(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024052311
(43)【公開日】2024-04-11
(54)【発明の名称】プライマリマシン及びフォールトトレラントシステム
(51)【国際特許分類】
G06F 11/20 20060101AFI20240404BHJP
G06F 9/455 20180101ALI20240404BHJP
【ＦＩ】
G06F11/20 623
G06F9/455 150
【審査請求】有
【請求項の数】7
【出願形態】ＯＬ
(21)【出願番号】P 2022158954
(22)【出願日】2022-09-30
(71)【出願人】
【識別番号】000006507
【氏名又は名称】横河電機株式会社
(74)【代理人】
【識別番号】100147485
【弁理士】
【氏名又は名称】杉村 憲司
(74)【代理人】
【識別番号】230118913
【弁護士】
【氏名又は名称】杉村 光嗣
(74)【代理人】
【識別番号】100169823
【弁理士】
【氏名又は名称】吉澤 雄郎
(74)【代理人】
【識別番号】100195534
【弁理士】
【氏名又は名称】内海 一成
(72)【発明者】
【氏名】吉田 善貴
(72)【発明者】
【氏名】戸井永 剛
【テーマコード（参考）】
5B034
【Ｆターム（参考）】
5B034BB02
(57)【要約】
【課題】障害の種類によって制御の切り替えが判断されるプライマリマシン及びフォールトトレラントシステムを提供する。
【解決手段】プライマリマシン１００は、命令と命令の実行結果とに基づく同期情報を生成して出力する同期情報生成部１２４と、命令の実行時に発生した障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるか判定する障害選択部１２８とを有するプライマリＶＭ１２０を備える。プライマリＶＭ１２０は、障害情報の種類の判定結果によって動作を変更する。
【選択図】図４
【解決手段】プライマリマシン１００は、命令と命令の実行結果とに基づく同期情報を生成して出力する同期情報生成部１２４と、命令の実行時に発生した障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるか判定する障害選択部１２８とを有するプライマリＶＭ１２０を備える。プライマリＶＭ１２０は、障害情報の種類の判定結果によって動作を変更する。
【選択図】図４
【特許請求の範囲】
【請求項1】
命令と前記命令の実行結果とに基づく同期情報を生成して出力する同期情報生成部と、前記命令の実行時に発生した障害情報の種類を判定する障害選択部とを有するプライマリバーチャルマシン
を備え、
前記プライマリバーチャルマシンは、前記障害情報の種類の判定結果に基づいて動作を変更する、プライマリマシン。
を備え、
前記プライマリバーチャルマシンは、前記障害情報の種類の判定結果に基づいて動作を変更する、プライマリマシン。
【請求項2】
前記障害選択部は、前記障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるか判定し、
前記プライマリバーチャルマシンは、前記障害情報が前記ソフトウェア障害に関する情報である場合、前記プライマリバーチャルマシンで動作させているアプリケーションによるエラー処理の実行の決定、又は、前記アプリケーションに前記エラー処理を実行させる指示の少なくとも１つを実行する、請求項１に記載のプライマリマシン。
前記プライマリバーチャルマシンは、前記障害情報が前記ソフトウェア障害に関する情報である場合、前記プライマリバーチャルマシンで動作させているアプリケーションによるエラー処理の実行の決定、又は、前記アプリケーションに前記エラー処理を実行させる指示の少なくとも１つを実行する、請求項１に記載のプライマリマシン。
【請求項3】
前記障害選択部は、前記障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるかの判定の確度を決定し、
前記プライマリバーチャルマシンは、前記判定の確度に更に基づいて動作を変更する、請求項２に記載のプライマリマシン。
前記プライマリバーチャルマシンは、前記判定の確度に更に基づいて動作を変更する、請求項２に記載のプライマリマシン。
【請求項4】
前記障害選択部は、前記障害情報としてシステムコールの返り値又はエラー内容を取得し、前記システムコールの返り値又はエラー内容にハードウェア障害又はソフトウェア障害のいずれに対応するかを特定するリストに基づいて、前記障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるか判定する、請求項２に記載のプライマリマシン。
【請求項5】
請求項１から４までのいずれか一項に記載のプライマリマシンと、
前記同期情報に基づいて前記命令を実行するセカンダリバーチャルマシンを有するセカンダリマシンと
を備える、フォールトトレラントシステム。
前記同期情報に基づいて前記命令を実行するセカンダリバーチャルマシンを有するセカンダリマシンと
を備える、フォールトトレラントシステム。
【請求項6】
前記障害選択部は、前記障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるか判定し、
前記プライマリバーチャルマシンは、
前記障害情報が前記ハードウェア障害に関する情報であると判定される場合、前記セカンダリバーチャルマシンに制御を切り替え、
前記障害情報が前記ソフトウェア障害に関する情報であると判定される場合、前記セカンダリバーチャルマシンに制御を切り替えない、
請求項５に記載のフォールトトレラントシステム。
前記プライマリバーチャルマシンは、
前記障害情報が前記ハードウェア障害に関する情報であると判定される場合、前記セカンダリバーチャルマシンに制御を切り替え、
前記障害情報が前記ソフトウェア障害に関する情報であると判定される場合、前記セカンダリバーチャルマシンに制御を切り替えない、
請求項５に記載のフォールトトレラントシステム。
【請求項7】
前記障害選択部は、前記障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるかの判定の確度を決定し、
前記プライマリバーチャルマシンは、前記判定の確度に更に基づいて、前記セカンダリバーチャルマシンに制御を切り替えるか決定する、請求項６に記載のフォールトトレラントシステム。
前記プライマリバーチャルマシンは、前記判定の確度に更に基づいて、前記セカンダリバーチャルマシンに制御を切り替えるか決定する、請求項６に記載のフォールトトレラントシステム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、プライマリマシン及びフォールトトレラントシステムに関する。
【背景技術】
【0002】
従来、低負荷で動作できるフォールトトレラントシステムが知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０２１－１５２８０２号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
フォールトトレラントシステムにおいて、プライマリマシンは、プライマリマシンにおいて発生した障害がセカンダリマシンに制御を切り替えても解決しない場合、制御を切り替えずにプライマリマシンで障害を解決する必要がある。障害が発生したときに自動的に制御を切り替えずに必要な場合にだけ制御を切り替えることが求められる。
【0005】
本開示は、上述の点に鑑みてなされたものであり、障害の種類によって制御の切り替えを判断するプライマリマシン及びフォールトトレラントシステムを提供することを目的とする。
【課題を解決するための手段】
【0006】
幾つかの実施形態に係る（１）プライマリマシンは、命令と前記命令の実行結果とに基づく同期情報を生成して出力する同期情報生成部と、命令の実行時に発生した障害情報の種類を判定する障害選択部とを有するプライマリバーチャルマシンを備える。前記プライマリバーチャルマシンは、前記障害情報の種類の判定結果に基づいて動作を変更する。このようにすることで、例えば制御を切り替えても解消しないエラーが発生した場合に不要な切り替えが回避される。その結果、障害の種類によって制御の切り替えが判断される。
