(57)【要約】【課題】フォールトトレラントシステムの復旧作業において、可用性の低下を抑えるとともに、復旧後のシステムに関するセキュリティリスクの増加を回避する。【解決手段】フォールトトレラント制御装置４０は、第一の情報処理装置５０と第二の情報処理装置６０とによってフォールトトレラントシステムを構成するに際して、第一の情報処理装置５０に関する管理者アカウント情報５００を取得する取得部４１と、第二の情報処理装置６０に、一時的なアカウント情報６００を設定する一時的アカウント設定部４２と、一時的なアカウント情報６００を用いて動作している第二の情報処理装置６０に対して、管理者アカウント情報５００を設定する管理者アカウント設定部４３と、管理者アカウント設定部４３による設定が行われたのち、第二の情報処理装置６０に設定された一時的なアカウント情報６００を削除する削除部４４と、を備える。【選択図】      図３
2020030503.tif 000002
【特許請求の範囲】
【請求項１】
第一の情報処理装置と第二の情報処理装置とによってフォールトトレラントシステムを構成するに際して、
前記第一の情報処理装置に関する管理者アカウント情報を取得する取得手段と、
前記第二の情報処理装置に、一時的なアカウント情報を設定する一時的アカウント設定手段と、
前記一時的なアカウント情報を用いて動作している前記第二の情報処理装置に対して、前記管理者アカウント情報を設定する管理者アカウント設定手段と、
前記管理者アカウント設定手段による設定が行われたのち、前記第二の情報処理装置に設定された前記一時的なアカウント情報を削除する削除手段と、
を備えるフォールトトレラント制御装置。
【請求項２】
第一の記憶手段をさらに備え、
前記取得手段は、前記一時的なアカウント情報の基となる情報を生成したのち、生成した前記基となる情報を前記第一の記憶手段に格納し、
前記一時的アカウント設定手段は、前記第一の記憶手段に格納された前記基となる情報を参照することによって、前記一時的なアカウント情報を生成したのち、生成した前記一時的なアカウント情報を、前記第二の情報処理装置に設定する、
請求項１に記載のフォールトトレラント制御装置。
【請求項３】
前記第一の記憶手段は、前記取得手段による書き込みが可能であって前記一時的アカウント設定手段による書き込みは不能である、
請求項２に記載のフォールトトレラント制御装置。
【請求項４】
第二の記憶手段をさらに備え、
前記取得手段は、前記第二の記憶手段が初期状態であるか否かを確認し、前記第二の記憶手段が前記初期状態である場合に、前記第二の情報処理装置が交換されたと判定するとともに、前記管理者アカウント情報を取得することを開始し、
前記管理者アカウント設定手段は、前記第二の情報処理装置に対して、前記管理者アカウント情報を設定したのち、前記第二の記憶手段を前記初期状態から更新する、
請求項１乃至請求項３のいずれか一項に記載のフォールトトレラント制御装置。
【請求項５】
前記第二の記憶手段は、前記管理者アカウント設定手段による書き込みが可能であって、前記取得手段による書き込みは不能である、
請求項４に記載のフォールトトレラント制御装置。
【請求項６】
前記管理者アカウント設定手段は、暗号化された前記管理者アカウント情報を取得し、取得した前記管理者アカウント情報を復号する、
請求項１乃至請求項５のいずれか一項に記載のフォールトトレラント制御装置。
【請求項７】
前記取得手段は、前記第一の情報処理装置に実装され、
前記一時的アカウント設定手段、前記管理者アカウント設定手段、及び、前記削除手段は、前記第二の情報処理装置に実装される、
請求項１乃至請求項６のいずれか一項に記載のフォールトトレラント制御装置。
【請求項８】
請求項１乃至７のいずれか一項に記載のフォールトトレラント制御装置と、
前記第一の情報処理装置と、
前記第二の情報処理装置と、
を有するフォールトトレラントシステム。
【請求項９】
第一の情報処理装置と第二の情報処理装置とによってフォールトトレラントシステムを構成するに際して、
第三の情報処理装置によって、
前記第一の情報処理装置に関する管理者アカウント情報を取得し、
前記第二の情報処理装置に、一時的なアカウント情報を設定し、
前記一時的なアカウント情報を用いて動作している前記第二の情報処理装置に対して、前記管理者アカウント情報を設定し、
前記第二の情報処理装置に対して前記管理者アカウント情報が設定されたのち、前記第二の情報処理装置に設定された前記一時的なアカウント情報を削除する、
フォールトトレラント制御方法。
【請求項１０】
第一の情報処理装置と第二の情報処理装置とによってフォールトトレラントシステムを構成するに際して、
前記第一の情報処理装置に関する管理者アカウント情報を取得する取得処理と、
