JP3399398B2 - フォールトトレラントシステムにおけるミラーディスク復旧方式 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、コンピュータ二重
化システムを構築するフォールトトレラントシステムに
おける障害復旧処理方式に係り、特に二系のコンピュー
タのそれぞれがオンラインデータを相互にバックアップ
し合うオンラインデータ復旧方式に関する。

【０００２】

【従来の技術】フォールトトレラントシステムにおける
ディスクミラーリングは、二系のコンピュータのハード
ディスクを相互接続し、両方に同時にデータを書き込
み、片方のコンピュータが故障してもデータの処理を継
続して行うことのできる方式として広く利用されてい
る。例えば、特開平９ー２０４３１９号公報では、対向
する２台のコンピュータが、相互に、対向システム稼働
情報を保有し、データ転送制御手段によって同一のオン
ラインデータを相互に転送してデータの二重化を図って
いる。そして、何れかのコンピュータが障害から復旧し
た場合、正常なコンピュータの全オンラインデータを自
動的に対向コンピュータに転送して、オンラインデータ
の復旧を迅速且つ容易に行っているものである。

【０００３】

【発明が解決しようとする課題】しかしながら、前述の
ような従来技術においては、フォールトトレラントシス
テムにおいて、障害が発生してから復旧するまでの時間
が短ければ短いほど信頼性は向上するが、ディスクデー
タ復旧のミラーリングにかかる時間がシステム復旧時間
の大半を占めているため、システム全体の信頼性を低下
させるという問題を生じる。特に、前述の特開平９ー２
０４３１９号公報の技術などは、復旧時に全オンライン
データを対向コンピュータに転送するため、復旧時間を
長引かせる要因となっている。

【０００４】本発明はこのような事情に鑑みてなされた
ものであり、その目的は、システム復旧時のデータ転送
量を必要最小限に押さえることにより、ミラーリングに
かかる時間を短縮させ、もって、復旧時間の大幅な短縮
化を図り、信頼性の高いフォールトトレラントシステム
を構築することにある。

【０００５】

【課題を解決するための手段】本発明は、同一のハード
ウエア構成を持つコンピュータが２台あり、そのコンピ
ュータ間をケーブル接続して通信しながら２台のコンピ
ュータが同じ動作をすることにより信頼性の向上を図る
フォールトトレラントシステムであって、それぞれのコ
ンピュータに接続されているハードディスクをミラーリ
ングして同一情報を相互に保有し、ハードディスク以外
の障害発生によるコンピュータ停止後の復旧処理を行う
フォールトトレラントシステムにおけるミラーディスク
復旧方式に関するものである。

【０００６】そこで、上記の課題を解決するために、本
発明のフォールトトレラントシステムにおけるミラーデ
ィスク復旧方式は、ディスクの障害以外の要因で１台の
コンピュータが停止している間に更新されたディスクの
データ情報を特別の領域に保存しておく。そして、障害
を起こしたコンピュータが修復してシステムに復帰し
て、ディスクデータをリカバリするときに、更新された
ディスクのデータ情報、すなわち、１台のコンピュータ
が停止および復旧作業したときの差分情報のみを転送す
ることによって、システム本来の処理を停止させること
なく従来より早く復旧させることが出来るようにしたこ
とを特徴とする。

