協調して負荷バランスするクラスターサーバシステム及び方法
ホストコンピュータシステムは、ネットワークサービスの性能、好ましくは、ポリシーも基づくデータ転送処理を要求するためにサーバークラスターの複数のサーバーとともに独立したトランザクションに動的に関与する。ホストコンピュータシステムは、クラスターのサーバーの識別で動作し、トランザクションに先立って集められたサーバー性能情報において認定されたトランザクション用サーバーを自律的に選択する。サーバー性能情報は、選択されたサーバー及びサービス要求と組合わせて提供されたサービス要求属性情報のポリシー評価を集中化させたサーバーの実行状態を反映する負荷値及び重み値を含み得る。個々のトランザクションのための特定サーバーの負荷選択は、ホストコンピュータシステム及びサーバークラスターのサーバーの協調を通じて暗黙のうちにバランス化される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、ネットワークサービスを提供するのに利用されるサーバーシステムの整合制御に係り、より詳細には、ネットワークサーバーのクラスター間でコンフィギュレーションデータをセキュアに整合し配布すると共に、ネットワークサービスの実行を要求するクラスターシステム及びホストコンピュータシステムに対してコンフィギュレーションデータのインプレメンテーションを整合する技術に係る。
【背景技術】
【０００２】
負荷バランスをとる概念及び必要性は、多数の異なるコンピューティング環境において、ほとんどの場合、情報サービスシステムの信頼性及び拡張性を高めるための要求として生じる。特に、ネットワーク編成のコンピューティングの分野では、負荷バランスをとることは、通常、典型的な離れたクライアントコンピュータシステムからのデータの要求を含む種々の処理要求に応答するために非常に多数の情報サーバーシステムを並列に効率的に利用する手段として遭遇する。サーバーを論理的に並列に配列すると、固有の冗長性能力が付加される一方、更なるサーバーの追加により少なくとも理論的には直線的に性能を拡張することができる。従って、要求、及び更には、それにより生じる負荷を効率的に分配することが、サーバーの並列クラスターを完全に利用して性能を最大にする上で本質的な要求となる。
【０００３】
通常、負荷バランスをとる用途の特殊性に基づく特異性を伴って負荷バランスをとるために、多数の異なるシステムが提案され、種々具現化されている。チャン氏等（米国特許第６，４７０，３８９号）は、クライアントドメインネームサービス（ＤＮＳ）要求に応答するためにサーバーの選択を調停するサーバー側の中央ディスパッチャーの使用を説明している。クライアントは、中央ディスパッチャーに対応する定義された静的ＤＮＳクラスター−サーバーアドレスへ要求を向ける。各要求は、次いで、ディスパッチャーにより使用可能なサーバーへ向け直され、該サーバーは、次いで、要求された情報をクライアントへ直接返送することができる。ＤＮＳ要求の各々は原子的で且つ良好に定義されたサーバーオペレーションを要求するので、実際の負荷は、各サーバーへなされる要求の割合の関数になると推定される。それ故、ディスパッチャーは、ＤＮＳクラスターに参加するサーバーへ要求を均一に配布するために単に基本的ハッシュ関数を具現化するだけである。
【０００４】
負荷バランス制御に中央ディスパッチャーを使用することは、アーキテクチャー上問題である。全ての要求はディスパッチャーを経て流れるので、単一ポイント欠陥に曝されて即座にサーバークラスターの全オペレーションの停止となる。更に、ディスパッチャーの性能を拡張する直接的な方法はない。大きな要求負荷又はより複雑な負荷バランスアルゴリズムを取り扱うためには、ディスパッチャーを、実質的に高いコストの高性能ハードウェアに置き換えねばならない。
【０００５】
それとは別に、チャン氏等は、全てのクライアント要求をＤＮＳクラスター内の全てのサーバーにブロードキャストして、中央ディスパッチャーの必要性をなくすことを提案している。サーバーは、個々にブロードキャストされた要求フィルタルーチンにおいて相互に排他的なハッシュ関数を実施して、独特のローカル応答に対する要求を選択する。この解決策は、各サーバーが各ＤＮＳ要求を最初にある程度処理することを必要とし、サーバー性能の有効性レベルを低下するという不都合な結果をもたらす。更に、要求を発しているクライアントのアドレスのハッシュに基づいてサービスへの要求を選択すると、実際上、個々のＤＮＳサーバーが、静的に定義されたクライアントグループにロックされる。それ故、等しい負荷分布を仮定することが、非常に多数の要求に対して、唯一、統計学的に有効である。又、ポリシーフィルタルーチンの静的な性質は、全ての要求が独特のサーバーにより選択されるよう確保するために、サーバーがクラスターに追加されるかクラスターから除去されるたびに、全てのルーチンを変更しなければならないことを意味する。大きなサーバークラスターにおいて、個々のサーバー欠陥が異常なものでなく、実際に、計画に入れねばならないとすれば、このようなクラスターの管理保守は、不可能でないまでも、非常に困難である。
【０００６】
他の技術は、種々の動作条件のもとでサーバーのネットワークを負荷バランスさせるように進歩している。おそらく、最も行き渡っている負荷バランス技術は、実際の要求が受け取られるのに応答してサーバー間でリソースをいつそしてどこにシフトすべきか動的に決定するのに必要な情報を累積するバックグランド又はアウト・オブ・チャンネル負荷モニタを実施する解決策を取り入れている。例えば、ジョーダン氏等（米国特許第６，４３８，６５２号）は、各サーバーがクラスター内の他の全てのサーバーに対して第２レベルのプロキシーキャッシュとして更に動作するようなネットワークポリシーキャッシュサーバーのクラスターを説明している。バックグランド負荷モニタは、特定コンテンツオブジェクトに対して繰り返される第２レベルキャッシュ要求についてサーバークラスターを観察する。同じ第２レベルキャッシュから満足される同じコンテンツに対して過剰な要求があることは、応答側サーバーが過負担になっている指示であると考えられる。サーバーによりサービスされている直接的即ち第１レベルのキャッシュ要求頻度と、第２レベルのキャッシュ要求頻度とのバランスに基づいて、負荷モニタは、コンテンツオブジェクトを１つ以上の他のキャッシュにコピーし、それにより、広く且つ繰り返し要求されるコンテンツオブジェクトに対して第２レベルのキャッシュワーク負荷を分散すべきかどうか決定する。
【０００７】
簡単なコンテンツオブジェクトのようなリソースを、負荷バランスをとるように容易にシフトできない場合には、通常、タスク又はプロセスとして表わされる要求を、サーバーのクラスターネットワーク内の他のサーバーへ選択的に転送することにより動作することを特徴とする別の解決策が開発されている。中央の負荷バランスコントローラは、これを回避することが好ましいので、各サーバーは、他のサーバーのどれが要求を受け入れそして実際にそれに対応する要求転送を与えるか決定するための監視及び通信メカニズムを実施することが要求される。このメカニズムのプロセス転送の態様は、そのメカニズムが、転送すべきタスクの特定の性質と、タスクの仕様を表わす個別データパケットの転送から能動的実行プロセスの全状態の収集及び搬送に至るまでの複雑さの範囲とに強く依存しているという点で、しばしば実施特有のものである。逆に、それに関連する従来の負荷監視メカニズムは、一般に、ソース向き又はターゲット向きとして分類することができる。ソース向きのサーバーは、クラスター内のターゲットサーバーの少なくともあるサブセットに能動的に問合せをしてその負荷状態を検索することにより、ターゲットサーバーの負荷状態を能動的に監視する。ターゲット向きの負荷監視は、個々のターゲットサーバーが、最低限、タスク転送を受け入れる容量を反映する負荷状態情報をブロードキャストするというパブリケーション原理で動作する。
【０００８】
一般に、負荷状態情報をソース及びターゲットで共有することは、クラスター内の他のサーバーが、サーバークラスターの使用可能な負荷容量のある動的表示をオンデマンドで得るか又は時間と共に集計するのを許すために、ある間隔で実行される。しかしながら、大きなサーバークラスターの場合には、サーバークラスター全体に課せられる個別通信オペレーションの数を最小にするために、負荷決定オペレーションがしばしばローカル又はサーバー関連ネットワーク隣接部に限定される。より遠隔のサーバーの負荷値は、時間をかけてネットワークを経て伝播しなければならず、従って、不正確な負荷レポートを生じ、不均一な負荷分布を招くという兼ね合いである。
【０００９】
それに関連した問題が、アロン氏等（米国特許第５，５３９，８８３号）において説明されている。サーバークラスター負荷ベクトルへと集合されるサーバー負荷値は、サーバークラスターの種々のサーバーにより増分的に要求されるか又は宣伝される。サーバーがベクトルのローカルコピーを転送する前に、そのサーバーに対する負荷値がベクトルにおいて更新される。更新されたベクトルを受け取るサーバーは、次いで、規定のルールに基づき、その受け取った負荷値でベクトルのサーバーローカルコピーを更新する。従って、ある所与の隣接部に対して負荷値を再分布すると、最初に軽い負荷のかかったサーバーを、サービスに対する長期高需要に露出させることがある。それにより生じるタスクの過負荷及びそれに続くサービスの拒否は、少なくとも、より高いサーバー負荷値を反映する新たな負荷ベクトルが充分な数のサーバー間を循環して負荷を適切に反映するまで、継続する。この問題を軽減するために、アロン氏等は、負荷バランスメカニズムの一部分として負荷値情報に対するツリー構造の分布パターンを説明している。ツリー構造の負荷情報転送に基づき、軽い負荷のかかったサーバーを識別する低い負荷値は、軽い負荷のかかったサーバーがタスク転送で溢れるのを防止するために分布を通してエージングされる。
【００１０】
ソース向きであろうとターゲット向きであろうと、サーバークラスターのサーバー間の負荷情報の周期的共有に基づいて負荷バランスをとることは、負荷情報が最終的に配送されるものとして信頼性があるという基本的仮定で動作する。タスク転送の拒絶は、従来、基本的な欠陥として処理され、しばしば回復可能であるが、広範な例外処理を要求する。従って、最終的にバランスのとれた負荷分布を達成するために益々多数のタスク転送回復及び再試みオペレーションが要求されるので、個々のサーバーの性能は、安定化するのではなく、次第に増加する負荷のもとで、著しく低下する傾向となり得る。
【００１１】
高い負荷状態を通常招く環境では、負荷情報の交換及び確実性を加速するために特殊なネットワークプロトコルが開発されている。ネットワークのトラフィック負荷を分担するために、ルーター及び他のスイッチ装置が種々のコンフィギュレーションでしばしばクラスター化される。ローカルの冗長なルーターコンフィギュレーションにおいて欠陥監視を与えると共に、ローカルルーターとリモートルーターとの間で負荷情報を共有するために、リンクネットワークプロトコルが提供される。他の共有情報の中で、現在負荷情報が装置と装置との間に高い頻度で伝播され、クラスター化された装置の個々の負荷状態を連続的に反映する。例えば、ベア氏（米国特許第６，４９３，３１８号）に説明されたように、プロトコルデータパケットは、負荷情報を定義してその伝播を管理すると共にクラスター内の個々の装置の負荷状態を更に詳細に示すための情報で充分に詳述することができる。スパンニングツリータイプ情報分布アルゴリズムをサポートしてプロトコルパケット伝播を制御しそしてループバックを防止する上で、シーケンス番号、ホップカウント、及び種々のフラグビットが使用される。公表される負荷値は、内部スループットレート及び待ち時間コストに関して定義され、これは、他のクラスター化されたルーターに、好ましいルート経路を決定するためのより洗練された基礎を許す。ベア氏により説明された装置に使用されるカスタムプロトコルは、有効ではあるが、負荷バランスプロトコルの実質的部分を、ネットワークプロセッサのような特殊な高速ハードウェアで実施することを本質的に要求する。それ故、このようなプロトコルの効率的な取り扱いは、汎用でない特殊なコンピュータシステムに限定される。
【００１２】
バラード氏（米国特許第６，０７８，９６０号）は、他の特徴の中でも、サーバーネットワークのクライアント向け負荷バランス型使用を与えるクライアント／サーバーシステムアーキテクチャーを説明している。クライアントコンピュータシステムにより使用できる種々のサーバーコンピュータシステムが独立したサービスプロバイダーにより提供され、且つ異なるサーバーの使用が異なるコスト構造を伴うような環境の場合に、バラード氏は、クライアントからサーバーネットワーク内の個別の個々のサーバーへ負荷を選択的に分配するためのクライアントベースの解決策を説明している。クライアントベースの負荷バランスを実施することにより、バラード氏のクライアントコンピュータシステムは、サービスプロバイダーのサーバーネットワーク実施とは本質的に独立している。
【００１３】
バラード氏の負荷バランスシステムを実施するために、各クライアントコンピュータシステムには、サーバー識別リストが設けられ、そこから、クライアント要求を受け取るためのサーバーが次第に選択される。このリストは、このリストで識別される各サーバーに対して、発行されるべきクライアント要求のパーセンテージ負荷及び最大周波数のような負荷制御パラメータを指定する。サーバー負荷は、要求を完了するのに必要な接続時間、又は要求に対する応答で転送されるデータの量に基づいて、クライアントによりおおよそ推定されるに過ぎない。次いで、負荷制御パラメータにより定義された負荷バランスプロフィールに統計学的に適合するように必要に応じて選択されたサーバーへ個々のクライアントによりクライアント要求が発行される。サーバー識別リスト及びそれに含まれる負荷制御パラメータは、クライアントにより静的に保持されるが、個々のクライアントは、それでもなお、サーバーの専用の記憶位置から種々のインターバルで新たなサーバー識別リストを検索することができる。更新されたサーバー識別リストは、アドミニストレータの手動の指図のもとに必要に応じてサーバーへ配布される。サーバー識別リストの更新は、アドミニストレータが、変化するクライアント要求のために負荷バランスプロフィールを必要に応じて手動で調整すると共に、ネットワークに対するサーバーの追加及び除去を受け入れることを許す。
【００１４】
サーバー識別リストの静的な性質は、バラード氏のシステムのクライアントに基づく負荷バランスオペレーションが、サーバーネットワークの実際のオペレーションに対して基本的に応答しないようにする。特定のサーバー負荷は、種々のクライアントにより推定できるが、クライアント要求に完全に応答しない欠陥しか検出できず、これは、非応答サーバーを、クライアント要求にサービスすることへの更なる参加から除外することで取り扱うしかない。従って、動的に変化する負荷状態のもとでは、クライアントにより実行される片側の負荷バランス動作がサーバーネットワークの実際の負荷を甚だしく誤解し、更には、少なくともアドミニストレータの手動の介在により再イネーブルされるまでサーバーを参加から除外させることになる。サーバーをサーバーネットワークからこのように盲目的に除外することは、残りのサーバーに対する負荷を増大し、ひいては、他のサーバーがサーバーネットワークから除外される見込みを増大するだけである。それ故、サーバーを再イネーブルして、サーバーネットワークに対する負荷の集合的クライアントバランスを調整するためにサーバー識別リストを手動で更新することを含めて、能動的なサーバーネットワークをアドミニストレータが常時手動で監視することが必要となる。このようなアドミニストレータの保守は、少なくともユーザが悪い性能の発生を認知する迅速さに比して極めて低速であると共に、動作の非実用性の点からコストがかかるものである。
【発明の開示】
【発明が解決しようとする課題】
【００１５】
以上の説明から、サーバーのクラスターを協働的に負荷バランスさせるための改良されたシステム及び方法が要望されることが明らかである。又、従来技術では述べなかったが、クラスターの一部分としてのサーバーの相互オペレーションに対するだけでなく、外部のクライアントコンピュータシステムに複合サービスを提供するサーバークラスターとしても、サーバークラスターのコンフィギュレーションを協働的にマネージすることが更に要望される。又、扱われていないのは、クラスター内のサーバー間で交換される情報に対するセキュリティの必要性である。クラスター化されたシステムは、セキュリティに敏感な目的で更に広く使用されることになるので、共有情報の傍受によりクラスターオペレーションの一部分が転用されたり、又は妥協されたサーバーがクラスターに導入されたりすると、受け入れられないリスクをもたらす。
【課題を解決するための手段】
【００１６】
したがって、本発明の全般的な目的は、拡張可能な(scalable)なネットワークサービスを効果的に提供するためにサーバー群（サーバークラスター）を協同して負荷バランスする効果的システム及び方法を提供することである。
【００１７】
定義されたネットワークサービスを実行するために構成されたサーバークラスターを提供することによって、本発明が達成される。ホストコンピュータシステムは、ネットワークサービスの実行要求を分散化するために、クラスターのサーバーと独立したトランザクション（典型的にはデータの転送処理を含む）にかかわる。ホストコンピュータシステムは、クラスターサーバの特定を行い、それぞれのトランザクションを実行するクラスターの目標サーバを動的に選択する。クラスターサーバーの選択は、前のトランザクションを介して、個々のサーバからのホストコンピュータによって集められたサーバ性能情報に基づき、ホストコンピュータによって自動的に行われる。
【００１８】
クラスターサーバの性能情報は、前のトランザクションの中に戻された負荷値を含む。戻された負荷値の組は、対応するクラスターサーバーの実行状態を反映する。必要に応じて、同時に戻された重み値は、サービス要求と一緒に提供されるあるアクセス属性情報のポリシー評価をローカル化した目標クラスターサーバーを反映する。目標サーバーは、ネットワーク要求、負荷値、重み値、又はそれらの組み合わせによって特定されるオペレーションに関係してローカルに評価したアクセス属性に明確に基づき、サービス要求を明確に拒絶することができる。前記要求が受け入れられようと拒絶されようと、決定された負荷及び必要に応じた重み値が、ホストコンピュータから生じる要求に戻され、その後のトランザクションのための目標サーバを選択する基礎として記憶され且つ使用される。
【００１９】
したがって、本発明の効果は、サーバーコンピュータシステムのクラスターを効果的に負荷バランスするのに必要なオペレーションが、ホストコンピュータシステムとクラスターの目標サーバーとの間に実行される自律行為に基づいて協同して行われる。負荷関連の情報は、個々のサービストランザクションに先立って個別というより、ホストとクラスターサーバーとの間の個々のサービストランザクションの過程で共有される。
【００２０】
クラスターのサーバー間、又はホスト及びサーバー間でさえ、関与するホスト間で負荷情報を共有するために、通信接続が独立し、明確であるように要求されることはない。その結果として、オペレーションで共有する進行中の負荷情報を実行することにおいて、ホスト又はサーバーの一部で性能が失われることがない。さらに、複雑なオペレーションの回避や、負荷情報を共有するための複数ネットワーク接続の開始やオペレーションの遅延が回避される。
【００２１】
本発明の他の効果は、本発明のサーバークラスターを完全に利用するために被るオーバヘッド処理が、ホスト及びサーバーコンピュータシステムに対するサービス要求頻度に関連して最小且つ必須の一定値で済むということである。ホストコンピュータシステムは、サービス要求を発行し、且つ受信したサーバー応答をその後に記録する予測において、利用可能なクラスターサーバーの実質的に一定の基本評価を実行する。要求を拒絶する可能性に対する問題として、ホストコンピュータシステムにはこれ以上のオーバーヘッドが置かれない。サービス要求の拒否が生じる場合であっても、サーバ選択の評価が最小の遅延奈要求された処理ステップによって再実行される。サーバ側では、ポリシーエンジンを介して各サービス要求が受信され評価され、その要求が拒絶されるべきか、又はポリシー事項としてその後の選択評価に相対的に優先されるべきである所与の重みであるか否かを迅速に決定する。
【００２２】
本発明の更に効果は、ホストコンピュータシステムの機能が、異なる実行要求を最高に満足するのに必要なものとして様々なアーキテクチャ的な構成で分配され得ることである。従来のクライアント／サーバ構成の場合、クライアントへ直接的にホスト機能を実装することができる。また、クライアント／サーバ構成の場合、ホストのオペレーションによって、ファイルシステムプロキシとしてのホスト機能を実装することができ、コアネットワークファイルサーバのデータストアへのアクセスをフィルタするために動作する仮想マウントポイントをサポートする。
本発明の好ましい実施例では、ホストコンピュータシステムは、一般的には、コアとなるネットワークデータ資産に対するアクセスを有し且つ提供する直接的な保護システムである。
【００２３】
さらに、本発明の効果は、ホストシステム及びクラスターサーバーの協同内部オペレーションが、完全に負荷バランスを減少させること、オペレーションの拡張（スケラビリティ）ができるようにすることである。維持の適正さや他の実装をアドレスするために、ホストによって保持されるサーバーリストの修正によって、ネットワークサービスクラスターを容易にスケール化且つ部分化することができる。クラスターサービスからサーバーの存在及び撤退を記録（マーク）するため、トランザクション内におけるホストへの通知のポスティング(posting)を通じて修正を実行することができる。サーバークラスターは信頼あるサービスを提供することができるので、サーバーリストの更新のタイミングは重大ではなく、複数のホストにわたって同期して実行される必要もない。
【００２４】
本発明の他の効果は、サーバークラスターの負荷バランスアルゴリズムの選択要素がホスト及びサーバーシステムによって互いに直行するように計算され得るということである。おそらく、分散サーバーは個々のトランザクションを共有するために一瞬の負荷及び適当なポリシー情報を評価する。受信した負荷及びポリシー重み情報に基づき、ホストは、複数のトランザクションを越えて展開し、そしてクラスター内から直接明らかでない外部要因を更に考慮して、一般的に直交するトラフィックのシェーピング１（shaping）評価を実行することが好ましい。例えば、ホスト／サーバーネットワーク通信のコストと待ち時間などである。その結果生じる協同的な負荷バランスオペレーションは、ホストとサーバーの実行性能を効率的にし、オーバヘッドの低い利用をもたらすことになる。
【発明を実施するための最良の形態】
【００２５】
システムアーキテクチャーは、一般に、クライアント／サーバーパラダイムに従うが、実際の実施は、通常、複雑であり、広範な様々な積層ネットワーク資産（アセット）を包含する。アーキテクチャー上の一般化は困難であるが、信頼性、拡張性及びセキュリティの基本的共通要件が全て存在する。本発明に関連して認識されるように、ネットワークコンピュータシステム企業のサーバーシステム及びデータを含む少なくともコア資産については、セキュリティのための特定の要件が共通に存在する。本発明は、コア資産へのアクセスを低下せずに企業内に確立された種々のホストへのセキュリティサービスを提供するサーバーのクラスターを設ける一方、セキュリティサービスクラスターの利用を効率的な負荷バランスにより最大にするシステム及び方法を提供する。当業者であれば、本発明は、コアネットワークセキュリティサービスの実施に特に適用できるが、基本的には、サーバークラスターの効率的な負荷バランスのとれた利用を可能にすると共に、更には、サーバークラスターの効率的で且つセキュアな管理も可能にすることが明らかであろう。又、明らかなように、本発明の好ましい実施形態の以下の詳細な説明では、１つ以上の図面に示された同じ部分を指すのに、同じ参照番号を使用している。
【００２６】
本発明の基本的な好ましいシステム実施形態１０が図１Ａに示されている。多数の独立したホストコンピュータシステム１２1-Nが、高速スイッチ１６を経てセキュリティプロセッサクラスター１８に冗長に接続される。ホストコンピュータシステム１２1-Nと、スイッチ１６と、クラスター１８との間の接続は、専用又は共有媒体を使用してもよく、そしてホストコンピュータシステム１２1-Nと、スイッチ１６と、クラスター１８との間に直接的に延びてもよいし或いはＬＡＮ又はＷＡＮ接続を経て延びてもよい。本発明の好ましい実施形態によれば、ポリシー施行モジュール（ＰＥＭ）が各ホストコンピュータシステム１２1-Nにおいて実施されて、該システムにより個別に実行される。各ＰＥＭは、その実行時に、セキュリティ関連情報をセキュリティプロセッサクラスター１８へ選択的にルーティングして、要求されたオペレーションをホストコンピュータシステム１２1-Nにより又はそれに代わって個別に資格付けする役割を果たす。本発明の好ましい実施形態の場合に、これらの要求は、認証、認可、ポリシーに基づく許可、及び共通ファイルシステムに関連したオペレーションの包括的組み合せを表わす。従って、明らかなように、データ記憶装置１４として一般に示されたデータ記憶装置に対するファイルデータの読み取り又は書き込みも、対応するホストコンピュータシステム１２1-Nにより実行されるＰＥＭによりセキュリティプロセッサクラスター１８を経てルーティングされる。ＰＥＭの全てのオペレーションは、セキュリティプロセッサクラスター１８により順次に制御又は資格付けされるので、ホストコンピュータシステム１２1-Nの種々のオペレーションをセキュアに監視及び資格付けすることができる。
【００２７】
本発明の別の企業システム実施形態２０が図１Ｂに示されている。この企業ネットワークシステム２０は、周囲ネットワーク２２を含むことができ、これは、クライアントコンピュータシステム２４1-Nを、ＬＡＮ又はＷＡＮ接続を経て、少なくとも１つのそしてより一般的には多数のゲートウェイサーバー２６1-Mに相互接続し、これらゲートウェイサーバーは、コアネットワーク２８へのアクセスを与える。種々のバックエンドサーバー（図示せず）、ＳＡＮ及びＮＡＳデータ記憶装置３０のようなコアネットワーク資産には、クライアントコンピュータシステム２４1-Nによりゲートウェイサーバー２６1-M及びコアネットワーク２８を経てアクセスすることができる。
【００２８】
本発明の好ましい実施形態によれば、ゲートウェイサーバー２６1-Mは、クライアントコンピュータシステム２４1-Nに対する周囲セキュリティと、ゲートウェイサーバー２６1-Mにより確立された周囲内のコアネットワーク２８及びそれにアタッチされたネットワーク資産３０に対するコア資産セキュリティの両方を実施することができる。更に、ゲートウェイサーバー２６1-Mは、クライアントコンピュータシステム２４1-Nに代わってデータ処理プログラムを実行するアプリケーションサーバーとして動作することができる。名目上、ゲートウェイサーバー２６1-Mは、コアネットワーク資産に向けられたネットワークファイル要求を処理するために直接的経路に設けられる。従って、ネットワークコンピュータシステム１０の全体的性能は、少なくとも一部分は、ゲートウェイサーバー２６1-Mのオペレーション性能、信頼性及び拡張性に直接依存する。
