JPH11149458A - ２重化計算機システム及び同システムにおける排他制御方法 - Google Patents

Abstract

(57)【要約】 【課題】各系の計算機で他系計算機の異常を誤検出した
としても、いずれか一方の計算機のみが正しく主導側と
なって処理を続けられるようにする。 【解決手段】計算機１０-0，１０-1は相互の通信により
他系の障害を検出すると、強制停止禁止部１５の機能が
無効化されていないなら、通知フラグをセットすると共
に乱数生成部１２により乱数値を生成させ、乱数値付き
の強制停止禁止無効通知を他系に発行する。計算機１０
-0，１０-1は、通知フラグのセット状態で他系から強制
停止禁止無効通知を受信すると、当該通知に付された乱
数値と自系で生成した乱数値とを比較し、他系の方が大
きいならば自系の強制停止禁止部１５の機能を無効化し
て正常応答を返し、他系の方が小さいならば何もせずに
正常応答を返す。計算機１０-0，１０-1は正常応答を受
信すると他系に強制停止通知を発行する。すると、強制
停止禁止機能が無効の計算機のみ停止する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、業務を処理する計
算機が２重化された２重化計算機システムに係り、特に
各計算機が相互の通信により相互に監視して他系の計算
機の障害を検出した際に主導側（マスタ）となる計算機
を排他制御により決定するのに好適な２重化計算機シス
テム及び同システムにおける排他制御方法に関する。

【０００２】

【従来の技術】この種の２重化計算機システムの代表的
なシステム構成を図８に示す。この図８は、２台の計算
機１１１-0，１１１-1を１対１で接続して構成される２
重化計算機システムの例である。

【０００３】図８の２重化計算機システムにおいて、２
重化した計算機１１１-0，１１１-1は、イーサネットに
代表される共通の通信媒体１１２、或いは各計算機１１
１-0，１１１-1間を直接接続した通信経路１１３を使用
して、相互の通信によるそれぞれの手順で排他制御を行
うことで、システムとしてのマスタ／スレーブを決定し
ている。ここで、計算機１１１-0，１１１-1間の通信
は、当該計算機１１１-0，１１１-1上で動作するソフト
ウェア（によって実現される障害監視部）に従って行わ
れる。

【０００４】この計算機１１１-0，１１１-1間の排他制
御によるマスタ／スレーブの決定により、図９に示すよ
うにシステムに共有モジュール１１４がある場合には、
計算機１１１-0，１１１-1のうちのマスタの計算機１１
１-i（ｉは０または１）が共有モジュール１１４を使用
し、スレーブの計算機１１１-j（ｊは０または１、但し
ｊ≠ｉ）はマスタになったとき共有モジュール１１４を
使用する。この関係により、２台の計算機１１１-0，１
１１-1間で共有モジュール１１４を相互で利用すること
が可能となる。

【０００５】しかし従来の２重化計算機システムでは、
２重化された計算機１１１-0，１１１-1が相互の通信に
よって相手計算機の異常の監視を行い、異常を検出した
結果、自分がマスタになって共有モジュール１１４を優
先して使用する場合に問題が発生する。これについて以
下に詳述する。

【０００６】まず、図９において、計算機１１１-0，１
１１-1のうちの現在マスタになっている計算機１１１-i
がスレーブの計算機１１１-jの異常を検出した場合、ス
レーブの計算機１１１-jが勝手に共有モジュールを使用
することがないように、マスタの計算機１１１-iからス
レーブの計算機１１１-jに強制停止通知（強制停止要
求）１２１を発行して、当該スレーブの計算機１１１-j
を強制的に停止させる。

【０００７】一方、現在スレーブになっている計算機１
１１-jがマスタの計算機１１１-iの異常を検出した場合
には、スレーブの計算機１１１-jからマスタの計算機１
１１-iに強制停止通知１２１を発行して、当該マスタの
計算機１１１-iを強制的に停止させ、更にスレーブの計
算機１１１-jがマスタとなり共有モジュール１１４を使
用することで引き続き業務を処理する。

【０００８】したがって、これらの関係がどちらかの計
算機に障害が発生した結果生じたものであれば、必ず一
方の計算機がマスタとなることができる。ところが、図
９の例のように、一時的な処理負荷による計算機１１１
-0，１１１-1間の通信の途絶え１２２により相手計算機
の異常を誤検出したものであるとすると、それぞれの計
算機１１１-0，１１１-1は相手計算機が異常であると判
断し、強制停止通知１２１を発行する可能性がある。も
し、このような状態が発生すると、符号１２３で示され
るように計算機１１１-0，１１１-1が共に停止する両系
停止となり、２重化計算機システムとしては致命的な障
害へと発展する。

【０００９】そこで、図１０のように、計算機１１１-
0，１１１-1が強制停止通知１２１を相手の計算機に発
行する前に、自身に対しては他系計算機からの強制停止
通知１２１（の示す要求）を受け付けないようにするた
めの強制停止禁止部１３１を作動させることが考えられ
ている。しかし、両計算機１１１-0，１１１-1が共に強
制停止禁止部１３１を作動させたときは、いずれも強制
停止禁止状態に設定されるため、相手計算機に対して強
制停止通知１２１を発行しても、どちらも停止すること
なく両系がマスタとなり、共有モジュール１１４をそれ
ぞれの計算機１１１-0，１１１-1から使用する状態が発
生する。つまり、本来マスタのみが共有モジュール１１
４を使用するという排他の関係が崩れ、両系から共有モ
ジュール１１４が使用されるという不具合がある。

