(57)【特許請求の範囲】
【請求項１】
それぞれ独立して動作し、それぞれの端末に情報入出力用画面を提供する第１計算機および第２計算機を備える制御システムであって、
前記第１計算機および前記第２計算機は、２台系システムと多重系システムの両方に使用可能に構成されており、
前記第１計算機および前記第２計算機には、第１端末および第２端末が情報入出力用通信経路を介してそれぞれ接続されており、
前記第１計算機と前記第２計算機は、生存確認用通信経路を用いた所定の通信により、相手方計算機が動作しているかを相互に監視しており、
前記第１計算機と第２計算機は、前記所定の通信により相手方計算機に障害が発生していると判定した場合、前記第１端末および前記第２端末のうち前記相手方計算機に対応づけられている所定の端末に前記情報入出力用画面を提供するための端末バックアップ処理を実行し、
前記バックアップ処理では、前記所定の端末のために前記情報入出力用画面を生成し、生成した前記情報入出力用画面を前記所定の端末に向けて、前記情報入出力用通信経路を介して提供し、
前記生存確認用通信経路は、第１確認用経路と第２確認用経路とを備えており、
前記第１計算機と前記第２計算機は、前記第１確認用経路および前記第２確認用経路を用いて前記所定の通信をそれぞれ行うことで、前記相手方計算機が動作しているかを相互に監視しており、
前記第１確認用経路および前記第２確認用経路の両方で前記相手方計算機の停止が検出された場合に、前記端末バックアップ処理を実行し、
前記第１計算機および前記第２計算機を前記多重系システムに使用する場合の系切替制御部は、前記第１計算機および前記第２計算機を前記２台系システムに使用する場合に前記第２確認用経路を用いた通信に使用される、
複数計算機が独立動作する制御システム。
【請求項２】
前記第１計算機と前記第２計算機は、前記第１確認用経路または前記第２確認用経路のいずれか一方における前記所定の通信により前記相手方計算機の動作回復を確認した場合に、前記端末バックアップ処理を終了する、
請求項１に記載の複数計算機が独立動作する制御システム。
【請求項３】
前記第１計算機と前記第２計算機は、前記相手方計算機の動作回復を確認した後で、前記所定の端末から所定の解除通知が入力された場合に、前記端末バックアップ処理を終了する、
請求項２に記載の複数計算機が独立動作する制御システム。
【請求項４】
前記第１計算機と前記第２計算機とは、同一の業務アプリケーション処理を実行するようになっており、
前記業務アプリケーション処理は、鉄道の運行管理制御、電力系統の管理制御、プラント監視制御、のうちのいずれか１つである、
請求項１〜３のいずれかに記載の複数計算機が独立動作する制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数計算機が独立動作する制御システムに関する。
【背景技術】
【０００２】
例えば、鉄道の運行管理制御、電力系統の管理制御、プラントの監視制御などの高信頼性が要求される制御用途（いわゆる社会基盤制御系システム）では、多重系システムが構築される。
【０００３】
多重系システムでは、稼働系計算機と待機系計算機とを用意し、通常時には稼働系計算機によって処理を行い、稼働系計算機に障害が発生した異常時には、稼働系計算機の処理を待機系計算機に引き継がせる（特許文献１，２，３）。
【０００４】
一方、それぞれ同一処理を行う複数計算機がそれぞれ独立して動作するシステムもあり得る。一方の計算機と他方の計算機とは、互いの管理下にある端末に対して業務アプリケーション処理のサービスを提供する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特許第４４８７２６０号
【特許文献２】特開２００７−１７９３１０号公報
【特許文献３】特開２００９−２８２７９１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
