JP3867047B2 - フォールト・トレラント計算機配列およびその作動方法 - Google Patents

Description

本発明は、互いにハードウェア的およびソフトウェア的、又はそのいずれか一方の方式で結び付けられた複数の計算機を含む計算機配列であって、計算機配列の外界に対する機能が計算機の１つまたは複数の故障により損なわれないように、または非本質的にしか損なわれない計算機配列（フォールト・トレラント計算機配列）に関する。

さらに本発明はこのような計算機配列を作動させるための方法に関する。

最近の社会では既に今日サービス、通信接続、監視課題などの多くがディジタル計算機を使用して実現される。例えばインターネットを介しての物品の注文が、少し前までは通常であった郵便による注文にとってかわりつつある。

このような注文過程ではカスタマはインターネットと接続されているカスタマのコンピュータを提供会社のサーバーを選ぶために利用し、そこに存在する注文ソフトウェアを注文契約に利用する。

カスタマは注文過程で、どのように多くの種々の計算機によりその注文過程が同時にまたは次々と処理されるかに気付かない。注文過程の間に誤りが生じないかぎり、注文状況はカスタマに対して、あたかもカスタマがただ１つの計算機と“会話のパートナー”として通信するかのように現れる。

しかし注文過程のステップが誤って行われると、このことをカスタマはしばしば、誤りのゆえに注文システムの計算機のどれか１つが情報を失っているので、カスタマが既に入力した情報をもう一度入力しなければならないことにより気付く。

インターネットを介して取扱可能なこのような注文システムは知られており、毎日数百万の利用者により取り扱われる。

このようなシステムの欠点は、たといこれらのシステムが通常のように複数の計算機から成っているとしても、これらの計算機の１つの故障が全計算機システムの故障または少なくとも１つの部分機能の喪失、またそれによって情報および処理時間の喪失に通ずることにある。この欠点は、このような計算機配列（クラスタ）の使用が本質的に、同時に処理可能な過程の速度および数を高めるために、計算機システムに課せられた要求を複数の計算機に分配する（負荷分配）という課題を解決することに起因している。このような計算機配列においては、処理すべき要求が所望の負荷分配のゆえに同時に複数の計算機に導かれるのではなく、この計算機配列の計算機が同期化されていないことにより、計算機配列の１つの計算機の故障が必然的に少なくとも部分機能の喪失および情報の喪失又はそのいずれか一方に通ずる。

複数のサーバを有する計算機配列はたとえばヨーロッパ特許出願公開第0 942 363 A2号明細書に示されている。その計算機配列においては、到来する要求データはサービスクラスに分割され、それらが次いでそれぞれ特定の数のサーバにより処理される。今、その瞬間に利用できる計算機容量におけるリソースが十分でないために、特定のサービスが処理され得ないならば、サーバはなお計算リソースを利用できる他のサービスクラスから解決され、要求されるサービスに対応付けられる。

すなわち上記の特許出願公開明細書には、サービスのリソース不足の際に、サーバがなお利用できる計算容量を有する他のサービスのサーバが代理をするように、サーバへの要求データの負荷分配が行われる計算機クラスタが記載されている。

その際の欠点は、故障発生の場合に対する解決策が講じられていないので、サービスの故障が確かに全体として当該のサービスの喪失に通じないが、計算機クラスタに与える要求データが故障発生の場合に保たれており、可能なかぎり中断なしに引き続き処理され得ることが保証されていないことである。

従って、このような計算機配列は、人間および環境の危険を排除するために、データ喪失および（または）処理遅れが生じてはならない危険な応用には適していない。従って、たとえば原子力発電所の監視システムとして、危険なたとえば電気プロセスまたは化学プロセスにおける保護システムとして、または時間臨界的な進行の操作システムとしてこのような計算機配列を使用することは不可能である。

独国特許出願第 198 14 096 A1号明細書には、冗長性をもって接続された同形式の構成要素を切換えるための方法が記載されている。

これらの同形式の構成要素のうち、１つは自動化プロセスを操作するマスター構成要素として機能する。第２の同形式の構成要素はマスター構成要素の故障の際にその機能を引き受け得るように、いわゆるスレーブモード（リザーブ）に位置している。

