JPH07117903B2

JPH07117903B2 - 障害回復方法

Info

Publication number: JPH07117903B2
Application number: JP62159552A
Authority: JP
Inventors: マイケル・ジエイ・フレモント
Original assignee: Hewlett Packard Co
Current assignee: HP Inc
Priority date: 1986-06-27
Filing date: 1987-06-26
Publication date: 1995-12-18
Anticipated expiration: 2010-12-18
Also published as: US4740969A; JPS638835A

Description

【発明の詳細な説明】〔発明の技術分野〕本発明は計算システムの障害回復方法に関するものであ
り、更に詳細には、計算システム内で検出されたハード
ウェア障害からのトレンスペアレントな回復を行なわし
めるための障害回復方法に関する。

計算システム内で機械命令の実行中に生ずる障害により
データあるいは以後の機械命令の実行が無効になること
がしばしばある。動作を全く停止して計算システムを再
始動させるのではなく、データおよび以後の機械命令の
実行を確実に有効にしつつ、最小量の中断で障害を回復
し、処理を実行することが望ましい。

ソフトウェア的な回復技術は知られている。このような
技法の一つでは、ソフトウェアはシステム状態がすべて
の動作目的に対して正しいことがわかっているチェック
ポイントまでシステムを完全に回復するに充分なデータ
を定期的に記録している。障害が検出されると、最後の
チェックポイント以降になされたファイルの変更を元に
戻し、計算システムを最後のチェックポイントにセット
しなおし、システムをその点から再始動する。

しかしながら、このような技法はユーザがプログラムの
適切な場所にプログラミング・コードを挿入してシステ
ムを正しい状態にまで回復するに充分な情報を記録しな
ければならないので、ユーザにとってトランスペアレン
トではない。この機構ではユーザが各チェックポイント
で何時どの情報を記録するかを選択しなければならない
ので、人間による誤りを起しやすい。チェックポイント
のコードを入れる場所を誤ると、必要なデータに重ね書
きがなされるか、そうでなければ必要なデータが正しく
記録される前に失われてしまうことがある。

この技法のもう一つの欠点は、プログラムとオペレーテ
ィング・システム（OS）との間でほとんど絶え間なく対
話をすることが必要であり、このためOSの効率が甚しく
低下することである。更に、一旦障害が検出されると、
プロセスを最後のチェックポイントに到達するまで戻さ
なければならない。このため、特に大きなファイル構造
を修正しなければならない大きなシステムでは、回復時
間が甚しく損われる。

他の回復機構はモジュール式冗長性を採用している。こ
の機構では、２つ以上の処理装置が同じコードを並列に
実行する。定期的チェックポイントで、２つの処理装置
からの結果が比較される。結果が相違していることがわ
かれば、裁定機構が２つの結果のいずれかを選択する。
この機構ではハードウェアを重複して設けるためほとん
ど常に禁止的費用となり、また余分なハードウェアから
多くの障害が発生する可能性が生ずる。

〔発明の目的〕

本発明の目的は、上述した従来技術の問題点を解消し、
構成を過度に複雑、高価にしたり、あるいはシステム・
オーバヘッドを過大にすることなしに障害からの回復を
行なうことができる障害回復方法を提供することにあ
る。

〔発明の概要〕

本発明の一実施例によれば、システムの状態があらゆる
動作目的に対して正しいことがわかっている周期的チェ
ックポイントの間の期間中のシステムの過渡状態を記録
し回復するため中央処理装置（CPU）に付設したハード
ウェア回復モジュールを使用して計算システムの故障回
復を行う障害回復方法が提供される。障害回復は、計算
システム上で動作するアプリケーション・ソフトウェア
にとってトランスペアレントである。本発明はOSとの対
話が極く少く、回復時間が速く、プロセスのスループッ
トの低下を最小限として回復を行う。

本発明の一実施例において、ハードウェア回復モジュー
ルは回復制御専用のマイクロプロセッサとシステム状態
を記憶する記憶装置を備えている。ハードウェア・モジ
ュールはCPU、主記憶、キャッシュ・メモリ、および入
出力装置（I/O）を備えた計算システムを監視するもの
である。回復モジュールは通常のシステム動作と並列し
て、アプリケーション・プログラムとは無関係に、チェ
ックポイント動作および関連動作を行う。

