JP3973560B2 - 分散コンピュ−タシステムのオペレーション方法 - Google Patents

Description

本発明は、ネットワークノードを有する分散コンピュ−タシステムのオペレーション方法であって、ネットワークノードの各々は、少なくとも１つのノードコントローラと少なくとも１つのコミュニケーションコントローラとを有する前記方法において、コミュニケーションコントローラは、相互に少なくとも１つのコミュニケーションチャネルを介して接続されており、プロビジョンは、コミュニケーションコントローラと、ネットワークノードの間で交換されるメッセージを受信するために設けられたフォールトトレランスレイヤーのためのネットワークノードのノードコントローラとの間で行われることを特徴とする前記方法に関する。

安全要請、利用性要請及びフォールトトレランス要請を有するコンピュ−タシステムに関して、 上記の要請を充足するために、代表的には冗長チャネルが使用され、これに関しては、クルーワアカデミー出版社から１９９７年に出版された、Ｈ．クロペッツ著の「リアルタイムシステム；分散埋設アプリケーションの設計原理」を参照されたい。これらの冗長チャネル及び構成部分は、代表的にはセンサからコンピュ−タノードを経てアクチュエータまで、リアルタイムアプリケーションで構成されねばならない。冗長チャネル及び冗長構成部分の使用は、非冗長システムに比して著しくコスト高を招く。

いくつかのアプリケーションにおいては、アプリケーション特性のために、チャネル又は構成部分を完全に冗長なものとして構成する必要はない。車両分野のワイヤーによるブレーキはその例である。そのわけは、代表的な乗合自動車は４つのブレーキホイールを有し、個々のホイールブレーキの故障は許容され得るからである。これに関連して、ブレーキはホイールロック又はブレーキが強くかけられ過ぎで故障を起こすことがないことが保証されねばならない。このような故障は、乗合自動車を不安定にする。

構成部分のそのような制御されない故障に対するセーフガードを図るために、供される制御機構、いわゆるブレーキラインが、アクチュエータと各ネットワークノードとの間に使用される。

ワイヤードブレーキアプリケーションのような高い信頼性システムに関しては、イベント駆動コミュニケーションプロトコル（即ち、ＣＡＮ）とは対照的に、転送時間（潜在）におけるフォールトトレランス及び最小変動を提供するリアルタイム性能のコミュニケーションシステムが信頼を得つつある。ＴＴＰ／Ｃ、例えば、そのようなタイムトリガードコミュニケーションシステムが既に市場に出回っておりかつデータの信頼のある転送に加えて、クロック同期及びメンバーシップのような一連の高いサービスを提供している。

用語「メンバーシップ」は、この関係において、特定の瞬間ーメンバーシップ点における全てのノードに対するシステムの全てのノードのオペレーション状態（固有に作動すること又は欠陥のある作動をすること）についての調和した情報を送るサービスと理解される。メンバーシップ点と他のノードに対する調和したメンバーシップ情報が認識された瞬間との間の長さ及び間隔の変動とは、メンバーシップサービスのサービスパラメータの品質特徴である。良好なメンバーシップサービスは、１つのノードの関連した状態変化の瞬間と他の全てのノードが調和した方法でこの状態変化を学習する瞬間との間の小さい最大遅れ時間を有する。これに関連して、用語「調和した」は、同一の情報を受信する全てのネットワークノードと理解される。こうして、例えば、ネットワークノードに故障が１つ発生した場合に、全てのネットワークノードが同一の故障信号を受信する。

ネットワークの各コミュニケーションコントローラにおけるメンバーシップサービスは、１つのビットが各転送ノードに割り当てられるメンバーシップベクトルを備える。このビットベクトルに「有効」と認められる送信機は、メンバーシップにおいて利用可能とみなされる。正確には、「メンバーシップベクトル」における１つのビットは、ＴＴＰ／Ｃの関係におけるＴＭＤＡ（時分割多重アクセス）の各々調和した時間スロットに順次静的に割り当てられている。