【0007】
（２）上記（１）のプライマリマシンにおいて、前記障害選択部は、前記障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるか判定してよい。前記プライマリバーチャルマシンは、前記障害情報が前記ソフトウェア障害に関する情報である場合、前記プライマリバーチャルマシンで動作させているアプリケーションによるエラー処理の実行の決定、前記アプリケーションのエラー処理の実行、又は、前記アプリケーションに対するエラー処理の指示の少なくとも１つを実行してよい。このようにすることで、制御を切り替えずに障害が解消される。その結果、不要な制御の切り替えが回避される。
【0008】
（３）上記（２）のプライマリマシンにおいて、前記障害選択部は、前記障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるかの判定の確度を決定してよい。前記プライマリバーチャルマシンは、前記判定の確度に更に基づいて動作を変更してよい。このようにすることで、制御の切り替えの判断の精度が向上する。その結果、不要な制御の切り替えが回避される。
【0009】
（４）上記（２）又は（３）のプライマリマシンにおいて、前記障害選択部は、前記障害情報としてシステムコールの返り値又はエラー内容を取得してよい。前記障害選択部は、前記システムコールの返り値又はエラー内容にハードウェア障害又はソフトウェア障害のいずれに対応するかを特定するリストに基づいて、前記障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるか判定してよい。このようにすることで、簡便に障害の種別が判定される。その結果、障害の種類によって制御の切り替えが判断される。
【0010】
幾つかの実施形態に係る（５）フォールトトレラントシステムは、上記（１）から（４）までのいずれか１つのプライマリマシンと、前記同期情報に基づいて前記命令を実行するセカンダリバーチャルマシンを有するセカンダリマシンとを備えてよい。このようにすることで、プライマリマシンに障害が発生した場合でもセカンダリマシンで動作が継続される。その結果、フォールトトレラントシステム全体として処理が継続される。
【0011】
（６）上記（５）のフォールトトレラントシステムにおいて、前記障害選択部は、前記障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるか判定してよい。前記プライマリバーチャルマシンは、前記障害情報が前記ハードウェア障害に関する情報であると判定される場合、前記セカンダリバーチャルマシンに制御を切り替えてよい。前記プライマリバーチャルマシンは、前記障害情報が前記ソフトウェア障害に関する情報であると判定される場合、前記セカンダリバーチャルマシンに制御を切り替えなくてよい。このようにすることで、例えば制御を切り替えても解消しないエラーが発生した場合に不要な切り替えが回避される。その結果、障害の種類によって制御の切り替えが判断される。
【0012】
（７）上記（６）のフォールトトレラントシステムにおいて、前記障害選択部は、前記障害情報がハードウェア障害又はソフトウェア障害のどちらに関する情報であるかの判定の確度を決定してよい。前記プライマリバーチャルマシンは、前記判定の確度に更に基づいて、前記セカンダリバーチャルマシンに制御を切り替えるか決定してよい。このようにすることで、制御の切り替えの判断の精度が向上する。その結果、不要な制御の切り替えが回避される。
【発明の効果】
【0013】
本開示によれば、障害の種類によって制御の切り替えが判断されるプライマリマシン及びフォールトトレラントシステムが提供される。
【図面の簡単な説明】
【0014】
【図1】比較例に係るフォールトトレラントシステムを示すブロック図である。
【図2】一実施形態に係るフォールトトレラントシステムの構成例を示すブロック図である。
【図3】バイトコードを実行する手順の一例を示すフローチャートである。
【図4】一実施形態に係る制御方法の手順例を示すフローチャートである。
【発明を実施するための形態】
【0015】
（比較例）
図１に示されるように、比較例に係るフォールトトレラントシステム９は、プライマリマシン８００と、セカンダリマシン９００とを備える。プライマリマシン８００及びセカンダリマシン９００は、ネットワーク３００を介して通信可能に接続される。プライマリマシン８００とセカンダリマシン９００とは、両方とも同じ処理を実行する。プライマリマシン８００に障害が発生した場合、セカンダリマシン９００が処理を引き継ぐ。このようにすることで、フォールトトレラントシステム９全体として、処理が継続される。
図１に示されるように、比較例に係るフォールトトレラントシステム９は、プライマリマシン８００と、セカンダリマシン９００とを備える。プライマリマシン８００及びセカンダリマシン９００は、ネットワーク３００を介して通信可能に接続される。プライマリマシン８００とセカンダリマシン９００とは、両方とも同じ処理を実行する。プライマリマシン８００に障害が発生した場合、セカンダリマシン９００が処理を引き継ぐ。このようにすることで、フォールトトレラントシステム９全体として、処理が継続される。
【0016】
プライマリマシン８００は、ハードウェア８４０を備え、ハードウェア８４０上でプライマリＯＳ（Operating System）８３０又はハイパーバイザを動作させる。プライマリマシン８００は、プライマリＯＳ８３０上又はハイパーバイザ上でプライマリＶＭ（Virtual Machine）８２０を動作させる。プライマリＶＭ８２０は、同期情報生成部８２４と、障害検知部８２６とを含む。プライマリマシン８００は、プライマリＶＭ８２０上でアプリケーション８１０を動作させる。
【0017】
セカンダリマシン９００は、ハードウェア９４０を備え、ハードウェア９４０上でセカンダリＯＳ９３０又はハイパーバイザを動作させる。セカンダリマシン９００は、セカンダリＯＳ９３０上又はハイパーバイザ上でセカンダリＶＭ９２０を動作させる。セカンダリＶＭ９２０は、同期実行部９２４と、障害検知部９２６とを含む。セカンダリマシン９００は、セカンダリＶＭ９２０上で、アプリケーション９１０を動作させる。
【0018】
プライマリマシン８００及びセカンダリマシン９００は、アプリケーション８１０及びアプリケーション９１０の処理が同じ処理となるように、アプリケーション８１０及びアプリケーション９１０を動作させる。このようにすることで、プライマリマシン８００に障害が発生した場合、セカンダリマシン９００が処理を引き継ぐことができる。アプリケーション８１０及び９１０は、区別されない場合、単にアプリケーションと称される。
【0019】
ハードウェア８４０は、ＣＰＵ（Central Processing Unit）と、メモリと、ＮＩＣ（Network Interface Controller）とを備える。ハードウェア９４０は、ＣＰＵと、メモリと、ＮＩＣとを備える。ハードウェア８４０及び９４０は、区別されない場合、単にハードウェアと称される。
【0020】
ＣＰＵは、１つ以上のプロセッサで構成されてよい。プロセッサは、所定のプログラムを実行することによって、種々の機能を実現してよい。プロセッサは、メモリからプログラムを取得してもよいし、ネットワーク３００からプログラムを取得してもよい。
【0021】
メモリは、例えば半導体メモリ等で構成されてよいし、磁気ディスク等の記憶媒体で構成されてもよい。メモリは、ＣＰＵのワークメモリとして機能してよい。メモリは、ＣＰＵに含まれてもよい。
【0022】
ＮＩＣは、ＬＡＮ（Local Area Network）等の通信インタフェースを含んで構成されてよい。
【0023】
プライマリＶＭ８２０は、同期情報生成部８２４と、障害検知部８２６とを備える。同期情報生成部８２４は、プライマリＶＭ８２０におけるアプリケーション８１０の実行状況をセカンダリＶＭ９２０に伝えるための同期情報を生成し、セカンダリＶＭ９２０に送信する。障害検知部８２６は、ハードウェア８４０で発生したハードウェア障害（ＨＷ障害）又はプライマリＯＳ８３０で発生したソフトウェア障害（ＳＷ障害）を検知する。
