JPH0420493B2 - - Google Patents

Description

請求の範囲 １ 各々が処理システムによつて使用される指定
の情報を含む情報の複製を格納するために複数の
補助記憶装置、 該情報の選択された部分を格納するための主記
憶装置、及び該情報の部分を該主記憶装置と該補
助記憶装置の間で伝送するための装置を含む処理
システムにおける、 該主記憶装置と該複数の補助記憶装置の間の該
情報の伝送に障害が発生した場合に少なくとも幾
つかのシステム処理能力が失われるのを保護する
方法であつて、該方法が： 該主記憶装置と少なくとも１つを除く該複数の
補助記憶装置との間の該情報の伝送機能に障害が
発生したことを検出するステツプ； 該検出に応答して指定の全ての情報を該主記憶
装置に格納するステツプ；及び 該指定の情報が該主記憶装置から伝送されるの
を停止するステツプを含む； これによつて該主記憶装置と該複数の補助記憶
装置の間の情報の伝送機能に障害が発生したとき
に該指定された情報が該処理システムによつて使
用できるように該主記憶装置内にとどまることが
確保されることを特徴とする方法。

２ 請求の範囲第１項に記載の方法において、該
指定の全ての情報を該主記憶装置に格納する該ス
テツプが： 該主記憶装置に格納されていない指定の情報を
該少なくとも１つの補助記憶装置から該主記憶装
置に伝送するステツプを含むことを特徴とする方
法。

３ 請求の範囲第１項に記載の方法にいおいて、
更に 該主記憶装置と該少なくとも２個の補助記憶装
置との間の情報伝送機能に回復されたことを検出
するステツプ；及び 該検出に応答して該指定の情報を該主記憶装置
から伝送できるようにするステツプが含まれるこ
とを特徴とする方法。

４ 請求の範囲第１項に記載の方法において、更
に 該主記憶装置と全ての該補助記憶装置の間に情
報伝送機能が失われたことを検出するステツプ；
及び 該検出に応答してシステムの動作を指定された
情報の使用だけに制限するステツプが含まれるこ
とを特徴とする方法。

５ 請求の範囲第４項に記載の方法にいおいて、
更に 該主記憶装置と少なくとも１つの補助記憶装置
の間に情報伝送機能が回復されたことを検出する
ステツプ；及び 該検出に応答してシステム動作の制限を解除
し、一方、該指定の情報が該主記憶装置から伝送
されるのを防止するステツプが含まれることを特
徴とする方法。

６ 請求の範囲第５項に記載に方法において、更
に 該主記憶装置と少なくとも２つの該補助記憶装
置の間の情報伝送機能が回復されたことを検出す
るステツプ；及び 該検出に応答して該指定の情報を該主記憶装置
から伝送できるようにするステツプが含まれるこ
とを特徴とする方法。

７ デイスク記憶装置へのアクセスに喪失に耐え
られる処理システムにおいて、該システムが： 各々が該処理システムによつて使用されるシス
テム動作に必須であると指定されるプロセスを含
むプロセスを格納するのに使用される１対のデイ
スク記憶装置； 選択されたプロセスを格納するのに使用される
主記憶装置； 該主記憶装置と該デイスク記憶装置の間でプロ
セスを伝送するための伝送装置； 該伝送装置と協力して該主記憶装置とデイスク
記憶装置の間のプロセスの伝送機能の喪失を検出
するための装置； 選択されたプロセスをそれらが該主記憶装置か
ら伝送されないように該主記憶装置内にロツクす
るための装置；及び 該伝送機能喪失検出装置に応答して、該主記憶
装置と１つの該デイスク記憶装置との間のプロセ
ス伝送機能の喪失が検出されたとき、該伝送装置
に該主記憶装置に格納されていない指定プロセス
を該主記憶装置内に伝送させ、また該ロツク装置
に指定プロセスを該主記憶装置内のロツクさせる
制御装置を含み、 これによつて該主記憶装置と該両方のデイスク
記憶装置との間のプロセス伝送機能が喪失された
ときでも該指定プロセスが該主記憶装置内にとど
められ該処理システムが処理を継続できるように
されることを特徴とする処理システム。

８ 請求の範囲第７項に記載の処理システムにお
いて、更に 該主記憶装置と１つのデイスク記憶装置との間
のプロセス伝送機能が回復されたことを検出する
ための装置が含まれ；そして 該制御装置がさらに該伝送機能回復装置に応答
して、該主記憶装置と該両方のデイスク記憶装置
との間のプロセス伝送機能の回復が検出されたと
き、ロツク装置に該主記憶装置内の該指定プロセ
スが該主記憶装置から伝送できるようにロツクを
解除させる制御装置を含むことを特徴とする処理
システム。

９ 請求の範囲第８項の記載の処理システムにお
いて、更に 該制御装置が該回復検出装置に応答して、該主
記憶装置と該両方のデイスク記憶装置との間のプ
ロセス伝送機能の回復が検出されたとき、該伝送
装置に該デイスク記憶装置の片方に格納された該
プロセスを該デイスク記憶装置の他方にコピーさ
せる装置を含むことを特徴とする処理システム。

技術分野 本発明は耐障害処理システム、より詳細には複
製補助記憶装置を含む処理システムに関する。

発明の背景 各種の記憶装置のコスト及び性能の違いから、
処理システムは、通常、少なくとも２つのタイプ
の記憶装置を使用する。１つのタイプは主記憶装
置として使用される実質的にリアルタイムにて読
出し及び書込みを行なうことができる高速直接ア
クセス記憶装置である。主記憶装置はコアあるい
は半導体記憶装置として実現されるが、１ビツト
当たりの記憶空間は割高となる。従つて、通常、
主記憶装置は処理システムに直ちに必要とされる
情報を十分に保持できる程度のものに設計され
る。処理システムによつて使用される他の多量の
情報は補助記憶装置と呼ばれる別のタイプの記憶
装置に保持され、必要に応じて、処理システムに
よつて情報がこの主記憶装置と補助記憶装置との
間に伝送される。

補助記憶装置は、通常、順次アクセス磁気記憶
媒体、例えば、テープあるいはデイスクとして実
現される。通常、主記憶装置と比較して、補助記
憶装置へのアクセスは低速となる。しかし、補助
記憶装置は１ビツト当たりの記憶空間が安く、従
つて、比較的低コストにて大量の記憶能力が提供
できる長所を持つ。

リアルタイム処理が要求され、一方で、処理能
力の喪失に十分に対処できてない処理システムが
多くの用途でみかけられるが、一例として、電話
電子交換システムなどもこの部類に属する。この
ような用途に使用される処理システムは信頼性が
高く、障害が発生した場合にもこれに耐えられる
ことが要求される。

信頼性が高く、障害に対して強い処理システム
を達成する方法の１つとして、システム内の機能
装置を、補助記憶装置及びそれらの内容を含め
て、二重にしたり、あるいはさらに多くのこれら
の複製を提供する方法がある。二重にされた補助
記憶装置は活動／待機状態に構成されるが、活動
状態の記憶装置はオフラインとされ処理システム
によつて要求される記憶及び検索タスクを遂行
し、一方、他方の記憶装置はこの活動状態の記憶
装置と同じ内容を持つように常時更新され、現在
活動状態の装置に故障が発生したとき活動状態の
装置として動作できるように待機される。こうし
て、システムは、常時、片方の補助記憶装置が障
害を起こしたときでも処理能力を失なうことなく
これに耐えることができるようにされる。

処理システム内の全ての複製補助記憶装置が障
害を起こした場合でも、そのシステムの処理能力
が完全に喪失されるわけではない。システムに格
納される情報の幾つかを主記憶装置に格納し、こ
の情報を使用することによつてシステムの幾つか
のタスクの遂行を継続することが可能である。つ
まり、処理システムの全ての複製補助記憶装置が
故障した場合、処理システムが少なくともそのシ
ステムの能力を維持できるか否かは、これら補助
記憶装置以外のソースから使用できる情報がシス
テム内にどの程度残るかに依存することとなる。
例えば、ある種の電子交換システムにおいては、
システムの動作に欠くことのできない情報、例え
ば、最もリアルタイムを必要とする必須システ
ム／アプリケーシヨン プログラム／パラメータ
はシステムの主記憶装置内のプログラム格納部分
に永久的に格納され、一方、その他の情報、例え
ば、そのシステムによつて処理される特定の顧客
に関するデータなどは、重複デイスク上に格納さ
れ、必要なときにのみ主記憶装置の呼格納部分に
運ばれる。重複デイスクの両方が障害を起こした
場合でも、システムは必須プログラムへのアクセ
スは可能であり、従つて、システムの呼格納部分
に必要なデータが格納されたデータを持つ、ある
いは格納されたデータを必要としない、タスクの
遂行する能力、あるいは顧客に対するサービス能
力を維持することが可能となる。

