JP3025732B2

JP3025732B2 - 多重化コンピュータシステムの制御方式

Info

Publication number: JP3025732B2
Application number: JP5176552A
Authority: JP
Inventors: 一洋島田; 俊正曾我部; 博之中山; 桂介河合
Original assignee: PFU Ltd
Current assignee: PFU Ltd
Priority date: 1993-07-16
Filing date: 1993-07-16
Publication date: 2000-03-27
Anticipated expiration: 2015-03-27
Also published as: JPH0736721A

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、運用系で障害が発生し
たとき、他の新運用系が、当該運用系の業務を引き継
ぎ、さらには当該障害を解析する多重化コンピュータシ
ステム、例えば銀行のオンラインシステムや交通管制シ
ステムなどに適用される多重化コンピュータシステムに
関する。特に、業務引継用記憶装置と障害解析用記憶装
置とを運用系および新運用系の共通資源とし、障害発生
時、業務引継用記憶装置を新運用系に接続して、運用系
から新運用系への業務継続処理の高速化を図るととも
に、障害解析用の運用系情報を障害解析用記憶装置に格
納した後で当該装置を新運用系に接続して、当該新運用
系での障害解析処理の確実化・迅速化を図るようにし
た、多重化コンピュータシステムの制御方式に関する。
なお、新運用系として動作するコンピュータシステムは
運用系が正常動作時の待機系コンピュータシステムであ
る。

【０００２】また、新運用系に業務を引き継いでもらっ
た運用系（障害系）が復旧した場合、業務引継用記憶装
置を新運用系が使用していないことを確認した上で当該
装置を運用系に再接続して、当該運用系での業務再開処
理の正確化を図るようにした、多重化コンピュータシス
テムの制御方式に関する。

【０００３】なお、本明細書で用いる「待機系」とはあ
くまで運用系が担当の第１の業務についてのことであ
り、運用系が正常に動作しているときの「待機系」で
は、・他の第２の業務を実行することなしに専ら運用系の障
害発生に備える・他の第２の業務の運用系として動作することなどが選択的に行われている。そして、後者の「待
機系」の場合には、（第１の業務担当の）運用系がダウ
ンすると本来の仕事である第２の業務に加えて第１の業
務をも実行するかたちの「新運用系」となる。

【０００４】

【従来の技術】図５は一般的な二重化コンピュータシス
テムの適用例を示す説明図であり、21はコンピュータシ
ステム（運用系）、22はコンピュータシステム（待機
系）、23、23′はＣＰＵ、24、24′はメモリ（主記憶装
置）、25、25′はディジタルＩ／Ｏコントローラ（DIO
C) 、26、26′はシステムコントローラ、27、27′はフ
ァイル系コントローラ、28、28′は回線系コントロー
ラ、29、29′はＬＡＮコントローラ、30、30′はシステ
ムディスク装置、31、31′はメモリダンプの出力先とし
ての障害解析用ディスク装置、32は二重化切替装置、33
は系間通信パス、34は運用系21および待機系22それぞれ
からの入出力が行われる共通ディスク装置（業務引継用
ディスク装置）、35は運用系21に対応の業務引継用ディ
スク装置、36は待機系22に対応の業務引継用ディスク装
置、37は回線切替え装置、38はＬＡＮやＷＡＮなどのネ
ットワーク、39は端末システムをそれぞれ示している。

【０００５】なお、本明細書で用いる「系間通信路」と
は二重化切替装置32または系間通信パス33のことであ
る。また、本明細書を通じて、障害解析用ディスク装置
および業務引継用ディスク装置のそれぞれを必要に応じ
てディスク装置と記述する。

【０００６】ここで、二重化切替装置32は、コンピュー
タシステム同士の相互監視機能を持っており、運用系21
に電源故障やソフトウェアの異常ループ・内部矛盾など
の各種障害が発生したときにはその旨を示す割込みビッ
トを待機系22に通知し、さらには待機系22の方で系間通
信パス33を介して運用系21の障害を検出したときにはそ
の原因を問合せるための系間通信路として用いられる。

【０００７】また、系間通信パス33は二重化されてお
り、待機系22は、運用系21に対する定周期診断、すなわ
ち定周期で所定のメッセージを送信してこれに対する返
事を確認するといった診断処理を行い、運用系21からの
所定の返事を確認できないときには二重化切替装置32の
表示ビットを使用して運用系21に障害原因を問い合わせ
ている。

