信頼性（コンピュータネットワーク）

コンピュータ ネットワーク において、信頼性の高いプロトコルとは、送信者に、意図した受信者へのデータの配信が成功したかどうかを通知する通信プロトコルです。信頼性は、 ITUおよびATM フォーラムで使用される用語である保証の同義語であり、フォールト トレラント メッセージングにつながります。

信頼性の高いプロトコルは、信頼性の低いプロトコルよりもオーバーヘッドが大きくなるのが一般的で、その結果、動作が遅くなり、スケーラビリティも低下します。これは、ユニキャストプロトコルでは問題にならないことが多いですが、信頼性の高いマルチキャストプロトコル では問題になることがあります。

インターネットで使用される主なプロトコルである伝送制御プロトコル(TCP) は、信頼性の高いユニキャスト プロトコルであり、信頼性の高いバイト ストリームの抽象化をアプリケーションに提供します。UDPは信頼性の低いプロトコルであり、コンピューター ゲーム、ストリーミング メディア、またはデータの一時的な性質のために速度が重要で、ある程度のデータ損失が許容されるその他の状況でよく使用されます。

多くの場合、信頼性の高いユニキャスト プロトコルはコネクション指向でもあります。たとえば、TCP はコネクション指向であり、仮想回線ID は送信元と宛先のIP アドレスとポート番号で構成されます。ただし、非同期転送モードやフレーム リレーなど、信頼性の低いプロトコルでもコネクション指向のものがあります。また、 IEEE 802.11などの一部のコネクションレス プロトコルでも信頼性はあります。

ドナルド・デイヴィスが提唱したパケット交換の概念に基づいて構築された、 ARPANET上の最初の通信プロトコルは、1822 インターフェイスを介してホストを接続するための信頼性の高いパケット配信手順でした。^{[1] [2]}ホストコンピュータは、データを正しいパケット形式に整理し、宛先ホストコンピュータのアドレスを挿入し、インターフェイスを介して接続されたインターフェイスメッセージプロセッサ(IMP) にメッセージを送信するだけです。メッセージが宛先ホストに配信されると、送信元ホストに確認応答が配信されます。ネットワークがメッセージを配信できなかった場合、IMP は送信元ホストにエラーメッセージを返します。

一方、 CYCLADESとALOHAnetの開発者は、信頼性の高いパケット伝送を提供しなくても効果的なコンピュータ ネットワークを構築できることを実証しました。この教訓は、後にイーサネットの設計者に取り入れられました。

ネットワークがパケットの配信を保証しない場合、失われたパケットを検出して再送信することで信頼性を提供するのはホストの責任になります。その後の ARPANET での経験から、ネットワーク自体がすべてのパケット配信の失敗を確実に検出することはできないことがわかり、エラー検出の責任はいずれにしても送信ホストに押し付けられました。これが、インターネットの基本的な設計原則 の 1 つであるエンドツーエンド原則の開発につながりました。

信頼できるサービスとは、配信が失敗した場合にユーザーに通知するサービスであり、信頼できないサービスとは、配信が失敗した場合にユーザーに通知しないサービスです。^{[引用が必要]}たとえば、インターネット プロトコル(IP) は信頼できないサービスを提供します。伝送制御プロトコル(TCP) と IP を組み合わせると信頼できるサービスが提供されますが、ユーザー データグラム プロトコル(UDP) と IP を組み合わせると信頼できないサービスが提供されます。

分散プロトコルのコンテキストでは、信頼性プロパティは、意図した受信者へのメッセージの配信に関してプロトコルが提供する保証を指定します。

ユニキャストプロトコルの信頼性プロパティの例としては、「少なくとも 1 回」が挙げられます。つまり、メッセージの少なくとも 1 つのコピーが受信者に配信されることが保証されます。

マルチキャストプロトコルの信頼性プロパティは、受信者ごとに表現することも (単純な信頼性プロパティ)、さまざまな受信者間での配信の事実や配信順序に関連付けることもできます (強力な信頼性プロパティ)。マルチキャスト プロトコルのコンテキストでは、強力な信頼性プロパティは、さまざまな受信者へのメッセージの配信に関してプロトコルが提供する保証を表します。

