JP4318211B2 - 高信頼システム、冗長構成制御方法及びプログラム - Google Patents

Description

本発明は、ネットワークを介して接続した複数の装置について装置ペアを構成して冗長化した高信頼システム、冗長構成制御方法及びプログラムに関し、特に、装置ペアの同期処理を固定機能として設け、装置固有のサービス処理はソフトウェアの入れ替えによる可変機能として設け、装置故障に対し各装置が自立的に冗長性を回復可能とする高信頼システム、冗長構成制御方法及びプログラムに関する。

従来、コンピュータを使用した処理システムにあっては、予期しないダウンタイムを低減するために、ハードウェア自体の信頼性を向上させるか、復旧プロセスにかかる時間を短縮しなければならない。

ハードウェアの信頼性を向上させる方法として冗長化システムがある。冗長化システムはハードウェアを多重化し、複数の装置に同じ処理機能を果たす部分を持たせることで冗長化し、ある部分が故障しても処理を継続できるようにする。このように冗長化したシステムを全体として見た場合に、理論上は元のハードウェアの信頼性を多重化数のべき乗で向上させることができる。

また、冗長化システムが故障した場合、システムを復旧するためのプロセスは、装置の冗長性を回復するためのプロセスと不可分であり、且つ、このプロセスには以下の様に人手を介する部分が必ず存在するため、その短縮には限界がある。
（１）障害発生から監視者がそれを認識するまでの時間
（２）監視者が認識してから保守センタへ連絡するまでの時間
（３）保守センタが連絡を受け、保守員が現地に到着するまでの時間
（４）保守作業を始めてから、復旧が終わるまでの時間

このシステム復旧における問題を解消するため、現在、例えば次の２つの方法がとられている。
（１）使用者による装置監視
（２）遠隔監視装置および自動通報装置とプロバイダによる２４時間監視サービス
特表２００１−５２３８５５号 特開平０７−１２１３９５号 特開２０００−１４８７０９号

しかしながら、これらの方法では復旧プロセスとして障害発生を監視者が認識して保守センタへ連絡するまでの時間が短縮できるに留まり、ユーザ自身やシステムプロバイダの人件費を中心としたコストが嵩んだり、保守センタへ自動連絡するための通信路の確保が必須であり、更に、保守員が到着するまでの移動時間は保守センタの設置場所という地理的要因に制限を受けるといった問題が存在する。

一方、従来システムにあっては、装置を二重化する冗長化方法と予備装置を自動組み込み方法は独立している。

例えば従来の冗長化方法では、ハードウェアの冗長化に加え、ソフトウェアによるサービス処理の冗長化により、故障時でもサービス処理の無停止化を実現している（特許文献１）。しかし、故障した装置を交換した後の冗長性の回復についての自動化は考慮されておらず、故障装置を交換した後に、交換装置に故障装置と同じサービス処理を提供するソフトウェアを書き込んで同期化処理を開始させるという人為的な作業が必要であり、冗長性の回復に手間と時間がかかる問題がある。

また従来の予備装置の自動組み込み方法にあっては、ハードウェアの冗長化と予備装置の自動組み込みが実現されている（特許文献２，３）。しかし、ソフトウェアによるサービス処理は冗長化されておらず、装置が故障すると、自動組込された予備装置に対しサービス用のソフトウェアをまとめて保持している専用の装置から故障装置のサービス処理を実現するソフトウェアを書き戻す必要があり、その間、故障装置が提供していたサービス処理は停止せざるを得ないという問題がある。

本発明は、装置固有のサービス処理の冗長化と予備装置自動組込みを組み合わせたシステムを対象に、装置故障時および故障装置交換時の冗長性回復を自動化して非冗長状態となる時間を短縮する高信頼システム、冗長構成制御方法及びプログラムを提供することを目的とする。

図１は本発明の原理説明図である。

本発明は、ソフトウェアの入れ替により機能変更される可変機能部２４とハードウェア又は固定的なソフトウェアによる固定機能部２２とを備えた複数の装置を内部ネットワーク１５を介して相互に接続し、複数の装置１２について装置ペアを構築する共に予備装置を割り当てて冗長化し、更に各装置１２を外部ネットワーク２０に接続した高信頼システムを対象とする。

このような高信頼システムにつき本発明にあっては、装置ペア毎に固有のサービスを提供するソフトウェアを実行するサービス処理部４２と、装置ペアを組んだ装置間でサービス処理部４２による処理を同期させる同期処理部３８と、ペア相手装置の障害を検出する障害検出部３４と、障害検出部３４でペア相手装置の障害を検出した際に、内部ネットワーク１５にペア要求を発行し、ペア申入れのあった装置との間で装置ペアを再構築する障害処理部３６とを備えたことを特徴とする。

ここで、障害処理部３６は、ペア相手装置に対しサービス処理部４２の機能を実現するソフトウェア及び処理データを内部ネットワークを介してペア相手装置に転送コピーすることにより同じサービス処理部４２を構築して同期処理に移行させる。

障害処理部３６は、複数の処理装置からペア申入れを受けた場合、予備装置以外の空き装置を優先的に選択して装置ペアを再構築し、空き装置からの申入れがない場合に予備装置を選択して装置ペアを再構築する。

同期処理部３８は、装置番号に対応してペア同士を示すペア番号（同期先パラメータ）を格納した管理テーブルを管理し、管理テーブルの自己と同じペア番号をもつ装置をペア相手装置と認識して同期処理を実行する。

同期処理部３８は、管理テーブルに装置番号に対応したペア番号に加えて更に、外部ネットワーク２０と接続するハブ番号、予備装置を示す予備フラグ、故障装置を示す故障フラグを格納し、障害処理部３６は、複数の処理装置からペア申入れを受けた場合、管理テーブルのペア番号とハブ番号に基づいて新たなペア相手装置を選択して装置ペアを再構築する。

障害処理部３６は、複数の装置からペア申入れを受けた際に、
（１）異なるハブ番号且つ同一ペア番号で且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第１ルール、
（２）異なるハブ番号且つ同一ペア番号の装置をペア相手装置とする第２ルール、
（３）異なるハブ番号且つ異なるペア番号且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第３ルール、
（４）異なるハブ番号且つ異なるペア番号の装置をペア相手装置とする第４ルール、及び
（５）同じハブ番号且つ異なるペア番号の装置をペア相手装置とする第５ルール、
を順次適用してペア相手装置を決定して再構築する。

また本発明の高信頼システムにあっては、ペア番号とハブ番号の組合せを装置の通信識別子とする。

本発明の高信頼システムは、更に、故障装置を新たな装置と交換した際に、ネットワークに対し同期機能ソフトウェアの配信を要求し、ソフトウェア配信装置の割当を受けた特定のペア装置の一方から同期用ソフトウェアの配信を受けて自己の固定機能部２２に同期処理部３８、障害検出部３４及び障害処理部３６を構築する初期化処理部３２を備える。

この初期化処理部３２により交換装置の固定機能部２２に構築された障害処理部３６は、内部ネットワーク１５に予備追加通知を発行し、ペア申入れのあった装置との間で予備装置ペアを構築する。

本発明は、ソフトウェアの入れ替えにより機能変更される可変機能部とハードウェア又は固定的なソフトウェアによる固定機能部とを備えた複数の装置を内部ネットワーク１５を介して相互に接続し、複数の装置について装置ペアを構築する共に予備装置を割り当てて冗長化し、更に各装置を外部ネットワークに接続した高信頼システムの冗長構成制御方法を提供する。

この冗長構成制御方法は、
装置ペア毎に固有のサービスを提供するソフトウェアを実行するサービス処理ステップと、
装置ペアを組んだ装置間でサービス処理部４２による処理を同期させる同期処理ステップと、
ペア相手装置の障害を検出する障害検出ステップと、
障害検出ステップでペア相手装置の障害を検出した際に、ネットワークにペア要求を発行し、ペア申入れのあった装置との間で装置ペアを再構築する障害処理ステップと、
を備えたことを特徴とする。