【００２９】
ゲートウェイサーバー２６1-Mのセキュリティサービスを実施する際に、クライアント要求がゲートウェイサーバー２６1-Mの各々により遮られて、スイッチ１６を経て、セキュリティプロセッサクラスター１８へ向け直される。スイッチ１６は、高速ルーターファブリックでよく、この場合、セキュリティプロセッサクラスター１８は、ゲートウェイサーバー２６1-Mに対してローカルとなる。或いは又、従来のルーターを冗長コンフィギュレーションにおいて使用して、ゲートウェイサーバー２６1-Mとセキュリティプロセッサクラスター１８との間にスイッチ１６を経てバックアップネットワーク接続を確立することもできる。
【００３０】
図１Ａ及び１Ｂに示す両実施形態１０、２０の場合に、セキュリティプロセッサクラスター１８は、共通ネットワークサービスを提供するように各々構成されたサーバーコンピュータシステムの並列編成アレーとして実施されるのが好ましい。本発明の好ましい実施形態では、提供されるネットワークサービスは、ネットワークファイルデータ転送要求を含むネットワークデータパケットのファイアウオールベースのフィルタリングと、資格付けされたネットワークファイル要求に応答して実行されるファイルデータの選択的両方向性暗号化及び圧縮とを含む。これらのネットワーク要求は、ホストコンピュータシステム１２1-N、クライアントコンピュータシステム１４1-N、及び例えば、アプリケーションサーバーとして動作するゲートウェイサーバー１６1-Mで直接的に発信されてもよいし、或いはこれらシステムにより受け取られた要求に応答して発信されてもよい。セキュリティプロセッサクラスター１８の個々のサーバーにより実行される詳細な実施及びプロセスは、２００２年７月２２日に出願された「Secure Network File Access Control System」と題する出願中の特許出願第１０／２０１，４０６号、２００２年７月２２日に出願された「Logical Access Block Processing Protocol for Transparent Secure File Storage」と題する特許出願第１０／２０１，４０９号、２００２年７月２２日に出願された「Secure Network File Access Controller Implementing Access Control and Auditing」と題する特許出願第１０／２０１，３５８号、及び２００２年１０月１６日に出願された「Secure File System Server Architecture and Methods」と題する特許出願第１０／２７１，０５０号に説明されており、これらは、全て、本発明の譲受人に譲渡されたもので、参考としてここに援用する。
【００３１】
ホストコンピュータ１２1-Xのアレーと、セキュリティプロセッサクラスター１８との相互オペレーション４０が図２に詳細に示されている。本発明の好ましい実施形態では、ホストコンピュータ１２1-Xは、通常のホストコンピュータシステムとして種々動作する従来のコンピュータシステムであり、クライアントコンピュータシステム、ネットワークプロキシー、アプリケーションサーバー、及びデータベースサーバーとして特にタスクが課せられる。ＰＥＭコンポーネント４２1-Xは、ホストコンピュータ１２1-Xの各々にインストールされて実行され、ローカル及びコアデータ記憶装置１４、３０に向けられたネットワーク要求を機能的に遮って選択的に処理するのが好ましい。要約すれば、ＰＥＭコンポーネント４２1-Xは、特定の要求を個々のトランザクションにおいてセキュリティプロセッサクラスター１８内のターゲットサーバー４４1-Yへ選択的に転送して、ポリシー評価を行うと共に、適宜に、ネットワーク要求を完了できるよう更にサービスする。要求を転送する際に、ＰＥＭコンポーネント４２1-Xは、自律的に動作するのが好ましい。要求の発生、又はセキュリティプロセッサクラスター１８内のターゲットサーバー４４1-Yの選択に関する情報は、特に、時間に厳密に、ＰＥＭコンポーネント４２1-X間に共有させる必要はない。実際に、ＰＥＭコンポーネント４２1-Xは、セキュリティプロセッサクラスター１８に対してＰＥＭコンポーネント４２1-Xのオペレーション全体にわたり他のホストコンピュータ１２1-Xの存在又はオペレーションの通知を要求しない。
【００３２】
好ましくは、各ＰＥＭコンポーネント４２1-Xには、セキュリティプロセッサクラスター１８内の個々のターゲットサーバー４４1-Yのリスト識別が最初に与えられる。ネットワーク要求に応答して、ＰＥＭコンポーネント４２1-Xは、要求を処理するための個別のターゲットサーバー４４を選択し、そしてＩＰスイッチ１６を経てその選択されたターゲットサーバー４４へ要求を送信する。特に、ＰＥＭコンポーネント４２1-Xが、アプリケーションサーバー及び同様の実施形態の場合に生じるローカルクライアントプロセスに応答して実行する場合には、そのクライアントプロセスに関連したセッション及びプロセス識別子アクセス属性が収集されて、ネットワーク要求と共に与えられる。ＰＥＭコンポーネント４２1-Xのこのオペレーションは、転送されるネットワーク要求が、選択されたターゲットサーバー４４へ優先的に発行されるという点で、特に自律的である。但し、その要求がその指定のターゲットサーバー４４により受け容れられて取り扱われると仮定する。
【００３３】
本発明によれば、ターゲットサーバー４４1-Yは、このターゲットサーバー４４1-Yに利用できる現在リソースと、ネットワーク要求と共に与えられるアクセス属性のポリシー評価とに基づいて、ネットワーク要求を条件付きで受け容れる。充分な処理リソースがないか又はポリシーに違反していて、要求が発行されたところのローカル又はコア資産のポリシー決定非利用性を典型的に反映するときには、ターゲットサーバー４４1-Yによりネットワーク要求が拒絶される結果となる。さもなければ、ターゲットサーバー４４1-Yは、要求を受け容れて、その要求されたネットワークサービスを遂行する。
【００３４】
ネットワーク要求に応答して、その要求が最終的に受け容れられるか又は拒絶されるかに関わらず、ターゲットサーバー４４1-Yは、負荷及び任意であるが重み情報を、ネットワーク要求を発信したＰＥＭコンポーネント４２1-Xへ応答の一部分として返送する。負荷情報は、要求を発しているＰＥＭコンポーネント４２1-Xに、ターゲットサーバー４４1-Yにおける現在データ処理負荷の表示を与える。重み情報も、同様に、要求を発しているＰＥＭコンポーネント４２1-Xに、特定のネットワーク要求、その要求に関連した発信側ホスト１２又はゲートウェイサーバー２６、アクセス属性のセット及び応答側ターゲットサーバー４４1-Yに対するポリシー決定プライオリティ重みの現在評価を与える。好ましくは、セキュリティプロセッサクラスター１８との多数のネットワーク要求トランザクションの工程にわたり、個々のＰＥＭコンポーネント４２1-Xは、特定のクライアントコンピュータシステム１２1-N及びゲートウェイサーバー２６1-Mからのネットワーク要求を取り扱うのに使用するために、おそらく最良のターゲットサーバー４４1-Yを識別するのに用いる優先的プロフィールを開発する。個々のトランザクションで報告される負荷及び重みの値は、時間と共にエージングすると共に、個々のポリシー評価の複雑さに基づいて更に変化し得るが、ホストコンピュータシステム１２1-Xを進行中に能動的に利用することで、ＰＥＭコンポーネント４２1-Xは、個々のターゲットサーバー４４1-Yによる要求拒絶の発生を最小にする傾向のある実質的に正確な優先的プロフィールを開発して維持することが許される。従って、ネットワーク要求の負荷分布は、ネットワーク要求トランザクションの受け容れレートを最大にするに必要な程度にバランスされる。
【００３５】
ＰＥＭコンポーネント４２1-Xのオペレーションと同様に、ターゲットサーバー４４1-Yのオペレーションも、個々のネットワーク要求の受信及び処理について本質的に自律的である。本発明の好ましい実施形態によれば、負荷情報は、特に、ネットワーク要求に応答する厳密な時間経路において、クラスター１８内のターゲットサーバー４４1-Y間で共有することが要求されない。好ましくは、ターゲットサーバー４４1-Yは、与えられたネットワーク要求を受信するように均一に動作し、そして与えられた要求の知識において、その要求が受け容れられるかどうか識別し、負荷及び任意の重み情報を与え、そして要求を拒絶する理由を少なくとも暗示的に指定する。
【００３６】
負荷情報を共有するために特に設けられるのではないが、セキュリティプロセッサクラスター１８内の個々のターゲットサーバー４４1-Y間に通信リンクが設けられるのが好ましい。本発明の好ましい実施形態では、選択クラスターマネージメント情報、特に、存在、コンフィギュレーション及びポリシー情報の通信をターゲットサーバー４４1-Y間でセキュアに共有するのを許すために、クラスターローカルエリアネットワーク４６が確立される。このクラスターローカルエリアネットワーク４６の通信は、セキュアなソケットレイヤ（ＳＳＬ）接続を使用すると共に、更に、マネージメント情報の送信に対してセキュアな独占的プロトコルを使用することにより、保護される。従って、個別の物理的にセキュアなクラスターローカルエリアネットワーク４６が好ましいが、クラスターマネージメント情報は、セキュリティプロセッサクラスター１８のターゲットサーバー４４1-Yを相互接続するために必要に応じて共有物理的ネットワークを経てルーティングされてもよい。
【００３７】
好ましくは、存在情報は、暗号化された識別子を使用してセキュリティプロセッサクラスター１８の参加ターゲットサーバー４４1-Yを周期的に識別するブロードキャストプロトコルにより送信される。セキュリティ情報は、好ましくは、詐欺師又はトロイの装置がクラスター１８に加入したりターゲットサーバー４４1-Yのセキュアなコンフィギュレーションを妥協したりするのを除外することでセキュリティプロセッサクラスター１８の完全性を確保するように動作する軽量プロトコルを使用して送信される。又、セキュリティプロセッサクラスター１８内の個々のターゲットサーバー４４1-Yにより使用されるポリシールールの同期更新を含むコンフィギュレーション情報の制御された伝播をサポートする付加的な軽量プロトコルを使用して、コンフィギュレーションポリシー情報のセットが通信される。存在情報がネットワーク要求処理の公称レートに対して低い周波数で送信され、且つセキュリティ及びコンフィギュレーションポリシー情報プロトコルが、例えば、ターゲットサーバー４４1-Yの追加、及びポリシールールセットへの管理更新のエントリーにより、セキュリティプロセッサクラスター１８の管理上の再コンフィギュレーションについてのみ実行されるとすれば、クラスター内通信をサポートするために個々のターゲットサーバー４４1-Yに課せられる処理オーバーヘッドが無視でき且つクラスター負荷とは独立したものとなる。
【００３８】
本発明の好ましい実施形態に使用されるソフトウェアアーキテクチャー５０のブロック図兼フローチャートが図３に示されている。一般に、インバウンドネットワーク要求トランザクションは、スイッチ１６を経てルーティング可能な通信セッションをサポートするハードウェアベースのネットワークインターフェイスコントローラにより処理される。これらのインバウンドトランザクションは、第１のネットワークインターフェイス５２、プロトコルプロセッサ５４及び第２のネットワークインターフェイス５４を経て処理され、その結果、アウトバウンドトランザクションがホストコンピュータ１２1-Xを経てローカル及びコアデータ処理及び記憶資産１４、３０へ向け直される。同じ、個別の又は多数の冗長のハードウェアネットワークインターフェイスコントローラを各ターゲットサーバー４４1-Yにおいて実施し、そしてスイッチ１６を経てインバウンド及びアウトバウンドトランザクションを搬送するように対応的に使用することができる。
【００３９】
ローカル及びコアネットワーク資産１４、３０に対して対応するネットワークトランザクションを開始するように各々動作するＰＥＭコンポーネント４２1-Xからターゲットサーバー４４により種々受け取られるネットワーク要求データパケットは、プロトコルプロセッサ５４を経て処理されて、選択されたネットワーク及びアプリケーションデータパケット制御情報を最初に抽出する。好ましくは、この制御情報は、ターゲットサーバー４４1-Yへ従来のやり方でルート転送するために発信側ＰＥＭコンポーネント４２1-Xにより従来のＴＣＰデータパケットにラップされる。或いは又、制御情報は、独占的ＲＰＣデータパケットとしてエンコードすることができる。抽出されたネットワーク制御情報は、ＴＣＰ、ＩＰ及び同様のネットワークプロトコルレイヤ情報を含み、一方、抽出されたアプリケーション情報は、ネットワーク要求が発生された特定のクライアントプロセス及びコンテクストに対して発信側ＰＥＭコンポーネント４２1-Xのオペレーションにより発生され又は決定されたアクセス属性を含む。本発明の好ましい実施形態では、アプリケーション情報は、発信側ホストコンピュータを直接的又は間接的に識別するアクセス属性と、ユーザ及びドメインと、アプリケーションシグネチャー又はセキュリティ証明書と、ネットワーク要求を発信したホストコンピュータ１２1-Nに対して得られるクライアントセッション及びプロセス識別子との集合である。アプリケーション情報は、更に、ユーザを検証(verify)するために実行される認証の状態又はレベルが得られるときにはそれを識別するのが好ましい。好ましくは、ＰＥＭコンポーネント４２1-Xは、アプリケーション情報を、定義されたデータ構造体へと自動的に収集し、このデータ構造体は、次いで、ターゲットサーバー４４1-Yへ送信するためのＴＣＰネットワークデータパケットとしてカプセル化される。
【００４０】
好ましくは、プロトコルプロセッサ５４のオペレーションにより露出されるネットワーク情報は、トランザクション制御プロセッサ５８へ供給され、そしてネットワーク及びアプリケーションの両制御情報は、ポリシーパーサ６０へ供給される。トランザクション制御プロセッサ５８は、状態マシンとして動作して、プロトコルプロセッサ５４を経てネットワークデータパケットの処理を制御すると共に、ネットワーク及びアプリケーション情報を受信して評価する際のポリシーパーサのオペレーションを整合する。トランザクション制御プロセッサ５８の状態マシンオペレーションは、個々のネットワークデータパケットの詳細な検査を制御して、ネットワーク及びアプリケーション制御情報を探索し、そして本発明の好ましい実施形態により、取り囲まれたデータペイロードの暗号化及び圧縮処理を選択的に制御する。又、ネットワークトランザクション状態は、トランザクション制御プロセッサ５８の状態マシンのオペレーションを経て維持される。より詳細には、ネットワークファイルデータの読み取り及び書き込みオペレーション並びに他の同様のトランザクションオペレーションを実施するために交換されるネットワークデータパケットのシーケンスは、プロトコルプロセッサ５４を経て処理される間にトランザクションの完全性を維持するために必要に応じて追跡される。
【００４１】
トランザクション制御プロセッサ５８により初期ネットワーク要求として識別されたネットワークデータパケットを評価する際に、ポリシーパーサ６０は、得られるネットワーク及びアプリケーション制御情報の選択されたエレメントを検査する。ポリシーパーサ６０は、ポリシー／キー記憶装置６２に記憶されたコンフィギュレーションポリシー／キーデータセットに対して動作するルールベースの評価エンジンとして実施されるのが好ましい。ルール評価は、受け取ったネットワークファイルデータパケットにより表わされたネットワークファイル要求の処理を可能にするために必要とされるホストコンピュータ１２1-Nの認証のレベルを決定する判断ツリーロジックを実施するのが好ましく、前記決定は、認証のレベルを満足するかどうか、要求を開始するホストコンピュータ１２1-Nのユーザがその要求されたコアネットワーク資産にアクセスすることが許可されたかどうか、そして更に、ネットワーク要求と共に与えられるプロセス及びアクセス属性が、ネットワーク要求で識別された特定のローカル又はコアネットワークリソース１４、３０へのアクセスを可能にするのに充分であるかどうかについて行われる。
【００４２】
本発明の好ましい実施形態では、ファイルデータにアクセスするためのネットワーク要求に応答して評価される判断ツリーロジックは、ユーザ認証状態、ユーザアクセス認可、及びアクセス許可を考慮する。ユーザの認証は、識別されたネットワーク要求コアネットワーク資産、取り付けポイント、ターゲットディレクトリー及びファイル仕様の組み合せに対してコンフィギュレーションポリシー／キーデータセットに定義された最小要求認証レベルに関して考慮される。コンフィギュレーションポリシー／キーデータセットに対するユーザの認可は、特定のネットワークファイル要求、ユーザのネーム及びドメイン、クライアントＩＰ、並びにクライアントセッション及びクライアントプロセス識別子アクセス属性の組み合せに対して考慮される。最終的に、アクセス許可は、ユーザのネーム及びドメイン、取り付けポイント、ターゲットディレクトリー及びファイル仕様アクセス属性を、対応的に指定された読み取り／変更／書き込み許可データ、並びにコンフィギュレーションポリシー／キーデータセットに指定された他の使用可能なファイル関連機能及びアクセス許可制約と共に評価することにより、決定される。
【００４３】
ＰＥＭコンポーネント４２1-Xが、仮想指定されたデータ記憶装置に対するファイルシステム要求を、特定のローカル及びコアネットワークファイルシステムデータ記憶装置１４、３０へマップし及び向け直すのに有用なファイルシステムプロキシーとして機能する場合には、ホストコンピュータシステム１２1-Nにアクセスできる仮想ファイルシステム取り付けポイントのセット認識と、仮想取り付けポイントから真の取り付けポイントへのマッピングとを定義するためのデータもポリシー／キー記憶装置６２に記憶される。又、ポリシーデータは、許可されたホストコンピュータソースＩＰの範囲を種々定義することもでき、これは、アプリケーションの認証を、クライアントアクセスに対する必須条件として施行すべきか、認可されたアプリケーションの認可されたデジタルシグネチャーの限定されて許可されたセットとして施行すべきか、又、ユーザセッションの認証を生まれた(spawned)プロセスへと拡張するか、又は異なるユーザネーム及びドメイン仕様並びに他の属性データを伴うプロセスへと拡張するかについて行われ、前記他の属性データは、ポリシーパーサ６０のオペレーションにおいて、ＰＥＭコンポーネント４２1-Xによりオンデマンドで配列することのできるアプリケーション情報及びネットワーク情報に対して一致させるか、さもなければ、弁別するのに使用できるものである。
【００４４】
本発明の好ましい実施形態において、ポリシー／キー記憶装置６２には暗号キーも記憶される。好ましくは、個々の暗号キー及び適用可能な圧縮仕様が、判断ツリーとしてパース可能な論理的ハイアラーキーポリシーセットルール構造体に維持される。各ポリシールールは、取り付けポイント、ターゲットディレクトリー及びファイル仕様のアクセス属性定義組み合せを含むネットワーク及びアプリケーション属性のある組み合せの仕様を与え、これにより、対応する要求の更なる処理についての許可制約を弁別することができる。保留中の要求に基づき、それに対応する暗号キーは、プロトコルプロセッサの主題により実施される暗号化及び暗号解読オペレーションをサポートするためにトランザクション制御プロセッサ５８により要求されたときにポリシールールセットからポリシーパーサ６０のオペレーションによりパースされる。本発明の好ましい実施形態では、ネットワーク及びアプリケーション情報に対して迅速な評価を許すようにポリシールール及び関連キーデータがハッシュテーブルに記憶される。
【００４５】
ポリシーデータセットデータの手動管理は、好ましくはプライベートネットワークを経てアクセスされる管理インターフェイス６４と、専用の管理ネットワークインターフェイス６６とを経て実行される。ポリシーデータセットに対する更新は、好ましくは、セキュリティプロセッサクラスター１８のターゲットサーバー４４1-Y間で、個別のクラスターネットワークインターフェイス６８を経てアクセスできるクラスターネットワーク４６を通して自律的に交換される。クラスターポリシープロトコルコントローラ７０は、現在ブロードキャストメッセージを取り扱い、クラスター４６の通信のセキュリティを確保し、そしてコンフィギュレーションポリシー／キーデータセットデータに対する更新を交換するためのセキュアなプロトコルを実施する。
【００４６】
ネットワーク要求を受信すると、トランザクション制御プロセッサ５８は、ポリシーパーサ６０により実行される評価と、ターゲットサーバー４４に対して決定される現在処理負荷値とに基づいて、そのネットワーク要求を受け容れるべきか拒絶すべきか決定する。ポリシーパーサ６０に基づく拒絶は、その要求が認証、認可又は許可のポリシー評価に不合格となった場合に生じる。本発明の最初の好ましい実施形態では、ターゲットサーバー４４の現在処理容量を越えて受け取られる要求に対して拒絶が発生されない。受け取った要求は、バッファされ、そして要求応答待ち時間を受け容れられるほど増加させて、受け取った順に処理される。バッファされた要求に応答して直ちに返送される負荷値は、ホストコンピュータ１２1-Nからのその後のネットワーク要求を他のターゲットサーバー４４1-Yへ効果的に向け直す。或いは又、実際にターゲットサーバー４４の現在処理容量を越えるネットワーク要求の受け取りを最小にするように、返送される負荷値を小さな量だけ上方にバイアスすることもできる。本発明の別の実施形態では、ネットワーク要求の実際の拒絶は、ターゲットサーバー４４1-Yの処理容量を越えるのを明確に除外するためにターゲットサーバー４４1-Yにより発生することができる。その後のネットワーク要求を拒絶すべきときを定義するために、例えば、９５％の負荷容量というスレッシュホールドをセットすることができる。
【００４７】
返送される負荷値を与えるために、一次ネットワークインターフェイス５２、５６に接続されたネットワークインターフェイスコントローラ、メインプロセッサ、及びターゲットサーバー４４により使用されたハードウェアベースの暗号化／圧縮コプロセッサに対して決定された個々の負荷値の組み合せに基づいて合成負荷値が計算されるのが好ましい。この合成負荷値、及び任意であるが、個々のコンポーネント負荷値が、ネットワーク要求に応答して、要求発信ホストコンピュータ１２1-Nへ返送される。好ましくは、少なくとも合成負荷値が、現在ネットワーク要求の取り扱いを含むように投影される。従って、ターゲットサーバー４４1-Yのオペレーションを支配する適用可能な負荷ポリシールールに基づいて、返送される応答は、現在ネットワーク要求の受け入れ又は拒絶のいずれかを通知する。
【００４８】
ネットワーク要求に対する認可、認証及び許可評価との組み合せにおいて、ポリシーパーサ６０は、好ましくはネットワーク要求を拒絶すべきかどうかに関わらず、現在トランザクションに対するポリシーセット重み値を任意に決定する。このポリシー決定された重み値は、特定のネットワーク要求及びそれに関連したアクセス属性に対して特定のターゲットサーバー４４を使用することがどれほど適しているかの数値ベース表示である。本発明の好ましい実施形態では、好ましい使用を含む１から１００の正規化範囲における比較的低い値は、受け容れられるネットワーク及びアプリケーション情報の望ましい組み合せに関連付けされる。バックアップ又は別の受け容れられる使用を一般的に識別するために、より高い値が返送される。定義されたスレッシュホールド、例えば、９０より高い任意の値として定義される除外値は、対応するネットワーク要求が緊急状態下以外は特定のターゲットサーバー４４に向けられないところのＰＥＭコンポーネント４２1-Xへ暗示的信号として返送される。
【００４９】
ネットワーク要求に応答して、ターゲットサーバー４４は、任意のポリシー決定された重み値、１つ以上の負荷値のセット、及びネットワーク要求の受け容れ又は拒絶を指示する識別子を含む応答ネットワークデータパケットを返送する。本発明の好ましい実施形態によれば、応答ネットワークデータパケットは、現在トランザクション内のその後のデータパケット転送を、セキュリティプロセッサクラスター１８を経て転送する必要があるかどうか更に指定することができる。名目上、全トランザクションのデータパケットは、暗号化及び圧縮処理を許すために、対応するターゲットサーバー４４を経てルーティングされる。しかしながら、基礎となる搬送ファイルデータが暗号化も圧縮もされない場合、又はこのような暗号化又は圧縮を変更すべきでない場合、或いはネットワーク要求がファイルデータ転送を伴わない場合には、データの現在トランザクション転送で、セキュリティプロセッサクラスター１８を経てトランザクションデータパケットの残りをルーティングする必要がない。従って、現在トランザクションのネットワーク要求がターゲットサーバー４４のポリシーパーサ６０により評価されて承認され、そして受け容れ応答パケットがホストコンピュータ１２1-Nに返送されると、それに対応するＰＥＭコンポーネント４２1-Xは、現在トランザクションを完了するためにセキュリティプロセッサクラスター１８の使用を選択的にバイパスすることができる。
【００５０】
実行時のＰＥＭコンポーネント４２が図４に８０で示されている。ＰＥＭコンポーネント４２の制御機能を実施するために実行されるＰＥＭ制御レイヤ８２は、オペレーティングシステム仮想ファイルシステムスイッチ又はそれと同等のオペレーティングシステム制御構造体のもとでカーネルコンポーネントとしてホストシステム１２にインストールされるのが好ましい。オペレーティングシステムカーネルへの従来の仮想ファイルシステムスイッチインターフェイスをサポートするのに加えて、ＰＥＭ制御レイヤ８２は、内部又はオペレーティングシステムで形成されるファイルシステム８４をサポートするときに通るオペレーティングシステム仮想ファイルシステムスイッチインターフェイスと同等のネイティブ又はネットワークファイルシステム或いはインターフェイスのある組み合せを実施するのが好ましい。外部に設けられるファイルシステム８４は、ダイレクトアクセス（ＤＡＳ）及び記憶ネットワーク（ＳＡＮ）データ記憶資産への接続を可能にするブロック向けのインターフェイスと、ネットワークアタッチ型記憶（ＮＡＳ）ネットワークデータ記憶資産へのアクセスを許すファイル向けのインターフェイスとを含むのが好ましい。
【００５１】
又、ＰＥＭ制御レイヤ８２は、ホストコンピュータシステム１２のホストネーム又は他の独特の識別子、仮想ファイルシステムスイッチを経て受信したネットワークファイル要求を発信するプロセスに対応するソースセッション及びプロセス識別子、並びにネットワークファイル要求を発信するプロセスに対するユーザネーム及びドメインに関連した認証情報をこのＰＥＭ制御レイヤ８２が得るのを許すオペレーティングシステムインターフェイスを実施するのも好ましい。本発明の好ましい実施形態では、ＰＥＭ制御レイヤ８２により受信されるこれらのアクセス属性及びネットワークファイル要求は、従来のＴＣＰデータパケットによりラップされるデータ構造体に入れられる。この有効な独占的ＴＣＰデータパケットは、次いで、ＩＰスイッチ１６を経て送信されて、ネットワーク要求を選択されたターゲットサーバー４４へ与える。或いは又、独占的データ構造体に代わって従来のＲＰＣ構造体を使用することができる。
【００５２】