同一処理を担当する複数の計算機がそれぞれ独立して動作するシステム（以下、一例として２台系システムと呼ぶ。３台以上の計算機が独立して稼働するシステムであってもよい。）は、一見すると、多重系システムと似ているかのような印象を与える。
【０００７】
しかし、多重系システムは、通常時には稼働系計算機が稼働し、異常時になると待機系計算機に処理が引き継がれるのに対し、２台系システムでは、同一処理を担当する複数の（例えば２台の）計算機が同一処理をそれぞれ独自に実行する。一方の計算機が障害等で停止しても、それは他方の計算機に直接的影響を及ぼさない。
【０００８】
２台系システムは、或る処理を行うために同種の計算機を複数設けたものに過ぎず、各計算機間の連携はないため、多重系システムや並列処理システムとは全く異なる。また、２台系システムは、それぞれに対応づけられている端末群との間で情報をそれぞれ処理するものであり、共通の端末群からの要求を負荷に応じて複数計算機間で振り分ける負荷分散システムとも異なる。
【０００９】
このような２台系システムは、例えば鉄道運行管理、電力系統制御の分野において、制御センタの入出力端末に接続される計算機として使用できる。多量の要求を処理するために、複数の計算機を設置し、各計算機には事前に複数の端末をそれぞれ割り当てる。
【００１０】
センタの管理者が端末から要求を入力すると、その端末に対応づけられている計算機によって要求は処理され、処理結果が端末に戻される。同種の計算機を複数設置するため、結果的に負荷分散の効果を得ることができるが、それら複数の計算機はクラスタ構成を取っているわけではなく、自機に対応づけられている端末からの要求を処理しているに過ぎない。
【００１１】
このように同一処理を互いに独立して実行する複数計算機のうち、いずれか一方の計算機のみが稼働を続けることになる。停止した計算機の管理下にある端末を用いて業務を続けることはできない。稼働している計算機の管理下にある他の端末を用いれば、業務を続けることができる。
【００１２】
２台系システムは、同一処理をそれぞれ独立して実行する複数の計算機から構成されるため、結果的に緩やかな、負荷分散および冗長性を実現することができる。しかし、業務処理の量は年々増加する一方であり、サービス品質の向上も求められている。従って、２台システムに含まれる複数計算機のうちのいずれか一方が停止することは、それが当初から予定された不便さであったとしても、許容されなくなってきている。多量の業務を短時間で処理するために、停止した計算機に対応づけられている正常な端末を別の計算機につないで有効に利用することが好ましい。
【００１３】
本発明は、上記の課題に着目してなされたもので、その目的は、独立して動作する第１計算機または第２計算機のいずれか一方が停止した場合、停止した計算機に対応する所定の端末を停止した計算機の相手方の計算機がバックアップでき、利便性を向上できるようにした、複数計算機が独立動作する制御システムを提供することにある。
【課題を解決するための手段】
【００１４】
上記課題を解決すべく、本発明に従う複数計算機が独立動作する制御システムは、それぞれ独立して動作し、それぞれの端末に情報入出力用画面を提供する第１計算機および第２計算機を備える制御システムであって、第１計算機および第２計算機には、第１端末および第２端末が情報入出力用通信経路を介してそれぞれ接続されており、第１計算機と第２計算機は、生存確認用通信経路を用いた所定の通信により、相手方計算機が動作しているかを相互に監視しており、第１計算機と第２計算機は、所定の通信により相手方計算機に障害が発生していると判定した場合、第１端末および第２端末のうち相手方計算機に対応づけられている所定の端末に情報入出力用画面を提供するための端末バックアップ処理を実行することを特徴とする。
【００１５】
バックアップ処理では、所定の端末のために情報入出力用画面を生成し、生成した情報入出力用画面を所定の端末に向けて、情報入出力用通信経路を介して提供することができる。