本発明は、ソフトウェアの入れ替えにより機能変更される可変機能部２４とハードウェア又は固定的なソフトウェアによる固定機能部２２とを備えた複数の装置を内部ネットワークを介して相互に接続し、複数の装置について装置ペアを構築する共に予備装置を割り当てて冗長化し、更に各装置を外部ネットワークに接続した高信頼システムの各装置を構成するコンピュータにより実行されるプログラムを提供する。

このプログラムは、コンピュータに、
装置ペア毎に固有のサービスを提供するソフトウェアを実行するサービス処理ステップと、
装置ペアを組んだ装置間で前記サービス処理ステップによる処理を同期させる同期処理ステップと、
ぺア相手装置の障害を検出する障害検出ステップと、
障害検出ステップでペア相手装置の障害を検出した際に、ネットワークにペア要求を発行し、ペア申入れのあった装置との間で装置ペアを再構築する障害処理ステップと、
を実行させることを特徴とする。

なお、本発明による冗長構成制御方法及びプログラムの詳細は、高信頼システムの場合と基本的に同じになる。

本発明によれば、システムを構築している複数の装置つきペア装置として同じソフトウェアによるサービス処理を同期実行して冗長化することにより、装置故障に対しサービスを継続すると共に、故障装置の機能が予備装置の自動組込みによって代替されることで冗長性が自動的に回復され、非冗長状態となっている時間を必要最小限に抑え、システムの信頼性を大幅に向上できる。また冗長性の回復に人手を必要せず、短時間で効率良く回復できる。

また本発明によれば、システムを構築している全ての装置は固定機能部と可変機能部に分けられ、予備装置も機能固定部について他の全ての装置と共通であるため、冗長化回復の際には故障装置とペアを組んでいた装置の可変機能部のソフトウェア及びデータをネットワークを介して自動組込された予備装置にコピーすることで、短時間に冗長性を回復してペア装置としての同期処理に移行できる。

このため各ペア装置に固有のサービス処理を実行していても、これらの異なるサービス処理に対応して個別に予備装置を予め設けておく必要はなく、異なるサービス処理機能の装置に対し共通装置として必要最小限の予備装置を設けるだけで済む。

また本発明によれば、全ての装置にペア相手装置の故障に対し新たなペア相手装置を決定して冗長性を回復するための処理機能が設けられているため、故障した装置の代替として使用する予備装置を選択するための専用の管理装置が不要であり、システム構成簡略化すると共に、管理機能についても冗長化して信頼性を向上できる。

また本発明によれば、故障装置を交換した際の配信要求を受けて交換した装置に同期用ソフトウェアの配信機能をシステム内の特定の装置（配信装置）に持たせておくことで、専用のソフトウェア配信装置が不要となり、システム構成を簡略化すると共に、ソフトウェア配信機能についても冗長化して信頼性を向上できる。

更に本発明によれば、冗長化によるペア装置間の同期用の通信経路及び通信装置、ペア要求やペア申入れといった障害処理用の通信経路及び通信装置、更に故障装置を交換した際のソフトウェア配信用の通信経路及び通信装置を必要とするが、これらの通信経路及び通信装置が同時的に使用されないことから、共通の通信経路及び通信装置とすることができ、この結果、共通の通信路及び通信装置についてもハードウェアとしての冗長化を簡単且つ低コストで実現できる。

図２は、本発明による高信頼システムの説明図である。図２において、本発明の高信頼システム１０は、コンピュータにより実現される複数の装置１２−０〜１２−１１を備える。装置１２−０〜１２−１１に対しては内部通信用のハブ１６が設けられ、ハブ１６に対しては装置１２−０〜１２−１１の全てが共通にポート接続される。

また装置１２−０〜１２−１１に対しては外部通信用のハブ１８−１，１８−２が設けられ、ハブ１８−１には装置１２−１，１２−３，１２−５，１２−７，１２−９，１２−１１が接続され、ハブ１８−２には装置１２−０，１２−２，１２−４，１２−６，１２−８，１２−１０が接続される。ハブ１８−１，１８−２は外部ネットワーク２０に接続される。

この実施形態の高信頼システム１０において、装置１２−０〜１２−１１には装置番号＃００〜＃１１が割り当てられている。装置１２−０〜１２−１１は装置番号順に２台の装置でペア１４−０，１４−１，１４−２，１４−３，１４−４，１４−５を構成し、ペア１４−０〜１４−５に含まれる２台の装置は同一の処理を同期的に実行することで冗長化されている。

高信頼システム１０を構成する装置１２−０〜１２−１１のハードウェアは全て共通であるが、システム上における役割は異なっている。本発明の高信頼システムにあっては、次の３つの機能がシステム上の装置に割り当てられる。
（１）装置固有のサービスを実行する装置
（２）予備のための装置
（３）装置固有の処理を実行すると共に、同期用ソフトウェアを配信する装置

図２の高信頼システム１０の実施形態にあっては、ペア１４−０〜１４−３を構成する装置１２−０〜１２−７が装置固有のサービス処理を実行しており、ペア１４−４の装置１２−８，１２−９が予備の装置であり、更にペア１４−５の装置１２−１０，１２−１１が装置固有のサービス処理を実行すると同時に同期用ソフトウェアを配信する配信装置としての機能を持つ装置である。

図３は、図２の高信頼システムに設けた本発明による装置の機能構成のブロック図である。図３において、本発明の高信頼システムで使用する装置１２は、固定機能部２２と可変機能部２４で構成されている。固定機能部２２とはハードウェアまたは固定的なソフトウェア例えばＯＳに該当する部分であり、装置１２の運用中において、その機能は変わることはない。これに対し可変機能部２４とはソフトウェアの入れ替えにより機能を変更することができる部分である。

装置１２における固定機能部２２は、この実施形態にあってはハードウェア環境２６とミドルウェア環境２８に分けられている。ハードウェア環境２６にはネットワーク接続部３１が設けられ、図２のハブ１８−１，１８−２を経由した外部ネットワーク２０との通信を行うと同時に、図１のハブ１６を経由した装置間の通信となる内部ネットワーク１５との通信を行う。

また固定機能部２２に含まれるミドルウェア環境２８には、ソフトウェアによって実現される初期化処理部３２、障害検出部３４、障害処理部３６及び同期処理部３８としての機能が設けられている。このうち初期化処理部３２についてはハードウェア環境２６のネットワーク接続部３１と同様、装置１２自体に当初から設けられているが、障害検出部３４、障害処理部３６及び同期処理部３８については、装置１２を図２の高信頼システムに組み込んだ際にペア１４−５に含まれるソフトウェア配信装置として機能する装置１２−１０，１２−１１のいずれか一方からの同期用ソフトウェアの配信を受けて、その機能が構築される。

この初期化処理部３２による障害検出部３４、障害処理部３６及び同期処理部３８の各機能の同期用ソフトウェアの配信による構築は、図２に示した高信頼システム１０を構築した後に特定の装置が故障し、故障した装置を新たな装置と交換した際に使用される機能である。

もちろん高信頼システム１０を構築する作業の際に、同期用ソフトウェアを配信する装置１２−１０または１２−１１がシステム上に設置されており、それ以外の装置が内部通信用のハブ１６との接続していれば、ソフトウェア配信要求を装置１２−１０または１２−１１に対しソフトウェアの配信要求を行うことで、同期用ソフトウェアの配信を受けて図３のミドルウェア環境２８の各機能を初期化処理として構築することができる。

装置１２のアプリケーション環境３０にはサービス処理部４２が設けられている。サービス処理部４２はアプリケーションプログラムの配信を受けて装置１２に固有なサービス処理を構築している。このサービス処理部４２は、ペアを組んでいる装置において同じサービス処理部４２が設けられることになる。

