JP2004533043A - 分散コンピュ−タシステムのオペレーション方法 - Google Patents
分散コンピュ−タシステムのオペレーション方法 Download PDFInfo
- Publication number
- JP2004533043A JP2004533043A JP2002578131A JP2002578131A JP2004533043A JP 2004533043 A JP2004533043 A JP 2004533043A JP 2002578131 A JP2002578131 A JP 2002578131A JP 2002578131 A JP2002578131 A JP 2002578131A JP 2004533043 A JP2004533043 A JP 2004533043A
- Authority
- JP
- Japan
- Prior art keywords
- node
- coordination
- network node
- nkn
- communication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/14—Error detection or correction of the data by redundancy in operation
- G06F11/1479—Generic software techniques for error detection or fault masking
- G06F11/1482—Generic software techniques for error detection or fault masking by means of middleware or OS functionality
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/14—Error detection or correction of the data by redundancy in operation
- G06F11/1402—Saving, restoring, recovering or retrying
- G06F11/1415—Saving, restoring, recovering or retrying at system level
- G06F11/142—Reconfiguring to eliminate the error
- G06F11/1425—Reconfiguring to eliminate the error by reconfiguration of node membership
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
- G06F11/181—Eliminating the failing redundant component
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
- G06F11/182—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits based on mutual exchange of the output between redundant processing components
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Quality & Reliability (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Safety Devices In Control Systems (AREA)
- Computer And Data Communications (AREA)
- Hardware Redundancy (AREA)
- Multi Processors (AREA)
- Regulating Braking Force (AREA)
Abstract
ネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)を有する分散コンピュ−タシステム（ＳＹＳ）のオペレーション方法であって、各ネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)は、少なくとも１つのノードコントローラ (ＳＴＲ，ＳＴ1 〜ＳＴ６)と、少なくとも１つのコミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)とを有し、コミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)は、少なくとも１つのコミュニケーションチャネル（ＢＵＳ）に接続されており、プロビジョンが、コミュニケーションコントローラ (ＫＫ 1〜ＫＫ６)と、ネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)の間で交換されるメッセージを受信するために設けられたフォールトトレランスレイヤー (ＦＴＳ，ＦＴ 1〜ＦＴ６)のためのネットワークノード (ＮＫＮ，ＮＫ１〜ＮＫ６) のノードコントローラ (ＳＴＲ，ＳＴ１〜ＳＴ６) との間で行われ、フォールトトレランスレイヤー (ＦＴＳ，ＦＴ 1〜ＦＴ６)は、少なくとも１つのネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ6)の状態に関して受信された情報に基づいて、コオーディネ−ションプロシージャを介して少なくとも１つのネットワークノード (ＮＫ 1〜ＮＫ６)の関数を決定し、そしてコオーディネ−ション値は、出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)として利用可能であり、少なくとも１つのネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ6)が出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)の関数としてトリガーされる前記方法。
Description
【技術分野】
【０００１】
本発明は、ネットワークノードを有する分散コンピュ−タシステムのオペレーション方法であって、ネットワークノードの各々は、少なくとも１つのノードコントローラと少なくとも１つのコミュニケーションコントローラとを有する前記方法において、コミュニケーションコントローラは、相互に少なくとも１つのコミュニケーションチャネルを介して接続されており、プロビジョンは、コミュニケーションコントローラと、ネットワークノードの間で交換されるメッセージを受信するために設けられたフォールトトレランスレイヤーのためのネットワークノードのノードコントローラとの間で行われることを特徴とする前記方法に関する。
【背景技術】
【０００２】
安全要請、利用性要請及びフォールトトレランス要請を有するコンピュ−タシステムに関して、 上記の要請を充足するために、代表的には冗長チャネルが使用され、これに関しては、クルーワアカデミー出版社から１９９７年に出版された、Ｈ．クロペッツ著の「リアルタイムシステム；分散埋設アプリケーションの設計原理」を参照されたい。これらの冗長チャネル及び構成部分は、代表的にはセンサからコンピュ−タノードを経てアクチュエータまで、リアルタイムアプリケーションで構成されねばならない。冗長チャネル及び冗長構成部分の使用は、非冗長システムに比して著しくコスト高を招く。
【０００３】
いくつかのアプリケーションにおいては、アプリケーション特性のために、チャネル又は構成部分を完全に冗長なものとして構成する必要はない。そのわけは、代表的な乗合自動車は４つのブレーキホイールを有し、個々のホイールブレーキの故障は許容され得るからである。これに関連して、ブレーキはホイールロック又はブレーキが強くかけられ過ぎで故障を起こすことがないことが保証されねばならない。このような故障は、乗合自動車を不安定にする。
【０００４】
構成部分のそのような制御されない故障に対するセーフガードを図るために、供される制御機構、いわゆるブレーキラインが、アクチュエータと各ネットワークノードとの間に使用される。
【０００５】
ワイヤードブレーキアプリケーションのような高い信頼性システムに関しては、イベント駆動コミュニケーションプロトコル（即ち、ＣＡＮ）とは対照的に、転送時間（潜在）におけるフォールトトレランス及び最小変動を提供するリアルタイム性能のコミュニケーションシステムが信頼を得つつある。ＴＴＰ／Ｃ、例えば、そのようなタイムトリガードコミュニケーションシステムが既に市場に出回っておりかつデータの信頼のある転送に加えて、クロック同期及びメンバーシップのような一連の高いサービスを提供している。
【０００６】
用語「メンバーシップ」は、この関係において、特定の瞬間ーメンバーシップ点における全てのノードに対するシステムの全てのノードのオペレーション状態（固有に作動すること又は欠陥のある作動をすること）についての調和した情報を送るサービスと理解される。メンバーシップ点と他のノードに対する調和したメンバーシップ情報が認識された瞬間との間の長さ及び間隔の変動とは、メンバーシップサービスのサービスパラメータの品質特徴である。良好なメンバーシップサービスは、１つのノードの関連した状態変化の瞬間と他の全てのノードが調和した方法でこの状態変化を学習する瞬間との間の小さい最大遅れ時間を有する。これに関連して、用語「調和した」は、同一の情報を受信する全てのネットワークノードと理解される。こうして、例えば、ネットワークノードに故障が１つ発生した場合に、全てのネットワークノードが同一の故障信号を受信する。
【０００７】
ネットワークの各コミュニケーションコントローラにおけるメンバーシップサービスは、１つのビットが各転送ノードに割り当てられるメンバーシップベクトルを備える。このビットベクトルに「利用可能」と認められる送信機は、メンバーシップにおいて利用可能とみなされる。正確には、「メンバーシップベクトル」における１つのビットは、ＴＴＰ／Ｃの関係におけるＴＭＤＡ（時分割多重アクセス）の各々調和した時間スロットに順次静的に割り当てられている。