【０００８】このように、運用系21からの障害発生通知
といった相互監視ルートと、待機系22から運用系21に送
ったメッセージに対する所定の応答の有無といった定周
期診断ルートとの２系統により、待機系22は各種障害が
発生していないかどうかをチェックしている。

【０００９】そして、待機系22は、前記の相互監視ルー
トまたは定周期診断ルートのいずれかにより障害発生を
確認すると、運用系21に対してもう一方のルート経由で
障害原因を問い合わせるようにしている。

【００１０】これは、相互監視ルートまたは定周期診断
ルートのハードウェア障害が発生しているだけで運用系
21は正常に動作している場合と、運用系21のソフトウェ
アや電源などの障害が発生している場合とを識別し、後
者についてのみ待機系を切り替えて新運用系に設定する
ためである。

【００１１】すなわち、前者の場合には、障害原因の問
い合わせに対する応答として、電源やソフトウェアの正
常動作を示す表示ビットなどが運用系21から待機系22に
送られるが、後者の場合にはこのようなことはない。な
お、相互監視ルートと定周期診断ルートのそれぞれから
障害発生が確認されたときには、待機系22は、運用系21
に対して障害原因を問い合わせることなしに当該運用系
内部での障害発生と判断する。

【００１２】図６は一般的な二重化切替装置32の具体例
を示す説明図であり、23、23′はＣＰＵ、25、25′はデ
ィジタルＩ／Ｏコントローラ（DIOC) 、41は電源異常通
知の入力ビット(COMP)、42はパニック発生通知の入力ビ
ット(CALL)、43はパニック発生通知の出力ビット(PANI
C) 、44はソフトウェア故障通知の入力ビット(WDTI: Wa
tch Dog Timer Input) 、45はウォッチドッグタイマ
ー、46、46′は外部設備インタフェースをそれぞれ示し
ている。

【００１３】ここで、電源が切断した系の外部設備イン
タフェース46、46′の信号が変化すると他系の入力ビッ
ト(COMP)41は“１”から“０”に変化し、「ソフトウェ
ア異常（パニック）」が発生したときのパニック関数が
自系の出力ビット(PANIC) 43をONにすると他系の入力ビ
ット(CALL)42が“０”から“１”に変化する。

【００１４】また、ウォッチドッグタイマー45により異
常ループ（無限ループ）やパニックには至らないＯＳプ
ログラムの内部矛盾（デッドロックなど）といった「ソ
フトウェア故障」が検出されたときには、入力ビット(W
DTI)44の値が変化する。

【００１５】このように、ソフトウェアの故障は、その
コンピュータシステム全体が完全に非動作状態となる
「ソフトウェア異常（パニック）」と、その一部は動作
状態のままとなる可能性が高い「ソフトウェア故障」と
に大別される。

【００１６】このような内容を持つ二重化コンピュータ
システムでは、運用系21の障害発生の原因を調査するた
め、そのメモリ24やシステムディスク装置30などの格納
デ−タをディスク装置31に出力すること、すなわちメモ
リダンプが行われる。

【００１７】そして、この障害原因の解析は、障害発生
状態から復旧した運用系（障害系）21がその再立ち上げ
後に自系のディスク装置31の内容を参照することにより
行っている。

【００１８】また、業務引継用ディスク装置35には運用
系21での直近の処理内容が所定単位で順次格納されてお
り、運用系21の障害発生により待機系22が新運用系に切
り替わる際、新運用系（待機系）22はこのディスク装置
35を参照することにより、業務引継ぎに必要なデ−タ、
すなわち運用系21のダウンのために処理が中断したかた
ちとなっている業務デ−タやそれに関連したデ−タなど
（以下の説明では業務引継用デ−タという）を確認する
ことになる。

【００１９】そして、運用系（障害系）21は、ダウン状
態から正常状態に復旧したとき、任意のタイミングで業
務引継用ディスク装置35を自系に接続して本来の分担業
務の実行を再開するか、またはこの業務引継用ディスク
装置35を自系に接続することなくそれまでの状態を継続
することとしている。

【００２０】このとき、待機系（新運用系）22は、前者
の場合には運用系21から引き継いだ業務の実行から開放
され自系の本来の業務のみを実行し、後者の場合には依
然としてこれらの引継ぎ業務と本来の分担業務のそれぞ
れを実行する。