ミドルウェア環境２８に設けた同期処理部３８は同期先パラメータ４０を備えている。この同期先パラメータ４０としては、後の説明で明らかにする管理テーブルやペアテーブルが利用される。同期処理部３８は、同期先パラメータ４０で定義されるペア相手装置との間で同じサービス処理を同期的に実行する。同期処理部３８の処理機能としては、例えば特表２００１−５２３８５５（特許文献１）に開示された同期処理を適用することができる。即ち同期処理部３８は、ペアを組んだペア相手装置との間でサービス処理部４２による処理を同期実行させる。

障害検出部３４は、ペア相手装置の障害を検出して同期処理部３８及び障害処理部３６に通知する。具体的には、故障を起こしたペア相手装置にあっては、その同期処理部３８が故障検出に基づいて装置間の通信を行う内部ネットワーク１５に対する通信ノードを切り離すことから、これによって内部ネットワーク１５を経由した同期処理のための通信が断たれ、これによってペア相手先の障害を検出することができる。

障害処理部３６は、障害検出部３４でペア相手装置の障害を検出した際に、内部ネットワーク１５にペア要求を発行し、このペア要求に対しペア申し入れのあった装置との間で新たな装置ペアを再構築する。この場合、内部ネットワーク１５に対するペア要求に対するペア申し入れを応答する装置としては、原則として予備装置が応答するが、予備装置の割り当てを受けていない単なる空き装置が応答してもよい。

障害処理部３６による内部ネットワーク１５に対するペア要求の発行に対し、複数の装置からのペア申し入れがあった場合には、予備装置以外の冗長化されている空き装置を優先的に選択して装置ペアを再構築し、空き装置からの申し入れがない場合には予備装置を選択して装置ペアを再構築することになる。

またペア申し入れに対しペア相手先を決定した場合には、内部ネットワーク１５を介してペア相手先にペア要求を行った装置１２のサービス処理部４２の機能を実現するソフトウェア及び現時点の処理データを転送コピーすることによって、ペア相手先の装置における可変機能部２４に同じサービス処理部４２を構築して、同期処理に移行させることになる。

このような障害処理部３６の機能によりシステム内でペアを組んでいる相手装置が故障した場合には、ペア相手先を失った装置が内部ネットワーク１５にペア要求を発行して新たなペア相手先を決定し、そこにサービス処理部４２と同じ機能をコピー転送して構築することで同期処理に移行し、装置故障に対し自動的に冗長性を回復することができる。

一方、故障装置については、その後に保守要員が新たな装置と交換することになる。故障装置を新たな装置に交換すると、初期化処理部３２によって内部ネットワーク１５に同期用ソフトウェアの配信要求が出され、これを受けて図２の同期用ソフトウェア配信装置としての機能が割り当てられた装置１２−０または１２−１１から同期用ソフトウェアの配信が交換した装置に対し行われ、これによって障害検出部３４、障害処理部３６及び同期処理部３８を固定機能部２２に構築する。

続いて、交換した新たな装置の障害処理部３６が、予備追加通知として機能するペア要求を内部ネットワーク１５に対し発行し、このペア要求に対し、現在ペアを組んでいない他の予備装置からのペア申し込みを受けて、予備装置としてのペアを再構築することになる。

図２における装置１２−０〜１２−１１は、例えば図４のようなコンピュータのハードウェア資源により実現される。図４のコンピュータにおいて、ＣＰＵ１００のバス１０１にはＲＡＭ１０２、ハードディスクコントローラ（ソフト）１０４、フロッピィディスクドライバ（ソフト）１１０、ＣＤ−ＲＯＭドライバ（ソフト）１１４、マウスコントローラ１１８、キーボードコントローラ１２２、ディスプレイコントローラ１２６、通信用ボード１３０が接続される。

ハードディスクコントローラ１０４はハードディスクドライブ１０６を接続し、本発明のミドルウェア環境とアプリケーション環境を実行するプログラムをローディングしており、コンピュータの起動時にハードディスクドライブ１０６から必要なプログラムを呼び出して、ＲＡＭ１０２上に展開し、ＣＰＵ１００により実行する。

フロッピィディスクドライバ１１０にはフロッピィディスクドライブ（ハード）１１２が接続され、フロッピィディスク（Ｒ）に対する読み書きができる。ＣＤ−ＲＯＭドライバ１１４に対しては、ＣＤドライブ（ハード）１１６が接続され、ＣＤに記憶されたデータやプログラムを読み込むことができる。

マウスコントローラ１１８はマウス１２０の入力操作をＣＰＵ１００に伝える。キーボードコントローラ１２２はキーボード１２４の入力操作をＣＰＵ１００に伝える。ディスプレイコントローラ１２６は表示部１２８に対して表示を行う。通信用ボード１３０は無線を含む通信回線１３２を使用し、内部ネットワーク内の装置や外部ネットワーク上の装置との間で通信を行う。

図５は、図３に示した本発明の装置１２の同期処理部３８に設けた同期先パラメータ４０を含む管理テーブルとペアテーブルの説明図である。図５（Ａ）は管理テーブル４６であり、装置番号、ペア番号とハブ番号で構成される通信識別子、予備フラグ及び故障フラグを備えている。

なお、管理テーブル４６は装置番号＃００〜＃１１ごとにまとめたテーブル構造を示しているが、この管理テーブル４６を装置１２−０〜１２−１１の全てが保持してもよいし、自分の装置番号に該当するテーブル情報のみを持つようにしてもよい。

図２の高信頼システム１０を対象とした管理テーブル４６にあっては、ペア番号をｎとすると、このペア番号ｎを持つ２台の装置の装置番号は（２ｎ，２ｎ＋１）で定義される。例えばペア番号ｎ＝００については（２ｎ，２ｎ＋１）＝（２×００，２×００＋１）＝（０，１）となり、装置番号＃００，＃０１が同じペア番号００を持つことになる。残りのペア番号０１〜０５についても同様である。

ハブ番号は図２の外部通信用のハブ１８−１，１８−２に割り当てられた番号であり、例えばハブ１８−１がハブ番号１、ハブ１８−２がハブ番号２としている。

ここで図２の装置１２−０〜１２−１１には、内部ネットワーク１５を構築するハブ１６を経由した同期処理のための通信識別子が割り当てられている。この通信識別子として本発明は図５の管理テーブル４６に示すペア番号とハブ番号を含むようにしている。例えば通信識別子は２進数表現で８ビット長であり、下位１ビットがハブ番号即ち１または２の偶数または奇数を示し、上位７ビットがペア番号を示すようにしている。

このような通信識別子の構成としては、次の拡張形式を用いることもできる。
（１）上位４ビットがペア番号で下位４ビットの値を全ハブ数（１０進）で割った値の余 りがハブ番号となる値を入れる。
（２）上位１ビットで通信識別子０〜１２８，１２８〜２５５の２つのハブグループを表 わす。
（３）上位４ビットで通信識別子０〜１５，１６〜３１，…２４０〜２５５の１６個のハ ブグループを表わす。

図５（Ｂ）はペアテーブル４８の説明図であり、ペア番号に対応してペア装置番号が格納されている。このような管理テーブル４６及びペアテーブル４８から、装置自身は自分自身の装置番号に対応して自分の属するペアのペア番号を認識すると共に、ペア相手装置の装置番号を認識することができ、また自分自身が予備の装置であるか否かは予備フラグにより認識し、更に故障装置の有無については故障フラグにより認識することができる。

このような管理テーブル４６及びペアテーブル４８の内容は、装置故障に伴う冗長性回復処理によって新たな装置ペアの再構築が行われた場合、更には故障装置を新たな装置と交換したような場合に、その内容が更新されることになる。

図６は、本発明の高信頼システムにおけるシステム運用中の同期処理の説明図である。図６において、高信頼システム１０は、図５（Ａ）の管理テーブル４６及び図５（Ｂ）のペアテーブル４８に示したように、ペア１４−０〜１４−５に含まれる２台の装置の間で内部ネットワークとしてのハブ１６を経由して同期通信４４−０〜４４−５が行われている。

