DE69125840T2

DE69125840T2 - Fehlertolerierendes rechnersystem

Info

Publication number: DE69125840T2
Application number: DE69125840T
Authority: DE
Inventors: Drew Major; Dale Neibaur Dale Neibaur; Kyle Powell
Original assignee: Novell Inc
Current assignee: Micro Focus Software Inc
Priority date: 1990-09-24
Filing date: 1991-08-09
Publication date: 1997-10-23
Anticipated expiration: 2011-08-10
Also published as: EP0550457A4; EP0550457A1; NO931062L; RU2108621C1; EP0550457B1; FI101432B1; DE69125840D1; FI931276A0; FI101432B; CA2091993A1; ATE152261T1; JPH06504389A; US5455932A; BR9106875A; NO931062D0; AU660939B2; WO1992005487A1; FI931276A; JP3156083B2; NO302986B1

Description

HINTERGRUND DER ERFINDUNG

1. GEBIET DER ERFINDUNG

Die Erfindung bezieht sich auf ein Verfahren zum Bereitstellen eines fehlertoleranten Computersystems nach dem Oberbegriff des Anspruchs 1 bzw. auf ein fehlertolerantes Computersystem nach dem Oberbegriff des Anspruchs 8.

2. TECHNISCHER HINTERGRUND

Bei Computeranwendungen ist es häufig wünschenswert, einen durchgehenden Betrieb des Computersystems zu gewährleisten, selbst wenn eine Komponente ausfällt. Personalcomputer (PCS) oder Workstations verwenden oft ein Computernetzwerk, um das gemeinsame Nutzen von Daten, Anwendungen, Dateien, Rechnerleistung, Kommunikations- und anderen Ressourcen, wie Druckern, Modems, Massenspeichern und ähnlichem zu ermöglichen. Im allgemeinen wird das gemeinsame Nutzen von Res sourcen unter Zuhilfenahme eines Netzwerk-Servers durchgeführt. Der Server ist eine Verarbeitungseinheit, die dem Verwalten von zentralen Ressourcen, dem Verwalten von Daten und dem gemeinsamen Nutzen dieser Ressourcen mit Client-PCS und -Workstations gewidmet ist. Der Server, das Netzwerk und die PCS oder Workstations zusammen bilden das Computersystem. Tritt im Server des Netzwerks ein Ausfall auf, so können die PCS und Workstations im Netzwerk nicht mehr auf die gewünschten zentralisierten Ressourcen zugreifen und das System versagt.
Um den Betrieb eines Computersystems während des Ausfalls einer Komponente aufrechtzuerhalten, wird ein redundantes oder Backup-System benötigt. Ein bekanntes Backup-Systern verwendet eine vollständige Hardware-Redundanz. Zwei identische Prozessoren stehen zur Verfügung, die auf der Hardware-Signalebene die gleichen Eingangssignale zur gleichen Zeit während des Betriebs des Computersystems erhalten. Normalerweise wird ein Prozessor als der Primärprozessor und der andere als der Sekundärprozessor angesehen. Fällt der Primärprozessor aus, schaltet das System auf den Sekundärprozessor um. Ein Beispiel eines solchen Hardware-Redundanz-Systems ist in dem US-Patent Nr. 3,444,528 von Lovell beschrieben. Bei Lovell erhalten zwei identische Computersysterne die gleichen Eingangssignale und führen die gleichen Operationen aus. Allerdings sorgt nur einer der Computer für die Ausgabe, es sei denn, daß ein Ausfall vorliegt, in welchem Falle der zweite Computer die Steuerung der Ausgabe übernimmt. Beim Betrieb werden die Ausgabeschaltungen des Backup-Computers gesperrt, bis eine Fehlfunktion im Hauptrechner auftritt. Zu dem Zeitpunkt werden die Ausgaben des Backup-Computers freigegeben.
Die Verwendung von identischen Prozessoren oder identischer Hardware hat eine Reihe von möglichen Nachteilen. Ein Nachteil sind die Komplexität und die Kosten der Synchronisierung der Prozessoren auf einem Signalniveau.
Ein anderes bekanntes Verfahren zum Bereitstellen eines Backup-Systems wird als "Checkpoint"-System bezeichnet. Ein Checkpoint-System nutzt ein Prinzip, das als "Automaten mit finiten Zuständen" bekannt ist. Dieses Prinzip besagt, daß, falls zwei Einrichtungen sich im gleichen Zustand befinden, identische Eingaben an diese Einrichtungen zu identischen Ausgaben jeder Einrichtung führen und jede Einrichtung zum gleichen identischen Zustand fortschreiten wird.
Bei einem Checkpoint-System wird der gesamte Zustand einer Einrichtung, z.B. der Prozessorzustand und die zugehöngen Speicher, nach jeder Operation des Primärprozessors an einen Backup-Prozessor übertragen. Im Falle eines Ausfalls, befindet sich der Backup-Prozessor idealerweise im jüngsten gültigen Zustand des Primärprozessors. Die jüngste Operation wird dem Backup-Prozessor zur Verfügung gestellt, und der Betrieb wird von diesem Punkt an mit Hilfe des Backup-Prozessors fortgesetzt. Alternativ wird die Zustandsinformation nach jeder Operation des Primärprozessors an einen Massenspeicher übergeben. Im Falle eines Ausfalls wird die gespeicherte Zustandsinformation einem Backup-Prozessor zur Verfügung gestellt, der ggf. vor diesem Ereignis für andere Operationen verwendet wurde.
Ein bekanntes Checkpoint-System ist in der US-Patentschrift Nr. 4,590,554 von Glaser beschrieben. Bei Glaser gibt es einen Primärprozessor zum Ausführen bestimmter Aufgaben. Ein Sekundärprozessor steht zum Ausführen anderer Aufgaben zur Verfügung. Periodisch wird der Zustand des Primärprozessors auf den Sekundärprozessor übertragen. Bei einem Ausfall des Primärprozessors werden alle Operationen, die vorn Primärprozessor seit der letzten Synchronisierung des Primär- und Backup-Prozessors ausgeführt wurden, vom Backup-Prozessor ausgeführt, um ihn auf den gleichen Stand wie den Primärprozessor zu bringen. Das System von Glaser sowie andere Checkpoint-Systeme leiden unter einer Reihe von Nachteilen. Ein Nachteil ist die Zeit- und Speichermenge, die benötigt wird, um den Zustand des Primärsystems an das Sekundärsystem zu übertragen. Ein anderer Nachteil von Checkpoint-Systemen ist die Unterbrechung des Service bei einem Ausfall des Primärsystems. Das Sekundärsystem muß durch Ausführen von Meldungen in einer Meldungsfolge "auf Geschwindigkeit gebracht werden".
Ein bekannter Versuch, dieses Problem zu lösen, besteht darin, nur die Teile des Zustands des Primärsystems zu aktualisieren, die seit der letzten Aktualisierung geändert wurden. Dies verlangt jedoch komplexe Speicher- und Datenverwaltungsschemata.
Aus der EP-A-0 143 125 ist ein fehlertolerantes Computersystem mit einer Mehrzahl von primären und sekundären (Backup-)Einrichtungen zum Ausführen von Aufgaben bekannt. Alle Prozessoren haben die gleiche Struktur und können als ein Ursprungs- oder als ein Zielprozessor arbeiten. Die Nachrichten werden von einem Ursprungsprozessor zu einer Mehrzahl von Prozessoren gesandt, die den Zielprozessor, den Backup-Prozessor des Ursprungsprozessors und den Backup Prozessor des Zielprozessors einschließen. Nachrichten eines Backup-Prozessors werden in einer Warteschlange gespeichert. Die Nachrichten werden vorn Backup-Prozessor nicht ausgeführt. Fällt der primäre Aufgabenprozessor aus, werden alle Nachrichten vom Backup-Aufgabenprozessor neu berechnet. Um die Anzahl der gespeicherten Nachrichten zu reduzieren, muß der Backup-Aufgabenprozessor periodisch synchronisiert werden, indem der Datenraum des primären Aufgabenprozessors kopiert wird.
Es ist eine Aufgabe der vorliegenden Erfindung, ein verbessertes Backup-System zu schaffen, das keine spezialisierte Hardware für die Synchronisation benötigt, und das transparent für asynchrone Ereignisse ist.

