JP2013531402A - フォールトトレラントなタイムトリガ方式のリアルタイム通信のための方法および装置 - Google Patents

Abstract

本発明の目的は、分散型のリアルタイムシステムのフォールトトレラントな通信システムにおいてフォールトトレラントなグローバル時間を確立することである。このために、４つの独立したスイッチングユニット２１１、２１２、２１３、２１４を有するフォールトトレラントなメッセージスイッチングユニット２００が設けられている。それら４つの独立したスイッチングユニット２１１、２１２、２１３、２１４はともに１つのフォールトトレラントな時間を確立する。エンドシステム２２１、２２２が２つの独立したフェールサイレントな通信チャネル２５１、２５２、２５３、２５４によってフォールトトレラントなメッセージスイッチングユニット２００に接続されており、それにより、フォールトトレラントなメッセージスイッチングユニット２００の一部または通信チャネルに障害がある場合であっても、クロック同期およびネットワークコネクションは維持される。
【選択図】図２

Description

本発明は、フォールトトレラントなタイムトリガ方式の通信を行い、分散型のリアルタイムコンピュータシステムの通信システムにおいて、既知の精度のフォールトトレラントなグローバル時間を確立するための方法および装置に関する。

分散型のリアルタイムシステムは、複数の計算ノードと、アプリケーションソフトウェアが実行されるエンドシステムと、このエンドシステムのメッセージを相互に交換する一般的な通信システムとから構成されている。分散型のリアルタイムシステムにおいては、エンドシステムがリアルタイム情報の時間的な有効性を検査し、かつ、同期された分散的なアクションを実行できるようにするために、フォールトトレラントで精度の良いグローバル時間ベースが確立されなければならない。フォールトトレラントなグローバル時間ベースの確立は煩雑な同期アルゴリズムの実施を必要とする。この同期タスクによるエンドシステムの負荷を軽減するために、本発明によれば分散型のフォールトトレラントなクロック同期が一般的な通信システムにおいて実施され、それによってエンドシステムには単純でフォールトトレラントなマスタ・スレーブ同期（非特許文献１の第３章を参照されたい）を介してグローバル時間を供給することができる。

特許文献１から４に開示されている方法のような公知の多数のクロック同期方法は、グローバル時間を確立するためにエンドシステムのクロックを使用している。これを達成するためには、エンドシステムにおいて煩雑な同期アルゴリズムが実施されなければならない。本発明によれば、フォールトトレラントな時間はエンドシステムにおいてではなく、通信システム内で確立される。このために、フォールトトレラントなスイッチングユニット（フォールトトレラントなスイッチ）が提供される。このフォールトトレラントなスイッチングユニットは独立した４つのスイッチングユニットを含んでおり、各スイッチングユニットは自律的な障害封じ込めユニット（Ｆａｕｌｔ−Ｃｏｎｔａｉｎｍｅｎｔ Ｕｎｉｔ：ＦＣＵ）を形成している。それら４つのスイッチングユニットは、メッセージの交換によって、ともに１つのフォールトトレラントな時間ベースを確立する。４つのスイッチングユニットのうちのそれぞれ２つのスイッチングユニットが１つのスイッチペアを形成し、したがってフォールトトレラントなスイッチングユニットには２つのスイッチペアが含まれている。スイッチペアの２つのスイッチングユニットはそれぞれ周期的に同期メッセージを比較器に送信する。この比較器は、受信した２つの同期メッセージがほぼ同時に到来し、かつ、内容的に同一である場合にのみ同期メッセージをエンドシステムに転送する。フォールトトレラントなスイッチングユニットには２つのスイッチペアが設けられているので、この方法によって一方のスイッチペアにおける任意の障害が許容される。