ターゲットサーバー４４の選択は、コンフィギュレーション及び動的に収集された性能情報に基づいてＰＥＭ制御レイヤ８２により実行される。セキュリティプロセッサＩＰアドレスリスト８６は、セキュリティプロセッサクラスター１８内のターゲットサーバー４４1-Yの各々を識別するのに必要なコンフィギュレーション情報を与える。このＩＰアドレスリスト８６は、ＰＥＭコンポーネント４２の静的な初期化を通して手動で設けることもできるし、或いは好ましくは、ＰＥＭ制御レイヤ８２の初期実行時に、セキュリティプロセッサクラスター１８の指定の又はデフォールトのターゲットサーバー４４1-Yから初期コンフィギュレーションデータセットの一部分として検索される。本発明の好ましい実施形態では、各ＰＥＭコンポーネント４２1-Xは、初期実行時に、セキュリティプロセッサクラスター１８に対して認証トランザクションを実行し、これにより、実行中のＰＥＭ制御レイヤ８２の完全性が検証されると共に、ＩＰアドレスリスト８６を含む初期コンフィギュレーションデータがＰＥＭコンポーネント４２1-Xに供給される。
【００５３】
サーバー負荷及び重み値のような動的情報は、実行中のＰＥＭコンポーネント４２1-XによりＳＰ負荷／重みテーブル８８へ次第に収集される。負荷値は、タイムスタンプされ、そして報告ターゲットサーバーに対してインデックスされる。重み値も、同様に、タイムスタンプされてインデックスされる。初期の好ましい実施形態の場合に、ＰＥＭコンポーネント４２1-Xは、ラウンドロビンターゲットサーバー４４1-Y選択アルゴリズムを使用し、この場合、現在ターゲットサーバー４４1-Yの負荷が１００％に達したときに次のターゲットサーバー４４1-Yの選択が行われる。或いは又、負荷及び重み値は、更に、要求側のホストの識別子、ユーザネーム、ドメイン、セッション及びプロセス識別子、アプリケーション識別子、要求されたネットワークファイルオペレーション、コアネットワーク資産参照、並びに取り付けポイント、ターゲットディレクトリー及びファイル仕様を含むアクセス属性の使用可能な組み合せによって逆インデックスすることもできる。ハイアラーキー式の最も近い一致のアルゴリズムを使用して、この記憶されたダイナック情報は、ＰＥＭコンポーネント４２1-Xが、特定のネットワーク要求を最も受け容れ易いもの及び最も負荷の低いものの両方である多数のターゲットサーバー４４1-Yの順序付けされたリストを迅速に確立するのを許す。最初に識別されたターゲットサーバー４４1-Yが要求を拒絶すると、次にリストされたターゲットサーバー４４1-Yが試みられる。
【００５４】
ネットワーク待ち時間テーブル９０は、好ましくは、ＰＥＭ制御レイヤ８２と各ターゲットサーバー４４1-Yとの間のネットワーク状態の動的評価を記憶するのに使用される。最小限、ネットワーク待ち時間テーブル９０は、ネットワーク要求にもはや応答しないか、さもなければ、アクセス不能と思われるターゲットサーバー４４1-Yを識別するのに使用される。このような使用不能のターゲットサーバー４４1-Yは、ＰＥＭ制御レイヤ８２により実行されるターゲットサーバー選択プロセスから自動的に除外される。又、ネットワーク待ち時間テーブル９０は、種々のターゲットサーバー４４1-Yの応答待ち時間及び通信コストを表わすタイムスタンプ値を記憶するのにも使用できる。これらの値は、新たなネットワーク要求を受け取るためのターゲットサーバー４４1-Yを決定しそして順序付けするプロセスの一部分として重み値に関連して評価されてもよい。
【００５５】
最終的に、優先テーブル９２は、ＰＥＭコンポーネント４２1-Xに対して個別化されたデフォールトトラフィック整形プロフィールを与えるように実施できる。本発明の別の実施形態では、優先プロフィールは、セキュリティプロセッサクラスター１８内のターゲットサーバー４４1-Yのデフォールト割り当て又は区分化を確立するためにＰＥＭコンポーネント４２1-Xの各々に指定することができる。ＰＥＭコンポーネント４２1-X間で異なる優先値をターゲットサーバー４４1-Yに指定し、そして更に、これら優先値を重み値に関連して評価することにより、種々のホストコンピュータ１２1-Nと個々のターゲットサーバー４４1-Yとの間のネットワークトラフィックを使用して、特定のターゲットサーバー４４1-Yの使用を柔軟に定義することができる。ＩＰアドレスリスト８６と同様に、優先テーブルのコンテンツは、ＰＥＭ制御レイヤ８２の手動の初期化により与えることもできるし、又はセキュリティプロセッサクラスター１８からのコンフィギュレーションデータとして検索することもできる。
【００５６】
ターゲットサーバー４４1-Yに対する好ましいハードウェアサーバーシステム１００が図５に示されている。本発明の好ましい実施形態では、図３に示したソフトウェアアーキテクチャー５０が、１つ以上のメインプロセッサ１０２により、１つ以上の周辺ハードウェアベースの暗号化／圧縮エンジン１０４からのサポートで実質的に実行される。１つ以上の一次ネットワークインターフェイスコントローラ（ＮＩＣ）１０６は、ＩＰスイッチ１６に対するハードウェアインターフェイスを与える。コントローラ１０８のような他のネットワークインターフェイスコントローラは、セキュアなクラスターネットワーク４６及びアドミニストレータコンソール（図示せず）への個別の冗長なネットワーク接続を与えるのが好ましい。心鼓動タイマー１１０は、特に、セキュアなクラスターネットワークマネージメントプロトコルを含むメンテナンスオペレーションをサポートするためにメインプロセッサに１秒インターバルの割り込みを与えるのが好ましい。
【００５７】
ソフトウェアアーキテクチャー５０は、ハードウェアサーバーシステム１００のメインメモリからメインプロセッサ１０２にロードされて実行されるサーバー制御プログラム１１２として実施されるのが好ましい。サーバー制御プログラム１１２を実行する際に、メインプロセッサ１０２は、一次ネットワークインターフェイスコントローラ１０６、メインプロセッサ１０２、及び暗号化／圧縮エンジン１０４に対する負荷値のオンデマンド取得を実行するのが好ましい。ネットワークインターフェイスコントローラ１０６及び暗号化／圧縮エンジン１０４の特定のハードウェア実施に基づいて、それに対応するハードウェアレジスタから個々の負荷値を読み取ることができる（１１４）。或いは又、ネットワークインターフェイスコントローラ１０６のスループット使用及び暗号化／圧縮エンジン１０４の現在パーセンテージ容量処理利用を追跡するために、メインプロセッサ１０２によりサーバー制御プログラム１１２の実行を通してソフトウェアベースの使用アキュムレータを実施することもできる。本発明の最初の好ましい実施形態では、負荷値の各々は、対応するハードウェアリソースのパーセンテージ利用を表わす。又、サーバー制御プログラム１１２の実行は、好ましくはハードウェアサーバーシステム１００のメインメモリ内にあってメインプロセッサ１０２にアクセスできるコンフィギュレーションポリシー／キーデータセット１１６の確立を与える。セキュアなクラスターネットワーク４６プロトコルのオペレーションを経て更新されたコンフィギュレーションポリシー／キーデータセットを受信するために第２テーブル１１８が同様に維持される。
【００５８】
図６は、セキュリティプロセッサクラスター１８の選択されたターゲットサーバー４４と協働して（１２０Ｂ）、ホストコンピュータ１２1-N上で実行されるＰＥＭコンポーネント４２1-Xにより実施される負荷バランス動作１２０Ａを示すプロセスフローチャートである。クライアント１４から、通常、仮想ファイルシステムスイッチを経てＰＥＭコンポーネント４２1-Xへファイルシステム要求として与えられるネットワーク要求を受信すると（１２２）、このネットワーク要求は、独特のホスト識別子１２６を含む使用可能なアクセス属性１２４をネットワーク要求に関連付けるために、ＰＥＭコンポーネント４２1-Xにより評価される。ＰＥＭコンポーネント４２1-Xは、次いで、セキュリティプロセスクラスター１８からターゲットサーバー４４のＩＰアドレスを選択する（１２８）。
【００５９】
次いで、独占的なＴＣＰベースのネットワーク要求データパケットが、それに対応するネットワーク要求及びアクセス属性を含むように構成される。このネットワーク要求は、次いで、ＩＰスイッチ１６を経てターゲットサーバー４４へ送信される（１３０）。ターゲットサーバーの応答時間切れ周期は、ネットワーク要求の送信（１３０）と同時にセットされる。応答時間切れが生じると（１３２）、特定のターゲットサーバー４４が、ネットワーク待ち時間テーブル９０において、ダウン即ち非応答とマークされる（１３４）。次いで、ネットワーク要求を受信するために、別のターゲットサーバー４４が選択される（１２８）。非応答のターゲットサーバー４４が利用できないことを受けて選択プロセスが再実行されるのが好ましい。或いは又、ネットワーク要求を最初に受信したときに識別される順序付けされた一連のターゲットサーバーを一時的に維持して、ＰＥＭコンポーネント４２1-Xのオペレーションの再試みをサポートしてもよい。少なくとも対応するネットワーク要求がターゲットサーバー４４により受け容れられるまで選択リストを維持することで、ターゲットサーバー４４の選択プロセス１２８を再実行するオーバーヘッドをこうむることなく、拒絶されたネットワーク要求を次に続くターゲットサーバーへ直ちに再試みすることが許される。しかしながら、応答時間切れ１３２の周期の巾によっては、選択リストの再使用が望ましくないことがある。というのは、セキュリティプロセッサの負荷及び重みテーブル８８とネットワーク待ち時間テーブル９０とに対する動的な更新の介在が考えられず、再試みに対する高い拒絶率を潜在的に招くからである。従って、セキュリティプロセッサの負荷及び重みテーブル８８とネットワーク待ち時間テーブル９０とにおける全てのデータを考慮に入れてターゲットサーバー４４の選択プロセス１２８を再実行することが一般的に好ましい。
【００６０】
ＴＣＰベースのネットワーク要求１３６を受け取ると（１２０Ｂ）、ターゲットサーバー４４は、最初に、ネットワーク要求を検査して、その要求にアクセスすると共に、属性情報にアクセスする。ポリシーパーサ６０が呼び出され（１３８）、要求に対するポリシー決定重み値を発生する。又、ターゲットサーバー４４の当該ハードウェアコンポーネントに対する負荷値も収集される。次いで、ネットワーク要求を受け容れるべきか拒絶すべきか（１４０）の決定がなされる。ポリシー評価ネットワーク及びアプリケーション情報のもとでのアクセス権がその要求されたオペレーションを排除する場合には、ネットワーク要求が拒絶される。全ての許可されたネットワーク要求において自動的に受け容れてバッファするものではない本発明の実施形態では、現在負荷又は重み値が、ターゲットサーバー４４1-Yに適用できるコンフィギュレーション確立のスレッシュホールド負荷及び重み限界を越える場合にネットワーク要求が拒絶される。いずれにせよ、対応する要求応答データパケットが発生され（１４２）そして返送される。
【００６１】
ネットワーク要求の応答は、要求発信側のホストコンピュータ１２1-Nにより受け取られ（１４４）、そしてローカル実行のＰＥＭコンポーネント４２1-Xへ直接通される。負荷及び返送される重み値は、タイムスタンプされて、セキュリティプロセッサ負荷及び重みテーブル８８にセーブされる。任意であるが、ネットワーク要求応答データパケットから決定されたターゲットサーバー４４とホストコンピュータ１２1-Nとの間のネットワーク待ち時間は、ネットワーク待ち時間テーブル９０に記憶される。アクセス属性が不充分なこと（１５０）に基づいてネットワーク要求が拒絶された場合には（１４８）、ホストコンピュータ１２1-Nに対してトランザクションが対応的に完了される（１５２）。他の理由で拒絶された場合には、次のターゲットサーバー４４が選択される（１２８）。さもなければ、ネットワーク要求応答により確認されたトランザクションは、ＰＥＭコンポーネント４２1-Xを経て処理されると共に、データペイロード暗号化及び圧縮処理１５４に対して必要に応じてターゲットサーバー４４へネットワークデータパケットを適宜に転送することで処理される。クライアントが要求したネットワークファイルオペレーションの完了時に（１５２）、ネットワーク要求トランザクションが完了となる（１５６）。
【００６２】
セキュリティプロセッサクラスター１８のターゲットサーバー４４1-Y間で、存在情報を配布し、そしてそれに応答して、コンフィギュレーションポリシー／キーデータを含むコンフィギュレーションデータセットを転送するための好ましいセキュアなプロセス１６０Ａ／１６０Ｂが図７Ａに一般的に示されている。本発明の好ましい実施形態によれば、各ターゲットサーバー４４は、セキュアなクラスターネットワーク４６に種々のクラスターメッセージを送信する。好ましくは、図７Ｂに示すように一般的に構成されたクラスターメッセージ１７０は、メッセージタイプ、ヘッダーバージョンナンバー、ターゲットサーバー４４1-Y識別子又は単にソースＩＰアドレス、シーケンスナンバー、認証タイプ及びチェック和を定義するクラスターメッセージヘッダ１７２を含む。このクラスターメッセージヘッダ１７２は、更に、状態値１７４及び現在ポリシーバージョンナンバー１７６を含み、これは、最も現在のコンフィギュレーションの指定のバージョンナンバー、及びクラスターメッセージ１７０を送信するターゲットサーバー４４により保持されたコンフィギュレーションポリシー／キーデータセットを表わす。状態値１７４は、クラスターメッセージの機能を定義するように使用されるのが好ましい。状態のタイプは、クラスター内のターゲットサーバー４４1-Yのセットの発見、クラスターへのターゲットサーバー４４1-Yの加入、そこからの退去及び除去、ターゲットサーバー４４1-Yにより保持されたコンフィギュレーション及びコンフィギュレーションポリシー／キーデータセットの同期、並びに冗長なセキュアなクラスターネットワーク４６が利用できる場合には、二次セキュアなクラスターネットワーク４６への切り換えを含む。
【００６３】
又、クラスターメッセージ１７０は、ＰＫダイジェスト１７８も備え、これは、パブリックキーのセキュアなハッシュと、それに対応するネットワークＩＰと、セキュアなプロセッサクラスター１８の各ターゲットサーバー４４1-Yに対する状態フィールドとを含む構造化リストを備え、それらは、クラスターメッセージ１７０を発信する特定のターゲットサーバー４４により知られたものである。好ましくは、ＳＨＡ−１のようなセキュアなハッシュアルゴリズムを使用して、セキュアなパブリックキーハッシュが発生される。含まれた状態フィールドは、進行中の同期、終了した同期、クラスター加入、及びクラスター退去状態を含む各ターゲットサーバー４４の既知のオペレーティング状態を反映する。
【００６４】
又、好ましくは、クラスターメッセージヘッダ１７２は、ソースターゲットサーバー４４識別子のデジタルサイン入りコピーも、受信したクラスターメッセージ１７０の有効性を保証する基礎として含む。或いは又、クラスターメッセージヘッダ１７２から発生されたデジタルシグネチャーをクラスターメッセージ１７０に添付することもできる。いずれの場合も、ソースターゲットサーバー４４識別子の首尾良い暗号解読及び比較、又はクラスターメッセージヘッダ１７２のセキュアなハッシュは、クラスターメッセージ１７０が既知のソースターゲットサーバー４４からのもので、デジタルサイン入りである場合に、改ざんがなされていないことを受信側ターゲットサーバー４４が検証できるようにする。
【００６５】
本発明の好ましい実施形態では、クラスター１８のターゲットサーバー４４1-Yは、ネットワーク要求に対する一貫した動作応答がいずれのホストコンピュータ１２1-Xによってもなされるよう保証するための共通のコンフィギュレーションを維持する。ターゲットサーバー４４1-Yのコンフィギュレーションの同期を保証するために、好ましくは、ローカル心鼓動タイマー１６２により発生されるハードウェア割り込みに応答して、各ターゲットサーバー４４1-Yによりセキュアなクラスターネットワーク４６にクラスター同期メッセージが周期的にブロードキャストされる（１６０Ａ）。各クラスター同期メッセージは、クラスターメッセージ１７０において、同期状態１７４の値、クラスター１８の現在ポリシーバージョンレベル１７６、及びセキュリティプロセッサクラスター１８に参加することが許されたターゲットサーバー４４1-Yのセキュアに確認可能なセットと共に、特に、クラスター同期メッセージ１７０を発信するターゲットサーバー４４の参照のフレームから、送信される（１６４）。
【００６６】
各ターゲットサーバー４４は、他の能動的ターゲットサーバー４４1-Yの各々からセキュアなクラスターネットワーク４６を経て受信された（１８０）ものであるブロードキャストされたクラスター同期メッセージ１７０を同時に処理する（１６０Ｂ）。各クラスター同期メッセージ１７０が受信され（１８０）、そしてセキュリティプロセッサクラスター１８に有効に存在すると分かっているターゲットサーバー４４から発信することが確認されたときに、受信側ターゲットサーバー４４は、パブリックキーのダイジェスト１７８をサーチし（１８２）、受信側ターゲットサーバーのパブリックキーがダイジェストリスト１７８内に含まれるかどうか決定する。受信側ターゲットサーバー４４のパブリックキーのセキュアなハッシュ等効物が見つからない場合には（１８４）、クラスター同期メッセージ１７０が無視される（１８６）。受信側ターゲットサーバー４４のセキュアなハッシュパブリックキーが、受信したクラスター同期メッセージ１７０に見つかった場合には、ポリシーバージョンナンバー１７６が、受信側ターゲットサーバー４４により保持されたローカルコンフィギュレーションポリシー／キーデータセットのバージョンナンバーと比較される。ポリシーバージョンナンバー１７６が、ローカルコンフィギュレーションポリシー／キーデータセットのバージョンナンバー以下である場合には、クラスター同期メッセージ１７０が再び無視される（１８６）。
【００６７】
クラスター同期メッセージ１７０で識別されたポリシーバージョンナンバー１７６が、現在能動的コンフィギュレーションポリシー／キーデータセットのバージョンナンバーより大きい場合には、ターゲットサーバー４４は、検索要求１９０を、好ましくは、ＨＴＴＰｓプロトコルを使用して、クラスター同期メッセージ１７０のソースとして対応するネットワークデータパケット内で識別されたターゲットサーバー４４へ発行する。識別されたソースターゲットサーバー４４により保持された比較的新しいコンフィギュレーションポリシー／キーデータセットは、受信側ターゲットサーバー４４により保持されたコンフィギュレーションポリシー／キーデータセットを更新するために検索される。識別されたソースターゲットサーバー４４は、それに応答して（１９２）、ソース暗号化ポリシーセット２００を返送する。
【００６８】
図７Ｃに一般的に詳細に示されたように、ソース暗号化ポリシーセット２００は、インデックス２０２と、識別されたソースターゲットサーバー４４によりセキュリティプロセッサクラスター１８に有効に参加していると分かったターゲットサーバー４４1-Yの数をＺとすれば、一連の暗号化アクセスキー２０４1-Zと、暗号化コンフィギュレーションポリシー／キーデータセット２０６と、ポリシーセットデジタルシグネチャー２０８とを含む定義されたデータ構造体であるのが好ましい。コンフィギュレーションポリシー／キーデータセット２０６の配布は、ターゲットサーバー４４1-Y間で次々に行うことができるので、有効参加ターゲットサーバー４４1-Yの数は、セキュリティプロセッサクラスター１８の異なるターゲットサーバー４４1-Yの観点から、新たなコンフィギュレーションポリシー／キーデータセットバージョンが配布される間に変化し得る。
【００６９】
インデックス２０２は、既知の有効参加ターゲットサーバー４４1-Yの各々に対してレコードエントリーを含むのが好ましい。各レコードエントリーは、パブリックキーのセキュアなハッシュと、対応するターゲットサーバー４４1-Yの管理上指定された識別子とを記憶するのが好ましい。規定により、第１のリストされたレコードエントリーは、暗号化されたポリシーセット２００を発生したソースターゲットサーバー４４に対応する。暗号化されたアクセスキー２０４1-Zの各々は、既知の有効参加ターゲットサーバー４４1-Yの各パブリックキーで暗号化されることにより同じ三重ＤＥＳキーを含む。この三重ＤＥＳキーを暗号化するのに使用されるパブリックキーのソースは、ローカルに保持されたコンフィギュレーションポリシー／キーデータセットである。従って、暗号化されたポリシーセット２００のソースであるターゲットサーバー４４に有効に知られているターゲットサーバー４４1-Yのみが、先ず、それに対応する三重ＤＥＳ暗号キー２０４1-Zを暗号解読し、次いで、それに含まれたコンフィギュレーションポリシー／キーデータセット２０６を首尾良く暗号解読することができる。
【００７０】
新たな三重ＤＥＳキーは、特定のターゲットサーバー４４1-Yにより構成された暗号化されたポリシーセット２００の各ポリシーバージョンに対してランダム関数を使用して発生されるのが好ましい。或いは又、特定のターゲットサーバー４４1-Yにより受け取られた各ＨＴＴＰｓ要求に応答して、新たな暗号化されたポリシーセット２００を異なる三重ＤＥＳキーで各々再構成することができる。ローカルに保持されたコンフィギュレーションポリシー／キーデータセット２０６は、現在発生された三重ＤＥＳキーを使用して三重ＤＥＳ暗号化される。最終的に、インデックス２０２のセキュアなハッシュ及び暗号化されたアクセスキー２０４1-Zのリストに基づいて発生されたデジタルシグネチャー２０８を添付して、暗号化されたポリシーセット２００の構造を完成する。従って、デジタルシグネチャー２０８は、初期のセキュアなハッシュ／識別子対レコードにより識別されたソースターゲットサーバー４４が、実際に、暗号化されたポリシーセット２００の有効ソースであることを保証する。
【００７１】
図７Ａを再び参照すれば、ソース暗号化されたポリシーセット２００を検索し（１９０）、そして更に、セキュリティプロセスクラスター１８に有効に存在すると分かっているターゲットサーバー４４から発信されるセキュアなものとして確認されると、受信側ターゲットサーバー４４は、その受信側ターゲットサーバー４４のパブリックキーに一致するダイジェスト値についてパブリックキーダイジェストインデックス２０２をサーチする。好ましくは、一致するダイジェスト値のインデックスオフセット位置が、それに対応するパブリックキー暗号化三重ＤＥＳキー２０６及び三重ＤＥＳ暗号化コンフィギュレーションポリシー／キーデータセット２０４を含むデータ構造体の行へのポインタとして使用される。次いで、受信側ターゲットサーバー４４のプライベートキーが、三重ＤＥＳキー２０６を回復するのに使用され（２１０）、これは、次いで、コンフィギュレーションポリシー／キーデータセット２０４を暗号解読するのに使用される。暗号解読されると、相対的に更新されたコンフィギュレーションポリシー／キーデータセット２０４は、受信側ターゲットサーバー４４の更新コンフィギュレーションポリシー／キーデータセットメモリ１８へ転送されて保持される。更新されたコンフィギュレーションポリシー／キーデータセット２０４のインストールが保留されると、その保留中の更新されたコンフィギュレーションポリシー／キーデータセットを保持するターゲットサーバー４４は、その更新されたコンフィギュレーションポリシー／キーデータセットバージョンナンバー１７４を使用することによりクラスター同期メッセージ１７０の周期的発行を再開する。
【００７２】
本発明の好ましい実施形態によれば、更新されたコンフィギュレーションポリシー／キーデータセット２０４は、現在のコンフィギュレーションポリシー／キーデータセット１１６として相対的に同期してインストールされ、セキュリティプロセッサクラスター１８の能動的ターゲットサーバー４４1-Yがコンフィギュレーションポリシー／キーデータセットの同じバージョンを同時に利用することを保証する。効果的に同期されるインストールは、クラスター同期メッセージ１７０を監視することにより、全てのこのようなメッセージが同じ更新されたコンフィギュレーションポリシー／キーデータセットバージョンナンバー１７４を含むまで、各ターゲットサーバー４４が、更新されたコンフィギュレーションポリシー／キーデータセット２０４をインストールするのを待機させる（２１２）ことで、得られるのが好ましい。好ましくは、ターゲットサーバー４４が更新されたコンフィギュレーションポリシー／キーデータセットをインストールすると結論付けるための定義された時間周期内にクラスター同期メッセージ１７０を発行した有効なターゲットサーバー４４1-Yとして定義された各能動的ターゲットサーバー４４からクラスター同期メッセージ１７０のスレッシュホールド数を受け取らねばならない。本発明の好ましい実施形態では、クラスター同期メッセージ１７０のスレッシュホールド数は、２である。各ターゲットサーバー４４のパースペクティブから、全ての既知の能動的なターゲットサーバー４４1-Yが同じバージョンのコンフィギュレーションポリシー／キーデータセットを有すると確認されるや否や、更新されたコンフィギュレーションポリシー／キーデータセット１１８が、現在のコンフィギュレーションポリシー／キーデータセット１１６としてインストールされる（２１４）。これで、ローカルコンフィギュレーションポリシー／キーデータセットを更新するプロセス（１６０Ｂ）が終了となる（２１６）。
【００７３】
図８を参照すれば、更新されたコンフィギュレーションポリシー／キーデータセットは、ローカルコンフィギュレーションポリシー／キーデータセットとして記憶された情報のいずれかに対して管理上の変更を行った結果として最終的に発生される（２２０）。管理上の変更２２２は、ネットワーク要求のポリシー評価に主として考慮されるアクセス権及び同様のデータを変更するために行うことができる。又、この変更は、通常、ターゲットサーバー４４の追加又は除去によりセキュリティプロセッサクラスター１８を管理上再コンフィギュレーションする（２２４）結果として行われてもよい。本発明の好ましい実施形態によれば、管理上の変更２２２は、アドミニストレータにより、いずれかのターゲットサーバー４４1-Yにおいて管理上のインターフェイス６４を経てアクセスすることにより行われる。ポリシールールを追加、変更及び削除し、選択ポリシールールセットに対する暗号化キーを変更し、既知のターゲットサーバー４４に対するパブリックキーを追加及び除去し、そしてアドミニストレータにより行われて確認されるときにクライアントコンピュータ１２へ配布されるべきターゲットサーバー４４のＩＰアドレスリストを変更するような管理上の変更２２２は、コンフィギュレーションポリシー／キーデータセットのローカルコピーに対してコミットされる。変更２２２をコミットする際に、それにより得られる更新されたコンフィギュレーションポリシー／キーデータセットのバージョンナンバーも自動的に増加される（２２６）。好ましい実施形態では、ソース暗号化されたコンフィギュレーションポリシー／キーデータセット２００が再生され（２２８）、そして他のターゲットサーバー４４1-Yからの転送要求を保留にして保持される。又、クラスター同期メッセージ１７０は、ローカル心鼓動タイマー１６２に対する公称応答においてブロードキャストするために新たなポリシーバージョンナンバー１７４及びそれに対応するパブリックキー１７６のダイジェストセットを含むように再生されるのが好ましい。従って、新たに更新されたコンフィギュレーションポリシー／キーデータセットは、セキュリティプロセッサクラスター１８の他の全ての能動的ターゲットサーバー４４1-Yに自動的に配布されそして相対的に同期してインストールされる。