【０００７】すなわち、請求項１に係るフォールトトレ
ラントシステムにおけるミラーディスク復旧方式は、同
一のハードウエア構成を持つ二系の対向するコンピュー
タが、相互通信しながら同一動作を行うことにより、信
頼性の向上を図るように構成されたフォールトトレラン
トシステムであって、それぞれの前記コンピュータ内に
設けられるディスクをミラーリングして同一情報を相互
に保有し、前記ディスク以外の障害発生によるコンピュ
ータ停止後の復旧処理を行うフォールトトレラントシス
テムにおけるミラーディスク復旧方式において、それぞ
れの前記コンピュータは、前記ディスクの記憶領域をＮ
（Ｎは２以上の自然数）分割したときの記憶領域に対応
づけられたＮ個の要素によって構成され、前記コンピュ
ータが停止している間に前記Ｎ分割されたディスクの記
憶領域のうち更新された記憶領域に対応する前記要素に
該更新された差分データ情報を保存する特別保存領域を
備え、障害を起こしたコンピュータが修復して二系のシ
ステムに復帰して、ディスクデータをリカバリするとき
は、正常なコンピュータは、システムに復帰したコンピ
ュータに対して、自己の特別保存領域に保存されている
差分データ情報に対応する前記ディスク内のデータのみ
を転送することによって、二系のシステムに復帰させる
ものであって、二系のシステムを構成するそれぞれのコ
ンピュータは、主たる演算を行うＣＰＵ（中央演算装
置）と、ディスクと他のハードウエアとのインタフェー
スを提供するディスクインターフェースと、前記ディス
クとのデータアクセスを直接行うディスクコントローラ
と、データを保存するために使用されるディスクと、そ
れぞれの前記コンピュータの相互に、データの受け渡し
を実現させるデータ通信手段と、前記コンピュータ全体
のハードウエアの故障を監視し、故障を発見した場合に
該コンピュータ全体の機能を停止させる機能を有す故障
検出手段と、前記二系のシステムが片系運転または復旧
運転時に作成された差分データ情報を記録するために前
記特別保存領域内に設けられ、前記ディスクの記憶領域
をＮ（Ｎは２以上の自然数）分割したときの記憶領域に
対応づけられたＮ個の要素によって構成され、前記コン
ピュータが停止している間に前記Ｎ分割されたディスク
の記憶領域のうち更新された記憶領域に対応する前記要
素に該更新された差分データ情報を保存するデータアク
セステーブルと、前記ディスク へのアクセス命令がデー
タの読み出しか書き込みかを判別して、前記データアク
セステーブルに書き込むデータを作成するデータ監視手
段とを備え、該データアクセステーブルが、他のコンピ
ュータが停止及び復旧作業をしている間に更新された前
記差分データ情報を保存するものであり、前記データ監
視手段は、前記Ｎ分割されたディスクの記憶領域のう
ち、既に書き換えられている記憶領域については、デー
タを書き込むときに計算したチェックサムのみを変更す
ることを特徴とする。

【０００８】

【０００９】請求項２に係るフォールトトレラントシス
テムにおけるミラーディスク復旧方式は、請求項１のも
のにおいて、データアクセステーブルは、電源が切れて
も内容を保持できるフラッシュメモリの記憶媒体で構成
されていることを特徴とする。

【００１０】

【発明の実施の形態】以下、図面を用いて本発明の実施
の形態を詳細に説明する。図１は、本発明の実施の形態
におけるコンピュータシステムの構成を示すブロック図
である。同図において、コンピュータ１とコンピュータ
２は同一のハードウエア構成であり、それぞれ、主たる
演算を行うＣＰＵ１１、２１と、ディスクと他のハード
ウエアとのインタフェースを提供するディスクインター
フェース１２、２２と、ディスクへのアクセス命令がデ
ータの読み出しか書き込みかを判別してデータアクセス
テーブルに書き込むデータを作成するデータ監視手段１
３、２３と、ディスクとのデータアクセスを直接行うデ
ィスクコントローラ１４、２４と、データを保存するた
めに使用されるディスク１５、２５と、コンピュータ１
及びコンピュータ２の相互にデータの受け渡しを実現す
るデータ通信手段１６、２６と、コンピュータ全体のハ
ードウエアの故障を監視し、故障を発見した場合はコン
ピュータ全体の機能を停止する機能を有す故障検出手段
１７、２７と、システムが、片系運転または復旧運転時
に作成されたデータの差分情報を記録するために必要な
記憶媒体で、ミラーコピーに必要なディスク書き込み命
令発行時の書き込み位置およびそのときのステータスを
記憶しておくデータアクセステーブル１８、２８とによ
って構成されている。