【０００８】
ＴＴＰ／Ｃの構成に見られるように、タイムトリガードアーキテクチャにおける本質的な安全の利点は、 コミュニケーションコントローラとノードコントローラ（処理ユニット）との間のコミュニケーションにおけるトリガー信号の排除である。この方法で、故障が広がり得ないことが保証されることができる。コミュニケーションコントローラとノードコントローラとの間のコミュニケーションにおけるトリガー信号の厳密な排除によって、公知のシステムにおいて、作動中の処理ユニット又はソフトウエアアプリケーションについて、欠陥のある処理ユニット又はソフトウエアアプリケーションの作用に影響を与える可能性がない。この事実は、処理ユニットの欠陥のある作用がシステム全体の安全を危険にする場合に、特に適切である。例えば、「ワイヤードブレーキ」システムにおいて、即ち、ブレーキが純粋に電子的に制御されるシステムにおいて、欠陥のあるソフトウエアアプリケーションは、残りのホイールコンピュ−タの遮断にもかかわらず、自動車全体の運転の制御が不可能になる得る自動車の４つのホイールの１つをブロックすることができる。しかし、制御パルスの一般的な転送は、システム全体の安全の危険源としても制御パルスを提供する。供される遮断ラインは資源需要の増大と追加の故障源の導入に繋がる。
【発明の開示】
【発明が解決しようとする課題】
【０００９】
従って、本発明の課題は、引用された従来技術の欠点を克服することにある。
【課題を解決するための手段】
【００１０】
この課題は、冒頭に記載された形式の方法を使用して、フォールトトレランスレイヤーが、少なくとも１つのネットワークノードの状態に関する受信情報に基づいて、コオーディネ−ションプロシージャを介して少なくとも１つのネットワークノードの関数を決定し、そしてコオーディネ−ション値は、出力信号として利用可能であり、少なくとも１つのネットワークノードが出力信号の関数として指令を受けることによって達成される。
【非特許文献１】
クルーワアカデミー出版社から１９９７年に出版された、Ｈ．クロペッツ著の「リアルタイムシステム；分散埋設アプリケーションの設計原理」
【００１１】
フォールトトレランスレイヤーによって提供されるトリガー信号の導入によって、他のネットワークノードがフォールトアプリケーション又は処理ユニットに、安全設計による特殊な作用をさせかつシステム全体の特殊な故障態様が制御された方法で送信されることができる。フォールトトレランスレイヤーにおけるコオーディネ−ション機構を介して、フォールトネットワークノードが更にシステムの他のノードへ及ぼす影響が阻止されることができる。この方法で、個々の故障がシステム全体の故障に影響を及ぼさないことが保証されることができる。こうして、本発明は、信頼のあるコミュニケーションレイヤーの処理ユニットとアクチュエータの間の領域への拡幅を提供する。
【００１２】
有利に、コオーディネ−ション値は、コミュニケーションコントローラの１つ又は複数のハードウエア出力に利用可能にされる。
【００１３】
本発明の１つの態様によれば、コオーディネ−ション値は、コミュニケーションコントローラの少なくとも１つのピンのデジタル出力信号として利用可能にされることができる。
【００１４】
問題のコミュニケーションコントローラのメンバーシップ情報は、有利にコオーディネ−ションプロシージャに組み入れられることができる。その結果、他のノードが評価メッセージを送信することを阻止する欠陥ノード形成が他のノードの時間スロットを占める欠陥ノードによるコオーディネ−ションに考慮されることができる。
【００１５】
更に、フォールトトレランスレイヤーは、コミュニケーションコントローラと処理ユニットのデータ構造とはそれ自体無関係なデータ構造を、コオーディネ−ションアルゴリズムの選択及びコオーディネ−ションのために適用されるメッセージのために、使用することができる。
【００１６】
追加の利点は、少なくとも１つのアクチュエータが出力信号の関数として好適な状態又は安全な状態にもたらされることによって達成されることができる。
【００１７】
有利に、ネットワークノードの間のコミュニケーションは、ＴＴＯ／Ｃプロトコルによるタイムトリガードベースで行われる。
【実施例】
【００１８】
本発明を実施例と共に、図中に表された複数の実施例と関連させて以下に説明するが、これによって本発明の権利範囲が制限されるものではない。
【００１９】
図１は、各々ノードコントローラＳＴ 1〜ＳＴ６と、コミュニケーションコントローラＫＫ 1〜ＫＫ６とから構成されている６つのネットワークノードＮＫ 1〜ＮＫ６を有する分散コンピュ−タシステムＳＹＳの図式図を示し、コミュニケーションコントローラは、バスＢＵＳを介して相互に接続されている。明細書中において、用語「ノードコントローラＳＴ 1〜ＳＴ６」は、トリガータスク、又は一般的な意味のタスクを実行するために装備され、適切なソフトウエアアプリケーションＡＰ１〜ＡＰ６によってコンピュ−タシステムの領域内の特殊なネットワークノードＮＫ 1〜ＮＫ６のために設計された処理ユニットＲＥ１〜ＲＥ６と理解される。
【００２０】
好ましくはネットワークノードＮＫ 1〜ＮＫ６の間のコミュニケーションは、タイムトリガード転送プロトコル、例えば、ＴＴＰ／Ｃプロトコルに従って行われる。ＴＴＰ／Ｃプロトコルの概念については、例えば、ヨーロッパ特許１４６６１２を参照されたい。
【００２１】
ネットワークノードＮＫ 1〜ＮＫ６のいくつか又は全ては、他のネットワークノードＮＫ 1〜ＮＫ６の作用又はオペレーション状態をモニタすることができ、その際モニタ作用は反復して行われる。こうして、あるノードをモニタするノード自体は、他のノードによってモニタされることができる。モニタの結果は、ネットワークノードＮＫ 1〜ＮＫ６のコミュニケーションコントローラＫＫ 1〜ＫＫ６の間の評価メッセージとしてバスＢＵＳを介して交換される。
【００２２】
ノードコントローラＳＴ 1〜ＳＴ６とコミュニケーションコントローラＫＫ 1〜ＫＫ６との間にはフォールトトレランスレイヤーＦＴ 1〜ＦＴ６が位置しており、フォールトトレランスレイヤーは、バスＢＵＳを介して転送される評価メッセージを受信しかつネットワークノードの関数に関する個別の評価メッセージについてのコオーディネ−ションプロシージャを実行する。フォールトトレランスレイヤーの概念に関しては、例えば、「ニューヨークＩＥＥＥプレスの依存システム及びネットワーク（ＤＳＮ２００）についてＧ．Ｂａｕｅｒ及びＨ．Ｋｏｐｅｔｚの著作によるタイムトリガードアーキテクチャにおける透明冗長の 5〜１３頁」を参照のこと。実際に、フォールトトレランスレイヤーは、例えば、コミュニケーションコントローラＫＫ 1〜ＫＫ６とノードコントローラＳＴ 1〜ＳＴ２との間に配置されて適切にプログラムされたマイクロプロセッサを使用することによって構成されることができる。フォールトトレランスレイヤーを形成するための他の可能性は、フォールトトレランスレイヤーをハードウエアユニットとしてコミュニケーションコントローラに設けることにある。
【００２３】
次のアルゴリズムはコオーディネ−ションプロシージャの変形として考慮される。
・コオーディネ−ションに関連して、フォールトトレランスレイヤーＦＴによって使用される評価メッセージの数ｎに関して、 評価メッセージの数ｍは、結果（多数コオーディネ−ション）に導くために、ｎ／２よりの大きくなければならない。
・又は、考慮される全ての評価メッセージは等しくなければならない（ｎ＝ｎ）−一致
【００２４】
コオーディネ−ション値は、記憶領域におけるネットワークノードのデジタル又はアナログ出力信号としてかつコミュニケーションコントローラＫＫ 1〜ＫＫ６、例えば、コミュニケーションコントローラＫＫ 1〜ＫＫ６のピンのハードウエア出力に利用されることができる。出力信号ＡＳＳの関数として、処理ユニットの再スタート又は緊急遮断が実行されることができ、及び／又はアクチュエータＡＫＴが、下記のように、好適な又は安全な状態にもたらされることができる。
【００２５】
図２によれば、ネットワークノードＮＫＮは、ノードコントローラＳＴＲ（対応するソフトウエアアプリケーションを伴う処理ユニットＲＥＥ），例えば、対応してプログラムされたＣＰＵ（中央処理ユニット）及びコミュニケーションコントローラＫＫＫを有する。処理ユニットＲＥＥとコミュニケーションコントローラＫＫＫとの間に、安全上の理由からインタフェースを介してトリガー信号の交換を行わないインタフェースＣＮＩが位置しかつ前記フォールトトレランスレイヤーＦＴＳが位置している。
【００２６】
コミュニケーションコントローラＫＫＫは、バスＢＵＳを介してネットワークノードとのコミュニケーションシーケンスを制御する。そのようにする場合、データは、データインタフェースＣＮＩから読み出されかつ使用されるタイムトリガードコミュニケーションフローによって先に特定されたタイムスロットに転送される。同様に、処理ユニットＲＥＥのために受信されたメッセージは、データインタフェースＣＮＩに蓄えられる。フォールトトレランスレイヤーＦＴＳのタスクは、他のものとの間で、処理ユニットＲＥＥで実行されているソフトウエアアプリケーションＡＰＬのためのデータインタフェースＣＮＩに蓄えられたデータを、トリガーネットワークノードＮＷＫ又は要請に従ってアクチュエータに提供すること、及びフォールトトレランスレイヤーＦＴＳと処理ユニットＲＥＥとの間に位置するデータインタフェースＦＴ−ＣＮＩに蓄える。例えば、可変の冗長メッセージは、一緒に置かれ、値は変換され又は特殊な値は計算され、こうして、処理ユニットＲＥＥに蓄えられたソフトウエアアプリケーションＡＰＬは、ルーチン作動及び複雑性を緩和される。ソフトウエアアプリケーションＡＰＬは、結局、トリガーアクチュエータＡＫＴ，例えば、ブレーキアクチュエータのタスクを行わせる。
【００２７】
本発明によれば、既に先に述べたように、フォールトトレランスレイヤーＦＴＳは、出力信号ＡＳＳとして利用可能なコオーディネ−ション値を作成することができる。この出力信号ＡＳＳは、記憶領域、 例えば、インタフェースＣＮＩの領域におけるネットワークノードにおいて利用可能にされることができる。