【0024】
セカンダリＶＭ９２０は、同期実行部９２４と、障害検知部９２６とを備える。同期実行部９２４は、プライマリＶＭ８２０から同期情報を受信し、プライマリＶＭ８２０におけるアプリケーション８１０の実行状況に同期してアプリケーション９１０を実行する。障害検知部９２６は、ハードウェア９４０で発生したハードウェア障害（ＨＷ障害）又はプライマリＯＳ９３０で発生したソフトウェア障害（ＳＷ障害）を検知する。
【0025】
プライマリＶＭ８２０は、プライマリＯＳ８３０上で動作する。セカンダリＶＭ９２０は、セカンダリＯＳ９３０上で動作する。プライマリＯＳ８３０の機能はハードウェア８４０によって実現される。セカンダリＯＳ９３０の機能はハードウェア９４０によって実現される。プライマリＯＳ８３０は、プライマリＶＭ８２０にアプリケーション８１０の処理を実行させる。セカンダリＯＳ９３０は、セカンダリＶＭ９２０にアプリケーション９１０の処理を実行させる。
【0026】
アプリケーションが命令を実行して動作結果を取得するまでの動作の流れの一例が説明される。プライマリマシン８００において、アプリケーション８１０はプライマリＶＭ８２０に命令を出力する。プライマリＶＭ８２０を動作させているプライマリＯＳ８３０は、プライマリＶＭ８２０から命令を受け取る。プライマリＯＳ８３０は、受け取った命令をハードウェア８４０が実行可能な形式に変換してハードウェア８４０に命令を実行させ、ハードウェア８４０の動作結果を取得する。プライマリＶＭ８２０は、プライマリＯＳ８３０で取得した動作結果をアプリケーション８１０に出力する。以上の動作によって、アプリケーション８１０は命令に応じた動作結果を取得できる。
【0027】
プライマリマシン８００において、プライマリＶＭ８２０の同期情報生成部８２４は、命令と動作結果とを含む同期情報を生成し、セカンダリマシン９００の同期実行部９２４に出力する。セカンダリマシン９００において、同期実行部９２４が取得した同期情報に基づいてアプリケーション９１０が命令をセカンダリＶＭ９２０に出力する。セカンダリＶＭ９２０を動作させているセカンダリＯＳ９３０は、セカンダリＶＭ９２０から命令を受け取る。セカンダリＯＳ９３０は、受け取った命令をハードウェア９４０が実行可能な形式に変換してハードウェア９４０に命令を実行させ、ハードウェア９４０の動作結果を取得する。セカンダリＶＭ９２０は、セカンダリＯＳ９３０で取得した動作結果をアプリケーション９１０に出力する。以上の動作によって、セカンダリマシン９００において、アプリケーション９１０は同期情報に基づいてプライマリマシン８００のアプリケーション８１０と同じ命令を実行して動作結果を取得できる。
【0028】
プライマリマシン８００において、プライマリＶＭ８２０は、ハードウェア８４０で発生したハードウェア障害及びプライマリＯＳ８３０で発生したソフトウェア障害を、障害検知部８２６によって検知する。同様に、セカンダリマシン９００において、セカンダリＶＭ９２０は、ハードウェア９４０で発生したハードウェア障害及びセカンダリＯＳ９３０で発生したソフトウェア障害を、障害検知部９２６によって検知する。
【0029】
比較例に係るフォールトトレラントシステム９は、プライマリマシン８００において障害が発生した場合、発生した障害がハードウェア障害であるかソフトウェア障害であるかにかかわらず、セカンダリマシン９００に制御を切り替える。発生した障害がハードウェア障害である場合、セカンダリマシン９００で同じハードウェア障害が発生している可能性が低い。したがって、フォールトトレラントシステム９は、セカンダリマシン９００に制御を切り替えることによって、プライマリマシン８００の障害を回避して全体としての動作を継続できる。
【0030】
一方で、発生した障害がソフトウェア障害である場合、セカンダリマシン９００はプライマリマシン８００と同じ処理を実行しているので、セカンダリマシン９００においても同じソフトウェア障害が発生する可能性が高い。したがって、フォールトトレラントシステム９は、セカンダリマシン９００に制御を切り替えた後でも、障害を回避できない可能性がある。ソフトウェア障害が発生した場合、フォールトトレラントシステム９のプライマリマシン８００は、制御を切り替えずにアプリケーション８１０で障害を解決する必要がある。つまり、フォールトトレラントシステム９及びプライマリマシン８００において、障害の種類によって制御の切り替えが判断されないことがある。
【0031】
【0032】
（実施形態）
図２に示されるように、本開示の一実施形態に係るフォールトトレラントシステム１は、プライマリマシン１００と、セカンダリマシン２００とを備える。プライマリマシン１００とセカンダリマシン２００とは、ネットワーク３００を介して通信可能に接続される。プライマリマシン１００とセカンダリマシン２００とは、両方とも同じ処理を実行する。プライマリマシン１００に障害が発生した場合、セカンダリマシン２００が処理を引き継ぐ。このようにすることで、フォールトトレラントシステム１全体として、処理が継続される。
図２に示されるように、本開示の一実施形態に係るフォールトトレラントシステム１は、プライマリマシン１００と、セカンダリマシン２００とを備える。プライマリマシン１００とセカンダリマシン２００とは、ネットワーク３００を介して通信可能に接続される。プライマリマシン１００とセカンダリマシン２００とは、両方とも同じ処理を実行する。プライマリマシン１００に障害が発生した場合、セカンダリマシン２００が処理を引き継ぐ。このようにすることで、フォールトトレラントシステム１全体として、処理が継続される。
【0033】
＜構成例＞
プライマリマシン１００は、ハードウェア１４０を備え、ハードウェア１４０上でプライマリＯＳ１３０を動作させる。プライマリマシン１００は、プライマリＯＳ１３０上でプライマリＶＭ１２０（プライマリバーチャルマシン）を動作させる。プライマリマシン１００は、プライマリＶＭ１２０上でアプリケーション１１０を動作させる。アプリケーション１１０は、ＳＷ障害検知部１１６を有する。
プライマリマシン１００は、ハードウェア１４０を備え、ハードウェア１４０上でプライマリＯＳ１３０を動作させる。プライマリマシン１００は、プライマリＯＳ１３０上でプライマリＶＭ１２０（プライマリバーチャルマシン）を動作させる。プライマリマシン１００は、プライマリＶＭ１２０上でアプリケーション１１０を動作させる。アプリケーション１１０は、ＳＷ障害検知部１１６を有する。
【0034】
セカンダリマシン２００は、ハードウェア２４０を備え、ハードウェア２４０上でセカンダリＯＳ２３０を動作させる。セカンダリマシン２００は、セカンダリＯＳ２３０上でセカンダリＶＭ２２０（セカンダリバーチャルマシン）を動作させる。セカンダリマシン２００は、セカンダリＶＭ２２０上で、アプリケーション２１０を動作させる。アプリケーション２１０は、ＳＷ障害検知部２１６を有する。
【0035】
プライマリマシン１００及びセカンダリマシン２００は、アプリケーション１１０及びアプリケーション２１０の処理が同じ処理となるように、アプリケーション１１０及びアプリケーション２１０を動作させる。このようにすることで、プライマリマシン１００に障害が発生した場合、セカンダリマシン２００が処理を引き継ぐことができる。アプリケーション１１０及び２１０は、区別されない場合、単にアプリケーションと称される。
【0036】
ハードウェア１４０は、ＣＰＵと、メモリと、ＮＩＣとを備える。ハードウェア２４０は、ＣＰＵと、メモリと、ＮＩＣとを備える。ハードウェア１４０及び２４０は、区別されない場合、単にハードウェアと称される。
【0037】
ＣＰＵは、１つ以上のプロセッサで構成されてよい。プロセッサは、所定のプログラムを実行することによって、種々の機能を実現してよい。プロセッサは、メモリからプログラムを取得してもよいし、ネットワーク３００からプログラムを取得してもよい。
【0038】