現代的な電子交換システムを含む大多数の処理
システムは上述の交換システムのような構造を持
たない。つまり、これら多くの処理システムは前
述の交換システムとこれらが主記憶装置内の全て
の必須プログラム及びシステム パラメータを永
久的に格納しない点で異なる。これら処理システ
ムは、通常、システムの殆どのパラメータ、プロ
グラム及びその他の情報を補助記憶装置、例え
ば、デイスク記憶装置内に格納し、必要に応じて
これら情報を主記憶装置と補助記憶装置の間で伝
送する。これには多くの理由があるが、これら理
由には、これら処理システムはプロセス及びその
他の情報を主記憶装置と補助記憶装置との間で効
率的に伝送する能力を持つ高速のオペレーテイン
グ システムを持ち、従つて、主記憶装置には処
理システムによつて実行される全てのプログラム
を格納せずこれに格納しておくことが好ましいと
考えられるものだけを格納することにより主記憶
装置の容量を小さくする方が経済的であること、
及び、処理システムを主記憶装置に格納できる制
約された数及びサイズのプログラムのみを実行す
るように制限しない方が多様性及び汎用性の点で
え得策であることなどを挙げることができる。

しかし、これらシステムがそのシステムの欠く
ことのできない情報を補助記憶装置と主記憶装置
の間で伝送することによつて動作するため、これ
らシステムは補助記憶装置へのアクセスが得られ
なくなるとこれら情報にアクセスできなくなる。
補助記憶装置へのアクセスの喪失はいつ起つても
不思議でなく、さらにこれによつてアクセスでき
なくなる情報がそれなしではシステムが処理活動
を継続できないような性格のものであるときは、
処理システムは補助記憶装置の障害によつてその
処理能力を失なうこととなる。

発明の要約 本発明は先行技術による処理システムのこれら
及びその他の短所を解決することを目的とする。
本発明による処理システムは情報、例えば、動作
に必要なプログラム及びデータなどを格納するた
めの複製の補助記憶装置、例えば、二重デイスク
を持ち、補助記憶装置に障害が発生した場合でも
必須の処理能力を失なうことはない。複製の補助
記憶装置の１つを除く全て、あるいは少なくとも
１つが障害を起こすと、補助記憶装置から提供さ
れる指定の情報がシステムの主記憶装置内に格納
及びロツクされ、この結果、全ての補助記憶装置
が使用できなくなつた場合でもこれら情報がシス
テムによつて使用できるようにされる。

複製の補助記憶装置の全てが使用できなくなる
と、システムの動作は主記憶装置内にロツクされ
た指定の情報の使用に制限される。複製の補助記
憶装置の少なくとも１つが回復すると、動作の制
限は解除されるが、指定の情報は主記憶装置内に
ロツクされたままとなる。他方の複製補助記憶装
置も回復すると、指定の情報が主記憶装置からア
ンロツクされ、これら情報の主記憶装置からの移
動が可能となる。

好ましくは、この補助記憶装置に加えて複製の
機能装置をもつ本発明による処理システムは複製
の少なくとも幾つかの記憶装置が故障すると、故
障した補助記憶装置を回復するためにこの複製の
機能装置を使用して自体を再構成する。

好ましくは、本発明による処理システムは、複
製補助記憶装置の全てが障害を起した場合でも少
なくとも一部のシステム能力を保持する。これ
は、システムの動作に必須のシステム及びアプリ
ケーシヨン プログラムを含む必須情報をそれら
の複製補助記憶装置内に格納するようなシステム
にも適用できる。従つて、本発明は、通常、それ
らのプログラムを補助記憶装置内の格納し、動作
の際に、必要に応じてこれら情報をオペレーテイ
ング システムの制御下で主記憶装置内にあるい
はこれから補助記憶装置に移動させるような現代
的な処理システムは特に適する。本発明はこられ
処理システムにこれまで実現ができなかつた程度
の耐障害能力を提供する。

本発明のこれら及びその他の長所及び特徴は図
面を参照しての本発明の一例として実施態様の以
下の説明からより明白となるものである。

【図面の簡単な説明】

第１図は本発明を具現する一例としての処理シ
ステムのブロツク図を示し；第２図は第１図の処
理システムの構成常態の状態図を示し；第３図は
第１図の処理システムのデイスパツチヤ制御テー
ブルを示し；第４図は第１図の処理システムのデ
イスクに関する動作モードの図を示し；第５図は
第４図の動作モード図のシンプレツクス ブロツ
クへの装置除去遷移の論理流れ図を示し；第６図
は第４図の動作モード図のシンプレツクス ブロ
ツクからの装置回復遷移の論理流れ図を示し；第
７図は第４図の動作モード図のソフト スイツチ
ブロツクの論理流れ図を示し；第８図は第４図
の動作モード図のハード スイツチ ブロツクの
論理流れ図を示し；第９図は第４図の動作モード
図のフル デイスク リンプ モード ブロツク
への遷移の論理流れ図を示し；そして第１０図は
第４図の動作モード図の手動ブート ブロツクの
論理流れ図を示す。

詳細な説明 Ａ システム構成 第１図には本発明を組み込んだ処理システムの
一例としての実施態様がブロツク図にて示され
る。ここにはジユアル プロセツサ システム１
００が示されるが、これには好ましくは、エイテ
イ アンド テイ ウエスタン エレクトリツク
（AT＆Ｔ Western Electric）によつて制作さ
れる3B TM 200／DMERTコンピユータ シス
テムが使用される。このシステムは3B20Dプロ
セツサによつて実行されるDMERTオペレーテ
イングシステムを含む。3B20D／DMERTコン
ピユータ システムは、ベル システム テクニ
カル ジヤーナル（Bell System Technical
Journal）、Vol.64、No.１、パート２、1983年１月
号において説明されている。この3B20D／
DMERTコンピユータ システムの構造及び動
作の詳細に関しては上記の雑誌を参照を勧めるも
のとし、ここでは、本発明が機能する環境を説明
する目的でこれに関して簡単に説明するにとどめ
る。

ジユアル プロセツサ システム１００は対の
プロセツサ１０１及び１０２を含む。プロセツサ
１０１及び１０２は概ね同一である。従来のモー
ドの動作においては、プロセツサ１０１か１０２
の片方は活動状態にあり、そのプロセツサによる
実行を割り当てられたプロセス、あるいはタスク
を実行するためにオペレーテイング システムの
制御下で動作し、一方、プロセツサ１０１か１０
２の他方はアイドル状態にあり、待機し、プロセ
ツサ１０１か１０２の活動状態のプロセツサが故
障によつてサービスができなくなつたときこれに
かわつて動作する。プロセスは、例えば、ユーザ
によつて書かれたプログラムでもあり、あるいは
入力及び出力装置の制御、他のプロセスの生成及
び検出などの専用の機能をもつこともある。プロ
セスは、通常、専用のデータスペース及びレジス
タ値、並びに場合によつては他のプロセスと共用
されるセツトのコード、つまり、プログラム命令
を持つ。

プロセツサ１０１の主プログラムの実行、制御
及びデータ処理機能は中央処理装置（CPU）１
１２によつて遂行される。CPU１１２はマイク
ロプロブラム マシーンであり、殆どのプロセツ
サ機能はCPU１１２の内部のマイクロプログラ
ム記憶装置（図示なし）内に格納されたマイクロ
命令の実行によつて遂行される。マイクロ命令の
シーケンスの実行はプログラム命令によつて指令
される動作を実現する。CPU１１２は、通常、
CPUが要求する情報、例えば、データ及びプロ
グラム命令をプロセツサ１０１の主記憶装置
（MAS）１１４と呼ばれる主オンライン記憶装置
から得る。アプリケーシヨン プロセス及びオペ
レーテイング システム プロセスの両方の選択
された部分が主記憶装置１１４内に格納される。
動作速度を向上させるために、CPU１１２には
オプシヨン的にキヤツシユ１１３を提供すること
もできるが、このキヤツシユはCPU１１２と主
記憶装置１１４との間の情報伝送用の高速バツフ
アとして機能する。

主記憶装置と装置、例えば、CPU１１２及び
キヤツシユ１１３との間の通信は主記憶装置バス
（MSB）１１６を通じて行なわれ、主記憶装置１
１４へのアクセスを調停する主記憶装置更新装置
（MASU）によつて制御される。対の直接メモリ
アクセス コントローラ（DMAC）１１０及
び１１１も主記憶装置バス１１６に接続し、主記
憶装置１１４とプロセツサ１０１の周辺装置の間
の直接情報伝送装置として機能する。

プロセツサ１０１と１０２は実質的に同一であ
り、プロセツサ１０２の同様にMSB１２６によ
つて相互接続される対のDMAC１２０及び１２
１，CPU１２２、キヤツシユ１２３、MAS１２
４、及びMASU１２５を含む。

プロセツサ１０１及び１０２の周辺装置には各
種の装置が含まれるが、これらの殆どは処理シス
テム１００が使用される用途によつて決定され
る。周辺装置は第１図に示されるように、大容量
記憶装置、例えばデイスク メモリ サブシステ
ム１３９及び１４９並びにテープ サブシステム
１５９および１６９を含む。

サブシステム１３９及び１５９からなる周辺装
置の第１のグループはジユアル ポート コント
ローラ（CPU）１３０に接続される。ジユアル
ポート コントローラ１３０の片方の通信ポー
トは通信チヤネル１３３に接続され、一方、コン
トローラ１３０の他方のポートはチヤネル１３４
に接続される。コントローラ１３０はサブシステ
ム１３９及び１５９をチヤネル１３３−１３４を
通じて受信される命令に従つてチヤネル１３３−
１３４のどちらかに選択的にインタフエースす
る。チヤネル１３３はDMAコントローラ１１１
に接続し、チヤネル１３４はDMAコントローラ
１２１に接続し、こうして、プロセツサ１０１お
よび１０２の両方にサブシステム１３９および１
５９へのアクセスを提供する。DMAC１１１及
び１２１はまたは従来の方法にてMAS１１４及
び１２４とサブシステム１３９及び１５９の間の
情報の伝送を制御する。