【００２８】
このデータインタフェースＣＮＩ及び／又はフォールトトレランスレイヤーＦＴＳは、処理ユニットに接続され、その結果必要な場合には、出力信号ＡＳＳが処理ユニットＲＥＥに転送されることができ、出力信号ＡＳＳの予め設定可能な値でスイッチを遮断し又は再スタートするために、処理ユニットを装備することが可能である。こうして、ノードコントローラＳＴＲの再スタート又は緊急遮断が、出力信号によって行われることができる。その上、データインタフェースＣＮＩ及び／又はフォールトトレランスレイヤーＦＴＳはアクチュエータＡＫＴに接続されることができ、その結果アクチュエータは、出力信号ＡＳＳの値によって好適な又は安全な状態にシフトされる。
【００２９】
既に先に述べたように、コオーディネ−ションプロシージャ自体のために、数個のバリエーションが原理的に想定できる。しかし、ここで本質的なことは、コミュニケーションコントローラＫＫＫと処理ユニットＲＥＥとの間のフォールトトレランスレイヤーの存在であり、フォールトトレランスレイヤーは、処理ユニットＲＥＥとは無関係にコオーディネ−ションプロシージャを実行しかつコオーディネ−ション値を出力信号ＡＳＳとして利用可能とする。
【００３０】
フォールトトレランスレイヤーＦＴＳの独立性を保証するために、フォールトトレランスレイヤーＦＴＳは、コオーディネ−ションアルゴリズムの選択と、コミュニケーションコントローラＫＫＫとノードコントローラＳＴＲのデータ構造とは無関係なコオーディネ−ションのために採択された評価メッセージ用のデータ構造を有することができる。
【００３１】
好ましくは、本発明による方法によって、フォールトトレランスレイヤーにおいて、フォールトトレランスレイヤーＦＴＳに割り当てられたノードＮＫＮの関数が制御され、 この場合、このノードＮＫＮの関数に関する出力信号ＡＳＳが制御される。コオーディネ−ションとしてリストアップされた他のノードの評価メッセージは、勿論ノードＮＫＮの状態に関係する。
【００３２】
図３は、可能なワイヤードブレーキアーキテクチャの簡単化した図である。このアーキテクチャにおいて、ネットワークノードＮＫ１、ＮＫ３，ＮＫ４，ＮＫ６は、ホイールの制御を行う。２つのネットワークノードＮＫ２、ＮＫ５は、冗長的にブレーキペダル位置を検出する。ネットワークノードＮＫ１〜ＮＫ６は、バスＢＵＳを介して互いに接続されており、バスは、通常、全ての安全関連メッセージを冗長的に転送する２つのコミュニケーションチャネルから成り、かつコミュニケーションチャネルの各々は、ＴＴＰ／Ｃコミュニケーションコントローラ、フォールトトレランスレイヤーＦＴ１〜ＦＴ６及びノードコントローラＳＴ１〜ＳＴ６を有する。しかし、原則的に、相異なるタイムトリガードコミュニケーションプロトコルが、ＴＴＰ／Ｃプロトコルの代わりに使用されることができる。本発明は、ノードコントローラＳＴ１〜ＳＴ６及びこれに接続されたアクチュエータの作用についての追加的制御を導入することを可能にし、その際システム全体の安全が縮減されることはない。
【００３３】
個々のフォールトを許容することができるために、ブレーキペダル位置を検出するために使用されるネットワークノードＮＫ２、ＮＫ５は、余裕をもって設計されねばならない。代表的な乗合自動車は、４つのブレーキホイールを有するので、 個々のホイールブレーキの故障は許容される。従って、唯一のネットワークノードＮＫ 1、ＮＫ３，ＮＫ４、ＮＫ６は，ブレーキコントローラのための各ホイールに位置する。
【００３４】
ホイール上の他の処理ユニットの作用を制御するソフトウエアアプリケーションは、ホイールノードの各処理ユニットで実行される。こうして、ノードコントローラＳＴ１〜ＳＴ６は、他のノードコントローラＳＴ１〜ＳＴ６をモニターすることができる。バスＢＵＳ及び自動車の運転状況について測定されたデータを介して送信された両メッセージは、これらの制御タスクのためのデータとして使用されることができる。他の処理ユニット又はネットワークノードＮＫ１〜ＮＫ６の評価は、バスを介して評価メッセージＮＡ１〜ＮＡ６として送信される。各コミュニケーションコントローラＫＫ１〜ＫＫ６は、それから各コミュニケーションにおいて順次３つの他のホイールノードの評価メッセージＮＡ１，ＮＡ３，ＮＡ４，ＮＡ６を受信しかつそれらをそのために割り当てられた特殊なデータインタフェースＣＮＩに蓄える。各ネットワークノードの独立したフォールトトレランスレイヤーＦＴ１〜ＦＴ６は、特殊なノードのローカルメッセージと共に，受信した評価メッセージＮＡ１〜ＮＡ６からそのコオーディネ−ション値を作成することができかつ前記コオーディネ−ション値を特殊なネットワークノードＮＫ１〜ＮＫ６内及び当該コミュニケーションコントローラＫＫ１〜ＫＫ６のハードウエア出力の出力信号ＡＳ１〜ＡＳ６として利用可能にする。
【００３５】
既に先に述べたように、多数決又は一致は、基本のコオーディネ−ションプロシージャとして可能である。その上、メンバーシップ情報は、タイムトリガードコミュニケーションプロトコルがそのような配列を有するならば、コオーディネ−ション値に組み込まれることができる。ＴＴＰ／Ｃは、コオーディネ−ションのために列挙されることができる分散メンバーシップサービスを提供する。メンバーシップ情報と関連することによって、コオーディネ−ションのために使用される変形が行われる。
・メンバーシップ情報のみの使用；
・コオーディネ−ションプロシージャのための供されたメッセージ（評価メッセージ）の使用；
・供されるメッセージ及びメンバーシップ情報；
【００３６】
ネットワークノードＮＫ１〜ＮＫ６が多数又は全部が一致し、処理ユニットの作用又はオペレーション中のソフトウエアアプリケーションが全システムの安全を危険にさらした場合には、このノードのフォールトトレランスレイヤーＦＴ１〜ＦＴ６が相応した出力信号ＡＳ１〜ＡＳ６を発生する。
【００３７】
そのようなコオーディネ−ション値から引き出されるべきいかなる結果も、システムの先の配列において決定されねばならない。表示された実施例において、ソフトウエアアプリケーションの一時的な故障を直すために、ブレーキアクチュエータを安全な状態にもたらすこと及び欠陥処理ユニットの再スタートを行わせることの双方が、必要である。
【００３８】
どのコミュニケーションラウンドにおいても新たなコオーディネ−ションオペレーションが行われるので、接続されたアクチュエータの制御は、ネットワークノードの再積層が完成した後に、割り当てられたノードコントローラ又は処理ユニットに移送されることができる。
【００３９】
コオーディネ−ション値についての情報は特別のデータインタフェースＣＮＩ内で内部で利用可能でありかつコミュニケーションコントローラＫＫ 1〜ＫＫ６から他のネットワークノードＮＫ 1〜ＮＫ６に移送されるので、ネットワークノードは、状況に応じてブレーキ力を再配分することによって、故障状態に応答することができる。
【００４０】
コオーディネ−ションプロシージャのための独立のフォールトトレランスの導入は、タイムトリガードされたバスとデータインタフェースＣＮＩとを超えて処理ユニットの反復制御の可能性を創造する。これは、特殊な故障態様に正しく応答することを可能にするために必要である。それにもかかわらず、この方法で個々の故障がシステム全体の安全を害さないことが保証されることができる。
【産業上の利用可能性】
【００４１】
本発明による分散コンピュ−タシステムのオペレーション方法におけるコオーディネ−ションプロシージャのための独立のフォールトトレランスの導入は、タイムトリガードされたバスとデータインタフェースＣＮＩと介して処理ユニットの反復制御の可能性を創造する。これによって、特殊な故障態様に正しく応答し、しかも、コンピュ−タのオペレーションにおいて、個々の故障がシステム全体の安全を害さないことが保証されることができる。
【図面の簡単な説明】
【００４２】
【図１】タイムトリガードコミュニケーションを伴う分散コンピュ−タシステムを示す図である。
【図２】フォールトトレランスレイヤーを備えたネットワークノードの論理構造を示す図である。
【図３】ワイヤードブレーキ構造の単純化した図である。
【符号の説明】
【００４３】
ＡＫＴ アクチュエータ
ＡＫ１ アクチュエータ
ＡＫ２ アクチュエータ
ＡＫ３ アクチュエータ
ＡＫ４ アクチュエータ
ＡＳＳ 出力信号
ＡＳ１ 出力信号
ＡＳ２ 出力信号
ＡＳ３ 出力信号
ＡＳ４ 出力信号
ＡＳ５ 出力信号
ＡＳ６ 出力信号
ＢＵＳ コミュニケーションチャネル
ＦＴＳ フォールトトレランスレイヤー
ＦＴ１ フォールトトレランスレイヤー
ＦＴ２ フォールトトレランスレイヤー
ＦＴ３ フォールトトレランスレイヤー
ＦＴ４ フォールトトレランスレイヤー
ＦＴ５ フォールトトレランスレイヤー
ＦＴ６ フォールトトレランスレイヤー
ＫＫＫ コミュニケーションコントローラ
ＫＫ１ コミュニケーションコントローラ
ＫＫ２ コミュニケーションコントローラ
ＫＫ３ コミュニケーションコントローラ
ＫＫ４ コミュニケーションコントローラ
ＫＫ５ コミュニケーションコントローラ
ＫＫ６ コミュニケーションコントローラ
ＮＡ１ 評価メッセージ
ＮＡ２ 評価メッセージ
ＮＡ３ 評価メッセージ
ＮＡ４ 評価メッセージ
ＮＡ５ 評価メッセージ
ＮＡ６ 評価メッセージ
ＮＫＮ ネットワークノード
ＮＫ１ ネットワークノード
ＮＫ２ ネットワークノード
ＮＫ３ ネットワークノード
ＮＫ４ ネットワークノード
ＮＫ５ ネットワークノード
ＮＫ６ ネットワークノード
ＳＴＲ ノードコントローラ
ＳＴ１ ノードコントローラ
ＳＴ２ ノードコントローラ
ＳＴ３ ノードコントローラ
ＳＴ４ ノードコントローラ
ＳＴ５ ノードコントローラ
ＳＴ６ ノードコントローラ
ＳＹＳ コンピュータシステム
【０００１】
本発明は、ネットワークノードを有する分散コンピュ−タシステムのオペレーション方法であって、ネットワークノードの各々は、少なくとも１つのノードコントローラと少なくとも１つのコミュニケーションコントローラとを有する前記方法において、コミュニケーションコントローラは、相互に少なくとも１つのコミュニケーションチャネルを介して接続されており、プロビジョンは、コミュニケーションコントローラと、ネットワークノードの間で交換されるメッセージを受信するために設けられたフォールトトレランスレイヤーのためのネットワークノードのノードコントローラとの間で行われることを特徴とする前記方法に関する。