ここで使用するように、チェックポイントは初期チェッ
クポイントとこの初期チェックポイントの次のチェック
ポイントの始めまで計算システム内で発生したすべての
情報転送に関する情報とから構成されている。

初期チェックポイントは、チェックポイントの始まりに
おける、処理装置レジスタ内のデータ、キャッシュ・メ
モリ内のデータ、および主記憶内のデータから構成され
る。情報転送はCPUがデータをI/O制御装置またはキャッ
シュ・メモリとの間で直接授受するごとに、およびデー
タが主記憶とキャッシュ・メモリとの間で転送されるご
とに行われる。

本発明の一実施例においては、初期チェックポイントが
記録され、CPUが一連の機械命令を実行し始める。実行
中、回復カウンタは実行された機械命令を数える。計算
システム内でCPUへの情報転送が起こったときには常
に、回復モジュールが転送されているデータをストアす
る。同様に、CPUに割込がかかったときには常に、回復
モジュールがその割込を検出してその割込の情報及び回
復カウンタの値をストアする。このプロセスはチェック
ポイントの終りまで続き、この点でこのチェックポイン
トの妥当性が確認され、新しいチェックポイントが始ま
る。

障害が検出されると、システム動作は一時停止される。
この後直ちに、回復モジュールに格納されていたところ
の記憶装置からキャッシュへの読み出しが時間的に逆の
順序で読み出され、主記憶に書き戻されて主記憶を再実
行するプロセスに必要な状態に回復し（再実行には、主
記憶をプロセスが最初に検出したものと一貫する状態に
まで回復するだけでよい）、キャッシュ・メモリがパー
ジされ、処理装置にその最初のCPUレジスタの数値がロ
ードされる。

次に、処理装置は最も最近に妥当性を確認されたチェッ
クポイントから再始動する。次に処理装置はチェックポ
イント後元来実行したすべての機械命令を合成的に（sy
nthetically）実行する。すなわち、処理装置は最初の
実行と実質上同じ順序で機械命令を再実行する。ただ
し、I/Oの出力は不必要として抑制され、I/Oの入力は元
来の入力を回復モジュール・メモリから回復することに
よりシミュレートされる。記憶された回復カウンタの数
値は再実行中に割込を発生させる適切な時間を決めるの
に使用される。

処理装置が障害発生点まで来ると、真の実行が始まる。
すべての入出力はその後実際に行われ、障害が発生した
時刻に実行されていたチェックポイントのプロセスが継
続され、新しい正常実行プロセスへの割込が発生してOS
に障害点と回復状態を知らせる。OSはこれによりユーザ
がアプリケーション依存の回復ルーチンを指定したか否
かを確認し、これにしたがってそのルーチンを実行する
ことができる。回復プロセス中に他の障害が発生しても
必要なすべてのデータがなおシステム状態メモリに入っ
ているので、重大な情報を失わずに再試行することがで
きる。代案として、回復中に生じた障害から回復するた
めに別のハードウェアを使用することもできる。

本発明は付図と関連して行う以下の詳細な説明を参照す
れば一層良く理解されるであろう。

〔実施例〕

第１図には本発明の一実施例が組込まれている計算シス
テム104を示す。計算システム104は、複数のCPUレジス
タ109と、実行した機械命令を数える回復カウンタ111を
備えるCPU108を備えている。データ・キャッシュ113と
命令キャッシュ・114から成るキャッシュ・メモリ112
は、キャッシュ−CPUバス116によりCPU108と接続されて
いる。主記憶120は主記憶−キャッシュ・バス124により
キャッシュ・メモリ112と接続されている。一つ以上のI
/O128がI/O−CPUバス132によりCPU108に、またI/O−主
記憶バス136により主記憶120に接続されている。回復モ
ジュール140はキャッシュ−CPUバス116、主記憶−キャ
ッシュ・バス124、およびI/O−CPUバス132に接続されて
いる。

