WO2016194170A1 - 障害検出装置および障害検出システム - Google Patents

障害検出装置および障害検出システム Download PDF

Info

Publication number
WO2016194170A1
WO2016194170A1 PCT/JP2015/066053 JP2015066053W WO2016194170A1 WO 2016194170 A1 WO2016194170 A1 WO 2016194170A1 JP 2015066053 W JP2015066053 W JP 2015066053W WO 2016194170 A1 WO2016194170 A1 WO 2016194170A1
Authority
WO
WIPO (PCT)
Prior art keywords
time
monitoring target
wdt
signal
counter
Prior art date
Application number
PCT/JP2015/066053
Other languages
English (en)
French (fr)
Inventor
治英 鬼村
貴憲 河野
朋永 糸井
一輝 佐藤
拓也 棚林
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to PCT/JP2015/066053 priority Critical patent/WO2016194170A1/ja
Publication of WO2016194170A1 publication Critical patent/WO2016194170A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring

Definitions

  • the present invention relates to a failure detection device and a failure detection system for detecting a failure to be monitored.
  • Patent Document 1 states that “a trigger signal is generated by software and a hardware timer having a period (TW) is activated. Thereafter, a re-trigger signal is always generated by software within a time period that does not exceed the period (TW) of the hardware timer.
  • the program is configured to continue to be applied to the hardware timer, and a retriggerable timer is used as the hardware timer, and the timer is timed out as long as the retrigger signal is given within a time not exceeding the period Tw.
  • the program code for generating the retrigger signal is embedded in an appropriate place in the software, and the retrigger signal is always generated within Tw as long as the system operates normally.
  • the retrigger signal cannot be generated and the hardware timer times up. It is possible to detect an abnormality in the system ”.
  • WDT watchdog timer
  • Patent Document 1 is a detection method capable of performing a periodic reset of WDT by combining WDT and a bus timer.
  • the abnormality is permanent, time-up of WDT is repeated forever. There is a problem.
  • An object of the present invention is to suppress continuation of a runaway state during activation of a monitoring target.
  • a failure detection device is a failure detection device that detects a failure to be monitored that outputs a reset signal within a predetermined time from the start of activation, and is longer than the predetermined time, and A first time-up time that is shorter than the time required for the monitoring target to start is set, the first counter is reset by the start of the monitoring target start or the input of the reset signal, and the time measurement is started.
  • a first time-up signal indicating the progress is output to the monitoring target to start the monitoring target again, and the first counter is reset to measure time 1 timer and a second time-up time that is longer than the time required for the monitoring target to start up are set.
  • a second timer that outputs a second time-up signal indicating the elapse of time, power is supplied to the monitoring target, and the second time-up signal is output.
  • a supply source for stopping supply of power to the monitoring target when the second time-up signal is input from the timer.
  • FIG. 4 is a sequence diagram showing an operation processing sequence example 1 of the SVP shown in FIG. 3.
  • FIG. 6 is a sequence diagram showing an operation processing sequence example 2 of the SVP shown in FIG. 3.
  • FIG. 3 shows the other example of the block configuration of a failure detection apparatus.
  • FIG. 1 is an explanatory diagram illustrating a block configuration example of the failure detection apparatus.
  • the failure detection apparatus 1 includes a microcomputer 100, which is an example of a monitoring target, a first WDT 101, a second WDT 102, a power supply circuit 104, a first OR circuit 105, and a second OR circuit 106.
  • the microcomputer 100 includes a memory that stores a predetermined program and a processor that executes the predetermined program.
  • the output of the microcomputer 100 is connected to the input of the first OR circuit 105, the input of the second WDT 102, and the input of the power supply circuit 104. Further, the input of the microcomputer 100 is connected to the output of the first WDT 101 and the output of the power supply circuit 104.
  • the microcomputer 100 starts the program.
  • the microcomputer 100 periodically outputs a first WDT periodic reset signal 121 to the first OR circuit 105.
  • the first WDT periodic reset signal 121 is a signal for preventing the time-up of the first WDT 101 when the program is normally activated.
  • the microcomputer 100 is communicably connected to the other microcomputer 100 in the other failure detection device 1 and detects the restart of the other microcomputer 100, the second WDT reset signal 122 is output to the first OR circuit 105 and the second OR circuit 106.
  • the second WDT reset signal 122 is a signal for resetting the counter of the second WDT.
  • the microcomputer 100 outputs a start completion signal 123 to the second WDT 102.
  • the first WDT 101 is a timer that detects a failure to be monitored.
  • the output of the first WDT 101 is connected to the input of the first OR circuit 105 and the input of the microcomputer 100, and the input of the first WDT 101 is connected to the output of the first OR circuit 105.
  • a first time-up time T1 that is shorter than the time required to start the microcomputer 100 is set.
  • the first WDT 101 When the first WDT 101 receives the input of the power-on reset signal 120 from the power supply circuit 104 via the first OR circuit 105, the first WDT 101 clears the counter and starts timing. When the first time-up time T1 elapses, the first WDT 101 outputs the first WDT time-up signal 124 to the microcomputer 100 and the first OR circuit 105.
  • the first WDT time-up signal 124 is a signal notifying that the first time-up time T1 has elapsed.
  • the first WDT 101 when the first WDT 101 receives the input of the first WDT time-up signal 124 from the first OR circuit 105, the first WDT 101 clears the counter and re-executes time measurement. In addition, when the first WDT 101 receives an input of the first WDT periodic reset signal 121 from the microcomputer 100 via the first OR circuit 105, the first WDT 101 clears the counter and re-executes time measurement.
  • the first WDT 101 when the first WDT 101 receives an input of the first WDT periodic reset signal 121 from the microcomputer 100 via the first OR circuit 105, the first WDT 101 clears the counter and re-executes time measurement.
  • the second WDT 102 is a timer that controls the first WDT 101 to prevent the first WDT 101 from causing a fault detection runaway.
  • the output of the second WDT 102 is connected to the input of the power supply circuit 104, and the input of the second WDT 102 is connected to the output of the second OR circuit 106.
  • the second WDT 102 is set with a time sufficient for the microcomputer 100 to complete startup normally, that is, a second time-up time T2 longer than the time required for startup.
  • the second WDT 102 When the second WDT 102 receives the input of the power-on reset signal 120 from the power supply circuit 104 or the second WDT reset signal 122 from the microcomputer 100 via the second OR circuit 106, the second WDT 102 clears the counter and starts timing. Then, the second WDT 102 outputs a second WDT time-up signal 125 to the power supply circuit 104 when the second time-up time T2 has elapsed.
  • the second WDT time-up signal 125 is a signal notifying that the second time-up time T2 has elapsed.
  • the second WDT 102 When the second WDT 102 receives an input of the activation completion signal 123 from the microcomputer 100, the second WDT 102 stops time counting by the counter. As a result, it is possible to suppress the power-off of the microcomputer 100 after the microcomputer 100 is normally activated.
  • the power supply circuit 104 is a supply source that supplies power to the microcomputer 100, the first WDT 101, and the second WDT 102. Then, the power supply circuit 104 outputs a power-on reset signal 120 to the microcomputer 100, the first OR circuit 105, and the second OR circuit 106 in order to activate the microcomputer 100, the first WDT 101, and the second WDT 102.
  • the first OR circuit 105 is a 3-input 1-output OR circuit.
  • the first OR circuit 105 receives at least one of the power-on reset signal 120 from the power supply circuit 104, the first WDT periodic reset signal 121 from the microcomputer 100, or the first WDT time-up signal 124 from the first WDT 101.
  • a reset signal for resetting the counter of the first WDT 101 is output to the first WDT 101.
  • the second OR circuit 106 is a two-input one-output OR circuit.
  • the second OR circuit 106 receives a reset signal for resetting the counter of the second WDT 102 when at least one of the power-on reset signal 120 from the power supply circuit 104 or the second WDT reset signal 122 from the first WDT 101 is input. Output to the second WDT 102.
  • the microcomputer 100 when the microcomputer 100 is in a normal state, the microcomputer 100 periodically outputs the first WDT periodic reset signal 121 to the first WDT 101 via the first OR circuit 105, so that the first time-up time T1 has elapsed. Reset the counter of the first WDT 101 before. Therefore, time-up does not occur in the first WDT 101. Also, the second WDT 102 does not time up if the microcomputer 100 is activated in time.