以下では、フォールトトレラントな通信およびフォールトトレラントなクロック同期のための新規の方法の詳細な経過を図面に基づき詳細に説明する。

欧州特許第１５１２２５４号（２００５年５月１０日出願）： Ｚｅｉｔｇｅｓｔｅｕｅｒｔｅｓ （Ｔｉｍｅ−Ｔｒｉｇｇｅｒｅｄ（ＴＴ）） Ｅｔｈｅｒｎｅｔ 欧州特許第２１４５４３１号（２００８年４月７日出願）：Ｋｏｍｍｕｎｉｋａｔｉｏｎｓｖｅｒｆａｈｒｅｎ ｕｎｄ Ａｐｐａｒａｔ ｚｕｒ ｅｆｆｉｚｉｅｎｔｅｎ ｕｎｄ ｓｉｃｈｅｒｅｎ Ｕｅｂｅｒｔｒａｇｕｎｇ ｖｏｎ ＴＴ−Ｅｔｈｅｒｎｅｔ Ｎａｃｈｒｉｃｈｔｅｎ 米国特許第７，３３４，０１４号（２００８年２月１９日出願）：Ｃｏｎｓｉｓｔｅｎｔ ｔｉｍｅ Ｓｅｒｖｉｃｅ ｆｏｒ ｆａｕｌｔ−ｔｏｌｅｒａｎｔ ｄｉｓｔｒｉｂｕｔｅｄ Ｓｙｓｔｅｍｓ 米国特許第７，６４９，９１２号（２０１０年１月１９日出願）：Ｔｉｍｅ ｓｙｎｃｈｒｏｎｉｚａｔｉｏｎ、ｄｅｔｅｒｍｉｎｉｓｔｉｃ ｄａｔａ ｄｅｌｉｖｅｒｙ ａｎｄ ｒｅｄｕｎｄａｎｃｙ ｆｏｒ ｃａｓｃａｄｅｄ ｎｏｄｅｓ ｏｎ ｆｕｌｌ ｄｕｐｌｅｘ Ｅｔｈｅｒｎｅｔ ｎｅｔｗｏｒｋｓ

ＢｏｓｔｏｎのＫｌｕｗｅｒ Ａｃａｄｅｍｉｃ Ｐｕｂｌｉｓｈｅｒｓ社より１９９７年に出版されたＫｏｐｅｔｚ、Ｈ．のＲｅａｌ−Ｔｉｍｅ Ｓｙｓｔｅｍｓ、Ｄｅｓｉｇｎ Ｐｒｉｎｃｉｐｌｅｓ ｆｏｒ Ｄｉｓｔｒｉｂｕｔｅｄ Ｅｍｂｅｄｄｅｄ Ａｐｐｌｉｃａｔｉｏｎｓ； ＩＳＢＮ：０−７９２３−９８９４−７

本発明の課題は、複数のエンドシステムと、１つのフォールトトレラントなスイッチまたはそれぞれ少なくとも２つの通信チャネルを介して接続されている複数のフォールトトレラントなスイッチとを使用して、フォールトトレラントなクロック同期およびフォールトトレラントなタイムトリガ方式のリアルタイム通信を行う方法によって解決される。この方法では、各フォールトトレラントなスイッチは第１のスイッチペアおよび第２のスイッチペアを含んでおり、第１のスイッチペアは第１のスイッチおよび第２のスイッチを含んでおり、第２のスイッチペアは第３のスイッチおよび第４のスイッチを含んでおり、４つのスイッチはそれぞれ通信チャネルを介して他の３つのスイッチと接続されており、４つのスイッチは既知のメッセージベースの内部的でフォールトトレラントな同期アルゴリズムによって、通信チャネルを介して、既知の精度を有するフォールトトレラントで内部グローバル時間ベースを確立し、複数のエンドシステムはそれぞれ、１つのエンドシステムに対応付けられている比較器を介して、２つのスイッチペアに接続することができ、第１のエンドシステムはそれぞれ、１つのエンドシステムに送信すべきメッセージのコピーを、第１の通信チャネルを介して第１のスイッチペアに送信し、かつ、第２の通信チャネルを介して第２のスイッチペアに送信し、第１の比較器は到来したメッセージを、通信チャネルを介して第１のスイッチに送信し、かつ、通信チャネルを介して第２のスイッチに送信し、第３の比較器は到来したメッセージを、通信チャネルを介して第３のスイッチに送信し、かつ、通信チャネルを介して第４のスイッチに送信し、４つのスイッチは到来したメッセージを交換し、１つのメッセージが第２のエンドシステムにアドレッシングされている場合には、スイッチはメッセージのそれぞれ１つのコピーを、通信チャネルを介して第２のエンドシステムに対応付けられている第２の比較器に送信し、第２の比較器は、時間的に最初のメッセージが到来した直後に期間Ｄの時間窓を開き、期間Ｄ内にメッセージの第２のコピーが第２の比較器に到来しない場合には、該第２の比較器はメッセージを廃棄し、期間Ｄ内にメッセージの第２のコピーが到来した場合には、第２の比較器は２つのメッセージをビット毎に比較し、該比較によりビットエラーが明らかになると、メッセージ伝送を中断してメッセージを廃棄し、２つのメッセージ全てのビットが同一である場合には、完全なメッセージを第２の通信チャネルを介して第２のエンドシステムに送信し、第２のスイッチペアも同様に機能し、したがって障害のない場合にはエンドシステムにメッセージの検査された２つのコピーが到来し、２つのスイッチペアのうちの一方に障害がある場合、または、２つのスイッチペアのうちの一方が障害を識別し、前記メッセージを廃棄した場合には、正確なメッセージが依然として第２のエンドシステムに到来し、フォールトトレラントなスイッチはエンドシステムから受信したメッセージの他に、スイッチにおいて生成された２つの同期メッセージを接続されている全てのエンドシステムに周期的に送信し、ただし一方の同期メッセージは第１のスイッチペアから送信し、他方の同期メッセージは第２のスイッチペアから送信し、同期メッセージがエンドシステムに到来する時点は、該同期メッセージのデータフィールドに包含されている時点に対応する。

