(57)【要約】  故障で制御不能の処理ノードを含む分散システムにおいて処理ノードを接続する装置であって、信号を分散システムの別の処理ノードから受信する受信機手段と当該受信機手段に結合されたノード・ガーディアン手段とを備え、当該ノード・ガーディアン手段が、複数の一方向の入力信号を受信するスイッチ手段を含む。上記装置が更に、スイッチ手段に結合されて、複数の受信された入力信号を所定の論理関数に従って組み合わせる論理手段と、当該スイッチ手段に結合されて、複数の受信された入力信号の論理手段への印加を制御して、その場所での信号の受信を、分散システムの別の処理ノードからの制御不能の送信の処理ノードによる受信を低減するように制御する制御手段とを備える。
2007517417.tif 000002
【特許請求の範囲】
【請求項１】
故障で制御不能の処理ノードを含む分散システムにおいて処理ノードを接続する装置であって、
信号を前記分散システムの別の処理ノードから受信する受信機手段と、
前記受信機手段に結合されたノード・ガーディアン手段と、を備え、
前記ノード・ガーディアン手段が、複数の一方向の入力信号を受信するスイッチ手段を含み、
前記装置が更に、
前記スイッチ手段に結合されて、複数の受信された入力信号を所定の論理関数に従って組み合わせる論理手段と、
前記スイッチ手段に結合されて、前記複数の受信された入力信号の前記論理手段への印加を制御して、その場所での信号の受信を、前記分散システムの別の処理ノードからの制御不能の送信の前記処理ノードによる受信を低減するように制御する制御手段と、を備える装置。
【請求項２】
前記所定の論理関数が、ＯＲ論理関数を備える請求項１記載の装置。
【請求項３】
前記制御手段が、前記スイッチ手段を所定のＴＤＭＡスケジュールに従って制御するよう構成されている請求項１又は２記載の装置。
【請求項４】
請求項１から３のいずれか一項に記載の装置を備える分散システム。
【請求項５】
バス・ガーディアン手段を有する少なくとも１つの処理ノードを更に備える請求項４記載の分散システム。
【請求項６】
請求項１から３のいずれか一項に記載のノード・ガーディアン手段を有する第１の処理ノードと、
請求項１から３のいずれか一項に記載のノード・ガーディアン手段を有する第２の処理ノードと、
バス・ガーディアン手段を有する第１のグループの処理ノードと、
バス・ガーディアン手段を有する第２のグループの処理ノードと、を備え、
前記第１のグループが、前記第１及び第２の処理ノードに第１の共通チャネルを介して結合され、
前記第２のグループが、前記第１及び第２の処理ノードに第２の共通チャネルを介して結合され、
前記第１のグループ及び前記第１の処理ノードが、第１のエラー封じ込め領域を形成し、
前記第２のグループ及び前記第２の処理ノードが、第２のエラー封じ込め領域を形成する
請求項５記載の分散システム。
【請求項７】
前記第１のグループが更に、前記第１及び第２の処理ノードに第３の共通チャネルを介して結合され、
前記第２のグループが更に、前記第１及び第２の処理ノードに第４の共通チャネルを介して結合される
請求項６記載の分散システム。
【請求項８】
請求項１から３のいずれか一項に記載のノード・ガーディアン手段を有する第３の処理ノードと、
請求項１から３のいずれか一項に記載のノード・ガーディアン手段を有する第４の処理ノードと、を更に備え、
前記第３の処理ノードが、前記第１の共通チャネルに結合され、
前記第４の処理ノードが、前記第２の共通チャネルに結合され、
前記第１、第２、第３及び第４の処理ノードが、交差結合され、
前記第３の処理ノードが、前記第１のエラー封じ込め領域にあり、
前記第４の処理ノードが、前記第２のエラー封じ込め領域にある
請求項５又は６記載の分散システム。
【請求項９】
