JP4099332B2 - 分散型コンピュータ・システムおよびこのシステムのディストリビュータ・ユニットにおける耐故障性能を向上させる方法 - Google Patents

Description

【０００１】
本発明は、複数の遠隔通信コンピュータがディストリビュータ・ユニットを介して接続され、各遠隔コンピュータが対応の通信チャンネルと接続する独立の通信コントローラを有し、通信チャンネルへのアクセスが巡回時分割多重アクセス方法で行われる耐故障性分散型コンピュータ・システムの遠隔通信コンピュータ・システムの時間領域における耐故障性能を向上させる方法に係わる。
【０００２】
本発明はまた、複数の遠隔通信コンピュータがディストリビュータ・ユニットを介して接続され、各遠隔コンピュータが通信チャンネルとの対応の接続手段を備えた独立の通信コントローラを有し、通信チャンネルへのアクセスが巡回時分割多重アクセス方法で行われる耐故障性分散型コンピュータ・システムの遠隔通信コンピュータ・システムの時間領域における耐故障性能を向上させるための、集積ガーディアンを有するディストリビュータ・ユニットにも係わる。
【０００３】
安全性が重視される技術的用途、即ち、故障が惨事につながるような用途では、分散型耐故障性リアルタイム・コンピュータ・システムによる管理が普及しつつある。
【０００４】
多数の遠隔通信コンピュータとリアルタイム通信システムから成る分散型耐故障性リアルタイム・コンピュータ・システムにおいては、遠隔コンピュータの故障に耐えねばならない。このようなコンピュータ構造の心臓部には、予想通りに迅速且つ確実にメッセージ交換するための耐故障性リアルタイム通信システムが存在する。
【０００５】
これらの条件を満たす通信プロトコルの１例はＥＰ０６５８２５７Ａ（ＷＯ９４／０６０８０）に記述されている。このプロトコルは“Ｔｉｍｅ−Ｔｒｉｇｇｅｒｅｄ Ｐｒｏｔｏｃｏｌ／Ｃ（ＴＴＰ／Ｃ）”の名称で知られている。このプロトコルは公知のタイム・スライスによる巡回時分割多重アクセス方法（ＴＤＭＡ）方法に基づいている。ＴＴＰ／ＣプロトコルはＵＳ ４，８６６，６０６Ａに開示されている耐故障性クロック同期方法を採用している。
【０００６】
ＴＴＰ／Ｃプロトコルは、通信システムが論理ブロードキャスト・トポロジーをバックアップし、遠隔通信コンピュータが受け手側からの観点で、“フェール・サイレンス”（Ｋｏｐｅｔｓ）ｐ．１２１）故障挙動を示す。即ち、遠隔コンピュータが値域に関しても時間領域に関しても正常に機能するか、さもなければサイレント状態となる。このことはボストンのＫｌｕｗｅｒ Ａｃａｄｅｍｉｃ Ｐｕｂｌｉｓｈｅｒｓから刊行されたＫｏｐｅｔｚ，Ｈ．（１９９７）の論文“Ｒｅａｌ−Ｔｉｍｅ Ｓｙｓｔｅｍ，Ｄｅｓｉｇｎ Ｐｒｉｎｃｉｐｌｅ ｆｏｒ Ｄｉｓｔｒｉｂｕｔｅｄ Ｅｍｂｅｄｄｅｄ Ａｐｐｌｉｃａｔｉｏｎｓ”；ＩＳＢＮ：０−７９２３−９８９４−７に開示されている。時間領域に関する故障、即ち、いわゆる“バブリング・イディオット”（Ｋｏｐｅｔｚ，ｐ．１３０、およびＡｎｎｕａｌ Ｉｎｔ．Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｆａｕｌｔ−Ｔｏｌｅｒａｎｔ Ｃｏｍｐｕｔｉｎｇ，２３Ｊｕｎｅ １９９８，ｐｐ．２１８−２７７，ＩＥＥＥ Ｃｏｍｐｕｔｅｒ Ｓｏｃ．，Ｌｏｓ Ａｌａｍｉｔｏｓ，ＣＡ，ＵＳ；Ｔｅｍｐｌｅ Ｃ：“Ａｖｏｉｄｉｎｇ ｔｈｅ Ｂａｂｂｌｉｎｇ−Ｉｄｉｏｔ Ｆａｉｌｕｒｅ ｉｎ ａ Ｔｉｍｅ−Ｔｒｏｇｇｅｒｅｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｓｙｓｔｅｍ”）の防止は、ＴＴＰ／Ｃプロトコルでは、独自のタイムベースを有し、遠隔コンピュータの時間的挙動を絶えずチェックする独立した故障認識ユニット、いわゆる“ガーディアン”によって達成される。耐故障性を達成するため、いくつかのフェール・サイレント遠隔コンピュータを耐故障性ユニット（ＦＴＵ）にまとめ、通信システムを複製する。ＦＴＵのうちの１つの遠隔コンピュータと１つの通信システム複製が機能している限り、時間領域および値域に関してＦＴＵのサービスが正しく提供される。
