JPH02503122A

JPH02503122A - 耐障害多重ノード処理装置用動作制御装置

Info

Publication number: JPH02503122A
Application number: JP63504242A
Authority: JP
Inventors: フイン，アラン・エム; キークハフアー，ロジヤー・エム; ワルター，クリス・ジエイ; ストーカー，マリオ・デイ; イー，ヘンリー・シイ; キーテイング，パトリツク・エヌ; ローダン，トーマス・ジイ，ザ　サード
Original assignee: アライド・コーポレーシヨン
Priority date: 1987-04-15
Filing date: 1988-04-15
Publication date: 1990-09-27
Also published as: US4980857A; US4816989A; EP0356460A4; US4933940A; US4914657A; CA1301938C; WO1988008161A1; US4972415A; EP0356460A1; US4805107A

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】耐障害多重ノード処理装置用動作制御装置相互参照本発明は本願と同時に出願され、同様に譲渡された、同時係属特許出願（処理番号ＡＴＣ−１０２−Ａ。

ＡＴＣ−１０４−Ａ、ＡＴＣ−１０５−Ａ、ＡＴＣ−１０５−Ｂ。

ＡＴＣ−１０６−Ａ、ＡＴＣ−１０７−Ａ、ＡＴＣ−１０９−Ａ）に関連するものである。

発明の背景１、発明の分野本発明は多重ノード処理装置の分野に関するものであり、とくに、多重ノード処理装置の各ノードの動作を障害に耐えるやシ方で制御する動作制御装置に関するものである。

２、先行技術の説明障害に耐えるコンピュータ装置用動作制御装置を製造する最も初期の試みは、制御動作のために要求されるあらゆるタスクを各コンピュータが同時に実行する冗長コンピュータを設けたものであった。多数のコンピュータの出力をモニタする投票回路は、装置用動作制御装置の正しい出力であると仮定された多くの出力を決定した。この種の装置においては、障害を起したコンピュータを検出でき、または検出できず、かつ障害を起したコンピュータの動作を停止でき、または停止できない。

冗長コンピュータの概念は、非常に成功しているが等しい性能のコンピュータを多数必要とするから高くつく。あるいは、何台かのコンピュータの動作を主コンピユータによシ制御および統合するマスタースレーブ概念が導入された。マスク制御はどのタスクを個々のコンピュータが実行すべきかを指定した。こうすることによシ、全てのコンピュータはあらゆるタスクを実行することをもはや要求されず、タスクの多くを並列に実行できるから、制御動作の実行時間が短縮される。この種の装置においては、コンピュータが障害を起したことが検出されると、その障害を起したコンピュータに通常割当てられていたタスクをマスクが他のコンピュータへ割当てることにより、マスクは積極的な関与から除去できる。

マスタースレーブ概念において遭遇する問題はマスクの状態と、マスクに障害が起きた時に装置が障害を起すかどうかに全面的に依存することである。この効果は冗長マスク制御器を用いることにょシ直すことができるが、冗長マスクの費用が増大するために、使用者が信頼度の向上のために進んで支払うような状況にそれらの装置用動作制御装置の応用性が制限される。そのような状況の典型的なものは原子力発電所、宇宙探査および制御装置の障害が生命の危険にかかわるようなその他の状況の制御である。

上記のようなマスタースレーブおよび冗長実行耐障害コンピュータ装置の最近の改良の例が、耐障害コンピュータ装置の特集である、プロシーディンゲス・サブ・ジ・アイイーイーイー（Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆｔｈｅ　ＩＥＥＥ）６６巻、１０号、１９７８年１０月、に示されている。とくに興味のおるのは、１１４．６〜１１５９ベージのディー会カツキ（Ｄ、　Ｋａｔｓｕｋｉ）他による「プルリバス：アンオペレーショナル・フォールト―トーレラント番マイクロプロセッサ（Ｐｌｕｒｉｂｕｓ：Ａｎ　０ｐｅｒ−ａｔｉｏｎａｌ　Ｆａｕｌｔ　Ｔｏｌｅｒａｎｔ　Ｍｉｃｒｏｐｒｅｉｓｏｒ）Ｊと題する論文、および１２４０〜１２５５ページのディー・エイチ畢クエンスレイ（Ｄ、　Ｈ，Ｗｅｎｓｌｅｙ）他による「エスアイエフテイー：ザ・デザイン拳アンド・アナリシスＯオブーア参フォールト拳トレラント・コンピュータ・７オー拳エアクラフト−コントロール（ＳＩＦＴ：　Ｔｈｅｐｅｓｉｇｎ　ａｎｄ　Ａｎａｌｙｓｉｓ　ｏｆ　ａ　Ｆａｕｌｔ　ＴｏｌｅｒａｎｔＣｏｍｐｕｔｅｒ　ｆｏｒ　Ａｉｒｃｌａｆｔ　Ｃｏｎｔｒｏｌ）Ｊと題する論文である。５ＩＦＴ装置用装置制動装置は各装置用動作制御装置タスクの冗長実行とスレーブ制御機能の冗長実行を用いる。

プルリバス（Ｐｌｕｒｉｂｕｓ）　装置用動作制御装置のタスクは、ある種の障害が起きた時に失われることがある最新の情報のマスタコピーを有する。

最近、ホワイトサイド（Ｗｈｉｔｅｓｉｄｅ）　　他によシ米国特許第４，２５６，５２７号において新しい耐障害多重コンピュータアーキテクチャが開示されている。その耐障害多重コンピュータアーキテクチャにおいては、個々の各タスク実行ノードが動作プロセッサと、それ自身のノードとして機能する動作制御器とを有する。

本発明はホワイトサイド（Ｗｈｉｔｅｓｉｄｅ）他による米国特許第４，２５６，５２７号に開示され、改良された耐障害性能および制御性能を有する装置を基にした耐障害多重ノード処理装置用動作制御装置である。この動作制御装置の前身が、１９８５年１２月３〜６日にサン・デイエゴ（Ｓａｎ　Ｄｉｅｇｏ）において開催されたプロシーディンゲス・オプ・ザ・リアル−タイム・システム管シンポジウム（Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　　ｔｈｅＲｅａｌ−Ｔｉｒｎｅ　Ｓｙｓｔｅｍ　Ｓｙｍｐｏｓｉｕｍ）において出版された、シー・ジエーーウオルター（Ｃ，Ｊ、Ｗａｌｔｅｒ）他による論文（エムエーエフテイー：アーマルチコンピュータｅアーキテクチャ・フォー・フォールトート−ランス拳インーリアルタイム・コントロール・システムズ（ＭＡＦＴ：Ａ　Ｍｕｌｔｉｃｏｍｐｕｔｅｒ　Ａｒｃｈｉｔｅｃ　−ｔｕｒｅ　ｆｏｒ　Ｆａｕｌｔ−Ｔｏｌｅｒａｎｃｅ　ｉｎ　Ｒｅａｌ−Ｔｉｍｅ　ｃｏｎ−ｔｒｏｌ　Ｓｙｓｔｅｍｓ）Ｊによシ記述されている。

発明の概要本発明は、耐障害多重ノード処理装置用動作制御装置である。各ノードは、所定のタスクセットを実行するための動作プロセッサと、装置内の１つおきの７−ドと同期してそれ自身のノードを設定および維持し、それ自身のノードの動作を制御し、ノード。

間メツセージを交換することによシ装置内の他の全てのノードと統合してそれ自身の動作プロセッサにより実行すべきタスクを選択するための動作制御器とを有する。

オペレーションズ制御器は、それ自身の動作制御器によシ発生されたノード間メツセージの全てを送信する送信器を有する。送信器は２つまたはそれ以上のメツセージを送信する用意ができた時に、ノード間メツセージを送信する順序を決定する仲裁器を有する。複数の受信器、各受信器はそれぞれ１つの７−ド、およびそのノードからのメツセージｔ　受Ｍするだけである。メツセージ検査器が、受信した各メツセージの物理的誤シと論理的誤シを点検して、検出した各誤シを識別する誤り状態バイトを含むノード間誤シレポートを発生する。メンセージ検査器は受信したノンセージをそれぞれの順序でアノロードするために各受信器を票決する。票決器サブシステムは、同じ情報を含んでいる誤シのない全てのメツセージの内容について票決して、票決された値を有する票決器を有し、かつ票決された値とは所定の置板上に異なる内容を有する票決された値の発生に用いられるメツセージを送った各ノードを識別するメート間誤シレポートを発生する異常検査器を有する。

耐障害器が、メツセージ検査器から受信した誤シのない全てのメツセージを票決器サブシステムへ送り、それ自身の動作制御器の全てのサブシステムによシ累積された全ての誤シレポートを含んでいるノード間誤シメッセージを発生し、検出した誤シの数と、そのノード間誤シレポートにおいて識別された検出された誤シの厳しさとを基にして装置内の各ノードに対するベースペナルティカウントを発生し、ノード間ベースペナルティカウントメツセージを交換することによシ各ノードに対する基礎ペナルティカウントを全体的に確認し、所定の実行しきい値をコニたベースペナルティカウントを有する各ノードを識別する装置状態ベクトルを発生する。タスクスケジューラ−が、それ自身の動作プロセッサによシ次に実行すべきタスクをアクティブタスクリストから選択し、タスク完了メツセージ／タスク開始メツセージを交換することによシ各ノードのスケジュール作成と実行において全体的なデータベースを維持し、そのノードに対して複製されたスケジュール作成法とは異なるスケジュール作成法を有する誤シレポートを発生する。

動作制御器は′データメモリと、票決された値をそのデータメモリに格納するタスクコミュニケータとを有する。そのタスクコミュニケータは、スケジューラ− によシ選択されたタスクの同一性を動作プロセッサへ送る手゛段と、選択されたタスクを実行するために要求された票決された値を取出し、それらを動作プロセッサへ送る手段と、ちょうど完了したタスクと動作プロセッサにより開始された新しいメツセージ分識別するタスク完了メツセージ／タスク開始メツセージを発生し、かつ選択されたタスクの実行中に動作プロセッサによシ発生されたデータ値を含むノード間データ値メツセージを発生する手段とをも有する。

オペレーションズ制御器は、ノード間の時間に依存するメツセージを交換することにより、それ自身のノードの動作を装置内の障害を起していない他の全てのノードに同期させる同期器も含む。

の機能的および物理的な分割を基にした多重ノード耐障害多重処理装置用のアーキテクチャである。

本発明の別の目的は、動作タスクのあらゆるタスクを実行するために１つのノードを要求されず、１つまたは複数のノードの障害がどの動作タスクの実行も阻止しないような分布多重ノード処理装置である。

本発明の別の目的は、タスク選択と障害検出が全体的に確認されるような多重ノードコンピュータアーキテクチャである。

本発明の別の目的は、活動ノードセント内へノードを包含することおよび再び入れることが全体的な基礎に対して行われるような耐障害コンピュータアーキテクチャである。

本発明のそれらの目的およびその他の目的は、図面とともに明細書を読むことから一層明らかになることであろう。

図面の簡単な説明第１図は多重コンピュータアーキテクチャのブロック図、第２図は動作制御器のブロック図、第３図はマスタ／アトミック期間タイミング図、第４図はアトミック／サブアトミック期間タイミング図、第５図は送信器のブロック図、第６図は１つのインターフェイスの回路図、第７図は仲裁器のブロック図、第８図は自己試験仲裁論理の波形を示し、第９図は縦冗長符号発生器のブロック図、第１０図は受信器のブロック図、第１１図はメツセージ点検器のブロック図、第１２図は限度間検査器のだめの判定論文のブロック図、第１３図はメツセージ検査器によシ発生された誤シ状態バイトのだめのフォーマット、第１４図は耐障害器のブロック図、第１５図は耐障害器ＲＡＭの分割を示し、第１６図は耐障害器ＲＡＭのメツセージ分割のフォーマットを示し、第１７図は耐障害器ＲＡＭの誤シ符号ファイル分割のフォーマントを示し、第１８図は耐障害器ＲＡＭの群マツピング分割のフォーマットを示し、第１９図は耐障害器ＲＡＭの誤シ符夛ファイル分割のフォーマントを示し、第２０図は耐障害器ＲＡＭのペナルティ重み分割のフォーマットを示し、第２１図は耐障害器のメツセージ検査インターフェイスのブロック図、第２２図は耐障害器の誤り取扱い器のブロック図、第２３図は誤シ取扱い器の誤シー貫性検査器のブロック図、第２４図は誤シ取扱い器の妥当性検査器のブロック図、第２５図は誤りメツセージ中の誤りバイトのフォーマットを示し、第２６図は再構成シーケンスのタイミング図、第２７図は票決器サブシステムのブロック図、第２８図は上側と下側の中間値ソータのブロック図、第２９図は下側中間値ソータの回路図、第３０図は平均回路の流れ図、第３１図は平均回路の回路図、第３２図は異常検査器の流れ図、第３３図は異常検査器の回路図、第３４図はスケジューラ−のブロック図、第３５図はスケジューラ−ＲＡＭのデーターマットを示し、第３６図はスケジューラ−ＲＯＭのデータフォーマットを示し、第３７図はスケジューラ−のタスク選択器モジュールのブロック図、第３８図はウエイクアンプシーケンサの動作の流れ図、第３９図は実行タイマの動作の流れ図、第４０図はＴＩＣ取扱い器の動作の流れ図、第４１図はＴＩＣ取扱い器の選択料更新サブプロセスの流れ図、第４２図はＴＩＣ取扱い器の完了／終了サブプロセスの流れ図、第４３図はＴＩＣ取扱い器の実行タイマリセットサブプロセスの流れ図、第４４図はＴＩＣ取扱い器の優先走査リスト更新サブプロセスの流れ図、第４５図は優先走査器の動作の流れ図、第４６図は次のタスク選択器の動作の流れ図、第４７図は再構成モジュールのブロック図、第４８図は動作しているセントから除外されているノードに応答するタスク交換器の動作の流れ図、第４９図は動作しているセットに再び加えられているノードに応答するタスク再割当器の動作の流れ図、第５０図は動作しているセットから除外されているノードに応答するタスク再割当器の動作の流れ図、第５１図はタスク状態一致器の動作の流れ図、第５２図はタスクコミュニケータのブロック図、第５３図は格納データ制御器の動作に関連する素子を示すタスクコミュニケータの部分ブロック図、第５４図は格納データ制御器の動作の流れ図、第５５図はＤＩＤ要求取扱い器の動作に関連する素子を示すタスクコミュニケータの部分ブロック図、第５６図はＤＩＤ要求取扱い器の動作の流れ図、第５７図はタスク完了記録器の動作に関連する素子を示すタスクコミュニケータの部分ブロック図、第５８図はタスク完了記録器の動作の流れ図、第５９図はタスク開始記録器の動作に関連する素子を示すタスクコミュニケータの部分ブロック図、第６０図はタスク開始記録器の動作の流れ図、第６１図はＡＰ入力取扱い器の動作に関連する素子を示すタスクコミュニケータ、の部分ブロック図、第６２図はＡＰＰ力取扱い器の動作の流れ図、第６３図はＡＰ出カ取い器の動作に関連する素子を示すタスクコミュニケータの部分ブロック図、第６４図はＡＰ出出城取扱器の動作の流れ図、第６５図はＤＩＤＩＪストに格納されているＤＩＤ情報のフォーマットを示し、第６６図はＮＵＤＡＴビットが付属されているＤＩＤ情報のフォーマントを示し、第６７図は「再構成」に含まれてｂるサブシステムを示すタスクコミュニケータの部分ブロック図、第６８図は再構成中の再構成制御器の動作を示す流れ図、第６９図は「リセット」中に含まれているサブシステムを示すタスクコミュニケータの部分ブロック図、第７０図はリセット中のリセット制御器の流れ図、第７１図は同期器のブロック図、第７２図は同期器メモリのフォーマットを示し、第７３図はメツセージメモリのフォーマントラ示Ｌ、第７４図は時刻スタンプメモリのフォーマツトラ示し、第７５図はスクラッチバドメモリのフォーマントを示し、第７６図はタイミング信号発生器により発生された信号の波形を示し、第７７図は同期器メモリのブロック図、第７８図はデータ取扱い器の動作と予測されたメツセージ検査器の動作を示す流れ図、第７９図はハード誤シウィンドゥ内の動作とンフト誤シウインドウ検査器の動作および時間スタンパの動作の流れ図、第８０図は「警報カウントに対するＨＥＷ　Ｊの動作の流れ図、第８１図はメツセージ発生器の動作に関連する素子を示す同期器の部分ブロック図、第８２図はメンセージ発生器の動作と送信器インターフェイスの動作の流れ図、第８３図はＴＩＣメツセージを発生するタイミング信号の波形を示し、第８４図は同期装置状態メツセージを発生するタイミング信号の波形を示し、第８５図は「コールドスタート」前同期メツセージのフォーマントを示し、第８６図は「コールドスタート」中の同期器の動作を示す流れ図、第８７図と８７ａ図は「コールドスタート」中の警報信号に対するＨＥＷの発生を示す流れ図、第８８図は「コールドスタート」中のデータの格納を示す流れ図、第８９図は「コールドスター１中の動作条件検出器の動作を示す流れ図、第９０図は「コールドスタート」の説明に用いられるタイミング図、第９１図は「ウオームスタート」中の同期器の動作を示す流れ図、第９２図は「ウオームスタート」の説明に用いられるタイミング図、第９３図はピザンチン票決されたタスク完了ベクトルを発生するため、およびスケジューラ−のためのピザンチン票決された分岐条件ビットを発生するためのビザンチン票決器の動作の流れ図、第９４図はビザンチン票決器の三次元メモリの透視、第９５図は三次元メモリＩＳＷマトリックスについての票決の結果得られたＩＳＷベクトルの二次元メモリフォーマツトラ示し、第９６図はビザンチン票決器の機能的回路図である。

好適な実施例の詳細な説明障害に耐えるための多重コンピュータアーキテクチャは、アプリケーションタスクの機能分割および物理的分割と、障害に耐える動作および装置状態メツセージの動作のようなオーバヘッド機能とを基にした分布多重コンピュータ装置である。第１図に示すように、多重コンピュータアーキテクチャは複数のノード１０Ａ〜１ＯＮで構成される。各ノードはオーバヘッド機能を実行する動作制御器１２と、アプリケーションタスクを実行するアプリケーションプロセッサ１４とを有する。

各アプリケーションに対して、多重コンピュータアーキテクチャは所定のタスクセント、まとめてアプリケーションタスクと呼ばれる、を実行することを求められる。各ノードに、アプリケーションタスクのサブセットでちるアクティブタスクが割当てられる。各ノードは、他の全てのノードと整合して、それのアクティブタスクからタスクを選択でき、かつそれらを適切な順序で実行できる。各ノードのためのアクティブタスクセットは他のノードへ割当てられたアクティブタスクセントとは異なることがあシ、アプリケーションタスク内の各タスクを、装置内にどれ位の数のノードがあるかということ、および特定のアプリケーションに対するタスクの重要性とに依存して、２つまたはそれ以上のノードのアクティブタスク内に含ませることができる。このようにして、多重コンピュータアーキテクチャは、アプリケーションタスクのそれぞれ１つを実行するために１つのノード１０が要求されることなく、シかも１つのノードまたは複数のノードに障害が起きてもどのアプリケーションタスクの実行も阻止する必要はないような分布多重コンピュータ装置を構成する。

後で詳しく説明するように、各ノードにおけるアクティブタスクセットは任意に与えられたシステム構成またはシステム状態に対して静的であシ、アクティブノードの増加または減少によるシステム状態が変化するとともにそのアクティブタスクセントが変化する。「再構成」と呼ばれるアクティブタスクセットのこの変化は自動的に起シ、重要なアプリケーションタスクのどれでも装置内に残っている少くとも１つのアクティブノードのアクティブタスクセットに含まれるようにする。

各ノード１０Ａ〜１ＯＮはそれの動作制御器１２を介して専用通信回線１６によシ多重コンピュータ内の他の全てのノードへ接続される。たとえば、動作制御器「Ａ」は通信回線１６＆に送信できる唯一の動作制御器である。他の全てのノードは通信回線１６ａへ接続され、動作制御器「Ａ」にょシ通信回線１６１Ｌを介して送られたあらゆるメンセージを受ける。同様にして、ノードＩＯＢの動作制御器ｒＢＪは通信回線１６ｂにメツセージを送信できる唯一の動作制御器であシ、メート１ＯＮの動作制御器Ｎが通信回線１６ｎに送信できる唯一の動作制御器である。

センナおよび入力装置状態メツセージ２０としてまとめて示されている手動操作される装置からの外部情報は入力線１８を介してアプリケーションプロセッサ１４へ直接送られる。あらゆるアプリケーションプロセッサがあらゆるセンサと入力装置の少くとも一方から情報を受けることは必ずしも必要ではないが、各アプリケーションプロセッサ１４はアプリケーションタスクの実行にそれが必要とする情報をあらゆるセンサと入力装置の少くとも一方から受ける。

同様にして、各ノード内のアプリケーションプロセッサ１４は、アプリケーションタスクの実行の結果得られたデータと制御信号を、１つまたは複数のアクチュエータと、出力装置２２としてまとめて示されている表示装置との少くとも一方へ送る。個々のノード１０Ａ〜１ＯＮ中のアプリケーションプロセッサ１４によシ発生されたデータと制御信号の少くとも一方を組合わせＭ法器２４にょシ組合わせてから出力装置２２へ送る。更に、同じデータと同じ制御信号の少くとも一方の多数の値が２つまたはそれ以上のノードによシ発生されると、票決された１つの値を発生するために組合わせ器／票決器ネットワーク２４を用いることもできる。その票決された１つの値は出力装置２２へ送られる。組合わせ器／票決器２４を用いるか、省くかは随意である。あらゆるアクチュエータまたはあらゆる表示装置が装置内のあらゆるノードによシ発生された出力を受ける必要はない。

特定の７クチユエータまたは表示器は、それが必要とするデータまたは指令信号を発生できるアプリケーションプロセッサ１４を有するノードまたはノード（複数）へ接続する必要があるだけである。

動作制御器１２のネットワークはこの装置の心臓部であって、ノード間通信と、システムの同期と、データの投票と、誤シ検出と、誤シ取扱いと、タスクスケジューリングと、再構成とに責任を負う。アプリケーションプロセッサ１４はアプリケーションタスクの実行と、入力装置２０と出力装置２２の通信とに責任を負う。多重コンピュータアーキテクチャにおいては、動作制御器１２によシ実行されるオーバヘン）”　機能ｔｒｉアプリケーションプロセッサ１４の動作にとっては明らかである。したがって、アプリケーションプロセッサ１４の構造はアプリケーション要求のみに基礎を置くことができる。そのためニ、多重コンピュータアーキテクチャの対称性を壊すことなしに、種々のノードに非類似のアプリケーションプロセッサ１４を使用できる。

各ノード１０Ａ〜１ＯＮの動作制御器１２の構造の詳細が第２図に示されている。各動作制御器１２は、ノードの専用通信回線１６にメツセージを直列に送信するための送信器３０を有する。説明のために、第２マイクロプロセツサ動作制御器１２は第１図に示されている動作制御器Ａであると仮定する。この場合には、送信器３０はメツセージを専用通信回線１６ｍへ送る。各動作制御器は複数の受信器３２ａ〜３２ｎも有する。各受信器は種々の通信回線へ接続される。

好適な実施例においては、受信器３２ａ〜３２ｎの数は多重コンピュータアーキテクチャ内のノードの数に等しい。このようにして、各動作制御器は、それ自身を含んでいる装置内のあらゆるノードによシ送られた全てのメツセージを受ける。各受信器３２ａ〜３２ｎは、それが接続されている専用通信回線を介して受けた各メツセージを、直列フォーマットから並列フォーマットへ変換し、それからそれをメツセージ検査器３４へ送る。各受信器３２８〜３２ｎは垂直パリティと、各受信に付属している縦冗長符号の検査も行って、検出されたどの誤シも識別する誤り信号を発生する。

メツセージ検査器３４は受信器３２ａ〜３２ｎをモニタし、各受信メツセージに対して各種の物理的検査と論理的検査を行う。それらの物理的検査と論理的検査を行った後で、メツセージは耐障害器３６へ送られる。任意のメツセージ中にどのような誤りでも検出されると、メンセージ検査器３４は誤り状態バイトを発生する。その誤シ状態バイトは耐障害器３６へも送られる。

耐障害器３６は５つの基本的な機能を行う。第１に、耐障害器はメツセージ検査器３４から受けたメツセージに対して更に論理的検査を行って、メツセージ検査器３４によシ検出できない他のある種の誤シを検出する。第２に、耐障害器は誤シのないメツセージを票決器３８へ送る。その票決器は同じ情報を含んでいる全てのメツセージの内容について票決して票決された値を発生する。第３に、耐障害器は誤シのないメツセージから選択されたフィールドを要求に応じて他のサブシステムへ送る。第４に、耐障害器は動作制御器内の各種の誤シ検出機構からの内部誤シレポートを集めて誤シメッセージを発する。

それらの誤シメッセージは送信器３０によシ装置内の他の全てのノードへ送られる。最後に、耐障害器３６は装置内の各ノードの健康状態を監視し、ノードが現在の数の動作ノードへ付加され、または現在の数の動作ノードから除去された時にローカル再構成を開始する。耐障害器３６は、装置内の各ノードに対して累積された現在のベースペナルティヵウントを格納するペースペナルティカウント表を維持する。誤りを含んでいるメツセージをノードが送るたびに、そのメツセージを発生したノードを含めた、装置内のあらゆるノードがこの誤シを検出し、かつ誤シと、検出された誤りの種類と、検出された誤シまたは誤り（複数）に対するペナルティカウントとを含んでいるメツセージを送ったノードを識別する誤）メツセージを発生せねばならない。各耐障害器３６は他の全てのノードからそれらの誤りメツセージを受け、大多数のノードから受けた誤りメツセージにニジ誤シの検出が支持されるならば、ベースペナルティカウント表に現在格納されている、そのノードのためのベースペナルティカウントを増加する。

ペナルティカウント増加の大きさは予め定められ、誤シの厳格さに比例する。後で説明するように、増加させられたベースペナルティカウントが排除しきい値をこえたとすると、耐障害器はノードの排除と再構成過程を開始する。そのノードの排除と再構成過程においては、障害を起したノードが装置内の積極的な関与から排除され、アクティブノードの数の減少を受は容れるために、残シのノードに対するアクティブタスクセットが変更される。

以前に排除されたノードをアクティブ装置に再び加えることができるように、耐障害器３６はベースペナルティカウントを定期的に減少させることも行う。以前に排除されたノードが誤りのない・やわ方で十分な期間にわたって動作を続けると、それのペースペナルティカウントは、以前に排除されたノードがアクティブ装置に再び加入させられる過程である、ノードの再加入と再構成の過程を開始させる再加入しきい値以下に減少させられる。以前に排除されたノードが装置に再び加入させられると、装置内のアクティブノードの数の増加を行えるようにするために各ノードのためのアクティブタスクセットが再び調節される。

票決器３８は、耐障害器３６から受けたデータ値の現在のコピーの全てを用いて「高速の（ｏｎ　ｔｈｅｆ　１　ｙ　］票決を行う。票決されたデータ値と、受けられたデータの全てのコピーはタスクコミュニケータ４４へ送られる。そのタスクコミュニケータはそれらをデータメモリ４２に格納する。票決器は、票決器３４自体に対して説明するような適切なアルゴリズムを用いて、票決されたデータ値を選択する。データ値の新しいコピーが受けられるたびに、新に票決されたデータ値が発生される。そのデータ値はデータメモリ４２に格納されている以前のデータ値の上に書込まれる。このようにして、データメモリ４２は最も現在の票決された値を常に格納して、発生に失敗するすなわち「宙に浮いて」到達を遅らせるデータ値の１つまたは複数のコピーとは独立に、票決されたデータ値を以後の処理のために常に利用できるようにする。票決器３８は票決されたデータ値と受けたデータ値の各コピーの間の異常検査も行って、票決されたデータ値から所定の置板上だけ異なるデータ値を発生した各ノードを識別する耐障害器に対する誤シベクトルを発生する。この構成によシ各データ値のコピーの間の正確な一致と近似的な一致を支持する。票決器３８はパックブール値と、固定小数点フォーマットと、ＩＢＥＥ標準３２ピント浮動小数点フォーマットとを含んでいるいくつかのデータの種類を支持する。

スケジューラ４０はシ１常と再構成の２つの動作モードを有する。通常動作モードにおいては、スケジューラ４０は事象により駆動され、優先権を基にした、全体的に確認されるスケジューリング装置であって、それのアクティブタスクセットからそれに関連するアプリケーションズプロセッサ１４によシ次に実行するタスクを選択する。少くともシステム構成（アクティブノードのセント）に対して、各ノードに割当てられたアクティブタスクセットは静的である。関連するアプリケーションプロセッサがタスクを開始するたびに、スケジューラ４０は次に実行すべきタスクと選択する。アプリケーションズプロセッサが選択されたタスクの実行を直ちに開始し、タスクコミュニケータ４４は選択されたタスクの実体ト、アプリケーションズプロセッサ１４によシ完了された以前のタスクの実体と、以前のタスクの分岐条件とを他の全てのノードへ知らせるメツセージの発生を直ちに開始する。条件付き分岐がアプリケーションズプロセッサ１４によ多制御され、アプリケーションズ猿境内の諸条件によシ決定される。

あるタスクと、そのタスクに先行するタスクとの間の優先関係は条件付き分岐、同時に存在する分岐と、タスクの境界において実現される連結動作を含むことがある。

条件付き分岐によシ、動作モードを切換えて、現在の諸条件によシ要求されないタスクをスケジューリングする必要を避ける効率的な手段が得られる。

相互作用一貫性票決プロセスが、同じタスクを実行した他のノードによシ発生される分岐条件についての一致を保障する。

各ノード内のスケジューラ４０は装置内の他のあらゆるノードのためのスケジューリングを模し、各ノードによるタスクのスケジューリングと実行についての全体的なデータベースを維持する。完了されたタスクと開始されたタスクを識別する別のノードからメツセージを受けると、スケジューラ４０はその完了されたタスクを、開始されたと以前に報告されたタスクと比較し、それらが同じでなければスケジューリング誤り信号を発生する。スケジューラ４０は開始されたと報告されたタスクをそのノードにより開始されるものと計画されているタスクと比較することも行う。それらのタスクが異なると、スケジューラはスケジューリング誤シ信号の発生も行う。

スケジューラ４０は全てのスケジューリング誤シ信号を耐障害器３６へ送る。スケジューラの誤シ検出機構の全ては全体的に確認され、タスクの１つまたは複数のコピーが失敗してもスケジューリングをめちゃめちゃにしないように構成されている。

再構成動作モードにおいては、障害のあるノードが動作している装置から排除されるから、可逆経路とは独立の再構成アルゴリズムが動作負荷の優雅な劣化を行う。そのアルゴリズムは可逆であるから、以前に排除されたノードが誤シのない動作の延長された期間に続いて再び加えられるために、動作負荷の優雅な回復も支持する。

再構成においては、各ノードに割当てられたアクティブタスクは変更されて、アクティブノードの数の変化を補償する。再構成中に、障害のあるノードが除去された後で、アクティブタスクセット、または少くとも、障害のおるノードのアクティブタスクセットの重要なタスク、を他のノードのアクティブタスクセットに割当て、含ませることができる。他の場合には、個々のタスクを全体的に不能状態にし、よシ簡単なタスクで置換でき、および重要でないタスクを置換なしで不能にできる。装置の能力に適応するために、再構成プロセスはアクティブノードのためのアクティブタスクセットを再調節する。アルゴリズムは、冗長ノードに単一プロセッサタスク負荷を複製するのではなくて、真の分布された処理をサポートする。

タスクコミュニケータ４４は動作制御器１２とアプリケーションズプロセッサ１４の間の入力／出力（Ｉｌｏ）インターフェイスとして機能する。次のタスクのための用意ができた時に、アプリケーションズプロセッサ１４はタスクコミュニケータ４４に合図する。アプリケーションズプロセッサ１４とタスクコ。

ミュニケータ′４４の間の通信を同期させるために、簡単なハンドシエイキングプロトコルが用いられる。

この信号を受けたタスクコミュニケータ４４はスケジューラ４０から選択されたタスクを読出し、それをアプリケーションズプロセッサ１４へ転送スる。

それと同時に、アプリケーションズプロセッサ１４によシ完了されたタスクと、アプリケーションズプロセッサにより開始されているタスクと、完了されたタスクの分岐条件とを識別するタスク完了／タスク開始メツセージの送信を開始する。次に、タスクコミュニケータ４４は、開始されたタスクの実行に求められるデータをデータメモリ４２から７エツチし、開始されたタスクの実行のために求められる順序でそのデータをバッファに一時的に格納する。それらのデータ値が求められると、タスクコミュニケータはそれらのデータ値をアプリケーションズプロセッサへ送る。現に、タスクコミュニケータ４４はアプリケーションズプロセッサ１４にとっては入力ファイルのようにみえる。

タスクコミュニケータ４４は、選択されたタスクの実行中にアプリケーションズプロセッサ１４により発生されたデータ値を受けること、およびデータ値メツセージを発生することも行う。それらのデータ値メツセージは送信器３０によシ装置内の他のノードの全てへ放送される。また、タスクコミュニケータは、データ識別（ＤＩＤ）符号と、メツセージをデータ値メツセージとして独自に識別するメツセージの種類（ＭＴ）　　符号とをデータ値メツセージに付属させる。

同期器は多重コンピュータアーキテクチャの動作に２つの独立した機能を持たせる。第１の機能は、定常状態動作の同期化に関連するもので１）、第２の機能はスタート時におけるノードの同期化に関連するものである。定常状態動作中に、同期器４６は、ローカルタロツク時間を暗に示すメツセージの交換によシ、ノードのルーズなフレームベース同期化を行う。各ノード中の同期器は、「公称同期カウント」まで、それ自身のクロット速度でカウントし、それから同期前装置状態メツセージを生ずる。そのメツセージは送信器３０によｐ装置内の全ての他のノードへ放送される。それ自身を含む、装置内の全てのノードからの同期前装置状態メツセージが各ノードにおいて受けられると、それらのメツセージは、メツセージ検査器３４からのメツセージの到達時刻について同期器内で時刻がスタンプされる。時刻スタンプは、全てのノードからの同期前装置状態メッセめに、票決される。票決された時刻スタンプ値と、ノードの自身の同期前装置状態メツセージとの間の違いは、修正された同期カウントを計算するために用いられる誤シ見積り高である。誤り見積り高は以前の同期化範囲の８積された任意のスキュと、クロックドリフトの効果とを含む。それから同期器４６は修正された同期カウントまでカウントし、同期化装置状態メツセージを発生する。そのメツセージは送信器３０によシ装置内の他の全てのノードへ直ちに送られる。同期状装置状態メツセージも、装置内の各ノードにおける同期器におけるそれらのメツセージの到達について時刻スタンプされる。

前同期装置状態メツセージと同期装置状態メツセージとは全て票決された時刻スタンプ値と比較されて、どのノードがそれ自身のメートに同期され、どのノードが同期されていないかを判定する。時刻スタンプにおける差が第ｉの大きさをこえると、潜在的な同期の誤ｐを意味するンフト誤シ信号が発生される。しかし、時刻スタンプの差が第１の大きさより大きい第２の大きさをこえたとすると、同期器ｐが確かに起きたことを示す／・−ド誤シ信号が発生される。ンフト誤ｐ信号と７）−ド誤９信号が耐障害器へ送られ、検出された他の誤りと同様にして取扱われる。スタートというのは、「動作セット」と呼ばれるノードの機能的な構成を作成するプロセスとして定義される。動作セットが存在するものとし、かつ１つまたは複数のノードの加入または再加入により機能的な構成が変更されたとすると、プロセスは「ウオームスタート」と呼ばれる。「動作セット」が存在しないとすると、それは「コールドスタート」と呼ばれる。ウオームスタートにおいては、同期器４６は動作セットの存在を認め、その動作セットとの同期をとろうと試みる。装置へ電力が初めて供給されたのに応じて発生された電力供給リセツ）（ＰＯＲＥＳＴ　）信号によシコールドスタートは開始される。

動作セットが形成されるまで、各同期器４６は全てのノードとの点間同期をとろうと試みる。動作セットがひとたび形成されると、動作セットに含まれていないノードはウオームスタートプロセスへ切換わり、動作セットと同期をとろうと試みる。

ノード間メッセージ多重コンピュータアーキテクチャの動作は、ノード間メツセージの交換によるデータと動作情報の交換に依存する。それらのノード間メツセージは、それをどのように処理すべきかを個々の各動作開制御器に指示するデータ流メツセージである。

種々のノード間メツセージおよびそれらの情報内容が第１表に示されている。

第１表ノード間メツセージフォーマット第　　１　　表ノード間メツセージフォーマット受信モｉドにおいてノード間メツセージの取扱いを簡単にするように、ノード間メツセージは全て同じ基本的なフォーマットを有する。各ノード間メツセージの第１のバイトは、それからメツセージが発生されるようなノードのノード識別（ＮＩＤ）符号と、メツセージの種類を識別するメツセージ種類（ＭＴ）符号とを含む。各ノード間メツセージ中の最後のバイトは常にブロック検査バイトである。そのバイトは、送信誤シを検出するために受信器３２＆〜３２Ｈにより検査される。

１バイトデータ値メツセージから４バイトデータ値メツセージまでの４種類のデータ値メツセージがある。それらのデー、夕値メツセージはメツセージ種類ＭＴＯ〜ＭＴ４として識別される。データ値メツセージの第２のバイトはデータ識別（ＤＩＤ）符号である。

このデータ識別符号はメツセージ検査器３４によシ用いられて、実行すべき検査の種類を定める。ＭＴ／ＤＩＤ符号は、どの限界がメツセージ検査器３４によシ使用されるかを識別し、および票決された値からの実際の各データ値の許容逸脱を定めるために票決器３８によシ用いられ、かつ現在のタスクの実行中にアプリケーションズプロセッサ１４へ供給されるデータ値を定めるためにタスクコミュニケータ４４により用いられる逸脱を識別するために用いられる。

データ識別バイトに続くバイトはデータ自体であって、最後のバイトは前記したようにブロック検査ノくイ　　ト　で　あ　る　。

タスク相互作用一貫性（ＴＩＣ）メツセージは、ゼロ（０）にセットされているＤＩＤにより識別される２バイトデータ値メツセージの特殊なケースである。

タスク相互作用一貫性メツセージ、メツセージ種類ＭＴＩ、はタスク完了ベクトルと、他のノードから受けたタスク完了／開始（Ｃ３）　　メツセージ中に含まれている分岐条件データの再放送であって、タイミング順序の説明において述べるように、各サブアトミック周期（ＳＡＰ）に終シに送信される。タスク相互作用一貫性メツセージの情報内容は各ノードにより票決され、票決された値は、タスク選択およびスケジューリングプロセスにおいてスケジューラ−４０によシ用いられる。

ベースペナルティカウント（ＲＰＣ）メツセージ、メツセージ種類ＭＴ４、はそれ自身を含んでいる装置内の各ノードに対して個々のノードが格納するベースペナルティカウントを含む。装置内の各ノードに対して票決されたベースペナルティカウントを発生するために各ノードはその情報を用いる。その後で、各ノードは票決されたベースペナルティカウントを、各ノードに対する現在のベースペナルティカウントとして格納する。これにより、各マスタ期間の初めに、装置内の他のあらゆるノードに対する同数のベースペナルティカウントを確実に格納するようにする。ベースペナルティカウントメツセージは、各マスク期間タイミング間隔の初めに各ノードによシ送られる。

装置状態（ＳＳ）　　メツセージ、メツセージの種類ＭＴ５、が各アトミック期間タイミング間隔の終シに送られ、ノードの点間同期のために用いられ、再構成が求められていることを大多数のノードが結論した時に、再構成を全体的に肯定する。装置状態メツセージの送信の終シが、先行するアトミック期間の終シおよび次のアトミック期間の始シに一致するように、それの送信の時期が計られる。

装置状態メツセージの第１のバイトは初めのノードのノード識別（ＮＩＤ）符号と、メツセージ種類（ＭＴ）符号を含む。

第２のバイトは３つの機能ビットを含む。初めの２ビツトは同期ビットと前同期ビットであって、上記同期プロセスにおいて用いられる。第３のビットはノードが動作中または排除されているか否かを識別する。装置状態メツセージの第３と第４のバイトはそれぞれタスク完了ベクトルと分岐条件ベクトルである。バイト５は現在の装置状態ベクトルを含み、バイト６は新しい装置状態ベクトルを含む。再構成を必要とすると送９ノードが結論すると、新しい装置状態ベクトルは現在の状態ベクトルとは異なる。

バイト７と８はノード自体の期間カウンタの上位ビットと下位ビットを含む。バイト９は、特定のノードが同期されることをどのノードが決定するかを定める「に同期しているＪ　（ＩＳＷ）ベクトルを含み、バイト１０は従来の使用のために留保される。バイト１１はメツセージの終シにおける通常のブロック検査バイトである一同期器は前同期装置状態メツセージの時刻スタンプを用いる。それらの前同期装置状態メツセージは、第２のバイト中の前同期ビットにより識別される。その第２のバイトは、最後のサブアトミック期間の持続時間の修正を計算するために用いられる誤シ評価値を発生するためにセットされる。この修正は、そのノードにおける次のアトミック期間の初めを、他のノードによシ発生されているアトミック期間に同期させる。期間カウンタバイトは装置内の全てのノードのマスク期間を整列させるために用いられる。期間カウンタは、各期間の初めからのアトミック期間の数をカウントし、各マスク期間内の固定された数のアトミック期間までカウントした時にリセットされる。同期器４６についての説明において詳しく説明するように、バイト９は自動コールドスタート中だけ用いられる。

タスク完了／開始（ＴＣ／Ｓ　）メツセージ、メツセージ種類ＭＴ６、はアプリケーションズプロセッサ１４によシ新しいタスクが開始される几びにタスクコミュケータ４４によシ発生される。タスク完了／開始メツセージの第２と第３のバイトは、完了したタスクのタスク識別（ＴＩＤ）符号と、ノードのアプリケーションズプロセッサ１４によｐ開始された新しいタスクのタスク識別（ＴＩＤ）符号とを含む。このメツセージの第４のバイトは完了したタスクの分岐条件と、誤シ修正符号（ＦＣＣ）とを含む。

最後の符号間メツセージは誤シメッセージ、メツセージの種類ＭＴ？、であって、アトミック期間中に送信器３０が動作していない時は常に送られる。特定のノードに帰因する誤シを知らせるただ１つの誤りメツセージをアトミック期間中に送ることができる。誤ｐメツセージの第２のバイトは、障害を起しているとされているノードのノード識別（ＮＩＤ）符号である。次の４つのバイトは、検出された各誤シを識別する誤シフラッグを含む。誤シメッセージの７番目と８番目のバイトは、識別されたノードのベースペナルティカウントと、他のノードから受けた誤シメッセージによυ誤シが支持されるならばベースペナルティカウントに加える増加ペナルティカウントとを含む。増加ペナルティカウントは検出された誤ｐの数と、それらの誤シの厳しさとを基にしている。誤りメツセージ中で識別されるノードに対する新に票決されたベースペナルティカウントを発生するために、その情報は他のノードによシ用いられる。

