JP6167170B2

JP6167170B2 - 同期の信頼性のあるスイッチングのための方法及びスイッチングユニット

Info

Publication number: JP6167170B2
Application number: JP2015504813A
Authority: JP
Inventors: ポレドナ、ステファン
Original assignee: エフテーエスコンピューターテヒニクゲゼルシャフトミットベシュレンクテルハフツング
Priority date: 2012-04-11
Filing date: 2013-04-09
Publication date: 2017-07-19
Anticipated expiration: 2033-04-09
Also published as: CN104412528A; EP2803155A1; CN104412528B; US20150063362A1; US9503521B2; JP2015521305A; AT512742A1; WO2013152379A1; EP2803155B1

Description

本発明は、複数のコンピューターを備えて構成される分散コンピューターシステムにおいて、同期メッセージを確実にスイッチングする方法に関し、当該方法においては、ＩＥＥＥ規格１５８８に適合したトランスペアレントクロック(transparent clock)による管理が行われるものである。

本発明は、さらに、そのような方法を実行するための装置に関する。

本発明は、コンピューター・テクノロジーの分野に属する。本発明は、マスタークロックによって生成される、ＴＴイーサネットのＳＡＥ規格ＡＳ６８０２及びＩＥＥＥ規格１５８８に適合する同期メッセージを、確実に分配することにより、イーサネットに基づいたリアルタイムシステムにおいて、物理的なグローバルタイムベースを確立可能とする、革新的な方法を提示するものである。

分散リアルタイムシステム(distributed real-time system)においては、複数のコンピューターが物理的プロセスを制御するが、すべてのコンピューターが、共通のグローバルタイムベース（非特許文献２）を有する場合に有利である。このようなグローバルタイムベースは、定期的な同期メッセージを受信することによって確立することができ、同期メッセージ(synchronisation message)は、フォールトトレラントのマスタークロック(fault-tolerant master clock)によって送信される。同期メッセージは、そのデータフィールド内に、マスタークロックによる送信時の瞬間時刻を含んでいる。同期メッセージの受信機では、通信システム内で同期メッセージが受信機に届くまでにかかった遅延時間の長さを正確に判定することによって、遅延によって生じた受信機でのタイムエラーを修正できなければならない。このため、ＴＴイーサネットのＳＡＥ規格ＡＳ６８０２及びＩＥＥＥ規格１５８８（非特許文献４）では、この修正を行うためのフィールド（時間差修正フィールド―ＴＩＣフィールド）がイーサネットメッセージのデータフィールド内に設けられており、当該フィールドは、スイッチングユニット内におけるメッセージの遅延期間の合計を検出するために、トランスペアレントクロックにあるのと同様のスイッチングユニットによって、修正されなければならない。同期メッセージのＴＩＣフィールドの修正中に障害が起こると、スイッチングユニットから欠陥のある同期メッセージが出力される。

米国特許第４４１７３３４号Gunderson et al． Data processing system having dual-channel system bus．１９８３年１１月２２日特許許可米国特許第５６９４５４２号 Kopetz, H． Time-triggered communication control unit and communication method．１９９７年１２月２日特許許可米国特許第７８３９８６８号 Kopetz, H． Communication method and system for the transmission of time-driven and event-driven Ethernet messages．２０１０年１１月２３日特許許可米国特許第７３４９５１２号 Rausch et al． Clock synchronization in a distributed system．２００８年３月２５日特許許可米国特許第７９１２０９４号 Hall, et al． Self-checking pair-based master/follower clock synchronization．２０１１年３月２２日特許許可米国特許第８０８９９９１号 Ungermann． Network and method for clock synchronization of clusters in a time triggered network．２０１２年１月３日特許許可

Eidson, J．C． Measurement, Control and Communication Using IEEE 1588、（Springer publishing house 2006 Kopetz, H． Real-Time Systems, Design Principles for Distributed Embedded Applications． Springer publishing house．2011 SAE Standard AS6802 von TT Ethernet． URL: http://standards．sae．org/as6802 IEEE1588 Standard for a Precision Clock Synchronization Protocol for Network Measurement and Control Systems. URL: http://www．ieee1588．com/