一方向のブロードキャスト経路により結合された複数の処理ノードを備え、
前記複数の処理ノードのそれぞれが、請求項１から３のいずれか一項に記載のノード・ガーディアン手段を有し、
前記複数の処理ノードのそれぞれが、当該複数の処理ノード間の送信の目的のため複数の一方向のブロードキャスト経路のうちの１つに排他的に割り当てられる
請求項４記載の分散システム。
【請求項１０】
前記分散システムが、
Ａ．ＴＴＰ／Ｃシステムと、
Ｂ．フレックスレイ（ＦｌｅｘＲａｙ）（登録商標）システムと
のうちの１つである、請求項５から９のいずれか一項に記載の分散システム。
【請求項１１】
故障で制御不能の分散システムにおいて処理ノードを動作させる方法であって、
信号を前記分散システムの別の処理ノードから受信する受信機手段を設けるステップと、
前記受信機手段に結合されて、複数の一方向の入力信号を受信するノード・ガーディアン手段を設けるステップと、を備え、
前記ノード・ガーディアン手段が、
複数の受信された入力信号を所定の論理関数に従って組み合わせる論理手段と、
前記複数の受信された入力信号の論理手段への印加を制御して、その場所での信号の受信を、前記分散システムの別の処理ノードからの制御不能の送信の前記処理ノードによる受信を低減するように制御する制御手段と、を備える、方法。
【請求項１２】
前記所定の論理関数が、ＯＲ論理関数を備える請求項１１記載の方法。
【請求項１３】
前記制御手段が、前記スイッチ手段を所定のＴＤＭＡスケジュールに従って制御する請求項１１又は１２記載の方法。
【請求項１４】
請求項１１から１３のいずれか一項に記載の処理ノードを動作させる方法を備える分散システムを動作させる方法。
【請求項１５】
バス・ガーディアン手段を有する少なくとも１つの処理ノードを設けるステップを更に備える請求項１４記載の方法。
【請求項１６】
請求項１１から１３のいずれか一項に記載のノード・ガーディアン手段を有する第１の処理ノードを動作させるステップと、
請求項１１から１３のいずれか一項に記載のノード・ガーディアン手段を有する第２の処理ノードを動作させるステップと、
バス・ガーディアン手段を有する第１のグループの処理ノードを設けるステップと、
バス・ガーディアン手段を有する第２のグループの処理ノードを設けるステップと、を備え、
前記第１のグループが、前記第１及び第２の処理ノードに第１の共通チャネルを介して結合され、
前記第２のグループが、前記第１及び第２の処理ノードに第２の共通チャネルを介して結合され、
前記第１のグループ及び前記第１の処理ノードが、第１のエラー封じ込め領域を形成し、
前記第２のグループ及び前記第２の処理ノードが、第２のエラー封じ込め領域を形成する
請求項１５記載の方法。
【請求項１７】
前記第１のグループが更に、前記第１及び第２の処理ノードに第３の共通チャネルを介して結合され、
前記第２のグループが更に、前記第１及び第２の処理ノードに第４の共通チャネルを介して結合される
請求項１６記載の方法。
【請求項１８】
請求項１１から１３のいずれか一項に記載のノード・ガーディアン手段を有する第３の処理ノードを動作させるステップと、
請求項１１から１３のいずれか一項に記載のノード・ガーディアン手段を有する第４の処理ノードを動作させるステップと、を更に備え、
前記第３の処理ノードが、前記第１の共通チャネルに結合され、
前記第４の処理ノードが、前記第２の共通チャネルに結合され、
前記第１、第２、第３及び第４の処理ノードが、交差結合され、
前記第３の処理ノードが、前記第１のエラー封じ込め領域にあり、
前記第４の処理ノードが、前記第２のエラー封じ込め領域にある
請求項１５又は１６記載の方法。
【請求項１９】
前記分散システムが、
Ａ．ＴＴＰ／Ｃシステムと、
Ｂ．フレックスレイ（ＦｌｅｘＲａｙ）（登録商標）システムと