【００１６】
生存確認用通信経路は、第１確認用経路と第２確認用経路とを備えており、第１計算機と第２計算機は、第１確認用経路および第２確認用経路を用いて所定の通信をそれぞれ行うことで、相手方計算機が動作しているかを相互に監視しており、第１確認用経路および第２確認用経路の両方で相手方計算機の停止が検出された場合に、端末バックアップ処理を実行してもよい。
【００１７】
第１計算機と第２計算機は、第１確認用経路または第２確認用経路のいずれか一方における所定の通信により相手方計算機の動作回復を確認した場合に、端末バックアップ処理を終了してもよい。
【発明の効果】
【００１８】
本発明によれば、複数計算機が独立して動作する制御システムにおいて、いずれか一方の計算機が停止した場合でも、その計算機の相手方の計算機により、停止した計算機に対応づけられている端末を使用可能とすることができる。これにより、制御システムの利便性が向上する。
【図面の簡単な説明】
【００１９】
【図１】実施形態に係る制御システムの全体構成図。
【図２】計算機に搭載されたソフトウェアの概略構成図。
【図３】障害発生を検知し、障害で停止した計算機に対応づけられている端末を、正常な計算機でバックアップする様子を示すタイムチャートである。
【図４】計算機が障害から回復した場合に、端末のバックアップを終了する様子を示すタイムチャートである。
【発明を実施するための形態】
【００２０】
以下、図面に基づいて、本発明の実施の形態を説明する。本実施形態では、後述のように、互いに独立して同一処理を実行する複数計算機において、一方の計算機が停止した場合に、他方の計算機は、一方の計算機で管理している一方の端末に向けて情報入出力用画面を提供し、一方の端末からの要求を処理する。
【実施例１】
【００２１】
図１〜図４を参照して本発明の実施例を説明する。
【００２２】
（１）「ハードウェア構成」
【００２３】
図１は、制御システムの全体構成を示す。制御システムは、複数の計算機１Ａ，１Ｂと、各計算機１Ａ，１Ｂに接続される複数の端末２Ａ，２Ｂとを備える。各計算機１Ａ，１Ｂと各端末２Ａ，２Ｂとは、情報入出力用の通信経路３０，３１を介して接続されている。また、各計算機１Ａ，１Ｂは、生存確認用の通信経路４０，４１を介して接続されている。特に区別しない場合、計算機１Ａ，１Ｂを計算機１と、端末２Ａ，２Ｂを端末２と、それぞれ呼ぶ場合がある。
【００２４】
計算機１Ａ，１Ｂは基本的に同一構成を有するため、計算機１Ａを例に挙げて構成を説明する。計算機１Ａは、例えばマイクロプロセッサ（ＣＰＵ）１０Ａと、メモリ１１Ａと、入出力制御装置（Ｉ／Ｏ）１２Ａを備えている。入出力制御装置１２Ａには、ディスク装置１３Ａと、管理バス１８Ａと、拡張バス１９Ａとが接続されている。さらに、入出力制御装置１２Ａには、拡張管理バス２０Ａによって、ＬＡＮ制御装置１４Ａも接続されている。
【００２５】
拡張バス１９Ａには、計算機１Ａの機能を拡張する回路が接続される。一般的には、回路が実装された拡張ボードをスロットコネクタに挿入すると、拡張バス１９Ａに接続することができる。ただし、一部の機能は、計算機１Ａの本体内に実装され、拡張バス１９Ａに内部で直接接続されている場合もある。
【００２６】
計算機１Ａは、拡張ボードとして、ＬＡＮボード１５Ａと、系切替え制御（ＬＸＰ）ボード１６Ａを備える。系切替え制御ボード１６Ａは、管理バス１８Ａを介して、入出力制御装置１２Ａに接続される。
【００２７】
ＬＡＮ制御装置１４Ａは、生存確認用の第１確認用通信経路４０を介して、相手方計算機１Ｂ内のＬＡＮ制御装置１４Ｂと接続されており、生存通知情報を送受信するようになっている。
【００２８】
ＬＡＮボード１５Ａは、通信経路３０，３１に接続され、この通信経路３０，３１に接続された他の計算機１Ｂおよび端末２Ａ，２Ｂと通信する。
【００２９】
系切替え制御ボード１６Ａは、計算機１Ａの系切替え制御（ＬＸＰ）のための機能拡張ボードであり、生存確認用の第２確認用通信経路４１を介して接続される。なお、本実施例では、多重系システムに使用される計算機１Ａ，１Ｂを２台系システムに流用するため、系切替え制御は行わない。多重系システムに使用される計算機と２台系システムに使用される計算機とを共通の計算機として構成することで、システムの製造コストを低減することができる。
【００３０】
他方の計算機１Ｂも、計算機１Ａで述べたと同様の構成を有する。上記説明の符号についている「Ａ」を「Ｂ」に置き換えることで、計算機１Ｂの構成を説明できる。従って、計算機１Ｂについての冗長な記載を省略する。
【００３１】
「第１端末」としての端末２Ａは、「第１計算機」としての計算機１Ａに対応づけられている。計算機１Ａは、端末２Ａを管理するための端末情報を保持する。さらに、計算機１Ａは、相手方計算機１Ｂの管理下にある端末２Ｂを管理するための端末情報も保持している。従って、後述のように、計算機１Ａは、通常の場合に端末２Ａとの間で情報を交換し、相手方計算機１Ｂに異常が生じた場合は端末２Ｂとの間でも情報を交換できるようになっている。
【００３２】
端末２Ａは、例えば、ノート型コンピュータ、タブレット型コンピュータ、携帯電話、携帯情報端末、ヘッドセット型コンピュータ等のように、情報出力装置と情報入力装置を備えたコンピュータ端末として構成される。情報出力装置としては、ディスプレイ装置、プリンタ装置、音声合成装置などがある。情報入力装置としては、キーボード、マウス、タッチパネル、音声入力装置などがある。
【００３３】
端末２Ａは、通信経路３０，３１の両方に接続されており、通常は計算機１Ａと通信する。計算機１Ａに障害が発生した場合、後述のように、端末２Ａは計算機１Ｂと通信する。端末２Ａは、計算機１Ａで処理された情報をディスプレイ装置等を介してユーザに提供する。また端末２Ａは、ユーザ（制御システムの管理者等）がキーボード等から入力した内容（指示、情報など）を計算機１Ａに送信し、反映させる。
【００３４】
「第２端末」としての端末２Ｂは、「第２計算機」としての計算機１Ｂに対応づけられている。計算機１Ｂは、端末２Ｂを管理するための端末情報を保持している。さらに、計算機１Ｂは、相手方計算機１Ａの管理下にある端末２Ａの端末情報も保持している。従って、計算機１Ｂは、通常の場合に端末２Ｂとの間で情報を交換し、相手方計算機１Ｂに異常が生じた場合は端末２Ｂとの間でも情報を交換できるようになっている。
【００３５】
端末２Ｂも通信経路３０，３１に接続され、通常は計算機１Ｂと通信する。計算機１Ｂに障害が発生した場合、端末２Ｂは計算機１Ａと通信する。端末２Ｂは、計算機１Ｂで処理された情報をディスプレイ装置等を介してユーザに提供する。さらに、端末２Ｂは、ユーザがキーボード等から入力した内容（指示、情報など）を計算機１Ｂに送信し、反映させる。
【００３６】
計算機１Ａ，１Ｂは、相手の状態を監視するに際して、物理的に独立した２つの通信経路４０，４１を使用する。第１確認用通信経路４０は、計算機１ＡのＬＡＮ制御装置１４Ａと計算機１ＢのＬＡＮ制御装置１４Ｂとに接続される。
【００３７】
第２確認用通信経路４１は、計算機１Ａの系切替え制御ボード１６Ａと計算機１Ｂの系切替え制御ボード１６Ｂとに接続されており、拡張バス１９Ａ，１９Ｂを介して入出力制御装置１２Ａ，１２Ｂに接続されている。
【００３８】
第１確認用通信経路４０と第２確認用通信経路４１とは、接続先のバス線が異なるので、一方の経路に障害が発生した場合でも、他方の経路を介して相手方計算機の生死を監視することができる。このように、生存確認のための通信経路を物理的に独立する複数経路から構成するため、生存確認の信頼性を高めることができる。
【００３９】
また、後述するように、本実施例では、複数の確認用通信経路４０，４１を用いた生存確認の構成をさらに利用して、障害の発生した計算機１で管理されている端末２をバックアップするための端末バックアップ処理の実行タイミングを制御する。
【００４０】
なお、図１中では、２台の計算機１Ａ，１Ｂと、各系に２台ずつ合計４台の端末２Ａ，２Ｂとを示すが、それらの台数に限定されない。３台以下の計算機を有するシステム、５台以上の端末を有するシステムにも適用することができる。
【００４１】
（２）「ソフトウェア構成」
【００４２】
図２は、メモリ１１Ａ内に格納しているソフトウェアＰ１Ａの階層構造と機能関係図である。
【００４３】
計算機１Ａ，１Ｂのメモリ１１Ａ，１１Ｂには、それぞれ相互監視プログラムＰ１０、端末表示プログラムＰ１１、画面入出力プログラムＰ１２、業務アプリケーションＰ１３が記憶されている。これら以外にオペレーティングシステム（ＯＳ）、各種ドライバ（いずれも不図示）なども、ディスク装置１０Ａ，１０Ｂまたはメモリ１１Ａ，１１Ｂに記憶されている。
【００４４】
各計算機１Ａ，１ＢのＣＰＵ１０Ａ，１０Ｂは、メモリ１１Ａ，１１Ｂから相互監視プログラムＰ１０、端末表示プログラムＰ１１、画面入出力プログラムＰ１２、業務アプリケーションＰ１３を読み出して、ＯＳ上で実行する。なお、図２では、計算機１Ａと計算機１Ｂとを区別せずにソフトウェアＰ１Ａ，Ｐ１Ｂの構成を示している。計算機１Ａと計算機１Ｂとを区別する場合、図３および図４に示すように、各コンピュータプログラムの符号に「Ａ」または「Ｂ」のいずれかを付す。
【００４５】
相互監視プログラムＰ１０は、生存確認用の通信経路４０，４１を介して、相手方の計算機との間で生存通知情報を送受信する。生存通知情報の通信経路が二重化されているため、通信経路４０，４１のうちいずれか一方の通信経路のみでタイムアウトが発生した場合はＬＡＮ障害として判定する。両方の通信経路４０，４１でタイムアウトが発生した場合、相互監視プログラムＰ１０は、相手方計算機で障害が発生したと判定する。
【００４６】
また、相手方の計算機での障害発生を検出した後で、通信経路４０，４１のうち少なくともいずれか一方の通信経路を介して相手方の計算機からの生存通知情報を受領した場合、相互監視プログラムＰ１０は、相手方の計算機が障害から回復したと判定する。
【００４７】
相互監視プログラムＰ１０は、相手方の計算機の状態が変化した場合（正常状態から故障状態への変化、または故障状態から正常状態への変化）、相手方の計算機の状態が変化したことを端末表示プログラムＰ１１に通知する。
【００４８】
端末表示プログラムＰ１１は、計算機１Ａ，１Ｂによって表示する端末２Ａ，２Ｂの情報を管理する。即ち、端末表示プログラムＰ１１は、どの計算機がどの端末を管理しており、どのような情報（例えばＩＰアドレスなど）を用いて情報入出力用画面を送信しているか、などの情報を管理している。
【００４９】
端末表示プログラムＰ１１は、相手方の計算機が故障した場合はバックアップ指示を、端末からバックアップ解除要求を受けた場合はバックアップ解除指示を、画面入出力プログラムＰ１２に通知する。
【００５０】
計算機を単独で立上げた時に相手方計算機が停止している場合は、相互監視プログラムＰ１０からの通知により、端末バックアップ処理を実行する。端末バックアップ処理を実行する計算機は、自計算機の管理下にある端末以外に、相手方計算機の管理下にある端末にも、情報入出力用画面を提供する。つまり、端末バックアップ処理を実行する計算機は、相手方の計算機に対応づけられている端末を自計算機の端末のように使用させる。即ち、計算機は端末バックアップ処理を実行することで、その計算機を使用可能な端末の範囲を拡張することができる。
【００５１】
２台の計算機１Ａ，１Ｂを同時に立ち上げた場合、各計算機１Ａ，１Ｂは、通常通り、それぞれの管理する端末に対して情報入出力用画面を提供する。計算機１Ａは端末２Ａに情報入出力用画面を提供し、計算機１Ｂは端末２Ｂに情報入出力用画面を提供する。このように、２台の計算機１Ａ，１Ｂを同時に立ち上げる場合、各計算機１Ａ，１Ｂは端末バックアップ処理を行わず、それぞれの管理する端末２についてのみ情報入出力用画面を提供する。
【００５２】
端末表示プログラムＰ１１は、端末２からバックアップ解除要求を受けた場合、相手方計算機の端末表示プログラムＰ１１にバックアップ状態変化を通知する。
【００５３】
画面入出力プログラムＰ１２は、端末に表示される情報入出力用画面からの入出力情報を受け付け、業務アプリケーションＰ１３との間で情報のやり取りをおこなう。端末表示プログラムＰ１１からバックアップ指示が出された場合、画面入出力プログラムＰ１２は、バックアップ対象の端末に向けて、端末バックアップ処理を実行する計算機の情報を出力し、端末画面に表示させる。端末表示プログラムＰ１１からバックアップ解除指示が出された場合、画面入出力プログラムＰ１２は、端末バックアップ処理が終了したことを相手方計算機を介して、解除対象の端末の画面に表示させる。
【００５４】
業務アプリケーションＰ１３は、装置ごとに特化したプログラムである。端末からバックアップ解除を入力された場合、画面入出力プログラムＰ１２からの入力情報を受け、端末表示プログラムＰ１１にバックアップ解除要求を通知する。なお、上述したソフトウェア構成は一例に過ぎず、上記以外の構成でもよい。
【００５５】
（３）「ソフトウェアの動作説明」
【００５６】
図３は、相互監視プログラムＰ１０と端末表示プログラムＰ１１および画面入出力プログラムＰ１２が、相手方計算機の障害時に相手方計算機の端末をバックアップするための処理手順を示すタイムチャートである。ここでは、理解の容易のために、計算機１Ｂで障害が発生し、計算機１Ｂの管理下にある端末２Ｂを計算機１Ａがバックアップする場合を例に挙げて説明する。計算機１Ａで障害が発生し、計算機１Ａの管理下にある端末２Ａを計算機１Ｂがバックアップする場合も同様の処理手順が実行される。
【００５７】
計算機１の起動後、相互監視プログラムＰ１０と端末表示プログラムＰ１１とがそれぞれ動作する。一方の端末表示プログラムＰ１１Ａは、端末２Ａからの要求に応じて、端末情報の中から自計算機１Ａが管理している端末２Ａに情報入出力用画面を送信し（Ｓ１０Ａ）、表示が完了すると端末２Ａからの入力を受け付ける（Ｓ１１Ａ，Ｓ１２Ａ）。
【００５８】
同様に、他方の端末表示プログラムＰ１１Ｂも、端末２Ｂからの要求に応じて情報入出力用画面を送信した後（Ｓ１０Ｂ）、端末２Ｂからの入力を受け付ける（Ｓ１１Ｂ，Ｓ１２Ｂ）。これにより、管制センタの管理者は、情報入出力用画面を介して、例えば、鉄道運行ダイヤの変更、電力系統の制御、プラントの各種機器の制御などを実行する。
【００５９】
一方の相互監視プログラムＰ１０Ａと他方の相互監視プログラムＰ１０Ｂとは、所定の周期で、生存通知情報を交換する。所定の時間内に相手方計算機から複数の通信経路４０，４１のいずれかを介して生存通知情報を受信できた場合、相互監視プログラムＰ１０は、相手方計算機が正常に稼働していると判定する。所定の時間内に相手方計算機から生存通知情報を各通信経路４０，４１のいずれからも受信できない場合、相互監視プログラムＰ１０は、相手方計算機が正常に動作していない、つまり、異常事態が発生していると判定する。
【００６０】
計算機１Ｂでの障害発生が検出されると、正常に動作している計算機１Ａの相互監視プログラムＰ１０Ａは、相手方計算機１Ｂからの生存通知情報を受信できなくなる。この状態が一定時間（死活判定時間）経過するとタイムアウトとなり、相手方計算機１Ｂの障害を検出する。
【００６１】
ここでは、時刻Ｔ１において、計算機１Ｂに何らかの障害が発生し、計算機１Ｂが正常に動作しなくなったものと仮定する。計算機１Ａの相互監視プログラムＰ１０Ａは、計算機１Ｂに生存通知情報を送信するが（Ｓ１４）、計算機１Ｂからはいずれの通信経路４０，４１からも生存通知情報が届かない。生存通知情報をいずれの通信経路４０，４１からも受信できない状態が所定の生死判定時間に達すると、計算機１Ａの相互監視プログラムＰ１０Ａは、計算機１Ｂに障害（異常状態）が発生したと判定する（Ｓ１５Ａ）。ここでは、時刻Ｔ２において、計算機１Ａの相互監視プログラムＰ１０Ａは、計算機１Ｂに障害が発生したものと判定する。所定の生死判定時間は、一例として、障害発生時刻Ｔ１と異常検出時刻Ｔ２との差分（＝Ｔ２−Ｔ１）として表現できる。
【００６２】
計算機１Ａの端末表示プログラムＰ１１Ａは、相互監視プログラムＰ１０Ａから相手方計算機１Ｂに障害が発生した旨の通知を受けると、端末情報の中から障害の発生した計算機１Ｂの管理している端末２Ｂをバックアップ対象の端末として把握する。
【００６３】
端末表示プログラムＰ１１Ａは、バックアップ対象の端末２Ｂに向けて情報入出力用画面を送信し、バックアップ表示を開始する（Ｓ１６Ａ）。バックアップ対象の端末２Ｂの画面においてバックアップ表示が完了すると（Ｓ１７Ａ）、画面入出力プログラムＰ１２Ａは、バックアップ対象の端末２Ｂからの入力を受け付ける（Ｓ１８）。従って、計算機１Ｂを使用していた端末２Ｂは、計算機１Ａにアクセスして業務アプリケーションＰ１３を利用することができる。
【００６４】
図４は、相互監視プログラムＰ１０と端末表示プログラムＰ１１および画面入力プログラムＰ１２が、計算機が障害から回復したときに端末バックアップを解除するための処理手順を示す。
【００６５】
図３で述べた通り、計算機１Ｂに障害が発生した場合、相手方計算機１Ａの端末表示プログラムＰ１１Ａが動作する。端末表示プログラムＰ１１Ａは、障害の発生した計算機１Ｂの管理する端末２Ｂでの表示を自動的にバックアップする。計算機１Ａは、両方の端末２Ａ，２Ｂに情報入出力用画面を送信し、業務アプリケーション処理のサービスを提供する（Ｓ２０Ａ）。計算機１Ｂに障害が発生している間、計算機１Ｂからの生存通知情報はいずれの通信経路４０，４１からも受信されない（Ｓ２１）。
【００６６】
ここでは時刻Ｔ１０において、計算機１Ｂが障害から回復したと仮定する。計算機１Ａは、通信経路４０，４１のいずれかを介して相互監視プログラムＰ１０により、相手方算機１Ｂから生存通知情報を受信すると、計算機１Ｂが障害から回復したことを検出する（Ｓ２２Ａ）。これにより、相互監視プログラムＰ１０Ａ，Ｐ１０Ｂによる生存通知情報の交換が再開する（Ｓ２３）。
【００６７】
ところで、計算機１Ｂが回復しただけでは、計算機１Ａの端末表示プログラムＰ１１Ａから計算機１Ｂの端末表示プログラムＰ１１Ｂに通知されない。つまり、計算機１Ｂが障害から回復しただけでは、端末バックアップ処理は自動的解除されない。管理者がバックアップ対象の端末２Ｂを用いて業務処理中に、自動的に接続先の計算機が切り替わってしまうと作業途中の処理が無駄になり、使い勝手等が低下するためである。そこで、計算機１Ａは、バックアップ対象の端末２Ｂからの明示の指示を待つ。
【００６８】
例えば作業に一区切りついた管理者は、時刻Ｔ１１において、端末バックアップ処理を解除させるための指示を入力する（Ｓ２４Ｂ）。計算機１Ａの画面入出力プログラムＰ１２Ａは、バックアップ解除入力を受け付けると（Ｓ２５Ａ）、バックアップ表示を終了する（Ｓ２６Ａ）。
【００６９】
計算機１Ａの端末表示プログラムＰ１１Ａは、画面入出力プログラムＰ１２Ａからバックアップ解除の通知を受けると、バックアップ表示が解除されたことを相手方計算機１Ｂに通知する（Ｓ２７Ａ）。すなわち、バックアップ状態からバックアップ解除状態に状態が変化したことを、計算機１Ａは計算機１Ｂに通知する。
【００７０】
計算機１Ｂは、相手方計算機１Ａからバックアップ解除状態を受信すると、自計算機１Ｂで管理している端末２Ｂからの要求に応じて情報入出力用画面を送信し（Ｓ２８Ｂ）、表示が完了すると端末２Ｂからの入力を受け付ける（Ｓ２９Ｂ）。
【００７１】
このように、端末バックアップ処理の解除は、管理者等のユーザからの端末入力によって起動される。ユーザが端末を操作中に突然バックアップ表示が解除されると、端末からの入力が受け付けられなくなるおそれがある。そこで、本実施例では、ユーザは、任意の判断でバックアップ表示の解除を指示することができるようになっている。なお、明示の解除入力が不要な場合、計算機の回復後に自動的にバックアップ表示を解除する構成としてもよい。
【００７２】
本実施例は上述のように構成されるため、以下の効果を奏する。本実施例では、同一の業務アプリケーション処理を実行する複数計算機のうちいずれかの計算機に障害が発生した場合、正常な計算機は、障害の発生した計算機に対応づけられている所定の端末に、業務アプリケーション処理を利用するための情報入出力用画面を提供する。従って、通常時にはそれぞれ独立して動作する複数計算機を用いて、異常事態の発生時には、互いの管理下にある端末をバックアップすることができる。これにより、計算機に障害が発生した場合でも、その計算機に対応づけられている端末を利用して業務アプリケーション処理を行うことができ、作業効率が向上する。
【００７３】
本実施例では、各計算機１Ａ，１Ｂ間で情報を送受信することで、互いの動作状態を監視する。このように、本実施例では上位装置を介さずに各計算機１Ａ，１Ｂ間で障害を検出するため、上位装置を用いて検出する場合に比べて、障害の発生を速やかに検出することができる。従って、障害検出を高速化でき、システムの信頼性が向上する。
【００７４】
本実施例では、計算機１Ａ，１Ｂ間を物理的に異なる複数の通信経路４０，４１で接続し、両方の通信経路４０，４１を介して生存通知情報を送受信する。そして、本実施例では、各通信経路４０，４１のいずれからも生存通知情報を所定時間内に受領できない場合に、相手方計算機に障害が発生したと判定する。いずれか一方の通信経路だけが生存通知情報を送ってこない場合は、例えば、断線、ケーブルの接触不良などが原因である可能性がある。
【００７５】
そこで、本実施例では、各通信経路４０，４１のいずれからも生存通知情報を受信できない場合に、障害が発生したものと判定する。従って、例えば一時的な過負荷によってタイムアウトが発生した場合のように、軽微な障害によって端末バックアップ処理が実行されるのを防止できる。これにより、端末バックアップ処理が不必要に実行されるのを防止し、端末バックアップ処理を実行する計算機の負荷が増大するのを抑制できる。従って、端末バックアップ処理を実行する計算機の負荷が増大して、業務アプリケーション処理の応答性が低下するのを防止でき、使い勝手およびシステムの信頼性が高まる。
【００７６】
本実施例では、通信経路４０，４１のうちいずれか一方の通信経路を介して生存通知情報を受信できた場合に、計算機が障害から回復したと判定する。これにより、本実施例では、比較的早期に、端末バックアップ処理を終了させることができ、表示を肩代わりしていた計算機の負荷を軽減することができる。
【００７７】
本実施例では、計算機が障害から回復した後、バックアップ対象端末からの明示の解除入力を待ってから、端末バックアップ処理を終了する。従って、作業途中の処理が停止されたり、端末画面がフリーズ状態になったりするのを防止でき、使い勝手およびシステムの信頼性が向上する。
【００７８】
なお、本発明は、上述した実施形態に限定されない。当業者であれば、本発明の範囲内で、種々の追加や変更等を行うことができる。
【符号の説明】
【００７９】
１Ａ，１Ｂ：計算機、２Ａ，２Ｂ：端末、Ｐ１Ａ，Ｐ１Ｂ：ソフトウェア、Ｐ１０Ａ，Ｐ１０Ｂ：相互監視プログラム、Ｐ１１Ａ，Ｐ１１Ｂ：端末表示プログラム、Ｐ１２Ａ，Ｐ１２Ｂ：画面入出力プログラム、Ｐ１３Ａ，Ｐ１３Ｂ：業務アプリケーション、４０：第１確認用経路、４１：第２確認用経路
【図１】
0006026142.tif 000002
【図２】
0006026142.tif 000003
【図３】
0006026142.tif 000004
【図４】
0006026142.tif 000005