JP3953952B2 - エラー許容型分散コンピュータシステムでのエラー処理 - Google Patents

Description

【０００１】
本発明は、通信チャンネルを通じて接続された複数のノード（結節）コンピュータを備えたエラー許容型分散コンピュータシステムにおけるエラー処理に関するものであり、それぞれのノードコンピュータは自律型の通信コントロールユニットを有しており、通信チャンネルへのアクセスは時分割多元接続法により行われ、ノードコンピュータからの出力情報が監視手段によりチェックされるものである。
【０００２】
さらに、本発明は、少なくとも一つのデストリビュータユニットと通信チャンネルを介して相互に接続された複数のノードコンピュータを備えるエラー許容型分散コンピュータシステムに関するものであり、それぞれのノードコンピュータは独自の通信コントロールユニットを有しており、通信チャンネルへのアクセスは時分割多元接続法により行われ、ノードコンピュータの出力情報のチェックのために監視手段を備えているものである。
【０００３】
安全性が非常に重要である技術的用途、言い換えれば一つのエラーが悲惨な状態を招きかねない用途では、エラー許容性のあるリアルタイムの分散コンピュータシステムの導入が増えている。
【０００４】
複数のノードコンピュータと一つのリアルタイム通信システムで構成しており、エラー許容性のあるリアルタイムの分散コンピュータシステムにおいては、一つの個々のノードコンピュータにおけるブレークダウンが許容される必要がある。そのようなコンピュータ構成理念の核として、事前に予想して迅速確実に情報を入れ替えるために、許容性のあるリアルタイム通信システムがある。
【０００５】
これらの要求を満足する通信プロトコルは、米国特許第５，６９４，５４２号に対応する欧州特許公開第０６５８２５７号に記載されている。このプロトコルは、“タイムトリガードプロトコル／Ｃ（ＴＴＰ／Ｃ）”の名称で知られており、H. Kopetzの文献（１９９７）“Real-Time Systems, Design Principles for Distributed Embedded Applications; ISBN:0-7923-9894-7, Boston, Kluwer Academic Publishers”でも公開されている。それは、論理的に決められたタイムスライスを用いた公知の時分割多元接続法(TDMA: time-division multiple access)に基づいている。ＴＴＰ／Ｃは、米国特許第４，８６６，６０６号で公開されているエラー許容性のある時間同期のための方法を用いている。
【０００６】
ＴＴＰ／Ｃが前提としているのは、通信システムが論理的な通信トポロジーを支持しており、ノードコンピュータが“フェールサイレンス”のダウン状態の挙動を示している、即ちノードコンピュータがデータ領域と時間領域で正しく機能しているか、それらが静かであるということである。時間領域でのエラー、言い換えれば所謂“バブリング・イディオット(babbling idiot)”エラーは、ＴＴＰ／Ｃで“バス監視手段”と言われ、独立した時間ベースを有しておりノードコンピュータの時間挙動を絶えずチェックしている独立したエラー識別ユニットにより回避することができる。エラー許容性を実現するために、多数のフェールサイレントなコンピュータを一つのエラー許容性のあるユニット（ＦＴＵ）にまとめ、通信システムのレプリカを作成する。ＦＴＵのノードコンピュータと通信システムのレプリカが機能している限り、ＦＴＵがタイミング良く時間領域とデータ領域で働く。
【０００７】