メモリは、例えば半導体メモリ等で構成されてよいし、磁気ディスク等の記憶媒体で構成されてもよい。メモリは、ＣＰＵのワークメモリとして機能してよい。メモリは、ＣＰＵに含まれてもよい。
【0039】
ＮＩＣは、ＬＡＮ等の通信インタフェースを含んで構成されてよい。
【0040】
プライマリＶＭ１２０は、同期情報生成部１２４と、ＨＷ障害検知部１２６と、障害選択部１２８とを備える。同期情報生成部１２４は、プライマリＶＭ１２０におけるアプリケーション１１０の実行状況をセカンダリＶＭ２２０に伝えるための同期情報を生成し、セカンダリＶＭ２２０に送信する。ＨＷ障害検知部１２６は、プライマリマシン１００で発生したハードウェア障害（ＨＷ障害）を検知する。障害選択部１２８は、ハードウェア１４０で発生したハードウェア障害に関する情報をＨＷ障害検知部１２６に出力し、プライマリＯＳ１３０で発生したソフトウェア障害（ＳＷ障害）に関する情報をアプリケーション１１０に出力する。
【0041】
セカンダリＶＭ２２０は、同期実行部２２４と、ＨＷ障害検知部２２６と、障害選択部２２８とを備える。同期実行部２２４は、プライマリＶＭ１２０から同期情報を受信し、プライマリＶＭ１２０におけるアプリケーション１１０の実行状況に同期してアプリケーション２１０を実行する。
【0042】
＜アプリケーションの動作例＞
プライマリＶＭ１２０は、プライマリＯＳ１３０上で動作する。セカンダリＶＭ２２０は、セカンダリＯＳ２３０上で動作する。プライマリＶＭ１２０及びセカンダリＶＭ２２０は、ＶＭと総称される。プライマリＯＳ１３０及びセカンダリＯＳ２３０は、ＯＳと総称される。つまり、ＶＭは、ＯＳ上で動作する。ＯＳ及びＶＭの機能は、ＣＰＵを含むハードウェアによって実現される。
プライマリＶＭ１２０は、プライマリＯＳ１３０上で動作する。セカンダリＶＭ２２０は、セカンダリＯＳ２３０上で動作する。プライマリＶＭ１２０及びセカンダリＶＭ２２０は、ＶＭと総称される。プライマリＯＳ１３０及びセカンダリＯＳ２３０は、ＯＳと総称される。つまり、ＶＭは、ＯＳ上で動作する。ＯＳ及びＶＭの機能は、ＣＰＵを含むハードウェアによって実現される。
【0043】
プライマリＯＳ１３０は、プライマリＶＭ１２０にアプリケーション１１０の処理を実行させる。セカンダリＯＳ２３０は、セカンダリＶＭ２２０にアプリケーション２１０の処理を実行させる。つまり、ＯＳは、ＶＭにアプリケーション１１０及び２１０の処理を実行させる。
【0044】
アプリケーションが命令を実行して動作結果を取得するまでの動作の流れの一例が説明される。プライマリマシン１００において、アプリケーション１１０はプライマリＶＭ１２０に命令を出力する。プライマリＶＭ１２０を動作させているプライマリＯＳ１３０は、プライマリＶＭ１２０から命令を受け取る。プライマリＯＳ１３０は、受け取った命令をハードウェア１４０が実行可能な形式に変換してハードウェア１４０に命令を実行させ、ハードウェア１４０の動作結果を取得する。プライマリＶＭ１２０は、プライマリＯＳ１３０で取得した動作結果をアプリケーション１１０に出力する。以上の動作によって、アプリケーション１１０は命令に応じた動作結果を取得できる。
【0045】
プライマリマシン１００において、プライマリＶＭ１２０の同期情報生成部１２４は、命令と動作結果とを含む同期情報を生成し、セカンダリマシン２００の同期実行部２２４に出力する。セカンダリマシン２００において、同期実行部２２４が取得した同期情報に基づいてアプリケーション２１０が命令をセカンダリＶＭ２２０に出力する。セカンダリＶＭ２２０を動作させているセカンダリＯＳ２３０は、セカンダリＶＭ２２０から命令を受け取る。セカンダリＯＳ２３０は、受け取った命令をハードウェア２４０が実行可能な形式に変換してハードウェア２４０に命令を実行させ、ハードウェア２４０の動作結果を取得する。セカンダリＶＭ２２０は、セカンダリＯＳ２３０で取得した動作結果をアプリケーション２１０に出力する。以上の動作によって、セカンダリマシン２００において、アプリケーション２１０は同期情報に基づいてプライマリマシン１００のアプリケーション１１０と同じ命令を実行して動作結果を取得できる。
【0046】
ＶＭは、Ｊａｖａ（登録商標）又は．Ｎｅｔ等のプログラミング言語において、Ｒｕｎｔｉｍｅとも呼ばれる。ＶＭは、汎用のプログラミング言語処理系として実現されてよい。汎用のプログラミング言語処理系は、例えば、ｍｒｕｂｙ又はＭｉｃｒｏ Ｐｙｔｈｏｎ等を含んでよい。ｍｒｕｂｙは、組み込みシステム向けの軽量なＲｕｂｙ言語処理系であり、省メモリの環境でも動作できる。Ｒｕｂｙの処理系は、主にインタプリタとして実装される。ソースコードは、プログラムの実行時又はプログラムの実行前にバイトコードにコンパイルされる。インタプリタは、バイトコードを１命令ずつ実行する。
【0047】
プライマリＶＭ１２０及びセカンダリＶＭ２２０は、各バイトコードを同じ命令アドレスに格納する。プライマリＶＭ１２０及びセカンダリＶＭ２２０は、同じ命令アドレスからバイトコードを取得し、バイトコードに対応する動作を実行する。バイトコードに対応する動作を実行することは、バイトコードを実行するともいう。プライマリＶＭ１２０は、同期情報生成部１２４にバイトコードを実行させてよい。セカンダリＶＭ２２０は、同期実行部２２４にバイトコードを実行させてよい。プライマリＶＭ１２０及びセカンダリＶＭ２２０は、１つのバイトコードに対応する動作を実行する毎に同期をとる。プライマリＶＭ１２０及びセカンダリＶＭ２２０は、１つのバイトコードに対応する動作を実行して同期をとった後、次のバイトコードに対応する動作を実行する。このようにすることで、プライマリＶＭ１２０及びセカンダリＶＭ２２０は、互いに同期をとりながら処理を進めることができる。
【0048】
バイトコードが外部から入力されるデータを取得したり外部にデータを出力したりする動作に対応する場合、プライマリＶＭ１２０だけが実際に外部との間でデータの入出力を実行する。一方で、セカンダリＶＭ２２０は、実際に外部との間でデータの入出力を実行しない。
【0049】
バイトコードが外部から入力されるデータを取得する動作に対応する場合、セカンダリＶＭ２２０は、外部から入力されるデータを取得する代わりに、プライマリＶＭ１２０に対して外部から入力されたデータを、プライマリＶＭ１２０から取得する。バイトコードが外部にデータを出力する動作に対応する場合、セカンダリＶＭ２２０は、そのバイトコードの実行をスキップする。
【0050】
プライマリＶＭ１２０は、１つのバイトコードを実行する毎に、セカンダリＶＭ２２０に対して同期情報を送信する。同期情報は、バイトコードが格納されている命令アドレス、又は、プライマリＶＭ１２０に対して外部から入力されたデータを含んでよい。同期情報は、実行した命令数を表す情報を含んでもよい。同期情報は、プライマリＶＭ１２０が実行したバイトコードを特定する情報を含んでもよい。
【0051】
セカンダリＶＭ２２０は、プライマリＶＭ１２０から同期情報を受信し、同期情報に基づいてバイトコードの処理を進める。セカンダリＶＭ２２０は、プライマリＶＭ１２０から受信した命令アドレス又は実行した命令数に一致するバイトコードの処理を進める。セカンダリＶＭ２２０は、１つのバイトコードの処理の終了後、次の同期情報をプライマリＶＭ１２０から受信するまで、処理を中断する。
【0052】
プライマリＶＭ１２０及びセカンダリＶＭ２２０は、上述のように同期情報を送受信することによって、バイトコードの処理を同期して進めることができる。
【0053】
ｍｒｕｂｙは、ＶＭの省メモリ化を実現するために、処理を簡略化してＶＭのプログラムサイズを小さくしている。処理を簡略化するための機能の一つは、プログラム処理のシングルスレッド化である。シングルスレッド化は、複数の命令を同時に並列で実行しないとともに、外部からの割り込みによって処理を中断しないように構成されることを意味する。外部からの割り込みによって処理が中断されないことによって、複雑なタイミング調整機能が不要になる。その結果、処理が簡略化される。
【0054】
ここで、ＶＭのレベルでは外部からの割り込みが発生しないとしても、ＯＳのレベルでは外部からの割り込みが発生することがある。したがって、ＶＭでバイトコードを実行している間に外部からの割り込みが発生することがある。しかし、外部からの割り込みによってバイトコードの実行結果は変化しない。