ＴＴＰ／Ｃの構成に見られるように、タイムトリガードアーキテクチャにおける本質的な安全の利点は、 コミュニケーションコントローラとノードコントローラ（処理ユニット）との間のコミュニケーションにおけるトリガー信号の排除である。この方法で、故障が広がり得ないことが保証されることができる。コミュニケーションコントローラとノードコントローラとの間のコミュニケーションにおけるトリガー信号の厳密な排除によって、公知のシステムにおいて、作動中の処理ユニット又はソフトウエアアプリケーションについて、欠陥のある処理ユニット又はソフトウエアアプリケーションの作用に影響を与える可能性がない。この事実は、処理ユニットの欠陥のある作用がシステム全体の安全を危険にする場合に、特に適切である。例えば、「ワイヤードブレーキ」システムにおいて、即ち、ブレーキが純粋に電子的に制御されるシステムにおいて、欠陥のあるソフトウエアアプリケーションは、残りのホイールコンピュ−タの遮断にもかかわらず、自動車全体の運転の制御が不可能になる得る自動車の４つのホイールの１つをブロックすることができる。しかし、制御パルスの一般的な転送は、システム全体の安全の危険源としても制御パルスを提供する。供される遮断ラインは資源需要の増大と追加の故障源の導入に繋がる。

従って、本発明の課題は、引用された従来技術の欠点を克服することにある。

この課題は、冒頭に記載された形式の方法を使用して、フォールトトレランスレイヤーが、少なくとも１つのネットワークノードの状態に関して受信した情報に基づいて、コオーディネ−ションプロシージャを介して少なくとも１つのネットワークノードの機能を決定し、そしてコオーディネ−ションの結果が、出力信号として有効な場合、少なくとも１つのネットワークノードが出力信号の機能として指令を受けることによって達成される。
クルーワアカデミー出版社から１９９７年に出版された、Ｈ．クロペッツ著の「リアルタイムシステム；分散埋設アプリケーションの設計原理」

フォールトトレランスレイヤーによって提供されるトリガー信号の導入によって、他のネットワークノードがフォールトアプリケーション又は処理ユニットに、安全設計による特殊な作用をさせかつシステム全体の特殊な故障態様が制御された方法で送信されることができる。フォールトトレランスレイヤーにおけるコオーディネ−ション機構を介して、フォールトネットワークノードが更にシステムの他のノードへ及ぼす影響が阻止されることができる。この方法で、個々の故障がシステム全体の故障に影響を及ぼさないことが保証されることができる。こうして、本発明は、信頼のあるコミュニケーションレイヤーの処理ユニットとアクチュエータの間の領域への拡幅を提供する。

コオーディネ−ションの結果は、コミュニケーションコントローラの１つ又は複数のハードウエア出力に利用可能にされる。

本発明の１つの態様によれば、コオーディネ−ションの結果は、コミュニケーションコントローラの少なくとも１つのピンのデジタル出力信号として利用可能にされることができる。

問題のあるコミュニケーションコントローラのメンバーシップ情報は、有利にコオーディネ−ションプロシージャに組み入れられることができる。その結果、他のノードが評価メッセージを送信することを阻止する欠陥ノード形成が他のノードの時間スロットを占める欠陥ノードによるコオーディネ−ションに考慮されることができる。

更に、フォールトトレランスレイヤーは、コミュニケーションコントローラと処理ユニットのデータ構造とはそれ自体無関係なデータ構造を、コオーディネ−ションアルゴリズムの選択及びコオーディネ−ションのために適用されるメッセージのために、使用することができる。

追加の利点は、少なくとも１つのアクチュエータが出力信号の関数として好適な状態又は安全な状態にもたらされることによって達成されることができる。

有利に、ネットワークノードの間のコミュニケーションは、ＴＴＯ／Ｃプロトコルによるタイムトリガードベースで行われる。

本発明を実施例と共に、図中に表された複数の実施例と関連させて以下に説明するが、これによって本発明の権利範囲が制限されるものではない。

図１は、各々ノードコントローラＳＴ 1〜ＳＴ６と、コミュニケーションコントローラＫＫ 1〜ＫＫ６とから構成されている６つのネットワークノードＮＫ 1〜ＮＫ６を有する分散コンピュ−タシステムＳＹＳの図式図を示し、コミュニケーションコントローラは、バスＢＵＳを介して相互に接続されている。明細書中において、用語「ノードコントローラＳＴ 1〜ＳＴ６」は、トリガータスク、又は一般的な意味のタスクを実行するために装備され、適切なソフトウエアアプリケーションＡＰ１〜ＡＰ６によってコンピュ−タシステムの領域内の特殊なネットワークノードＮＫ 1〜ＮＫ６のために設計された処理ユニットＲＥ１〜ＲＥ６と理解される。

