JPH01224846A - プロセス空間切り換え制御方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔概要〕 耐故障性をそなえた情報処理システムに関するものであ
り、特にプロセス空間を冗長化して、異常発生時にプロ
セス空間を切り換え、処理を継続するプロセス空間切り
換え制御方式に関し。

ソフトウェア故障に対して羅障範囲を限定する手段をそ
なえた耐故障性付与システムを提供することを目的とし
。

耐故障性を有する情報処理システムにおいて。

現用プロセス空間と、現用プロセス空間に対して代替可
能な待機プロセス空間とを設け、現用プロセス空間の動
作中に異常が発生したとき、現用プロセス空間を停止し
て待機プロセス空間を起動し。

その際、待機プロセス空間は、現用プロセス空間から、
少量で正当性が検証可能な情報を引き継ぐ構成を有する
。

〔産業上の利用分野〕

本発明は、耐故障性をそなえた情報処理システムに関す
るものであり、特にプロセス空間を冗長化して、異常発
生時にプロセス空間を切り換え。

処理を継続するプロセス空間切り換え制御方式に関する
。

〔従来の技術〕

従来の情報処理システムにおいては、耐故障性を付与す
るために種々の手段が用いられているが。

−Ｃにはハードウェアの故障を主な対象としており、た
とえばハードウェアを冗長構成にして障害発生時に現用
から予備に切り換える方式がある。

一方、ソフトウェアを対象とする耐故障性付与としては
、アプリケーションプログラムと一般に呼ばれるユーザ
作成のプログラムについて、トランザクション機能によ
るリカバリが可能にされている程度である。

ところで最近の傾向として、システム異常の主要な原因
が、ハードウェアからソフトウェアに変化してきている
。これは、ハードウェア自体の高信頼化技術の向上によ
るハードウェア故障の減少と、ソフトウェアによるハー
ドウェア故障からの復旧技術の確立等により、ハードウ
ェアに起因する故障が目立たなくなっていることによる
ものである。

しかし、ソフトウェアについては□個々のプログラムに
ついて見れば信頼性が向上しているものの、故障全体量
の増加が個々のプログラムの信頼性の向上分を凌駕して
いるといえる。

〔発明が解決しようとする課題〕

ハードウェアが故障することを主に考慮して耐故障性を
付与した従来の情報処理システムにおいては、現用マシ
ンのメモリの内容を丸ごと別の待機マシン上にコピーし
ておいても３現用マシンのプロセスがソフトウェア故障
により異常となった場合、コピーしたメモリの内容も羅
障していることが多いため、現用マシンのプロセスがダ
ウン後に待機マシンのプロセスを起動しても、待機プロ
セスも数瞬後にダウンする可能性があった。

つまり、従来のシステムは、ソフトウェア故障に対して
無節操に構築されているため、ソフトウェアの故障は広
範囲に伝播しやすく、直ちにシステム全体の故障となっ
てしまうという問題があった。

本発明は、ソフトウェア故障に対して羅障範囲に限定す
る手段をそなえた耐故障性付与システムを提供すること
を目的とする。

〔課題を解決するための手段〕

本発明は、ソフトウェア故障に対する耐故障性をシステ
ムに付与するための手段として、プロセス空間を部品と
して冗長化するものである。すなわち、現用部品のプロ
セス空間に故障が生じたとき、交換部品として用意した
プロセス空間で代替させるものである。そしてその際に
引き継ぐべき情報はできる限り少なくシ、かつ正当性が
検証できる情報に限定することによって、ソフトウェア
故障の伝播を防止するものである。

ここでプロセス空間とは、複数のプロセスが走行可能な
環境をいい、主要な構成物として、仮装アドレス空間と
プログラムの実行環境（プログラムのローディング環境
やファイルのアクセス環境など）とが一体となった概念
である。

第１図は本発明の原理構成図である。

図において。

ｌは、耐故障性を有する情報処理システムである。

２は、現用プロセス空間である。

３は、待機プロセス空間である。

４．５は１現用プロセスである。

４’、　　５’は、待機プロセスである。

６は、現用プロセス空間２内の処理状態を表す状態情報
である。

７は、少量の正当性が検証可能な引き継ぎ情報である。

〔作用〕

第１図により１本発明の詳細な説明する。

情報処理システム１では、現用プロセス空間２に対する
交換部品として、１個ないし複数個の待機プロセス空間
３が用意される（第１図は、待機プロセス空間が１個の
みの場合の例である）、なお、待機プロセス空間は、現
用プロセス空間の停止後に立ち上げるようにしてもよい
。