前記第二の情報処理装置に、一時的なアカウント情報を設定する一時的アカウント設定処理と、
前記一時的なアカウント情報を用いて動作している前記第二の情報処理装置に対して、前記管理者アカウント情報を設定する管理者アカウント設定処理と、
前記管理者アカウント設定処理による設定が行われたのち、前記第二の情報処理装置に設定された前記一時的なアカウント情報を削除する削除処理と、
をコンピュータに実行させるためのフォールトトレラント制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本願発明は、フォールトトレラントシステムにおいて、故障した機器に代わって新たに組み込まれた機器に対して動作環境を設定する技術に関する。
【背景技術】
【０００２】
高度に情報化された現代社会においては、社会インフラを構成する情報処理システムに障害が発生することによってその機能が停止した場合、その影響は甚大である。したがって、このような情報処理システムの可用性を向上させるフォールトトレラント（本願では以降、「ＦＴ」と称する場合がある）技術やクラスタリング技術等を導入したシステムが増加している。
【０００３】
このような技術に関連する技術として、特許文献１には、二重化制御システムにおいて停止していた制御装置が起動する際、停止していた制御装置の設定情報が制御状態の制御装置の設定情報と整合するようにした方法が開示されている。この方法では、同じ制御対象である機器を制御する重複した複数の制御装置の一つである第１の制御装置が起動される。この方法では次に、第１の制御装置が、複数の制御装置の内の他の制御装置である第２の制御装置が正常に稼動していること、および機器を制御する状態である制御状態で稼動していることを含む第１条件を判断する。この方法ではその次に、第２の制御装置が第１条件を満たしている場合に、第１の制御装置が、第２の制御装置から機器を制御するために使用している設定情報を、暫定的な仮設定情報として取得する。そしてこの方法では、第１の制御装置は、仮設定情報と第１制御装置が記憶している設定情報を比較して、それらが異なる場合は、仮設定情報を正規の設定情報として記憶する。
【０００４】
また、特許文献２には、クラスタシステムの現用機として動作するサーバが、故障等による系切り替えが発生した際に、リソース停止に失敗して系切り替えが終了していない状態に陥ることを回避するようにした方法が開示されている。この方法では、現用機のクラスタソフトウェアを介して状態管理情報記憶手段から故障状態情報を取得する。この方法では、故障状態情報が強制電源断機能の故障を示している場合に、予備機側の強制電源断機能の故障が疑われることから、保守端末に対してエラーを出力する。この方法では、予備機側は、保守端末から導通確認することの指示を受けて、現用機側のハードウェア制御手段に対して導通を確認する。そしてこの方法では、導通が確認された場合、当該予備機側の強制電源断機能の故障として、当該予備機のクラスタソフトウェアは、状態管理情報記憶手段の強制電源断機能監視リソースの故障回数をクリアし、現用機からの系切り替えを可能とする状態に遷移するようにする。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開2004-164394号公報
【特許文献２】特開2012-14673号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
フォールトトレラントシステムでは、例えば二重化された２つの装置のうちの一方の装置が障害により停止した場合であっても、もう片方の装置によって処理を継続する。そして、故障した装置が新たな装置に交換され、その新たな装置がシステムに組み込まれることによって、フォールトトレラントシステムは、障害が発生する前の二重化された状態に復旧する。
【０００７】
そして故障した装置を新たな装置に交換する際に、管理者アカウント情報等を含む動作環境を表す情報（運用情報）に関して、故障した装置及び稼働中の装置と同様に設定する作業が行なわれる。したがって、例えば保守作業者がこれらの装置に関する管理者アカウントを保持していないような場合、管理者アカウントを保持する管理者が保守作業者に協力することが必要となる。即ち、このような場合、例えば管理者が不在であること等によって、新たな装置をシステムに組み込む作業が遅れる（即ち、二重化されていない状態での運用時間が長くなる）こととなり、システムの可用性が低下するという問題がある。
【０００８】