【００７４】
セキュリティプロセッサクラスター１８を再コンフィギュレーションするには、対応するパブリックキー２３２を追加又は除去するようにコンフィギュレーションポリシー／キーデータセットに対して対応的な管理上の変更を行う必要がある。本発明の好ましい実施形態によれば、セキュリティプロセッサクラスター１８の完全性は、コンフィギュレーションポリシー／キーデータセットへのパブリックキーの追加を、ローカルで認証されたシステムアドミニストレータによるか、又はセキュリティプロセッサクラスター１８のローカルで知られた有効な能動的ターゲットサーバー４４との通信を経て行うことを必要とするだけで、詐欺師又はトロイのターゲットサーバー４４1-Yに対抗するものとして維持される。より詳細には、受信側ターゲットサーバー４４1-Yのインストールされたコンフィギュレーションポリシー／キーデータセットにおいて対応するパブリックキーによりまだ識別されていないターゲットサーバー４４からのクラスターメッセージ１７０は、無視される。新たなターゲットサーバー４４のパブリックキーは、その新たなターゲットサーバー４４を確認するために、セキュリティプロセッサクラスター１８の既存メンバーにより実際にセキュアに支援されるべき別の既知の有効なターゲットサーバー４４に管理上入力されねばならない（２３２）。
【００７５】
従って、本発明は、詐欺師のターゲットサーバーが新たなパブリックキーを自己識別して詐欺師がセキュリティプロセッサクラスター１８に加入できるようにするのを効果的に除外する。各ターゲットサーバー４４の管理上のインターフェイス６４は、ローカルのコンフィギュレーションポリシー／キーデータセットに対して管理上の変更２２２、２２３を行うために、独特のセキュアな管理上のログインを必要とするのが好ましい。詐欺師又はトロイのターゲットサーバー４４のインストールを試みる侵入者は、おそらく成功を得るためには、セキュリティプロセッサクラスター１８の既存の能動的ターゲットサーバー４４に対する特定のセキュリティパスコードにアクセスしてそれを得なければならない。管理上のインターフェイス６４は、周囲ネットワーク１２、コアネットワーク１８又はクラスターネットワーク４６から物理的にアクセスできないのが好ましいので、セキュリティプロセッサクラスター１８のコンフィギュレーションポリシー／キーデータセットに対する外部からのセキュリティ侵害が基本的に除外される。
【００７６】
本発明の好ましい実施形態によれば、ホストコンピュータシステム１２1-Xに代わるＰＥＭコンポーネント４２1-Xのオペレーションも、セキュリティプロセッサクラスター１８の各ターゲットサーバー４４1-Yにインストールされたコンフィギュレーションポリシー／キーデータセットのバージョンと一貫して維持される。この一貫性は、各ホストコンピュータ１２のネットワーク要求のポリシー評価が、要求を取り扱うために選択された特定のターゲットサーバー４４に関わりなくシームレスに取り扱われることを保証するために維持される。図９に一般に示すように、ＰＥＭコンポーネント４２1-Xの好ましい実行２４０Ａは、現在コンフィギュレーションポリシー／キーデータセットバージョンナンバーを追跡するように動作する。ＰＥＭコンポーネント４２1-Xの実行１２０Ａに一般的に一貫するように、ネットワーク要求１２２の受信に続いて、ＰＥＭコンポーネント４２1-Xにより保持された最後に使用されたポリシーバージョンナンバーは、ネットワーク要求データパケットにおいて、ターゲットサーバー選択アルゴリズム１２８により決定された選択されたターゲットサーバー４４のＩＰアドレスでセットされる（２４２）。最後に使用されたポリシーバージョンナンバーは、ＰＥＭコンポーネント４２1-Xの初期化の場合のようにデフォールトによりゼロにセットされるか、又はセキュリティプロセッサクラスター１８のターゲットサーバー４４により与えられる初期化コンフィギュレーションデータに基づく値にセットされるか、或いはセキュリティプロセッサクラスター１８ターゲットサーバー４４との協働的対話を経てＰＥＭコンポーネント４２1-Xにより発生された値にセットされる。次いで、ネットワーク要求データパケットは、選択されたターゲットサーバー４４に送信される（１３０）。
【００７７】
ターゲットサーバー４４のプロセス実行２４０Ｂも、同様に、ターゲットサーバー４４1-Yにより名目上実行されるプロセス実行１２０Ｂと一貫したものである。ネットワーク要求データパケットの受信（１３６）に続いて、ネットワーク要求において与えられたポリシーバージョンナンバーと、現在インストールされたコンフィギュレーションポリシー／キーデータセットのポリシーバージョンナンバーとを比較するために付加的なチェック２４４が実行される。ネットワーク要求により与えられたバージョンナンバーが、インストールされたバージョンナンバーより小さい場合には、不良バージョンナンバーフラグ２４６がセットされ（２４６）、拒絶の理由としてバージョンナンバー不一致を更に識別する拒絶応答１４２が強制的に発生される。さもなければ、ネットワーク要求は、手順１２０Ｂと一貫して処理される。又、好ましくは、ターゲットサーバープロセス実行２４０Ｂは、不良バージョンナンバー拒絶応答１４２が発生されるかどうかに関わりなく、要求応答データパケットにおいてローカルに保持されたコンフィギュレーションポリシー／キーデータセットのポリシーバージョンナンバーも与える。
【００７８】
特に、バージョンナンバー不一致拒絶応答を受信すると（１４４）、ＰＥＭコンポーネント４２1-Xは、対応するターゲットサーバー４４をバージョンナンバー不一致によりダウンとマークするために（２４８）、ネットワーク待ち時間テーブル９０を更新するのが好ましい。又、報告されたポリシーバージョンナンバーも、ネットワーク待ち時間テーブル９０に記憶されるのが好ましい。次いで、セキュリティプロセッサＩＰアドレスリスト８６及びネットワーク待ち時間テーブル９０により記憶された合成情報に基づいて全てのターゲットサーバー４４1-Yが使用不能と決定されない限り（２５０）、次のターゲットサーバー４４の再試み選択１２８が実行される。ＰＥＭコンポーネント４２1-Xは、次いで、次に高いポリシーバージョンナンバーを、不良バージョンナンバー拒絶応答１４２において受信されたものと仮定する（２５２）。その後のネットワーク要求１２２も、この新たなポリシーバージョンナンバーで識別される（２４２）。次いで、バージョンナンバー不一致のために以前にダウンとマークされたターゲットサーバー４４1-Yが、次いで、ネットワーク待ち時間テーブル９０にアップとマークされる（２５４）。次いで、新たなターゲットサーバー４４の選択がなされ（１２８）、更新されたポリシーバージョンナンバーを使用してネットワーク要求を再試みする。従って、ＰＥＭコンポーネント４２1-Xの各々は、セキュリティプロセッサクラスター１８により使用中にコンフィギュレーションポリシー／キーデータセットに対してなされた変更を一貫して追跡し、それにより、特定のネットワーク要求にサービスするように選択された特定のターゲットサーバー４４とは独立して、一貫した結果を得る。
【００７９】
従って、サーバーのクラスターの負荷バランスを協働的にとって、信頼性のある拡張可能なネットワークサービスを有効に提供するためのシステム及び方法を説明した。本発明は、サーバークラスターと相互オペレーションするホストベースのポリシー施行モジュールを特に参照して説明したが、ホストコンピュータシステム又はホストプロキシーを使用して、クライアントと個々のサーバーとの間の協働相互オペレーションによりサーバークラスターのサーバーへネットワーク要求を配布することにより、他の特定のアーキテクチャーにも等しく適用することができる。更に、サーバークラスターのサービスを、セキュリティ、暗号化、及び圧縮サービスとして説明したが、本発明のシステム及び方法は、一般に、他のネットワークサービスを提供するサーバークラスターにも適用できる。又、サーバークラスターは、単一の共通のサービスを実施するものとして説明したが、これは、本発明の好ましいモードに過ぎない。サーバークラスターは、ＰＥＭコンポーネントにより最初に受け取られたネットワーク要求のタイプに基づいて全てが協働して負荷バランスされる多数の独立したサービスを実施することができる。
【００８０】
本発明の好ましい実施形態の前記説明において、当業者であれば、ここに開示した実施形態の多数の変更や修正が容易に明らかであろう。それ故、特許請求の範囲内で、本発明は、特に上述したものとは別のやり方で実施できることが理解されよう。
【図面の簡単な説明】
【００８１】
【図１Ａ】本発明の好ましい実施形態によりホストコンピュータシステムがサーバークラスターにより提供されるネットワークサービスに直接アクセスするようなシステム環境を示すネットワーク図である。
【図１Ｂ】本発明の好ましいコアネットワークゲートウェイ実施形態が具現化されるシステム環境を示すネットワーク図である。
【図２】本発明の好ましい実施形態により構成されたホストのアレーとセキュリティプロセッササーバーのクラスターとの間のネットワーク相互接続を示す詳細なブロック図である。
【図３】本発明の好ましい実施形態により構成されたセキュリティプロセッササーバーの詳細なブロック図である。
【図４】本発明の好ましい実施形態によりホストコンピュータシステムにおいて実施されたポリシー施行モジュール制御プロセスのブロック図である。
【図５】本発明の好ましい実施形態によりサーバークラスターサービスプロバイダーにより共有される負荷バランス及びポリシー更新ファンクションを示すセキュリティプロセスサーバーの簡単なブロック図である。
【図６】本発明の好ましい実施形態によりポリシー施行モジュールプロセスと選択されたクラスターサーバーとの間で協働的に実行されるトランザクションプロセスのフローチャートである。
【図７Ａ】本発明の好ましい実施形態によりサーバークラスターのメンバー間で実行されるセキュアなクラスターサーバーポリシー更新プロセスのフローチャートである。
【図７Ｂ】本発明の好ましい実施形態により定義されるセキュアなクラスターサーバーポリシー同期メッセージのブロック図である。
【図７Ｃ】本発明の好ましい実施形態により定義されるセキュアなクラスターサーバーポリシーデータセット転送メッセージデータ構造のブロック図である。
【図８】本発明の好ましい実施形態によりセキュアなクラスターサーバーポリシーデータセット転送メッセージを再生するプロセスのフローチャートである。
【図９】本発明の好ましい実施形態によりクラスターサーバーの報告されたセキュアなクラスターサーバーポリシーデータセットにおけるバージョン変更を考慮するためにホストポリシー施行プロセスにより実行される拡張トランザクションプロセスを示すフローチャートである。
【技術分野】
【０００１】
本発明は、一般に、ネットワークサービスを提供するのに利用されるサーバーシステムの整合制御に係り、より詳細には、ネットワークサーバーのクラスター間でコンフィギュレーションデータをセキュアに整合し配布すると共に、ネットワークサービスの実行を要求するクラスターシステム及びホストコンピュータシステムに対してコンフィギュレーションデータのインプレメンテーションを整合する技術に係る。
【背景技術】
【０００２】
負荷バランスをとる概念及び必要性は、多数の異なるコンピューティング環境において、ほとんどの場合、情報サービスシステムの信頼性及び拡張性を高めるための要求として生じる。特に、ネットワーク編成のコンピューティングの分野では、負荷バランスをとることは、通常、典型的な離れたクライアントコンピュータシステムからのデータの要求を含む種々の処理要求に応答するために非常に多数の情報サーバーシステムを並列に効率的に利用する手段として遭遇する。サーバーを論理的に並列に配列すると、固有の冗長性能力が付加される一方、更なるサーバーの追加により少なくとも理論的には直線的に性能を拡張することができる。従って、要求、及び更には、それにより生じる負荷を効率的に分配することが、サーバーの並列クラスターを完全に利用して性能を最大にする上で本質的な要求となる。
【０００３】
通常、負荷バランスをとる用途の特殊性に基づく特異性を伴って負荷バランスをとるために、多数の異なるシステムが提案され、種々具現化されている。チャン氏等（米国特許第６，４７０，３８９号）は、クライアントドメインネームサービス（ＤＮＳ）要求に応答するためにサーバーの選択を調停するサーバー側の中央ディスパッチャーの使用を説明している。クライアントは、中央ディスパッチャーに対応する定義された静的ＤＮＳクラスター−サーバーアドレスへ要求を向ける。各要求は、次いで、ディスパッチャーにより使用可能なサーバーへ向け直され、該サーバーは、次いで、要求された情報をクライアントへ直接返送することができる。ＤＮＳ要求の各々は原子的で且つ良好に定義されたサーバーオペレーションを要求するので、実際の負荷は、各サーバーへなされる要求の割合の関数になると推定される。それ故、ディスパッチャーは、ＤＮＳクラスターに参加するサーバーへ要求を均一に配布するために単に基本的ハッシュ関数を具現化するだけである。
【０００４】
負荷バランス制御に中央ディスパッチャーを使用することは、アーキテクチャー上問題である。全ての要求はディスパッチャーを経て流れるので、単一ポイント欠陥に曝されて即座にサーバークラスターの全オペレーションの停止となる。更に、ディスパッチャーの性能を拡張する直接的な方法はない。大きな要求負荷又はより複雑な負荷バランスアルゴリズムを取り扱うためには、ディスパッチャーを、実質的に高いコストの高性能ハードウェアに置き換えねばならない。
【０００５】
それとは別に、チャン氏等は、全てのクライアント要求をＤＮＳクラスター内の全てのサーバーにブロードキャストして、中央ディスパッチャーの必要性をなくすことを提案している。サーバーは、個々にブロードキャストされた要求フィルタルーチンにおいて相互に排他的なハッシュ関数を実施して、独特のローカル応答に対する要求を選択する。この解決策は、各サーバーが各ＤＮＳ要求を最初にある程度処理することを必要とし、サーバー性能の有効性レベルを低下するという不都合な結果をもたらす。更に、要求を発しているクライアントのアドレスのハッシュに基づいてサービスへの要求を選択すると、実際上、個々のＤＮＳサーバーが、静的に定義されたクライアントグループにロックされる。それ故、等しい負荷分布を仮定することが、非常に多数の要求に対して、唯一、統計学的に有効である。又、ポリシーフィルタルーチンの静的な性質は、全ての要求が独特のサーバーにより選択されるよう確保するために、サーバーがクラスターに追加されるかクラスターから除去されるたびに、全てのルーチンを変更しなければならないことを意味する。大きなサーバークラスターにおいて、個々のサーバー欠陥が異常なものでなく、実際に、計画に入れねばならないとすれば、このようなクラスターの管理保守は、不可能でないまでも、非常に困難である。
【０００６】
他の技術は、種々の動作条件のもとでサーバーのネットワークを負荷バランスさせるように進歩している。おそらく、最も行き渡っている負荷バランス技術は、実際の要求が受け取られるのに応答してサーバー間でリソースをいつそしてどこにシフトすべきか動的に決定するのに必要な情報を累積するバックグランド又はアウト・オブ・チャンネル負荷モニタを実施する解決策を取り入れている。例えば、ジョーダン氏等（米国特許第６，４３８，６５２号）は、各サーバーがクラスター内の他の全てのサーバーに対して第２レベルのプロキシーキャッシュとして更に動作するようなネットワークポリシーキャッシュサーバーのクラスターを説明している。バックグランド負荷モニタは、特定コンテンツオブジェクトに対して繰り返される第２レベルキャッシュ要求についてサーバークラスターを観察する。同じ第２レベルキャッシュから満足される同じコンテンツに対して過剰な要求があることは、応答側サーバーが過負担になっている指示であると考えられる。サーバーによりサービスされている直接的即ち第１レベルのキャッシュ要求頻度と、第２レベルのキャッシュ要求頻度とのバランスに基づいて、負荷モニタは、コンテンツオブジェクトを１つ以上の他のキャッシュにコピーし、それにより、広く且つ繰り返し要求されるコンテンツオブジェクトに対して第２レベルのキャッシュワーク負荷を分散すべきかどうか決定する。
【０００７】
簡単なコンテンツオブジェクトのようなリソースを、負荷バランスをとるように容易にシフトできない場合には、通常、タスク又はプロセスとして表わされる要求を、サーバーのクラスターネットワーク内の他のサーバーへ選択的に転送することにより動作することを特徴とする別の解決策が開発されている。中央の負荷バランスコントローラは、これを回避することが好ましいので、各サーバーは、他のサーバーのどれが要求を受け入れそして実際にそれに対応する要求転送を与えるか決定するための監視及び通信メカニズムを実施することが要求される。このメカニズムのプロセス転送の態様は、そのメカニズムが、転送すべきタスクの特定の性質と、タスクの仕様を表わす個別データパケットの転送から能動的実行プロセスの全状態の収集及び搬送に至るまでの複雑さの範囲とに強く依存しているという点で、しばしば実施特有のものである。逆に、それに関連する従来の負荷監視メカニズムは、一般に、ソース向き又はターゲット向きとして分類することができる。ソース向きのサーバーは、クラスター内のターゲットサーバーの少なくともあるサブセットに能動的に問合せをしてその負荷状態を検索することにより、ターゲットサーバーの負荷状態を能動的に監視する。ターゲット向きの負荷監視は、個々のターゲットサーバーが、最低限、タスク転送を受け入れる容量を反映する負荷状態情報をブロードキャストするというパブリケーション原理で動作する。
【０００８】
一般に、負荷状態情報をソース及びターゲットで共有することは、クラスター内の他のサーバーが、サーバークラスターの使用可能な負荷容量のある動的表示をオンデマンドで得るか又は時間と共に集計するのを許すために、ある間隔で実行される。しかしながら、大きなサーバークラスターの場合には、サーバークラスター全体に課せられる個別通信オペレーションの数を最小にするために、負荷決定オペレーションがしばしばローカル又はサーバー関連ネットワーク隣接部に限定される。より遠隔のサーバーの負荷値は、時間をかけてネットワークを経て伝播しなければならず、従って、不正確な負荷レポートを生じ、不均一な負荷分布を招くという兼ね合いである。
【０００９】
それに関連した問題が、アロン氏等（米国特許第５，５３９，８８３号）において説明されている。サーバークラスター負荷ベクトルへと集合されるサーバー負荷値は、サーバークラスターの種々のサーバーにより増分的に要求されるか又は宣伝される。サーバーがベクトルのローカルコピーを転送する前に、そのサーバーに対する負荷値がベクトルにおいて更新される。更新されたベクトルを受け取るサーバーは、次いで、規定のルールに基づき、その受け取った負荷値でベクトルのサーバーローカルコピーを更新する。従って、ある所与の隣接部に対して負荷値を再分布すると、最初に軽い負荷のかかったサーバーを、サービスに対する長期高需要に露出させることがある。それにより生じるタスクの過負荷及びそれに続くサービスの拒否は、少なくとも、より高いサーバー負荷値を反映する新たな負荷ベクトルが充分な数のサーバー間を循環して負荷を適切に反映するまで、継続する。この問題を軽減するために、アロン氏等は、負荷バランスメカニズムの一部分として負荷値情報に対するツリー構造の分布パターンを説明している。ツリー構造の負荷情報転送に基づき、軽い負荷のかかったサーバーを識別する低い負荷値は、軽い負荷のかかったサーバーがタスク転送で溢れるのを防止するために分布を通してエージングされる。
【００１０】
ソース向きであろうとターゲット向きであろうと、サーバークラスターのサーバー間の負荷情報の周期的共有に基づいて負荷バランスをとることは、負荷情報が最終的に配送されるものとして信頼性があるという基本的仮定で動作する。タスク転送の拒絶は、従来、基本的な欠陥として処理され、しばしば回復可能であるが、広範な例外処理を要求する。従って、最終的にバランスのとれた負荷分布を達成するために益々多数のタスク転送回復及び再試みオペレーションが要求されるので、個々のサーバーの性能は、安定化するのではなく、次第に増加する負荷のもとで、著しく低下する傾向となり得る。
【００１１】
高い負荷状態を通常招く環境では、負荷情報の交換及び確実性を加速するために特殊なネットワークプロトコルが開発されている。ネットワークのトラフィック負荷を分担するために、ルーター及び他のスイッチ装置が種々のコンフィギュレーションでしばしばクラスター化される。ローカルの冗長なルーターコンフィギュレーションにおいて欠陥監視を与えると共に、ローカルルーターとリモートルーターとの間で負荷情報を共有するために、リンクネットワークプロトコルが提供される。他の共有情報の中で、現在負荷情報が装置と装置との間に高い頻度で伝播され、クラスター化された装置の個々の負荷状態を連続的に反映する。例えば、ベア氏（米国特許第６，４９３，３１８号）に説明されたように、プロトコルデータパケットは、負荷情報を定義してその伝播を管理すると共にクラスター内の個々の装置の負荷状態を更に詳細に示すための情報で充分に詳述することができる。スパンニングツリータイプ情報分布アルゴリズムをサポートしてプロトコルパケット伝播を制御しそしてループバックを防止する上で、シーケンス番号、ホップカウント、及び種々のフラグビットが使用される。公表される負荷値は、内部スループットレート及び待ち時間コストに関して定義され、これは、他のクラスター化されたルーターに、好ましいルート経路を決定するためのより洗練された基礎を許す。ベア氏により説明された装置に使用されるカスタムプロトコルは、有効ではあるが、負荷バランスプロトコルの実質的部分を、ネットワークプロセッサのような特殊な高速ハードウェアで実施することを本質的に要求する。それ故、このようなプロトコルの効率的な取り扱いは、汎用でない特殊なコンピュータシステムに限定される。
【００１２】
バラード氏（米国特許第６，０７８，９６０号）は、他の特徴の中でも、サーバーネットワークのクライアント向け負荷バランス型使用を与えるクライアント／サーバーシステムアーキテクチャーを説明している。クライアントコンピュータシステムにより使用できる種々のサーバーコンピュータシステムが独立したサービスプロバイダーにより提供され、且つ異なるサーバーの使用が異なるコスト構造を伴うような環境の場合に、バラード氏は、クライアントからサーバーネットワーク内の個別の個々のサーバーへ負荷を選択的に分配するためのクライアントベースの解決策を説明している。クライアントベースの負荷バランスを実施することにより、バラード氏のクライアントコンピュータシステムは、サービスプロバイダーのサーバーネットワーク実施とは本質的に独立している。
【００１３】
バラード氏の負荷バランスシステムを実施するために、各クライアントコンピュータシステムには、サーバー識別リストが設けられ、そこから、クライアント要求を受け取るためのサーバーが次第に選択される。このリストは、このリストで識別される各サーバーに対して、発行されるべきクライアント要求のパーセンテージ負荷及び最大周波数のような負荷制御パラメータを指定する。サーバー負荷は、要求を完了するのに必要な接続時間、又は要求に対する応答で転送されるデータの量に基づいて、クライアントによりおおよそ推定されるに過ぎない。次いで、負荷制御パラメータにより定義された負荷バランスプロフィールに統計学的に適合するように必要に応じて選択されたサーバーへ個々のクライアントによりクライアント要求が発行される。サーバー識別リスト及びそれに含まれる負荷制御パラメータは、クライアントにより静的に保持されるが、個々のクライアントは、それでもなお、サーバーの専用の記憶位置から種々のインターバルで新たなサーバー識別リストを検索することができる。更新されたサーバー識別リストは、アドミニストレータの手動の指図のもとに必要に応じてサーバーへ配布される。サーバー識別リストの更新は、アドミニストレータが、変化するクライアント要求のために負荷バランスプロフィールを必要に応じて手動で調整すると共に、ネットワークに対するサーバーの追加及び除去を受け入れることを許す。
【００１４】
サーバー識別リストの静的な性質は、バラード氏のシステムのクライアントに基づく負荷バランスオペレーションが、サーバーネットワークの実際のオペレーションに対して基本的に応答しないようにする。特定のサーバー負荷は、種々のクライアントにより推定できるが、クライアント要求に完全に応答しない欠陥しか検出できず、これは、非応答サーバーを、クライアント要求にサービスすることへの更なる参加から除外することで取り扱うしかない。従って、動的に変化する負荷状態のもとでは、クライアントにより実行される片側の負荷バランス動作がサーバーネットワークの実際の負荷を甚だしく誤解し、更には、少なくともアドミニストレータの手動の介在により再イネーブルされるまでサーバーを参加から除外させることになる。サーバーをサーバーネットワークからこのように盲目的に除外することは、残りのサーバーに対する負荷を増大し、ひいては、他のサーバーがサーバーネットワークから除外される見込みを増大するだけである。それ故、サーバーを再イネーブルして、サーバーネットワークに対する負荷の集合的クライアントバランスを調整するためにサーバー識別リストを手動で更新することを含めて、能動的なサーバーネットワークをアドミニストレータが常時手動で監視することが必要となる。このようなアドミニストレータの保守は、少なくともユーザが悪い性能の発生を認知する迅速さに比して極めて低速であると共に、動作の非実用性の点からコストがかかるものである。
【発明の開示】
【発明が解決しようとする課題】
【００１５】
以上の説明から、サーバーのクラスターを協働的に負荷バランスさせるための改良されたシステム及び方法が要望されることが明らかである。又、従来技術では述べなかったが、クラスターの一部分としてのサーバーの相互オペレーションに対するだけでなく、外部のクライアントコンピュータシステムに複合サービスを提供するサーバークラスターとしても、サーバークラスターのコンフィギュレーションを協働的にマネージすることが更に要望される。又、扱われていないのは、クラスター内のサーバー間で交換される情報に対するセキュリティの必要性である。クラスター化されたシステムは、セキュリティに敏感な目的で更に広く使用されることになるので、共有情報の傍受によりクラスターオペレーションの一部分が転用されたり、又は妥協されたサーバーがクラスターに導入されたりすると、受け入れられないリスクをもたらす。
【課題を解決するための手段】
【００１６】
したがって、本発明の全般的な目的は、拡張可能な(scalable)なネットワークサービスを効果的に提供するためにサーバー群（サーバークラスター）を協同して負荷バランスする効果的システム及び方法を提供することである。
【００１７】
定義されたネットワークサービスを実行するために構成されたサーバークラスターを提供することによって、本発明が達成される。ホストコンピュータシステムは、ネットワークサービスの実行要求を分散化するために、クラスターのサーバーと独立したトランザクション（典型的にはデータの転送処理を含む）にかかわる。ホストコンピュータシステムは、クラスターサーバの特定を行い、それぞれのトランザクションを実行するクラスターの目標サーバを動的に選択する。クラスターサーバーの選択は、前のトランザクションを介して、個々のサーバからのホストコンピュータによって集められたサーバ性能情報に基づき、ホストコンピュータによって自動的に行われる。
