JPH09261220A - 保全プロセッサのための仮想認証ネットワーク - Google Patents

Abstract

(57)【要約】 通信システムの保全処理要素（１０、２０、３０、４
０、５０、６０、７０、８０）のグループの保全性は、
確認スキームで確保される。メンバー要素（１０、２
０、３０、４０、５０、６０、７０、８０）は、隣接す
るメンバーによって確認され、メンバーが、グループか
ら有効に除去されたか否かを決定する。メンバーに信頼
性がないとわかった場合、このメンバーへのグループ特
性情報の伝送が中断される。このグループ特性情報は、
このグループを画成し、また、機能するために、各々の
グループメンバーによって要求される。したがって、信
頼性を欠いたメンバーは、グループから効率的に追放さ
れる。効率的なネットワークトポロギーは、メンバー間
メッセージ交通を最小化する一方で、グループの耐久性
を維持する。 【課題】 【解決手段】

Description

【発明の詳細な説明】

【０００１】

【発明の属する分野】本発明は、データの保全処理に関
し、特に、多重保全プロセッサを使用するシステムにお
けるデータ保全を向上するための方法及び装置に関す
る。

【０００２】

【従来の技術及び発明の解決しようとする課題】システ
ムにおいて保全処理機能を非保全処理機能から分離又は
区別することが標準的に行われている。通常、保全機能
がシステムの一部のみであることから、一部分のみが特
殊な保全レベルを要する場合、システム全体の保全には
効率的ではない。システムの保全領域は、伝統的にＲＥ
Ｄで表され、非保全領域はＢＬＡＣＫで表される。

【０００３】また、システムの動作及び信頼性の要求に
対応するために並列構造を利用することも標準的に行わ
れている。並列システムでは、余分な処理要素が与えら
れ、１個の処理要素が故障した場合に、バックアップ要
素が適用できるようになっている。また、保全処理が並
列構造で起こると、多重保全プロセッサ（ＳＥＣＰＲＯ
Ｃ）が必要となる。しかし、異なったＲＥＤ保全領域で
の多重ＳＥＣＰＲＯＣの存在は、ＳＥＣＰＲＯＣ同士の
間にデータ共有問題を起こす。特に、ＢＬＡＣＫ又は非
保全領域を通過する別々の保全領域でのＳＥＤＰＲＯＣ
の間での通信全部の保全は、メッセージが途中で交番し
得ることから、信頼性に欠ける。

【０００４】通信ネットワークの保全を確実にするため
に、ネットワークは、そのメンバー処理要素の有効性を
確認できる能力をもたなければならない。これは、各々
のプロセッサが他のプロセッサ全部を確認することによ
って達成できる。例えば、処理機能が、ラックに収容さ
れるサーキットボードによって動作され得る。与えられ
たボードに対し、他の全部のボードが有効にされ、ま
た、変更されてしまったか又は取り除かれてしまったこ
とを知らせるために、ボードは、他のボードの各々にポ
ーリング信号を送り、応答を待ち、この応答を評価しな
ければならない。しかし、これは、ボードの間のメッセ
ージ転送量を大きくすることになる。

【０００５】このことから、ＳＥＣＰＲＯＣがその意図
とする環境から取り除かれ、システム保全を侵害又は侵
害しようとすることの目的のために使用される場合を判
断するための方法及び装置を提供することが望まれる。
特に、ＳＥＣＰＲＯＣ全部の除去は、ＳＥＣＰＲＯＣに
よって通常に動作される機能の存在のため容易に検出さ
れるが、いずれの長さの時間の間、並列ＳＥＣＰＲＯＣ
の保全グループにおけるＳＥＣＰＲＯＣ全部以下の除去
の検出はより困難である。これは、様々のＳＥＣＰＲＯ
Ｃを利用するネットワークから少数のＳＥＣＰＲＯＣを
取り除くことが並列グループ全体の出力をやや低下させ
ることになるので、真実である。このことから、除去は
見落とされ、システム保全の侵害となり得る。

【０００６】さらに、時間消費要素間メッセージ転送を
最小にする間に他のグループメンバーの存在及び保全
（例えば、信頼性）を確認するためにネットワークのグ
ループメンバーに従う効率的なスキームを与えることが
望まれる。

【０００７】有効なスキーム、ネットワークグループの
メンバーである１組のプロセッサ及びグループにおける
メンバーシップを制御する画成特性が与えられることに
よって、グループのメンバーが、内部のグループを確認
し、及び／又は特性を制御するための方法が与えられる
点に利点がある。このような方法は、異なった領域にあ
る多重ＳＥＣＰＲＯＣを保全的且つ効率的に動作させ、
一方で、１個以上のＳＥＣＰＲＯＣが不正に取り除かれ
又は変更されてしまったときの検出能力も与えなければ
ならない。全体として、グループの保全を保全し、一方
で、不正な機能損失ではなく、プロセッサのグループが
幾つかの少数のメンバー要素の故障を現存させることが
できるという利点がある。さらに、いずれのＳＥＣＰＲ
ＯＣの非確認除去をも検出する一方、グループが、全体
のグループの機能性を低下することなく、単一のＳＥＣ
ＰＲＯＣの故障を補償するところの保全スキームを提供
するという利点がある。

【０００８】本発明は、上述の、及び他の利点を有する
保全方法及び装置を提供する。

【０００９】

【課題を解決するための手段】本発明に従って、保全プ
ロセッサのための仮想確認ネットワークが提供される。
１つの実施例では、ネットワークは、符号化リングから
成り、この符号化リングは、グループのメンバーの間の
内部関係を画成するトポロギー的ネットワーク構造であ
る。この内部関係は、グループ特性の確認及び伝送を行
う機構である。このリングトポロギーは、本発明の最も
簡単な使用を説明するために使用されるが、本発明はま
た、より複雑な構成及びトポロギーに適用できる。

【００１０】特に、リング構造とともに、各々のグルー
プ要素は、それぞれの仮想及び／又は物理的通信チャン
ネル又は経路を介して２個の他のグループ要素に直接的
に通信できる。このようなチャンネルは、例えば、同軸
ケーブル、光ファイバー、ねじれ銅対（twisted copper
pair）、人工衛星リンク、及びデジタルマイクロ波ラ
ジオのような電磁気及び／又は光信号を運ぶワイヤー及
び無線経路を含む。また、このような経路は、１個以上
の物理的チャンネルにわたる多くの仮想経路として与え
られる。

【００１１】グループ要素は、例えば、同一のデバイス
内に物理的に配置されるＡＳＩＣ（application-specif
ic integrated chip）から成り得る。これらメンバー
は、異なった機能を実行するか、又は必要なときのみに
呼び出されるバックアップ能力又は余剰能力を与えるこ
とができる。変形的に、これらメンバーは、例えば、ビ
ルデイングの異なった部屋又は世界中に異なった場所に
物理的に設置されるコンピュータで見られるような中央
演算処理ユニット（ＣＰＵ）であってもよい。また、本
発明は、幅広い範囲のネットワークに適用可能である。
本発明は、ＬＡＮ（local area network）及びＷＡＮ
（wide area network）を含む公共的、個人的及び協同
的なネットワークや、ルーター（router）で往復するよ
うな異なったネットワークのインターネットに適用でき
る。本発明は、相互に働く保全要素の仮想的な全てのネ
ットワークに適用でき、他の信頼性の各々を確認し、故
障確認に反応する保全スキームを提供する。