このような問題に対応するために、例えば、管理者アカウントを多数の保守作業者が保持するようすることが考えられるが、その場合、管理者アカウント情報が漏えいするというセキュリティリスクが高まることになる。あるいは、上述した問題に対応するために、管理者アカウントを用いることなく動作環境を表す情報を取得可能とした場合、あるいは、システムに組み込む新たな装置に対して管理者アカウントを自由に設定できるようにした場合は、その新たな装置に対する不正操作が容易になるなどの、セキュリティリスクが高まることになる。
【０００９】
以上のことから、フォールトトレラントシステムの復旧作業において、可用性の低下を抑えるとともに、復旧後のシステムに関するセキュリティリスクの増加を回避することが課題である。特許文献１乃至２は、この課題については特に言及していない。本願発明の主たる目的は、この課題を解決するフォールトトレラント制御装置等を提供することである。
【課題を解決するための手段】
【００１０】
本願発明の一態様に係るフォールトトレラント制御装置は、第一の情報処理装置と第二の情報処理装置とによってフォールトトレラントシステムを構成するに際して、前記第一の情報処理装置に関する管理者アカウント情報を取得する取得手段と、前記第二の情報処理装置に、一時的なアカウント情報を設定する一時的アカウント設定手段と、前記一時的なアカウント情報を用いて動作している前記第二の情報処理装置に対して、前記管理者アカウント情報を設定する管理者アカウント設定手段と、前記管理者アカウント設定手段による設定が行われたのち、前記第二の情報処理装置に設定された前記一時的なアカウント情報を削除する削除手段と、を備える。
【００１１】
上記目的を達成する他の見地において、本願発明の一態様に係るフォールトトレラント制御方法は、第一の情報処理装置と第二の情報処理装置とによってフォールトトレラントシステムを構成するに際して、第三の情報処理装置によって、前記第一の情報処理装置に関する管理者アカウント情報を取得し、前記第二の情報処理装置に、一時的なアカウント情報を設定し、前記一時的なアカウント情報を用いて動作している前記第二の情報処理装置に対して、前記管理者アカウント情報を設定し、前記第二の情報処理装置に対して前記管理者アカウント情報が設定されたのち、前記第二の情報処理装置に設定された前記一時的なアカウント情報を削除する。
【００１２】
また、上記目的を達成する更なる見地において、本願発明の一態様に係るフォールトトレラント制御プログラムは、第一の情報処理装置と第二の情報処理装置とによってフォールトトレラントシステムを構成するに際して、前記第一の情報処理装置に関する管理者アカウント情報を取得する取得処理と、前記第二の情報処理装置に、一時的なアカウント情報を設定する一時的アカウント設定処理と、前記一時的なアカウント情報を用いて動作している前記第二の情報処理装置に対して、前記管理者アカウント情報を設定する管理者アカウント設定処理と、前記管理者アカウント設定処理による設定が行われたのち、前記第二の情報処理装置に設定された前記一時的なアカウント情報を削除する削除処理と、をコンピュータに実行させる。
【００１３】
更に、本願発明は、係るフォールトトレラント制御プログラム（コンピュータプログラム）が格納された、コンピュータ読み取り可能な、不揮発性の記録媒体によっても実現可能である。
【発明の効果】
【００１４】
本願発明は、フォールトトレラントシステムの復旧作業において、可用性の低下を抑えるとともに、復旧後のシステムに関するセキュリティリスクの増加を回避することを可能とする。
【図面の簡単な説明】
【００１５】
【図１】本願発明の第１の実施形態に係るフォールトトレラントシステム１の構成を概念的に示すブロック図である。
【図２】本願発明の第１の実施形態に係るフォールトトレラント制御装置１０の動作を示すフローチャートである。
【図３】本願発明の第２の実施形態に係るフォールトトレラント制御装置４０の構成を概念的に示すブロック図である。
【図４】本願発明の各実施形態に係るフォールトトレラント制御装置を実行可能な情報処理装置９００の構成を示すブロック図である。
【発明を実施するための形態】
【００１６】
以下、本願発明の実施の形態について図面を参照して詳細に説明する。
【００１７】
＜第１の実施形態＞
図１は、本願発明の第１の実施の形態に係るフォールトトレラントシステム１の構成を概念的に示すブロック図である。フォールトトレラントシステム１は、大別して、第一の情報処理装置１００と第二の情報処理装置２００とを含み、第一の情報処理装置１００と第二の情報処理装置２００とは、通信ネットワーク３００を介して通信可能に接続されている。第一の情報処理装置１００及び第二の情報処理装置２００は、例えば、あるサービスを提供可能なサーバ装置である。通信ネットワーク３００は、例えば、インターネット、あるいは、データセンタなどにおけるＬＡＮ（Local Area Network）等である。