第２図は回復モジュール140の細部を示すブロック図で
ある。回復モジュール140は回復制御モジュール204、格
納モジュール208、複数のシステム・バッファ212、およ
び回復モジュール内インタフェース216から構成されて
いる。回復制御モジュール204は主制御部220、CPU制御
部222、主記憶制御部224、キャッシュ・メモリ制御部22
6、システム・マルチプレクサ228、およびアドレス制御
部230を含む回復制御専用のマイクロプロセッサを備え
ている。あらゆる場合において図示した接続は単に例示
にすぎない。個々の構成要素に制御その他の信号を送
る、図示してない、その他の線路が存在することは最も
あり得ることと考えられる。これらの線路は機械ごとに
異なり、しかも日常の技術技能の事項にあるから図示し
ていない。

CPU制御部222はCPUバッファ232を介してキャッシュ−CP
Uバス116と結合している。CPUバッファ232はCPUレジス
タ109を監視して回復処理を制御する。特に、エラー信
号は、CPUハードウェアがハードウェア障害を検出した
際にエラー信号線234を経由してCPU制御部222に伝えら
れる。CPU制御部222は情報転送中または割込中、読出し
データ線236を経由してデータを読取るように通知を受
けるので、回復モジュール140は必要なデータを見出し
て、これを格納モジュール208に格納することができ
る。これらの情報はビット直列フォーマットあるいはバ
イト並列フォーマットのいずれでもよく、あるいは状況
が必要とすれば１本の線上に多重化することもできる。
出力抑制線237はCPU108に回復処理中出力を抑制するよ
うに指示するものである。最後に、CPU停止線238は、故
障が検出された後回復処理を行うことができるように、
CPUの命令実行を停止させる信号をCPU108に伝えるため
のものである。

主記憶制御部224は主記憶バッファ240を介して主記憶−
キャッシュ・バス124と結合している。CPUの正常動作
中、主記憶制御部224は主記憶／キャッシュのデータ転
送のすべてを監視する責任がある。回復処理中、主記憶
制御部224は主記憶120が再実行できるように回復を制御
する。そのため、主記憶制御部224は主記憶バッファ240
に動作モードを選択的に指示する読み書き線242を備え
ている。データ線224とアドレス線246は主記憶制御部22
4と主記憶バッファ240との間でデータとアドレス情報を
伝達するものである。アドレスあるいはデータは線上を
ビット直列またはバイト並列フォーマットで伝達するこ
とができ、あるいは状況の必要に応じこれらデータを１
本の線上に多重化することができる。必要なときは、主
記憶制御部224は主記憶の内容を回復モジュール内イン
ターフェイス216を通して他のコンピュータに転送する
ことができる。

キャッシュ・メモリ制御部226はキャッシュ・バッファ2
50によりキャッシュ−CPUバス116に接続されている。キ
ャッシュ・メモリ制御部226はCPU108と無関係にキャッ
シュ・メモリから古いデータを読取るのを制御するもの
である。古いデータとは、キャッシュ内の、CPU108によ
り変更されが、まだチェックポイント動作により取り込
まれていないデータのことである。各キャッシュライン
（cache line）内のビット対はそのキャッシュ・ライン
内のデータが古いことを指示する。チェックポイント・
インターバルあたり１ビットだけ使用される。キャッシ
ュ・メモリ制御部226が次のチェックポイント・インタ
ーバルで前のチェックポイント・インターバルによる古
いデータを読み出すことができるように２ビットが設け
られている。したがって、チェックポイントは二重にバ
ッファされている。動作の詳細については後程説明す
る。

旧インジケータ線252はキャッシュ・メモリ制御部226に
選択した古いビットの値を示すためのものである。旧−
選択線254はキャッシュ・ライン内のどの古いビットを
読取るかを選択するものである。旧−クリア線256は選
択されたキャッシュ・ラインの内容が格納モジュール20
8に格納された後に選択された古にビットの値をリセッ
トするためのものである。アドレス線258は読取るべき
キャッシュ・ラインのアドレスを選択するためのもので
あり、データ線260は選択されたキャッシュ・ラインか
らのデータを格納モジュール208に伝えるものである。
アドレスあるいはデータは線上をビット直列フォーマッ
トでまたはバイト並列フォーマットで伝送することがで
きるし、あるいは状況の必要に応じ１本の線上に多重化
することもできる。