本発明の目的は、複数のノードコンピューターを備えて構成される分散コンピューターシステムにおいて、同期メッセージの確実なスイッチングを実現することであり、当該スイッチングにおいては、ＩＥＥＥ規格１５８８に適合するトランスペアレントクロックと同様の管理が行われる。

本発明の目的は、導入部分で述べた方法によって達成され、本発明によれば、当該方法において、スイッチングユニットは、４つの個別のＦＣＵ、具体的には、入力要素ＥＩＮと、２つの独立スイッチング要素ＶＥＲ１及びＶＥＲ２と、出力要素ＡＵＳと、を備えて構成されており、送信ノードコンピューターからＥＩＮに届いたメッセージは、未修正のままで、ＥＩＮから即座に前記２つの独立スイッチング要素ＶＥＲ１及びＶＥＲ２に直接送られ、ＶＥＲ１は、前記メッセージの到着時にタイムスタンプを付与し、メッセージを分析し、メッセージのアドレスフィールドに関連する出力ポートにメッセージをスイッチングし、ＶＥＲ１は、メッセージをオープンし、メッセージ内のＴＩＣフィールドを修正することによって、ＶＥＲ１におけるメッセージの遅延期間を決定し、ＶＥＲ１は、修正されたメッセージのＣＲＣフィールドを再計算することによってメッセージを再びクローズし、当該クローズドメッセージをＡＵＳに送り、ＶＥＲ２は、前記メッセージの到着時にタイムスタンプを付与し、メッセージを分析し、メッセージのアドレスフィールドに関連する出力ポートにメッセージをスイッチングし、ＶＥＲ２は、メッセージをオープンし、メッセージ内のＴＩＣフィールドを修正することによって、ＶＥＲ２におけるメッセージの遅延期間を決定し、ＶＥＲ２は、修正されたメッセージのＣＲＣフィールドを再計算することによってメッセージを再びクローズし、当該クローズドメッセージをＡＵＳに送り、ＡＵＳは、ＶＥＲ１から送られたメッセージの内容が、ＶＥＲ２から送られたメッセージの内容と一致するかどうかをチェックし、ＡＵＳは、ＶＥＲ１から送られたメッセージの受信時刻と、ＶＥＲ２から送られたメッセージの受信時刻との間隔が、以下「間隔１」と呼ぶ所定の第１の間隔よりも小さいかどうかをチェックし、２つのＴＩＣフィールドにそれぞれ格納されている遅延値の差の絶対値が、以下「間隔２」と呼ぶ所定の第２の間隔よりも小さいかどうかをチェックし、これらのチェックの結果の１つがネガティブの場合、ＡＵＳは、指定された出力ポートからの出力メッセージの送信を中断する、または、入ってくるメッセージが誤りであると各メッセージ受信機が認識できるように、出力メッセージを変更する。

本発明は、スイッチングプロセス中に起こる同期メッセージ障害を特定することができるように、イーサネット同期メッセージ用のスイッチングユニットを確立するための方法を開示する。このような信頼できるスイッチングユニットによって、正しいメッセージを送信したり、メッセージの送信を中止したり、障害があると認識できるメッセージを送信したりすることができる。このような信頼できるスイッチングユニットは、フェイルサイレントと呼ばれる。平行して動作する２つのフェイルサイレントを用いることによって、障害を特定するだけでなく、許容することができる。

本明細書において用いられる用語を以下に説明する。イーサーネットメッセージは、ヘッダー、データフィールド、及び、冗長ＣＲＣフィールド(redundant CRC field)を含む。正しい「クローズド(closed)」メッセージにおいては、ＣＲＣフィールドは、メッセージの内容と一致する。一致するＣＲＣフィールドが存在しない場合、メッセージは「オープン」である。メッセージのデータフィールドにおいて修正を行おうとする場合、まずそのメッセージをオープンしなければならない。メッセージがオープンされると、クローズドメッセージの中身がＣＲＣフィールドと一致するかどうかがチェックされる。一致しない場合、当該メッセージは拒否される。オープンメッセージのデータフィールド内の修正を行った後、当該メッセージは再びクローズしなければならない。すなわち、このメッセージをさらに送信する前に、一致する新しいＣＲＣフィールドを算出しなければならない。オープンメッセージにおいて修正を行った場合、修正中に発生する過渡障害（例えば自然宇宙放射によるＳＥＵ（シングルイベントアップセット: single event upset））が、メッセージ内に障害を引き起こす場合があり、この障害はメッセージをクローズした後も残る。