現用プロセス４あるいは５が生成され（たとえばトラン
ザクションごとに生成される）、現用プロセス空間２内
にディスパッチされるとき、コピーの待機プロセス４′
あるいは５′が生成され、待機プロセス空間３内にディ
スパッチされる。

現用プロセス空間２で現用プロセス４あるいは５が走行
しているとき回復不可能な異常が発生すると、現用プロ
セス空間２は停止され、状態情報６の中から、予め指定
された範囲の少量でかつ検証可能な引き継ぎ情報７を抽
出し、待機プロセス空間３に移植する。

待機プロセス空間３では５引き継ぎ情報７に基づいて必
要な状態情報６をリカバリ　（復旧）シ。

待機プロセス４′あるいは５′を起動する。

引き継ぎ情＄１７は、プロセス空間の空間情報と処理開
始に必要な情報とを含んでいる。

待機プロセス４′あるいは５′は、現用プロセス空間２
で異常検出された時点での処理から正常動作が可能なと
ころまでさかのぼり（ローカルバンク）、異常検出され
た現用プロセスが処理しようとしていた仕事を完遂（コ
ミット完遂）させる。

〔実施例〕

第２図は１本発明の１実施例システムの構成を示す。

図において。

１０．１１はそれぞれ複数のクラスタ（ｎ個とする）中
のｉ番目とｊ番目のクラスタである。ここでクラスタは
、独立したプロセッサあるいは上記４ｇを共有するプロ
セッサ群を意味する。

１２は、クラスタ間高速通信パスである。

１３は、各クラスタによってアクセス可能な不揮発メモ
リであり、引き継ぎ情報およびリカバリ情報を格納する
ために使用される。

１４は、現用プロセス空間である。

１５および１６は、現用プロセス空間１４に対する待機
プロセス空間である。

１７および１８は、それぞれクラスタ（ｉ）　　１０お
よび（ｊ）１１における制御プログラム格納領域の核で
ある。

１９および２０は、ダウンモニタであり、プロセス空間
内の異常（プロセス実行失敗や応答速度の極端な低下等
）を検出すると、そのプロセス空間を停止させ、適切な
待機プロセス空間への処理の引き継ぎの起動を行う。

２１および２２は、不揮発メモリアクセッサであり、複
数クラスタからアクセス可能な共用メモリの不揮発メモ
リ１３ヘアクセスするための機構である。アクセスにお
けるＯ８とハードウェアの機能分担はハードウェアの種
類により適切に設定してよい。

現用プロセス空間１４には、以下の各要素１４１ないし
１４４が含まれる。

１４１は、現用プロセス空間１４で通常の処理を行う業
務処理プログラムである。

１４２は、クラス引き継ぎ情報格納部である。クラス引
き継ぎ情報の詳細は後述される。

１４３は、インスタンス引き継ぎ情報格納部である。イ
ンスタンス引き継ぎ情報の詳細は後述される。

１４４は、リカバリ情報格納部である。リカバリ情報の
詳細は後述される。

待機プロセス空間１５および１６には、それぞれ以下の
１５１ないし１５４および１６１ないし１６４の各要素
が含まれる。

１５１および１６１は、現用プロセス空間１４内の業務
処理プログラム１４１と同様な待機用のプログラムであ
る。ただし、現用として走行開始するときは引き継ぎ情
報の格納処理も行う。

１５２および１６２は、クラス引き継ぎ情報にもとづき
再初期化を行う再初期化機構である。

１５３および１６３は、インスタンス情報にもとづき処
理を再開させるサービス再開機構である。

１５４および１６４は、リカバリ情報にもとづきリカバ
リ処理を行うリカバリ機構である。

次に、「少量で検証可能な引き継ぎ情報ｊを横成するク
ラス引き継ぎ情報、インスタンス引き継ぎ情報、リカバ
リ情報のそれぞれについて説明する。

本実施例では９例えば下記のようにして、ｏｓプログラ
ムとＯ８の上にのって走行するプログラムの理路整然と
した役割分担を可能にしている。

ｆａｌ　　クラス引き継ぎ情報：プロセス自らが走行す
るための情報 これは、Ｏ８が現用プロセス空間から待機プロセス空間
へ引き継ぐ。

プロセス空間内で使用している資源やプログラム、つま
りオブジェクト指向でいうところのクラスを表すような
情報であり１例えばＤＢサーバの使用しているボリュー
ム上のスペース名がこの類に相当する。