好ましくはネットワークノードＮＫ 1〜ＮＫ６の間のコミュニケーションは、タイムトリガード転送プロトコル、例えば、ＴＴＰ／Ｃプロトコルに従って行われる。ＴＴＰ／Ｃプロトコルの概念については、例えば、ヨーロッパ特許１４６６１２を参照されたい。

ネットワークノードＮＫ 1〜ＮＫ６のいくつか又は全ては、他のネットワークノードＮＫ 1〜ＮＫ６の作用又はオペレーション状態をモニタすることができ、その際モニタ作用は反復して行われる。こうして、あるノードをモニタするノード自体は、他のノードによってモニタされることができる。モニタの結果は、ネットワークノードＮＫ 1〜ＮＫ６のコミュニケーションコントローラＫＫ 1〜ＫＫ６の間の評価メッセージとしてバスＢＵＳを介して交換される。

ノードコントローラＳＴ 1〜ＳＴ６とコミュニケーションコントローラＫＫ 1〜ＫＫ６との間にはフォールトトレランスレイヤーＦＴ 1〜ＦＴ６が位置しており、フォールトトレランスレイヤーは、バスＢＵＳを介して転送される評価メッセージを受信しかつネットワークノードの関数に関する個別の評価メッセージについてのコオーディネ−ションプロシージャを実行する。フォールトトレランスレイヤーの概念に関しては、例えば、「ニューヨークＩＥＥＥプレスの依存システム及びネットワーク（ＤＳＮ２００）についてＧ．Ｂａｕｅｒ及びＨ．Ｋｏｐｅｔｚの著作によるタイムトリガードアーキテクチャにおける透明冗長の 5〜１３頁」を参照のこと。実際に、フォールトトレランスレイヤーは、例えば、コミュニケーションコントローラＫＫ 1〜ＫＫ６とノードコントローラＳＴ 1〜ＳＴ２との間に配置されて適切にプログラムされたマイクロプロセッサを使用することによって構成されることができる。フォールトトレランスレイヤーを形成するための他の可能性は、フォールトトレランスレイヤーをハードウエアユニットとしてコミュニケーションコントローラに設けることにある。

次のアルゴリズムはコオーディネ−ションプロシージャの変形として考慮される。
コオーディネ−ションに関連して、フォールトトレランスレイヤーＦＴによって使用される評価メッセージの数ｎに関して、 評価メッセージの数ｍは、結果（多数コオーディネ−ション）に導くために、ｎ／２よりの大きくなければならない。
・又は、考慮される全ての評価メッセージは等しくなければならない（ｎ＝ｎ）−一致

コオーディネ−ションの結果は、記憶領域におけるネットワークノードのデジタル又はアナログ出力信号としてかつコミュニケーションコントローラＫＫ 1〜ＫＫ６、例えば、コミュニケーションコントローラＫＫ 1〜ＫＫ６のピンのハードウエア出力に利用されることができる。出力信号ＡＳＳの関数として、処理ユニットの再スタート又は緊急遮断が実行されることができ、及び／又はアクチュエータＡＫＴが、下記のように、好適な又は安全な状態にもたらされることができる。

図２によれば、ネットワークノードＮＫＮは、ノードコントローラＳＴＲ（対応するソフトウエアアプリケーションを伴う処理ユニットＲＥＥ），例えば、対応してプログラムされたＣＰＵ（中央処理ユニット）及びコミュニケーションコントローラＫＫＫを有する。処理ユニットＲＥＥとコミュニケーションコントローラＫＫＫとの間に、安全上の理由からインタフェースを介してトリガー信号の交換を行わないインタフェースＣＮＩが位置しかつ前記フォールトトレランスレイヤーＦＴＳが位置している。