通信の論理的な通信トポロジーは、分散型バスシステム、分散型リングシステム、あるいはノードコンピュータと２地点間接続している中央デストリビュータユニット（例えばスターカップラー）により、物理的に構築することができる。分散型バスシステムあるいは分散型リングシステムを構築すると、それぞれのノードコンピュータは独自のバス監視手段を持たねばならない。これに対して、中央デストリビュータユニットを用いると、全ての監視手段をこのデストリビュータユニットに内蔵することができ、全てのノードコンピュータの挙動を全体的に監視して、時間領域で規則正しい送信挙動を効果的に強制することができる。これは後に公開された国際公開第ＷＯ０１／１３２３０Ａ１号に記載されている。
【０００８】
分散コンピュータでは、不安定なシステム状態を招きかねないエラーは特に問題である。ここでは例として、自動車でのいわゆる“ブレーキバイワイヤ(brake-by-wire)”の適用例を挙げる。この例では、センターブレーキコンピュータが、ホイルのそばにある４つのホイルコンピュータにブレーキ情報を送る。ブレーキ情報を二つのホイルコンピュータが正しく受信し、別の二つのホイルコンピュータが情報を受信しないなら、不安定な状態が発生する。そして、自動車の同じ側にある二つのブレーキが効くと、その自動車はコントロール不能になりかねない。ここで記述した種類のエラーは、文献でビザンチン(Byzantine)エラーと呼ばれている（Kopetz文献Ｐ．６０、Ｐ．１３３）。ビザンチンエラーを迅速に認識し正しく処理をすることは、情報科学の難しい問題の一つである。
【０００９】
低いクラスのビザンチンエラーは、“軽い規格外れ(slightly-off-specification)”、略してＳＯＳエラーにより構成される。ＳＯＳエラーは、アナログ技術とデジタル技術間の切れ目で発生することがある。前記の専門分野では、“デジタル信号”で論理信号が、“アナログ信号”で全ての物理信号が解釈される。この意味でここでも、アナログ技術とデジタル技術の区分が解釈される。データ伝達を実現するにあたって、規定された時間インターバルの間に、信号データ（例えば、規定された電圧許容インターバルからの電圧）により回路上にそれぞれの論理ビットを表すことができる。正常な送信側は、規定された許容インターバル内で、アナログ信号を発生させねばならない。それにより、全ての正常な受信側はこれらの信号を正しく解釈することが確実となる。そして、情報の送信側が（データ領域、時間領域、あるいはその両方で）規定されたインターバルのすぐ外側で信号を発生すると（軽い規格外れ）、幾つかの受信側が本信号を正しく解釈し、他方、別の受信側が信号を間違って解釈する場合がある。我々は、そのような通信情報をＳＯＳエラーと呼ぶ。結果として、先にブレーキシステムを使って説明したビザンチンエラーが起きることがある。そのようなエラーは、欠陥のある電源供給、欠陥のある発振器、あるいは経年により弱くなった構成部品に原因があることがある。例えばビット系列を生み出すコンピュータの発振器に欠陥があるというようなエラー原因が、両方のチャンネルに起きると、二つの通信チャンネルへの情報送信でＳＯＳエラーを避けることができない。
【００１０】
続くエラーが更に被害を大きくする前に対策を取るために、出現するエラーをできるだけ早期に識別することが安全技術の基本である。引用しているＴＴＰ／Ｃプロトコル（欧州特許公開第０６５８２５７号）では、ＴＤＭＡの最大２ラウンド以内にＴＴＰ／ＣプロトコルのいわゆるメンバーシップアルゴリズムによりＳＯＳエラーを確実に識別することになっている。ＳＯＳエラーで代表的な問題となるのは、殆ど発生しない瞬間的なエラーであり、ＴＴＰ／Ｃの現在使われているプロトタイプにおいて、殆ど発生しないクラスのＳＯＳエラーが、非常に似た頻繁に起きるエラーのせいにされ、そのようなエラーとして処理されている。
【００１１】
本発明の課題は、分散コンピュータシステムでのＳＯＳクラスのエラーを適切な方法により許容できるようにすることである。