システム・マルチプレクサ228はI/Oバッファ262を介し
てI/O−CPUバス132と結合している。システム・マルチ
プレクサ228はまた内部でCPU制御部222、主記憶制御部2
24、およびキャッシュ・メモリ制御部226に接続されて
いて、これらのモジュールからデータを格納モジュール
208に選択的に伝達する。読み書き線264は動作モードを
I/Oバッファ262に指示するものであり、アドレス線266
とデータ線268はそれぞれアドレスとデータをシステム
・マルチプレクサ228とI/Oバッファ262の間で伝達する
ものである。回復データ線270はCPU制御部222、主記憶
制御部224、キャッシュ・メモリ制御部226、あるいはI/
Oバッファ262から選択されたデータを格納モジュール20
8に伝達する。アドレスあるいはデータは線上をビット
直列フォーマットまたはバイト並列フォーマットで転送
することができ、あるいは状況が必要とすればデータを
１本の線上で多重化することもできる。

アドレス制御部230はアドレス線272を介して格納モジュ
ール208と結合している。アドレス制御部230は回復処理
中格納モジュール208からデータを選択的に検索するの
に使用される。

動作第３図は機械命令の実行中、システム回復の準備のため
本発明にしたがって取られるステップを示している。こ
の図では、チェックポイント300は時刻304でプロセス30
2の実行が始まるとき始まる（すなわち、初期チェック
ポイントが記録される）。チェックポイント・インター
バルはプロセスの実行から終了までによって規定される
のではなく、格納モジュール208の格納能力によって、
あるいはプログラマによりセットされた予め定められた
時間によって決まる。したがって、チェックポイント30
0は時刻306でのプロセス302の完了を過ぎてからプロセ
ス308まで継続する。時刻310で、チェックポイントは完
了し、妥当性を確認される。時刻310で、プロセス312が
実行される。同時に、新しいチェックポイント314が始
まる。新しいプロセス316は時刻318で始まり、時刻320
まで続くが、ここで障害が発生する。ここでシステム
は、最も最近妥当性の確認がとられたチェックポイント
の始まりである時刻304にリセットされ、元来のプロセ
スが合成される。

第４図は本発明による正常処理中に取られるステップを
示している。ここに示すとうり、回復カウンタ111はス
テップ402で指定された初期値にセットされている。機
械命令はステップ404でCPU108により実行され、回復カ
ウンタ111はステップ406で機械命令が実行されるごとに
デクリメントされる。

ステップ408で新しいチェックポイントの時刻であるか
否かが確められる。新しいチェックポイントの時刻は、
格納モジュール208が実質上チェックポイント・データ
でいっぱいになったとき、あるいはプログラマが決める
ことができる或いは他の時刻である。新しいチェックポ
イントの時刻になったとき、ステップ410で前のチェッ
クポイントが終了し、その妥当性が確認される。ステッ
プ412で初期チェックポイントが格納モジュール208に格
納され、ステップ414で回復カウンタ111がリセットさ
れ、ステップ404で処理が再開される。