【００２１】

【発明が解決しようとする課題】このように、従来の多
重化コンピュータシステムの制御方式では、メモリダン
プの出力先として自系内（運用系内）の障害解析用ディ
スク装置を用いその解析作業も復旧後の運用系が行って
おり、また、運用系（障害系）は、復旧した後も自系の
本来の分担業務を新運用系から取り戻さずにいるか、取
り戻すとしても業務引継用ディスク装置を任意のタイミ
ングで自系に接続、すなわちこのディスク装置を新運用
系が使用しているかどうかについての考慮なしに自系に
接続している（図７参照）。

【００２２】そのため、障害解析が遅れ、待機系の負担
をいたずらに増やし、さらには業務引継用ディスク装置
が新運用系で使用されている状態で運用系が当該ディス
ク装置を接続するといったことが発生し、この場合には
新運用系の業務引継用ディスク装置に対する入出力が異
常になるだけでなく、このディスク装置上のデ−タの論
理構成に矛盾が発生して全体のデ−タ破壊を招く恐れが
あるという問題点があった。

【００２３】そこで、本発明では、業務引継用記憶装置
と障害解析用記憶装置とを運用系および新運用系で共用
し、障害発生時、業務引継用記憶装置を新運用系に接続
して、資源の節約化や、運用系から新運用系への業務継
続処理の高速化を図るとともに、障害解析用の運用系情
報を障害解析用記憶装置に格納した後で当該装置を新運
用系に接続して、当該新運用系が行なう障害解析処理の
確実化・迅速化を図ることを目的とする。また、運用系
（障害系）が復旧した場合、業務引継用記憶装置を新運
用系が使用していないことを確認した上で当該装置を運
用系に再接続して、当該運用系の業務再開処理の正確化
を図ることを目的とする。

【００２４】

【課題を解決するための手段】図１は本発明の基本構成
図である。図において、１は運用系（コンピュータシス
テム）、２は待機系（新運用系のコンピュータシステ
ム）、３はメモリダンプ先の障害解析用記憶装置、４は
業務引継用デ−タを管理するための業務引継用記憶装置
をそれぞれ示している。なお、障害解析用記憶装置３お
よび業務引継用記憶装置４としてはディスク装置などが
用いられる。

【００２５】業務引継用記憶装置４は運用系１の担当業
務についてのものであり、また、待機系２は少なくとも
運用系１と同程度の処理能力を持つコンピュータシステ
ムであり、両者の間では従来と同じように相互監視や定
周期診断が行われている。

【００２６】ここで、運用系で障害が発生してその後復
旧したときの運用系および待機系における基本的な処理
手順は次のようになっている。すなわち、待機系２で
は、′相互監視機能や定周期診断機能により障害発生
を確認（または後述の障害発生との判断を）して運用系
１に対し強制ダウン処理の指示を送る。′運用系１で
のダウン処理にともなって業務引継用記憶装置４を自系
に接続する。′運用系１からの出力処理の終了通知を
受けてから障害解析用記憶装置３を自系に接続する。
′復旧後の運用系１からの問い合わせに応じて業務引
継用記憶装置４を自系で使用しているどうかを調べ、
「使用していない」場合にはこの業務引継用記憶装置４
をオフライン処理してその旨を、また「使用している」
場合にはその旨をそれぞれ運用系１に回答する。といっ
た一連の処理を実行している。

【００２７】一方、運用系１では、自系での障害発生
を待機系２に通知する。待機系２からの指示（ステッ
プ′）に基づいて強制ダウン処理を行い、また、障害
原因が前記の「ソフトウェア異常（パニック）」である
ときは自発的ダウン処理が行われる。このとき、障害解
析に必要なデ−タを主記憶装置などから障害解析用記憶
装置３に出力する。出力処理が終了したことを待機系
２に通知する。復旧後、待機系２に対して、業務引継
用記憶装置４を使用しているかどうかを問い合わせると
ともに、使用していない場合にはこの記憶装置のオフラ
イン処理を要求する。待機系２からの応答（ステップ
′）に基づき、それが「オフライン処理済」の場合に
は業務引継用記憶装置４を自系に再接続し、「使用中」
の場合にはこの自系への再接続を行わない。といった一
連の処理を実行している。