同形式の両構成要素は同期して等しい要求データを上位の装置から与えられる。

マスター構成要素の故障発生の場合に、スレーブモードの構成要素が、マスター構成要素の機能を引き受けるために、上位の装置を迂回して直接能動化される。こうして、故障発生の場合に故障した構成要素から機能可能な構成要素への迅速な切換が保証されている。

しかし、故障発生の場合にどのように、要求データが失われず、また故障発生の場合に機能を引き受ける構成要素が正しい出力データを供給することが保証され得るかは見分けがつかない。

さらに、従来の技術によるこの方法では、構成要素が等しい形式でなければならないことが欠点である。それにより等しい機能の互いに異なる構成要素の使用はこの問題の解決のためには除かれ、このことはこのような冗長性の計算機配列の実現の際に高いコストにつながる。たとえば主計算機（マスタ）を非常に高能力の計算機として、またリザーブ計算機（スレーブ）を若干低能力の計算機として構成することができよう。正常な場合には高能力の計算機が計算機配列の機能を引き受け、故障発生の場合にのみ、リザーブ計算機が機能を引き受けるときには計算能力の若干の低下が生ずる。しかし、このような、従来の技術に比較してコスト的に望ましい計算機配列は、説明されている方法によってはフォールト・トレラントに作動し得ない。

国際特許出願第98/44416号明細書にはフォールト・トレラント計算機システムが記載されている。

これはクロック同期して動作するたとえば４つまたはそれ以上のＣＰＵを含んでいる。

到来するデータはすべてのＣＰＵにより同時にクロック同期して処理される。

ＣＰＵはそれらの計算結果を、これらの結果の妥当性を確かめかつ妥当な結果を出力する評価ユニットに伝達する。

このシステムではフォールト・トレランスが実際上専らハードウェアで実現される。このことは、互いに完全に同形式のユニット（ＣＰＵ）が絶対的に同時に（クロック同期）等しい入力データを処理し、所属する結果を供給することを意味する。すなわちユニットの故障は全システムの機能不能にはならない。

その際の欠点は、このようなクロック同期して動作する解決策は、クロック同期作動が使用されるハードウェアに高い要求を課し、またさらにハードウエアは互いに完全に同形式でなければならないので、非常にコストがかかることである。その場合トレランスは実際上認められない。さらに、使用されるユニットの同期化は、並列に接続されているユニットが要求データの処理の際に１クロックさえ離れ離れに進行してはならないので、非常にコストがかかる。さらに、互いに異なる形式のハードウェアを、この従来の技術で冗長性を実現するために、使用することが不可能である。

冗長性を専らハードウェアで実現するこのような冗長性システムに対する従来の技術からの別の例はシーメンスのジーマチック（ＳＩＭＡＴＩＣ）自動化ファミリ（たとえばＳ５-１５５Ｈ；Ｓ７-４００Ｈ）のいわゆるＨシステム（高利用可能システム）である。このシステムにおいては、それぞれ等しい要求データをクロック同期して並列に処理するそれぞれ２つの互いに完全に同一の特殊な中央ユニットが使用される。中央ユニットの同期化および故障の監視は非常にコストがかかる。さらに仕入れ費が非常に高い。

従って本発明の課題は、前記の欠点を克服し、フレキシブルに種々の構成要素からも組み合わせ可能であり、またコスト面で有利に製作可能なフォールト・トレラント計算機配列を提供することである。

この課題は、本発明によれば、交換レベルおよび処理レベルを有するフォールト・トレラント計算機配列において、
−交換レベルが、到来する要求データにタイムマークを対応付けるべく構成されている少なくとも１つの交換計算機により形成され、
−処理レベルが、並列に交換レベルから要求データを供給されている少なくとも２つの処理計算機により形成され、
−処理計算機がそれぞれ、タイムマークの現在の値がそれぞれ有効値範囲に属するとき要求データをすぐ次の処理ステップで処理すべく構成されている
ことを特徴とするフォールト・トレラント計算機配列により解決される。

