JPH07168765A - メモリ装置 - Google Patents

Abstract

(57)【要約】 【目的】 良性障害モードを有するようなメモリ、およ
び、縮退するフォルトトレラントなメモリを構成するよ
うなメモリを提供すること。 【構成】 複数のプロセスに対し、第１メモリ動作を同
時に実行するメモリ装置において、第２メモリ動作を実
行する障害可能性のあるメモリ手段３１５と、この第１
メモリ動作を実行するのに必要な第２メモリ動作を特定
することにより、プロセスにより特定された第１メモリ
動作に応答するために、プロセスに同時にアクセスする
メモリインタフェース手段３１１と、を有し、前記メモ
リインタフェース手段は、前記メモリ手段内の障害を検
知し、障害が検知されたときに、同時に実行されている
第１メモリ動作の内の第１特定値と、障害検知に続いて
実行される第１メモリ動作内の第２特定値を返すことに
より、それに応答する手段３１３を有し、前記第１特定
値は、メモリ動作の終了のみを指示し、前記第２特定値
は、メモリ装置がクラッシュしたことを指示することを
特徴とする。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、コンピュータシステム
用のメモリに関し、特に、メモリに同時にアクセスする
プロセスの間で共有するメモリに関する。

【０００２】

【従来技術の説明】コンピュータシステムによって実行
されるシステムは、様々なシステム機能を形成する複数
のプロセッサが、メモリを共有するようなシステムとし
て設計される。このような共有メモリシステムにおいて
は、メモリは、複数のプロセスにより、同時にアクセス
されることがあり、そしてそのプロセスは、共有メモリ
内の値を設定したり、読みだしたりすることにより、互
いに連絡し合う。

【０００３】現在のコンピュータにより実現されるシス
テムの最終目標は、フォルトトレランス（fault tolera
nce）、すなわち、そのシステムの要素の一部に障害が
発生した場合にも、その機能の実行を継続し得るような
システムを形成することである。このフォルトトレラン
スの重要なものとしては、良性の障害モード（benignfa
ilure mode）である。すなわち、システムの要素が障害
にあうときに、この障害は、そのシステムの残りの部分
で、それに容易に対処できるようなものである。プロセ
ッサに対するこの良性障害モードの一例は、停止障害モ
ード（stop failure mode）である。すなわち、プロセ
ッサが故障すると、障害状態で動作を継続するのではな
く、単純に停止することである。

【０００４】共有メモリシステムにおいては、この共有
メモリ自体がフォルトトレランスでなければならない。
そして、さらに望ましいことは、共有メモリが良性障害
モードを有することである。最近の研究によれば、障害
にあう要素の数が、あるしきい値を超えない限り、潜在
的な障害要素からフォルトトレラントな共有メモリを形
成することは可能である。これに関しては、“Proceedi
ngs of the 11th ACMSymposium on principles of Dist
ributed Computing”（１９９２年８月）の“Computing
with faulty shared memory”Yehuda Afek、David gre
nnberg、Michael Merritt、Gadi Taubenfeldらの共著を
参照のこと。

【０００５】この共有メモリの良性障害には、２つのタ
イプがあることがわかった。その１つはクラッシュ障害
モード（crash mode）で、他の一つはオミッション障害
モード（omission mode）である。これに関しては、“3
3rd Annual Symposium on the Foundations of Compute
r Science”（１９９２年１０月IEEE Computer Society
Press社刊）の“Fault-tolerant wait-free shared ob
jects”P. Jayanti、T. Chandra、S. Touegらの共著を
参照のこと。このクラッシュ障害モードは、プロセスの
ストップ障害モードに類似する。すなわち、メモリの障
害は、メモリを共有中の実行されるべきプロセスにあら
われ、瞬時のものである。障害動作を継続するプロセス
により実行されるメモリ動作は、正確に機能し、障害後
に実行されるメモリ動作は、そのメモリ動作が実行され
なかったことを表す特別な値に戻る。クラッシュ障害モ
ードのこの特別な値は、本明細書中では＊の記号で表す
ものとする。次に、オミッション障害モードにおいて
は、障害中、あるいは、障害後のプロセスにより、共有
メモリ上で行われるメモリ操作は、正確には動作せず、
その代わり、そのメモリ動作が実行されたか、あるい
は、実行されないかを表すような特別値に戻る。このオ
ミッション障害モードにおける特別値は、本明細書中で
は？の記号で表す。このオミッション障害モードの困難
な点は、一旦障害が発生すると、プロセスはメモリ動作
が行われたか否かを確実に知ることができないことであ
る。このオミッション障害モードは、クラッシュ障害モ
ードよりも良性ではない。