コンピューターの信頼性の分野では、「障害封じ込めユニット」（ＦＣＵ）が、重要な意義を持つ（非特許文献２、１３６ページ）。ＦＣＵは、分離されたサブ要素であり、１つの障害による直接の影響を、このサブ要素内にとどめるものであると理解されている。

スイッチングユニットによるデータのスイッチングでは、ストアアンドフォワード方式(store and forward method)とカットスルー方式(cut through method)とに区別される。ストアアンドフォワード方式においては、スイッチングユニットに完全なメッセージが保管される一方、カットスルー方式では、スイッチングユニット内にメッセージ全体を保管することなく、即座に送信される。

本発明の核心は、以下の４つのＦＣＵ、すなわち、入力要素ＥＩＮ、２つの独立したスイッチング要素ＶＥＲ１及びＶＥＲ２、及び出力要素ＡＵＳによって、ＩＥＥＥ１５８８のための同期メッセージ用の信頼できるスイッチングユニットを確立することにある。

ＥＩＮに届いたクローズド同期メッセージは、未修正のクローズド状態で、ＥＩＮから、２つの独立ＦＣＵ、すなわちＶＥＲ１及びＶＥＲ２に送られる。ＦＣＵＶＥＲ１は、このメッセージをオープンし、ＴＩＣフィールド（メッセージの遅延期間を明示している）を修正し、クローズしてから、このメッセージを出力要素ＡＵＳに送る。ＦＣＵＶＥＲ２は、ＦＣＵＶＥＲ１と同じプロセスを実行する。出力要素ＡＵＳは、ＶＥＲ１とＶＥＲ２から得たクローズドメッセージの内容が一致するかどうかをチェックし、メッセージを指定の受信機に送信する。出力メッセージのチェックにおいて障害があると判定されると、当該メッセージが誤ったものであると受信機が認識できるように、出力メッセージのＣＲＣフィールドが修正される。物理的な時間は、アナログ変数であるので、ＶＥＲ１及びＶＥＲ２によって決定される遅延期間は、デジタルビットレベルで一致していると判断することはできない。従って、これらの値の差が、既知の所定の間隔よりも小さい場合に、遅延期間が一致していると判定する。ＶＥＲ１及びＶＥＲ２によって修正されていない２つのメッセージ内のフィールドは、ビットレベルで一致していなければならない。ＴＩＣフィールドにおけるビットパターンが異なるために、正しいメッセージでも、ＣＲＣフィールドが異なる可能性もある。提案されたスイッチングユニットでは、４つのＦＣＵの１つにおいてスイッチング中に発生する個々の物理的な障害を特定することができる。

本発明の重大な革新は、（１）既存のイーサネット又はＴＴイーサネット（非特許文献３）又はＩＥＥＥ１５８８クロック同期（非特許文献１）規格に適合したままで、標準化されたイーサネット環境に信頼性の高いクロック同期をシームレスに統合すること、（２）障害が発生した場合でも、分散型の安全性リアルタイムシステムにおいて必要な分離を確保するフェイルサイレントイーサネットスイッチを創造すること、にある。

信頼性の高いクロック同期のための公知の方法はすべて、イーサネット規格には適合しない方策に基づいている。例えば、Ｈａｌｌ（特許文献５）は、独自の信頼性の高い通信システムである、編組リング(braided ring)におけるクロック同期の問題を扱っている。ＴＴＰ（特許文献２）及びＦｌｅｘＲａｙ（特許文献４）は、フォールトトレラントクロック同期のためのイーサネットに適合する解決策を提示しておらず、記載された解決策をイーサネット環境に適用することはできない。Ｕｎｇｅｒｍａｎｎ（特許文献６）によって提案されたクロック同期のための方法においては、障害検出及び障害許容の問題については言及されていない。同一機能を有する複数のＦＣＵの結果の比較によって障害を特定する方法は、２０年以上前から知られており（例えばＧｕｎｄｅｒｓｏｎ（特許文献１）参照）、従来技術の一部と考えられるべきである（非特許文献２、１５６ページ）。