このような本発明による計算機配列では、計算機配列により結果に処理すべき要求データは交換レベル（ブローカ）の１つ又は複数の計算機に向けられる。

交換レベルは、到来する要求データにタイムマークを与え、このタイムマークは、例えばクロックモジュールの現在の時間信号、または交換レベルにおける要求データの到来の時点を含む通し番号であってよい。

要求データは場合によっては交換レベルにより前処理され、付属のタイムマークと一緒に並列に処理レベルの処理計算機に伝達される。処理レベルが複数の処理部分レベル（処理サブレベル）から成り、処理部分レベルがそれぞれ少なくとも２つの計算機から形成され、それぞれ特定の要求形式の処理に特殊化されている場合には、要求データはそれらの形式に応じて交換レベルから所属の処理サブレベルの当該の計算機に伝達される。

交換レベルの主要な課題は、本発明による計算機配列により１つの結果に処理すべき要求データに入力タイムスタンプを付け、結果への要求データの処理を行う処理レベルの計算機に伝達することにある。

処理計算機の１つの計算機の故障に対する本発明による計算機配列のフォールト・トレランスは、要求データが従来の技術の多くの解決策（いわゆるクラスタ解決策）の際のように処理レベルの１つの計算機に伝達されるだけでなく、処理レベルのすべての計算機に伝達されることにより実現されている。

こうして、処理レベルの１つの計算機が故障のときに、その処理レベルにおける要求データが失われないことが保証されている。

処理計算機は次いで、それぞれ要求データに付けられているタイムマークの現在の値を手がかりにして、要求データが各処理計算機によりすぐ次の処理ステップで処理されるか否かを確かめる。

それにより、処理レベルへの同期化されていない並列な情報伝達が、相異なる回答を要求データの結果として処理計算機が確かめることになるのが防止される。

処理計算機はタイムマークの現在の値を評価し、タイムマークの現在の値がそれぞれ有効値範囲に属するか否かを処理計算機が確かめる。

処理レベルの計算機は要求データを典型的な仕方で、サイクリックに次々と続き得る複数の処理ステップで処理する。このことはたとえば、すべて１００ｍｓの間に新しい処理ステップが通り抜けられることを意味する。本発明によれば、処理計算機により特定の処理サイクルにおいて、タイムマークの現在の値が有効値範囲に属するようなデータのみが処理される。即ち後者はたとえば、データを交換レベルから処理レベルの計算機へ転送するためにたかだか必要な最大の遅れ時間を差し引いたすぐ次の処理サイクルの開始時点よりも古い時点から成り得る。

このようにして、処理レベルの計算機が少なくとも処理ステップの開始の時点で要求データを同期して処理することが保証されている。こうしてさらに、処理計算機が要求データを交換レベルからの伝達の際の時間遅れの故に互いに無関係に、すなわち非同期に、処理し、こうして要求データに関して異なる結果を計算することが防止される。

この説明された本発明による同期化の形式は“暗示的同期化”と呼ばれる。この同期化においては、個々の計算機が互いに絶対的にクロック同期して動作することは必要でない。むしろ、処理計算機がそれぞれすぐ次の処理ステップの開始時点までに交換レベルから処理レベルのすべての計算機への伝達時間に関してなお確実に伝達され得る要求データのみを処理するかぎり、処理計算機が同期化されていることだけが決定的に重要である。

たとえば処理計算機による検査の際に、要求データがすぐ次の処理ステップの開始時点に関して遅過ぎて交換レベルに生じていることが判明すると（これはタイムマークの評価により確認することができる）、すなわち要求データがすぐ次の処理ステップの開始の時点までに処理レベルのすべての計算機に確実に伝達されないと、要求データは処理計算機により最初にその１つおいて次の処理ステップにより処理される。このようにして、本発明による計算機配列の冗長性が、処理レベルのすべての計算機が要求データを処理し、これらの計算機の１つがデータまたは結果の喪失を生じないかぎり、保証されている。

本発明の有利な構成では、外界への本発明による計算機配列のインタフェースが、到来する要求データを外界から受け取り、所属の計算された結果を外界に伝達する交換レベルにより形成されている。

外界から要求を計算機配列に与え、結果を受け取りたい利用者に対して、このようにして計算機配列は単一の計算機のように振る舞う。入力データも出力データもただ１つのインタフェースから転送される。