【００１８】
本実施形態に係るフォールトトレラントシステム１では、第一の情報処理装置１００のみが稼動した（サービスを提供している）状態にあり、第二の情報処理装置２００は、故障した情報処理装置に代わって、新たにフォールトトレラントシステム１に組み込まれようとしている状態にあることとする。
【００１９】
第一の情報処理装置１００は、取得部１１、及び、ＦＴ（フォールトトレラント）制御カード１１０を備える。第二の情報処理装置２００は、一時的アカウント設定部２１１、管理者アカウント設定部２１２、削除部２１３、及び、ＦＴ制御カード２１０を備える。ＦＴ制御カード１１０及びＦＴ制御カード２１０は、例えば、第一の情報処理装置１００あるいは第二の情報処理装置２００のＩＯ（Input Output）スロット（不図示）に搭載可能なモジュールである。
【００２０】
ＦＴ制御カード１１０及びＦＴ制御カード２１０は、互いに連携して動作することによって、第一の情報処理装置１００と第二の情報処理装置２００とによるフォールトトレラントシステム１を構成（構築）する（フォールトトレラント機能を実現する）ことをサポートする機能を有する。ＦＴ制御カード１１０及びＦＴ制御カード２１０は、ＦＴ制御カード間専用通信線を介して互いに通信可能である。そして、上述した、取得部１１、ＦＴ制御カード１１０、一時的アカウント設定部２１１、管理者アカウント設定部２１２、削除部２１３、及び、ＦＴ制御カード２１０は、フォールトトレラント機能を制御する１つの装置であるフォールトトレラント制御装置１０を構成すると看做すことができる。
【００２１】
ＦＴ制御カード１１０は、記憶部１１２を備える。記憶部１１２は、電子メモリ等の記憶デバイスであり、第一の情報処理装置１００による読み込み及び書き込みが可能であるとともに、第二の情報処理装置２００による読み込みが可能であることとする。即ち、記憶部１１２は、第二の情報処理装置２００による書き込みが不能であることとする。
【００２２】
ＦＴ制御カード２１０は、記憶部２１４を備える。記憶部２１４は、電子メモリ等の記憶デバイスであり、第二の情報処理装置２００による読み込み及び書き込みが可能であるとともに、第一の情報処理装置１００による読み込みが可能であることとする。即ち、記憶部２１４は、第一の情報処理装置１００による書き込みが不能であることとする。
【００２３】
また、ＦＴ制御カード１１０及びＦＴ制御カード２１０は、同じハードウェア構成を備えてもよい。即ちこの場合、あるハードウェア構成を備えるＦＴ制御カードは、実行するソフトウェア（フォールトトレラント機能を制御するソフトウェア）によって、第一の情報処理装置１００に搭載された場合は、ＦＴ制御カード１１０として動作し、第二の情報処理装置２００に搭載された場合は、ＦＴ制御カード２１０として動作する。
【００２４】
第一の情報処理装置１００における取得部１１１は、あるタイミング（例えば定期的、あるいは所定の規則に基づくタイミング）に記憶部２１４を参照し、記憶部２１４が設定同期情報２１５を格納していない初期状態である場合に、第二の情報処理装置２００が、新たにフォールトトレラントシステム１に組み込まれる情報処理装置であることを検知する。取得部１１１によるこのような検知は、第二の情報処理装置２００が、新たにフォールトトレラントシステム１に組み込まれる時点において、記憶部２１４は設定同期情報２１５等を格納していない初期状態であることに基づいている。但し、設定同期情報２１５は、第二の情報処理装置２００がフォールトトレラントシステム１に組み込まれる際に、第二の情報処理装置２００によって記憶部２１４に格納される情報である。取得部１１１は、記憶部２１４が初期状態である場合、管理者アカウント情報１２０を取得する。
【００２５】
管理者アカウント情報１２０は、第一の情報処理装置１００の管理者のログインＩＤ（Identification）やパスワード等を表す情報であり、管理者権限によって第一の情報処理装置１００を動作させる際に必要となる情報である。管理者アカウント情報１２０は、例えば第一の情報処理装置１００に関する動作環境情報（構成管理情報、運用情報）等とともに、第一の情報処理装置１００における所定の記憶領域に格納されている。取得部１１１は、当該記憶領域にアクセス可能な権限（管理者権限）が付与されていることとする。そして、第一の情報処理装置１００は、管理者が第一の情報処理装置１００を動作させる際に入力したＩＤ及びパスワードと、管理者アカウント情報１２０とを照合することによって、管理者を認証可能である。
【００２６】