【００２８】

【作用】本発明は、このように、業務引継用記憶装置と
障害解析用記憶装置を運用系および待機系の共通の記憶
装置で構成しておき、待機系（新運用系）は、運用系の
障害発生時に、業務引継用記憶装置を自系に接続し、か
つ運用系における障害解析用情報の障害解析用記憶装置
への出力処理の終了を確認した後で当該装置を自系に接
続している。また、復旧後の運用系（障害系）は、新運
用系（待機系）が業務引継用記憶装置のオフライン処理
を行ったことを確認してから当該装置を自系に接続して
いる。

【００２９】そのため、業務引継用記憶装置および障害
解析用記憶装置としての資源が節約でき、業務継続処理
および障害解析処理が確実・迅速に行われる。また、業
務を再開する運用系（障害系）が、新運用系（待機系）
で使用中の業務引継用記憶装置を自系に接続してしまう
ことはないので、当該記憶装置のデ−タは確実に保護さ
れて、運用系の業務再開処理が正確に実行される。な
お、図示していないが複数の待機系の場合にも本発明が
適用できることは勿論である。

【００３０】

【実施例】図２〜図４を参照して本発明の実施例を説明
する。なお、以下の説明でも、多重化コンピュータシス
テムの一例として二重化コンピュータシステムを用いる
ことにする。

【００３１】図２は、二重化コンピュータシステムの適
用例を示す説明図であり、図５のものに比べ、ハードウ
ェアの点では各系の個々の障害解析用ディスク装置31、
31′を除いてその代わりに各系に共通の障害解析用ディ
スク装置40を新たに設けたことなどが相違している。

【００３２】図３は、運用系21で障害が発生したときの
メモリダンプ関連の処理手順を示す説明図である。ここ
で、待機系22の処理は次のようになっている。 (11)二重化切替装置32における運用系21からの入力ビッ
ト41、42、44の変化や、系間通信パス33を用いた定周期
診断結果に基づいて運用系21または系間ハードウェア
（二重化切替装置32、系間通信路パス33など）での障害
発生を確認する。 (12)この確認に用いられなかった方のルート、すなわち
入力ビット41、42、44の変化があったときには系間通信
路パス33により、また定周期診断結果で障害発生を確認
したときには二重化切替装置32によりそれぞれの障害原
因を運用系21に問い合わせる。 (13)この問い合わせに対して所定の監視時間内に応答が
ない場合には運用系21でのソフトウェア障害、電源故障
などと判断し、自系の新運用系への切替え処理を行う。

【００３３】そして、このステップ(13)では、・DIOC25′経由による運用系21への強制ダウン指示・運用系21に対応の業務引継用ディスク装置35の自系へ
の接続・ネットワーク38経由による、新運用系への切替えの利
用者への通知・メモリダンプの出力完了（障害解析用ディスク装置40
への格納処理完了）の確認・障害解析用ディスク装置40の自系への接続を順次行っている。

【００３４】一方、運用系（障害系）21では、「ソフト
ウェア異常（パニック）」による障害発生の場合の自発
的ダウン処理や新運用系（待機系22）からの指示に基づ
く強制ダウン処理に続いてメモリダンプの出力処理が行
われ、この出力処理が完了したときにはその旨の通知を
新運用系（待機系22）に送っている。なお、この通知に
は二重化処理装置32の出力ビット(PANIC) 43と入力ビッ
ト(CALL)42とが用いられる。

【００３５】図４は、復旧後の運用系が業務引継用ディ
スク装置35を強制リザーブするときの処理手順を示す説
明図である。すなわち、復旧後の運用系（障害系）21か
ら新運用系（待機系）22への、ディスク装置35のオフラ
イン・リリース指示に対して新運用系22は、 (21)ディスク装置35を使用しているかどうかを判断し、
「YES 」の場合はその旨を運用系21に通知し、「NO」の
場合は次のステップに進む。 (22)ディスク装置35を使用禁止の状態（オフライン）に
して、次のステップに進む。 (23)ディスク装置35に対してリリースを発行してリザー
ブ状態を解除することができたかどうかを判断してその
結果を運用系21に通知する。といった処理を行う。

【００３６】なお、運用系（障害系）21から新運用系
（待機系）22に対するオフライン・リリース指示および
これに対する新運用系22から運用系21への応答はそれぞ
れ系間通信パス33経由で行われる。

【００３７】続いて、復旧後の運用系21は、 (24)先の新運用系22からの回答に基づいて、新運用系22
がディスク装置35をリリースできたかどうかを判断し、
「YES 」の場合は次のステップに進み、「NO」の場合は
「自系への業務引継用ディスク装置35の強制リザーブが
不調」ということで終了する。 (25)ディスク装置35を自系に接続する。といった処理を行っている。