類似の方法にて、サブシステム１４９及び１６
９からなる周辺装置の第２のグループはジユアル
ポート コントローラ（DPC）１４０によつ
て対のチヤネル１４３及び１４４の片方に選択的
にインタフエースされる。チヤネル１４３は
DMAC１１０に接続し、一方、チヤネル１４４
はDMAC１２０に接続し、こうして、プロセツ
サ１０１及び１０２の両方にサブシステム１４９
および１６９へのアクセスを提供する。DMAC
１１０及び１２０はまた従来の方法にてMAS１
１４及び１２４とサブシステム１４９及び１６９
の間の情報の伝送を制御する。

サブシステム１３９，１４９，１５９及び１６
９の各々は情報を格納するための磁気媒体を提供
する１つあるいは複数の大容量記憶装置、並びに
包括される記憶装置の動作を制御し、周知の方法
にて通信チヤネルへの通信のためにこれらをイン
タフエースするコントローラを含む。デイスク
メモリ サブシステム１３９では、この記憶装置
は複数の可動ヘツド デイスク（MHD）１３１
−１３２からなる。これらデイスクはデイスク
フアイル コントローラ（DFC）１３５によつ
て制御される。同様に、デイスク メモリ サブ
システム１４９はDFC１４５によつて制御され
る複数のMHD１４１−１４２からなる。テープ
サブシステム１５９では、情報はテープ１５１
上に格納されるが、これはテープ フアイル コ
ントローラ（TFC）１５５によつて制御される。
同様に、テープ メモリ サブシステム１６９は
テープ１６１及びTFC１６５を含む。

サブシステム１３９のMHD１３１−１３２の
幾つかあるいは全てはサブシステム１４９の
MHD１４１−１４２の幾つかあるいは全てと重
複する。２つのMHDは同一の情報のコピーを格
納する場合、互いに重複する。互いに重複する２
つのMHDはデイスクの重複ペアと呼ばれる。通
常、システム内では、任意の時間においてMHD
の重複ペアの片方のMHDのみが必要となる。重
複のペアの他方のMHDはスペアとして機能す
る。重複ペアのMHDは、通常、同一の情報を持
つように常に更新され、重複ペアの他方へのアク
セスが失なわれた場合でも、システム１００はこ
れに格納された情報を得ることができ、従つて、
システム１００の処理能力に影響を受けることが
ない。

テープ１５１及び１６１の幾らかあるいは全て
も同様に互いに重複する。しかし、テープ１５１
及び１６１は手操作にてサブシステム１５９及び
１６９の間を移動できるため、通常、テープ１５
１及び１６１を互いに重複させる必要はない。

重複デイスク ペアと同様に、プロセツサ１０
１と１０２のどちらでもシステム タスクを同じ
ように遂行でき、これらのどちらかが故障した場
合、他方がこれにかわることができるようにする
ため、主記憶装置１１４及び１２４の内容も互い
に重複させることが必要である。このためプロセ
ツサ１０１及び１０２の主記憶装置更新装置１１
５及び１２５は更新バス１０３として示される通
信バスによつて相互接続される。更新バス１０３
は以下の方法にて主記憶装置更新装置１１５及び
１２５によつて制御及び使用される。

主記憶装置更新装置１１５は主記憶装置１１４
へのアクセスの調停を行なうのに加えて、主記憶
装置１１４へのアクセスのタイプを監視する。必
要とされるアクセスが主記憶装置１１４の内容を
変更するようなタイプ、例えば、書込みあるいは
消去動作であり、そしてプロセツサ１０２がサー
ビス中であるときは、主記憶装置更新装置１１５
はバス１２６に接続される他の全ての装置によつ
て行なわれるように、主記憶装置バス１２６に対
するアクセスの要求を主記憶装置更新装置１２５
に発行する。

主記憶装置更新装置１２５はこの要求をバス１
２６への他の全てのアクセス要求と同様に処理す
る。バス１２６が空き使用できる状態になると、
主記憶装置更新装置１２５はアクセス許可信号を
主記憶装置更新装置１１５に送信し、更新バス１
０３の一端を主記憶装置バス１２６に接続する。

許可信号に応答して、主記憶装置更新装置１１
５は更新バス１０３の他端を主記憶装置バス１１
６に接続し、最初に要求された主記憶装置１１４
へのアクセスを実現する。こうして、現在、バス
１１６と１２６が接続されているためバス１１６
及び１２６の両方を通じて主記憶装置１１４及び
１２４の両方へのアクセスが行なわれ、装置１１
４及び１２４の内容が同じように変更される。ア
クセスが完了すると、主記憶装置更新装置１１５
及び１２５は両方とも更新バス１０３を対応する
主記憶装置バス１１６及び１２６から切断する。

主記憶装置１１４及び１２４の両方に対して必
要なプロセツサ１０２による主記憶装置へのアク
セスの場合は、上述の主記憶装置更新装置１１５
及び１２５の動作が単に反対にとなるのみであ
る。

また、COU１１２とCPU１２２の間には直接
通信チヤネルが提供される。これは保守チヤネル
１０４として示され、これはプロセツサ１０１あ
るいは１０２のオンラインで活動状態のプロセツ
サからオンラインで非活動状態のプロセツサを診
断するための制御及び通信バスとして機能する。
保守チヤネル１０４はまた障害回復プログラムに
対する低レベル保守制御を提供し、プロセツサの
切り替えが動作に影響を与えることなく遂行でき
るようにする。これに加えて、プロセツサ１０１
及び１０２のどちらかによつて保守チヤネル１０
４を通じて他の保守制御を行ない、他方のプロセ
ツサの初期化シーケンスを開始したり、あるいは
他方のプロセツサによるプログラムの実行を停止
することができる。保守チヤネル１０４はまた外
部ソースからマイクロ命令を受信して、これを実
行することもできる。保守チヤネル１０４はさら
にプロセツサ バスを制御し、プロセツサ制御信
号を発行することができる。こうして、保守チヤ
ネル１０４はプロセツサを殆ど完全に制御するこ
とができ、マイクロ制御が不在の場合でもこれを
使用してマシーンを診断することができる。信頼
性の目的から保守チヤネル１０４も同様に重複さ
れチヤネル１０４ａと１０４ｂからなる。

ジユアル プロセツサ システム１００の上述
のハードウエア構成の助けをかり、ジユアル プ
ロセツサ システム１００のオペレーテイング
システムはシステム１００を複数の構成の選択さ
れた１つにて動作させ、またオペレータによつて
システム１００に与えられる命令に応答して、あ
るいは内部的の検出された状況、例えば、障害の
発生に応答してシステム１００を再構成する。

動作においては、プロセツサ１０１か１０２の
片方のみが動作状態となり全てのシステム タス
クを遂行し、一方、他方のプロセツサは非動作状
態にある。通常のシステム動作においては、非活
動状態のプロセツサは呼び出されたら活動常態の
プロセツサとしてかわりに動作できるように待機
状態にある。通常、活動状態のプロセツサに故障
が発生すると、これは非活動プロセツサとなり、
サービスから外され（OOS）、これはもはや動作
プロセツサとしてかわることができないものとし
てみなされる。このような故障が発生すると、残
つたプロセツサが故障したプロセツサを診断し、
故障したプロセツサを待機状態にもどすことを試
みる。

システム１００内には、主記憶装置１１４及び
１２４並びに大容量記憶サブシステム１３９，１
４９，１５９及び１６９内にその重複コピーが格
納されてはいるが、これには１つのバージヨンの
オペレーテイング システムのみが存在する。こ
の１つのバージヨンのオペレーテイング システ
ムが２つのプロセツサ１０１及び１０２の活動状
態にある方のプロセツサ上で実行される。

動作において、システムは第２図に示される４
つの構成状態の１つをとる。状態１においては、
プロセツサ１０１か１０２の片方が活動状態(a)に
あり、他方が待機状態（STBY）にある。状態
２においては、この２つのプロセツサの動作状態
が切り替えられている。状態３においては、プロ
セツサ１０１あるいは１０２のいずれかが動作状
態にあり、他方がサービスから外された状態
（OOS）にある。状態４においては、この２つの
プロセツサの動作状態が切り替えられている。動
作状況、例えば、故障の発生に応答して、あるい
はシステム管理者からの命令に応答して、システ
ム１００はこれら各種の構成状態の間の遷移を行
なう。

システム１００の構成状態の遷移は大きく２つ
の範ちゆう、つまり、ハード遷移及びソフト遷移
に分類できる。ハード遷移はシステム１００のあ
る程度の初期化を必要とし、従つて、システム１
００上で実行されるプロセスに影響を与えること
なく（トランスパレントに）初期化を行なうこと
ができないような遷移である。システムの初期化
は故障が発生した場合に通常の処理能力を回復す
るために行なわれる一連の動作である。ハード遷
移は、通常、活動状態のプロセツサにそのプロセ
ツサが動作を継続することができず、従つて、サ
ービスから外す必要が生じる程度の故障が発生し
た場合に起こる。ハード遷移はハード遷移を起こ
す程ではないがソフト遷移による回復が失敗した
場合にその故障の回復をハード遷移によつて試み
るような場合にも起こる。第２図において、ハー
ド遷移は状態１から状態４への遷移、状態２から
状態３への遷移あるいは状態３と状態４の間の遷
移であり、“ハード スイツチ”と呼ばれる。ハ
ード遷移は、現在の活動状態のプロセツサ上のシ
ステム動作が停止され、他方のプロセツサに切り
替えられるため“ストツプ アンド スイツチ”
とも呼ばれる。