好適には、２つのスイッチペアが空間的に相互に離れて配置されている。

本方法の１つの変形実施形態においては、クロック同期の枠内で署名されたメッセージが使用される。

別の変形実施形態においては、フォールトトレラントなスイッチが外部同期メッセージの受信後に、自身の内部同期時間を、外部同期メッセージによって設定された時間に合わせる。

好適には、スイッチはメッセージを数ビット長分だけ遅延させ、それらのメッセージをカットスルー（ｃｕｔ−ｔｈｒｏｕｇｈ）方式で比較器に伝送する。

本発明の１つの変形実施形態においては、比較器がメッセージを数ビット長分だけ遅延させ、それらのメッセージをエラーフリーカットスルー（ｅｒｒｏｒ−ｆｒｅｅ−ｃｕｔ−ｔｈｒｏｕｇｈ）方式でエンドシステムに伝送する。

有利には、フォールトトレラントなスイッチに接続されているエンドシステムは、エネルギ制御方式のメッセージ、帯域幅制限方式のメッセージまたはタイムトリガ方式のメッセージを組み合わせて送信する。

スイッチには、エンドシステムの許可された時間特性に関する先験的なスケジューリング情報がロードされ、それによってスイッチはエンドシステムのフォールトトレラントな時間特性を識別することができる。

有利には、スイッチにおける先験的なスケジューリング情報には送信側の電子署名が付与される。

さらに好適には、スイッチにおける先験的なスケジューリング情報が暗号化される。

本発明の１つの変形実施形態においては、先験的なスケジューリング情報を動作中に動的に変更することができる。

好適には、比較器が多重化方法で動作する。

本発明の別の変形実施形態においては、通信チャネルにおける種々の信号伝播時間がスイッチペアによって補償される。

有利には、エンドシステムによって生成および使用されるメッセージはイーサネット規格に準拠する。

さらに本発明の課題は、１つのフォールトトレラントなスイッチまたは、それぞれが少なくとも２つの通信チャネルを介して接続されている複数のフォールトトレラントなスイッチから構成されており、各フォールトトレラントなスイッチが２つのスイッチペアを含んでおり、第１のスイッチペアが第１のスイッチおよび第２のスイッチを含んでおり、第２のスイッチペアが第３のスイッチおよび第４のスイッチを含んでおり、４つのスイッチのそれぞれが通信チャネルを介して他の３つのスイッチと接続されており、また複数のエンドシステムをそれぞれ、各エンドシステムに対応付けられている１つの専用の比較器を介して２つのスイッチペアに接続することができる、フォールトトレラントなタイムトリガ方式のリアルタイム通信のための装置によって解決され、この装置においては上記の方法の１つまたは複数のステップが実現される。

要約
本発明は、分散型のリアルタイムシステムのフォールトトレラントな通信システムにおいて、フォールトトレラントなグローバル時間を確立することを目的としている。このために、４つの独立したスイッチングユニットから構成されたフォールトトレラントなメッセージ交換ユニットが設けられている。それら４つの独立したスイッチングユニットはともに１つのフォールトトレラントな時間を確立する。エンドシステムは２つの独立したフェールサイレントな通信チャネルを介して１つのフォールトトレラントなメッセージ交換ユニットに接続されており、それにより、フォールトトレラントなスイッチングユニットの一部または１つの通信チャネルに障害が発生した場合でも、クロック同期およびネットワークコネクションが維持される。
本発明の上記の目的および他の新規の特性を添付の図面に基づき説明する。

複数のフォールトトレラントなスイッチングユニットから構成されているフォールトトレラントな通信システムの構造の例を示す図である。 フォールトトレラントなスイッチングユニットの内部構造を示す図である。

以下の記述においては、３つのスイッチと複数のエンドシステムを備えている実施例について、新規の方法の可能な実現形態を説明する。この実施例は、特許請求の範囲に記載されている方法の多数の可能な実現形態のうちの１つの具体的な例を示す。