【０００７】
通信の論理ブロードキャスト・トポロジーは、分散型バス・システム、分散型リング・システム、またはディストリビュータ・ユニット、例えば、遠隔コンピュータと２点間接続する星型カプラー、またはこれらのトポロジーの組合せによって物理的に構成することができる。もし分散型バス・システムまたは分散型リング・システムを構成するなら、それぞれの遠隔コンピュータが独自のガーディアンを具えねばならない。
【０００８】
本発明の１つの目的は、分散型時間制御コンピュータ・システムの耐故障性を向上させると共にコストを軽減することにある。
【０００９】
この目的は本発明の上記方法によって達成される。即ち、本発明では、ディストリビュータ・ユニットにとって先験的に既知の、遠隔コンピュータの適正伝送挙動により、少なくとも１つのディストリビュータ・ユニットの作用下に、遠隔コンピュータは静的に割り当てられたタイム・スライス以内でのみ、他の遠隔コンピュータに伝送可能となる。
【００１０】
インテリジェント・ディストリビュータ・ユニット中に“ガーディアン”を集積することにより、遠隔コンピュータの“バブリング・イディオット”故障、即ち、適切でない時間にメッセージを伝送するのを防止することができる。
【００１１】
本発明のディストリビュータ・ユニットを採用すれば、すべてのガーディアンをこのディストリビュータ・ユニットに集積することができ、すべての遠隔コンピュータを広域規模で観察することで、時間領域に関する正しい送信挙動を効果的に向上させることができる。
【００１２】
集積ガーディアンを含むこのようなディストリビュータには下記のような利点がある：
（ｉ）ディストリビュータ・ユニットに遠隔コンピュータを２点間接続することによって、広域規模の重大な故障につながる故障領域が狭められる。即ち、２点間接続へのＥＭＩ（電磁妨害雑音）に起因する故障をはっきりと１つの遠隔コンピュータに割当てることができ、広域的に影響することがない。
【００１３】
（ｉｉ）複製された広域規模ディストリビュータ・ユニットは保護エリアに間隔を保って設置することができ、その構造は物理的にコンパクトである。これにより、故障誘発要因が広域規模のディストリビュータ・ユニットを混乱させる恐れは軽減される。
【００１４】
（ｉｉｉ）ディストリビュータ・ユニットに集積されたガーディアンは、個々の遠隔コンピュータに装備されるガーディアンに代わって機能する。これにより、ガーディアン・オッシレータのような遠隔コンピュータ用のハードウェアが不要になる。
【００１５】
（ｉｖ）物理的な２点間接続はオプチカルファイバの導入にも好適であり、より線のインピーダンス整合にも好都合である。
【００１６】
上記目的はまた、上記ディストリビュータ・ユニットによって達成される。即ち、本発明では、ディストリビュータ・ユニットにとって先験的に既知の、遠隔コンピュータの適正伝送挙動により、少なくとも１つのディストリビュータ・ユニットの作用下に、遠隔コンピュータは統計的に割り当てられたタイム・スライス以内でのみ、他の遠隔コンピュータに伝送可能となる。
【００１７】
ディストリビュータ・ユニットは、個々の遠隔コンピュータの伝送時間許可に関する静的な先験的情報と、時間制御通信システムのメッセージによるディストリビュータの動的同期化との組合せの評価に基づいて機能する。