【０００６】前掲の文献で解決できないような問題は、
非常に良性の障害モードを有する要素から、グレースフ
ル・デグラデーティングな（gracefully degrading；以
下「縮退する」と訳す）。この縮退するフォルトトレラ
ントのメモリは、その障害モードは、その要素の障害モ
ードと、少なくとも同程度に良性なものである。前掲の
Jayantiらの論文によれば、クラッシュ障害モードを有
するような要素から縮退するフォルトトレラントなメモ
リを構成することは不可能であるが、オミッション障害
モードを有するような要素から縮退するフォルトトレラ
ントなメモリを構成することは可能である。

【０００７】

【発明が解決しようとする課題】従って、本発明の目的
は、オミッション障害モードよりも、より良性の障害モ
ードを有するようなメモリを提供すること、および、縮
退するフォルトトレラントなメモリを構成するようなメ
モリを提供することである。

【０００８】

【課題を解決するための手段】本発明の共有メモリは、
新たな障害モードを有する。この新たな障害モードと
は、オミッション障害モードよりも、より良性で縮退す
るフォルトトレラントなメモリを構成することができ
る。新たな障害モードの最も良性なものは、オミッショ
ン−クラッシュ障害モードである。このオミッション−
クラッシュ障害モードは、クラッシュ障害モードに似て
おり、瞬時で、かつ完全な障害を想定するが、プロセス
により実行されるメモリ動作は、瞬時のものではない、
ということを考慮にいれたものである。このオミッショ
ン−クラッシュ障害モードを有するメモリにおいては、
このメモリは、障害前に動作を開始し、障害後に終了す
るような動作においては、？に戻り、障害後に開始する
ような全ての動作に対しては＊に戻る。フォルトトレラ
ントなメモリは、オミッション−クラッシュ障害モード
を有する要素によって構成され、それゆえに、縮退する
ものである。

【０００９】それほど良性ではない新規の障害モード
は、イベンチュアル−クラッシュ障害モード（eventual
-crash mode）である。このイベンチュアル−クラッシ
ュ障害モードは、メモリの動作は瞬時ではなく、かつ、
この障害は、しばしば瞬時ではない、ということを考慮
にいれたものである。このイベンチュアル−クラッシュ
障害モードを有するメモリは、障害が終了する前は、い
つでも？に戻る。しかし、一旦？に戻ると、その後続時
の全ての動作において、＊に戻ることが補償される。フ
ォルトトレラントなメモリは、イベンチュアル−クラッ
シュ障害モードを有する要素でもって構成され、これら
の要素は、イベンチュアル−クラッシュ障害モード、あ
るいは、オミッション−クラッシュ障害モードの何れか
を有し、それゆえに、縮退するものである。

【００１０】

【実施例】図１、図２について、まず、新規な良性障害
モードについて説明し、その後、この新規な良性障害モ
ードを有するメモリを、いかに構成するかについて説明
し、最後に、この新たな良性障害モードを有するメモリ
が、良性障害モードを有する要素から、いかに構成され
るかについて説明する。

【００１１】良性障害モード：図１と図２ この第１の良性障害モードは、オミッション−クラッシ
ュ障害モードである。このモードにおいては、メモリの
障害の前に、完了したメモリ動作が確実に実行され、障
害の前に開始し、その後終了したメモリ動作は、確実に
実行される。すなわち、？に戻り、そして、障害の後開
始した動作において、常に＊に戻る。

【００１２】図１は、オミッション−クラッシュ障害モ
ード１０１のダイアグラムである。３つのプロセス１０
３の、Ｐ１ １０３（１）、Ｐ２ １０３（２）、Ｐ３
１０３（３）、が、オミッション−クラッシュ障害モ
ードを有する共有メモリ上で同時に動作を実行する。Ｐ
１は、Ｏｐ１、Ｏｐ２、Ｏｐ３を実行し、Ｐ２は、Ｏｐ
４を実行し、Ｐ３は、Ｏｐ５、Ｏｐ６、Ｏｐ７を実行す
る。これらの動作が実行されているときに、障害１１５
が点線で示した時点で発生したとする。

【００１３】図１は、この動作に対し発生したものを表
している。Ｏｐ１とＯｐ５は、障害１１５の前で終了
し、通常動作１０５に戻る。Ｏｐ２、Ｏｐ４、Ｏｐ６
は、障害の前に開始し、障害の後に終了する。これら
は、通常動作１０５、あるいは、オミッション動作１０
９で？１０９に戻る。Ｏｐ２、Ｏｐ６は、オミッション
動作１０７で、一方、Ｏｐ４は、通常動作１０５であ
る。Ｏｐ３とＯｐ７は、障害１１５の後に開始し、それ
らは両方ともクラッシュ動作１１１で＊１１３に戻る。

【００１４】第２の良性障害モードは、イベンチュアル
−クラッシュ障害モードである。このモードにおいて
は、どのような動作も？に戻ることができる。ただし、
動作が一旦？に戻ると、そこにクラッシュがあり、この
クラッシュの後開始した全ての動作は＊に戻らなければ
ならない。図２は、イベンチュアル−クラッシュ障害モ
ード２０１のダイアグラムである。ここに３つのプロセ
スＰがあり、これらはイベンチュアル−クラッシュ障害
モードのメモリ上でメモリ動作を実行する。点線が、障
害２０３が終了した時点を表す。全ての動作は、障害２
０３の終了の前に開始する。その内のあるものは通常動
作１０５で、他のものはオミッション動作１０９で？に
戻る。障害２０３が終了した時点の後に開始する全ての
動作は、クラッシュ動作１１１で＊１１３に戻る。