【００１２】また、本発明は、統合特性又は特性Ｃの伝
送、又は変形的にＣを得るか又は使用するために各々の
メンバーに必要な情報の伝送を使用するグループメンバ
ーを孤立し、排除し、無力化し、縮小し、又は制御する
ために適用できる。

【００１３】本発明は、例えば、放送局（例えば並列）
又はグループ全体が情報を処理するまで１つのメンバー
から他のメンバーへ情報を通過させるところで伝送をす
るところのグループメンバーやそのサブセットの間で秘
密情報を伝送するネットワークを保全するものである。

【００１４】注目すべきは、グループメンバーの間の通
信が、物理的及び／又は仮想的通信経路にわたって起こ
ることである。仮想ネットワークでは、各々のメンバー
の間のワイヤーのような別々の直接的、物理的な接続が
不要である。また、メンバーは、共有ホスト又は自宅の
コンピュータを介して相互に通信できる。通信プロトコ
ルでの適当なルーチン又はシンタックスの使用により、
ネットワークでのメッセージフローが、特定のメンバー
に対して、又は同時にプロセッサ全部に対して向けられ
る。例えば、ＬＡＮが仮想ネットワークである。ＬＡＮ
は、物理的に、エサーネットのように周知の形状でパー
ソナルコンピュータのような様々のプロセッサにより共
有される単一のワイヤーから成る。また、異なった物理
的なネットワークが、同一の仮想ネットワークを与える
ために形成され、また、単一の物理的ネットワークが、
異なった仮想ネットワークを与えるために形成される。

【００１５】さらに、ネットワークメンバーの間の情報
分布接続又はインターフェースが幾つかの特定数Ｒのメ
ンバーの故障を阻止することを確実にすることによっ
て、情報を分布するネットワークの保全を維持するため
の手段が与えられる。

【００１６】さらにまた、メンバーが各々の他の信頼性
を確認して、確認がネットワークメンバーの間の特定の
接続で起こるところで、ネットワークのトポロギーを確
証する。確認の結果が、特性Ｃを他のメンバーに伝送す
るか否かを判定するための基準として、メンバーによっ
て使用される。

【００１７】確認が、幾つかの処理工程又は動作の特定
の繰返し数（Ｆ）が終了すると起こる。確認が、Ｆの起
こる幾つかの数以下ではないように指令され、それは、
ネットワークによって判定された一定又は可変、又は、
ネットワーク外の機構により設定される値である。

【００１８】

【発明の実施の形態】保全データ処理システムは、「保
全グループ」、「グループ特性」及び「グループ内確認
（intra-group validation）」を含む様々な概念を用い
て一層容易に解析できる。

【００１９】「保全グループ」は、２以上のＳＥＣＰＲ
ＯＣのグループであり、このグループは、グループがい
ずれの単一グループメンバーの除去又は簡易平衡（comp
romise）を検出できる自己確認能力を有する。第１のメ
ンバーが第２のメンバーの有効性を確認でき、これは、
例えば、これら両方のメンバーを共有するキー（key）
を使用して符号化されるメッセージを送ることによって
なされる。第２のメンバーは、元々のメッセージと比較
できる結果を得るために第１のメンバーがデコードする
返答メッセージを送る。一致がある場合、第２のメンバ
ーの有効性は、第１のメンバーによって確認されたこと
になる。変形的に、全く返答がない場合、第１のメンバ
ーは、第２のメンバーが故障又は第２のメンバーから除
去されてしまったことを知ることになる。自己確認を達
成できる直接的な方法は、あるグループのＮ個のメンバ
ーの各々を有し、他のメンバーの全てを確認することで
ある。この手順は、この確認が頻繁に行われるならば、
いずれのメンバーも比較的迅速に他のいずれのメンバー
の欠如を検出できるので、効率的である。

【００２０】この方法は、残念ながら、ＳＥＣＰＲＯＣ
の間の交通量を比較的大きくしなければならない。特
に、少なくとも４個のメッセージが、２個のメンバーの
間で自己確認するためのグループメンバーの各々の対の
間で移動しなけれなばらない。Ｎ個のＳＥＣＰＲＯＣの
各々について確認メッセージを他の（Ｎ−１）個のＳＥ
ＣＰＲＯＣへ送るために、Ｎ（Ｎ−１）個のメッセージ
がある。同様に、全部で２Ｎ（Ｎ−１）個のメッセージ
について、Ｎ（Ｎ−１）個の返答メッセージがある。Ｎ
個のＳＥＣＰＲＯＣの全部の存在を確認するためにＳＥ
ＣＰＲＯＣの間で移動しなければならないメッセージの
総数は、以下の数１で与えられる。

【００２１】

【数１】

【００２２】したがって、この確認手順に必要なメッセ
ージの総数は、Ｎ２に比例する。Ｎが大きいと、メッセ
ージ数は、並列（parallelism）のいずれの自明でない
量に対して禁止的に大きくなる。Ｎ＝１０のとき、例え
ば、２×１０（１０−１）＝１８０個のメッセージを必
要とする。Ｎ＝１００では、１９８００個のメッセージ
を必要とする。システム保全を維持するために、ＳＥＣ
ＰＲＯＣの間の自己確認を頻繁に行わなければならない
ことから、この確認手順は、潜在的にメッセージ交通量
を大きくする。この方法は、メッセージに転送されるデ
ータの量が大きい場合、望ましいものではない。また、
メッセージ交通の周波数は制限されるべきであり、これ
により、自己確認スキームの利点が低下される。

【００２３】「グループ特性」又は「確認グループ画成
特性」は、保全プロセッサのようなメンバー要素のグル
ープを画成する共有情報である。これは、与えられたＳ
ＥＣＰＲＯＣが保全情報を使用してその機能を実行する
点に着目すれば理解できる。ＳＥＣＰＲＯＣの保全を維
持するために、保全情報は、保全ＲＥＤ境界内に全体的
に残されるべきであり、また、ＢＬＡＣＫ領域において
いずれの観察者に対しても分かるか又は見える形で出て
はいけない。しかし、例えば、ＳＥＣＰＲＯＣが故障す
るか又は他のＳＥＣＰＲＯＣが故障したＳＥＣＰＲＯＣ
の機能に取って代わる場合、他の保全領域の他のＳＥＣ
ＰＲＯＣが、保全情報を共有する必要がある。変形的
に、異なったＳＥＣＰＲＯＣの間での保全情報の共有
は、特定のグループ機能を行う必要がある。よって、互
いに有意味にグループ化されるべき１組のメンバー要素
について、これらは、共通の機能演算、符号化キー又は
他のデータのような幾つかの情報の形を共有する。

【００２４】例えば、共通の符号化キーのような特性
は、符号化キーがグループメンバー全部により使用され
て個々の又はグループの機能を行う場合、システムのグ
ループメンバーの間で自動的に共有される。符号化キー
は、システムにおいて他の要素を幾つかのキーの生成か
ら効率的に排除するために、任意に生成されるべきであ
る。しかし、キーがグループ特性であるとき、このキー
を作り出したメンバー以外のグループのメンバーと共有
される。各々のグループメンバーは、正確に機能できる
特性を備えなければならない。

【００２５】グループメンバーの間でグループ特性を伝
送又は通信できる保全手段が必要である。これは、グル
ープメンバーが別々の保全領域にあり、また、非保全領
域を通過する通信経路又はチャンネルによって相互接続
されるときに、特に必要である。また、グループメンバ
ーの間での特性の伝送は、各々のメンバーの有効性又は
信頼性をアクセスできる機会を与える。つまり、グルー
プ特性の存在は、グループの各々のメンバーのための実
行機構を自動的に作り出し、必要ならば、他のグループ
メンバーの有効性をアクセスしたりメンバーを除去す
る。よって、この実行機構により、グループメンバー
が、グループの機能的メンバーシップを制御できる。