  • the microcomputer 100 When an abnormality occurs in the microcomputer 100, the microcomputer 100 does not output the first WDT periodic reset signal 121 to the first WDT 101 via the first OR circuit 105. Therefore, the first WDT 101 outputs the first WDT time-up signal 124 to the microcomputer 100 when the first time-up time T1 has elapsed. When the microcomputer 100 receives the input of the first WDT time-up signal 124, the microcomputer 100 restarts the program. Accordingly, if the abnormality of the microcomputer 100 is a failure that the first WDT periodic reset signal 121 cannot be output or a temporary failure, the microcomputer 100 is normally started by restarting the program.
  • the microcomputer 100 repeats restart of the program.
  • the runaway condition continues. Therefore, in the failure detection device 1, in order to prevent the runaway state from continuing, the second WDT 102 causes the second WDT to pass through the second time-up time T2 when the activation completion signal 123 and the second WDT reset signal 122 are not input from the microcomputer 100.
  • a time-up signal 125 is output to the power supply circuit 104.
  • the power supply circuit 104 stops the power supply of the microcomputer 100, and the power supply of the microcomputer 100 is turned off. Thereby, although an abnormality has occurred in the microcomputer 100, if the abnormality is a failure that allows the first WDT periodic reset signal 121 to be output or a permanent failure, the continuation of the runaway state can be suppressed.
  • FIG. 2 is a flowchart illustrating an example of an operation processing procedure in the failure detection apparatus 1.
  • the left side shows an example of an operation processing procedure of the microcomputer 100
  • the center shows an example of the operation processing procedure of the first WDT 101
  • the right side shows an example of the operation processing procedure of the second WDT 102.
  • the microcomputer 100 When the microcomputer 100 receives the input of the power-on reset signal 120 from the power supply circuit 104, the microcomputer 100 starts to start the program (step S201). Then, the microcomputer 100 repeats the first WDT reset (step S202). The first WDT reset (step S202) is to output the first WDT periodic reset signal 121. Thereby, the 1st WDT 101 will reset a counter, if the 1st WDT regular reset signal 121 is inputted (Step S212).
  • step S203 the microcomputer 100 stops the second WDT 102 (step S204). Specifically, the microcomputer 100 outputs a start completion signal 123 to the second WDT 102. Thereby, the second WDT 102 stops the operation of the second WDT 102 (step S226). After starting the program, the microcomputer 100 repeats the output of the first periodic reset signal of the first WDT 101 (step S205) and the monitoring target process (step S206) as usual.
  • step S206 When the monitoring target process (step S206) is stopped due to a failure, the microcomputer 100 is reset (step S216) due to the time up of the first time-up time T1 (step S215), the program is restarted (step S201), and the first WDT 101 Counter clear (step S212) and counter clear of the second WDT 102 (step S221) are executed.
  • Step S212 is also executed when the input of the first WDT periodic reset signal 121 is accepted by the WDT reset of the microcomputer 100 (step S202).
  • step S213 After 1 second sleep (step S213), the first WDT 101 increments the counter (step S214), and determines whether the time is up, that is, whether the value of the counter exceeds the first time-up time T1 (step S214). Step S215). When the time is not up (step S215: No), the first WDT 101 repeats the 1-second sleep (step S213) and the counter addition (step S214).
  • step S215 If the time is up (step S215: Yes), the first WDT 101 restarts the microcomputer 100 (step S216). That is, the first WDT 101 outputs the first WDT time-up signal 124 to the microcomputer 100. Thereby, the microcomputer 100 starts restart of the program (step S201). Thereafter, the first WDT 101 returns to step S212 and clears the counter (step S212).
  • the second WDT 102 When the second WDT 102 receives the input of the power-on reset signal 120 from the power supply circuit 104 after the first WDT 101 is activated, the second WDT 102 clears the counter that measures the second time-up time T2 (step S222).
  • the second WDT 102 adds a counter (step S224) and determines whether or not there is a stop instruction (step S225). Specifically, the second WDT 102 determines whether or not the input of the activation completion signal 123 from the microcomputer 100 has been received. When there is a stop instruction (step S225: Yes), that is, when the activation completion signal 123 is input, the activation of the microcomputer 100 is completed, and the second WDT 102 stops the operation (step S226).
  • step S225 when there is no stop instruction (step S225: No), that is, when the start completion signal 123 is not input, the second WDT 102 determines whether the time is up, that is, the counter value exceeds the second time-up time T2. It is determined whether or not (step S227). When the time is not up (step S227: No), the second WDT 102 repeats the 1-second sleep (step S223) and the counter addition (step S224).
  • step S227 If the time is up (step S227: Yes), the second WDT 102 outputs the second WDT time-up signal 125 to the power supply circuit 104, and the power supply circuit 104 stops the power supply of the failure detection apparatus 1 (step S228). As a result, the power supply circuit 104 turns off the power supply of the failure detection apparatus 1, and thus the runaway of the first WDT 101 is suppressed.
  • FIG. 3 is an explanatory diagram showing an example of redundancy of the failure detection apparatus 1 shown in FIG.
  • FIG. 3 shows a failure detection system as an example of redundancy of the failure detection apparatus 1 mounted on the blade server 300.
  • the blade server 300 which is a failure detection system includes a chassis 301, a blade group 303 which is one or more detachable blades 302, and two service processors (hereinafter referred to as SVP (Service Processor)) 304-1 and 304-2. And having.
  • the blade group 303 and the first SVP 304-1 are communicably connected via a network.
  • the blade group 303 and the second SVP 304-2 are communicably connected via a network.
  • the branch number is omitted, and is simply expressed as “SVP 304”. The same applies to other codes.
  • the chassis 301 is a housing to which the blade group 303 can be attached and detached.
  • the blade 302 is a server that executes a web service, a database service, an analysis service, and other information processing.
  • the SVP 304 is a module that manages the blade group 303.
  • the SVP 304 includes a network switch 305 and the failure detection apparatus 1.
  • the network switch 305 switches the blade 302 that is a connection partner with the failure detection apparatus 1.
  • the first microcomputer 100-1 of the first failure detection device 1-1 and the microcomputer 100-2 of the second failure detection device 1-2 are communicably connected via a line 307. Both the microcomputers 100-1 and 100-2 determine the main system and the standby system in synchronization, and detect the restart of the other SVP 304 and the power OFF.
  • the blade server 300 determines one of the SVPs 304 as the main system and the other SVP 304 as the standby system at the time of activation. In the blade server 300, since the start-up process of the microcomputer 100 of one of the SVPs 304 is suppressed even when starting up, the other SVP 304 is operated as the main system.
  • FIG. 4 is a sequence diagram showing an operation processing sequence example 1 of the SVP 304 shown in FIG.
  • the operation processing of each failure detection apparatus 1 is as shown in FIG. 2, but FIG. 4 will be described by focusing on the sequence between both SVPs 304.
  • FIG. 4 shows a normal sequence example when no failure occurs in any microcomputer 100.
  • the power supply circuit 104 of each SVP 304 supplies power to the microcomputer 100, the first WDT 101, and the second WDT 102 in the own SVP 304. As a result, the first WDT 101 and the second WDT 102 are activated.
  • the microcomputer 100 starts the program in response to the input of the power-on reset signal 120 from the power supply circuit 104 (step S400).
  • Both microcomputers 100 synchronize to determine the main system (steps S401 to S403), and determine the main system and the standby system (step S404). In the meantime, each microcomputer 100 outputs the first WDT periodic reset signal 121 to the first WDT 101 of its own SVP (step S405). When the activation of the program is completed, each microcomputer 100 outputs an activation completion signal 123 to the second WDT 102 (step S406). Thereby, the operation of the second WDT 102 is stopped.
  • FIG. 5 is a sequence diagram showing an operation processing sequence example 2 of the SVP 304 shown in FIG.
  • the operation processing of each failure detection apparatus 1 is as shown in FIG. 2, but also in FIG. 5, description will be given focusing on the sequence between both SVPs 304.