本発明は、クロック同期のためのＴＴイーサネットのＳＡＥ規格ＡＳ６８０２及びＩＥＥＥ規格１５８８に適合する、同期メッセージの信頼性のあるスイッチングのための革新的な方法および装置を開示している。本発明によれば、スイッチングユニットは、４つのフォールト封じ込めユニットから構成されており、このうちの単独で設けられるＦＣＵは、ＣＲＣ多項式によってクローズされたメッセージのみを処理するのに対し、オープンメッセージは、同一機能を有する２つのＦＣＵによって処理される。スイッチングユニットのこのような構成によれば、スイッチング処理中に発生するいかなる物理的な個々の障害も特定することができる。このように動作する２つのスイッチングユニットを設けることによって、フォールトトレラントシステムを構築することができる。

上述した目的は、このような方法を実行するための装置、またはこのような方法において使用するための装置、特に、スイッチングユニットにおいて、達成される。

装置の一実施形態においては、４つのサブ要素、ＥＩＮ、ＶＥＲ１、ＶＥＲ２、ＡＵＳは、異なるチップに設けられている。

別の実施形態においては、４つのサブ要素、ＥＩＮ、ＶＥＲ１、ＶＥＲ２、ＡＵＳは、同一の２つのチップに設けられており、対応するＦＣＵは、ハードウェアレベルで同期される。

４つのサブ要素、ＥＩＮ、ＶＥＲ１、ＶＥＲ２、ＡＵＳは、ＡＳＩＣに設けられていいてもよく、あるいは、４つのサブ要素、ＥＩＮ、ＶＥＲ１、ＶＥＲ２、ＡＵＳは、ＦＰＧＡに設けられていてもよい。

本発明のさらに好適な実施形態は、以下に記載されており、これらは互いに追加、代用、または組み合わせることによって実施することができる。すなわち：

前記メッセージは、ＦＣＵＥＩＮ及びＦＣＵＡＵＳにおいて、カットスルー方式で処理される。

ＶＥＲ１における処理と、ＶＥＲ２における処理とは、１つまたは複数のサイクルだけ時間がずれている。

ＶＥＲ１とＶＥＲ２とは、異なるデータを提供する。

メッセージの時間制御伝達のためのコンフィギュレーションデータは、ＶＥＲ1及びＶＥＲ２の両方に冗長性をもって格納されている。

ＶＥＲ１及びＶＥＲ２に格納されたデータは、障害特定コードで保護されている。

ＶＥＲ１及びＶＥＲ２に格納されたデータは、障害修正コードで保護されている。

コンフィギュレーションデータは、暗号で保護されたプロトコルを介してロードされる。

ＶＥＲ１及びＶＥＲ２における処理は、同じクロックによって駆動される。

本発明を、以下の図面に基づいて、より詳細に説明する。
３つのノードコンピューター及び２つのスイッチングユニットを有する分配システムを示す。スイッチングユニットの内部構造を示す。

以下の具体例は、本発明の可能な実施形態に関する。

図１は、３つのノードコンピューター１０１、１０２、１０３、及び、２つのスイッチングユニット１１０、１２０、を有する分散システムを示す。スイッチングユニット１１０は、二方向通信チャンネル１、２、３を介して、対応するノードコンピューターに接続されており、スイッチングユニット１２０は、二方向通信チャンネル４、５、６を介して、対応するノードコンピューターに接続されている。３つのノードコンピュータのうちの２つ、例えば、ノードコンピュータ１０１及び１０２は、タイムマスターの機能を実行し、フェイルサイレントイーサネットに適合する同期メッセージ(fail-silent Etherrne-compatible synchronisation message)を、定期的に送信する。当該メッセージは、メッセージのデータフィールド内に、送信時刻に加えて、ＴＴイーサネットのＳＡＥ標準ＡＳ６８０２及び／又はＩＥＥＥ１５８８規格（トランスペアラントクロック）に従ったＴＩＣフィールドを含んでおり、ＴＩＣフィールドは、当該通信システムにおける送信機と受信機との間のメッセージの遅延時間を明示している。本発明によれば、ノード計算機は、ネットワークを介して、複数のスイッチングユニットと通信を行う。