最適性能を得るためには、システムは各チェックポイン
ト・インターバルの始まりでキャッシュ・メモリ中に存
在する古いデータをコピーするため停止すべきではな
い。代りに、特定のチェックポイント・インターバルの
終りにキャッシュ・メモリ中に存在する古いデータに対
してはそれに続くチェックポイント・インターバル中で
チェックポイント動作する。これを行うには、各キャッ
シュ・ライン内のビット対がそのキャッシュ・ライン内
のデータがいつ古くなったかを指示する。チェックポイ
ント・インターバル毎に１ビットだけが使用される。こ
のビットはCPUがそのキャッシュ・ライン内のデータを
変更すればセットされる。キャッシュ・メモリ制御部22
6が以後のチェックポイント・インターバル中に前のチ
ェックポイント・インターバルからの古いデータを読み
取ることができるように、２つのビットが設けられてい
る。つまり、あるチェックポイント・インターバルの間
に、あるキャッシュ・ライン内のデータを変更すること
が必要になったら、これら２つのビットのうちの前回の
チェックポイント・インターバルの間における変更を示
すために割り当てられているビットとは別のビットをセ
ットする。これにより、キャッシュライン中のデータの
変更が前回のチェックポイント・インターバルの間のも
のか、それとも今回のチェックポイント・インターバル
の間のものかを識別することができる（もちろん、下の
説明からわかるように、どのキャッシュ・ラインについ
てみても、これら２つのビットがともにセットされるこ
とはない）。正常処理中、キャッシュ・メモリ制御部22
6は、そのチェックポイント・インターバルについての
古いビットを旧−選択線254を経由して選択する。キャ
ッシュ・メモリ制御部226はデータ・キャッシュ113を最
上部から最下部まで直線的に走査し、セットされている
古いビットを探す。変更されたが未だチェックポイント
動作を受けていないキャッシュ内のデータを示す、セッ
トされている古いビットが検出されると、キャッシュ・
メモリ制御部226は命令フェッチ期間中にそのラインを
格納モジュール208に格納する。ラインを格納した後、
キャッシュ・メモリ制御部226は旧−クリア線256を経由
して古いビットをリセットし、走査を再開する。処理装
置がまだチェックポイント動作を受けていない古いデー
タを変更しようとすると、CPU制御部222がCPUを停止
し、そのデータに対してチェックポイント動作を施し、
古いビットがリセットされてから書込みが起こるように
する。同様に、古いラインが主記憶に書込むため選択さ
れる（たとえば、キャッシュ内に空いている空間を作る
ため）と、そのラインが格納モジュール208にコピーさ
れ、古いビットがリセットされる。最後に、古いライン
すべてが格納される前にチェックポイント・インターバ
ルが終りになれば、CPU108を停止して残りのデータにチ
ェックポイント動作を施すことができる。このようにし
て、ある時間の後、古いデータすべてがチェックポイン
ト動作を施されることを保証する。キャッシュ・メモリ
内のすべての変更されたデータがチェックポイント動作
を施されたら、古いチェックポイントは丁度終了したば
かりのチェックポイントと論理的に置き換えられ、新し
いチェックポイントが始まる。このようにして、そこま
で戻ることができるチェックポイントが常に存在する。

新しいチェックポイントの時刻でない場合には、ステッ
プ420でキャッシュ・メモリからCPUへの読出しが行われ
ているか確かめられる。行われていれば、回復モジュー
ル104はステップ422でキャッシュ−CPUバス116により転
送されているデータを読取り、転送されているデータが
ステップ422で格納モジュール208に格納され、ステップ
404で処理が再開される。

キャッシュ−CPU読出しが起こっていなかった場合に
は、直接I/O−CPU読出しが行われているかステップ426
で確かめられる。直接I/O−CPU読出しとは、CPU108がI/
O128に対してデータを要求してそこからデータを受取る
ことを機械命令の単一の実行の間に行なうことを言う。
直接I/OCPU読出しが行われていれば、回復モジュール14
0はステップ428でI/O−CPUバス132からデータを読取
り、転送されているデータがステップ430で格納モジュ
ール208に格納され、処理がステップ404で再開される。

直接I/O−CPU読出しが発生していなければ、割込が生じ
たかステップ432で確かめられる。割込が起こるのは、C
PUが直接I/O−CPU読出し（すなわち、ある機械命令の実
行中に要求されそれ以降の機械命令の実行中に完了割込
を発生する読出し、またはキーボードからの入力のよう
な非反復性の入力）を実行したときであり、またシステ
ム設計上の他の理由によっても起こる。本実施例におい
ては、通常実行中、割込がすべて記録され、また回復処
理中には適切な回復を行うためシステムがこれらを必要
としているか確認される。割込が発生すれば、割込に関
する情報（たとえば、割込の形式など）がステップ434
で格納モジュール208に格納され、回復カウンタ111の値
がステップ436で格納され、処理がステップ404で再開さ
れる。