【0055】
プライマリＶＭ１２０の同期情報生成部１２４は、プライマリＶＭ１２０におけるバイトコードの実行に伴って、実行したバイトコードの命令アドレス又は実行命令数を取得する。同期情報生成部１２４は、プライマリＶＭ１２０が外部から入力されたデータを取得した場合、そのデータを取得する。同期情報生成部１２４は、取得した命令アドレス若しくは実行命令数又は外部から入力されたデータを含む同期情報を生成し、セカンダリＶＭ２２０に送信する。外部から入力されたデータを取得する命令は、入力命令とも称される。同期情報生成部１２４は、バイトコードとして入力命令を実行することによって外部から入力されたデータを同期情報として出力する。
【0056】
また、同期情報生成部１２４は、セカンダリＶＭ２２０に同期情報を送信した後、セカンダリＶＭ２２０から応答通知を受信するまで、プライマリＶＭ１２０に次のバイトコードを実行させないようにする。言い換えれば、同期情報生成部１２４は、セカンダリＶＭ２２０から応答通知を受信した場合、プライマリＶＭ１２０が次のバイトコードを実行することを許可する。
【0057】
セカンダリＶＭ２２０の同期実行部２２４は、プライマリＶＭ１２０の同期情報生成部１２４から同期情報を受信する。同期実行部２２４は、受信した同期情報に基づいて、セカンダリＶＭ２２０におけるバイトコードの実行を制御する。例えば、同期実行部２２４は、同期情報に含まれる命令アドレスに格納されているバイトコードをセカンダリＶＭ２２０に実行させてよい。同期実行部２２４は、同期情報に含まれる実行命令数に一致するようにバイトコードをセカンダリＶＭ２２０に実行させてよい。
【0058】
同期実行部２２４は、セカンダリＶＭ２２０で次に実行されるバイトコードが外部から入力されるデータを取得する動作に対応する場合、セカンダリＶＭ２２０にそのバイトコードの実行をスキップさせる。この場合、同期情報は、外部から入力されたデータを含む。セカンダリＶＭ２２０は、同期情報に含まれる外部から入力されたデータを、スキップしたバイトコードの実行結果として得られたデータとみなして、次のバイトコードの処理に進む。同期情報が外部から入力されたデータを含むことによって、セカンダリマシン２００が外部と通信しなくてもよくなる。このようにすることで、フォールトトレラントシステム１の負荷が軽減される。その結果、低負荷で動作できるフォールトトレラントシステム１が実現される。
【0059】
＜プログラムの一例＞
ここで、ｍｒｕｂｙのプログラムとして、外部から文字列を取得し、取得した文字列に別の文字列を連結し、連結した文字列を外部に出力するプログラムが例として説明される。２つの文字列は、Ｘ及びＹと表されるとする。このプログラムは、以下の４つのバイトコードにコンパイルされてよい。コードＡ、Ｂ、Ｃ及びＤはそれぞれ１命令に対応する。
コードＡ：ＶＭは、第１レジスタに文字列定数「Ｘ」を代入する。
コードＢ：ＶＭは、外部から入力されたデータとして文字列を取得し、第２レジスタに代入する。本プログラム例において、文字列として「Ｙ」が取得される。
コードＣ：ＶＭは、第１レジスタの文字列と第２レジスタの文字列とを連結し、連結した文字列を第１レジスタに代入する。
コードＤ：ＶＭは、第１レジスタの文字列を外部に出力する。
ここで、ｍｒｕｂｙのプログラムとして、外部から文字列を取得し、取得した文字列に別の文字列を連結し、連結した文字列を外部に出力するプログラムが例として説明される。２つの文字列は、Ｘ及びＹと表されるとする。このプログラムは、以下の４つのバイトコードにコンパイルされてよい。コードＡ、Ｂ、Ｃ及びＤはそれぞれ１命令に対応する。
コードＡ：ＶＭは、第１レジスタに文字列定数「Ｘ」を代入する。
コードＢ：ＶＭは、外部から入力されたデータとして文字列を取得し、第２レジスタに代入する。本プログラム例において、文字列として「Ｙ」が取得される。
コードＣ：ＶＭは、第１レジスタの文字列と第２レジスタの文字列とを連結し、連結した文字列を第１レジスタに代入する。
コードＤ：ＶＭは、第１レジスタの文字列を外部に出力する。
【0060】
プライマリマシン１００及びセカンダリマシン２００が上述のバイトコードを同期させながら実行する構成が説明される。
【0061】
プライマリマシン１００及びセカンダリマシン２００は、ネットワーク３００を介して外部機器と通信可能に接続される。プライマリマシン１００は、外部機器から入力データを取得する。プライマリマシン１００は、外部機器に出力データを出力する。プライマリマシン１００は、セカンダリマシン２００に同期情報を送信する。プライマリマシン１００は、外部機器から入力データを取得した場合、入力データを含む同期情報をセカンダリマシン２００に出力する。
【0062】
仮にプライマリマシン１００で障害が発生した場合、セカンダリマシン２００がバイトコードの実行を継続できる。セカンダリマシン２００は、プライマリマシン１００が動作している間、外部機器と通信しないものの、プライマリマシン１００が障害で停止した場合、外部機器と通信してデータを入出力できる。
【0063】
プライマリＶＭ１２０及びセカンダリＶＭ２２０は、図３に示される手順で、上述のバイトコードを実行する。
【0064】
プライマリＶＭ１２０は、コードＡを実行する（ステップＳ１１）。プライマリＶＭ１２０は、コードＡに対応する動作として、第１レジスタに文字列定数「Ｘ」を代入する。プライマリＶＭ１２０は、ステップＳ１１の手順でコードＡを実行した後、同期情報ＡをセカンダリＶＭ２２０に送信する。なお、文字列定数「Ｘ」は、コードＡに含まれているので同期情報Ａに含まれない。
【0065】
セカンダリＶＭ２２０は、プライマリＶＭ１２０から同期情報Ａを受信した場合、同期情報Ａに基づいてコードＡを実行する（ステップＳ２１）。セカンダリＶＭ２２０は、コードＡに対応する動作として、第１レジスタに文字列定数「Ｘ」を代入する。セカンダリＶＭ２２０は、ステップＳ２１の手順でコードＡを実行した後、コードＡの実行を完了したことを表す応答をプライマリＶＭ１２０に送信する。
【0066】
プライマリＶＭ１２０は、セカンダリＶＭ２２０から応答を受信した場合、次のバイトコードであるコードＢを実行する（ステップＳ１２）。プライマリＶＭ１２０は、コードＢに対応する動作として、外部機器から入力データとして文字列「Ｙ」を取得し、第２レジスタに代入する。プライマリＶＭ１２０は、ステップＳ１２の手順でコードＢを実行した後、外部機器からの入力データである文字列「Ｙ」を含む同期情報ＢをセカンダリＶＭ２２０に送信する。
【0067】
セカンダリＶＭ２２０は、プライマリＶＭ１２０から同期情報Ｂを受信した場合、同期情報Ｂに基づいてコードＢを実行する（ステップＳ２２）。セカンダリＶＭ２２０は、コードＢに対応する動作として、外部機器から入力データを取得する代わりに、同期情報Ｂに含まれる文字列「Ｙ」を第２レジスタに代入する。セカンダリＶＭ２２０は、ステップＳ２２の手順でコードＢを実行した後、コードＢの実行を完了したことを表す応答をプライマリＶＭ１２０に送信する。
【0068】
プライマリＶＭ１２０は、セカンダリＶＭ２２０から応答を受信した場合、次のバイトコードであるコードＣを実行する（ステップＳ１３）。プライマリＶＭ１２０は、コードＣに対応する動作として、第１レジスタの文字列と第２レジスタの文字列とを連結し、連結した文字列を第１レジスタに代入する。この場合、第１レジスタに代入された文字列は「ＸＹ」となっている。プライマリＶＭ１２０は、ステップＳ１３の手順でコードＣを実行した後、同期情報ＣをセカンダリＶＭ２２０に送信する。
【0069】
セカンダリＶＭ２２０は、プライマリＶＭ１２０から同期情報Ｃを受信した場合、同期情報Ｃに基づいてコードＣを実行する（ステップＳ２３）。セカンダリＶＭ２２０は、コードＣに対応する動作として、第１レジスタの文字列と第２レジスタの文字列とを連結し、連結した文字列を第１レジスタに代入する。この場合、セカンダリＶＭ２２０においても、第１レジスタに代入された文字列は「ＸＹ」となっている。セカンダリＶＭ２２０は、ステップＳ２３の手順でコードＣを実行した後、コードＣの実行を完了したことを表す応答をプライマリＶＭ１２０に送信する。