ZUSAMMENFASSENDE DARSTELLUNG DER ERFINDUNG

Die Erfindung ist ein Verfahren und eine Einrichtung zum Bereitstellen eines fehlertoleranten Backup-Systems in der Weise, daß, falls ein Primärverarbeitungssystem ausfällt, ein repliziertes System ohne Unterbrechung übernehmen kann. Die Primär- und Backup-Verarbeitungssysteme sind separate Computer, die durch einen Hochgeschwindigkeitskommunikationskanal miteinander verbunden sind. Die Erfindung, wie sie in den anliegenden Ansprüchen definiert ist, stellt eine Softwarelösung zum Synchronisieren des Backup-Systems zur Verfügung. Die vorliegende Erfindung ist als Netzwerkserver implementiert, aber die der Erfindung zugrunde liegenden Prinzipien können auch in anderen Verarbeitungsumgebungen verwendet werden. Die Server verwenden ein Betriebssystem einer speziellen Architektur. Die vorliegende Erfindung un terteilt dieses Betriebssystem in zwei "Maschinen". Eine Eingabe/Ausgabe(I/O)-Maschine ist verantwortlich für das Handhaben und Empfangen aller Daten und asynchronen Ereignisse im System. Die I/O-Maschine steuert und stellt Verbindungen her zu physischen Geräten und Gerätetreibern. Die Be triebssystem(OS)-Maschine wird dazu verwendet, Daten zu verarbeiten, die von der I/O-Maschine empfangen wurden. Im primären Server werden diese Maschinen als primäre I/O-Maschine und primäre OS-Maschine bezeichnet.
Alle Ereignisse und Daten, die den Zustand des Betriebssystems ändern können, werden durch die I/O-Maschine geleitet und in ein Nachrichtenformat konvertiert. Die Nachrichten werden an eine Nachrichtenwarteschlange übergeben, auf die die OS-Maschine zugreift. Unabhängig vorn zeitlichen Eintreten der Ereignisse (d.h. der asynchronen Ereignisse) empfängt daher die OS-Maschine alle Ereignisse sequentiell durch einen kontinuierlichen, sequentiellen Strom von Eingabedaten. Im Ergebnis ist die OS-Maschine ein Automat mit finiten Zuständen, der eine eindimensionale Eingangs-"Sicht" auf das System hat. Obwohl die OS-Maschine asynchrone Ereignisse verarbeitet, wird daher die Abfolge jener Ereignisse durch eine einfach geordnete Eingangssequenz gesteuert.
Beim Starten oder wenn ein sekundärer Prozessor zum ersten Mal zur Verfügung gestellt wird, wird der primäre Prozessor "ausgehungert", d.h. alle Befehle oder alle anderen Ereignisse, die den Zustand ändern könnten, werden angehalten, bis die OS-Maschine einen stabilen Zustand erreicht. An diesem Punkt wird der Zustand auf die OS-Maschine des Backup-Systems übertragen. Von diesem Punkt an werden identische Nachrichten (Ereignisse) jeder OS-Maschine zur Verfügung gestellt. Da beide Systeme mit einem identischen Zustand anfangen und identische Eingaben erhalten, erzeugen die OS-Maschinen darstellenden Teile der Systeme identische Ausgaben und schreiten zu identischen Zuständen fort.
Das Backup-System unterteilt das Betriebssystem ebenfalls in eine sekundäre OS-Maschine und eine sekundäre I/O- Maschine. Die sekundäre I/O-Maschine kommuniziert mit der primären I/O-Maschine. Bei einem Ausfall des primären Systems wird der verbleibende Teil des Computersystems mit nahezu keiner Unterbrechung zu dem sekundären System geschaltet. Dies ist möglich, da jedes Ereignis im wesentlichen gleichzeitig vom Backup-System und vorn primären System ausgeführt wird. Daher gibt es keinen Verlust bei der Verarbeitung durch das System während des Ausfalls einer Komponente. Ferner bedarf es keiner Übertragung eines Zustands, nachdem eine anfängliche Synchronisierung erreicht wurde. Dies reduziert die Komplexität des Systems und die Anforderung an die Speicherverwaltung und gewährleistet einen ununterbrochenen Service.

KURZBESCHREIBUNG DER ZEICHNUNGEN

Figur 1 ist eine Blockdarstellung des bevorzugten Ausführungsbeispiels der vorliegenden Erfindung.
Figur 2 ist eine detaillierte Ansicht der I/O-Maschine gemäß Figur 1.
Figur 3 ist eine detaillierte Ansicht der OS-Maschine gemäß Figur 1.
Figur 4A ist ein Ablaufdiagramm, das den Betrieb der OS- Maschine während der Ausführung von Anforderungen und Ereignissen illustriert.
Figur 4B ist ein Ablaufdiagramm, das den Betrieb von primären und sekundären I/O-Maschinen während der Ausführung von Ereignissen veranschaulicht.
Figur 4C ist ein Ablaufdiagramm, das den Betrieb von primären und sekundären I/O-Maschinen während der Ausführung von Anforderungen veranschaulicht.
Figur 5 ist ein Diagramm, das Zustandsübergänge dieser Erfindung veranschaulicht.
Figur 6 ist ein Ablaufdiagramm, das die Synchronisation des primären und sekundären Systems veranschaulicht.
Figur 7 ist ein Blockschaltbild eines alternativen Ausführungsbeispiels der Erfindung.

DETAILLIERTE BESCHREIBUNG DER ERFINDUNG

Ein als Netzwerkserver verwendetes fehlertolerantes System wird beschrieben. In der folgenden Beschreibung werden zahlreiche spezielle Details erläutert, um eine gründlichere Beschreibung der vorliegenden Erfindung zu gewährleisten. Es ist einem Fachmann jedoch klar, daß die vorliegende Erfindung auch ohne dies speziellen Details ausgeführt werden kann. An anderer Stelle wurden wohlbekannte Merkmale nicht detailliert beschrieben, um die Beschreibung der Erfindung nicht unnötig zu belasten.