【００２６】特に、実行は、グループ特性の伝送を制御
することによって行われる。定義により、グループ特性
情報を備えていない要素は、グループのメンバーになる
ことはなく、また、グループと結合的に機能できない。
メンバーは、メンバーに対してグループ特性の伝送を終
了することによってグループから離れる。

【００２７】さらに、グループメンバーの間でのグルー
プ特性の伝送は、直接的又は非直接的である。直接伝送
について、グループメンバーからグループメンバーへ伝
送される特性情報は、その機能を実行するのにグループ
に必要な同一の情報である。例えば、特性情報は、各々
のメンバーがデータをデコードするのに必要な符号化キ
ーであり得る。直接伝送は、グループ画成特性が分布の
容易な情報量が小さいとき、効率的である。

【００２８】非直接伝送について、要素間メッセージ交
通量が大きくなりすぎて、実際のグループ特性が伝送さ
れない。グループ特性（例えば、非直接情報）を表すデ
ータは通信される。非直接情報はグループメンバーによ
って使用され、グループ特性自身を導き出す。例えば、
グループ特性は、「グループキー」として知られる符号
化キーのもとで符号化される符号化キーの大きなデータ
ベース又はリストから成り得る。グループキーは、グル
ープメンバーの間で伝送される非直接情報であり、メン
バーはグループ特性を導き出すことができる。グループ
特性は、グループキー及びメンバーに知られる所定の演
算を使用して導き出される。また、グループ特性は、連
続して使用するためのメンバーによって局所的に蓄積さ
れる。よって、メンバーについて、グループ特性を導き
出すために、グループキーは、間違いなく伝送されなけ
ればならない。グループキーがメンバーに対して適切で
なければ、グループ特性は、メンバーに対して適切でな
く、また、メンバーはグループから有効的に排除され
る。

【００２９】様々なネットワークの形状が、グループメ
ンバーの間のグループ特性を直接的に伝送するために用
いられる。例えば、情報は、リング形状で、グループメ
ンバーからグループメンバーへと伝送され、ここで、各
々のメンバーは、２個の隣接するメンバーに接続されて
いる。この形状について、伝送がグループメンバーのエ
ラー又は離脱により中止される場合、幾つかのメンバー
は、情報にアクセスせず、また、そのデータを使用する
いずれの機能を連続して実施することができない。

【００３０】グループ特性を導き出すために必要な情報
又はグループ特性の伝送を制御できる能力は、グループ
保全を維持するための実行機構を与える。変形的に、判
定プロトコルが、与えられたグループメンバーにわたっ
てこのような制御を実行するときを判定するために要求
される。この判定の基準は、与えられたメンバーにおい
てグループのもつ信頼性の度合いをもたらす。信頼性の
レベルが特定のスレッショルドを越えると、メンバー要
素はグループ内に残り、また、伝送されるグループ特性
を連続して受け取る。しかし、メンバーに信頼性がない
とみなされると、メンバーへの特性の伝送は終了する。

【００３１】例えば、メンバーに対する信頼性を判定す
る１つの方法は、メンバーが保全テスト動作を間違えな
く完了した場合に判定することである。メンバーがテス
トに失格した場合、メンバーは、信頼性がないとみなさ
れる。また、テストは、メンバーの存在だけを証明し
て、メンバーがシステムから除去されていないことを判
定する。このテストが十分に行われる場合、メンバーの
物理的な存在が、精度の許容量とともに証明される。こ
れはまた、メンバーの信頼性を判定する上で重要な因子
である。

【００３２】「グループ内確認」又は「要素間確認」
は、ＳＥＣＰＲＯＣのグループによって使用される処理
であり、グループメンバー全部の存在及び信頼性のレベ
ルを確認する。グループ内確認は、グループがそのＳＥ
ＣＰＲＯＣの保全補助（secureattendance）をとるとき
に見られる。例えば、各々のメンバーは、他のグループ
メンバー又はホストコンピュータによって所定のメッセ
ージとともに受信されるときに特定の応答を転送するこ
とを期待される。変形的に、メンバーは、１以上の他の
メンバーへメッセージを転送することによってその存在
を周期的に知らせてもよい。

【００３３】また、オーバーラップ又は共有する形状に
おいて１以上のグループに従属することが要素にでき
る。さらに、グループ内確認が、グループ全部の間又は
グループメンバーの特定のサブセットの間で起こる。確
認グループが、内部確認手順で確認されるグループの１
組又はサブセットである。

【００３４】さらに、グループ内確認は、最小に許容可
能であるが過度でないレートでグループメンバーの存在
を確認する。グループ内確認の周波数を制御できる１つ
の方法は、グループのメンバー各々が実行する幾つかの
共通的に行われる保全処理機能に関連する。例えば、各
々のＳＥＣＰＲＯＣは、機能を実行する回数の計数を維
持することができ、また、この計数がある値Ｘになる前
に確認手順を実行することができる。確認は、ＳＥＣＰ
ＲＯＣが（Ｘ＋１）回の間に機能を行うよう要求される
前に起こる。確認が成功しない場合、ＳＥＣＰＲＯＣは
機能を実行するために拒絶する。この確認の形状は、Ｓ
ＥＣＰＲＯＣが故障してしまったか又は除去されてしま
ったことを定期的に確認するために必要となる。

【００３５】次に、２個の保全プロセッサ（ＳＥＣＰＲ
ＯＣ）ＳＰ１及びＳＰ２のグループの場合を考える。こ
れら２個のＳＥＣＰＲＯＣ（ＳＰ１、ＳＰ２）は、グル
ープとしてそれらを定義する幾つかの共通情報（特性）
を共有し、それは、幾つかの機能Ｆを実行する。グルー
プ保全を維持するために、ＳＰ１はＳＰ２の信頼性を確
認し、ＳＰ２はＳＰ１の信頼性を確認することができ
る。確認は、確認周期が経過した後に起こる。確認周期
は、機能Ｆの起こった数Ｘに対応する。さらに、特性Ｃ
は、更新周期後に変わり、それは、典型的に、確認周期
よりも長い。グループ特性は、一方のＳＥＣＰＲＯＣ
（ＳＰ１）によって生成され、他のＳＥＣＰＲＯＣ（Ｓ
Ｐ２）に通信（伝送）される。

【００３６】図１は、本発明に従った２個の保全プロセ
ッサのグループの概略図である。符号化キー（Ｋｅｙ１
２）は、プロセッサ（ＳＰ１０）及びプロセッサ（ＳＰ
２０）の両方に知られている。図１において、Ｋｅｙ１
２は、確認を実行するために使用される。例えば、ＳＰ
１は、ＳＰ２の信頼性を評価するために定期的に実行す
ることができる。ＳＰ１は、ＳＰ２が確認テストに失格
するか又は合格するかを記録し、今後の参考のためにメ
モリーにその結果を保存する。更新周期が経過した後、
特性Ｃは変えられる。新しい特性は、ＳＰ１によって生
成されるか又はグループ外のソースから得られる。しか
し、ＳＰ１は、ＳＰ２が確認テストに失格したことを前
もって判定され、信頼性に欠ける場合、ＳＰ１はＳＰ２
にＣを伝送するために拒絶する。この点で、ＳＰ２は、
グループから有効的に排除され、ＳＰ１は、単独に機能
するグループメンバーとして残る。