【００１１】ただし、データアクセステーブル１８、２
８は、電源が切れても内容を保持できるようなフラッシ
ュＲＯＭのようなデバイスまたは、それに代わるディス
ク等の記憶媒体で構成されているものとする。また、デ
ィスク１５、２５の未使用領域を使ってデータアクセス
テーブル１８、２８の機能を有することも可能である。
また、コンピュータ１とコンピュータ２は、リンクケー
ブル３によって結合されており、お互いの処理情報及び
コンピュータ間のデータ転送および状態確認に使用され
る。

【００１２】次に、このような構成における実施の形態
の動作について説明する。２台のコンピュータ１、２に
よるフォールトトレラントシステムにおいて、ディスク
１５、２５以外の障害発生により１台のコンピュータが
停止してしまい、残りの１台のコンピュータ（１または
２）で動作し続けなければならなくなった場合に、１台
運転時に発生したディスク（１５または２５）の更新情
報を、特別に用意した記憶領域であるデータアクセステ
ーブル（１８または２８）に保存しておく。

【００１３】障害を取り除き、停止したコンピュータ
（１または２）が再起動したときに、停止中に記憶して
いたデータアクセステーブル（１８または２８）の更新
情報を使用して、停止中に更新されたディスク（１５ま
たは２５）の内容のみを転送することが出来るようなハ
ードウエアやソフトウエアを付加することによって、従
来よりも短時間にミラーコピーを終了させることが出来
るようにしたことを特徴とする。また、データアクセス
テーブル１８、２８のデータ構造を工夫することによっ
て、ミラーコピー中にもデータアクセステーブルを更新
できるので、ミラーコピーを行っている間も通常業務を
動作させることが出来るのも特徴である。

【００１４】次に、動作の一例として、図１、図２、図
３、及び図４に示すようなシステム及びアルゴリズムを
例に用いてシステム復旧の仕方を詳細に説明する。尚、
図２は、図１におけるデータアクセステーブルが行う処
理のアルゴリズムである。また、図３は、図１における
２台のコンピュータ構成によるフォールトトレラントシ
ステムが取りうる状態遷移図である。さらに、図４は、
図１の構成において、１台のコンピュータの障害から復
旧までの処理の流れを示すフローチャートである。

【００１５】先ず、正常時の動作について説明する。Ｃ
ＰＵ１１およびＣＰＵ２１での演算結果のチェックサム
をデータ通信手段１６、２６に転送し、お互いのデータ
をリンクケーブル３を使って転送して、データの整合性
を確認する。そして、ディスクアクセス時は、データ監
視手段１３、２３は、読み込みおよび書き込みデータの
チェックサムを生成して読み書きを行い、読み込みおよ
び書き込みが終了したら、ディスクインタフェース１
２、２２とデータ通信手段１６、２６を使用して、生成
したチェックサムをリンクケーブル３より相互に転送し
て、データが一致しているかどうかを確認し、一致して
いれば次の処理に移る。

【００１６】ここで、図２のアルゴリズムを用いてデー
タアクセステーブル１８、２８の動作について詳細に説
明する。データアクセステーブル１８、２８の一要素
は、ディスク１５、２５の総容量をＮ分割したときの領
域に対応し、当該領域のディスク更新情報を保持してお
り、そのアドレスを左上から順に０、１、２と振って行
き、右上まできたら一段下の左に移りアドレスを振り当
てて行き、Ｎー１番のアドレスまで振り当てられてい
る。このデータアクセステーブル１８、２８の一要素
は、データフォーマット１の形式からなっており、障害
が発生したときに書き込まれたデータであることを示す
障害発生情報２１１と、そのデータを書き込むときに計
算したチェックサム２１２と、次に書き込みがあったデ
ータアクセステーブル１８、２８のアドレスを保存して
いるネクストアドレスポインタ２１３とからなる。