BLOCKDARSTELLUNG DER ERFINDUNG

Eine Blockdarstellung des bevorzugten Ausführungsbeispiels der Erfindung ist in Figur 1 gezeigt. Die Erfindung stellt einen primären Prozessor und ein primäres Betriebssystem bereit, welche allgemein durch die Elemente innerhalb der gestrichelten Linien 21 gekennzeichnet sind, und einen Backup- und sekundären Prozessor und ein Backup- oder sekundäres Betriebssystem, welche allgemein durch die Elemente innerhalb der gestrichelten Linien 22 gekennzeichnet sind. Das primäre Betriebssystem 21 umfaßt eine Betriebssystem(OS)-Maschine 10, die an eine Eingabe/Ausgabe(I/O)-Maschine 12 gekoppelt ist. Die I/O-Maschine und die OS-Maschine kommunizieren über "Ereignis"- und "Anfrage"-Warteschlangen. Die I/O-Maschine schreibt Ereignisse in die Ereigniswarteschlange, und die OS-Maschine liest die Ereignisse. Die OS-Maschine schreibt Anforderungen in die Anforderungswarteschlange, und die I/O-Maschine liest die Anforderungen.
Das Backup-System 22 enthält seine eigene OS-Maschine 16, die durch Ereigniswarteschlange 17 und Anforderungswar teschlange 42 mit der I/O-Maschine 18 kommuniziert. Die I/O- Maschine 12 kommuniziert mit der I/O-Maschine 18 über einen Hochgeschwindigkeitskommunikationsbus 15A und B. 15A und B sind ein Hardwarekanal, der dazu verwendet wird, zwei Arten von Nachrichten, A und B, zu übertragen. Der Hochgeschwindigkeitskommunikationsbus wird dazu verwendet, Ereignisse vom primären Server zum sekundären Server (LSA) zu übertragen. Er wird außerdem für die sonstige Kommunikation zwischen den I/O-Maschinen (158) verwendet. Die I/O-Maschine 12 kann auch auf einen Massenspeicher 14 über die Leitung 13 zugreifen. Die I/O-Maschine 12 ist außerdem mit anderen Einrichtungen gekoppelt, wie Zeitgeber, Tastaturen, Anzeigen usw., die symbolisch als Block 44A gezeigt sind, der über den Bus 64 mit der I/O-Maschine 12 gekoppelt ist. Die I/O- Maschine 18 ist über Leitung 19 mit dem Massenspeicher 20 gekoppelt. Die I/O-Maschine 12 und die I/O-Maschine 18 sind jeweils mit dem Netzwerk 23 verbunden. Die I/O-Maschine 18 ist über den Bus 65 mit dem Block 448 (Zeitgeber, Tastatur, Anzeige usw.) gekoppelt.
Die I/O-Maschine 12 empfängt Daten und asynchrone Ereignisse von demjenigen Computersystem, von dem sie ein Teil ist. Wird die Erfindung z.B. als Netzwerkserver eingesetzt so erhält die I/O-Maschine 12 LAN-Pakete von anderen mit dem Netzwerk gekoppelten Einrichtungen. Die I/O-Maschine steuert außerdem und ist verbunden mit physischen Geräten und Gerätetreibern, wie dem Massenspeichergerät 14, einer Tastatur und einem Zeitgeber.
Die OS-Maschinen arbeiten mit Daten, die sie von den I/O-Maschinen über die Ereigniswarteschlangen 11 und 17 erhalten. Nachdem eine gewünschte Operation ausgeführt wurde, werden die Daten über die Anforderungswarteschlangen 41 und 42 an die I/O-Maschinen zurückgegeben, um sie an andere Systeme inrichtungen auszugeben.
Der primäre Server 21 erhält Daten oder Ereignisse aus dem Netzwerk 23 über die Leitung 24. Die I/O-Maschine 12 konvertiert diese Ereignisse oder Daten in ein "Nachrichten"-Format. Jede Nachricht repräsentiert Daten oder ein Ereignis, die den Zustand des Betriebssystems ändem können. Die I/O-Maschine 12 stellt diese Nachrichten zunächst auf dem Bus 15A bereit, und sobald die I/O-Maschine 18 anzeigt, daß sie die Nachricht erhalten hat, wird die Nachricht von den I/O-Maschinen 12 und 18 durch die Ereignis-Nachricht-Warteschlangen-Busse 11 und 17 zu beiden OS- Maschinen geleitet. Diese Nachrichten werden sequentiell durch die OS-Maschinen 10 und 16 ausgeführt. Durch ein Aufreihen der Nachrichten wird die Zeitabhängigkeit des Systems beseitigt, so daß alle asynchronen Ereignisse in eine synchrone Folge von Ereignis-Nachrichten konvertiert werden. Durch Trennen der OS-Maschine von der I/O-Maschine wird die OS-Maschine dazu gebracht, so zu arbeiten, als wäre sie ein Automat mit finiten Zuständen, der eine eindimensionale Sicht auf das System (d.h. die Ereignis-Nachrichten-Warteschlange) hätte.
Die Busse 15A und 15B, die die primäre I/O-Maschine 12 mit der sekundären I/O-Maschine 18 verbindet, verwendet einen bidirektionalen Kommunikationskanal. Idealerweise gewährleisten die Busse 15A und B eine Hochgeschwindigkeitskommunikation, haben geringe Wartezeiten und einen geringen CPU-Verwaltungsaufwand. Jeder geeignete Kommunikationskanal kann bei dieser Erfindung verwendet werden, indusive Buserweiterungen und lokale Netzwerk-(LAN) Karten.
Die OS-Maschine und die I/O-Maschine können in einem einzigen Prozessor implementiert werden, falls dies gewünscht wird. Alternativ können separate Prozessoren, einer für die OS-Maschine und einer für die I/O-Maschine, verwendet werden. Zusätzliche OS-Maschinen unter Verwendung von zusätzlichen Prozessoren können in dieser Erfindung ebenfalls verwendet werden. Die Zustände aller OS-Maschinen werden dann gespiegelt.
Unabhängig davon, ob ein oder zwei Prozessoren für die OS-Maschine und die I/O-Maschine verwendet werden, wird der RAM-Systemspeicher zwischen den beiden Maschinen aufgeteilt. Die I/O-Maschine kann auf Speicher für die OS-Maschine zugreifen, aber die OS-Maschine kann nicht auf Speicher für die I/O-Maschine zugreifen. Dies geschieht deshalb, weil die Pufferspeicher-Adressen für die primäre und sekundäre I/O- Maschine unterschiedlich sein können, was dazu führt, daß sich die Zustände der primären und sekundären OS-Maschine unterscheiden, falls es ihnen erlaubt wäre, auf Adressen des Speichers für die I/O-Maschine zuzugreifen.
Es ist nicht notwendig, daß der primäre und der Backup- Server identische Prozessoren haben. Die Leistung der Prozessoren sollte ähnlich sein (CPU-Art, CPU-Geschwindigkeit), und die Prozessoren müssen Befehle in der gleichen Weise ausführen, jedoch nicht notwendigerweise auf dem Pin- und Buszyklus-Niveau, aber auf dem Niveau der in den Speicher geschriebenen Werte und der Befehisfolge. So könnte z.B. ein 80386-Mikroprozessor der Firma Intel Corporation aus Santa Clara, Kalifornien, im primären Server mit einem Intel 80486 im sekundärer Server verwendet werden. Die sekundäre Maschine muß wenigstens soviel RAM haben, wie für die primäre OS-Maschine verwendet wird. Ferner sollten der primäre und sekundäre Server das gleiche Volumen und die gleiche Konfiguration des Plattenspeichers haben.
Hardware- und/oder Software-Aktualisierungen und -Änderungen können ohne eine Unterbrechung des Services am System vorgenommen werden. Z.B. kann ein Benutzer den Wunsch haben, dem primären und sekundären Server mehr RAM hinzuzufügen. Um dies zu erreichen, werden der primäre oder sekundäre Server aus dem System genommen. Wird der primäre Server "off-line" geschaltet, wird der sekundäre Server dieses als einen Ausfall behandeln und wird anfangen, als primärer Server zu arbeiten, so daß es keine Unterbrechung des Betriebs des Systems gibt. Der "off-line"-Server kann dann aufgerüstet und wieder angeschlossen werden. Die Server werden dann wieder synchronisiert und der andere Server wird "off-line" geschaltet und aufgerüstet. Nach der Aufrüstung des zweiten Servers wird er wieder angeschlossen, und die Server werden wieder synchronisiert und beide beginnen mit der Nutzung des neu hinzugefügten RAMs. Daher können Hardware- und Softwareaufrüstungen ohne eine Unterbrechung des Services durchgeführt werden. Obwohl die Erfindung im Zusammenhang mit Netzwerkservern beschrieben wird, findet sie gleichermaßen Anwendung bei allgemeinen Computersystemen.
Zum Initialisieren des sekundären Betriebssystems werden der primären OS-Maschine 10 alle Ereignisse vorenthalten, bis sie einen stabilen Zustand erreicht hat. An diesem Punkt wird der Zustand der OS-Maschine 10 (verkörpert durch das Speicherabbild der OS-Maschine 10) durch den Nachrichtenbus 158 zur OS-Maschine 16 des Backup-Betriebssystems übertragen. Die OS-Maschine 10 hat dann einen mit der OS-Maschine 16 identischen Zustand. Zu diesem Zeitpunkt werden alle von der I/O-Maschine 12 erzeugten Nachrichten, die zur OS-Maschine 10 geleitet werden, ebenfalls auf den Bus 15A zur I/O-Maschine 18 für eine Übertragung an die OS-Maschine 16 geleitet. Da beide OS-Maschinen 10 und 16 mit identischen Zuständen beginnen und identische Eingaben erhalten, schreitet jede OS-Maschine nach jedem Ereignis oder jeder Nachricht zu einem identischen Zustand fort.
Bei der vorliegenden Erfindung erzeugen identische Nachrichten identische Zustände in den Primär- und Backup-Betriebssystemmaschinen, so daß die bekannten Checkpoint-Operationen überflüssig sind. Zeitabhängige Betrachtungen sind minimiert, und eine Synchronisation der jeweiligen OS-Maschinen für einen simultanen Betrieb ist unnötig, da synchrone und asynchrone Ereignisse einer Nachrichtenwarteschlange zugeleitet werden, welche dazu dient, asynchrone Ereignisse in synchrone Ereignisse zu konvertieren.
Gibt es einen Ausfall eines Primärsystems, so wird die I/O-Maschine 18 des sekundären Betriebssystems an das Netzwerk 23 gekoppelt. Die sekundäre I/O-Maschine 18 wird dann dazu verwendet, Nachrichten zu erzeugen, die der sekundären OS-Maschine 16 zugeleitet werden. Da das Backup-Betriebssystern sich im gleichen Zustand wie das Primär-Betriebssystem befindet, tritt für die den Server nutzenden Klienten während des Umschaltens eines Servers keine Unterbrechung des Betriebs auf.

TRENNUNG VON I/O-MASCHINE UND OS-MASCHINE

Bei der vorliegenden Erfindung sind die I/O-Maschine und die OS-Maschine im wesentlichen unabhängig. Um ungewünschte Zustandsänderungen zu vermeiden, die nicht von der Backup- OS-Maschine gespiegelt werden können, werden die von der I/O- und OS-Maschine gemeinsam genutzten Daten wie weiter unten beschrieben gesteuert. Jede Maschine hat ihr eigenes unabhängiges Prozeßsteuerprogramm, einen Befehlsinterpreter, ein Speicherverwaltungssystem und Befehlscode, der zu dem Teil des Betriebssystems gehört, der für seine Funktion wesentlich ist.
Die Teilung zwischen der OS-Maschine und der I/O-Maschine geschieht oberhalb des Niveaus der Hardwaretreiber in der Schicht der Treiberunterstützung. Die Software der Treiberunterstützungsschicht ist sowohl in der I/O-Maschine als auch in der OS-Maschine dupliziert und gewährleistet dieselbe Schnittstelle auf der obersten Ebene. Die Software der Unterstützungsschicht wird für die I/O-Maschine und die OS Maschine modifiziert. Die Treiberunterstützungsschicht der I/O-Maschine gewährleistet Schnittstellen auf dem Treiberniveau und kommuniziert mit physischen Hardwaretreibern. Sie konvertiert Ereignisse auf dem Hardwaretreiberniveau in Nachrichten, die der Ereigniswarteschlange der OS-Maschine zugeführt werden.
Die OS-Maschine hat keine Routinen zum Unterstützen von Hardwaretreiber-Schnittstellen, z.B. zum Registrieren von Interrupts oder zum Zuweisen von I/O-Port-Adressen. Verlangt die OS-Maschine eine Operation, für die eine Hardwarekomponente benötigt wird, (z.B. Schreiben oder Lesen von der Platte), so konvertiert die Software der Treiberunterstützungsschicht in der OS-Maschine die Aktion in eine Anforderung und leitet diese Anforderung zur Ausführung an die Anforderungswarteschlange der I/O-Maschine weiter. Die Ergebnisse dieser Anforderung werden dann an die OS-Maschine als eine von der Treiberunterstützungsschicht der I/O-Maschine erzeugte Ereignisnachricht zurückgegeben.