のうちの１つである、請求項１５から１８のいずれか一項に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
［発明の分野］
本発明は、分散システムに関し、特に、たとえ単一の処理ノードの任意の故障を被ったとしても依然として動作状態のままであるべき静的ＴＤＭＡ（時分割多元接続）ベース型
中間調停を用いたハードのリアルタイム・システムに関する（なお、それに制限されるわけでは無い。）。
【０００２】
［発明の背景］
本発明の分野では、複数の処理ノードを有する分散処理システムにおいて、処理ノードが、任意の仕方で故障する場合がある間に、障害のある故障で制御不能な単一の処理ノードが故障の無い処理ノードの間の通信を混乱させないことを保証することが必要であることが知られている。故障で制御不能な処理ノードは、いずれの所与のネットワーク調停スキームに違反して指定されてない時点にランダムなメッセージを送ることにより任意の仕方で作動しなくなり得る。この目的を達成するため、
（ａ）完全に接続されるネットワーク・トポロジー、
（ｂ）マルチドロップ伝送回線トポロジー、
（ｃ）インテリジェントな中央分散ユニットを含むスター型トポロジー、及び
（ｄ）各処理ノードの出ネットワーク・インターフェースでバス・ガーディアン（バス保護器）（ｂｕｓ  ｇｕａｒｄｉａｎ）の形式の「アンチジャバーリング（ａｎｔｉ−ｊａｂｂｅｒｉｎｇ）」ユニットを有するマルチアクセス・トポロジー
のうちのいずれかを用いることが知られている。
【０００３】
しかしながら、これらのアプローチは、
（ａ）完全に接続されるネットワーク・トポロジーが、高コスト、及び実行し難いネットワーク構造を含み、
（ｂ）マルチドロップ伝送回線トポロジーは、どのマルチドロップ伝送チャネルもみな１つの受信機を必要とし、
（ｃ）インテリジェントな中央分散ユニットを含むスター型トポロジーは、分散ユニットに高い複雑さを要求して、故障に対する発生度を増大させ、及び
（ｄ）各処理ノードの出ネットワーク・インターフェースでバス・ガーディアンの形式の「アンチジャバーリング」ユニットを有するマルチアクセス・トポロジーにおいては、バス・ガーディアンが、空間的近接障害と、処理ノード内のバス・ガーディアンと通信ユニットとの間の潜在的な機能依存性との影響を受けやすい
という欠点を有する。
【０００４】
従って、分散システムにおいて処理ノードを相互接続するスキームであって、前述の欠点を軽減し得るスキームに対する必要性が、存在する。
【０００５】
［発明の概要］
本発明の第１の局面に従って、請求項１に記載されたような、分散システムにおいて処理ノードを接続する装置が、提供される。
【０００６】
これは、障害封じ込めの問題を潜在的に障害のある処理ノードの出力インターフェースから障害の無い処理ノードの入力インターフェースへ移動させる利点を提供する。そうすることにより、障害のある処理ノードの出力インターフェースでの障害の封じ込めを危険にさらし得る当該障害のある処理ノード内において空間的近接障害又は機能的依存性が遭遇する問題を軽減する。
【０００７】
本発明の第２の局面に従って、請求項１０に記載されたような、分散システムにおいて処理ノードを動作させる方法が、提供される。
【０００８】
本発明を組み込んだ信頼できる分散システムにおいて故障で制御不能な処理ノードを相互接続する様々な方法及び装置が、ここで、一例としてのみ、添付図面を参照して、説明されるであろう。
【０００９】
［好適な実施形態の説明］