図１は、３つのフォールトトレラントなスイッチングユニット１０１、１０２および１０３（以下ではスイッチと記す）と８つのエンドシステム１１１〜１１８とを備えている構成を示す。エンドシステムは分散型リアルタイムアプリケーションの一部が実行される計算ノードである。３つのスイッチ１０１、１０２および１０３はそれぞれ２つの通信チャネル１２１および１２２を用いて相互に接続されている。これは、一方の通信チャネルの障害が許容されなければならないことに起因する。各スイッチ、例えばスイッチ１０１は２つのスイッチペア１５１および１５２を含んでおり、各スイッチペアは２つのスイッチから構成されている。各スイッチは自律的な障害封じ込めユニット（Ｆａｕｌｔ−Ｃｏｎｔａｉｎｍｅｎｔ Ｕｎｉｔ：ＦＣＵ）を形成している。エンドシステム１１１は通信チャネル１２１を介してフォールトトレラントなスイッチ１０１の左側のスイッチペア１５１と接続されており、かつ、通信チャネル１２２を介してフォールトトレラントなスイッチ１０１の右側のスイッチペア１５２と接続されている。同様に、他のエンドシステム１１２〜１１８もそれぞれ、一方の通信チャネルを介してフォールトトレラントなスイッチの一方のスイッチペアと接続されており、かつ、他方の通信チャネルを介してフォールトトレラントなスイッチの他方のスイッチペアと接続されている。

図２はフォールトトレラントなスイッチ２００の内部構造を示す。１つのスイッチに接続することができるエンドシステムの数ｎは本発明によって規定されず、フォールトトレラントなスイッチの具体的な構造に依存している。典型的には、ｎは８から１６である。例えば、フォールトトレラントなスイッチ１０１においては上側および下側にそれぞれ４つのエンドシステムを接続することができる。図２を簡単にするために、フォールトトレラントなスイッチ２００にはエンドシステムは２つだけ、すなわち第１のエンドシステム２２１と第２のエンドシステム２２２だけが示されている。

フォールトトレラントなスイッチ２００は２つのスイッチペア２０１および２０２から構成されている。第１のスイッチペア２０１は２つの（フォールトトレラントではない）スイッチ２１１および２１３、すなわち第１のスイッチ２１１および第２のスイッチ２１３と、比較器２３１および２３３、すなわち第１の比較器２３１および第２の比較器２３３とから構成されている。第２のスイッチペア２０２は２つの（フォールトトレラントではない）スイッチ２１２および２１４、すなわち第３のスイッチ２１２および第４のスイッチ２１４と、比較器２３２および２３４、すなわち第３の比較器２３２および第４の比較器２３４とから構成されている。

したがって各エンドシステムには２つの比較器が、すなわち右側のスイッチペアと左側のスイッチペアから比較器が１つ割り当てられている。本発明によれば、比較器を多重化することもでき、その場合には、ｎ個のエンドシステム２２１または２２２に対してｎ個の入出力端２５１または２５２を備えた比較器がスイッチペア内にそれぞれ１つずつ設けられている。４つのスイッチ２１１、２１２、２１３、２１４はそれぞれ１つの自律的な障害封じ込めユニット（Ｆａｕｌｔ−Ｃｏｎｔａｉｎｍｅｎｔ Ｕｎｉｔ：ＦＣＵ）を形成している。４つのスイッチ２１１、２１２、２１３、２１４は通信チャネル２４０、２４１を介して相互に接続されている。

第１のスイッチ２１１を例にして説明する。第１のスイッチ２１１は通信チャネル２４０を介して、水平方向および垂直方向において隣接しているスイッチ、ここでは第２のスイッチ２１３および第３のスイッチ２１２と接続されており、それらの２つのスイッチ２１３および２１４を介して第４のスイッチ２１４と接続されている。または、第１のスイッチ２１１は通信チャネル２４１を介して第４のスイッチ２１４と接続されており、また、この第４のスイッチ２１４もしくは相応の通信チャネル２４０、２４１を介して別のスイッチと接続されている。さらには、第１のスイッチ２１１を図２に示されているように通信チャネル２４０を介して、水平方向および垂直方向において隣接しているスイッチ（第２のスイッチ２１３および第３のスイッチ２１２）と接続し、かつ、通信チャネル２４１を介して第４のスイッチ２１４と接続することもできる。

つまり、少なくとも複数の通信チャネル２４０が設けられているが、通信チャネル２４１は省略することができる（下記を参照されたい）。

それらの通信チャネル２４０および２４１を介して周期的に内部同期メッセージが交換され、それにより、既知の精度Ｐを有するフォールトトレラントな内部グローバル時間を確立することができる。このことは、例えば非特許文献１の第３章において説明されているように、内部クロック同期のためのフォールトトレラントでメッセージベースのクロック同期アルゴリズムを用いて行われる。