検出された誤りを有するメツセージを発生する各ノードに対して別々の誤シメッセージが送られる。

タイミング期間多重アーキテクチャの全体の制御装置は、時間サイクルが異なる同時に動作する制御ループをいくつか含む。この装置は、各サイクル時間が、２の整数べきに、アトミック期間と呼ばれる基本的な時間間隔を乗じたものであること、という制約を課する。

これは動作制御器１２の実現を大幅に簡単にし、正しいタスクスケジューリングの確認を容易にする。

アトミック期間の長さは、特定の各用途ごとに、装置の設計者によシ広い限界内で選択される。同期のために用いられる装置状態メツセージは各アトミック期間の終シに送られる。

装置によシ用いられる最長の制御ループはマスク期間である。第３図に示すように、各マスク期間は固定数のアトミック期間を含む。どのスケジューリング誤シも伝えられることを阻止するために、各マスク期間の終シに全てのタスクスケジューリングパラメータが再び初期化される。各マスク期間の始シのすぐ後でノードはベースペナルティカウントメツセージの交換も行う。

装置で用いられる最短の時間期間は第４図に示すようにサブアトミック（ＳＡＰ）期間である。そのＳＡＰ期間は、どのタスクに対しても動作制御器１２によシ認められる最短の実行時間を定める。たとえば、あるタスクの実行時間がザブアトミック期間よシ短いとすると、次のサブアトミック期間が始るまで、動作制御器１２は次のスケジュールされたタスクをアプリケーションズプロセッサ１４へ送らない。しかし、あるタスクの実行時間がサブアトミック期間よシ長いとすると、動作制御器１４は、用意ができしだい、次のスケジュールされたタスクをアプリケーションズプロセッサへ送る。各アトミック期間中Ｋｌｄ、多重コンピュータアーキテクチャを特定の用途に合わせるために、装置の設計者によシ選択できる整数個のサブアトミック期間が存在する。第４図に示すように、各サブアトミック期間は前記のようにタスク相互作用一貫性メツセージにより記述される。

送　　信　　器第５図は、各動作制御器１２により具体化される送信器３０のブロック図である。この送信器３０は、タスク相互作用一貫性メツセージと同期器４６によ多発生された装置状態メツセージを受ける同期器インターフェイス５０と、耐障害器３６によ多発生された誤シメッセージとベースペナルティカウントメツセージを受ける耐障害器インターフェイス５２と、タスクコミュニケータ４４により発生されたデータ値と完了／開始メツセージを受けるタスクコミュニケータインターフェイス５４との３つのインターフェイスを有する。３つのインターフェイスはメツセージ仲裁器５６と縦冗長符号発生器５８へ接続される。メツセージ仲裁器５６は、送信できるようになっているメツセージを送る順序を定める。縦冗長符号発生器５８は縦冗長符号バイトを発生する。このバイトは最後のバイトとして、送信された各メツセージに付される。メツセージバイトは並列−直列変換器６０へ個々に送られ、その変換器においてはそれらのメツセージバイトは、スタートピットと２つのストップビットの間でフレーム化され、それから直列フォーマットで通信回線１６へ送られる。

送信器３０は自己試験インターフェイス６２も含む。このインターフェイスは、指令を受けた時に外部ＲＯＭ　（図示せず）から所定の自己試験メツセージを検索する。そのメツセージは縦冗長符号発生器５８へ入力され、並列−直列変換器６０により通信回線へ送られる。送信器３０は初期パラメータロードモジュール６４も有する。このモジュールは、メツセージの間の最短同期期間の長さ、相互作用一貫性のための警報期間の長さ、装置状態メツセージおよび自己試験メツセージを格納するＲＯＭ内の開始アドレスのような各種の所定パラメータを送信器内にロードする。

第６図に示すように、３つの各インターフェイスは、関連するメツセージ源からマルチプレクサ６８を介して送るメツセージを受ける８ビツト入力レジスタ６６を有する。マルチプレクサ６８は、メツセージを発生しているノードを識別する３ビツトノード繊別（ＮＩＤ）符号も受ける。

関連するメツセージ源が送るメツセージを有する時は、入力レジスタ６６が空いていることを意味するバッファが利用可能な信号が存在するまで、そのメツセージ源はそのメツセージを常に保持する。それから、メツセージ源はメツセージの第１のバイトを入力レジスタ６６へ送る。ビットカウンタ７０は入力レジスタ６６にメツセージをクロック制御して入力するストローブパルスをカウントし、フリップフロップＴ２およびアンドゲート７４とともにマルチプレクサ６８を作動させて、３ビツトノ一ド識別符号を、第１のバイトの最後の上位３ビツトとして入力レジスタ６６にクロック制御しつつ入力する。

フリップフロップ７２は、それに先行するメツセージが終った時に発生された信号「送信静止期間」（ＴＱＰ）に応答して、アンドゲート７４と７６を開く第１のバイト信号をそれのＱ出力端子に発生する。

アンドゲート１４は、第１のバイトを入力レジスタ６６にロードするストローブ信号に応答してビットカウンタ７０によシ発生された上位３ビツトを送り、マルチプレクサ６８を作動させて３ビツトノ一ド識別符号を入力レジスタ６６の上位３ビツトの場所にロードする。

アンドゲート７６は入力レジスタへの８ビツトのローディングに応答して、７リツプフロツプ７８をセット状態に作動させる出力を生ずる。セット状態においては、クリップフロップ７８はメツセージ利用可能な信号をそれのＱ出力端子に発生し、それの４出力端子におけるバッファ利用可能な信号を終らせる。メツセージ利用可能な（ＭＡ）信号はフリップフロップ７２をリセットし、第１のバイト信号を終らせる。その第１のバイト信号はアンドゲート７４と７６を閉じる。メツセージ利用可能な（ＭＡ）信号はメツセージ仲裁器５６へも送って、メツセージを送る用意ができたことを意味する。

フリップフロップＩ８がセット状態にされた時にバッファ利用可能な（ＢＡ）信号が終ると、メツセージ源がメツセージの残りのバイトを送信器３０へ送ることを禁止する。メツセージの種類符号である、第１のバイトの初めの下位３ビツトはメツセージ仲裁器５６へ直接送られ、送信のために２つ以上のメツセージを利用できるならば、またはメツセージの送信が同期器４６によシ発生された時間的に厳しいメツセージの送信を妨害しないとすると、どのメツセージを送るかを判定するために仲裁プロセスにおいて用いられる。メツセージ仲裁器５６は、送信の用意ができているメツセージが２つ以上ある時に次に送るメツセージを識別する送信（ＴＸＸりを発生する。

このメツセージは縦冗長符号発生器５８を作動させて、送信のために選択されたメツセージを並列−直列変換器へ送る。送信信号は適切な）（ソファ利用可能な（ＢＡ）信号を再アサートするインターフェイス内のフリップフロップのリセットも行って、関連するメツセージ源を作動させ、メツセージの残シのバイトをインターフェイスへ送る。それから、残っているバイトが受けられた時に、それらのバイトは縦冗長符号発生器５８へ直接送られる。メツセージの全てのバイトが送られると、メツセージ仲裁器５６は送信静止期間（ＴＱＰ）信号を発生する。

その信号は並列−直列変換器を作動させて、各メツセージの送信に続く所定時間中に零（同期）信号を送らせる。

好適な実施例においては、静止期間は２４ビツトすなわち２零バイトの送信に要する時間である。送信静止期間（ＴＱＰ）　　信号はフリップフロップγ２のセットも行って、先行するメツセージが送られたこと、および関連するメツセージ源から受けた次のバイトが次のメツセージの第１のバイトであることを示す。

メツセージ仲裁器５６の詳細が第７図に示されている。タスク相互作用一貫性（ＴＩＣ）および装置状態（ＳＳ）のメツセージのような重要な時間メツセージを送る正常な動作の下においては、耐障害器（ＦＬＴ）タスクコミュニケータ（ＴＳＣ）仲裁論理８２がＲＦＬＴポーリング信号とＰＴＳＣポーリング信号を交互に発生する。それらの信号はアンドゲート８４と８６の入力端子にそれぞれ受けられる。アンドゲート８４は、耐障害器インターフェイス５２により発生された耐障害器メツセージ利用可能（ＦＬＴＭＡ）信号も受け、アンドゲート８６は、送信用意ができているメツセージの最初のローディングをタスクコミュニケータ４４が完了した後で、タスクコミ；ニケータインターフエイス５４により発生されたタスクコミュニケータメツセージ利用可能（ＴＳＣＭＡ）信号も受ける。アンドゲート８４と８６の出力は送信耐障害器（ＴＦＬＴ）信号と送信タスクコミュニケータ（ＴＳＣ）信号であって、アンドゲート８８，９０へそれぞれ加えられる。アンドゲート８８，９０への別の入力は残り時間メツセージの長さ比較器９２から受けられる。その比較器は、後で説明するように、選択されたメツセージの送信が時間に依存するメツセージの送信を妨害しない時にイネイブル信号を常に発生する。アンドゲート８８が開かれると、そのアンドゲートは送信耐障害器（ＴＦＬＴ）信号を耐障害器インターフェイス５２へ送ってバッファ利用可能信号を再アサートし、それが耐障害器３６からのメツセージの残りのバイトを受けることができるようにする。

また、アンドゲート８８は、ＴＦＬＴ信号を縦冗長符号発生器５８へ送って、耐障害器インターフェイス５２からのメツセージをバイトごとに並列−直列変換器６０へそれが送ることを可能にして、通信回線１６へ送る。同様にして、アンドゲート９０が開かれ、送信用意ができているメツセージをタスクコミュニケータ４４が有することをタスクコミュニケータインターフェイス５４のポーリングが示すと、アンドゲート８６は送信タスクコミュニケータ（ＴＴＳＣ）信号を発生する。その信号は、アントゲ−）９０を通されたとすると、タスクコミュニケータのメツセージを送信する結果をもたらす。発生された信号Ｔ　Ｆ　Ｌ　ＴとＴＴＳＣはＦＬＴ　−ＴＳＣ仲裁論理８２へ帰還されて、メツセージが送られる後までその論理をそれの現在の状態に固定する。

耐障害器のメツセージとタスクコミュニケータのメツセージの間のメツセージ仲裁は、現在送られているメツセージの種類に主として依存する。ＦＬＴ　−ＴＳＣ仲裁論理８２にょシ実行される論理が第■表に要約されている。

第　　■　　表ＦＬＴ−ＴＳＣ仲載論理表通常はＦＬＴ−ＴＳＣ仲裁論理８２は耐障害器インターフェイス５２とタスクコミュニケータインターフェイス５４を交互にボールする。しかし、各アトミック期間の初めに、ＦＬＴ−ＴＳＣ仲裁論理８２は、そのノードによシ開始されているタスクを識別するタスク完了／開始メツセージに対してタスクコミュニケータインターフェイス５４を初めにボールする。

タスク完了／開始メツセージを利用できないとすると、それは耐障害器インターフェイス５２をボールする。

マスク期間の初めに、装置内の各ノードの健康を全体的に確認するために用いられベースペナルティカウントメツセージを全てのノードは送らなければならない。したがって、マスク期間の初めに一致する各装置状態メツセージの後で、ＦＬＴ−ＴＳＣ仲ｉ１論理が耐障害器インターフェイス５２をまずボールし、耐障害器３６からベースペナルティカウントメツセージをそれが受けるまで待つ。ベースペナルティカウントメツセージの送信の後で、それはタスクコミュニケータインターフェイス５４ｉボールし、アプリケーションプロセッサにょシ開始するようにスケジュールをａすれているタスクを識別するタスク完了／開始メツセージを送る。耐障害器３６が所定の期間内にベースペナルティカウントメツセージを発生しないとすると、ＦＬＴ−ＴＳＣ仲裁論理８２は耐障害器インターフェイス５２とタスクコミュニケータインターフェイス５４のポーリングを交互の順序で再開する。同様にして、自己試験メツセージの後で、ＦＬＴ−ＴＳＣ仲裁論理８２はタスクコミュニケータインターフェイス５４をボールシ、タスク完了／開始メツセージを待つ。

同期器４６は、次のサブアトミック期間またはアトミック期間の始まる所定の期間前に、タスク相互作用−買性メッセージまたは装置状態メツセージの最初のバイトを同期器インターフェイス５ｏにロードする。タスク相互作用一貫性メツセージまたは装置状態メツセージを送信する前に送信できるビットの数に対応する数を、警報期間発生器９４が警報期間カウンタにロードする。前記したように、それらのメツセージのいずれかに含まれている最後のビットの送信が以前のサブアトミック期間またはアトミック期間の終シを記すから、それらのビットの送信により、期間の終シの前に所定時刻（ビットカウント）を開始する。タスク相互作用一貫性メツセージと装置状態メツセージのビット長は異なるから、警報期間カウンタにロードされる数は異なる。警報期間カウンタ９４は、同期器インターフェイス５０に格納されているメツセージの初めのバイトに含まれているメツセージの種類符号を復号し、その特定の種類の時間的に重要なメツセージに対する警報期間の長さを示す数を警報期間カウンタにロードする。

警報期間カウンタは並列−直列変換器６０のビット伝送速度でカウントダウンさせて、時間的に重要なメツセージを送るために残っている時間を示す数を発生する。警報期間カウンタに残っているカウント数は同期器送信制御器９６と残シ時間メツセージ長さ比較器９２へ通信される。警報期間カウンタが零までカウントダウンされると、同期器メツセージ制御器９６は送信同期器（ＴＳＹＮ）信号を発生する。

その信号は、同期器インターフェイス５０を作動させてバッファ利用可能信号を再アサートし、かつ縦冗長符号発生器５８を作動させて同期器インターフェイス５０からのメツセージを並列−直列変換器ｉ。

へ送り、ノード自身の通信回線１６へ送信する。

残υ時間メツセージ長比較器９２は、ＦＬＴ−ＴＳＣ仲裁論理によシ送るために選択されたメツセージのメツセージ種類を復号し、そのメツセージのために送るべきピットの数を決定する。この数に残υ時間メツセージ長比較器９２は、メツセージの間の静止期間に対応するビット数に等しい数を加え、メツセージと静止期間の和を警報期間カウンタに残っているカウントと比較し、選択されたメツセージの送信が、同期器インターフェイス５０からの時間的に重要なメツセージの送信を妨害するか否かを判定する。

選択されたメツセージの送信が同期器４６からの時間的に重要々メツセージの送信を妨害しないとすると、残シ時間メツセージ長比較器９２はアンドゲート８８と９０を開かせる信号を発生する。それらのアンドゲートが開くと信号ＴＦＬＴまたはＴＴ　ＳＣがそれらのアンドゲートを通る。また、選択されたメツセージの送信が時間的に重要なメツセージの送信を妨害する場合には、残シ時間メツセージ長比較器９２はアンドゲート８８と９０を閉じる信号を発生し、耐障害器インターフェイス５２またはタスクコミュニケータインターフェイス５４からの選択されたメツセージの送信を禁止する。この信号はＦＬＴ−ＴＳＣ仲裁論理９２のトグルも行って、選択されないインターフェイスが送信するメツセージを有するかどうかを判定するためにそのインターフェイスをポールする。選択されないインターフェイスが送信する用意のできたメツセージを有するものとすると、残シ時間メツセージ長比較器９２は、同期器インターフェイス５０からの時間的に重要なメツセージの送信前に、選択されないインターフェイスからのメツセージを送信するために十分な時間があるかどうかを判定する。十分な時間があれば、選択されないインターフェイスからのメツセージが送られ、さもないとアンドゲート８８．９０は閉じられたままである。

メツセージ仲裁器５６は、並列−直列変換器６０によシ送られるバイトの数をカウントするバイトカウンタ１００も有する。バイトカウンタ１００の出力はメツセージバイト論理１０２によシ受けられる。

メツセージバイト論理１０２は送信されるメツセージのメツセージ種類符号を復号し、そのメツセージ中のバイトの数を決定する。メツセージの最後のバイトが送られた後で、メツセージバイト論理１０２は、縦冗長符号発生器５８を動作させて、発生された縦冗長符号をメツセージの最後のバイトとして送信させる送信縦冗長符号（、ＴＬＲＣ）信号を発生する。

それから、メツセージバイト論理１０２は、メツセージの同期のために用いられる所定のバイト数に対して零信号を並列−直列変換器６０に送信可能とする送信静止期間（ＴＱＰ　）　　信号ｆ発生する。送信静止期間（ＴＱＰ）信号は同期器送信制御器９６へも送られ、そこで送信同期器（ＴＳＹＮ　）　　信号を終らせるために用いられる。静止期間が終ると、メツセージバイト論理１０２は静止期間の終？）　（、ＥＱＲ）信号を発生する。その信号はバイトカウンタ１００をリセットし、次に送るメツセージを選択するためにＦＬＴ−ＴＳＣ仲裁論理８２をアンラッチする。

その中においてはタスク識別（ＴＩＤ）符号がノード識別（ＮＩＤ）符号と同じであるような送信されたタスク完了／開始メツセージに応じて、自己試験仲裁論理１０４は自己試験のための要求を認識する。自己試験要求メツセージの送信の後で、自己試験仲裁論理１０４は、第８図に示すように、タスクコミュニケータイネイブル（ＴＳＣＥ　）　　信号と耐障害器イネイブル（ＦＬＴＥ）信号を禁止する。それらの信号は、アンドゲート８４と８６へそれぞれ加えられると、耐障害器インターフェイス５２またはタスクコミュニケータインターフェイス５４からの全ての送信を禁止する。次のタスク相互作用一貫性メツセージまたは装置状態メツセージに続いて、自己試験仲裁論理１０４は送信自己試験（ＴＳＬＴ）信号を直ちに発生する。その信号は自己試験インターフェイス６２を作動させて、関連するオフボード（読出し専用メモリ）ＲＯＭから自己試験メツセージを読出す。（ＴＳＬＴ　）　　信号は縦冗長符号発生器５８もイネイブル状態にして、自己試験メツセージを自己試験インターフェイス６２から送信のために並列− 直列変換器６０へ送る。自己試験メツセージの送信後に、自己試験仲裁論理１０４はタスクコミュニケータイネイブル（ＴＳＣＥ　）信号を回復して、自己試験の完了を意味するタスク完了／開始メツセージの送信を許す。第■表に示すように、ＦＬＴ−ＴＳＣ仲裁論理８２は、自己試験メツセージの送信に続いて送るべき次のメツセージとしてタスクコミュニケータインターフェイス５４からメツセージを自動的に選択する。タスク完了／開始メツセージの送信後に、第８図に示すように、次のタスク相互作用一貫性メツセージまたは装置状態メツセージが送られた後まで、自己試験仲裁論理１０４はタスクコミュニケータイネイブル（ＴＳＣＥ　）　　信号を終らせる。

自己試験インター７エイス６２はオフボードＲＯＭ（図示せず）からの自己試験メツセージを縦冗長符号発生器５８へ転送する。オフボードＲＯＭは複数の自己試験メツセージを格納する。それらのメツセージは、自己試験が求められるたびにそれに応答して１度に１つずつ送られる。各自己試験メッセージの最初のバイトは、自己試験の完了を識別するためにメツセージバイト論理１０２へ戻される自己試験メツセージ中のバイト数を示す数である。オフボードＲＯＭに格納されている各自己試験メツセージ中の最後のバイト次の自己試験メツセージのためのスタートアドレスである。スタートアドレスは送られス、自己試験インターフェイス６２に格納されて、次に送るべき自己試験メツセージをオフボードＲＯＭ内で探す。オフボードＲＯＭに格納されている自己試験メツセージの最後のバイトは第１の自己試験メツセージの開始アドレスを含むから、自己試験メツセージシーケンスが繰返えされる。第１の自己試験メツセージのための開始アドレスは、電力投入に応じて同期器４６によシ発生された最初の負荷指令に応答して、最初のパラメータ負荷モジ、ニール６４によって自己試験インターフェイス６２にロードされる。

第９図に示すように、縦冗長符号発生器５８は、同期器インターフェイス５０と、耐障害器インタフェイス５２．！：、タスクコミ／ユニケータインターフェイス５４と、自己試験インターフェイス６２とからメツセージバイトを受ける４対１人カマルチブレクサ１１０を有する。入力マルチプレクサ１１０は、先に述べたように、メツセージ仲裁器５６によシ発生された送信（ＴＦＬＴ、ＴＴＳＣ，ＴＳＹＮ、　　およびＴＳＬＴ　’）　　信号に応じて、どのメツセージが並列 −直列変換器６０へ送られるかを制御する。メツセージ仲裁器５６によシ送るために選択されたメツセージの各バイトは９本の並列線によシ出力マルチプレクサ１１２へ送られる。それら９本の並列線の１本に受けたバイトの各ビットと、関連するインターフェイスにより発生されたパリティビットとが割当てられる。縦冗長（ＬＲ）ビット発生器１１４が９本の各並列ビット線へ接続され、９ビット縦冗長符号をまとめて発生する。縦冗長符号中の各ビットは、先行するバイト中の同じビット場所内のビット値の関数である。全てのＬＲビット発生器１１４の出力は出力マルチプレクサ１１２によっても受けられる。

出力マルチプレクサ１１２　は、メツセージ仲裁器５６により発生された送信縦冗長符号（ＴＬＲＣ）信号に応答して、各ＬＲビット発生器１１４により発生された最後のビットを、送信されるメツセージの最後のバイトとして出力する。出力マルチプレクサ１１２の出力端子は並列−直列変換器６０へ直結される。

その並列−直列変換器は、所定のスタートビットと所定のストップビットの間で受けた各バイトをフレームしてから、ノードの通信回線へ送る。

受　　　　信　　　器受信器３２ａ〜３２ｎ　の構造は同じであるから、受信器３２ａの構造だけを詳しく説明する。第１０図を参照して、通信回線１６ａへ送られるノードＡからのメツセージはノイズフィルタ及び同期検出器１１６により受けられる。ノイズフィルタ及び同期検出器１１６の同期部は、メツセージの受信前に適切な同期間隔が存在することを要する。送信器３０について述べたように、同期間隔は、送られた各メツセージの後で元金な２個の零バイトを送るために送信器３０に対して求められる時間であることが好ましい。

ノイズフィルタ及び同期検出器１１６の低域部は、通信回線１６ｍ　に存在することがあるノイズのために、「スタート」ビットと「ストップ」ビットが受信器３２ａによシ誤って検出されることを阻止する。

低域フィルタ部は、通信回線１６ａ上の信号がスタートビットまたはストップビットとして解されるまでに、その信号が連続する４つの装置クロックサイクルの間存在することを要する。ノイズフィルタ及び同期検出器１１６は、適切な同期間隔の後でスタートビットを受けたのに応じて新しいメツセージ信号を発生する。

ノイズおよび同期検出器１１６を通った後で、メツセージは直列−並列変換器１１８　で直列フォーマットから並列フォーマットへバイトごとに変換される。直列−並列変換器１１８は、完全ガニ２ビツトバイトが受けられた時の決定も行う。１２ピツ）　／Ｃイトが「スタート」ビットおよび２つの「ストップ」ビットによシ正しくフレームされないとすると、新しいビットが付加される。初めに受けられたビットは捨てられ、フレーミングは再検査される。フレーミングの誤シは受信器３２ａによりフラッグされない。その理由は、この障害は垂直パリティ検査の間に自然に示されるからである。並列フォーマットへの変換の後で、スタートビットとストップビットは各バイトから除去され、残シの９ビツトバイトが、パリティ誤シの検査のために、縦冗長符号および垂直パリティ符号（ＬＲＣおよびｖｐｃ　）検査器１２２へ転送される。誤シ検査論理は垂直パリティ符号と縦冗長符号の現在の組合わせ値を出力する。垂直パリティ検査部は受けたメツセージを垂直に横切ってパリティを検査し、縦冗長符号検査器部は直列−並列変換器１１８から受けた各バイトに対して縦冗長符号検査を行う。メツセージ検査器３４はメツセージの第１のバイトに含まれているメツセージの種類情報を復号し、どのバイトがメツセージの最後のバイトであるかを判定し、したがって、どのバイトに対して縦冗長符号検査が有効であるかを判定する。

メツセージ検査器３４は、ＬＲＣおよびｖｐｃ符号検査器１２２によシ発生された他の全てのＬＲＣ誤シ信号を無視する。

垂直パリティ検査および縦冗長検査と並列に、８ビットメツセージバイトがバッファ１２０へ転送される。そのバッファはメツセージ検査器とインターフェイスする。メツセージ検査器３４が各８ビツトメツセージバイトを検査できるようになるまで、バッファ１２０はそれを一時的に格納する。メツセージバイトを受けると、バッファはバイトレディフラッグをセットして、転送できるようになったメツセージバイトを有することをメツセージ検査器３４へ知らせる。直列−並列変換器１１８による新しいメツセージのローディングとは独立に、メツセージ検査器３４はバッファ１２０からメツセージバイトをアンロードする。８ビツトメツセージバイトは、動作制御器１２内の受信器３２ａ〜３２ｎ　　の全てに共用されている共通バス１２４を介して、メツセージ検査器３４へ転送される。受信器３２とメツセージ検査器３４０間のメツセージの転送は、メツセージ検査器によ多発生されたポーリング信号に応じてバイトごとに行われる。メツセージ検査器３４は各受信器を繰返えし順序で１度に１つずつ系統的にポーメツセージ検査器３４が第１１図に詳しく示されている。メツセージ検査器３４は受信器３２ａ〜３２ｎによシ受けられたメツセージを処理し、それらのメツセージの論理内容を確認し、検出された誤シを記録し、メツセージを耐障害器３６へ送る。メツセージ検査器３４の動作はシーケンサ１２６により制御される。各受信器内のバッファ１２０のオーバーランを阻止するために、コンテキストが多数の受信器３２ａ〜３２ｎの間で切換える。各受信器３２ａ〜３２ｎが処理する用意のできているメツセージバイトを有するかどうかを判定するために、各受信器はトークンのようにしてポールされる。メツセージバイトがシーケンサ１２６によシボールされた時にメツセージバイトを処理する用意ができたとすると、バイトはメツセージ検査器３４によシ直ちに処理さレル。さもないと、シーケンサ１２６は進み、次の受信器をポーリング順序でポールする。シーケンサ１２６は各受信器に関連するノード１０のノード識別（ＮＩＤ）符号を格納する。シーケンサ１２６は各受信器３２ａ〜３２ｎ　　に関連するバイトカウンタも有する。シーケンサ１２６がその特定の受信器からバイトをアンロードするたびにバイトカウンタはインデックスされる。バイトカウン上１吐、メツセージ検査器３４によシ処理されている特定のバイトを独自に識別する。

耐障害器３６へ転送される時にメツセージバイトをタグするために、シーケンサ１２６はノード識別符号とバイトカウントをデータマルチプレクサ１２８へ転送する。ノード識別符号とバイトカウントは誤シ検査論理１３０とコンテキスト記憶装置１３２へも転送される。誤シ検査論理１３０　はシーケンサ１２６によシ予測されるノード識別符号を検査する。

そのノード識別符号はメツセージの第１のバイトに含まれ、それらが同じであるかどうかを判定するためにそれらは検査される。それらが異なると、誤シ検査器論理１３０は誤シ信号を発生する。その誤シ信号は、発生されている誤９状態バイトでコンテキスト記憶装置１３２に記憶される。ノード識別符号はコンテキスト記憶装置１３２内へのアドレスとしても用いられる。その記憶装置には、メツセージに属する関連する情報が格納される。コンテキスト記憶装置１３２　は装置内の各ノード１０に対する別々の記憶場所を有する。その記憶場所はメツセージに含まれているノード識別符号によシアドレスされる。

コンテキスト記憶装置１３２は、処理される各メツセージに対して、メツセージの種類（ＭＴ）符号と、データ識別（ＤＩＤ）符号と、バイトカウントと、誤９状態バイトと、データ値マスクと、中間誤り信号とを格納する。各バイトが受信器からアンロードされると、コンテキスト記憶装置１３２内の情報がアドレス発生器１３４により用いられる。そのアドレス発生器１３４はメツセージの種類（ＭＴ）符号と、データ識別（ＤＩＤ）符号と、処理すべき特定のバイトを識別するバイトカウントを有する。この情報に応答して、アドレス発生器１３４は、メツセージ検査器ＲＯＭ１３６　　内の要求されている処理情報が格納されるアドレスを出力する。メツセージ検査ｉＲＯＭ１３６はメツセージに含まれているデータに対する最大値および最小値と、各メツセージ種類に対する有効なデータ識別番号と、処理されているメツセージ中に含まれているデータ値の数と各データ値内のバイトの数を識別するデータマスクとを格納する。

最大と最小のデータ値は、それらの最大値と最小値に対して各データバイトに含まれているデータを検査する限度量検査器１３８へ転送される。限度量検査器１３８は、限度量検査の結果として４種類の誤シ信号を発生する。初めの２つは、最大値をこえたデータ値を意味する最大値（ＭＸＥＲ）誤シ信号と、最小値よシ小さいことを意味する最小値（ＭＮＥＲ）誤シ信号とである。他の２つの誤シ信号は最大値（ＭＸＥＱ）信号に等しく、最小値（ＭＮＥＱ）信号に等しい。それら後者の誤シ信号は誤シ検査論理１３０へ送られる。その誤シ検査論理はそれらの誤シ信号を中間誤り信号としてコンテキスト記憶装置に格納する。

誤シ検査論理１３０は、受信器により発生された垂直パリティ符号と縦冗長符号誤シ信号の論理和をとり、パリティ誤シ信号を発生する。そのバリテイ誤シ信号はコンテキスト記憶装置１３２で発生された誤シ状態バイトに記録される。前記のように、誤）検査論理１３０は、メツセージの第１のバイトに含まれているノード識別符号に対して予測されるノード識別（ＮＩＤ）符号を検査し、第１のバイトのビット位置１，３．４内のビットが同一であるがどうかを調べるために検査することにょシメッセージの種類（ＭＴ）符号を検査する。送信器３０の詳しい説明において先に説明するように、メツセージの種類誤シ検出のために、３ビツトメツセージ種類符号の中間ビットがピット位置３と４において繰返えされる。誤シ検査論理１３０は、メツセージの第２のバイトに含まれているデータ識別（ＤＩＤ）符号の有効性を、メツセージ検査器ＲＯＭ　１３６　から受けた（ＤＩＤ）符号に対して検査も行い、データ識別符号が最大値よシ大きい値を有するならば誤シ信号を発生する。誤シ検査論理１３０は、適切なデータバイトの２の補数範囲も検査して、２の補数誤シ信号が検出された時に範囲誤り　（ＲＮＧＥＲ）　信号を発生する。

それは、限度量検査器１３８によ多発生された最大（ＭＸＥＲ）誤シ信号と最小（ＭＮＥＲ）誤シ信号をコンテキスト記憶装置１３２に記録もする。

限度検査器１３Ｂに関しては、メツセージ検査器ＲＯＭ　１３６から受けた最大値または最小値内または外にあるかどうかを多バイトデータ値の第１のバイトから決定で、き、残シのバイトの検査はもはや不要である。しかし、検査されているバイトのデータ値が最大限度値または最小限度値に等しいことを示すＭＸＥＱ信号またはＭＮＥＱ信号を限度量検査器１３８が発生すると、受けたデータ値が所定の限度内にあるか否かを実際に判定するために、次のバイトを最大値または最小値に対して検査する必要がある。誤シ検査論理１３０　は、限度量検査器１３８からのＭ　Ｘ　Ｅ　Ｑ信号またはＭＮＥＱ　信号に応答して、そのデータ値を含んでいる次のバイトに対して限度量検査を継続するべきことをコンテキスト記憶装置１３２に昶らせる中間値信号をコンテキスト記憶装置に格納する。最終的な判定を行うために必要があれば、このプロセスは次のバイトに対して繰返えされる。特定のデータ値の次のバイトの検査中に、どの限度、最大または最小、に先行するデータバイトのデータ値が等しいかを示す格納されている中間値を、コンテキスト記憶装置１３２が誤シ検査論理１３０へ供給、する。この情報から、限度間誤りの存在の有無を、第１２図に示されているような比較的簡単な論理によシ容易に決定できる。デコーダ１４０が、コンテキスト記憶装置１３２に格納されている中間値に応答して、先行する限度量検査が、先行するノ（イトに含まれているデータ値が最大値に等しいことを意味する信号を発生するな・らば、アンドゲート１４２と１４４を開く。あるいは、中間値はアシドゲート１４６と１４８　を開いて、先行するバイトに含まれているデータ値が最小値に等しいことを示す。限度量検査器１３８が第２のバイトについて最大限度誤差（ＭＸＥＲ）　　を検出し、アンドゲート１４２が開かれたとすると、コンテキスト記憶装置１３２で発生された誤シ状態バイトに最大限度誤差ＭＸＢＲが記録される。同様に、第２のバイトについて最小限度誤り　（ＭＮＥＲ）が検出され、アンドゲート１４６が開かれると、最小限度誤り　（ＭＮＥＲ）が誤シ状態バイトに格納される。最大に等しい（ＭＸＥＱ）信号または最小に等しい（ＭＮＥＱ）　信号を第２のバイトがアンドゲート１４４．１４８の入力端子へそれぞれ加えると、中間値がコンテキスト記憶装置１３２に再び格納され、最終判定が次のバイトまで遅らされる。メツセージ検査器ＲＯＭ１３６からコンテキスト記憶装置１３２によシ受けられたデータ値マスクは、データバイトが各データに属しているような、処理されているデータ値メツセージ内にある個々のデータ値の数を識別する。各データ値内の最後のバイトを識別するために、そのアスクは誤シ検査論理１３０によｐ用いられる。任意のデータ値の最後のバイトにおいては、最大限度誤りまたは最小限度誤りだけがコンテキスト記憶装置誤シバイトに記録される。ＭＸＥＱ信号とＭ　Ｎ　Ｅ　Ｑ信号は無視される。

誤シ検査論理１３０−は、メツセージが正しい数のバイトを含んでいるかどうかも検出する。コンテキスト記憶装置は、処理されている各メツセージに対してメツセージの種類（ＭＴ）符号を格納する。特定の受信器からメツセージバイトで受けたメツセージ信号に応答して、誤シ検査論理１３０はコンテキスト記憶装置１３２に格納されているメツセージの種類符号を復号し、その種類のメツセージが有しなければならないバイト数に対応する数を発生する。

それから、それはこの数を、受信器３２から新しいメツセージ信号を受ける前に、シーケンサ１２６によ多発生されたバイトカウントと比較し、それらが同じでない時にメツセージ長さ誤り（ＬＥＮＥＲ）信号を発生する。誤シ状態バイトが耐障害器３６へ送られた後までは長さ誤＃）（ＬＥＮＥＲ）信号を発生できないことがあるから、メツセージ長さ誤シ信号は、そのノードから受けた次のメツセージに対する誤シ状態バイトで、耐障害器３６へ送られる。

コンテキスト記憶装置１３２において形成される誤シ状態バイトのフォーマットが第１３図に示されている。最下位すなわち零ビツト位置から始って昇順のピット位置で、誤シ状態バイトは、パリティ誤す（ＰＡＲＥＲ）のためのフラッグと、先行メツセージに対する長さ誤り（ＬＥＮＥＲ）のためのフラッグと、ノード識別（ＤＩＤ　）誤りのための７ラッグビットと、メツセージの種類（ＭＴ）　　誤シのためのフラッグビットと、２の補数の範囲誤、９　（ＲＮＧ’ＥＲ）のためのフラッグビットと、最大および最小の限度（ＭＸＥＲおよびＭＮＥＲ）誤シのためのフラッグビットとを含む。

第１１図へ戻って、データマルチプレクサ１２８は、メツセージ検査器３４によシ処理された各メツセージバイトを耐障害器３Ｇへ直接送る。データマルチプレクサは記述子バイトを各メツセージバイトに付加する。その記述子バイトは、その特定のメツセージバイトに対して、シーケンサ１２６から受けたノード識別符号（ＮＩＤ）　　とバイトカウント（ＢＹＴＣ）を含む。メツセージが終ると、そのメツセージの長さとは無関係に、データマルチプレクサ１２８はコンテキスト記憶装置１３２に格納されている誤シ状態バイトを最後のバイトとして送る。

その最後のバイトを障害分析のために耐障害器３６によって容易に識別できるように、最後のバイトはバイトカウント「１５」によシ識別される。

耐　　障　　害　　器耐障害器３６の詳細が第１４図に示されている。

耐障害器３６は、メツセージ検査器３４によシ検査された後でメツセージをバイトごとに受けるメツセージ検査器インターフェイス１５０を有する。誤シのないタスク完了／開始メツセージを受けると、メツセージ検査器インターフェイス１５０は、メツセージに含まれているメツセージ条件を同期器インターフェイス１５２へ送シ、開始された新しいタスクの実体（ＴＩＤ）とメツセージに含まれている分岐条件とをスケジューラ−インターフェイス１５４へ送ったノードの実体（ＮＩＤ）を送る。メツセージ検査器インターフェイス１５０は、ノード識別（ＮＩＤ）符号とメツセージの種類（ＭＴ）符号を票決器インターフェイス１５８へ送シ、データをパーティションビットとともに耐障害器ＲＡＭインターフェイス１６０へ送る。また、メツセージ検査器インターフェイス１５０は、メツセージ検査器３４により発生された誤シ状態バイト（バイ）＝１５））処理のために誤シ取扱い器１６４へ送る。

同期器４６は、タスク相互作用一貫性（ＴＩＤ）メツセージと装置状態（ＳＳ）メツセージ中でそれが検出した任意の誤シを、同期器インターフェイス１５２を介して誤り取扱い器１６４へ知らせる。スケジューラ−インターフェイス１５４は、開始されたタスクのタスク識別（ＴＩＤ）符号をスケジューラ−４０へ送り、かつ受けた各タスク完了／開始メツセージのノード実体（ＮＩＤ）をスケジューラ−４０へ送る。

そうすると、スケジューラ−４０は、それが検出した任意の誤シを、スケジューラ−インターフェイス１５４を介して、誤シ取扱い器１６４へ送る。

送信器インク・−フェイス１５６は、誤シ取扱い器１６４によシ発生されたベースペナルティカウントと誤シメッセージを送信器３０へ送る。前記したように、送信器インターフェイス１５６は、転送すべきメツセージの第１のバイトを送信器の入力レジスタにロードし、送信できるようになっているメツセージを有することを示す。それから、送信器インターフェイスは、残りのメツセージを送信のために送信器３０へ送る前に、送信器３０によるバッファ利用可能（ＢＡＢ）信号の再アサーションを待つ。

リセット発生器１５７が、誤シ取扱い器１６４の自身のノードに障害が起きていることをその誤シ取扱い器が判断した時にその誤シ取扱い器により発生されたリセット信号と、ノードへ電力が最初に加えられた時に発生される電力投入りセラ）　（ＦＯＲ）信号とに応答して、動作制御器リセット（ＯＣＲＥＳ）信号と最初のパラメータロード（ＩＰＬ）信号を発生する。それらの信号は他のサブシステムへ送られ動作制御器１２をリセットする。

メツセージバイトがメツセージ検査器インターフェイス１５０から受けられたメツセージバイト中に含まれているデータを、耐障害器ＲＡＭインターフェイス１６０は耐障害器ＲＡＭ１６２に格納する。耐障害器ＲＡＭ１６２は、第１５図に示すように区画されたランダムアクセスメモリである。第１５図に示すように、メツセージ区画部１６６は各７−ドから受けたメツセージを所定場所に格納する。メツセージ区画部１６６においては、メツセージ検査器３４によシメッセージバイトに付属している識別子バイトを用いて、メツセージは元のフォーマットに再び組立てられる。票決器３８によシ依然として用いられているデータの重ね書きを阻止するために、二重バッファ計画または二重パーティショア計画が用いられる。メツセージ検査器インターフェイス１５０によシ発生されたコンテキストビットは、２つの区画のどれに新しいデータを書込むかを決定する。別々のコンテキストビットが各ノードのために保たれ、誤シ状態バイトが現在のメツセージに誤シがないことを示した時にのみトグルされる。メツセージ検査器について先に述べたように、先行するメツセージがメツセージの長さ誤シを有すること、したがって現在のメツセージについての誤りのない状態の判定において無視されることを、誤シ状態バイトのメッセージ長（ＬＥＮＥＲ）バイトが意味する。

〉ツセージ区画部１６６内の１つのメツセージのフォーマットが第１６図に示されている。図示のように、ノード識別（Ｎ、ＩＤ）符号と、メツセージ検査器内の各メツセージバイトにアドレスの一部として付属されているバイトカウントとを用いて、メツセージは耐障害器ＲＡＭ１６２においてそれの元のフオ−マットに再構成される。メツセージ検査器インターフェイス１５０によシ発生されたコンテキストビットは、耐障害器ＲＡＭ　インターフェイス１６０によシ発生されたメツセージパーティション符号（ビット８〜１１）とともに、メツセージ区画１６６内の２つの場所のどれに各ノードからのメツセージを格納するかを識別する。

耐障賓器ＲＡＭ　１６２は、ベースペナルティカウントと誤シメッセージを発生するために誤シ取扱い器１６４により用いられる３つの部分を有する。

誤シ符号ファイル部１７０は、各アトミック期間の開始直後に送られる誤シメッセージの発生と、誤υメツセージに含まれる増加ペナルティカウントの発生とに用いられる誤シ符号を格納する。

各動作制御器１２には３５種類の誤シ検出機構があるから、装置内で送られる各メツセージから２乗から３５乗までの誤シの組合わせの可能性がある。

誤シの組合わせの数を耐障害器ＲＡＭ１６２の現在の記憶性能状態に適合する妥当な数まで減少するために、種々のサブシステムからの誤りレポートが受けられるにつれて、それらの誤りレポートは特殊な誤シ符号にフォーマットされる。フォーマットされた誤り符号は、第１７図に示すように、誤りを知らせたサブシステムの識別と、検出された誤シのフラッグ指示とを含む。たとえば、メツセージ検査器３４から受けた誤り状態バイトが別々の誤り符号にフォーマットされる。

第１の誤９符号は、誤シを知らせたサブシステム符号００００と、誤り状態バイトの下位４ビツトからの誤９フラツグとを含む。第２の誤シ符号はサブシステム符号０００１と、誤シフアイルの下位４ビツトからの誤シフラッグとを含む。それらの誤り符号は誤り符号ファイル部１７０の、第１９図に示されているように障害ノード識別（ＮＩＤ）符号とレポート数によシ定められるアドレスに格納される。誤シ符号ファイル部１７０は、メツセージ区画部１６６と同様に区画されて、２つの誤シフアイルが各ノードに対して格納されるようにする。メツセージ検査器インターフェイス１５０は、そのノードに対する２つの誤りファイルのどれに誤り符号が知らされるかを識別する。