取得部１１１は、取得した管理者アカウント情報１２０を、例えばＳＳＨ（Secure Shell）等の一般的な暗号化通信を用いて、通信ネットワーク３００を介して、第二の情報処理装置２００へ送信する。取得部１１１は、あるいは、ＦＴ制御カード間専用通信線を介して、管理者アカウント情報１２０を第二の情報処理装置２００へ送信してもよい。
【００２７】
取得部１１１は、また、一時的アカウントの基情報１１３を生成して、生成した一時的アカウントの基情報１１３を記憶部１１２に格納する。一時的アカウントの基情報１１３は、後述する一時的アカウント設定部２１１が生成する一時的なアカウント情報２３０の元となる情報である。
【００２８】
第二の情報処理装置２００における一時的アカウント設定部２１１は、記憶部１１２に格納された一時的アカウントの基情報１１３を取得し、取得した一時的アカウントの基情報１１３に基づいて、一時的なアカウント情報２３０を生成する。一時的アカウント設定部２１１は、一時的アカウントの基情報１１３をそのまま一時的なアカウント情報２３０としてもよいし、一時的アカウントの基情報１１３に対して所定の処理（演算等）を行った結果を、一時的なアカウント情報２３０としてもよい。
【００２９】
一時的アカウント設定部２１１は、生成した一時的なアカウント情報２３０を、第二の情報処理装置２００に設定する（即ち、第二の情報処理装置２００における所定の記憶領域に格納する）。一時的なアカウント情報２３０は、第二の情報処理装置２００の使用者のログインＩＤやパスワード等を表す一時的な情報であり、例えば管理者相当の権限によって第二の情報処理装置２００を動作させる際に必要となる情報である。第二の情報処理装置２００は、使用者（例えば保守作業者）が第二の情報処理装置２００を動作させる際に入力したＩＤ及びパスワードと、一時的なアカウント情報２３０とを照合することによって、使用者を認証可能である。
【００３０】
一時的アカウント設定部２１１は、また、生成した一時的なアカウント情報２３０を、例えばモニター（不図示）に表示することによって、保守作業者等に提示するようにしてもよい。これにより、保守作業者は、一時的なアカウント情報２３０を用いて、第二の情報処理装置２００に対する保守作業（第二の情報処理装置２００をフォールトトレラントシステム１に組み込む作業等）を行うことが可能となる。
【００３１】
管理者アカウント設定部２１２は、ＦＴ制御カード１１０における取得部１１１から、管理者アカウント情報１２０を含む暗号化通信を受信する。管理者アカウント設定部２１２は、受信した受信した暗号化通信を復号することによって得られた管理者アカウント情報１２０を、第二の情報処理装置２００に設定する（即ち、第二の情報処理装置２００における所定の記憶領域に格納する）。第二の情報処理装置２００は、管理者が第二の情報処理装置２００を動作させる際に入力したＩＤ及びパスワードと、管理者アカウント情報１２０とを照合することによって、管理者を認証可能である。
【００３２】
削除部２１３は、第二の情報処理装置２００をフォールトトレラントシステム１に組み込む作業が完了し、一時的なアカウント情報２３０が不必要となった後に、管理者アカウント情報１２０を用いて動作している第二の情報処理装置２００から、一時的なアカウント情報２３０を削除する。
【００３３】
次に図２のフローチャートを参照して、本実施形態に係るフォールトトレラント制御装置１０（即ち、ＦＴ制御カード１１０を実装する第一の情報処理装置１００及びＦＴ制御カード２１０を実装する第二の情報処理装置２００）の動作（処理）について詳細に説明する。
【００３４】
第一の情報処理装置１００における取得部１１１は、ＦＴ制御カード２１０における記憶部２１４を参照し、記憶部２１４が初期状態である（設定同期情報２１５等が格納されていない）場合に、第二の情報処理装置２００が、新たにフォールトトレラントシステム１に組み込まれる情報処理装置であることを検知する（ステップＳ１０１）。取得部１１１は、管理者アカウント情報１２０を取得する（ステップＳ１０２）。
【００３５】
取得部１１１は、一時的アカウントの基情報１１３を生成して記憶部１１２に格納する（ステップＳ１０３）。尚、ステップＳ１０２とステップＳ１０３とは、順不同である。第二の情報処理装置２００における一時的アカウント設定部２１１は、記憶部１１２に格納された一時的アカウントの基情報１１３を取得して、一時的アカウントの基情報１１３に基づいて一時的なアカウント情報２３０を生成し、生成した一時的なアカウント情報２３０を第二の情報処理装置２００に設定する（ステップＳ１０４）。
【００３６】
第一の情報処理装置１００における取得部１１１は、取得した管理者アカウント情報１２０を、暗号化通信を用いて、第二の情報処理装置２００へ送信する（ステップＳ１０５）。尚、ステップＳ１０４とステップＳ１０５とは、順不同である。第二の情報処理装置２００における管理者アカウント設定部２１２は、第一の情報処理装置１００から受信した暗号化通信を復号することによって、管理者アカウント情報１２０を得る（ステップＳ１０６）。