【００１２】
最初に述べた種類の方法により本課題を解決しており、本発明によれば、独立して構成した監視手段が、ＳＯＳ（“軽い規格外れ”）エラーのある情報を、正しい情報、あるいは全ての受信コンピュータが明らかに正しくないと識別できる情報に変換するように構成している。
【００１３】
本課題は、前述した種類のエラー許容型分散コンピュータシステムによって解決しており、本発明によれば、ＳＯＳ（“軽い規格外れ”）エラーのある情報を、正しい情報、あるいは全ての受入コンピュータが明らかに正しくないと識別できる情報に変換するように、独立して構成した監視手段を設けている。
【００１４】
本発明によれば、高度に信頼性あるリアルタイムコンピュータ用途において、時間制御されたエラー許容型分散アーキテクチャでの“軽い規格外れ”（ＳＯＳ）エラーのエラークラスでも許容できる。
【００１５】
有利な実施形態では、全ての受信コンピュータが正しくないと識別できる不完全な情報を発生するために、コンピュータの通信コントロールユニットの送る情報開始が、監視手段には論理的に分かっている情報の開始時間領域内にあたっているか、そして、情報がこれらの時間領域の外にある場合に、それに相当する通信チャンネルが直ちに閉鎖するかどうかを、独立した各監視手段が独自の時間ベースを使ってチェックする。このようにすれば、損なわれているのは僅かだけであり、場合によっては受信側が間違って正しいと解釈する情報を避けることができる。
【００１６】
監視手段は、関連するコード化規則を考慮し独自の時間ベースと独自の電源供給のもとで、時間領域とデータ領域で入力物理信号を再生修復すれば更に目的に適っている。そのように独立して再生修復できると、求められるシステムの安全性が本質的に向上する。
【００１７】
本発明の別の実施形態では、情報を受信しない監視手段が正しいＣＲＣで正しい長さの情報を生成しないようにしている。これによりシステムの安全性がさらに上昇する。
【００１８】
開始時間ウインドウに基づく最適制御では、監視手段の開始時間ウインドウ（は、ノードコンピュータの開始時間ウインドウに対して、システム精度より大きな時間遅れて始まり、ノードコンピュータの開始時間ウインドウに対して、前記システム精度より大きな時間先んじて終了する。
【００１９】
監視手段を少なくとも一つのデストリビュータユニットに内蔵し、デストリビュータユニットに独自の電源供給および独自のエラー許容型分散時計同期機能がある場合に、安全性の面だけでなく、システムを実現するコストに関しての追加の利点も得られる。
【００２０】
更なる利点も含めて、本発明を図解した実施例を用いて詳細に説明する。
【００２１】
図１には４台のノード（結節）コンピュータＫ１、Ｋ２、Ｋ３、Ｋ４を含むシステムを示しており、そこではそれぞれのコンピュータが交換可能なユニットを構成しており、２地点間接続チャンネルまたは通信チャンネルｃ１１．．．ｃ４２を介して、同一の二つの中央デストリビュータユニットＶ１またはＶ２と接続している。ノードコンピュータの各出口とデストリビュータユニットの各入口の間には監視手段ＧＵＡがあり、それは独立して設けているか或いはデストリビュータユニットの中に内蔵していることもある。監視手段またはバス監視手段の基本的な機能はKopetz文献のＰ．１７３に説明されている。監視手段は、その機能を果たすために、コントローラの他にチャンネルを開閉するスイッチが必要である。デストリビュータユニットＶ１とＶ２の間にある二つの一方向通信チャンネルｖ２１、ｖ１２は、中央デストリビュータユニットＶ１とＶ２とが相互に監視し情報交換できるようにする。同じくKopetz文献の例えばＰ．１７２〜１７７から分かるように、各ノードコンピュータＫ１．．．Ｋ４は、自律コントローラＣＯＮまたは通信コントローラを有しており、それは同一の通信チャンネル、例えばｃ１１、ｃ１２と繋がっている。概略的に描いている接続ラインｗ１、ｗ２は専用の通信チャンネルであり、デストリビュータユニットのパラメータとその機能が正しく働いていることを監視できるメンテ用コンピュータＷＡＣに繋がっている。