各誤シ符号は耐障害器ＲＡＭ１６２０群マツピング部１６８をアドレスするために用いられる。誤り符号は、第１８図に示されているペナルティ重みポインタをアドレスする。そのポインタは耐障害器ＲＡＭのペナルティ重み部１７２をアドレスする。第２０図に示すように、ペナルティ重みポインは、フォーマットされた誤シ符号に含まれている知らされた誤υの特定の組合わせへ割当てられる特定のペナルティ重ミをアドレスする。そのノードに対する誤シフアイルに格納されている各誤シ符号から生じたペナルティ重みは、誤り取扱い器１６４　において加え合わされて、そのノードに対する増加ペナルティカウント（バイト８）として誤シメッセージに付属される。前記のように、誤シを含んでいたメツセージを送った各ノードに対して、各アトミック期間中にただ１つの誤シメッセージを発生する。

耐障害器ＲＡＭ１６２は、１バイト（ＭＴＩ）、２バイ）（ＭＴＩ）、および４バイト（ＭＴ３とＭＴ４）のデータ値メツセージに対する逸脱限度も４つの別々の部分１７４．１７６、１７８．１８０に格納する。票決器について後で説明するように、それらの部分は票決器３８によｐ用いられる。

メツセージ検査器インターフェイス１ｓｏｏ詳細が第２１図に示されている。格納メツセージモジュール１８２がメツセージバイトをメツセージ検査器３４から直接受け、それらを耐障害器１６２のメツセージ区画部１６６に格納する。格納メツセージモジュール１８２は、メツセージ検査器インターフェイスコンテキスト記憶装置１９０に格納されているコンテキストビットを、メツセージ検査器３４によシメッセージバイトに付されている記述子（ＮＩＤプラスバイトカウント）に加えて、区画アドレス（ＰＩＤ）を発生する。その区画アドレスは、メツセージ区画部分１６６内の、特定のメツセージバイトを格納する場所を識別する。

前記のように、各マスク期間が始った時に、各ノードはベースペナルティカウントメツセージをまず送シ、それにタスク完了／開始メツセージが続く。格納メツセージモジュール１８２は、各ノードに対して、ベースペナルティカウントメツセージを受けたことを意味する第１のフラッグと、その後のタスク完了／開始メツセージを受けたことを意味する第２のフラッグとを格納する。

それらのフラッグは、各マスク期間の初めに偽にセットサレ、ベースペナルティカウントとタスク完了／開始メツセージがそのノードに対して受けられた時に真にリセットされる。それらのフラッグがともに真にセットされなければ、格納メツセージモジュール１８２は、票決器インターフェイスバッファ１８４内のそのノードからその後で受けた任意のメツセージのアドレスの書込みを不能にする。

その結果として、その後でそのノードから受けられたデータは票決器３８によυ 処理されず、その後のどの処理の間も無視される。票決器インターフェイスバッファは８×７の先入れ先出しバッファであって、そのバッファにおいては、耐障害器ＲＡＭ１６２のメツセージ区画部１６６内の受信メツセージに対する区画アドレスの上位４ビツト（コンテキストビットプラスＮＩＤ）が上位４ビツトである。残シの３ビツトはメツセージの第１のバイトに含まれているメツセージの種類符号である。

誤シ状態バイト検出器１８６は、メツセージ検査器３４から耐障害器３６へ送られるメツセージを聴き、メツセージ検出器３４によシ発生された各誤シ状態バイト（バイト１５）の受信を検出する。誤り状態バイトの内容が、各長さ誤ｐ　（ＬＥＮＥＲ）　　ビットを除き、全て零でちるとすると、誤シ状態バイト検出器１８６は、メツセージ検出器インター７エイスコンテキスト記憶装置１９０が、格納メツセージモジュール１８２を介して票決器インターフェイスバッファ１８４にロードすること、または要求に応じてタスク完了レジスタ２０２にロードすること（：あるいは分岐条件レジスタ２００にロードすることを可能にする。さもないと、誤シ取扱い器１６４によシ次に処理するために、誤り状態バイト検出器１８６は各非零誤シ状態バイトを誤シ状態バッファ１８８にロードする。メツセージが自己試験メツセージ（ＴＩＤ　＝　ＮＩＤ　）セットであるならば、誤シ状態バイト検出器１８６は誤シ状態バッファ１８８内の自己試験フラッグも検出する。誤シ状態バッファ１８８は８×１２の先入れ先出しバッファであって、そのバッファにおいては最上位ビットは自己試験フラッグであシ、次の３ビツトはノード識別（ＮＩＤ）符号であシ、残シの８ビツトは受けた誤シ状態ノ（イトでちる。

メツセージ検査器インターフェイスコンテキスト記憶装置１９０　は、各ノードに対して第■表に含まれている情報を一時的に格納する。この情報が一時的に格納する理由は、誤シ状態バイトが受けられるまでメツセージに誤シが々いか知らないからである。

第　　■　　表メツセージ検査器インターフェイスコンテキスト記憶装置ビット　　適　要　　　　　　　　　書かれた時１３　　　ＴＩＣフラッグ　　　ＭＴＩ、バイトカウント＝２（ＤＩＤ＝Ｏ）１２　　区画コンテキストビット　　　　　バイトカウント＝１５１１〜９　メツセージの種類符号　　　　　バイトカウント＝１８　　　分岐条件ビット　　　ＭＴ６．バイトカウント＝４７〜０　開始されたＴＩＤ　　　ＭＴ６；バイトカウント＝３最上位ビット、ビット１３は、受けたメツセージがタスク相互作用メツセージ−貫性（ＴＩＣ）メツセージであることを意味する。そのメツセージは同期器４６によシ処理される。このフラッグは、全部零であるデータ識別符号（ＤＩＤ＝Ｏ）を肴するメツセージの種類ＭＴＩ　に応答したタスク相互作用一貫性メツセージ検出器１９２によってセットされ、このメツセージのアドレスの票決器インター７エイスノζツファ１８４へのロードを禁止する。というのは、それは同期器によって用いられるだけであって、動作制御器の他のサブシステムにより用いられないからである。１２番目のビットは、メツセージ区画部１６６のどの区画にメツセージが格納されるかを識別する区画コンテキストビットである。先のメツセージに誤シがなかったことを誤シ状態バイト検出器１８６が示した時にコンテキストビットはトグルサれる。メツセージに誤りがなければコンテキストビットはトグルされず、そのノードから受けた次のメツセージが耐障害器ＲＡＭ１６２内の先のメツセージに書き重ねられる。

メツセージ種類符号ビットがメツセージの第１のバイトから直接受けられる。分岐条件ビット、ビット８、が分岐条件検出器１９４から直接受けられる。

この分岐条件検出器はタスク完了／開始（ＭＴ６）メツセージの４番目のバイトに含まれている分岐条件開始されたタスクのＴＩＤをメツセージ検出器インターフェイスコンテキスト記憶装置１９０の下位７ビツト目の場所にロードするタスク開始検出器１９６から得られる。

受けたメツセージに誤シがないことを意味する誤シ状態バイトを受けた時に、メツセージがタスク相互作用一貫性メツセージでないとすると、メツセージ検査器インターフェイスコンテキスト記憶装置１９０はコンテキストビットとメツセージの種類を格納メツセージモジュール１８２へ転送する。格納メツセージモジュール１８２においては、耐障害器ＲＡＭ１６２内のそのメツセージの開始区画（ＰＩＤ　）アドレスを形成するために、コンテキストビットがノード識別（ＮＩＤ）符号に加えられる。メツセージ種類符号は区画アドレスに付属され、票決プロセスのために必要なデータを取出すために後で票決器３８が使用するように、それらは票決器インターフェイスバッファ１８４へ転送される。

誤シのないタスク完了／開始（ＭＴ６）メツセージを受けたことを意味する誤シ状態バイトを受けると、メツセージ検査器インターフェイスコンテキスト記憶装置１９０　は開始されたタスクの識別（ＴＩＤ）符号とノード識別符号（ＮＩＤ）　　をスケジューラ−インターフェイスバッファ１９８へ転送し、そこでそれは要求があるとスケジューラ−４０へ転送される。

スケジューラ−インターフェイスバッファ１９８は８Ｘｌｌビツトの先入れ先出しバッファであって、ソフト誤りウィンドウの終Ｄ（ｓｇｗ）が終った時にリセットされる。ソフト誤シウインドウは同期器４６により発生され、他のノードからの時間的に重要なメツセージが互いに同期しているとするとそれらのメツセージを受けなければならない期間である各サブアトミック期間の終シをまとめる期間を定める。

メツセージ検査器インターフェイスコンテキスト記憶装置１９０　は格納されている分岐条件（ＢＣ）ビットを並列に分岐条件レジスタ２００へ転送し、メツセージをタスク完了レジスタ２０２ヘメツセージを送るノードのノード識別（ＮＩＤ）符号を転送する。

それらのレジスタは、同期器４６にょシ求められた時に同期インターフェイス１５２によって読出される。分岐条件レジスタ２００　とタスク完了レジスタ２０２は、各ハード誤シウインドウ（ＨＥＷ）信号が終った時にリセットされているレジスタの異なるセットで二重にバッファされる。ハード誤シウィンドウ信号が同期器４６によシ発生され、各サブアトミック期間が終った時にソフト誤シウインドウ（ＳＥＷ）をまとめ、他のノードからの時間的に重要なメツセージの到達時刻の最大逸脱を定める。ハード誤シウインドウ（ＨＥＷ）とソフト誤シウィンドウ（ＳＥＷ）の機能を同期器４６の詳しい説明において詳しく説明する。

第２２図に示すように、誤シ取扱い器は誤９７アイラ２０４　と、誤シー貫性検査器２０６　　と、誤シメッセージ発生器２０８　と、誤シ取扱い器コンテキスト記憶装置２１０とを含む。誤９７アイラ２０４は、動作制御器内の各種のサブシステムからの誤シレポートに対して、メツセージ検査語インターフェイス１５０　と、同期器インターフェイス１５２と、スケジューラ−インターフェイス１５４と、票決器インターフェイス１５８　とをボールする。誤９７アイラは受けた誤シレポートをフォーマットされた誤シ符号（第１７図）にフォーマットし、第１９図に示すようにそれらの符号を誤りファイルアドレスでタグする。誤シファイラアドレスは３ビット誤りファイル識別符号と、メツセージを耐障害器ＲＡＭ１６２　のメツセージ区画内にファイリングするためにメツセージ検査語インターフェイス１５０によシ発生されるものでおるコンテキストビットと、ノード識別（ＮＩＤ）符号と、レポート番号とである。前記のように、フォーマットされた誤シ符号は、誤シを検出したサブシステムを識別する４ビット符号と、検出された誤シを識別する４フラツグビツトとを含む。

誤シファイラ２０４はフォーマットされたそれらの誤シ符号を耐障害器ＲＡＭインターフェイス１６０へ送る。その′インターフェイス１６０はそれらの符号を耐障害器ＲＡＭ１６２の誤シ符号ファイル部１７０に格納する。誤シフアイ＞２０４は、誤シメッセージ発生器２０８がどれだけの数の誤シレポートを耐障害器ＲＡＭ１６２から処理するために決定できるように、誤シ取扱い器コンテキスト記憶装置２１０　に書込まれた誤シレポートの数も送る。誤シファイラ２０４はメツセージ検査器３４によシ発生された自己試験フラッグも検出し、そのフラッグを誤りメツセージ発生器２０８へ送る。自己試験フラッグは１つの群符号の一部であって、それらの符号のペナルティ重みは零または非常に小さい値になるようにプログラムされる。自己試験誤シメッセージは検出された全ての誤りを識別し、増加ペナルティカウントとベースペナルティカウントを含む。

誤り一貫性検査器２０６は誤シレポートと、装置内の各ノードに対するベースペナルティカウントの一貫した取扱いに責任を持つ。このゴールに達するためにある種の暗黙の相互作用−買性が用いられる。

各マスク期間の初めに、誤シー貫性検査器２０６は、装置内のそれ自身を含めた全てのノードから受けたベースペナルティカウントメツセージに応じて票決器３８によシ発生される票決されたベースペナルティカラン）　（ＶＢＰＣ）を票決器インターフェイス１５８を通じて受ける。第２３図を参照して、それらの票決されたベースペナルティカウントは、先行するマスク期間の間格納されているベース値ペナルティカウントの値とは独立に、各ノードに対するベースペナルティカウントとしてベースペナルティカウント記憶装置２１２に格納される。このようにして、装置内の全てのノードは、装置内の各ノードに対シて、同じベースペナルティカウントで各マスク期間を開始する。ベースペナルティカウント記憶装置２１２は、それ自身を含めて装置の全てのノードから受けた誤りメツセージから票決器３８により発生された、票決された増加ペナルティカラン）（ＶＩＰＣ）も受ける。誤りが妥当性検査器２１８　によシ確認された時に、票決された増加ペナルティカラン）　（ＶＩＰＣ）　　は責任を問われたノードのベースペナルティカウントに加えられる。妥当性検査器２１８は票決器３８において実現することが好ましいが、第２３図に示すように誤シー貫性検査器２０６　の一部とするＬともできる。

誤シー貫性検査器２０６　は、票決された現在の装置状態（ＣＳＳ）ベクトルを格納する現在の装置状態レジスタ２１４　と、次の装置状態（ＮＳＳ　）ベクトルを格納する次の装置状態レジスタ２１６　も含む。現在の装置状態ベクトルはどのノードが装置内で動作しておシ、どのノードが除外されるかを識別し、次の装置状態ベクトルは、装置の次の装置状態において、どのノードを含ませるかということと、どのノードを除外するかということの少くとも一方を行う。

票決された次の装置状態ベクトルが現在の装置状態ベクトルと異っているとすると、次のマスク期間の初めに装置はそれの状態を変える。現在および次の装置状態ベクトルは８フラツグビツト、各ノードに１つのフラッグビット、を有する。

それらのフラッグビットは、ノードが除外された時にセットされ、ノードがノードの動作セットに再び加入させられた時にリセットされる。

妥当性検査器２１８　の説明の前に、各ノードで検出される各種の誤シについて簡単に説明する。第■表は装置に用いられる２５個の障害検出機構の表である。

障害検出機構メツセージ垂直パリティ　　　　　ＭＳＣＡメツセージ縦冗長　　　　　　　ＭＳＣＡ同期−ハード　　　　　　　　ＭＳＣＡ同期−ソフト　　　　　　　　ＭＳＣＡノードＩＤ送り　　　　　　　　　ＭＳＣＳ無効メツセージ種類　　　　　　ＭＳＣＳ無効データＩＤ　　　　　　　　　ＭＳＣＳタスクＩＤシーケンス　　　　　ＦＬＴ　　　　　　ＳデータＩＤシーケンス　　　　　ＦＬＴ　　　　　　Ｓデータ限度　　　　　　　　　　　ＭＳＣＳデータ逸脱　　　　　　　　　　ＦＬＴ　　　　　　Ｓタスク実行時間　　　　　　　　　ＳＣＨＳ現在の装置状態　　　　　　　　ＦＬＴ　　　　　　８次の装置状態　　　　　　　　　　ＦＬＴ　　　　　　Ｓペナルティカウントベース逸脱　　ＦＬＴ　　　　　　Ｓペナルティカウント増加逸脱　　　ＦＬＴ　　　　　　Ｓ失われたＲＰＣメツセージ　　　　ＦＬＴ　　　　　　Ｓ支持されない誤シレポー）　　　　　　ＦＬＴ　　　　　　Ｓ失われた誤りレポート　　　　　ＦＬＴ　　　　　　　Ｓ自己検出モニタ　　　　　　　　ＦＬＴ　　　　　　　ＳＭ、Ｐ、不整列　　　　　　　　ＳＹＮ　　　　　　　Ｓ同期シーケンス誤シ　　　　　　ＳＹＮ　　　　　　　Ｓ同期失われたメツセージ　　　　ＳＹＮ　　　　　　　Ｓ多すぎるデータメツセージ　　　ＶＴＲＳＡＰ報告された誤シ　　　　　　ＴＳＯＳ送られる最後のＤＩ［７ＴＳＯ５ＳＥＷ中の悪いメツセージ　　　ＦＬＴ　　　　　　　Ａ多すぎる誤シレポー）　　　　　　ＶＴＲ，Ｓ多すぎるＢＰＣＶＴＲＳ誤シの超過した最大数　　　　　ＶＴＲＡこの表は誤シと、誤シを検出するサブシステムと、誤シの検出が対称的（Ｓ）か、非対称的（Ａ）であるかを示すものである。装置の構造は対称的であるから、相互に送られるメツセージに含まれるほとんどの誤シは他の全てのノードで検出できねばならない。したがって、あらゆるノードは、検出された誤シを識別する誤シメッセージと、その誤りを生じたノードに対して請求すべき増加ペナルティカウントｔ−識別する誤シメッセージを発生せねばならない。したがって、対称誤シの存在は、装置内の少くとも大多数のアクティブノードによシ確認せねばならない。また、受信ノードの間で誤シが自身で異ったように表明するように、チャネルノイズが生ずるような場合がある。この場合には、大多数のノードはどのノードに障害があるかについて一致する。しかし、検出される誤シはノードごとに異なり、種々の誤りメツセージにおいてレポートされる増加ぺ、ナルティカウントは同様に異なることがある。増加ペナルティカウントについての中央票決が、そのノードに対するベースペナルティカウントを増加するために用いられる。しかし、妥当性検査器２１８　は誤シファイラ２０４　への逸脱ｖ４ｂレポートを発生しない。その誤シファイラは、許されている置板上だけ票決された増加ペナルティカウントから異なる増加ペナルティカウントを有するノードを識別する。これは健康なノードの不当な処罰を阻止する。

次に第２４図を参照して、妥当性検査器２１８　は、それが票決器３８または耐障害器３６のいずれで具体化されようが、大多数一致検出器２２４と、非対称誤シ検出器２２６と、誤シ報告器２３０とを有する。

れなかったことを示す「失われたベクトル」を票決器３８から受け、かつ、票決された値を中心とする許容された逸脱の外側のベースペナルティカウントまたは増加ペナルティカウントを有するベースペナルティカウントまたは誤シメッセージをどのノードが発生したかを示す「逸脱ベクトル」を受ける。大多数一致検出器２２４　は現在の装置状態ベクトルも現在の装置状態レジスタ２１４　から受ける。大多数一致検出器２２４　は「逸脱ベクトル」と「失われたベクトル」を現在の装置状態ベクトルから差し引いて、票決された値に一致するノードの数に対応する数を発生する。次に、その数は、現在の装置状態ベクトルによシ識別された、装置内で現在アクティブであるノードの数と比較される。タイ（ｔｉ　ｅ　）すなわち大多数のノードが、票決された値に一致する値を有するメツセージを送ったとすると、そのメツセージがベースペナルティカウントメツセージであるならば、票決されたベースペナルティカウントがベースペナルティカウント記憶装置２１２　に格納される。

さもないと、メツセージが誤りメツセージであるとすると、ベースペナルティカウント記憶装置２１２に格納されているベースペナルティカウントが票決された増加ペナルティカウントによシ増加させられる。

他のノードから受けたメツセージが大多数を表さないものとすると、大多数一致検出器は書込み禁止信号を発生する。その信号はアンドゲート２３４を介してベースペナルティカウント記憶装置２１２に加えられる。この書込み禁止信号は、報告された誤りが非対称誤シでなければ、ベースペナルティカウント記憶装置２１２　への票決された値の書込みを禁止する。

非対称誤り検出器２２６　は、逸脱ベクトルと、失われたベクトルと、現在の装置状態ベクトルとを受け、特定のノードが障害を起していると識別する誤シメッセージを大多数のノードが送る時に逸脱レポート禁止信号を発生する。しかし、それらの誤シメッセージは、増加ペナルティカウントが、障害を起したノードに対して責任があるということについては一致しない。非対称誤シ検出器は誤シ取扱い器コンテキスト記憶装置２１０　に質関し、検出された誤シが第■表に示されている種類の非対称誤シであると判定された時に逸脱レポート禁止信号を発生する。逸脱レポート禁止信号は誤シ報告器２３０　が誤シファイラ２０４へ、票決された増加ペナルティカウントから許容誤差以上だけ逸脱している増加ペナルティカウントを含んでいる誤りメツセージを送った任意のノードについての逸脱誤りを知らせることを禁止する。逸脱レポート禁止信号はアンドゲート２３４　の反転（負）入力端子へも加えられる。逸脱レポート禁止信号はアンドゲート２３４を閉じ、大多数一致検出器２３４　によｐ発生された書込み禁止信号を阻止する。これは票決された増加ペナルティカウントを、ベースペナルティカウント記憶装置２１２　に格納されているベースペナルティカウントに加えることを可能にする。

誤シ報告器２３０　は、票決器３８から失われているベクトルと逸脱ベクトルを受け、現在の装置状態レジスタ２１４　から現在の装置状態（ＣＳＳ）ベクトルを受け、誤シレポート禁止信号を非対称検出器２２６　から受け、書込み禁止信号をアンドゲート２３４　の出力端子から受ける。書込み禁止信号の非存在に応答して、誤シ報告器２３０　は、逸脱レポートを有するものとして逸脱ベクトルにおいて識別されているノードを誤シ７アイラ２０４　へ卸らせ、かつ失われたベクトルに応答して、要求に応じてベースペナルティカウントまたは誤シメッセージを送らなかった各ノードに知らせる。書込み禁止信号と非対称誤り検出器２２６からの誤９レポート禁止信号の非存在に応答して、誤シ報告器２３０　は、支持されていない誤シを知らせた各ノードに仰らせる。逸脱誤シがそれらの支持されていない誤シメッセージに対して知らせられない。最後に、非対称誤シ検出器２２６　からの誤りレポート禁止信号に応答して、誤シ報告器２３０　は、失われたベクトルによＦ）Ｒ別されたものとして非対称誤りを知らせることに失敗した任意のノードを誤シファイラ２０４　に知らせる。

前記したように、誤シ報告器２３０　は、非対称誤シ検出器からの逸脱レポート禁止信号の存在する中における任意の逸脱誤シを知らせない。

第２３図へ戻って、誤シー貫性検査器２０６　は除外／再加入しきい値比較器２２０も含む。この比較器は、票決された増加ペナルティカウントによるベースペナルティカウント記憶装置２１２内のベースペナルティカウントの増加に応答する。除外／再加入しきい値比較器２２０は増加されたベースペナルティカウントを所定の除外しきい値と比較し、増加サレタベースペナルティカウントが除外しきい値をこえた時に、除外／再加入しきい値比較器２２０　は次の装置状態レジスタ２１６　内の除外されたフラッグを、障害のあるノードに対応するビット位置にセットする。除外されたフラッグのセットは、次の装置状態において、セットされた除外フラッグを有するノードを動作しているセットから除外すべきことを耐障害器が決定したことを意味する。各アトミック期間が終ると、現在の装置状態（ＣＳＳ）ベクトルと次の装置状態（ＮＳＳ　）ベクトルは同期器４６へ転送され、それぞれ現在の装置状態ベクトルおよび新しい装置状態ベクトルとして次の装置状態（Ｍ’ｊ５）メツセージに含まれる。装置内の関与する全てのノードから装置状態メツセージを受けた時に、新しい装置状態が票決器３８によシ全体的に確認される。新しい装置状態が何であるかという大多数の見解（ｖｉｅｗ）　　は票決プロセスにより発生された中位値である。したがって、ノードを除外または包含するというローカルな決定における誤シは逸脱誤シであると自身で表明する。

票決された新しい装置状態への動作負荷の実際の再構成はスケジューラ−４０にょシ行われ、シーケンスが開始される時刻はアプリケーションの設計者が選択可能なパラメータを基にしている。再構成は、その後で新しい装置状態が全体的に確認されるような次のアトミック期間に行うことができ、または次のマスク期間まで待つことができる。任意のアトミック期間に再構成が起きたとすると、耐障害器とスケジューラ−４０の間の正常な転送動作中に、票決された新しい装置状態ベクトルが装置状態ベクトルとしてスケジューラ−４０へ送られる。しかし、マスク期間の境界において再構成が行われたとすると、マスク期間中の最後のサブアトミック期間（ＬＳＡＰ）を意味するフラッグが真である時だけ、票決された新しい装置状態ベクトルがスケジューラ−４０へ送られる。

誤シのない動作の延期された期間に続いて、除外されているノードの再加入を許すために、誤シー貫性検査器２０６　は、各ノードに対するベースペナルティカウントを各マスク期間の終シに、所定の量だけ減少させるベースペナルティカウント減少器２２２を有する。各ノードに対するベースペナルティカウントを減少した後で、ベースペナルティカウント減少器２２２は除外／再加入しきい値比較器２２０が、除外された各ノードの減少させられたベースペナルティカウントを所定の再加入値と比較できるようにする。除外／再加入しきい値比較器２２０　は、再加入しきい値よシ小さい減少させられたベースペナルティカウントを有する以前に除外された各ノードに対して、次の装置状態レジスタ２１６内のフラッグをリセットする。これは、装置の動作が延期された期間にわたって誤りなしに動作して以来、次に装置が再構成される時にノードを動作セットに再び加入することを許す。この誤シのない動作は、元の障害が過渡的なものであるか、修正された（修理または交換）ものであるかを示す。ノードのベースペナルティカウントを除外しきい値を中心として変動させる断続的な障害をノードが有するものとすると、２つの装置状態の間で装置が振動することを阻止するために、再加入しきい値は除外しきい値よシ小さいことが好ましい。ベースペナルティカウント記憶装置２１２　と、現在の装置状態レジスタ２１４　と、次の装置状態レジスタ２１６　とは誤シ取扱い器コンテキスト記憶装置に含ませることが好ましいが、第２３図に示すように、誤シー貫性検査器２０６内の独立した素子にできる。

除外／再加入比較器２２０はそれ自身のノードの除去の検出も行い、リセット信号を発生する。このリセット信号はリセット発生器１５７（第２２図）を起動させて１．動作信号制御器リセット信号（０ＣＲＥＳ　）と最初のパラメータ負荷信号（工ｐＬ）を発生する。前記のように、それらの信号は動作制御器をリセットさせ、かつ最初のパラメータを再ロードさせる。リセット発生器１５７　は電源投入リセット（ＦＯＲ）信号にも応答して、動作制御器へ電力が供給されるたびに０ＣＲＥＳ信号とＩＰＬ信号を発生させる。

誤シメッセージ発生器２０８は、各アトミック期間中に、それ自身の動作制御器により検出された誤フを含むメツセージを発生した各ノードに対する誤シメッセージを発生する。誤シメッセージ発生器２０８　は各マスク期間の初めにベースペナルティカウントメツセージも発生する。それらのメツセージは送信器インターフェイス１５６　を介して送信器３０へ送られる。

各アトミック期間の初めに、誤りメツセージ発生器２０８　は各ノードに対する増加ペナルティカウントを零（０）にセットする。それから、それは任意の誤シレポートに対する耐障害器ＲＡＭ１６２　の誤シ符号ファイル部１７０　を検査する。各誤りレポートの誤シ符号は、耐障害器ＲＡＭ　１６２のペナルティ重み部１７２　に対するポインタを得てペナルティ重みを取出すために、群マツピング部１６８　をアドレスするために用いられる。このペナルティ重みは障害のあるノードに対する増加ペナルティ重みとして誤シ取扱い器コンテキスト記憶装置２１０　　に格納されて、そのノードに対して現在格納されているベースペナルティカウントを増加するために用いられる。このプロセスは、耐障害器が、個々の各ノードに対するアトミック期間が終ったことを意味する装置状態メツセージを受けるまで、各ノードに対する報告された各誤シに対して反復される。特定のノードからの装置状態メツセージの受信に応答して、そのノードに対する増加ペナルティカウントとベースペｆ　ｋ　ｆイカラントが凍結される。それから、メツセージ発生器は、耐障害器ＲＡＭ１６２　の誤シ符号ファイル部１７０　の内容と、格納されている増加ペナルティカウントと、誤シ取扱い器コンテキスト記憶装置２１０に格納されているベースペナルティ汝つントとを用いて、障害が検出された各ノードに対する誤シメッセージを構成する。装置状態メツセージが障害のあるノードから受けられない場合には、ノード自身の同期器４６によシ発生されて、全ての有効な装置状態メツセージが必ず受けられたことを意味するファジーの高い端部（ＨＥＤＦ）信号を検出することにょシ、ベースペナルティカウントと増加ペナルティカウントが凍結される。これは、誤りとベースペナルティカウントメツセージとの送信が、失われた装置状態メツセージを待っている間に延期されることを阻止する。

誤りメツセージの４つの誤シバイト（バイト３〜７）のフォーマットが第２５図に示されている。第１のバイトの最上位ビットは、知らせられた誤シが自己試験メツセージ中で検出されたことを識別する自己試験フラッグである。自己試験誤シメッセージにおいては、増加ペナルティバイト８は小さい値を有し、または零である。

各マスク期間の初めに、誤）メツセージ発生器２０８　は各ノードに対して現在格納されているベースペナルティカウントを検索し、各マスク期間の最後のアトミック期間が終った時に同期器４６にょシ送られる装置状態メツセージの後で送られる最初のメツセージであるベースペナルティカウントメツセージを発生する。送信器３ｏについて述べたように、送信器のメツセージ仲裁器５６は、マスク期間の終シに装置状態メツセージを送った後で耐障害器インターフェイス５２をボールし、それから、耐障害器３６により発生されたベースペナルティカウントメツセージを待つ。

第２６図は動作制御器の動作ジ−タンスを示す。

これによシ装置が再構成される結果となシ、かつ耐障害器３６によシ演じられる役割となる。第２６図を参照して、マスク期間の初めに、（ａ）は各ノードがそれのベースペナルティカウントメツセージを放送し、それの誤シ取扱い器コンテキスト記憶装置内の全ての増加ペナルティカウントを零リセットすることを意味する。それから、誤シ増扱い器１６４は、それ自身の動作制御器の誤シ検出機構によシ検出された任意の誤りの処理を始める。第１のアトミック期間またはそれ以後の任意のアトミック期間（ｂ　’）の終シに、各ノードは、そのための誤シが検出されたメツセージと、そのノードに対する増加ペナルティカウントおよびベースペナルティカウントを送ったノードを識別する誤シメッセージを放送する。そのアトミック期間（ｂ）においては誤シを含んでいるメツセージが生ずる。

次のアトミック期間（Ｃ）が終るまでに全てのノードからの誤シメッセージが受けられなければならない。次のアトミック期間（ｄ）の間には、耐障害器は受けた誤シメッセージを処理し、他のノードからの支持されていない誤シメッセージを検出し、大多数のノードにょシ支持される知らされた誤りを有する責任を問われるノードに対する増加ペナルティカウントについての中間票決を行う。

次に、その中間増加ペナルティカウントが責任を問われたノードのベースペナルティカウントに加えられる。それから、増加されたベースペナルティカウントは除外しきい値と比較される。増加されたベースペナルティカウントが除外しきい値より大きいとすると、そのノードに対する除外ビットが、同期器４６へ送られた次の装置状態ベクトルにセットされる。アトミック期間（ｅ）が終ると、同期器４台は装置状態メツセージ中に次の装置状態ベクトルを含゛む。

それは他の全てのノードへ放送される。次のアトミック期間（ｆ）の初めに、耐障害器３６は、健康なノードの中間票決を用いて次の装置状態の正しさを確認し、この情報を同期器４６とスケジューラ−４０へ送られる。この情報を受けると（ｇ）、同期器４６とスケジューラ−４０は再構成プロセスを開始する。

そのプロセスにおいては、票決された次の装置状態ベクトル内で識別された装置状態は装置に対する現在の装置状態になる。再構成が終った後で（ｈ）、装置は新しい装置状態において新しいマスク期間を始める。上の例は１つのノードによる１つの障害についてのものであるが、任意の１つのノードについて２つ以上の障害が検出されたとしても耐障害器の動作は異なることはなく、受けた誤シメッセージにおいて２つ以上のノードが障害であるとされる。種々のアトミック期間中に障害が連続して生じたとすると、このシーケンスはオーバーレイできる。

データの処理中に票決器３８は２つの主な機能を行う。第１に、それはデータの利用可能４全てのコピーについて票決された値を発生し、第２に、データの各コピーのデータ値が所定の許容差すなわち許容逸脱値内にｂるかどうかについて判定する逸脱検査を行う。第２７図を参照して、票決器３８はローダ−２３６を有する。このローダ−は耐障害器２３６からメツセージ種類（ＭＴ）符号と、ノード識別（ＮＩＤ）符号と、データ識別（ＤＩＤ）符号とを、それに対して票決値を発生すべき各メツセージに対して受ける。そのメツセージが受けられると、ローダ−２３６は現在利用できるデータの各コピーを検索して、そのコピーを耐障害器ＲＡＭ１６２　に一時的に格納する。それは受けたメツセージと同じデータ識別（ＤＩＤ）符号を有する。また、ローダー２３６は、メツセージ種類符号を用いて、耐障害器ＲＡＭ１６２の逸脱部１７４〜１８０からその特定のメツセージに対する所定の逸脱を検索する。

ローダ−２３６はデータの各コピーの最上位ビットを並列に上側中位値ンータ２３８　と下側中位値ソータ２４０へ初めに送る。それらのンータ２３８　　と２４０　は受けたビットを分類して上側（Ｕｎ）中間ビット値と下側（Ｌｎ）中間ビット値をそれぞれ発生する。それらの上側と下側の中間ビット値（ＵｎとＬｎ）は発生されるにつれて平均回路２４２　と逸脱検査器２４４へ転送される。ハード誤シウインドウ（ＲＥＶ）が終ると、タスク相互作用一貫性メツセージまたは装置状態メツセージを送らなかった各ノードを識別する失われたベクトル（ｔＶ）をローダ２３６　が発生する。

平均回路２４２は上側と下側の中間ビット値を加え合わせ、その和を２で除して票決された平均を生ずる。

逸脱検査器２４４は上側（Ｕｎ）および下側（Ｌｎ）の中間ビット値を受け、かつ、耐障害器ＲＡＭ１６２から検索された逸脱値を受け、更に処理されているデータの各コピーから対応するデータビットを受け、データ値の各コピー内の各ビットに対して、それが許容逸脱内にあるか否かを判定する。このプロセスは、各コピーの最上位ビットから始って最下位ビットまで、各コピーの各ビットについて反復される。

が耐障害器３６へ送られて、逸脱誤シを含んでいるメツセージを有する各ノードを識別する。

データ値メツセージ（ＭＴＯ、ＭＴＩ　、　ＭＴ２　、　ＭＴ３　’）について平均回路によシ発生された票決されたデータ値は票決値−タスクコミュニケータインターフェイス２４６　へ送られる。そのインターフェイスはそれ・らのデータ値を、データ値に対するデータ識別（ＤＩＤ）符号とともにタスクコミュニケータ４４へ送る。ベースペナルティカウントメツセージ中に含まれているベースペナルティカウントに対する票決された値と、装置状態メツセージに含まれている現在および新しい装置状態ベクトルに対する票決された値と、誤勺メツセージ中の増加ペナルティカウントおよびベースペナルティカウントに対する票決された値とが票決器−耐障害器インター２エイス２４８へ送られ、そこから、前記したように、逸脱誤シ（ＤＥＲＲ）および失われたベクトルとともに耐障害器３６へ送られる。

票決された値を発生することを求めるメツセージが受けられるたびに、票決プロセスと逸脱検査が反復される。これによシ、タスクコミュニケータ４４と耐障害器３６は、それらが必要とするデータ値に対して最良で、最近の票決された値を常に有するようにされる。この種の高速票決を用いると、受けたメツセージ中の検出された障害のためにデータの１つまたは複数のコピーを利用できないか、障害のあるノードが求められているメツセージを発生するのに失敗したとしても、装置は引き留められることはない。

上側中間値ソータ２３８　　と下側中間値ソータ２４０は処理されているデータ値から２つの値をとシ出す。

選択される値は、中間選択（ＭＳ　）と、中間極値の中位数（ｍｅｄｉａｎ　ｏｆ　　ｔｈｅ　ｍｅｄｉａｌ　ｅｘｔｒｅｍｅｓ）（ＭＭＥ）票決のいずれが実現されるかに依存する。

混乱をさけるために、上側と下側の中央値を取出すことだけを説明する。中間極値の平均（ＭＭＥ）分類を行うための小さい変更について後で簡単に説明する。

上側中間値ソータ２３８　と下側中間値ソータ２４０によシ用いられるプロセスが第２８図に示されている流れ図に示され、下側中間値ソータ２４０　の回路の詳細が第２９図に示されている。上側中間値ソータ２３８は下側中間値ソータ２４０　の鏡像であるから、詳しい図示および詳しい説明は不要である。

まず第２８図を参照して、プロセスはブロック２５０に示すようにビットカウント（ｎ）を零に初期化し、初めの中間値Ｓ　＝Ｓｎ＝（ｍ−１）／２　を発生することによシ始まる。初めの中間値Ｓｎの計算において、ｍは、ローダ２３６から得た処理されるデータのコピーの実際の数である。次に、ブロック２５２に示すように、上側中間値ソータ２３Ｂは、全てのコピーの最上位ビット位置に含まれている１の数　（Ｉ’ｓ）をカウントして、カウントされた１ビツトの数である数ｎｌを生ずる。次に、上側中間値ソータ２３８はｎｘ−８ｎが０に等しいか、Ｏより小さいかを判定する（ブロック２５４）。１の数がＳｎよシ小さいと上側中間ビット値はブロック２５６　で示すようＫＯビットである。上側中間値ＵｎがＯビットであれば、同じビット位置に１ビツトを有する全てのコピーは以後の処理から除外されて、残っている上側中間値ビットの値を決定する。データ値のいくりかのコピーがいまは除外されるから、ブロック２５８　に示すように、Ｓｎから除外されたコピーの数（ｎｌ）を引くことによυ次の最高ビットの分析のための新しい値を発生することにより、新しい値陥が計算される。

１ビツトの数がＳｎよシ大きいと、ブロック２６０に示すように上側中間値Ｕｎは１ビツトであシ、同じビット位置にＯビットを有する全てのコピーが後の処理から外される。最上位ビットの上側中間値Ｕｎが決定された後で、このプロセスは最上位の次のビットへ進み（ブロック２７２）　、データ値内の全てのビット（ｎ＝ｎｍａｘ）が判定ブロック２７４　に示されているように全て処理されるまで繰返えされる。

同様にして、下側中間値ソータ２４０はブロック２６２　に示すように０の数をかぞえて、かぞえられたＯの数に等しい数ｎｏを発生する。判定ブロック２６４　に示すように、０の数（ｎｏ　）がＳｎよシ小さいとすると（ｎ　ｏ　　Ｓ　ｎ＝０）、下側中間値ピッ）（Ｌｎ）は１ビツトでアシ、同じビット位置にＯビットを有する全てのデータコピーは後の下側中間値の処理から外される。また、外されたコピーの数（ｎｏ）を、ブロック２６８　に示すように、ｓｎ　に対する以前の値から引くことによシ中間値Ｓｎ　が修正される。ブロック２７０　に示すように、０ビツトの数（ｎｏ）　　が　Ｓｎ　よシ大きいと、そのビット位置の下側中間値は０ビツトでアシ、同じビット位置に１ビツトを有するデータコピーは除外される。

全ての下側中間値ビットが決定されるまでこのプロセスは反復される。

下側中間値ソータ２４０　の回路の詳細が第２９図に示きれている。零カウンタ２８０　の１代シに等しい１カウンタが用いられていることを除き、上側中間値ソータ２３８の回路の詳細は第２９図に示されている回路の鏡像である。第２９図を参照して、ローダ２３６によシ検索されたデータ値の各コピーからのデータ値が、複数のオアゲー）２７６−０〜２１６−Ｎ、およびまとめてブロック２７８により示されている同じ複数の排他的７′アゲートによシ、最上位値から最下位置までビットごとに受けられる。オアゲ−）　２７６−０〜２７６−Ｎは受けたビットを零カウンタ２８０へ通す。零カウンタ２８０は実際には受けた１ビツトの数をカウントし、処理されているコピーの数（ｍ）からその数を引いてＯの数（ｎｏ）を生する。ローダ２３６　は、それが耐障害器ＲＡＭ１６２から検索したデータのコピーの数をカウントし、その数を零カウンタ２８０　　と　Ｓｎ発生器２８２　へ供給する。Ｓｎ発生器２８２はｍから１を引き、残シを２で除してＳｎの初期値を生ずる。

Ｓｎ発生器２８２　の出力が２対１マルチグレクサ２８４によシ受けられる。そのマルチプレクサはＳｎの初期値をレジスタ２８６へ通す。零カウンタ２８０の出力（ｎ、）とレジスタ２８６の内容が、ｎ０＝Ｓ　とｎｏ＜Ｓｎの二重比較を行う二重比較器２８８　により受けられる。二重比較器２８８の出力は、下側中間値Ｌｎを出力するオアゲート２９０の入力端子へ加えられる。ｎ０＝ｓｎまたはｎｏ＜Ｓｎであれば、第２８図の判定ブロック２６４　とブロック２６６に示すように、下側中間値Ｌｎは１ビツトである。

同じビット位置にＯビットを有するコピーの除外は排他的ノアゲート２７８とレジスタ２９４により行われる。オアゲート２９０によシ発生された１ビツト値は各排他的ノアゲートの入力端子へ加えられる。

同じビット位置にＯビットを有するデータ値の各コピーに対して排他的ノアゲー）　２７Ｂは論理１信号を発生する。この論理１は除外レジスタ２９４に格納される。それの出力端子はオアゲー）２７６−０〜２７６−Ｎの別の入力端子へ接続される。その結果、同じビット位置にＯビットを持つデータを有するそれぞれのオアゲー）　２７６−０〜２７６−Ｎの入力は１ビツトであって、その１ビツトは零カウンタへ送られ、それによシ下側中間ビット値の決定にそれらのデータがそれ以上関与することから外される。下側中間ビット値Ｌｎが０であると、排他的ノアゲート２７８へ論理Ｏ信号が加えられる。それは、処理のために１ビツトを提供したデータ値の各コピーに対して論理１を除外レジスタ２９４に格納させる。

零カウンタ２，８０からの出力ｎｏと下側中間ビット値Ｌｎはゲート回路２９６　の入力端子へ加えられる。

下側中間ビット値Ｌｎが１に等しい時に、ゲート回路はｎＯＯ値を減算回路２９８へ送る。減算回路２９８はレジスタ２８６　に格納されているＳｎの現在の値も受けて、第２８図のブロック２６８に示されている減算５ｎ＝Ｓｎ−ｎｏを行う。Ｓｎのこの新しい値はマルチプレクサ２８４の第２の入力端子へ加えられ、次の下側中間ビット値の処理に用いるためにレジスタ２８６へ送られる。シーケンサ回路（図示せず）が処理されたビットの数をモニタし、次のデータ値セットの処理の準備のために、最後の下側中間ピッ）Ｌｎが現在のデータ値セットのために発生された後で、除外レジスタ２９４　　とＳｎレジスタ２８６をクリヤする。

中間極値（ＭＭＥ）票決された値の平均を生ずるために上側中間値（Ｕｎ）　　と下側中間値（Ｌｎ　）を発生するための上側中間値ソータ２３８と下側中間値ソータ２４０　　との動作は、中間値ＳｎとＳｎが、ＳｎとＳｎのそれぞれの最小値である、または固定された値である値ＴｎとＴｎ　で置き換えられていることを除き、上で述べたのと同一である。その結果として、それらの値を用いて平均回路２４２　によシ発生された票決された値は中間極値の平均である。