本発明の別の有利な構成では、交換レベルが、処理計算機により要求データに関して計算された結果を予め定められた妥当性規則に基づいて評価し、この評価から出発して結果から１つの結果を選択し、外界に伝達するべく構成されている。

本発明による計算機配列では、要求データは冗長性の理由から複数の処理計算機により処理される。しかし要求データの結果としてこれらの結果のただ１つが外界に伝達されるべきである。利用者は１つの一義的な結果を受け取るべきであり、なかんずく異なる結果から１つを選び出さなければならない立場におかれるべきではない。

それ故予め定められた妥当性規則の助けをかりて交換レベルは、前記の結果のどれが外界に伝達されるかを判断する。

妥当性規則はたとえば、交換レベルが処理計算機により要求データに関して求められた結果を互いに比較し、これらの結果のどれだけ多くが合致するかを確かめることにある。合致する結果の数が合致しない結果の数よりも大きいならば、合致する結果の群からの結果の１つが妥当な結果として外界に伝達される。

妥当性規則はなお、たとえば、処理計算機のすべての結果が合致するときにのみ、１つの妥当な結果が外界に伝達されることにより、より鋭くされ得る。こうして結果が正しいことの確実性は最大である。

交換レベルが少なくとも２つの交換計算機により形成されており、これらの交換計算機の各々が、少なくとも１つの他の交換計算機の誤機能を検出し、その機能を引き受けるべく構成されていると有利である。

このようにして本発明による計算機配列の冗長性が交換レベルの機能に関しても実現される。交換レベルの計算機の１つの故障の際に、このことを交換レベルの少なくとも１つの他の計算機が認識する。この計算機がそれに基づいて欠陥のある交換計算機の機能を引き受け、到来する要求データを処理する。

交換レベルにおける前記の欠陥認識はたとえば、交換計算機が互いに、不断の存在を検査する周期的な信号を交換すること（ハートビート、ウォッチドッグ）により実現されていてよい。いまこのような信号が交換レベルの計算機の１つに対してたとえば少なくとも１つのクロックサイクルの間に生じないと、当該の計算機が欠陥ありとしてマークされ、その機能が交換レベルの他の計算機により引き受けられる。交換計算機が、要求データが伝達されている通信バスを経て接続されていることは有利である。このようにして、交換レベルの計算機の各々が要求データにアクセスし、その結果計算機の１つの欠陥の場合に他の計算機にジャンプし得る。

本発明の別の有利な構成では、処理レベルが少なくとも２つの処理サブレベルに分割され、この処理サブレベルはそれぞれ少なくとも２つの計算機により形成されており、またそれぞれ特定の要求を処理するために設けられている。この本発明の有利な構成では、各処理サブレベルが要求データのそれぞれ特定の形式の処理に特殊化されている。各処理サブレベルは少なくともそれぞれ２つの計算機から形成されているので、これらの計算機の１つの欠陥が当該の機能の喪失にならない。

処理サブレベルの形成は処理計算機に要求データを負荷分配することをもたらし、その結果利用可能な計算機能力が良好に利用しつくされる。

各処理レベルには、交換計算機の少なくとも１つがその要求交換計算機として所属するのが有利である。

本発明のこの有利な構成では、交換計算機も課題固有に使用されているので、計算機配列内の負荷分配が一層改善されている。いま各課題（要求データの形式）に対して少なくとも２つの計算機が要求交換計算機として設けられているならば、冗長性が交換レベルにおいても各課題に対して実現されている。

本発明はさらに、交換レベルおよび処理レベルを有するフォールト・トレラント計算機配列を作動させるための方法において、
１．到来する要求データが交換レベルの少なくとも１つの交換計算機により読み込まれ、タイムマークを設けられるステップと、
２．タイムマークを設けられた要求データが交換計算機により並列に処理レベルの少なくとも２つの処理計算機に伝達されるステップと、
３．タイムマークの現在の値がそれぞれ有効値範囲に属するとき、要求データが処理計算機によりそれぞれすぐ次の処理ステップで処理されるステップと
を含んでいることを特徴とする方法に導く。