【００１８】
本発明の詳細を、上記以外の利点と共に、添付図面に示す実施例に基づいて以下に説明する。
【００１９】
２つの複製ディストリビュータ・ユニットを介して接続された４つの遠隔コンピュータから成る本発明の実施例を以下に説明する。尚、３桁の参照番号の最初の数字は図面の番号を表す。
【００２０】
図１は４つの遠隔通信コンピュータ１１１、１１２、１１３および１１４から成るシステムを示し、各遠隔コンピュータは交換可能なユニットを形成し、２点間接続１２１を介して２つの複製ディストリビュータ・ユニット１０１および１０２のそれぞれと接続する。第１ディストリビュータ・ユニット１０１から、単向性通信チャンネル１５１が第２ディストリビュータ・ユニット１０２に達している。逆に、ディストリビュータ・ユニット１０２から、単向性通信チャンネル１５２がディストリビュータ・ユニット１０１に達している。これらの単向性通信チャンネルを介して、第１ディストリビュータ・ユニット１０１は第２ディストリビュータ・ユニット１０２におけるトラフィックを観察することができ、この逆も可能であり、第１ディストリビュータ・ユニット１０１は自体の接続１２１においてメッセージ・トラフィックが存在しなければ、コールド・スタートまたはクロック同期化を行うことができる。図示の接続１４１および１４２は専用通信チャンネルであり；（図示しないが）メンテナンス・コンピュータに達しており、このメンテナンス・コンピュータはディストリビュータ・ユニットのパラメータを設定することができ、ディストリビュータ・ユニットの正しい機能を絶えずモニターすることができる。
【００２１】
図２は遠隔通信コンピュータ１１１の内部構成を示す。この遠隔通信コンピュータ１１１は２つのサブシステム、即ち、（図１の１２１に対応する）複製通信チャンネル２０１および２０２と接続する通信コントローラ２１０と、遠隔コンピュータの利用者プログラムを実行するホスト・コンピュータ２２０とから成る。これら両サブシステムは通信ネットワーク・インターフェース（ＣＮＩ）２４１および信号線２４２を介して互いに接続している。インターフェース２４１は、両サブシステムがアクセスできるメモリー（デュアル・ポートＲＡＭ＝ＤＰＲＡＭ）を含む。両サブシステムはこの共通メモリーとインターフェース２４１を介して通信データを交換する。信号線２４２は同期化された時間信号を搬送する機能を果たす。この信号線の詳細はＵＳ４，８６６，６０６Ａに記述されている。独立的に作用する通信コントローラ２１０は通信制御ユニット２１１と、メッセージの送受信が必要な時刻を指示するデータ構造２１２とを有する。データ構造２１２はメッセージ記述子リスト（ＭＥＤＬ）と呼称される。
【００２２】
図３は集積ガーディアンを有するディストリビュータ・ユニットの構造を示す。このディストリビュータ・ユニットは入力ポート３１１、出力ポート３１２、データ・ディストリビュータ３３０および制御コンピュータ３４０から成る。（図１の１２１に対応する）遠隔コンピュータのデータ接続３０９はディストリビュータ・ユニットの入力ポート３１１および出力ポート３１２に至る。データ接続３０２，３０３および３０４についても同様である。単向性通信線の場合、これら両ポート３１１および３１２はデータ接続３０１を有する遠隔コンピュータの対応ポートとそれぞれ別々に接続することもできる。それぞれの入力ポート３１１には、公知のフィルタおよび（必要なら）分圧器のほかに、信号線３１４を介してディストリビュータ・ユニットの制御コンピュータ３４０によって作動させることができ、このポートにおいて受信すべき時を制御コンピュータ３４０に指示するスイッチ３１３が存在する。