【００３７】
管理者アカウント設定部２１２は、一時的なアカウント情報２３０を用いて動作している第二の情報処理装置２００に対して、得られた管理者アカウント情報１２０を設定する（ステップＳ１０７）。削除部２１３は、管理者アカウント情報１２０を用いて動作している第二の情報処理装置２００から、一時的なアカウント情報２３０を削除し（ステップＳ１０８）、全体の処理は終了する。
【００３８】
本実施形態に係るフォールトトレラント制御装置１０（ＦＴ制御カード１１０を実装する第一の情報処理装置１００及びＦＴ制御カード２１０を実装する第二の情報処理装置２００）は、フォールトトレラントシステムの復旧作業において、可用性の低下を抑えるとともに、復旧後のシステムに関するセキュリティリスクの増加を回避することができる。その理由は、フォールトトレラント制御装置１０は、一時的なアカウント情報２３０を生成し、第一の情報処理装置１００から取得した管理者アカウント情報１２０を、一時的なアカウント情報２３０を用いて動作している第二の情報処理装置２００に設定し、その後、一時的なアカウント情報２３０を第二の情報処理装置２００から削除するからである。
【００３９】
以下に、本実施形態に係るフォールトトレラント制御装置１０によって実現される効果について、詳細に説明する。
【００４０】
フォールトトレラントシステムにおいて、故障した装置を新たな装置に交換する際に、管理者アカウント情報等を含む運用情報に関して、故障した装置及び稼働中の装置と同様に設定する作業が行なわれる。したがって、例えば保守作業者がこれらの装置に関する管理者アカウントを保持していないような場合、管理者アカウントを保持する管理者が保守作業者に協力することが必要となる。即ち、このような場合、例えば管理者が不在であること等によって、新たな装置をシステムに組み込む作業が遅れることとなり、システムの可用性が低下するという問題がある。そして、このような問題に対応するために、例えば、管理者アカウントを多数の保守作業者が保持するようにしたのでは、管理者アカウント情報が漏えいするというセキュリティリスクが高まることになる。あるいは、上述した問題に対応するために、管理者アカウントを用いることなく動作環境を表す情報を取得可能とした場合、あるいは、システムに組み込む新たな装置に対して管理者アカウントを自由に設定できるようにした場合は、その新たな装置に対する不正操作が容易になるなどの、セキュリティリスクが高まることになる。即ち、フォールトトレラントシステムの復旧作業において、可用性の低下を抑えるとともに、復旧後のシステムに関するセキュリティリスクの増加を回避することが課題である。
【００４１】
このような課題に対して、本実施形態に係るフォールトトレラント制御装置１０は、取得部１１１と、一時的アカウント設定部２１１と、管理者アカウント設定部２１２と、削除部２１３とを備え、例えば図１及び図２を参照して上述した通り動作する。即ち、取得部１１１は、第一の情報処理装置１００と第二の情報処理装置２００とによってフォールトトレラントシステム１を構成するに際して、第一の情報処理装置１００に関する管理者アカウント情報１２０を取得する。一時的アカウント設定部２１１は、第二の情報処理装置２００に、一時的なアカウント情報２３０を設定する。管理者アカウント設定部２１２は、一時的なアカウント情報２３０を用いて動作している第二の情報処理装置２００に対して、管理者アカウント情報１２０を設定する。削除部２１３は、管理者アカウント設定部２１２による設定が行われたのち、第二の情報処理装置２００に設定された一時的なアカウント情報２３０を削除する。
【００４２】
即ち、本実施形態に係るフォールトトレラント制御装置１０は、取得した管理者アカウント情報１２０を、生成した一時的なアカウント情報２３０を用いて動作している第二の情報処理装置２００を用いて設定するので、保守作業者は、管理者の協力を得ることなく（即ち管理者アカウント情報１２０が秘匿された状態で）、第二の情報処理装置２００をフォールトトレラントシステム１へ組み込む作業を行うことができる。また、フォールトトレラント制御装置１０は、フォールトトレラントシステム１の復旧作業において使用した一時的なアカウント情報２３０を、復旧作業が終了した後に削除するので、悪意のある者は、削除された一時的なアカウント情報２３０や秘匿された管理者アカウント情報１２０を悪用することができない。以上のことから、本実施形態に係るフォールトトレラント制御装置１０は、フォールトトレラントシステムの復旧作業において、可用性の低下を抑えるとともに、復旧後のシステムに関するセキュリティリスクの増加を回避することができる。