第３０図に示されている流れ図と第３１図に示されている回路図を参照して平均回路２４２゛の動作を説明する。平均化プロセスは、平均値Ｍの２つの値を保ち、それらの値の間で後のビットの到達を選択することＫよシ、上側の値と下側の値の平均を形成する。このプロセスは下記の２つの事実を基にしている。

ａ）特定の任意のビット位置においてＵｎとＬｎが同一であるとすると、下記のＧ））で述べる場合を除き、平均ピッ）Ｍは同じである。

ｂ）数列　／２．　　／２．　　／２．　　・・・　１／２は、数列に沿って初めての同一の対に遺した時だけ２進フオーマツトに分解できる。たとえば、数列１／２゜”／２．　　／２．・・・”／２，０、ここに、０は０値を有するＵ、Ｌｎの到達を表す、は０１１・・・１１　　に分解し、数列　／２　、　”／２　、　”／２　、・・・’／２　、１、ここに１は１値を有するＵｎとＬｎの到達を表す、は１ｏ。

・・・００　に分解する。

第３０図を参照して、このプロセスは、ブロック３００に示すように、値Ａを０に、ビット数ｎをＯに初期化することによシ始められる。値Ａはｒ、ｎ　とＵｎの先行値の排他的論理和であシ、プロセスの初めに０にセットされる。それから、判定ブロック３０２　において、ＬｎとＵｎの排他的論理和が０（ＬｎＵｎ＝、Ｏ）に等しいかどうか質問する。ＬｎとＵｎの排他的論理和がＯに等しければ、判定ブロック３１０に示すように、プロセスはＡが０に等しいかどうか質問する。ＡがＯに等しいと、ブロック３１２に示すように、Ｌｎ　の値が両方のレジスタＭｌとＭ２に挿入される。（ｂ）において述べた問題を解決するためにレジスタＭ１とＭ２は平均Ｍの２つの値を保持する。判定ブロック３１０　においてＡがＯに等しくなければ、ブロック３１４に示すように、平均回路２４２はＵｎの補数（Ｕｎ）をレジスタＭｌとＭ２に入れる。それから、プロセスはＬｎが０に等しいかどうか質問する、判定ブロック３１６゜これは、数列が存在するならば、上のω）で述べた数列の分解である。この実施例では、Ｍｌは上記数列（１，０，０゜・・・０，０）を格納し、Ｍ２は第２の数列（０゜１．１．・・・１，１）を格納する。Ｌｎ＝０であれば、数列はＭ２に格納されている数列に分解されるから、ブロック３２０　　に示すようにＭｌはＭ２に等しくされる。あるいは、ＬｎがＯに等しくないとＬＩＴＩは１でアシ、数列はＭ、に格納されている数列に分解され、ブロック３１８に示すようにＭ２はＭｌに等しくされる。

判定ブロック３０２　においてＬｎとＵｎ　の排他的論理和が１に等しくて、ＬｎとＵｎ　　が異なることを示したとすると、判定ブロック３０４　において、プロセスはこれが起きたのは初めてであるか（Ａ＝Ｏ）どうか質問する。Ａ＝Ｏであれば、１がレジスタＭ１の対応するビット位置に挿入さ゛れて数列（１，０，０゜・・・０，０）を開始し、０がレジスタＭ２に挿入されて数列（０，１，１，・・・１，１）を開始させる。

Ａ＝１であって、ＬｎとＵｎが異なることが初めて起きたことでないことが示されると、レジスタＭ１の対応するビット位置に０が挿入され、レジスタＭ２の対応するビット位置に１が挿入される。それから、ブロック３２２　に示すように、プロセスはＵｎとＬｎの現在の値の排他的論理和に応じてＡに対する新しい値を発生する。次にプロセスはビットカウントをｎ　＝　ｎ　＋　１にインデックスし、ブロック３２４、それから、最後のビット（ｎｒｎａｘ）が処理されたかどうか質問する、判定ブロック３２６゜　もしそうでなければ、上側中間値ソータ２３８と下側中間値ソータ２４０　によりそれぞれ発生されたＵｎとＬｎの次の値の処理を平均回路２４２は続ける。

第３１図を参照して、中間値Ｕｎとｒ、ｎ　は排他的オアゲート３２８により受けられる。その排他的オアゲートは、ＵｎとＬｎが異なる時は、それの出力端子に１を生じ、ＵｎとＬｎ　　が同じ時は、それの出力端子に０ビツトを生ずる。

排他的オアゲート３２８の出力は２ビツトシフトレジスタ３３０　の入力端子と、アンドゲート３３２の反転入力端子と、アン、ドゲート３４８　の入力端子とへ送られる。シフトレジスタ３３０　は、上側中間値ソータ２３８と下側中間値ソータ２４０から受けた次のＵｎビットとＬｎビットの処理に用いるために、排他的オアゲート３２８の出力を一時的に格納する。シフトレジスタ３３０　の遅延された出力は第３０図を参照して述べた値Ａである。上側の中間ピッ）Ｕｎは一対の８対１マルチプレクサ３３４．３３６の入力端子０と３へも加えられる。

マルチプレクサ３３４　　と３３６への他の入力は図示のようにプリセットされる。値Ｕｎｉたはプリセット値の１つを出力させるために、Ａ、Ｕｎ、Ｌｎの値はマルチプレクサ３３４　と　３３６をアドレスするために用いられる。たとえば、Ａ＝Ｌｎ＝Ｕ几＝Ｏであるとすると、マルチプレクサ３３４と　３３６は、第３０図のブロック３１２に示すように、Ｕｎの値であるＯ入力を共に出力する。同様に、Ａ＝０でＬｎ＝Ｕｎ＝１　であれば、マルチプレクサ３３４　と３３６はそれの第３の入力端子に加えられたＵｎＯ値を共に出力する。第１の例においては、Ｕｎは０に等しく、第２の例においてはＵｎは１に等しかった。Ａが０で、ＬｎとＵｎが異っているとすると、マルチプレクサ３３４は１を出力し、マルチプレクサ３３６はＯを出力する、ブロック３０６、ことに注目されたい。しかし、Ａ＝１で、ＬｎとＵｎが異っていると、マルチプレクサ３３４　と　３３６の出力は、第３０図のブロック３０８によシ示されるように、逆にされる。

図示のように１、マルチプレクサ３３４と　３３６の出力は３対１マルチプレクサ３３８．３４０　　によシ受けられる。マルチプレクサ３３Ｂと　３４０はインバータ３４２の出力も受ける。それは上側中間ビット値Ｕｎの補数（Ｕｎ）である。３対１マルチプレクサ３３８と３４０の出力はＭ！ｌレジスタ３４４とＭｚレジスタ３４６によシそれぞれ受けられる。３対１マルチプレクサ３３８　と３４０の出力はナントゲート３３２とアンドゲート３４８　によシ制御される。

ナントゲート３３２は、排他的オアゲート３２８の出力がＯで、値＾：が１の時に論理１出力を生ずる。これは３対１マルチプレクサ３３８　　と　３４０を起動して、第３０図のブロック３１４に示すように、Ｍｌレジスタ３４４　とＭ２レジスタ３４６における上側中間ビット値の補数Ｕｎを格納させる。排他的オアゲート３２８　の出力が１で、Ａが１である時に論理ｌ出力を生ずる。それは、第３０図のブロック３０８に示すように、・マルチプレクサ３３４の出力をＭ２レジスタ３４６　に格納させ、マルチプレクサ３３６の出力をＭｌレジスタ３４６に格納させる。

ナントゲート３３２　の出力は、Ｍｌレジスタ３４４とＭ２レジスタ３４６を起動し、第３０図のブロック３１６に示すように、Ｌｎの値に応じて、Ｍｌレジスタ３４４の内容をＭ２レジスタ３４６にコピーさせ、またはＭ２レジスタ３４６　の、内容をＭｌレジスタ３４４にコピーさせる。ナントゲート３３２の出力と下側中間ピッ）Ｌｎがアンドゲート３５０の入力へ加えられ、そのアンドゲート３５０　の出力は、第３０図のブロック３１８と３２０に示すように、Ｍｌレジスタ３４４　の内容がＭ、レジスタ３４６へ転送されるか、あるいはその逆であるかを決定する。

第３２図に示す流れ図と第３３図に示されている回路実現を参照して逸脱検査器２４４の動作を説明する。検査される全てのデータ値に対して逸脱検査を並列に行うことができるように、第３３図に示されている回路は、装置内の各ノードに対して１つの回路というように、逸脱検査器２４４において複製される。

逸脱の検査を大幅に遅らせないようにするために、逸脱検査器２４４は、上側中間値ノータ２３８と下側中間値ソータ２４０から上側中間値Ｕｎと下側中間値Ｌｎを利用できるようになるにつれて、データを最上位ビットから最下位ビットまでビットごとに検査されるデータを処理する。逸脱検査プロセスは、ＢをＡの２の補数に加えることにより、かつ最上位ピッ）（ＭＳＢ）におけるあぶれを調べるｚｔとによｐ、Ａ＞ＢをＡ≦Ｂから区別できるという条件を基にしている。この応用においては、逸脱検査器は次式の関係を実際に検査する。

Ｍ−Ｄ≦Ｖ≦Ｍ　＋　ｏ　　　　　　　（１）ことに、Ｍは中間値／２　（Ｌｎ　＋Ｕｎ　）、Ｄは、検査される特定のデータ値に対して耐障害器ＲＡＭ１６２から検索された所定の逸脱限度、 ■は検査されるデータ値である。Ｍ−Ｄ≦Ｖの解はＶ；５Ｍ＋Ｄの解にほぼ等しいから、後者についてだけ詳しく説明することにする。２つの解の差は当業者にとっては簡単に対処できる範囲である。

このプロセスは利用できる４つの入力Ｌｎ　、　Ｕｎ。

Ｄ、Ｖを加え、下記の式を用いて最上位ビット位置におけるあぶれを調べる。

Ｍ＋Ｄ−Ｖ＝”／２（Ｌ＋Ｕ）＋Ｄ−Ｖ≦ｏ　　　（２）このプロセスは、平均Ｍのビット値を利用できないために、３ビツトではなくて４ビツトを加えるという事実により複雑にされる。４ビツトの付加においては、４ビツトの全てが１で、第２の以前のビットに二重けた上げを起させる可能性が存在する。これの解は次の通シである。

ａ）・・・１１０ｘｘのような数列はあふれることができない。たとえば、最悪の場合（Ｘ＝Ｙ＝１）には２つの二重けた上げでも結果・・・１１１０００　　を与える。したがって、おふれが既に生じなかったとすると、第２の以前のビット位置中の（０）が、後のビットに何が起きても、最上位ビット位置にあぶれが起らないことを無条件で示す。

ｂ）６ふれや、上の（ａ）における条件がいずれも起らなければ、第２の以前のビットの前の数列は常に１１１・・・１１１　である。したがって、第２の以前のビットを通るけた上げは常におふれをひき起す。

第２の以前のビットＢからのけた上げがそれに付加されるから、そのビットの値の検査に成功することによシプロセスが続けられる。第２の以前のビットをこえてけた上げが起きたとすると、おふれが生じてＶ５Ｍ＋Ｄでおる。しかし、以前のあふれまたは現在のらふれなしに、第２の以前のピッ）ＢがＯであるとすると、ｖ＞Ｍ十〇である。最後に、上記のいずれの条件も起ることなしに全てのビットがノくスするものとすると、和Ｍ＋Ｄ−Ｖは０よシ小さく、したがってＶ＞Ｍ＋Ｄである。

次に、第３２図に示されている流れ図を参照する。

ブロック３５２に示すように、ビット数ｎ＝０、初めの和ピッ）Ｓ’　＝１、および第２の先行ビットの中間和ビットＢ’ｌ＝Ｏとセットすることにより回路は初期化される。それから、プロセスは、ブロック３５４に示すように、２ｖとｌ）’＋Ｌ＋Ｕを加える。ココに、２ｖは２ｖの２の補数、Ｄ”は２Ｄ　＋１である。２Ｄ＋１は耐障害ＲＡＭ　１６２　に実際に格納される逸脱値であり、ＵｎとＬｎはそれぞれ、上側中間値ソータ２３８　と下側中間値ソータ２４０から受けた上側中間値および下側中間値である。ブロック３５４に示すように、この加算過程の結果は、先行するデータ値ビットの処理中に得た和値と、けた上げＣと、現在のデータビット値の処理中に得た二重けた上げビットＣＩとである。

次に、ブロック３５６　に示すように、先行するデータ値ビットの処理中−発生された第１の以前の和ビットＳ−０に現在のけた上げピッ）Ｃを加えて、第２の以前の和ビツト中間値Ｂ＃−２を生ずる。その値は次のデータ値ビットの処理において用いられる。

この加算によシ、現在のビットと第１の以前のビットの処理から生ずる付加けた上げを示す第３のけた上げビットＣ“も生ずる。ブロック３５６から、けた上げビットＣ＃は、処理されている現在のデータ値の二重けた上げビットＣ′　と中間値Ｂ−２へ加えられる。和ビットとけた上げビットは、ｃｃ’　ｃ’　）十Ｂ −２と、第２の以前のビットのためのけた上げビットＡと、全てのけた上げに対する修正の後の第２の以前のビットの最後のビット値でちるビット値Ｂとの加算から生ずる。次に、判定ブロック３６０に示されているように、プロセスは、けた上げピッ）Ａが１に等しいかどうかを質問し、もしＡ＝１であるならば前記のようにＶ≦Ｍ＋Ｄであって、ブロック３６２　に示すように「パス」フラッグがセットされる。しかし、Ａ＝０であれば、プロセスはＢ＝Ｏであるかどうかを質問する、判定ブロック３６４゜第２の以前のピッ）Ｂが零に等しいとすると、最上位ビット位置にはあふれは存在しない。したがって、Ｖ＞Ｍ＋Ｄで、「障害」フラッグがセットされて、ブロック３６６に示すように、データ値が逸脱試験を失敗したことを示す。Ｂが零に等しくないとすると、ブロック３６８　に示すように、プロセスは進んでデータ値の次のビットを検査する。最後に、全てのデータ値ビットを検査し、「バス」フラッグも「障害」フラッグもセットされない後で、プロセスは示されているように「障害」フラッグを自動的にセットしてプロセスを終らせる。

次に第３３図を参照して、加算器３７２は第１の３ビツト”　ｌ　Ｌ　７１　、　Ｄ＃を加えて中間和ビットＳ″と第１のけた上げピッ）ＣＩを生ずる。中間和ビットＳ′は、（３）式に示すように、アンドゲート３７４と排他的オアゲート３１６によシ受けられる。アントゲ−）　３７４　は第２のけた上げピッ）Ｃ２を出力する。その第２のけた上はピッ）Ｃｚはアンドゲート３７８の１つの入力端子と排他的オアゲート３８００Å力端子へ加えられる。アンドゲート３７８はそれの別の入力端子に加算器３７２　からけた上げピッ）Ｃ１を受ける。排他的オアゲート３８０はそれの別の入力端子に加算器３７２　からけた上げピッ）ＣＩも受ける。

排他的オアゲート３７６　の出力は和ビットＳである。その和ビットは、次のデータ値ビットの処理まで２ビツトシフトレジスタ３８２に一時に格納される。排他的オアゲート３８０の出力は１つのけた上げビットＣであって、アンドゲート３８４の入力端子と排他的オアゲート３８６　の入力端子に受けられる。アンドゲート３８とと排他的オアゲート３８６は別の入力端子にシフトレジスタ３８２　から和ビットＳ−１を受ける。その和ピットＳ−１は以前のデータ値ビットの処理中に発生される和ビットＳである。

排他的オアゲート３８６の出力は和ビットＳ−１と、前置ビット値Ｂｔ−１である現在のデータビットの処理中に発生されるけた上げビットとの和である。前置ビットＢ＃−８は第２のシフトレジスタ３９２に格納される。前置値Ｂ′−０は、けた上げビットを修正する前の第２の先行するビット値の中間値である。アンドゲート３８４　の出力はけた上げビットＣ１であって、排他的オアゲート３９０への入力端子に受けられる。その排他的オアゲート３９０　は別の入力端子にアンドゲート３７Ｂから二重けた上げ出力Ｃ′も受ける。

排他的オアゲート３９０の出力はアンドゲート３８８への入力端子と排他的オアゲート３９４への入力端子に受けられる。シフトレジスタ３９２の出力はアンドゲート３８８と排他的オアゲート３９４との別の入力端子に受けられる。アンドゲート３８８　の出力は第２の先行ビットのためのけた上げビット信号「Ａ」であって、Ｓ−Ｒフリップフロップ３９８のセット入力端子に加えられる。Ｓ−Ｒフリップフロップ３９８のＱ出力はＤ形フリップ７０ツブ４００のＤ入力端子へ加えられる。Ｄ形フリップ７０ツブ４００の出力は逸脱検査のためのパス−フェイルフラッグである。第３２図の判定ブロック３６０に示されているようにＡ＝１であれば、Ｓ−Ｒフリップ７０ツブ３９８　とＤ形りリップ７０ツブ４００とのＱ出力は１であって、データ値（Ｖ）が中間値（Ｍ）と逸脱（Ｄ）の和より小さいことを意味する。５−Ｒ７リップフロップ３９８　のＱ出力とＤ形フリップフロップ４００　のＱ出力がＯであるとすると、データ値は逸脱検査をパスしない。

排他的オアゲート３９４の出力は、１つのけた上げおよび二重けた上げのための修正後の第２の先行するデータ値の最後のビット値Ｂである。その最後のビット値Ｂはインバータ４０２　によシ反転される。

そのインバータの出力端子は第２の５−Ｒ７リップ７０ツブ４０４のセット入力端子へ接続される。Ｓ−Ｒフリップ７０ツブ４０４　のＱ出力がアンドゲート４０６の１つの入力端子へ加えられる。そのアンドゲート４０６の出力端子はオアゲート４０８を介してＤ形フリップ７０ツブ４００のクロック入力端子へ接続される。アンドゲート４０６の別の入力端子へクロックパルス（ＣＬＫ）が加えられる。Ｓ−Ｒフリップフロップ４０４　のＱ出力によシフアゲート４０６が開かれると、クロックパルスはＤ形フリップフロップ４００　の入力端子へ加えられる。

ビットカウンタ４１０　は処理されたビットの数をカウントし、全てのビットが処理された後であふれパルスを生ずる。あふれパルスはアンドゲート４１２とオアゲート４０８を介してＤ形フリツプフセツプ４００のクロック入力端子へ加えられる。アントゲ−）　４１２への別の入力がＳ−Ｒフリップフロップ３９８　のＱ出力端子から受けられる。５−Ｒ７リップフロップ３９８　が１であるけた上げ信号Ａによってそれのセット状態に置かれた時に、アンドゲート４１２は閉じられる。

動作時には、加算器３７２　は中間和ビットＳ′　と、Ｕｎ、ＬｎおよびＤ′の加算から生じたけた上げビットＣＩとを生ずる。アンドゲート３７４はけた上げ加えることから生じたもの、である。けた上げビットＣ２はアンドゲート３７８において加算器３７２からのけた上げビットＣ１に組合わされて、ＣＩと０２が１の時に二重けた上げビットＣ′を生ずる。排他的オアゲート３８０の出力は加算器３７２またはアンドゲート３Ｔ４　からの１つのけた上げピッ）Ｃを示す。

和信号８１　は排他的オアゲート３７６からの和Ｓ出力であって、次の以後のデータビットの処理中にシフトレジスタ３８２　からの出力である。それらは第３２図のブロック３５４に示されている動作である。ブロック３５６の動作はアンドゲート３８４と、排他的オアゲート３８６　　と、シフトレジスタ３９２トによシ行われる。排他的オアゲート３８６は、シフアゲート３８０からのけた上げピッ）Ｃとからの中間和値ビットＢ′−１である。和ピッ）　Ｂ’　２は、第２の以後のデータ値ビットの処理中のシフトレジスタ３９２からの信号Ｂ′−１出力である。けた上げビットＣ＃はアンドゲート３８４の出力でちって、先行するデータ値ビットの処理中に発生された和ビットｓｌ　が１である時はけた上げビットＣの継続したものである。次のデータ値ビットの処理中に、排他的オアゲート３９０　　とアンドゲート３８８は値Ａ　を生じ、排他的オアゲート３９４　は、ブロック３５８に示すように、ビット値Ｂを生ずる。Ａの値は、第２の先行する和ビットの中間値Ｂｙ２　がＯの時に０であシ、またはＣ′とＣ＃が０の時にＯであって、現在のデータ値ビットの処理からけた上げビットＣ１またはＣ２が生じないことを示す。Ｃ′またはＣ１が１で、第２の先行する和ピッ）Ｂ’２の中間値が１の時にへの値は１である。Ｂｅ２が１であって　ＣＩとＣ“が０の時、またはＢ′−２が０で、Ｃ′とＣ１が１の時にＢの値は１である。

Ａが１であるとＳ−Ｒクリップフロップ３９８がセットされて、それのＱ出力は１である。そのＱ出力がＤ形フリップフロップ４００のＤ入力端子へ加えられると、そのフリップフロップのＱ出力が１にさせられる。ブロック３６２　に示すように、Ｄ形フリップフロップ４００のＱ出力はバスフラッグである。

Ｓ−Ｒフリップ７０ツブ３９８　のＱ出力がアンドゲート４１２を閉じて、最後のビットの処理の後は、ビットカウンタ４１０からのあふれビットがＤ形フリップフロップ４００をトグルすることを阻止する。

Ｓ−Ｒフリップフロップ３９８のＱ出力によシアンドゲート４１２が閉じられないとすると、　ビットカウンタ４１０からのあふれビットがＤ形フリップフロップ４００をトグルすることを阻止する。Ｓ−Ｒフリップフロップ３９８のＱ出力によりアンドゲート４１２が閉じられないとすると、ビットカウンタ４１０　からのあふれビットがＤ形７リツプフロツプ４００をトグルしてそれのＱ出力を１から０へ変える。ブロック３６６　に示すように、Ｄ形フリップフロップ４００のＯであるＱ出力はフェイルフラッグである。

判定ブロック３６４０機能はインバータ４０２と、５−Ｒ７リップフロップ４０４と、アンドゲート４ｏ６とによシ行われる。ＢがＯであるとすると、インバータ４６２はＳ−Ｒフリップフロップ４０４をセット状態に置いて、それのＱ出力を１にする。５−Ｒ７リップフロップ４０４からのＱ出力端子からの１がアントゲ−）４０６ｆｉｉ！！いてクロック（ＣＬＫ）パルスを通させる。そのクロックパルスはオアゲート４０８を介してＤ形フリップフロップ４００をトグルする。

そうすると、Ｓ−Ｒフリップ７０ツブ３９８　　のＱ出力がない時は１であるＤ形フリップフロップ４００のＱ出力は低い信号すなわちＯ信号になる。Ｄ形フリップフロップ４００の低いすなわち０のＱ出力は、前記のように、ブロック３６６　に示されているフェイルフラッグである。バスフラッグまたはフェイルフラッグは逸脱誤、９　（ＤＥＲＲ）として票決器財障害器インターフェイス２４８　を介して耐障害器３６ヘスケジユーラーは正常モードと再構成モードの２つの動作モードを有する。正常モードにおいては、スケジューラ−４０は、装置内の、それ自身を含む各動作ノードに対するアプリケーションタスクをスケジュールし、それらのタスクの実行をモニタする。

１つまたは複数のノードを動作セットから除外し、または動作セットに再加入させることを耐障害器３６が決定した時に再構成モードに常に入る。各ノードによシ実行するためにどのタスクが適当であるかを定める起動状態を介して２つのモードは相互作用する。再構成モードは起動状態を修正し、正常モードはタスクをスケジュールするために起動状態を利用する。

正常モード動作中は、スケジューラ−４０はダイナミックで、優先順位を基にした、非先制的なタスクスケジューリングプロセスを実現する。タスクの間の境界においては、同時プログラミングのプラクテイスとタスク間依存性の解消が支持される。任意に与えられた装置状態（構成）に対してはノードに対するタスクの割当ては静的であるが、タスクの順序づけと依存性の解消は動的に行を　る。各ノードのスケジューラ−４０は装置内のアクティブなあらゆるノードに対するスケジューリングプロセスを模する。障害検出機構によシ、各ノードは任意のノードによシ実行されるタスクのシーケンシングすなわちタイミングにおける誤った挙動を認識できるようにされる。

再構成中にタスクを動作しているノードの間に再び割当てることができる。装置の全体の性能の変化に適合するために、アクティブタスクセットにタスクを付加でき、またはそのタスクセットからタスクを除外できる。

動作制御器１２のスタートまたはリセット中にスケジューラ−４０は、どのノードも動作していないという仮定で再構成モードに入る。耐障害器３６が「動作しているセット」を認識すると、その情報は新しい装置状態ベクトルとしてスケジューラ−４０へ送られる。それから、スケジューラ−は受けた新しい装置状態ベクトルに従ってタスクを再構成する。

この方法を用いることによシスヶジューラ−４０の動作は自己ブートストラップする。

スケジューラ−４０のブロック図が第３４図に示されている。タスク選択器モジュール４１４が情報を、耐障害器３６から耐障害器インターフェイス４１６　を介して、タスクコミュニケータ４４がらタスクコミュニケータインターフェイス４２０　を介して受ける。タスク選択器モジュール４１４はメモリインターフェイス４２６　を介してスケジューラ−ＲＡＭ４２２およびスケジューラ−ＲＯＭ４２４とも通信する。

再構成モジュール４２８が耐障害器３６からの新しい装置状態ベクトルの受信に応答して、新しい動作ノードセットによシ選択および実行すべきタスクを再割当てする。再構成モジュール４２８　は、スヶジユーラーＲＯＭ４２４　　に格納されている所定の情報を用いて、スケジューラ−ＲＡＭ４２２　に格納されているタスクの起動状態を変える。

スケジューラ−ＲＡＭ４２２　　のマツプが第３５図に示されている。古いＴＩＤのエントリイが装置内の各ノードのためのエントリイを含み、そのノードによシ以前に開始させられたＴＩＤ　を格納する。スワップ表エントリイが各タスク（ＴＩＤ）のためのエントリイを含み、その特定のタスクの直前に起動していたタスクの総数である前に起動していたタスクのカウントを格納する。特定のノードにおけるタスクのアクティブ状態を交換または変更に用いられる２けの数のアトミック期間が経過せねばならないかとに対応する周期性を再構成について説明する時に説明する。

割当て表が装置内の各タスク−ノード対に対する割当てカウントを格納する。この割当てカウントは、ノード０間でのアクティブタスクの分布を決定するために、再構成プロセスにおいて用いられる。

選択列４ｉ、ＳＯは次、以前および検査の３ページを有スる。各ページは、各ノードによシ現在実行される用意ができている蓼つの最高優先順位のタスクに対応する、そのノードのための３つのエントリイを含む。「使用ずみ」はエントリイ内のタスクの現在の反復がそのノードにより開始させられるかどうかを示すプール値で４ｆｉ、ＩＴＥＲはエントリイ内のそのタスクの反復数、ＴＩＤはそのタスクのタスク識別符号である。次ページは、各ノードに対して次に実行すべきタスクが選択されるエントリイであシ、以前ページは先行するサブアトミック期間中に選択されたタスクを表で示し、検査ページはそのノードに対する第２の先行するサブアトミック期間中に選選択されたタスクが次ページに格納される。

完成状態表は、各タスクに対して、完成されたタスクのコピーの数に対応する完成カウントと、受けたタスク完了／開始メツセージの数に対応する数を格納する分岐条件カウントと、各種のノードの間でそのタスクの割当てを含む割当てエントリイとを含む。前記メツセージにおいて分岐条件は１の値を有する。

優先走査衣は、タスクを実行できる前に終了すべきである先行するタスクの数である先行タスクのカウントと、そのタスクの反復数と、それの割当てとを各タスクについて格納する。タスク活動表エントリイは、先行するタスクのカウントと、タスクの周期性と、それの割当てとを各タスクについて格納する。

スケジューラ−ＲＯＭ４２４　　のマツプが第３６図に示されている。第１の工ントリイは、終了した各タスクの後に続くタスクを示す後継表である。この表は、後で説明するように、後継オフセットのアドレスによシアクセスされる。２つの可能な分岐条件のおのおのに１つずつの合計２つの後継表がある。次の４つのエントリイは各タスクに対する選択ベクトルであって、そのタスクの実行のために選択されるノードを識別する。関連ベクトルは２つのエントリイと関連ベクトルを含む。第１のエントリイ包含／除外は、動作セットに含まれているノードによレジスタを実行するのか、または動作セットから除外されているノードによレジスタを実行するのかを識別し、関連ベクトルはどのノードにタスクが関連するかを示す。最初のＳｗ　ａ　９表エン）　ＩＪイは最初の先行タスクカウントと、周期性と、後で説明するようにリセツ）ｔたは再構成中にスケジューラ−ＲＡＭ４２２のタスク活動リストにロードされる、各タスクのための最初のスワップカウントとを各タスクごとに含む。

次の２つのエントリイは各タスクに対する最初の割当てカウンタであって、タスク−ノードの各組合わせのための最初の割当てカウントまたはトグル点を示すものである。それらの値は、リセットまたは電源投入後にスケジューラ−ＲＡＭ４２２内の割当て表にロードされる。エントリイ最長実行時間表は各タスクに対する最長実行時間の２の補数を格納し、タスクが開始された時に、そのノードのための実行°タイマニロードされる。エントリイ最短実行時間表が各タスクに対する最短実行時間の２の補数を格納し、タスクが終ったことが知らされた時にそのタスクの実行時間を検査するためにそれが用いられる。後継オフセットエントリイは、後継タスクが格納される後継リスト内のスタートアドレスを各タスクに対して含む。最後に、初期比表エントリイが装置で用いられる最大ノード識別符号（ＮＩＤ）と最大タスク識別符号（ＴＩＤ）を格納する。それらの符号は特定の動作が完了した時を識別するために用いられる。

第３７図はタスク選択器モジュール４１４の詳細を示す。タスク完了／開始メツセージのＮＩＤ　フィールドおよびＴＩＤ　フィールドが耐障害器インターフェイス４１６からタスクコミュニケータインターフェイス４２０へ直接転送され、かつオンボードＲＡＭ４３０　に一時的に格納される。完了／開始取扱い器４３２が、タスク完了／開始メツセージ内で識別された各タスクのＴＩＤ　とＮＩＤを、各サブアトミック期間の終シにソフト誤シウインドウ（ＳＥＷ）開始されたＴＩＤ　レジスタ４３４へ直接転送する。

これは、障害のない全ての動作制御器がそれらの動作制御器のタ、スク相互作用一貫性メッセージまたは装置状態メツセージを送９、先行するサブアトミック期間からタスク完了／開始メツセージを受けるべきでおった期間である。各ノードに対する開始されたＴＩＤレジスタ４３４　は深さが３の列であって、その列においては新しいＮＩＤとＴＩＤ　が列の後尾に付加され、先頭から除去される。

タスク選択器モジュール４１４はＴＩＣ取扱い器４３６　も有する。それはタスク完了ベクトルのビザンチン票決値と、タスク相互作用一貫性（ＴＩＣ）メツセージの分岐条件ビットとに応答する。同期器４６内のビザンテンベクトルから受けたこのデータは、選択列４５０　および完了状態リスト４３８と、期間カウンタ４４２により発生された各種の期間信号に応答してタスク活動リスト４４４　からのアクティブタスクを優先走査リスト４４６　と完了状態リスト４３８へ転送するウェイクアップシーケンサ４４０と、選択列４５０に置かれる、優先走査リスト４４６内のタスクを選択し、それを次のタスクレジスタ４５４の中に置く優先走査器４４８　　と、装置内の個々のノードによシ実行される各タスクの実行時間をモニタする実行タイマ４５Ｇと、選択列４５０内の最高優先度のタスクを選択して、そのタスクを次のタスクレジスタ４５４　の中に置く次のタスク選択器４５２と、各ノードにより実行されている現在のタスクを格納する古いＴＩＤ’Ｊスト４５８　　とを更新するため°に用いられる。次のタスクレジスタ４５４に置かれた最高優先度のタスクをアプリケーションズプロセッサにより実行するために、そのタスクは次のタスクレジスタ４５４　からタスクコミュニケータ４４へ転送される。タスク活動リスト４４４　と、優先走査リスト４４６と、完了状態リスト４３８と、選択列４５０と、古いＴＩＤリスト４５８　　とは、第３５図について説明したようにスケジューラ−ＲＡＭ４２２において具体化される。

ウェイクアップシーケンサ４４０と、実行タイマ４５６と、ＴＩＣ取扱い器４３６と、優先走査器４４Ｂと、次のタスク選択器４５２　との動作を第３８〜４６図に示されている流れ図について説明する。完了／開始取扱い器４３２の動作は比較的簡単であって、各サブアトミック期間が始った時に、オンボードＲＡＭ４３０　　の内容を開始ＴＩＤレジスタ４３４　へ転送することである。

第３８図に示す流れ図はウェイクアップシーケンサの動作を述べたものである。

プロセスは、サブアトミック期間が最後のサブアトミック期間（ＬＳＡＰ）か、第３のサブアトミック期間（５ＡＰ）であるかについて、質問ブロック４６０と　４６２に示すように、繰返えし質問することによシ開始される。それが最後のサブアトミック期間であるとすると、プロセスはタスク活動リスト４４４に対するＴＩＤポインタを、ブロック４６４で示すようにＯに初期化する。それから、プロセスは判定ブロック４６８において、タスクＴＩＤの期間が期間カウンタ４４２によシ示されている期間よシ短いかどうか判定する。もし短いと、ブロック４７０に示すように、優先走査リストが初期化される。優先走査リスト反復セットはそのタスクに対する現在の反復に等しい。先行タスクのカウントはタスク活動リストに含まれている先行タスクカウントに等しくセットされ、割当てがタスク活動リストに含まれている割当てに等しくセットされる。

それから、プロセスは判定ブロック４７２へ進み、処理したタスクが最後のタスクかどうか判定する。

もしそうであればウェイクアップシーケンサ４４０の動作は終る。そうでなければ、プロセスはブロック４８０へ進み、タスク活動リスト４４４の次のタスクについての期間が期間カウンタの期間よシ短いかどうかを再び調べる。ＴＩＤ期間が期間カウンタより長いと、タスクは優先走査リスト４４６には入れられず、ブロック４８０で示されるように、タスクポインタはタスク活動リスト中の次のタスクについて調べられる。タスク活動リスト４４４中の最後のタスクは周期性が０である零タスクである。したがって、期間カウンタ４４２の期間よシ短い期間を有する他のタスクがない時は、最後のタスクは優先走査リスト４４６　に常に入れられる。

期間カウンタ４４２によシ指示される期間が第３のサブアトミック期間でおると、ウェイクアップシーケンサ４４０は、ブロック４８２に示すように、タスク活動リストに対するポインタを第１のタスクに再び初期化する。それから、ウェイクアップシーケンサは、判定ブロック４８４、タスクの周期性が期間カウンタ４４２により指示されている期間よシ短いかどうかを質問する。もし短いと、ウェイクアップシーケンサは、ブロック４８６により示されているように、完了状態リスト４３８を初期化する。

次に、ウェイクアップシーケンサは完了状態リスト内の反復を０にセットし、分岐条件リストをＯにセットし、タスク活動リストに示されている割当てに割当てをセットする。次に、ウェイクアップシーケンサ４４０　はそのタスクがタスク活動リスト中の最後のタスクでおるかどうか質問する、判定ブロック４８８゜もしそうであれば、ウェイクアップシーケンサ４４０の動作は終らされる。また、そうでなければ、タスク活動リスト内のＴＩＤポインタはブロック４９０によシ示されているように次のタスクに向けられる。期間カウンタ４４２によシ示されている期間よレジスタの周期性が長いとすると、完了状態リスト４３８は更新されず、タスク活動リスト内のタスクは次にタスクされる。タスク活動リスト内のポインタが最後のタスクに向けられると、そのタスクの周期性はＯであるから、そのタスクは完成開始リストに常に入れられる。

ウェイクアッププロセスが終ると、第３９図の流れ図に示すように、実行タイマ４５６が各ノードに対する実行タイマを検査する。前記したように、各ノードにより実行されるタスクの実行時間は最長実行時間の２の補数である。これが行われる理由は、現在の技術では時間を短くするよシ長くすることが容易だからである。実行タイマ４５６　は、ブロック４９２に示すようにタイマポインタを第１のノードに初期化することによって動作を開始する。それから、ブロック４９４　によシ示されているように、実行タイマは各ノードによシ格納されている時間を１だけ長くする。それから、実行タイマ４５６　は、判定ブロック４９６に示すように、タスクの実行のために残っている時間について各タイマを検査する。

特定の任意のノードに対するタイマがＯに等しいとすると、タイマはそのノードに対する誤シフラッグを真にセットする。次のこの情報は、後述する理由で、耐障害器インターフェイス４１６へ送られる前に、ＴＩＣ取扱い器４３６へ送られる。現在の時間が０に等しくないとすると、判定ブロック５００に示すように、実行タイマ４５６は最後のノードを調べたかどうかを質問し、もしそうであれば、それは実行タイマプロセスを出る。また、もしそうでなければ、ブロック５０２に示すように、それはノードポインタを次のノードへ増加して次のノードの現在の時刻を調べる。

ＴＩＣ取扱い器４３６　の動作を第４０〜４４図を参照して説明する。そのＴＩＣ取扱い器はタスク相互作用一貫性メツセージの票決値の到達に応答し、そのデータを基にして主なデータ構造を修正する。それは、タスクの停止された、または永遠に延期されたコピーが残シの動作負荷を遅延させないように、時間誤差の発生を確認された終了に等しいものとして取扱う。ＴＩＣ取扱い器４３６は、確認された終了または超過時間誤シが報告されるノードを選択する。

確認された終了が報告されたとすると、タイマが時間切れしたのと同じサブアトミック期間中に終了が確認されたのであるから、ＴＩＣ取扱い器はそのノードに関連するタイマ誤差ビットをクリヤする。それからＴＩＣ取扱い器は、タスクを完了したことを報じられたノードに対して遭遇した第１の未使用タスクのＴＩＤに対する選択列４５０の検査ページを探す。これは、ノードが開始せねばならなかったタスクのＴＩＤである。このＴＩＤがそのノードに対する開始されたＴＩＤレジスタ４３４に現在格納されているＴＩＤに一致しないとすると、シーケンス誤りが記録される。最後に、’ＴＩＣ取扱い器はそれの副プロセスである選択列更新、完了終止、実行タイマリセット、および優先走査更新の各々を呼出し、選択されたノードに対するデータ構造を順次更新する。ＴＩＣ取扱い器プロセスは各ノードに対して反復される。

第４０図に示すように、ＴＩＣ取扱い器は、判定ブロック５０４に示すように、ビザンチンデータを利用できるかどうかを質問することにより動作を開始する。

もし利用できないと、それを利用できるようになるまでＴＩＣ取扱い器４３６は待つ。利用できるならば、ＴＩＣ取扱い器は、選択列４５０の検査ページに対するポインダを第１のノード位置に初期化する、ブロック５０６゜次に、プロセスは、判定ブロック５０８　に示すように、ビザンチンデータで示すようにノードがタスクを完了したかどうかを質問する。それと並列に、そのノードによシタスフが完了されたことをとザンチンデータが示さないとすると、判定ブロック５２４に示すように、時間誤差が生じたかどうかをプロセスは調べる。ノードがタスクを完了せず、時間誤差がないことをビザンチンデータが示したとすると、ブロック５２６　に示すように、プロセスはノードポインタを次のノードへ増加する。それから、ブロック５２８に示すように、最後のノードまたは最大のノードを調べたかどうかをプロセスは調べる。それが最後の７−ドであるとすると、それはプログラムを出る。最後のノードでなければ、プロセスは、次のノードがタスクを完了したか、または時間誤差が生じたかを次のノードについて調べる。

ノードがタスクを完了し、そのノードについての時間誤差が記録されたとすると、ブロック５１０に示すように、ＴＩＣ取扱い器は時間誤差を偽にセットする。

その理由は、時間誤差が生じたサブアトミック期間と同じ期間内でタスクが完了されたからである。したがって時間誤差は無効であシ、打ち消される。ノードがタスクを完了したか、時間誤差が生じたとすると、ブロック５１２に示すように、選択列の検査ページで見出されるそのノードについての第１の未使用エントリイを使用するものとしてプロセスはマークする。それから、プロセスは、ブロック５１４　に示すように、使用するものとしてマークしたばかシのエントリイのＴＩＤを現在のＴＩＤとして格納し、その同じエントリイの反復として現在の反復を格納する。次に、プロセスは、第３７図に示すように、開始されたＴＩＤレジスタ４３４に格納されたそれの最後のタスク完了／開始メツセージ内のそのノードによシ報告されたマスクと現在のマスクが同じであるかどうかを判定する。

現在のタスクとそのノードに対する最後のタスク完了／開始メツセージにおいて完了したと報じられたタスクとが同じでないとすると、ブロック４３６　に示すように、ＴＩＣ取扱い器４３６はシーケンス誤りフラッグを「真」にセットする。次に、プロセスは、ブロック５１８に示すように、選択列（ＳＱ）更新サブプロセスを呼出し、ブロック５２２に示すように、優先走査リスト（ＰＳＬ）　更新サブプロセスを待つ。優先走査リストの更新が終ると、ブロック５２６に示すように、プロセスはノードポインタを次のノードへ向け、判定ブロック５２８　に示すように、最後のノードを処理したかどうかを調べる。

ＴＩＣ取扱い器のためのサブプロセス選択料更新は、ＴＩＣ取扱い器によシ選択されたノードに対する選択列４５０の次のページと前のページを探す。

エントリイが現在のタスクと現在の反復を含んでいることが判明すると、そのエントリイは「使用ずみ」とマークされる。現在のタスクよシ高い優先度を持つタスクが検査ページの発生と前のページまたは次のページの発生との間で利用できるようになるから、それらのエントリイは見出せたシ、見出せなかったシする。

検査ページェントリイがりフレッシュされる前はそのエントリイは再びはアクセスされないから、検査ページェントリイをマークする必要はない。

ブロック５３０　に示すように、前のページに対するポインタを０エントリイに初期化することによシ、選択列更新サブプロセスは始まる。それから、ブロック５３２に、示すように、プロセスは第１、のエントリイに対するエントリイを探し、判定ブロック５３４に示すように、現在のＴＩＤと反復がエントリイのＴＩＤ　と反復に等しいかどうか調べる。それらが同じであると、「使用された」工ントリイに「真」とマークされる、ブロック５３６゜もし同じでないとすると、判定ブロック５３８　に示すように、前のページの３つのエントリイの全てをプロセスが調べたかどうかをプロセスは調べる。選択列４５０の前のページの全てのエントリイを調べなかったとすると、プロセスは、前のページの３つのエントリイが全て調べるまで、エントリイを第２のエントリイに向け、等々というように動作する。前のページのエントリイの１つにＴＩＤを見つけるか、前のページの検査を完了し、しかもエントリイを見つけなかった後で、プログラムは選択列４５０の次のページへ進み、ブロック５４０　に示すように、ポインタをＯエントリイに再びセットする。ブロック５４２に示すように、それはエントリイを索引し、それから、判定ブロック５４２　に示すように、現在のＴＩＤと反復がエントリイのＴＩＤおよび反復に等しいかどうか判定する。もし同じであれば、ブロック５４６　に示すように、それは「使用ずみ」エントリイを「真」とマークする。同じでなければ、判定ブロック５４８に示すように、３つのエントリイを全て検査したかどうか質問する。もししなかったとすると、ズントリイ中に現在のＴＩＤと反復を見つけるか、３つのエントリイを全て調べるまでプロセスはボイ／りを次のエントリイへ移し、検査を続行する。それから、ブロック５５０に示すように、プロセスは完了した終了（ＣＴ　）　　サブプロセスを呼出す。