入力ポート３１１に入力されたデータはデータ・ディストリビュータ３３０を介して出力ポート３１２、制御コンピュータ３４０（データ線３３１を介して）、およびその他のディストリビュータ・ユニット（チャンネル３５１を介して）にリレーされる。制御コンピュータ３４０は直列Ｉ／Ｏチャンネルをも有し、このチャンネルを介して図４に示すような静的データ構造を搬送することができ、これにより、制御コンピュータ３４０の状態に関する診断リポートをメンテナンス・コンピュータへ周期的に伝送する。必要ならば、出力に先立って、線３１２上のデータを増幅することができる。増幅器は公知の部品であり、図３では省略されている。
【００２３】
図４は制御コンピュータ３４０が利用できる、伝送前のデータ構造を示す。このデータ構造はディストリビュータ・ユニットの各ポートまたは遠隔コンピュータ１１１，１１２，１１３，１１４のための特定データ記録４１１，４１２，４１３，４１４を含む。このデータ記録４０１の第１欄には、このデータ記録が属するポート番号が記入される。第２欄には、リストＭＥＤＬ ２１２に記入されるポートと連携するノードの送信時間長さが記入される。第３欄４０３には、このポートと連携するノードの現送信が終了してからこのポートと連携するノードの次の送信が始まるまでのタイムインターバルの長さが記入される。第４欄４０４には、次のポートの番号が記入される。第５欄４０５には、現送信が終了してから次のポートにおけるノードの送信が始まるまでのタイムインターバルの長さが記入される。欄４０６には、現ポートにおいて受信できる初期化メッセージの長さが記入される。図４のデータ構造の内容は開発ツールとメッセージ記述子リスト３４０とで設定され、チャンネル３４１を介して伝送される前に制御コンピュータ３４０にロードされる。
【００２４】
図５は初期化メッセージの構造を示す。初期化メッセージはヘッダ５０１に、初期化メッセージとしてメッセージを特徴付ける特定のビット５１０を含まねばならない。初期化メッセージのデータ欄５０２には、単一のディストリビュータ・ユニットの機能にとって重要でない追加情報が記入される。初期化メッセージの末尾にはＣＲＣ欄５０３が存在する。精巧なディストリビュータ・ユニットは初期化メッセージのデータ欄５０２中の情報を評価することにより故障検出の確度を高めることができる。例えば、このような精巧なディストリビュータ・ユニットはＴＴＰ／Ｃ初期化メッセージの時間欄を評価することによって送信機のクロック状態を自体のクロックと比較することができる。
【００２５】
図６はディストリビュータ・ユニット１０１の制御コンピュータ３４０の２つの最も重要な内部状態、即ち、非同期化状態６０１および同期化状態６０２を示す。パワー・アップ６１０の後、制御コンピュータ３４０は“非同期化”状態になる。この状態では、すべての入力ポート３１１がデータ・ディストリビュータ３３０と接続する。制御コンピュータ３３１からデータ線３３１（またはチャンネル３５２）を介して正しいメッセージが入力ポートで受信されるや否や、制御コンピュータ３４０は信号線３１４を介して受信に使用されたポートを確認し、受信時刻をメモリーに記憶し、欄４０６に記憶されている長さと比較することによってメッセージの長さをチェックし、もしチェック結果がポジティブなら、”同期化“状態６０２となり、記憶された初期化メッセージ受信時刻が同期化事象を表す。”同期化“状態では、制御コンピュータ３４０が持続時間４０３だけ、対応の入力ポートを接続状態にする。もし特定のメッセージが所定の符号化システムの符号化規則に対応するほぼ正確な時刻に入来すると、制御コントローラは観察されたメッセージ入来時刻と予想入来時刻の測定差を利用することにより、公知の耐故障性アルゴリズム（例えば、Ｋｏｐｅｔｚ １９９７，ｐ．６１）を使用してクロックを再同期化する。所定のタイム・インターバルｄ_{ｆａｕｌｔ−１}以内にチャンネル３０１〜３０４のいずれか、または３５２で正しいメッセージが入来しなければ、ディストリビュータ・ユニットまたはその制御コンピュータ３４０が”非同期化“状態６０１になる。同期化状態において、少なくとも下記の基準を満たすなら、メッセージは適正である：ほぼ予想通りの時刻に入力ポートに入来し、正しいＣＲＣ欄５０３を有し、欄４０６に記録されている正しい長さを有する。