最初に図１を参照すると、既知のバス・ガーディアン・ベースの分散処理ＴＴＰ／Ｃ（登録商標）（タイム・トリガード・プロトコル・クラスＣ）ネットワーク・システム１００は、処理ノード１１０，１２０，１３０，１４０，１５０，１６０，１７０，１８０を含む。当該処理ノードのそれぞれは、バス・ガーディアン（ＢＧ）１１１，１２１，１３１，１４１，１４２，１５１，１５２，１６１，１７１，１８１を有する。処理ノード１１０，１２０及び１３０は、共通チャネル１９０を介して処理ノード１４０及び１５０に結合され、そしてエラー封じ込め領域１０１を構成する。処理ノード１６０，１７０及び１８０は、共通チャネル１９５を介して処理ノード１４０及び１５０に結合され、そしてエラー封じ込め領域１０２を構成する。処理ノード１１０，１２０又は１３０で起こる「バブリング・イデオット（愚か者のおしゃべり）（Ｂａｂｂｌｉｎｇ  ｉｄｉｏｔ）」故障（故障の処理ノードがメッセージを連続的にブロードキャストし、そのメッセージがバスを占有する状態となる故障）が、処理ノード１４０及び１５０（故障伝搬経路ａにより示す。）に作用するが、しかし処理ノード１６０，１７０及び１８０に作用しないで、一方、処理ノード１６０，１７０又は１８０で起こる故障は、処理ノード１４０及び１５０（故障伝搬経路ｂにより示す。）に作用するが、しかし処理ノード１１０，１２０及び１３０に作用しない。しかしながら、処理ノード１４０又は１５０における故障（故障伝搬経路ｘ１及びｘ２）は、両方のエラー封じ込め領域、即ち、処理ノード１４０及び１５０を含む処理ノード１１０，１２０，１３０，１６０，１７０及び１８０に作用する。
【００１０】
本発明は、分散処理システムにおいて処理ノードを「愚か者のおしゃべり」故障に対して保護する問題を、各処理ノードに「ノード・ガーディアン（ｎｏｄｅ  ｇｕａｒｄｉａｎ）」を装備することにより解決することを可能にする。そのようなノード・ガーディアンの構造が、図２に示されている。
【００１１】
ノード・ガーディアン２００は、１組のスイッチ（図２は、３つの例、即ち、２４０，２４１，２４２を示す。）及び制御ユニット２５０を備える。当該１組のスイッチは、異なるサブネットワークから１組のバス・ドライバ２３０，２３１，２３２を介して受信された入力信号を通信プロセッサ２８０の受信機２７１へ論理ＯＲ演算２６０を介して接続する。当該制御ユニット２５０は、通信プロセッサ２８０と制御ユニット２７２を介して協働（ｉｎｔｅｒｏｐｅｒａｔｅ）し、そしてそれぞれのスイッチ２４０，２４１，２４２の状態を制御する。論理構成要素２６０と組み合わされた入力スイッチ２４０，２４１，２４２は、制御ユニット２５０の制御下で入力マルチプレクサとして動作することが認められるであろう。通信プロセッサ２８０を異なるサブネットワークへノード・ガーディアン２８０を介して接続することは、バス・ドライバ２３１の場合に実証されるようにサブネットワークのための専用の送信機としてか、又はバス・ドライバ２２０及び２３０の場合に実証されるようにサブネットワークのための組み合わされた送信機及び受信機としてか、又はバス・ドライバ２３１及び２３２の場合に実証されるようにサブネットワークのための専用の受信機としてかのうちのいずれかとして生じる。
【００１２】
制御ユニット２７２及び２５０は、既知のフレックスレイ（ＦｌｅｘＲａｙ）（登録商標）アーキテクチャへの合致を実証するためにのみ分離され、さもなければ共通に設けられ得ることが理解されるであろう。
【００１３】
ノード・ガーディアン２００は、送信スロットのそれぞれのサブネットワークへの割り当ての知識に基づくＴＤＭＡスケジュール（それは理解され、そして更に詳細に説明する必要がないであろう。）に従ってそれぞれのスイッチを使用可能又は使用不能にすることにより、処理ノードをジャバーリング（ｊａｂｂｅｒｉｎｇ）することにより阻止されるサブネットワークに対して通信プロセッサの受信機２７１を保護する。ＴＤＭＡスケジュールに従うことにより、ノード・ガーディアン２００は、それぞれのサブネットワーク２３０，２３１及び２３２のうちの１つのサブネットワークとその関連の通信プロセッサ２８０の受信機２７１との間の受信経路を、特定のサブネットワーク上でのメッセージの実際の送信前に使用可能に又は使用不能にすることができる。
【００１４】
保護が故障の処理ノードの領域内で起こる出力保護バウンダリ（境界）を実現するバス・ガーディアンとは異なり、ノード・ガーディアン２００は、保護が故障の無い処理ノードの領域内で起こる入力保護バウンダリを実現する。これは、バス・ガーディアンの場合にバス・ガーディアンとその関連の通信プロセッサの両方が、特に、それら両方がクロック又は電源のような相互で潜在的に故障の資源を共用する場合ジャバーリングをもたらす有害な方法で故障するようにさせることができるであろう空間的近接故障の危険を排除する。ノード・ガーディアンの場合は、ノード・ガーディアン２００及び通信プロセッサ２８０は、ノード・ガーディアンが保護された他の処理ノードの保護を危険に置くこと無しに、クロック発振器又は電源のような資源を共用し得る。
【００１５】
図３は、図１の純粋にバス・ガーディアン・ベースのシステムから開発され且つ図２のバス・ガーディアン装置を利用した階層型分散処理ネットワーク・システムの一例を示す。図３のシステム３００において、処理ノード３１０，３２０，３３０，３６０，３７０及び３８０は、図１のシステムにおけるようなバス・ガーディアン・アプローチを実現するが、一方、２つの処理ノード３４０及び３５０はそれぞれ、図２の装置２００を３４１及び３５１の中に組み込み、そしてノード・ガーディアン・アプローチに基づいている。処理ノード３１０，３２０及び３３０は、共通チャネル３９０を介して処理ノード３４０に結合され、そしてエラー封じ込め領域３０１を構成し、そしてまた共通チャネル３９０を介して処理ノード３５０にも結合される。処理ノード３６０，３７０及び３８０は、共通チャネル３９５を介して処理ノード３５０に結合され、そしてエラー封じ込め領域３０２を構成し、そしてまた共通チャネル３９５を介して処理ノード３４０にも結合される。処理ノード３４０は、処理ノード３５０に一方向経路３９３を介して結合され、そして処理ノード３５０は、処理ノード３４０に一方向経路３９８を介して結合される。たとえ処理ノード３１０，３２０又は３３０におけるジャバーリング故障がそれぞれのバス・ガーディアン３１１，３２１又は３３１を貫通し、共通チャネル３９０を閉塞させたとしても、一方向経路３９３は、処理ノード３４０が処理ノード３５０と通信することを可能にする。一方向経路３９８は、処理ノード３５０に対して対応する方法で働く。図３のシステムにおいて、エラー封じ込め領域３０１（即ち、処理ノード３１０，３２０，３３０又は３４０）で生じる故障は、そのエラー封じ込め領域３０１（故障伝搬経路ａ及びｘ１）に閉じ込められ、そしてエラー封じ込め領域３０２の中の処理ノードに影響を及ぼすことができない。逆の場合も、同じことが、エラー封じ込め領域３０２で発生する故障に対して当てはまる。従って、閉じ込めの明確な概念が、システム・レベルで実現される。
【００１６】
図４は、図３に示される例の改良版で、特にフレックスレイ（登録商標）により与えられるデュアル・チャネル能力を利用する例を示す。図３のシステムに加えて、図４のシステム４００においては、処理ノード４１０，４２０及び４３０は、処理ノード４４０及び４５０に共通チャネル４９１を介して結合され、そして処理ノード４６０，４７０及び４８０は、処理ノード４４０及び４５０に共通チャネル４９５を介して結合される。処理ノード４４０は、処理ノード４５０に経路４９２を介して結合され、そして処理ノード４５０は、処理ノード４４０に経路４９７を介して結合される。図４のシステムにおいて、いずれの故障封じ込め領域でも一時的チャネル故障及び１つの永続的チャネル故障に耐えることが可能である。例えば、チャネル４９０が故障の場合、処理ノード４１０，４２０，４３０及び４４０は、依然としてチャネル４９１を介して通信することができる。逆の場合も、同じことが、故障封じ込め領域４０２におけるチャネル故障に対して当てはまる。
【００１７】
図５は、ノード・ガーディアン・アプローチ（例えば、図３に示されるようなもの）が、それぞれが各チャネルに対して１つのノード・ガーディアン装置を有する４つの中央処理ノード５４０，５４５，５５０及び５５５を含む大きいシステムにスケールアップする仕方を示す（図５は、１個のチャネルに対してのみ作成されている。）。図５のシステム５００においては、図３との比較により分かることができるように、２つの更なる中央処理ノード５４５及び５５５が処理ノード５４０及び５５０に追加され、処理ノード５４５及び５５５が、エラー封じ込め領域５０１及び５０２のそれぞれに設けられ、処理ノード５１０，５２０，５３０が、中央処理ノード５４０，５４５及び５５０に直接結合され、処理ノード５６０，５７０，５８０が、中央処理ノード５４０，５４５及び５５５に直接結合され、処理ノード５４０，５４５，５５０，５５５が、一方向経路を介して交差結合される。この交差結合は、例えば、たとえ処理ノード５１０，５２０及び５３０と中央処理ノード５４０，５４５及び５５０との接続が故障した場合でも、処理ノード５４０，５４５，５５０及び５５５が通信を維持することを可能にする。それぞれの中央処理ノードが１つのノード・ガーディアン装置２００を有し且つそれぞれの中央処理ノードが一方向経路５９１，５９２，５９３，５９４により交差結合されている４つの中央処理ノード５４０，５４５，５５５の構成は、一般的な非対称の通信故障（これはまたビザンチン故障として知られている。）の仮定の下でさえ、そのような故障を緩和するため必要な２つの条件が満たされるので、これらの４つの中央処理ノード・システムの間でＴＤＭＡベースの通信を開始する手段を提供する。その第１の条件は、ｋ個のビザンチン故障を緩和するため３ｋ＋１個の処理ノードを設けることを要求する。１に等しいｋに対して、上記条件は、４個の処理ノードの場合適合される。第２の条件は、故障の無い処理ノードの間でｋ＋１巡回の通信を交換する能力を要求する。１に等しいｋに対して、この条件は、２巡回の通信を交換する能力を課する。他の中央処理ノードへの排他的一方向のブロードキャスト経路を有するそれぞれの中央処理ノードを設けることにより、２巡回の通信が、たとえ故障のいずれの単一の中央処理ノードの仮定の下でさえ中央処理ノードの間で保証されることができる。
【００１８】
一般的な場合においては、それぞれの中央処理ノードが１つのノード・ガーディアン装置２００を有し且つそれぞれの中央処理ノードが一方向経路５９１，５９２，５９３，５９４により交差結合されている４つの中央処理ノード５４０，５４５，５５５を有する構成を用いて、４つのエラー封じ込め領域を有するシステムを定義することができ、それにより、４つの中央処理ノードのそれぞれは、その４つのエラー封じ込め領域のうちの単一の領域内に配置されるであろう。
【００１９】
ノード・ガーディアンの代替実施形態が、図６に示されている、その図６では、同じ参照番号は、図２に示されるノード・ガーディアンに関する構成要素と同じ構成要素に対して用いられている。
【００２０】
ノード・ガーディアン６００は、論理構成要素６０２を含むことにより、図２に示されるノード・ガーディアン２００とは異なり、当該論理構成要素６０２は、ＯＲゲート６０５及びスイッチ６０１を含む。論理構成要素６０２は、送信機２７０とバス・ドライバ２１０との間に結合されたノード・ガーディアン６００の送信経路に配置される。送信機２７０からの出力は、ＯＲゲート６０５に対する１つの入力を形成し、そしてスイッチ６０１からの出力が、第２の入力（即ち、ノード・ガーディアン６００により受信される信号）を形成する。その上、又は代替として、等価な方法で、ＯＲゲート６０６及びスイッチ６０３を含む論理構成要素６０４が、送信機２７０とバス・ドライバ２２０との間に結合されたノード・ガーディアン６００の送信経路に配置される。送信機２７０からの出力は、論理構成要素６０４に対する１つの入力を形成し、そしてスイッチ６０３からの出力は、第２の入力を形成する。
【００２１】
スイッチ６０１及び６０３の動作は、制御ユニット２５０を介して制御され、それにより、信号がノード・ガーディアン６００により受信され且つそれが別のノード（図示せず）に転送されることになるとき、制御ユニット２５０は、その受信された信号を対応するＯＲゲート６０５，６０６へ通信することを可能にするようスイッチ６０１，６０３の１つ又はその両方を動作させ、当該対応するＯＲゲート６０５，６０６は、上記受信された信号をバス・ドライバ２１０及び／又は２２０を介して送信するためのマルチプレクサとして動作する。
【００２２】
図６に示されるノード・ガーディアン６００の実施形態は、エラー封じ込め領域、例えば、エラー封じ込め領域３０１の中のノードが、メッセージを他のエラー封じ込め領域へ能動的に中継しなければならないためノード・ガーディアンに結合される処理ノード（例えば、通信プロセッサ）の必要無しに、メッセージを別のエラー封じ込め領域の中のノードへ直接ブロードキャストすることを可能にする。
【００２３】
これは、メッセージ待ち時間及び計算要件を低減する利点を提供する。
【００２４】
その上、図６に示されるノード・ガーディアン６００の実施形態は、図３に示されるような余分な追跡の使用によりエラー封じ込め領域３０１をエラー封じ込め領域３０２に結合する代替実施形態の必要性を回避する。その結果として、ノード・ガーディアン３４１がエラー封じ込め領域３０１内のジャバーリング故障から保護することを可能にすることにより、メッセージは、ノード・ガーディアン３４１を介してノード・ガーディアン３５０へ送信されることができ、そしてその逆も同様にできる。ノード・ガーディアン６００を組み込む対応のネットワーク形態が、図７に示され、その図７において、同じ参照番号は、図３に示される構成要素と同じ構成要素に対して用いられている。
【００２５】
ノード・ガーディアン・アプローチの主要な利点は、エラー封じ込めバウンダリ（境界）が処理ノードの受信経路内に定義される点であることが認められるであろう。これは、エラー封じ込めバウンダリが処理ノードの送信経路内に定義されるバス・ガーディアン・アプローチであって、その送信経路に対して共通の故障モード又は空間的近接故障が影響を及ぼすことができ、その空間的近接故障は、スケジュールされない送信をもたらす通信プロセッサの挙動、並びにスケジュールされない送信がネットワークへ伝搬することを可能にするバス・ガーディアンの故障挙動との両方を引き起こし得る上記バス・ガーディアン・アプローチとは異なった対照をみせる。ノード・ガーディアン・アプローチは、独立のクロック供給（ｓｏｕｒｃｉｎｇ）、独立の電力供給、試験及び試験対話のような共通故障モードを回避することに関してバス・ガーディアン・アプローチの場合に遭遇された多くの問題を排除する。
【００２６】
前述した信頼できる分散システムにおいて故障で制御不能のプロセッサを相互接続する方法及び装置は、次の利点を提供する。即ち、
本発明は、故障封じ込めの問題を潜在的に故障の処理ノードの出力インターフェースから故障の無い処理ノードの入力インターフェースに移動する。そうすることにより、故障の処理ノードの出力インターフェースにおいて故障封じ込めを危険にさらし得る当該故障の処理ノード内で空間的近接故障又は機能の依存性が遭遇する問題が、緩和される。
【図面の簡単な説明】
【００２７】