  • the microcomputer 100-2 when the microcomputer 100-2 also fails during synchronization between the microcomputers 100, and the abnormality is a failure that can output the first WDT periodic reset signal 121, or a permanent failure. It is a sequence example at the time of a failure. Therefore, the microcomputer 100-2 will fail even after restarting.
  • the same steps as those in FIG. 4 are denoted by the same step numbers.
  • the power supply circuit 104 of each SVP 304 supplies power to the microcomputer 100, the first WDT 101, and the second WDT 102 in the own SVP 304. As a result, the first WDT 101 and the second WDT 102 are activated.
  • the microcomputer 100 starts the program in response to the input of the power-on reset signal 120 from the power supply circuit 104 (step S400).
  • Both microcomputers 100 synchronize to determine the main system (steps S401 and S402), but after synchronization 2 (step S402), a failure occurs in the microcomputer 100-2. Since the operation of the microcomputer 100-2 is stopped due to the occurrence of a failure, the first WDT 101-2 outputs the first WDT time-up signal 124 to the microcomputer 100-2 when the time of the first WDT 101-2 is increased (step S501). Further, the first WDT 101-2 feeds back the first WDT time-up signal 124 and resets it, that is, clears the counter (step S502). The second WDT 102-2 does not clear the counter and continues the counter addition (step S224).
  • the microcomputer 100-2 when the microcomputer 100-2 receives the input of the first WDT time-up signal 124, the microcomputer 100-2 starts restarting the program (step S503), and transmits a restart start notification to the microcomputer 100-1 via the line 307 (step S504). ).
  • the microcomputer 100-1 starts restarting the program for re-synchronization (step S505).
  • the first WDT 101-1 and the second WDT 102-1 are reset, that is, clear the counter (steps S505 and S506).
  • the microcomputer 100-1 outputs the first WDT periodic reset signal 121 to the first WDT 101-1 via the first OR circuit 105-1, and the second WDT reset signal 122 via the second OR circuit 106-1. Output to the second WDT 102-1.
  • both the microcomputers 100 synchronize again for determining the main system (steps S401 and S402), but after the synchronization 2 (step S402), the failure occurs again in the microcomputer 100-2. Since the operation of the microcomputer 100-2 is stopped due to the occurrence of a failure, the first WDT 101-2 outputs the first WDT time-up signal 124 to the microcomputer 100-2 when the time of the first WDT 101-2 is increased (step S501). Further, the first WDT 101-2 feeds back the first WDT time-up signal 124 and resets it, that is, clears the counter (step S502). The second WDT 102-2 does not clear the counter and continues the counter addition (step S224).
  • the microcomputer 100-2 when the microcomputer 100-2 receives the input of the first WDT time-up signal 124, the microcomputer 100-2 starts restarting the program (step S503), and transmits a restart start notification to the microcomputer 100-1 via the line 307 (step S504). ).
  • the microcomputer 100-1 starts restarting the program for re-synchronization (step S505).
  • the first WDT 101-1 and the second WDT 102-1 are reset, that is, clear the counter (steps S505 and S506).
  • the microcomputer 100-1 outputs the first WDT periodic reset signal 121 to the first WDT 101-1 via the first OR circuit 105-1, and the second WDT reset signal 122 via the second OR circuit 106-1. Output to the second WDT 102-1.
  • step S508 the repeated restart due to the failure detection of the microcomputer 100-2 is suppressed.
  • the microcomputer 100-1 determines itself as the main system by detecting the power OFF of the microcomputer 100-2 (step S509).
  • the microcomputer 100-1 completes the activation of the program, it outputs an activation completion signal 123 to the second WDT 102-1 (step S406-1). As a result, the operation of the second WDT 102-1 is stopped.
  • the microcomputer 100-2 even if the microcomputer 100-2 is repeatedly restarted and a failure occurs due to the failure of the microcomputer 100-2, the power of the microcomputer 100-2 is turned off due to the time-up of the second WDT 102. Therefore, the runaway of the microcomputer 100-2 can be suppressed. Further, when the microcomputer 100-1 detects that the power of the microcomputer 100-2 is turned off, the first SVP 304-1 is determined as the main system, and the activation process is completed.
  • the synchronization processing (steps S401 and S402) is terminated, and the microcomputer 100- Since the second SVP 304-2 to which 2 belongs is disconnected, the blade server 300 can suppress a delay in the startup process.
  • the faulty microcomputer 100-2 may be connected to the blade server 300 again when it is restored to a normal state by maintenance.
  • the second WDT 102 has been described as turning off the power supply of the microcomputer 100 due to time-up. However, the restart of the microcomputer 100 is stopped when the time of the second WDT 102 is not time-off but the second WDT 102 time-up. You may control.
  • FIG. 6 is an explanatory diagram showing another example of the block configuration of the failure detection apparatus.
  • the failure detection apparatus 10 includes an AND circuit 600.
  • the AND circuit 600 is a 2-input 1-output AND circuit, and is an output control unit that controls the output of the first WDT time-up signal 124 by the second WDT time-up signal 125.
  • One input of the AND circuit 600 is connected to the output of the first WDT 101, and the other input is connected to the output of the second WDT 102.
  • the output of the AND circuit 600 is connected to the input of the microcomputer 100 and the input of the first OR circuit 105. In FIG. 6, the output of the second WDT 102 is not connected to the power supply circuit 104 but is connected to the negative input of the AND circuit 600.
  • the AND circuit 600 outputs the first WDT time-up signal 124 to the microcomputer 100 when the first WDT time-up signal 124 is output by the time-up of the first WDT 101 and the second WDT time-up signal 125 is not output from the second WDT 102. To do. Thereby, the microcomputer 100 starts restart of the program, the first WDT 101 also clears the counter, and re-executes time measurement.
  • the second WDT 102 When the microcomputer 100 runs away due to a failure, the second WDT 102 outputs the second WDT time-up signal 125 to the negative input of the AND circuit 600 due to the time-up of the second WDT 102. As a result, the output of the first WDT time-up signal 124 from the AND circuit 600 is stopped, the microcomputer 100 is not restarted, and the first WDT 101 is not reset. Therefore, the microcomputer 100 and the first WDT do not operate.
  • the microcomputer 100-1 detects that the power of the microcomputer 100-2 is turned off. However, when the failure detection device 10 of FIG. 6 is installed, the power of the microcomputer 100-2 is not turned off. Therefore, in this case, the microcomputer 100-1 determines itself as the main system when there is no response from the microcomputer 100-2 for a certain period.
  • the present embodiment it is possible to suppress the runaway of the monitoring target at the time of startup by turning off the power supply or stopping the restart of the monitoring target in which the failure has occurred. Further, when the failure detection apparatus is made redundant, the monitoring target in which the failure has occurred can be separated from the system by suppressing the runaway at the start of the monitoring target in which the failure has occurred. Therefore, it is possible to suppress the delay of the startup time of the monitoring target in which no failure has occurred, and to start the system early.
  • the failure detection apparatus 1 of FIG. 1 is mounted on both SVPs 304
  • the failure detection apparatus 10 of FIG. 6 may be mounted on both SVPs 204, and one SVP 304 may be mounted.
  • the failure detection device 1 may be mounted on the other SVP 304, and the failure detection device 10 may be mounted on the other SVP 304.
  • the present invention is not limited to the above-described embodiments, and includes various modifications and equivalent configurations within the scope of the appended claims.
  • the above-described embodiments have been described in detail for easy understanding of the present invention, and the present invention is not necessarily limited to those having all the configurations described.
  • a part of the configuration of one embodiment may be replaced with the configuration of another embodiment.
  • each of the above-described configurations, functions, processing units, processing means, etc. may be realized in hardware by designing a part or all of them, for example, with an integrated circuit, and the processor realizes each function. It may be realized by software by interpreting and executing the program to be executed.
  • Information such as programs, tables, and files that realize each function can be stored in a storage device such as a memory, a hard disk, and an SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, and a DVD.
  • a storage device such as a memory, a hard disk, and an SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, and a DVD.
  • control lines and information lines indicate what is considered necessary for the explanation, and do not necessarily indicate all control lines and information lines necessary for mounting. In practice, it can be considered that almost all the components are connected to each other.

