Lockstep (informatique)

Les systèmes Lockstep sont des systèmes informatiques tolérants aux pannes qui exécutent le même ensemble d'opérations en même temps et en parallèle . La redondance (duplication) permet la détection et la correction des erreurs : les résultats des opérations Lockstep peuvent être comparés pour déterminer s'il y a eu une panne s'il y a au moins deux systèmes ( redondance modulaire double DMR), et l'erreur peut être automatiquement corrigée s'il y a au moins trois systèmes ( redondance modulaire triple TMR), par vote majoritaire. Le terme « lockstep » provient de l'usage militaire, où il fait référence à la marche synchronisée, dans laquelle les marcheurs marchent aussi près les uns des autres que cela est physiquement possible.

Pour fonctionner en synchronisme, chaque système est configuré pour progresser d'un état bien défini à l'état bien défini suivant. Lorsqu'un nouvel ensemble d'entrées atteint le système, il les traite, génère de nouvelles sorties et met à jour son état. Cet ensemble de modifications (nouvelles entrées, nouvelles sorties, nouvel état) est considéré comme définissant cette étape et doit être traité comme une transaction atomique ; en d'autres termes, soit tout se produit, soit rien ne se produit, mais rien entre les deux. Parfois, un décalage temporel (retard) est défini entre les systèmes, ce qui augmente la probabilité de détection des erreurs induites par des influences externes (par exemple, des pics de tension , des rayonnements ionisants ou une rétro-ingénierie in situ ).

Certains fournisseurs, dont Intel, utilisent le terme mémoire à pas de chaîne pour décrire une configuration de mémoire multicanal dans laquelle les lignes de cache sont réparties entre deux canaux de mémoire, de sorte qu'une moitié de la ligne de cache est stockée dans un module DIMM sur le premier canal, tandis que la seconde moitié va dans un module DIMM sur le deuxième canal. En combinant les capacités de correction d'erreur simple et de détection d'erreur double (SECDED) de deux modules DIMM compatibles ECC dans une configuration à pas de chaîne, leur nature de correction de données à un seul périphérique (SDDC) peut être étendue à la correction de données à deux périphériques (DDDC), offrant une protection contre la défaillance de n'importe quelle puce mémoire unique.

Les inconvénients de la disposition de mémoire en mode lockstep d'Intel sont la réduction de la quantité de RAM effectivement utilisable (dans le cas d'une disposition de mémoire à trois canaux, la quantité maximale de mémoire est réduite à un tiers du maximum physiquement disponible) et les performances réduites du sous-système de mémoire.

Lorsque les systèmes informatiques sont dupliqués, mais que les deux traitent activement chaque étape, il est difficile d'arbitrer entre eux si leurs résultats diffèrent à la fin d'une étape. Pour cette raison, il est courant d'exécuter des systèmes DMR en configurations « maître/esclave » avec l'esclave comme « secours à chaud » du maître, plutôt qu'en mode synchronisé. Comme il n'y a aucun avantage à ce que l'unité esclave traite activement chaque étape, une méthode de travail courante consiste pour le maître à copier son état à la fin du traitement de chaque étape sur l'esclave. Si le maître tombe en panne à un moment donné, l'esclave est prêt à continuer à partir de l'étape précédente connue comme étant correcte.

Bien que l'approche par pas de verrouillage ou l'approche DMR (associée à des moyens de détection d'erreurs dans le maître) puissent assurer une redondance contre les pannes matérielles du maître, elles ne protègent pas contre les erreurs logicielles. Si le maître tombe en panne à cause d'une erreur logicielle, il est fort probable que l'esclave, en essayant de répéter l'exécution de l'étape qui a échoué, répète simplement la même erreur et échoue de la même manière, ce qui constitue un exemple de panne en mode commun .

Lorsque les systèmes informatiques sont triplés, il devient possible de les traiter comme des systèmes « de vote ». Si la sortie d'une unité est en désaccord avec les deux autres, elle est détectée comme défaillante. La sortie correspondante des deux autres est considérée comme correcte.