図２は、スイッチングユニット１１０の内部構造を示す。図２において、１１０（図１）の３つの二方向通信チャンネル１、２、３のそれぞれが、２つの一方向通信チャンネルに分かれている。通信チャンネル１１は、スイッチングユニットへの入力チャンネル１を構成し、通信チャンネル１２は、スイッチングユニットからの出力チャンネル１を構成する。２１は、図１の２の入力チャンネルを構成し、２２は２の出力チャンネルを構成し、３１は、図１の３の入力チャンネルを構成し、３２は３の出力チャンネルを構成する。スイッチングユニット１１０には、４つのＦＣＵが設けられている。これらはすなわち、入力要素ＥＩＮ２４０、スイッチング要素ＶＥＲ１２５０、ＶＥＲ２２６０、及び、出力要素２７０である。入力要素ＥＩＮ２４０は、通信チャンネル２４５を介して、スイッチング要素ＶＥＲ１２５０に接続されており、また、通信チャンネル２４６を介して、スイッチング要素ＶＥＲ１２６０にも接続されている。スイッチング要素ＶＥＲ１２５０は、出力チャンネル２５７を介して、出力要素ＡＵＳ２７０に接続されており、スイッチング要素ＶＥＲ２２６０は、出力チャンネル２６７を介して、前記出力要素に接続されている。内部通信チャンネル２４５、２４６、２５７、２６７は、スイッチングユニット１１０内に設けられたものであるが、高負荷においても、確定的な挙動(deterministic behaviour)を示すように構成されている（非特許文献２、p．１２５参照）。すなわち、メッセージが、３つの入力チャンネル１１、２１、３１のすべてを通って同時に届くように構成されている。

入力チャンネルの１つ、例えばチャンネル１１を通って入力されたクローズド同期メッセージ(closed synchronisation message)は、オープンされないまま、入力要素ＥＩＮ２４０から、カットスルー方式にて、技術的に可能な限り早く、チャンネル２４５及び２４６を介して、２つの独立ＦＣＵ、すなわちＶＥＲ１２５０及びＶＥＲ２２６０に送られる。ＦＣＵ２５０は、このメッセージの到着時刻を検出し、このクローズドメッセージの内容とＣＲＣとが一致するかどうかをチェックする。内容が一致しない場合、このメッセージは拒絶される。内容が一致する場合、メッセージがオープンされ、必要とされるスイッチングが行われ、送信機と受信機との間のメッセージの遅延を明示するＴＩＣフィールドが、ＩＥＥＥ１５８８規格に従って新しいステートに変更される。次に、ＦＣＵ２５０は、新しいＣＲＣを算出することによって、当該メッセージをクローズする。このようにクローズされたメッセージは、直ちに指定された受信機に出力できるように、チャンネル２５７を介してＦＣＵＡＵＳ２７０に送られる。ＦＣＵＡＵＳ２７０は、ＦＣＵ２５０からのメッセージの到着時刻を検出する。ＦＣＵＶＥＲ２２６０は、ＦＣＵＶＥＲ１２５０と平行して、ＦＣＵ２５０と同様の処理を行う。両方のＦＣＵ、すなわちＶＥＲ１２５０とＶＥＲ２２６０とが実質的に同時に同じ処理を行うため、障害が無い場合は、２つの出力メッセージは、所定の間隔１内でＡＵＳ２７０に届く。ＶＥＲ１２５０からの出力メッセージを受信し始めた時刻と、ＶＥＲ２２６０からの出力メッセージを受信し始めた時刻との差の絶対値が、間隔１内であるとＡＵＳが判断すると、ＡＵＳ２７０は、即座にカットスルー方式でメッセージの送信を始める。ＶＥＲ１２５０及びＶＥＲ２２６０からの２つのメッセージのＴＩＣフィールドがＡＵＳ２７０に届くとすぐに、ＡＵＳ２７０は、これら２つのＴＩＣフィールドが一致するかどうかをチェックする。２つのＴＩＣフィールド内の値の差の絶対値が間隔２より小さい場合、これらのＴＩＣフィールドは一致しているものとする。間隔１及び間隔２の長さは、時間表示のデジタル化の障害、及び、ＦＣＵＶＥＲ１２５０とＶＥＲ２２６０との発振器周波数の違いに起因する、ＶＥＲ１２５０とＶＥＲ２２６０との処理時間の違いに基づいて、決定される。ＴＩＣフィールドが一致しない場合、すなわち、障害が発見された場合、ＡＵＳ２７０は進行中の送信を中断する、あるいは、当該メッセージが誤ったものであると受信機が認識できるように、出力メッセージのＣＲＣフィールドを変更する。次に、ＡＵＳ２７０は、中断の理由が記録された障害通知メッセージをモニターコンピューターに送る。