ソフト遷移はシステムの再初期化を必要としな
い、あるいはシステム１００上で実行されている
アプリケーシヨン プロセスに影響を与えること
なく（トランスパレントに）行なうことが可能な
程度の初期化を必要とする遷移である。これら
は、通常、ハード遷移を起さない程度のハードウ
エアの故障の発生、ソフトウエアの故障の発生、
及びシステム１００に与えられた外部的に生成さ
れた命令の結果として起こる。このようなソフト
遷移には、例えば、状態１と状態２の間に遷移が
あるが、これは“ソフト スイツチ”と呼ばれ
る。もう１つのソフト遷移、つまり、状態３から
状態１への遷移あるいは状態４から状態２への遷
移は“プロセツサ回復”遷移と呼ばれるが、これ
は外部的に生成された命令に応答して、あるいは
システム１００の診断及び回復プログラムによる
サービスから外されたプロセツサが待機プロセツ
サとして使用でき、現在活動状態のプロセツサが
故障したときに活動状態となることができるとの
判定に応答して起こる。そして、状態１から状態
３へのソフト遷移、あるいは状態２から状態４へ
のソフト遷移は、“プロセツサ除去”遷移と呼ば
れる。これは動作状態のプロセツサのハード遷移
を起こすようなハードウエア障害の発生によつて
も起こされるが、この例ではこのような障害によ
つて影響を受けるようなプロセスが待機プロセツ
サによつて実行されていないためここではこの遷
移は起こらない。プロセツサは手操作による命令
によつてもサービスから外すことができる。

システム１００は、障害検出及び回復ソフトウ
エア及びハードウエアに基づいて、障害が検出さ
れた場合、これに応答して自動的に再構成を行な
う。システム１００の障害検出及び回復機構は前
述のベル システム テクニカル ジヤーナル
（BSTU）において説明されているため、詳細に
関してはこれを参照することを勧めることにし、
ここでは、システム１００内で本発明が機能する
環境を説明する目的でこれら機構について簡単に
説明することにとどめる。

システム１００内に含まれる障害検出回路及び
プログラムは高度なものである。障害検出ハード
ウエア及びソフトウエア技法にはローカル マツ
チング回路、全てのバスに対するパリテイ検査、
主記憶装置に対するハミング エラー修正、補助
記憶装置に対する巡回冗長コード、及び制御装置
及び周辺装置などに対する各種のハードウエア及
びソフトウエア衛生タイマ等が広く採用されてい
る。これに加えて、障害検出機構自体の障害を検
出するために診断ルーチンが使用される。また衛
生検査ルーチンが周辺サブシステムの健康状態を
確認するために使用される。さらに、システム統
合ルーチンによつて個々の検出器によつて発見で
きないキヤツチ障害がチエツクされる。

任意の障害検出器がエラー状態を検出すると、
影響を受けたプロセツサ１０１あるいは１０２内
に割込みが登録される。最も重大な障害に起因す
る割込みは動作を自動的に影響を受けないプロセ
ツサに切り替えるハードウエア シーケンス、つ
まり、ハード遷移を起こさせる。障害の程度が軽
い場合はマイクロコードへの割込みが発生し、こ
れはソフトウエアにシステムを回復するように命
令する。

障害回復プログラムはハードウエア及びソフト
ウエアの障害検出及び回復を制御する。ハードウ
エア障害回復プログラムはハードウエア割込みを
受信し、その後に行なわれる回復手順を制御す
る。特定のエラーが所定の頻度いき値を越えるこ
とが検出されると、システム構成の健康状態への
遷移が行なわれる。

ソフトウエア障害回復プログラムはハードウエ
ア障害回復プログラムと非常に類似する構造を持
つ。ソフトウエアの個々の主要単位はそれと関連
する障害検出機構、例えば、防衛チエツク及び監
査、エラーいき値等、並びにエラー回復機構、例
えば、障害復帰、データ修正監査、及び再初期化
技術等を持つ。これに加えて、あるプロセスが無
限実行ループに入つたり、システム資源、例え
ば、メツセージ バツフアを不当に消費したりし
ないよう、あるいはメツセージの定義される範囲
の外側にアクセスしたり、そのプロセスの許可さ
れてない命令を実行したりしないように、プロセ
スの実行が正しく行なわれているか監視する。
個々のプロセスは回復を行なうための再初期化及
び回復制御を行なう。

回復動作の結果としてはシステム１００からの
ハードウエアあるいはソフトウエアが除去される
と、診断及び監査プログラムがその除去の原因と
なつたハードウエア障害及びソフトウエア障害を
分析するために自動的に送られる。

ブートストラツプ及び初期化ルーチンはマイク
ロプロセスを初期化し、これによつて通常の処理
能力を達成するための制御を行なうマイクロコー
ド及びソフトウエア実現動作の基本セツトを提供
する。システムの初期化は障害状態のような状況
に遭遇した場合に通常の処理動作を回復するため
に実行されるマイクロコード化された動作のシー
ケンスからなる。システムの初期化はソフトウエ
アないしソフトウエアの回復機構によつて自動的
に、あるいは手操作による要求によつて開始され
る。

初期化シーケンスはそのソースと無関係にプロ
セツサ内の保守リセツト信号と呼ばれるハードウ
エア信号内に共通の開始点を持つ。保守リセツト
信号の受信によつて実行される初期化シーケンス
は保守リセツト機能（MRF）と呼ばれる。保守
リセツト信号に起因する割込みはシステム１００
内の最も優先度の高いマイクロコード割込みであ
る。MRFは呼び出しがあつたプロセツサの初期
化を開始する。

システム１００は回復を達成するために段階的
な初期化動作に従う。不必要に処理能力が失われ
るのを避けるために障害の規模にみあつた初期化
動作がとられる。あるレベルの初期化動作におい
て回復を達成できない場合、それが最大レベルに
達してないかぎり回復が達成されるまで、初期化
動作のレベルが次のレベルに上げえられる。

第１図に再び戻り、メモリ スキームはハード
ウエア装置と処理システム１００のオペレーテイ
ング システムとの協同で動作される。メモリ
スキームの該当する機能は以下の通りである。

テープ サブシステム１５９及び１６９は処理
システム１００に対する基本記憶装置である。サ
ブシステム１５９及び１６９は処理システム１０
０内の記憶装置の第３のレベルを提供する。これ
らは、システム１００が動作するのに必要なオペ
レーテイングシステム ソフトウエア、基本アプ
リケーシヨン プログラム、並びにシステム及び
アプリケーシヨン パラメータを含む基本プログ
ラム、データ、制御、及びその他の情報を格納す
る。システム１００が初めて初期化される場合、
例えば、最初にシステムにパワーが投入される
と、サブシステム１５９及び１６９のテープ１５
１及び１６１の内容がシステム１００のデイスク
メモリ サブシステム１３９及び１４９からな
る第２の記憶装置に転送、つまり、コピー及び格
納される。これらは動作中、システム１００によ
つてここからアクセスされる。この転送は手操作
ブートストラツプと呼ばれる周知の方法によつて
行なわれる。

全てのMHD１３１−１３２及び１４１−１４
２がシステム１００によつて使用されるこれら情
報を格納するが、デイスクの１つの重複ペアの
み、この例では、MHD１３２及び１４２のみが
システム１００の動作に必須の情報を含む。この
ためMHD１３２及び１４２はデイスクのシステ
ム必須重複ペアと呼ばれる。これらが含む情報に
はテープ サブシステム１５９及び１６９から転
送されるシステム情報：つまり、オペレーテイン
グ システム プロセス、システムの初期化に必
要な情報、診断プログラム、並びにシステム管理
者とインタフエースするためのプロセスなどが含
まれる。

システム必須重複ペア、MHD１３２及び１４
２以外のMHDはシステム１００のアプリケーシ
ヨンに関する情報、例えば、アプリケーシヨン
プロセス、システム１００の顧客会計情報、並び
に幾つかのデータ ベースを含む。これら情報の
多くもテープサブシステム１５９及び１６９から
これらデイスクに転送される。システム１００に
とつて、システムの掛けられたアプリケーシヨン
を遂行するのに欠くことのできないアプリケーシ
ヨン プロセスは必須アプリケーシヨン プロセ
スと呼ばれる。この必須アプリケーシヨン プロ
セスを格納するMHD、つまり、この例では、
MHD１３１及び１４１はデイスクのアプリケー
シヨン必須重複ペアと呼ばれるデイスクの重複ペ
アを構成する。

必須MHDと非必須MHDの差はシステム１０
０は動作を非必須MHD上に格納された情報にア
クセスすることなく継続する能力を持つが、必須
MHD上に格納された必須情報にアクセスするこ
となく継続することはできない点である。

システム動作にとつてどのような情報が必須で
あるかは、システム１００のアプリケーシヨンに
大きく依存する。基本的には全ての情報をプログ
ラムあるいはシステムの管理者が調べ、その情報
とともにその重要性に関する指標を格納すること
が必要である。例えば、全てのプロセスのプロセ
ス制御情報ブロツク内にそのプロセスが必須であ
るか否かを指定する欄を含める。