【背景技術】
【０００２】
安全要請、利用性要請及びフォールトトレランス要請を有するコンピュ−タシステムに関して、 上記の要請を充足するために、代表的には冗長チャネルが使用され、これに関しては、クルーワアカデミー出版社から１９９７年に出版された、Ｈ．クロペッツ著の「リアルタイムシステム；分散埋設アプリケーションの設計原理」を参照されたい。これらの冗長チャネル及び構成部分は、代表的にはセンサからコンピュ−タノードを経てアクチュエータまで、リアルタイムアプリケーションで構成されねばならない。冗長チャネル及び冗長構成部分の使用は、非冗長システムに比して著しくコスト高を招く。
【０００３】
いくつかのアプリケーションにおいては、アプリケーション特性のために、チャネル又は構成部分を完全に冗長なものとして構成する必要はない。そのわけは、代表的な乗合自動車は４つのブレーキホイールを有し、個々のホイールブレーキの故障は許容され得るからである。これに関連して、ブレーキはホイールロック又はブレーキが強くかけられ過ぎで故障を起こすことがないことが保証されねばならない。このような故障は、乗合自動車を不安定にする。
【０００４】
構成部分のそのような制御されない故障に対するセーフガードを図るために、供される制御機構、いわゆるブレーキラインが、アクチュエータと各ネットワークノードとの間に使用される。
【０００５】
ワイヤードブレーキアプリケーションのような高い信頼性システムに関しては、イベント駆動コミュニケーションプロトコル（即ち、ＣＡＮ）とは対照的に、転送時間（潜在）におけるフォールトトレランス及び最小変動を提供するリアルタイム性能のコミュニケーションシステムが信頼を得つつある。ＴＴＰ／Ｃ、例えば、そのようなタイムトリガードコミュニケーションシステムが既に市場に出回っておりかつデータの信頼のある転送に加えて、クロック同期及びメンバーシップのような一連の高いサービスを提供している。
【０００６】
用語「メンバーシップ」は、この関係において、特定の瞬間ーメンバーシップ点における全てのノードに対するシステムの全てのノードのオペレーション状態（固有に作動すること又は欠陥のある作動をすること）についての調和した情報を送るサービスと理解される。メンバーシップ点と他のノードに対する調和したメンバーシップ情報が認識された瞬間との間の長さ及び間隔の変動とは、メンバーシップサービスのサービスパラメータの品質特徴である。良好なメンバーシップサービスは、１つのノードの関連した状態変化の瞬間と他の全てのノードが調和した方法でこの状態変化を学習する瞬間との間の小さい最大遅れ時間を有する。これに関連して、用語「調和した」は、同一の情報を受信する全てのネットワークノードと理解される。こうして、例えば、ネットワークノードに故障が１つ発生した場合に、全てのネットワークノードが同一の故障信号を受信する。
【０００７】
ネットワークの各コミュニケーションコントローラにおけるメンバーシップサービスは、１つのビットが各転送ノードに割り当てられるメンバーシップベクトルを備える。このビットベクトルに「利用可能」と認められる送信機は、メンバーシップにおいて利用可能とみなされる。正確には、「メンバーシップベクトル」における１つのビットは、ＴＴＰ／Ｃの関係におけるＴＭＤＡ（時分割多重アクセス）の各々調和した時間スロットに順次静的に割り当てられている。
【０００８】
ＴＴＰ／Ｃの構成に見られるように、タイムトリガードアーキテクチャにおける本質的な安全の利点は、 コミュニケーションコントローラとノードコントローラ（処理ユニット）との間のコミュニケーションにおけるトリガー信号の排除である。この方法で、故障が広がり得ないことが保証されることができる。コミュニケーションコントローラとノードコントローラとの間のコミュニケーションにおけるトリガー信号の厳密な排除によって、公知のシステムにおいて、作動中の処理ユニット又はソフトウエアアプリケーションについて、欠陥のある処理ユニット又はソフトウエアアプリケーションの作用に影響を与える可能性がない。この事実は、処理ユニットの欠陥のある作用がシステム全体の安全を危険にする場合に、特に適切である。例えば、「ワイヤードブレーキ」システムにおいて、即ち、ブレーキが純粋に電子的に制御されるシステムにおいて、欠陥のあるソフトウエアアプリケーションは、残りのホイールコンピュ−タの遮断にもかかわらず、自動車全体の運転の制御が不可能になる得る自動車の４つのホイールの１つをブロックすることができる。しかし、制御パルスの一般的な転送は、システム全体の安全の危険源としても制御パルスを提供する。供される遮断ラインは資源需要の増大と追加の故障源の導入に繋がる。
【発明の開示】
【発明が解決しようとする課題】
【０００９】
従って、本発明の課題は、引用された従来技術の欠点を克服することにある。
【課題を解決するための手段】
【００１０】
この課題は、冒頭に記載された形式の方法を使用して、フォールトトレランスレイヤーが、少なくとも１つのネットワークノードの状態に関する受信情報に基づいて、コオーディネ−ションプロシージャを介して少なくとも１つのネットワークノードの関数を決定し、そしてコオーディネ−ション値は、出力信号として利用可能であり、少なくとも１つのネットワークノードが出力信号の関数として指令を受けることによって達成される。
【非特許文献１】
クルーワアカデミー出版社から１９９７年に出版された、Ｈ．クロペッツ著の「リアルタイムシステム；分散埋設アプリケーションの設計原理」
【００１１】
フォールトトレランスレイヤーによって提供されるトリガー信号の導入によって、他のネットワークノードがフォールトアプリケーション又は処理ユニットに、安全設計による特殊な作用をさせかつシステム全体の特殊な故障態様が制御された方法で送信されることができる。フォールトトレランスレイヤーにおけるコオーディネ−ション機構を介して、フォールトネットワークノードが更にシステムの他のノードへ及ぼす影響が阻止されることができる。この方法で、個々の故障がシステム全体の故障に影響を及ぼさないことが保証されることができる。こうして、本発明は、信頼のあるコミュニケーションレイヤーの処理ユニットとアクチュエータの間の領域への拡幅を提供する。
【００１２】
有利に、コオーディネ−ション値は、コミュニケーションコントローラの１つ又は複数のハードウエア出力に利用可能にされる。
【００１３】
本発明の１つの態様によれば、コオーディネ−ション値は、コミュニケーションコントローラの少なくとも１つのピンのデジタル出力信号として利用可能にされることができる。
【００１４】
問題のコミュニケーションコントローラのメンバーシップ情報は、有利にコオーディネ−ションプロシージャに組み入れられることができる。その結果、他のノードが評価メッセージを送信することを阻止する欠陥ノード形成が他のノードの時間スロットを占める欠陥ノードによるコオーディネ−ションに考慮されることができる。
【００１５】
更に、フォールトトレランスレイヤーは、コミュニケーションコントローラと処理ユニットのデータ構造とはそれ自体無関係なデータ構造を、コオーディネ−ションアルゴリズムの選択及びコオーディネ−ションのために適用されるメッセージのために、使用することができる。
【００１６】
追加の利点は、少なくとも１つのアクチュエータが出力信号の関数として好適な状態又は安全な状態にもたらされることによって達成されることができる。
【００１７】
有利に、ネットワークノードの間のコミュニケーションは、ＴＴＯ／Ｃプロトコルによるタイムトリガードベースで行われる。
【実施例】
【００１８】
本発明を実施例と共に、図中に表された複数の実施例と関連させて以下に説明するが、これによって本発明の権利範囲が制限されるものではない。
【００１９】
図１は、各々ノードコントローラＳＴ 1〜ＳＴ６と、コミュニケーションコントローラＫＫ 1〜ＫＫ６とから構成されている６つのネットワークノードＮＫ 1〜ＮＫ６を有する分散コンピュ−タシステムＳＹＳの図式図を示し、コミュニケーションコントローラは、バスＢＵＳを介して相互に接続されている。明細書中において、用語「ノードコントローラＳＴ 1〜ＳＴ６」は、トリガータスク、又は一般的な意味のタスクを実行するために装備され、適切なソフトウエアアプリケーションＡＰ１〜ＡＰ６によってコンピュ−タシステムの領域内の特殊なネットワークノードＮＫ 1〜ＮＫ６のために設計された処理ユニットＲＥ１〜ＲＥ６と理解される。
【００２０】
好ましくはネットワークノードＮＫ 1〜ＮＫ６の間のコミュニケーションは、タイムトリガード転送プロトコル、例えば、ＴＴＰ／Ｃプロトコルに従って行われる。ＴＴＰ／Ｃプロトコルの概念については、例えば、ヨーロッパ特許１４６６１２を参照されたい。
【００２１】
ネットワークノードＮＫ 1〜ＮＫ６のいくつか又は全ては、他のネットワークノードＮＫ 1〜ＮＫ６の作用又はオペレーション状態をモニタすることができ、その際モニタ作用は反復して行われる。こうして、あるノードをモニタするノード自体は、他のノードによってモニタされることができる。モニタの結果は、ネットワークノードＮＫ 1〜ＮＫ６のコミュニケーションコントローラＫＫ 1〜ＫＫ６の間の評価メッセージとしてバスＢＵＳを介して交換される。
【００２２】
ノードコントローラＳＴ 1〜ＳＴ６とコミュニケーションコントローラＫＫ 1〜ＫＫ６との間にはフォールトトレランスレイヤーＦＴ 1〜ＦＴ６が位置しており、フォールトトレランスレイヤーは、バスＢＵＳを介して転送される評価メッセージを受信しかつネットワークノードの関数に関する個別の評価メッセージについてのコオーディネ−ションプロシージャを実行する。フォールトトレランスレイヤーの概念に関しては、例えば、「ニューヨークＩＥＥＥプレスの依存システム及びネットワーク（ＤＳＮ２００）についてＧ．Ｂａｕｅｒ及びＨ．Ｋｏｐｅｔｚの著作によるタイムトリガードアーキテクチャにおける透明冗長の 5〜１３頁」を参照のこと。実際に、フォールトトレランスレイヤーは、例えば、コミュニケーションコントローラＫＫ 1〜ＫＫ６とノードコントローラＳＴ 1〜ＳＴ２との間に配置されて適切にプログラムされたマイクロプロセッサを使用することによって構成されることができる。フォールトトレランスレイヤーを形成するための他の可能性は、フォールトトレランスレイヤーをハードウエアユニットとしてコミュニケーションコントローラに設けることにある。