【００１７】また、データアクセステーブル１８、２８
には、障害復旧に必要なアドレスを保持するデータアド
レスレジスタ２が割り当てられている。データアドレス
レジスタ２は、最後にデータ更新した領域に対応したデ
ータアクセステーブル１８、２８のアドレスを示すラス
トアドレス２２１と、その一つ前にデータ更新した領域
に対応したデータアクセステーブルのアドレスを記憶し
ているプレラストアドレス２２２と、障害が発生した後
に一番最初にデータ更新した領域に対応したデータアク
セステーブルのアドレスを記録している障害発生アドレ
ス２２３と、ライトアクセス発生時の領域に対応したデ
ータアクセステーブル１８、２８のアドレスを示す、カ
レントアクセスアドレス２２４とからなっている。

【００１８】ディスク１５、２５への書き込みが発生し
たときに、データ監視手段１３、２３がディスク１５、
２５のどの領域にデータを書き込むかを判定し、その領
域からデータアクセステーブル１８、２８のアドレスに
変換して、そのアドレスをデータアドレスレジスタ２内
のカレントアクセスアドレス２２４に保存する。そし
て、カレントアクセスアドレス２２４が示すデータアク
セステーブル１８、２８内のチェックサム２１２にライ
トアクセス時に計算したチェックサムを書き込む。

【００１９】また、現在発生したライトアクセスは、最
後にライトアクセスした次のアクセスとなるので、ラス
トアドレス２２１の示すデータアクセステーブル１８、
２８内のネクストアドレスポインタ２１３を現在のアク
セスアドレスに更新する。すなわち、カレントアクセス
アドレス２２４をネクストアドレスポインタ２１３に保
存する。そして、今度は現在ライトアクセスした領域の
データアクセステーブル１８、２８が最後にアクセスし
た領域を示すことになるので、ラストアドレス２２１の
内容をプレラストアドレス２２２へ保存し、カレントア
クセスアドレス２２４の内容をラストアドレス２２１へ
保存する。このようにして、ライトアクセスのあった領
域のデータアクセステーブル１８、２８をポインタ接続
することによってディスク１５、２５の更新履歴を保存
しておく。

【００２０】次に、図３の状態遷移図により、２台のコ
ンピュータ１、２の構成によるフォールトトレラントシ
ステムが取りうる状態遷移について説明する。コンピュ
ータ１およびコンピュータ２が起動していて、ディスク
１５、２５のデータ内容に違いが無く、同一の動作をし
ている状態を正常運転３１１、コンピュータ（１または
２）が一方しか動作していない状態を片方運転３１２、
システムとして動作できない状態をシステム停止３１
３、ディスク１５、２５の差分を転送している状態を復
旧運転３１４とすることによって、４つの状態で表すこ
とが出来る。

【００２１】また、状態遷移は矢印の方向に発生し、そ
れぞれの条件は、コンピュータが異常を検出して停止す
る条件の一台停止３０１、一台停止している状態でさら
にもう一台停止する条件のもう一台停止３０２、復旧運
転中に再起動したコンピュータが停止する条件の転送先
が停止３０３、一台運転の状態で停止していたコンピュ
ータを再起動する条件の一台再起動３０４、システム停
止状態から長く動作していたコンピュータが再起動する
条件の転送元再起動３０５、復旧運転中に長く動作して
いるコンピュータが異常で停止してしまう条件の転送元
が停止３０６、ディスクの差分情報を全て転送し終わる
条件のディスクコピー終了３０７、の７つの条件によっ
て遷移する。