【００３７】図１は、確認又は伝送処理を図説する。Ｓ
Ｐ１は、メッセージを通信経路１２にわたってＳＰ２へ
と転送し、経路１２上でそれに続く応答メッセージを評
価することによってＳＰ２を確認する。ＳＰ２は、通信
経路１４にわたってメッセージを転送し、経路１４にわ
たって受信した応答を評価することによってＳＰ１を確
認する。上述のように、本発明の通信経路は仮想経路で
ある。よって、経路１２及び１４は、ワイヤーのような
物理的接続に一致する必要のない仮想経路である。

【００３８】例えば、ＳＰ１は、メッセージをＳＰ２へ
と送る指令をもつホストプロセッサ（図示せず）を介し
てメッセージを送る。ホストプロセッサは、メッセージ
を受信し、意図とされる受容者のアドレスを判定し、メ
ッセージをＳＰ２へ再度転送する。また、この再度の転
送は、急ぐ必要がなく、ホストがＳＰ２のデータ量を１
以上のメンバーから累積した後に起こってもよい。変形
的に、ホストプロセッサは、ＳＰ２によって要求される
異なったデータのフォーマットを与えるために処理を行
う。

【００３９】図１に示すように、一対のＳＥＣＰＲＯＣ
には、合計少なくとも４個の要素間メッセージが相互に
確認を行うために要求される。この通信処理は、要素間
確認処理又は変形的に要素相互（cross）確認処理と考
えられ、図１の右端部分では仮想経路１６によって指示
される。この指示は、他の図面でも同様である。

【００４０】図２（ａ）は、本発明に従った４個の保全
プロセッサのグループの概略図である。これは、一層現
実的且つ図説的なグループトポロギーである。グループ
トポロギーは明解なリング状である。また、４要素ネッ
トワークリングトポロギーでは、各々のメンバーが他の
２個の要素を確認する。グループメンバーＳＰ１（符号
１０）は、経路１６を介してＳＰ２と通信し、一方、Ｓ
Ｐ２は経路２２を介してＳＰ３（符号３０）と通信し、
ＳＰ３は経路経路２４を介してＳＰ４（符号４０）と通
信し、ＳＰ４は経路２６を介してＳＰ１と通信する。よ
って、グループメンバーは、仮想又はトポロギー的に相
互に隣接している。例えば、ＳＰ１がＳＰ２及びＳＰ４
に隣接している。このトポロギーでは、１個の要素が故
障すると、断絶された隣の要素は、まだ生きている他の
要素を通じて通信され、これにより、グループ動作が連
続できる。しかし、最悪の場合、ＳＰ４及びＳＰ２のよ
うな２個の要素が故障した場合、残りの要素ＳＰ１及び
ＳＰ３が通信不能となり、ネットワーク全体が故障す
る。従って、図２（ａ）のネットワークは１個の要素の
故障にのみにしか耐久性がないと言える。

【００４１】図２（ａ）のネットワークトポロギーは、
各々のＳＥＣＰＲＯＣが他の２個のＳＥＣＰＲＯＣにの
み接続され、４個の通信経路のみが必要とされるだけな
ので、効率的である。本発明に従って、各々のＳＥＣＰ
ＲＯＣの確認は、合計８個のメンバー間メッセージで起
こすことができる。一般に、２Ｎ個のメンバー間メッセ
ージが、図２（ａ）のリングトポロギーを使用するＮ個
のメンバー保全グループに必要とされる。

【００４２】図２（ｂ）は、４個の保全プロセッサのグ
ループの変形実施例の概略図である。図２（ｂ）の符号
は図２（ａ）の符号に対応する。図２（ｂ）は、相互確
認が各々可能性のある一対のＳＥＣＰＲＯＣの間で起こ
る場合を示す。例えば、図２（ａ）のトポロギーのよう
に、ＳＰ１はＳＰ２及びＳＰ４を確認することができ
る。しかし、通信経路３２は、ＳＰ１がＳＰ３をも確認
できるようになっており、この逆の場合もできる。ＳＰ
１は、ＳＰ２、ＳＰ３及びＳＰ４により確認される。さ
らに、経路３４は、ＳＰ２（符号２０）とＳＰ４（符号
４０）との間の相互確認を可能にする。このことから、
Ｎ個のグループメンバーがあるとき、各々のメンバー
は、（Ｎ−１）回確認されることがわかる。この余剰確
認手順は、メンバーＳＥＣＰＲＯＣの間に比較的大きな
メッセージ交通量を必要とする。例えば、Ｎ＝４のメン
バーでは、２Ｎ（Ｎ−１）＝２ｘ４ｘ３＝２４個の要素
間メッセージがある。

【００４３】よって、図２（ａ）のネットワークトポロ
ギーは、図２（ｂ）の余剰トポロギー上で改善し、ここ
で、確認は、全ての対のグループメンバーの間で起こ
る。つまり、各々のＳＥＣＰＲＯＣが、他の全てのＳＥ
ＣＰＲＯＣを個々に確認する。改善因数が以下の数２の
関係によって与えられる。

【００４４】

【数２】 例えば、Ｎ＝４のとき、メンバー間メッセージ交通は、
因数３（つまり、２４／８＝３）だけ減少する。

【００４５】よって、メッセージ交通の顕著な減少が、
ネットワークトポロギー及び確認処理を適切に選択する
ことで実現できる。上述のように、図２（ａ）の比較的
簡単なネットワークトポロギーは、図２（ｂ）のトポロ
ギーと比較してメッセージ交通を小さくする。しかし、
ネットワークトポロギーは、実行距離（performancemet
ric）で定義される最小の信頼性基準にも合致させなけ
ればならない。この実行距離は、重要なネットワーク設
計形状であり、ネットワークが保全グループメンバーの
数Ｒの故障に対してどの程度の耐久性があるかを計測す
る。Ｒは、数値０、１、２、・・・Ｎ−１（ここでＮ
は、グループメンバー数である）とする。図２（ａ）の
ネットワークは、単一のメンバー（Ｒ＝１）の故郷に対
して耐久性がある。例えば、ＳＰ１が故障した場合、他
のメンバー（ＳＰ２、ＳＰ３及びＳＰ４）は機能し続
け、グループ特性Ｃを伝送することができる。

【００４６】図３（ａ）は、グループメンバーＳＰ１の
除去又は故障に従う図２（ａ）のグループの概略図であ
る。図３（ａ）の要素の符号は、図２（ａ）の要素の符
号に対応する。ＳＰ１、及びＳＰ１とＳＰ２との間及び
ＳＰ１とＳＰ４との間の通信経路に損失があっても、メ
ッセージは、例えば、グループ特性を転送するときのよ
うに必要な場合に、残りのグループメンバー全部に取っ
て代えられる。ＳＰ３及びＳＰ４は、相互に直接的に通
信し続けることができ、ＳＰ３及びＳＰ２もまた同様に
相互に直接的に通信し続けることができる。また、ＳＰ
４及びＳＰ２は、ＳＰ３を通じてメッセージに応答する
ことにより相互に非直接的に通信できる。

【００４７】よって、図２（ａ）の４個の要素リングに
ついて、各々のメンバーは２個の他の要素を確認する。
１個の要素が故障した場合、不通となった隣接する要素
は、まだ生きている他の要素を通じて伝送する。これに
より、グループを連続して動作することができる。ま
た、ネットワークは、２個の要素が故障した後でさえ生
き続けることができる。例えば、ＳＰ１及びＳＰ２の両
方の要素が故障しても、２個の要素グループのメンバー
としてＳＰ３及びＳＰ４が継続して通信及び動作を行う
ことができる。図２（ａ）のネットワークの４個の要素
のうちの３個の故障は、縮退した残りの１個の要素の場
合になる。