MHD１３２及び１４２のシステム必須重複ペ
アは、テープサブシステム１５９及び１６９から
これに転送されたシステムプロセスを格納するの
に加え、これらプロセス及びシステム１００内に
存在する他のプロセスのイメージを格納する。こ
のプロセスのイメージはMHD１３２及び１４２
のスワツプ スペースと呼ばれる領域内に格納さ
れる。プロセスのイメージはそのプロセスの実行
あるいは実行可能なバージヨンである。１つのイ
メージはそれ自体の関連するデータ及びその他の
情報とともにそのプロセス プログラム コード
のコピーを含む。プロセスのイメージはそのプロ
セスへの呼に応答して生成され、このイメージは
その実行が完了すると破壊される。プロセス イ
メージの生成及び破壊はオペレーテイング シス
テムに依存する。プロセス イメージはそれ自体
独立したプロセスである。従つて、プロセスとそ
のイメージには差異はなく、プロセス イメージ
は、通常、単にプロセスと呼ばれる。

システム１００によつて始めて実行される最初
のアプリケーシヨン プロセスの１つは必須アプ
リケーシヨン プロセスへの呼を行ない、それに
よつてMHD１３２及び１４２のシステム必須重
複ペアのスワツプ領域内に必須アプリケーシヨン
プロセスのイメージを生成するプロセスであ
る。システム１００はこうして、MHD１３２及
び１４２を通じて必須アプリケーシヨン プロセ
スへのアクセスを行なう。この結果、システム１
００はMHD１３１及び１４１のアプリケーシヨ
ン必須重複ペアにアクセスすることなく所期のア
プリケーシヨンを遂行することができる。MHD
１３２及び１４２は、従つて、システム１００の
動作に本当に必須の唯一のデイスクであり、従つ
て、デイスク メモリ サブシステム１３９及び
１４９の以降の説明はMHD１３２及び１４２に
ついて集中的に述べる。

MAS１１４及び１２４はシステム１００の主
記憶装置を構成する。MAS１１４及び１２４の
記憶容量はデイスク メモリ サブシステム１３
９及び１４９の記憶容量と比較して小さい。
MAS１１４及び１２４は、従つて、ある任意の
時間において、デイスク メモリ サブシステム
１３９及び１４９の内容の一部のみを含む。ある
情報がCPU１１２あるいは１２４、あるいはそ
の他のシステム１００の装置によつて必要となつ
たときにその情報のブロツクがデイスク メモリ
サブシステム１３９及び１４９からMAS１１
４及び１２４に転送、あるいはスワツプされる。
例えば、プロセスあるいはその一部がこれを実行
するためにMAS１１４及び１２４内にスワツプ
される。

MAS１１４あるいは１２４内にスワツプされ
る情報のための領域を確保するためにMAS１１
４及び１２４内に駐在し現在使用されていない他
の情報のブロツクはMAS１１４及び１２４から
デイスク メモリ サブシステム１３９及び１４
９にスワツプアウトされる。より具体的には、
MAS１１４及び１２４からスワツプ アウトさ
れたプロセスはMHD１３２及び１４２のスワツ
プ領域内に格納される。MAS１１４及び１２４
内への、あるいはこれから外への情報のスワツプ
動作はメモリ マネージヤと呼ばれるオペレーテ
イング システムの部分によつて制御される。こ
のプロセスは当技術において周知である。

プロセツサ１０１及び１０２とデイスク メモ
リ サブシステム１３９及び１４９の間の情報の
伝送はデイスク ドライバと呼ばれるオペレーテ
イング システム プロセスによつて始動及び管
理される。デイスク ドライバは要求に応答して
デイスク メモリ サブシステム１３９及び１４
９からの情報の検索及びこれへの情報の格納を行
なう。

デイスク ドライバは情報の伝送を遂行する装
置を選択し、必要なDMACに情報の伝送を遂行
するように命令し、そして要求された伝送を遂行
する選択されたDMAC及び周辺装置からの応答
信号あるいはエラー報告などのメツセージに応答
する。デイスク ドライバは伝送を正常に完了さ
せるか、あるいはその伝送が完結されない理由を
オペレーテイング システムに通知する任務を持
つ。デイスク ドライバの当技術において周知で
ある。

もう１つのプロセス マネージヤと呼ばれるオ
ペレーテイング システム プロセスはシステム
１００内のプロセスの生成、破壊及び追跡を行な
う。プロセス マネージヤも同様に当技術におい
て周知である。プロセス マネージヤは第３図に
示されるデイスパツチヤ制御テーブル（DCT）
３００の助けを得てプロセスの追跡を行なう。

DCT３００はMAS１１４及び１２４内に駐在
する。これはシステム１００内に存在する個々の
プロセスに対する項目３０１を含む。プロセス
マネージャはそれが新たなプロセスを生成したと
きDCT３００に項目を加える。プロセス マネ
ージヤはそれがプロセスを破壊したときDCT３
００からそのプロセスの項目を削除する。個々の
プロセス項目はオペレーテイング システムによ
つてそのプロセスを正しく管理するのに必要とさ
れるそのプロセスに関する情報を含む。この情報
は複数の欄の中に格納される識別子（ID）欄３
０２はそのプロセスを同定する。状態欄３０３
は、例えば、そのプロセスがMAS１１４及び１
２４に駐在するか否か、あるいはそれが中断され
ているか、つまり、MHD１３２及び１４２上に
スワツプ アウトされているか否かなどを示す。
タイプ欄３０４はそのプロセスが必須として指定
されているか否かを示す。この情報はプロセスを
生成するときにプロセス マネージヤによつて、
例えば、そのプロセスのプロセス制御ブロツクか
ら得られる。ロツク３０５はそのプロセスが主メ
モリからスワツプ アウトできるか否かを示す。
DCT３００内には、第３図に示されていないそ
の他の欄を含めることもできる。

Ｂ システム動作 ここに説明されるシステム１００は、MHD１
３２及び１４２の両方のシステム必須重複ペアへ
のアクセスが失われた後でも、能力は落ちるが、
動作を継続することが可能である。MHD１３２
及び１４２のシステム必須ペアのMHDの片方あ
るいは両方が失われたときシステム１００がいか
に対処するかまず第４図を参照して説明する。第
４図にはシステム１００が経過する動作のモー
ド、及びシステム１００がシステム必須デイスク
が失われたとき最大限の初期化能力を保持するた
めに試みるこれらモードにおける動作が示され
る。

システム１００は、ブロツク４００にて示され
る二重モードの動作から開始するものと仮定する
が、ブロツク４００の状態においては、必須
MHD１３２及び１４２の重複ペアの両方ともが
プロセツサ１０１及び１０２の活動状態の方のプ
ロセツサによつてアクセスすることが可能であ
る。二重モードの動作は通常の動作のモードであ
るが、ただし、これは第２図の構成状態１−４の
いずれにも対応する。プロセツサ１０１が活動状
態のプロセツサであるものと仮定すると（第２図
の状態１あるいは３）、情報の伝送が必要に応じ
てサブシステム１３９及び１４９とMAS１１４
の間で起こる。非活動状態のプロセツサ１０２が
待機状態にあると（第２図の状態１）、MAS１１
４と１２４の内容が一致することを維持するため
にMAS１２４がMASU１１５及び１２５によつ
てMAS１１４と同一の情報にて更新される。プ
ロセツサ１０２がサービスから外されているとき
に（第２図の状態３）、MAS１２４は更新を中断
する。

第４図のブロツク４００の二重モードにおいて
は、デイスク ドライバはメモリ マネージヤの
要求、つまり、デイスク格納情報をその情報が
MHDの重複ペア内に格納されているときは交互
にサブシステム１３９及びサブシステム１４９か
ら、そしてその情報が非重複MHD内に格納され
ているときはサブシステム１３９あるいは１４９
の該当する方から検索しこれを主メモリ内に伝送
することに対する要求に満足に答える。重複
MHDからの情報の検索の場合はサブシステム１
３９及び１４９の両方を交互に動作させることに
よつて、デイスク ドライバはサブシステム１３
９及び１４９の両方が継続されて正しく動作され
ているか否かの最新情報を得る。デイスク ドラ
イバはメモリ マネージヤによつて指定される情
報をMAS１１４からスワツプ アウトし、サブ
システム１３９及び１４９の両方のスワツプ領域
に格納する。デイスク ドライバはこうして、
MHD１３２及び１４２の両方の情報内容を同一
とどめる。

プロセツサ１０１はMHDへのアクセスに関与
する機能装置の連鎖に影響を与えるような幾つか
の状態が発生することによつてMHDへのアクセ
スを失なう場合がある。例えば、MHD自体が障
害を起こす場合もあり、あるいは制御DFCが障
害を起こすこともある。さらに、デイスク メモ
リ サブシステムをプロセツサに接続するチヤネ
ルが障害を起こす場合もあり、またアクセスを行
なつているDMACが障害を起こす場合も考えら
れる。アクセスの失敗には完全な失敗もあり、単
にエラー率が許容範囲を越えて異常に高いという
場合もある。アクセスはさらに装置のパワーが切
られる、あるいはシステム１００から切断される
ことによつても失われる。

障害検出機構はデイスク ドライブに対して所
望のMHDへのアクセスの失敗の発生について通
知する。デイスク ドライバは示される障害のタ
イプによつてその障害が単に過渡的なものである
か否かを判定するためのアクセスを再試行する。
所望のMHDが完全にアクセスできないと判定さ
れると、デイスク ドライバはオペレーテイング
システムのシステム構成に関する任務を持つ部
分にこのことを通知する。非−システム必須
MHDである場合は、オペレーテイング システ
ムの構成プロセスが障害による影響を受けた装置
あるいは装置群をサービスから外す。