本発明によれば、内部同期メッセージに送信器の電子署名が付されていれば、２つのコネクション２４１は不要である。セキュリティが重要な用途においては、空間内の一個所において生じる障害（ｓｐａｔｉａｌ ｐｒｏｘｉｍｉｔｙ ｆａｕｌｔ）を許容できるようにするために、フェールトレラントなスイッチを形成している２つのスイッチペア２０１および２０２を空間的に離して配置することが有利である。そのような場合、有利には、スイッチペア間の接続線路の数が２つのチャネル２４０に低減される。

選択されたスイッチ、例えば図１のスイッチ１０３、またはＧＰＳ時間受信器のようなタイムソースを備えているエンドシステムは、接続されているスイッチに外部の時間ベースを設定することができる。このことは、外部の時間を含んでいる外部同期メッセージを介して行なわれる。その種の外部同期メッセージの受信後に、受信側のフォールトトレラントなスイッチは自身の内部クロックを、その設定された外部の時間に適合させて同期を取らなければならない。外部のタイムソースが存在しない場合には、フォールトトレラントな内部同期アルゴリズムがグローバル時間を維持する。スイッチ２１１、２１２、２１３、２１４のクロックの経過を外部の時間の経過に動的に適合させるためにも外部のタイムソースを使用することができる。

第１のエンドシステム２２１がメッセージを第２のエンドシステム２２２に送信することを意図している場合、このメッセージは第１の通信チャネル２５１を介して第１のスイッチペア２０１における第１の比較器２３１に、また第３の通信チャネル２５３を介して第２のスイッチペア２０２における第３の比較器２３２にパラレルで送信される。このメッセージのフォーマットを所定の規格、例えば広く知られたイーサネット規格またはＡＦＤＸ規格に対応させることができるが、スイッチ２１１、２１２、２１３、２１４からのメッセージを高速なカットスルー（ｃｕｔ−ｔｈｒｏｕｇｈ）方式で交換できるようにするために、メッセージのヘッダ内にアドレス情報を包含していなければならないことを規定している他の任意の規格に対応させることもできる。

メッセージを第１のエンドシステム２２１からタイムトリガ方式、帯域幅制限方式、または、エネルギ制御方式で送信することができる。タイムトリガ方式のメッセージの場合、スイッチ２１１、２１２、２１３、２１４には先験的に、エンドシステムからのタイムトリガ方式のメッセージの送信が許可された時点を設定しているスケジューリング情報を供給することができる。その場合、第１のエンドシステム２２１から誤った時点で送信されたタイムトリガ方式のメッセージをスイッチ２１１、２１２、２１３、２１４によって識別し、拒絶することができる。帯域幅制限方式のメッセージの場合、スイッチ２１１、２１２、２１３、２１４には先験的に、帯域幅制限方式のメッセージの送信が許可された帯域幅を設定しているスケジューリング情報を供給することができる。第１のエンドシステム２２１から送信された帯域幅制限方式のメッセージが許可された帯域幅を超える場合、スイッチ２１１、２１２、２１３、２１４は更なるメッセージの受信を拒否することができる。

計画システムからメッセージが伝送される前にスイッチ２１１、２１２、２１３、２１４に送信される先験的なスケジューリング情報に電子証明を付与することができ、それによってスイッチ２１１、２１２、２１３、２１４は、それらの情報が権限のある計画システムに由来するものであるか否かを検査することができる。択一的に、スケジューリング情報を暗号化して送信することもできる。先験的なスケジューリング情報を、新たなスケジューリング情報と、その新たなスケジューリング情報を何時から使用できるかを表す時点とを有する新たなメッセージの送信によって、動作中にダイナミックに変更することができる。

以下では、第１のスイッチペア２０１におけるメッセージ処理を詳細に説明する。第１の通信チャネル２５１から第１の比較器２３１に到来したメッセージは、この第１の比較器２３１から通信チャネル２４２を介して第１のスイッチに、また通信チャネル２４３を介して第２のスイッチ２１３に交換のために転送される。メッセージのヘッダに含まれるアドレス情報に基づいて、メッセージが第１のスイッチ２１１から通信チャネル２４４を介して、また第２のスイッチ２１３から通信チャネル２４５を介して、アドレッシングされた比較器（この例においては第２の比較器２３３）に転送される。２つのスイッチ２１１または２１３の一方から第２の比較器２３３にアドレッシングされた時間的に最初のメッセージがその第２の比較器２３３に到来すると直ちに、第２の比較器２３３は先験的に設定された期間Ｄの時間窓を開く。この時間窓Ｄ内に第１のスイッチペア２０１の他方のスイッチからの時間的に２番目のメッセージが到来しない場合には、比較器は最初の第１のメッセージを廃棄し、したがって（２番目のメッセージが到来した場合には）２番目のメッセージも廃棄する。この時間窓Ｄ内に第１のスイッチペア２０１の他方のスイッチからの２番目のメッセージが到来すると、第２の比較器２３３は２つのメッセージをビット毎に比較し、それら２つのメッセージをアドレッシングされた（第２の）エンドシステム２２２へと第２の通信チャネル２５２を介して直ちに転送する。２つのメッセージのこの比較をエラーフリーカットスルー（ｅｒｒｏｒ−ｆｒｅｅ−ｃｕｔ−ｔｈｒｏｕｇｈ）方式で実施することができる。すなわち、到来したビットストリームが第２の比較器２３３において短時間だけ遅延され、連続的に比較され、ビット比較が正しい場合には直ちに転送される。障害時には、（第２の）エンドシステム２２２へのビットストリームが中断される。各メッセージはＣＲＣを包含しているので、（第２の）エンドシステム２２２は中断されたメッセージを識別して廃棄することができる。