コミュニケーションコントローラＫＫＫは、バスＢＵＳを介してネットワークノードとのコミュニケーションシーケンスを制御する。そのようにする場合、データは、データインタフェースＣＮＩから読み出されかつ使用されるタイムトリガードコミュニケーションフローによって先に特定されたタイムスロットに転送される。同様に、処理ユニットＲＥＥのために受信されたメッセージは、データインタフェースＣＮＩに蓄えられる。フォールトトレランスレイヤーＦＴＳのタスクは、他のものとの間で、処理ユニットＲＥＥで実行されているソフトウエアアプリケーションＡＰＬのためのデータインタフェースＣＮＩに蓄えられたデータを、トリガーネットワークノードＮＷＫ又は要請に従ってアクチュエータに提供すること、及びフォールトトレランスレイヤーＦＴＳと処理ユニットＲＥＥとの間に位置するデータインタフェースＦＴ−ＣＮＩに蓄える。例えば、可変の冗長メッセージは、一緒に置かれ、値は変換され又は特殊な値は計算され、こうして、処理ユニットＲＥＥに蓄えられたソフトウエアアプリケーションＡＰＬは、ルーチン作動及び複雑性を緩和される。ソフトウエアアプリケーションＡＰＬは、結局、トリガーアクチュエータＡＫＴ，例えば、ブレーキアクチュエータのタスクを行わせる。

本発明によれば、既に先に述べたように、フォールトトレランスレイヤーＦＴＳは、出力信号ＡＳＳとして有効ななコオーディネ−ションの結果を作成することができる。この出力信号ＡＳＳは、記憶領域、 例えば、インタフェースＣＮＩの領域におけるネットワークノードにおいて利用可能にされることができる。

このデータインタフェースＣＮＩ及び／又はフォールトトレランスレイヤーＦＴＳは、処理ユニットに接続され、その結果必要な場合には、出力信号ＡＳＳが処理ユニットＲＥＥに転送されることができ、出力信号ＡＳＳの予め設定可能な値でスイッチを遮断し又は再スタートするために、処理ユニットを装備することが可能である。こうして、ノードコントローラＳＴＲの再スタート又は緊急遮断が、出力信号によって行われることができる。その上、データインタフェースＣＮＩ及び／又はフォールトトレランスレイヤーＦＴＳはアクチュエータＡＫＴに接続されることができ、その結果アクチュエータは、出力信号ＡＳＳの値によって好適な又は安全な状態にシフトされる。

既に先に述べたように、コオーディネ−ションプロシージャ自体のために、数個のバリエーションが原理的に想定できる。しかし、ここで本質的なことは、コミュニケーションコントローラＫＫＫと処理ユニットＲＥＥとの間のフォールトトレランスレイヤーの存在であり、フォールトトレランスレイヤーは、処理ユニットＲＥＥとは無関係にコオーディネ−ションプロシージャを実行しかつコオーディネ−ションの結果を出力信号ＡＳＳとして有効とする。

フォールトトレランスレイヤーＦＴＳの独立性を保証するために、フォールトトレランスレイヤーＦＴＳは、コオーディネ−ションアルゴリズムの選択と、コミュニケーションコントローラＫＫＫとノードコントローラＳＴＲのデータ構造とは無関係なコオーディネ−ションのために採択された評価メッセージ用のデータ構造を有することができる。

好ましくは、本発明による方法によって、フォールトトレランスレイヤーにおいて、フォールトトレランスレイヤーＦＴＳに割り当てられたノードＮＫＮの関数が制御され、 この場合、このノードＮＫＮの関数に関する出力信号ＡＳＳが制御される。コオーディネ−ションとしてリストアップされた他のノードの評価メッセージは、勿論ノードＮＫＮの状態に関係する。