Abstract

起動開始から所定時間内にリセット信号を出力する監視対象の障害を検出する障害検出装置は、所定時間より長くかつ監視対象の起動時間より短い第１タイムアップ時間が設定されており、監視対象の起動開始またはリセット信号の入力により第１カウンタをリセットして計時を開始し、第１タイムアップ時間が経過した場合、第１タイムアップ信号を監視対象に出力して再起動させかつ第１カウンタをリセットする第１タイマと、監視対象の起動時間より長い第２タイムアップ時間が設定されており、監視対象の起動開始により第２カウンタをリセットして計時を開始し、第２タイムアップ時間が経過した場合、第２タイムアップ信号を出力する第２タイマと、監視対象に電力を供給し、第２タイムアップ信号が入力された場合、監視対象への電力供給を停止する供給源と、を有する。

Description

障害検出装置および障害検出システム
　本発明は、監視対象の障害を検出する障害検出装置および障害検出システムに関する。
　計算機の暴走検知方法として、ウォッチドッグタイマを用いる方式がある。特許文献１には、「ソフトウェアによりトリガ信号を生成し、周期（ＴＷ）のハードウェアタイマに起動をかける。その後、ソフトウェアによりハードウェアタイマの周期（ＴＷ）を越えない時間内に必ずリトリガ信号をハードウェアタイマに与え続ける様プログラムを構成する。なお、ハードウェアタイマには、リトリガブル・タイマが使用され、その周期Ｔｗを越えない時間内にリトリガ信号が与えられる限り、タイマのタイムアップが発生することはない。一方、ソフトウェアには、リトリガ信号発生用のプログラムコードが適当な箇所に埋め込まれており、システムが正常に動作している限り、Ｔｗ以内にリトリガ信号が必ず生成されるように設計されている。以上の構成において、システムに何らかの異常が発生し、プログラムの暴走、無限ループ実行となった場合や、ホールド状態への移行等の現象に波及した場合には、リトリガ信号の生成が不可となり、ハードウェアタイマがタイムアップする。このタイムアップ信号を利用することにより、システムの異常を検知することが可能となる。」という記載がある。
特開平４－４４１３２号公報
　ウォッチドッグタイマ(以降、「ＷＤＴ」)を使った障害検知方法では、異常が恒久的である場合、ＷＤＴのタイムアップが永久に繰り返されるという問題がある。また、異常であるがＷＤＴの定期リセットが可能な場合(たとえば、ＷＤＴの定期リセット処理を含んだ形での無限ループ)、ＷＤＴはタイムアップしないという問題がある。
　また、特許文献１は、ＷＤＴとバスタイマとを組み合わせることで、異常であるがＷＤＴの定期リセットが可能な検知方法であるが、異常が恒久的である場合、ＷＤＴのタイムアップが永久に繰り返されるという問題がある。本発明は、監視対象の起動中における暴走状態の継続を抑止することを目的とする。
　本願において開示される発明の一側面となる障害検出装置は、起動開始から所定時間内にリセット信号を出力する監視対象の障害を検出する障害検出装置であって、前記所定時間よりも長く、かつ、前記監視対象が起動に要する時間よりも短い第１タイムアップ時間が設定されており、前記監視対象の起動開始または前記リセット信号の入力により第１カウンタをリセットして計時を開始し、前記第１タイムアップ時間が経過した場合、当該経過を示す第１タイムアップ信号を前記監視対象に出力することにより前記監視対象の起動を再度開始させ、かつ、前記第１カウンタをリセットして計時する第１タイマと、前記監視対象が起動に要する時間よりも長い第２タイムアップ時間が設定されており、前記監視対象の起動開始により第２カウンタをリセットして計時を開始し、前記第２タイムアップ時間が経過した場合、当該経過を示す第２タイムアップ信号を出力する第２タイマと、前記監視対象に電力を供給し、前記第２タイマから前記第２タイムアップ信号が入力された場合、前記監視対象への電力の供給を停止する供給源と、を有することを特徴とする。
　本発明の代表的な実施の形態によれば、監視対象の起動中における暴走状態の継続を抑止することができる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。
障害検出装置のブロック構成例を示す説明図である。 障害検出装置における動作処理手順例を示すフローチャートである。 図２に示した障害検出装置の冗長化例を示す説明図である。 図３に示したＳＶＰの動作処理シーケンス例１を示すシーケンス図である。 図３に示したＳＶＰの動作処理シーケンス例２を示すシーケンス図である。 障害検出装置のブロック構成の他の例を示す説明図である。
　＜障害検出装置のブロック構成例＞
　図１は、障害検出装置のブロック構成例を示す説明図である。障害検出装置１は、監視対象の一例であるマイコン１００と、第１ＷＤＴ１０１と、第２ＷＤＴ１０２と、電源回路１０４と、第１ＯＲ回路１０５と、第２ＯＲ回路１０６と、を有する。
　マイコン１００は、所定のプログラムを記憶するメモリと、所定のプログラムを実行するプロセッサとを内蔵する。マイコン１００の出力は、第１ＯＲ回路１０５の入力と第２ＷＤＴ１０２の入力と電源回路１０４の入力に接続される。また、マイコン１００の入力は、第１ＷＤＴ１０１の出力と電源回路１０４の出力に接続される。マイコン１００は、電源回路１０４からパワーオンリセット信号１２０の入力を受け付けると、プログラムの起動を開始する。
　マイコン１００は、定期的に第１ＷＤＴ定期リセット信号１２１を第１ＯＲ回路１０５に出力する。第１ＷＤＴ定期リセット信号１２１は、プログラムが正常に起動している場合に、第１ＷＤＴ１０１のタイムアップを阻止するための信号である。マイコン１００は、障害検出装置１が冗長化構成である場合、他の障害検出装置１内の他のマイコン１００と通信可能に接続され、他のマイコン１００の再起動を検出すると、第２ＷＤＴリセット信号１２２を、第１ＯＲ回路１０５および第２ＯＲ回路１０６に出力する。第２ＷＤＴリセット信号１２２は、第２ＷＤＴのカウンタをリセットするための信号である。また、マイコン１００は、プログラムの起動が完了すると、起動完了信号１２３を第２ＷＤＴ１０２に出力する。
　第１ＷＤＴ１０１は、監視対象の障害を検出するタイマである。第１ＷＤＴ１０１の出力は、第１ＯＲ回路１０５の入力およびマイコン１００の入力に接続されており、また、第１ＷＤＴ１０１の入力は、第１ＯＲ回路１０５の出力に接続されている。第１ＷＤＴ１０１には、マイコン１００の起動に要する時間よりも短い第１タイムアップ時間Ｔ１が設定されている。
　第１ＷＤＴ１０１は、第１ＯＲ回路１０５を介して電源回路１０４からのパワーオンリセット信号１２０の入力を受け付けると、カウンタをクリアし計時を開始する。そして、第１タイムアップ時間Ｔ１が経過すると、第１ＷＤＴ１０１は、第１ＷＤＴタイムアップ信号１２４をマイコン１００および第１ＯＲ回路１０５に出力する。第１ＷＤＴタイムアップ信号１２４は、第１タイムアップ時間Ｔ１が経過したことを通知する信号である。
　また、第１ＷＤＴ１０１は、第１ＯＲ回路１０５から第１ＷＤＴタイムアップ信号１２４の入力を受け付けると、カウンタをクリアし、計時を再実行する。また、第１ＷＤＴ１０１は、第１ＯＲ回路１０５を介してマイコン１００から第１ＷＤＴ定期リセット信号１２１の入力を受け付けると、カウンタをクリアし、計時を再実行する。
　また、第１ＷＤＴ１０１は、第１ＯＲ回路１０５を介してマイコン１００から第１ＷＤＴ定期リセット信号１２１の入力を受け付けると、カウンタをクリアし、計時を再実行する。
　第２ＷＤＴ１０２は、第１ＷＤＴ１０１を制御して、第１ＷＤＴ１０１による障害検出の暴走を抑止するタイマである。第２ＷＤＴ１０２の出力は電源回路１０４の入力に接続されており、第２ＷＤＴ１０２の入力は、第２ＯＲ回路１０６の出力に接続されている。第２ＷＤＴ１０２には、マイコン１００が正常に起動完了するのに十分な時間、すなわち、起動に要する時間よりも長い第２タイムアップ時間Ｔ２が設定されている。
　第２ＷＤＴ１０２は、第２ＯＲ回路１０６を介して電源回路１０４からのパワーオンリセット信号１２０またはマイコン１００からの第２ＷＤＴリセット信号１２２の入力を受け付けると、カウンタをクリアし、計時を開始する。そして、第２ＷＤＴ１０２は、第２タイムアップ時間Ｔ２が経過すると、第２ＷＤＴタイムアップ信号１２５を電源回路１０４に出力する。第２ＷＤＴタイムアップ信号１２５は、第２タイムアップ時間Ｔ２が経過したことを通知する信号である。また、第２ＷＤＴ１０２は、第２ＯＲ回路１０６を介してマイコン１００から第２ＷＤＴリセット信号１２２の入力を受け付けると、カウンタをクリアし、計時を再実行する。第２ＷＤＴ１０２は、マイコン１００から起動完了信号１２３をの入力を受け付けると、カウンタによる計時を停止する。これにより、正常にマイコン１００が起動した後におけるマイコン１００の電源断を抑止することができる。
　電源回路１０４は、マイコン１００、第１ＷＤＴ１０１、および第２ＷＤＴ１０２に電力を供給する供給源である。そして、電源回路１０４は、マイコン１００、第１ＷＤＴ１０１、および第２ＷＤＴ１０２を起動するために、マイコン１００、第１ＯＲ回路１０５、および第２ＯＲ回路１０６に、パワーオンリセット信号１２０を出力する。
　第１ＯＲ回路１０５は、３入力１出力のＯＲ回路である。第１ＯＲ回路１０５は、電源回路１０４からのパワーオンリセット信号１２０、マイコン１００からの第１ＷＤＴ定期リセット信号１２１、または、第１ＷＤＴ１０１からの第１ＷＤＴタイムアップ信号１２４の少なくともいずれか１つが入力された場合に、第１ＷＤＴ１０１のカウンタをリセットするリセット信号を第１ＷＤＴ１０１に出力する。
　第２ＯＲ回路１０６は、２入力１出力のＯＲ回路である。第２ＯＲ回路１０６は、電源回路１０４からのパワーオンリセット信号１２０、または、第１ＷＤＴ１０１からの第２ＷＤＴリセット信号１２２の少なくともいずれか１つが入力された場合に、第２ＷＤＴ１０２のカウンタをリセットするリセット信号を第２ＷＤＴ１０２に出力する。
