技術要約：VICP – 高可用な産業用エッジクラスターのための多数決リース・ランタイム

1. 問題提起

産業オートメーションは、高度な制御機能（例：モデル予測制御）をホストするために、汎用サーバーやコンテナを使用してクラウドネイティブなアーキテクチャへと移行しつつあります。しかし、標準的なクラウドネイティブの障害復旧メカニズム（プロセスの再スケジューリングやトラフィックの転送など）は、サービスの可用性には対処しますが、物理出力の安全性には対処できません。

従来の分散制御システム（DCS）では、フィールド通信、実行状態、および出力権限は専用のハードウェアに紐付けられています。対照的に、仮想化環境では、制御機の複数のレプリカが同時に存在することが可能です。ネットワーク分断が発生したり、レプリカ間で不一致が生じたりした場合、標準的な結果整合性モデルでは、複数のノードが同時に不可逆的な物理コマンド（例：アクチュエータの動作）を発行してしまう可能性があります。これは重大な安全上のリスクを生じさせます。ポイント値（センサデータ）は後で調整可能ですが、一度実行された物理的な動作は「取り消す」ことができないためです。本論文は、核心となるシステム上の問いを特定しています：「小規模な産業用エッジクラスターが、ノード故障時にもローカル制御能力を維持しつつ、孤立したレプリカによる同時的な物理出力を厳格に防止するにはどうすればよいか？」

2. 手法およびシステム設計

著者らは、可逆的なポイント状態のレプリケーションと、不可逆的な物理出力の権限を分離するランタイムアーキテクチャであるVICP（Virtual Industrial Control Platform）を提案しています。

2.1 コアアーキテクチャ

• ローカル優先の状態管理: 制御タスクは、インメモリのポイントテーブルを使用してローカルレプリカ上で実行されます。高頻度の制御ループは、ネットワークのラウンドトリップなしにローカル状態にアクセスします。ピアレプリカは、非同期的な伝播によって「ウォーム（温まった）」状態に保たれます。
• 決定論的な収束: ポイントの更新は、タイムスタンプ、優先度、ソースID、およびシーケンス番号を含むタプルとして表現されます。レプリカは、辞書順比較を用いて決定論的に競合を解決し、すべてのノードがコンセンサスを必要とせずに同じ状態値に収束することを保証します。
• 多数決リースによる出力権限: 物理出力は、時間制限付きのリースによって制御されます。
  • ノードが物理コマンドを発行するためには、多数派クォーラム（$Q = f+1$）に裏付けられた、期限切れでないリースを保持していなければなりません。
  • リースには、エポック、保持者の識別子、および有効期限が含まれます。
  • ノードが多数派との接続を失った場合、そのリースは失効し、出力の発行が禁止されます。
  • 「単一生存者（single-survivor）」モードも可能ですが、これは単なるネットワーク観測ではなく、明示的な外部認可（例：ハードウェア調停器またはオペレータによる手順）を必要とします。

2.2 復旧と隔離

• 段階的復旧: 再起動されたノードは、直ちに制御ループに復帰しません。それは、Starting → Discovering → Catching-Up → Validating → Pre-Serving → Serving という状態マシンに従って進行します。これにより、古いローカルの更新が新しいピアの値を上書きすることを防ぎます。
• リソース隔離: クリティカルなタスク（フィールド通信、制御ループ、リースガード）は、特定のCPUコアにピン留めされ、管理タスク（ロギング、履歴、構成）から隔離されます。非クリティカルなタスクは、リソース圧迫下では縮小または一時停止されます。
• フェンシング・ゲートウェイ: I/Oゲートウェイは、物理デバイスにコマンドを転送する前に、フェンシング・トークン（リースエポックと保持者）を検証します。たとえランタイムプロセスが一時停止後に再開されたとしても、ゲートウェイは古いエポックを持つコマンドを拒否します。

3. 主な貢献

本論文は、主に4つの貢献を行っています。

1. 分離された正当性モデル: 可逆的なポイント状態のための決定論的な収束と、不可逆的な物理出力のための多数決リースを分離するモデルを定義しました。
2. ローカル優先のランタイムアーキテクチャ: 明示的なポイント所有権、決定論的な競合解決、リースエポック、出力フェンシング、および段階的復旧状態マシンを備えたアーキテクチャを提示しました。
3. 統合された可用性とリソース管理: コンピュートグループの境界とCPU/ストレージの隔離が、管理プレーンの負荷からクリティカルな制御パスをどのように保護するかを示しました。
4. 再現可能なプロトタイプと評価: Go言語ベースのプロトタイプを提供し、フェイルオーバー、パーティション挙動、同期スケール、リソース干渉、および双方向のハードウェア・イン・ザ・ループ（HIL）検証を含む包括的な評価を実施しました。