【００２３】
次のアルゴリズムはコオーディネ−ションプロシージャの変形として考慮される。
・コオーディネ−ションに関連して、フォールトトレランスレイヤーＦＴによって使用される評価メッセージの数ｎに関して、 評価メッセージの数ｍは、結果（多数コオーディネ−ション）に導くために、ｎ／２よりの大きくなければならない。
・又は、考慮される全ての評価メッセージは等しくなければならない（ｎ＝ｎ）−一致
【００２４】
コオーディネ−ション値は、記憶領域におけるネットワークノードのデジタル又はアナログ出力信号としてかつコミュニケーションコントローラＫＫ 1〜ＫＫ６、例えば、コミュニケーションコントローラＫＫ 1〜ＫＫ６のピンのハードウエア出力に利用されることができる。出力信号ＡＳＳの関数として、処理ユニットの再スタート又は緊急遮断が実行されることができ、及び／又はアクチュエータＡＫＴが、下記のように、好適な又は安全な状態にもたらされることができる。
【００２５】
図２によれば、ネットワークノードＮＫＮは、ノードコントローラＳＴＲ（対応するソフトウエアアプリケーションを伴う処理ユニットＲＥＥ），例えば、対応してプログラムされたＣＰＵ（中央処理ユニット）及びコミュニケーションコントローラＫＫＫを有する。処理ユニットＲＥＥとコミュニケーションコントローラＫＫＫとの間に、安全上の理由からインタフェースを介してトリガー信号の交換を行わないインタフェースＣＮＩが位置しかつ前記フォールトトレランスレイヤーＦＴＳが位置している。
【００２６】
コミュニケーションコントローラＫＫＫは、バスＢＵＳを介してネットワークノードとのコミュニケーションシーケンスを制御する。そのようにする場合、データは、データインタフェースＣＮＩから読み出されかつ使用されるタイムトリガードコミュニケーションフローによって先に特定されたタイムスロットに転送される。同様に、処理ユニットＲＥＥのために受信されたメッセージは、データインタフェースＣＮＩに蓄えられる。フォールトトレランスレイヤーＦＴＳのタスクは、他のものとの間で、処理ユニットＲＥＥで実行されているソフトウエアアプリケーションＡＰＬのためのデータインタフェースＣＮＩに蓄えられたデータを、トリガーネットワークノードＮＷＫ又は要請に従ってアクチュエータに提供すること、及びフォールトトレランスレイヤーＦＴＳと処理ユニットＲＥＥとの間に位置するデータインタフェースＦＴ−ＣＮＩに蓄える。例えば、可変の冗長メッセージは、一緒に置かれ、値は変換され又は特殊な値は計算され、こうして、処理ユニットＲＥＥに蓄えられたソフトウエアアプリケーションＡＰＬは、ルーチン作動及び複雑性を緩和される。ソフトウエアアプリケーションＡＰＬは、結局、トリガーアクチュエータＡＫＴ，例えば、ブレーキアクチュエータのタスクを行わせる。
【００２７】
本発明によれば、既に先に述べたように、フォールトトレランスレイヤーＦＴＳは、出力信号ＡＳＳとして利用可能なコオーディネ−ション値を作成することができる。この出力信号ＡＳＳは、記憶領域、 例えば、インタフェースＣＮＩの領域におけるネットワークノードにおいて利用可能にされることができる。
【００２８】
このデータインタフェースＣＮＩ及び／又はフォールトトレランスレイヤーＦＴＳは、処理ユニットに接続され、その結果必要な場合には、出力信号ＡＳＳが処理ユニットＲＥＥに転送されることができ、出力信号ＡＳＳの予め設定可能な値でスイッチを遮断し又は再スタートするために、処理ユニットを装備することが可能である。こうして、ノードコントローラＳＴＲの再スタート又は緊急遮断が、出力信号によって行われることができる。その上、データインタフェースＣＮＩ及び／又はフォールトトレランスレイヤーＦＴＳはアクチュエータＡＫＴに接続されることができ、その結果アクチュエータは、出力信号ＡＳＳの値によって好適な又は安全な状態にシフトされる。
【００２９】
既に先に述べたように、コオーディネ−ションプロシージャ自体のために、数個のバリエーションが原理的に想定できる。しかし、ここで本質的なことは、コミュニケーションコントローラＫＫＫと処理ユニットＲＥＥとの間のフォールトトレランスレイヤーの存在であり、フォールトトレランスレイヤーは、処理ユニットＲＥＥとは無関係にコオーディネ−ションプロシージャを実行しかつコオーディネ−ション値を出力信号ＡＳＳとして利用可能とする。
【００３０】
フォールトトレランスレイヤーＦＴＳの独立性を保証するために、フォールトトレランスレイヤーＦＴＳは、コオーディネ−ションアルゴリズムの選択と、コミュニケーションコントローラＫＫＫとノードコントローラＳＴＲのデータ構造とは無関係なコオーディネ−ションのために採択された評価メッセージ用のデータ構造を有することができる。
【００３１】
好ましくは、本発明による方法によって、フォールトトレランスレイヤーにおいて、フォールトトレランスレイヤーＦＴＳに割り当てられたノードＮＫＮの関数が制御され、 この場合、このノードＮＫＮの関数に関する出力信号ＡＳＳが制御される。コオーディネ−ションとしてリストアップされた他のノードの評価メッセージは、勿論ノードＮＫＮの状態に関係する。
【００３２】
図３は、可能なワイヤードブレーキアーキテクチャの簡単化した図である。このアーキテクチャにおいて、ネットワークノードＮＫ１、ＮＫ３，ＮＫ４，ＮＫ６は、ホイールの制御を行う。２つのネットワークノードＮＫ２、ＮＫ５は、冗長的にブレーキペダル位置を検出する。ネットワークノードＮＫ１〜ＮＫ６は、バスＢＵＳを介して互いに接続されており、バスは、通常、全ての安全関連メッセージを冗長的に転送する２つのコミュニケーションチャネルから成り、かつコミュニケーションチャネルの各々は、ＴＴＰ／Ｃコミュニケーションコントローラ、フォールトトレランスレイヤーＦＴ１〜ＦＴ６及びノードコントローラＳＴ１〜ＳＴ６を有する。しかし、原則的に、相異なるタイムトリガードコミュニケーションプロトコルが、ＴＴＰ／Ｃプロトコルの代わりに使用されることができる。本発明は、ノードコントローラＳＴ１〜ＳＴ６及びこれに接続されたアクチュエータの作用についての追加的制御を導入することを可能にし、その際システム全体の安全が縮減されることはない。
【００３３】
個々のフォールトを許容することができるために、ブレーキペダル位置を検出するために使用されるネットワークノードＮＫ２、ＮＫ５は、余裕をもって設計されねばならない。代表的な乗合自動車は、４つのブレーキホイールを有するので、 個々のホイールブレーキの故障は許容される。従って、唯一のネットワークノードＮＫ 1、ＮＫ３，ＮＫ４、ＮＫ６は，ブレーキコントローラのための各ホイールに位置する。
【００３４】
ホイール上の他の処理ユニットの作用を制御するソフトウエアアプリケーションは、ホイールノードの各処理ユニットで実行される。こうして、ノードコントローラＳＴ１〜ＳＴ６は、他のノードコントローラＳＴ１〜ＳＴ６をモニターすることができる。バスＢＵＳ及び自動車の運転状況について測定されたデータを介して送信された両メッセージは、これらの制御タスクのためのデータとして使用されることができる。他の処理ユニット又はネットワークノードＮＫ１〜ＮＫ６の評価は、バスを介して評価メッセージＮＡ１〜ＮＡ６として送信される。各コミュニケーションコントローラＫＫ１〜ＫＫ６は、それから各コミュニケーションにおいて順次３つの他のホイールノードの評価メッセージＮＡ１，ＮＡ３，ＮＡ４，ＮＡ６を受信しかつそれらをそのために割り当てられた特殊なデータインタフェースＣＮＩに蓄える。各ネットワークノードの独立したフォールトトレランスレイヤーＦＴ１〜ＦＴ６は、特殊なノードのローカルメッセージと共に，受信した評価メッセージＮＡ１〜ＮＡ６からそのコオーディネ−ション値を作成することができかつ前記コオーディネ−ション値を特殊なネットワークノードＮＫ１〜ＮＫ６内及び当該コミュニケーションコントローラＫＫ１〜ＫＫ６のハードウエア出力の出力信号ＡＳ１〜ＡＳ６として利用可能にする。
【００３５】
既に先に述べたように、多数決又は一致は、基本のコオーディネ−ションプロシージャとして可能である。その上、メンバーシップ情報は、タイムトリガードコミュニケーションプロトコルがそのような配列を有するならば、コオーディネ−ション値に組み込まれることができる。ＴＴＰ／Ｃは、コオーディネ−ションのために列挙されることができる分散メンバーシップサービスを提供する。メンバーシップ情報と関連することによって、コオーディネ−ションのために使用される変形が行われる。
・メンバーシップ情報のみの使用；
・コオーディネ−ションプロシージャのための供されたメッセージ（評価メッセージ）の使用；
・供されるメッセージ及びメンバーシップ情報；
【００３６】
ネットワークノードＮＫ１〜ＮＫ６が多数又は全部が一致し、処理ユニットの作用又はオペレーション中のソフトウエアアプリケーションが全システムの安全を危険にさらした場合には、このノードのフォールトトレランスレイヤーＦＴ１〜ＦＴ６が相応した出力信号ＡＳ１〜ＡＳ６を発生する。
【００３７】
そのようなコオーディネ−ション値から引き出されるべきいかなる結果も、システムの先の配列において決定されねばならない。表示された実施例において、ソフトウエアアプリケーションの一時的な故障を直すために、ブレーキアクチュエータを安全な状態にもたらすこと及び欠陥処理ユニットの再スタートを行わせることの双方が、必要である。
【００３８】
どのコミュニケーションラウンドにおいても新たなコオーディネ−ションオペレーションが行われるので、接続されたアクチュエータの制御は、ネットワークノードの再積層が完成した後に、割り当てられたノードコントローラ又は処理ユニットに移送されることができる。
【００３９】