ＴＩＣ取扱い器サブプロセス完了／終了は、完了状態リスト内のタスクの各コピーの完了を記録する。

最後のコピーが完了する（または時間切れする）と、タスクは「終了させられる」。終了されたタスクに関連する後継リストエンドリイと大多数分岐条件が、第３６図に示すように、後継オフセットリスト内のペースアドレスを介してアクセスされる。終了したタスクの各後継タスクに対する先行タスクカウントが次に減少させられる。種々のコピーによシ発生された分岐条件が結合される結果になると、分岐条件０がデフオールドによシ選択される。

ＴＩＣ取扱い器４３６は、第３５図に示すように、スケジューラ−ＲＡＭ４２２の古いＴＩＤ部分内に表にされているＴＩＤが有効な古いＴＩＤであるか否かを示す古い有効ビットを各ノードについて保持する。古い有効の全てのビットは装置の再構成中に偽にセットされて、各ノードによシ次に実行するタスクが最初のタスクであって、処理する以前のタスクはないことを指示する。古い有効は、ノードの第１のタスクの確認された開始の後、およびノードの第２のタスクの確認された開始の前に真にセットされる。

古い有効が偽であれば、開始されたタスクは、再構成に続いてそのノードに対して実行される第１のタスクである。したがって、処理するための完了タスクはなく、完了／終了サブプロセスは実行する必要はない。同様に、完了タスクが零タスクであれば、そのタスクを終らせる必要はない。第４１図に示す流れ図においては、タスクを最大タスクと比較する点は、零タスクの終了を潜在的に知らせることなしに比較できる最新の点であり、これにより完了状態リストにおける最大タスクエントリイの内容が無関係にされる。

次に第４２図を参照すると、ブロック５５２で示すように、そのノードに対する旧有効フラグをチェックすることによシ完了・終結サブプロセスが始まる。

先に示したとおシ、旧有効フラグが真でなければ、プロセスは後に説明する次のサブプロセス、実行タイマー・リセットに進む。しかし、旧有効フラグが真であれば、プロセスは、プロセスｓｓｔテ示ｔように、完了したタスクのＴＩＤが完了状態リスト４３８　にアクセスし、そのＴＩＤ−ＮＩＤ割当てに対して割当を設定しながら旧ＴＩＤに格納されているＴＩＤを用いてタスクの完了を記録することになる。

次にプロセスは、判断ブロック５５６　に示すように、分岐条件が１に等しいか質問する。１に等しければ、ブロック５５８　で示すように、完了状態リスト４３８の分岐条件のエントリを歩進させる。しかし、分岐条件がＯであれば、プロセスは、判断ブロック５６０で示すように、そのタスクのすべてのコピーが完了しているかの質問に進む。これは完了状態リストの割当て区画のすべてのエントリが偽に設定されていることによシ示される。

タスクのすべてのコピーが完了していれば、サブプロセスは、ブロック５６２　で示すように、タスク・コミュニケータに終結タスクのアイデンティティを報告する。タスクの終結をタスク・コミュニケータ４４に報告してから、プロセスは、ブロック５６４で示すように、最初の後継タスクのアドレスをスケジューラＲＯＭ４２４　に含まれているサクセッサ・オフセット・エントリから手に入れる。次にプロセスは、判断ブロック５６６　に示すように、後継タスクが終結タスクの後継タスク拳リストの終りに対応する最大後継タスクに等しいか質問する。

それが後継タスク・リストの終シであれば、プログラムは、ブロック５７２　で示すように、実行タイマー・リセット・サブプロセスを呼出す。後継タスクが終結タスクに対する後継タスク・リストに載っている最大ＴＩＤでなければ、プロセスは、ブロック５６８　で示すように、各後継タスクの前任タスクのカウントを１だけ減することにより完了状態テーブルの更新を続ケる。次にプロセスは、ブロック５７０　で示すように、後継リストのアドレスを増加して後継リストに載っている次のタスクの分析に進む。

ＴＩＣハンドラ４３６の実行タイマー−リセット・サブプロセスは各ノードの実行タイマーに最小時間誤差があるかチェックし、タイマーに新しく開始したタスクをロードしなおす。そのノードに対する旧有効フラグが偽であれば、完了タスクは存在せず、誤差は記録されない。実行タイマー・リセットはスケジューラＲＡＭ４２２の旧ＴＩＤエントリにアクセスする最後のプロセスである。それ故、それは現在のＴＩＤをコピーしたシ、旧有効フラグを真に設定するのに便利な場所である。

第４３図は実行タイマー・サブプロセスによシ実行されるプロセスを示す流れ図である。プロセスはブロック５７４　に示すように、ＴＩＤ　をその特定のノードに対する旧ＴＩＤに等しく設定することから始まる。次にプロセスは、判断ブロック５７６　で示すように、そのＴＩＤに対する現在の実行時間を最小時間と比較する。現在の実行時間が最小実行時間よシ大きければ、ブロック５１８で示すように、旧有効フラグが真であるか質問する。旧有効フラグが真であれば、実行タイマー・リセット・サブプロセスは、ブロック５８０　で示すように、そのノードに対する時間誤差フラグを「真」に設定する。現在の実行時間が最小時間よシ大きくないか、または旧有効フラグが真でないか、または時間誤差が記録されていれば、プロセスは、ブロック５８２　で示すように、そのノードに対する現在時間を、第３６図に示すように、スケジューラＲＯＭ４２４の最大実行時間テーブルと名付けたエントリに含まれている現在のタスクの最大時間に等しく設定することによシ実行タイマーをリセットする。次にプロセスは、ブロック５８４で示すように、スケジューラＲＡＭ４２２の旧ＴＩＤエントリを、そのノードに対する旧ＴＩＤを現在のＴＩＤに等しく設定してから、ブロック５８６　で示すように、そのノードに対する旧有効フラグを真に設定することによシ更新する。プロセスは次に、ブロック５８Ｂ　で示すように、優先権走査リスト更新サブプロセスを呼出ス。

ＴＩＣハンドラ４３６の優先権走査リスト更新サブプロセスはそのノードに対する優先権走査リストの現在のＴＩＤ割当てをクリアすることによりそのノードに関する現在のタスクの開始を記録する。このプロセスによシ現在のタスクがその次の反復までそのノードによる再実行に対して不適格になる。その次の反復時に、目覚ましシーケンサ４４０　が優先権走査リストのそのタスクに対するエントリを初期設定しなおす。更新を行う前に二つの条件を満足しなければならない。

１）開始したタスクはヌル・タスクはヌル・タスクであってはならない。ヌル・タスクは必らず利用可能でなければならず、優先権走査リストから決して取シ除くことができないからである。２）開始したタスクの反復数は優先権走査リスト内の反復数と同じでなければならない。二つの反復数は、タスクが前の原子期間の最後の３亜原子期間中実行した場合には、原子期間の最初の３亜原子期間以内で相違することができる。

第４４図は優先権走査リスト更新の実行時にＴＩＣハンドラ４３６　によシ実行される手順の流れ図を示す。プロセスは、ブロック５９０　で示すように、エントリが現行のものであるか質問することによシ始まる。エントリが現在のものであれば、プロセスは、ブロック５９２　で示すように、現在のタスクがヌル・タスク（最大ＴＩＤ）であるか質問するＪ・現在のタスクがヌル・タスクでなければ、ブロック５９４で示すように、そのノードがその特定のタスクを開始したことを記録することによシ優先権走査リストを更新する。効果的に、プロセスはその特定のノードに対する優先権走査リストの割当て二ントリ内ノフラグを偽に設定する。エントリが現在のものでなければ、またはタスクがヌル・タスクでなければ、プロセスは、ブロック５９６で示すように、第４０図に示すＴＩＣハンドラ・プロセスに戻ル。

優先権スキャナ４４８　はアプリケーション作業ロードの進展に関して最近確認したデータに基き次のサブ原子期間に対する候補タスクを選択する。優先権スキャナ４４８の動作はＴＩＣハンドラ４３６による優先権走査リストの更新に従う。優先権スキャナ４４８　は先づ選択待ち行列４５０のページポインタを回転し、次に優先権走査リストをＴＩＤが増加する順序に走査することによシ各ノードに対する三つのタスクを選択する。優先権走査リストでは最高優先権のタスクは低い方のＴＩＣ番号を備えておシ、最低優先権のタスクは高い方のＴＩＤ番号を備えている。選択されたタスクはそのそれぞれのノードに対する選択待ち行列の次のページに書込まれる。

優先スキャナ４４８の動作は、ブロック５９８で示すように、選択待ち行列４５０　のポインタを回転することによシ始まる。次に優先権スキャナはノード−エントリ・ポインタのすべてをブロック６００で示すように第１エントリに設定する。優先権スキャナは、ブロック６０２に示すように、第１タスクに対するＴＩＤ　リストの先頭から開始する。こうして優先権スキャナ４０８は、ブロック６０４　に示すように、そのタスクに対する前のカウントが０に等しく前任タスクのすべてが完了していることを示しているか質問する。前の条件がすべて満足されていれば、優先権スキャナ４４８　は、判断ブロック６０６で示すように、タスクがその特定のノードに関して前に開始されているか調査する。タスクがそのノードに関して前に開始されていなければ、優先権スキャナは、ブロック６０８　で示すように、その特定のノードが既に三つのエントリを備えているか質問する。三つのエントリを備えていなければ、ブロック６１０で示すように、そのノードが最後のノードであったか検査する。最後のノードでなければ、ブロック６１２で示すように、次のノードを指示して次のノードに対するエントリのチェックに進む。評価しているノードが最後のノードであれば、優先権スキャナ４４“ ４、は、ブロック６１８　で示すように、各ノードが四つ以上のエントリを備えているかのチェックに進む。

各ノードが四つ以上のエントリを備えていれば、優先権スキャナの動作は完了して、そこを出る。しかし、すべてのノードが三つのエントリを備えていなければ、優先権スキャナ４４８は、ブロック６２０で示すように、最後のタスクを処理してしまったか質問する。最後のタスクを処理してしまっていれば、優先権スキャナは、ブロック６２２で示すように、残シのすべてのエントリを最大ＴＩＤであるヌル・タスクで埋める。しかし、ＴＩＤが最大でないかまたはリストの最後のタスクでなければ、プロセスはＴＩＤ番号を増して反復する。

判断ブロック６０８　に戻って、特定のノードに対するエントリが３以下であれば、プロセス゛は、ブロック６１４　で示すように、ＴＩＤおよび反復を優先権走査リストからそのノードに対する選択待ち行列４５０の次のページにコピーする。次にブロック６１６で示すように、そのノードに対するエントリを増加し、判断ブロック６１０　　で示すように、そのノードが最後のノードであったか質問する。最後のノードでなければ、プロセスは、ブロック６１２で示すように、次のノードに進むか、または判断ブロック６１８　で示すように、すべてのノードのエントリが一杯になっているかチェックする。

次のタスク・セレクタ４５２　はそれ自身のノード（ＮＩＤ）に対する選択待ち行列４５０の次のページの最初のエントリを調べる。そのタスクがそれ自身のノードによυ前に開始されていなければ、その次のタスク・レジスタ４５４　の中のタスクを記録する。

このタスクはアプリケーション・プロセッサニょシ要求されるとタスク・コミュニケータ・インターフェース４２０　を通してタスク・コミュニケータ４４に伝えられる。タスクが前に開始されていれば、選択待ち行列４５０　の次のページの次のエントリが同じ判断基準について調査される。プロセスは実行されていないエントリが見つかるまで、または第３のエントリを調べ終るまで、継続する。

選択待ち行４Ｊ４５０　はタスクが開始されてから第３の亜原子期間まで更新されないので、次回タスク・セレクタはそれ自身のノードに関して開始されたタスクの局部記録を維持しなければならない。開始した前のタスクのＴＩＤは深さ２エントリのスタックに保持されてノードのタスク・コミュニケータ４４によシ実際に開始された前の二つのタスクを記録する。スケジューラ４２はタスクが開始されると必らずタスク・コミュニケータから即時通告を受取る。

次にスケジューラは現在選択されているタスクを前のＴＩＤスタックに押し込み、最も古いエントリをス′タックの最下部まで落す。次回タスク・セレクタ４５２　の動作はソフトエラー・ウィンドウの始まシによ、９　）　ＩＪガされ、一方送信機はタスク対話整合性またはシステム状態メツセージの伝達によシ占有される。したがって、タスク・コミュニケータは、次回タスク・セレクタが選択されたタスクを修正している間に完了・開始メツセージ・タスクを伝達するかまたは選択されたタスクを開始することができない。次回タスク・セレクタ４５２　はそれ自身のノード識別（ＮＩＤ）コードにアクセスしているスケジューラ内のただ一つのモジュールである。

次回タスク・セレクタ４５２の動作については第４６図に示す流れ図を参照して説明することにする。

次回タスク・セレクタの動作は、ブロック６２６で示したように、次のページに対するエントリ・ポインタをそれ自身のＮＩＤおよびエントリＯに設定することから始まる。次回タスク・セレクタは次に、ブロック６２Ｂ　で示すように、エントリ・ポインタを第１のタスクまで歩進させ、ブロック６３０　で示したように、選択されたタスクとしてそれ自身のノードに対して選択待ち行列４５０　のエントリに入れられているタスクを記録する。次回タスク・セレクタは次に、判断ブロック６３２　で、これが次のページのそれ自身のエントリの第３のエントリであるか質問する。第３のエントリであれば、選択されたタスクを次回タスク・レジスタ４５４　に格納する。しかし、第３のエントリでなければ、次回タスク・セレクタは、判断ブロック６３６　で示すように、選択されたタスクおよび反復が前に選択された第１または第２の選択されたタスクおよび反復と同じであるか質問する。選択されたタスクおよび反復が前に選択された第１および第２の選択されたタスクおよび反復と同じであれば、次回タスク・セレクタは、ブロック６２８　で示すように、エントリの歩道および選択待ち行列内の次のタスクの検査に進む。しかし、選択されたタスクおよび反復が前に選択されていなかった場合には、次回タスク・セレクタは、ブロック６３４　で示すように、選択されたタスクを次回タスク・レジスタ４５４　に格納し、選択プロセスを完了する。

上の流れ図から、選択待ち行列４５０　の最初の二つのエン）　ＩＪがこのノードによシ前に実行されていれば、次のタスク・セレクタ４５２　はその前の選択状態に関係表く第３のエントリを選択することがわかる。この特徴によシすぐ実行できる状態にある他のタスクが存在しない場合にヌル・タスクの複数のエン）　ＩＪを選択待ち行列に同時に置くことができる。

したがって、他のタスクが直ぐ実行できる状態にないとき、ノードは他のタスクを利用できるようになるまで亜原子期間ごとにヌル・タスクを開始する。

タスク・セレクターモジュールの動作はソフトエラー・ウィンドウ（ｓｇｗ）の終シと共に始まるが、このＳＥＷの終りにタスク完了・開始メツセージは無欠陥ノードから到着していないはずである。第１に、完了・開始ハンドラはオンボードＲＡＭ４３０に格納されているタスク完了・開始メツセージを、次の亜原子期間に対するタスク完了・開始メツセージの可能な最も早い到着前に開始ＴＩＤレジスタ４３４に転送スる。サブモジュールにより実行されたすべての他のプロセスは次回タスク・セレクタ４５２を例外として次のソフトエラー・ウィンドウが始まる前に完了しなければならない。次回タスク・セレクタ４５２の動作はソフトエラー・ウィンドウの始まりでトリガされ、送信機がそのタスク対話整合性またはシステム状態メツセージの送出を完了し、タスク完了・開始メツセージの送出のためタスク・コミュニケータに利用できるようになる時までに完了しなければならない。目覚ましシーケンサの動作は完了・開始ハンドラ４３２　の動作の終シによシトリガされる。目覚ましシーケンサ４４０　の動作が完了したら実行タイマー４５６　がその実行タイマー・チェックを行う。ＴＩＣハンドラ４３６は次に選択待ち行列４５０　および完了状態リスト４５８　の更新、実行タイマーのリセット、および優先権走査リスト４４６の更新に進む。優先権走査リストが更新されたら、優先権走査リスト４４６　から優先権が選択待ち行列４５０　に与えられる。最後に、次のタスク・セレクタ４５２は選択待ち行列４５０　から次のタスクを選択し、これを次のタスク・レジスタ４５４　に置く。

再構成モジュール４２８　の詳細を第４７図に関連して説明することにする。λ ステム状態がノードの除外または再採用によシ修正されると、タスクの残シの動作ノードへの割当てを再構成する必要がある。

Ｎノード・システムには２Ｎの可能な状態がある。

したがって、８ノード・システムには２５６の可能な状態がある。これら各状態に対する別々の割当てリストを格納するには余分な量の記憶装置が必要である。

それ故、再構成は新しい状態を直接には取扱わない遷移基準アルゴリズムで行われる。それよシは、タスク・ロードを新旧状態間の変化に基いて再構成する。遷移基準の方法は状態基準の方法より本来的に簡単である。というのはＮノードのそれぞれの除外または再採用を表わす可能な遷移が２Ｎしかないからである。

ノードに対して設定される活動的タスクはそのノードに関する実行について有効な一組のタスクとして規定される。所定のタスクおよびノードについて、所定のタスクか所定のノードに関する実行について有効であるか否かを表わすのにプール値「作動−状態」を使用することができる。再構成の目的はシステム状態がノードの除外または再採用によシ修正されるとき各タスク・ノード対に対する作動 −状態を修正することである。作動−状態の値を正しく管理するには三つの独立した動作が必要である。

１）個々のタスクをシステム内のすべてのノードに対して有効または無効としてシステム能力全体の変化に対処することができる。たとえば、動作ノードの全数が成る所定値よシ下がると、タスクを活動的タスク・セットから完全に排除するか、または機能的に同等なもつと簡単なタスクで置き換えることができる。タスクの作動または作動解除の動作をスワツピングと言う。実行に対して有効となることができるタスクはスワップ・インされると言うが、無効トサれるタスクはスワップ・アウトされると言う。

２）活動的タスクはシステムの動作ノードの間に割当てなおすことができる。たとえば、ノードが除外されると、そのノードで実行される各タスクの一つのコピーが失われることになる。各タスクの所要冗長度を維持するためには、影響を受ける各タスクの一つのコピーを成る他のノードによシ実行しなければならない。

スケジューラはこれらすべてのタスクを一つのノードに割当てなおすことを必要とせず、これらタスクを必要に応じて残シのノードの間に分配することができる。割当てなおしの側面効果は、残りのノードを非常に良く利用する場合、よシ低い優先度のタスクをスワップ・アウトするように要求することができるということである。

３）タスクはその動作状態に基いて個々のノードに関する実行を禁ぜられることがある。たとえば、ノードが状態遷移によシ除外されるとき、アプリケーション・タスクがそのノードに関する実行を禁止されるのが一般的に望ましい。しかし、除外されたノードが診断タスクの包括的シーケンスを開始するのが望ましい。

システム内のすべてのタスクから成る組合せは二つの互いに排他的なサブセット、すなわち包含タスク・サブセットおよび除外タスク・セット、に分けられる。

包含タスク・セットのメンバーは包含ノードによって実行されることができるだけであり、除外タスク・セットは除外ノードによって実行されることができるだけである。

以下の説明は状態遷移に応じてタスクを再構成するに必要な動作を規定している。システム状態に対する複数の変化が必要な場合には、複数の再構成に際し一度に１ノードずつ順次に行われ、除外が処理される前にすべての再採用が処理される。

次に第４７図を参照すると、再構成モジュールがタスク・スワツパ６３８、タスク・リアロケータ６４０、およびタスク状態マツチャ６４２　を備えている。現在および次回システム状態比較器６４４　は、第３４図に示すように、システム状態ベクトルを障害寛容器インターフェースから受取シ、そのシステム状態が次のシステム状態と現在のシステム状態との間で変化しているノードだけを識別するデルタ・システム状態ベクトルを発生する。デルタ・システム状態ベクトルは現在の動作セットに再採用されているノードがあるか否かを示すフラグをも備えている。タスク書スワツパ６３８　はタスクが活動的タスク・セットのスワップ・インであるかスワップ・アウトであるかを示すプール・スワップ状態値を発生する。

このプロセスは前に述べたようにスケジューラＲＡＭ４２２　に備えられているスワップ・テーブルを使用する。タスク・リロケータ６４０　はシステム内の各タースフ・ノード対に対して一つのプール割当て状態値を発生する。タスク・リロケータ６４０　は、第３５図に示すように、スケジューラＲＡＭ４２２に備えられている割当てテーブル６４８　を使用する。状態マツチャ６４２　は各タスク・ノード対に対してプール整合状態値を発生する。タスク状態マツチャ６４２は、第３６図を参照して先に説明したように、スケジューラＲＯＭ４２４　　に格納されているテーブルの一つである関連ベクトル・テーブル６５０を使用する。スワップ状態値、割当て状態値、卦よび整合状態値はＡＮＤゲート６５２　によシ記号的に示されているように共に処理され、第３７図に示したタスク拳アクティビティーリスト４４４　に格納されている。

タスク・スワツパ６３８　によシ行われる動作は各ノードと各タスクとの関連を決定する大きなものである。アプリケーション設計者は各タスクの性能と関連するノードのどんなサブセットをも規定することができる。各タスクのスワップ状態は動作セットに含まれている関連ノードの数によってのみ決まる。

状態遷移が生ずると、新しいシステム状態が調べられ、動作セット内の関連ノードの数が各タスクのスワップ状態を変えることになるか否かを確認する。

変化が必要な関連ノードの数はそのタスクに対する「トグル値」と規定される。

システムの好適実施例においては、システム再構成の柔軟さを高めるのに二つのトグル値が設けられている。タスク・スワツパ６３８　の動作を第４８図の流れ図に関して説明する。

タスク・スワツパ６３８　の動作は、ブロック６５３で示すように、ポインタをスケジューラＲＯＭ４２４にある関連ベクトルに設定すること、およびポインタをスケジューラＲＡＭ４２２にちるスワップ・テーブルの最初のタスクに設定することから始まる。次にタスク・スワツパは、判断ブロック６５４　で示すように、タスクが動作セットから除外されたノードに関連しているか質問する。タスクが除外されたノードに関連していなければ、タスク・スワツパは、ブロック６６２　で示すように、次のタスクの評価に進む。しかし、タスクが除外されたノードに関連していれば、タスク・スワツパは、ブロック６５６に示すように、システム状態内の関連ノードの数がトグル点に等しい（スワップ・カウント＝０）か質問する。関連ノードの数がトグル点と等しければ、タスク・スワツパ６３８は、ブロック６５８で示すように、スワップ状態を補足し、ブロック６６０　で示すように、スワップ・テーブル６４６　のそのタスクに対するスワップ・カウントを減らす。しかし、スワップ・カウントがＯに等しくなければ、タスク・スワツパ６３８　はそのタスクのスワップ状態を補足せず、スワップφテーブル６４６　に格納されているスワップ・カウントを単に減らすだけである。スワップ・テーブル６４６　を減らしてから、タスク・スワツパハブロック６６２で示すようにＴＩＤポインタを次のタスクまで進め、判断ブロック６６４　で示すようにこのタスクがシステム内の最後のタスクでおるか質問する。それが最後のタスクであれば、タスク・スワツパの動作は完了するが、そうでなければ、タスク・スワツパはすべてのタスクが評価されてしまうまで上記のプロセスを反復する。

デルタ・システム状態ベクトルがノードがシステムに再採用されていることを示しているときのタスク・スワツパ６３８　の動作を第４９図の流れ図に示す。除外ノードに対するタスク・スワツパの動作を参照して示したように、ノードが動作セットに再採用されると、タスク・スワツパ６３８は、ブロック６６６で示すように、先ずポインタをＲＯＭ４２４の優先ベクトル・エントリに設定し、スワップ・テーブル６４６　を最初のタスク（ｚｘｏ＝ｉ）に設定する。

スワップ・テーブル６４６　は第３４図に示すようにスケジューラＲＡＭ４２２の一部である。タスク―スワツハハ次に、判断ブロック６６８　で、タスクが動作セットに再採用されたノードに関連しているか質問する。タスクが再採用ノードに関連していなければ、タスク・スワツパは、ブロック６７６　および判断ブロック６７８　に示すように、次のタスクの評価に進む。しかし、タスクが再採用ノードに関連していレバ、タスク・スワツパはブロック６７０　で示すようにスワン、ブーテーブル６４６　のスワップ・カウントを増し、判断ブロック６７２　で示すように、関連ノードの数がトグル点に等しいか質問する。関連ノードの数がトグル点に等しければ、タスク・スワツパ６３８　は、ブロック６７４に示すように、そのタスクのスワップ状態を補足し、ブロック６７６で示すように、次のタスクに進む。関連ノードの数がトグル点に等しくなければ（スワップ・カラン）？Ｏ）、タスクのスワップ状態は補足されず、タスク・スワツパは、ブロック６７６　で示すように、次のタスクの評価に進む。タスク・スワツパは次に、判断ブロック６７８　で示すように、そのタスクが評価すべき最後のタスクであったか質問する。最後のタスクが処理されていれば、タスク−スワツパ６３８　はその動作で終了するが、そうでなければ、プロセスは最後のタスクが処理されてし壕うまで各タスクに対して反復される。

スワツピング・プロセスには次の性質がある。

１）すべてのタスクおよびトグル点は独立に処理される。

２）スワップ状態は、利用可能な関連ノードの数によって変シ、それらノードのアイデンテイによって変るものではない。

３）プロセスは可逆的であシ、径路に無関係である。タスクのスワップ状態はシステム状態にヨッてのみ変シ、その状態の前に存在した遷移の順序によって変るものではない。

タスク・リアロケータ６４０　の動作はタスク・スワツパのプロセスに非常に似ている。しかし、スワツピングとリアロケーションの間には二つの大きな相違がある。

１）リアロケーションでは、必らずしもすべてのノードが特定の状態変化に全く同様に応答することはない。たとえば１．所定のノードが除外されていれば、第２のノードを除外したノードのタスクを行うのに要求することができるが、残シのノードはどんな場合でも行動を起さない。それ故、各ノードを独立に処理する必要がある。

２）活動的タスクを再割当てするためには、所定ノードと各タスクとの関連に注目するだけでは不充分である。どの動作ノードが遷移に応じてタスクを行いまたは中断するかを決めるには一つの方法が必要である。これは各タスクを優先権の所定の順序で各ノードに割当てることによシ行われる。

所定のタスク・ノード対に対する「好適セット」は所定のタスクの実行に対して他よシも好適なノードの組合せと定義される。アプリケーション設計者は各タスク・ノード対に対して好適な組合せであるシステム・ノードのサブセットを規定することができる。各タスク拳ノード対の割当て状態は現在のシステム状態にある好適ノードの数によってのみ決まる。状態遷移が発生すると、新しいシステム状態を調べて動作セット内の好適ノードの数が各タスクの割当て状態を変化させることになるか確認する。変化を必要とする好適ノードの数はそのタスクおよびノードに対するトグル値と規定される。一般に、どんな数のトグル値をもタスク対に対して規定することができる。ただし、システム再構成に必要な柔軟性を与えるには各タスク・ノード対に対して必要なトグル値はたソ一つである。

再割当てプロセスは、第５０図のブロック６８０で示すように、最初のタスクから始まる。タスク・リアロケータ６４０は、ブロック６８２で示すように、第１のロード（ＮＩＤ　＝Ｏ）で始動する。タスク・リアロケータ６４０　は、判断ブロック６８４で示すように、除外されたノード（ｉ）が評価中のノード（ロ）よシそのタスクに対して好適なノードであるか質問する。除外されたノード（ｉ）がそのタスクに対して評価中のノード（ｎ）よシ好適なノードでなければ、タスク・リアロケータは、ブロック６９２および判断ブロック６９４　で示すように、このノードが次のノードよシ好適なノードであるかの決定に進む。除外されたノードがそのタスクの実行に対して好適なノードであれば、タスク・リアロケータは、ブロック６８６　で示すように、その状態にある好適ノードの数がトグル点に等しい（割当てカラン）＝Ｏ）か質問する。好適ノードの数がトグル点に等しければ、ブロック６８８　で示すように、ノード（ｎ）に対する割当て状態が補足され、等しくなければ、ブロック６９０　で示すように、割当て状態が補足されず、そのタスク識別−ド組合せに対する割当てカウントが減らされる。割当てカウントを減らしてから、タスク・リアロケータは、ブロック６９２で示すように、ポインタを次のノードに進め、判断ブロック６９４で示すように、ノードがシステム内の最後のノードであるか質問する。最後のノードでなければ、タスク・リアロケータは、最後のノードが評価されるまで各ノードに対するプロセスを反復し、次いでタスク・リアロケータは、ブロック６９６　で示すように、次のタスクに向い、判断ブロック６９８で示すように、すべてのタスク・ノード組合せが評価されてしまうまでこのプロセスを反復する。

タスク・リアロケータの動作はすべてのタスク、ノード、およびトグル点を独立に処理する。割当て状態は利用可能な好適ノードの数によって決まシ、これらノードのアイデンテイによって決まるのではない。また、タスク・リアロケータの動作は可逆的であって径路に無関係である。たとえば、デルタ・システム状態ベクトルがノードが動作セットに再採用されていることを示していれば、タスク・アロケータの動作はオスク・スワツパの動作と並行し、ブロック６８０で示すように、割当てカウントを減らすのではなく増加させ、割当てカウントの増加は、判断ブロック６７６で示す、その状態にある好適ノードの数がトグル点に等しいか否かを質問して確認する前に行われる。タスク・ノード対の割当て状態はシステム状態によってのみ決まシ、そのタスクの前に存在した遷移の状態によって決まるのではない。

タスク状態マツチャ６４２の動作について第５１図を参照して説明することにする。ノードが欠陥挙動のため動作セットから除外されると、アプリケーション・タスクのそのノードに関する実行を禁止するのが望ましい。しかし、除外したノードに関する診断タスクの包括的セットを設けるのが望ましい。

上述のスワツピングおよび割当てのプロセスはこの機能を支援することができない。それ故、タスク・セット全体を二つの互いに排他的なセット、すなわち包含タスク会セットおよび除外タスク・セットに分割する。包含タスク・セットのタスクは動作セットに含まれているノードに関してのみ活動することができる。同様に、除外タスク会セットのタスクは動作セットから除外されたノードにおいてのみ活動することができる。

所定のタスクの包含・除外の状態が所定のノードの包含・除外の状態に適合、すれば、そのノードに関するその作動状態はスワツピングおよび割当てのプロセスによって決まる。逆に、タスクの状態がノードの状態に適合しなければ、そのタスクはスワツピングおよび再割当てのプロセスの結果とは無関係にそのノードに関する実行を禁止される。

今度は第５１図を参照すると、タスク適合プロセスは、ブロック７００　で示すように、タスク・ポインタを第１のタスクに設定することにょシ始まる。

タスク状態マツチャ６４２は次に、ブロック７０２で示すように、ポインタを第１ノード（ＮＩＤ＝Ｏ）に設定する。タスク状態マツチャは次に、システム状態ベクトルで示したように、タスクの包含・除外状態がノードの包含、除外状態と適合しているか確認する。これはブロック７０４に示しであるが、このブロックではｒＴＩＤ−ＮＩＤの適合はＲＯＭ　４２４に含まれている関連ベクトル七システム状態ベクトルのピッ）　ｒｎＪとの排他的ＯＲに等しい」と言っている。

タスク状態マツチャは次に、ブロック７−０６および判断ブロック７０８　に示すように、すべてのノードが所定のタスクに関して評価されてしまうまで次のノードを処理する。タスク状態マツチャ６４２は次に、ブロック７１０　で示すように、タスク・ポインタを次のタスクに向け、判断ブロック７１２　で示すように、最後のタスクが評価されてしまうまですべてのタスクを反復して評価する。

すべてのタスク・ノード組合せが評価されてしまったら、タスク状態マツチャの動作は完了する。

タスク拳コミュニケータタスク・コミュニケータ４４の詳細を第５２図に示す。しかし、タスク・コミュニケータの動作を第５３図から第７０図までに示すサブシステム図および流れ図を参照して詳細に説明することにする。

タスク拳コミュニケータ４４は動作コントローラ１２とその関連のアプリケーション・プロセッサ１４との間のすべての通信を統合し、支援する。要求があると、タスク・コミュニケータ４４はアプリケーション争プロセッサ１４に実行すべき次のタスクのタスク識別コード（ＴＩＤ）を与え、所要人力データ値を供給する。タスク・コミュニケータはアプリケーション・プロセッサ１４から発生されたすべての出力データを受取シ、これを送信機３０を経由してシステム内の他のすべてのノードに放送する。アプリケーション・プロセッサ１４がエラー状態を報告スルト、タスク・コミュニケータ４４はエラー状態をボータ３８を通して障害寛容器３６に報告する。

タスクがアプリケーション・プロセッサ１４にょシ完了すると、タスク・コミュニケータはアプリケーション・プロセッサ１４が発生した分岐条件（ＢＣ）の値を受取り、これを次のタスク完了・開始メツセージで他のすべてのノードに放送する。

タスク・コミュニケータ４４はスケジューラ４０、ボータ３８、送信機３０、およびアプリケーション・プロセッサ１４と直接通信する。タスク・コミュニケータは、アプリケーション・プロセッサ１４が使用する入力データの予想順序およびアプリケーション・プロセッサが発生する出力データの予想順序をタスク別に掲げたテーブルを備えている。スケジューラ４０からのメツセージを使用して、タスク・コミュニケータはすべてのノードによシ現在実行されている現在のタスクのトラックを確保し、この情報を使用して現在処理されているメツセージに関係しているボータに情報を供給する。

第５２図を参照すると、タスク・コミュニケータはボータ・インターフェース７１４、スケジューラ−インターフェース７１６、および送信機インターフェース７１８を備えている。ボータ争インターフェース７１４はボータ３８との接続を行い、選出されたデータおよび異常ベクトルおよびメツセージ形式コード（ＭＴ）、および選出されたデータのデータ識別コード（ＤＩＤ）　　を受取る。ボータはまたそこからデータを受取ったノードのノード識別コード（ＮＩＤ）を送出し、タスク・コミュニケータが受取ったデータのＤＩＤを識別することを要求する。ボータ番インターフェース７１４はまたボータ・インターフェース７１４　と通信しているエラー・レボータからエラー報告を受取る。

ボータ・インター７エース７１４　はボータ３８からデータ、および関連するＭＴコードおよびＤＩＤコードを受取る。格納データ・コントロール７２０はデータをデータ記憶装置に伝え、ここにデータがＭＴコードおよびＤＩＤ　コード、および文脈ビット記憶装置７３２　からアドレスとして取った文脈ビットの補数を使用して格納される。データ記憶装置は障害寛容ＲＡＭを参照して前に説明し且つ第１６図に示したものと同じ方法で分割されている。文脈ビット記憶装置から取った文脈ビットはデータをデータ記憶装置４２の適切な区画に格納するのに使用される。ＤＩＤ要求ハンドラ７２４はボータｅインターフェース７１４　を通してボータ３８からＤＩＤ要求をノード識別コード（ＮＩＤ）　　の形で受取る。ＤＩＤ要求ハンドラ７２４　はポインタ・テーブル７２６にアクセスし、ボータ３８にボータが現在処理しているはずである予想データのアイデンティティ（ＤＩＤ）を送シ返す。ボータが予想ＤＩＤと現在処理されているデータ値のＤＩＤとの間の不一致を検出すると、エラー・フラグを設定する。

スケジューラ７１６　はスケジューラ４０から終結したタスクの識別子、開始したタスクの識別子、ノードの識別子、およびスケジューラによシ選択された次のタスクを受取る。タスク終結レコーダ７３０は文脈ビット記憶装置７３２の文脈ビットをはじき出して終結したと報告されたタスクのＤＩＤを出力する。タスク終結レコーダ７３０　はまたＮｕｄａｔビット記憶装置７２２　にＮＵＤＡＴビットを設定し、ボータにそれを発生したタスクが終結してからのそのＤＩＤに対する最初の要求となる同じＤＩＤを要求する次の時間を示す。タスク終結レコーダ１３０　はまた終結したタスクの出力ＤＩＤに対するデータ記憶装置４２に格納されているすべての異常のＯＲを取シこれらを異常エラー・レジスタ７３４　に格納する。

タスク開始レコーダ７３６　は、スケジューラ・インターフェース７１６　　からシステム内のノードによる新しいタスクの開始を示すメツセージを受取ると直ちに、ポインタ・テーブル７２６　にアクセスし、ポインタΦテーブルに格納されているアドレスがそのノードが先行タスクを完了していることを示すヌルＤＩＤを指しているか確認する。ポインタ・テーブル７２６　に格納されているアドレスがヌルＤＩＤを指していなければ、タスク開始レコーダはシーケンス・エラー・レジスタに格納されているノードに対してシーケンス・エラー・フラグを設定することになる。このチェックを完了してから、タスク開始レコーダ７３６　は開始したタスクのタスク識別コード（ＴＩＤ）を備えているＤＩＤリストア２８　のポインタにアクセスし、ポインタ・テーブル７２６にあるそのタスクの最初のＤＩＤに対するア・ドレスを格納する。次回タスク・レコーダ７４０は次回タスク・レジスタ７４２　の中のスケジューラから受取った次のタスクを格納する。

ＡＰ入カバンドラ７４４　は次回タスク・レジスタ７４２　に格納されている次のタスクの識別子をＡＰ入力ＰＩＦＯ７４６に転送する。ＡＰ入力Ｉ・ンドラは次にポインタ、およびタスク識別コード（ＴＩＤ）を備えているＤＩＤリストア２８　にアクセスし、そのタスクの実行に必要なデータ記憶装置４２に格納されているデータのアドレスを得る。このデータをＡＰ入力ＰＩＦ０７４６　に格納する。アプリケーション・プロセッサ１４が次のタスクの実行を始める準備が整っていると、タスク識別コードおよびタスクの実行に必要なデータについてＡＰ入力ＰＩＦＯ７４６にアクセスする。ＡＰ入力ノ−ンドラ７４４はまた送信機インターフェース７１８　を通して送信機３０に送られるタスク完了・開始メツセージを発生するが、このメツセージはシステム内の他のすべてのノードに伝達される。アプリケーション・プロセッサ１４が所定のタスクを実行すると、タスクの実行によシ得られるデータがＡＰ出力ＰＩＦ０７４８　　に格納される。アプリケーション出力ノーンドラ７５０はポインタおよびＤＩＤリストア２８にアクセスし、アプリケーション・プロセッサによシ発生された各データ値に対するメツセージ形式コード（ＭＴ）　　およびデータ識別コード（ＤＩＤ）を得る。各メツセージ形式コード、およびデータ識別コードはデータと共に送信機インターフェース７１８　に伝達され、送信機３゜によシステム状態他のナベてのノードに伝達される。アプリケーション・プロセッサ１４が発生する最後の語はアプリケーションのプロセッサ報告エラー　（ＡＰＩ４ｇ）ベクトルを含んでいるが、このベクトルはＡＰＲＥレジスタ７５２に格納される。アプリケーション・プロセッサ１４が発生する最後の語は分岐条件ビットをも含んでいるが、これはＡＰ入カバンドラ７４４　が発生する次のタスク完了・開始メツセージに含まれることになっている。この分岐条件は送信機インターフェース７１８　がＡＰ入カバンドラ７４４　からタスク完了・開始メツセージの残シを受取るまで送信機インターフェース１１８　に格納されている。

エラー・レボ−タフ５４　は異常エラー・ベクトルを異常エラｍ−レジスタ７３４　から、シーケンス・エラー〇ベクトルをシーケンス・エラー・レジスタ７３Ｂ　から、およびアプリケーション・プロセッサ報告エラー・ベクトルをＡＰＲＥエラー・レジスタ７５２　　から、受取ってこれらエラー・ベクトルをボータ・インターフェース７１４　を介してボータ３８に伝達する。調停器７５６はタスク・；ミュニケータ内の各種モジュールの動作を調停する。

格納データ・コントロールの動作について第５３図、および第５４図に示す流れ図に関連して説明することにする。第５３図に一層明瞭に示しであるとおり、格納データ・コントロールは選出データおよび異常をボータから受取る。この情報と共に、メツセージ形式コード（ＭＴ）およびデータＲ別コード（ＤＩＤ）をも受取る。第５３図を参照すれば、格納データ・コントロールの動作は、判断ブロック７６０で示すように、ボータ・インター７エース７１４から受取った最初のバイトを評価することにょシ始まる。

ブロック７６０　に示すように、最初のバイトが全部０から成るものであると、利用できるデータが存在せず、格納データ・コントロール７２０　はＯでない最初のバイトを受取るまで待つ。０でない最初のバイトを受取ったら、格納データ・コントロールγ２゜は、判断ブロック７６２に示すように、データがシステム状態ベクトルであるか質問する。データがシステム状態ベクトルでなければ、格納データ・コントロール７２０は、ブロック７６４で示すように、ＭＴおよびＤＩＤのコードを使用して、文脈ビットの状態について文脈ビット記憶装置７３２にアクセスする。格納データ・コントロール７２０は次に、ブロック７６６　に示すように、文脈ビットを補足し、ブロック７６８　で、補足された文脈ビットおよびＯに等しく設定された異常ピッ）（ＤＥＶ＝０）を使用シテ、アドレスを発生する。しかし、データがシステム状態ベクトルであれば、格納データ・コントロール７２０は、ブロック７７０で示すように、ＴＯＣビットについてＴＯＣビット・スリップ７０ツブ７５８にアクセスし、ブロック７７２で示すように、ＴＯＣビットを文脈ビットとして使用し且つ異常ビットを０に設定してアドレスを発生する。ＴＯＣビットはシステム状態ベクトルが発生された原子期間を標示する。ＴＯＣビット・７リツプフロツフ７５８は原子期間（ＡＰ）　信号の立上シ縁に応じて新しい各原子期間の始まシを標示するように補足される。

いずれの場合でも、アドレスが発生してから、格納データ・コントロール７２０　　ハ、ブロック７７４テ示すように、選出データをデータ記憶装置４２の発生されたアドレスに格納する。格納データ・コントロール７２０　　は次に、ブロック７７６に示すように１異常ヒツトを１に等設定し、文脈ビットを０に等しく設定するととによシ異常ベクトルに対するアトブロック７７８　で示すように、異常ベクトルをデータ記憶装置４２に格納する。