　障害検出装置１では、マイコン１００が正常状態の場合、マイコン１００は定期的に第１ＷＤＴ定期リセット信号１２１を第１ＯＲ回路１０５を介して第１ＷＤＴ１０１に出力することにより、第１タイムアップ時間Ｔ１の経過前に第１ＷＤＴ１０１のカウンタをリセットする。したがって、第１ＷＤＴ１０１においてタイムアップは発生しない。また、第２ＷＤＴ１０２も、マイコン１００が時間内に起動すればタイムアップしない。
　マイコン１００に異常が発生した場合、マイコン１００は第１ＷＤＴ定期リセット信号１２１を第１ＯＲ回路１０５を介して第１ＷＤＴ１０１に出力しなくなる。したがって、第１ＷＤＴ１０１は第１タイムアップ時間Ｔ１の経過により、第１ＷＤＴタイムアップ信号１２４をマイコン１００に出力する。マイコン１００は、第１ＷＤＴタイムアップ信号１２４の入力を受け付けると、プログラムを再起動する。これにより、マイコン１００の異常が、第１ＷＤＴ定期リセット信号１２１が出力できない障害であったり、一時的な障害であれば、プログラムの再起動によりマイコン１００が正常に起動することになる。
　また、マイコン１００に異常が発生したが、当該異常が第１ＷＤＴ定期リセット信号１２１が出力できる障害であったり、恒久的な障害である場合、マイコン１００は、プログラムの再起動を繰り返すことになり、暴走状態が継続する。したがって、障害検出装置１では、暴走状態の継続抑止のため、第２ＷＤＴ１０２は、マイコン１００から起動完了信号１２３や第２ＷＤＴリセット信号１２２が入力されずに第２タイムアップ時間Ｔ２が経過すると、第２ＷＤＴタイムアップ信号１２５を電源回路１０４に出力する。電源回路１０４は、第２ＷＤＴタイムアップ信号１２５の入力を受け付けると、マイコン１００の電力供給を停止し、マイコン１００の電源はＯＦＦになる。これにより、マイコン１００に異常が発生したが、当該異常が第１ＷＤＴ定期リセット信号１２１が出力できる障害であったり、恒久的な障害である場合、暴走状態の継続を抑止することができる。
　＜障害検出装置１における動作処理手順例＞
　図２は、障害検出装置１における動作処理手順例を示すフローチャートである。図２において、左側がマイコン１００の動作処理手順例、中央が第１ＷＤＴ１０１の動作処理手順例、右側が第２ＷＤＴ１０２の動作処理手順例を示す。利用者の操作または外部からのトリガにより障害検出装置１の電源がＯＮになると（ステップＳ２００）、電源回路１０４からマイコン１００、第１ＷＤＴ１０１および第２ＷＤＴ１０２に電力供給され、第１ＷＤＴ１０１および第２ＷＤＴ１０２が起動する（ステップＳ２１１、Ｓ２２１）。
　まず、マイコン１００の動作から説明する。マイコン１００は、電源回路１０４からパワーオンリセット信号１２０の入力を受け付けると、プログラムの起動を開始する（ステップＳ２０１）。そして、マイコン１００は、第１ＷＤＴリセット（ステップＳ２０２）を繰り返す。第１ＷＤＴリセット（ステップＳ２０２）とは、第１ＷＤＴ定期リセット信号１２１を出力することである。これにより、第１ＷＤＴ１０１は、第１ＷＤＴ定期リセット信号１２１が入力されると、カウンタをリセットする（ステップＳ２１２）。
　そして、プログラムの起動が完了すると（ステップＳ２０３）、マイコン１００は、第２ＷＤＴ１０２を停止させる（ステップＳ２０４）。具体的には、マイコン１００は、起動完了信号１２３を第２ＷＤＴ１０２に出力する。これにより、第２ＷＤＴ１０２は、第２ＷＤＴ１０２の動作を停止する（ステップＳ２２６）。プログラムの起動後は、マイコン１００は、通常通り、第１ＷＤＴ１０１の第１定期リセット信号の出力（ステップＳ２０５）と、監視対象処理（ステップＳ２０６）と、を繰り返す。監視対象処理（ステップＳ２０６）が障害により停止すると、第１タイムアップ時間Ｔ１のタイムアップ（ステップＳ２１５）により、マイコン１００がリセットされ（ステップＳ２１６）、プログラムの再起動（ステップＳ２０１）、第１ＷＤＴ１０１のカウンタクリア（ステップＳ２１２）、および第２ＷＤＴ１０２のカウンタクリア（ステップＳ２２１）が実行されることになる。
　つぎに、第１ＷＤＴ１０１の動作について説明する。第１ＷＤＴ１０１は、第１ＷＤＴ１０１の起動後、電源回路１０４からパワーオンリセット信号１２０の入力を受け付けると、第１タイムアップ時間Ｔ１を計時するカウンタをクリアする（ステップＳ２１２）。ステップＳ２１２は、マイコン１００のＷＤＴリセット（ステップＳ２０２）により、第１ＷＤＴ定期リセット信号１２１の入力を受け付けた場合も実行される。
　そして、１秒スリープ後（ステップＳ２１３）、第１ＷＤＴ１０１はカウンタを加算し（ステップＳ２１４）、タイムアップか否か、すなわち、カウンタの値が第１タイムアップ時間Ｔ１を超えたか否かを判断する（ステップＳ２１５）。タイムアップでない場合（ステップＳ２１５：Ｎｏ）、第１ＷＤＴ１０１は、１秒スリープ（ステップＳ２１３）とカウンタ加算（ステップＳ２１４）を繰り返す。
　タイムアップである場合（ステップＳ２１５：Ｙｅｓ）、第１ＷＤＴ１０１は、マイコン１００を再起動させる（ステップＳ２１６）。すなわち、第１ＷＤＴ１０１は、第１ＷＤＴタイムアップ信号１２４をマイコン１００に出力する。これにより、マイコン１００はプログラムの再起動を開始する（ステップＳ２０１）。その後、第１ＷＤＴ１０１は、ステップＳ２１２に戻り、カウンタをクリアする（ステップＳ２１２）。
　つぎに、第２ＷＤＴ１０２の動作について説明する。第２ＷＤＴ１０２は、第１ＷＤＴ１０１の起動後、電源回路１０４からパワーオンリセット信号１２０の入力を受け付けると、第２タイムアップ時間Ｔ２を計時するカウンタをクリアする（ステップＳ２２２）。
　そして、１秒スリープ後（ステップＳ２２３）、第２ＷＤＴ１０２はカウンタを加算し（ステップＳ２２４）、停止指示があるか否かを判断する（ステップＳ２２５）。具体的には、第２ＷＤＴ１０２は、マイコン１００からの起動完了信号１２３の入力を受け付けたか否かを判断する。停止指示がある場合（ステップＳ２２５：Ｙｅｓ）、すなわち、起動完了信号１２３の入力があった場合、マイコン１００の起動が完了したため、第２ＷＤＴ１０２は、動作を停止する（ステップＳ２２６）。一方、停止指示がない場合（ステップＳ２２５：Ｎｏ）、すなわち、起動完了信号１２３の入力がない場合、第２ＷＤＴ１０２は、タイムアップか否か、すなわち、カウンタの値が第２タイムアップ時間Ｔ２を超えたか否かを判断する（ステップＳ２２７）。タイムアップでない場合（ステップＳ２２７：Ｎｏ）、第２ＷＤＴ１０２は、１秒スリープ（ステップＳ２２３）とカウンタ加算（ステップＳ２２４）を繰り返す。
　タイムアップである場合（ステップＳ２２７：Ｙｅｓ）、第２ＷＤＴ１０２は、第２ＷＤＴタイムアップ信号１２５を電源回路１０４に出力して、電源回路１０４により障害検出装置１の電力供給を停止させる（ステップＳ２２８）。これにより、電源回路１０４は、障害検出装置１の電源をＯＦＦにするため、第１ＷＤＴ１０１の暴走が抑止される。
　＜障害検出装置１の冗長化例＞
　図３は、図２に示した障害検出装置１の冗長化例を示す説明図である。図３は、ブレードサーバ３００に実装された障害検出装置１の冗長化例でる障害検出システムを示す。障害検出システムであるブレードサーバ３００は、シャーシ３０１と、着脱可能な１以上のブレード３０２であるブレード群３０３と、２台のサービスプロセッサ（以下、ＳＶＰ（Ｓｅｒｖｉｃｅ　Ｐｒｏｃｅｓｓｏｒ））３０４－１，３０４－２と、を有する。ブレード群３０３と第１ＳＶＰ３０４－１とは、ネットワークにより通信可能に接続される。ブレード群３０３と第２ＳＶＰ３０４－２とは、ネットワークにより通信可能に接続される。第１ＳＶＰ３０４－１と第２ＳＶＰ３０４－２を区別しない場合は、枝番を省略して、単に「ＳＶＰ３０４」と表記する。他の符号も同様である。
　シャーシ３０１は、ブレード群３０３が着脱可能な筐体である。ブレード３０２は、Ｗｅｂサービス、データベースサービス、分析サービスその他何らかの情報処理を実行するサーバである。ＳＶＰ３０４は、ブレード群３０３を管理するモジュールである。ＳＶＰ３０４は、ネットワークスイッチ３０５と障害検出装置１とを有する。ネットワークスイッチ３０５は、障害検出装置１との接続相手となるブレード３０２を切り替える。第１の障害検出装置１－１の第１のマイコン１００－１と第２の障害検出装置１－２のマイコン１００－２とは、回線３０７により通信可能に接続される。両マイコン１００－１，１００－２は、同期をとりあって主系および待機系を決定したり、他方のＳＶＰ３０４の再起動や電源ＯＦＦを検出しあう。
　ブレードサーバ３００は、起動時に両ＳＶＰ３０４のうちいずれか一方のＳＶＰ３０４を主系に決定し、他方のＳＶＰ３０４を待機系に決定する。ブレードサーバ３００では、起動時にいずれか一方のＳＶＰ３０４のマイコン１００の起動処理が暴走しても抑止されるため、他方のＳＶＰ３０４が主系となって運用される。
　＜ＳＶＰの動作処理手順例＞
　図４は、図３に示したＳＶＰ３０４の動作処理シーケンス例１を示すシーケンス図である。各障害検出装置１の動作処理は、図２に示した通りであるが、図４では、両ＳＶＰ３０４間のシーケンスに着目して説明する。なお、図４では、いずれのマイコン１００にも障害が発生しない場合の正常時のシーケンス例である。
　ブレードサーバ３００の主電源がＯＮになると、各ＳＶＰ３０４の電源回路１０４は、自ＳＶＰ３０４内のマイコン１００、第１ＷＤＴ１０１および第２ＷＤＴ１０２に電力供給する。これにより、第１ＷＤＴ１０１および第２ＷＤＴ１０２が起動する。マイコン１００は、電源回路１０４からのパワーオンリセット信号１２０の入力によりプログラムの起動を開始する（ステップＳ４００）。