ＦＣＵの定義によれば、４つのＦＣＵの１つにおいて起こる障害は、他の３つのＦＣＵには、何ら直接的影響を及ぼさない。スイッチングユニット１１０の４つのＦＣＵ、２４０、２５０、２６０、２７０の１つにおいて、スイッチング中に障害が起こると、当該障害は以下のようにして検出される。すなわち、ＦＣＵ２４０及び２７０においては、クローズドメッセージのみが処理される。クローズドメッセージ内の障害は、当該メッセージに含まれるＣＲＣフィールドについてメッセージをチェックすることによって検出される。ＦＣＵＶＥＲ１２５０又はＦＣＵＶＥＲ２２６０によるオープンメッセージの処理中に障害が起こると、ＦＣＵＡＵＳ２７０が、２つの独立したＦＣＵ２５０、２６０から届くメッセージを比較することによって、当該障害を検出する。

障害が起こった場合に、ＦＣＵＥＩＮとＦＣＵＡＵＳとでメッセージが一時的に格納される時間が異なることを防ぐために、ＦＣＵＥＩＮ及びＦＣＵＡＵＳではカットスルー方式でメッセージが処理される。この設計により、これら２つのＦＣＵにおいては、既知の一定の遅延時間が確保される。

同じ障害原因（例えば、電力供給の中断や落雷）によってＦＣＵ２５０及び２６０で同じ障害が起こる可能性を低減するため、ＦＣＵ２５０及び２６０におけるメッセージの処理を、所定数のサイクルだけずらして行うことができ、ＦＣＵ２５０と２６０とが異なる情報を提供する構成を選択することができる。

メッセージをＴＴイーサネット方式（ＴＴイーサネットのＳＡＥ規格ＡＳ６８０２）に従ってスイッチングする場合、ＦＣＵ２５０及びＦＣＵ２６０にコンフィギュレーションデータを格納しなければならない。本発明によれば、ＦＣＵ２５０及びＦＣＵ２６０内のコンフィギュレーションデータは、障害特定または障害修正用にコード化されており、メモリー障害の結果を特定または修正できるようになっている。あるいは、ＦＣＵ２５０及びＦＣＵ２６０内のデータは冗長性をもって格納することもできる。コンフィギュレーションデータは、暗号で保護された転送プロトコル（非特許文献２、p．１４１）によって、ＦＣＵ２５０及びＦＣＵ２６０にロードされる。

上述した同期メッセージのスイッチング方法は、様々な態様で実施することができる。障害封じ込め特性を最適化するために、各ＦＣＵが、専用のクロックを有する専用のチップに設けられるように、４つの異なるチップ上で実施することができる。

上述した方法を２つの同一のチップにおいて実施することも可能であり、その場合、２つのチップのそれぞれが、ＦＣＵＥＩＮ、ＶＥＲ、ＡＵＳを含んでおり、対応関係にあるＦＣＵのそれぞれが同期して機能する。

また、別の実施形態においては、４つのＦＣＵのすべてが１つのＡＳＩＣ又は１つのＦＰＧＡチップに設けられる。１つのチップのみを用いる場合、そのサイクルは、単一のクロックに由来するものであってもよいし、複数のクロックに由来するものであってもよい。先で述べた間隔１及び間隔２は、選択された実施形態の方策によって異なる。