【００２２】次に、図４のフローチャートを用いて、コ
ンピュータ２が障害で停止した状態で、片方運転３１２
から正常運転３１１へ復帰するまでに行う処理の流れを
説明する。先ず、故障検出手段２７がコンピュータ２の
内部の装置のハードウエアの故障を検出したらコンピュ
ータ２の動作を停止する（Step1）。これによって、コ
ンピュータ１が障害回避モードに移行する。すなわち、
コンピュータ１のデータ通信手段１６がコンピュータ２
のデータ通信手段２６と通信出来ないため、コンピュー
タ２の停止を検出し、その情報をディスクインタフェー
ス１２に伝える。すると、ディスクインタフェース１２
は、コンピュータ１のみで動作していることを認識し、
その情報をデータ監視手段１３に知らせる。この情報を
受けたデータ監視手段１３は、プレラストアドレス２２
２を障害発生アドレス２２３に書き込み、プレラストア
ドレス２２２およびラストアドレス２２１に書かれてい
るアドレスの示すデータアクセステーブル１８の障害発
生情報２１１をＯＮにする。こうすることによって、障
害が発生していることを示す障害発生フラッグが上がり
データアクセステーブル１８に情報を書き込む際に障害
発生情報２１１をＯＮにしてデータを書き込むモードへ
と移行する（Step2）。

【００２３】次に、ＣＰＵ１１が要求するディスクアク
セスを制御する（Step3）。この制御方法は、別フロー
のSetp20〜Step26によって説明する。すなわち、ＣＰＵ
１１がディスク１５へのアクセスを要求すると、ディス
クインタフェース１２を経てデータ監視手段１３に命令
が転送される（Step20）。次に、その命令を解析し（St
ep21）、読み込み命令なら、ディスクコントローラ１４
を制御してディスク１５からデータを読み出して（Step
26）、デスクへのアクセス要求を終了する（Step25）。
一方、Step21での解析結果が書き込み命令なら、ディス
クコントローラ１４を制御してディスク１５にデータを
書き込む（Step22）。そのとき、データ監視手段１３は
チェックサムを生成する。また、書き込みアドレスに対
応するデータアクセステーブル１８のアドレスを決定
し、カレントアクセスアドレス２２４に書き込む。

【００２４】次に、データアクセステーブル１８の作成
を行う。すなわち、ラストアドレス２２１の示すアドレ
スにあるデータアクセステーブル１８内のネクストアド
レスポインタ２１３にカレントアクセスアドレス２２４
の内容を書き込み、カレントアクセスアドレス２２４の
示すデータアクセステーブル１８内の障害発生情報２１
１をＯＮに設定し、片方運転３１２中のライトアクセス
であることを示す。また、チェックサム２１２には、St
ep22で生成したチェックサムを書き込み、ネクストアド
レスポインタ２１３には、リストの最後であることを示
すために存在しないアドレス（Ｎ）を書き込む（Step2
3）。

【００２５】尚、Step23において、データアクセステー
ブル１８を更新する際にすでに障害発生情報２１１がＯ
Ｎである場合は、すでに片方運転３１２状態中に当該領
域へのライトアクセスが発生していたことを示してお
り、この場合はチェックサム２１２のみを書き換えてSt
ep25に進む。すなわち、当該同アドレスに対する更新デ
ータ情報のみを書き換えて、ディスクへのアクセス要求
を終了する（Step25）。一方、Step23において、データ
アクセステーブルを更新する際に障害発生情報２１１が
ＯＦＦである場合は、プレラストアドレス２２２にラス
トアドレス２２１を、ラストアドレス２２１にカレント
アクセスアドレス２２４を書き込み、データアドレスレ
ジスタを更新し（Step24）、命令実行終了をディスクイ
ンタフェース１２に伝え、ディスクへのアクセスを終了
する（Step25）。

【００２６】このようにしてディスクアクセスが終了す
ると、前述のStep3よりStep4へ進む。すなわち、データ
通信手段１６が、コンピュータ２が再起動したかどうか
を確認し（Step4）、ＮＯであるならばStep3へ戻り、前
述のStep20〜Step26を実行して、データアクセステーブ
ルの障害発生情報２１１をＯＮにしながら記録を更新し
て行くことによって、片方運転３１２の状態時のデータ
更新履歴を保存して行く。