【００４８】しかし、最悪の場合の２個のＳＥＣＰＲＯ
Ｃの故障は、図２（ａ）のネットワーク全体を故障させ
ることになる。例えば、要素ＳＰ４及びＳＰ２が故障し
た場合、残りの要素ＳＰ１及びＳＰ３は通信することが
できず、ネットワーク全体が故障する。このことから、
最悪の場合の故障において耐久性が判定されなければな
らず、図２（ａ）のネットワークは、１個の要素のみの
故障に対処できると言える。

【００４９】よって、１個以上のＳＥＣＰＲＯＣが故障
した場合（例えばＲ＞１）、このような故障は、連続し
て機能することのできるネットワークの配置で起こる。
しかし、ネットワーク設計は、最悪の故障の場合に基づ
かなければならない。ここで、故障は、故障しないメン
バーのすぐ周りのメンバーに集中され、これにより、生
きているグループメンバーを潜在的に孤立させる。メン
バー要素に対し、Ｒ個の他の要素の故障が故障した場合
に、他の機能している要素に常に通信（伝送）経路をも
たせるために、各々の要素は、（Ｒ＋１）個の別々の通
信経路を介して、少なくとも（Ｒ＋１）個の要素に接続
されなければならない。

【００５０】図２（ａ）のネットワークと同様に、図２
（ｂ）もまた、４個のメンバー要素を有するネットワー
クを示す。しかし、要素は、故障した要素が相互に近い
ところに集中しても、いずれの２個の要素の故障に対し
て耐久性のあるネットワークに適合される。例えば、図
３（ｂ）に示すように、グループメンバーＳＰ１が故障
するか又はグループから除去された場合を考える。図３
（ｂ）の要素の符号は、図２（ａ）の要素の符号に対応
する。この場合、ＳＰ１とＳＰ２、ＳＰ１とＳＰ３、及
びＳＰ１とＳＰ４との間の通信経路が損失する。しか
し、直接的な通信経路が、ＳＰ４とＳＰ２、ＳＰ４とＳ
Ｐ３、及びＳＰ２とＳＰ３との間に残る。このことか
ら、残りの機能する要素全部は、他のものと通信でき、
グループは、連続して機能することができる。

【００５１】図２（ｂ）のネットワークは、より複雑な
ネットワークトポロギーを使用することにより、与えら
れた数のメンバー要素をもったネットワークの耐久性を
向上できるところを示す。ネットワークの耐久性を向上
するために、各々のメンバー要素は、最悪の故障の場合
に使用できる付加的な仮想通信経路（チャンネル）を介
して付加的なメンバー要素に接続される。また、付加的
な経路は、典型的に常に確保されている。付加的なメッ
セージ交通が確認処理を実行するために要求されるの
で、ネットワークが複雑になると、その実行が低下す
る。これにもかかわらず、信頼性の増加とともに保全を
低下するトポロギーが多くのネットワークに適用されて
いる。

【００５２】図４は、本発明に従った８個の保全プロセ
ッサのグループの概略図である。ネットワークは、いず
れの３個の要素の故障に対して耐久性をもつ。ネットワ
ークの要素（ＳＥＣＰＲＯＣ）は、ＳＰ１（符号１
０）、ＳＰ２（符号２０）、ＳＰ３（符号３０）、ＳＰ
４（符号４０）、ＳＰ５（符号５０）、ＳＰ６（符号６
０）、ＳＰ７（符号７０）及びＳＰ８（符号８０）であ
る。各々の要素は、４個の他の要素をもつ直接的な通信
経路を有する。特に、ＳＰ１（符号１０）は、それぞ
れ、経路４０５、４１０、４０８及び４０４を介してＳ
Ｐ２、ＳＰ３、ＳＰ７及びＳＰ８と通信する。ＳＰ２
（符号２０）は、それぞれ、経路４０６、４１４、４０
８及び４０２を介してＳＰ１、ＳＰ３、ＳＰ４及びＳＰ
８と通信する。ＳＰ４（符号４０）は、それぞれ、経路
４１２、４１６、４２２及び４２４を介してＳＰ２、Ｓ
Ｐ３、ＳＰ５及びＳＰ６と通信する。ＳＰ５（符号５
０）は、それぞれ、経路４２０、４２２、４２６及び４
２８を介してＳＰ３、ＳＰ４、ＳＰ６及びＳＰ７と通信
する。ＳＰ６（符号６０）は、それぞれ、経路４２４、
４２６、４３０及び４３２を介してＳＰ４、ＳＰ５、Ｓ
Ｐ７及びＳＰ８と通信する。ＳＰ７（符号７０）は、そ
れぞれ、経路４０８、４２８、４３０及び４３４を介し
てＳＰ１、ＳＰ５、ＳＰ６及びＳＰ８と通信する。最後
に、ＳＰ８（符号８０）は、それぞれ、経路４０４、４
０２、４３２及び４３４を介してＳＰ１、ＳＰ２、ＳＰ
６及びＳＰ７と通信する。

【００５３】このことから、ネットワークは、Ｒ＝Ｎ−
１＝４−１＝３個の故障に対して耐久性がある。例え
ば、ＳＰ１は、ＳＰ２、ＳＰ３、ＳＰ７及びＳＰ８と直
接的に通信する。ＳＰ２、ＳＰ３及びＳＰ７が故障した
場合でも、ＳＰ１がＳＰ８と通信をし続け、よって、生
きているグループメンバーを残す。例えば、要素ＳＰ１
を考える。最悪の故障の場合（Ｒ＝３）は、隣接する要
素ＳＰ８及びＳＰ２、及びＳＰ７又はＳＰ３のいずれか
の故障である。例えば、図５は、グループメンバーＳＰ
２、ＳＰ７及びＳＰ８の除去又は故障のときの図４のグ
ループの概略図である。図５の要素の符号は、図４の要
素の符号に対応する。ＳＰ２、ＳＰ７及びＳＰ８が故障
した場合、ＳＰ１が、経路４１０を介してＳＰ３と通信
し続ける。同様に、ＳＰ２、ＳＰ３及びＳＰ８が故障し
た場合、ＳＰ１が、経路４０８を介して要素ＳＰ７と通
信し続ける。

【００５４】一般に、特定数Ｒの故障に耐久性のあるト
ポロギーの保全ネットワークの設計は、グラフ理論の問
題と同様である。任意の大きな耐久量Ｒをもつネットワ
ークがネットワーク確認のメッセージ交通で必要な増加
を与える十分な数をもったグループに対して可能である
ことが明白である。

【００５５】確認、保全グループ、このグループの４個
のメンバーの１組、グループのメンバー関係を制御する
グループ特性が与えられ、本発明のグループ内確認スキ
ームの特定の例が与えられる。図２（ａ）に示すよう
に、ＳＥＣＰＲＯＣのＳＰ１及びＳＰ２が確認（例え
ば、ｋｅｙ１２）のために使用される共通の情報を共有
する。これら２個のＳＥＣＰＲＯＣの各々は、ｋｅｙ１
２を備え、確認を実行する。１つの実施例では、各々の
要素は、機能Ｆの起こる数Ｘの最大値の後、他の要素を
確認する。長い時間をかけて、特性Ｃは変わる。