4. 実験結果

著者らは、openEuler上のDockerコンテナで動作する3ノードのGoプロトタイプを評価しました。

4.1 フェイルオーバー性能

• 中断時間: VICPは、平均出力中断時間を1039.061 ms（95%信頼区間: 1024.492–1053.631 ms）を達成しました。
• 比較: これは、設定済みのアクティブ・スタンバイのベースライン（2100.614 ms）と比較して、50.54%の削減を表しています。
• 安全性: 30回のフェイルオーバー試行において、ノード間の実行重複は検出されませんでした。

4.2 パーティション挙動

• 30回のパーティション試行（1つのノードを他の2つのノードから隔離）において、重複する出力候補は検出されませんでした。
• 隔離されたノードは、ローカルの権限が切れるまでに5〜9サイクルを実行しましたが、多数派側は継続して動作しました。最後の隔離された出力と最初の多数派出力の間のギャップは、平均944.081 msでした。
• ベルヌーイ解釈に基づくと、0/30のイベント発生率は、実行あたりのイベント確率の片側95%上限が9.5%であることを示しています。

4.3 同期とスケール

• システムは50,000ポイントの同期に成功し、平均スループットは約18,363ポイント/秒でした。
• グループ内サンプルにおける平均同期レイテンシは8.192 msでした。

4.4 リソース干渉

• CPU隔離: 隔離されたコアへのCPU圧力は、制御サイクルのジッターにほとんど影響を与えませんでした。しかし、共有ランタイムコアへの圧力は、P99ジッターを4.981 msまで増加させました。
• ディスクI/O: ランタイムホスト上の同期ディスクI/Oは、P99ジッターを28.542 msまで大幅に増大させ、コンテナの境界だけではディスク干渉を隔離できないことを浮き彫りにしました。

4.5 ハードウェア・イン・ザ・ループ (HIL) 検証

• システムは、フェンシングされたModbus/TCPゲートウェイを通じて、1,200個の物理的な4–20 mAサンプル（アナログ入力600、アナログ出力600）を処理しました。
• 精度: 最大のセットポイント平均バイアスは、AI（アナログ入力）で0.01764 mA、AO（アナログ出力）で0.020778 mAでした。
• 線形性: $R^2$値は0.999999を超えました。
• 安全性: 不良品質またはオフラインのサンプルは記録されませんでした。

5. 意義と主張

本論文は、VICPを安全認証された製品ではなく、実現可能性調査および再現可能なプロトタイプとして位置付けています。

• 範囲: 著者らは、プロトタイプはハードリアルタイムの保証、ビザンチン故障耐性、または安全整合性レベル（SIL）への準拠を主張しないことを明記しています。
• 主な成果: 本研究は、出力権限を状態レプリケーションから分離することが、汎用インフラ上で実装可能であることを実証しています。多数決に裏付けられたリースが、不可逆的な物理出力を効果的に制御でき、標準的なアクティブ・スタンバイ構成と比較してフェイルオーバーの中断時間を約半分に削減できることを証明しました。
• エンジニアリングの境界: 論文は、安全性がリースのタイミングの仮定と、物理I/O境界におけるフェンシングの実装に依存していることを強調しています。ソフトウェアメカニズムは健全であるが、本番環境への導入には、認証されたハードウェア調停器、認証済みメッセージング、および監視された時刻同期が必要であると論じています。
• 今後の課題: 著者らは、フェンシングを独立したハードウェアへ移動させること、ARMアーキテクチャでのテスト、および多様な故障注入を用いた長期的なキャンペーンの実施など、さらなる検証が必要であると述べています。

要約すると、VICPは、特定のエンジニアリング制御（フェンシング、リソース隔離、および外部認可）が厳格に適用されることを前提として、クラウドネイティブコンピューティングの柔軟性と、物理プロセス制御の厳格な安全性要件のバランスを取る、産業用エッジクラスターのための実用的なアーキテクチャパターンを提供しています。