割込が発生しなかった場合には、処理がステップ404で
再開される。

第5A図〜第5C図は、故障の検出後、計算システム104が
取る回復ステップを示している。エラー信号がエラー線
234上で検出された後、ステップ500で回復モードに入
る。回復カウンタ111はステップ501で一時的にディスエ
ーブルされ、障害検出時に回復カウンタ111が持ってい
た値がステップ503で記録される。キャッシュ・メモリ1
12はステップ504でパージされ、絶対に必要な主記憶デ
ータは、ステップ505で、主記憶からキャッシュ読出し
が時間的に逆の順序で格納されている格納モジュール20
8キャッシュを検索し、これらを主記憶に書き戻すこと
によりリストアされ、CPUレジスタはステップ506でCPU1
08に対してリストアされる。絶対に必要な主記憶データ
は最実行に必要なデータだけである。主記憶の内容のう
ちのそれ以外のものは、以後の実行に関しても依然とし
て有効である。

回復カウンタ111は、ステップ508で、元の実行シーケン
ス中の指定された割込または障害が発生した命令点と同
一の命令点に到達するまでに実行しなければならない機
械命令の個数に再設定される。機械命令のこの個数はカ
ウント・ダウン値と呼ばれ、前に記録された回復カウン
タ値から決まる。

ステップ509で、回復カウンタ111は再びイネーブルされ
る。機械命令はCPU108により再実行され、回復カウンタ
111はステップ510で機械命令が再実行されるごとにデク
リメントされる。再実行される機械命令の順序は実質上
元来実行された機械命令と同じである。機械命令はトラ
ップあるいは非同期事象が発生するまでステップ510で
再実行される。トラップとは、回復カウンタ111が所定
の値を含んでいるきはいつでも回復カウンタ111により
発生する割込である。本実施例では、トラップは回復カ
ウンタ111のカウントが０まで減ったときに起る。非同
期事象は、回復処理中で、障害が検出される前に要求さ
れた入出力の完了の結果発生する割込である。

ステップ512でトラップまたは非同期事象が発生しなけ
れば、ステップ513で、CPUが出力を行なおうとしている
か確かめられる。そうである場合には、CPU制御部232が
出力抑制線237によりCPU108にステップ514で出力を抑制
するように命令する信号をCPU108に伝え、処理がステッ
プ510で再開される。代案として、CPU108は今回復処理
モードであるを確認して、回復モジュール140を介在さ
せずに出力を自動的に抑制するように設計することがで
きる。

CPU108が出力を実行しようとしていなければ、ステップ
516で、入力要求がCPU108により入出力装置128に対して
行われているか確かめられる。行われていれば、その要
求はステップ518で抑制される。ステップ520で直接入力
要求が行われたことが確かめられれば、回復モジュール
140は要求されたデータを格納モジュール208から取り出
し、ステップ522で入力をシミュレートする。そうでな
い場合は、処理がステップ510で再開される。

入力シミュレーションは多くの異なる方法で行うことが
できる。一つの方法では、CPU制御部222がCPU停止線238
に信号を出すことにより、CPU処理が一時的に停止す
る。次に主制御部220が入力データを格納モジュール208
から取出し、データのフォーマットを整え、これをI/O
−CPUバス132に乗せる、CPU停止線上の信号が落され、
回復モジュール140がCPU108に割込をかけ、入力データ
は元来の実行時と同じようにして処理される。

このようにする代わりに、現在回復処理モードであるこ
とをCPU108が確認し、直接入力要求を送るルートを自動
的に変えることによりこの要求を回復モジュールに与え
るように設計してもよい。

ステップ512でトラップまたは非同期事象が発生すれ
ば、回復カウンタ111がステップ530でディスエーブルさ
れ、回復カウンタ111の値がステップ532でチェックされ
る。

回復カウンタ111の数値が０でないことが確認されれ
ば、ステップ534で、障害前間接I/O要求の完了により割
込が発生したか確認される。元来の実行中、プロセスは
間接I/O動作を始めるように要求することができる。I/O
の遅延とそのCPUに対しての非同期動作のため、間接I/O
動作は障害が起こった際には進行中であり回復期間中も
その動作が継続していることが多い。