I/O-MASCHINE

Im folgenden wird auf Figur 2 Bezug genommen. Die I/O- Maschine besteht aus drei Ebenen, einer Treiberebene, einer Verwaltungssoftware-Ebene und einer Nachrichtenebene. Die Treiber 26A, 26E treiben Hardwareelemente wie Drucker, Speichereinrichtungen (z.B. Festplatten, Laufwerke), Anzeigen, LAN-Adapter, Tastaturen usw. Die Ebene der Verwaltungssoftware enthält Steuereinheiten für Gerätetreiber. Beispielsweise steuert der Plattenblock 27 den Plattengerätetreiber (z.B. den Plattengerätetreiber 26A). Der Plattenblock 27 steuert die Initialisierung von Plattenlese- und Schreibzugriffen. Zusätzlich verfolgt der Plattenblock 27 den Zustand einer Plattenoperation. Der Plattenblock 27 der primären I/O-Maschine (d.h. I/O-Maschine 12) übermittelt den Zustand der Plattenoperationen an die Backup-I/O-Maschine. Der primäre Massenspeicher 14 und der sekundäre Massenspeicher 20 sind im wesentlichen identische Systeme. Führt die primäre I/O-Maschine eine Leseoperation von Platte 14 aus, teilt sie der I/O-Maschine 18 mit, daß die Leseoperation abgeschlossen wurde. Beendet die primäre I/O-Maschine den Lesevorgang vorher, können die Daten als Nachricht über den Bus 15B an die sekundäre I/O-Maschine 18 gesandt werden. Alternativ kann die I/O-Maschine 18 die Daten von ihrem eigenen Plattenlauf werk 20 lesen.
Der LAN-Block 28 steuert externe Kommunikationen wie z.B. zu einem lokalen Netzwerk. Diese Erfindung ist allerdings nicht auflokale Netzwerke begrenzt. Vielmehr kann jede Form von Kommunikation bei dieser Erfindung verwendet werden. Die LAN-Steuereinheit erhält Informationspakete aus dem Netzwerk und stellt fest, ob dieses Paket zur OS-Maschine geleitet werden muß.
Der Anzeigeblock 29 steuert Kommunikationen mit einem Anzeigegerät, wie einem Kathodenstrahlbildschirm mittels des Gerätetreibers 26C. Der Zeitgeberblock 30 treibt die Uhr für die Systemzeit, und der Tastaturblock 31 gewährleistet eine Schnittstelle und Kommunikation mit der Tastatur.
Der Nachrichtenblock 47 konvertiert Systemereignisse in Nachrichten, um sie zur Ereigniswarteschlange der OS-Maschine zu leiten, und entfernt Anforderungen von der OS-Maschine aus der Warteschlange. Eine Nachricht besteht aus einem Kopffeld und einem Datenfeld. Das Kopffeld zeigt die Art der Nachricht oder Operation an. Das Datenfeld enthält die Daten, an denen die Operation ausgeführt werden soll. Die Nachrichtenebene tausch Ereignisnachrichten mit der I/O-Maschine über den Ereignisbus 15A aus.

OS-MASCHINE

Im folgenden wird auf Figur 3 Bezug genommen. Die OS-Maschine enthält eine Nachrichtenebene 32, um von der I/O-Maschine erhaltene Ereignisnachrichten aus der Warteschlange zu entfernen und um Anforderungen an die Warteschlange anzuhängen, damit Anforderungen der OS-Maschine an den Anforderungsblock 47 der I/O-Maschine geleitet werden. Die OS-Maschine enthält auch Verwaltungssoftware, die der Verwaltungssoftware der I/O-Maschine entspricht. Beispielsweise enthält die OS-Maschine eine Plattenverwaltungssoftware 33, eine LAN-Verwaltungssoftware 34, eine Nachrichtenverwaltungssoftware 35, eine Zeitgeberverwaltungssoftware 36 und eine Tastatursoftware 37. Die oberste Ebene 48 der OS-Maschine ist das Betriebssystem des Computersystems, das diese Erfindung benutzt.
Die Plattenverwaltungssoftware 33 kontrolliert die gespiegelten Kopien der Daten auf den redundanten Platten 14 und 20. Soll eine Plattenoperation, wie eine Plattenleseoperation ausgeführt werden, so stellt die Plattenverwaltungssoftware 33 fest, ob beide I/O-Maschinen 12 und 18 eine Leseoperation ausführen werden, oder ob die primäre I/O-Maschine 12 eine Leseoperation ausführen wird und die Daten an die sekundäre I/O-Maschine 18 übertragen werden. Die Zeitgeberverwaltungssoftware 36 steuert Zeitgeberereignisse. Im allgemeinen hat das Betriebssystem einen Zeitgeber, der periodisch unterbrochen wird. Häufig wird die Unterbrechung des Zeitgebers für zeitabhängige Operationen verwendet. Für diese Erfindung ist eine Unterbrechung des Zeitgebers selbst ein Ereignis in der Eingabewarteschlange. Dadurch, daß die Unterbrechung des Zeitgebers in eine Nachricht verwandelt wurde, werden die Zeitgeberereignisse relativ statt absolut. Zeitereignisse werden von asynchronen in synchrone Ereignisse geändert. Der LAN-Block 34, der Anzeigeblock 35 und der Tastaturblock 37 steuern Netzwerk-, Anzeige- bzw. Tastaturereignisse.

BETRIEBSWEISE

Erhält die OS-Maschine eine Ereignisnachricht, so können verschiedene Änderungen am Zustand der OS-Maschine auftreten, und diese Änderungen können eine endliche Zeit zum Auftreten benötigen. Wurde eine Nachricht von der OS-Maschine angenommen, so führt in dieser Erfindung die OS-Maschine alle Operationen aus, die in Abhängigkeit von der Nachricht ausgeführt werden können. Nachdem alle solche Operationen ausgeführt wurden, überprüft die OS-Maschine die Nachrichtenwarteschlange um festzustellen, ob eine andere Nachricht zur Ausführung zur Verfügung steht. Steht keine andere Nachricht zur Verfügung, wird die OS-Maschine inaktiv, bis eine Nachricht zur Verfügung steht. Diese Betriebsweise ist nötig, damit die primäre OS-Maschine und die sekundäre OS-Maschine synchron bleiben. Neue Nachrichten können der primären und der sekundären OS-Maschine zu verschiedenen Zeiten übergeben werden, da die I/O-Maschinen asynchron sind. Daher kann man sich nicht nach der An- oder Abwesenheit eines neuen Ereignisses richten oder diese dazu verwenden, den Zustand der OS-Maschine zu ändern.
Im bevorzugten Ausführungsbeispiel der vorliegenden Erfindung ist die Umgebung des Betriebssystems als nicht-präemptiv definiert. Eine Präemption ist inhärent ein asynchrones Ereignis. Im Stand der Technik kann eine gerade ausgeführte Aufgabe (Task) unterbrochen und durch ein Zeitgeber-Interrupt durch eine andere Aufgabe ersetzt werden. Da die vorliegende Erfindung zu jedem Zeitpunkt nur eine einzige Nachricht ausführt, beeinflußt eine Unterbrechung des Zeitgebers oder eine Anfrage zur exklusiven Nutzung die OS-Maschine solange nicht, bis die OS-Maschine zu dieser Nachricht in der Nachrichtenwarteschlange gelangt. Die auf der OS-Maschine laufende Aufgabe muß die Kontrolle aufgeben, bevor das Zeitgeberereignis von der OS-Maschine empfangen und ausgeführt werden kann.