【００１０】

【発明が解決しようとする課題】上記したように、従来
の２重化計算機システムにおける排他制御においては、
一時的な処理負荷の増大による通信の途絶え等により相
手計算機が異常であると誤検出して、即ち正常な状態で
の異常の誤検出が発生して、強制停止を要求した場合、
２重化された計算機がいずれも停止するか、或いはいず
れもマスタとなって動作するという致命的な障害を招く
という問題があった。

【００１１】本発明は上記事情を考慮してなされたもの
でその目的は、２重化された計算機相互の通信により他
系計算機を監視し、その結果、一時的な処理負荷の増大
による通信の途絶えにより異常の誤検出が発生したとし
ても、いずれか一方の計算機のみが正しく主導側となっ
て、停止することなく処理を続けることができ、計算機
システムとしての信頼性及び可用性の維持が図れる２重
化計算機システム及び同システムにおける排他制御方法
を提供することにある。

【００１２】

【課題を解決するための手段】本発明は、２重化計算機
システム内の各計算機に、他系の計算機を監視して障害
を検出する障害検出手段と、障害が検出された他系の計
算機の動作を強制停止させるための強制停止通知を発行
する強制停止通知手段と、他系の計算機からの強制停止
通知に応じて自系計算機の計算機動作を強制停止させる
ための強制停止手段とに加えて、上記強制停止通知に従
う強制停止手段による計算機動作強制停止を禁止させる
強制停止禁止機能を持つ強制停止禁止手段と、乱数値を
生成する乱数生成手段と、他系の計算機の障害検出時に
上記強制停止禁止手段の強制停止禁止機能が無効化され
ていないならば、上記乱数生成手段による乱数値生成動
作を行わせ、その際に生成された乱数値が付された他系
の計算機に対する強制停止禁止無効通知を発行する強制
停止禁止無効通知手段と、上記強制停止禁止無効通知が
自系の計算機と他系の計算機とから同時に発行された場
合、他系の計算機からの強制停止禁止無効通知に付され
ている乱数値と自系の計算機で生成された乱数値とを比
較する比較手段と、この比較手段による乱数値比較の結
果、両乱数値の間に所定の大小関係がある場合に、自系
の強制停止禁止手段の強制停止禁止機能を無効化する強
制停止禁止機能無効化手段とを設けたことを特徴とす
る。

【００１３】また本発明は、自系の強制停止禁止無効通
知手段から強制停止禁止無効通知が発行されていない状
態で他系の計算機から強制停止禁止無効通知が発行され
た場合にも、上記強制停止禁止機能無効化手段により自
系の強制停止禁止手段の強制停止禁止機能が無効化され
るようにしたことをも特徴とする。

【００１４】また本発明は、上記各計算機に、比較手段
による乱数値比較の結果、両乱数値が等しい場合には、
強制停止通知手段による強制停止通知の発行を抑止して
乱数生成手段による新たな乱数値生成動作を行わせ、そ
の際に生成された乱数値で決まる時間を待った後、障害
検出手段により障害が検出された場合の動作を再実行さ
せる再実行制御手段を更に設けたことをも特徴とする。

【００１５】このような構成においては、両系の計算機
で一時的な処理負荷の増大による通信の途絶えにより、
例えば両系の計算機が誤って他系の計算機の異常を同時
に検出した場合、両系の計算機、つまり他系計算機の異
常を誤検出した各計算機では、乱数生成手段による乱数
値生成が行われて、その乱数値が付された強制停止禁止
無効通知が他系計算機に発行される。

【００１６】乱数値付きの強制停止禁止無効通知を受信
した計算機では、自身も強制停止禁止無効通知を発行し
ている場合、つまり両系の計算機が同時に他系計算機の
障害を検出して強制停止禁止無効通知を発行している場
合、受信した強制停止禁止無効通知に付されている乱数
値（他系計算機の乱数値）と自系計算機で生成された乱
数値とが比較される。この両系の乱数値は一般に一致し
ない。

【００１７】各計算機では、乱数値比較の結果、両系の
乱数値の間に所定の大小関係がある場合、例えば他系の
乱数値の方が自系の乱数値より大きい場合には、自系の
強制停止禁止手段の強制停止禁止機能が無効化される。
つまり、システム内の２重化された計算機のうちのいず
れか一方の強制停止禁止機能だけが無効化され、他方の
計算機の強制停止禁止機能は有効な状態を保つ。したが
って、他系計算機の障害を同時に検出した両系の計算機
から当該他系計算機の動作を強制停止させるための強制
停止通知が同時に発行されても、一方の計算機のみ強制
停止禁止機能が働き、当該計算機だけが停止することな
く主導側（マスタ）のまま、もしくは主導側に切り替わ
って、業務を引き続き遂行することができる。

【００１８】また上記の構成においては、システム内の
２重化された計算機のうちのいずれか一方においての
み、他系計算機の異常が検出された場合には、その異常
を検出した計算機だけが他系計算機への強制停止禁止無
効通知を発行する。このため、もし他系計算機の異常検
出が誤検出であり、当該他系計算機には実際には障害は
発生していないとしても、当該他系計算機の強制停止禁
止機能が無効化されることから、当該他系計算機は、当
該他系計算機の異常を誤検出した計算機からの強制停止
通知に応じて強制停止され、当該他系計算機の異常を誤
検出した計算機が主導側のまま、もしくは主導側に切り
替わって、業務を引き続き遂行することができる。