【００２２】
図２は、通信コントローラＣＯＮと、分散コンピュータシステムにある別のノードコンピュータないしデストリビュータユニットに繋がる通信チャンネルｃ１１、ｃ１２とを有するノードコンピュータＫ１を示している。ここでは、監視手段ＧＵＡを、通信チャンネルｃ１１、ｃ２１用のバス監視手段として設けているが、図１に従い独立した二つの中央デストリビュータユニットＶ１、Ｖ２に内蔵することもできる。論理的に見て、三つのサブシステム、即ちノードコンピュータ＋２つの監視手段が、“欠陥抑制ユニット”ＦＣＵと呼ばれる図２に示したユニットを構成している。記述したように、監視手段ＧＵＡが物理的に中央デストリビュータユニットまたはノードコンピュータに内蔵しているかどうかと、この構成は関係ない。
【００２３】
図３に関していえば、そこには情報の開始のための開始時間ウインドウが示されている。同図では、ノードコンピュータないしそのコントローラの長さＴ_CONを持つ開始時間ウインドウＴ_CONと、監視手段の開始時間ウインドウＴ_GUAとが区別されている。本発明では、監視手段の時間ウインドウＴ_GUAがノードコンピュータの時間ウインドウＴ_CONより短く、ウインドウＴ_CONの中にある時間ウインドウＴ_GUAとの間に間隔τ１ないしτ２を残しており、その間隔はシステム精度Ｐより大きい。精度についての概念は、例えばKopetz文献３．１．３章“Precision and Accuracy”Ｐ．４９とＰ．５０に説明されている。
【００２４】
アクティブなサブシステム、例えばノードコンピュータＫ１のエラーを「非拘束アクティブ」であるということにする。さらに、パッシブなサブシステム、例えば監視手段または接続チャンネルｃ１１またはｃ１２のエラーを「非拘束パッシブ」であるということにする。但し、後者の場合、パッシブのサブシステムの構造により、そのサブシステム自体がアクティブなサブシステムからの入力なしで、受信側が構文上は正しい情報であると解釈するビット系列を生成できないことが確実であることを条件とする。情報が構文的に正しいとは、その情報が、ＣＲＣチェックでエラーを示さず、予想されるような正しい長さを有し、コード化規則に従っており、予想される時間間隔内に到着することをいう。
【００２５】
正しいＣＲＣをどのように生成するか（ＣＲＣを生み出すアルゴリズムをとらえられない）、および正しい情報はどれ位の長さでなければならないかについての情報をパッシブなサブシステムが持ち合わせていない場合、構文的に正しい情報が統計的に偶然のプロセス（トラブル）に基づいて生じる確率は無視できるほど小さい。
【００２６】
欠陥抑制ユニットＦＣＵは、下記仮定が満足されると、ノードコンピュータＫ１の非拘束アクティブエラーまたは両監視手段ＧＵＡの一方の非拘束パッシブエラーを、ビザンチン(Byzantine)エラーでないエラーに変換することができる。
（i） 正常なノードコンピュータＫ１が、両方のチャンネルｃ１１とｃ１２に構文的に正しい同じ情報を送る。さらに、
（ii） 正常な監視手段ＧＵＡが、ノードコンピュータＫ１のＳＯＳエラー情報を構文的に正しい情報、または受信側が明らかに正しくないと識別する情報（非ＳＯＳ情報）に変換する。さらに、
（iii） 情報を送る間に、最大一つのサブシステムに欠陥がある。
【００２７】