【００２７】一方、Step4において、データ通信手段１
６によってコンピュータ２が再起動したかどうかの確認
がＹＥＳであるならばStep5に進む。すなわち、コンピ
ュータ２が再起動した際に、ディスク２５のディスクデ
ータが停止前と同じ内容であるかを確認するために、デ
ータアクセステーブル２８に記録されているラストアド
レス２２１およびプレラストアドレス２２２のそれぞれ
が指すデータアクセステーブル２８のチェックサム２１
２を取り出し、実際に記録されているディスクデータを
読み出してチェックサムを生成し、チェックサムが停止
前と一致しているかどうかを確認する。すなわち、一致
したかどうかの情報をコンピュータ１のデータ通信手段
１６が確認し、ディスクインタフェース１２を経由して
データ監視手段１３に知らせる（Step5）。

【００２８】また、ディスク２５のデータはコンピュー
タ２が停止していた片方運転３１２の間、データの更新
が行われておらず、古いデータとなるため、ＣＰＵ２１
はディスク２５のデータを使用できないので、ディスク
インタフェース２２を使用せず、データ通信手段２６、
リンクケーブル３およびデータ通信手段１６を使用し
て、ディスクインタフェース１２を使用する。

【００２９】そして、Step6ではミラーコピーモードに
移行して図３における復旧運転３１４の状態となる。す
なわち、データ監視手段１３に転送されてきたチェック
サムの比較結果が両方とも一致した場合は、ディスク２
５のデータがコンピュータ２が停止する前と同じである
と判断できるため、データの差分のみを転送するモード
に切り替わる。またチェックサムの比較結果が一つでも
一致しない場合は、ディスクの交換などによりディスク
２５のデータがコンピュータ２が停止する前と異なって
いると判断できるため、ディスク１５に書かれている全
てのデータを転送するモードに切り替える（step6）。

【００３０】ここで、Step6において、データの差分の
みを転送するモードである場合は、データアドレスレジ
スタ２に記憶されている障害発生アドレス２２３が示す
アドレスに対応するディスク１５のデータを転送し、次
に障害発生アドレス２２３が示すデータアクセステーブ
ルのネクストアドレスポインタ２１３に書かれているア
ドレスに対応したディスクデータを順々に転送するため
に、Step7のディスクアクセスに移る。

【００３１】また、Step6において、全てのデータを転
送するモードである場合は、ディスク１５のデータ全て
をディスク２５に転送する必要があるので、データアク
セステーブル１８にある差分情報を破棄し、全てのデー
タが転送できるように、次のような処理を行う。すなわ
ち、あるアドレス（ｉ）の障害発生情報２１１をＯＮ
し、ネクストアドレスポインタ２１３にアドレス（ｉ＋
１）を書き込む、というような作業を、アドレス（０）
からアドレス（Ｎ−１）まで全てのデータに対して行
う。データアクセステーブル１８の更新が終了したら、
ラストアドレス２２１に（Ｎ−１）、プレラストアドレ
ス２２２に（Ｎ−２）、障害発生アドレス２２３に
（０）を書き込み、Step7のディスクアクセスに移る。

【００３２】Step7では、ＣＰＵ１１またはＣＰＵ２１
からライトアクセスを処理するステップで、Step3と全
く同じ処理を行う。つまり、ミラーコピー中もディスク
１５のデータ更新を行うことが出来る。また、ＣＰＵ１
１またはＣＰＵ２１からのライトアクセス要求がなけれ
ば、Step7のディスクアクセスは実行されずに、Step8の
ディスクコピーの実行に進む。

【００３３】すなわち、Step8では、コンピュータ１が
データアクセステーブル１８の障害発生アドレス２２３
が示すデータアクセステーブルに対応するディスク１５
のデータをディスク２５に転送する。コンピュータ２で
は、データ監視手段２３が正常動作時と同じ処理を行う
ので、ライトアクセス時にチェックサムの生成とカレン
トアクセスアドレス２２４を更新して、データアクセス
テーブル２８のカレントアクセスアドレス２２４が指す
データアクセステーブルのアドレスのチェックサム２１
２と、ラストアドレス２２１が指すデータアクセステー
ブルのアドレスのネクストアドレスポインタ２１３にカ
レントアクセスアドレス２２４を書き込み、ラストアド
レス２２１の内容をプレラストアドレス２２２に、カレ
ントアクセスアドレス２２４の内容をラストアドレス２
２１に転送する（Step8）。