KOMMUNIKATION ZWISCHEN DEN MASCHINEN

In der vorliegenden Erfindung wird die Kommunikation zwischen der OS-Maschine und der I/O-Maschine gesteuert. Die Erfindung ist so ausgelegt, daß sie eine einzige Quelle der Eingabe für die OS-Maschine erhält, wodurch zeitabhängige Ereignisse und durch die I/O-Maschine ausgeführte Änderungen daran gehindert werden, den Zustand der OS-Maschine zu beeinflussen.
Die Kommunikation zwischen der I/O-Maschine und der OS- Maschine ist wie folgt gekennzeichnet:
1. Die OS-Maschine kann nur auf ihren eigenen OS-Maschinen-Speicher zugreifen. Die gesamte Kommunikation zwischen der OS-Maschine und der I/O-Maschine über den Speicher der OS-Maschine geschehen. Die OS-Maschine kann nicht auf Speicher zugreifen, der als Speicher der I/O-Maschine ausgezeichnet ist. Die Kohärenz des Speichers ist somit gewährleistet. Die primäre OS-Maschine und die sekundäre OS-Maschine sind bei dieser Erfindung gespiegelt, aber die primäre I/O-Maschine und die sekundäre I/O-Maschine sind es nicht. Daher können die Speicherinhalte jeder I/O-Maschine unterschiedlich sein. Solange die OS-Maschinen nicht auf den Speicher der I/O-Maschinen zugreifen, bleibt die Synchronisation der Zustände aufrecht erhalten.
2. Fordert die OS-Maschine an, daß ein Speicherblock durch die I/O-Maschine geändert werden soll, kann die OS-Maschine auf diesen Speicherblock solange nicht zugreifen, bis die I/O-Maschine ein Ereignis zurücksendet, das der OS-Maschine anzeigt, daß die Modifizierung durchgeführt wurde. Die primäre und sekundäre OS-Maschine arbeiten nicht exakt synchron. Es kann eine gewisse Asymmetrie und Divergenz ihres jeweiligen Betriebs geben (obwohl die Zustände immer konvergieren). Zusätzlich können die primären und sekundären I/O-Maschinen den Speicher der OS-Maschinen zu unterschiedlichen Zeiten ändern. Würden dann Entscheidungen von der OS-Maschine getroffen, die sich auf den aktuellen Wert eines Speicherorts bezögen, der gerade durch die I/O-Maschine geändert würde, und würden die Speicherorte infolge der unterschiedlichen Änderungszeiten unterschiedliche Daten enthalten, so wäre die Synchronisation der Zustände zwischen den beiden OS-Maschinen verloren.
Benötigt die OS-Maschine eine Kopie von Daten der I/O- Maschine im tatsächlichen Betrieb, so weist die OS-Maschine einen Arbeitspufferspeicher aus, der die Daten aufnehmen kann und leitet die Adresse des Arbeitspufferspeichers an die I/O-Maschine weiter. Die I/O-Maschine kopiert die angeforderten Daten in den Arbeitspufferspeicher und erzeugt ein Ereignis für die OS-Maschine, das angibt, daß die Daten übertragen wurden. Die OS-Maschine kopiert die Daten aus dem Arbeitspufferspeicher in ihren letztendlichen Zielort und gibt den Arbeitspufferspeicher frei.
3. Die I/O-Maschine kann keinen als Speicher der OS-Maschine ausgewiesenen Speicher ändern, falls sie nicht von der OS-Maschine die explizite Kontrolle über diesen Speicherort erhalten hat. Sobald die I/O-Maschine die Kontrolle über den Speicher der OS-Maschine an die OS-Maschine zurückgegeben hat (aufgrund eines Ereignisses), kann die I/O-Maschine auf diesen Speicher nicht mehr zugreifen.
4. Die Software der OS-Maschine kann keine "Abfrage" für eine Änderung in einem Speicherwert durchführen, ohne die Kontrolle des Prozessors während der Abfrageschleife aufzugeben, da die OS-Maschine in der vorliegenden Implementierung nicht präemptiv oder durch Interrupts gesteuert sein kann. Alle Änderungen werden über Ereignisse durchgeführt, und neue Ereignisse werden nicht angenommen, bis der Prozessor vom laufenden Prozess freigegeben wird.
Versagt der primäre Server, wird der sekundäre Server zum primären Server. Die Adresse der OS-Maschine ändert sich nicht, aber Nachrichten, die vom Netzwerk empfangen werden, werden umgeleitet, um sie zum sekundären Server zu leiten.

PLATTEN-SPIEGELUNG

Der Primärspeicher 14 und der Sekundärspeicher 20 müssen für den Betrieb der Erfindung gespiegelt werden. Wird eine neue Sekundärmaschine angeschlossen, so bildet das Plattensystem die Laufwerke der Primärmaschine auf die entsprechenden Laufwerke der Sekundärmaschine ab. Die Laufwerke werden mit einem Zähler für das "aktuelle Synchronisationsniveau" markiert, der dazu verwendet werden kann anzuzeigen, welches Laufwerk aktueller ist oder daß zwei Laufwerke bereits vollständig synchronisiert sind. Tritt eine Anderung am Synchronisationszustand auf (d.h. der andere Server ist ausgefallen), wird das aktuelle Synchronisationsniveau vorn überlebenden Server erhöht. Die überlebende Maschine beginnt außerdem damit, Speicherblöcke, die auf Platte geschrieben werden, zu verfolgen. Wird die ausgefallene Maschine wieder angeschlossen, nachdem festgestellt wurde, daß sie die gleichen Medien wie früher hat, kann die reparierte Maschine synchronisiert werden, indem nur die Speicherblöcke übertragen werden, die sich geändert haben, während die Maschine außer Betrieb war. Wird das System zum ersten Mal gestartet und die ursprüngliche Primärmaschine angeschlossen, so wird verfolgt, welche Plattenblöcke aus dem gleichen Grund modifiziert wurde.

KOMMUNIKATION DER PRIMAREN UND SEKUNDÄREN I/O-MASCHINE

Die I/O-Maschine des Primärsystems bestimmt die Sequenz der Ereignisse, die der primären OS-Maschine und der sekundären OS-Maschine zugeleitet werden. Ein Ereignis und zusätzlich irgendwelche Daten, die im Speicher der primären OS-Maschine modifiziert wurden, werden der sekundären OS-Maschine mitgeteilt, bevor das Ereignis in die Ereigniswarteschlange der primären OS-Maschine eingeordnet wird. Diese Kommunikation geschieht über den Bus 15A. Die I/O-Maschine des sekundären Systems modifiziert den Speicher der sekundären OS-Maschine und leitet das Ereignis der sekundären 05- Maschine zu.
Zusätzlich zum Austausch von Ereignissen kommunizieren die primäre und die sekundäre I/O-Maschine auch andere Informationen. Mechanismen werden zur Verfügung gestellt, damit verschiedene Unterstützungsroutinen der Treiberschicht mit ihrem jeweiligen Gegenstück im anderen System kommunizieren können. Diese Kommunikation ist bidirektional und ge schieht über den Bus 15B. Beispiele solcher Kommunikationen umfassen den Abschluß von Platten-I/O-Anforderungen und die Kommunikation von Platten-I/O-Daten, wenn die Daten aufgrund eines Platten-Hardware-Ausfalls nur in einem der Systeme gespeichert sind.
Es gibt zwei Prozeduren, die für die Kommunikation zwischen den OS-Maschinen verwendet werden. "Addfsevent" wird von der I/O-Maschine dazu verwendet, ein Ereignis an die OS- Maschine zu geben und "MakeIORequest" wird von der OS-Maschine aufgerufen, um der I/O-Maschine eine Anforderung mitzuteilen. AddFSEvent kann nur von der primären I/O-Maschine aufgerufen werden. Beide Aufrufe verwenden einen Anforderungs- oder Ereignistyp, um die durchgeführte Anforderung oder das durchgeführte Ereignis zu identifizieren. Zusätzlich übergeben beide Aufrufe einen Parameter, der in funktionsspezifischer Weise definiert ist. Dieser kann beispielsweise ein Zeiger auf eine Datenstruktur im Speicher der OS-Maschine sein.
Modifiziert die I/O-Maschine des primären Systems eine Datenstruktur in der OS-Maschine, muß die gleiche Modifikation in der sekundären OS-Maschine durchgeführt werden, bevor das Ereignis der OS-Maschine durchgeführt werden kann. Addfsevent können Zeiger auf Datenstrukturen in der OS-Maschine übergeben werden, die dem sekundären Server zusammen mit Ereignissen übertragen werden, um Datenmodifikationen der OS-Maschine auf das Sekundärsystem zu übertragen.
Im Sekundärsystem gibt es Behandlungsprozeduren in der I/O-Maschine, jeweils eine pro Anforderungstyp, die aufgerufen werden, wenn Ereignisse vom Primärserver erhalten werden. Die Behandlungsprozedur wird mit den Originalparametern und den Zeigern auf die Bereiche in der OS-Maschine aufgerufen, die modifiziert werden müssen.
Die Ereignissteuerbehandlungsprozeduren der sekundären I/O-Maschine haben die Wahl, die Ereignisse anzunehmen oder hinzuhalten. Ein Hinhalten würde verwendet, falls das Ereignis eine Antwort auf eine Anforderung der OS-Maschine ist und das Sekundärsystem die Anforderung noch nicht erhalten hat. Würde das Ereignis nicht hingehalten, könnte potentiell ein Speicher in der OS-Maschine vor der Zeit geändert werden. Üblicherweise entfernen die Ereignisbehandlungsroutinen der sekundären I/O-Maschine eine ausstehende Anforderung, die sie verfolgt haben, und zeigen an, daß das Ereignis akzeptiert werden soll. Nachdem die Daten kopiert wurden, wird das Ereignis an die sekundäre OS-Maschine übergeben. Man beachte, daß die Ereignisbehandlungsroutine des Sekundärsystems andere Modifikationen am Speicher der OS-Maschine vornehmen können, falls dies bei der Implementierung nötig ist.
Es ist wichtig, daß die primäre I/O-Maschine wartet, bis das sekundäre System ein Ereignis erhält, bevor das Ereignis an die primäre OS-Maschine übergeben wird. Anderenfalls könnte die primäre OS-Maschine das Ereignis verarbeiten und eine Antwort übergeben, bevor das ursprüngliche Ereignis an das Sekundärsystem übertragen wurde (das Ereignis könnte in einer Warteschlange des Primärsystems verzögert werden, in der es darauf wartet, an das Sekundärsystem gesendet zu werden). Würde das Primärsystem eine Anforderung in Abhängigkeit von einem noch nicht an das Sekundärsystem übertragenen Ereignis erzeugen, so würde, falls das Primärsystem ausfällt, sein Zustand -von einem externen Benutzer aus betrachtet- nicht mit dem Sekundärsystem synchronisiert sein.