【0070】
プライマリＶＭ１２０は、セカンダリＶＭ２２０から応答を受信した場合、次のバイトコードであるコードＤを実行する（ステップＳ１４）。プライマリＶＭ１２０は、コードＤに対応する動作として、第１レジスタの文字列を外部機器に出力する。この場合、外部機器が取得する文字列は「ＸＹ」となっている。プライマリＶＭ１２０は、ステップＳ１４の手順でコードＤを実行した後、同期情報ＤをセカンダリＶＭ２２０に送信する。
【0071】
セカンダリＶＭ２２０は、プライマリＶＭ１２０から同期情報Ｄを受信した場合、同期情報Ｄに基づいてコードＤを実行する（ステップＳ２４）。セカンダリＶＭ２２０は、コードＤに対応する動作として、外部機器に対して第１レジスタの文字列を出力せず、何も実行しない。つまり、セカンダリＶＭ２２０は、コードＤに対応する動作をスキップする。セカンダリＶＭ２２０は、ステップＳ２４の手順でコードＤの実行として対応する動作をスキップした後、コードＤの実行を完了したことを表す応答をプライマリＶＭ１２０に送信する。
【0072】
セカンダリＶＭ２２０は、コードＤの実行を完了したことを表す応答をプライマリＶＭ１２０に送信した後、一連のバイトコードの実行を終了する。プライマリＶＭ１２０は、セカンダリＶＭ２２０から応答を受信することによって、一連のバイトコードの実行を終了する。
【0073】
以上説明してきたように、プライマリＶＭ１２０及びセカンダリＶＭ２２０は、互いに同期をとりながらバイトコードを実行できる。プライマリＶＭ１２０が一連のバイトコードの実行の途中で障害によって停止した場合でも、セカンダリＶＭ２２０がバイトコードを引き続き実行できる。セカンダリマシン２００は、ネットワーク３００を介して外部機器に通信可能に接続されることによって、データを入出力する動作に対応するバイトコードも引き続き実行できる。
【0074】
フォールトトレラントシステム１において、プライマリマシン１００及びセカンダリマシン２００が両方とも正常に動作している場合、処理の冗長化が実現される。ここで、プライマリマシン１００又はセカンダリマシン２００が障害によって停止する場合におけるフォールトトレラントシステム１の動作が説明される。
【0075】
＜プライマリマシン１００の障害が発生する場合＞
プライマリマシン１００の障害が発生した場合、プライマリＶＭ１２０は、バイトコードの実行等の制御処理を正常に実行できなくなることがある。ここで、プライマリマシン１００で発生した障害がハードウェア障害である場合、セカンダリマシン２００で同じハードウェア障害が発生している可能性が低い。したがって、フォールトトレラントシステム１は、セカンダリマシン２００に制御を切り替えることによって、プライマリマシン１００の障害を回避して全体としての動作を継続できる。
プライマリマシン１００の障害が発生した場合、プライマリＶＭ１２０は、バイトコードの実行等の制御処理を正常に実行できなくなることがある。ここで、プライマリマシン１００で発生した障害がハードウェア障害である場合、セカンダリマシン２００で同じハードウェア障害が発生している可能性が低い。したがって、フォールトトレラントシステム１は、セカンダリマシン２００に制御を切り替えることによって、プライマリマシン１００の障害を回避して全体としての動作を継続できる。
【0076】
一方で、プライマリマシン１００で発生した障害がソフトウェア障害である場合、セカンダリマシン２００はプライマリマシン１００と同じ処理を実行しているので、セカンダリマシン２００においても同じソフトウェア障害が発生する可能性が高い。したがって、フォールトトレラントシステム１は、セカンダリマシン２００に制御を切り替えたとしても障害を回避できない可能性がある。したがって、フォールトトレラントシステム１は、ハードウェア障害が発生した場合とソフトウェア障害が発生した場合とで異なる動作を実行する。
【0077】
プライマリマシン１００において、プライマリＶＭ１２０は、ハードウェア１４０で発生したハードウェア障害及びプライマリＯＳ１３０で発生したソフトウェア障害に関する情報を受け取る。ハードウェア障害に関する情報及びソフトウェア障害に関する情報は障害情報とも総称される。
【0078】
プライマリＶＭ１２０の障害選択部１２８は、受け取った障害情報の種類を判定する。障害選択部１２８は、受け取った障害情報がハードウェア障害に関する情報であるかソフトウェア障害に関する情報であるか判定してよい。障害選択部１２８は、受け取った障害情報がソフトウェア障害に関する情報であると判定した場合、ソフトウェア障害に関する情報をアプリケーション１１０に出力する。したがって、プライマリＶＭ１２０は、命令を実行した動作結果とソフトウェア障害に関する情報とをあわせてアプリケーション１１０に出力する。アプリケーション１１０は、ＳＷ障害検知部１１６によってソフトウェア障害に関する情報を検知する。アプリケーション１１０は、ソフトウェア障害に対してエラー処理によって対応する。プライマリＶＭ１２０は、アプリケーション１１０によるエラー処理の実行を決定してよい。プライマリＶＭ１２０は、アプリケーション１１０にエラー処理の実行を指示してよい。プライマリＶＭ１２０は、アプリケーション１１０によるエラー処理の実行の決定、又は、アプリケーション１１０にエラー処理を実行させる指示の少なくとも一方を実行してよい。
【0079】
障害選択部１２８は、受け取った障害情報がハードウェア障害に関する情報であると判定した場合、障害情報をＨＷ障害検知部１２６に出力する。ＨＷ障害検知部１２６は、ハードウェア障害の発生を検知する。フォールトトレラントシステム１は、ハードウェア障害の発生が検知された場合、バイトコードの実行等の制御処理を、プライマリマシン１００のプライマリＶＭ１２０からセカンダリマシン２００のセカンダリＶＭ２２０に切り替える。フォールトトレラントシステム１は、セカンダリマシン２００だけが動作するシングル運転の状態となる。シングル運転の状態において、プライマリＶＭ１２０の動作を代替するセカンダリＶＭ２２０は、プライマリＶＭ１２０との同期処理を停止する。
【0080】
プライマリＶＭ１２０は、プライマリマシン１００のハードウェア障害を検出できた場合、セカンダリＶＭ２２０への障害通知の送信を試みつつ、プライマリマシン１００を停止させたり再起動させたりする。障害通知は、同期情報と同じ通信経路で送信されてよい。プライマリＶＭ１２０がセカンダリＶＭ２２０へ障害通知を送信できた場合、セカンダリＶＭ２２０は、プライマリＶＭ１２０から障害通知を受信することによってプライマリマシン１００でハードウェア障害が発生したことを把握する。プライマリＶＭ１２０がセカンダリＶＭ２２０へ障害通知を送信できなかった場合、セカンダリＶＭ２２０は、プライマリマシン１００を監視する手段によってプライマリマシン１００で障害が発生したことを把握してよい。セカンダリＶＭ２２０は、プライマリマシン１００で障害が発生したことを把握した場合、バイトコードの実行等の制御処理をプライマリＶＭ１２０から引き継ぐとともに、プライマリマシン１００との同期処理を停止する。また、セカンダリＶＭ２２０は、セカンダリＯＳ２３０を介して、プライマリＶＭ１２０の代わりに外部との間のデータの入出力処理を実行する。
【0081】
プライマリマシン１００は、プライマリＶＭ１２０が障害を検知できず、セカンダリＶＭ２２０に障害通知を送信せずに停止することがある。セカンダリＶＭ２２０は、プライマリマシン１００を監視する手段によってプライマリマシン１００が停止したことを把握し、プライマリマシン１００で障害が発生したことを把握してよい。セカンダリＶＭ２２０は、プライマリマシン１００で障害が発生したことを把握した場合、バイトコードの実行等の制御処理をプライマリＶＭ１２０から引き継ぐとともに、プライマリマシン１００との同期処理を停止する。以上述べてきたように、プライマリＶＭ１２０は、障害情報の種類の判定結果によって動作を変更する。
【0082】
＜セカンダリマシン２００の障害が発生する場合＞
