要約

  • Evelyn Berezin は、三台の独立プロセッサと約六十都市の通信拠点を備えた United Airlines の全国システムで、コンピュータ設計を率いた。
  • フェイルオーバーや資源のインターロックは稼働継続を守る仕組みであり、端末入力や販売・取消の意味、座席数と現実の一致まで検証する仕組みではない。
  • Berezin 自身が、座席・航空券データ中心のこの初期システムを、より多くの情報と処理を担う後代の予約システムから区別していた。

「この便に空席はあるか」という問い合わせには、二つの約束が含まれる。計算機が返答できること。そして、その返答が実際の販売状況と合っていることだ。Teleregister で Evelyn Berezin が解いたのは、まず前者だった。後者まで稼働率から導くと、可用性の設計を業務データの真実性と取り違える。

Berezin の回想では設計開始は 1958 年、Computer History Museum は納入を 1962 年ごろとしている。Denver の中央設備は全国の通信網に対し終日稼働する必要があり、障害処理は保守に要する時間ではなく秒単位で考えられた。異常なプロセッサを見つけ、切り離し、残りで処理を続ける。

三台で作る「止まり方」

米国特許 3,253,262 は発明者として Evelyn Berezin Wilenitz、Frank C. Marino、Donald W. Russell を挙げる。三台の独立プロセッサのうち空いているものが次のトランザクションを受け、共有メモリと周辺装置への同時アクセスはインターロックで制御する構成だった。

Berezin はこれを「fail-soft」と表現した。所定の地点で内部状態を比較し、食い違う機械を系から外しても他が動き続ける。初期の負荷なら一台で通常処理をこなせたという。機械を一台失っても、停止の前に能力低下として現れる設計だった。ただしバッファが尽きれば busy を返し、係員は再試行する。稼働中とは、すべての要求が直ちに完了することではない。

中央処理は十一年間一度も完全停止しなかった、と Berezin は語っている。重要な当事者証言だが、独立した稼働監査ではない。「一秒応答」も達成済み性能ではなく要求または公称目標であり、本人は後に、実際にはそこまで速くなかったと明言した。

二本の線が一つの事故に巻き込まれる

約六十の都市拠点が複数の係員端末を中央へつないだ。往路と復路を分け、故障拠点をスイッチで迂回する設計だった。Teleregister には別の通信設計部門があり、既存の電話技術では速度が足りなかったため、Eindhoven の Philips 関係者が装置設計に加わったという。

それでも物理的な共通原因は残った。Berezin によれば、分離されるはずの東西経路が Nevada の同じマイクロ波ルートに載せられていた。爆破事故で国のほぼ半分の端末が切断された一方、中央計算機は動いていた。データセンターの稼働と、全国でサービスが使えることは別だった。図面上の二本線も、同じ設備に依存すれば一つの障害領域になる。

当時の「予約」を現在の製品名で読まない

Teleregister の 1956 年パンフレットでは、UNISEL が四つの交通センターで 33 日分の空席状況を表示していた。残席が安全幅を下回ると、係員は電話で確認する。その後の構想として、地域装置を中央 Reservisor の衛星にし、磁気ドラム上の正確な座席数を販売・取消で更新する段階も記されている。

これは製品構想の証拠であって、全機能が United のシステムに同じ形で実装された証明ではない。Berezin も便宜上 passenger reservation system と呼びながら、主に便ごとの座席・航空券データを扱うものだったと区別した。後代のシステムは一席あたりの情報も処理範囲も広い。

SABRE との比較も世代差を示す範囲にとどめるべきだ。Computer History Museum は、American Airlines と IBM の共同開発で 1964 年に稼働したとし、同時に「最初のコンピュータ予約システムではない」と説明する。後の旅客記録や取引範囲を Teleregister に遡及させてはならず、Teleregister の先行性も SABRE の影響力で消してはならない。

稼働しているデータは、正しいデータとは限らない

冗長プロセッサ、共有資源制御、過負荷時の劣化、通信迂回は、部品故障後も処理を続ける方法を示す。在庫の真実性には別の制御が要る。販売と取消が一度だけ反映されるか、二人が最後の一席を取らないか、再試行が重複にならないか、運航変更と照合できるか、という問いである。

確認した資料は、それらすべてを立証していない。正しく動く計算機は誤入力も正確に保存する。三台が古い値で一致することもある。生き残った回線が同じ要求を二度運ぶこともある。中央停止がなかったという回想は、在庫差異がなかった証明ではない。

境界を明確にしてこそ Berezin の功績は見える。彼女はリレー設計者を電子回路へ導く部門を率い、独立した通信チームと協働した。主要特許は Marino と Russell との共同であり、Teleregister の技術者、Philips の設計者、United の運用担当者、通信事業者もシステムを形作った。功績は、一つの故障が全国停止にならないよう障害領域を分けたことだ。現代が加えるべき原則は単純である。生き残った状態を、それだけで真実と呼ばない。

出典