【図１】図１は、第１の実施形態に従った既知のバス・ガーディアン・ベースの分散処理システムの概略ブロック図を示す。
【図２】図２は、本発明で用いられ得るノード・ガーディアン装置の概略ブロック図を示す。
【図３】図３は、図１のバス・ガーディアン・ベースの分散処理システムから開発され、且つ図２のノード・ガーディアン装置を利用する分散処理システムの概略ブロック図を示す。
【図４】図４は、デュアル・チャネル能力を利用するため図３の分散処理システムの改良版の概略ブロック図を示す。
【図５】図５は、４つの中央処理ノードを含む分散処理システムの概略ブロック図を示し、図４のノード・ガーディアン・アプローチがより大きいシステムにスケールアップする仕方を実証している。
【図６】図６は、第２の実施形態に従って本発明で用いられ得るノード・ガーディアン装置の概略ブロック図を示す。
【図７】図７は、図６のノード・ガーディアン装置を利用する分散処理システムの概略ブロック図を示す。
【図１】
2007517417.tif 000003
【図２】
2007517417.tif 000004
【図３】
2007517417.tif 000005
【図４】
2007517417.tif 000006
【図５】
2007517417.tif 000007
【図６】
2007517417.tif 000008
【図７】
2007517417.tif 000009
【手続補正書】
【提出日】平成18年2月9日(2006.2.9)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】０００３
【補正方法】変更
【補正の内容】
【０００３】
米国特許Ｎｏ．５，５６８，６１５は、いわゆるステルス・インターフェース・フロント・エンド・コンピュータ・システムに関する。インターフェースは、多数の能動的冗長プロセス制御コンピュータをコンピュータ・ネットワークに結合する。各能動的冗長プロセス制御コンピュータは、ステルス・インターフェースを備え、当該ステルス・インターフェースは、物理的プロセスと関連した動的データを格納し且つコンピュータ・ネットワークと通信することが可能であるフロント・エンド・コンピュータへデータを転送するマルチポート化されたメモリを含む。
米国特許公開Ｎｏ．２００２／０１３３７５６は、データ通信ネットワークにおいて故障保護の多重レベルを与えるシステム及び方法を開示する。当該ネットワークにおける複数の資源のそれぞれに対する故障保護判定基準は、ネットワークの複数のノードのそれぞれに格納される。
しかしながら、これらのアプローチは、
（ａ）完全に接続されるネットワーク・トポロジーが、高コスト、及び実行し難いネットワーク構造を含み、
（ｂ）マルチドロップ伝送回線トポロジーは、どのマルチドロップ伝送チャネルもみな１つの受信機を必要とし、
（ｃ）インテリジェントな中央分散ユニットを含むスター型トポロジーは、分散ユニットに高い複雑さを要求して、故障に対する発生度を増大させ、及び
（ｄ）各処理ノードの出ネットワーク・インターフェースでバス・ガーディアンの形式の「アンチジャバーリング」ユニットを有するマルチアクセス・トポロジーにおいては、バス・ガーディアンが、空間的近接障害と、処理ノード内のバス・ガーディアンと通信ユニットとの間の潜在的な機能依存性との影響を受けやすい
という欠点を有する。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００７
【補正方法】変更
【補正の内容】
【０００７】
本発明の第２の局面に従って、請求項１１に記載されたような、分散システムにおいて処理ノードを動作させる方法が、提供される。
【国際調査報告】
2007517417.tif 000010
2007517417.tif 000011
2007517417.tif 000012