【００２６】
制御コンピュータ３４０はＩ／Ｏ線３４１（図１の線１４１および１４２）を介してメンテナンス・コンピュータと交信し、メンテナンス・コンピュータは制御コンピュータ３４０をパラメタ化して、動作中、制御コンピュータの機能をモニターする。
【００２７】
遠隔コンピュータ、例えば、１１１のクロックに単一のエラーがあると、遠隔コンピュータ１１１の両チャンネル２０１および２０２に現れる物理的信号の符号化に限界ぎりぎりのエラーを生ずる結果となる。これが２つのディストリビュータ・ユニットを介してメッセージの受信者にまで伝播するのを防止するため、各ディストリビュータ・ユニットに入来する物理的信号を受信直後に、ディストリビュータ・ユニットのローカル・クロックを利用してディジタル信号に変換し、ディストリビュータ・ユニットによる送信の直前に再び物理的信号に変換する（ディストリビュータ・ユニットによる信号再成形）。このようにすれば、限界ぎりぎりの符号化エラーは一貫して正しい符号化として表現されるか、または一貫して誤った符号化として表現されることになる。ＴＤＭＡ内に１つだけエラー発生源が存在する場合、上記変換処理により、時間領域または値域に関する単一のエラーが両チャンネルにおける符号化をこんらんさせてシステム内に不整合を発生させるのを防止することができる。
【００２８】
制御コンピュータ３４０がスイッチ３１３の開閉を行うだけであって、伝送メッセージの内容を変更することも、新しいメッセージを挿入することもできないというのが、本発明の重要な性質である。従って、ディストリビュータ・ユニットに故障が発生するとすれば、そのタイプは通信チャンネルのフェール・サイレント故障だけである。ただし、耐故障構成では、常に第２の独立通信チャンネルを利用することができる。
【００２９】
最後に、本発明は４つの遠隔コンピュータと２つのディストリビュータ・ユニットから成る上記実施例に限定されるものではなく、任意に拡大することができる。また、ＴＴＰ／Ｃプロトコルと併用できるだけでなく、その他の時間制御プロトコルとも併用できる。
【図面の簡単な説明】
【図１】 図１は、２つの複製ディストリビュータを介して接続された４つの遠隔コンピュータから成る分散型コンピュータ・システムの構造図である。
【図２】 図２は、通信ネットワーク・インターフェース（ＣＮＩ）を介して通信する通信コントローラとホスト・コンピュータから成る遠隔コンピュータの構造図である。
【図３】 図３は集積ガーディアンを有するディストリビュータの構造図である。
【図４】 図４はディストリビュータ・ユニットが先験的に含む情報のデータ構造図である。
【図５】 図５は初期化メッセージの構造図である。
【図６】 図６はディストリビュータ・ユニットの内部状態を示す簡略図である。

Claims (10)

1. 複数の遠隔通信コンピュータ（１１１，．．．，１１４）がディストリビュータ・ユニット（１０１，１０２）を介して接続され、各遠隔コンピュータが対応の通信チャンネルと接続する独立の通信制御ユニット（２１０）を有し、通信チャンネルへのアクセスが巡回時分割多重アクセス方法で行われる耐故障性分散型コンピュータ・システムの遠隔通信コンピュータ・システムの時間領域における耐故障性能を向上させる方法において、