Claims

入力要素ＥＩＮ、２つの独立スイッチング要素ＶＥＲ１及びＶＥＲ２、並びに出力要素ＡＵＳからなる４つの個別のＦＣＵにて構成された少なくとも１つのスイッチングユニットと、複数のノードコンピューターとを備える分散コンピューターシステムにおいて、同期メッセージの信頼できるスイッチングを行うための方法であって、ＩＥＥＥ規格１５８８に適合するトランスペアレントクロック管理が行われる方法において、
送信ノードコンピューターからＥＩＮに届いたメッセージは、未修正のままで、ＥＩＮから即座に前記２つの独立スイッチング要素ＶＥＲ１及びＶＥＲ２に直接送られ、
ＶＥＲ１は、前記メッセージの到着時にタイムスタンプを付与し、メッセージを分析し、メッセージのアドレスフィールドに関連する出力ポートにメッセージをスイッチングし、ＶＥＲ１は、メッセージをオープンし、メッセージ内のＴＩＣフィールドを修正することによって、ＶＥＲ１におけるメッセージの遅延期間を決定し、ＶＥＲ１は、修正されたメッセージのＣＲＣフィールドを再計算することによってメッセージを再びクローズし、当該クローズドされたメッセージをＡＵＳに送り、
ＶＥＲ２は、前記メッセージの到着時にタイムスタンプを付与し、メッセージを分析し、メッセージのアドレスフィールドに関連する出力ポートにメッセージをスイッチングし、ＶＥＲ２は、メッセージをオープンし、メッセージ内のＴＩＣフィールドを修正することによって、ＶＥＲ２におけるメッセージの遅延期間を決定し、ＶＥＲ２は、修正されたメッセージのＣＲＣフィールドを再計算することによってメッセージを再びクローズし、当該クローズドメッセージをＡＵＳに送り、
ＡＵＳは、ＶＥＲ１から送られたメッセージの内容が、ＶＥＲ２から送られたメッセージの内容と一致するかどうかをチェックし、
ＡＵＳは、ＶＥＲ１から送られたメッセージの受信時刻と、ＶＥＲ２から送られたメッセージの受信時刻との間隔が、以下「間隔１」と呼ぶ所定の第１の間隔よりも小さいかどうかをチェックし、２つのＴＩＣフィールドにそれぞれ格納されている遅延値の差の絶対値が、以下「間隔２」と呼ぶ所定の第２の間隔よりも小さいかどうかをチェックし、これらのチェックの結果の１つがネガティブの場合、ＡＵＳは、指定された出力ポートからの出力メッセージの送信を中断するか、または、入ってくるメッセージが誤りであると各メッセージ受信機が認識できるように、出力メッセージを変更する、方法。
前記メッセージは、ＦＣＵＥＩＮ及びＦＣＵＡＵＳにおいて、カットスルー方式で処理される、請求項１に記載の方法。
ＶＥＲ１における処理とＶＥＲ２における処理とは、１つまたは複数のサイクルだけ時間がずれている、請求項１に記載の方法。
ＶＥＲ１とＶＥＲ２とは、異なるデータを提供する、請求項１〜３のいずれか１つに記載の方法。
メッセージの時間制御伝達のためのコンフィギュレーションデータは、ＶＥＲ1及びＶＥＲ２の両方に冗長性をもって格納されている、請求項１〜４のいずれか１つに記載の方法。
ＶＥＲ１及びＶＥＲ２に格納されたデータは、障害特定コードで保護されている、請求項５に記載の方法。
ＶＥＲ１及びＶＥＲ２に格納されたデータは、障害修正コードで保護されている、請求項５に記載の方法。
コンフィギュレーションデータは、暗号で保護されたプロトコルにてロードされる、請求項５〜７のいずれか１つに記載の方法。
ＶＥＲ１及びＶＥＲ２における処理は、同じクロックによって駆動される、請求項１〜８のいずれか１つに記載の方法。
請求項１〜９のいずれか１つによる方法を実行するための装置。
４つのサブ要素、ＥＩＮ、ＶＥＲ１、ＶＥＲ２、ＡＵＳは、異なるチップに設けられている、請求項１０に記載の装置。
４つのサブ要素、ＥＩＮ、ＶＥＲ１、ＶＥＲ２、ＡＵＳは、同一の２つのチップに設けられており、対応するＦＣＵは、ハードウェアレベルで同期される、請求項１０に記載の装置。
４つのサブ要素、ＥＩＮ、ＶＥＲ１、ＶＥＲ２、ＡＵＳは、ＡＳＩＣに設けられている、請求項１０に記載の装置。
４つのサブ要素、ＥＩＮ、ＶＥＲ１、ＶＥＲ２、ＡＵＳは、ＦＰＧＡに設けられている、請求項１０に記載の装置。
請求項１０〜１４のいずれか１つによる装置を備える分散コンピューターシステム。