en) 1996-05-09 1998-01-13 Elonex I.P. Holdings Automatic recovery for network appliances
US6038680A (en) * 1996-12-11 2000-03-14 Compaq Computer Corporation Failover memory for a computer system
US6014669A (en) * 1997-10-01 2000-01-11 Sun Microsystems, Inc. Highly-available distributed cluster configuration database
US6192483B1 (en) * 1997-10-21 2001-02-20 Sun Microsystems, Inc. Data integrity and availability in a distributed computer system
US6594697B1 (en) * 1999-05-20 2003-07-15 Microsoft Corporation Client system having error page analysis and replacement capabilities
US6636982B1 (en) * 2000-03-03 2003-10-21 International Business Machines Corporation Apparatus and method for detecting the reset of a node in a cluster computer system
US6766470B1 (en) * 2000-03-29 2004-07-20 Intel Corporation Enhancing reliability and robustness of a cluster
US6609213B1 (en) * 2000-08-10 2003-08-19 Dell Products, L.P. Cluster-based system and method of recovery from server failures
US6857082B1 (en) * 2000-11-21 2005-02-15 Unisys Corporation Method for providing a transition from one server to another server clustered together

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5502812A (en) * 1991-10-04 1996-03-26 Aerospatiale Societe Nationale Industrielle Method and system for automatic fault detection and recovery in a data processing system
WO1995015529A1 (en) * 1993-12-01 1995-06-08 Marathon Technologies Corporation Fault resilient/fault tolerant computing
WO1999005596A2 (de) * 1997-07-23 1999-02-04 Siemens Aktiengesellschaft Verfahren zum wiederanlauf eines rechnersystems

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
DEETHS DAVID: "Administering SUN (tm) Cluster 2.2 environments", SUN BLUEPRINTS, October 2000 (2000-10-01), pages 1 - 21, XP002171158, Retrieved from the Internet <URL:www.sun.com/blueprints/1000/clust_admin.pdf> [retrieved on 20010704] *
SUN: "Sun Clusters", SUN WHITE PAPER, October 1997 (1997-10-01), pages 1 - 33, XP002171157, Retrieved from the Internet <URL:www.sun.com/software/cluster/wp-sunclusters/sunclusterswp.pdf> [retrieved on 20010704] *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1304915C (zh) * 2004-01-16 2007-03-14 西北工业大学 计算机硬盘数据加密方法及其装置

Also Published As

Publication number Publication date
EP1358554B1 (de) 2005-04-20
DE50202840D1 (de) 2005-05-25
EP1231537A1 (de) 2002-08-14
US20040153704A1 (en) 2004-08-05
CN1908911A (zh) 2007-02-07
EP1358554A1 (de) 2003-11-05
BR0206138A (pt) 2003-10-14
US7373542B2 (en) 2008-05-13
CN1491386A (zh) 2004-04-21
CN1322422C (zh) 2007-06-20

Similar Documents

Publication Publication Date Title
DE69128271T2 (de) Verfahren und System zur Erhöhung der Betriebsverfügbarkeit eines Systems von Rechnerprogrammen, wirkend in einem verteilten Rechnerssystem
EP1358554B1 (de) Automatische inbetriebnahme eines clustersystems nach einem heilbaren fehler
EP2550599B1 (de) Kontrollrechnersystem, verfahren zur steuerung eines kontrollrechnersystems, sowie verwendung eines kontrollrechnersystems
DE19836347C2 (de) Fehlertolerantes Computersystem
DE69907818T2 (de) Verfahren und Vorrichtung zur Fehlererkennung und Wiederherstellung mit vorbestimmter Replikationsart für verteilte Anwendungen in einem Netzwerk
DE69614623T2 (de) Fehlertolerantes multiples Netzwerkserver
DE69907824T2 (de) Verfahren und Vorrichtung zur Fehlererkennung und Wiederherstellung mit vorbestimmtem Replikationsgrad für verteilte Anwendungen in einem Netzwerk
DE3685870T2 (de) Umschaltsicherungsverfahren fuer ein wiederanlaufbares datenbanksystem.
DE602005003490T2 (de) Verteiltes System mit Quorumredundanz und Verfahren dafür
EP1685451A1 (de) Redundantes automatisierungssystem zur steuerung einer tech-n ischen einrichtung sowie verfahren zum betrieb eines derar-ti gen automatisierungssystems
EP1711892B1 (de) Verfahren zum bestimmen eines übernahmeszenarios der softwareeinheiten bei einem rechnerausfall in einer serverfarm
DE102005024327B4 (de) Watch-Dog in einer verteilten Applikations-Umgebung
EP2513796A1 (de) Verfahren zum betreiben einer recheneinheit
DE112020000145T5 (de) Redundantes Netzwerk-IP-intelligentes Umschaltverfahren und System basierend auf redundantem Computer
DE69927223T2 (de) Ausfallsicherheit eines Mehrrechnersystems
EP1820307B1 (de) Verfahren zum nachweis der verf]gbarkeit von systemkomponenten eines redundanten kommunikationssystems
DE10302456A1 (de) Vorrichtung für sicherheitskritische Anwendungen und sichere Elektronik-Architektur
EP3800517B1 (de) Verfahren zur erstellung eines redundanten automatisierungssystems, computerprogramm und computerlesbares medium
DE69829909T2 (de) Wahlverfahren von der aktiven Station in einem gesicherten System für Informationsverarbeitung
DE19801992C2 (de) Verfahren zur Verbesserung der Systemverfügbarkeit nach dem Ausfall von Prozessoren einer Prozessorplattform
DE4332881C2 (de) Fehlertolerantes Multicomputersystem
DE10025283B4 (de) Vorrichtung zur dynamischen Verbindung von mindestens zwei Datenringzellen
DE102005053275B4 (de) Hochverfügbares Computerverbundsystem
DE602005002485T2 (de) Vorrichtung zur Vermeidung von Schaltungsfehlern in Anwesenheit von Fehlern
WO1998038577A1 (de) Redundant aufgebautes elektronisches gerät mit zertifizierten und nicht zertifizierten kanälen

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): BR CN US

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): AT BE CH CY DE DK ES FI FR GB GR IE IT LU MC NL PT SE TR

DFPE Request for preliminary examination filed prior to expiration of 19th month from priority date (pct application filed before 20040101)
121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2002702300

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 028047583

Country of ref document: CN

WWP Wipo information: published in national office

Ref document number: 2002702300

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 10433941

Country of ref document: US

WWG Wipo information: grant in national office

Ref document number: 2002702300

Country of ref document: EP