第２の比較器２３３におけるメッセージの所要の遅延時間はクロック同期の精度Ｐに依存している。このクロック同期は実質的に同期周期の持続時間および使用される発振器の品質によって決定されている。比較器に記憶されなければならないビット数は精度Ｐおよびデータ伝送の帯域幅に依存している。

比較器２３１、２３２、２３３、２３４は、完全なメッセージを比較器に記憶する必要がなく、またどのようにしてメッセージの正確なＣＲＣフィールドを形成できるかに関する情報を比較器が必要としないように設計されている。したがって、欠陥のある比較器が、構文上は正確であるが内容的には誤りのあるメッセージを形成したり、または、構文上は正確であるが内容的には誤りのあるメッセージを、第１のスイッチ２１１もしくは第３のスイッチ２１２によって生成された時点とは異なる時点に送信したりする可能性はまず起こりえない。つまり、４つ全てのサブシステム２３１、２１１、２１３および２３３がエラーなしで機能し、かつ、チャネル２５１、２４２、２４３、２４４、２４５および２５２を介するメッセージ伝送がエラーなしで実行される場合にのみ、構文上正確なメッセージが第１のスイッチペア２０１から（第２の）エンドシステム２２２へと第２の通信チャネル２５２を介して転送される。これによって、第１のスイッチペア２０１は第２の通信チャネル２５２においてフェールサイレント（ｆａｉｌ−ｓｉｌｅｎｔ）な抽象概念を実現する。つまり、値領域および時間領域において正しいメッセージが生成されるか、またはメッセージは生成されない。第２のスイッチペア２０２は第１のスイッチペア２０１と同様に機能する。

エンドシステムから受信したメッセージの他に、フォールトトレラントなスイッチ２００は、内部で生成した２つの同期メッセージを接続されている全てのエンドシステムに周期的に送信する。その際に、左側の（第１の）スイッチペア２０１からの第１の通信チャネル２５１および第２の通信チャネル２５２を介する同期メッセージの送信と、右側の（第２の）スイッチペアからの第３の通信チャネル２５３および第４の通信チャネル２５４を介する第２の同期メッセージの送信とがほぼ同時に行なわれる。エンドシステムに同期メッセージが到来する時点は、同期メッセージのデータフィールドに包含されている時点と一致する。通信チャネル２５１、２５２、２５３、２５４における信号伝播時間は、それらの通信チャネルにおける信号伝播時間の異なる長さに起因して異なっていることから、エンドシステムに同期メッセージが到来する時点の修正が必要になる可能性がある。この修正をエンドシステムまたはスイッチペア２０１、２０２において実施することができる。

したがって、エラーのない場合には（第２の）エンドシステム２２２は２つの正確な同期メッセージ、すなわち（第２の）通信チャネル２５２を介して送信された一方の同期メッセージと、（第４の）通信チャネル２５４を介して送信された他方の同期メッセージとを受信し、それら２つの同期メッセージの到来時点は最大で精度Ｐ分だけ異なっている。一方のスイッチペアにおいてエラーが発生しても、（第２の）エンドシステム２２２は依然として正確な同期メッセージを受信している。

本発明は、標準的なコンポーネント、すなわちセルフチェック特性を備えていないコンポーネントを用いて、フォールトトレラントな時間ベースを確立し、またフォールトトレラントなスイッチを構成することができる。このフォールトトレラントなスイッチは任意の障害を障害封じ込めユニット（Ｆａｕｌｔ−Ｃｏｎｔａｉｎｍｅｎｔ Ｕｎｉｔ：ＦＣＵ）において許容することができる。図２においては、以下のサブシステム、すなわち４つのスイッチ２１１、２１２、２１３、２１４および４つの比較器２３１、２３２、２３３、２３４が障害封じ込めユニットである。後者のサブシステム、つまり比較器はエンドシステムへのメッセージの出力端の前段に配置されていることを特記しておく。上記の構造的な措置によって、比較器自体にセルフチェックを実施するチェッカーを設ける必要がないにもかかわらず、障害のある比較器が構文上は適切であるが、内容的には誤りのあるメッセージを生成することを排除することができる。