【００５６】ＳＰ１は、保全符号知識証明プロトコル
（secure cryptographic knowledge proof protocol）
の数のいずれを使用してもＳＰ２を確認できる。例え
ば、基本デジタル署名プロトコルと呼ばれる簡単な知識
証明プロトコルが使用される。図６は、本発明に従った
要素内確認手順の１例のフローチャートである。確認手
順は、ブロック５００で開始される。ブロック５１０で
は、ＳＰ１が、ＳＰ１とＳＰ２との間で共有される知識
を使用して確認メッセージを生成する。例えば、保有証
明（proof of possession）を所望する共有キーｋｅｙ
１２を備える２個のＳＥＣＰＲＯＣ（ＳＰ１及びＳＰ
２）について、ＳＰ１は、符号化値Ｘ１を得るためにｋ
ｅｙ１２及び符号機能Ｆを使用して符号化する任意の値
Ｖを作り出す。つまり、Ｘ１＝Ｅ_K12［Ｖ］であり、こ
こで、「Ｅ_K12」は符号化がｋｅｙ１２に基づいて起こ
ることを表す。ブロック５２０では、確認メッセージ
（Ｘ１）が、ＳＰ１及びＳＰ２を直接的に結合する通信
経路を使用してＳＰ１からＳＰ２へと通信される。ブロ
ック５３０では、ＳＰ２は、確認メッセージを受信し、
応答メッセージを生成する。ここで、ＳＰ２は、ｋｅｙ
１２によりＸ１を符号化し、値Ｘ２＝Ｅ_K12［Ｘ１］＝
Ｅ_K12［Ｅ_K12［Ｖ］］を形成する。ブロック５３５で
は、値Ｘ２がＳＰ１へと戻される。ブロック５４０で
は、ＳＰ１がこの応答メッセージを受信し、評価する。
ＳＰ１は、戻ってきた値を２回復号化し、値Ｙを形成
し、この値Ｙは、ＳＰ２がｋｅｙ１２により符号化され
た場合、Ｖと同一である。ＳＰ２へ送られる情報で使用
される任意の値Ｖを保有するＳＰ１は、Ｙと、保存した
値Ｖとを比較して、これらが等しいことを確認すること
ができる。ブロック５５０では、ＳＰ２が信頼性のある
ものであることがわかった場合、ＳＰ２は、ＳＰ１によ
って有効であるとみなされ、この情報は、メモリーに保
存される（ブロック５６０）。この場合、ＳＰ１は、Ｓ
Ｐ２がｋｅｙ１２を実際に備えているという状態にあ
り、したがって、保全が推定的に確保できる。ＳＰ２に
信頼性が欠けるということがわかった場合、ＳＰ２は、
有効でないとみなされ、この情報は、メモリーに保存さ
れる（ブロック５７０）。要素間確認手順は、ブロック
５８０で終了する。

【００５７】図７は、本発明に従った保全プロセッサの
ブロック図であり、上述の確認手順を達成するために使
用され得る。プロセッサ１０は、ターミナル６００を介
して他のグループ要素から受信し、また、他のグループ
要素へメッセージを与えるマイクロプロセッサ６２０を
含む。付加的に、マイクロプロセッサ６２０は、グルー
プ外のソースからデータを受信するか又はグループ外の
ソースへデータを転送する。マイクロプロセッサ６２０
は、例えば、マイクロプロセッサのためのプログラムコ
ードを保存するＲＯＭ、及び特定のグループメンバーが
有効であるか否かを指示するデータを保存するＲＡＭか
ら成るメモリー６３０へ接続される。上記のように、Ｓ
ＥＣＰＲＯＣの１つが、その関連するマイクロプロセッ
サでグループ特性を生成する。それで、グループ特性を
他のメンバーに伝送する前に、処理メンバー（ＳＥＣＰ
ＲＯＣ）のマイクロプロセッサ６２０は、グループ特性
を受信するメンバーの有効性を最初に確認する。メンバ
ーが有効でない場合、ＳＥＣＰＲＯＣは、グループ特性
で通過せず、したがって、非有効メンバーを排除する。

【００５８】図２（ａ）のネットワークでは、ｋｅｙ１
２がＳＰ１及びＳＰ２の両方に知られている。ＳＰ１
は、ＳＰ２が上述の手順を使用することによってｋｅｙ
１２を保有することを確かめる。これを行うために、Ｓ
Ｐ１は、処理したメッセージをＳＰ２へ送り、それをさ
らに処理し、メッセージの結果をＳＰ１へと戻す。戻さ
れたメッセージが、修正した情報（例えば、ｋｅｙ１
２）をＳＰ２が保有することを確かめる場合、ＳＰ１
は、ＳＰ２が確認され且つ有効であることを考慮する。
同様の処理が各々のＳＥＣＰＲＯＣ及び少なくともＸ毎
の実行のそれに隣接する保全グループメンバー機能Ｆの
ために繰り返される。つまり、確認は、ｋｅｙ２３を使
用してメンバーＳＰ２とＳＰ３との間、ｋｅｙ３４を使
用してＳＰ３とＳＰ４との間、ｋｅｙ４１を使用してＳ
Ｐ４とＳＰ１との間で起こる。図２（ｂ）に示すよう
に、付加的な確認は、ｋｅｙ４２を使用してＳＰ４とＳ
Ｐ２との間、及びｋｅｙ１３を使用してＳＰ１とＳＰ３
との間で起こる。

【００５９】上記の方法は、同一のキーが、含まれるグ
ループメンバーの両方によって使用されることから、対
称式（例えば、在来の）符号化を利用する。他の方法
は、非対称式（例えば、公共キー）符号化を含む。公共
キー符号化では、異なったキー（Ｋ_E）が、復号のため
に使用されるキー（Ｋ_D）よりもメッセージを符号化す
るために使用される。また、どちらのキーも他のキーか
ら計算可能ではない。この場合、ＳＰ１及びＳＰ２は各
々他の符号化キーのみを保持する。確認は、任意の値Ｖ
を生成し、ＳＰ２の符号化キー（Ｋ_E２）により符号化
し、それをＳＰ２へ通過させるＳＰ１によって実行され
る。ＳＰ２は、復号化キー（Ｋ_D２）の在る場所にのみ
であり、このメッセージを復号化してＶを得る。ＳＰ２
は、次に、ＳＰ１の符号化キー（Ｋ_E１）によりＶを符
号化し、その結果の値をＳＰ１へ通過させる。ＳＰ１
は、受信した値をその復号化キー（Ｋ_D１）とともに復
号化し、最初に生成したＶと等しい値Ｙを形成する。こ
の復号化した結果は、Ｖと比較され、Ｙ及びＶが一致す
ると、ＳＰ２には信頼性があるとみなされる。

【００６０】さらに、特性の更新周期がネットワークで
経過してしまったとき、図２（ａ）の４個のＳＥＣＰＲ
ＯＣのうちの１個が新しい特性Ｃを生成する。選択した
ＳＥＣＰＲＯＣは、内部の乱数生成能力（例えば、図７
の乱数発生器６１０）を使用し、新しい特性Ｃを作り出
すことができる。ここで、ＳＰ１が設計した要素である
と仮定すると、ＳＰ１は、Ｃを生成し、ＳＰ２及びＳＰ
４に信頼性があることをＳＰ１が判定すると、ＳＰ２及
びＳＰ４へそれを伝送する。ＳＰ１は、隣接したものが
確認手順に失格した場合に隣接したメンバーにＣを伝送
することを拒絶する。付加的に、ＳＰ２又はＳＰ４のい
ずれかが、特性ＣをＳＰ３へ伝送するために使用され
る。