本発明の有利な構成では、処理計算機によりステップ３で計算され要求データに所属の結果が交換計算機により予め定められた妥当性規則に基づいて評価され、この評価に基づいてこれらの結果の１つが選択される。

本発明の別の有利な構成では、要求データが少なくとも２つの交換計算機により並列に読み込まれる。

以下には本発明の３つの実施例が詳細に示される。

図１は交換レベル１０及び処理レベル３０を有する計算機配列１を示す。

交換レベル１０は交換計算機１１、１２、１ｎを含んでおり、それらに要求データ７が交換モジュール８により向けられている。交換レベルのすべての計算機は並列に等しい要求データを受ける。

交換計算機１１、１２、１ｎは互いに通信接続２により接続されている。これらの通信接続２のそれぞれ１つに各処理サブレベル２０の少なくともそれぞれ１つの処理計算機が通信接続３ａ、３ｂ、３ｃにより接続されている。

複数の処理計算機２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚにより形成されている各処理サブレベル２０は、それぞれ１つの特定の形式の要求データ７を処理するために用いられる。すなわち各処理サブレベル２０はそのかぎりでは特定の課題の処理に特殊化されている。

通信接続２、３ａ、３ｂ、３ｃの実施の形式により、これらの通信接続２、３のどれか１つの不作動がデータの喪失及び処理サブレベル２０により与えられる機能の喪失又はそのいずれか一方に通ずることが防止される。たとえば通信接続３ａが故障すると、処理サブレベル２０は通信接続３ｂにより要求データを与えられ得る。

さらに、交換レベルまたは処理レベルの計算機のどれか１つの故障も、これらがそれぞれ多重に構成されているので、情報および機能又はそのいずれか一方の喪失にならない。

処理サブレベル２０の１つで処理される各課題はそこでは複数の処理計算機により処理され、その結果これらの計算機の１つの故障が各処理サブレベルの機能の喪失になることはない。

さらに、交換計算機１１、１２、１ｎの１つの故障は、要求データ７が交換モジュール８により交換レベルのすべての計算機に伝達され、交換計算機１１、１２、１ｎの各々が通信接続２、３ａ、３ｂ、３ｃの特別な構成の故に処理レベル３０のすべての処理計算機へのデータアクセスを持つので、交換レベル１０の機能の喪失にならない。すなわち交換レベル１０の交換計算機の１つの機能の喪失は、他の交換計算機によるその機能の受け継ぎにより帳消しになる。

交換レベル１０において、また処理レベル３０の各処理サブレベル２０において、その結果として、それぞれすべての計算機が、それぞれ故障した計算機あるいは欠陥のある計算機を除いて、本発明による計算機配列１の全機能が失われることなしに、動作し得る。

各処理サブレベル２０の計算機は、タイムマークを付けられている得られた要求データを処理し、タイムマークの値が有効値範囲に属するならば、すぐ次の処理ステップで処理する。そうでない場合には、計算機は処理をまず１つおいて次の処理ステップまで中止する。処理ステップは円筒状に次々と続き得る（動作ステップの特殊な場合としての処理サイクル）。

処理計算機の処理ステップがそれぞれ等しい時点で開始することは有利であり、その結果処理計算機は確かにクロック同期化されていないが、少なくともそれらの処理ステップの共通の開始に関して同期化されている（このことは用語“暗示的な同期化”に含まれている）。

交換レベル１０の計算機１１、１２、…１ｎは互いに、処理計算機の説明された暗示的な同期化に類似して、同じく暗示的に同期化されていてよい。

図２は、交換計算機４０により形成される交換レベル２００と、２つの処理計算機５１、５２を含む処理レベル３００とを有する本発明による計算機配列を示す。

要求データ４２は入力モジュール４３ａに読み込まれる。時間信号発生器４４がタイムマーク４６を入力モジュール４３ａに伝達する。

入力モジュール４３ａにおいて、要求データ４２はタイムマーク４６を付けられ、タイムマークを付けられた要求データ４８として両処理計算機５１、５２に並列に送られる。処理計算機５１、５２において処理モジュール５１１がタイムマーク４６を要求データ４２から分離し、要求データ４２をアプリケーションプログラムモジュール６１に伝達する。