【００１８】
クラスターサーバの性能情報は、前のトランザクションの中に戻された負荷値を含む。戻された負荷値の組は、対応するクラスターサーバーの実行状態を反映する。必要に応じて、同時に戻された重み値は、サービス要求と一緒に提供されるあるアクセス属性情報のポリシー評価をローカル化した目標クラスターサーバーを反映する。目標サーバーは、ネットワーク要求、負荷値、重み値、又はそれらの組み合わせによって特定されるオペレーションに関係してローカルに評価したアクセス属性に明確に基づき、サービス要求を明確に拒絶することができる。前記要求が受け入れられようと拒絶されようと、決定された負荷及び必要に応じた重み値が、ホストコンピュータから生じる要求に戻され、その後のトランザクションのための目標サーバを選択する基礎として記憶され且つ使用される。
【００１９】
したがって、本発明の効果は、サーバーコンピュータシステムのクラスターを効果的に負荷バランスするのに必要なオペレーションが、ホストコンピュータシステムとクラスターの目標サーバーとの間に実行される自律行為に基づいて協同して行われる。負荷関連の情報は、個々のサービストランザクションに先立って個別というより、ホストとクラスターサーバーとの間の個々のサービストランザクションの過程で共有される。
【００２０】
クラスターのサーバー間、又はホスト及びサーバー間でさえ、関与するホスト間で負荷情報を共有するために、通信接続が独立し、明確であるように要求されることはない。その結果として、オペレーションで共有する進行中の負荷情報を実行することにおいて、ホスト又はサーバーの一部で性能が失われることがない。さらに、複雑なオペレーションの回避や、負荷情報を共有するための複数ネットワーク接続の開始やオペレーションの遅延が回避される。
【００２１】
本発明の他の効果は、本発明のサーバークラスターを完全に利用するために被るオーバヘッド処理が、ホスト及びサーバーコンピュータシステムに対するサービス要求頻度に関連して最小且つ必須の一定値で済むということである。ホストコンピュータシステムは、サービス要求を発行し、且つ受信したサーバー応答をその後に記録する予測において、利用可能なクラスターサーバーの実質的に一定の基本評価を実行する。要求を拒絶する可能性に対する問題として、ホストコンピュータシステムにはこれ以上のオーバーヘッドが置かれない。サービス要求の拒否が生じる場合であっても、サーバ選択の評価が最小の遅延奈要求された処理ステップによって再実行される。サーバ側では、ポリシーエンジンを介して各サービス要求が受信され評価され、その要求が拒絶されるべきか、又はポリシー事項としてその後の選択評価に相対的に優先されるべきである所与の重みであるか否かを迅速に決定する。
【００２２】
本発明の更に効果は、ホストコンピュータシステムの機能が、異なる実行要求を最高に満足するのに必要なものとして様々なアーキテクチャ的な構成で分配され得ることである。従来のクライアント／サーバ構成の場合、クライアントへ直接的にホスト機能を実装することができる。また、クライアント／サーバ構成の場合、ホストのオペレーションによって、ファイルシステムプロキシとしてのホスト機能を実装することができ、コアネットワークファイルサーバのデータストアへのアクセスをフィルタするために動作する仮想マウントポイントをサポートする。
本発明の好ましい実施例では、ホストコンピュータシステムは、一般的には、コアとなるネットワークデータ資産に対するアクセスを有し且つ提供する直接的な保護システムである。
【００２３】
さらに、本発明の効果は、ホストシステム及びクラスターサーバーの協同内部オペレーションが、完全に負荷バランスを減少させること、オペレーションの拡張（スケラビリティ）ができるようにすることである。維持の適正さや他の実装をアドレスするために、ホストによって保持されるサーバーリストの修正によって、ネットワークサービスクラスターを容易にスケール化且つ部分化することができる。クラスターサービスからサーバーの存在及び撤退を記録（マーク）するため、トランザクション内におけるホストへの通知のポスティング(posting)を通じて修正を実行することができる。サーバークラスターは信頼あるサービスを提供することができるので、サーバーリストの更新のタイミングは重大ではなく、複数のホストにわたって同期して実行される必要もない。
【００２４】
本発明の他の効果は、サーバークラスターの負荷バランスアルゴリズムの選択要素がホスト及びサーバーシステムによって互いに直行するように計算され得るということである。おそらく、分散サーバーは個々のトランザクションを共有するために一瞬の負荷及び適当なポリシー情報を評価する。受信した負荷及びポリシー重み情報に基づき、ホストは、複数のトランザクションを越えて展開し、そしてクラスター内から直接明らかでない外部要因を更に考慮して、一般的に直交するトラフィックのシェーピング１（shaping）評価を実行することが好ましい。例えば、ホスト／サーバーネットワーク通信のコストと待ち時間などである。その結果生じる協同的な負荷バランスオペレーションは、ホストとサーバーの実行性能を効率的にし、オーバヘッドの低い利用をもたらすことになる。
【発明を実施するための最良の形態】
【００２５】
システムアーキテクチャーは、一般に、クライアント／サーバーパラダイムに従うが、実際の実施は、通常、複雑であり、広範な様々な積層ネットワーク資産（アセット）を包含する。アーキテクチャー上の一般化は困難であるが、信頼性、拡張性及びセキュリティの基本的共通要件が全て存在する。本発明に関連して認識されるように、ネットワークコンピュータシステム企業のサーバーシステム及びデータを含む少なくともコア資産については、セキュリティのための特定の要件が共通に存在する。本発明は、コア資産へのアクセスを低下せずに企業内に確立された種々のホストへのセキュリティサービスを提供するサーバーのクラスターを設ける一方、セキュリティサービスクラスターの利用を効率的な負荷バランスにより最大にするシステム及び方法を提供する。当業者であれば、本発明は、コアネットワークセキュリティサービスの実施に特に適用できるが、基本的には、サーバークラスターの効率的な負荷バランスのとれた利用を可能にすると共に、更には、サーバークラスターの効率的で且つセキュアな管理も可能にすることが明らかであろう。又、明らかなように、本発明の好ましい実施形態の以下の詳細な説明では、１つ以上の図面に示された同じ部分を指すのに、同じ参照番号を使用している。
【００２６】
本発明の基本的な好ましいシステム実施形態１０が図１Ａに示されている。多数の独立したホストコンピュータシステム１２1-Nが、高速スイッチ１６を経てセキュリティプロセッサクラスター１８に冗長に接続される。ホストコンピュータシステム１２1-Nと、スイッチ１６と、クラスター１８との間の接続は、専用又は共有媒体を使用してもよく、そしてホストコンピュータシステム１２1-Nと、スイッチ１６と、クラスター１８との間に直接的に延びてもよいし或いはＬＡＮ又はＷＡＮ接続を経て延びてもよい。本発明の好ましい実施形態によれば、ポリシー施行モジュール（ＰＥＭ）が各ホストコンピュータシステム１２1-Nにおいて実施されて、該システムにより個別に実行される。各ＰＥＭは、その実行時に、セキュリティ関連情報をセキュリティプロセッサクラスター１８へ選択的にルーティングして、要求されたオペレーションをホストコンピュータシステム１２1-Nにより又はそれに代わって個別に資格付けする役割を果たす。本発明の好ましい実施形態の場合に、これらの要求は、認証、認可、ポリシーに基づく許可、及び共通ファイルシステムに関連したオペレーションの包括的組み合せを表わす。従って、明らかなように、データ記憶装置１４として一般に示されたデータ記憶装置に対するファイルデータの読み取り又は書き込みも、対応するホストコンピュータシステム１２1-Nにより実行されるＰＥＭによりセキュリティプロセッサクラスター１８を経てルーティングされる。ＰＥＭの全てのオペレーションは、セキュリティプロセッサクラスター１８により順次に制御又は資格付けされるので、ホストコンピュータシステム１２1-Nの種々のオペレーションをセキュアに監視及び資格付けすることができる。
【００２７】
本発明の別の企業システム実施形態２０が図１Ｂに示されている。この企業ネットワークシステム２０は、周囲ネットワーク２２を含むことができ、これは、クライアントコンピュータシステム２４1-Nを、ＬＡＮ又はＷＡＮ接続を経て、少なくとも１つのそしてより一般的には多数のゲートウェイサーバー２６1-Mに相互接続し、これらゲートウェイサーバーは、コアネットワーク２８へのアクセスを与える。種々のバックエンドサーバー（図示せず）、ＳＡＮ及びＮＡＳデータ記憶装置３０のようなコアネットワーク資産には、クライアントコンピュータシステム２４1-Nによりゲートウェイサーバー２６1-M及びコアネットワーク２８を経てアクセスすることができる。
【００２８】
本発明の好ましい実施形態によれば、ゲートウェイサーバー２６1-Mは、クライアントコンピュータシステム２４1-Nに対する周囲セキュリティと、ゲートウェイサーバー２６1-Mにより確立された周囲内のコアネットワーク２８及びそれにアタッチされたネットワーク資産３０に対するコア資産セキュリティの両方を実施することができる。更に、ゲートウェイサーバー２６1-Mは、クライアントコンピュータシステム２４1-Nに代わってデータ処理プログラムを実行するアプリケーションサーバーとして動作することができる。名目上、ゲートウェイサーバー２６1-Mは、コアネットワーク資産に向けられたネットワークファイル要求を処理するために直接的経路に設けられる。従って、ネットワークコンピュータシステム１０の全体的性能は、少なくとも一部分は、ゲートウェイサーバー２６1-Mのオペレーション性能、信頼性及び拡張性に直接依存する。
【００２９】
ゲートウェイサーバー２６1-Mのセキュリティサービスを実施する際に、クライアント要求がゲートウェイサーバー２６1-Mの各々により遮られて、スイッチ１６を経て、セキュリティプロセッサクラスター１８へ向け直される。スイッチ１６は、高速ルーターファブリックでよく、この場合、セキュリティプロセッサクラスター１８は、ゲートウェイサーバー２６1-Mに対してローカルとなる。或いは又、従来のルーターを冗長コンフィギュレーションにおいて使用して、ゲートウェイサーバー２６1-Mとセキュリティプロセッサクラスター１８との間にスイッチ１６を経てバックアップネットワーク接続を確立することもできる。
【００３０】
図１Ａ及び１Ｂに示す両実施形態１０、２０の場合に、セキュリティプロセッサクラスター１８は、共通ネットワークサービスを提供するように各々構成されたサーバーコンピュータシステムの並列編成アレーとして実施されるのが好ましい。本発明の好ましい実施形態では、提供されるネットワークサービスは、ネットワークファイルデータ転送要求を含むネットワークデータパケットのファイアウオールベースのフィルタリングと、資格付けされたネットワークファイル要求に応答して実行されるファイルデータの選択的両方向性暗号化及び圧縮とを含む。これらのネットワーク要求は、ホストコンピュータシステム１２1-N、クライアントコンピュータシステム１４1-N、及び例えば、アプリケーションサーバーとして動作するゲートウェイサーバー１６1-Mで直接的に発信されてもよいし、或いはこれらシステムにより受け取られた要求に応答して発信されてもよい。セキュリティプロセッサクラスター１８の個々のサーバーにより実行される詳細な実施及びプロセスは、２００２年７月２２日に出願された「Secure Network File Access Control System」と題する出願中の特許出願第１０／２０１，４０６号、２００２年７月２２日に出願された「Logical Access Block Processing Protocol for Transparent Secure File Storage」と題する特許出願第１０／２０１，４０９号、２００２年７月２２日に出願された「Secure Network File Access Controller Implementing Access Control and Auditing」と題する特許出願第１０／２０１，３５８号、及び２００２年１０月１６日に出願された「Secure File System Server Architecture and Methods」と題する特許出願第１０／２７１，０５０号に説明されており、これらは、全て、本発明の譲受人に譲渡されたもので、参考としてここに援用する。
【００３１】
ホストコンピュータ１２1-Xのアレーと、セキュリティプロセッサクラスター１８との相互オペレーション４０が図２に詳細に示されている。本発明の好ましい実施形態では、ホストコンピュータ１２1-Xは、通常のホストコンピュータシステムとして種々動作する従来のコンピュータシステムであり、クライアントコンピュータシステム、ネットワークプロキシー、アプリケーションサーバー、及びデータベースサーバーとして特にタスクが課せられる。ＰＥＭコンポーネント４２1-Xは、ホストコンピュータ１２1-Xの各々にインストールされて実行され、ローカル及びコアデータ記憶装置１４、３０に向けられたネットワーク要求を機能的に遮って選択的に処理するのが好ましい。要約すれば、ＰＥＭコンポーネント４２1-Xは、特定の要求を個々のトランザクションにおいてセキュリティプロセッサクラスター１８内のターゲットサーバー４４1-Yへ選択的に転送して、ポリシー評価を行うと共に、適宜に、ネットワーク要求を完了できるよう更にサービスする。要求を転送する際に、ＰＥＭコンポーネント４２1-Xは、自律的に動作するのが好ましい。要求の発生、又はセキュリティプロセッサクラスター１８内のターゲットサーバー４４1-Yの選択に関する情報は、特に、時間に厳密に、ＰＥＭコンポーネント４２1-X間に共有させる必要はない。実際に、ＰＥＭコンポーネント４２1-Xは、セキュリティプロセッサクラスター１８に対してＰＥＭコンポーネント４２1-Xのオペレーション全体にわたり他のホストコンピュータ１２1-Xの存在又はオペレーションの通知を要求しない。
【００３２】
好ましくは、各ＰＥＭコンポーネント４２1-Xには、セキュリティプロセッサクラスター１８内の個々のターゲットサーバー４４1-Yのリスト識別が最初に与えられる。ネットワーク要求に応答して、ＰＥＭコンポーネント４２1-Xは、要求を処理するための個別のターゲットサーバー４４を選択し、そしてＩＰスイッチ１６を経てその選択されたターゲットサーバー４４へ要求を送信する。特に、ＰＥＭコンポーネント４２1-Xが、アプリケーションサーバー及び同様の実施形態の場合に生じるローカルクライアントプロセスに応答して実行する場合には、そのクライアントプロセスに関連したセッション及びプロセス識別子アクセス属性が収集されて、ネットワーク要求と共に与えられる。ＰＥＭコンポーネント４２1-Xのこのオペレーションは、転送されるネットワーク要求が、選択されたターゲットサーバー４４へ優先的に発行されるという点で、特に自律的である。但し、その要求がその指定のターゲットサーバー４４により受け容れられて取り扱われると仮定する。
【００３３】
本発明によれば、ターゲットサーバー４４1-Yは、このターゲットサーバー４４1-Yに利用できる現在リソースと、ネットワーク要求と共に与えられるアクセス属性のポリシー評価とに基づいて、ネットワーク要求を条件付きで受け容れる。充分な処理リソースがないか又はポリシーに違反していて、要求が発行されたところのローカル又はコア資産のポリシー決定非利用性を典型的に反映するときには、ターゲットサーバー４４1-Yによりネットワーク要求が拒絶される結果となる。さもなければ、ターゲットサーバー４４1-Yは、要求を受け容れて、その要求されたネットワークサービスを遂行する。
【００３４】
ネットワーク要求に応答して、その要求が最終的に受け容れられるか又は拒絶されるかに関わらず、ターゲットサーバー４４1-Yは、負荷及び任意であるが重み情報を、ネットワーク要求を発信したＰＥＭコンポーネント４２1-Xへ応答の一部分として返送する。負荷情報は、要求を発しているＰＥＭコンポーネント４２1-Xに、ターゲットサーバー４４1-Yにおける現在データ処理負荷の表示を与える。重み情報も、同様に、要求を発しているＰＥＭコンポーネント４２1-Xに、特定のネットワーク要求、その要求に関連した発信側ホスト１２又はゲートウェイサーバー２６、アクセス属性のセット及び応答側ターゲットサーバー４４1-Yに対するポリシー決定プライオリティ重みの現在評価を与える。好ましくは、セキュリティプロセッサクラスター１８との多数のネットワーク要求トランザクションの工程にわたり、個々のＰＥＭコンポーネント４２1-Xは、特定のクライアントコンピュータシステム１２1-N及びゲートウェイサーバー２６1-Mからのネットワーク要求を取り扱うのに使用するために、おそらく最良のターゲットサーバー４４1-Yを識別するのに用いる優先的プロフィールを開発する。個々のトランザクションで報告される負荷及び重みの値は、時間と共にエージングすると共に、個々のポリシー評価の複雑さに基づいて更に変化し得るが、ホストコンピュータシステム１２1-Xを進行中に能動的に利用することで、ＰＥＭコンポーネント４２1-Xは、個々のターゲットサーバー４４1-Yによる要求拒絶の発生を最小にする傾向のある実質的に正確な優先的プロフィールを開発して維持することが許される。従って、ネットワーク要求の負荷分布は、ネットワーク要求トランザクションの受け容れレートを最大にするに必要な程度にバランスされる。
【００３５】
ＰＥＭコンポーネント４２1-Xのオペレーションと同様に、ターゲットサーバー４４1-Yのオペレーションも、個々のネットワーク要求の受信及び処理について本質的に自律的である。本発明の好ましい実施形態によれば、負荷情報は、特に、ネットワーク要求に応答する厳密な時間経路において、クラスター１８内のターゲットサーバー４４1-Y間で共有することが要求されない。好ましくは、ターゲットサーバー４４1-Yは、与えられたネットワーク要求を受信するように均一に動作し、そして与えられた要求の知識において、その要求が受け容れられるかどうか識別し、負荷及び任意の重み情報を与え、そして要求を拒絶する理由を少なくとも暗示的に指定する。
【００３６】
負荷情報を共有するために特に設けられるのではないが、セキュリティプロセッサクラスター１８内の個々のターゲットサーバー４４1-Y間に通信リンクが設けられるのが好ましい。本発明の好ましい実施形態では、選択クラスターマネージメント情報、特に、存在、コンフィギュレーション及びポリシー情報の通信をターゲットサーバー４４1-Y間でセキュアに共有するのを許すために、クラスターローカルエリアネットワーク４６が確立される。このクラスターローカルエリアネットワーク４６の通信は、セキュアなソケットレイヤ（ＳＳＬ）接続を使用すると共に、更に、マネージメント情報の送信に対してセキュアな独占的プロトコルを使用することにより、保護される。従って、個別の物理的にセキュアなクラスターローカルエリアネットワーク４６が好ましいが、クラスターマネージメント情報は、セキュリティプロセッサクラスター１８のターゲットサーバー４４1-Yを相互接続するために必要に応じて共有物理的ネットワークを経てルーティングされてもよい。
【００３７】
好ましくは、存在情報は、暗号化された識別子を使用してセキュリティプロセッサクラスター１８の参加ターゲットサーバー４４1-Yを周期的に識別するブロードキャストプロトコルにより送信される。セキュリティ情報は、好ましくは、詐欺師又はトロイの装置がクラスター１８に加入したりターゲットサーバー４４1-Yのセキュアなコンフィギュレーションを妥協したりするのを除外することでセキュリティプロセッサクラスター１８の完全性を確保するように動作する軽量プロトコルを使用して送信される。又、セキュリティプロセッサクラスター１８内の個々のターゲットサーバー４４1-Yにより使用されるポリシールールの同期更新を含むコンフィギュレーション情報の制御された伝播をサポートする付加的な軽量プロトコルを使用して、コンフィギュレーションポリシー情報のセットが通信される。存在情報がネットワーク要求処理の公称レートに対して低い周波数で送信され、且つセキュリティ及びコンフィギュレーションポリシー情報プロトコルが、例えば、ターゲットサーバー４４1-Yの追加、及びポリシールールセットへの管理更新のエントリーにより、セキュリティプロセッサクラスター１８の管理上の再コンフィギュレーションについてのみ実行されるとすれば、クラスター内通信をサポートするために個々のターゲットサーバー４４1-Yに課せられる処理オーバーヘッドが無視でき且つクラスター負荷とは独立したものとなる。
【００３８】
本発明の好ましい実施形態に使用されるソフトウェアアーキテクチャー５０のブロック図兼フローチャートが図３に示されている。一般に、インバウンドネットワーク要求トランザクションは、スイッチ１６を経てルーティング可能な通信セッションをサポートするハードウェアベースのネットワークインターフェイスコントローラにより処理される。これらのインバウンドトランザクションは、第１のネットワークインターフェイス５２、プロトコルプロセッサ５４及び第２のネットワークインターフェイス５４を経て処理され、その結果、アウトバウンドトランザクションがホストコンピュータ１２1-Xを経てローカル及びコアデータ処理及び記憶資産１４、３０へ向け直される。同じ、個別の又は多数の冗長のハードウェアネットワークインターフェイスコントローラを各ターゲットサーバー４４1-Yにおいて実施し、そしてスイッチ１６を経てインバウンド及びアウトバウンドトランザクションを搬送するように対応的に使用することができる。
【００３９】
ローカル及びコアネットワーク資産１４、３０に対して対応するネットワークトランザクションを開始するように各々動作するＰＥＭコンポーネント４２1-Xからターゲットサーバー４４により種々受け取られるネットワーク要求データパケットは、プロトコルプロセッサ５４を経て処理されて、選択されたネットワーク及びアプリケーションデータパケット制御情報を最初に抽出する。好ましくは、この制御情報は、ターゲットサーバー４４1-Yへ従来のやり方でルート転送するために発信側ＰＥＭコンポーネント４２1-Xにより従来のＴＣＰデータパケットにラップされる。或いは又、制御情報は、独占的ＲＰＣデータパケットとしてエンコードすることができる。抽出されたネットワーク制御情報は、ＴＣＰ、ＩＰ及び同様のネットワークプロトコルレイヤ情報を含み、一方、抽出されたアプリケーション情報は、ネットワーク要求が発生された特定のクライアントプロセス及びコンテクストに対して発信側ＰＥＭコンポーネント４２1-Xのオペレーションにより発生され又は決定されたアクセス属性を含む。本発明の好ましい実施形態では、アプリケーション情報は、発信側ホストコンピュータを直接的又は間接的に識別するアクセス属性と、ユーザ及びドメインと、アプリケーションシグネチャー又はセキュリティ証明書と、ネットワーク要求を発信したホストコンピュータ１２1-Nに対して得られるクライアントセッション及びプロセス識別子との集合である。アプリケーション情報は、更に、ユーザを検証(verify)するために実行される認証の状態又はレベルが得られるときにはそれを識別するのが好ましい。好ましくは、ＰＥＭコンポーネント４２1-Xは、アプリケーション情報を、定義されたデータ構造体へと自動的に収集し、このデータ構造体は、次いで、ターゲットサーバー４４1-Yへ送信するためのＴＣＰネットワークデータパケットとしてカプセル化される。
【００４０】
好ましくは、プロトコルプロセッサ５４のオペレーションにより露出されるネットワーク情報は、トランザクション制御プロセッサ５８へ供給され、そしてネットワーク及びアプリケーションの両制御情報は、ポリシーパーサ６０へ供給される。トランザクション制御プロセッサ５８は、状態マシンとして動作して、プロトコルプロセッサ５４を経てネットワークデータパケットの処理を制御すると共に、ネットワーク及びアプリケーション情報を受信して評価する際のポリシーパーサのオペレーションを整合する。トランザクション制御プロセッサ５８の状態マシンオペレーションは、個々のネットワークデータパケットの詳細な検査を制御して、ネットワーク及びアプリケーション制御情報を探索し、そして本発明の好ましい実施形態により、取り囲まれたデータペイロードの暗号化及び圧縮処理を選択的に制御する。又、ネットワークトランザクション状態は、トランザクション制御プロセッサ５８の状態マシンのオペレーションを経て維持される。より詳細には、ネットワークファイルデータの読み取り及び書き込みオペレーション並びに他の同様のトランザクションオペレーションを実施するために交換されるネットワークデータパケットのシーケンスは、プロトコルプロセッサ５４を経て処理される間にトランザクションの完全性を維持するために必要に応じて追跡される。
【００４１】
トランザクション制御プロセッサ５８により初期ネットワーク要求として識別されたネットワークデータパケットを評価する際に、ポリシーパーサ６０は、得られるネットワーク及びアプリケーション制御情報の選択されたエレメントを検査する。ポリシーパーサ６０は、ポリシー／キー記憶装置６２に記憶されたコンフィギュレーションポリシー／キーデータセットに対して動作するルールベースの評価エンジンとして実施されるのが好ましい。ルール評価は、受け取ったネットワークファイルデータパケットにより表わされたネットワークファイル要求の処理を可能にするために必要とされるホストコンピュータ１２1-Nの認証のレベルを決定する判断ツリーロジックを実施するのが好ましく、前記決定は、認証のレベルを満足するかどうか、要求を開始するホストコンピュータ１２1-Nのユーザがその要求されたコアネットワーク資産にアクセスすることが許可されたかどうか、そして更に、ネットワーク要求と共に与えられるプロセス及びアクセス属性が、ネットワーク要求で識別された特定のローカル又はコアネットワークリソース１４、３０へのアクセスを可能にするのに充分であるかどうかについて行われる。
【００４２】
本発明の好ましい実施形態では、ファイルデータにアクセスするためのネットワーク要求に応答して評価される判断ツリーロジックは、ユーザ認証状態、ユーザアクセス認可、及びアクセス許可を考慮する。ユーザの認証は、識別されたネットワーク要求コアネットワーク資産、取り付けポイント、ターゲットディレクトリー及びファイル仕様の組み合せに対してコンフィギュレーションポリシー／キーデータセットに定義された最小要求認証レベルに関して考慮される。コンフィギュレーションポリシー／キーデータセットに対するユーザの認可は、特定のネットワークファイル要求、ユーザのネーム及びドメイン、クライアントＩＰ、並びにクライアントセッション及びクライアントプロセス識別子アクセス属性の組み合せに対して考慮される。最終的に、アクセス許可は、ユーザのネーム及びドメイン、取り付けポイント、ターゲットディレクトリー及びファイル仕様アクセス属性を、対応的に指定された読み取り／変更／書き込み許可データ、並びにコンフィギュレーションポリシー／キーデータセットに指定された他の使用可能なファイル関連機能及びアクセス許可制約と共に評価することにより、決定される。
【００４３】