強力な信頼性プロパティの例としては、最後のコピーのリコールがあります。これは、メッセージの少なくとも 1 つのコピーがいずれかの受信者で利用可能である限り、失敗しない他のすべての受信者も最終的にコピーを受信することを意味します。このような強力な信頼性プロパティでは、通常、メッセージを受信者間で再送信または転送する必要があります。

最後のコピーのリコールよりも強力な信頼性プロパティの例は、原子性です。このプロパティは、メッセージの少なくとも 1 つのコピーが受信者に配信された場合、他のすべての受信者も最終的にメッセージのコピーを受信することを示します。言い換えると、各メッセージは常にすべての受信者に配信されるか、まったく配信されないかのいずれかです。

最も複雑な強力な信頼性特性の 1 つは、仮想同期です。

信頼性の高いメッセージングとは、信頼性の低いインフラストラクチャを介してメッセージを渡すという概念であり、メッセージの正常な送信について一定の保証をすることができます。^[3]たとえば、メッセージが配信される場合、最大で 1 回しか配信されない、または正常に配信されたすべてのメッセージが特定の順序で到着するなどです。

信頼性の高い配信は、メッセージが迅速に、順番通りに、あるいはまったく配信されるという保証がない ベストエフォート型の配信とは対照的です。

信頼性の低いプロトコル上に、信頼性の高い配信プロトコルを構築できます。非常に一般的な例としては、インターネット プロトコル上に伝送制御プロトコルを階層化する、いわゆるTCP/IPがあります。

強力な信頼性プロパティは、IS-IS、Appia フレームワーク、JGroups、QuickSilver Scalable Multicastなどのグループ通信システム(GCS) によって提供されます。QuickSilverプロパティ フレームワークは、強力な信頼性プロパティを単純なルールベースの言語を使用して純粋に宣言的な方法で表現し、階層型プロトコルに自動的に変換できる柔軟なプラットフォームです。

信頼性の高いメッセージングを実装するプロトコルの1つにWS-ReliableMessagingがあり、SOAPメッセージの信頼性の高い配信を処理します。^[4]

ATMサービス固有調整機能は、AAL5による透過的な保証配信を提供する。^{[5] [6] [7]}

IEEE 802.11 は、すべてのトラフィックに対して信頼性の高いサービスを提供しようとします。送信ステーションは、所定の時間内に ACK フレームを受信しない場合、フレームを再送信します。

しかし、リアルタイム コンピューティングにおける信頼性の定義を「配信または障害の通知」とすることには問題がある。このようなシステムでは、リアルタイム データの配信に失敗するとシステムのパフォーマンスに悪影響が及ぶため、一部のシステム (安全性が重要なシステム、安全性が関与するシステム、一部の安全なミッション クリティカルシステムなど) は、指定された最低レベルで動作することが証明されなければならない。これは、重要なデータの配信について指定された最低信頼性を満たすことを要求する。したがって、これらのケースでは、重要なのは配信のみであり、配信の失敗を通知することで障害は改善される。ハード リアルタイム システムでは、すべてのデータが期限までに配信されなければシステム障害とみなされる。ファーム リアルタイム システムでは、遅れたデータは依然として無価値だが、システムはある程度の遅れたデータや欠落したデータを許容できる。^{[8] [9]}

信頼性の高い配信と適時性に対するリアルタイム要件に対応できるプロトコルは多数あります。

MIL-STD-1553BとSTANAG 3910は、航空データバス用のタイムリーで信頼性の高いプロトコルのよく知られた例です。MIL-1553は、データの送信とこれらの送信の制御に1Mbit/sの共有メディアを使用し、連合軍用航空電子システムで広く使用されています。^[10]バスコントローラ（BC）を使用して、接続されたリモートターミナル（RT）にこのデータを受信または送信するように指示します。したがって、BCは輻輳がないこと、および転送が常にタイムリーであることを保証できます。MIL-1553プロトコルでは、自動再試行も可能であり、タイムリーな配信を保証し、物理層よりも信頼性を高めることができます。 STANAG 3910 は、ユーロファイター タイフーンで使用されていることから EFABus としても知られており、実質的には、データ転送用に 20 Mbit/s の共有メディア バスが追加され、制御用に 1 Mbit/s の共有メディア バスが保持された MIL-1553 のバージョンです。