分離されたタイムマーク４６は処理モジュール５１１から処理モジュール５３に伝達される。この処理モジュール５３においてタイムマーク４６が、その値が有効値範囲に属するかどうかが検査される。これはたとえば、処理計算機のすぐ次の処理ステップが開始する前に、要求データ４２が交換レベル２００において、それらが交換レベル２００を通って処理計算機５１、５２への伝達−そのためにはたかだか最大の伝達送れ時間が必要−の後に、すべての処理計算機に到来するように、早い時点で故障している場合であり得る。その場合処理計算機の各々のそれぞれすぐ次の処理ステップの開始のための各時点はすべての処理計算機において等しいことは有利である。

このようにして、“暗示的な同期化”が実現され、こうして処理計算機５１、５２が“別れ別れになる”こと、すなわち処理ステップの開始の時点で相異なるデータを処理し、こうして相異なる結果を与えることが防止される。

タイムマーク４６の現在の値が−たとえば上記のような−有効値範囲に属するならば、処理モジュール５３は制御信号５５をアプリケーションプログラムモジュール６１に与え、その結果これが要求データ４２の処理を行い、その結果としての結果データ５４を交換計算機４０の出力モジュール４３ｂに送る。いま処理モジュール５３がタイムマーク４６の評価の際に、その現在の値が有効値範囲に落ちないことを確認すると、すなわちたとえば要求データが確実に処理計算機のすぐ次の処理ステップの開始までにすべての処理計算機に伝達され得ないことを確認すると、処理モジュール５３がまずすぐ次の処理サイクルのために制御信号５５を作り、その結果アプリケーションプログラムモジュール６１は要求データ４２を１つおいて次の処理サイクルで初めて処理する。このことはすべての関与する処理計算機５１、５２に対して当てはまるので、これらはこの観点で同期化されている。

処理計算機５１、５２はそれらにより計算された結果データ５４を交換計算機４０の出力モジュール４３ｂに伝達する。出力モジュール４３ｂにおいて結果データ５４が評価され、そこから結果４１が出力される。

出力モジュール４３ｂにおける評価はたとえば処理計算機５１、５２から与えられる結果データ５４の比較にあり得る。両方の結果が等しいならば、出力モジュール４３ｂからこれらの結果のどれか１つが結果４１として出力される。

いま両方の結果が合致しないならば、結果４１はたとえば欠陥報知であり得る。処理計算機５１、５２の１つが欠陥でそもそも結果データ５４を与え得ない場合には、出力モジュール４３ｂは機能し得る処理計算機の結果データ４１を結果として選ぶ。

図３には時間ビームIに要求データ７０、８０、９０の発生の時間的経過が示されており、これらの要求データは交換レベルによりそれぞれタイムマークをデータ発生の時点に相応して付けられ、処理レベルのすべての処理計算機に伝達される。要求データ７０、８０、９０は互いに特定の時間間隔をおいて交換レベルで生じる。

時間ビームII、III、VI、Vは処理レベルの計算機に対応付けられており、時間ビームII、III、VIは要求データ７０、８０、９０の到来の時点をタイムマークを付けられた要求データ７５、８５または９５として３つの処理計算機に示す。

時間ビームVは、元の要求データ７０、８０または９０が処理計算機によりその後に処理される処理時点ｔ₇₀、ｔ₈₀、ｔ₉₀を示す。時点ｔ₀、ｔ₁、ｔ₂、ｔ₃ は処理計算機の処理ステップＣ₀、Ｃ₁、Ｃ₂、Ｃ₃に対する開始時点である。処理ステップはサイクリックに次々と続き得る。たとえば１００ｍｓは処理サイクルの継続時間に対する典型的な大きさである。しかし他の特にそれよりも短いサイクル継続時間も可能である。

最大の伝達送れ時間ｔ_sは、たとい処理計算機と交換レベルとの間の通信接続および処理計算機又はそのいずれか一方が互いに等しい形式ではない、特に相異なる速さである、としても、要求データ７０、８０、９０を確実に処理レベルのすべての計算機に送るために最大必要な時間間隔である。最も望ましくない伝送挙動のもとでも交換レベルから処理レベルへのデータ伝送が最大の伝達送れ時間ｔ_sよりも長く継続しないように、最大の伝達送れ時間ｔ_sが時間余裕を含んでいることは有利である。