先に示したとおり、システム状態の変化は原子期間の境界でのみ発生する。それ故、現在のシステム状態ベクトルを必要とするタスクの場合、このベクトルはデータ記憶装置４２に格納され、ＴＯＣビットは現在のシステム状態が格納されている場所を滝川される各ＤＩＤ　に対する文脈ビットを格納し、文脈ビットはデータ・異常ＲＡＭに格納されているどのデータが現在のデータであシ、マたそのデータのすべてのデータが受取られているのではないのでどのデータが未決定または不完全であるかを識別する。

終結した各タスクの出力ＤＩＤ　に対する文脈ビット記憶装置７３２　に入っている文脈ビットは特定のタスクを終結するスケジューラからのメツセージに応じてタスク終結レコーダ７３０　　によシ補足される。

タスク終結レコーダは、今後説明するように終結したタスクから生ずるすべてのＤＩＤを補足する。

ＤＩＤ要求ハンドラ７２４　はボータ・インターフェース７１４　から、そのデータがボータ３８により処理されておシ、ボータが現在処理されているデータのデータ識別（ＤＩＤ）コードを要求していることを示している、ノードの識別子すなわちＮＩＤを受取シ、このＤＩＤ　コードに埋込まれているＮＵＤＡＴビットはボータ３８にボータがそのデータを発生したタスクの終結以来この特定のＤＩＤを要求した最初のときであるか否かを告げる。

第５５図に示すとおり、ＤＩＤ　要求ハンドラはＮＩＤを備えているポインタ・テーブル７２６にアドレスしてポインタの一部であるＤＩＤリス）　８３０および第５２図に示すＤＩＤリストア２８　を指すポインタを得る。ＤＩＤ　要求ハンドラは次にＤＩＤリス）　８３０にアドレスしてＤＩＤ　　リス）　８３０からデータ識別コードＤＩＤを得る。ＤＩＤ要求ハンドラは次にＮｕｄａｔビット記憶装置７２２にアクセスし、ＤＩＤを持つｎｕｄ　ａ　ｔ　ビットをボータ・インターフェース７１４　を通してボータ３８に伝達して戻す。

今度は第５６図を参照すると、ＤＩＤ　要求ハンドラの動作は、ブロック７８０　　で示すように、ＮＩＤを備えているポインタ・テーブルにアクセスしてＤＩＤリスト８３０　を指すポインタを得ることから始まる。ＤＩＤ要求ハンドラは次に、ブロック７８２に示すように、ＤＩＤ　リス）　８３０　　にアクセスしてボークによシ現在処理されているデータのＤＩＤを得る。ＤＩＤ要求ハンドラ７２４　は次に、　ブロック７８４に示すように、Ｎｕｄａｔビット記憶装置７２２にアクセスしてＮＵＤＡＴ　　ビットを得る。ＤＩＤ要求ハンドラは次にブロック７８６で示すようにＮＵＤＡＴ　ビットをＤＩＤ　に付加し、ＤＩＤ　　およびＮＵＤＡＴ　　ビットをボータ・インター７エース７１４に伝える。ＤＩＤ　要求ハンドラは次に、ブロック７８８に示すように、ＮＵＤＡＴ　ビットをＯに設定し、判断ブロック７９０　に示すように、ＤＩＤ　　がヌル・タスクであったか質問する。ヌル・タスクでなかったならば、ＤＩＤ要求ハンドラは、ブロック７９２　で示すように、ポインタ番テーブルγ２６　の中ノボインタをそのノードに対する次のＤＩＤまで進める。

しかし、ＤＩＤがヌルＤＩＤであった場合には、ＤＩＤ要求ハンドラはポインタ・テーブル７２６　のポインタを進めずにそのタスクに対するすべてのＤＩＤが既に伝達されていることを示すヌルＤＩＤのままにしておく。

ＤＩＤ’ｌストに格納されているデータは第６５図に示すように二つの８ビット −バイトを備えている。

最初のバイトは３つのフィールド、データ値マスク、データ形式、およびメツセージ形式、から構成されている。第２のバイトはデータの実際のデータ識別コード（ＤＩＤ）である。この情報はＡＰ出カバンドラ７５０によシアプリケーション・プロセッサ１４が発生した伝達されたデータ値メツセージ内のデータに名札を付けるのに使用される６ＤＩＤ　ｉ求ハンドラ７２４は、第６６図に示すように、ＮＵＤＡＴビットをデータ・リスト８３０　から得た最初のバイトの最上位ビットの位置（ＭＳＢ）に付加する。データ値マスクの最上位ビットはボータ３８には不必要だからである。

タスク終結レコーダ７３０　　の動作を第５７図に示すブロック図および第５８図に示す流れ図に関連して説明する。最初に第５７図に示す流れ図を参照して、タスク終結、レコーダ７３０　が終結したタスクのタスク識別コード（ＴＩＤ）　　をスケジューラ・インターフェース７１６　から受取る。タスク終結レコーダ７３０　は次にポインタの一部であ′る出力ポインタ・リストア９４　および第５２図に示すＤＩＤリストア２８にアクセスする。出力ポインタ・リストア９４　およびＤＩＤリスト８３０は図示しない共通のオフボードＲＯＭ　で実現されている。タスク終結レコーダ７３０は次に文脈ビット記憶装置７３２およびＮｕｄａｔビット記憶装置７２２にアクセスし、文脈ビットを補足し、終結タスクから生じたすべてのＤＩＤに対するＮＵＤＡＴビットを設定する。タスク終結レコーダ７３０は次に、ＤＩＤ　リスト８３０から得られたアドレスを使用して、終結タスクのＤＩＤに関連するあらゆる異常ベクトルについてデータ記憶装置４２に格納されている異常ベクトルにアクセスする。次いでこれらすべての異常ベクトルと異常エラー・レジスタ７３４　の内容とのＯＲを取る。

タスク終結レコーダ７３０の動作を第５８図に示す流れ図を参照して説明することにする。

タスク終結レコーダ７３０の動作は、ブロック７９６に示すように、終結すべきタスクが存在するか質問することにより始まる。示したように、状態語の２ビツトが０であることによシ、終結すべきタスクが存在しなければ、タスク終結レコーダ７３０は何もしない。しかし、状態語のいずれかのピントが１であれば、タスク終結レコーダは、判断ブロック７９８で示すように、状態語が１０であるが質問する。この状態語の最下位ビットはタスクがヌル・タスクであるか否かを示すものであり、ヌル・タスクならばタスク終結レコーダ７３０はそれ以上処置を行う必要はない。ヌル・タスクでなければ、タスク終結レコーダ７３０は出力ポインタ・リストア９４にアクセスして、ブロック８００に示すように、ＤＩＤリスト８３０を指すポインタを得る。タスク終結レコーダは次に、ブロック８０２で示すように、状態語の最下位ビットを１に設定する。タスク終結レコーダ７３０は次にポインタでＤＩＤリスト８３０　にアクセスし、ブロック８０４で示すように、ＤＩＤが、そのタスクの最後のＤＩＤ　であることを示す、ヌルＤＩＤであるか質問する。ヌルＤＩＤであれば、タスク終結レコーダ７３０は、ブロック８１４　で示すように、状態語の最下位ビットを０に設定し、終結タスクの処理を終る。しかし、ＤＩＤがヌルＤＩＤでなければ、タスク終結レコーダは、ブロック８０６で示すように、そのＤＩＤに対するｎｕｄａｔビットを１に設定し、ブロック８０８で示すように、文脈ビット記憶装置に入っているそのＤＩＤに対する文脈ビットを補足する。タスク終結コントロール７３６は次に、ブロック８１０で示すように、データ記憶装置４２に格納されている異常のＯＲを取り、ＯＲの値全異常エラー・レジスタ７３４　に格納して異常を発生し、これはエラー・レボ−タフ５４にょシボータ・インターフェース７１４　に伝達される。ポインタ・テーブル７２６のタスク終結ポインタをブロック８１２　で示すように歩進させる。

タスク開始レコーダ７３６　　の動作を第５９図に示すブロック図および第６０図の流れ図を参照して説明することにする。最初に第５９図のブロック図を参照すると、タスク開始レコーダ７３６　　は開始したタスクのＴＩＤおよびＮＩＤｔ−受取るが、これらはスケジューラ４０から受取るタスク開始メツセージに入っている。タスク開始レコーダ７３６　　は先ずポインターテーブル７２６　をチェックして現在のＤＩＤがスルＤＩＤであるか否か確認する。ヌルＤＩＤでなければ、シーケンス・エラーを識別されたノードに対してシーケンス・エラー・レジスタ７３８　に記録する。このチェックは新しいタスクを先行タスクからのすべてのデータを受取ってしまうまでは開始すべきでないため行われる。タスク開始レコーダ７３６　は次にＴＩＤを用いて出力ポインタ・リストア９４にアクセスすることによシボインタ・テーブル７２６を更新し、そのタスクの実行から生ずる最初のＤＩＤに対するＤＩＤリスト８３０を指すポインタを得る。タスク開始レコーダ７３６は次に出力ポインタ・リストア９４　から得たポインタをポインタ・テーブル７２６に格納する。

今度は第６０図を参照すると、タスク開始レコーダ７３６の動作は、ブロック８１６で示すように、ポインターテーブル７２６　にアクセス、してＤＩＤリスト８３０　を指すポインタを得ることから始まる。

タスク開始レコーダは次に、ブロック８１８で示すように、ポインタを用いてＤＩＤリスト８３０にアクセスし、そのノードに対して現在格納されているＤＩＤを得る。こうして、判断ブロック８２０　で示すように、ＤＩＤ　がヌルＤＩＤであるか質問する。

スルＤＩＤでなければ、タスク開始レコーダは、ブロック８２６　で示すように、スケジューリング・エラーをシーケンス−エラー・レジスタ７３８　に記録する。しかし、ＤＩＤタスクがヌルＤＩＤであれば、タスク開始レコーダは、ブロック８２２　で示すように、開始したタスクのＴＩＤを用いて出力ポインタ・リストア９４　　にアクセスし、ＤＩＤリスト８３０のそのタスクの最初のＤＩＤを指すポインタを得る。

次に、ブロック８２４　で示すように、最初のＤＩＤをそのノードに対するポインタ・テーブル７２６　に書込み、開始したタスクの記録を完了する。

ＡＰ入カバンドラ７４４の詳細を第６１図に示すブロック図および第６２図に示す流れ図に関連して説明することにする。ＡＰ入カバンドラ７４４は次のタスクの実行のためアプリケーション・プロセッサ１４が必要とする入力データ値を識別し、呼出す。

アプリケーション・プロセッサ１４の観点から、タスク・コミュニケータ４４は入力ファイルを備えた記憶装置のように動作する。数値は現在のＴＩＤに対して入力ＴＩＤ−ＤＩＤマツピング・リストにより指定される所定の順序で提供される。前述のように、各入力データ・マツピング語のＤＩＤはデータ値マスク（ＤＶＭ）、データ形式（、ＤＴ）、メツセージ形式（ＭＴ）、およびデータ記憶装置４２の中のデータ値の開始アドレスである実際のデータ識別コード（ＤＩＤ）　　から構成されている。アドレスは各アドレスがデータ記憶装置本２の二つの異なる場所を指すので不確定である。特定のＤＩＤに対する文脈ビットは現在の入力データを持っている場所を規定する。

ＡＰＰ力データ・ハンドラ７４４　はデータ記憶装置４２から現在の各データ値を呼出し、これをＡＰ入力ＰＩＦ０７４６にロードする。アプリケーション・プロセッサ１４からの要求があると直ちに、ＡＰ入力ＦＩＦＯ７４６からのデータ値はアプリケーション争プロセッサに転送される。このサイクルはすべての入力データ値が転送されてしまうまで反復される。今度は第６１図を参照すると、ＡＰ入カバンドラ７４４　は入力ポインタ、リスト８２Ｂ　、ＤＩＤリス）８３０、ＫＰ入カポインタ拳テーブル８３２、およびＡＰ入力ＰＩＦ０７４６と対話する。入力ポインタ・リスト８２８　およびＤＩＤ　リスト８３０は第５２図に示すポインタ・ＤＩＤ　リストア２８　の一部であシ、オフボードＲＯＭ　（図示せず）内に実現されている。ＡＰ入カバンドラ７４４は次のタスクを次回タスク・レジスタ７４２から受取シ、入力ポインタ・リスト８２８、ＤＩＤ　リスト８３０、およびＡＰ入入水ポインタテーブル８３２　を用いて、データ記憶装置４２からタスクの実行に必要なデータを抜き出す。この情報はＡＰ入力ＰＩＦＯ７４６に格納され、アプリケーション・プロセッサ１４が利用できるようにされる。ＡＰ入カッ・ンドラ７４４はまだ完了したタスクおよびそれ自身のアプリケーション・プロセッサ１４によシ開始されることになっている次のタスクを識別するタスク完了・開始メツセージを発生する。ＡＰ入カバンドラ７４４はまたスケジューラ拳インターフェース７１６　を通してスケジューラ４０に送られるタスク解放メツセージを発生する。

ＴＯＣビット・７リツプ７０ツブ７５８の内容はＡＰ入カポインタΦテーブル８３２に格納されているアドレスに付加され、現在のシステム状態を識別する。文脈ビット記憶装置７３２　　の内容はアドレスに付加されてデータ記憶装置４２に格納されている現在のデータ値を識別する。入力ポインタ・リスト８２８　に入っている各タスクのマツピング・リストはヌルＤＩＤ　　によシ終結したＤＩＤの隣接゛グループから構成されている。各マツピング・リストノ始メを指すポインタは入力ポインタ・リスト８２８　に格納され、タスクのＴＩＤによシアドレスされる。ヌルＤＩＤ　　は　ＤＩＤリスト８３０の中のＤＩＤ（Ｄ隣接グループの終シを識別するのに使用される。

第６２図の流れ図を参照して、ＡＰ入カバンドラ７４４は最初に、判断ブロック８３４で示すように、これがこの亜原子期間に実行すべき最初のタスクであるか質問する。これは所定の亜原子期間内には一つのタスクしか開始することができないからである。

これが最初のタスクでなければ、ＡＰ入カバンドラ７４４　は次の亜原子期間が始まるまで待つ。それが最初のタスクでおる場合には、ＡＰ入カバンドラ７４４は、判断ブロック８３６　で示すように、次のタスクが最後のＣＳメツセージまたはリセット命令または再構成命令以後受取った新しいタスクであるか質問する。タスクが新しいタスクでなければ、ＡＰ入カバンドラ７４４　は新しいタスクを受取るまで待つ。しかし、タスクが新しいタスクでオシ、シかも亜原子期間の最初のタスクであれば、ＡＰ入カバンドラ７４４は、ブロック８３８で示すように、タスク完了・開始メツセージを送信機インターフェース７１８　に送る。このタスク完了・開始メツセージは続いて送信機３０によシシステム内の他のすべてのノードに伝達される。ＡＰ入カバンドラ７４４　は次に、判断ブロック８４０　で示すように、タスク完了・開始メツセージの伝達が開始されたか質問する。

タスク完了・開始メツセージの伝達が、システム状態メツセージまたはタスク対話整合性メツセージのよう々時間依存メツセージの伝達のため、遅れる場合には、ＡＰ入カバンドラはタスク完了・開始メツセージの伝達が始まるまで待つ。タスク完了・開始メツセージの伝達が始まってから、ＡＰ人力／・ンドラ７４４　は、ブロック８４２で示すように、タスク解放メツセージをスケジューラ・インター７エース７１６　を通してスケジューラ４０に送シ、タスク争コミュニケータが次の所定のタスクを開始タスクとして識別するタスク完了・開始メツセージを伝達してしまったことを知らせる。ＡＰ人人力／Ｓトドラフ４４次に、ブロック８４４　で示すように、次回タスク・レジスタ７４２　　からの次のタスクを転送してこれを現在のタスクとしてアプリケーション入力ポインタ・テーブルに格納する。ＡＰ大入力１ンドラは次に、ブロック８４６で示すように、現在のタスクのＴＩＤをＡＰ大入力ＩＦ０７４６　に書き込み、アプリケーション・プロセッサ１４にタスクのアイデンティティを知らせる。次に現在のタスクを使用して、ＡＰ入カバンドラ７４４　は、ブロック８４８　で示すように、ＤＩＤ　ポインタを入カポインタ奉リスト８２８から得てこれをＡＰ入入水ポインタテーブル８３２　に格納する。ＤＩＤ　ポインタを使用して、ＡＰ入カバンドラは次に、ブロック８５０　で示すように、データ・異常ＲＡＭ　に入っているＤＩＤの゛′アドレスを得、このアドレスをＡＰ入入水ポインタテーブルに格納する。ＡＰ入カバンドラ７４４　は次に、判断ブロック８５２で示すように、ＤＩＤがヌルＤＩＤであるか質問する。ＤＩＤがタスクの最後のＤＩＤであることを示すヌルＤＩＤ　であれば、ＡＰ入カバンドラの動作は完了する。その他の場合には、ＡＰ入カバンドラ７４４は、判断ブロック８５４で示すように、ＤＩＤがシステム状態ベクトルであるか質問する。

ＤＩＤがシステム状態ベクトルであれば、ＡＰ入カバンドラ７４４　　は、ブロック８６６　で示すように、ＴＯＣビット・スリップ７０ツブにアクセスし、データ記憶装置４２にアドレスする文脈ビットの代シに使用するＴＯＣビットを得る。ＤＩＤがヌルＤＩＤテモなくシステム状態ベクトルでもない場合には、ＡＰ入カバンドラはブロック８５６　で示すように文脈ビットについて文脈ビット記憶装置にアクセスし、この文脈ビットをＡＰ入入水ポインタテーブル内のアドレスに付加する。ＤＩＤリスト８３０の中のアドレスおよび文脈ビットまたはＴＯＣビット・フリップ７０ツブからのＴＯＣビットを使用して、ＡＰ入カバンドラは、ブロック８５８　で示すように、データ記憶装置４２にアクセスし、最初の二つのデータ・バイトをＡＰ大入力ＩＦＯに書き込む。ＡＰ入カバンドラは次に、ブロック８６０　で示すように、メツセージ形式が、２バイトではなく４バイトを備えているメツセージ形式２またはメツセージ形式３のいずれであるか質問する。メツセージ形式がメツセージ形式２または３のいずれでもなければ、ＡＰ入カバンドラ７４４は、ブロック８６４で示すように、ＤＩＤポインタを求め、求めたＤＩＤポインタ′ｔ−ＡＰ入入水ポインタテーブルに格納する。メツセージ形式がメツセージ形式２またはメツセージ形式３のいずれかであれば、ＡＰ入カバンドラ７４４は、ブロック８６２で示すように、データ記憶装置４２に再びアドレスし、最後の２データーバイトをＡＰ大入力ＩＦＯ７４６に書込み、ブロック８６４に示すようにＤＩＤポインタを進める。ＡＰ入カバ／ドラ７４４はこのプロセスを反復してアプリケーション・プロセッサ１４がタスクを実行するのに必要なすべてのデータ値を得る。前に説明したとおシ、タスクの最後のＤＩＤはヌルＤＩＤである。このヌルＤＩＤ　は、判断ブロック８５２　で示すように、ＡＰ入カバンドラ７４４によ＃）認識され、ＡＰ大入力ＩＦＯ７４６のローディングを終結する。

ＡＰ出カバンドラ７５０について第６３図に示すブロック図および第６４図に示す流れ図に関連して説明する。ＡＰ出カバンドラ７５０　はアプリケーション・プロセッサ１４が発生した出力データ値を受取シ、処理してこれをシステム内のすべてのノードに伝達する。入力値の場合のように、出力値は現在のタスクに対して出力ＴＩＤ−ＤＩＤマツピング・リストによシ指定された所定の順序で期待される。

データ値をアプリケーション・プロセッサ１４から受取ると、ＡＰ出カバンドラ７５０はこれをそのＭＴコードおよびＤＩＤコードと共に出力データ・レジスタにロードし、データ値メツセージの放送を開始する。各タスクに対する最後の値を出力してから、アプリケーション・プロセッサはアプリケーション−プロセッサ報告エラー−ベクトル（ＡＰＲＥ）および分岐条件（ＢＣ）を組合せて発生する。アプリケーション・プロセッサ報告エラーの部分は前のアプリケーション・プロセッサ報告エラー・データｉ−にエラー・レボ−タフ５４　を通してボータ３８に報告するのに使用される。分岐条件（ＢＣ）はＡＰ入カバンドラ７４４　によシ発生された次のタスク完了・開始メツセージの一部として使用される。

今度は第６３図を参照すると、ＡＰ出カバンドラ７５０　はＡＰ入カバンドラがその動作を完了するのに応答する。ＡＰ出カバンドラ７５０は先ずポインターテーブル７２６にアクセスし、ＤＩＤリスト８３０に格納されている現在のタスクを識別するポインタを得る。このポインタはＤＩＤリスト８３０にアドレスしてデータ識別コード（ＤＩＤ）　、メツセージ形式（ＭＴ）、およびデータ値−タスク（ＤＶＭ）　　′ｉ＋″得るのに使用される。ＡＰ出カバンドラ７５０　は次にメツセージ形式ビットおよびデータ識別コードを出力データ・レジスタ８７０　に格納する。データがアプリケーション・プロセッサ１４によシ発生されるにつれて、データはＡＰ出力ＰＩＦ０７４８に格納される。データはＡＰ出力ＰＩＦ０７４Ｂから出力データ・レジスタ８７０に転送される。ＡＰ出カバンドラ７５０　は次に最初の２バイトを送信機インター７エース７１８　に伝達し、アプリケーション・プロセッサ報告エラー・ベクトルをＡＰＲＥＰジスタ７５２に伝達する。

ＡＰ出カバンドラ７５０　の動作の詳細を第６４図。

に示す流れ図を参照して説明することにする。ＡＰ入カバンドラ７４４　が初期データ値をＡＰ大入ＰＩＦＯ７４６にロードし終ったら、ＡＰ出カッ１ンドラ７５０は、ブロック８７２　で示すように、現在のＤＩＤポインタをポインターテーブル７２６　から読出し、これをＡＰ出出水ポインタテーブル８６８　に格納する。ＡＰ出カバンドラは次に、ブロック８７４で示すように、ポインタ・テーブル７２６　　に格納されているポインタを使用してＤＩＤリストにアクセスし、メツセージ形式およびＤＩＤを出力データ◆レジスタ８１０に格納する。メツセージ形式およびＤＩＤバイトをデータ出力レジスタ８７０に格納したら、ＡＰ出カバンドラ７５０は、判断ブロック８７６で示すように、アプリケージヨシ・プロセッサがデータ値をＡＰ出力ＰＩＦ０７４Ｂに入れ、たか否か質問する。ＡＰ出力ＰＩＦ０７４８　にデータが入れられていなければ、ＡＰ出カバンドラ７５０は、判断ブロック８７６　で示すように、データがアプリケーション・プロセッサ１４によシ発生されるまで待つ。アプリケーション・プロセッサ１４が発生したデータ値をＡＰ出力ＰＩＦ０７４８に格納してしまったら、ＡＰ出カバンドラ７５０　は、ブロック８７８　で示すように、データ値を出力データ・レジスタ８７０に転送する。ＡＰ出カバンドラ７５０　は次に、判断ブロック８８０に示すように、メツセージ形式がメツセージ形式２であるかまたはメツセージ形式３であるかを質問する。メツセージ形式がメツセージ形式２または３であれば、ＡＰ出カバンドラ７５０は、判断ブロック８８２　で示すように、データの最終の二つのデータ・バイトが発生し、ＡＰ出力ＰＩＦ０７４８　に入れられるまで待つ。アプリケーション・プロセッサが第２の二つのデータφバイトをＡＰ出力ＰＩＦ０７４８に書き込んでから、ＡＰ出カバンドラ７５０は、ブロック８８４で示すように、ＡＰ出力ＰＩＦ０７４８　　の内容を出力データ・レジスタ８７０に転送する。メツセージ形式がメツセージ形式ｏｔたは１であれば、または第２の二つのデータ・バイトが出力データ・レジスタ８７０　　に書込まれたら、ＡＰ出カバンドラは、判断ブロック８８６　で示すように、このデータのＤＩＤ　　がヌルＤＩＤであるか質問する。ＤＩＤ　　がヌルＤＩＤでなければ、ＡＰ出カバンドラ７５０は、ブロック８８８で示すように、メツセージ形式およびデータ識別コードのバイト（ＤＩＤ）を送信機インターフェース７１８に送る。

ＡＰ出カバンドラは次に、ブロック８９０で示すように、データ・バイトを送信機インターフェース７１８に送ってデータ値メツセージを完成する。ＡＰ出カバンドラ７５０は次に、ブロック８９２で示すように、ＡＰｉｔｌＰポインタ・テーブル８６８の中の現在のＤＩＤポインタを歩進させ、アプリケーション・プロセッサ１４が発生した次のデータ値の処理を反復する。先に示したとおシ、その特定のタスクに対するＤＩＤリスト８３０の最後のＤＩＤは、判断ブロック８８６に示すように、ＡＰ出カバンドラ７５０によって検出されることになるヌルＤＩＤでちる。ＤＩＤがアプリケーション・プロセッサ１４がそのタスクに対するすべてのデータ値を発生してしまったことを示スヌルＤＩＤであれば、アプリケーション・プロセッサはアプリケーション・プロセッサ報告エラーおよび後続タスクへの分岐条件（ＢＣ）ビットを備えている最後の、データ語を発生する。ＡＰ出カバンドラ７５０は、ブロック８９４で示すように、アプリケーション−プロセッサ報告エラー赤ベクトルｉ　ＡＰＲＥレジスタ７５２に格納し、判断ブロック８９６で示すように、分岐条件の処理に進む。ＡＰ出カバンドラは先ず分数条件ビットの大部分が０に等しいか質問する。分岐条件ビットの大部分がＯであれば、ＡＰ出カバンドラは、ブロック８９８で示すように、すべて０から成る分岐条件バイトラ発生するが、その他の場合、分岐条件バイトの大部分が１であれば、ＡＰ出カバンドラ７５０は、ブロック９００で示すように、連続する１から成る分岐条件バイトを発生する。最後に、ＡＰ出カバンドラ７５０は、ブロック９０２で示すように、分岐条件バイトを送信機インターフェース７１８に格納する。このバイトは完了タスクの分岐条件としてＡＰ入カバンドラ７４４が発生した次のタスク完了・開始メツセージが付加される。

タスク・コミュニケータ４４は、第６７図に示すように、再構成コントロール９０４、および第６９図に示すようにリセット−コントロール９０２を備えている。最初に第６７図を参照して、再構成コントロール９０４はアプリケーション・プロセッサ１４に割込みを伝達し、承認を待つ。承認後、再構成コントロール９０４　は出カバンドラ７５０およびその出力データ争レジスタ８７０、ＡＰ大入ＰＩＦ０７４６、ＡＰ出力ＨＩＦ０７４８、およびポインタ・　テーブル７２６を初期設定する。再構成コントロール９０４の動作を第６８図に示す流れ図に関し７て説明する。スケジューラ４０からの再構成要求に応じて、再構成コントロール９０４は、ブロック９０６で示したように、アプリケーション・プロセッサ１４に再構成割込みを行う。次に、ブロック９０８で示すように、出力データ争レジスタ８７０　をクリアすることによシ、送信機インターフェース７１８　　へのすべてのメツセージを中断する。再構成コントローラ９０４　は次に、判断ブロック９１０　で示すように、アプリケーション昏プロセッサ１４からの割込信号の承認を待つ。アプリケーション・プロセッサが割込みを承認してから、再構成コントロールは、ブロック９１２で示すように、ＡＰ大入ＦＩＦＯ７４６およびＡＰ出力Ｆ）ＦＯ７４Ｂをクリアし、ブロック９１４　で示すように、ポインタ・テーブル１２６　のすべてのポインタをヌルＤＩＤに設定する。入力および出力のＦＩＦＯがクリアされてから、再構成コントロールは、ブロック９１６　で示すように、ＡＰ入カバンドラ７６４を再始動し、ブロック９１８　で示すように、タスク・コミュニケータ準備完了（ＴＳＣＲＤＹ）信号をスケジューラ４０に送シ、タスク−コミュニケータ４４が新しい再構成されたシステム状態でデータの処理を始める準備が完了していることを示す。

タスク・コミュニケータは、第６９図に示すように、動作コントローラ・リセッ）（ＯＣＲＥＳ）信号に応するリセット・コントロール９′２０　をも備えている。リセットΦコントロール９２０はアプリケーション・プロセッサ１４、ＡＰ準備完了フラグ９２２、リセット・７ラグ９２４、ＡＰ大入ＦＩＦＯ７＝４６、ＡＰ出力ＰＩＦ０７４８、ポインタ・テーブル７２６、およびＡＰ入カバンドラ７４４とのインターフェースと々る。第７０図を参照すると、リセット・コントロール９２０の動作は、ブロック９２６で示すように、リセット要求をアプリケーション・プロセッサ１４に送ることによシ始まる。リセット・コントロール９２０　は次にブロック９２８で示すようにリセットやフラグ９２４　を「ＯＮ」　　に設定してタスク・コミュニケータ４４の他のサブシステムに動作コントローラがリセットされて埴ることを知らせる。リセット・コントロール９２０は、次に、ブロック９３０で示すように、ＡＰ準備完了フラグ９２２をｒＯＦＦＪ　に設定し、スケジューラ４０にアプリケーション・プロセッサがまだタスクの処理を始める準備が整ってイナいことを知らせる。リセット・コントロール９２０は次に、ブロック９３２で示すとおり、ＡＰ大入ＦＩＦＯ７４６およびＡＰ出力ＰＩＦ０７４８　′ｆｔ：クリアし、ブロック９３４　で示すように、ポインタ・テーブル７２６のすべてのポインタをヌルＤＩＤに設定する。リセット・コントロールは次に、ブロック９３６で示すように、ＡＰ入カバンドラ７４４を始動させ、判断ブロック９３８で示すように、アプリケーション・プロセッサが準備完了を通知するのを待つ。アプリケーション・プロセッサ１４がデータの処理を開始する準備が整ったことを知らせたら、リセット番コントロール９２０　は、ブロック９４０で示すように、リセット・フラグ９２４を「ＯＦＦ」に、ＡＰ準備完了フラグを「ＯＮ」に戻して、タスク・コミュニケータが今やデータの処理を開始する準備が整っていることを矧らせる。

同　　期　　装　　置同期装置４６はシステム内のすべての動作コントローラの間の同期を確立し、維持する。多重コンピュータ構造はシステム内の各ノードによるメツセージ伝達の同期過程によって行われるゆるい同期を用いている。この方法では、各同期装置４６はそれ自身のノードにより受取った各時間依存メツセージを検出し、時間刻印する。これら時間依存メツセージはシステム内の一つおきのノードにより所定の時間間隔で伝達され、システム内の他のすべてのノードによシ受取られる。第１図に示す巻き込み接続の結果、ノードはそれ自身の時間依存メツセージを他のノードから送られた他の時間依存メツセージと共に受取る。ノード自身の時間依存メツセージの時間刻印と他のすべての時間依存メツセージの時間刻印と同期は二つの時間メツセージ期間にわたシ行われる。これらの期間は交互に伝達される同期前メツセージおよび同期メツセージによシ範囲が決まる。ノードはそれ自身の同期および同期前メツセージを他のノードがそれ自身の同期および同期前メツセージを送るのと同時に送るとき他のノードと各点ごとに同期するように規定される。同期は正確には乏シ得ないから、互いに同期していると考えられるノードからメツセージを受取る時間内に許容誤差を規定するウィンドウがユーザによシ規定される。

基本的に、ノードを互いに同期するようにする機構には各ノードによシ行われる計算が含まれるが、これは時間的にどこで同期前メツセージの最後の集団の中心が発生するかを決定するものである。各ノードは次にそれ自身の同期前時間刻印とその中心の同期前時間刻印との間の差を求める。次に各ノードはその差を使用してその同期前メツセージを送った時刻からその同期メツセージの伝達までの時間間隔を調節する。これら計算には障害寛容が必要であシ、近似一致アルゴリズムを用いて行われる。システムの収束はすべてのノードにこれらの処置を連続して反復させることにより行われる。同期から同期前までの各期間にわたりすべてのノードがそれ自身を含むすべてのノードから受取る時間依存メツセージに聴き入り、補正を決定し、次の同期前から同期までの区間にわたシ補正を施す。パターンは反復的である。形態測定誤差を取り、補正を行い、誤差を測定し、補正を行い、・・・等々。同期メツセージから同期前メツセージまでの時間間隔はユーザ規定の公称値である。

上に述べた同期手順の説明は正確である。しかし、実施される実際の機構は、あらゆる条件下で障害寛容でもなければならず、システムのタイミング誤差を検出し、特徴づけることができなければならず、システムの他の時間依存機能を支援しなければならないから、前述の定常状態のシステムよシ複雑である。

実施された同期論理は三つの範ちゅうの動作、すなわち冷間始動、温間始動、および定常状態動作、を支援する。冷間始動同期論理はシステムが丁度パワーアップされ、一つのノードも必らずしも他のノードと同期状態に無い状況を取扱う。

特に、冷間始動はノードの動作セットが存在しないとき実行される。この場合には、システム内の各良好ノードが他の各良好ノードと同期しようとし、同時に且つ一貫して共にどのノードが同期しておシ、同期している数がユーザ規定の始動サイズよシ大きいか否かを決定する。最初の同期化および始動を行うために、各ノードは「イン・シンク・ウィズＪ（ＩＳＷ）ベクトルと呼ばれる情報のバイトを保持している。「イン・シンク・クイズ」ベクトルの内容は局部ノードが同期していると信じているシステム内の他のノードを規定する。システム内のすべての良好ノードのＩＳＷベクトルに関するビザンチン合意が初期動作セットを規定するのに使用される。ビザンチン合意は冷間始動を障害寛容にするためこの「イン・シンク・クイズ」データに関して必要である。一旦充分なノードが可能性のある動作セラ）　（ＰＯ３）に関するビザンチン合意に達したら、そのセットに入っているすべてのノードが動作を始める。可能性のある動作セットに入っていない他のすべての健全ノードは、動作セットが形成されているという同じ結論に到達するが、それらノードはまた動作セットに入っていないということを認識すると共に温間始動の動作モードに切換える。

温間始動動作モードでは各良好ノードが現存する動作セットと同期しようとする努力を続ける。温間始動動作モードになっているノードが動作セットと同期していると信すると、そのノードは正常動作を始める。温間始動ノードが適格に充分長く挙動した後、他のノードはそのノードに動作セットに入ることを許可する。

最後の状況は定常状態動作モードであって、各動作ノードがシステム内の内の良好ノードとの同期と整合とを単に維持する。実際上は定常状態収束アルゴリズムは、局部ノードを他のすべての良好ノードを障害寛容にして共通の同期点に収束することができるから、あらゆる条件下で動作する。温間始動と冷間始動との間の真の差異は動作セットが何時形成されたかおよび動作セット内のノードがそのアプリケーション・プロセッサによシ実行されるヘキタスクのスケジューリングを開始する準備が何時整うかを決めるのに使用される論理の周シに集中している。

同期装置４６の詳細を第７１図に示す。同期装置はメツセージ・チェッカ・インターフェース９４２を介してメツセージ・チェッカからタスク対話整合性（ＴＩＣ）メツセージおよびシステム状態（ＳＳ）メツセージを受取る同期装置コントロール９５２を備えている。システム状態メツセージは前述した同期および同期前のメツセージでアシ、システム状態メツセージを同期または同期前メツセージとして識別する機能ビットによシ区別される。タイミング信号発生器９５０は同期装置コントローラ９５２　に伝達されるタイミング信号を発生する。タイミング信号発生器から発生する信号は亜原子期間（ＳＡＰ）信号、原子期間（Ａ’Ｐ）信号、マスター期間（ＭＰ）信号、最終並原子期間（ＬＳＡＰ）信号、最終原子期間（ＬＡＰ）信号、ソフトエラー・ウィンドウ（ＳＥＷ）信号、およびハードエラー・ウィンドウ（ＨＥＷ）信号である。同期装置コントロール９５２はクロック信号およびリセット信号をシステム母線か、ら受取る。

リセット信号はパワーオン争リセット（ＲＥＳＥＴ）または内部動作コントローラ・リセット（ＯＣＲＥＳＥＴ）　　信号のいずれかとすることができる。これらの信号については前に説明してありここに繰返す必要はない。同期装置コントロール９５２　はそれ自身の３ビツトのノード識別（ＮＩＤ）コードをも受取る。

ビザンチン・ボータ９５４　は冷間始動動作モードの期間中に自分自身および他のモードから受取った「イン−シンク・クイズ」マトリックスに関し、およびタスク対話整合性メツセージの内容に関しビザンチン投票を行う。タスク対話整合性（ＴＩＣ）メツセージの内容に関するビザンテン投票は直接スケジューラ・インターフェース９４４　に伝達されるが、「イン・シンク・クイズ」マトリックスに関するビザンチン投票の結果は障害寛容器インターフェース９４６に伝えられる。時間刻印ボータ９５６　はすべてのノードから受取ったシステム状態メツセージの時間刻印に関して投票し、選出時間刻印値を発生する。同期装置記憶装置９４８　はメツセージ・チェッカ・インターフェースから受取ったデータ、および同期装置コントロール９５２　がそれ自身のノードとシステム内の他のノードとの間に同期を確立し維持するのに必要なデータを格納する。同期装置記憶装置９４８　は、第７２図に示すように、スクラッチ・パッド記憶装置９６２、メツセージ記憶装置９６４、および時間刻印記憶装置９６６を備えている。エラｍ −しボータ９５８は同期装置コントロール９５２によシ検出されたエラーを受取シ、これらを障害寛容器インターフェース９４６に伝達する。同期装置コントロール９５２は時間依存タスク対話整合性（ＴＩＣ）　メツセージおよびシステム状態（ＳＳ）メツセージを発生するが、これらは、前に述べたように、送信機インターフェース９６０を通してシステム内の他のノードに伝達される。

第７６図はタイミング信号発生器９５０　によシ発生された各種信号の波形を示す。マスク期間（ＭＰ）は動作コントローラの各マスク期間区間の長さを反映するタイミング信号でちる。この区間は同期化クロックの中で最長であシ、アプリケーションについて実行している最低反復タスクの周期性を反映している。マスク期間はアプリケーションの「フレーム・サイズ」と考えることができる。マスク期間の期間中、タスクの全パターンが反復される。原子期間（ＡＰ）は各原子期間区間の始ｔシと終シを反映するタイミング信号でおる。この区間はアプリケーションについて実行している最も速い反復タスクを表わしている。上述のマスタ期間は原子期間の整数としてユーザが指定するものである。亜原子期間（ＳＡＰ）は各亜原子期間区間の始ま゛りと終シとを反映するタイミング信号である。

原子期間は亜　原子期間の整数としてユーザが指定する。最終原子期間（ＬＡＰ）は各マスク期間中に発生する最終原子期間を区切るアクチブ高信号である。最終並原子期間（ＬＳＡＰ）は各原子期間中に発生する最終並原子期間を区切るアクチブ高信号である。ソフトエラー・ウィンドウ（ＳＥＷ）はシステム同期メツセージの到着に対しソフトエラー・ウィンドウを規定する事象時間標識の周シに時間区間を限るアクチブ高信号である。最後に、ハードエラー・ウィンドウ（ＨＥＷ）はシステム同期メツセージの到着に対しハードエラー・ウィンドウを規定する事象時間標識の周りに時間区間を限るアクチブ高信号である。

メツ（！−シ記ｔＪ！装置９６４のフォーマツトラ第７３図に示す。メツセージ記憶装置９６４は各ノードについて分岐条件バイト、タスク完了ベクトル、次のシステム状態ベクトル、現在のシステム状態ベクトル、原子期間カウンタの内容、および一つは冷間始動用に、他は温間始動用に留保しておく二つのバイト、を格納する。このフォーマットはシステム内の各ノードに対して反復される。

時間刻印記憶装置９６６　のフォーマットを第７４図に示す。時間刻印記憶装置は粗時間カウントおよび精時間カウントから構成され、更新（ｕ）フラグおよび時間刻印（ＴＳ）７ラグを備えている。更新フラグは格納されている時間刻印が現在の時間刻印期間中に受取ったシステム状態メツセージ用であることを知らせる。時間刻印フラグは時間刻印が同期機能ビットが設定されているシステム状態メツセージ用であるか、または同期前機能ビットが設定されているシステム状態６メツセージ用でちるかを示す。時間刻印の粗カウントは先行システム状態メツセージが発生してから経過した亜原子期間の数を表わす。

精時間刻印カウントは原子期間の最後の亜原子期間の期間中に受取った同期クロック・パルスの数に対応する。粗カウントすなわち亜原子期間カウントは主として冷間始動および温間始動の期間中に局部ノードとシステム内の他のノードとの間の同期化を迅速に収束させるのに使用される。精時間刻印カウントすなわち同期クロック時間刻印カウントは主として定常状態動作の期間中にノード間の同期を維持するのに使用される。時間刻印記憶装置９６６　はシステム内の各ノードに対する時間刻印を格納しておシ、それ自身のノードから伝達されたシステム状態メツセージの時間刻印を格納する特別なエントリを備えている。

スクラッチ・パッド記憶装置９６２　の７’オー　ビットを第７５図に示す。スクラッチ・パッド記憶装置９６２　はシステム内の各ノードに対する「イン・シンク・ウィズＪ（ＩＳＷ）　　ベクトルを格納する。この「イン・シンク・ウィズ」ベクトルは同期および同期前システム状態メツセージに入っている。スクラッチ・パッド記憶装置９６２　はまた二つのメツセージ警告カウントを格納しておシ、一つは警告期間の終りからタスク対話整合性メツセージの送信までの時間を表わし、他は警告期間の終りからシステム状態メツセージの送信までの時間を表わす。スクラッチ・パッド記憶装置はまた受取ったメツセージに時間刻印するのに使用される亜原子期間カウントをモ格納する。スクラッチ・パッド記憶装置はまた原子期間あたシの亜原子期間の数、原子期間のカウント、およびマスク期間あたりの原子期間の数を格納するエントリをも備えている。スクラッチ・パッド記憶装置はまた実際のハードエラー・ウィンドウ（Ｈｇｗ）　　対警告期間のカウントおよび公称ハードエラー・ウィンドウ（ＨＥＷ）対警告期間のカウントをも格納する。実際のハードエラー・ウィンドウ対警告期間は選出時間刻印値とそれ自身の刻印値との差から計算される同期前メツセージと同期メツセージとの間の原子期間の補正後の長さを反映している。

スクラッチ・バット記憶装置内の次のエントリはエラー・ウィンドウ・パラメータである。エラー書ウィンドウ・パラメータはハードエラー・ウィンドウ・カウントおよびソフトエラー・ウィンドウ・カウントを備えている。スクラッチ・パッド記憶装置内の次の二つのエントリは亜原子期間デルタの計算補正値および亜原子期間カウントの計算補正値である。