第５図にシステム必須MHDをサービスから外
すときにとられるステツプが図式的に示される。
ブロツク５００において、デイスク ドライバに
よつてシステム必須MHDへのアクセスが失敗し
たことを通知されると、構成プロセスは、ブロツ
ク５０１に示されるごとく、これが二重モードか
らの遷移であることを確認するためにシステム必
須MHD１３２及び１４２の重複ペアの他方がサ
ービスから外されているか否かを判定する。これ
を確認した後においてはじめて、構成プロセス
は、ブロツク５０２によつて示されるごとく、障
害による影響を受けた装置あるいは装置群をサー
ビスから外す。サービスから外されたMHDは
MAS１１４及び１２４からスワツプ アウトさ
れる情報によつて更新されることを中断される。

ブロツク５０２において示されるごとく、装置
をサービスから外す動作は、システムの装置構成
データ ベース（ECD）内に該当する標識をセ
ツトすることによつて達成される。名前によつて
示されるごとく、ECD（図示なし）はシステム１
００の構成、例えば、システム１００にどのよう
な装置及びオプシヨンを装備し、その装置をいか
に構成し、装置間にどのような通信及び信号法手
続きを使用するを定義する主メモリ駐在データ
ベースである。

非−重複MHDがサービスから外された場合
は、MHDが失われたことは単にECD内において
のみ確認され、システム１００は動作を継続し、
単にMHDからの情報を求めるプロセスに対して
MHDがアクセスできない旨を通知する。そし
て、非−システム必須重複MHD、例えば、
MHD１３１がサービスから外された場合は、デ
イスク ドライバはこれ代わりに重複ペアの他方
のMHD１４１にアクセスするように命令を行な
い、システムの動作は変化なく継続される。つま
り、第４図のブロツク４００の二重モードにて動
作が継続される。しかしシステム必須MHD、例
えば、MHD１３２がこれをプロセツサ１０１に
連結する他の装置の１つがサービスから外された
結果としてサービスから外され場合は状況が異な
る。つまり、システム必須デイスク、例えば、
MHD１３２へのアクセスが失われると、システ
ム１００は第４図においてブロツク４０１にて示
されるシンプレツクス モードの動作に移る。

システム１００が二重モードからブロツク４０
１のシンプレツクス モードに入ると、デイスク
ドライバはオペレーテイングシステムの他の部
分に必須MHD１３２及び１４２の１つへのアク
セスが失われたことを通知する。システム１００
の管理者この事態の通知を受ける。プロセス マ
ネージヤも同様にこの事態の通知を受けるが、プ
ロセス マネージヤのその後の動作が第５図のブ
ロツク５０３−５０５に示される。ブロツク５０
３に示されるごとく、プロセス マネージヤはこ
の通知に応答してDCT３００（第３図参照）を
検索し、タイプ欄３０４によつてそれらが必須プ
ロセスであることが示される全てのプロセスを調
べる。プロセス マネージヤは全てのメモリ駐在
必須プロセスのロツク欄３０５をロツク状態にセ
ツトすることによつて、それらがMAS１１４か
らスワツプ アウトされるのを防止し、こうし
て、ブロツク５０４によつて示されるようにこれ
らプロセスをMAS１１４内にロツクする。必須
プロセスの様態３０３がそのプロセスが現在
MAS１１４に駐在しておらず、デイスク上にス
ワツプアウトされていることを示すときは、プロ
セス、マネージヤは、ブロツク５０５によつて示
されるごとく、そのプロセスがMAS１１４内に
戻されこれの格納されることを要求する。この要
求に応答して、デイスク ドライバは他方のシス
テム必須MHD、この例ではMHD１４２を通常
の方法でアクセスできるようにし、要求されたプ
ロセスをMAS内に転送及び格納する。プロセス
マネージヤは次にそのプロセスの状態欄３０３
をこれに合わせて変更し、ブロツク５０５にて示
されるように、このプロセスをMAS１１４内に
ロツクする。システム１００は、その後、第４図
のシンプレツクス モードにて、第５図のブロツ
ク５０６によつて示されるごとく、他方のMHD
１４２を使用して通常の動作を継続する。これ
は、システム必須MHD１３２及び１４２の両方
へのアクセスが失われた場合でも、必須プロセス
がシステム１００にアクセス可能であることを確
保する。

システム保守要員がプロセサ１０１がシステム
必須MHD１３２へのアクセスを不可能にした原
因を取り除き、MHD１３２へのアクセス能力を
回復すると、システム管理者はシステム１００に
デイスク回復命令を与える。活動状態のプロセツ
サ、この例では、プロセツサ１０１は、この命令
を受信し、これに第６図に示されるように応答す
る。より詳細には、回復の検出がデイスク ドラ
イバに通知され、デイスク ドライバはこの命令
に応答して、ブロツク６００−６０１によつて示
されるように、MHD１３２へのアクセスが本当
に回復されたか検証する目的でテストを行なう。
テスト アクセスが失敗した場合は、システム管
理者に対してシンプレツクス状態が継続される旨
のメツセージを発行する。テスト アクセスが成
功したときは、デイスク ドライバはMHD１４
２からMHD１３２をリポピユレーシヨンし、新
たにアクセス可能になつたMHD１３２の内容を
使用できる状態に回復する。ブロツク６０２によ
つて示されるごとく、このリポピユレーシヨン
は、動作状態でアクセス可能な状態にとどまる
MHD１４２の内容をMHD１４２からMAS１１
４、そしてこれからMHD１３２への情報の
DMA転送を介して回復されたMHD１３２にコ
ピーすることによつて達成される。デイスクのリ
ポピユレーシヨンはMHD１４２とMHD１３２
が再度互いに一致する内容となり、また両方が
MAS１１４及び１２４の内容と一致する内容を
持つことを確保する。MHD１３２はこうして完
全に動作できる状態に回復され、デイスク ドラ
イバはオペレーテイング システムの他の部分に
このことを通知する。

両方のデイスクへのアクセスが回復されたこと
を通知されると、構成プロセスは、ブロツク６０
３に示されるごとく、ECD内の該当する標識を
MHD１３２をサービス中であるとマークするた
めに変更する。そして、プロセス マネージヤ
は、ブロツク６０４に示されるごとく、DCT３
００にアクセスし、必須プロセスのロツク欄３０
５を“アンロツク”状態にセツトし、こうして、
MAS１１４からのプロセスのスワツプを可能に
する。システム１００は次に、第４図のブロツク
４００において再び二重モードに入り、そして、
第６図のブロツク６０５に示されるごとく、通常
の動作を継続する。

プロセツサ１０１がMHDの非−システム必須
重複ペアの両方のMHDへのアクセスを失つた場
合は、システム１００は回復動作、例えば、
MHDペアの少なくとも１つへのアクセスを回復
することを目指してシステムの活動をプロセツサ
１０１からプロセツサ１０２の切り替えるなどの
動作を行なう。これらMHDの少なくとも１つへ
のアクセスを回復することに失敗した場合は、シ
ステム１００は動作を継続し、単にアクセス不能
のMHDからの情報を要求するプロセスに対して
これらMHDがアクセスできないことを通知す
る。これらデイスクがアプリケーシヨン必須
MHD１３１及び１４１である場合は、システム
はさらに、ブートストラツプを試みてもこれはシ
ステムの無意味な回復の企てを反復して送る結果
となるため、自動ブートストラツプが始動される
ことを阻止する。しかし、これらが必須デイスク
１３２及び１４２である場合は、システム１００
は第４図のブロツク４０１のシンプレツクス モ
ードにとどまる。

システム１００がシンプレツクス モードにあ
る間にプロツサ１０１による他のシステム必須
MHD１４２へのアクセスも失敗する場合もあ
る。このような二重のデイスク障害が発生する
と、プロツサ１０１はシステム必須MHD１３２
及び１４２の両方へのアクセスを失う。アクセス
が失われたことを検出すると、デイスク ドライ
バはその失敗が単に過渡的な状態であるか否かを
判定するためにMHD１４２へのアクセスを再度
試みる。MHD１４２が本当にアクセスできない
ことを確認すると、デイスク ドライバは再びオ
ペレーテイング システムの構成プロセスにこの
状況を通知する。構成プロセスはMHD１４２を
サービスから外すとができるか否かを判定する。
システム必須MHD１３２及び１４２の二重障害
が発生しているため、代替MHD１３２もアクセ
ス不能であり、構成プロセスはMHD１４２をサ
ービスから外すことができないと判定する。この
結果システム１００はデイスク リンプ モード
に入るが、これは、システム１００の動作がシス
テム必須デイスクの重複ペアのいずれにもアクセ
スせずに“リンプ”状態に置かれることからリン
プ モードと呼ばれる。ただし、システム１００
は、この状態でも演算能力は低下するが動作を継
続できる。

システム１００がデイスク リンプ モードに
入つている間に、構成プロセスはシステム１００
がシステム必須MHD１３２及び１４２の少なく
とも１つへのアクセスを再回復できるようシステ
ム１００の再構成を試みる。構成プロセスは、第
４図のブロツク４０２に示されるように、最初に
ソフト スイツチを要求する。ソフト スイツチ
は活動状態のプロセス１０１から待機プロセツサ
１０２にアプリケーシヨン プロセス及び進行中
の入／出力動作に影響を与えないように（トラン
スパレントに）処理動作を移す。第７図にソフト
スイツチ プロセスの論理図が示される。