【００１９】また上記の構成においては、自系計算機と
他系計算機の乱数値が等しい場合には、いずれを主導側
として、いずれを停止側とするか決定できないことか
ら、強制停止通知手段による強制停止通知の発行が抑止
されて両系の乱数生成手段による新たな乱数値生成動作
が行われ、新たな乱数値で決まる時間を待った後、障害
検出時の動作が再実行される。この場合、両系で生成さ
れる新たな乱数値が再び等しくなる確率は極めて少な
く、いずれか一方の計算機だけが先に障害検出時の動作
を再実行する。つまり、いずれか一方の計算機でのみ他
系計算機の障害が検出されたのと等価な動作が行われ
る。これにより、先に障害検出時の動作を再実行した計
算機が主導側のまま、もしくは主導側に切り替わって、
業務を引き続き遂行することができる。万一、両系で生
成される新たな乱数値が再び等しくなった場合には、両
系において同時に障害検出時の動作が再実行される。し
かし、この再実行の過程で生成される３度目の乱数値が
等しくなることは確率的に皆無であり、いずれか一方の
計算機だけが主導側のまま、もしくは主導側に切り替わ
って、業務を引き続き遂行することができる。

【００２０】なお、強制停止禁止無効通知に対しては当
該通知を受け取った計算機から当該通知の発行元の計算
機に応答を返すようにし、この応答が返された時点で強
制停止通知手段により強制停止通知が発行されるように
するとよい。但し、実際に障害が発生した計算機からは
応答は返されないため、強制停止通知の発行時より時間
カウントを開始し、所定時間をカウントしても応答が返
されないタイムアウト検出時にも、強制停止通知手段に
より強制停止通知が発行されるようにするとよい。

【００２１】また、応答が返されても、自系計算機と他
系計算機の乱数値が等しい場合には、強制停止通知手段
による強制停止通知の発行が簡単な判断で抑止されるよ
うに、乱数値が異なる場合と等しい場合とで異なる応答
を適用し、強制停止禁止無効通知先の計算機から当該通
知の発行元の計算機に応答が返された場合に、その応答
の種別を判断し、乱数値が異なる場合に対応する第１の
応答（正常応答）の受信時には強制停止通知が発行さ
れ、乱数値が等しい場合に対応する第２の応答（異常応
答）の受信時には強制停止通知の発行が抑止されて新た
な乱数値生成動作が行われるようにするとよい。

【００２２】なお、以上の２重化計算機システムに適用
した排他制御は、業務を処理する３台以上の計算機を備
え、これら計算機が多重化された多重化計算機システム
にも、上記２重化計算機システム内の各計算機で行われ
る障害監視のための通信を多重化することで適用可能で
ある。

【００２３】ここで、多重化計算機システムの各計算機
には、次の各手段、即ち他系の各計算機との間で相互に
通信を行うことで当該他系の各計算機を監視して障害を
検出する障害検出手段と、この障害検出手段により障害
が検出された他系の計算機の動作を強制停止させるため
の強制停止通知を発行する強制停止通知手段と、他系の
計算機の強制停止通知手段からの強制停止通知に応じて
自系計算機の計算機動作を強制停止させるための強制停
止手段と、上記強制停止通知に従う強制停止手段による
計算機動作強制停止を禁止させる強制停止禁止機能を持
つ強制停止禁止手段と、乱数値を生成する乱数生成手段
と、上記障害検出手段による他系の計算機の障害検出時
に強制停止禁止手段の強制停止禁止機能が無効化されて
いないならば、上記乱数生成手段による乱数値生成動作
を行わせ、その際に生成された乱数値が付された他系の
計算機に対する強制停止禁止無効通知を発行する強制停
止禁止無効通知手段と、上記強制停止禁止無効通知が自
系の計算機と他系の各計算機の強制停止禁止無効通知手
段から同時に発行された場合、他系の各計算機からの強
制停止禁止無効通知に付されている乱数値と自系の計算
機で生成された乱数値とを比較する比較手段と、この比
較手段による乱数値比較の結果、自系の乱数値と他系の
各乱数値との間に所定の大小関係がある場合に、自系の
強制停止禁止手段の強制停止禁止機能を無効化する強制
停止禁止機能無効化手段とを設ければよい。

【００２４】

【発明の実施の形態】以下、本発明の実施の形態につき
図面を参照して説明する。図１は本発明の一実施形態に
係る２重化計算機システムの構成を示すブロック図であ
る。

【００２５】同図において、２重化された計算機１０-
0，１０-1は、通信経路２０により相互接続されてい
る。この通信経路２０は、イーサネットのような共通の
通信媒体であっても、各計算機１０-0，１０-1間を直接
接続した通信経路であっても構わない。

【００２６】計算機１０-0，１０-1はソフトウェアプロ
グラムに従って業務処理や通信処理を遂行するもので、
通信経路２０を介しての通信により相手計算機の障害監
視を行う障害監視部１１、及び任意の乱数値を生成する
乱数生成部１２を有している。この乱数生成部１２によ
り生成される乱数値は障害監視部１１から参照可能であ
る。