次のエントリは亜原子期間デルタに対する最大許容補正値である。スクラッチ・パッド記憶装置内の最終二ントリは可能な動作セットの有無を決定する最小始動サイズである。

同期装置コントロール９５２の詳細を第７７図に示ス。メツセージ・チェッカ・インターフェース９４２が受取ったデータは直接データ・ハンドラ９６８および時間刻印器９７２　に伝えられる。データ・ハンドラ９６８はメツセージ記憶装置９６４、スクラッチ瞭パッド記憶装置９６２、またはビザンチン・ポータ記憶装置９７０に必要に応じてデータを格納する。時間刻印器９７２がメツセージの時間刻印を時間刻印記憶装置９６６に格納する前に、受取られたメツセージは予想メツセージ・チェッカ９７４および内部ハードエラー・ウィンドウ・ソフトエラー・ウィンドウ・チェッカ９７４　によシチェックされる。メツセージが予想メツセージでなければ、後に説明するように、予想メツセージ書チェッカ９７４がシーケンス・エラー信号を発生し、これはエラｍ−しポータ９７Ｂおよび時間刻印器９７２に伝達される。同様にして、受取られたメツセージがハードエラｍ −ウィンドウまたはソフトエラー・ウィンドウの外側にあれば、内部ハードエラー・ウィンドウ・ソフトエラー・ウィンドウ・チェッカがハードエラーまたはソフトエラーを発生し、これもエラー・レボータ９７８および時間刻印器９７２に伝達される。

時間刻印器９γ２は、シーケンス・エラーマタハハードエラーが検出されれば、時間刻印を時間刻印記憶装置に記録しない。ハードエラー・ウィンドウの外側で受取られるメツセージまたは全く受取られないメツセージは同期装置にょシ実買上無視される。

しかし、受取られたベクトルは発生され、ハードエラー・ウィンドウ期間中に報告することができなかった各ノードに対する欠落メツセージ・エラーを示す。同期化プロセスはハードエラー・ウィンドウ内部で報告することができなかったノードと関連する時間刻印値を使用することはない。これにょシ良好ノードが恐らく欠陥であるであろうひどく同期のずれたノードの方に動こうとすることが無くなる。しかし、時間刻印器９７２はソフトエラーだけが検出された場合には時間刻印を時間刻印記憶装置に記録する。

時間刻印器９７２　は亜原子期間（ＳＡＰ）カウンタでカウントされた亜原子期間の数を粗時間刻印カウントとして、同期クロック９６９　からの同期クロック・ビットの数を精時間刻印として記録する時間刻印器９７２　は時間刻印記憶装置内に更新フラグを設定し、時間刻印フラグを設定して受取ったメツセージがｒ期システム状態メツセージであるか同期前システム状態メツセージであるかを示す。

同期前メツセージ・カウンタ９８０　および同期メツセージ・カウンタ９８２は、それぞれ、特定の時間刻印期間中に受取った同期メツセージまたは同期前メツセージの数をカウントする。比較器９８４は同期前メツセージの数が同期メツセージの数よシ大きかったか否かを確認する。この情報は時間刻印ボータ９５６　に伝えられる。時間刻印ボータは時間開に多数の同期前メツセージまたは同期メツセージが存在したかに対応する時間刻印を抜き取る。時間刻印データ９５６　は受取った時間刻印に関して投票を行い、受取ったメツセージの時間刻印に対する平均値または選出値を発生する。この情報は同期装置の自身のシステム状態メツセージと時間刻印ボータ９５６　が発生した平均値または選出値とを比較し、補正デルタを発生する同期補正発生機９９０　に送られる。この補正デルタは加算器９９２　でシステム状態メツセージ間の公称時間間隔に加えられ検出された差を補正する。公称時間間隔と補正デルタの和は、第７５図に示す、スクラッチ・パッド記憶装置のフォーマットに示すように、補正並原子期間カウント計算値および実際のＨＥＷ対警告期間カウントとしてスクラッチ・パッド記憶装置９６２　に格納される。

補正並原子期間カウント計算値および実際のＨＥＷ対警告期間カウントは、第８４図に示すように、同期前システム状態メツセージから同期システム状態メツセージまでの時間間隔の持続期間のタイミングに使用される。

ビザンチン・ボータ９５４　はタスク完了ベクトル、およびスケジューラ拳インターフェース９４４　を通してスケジューラ４０に戻し伝えられるタスク対話整合性メツセージに含まれている分岐条件ビットに関してビザンテン投票を行う。

冷間始動の期間中ビザンチン・ボータ９５４　はまた同期前システム状態メツセージで伝達された「イン・シンク・クイズ」マトリックスに関してビザンチン投票を行い、選出「イン・シンク・クイズ」ベクトルを発生する。この「イン・シンク・クイズ」ベクトルは選出「イン舎シンク・クイズ」ベクトルに含まれている「イン・シンク・クイズ」ビットの数を加算しこの和と７−ドの可能な動作セラ）　（ＰＯ３）に対する最小始動サイズとを比較する動作条件検出器１０００に伝達さレル。とザンチン投票された「イン・シンク・クイズ」ベクトル中のビットの和が最小始動サイズよシ大きければ、動作条件検出器１０００はそれ自身のメートが「イン・タンク・クイズ」ベクトルに含まれているか確認する。それ自身のノードが「イン・シンクφウィズ」ベクトルに含まれていれば、動作条件検出器は動作を開始する準備が整っていることを示す動作フラグ１００４を設定する。しかし、動作セットが検出され、動作条件検出器１０００がそれ自身のノードが動作セット内に無いことを確認すれば、動作セットの存在およびそれがそのセットと同期していないことを示す温間始動７ラグ１００２を設定する。これによシ同期装置４６が前に説明した温間始動動作モードに入る。動作セットが検出され且つそれ自身のノードが動作セット内にあれば、動作条件検出器１０００は「イン・シンク・ウィズＪ（ＩＳＷ）ベクトルおよび動作フラグ・ビットを障害寛容器インターフェース９４６　を通して障害寛容器３６に伝達する。

イン舎シンク・クイズ検出器（ＩＳＷ）９４４　　はそれ自身のシステム状態メツセージの時間刻印を時間刻印記憶装置に格納されている各時間刻印と比較し、「イン・シンク・クイズ」ベクトルを発生する。このベクトルはイン・シンク・ウィズ（ｔＳＷ）レジスタ９９６に格納される。

イン・シンク・クイズ・レジスタ９６６に格納されている「イン・シンク・ウィズ」ベクトルおよび動作フラグ１ｏ０４はメツセージ発生器９９８に伝達され、次のシステム状態メツセージの発生に使用される。メツセージ発生器９９８　の出力は送信機インターフェース９６０　　を通して送信機に伝達される。

同期装置の定常状態動作を第７８図乃至第８２図に示す流れ図および第８３図および第８４図に示す波形を参照して説明する。第７８図に示す流れ図はデータ・ハンドラ９６８、予想メツセージ・チェッカ９７４、および内部ハードエラー・ウィンドウ・ソフトエラー・ウィンドウ・チェッカ９７６　の動作を示している。ブロック１００６で示すように、メツセージ拳チェッカ・インターフェース９４２　から受取ったすべてのデータはメツセージ記憶装置９６４に格納される。

次にシステムは、生新ブロック１００８で示すように、動作フラグが真であるが質問する。

動作フラグが真でなければ、システムはこの後で説明するように冷間始動または温間始動にデフォルトする。動作フラグが真であれば、予想メツセージ・チェッカは判断ブロック１０１０で示すように、それがタスク対話整合性（ＴＩＣ）メツセージであるか質問する。タスク対話整合性メツセージでなければ、メツセージはシステム状態メツセージであシ、予想メツセージ・チェッカ９７４　が、ブロック１ｏ１２で示すように、時間刻印記憶装置内の亜原子期間カウントが０に等しいか質問する。時間刻印記憶装置に格納されている亜原子期間カウントは原子期間内の亜原子期間の数の２の補数である。この亜原子期間カウントはタイミング信号発生器９５０　　が亜原子期間信号を発生するごとに増加する。時間刻印記憶装置の亜原子期間カウントがＯに等しいときは、システム状態メツセージは予想メツセージである。亜原子期間カウントがＯに等しければ、予想メツセージ・チェッカは、ブロック１０１４で示すように、そこからメツセージを受取ったノードに対する時間刻印カウンタに再ロードし、次いでメツセージに含まれている同期−同期前（Ｓ／Ｐ　）機能が時間刻印記憶装置に格納されている（ＴＳ）７ラグの補数に等しかったか質問する。正常動作では同期および同期前のシステム状態メツセージは交互に送られ、したがって、受取られるメツセージの機能ビットは時間刻印記憶装置９６６のＴＳフラグによシ現在格納されている前のメツセージの機能ビットの補数であるはずである。同期−同期前機能ビットが時間刻印記憶装置に格納されている時間刻印フラグの補数であれば、そこからメツセージを受取ったノー′ド（ノードｊ）に対するシーケンス・エラー・フラグが、ブロック１０２０　で示すように、偽に設定される。逆に、同期−同期前ビットが時間刻印フラグの補数でなければ、そこからメツセージを受取ったノードに対するシーケンス・エラー・フラグが、ブロック１０２２で示すように、真に設定される。判断ブロック１０１２の亜原子期間カウントが０に等しくなければ、予想メツセージ・チェッカはそこからメツセージを受取ったノードに対するシーケンス・エラー・フラグをブロック１０２４に示すように真に設定し、ブロック１０２６で示すように、ノードｊに対する時間刻印カウンタに再ロードする。

受取ったメツセージが、判断ブロック１０１０で決定するように、タスク対話整合性（ＴＩＣ）メツセージであれば、予想メツセージ・チェッカ９７４　は、判断ブロック１０２８で示すように、時間刻印記憶装置の亜原子期間カウントが０以上であるか質問する。

亜原子期間時間刻印カウントが０以上であれば、システム状態メツセージが受取られているはずであシ、したがって、シーケンス・エラーがある。予想メツセージ瞭チェッカ９７４　は次に、ブロック１０３４で示すように、そこからメツセージを受取ったノードに対スるシーケンス・エラー・フラグを真に設定する。しかし、時間刻印記憶装置の亜原子期間カウントがＯよシ小さければ、予想メツセージ−チェッカ９７４は、ブロック１０３２で示すように、そのノード（ノードｊ）に対して時間刻印記憶装置に格納されている時間刻印カウントを増加する。

内部ハードエラ−９ウィンドウ・ソフトエラ一拳ウィンドウ・チェッカ９７６　および時間刻印器９７２の動作を第７９図に示す流れ図を参照して説明することにする。内部ハードエラー・ウィンドウ・ソフトエラー・ウィンドウ・チェッカ９７６　の動作は、判断ブロック１０３６　で示すように、シーケンス・エラーが検出されているかチェックし確認することによシ始まる。シーケンス・エラーが予想メツセージ・チェッカによシ検出されていれば、内部ノ・−ドエラー脅つィンドウ会ソフトエラー・ウィンドウ９１６は、ブロック１０５４で示すように、時間刻印記憶装置９６６の中の更新フラグを偽に設定する。その他の場合には、内部ハードエラー・ウィンドウ・ソフトエラー・ウィンドウ・チェッカ９７６は、判断ブロック１０４０で示すように、メツセージが／Ｓ−ドエラー・ウィンドウの中で受取られたか質問する。メツセージがハードエラー・ウィンドウ（ＨＥＷ　）の中で受取られなかった場合には、内部ノ・−ドエラー・ウィンドウ・ソフトエラｍ−ウィンドウ・チェッカ９７６は、ブロック１０４２　で示すように、ノヘードエラー・ウィンドウ・フラグを真に設定し、ブロック１０５４で示すように、時間刻印記憶装置の中の更新フラグを偽に設定する。メツセージがノ・−ドエラー・ウィンドウの中で受取られた場合には、内部ノ＼−ドエラー・ウィンドウ・ソフトエラー・ウィンドウ・チェッカ９７６は、判断ブロック１０４４で示すように、メツセージがソフト、エラー・ウィンドウの中で受取られたか質問する。メツセージがタフトエラー・ウィンドウの中で受取られなかった場合には、チェッカは、ブロック１ｏ４６で示すように、ソフトエラー・ウィンドウ・フラグを真に設定し、チェッカは、判断ブロック１０４８で示すように、受取ったメツセージがタスク対話整合性（ＴＩＣ）メツセージであったかの質問に進む。メツセージがＴＩＣメツセージでなければ、チェッカは、判断ブロック１ｏ４９で示すように、メツセージが同期前システム状態メツセージであったかの質問に進む。

メツセージが同期前システム状態メツセージでなかった場合には、時間刻印器が受取ったメツセージに時間刻印することができるようになる。時間刻印はＳＡＰカウンタ９７１で受取られたＳＡＰカウントおよび同期クロック９６９から受取った同期クロック・カウントに等しい。時間刻印器９７２は次に、ブロック１０５０に示すように、ＴＳフラグ・ビットを同期前に、更新フラグを真に、設定する。しかし、メツセージがシステム状態同期メツセージであれば、時間刻印器９７２　は、ブロック１０５２で示すように、受取ったメツセージに時間刻印し、時間刻印フラグを同期に、更新フラグを真に１設定する。メツセージに時間刻印し終ったら、メツセージを、ブロック１０３８で示すように、時間刻印記憶装置９６６に格納する。判断ブロック１０４９で示すように、タスク対話整合性（ＴＩＣ）メツセージは時間刻印されない。

実際のＨＥＷ対警告期間カウントの発生について第８０図に示す流れ図を参照して説明する。実際のＨＥＷ対警告期間カウントの発生は、ブロック１０５６で示すように、時間刻印記憶装置のノード（ＮＩＤ）ポインタを最初のノードに設定する（ＮＩＤ＝０）ことによシ始まる。時間刻印ボータは、判断ブロック１０５８で示すように、更新フラグが真であるか質問する。更新フラグが真でなく、時間刻印値が現在の原子期間中に更新されなかったことを示せば、時間刻印ボータは時間刻印記憶装置のノード・ポインタを次のノードに進め、そのノードの更新フラグが真であるか質問する。更新フラグが真であれば、ブロック１０６０で示すように、時間刻印値を時間刻印ボータにロードし、ブロック１０６２で示すように、時間刻印記憶装置を指すノード・ポインタを歩進させる。時間刻印ボータ９５６は次に、判断ブロック１０６４で示すように、ポインタが指しているノードがボールすべき最大のすなわち最後のノードであるか質問する。そのノードが最後のノード（ＭＡＸ　ＭＩＤ）でなければ、時間刻印ボータにロードするプロセスが最後のノードからの時間刻印値が時間刻印ボータ９５６　にロードされるまで続く。時間刻印ボータに現在の時間刻印値すべてがロードされたら、ブロック１０６６で示すように、ボータはロードされている時間刻印値に関して投票し、選出時間刻印値（ＴＳｖ）を発生する。同期補正発生器９９０　　が、次にブロック１０６８で示すように、ノードの自身の時間刻印値を選出時間刻印値から差引いて同期化デルタを発生する。実際のＨＥＷ対警告期間が、ブロック１０７０で示すように、加算器９９２　で同期化デルタをスクラッチ・パッド記憶装置に格納されている公称ＨＥＷ対警告期間に加算することにょ多発生される。この実際のＨＥＷ対警告カウントは、ブロック１ｏ７１で示すように、スクラッチ争パッド記憶装置に格納される。

メツセージ発生器９９８　の動作を第８１図に示すブロック図および第８２図に示す流れ図に関連して説明する。最初に第８１図に示すブロック図を参照すると、メツセージ発生器がタイミング信号発生器９５０からクロック（ＣＬＫ）、最終歪原子期間（ＬＳＡＰ）、およびＨＥＷ信号を受取る。またイン・シンク・ウィズ（ｒｓｗ）レジスタ９９６から温間始動フラグ１００２、動作フラグ１００４、および「イン・タンク・クイズ」ベクトルを受取る。メツセージ発生器９９Ｂ　で発生したメツセージに使用されるデータは、スクラッチ・パッド記憶装置９６２、メツセージ記憶装置９６４、および時間刻印記憶装置９６６を備えている、同期化記憶装置９４８　から得られる。

メツセージ発生器が発生したメツセージは送信機インターフェース９６０に伝えられ、このインターフェースはこのメツセージを究極的には送信機３０に伝える。

今度は第８２図に示す流れ図を参照すると、メツセージ発生器９９８　は先ず、判断ブロック１０７４で示すように、ハードエラー・ウィンドウの終シを待つ。

ＨＥＷの終シにメツセージ発生器は、判断ブロック１０７６で示すように、亜原子期間が最終歪原子期間であるか質問する。亜原子期間が最終歪原子期間でなければ、発生すべきメツセージはタスク対話整合性（ＴＩＣ）メツセージであって、これでは、ブロック１０７８で示すように、データ識別コード（ＤＩＤ）　がＯに等しく設定される。現在の亜原子期間はシステム状態メツセージであって、これでは、ブロック１０９４に示すように、同期・同期前ビットが時間刻印記憶装置に現在格納されているＴＳ７ラグの補数に等しく設定される。

メツセージ形式がタスク対話整合性メツセージであれば、メツセージ発生器は、判断ブロック１０８０で示すように、動作フラグが真であるか質問する。

動作フラグが真でなければ、ＴＩＣメツセージは送られない。しかし、動作フラグが真であれば、メツセージ発生器９９８は、ブロック１０８２　で示すように、事象カウンタ１０７２にスクラッチ・パッド記憶装置９６２に格、納されている公称ＨＥＷ対警告カウントをロードし、ブロック１０８３に示すように、通常のタスク対話整合性メツセージを組立てる。第１表に示すように、通常のタスク対話整合性メツセージはタスク完了ベクトル、およびメツセージ記憶装置９６４　から得られる分岐条件ビットを備えている。

メツセージ発生器は次に、判断ブロック１０８４で示すように、事象カウンタ１０Ｔ２がクロック信号にょシ０まで増加するまで待つ。事象カウンタがＯに等しくなると、メツセージ発生器９９８は、ブロック１０８６で示すように、メツセージの最初のバイトを送信機インターフェース９６０　を通して送信機に送シ、フロック１０８８で示すように、メツセージの残シのバイトを送信機インターフェース９６ｏ　に送る。

送信機インターフェース９６０は次に、判断ブロック１０９０で示すように、送信機３０からのバッファ利用可能（ＢＡ　）信号を待ち、ブロック１０９２で示すように、メツセージの残シのバイトを送信機に送る。

送信機３０の動作に関連して前に述べたように、同期装置からのメツセージの最初のバイトの送出によシ時間依存タスク対話整合性メツセージおよびシステム状態メツセージに対する警告期間が始まる。

警告期間の終シに、送信機は時間依存メツセージの送信を開始し、バッファ利用可能信号を送信機インターフェースに伝送する。この信号は送信機インターフェースに格納されている残シのバイトの送信機への転送をトリガする。

メツセージ形式が、ブロック１ｏ９４で示すように、システム状態メツセージであれば、メツセージ発生器は、ブロック１ｏ９６で示すように、伝達すべきシステム状態メツセージが同期メツセージであるが同期前メツセージであるか質問する。メツセージが同期メツセージであれば、メツセージ発生器は、ブロック１０９８で示すように、事象カウンタ１ｏ７２　　にスクラッチ・パッド記憶装置から実際のＨＥＷ対警告カウントをロードし、ブロック１０９９で示すように、通常システム状態メツセージを発生する。しかし、メツセージが同期前システム状態メツセージであれば、メツセージ発生器は、ブロック１ｏ９７で示すように、事象カウンタ１０７２に通常ＨＥＷ対警告カウントをロードし、判断ブロック１０７７で示すように、温間始動フラグおよび動作フラグに質問してシステムが冷間始動モードになっているか決定する。冷間始動は温間始動フラグおよび動作フラグが共に偽であることによって示される。システムが冷間始動モードになっていなければ、メツセージ発生器は、ブロック１０９９で示すように、通常システム状態メツセージを発生する。しかし、同期装置が冷間始動モードになっていれば、メツセージ発生器は、プロッり１０８１　　で示すように、冷間始動同期前　メツセージを発生する。冷間始動同期前メツセージは第８５図に示すようなフォーマットを備えており、これは第工表に示す通常同期前システム状態メツセージとは異なる。この冷間始動同期前メツセージはシステム内のすべての動作ノードから受取った同期化ベクトルを備えている「イン・シンク・ウィズ」マトリックスを備えている。メツセージ発生器９９８　は次に、判断ブロック１０８４で示すように、事象カウンタを監視することによＦ）ＨＥＷ対警告期間の終シを待つ。メツセージ発生器は次に、ブロック１０８６で示すように、メツセージの最初のバイトを送信機３０に送り、ブロック１０８８で示すように、メツセージの残シのバイトを送信機インターフェースに転送する。送信機が、判断ブロック１０９０で示すようＫ。

バッファ利用可能信号を発生すると、送信機インターフェース９６０は、ブロック１０９２で示すように、システム状態メツセージの残シのバイトを送信機に送る。

タスク対話整合性メツセージおよびシステム状態メツセージの夕・イミノジ・シーケンスをそれぞれ第８３図および第８４図に示す。最初に第８３図に示す波形を参照すると、第８２図の流れ図のブロック１０８２で示すように、メツセージ発生器の事象カウンタ１０Ｔ２がハードエラー・ウィンドウの終シに公称ＨＥＷ対警告カウントをロードされる。メツセージ発生器９９８　は次にＨＥＷ対警告期間の終シまで待ち、波形同期化ｄａｔで示すように、タスク対話整合性メツセージの最初のバイトを送信機に伝達する。送信器３０を参照して先に説明し・たとおシ、タスク対話整合性メツセージのこの最初のバイトを受取るとタスク対話整合性警告期間が始まシ、第８３図でバッファ利用可能（ＢＡ）波形により示すように、バッファ利用可能（ＢＡ）波形が終る。タスク対話整合性警告期間の終シに、送信機はシステムの他のすべてに最初のバイトの伝達を開始する。送信機はまたバッファ利用可能信号を再表明し、同期化ａａｔおよびバッファ利用可能波形で示すように、送信機インターフェース９６０に残シのデータ・バイトを送信機に向けて送出させる。図示のとおり、送信機で伝達される最後のバイトは長手方向冗長コード・チェック・バイトでアシ、その終りの時間は亜原子期間の終シと一致するように調節されている。

第８２図と関連して説明したように、送るべき次のメツセージが同期前システム状態メツセージであるときは、ＨＥＷ対警告期間はタスク対話整合性メツセージの場合と同じであるが、送信機はシステム状態警告期間をタスク・対話整合性警告期間の代りに用い、第８４図に示すように、タスク対話整合性メツセージを伝達し始めるよシ早い時点でシステム状態メツセージの伝達を始める。

今度は第８４図を参照すると、同期化システム状態メツセージの伝達に対するタイミング・シーケンスが示されている。同期化システム状態メツセージの伝達に際し、メツセージ発生器９９８　の事象カウンタ１０７２に、第８２図のブロック１０９８で示すように１実際ＨＥＷ対警告カウントがロードされる。

先に説明したとおシ、実際ＨＥＷ対警告カウントは公称ＨＥＷ対警告カウントと同期化デルタ計算値との和である。実際ＨＥＷ対警告カウントの終シに、メツセージ発生器は同期システム状態メツセージの最初のバイトを送信機インターフェース９６０　を介して直接送信機３０に伝達する。送信機は次に、システム状態メツセージ警告期間の終シに、システム状態メツセージの伝達を開始し、図示のとおシ、バッファ利用可能信号を復権して送信機インターフェースに残シの同期システム状態メツセージを送信機３０に伝達させる。システム状態メツセージの最後のバイトの伝達によシ原子期間の終シが規定される。

同期化デルタを公称Ｉ（ＥＶ対警告期間に加えると原子期間の長さが、その終シがシステム内の他のノードにより発生された原子期間と一致するように、修正され、したがって、他のすべてのノードとの逐次同期が確定する。

冷間始動モードでの同期装置の動作を第８６図乃至第８９図に示す流れ図および第９０図に示すタイミング図に関連して説明する。

最初に第８６図を参照すると、冷間始動手順は、判断ブロック１１００で示すように、同期装置が冷間始動モードになっているか質問することから始まる。

冷間始動は温間始動フラグおよび動作フラグが存在しないことによシ示される。

同期装置が冷間始動動作モードになっていなければ、判断ブロック１１ｏ２で示すように、温間始動動作モードになっているか質問する。同期装置が、温間始動フラグが真であることによシ示されるように、温間始動動作モードになっておれば、同期装置は、ブロック１１ｏ５で示すように、温間始動手順を呼出す。そうでなければ、同期装置は、ブロック１１０３で示すように、冷間始動ルーチンを出て定常状態動作モードにデフォルトする。

同期装置が冷間始動動作モードになっていれば、同期装置は第９０図に示す聴取期間にわたり他のノードからのメツセージに聴き入る。同期装置は次に、判断ブロック１１０４で示すように、受取ったメツセージが、メツセージに含まれている機能ビットから決まるように、同期メツセージであるかまたは同期前メツセージであるか質問する。メツセージが同期前メツセージであれば、ブロック１１０６で示すように、メツセージが時間刻印され、ブロック１１０８で示すように、同期前メツセージ・カウンダ９８０　　が歩進する。イン・シンク・クイズ検出器が次に、判断ブロック１１１０で示すように、受取ったメッセーのがハードエラー・ウィンドウよシ小さいか質問する。受取ったメツセージの時間刻印とそれ自身のメツセージの時間刻印との差がハードエラー・ウィンドウよシ小さければ、そこからメツセージを受取ったノードに対応する「イン・シンク−ウィズ」フラグが、ブロック１１１２で示すように、真に設定される。そうでなくて受取ったメツセージの時間刻印からそれ自身のメツセージの時間刻印を差引いたものがハードエラー・ウィンドウよシ大きければ、ブロック１１１４で示すように、イン・シンク・クイズ・レジスタ９９６　　の「イン・タンク・クイズ」フラグが偽に設定される。

判断ブロック１１０４に戻って、受取ったメツセージに含まれている同期・同期前機能ビットが同期ビットであれば、ブロック１１１６で示すように、時間刻印器が受取ったメツセージに時間刻印し、ＴＳフラグを同期に設定し、更新フラグを真に設定する。

同期装置は次に、ブロック１１１８で示すように、同期メツセージ・カウンタ９８２を歩進させる。

同期修正発生器９９０および加算器９９２の動作を第８７図に示す流れ図を参照して説明しよう。同期修正器９９０は、最初、判断ブロック１１２０　で示すように、聴取期間が行われているか質問する。冷間始動中の聴取期間は、第９０図に示すように、全原子期間にハードエラー・ウィンドウを加えたものに等しい。

この動作段階中に、内部ハードエラーφウィンドウ・ンフトエラー・ウィンドウ・チェッカ９７６はこの期間中傷に設定されている温間始動フラグおよび動作フラグに応じてエラー信号を発生することはない。

聴取期間が過ぎると、同期修正発生器９９０　は同期前メツセージ−カウンタ９８０　に格納されている同期前カウントの数が同期メツセージ・カウンタ９８２　に格納されている同期カウントの数に等しいか質問する。同期前カウントが同期カウントに等しければ、同期修正発生器は、ブロック１１４８で示すように、亜原子期間デルタを０に、同期デルタをＯに、設定する。同期前カウントが同期カウントに等しくなければ、同期修正発生器９９０は、ブロック１１２４で示すように、同期前カウントが同期カウントより大きいか質問する。同期前カウントが同期カウントよシ大きければ、時間刻印ボーク９５．６　は時間刻印記憶装置からＴＳフラグが同期前に設定され更新フラグが真に設定されているすべての時間刻印を抜き取る。時間刻印ボータ９５６　は次にその抜取った値を使用して選出並原子期間カウントおよび選出同期クロック・カウントを発生する。同期修正発生器９９０は、次にブロック１１２６で示すように、それ自身の亜原子期間カウントを選出並原子期間カウントから差引いてＳＡＰデルタを発生すると共にそれ自身の同期クロック−カウントを選出同期クロックから差引いて同期デルタを発生する。

代υに、同期カウントが同期前カウントよシ大きければ、時間刻印ボータ９５６は、ブロック１１４６で示すように、そのＴＳ７ラグが同期に設定され更新フラグが真に設定されている時間刻印を使用してＳＡＰデルタおよび同期デルタを発生する。

亜原子期間デルタが、判断ブロック１１２７で示すように、０に等しければ、同期修正発生器９９０は、ブロック１１２９で示すように、亜原子期間デルタを０に等しく、同期デルタを同期デルタの計算値に等しく設定する。同期修正発生器９９０は次に、判断ブロック１１３２で示すように、同期デルタが最大同期デルタより大きいか質問する。大きければ、同期修正発生器は、第７５図に示すように、同期デルタをスクラッチ・パッド記憶装置９６２　に格納されている最大同期デルタに等しく設定する。同期デルタが、判断ブロック１１３２で決まるように、最大同期デルタよシ大きくなければ、同期修正発生器は、判断ブロック１１３６で示すように、同期デルタが最大同期デルタの２の補数よｐ大きいか質問する。同期デルタが最大同期デルタの２の補数よシ大きければ、同期修正発生器９９０は、ブロック１１３８で示すように、同期デルタを最大同期デルタの２の補数に等しく設定する。そうでない場合は、同期デルタは同期デルタ計算値のままである。

次に判断ブロック１１２７に戻って、亜原子期間デルタがＯに等しくなければ、同期修正発生器９９０は、判断ブロック１１２８で示すように亜原子期間デルタがＯよシ大きいか質問する。亜原子期間デルタが０より大きければ、同期修正発生器は、ブロック１１３０で示すように、亜原子期間デルタを亜原子期間デルタ −１に等しく、同期デルタを最大同期デルタに等しく設定する。そうでない場合は、同期修正発生器は、ブロック１１４４で示すように、亜原子期間デルタを亜原子期間デルタ＋１に等しく、同期デルタを最大同期デルタの２の補数に等しく、設定する。

亜原子期間デルタおよび同期デルタが決まると、原子期間カウントアたシの実際の亜原子期間が、ブロック１１４０で示すように、亜原子期間デルタを原子期間カラン）６たシの公称並原子期間に加えることによシ発生される。実際のＨＥＷ対警告期間は、ブロック１１４１で示すように、同期デルタを加算器９９２で、公称ＨＥＷ対警告期間に加えることによシ発生される。原子期間カラン）６たシの実際の亜原子期間および実際のＨＥＷ対警告期間カウントはスクラッチ・パッド記憶装置９６０　の、第７５図に示す場所に格納される。同期修正発生器９９０の最終動作は、ブロック１１４２で示すように、同期前メツセージ拳カウンタ９８０　および同期メツセージ・カウンタ９８２を０に設定することである。

冷間始動動作モード中のデータ・ハンドラ９６８の動作を第８８図の流れ図に示す。各メツセージがメツセージ・チェッカ・インターフェース９４２カラ受取られるにつれて、データ・ハンドラは、判断ブロック１１５０で示すように、同期・同期前ビットが同期ビットでおるか質問する。ノードｊからのメツセージに含まれている同期・同期前機能ビットが同期ビットであれば、データ・ハンドラは、ブロック１１５２で示すように、受取ったメツセージの「イン・シンク・クイズ」ベクトルを、第７５図に示すように、スクラッチ・パッド記憶装置内のイン・シンク・クイズ・マトリックス（行ｊ）に格納する。しかし、メツセージに含まれている同期・同期前機能ビットが同期前ビットであれば、同期前メツセージに含まれているイン・、シンク・ウィズ・マトリックスが、ブロック１１５４で示すように、ビザンチン・ボータ記憶装置９７０　に格納される。

ノードの可能な動作セットの決定および動作フラグおよび温間始動フラグの設定について第８９図に示す流れ図に関連して説明する。ビザンチン・ボータ９５４は、判断ブロック１１５６　で示すように、聴取期間が過ぎ去るまで待ち、ブロック１１５７で示すように、ビザンチン・ボータ記憶装置９２０　　に格納されているインΦシンクφウィズ・マトリックスを使用してとザンチン投票を実行する。各ノードがビザンチン・ボータ記憶装置に格納されているイン・シンク・クイズ・マトリックスを送出するので、これらイン・シンク・クイズ・マトリックスは、第９４図に示すように、「イン・シンク・クイズ」ベクトルの三次元立方体を形成する。ビザンチン・ボータは、第９４図に矢印１２０４で示したように、イン−シンク・ウィズ・マトリックスを通して最初の投票を行うが、これによシ三次元マトリックスが、第９５図に示すように、二次元マトリックスに縮小する。

ビザンチン・ボータ９５４は次に第９５図に示す矢印１２０６の方向に第２の投票を行い、どのノードが互いに同期しているかに関してビザンチン合意を発生する。ビザンチン合意は、ブロック１１５８で示すように、可能性ある動作セラ）　（ＰＯＳ）として動作状態検出器１０００に送られる。動作状態検出器は次に、判断ブロック１１６０で示すように、可能な動作セット内のノードの数を始動に必要なノードの最小数と比較する。可能な動作セット内のノードの数が最小始動数よシ少ければ、動作状態検出器は、ブロック１１６１で示すように、温間始動フラグ１００２　および動作フラグ１００４を偽に設定する。しかし、可能な動作セット内のノードの数が始動数よシ大きければ、動作状態検出器１０００は、ブロック１１６２で示すように、それ自身のノードが可能な動作セット内にあるか決定する。そのノードが可能な動作セット内にあれば、動作状態検出器は、ブロック１１６４で示すように、動作フラグを真に設定し、ブロック１１６６で示すように、可能な動作セットを動作フラグと共に障害寛容器に送る。ノードが可能な動作セット内になければ、動作状態検出器は、ブロック１１６８で示すように、温間始動フラグ１００２を真に設定する。温間始動フラグを真に設定すると同期装置の動作が、第８６図のブロック１１０５で示すように、冷間始動モードから温間始動モードに切換わる。

障害寛容器に伝達された可能な動作セットおよび動作フラグはスケジューラ４０に転送され、動作コントローラの動作を開始する。

第９０図は冷間始動中の同期装置の動作を示す。

冷間始動の始めに各同期装置は「イン・シンク・クイズ」ベクトルがすべて０から成る初期システム状態メツセージを伝達する。時間刻印器９７２　　が次に、示したとおシ、時間刻印聴取期間中にシステム内の他のすべてのノードから受取った、原子期間＋ハードエラー・ウィンドウ期間に等しい、システム状態メツセージに時間刻印する。この期間中に、同期装置は初期同期システム状態メツセージから経過した亜原子期間の数をカウントし、適切な時刻に同期前システム状態メツセージを送る。この最初の同期前メツセージでは、この時点で他のノードからイン・シンク・ウィズ・ベクトルを受取っていないので、イン・シンク・ウィズ・マトリックスがすべて０である。同期前システム状態メツセージの伝達に続くハードエラー・ウィンドウの終シに、同期装置は受取った時間刻印を処理し、必要なＳＡＰデルタおよび同期デルタを発生し、同期前メツセージと次の同期メツセージとの間の時間間隔を調節する。同期装置はまたその時間刻印を選出時間刻印と比較しどのノードがそれと同期しているかを決定する。調節時間間隔の終シに、同期装置は発生した「イン・シンク・クイズ」ベクトルを備えている同期メツセージを再び伝達する。先行の同期前メツセージから次の同期前メツセージまでの期間中に、同期装置は他のノードから受取った「イン・シンク・クイズ」ベクトルを集めてスクラッチ・パッド記憶装置に格納し、スクラッチ・パッド記憶装置内に「イン・タンク・ウィズ」マトリックスに組立てる。

同期装置は次に原子期間あたシの亜原子期間の公称数をカウントし、スクラッチ・パッド記憶装置で組立てられた「イン・タンク・クイズ」マトリックスを含んでいる特別な「冷間始動」同期前システム状態メツセージ・を発生する。第２の同期前システム状態メツセージを送る前の聴取期間中に同期装置は他のノードから受取ったすべての同期メツセージに時間刻印する。ハードエラー・ウィンドウの時間区間内に第２の同期前システム状態メツセージを伝達するいずれかの側で、同期装置は他のノードにより伝達されたイン・シンク・ウィズ・マトリックスを集めてこれをビザンチン・ボータ記憶装置９７０　に格納する。ハードエラー・ウィンドウが終ってから、同期装置は同期前メツセージと次の同期メツセージとの間の時間区間に対する同期補正を計算し、ノード間の同期を行う。同期装置は次にそれ自身の「イン・シンク・クイズ」ベクトルを決定し、ビザンチン・ボータ記憶装置に格納されているイン・シンク・クイズ・マトリックスに関してビザンチン投票を行う。ＨＥＷ期間の終υに直ちに続くこの処理の期間中に、同期装置はまた可能性のおる動作セットが存在するか、およびそれ自身のノードが可能性ある動作セットに含まれているか否かを試験して確認する。

調節した同期化期間の終りに、同期装置はそれ自身の［イン・シンク・ウィズ」ベクトルを備えている同期システム状態メツセージをもう一度伝達する。

同期装置はまた他のノードによシ発生された「イン・シンク・クイズ」ベクトルから新しい「イン・シンク・クイズ」マトリックスを第２と第３との同期前システム状態メツセージの間に組立てる。この処理は可能な動作セットがビザンチン・ボータ記憶装置に格納されているイン・シンク・ウィズ拳マトリックスに関するビザンチン投票の結果によって決まるまで反復される。

温間始動中の同期装置の動作を第９１図に示す流れ図および第９２図に示すタイミング図に関連して説明することにする。温間始動中、同期装置は可能な動作セットの存在、およびその主要機能がこのセットの動作と同期させることであることを認識する。

第９１図を参照すると、温間始動は、判断ブロック１１７０で示すように、温間始動フラグを検出することから始まる。温間始動フラグが真であれば、時間刻印器は、ブロック１１Ｔ２で示すように、受取った各メツセージに時間刻印する。

イン・シンク・クイズ検出器は次に、判断ブロック１１７４で示すように、他のノードと「イン・シンク・クイズ」しているか決めるが、これはノード自身の時間刻印と受取った各メツセージの始間刻印との差を７１−ドエラー・ウィンドウと比較しあ行う。ノード自身の時間刻印と受取ったメツセージの時間刻印との差がＩ・−ドエラー・ウィンドウ期間より少ければ、ＩＳＷレジスタ９９６の中の［イン・シ／り・ウィズ」フラグを、ブロック１１７６で示すように、これが発生する各）−ドに対して真に設定する。それ自身の時間刻印と受取ったメツセージの時間刻印との差が７・−ドエラー・ウィンドウ期間より大きければ、ＩＳＷ検出器９９４は、ブロック１１７Ｂで示す″ように、ＩＳＷレジスタ９９６に格納されているその特定のノードに対する［イン・シンク・ウィズ」ビットを偽に設定する。

温間始動中、同期装置は聴取期間中に受取った、１原子期間＋ハードエラー・ウィンドウ期間に等しい、システム状態メツセージのすべてに時間刻印する。これは冷間始動中に使用される聴取期間と同じである。判断ブロック１１８０で示すように、聴取期間が行われると、同期装置は、ブロック１１８４で示すように、同期前システム状態メツセージと次の同期システム状態メツセージとの間の原子期間の長さを調節する同期修正を計算する。この修正の計算は冷間始動中に行われる計算と同じである。動作状態検出器１０００がそれ自身のノードがノードの現存ｆる動作セットと同期していると結論すれば、動作状態検出器は、ブロック１１８８で示すように、動作フラグを真に、ウオームアツプ・フラグを偽に設定し、ブロック１１９０で示すように、「イン・シンク・クイズ」ベクトルおよび動作フラグを障害寛容器３６に送る。障害寛容器３６はこのイン・シンク・ウィズ・ベクトルを後続の始動動作中にその初期システム状態ベクトルとして使用する。

今度は第９２図に示すタイミング図を参照すると、温間始動期間中、同期装置は同期および同期前のシステム状態メツセージを交互に伝達するだけである。

各同期および同期前のシステム状態メツセージと関連するハードエラー・ウィンドウに続く処理期間に、同期装置は同期修正を計算して同期前メツセージに続く原子期間の長さを調節し、現存する動作セットと同期させる。同期装置はまた同じ処理期間中にそれ自身の局部［イン・シンク・ウィズ」ベクトルを発生し、この「イン・シンク・クイズ」ベクトルを試験してそれ自身のノードが動作セットと同期しているか確認する。それ自身のノードが現存する動作セットと同期していれば、同期装置は動作状態に進み、ウオームアツプ状態を抜は出る。第９２図に示すように、この処理は同期装置が現存する動作セットと同期するまで反復される。

同期装置はまた、スケジューラ４０を参照して前に述べたように、タスク完了ベクトルおよび分岐条件（ットに関してとザンチン投票を行う。タスク完了ベクトルおよび分岐条件ビットはタスク対話整合性メツセージおよびシステム状態メツセージの中に別々のバイトとして実現され、メツセージ記憶装置９６４に格納される。

第９３図を参照すると、ブロック１１９２で示すように、各ハードエラー・ウィンドウの終りに、同期装置は、ブロック１１９４で示すように、タスク完了ベクトルをメツセージ記憶装置９６４　からビザンチン・ボータ記憶装置９７０　に転送する。タスク完了ベクトルをすべてビザンチン・ボータ記憶装置に転送してから、ビザンチン・ボータ９５４は、ブロック１１９６で示すように、転送されたすべてのタスク完了ベクトルに関してビザンチン投票を実行し、選出タスク完了（ＴＣ）　　ベクトルを発生する。同期装置は次に、ブロック１１９８で示すように、分岐条件ビットをビザンチン・ボータ記憶装置９７０　に転送し、ブロック１２００で示すように、ビザンチン投票を実行して選出分岐条件ビットを発生する。ビザンチン・ボータ９５４は次に、ブロック１２０２で示すように、選出タスク完了ベクトルおよび選出分岐条件ビットをスケジューラに送る。これによシ各ノードのスケジューラがタスク完了を一貫して障害寛容的に確実に記録することになる。

ビザンチン・ボータビザンチン・ボータの機能は一定の重大な事項に関し合意に達する際にノード間の整合性を保証することである。分布障害寛容システムの信頼性はすべての無障害ノードが一つ以上の障害ノードが存在するにかかわらず矛盾の無い合意に達する能力によって決まる。障害ノードの故障モードはすべてを数え上げることはズきないので、合意を達成する機構は任意の故障の存在時に証明可能に正しくなければな５ｈｏｓｔａｋ　、　Ｒ，、およびＰｅａｓｅ、　Ｍ、がＡＣＭＴＯＰＬＡＳ　、第４巻、第３号（１９８２年７月１９日）の「ビザンチンの司令官の問題」に、およびＪＡＣＭ第２７巻、第２号（１９８０年４月）の「欠陥の存在時の合意到達」に、述べているように、敵の都市の周シに野営したビザンチンの軍隊の数師団との類似によシ元々説明されたものである。ビザンチンの軍隊との類似においては、各師団はメツセンジャ（通信リンク）を介して他の司令官と通信することができる司令官（ノード）によって命令される。司令官は攻撃すべきか退却すべきかについて矛盾のない決定に到達しなければならない。焼入かの司令官は他の司令言違を困惑させようとする裏切シ者となることがある。あらゆる可能な故障モードを考えなければならないから、裏切シ司令官は嘘をつくこと、異なるメツセージを異なる司令官に送ること、中継したメツセージを勝手に変更すること、他の裏切シ者と結んで行動すること、ちるいは有害な方法で行動するように見せることが許容される。