ＰＥＭコンポーネント４２1-Xが、仮想指定されたデータ記憶装置に対するファイルシステム要求を、特定のローカル及びコアネットワークファイルシステムデータ記憶装置１４、３０へマップし及び向け直すのに有用なファイルシステムプロキシーとして機能する場合には、ホストコンピュータシステム１２1-Nにアクセスできる仮想ファイルシステム取り付けポイントのセット認識と、仮想取り付けポイントから真の取り付けポイントへのマッピングとを定義するためのデータもポリシー／キー記憶装置６２に記憶される。又、ポリシーデータは、許可されたホストコンピュータソースＩＰの範囲を種々定義することもでき、これは、アプリケーションの認証を、クライアントアクセスに対する必須条件として施行すべきか、認可されたアプリケーションの認可されたデジタルシグネチャーの限定されて許可されたセットとして施行すべきか、又、ユーザセッションの認証を生まれた(spawned)プロセスへと拡張するか、又は異なるユーザネーム及びドメイン仕様並びに他の属性データを伴うプロセスへと拡張するかについて行われ、前記他の属性データは、ポリシーパーサ６０のオペレーションにおいて、ＰＥＭコンポーネント４２1-Xによりオンデマンドで配列することのできるアプリケーション情報及びネットワーク情報に対して一致させるか、さもなければ、弁別するのに使用できるものである。
【００４４】
本発明の好ましい実施形態において、ポリシー／キー記憶装置６２には暗号キーも記憶される。好ましくは、個々の暗号キー及び適用可能な圧縮仕様が、判断ツリーとしてパース可能な論理的ハイアラーキーポリシーセットルール構造体に維持される。各ポリシールールは、取り付けポイント、ターゲットディレクトリー及びファイル仕様のアクセス属性定義組み合せを含むネットワーク及びアプリケーション属性のある組み合せの仕様を与え、これにより、対応する要求の更なる処理についての許可制約を弁別することができる。保留中の要求に基づき、それに対応する暗号キーは、プロトコルプロセッサの主題により実施される暗号化及び暗号解読オペレーションをサポートするためにトランザクション制御プロセッサ５８により要求されたときにポリシールールセットからポリシーパーサ６０のオペレーションによりパースされる。本発明の好ましい実施形態では、ネットワーク及びアプリケーション情報に対して迅速な評価を許すようにポリシールール及び関連キーデータがハッシュテーブルに記憶される。
【００４５】
ポリシーデータセットデータの手動管理は、好ましくはプライベートネットワークを経てアクセスされる管理インターフェイス６４と、専用の管理ネットワークインターフェイス６６とを経て実行される。ポリシーデータセットに対する更新は、好ましくは、セキュリティプロセッサクラスター１８のターゲットサーバー４４1-Y間で、個別のクラスターネットワークインターフェイス６８を経てアクセスできるクラスターネットワーク４６を通して自律的に交換される。クラスターポリシープロトコルコントローラ７０は、現在ブロードキャストメッセージを取り扱い、クラスター４６の通信のセキュリティを確保し、そしてコンフィギュレーションポリシー／キーデータセットデータに対する更新を交換するためのセキュアなプロトコルを実施する。
【００４６】
ネットワーク要求を受信すると、トランザクション制御プロセッサ５８は、ポリシーパーサ６０により実行される評価と、ターゲットサーバー４４に対して決定される現在処理負荷値とに基づいて、そのネットワーク要求を受け容れるべきか拒絶すべきか決定する。ポリシーパーサ６０に基づく拒絶は、その要求が認証、認可又は許可のポリシー評価に不合格となった場合に生じる。本発明の最初の好ましい実施形態では、ターゲットサーバー４４の現在処理容量を越えて受け取られる要求に対して拒絶が発生されない。受け取った要求は、バッファされ、そして要求応答待ち時間を受け容れられるほど増加させて、受け取った順に処理される。バッファされた要求に応答して直ちに返送される負荷値は、ホストコンピュータ１２1-Nからのその後のネットワーク要求を他のターゲットサーバー４４1-Yへ効果的に向け直す。或いは又、実際にターゲットサーバー４４の現在処理容量を越えるネットワーク要求の受け取りを最小にするように、返送される負荷値を小さな量だけ上方にバイアスすることもできる。本発明の別の実施形態では、ネットワーク要求の実際の拒絶は、ターゲットサーバー４４1-Yの処理容量を越えるのを明確に除外するためにターゲットサーバー４４1-Yにより発生することができる。その後のネットワーク要求を拒絶すべきときを定義するために、例えば、９５％の負荷容量というスレッシュホールドをセットすることができる。
【００４７】
返送される負荷値を与えるために、一次ネットワークインターフェイス５２、５６に接続されたネットワークインターフェイスコントローラ、メインプロセッサ、及びターゲットサーバー４４により使用されたハードウェアベースの暗号化／圧縮コプロセッサに対して決定された個々の負荷値の組み合せに基づいて合成負荷値が計算されるのが好ましい。この合成負荷値、及び任意であるが、個々のコンポーネント負荷値が、ネットワーク要求に応答して、要求発信ホストコンピュータ１２1-Nへ返送される。好ましくは、少なくとも合成負荷値が、現在ネットワーク要求の取り扱いを含むように投影される。従って、ターゲットサーバー４４1-Yのオペレーションを支配する適用可能な負荷ポリシールールに基づいて、返送される応答は、現在ネットワーク要求の受け入れ又は拒絶のいずれかを通知する。
【００４８】
ネットワーク要求に対する認可、認証及び許可評価との組み合せにおいて、ポリシーパーサ６０は、好ましくはネットワーク要求を拒絶すべきかどうかに関わらず、現在トランザクションに対するポリシーセット重み値を任意に決定する。このポリシー決定された重み値は、特定のネットワーク要求及びそれに関連したアクセス属性に対して特定のターゲットサーバー４４を使用することがどれほど適しているかの数値ベース表示である。本発明の好ましい実施形態では、好ましい使用を含む１から１００の正規化範囲における比較的低い値は、受け容れられるネットワーク及びアプリケーション情報の望ましい組み合せに関連付けされる。バックアップ又は別の受け容れられる使用を一般的に識別するために、より高い値が返送される。定義されたスレッシュホールド、例えば、９０より高い任意の値として定義される除外値は、対応するネットワーク要求が緊急状態下以外は特定のターゲットサーバー４４に向けられないところのＰＥＭコンポーネント４２1-Xへ暗示的信号として返送される。
【００４９】
ネットワーク要求に応答して、ターゲットサーバー４４は、任意のポリシー決定された重み値、１つ以上の負荷値のセット、及びネットワーク要求の受け容れ又は拒絶を指示する識別子を含む応答ネットワークデータパケットを返送する。本発明の好ましい実施形態によれば、応答ネットワークデータパケットは、現在トランザクション内のその後のデータパケット転送を、セキュリティプロセッサクラスター１８を経て転送する必要があるかどうか更に指定することができる。名目上、全トランザクションのデータパケットは、暗号化及び圧縮処理を許すために、対応するターゲットサーバー４４を経てルーティングされる。しかしながら、基礎となる搬送ファイルデータが暗号化も圧縮もされない場合、又はこのような暗号化又は圧縮を変更すべきでない場合、或いはネットワーク要求がファイルデータ転送を伴わない場合には、データの現在トランザクション転送で、セキュリティプロセッサクラスター１８を経てトランザクションデータパケットの残りをルーティングする必要がない。従って、現在トランザクションのネットワーク要求がターゲットサーバー４４のポリシーパーサ６０により評価されて承認され、そして受け容れ応答パケットがホストコンピュータ１２1-Nに返送されると、それに対応するＰＥＭコンポーネント４２1-Xは、現在トランザクションを完了するためにセキュリティプロセッサクラスター１８の使用を選択的にバイパスすることができる。
【００５０】
実行時のＰＥＭコンポーネント４２が図４に８０で示されている。ＰＥＭコンポーネント４２の制御機能を実施するために実行されるＰＥＭ制御レイヤ８２は、オペレーティングシステム仮想ファイルシステムスイッチ又はそれと同等のオペレーティングシステム制御構造体のもとでカーネルコンポーネントとしてホストシステム１２にインストールされるのが好ましい。オペレーティングシステムカーネルへの従来の仮想ファイルシステムスイッチインターフェイスをサポートするのに加えて、ＰＥＭ制御レイヤ８２は、内部又はオペレーティングシステムで形成されるファイルシステム８４をサポートするときに通るオペレーティングシステム仮想ファイルシステムスイッチインターフェイスと同等のネイティブ又はネットワークファイルシステム或いはインターフェイスのある組み合せを実施するのが好ましい。外部に設けられるファイルシステム８４は、ダイレクトアクセス（ＤＡＳ）及び記憶ネットワーク（ＳＡＮ）データ記憶資産への接続を可能にするブロック向けのインターフェイスと、ネットワークアタッチ型記憶（ＮＡＳ）ネットワークデータ記憶資産へのアクセスを許すファイル向けのインターフェイスとを含むのが好ましい。
【００５１】
又、ＰＥＭ制御レイヤ８２は、ホストコンピュータシステム１２のホストネーム又は他の独特の識別子、仮想ファイルシステムスイッチを経て受信したネットワークファイル要求を発信するプロセスに対応するソースセッション及びプロセス識別子、並びにネットワークファイル要求を発信するプロセスに対するユーザネーム及びドメインに関連した認証情報をこのＰＥＭ制御レイヤ８２が得るのを許すオペレーティングシステムインターフェイスを実施するのも好ましい。本発明の好ましい実施形態では、ＰＥＭ制御レイヤ８２により受信されるこれらのアクセス属性及びネットワークファイル要求は、従来のＴＣＰデータパケットによりラップされるデータ構造体に入れられる。この有効な独占的ＴＣＰデータパケットは、次いで、ＩＰスイッチ１６を経て送信されて、ネットワーク要求を選択されたターゲットサーバー４４へ与える。或いは又、独占的データ構造体に代わって従来のＲＰＣ構造体を使用することができる。
【００５２】
ターゲットサーバー４４の選択は、コンフィギュレーション及び動的に収集された性能情報に基づいてＰＥＭ制御レイヤ８２により実行される。セキュリティプロセッサＩＰアドレスリスト８６は、セキュリティプロセッサクラスター１８内のターゲットサーバー４４1-Yの各々を識別するのに必要なコンフィギュレーション情報を与える。このＩＰアドレスリスト８６は、ＰＥＭコンポーネント４２の静的な初期化を通して手動で設けることもできるし、或いは好ましくは、ＰＥＭ制御レイヤ８２の初期実行時に、セキュリティプロセッサクラスター１８の指定の又はデフォールトのターゲットサーバー４４1-Yから初期コンフィギュレーションデータセットの一部分として検索される。本発明の好ましい実施形態では、各ＰＥＭコンポーネント４２1-Xは、初期実行時に、セキュリティプロセッサクラスター１８に対して認証トランザクションを実行し、これにより、実行中のＰＥＭ制御レイヤ８２の完全性が検証されると共に、ＩＰアドレスリスト８６を含む初期コンフィギュレーションデータがＰＥＭコンポーネント４２1-Xに供給される。
【００５３】
サーバー負荷及び重み値のような動的情報は、実行中のＰＥＭコンポーネント４２1-XによりＳＰ負荷／重みテーブル８８へ次第に収集される。負荷値は、タイムスタンプされ、そして報告ターゲットサーバーに対してインデックスされる。重み値も、同様に、タイムスタンプされてインデックスされる。初期の好ましい実施形態の場合に、ＰＥＭコンポーネント４２1-Xは、ラウンドロビンターゲットサーバー４４1-Y選択アルゴリズムを使用し、この場合、現在ターゲットサーバー４４1-Yの負荷が１００％に達したときに次のターゲットサーバー４４1-Yの選択が行われる。或いは又、負荷及び重み値は、更に、要求側のホストの識別子、ユーザネーム、ドメイン、セッション及びプロセス識別子、アプリケーション識別子、要求されたネットワークファイルオペレーション、コアネットワーク資産参照、並びに取り付けポイント、ターゲットディレクトリー及びファイル仕様を含むアクセス属性の使用可能な組み合せによって逆インデックスすることもできる。ハイアラーキー式の最も近い一致のアルゴリズムを使用して、この記憶されたダイナック情報は、ＰＥＭコンポーネント４２1-Xが、特定のネットワーク要求を最も受け容れ易いもの及び最も負荷の低いものの両方である多数のターゲットサーバー４４1-Yの順序付けされたリストを迅速に確立するのを許す。最初に識別されたターゲットサーバー４４1-Yが要求を拒絶すると、次にリストされたターゲットサーバー４４1-Yが試みられる。
【００５４】
ネットワーク待ち時間テーブル９０は、好ましくは、ＰＥＭ制御レイヤ８２と各ターゲットサーバー４４1-Yとの間のネットワーク状態の動的評価を記憶するのに使用される。最小限、ネットワーク待ち時間テーブル９０は、ネットワーク要求にもはや応答しないか、さもなければ、アクセス不能と思われるターゲットサーバー４４1-Yを識別するのに使用される。このような使用不能のターゲットサーバー４４1-Yは、ＰＥＭ制御レイヤ８２により実行されるターゲットサーバー選択プロセスから自動的に除外される。又、ネットワーク待ち時間テーブル９０は、種々のターゲットサーバー４４1-Yの応答待ち時間及び通信コストを表わすタイムスタンプ値を記憶するのにも使用できる。これらの値は、新たなネットワーク要求を受け取るためのターゲットサーバー４４1-Yを決定しそして順序付けするプロセスの一部分として重み値に関連して評価されてもよい。
【００５５】
最終的に、優先テーブル９２は、ＰＥＭコンポーネント４２1-Xに対して個別化されたデフォールトトラフィック整形プロフィールを与えるように実施できる。本発明の別の実施形態では、優先プロフィールは、セキュリティプロセッサクラスター１８内のターゲットサーバー４４1-Yのデフォールト割り当て又は区分化を確立するためにＰＥＭコンポーネント４２1-Xの各々に指定することができる。ＰＥＭコンポーネント４２1-X間で異なる優先値をターゲットサーバー４４1-Yに指定し、そして更に、これら優先値を重み値に関連して評価することにより、種々のホストコンピュータ１２1-Nと個々のターゲットサーバー４４1-Yとの間のネットワークトラフィックを使用して、特定のターゲットサーバー４４1-Yの使用を柔軟に定義することができる。ＩＰアドレスリスト８６と同様に、優先テーブルのコンテンツは、ＰＥＭ制御レイヤ８２の手動の初期化により与えることもできるし、又はセキュリティプロセッサクラスター１８からのコンフィギュレーションデータとして検索することもできる。
【００５６】
ターゲットサーバー４４1-Yに対する好ましいハードウェアサーバーシステム１００が図５に示されている。本発明の好ましい実施形態では、図３に示したソフトウェアアーキテクチャー５０が、１つ以上のメインプロセッサ１０２により、１つ以上の周辺ハードウェアベースの暗号化／圧縮エンジン１０４からのサポートで実質的に実行される。１つ以上の一次ネットワークインターフェイスコントローラ（ＮＩＣ）１０６は、ＩＰスイッチ１６に対するハードウェアインターフェイスを与える。コントローラ１０８のような他のネットワークインターフェイスコントローラは、セキュアなクラスターネットワーク４６及びアドミニストレータコンソール（図示せず）への個別の冗長なネットワーク接続を与えるのが好ましい。心鼓動タイマー１１０は、特に、セキュアなクラスターネットワークマネージメントプロトコルを含むメンテナンスオペレーションをサポートするためにメインプロセッサに１秒インターバルの割り込みを与えるのが好ましい。
【００５７】
ソフトウェアアーキテクチャー５０は、ハードウェアサーバーシステム１００のメインメモリからメインプロセッサ１０２にロードされて実行されるサーバー制御プログラム１１２として実施されるのが好ましい。サーバー制御プログラム１１２を実行する際に、メインプロセッサ１０２は、一次ネットワークインターフェイスコントローラ１０６、メインプロセッサ１０２、及び暗号化／圧縮エンジン１０４に対する負荷値のオンデマンド取得を実行するのが好ましい。ネットワークインターフェイスコントローラ１０６及び暗号化／圧縮エンジン１０４の特定のハードウェア実施に基づいて、それに対応するハードウェアレジスタから個々の負荷値を読み取ることができる（１１４）。或いは又、ネットワークインターフェイスコントローラ１０６のスループット使用及び暗号化／圧縮エンジン１０４の現在パーセンテージ容量処理利用を追跡するために、メインプロセッサ１０２によりサーバー制御プログラム１１２の実行を通してソフトウェアベースの使用アキュムレータを実施することもできる。本発明の最初の好ましい実施形態では、負荷値の各々は、対応するハードウェアリソースのパーセンテージ利用を表わす。又、サーバー制御プログラム１１２の実行は、好ましくはハードウェアサーバーシステム１００のメインメモリ内にあってメインプロセッサ１０２にアクセスできるコンフィギュレーションポリシー／キーデータセット１１６の確立を与える。セキュアなクラスターネットワーク４６プロトコルのオペレーションを経て更新されたコンフィギュレーションポリシー／キーデータセットを受信するために第２テーブル１１８が同様に維持される。
【００５８】
図６は、セキュリティプロセッサクラスター１８の選択されたターゲットサーバー４４と協働して（１２０Ｂ）、ホストコンピュータ１２1-N上で実行されるＰＥＭコンポーネント４２1-Xにより実施される負荷バランス動作１２０Ａを示すプロセスフローチャートである。クライアント１４から、通常、仮想ファイルシステムスイッチを経てＰＥＭコンポーネント４２1-Xへファイルシステム要求として与えられるネットワーク要求を受信すると（１２２）、このネットワーク要求は、独特のホスト識別子１２６を含む使用可能なアクセス属性１２４をネットワーク要求に関連付けるために、ＰＥＭコンポーネント４２1-Xにより評価される。ＰＥＭコンポーネント４２1-Xは、次いで、セキュリティプロセスクラスター１８からターゲットサーバー４４のＩＰアドレスを選択する（１２８）。
【００５９】
次いで、独占的なＴＣＰベースのネットワーク要求データパケットが、それに対応するネットワーク要求及びアクセス属性を含むように構成される。このネットワーク要求は、次いで、ＩＰスイッチ１６を経てターゲットサーバー４４へ送信される（１３０）。ターゲットサーバーの応答時間切れ周期は、ネットワーク要求の送信（１３０）と同時にセットされる。応答時間切れが生じると（１３２）、特定のターゲットサーバー４４が、ネットワーク待ち時間テーブル９０において、ダウン即ち非応答とマークされる（１３４）。次いで、ネットワーク要求を受信するために、別のターゲットサーバー４４が選択される（１２８）。非応答のターゲットサーバー４４が利用できないことを受けて選択プロセスが再実行されるのが好ましい。或いは又、ネットワーク要求を最初に受信したときに識別される順序付けされた一連のターゲットサーバーを一時的に維持して、ＰＥＭコンポーネント４２1-Xのオペレーションの再試みをサポートしてもよい。少なくとも対応するネットワーク要求がターゲットサーバー４４により受け容れられるまで選択リストを維持することで、ターゲットサーバー４４の選択プロセス１２８を再実行するオーバーヘッドをこうむることなく、拒絶されたネットワーク要求を次に続くターゲットサーバーへ直ちに再試みすることが許される。しかしながら、応答時間切れ１３２の周期の巾によっては、選択リストの再使用が望ましくないことがある。というのは、セキュリティプロセッサの負荷及び重みテーブル８８とネットワーク待ち時間テーブル９０とに対する動的な更新の介在が考えられず、再試みに対する高い拒絶率を潜在的に招くからである。従って、セキュリティプロセッサの負荷及び重みテーブル８８とネットワーク待ち時間テーブル９０とにおける全てのデータを考慮に入れてターゲットサーバー４４の選択プロセス１２８を再実行することが一般的に好ましい。
【００６０】
ＴＣＰベースのネットワーク要求１３６を受け取ると（１２０Ｂ）、ターゲットサーバー４４は、最初に、ネットワーク要求を検査して、その要求にアクセスすると共に、属性情報にアクセスする。ポリシーパーサ６０が呼び出され（１３８）、要求に対するポリシー決定重み値を発生する。又、ターゲットサーバー４４の当該ハードウェアコンポーネントに対する負荷値も収集される。次いで、ネットワーク要求を受け容れるべきか拒絶すべきか（１４０）の決定がなされる。ポリシー評価ネットワーク及びアプリケーション情報のもとでのアクセス権がその要求されたオペレーションを排除する場合には、ネットワーク要求が拒絶される。全ての許可されたネットワーク要求において自動的に受け容れてバッファするものではない本発明の実施形態では、現在負荷又は重み値が、ターゲットサーバー４４1-Yに適用できるコンフィギュレーション確立のスレッシュホールド負荷及び重み限界を越える場合にネットワーク要求が拒絶される。いずれにせよ、対応する要求応答データパケットが発生され（１４２）そして返送される。
【００６１】
ネットワーク要求の応答は、要求発信側のホストコンピュータ１２1-Nにより受け取られ（１４４）、そしてローカル実行のＰＥＭコンポーネント４２1-Xへ直接通される。負荷及び返送される重み値は、タイムスタンプされて、セキュリティプロセッサ負荷及び重みテーブル８８にセーブされる。任意であるが、ネットワーク要求応答データパケットから決定されたターゲットサーバー４４とホストコンピュータ１２1-Nとの間のネットワーク待ち時間は、ネットワーク待ち時間テーブル９０に記憶される。アクセス属性が不充分なこと（１５０）に基づいてネットワーク要求が拒絶された場合には（１４８）、ホストコンピュータ１２1-Nに対してトランザクションが対応的に完了される（１５２）。他の理由で拒絶された場合には、次のターゲットサーバー４４が選択される（１２８）。さもなければ、ネットワーク要求応答により確認されたトランザクションは、ＰＥＭコンポーネント４２1-Xを経て処理されると共に、データペイロード暗号化及び圧縮処理１５４に対して必要に応じてターゲットサーバー４４へネットワークデータパケットを適宜に転送することで処理される。クライアントが要求したネットワークファイルオペレーションの完了時に（１５２）、ネットワーク要求トランザクションが完了となる（１５６）。
【００６２】
セキュリティプロセッサクラスター１８のターゲットサーバー４４1-Y間で、存在情報を配布し、そしてそれに応答して、コンフィギュレーションポリシー／キーデータを含むコンフィギュレーションデータセットを転送するための好ましいセキュアなプロセス１６０Ａ／１６０Ｂが図７Ａに一般的に示されている。本発明の好ましい実施形態によれば、各ターゲットサーバー４４は、セキュアなクラスターネットワーク４６に種々のクラスターメッセージを送信する。好ましくは、図７Ｂに示すように一般的に構成されたクラスターメッセージ１７０は、メッセージタイプ、ヘッダーバージョンナンバー、ターゲットサーバー４４1-Y識別子又は単にソースＩＰアドレス、シーケンスナンバー、認証タイプ及びチェック和を定義するクラスターメッセージヘッダ１７２を含む。このクラスターメッセージヘッダ１７２は、更に、状態値１７４及び現在ポリシーバージョンナンバー１７６を含み、これは、最も現在のコンフィギュレーションの指定のバージョンナンバー、及びクラスターメッセージ１７０を送信するターゲットサーバー４４により保持されたコンフィギュレーションポリシー／キーデータセットを表わす。状態値１７４は、クラスターメッセージの機能を定義するように使用されるのが好ましい。状態のタイプは、クラスター内のターゲットサーバー４４1-Yのセットの発見、クラスターへのターゲットサーバー４４1-Yの加入、そこからの退去及び除去、ターゲットサーバー４４1-Yにより保持されたコンフィギュレーション及びコンフィギュレーションポリシー／キーデータセットの同期、並びに冗長なセキュアなクラスターネットワーク４６が利用できる場合には、二次セキュアなクラスターネットワーク４６への切り換えを含む。
【００６３】
又、クラスターメッセージ１７０は、ＰＫダイジェスト１７８も備え、これは、パブリックキーのセキュアなハッシュと、それに対応するネットワークＩＰと、セキュアなプロセッサクラスター１８の各ターゲットサーバー４４1-Yに対する状態フィールドとを含む構造化リストを備え、それらは、クラスターメッセージ１７０を発信する特定のターゲットサーバー４４により知られたものである。好ましくは、ＳＨＡ−１のようなセキュアなハッシュアルゴリズムを使用して、セキュアなパブリックキーハッシュが発生される。含まれた状態フィールドは、進行中の同期、終了した同期、クラスター加入、及びクラスター退去状態を含む各ターゲットサーバー４４の既知のオペレーティング状態を反映する。
【００６４】
又、好ましくは、クラスターメッセージヘッダ１７２は、ソースターゲットサーバー４４識別子のデジタルサイン入りコピーも、受信したクラスターメッセージ１７０の有効性を保証する基礎として含む。或いは又、クラスターメッセージヘッダ１７２から発生されたデジタルシグネチャーをクラスターメッセージ１７０に添付することもできる。いずれの場合も、ソースターゲットサーバー４４識別子の首尾良い暗号解読及び比較、又はクラスターメッセージヘッダ１７２のセキュアなハッシュは、クラスターメッセージ１７０が既知のソースターゲットサーバー４４からのもので、デジタルサイン入りである場合に、改ざんがなされていないことを受信側ターゲットサーバー４４が検証できるようにする。
【００６５】
本発明の好ましい実施形態では、クラスター１８のターゲットサーバー４４1-Yは、ネットワーク要求に対する一貫した動作応答がいずれのホストコンピュータ１２1-Xによってもなされるよう保証するための共通のコンフィギュレーションを維持する。ターゲットサーバー４４1-Yのコンフィギュレーションの同期を保証するために、好ましくは、ローカル心鼓動タイマー１６２により発生されるハードウェア割り込みに応答して、各ターゲットサーバー４４1-Yによりセキュアなクラスターネットワーク４６にクラスター同期メッセージが周期的にブロードキャストされる（１６０Ａ）。各クラスター同期メッセージは、クラスターメッセージ１７０において、同期状態１７４の値、クラスター１８の現在ポリシーバージョンレベル１７６、及びセキュリティプロセッサクラスター１８に参加することが許されたターゲットサーバー４４1-Yのセキュアに確認可能なセットと共に、特に、クラスター同期メッセージ１７０を発信するターゲットサーバー４４の参照のフレームから、送信される（１６４）。
【００６６】
各ターゲットサーバー４４は、他の能動的ターゲットサーバー４４1-Yの各々からセキュアなクラスターネットワーク４６を経て受信された（１８０）ものであるブロードキャストされたクラスター同期メッセージ１７０を同時に処理する（１６０Ｂ）。各クラスター同期メッセージ１７０が受信され（１８０）、そしてセキュリティプロセッサクラスター１８に有効に存在すると分かっているターゲットサーバー４４から発信することが確認されたときに、受信側ターゲットサーバー４４は、パブリックキーのダイジェスト１７８をサーチし（１８２）、受信側ターゲットサーバーのパブリックキーがダイジェストリスト１７８内に含まれるかどうか決定する。受信側ターゲットサーバー４４のパブリックキーのセキュアなハッシュ等効物が見つからない場合には（１８４）、クラスター同期メッセージ１７０が無視される（１８６）。受信側ターゲットサーバー４４のセキュアなハッシュパブリックキーが、受信したクラスター同期メッセージ１７０に見つかった場合には、ポリシーバージョンナンバー１７６が、受信側ターゲットサーバー４４により保持されたローカルコンフィギュレーションポリシー／キーデータセットのバージョンナンバーと比較される。ポリシーバージョンナンバー１７６が、ローカルコンフィギュレーションポリシー／キーデータセットのバージョンナンバー以下である場合には、クラスター同期メッセージ１７０が再び無視される（１８６）。
