JP2578985B2 - 二重化制御装置 - Google Patents

Description

【発明の詳細な説明】 ［産業上の利用分野］ 本発明は二重化構成で動作する通信制御装置の障害監
視方式に関し，特にシステムの性質上処理量に大きな変
動があっても確実な障害検出とリカバリを義務付けられ
た二重化制御装置の改良に関する。

［従来の技術］ 従来，この種の二重化構成による通信制御装置の障害
監視は，主に一定時間相手系からのチェック信号が途絶
えると，相手系障害を自系に通知するウォッチドッグタ
イマによって行われていた。

［発明が解決しようとする課題］ 上述したウォッチドッグタイマ等による障害監視で
は，障害確認の余地が無く，相手系より相手系障害を通
知された際に本当に障害が発生したものとして受付けざ
るを得ない。従って，ウォッチドッグタイマ等のハード
障害による誤動作や，相手系の処理量がピークに達した
ために起こる相手系からのチェック信号送出の遅延に伴
う誤動作等が発生すると，システムが正常に動作してい
るにもかかわらず，障害処理動作に移行してしまうとい
う欠点がある。

また，障害検出の方法が一つしかないため，主機がシ
ステムとして動作不能の状態に落ち入っても，副機に対
して通知されないような状態が発生した場合（ウォッチ
ドッグタイマ等のハード障害，ダイナミックループ形成
状態），システムがその機能を発揮できない状態に落ち
入ってしまうという欠点がある。

［課題を解決するための手段］ 本発明の二重化制御装置は，自系の障害を相手系に通
知するウォッチドッグタイマ手段，相手系に対し，自系
が動作していることを通知するヘルスチェック手段，自
系の障害を自系で監視するループ監視手段，自系と相手
系との間の通信機能の状態を監視する系間通信状態監視
手段，自系と相手系との間で回線の切り換えを行う回線
切換装置の監視を行う回線切換装置監視手段を有し，こ
れらの各手段により行われる異常発生の通知，及び自系
の現在の状態（現在主機であるかどうか，既に他の異常
発生の通知を受けているかどうか）を合わせて障害の判
断を行い，速やかにリカバリ処理を行うことを特徴とす
る。

［実施例］ 次に，本発明について図面を参照して説明する。第１
図は本発明の一実施例のソフトウェア及びハードウェア
の構成図であり，二重化構成にある通信制御装置10,20
の一方が主機，他方が副機として動作する。

１はウォッチドッグタイマ,2はウォッチドッグタイマ
に信号を送るタスク,3は相手系のウォッチドッグタイマ
からの割り込みを受けるハードウェア（PIO）である。

ウォッチドッグタイマ１では，ウォッチドッグタイマ
に信号を送る自系のタスク２からの信号が１秒以上途絶
えると，相手系のPIO3に対して割り込み通知を行う。な
お,PIO3は相手系ウォッチドッグタイマ１からの割込み
だけでなく，回線切換装置30からの異常割込みも合わせ
て受け取る。これらの割り込み通知は，割り込み通知を
受けるタスク４を通じて障害監視メインタスク５へと渡
される。障害監視メインタスク５には,6秒ごとにヘルス
チェックデータを相手系に送信するヘルスチェック手
段，逆に８秒間相手系からヘルスチェックデータがこな
かった場合にヘルスチェックタイムアウトするヘルスチ
ェック監視手段，他系との系間通信状態を監視する系間
通信状態監視手段，ヘルスチェックタイムアウト，系間
通信状態異常を検出した際に，相手系からのウォッチド
ッグタイマ割込みを待つガードタイマ手段等があり，各
イベント発生時には第２図のマトリックスによって障害
の判定を行う。なお，第２図中，空白部は何の処理も行
わない。