図７は、図６の高信頼システム１０の装置１２−０〜１２−１１のそれぞれで行われている同期処理のフローチャートであり、次の処理手順となる。

ステップＳ１：システムを起動する。
ステップＳ２：同期先パラメータを読み込んでペア相手装置を認識する。
ステップＳ３：同期先パラメータを使用してペア相手装置との通信を行う。
ステップＳ４：ペア相手装置が運用状態か否かチェックし、運用状態にあればステップＳ５に進み、運用状態になければステップＳ６に進む。

ステップＳ５：ペア相手装置が運用状態にあることから、既に稼動しているペア相手装置を主、自己を従に決定する。
ステップＳ６：ペア相手装置が稼動していない場合であり、ペア相手装置が稼動するまで待ち合わせる。
ステップＳ７：稼動したペア相手装置との間で一定のアルゴリズムでペアの主従を決定する。この一定のアルゴリズムとしては、故障の有無、過去の故障履歴などを考慮し、故障が少なく且つ故障履歴が少ない方を主、そうでない方を従に決定する。

ステップＳ８：主従関係を決定した後に、ペア相手装置との間で同期処理を実行する。この同期処理はメモリコピー、ＨＤＤコピー、演算装置の値コピーを行った後、各部位の状態により必要に応じて同期処理を実行する。
ステップＳ９：運用状態であり、ペアとなった装置で同じサービス処理を実行する。
ステップＳ１０：運用状態において故障発生の有無を検出しており、故障発生があるとステップＳ１１に進む。
ステップＳ１１：故障発生に基づき故障ノードを切り離し、内部ネットワークから離脱する。

図８は、本発明の高信頼システム１０において、ペア１４−０に含まれる装置１２−１が故障した場合の冗長性回復処理の説明図である。この図８のような装置１２−１の故障については、図９のタイムチャートに示すように、故障した装置１２−１、故障した装置１２−１とペアを組んでいる装置１２−０、ペア１４−４として予備装置が割り当てられた装置１２−８，１２−９との間で、冗長性回復のための処理が実行される。

図９において、ペア１４−０を組んでいる装置１２−０，１２−１は、ステップＳ１，ステップＳ１０１のそれぞれで同期通信を行いながら同期処理を実行し、これにより装置１２−０，１２−１が提供するサービス処理を冗長化している。

この同期処理の状態で、装置１２−１がステップＳ１０２で故障したとすると、これをペア相手先となる装置１２−０がステップＳ２で検出し、ステップＳ３で図８に示すように内部ネットワークとしてのハブ１６に対しペア要求５０を発行する。この装置１２−０からのペア要求５０は、内部ネットワークとしてのハブ１６を介して他の全ての装置で受信される。なおペア要求５０としては、通信元となる装置１２−０の通信識別子にペア要求を示すコマンドが含まれた通信データである。

装置１２−０からのペア要求に対しては、図８の場合にはペア１４−４に含まれる予備装置が割り当てられた装置１２−８，１２−９が、ステップＳ２０１，Ｓ３０１に示すようにペア申し入れを応答する。このペア申し入れは、装置１２−８，１２−９の通信識別子にペア申し入れコマンドを含めた通信データである。

ペア要求を行った装置１２−０は、予備装置が割り当てられた装置１２−８，１２−９からのペア申し入れを受けて、ステップＳ４でペア選択を行う。このペア選択は図１０のルールテーブル５４に定めるルール１〜５に従って決定され、この場合には予備装置１２−９が選択される。

ステップＳ４でペア装置として予備装置１２−９が選択されると、ステップＳ５で選択した装置１２−９に対しペア決定通知を行う。これを受けて、決定通知を受けた装置１２−９はステップＳ２０２でペア確認応答を行う。これによって、故障によりペア相手装置を失った装置１２−０は新たにペア相手装置として装置１２−９を獲得する。

続いて装置１２−０は、ステップＳ６でサービス処理部の機能を冗長化するためサービス処理部のソフトウェアをＨＤＤから読み出し、同時に現時点のサービス処理で得られているデータを読み出し、コピーのために新たなペア相手先となった装置１２−９に転送する。

装置１２−９は装置１２−０からのソフトウェアコピー転送を受けてステップＳ２０３でソフトウェアのインストールを行い、更にステップＳ２０４で同期先となったペア相手装置１２−０を示すパラメータを適用する。そして装置１２−０及び１２−９は、ステップＳ７，Ｓ２０５で同期処理を開始し、これによって装置１２−０が実行しているサービス処理の冗長性が自動的に回復されることになる。

一方、故障した装置１２−１については、故障通知が保守要員に連絡されるなどし、その後、ステップＳ１０３で新たな装置と交換されることになる。

図１０は、図９の装置１２−１のステップＳ４で行うペア選択のためのルールを定義したルールテーブル５４の説明図である。ルールテーブル５４にあっては、ルール１，２，３，４，５を定めており、このルール番号の順番に従ってペア相手先の選択を行うことになる。ルール１〜５によるペア選択は、通信識別子を構成しているペア番号とハブ番号を基本とし、更にペア相手装置との履歴情報を利用している。

ルール１はペア要求を行った装置とペア番号が同一で異なるハブ番号を持ち、更に一番最近のペア相手と同じペア番号とハブ番号即ち同一通信識別子をペア相手として選択する。ルール２はルール１の前半の２つの条件のみ即ちペア要求を行った装置と同一ペア番号で且つ異なるハブ番号の装置をペア選択する。

ルール３はペア要求を行った装置と異なるペア番号で異なるハブ番号であり、更に一番最近のペア相手と同じペア番号とハブ番号を持つ装置即ち同一通信識別子を持つ装置をペア相手とする。ルール４はルール３の前半の２つの条件即ちペア要求を行った装置と異なるペア番号で且つ異なるハブ番号の装置をペア相手装置として選択する。ルール５はペア要求を行った装置と異なるペア番号で且つ同一ハブ番号の装置をペア相手装置として選択する。

図１１は、図８で装置１２−１が故障し、装置１２−０がペア要求５０を行い、予備装置が割り当てられた装置１２−８，１２−９からペア申し込みを受けた場合の図１０のルールテーブル５４に基づくペア選択処理の具体例である。即ち、図１１（Ａ）は故障装置１２−１の装置番号、ペア番号、ハブ番号であり、図１１（Ｂ）はペア要求を行う装置１２−０の装置番号、ペア番号及びハブ番号である。

そこで図１０（Ｃ）のルールテーブル５４におけるルール１〜５の具体的な適用を見ると次のようになる。まずルール１を適用すると、図１１（Ｂ）のペア要求を行った装置１２−１のペア番号及びハブ番号との間に
（１）同一ハブ番号＝００
（２）異なるハブ番号＝１
（３）一番近いペア相手と同じペア番号とハブ番号＝００，１
となり、この場合のペア相手の通信識別子は「００１」となって、図５（Ａ）の管理テーブル４６からペア相手は装置番号＃０１の装置１２−１となるが、この装置が故障装置であることから候補は存在しない。

次にルール２を適用することになるが、この場合にもペア相手先通信識別子は「００１」となって装置１２−１となり、候補が存在しない。次にルール３によって異なるペア番号と異なるハブ番号を持つ通信識別子０１１，０２１，０３１，０４１，０５１を持つ装置１２−３，１２−５，１２−７，１２−９，１２−１１の中から一番最近のペア相手となる同じペア番号とハブ番号の装置を選ぶが、これに該当する候補は存在しない。

次に、ルール４によりルール３と同じ通信識別子を持つ装置１２−３，１２−５，１２−７，１２−９，１２−１１が選ばれ、この中にはペア申し入れを応答した予備装置との割り当てが行われた装置１２−９が含まれることから、ルール４によってペア相手先として予備装置との割り当てが行われている装置１２−９が選択される。