エラーの仮定（iii）の理由により、三つの導入サブシステムＫ１、ＧＵＡ、ＧＵＡの一つだけに欠陥がある可能性がある。ノードコンピュータＫ１にエラーがあるなら、両方の監視手段ＧＵＡとＧＵＡには欠陥がなく、仮定（ii）に相当して非ＳＯＳ情報を生成する。両方の監視手段ＧＵＡの一つに非拘束パッシブエラーがあるとすれば、ノードコンピュータＫ１は構文的に正しい情報を発生し、その構文的に正しい情報を両方の監視手段に伝達する（仮定i）。そして、正常な監視手段ＧＵＡは全ての受信側、即ちノードコンピュータに情報を適正に送信する。ＴＴＰ／Ｃプロトコルの自己信頼原理と受信ロジックにより、この場合、全ての正常な受信側は正しい情報を選び出し、送信しているノードコンピュータを正常と判別する。ＳＯＳエラーを許容するために、ＴＴＰ／Ｃプロトコルを変更する必要はない。
【００２８】
任意の情報は、次の三つの理由によりＳＯＳエラーがある可能性がある。
（i） 情報がデータ領域でＳＯＳエラーを有している、および／または
（ii） 情報が時間領域で内部ＳＯＳエラーを有している（例えば、コード内のタイミングエラー）。および／または
（iii） 情報の伝達が、規定された送信インターバルのやや外側（図３参照）で始まる。
【００２９】
正常な監視手段（ＧＵＡ）は、これらのエラーの原因を以下のように非ＳＯＳエラーに変換する。
（i） 情報の出力データを、独立した電源供給を有する監視手段ＧＵＡにより生成する。
（ii） 情報のコードを、バス監視手段の独自の時間ベースを有する監視手段ＧＵＡにより再構成する。
（iii） 規定された時間インターバルＴ_GUAの外側で送信が始まったことを認識すると直ぐに、監視手段はチャンネルを封鎖する。それにより、全ての受信側、即ちノードコンピュータは、大きく損なわれた情報を受信し、エラーがあることを認識する。
【００３０】
情報送信時間の終了の直ぐ後に、監視手段ＧＵＡがチャンネルを封鎖することは、ＳＯＳエラーを避けるためには一般的に充分ではない。封鎖により軽く損なわれた情報がエラーのない監視手段ＧＵＡに対するＳＯＳエラーの契機となる可能性を排除できないからである。両方の監視手段が同様に情報を軽く損なうと、ＳＯＳエラーがシステムレベルで発生する場合がある。
【００３１】
本発明は記載した４つのノードコンピュータを含む実施形態に限定されるものではなく、任意に拡大できる。また、ＴＴＰ／Ｃプロトコルだけでなく、別の時間制御のプロトコルでも利用できる。
【図面の簡単な説明】
【図１】 同一の二つの中央デストリビュータユニットを通じてお互いに接続した４つのノードコンピュータを含む分散コンピュータシステムの概略図である。
【図２】 一つのコンピュータと二つの監視手段で構成する欠陥抑制ユニットを示す図である。
【図３】 監視手段とノードコンピュータの開始時間ウインドウの位置関係を示す図である。

Claims (11)

1. 通信チャンネル（ｃ１１．．．ｃ４２）を通じて接続された複数のノードコンピュータ（Ｋ１．．．Ｋ４）を備え、各ノードコンピュータは自立型の通信コントロールユニット（ＣＯＮ）を有しており、通信チャンネルへのアクセスは時分割多元接続法により行われ、ノードコンピュータからの出力情報が監視手段（ＧＵＡ）によりチェックされるように構成されたエラー許容型分散コンピュータシステムにおけるエラー処理方法であって、
   独立して構成した監視手段（ＧＵＡ）が、ＳＯＳ（“軽い規格外れ”）エラーのある情報を、正しい情報、あるいは全ての受信側ノードコンピュータ（Ｋ１．．．Ｋ４）が明らかに正しくないと識別できる情報に変換することを特徴とする、エラー処理方法。
2. 全ての受信側ノードコンピュータが正しくないと識別できる不完全な情報を発生するために、ノードコンピュータ（Ｋ１．．．Ｋ４）の通信コントロールユニット（ＣＯＮ）の送る情報開始が、監視手段（ＧＵＡ）には論理的に分かっている情報の開始時間ウインドウ（Ｔ_GUA）内にあたっているか、そして、情報がこれらの時間ウインドウの外にある場合に、それに相当する通信チャンネル（ｃ１１．．．ｃ４２）が直ちに閉鎖するかどうかを、独立した各監視手段（ＧＵＡ）が独自の時間ベースを使ってチェックすることを特徴とする、請求項１に記載の方法。