【００２７】計算機１０-0，１０-1はまた、当該計算機
１０-0，１０-1内の障害監視部１１で受信した相手計算
機からの強制停止通知に対応する強制停止要求１３に応
じて、計算機１０-0，１０-1の動作を強制停止させる強
制停止部１４、及び上記強制停止要求１３に従って計算
機１０-0，１０-1が強制停止させられるのを禁止する機
能（強制停止禁止機能）を持つ強制停止禁止部１５を有
している。この強制停止禁止部１５の強制停止禁止機能
は、障害監視部１１から強制停止禁止無効を示す強制停
止禁止有効／無効要求１６が与えられた場合に無効化さ
れる。強制停止禁止部１５は、強制停止禁止機能の有効
／無効設定状態に応じて上記強制停止要求１３をマスク
するマスク部１７を持つ。

【００２８】次に、図１の構成の２重化計算機システム
における動作を、図２並びに図３のフローチャート、及
び図４乃至図６のシステム状態図を適宜参照して説明す
る。まず、計算機１０-0，１１-1の一方がマスタとな
り、他方がスレーブとなって業務を処理している通常の
システム運用状態を、計算機１０-0がマスタ、計算機１
０-1がスレーブの場合を例に図４に示す。

【００２９】この図４の状態では、計算機１０-0，１０
-1内の各障害監視部１１は、通信経路２０を使用して例
えば定期的に通信することで、相互に異常の監視（相互
監視）４０を行う。

【００３０】このような状態で、例えば図５において符
号５１に示すように、マスタ側の計算機１０-0で障害が
発生すると、スレーブ側の計算機１０-1では、当該計算
機１０-1内の障害監視部１１による通信経路２０を介し
ての相互監視４０で通信の途絶えが検出される。すると
計算機１０-1では、他系の計算機１０-0に障害が発生し
たものと判断し、図２のフローチャートに示す障害検出
時の処理が開始される。

【００３１】まず計算機１０-1内の障害監視部１１は、
自系の強制停止禁止部１５が無効状態に設定されていな
いこと、つまり他系（相手）計算機（ここでは計算機１
０-0）からの強制停止通知に対応する強制停止要求（１
３）を禁止する機能（強制停止禁止機能）が無効化され
ていないことを確認する（ステップＳ１）。もし、無効
化されている場合は、そのまま処理を中断する。

【００３２】これに対し、自系の強制停止禁止部１５の
強制停止禁止機能が無効化されていない場合は、計算機
１０-1内の障害監視部１１は、当該強制停止禁止部１５
に対して強制停止禁止機能を有効化することを要求する
強制停止禁止有効／無効要求１６を出力することで、強
制停止禁止の設定を行う（ステップＳ２）。ここでは、
ステップＳ２が実行されるものとする。なお、初期状態
において、強制停止禁止部１５が強制停止禁止状態に自
動設定されるならば、ステップＳ２の処理（強制停止禁
止の設定処理）は必ずしも必要ない。

【００３３】計算機１０-1内の障害監視部１１はステッ
プＳ２を実行すると、乱数生成部１２を起動して乱数値
を生成させ、その乱数値を保存する（ステップＳ３）。
次に計算機１０-1内の障害監視部１１は、障害が発生し
た他系計算機１０-0の強制停止禁止部１５の機能（強制
停止禁止機能）を無効にするための通知（強制停止禁止
無効通知）５２を発行したか否かを示す通知フラグ（図
示せず）をセットした後（ステップＳ４）、他系計算機
１０-0に対して当該強制停止禁止無効通知５２を自系の
乱数値と共に通信経路２０を介して発行し（ステップＳ
５）、他系計算機１０-0からの応答を待つ。

【００３４】しかし、この例では、他系計算機（マスタ
側計算機）１０-0は障害発生５１により既に停止してい
るため、当該計算機１０-0に強制停止禁止無効通知５２
を発行しても応答が返らない無応答５３の状態が発生す
る。スレーブ側計算機１０-1内の障害監視部１１は、強
制停止禁止無効通知５２の発行後、無応答５３の状態が
予め定められた一定時間以上続くことを検出すると、即
ち一定時間を経過してもマスタ側からの応答が返らない
タイムアウトを検出すると（ステップＳ６〜Ｓ８）、通
知フラグをリセットし（ステップＳ９）、スレーブから
マスタへと切り替えることで処理の引き継ぎを行う。

【００３５】以上、図１の構成の２重化計算機システム
における動作を、通常の運用状態でマスタの計算機１０
-0で障害が発生した場合を例に説明した。次に、図１の
システムにおける通常の運用状態で、計算機１０-0，１
０-1の少なくとも一方の一時的な処理負荷の増大によ
り、通信経路２０を使用した定期的な通信の途絶えを両
計算機１０-0，１０-1が同時に検出した場合の動作を、
図６を参照して説明する。

【００３６】このような場合、計算機１０-0，１０-1内
のそれぞれの障害監視部１１は、他系の計算機に障害
（異常）が発生したものと誤って判断する。即ち、両計
算機１０-0，１０-1において異常の誤検出が発生する。
計算機１０-0，１０-1では、他系の計算機の障害が検出
されると、図２のフローチャートに示す障害検出時の処
理が開始される。

【００３７】まず計算機１０-0，１０-1内の障害監視部
１１は、自系の強制停止禁止部１５の強制停止禁止機能
が無効化されていないことを確認すると（ステップＳ
１）、強制停止禁止部１５に対して強制停止禁止機能を
有効化することを要求する強制停止禁止有効／無効要求
１６を出力して、強制停止禁止の設定を行う（ステップ
Ｓ２）。続いて計算機１０-0，１０-1内の障害監視部１
１は、乱数生成部１２を起動して乱数値を生成させ、そ
の乱数値を保存する（ステップＳ３）。