図３は、可能なワイヤードブレーキアーキテクチャの簡単化した図である。このアーキテクチャにおいて、ネットワークノードＮＫ１、ＮＫ３，ＮＫ４，ＮＫ６は、ホイールの制御を行う。２つのネットワークノードＮＫ２、ＮＫ５は、冗長的にブレーキペダル位置を検出する。ネットワークノードＮＫ１〜ＮＫ６は、バスＢＵＳを介して互いに接続されており、バスは、通常、全ての安全関連メッセージを冗長的に転送する２つのコミュニケーションチャネルから成り、かつコミュニケーションチャネルの各々は、ＴＴＰ／Ｃコミュニケーションコントローラ、フォールトトレランスレイヤーＦＴ１〜ＦＴ６及びノードコントローラＳＴ１〜ＳＴ６を有する。しかし、原則的に、相異なるタイムトリガードコミュニケーションプロトコルが、ＴＴＰ／Ｃプロトコルの代わりに使用されることができる。本発明は、ノードコントローラＳＴ１〜ＳＴ６及びこれに接続されたアクチュエータの作用についての追加的制御を導入することを可能にし、その際システム全体の安全が縮減されることはない。

個々のフォールトを許容することができるために、ブレーキペダル位置を検出するために使用されるネットワークノードＮＫ２、ＮＫ５は、余裕をもって設計されねばならない。代表的な乗合自動車は、４つのブレーキホイールを有するので、 個々のホイールブレーキの故障は許容される。従って、唯一のネットワークノードＮＫ 1、ＮＫ３，ＮＫ４、ＮＫ６は，ブレーキコントローラのための各ホイールに位置する。

ホイール上の他の処理ユニットの作用を制御するソフトウエアアプリケーションは、ホイールノードの各処理ユニットで実行される。こうして、ノードコントローラＳＴ１〜ＳＴ６は、他のノードコントローラＳＴ１〜ＳＴ６をモニターすることができる。バスＢＵＳ及び自動車の運転状況について測定されたデータを介して送信された両メッセージは、これらの制御タスクのためのデータとして使用されることができる。他の処理ユニット又はネットワークノードＮＫ１〜ＮＫ６の評価は、バスを介して評価メッセージＮＡ１〜ＮＡ６として送信される。各コミュニケーションコントローラＫＫ１〜ＫＫ６は、それから各コミュニケーションにおいて順次３つの他のホイールノードの評価メッセージＮＡ１，ＮＡ３，ＮＡ４，ＮＡ６を受信しかつそれらをそのために割り当てられた特殊なデータインタフェースＣＮＩに蓄える。各ネットワークノードの独立したフォールトトレランスレイヤーＦＴ１〜ＦＴ６は、特殊なノードのローカルメッセージと共に，受信した評価メッセージＮＡ１〜ＮＡ６からそのコオーディネ−ションの結果を作成することができかつ前記コオーディネ−ションの結果を特殊なネットワークノードＮＫ１〜ＮＫ６内及び当該コミュニケーションコントローラＫＫ１〜ＫＫ６のハードウエア出力の出力信号ＡＳ１〜ＡＳ６として有効にする。

既に先に述べたように、多数決又は一致は、基本のコオーディネ−ションプロシージャとして可能である。その上、メンバーシップ情報は、タイムトリガードコミュニケーションプロトコルがそのような配列を有するならば、コオーディネ−ションの結果に組み込まれることができる。ＴＴＰ／Ｃは、コオーディネ−ションのために列挙されることができる分散メンバーシップサービスを提供する。メンバーシップ情報と関連することによって、コオーディネ−ションのために使用される変形が行われる。
・メンバーシップ情報のみの使用；
コオーディネ−ションプロシージャのための供されたメッセージ（評価メッセージ）の使用；
・供されるメッセージ及びメンバーシップ情報；

ネットワークノードＮＫ１〜ＮＫ６が多数又は全部が一致し、処理ユニットの作用又はオペレーション中のソフトウエアアプリケーションが全システムの安全を危険にさらした場合には、このノードのフォールトトレランスレイヤーＦＴ１〜ＦＴ６が相応した出力信号ＡＳ１〜ＡＳ６を発生する。