間接I/Oを回復期間中続けさせた場合に発生する２つの
厄介な問題がある。第１の問題は、間接I/Oは回復ソフ
トウェアで処理しなければならない終了あるいは他の割
込を起すことがあることである。第２の問題は、間接I/
Oの入力は回復期間中に必要なデータに対して、たとえ
ば、元来の処理の後でページを割当てなおしたことによ
り、重ね書きしてしまう可能性があることである。した
がって、割込の処理は、ディスパッチの変更が生ぜず、
割込を起こしたモジュールとの必要な通信が行われ（た
とえば、割込をアクノレッジする）割込がOSに直ちには
伝えられないように、回復モジュール140によってなさ
れなければならない。更に、OSは、チェックポイント・
インターバル中にはあるページの使用をやめたからとい
って、通常行なうようにそれを直ちに開始してはならな
い。その代りに、開放されたページを予備開放リストに
載せ、チェックポイントの妥当性が確認された後に予備
開放リスト中のページを開放して捨てる。ステップ536
で故障前I/Oが処理されてから、回復カウンタ111がステ
ップ509で再びイネーブルされ、処理が再開される。

回復カウンタ111が０までカウント・ダウンしてしまう
と、元来の実行中に割込が発生した命令点に到達してい
る。ステップ540で割込が間接入力要求の完了に対応し
ていることが確かめられれば、回復モジュール140は格
納モジュール208からの入力データの取り出しを開始
し、ステップ541で入力をシミュレートする。

入力シミュレーションの後、回復カウンタ111はステッ
プ508で次のカウント・ダウン数にリセットされ、処理
が再開される。

間接入力要求の完了による割込が発生していなかった場
合には、ステップ542で、回復モジュール140の動作を必
要としないCPU内部機能の結果として割込が発生したか
確かめられる。CPU内部機能は再実行中自然に繰返され
る動作であり、再実行中回復モジュールでシミュレート
する必要はない（たとえば、０で割ること）。CPU内部
機能による割込であったことがわかった場合には、この
CPU内部割込がステップ543でCPUにより処理される（た
とえば、回復モジュール140により無視される）。回復
カウンタ111はステップ508で次のカウント・ダウン数に
リセットされ、処理が再開される。

内部割込がCPU108によって行われていなければ、障害が
検出された点に到達している。回復カウンタ111がステ
ップ544で障害発生時存在していた値にリセットされ、
ステップ545で回復カウンタが再びイネーブルされ、ス
テップ546で真の実行が再開される。

CPU108は今や通常動作を再開するが、回復モジュール14
0は、回復処理中に完了したこれら障害前入出力要求の
完了をシミュレートするのに必要であるから、回復モー
ドのままになっている。ステップ550で障害前入出力の
完了をシミュレートしなければならないことが確かめら
れれば、回復モジュール140は処理装置に割込みをかけ
て、ステップ554で各障害前で入出力をシミュレートす
る。CPU108のソフトウェアは故障前入出力完了割込を認
識し、必要ならばその実行を修正する。障害前入出力完
了割込がすべてシミュレートされてしまうと、回復モジ
ュール140はステップ558で回復モジュールから抜け出
す。

上記は本発明の一実施例の完全な説明であるが、各種の
変更を加えることができる。たとえば、主制御装置220
は障害が検出されたとき格納モジュール208の内容のフ
ォーマットを整えて表示するようにプログラムすること
ができる。これは、動的なシステム状態が障害に先行す
る期間中に記録されているので、価値ある診断用ツール
となることがある。プロセス実行をこのようにして最初
の状態から障害が検出されたときまで追跡してデバッグ
の助けとすることができる。

したがって、この説明は特許請求の範囲に適格に述べて
ある本発明の範囲を限定するのに使用すべきではない。

〔発明の効果〕

以上説明したように、本発明によれば、システムに障害
が発生した場合に、正常であることが確認されている時
点まで戻って障害発生までの動作を入出力まで考慮に入
れて再試行するという障害回復を過大な費用やオーバヘ
ッドの負担なしに行なうことができる。

【図面の簡単な説明】

第１図は本発明の一実施例を組込んだ計算システムを示
す図、第２図は第１図中の回復モジュールの構成例を示
す図、第３図は障害回復の準備のための動作における時
間関係を示す図、第４図は本発明の一実施例における障
害回復の準備のための動作のフローチャート、第5A図な
いし第5C図は本発明の一実施例における障害回復動作の
フローチャートである。 104:計算システム,108:CPU,109:CPUレジスタ,111:回復
カウンタ,112:キャッシュ・メモリ,120:主記憶,128:I/
O,140:回復モジュール,204:回復制御モジュール,208:格
納モジュール。