フォールトトレラントなクロック同期を含む、フォールトトレラントなスイッチの本発明による構造によって、以下に記載する非常に経済的な別の利点が得られる。

・障害時に誤った結果が出されることが回避される。この特性はセキュリティが重要なシステムにおいては非常に重要である。

・障害が許容されることによって、フォールトトレラントなスイッチの信頼性が、フォールトトレラントでないスイッチに比べて遙かに改善される。

・クロック同期アルゴリズムは、一度だけ開発、テストおよび認証されれば良く、またそのようなクロック同期アルゴリズムを複数の用途に使用することができる。

・フォールトトレラントなクロック同期をエンドシステムから通信システムに移行させることによって、エンドシステムを非常に簡単かつ廉価に実施することができる。

・通信システムにおけるクロック同期の一般的な解決手段はＶＬＳＩチップにおいて非常に廉価に実施することができる。

Claims (15)

1. 複数のエンドシステム（２２１、２２２）と、１つのフォールトトレラントなスイッチまたはそれぞれ少なくとも２つの通信チャネルを介して接続されている１つまたは複数のフォールトトレラントなスイッチ（２００）とを使用して、フォールトトレラントなクロック同期およびフォールトトレラントなタイムトリガ方式のリアルタイム通信を行う方法において、
   各フォールトトレラントなスイッチ（２００）は第１のスイッチペア（２０１）および第２のスイッチペア（２０２）を含んでおり、
   前記第１のスイッチペア（２０１）は第１のスイッチ（２１１）および第２のスイッチ（２１３）を含んでおり、前記第２のスイッチペア（２０２）は第３のスイッチ（２１２）および第４のスイッチ（２１４）を含んでおり、
   前記４つのスイッチ（２１１、２１２、２１３、２１４）はそれぞれ通信チャネル（２４０、２４１）を介して他の３つのスイッチと接続されており、
   前記４つのスイッチは既知のメッセージベースの内部的でフォールトトレラントな同期アルゴリズムによって、前記通信チャネル（２４０、２４１）を介して、既知の精度（Ｐ）を備えるフォールトトレラントな内部グローバル時間ベースを確立し、
   複数のエンドシステム（２２１、２２２）はそれぞれ、１つのエンドシステムに割り当てられている比較器を介して、２つのスイッチペア（２０１、２０２）に接続することができ、
   第１のエンドシステム（２２１）はそれぞれ、１つのエンドシステムに送信すべきメッセージのコピーを、第１の通信チャネル（２５１）を介して前記第１のスイッチペア（２０１）に送信し、かつ、第２の通信チャネル（２５３）を介して前記第２のスイッチペア（２０２）に送信し、
   第１の比較器（２３１）は到来した前記メッセージを、通信チャネル（２４２）を介して前記第１のスイッチ（２１１）に送信し、かつ、通信チャネル（２４３）を介して前記第２のスイッチ（２１３）に送信し、
   第３の比較器（２３２）は到来した前記メッセージを、通信チャネル（２４６）を介して前記第３のスイッチ（２１２）に送信し、かつ、通信チャネル（２４７）を介して前記第４のスイッチ（２１４）に送信し、
   前記４つのスイッチは到来した前記メッセージを交換し、１つのメッセージが第２のエンドシステム（２２２）にアドレッシングされている場合には、スイッチ（２１１、２１３）は前記メッセージのそれぞれ１つのコピーを、通信チャネル（２４４、２４５）を介して前記第２のエンドシステム（２２２）に対応付けられている第２の比較器（２３３）に送信し、
   前記第２の比較器（２３３）は、時間的に最初のメッセージが到来した直後に期間Ｄの時間窓を開き、前記期間Ｄ内に前記メッセージの第２のコピーが前記第２の比較器（２３３）に到来しない場合には、該第２の比較器（２３３）は前記メッセージを廃棄し、前記期間Ｄ内に前記メッセージの第２のコピーが到来した場合には、前記第２の比較器（２３３）は２つのメッセージをビット毎に比較し、
   該比較によりビットエラーが明らかになると、メッセージ伝送を中断してメッセージを廃棄し、前記２つのメッセージ全てのビットが同一である場合には、完全なメッセージを第２の通信チャネル（２５２）を介して前記第２のエンドシステム（２２２）に送信し、
   前記第２のスイッチペア（２０２）も同様に機能し、したがって障害のない場合にはエンドシステムにメッセージの検査された２つのコピーが到来し、２つのスイッチペア（２０１、２０２）のうちの一方に障害がある場合、または、２つのスイッチペア（２０１、２０２）のうちの一方が障害を識別し、前記メッセージを廃棄した場合には、正確なメッセージが依然として前記第２のエンドシステム（２２２）に到来し、