非同期転送モード(ATM)、アビオニクス全二重スイッチ イーサネット(AFDX)、およびタイム トリガー イーサネット(TTEthernet) は、データ転送の適時性と信頼性がネットワークによって保証されるパケット交換ネットワーク プロトコルの例です。AFDX と TTEthernet も IEEE 802.3 イーサネットに基づいていますが、完全に互換性があるわけではありません。

ATM は、ネットワークを通る完全に決定論的なパスを持つ接続指向の仮想チャネル(VC) と、ネットワーク内に実装されている使用法およびネットワーク パラメータ制御(UPC/NPC) を使用して、各 VC のトラフィックを個別に制限します。これにより、ネットワーク内の共有リソース (スイッチ バッファ) の使用法を、事前に、つまりシステム設計時に、伝送されるトラフィックのパラメータから計算できます。これらがネットワークによって実装されているということは、ネットワークの他のユーザーが予期しない動作をした場合 (つまり、予想よりも多くのデータを送信する場合) でも、これらの計算が有効であることを意味します。計算された使用法をこれらのリソースの容量と比較すると、ルートとこれらの接続の帯域幅の制約を考慮すると、これらの転送に使用されるリソースがオーバーサブスクライブされることはないことがわかります。したがって、これらの転送は輻輳の影響を受けることはなく、この影響による損失はありません。次に、スイッチ バッファの予測される最大使用法から、ネットワークを介した最大遅延も予測できます。しかし、信頼性と適時性が証明され、ネットワークに接続された機器の障害や悪意のある行為に対して証明が許容されるためには、これらのリソース使用量の計算は、ネットワークによって積極的に強制されていないパラメータに基づいて行うことはできない。つまり、トラフィックのソースが何をすると予想されるか、またはトラフィック特性の統計分析に基づいて行うことはできない（ネットワーク計算を参照）。^[11]

AFDXは周波数領域帯域幅割り当てとトラフィックポリシングを使用して、各仮想リンク上のトラフィックを制限し、共有リソースの要件を予測して輻輳を防ぎ、重要なデータに影響を与えないことを証明できるようにします。^[12]ただし、リソース要件を予測し、輻輳が防止されていることを証明するための技術は、AFDX標準の一部ではありません。

TTEthernet は、時間領域制御方式を使用して、ネットワークを介したデータ転送のレイテンシを可能な限り低く抑えます。つまり、各時間トリガー転送は特定の時間にスケジュールされるため、共有リソースの競合が制御され、輻輳の可能性が排除されます。ネットワーク内のスイッチは、他の接続された機器の障害や悪意のある行為に対する耐性を提供するために、このタイミングを強制します。ただし、「同期されたローカル クロックは、時間トリガー通信の基本的な前提条件です」。^[13]これは、重要なデータのソースがスイッチと同じ時間認識を持つ必要があるためです。そうしないと、正しい時間に転送でき、スイッチはこれを正しいと認識します。また、重要な転送がスケジュールされるシーケンスは、ソースとスイッチの両方で予測可能でなければなりません。これにより、送信スケジュールは、周期実行などの非常に決定論的なものに制限されます。

ただし、バスまたはネットワーク経由でデータを転送する際のレイテンシが低いということは、必ずしもこのデータをソースおよびシンクするアプリケーション プロセス間の転送遅延が低いことを意味するわけではありません。これは、バスまたはネットワーク経由の転送が周期的にスケジュールされている (MIL-STD-1553B および STANAG 3910 では一般的にそうであり、AFDX および TTEthernet でも必然的にそうである) が、アプリケーション プロセスがこのスケジュールと同期されていない場合に特に当てはまります。

AFDXとTTEthernetの両方において、インターフェースには追加の機能が要求されます。例えば、AFDXの帯域幅割り当てギャップ制御や、TTEthernetの時間トリガーデータのソースの非常に密接な同期の要件などがあり、標準のイーサネットインターフェースの使用を困難にしています。このような標準IEEE 802.3ネットワークインターフェースの使用を可能にするネットワークトラフィックを制御する他の方法は、現在研究されています。^[14]