3. 監視手段（ＧＵＡ）は、関連するコード化規則を考慮し独自の時間ベースと独自の電源供給を用いて、時間領域とデータ領域で入力物理信号を再生修復することを特徴とする、請求項１または２に記載の方法。
4. 情報を受信しない監視手段（ＧＵＡ）が正しいＣＲＣで正しい長さの情報を生成しないことを特徴とする、請求項１〜３のいずれか１項に記載の方法。
5. 監視手段（ＧＵＡ）の開始時間ウインドウ（Ｔ_GUA）は、ノードコンピュータ（Ｋ１．．．Ｋ４）の開始時間ウインドウ（Ｔ_CON）に対して、システム精度（Ｐ）より大きな時間遅れて始まり、ノードコンピュータの開始時間ウインドウに対して、前記システム精度より大きな時間先んじて終了することを特徴とする、請求項２から４のいずれか１項に記載の方法。
6. 少なくとも一つのデストリビュータユニット（Ｖ１、Ｖ２）と通信チャンネル（ｃ１１．．．ｃ４２）を介して相互に接続されている複数のノードコンピュータ（Ｋ１．．．Ｋ４）を備えており、各ノードコンピュータは自律型の通信コントロールユニット（ＣＯＮ）を有しており、通信チャンネル（ｃ１１．．．ｃ４２）へのアクセスは時分割多元接続法により行われ、ノードコンピュータの出力情報のチェックのために監視手段（ＧＵＡ）を設けているエラー許容型分散コンピュータシステムであって、
   独立して構成した監視手段（ＧＵＡ）が、ＳＯＳ（“軽い規格外れ”）エラーのある情報を、正しい情報、あるいは全ての受信側ノードコンピュータ（Ｋ１．．．Ｋ４）が明らかに正しくないと識別できる情報に変換するように構成されていることを特徴とする、エラー許容型分散コンピュータシステム。
7. 監視手段（ＧＵＡ）は独自の時間ベースを有し、全ての受信側ノードコンピュータが正しくないと識別できる不完全な情報を発生するために、ノードコンピュータ（Ｋ１．．．Ｋ４）の通信コントロールユニット（ＣＯＮ）の送る情報開始が、監視手段（ＧＵＡ）には論理的に分かっている情報の開始時間領域（Ｔ_GUA）内にあたっているか、そして、その情報がこれらの時間領域の外にある場合に、それに相当する通信チャンネル（ｃ１１．．．ｃ４２）が直ちに閉鎖するかどうかをチェックするように構成されていることを特徴とする、請求項６に記載のコンピュータシステム。
8. 該監視手段（ＧＵＡ）は、関連するコード化規則を考慮し独自の時間ベースと独自の電源供給を用いて、時間領域とデータ領域で入力物理信号を再生修復するように構成されていることを特徴とする、請求項６または７に記載のコンピュータシステム。
9. 監視手段（ＧＵＡ）は、情報を受信しないとき、正しいＣＲＣと正しい長さを持つ情報を生成しないように構成されていることを特徴とする、請求項６〜８のいずれか１項に記載のコンピュータシステム。
10. ノードコンピュータ（Ｋ１．．．Ｋ４）の開始時間ウインドウ（ＴCON）の始まりは、監視手段（ＧＵＡ）の該開始時間ウインドウ（ＴGUA）の始まりに対して、システム精度（Ｐ）より大きな時間分だけ前にあり、監視手段の開始時間ウインドウの終わりは、ノードコンピュータの開始時間ウインドウの終わりに対して、システム精度より大きな時間分だけ前にあることを特徴とする、請求項７〜９のいずれか１項に記載のコンピュータシステム。
11. 監視手段（ＧＵＡ）が少なくとも一つのデストリビュータユニット（Ｖ１、Ｖ２）に内蔵されており、デストリビュータユニットが独自の電源供給および独自のエラー許容型分散時計同期機能を有していることを特徴とする、請求項６〜１０のいずれか１項に記載のコンピュータシステム。

Images