   前記フォールトトレラントなスイッチ（２００）は前記エンドシステムから受信した前記メッセージの他に、前記スイッチ（２００）において生成された２つの同期メッセージを接続されている全てのエンドシステムに周期的に送信し、ただし一方の同期メッセージは前記第１のスイッチペア（２０１）から送信し、他方の同期メッセージは前記第２のスイッチペア（２０２）から送信し、
   同期メッセージがエンドシステムに到来する時点は、該同期メッセージのデータフィールドに包含されている時点に対応することを特徴とする、方法。
2. 前記２つのスイッチペア（２０１、２０２）は空間的に相互に離れて配置されている、請求項１に記載の方法。
3. クロック同期の枠内で署名されたメッセージを使用し、したがって２つの前記通信チャネル（２４１）を省略する、請求項１または２に記載の方法。
4. フォールトトレラントなスイッチ（２００）は外部同期メッセージの受信後に、自身の内部同期時間を、前記外部同期メッセージによって設定された時間に合わせる、請求項１から３までのいずれか１項に記載の方法。
5. 前記スイッチ（２１１、２１２、２１３、２１４）は前記メッセージを数ビット長分だけ遅延させ、カットスルー方式で前記比較器（２３１、２３２、２３３、２３４）に伝送する、請求項１から４までのいずれか１項に記載の方法。
6. 前記比較器（２３１、２３２、２３３、２３４）は前記メッセージを数ビット長分だけ遅延させ、エラーフリーカットスルー方式で前記エンドシステムに伝送する、請求項１から５までのいずれか１項に記載の方法。
7. フォールトトレラントなスイッチ（２００）に接続されている前記エンドシステム（２２１、２２２）は、エネルギ制御方式のメッセージ、帯域幅制限方式のメッセージまたはタイムトリガ方式のメッセージを組み合わせて送信する、請求項１から６までのいずれか１項に記載の方法。
8. 前記スイッチ（２１１、２１２、２１３、２１４）に、前記端末システム（２２１、２２２）の許可された時間特性に関する先験的なスケジューリング情報をロードし、それによりスイッチは前記端末システムのフォールトトレラントな時間的な特性を識別する、請求項１から７までのいずれか１項に記載の方法。
9. 前記スイッチにおける請求項８に記載の先験的なスケジューリング情報に送信側の電子署名を付与する、請求項８に記載の方法。
10. 前記スイッチにおける請求項８に記載の先験的なスケジューリング情報を暗号化する、請求項８または９に記載の方法。
11. 請求項８に記載の先験的なスケジューリング情報を動作中に動的に変更する、請求項８から１０までのいずれか１項に記載の方法。
12. 前記比較器（２３１、２３２、２３３、２３４）を多重化方法で動作させる、請求項１から１１までのいずれか１項に記載の方法。
13. 前記通信チャネル（２５１、２５２、２５３、２５４）における異なる信号伝播時間を前記スイッチペア（２０１、２０２）によって補償する、請求項１から１２までのいずれか１項に記載の方法。
14. 前記エンドシステムによって生成および使用されるメッセージはイーサネット標準に準拠する、請求項１から１３までのいずれか１項に記載の方法。
15. １つのフォールトトレラントなスイッチまたはそれぞれが少なくとも２つの通信チャネルを介して接続されている複数のフォールトトレラントなスイッチから構成されたフォールトトレラントなタイムトリガ方式のリアルタイム通信のための装置において、
    各フォールトトレラントなスイッチ（２００）が２つのスイッチペア（２０１、２０２）を含んでおり、
    前記第１のスイッチペア（２０１）が第１のスイッチ（２１１）および第２のスイッチ（２１３）を含んでおり、
    前記第２のスイッチペア（２０２）が第３のスイッチ（２１２）および第４のスイッチ（２１４）を含んでおり、
    ４つのスイッチ（２１１、２１２、２１３、２１４）のそれぞれが通信チャネル（２４０、２４１）を介して他の３つのスイッチと接続されており、
    複数のエンドシステムをそれぞれ、各エンドシステムに対応付けられている１つの専用の比較器を介して前記２つのスイッチペア（２０１、２０２）に接続することができ、
    請求項１から１４のいずれか一項に記載の方法の１つまたは複数のステップが実現されることを特徴とする装置。

Images