要求データ７０は交換レベルからタイムマークを付けられ、要求データ７５として処理レベルに伝達される。図３から明らかなように、要求データ７５は処理レベルの３つの計算機に相異なる時点で入来する。時間ビームIII、VIは、要求データ７５が３つの処理計算機の２つに適時にすぐ次の処理ステップＣ₀の開始の時点ｔ₀に入来せず、要求データ７５のタイムマークが有効値範囲に位置しないことを示す。この理由から処理レベルの計算機は要求データ７５の処理を、１つおいて次の処理ステップＣ₁に相当する時点ｔ₇₀で初めて開始する。このようにして、要求データ７５が冗長性をもって複数の、特にすべての、処理計算機により処理されることが保証されている。

要求データ８０は、処理レベルのすべての計算機がタイムマークを付けられた要求データ８５の処理をデータ８０の発生の後に既にすぐ次の処理ステップＣ₂の開始の時点ｔ₈₀で開始するように、処理ステップＣ₂の開始前に適時に処理レベルのすべての計算機に送られる。こうして最後にあげた場合には要求データ８５のタイムマークは有効値範囲に落ち、従って処理計算機による処理が既にすぐ次の、要求データのデータ発生の時点に続く処理ステップＣ₂で行われる。

要求データ９０は同じく交換レベルによりタイムマークを付けられ、処理レベルの計算機に導かれ、そこにそれらは処理計算機の２つにすぐ次の処理ステップの開始前に適時に到達する。しかし処理レベルの第３の計算機には欠陥が生じ、その結果要求データ９５はこれにより処理され得ない。しかし要求データ９５のタイムマークは有効値範囲に属する。なぜならば、それらは処理レベルの機能し得る計算機において適時にすぐ次の処理ステップの開始の前に入力されており、従ってこれらが要求データ９５の処理をすぐ次の処理ステップＣ₃の開始の時点ｔ₉₀で引き受けるからである。処理レベルの１つまたは複数の計算機の欠陥にもかかわらず要求データ９５は処理レベルの機能し得る計算機により処理される。すなわち欠陥がデータまたは計算された結果の喪失にならない。

複数の交換計算機と複数の処理サブレベルに分けられている処理レベルとを有する本発明による計算機配列。 交換計算機と２つの処理計算機とを有し、暗示的な同期化が一層詳細に示されている本発明による計算機クラスタ。 交換レベルから処理レベルに伝達される要求データの時間的経過を示すためのタイムダイアグラム。

符号の説明

１ 計算機クラスタ
２ 通信接続
３ａ、３ｂ、３ｃ 通信接続
７ 要求データ
８ 交換モジュール
１０ 交換レベル
１１、１２、１ｎ 交換計算機
２０ 処理サブレベル
２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ 処理計算機
３０ 処理レベル
４０ 交換計算機
４1 結果
４２ 要求データ
４３ａ 入力モジュール
４３ｂ 出力モジュール
４４ 時間信号発生器
４６ タイムマーク
４８ 要求データ
５１ 処理計算機
５２ 処理計算機
５３ 処理モジュール
５４ 結果データ
５５ 制御信号
５１１ 処理モジュール
６１ アプリケーションプログラムモジュール
２００ 交換レベル
３００ 処理レベル
７０ 要求データ
７５ 要求データ
８０ 要求データ
８５ 要求データ
９０ 要求データ
９５ 要求データ

Claims (9)