【００３８】次に計算機１０-0，１０-1内の障害監視部
１１は、通知フラグをセットした後（ステップＳ４）、
障害が発生した他系計算機１０-1，１０-0の強制停止禁
止部１５の機能（強制停止禁止機能）を無効化するため
に、図６に示すように当該他系計算機１０-1，１０-0に
対し通信経路２０を介して強制停止禁止無効通知６２-
0，６２-1を（ステップＳ３で生成・保存した）自系の
乱数値と共に発行し（ステップＳ５）、当該他系計算機
１０-1，１０-0からの応答を待つ。この例では、計算機
１０-0，１０-1から他系計算機１０-1，１０-0に強制停
止禁止無効通知６２-0，６２-1が同時に発行されたもの
とする。

【００３９】さて、計算機１０-0，１０-1では、受信処
理の中で図３のフローチャートに従う処理も実行され
る。まず計算機１０-0，１０-1内の障害監視部１１は、
受信処理により他系計算機１０-1，１０-0から強制停止
禁止無効通知６２-1，６２-0を受信すると（ステップＳ
２１，Ｓ２２）、自系から既に他系に対して同様の強制
停止禁止無効通知を行っていないか、つまり自系の通知
フラグがセットされていないかを確認する（ステップＳ
２３）。

【００４０】もし、強制停止禁止無効通知を行っていな
いならば、計算機１０-0，１０-1内の障害監視部１１
は、他系計算機による通知（障害検出）が早かったもの
として、当該通知に従い、自系の強制停止禁止部１５に
対して当該禁止部１５の機能（強制停止禁止機能）を無
効化することを要求する強制停止禁止有効／無効要求１
６を出力することで、自系の強制停止禁止部１５の強制
停止禁止機能、つまり他系からの強制停止要求を禁止す
る機能を無効化して（ステップＳ２４）、他系に応答
（正常応答）を返す（ステップＳ２５）。

【００４１】一方、この例のように強制停止禁止無効通
知を行っている場合には、計算機１０-0，１０-1内の障
害監視部１１は、自系と他系とが同時に強制停止禁止無
効通知を行ったものとして、排他制御のために、（ステ
ップＳ３で生成・保存した）自系の乱数値（即ち強制停
止禁止無効通知時に他系に通知した乱数値）と、他系か
らの強制停止禁止無効通知時に通知された他系の乱数値
とを比較する（ステップＳ２６〜Ｓ２８）。

【００４２】もし、自系の乱数値と他系の乱数値とが等
しくない場合には、計算機１０-0，１０-1のうち、自系
の乱数値の方が大きい計算機内の障害監視部１１は、何
もしないで他系に正常応答を返し（ステップＳ２５）、
自系の乱数値の方が小さい計算機内の障害監視部１１
は、強制停止禁止部１５の機能を無効にした後（ステッ
プＳ２４）、他系に正常応答を返す（ステップＳ２
５）。これに対し、自系の乱数値と他系の乱数値とが等
しい場合には、計算機１０-0，１０-1内の障害監視部１
１は、いずれも異常応答を他系に返す（ステップＳ２
９）。

【００４３】ここでは、両系の乱数値が等しくなく、計
算機１０-0の乱数値の方が大きいものとする。この場
合、計算機１０-0内の障害監視部１１は、他系の乱数値
の方が小さいことから（ステップＳ２８）、何もしない
で他系に正常応答を返す（ステップＳ２５）。一方、計
算機１０-1内の障害監視部１１は、他系の乱数値の方が
大きいことから（ステップＳ２７）、図６に示すように
自系の強制停止禁止部１５に対して当該禁止部１５の強
制停止禁止機能を無効化することを要求する強制停止禁
止有効／無効要求１６を出力して当該禁止部１５を無効
状態に設定した後（ステップＳ２４）、他系に正常応答
を返す（ステップＳ２５）。

【００４４】さて、計算機１０-0，１０-1内の障害監視
部１１は、（ステップＳ５において）強制停止禁止無効
通知６２-0，６２-1を発行すると、当該通知６２-0，６
２-1に対する他系からの応答を待つ。この状態で計算機
１０-0，１０-1内の障害監視部１１は、一定時間以内に
他系からの応答を受信すると、その応答の種別を判断す
る（ステップＳ６，Ｓ７）。

【００４５】この例では、計算機１０-0，１０-1内の障
害監視部１１からはいずれも正常応答が返される。計算
機１０-0，１０-1内の障害監視部１１は、ステップＳ５
で発行した強制停止禁止無効通知６２-0，６２-1に対す
る応答として正常応答を受信すると、図６に示すように
他系の計算機１０-1，１０-0に対してして強制停止通知
６３-0，６３-1を発行し（ステップＳ１０）、しかる後
に通知フラグをリセットする（ステップＳ９）。

【００４６】計算機１０-0，１０-1内の障害監視部１１
は、計算機１０-1，１０-0からの強制停止通知６３-1，
６３-0を受信すると（ステップＳ２１）、図６に示すよ
うに自系の強制停止禁止部１５に対する強制停止要求１
３を発行する（ステップＳ３０）。計算機１０-0，１０
-1内の強制停止禁止部１５は、自身の設定状態（強制停
止禁止機能の有効状態または無効状態）に応じて、強制
停止要求１３のマスク処理を行う。