もし予備としての装置１２−９がペア申し入れを行っていなかった場合には、ルール５に従って予備装置としての割り当てが行われた装置１２−８が選択されることになる。

図１２は、図８の冗長性回復処理で変更される管理テーブル及びペアテーブルの説明図である。まず図１２（Ａ）の管理テーブル４６にあっては装置番号＃０１の装置１２−１が故障したことから、故障フラグが０から１にセットされる。また故障した装置１２−１にかえて装置１２−０がペア相手先として装置番号＃０９の装置１２−９を選択して、同期処理に移行して冗長性を回復した事から、装置番号＃０９のペア番号がそれまでのペア番号０４からペア番号００に変更される。同時に予備フラグが１から０にリセットされる。

また図１２（Ｂ）のペアテーブル４８については、ペア番号００に含まれる装置番号＃０１が故障により、新たな装置番号＃０７に変更される。同時にペア番号０４におけるペア装置番号＃０９が削除され、予備装置の冗長性が解除されて単独の予備装置となる。

図１３は、装置が故障して冗長性が自動回復された後に故障装置を交換した場合の冗長性回復処理の説明図である。図１３にあっては、故障した装置１２−１を高信頼システムから取り外し、新たな装置１２−１ａをシステムに接続して電源投入などにより起動している。このように故障した装置を交換果した場合の冗長性回復処理は、図１４のタイムチャートの手順で行われる。

図１４にあっては、故障した装置１２−１、同期用ソフトウェアを配信する配信装置１２−１１及びペアなしで存在している予備装置としての装置１２―８の間の処理を示している。まず装置１２−１にあっては、ステップＳ１で故障し、その後にステップＳ２で図１３に示したように新たな装置１２−１ａに交換する。

交換した装置１２−１ａは図３に示す装置１２における可変機能部２４のサービス処理部４２及び固定機能部２２のミドルウェア環境２８における障害検出部３４、障害処理部３６及び同期処理部３８を備えておらず、初期化処理部３２とハードウェア環境２６のネットワーク接続部３１のみとなっている。

このため交換した装置１２−１ａは図３に示した初期化処理部３２によりステップＳ３で図１３のように内部ネットワークとしてのハブ１６に対し同期用ソフトウェアの配信要求６０を発行する。この配信要求６０はハブ１６を介してペア１４−５に含まれる配信装置１２―１０，１２−１１に送られるが、例えば同期処理によって主装置として定めた配信装置１２−１１がステップＳ１０１で自分がＨＤＤなどに記憶している同期用ソフトウェアを読み出して、要求元の装置１２−１ａに対しソフトウェアを配信する。

これによって交換された装置１２−１ａに同期用ソフトウェアがインストールされ、図３におけるミドルウェア環境２８における障害検出部３４、障害処理部３６及び同期先パラメータ４０を備えた同期処理部３８の各機能が構築される。このため交換した装置１２―１ａはステップＳ４で自分自身が予備としてシステムに追加されたことを示す予備追加通知を内部ネットワークに対し発行する。

この予備追加通知は図９に示した装置１２−０のステップＳ３のペア要求と同じもので、装置１２−１ａの通信識別子にペア要求コマンドを付加した通信データを内部ネットワークに送信する。このペア要求としての内容を持つ予備追加通知に対し、現在ペアなしとなって非冗長状態にある予備装置が割り当てられた装置１２−８がステップＳ２０１でペア申し入れを応答する。

ペア申し入れの応答を受けて装置１２−１ａはステップＳ５でペア選択を行う。ペア選択については図１０のルールテーブル５４のルール１〜５が順次適用される。もちろんペア申し入れが装置１２−８のみからの場合にはルールの如何にかかわらず、装置１２−８が選択されることになる。

ステップＳ５でペア選択が行われると、ステップＳ６でペア決定通知をペア申し入れを行った装置１２−８に対し行い、これを受けてステップＳ２０２で装置１２−８はペア確認応答を応答する。このペア確認応答を受けて装置１２−１ａはステップＳ７で同期先のパラメータとして相手ペア装置１２−８を適用する。

そして装置１２―１ａ及び１２−８はステップＳ８，Ｓ２０３で同期処理に移行し、これによって装置故障で失われた予備装置の冗長性が自動的に回復される。この予備装置の冗長性の回復についても、保守要員は単に故障した装置を新たな装置に交換して起動する操作を行うだけで良く、人為的な操作は簡単かつ短時間で済ますことができる。

図１５は、図１３の冗長性回復処理の結果変更される管理テーブル及びペアテーブルの説明図である。図１５（Ａ）の管理テーブル４６にあっては、故障した装置番号＃０１について予備装置としてのペアが装置番号が＃０８との間で確立されることから、ペア番号が００から０４に変更される。同時に予備フラグが０から１にセットされ、故障フラグが１から０にリセットされる。

また図１５（Ｂ）ペアテーブル４８については、ペア番号０４におけるペア装置番号がそれまでの＃０８，＃＊＊〜＃０８，＃０１に変更され、予備装置のペアが再構築されたことがわかる。

図１６は、故障装置を交換した場合のペアの相手先が存在しなかった場合の冗長性回復待ちのタイムチャートであり、装置１２−１、配信装置１２−１１及び他の装置１２−２を示している。

この場合にあっては装置１２−１がステップＳ１で故障し、その後、保守要員によりステップＳ２で新たな装置に交換されると、交換後の装置に設けている図３の初期化処理部３２により内部ネットワークとしてのハブ１６に対し、ステップＳ３で同期用ソフトウェアの配信要求が行われる。

これに対し配信装置としての機能が割り当てられた装置１２−１１よりステップＳ１０１で同期用ソフトウェアの配信が行われ、この配信を受けて交換した装置には同期用ソフトウェアのインストールによって図３に示した障害検出部３４、障害処理部３６及び同期処理部３８の機能が構築される。

続いて同期用ソフトウェアの配信によるインストールを受けた装置１２−１はステップＳ４でペア要求としての予備追加通知を内部ネットワークに対し行うが、この例ではペア相手装置が存在していないことからステップＳ５でペア申し入れの待ち状態、すなわち冗長回復待ち状態となる。

図１７は、図３の装置１２に設けている障害検出部３４における障害検出処理のフローチャートであり、次の処理手順となる。
ステップＳ１：同期処理におけるペア相手装置のステータスをチェックする。
ステップＳ２：ステータスから故障検出か否かチェックし、故障検出でなければステップＳ１に戻り、故障検出であればステップＳ３に進む。
ステップＳ３：同期処理部３８及び障害処理部３６に故障検出通知を行って処理を通知する。

図１８は図３の装置１２に設けた障害処理部３６による障害処理のフローチャートであり、次の処理手順となる。

ステップＳ１：ペア相手装置の故障検出通知結果の有無をチェックする。故障検出通知があればステップＳ２に進む。
ステップＳ２：内部ネットワークにペア要求を発行する。
ステップＳ３：ペア申し入れの有無をチェックし、ペア申し入れがあればステップＳ４に進み、なければステップＳ８に進む。

ステップＳ４：ペア申し入れのあったペア相手先に対し、例えば図１０のルールテーブル５４に従ってペア相手先装置を選出するペア選出処理を実行する。
ステップＳ５：選出したペア相手先装置にペア決定通知を発行する。
ステップＳ６：ペア決定通知を行ったペア相手装置からの確認応答の有無をチェックし、確認応答があればステップＳ７に進み、そうでなければステップＳ８に進む。

ステップＳ７：同期処理部３８にペア相手装置を通知する。即ち同期先パラメータ４０の更新を行う。
ステップＳ８：他の装置からペア要求を受信したか否かチェックしており、ペア要求を受信した場合はステップＳ９に進み、そうでなければステップＳ１に戻る。
ステップＳ９：ペア要求に対し自己は予備装置又は空き装置か否かチェックし、予備装置また空き装置であればステップＳ１０に進み、そうでなければステップＳ１に戻る。