　両マイコン１００は、主系決定のため同期をとりあい（ステップＳ４０１～Ｓ４０３）、主系および待機系を確定させる（ステップＳ４０４）。その間、各マイコン１００は、第１ＷＤＴ定期リセット信号１２１を自ＳＶＰの第１ＷＤＴ１０１に出力する（ステップＳ４０５）。各マイコン１００は、プログラムの起動が完了すると、起動完了信号１２３を第２ＷＤＴ１０２に出力する（ステップＳ４０６）。これにより、第２ＷＤＴ１０２の動作が停止する。
　図５は、図３に示したＳＶＰ３０４の動作処理シーケンス例２を示すシーケンス図である。各障害検出装置１の動作処理は、図２に示した通りであるが、図５でも、両ＳＶＰ３０４間のシーケンスに着目して説明する。なお、図５では、マイコン１００間の同期中にマイコン１００－２も障害が発生し、かつ、当該異常が第１ＷＤＴ定期リセット信号１２１が出力できる障害であったり、恒久的な障害である場合の障害時のシーケンス例である。したがって、マイコン１００－２は再起動開始後も障害が発生することになる。なお、図４と同一処理には同一ステップ番号を付す。
　ブレードサーバ３００の主電源がＯＮになると、各ＳＶＰ３０４の電源回路１０４は、自ＳＶＰ３０４内のマイコン１００、第１ＷＤＴ１０１および第２ＷＤＴ１０２に電力供給する。これにより、第１ＷＤＴ１０１および第２ＷＤＴ１０２が起動する。マイコン１００は、電源回路１０４からのパワーオンリセット信号１２０の入力によりプログラムの起動を開始する（ステップＳ４００）。
　両マイコン１００は、主系決定のため同期をとりあう（ステップＳ４０１、Ｓ４０２）が、同期２（ステップＳ４０２）のあとに、マイコン１００－２で障害が発生する。障害発生により、マイコン１００－２の動作が停止するため、第１ＷＤＴ１０１－２のタイムアップにより、第１ＷＤＴ１０１－２は第１ＷＤＴタイムアップ信号１２４をマイコン１００－２に出力する（ステップＳ５０１）。また、第１ＷＤＴ１０１－２は、第１ＷＤＴタイムアップ信号１２４を帰還させてリセット、すなわち、カウンタをクリアする（ステップＳ５０２）。なお、第２ＷＤＴ１０２－２はカウンタをクリアせずに、カウンタ加算を継続する（ステップＳ２２４）。
　また、マイコン１００－２は、第１ＷＤＴタイムアップ信号１２４の入力を受け付けるとプログラムの再起動を開始し（ステップＳ５０３）、再起動開始通知を回線３０７経由でマイコン１００－１に送信する（ステップＳ５０４）。マイコン１００－１は、再起動開始通知をマイコン１００－２から受信すると、同期のやり直しのため、プログラムの再起動を開始する（ステップＳ５０５）。また、これにともない、第１ＷＤＴ１０１－１および第２ＷＤＴ１０２－１はリセット、すなわち、カウンタをクリアする（ステップＳ５０５、Ｓ５０６）。具体的には、マイコン１００－１は、第１ＷＤＴ定期リセット信号１２１を第１ＯＲ回路１０５－１を介して第１ＷＤＴ１０１－１に出力し、第２ＷＤＴリセット信号１２２を第２ＯＲ回路１０６－１を介して第２ＷＤＴ１０２－１に出力する。
　その後、両マイコン１００は、再度主系決定のため同期をとりあう（ステップＳ４０１、Ｓ４０２）が、同期２（ステップＳ４０２）のあとに、マイコン１００－２で再度障害が発生する。障害発生により、マイコン１００－２の動作が停止するため、第１ＷＤＴ１０１－２のタイムアップにより、第１ＷＤＴ１０１－２は第１ＷＤＴタイムアップ信号１２４をマイコン１００－２に出力する（ステップＳ５０１）。また、第１ＷＤＴ１０１－２は、第１ＷＤＴタイムアップ信号１２４を帰還させてリセット、すなわち、カウンタをクリアする（ステップＳ５０２）。なお、第２ＷＤＴ１０２－２はカウンタをクリアせずに、カウンタ加算を継続する（ステップＳ２２４）。
　また、マイコン１００－２は、第１ＷＤＴタイムアップ信号１２４の入力を受け付けるとプログラムの再起動を開始し（ステップＳ５０３）、再起動開始通知を回線３０７経由でマイコン１００－１に送信する（ステップＳ５０４）。マイコン１００－１は、再起動開始通知をマイコン１００－２から受信すると、同期のやり直しのため、プログラムの再起動を開始する（ステップＳ５０５）。また、これにともない、第１ＷＤＴ１０１－１および第２ＷＤＴ１０２－１はリセット、すなわち、カウンタをクリアする（ステップＳ５０５、Ｓ５０６）。具体的には、マイコン１００－１は、第１ＷＤＴ定期リセット信号１２１を第１ＯＲ回路１０５－１を介して第１ＷＤＴ１０１－１に出力し、第２ＷＤＴリセット信号１２２を第２ＯＲ回路１０６－１を介して第２ＷＤＴ１０２－１に出力する。
　このあと、第２ＳＶＰ３０４－２の第２ＷＤＴ１０２でタイムアップが発生し、第２ＷＤＴ１０２－２は第２ＷＤＴタイムアップ信号１２５を電源回路１０４－２に出力し、電源回路１０４－２は、第２ＳＶＰ３０４－２の電源をＯＦＦにする（ステップＳ５０８）。これにより、マイコン１００－２の障害検出による再起動の繰り返しが抑止される。
　また、第１ＳＶＰ３０４－１では、マイコン１００－１はマイコン１００－２の電源ＯＦＦを検出することで、自身を主系に確定する（ステップＳ５０９）。マイコン１００－１は、プログラムの起動を完了すると、起動完了信号１２３を第２ＷＤＴ１０２－１に出力する（ステップＳ４０６－１）。これにより、第２ＷＤＴ１０２－１の動作が停止する。
　このように、マイコン１００－２の障害によりマイコン１００－２が再起動と障害発生を繰り返しても、第２ＷＤＴ１０２のタイムアップにより、マイコン１００－２の電源がＯＦＦになる。したがって、マイコン１００－２の暴走を抑止することができる。また、マイコン１００－２の電源ＯＦＦをマイコン１００－１が検出することにより、第１ＳＶＰ３０４－１が主系に決定され、起動処理が完了する。したがって、マイコン１００－２の異常が第１ＷＤＴ定期リセット信号１２１が出力できる障害であったり、恒久的な障害である場合であっても、同期処理（ステップＳ４０１、Ｓ４０２）が打ち切られ、マイコン１００－２が所属する第２ＳＶＰ３０４－２が切り離されるため、ブレードサーバ３００は、起動処理の遅延を抑制することができる。まお、障害があるマイコン１００－２については、メンテナンスにより正常な状態に復旧した場合に、再度ブレードサーバ３００に接続すればよい。
　＜障害検出装置１の他の例＞
　なお、上述した実施例では、第２ＷＤＴ１０２はタイムアップによりマイコン１００の電源をＯＦＦにさせる点について説明したが、電源ＯＦＦではなく、第２ＷＤＴ１０２のタイムアップにより、マイコン１００の再起動を停止するように制御してもよい。
　図６は、障害検出装置のブロック構成の他の例を示す説明図である。図６では、図１との相違点を中心に説明し、図１と同一構成には同一符号を付し、説明を省略する。障害検出装置１０は、ＡＮＤ回路６００を有する。ＡＮＤ回路６００は、２入力１出力のＡＮＤ回路であり、第１ＷＤＴタイムアップ信号１２４の出力を第２ＷＤＴタイムアップ信号１２５により制御する出力制御部である。
　ＡＮＤ回路６００の一方の入力が第１ＷＤＴ１０１の出力に接続され、他方の入力が第２ＷＤＴ１０２の出力と接続されている。他方の入力である否定入力は、第２ＷＤＴ１０２から出力される第２ＷＤＴタイムアップ信号１２５が入力される。ＡＮＤ回路６００の出力は、マイコン１００の入力および第１ＯＲ回路１０５の入力に接続される。また、図６では、第２ＷＤＴ１０２の出力が電源回路１０４に接続されておらず、ＡＮＤ回路６００の否定入力に接続される。
　ＡＮＤ回路６００は、第１ＷＤＴ１０１のタイムアップにより第１ＷＤＴタイムアップ信号１２４が出力され、かつ、第２ＷＤＴ１０２から第２ＷＤＴタイムアップ信号１２５が出力されていない場合、第１ＷＤＴタイムアップ信号１２４をマイコン１００に出力する。これにより、マイコン１００はプログラムの再起動を開始し、第１ＷＤＴ１０１もカウンタをクリアし、計時を再実行する。
　マイコン１００が障害により暴走した場合、第２ＷＤＴ１０２のタイムアップにより、第２ＷＤＴ１０２は第２ＷＤＴタイムアップ信号１２５をＡＮＤ回路６００の否定入力に出力する。これにより、ＡＮＤ回路６００からの第１ＷＤＴタイムアップ信号１２４の出力が停止され、マイコン１００は再起動されず、第１ＷＤＴ１０１もリセットされない。したがって、マイコン１００および第１ＷＤＴは動作しない。
　また、図５のシーケンスでは、マイコン１００－２の電源ＯＦＦをマイコン１００－１が検出したが、図６の障害検出装置１０を実装した場合、マイコン１００－２の電源はＯＦＦにならない。したがって、この場合は、マイコン１００－１は、マイコン１００－２の応答が一定期間ない場合に自身を主系に確定する。
　このように、本実施例によれば、障害が発生した監視対象の再起動を電源断または再起動停止をすることにより、起動時における監視対象の暴走を抑止することができる。また、障害検出装置を冗長化した場合、障害が発生した監視対象の起動時における暴走を抑止することにより、障害が発生した監視対象をシステムから切り離すことができる。したがって、障害が発生していない監視対象の起動時間の遅延を抑制することができ、システムの早期運用開始を図ることができる。
　また、上述したブレードサーバ３００において、両ＳＶＰ３０４に図１の障害検出装置１を実装する例を説明したが、両ＳＶＰ２０４に図６の障害検出装置１０を実装してもよく、また、一方のＳＶＰ３０４に障害検出装置１を実装し、他方のＳＶＰ３０４に障害検出装置１０を実装してもよい。
　なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加、削除、または置換をしてもよい。
　また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。
　各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。
　また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