セカンダリマシン２００において、セカンダリＶＭ２２０は、ハードウェア２４０で発生したハードウェア障害及びセカンダリＯＳ２３０で発生したソフトウェア障害に関する情報を受け取る。セカンダリＶＭ２２０の障害選択部２２８は、受け取った障害情報がハードウェア障害に関する情報であるかソフトウェア障害に関する情報であるか判定する。障害選択部２２８は、受け取った障害情報がソフトウェア障害に関する情報であると判定した場合、ソフトウェア障害に関する情報をアプリケーション２１０に出力する。したがって、プライマリＶＭ２２０は、命令を実行した動作結果とソフトウェア障害に関する情報とをあわせてアプリケーション２１０に出力する。アプリケーション２１０は、ＳＷ障害検知部２１６によってソフトウェア障害に関する情報を検知する。アプリケーション２１０は、ソフトウェア障害に対してエラー処理によって対応する。
セカンダリマシン２００において、セカンダリＶＭ２２０は、ハードウェア２４０で発生したハードウェア障害及びセカンダリＯＳ２３０で発生したソフトウェア障害に関する情報を受け取る。セカンダリＶＭ２２０の障害選択部２２８は、受け取った障害情報がハードウェア障害に関する情報であるかソフトウェア障害に関する情報であるか判定する。障害選択部２２８は、受け取った障害情報がソフトウェア障害に関する情報であると判定した場合、ソフトウェア障害に関する情報をアプリケーション２１０に出力する。したがって、プライマリＶＭ２２０は、命令を実行した動作結果とソフトウェア障害に関する情報とをあわせてアプリケーション２１０に出力する。アプリケーション２１０は、ＳＷ障害検知部２１６によってソフトウェア障害に関する情報を検知する。アプリケーション２１０は、ソフトウェア障害に対してエラー処理によって対応する。
【0083】
障害選択部２２８は、受け取った障害情報がハードウェア障害に関する情報であると判定した場合、障害情報をＨＷ障害検知部２２６に出力する。ＨＷ障害検知部２２６は、ハードウェア障害の発生を検知する。セカンダリマシン２００のハードウェア障害が発生した場合、フォールトトレラントシステム１は、プライマリマシン１００だけが動作するシングル運転の状態となる。シングル運転の状態において、プライマリＶＭ１２０は、セカンダリＶＭ２２０との同期処理を停止する。
【0084】
セカンダリＶＭ２２０は、セカンダリマシン２００のハードウェア障害を検出できた場合、プライマリＶＭ１２０への障害通知の送信を試みつつ、セカンダリマシン２００を停止させたり再起動させたりする。障害通知は、同期情報と同じ通信経路で送信されてよい。セカンダリＶＭ２２０がプライマリＶＭ１２０へ障害通知を送信できた場合、プライマリＶＭ１２０は、セカンダリＶＭ２２０から障害通知を受信することによってセカンダリマシン２００で障害が発生したことを把握する。セカンダリＶＭ２２０がプライマリＶＭ１２０へ障害通知を送信できなかった場合、プライマリＶＭ１２０は、セカンダリマシン２００を監視する手段によってセカンダリマシン２００で障害が発生したことを把握してよい。プライマリＶＭ１２０は、セカンダリマシン２００で障害が発生したことを把握した場合、バイトコードの実行等の制御処理におけるセカンダリマシン２００との同期処理を停止する。プライマリＶＭ１２０は、同期情報生成部１２４の動作を停止することによって同期処理を停止してもよい。
【0085】
セカンダリマシン２００は、セカンダリＶＭ２２０が障害を検知できず、プライマリＶＭ１２０に障害通知を送信せずに停止することがある。プライマリＶＭ１２０は、セカンダリマシン２００を監視する手段によってセカンダリマシン２００が停止したことを把握し、セカンダリマシン２００で障害が発生したことを把握してよい。プライマリＶＭ１２０は、セカンダリマシン２００で障害が発生したことを把握した場合、セカンダリマシン２００との同期処理を停止する。
【0086】
プライマリＶＭ１２０がセカンダリマシン２００を監視する手段、又は、セカンダリＶＭ２２０がプライマリマシン１００を監視する手段は、例えば以下のようにして実現される。
【0087】
例えば、プライマリＶＭ１２０とセカンダリＶＭ２２０とは、互いにハートビート等の死活監視のための定期的な通信を実行してよい。プライマリＶＭ１２０は、セカンダリＶＭ２２０からの応答がない場合に、セカンダリマシン２００の障害が発生したと判定してよい。セカンダリＶＭ２２０は、プライマリＶＭ１２０からの応答がない場合に、プライマリマシン１００の障害が発生したと判定してよい。セカンダリＶＭ２２０は、同期処理におけるプライマリＶＭ１２０からの同期情報の受信によって、プライマリマシン１００に障害が発生していないと判定してもよい。プライマリＶＭ１２０は、同期処理におけるセカンダリＶＭ２２０からの応答の受信によって、セカンダリマシン２００に障害が発生していないと判定してもよい。
【0088】
例えば、プライマリマシン１００及びセカンダリマシン２００とは異なる第３のマシンが、プライマリマシン１００及びセカンダリマシン２００の動作を監視してもよい。第３のマシンは、プライマリマシン１００で発生した障害をセカンダリＶＭ２２０に通知してもよいし、セカンダリマシン２００で発生した障害をプライマリＶＭ１２０に通知してもよい。第３のマシンは、プライマリＶＭ１２０及びセカンダリＶＭ２２０との間でハートビート等の死活監視のための定期的な通信を実行してもよい。
【0089】
プライマリＶＭ１２０及びセカンダリＶＭ２２０は、死活監視のための通信がネットワーク障害によって途絶することによって、プライマリマシン１００及びセカンダリマシン２００の障害が発生したと誤って判定することがある。ネットワーク障害によるプライマリマシン１００及びセカンダリマシン２００の障害の誤検出を避けるために、死活監視のための通信経路が多重化されてもよい。
【0090】
＜障害選択部の動作例＞
障害選択部は、障害に関する情報を取得した場合に、例えばシステムコールの返り値に基づいて、障害がハードウェア障害であるかソフトウェア障害であるかを判定してよい。
障害選択部は、障害に関する情報を取得した場合に、例えばシステムコールの返り値に基づいて、障害がハードウェア障害であるかソフトウェア障害であるかを判定してよい。
【0091】
障害選択部は、システムコールの返り値がエラーである場合、エラーの内容に基づいて、障害がハードウェア障害であるかソフトウェア障害であるかを判定してよい。障害選択部は、例えば、エラーの内容がストレージ若しくはメモリ、ＣＰＵ、又は、ＮＩＣ等のハードウェアの故障を表す場合、障害がハードウェア障害であると判定してよい。障害選択部は、例えば、エラーの内容が通信の接続失敗若しくは送受信失敗、メモリの不足、又は、アプリケーションの操作対象のファイルの不存在等を表す場合、障害がソフトウェア障害であると判定してよい。また、障害選択部は、通信のタイムアウトによって同期情報を受信できない同期通信エラーをハードウェア障害であると判定してよい。
【0092】
障害選択部は、プライマリマシン１００又はセカンダリマシン２００の単体では障害を検知しない場合であっても、同期情報に基づいてプライマリマシン１００における命令の実行結果とセカンダリマシン２００における命令の実行結果とを比較してよい。障害選択部は、プライマリマシン１００における命令の実行結果とセカンダリマシン２００における命令の実行結果とが一致しない場合に、プライマリマシン１００又はセカンダリマシン２００のいずれかで、ソフトウェア障害又はハードウェア障害が発生したと判定してよい。
【0093】
障害選択部は、ハードウェア障害又はソフトウェア障害のどちらであるか判定する際に判定の確度を決定してよい。例えば、障害選択部は、通信のタイムアウトによって同期情報を受信できない同期通信エラーをハードウェア障害であると判定する場合の確度を高い確度であると決定してよい。また、例えば、障害選択部は、プライマリマシン１００における命令の実行結果とセカンダリマシン２００における命令の実行結果とが一致しない場合に障害が発生していると判定する場合の確度を低い確度であると決定してよい。
【0094】