第７図のブロツク７００においてソフト スイ
ツチ要求を受信すると、ソフト スイツチ プロ
セスは、ブロツク７０１に示されるごとく、シス
テム１００の構成が活動−待機状態にあるか否か
を判定するためにMAS１１４内のECDにアクセ
スする。この状態にない場合は、MAS１２４は
必ずしもMAS１１４と一致するように更新され
ていない。従つて、ソフト スイツチは遂行する
ことができず、ソフト スイツチ プロセスは、
ブロツク７０２に示されるようの構成プロセスに
対してエラー メツセージを発行する。一方、シ
ステム１００の構成が活動−待機構成であるとき
は、ソフト スイツチ プロセスは、ブロツク７
０３にて示されるように、活動状態のプロセツサ
１０１による通常のタスクの実行を停止する。ソ
フト スイツチは次に、ブロツク７０４に示され
るように、活動状態のプロセツサ１０１の状態レ
ジスタにアクセスして、その内部プロセツサの状
態を判定する。活動プロセツサ１０１の内部プロ
セツサの状態を判定したら、保守チヤネル１０４
を使用して、ブロツク７０５に示されるように、
他方のプロセツサ１０２をその内部プロセツサの
状態にセツトする。活動プロセツサ１０１は、次
に、ブロツク７０６に示されるように、保守チヤ
ネルに対して他方のプロセツサ１０２を始動する
ように命令する。他方のプロセツサ１０２が前に
活動状態にあつたプロセツサ１０１が停止した点
からシステムの通常の処理動作を変つて遂行し、
プロセツサ１０１は、ブロツク７０７に示される
ように、停止し、待機状態に入る。

ソフト スイツチがプロセツサ１０２をプロセ
ツサ１０１と同一の内部状態にするため、プロセ
ツサ１０２はプロセツサ１０１が失敗したのと同
一のデイスク アクセスを試みる。これはプロセ
ツサ１０２は、プロセツサ１０１によつて使用さ
れたのとは異なるチヤネル及び異なるDMACを
通じて同一のMHD、この例では、MHD１４２
にアクセスすることを意味する。このアクセスが
成功した場合は、これはソフト スイツチが他の
プロセツサ１０１のアクセスを失敗させる原因と
なつたエラーを除去することに成功したことを意
味する。従つて、システム１００は第４図のブロ
ツク４０１のシンプレツクス モードの動作をと
る。このモードにおいて、プロセツサ１０２は
MHD１４２を使用してシステムの通常の処理動
作を継続する。

第４図において、ソフト スイツチがプロセツ
サ１０１によるMHD１４２へのアクセスを失敗
させる原因となつたエラーを除去することに成功
しなかつたときは、プロセツサ１０２によつて同
一のアクセスが試みられた場合、これも失敗す
る。この失敗に応答して、デイスク ドライバは
他方の必須MHD１３２及び関連するDFC１３５
がアクセスの可能性も含めて使用できるか否かを
チエツクする。サービスから外されているとマー
クされている場合でも、これらがアクセス可能で
あり、電源が切られてない限り、これらが障害を
持たない場合、あるいはこれらの少なくとも片方
の回復が行なわれ、これが成功している場合は、
使用可能であるとみなされる。

MHD１３２及びDFC１３５が使用可能でない
と判定された場合は、構成プロセスがその旨の通
知を受け、構成プロセスはこの通知に応答して、
システム１００がブロツク４０５のフル デイス
ク リンプ モードの動作にあることを示す標識
をECD内にセツトする。

MHD１３２及びDFC１３５が使用可能である
と判定された場合は、システム１００はMHD１
３２を使用して動作できる。しかし。MHD１３
２はサービスから外されているとマークされてい
るため、これはMAS１１４及び１２４からの
MHD１４２と同一の情報によつて更新されてい
ないことがわかる。従つて、MHD１３２を使用
する前にMAS１２４の内容をMHD１３２の内
容と一致させることが必要である。これを達成す
るには、ブロツク４０３に示されるように、
MAS１２４をMHD１３２から自動ブートする。
この自動ブートストラツプはMAS１２４内に格
納されるプロセスのバージヨンをMHD１３２内
の存在するプロセスのコピーと置換することから
なる。しかし、プロセスのEDC及び保護アプリ
ケーシヨン セグメント（PAS）はMAS１２４
内に保管される。PASはプロセスに割り当てら
れたメモリのセグメントであり、通常、プロセス
はこの中にそのプロセスの回復の欠くことのでき
ない情報を保管する。

自動ブートストラツプに続いて、システム１０
０は、ブロツク４０１のシンプレツクス モード
の動作をとる。このモードにおいて、プロセツサ
１０２はMHD１３２を使用して通常のシステム
処理動作を継続する。システム１００はこのシン
プレツクス モードから、第６図との関連で前述
した方法にてブロツク４００の二重モードに復帰
することが可能である。

一方、ソフト スイツチが成功しなかつた場合
は、最初にMHD１３２及びDFC１３５が使用可
能であるかをチエツクする代わりに、システム１
００は後述するフル デイスク リンプモードに
直接に入る。

上述したごとく、ソフト スイツチはシステム
１００が活動−待機構成にあるときにのみ可能で
あり、システム１００が他の構成にあるときは、
ソフト スイツチ プロセスに呼を送ると、構成
プロセスにエラー メツセージが返信される。デ
イスク ドライバはエラーの通知を受けると、上
述の方法にて、他方のシステム必須MHD１３２
及びDFC１３５が使用可能であるかチエツクす
る。MHD１３２及びそのDFC１３５が使用可能
であると判定された場合は、システム１００は
MHD１３２を使用して動作できる。しかし、上
述の理由によつて、ブロツク４０３によつて示さ
れるように、MAS１１４をMHD１３２から自
動的にブートすることが必要である。この自動ブ
ートストラツプの後、システム１００はブロツク
４０１のシンプレツクス動作に戻る。このモード
において、プロセツサ１０１はMHD１３２を使
用して通常のシステム処理動作を継続する。ここ
でも、システム１００は、第６図と関連して前述
した方法に従つてシンプレツクス モードから二
重モードに復帰することができる。

一方、ソフト スイツチが許されない場合は、
システム１００は、最初にMHD１３２及びDFC
１３５が使用可能であるかチエツクする代わり
に、後述する暫定デイスク リンプ モードに入
る。

ソフト スイツチが許されず、またMHD１３
２及びDFC１３５がチエツクされた結果、使用
できないと判定された場合は、システム１００
は、暫定デイスク リンプ モードの動作に入
る。デイスク リンプ モードの場合と同様に、
暫定デイスク リンプ モードにおいて、システ
ム１００はそれ自体をシステム必須MHD１３２
及び１４２の少なくとも片方へのアクセスを回復
できるように再構成する。暫定デイスク リンプ
モードにおいては、システム１００の構成は第
２図の活動／OOS状態となる。これ以外の場合
は、第４図のブロツク４０２において、ソフト
スイツチが許される。従つて、システム動作をプ
ロセツサ１０１からプロセツサ１０２に移すため
に、システム構成プロセスはプロセツサ１０１か
らプロセツサ１０２へのハード スイツチを要求
する。このハード スイツチはシステム１００を
第２図の活動／OOS状態の構成からOOS／活動
状態の構成にする。第８図にハード スイツチ
プロセスが論理図にて示される。

第８図のブロツク８００において、ハード ス
イツチ命令を受信すると、ハード スイツチ プ
ロセスはMAS１１４内のECDにアクセスするこ
とによつて、ブロツク８０１によつて示されるご
とく、プロセツサ１０２が失敗したとマークされ
ているか否かを判定する。失敗したとマークされ
ている場合は、処理動作をプロセツサ１０２に切
り替えすることはできず、ハード スイツチ プ
ロセスはブロツク８０２の示されるように構成プ
ロセスのエラー メツセージを発行する。構成プ
ロセスはこれに応答して、ECD内にシステム１
００がブロツク４０５のフル デイスク リンプ
モードの動作であることを示す標識をセツトす
る。しかし、プロセツサ１０２が失敗したとマー
クされていない場合は、ハード スイツチ プロ
セスは保守チヤネル１０４に、ブロツク８０３に
示されるように、他方のプロセツサ１０２上の
MRFを呼び出す。ハード スイツチ プロセツ
サは、次にブロツク８０４において示されるよう
に、活動状態のプロセツサ１０１を停止する。

プロセツサ１０２によつて保守リセツト信号が
受信されると、ブロツク８０５において、MRF
シーケンスがプロセツサ１０２上で実行を開始さ
れる。MRFシーケンスは、ブロツク８０６の示
されるごとく、呼び出されたプロセツサ１０２を
初期化する。MRFシーケンスも、ブロツク８０
７に示されるように、プロセスが実行される前に
該当する標識をセツトするなどして全てのプロセ
スを初期化する。MRFシーケンスの実行の頂点
として、ブロツク８０８に示されるようにMRF
が呼び出されたプロセツサ１０２によるプロセス
の実行が開始される。現在活動状態のプロセツサ
１０２上で実行されることにより。ハード スイ
ツチ プロセスはMAS１２４のECDに入り、ブ
ロツク８０９に示されるごとく、ここに現在のシ
ステム構成、つまり、現在非活動状態のプロセツ
サ１０１をサービスから外されたものとしてマー
クする情報を格納する。現在活動状態のプロセツ
サ１２０は次に、ブロツク８１０によつて示され
るように、通常のシステム動作を継続し、プロセ
スの実行を初期化によつて示される点から再開す
る。