【００１５】このイベンチュアル−クラッシュ障害モー
ドの重要な特徴は、オミッション−クラッシュ障害モー
ドをシュミレートするのに使うことができる点である。
このメモリが、ベキ等操作（idempotent operation）を
行うとき、このプロセスは、それが受け取る第１のオミ
ッション復帰に対し、障害が終了し、このプロセスがク
ラッシュ復帰を受け取るまで、ベキ等操作の実行を継続
することにより反応する。

【００１６】良性障害モードを有するメモリの実現：図
３と図４ メモリを実現するのに用いられる実際の素子は、良性の
障害モードを有してはいない。図３は、良性の障害モー
ドを有さないメモリ素子が、良性の障害モードを有する
良性メモリにいかに作りかえられるかを示す。図３のシ
ステム３０１において、複数のプロセスＰ３０３が、良
性メモリ３０９に動作を同時に実行する。プロセスＰ３
０３がそのような動作を実行していると、このプロセス
は、良性メモリ３０９に動作を要求するリクエスト３０
５を送る。その後、プロセス３０３は、良性メモリ３０
９からのレスポンス３０７を待つ。例えば、動作がメモ
リの読み出し動作の時には、このリクエストは、データ
のアドレスを特定し、レスポンスはそのデータを送り返
す。前述したように、この良性障害の一部は、常に良性
メモリ３０９からのレスポンスがあることを補償してい
る

【００１７】良性メモリ３０９は、常に、２つの要素を
有する。その１つはメモリインタフェース３１１で、プ
ロセッサにより提供され、他の１つは障害の可能性のあ
るメモリ３１５で、そこにデータがストアされる。メモ
リインタフェース３１１は、リクエスト３０５に対し、
障害の可能性のあるメモリ３１５にリクエストを満足す
るのに必要な動作を実行させ、その動作の結果を送り返
すことにより応答する。さらに、障害の可能性のあるメ
モリ３１５は、その名前に示すように故障することがあ
る。良性メモリ３０９が良性の障害モードを有するよう
にさせるのはメモリインタフェース３１１である。メモ
リインタフェース３１１内の障害検出器３１３が、障害
の可能性のあるメモリ３１５の動作の中の障害を検出
し、その障害が発生したときにメモリインタフェース３
１１に対し良性障害モードにより必要とされるような動
作を行わせる。

【００１８】障害の可能性のあるメモリ３１５はどのよ
うなタイプの記憶装置からも構成することができる。メ
モリインタフェース３１１と障害の可能性のあるメモリ
３１５との間の正確なインタフェースは、記憶装置の特
性に依存する。図３において、障害の可能性のあるメモ
リインタフェース（ＰＦＭＩ）３１６は、以下の信号を
搬送する。 ・ＰＡＤＤＲ３１７は、メモリインタフェース３１１か
ら障害の可能性のあるメモリ３１５に物理的アドレスを
搬送する。 ・ＤＡＴＡ３１９は、障害の可能性のあるメモリ３１５
とメモリインタフェース３１１との間でデータを搬送す
る。 ・ＣＯＭ３２１は、メモリインタフェース３１１から障
害の可能性のあるメモリ３１５にメモリコマンドを搬送
する。 ・ＤＶ３２３は、ＤＡＴＡ３１９が、障害の可能性のあ
るメモリ３１５から有効データの読み出しを搬送してい
ることを表す。 ・ＡＣＫ３２５は、障害の可能性のあるメモリ３１５が
データを受信し、データをＤＡＴＡ３１９に格納したこ
とを表す。

【００１９】障害の可能性のあるメモリ３１５は、良性
ではないので、ＣＯＭ３２１に応答しないこともある。
例えば、コマンドが書き込みコマンドの場合には、受領
信号３２５をメモリインタフェース３１１には送らな
い。同様に、読み出しコマンドの場合には、メモリイン
タフェース３１１は、データ有効信号３２３を受信しな
い。メモリインタフェース３１１の観点からは、障害の
可能性のあるメモリ３１５はタイムアウトする。しか
し、良性メモリ３０９は、レスポンス３０７を各リクエ
スト３０５に常に出さないので、良性メモリ３０９はタ
イムアウトすることはない。メモリインタフェース３１
１内の障害検出器３１３は、このタイムアウトを検知
し、このタイムアウトを検知したときに、障害検出器３
１３は、良性メモリ３０９の良性障害モードに必要とさ
れるような応答をしなければならない。この実施例の場
合、良性メモリ３０９がオミッション−クラッシュ障害
モードを有する場合には、そのモードにより必要とされ
るレスポンスを提供し、良性メモリ３０９がイベンチュ
アル−クラッシュ障害モードの場合には、良性メモリ３
０９は、そのモードにより必要とされるレスポンスを提
供しなければならない。