コオーディネ−ション値についての情報は特別のデータインタフェースＣＮＩ内で内部で利用可能でありかつコミュニケーションコントローラＫＫ 1〜ＫＫ６から他のネットワークノードＮＫ 1〜ＮＫ６に移送されるので、ネットワークノードは、状況に応じてブレーキ力を再配分することによって、故障状態に応答することができる。
【００４０】
コオーディネ−ションプロシージャのための独立のフォールトトレランスの導入は、タイムトリガードされたバスとデータインタフェースＣＮＩとを超えて処理ユニットの反復制御の可能性を創造する。これは、特殊な故障態様に正しく応答することを可能にするために必要である。それにもかかわらず、この方法で個々の故障がシステム全体の安全を害さないことが保証されることができる。
【産業上の利用可能性】
【００４１】
本発明による分散コンピュ−タシステムのオペレーション方法におけるコオーディネ−ションプロシージャのための独立のフォールトトレランスの導入は、タイムトリガードされたバスとデータインタフェースＣＮＩと介して処理ユニットの反復制御の可能性を創造する。これによって、特殊な故障態様に正しく応答し、しかも、コンピュ−タのオペレーションにおいて、個々の故障がシステム全体の安全を害さないことが保証されることができる。
【図面の簡単な説明】
【００４２】
【図１】タイムトリガードコミュニケーションを伴う分散コンピュ−タシステムを示す図である。
【図２】フォールトトレランスレイヤーを備えたネットワークノードの論理構造を示す図である。
【図３】ワイヤードブレーキ構造の単純化した図である。
【符号の説明】
【００４３】
ＡＫＴ アクチュエータ
ＡＫ１ アクチュエータ
ＡＫ２ アクチュエータ
ＡＫ３ アクチュエータ
ＡＫ４ アクチュエータ
ＡＳＳ 出力信号
ＡＳ１ 出力信号
ＡＳ２ 出力信号
ＡＳ３ 出力信号
ＡＳ４ 出力信号
ＡＳ５ 出力信号
ＡＳ６ 出力信号
ＢＵＳ コミュニケーションチャネル
ＦＴＳ フォールトトレランスレイヤー
ＦＴ１ フォールトトレランスレイヤー
ＦＴ２ フォールトトレランスレイヤー
ＦＴ３ フォールトトレランスレイヤー
ＦＴ４ フォールトトレランスレイヤー
ＦＴ５ フォールトトレランスレイヤー
ＦＴ６ フォールトトレランスレイヤー
ＫＫＫ コミュニケーションコントローラ
ＫＫ１ コミュニケーションコントローラ
ＫＫ２ コミュニケーションコントローラ
ＫＫ３ コミュニケーションコントローラ
ＫＫ４ コミュニケーションコントローラ
ＫＫ５ コミュニケーションコントローラ
ＫＫ６ コミュニケーションコントローラ
ＮＡ１ 評価メッセージ
ＮＡ２ 評価メッセージ
ＮＡ３ 評価メッセージ
ＮＡ４ 評価メッセージ
ＮＡ５ 評価メッセージ
ＮＡ６ 評価メッセージ
ＮＫＮ ネットワークノード
ＮＫ１ ネットワークノード
ＮＫ２ ネットワークノード
ＮＫ３ ネットワークノード
ＮＫ４ ネットワークノード
ＮＫ５ ネットワークノード
ＮＫ６ ネットワークノード
ＳＴＲ ノードコントローラ
ＳＴ１ ノードコントローラ
ＳＴ２ ノードコントローラ
ＳＴ３ ノードコントローラ
ＳＴ４ ノードコントローラ
ＳＴ５ ノードコントローラ
ＳＴ６ ノードコントローラ
ＳＹＳ コンピュータシステム
Claims (10)
- ネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)を有する分散コンピュ−タシステム（ＳＹＳ）のオペレーション方法であって、各ネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)は、少なくとも１つのノードコントローラ (ＳＴＲ，ＳＴ1 〜ＳＴ６)と、少なくとも１つのコミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)とを有し、コミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)は、少なくとも１つのコミュニケーションチャネル（ＢＵＳ）に接続されており、プロビジョンが、コミュニケーションコントローラ (ＫＫ 1〜ＫＫ６)と、ネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)の間で交換されるメッセージを受信するために設けられたフォールトトレランスレイヤー (ＦＴＳ，ＦＴ 1〜ＦＴ６)のためのネットワークノード (ＮＫＮ，ＮＫ１〜ＮＫ６) のノードコントローラ (ＳＴＲ，ＳＴ１〜ＳＴ６) との間で行われる前記方法において、
フォールトトレランスレイヤー (ＦＴＳ，ＦＴ 1〜ＦＴ６)は、少なくとも１つのネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ6)の状態に関して受信した情報に基づいて、コオーディネ−ションプロシージャを介して少なくとも１つのネットワークノード (ＮＫ 1〜ＮＫ６)の関数を決定し、そしてコオーディネ−ション値は、出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)として利用可能であり、少なくとも１つのネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)が出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)の関数としてトリガーされることを特徴とする前記方法。 - コオーディネ−ション値が、コミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)の１つ又は複数のハードウエア出力に利用可能にされることを特徴とする請求項１に記載の方法。
- コオーディネ−ション値が、コミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)の少なくとも１つのピンのデジタル出力信号として利用可能にされることを特徴とする請求項１又は２に記載の方法。
- 問題のコミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)のメンバーシップ情報がコオーディネ−ションプロシージャに含まれていることを特徴とする請求項１から３までのうちのいずれか 1つに記載の方法。
- フォールトトレランスレイヤー (ＦＴＳ，ＦＴ 1〜ＦＴ６)が、コオーディネ−ションアルゴリズムの選択及びコオーディネ−ションのためにリストアップされた評価メッセージ（ＮＡ１〜ＮＡ６）のために、コミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)及びノードコントローラ (ＳＴ 1〜ＳＴ６)のデータ構造とはそれ自体無関係なデータ構造を使用することを特徴とする請求項１から３までのうちのいずれか 1つに記載の方法。
- コオーディネ−ション値が、記憶領域におけるネットワークノード内で利用可能にされることを特徴とする請求項１から４までのうちのいずれか 1つに記載の方法。
- 少なくとも１つのノードコントローラ (ＳＴ 1〜ＳＴ６)が、出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)の関数として再スタートされることを特徴とする請求項１から５までのうちのいずれか 1つに記載の方法。
- ノードコントローラ (ＳＴ 1〜ＳＴ６)の緊急遮断が、出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)の関数として行われることを特徴とする請求項１から６までのうちのいずれか 1つに記載の方法。
- 少なくとも１つのネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)が、ノードコントローラ (ＳＴＲ，ＳＴ 1〜ＳＴ６)に接続されたアクチュエータ (ＡＫＴ，ＡＫ 1〜ＡＫ４) を有し、アクチュエータ (ＡＫＴ，ＡＫ 1〜ＡＫ４)は、出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)によって好適な状態又は安全な状態にもたらされることを特徴とする請求項１から７までのうちのいずれか 1つに記載の方法。
- ネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)の間のコミュニケーションが、ＴＴＰ／Ｃプロトコルによるタイムトリガードベースで行われることを特徴とする請求項１から８までのうちのいずれか 1つに記載の方法。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| AT5112001 | 2001-03-30 | ||
| PCT/AT2002/000094 WO2002079972A2 (de) | 2001-03-30 | 2002-03-27 | Verfahren zum betrieb eines verteilten computersystems |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004533043A true JP2004533043A (ja) | 2004-10-28 |
| JP3973560B2 JP3973560B2 (ja) | 2007-09-12 |
Family
ID=3675579
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002578131A Expired - Lifetime JP3973560B2 (ja) | 2001-03-30 | 2002-03-27 | 分散コンピュ−タシステムのオペレーション方法 |
Country Status (6)
| Country | Link |
|---|---|
| US (1) | US7023870B2 (ja) |
| EP (1) | EP1374052B1 (ja) |
| JP (1) | JP3973560B2 (ja) |
| AU (1) | AU2002240697A1 (ja) |
| DE (1) | DE50208001D1 (ja) |