そのようなコオーディネ−ションの結果から引き出されるべきいかなる結果も、システムの先の配列において決定されねばならない。表示された実施例において、ソフトウエアアプリケーションの一時的な故障を直すために、ブレーキアクチュエータを安全な状態にもたらすこと及び欠陥処理ユニットの再スタートを行わせることの双方が、必要である。

どのコミュニケーションラウンドにおいても新たなコオーディネ−ションオペレーションが行われるので、接続されたアクチュエータの制御は、ネットワークノードの再積層が完成した後に、割り当てられたノードコントローラ又は処理ユニットに移送されることができる。

コオーディネ−ション値についての情報は特別のデータインタフェースＣＮＩ内で内部で利用可能でありかつコミュニケーションコントローラＫＫ 1〜ＫＫ６から他のネットワークノードＮＫ 1〜ＮＫ６に移送されるので、ネットワークノードは、状況に応じてブレーキ力を再配分することによって、故障状態に応答することができる。

コオーディネ−ションプロシージャのための独立のフォールトトレランスの導入は、タイムトリガードされたバスとデータインタフェースＣＮＩとを超えて処理ユニットの反復制御の可能性を創造する。これは、特殊な故障態様に正しく応答することを可能にするために必要である。それにもかかわらず、この方法で個々の故障がシステム全体の安全を害さないことが保証されることができる。

本発明による分散コンピュ−タシステムのオペレーション方法におけるコオーディネ−ションプロシージャのための独立のフォールトトレランスの導入は、タイムトリガードされたバスとデータインタフェースＣＮＩと介して処理ユニットの反復制御の可能性を創造する。これによって、特殊な故障態様に正しく応答し、しかも、コンピュ−タのオペレーションにおいて、個々の故障がシステム全体の安全を害さないことが保証されることができる。

タイムトリガードコミュニケーションを伴う分散コンピュ−タシステムを示す図である。 フォールトトレランスレイヤーを備えたネットワークノードの論理構造を示す図である。 ワイヤードブレーキ構造の単純化した図である。

符号の説明

ＡＫＴ アクチュエータ
ＡＫ１ アクチュエータ
ＡＫ２ アクチュエータ
ＡＫ３ アクチュエータ
ＡＫ４ アクチュエータ
ＡＳＳ 出力信号
ＡＳ１ 出力信号
ＡＳ２ 出力信号
ＡＳ３ 出力信号
ＡＳ４ 出力信号
ＡＳ５ 出力信号
ＡＳ６ 出力信号
ＢＵＳ コミュニケーションチャネル
ＦＴＳ フォールトトレランスレイヤー
ＦＴ１ フォールトトレランスレイヤー
ＦＴ２ フォールトトレランスレイヤー
ＦＴ３ フォールトトレランスレイヤー
ＦＴ４ フォールトトレランスレイヤー
ＦＴ５ フォールトトレランスレイヤー
ＦＴ６ フォールトトレランスレイヤー
ＫＫＫ コミュニケーションコントローラ
ＫＫ１ コミュニケーションコントローラ
ＫＫ２ コミュニケーションコントローラ
ＫＫ３ コミュニケーションコントローラ
ＫＫ４ コミュニケーションコントローラ
ＫＫ５ コミュニケーションコントローラ
ＫＫ６ コミュニケーションコントローラ
ＮＡ１ 評価メッセージ
ＮＡ２ 評価メッセージ
ＮＡ３ 評価メッセージ
ＮＡ４ 評価メッセージ
ＮＡ５ 評価メッセージ
ＮＡ６ 評価メッセージ
ＮＫＮ ネットワークノード
ＮＫ１ ネットワークノード
ＮＫ２ ネットワークノード
ＮＫ３ ネットワークノード
ＮＫ４ ネットワークノード
ＮＫ５ ネットワークノード
ＮＫ６ ネットワークノード
ＳＴＲ ノードコントローラ
ＳＴ１ ノードコントローラ
ＳＴ２ ノードコントローラ
ＳＴ３ ノードコントローラ
ＳＴ４ ノードコントローラ
ＳＴ５ ノードコントローラ
ＳＴ６ ノードコントローラ
ＳＹＳ コンピュータシステム