システムの整合性を保証するシステム状態をビザンチン合意と言い、二つの条件によシ規定される。

１、合意：忠実な司令官はすべて送られた各メツセージの内容に同意する。

２、　妥当性：発信元司令官が忠実であれば忠実な受信側司令官はそのメツセージの内容に元々送られたものとして合意する。

これら合意条件は三つの重要な概念を具現している。第１に、発信元司令官が裏切シ者であれば、忠実な司令官によシ行われる特定の意志決定は彼等がすべて同じ意志決定をするとすれば実体が無い。第２に、合意に到達するには裏切り者を識別する必要がない。第３に、裏切シ者の挙動を制限する仮定がなされていない。

所定のメツセージに関するとザンチン合意を保証するためには、伝達の同期の過程が一つ以上必要である。各過程中に、各司令官は前の過程中に受取った各メツセージのコピーを放送する。少くとも４人の司令官が居シ、且つ２過程のメツセージが伝達されれば１人の裏切シ者が存在するとき合意を保証することができる。

数値データについて、二つの同様な条件を満たす近似的合意の状態を規定することも可能である。

１、　合意：無障害ノードはすべて互いの差が成る小さな範囲内にある数値に関して究極的に合意に達する。

２、　妥当性：各無障害ノードにより得られる選出値は無障害ノードによシ発生された初期値の範囲内になければならない。

ピザンチン・ボータの細部を第９６図に示してあシ、第９４図および第９５図にそれぞれ示す「イン・シンク・ウィズ」マトリックスおよびベクトルを参照して説明することにする。ここに説明するビザンチン・ボータは「イン・シンク・クイズ」ベクトル、タスク完了ベクトル、または瞬時用途に適用される２進ビツトに関する投票に限定されるものではないことを認識すべきである。

前に述べたとおり、各同期装置はそれ自身の「イン拳シンク・クイズ」ベクトルを発生し、これがシステム内の他のすべてのノードに伝達される。各ノー）”ハ他のすべてのノードから受取った「イン・シンク・クイズ」ベクトルを第７５図に示すようにスクラッチ・パッド記憶装置９６２に格納して「イン・タンク・クイズ」マトリックスを形成する。冷間始動動作モード中、この「イン・シンク・クイズ」マトリックスは、第８５図に示すように、各同期前システム状態メツセージと共にシステム内の他のすべてのノードに伝達される。各同期装置は次にこれら各「イン・シンク・クイズ」マトリックスを、第９４図に示すように、ビザンチン・ボータ記憶装置に格納して三次元立方体を形成する。これはビザンチン合意に必要な２ラウンドの伝達を構成するものである。

ビザンチン・ボータは先ず、第９４図に矢印１２ｏ４の方向によシ示すように、マトリックスを通して長手方向にマトリックスの各「イン・シ／り・クイズ」ビットの値に関して投票する。最初の投票によシ、三次元立方体が、第９５図に示すように、二次元マトリックスに縮小する。この二次元マトリックスでは各「イン・シンク・クイズ」ビットが最初の投票による選出値である。ビザンチン・ボータ９５４　は次に、第９５図に示す「イン・シンク・クイズ」マトリックスの各列の「イン・シンク・クイズ」ビットの値について投票する。ビザンテンーボーＩＶｃよる第２の投票の方向を矢印１２０６によシ示しである。

第２の投票の結果はシステム内の各ノードに対する個々の「イン・シンク拳ウィズ」ビットのビザンテン合意でアシ、これは、第７７図に示すように、動作状態検出器１０００に伝達される。ビザンチン・ボータの回路の詳細を第９６図に示す。

第９６図を参照して、データ・ハンドラ９６８　はビザンチン・ボータにより投票されることになっているデータをビザンテンφボータ記憶装置９７０　にロードする。ビザンテン・ボータ制御論理１２３ｏはメツセージ形式および動作フラグに応じてアドレス発生器１２１０を作動させる。先に説明したとおシ、ビザンチンーボータはタスク対話整合性メツセージに含まれているタスク完了メツセージお二び分岐条件ベクトル、および冷間始動動作モード中の同期前システム状態メツセージに含まれている「イン・シンク・クイズ」マトリックスに関して投票する。アドレス発生器１２１０は適切な仕方でビザンチン・ボータ記憶装置にアドレスし、アドレスしたデータをデータφレジスタ１２０８に格納する。データ・レジスタ１２０８の中の各ビットは複数のＡＮＤゲート１２１２乃至１２２６　　の一つの入力に加えられる。各ＡＮＤゲートはデータ・レジスタ１２０８に格納されているそれぞれの一つのデータ・ビットを受取る。

デコーダ１２２８は、アドレス発生器によシ発生されているアドレスに応じて、第９５図に示すブロックのＸによシ示したように、各ノードによシそれ自身に対して発生された「イン・シンク・クイズ」ビットに対応するＡＮＤゲートの一つを選択的に作動解除する。

メツセージ・カウンタ１２８４はビザンチン記憶装置９７０　にロードされているベクトルまたはマトリックスの数を監視し、ビザンチン・ボーク記憶装置９７０　にロードされているベクトルまたはマトリックスの数の半分に対応する２の補数値を発生する。

この値は同様な複数の２：１乗算器１２３２乃至１２４６、および加算器１２４８乃至１２６２　　を介して複数のアキュムレータ１２６４乃至１２７８にロードされる。

ビザンチン・ボーク制御論理の制御のもとにデータ・レジスタは次に２：１乗算器１２３２乃至１２４６をＡＮＤゲート１２１２乃至１２２６の出力に切換え、データ・レジスタに格納されている内容をアキュムレータに格納されている量に加算する。ピザンチン制御論理は次にメツセージ形式および動作フラグにしたがってデータをビザンチ／・ボータ記憶装置からデータ・レジスタ１２０８にロードする。たとえば、ビザンチン投票が冷間格納中に発生された「イン・シンク− ウィズ」マトリックスの間で行われているとすると、−アドレス発生器１２１０はノード０からのイン−シンク・ウィズ・ベクトルをノードＯによシ伝達されたマトリックスから順次ロードし、次に順次にノード１からノード７までのマトリックスをロードする。加算器１２４８乃至１２６２の各々においてビット値をアキュムレータ１２６４　乃至１２Ｔ７に格納されている量に加算する期間中に、和が０よシ大きければ、あふれビットが発生する。加算プロセス中に発生するあふれビットはビザンチン選出値レジスタ１２８０に格納される。ノード７からのマトリックスからのデータが処理されてから、ビザンチン選出値レジスタの内容が、このデータをビザンチン・ボータ記憶装置９７０に格納して二次元マトリックスを形成する、第９５図に示すような、に３乗算器に送られる。

アドレス発生器は次にノード１からの「イン・シンク・クイズ」ベクトルをノードＯからノード７までからのマトリックスからノードＯの「イン・シンク・ウィズ」ベクトルに関して前に行ったように取出して処理する。最初にメツセージ・カウンタ１２８４がアキュムレータに処理されるマトリックスの数の半分に対応にする２の補数値をロードする。アドレス発生器は次に、前に説明したように、ノードＯ乃至ノード７から受取ったマトリックスから取った、ノード１によシ発生された「イン・シンク・ウィズ」ベクトルをロードする。再び、加算の結果がＯを超過したことを示すあふれビットは、乗算器１２８２を通してやはシビザンチン・ボータ記憶装置９７０に格納されているビザンチン選出値レジスタ１２８０に格納される。このプロセスは各ノードによシ発生された「イン・シンク・クイズ」ベクトルに対して反復され、ノード７からのベクトルが完全に処理されてすべてのとザンチン選出値がとザンチン書ボーク記憶装置に格納し戻され、第９５図に示す二次元マトリックスが形成されたとき終結する。

最初の投票がすべてのノードからの「イン・シンク・クイズ」マトリックスに格納されているすべての「イン・シンク・クイズ」マトリックスに関して完了したら、ビザンチン・ボータ制御論理は第２の投票を開始するが、これでは投票は、第９５図の矢印１２０６で示すように、列を下って行われる。第２の投票期間中に、アドレス発生器１２１０はノードＯに対する列をデータ・レジスタ１２０８にロードする。

メツセージ・カウンタは再びビザンチン拳ポータで処理されるべきビット数の半分の値に対応する２の補数をアキュムレータ１２６４乃至１２７８　　にロードする。加算器は次にデータ・レジスタに格納されているビットをアキュムレータ１２６４乃至１２７８に格納されている値に加算する。このプロセスはすべてのノードに対する列が処理されてしまうまで反復される。再び、加算器１２４８乃至１２６２で生じたあふれビットはビザンチン選出値レジスタ１２８０に格納される。ビザンチン・ポータ制御論理は次に、前に説明したように、１：３乗算器を作動させ、とザンチン選出値レジスタに格納されている「イン・シンク・クイズ」ベクトルを動作状態検出器１０００に送る。

この「イン・シンク・クイズ」ベクトルはどのノードが互いに同期しているかに関するビザンチン合意を表わしている。

ビザンチン・ボータがタスク対話整合性メツセージおよびシステム状態メツセージに含まれているタスク完了ベクトルおよび分岐条件ビットに関して投票しているとき、データ・ハンドラはこれらの値をビザンチン・ボータ記憶装置９７０　　にロードする。

ビザンチン・ボータ制御論理は１２３０が次に、「イン・シンク・ウィズ」ベクトルに関する第２の投票を参照して前に説明したとおシ、アドレス発生器１２１０を作動させてタスク完了ベクトルの列をデータ・レジスタ１２０８にロードする。投票プロセスは「イン・シンク・クイズ」ベクトルに関する第２の投票の投票プロセスと同じであシ、選出値は加算器１２４８乃至１２６２のあふれ出力からビザンチン選出値レジスタにロードされる。ビザンチン・ポータ制御論理は次に、先に説明したように、１：３乗算器１２８２を作動させて選出されたタスク完了ベクトルおよび選出された分岐条件ビットをスケジューラ・インターフェース９４４　に送る。

ここに説明した動作コントローラおよびサブシステムはアプリケーション・タスクおよびオーバヘッド機能の機能的および物理的分配に基く分布型多重コンピュータ障害寛容構造を表わしている。本発明をここに例示し説明した構造に限定するつもシはない。当業者が前に述べ且つ特許請求の範囲に示した本発明の精神を逸脱することなく変更および改良を行うことができるということがわかっている。

浄書（内容に変更なし）ＳＹＮインク−“フー、イスヘ意灸り　パλトフ才一マットスフラッヂハ゛ド°メモリヤ２つ穿快の間芝平成　　　年　　　月　　　日特許庁長官殿　　　　　　　　　　　２．７，１８２、発明の名称耐障害多重ノード処理装置用動作制御装置３、補正をする者事件との関係　　　　　特　　許　出願人名称（氏名）　　アライド・コーポレーションこ　　　　　、　　　　　　　　　　　　“国際調査報告

Claims

【特許請求の範囲】１．各ノードが所定のタスクセツトを実行するためのアプリケーシヨンプロセツサと、装置内の他の全てのノードと同期してそれ自身のノードを設定および維持するため、それ自身のノードの動作を制御するため、および装置内の他の全てのノードとのノード間メツセージ交換により装置内の他の全てのノードと調整してそれ自身のアプリケーシヨンプロセツサにより実行すべきタスクを選択するための動作制御器とを有する耐障害多重ノード処理装置内において、それ自身の動作制御器により発生されたノード間メツセージを、それ自身のノードを含めた装置内の全てのノードへ、専用通信回線を通じて送る送信器にして、この送信器は、２つまたはそれ以上のメツセージが同時に送る用意ができている時に前記ノード間メツセージを送る順序を決定する仲裁器を有する前記送信器と、前記複数のノードのそれぞれ１つにおのおの組合わされ、そのノードからのメツセージを受けるだけである複数の受信器と、受けた各メツセージの物理的誤りと論理的誤りを検査して、検出された各誤りを識別する誤り状態バイトを含む内部誤りレポートを発生し、かつ各前記受信器をポーリングして、受信メツセージを繰返えし順序でアンロードするメツセージ検査器と、同じ情報を含んでいる誤りのない全てのメツセージの内容について票決して票決された値を発生する票決器と、所定の逸脱値以上だけ票決値とは異たる内容を有する前記票決値の発生に用いられるメツセージを送つた各ノードを識別する逸脱ベクトルを含む内部誤りレポートを発生する逸脱検査器とを有する票決器サプシステムと、前記メツセージ検査器から受けた誤りのない全てのメツセージを前記票決器サプシステムへ送り、全てのサプシステムにより累積された前記誤りレポートの全てを含むノード間誤りメツセージを発生し、検出された誤りの数と前記内部誤りレポート内て識別された検出された誤りの厳しさとを基にして、装置内の各ノードに対するベースペナルテイカウントを発生し、ノード間ベースペナルテイカウントの交換により各ノードに対するベースペナルテイカウントを全体的に確認し、かつ所定の除外しきい値をこえるベースペナルテイカウントを有する各ノードを識別する装置状態ベクトルを発生するための耐障害器と、ノード自身のアプリケーシヨンズプロセツサにより実行する次のタスクをアクテイプタスクリストから選択し、装置内の他のノードのスケジユーリングを複製し、タスク完了／開始メツセージの交換により各ノードによるスケジユーリングと実行において全体的なデータベースを維持し、スケジユーリングプロセスがそのノードに対して複製されたスケジユーリングプロセスとは異なるような各ノードを識別する誤りレポートを発生するためのタスクスケジユーラーにして、耐障害器により発生されて除外されないノードの数を変化を示す前記装置状態ベクトルに応答して前記アクテイプタスクリストを再構成する手段を更に有する前記タスクスケジユーラーと、データメモリと、前記票決値を前記データメモリに格納し、スケジユーラーにより選択されたタスクの実体をアプリケーシヨンプロセツサへ送り、選択されたタスクの実行のために求められる票決値を取出し、それらの票決値をアプリケーシヨンプロセツサへ送り、完了したばかりのタスクとアプリケーシヨンプロセツサにより開始された新しいタスクを識別するタスク完了／開始メツセージを発生し、選択されたタスクの実行中にアプリケーシヨンプロセツサにより発生されたデータ値を含むノード間データ値メツセージを発生するためのタスクコミユニケータと、それ自身のノードの動作を、ノード間の時間依存メツセージの交換により、装置内の障害のない他のノードの全てと同期させ、ローカルな時刻を示す時刻スタンプを格納する同期器と、を備え、各前記時間依存メツセージは受信され、それ自身の時間依存メツセージの時刻スタンプと、所定の時間ウインドウ内で受けた全ての時間依存メツセージに対する時刻スタンプから取出した票決時刻スタンプとの間の差を基にしてそれ自身の同期を修正する動作制御器。２．請求項１記載の動作制御器において、前記送信器は、前記耐障害器により発生されたメツセージを受ける第１のインターフエイスと、前記タスクコミユニケータにより発生されたメツセージを受ける第２のインターフエイスと、前記同期器により発生された前記ノード間時間依存メツセージを受ける同期器インターフエイスと、送信すべきメツセージを受ける前記第１のインターフエイスと前記第２のインターフエイスおよび前記同期器インターフエイスに応答して、それらのメツセージの優先順位を仲裁し、どのメツセージを送信するかを示す送信信号を発生し、前記第１のインターフエイスと前記第２のインターフエイスにより受けられたノード間メツセージの送信が前記時間依存メツセージの送信とインターフエイスするならば、それらのノード間メツセージの送信を遅らせる仲裁器と、前記ノード間メツセージを、専用通信回線を介して前記処理装置内の全てのノードへ送るために、直列フオーマツトに変換する並列−直列変換器と、前記第１のインターフエイスと、前記第２のインターフエイスと、前記同期器インターフエイスとに格納されているノード間メツセージを、前記仲裁器により発生された送信信号に応答して、前記並列−直列変換器へ送る第１のマルチプレクサと、を備える動作制御器。３．請求項２記載の動作制御器において、各前記ノード間メツセージは、メツセージに含まれている情報の種類を識別するメツセージ種類符号と、メツセージに含まれている特定のデータ値を独自に識別するデータ識別符号とを有し、前記メツセージ検査器は、前記複数の受信器の間でコンテキスト切換えを所定の順序で行つて、受信したノード間メツセージを受信器からアンロードするシーケンサ手段と、各ノードに対して１つのエントリイを有し、処理されるメツセージに属する関連する情報を格納するコンテキスト記憶装置と、メツセージに含まれているノード識別符号を、メツセージを受けた受信器に関連する予測されるノード識別符号を参照して検査し、メツセージ種類符号を検査し、データ識別符号を最大データ識別符号に対して検査し、メツセージに含まれているバイトの数を検査し、前記誤り状態バイト内の記録された全ての誤りを記録する誤り検査論理手段と、メツセージ中に含まれている値を所定の最大限度値および所定の最小限度値に対して検討して、メツセージに含まれているデータ値が前記最大限度値と前記最小限度値内にない時は、超えた限度誤りを前記誤り検査論理手段へ常に知らせる限度間検査器手段と、受けた各メツセージを更に処理するために前記耐障害器へ送るマルチプレクサ手段と、を備え、各前記エントリイは少くとも、メツセージ種類符号と、データ識別符号と、処理される特定のバイトを識別するバイトカウントと、誤り状態バイトとを格納し、前記誤り検査論理手段は前記誤り状態バイト内の前記超えた限度誤りを記録し、前記マルチプレクサ手段は、各メツセージが通された時に、前記コンテキスト記憶装置に現在含まれている前記誤り状態バイトを含んでいる誤りレポートをその各メツセージに付す動作制御器。４．請求項３記載の動作制御器において、前記耐障害器は、前記メツセージ検査器から受けた誤りのない全てのノード間メツセージの内容を格納するデータメモリと、受けた全ての誤りレポートの内容を格納する誤りフアイルと、どのノードに障害が起きているかを判定し、装置内の他の全てのノードと一致して、その障害を起しているノードを、前記ノード間メツセージの交換により、前記多重ノード処理装置の動作に関与することから除外する手段を更に有し、前記複数のサプシステムから受けた誤りレポートを前記誤りフアイルに格納し、前記誤りフアイルの内容から各ノードに対するベースペナルテイカウントであつて、その特定のノードの動作状態を示す前記ベースペナルテイカウントを格納する誤り取扱い器手段と、前記メツセージ検査器を通つた誤りのない全てのメツセージを前記データメモリに格納し、障害を起しているノードの識別を前記スケジユーラーを送り、かつ全ての誤りレポートを前記誤り取扱い器へ送るための手段と、を更に備え、前記ノード間メツセージは誤りメツセージを含み、各誤りメツセージは特定のノードに対する前記誤りフアイルの内容と、各ノードのベースペナルテイカウントを含むベースペナルテイカウントメツセージとを含む動作制御器。５．請求項４記載の動作制御器において、前記票決器サプシステムは、前記障害器から受けたデータ値を分類して上側中間値を発生する上側中間値ソータと、前記耐障害器から受けたデータ値を分類して下側中間値ソータと、前記上側中間値と前記下側中間値の平均を求めて、前記票決値を発生する平均手段と、受けた各メツセージの内容を前記上側中間値および前記下側中間値と比較して前記逸脱ベクトルを発生する逸脱検査器手段と、前記耐障害器から受けたメツセージの内容を前記上側中間値ン−タと前記下側中間値ソータおよび前記逸脱検査器手段にロードするローダ手段と、を備える動作制御器。６．請求項５記載の動作制御器において、前記タスクスケジユーラーは、前記多重ノード処理装置内の各アクテイプタスクにエントリイを含むタスクアクテイビテイリストと、実行のために利用できる、前記タスクアクテイビテイリスト内のアクテイプなタスクの選択された部分を含む優先走査リストと、前記優先走査リスト内に格納されている前記アクテイプタスクの同じ選択された部分を格納する完了状態リストと、各ノードに対して、選択する用意がてきているアクテイプタスクをそれらの好適な実行順序で格納する選択列と、前記基本的なタイミング期間をカウントして、新しいマスタ期間が過ぎた基本的な期間の数に対応する期間カウントを発生する期間カウントと、前記タスクアクテイビテイリストを質問して前記優先走査リストと前記期間カウントより長い周期性を有する全てのアクテイプタスクの前記完了状態リストとを転送するウエイクアツプシーケンサ手段と、各ノードエントリイに対して、前記優先走査リスト内の、そのノードにより実行する用意ができている最高の３つの優先アクテイプタスクを各ノードエントリイに対する前記選択列へ転送する優先走査手段と、それ自身のノードのための前記選択列に現在格納されている最高優先アクテイプタスクを、それ自身のアプリケーシヨンズプロセツサにより実行することを予定されている次のタスクとして選択するタスク選択器手段と、前記タスクアクテイプテイリストと、前記優先走査リストと、前記完了状態リストと、タスクの完了を知らせるノード間メツセージにおいて識別される前記選択列とにおける各タスクの状態を更新するタスク相互作用一貫性取扱い器手段と、を備え、前記各エントリイはそのタスクのための実行周期性とノード割当てとを含み、前記アクテイプタスクの前記選択された部分はそれらの好適な動作順序で格納される動作制御器。７．請求項６記載の動作制御器において、前記タスクコミユニケータは、票決値を格納する複数のエントリイをおのおの有し、コンテキストビツトにより識別される少くとも２つの区画をおのおの有し、前記票決値を格納するデータメモリと、各データ識別符号のためのコンテキストビツトを格納するコンテキストビツトメモリと、前記タスクスケジユーラーにより発生された前記タスク終了信号に応答して、前記ビツトメモリ内のコンテキストビツトの補数をとる終了記録器と、前記メモリ内メツセージ種類符号と、前記データ識別符号と、票決値に関連する前記コンテキストビツトの補数とを前記データメモリ内に適切にエントリイするためのアドレスとして用いて前記票決値を前記データメモリに格納する記憶装置データ制御器と、アプリケーシヨンズプロセツサにより実行するためにタスクスケジユーラーにより選択されたタスクのタスク識別符号を格納する次のタスクレジスタと、アプリケーシヨンズプロセツサにより実行すべき次のタスクの実体と、前記次のタスクの実行のために求められる票決値とを格納するためにアプリケーシヨンズプロセツサによりアクセスできる入力ＦＩＦＯと、処理装置内の全てのノードへ送られる前記タスク完了／開始メツセージを発生することを前記先行するタスクに完了させるアプリケーシヨンズプロセツサに応答して、前記次のタスクのタスク識別符号を前記入力ＦＩＦＯレジスタへ転送させ、かつ前記次のタスクの実行のために求められる票決値のための前記データメモリをアクセスする入力取扱い器と、端タスクの実行の結果として得たデータ値を前記アプリケーシヨンズプロセツサから受ける出力ＦＩＦＯレジスタと、前記多重処理装置内の全てのノードへ送られるデータ値メツセージを発生する出力取扱い器と、を備え、前記コンテキストビツトは、アプリケーシヨンズプロセツサによるタスクの実行に用いる用意ができている、前記データメモリに格納されている前記票決値を識別し、前記入力取扱い器は前記コンテキストビツトを用いて、前記データメモリ内のどの票決値を前記次のタスクの実行に使用するかを識別し、前記データ値メツセージは、前記出力ＦＩＦＯレジスタに格納されているデータ値と、そのデータ値のための識別符号とを含む動作制御器。８．請求項７記載の動作制御器において、前記時間依存メツセージは交番する同期時間依存メツセージおよび前同期時間依存メツセージを含み、前記同期器は、前記同期時間依存メツセージおよび前同期時間依存メツセージを受けるメツセージインターフエイスと、ローカル時間を発生するカウンタ手段と、装置内の各ノードに対して１つのエントリイを有する時刻スタンプメモリと、各ノードからの時間依存メツセージの受信に応答して、前記時間依存メツセージが受けられるローカル時間に対応する時刻スタンプを発生し、それから時間依存メツセージが受けられたノードに関連するエントリイ内の前記時刻スタンプメモリに前記時刻スタンプを格納する時刻スタンバと、前記前同期時間依存メツセージのための前記時刻スタンプメモリに格納されている時刻スタンプの中間値に対応する票決された時刻スタンプを発生する時刻スタンプ票決器と、前記票決された時刻スタンプとそれ自身の前同期時間依存メツセージの間の差に対応する値を有する同期デルタを発生する同期修正発生器と、前記同期デルタを公称送信時間間隔に加える手段と、前記同期時間依存メツセージと前記前同期時間依存メツセージを発生するメツセージ発生器手段と、を備え、前記公称送信時間間隔は、同期時間依存メツセージの送信の終りと前同期時間依存メツセージが前記送信器へ通る時との間の最短タイミング間隔に対応し、前記メツセージ発生器手段は、前記最短送信タイミング間隔の終りに前記前同期時間依存メツセージ送信器へ送り、前記実際の送信タイミング間隔の終りに前記同期時間依存メツセージを送信器へ送る動作制御器。９．所定のタスクセツトを処理するアプリケーシヨンズプロセツサ（１４）と、それ自身のノードの動作を制御する動作制御器（１２）とを有し、動作制御器（１２）は処理装置内の他の全てのノード（１０）へメツセージを送信する送信器（３０）と、公称タイミング間隔だけ時間的に分離されている交番する前同期メツセージと同期メツセージを含むノード間時間依存メツセージの交換により、それ自身のノード（１０）の動作を装置内の他の全てのノード（１０）の動作に同期させる同期器（４６）とを有する、多重ノード処理装置において、同期時間依存メツセージと前同期時間依存メツセージを受けるメツセージインターフエイス（９４２）と、ローカル時間を発生するカウンタ手段（９６９，９７１）と、装置内の各ノード（１０）に対して、関連するノードから受けた最近の時間依存メツセージに対する時刻スタンプをおのおの格納する１つのエントリイを各ノード（１０）に対して有する時刻スタンプメモリ（９６６）と、各ノード（１０）からの時間依存メツセージの受信に応答して、その時に前記時間依存メツセージが受けられるローカル時刻に対応する時刻スタンプを発生し、かつ、それから時間依存メツセージが受けられたノード（１０）に関連するエントリイ内の前記時刻スタンプメモリ（９６６）に前記時刻スタンプを格納する時刻スタンバ（９７２）と、前記前同期時間依存メツセージのための前記時刻スタンプメモリ（９６６）に格納されている時刻スタンプの中間値に対応する票決された時刻スタンプを発生する時刻スタンプ票決器（９５６）と、前記票決された時刻スタンプとそれ自身の前同期時間依存メツセージの間の差に対応する値を有する同期デルタを発生する同期修正発生器（９９０）と、前記同期デルタを公称送信時間間隔に加えて実際の送信タイミング間隔を発生する手段と、前記同期時間依存メツセージと前記前同期時間依存メツセージを発生するメツセージ発生器手段（９９８）と、を備え、前記公称送信時間間隔は、同期時間依存メツセージの送信の終りと、前同期時間依存メツセージの送信器（３０）への送信との間の公称タイミング間隔に対応し、前記メツセージ発生器手段（９９８）は、前記公称送信タイミング間隔が過ぎた時に前記前同期時間依存メツセージを送信器（３０）へ送り、かつ、前記実際の送信タイミング間隔が過ぎた時に前記同期時間依存メツセージを送信器へ送る多重ノード処理装置。１０請求項１記載の同期器において、前記同期時間依存メツセージと前記前同期時間依存メツセージの送信の終りに一致する少くとも第１の信号と、その間にそれ自身のノードに同期しているノードから前記同期時間依存メツセージと前記前同期時間依存メツセージの全てを受けなければならないような、前記第１の信号を囲む時間間隔を定めるハード誤り信号とを発生するタイミング信号発生器（９５０）を有し、前記同期器（４６）は前記ハード誤りウインドウ内て受けられなかつた時間依存メツセージを有する各ノード（１０）に対して前記時刻スタンプメモリ（９６６）内に時刻スタンプを記録することを前記時刻スタンバ（９７２）に対して禁止し、前記ハード誤りウインドウ内て受けられなかつた時間依存メツセージを有する各ノードに対するハード誤りを記録するためのハード誤りウインドウ検出器（９７６）を有する同期器（４６）。１１．請求項２記載の同期器（４６）において、前記タイミング信号発生器（９５０）は、前記第１の信号を複数のサプ間隔に分割する第２のタイミング信号を発生し、前記カウンタ手段（９６９，９７１）は、前記第１のタイミング信号の間で前記第２のタイミング信号をカウントしてサプ間隔カウントを発生する第１のカウンタ手段（９７１）と、前記第２のタイミング信号の間でクロックパルスをカウントしてクロツクカウントを発生する第２のカウンタ手段と、を備え、前記時刻スタンプは前記サプ間隔カウントを含む粗時刻スタンプ部と、前記クロツクカウントを含む精密スタンプ部分とを含む同期器（４６）。１２．請求項３記載の同期器（４６）において、前記時刻スタンプ票決器（９５６）は、前器タイミングスタンプメモリ（９６６）に格納されている前記サプ間隔カウントの中間値に対応する票決された粗時間間隔と、前記時間メモリ（９６６）に格納されている前記クロツクカウントの中間値に対応する票決された精密時刻スタンプとを発生し、前記同期修正発生器（９９０）は、前記票決された粗時刻スタンプと、それ自身の粗時刻スタンプの間の差に等しい粗デルタと、前記票決された精密時刻スケジユーラーと、それ自身の時刻スタンプ中のクロツクカウントの数との間の差に等しい精密デルタとを発生する同期器（４６）。１３．請求項４記載の同期器（４）において、前記同期時間依存メツセージと前記前同期時間依存メツセージは同じメツセージ種類符号を有し、かつそれに含まれている機能ビツトにより識別され、前記同期器（４６）は、わるいメツセージ種類符号を有するハード誤りウインドウ内でメツセージを送る各ノード（１０）に対してシーケンス誤りを記録し、かつ、その中においては前記同期時間依存メツセージと前記前同期時間依存メツセージが交互に受けられないような各ノード（１０）に対するシーケンス誤りを記録する予測されるメツセージ検出器（９７４）を更に有し、前記予測されるメツセージ検出器（９７４）は、検出された誤りシーケンスを有するメツセージを送つた各ノード（１０）に対する前記時刻スタンバ（９７２）が前記時刻スタンプメモリ（９６６）に時刻スタンプを記録することを禁止する動作制御器。１４．各ノード（１０）が１組のアプリケーシヨンズタスクの所定のサプセツトを実行できるアプリケーシヨンズプロセツサ（１４）と、ノード（１０）の動作を制御し、前記タスクの所定のサプセツト内の個々のタスクを、データと動作情報を含むノード間メツセージを処理装置内の他の全てのノード（１０）と交換することにより、アプリケーシヨンズプロセツサ（１４）により実行する順序をスケジユーリングし、動作制御器（１２）は少くとも２つのタイミング期間間隔と、基本タイミング期間と、この基本クイミング間隔の整数倍であるマスタ期間とを発生し、そのマスタ期間は、その間で前記所定のタスクサプセツト内のあらゆるタスクがアプリケーシヨンズプロセツサにより少くとも１回実行するためにスケジユールをたてられたタイミング期間を定める多重ノード耐障害処理装置において、前記多重ノード処理装置内の各アクテイプタスクのためのエントリイを含むタスクアクテイビテイリスト（４４４）と、実行のために利用できる、前記タスクアクテイビテイリスト（４４４）内のアクテイプタスクの選択された部分を含む優先走査リスト（４４６）と、前記優先走査リスト（４４６）内に格納された前記アクテイプタスクの同じ選択された部分を格納する完了状態リスト（４３８）と、各ノードに対して、それの好適な実行順序で選択する用意ができているアクテイプタスクを格納する選択列（４５０）と、新しいマスタ期間の初めから切れている前記基本タイミング期間の数に対応する期間カウンタ（４４２）と、前記タスクアクテイビテイリスト（４４４）を質問して、前記期間カウントより長い周期性を有する全てのアクテイプタスクを前記優先走査リスト（４４６）と前記完了状態リスト（４３８）へ転送するウエイクアツプシーケンサ手段（４４０）と、各ノードエントリイに対して、そのノードにより実行される用意ができている最高３つの優先走アクテイプタスクを前記選択列（４５０）へ転送する優先走査手順（４４８）と、それ自身のノードのために、それ自身のアプリケーシヨンズプロセツサにより実行するためにスケジユールされている次のタスクとして、前記選択列中に現在格納されている最高優先度のアクテイプタスクを選択するタスク選択器手段と、前記タスクアクテイビテイリスト（４４４）内と、前記優先走査リスト（４４６）と、前記完了状態リスト（４３８）と、前記選択列（４５０）とにおける各タスクの状態を更新するタスク相互作用一貫性取扱い器（４３６）と、を備え、前記各エントリイは実行周期性とそのタスクに対するノード割当とを含み、前記アクテイプタスクの前記選択された部分はそれらの好ましい実行順序で格納されるタスクスケジユーラー（４０）。１５．請求項１記載のタスクスケジユーラー（４０）において、前記完了状態リスト（４３８）の各タスクエントリイは、そのタスクを実行することをスケジユールに組まれているノードの数の２の補数を格納する完了カウントエントリイを有し、前記タスク相互作用一貫性取扱い器（４３６）は、そのタスクをどのノードが完了したかを識別するノード間メツセージに応答して前記完了カウントを増加し、前記完了カウントが零まで減少させられて、そのタスクを実行することがスケジユールに組まれている全てのノード（１０）によりタスクが実行されたことを示す時に、終了されたフラツグをセツトする手段を有するタスクスケジユーラー（４０）。１６．請求項１記載のタスクスケジユーラー（４０）において、前記タスクアクテイビテイリスト（４４４）の各タスクエントリイと前記優先走査リスト（４４６）は、それを実行できる前に終了させねばならない先行カウントを有し、前記タスク相互作用一貫性取扱い器（４３６）は、それに対しては終了されたタスクが先行するような全てのタスクの実体を格納する後継リストと、タスクの終了に応答して前記後継リストをアクセスし、それに対しては終了させられたタスクが先行するような各タスクを識別し、かつ前記各識別されたタスクのための前記タスクアクテイビテイリスト（４４４）および前記優先走査リスト（４４８）の内部の先行カウントを減少させるための手段とを有するタスクスケジユーラー（４０）。１７．請求項３記載のタスクスケジユーラー（４０）において、各ノード（１０）に対して、そのノードにより現在実行されているタスクを格納する「古いタスク」リスト（４５８）を更に有し、前記タスク相互作用一貫性取扱い器（４３６）は、新じいタスクを開始したことを知らせた各ノード（１０）のための現在格納されている最高優先度のタスクを前記選択列（４５０）内で「使用ずみ」として記録し、かつ前記最高優先度のタスクの実体を前記「古いタスク」リスト（４５８）内に記録する手段を有するタスクスケジユーラー（４０）。１８．請求項１記載のタスクスケジユーラー（４０）において、ノード（１０）の間で交換されるノード間メツセージはタスク完了／開始メツセージとタスク相互作用一貫性メツセージを含み、前記タスク完了／開始メツセージは、ノードが新しいタスクを開始した時は常に他の全てのノード（１０）へ送られ、前記タスク完了／開始メツセージは少くとも開始されたタスクの実体とそのノードにより完了されたタスクの実体を含み、前記タスク相互作用一貫性メツセージは所定のタイミング間隔で送られ、かつ、タスク完了／開始メツセージを送つた各ノード（１０）を識別するタスク完了ベクトルを含み、前記タスク完了ベクトルは前記所定のタイミング間隔で全てのノード（１０）から受けたタスク完了／開始メツセージの票決された複合物であり、前記タスクスケジユーラー（４０）は、そのノード（１０）から受けた前記タスク完了／開始メツセージ中に開始したと報じられたタスクの実体を格納し、前記タスク相互作用一貫性取扱い器（４３６）は前記タスク相互作用一貫性メツセージに含まれているタスク完了ベクトルに応答して、前記タスク完了ベクトルにおいてタスクを完了したとして識別された各ノード（１０）に対して格納された最高優先度のタスクの実体を、前記タスク開始レジスタ（４３４）に格納されているタスクの実体と比較し、それらが同じでない時はシーケンス誤りを発生するタスクスケジユーラー（４０）。１９．各ノードが所定のタスクセツトを実行するためのアプリケーシヨンズプロセツサと、ノード間メツセージを交換することにより、それ自身のノードの動作を処理装置内の他の全てのノードと一致して制御するための動作制御器とを有し、動作制御器はノード間メツセージを発生する少くとも３つのサプシステムを含み、それらのサプシステムは、多数のノードの相互の同期をとるのに用いられる所定の時間間隔をマークする時間依存ノード間メツセージを発生して、アプリケーシヨンズプロセツサにより実行するタスクのスケジユーリングを統合されたやり方で行う同期器と、動作制御器のための送信器とを有する多重ノード処理装置において、第１のサプシステムにより発生されたメツセージを受けるインターフエイスと、第２のサプシステムにより発生されたメツセージを受ける第２のインターフエイスと、前記同期器により発生された前記時間依存ノード間メツセージを受ける同期器インターフエイスと、送るべきメツセージを受けている前記第１のインターフエイスと、前記第２のインターフエイスと、前記同期器インターフエイスとに応答してそれらのメツセージの優先順位を仲裁し、どのメツセージを送るかを識別する送信信号を発生し、前記第１のインターフエイスと前記第２のインターフエイスにより受けられたメツセージの送信が前記時間依存ノード間メツセージの送信を妨害するならば、前記第１のインターフエイスと前記第２のインターフエイスにより受けられたメツセージの送信を遅らせる仲裁器と、前記ノード間メツセージを専用通信回線を介して前記処理装置内の全てのノードへ送信するための直列フオーマツトに変換する並列−直列変換器と、前記第１のインターフエイスと、前記第２のインターフエイスと、前記同期器インターフエイスとの１つに格納されているメツセージを、前記仲裁器により発生された前記送信信号に応答して前記並列−直列変換器へ送る第１のマルチプレクサと、を備える多重ノード処理装置。２０．多重ノード処理装置内の各ノードが所定のタスクセツトを実行するためのアプリケーシヨンズプロセツサと、データと動作情報を含んでいるノード間メツセージを交換することにより、処理装置内の他のノードと一致してノードの動作を制御するための動作制御器とを有し、各動作制御器は複数の受信器を有し、各受信器は前記多数のノードのうちの選択された１つにより送られたメツセージのみを受け、各ノード間メツセージは、メツセージを送つたノードを識別する識別符号と、メツセージの種類を識別するメツセージ種類符号と、メツセージに含まれているデータを更に識別するデータ識別符号とを含む多重ノード処理装置において、受けたメツセージを受信器からアンロードするために、複数の受信器の間で所定の順序でコンテキスト切換えを行うシーケンサ手段と、少くともメツセージ種類符号と、データ識別符号と、処理される特定のバイトと誤り状態バイトを識別するバイトカウントとをおのおの格納する、各ノードに対して１つのエントリイを有し、処理されるメツセージに属する関連する情報を格納するコンテキスト記憶装置と、メツセージに含まれているノード識別符号を、そのメツセージを受けた受信器に関連する予測されるノード識別符号を参照して検査し、メツセージ種類符号を検査し、データ識別符号を最大データ識別符号に対して検査し、かつメツセージに含まれているバイトの数を検査して、前記誤り状態バイト中の検出された全ての誤りを記録する誤り検査論理手段と、メツセージに含まれているデータ値を所定の最大限度値と所定の最小限度値とに対して検査し、メツセージに含まれているデータ値が前記最大限度値と前記最小限度値内にない時は限度を超えた誤りを前記誤り検査論理手段へ常に知らせる限度間検査器手段と、受けた各メツセージを動作制御器で更に処理するためにそのメツセージを送るマルチプレクサ手段と、を備え、知らせを受けた前記誤り検査論理手段は前記超過限度誤りを前記誤り状態バイトに記録し、前記マルチプレクサ手段は送られる各メツセージに、コンテキスト記憶装置に現在格納されている誤り状態バイトを附する動作制御器のメツセージ検査器。２１．各ノードがアプリケーシヨンズタスクを実行するためのアプリケーシヨンズプロセツサと、ノード間メツセージを交換することにより、ノードの動作を処理装置内の他の全てのノードと一致して制御し、かつアプリクーシヨンズプロセツサにより実行すべきタスクを選択するための動作制御器とを有し、動作制御器はメツセージ検査器と、スケジユーラーと、同期器と、票決器を含む複数のサプシステムを有し、各サプシステムは誤りを検出して、検出された各誤りを識別する内部誤りレポートを発生し、各動作制御器は少くとも２つの動作している装置の状態を含み、処理装置内で動作する障害の無いノードの数を変えることになる、障害を起したノードの除外または障害の無いノードの再加入に応答して、１つの動作装置状態から別の動作装置状態へ切換わる、多重ノード耐障害処理装置において、受けた、誤りのない全てのノード間メツセージの内容を格納するメツセージメモリと、受けた誤りレポートの内容を格納する誤りフアイルと、前記複数のサプシステムから受けた誤りレポートを前記誤りフアイルに格納し、各ノードに対してベースペナルテイカウントを前記誤りフアイルの内容から発生する誤り取扱い器手段と、メツセージ検査器をパスした誤りのない全てのメツセージを前記メツセージメモリに格納し、障害のあるノードの実体をスケジユーラーと同期器へ送り、かつ全ての誤りレポートを前記誤り取扱い器へ送るインターフエイス手段と、を備え、前記ベースペナルテイカウントは特定のノードの動作状態を示し、前記誤り取扱い器手段は、装置内の他の全てのノードと一致して、どのノードに障害が起きているか、およびその障害が起きているノードを前記多重ノード処理装置の動作に関与することから除外することを、ノード間メツセージの交換により決定する手段を含み、前記ノード間メツセージは、特定のノードに対する誤りフアイルの内容を含んでいる誤りメツセージを含む誤りメツセージと、各ノードの前記ベースペナルテイカウントを含むベースペナルテイカウントメツセージを含む動作制御器の耐障害器。２２．多重ノード処理装置内の各ノードがアプリケーシヨンズタスクの所定のセツトを実行するためのアプリケーシヨンズプロセツサと、データと動作情報を含んでいるノード間メツセージを交換することにより、処理装置内の他の全てのノードと一致してノードの動作を制御し、かつアプリケーシヨンズプロセツサにより実行すべきタスクを選択するための動作制御器とを有する多重ノード処理装置の票決サプシステムにおいて、前記ノード間メツセージ内て受けた複数の値を並列に処理して票決された値を発生する票決器手段と、前記ノード間メツセージにおいて受けた前記複数の値のおのおのを並列に前記票決値と比較し、所定の逸脱値より以上に前記票決値から異なる前記複数の値の各受けた値を識別する逸脱ベクトルを発生する逸脱検査器手段と、前記ノード間メツセージにおいて受けた前記値を前記票決器手段と前記逸脱検査器手段にロードするローダ手段と、を備える多重ノード耐障害処理装置の票決器サプシステム。２３．複数の受けた値を分類して上側中間値と下側中間値を取出す分類器手段と、前記上側中間値と前記下側中間値を平均して前記票決値を発生する平均手段と、前記分類器手段に前記複数の受けた値を、最上位位置から始つて最下位ビツト位置までビツトごとにロードするローダ手段と、を備える高速票決装置。