1. 交換レベル（１０）および処理レベル（３０）を有するフォールト・トレラント計算機配列（１）において、
   −交換レベル（１０）が、到来する要求データ（７）にタイムマーク（４６）を対応付けるべく構成されている少なくとも１つの交換計算機（１１、１２、１ｎ）により形成され、
   −処理レベル（３０）が、交換レベル（１０）から並列に要求データ（７）を供給されている少なくとも２つの処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）により形成され、
   −処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）は、それぞれ、タイムマーク（４６）の現在の値がある値範囲に属するとき、要求データ（７）がすぐ次の処理ステップ（Ｃ0、Ｃ1、Ｃ2）において処理されるべく構成されており、それにより、要求データ（７）は、処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）の前記次の処理ステップの開始までに安全に、すべての処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）に伝送されることができ、
   −処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）は、それぞれ、タイムマーク（４６）の現在の値が前記の値範囲に属さないとき、要求データ（７）が１つおいて次の処理ステップ（Ｃ 0 、Ｃ 1 、Ｃ 2 ）において初めて処理されるべく構成されており、それにより、処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）は、要求データ（７）の処理の同期をとる
   ことを特徴とする計算機配列。
2. 外界へのインタフェースが、到来する要求データ（７）を外界から受け取り、所属の計算された結果（４１）を外界に伝達する交換レベル（１０）により形成されることを特徴とする請求項１記載の計算機配列。
3. 交換レベル（１０）が、処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）により要求データ（７）に関して計算された結果（５４）を予め定められた妥当性規則に基づいて評価し、この結果（５４）の評価から出発して１つの結果（４１）を選択し、外界に伝達すべく構成さていることを特徴とする請求項２記載の計算機配列。
4. 交換レベル（１０）が少なくとも２つの交換計算機（１１、１２、１ｎ）により形成され、これらの交換計算機（１１、１２、１ｎ）の各々が少なくとも１つの他の交換計算機（１１、１２、１ｎ）の故障機能を検出し、その機能を引き受けるべく構成されていることを特徴とする請求項１ないし３のいずれか１つに記載の計算機配列。
5. 処理レベル（３０）が少なくとも２つの処理サブレベル（２０）に分割され、処理サブレベルはそれぞれ少なくとも２つの計算機により形成され、それぞれ特定の要求データ（７）を処理するために設けられていることを特徴とする請求項１ないし４のいずれか１つに記載の計算機配列。
6. 各処理サブレベル（２０）がそれらの要求交換計算機としての交換計算機（１１、１２、１ｎ）の少なくとも１つに対応付けられ、この交換計算機が特定の要求データ（７）の交換に特殊化されていることを特徴とする請求項５記載の計算機配列。
7. 交換レベル（１０）および処理レベル（３０）を有するフォールト・トレラント計算機配列（１）を作動させるための方法において、
   ａ）到来する要求データ（７）が交換レベル（１０）の少なくとも１つの交換計算機（１１、１２、１ｎ）により読み込まれ、タイムマーク（４６）を設けられるステップと、
   ｂ）タイムマーク（４６）を設けられた要求データ（７）が交換計算機（１１、１２、１ｎ）により並列に処理レベル（３０）の少なくとも２つの処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）に伝達されるステップと、
   ｃ）タイムマーク（４６）の現在の値がある値範囲に属するとき、要求データ（７）が処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）によりそれぞれすぐ次の処理ステップ（Ｃ0、Ｃ1、Ｃ2）において処理され、それにより、要求データ（７）は、処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）の前記次の処理ステップの開始までに安全に、すべての処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）に伝送されることができ、タイムマーク（４６）の現在の値が前記の値範囲に属さないとき、要求データ（７）が処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）によりそれぞれ１つおいて次の処理ステップ（Ｃ 0 、Ｃ 1 、Ｃ 2 ）において初めて処理され、それにより、処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）は、要求データ（７）の処理の同期をとるステップ
   を含んでいることを特徴とするフォールト・トレラント計算機配列の作動方法。
8. 処理計算機（２０１、２０２、２０ｘ、２１１、２１２、２１ｙ、２２１、２２２、２２ｚ）によりステップｃ）で計算され要求データ（７）に所属の結果（５４）が交換計算機（１１、１２、１ｎ）により予め定められた妥当性規則に基づいて評価され、この評価に基づいて結果（５４）の群から１つの結果（４１）が選択されることを特徴とする請求項７記載の方法。
9. 到来する要求データ（７）が少なくとも２つの交換計算機（１１、１２、１ｎ）により並列に読み込まれることを特徴とする請求項７または８記載の方法。

Images