ステップＳ１０：ペア要求を行った装置に対しペア申し入れを応答する。
ステップＳ１１：ペア申し入れに対し、ペア決定通知の有無をチェックしており、ペア決定通知があればステップＳ１２に進み、そうでなければステップＳ１に戻る。
ステップＳ１２：ペア決定通知に対し確認応答を行う。
ステップＳ１３：同期処理部３８にペア相手装置の通知を行って同期先パラメータ４０を更新する。

図１９は図３の装置１２の初期化処理部３２による初期化処理のフローチャートであり、次の手順となる。
ステップＳ１：ネットワークに対し同期用ソフトウェアの配信要求を発行する。
ステップＳ２：同期用ソフトウェアを受信してインストールする。

図２０は内部ネットワークを冗長化した本発明による高信頼システムの他の実施形態の説明図である。図２０において、この実施形態の高信頼システム１０はペア１４―０〜１４−５を組んでいる装置１２−０〜１２−１１に対し、内部ネットワークを構成するハブ１６−１，１６−２を設け、内部ネットワークについても冗長化するようにしたことを特徴とする。

ハブ１６−１，１６−２に対し装置１２−０〜１２−１１はそれぞれ通信ポートにより接続されており、ハブ１６−１，１６−２のいずれか一方に故障が生じても冗長性により装置間の通信を確保することができる。

ここで、図２０の実施形態にあっては、ハブ１６のみにより装置間の内部ネットワークの通信路を形成しており、この内部ネットワークの通信路にあっては運用時における同期処理のための通信路、装置故障時の冗長性回復処理のための通信路、さらに故障装置を交換した際の冗長性回復処理のための通信路が形成されるが、これら３つの通信路については時間的に同時に発生しないことから、同じハブ１６による通信路であっても通信路の転送能力を最大限に利用した高速転送が実現できる。

従って図２０のようにハブ１６−１，１６−２により内部ネットワーク側を冗長化しても通信速度は単独のハブのみで保証されるため、ハブ１６−１，１６−２のいずれか一方の通信路のみを使用すればよい。しかし、ハブ１６−１，１６−２の片側のみの使用であれば冗長性の確保による通信の信頼性に問題があることから、運用状態で同期処理に使用する通信路を例えばペア１４−０，１４−２，１４−４についてはハブ１６−１とし、ペア１４−１，１４−３，１４−５についてはハブ１６−２とするように割り当て、ハブ１６−１，１６−２の両方の運用中における使用状態としておくことが望ましい。

尚、上記の実施形態にあっては装置固有のサービスのみを提供する装置の故障を例にとるものであったが、装置固有のサービスに加え、同期用ソフトウェアの配信処理を行う配信装置としての機能を備えた装置１２−１０，１２―１１のいずれかの故障についても、故障によりペア相手先を失った配信装置からの内部ネットワークに対するペア要求により予備装置との間で新たなペア相手装置を決定し、この場合にはサービス処理部のソフトウェアに加え同期用ソフトウェアについても新たにペアを組んだペア相手先装置にコピー転送することで、同期用ソフトウェアの配信装置としての装置としても装置故障に対し冗長性を自動的に回復することができる。

また、本発明は上記の実施形態に限定されず、その利点を目的を損なうことのない適宜の変形を含む。更に本発明は上記の実施形態に示した数値による限定は受けない。

ここで本発明の特徴を列挙すると次の付記のようになる。

（付記１）
複数の装置を内部ネットワークを介して相互に接続し、前記複数の装置について装置ペアを構築する共に予備装置を割り当てて冗長化した高信頼システムに於いて、
装置ペア毎に固有のサービスを提供するソフトウェアを実行するサービス処理部と、
装置ペアを組んだ装置間で前記サービス処理部による処理を同期させる同期処理部と、
ペア相手装置の障害を検出する障害検出部と、
前記障害検出部でペア相手装置の障害を検出した際に、ネットワークにペア要求を発行し、ペア申入れのあった装置との間で装置ペアを再構築する障害処理部と、
を備えたことを特徴とする高信頼システム。（１）

（付記２）
付記１記載の高信頼システムに於いて、前記障害処理部は、ペア相手装置に対し前記サービス処理部の機能を実現するソフトウェア及び処理データを内部ネットワークを介して転送コピーすることにより同じサービス処理部を構築して同期処理に移行させることを特徴とする高信頼システム。（２）

（付記３）
付記１記載の高信頼システムに於いて、前記障害処理部は、複数の処理装置からペア申入れを受けた場合、予備装置以外の空き装置を優先的に選択して装置ペアを再構築し、前記空き装置からの申入れがない場合に予備装置を選択して装置ペアを再構築することを特徴とする高信頼システム。（３）

（付記４）
付記１記載の高信頼システムに於いて、前記同期処理部は、装置番号に対応してペア同士を示すペア番号を格納した管理テーブルを管理し、前記管理テーブルの自己と同じペア番号をもつ装置をペア相手装置と認識して同期処理を実行することを特徴とする高信頼システム。（４）

（付記５）
付記１記載の高信頼システムに於いて、前記同期処理部は、前記管理テーブルに装置番号に対応したペア番号に加えて更に、外部ネットワークと接続するハブ番号、予備装置を示す予備フラグ、故障装置を示す故障フラグを格納し、
前記障害処理部は、複数の処理装置からペア申入れを受けた場合、前記管理テーブルのペア番号とハブ番号に基づいて新たなペア相手装置を選択して装置ペアを再構築することを特徴とする高信頼システム。（５）

（付記６）
付記５記載の高信頼システムに於いて、前記障害処理部は、複数の装置からペア申入れを受けた際に、
異なるハブ番号且つ同一ペア番号で且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第１ルール、
異なるハブ番号且つ同一ペア番号の装置をペア相手装置とする第２ルール、
異なるハブ番号且つ異なるペア番号且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第３ルール、
異なるハブ番号且つ異なるペア番号の装置をペア相手装置とする第４ルール、及び
同じハブ番号且つ異なるペア番号の装置をペア相手装置とする第５ルール、
を順次適用してペア相手装置を決定して再構築することを特徴とする高信頼システム。（６）

（付記７）
付記５記載の高信頼システムに於いて、前記ペア番号とハブ番号の組合せを装置の通信識別子とすることを特徴とする高信頼システム。

（付記８）
付記１記載の高信頼システムに於いて、更に、故障装置を新たな装置と交換した際に、前記内部ネットワークに対し同期用ソフトウェアの配信を要求し、ソフトウェア配信装置の割当を受けた特定のペア装置の一方から前記同期用ソフトウェアの配信を受けて前記同期処理部、障害検出部及び障害処理部を構築する初期化処理部を備えたことを特徴とする高信頼システム。（７）

（付記９）
付記８記載の高信頼システムに於いて、前記初期化処理部により前記固定機能部に構築された前記障害処理部は、前記内部ネットワークに予備追加通知を発行し、ペア申入れのあった装置との間で予備装置ペアを構築することを特徴とする高信頼システム。（８）

（付記１０）
複数の装置を内部ネットワークを介して相互に接続し、前記複数の装置について装置ペアを構築する共に予備装置を割り当てて冗長化した高信頼システムの冗長構成制御方法に於いて、
装置ペア毎に固有のサービスを提供するソフトウェアを実行するサービス処理ステップと、
装置ペアを組んだ装置間で前記サービス処理ステップによる処理を同期させる同期処理ステップと、
ペア相手装置の障害を検出する障害検出ステップと、
前記障害検出ステップでペア相手装置の障害を検出した際に、ネットワークにペア要求を発行し、ペア申入れのあった装置との間で装置ペアを再構築する障害処理ステップと、
を備えたことを特徴とする冗長構成制御方法。（９）

（付記１１）
付記１０記載の冗長構成制御方法に於いて、前記障害処理ステップは、ペア相手装置に対し前記サービス処理ステップの機能を実現するソフトウェア及び処理データを内部ネットワークを介して転送コピーすることにより同じサービス処理部を構築して同期処理に移行させることを特徴とする冗長構成制御方法。