【００４７】ここでは、計算機１０-1内の強制停止禁止
部１５（の強制停止禁止機能）だけが先のステップＳ２
４で無効状態に設定されており、計算機１０-0内の強制
停止禁止部１５は有効状態に設定されている。したがっ
て、計算機１０-1内の強制停止禁止部１５では、強制停
止要求１３をそのまま強制停止部１４に渡すのに対し、
計算機１０-0内の強制停止禁止部１５では、強制停止要
求１３がマスク部１７によりマスクされ、当該強制停止
要求１３が強制停止部１４に渡るのが抑止される。これ
により、図６に示すように計算機１０-1においてのみ強
制停止６４が行われ、もう一方の計算機１０-0が業務を
引き続き行うことになる。

【００４８】以上、計算機１０-0，１０-1において他系
の異常の誤検出が同時に発生した場合に、両計算機１０
-0，１０-1が同様の処理手順で排他制御を行い、その過
程（ステップＳ３）で両計算機１０-0，１０-1で生成さ
れた乱数値の間に、計算機１０-0側の乱数値の方が大き
いという関係があったために、計算機１０-1においての
み（ステップＳ２４が実行されて）強制停止禁止部１５
の機能が無効化された結果、計算機１０-0，１０-1から
強制停止通知６３-0，６３-1が発行されたにも拘らず、
計算機１０-1のみが強制停止された例について説明し
た。

【００４９】次に、計算機１０-0，１０-1においてステ
ップ３で生成された乱数値が等しい場合の動作を、図７
を参照して説明する。前記したように、自系の乱数値と
他系の乱数値とが等しい場合、計算機１０-0，１０-1内
の障害監視部１１は、いずれも異常応答を他系に返す
（ステップＳ２９）。

【００５０】このとき計算機１０-0，１０-1の障害監視
部１１は、他系の計算機１０-1，１０-0に発行した強制
停止禁止無効通知（６２-0，６２-1）に対する当該計算
機１０-1，１０-0からの応答待ち状態にあり、この状態
で計算機１０-1，１０-0から異常応答を受信すると（ス
テップＳ７）、まず通知フラグをリセットする（ステッ
プＳ１１）。

【００５１】続いて、計算機１０-0，１０-1内の障害監
視部１１は再度乱数生成部１２により新たな乱数値（こ
こでは待ち時間決定用の乱数値）を生成させ、その乱数
値の示す時間だけ待った後（ステップＳ１２）、ステッ
プＳ１に戻る。ここで、計算機１０-0，１０-1の各乱数
生成部１２で生成される乱数値が２回続けて他系の乱数
値と等しくなる確率は極めて低く、上記ステップＳ１２
での待ち時間は、計算機１０-0，１０-1間で異なるのが
普通である。

【００５２】もし、計算機１０-0（の乱数生成部１２）
で生成された乱数値の方が計算機１０-1で生成された乱
数値より値が小さく、したがって当該計算機１０-0の方
が待ち時間が短かいものとすると、計算機１０-0は計算
機１０-1より先にステップＳ１に戻る。このとき、計算
機１０-0内の強制停止禁止部１５は無効になっていない
ことから、計算機１０-0では、次のステップＳ２におい
て自系の強制停止禁止部１５を強制停止禁止状態に設定
する処理が行われ、ステップＳ３，Ｓ４を経た後、図７
に示すように他系の計算機１０-1に強制停止禁止無効通
知６２-0を発行する処理（ステップＳ５）が行われる。

【００５３】計算機１０-1は、計算機１０-0からの（２
度目の）強制停止禁止無効通知６２-0を受信する。この
とき計算機１０-1は、依然としてステップＳ１２での時
間待ち状態にあり、強制停止禁止無効通知状態、即ち通
知フラグセット状態にない。したがって計算機１０-0
は、計算機１０-0からの（２度目の）強制停止禁止無効
通知６２-0を受信すると（ステップＳ２１，Ｓ２２）、
ステップＳ２３の通知フラグセット判定処理を経てステ
ップＳ２４に進み、図７に示すように強制停止禁止無効
を示す強制停止禁止有効／無効要求１６により強制停止
禁止部１５の強制停止禁止機能を無効化する。そして計
算機１０-0は、（強制停止禁止無効通知元である）計算
機１０-0に正常応答を返す（ステップＳ２５）。

【００５４】計算機１０-0内の障害監視部１１は、計算
機１０-1に発行した強制停止禁止無効通知６２-0に対す
る応答を受信すると、その応答の種別を判断し（ステッ
プＳ６〜Ｓ８）、この例のよう正常応答である場合に
は、図７に示すように計算機１０-1に対して強制停止通
知６３-0を発行し（ステップＳ１０）、しかる後に通知
フラグをリセットする（ステップＳ９）。

【００５５】計算機１０-1内の障害監視部１１は、計算
機１０-0からの強制停止通知６３-0を受信すると（ステ
ップＳ２１）、自系の強制停止禁止部１５の状態に無関
係に、図７に示すように強制停止部１４に対する強制停
止要求１３を発行する（ステップＳ３０）。このとき計
算機１０-1内の強制停止禁止部１５は、強制停止禁止機
能の無効状態に設定されていることから、障害監視部１
１からの強制停止要求１３をそのまま強制停止部１４に
渡す。計算機１０-1内の強制停止部１４は、このように
強制停止要求１３を受けたときのみ、自系の計算機１０
-1の動作の強制停止６４を行う。これにより、もう一方
の計算機１０-0が業務を引き続き行うことになる。