【００６１】その多の例として、図２（ｂ）のネットワ
ークを参照して、ＳＰ２、ＳＰ３及びＳＰ４によるＳＰ
１の確認が失格したと仮定する。付加的に、ＳＰ３が、
新しいＣを生成する修正した要素であるとする。ＳＰ３
が予めＳＰ２及びＳＰ４に信頼性があることを確認して
いたと仮定すると、ＳＰ３は、Ｃを隣接する要素ＳＰ２
に通信する。この伝送は、確認キーｋｅｙ３４及びｋｅ
ｙ２３のような幾つかの共有される知識を使用するか又
は幾つかの他の共有される情報を使用してなされる。し
かし、ＳＰ１が確認テストに失格しているので、ＳＰ３
は、特性ＣをＳＰ１へ伝送しない。確認の故障がないと
き、一旦、ＣがＳＰ３からＳＰ２、及びＳＰ３からＳＰ
４へと伝送され、ＳＰ２及びＳＰ４の一方又は両方が通
常、ＣをＳＰ１へと再度伝送する。しかし、確認テスト
に失格しているので、ＳＰ２及びＳＰ４は、ＳＰ１に信
頼性のないことを予め判定している。このことから、特
性Ｃの伝送は、ＳＰ１に到達する前に停止し、これによ
り、ＳＰ１をグループから効率的に排除する。さらに、
この例では、確認テストを頻繁に行う必要があることを
強調する。

【００６２】図８は、本発明に従ったグループ確認手順
のフローチャートである。図７では、「ｃｈａｒ．」は
「特性」を表す。この手順は、図２（ａ）のグループト
ポロギーに対応するが、その概念は、他のトポロギーに
拡大されている。この手順は、ブロック７００で開始す
る。ブロック７０５において、この例では、ＳＰ１は、
新しいグループ特性を生成する。ブロック７１０では、
ＳＰ２が有効である場合、ＳＰ１が判定する。この判定
は、図６の確認手順からの予め保存されたデータの検索
を含む。変形的に、ＳＰ１は、実時間でＳＰ２を確認す
る。ＳＰ２がＳＰ１の判定で有効である場合、ＳＰ１
は、ブロック７１５において、グループ特性をＳＰ２へ
伝送する。ブロック７２０では、ＳＰ３が有効である場
合、ＳＰ２が判定する。この場合、ＳＰ２は、ブロック
７２５において、特性をＳＰ３へ伝送する。ブロック７
３０では、ＳＰ４が有効である場合、ＳＰ３が判定す
る。この場合、ＳＰ３は、ブロック７３５において、特
性をＳＰ４へ伝送し、この手順は、ブロック７４０で終
了する。上記の工程が完了すると、ネットワーク全体
は、グループ特性へのアクセスをもち、連続して機能す
ることができる。

【００６３】しかし、要素が非有効（信頼性がない）で
あるとわかった場合、この非有効のメンバーは、グルー
プから排除される。ここで、ＳＰ２が、ブロック７１０
において、ＳＰ１によって非有効であるとみなされた場
合、ＳＰ２は、ブロック７４５において排除される。こ
れは、ＳＰ１が新しい特性をＳＰ２へ伝送しないという
ことである。ＳＰ１は、次に、図２（ａ）のトポロギー
によって与えられる代替の経路を使用して特性を伝送し
ようとする。グループへのＳＰ１の残りのリンクのみ
が、経路２６を介するＳＰ４（符号４０）へのものであ
る（図２（ａ））。よって、ブロック７５０では、ＳＰ
４が有効である場合、ＳＰ１が判定する。この場合、Ｓ
Ｐ１は、ブロック７５５において、特性をＳＰ４へ伝送
する。ＳＰ４は、次に、ＳＰ３が有効である場合、ブロ
ック７６０において、判定する。この場合、ＳＰ４は、
ブロック７６５において、グループ特性をＳＰ３へ伝送
し、この手順はブロック７４０で終了する。ここで、グ
ループの残りの要素全部（ＳＰ１、ＳＰ３及びＳＰ４）
はグループ特性へのアクセスをもち、グループは、ＳＰ
２を除いて、連続的に機能することができる。

【００６４】ＳＰ１が、ブロック７５０において、非有
効であるとみなされた場合、ＳＰ１は、残りのいずれの
有効なグループメンバー（例えば、ＳＰ３）と通信でき
ず、したがって、単独の残りのグループメンバーとなる
（ブロック７７０）。ここで、グループは、１個のメン
バーだけで機能することができる。

【００６５】ＳＰ４が、ブロック７６０において、ＳＰ
３を非有効とみなす場合、ＳＰ３は、ブロック７７５に
おいて、除外され、この手順はブロック７４０で終了す
る。この場合、ＳＰ１及びＳＰ４は、残りの有効なグル
ープメンバーである。

【００６６】グループ特性がＳＰ１からＳＰ２へと間違
えなく伝送された場合（ただし、ＳＰ２ｈａＳＰ３をブ
ロック７８０において非有効とみなしている）、ＳＰ３
は、ブロック７８０で示すように排除される。ＳＰ２
が、ブロック７８５において、ＳＰ４を非有効とみなし
た場合、ＳＰ２は、ブロック７９０において、グループ
特性をＳＰ４（ＳＰ１を介して）へ伝送し、この手順が
ブロック７４０で終了する。ここで、ＳＰ１、ＳＰ２及
びＳＰ４は、残りの有効なグループメンバーである。

【００６７】しかし、ＳＰ２が、ブロック７８５におい
て、ＳＰ４を非有効とみなした場合、ＳＰ４は、ブロッ
ク７９５において示されるように、排除され、ＳＰ１及
びＳＰ２は、唯一残る有効なグループメンバーである。

【００６８】グループの全てのメンバーが一旦、グルー
プ特性とともに供給されるか又はグループから排除され
ると、グループは、次の新しい特性が生成されるまで連
続して機能する。ここで、ＳＰ２は、新しい特性を与え
るために、次の要素であってもよい。図８の手順は、次
に、新しい特性を伝送するために、上述の方法を繰り返
す。

【００６９】よって、本発明は、ネットワークのメンバ
ーである保全処理要素の保全を確認するための方法及び
装置を提供する。このグループは、機能するために各々
のグループメンバーが要求する情報であるグループ特性
によって画成される。本発明は、信頼性に欠けるとみな
されたグループメンバーへの特性の伝送を阻止するため
のスキームを提供する。信頼性に欠けるメンバーは、グ
ループから効率的に排除される。

【００７０】付加的に、本発明は、１個以上の要素が１
個以上のグループの間で共有されるか又はグループが他
のグループのサブセットとして与えられるような多重グ
ループトポロギーに適用可能である。一般に、本発明
は、独立又は相互依存関係にある１個以上のネットワー
ク又はグループを含むいずれの通信システムにもお手起
用可能である。最後に、本発明は、メンバー間メッセー
ジ交通を最小化し、及びグループ耐久性を維持する効率
的なネットワークトポロギーを与え、上記の利点を得る
ものである。

【００７１】本発明が様々な特定的な実施例に関連して
説明されたが、当業者には、様々な適合物及び変更物
が、特許請求の範囲の本発明の精神及び範囲を逸脱せず
になされ得ることがわかる。