【００６７】
クラスター同期メッセージ１７０で識別されたポリシーバージョンナンバー１７６が、現在能動的コンフィギュレーションポリシー／キーデータセットのバージョンナンバーより大きい場合には、ターゲットサーバー４４は、検索要求１９０を、好ましくは、ＨＴＴＰｓプロトコルを使用して、クラスター同期メッセージ１７０のソースとして対応するネットワークデータパケット内で識別されたターゲットサーバー４４へ発行する。識別されたソースターゲットサーバー４４により保持された比較的新しいコンフィギュレーションポリシー／キーデータセットは、受信側ターゲットサーバー４４により保持されたコンフィギュレーションポリシー／キーデータセットを更新するために検索される。識別されたソースターゲットサーバー４４は、それに応答して（１９２）、ソース暗号化ポリシーセット２００を返送する。
【００６８】
図７Ｃに一般的に詳細に示されたように、ソース暗号化ポリシーセット２００は、インデックス２０２と、識別されたソースターゲットサーバー４４によりセキュリティプロセッサクラスター１８に有効に参加していると分かったターゲットサーバー４４1-Yの数をＺとすれば、一連の暗号化アクセスキー２０４1-Zと、暗号化コンフィギュレーションポリシー／キーデータセット２０６と、ポリシーセットデジタルシグネチャー２０８とを含む定義されたデータ構造体であるのが好ましい。コンフィギュレーションポリシー／キーデータセット２０６の配布は、ターゲットサーバー４４1-Y間で次々に行うことができるので、有効参加ターゲットサーバー４４1-Yの数は、セキュリティプロセッサクラスター１８の異なるターゲットサーバー４４1-Yの観点から、新たなコンフィギュレーションポリシー／キーデータセットバージョンが配布される間に変化し得る。
【００６９】
インデックス２０２は、既知の有効参加ターゲットサーバー４４1-Yの各々に対してレコードエントリーを含むのが好ましい。各レコードエントリーは、パブリックキーのセキュアなハッシュと、対応するターゲットサーバー４４1-Yの管理上指定された識別子とを記憶するのが好ましい。規定により、第１のリストされたレコードエントリーは、暗号化されたポリシーセット２００を発生したソースターゲットサーバー４４に対応する。暗号化されたアクセスキー２０４1-Zの各々は、既知の有効参加ターゲットサーバー４４1-Yの各パブリックキーで暗号化されることにより同じ三重ＤＥＳキーを含む。この三重ＤＥＳキーを暗号化するのに使用されるパブリックキーのソースは、ローカルに保持されたコンフィギュレーションポリシー／キーデータセットである。従って、暗号化されたポリシーセット２００のソースであるターゲットサーバー４４に有効に知られているターゲットサーバー４４1-Yのみが、先ず、それに対応する三重ＤＥＳ暗号キー２０４1-Zを暗号解読し、次いで、それに含まれたコンフィギュレーションポリシー／キーデータセット２０６を首尾良く暗号解読することができる。
【００７０】
新たな三重ＤＥＳキーは、特定のターゲットサーバー４４1-Yにより構成された暗号化されたポリシーセット２００の各ポリシーバージョンに対してランダム関数を使用して発生されるのが好ましい。或いは又、特定のターゲットサーバー４４1-Yにより受け取られた各ＨＴＴＰｓ要求に応答して、新たな暗号化されたポリシーセット２００を異なる三重ＤＥＳキーで各々再構成することができる。ローカルに保持されたコンフィギュレーションポリシー／キーデータセット２０６は、現在発生された三重ＤＥＳキーを使用して三重ＤＥＳ暗号化される。最終的に、インデックス２０２のセキュアなハッシュ及び暗号化されたアクセスキー２０４1-Zのリストに基づいて発生されたデジタルシグネチャー２０８を添付して、暗号化されたポリシーセット２００の構造を完成する。従って、デジタルシグネチャー２０８は、初期のセキュアなハッシュ／識別子対レコードにより識別されたソースターゲットサーバー４４が、実際に、暗号化されたポリシーセット２００の有効ソースであることを保証する。
【００７１】
図７Ａを再び参照すれば、ソース暗号化されたポリシーセット２００を検索し（１９０）、そして更に、セキュリティプロセスクラスター１８に有効に存在すると分かっているターゲットサーバー４４から発信されるセキュアなものとして確認されると、受信側ターゲットサーバー４４は、その受信側ターゲットサーバー４４のパブリックキーに一致するダイジェスト値についてパブリックキーダイジェストインデックス２０２をサーチする。好ましくは、一致するダイジェスト値のインデックスオフセット位置が、それに対応するパブリックキー暗号化三重ＤＥＳキー２０６及び三重ＤＥＳ暗号化コンフィギュレーションポリシー／キーデータセット２０４を含むデータ構造体の行へのポインタとして使用される。次いで、受信側ターゲットサーバー４４のプライベートキーが、三重ＤＥＳキー２０６を回復するのに使用され（２１０）、これは、次いで、コンフィギュレーションポリシー／キーデータセット２０４を暗号解読するのに使用される。暗号解読されると、相対的に更新されたコンフィギュレーションポリシー／キーデータセット２０４は、受信側ターゲットサーバー４４の更新コンフィギュレーションポリシー／キーデータセットメモリ１８へ転送されて保持される。更新されたコンフィギュレーションポリシー／キーデータセット２０４のインストールが保留されると、その保留中の更新されたコンフィギュレーションポリシー／キーデータセットを保持するターゲットサーバー４４は、その更新されたコンフィギュレーションポリシー／キーデータセットバージョンナンバー１７４を使用することによりクラスター同期メッセージ１７０の周期的発行を再開する。
【００７２】
本発明の好ましい実施形態によれば、更新されたコンフィギュレーションポリシー／キーデータセット２０４は、現在のコンフィギュレーションポリシー／キーデータセット１１６として相対的に同期してインストールされ、セキュリティプロセッサクラスター１８の能動的ターゲットサーバー４４1-Yがコンフィギュレーションポリシー／キーデータセットの同じバージョンを同時に利用することを保証する。効果的に同期されるインストールは、クラスター同期メッセージ１７０を監視することにより、全てのこのようなメッセージが同じ更新されたコンフィギュレーションポリシー／キーデータセットバージョンナンバー１７４を含むまで、各ターゲットサーバー４４が、更新されたコンフィギュレーションポリシー／キーデータセット２０４をインストールするのを待機させる（２１２）ことで、得られるのが好ましい。好ましくは、ターゲットサーバー４４が更新されたコンフィギュレーションポリシー／キーデータセットをインストールすると結論付けるための定義された時間周期内にクラスター同期メッセージ１７０を発行した有効なターゲットサーバー４４1-Yとして定義された各能動的ターゲットサーバー４４からクラスター同期メッセージ１７０のスレッシュホールド数を受け取らねばならない。本発明の好ましい実施形態では、クラスター同期メッセージ１７０のスレッシュホールド数は、２である。各ターゲットサーバー４４のパースペクティブから、全ての既知の能動的なターゲットサーバー４４1-Yが同じバージョンのコンフィギュレーションポリシー／キーデータセットを有すると確認されるや否や、更新されたコンフィギュレーションポリシー／キーデータセット１１８が、現在のコンフィギュレーションポリシー／キーデータセット１１６としてインストールされる（２１４）。これで、ローカルコンフィギュレーションポリシー／キーデータセットを更新するプロセス（１６０Ｂ）が終了となる（２１６）。
【００７３】
図８を参照すれば、更新されたコンフィギュレーションポリシー／キーデータセットは、ローカルコンフィギュレーションポリシー／キーデータセットとして記憶された情報のいずれかに対して管理上の変更を行った結果として最終的に発生される（２２０）。管理上の変更２２２は、ネットワーク要求のポリシー評価に主として考慮されるアクセス権及び同様のデータを変更するために行うことができる。又、この変更は、通常、ターゲットサーバー４４の追加又は除去によりセキュリティプロセッサクラスター１８を管理上再コンフィギュレーションする（２２４）結果として行われてもよい。本発明の好ましい実施形態によれば、管理上の変更２２２は、アドミニストレータにより、いずれかのターゲットサーバー４４1-Yにおいて管理上のインターフェイス６４を経てアクセスすることにより行われる。ポリシールールを追加、変更及び削除し、選択ポリシールールセットに対する暗号化キーを変更し、既知のターゲットサーバー４４に対するパブリックキーを追加及び除去し、そしてアドミニストレータにより行われて確認されるときにクライアントコンピュータ１２へ配布されるべきターゲットサーバー４４のＩＰアドレスリストを変更するような管理上の変更２２２は、コンフィギュレーションポリシー／キーデータセットのローカルコピーに対してコミットされる。変更２２２をコミットする際に、それにより得られる更新されたコンフィギュレーションポリシー／キーデータセットのバージョンナンバーも自動的に増加される（２２６）。好ましい実施形態では、ソース暗号化されたコンフィギュレーションポリシー／キーデータセット２００が再生され（２２８）、そして他のターゲットサーバー４４1-Yからの転送要求を保留にして保持される。又、クラスター同期メッセージ１７０は、ローカル心鼓動タイマー１６２に対する公称応答においてブロードキャストするために新たなポリシーバージョンナンバー１７４及びそれに対応するパブリックキー１７６のダイジェストセットを含むように再生されるのが好ましい。従って、新たに更新されたコンフィギュレーションポリシー／キーデータセットは、セキュリティプロセッサクラスター１８の他の全ての能動的ターゲットサーバー４４1-Yに自動的に配布されそして相対的に同期してインストールされる。
【００７４】
セキュリティプロセッサクラスター１８を再コンフィギュレーションするには、対応するパブリックキー２３２を追加又は除去するようにコンフィギュレーションポリシー／キーデータセットに対して対応的な管理上の変更を行う必要がある。本発明の好ましい実施形態によれば、セキュリティプロセッサクラスター１８の完全性は、コンフィギュレーションポリシー／キーデータセットへのパブリックキーの追加を、ローカルで認証されたシステムアドミニストレータによるか、又はセキュリティプロセッサクラスター１８のローカルで知られた有効な能動的ターゲットサーバー４４との通信を経て行うことを必要とするだけで、詐欺師又はトロイのターゲットサーバー４４1-Yに対抗するものとして維持される。より詳細には、受信側ターゲットサーバー４４1-Yのインストールされたコンフィギュレーションポリシー／キーデータセットにおいて対応するパブリックキーによりまだ識別されていないターゲットサーバー４４からのクラスターメッセージ１７０は、無視される。新たなターゲットサーバー４４のパブリックキーは、その新たなターゲットサーバー４４を確認するために、セキュリティプロセッサクラスター１８の既存メンバーにより実際にセキュアに支援されるべき別の既知の有効なターゲットサーバー４４に管理上入力されねばならない（２３２）。
【００７５】
従って、本発明は、詐欺師のターゲットサーバーが新たなパブリックキーを自己識別して詐欺師がセキュリティプロセッサクラスター１８に加入できるようにするのを効果的に除外する。各ターゲットサーバー４４の管理上のインターフェイス６４は、ローカルのコンフィギュレーションポリシー／キーデータセットに対して管理上の変更２２２、２２３を行うために、独特のセキュアな管理上のログインを必要とするのが好ましい。詐欺師又はトロイのターゲットサーバー４４のインストールを試みる侵入者は、おそらく成功を得るためには、セキュリティプロセッサクラスター１８の既存の能動的ターゲットサーバー４４に対する特定のセキュリティパスコードにアクセスしてそれを得なければならない。管理上のインターフェイス６４は、周囲ネットワーク１２、コアネットワーク１８又はクラスターネットワーク４６から物理的にアクセスできないのが好ましいので、セキュリティプロセッサクラスター１８のコンフィギュレーションポリシー／キーデータセットに対する外部からのセキュリティ侵害が基本的に除外される。
【００７６】
本発明の好ましい実施形態によれば、ホストコンピュータシステム１２1-Xに代わるＰＥＭコンポーネント４２1-Xのオペレーションも、セキュリティプロセッサクラスター１８の各ターゲットサーバー４４1-Yにインストールされたコンフィギュレーションポリシー／キーデータセットのバージョンと一貫して維持される。この一貫性は、各ホストコンピュータ１２のネットワーク要求のポリシー評価が、要求を取り扱うために選択された特定のターゲットサーバー４４に関わりなくシームレスに取り扱われることを保証するために維持される。図９に一般に示すように、ＰＥＭコンポーネント４２1-Xの好ましい実行２４０Ａは、現在コンフィギュレーションポリシー／キーデータセットバージョンナンバーを追跡するように動作する。ＰＥＭコンポーネント４２1-Xの実行１２０Ａに一般的に一貫するように、ネットワーク要求１２２の受信に続いて、ＰＥＭコンポーネント４２1-Xにより保持された最後に使用されたポリシーバージョンナンバーは、ネットワーク要求データパケットにおいて、ターゲットサーバー選択アルゴリズム１２８により決定された選択されたターゲットサーバー４４のＩＰアドレスでセットされる（２４２）。最後に使用されたポリシーバージョンナンバーは、ＰＥＭコンポーネント４２1-Xの初期化の場合のようにデフォールトによりゼロにセットされるか、又はセキュリティプロセッサクラスター１８のターゲットサーバー４４により与えられる初期化コンフィギュレーションデータに基づく値にセットされるか、或いはセキュリティプロセッサクラスター１８ターゲットサーバー４４との協働的対話を経てＰＥＭコンポーネント４２1-Xにより発生された値にセットされる。次いで、ネットワーク要求データパケットは、選択されたターゲットサーバー４４に送信される（１３０）。
【００７７】
ターゲットサーバー４４のプロセス実行２４０Ｂも、同様に、ターゲットサーバー４４1-Yにより名目上実行されるプロセス実行１２０Ｂと一貫したものである。ネットワーク要求データパケットの受信（１３６）に続いて、ネットワーク要求において与えられたポリシーバージョンナンバーと、現在インストールされたコンフィギュレーションポリシー／キーデータセットのポリシーバージョンナンバーとを比較するために付加的なチェック２４４が実行される。ネットワーク要求により与えられたバージョンナンバーが、インストールされたバージョンナンバーより小さい場合には、不良バージョンナンバーフラグ２４６がセットされ（２４６）、拒絶の理由としてバージョンナンバー不一致を更に識別する拒絶応答１４２が強制的に発生される。さもなければ、ネットワーク要求は、手順１２０Ｂと一貫して処理される。又、好ましくは、ターゲットサーバープロセス実行２４０Ｂは、不良バージョンナンバー拒絶応答１４２が発生されるかどうかに関わりなく、要求応答データパケットにおいてローカルに保持されたコンフィギュレーションポリシー／キーデータセットのポリシーバージョンナンバーも与える。
【００７８】
特に、バージョンナンバー不一致拒絶応答を受信すると（１４４）、ＰＥＭコンポーネント４２1-Xは、対応するターゲットサーバー４４をバージョンナンバー不一致によりダウンとマークするために（２４８）、ネットワーク待ち時間テーブル９０を更新するのが好ましい。又、報告されたポリシーバージョンナンバーも、ネットワーク待ち時間テーブル９０に記憶されるのが好ましい。次いで、セキュリティプロセッサＩＰアドレスリスト８６及びネットワーク待ち時間テーブル９０により記憶された合成情報に基づいて全てのターゲットサーバー４４1-Yが使用不能と決定されない限り（２５０）、次のターゲットサーバー４４の再試み選択１２８が実行される。ＰＥＭコンポーネント４２1-Xは、次いで、次に高いポリシーバージョンナンバーを、不良バージョンナンバー拒絶応答１４２において受信されたものと仮定する（２５２）。その後のネットワーク要求１２２も、この新たなポリシーバージョンナンバーで識別される（２４２）。次いで、バージョンナンバー不一致のために以前にダウンとマークされたターゲットサーバー４４1-Yが、次いで、ネットワーク待ち時間テーブル９０にアップとマークされる（２５４）。次いで、新たなターゲットサーバー４４の選択がなされ（１２８）、更新されたポリシーバージョンナンバーを使用してネットワーク要求を再試みする。従って、ＰＥＭコンポーネント４２1-Xの各々は、セキュリティプロセッサクラスター１８により使用中にコンフィギュレーションポリシー／キーデータセットに対してなされた変更を一貫して追跡し、それにより、特定のネットワーク要求にサービスするように選択された特定のターゲットサーバー４４とは独立して、一貫した結果を得る。
【００７９】
従って、サーバーのクラスターの負荷バランスを協働的にとって、信頼性のある拡張可能なネットワークサービスを有効に提供するためのシステム及び方法を説明した。本発明は、サーバークラスターと相互オペレーションするホストベースのポリシー施行モジュールを特に参照して説明したが、ホストコンピュータシステム又はホストプロキシーを使用して、クライアントと個々のサーバーとの間の協働相互オペレーションによりサーバークラスターのサーバーへネットワーク要求を配布することにより、他の特定のアーキテクチャーにも等しく適用することができる。更に、サーバークラスターのサービスを、セキュリティ、暗号化、及び圧縮サービスとして説明したが、本発明のシステム及び方法は、一般に、他のネットワークサービスを提供するサーバークラスターにも適用できる。又、サーバークラスターは、単一の共通のサービスを実施するものとして説明したが、これは、本発明の好ましいモードに過ぎない。サーバークラスターは、ＰＥＭコンポーネントにより最初に受け取られたネットワーク要求のタイプに基づいて全てが協働して負荷バランスされる多数の独立したサービスを実施することができる。
【００８０】
本発明の好ましい実施形態の前記説明において、当業者であれば、ここに開示した実施形態の多数の変更や修正が容易に明らかであろう。それ故、特許請求の範囲内で、本発明は、特に上述したものとは別のやり方で実施できることが理解されよう。
【図面の簡単な説明】
【００８１】
【図１Ａ】本発明の好ましい実施形態によりホストコンピュータシステムがサーバークラスターにより提供されるネットワークサービスに直接アクセスするようなシステム環境を示すネットワーク図である。
【図１Ｂ】本発明の好ましいコアネットワークゲートウェイ実施形態が具現化されるシステム環境を示すネットワーク図である。
【図２】本発明の好ましい実施形態により構成されたホストのアレーとセキュリティプロセッササーバーのクラスターとの間のネットワーク相互接続を示す詳細なブロック図である。
【図３】本発明の好ましい実施形態により構成されたセキュリティプロセッササーバーの詳細なブロック図である。
【図４】本発明の好ましい実施形態によりホストコンピュータシステムにおいて実施されたポリシー施行モジュール制御プロセスのブロック図である。
【図５】本発明の好ましい実施形態によりサーバークラスターサービスプロバイダーにより共有される負荷バランス及びポリシー更新ファンクションを示すセキュリティプロセスサーバーの簡単なブロック図である。
【図６】本発明の好ましい実施形態によりポリシー施行モジュールプロセスと選択されたクラスターサーバーとの間で協働的に実行されるトランザクションプロセスのフローチャートである。
【図７Ａ】本発明の好ましい実施形態によりサーバークラスターのメンバー間で実行されるセキュアなクラスターサーバーポリシー更新プロセスのフローチャートである。
【図７Ｂ】本発明の好ましい実施形態により定義されるセキュアなクラスターサーバーポリシー同期メッセージのブロック図である。
【図７Ｃ】本発明の好ましい実施形態により定義されるセキュアなクラスターサーバーポリシーデータセット転送メッセージデータ構造のブロック図である。
【図８】本発明の好ましい実施形態によりセキュアなクラスターサーバーポリシーデータセット転送メッセージを再生するプロセスのフローチャートである。
【図９】本発明の好ましい実施形態によりクラスターサーバーの報告されたセキュアなクラスターサーバーポリシーデータセットにおけるバージョン変更を考慮するためにホストポリシー施行プロセスにより実行される拡張トランザクションプロセスを示すフローチャートである。
【特許請求の範囲】
【請求項１】
複数のクライアントコンピュータシステムに関連して発行されたクライアント要求をサービスするサーバーコンピュータシステム群の協調負荷バランス方法であって、
（ａ）特定のクライアント要求をサービスするために、蓄積された利用可能な選択基準データを用いて、目標サーバーコンピュータを前記サーバーコンピュータシステム群から選択するステップと、
（ｂ）前記目標サーバーコンピュータの構成（コンフィグレーション)及び前記特定のクライアント要求に動的依存する例示（インスタンス）選択基準データを迅速に反応して提供するため、前記目標サーバコンピュータシステムによって前記特定のクライアント要求を評価するステップと、
（ｃ）前記特定のクライアント要求のその後のインスタンスに関して、前記目標コンピュータシステムのその後の選択に影響を及ぼすために、前記例示選択基準データを前記蓄積された利用可能な選択基準データに組み入れるステップと、を備えた方法。
【請求項２】
前記例示（インスタンス）選択基準データは、前記目標サーバコンピュータシステムの動的に定義されている性能レベルの表示を含み、そして、前記蓄積された利用可能な選択基準データは、インスタンス選択基準データを、前記目標サーバーコンピュータ及び前記特定のクライアント要求の識別に組み入れることを特徴とする請求項１に記載の方法。
【請求項３】
前記インスタンス選択基準データは、前記目標サーバーコンピュータシステムに関係する特定クライアント要求のポリシー評価表示を含むことを特徴とする請求項２に記載の方法。
【請求項４】
前記例示（インスタンス）選択基準データは、負荷値及び選択重み値を含み、前記負荷値は前記目標サーバーコンピュータシステムの動的に定義された性能レベルを示すものであり、前記選択重み値は前記目標サーバーコンピュータシステムに関連する特定クライアント要求のポリシー評価を示すものであり、そして、前記蓄積された利用可能な選択基準データは、インスタンス選択基準データを、前記目標サーバーコンピュータ及び前記特定クライアント要求の識別に組み入れることを特徴とする請求項１に記載の方法。
【請求項５】
前記選択ステップは、前記蓄積された利用可能な選択基準データに記録されているような特定のクライアント要求に関する前記負荷値及び前記選択重み値の相対値を含む所定の選択基準に基づいて、前記目標サーバーコンピュータシステムを選択することを特徴とする請求項４に記載の方法。
【請求項６】
前記例示（インスタンス）選択基準データは前記特定のクライアント要求の拒否のために提供され、前記選択ステップは、前記蓄積された利用可能な選択基準データに基づいて前記特定のクライアント要求をサービスするために、前記サーバーコンピュータシステム群から代替のサーバーコンピュータシステムを目標サーバーシステムとして選択することを含むことを特徴とする請求項５に記載の方法。
【請求項７】
ネットワークサービスの協調的提供におけるサーバーコンピュータシステム群の負荷バランス方法であって、
（ａ）複数のホストコンピュータのそれぞれがコンピュータクラスター内のサーバーコンピュータを選択して、そのコンピュータに個々のサービス要求を発行するステップと、
（ｂ）異なるサーバーコンピュータを選択しそのコンピュータに前記所定のサービス要求を発行することによって、前記複数のホストコンピュータの対応する１つが所定のサービス要求の拒否に応答するステップと、
（ｃ）前記複数のホストコンピュータのそれぞれが、前記個々のサービス要求に関して、負荷及び重みの情報を前記各サーバーコンピュータから受信するステップと、
（ｄ）前記複数のホストコンピュータのそれぞれが、前記選択ステップのその後の性能に関する基準として、前記コンピュータクラスターのサーバーコンピュータに関して受信した個々の負荷及び重み情報を評価するステップと、を含む方法。
【請求項８】
受信された各サービス要求に関する各サーバーコンピュータによって前記重み情報を定義するステップを更に含み、前記重み情報は、受信されたサービス要求とそのサービス要求を受信するサーバーコンピュータの１つの同一性との間の所定のポリシー関係から定義されることを特徴とする請求項７に記載の方法。
【請求項９】
前記ホストコンピュータに対するサーバーコンピュータ群によって初期情報を分配するステップを更に含み、前記初期情報は、サーバーコンピュータの選択リストを前記ホストコンピュータに提供することを特徴とする請求項８に記載の方法。
【請求項１０】
前記負荷情報は、ネットワーク負荷及びプロセッサ負荷を含む複数の負荷要因を表したものであることを特徴とする請求項９に記載の方法。
【請求項１１】
前記負荷情報は、複数のプロセッサ機能を含む最新のサービス要求セットの処理を表したものであることを特徴とする請求項１０に記載の方法。
【請求項１２】
前記負荷情報は、サーバーコンピュータへの内部処理機能をあらわす１又はそれ以上の負荷値を含むことを特徴とする請求項１１に記載の方法。
【請求項１３】
負荷バランスされたネットワークサービスを提供するために操作されるサーバークラスターであって、
（ａ）対応の処理サービスを実行するサービス要求に独立して反応する複数のサーバーコンピュータであって、はじめに前記サービス要求に応答し負荷値及び重み値を提供するように動作し、前記負荷値及び重み値は現在のオペレーティング負荷を特定のサービス要求に関連する個々のサーバコンピュータのポリシーに基づく優先レベルであらわすサーバーコンピュータと、
（ｂ）前記複数のサーバーコンピュータに対して前記サービス要求をそれぞれ自律的に発行するように動作するホストコンピュータシステムであって、目標のサーバーコンピュータを前記複数のサーバーコンピュータから選択し、前記負荷値及び重み値に基づいて特定のサービス要求の例示（インスタンス）を受信するように動作するホストコンピュータシステムと、を備えたサーバークラスター。
【請求項１４】
前記ホストコンピュータは、前記複数のサーバーコンピュータに対するそれぞれのサービス要求の発行に関連して、前記負荷値及び重み値を前記複数のサーバーコンピュータから集めるように動作し、そして前記目標サーバーコンピュータの選択は、前記負荷値及び重み値の相対的な時間経過に基づいていることを特徴とする請求項１３に記載のサーバークラスター。
【請求項１５】
前記複数の各サーバーコンピュータは、それぞれに異なるサーバー構成（コンフィグレーション）の記憶装置のために提供するポリシーデータセットストアを含み、前記負荷値及び重み値は、前記サーバー要求に応じて、前記複数のサーバーコンピュータのそれぞれに異なるサーバー構成に基づき複数のサーバーコンピュータによって動的に定義されることを特徴とする請求項１４に記載のサーバークラスター。
【請求項１６】
前記それぞれに異なるサーバー構成（コンフィグレーション）が、前記複数のサーバーコンピュータの異なる識別性（アイデンティティ）を含むことを特徴とする請求項１５に記載のサーバークラスター。
【請求項１７】