【００５６】以上、計算機１０-0，１０-1において他系
の異常の誤検出が同時に発生した場合に、両計算機１０
-0，１０-1が同様の処理手順で排他制御を行い、その過
程（ステップＳ３）で両計算機１０-0，１０-1で生成さ
れた乱数値が等しかったために、（ステップＳ１２で）
再度乱数値が生成されて排他制御が行われた結果、乱数
値の値が大きかった計算機１０-1のみが強制停止された
例について説明した。

【００５７】このように本実施形態によれば、計算機１
０-0，１０-1において他系の異常の誤検出が同時に発生
した場合に、それぞれの計算機１０-0，１０-1が同様の
処理手順で排他制御を行うことで、いずれか一方の計算
機が業務を引き続き行うことができる。

【００５８】このことは、計算機１０-0，１０-1のいず
れか一方のみが他系の異常を誤検出した場合にも同様で
ある。これについて、計算機１０-0，１０-1の少なくと
も一方の一時的な処理負荷の増大により、通信経路２０
を使用した定期的な通信の途絶えを計算機１０-0のみが
検出した場合、即ち計算機１０-0のみが他系の異常を誤
検出した場合を例に簡単に説明する。

【００５９】計算機１０-0は、計算機１０-1の異常を検
出すると、自系の強制停止禁止部１５に対して強制停止
禁止の設定を行い、乱数値の生成・保存を行った後、他
系計算機１０-1に対する強制停止禁止無効通知（６２-
0）を行う（ステップＳ１〜Ｓ５）。一方、計算機１０-
1では、このような処理は行われない。

【００６０】計算機１０-0からの強制停止禁止無効通知
（６２-0）は計算機１０-1で受信される。計算機１０-1
は、強制停止禁止無効通知（６２-0）を受信すると（ス
テップＳ２１，Ｓ２２）、自系の通知フラグはセットさ
れていないことから、自系の強制停止禁止部１５の機能
を無効化して（ステップＳ２３，Ｓ２４）、強制停止禁
止無効通知元の計算機１０-0に正常応答を返す（ステッ
プＳ２５）。

【００６１】さて、計算機１０-1の異常を検出した計算
機１０-0内の障害監視部１１は、ステップＳ５において
強制停止禁止無効通知（６２-0）を発行すると、当該通
知６２-0に対する他系計算機１０-1からの応答を待つ。
ここでは計算機１０-0は、計算機１０-1からの正常応答
を受信する。

【００６２】計算機１０-0は、他系の計算機１０-1から
正常応答を受信すると（ステップＳ６）、当該計算機１
０-1に対して強制停止通知（６３-0）を発行し、しかる
後に通知フラグをリセットする（ステップＳ１０，Ｓ
９）。

【００６３】計算機１０-1は、計算機１０-0からの強制
停止通知（６３-0）を受信すると（ステップＳ２１）、
自系の強制停止禁止部１５に対する強制停止要求１３を
発行する（ステップＳ３０）。計算機１０-1内の強制停
止禁止部１５は、自身の設定状態（強制停止禁止機能の
有効状態または無効状態）に応じて、強制停止要求１３
のマスク処理を行う。ここでは、計算機１０-1内の強制
停止禁止部１５は先のステップＳ２４で無効状態に設定
されていることから、強制停止要求１３がそのまま強制
停止部１４に渡される。計算機１０-1内の強制停止部１
４は、このように強制停止要求１３を受けたときのみ、
自系の計算機１０-1の動作の強制停止（６４）を行う。
これにより、もう一方の計算機１０-0が業務を引き続き
行うことになる。

【００６４】以上の実施形態では、本発明を２重化計算
機システムに適用した場合について説明したが、本発明
は、業務を処理する３台以上の計算機を備え、これら計
算機が多重化された多重化計算機システムにも、前記実
施形態において各計算機１０-0，１０-1が行った障害監
視のための通信を多重化することで適用可能であり、そ
れぞれの通信経路を用いて排他制御を行うことによる冗
長な計算機システムを構築することができる。このシス
テムでは、上記の如く前記実施形態において各計算機１
０-0，１０-1が行った障害監視のための通信が多重化さ
れている点で前記実施形態における２重化計算機システ
ムと異なるものの、各計算機が行う排他制御のアルゴリ
ズムには、前記実施形態において各計算機１０-0，１０
-1が行った排他制御のアルゴリズムがそのまま適用可能
である。

【００６５】

【発明の効果】以上詳述したように本発明によれば、２
重化計算機システムとして片方の計算機の障害発生によ
る系の切り替えだけでなく、正常な状態での異常の誤検
出の発生時における系の切り替えも正しく行え、いずれ
か一方の計算機のみが主導側となって、停止することな
く処理を続けることができ、従来問題となっていた、正
常な状態での異常の誤検出により発生する致命的な障害
も防止できる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る２重化計算機システ
ムの構成を示すブロック図。

【図２】同実施形態における他系計算機の障害検出時の
動作を説明するためのフローチャート。

【図３】同実施形態における受信処理時の動作を説明す
るためのフローチャート。

【図４】図１のシステムにおける通常の運用状態を示す
システム状態図。

【図５】図１のシステムにおいてマスタ側計算機１０-0
で障害が発生した場合のマスタの切り替えを説明するた
めのシステム状態図。

【図６】図１のシステムにおいて両系の計算機で他系計
算機の異常が誤検出された場合の強制停止による系の切
り替えを、計算機１０-0で生成される乱数値の方が計算
機１０-1で生成される乱数値より大きい場合について説
明するためのシステム状態図。