（付記１２）
付記１０記載の冗長構成制御方法に於いて、前記障害処理ステップは、複数の処理装置からペア申入れを受けた場合、予備装置以外の空き装置を優先的に選択して装置ペアを再構築し、前記空き装置からの申入れがない場合に予備装置を選択して装置ペアを再構築することを特徴とする冗長構成制御方法。

（付記１３）
付記１０記載の冗長構成制御方法に於いて、前記同期処理ステップは、装置番号に対応してペア同士を示すペア番号を格納した管理テーブルを管理し、前記管理テーブルの自己と同じペア番号をもつ装置をペア相手装置と認識して同期処理を実行することを特徴とする冗長構成制御方法。

（付記１４）
付記１０記載の冗長構成制御方法に於いて、前記同期処理ステップは、前記管理テーブルに装置番号に対応したペア番号に加えて更に、外部ネットワークと接続するハブ番号、予備装置を示す予備フラグ、故障装置を示す故障フラグを格納し、
前記障害処理ステップは、複数の処理装置からペア申入れを受けた場合、前記管理テーブルのペア番号とハブ番号に基づいて新たなペア相手装置を選択して装置ペアを再構築することを特徴とする冗長構成制御方法。

（付記１５）
付記１４記載の冗長構成制御方法に於いて、前記障害処理ステップは、複数の装置からペア申入れを受けた際に、
異なるハブ番号且つ同一ペア番号で且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第１ルール、
異なるハブ番号且つ同一ペア番号の装置をペア相手装置とする第２ルール、
異なるハブ番号且つ異なるペア番号且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第３ルール、
異なるハブ番号且つ異なるペア番号の装置をペア相手装置とする第４ルール、及び
同じハブ番号且つ異なるペア番号の装置をペア相手装置とする第５ルール、
を順次適用してペア相手装置を決定して再構築することを特徴とする冗長構成制御方法。

（付記１６）
付記１４記載の冗長構成制御方法に於いて、前記ペア番号とハブ番号の組合せを装置の通信識別子とすることを特徴とする冗長構成制御方法。

（付記１７）
付記１０記載の冗長構成制御方法に於いて、更に、故障装置を新たな装置と交換した際に、前記内部ネットワークに対し同期機能ソフトウェアの配信を要求し、ソフトウェア配信装置の割当を受けた特定のペア装置の一方から前記同期用ソフトウェアの配信を受けて前記同期処理部、障害検出部及び障害処理部を構築する初期化ステップを備えたことを特徴とする冗長構成制御方法。

（付記１８）（故障装置交換後の予備装置ペア構築）
付記１７記載の冗長構成制御方法に於いて、前記初期化ステップにより前記固定機能部に構築された前記障害処理部は、前記内部ネットワークに予備追加通知を発行し、ペア申入れのあった装置との間で予備装置ペアを構築することを特徴とする冗長構成制御方法。

（付記１９）
複数の装置を内部ネットワークを介して相互に接続し、前記複数の装置について装置ペアを構築する共に予備装置を割り当てて冗長化た高信頼システムの各装置を構成するコンピュータに、
装置ペア毎に固有のサービスを提供するソフトウェアを実行するサービス処理ステップと、
装置ペアを組んだ装置間で前記サービス処理ステップによる処理を同期させる同期処理ステップと、
ぺア相手装置の障害を検出する障害検出ステップと、
前記障害検出ステップでペア相手装置の障害を検出した際に、ネットワークにペア要求を発行し、ペア申入れのあった装置との間で装置ペアを再構築する障害処理ステップと、
を実行させることを特徴とするプログラム。（１０）

（付記２０）
付記１９記載のプログラムに於いて、前記障害処理ステップは、ペア相手装置に対し前記サービス処理ステップの機能を実現するソフトウェア及び処理データを内部ネットワークを介して転送コピーすることにより同じサービス処理ステップを構築して同期処理に移行させることを特徴とするプログラム。

（付記２１）
付記１９記載のプログラムに於いて、前記障害処理ステップは、複数の処理装置からペア申入れを受けた場合、予備装置以外の空き装置を優先的に選択して装置ペアを再構築し、前記空き装置からの申入れがない場合に予備装置を選択して装置ペアを再構築することを特徴とするプログラム。

（付記２２）
付記１９記載のプログラムに於いて、前記同期処理ステップは、装置番号に対応してペア同士を示すペア番号を格納した管理テーブルを管理し、前記管理テーブルの自己と同じペア番号をもつ装置をペア相手装置と認識して同期処理を実行することを特徴とするプログラム。

（付記２３）
付記１９記載のプログラムに於いて、前記同期処理ステップは、前記管理テーブルに装置番号に対応したペア番号に加えて更に、外部ネットワークと接続するハブ番号、予備装置を示す予備フラグ、故障装置を示す故障フラグを格納し、
前記障害処理ステップは、複数の処理装置からペア申入れを受けた場合、前記管理テーブルのペア番号とハブ番号に基づいて新たなペア相手装置を選択して装置ペアを再構築することを特徴とするプログラム。

（付記２４）
付記２３記載のプログラムに於いて、前記障害処理ステップは、複数の装置からペア申入れを受けた際に、
異なるハブ番号且つ同一ペア番号で且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第１ルール、
異なるハブ番号且つ同一ペア番号の装置をペア相手装置とする第２ルール、
異なるハブ番号且つ異なるペア番号且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第３ルール、
異なるハブ番号且つ異なるペア番号の装置をペア相手装置とする第４ルール、及び
同じハブ番号且つ異なるペア番号の装置をペア相手装置とする第５ルール、
を順次適用してペア相手装置を決定して再構築することを特徴とするプログラム。

（付記２５）
付記２３記載のプログラムに於いて、前記ペア番号とハブ番号の組合せを装置の通信識別子とすることを特徴とするプログラム。

（付記２６）
付記１９記載のプログラムに於いて、更に、故障装置を新たな装置と交換した際に、前記内部ネットワークに対し同期機能ソフトウェアの配信を要求し、ソフトウェア配信装置の割当を受けた特定のペア装置の一方から前記同期用ソフトウェアの配信を受けて前記同期処理ステップ、障害検出ステップ及び障害処理ステップを構築する初期化ステップを備えたことを特徴とするプログラム。

（付記２７）
付記２６記載のプログラムに於いて、前記初期化ステップにより前記交換装置の固定機能部に構築された前記障害処理ステップは、前記内部ネットワークに予備追加通知を発行し、ペア申入れのあった装置との間で予備装置ペアを構築することを特徴とするプログラム。

本発明の原理説明図 本発明による高信頼システムの説明図 図２のシステムに設けた装置の機能構成のブロック図 図３の装置が適用されるコンピュータのハードウェア環境の説明図 本発明の装置で使用する管理テーブルとペアテーブルの説明図 本発明の高信頼システムにおける同期処理の説明図 本発明の装置における同期処理のフローチャート 本発明の高信頼システムで装置故障を生じた場合の冗長性回復処理の説明図 図８の装置故障に対する冗長性回復処理のタイムチャート ペア申入れに対しペアを選択するためのルールテーブルの説明図 図８におけるペア選択のためのルールテーブルの具体的な説明図 図８の冗長性回復処理で変更される管理テーブル及びペアテーブルの説明図 故障装置を交換した場合の冗長性回復処理の説明図 図１２の装置交換における冗長性回復処理のタイムチャート 図１３の冗長性回復処理で変更される管理テーブル及びペアテーブルの説明図 故障装置を交換した場合のペア相手装置が存在しない場合の冗長性回復待ちのタイムチャート 本発明の装置における故障検出処理のフローチャート 本発明の装置における障害処理のフローチャート 本発明の装置における初期化処理のフローチャート 内部ネットワークを冗長化した本発明による高信頼システムの説明図