６は第１のループ監視タスクでシステム中の全アプリ
ケーションタスクの中で最高位のレベルで動作する。７
は第２のループ監視タスク７で全アプリケーションタス
クの中で最低位のレベルで動作する。８はループ監視フ
ラグである。第２のループ監視タスク７は0.5秒ごとに
ループ監視フラグ８をセットし，第１のループ監視タス
ク６は８秒ごとにループ監視フラグ８をリセットする。
この時，もし既にループ監視フラグ８がリセットされて
いた場合，システムはダイナミックループ形成状態に落
ち入っていると判断し，その機能を停止（自殺）する。

次に、本発明装置における状態遷移図である第２図を
参照して説明する。

自系が主機である場合には、状態によらずイベントの
発生に対し、副機障害か自系停止のいずれかの選択をす
る。なお、空欄は何もしないことを意味し、斜線は該当
のイベントが発生し得ないことを示す。すなわち、主機
ではガードタイマは動作しない。

一方、自系が副機の場合は、各舛目は以下を意味す
る。

『ウォッチドッグタイマ割込み中へ移行』：状態を
『ウォッチドッグタイマ割込み中』にする。

『ガードタイマスタート』：ガードタイマをセット
し、状態を『ガードタイマ動作中』にする。

『ウォッチドッグタイマ割込み中解除』：状態を『通
常時』に戻す。

『ガードタイマキャンセル』：ガードタイマをセット
し、状態を『通常時』に戻す。

第２図のマトリックスは、二重化システムが系間通信
路等の共通部の障害で両系とも相手系障害を検出してし
まうことのないよう、主機と副機の相手系障害判定条件
を変えている。具体的には、副機から見た主機障害の判
定条件を、２つの異常検出があった時ときびしくしてい
る。

例えば、状態が『副機』で、イベントが『ガードタイ
マタイムアウト』の場合には、前述したように、ヘルス
チェックのタイムアウトや系間通信状態異常のみでは主
機障害とは判定できないので、ガードタイマをセット
し、ウォッチドッグタイマの割込みを待つが、割り込み
がなかった場合は、系間通信不能な副機は二重化システ
ムの副機として成立しないため自系停止とする。

［発明の効果］ 以上説明したように本発明は，ウォッチドッグタイ
マ，ヘルスチェック手段，ループ監視手段，系間通信状
態監視手段，回線切換装置監視手段の５つの障害監視手
段の組合わせにより，より正確で迅速な障害監視を実現
できる効果がある。

以下に，本発明により障害対処がより確実になった例
の一部を挙げる。

1.主機の処理量のピーク時，及びウォッチドッグタイ
マの誤動作等による副機に対するウォッチドッグタイマ
の誤通知に対しては，副機に対して送られる次のヘルス
チェックデータ送信によってウォッチドッグタイマ割込
み中の状態が解除されるので，主機，副機の切り換えが
むやみに起こることは無い。

2.主機または副機がループ形成状態に落ち入った場合
は，ループ監視タスクにより検出されて停止するので，
相手系に確実に障害が通知され，システムとして動作続
行不能となった装置は速やかに除外される。

【図面の簡単な説明】 第１図は本発明のソフトウェア及びハードウェアの構成
図，第２図は主機，副機におけるイベント発生時の処理
を示すマトリックスである。 1:ウォッチドッグタイマ,2:タスク,3:PIO,4:タスク,5:
障害監視メインタスク,6:第１のループ監視タスク,7:第
２のループ監視タスク,8:ループ監視フラグ。

Claims (1)

(57)【特許請求の範囲】
1. 【請求項１】二重化構成で動作する通信制御装置におい
   て，各通信制御装置は，自系の障害を相手系に通知する
   ウォッチドッグタイマ手段，相手系に対し，自系が動作
   していることを通知するヘルスチェック手段，自系の障
   害を自系で監視するループ監視手段，自系と相手系との
   間の通信機能の状態を監視する系間通信状態監視手段，
   自系と相手系との間で回線の切り換えを行う回線切換装
   置の監視を行う回線切換装置監視手段を有し，これらの
   各手段により行われる異常発生の通知，及び自系の現在
   の状態を合わせて障害の判断を行い，リカバリ処理を行
   うことを特徴とする二重化制御装置。