【図７】図１のシステムにおいて両系の計算機で他系計
算機の異常が誤検出された場合の強制停止による系の切
り替えを、計算機１０-0，１０-1で生成された乱数値が
等しいために新たな乱数値が生成され、その新たな乱数
値が計算機１０-0，１０-1間で異なることにより、計算
機１０-0において優先的に再度の障害検出時処理が行わ
れた場合について説明するためのシステム状態図。

【図８】２重化計算機システムの代表的なシステム構成
を示すブロック図。

【図９】図８のシステムにおいて両系の計算機で他系計
算機の異常が誤検出されて当該他系計算機を強制停止さ
せた結果、両系が共に停止する問題を説明するためのシ
ステム状態図。

【図１０】図８のシステムにおいて両系の計算機で他系
計算機の異常が誤検出された際に、両系を共に強制停止
禁止状態にして当該他系計算機に強制停止通知を発行し
た結果、両系が共にマスタ状態になる問題を説明するた
めのシステム状態図。

【符号の説明】

１０-0，１０-1…計算機 １１…障害監視部（障害検出手段、強制停止通知手段、
強制停止禁止無効通知手段、比較手段、強制停止禁止機
能無効化手段） １２…乱数生成部 １３…強制停止要求 １４…強制停止部 １５…強制停止禁止部 １６…強制停止禁止有効／無効要求 ６２-0，６２-1…強制停止禁止無効通知 ６３-0，６３-1…強制停止通知

Claims (4)

【特許請求の範囲】
1. 【請求項１】 業務を処理する計算機が２重化された２
   重化計算機システムにおいて、 前記各計算機は、 他系の計算機との間で相互に通信を行うことで当該他系
   の計算機を監視して障害を検出する障害検出手段と、 前記障害検出手段により障害が検出された他系の計算機
   の動作を強制停止させるための強制停止通知を発行する
   強制停止通知手段と、 他系の計算機の前記強制停止通知手段からの強制停止通
   知に応じて自系計算機の計算機動作を強制停止させるた
   めの強制停止手段と、 前記強制停止通知に従う前記強制停止手段による計算機
   動作強制停止を禁止させる強制停止禁止機能を持つ強制
   停止禁止手段と、 乱数値を生成する乱数生成手段と、 前記障害検出手段による他系の計算機の障害検出時に前
   記強制停止禁止手段の強制停止禁止機能が無効化されて
   いないならば、前記乱数生成手段による乱数値生成動作
   を行わせ、その際に生成された乱数値が付された前記他
   系の計算機に対する強制停止禁止無効通知を発行する強
   制停止禁止無効通知手段と、 前記強制停止禁止無効通知が自系の計算機と他系の計算
   機の前記強制停止禁止無効通知手段から同時に発行され
   た場合、前記他系の計算機からの強制停止禁止無効通知
   に付されている乱数値と前記自系の計算機で生成された
   乱数値とを比較する比較手段と、 前記比較手段による乱数値比較の結果、両乱数値の間に
   所定の大小関係がある場合に、自系の前記強制停止禁止
   手段の強制停止禁止機能を無効化する強制停止禁止機能
   無効化手段とを備えたことを特徴とする２重化計算機シ
   ステム。
2. 【請求項２】 前記強制停止禁止機能無効化手段は、自
   系の前記強制停止禁止無効通知手段から強制停止禁止無
   効通知が発行されていない状態で他系の計算機から前記
   強制停止禁止無効通知が発行された場合にも、自系の前
   記強制停止禁止手段の強制停止禁止機能を無効化するこ
   とを特徴とする請求項１記載の２重化計算機システム。
3. 【請求項３】 前記各計算機は、前記比較手段による乱
   数値比較の結果、両乱数値が等しい場合には、前記強制
   停止通知手段による強制停止通知の発行を抑止して前記
   乱数生成手段による新たな乱数値生成動作を行わせ、そ
   の際に生成された乱数値で決まる時間を待った後、前記
   障害検出手段により障害が検出された場合の動作を再実
   行させる再実行制御手段を更に備えたことを特徴とする
   請求項２記載の２重化計算機システム。
4. 【請求項４】 業務を処理する計算機が２重化された２
   重化計算機システムにおける排他制御方法であって、 前記各計算機において相互に通信を行うことで他系の計
   算機を監視し、当該他系の計算機の障害を検出した際に
   は、自系の計算機動作の強制停止を禁止させる強制停止
   禁止機能が無効化されていないならば、乱数値を生成し
   て当該乱数値が付された前記他系の計算機に対する強制
   停止禁止無効通知を発行し、 前記強制停止禁止無効通知の発行時に、他系の計算機か
   らも乱数値が付された強制停止禁止無効通知が発行され
   て、当該強制停止禁止無効通知を受信した場合、前記他
   系の計算機からの強制停止禁止無効通知に付されている
   乱数値と前記自系の計算機で生成した乱数値とを比較
   し、 前記乱数値の比較の結果、両乱数値の間に所定の大小関
   係がある場合に、自系の持つ前記強制停止禁止機能を無
   効化し、 前記乱数値の比較の結果、両乱数値が等しくない場合
   に、他系の計算機の動作を強制停止させるための強制停
   止通知を発行することを特徴とする２重化計算機システ
   ムにおける排他制御方法。