BETRIEBSZUSTÄNDE UND ÜBERGÄNGE DES SERVERS

Die Software der I/O-Maschine läuft in vier verschiedenen Zuständen: Kein-Server-Aktiv-Zustand, Primärsystem-ohne- Sekundärsystem-Zustand, Primärsystem-mit-Sekundärsystem-Zustand und Sekundärsystem-Zustand. Zusätzlich vollführt die I/O-Maschine folgende Zustandsübergänge: Kein-Server-aktiv zu Primärsystem-ohne-Sekundärsystem, Primärsystem-ohne-Sekundärsystem zu Primärsystem-mit-Sekundärsystem und Sekundärsystem zu Primärsystem. Es gibt einige zusätzliche Zustände, die während der Synchronisation eines Sekundärsystems auftreten.
Die Zustände des erfindungsgemäßen Systems sind in Figur dargestellt. Wie erwähnt, arbeitet die I/O-Maschine in einem von vier Zuständen, S1, S2, S3 und S4. Der Zustand S1, keine-Server-Maschine, tritt auf, wenn die I/O-Maschine arbeitet, aber die OS-Maschine nicht. Zustand S2, Primär-ohne- Sekundär, tritt auf, wenn sowohl die I/O-Maschine als auch die OS-Maschine geladen sind, das System aber nicht gespiegelt ist. Ist das System gespiegelt, so wird es zur primären OS-Maschine und die I/O-Maschine agiert als primäre I/O-Maschine.
Zustand 3 wird als Primär-mit-Sekundär bezeichnet. In diesem Zustand läuft die I/O-Maschine in einem gespiegelten Primärsystem. Der Zustand S4, Sekundär-mit-Primär, tritt auf, wenn die I/O-Maschine in einem gespiegelten zweiten System läuft.
Es gibt fünf mögliche Zustandsübergänge, die der I/O-Maschine passieren können. Diese sind durch die Linien T1-T5 gekennzeichnet. Der erste Übergang T1 verläuft vorn Zustand S1 zum Zustand S2. Dieser Übergang tritt nach der Aktivierung der OS-Maschine auf.
Der zweite Übergang T2 geschieht vorn Zustand S2 zum Zustand S3 und tritt innerhalb des Primärsystems auf, wenn dieses mit dem Sekundärsystem synchronisiert wurde. Der übergang T3 geschieht vom Zustand S1 zum Zustand S2 und tritt innerhalb des Sekundärsystems auf, wenn die OS-Maschine mit dem Primärsystem synchronisiert ist.
Der Übergang T4 geschieht vom Zustand S4 zum Zustand S2 und tritt auf, wenn das Primärsystem ausfällt. Der Übergang TS geschieht vom Zustand S3 zum Zustand S2 und tritt auf, wenn das Sekundärsystem ausfällt.

NACHFÜHRUNG DES SEKUNDÄREN SERVERS UND AUSFÜHRUNG VON ANFORDERUNGEN

Die I/O-Maschine des Sekundärsystems erhält Anforderun gen von ihrer eigenen OS-Maschine, führt diese normalerweise aber nicht aus. Statt dessen reiht sie die Anforderung in die Warteschlange ein und wartet, bis das primäre I/O-System auf die Anforderung antwortet, erhält sodann eine Kopie der Antwort (das vom primären I/O-System erzeugte Ereignis), entfernt seine eigene Kopie der Anforderung aus der Warteschlange und erlaubt es dem Antwort-"Ereignis", an seine eigene OS-Maschine weitergeleitet zu werden.
Die sekundäre I/O-Maschine muß die Anforderungen der OS- Maschine aus verschiedenen Gründen der Warteschlange hinzufügen. Vor allem erwartet die OS-Maschine normalerweise irgendeine Art von Antwort-"Ereignis" auf jede ihrer Anforderungen. Fällt das Primärsystem aus, so vervollständigt das Sekundärsystem (jetzt das Primärsystem) die Anforderung und erzeugt das zugehörige Antwort-Ereignis. Ein anderer Grund liegt darin, daß das Sekundärsystem warten muß, bis es die Anforderung erhalten hat, bevor es das Antwort-Ereignis akzeptieren kann (ein Fall, der eintreten kann, falls das Primärsystem dem Sekundärsystem signifikant voraus ist). Andernfalls könnte das Sekundärsystem Daten an seine OS-Maschine übertragen, die die OS-Maschine noch nicht bereit wäre zu empfangen. Hat das Sekundärsystem die Anforderung an die Warteschlange angehängt, kann es das Antwort-Ereignis akzeptieren; ist dies nicht der Fall, signalisiert es dem Primärsystem, abzuwarten und es erneut zu versuchen.
Es gibt von der OS-Maschine ausgehende Anforderungen, die möglicherweise von beiden Servern ausgeführt werden müssen, woraufhin das tatsächliche Vervollständigungs-"Ereignis" durch das Primärsystem koordiniert werden muß. Ein Beispiel dafür sind Platten-Schreib-Operationen. Das Sekundärsystem muß dem Primärsystem anzeigen, wann es mit der Anforderung fertig ist; das Primärsystem wartet, bis es das Schreiben abgeschlossen hat und erst eine Bestätigung der Vervollständigung vom Sekundärsystem erhalten hat, bevor es das Vervollständigungs-"Ereignis" erzeugt.
Ein Ablaufdiagramm, das die Ausführung von Ereignissen und Anforderungen darstellt, ist in den Figuren 4A-4C veranschaulicht. Zunächst wird mit Bezug auf Figur 4A der Betrieb der OS-Maschine veranschaulicht.
Der Betrieb der OS-Maschine beim Erzeugen einer Anforderung wird in den Schritten 51 und 52 gezeigt. Der Betrieb der OS-Maschine beim Empfangen eines Ereignisses ist in den Schritten 53 und 54 gezeigt. In Schritt 51 stellt die Verwaltungsebene der OS-Maschine fest, daß die Notwendigkeit besteht, eine I/O-Operation durchzuführen. In Schritt 52 erzeugt die OS-Maschine eine Anforderung für die I/O-Maschine und tritt in einen Wartezustand ein, in welchem sie auf ein Antwort-Ereignis von der I/O-Maschine wartet.
In Schritt 53 wird ein Ereignis von der I/O-Maschine in der Ereigniswarteschlange der OS-Maschine empfangen. Das Ereignis wird dem zugehörigen Block der Verwaltungsebene zugeleitet, die z.B. dem Plattenblock, dem LAN-Block, dem Tastaturblock usw. In Schritt 54 schließt die Verwaltungsebene das anfängliche I/O-Ereignis ab, indem es mit der ursprünglichen Anforderung abgeglichen wird.
Ein Ablaufdiagramm, das den Betrieb der I/O-Maschine während Ereignisverarbeitungszuständen zeigt, ist in Fig. 4B veranschaulicht. Die Schritte 55, 58 illustrieren die primäre I/O-Maschine, und die Schritte 59 bis 63 illustrieren die sekundäre I/O-Maschine. In Schritt 55 stellt die Verwaltungsebene der primären I/O-Maschine fest, daß ein Ereignis für die OS-Maschine vorliegt. In Schritt 56 wird dieses Ereignis in eine Nachricht umgewandelt und der sekundären I/O-Maschine mitgeteilt. Die primäre I/O-Maschine wartet dann, bis die sekundäre I/O-Maschine das Ereignis bestätigt hat, bevor sie die Nachricht der primären OS-Maschine zulei tet. Im Entscheidungsblock 57 wird eine Entscheidung dahingehend getroffen, ob das Ereignis von der sekundären I/O- Maschine akzeptiert wurde. Wurde das Ereignis noch nicht abkzeptiert, wartet die primäre I/O-Maschine bis eine Bestätigung vollzogen wurde. Hat die sekundäre I/O-Maschine das Ereignis akzeptiert, wodurch die Bedingung des Entscheidungsblocks 57 erfüllt ist, fügt die I/O-Maschine das Ereignis in die Ereigniswarteschlange der primären OS-Maschine in Schritt 58 ein.
Sie sekundäre I/O-Maschine wartet in Schritt 59 auf ein Ereignis von der primären I/O-Maschine. Im Entscheidungsblock 60 stellt die sekundäre I/O-Maschine fest, ob sie für das empfangene Ereignis bereit ist. Ist die sekundäre I/O- Maschine nicht bereit, sendet sie eine Nicht-Akzeptieren- Nachricht an die primäre I/O-Maschine in Schritt 61 und kehrt zu Schritt 59 zurück, um auf ein weiteres Ereignis zu warten. Ist die sekundäre I/O-Maschine bereit, das Ereignis anzunehmen, und sind die Bedingungen im Entscheidungsblock 60 erfüllt, so sendet die sekundäre I/O-Maschine eine Bestätigung des Ereignisses an die primäre I/O-Maschine in Schritt 62. Die sekundäre I/O-Maschine plaziert dann in Schritt 63 das Ereignis in der Ereigniswarteschlange der sekundären OS-Maschine.
Fig. 4C veranschaulicht den Verarbeitungszustand der I/O-Maschine beim Verarbeiten von Anforderungen, die in der OS-Maschine erzeugt wurden. Die Schritte 70-74 illustrieren den Zustand der primären I/O-Maschine während dieser Operationen und die Schritte 75-81 illustrieren die sekundäre I/O-Maschine während dieser Operationen. In Schritt 70 stellt die Nachrichtenebene der I/O-Maschine fest, daß eine Anforderung in der Anforderungswarteschlange zur Verfügung steht. In Schritt 71 wird die Anforderung durch die I/O-Maschine ausgeführt. Diese Anforderung kann eine Platten- Schreib-Operation sein, Sende-ein-Paket durchs lokale Netzwerk, usw. In Entscheidungsblock 72 wird festgestellt, ob eine Ausführung der Anforderung durch die sekundäre I/O-Maschine ebenfalls erforderlich ist. Ist keine weitere Ausführung erforderlich, schreitet die I/O-Maschine zu Schritt 74 fort. Ist eine sekundäre Ausführung erforderlich, schreitet die primäre I/O-Maschine zu Entscheidungsblock 73 fort. Ist die sekundäre Verarbeitung abgeschlossen, schreitet die primäre I/O-Maschine zu Schritt 74A fort. Ist der sekundäre Schritt nicht abgeschlossen, wartet die primäre I/O-Maschine, bis der sekundäre Schritt abgeschlossen wurde. Im Ent scheidungsblock 74A wird festgestellt, ob die Anforderung ein Abschluß-Ereignis erzeugt. Wird dies bejaht, so schreitet die primäre I/O-Maschine zu Schritt 748 fort und erzeugt das Abschlußereignis. Ist kein Abschluß-Ereignis nötig, so schreitet die primäre I/O-Maschine zu Schritt 74C fort und ist fertig.
In Schritt 75 stellt die Nachrichtenebene der sekundären I/O-Maschine fest, daß eine Anforderung von der OS-Maschine zur Verfügung steht. Im Entscheidungsblock 76 wird festge stellt, ob der sekundäre Prozessor die Anforderung ausführen muß. Muß die sekundäre I/O-Maschine die Anforderung ausführen, schreitet die sekundäre I/O-Maschine zu Schritt 77 fort und führt die Anforderung aus. Nach Ausführung der Anforderung informiert die sekundäre I/O-Maschine die primäre I/O- Maschine über den Abschluß. Muß die sekundäre I/O-Maschine die Anforderung nicht ausführen, schreitet die sekundäre I/O-Maschine zum Entscheidungsblock 79 fort und stellt fest, ob die Anforderung ein Abschluß-Ereignis erzeugt. Gibt es kein durch die Anforderung erzeugtes Abschluß-Ereignis, so schreitet die sekundäre I/O-Maschine zu Schritt 80 fort und ist fertig. Erzeugt die Anforderung ein Ereignis, so wartet die sekundäre I/O-Maschine das dazugehörige Ereignis von der primären I/O-Maschine in Schritt 81 ab.