【図面の簡単な説明】

【図１】図１は、本発明に従った、２個の保全プロセッ
サのグループの概略図である。

【図２】図２（ａ）は、本発明に従った、４個の保全プ
ロセッサのグループの概略図であり、図２（ｂ）は、４
個の保全プロセッサのグループの変形例である。

【図３】図３（ａ）は、グループメンバーＳＰ１の除去
又は故障に従う図２（ａ）のグループの概略図であり、
図３（ｂ）は、グループメンバーＳＰ１の除去又は故障
に従う図２（ｂ）のグループの概略図である。

【図４】図４は、本発明に従った、８個の保全プロセッ
サのグループの概略図である。

【図５】図５は、グループメンバーＳＰ２、ＳＰ７及び
ＳＰ８の除去又は故障に従う図４のグループの概略図で
ある。

【図６】図６は、本発明に従った、要素間確認手順のフ
ローチャートである。

【図７】図７は、本発明に従った、保全プロセッサのブ
ロック図である。

【図８】図８は、本発明に従った、グループ確認手順の
フローチャートである。

Claims (21)

【特許請求の範囲】
1. 【請求項１】 複数の処理メンバーを含み、前記メンバ
   ーが前記メンバーの他のものと通信するところの通信シ
   ステムであって、 前記メンバーの第１のメンバーが前記メンバーの第２の
   メンバーを確認するための確認手段、及び前記確認手段
   に応答し、前記第２のメンバーが確認基準に合致する場
   合に前記第１のメンバーから前記第２のメンバーへと特
   性を伝送するための手段、から成り、 前記特性が、機能を実行するために前記処理メンバーに
   より要求される情報を与える、ところのシステム。
2. 【請求項２】 請求項１記載のシステムであって、 前記確認手段に応答し、排除したメンバーへの前記特性
   の伝送を阻止することによって少なくとも１個の前記処
   理メンバーを排除するための排除手段からさらに成る、
   システム。
3. 【請求項３】 請求項１又は２記載のシステムであっ
   て、 前記確認手段は、前記第２のメンバーが当該システムか
   ら有効に除去されたか否かを検出し、 当該システムが、前記確認手段に応答し、有効に除去し
   たメンバーへの前記特性の伝送を阻止することにより、
   当該システムから有効に除去されてしまった少なくとも
   １個の前記処理メンバーを排除するための排除手段から
   さらに成る、システム。
4. 【請求項４】 請求項１、２又は３記載のシステムであ
   って、 前記確認手段が、前記機能の起こる数Ｘが実行されたと
   きを判定するための計数手段を含み、 前記第１のメンバーによる前記第２のメンバーの前記確
   認が前記計数手段によって管理される、ところのシステ
   ム。
5. 【請求項５】 請求項１、２、３又は４記載のシステム
   であって、 前記確認手段が、前記第１及び第２のメンバーの両方に
   知られているデータに応答する、ところのシステム。
6. 【請求項６】 請求項５記載のシステムであって、 前記第１及び第２のメンバーの両方に知られている前記
   データが、符号化キーから成る、ところのシステム。
7. 【請求項７】 請求項１、２、３、４、５又は６記載の
   システムであって、 前記処理メンバーの各々が、少なくとも１個の他の前記
   処理メンバーを確認する情報を処理する、ところのシス
   テム。
8. 【請求項８】 請求項７記載のシステムであって、 前記情報が、非対称の符号演算キーである、ところのシ
   ステム。
9. 【請求項９】 請求項１、２、３、４、５、６、７又は
   ８記載のシステムであって、 当該システムが、 第１のネットワークであって、少なくとも２個の前記複
   数の処理メンバーが前記第１のネットワークに属する、
   ところの第１のネットワーク、及び少なくとも２個の処
   理メンバーの隣接する対の間に配列され、これらの間で
   通信を行うことのできる、仮想通信経路、からさらに成
   る、システム。
10. 【請求項１０】 請求項９記載のシステムであって、 前記少なくとも２個の処理メンバーが、仮想リングトポ
    ロギーに配列される、ところのシステム。
11. 【請求項１１】 請求項９又は１０記載のシステムであ
    って、 当該システムが、第２のネットワークからさらに成り、 前記第２のメンバーが、前記第１のネットワークに属す
    る、ところのシステム。
12. 【請求項１２】 請求項９、１０又は１１記載のシステ
    ムであって、 当該システムが、第２のネットワークからさらに成り、 前記第２のメンバーが、前記第２のネットワークに属す
    る、ところのシステム。
13. 【請求項１３】 請求項１２記載のシステムであって、 前記第２のネットワークが、前記第１のネットワークの
    サブセットである、ところのシステム。
14. 【請求項１４】 請求項９、１０、１１、１２又は１３
    記載のシステムであって、 当該システムが、少なくとも４個の前記複数の処理メン
    バーから成り、 仮想通信経路が、隣接していない一対の前記処理メンバ
    ーの間に配列され、これらの間で通信ができる、ところ
    のシステム。
15. 【請求項１５】 通信システムの第１の処理メンバーが
    前記システムの第２の処理メンバーを確認するための方
    法において、前記システムが、前記メンバーの選択した
    他のものと通信する複数のメンバーを含み、 当該方法が、 確認メッセージを生成する工程、及び前記第２のメンバ
    ーの信頼性を判定する際に使用するための前記第２のメ
    ンバーに対して前記第１のメンバーから前記確認メッセ
    ージを伝える工程、から成る方法。
16. 【請求項１６】 請求項１５記載の方法であって、 前記確認メッセージに応答して応答メッセージを生成す
    る工程、及び前記第１のメンバーに対し前記第２のメン
    バーから前記応答メッセージを伝える工程であって、前
    記第２のメンバーを確認しようとするために、前記第１
    のメンバーが、前記応答メッセージ及び前記確認メッセ
    ージを使用する、ところの工程、からさらに成る、方
    法。
17. 【請求項１７】 請求項１５又は１６記載の方法であっ
    て、 前記第２のメンバーが確認されると、前記第１のメンバ
    ーから前記第２のメンバーへと特性を伝送する工程から
    さらに成り、 前記特性が、機能を実行するために、前記ネットワーク
    の前記メンバーにより要求される情報を与える、ところ
    の方法。
18. 【請求項１８】 請求項１５、１６又は１７記載の方法
    であって、 前記機能の起こる数Ｘが実行されたときを判定する工程
    からさらに成り、 前記機能の起こる数Ｘに到達したときに、前記第１のメ
    ンバーによる前記第２のメンバーの前記確認が繰り返さ
    れる、ところの方法。
19. 【請求項１９】 請求項１５、１６、１７又は１８記載
    の方法であって、 前記特性を前記第２のメンバーに伝送しないことによ
    り、前記第２のメッセージを前記グループから排除する
    工程からさらに成る、方法。
20. 【請求項２０】 請求項１５、１６、１７又は１８記載
    の方法であって、 前記第２のグループメンバーが前記ネットワークから有
    効に除去されたか否かを検出する工程、及び前記第２の
    メンバーが前記ネットワークから有効に除去された場合
    に、前記特性を前記第２のメンバーへ伝送されないよう
    にすることによって前記第２のメンバーを前記グループ
    から排除する工程、からさらに成る方法。
21. 【請求項２１】 処理メンバーのグループの間で特性の
    伝送を制御するための方法において、前記メンバーが、
    前記メンバーの選択した他のものと通信し、前記特性
    が、機能するために前記メンバーによって要求される情
    報を与え、当該方法が、 前記メンバーの信頼性を確認する工程、 信頼性があることがわかった前記メンバーの特定のもの
    に情報を伝送する工程、及び排除したメンバーへの前記
    特性の通信を阻止することによって、信頼性のないこと
    がわかった前記メンバーの特定のものを排除する工程、
    から成る方法。