Claims (7)

  1. 　起動開始から所定時間内にリセット信号を出力する監視対象の障害を検出する障害検出装置であって、
    　前記所定時間よりも長く、かつ、前記監視対象が起動に要する時間よりも短い第１タイムアップ時間が設定されており、前記監視対象の起動開始または前記リセット信号の入力により第１カウンタをリセットして計時を開始し、前記第１タイムアップ時間が経過した場合、当該経過を示す第１タイムアップ信号を前記監視対象に出力することにより前記監視対象の起動を再度開始させ、かつ、前記第１カウンタをリセットして計時する第１タイマと、
    　前記監視対象が起動に要する時間よりも長い第２タイムアップ時間が設定されており、前記監視対象の起動開始により第２カウンタをリセットして計時を開始し、前記第２タイムアップ時間が経過した場合、当該経過を示す第２タイムアップ信号を出力する第２タイマと、
    　前記監視対象に電力を供給し、前記第２タイマから前記第２タイムアップ信号が入力された場合、前記監視対象への電力の供給を停止する供給源と、
    　を有することを特徴とする障害検出装置。
  2. 　起動開始から所定時間内にリセット信号を出力する監視対象の障害を検出する障害検出装置であって、
    　前記所定時間よりも長く、かつ、前記監視対象が起動に要する時間よりも短い第１タイムアップ時間が設定されており、前記監視対象の起動開始または前記リセット信号の入力により第１カウンタをリセットして計時を開始し、前記第１タイムアップ時間が経過した場合、当該経過を示す第１タイムアップ信号を出力する第１タイマと、
    　前記監視対象が起動に要する時間よりも長い第２タイムアップ時間が設定されており、前記監視対象の起動開始により第２カウンタをリセットして計時を開始し、前記第２タイムアップ時間が経過した場合、当該経過を示す第２タイムアップ信号を出力する第２タイマと、
    　前記第１タイムアップ信号および前記第２タイムアップ信号のうち、前記第１タイムアップ信号のみが入力された場合、前記第１タイムアップ信号を前記監視対象に出力することにより前記監視対象の起動を再度開始させ、かつ、前記第１カウンタをリセットし、さらに、前記第２タイムアップ信号が入力された場合、前記監視対象への前記第１タイムアップ信号の出力を停止する出力制御部と、
    　を有することを特徴とする障害検出装置。
  3. 　前記監視対象は、前記第１タイムアップ信号が入力された場合、再起動を開始して、前記リセット信号を出力し、
    　前記第１タイマは、前記第１タイムアップ信号が入力された場合、前記第１カウンタをリセットして計時することを特徴とする請求項１または２に記載の障害検出装置。
  4. 　前記第２タイマは、前記監視対象の起動が完了した場合、前記第２カウンタによる計時を停止することを特徴とする請求項１または２に記載の障害検出装置。
  5. 　障害検出装置を複数有する障害検出システムであって、
    　前記障害検出装置の各々は、
    　起動開始から所定時間内にリセット信号を出力し、かつ、他の障害検出装置における他の監視対象と同期処理を実行する監視対象と、
    　前記所定時間よりも長く、かつ、前記監視対象が起動に要する時間よりも短い第１タイムアップ時間が設定されており、前記監視対象の起動開始または前記リセット信号の入力により第１カウンタをリセットして計時を開始し、前記第１タイムアップ時間が経過した場合、当該経過を示す第１タイムアップ信号を前記監視対象に出力することにより前記監視対象の起動を再度開始させ、かつ、前記第１カウンタをリセットして計時する第１タイマと、
    　前記監視対象が起動に要する時間よりも長い第２タイムアップ時間が設定されており、前記監視対象の起動開始により第２カウンタをリセットして計時を開始し、前記第２タイムアップ時間が経過した場合、当該経過を示す第２タイムアップ信号を出力する第２タイマと、
    　前記監視対象に電力を供給し、前記第２タイマから前記第２タイムアップ信号が入力された場合、前記監視対象への電力の供給を停止する供給源と、を有し、
    　前記監視対象は、前記他の監視対象の再起動を検出した場合、前記第１カウンタおよび前記第２カウンタをリセットし、かつ、前記監視対象の起動を再度開始し、
    　前記監視対象は、前記他の監視対象への電力の供給の停止を検出した場合、前記同期処理を終了してから、起動を完了することを特徴とする障害検出システム。
  6. 　前記監視対象は、前記第１タイムアップ信号が入力された場合、再起動を開始して、前記リセット信号を出力し、
    　前記第１タイマは、前記第１タイムアップ信号が入力された場合、前記第１カウンタをリセットして計時することを特徴とする請求項５に記載の障害検出システム。
  7. 　前記第２タイマは、前記監視対象の起動が完了した場合、前記第２カウンタによる計時を停止することを特徴とする請求項５または６に記載の障害検出システム。
PCT/JP2015/066053 2015-06-03 2015-06-03 障害検出装置および障害検出システム WO2016194170A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2015/066053 WO2016194170A1 (ja) 2015-06-03 2015-06-03 障害検出装置および障害検出システム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2015/066053 WO2016194170A1 (ja) 2015-06-03 2015-06-03 障害検出装置および障害検出システム