   ディストリビュータ・ユニットにとって先験的に既知の、遠隔コンピュータ（１１１，．．．，１１４）の適正伝送挙動により、少なくとも１つのディストリビュータ・ユニット（１０１，１０２）の作用下に、遠隔コンピュータは静的に割り当てられたタイム・スライス以内でのみ、他の遠隔コンピュータに伝送可能となること
   を特徴とする前記方法。
2. 少なくとも１つのディストリビュータ・ユニット（１０１，１０２）が、すべての入力ポート（３１１）を介して受信可能となる“非同期化”状態から、正しいメッセージを受信した後、１つの入力ポートを介してのみ、この入力ポートに静的に割当てられたタイム・スライスの間受信可能となる“同期化”状態に切替わることをも特徴とする請求項１に記載の方法。
3. 少なくとも１つのディストリビュータ・ユニット（１０１，１０２）が規定の時間内に、そのいずれの入力ポート（３１１）においても最後の初期化メッセージ以来正しいメッセージを全く受信していない場合、“同期化”状態から“非同期化”状態に切替わることをも特徴とする請求項１または２に記載の方法。
4. ディストリビュータ・ユニット（１０１，１０２）において、入来メッセージの内容が追加の故障認識として評価されることをも特徴とする請求項１〜３のいずれか１項または２項以上に記載の方法。
5. “パワー・アップ”後、少なくとも１つのディストリビュータ・ユニット（１０１，１０２）が“非同期化”状態と成ることをも特徴とする請求項１〜４のいずれか１項または２項以上に記載の方法。
6. 少なくとも１つのディストリビュータ・ユニット（１０１，１０２）が、そのローカル・クロックを使用して、入来する物理的信号をディジタル形式に変換し、送信する前に再び物理的信号に変換することをも特徴とする請求項１〜５のいずれか１項または２項以上に記載の方法。
7. 自体の接続にメッセージが全く入来しない場合でもディストリビュータ・ユニット（１０１，１０２）のパワーアップおよびクロック同期化が可能となるように、ディストリビュータ・ユニットを通信チャンネル（２０１，２０２）を介して互いに接続することをも特徴とする請求項１〜６のいずれか１項または２項以上に記載の方法。
8. ディストリビュータ・ユニットを、専用通信チャンネル（１４１，１４２）を介して少なくとも１つのメンテナンス・コンピュータに接続し、このメンテナンス・コンピュータによってディストリビュータ・ユニットのパラメタ化を行い、動作中、ディストリビュータ・ユニットが正しく機能するのをモニターすることをも特徴とする請求項１〜６のいずれか１項または２項以上に記載の方法。
9. 複数の遠隔コンピュータ（１１１，．．．，１１４）がディストリビュータ・ユニット（１０１，１０２）を介して互いに接続し、各遠隔コンピュータが対応の通信チャンネル（２０１，２０２）と接続する独立の通信制御ユニット（２１１）を有し、通信チャンネルへのアクセスが巡回時分割多重アクセス方法で行われる耐故障性分散型コンピュータ・システムのディストリビュータ・ユニット（１０１，１０２）において、
   ディストリビュータ・ユニットにとって先験的に既知の、遠隔コンピュータの適正伝送挙動により、少なくとも１つのディストリビュータ・ユニット（１０１，１０２）の作用下に、遠隔コンピュータは静的に割り当てられたタイム・スライス以内でのみ、他の遠隔コンピュータに伝送可能となること
   を特徴とする耐故障性分散型コンピュータ・システムのディストリビュータ・ユニット（１０１，１０２）。
10. 請求項２〜８のいずれか１項に記載の方法を実施するように構成された請求項９に記載のディストリビュータ・ユニット（１０１，１０２）。

Images