【００３８】

【発明の効果】本発明は、このように、業務引継用記憶
装置と障害解析用記憶装置を運用系および待機系の共通
の記憶装置で構成しておき、待機系（新運用系）は、運
用系の障害発生時に、業務引継用記憶装置を自系に接続
し、かつ運用系における障害解析用情報の障害解析用記
憶装置への出力処理の終了を確認した後で当該装置を自
系に接続している。

【００３９】また、復旧後の運用系は、新運用系の管理
下となっている業務引継用記憶装置を自系に接続して再
び本来の分担業務を実行しようとするとき、新運用系に
対してこの記憶装置がオフライン処理されているかどう
かを問い合わせ、「オフライン処理済」の確認がとれた
場合のみ当該記憶装置を自系に接続するようにしてい
る。

【００４０】そのため、業務引継用記憶装置および障害
解析用記憶装置としての資源を節約でき、業務継続処理
および障害解析処理を確実・迅速に行うことができる。
また、業務引継用記憶装置に対して運用系（障害系）と
新運用系（待機系）の両方の系からアクセス可能となる
ことはないので、当該記憶装置のデ−タを確実に保護し
て、運用系の業務再開処理を正確に行なうことができ
る。

【図面の簡単な説明】

【図１】本発明の、基本構成図である。

【図２】本発明の、二重化コンピュータシステムの適用
例を示す説明図である。

【図３】本発明の、運用系で障害が発生したときのメモ
リダンプ関連の処理手順を示す説明図である。

【図４】本発明の、復旧後の運用系が業務引継用ディス
ク装置を強制リザーブするときの処理手順を示す説明図
である。

【図５】一般的な、二重化コンピュータシステムの適用
例を示す説明図である。

【図６】一般的な、二重化切替装置の具体例を示す説明
図である。

【図７】従来の、復旧後の運用系が業務引継用ディスク
装置を強制リザーブするときの様子を示す説明図であ
る。

【符号の説明】

図１において、１：運用系（コンピュ−タシステム）２：待機系（新運用系のコンピュ−タシステム）３：障害解析用記憶装置４：業務引継用記憶装置

───────────────────────────────────────────────────── フロントページの続き (72)発明者河合桂介神奈川県大和市深見西四丁目２番49号株式会社ピーエフユー大和工場内 (56)参考文献特開平２−77943（ＪＰ，Ａ) 特開平２−83753（ＪＰ，Ａ) (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 11/16 - 11/20 G06F 11/34

Claims

(57)【特許請求の範囲】

【請求項１】運用系で障害が発生したとき、他の新運
用系が、当該運用系の業務を引き継ぐとともに当該障害
を解析する多重化コンピュータシステムにおいて、前記業務の引継ぎのための情報を保持する業務引継用記
憶装置と、前記障害を解析するための情報を保持する障
害解析用記憶装置のそれぞれを、前記運用系および前記
新運用系の共通資源とし、前記新運用系は、前記運用系で障害が発生したことの確
認や当該障害が発生したとの判断に基づいて前記業務引
継用記憶装置を自系に接続し、また、前記運用系が障害
解析用の前記情報を前記障害解析用記憶装置に格納した
旨の当該運用系からの通知に基づいて、当該障害解析用
記憶装置を自系に接続する、ことを特徴とする多重化コンピュータシステムの制御方
式。
【請求項２】運用系で障害が発生したとき、他の新運
用系が、当該運用系の業務を引き継ぐ多重化コンピュー
タシステムにおいて、前記業務の引継ぎのための情報を保持する業務引継用記
憶装置を前記運用系および前記新運用系の共通資源と
し、前記運用系は、その障害状態から復旧したとき、前記新
運用系に対して前記業務引継用記憶装置を使用している
かどうかの問い合わせを行い、その回答内容が「使用し
ていない」旨であることを確認した上で当該業務引継用
記憶装置を自系に接続して自己の業務を再開する、こと
を特徴とする多重化コンピュータシステムの制御方式。
【請求項３】前記新運用系は、自系で前記業務引継用
記憶装置を使用していないことを確認した場合には当該
装置をオフライン状態としてから前記回答内容を前記運
用系に通知する、ことを特徴とする請求項２記載の多重
化コンピュータシステムの制御方式。