Publications (1)

Publication Number Publication Date
WO2016194170A1 true WO2016194170A1 (ja) 2016-12-08

Family

ID=57440335

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/066053 WO2016194170A1 (ja) 2015-06-03 2015-06-03 障害検出装置および障害検出システム

Country Status (1)

Country Link
WO (1) WO2016194170A1 (ja)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS5451438A (en) * 1977-09-30 1979-04-23 Fujitsu Ltd Control system for system failure detection
JPH0675824A (ja) * 1992-08-27 1994-03-18 Fujitsu Ten Ltd Ｃｐｕの動作監視装置
JP2007226527A (ja) * 2006-02-23 2007-09-06 Denso Corp 制御装置及びウォッチドッグタイマ
JP2008225807A (ja) * 2007-03-13 2008-09-25 Yaskawa Electric Corp 制御装置およびそのプログラム暴走監視方法
JP2008225858A (ja) * 2007-03-13 2008-09-25 Nec Corp Ｂｉｏｓストール障害時の復旧装置、その方法及びそのプログラム
JP2015049827A (ja) * 2013-09-04 2015-03-16 Ｎｅｃプラットフォームズ株式会社 回路装置および回路装置の復旧方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS5451438A (en) * 1977-09-30 1979-04-23 Fujitsu Ltd Control system for system failure detection
JPH0675824A (ja) * 1992-08-27 1994-03-18 Fujitsu Ten Ltd Ｃｐｕの動作監視装置
JP2007226527A (ja) * 2006-02-23 2007-09-06 Denso Corp 制御装置及びウォッチドッグタイマ
JP2008225807A (ja) * 2007-03-13 2008-09-25 Yaskawa Electric Corp 制御装置およびそのプログラム暴走監視方法
JP2008225858A (ja) * 2007-03-13 2008-09-25 Nec Corp Ｂｉｏｓストール障害時の復旧装置、その方法及びそのプログラム
JP2015049827A (ja) * 2013-09-04 2015-03-16 Ｎｅｃプラットフォームズ株式会社 回路装置および回路装置の復旧方法

Similar Documents

Publication Publication Date Title
CN107122321B (zh) 硬件修复方法、硬件修复系统以及计算机可读取存储装置
US8667315B2 (en) Synchronization control apparatus, information processing apparatus, and synchronization management method for managing synchronization between a first processor and a second processor
US20060259815A1 (en) Systems and methods for ensuring high availability
US8661290B2 (en) Saving power in computing systems with redundant service processors
US20210255939A1 (en) System and method for improving detection and capture of a host system catastrophic failure
WO2018095107A1 (zh) 一种bios程序的异常处理方法及装置
TWI529624B (zh) Method and system of fault tolerance for multiple servers
US10275330B2 (en) Computer readable non-transitory recording medium storing pseudo failure generation program, generation method, and generation apparatus
JP2003150280A (ja) バックアップ管理システムおよび方法
US20120131384A1 (en) Computer system
JPWO2015104841A1 (ja) 多重系システムおよび多重系システム管理方法
TW201423390A (zh) 電腦系統及其操作方法
US20110296236A1 (en) Information Processing Apparatus
US10852792B2 (en) System and method for recovery of sideband interfaces for controllers
US10416913B2 (en) Information processing device that monitors operation of storage utilizing specific device being connected to storage
JP5909948B2 (ja) 情報処理装置および情報処理装置の試験方法
WO2016194170A1 (ja) 障害検出装置および障害検出システム
TWI675296B (zh) 備援方法及備援系統
JP2008015704A (ja) マルチプロセッサシステム
TWI779682B (zh) 電腦系統、電腦伺服器及其啟動方法
JP2003256240A (ja) 情報処理装置及びその障害回復方法
WO2014112039A1 (ja) 情報処理装置、情報処理装置制御方法及び情報処理装置制御プログラム
JP5335150B2 (ja) 計算機装置及びプログラム
JP2013186688A (ja) ストレージ制御装置、ストレージ装置、ストレージ装置の制御方法及びプログラム
KR101564144B1 (ko) 펌웨어 관리 장치 및 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15894203

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15894203

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP