(57)【要約】      （修正有）【課題】コンピュータ・システムへの攻撃に対する脆弱性を少なくし、ハッカーに魅力的である危殆化されたコンピュータとならないようにするためのセキュリティ手段を有するコンピュータ・システムを提供する。【解決手段】サーバ・コンピュータ１１３のコントローラ２１１は、ＶＭへのアクセスを管理して、どの時点においても、１つのＶＭだけがアクティブであり、新しいクライアント要求が受信されるようにする。アクティブＶＭは、主マシン２０３と呼ばれ、スイッチオーバー期間の間だけアクティブである。この期間が経過したならば、コントローラは、現在の主マシンを副マシンとして指定し、マスタ・ファイル・システム２１３内のソフトウェアのコピーから新しい主マシンを始動する。次に、コントローラは、後続のクライアント要求を新しい主マシンにルーティングする。【選択図】図２
2007058862.tif 000002
【特許請求の範囲】
【請求項１】
ａ）サーバ・プロセスの第１インスタンスを第１マシン（２０３／３０１）で実行する（３０１、３０３）ステップと、
ｂ）クライアント・プロセスからの通信を前記第１マシン（２０３／３０１）にルーティングするステップと、
ｃ）前記サーバ・プロセスの第２インスタンスを第２マシン（２０３／３０５）で始動する（３０５、３０３）ステップと、
ｄ）前記第１マシン（２０３／３０１）による前記第１インスタンスのある期間の実行（３０１、３０３）の後に、クライアント・プロセスからの後続通信を前記第２マシン（２０３／３０５）にルーティングするステップと
を含む、コンピュータ・システム（１０１）でサーバ・プロセスを管理する方法。
【請求項２】
前記サーバ・プロセスの各前記インスタンスが、仮想アプリケーション・サーバ（１１３）によって提供される、請求項１に記載の方法。
【請求項３】
各前記マシンが、仮想マシンである（２０３／３０１、３０５）、請求項１または２のいずれかに記載の方法。
【請求項４】
各前記マシンが、１つまたは複数の物理プロセッサを含む、請求項１または２のいずれかに記載の方法。
【請求項５】
ステップｄ）が、所定のスイッチオーバー期間が経過した時にトリガされる、請求項１ないし４のいずれかに記載の方法。
【請求項６】
前記スイッチオーバー期間が、ランダムに決定される、請求項５に記載の方法。
【請求項７】
前記サーバ（１１３）または前記第１マシンおよび前記第２マシン（２０３／３０１、３０５）が、許可されないアクティビティについて監視され、ステップｄ）が、そのようなアクティビティの検出によってトリガされる、請求項１ないし６のいずれかに記載の方法。
【請求項８】
ｃ）前記サーバ・プロセスの第３インスタンスを第３マシンで始動するステップと、
ｄ）前記第１マシンでの許可されないアクティビティの前記検出に要する時間によって決定される期間の後に、クライアント・プロセスからの後続通信を前記第３マシンに再ルーティングするステップと
をさらに含む、請求項７に記載の方法。
【請求項９】
ステップｄ）の後に前記サーバ・プロセスの前記第１インスタンスを停止する（３０１、３０３）ステップ
をさらに含む、請求項１ないし８のいずれかに記載の方法。
【請求項１０】
前記第１マシン（２０３／３０１）も停止される、請求項９に記載の方法。
【請求項１１】
サーバ・プロセスまたはマシンが停止された後に、それに関連するデータおよびファイルが、許可されないアクティビティを検出するために分析される、請求項９または１０のいずれかに記載の方法。
【請求項１２】
ステップｄ）の後に、前記サーバ・プロセスの前記第１インスタンス（３０１、３０３、３０７、３０９）が、処理を停止する前に既存のクライアント通信を完了することを許可される、請求項１ないし１１のいずれかに記載の方法。
【請求項１３】
ステップｄ）の後に、前記サーバ・プロセスの前記第１インスタンス（３０１、３０３、３０７、３０９）が、カットオフ期間の間に既存のクライアント通信の処理を継続することを許可される、請求項１ないし１２のいずれかに記載の方法。
【請求項１４】
前記カットオフ期間が、事前に決定される、請求項１３に記載の方法。
【請求項１５】
前記カットオフ期間の長さが、ランダムに決定される、請求項１３に記載の方法。
【請求項１６】
前記カットオフ期間が、クライアント通信の平均処理時間から導出される、請求項１３に記載の方法。
【請求項１７】
ａ）第１仮想マシン（ＶＭ）（２０３／３０１）でサーバ・プログラムの第１インスタンスを動作させ（３０１、３０３）、クライアント・プロセスからの通信を前記第１ＶＭ（２０３／３０１）にルーティングするステップと、
ｂ）第２ＶＭ（２０３／３０５）で前記サーバ・プログラムの第２インスタンスを始動し（３０５、３０３）、所定の期間の後に、クライアント・プロセスからの後続通信を前記第２ＶＭ（２０３／３０５）に再ルーティングするステップと
を含む、サーバ・プログラムを動作させる方法。
【請求項１８】
サーバ・プロセスの第１インスタンスを実行する（３０１、３０３）第１マシン（２０３／３０１）と、
クライアント・プロセスからの通信を前記第１マシン（２０３／３０１）にルーティングするように動作可能なコントローラ（２１１）と、
前記第１インスタンス（３０１、３０３）の後に前記サーバ・プロセスの第２インスタンスを実行する（３０５、３０３）第２マシン（２０３／３０５）と
を含み、前記コントローラ（２１１）が、さらに、前記第１マシン（２０３／３０１）による前記第１インスタンスのある期間の実行（３０１、３０３）の後に、クライアント・プロセスからの後続通信を前記第２マシン（２０３／３０５）にルーティングするように動作可能である
コンピュータ・システム（１０１）内でサーバ・プロセスを管理する装置。
【請求項１９】
コンピュータ・システム（１０１）で実行される時に、請求項１ないし１７のいずれか一項に記載の方法を実行する命令を含むコンピュータ・プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータ・システムでサーバ・プロセスを管理する方法または装置に関する。
【背景技術】
【０００２】
コンピュータ・システムに対する攻撃は、通常、２つの形態がある。第１の形態では、攻撃者が、脆弱なマシンへのアクセスを入手し、情報を盗み、その後、そのマシンを放棄する。第２の形態では、脆弱なマシンに侵入し、そのマシンに、バックドアと称する機構を置いて後にオーソライズされていないアクセスを行う。その後、危殆化されたコンピュータを使用して、サービス拒否（ＤＯＳ）攻撃などのネットワーク攻撃を立ち上げるか、またはしばしばスパムと称する迷惑電子メールを送信することもある。コンピュータの許可されないユーザが、そのコンピュータのソフトウェア・システムまたはデータに対する望ましくない変更を行うこともある。
【０００３】
高速インターネット接続へのアクセスを有する強力なサーバは、ハッカーに魅力的である。そのようなサーバは、数百万通のスパム・メッセージの送信またはＤＯＳ攻撃への参加などの攻撃に含まれる大量のデータを扱うことができる。そのような危殆化されたサーバへのアクセスは、しばしば、ハッカーの間でかなりの金額で取引される。コンピュータ・システムに対する最近のセキュリティ技法により、アクセス制御が提供され、また、許可されないユーザの挙動または疑わしいユーザの挙動を識別される等してコンピュータの使用が監視されている。それでも、上記の如く危殆化されたマシンに商業的価値があり、現在利用可能なセキュリティ手段を破り、アクセスを入手し、コンピュータ・システムのセキュリティおよび保全性を損ねる行為に拍車をかけている。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
【課題を解決するための手段】
【０００５】
いくつかの実施形態によれば、
ａ）サーバ・プロセスの第１インスタンスを第１マシンで実行するステップと、
ｂ）クライアント・プロセスからの通信を第１マシンにルーティングするステップと、
ｃ）サーバ・プロセスの第２インスタンスを第２マシンで始動するステップと、
ｄ）第１マシンによる第１インスタンスのある期間の実行の後に、クライアント・プロセスからの後続通信を第２マシンにルーティングするステップと
を含む、コンピュータ・システムでサーバ・プロセスを管理する方法が提供される。
【０００６】
サーバ・プロセスの各インスタンスは、仮想アプリケーション・サーバによって提供されても良い。各マシンを、仮想マシンとしても良い。各マシンが、１つまたは複数の物理プロセッサを含んでも良い。ステップｄ）を、所定のスイッチオーバー期間が経過した時にトリガすることもできる。スイッチオーバー期間を、ランダムに決定することもできる。サーバまたは前記第１マシンおよび第２マシンを、許可されないアクティビティについて監視しても良く、ステップｄ）を、そのようなアクティビティの検出によってトリガしても良い。
【０００７】
サーバ・プロセスの第３インスタンスを第３マシンで始動しても良く、第１マシンでの許可されないアクティビティの検出に要する時間によって決定される期間の後に、クライアント・プロセスからの後続通信を第３マシンに再ルーティングしても良い。ステップｄ）の後にサーバ・プロセスの第１インスタンスを停止しても良い。第１マシンを停止しても良い。サーバ・プロセスまたはマシンが停止された後に、それに関連するデータおよびファイルを、許可されないアクティビティを検出するために分析しても良い。
【０００８】
ステップｄ）の後に、サーバ・プロセスの第１インスタンスが、処理を停止する前に既存のクライアント通信を完了することを許可しても良い。ステップｄ）の後に、サーバ・プロセスの第１インスタンスが、カットオフ期間の間に既存のクライアント通信の処理を継続することを許可しても良い。カットオフ期間を、事前に決定することができる。カットオフ期間の長さを、ランダムに決定しても良い。カットオフ期間を、クライアント通信の平均処理時間から導出しても良い。
【０００９】
他の実施形態によれば、
サーバ・プロセスの第１インスタンスを実行する第１マシンと、
クライアント・プロセスからの通信を第１マシンにルーティングするように動作可能なコントローラと、
第１インスタンスの後にサーバ・プロセスの第２インスタンスを実行する第２マシンと
を含み、コントローラが、さらに、第１マシンによる第１インスタンスのある期間の実行の後に、クライアント・プロセスからの後続通信を第２マシンにルーティングするように動作可能である
コンピュータ・システム内でサーバ・プロセスを管理する装置が提供される。
【００１０】
さらなる実施形態によれば、
ａ）第１仮想マシン（ＶＭ）でサーバ・プログラムの第１インスタンスを動作させ、クライアント・プロセスからの通信を第１ＶＭにルーティングするステップと、
ｂ）第２ＶＭでサーバ・プログラムの第２インスタンスを始動し、所定の期間の後に、クライアント・プロセスからの後続通信を第２ＶＭに再ルーティングするステップと
を含む、サーバ・プログラムを動作させる方法が提供される。
【００１１】
他の実施形態によれば、コンピュータ・システム（１０１）で実行される時に、サーバ・プロセスを管理する方法を実行する命令を含むコンピュータ・プログラムであって、方法が、
ａ）サーバ・プロセスの第１インスタンスを第１マシンで実行するステップと、
ｂ）クライアント・プロセスからの通信を第１マシンにルーティングするステップと、
ｃ）サーバ・プロセスの第２インスタンスを第２マシンで始動するステップと、
ｄ）第１マシンによる第１インスタンスのある期間の実行の後に、クライアント・プロセスからの後続通信を第２マシンにルーティングするステップと
を含む、コンピュータ・プログラムが提供される。
【００１２】
いくつかの実施形態によれば、コンピュータ・システム（１０１）で実行される時に、サーバ・プログラムを動作させる方法を実行する命令を含むコンピュータ・プログラムであって、方法が、
ａ）第１仮想マシン（ＶＭ）でサーバ・プログラムの第１インスタンスを動作させ、クライアント・プロセスからの通信を第１ＶＭにルーティングするステップと、
ｂ）第２ＶＭでサーバ・プログラムの第２インスタンスを始動し、所定の期間の後に、クライアント・プロセスからの後続通信を第２ＶＭに再ルーティングするステップと
を含む、コンピュータ・プログラムが提供される。
【００１３】
本発明の実施形態を、例としてのみ、添付図面を参照してこれから説明する。
【発明を実施するための最良の形態】
【００１４】
図１を参照すると、コンピュータ・システム１０１に、広域ネットワーク（ＷＡＮ）１０５によって１組のサーバ・コンピュータ１０７、１０９、１１１、および１１３に接続された１組のクライアント・コンピュータ１０３が含まれる。クライアント・コンピュータ１０３は、電子メール・クライアントまたはウェブ・ブラウザなど、サーバ・コンピュータによってアプリケーション・サーバ・ソフトウェアを介して供給されるデータおよびサービスへのアクセスを可能にするクライアント・ソフトウェアを実行する。各サーバ・コンピュータ１０７、１０９、１１１、および１１３は、これらのソフトウェアおよびデータへのアクセスを、許可されたユーザだけに制限するように設計されたアクセス制御ソフトウェアを実行する。各クライアント・コンピュータ１０３は、広域ネットワーク１０５を介してサーバ・コンピュータ１０７、１０９、１１１、および１１３のどれにでもアクセスすることができる。しかし、クライアント・コンピュータ１０３のうちのどれであっても、ハッキング技法を介してサーバ・コンピュータ１０７、１０９、１１１、および１１３のいずれかへの許可されないアクセスを得ることを試みるのに使用することができる。許可されないアクセスが成功した場合には、危殆化されたサーバ上のソフトウェアまたはデータに対する損傷、あるいはそのサーバがスパム送信またはＤＯＳ攻撃の実行などのさらなる攻撃の源として使用される可能性がある。
【００１５】
図２を参照すると、１つのサーバ・コンピュータ１１３は、仮想サーバの組を提供するために仮想化ソフトウェア（ｖｉｒｔｕａｌｉｚａｔｉｏｎ  ｓｏｆｔｗａｒｅ）を使用して実装されるサーバ・ソフトウェアを有する。各仮想サーバは、標準サーバ・ソフトウェアと同一の形で実行するように動作可能であるが、どの時点でも、組のうちの１つの仮想サーバだけが、アクティブであり、クライアント・コンピュータ１０３から新しい通信を受信する。ユーザ定義のスイッチオーバー（ｓｗｉｔｃｈ−ｏｖｅｒ）期間の後に、新しい仮想サーバが、アクティブ化され、もとのアクティブ・サーバは、シャット・ダウンするように配置され、これによって、ハッカーが行った可能性のあるすべての変更が除去される。新しい仮想サーバは、もとの仮想サーバに代わって、サーバ・アプリケーションの継続的提供を可能にする。仮想サーバの寿命を制限することによって、その脆弱性およびハッカーに対する価値が減る。仮想サーバおよびその切替えは、サーバ・アプリケーションを使用するクライアント・コンピュータ１０３に透過的である。
【００１６】
サーバ・コンピュータ１１３は、Ｕｓｅｒ  Ｍｏｄｅ  Ｌｉｎｕｘ（ＵＭＬ）の形で仮想化ソフトウェア２０１を実行するハードウェア・コンポーネントを提供し、このＵＭＬが、同一の物理ハードウェア上でオペレーティング・システムの複数の別々のインスタンスを実行する。ＵＭＬは、それぞれがサーバ・アプリケーション・ソフトウェアを実行するＬｉｎｕｘ（Ｒ）サーバの形の仮想マシン（ＶＭ）を作成し、実行するように配置される。４つのそのようなＶＭすなわち主マシン２０３と副マシン２０５、２０７、および２０９が図２に示されている。サーバ・コンピュータ１１３には、クライアント・コンピュータ１０３によるＶＭへのアクセスを制御し、スイッチオーバー期間を制御する、コントローラ２１１も含まれる。サーバ・コンピュータ１１３に、さらに、マスタ・ファイル・システム２１３が含まれ、このマスタ・ファイル・システム２１３は、Ｌｉｎｕｘオペレーティング・システムおよびサーバ・アプリケーション・ソフトウェアのバイナリを含む、ＶＭを作成するのに必要なソフトウェアの完全なコピーを保持する。
【００１７】
コントローラ２１１は、ＶＭへのアクセスを管理して、どの時点においても、１つのＶＭだけがアクティブであり、新しいクライアント要求が受信されるようにする。アクティブＶＭは、主マシン２０３と呼ばれ、スイッチオーバー期間の間だけアクティブである。この期間が経過したならば、コントローラは、現在の主マシンを副マシンとして指定し、マスタ・ファイル・システム２１３内のソフトウェアのコピーから新しい主マシンを始動する。次に、コントローラは、後続のクライアント要求を新しい主マシンにルーティングする。副マシン２０５、２０７、および２０９は、主マシンとして指定されていた間に完了しなかった、長時間動作するクライアント要求の処理を継続するように構成される。言い換えると、これらの要求は、スイッチオーバー期間の終了時には完了していないことになる。副マシンが、その未解決のクライアント要求を完了した後、またはカットオフ期間の後に、そのマシンが、コントローラ２１１によって停止され、そのリソースが、解放される。カットオフ期間が、スイッチオーバー期間より長くセットされている場合に、図２に示されているように、複数の副マシンがある場合がある。カットオフ期間が、スイッチオーバー期間より短いかまたはこれと等しくセットされると、複数の副マシンが存在することはない。
【００１８】
コントローラ２１１によって実行される処理を、これから、図３の流れ図を参照してさらに説明する。ステップ３０１で、コントローラ２１１が、マスタ・ファイル・システム２１３のイメージからＶＭを作成し、ブートする。この最初のＶＭは、第１マシンとも称するが、主マシンであり、コントローラは、すべてのクライアント要求をこれにルーティングする。この段階で、長時間動作するクライアント要求を処理している副ＶＭはない。次に、処理はステップ３０３に移り、コントローラが、３０分の所定の時間までのスイッチオーバー・タイマを始動する。
【００１９】
スイッチオーバー期間が経過したならば、処理は、ステップ３０５に移り、コントローラが、副マシンとも称する追加のＶＭをマスタ・ファイル・システム・イメージから作成し、ブートし、すべての後続の新しいクライアント要求をそのノードにルーティングする。言い換えると、新しいＶＭまたは副ＶＭが、主マシンになり、以前の主マシン（第１マシン）が、副マシンとして指定される。新しい主マシン（第１マシンの後に始動され、主マシンとして第１マシンの後釜になるので、副マシンとも称する）の処理が、ステップ３０３に戻り、上で説明したように継続する。新しい副マシンの処理は、ステップ３０７に移る。
【００２０】
ステップ３０１および３０３は、サーバ・プロセスの最初のインスタンスを確立し、ステップ３０５および３０３は、サーバ・プロセスの第２のインスタンスを確立する。
【００２１】
ステップ３０７で、コントローラが、新しい副ノードの、９０分のカットオフ・タイマをセットする。副マシンは、長く動作するクライアントからの要求を処理する限り、またはカットオフ・タイマでセットされた期間が経過するまで、実行を継続し、処理は、ステップ３０９に移る。ステップ３０９で、コントローラが、副マシンを停止し、そのリソースをシステムに解放する。図３で処理ステップ３１１によって示されているように、複数の副マシンが、任意の所与の時に動作している場合がある。上で注記したように、スイッチオーバー期間およびカットオフ期間の相対的な長さが、任意の所与の時に動作している副ノードの最大個数を左右する。
【００２２】
ハッカーが、主マシンへの許可されないアクセスをどうにかして得た場合に、スイッチオーバー期間が経過したならば、コントローラ・プロセスは、主マシンを副マシンに変え、マスタ・ファイル・システム・イメージから新しい主マシンを作成する。このスイッチオーバー・ステップで作成される副マシンは、長くともカットオフ期間の間だけ動作し、その後、停止され、最終的に破棄される。この機構は、すべての損なわれたウェブ・ページ、ハッキング・ツール、バックドア、海賊ソフトウェア、またはハッカーがＶＭに置いた可能性がある望ましくない材料を消去する。新しい主マシンは、マスタ・ファイル・システム・イメージからブートされ、したがって危殆化されていないので、クリーンであり、使用するのに安全である。したがって、一部のハッカーにとって、常にサーバに再アクセスし、望みの形で（すなわち、すべてのバックドア、海賊ソフトウェアなどを用いて）そのサーバをセット・アップするのに必要な作業は、より価値がなくなる。ＶＭおよびそれによるアプリケーション・プログラムの提供の切替えは、アプリケーション・プログラムのクライアントには透過的である。さらに、ＶＭによって実行できるすべてのプログラムまたはサービスが、上で説明した技法を利用でき、攻撃された時により堅牢にされることができる。
【００２３】
いくつかの実施形態で、フォレンシック手順が、コントローラによって停止された各副ノードのデータおよびプログラムに対して実行される。フォレンシック手順は、ＶＭの保全性またはセキュリティの危殆化をすべて検出するように配置される。この手順の結果を使用して、検出されたすべての脆弱性を除去するためにＶＭのマスタ・イメージを変更することができる。フォレンシック手順は、Ｔｒｉｐｗｉｒｅ（商標）などの侵入検出プログラムを実行して、重要なシステム・ファイル、コンフィギュレーション・ファイル、またはアプリケーション・ファイルが変更されたかどうかを判定し、新しいアカウントが作成されたかもしくはホストベース・ファイヤウォール・ルールが変更されたかどうかをテストし、副マシンに馴染みのないファイルまたはプログラムが保管されているかどうかを判定し、あるいは副マシンについて不正なネットワーク接続が存在したかどうかを判定するためにログ・ファイルを調査することができる。
【００２４】
他の実施形態では、各マシンが、すべての実行されたバイナリのレジストリを保存するように配置される。これは、実行の前にすべてのバイナリのハッシュをとり、これらのハッシュを保管することによって実装される。この追加の機能性を用いると、フォレンシック手順が、許可されないバイナリ（すなわち、ハッシュがセキュリティ・ポリシによって承認されないバイナリ）が実行されたかどうかを検査することができ、これによって、マシンが危殆化されたかどうかが示される。
【００２５】
いくつかの実施形態で、危殆化が検出された場合に、フォレンシック手順は、フォレンシック証拠（すべての使用可能なログ・ファイル、コンフィギュレーション・ファイル、およびメモリ・ダンプを含む）を収集するように配置される。この証拠は、人間の専門家が、危殆化を分析し、基礎になる脆弱性に関するパッチを開発するのに使用することができる。
【００２６】
もう１つの実施形態で、フォレンシック手順が、特定のファイルまたはホストベース・ファイヤウォール・システムが悪意のある形で変更されたと判定する場合に、新しいマシンをそのような変更から保護するために、マスタ・ファイル・システム・イメージが、クリーン・コピーから更新される。そのようなステップは、自動的に実行するか、人間の介入を伴うのいずれかとすることができる。同様に、入手可能なセキュリティ・パッチを調べ、マスタ・ファイル・システム・イメージに自動的に適用するようにシステムを配置することができる。
【００２７】
いくつかの実施形態で、コントローラまたは各ＶＭあるいはその両方に、侵入検出システムが含まれ、侵入が検出された場合に、スイッチオーバー期間が即座に終了する。たとえば、Ｔｒｉｐｗｉｒｅ（商標）システムがファイルへの許可されない変更を検出した後に、スイッチオーバーをトリガすることができる。代替案では、ホストベース・ファイヤウォールが、そのファイヤウォールのファイヤウォール・ポリシに反する、新しい進行中の接続を報告した後に、スイッチオーバーをトリガすることができる。
【００２８】
他の実施形態で、過去の危殆化を考慮に入れるために、スイッチオーバー期間が動的にセットされる。ｔｉが現在のスイッチオーバー期間であり、ａが１より大きい定数であり、０≦ｔｍｉｎ＜ｔｍａｘであるｔｍｉｎおよびｔｍａｘが、最小スイッチオーバー期間および最大スイッチオーバー期間（ｔｍａｘ＝∞が可能である）であるものとする。次に、次のアルゴリズムに従ってｔｉ＋１を計算する
ＩＦ  （フォレンシック・プロセスが最後に実行された時に危殆化が検出された）
ＴＨＥＮ  ｔｉ＋１  ：＝  ｍａｘ（ｔｉ／ａ，ｔｍｉｎ）；
ＥＬＳＥ  ｔｉ＋１  ：＝  ｍｉｎ（ｔｉ＊ａ，ｔｍａｘ）
【００２９】
さらなる実施形態では、カットオフ期間が、実行されるアプリケーション・サーバのタイプに従って変更される。たとえば、ウェブ・サーバは、ほとんどの場合に短い要求を実行し、したがって、カットオフ期間に、５分などの小さい定数値をセットすることができる。
【００３０】
データベース・サーバおよびトランザクション処理サーバに関するものなどの他の実施形態では、要求のランタイムが、より予測困難である場合がある。したがって、カットオフ期間に、動的に、たとえば平均要求処理時間＋３標準偏差をセットする。
【００３１】
いくつかの実施形態で、複数の物理マシンまたは物理プロセッサが、コントローラまたは協力するコントローラのグループの全体的な制御の下で、サーバ・アプリケーション・プログラムの各インスタンスを実行するのに使用される。
【００３２】
本発明の一部またはすべてを実施する装置を、本発明の実施形態の一部またはすべてを提供するように配置されたソフトウェアを有する汎用デバイスとすることができることを、当業者は理解するであろう。このデバイスは、単一のデバイスまたはデバイスのグループとすることができ、このソフトウェアは、単一のプログラムまたはプログラムの組とすることができる。さらに、本発明を実装するのに使用されるソフトウェアのいずれかまたはすべてを、コンピュータ・ネットワークまたは記憶デバイスなどのさまざまな伝送手段または記憶手段を介して通信することができ、その結果、ソフトウェアを１つまたは複数のデバイスにロードできるようになる。
【００３３】
本発明を、その実施形態の説明によって例示し、実施形態を、かなり詳細に説明したが、いかなる形であれ、添付請求項の範囲をそのような詳細に制限することは、本出願人の意図ではない。追加の利益および変更を、当業者はたやすく思い浮かべるであろう。したがって、本発明は、その最も広義の態様において、図示され説明された特定の詳細、代表的な装置および方法、ならびに例示的な例に制限されない。したがって、本出願人の全般的な発明的概念の趣旨または範囲から外れずに、そのような詳細の変更を行うことができる。
【図面の簡単な説明】
【００３４】
【図１】コンピュータ・システムを示す概略図である。
【図２】図１のコンピュータ・システム内のコンピュータのうちの１つの機能ブロックを示す概略図である。
【図３】図２のコンピュータで実行される処理を示す流れ図である。
【符号の説明】
【００３５】
１０１  コンピュータ・システム
１０３  クライアント・コンピュータ
１０５  広域ネットワーク（ＷＡＮ）
１０７  サーバ・コンピュータ
１０９  サーバ・コンピュータ
１１１  サーバ・コンピュータ
１１３  サーバ・コンピュータ
２０１  仮想化ソフトウェア
２０３  主マシン
２０５  副マシン
２０７  副マシン
２０９  副マシン
２１１  コントローラ
２１３  マスタ・ファイル・システム
【図１】
2007058862.tif 000003
【図２】
2007058862.tif 000004
【図３】
2007058862.tif 000005