【００２０】障害モードにより必要とされるレスポンス
を提供するメモリインタフェース３１１の一部の実施例
が、図４に示されている。メモリインタフェース３１１
の一部、動作待ち行列エンティティ４０１は、動作待ち
行列４０３と障害検出器３１３とを有する。動作待ち行
列４０３は、プロセス３０３により行われるリクエスト
３０５に対するエントリ４１３を有する。エントリ４１
３は、リクエスト３０５がメモリインタフェース３１１
で受信され、メモリインタフェース３１１がそのリクエ
ストに対するレスポンスをプロセス３０３に送り返すま
で動作待ち行列４０３内に待機する。各エントリ４１３
は、少なくとも以下の情報を有する。 ・ＰＩＤ４１５、リクエストを形成するプロセス３０３
に対する識別子。 ・ＲＥＱ４１７、プロセス３０３からのリクエスト。 ・ＲＥＳＰ４１９、プロセス３０３がメモリ動作を完了
したときに、メモリインタフェース３１１がプロセス３
０３に提供するレスポンス。 ・スタートタイム（ＳＴ）４２１、メモリインタフェー
ス３１１がメモリリクエストにより要求される障害の可
能性のあるメモリ３１５に対する動作の実行を開始する
時間。

【００２１】動作待ち行列４０３は、さらに、次の３つ
の部分待ち行列に分割される。すなわち、入力待ち行列
４０６と実行待ち行列４０８と出力待ち行列４１０であ
る。エントリ４１３は、エントリ４１３内に記録された
メモリリクエストが、良性メモリ３０９で受信され、メ
モリインタフェース３１１が障害の可能性のあるメモリ
３１５に対する要求を満足するのに必要な動作の実行を
開始するまで、入力待ち行列４０６内に存在する。その
ときに、エントリ４１３は、実行待ち行列４０８の一部
となり、エントリ４１３は、メモリインタフェース３１
１が障害の可能性のあるメモリ３１５に対する動作の要
求を受信するまでそこに存在する。その後、エントリ４
１３が出力待ち行列４１０の一部となると、そこでエン
トリ４１３はメモリインタフェース３１１がリクエスト
の結果をレスポンス３０７内のプロセスに戻すまでそこ
に存在する。４０５は、入力待ち行列４０６の末尾を識
別し、ポインタ４０７は、入力待ち行列４０６の先頭と
実行待ち行列４０８の末尾とを識別する。ポインタ４０
９は、実行待ち行列４０８のヘッドと出力待ち行列４１
０の末尾とを識別し、ポインタ４１１は、出力待ち行列
４１０のヘッドを識別する。

【００２２】障害検出器３１３は、３つの主要素を有
し、その一つはクロック４３１で、クロック値を単調に
増加させ、第２の要素はタイムアウト検出器（ＴＯＤ）
４２９で、タイムアウトを検知し、第３の要素は障害フ
ラッグ４３５で、障害が発生したか否かを示すものであ
る。矢印４２３、４２５、４２７、４３３に示すよう
に、タイムアウト検出器（ＴＯＤ）４２９はクロック４
３２の出力に応答し、タイムアウト検出器（ＴＯＤ）４
２９はＳＴフィールド４２１をセットし、読み出し、応
答フィールド（ＲＥＳＰ）４１９をセットし、障害フラ
ッグ４３５をセットする。

【００２３】動作待ち行列エンティティ４０１の動作を
次に述べる。メモリインタフェース３１１が障害の可能
性のあるメモリ３１５に対するコマンドによりリクエス
トの実行を開始すると、メモリインタフェース３１１は
ポインタ４０７をセットし、入力待ち行列４０６のヘッ
ド時にそのアイテムを指摘し、そして、入力待ち行列４
０６は、実行待ち行列４０８の末尾アイテムとなる。そ
の時点において、タイムアウト検出器（ＴＯＤ）４２９
は、クロック４３１により提供される現在値からＳＴフ
ィールド４２１をセットする。メモリインタフェース３
１１が障害の可能性のあるメモリ３１５からデータバリ
ッド信号３２３、あるいは、受領通知信号３２５を受信
すると、メモリインタフェース３１１は、ポインタ４０
９をセットし、その結果、実行待ち行列４０８のヘッド
にあったエントリ４１３は出力待ち行列４１０の末尾に
ある。