【００４３】
また、本実施形態に係る記憶部１１２及び記憶部２１４は、搭載されている自ＦＴ制御カードによる読み込み及び書き込みが可能であって、他ＦＴ制御カードによる読み込みが可能（書き込みは不能）なように構成されている。即ち、記憶部１１２及び記憶部２１４は、例えば、外部からの不正なアクセスによって格納している情報が改ざんされることを防止する。これにより、本実施形態に係るフォールトトレラント制御装置１０は、フォールトトレラントシステムの復旧作業におけるセキュリティリスクを軽減することができる。
【００４４】
また、本実施形態に係る取得部１１１は、記憶部２１４が初期状態（例えば設定同期情報２１５が格納されていない状態）であるか否かを確認し、記憶部２１４が初期状態である場合に、第二の情報処理装置２００が交換されたと判定するとともに、管理者アカウント情報１２０を取得することを開始する。これにより、本実施形態に係るフォールトトレラント制御装置１０は、第二の情報処理装置２００をフォールトトレラントシステム１へ組み込む作業を速やかに開始するので、復旧作業における可用性の低下を抑えることができる。
【００４５】
また、本実施形態に係る管理者アカウント設定部２１２は、暗号化された管理者アカウント情報１２０を取得し、取得した管理者アカウント情報１２０を復号する。即ち、本実施形態に係る管理者アカウント設定部２１２は、第一の情報処理装置１００と第二の情報処理装置２００との間で送受信する管理者アカウント情報１２０を暗号化するので、復旧後のシステムに関するセキュリティリスクの増加を回避することができる。
【００４６】
また、本実施形態に係るフォールトトレラント制御装置１０の構成は、ＦＴ制御カード１１０を実装する第一の情報処理装置１００と、ＦＴ制御カード２１０を実装する第二の情報処理装置２００とにより実現される構成に限定されない。フォールトトレラント制御装置１０は、例えば、上述した機能を実現可能な構成を備える、第一の情報処理装置１００及び第二の情報処理装置２００と通信可能に接続された単体装置等であってもよい。
【００４７】
＜第２の実施形態＞
図３は、本願発明の第２の実施形態に係るフォールトトレラント制御装置４０の構成を概念的に示すブロック図である。
【００４８】
本実施形態に係るフォールトトレラント制御装置４０は、取得部４１、一時的アカウント設定部４２、管理者アカウント設定部４３、及び、削除部４４を備えている。
【００４９】
取得部４１は、第一の情報処理装置５０と第二の情報処理装置６０とによってフォールトトレラントシステムを構成するに際して、第一の情報処理装置５０に関する管理者アカウント情報５００を取得する。
【００５０】
一時的アカウント設定部４２は、第二の情報処理装置６０に、一時的なアカウント情報６００を設定する。
【００５１】
管理者アカウント設定部４３は、一時的なアカウント情報６００を用いて動作している第二の情報処理装置６０に対して、管理者アカウント情報５００を設定する。
【００５２】
削除部４４は、管理者アカウント設定部４３による設定が行われたのち、第二の情報処理装置６０に設定された一時的なアカウント情報６００を削除する。
【００５３】
本実施形態に係るフォールトトレラント制御装置４０は、フォールトトレラントシステムの復旧作業において、可用性の低下を抑えるとともに、復旧後のシステムに関するセキュリティリスクの増加を回避することができる。その理由は、フォールトトレラント制御装置４０は、一時的なアカウント情報６００を生成し、第一の情報処理装置５０から取得した管理者アカウント情報５００を、一時的なアカウント情報６００を用いて動作している第二の情報処理装置６０に設定し、その後、一時的なアカウント情報６００を第二の情報処理装置６０から削除するからである。
【００５４】
＜ハードウェア構成例＞
上述した各実施形態において図１、及び、図３に示したフォールトトレラント制御装置における各部は、専用のＨＷ（ＨａｒｄＷａｒｅ）（電子回路）によって実現することができる。また、図１、及び、図３において、少なくとも、下記構成は、ソフトウェアプログラムの機能（処理）単位（ソフトウェアモジュール）と捉えることができる。
・取得部１１１及び４１、
・一時的アカウント設定部２１１及び４２、
・管理者アカウント設定部２１２及び４３、
・削除部２１３及び４４、
・記憶部１１２及び２１４における記憶制御機能。
【００５５】
但し、これらの図面に示した各部の区分けは、説明の便宜上の構成であり、実装に際しては、様々な構成が想定され得る。この場合のハードウェア環境の一例を、図４を参照して説明する。
【００５６】