前記それぞれに異なるサーバー構成（コンフィグレーション）が前記サービス要求に関連する個々のポリシーデータを含み、前記ホストコンピュータシステムはそれぞれの前記サービス要求に関連して協調して収集するとともに、前記複数のサーバーコンピュータに対して属性データを提供するよう動作し、そして前記サーバーコンピュータは前記重み値を定義するために前記個々のポリシーデータとあわせてその属性データを評価することを特徴とする請求項１６に記載のサーバークラスター。
【請求項１８】
前記複数のサーバーコンピュータが安全なサービス処理を実行し、前記ホストコンピュータシステムは、前記複数のサーバーコンピュータによって評価されるように、ネットワーク搬送データを前記サービス要求に依存する前記サーバーコンピュータ経由で選択的に送信するように動作することを特徴とする請求項１７に記載のサーバークラスター。
【請求項１９】
前記ホストコンピュータは、前記各サービス要求に関する個々のデータ転送トランザクションを開始するように動作し、前記各データ転送トランザクション経路の初期設定は、はじめに、前記サービス要求の中から対応するものを転送するために前記複数のサーバーコンピュータのそれぞれに提供し、そして、前記複数のサーバーコンピュータのそれぞれは、前記個々のデータ転送トランザクション内のネットワークデータの次の経路が前記個々のデータ転送トランザクション内のネットワークデータを前記複数のサーバーコンピュータを経由して転送することを特徴とする請求項１８に記載のサーバークラスター。
【請求項２０】
クライアントコンピュータシステムに代わって、ネットワークサービスを拡張可能なサーバーコンピュータシステム群を通じて提供するコンピュータシステムであって、
（ａ）定義されたサービスを提供するために接続された複数のサーバーコンピュータであって、前記サーバーコンピュータシステムに対して発行された所定のサービス要求の承認において、前記複数のサーバーコンピュータのうちの１つのサーバーコンピュータが負荷情報を含んだ応答を提供し、前記応答が前記所定のサービス要求の引受け拒否を選択的に示すような複数のサーバーコンピュータと、
（ｂ）前記複数のサーバーコンピュータシステムの識別リストを有するクライアントコンピュータシステムであって、第１のサーバーコンピュータシステムを前記識別リストから自律的に選択して、そのコンピュータシステムに対して前記所定のサービス要求を発行するように動作し、前記所定のサービス要求の引受け拒否が示された上に前記応答に反応し、第２のサーバーコンピュータシステムを前記識別リストから自律的に選択して、そのコンピュータシステムに前記所定のサービス要求を発行し、そして、前記負荷情報の応答に反応して前記第１及び第２のサーバーコンピュータシステムを引き続き自律的に選択するようなクライアントコンピュータシステムと、を含むコンピュータシステム。
【請求項２１】
前記応答が重み情報を更に含み、そして前記クライアントコンピュータシステムが前記負荷情報及び重み情報の組合わせを評価してサーバーコンピュータシステムを前記識別リストから自律的に選択することを特徴とする請求項２０に記載のコンピュータシステム。
【請求項２２】
前記複数のサーバーコンピュータシステムが個々のポリシーエンジンを含み、そして前記重み情報がサーバーコンピュータポリシー役割と前記所定のサービス要求との間の関連性を反映していることを特徴とする請求項２１に記載のコンピュータシステム。
【請求項２３】
前記所定のサービス要求が所定のクライアントプロセス属性情報を含み、そして前記個々のポリシーエンジンが前記所定のクライアントプロセス属性情報に反応して前記所定のサービス要求に関係するサーバーコンピュータポリシー役割を定義することを特徴とする請求項２２に記載のコンピュータシステム。
【請求項２４】
前記負荷情報が、ネットワーク及びサーバープロセッサ性能をあらわす値を含むことを特徴とする請求項２３に記載のコンピュータシステム。
【請求項２５】
ネットワークサービスを提供する複数のサーバーコンピュータシステムに対してクライアント要求の分配を動的に管理する方法であって、前記サーバーコンピュータシステムのそれぞれはクライアント要求に応えるために別々に構成され、
（ａ）特定のクライアント要求のために前記複数のサーバーコンピュータシステムの中の特定サーバーコンピュータシステムを選択し前記特定クライアント要求をサービスするクライアント要求処理ステップであって、前記特定サーバーコンピュータシステムの選択が蓄積された選択認定情報の評価に依存しているようなクライアント要求処理ステップと、
（ｂ）前記特定クライアント要求を前記特定サーバーコンピュータシステムに転送するステップと、
（ｃ）前記特定クライアント要求に関係する特定サーバーコンピュータシステムによって個別に定義された特定クライアント要求インスタンス選択認定情報に関する特定サーバーコンピュータシステムから受信するステップであって、前記インスタンス選択認定情報が前記蓄積された選択認定情報へ組み入れられるような受信ステップと、を含むことを特徴とする方法。
【請求項２６】
前記処理ステップは、前記蓄積された選択認定情報について前記特定クライアント要求を動的に評価し、当該特定サーバーコンピュータシステムを前記複数のサーバーコンピュータシステムの最良な選択として特定することを特徴とする請求項２５に記載の方法。
【請求項２７】
その構成（コンフィグレーション）が別個のものであるような前記特定サーバーコンピュータシステムによって評価するステップを更に含み、前記特定クライアント要求が前記インスタンス選択認定情報を提供することを特徴とする請求項２６に記載の方法。
【請求項２８】
前記評価ステップは、前記特定サーバーコンピュータシステムの実行性能を反映する負荷値を含む前記インスタンス選択認定情報の動的生成のために提供されることを特徴とする請求項２７に記載の方法。
【請求項２９】
前記インスタンス選択認定情報が、前記特定サーバーコンピュータシステムに関する特定クライアント要求の相対的優先度を含むことを特徴とする請求項２８に記載の方法。
【請求項３０】
前記クライアント要求がクライアントコンピュータシステムに関して発行され、前記特定クライアント要求がその特定クライアント要求を発行した特定クライアントコンピュータシステムを記述する属性を含み、そして前記相対優先度が前記特定サーバーコンピュータシステムに関する前記属性の評価に反映されることを特徴とする請求項２９に記載の方法。
【請求項３１】
複数のクライアントシステムのためにデータ処理サービスの実行を支援するよう供給される複数のサーバーシステム上のコンピュータ負荷を分散する方法であって、前記コンピュータ負荷が複数のクライアントプロセスを通じて発行されたクライアント要求に応じて生成され、
（ａ）前記複数のクライアント処理のうちの個々のクラインと処理からの属性データを前記特定クライアント要求に関連づけるため特定のクライアント要求を処理する第１のステップと、
（ｂ）前記特定のクライアント要求のために、前記特定クライアント要求を蓄積された選択情報とマッチングすることによって前記複数のサーバーシステムの中から特定の目標サーバーシステムを選択して前記特定の目標サーバーシステムを特定する選択ステップと、
（ｃ）前記特定の目標サーバーシステムに関する負荷値を含み、且つ前記特定クライアント要求と前記特定の目標サーバーシステムとの組合わせを反映したインスタンス選択情報を動的に生成するために、前記特定の目標サーバーシステムによって前記属性データを含む特定クライアント要求を処理する第２のステップと、
（ｄ）前記選択ステップにおいてその後に使用するために、前記インスタンス選択情報を前記蓄積された選択情報に組み入れるステップと、を含むことを特徴とする方法。
【請求項３２】
前記インスタンス選択情報が、前記特定クライアント要求と前記特定目標サーバーシステムの組合わせを反映する相対的重み値を含み、そして前記選択ステップが、相対的重み値と負荷値の最良の組合わせに基づいて前記特定目標サーバーシステムを選ぶために、前記属性データを含む特定クライアント要求を前記蓄積された選択情報の対応データとマッチングさせることを特徴とする請求項３１に記載の方法。
【請求項３３】
前記選択ステップが前記蓄積された選択情報を古くさせる（aging）ステップを含むことを特徴とする請求項３２に記載の方法。
【請求項３４】
（ａ）ホストプロセスを通じて、属性データを含む前記特定クライアント要求を前記特定目標サーバーシステムへ提供する第１の提供ステップと、
（ｂ）前記ホストプロセスによって、前記インスタンス選択情報を含む特定目標サーバー応答を受信するステップと、
（ｃ）ホストプロセスによって、代わりの目標サーバーシステムを選択するか否かを前記特定目標サーバー応答から定義するステップと、
（ｄ）前記特定クライント要求のために、前記特定クライアント要求を前記蓄積された選択情報とマッチングすることによって、第２の目標サーバーシステムを前記特定目標サーバー応答から受信したインスタンス選択情報を含む前記複数のサーバーシステムの中から再選択して、前記第２の目標サーバーシステムを識別するステップと、
（ｅ）前記ホストプロセスを通じて、属性データを含む前記特定クライアント要求を前記代値目標サーバーシステムに提供する第２の提供ステップと、をさらに含むことを特徴とする請求項３３に記載の方法。
【請求項３５】
前記ホストプロセスはクライントコンピュータシステム上で実行されることを特徴とする請求項３４に記載の方法。
【請求項３６】
前記ホストプロセスは複数のクライアントコンピュータシステムとともにコミュニケーションネットワークを通して接続可能なゲートウェイコンピュータシステム上で実行されることを特徴とする請求項３５に記載の方法。
【請求項１】
複数のクライアントコンピュータシステムに関連して発行されたクライアント要求をサービスするサーバーコンピュータシステム群の協調負荷バランス方法であって、
（ａ）特定のクライアント要求をサービスするために、蓄積された利用可能な選択基準データを用いて、目標サーバーコンピュータを前記サーバーコンピュータシステム群から選択するステップと、
（ｂ）前記目標サーバーコンピュータの構成（コンフィグレーション)及び前記特定のクライアント要求に動的依存する例示（インスタンス）選択基準データを迅速に反応して提供するため、前記目標サーバコンピュータシステムによって前記特定のクライアント要求を評価するステップと、
（ｃ）前記特定のクライアント要求のその後のインスタンスに関して、前記目標コンピュータシステムのその後の選択に影響を及ぼすために、前記例示選択基準データを前記蓄積された利用可能な選択基準データに組み入れるステップと、を備えた方法。
【請求項２】
前記例示（インスタンス）選択基準データは、前記目標サーバコンピュータシステムの動的に定義されている性能レベルの表示を含み、そして、前記蓄積された利用可能な選択基準データは、インスタンス選択基準データを、前記目標サーバーコンピュータ及び前記特定のクライアント要求の識別に組み入れることを特徴とする請求項１に記載の方法。
【請求項３】
前記インスタンス選択基準データは、前記目標サーバーコンピュータシステムに関係する特定クライアント要求のポリシー評価表示を含むことを特徴とする請求項２に記載の方法。
【請求項４】
前記例示（インスタンス）選択基準データは、負荷値及び選択重み値を含み、前記負荷値は前記目標サーバーコンピュータシステムの動的に定義された性能レベルを示すものであり、前記選択重み値は前記目標サーバーコンピュータシステムに関連する特定クライアント要求のポリシー評価を示すものであり、そして、前記蓄積された利用可能な選択基準データは、インスタンス選択基準データを、前記目標サーバーコンピュータ及び前記特定クライアント要求の識別に組み入れることを特徴とする請求項１に記載の方法。
【請求項５】
前記選択ステップは、前記蓄積された利用可能な選択基準データに記録されているような特定のクライアント要求に関する前記負荷値及び前記選択重み値の相対値を含む所定の選択基準に基づいて、前記目標サーバーコンピュータシステムを選択することを特徴とする請求項４に記載の方法。
【請求項６】
前記例示（インスタンス）選択基準データは前記特定のクライアント要求の拒否のために提供され、前記選択ステップは、前記蓄積された利用可能な選択基準データに基づいて前記特定のクライアント要求をサービスするために、前記サーバーコンピュータシステム群から代替のサーバーコンピュータシステムを目標サーバーシステムとして選択することを含むことを特徴とする請求項５に記載の方法。
【請求項７】
ネットワークサービスの協調的提供におけるサーバーコンピュータシステム群の負荷バランス方法であって、
（ａ）複数のホストコンピュータのそれぞれがコンピュータクラスター内のサーバーコンピュータを選択して、そのコンピュータに個々のサービス要求を発行するステップと、
（ｂ）異なるサーバーコンピュータを選択しそのコンピュータに前記所定のサービス要求を発行することによって、前記複数のホストコンピュータの対応する１つが所定のサービス要求の拒否に応答するステップと、
（ｃ）前記複数のホストコンピュータのそれぞれが、前記個々のサービス要求に関して、負荷及び重みの情報を前記各サーバーコンピュータから受信するステップと、
（ｄ）前記複数のホストコンピュータのそれぞれが、前記選択ステップのその後の性能に関する基準として、前記コンピュータクラスターのサーバーコンピュータに関して受信した個々の負荷及び重み情報を評価するステップと、を含む方法。
【請求項８】
受信された各サービス要求に関する各サーバーコンピュータによって前記重み情報を定義するステップを更に含み、前記重み情報は、受信されたサービス要求とそのサービス要求を受信するサーバーコンピュータの１つの同一性との間の所定のポリシー関係から定義されることを特徴とする請求項７に記載の方法。
【請求項９】
前記ホストコンピュータに対するサーバーコンピュータ群によって初期情報を分配するステップを更に含み、前記初期情報は、サーバーコンピュータの選択リストを前記ホストコンピュータに提供することを特徴とする請求項８に記載の方法。
【請求項１０】
前記負荷情報は、ネットワーク負荷及びプロセッサ負荷を含む複数の負荷要因を表したものであることを特徴とする請求項９に記載の方法。
【請求項１１】
前記負荷情報は、複数のプロセッサ機能を含む最新のサービス要求セットの処理を表したものであることを特徴とする請求項１０に記載の方法。
【請求項１２】
前記負荷情報は、サーバーコンピュータへの内部処理機能をあらわす１又はそれ以上の負荷値を含むことを特徴とする請求項１１に記載の方法。
【請求項１３】
負荷バランスされたネットワークサービスを提供するために操作されるサーバークラスターであって、
（ａ）対応の処理サービスを実行するサービス要求に独立して反応する複数のサーバーコンピュータであって、はじめに前記サービス要求に応答し負荷値及び重み値を提供するように動作し、前記負荷値及び重み値は現在のオペレーティング負荷を特定のサービス要求に関連する個々のサーバコンピュータのポリシーに基づく優先レベルであらわすサーバーコンピュータと、
（ｂ）前記複数のサーバーコンピュータに対して前記サービス要求をそれぞれ自律的に発行するように動作するホストコンピュータシステムであって、目標のサーバーコンピュータを前記複数のサーバーコンピュータから選択し、前記負荷値及び重み値に基づいて特定のサービス要求の例示（インスタンス）を受信するように動作するホストコンピュータシステムと、を備えたサーバークラスター。
【請求項１４】
前記ホストコンピュータは、前記複数のサーバーコンピュータに対するそれぞれのサービス要求の発行に関連して、前記負荷値及び重み値を前記複数のサーバーコンピュータから集めるように動作し、そして前記目標サーバーコンピュータの選択は、前記負荷値及び重み値の相対的な時間経過に基づいていることを特徴とする請求項１３に記載のサーバークラスター。
【請求項１５】
前記複数の各サーバーコンピュータは、それぞれに異なるサーバー構成（コンフィグレーション）の記憶装置のために提供するポリシーデータセットストアを含み、前記負荷値及び重み値は、前記サーバー要求に応じて、前記複数のサーバーコンピュータのそれぞれに異なるサーバー構成に基づき複数のサーバーコンピュータによって動的に定義されることを特徴とする請求項１４に記載のサーバークラスター。
【請求項１６】
前記それぞれに異なるサーバー構成（コンフィグレーション）が、前記複数のサーバーコンピュータの異なる識別性（アイデンティティ）を含むことを特徴とする請求項１５に記載のサーバークラスター。
【請求項１７】
前記それぞれに異なるサーバー構成（コンフィグレーション）が前記サービス要求に関連する個々のポリシーデータを含み、前記ホストコンピュータシステムはそれぞれの前記サービス要求に関連して協調して収集するとともに、前記複数のサーバーコンピュータに対して属性データを提供するよう動作し、そして前記サーバーコンピュータは前記重み値を定義するために前記個々のポリシーデータとあわせてその属性データを評価することを特徴とする請求項１６に記載のサーバークラスター。
【請求項１８】
前記複数のサーバーコンピュータが安全なサービス処理を実行し、前記ホストコンピュータシステムは、前記複数のサーバーコンピュータによって評価されるように、ネットワーク搬送データを前記サービス要求に依存する前記サーバーコンピュータ経由で選択的に送信するように動作することを特徴とする請求項１７に記載のサーバークラスター。
【請求項１９】
前記ホストコンピュータは、前記各サービス要求に関する個々のデータ転送トランザクションを開始するように動作し、前記各データ転送トランザクション経路の初期設定は、はじめに、前記サービス要求の中から対応するものを転送するために前記複数のサーバーコンピュータのそれぞれに提供し、そして、前記複数のサーバーコンピュータのそれぞれは、前記個々のデータ転送トランザクション内のネットワークデータの次の経路が前記個々のデータ転送トランザクション内のネットワークデータを前記複数のサーバーコンピュータを経由して転送することを特徴とする請求項１８に記載のサーバークラスター。
【請求項２０】
クライアントコンピュータシステムに代わって、ネットワークサービスを拡張可能なサーバーコンピュータシステム群を通じて提供するコンピュータシステムであって、
（ａ）定義されたサービスを提供するために接続された複数のサーバーコンピュータであって、前記サーバーコンピュータシステムに対して発行された所定のサービス要求の承認において、前記複数のサーバーコンピュータのうちの１つのサーバーコンピュータが負荷情報を含んだ応答を提供し、前記応答が前記所定のサービス要求の引受け拒否を選択的に示すような複数のサーバーコンピュータと、
（ｂ）前記複数のサーバーコンピュータシステムの識別リストを有するクライアントコンピュータシステムであって、第１のサーバーコンピュータシステムを前記識別リストから自律的に選択して、そのコンピュータシステムに対して前記所定のサービス要求を発行するように動作し、前記所定のサービス要求の引受け拒否が示された上に前記応答に反応し、第２のサーバーコンピュータシステムを前記識別リストから自律的に選択して、そのコンピュータシステムに前記所定のサービス要求を発行し、そして、前記負荷情報の応答に反応して前記第１及び第２のサーバーコンピュータシステムを引き続き自律的に選択するようなクライアントコンピュータシステムと、を含むコンピュータシステム。
【請求項２１】
前記応答が重み情報を更に含み、そして前記クライアントコンピュータシステムが前記負荷情報及び重み情報の組合わせを評価してサーバーコンピュータシステムを前記識別リストから自律的に選択することを特徴とする請求項２０に記載のコンピュータシステム。
【請求項２２】
前記複数のサーバーコンピュータシステムが個々のポリシーエンジンを含み、そして前記重み情報がサーバーコンピュータポリシー役割と前記所定のサービス要求との間の関連性を反映していることを特徴とする請求項２１に記載のコンピュータシステム。
【請求項２３】
前記所定のサービス要求が所定のクライアントプロセス属性情報を含み、そして前記個々のポリシーエンジンが前記所定のクライアントプロセス属性情報に反応して前記所定のサービス要求に関係するサーバーコンピュータポリシー役割を定義することを特徴とする請求項２２に記載のコンピュータシステム。
【請求項２４】
前記負荷情報が、ネットワーク及びサーバープロセッサ性能をあらわす値を含むことを特徴とする請求項２３に記載のコンピュータシステム。
【請求項２５】
ネットワークサービスを提供する複数のサーバーコンピュータシステムに対してクライアント要求の分配を動的に管理する方法であって、前記サーバーコンピュータシステムのそれぞれはクライアント要求に応えるために別々に構成され、
（ａ）特定のクライアント要求のために前記複数のサーバーコンピュータシステムの中の特定サーバーコンピュータシステムを選択し前記特定クライアント要求をサービスするクライアント要求処理ステップであって、前記特定サーバーコンピュータシステムの選択が蓄積された選択認定情報の評価に依存しているようなクライアント要求処理ステップと、
（ｂ）前記特定クライアント要求を前記特定サーバーコンピュータシステムに転送するステップと、
（ｃ）前記特定クライアント要求に関係する特定サーバーコンピュータシステムによって個別に定義された特定クライアント要求インスタンス選択認定情報に関する特定サーバーコンピュータシステムから受信するステップであって、前記インスタンス選択認定情報が前記蓄積された選択認定情報へ組み入れられるような受信ステップと、を含むことを特徴とする方法。
【請求項２６】
前記処理ステップは、前記蓄積された選択認定情報について前記特定クライアント要求を動的に評価し、当該特定サーバーコンピュータシステムを前記複数のサーバーコンピュータシステムの最良な選択として特定することを特徴とする請求項２５に記載の方法。
【請求項２７】
その構成（コンフィグレーション）が別個のものであるような前記特定サーバーコンピュータシステムによって評価するステップを更に含み、前記特定クライアント要求が前記インスタンス選択認定情報を提供することを特徴とする請求項２６に記載の方法。
【請求項２８】
前記評価ステップは、前記特定サーバーコンピュータシステムの実行性能を反映する負荷値を含む前記インスタンス選択認定情報の動的生成のために提供されることを特徴とする請求項２７に記載の方法。
【請求項２９】
前記インスタンス選択認定情報が、前記特定サーバーコンピュータシステムに関する特定クライアント要求の相対的優先度を含むことを特徴とする請求項２８に記載の方法。
【請求項３０】
前記クライアント要求がクライアントコンピュータシステムに関して発行され、前記特定クライアント要求がその特定クライアント要求を発行した特定クライアントコンピュータシステムを記述する属性を含み、そして前記相対優先度が前記特定サーバーコンピュータシステムに関する前記属性の評価に反映されることを特徴とする請求項２９に記載の方法。
【請求項３１】
複数のクライアントシステムのためにデータ処理サービスの実行を支援するよう供給される複数のサーバーシステム上のコンピュータ負荷を分散する方法であって、前記コンピュータ負荷が複数のクライアントプロセスを通じて発行されたクライアント要求に応じて生成され、
（ａ）前記複数のクライアント処理のうちの個々のクラインと処理からの属性データを前記特定クライアント要求に関連づけるため特定のクライアント要求を処理する第１のステップと、
（ｂ）前記特定のクライアント要求のために、前記特定クライアント要求を蓄積された選択情報とマッチングすることによって前記複数のサーバーシステムの中から特定の目標サーバーシステムを選択して前記特定の目標サーバーシステムを特定する選択ステップと、
（ｃ）前記特定の目標サーバーシステムに関する負荷値を含み、且つ前記特定クライアント要求と前記特定の目標サーバーシステムとの組合わせを反映したインスタンス選択情報を動的に生成するために、前記特定の目標サーバーシステムによって前記属性データを含む特定クライアント要求を処理する第２のステップと、
（ｄ）前記選択ステップにおいてその後に使用するために、前記インスタンス選択情報を前記蓄積された選択情報に組み入れるステップと、を含むことを特徴とする方法。
【請求項３２】
前記インスタンス選択情報が、前記特定クライアント要求と前記特定目標サーバーシステムの組合わせを反映する相対的重み値を含み、そして前記選択ステップが、相対的重み値と負荷値の最良の組合わせに基づいて前記特定目標サーバーシステムを選ぶために、前記属性データを含む特定クライアント要求を前記蓄積された選択情報の対応データとマッチングさせることを特徴とする請求項３１に記載の方法。
【請求項３３】
前記選択ステップが前記蓄積された選択情報を古くさせる（aging）ステップを含むことを特徴とする請求項３２に記載の方法。
【請求項３４】
（ａ）ホストプロセスを通じて、属性データを含む前記特定クライアント要求を前記特定目標サーバーシステムへ提供する第１の提供ステップと、
（ｂ）前記ホストプロセスによって、前記インスタンス選択情報を含む特定目標サーバー応答を受信するステップと、
（ｃ）ホストプロセスによって、代わりの目標サーバーシステムを選択するか否かを前記特定目標サーバー応答から定義するステップと、
（ｄ）前記特定クライント要求のために、前記特定クライアント要求を前記蓄積された選択情報とマッチングすることによって、第２の目標サーバーシステムを前記特定目標サーバー応答から受信したインスタンス選択情報を含む前記複数のサーバーシステムの中から再選択して、前記第２の目標サーバーシステムを識別するステップと、
（ｅ）前記ホストプロセスを通じて、属性データを含む前記特定クライアント要求を前記代値目標サーバーシステムに提供する第２の提供ステップと、をさらに含むことを特徴とする請求項３３に記載の方法。
【請求項３５】
前記ホストプロセスはクライントコンピュータシステム上で実行されることを特徴とする請求項３４に記載の方法。
【請求項３６】
前記ホストプロセスは複数のクライアントコンピュータシステムとともにコミュニケーションネットワークを通して接続可能なゲートウェイコンピュータシステム上で実行されることを特徴とする請求項３５に記載の方法。
【図１Ａ】
【図１Ｂ】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７Ａ】
【図７Ｂ】
【図７Ｃ】
【図８】
【図９】
【図１Ｂ】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７Ａ】
【図７Ｂ】
【図７Ｃ】
【図８】
【図９】
【公表番号】特表２００６−５２８３８７（Ｐ２００６−５２８３８７Ａ）
【公表日】平成１８年１２月１４日（２００６．１２．１４）
【国際特許分類】
【出願番号】特願２００６−５２１１３９（Ｐ２００６−５２１１３９）
【出願日】平成１６年７月１５日（２００４．７．１５）
【国際出願番号】ＰＣＴ／ＵＳ２００４／０２２８８５
【国際公開番号】ＷＯ２００５／００８９４３
【国際公開日】平成１７年１月２７日（２００５．１．２７）
【出願人】（５０５１４０５９１）ヴォーメトリック インコーポレイテッド (4)
【公表日】平成１８年１２月１４日（２００６．１２．１４）
【国際特許分類】
【出願日】平成１６年７月１５日（２００４．７．１５）
【国際出願番号】ＰＣＴ／ＵＳ２００４／０２２８８５
【国際公開番号】ＷＯ２００５／００８９４３
【国際公開日】平成１７年１月２７日（２００５．１．２７）
【出願人】（５０５１４０５９１）ヴォーメトリック インコーポレイテッド (4)
[ Back to top ]