【００２４】上述したように、動作が進むと、タイムア
ウト検出器（ＴＯＤ）４２９は、周期的に実行待ち行列
４０８のヘッドにあるエントリ４１３内のＳＴフィール
ド４２１の値と、クロック４３１の現在値とを比較す
る。その差がしきい値よりも大きい場合には、障害の可
能性のあるメモリ３１５はタイムアウトする。タイムア
ウト検出器（ＴＯＤ）４２９は障害フラッグ４３５をセ
ットし、？の応答を表すために、実行待ち行列４０８内
のエントリ４１３内の応答フィールド（ＲＥＳＰ）４１
９をセットし、＊応答を表すために、入力待ち行列４０
６内のエントリ４１３の応答フィールド（ＲＥＳＰ）４
１９をセットすることにより、これに応答する。メモリ
インタフェース３１１は、障害フラッグ４３５に対し、
部分待ち行列に関わらず、動作待ち行列４０３を空にし
て、＊の応答を表す新たなリクエスト３０５に対し、エ
ントリ４１３内の応答フィールド（ＲＥＳＰ）４１９を
すぐにセットすることにより、障害フラッグ４３５に応
答する。

【００２５】タイムアウトが発生した時点において、既
に処理されたメモリ要求は、全て出力待ち行列４１０内
に存在し、タイムアウトが発生したときに障害の可能性
のあるメモリ３１５により現在処理されている全てのメ
モリ要求は、実行待ち行列４０８内に存在し、まだ処理
が開始していない全てのメモリ要求は、入力待ち行列４
０６内に存在するので、操作の上記のモードは、タイム
アウトを検知する前に処理された全ての要求は、正しい
応答を受信し、タイムアウトが発生したときに処理中の
メモリ要求は、レスポンス３０７のように？の応答を受
信し、まだ開始していない障害の可能性のあるメモリ３
１５により処理される全てのメモリ要求は、＊の応答を
受信する。かくして、良性メモリ３０９は、オミッショ
ン−クラッシュ障害モードを実現する。

【００２６】イベンチュアル−クラッシュ障害モードの
実現は、さらに簡単である。そのようなイベンチュアル
−クラッシュ障害モードの装置内のタイムアウト検出器
（ＴＯＤ）４２９は、障害フラッグ４３５をセットす
る。メモリインタフェース３１１は、ポインタ４１１が
ポインタ４０７に等しくなるまで動作待ち行列４０３を
空にすることによりフラッグに応答し、待ち行列をその
時点まで空にしながらメモリインタフェース３１１は、
各エントリ内の応答フィールド（ＲＥＳＰ）４１９を？
の応答にセットする。その後、メモリインタフェース３
１１は、動作待ち行列４０３を空にする動作を継続し、
各エントリ内の応答フィールド（ＲＥＳＰ）４１９を＊
の応答にセットする。かくして、クラッシュ中のどのよ
うな動作も？の応答を受信し、そのクラッシュの後の全
ての動作は、イベンチュアル−クラッシュ障害モードに
必要な＊の応答を受信する。

【００２７】良性の障害モード要素からフォルトトレラ
ントなメモリの構成：図５〜図７ 従来技術で説明したように、フォルトトレラントでない
要素から、フォルトトレラントなメモリを形成すること
は可能である。オミッション−クラッシュ障害モード、
あるいは、イベンチュアル−クラッシュ障害モードを有
するようなフォルトトレラントでない要素から、フォル
トトレラントなメモリを形成することは、このような要
素から形成されたフォルトトレラントなメモリは、縮退
するので好ましい。以下にフォルトトレラントなメモリ
の例を説明する。

【００２８】フォルトトレラントなセーフレジスタ：図
５ 図５は、フォルトトレラントな読み出し／書き込みセー
フレジスタ５０４を表す。この読み出し／書き込みセー
フレジスタ５０４は、以下の特性を有する。 ・書き込み動作とオーバラップしない読み出し動作は、
書き込まれた最後の値をレジスタに戻す。 ・書き込み動作とオーバーラップする読み出し動作は、
任意の値を返す。 メモリ５０４は、さらに、ｆのフォルトトレラントであ
る。すなわち、その要素メモリのうちｆ個を超える（ｆ
＋１個以上の）メモリが故障するまで機能する。

【００２９】メモリ５０４は、書き込みプロセス５０３
と読み出しプロセス５０１を用いて、互いに通信する。
書き込みプロセス５０３は、セーフレジスタに書き込
み、読み出しプロセス５０１は、書き込みプロセス５０
３が書き込んだものを読み出す。メモリ５０４は、メモ
リインタフェース５０５と２ｆ＋１個のオミッション−
クラッシュ障害モードのフォルトトレラントでないセー
フレジスタ５１１を有する。メモリインタフェース５０
５は、読み出し動作コード５０７を有し、この読み出し
動作コード５０７は、読み出しプロセス５０１からの読
み出し動作と書き込み動作コード５０９に応答する。そ
して、この書き込み動作コード５０９は、書き込みプロ
セス５０３からの書き込み動作に応答する。

【００３０】書き込み動作コード５０９は、書き込みプ
ロセス５０３から受け取った値を２ｆ＋１個のフォルト
トレラントでないセーフレジスタ５１１に書き込むこと
により、書き込み動作に応答する。ｆ個を超えるレジス
タがクラッシュ値＊をメモリインタフェース５０５に返
すと、書き込み動作コード５０９は、＊応答を書き込み
プロセス５０３に返す。ｆ＋１個より少ないレジスタが
継続を返すと、書き込み動作コード５０９は、？応答を
書き込みプロセス５０３に返し、それ以外の場合には、
書き込み動作が継続していることを表す値を返す。

【００３１】読み出し動作コード５０７は、フォルトト
レラントでないセーフレジスタ５１１の全ての要素を読
み込むことによって、読み込み動作に応答する。このセ
ーフレジスタのｆ＋１個が同一の値を有している場合に
は、読み出し動作コード５０７は、その値を読み出しプ
ロセス５０１に返す。このｆ＋１個のレジスタが＊の応
答を返すと、読み出し動作コード５０７は、＊の応答を
読み出しプロセス５０１に返す。ｆ個以下のレジスタが
＊または？の応答以外の値を返す場合には、読み出し動
作コード５０７は？の応答を返す。前記したように、セ
ーフレジスタ５０４は、ｆ個のフォルトトレラントとな
る。さらに、セーフレジスタ５０４は、セーフレジスタ
の成分と同様に、オミッション−クラッシュ障害モード
を有する。そして、セーフレジスタ５０４は、したがっ
て、縮退する。セーフレジスタ５０４は、オミッション
−クラッシュ障害モード、あるいは、イベンチュアル−
クラッシュ障害モードを有するセーフレジスタ５１１か
ら構成することもできるが、オミッション障害モードを
有するセーフレジスタ５１１からは構成することができ
ない。

【００３２】フォルトトレラントコンセンサス：図６ 図６は、ｆのフォルトトレラントの縮退するコンセンサ
スオブジェクト６０５を示し、このコンセンサスオブジ
ェクト６０５は、クラッシュ−オミッション障害モード
を有する２ｆ＋１個のフォルトトレラントでないコンセ
ンサスオブジェクト６１１から構成される。コンセンサ
スオブジェクトとは、以下の特性を有するメモリであ
る。 ・プロセスは、コンセンサスオブジェクトに対し２つの
操作のみを実行する。すなわち、プロポーズ０とプロポ
ーズ１である。 ・その動作は、次のようである。コンセンサスオブジェ
クトは、そのオブジェクトに実行された第１のプロポー
ズを実行したプロセスに戻し、この同一の値を、さら
に、そのオブジェクトに対し実行されたプロポーズ動作
に戻す。

【００３３】かくして、図６において、３個のプロセス
６０３の何れか一つは、このプロポーズ動作を実行す
る。このプロポーズ動作を実行する１つが、そうする第
１のものである場合には、コンセンサスオブジェクト６
０５はこのプロポーズされた値を第１のプロセス６０３
に戻し、その後、その値をこのプロポーズ動作を実行し
ている全てのプロセス６０３に戻し続ける。前と同様
に、メモリインタフェース６０７は、２ｆ＋１個のフォ
ルトトレラントでないコンセンサスオブジェクト６１１
を単一のフォルトトレラントのコンセンサスオブジェク
ト６０５にかえる。メモリインタフェース６０７内のコ
ンセンサスオブジェクト６０５は、メモリインタフェー
ス６０７が各プロセスのプロポーズ動作を個別に処理す
ることのみを示す。ボックス６０９内には、各プロセス
に対するローカルクラッシュフラッグ６０８が存在す
る。このローカルクラッシュフラッグ６０８が、コンセ
ンサスオブジェクト６０５内のオミッション−クラッシ
ュ障害モードを実行する。

【００３４】前と同様に、フォルトトレラントでないコ
ンセンサスオブジェクト６１１は、オミッション−クラ
ッシュ障害モードを有し、したがって、各フォルトトレ
ラントでないコンセンサスオブジェクト６１１は、その
値を第１のプロポーズ動作によりセットされたものに返
す。すなわち、？応答のオミッションリターン、あるい
は、＊応答のクラッシュリターンである。コンセンサス
オブジェクト６０５は、？応答あるいは＊応答の何れか
の値をプロポーズ動作に応答してプロセス６０３に返
す。この実施例においては、これらの値は、次のように
戻される。

【００３５】第１のプロポーズ動作においては、ｆ＋１
個以上のフォルトトレラントでないコンセンサスオブジ
ェクト６１１が、この値を返すと、メモリインタフェー
ス６０７は、その値を第１プロポーズ動作を実行するプ
ロセス６０３に返す。ｆ＋１個以上のコンセンサスオブ
ジェクト７０９が？応答あるいは＊応答を返すと、メモ
リインタフェース６０７は、？応答をプロセスに返し、
全てのローカルクラッシュフラッグ６０８をセットす
る。

【００３６】後続のプロポーズ動作において、メモリイ
ンタフェース６０７は、まず、その動作を実行するプロ
セスに対しローカルクラッシュフラッグ６０８を検査す
る。このローカルクラッシュフラッグ６０８がセットさ
れていると、メモリインタフェース６０７は、＊応答を
単に返す。ローカルクラッシュフラッグ６０８がセット
されていない場合には、その動作は、第１のプロポーズ
動作でセットされた値を返す。再び、ｆ＋１個のフォル
トトレラントでないコンセンサスオブジェクト６１１が
この値を返すと、メモリインタフェース６０７は、その
値をプロセス６０３に返す。ｆ＋１個以上のフォルトト
レラントでないコンセンサスオブジェクト６１１が？あ
るいは＊の応答を返すと、メモリインタフェース６０７
は？の応答をそのプロセスに返し、全てのプロセスに対
しローカルクラッシュフラッグ６０８をセットする。か
くして、コンセンサスオブジェクト６０５は、ｆのフォ
ルトトレラントでオミッション−クラッシュ障害モード
を有する。そして、オミッション−クラッシュ障害モー
ドを有するオブジェクトが設定されているので、このコ
ンセンサスオブジェクト６０５は縮退する。

【００３７】他のタイプのオブジェクトを形成するため
に、コンセンサスオブジェクトとセーフレジスタを用い
る：図７ オミッション−クラッシュ障害モード、あるいは、イベ
ンチュアル−クラッシュ障害モードを有するコンセンサ
スオブジェクト、および、セーフレジスタを用いて、オ
ミッション−クラッシュ障害モードを有する他のタイプ
のオブジェクトを構成し、そして、その結果、フォルト
トレラントで縮退する他のタイプのオブジェクトを構成
する。図７は、フォルトトレラントでないコンセンサス
オブジェクトと、オミッション−クラッシュ障害モード
のセーフレジスタから構成されるタイプｎのオブジェク
ト７０３を示す。このオブジェクト７０３自身は、フォ
ルトトレラントではないが、この非フォルトトレラント
のコンセンサスオブジェクトと、セーフレジスタとを、
そのフォルトトレラントの対応物で置換することによ
り、フォルトトレラントにすることができる。

【００３８】オブジェクト７０３は、３個のプロセス７
０１で動作する。メモリインタフェース７０５は、プロ
セス７０１からのオブジェクト７０３への動作を要求す
るリクエストに応答して、その動作の結果をプロセス７
０１に返す。前と同様に、コンセンサスオブジェクト７
０９は、インタフェース７０７がオブジェクト７０３に
メモリインタフェース７０５へのそれ自身のインタフェ
ースを提供することを示す。さらに、オブジェクト７０
３は、オブジェクト７０３のタイプ用、および、プロセ
ス７０１に関連するローカルクラッシュフラッグ７０８
用に特定された機能を実行するのに必要なコンセンサス
オブジェクト７０９とセーフレジスタ７１３とを有す
る。このローカルクラッシュフラッグ７０８は、メモリ
インタフェース７０５のオミッション−クラッシュ障害
モードを実現する。

【００３９】次に動作について説明する。動作の開始時
に、全てのローカルクラッシュフラッグ７０８は、Ｆに
初期化される。このプロセス７０１はその後、オブジェ
クト７０３に対する動作の実行を開始し、そのインタフ
ェース７０７は、コンセンサスオブジェクト７０９への
動作に切り替わる。インタフェース７０７が、プロセス
７０１（ｉ）用のオブジェクト７０３に対する動作を実
行する前に、インタフェース７０７は、そのプロセスの
ローカルクラッシュフラッグ７０８（ｉ）を検査する。
このローカルクラッシュフラッグ７０８がＴにセットさ
れていると、インタフェース７０７は、＊の応答をプロ
セス７０１（ｉ）に返す。ローカルクラッシュフラッグ
７０８（ｉ）がセットされていないときには、インタフ
ェース７０７は、コンセンサスオブジェクト７０９とセ
ーフレジスタ７１３への動作を実行する。コンセンサス
オブジェクト７０９、あるいは、セーフレジスタ７１３
の何れもが、？あるいは＊の応答を返さないときには、
インタフェース７０７は、？の応答をプロセス７０１
（ｉ）に返し、そして、全てのローカルクラッシュフラ
ッグ７０８をセットする。コンセンサスオブジェクト７
０９、あるいは、セーフレジスタ７１３の何れもが？あ
るいは＊の応答を返さないときには、インタフェース７
０７は、コンセンサスオブジェクト７０９とセーフレジ
スタ７１３により提供される値を、プロセス７０１
（ｉ）に返す。かくして、オブジェクト７０３は、オミ
ッション−クラッシュ障害モードを有し、オブジェクト
７０３のフォルトトレラントが形成されると、そのオブ
ジェクトは、縮退する。

【００４０】

【発明の効果】以上説明したように、本発明のメモリ
は、新たな良性障害モード、すなわち、オミッション−
クラッシュ障害モード、および、イベンチュアル−クラ
ッシュ障害モードを有することがわかる。さらに、この
ようなメモリを用いて、縮退するフォルトトレラントな
メモリを形成する方法が開示された。上記の説明におい
ては、タイムアウト以外の障害について記載したが、他
の場合についても当てはまる。

【図面の簡単な説明】

【図１】オミッション−クラッシュ障害モードを表す
図。

【図２】イベンチュアル−クラッシュ障害モードを表す
図。

【図３】良性の障害モードを有するメモリが、良性の障
害モードを有さないメモリからいかに構成されるかを表
す図。

【図４】オミッション−クラッシュ障害モードを有する
メモリを実現させる図。

【図５】オミッション−クラッシュ障害モードを有する
セーフレジスタから、フォルトトレラントなセーフレジ
スタを実現するのを表す図。

【図６】オミッション−クラッシュ障害モードを有する
コンセンサスオブジェクトから、フォルトトレラントな
共有コンセンサスオブジェクトを実現するのを表す図。

【図７】オミッション−クラッシュ障害モードを有する
メモリの組立図を表す図。

【符号の説明】

１０１ オミッション−クラッシュ障害モード １０３ プロセス １０５ 通常動作 １０７、１０９ オミッション動作 １１１ クラッシュ動作 １１５ 障害 ２０１ イベンチュアル−クラッシュ障害モード ２０３ 障害 ３０１ システム ３０３ プロセス ３０５ リクエスト ３０７ レスポンス ３０９ 良性メモリ ３１１ メモリインタフェース ３１３ 障害検出器 ３１５ 障害の可能性のあるメモリ ３１６ 障害の可能性のあるメモリインタフェース ４０１ 動作待ち行列エンティティ ４０３ 動作待ち行列 ４０６ 入力待ち行列 ４０７ ポインタ ４０８ 実行待ち行列 ４０９、４１１ ポインタ ４１０ 出力待ち行列 ４１３ エントリ ４１９ 応答フィールド（ＲＥＳＰ） ４２１ ＳＴフィールド ４２９ タイムアウト検出器（ＴＯＤ） ４３１、４３２ クロック ４３５ 障害フラッグ ５０１ 読み出しプロセス ５０３ 書き込みプロセス ５０４ メモリ ５０５ メモリインタフェース ５０７ 読み出し動作コード ５０９ 書き込み動作コード ５１１ セーフレジスタ ６０１ 非フォルトトレラント ６０３ プロセス ６０５ コンセンサスオブジェクト ６０７ メモリインタフェース ６０８ ローカルクラッシュフラッグ ６０９ ボックス ６１１ フォルトトレラントでないコンセンサスオブジ
ェクト ７０１ プロセス ７０３ オブジェクト ７０５ メモリインタフェース ７０７ インタフェース ７０８ ローカルクラッシュフラッグ ７０９ コンセンサスオブジェクト ７１３ セーフレジスタ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 マイケル ジョン メリット アメリカ合衆国、07922 ニュー ジャー ジー、バークレー ハイツ、マックメイン アベニュー 294 (72)発明者 ガディ トーベンフィールド アメリカ合衆国、07974 ニュー ジャー ジー、マーレー ヒル、サウスゲート ロ ード 10

Claims (3)

【特許請求の範囲】
1. 【請求項１】 複数のプロセスに対し、第１のメモリ動
   作を同時に実行するメモリ装置において、 第２のメモリ動作を実行する障害の可能性のあるメモリ
   手段（３１５）と、 この特定された第１のメモリ動作を実行するのに必要な
   第２のメモリ動作を特定することにより、プロセスによ
   り特定された第１のメモリ動作に応答するために、プロ
   セスに同時にアクセスするメモリインタフェース手段
   （３１１）と、を有し、前記メモリインタフェース手段
   は、 前記メモリ手段内の障害を検知し、障害が検知されたと
   きに、同時に実行されている第１メモリ動作の内の第１
   の特定値と、障害検知に続いて実行される第１のメモリ
   動作内の第２の特定値を返すことにより、それに応答す
   る手段（３１３）を有し、 前記第１の特定値は、メモリ動作の終了のみを指示し、 前記第２の特定値は、メモリ装置がクラッシュしたこと
   を指示することを特徴とするメモリ装置。
2. 【請求項２】 障害の可能性のあるメモリ手段を有する
   複数のプロセスに対し、同時にメモリ動作を実行するメ
   モリ装置において、 前記メモリ手段内の障害を検知し、それに対し、障害の
   検知の前に開始したメモリ動作内で障害が差し迫ったも
   のであることを表す第１の特定値を返し、および、障害
   の検知の後に開始したメモリ動作内でメモリ装置がクラ
   ッシュしたことを表す第２の特定値を返すことにより、
   それに応答する手段を有することを特徴とするメモリ装
   置。
3. 【請求項３】 前記障害を検知する手段は、障害が検知
   されたときに、まだ終了していないメモリ動作内に第１
   の特別値を返すことを特徴とする請求項２の装置。