SERVERSYNCHRONISIERUNGSSEQUENZ

Während der Synchronisierung des Sekundärsystems mit dem Primärsystem muß der gesamte "Zustand" der OS-Maschine sowie der Zustand der primären I/O-Maschine, insoweit er sich auf den Zustand der OS-Maschine bezieht, dem Sekundärsystem mitgeteilt werden. Zum Initiieren der Synchronisation des Primär- mit dem Sekundärsystems werden dem System der primären OS-Maschine neue Ereignisse "vorenthalten". D.h. es werden keine neuen Ereignisse der Ereigniswarteschlange des Primärsystems zugeführt. Nachdem die Nachrichtenwarteschlange des Primärsystems leer ist, wartet die OS-Maschine des Primärsystems auf ein neues Ereignis, indem sie sich in einer Schleife bewegt. Wenn die OS-Maschine auf ein neues Ereignis wartet, ist sie wiederum in einem stabilen Zustand und bleibt konsistent, bis sie auf ein neues Ereignis trifft. Der gesamte Zustand der OS-Maschine ist dann im Speicherbild der OS-Maschine enthalten; das Speicherbild wird dann einfach zum Sekundärsystem übertragen. Schließlich wird beiden OS-Maschinen der gleiche Satz von neuen Ereignissen zugeführt, und sie beginnen, sich gegenseitig zu spiegeln.
Ein Ablaufdiagramm, das die erfindungsgemäße Synchronisierungsabfolge darstellt, ist in Fig. 6 illustriert. Die Schritte 85-89 repräsentieren die Zustände und Übergänge des Primärservers. Die Schritte 90-93 repräsentieren die Zustände und Übergänge des Sekundärservers. Der Primärserver ist in Schritt 85 im anfänglichen Zustand S2 und der Sekundärserver ist in Schritt 90 anfänglich in Zustand S1 (I/O-Maschine allein).
Die I/O-Maschinen koordinieren die Synchronisierungsse quenz. Wird den Servern ein Befehl zum Synchronisieren gegeben, bereitet sich die Verwaltungssoftware der primären I/O- Maschine in Schritt 86 auf die Synchronisierung vor. Dies erlaubt den verschiedenen Treiberunterstützungsschichten, mit der OS-Maschine zu kommunizieren und alle Aufgaben zu beenden, die eine Synchronisierung verhindern würde. Das Primärsystem beginnt mit dem "Aushungern" der OS-Maschine und hört außerdem auf, Anforderungen von der OS-Maschine anzunehmen.
Als nächstes werden alle ausstehenden Anforderungen, die von der I/O-Maschine ausgeführt werden, abgeschlossen (und das zugehörige Abschluß-Ereignis wird in das Speicherbild der OS-Maschine übertragen, wird aber versteckt und zu diesem Zeitpunkt noch nicht an die OS-Maschine weitergegeben). In den Schritten 87 und 91 tauschen die I/O-Maschinen Zustandsinformationen aus. Die primäre I/O-Maschine übergibt ihren Zustand an die sekundäre I/O-Maschine, so daß die I/O- Maschinen ihren jeweiligen Zustand kennen und zusätzlich die sekundäre I/O-Maschine über alle ausstehenden Zustände der OS-Maschine informiert ist. Dieser Schritt ist in Schritt 91 der Sequenz der sekundären I/O-Maschine dargestellt. In Schritt 88 überträgt die primäre I/O-Maschine das Speicherbild der OS-Maschine an den Sekundärserver. Dies entspricht Schritt 92 der Sequenz des Sekundärservers, in welchem die sekundäre I/O-Maschine das Speicherbild der OS- Maschine vom Primärserver erhält.
In Schritt 89 ist die Synchronisierung abgeschlossen und das Primärsystem befindet sich im Zustand S3 (primär mit sekundär). In ähnlicher Weise ist im zugehörigen Schritt 93 des Sekundärservers der Synchronisierungsprozess abgeschlossen und der Sekundärserver ist im Zustand S4.
Es kann Server- oder Kommunikationsausfälle während der Synchronisierungssequenz geben. Fällt das Primärsystem oder die Server-zu-Server-Kommunikationsverbindung aus, muß das Sekundärsystem ebenfalls abbrechen. Fällt das Sekundärsystem oder die Kommunikationsverbindung aus, muß das Primärsystem wiederhergestellt werden und in den Zustand "Primär ohne Sekundär" S2 zurückkehren. Diese Ausfälle werden zu unterschiedlichen Zeiten während der Synchronisierungssequenzen angezeigt. Nachdem die Veränderung stattgefunden hat, werden die versteckten und in der Warteschlange aufgereihten Ereignisse der OS-Maschine zurückgegeben, und die I/O-Maschine beginnt von Neuem, Anforderungen der OS-Maschine zu verarbeiten. Tritt ein Ausfall während der Synchronisierung auf, muß die Verwaltungssoftware der I/O-Maschine sämtliche für die Synchronisierung durchgeführten Änderungen rückgängig machen und zum nichtgespiegelten Zustand zurückkehren.

ÜBERGANG AUFGRUND EINES AUSFALLS DES PRIMÄRSERVERS

Fällt das Primärsystem aus, so muß das Sekundärsystem in der Lage sein, einzuspringen und sich selbst zum Server zu erklären, wobei sich nur der Weg der LAN-Kommunikationen zum Erreichen des Servers geändert hat. Pakete, die zum Zeitpunkt des Ausfalls an den Server gesendet werden, können verlorengehen. Alle LAN-Kommunikationsprotokolle müssen allerdings in der Lage sein, verlorengegangene Pakete zu be handeln. Die Ebene der sekundären I/O-Verwaltungsunterstützung wird über den Ausfall in Kenntnis gesetzt.
Tritt der Ausfall auf, müssen die Treiberunterstützungsschichten alle bei ihnen ausstehenden Anforderungen der OS- Maschine aufnehmen und deren Ausführung abschließen. Die AddFSEvent Prozedur des sekundären-jetzt-primären Systems wird vor der Anzeige des Ausfalls aktiviert, so daß neue Ereignisse der OS-Maschine zugeführt werden können. Irgendwelche dem vorherigen Primärserver gesendeten Nachrichten werden ignoriert. Alle Anforderungen von der OS-Maschine, die wartende Daten oder ein Abschlußzustand vorn Primärsystem waren, werden so, wie sie sind, abgeschlossen. Es muß ein spezielles Ereignis geben, um der OS-Maschine anzuzeigen, daß die Server gewechselt wurden. Beispielsweise wird ein spezielles Ereignis dazu verwendet, der OS-Maschine mitzu teilen, daß sie ein spezielles Steuerungspaket an alle Benutzer senden soll, das anzeigt, das der Wechsel stattgefunden hat. Dieses kann das Umschalten auf der Routing-Ebene zum neuen Server beschleunigen.