符号の説明

１０：高信頼システム
１２−０〜１２−１１：装置
１４，１４−０〜１４−５：ペア
１５：内部ネットワーク
１６，１６−１，１６−２，１８−１，１８−２：ハブ
２０：外部ネットワーク
２２：固定機能部
２４：可変機能部
２６：ハードウェア環境
２８：ミドルウェア環境
３０：アプリケーション環境
３１：ネットワーク接続部
３２：初期化処理部
３４：障害検出部
３６：障害処理部
３８：同期処理部
４０：同期先パラメータ
４２：サービス処理部
４４−０〜４４−５：同期通信
４６：管理テーブル
４８：ペアテープル

Claims (7)

1. コンピュータにより、
   同期処理部、サービス処理部、障害検出部、障害処理部を有する装置をペアとして組合せ、複数ペアのうち一組のペアを予備装置とし、他の一組のペアを配信装置とし、残りのペアをそれぞれ独立した通信用として用い、各ペアはペアを組んだ他方の装置と内部ネットワークを介して同期動作を行うと共に一方を主装置に他方を従装置と設定して外部ネットワークを介して情報授受を行う高信頼システムに於いて、
   前記サービス処理部はペア毎に固有のサービスを提供するソフトウェアを実行し、
   前記同期処理部は、装置番号に対応してペア同士を示すペア番号を格納した管理テーブルを管理し、前記管理テーブルの自己と同じペア番号をもつ装置をペア相手装置と認識して同期処理を実行すると共に、前記管理テーブルに装置番号に対応したペア番号に加えて更に、外部ネットワークと接続するハブ番号、予備装置を示す予備フラグ、故障装置を示す故障フラグを格納してペアを組んだ装置間で前記サービス処理部による処理を同期させ、
   前記障害検出部は、ペア相手装置の障害を検出し、
   前記障害処理部は、ペア相手先装置の障害を前記障害検出部が検出したとき内部ネットワークにペア要求を発行し、ペア申し入れのあった装置との間で装置ペアを再構築し、複数の処理装置からペア申入れを受けた場合は前記管理テーブルのペア番号とハブ番号に基づいて新たなペア相手装置を選択して装置ペアを再構築し、
   異なるハブ番号且つ同一ペア番号で且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第１ルール、
   異なるハブ番号且つ同一ペア番号の装置をペア相手装置とする第２ルール、
   異なるハブ番号且つ異なるペア番号且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第３ルール、
   異なるハブ番号且つ異なるペア番号の装置をペア相手装置とする第４ルール、及び
   同じハブ番号且つ異なるペア番号の装置をペア相手装置とする第５ルール、
   を順次適用してペア相手装置を決定して再構築することを特徴とする高信頼システム。
   
2. 請求項１記載の高信頼システムに於いて、前記障害処理部は、装置再構築をしたペア相手装置に対し前記サービス処理部の機能を実現するソフトウェア及び処理データを内部ネットワークを介して転送コピーすることにより同じサービス処理部を構築して同期処理に移行させることを特徴とする高信頼システム。
   
3. 請求項１記載の高信頼システムに於いて、前記障害処理部は、複数の処理装置からペア申入れを受けた場合、予備装置以外の空き装置を優先的に選択して装置ペアを再構築し、前記空き装置からの申入れがない場合に予備装置を選択して装置ペアを再構築することを特徴とする高信頼システム。
   
4. 請求項１記載の高信頼システムに於いて、更に、故障装置を新たな装置と交換した際に、前記内部ネットワークに対し同期用ソフトウェアの配信を要求し、ソフトウェア配信装置の割当を受けた特定のペア装置の一方から前記同期用ソフトウェアの配信を受けて前記同期処理部、障害検出部及び障害処理部を構築する初期化処理部を備えたことを特徴とする高信頼システム。
   
5. 請求項４記載の高信頼システムに於いて、前記初期化処理部により構築された前記障害処理部は、前記内部ネットワークに予備追加通知を発行し、ペア申入れのあった装置との間で予備装置ペアを構築することを特徴とする高信頼システム。
   
6. 同一機能を有する２台を一組としたペアを複数用意し、複数ペアのうち一組のペアを予備装置とし、他の一組のペアを配信装置とし、残りのペアをそれぞれ独立した通信用として用い、各ペアはペアを組んだ他方の装置と内部ネットワークを介して同期動作を行うと共に一方を主装置に他方を従装置と設定して外部ネットワークを介して情報授受を行わせるため各装置が有するコンピュータに、
   ペア毎に固有のサービスを提供するソフトウェアを実行するサービス処理ステップと、
   装置番号に対応してペア同士を示すペア番号を格納した管理テーブルを管理し、前記管理テーブルの自己と同じペア番号をもつ装置をペア相手装置と認識して同期処理を実行すると共に、前記管理テーブルに装置番号に対応したペア番号に加えて更に、外部ネットワークと接続するハブ番号、予備装置を示す予備フラグ、故障装置を示す故障フラグを格納してペアを組んだ装置間で前記サービス処理ステップによる処理を同期さる同期処理ステップと、
   ペア相手装置の障害を検出する障害検出ステップと、
   前記障害検出ステップでペア相手先装置の障害を検出した際に、内部ネットワークにペア要求を発行し、ペア申し入れのあった装置との間で装置ペアを再構築し、複数の処理装置からペア申入れを受けた場合は前記管理テーブルのペア番号とハブ番号に基づいて新たなペア相手装置を選択して装置ペアを再構築し、
   異なるハブ番号且つ同一ペア番号で且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第１ルール、
   異なるハブ番号且つ同一ペア番号の装置をペア相手装置とする第２ルール、
   異なるハブ番号且つ異なるペア番号且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第３ルール、
   異なるハブ番号且つ異なるペア番号の装置をペア相手装置とする第４ルール、及び
   同じハブ番号且つ異なるペア番号の装置をペア相手装置とする第５ルール、
   を順次適用してペア相手装置を決定して再構築する障害処理ステップと、
   を備えたことを特徴とする冗長構成制御方法。
   
7. 同一機能を有する２台を一組としたペアを複数用意し、複数ペアのうち一組のペアを予備装置とし、他の一組のペアを配信装置とし、残りのペアをそれぞれ独立した通信用として用い、各ペアはペアを組んだ他方の装置と内部ネットワークを介して同期動作を行うと共に一方を主装置に他方を従装置と設定して外部ネットワークを介して情報授受を行わせるため各装置が有するコンピュータに、
   ペア毎に固有のサービスを提供するソフトウェアを実行するサービス処理ステップと、
   装置番号に対応してペア同士を示すペア番号を格納した管理テーブルを管理し、前記管理テーブルの自己と同じペア番号をもつ装置をペア相手装置と認識して同期処理を実行すると共に、前記管理テーブルに装置番号に対応したペア番号に加えて更に、外部ネットワークと接続するハブ番号、予備装置を示す予備フラグ、故障装置を示す故障フラグを格納してペアを組んだ装置間で前記サービス処理ステップによる処理を同期さる同期処理ステップと、
   ペア相手装置の障害を検出する障害検出ステップと、
   前記障害検出ステップでペア相手先装置の障害を検出した際に、内部ネットワークにペア要求を発行し、ペア申し入れのあった装置との間で装置ペアを再構築し、複数の処理装置からペア申入れを受けた場合は前記管理テーブルのペア番号とハブ番号に基づいて新たなペア相手装置を選択して装置ペアを再構築し、
   異なるハブ番号且つ同一ペア番号で且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第１ルール、
   異なるハブ番号且つ同一ペア番号の装置をペア相手装置とする第２ルール、
   異なるハブ番号且つ異なるペア番号且つ一番最近のペアであった装置と同じハブ番号かつ同じペア番号の装置をペア相手装置とする第３ルール、
   異なるハブ番号且つ異なるペア番号の装置をペア相手装置とする第４ルール、及び
   同じハブ番号且つ異なるペア番号の装置をペア相手装置とする第５ルール、
   を順次適用してペア相手装置を決定して再構築する障害処理ステップと、
   を実行させることを特徴とするプログラム。

Images