Claims (10)

1. ネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)を有する分散コンピュ−タシステム（ＳＹＳ）のオペレーション方法であって、各ネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)は、少なくとも１つのノードコントローラ (ＳＴＲ，ＳＴ1 〜ＳＴ６)と、少なくとも１つのコミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)とを有し、コミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)は、少なくとも１つのコミュニケーションチャネル（ＢＵＳ）に接続されており、フォールトトレランスレイヤー (ＦＴＳ，ＦＴ 1〜ＦＴ６)に対する準備はネットワークノード(ＮＫＮ，ＮＫ１〜ＮＫ６)のコミュニケーションコントローラ (ＫＫ 1〜ＫＫ６)とノードコントローラ (ＳＴＲ，ＳＴ１〜ＳＴ６)の間で行われ、前記フォールトトレランスレイヤー (ＦＴＳ，ＦＴ 1〜ＦＴ６)はネットワークノード(ＮＫＮ，ＮＫ１〜ＮＫ６)間で交換されるメッセージを受信するために配置され、 各フォールトトレランスレイヤー (ＦＴＳ，ＦＴ 1〜ＦＴ６)は、受信した少なくとも１つのネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)の状態に関係する情報に基づいて、コオーデネーションプロシージャを介して少なくとも１つのネットワークノード (ＮＫ 1〜ＮＫ６)の機能を決定し、そのコオーディネーションの結果が出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)として有効な場合、その出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)の機能に応じて少なくとも１つのネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)は動作することを特徴とする前記方法。
2. コオーディネーションの結果が、コミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)の１つ又は複数のハードウエア出力に利用可能にされることを特徴とする請求項１に記載の方法。
3. コオーディネーションの結果が、コミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)の少なくとも１つのピンのデジタル出力信号として利用可能にされることを特徴とする請求項１又は２に記載の方法。
4. 問題のあるコミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)のメンバーシップ情報がコーオーデネーションプロシージャに含まれていることを特徴とする請求項１から３までのうちのいずれか 1つに記載の方法。
5. フォールトトレランスレイヤー (ＦＴＳ，ＦＴ 1〜ＦＴ６)が、コオーデネーションアルゴリズムの選択及び協調のためにリストアップされた評価メッセージ（ＮＡ１〜ＮＡ６）のために、コミュニケーションコントローラ (ＫＫＫ，ＫＫ 1〜ＫＫ６)及びノードコントローラ (ＳＴ 1〜ＳＴ６)のデータ構造とはそれ自体無関係なデータ構造を使用することを特徴とする請求項１から３までのうちのいずれか 1つに記載の方法。
6. コオーディネ−ションの結果が、記憶領域におけるネットワークノード内で利用可能にされることを特徴とする請求項１から４までのうちのいずれか 1つに記載の方法。
7. 少なくとも１つのノードコントローラ (ＳＴ 1〜ＳＴ６)が、出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)の機能として再スタートされることを特徴とする請求項１から５までのうちのいずれか 1つに記載の方法。
8. ノードコントローラ (ＳＴ 1〜ＳＴ６)の緊急遮断が、出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)の機能として行われることを特徴とする請求項１から６までのうちのいずれか 1つに記載の方法。
9. 少なくとも１つのネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)が、ノードコントローラ (ＳＴＲ，ＳＴ 1〜ＳＴ６)に接続されたアクチュエータ (ＡＫＴ，ＡＫ 1〜ＡＫ４) を有し、アクチュエータ (ＡＫＴ，ＡＫ 1〜ＡＫ４)は、出力信号 (ＡＳＳ，ＡＳ 1〜ＡＳ６)によって好適な状態又は安全な状態にもたらされることを特徴とする請求項１から７までのうちのいずれか 1つに記載の方法。
10. ネットワークノード (ＮＫＮ，ＮＫ 1〜ＮＫ６)の間のコミュニケーションが、ＴＴＰ／Ｃプロトコルによるタイムトリガードベースで行われることを特徴とする請求項１から８までのうちのいずれか 1つに記載の方法。