【００３４】次に、Step9において、データアドレスレ
ジスタの更新を行う。すなわち、コンピュータ２のディ
スク２５でライトアクセスが正常に終了したら、データ
監視手段２３が、ディスクインタフェース２２、データ
通信手段２６、リンクケーブル３、データ通信手段１６
及びディスクインタフェース１２を経由して、コンピュ
ータ１のデータ監視手段１３に終了確認を知らせる。コ
ンピュータ１は、正常終了の情報が確認できたら、デー
タアクセステーブル１８の障害発生アドレス２２３が示
すデータアクセステーブル１８に書かれている障害発生
情報２１１をＯＦＦにする。また、障害発生アドレス２
２３が示すデータアクセステーブル１８に書かれている
ネクストアドレスポインタ１１３を障害発生アドレス２
２３に書き込む（Step9）。

【００３５】そして、Step10ではミラーリングが終了し
たかどうかの判定を行う。すなわち、データアクセステ
ーブル１８の障害発生アドレス２２３がＮでなければ
（すなわち、ＮＯなら）、Step7のディスクアクセスに
戻る。また、Ｎならば（すなわち、ＹＥＳなら）、これ
以上リストは存在しないので、二系統のコンピュータを
正常系に復帰させる（Step11）。つまり、Step7〜Step9
までの処理を、データアクセステーブル１８のネクスト
アドレスポインタが終わりを示すアドレス（Ｎ）になる
まで繰り返すことによって、片方運転３１２の間に更新
したデータを転送することが出来る。

【００３６】Step11では、データ監視手段１３を正常動
作モードに移行する。すなわち、正常モードであること
をディスクインタフェース１２、データ通信手段１６、
リンクケーブル３及びデータ通信手段２６を経由してＣ
ＰＵ２１に知らせる。コンピュータ２のＣＰＵ２１はデ
ィスク１５とディスク２５との差分データの転送が完了
したことによりディスク２５のデータが復旧し、ディス
クへのアクセス時にはディスクインタフェース２２を使
用するようになり、正常系に復帰できる。

【００３７】以上述べた実施の形態は本発明を説明する
ための一例であり、本発明は、上記の実施の形態に限定
されるものではなく、発明の要旨の範囲で種々の変形が
可能である。例えば、複数のコンピュータで同じファイ
ルを保存しているような、冗長系ネットワークサーバー
システムにおいても、本発明が適用できることは云うま
でもない。

【００３８】

【発明の効果】以上説明したように、コンピュータの二
重化によるフォールトトレラントシステムでは、ハード
ウエアの故障が発見されたらコンピュータを停止させな
いと不良部品を交換できない状況がある。特に、両系で
ハードディスクをミラーリングしている場合、片系運転
状態から安定なシステムに復旧するためには、各ハード
ディスクの情報を両系で同一にする作業が必要となる。
しかし、従来の方式は、片系のコンピュータがダウン状
態から復旧し、復旧したコンピュータのハードディスク
情報を復元する場合、継続運転していたコンピュータの
ディスク内の情報全てを復旧したコンピュータのディス
クへコピーしていたため、ディスクのミラーリングが完
了するのに相当な時間がかかり、障害復旧までの時間の
殆どをディスクデータ復旧のためのミラーコピー時間で
占めている状況であり、システムの信頼性の低下を招い
ていた。しかし、本発明を適用することにより、ディス
クデータの復旧時には必要最低限のデータを転送するだ
けでよいので、大幅に復旧時間が短縮され、従来に比べ
て一層信頼性の高いフォールトトレラントシステムを構
築することが出来る。