プライマリＶＭ１２０は、障害がハードウェア障害又はソフトウェア障害のいずれであるかの判定の確度に基づいて、制御をセカンダリマシン２００に切り替えてプライマリマシン１００を停止又は再起動するか決定してよい。例えば、プライマリＶＭ１２０は、障害がハードウェア障害であると高い確度で判定した場合、制御をセカンダリマシン２００に切り替えてプライマリマシン１００を停止又は再起動すると決定してよい。プライマリＶＭ１２０は、障害がソフトウェア障害であると高い確度で判定した場合、アプリケーション１１０によるエラー処理を実行すると決定してよい。プライマリＶＭ１２０は、アプリケーション１１０に対してエラー処理の実行を指示してよい。プライマリＶＭ１２０は、アプリケーション１１０によるエラー処理の実行の決定、又は、アプリケーション１１０にエラー処理を実行させる指示の少なくとも一方を実行してよい。プライマリＶＭ１２０は、障害がハードウェア障害又はソフトウェア障害であると低い確度で判定した場合、アプリケーション１１０でエラー処理を試みた後でプライマリマシン１００を停止又は再起動するか決定してよい。判定の確度に基づいて動作を決定することによって、制御の切り替えの判定精度が向上する。
【0095】
障害選択部は、システムコールの返り値がハードウェア障害又はソフトウェア障害のいずれに対応するかを特定するリストに基づいて、障害がハードウェア障害であるかソフトウェア障害であるかを判定してよい。障害選択部は、システムコールのエラー内容がハードウェア障害又はソフトウェア障害のいずれに対応するかを特定するリストに基づいて、障害がハードウェア障害であるかソフトウェア障害であるかを判定してよい。リストにおいて、返り値又はエラー内容と障害の種別との対応づけの確度が関連づけられてよい。障害選択部は、リストに基づいて判定の確度を決定してよい。障害選択部は、リストに基づいて障害の種別を判定することによって、簡便に障害の種別を判定できる。
【0096】
例えば、障害選択部は、リストにおいてシステムコールＡのエラーＸがソフトウェア障害に対応づけられる場合、システムコールＡのエラー内容としてエラーＸを取得した場合に障害がソフトウェア障害であると判定してよい。障害選択部は、リストにおいてシステムコールＡのエラーＹがハードウェア障害に対応づけられる場合、システムコールＡのエラー内容としてエラーＹを取得した場合に障害がハードウェア障害であると判定してよい。システムコールＡの他にシステムコールＢが存在する場合、障害選択部は、システムコールＢに関するリストに基づいて、システムコールＢの返り値又はエラー内容にハードウェア障害又はソフトウェア障害のどちらが対応するか判定してよい。
【0097】
＜フローチャート例＞
ここで、プライマリマシン１００の障害が発生した場合のフォールトトレラントシステム１の動作の一例が説明される。プライマリＶＭ１２０は、例えば図４に示されるフローチャートの手順例を含む制御方法を実行してよい。制御方法は、プライマリＶＭ１２０の機能を実現するプロセッサに実行させる制御プログラムとして実現されてもよい。制御プログラムは、非一時的なコンピュータ読み取り可能な媒体に格納されてよい。
ここで、プライマリマシン１００の障害が発生した場合のフォールトトレラントシステム１の動作の一例が説明される。プライマリＶＭ１２０は、例えば図４に示されるフローチャートの手順例を含む制御方法を実行してよい。制御方法は、プライマリＶＭ１２０の機能を実現するプロセッサに実行させる制御プログラムとして実現されてもよい。制御プログラムは、非一時的なコンピュータ読み取り可能な媒体に格納されてよい。
【0098】
プライマリＶＭ１２０は、プライマリマシン１００におけるハードウェア障害（ＨＷ障害）の発生を検出したか判定する（ステップＳ３１）。プライマリＶＭ１２０は、ハードウェア障害の発生を検出しなかった場合（ステップＳ３１：ＮＯ）、ステップＳ３４の手順に進む。プライマリＶＭ１２０は、ハードウェア障害の発生を検出した場合（ステップＳ３１：ＹＥＳ）、プライマリマシン１００でハードウェア障害が発生したことをセカンダリＶＭ２２０に障害通知を送信する（ステップＳ３２）。プライマリＶＭ１２０は、プライマリマシン１００を停止又は再起動する（ステップＳ３３）。プライマリＶＭ１２０は、ステップＳ３３の手順の実行後、図４のフローチャートの手順の実行を終了する。
【0099】
プライマリＶＭ１２０は、ハードウェア障害の発生を検出しなかった場合（ステップＳ３１：ＮＯ）、ソフトウェア障害の発生を検出したか判定する（ステップＳ３４）。プライマリＶＭ１２０は、ソフトウェア障害の発生を検出しなかった場合（ステップＳ３４：ＮＯ）、図４のフローチャートの手順の実行を終了する。プライマリＶＭ１２０は、ソフトウェア障害の発生を検出した場合（ステップＳ３４：ＹＥＳ）、ソフトウェア障害に応じたアプリケーション１１０のエラー処理を実行する（ステップＳ３５）。プライマリＶＭ１２０は、アプリケーション１１０によるエラー処理の実行を決定してよい。プライマリＶＭ１２０は、アプリケーション１１０に対してエラー処理の実行を指示してよい。プライマリＶＭ１２０は、アプリケーション１１０によるエラー処理の実行の決定、又は、アプリケーション１１０にエラー処理を実行させる指示の少なくとも一方を実行してよい。プライマリＶＭ１２０は、ステップＳ３５の手順の実行後、図４のフローチャートの手順の実行を終了する。
【0100】
フォールトトレラントシステム１において、プライマリＶＭ１２０は、図４に例示したフローチャートの手順を実行することで、障害の種類の判定結果に基づいて動作を変更できる。また、プライマリＶＭ１２０は、プライマリマシン１００に障害が発生したときに、エラー処理で対応すべき場合にセカンダリマシン２００に制御を切り替えることを避けることができる。
【0101】
（まとめ）
以上述べてきたように、本開示の一実施形態に係るプライマリマシン１００は、障害の種類の判定結果に基づいて動作を変更する。また、本開示の一実施形態に係るフォールトトレラントシステム１は、障害がハードウェア障害又はソフトウェア障害のいずれであるか判定し、プライマリマシン１００からセカンダリマシン２００に制御を切り替えるか決定する。このようにすることで、例えば制御を切り替えても解消しないエラーが発生した場合に不要な制御の切り替えが回避される。
以上述べてきたように、本開示の一実施形態に係るプライマリマシン１００は、障害の種類の判定結果に基づいて動作を変更する。また、本開示の一実施形態に係るフォールトトレラントシステム１は、障害がハードウェア障害又はソフトウェア障害のいずれであるか判定し、プライマリマシン１００からセカンダリマシン２００に制御を切り替えるか決定する。このようにすることで、例えば制御を切り替えても解消しないエラーが発生した場合に不要な制御の切り替えが回避される。
【0102】
また、本開示の実施形態に係るフォールトトレラントシステム１において、プライマリＶＭ１２０は、障害情報がソフトウェア障害に関する情報である場合にエラー処理を実行してよい。このようにすることで、制御を切り替えずに障害が解消される。その結果、不要な制御の切り替えが回避される。
【0103】
以上、本開示に係る実施形態について、図面を参照して説明してきたが、具体的な構成はこの実施形態に限定されるものではなく、本開示の趣旨を逸脱しない範囲においての種々の変更も含まれる。
【符号の説明】
【0104】
１ フォールトトレラントシステム
１００ プライマリマシン（１１０：アプリケーション、１２０：プライマリＶＭ、１２４：同期情報生成部、１２６：ＨＷ障害検知部、１２８：障害選択部、１３０：プライマリＯＳ、１４０：ハードウェア）
２００ セカンダリマシン（２１０：アプリケーション、２２０：セカンダリＶＭ、２２４：同期実行部、２２６：ＨＷ障害検知部、２２８：障害選択部、２３０：セカンダリＯＳ、２４０：ハードウェア）
３００ ネットワーク
１００ プライマリマシン（１１０：アプリケーション、１２０：プライマリＶＭ、１２４：同期情報生成部、１２６：ＨＷ障害検知部、１２８：障害選択部、１３０：プライマリＯＳ、１４０：ハードウェア）
２００ セカンダリマシン（２１０：アプリケーション、２２０：セカンダリＶＭ、２２４：同期実行部、２２６：ＨＷ障害検知部、２２８：障害選択部、２３０：セカンダリＯＳ、２４０：ハードウェア）
３００ ネットワーク
【図1】
【図2】
【図3】
【図4】