Claims

【特許請求の範囲】

【請求項１】以下のステップ（ａ）ないし（ｃ）を含む
コンピュータ・システムの障害回復方法：（ａ）初期チェックポイントを記録する：前記初期チェ
ックポイントはチェックポイント期間開始時の中央処理
装置レジスタとキャッシュ・メモリの内容を含む；（ｂ）前記初期チェックポイントを記録した後に実行さ
れた命令をカウントする；（ｃ）前記初期チェックポイントを記録した後に起こっ
た情報転送を記録する：前記情報転送はチェックポイン
ト期間内の入出力制御装置から前記中央処理装置へ直接
転送されたデータと前記キャッシュ・メモリから前記中
央処理装置へ転送されたデータと前記中央処理装置への
割込によるデータとを含む。
【請求項２】前記情報転送を記録するステップは実行さ
れた命令を計数して記録するステップを含むことを特徴
とする特許請求の範囲第１項記載の障害回復方法。
【請求項３】前記初期チェックポイントを記録するステ
ップは、その直前のチェックポイント期間の終了時点に
おいて、前記キャッシュ・メモリ中に存在するデータの
うちでその時点までに前記中央処理装置によって変更さ
れていたがまだ記録されていない古いデータを記録する
ステップを含むことを特徴とする特許請求の範囲第１項
記載の障害回復方法。
【請求項４】前記古いデータを記録するステップは、前
回のチェックポイント期間の終了時点に存在した古いデ
ータをそれに引き続くチェックポイント期間に記録する
ステップを含むことを特徴とする特許請求の範囲第３項
記載の障害回復方法。
【請求項５】定められた量のデータがチェックポイント
記録部にあることを検出するステップと、前記検出するステップでの検出に応答して前記コンピュ
ータ・システム中の命令の実行を停止するステップと、前回のチェックポイントの期間の終了時点に前記キャッ
シュ・メモリ中に存在した古いデータの記録を完了させ
るステップを設けたことを特徴とする特許請求の範囲第３項記載の
障害回復方法。
【請求項６】障害が発生したとき、前記コンピュータ・
システムをチェックポイント期間の開示時点のシステム
状態に復元するステップと、前記復元されたシステム状態から始めて、前記障害の発
生までに当該チェックポイント期間中に実行されたもの
と実質的に同じ命令シーケンスを実行するステップと、前記復元されたシステム状態から始めて前記障害の発生
までに当該チェックポイント期間中に起こったものと同
じ順序の入力を再現するステップを含むことを特徴とする特許請求の範囲第１項ないし第
５項のいずれかに記載の障害回復方法。
【請求項７】前記復元されたシステム状態から始めて前
記障害の発生までに当該チェックポイント期間中に起こ
ったものと同じ順序の出力動作を再現するとともに当該
出力動作が実際に出力を与えることを抑止するステップ
を設けたことを特徴とする特許請求の範囲第６項記載の
障害回復方法。
【請求項８】前記入力及び出力動作の再現は、前記障害
の発生前の対応する入力及び出力動作が起こった命令点
において行われることを特徴とする特許請求の範囲第７
項記載の障害回復方法。
【請求項９】前記入力を再現するステップは、記録され
た割込と割込の間の命令数を計算することにより前記中
央処理装置への間接入力を再現するステップを含むこと
を特徴とする特許請求の範囲第８項記載の障害回復方
法。
【請求項１０】前記間接入力を再現するステップは、前
記障害の発生前において間接入力の完了に基づく割込が
発生したのと同一の命令点においてトラップを発生する
ことを特徴とする特許請求の範囲第９項記載の障害回復
方法。
【請求項１１】前記障害の発生までに当該チェックポイ
ント期間中に実行されたものと実質的に同じ命令シーケ
ンスの実行が前記障害の発生した命令点と同一の命令点
に到達した段階でこの命令シーケンスの実行を停止する
ことを特徴とする特許請求の範囲第10項記載の障害回復
方法。
【請求項１２】前記命令シーケンスの実行の停止後も、
その停止前に前記中央処理装置から発せられた入出力要
求の完了をシミュレートすることを特徴とする特許請求
の範囲第11項記載の障害回復方法。