ÜBERGÄNGE AUFGRUND EINES AUSFALLS DES SEKUNDÄRSERVERS

Fällt das Sekundärsystem aus, werden alle in einer Warteschlange aufgereihten Nachrichten, die an das Sekundärsystem gesendet werden sollen, ignoriert. Sind die Nachrichten OS-Maschinen-Ereignisse, so werden sie einfach der OS- Maschine zugeleitet. Die Treiberunterstützungsschicht der I/O-Maschine schließt alle Anforderungen ab, die auf eine ausstehende Mitteilung vom Sekundärsystem warteten.

MEHRERE OS-MASCHINEN UND ZUSÄTZLICHE PROZESSOREN

Die vorliegende Erfindung wurde mit Bezug auf Primärund Sekundärserver beschrieben, die jeweils eine einzige OS- Maschine haben. Ein alternatives Ausführungsbeispiel der vorliegenden Erfindung ist in Fig. 7 dargestellt, bei dem der Primär- und/oder Sekundärserver eine oder mehrere OS-Maschinen haben kann. Gemäß Fig. 7 umfaßt der Primärserver drei Prozessoren. Prozessor 1 implementiert die I/O-Maschine des Primärservers. Eine erste und eine zweite OS-Maschine sind auf den Prozessoren 2 bzw. 3 implementiert.
In ähnlicher Weise hat der Sekundärserver einen ersten Prozessor, der eine I/O-Maschine implementiert, und zweite und dritte Prozessoren, die erste und zweite OS-Maschinen implementieren. Beim Betrieb werden mehrere Ereigniswarteschlangen für jede OS-Maschine unterstützt, so daß jede OS- Maschine mit den gleichen Ereignissen arbeitet. Auf diese Weise können die Zustände jeder OS-Maschine im wesentlichen identisch gehalten werden, so daß bei Ausfall eines Servers ein anderer seinen Betrieb aufnehmen kann.
Es wurde also ein fehlertolerantes Computersystem beschrieben.

Claims

1. Ein Verfahren zum Bereitstellen eines fehlertoleranten Computersystems aufweisend die Schritte:

Bereitstellen einer ersten Verarbeitungseinrichtung zum Betreiben des Computersystems,

Bereitstellen einer zweiten Verarbeitungseinrichtung zum Betreiben des Computersystems,

Feststellen eines Zustandes der ersten Verarbeitungseinrichtung und Liefern dieses Zustandes an die zweite Verarbeitungseinrichtung, dadurch gekennzeichnet,

daß die erste Verarbeitungseinrichtung eine erste Betriebssystem(OS)-Maschine und eine erste Ein-/Ausgabe(I/O)- Maschine aufweist; und

daß die zweite Verarbeitungseinrichtung eine zweite Betriebssystem (OS)-Maschine und eine zweite Ein/Ausgabe(I/O)-Maschine aufweist,

wobei das Verfahren ferner die Schritte aufweist:

Definieren von Operationen, die den Zustand der ersten OS-Maschine ändern können, als Ereignisse;

Liefern jeden Ereignisses an die erste I/O-Maschine und Konvertieren der Ereignisse in Nachrichten;

Liefern der Nachrichten an eine erste Nachrichten-Warteschlange in der ersten OS-Maschine und an eine zweite Nachrichten-Warteschlange in der zweiten OS-Maschine;

Ausführen der Nachrichten in der ersten OS-Maschine und der zweiten OS-Maschine, so daß die Zustände der ersten und der zweiten OS-Maschine im wesentlichen identisch bleiben.

2. Verfahren nach Anspruch 1, ferner enthaltend die Schritte:

Liefern jeden Ereignisses an die zweite I/O-Maschine, wenn die erste Verarbeitungseinrichtung nicht arbeitet;

Konvertieren jeden Ereignisses in eine Nachricht in der zweiten I/O-Maschine;

Liefern der Nachricht zu der zweiten Nachrichten-Warteschlange in der zweiten OS-Maschine zur Ausführung durch die zweite OS-Maschine.

3. Verfahren nach Anspruch 1, wobei der Schritt des Feststellens des Zustandes der ersten Verarbeitungseinrichtung und des Lieferns des Zustandes an die zweite Verarbei tungseinrichtung die Schritte aufweist:

Ausführen aller der ersten OS-Maschine zur Verfügung stehenden Nachrichten in der ersten OS-Maschine, bis die OS-Maschine einen stabilen Zustand erreicht hat; und

Übertragen eines Speicherabbilds der ersten OS-Maschine über die erste I/O-Maschine zu der zweiten Verarbeitungseinrichtung

4. Verfahren nach Anspruch 1, wobei die erste Verarbeitungseinrichtung wenigstens einen Prozessor aufweist.

5. Verfahren nach Anspruch 1, wobei die zweite Verarbeitungseinrichtung wenigstens einen Prozessor aufweist.

6. Verfahren nach Anspruch 1, ferner enthaltend die Schritte:

Erzeugen einer Anfrage in der OS-Maschine zum Ausführen einer Eingabe/Ausgabe-Operation;

Liefern der Anfrage an eine erste Anfrage-Warteschleife in der ersten I/O-Maschine zur Ausführung durch die erste I/O-Maschine;

Erzeugen einer Antwort in der ersten OS-Maschine, um die Ausführung der Anfrage anzuzeigen.

7. Verfahren nach Anspruch 1, wobei das Ereignis asynchron ist.

8. Ein fehlertolerantes Computersystem aufweisend: eine erste Verarbeitungseinrichtung (21) zum Betreiben des Computersystems, eine zweite Verarbeitungseinrichtung (22) zum Betreiben des Computersystems, wobei die zweite Verarbeitungseinrichtung (22) eine Backup-Verarbeitungseinrichtung für die erste Verarbeitungseinrichtung (21) ist, und einen ersten Bus, der die erste Verarbeitungseinrichtung und die zweite Verarbeitungseinrichtung verbindet, dadurch gekennzeichnet,

daß die erste Verarbeitungseinrichtung eine Betriebssystem(OS)-Maschine (10) und eine erste Eingabe-/Ausgabe(I/O)- Maschine (12) enthält, wobei die erste OS-Maschine (10) eine erste Nachrichten-Warteschlange aufweist, die mit der ersten I/O-Maschine (12) zum Empfangen von Nachrichten gekoppelt ist, und daß die zweite Verarbeitungseinrichtung eine zweite OS-Maschine (16) und eine zweite I/O-Maschine (18) aufweist, wobei die zweite OS-Maschine (16) eine zweite Nachrichten- Warteschlange aufweist, die mit der zweiten I/O-Maschine (18) zum Empfangen von Nachrichten gekoppelt ist,

daß der erste Bus (15) die erste I/O-Maschine (12) und die zweite I/O-Maschine (18) zum Übertragen von Nachrichten verbindet,

wobei die erste I/O-Maschine derart konfiguriert ist, daß Operationen, die den Zustand der ersten OS-Maschine ändern können, in Nachrichten konvertiert werden können, wobei die Nachrichten der ersten Nachrichten-Warteschlange und der zweiten Nachrichten-Warteschlange für eine anschließende Ausführung durch die erste OS-Maschine bzw. die zweite OS- Maschine zu Verfügung gestellt werden.

9. Computersystem nach Anspruch 8, wobei die erste Verarbeitungseinrichtung wenigstens einen Prozessor aufweist.

10. Computersystem nach Anspruch 8, wobei die zweite Verarbeitungseinrichtung wenigstens einen Prozessor aufweist.

11. Computersystem nach Anspruch 8, ferner aufweisend eine mit der ersten Verarbeitungseinrichtung gekoppelte erste Speichereinrichtung, wobei die erste Speichereinrichtung ein dem Zustand der ersten OS-Maschine entsprechendes Speicherabbild speichert

12. Computersystem nach Anspruch 11, ferner aufweisend eine mit der zweiten Verarbeitungseinrichtung gekoppelte zweite Speichereinrichtung, wobei die zweite Speichereinrichtung ein dem Zustand der zweiten OS-Maschine entsprechendes Speicherabbild speichert.

13. Computersystem nach Anspruch 8, wobei die erste OS-Maschine die Ausführung von Befehlen des Computersystems steuert.

14. Computersystem nach Anspruch 8, wobei die I/O-Maschine die Kommunikation mit Ein- und Ausgabegeräten steuert.

15. Computersystem nach Anspruch 13, wobei die zweite OS-Maschine die Ausführung von Befehlen des Computersystems steuert, wenn die erste OS-Maschine die Befehle nicht ausführen kann.

16. Computersystem nach Anspruch 8, wobei die Nachricht synchrone und asynchrone Ereignisse umfaßt.