| WO (1) | WO2002079972A2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2012025390A (ja) * | 2005-10-03 | 2012-02-09 | Hitachi Automotive Systems Ltd | 車両制御システム |
Families Citing this family (32)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8180882B2 (en) * | 2004-07-22 | 2012-05-15 | Tyco Electronics Subsea Communications Llc | Distributed messaging system and method for sharing network status data |
| JP4871687B2 (ja) * | 2005-10-03 | 2012-02-08 | 日立オートモティブシステムズ株式会社 | 車両制御システム |
| US8295310B2 (en) | 2006-09-25 | 2012-10-23 | Futurewei Technologies, Inc. | Inter-packet gap network clock synchronization |
| US7961751B2 (en) * | 2006-09-25 | 2011-06-14 | Futurewei Technologies, Inc. | Multiplexed data stream timeslot map |
| US8588209B2 (en) * | 2006-09-25 | 2013-11-19 | Futurewei Technologies, Inc. | Multi-network compatible data architecture |
| US7809027B2 (en) * | 2006-09-25 | 2010-10-05 | Futurewei Technologies, Inc. | Network clock synchronization floating window and window delineation |
| US8494009B2 (en) * | 2006-09-25 | 2013-07-23 | Futurewei Technologies, Inc. | Network clock synchronization timestamp |
| US8340101B2 (en) | 2006-09-25 | 2012-12-25 | Futurewei Technologies, Inc. | Multiplexed data stream payload format |
| US8976796B2 (en) | 2006-09-25 | 2015-03-10 | Futurewei Technologies, Inc. | Bandwidth reuse in multiplexed data stream |
| US7675945B2 (en) * | 2006-09-25 | 2010-03-09 | Futurewei Technologies, Inc. | Multi-component compatible data architecture |
| US8660152B2 (en) | 2006-09-25 | 2014-02-25 | Futurewei Technologies, Inc. | Multi-frame network clock synchronization |
| US7813271B2 (en) * | 2006-09-25 | 2010-10-12 | Futurewei Technologies, Inc. | Aggregated link traffic protection |
| US7986700B2 (en) | 2006-09-25 | 2011-07-26 | Futurewei Technologies, Inc. | Multiplexed data stream circuit architecture |
| CN101578794B (zh) * | 2007-01-26 | 2012-12-12 | 华为技术有限公司 | 数据通信装置及网络组件 |
| US7876940B2 (en) * | 2007-01-30 | 2011-01-25 | International Business Machines Corporation | Universal image processing |
| US8238624B2 (en) * | 2007-01-30 | 2012-08-07 | International Business Machines Corporation | Hybrid medical image processing |
| JP4337884B2 (ja) * | 2007-01-31 | 2009-09-30 | 株式会社日立製作所 | インバータ制御装置 |
| US8462369B2 (en) * | 2007-04-23 | 2013-06-11 | International Business Machines Corporation | Hybrid image processing system for a single field of view having a plurality of inspection threads |
| US8331737B2 (en) * | 2007-04-23 | 2012-12-11 | International Business Machines Corporation | Heterogeneous image processing system |
| US8326092B2 (en) * | 2007-04-23 | 2012-12-04 | International Business Machines Corporation | Heterogeneous image processing system |
| US8675219B2 (en) * | 2007-10-24 | 2014-03-18 | International Business Machines Corporation | High bandwidth image processing with run time library function offload via task distribution to special purpose engines |
| US9135073B2 (en) | 2007-11-15 | 2015-09-15 | International Business Machines Corporation | Server-processor hybrid system for processing data |
| US20090132582A1 (en) * | 2007-11-15 | 2009-05-21 | Kim Moon J | Processor-server hybrid system for processing data |
| US20090150556A1 (en) * | 2007-12-06 | 2009-06-11 | Kim Moon J | Memory to storage communication for hybrid systems |
| US9332074B2 (en) * | 2007-12-06 | 2016-05-03 | International Business Machines Corporation | Memory to memory communication and storage for hybrid systems |
| US8229251B2 (en) * | 2008-02-08 | 2012-07-24 | International Business Machines Corporation | Pre-processing optimization of an image processing system |
| US8379963B2 (en) * | 2008-03-28 | 2013-02-19 | International Business Machines Corporation | Visual inspection system |
| EP2119612B1 (en) * | 2008-05-16 | 2013-09-11 | Hitachi, Ltd. | Monitoring a status of nodes of a communication network |
| FR2944612A3 (fr) * | 2009-04-15 | 2010-10-22 | Renault Sas | Architecture de commande electronique d'un vehicule automobile. |
| JP5651442B2 (ja) * | 2010-11-29 | 2015-01-14 | 矢崎総業株式会社 | 動作支援装置、電子機器、電子制御装置、及び、制御システム |
| US10019292B2 (en) | 2015-12-02 | 2018-07-10 | Fts Computertechnik Gmbh | Method for executing a comprehensive real-time computer application by exchanging time-triggered messages among real-time software components |
| US10481963B1 (en) * | 2016-06-29 | 2019-11-19 | Amazon Technologies, Inc. | Load-balancing for achieving transaction fault tolerance |