［ｂｌ　　インスタンス引き継ぎ情報：自プロセスの提
供資源をスイッチ後も使用してもらうための情ｌｌｉ これは、プログラムとＯ８が適切なインターフェースを
採ることで、Ｏ８が自動的に引き継ユーザに提供した個
々の資源（＋プログラム）、つまりオブジェクト指向で
いうところのインスタンスを表すような情報（インスタ
ンス引き継ぎ）であり１例えば、ＤＢサーバに対し。

０ＰＥＮをした結果のテーブル名がこの種類に工亥当す
る。

ＦＣ＋　　リカバリ情ｔｌｌニドランザクジョンのロー
ルハックやコミット完遂のための情報 これは、Ｏ８の一部であるトランザクション機構が引き
継ぎ、　　ｌ−ランザクジョンｉｄとリカバリ　（ｕｎ
ｄｏ、　ｒｅｄｏ）のためのすｎ報である。

オブジェクト指向でいうところのアクティブなメソッド
を終結させるための情報（引き継ぎ時に活性化していた
インスタンスとその内部状態）であり１例えば、ＲＢＤ
のサーバに対し、　ｕｐｄａｔｅ中のＤＢの状態とトラ
ンザクション名の組がこの種類に８亥当する。

簡単に第２図の実施例システムの動作を説明すると。

現用プロセス空間１４の業務処理プログラム１４１がト
ランザクション処理のために起動（プロセスとして走行
）されている途中で、ダウンモニタ１９が何らかの異常
を検出すると、クラス引き継ぎ情報格納部１４２および
インスタンス引き継ぎ情報格納部１４３が起動され、不
揮発メモリアクセッサ２１を介して、それぞれの引き継
ぎ情報を不揮発メモリ１３に格納する。なお、リカバリ
情報格納部１４４は、リカバリ情報が発生した時点でそ
の情報を不揮発メモリ１３に格納する。

待機プロセス空間は一般的には１個以上作成することが
でき石。しかし、若干の遅れを伴うことが許される場合
には、０個としておき、現用プロセス空間の停止後に、
待機プロセス空間を立ち上げることも可能である。

第２図においては、待機プロセス空間は１５と１６の２
個であり、クラスタの負荷やクラスタ間メソセージの発
生予想量にもとづき、ｉ！！切な待機プロセス空間を選
択する。ここでは待機プロセス空間１６を選択したもの
とする。

これにより、待機プロセス空間１６の業務処理プログラ
ム１６１は、不揮発メモリアクセッサ２２を介して、不
揮発メモリ１３から、クラス引き継ぎ情報、インスタン
ス引き継ぎ情報、リカバリ情報をそれぞれ取り込み１次
に、再初期化機構１６２を起動してクラス引き継ぎ情報
にもとづく再初期化を行わせ、さらにリカバリ機構１６
４を起動してリカバリ情報にもとづくリカバリを行わせ
１そしてサービス再開機構１６３を起動して業務処理を
再開させる。

〔発明の効果〕

本発明により、以下の効果が得られる。

（１）　　ソフトウェアの故障があっても、システムを
継続して運用でき、システムの信幀性を著しく向上でき
る。

（２）　　クラスタ間での引き継ぎ情報の流量が激減す
ること。

（３）現用プロセスと待機プロセスとで、レベルの異な
るプログラムを用いてもよいこと。これは。

プログラムの活性保守の際に２重要なポイントとなるも
のである。

【図面の簡単な説明】

第１図は本発明の原理説明図、第２図は本発明の１実施
例システムの構成図である。 第１図において。 ｌ；情報処理システム ２：現用プロセス空間 ３：待機プロセス空間 ４．５：現用プロセス ６：状態情報 ７：引き継ぎ情報

Claims (1)

1. 【特許請求の範囲】 耐故障性を有する情報処理システムにおいて、現用プロ
   セス空間（２）と、 現用プロセス空間（２）に対して代替可能な待機プロセ
   ス空間（３）とを設け、 現用プロセス空間（２）の動作中に異常が発生したとき
   、現用プロセス空間（２）を停止して待機プロセス空間
   （３）を起動し、その際、待機プロセス空間（３）は、
   現用プロセス空間（２）から、少量で正当性が検証可能
   な情報（７）を引き継ぐことを特徴とするプロセス空間
   切り換え制御方式。