通常のシステム処理動作が再開されると、プロ
セツサ１０２はシステム必須デイスク アクセス
を企てる結果となる。MHD１３２はまだECD内
でサービスから外されているとマークされている
ため、デイスク アクセスはここでもMHD１４
２に向けて行なわれる。ただし、これはプロセツ
サ１０１によつて使用されたのとは異なるチヤネ
ルを通して、また異なるDMACをを使用して行
なわれる。アクセスが成功した場合は、これはハ
ード スイツチが他方のプロセツサ１０１による
アクセスを失敗させる原因となつたエラーを除去
することに成功したことを示す。システム１００
は、従つて、第４図のブロツク４０１のシンプレ
ツクスモードの動作を再開する。このモードにお
いて、プロセツサ１０２はMHD１４２を使用し
て通常のシステム処理動作を継続する。

ハード スイツチがプロセツサ１０１による
MHD１４２へのアクセスを失敗させる原因とな
つたエラーを除去できなかつたときは、プロセツ
サ１０２によるMHD１４２へのアクセスの試み
も失敗に終わる。構成プロセスはこの失敗を通知
されると、これに応答してEDC内にシステム１
００が第４図のブロツク４０５のフル デイスク
リンプ モードの動作にあることを示す標識を
セツトする。

前述したごとく、システム１００は、ソフト
スイツチあるいはハード スイツチがシステム必
須MHDへのアクセスを回復することに失敗した
場合、あるいはソフト スイツチあるいはハード
スイツチが許されない場合にフル デイスク
リンプ モードの動作に入る。一方、システム１
００は重複システム必須デイスク障害が発生した
場合は、必ずしもデイスク リンプ モード及び
暫定デイスク リンプ モードを経ることなく、
ブロツク４０１のシンプレツクス モードから直
接にフル デイスク リンプ モードに入る。

フル デイスク リンプ モードにおいては、
プロセツサ１０１あるいは１０２からシンプレツ
クス必須MHD１３２あるいは１４２のアクセス
することは不可能、あるいは許されない。通常の
システム動作を回復するには障害の発生した装置
を修理し、手操作によるブートストラツプを行な
うことが必要である。しかし、システム１００
は、減速されたレベルの演算能力で動作を継続す
る。

第９図にシステム１００によつてフル デイス
ク リンプ モードに遷移されるステツプが論理
的に図示される。前述したごとく、ブロツク９０
０において、フル デイスク リンプ モードに
入つたことを通知されると、構成プロセスは、ブ
ロツク９０１に示されるように、ECD内にフル
デイスク リンプ モード標識をセツトする。
これに応答して、ブロツク９０２に示されるよう
に、システム管理者がフル デイスク リンプ
モードに入つたことを通知される。同様に、ブロ
ツク９０３に示されるように、必要な回復動作を
行なうためにシステム障害処理及び回復プロセス
がフル デイスク リンプ モードに入つたこと
を通知される。この通知は、また、ブロツク９０
４に示されるように、自動ブートストラツプが回
復プロセスによつて開始されるのを阻止する機能
もはたす。この時点で自動ブートストラツプが行
なわれても、これはシステムを回復することはで
きず、単に反復して回復を試みるだけで、これに
よつて全てのシステム処理動作を妨害する結果と
なる。また、ブロツク９０５によつて示されるご
とく、デイスク エラー関連メツセージがシステ
ム管理者に出力されるのが防止される。システム
管理者は、既に、フル デイスク リンプ モー
ドに入つていることを通知されており、このよう
なメツセージは役に立たないばかりか、これらは
システム１００が遭遇するその他の状態に関する
メツセージを隠す恐れがある。

プロセス マネージヤ及びデイスク ドライバ
もフル デイスク リンプ モードに入つたこと
を通知される。プロセス マネージヤはブロツク
９０６において示されるごとく、これに応答して
MAS１１４内のDCT内に必須とマークされてい
ない全てのプロセスを終結、つまり破壊する。プ
ロセツサ１０１あるいは１０２の活動状態の方の
プロセツサは、ブロツク９０７に示されるごと
く、限定された処理を継続して、必須プロセスを
通常の方法で実行する。必須プロセスの実行は、
MHD１３２−１４２以外の資源からシステム１
００が得ることができる情報、例えば、他の
MHDから得ることができる情報、あるいは他の
周辺装置から得られるデータの使用を伴う。しか
し、任意の必須プロセスがMHD１３２あるいは
１４２の１つへのアクセスを必要とする情報を要
求すると、デイスク ドライバがそのプロセスに
対して、ブロツク９０８に示されるように、その
プロセスがシステム必須デイスク アクセス要求
し、失敗することを防止するために、システム必
須デイスクはアクセスすることが不可能であり、
システムが現在フル デイスク リンプ モード
で動作していることを通知する。

システム管理及び保守要員によつてシステム１
００の修理が開始されると、システム１００は、
第４図のブロツク４０６の障害装置修理モードの
動作に入る。このモードにおいては、システム１
００はブロツク４０５のフル デイスク リンプ
モードにて動作するが、これに加えて、システ
ム サービス要員はシステム１００を呼び出し
て、必須プロセスの中に含まれるユテイリテイプ
ロセスを実行して、どのシステム装置が障害を起
こしたかの判定、障害の性格の判定、及び修理の
効果のチエツクを行なうことができる。

修理が完了しシステム必須MHD１３２及び１
４２の少なくとも片方へのアクセスが可能になる
と、システムの回復が開始される。システム１０
０に手操作によるブート命令が与えられ、システ
ム１００が第４図のブロツク４０７のデイスク回
復モードに入れられる。第１０図にデイスク 回
復モードにおけるシステムの動作が図示される。
主メモリ内の非必須プロセスが破壊されており、
処理がシステム必須MHD１３２および１４２の
更新を行なうことなく継続されたため、主メモリ
の内容とシステム必須デイスクの内容は互いに一
致しない。従つて、デイスク回復モードにおいて
は、システム１００はテープ サブシステム１５
９あるいは１６９から再初期化を行なうことが必
要である。テープ サブシステムは初期、つま
り、初期化されたプロセスのバージヨンを含むが
システムが完全に正常な動作を得ることにはこれ
をシステム必須デイスク及び主メモリにロードす
ることが必要である。システム管理者によつて手
操作ブート命令の一部として、システム１００を
初期化するために、テープ サブシステム１５９
あるいは１６９のいずれか適当な方、例えば、サ
ブシステム１５９が指定される。この命令に対す
る応答の一部として、ブロツク１００−１０２に
て示されるように、選択されたサブシステム１５
９と同一のDPC１３０を包括する必須MHD１３
２の回復が検証され、回復されたMHD１３２に
テープ１５１からの情報のコピーが再ロードさ
れ、こうして、MHD１３２が再初期化される。
次に、ブロツク１００３によつて示されるごと
く、MAS１１４及び１２４が新たに初期化され
たMHD１３２からブートストラツプされる。全
ての情報の新たなコピーがMHD１３２から主メ
モリにスワツプされる。MAS１１４及び１２４
内のECD及びPASは保管されない。MAS１１４
及び１２４のブートストラツプの一部として、
ECD内のフル デイスク リンプ モードであ
ることを示す標識が解除される。これは応答し
て、システムは第４図のブロツク４０１のシンプ
レツクス モードの動作をとる。回復された
MHD１３２が、第１０図のブロツク１００４に
よつて示されるごとく、ECD内においてサービ
ス中であるとマークされる。システムは次に、ブ
ロツク１００５によつて示されるごとく、シンプ
レツクス モードにて処理動作を継続する。この
モードから第６図と関連して既に説明の方法に従
つてブロツク４００全二重モードに入る。

当業者にとつて、前述の一例としての実施態様
に各種の変更及び修正が可能であることは勿論で
ある。例えば、デイスクを単に二重にするだけで
なく、より多くの複製を採用することもできる。
さらに、１セツトの以上の複製システム必須デイ
スクを使用して、各々のセツトを前述の方法にて
システムに処理されることもできる。また、補助
メモリ サブシステムは必ずしもデイスク サブ
システムである必要はなく、他のメモリ サブシ
ステム例えば、ドラム或はテープを使用して実現
することもできる。同様に個々の複製された必須
補助記憶装置は必ずしも専用チヤネル、つまり専
用DMACを介してプロセツサに接続する必要は
なく、これら記憶装置０共通のDMACにて接続
することも可能である。さらに、本発明を具現す
る処理システムは必ずしもジユアル処理システム
である必要はなく、単一プロセツサ或は多重プロ
セツサ システムであつてもよい。また、本発明
を具現する処理システム内の個々のプロセツサは
必ずしも専用の主記憶装置を持つ必要はなく、プ
ロセツサに単一の主記憶装置を共用させることも
できる。

これら変更及び修正は本発明の精神及び範囲か
ら逸脱することなく、又、本発明によつて得られ
る利益を軽減することなく実現できるものであ
る。従つて、これら変更及び修正も以下の請求の
範囲に網羅されるものと解釈されるべきである。