Family Cites Families (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4569015A (en) * | 1983-02-09 | 1986-02-04 | International Business Machines Corporation | Method for achieving multiple processor agreement optimized for no faults |
| US5325518A (en) * | 1991-04-02 | 1994-06-28 | Carnegie Mellon University | Adaptive distributed system and method for fault tolerance |
| DE19509558A1 (de) * | 1995-03-16 | 1996-09-19 | Abb Patent Gmbh | Verfahren zur fehlertoleranten Kommunikation unter hohen Echtzeitbedingungen |
| DE19753288A1 (de) * | 1996-12-03 | 1998-06-04 | Fts Computertechnik Gmbh | Effizientes Quittungsverfahren in einem verteilten zeitgesteuerten Echtzeitsystem |
| US6092213A (en) * | 1997-09-30 | 2000-07-18 | Tandem Computers Incorporated | Fault tolerant method of maintaining and distributing configuration information in a distributed processing system |
| GB2353113B (en) * | 1999-08-11 | 2001-10-10 | Sun Microsystems Inc | Software fault tolerant computer system |
-
2002
- 2002-03-27 DE DE50208001T patent/DE50208001D1/de not_active Expired - Lifetime
- 2002-03-27 WO PCT/AT2002/000094 patent/WO2002079972A2/de active IP Right Grant
- 2002-03-27 AU AU2002240697A patent/AU2002240697A1/en not_active Abandoned
- 2002-03-27 JP JP2002578131A patent/JP3973560B2/ja not_active Expired - Lifetime
- 2002-03-27 EP EP02706511A patent/EP1374052B1/de not_active Expired - Lifetime
-
2003
- 2003-09-19 US US10/665,583 patent/US7023870B2/en not_active Expired - Lifetime
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2012025390A (ja) * | 2005-10-03 | 2012-02-09 | Hitachi Automotive Systems Ltd | 車両制御システム |
Also Published As
| Publication number | Publication date |
|---|---|
| US7023870B2 (en) | 2006-04-04 |
| WO2002079972A2 (de) | 2002-10-10 |
| JP3973560B2 (ja) | 2007-09-12 |
| DE50208001D1 (de) | 2006-10-12 |
| US20040062265A1 (en) | 2004-04-01 |
| EP1374052A2 (de) | 2004-01-02 |
| AU2002240697A1 (en) | 2002-10-15 |
| EP1374052B1 (de) | 2006-08-30 |
| WO2002079972A3 (de) | 2003-09-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2004533043A (ja) | 分散コンピュ−タシステムのオペレーション方法 | |
| US7103000B1 (en) | Method for coordinating network components | |
| CN110750480B (zh) | 一种双机热备系统 | |
| AU2002231167B2 (en) | Method of "split-brain" prevention in computer cluster systems | |
| EP3285168B1 (en) | Disaster tolerance method and apparatus in active-active cluster system | |
| JP4457184B2 (ja) | ストレージシステムにおけるフェイルオーバー処理 | |
| EP2053780B1 (en) | A distributed master and standby managing method and system based on the network element | |
| US20070288585A1 (en) | Cluster system | |
| CN112181660A (zh) | 一种基于服务器集群的高可用方法 | |
| US9231779B2 (en) | Redundant automation system | |
| JP5707355B2 (ja) | ホットスタンバイ方式によるクライアントサーバシステム | |
| US20060075085A1 (en) | Method and a system for ensuring a bus and a control server | |
| US11874786B2 (en) | Automatic switching system and method for front end processor | |
| KR20030048503A (ko) | 이중화 서버 구조의 데이터 동기화를 위한 통신 시스템 및방법 | |
| JP3555047B2 (ja) | 複合コンピュータシステム | |
| WO2023007209A1 (en) | Fault-tolerant distributed computing for vehicular systems | |
| GB2345153A (en) | Fault-tolerant microcontroller arrangement, eg for a vehicle braking system | |
| CN109491236B (zh) | 用于运行高可用性的自动化系统的方法 | |
| JPH05225161A (ja) | ネットワーク監視方式 | |
| JP2006229512A (ja) | サーバ切替方法，サーバ及びサーバ切替プログラム | |
| Pimentel et al. | A fault management protocol for TTP/C | |
| JPH05304528A (ja) | 多重化通信ノード | |
| JP6653250B2 (ja) | 計算機システム | |
| KR20060105045A (ko) | 공간적으로 분리된 스위칭 시스템들을 백업 스위칭하기위한 방법 | |
| JP2885583B2 (ja) | 通信手順制御システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050310 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20060809 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060829 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20061124 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070612 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070612 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 3973560 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100622 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110622 Year of fee payment: 4 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110622 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120622 Year of fee payment: 5 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120622 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130622 Year of fee payment: 6 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| EXPY | Cancellation because of completion of term |