【図面の簡単な説明】

【図１】 本発明の実施の形態におけるコンピュータシ
ステムの構成を示すブロック図である。

【図２】 図１におけるデータアクセステーブルが行う
処理のアルゴリズムである。

【図３】 図１における２台のコンピュータ構成による
フォールトトレラントシステムが取りうる状態遷移図で
ある。

【図４】 図１の構成において、１台のコンピュータの
障害から復旧までの処理の流れを示すフローチャートで
ある。

【符号の説明】

１、２…コンピュータ、１１、２１…ＣＰＵ、１２、２
２…ディスクインターフェース、１３、２３…データ監
視手段、１４、２４…ディスクコントローラ、１５、２
５…ディスク、１６、２６…データ通信手段、１７、２
７…故障検出手段、１８、２８…データアクセステーブ
ル

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】 同一のハードウエア構成を持つ二系の対
   向するコンピュータが、相互通信しながら同一動作を行
   うことにより、信頼性の向上を図るように構成されたフ
   ォールトトレラントシステムであって、 それぞれの前記コンピュータ内に設けられるディスクを
   ミラーリングして同一情報を相互に保有し、前記ディス
   ク以外の障害発生によるコンピュータ停止後の復旧処理
   を行うフォールトトレラントシステムにおけるミラーデ
   ィスク復旧方式において、 それぞれの前記コンピュータは、 前記ディスクの記憶領域をＮ（Ｎは２以上の自然数）分
   割したときの記憶領域に対応づけられたＮ個の要素によ
   って構成され、前記コンピュータが停止している間に前
   記Ｎ分割されたディスクの記憶領域のうち更新された記
   憶領域に対応する前記要素に該更新された差分データ情
   報を保存する特別保存領域を備え、 障害を起こしたコンピュータが修復して二系のシステム
   に復帰して、ディスクデータをリカバリするときは、正
   常なコンピュータは、システムに復帰したコンピュータ
   に対して、自己の特別保存領域に保存されている差分デ
   ータ情報に対応する前記ディスク内のデータのみを転送
   することによって、二系のシステムに復帰させるもので
   あって、 二系のシステムを構成するそれぞれのコンピュータは、
   主たる演算を行うＣＰＵ（中央演算装置）と、ディスク
   と他のハードウエアとのインタフェースを提供するディ
   スクインターフェースと、前記ディスクとのデータアク
   セスを直接行うディスクコントローラと、データを保存
   するために使用されるディスクと、それぞれの前記コン
   ピュータの相互に、データの受け渡しを実現させるデー
   タ通信手段と、前記コンピュータ全体のハードウエアの
   故障を監視し、故障を発見した場合に該コンピュータ全
   体の機能を停止させる機能を有す故障検出手段と、前記
   二系のシステムが片系運転または復旧運転時に作成され
   た差分データ情報を記録するために前記特別保存領域内
   に設けられ、前記ディスクの記憶領域をＮ（Ｎは２以上
   の自然数）分割したときの記憶領域に対応づけられたＮ
   個の要素によって構成され、前記コンピュータが停止し
   ている間に前記Ｎ分割されたディスクの記憶 領域のうち
   更新された記憶領域に対応する前記要素に該更新された
   差分データ情報を保存するデータアクセステーブルと、
   前記ディスクへのアクセス命令がデータの読み出しか書
   き込みかを判別して、前記データアクセステーブルに書
   き込むデータを作成するデータ監視手段とを備え、 該データアクセステーブルが、他のコンピュータが停止
   及び復旧作業をしている間に更新された前記差分データ
   情報を保存するものであり、 前記データ監視手段は、前記Ｎ分割されたディスクの記
   憶領域のうち、既に書き換えられている記憶領域につい
   ては、データを書き込むときに計算したチェックサムの
   みを変更する ことを特徴とするフォールトトレラントシ
   ステムにおけるミラーディスク復旧方式。
2. 【請求項２】 前記データアクセステーブルは、電源が
   切れても内容を保持できるフラッシュメモリの記憶媒体
   で構成されていることを特徴とする請求項２記載のフォ
   ールトトレラントシステムにおけるミラーディスク復旧
   方式。