図４は、本願発明の各実施形態に係るフォールトトレラント制御装置を実行可能な情報処理装置９００（コンピュータ）の構成を例示的に説明する図である。即ち、図４は、図１、及び、図３に示したフォールトトレラント制御装置を実現可能なコンピュータ（情報処理装置）の構成であって、上述した実施形態における各機能を実現可能なハードウェア環境を表す。
【００５７】
図４に示した情報処理装置９００は、構成要素として下記を備えている。
・ＣＰＵ（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ）９０１、
・ＲＯＭ（Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）９０２、
・ＲＡＭ（Ｒａｎｄｏｍ＿Ａｃｃｅｓｓ＿Ｍｅｍｏｒｙ）９０３、
・ハードディスク（記憶装置）９０４、
・通信インタフェース９０５、
・バス９０６（通信線）、
・ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ＿Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）等の記録媒体９０７に格納されたデータを読み書き可能なリーダライタ９０８、
・モニターやスピーカ、キーボード等の入出力インタフェース９０９。
【００５８】
即ち、上記構成要素を備える情報処理装置９００は、これらの構成がバス９０６を介して接続された一般的なコンピュータである。情報処理装置９００は、ＣＰＵ９０１を複数備える場合もあれば、マルチコアにより構成されたＣＰＵ９０１を備える場合もある。
【００５９】
そして、上述した実施形態を例に説明した本願発明は、図４に示した情報処理装置９００に対して、次の機能を実現可能なコンピュータプログラムを供給する。その機能とは、その実施形態の説明において参照したブロック構成図（図１、及び、図３）における上述した構成、或いはフローチャート（図２）の機能である。本願発明は、その後、そのコンピュータプログラムを、当該ハードウェアのＣＰＵ９０１に読み出して解釈し実行することによって達成される。また、当該装置内に供給されたコンピュータプログラムは、読み書き可能な揮発性のメモリ（ＲＡＭ９０３）、または、ＲＯＭ９０２やハードディスク９０４等の不揮発性の記憶デバイスに格納すれば良い。
【００６０】
また、前記の場合において、当該ハードウェア内へのコンピュータプログラムの供給方法は、現在では一般的な手順を採用することができる。その手順としては、例えば、ＣＤ−ＲＯＭ等の各種記録媒体９０７を介して当該装置内にインストールする方法や、インターネット等の通信回線を介して外部よりダウンロードする方法等がある。そして、このような場合において、本願発明は、係るコンピュータプログラムを構成するコード或いは、そのコードが格納された記録媒体９０７によって構成されると捉えることができる。
【００６１】
以上、上述した実施形態を模範的な例として本願発明を説明した。しかしながら、本願発明は、上述した実施形態には限定されない。即ち、本願発明は、本願発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。
【符号の説明】
【００６２】
１    フォールトトレラントシステム
１０    フォールトトレラント制御装置
１００    第一の情報処理装置
１１０    ＦＴ制御カード
１１１    取得部
１１２    記憶部
１１３    一時的アカウントの基情報
１２０    管理者アカウント情報
２００    第二の情報処理装置
２１０    ＦＴ制御カード
２１１    一時的アカウント設定部
２１２    管理者アカウント設定部
２１３    削除部
２１４    記憶部
２１５    設定同期情報
２３０    一時的なアカウント情報
３００    通信ネットワーク
４０    フォールトトレラント制御装置
４１    取得部
４２    一時的アカウント設定部
４３    管理者アカウント設定部
４４    削除部
５０    第一の情報処理装置
５００    管理者アカウント情報
６０    第二の情報処理装置
６００    一時的なアカウント情報
９００    情報処理装置
９０１    ＣＰＵ
９０２    ＲＯＭ
９０３    ＲＡＭ
９０４    ハードディスク（記憶装置）
９０５    通信インタフェース
９０６    バス
９０７    記録媒体
９０８    リーダライタ
９０９    入出力インタフェース
【図１】
2020030503.tif 000003
【図２】
2020030503.tif 000004
【図３】
2020030503.tif 000005
【図４】
2020030503.tif 000006