Tandem Computers: Надёжные вычисления для критически важных систем

Tandem Computers: отказоустойчивые системы для банков, бирж и критической инфраструктуры. Надежность, бесперебойность, защита данных. История и развитие.

26 мин чтения

100%

Источник: Tandem Computers — Wikipedia

Сравнивайте с английским: нажмите на абзац — оригинал откроется в окне. Кнопка EN под абзацем показывает его прямо в тексте.

Содержание

Введение

Производитель отказоустойчивых компьютеров

Tandem Computers, Inc. была доминирующим производителем отказоустойчивых компьютерных систем для сетей банкоматов, банков, фондовых бирж, телефонных коммутационных центров, систем экстренной помощи 911 и других аналогичных приложений для обработки коммерческих транзакций, требующих максимального времени безотказной работы и отсутствия потери данных. Компания была основана Джимми Трейбигом в 1974 году в Купертино, Калифорния. Она оставалась независимой до 1997 года, когда стала серверным подразделением Compaq. В настоящее время это серверное подразделение в Hewlett Packard Enterprise, после приобретения компанией Hewlett Packard компании Compaq и разделения Hewlett Packard на HP Inc. и Hewlett Packard Enterprise. Системы NonStop от Tandem используют ряд независимых идентичных процессоров и избыточные устройства хранения и контроллеры для обеспечения автоматического высокоскоростного переключения в случае аппаратного или программного сбоя. Чтобы ограничить масштаб сбоев и повреждения данных, эти многокомпьютерные системы не имеют общих центральных компонентов, даже оперативной памяти. Традиционные многокомпьютерные системы используют общую память и работают непосредственно с общими объектами данных. Вместо этого процессоры NonStop взаимодействуют, обмениваясь сообщениями по надежной шине, а программное обеспечение периодически создает снимки состояния памяти программы для возможного восстановления. Помимо эффективной обработки сбоев, эта архитектура обмена сообщениями, основанная на принципе "ничего общего", также отлично масштабируется для самых больших коммерческих нагрузок. Каждое удвоение общего числа процессоров удваивало бы пропускную способность системы до максимальной конфигурации в 4000 процессоров. В отличие от этого, производительность традиционных многопроцессорных систем ограничена скоростью общей памяти, шины или коммутатора. Добавление более 4–8 процессоров таким образом не приводит к дальнейшему увеличению скорости системы. Системы NonStop чаще приобретали для удовлетворения требований к масштабируемости, чем для обеспечения экстремальной отказоустойчивости. Они успешно конкурируют с крупнейшими мэйнфреймами IBM, несмотря на то, что построены на основе более простой технологии мини-компьютеров.

Основание

Компания Tandem Computers была основана в 1974 году Джеймсом Трейбигом. Трейбиг впервые осознал потребность рынка в отказоустойчивости систем OLTP (онлайн-обработки транзакций), работая руководителем маркетинговой группы в компьютерном подразделении HP 3000 компании Hewlett Packard, однако HP не проявляла интереса к разработкам в этой нише. После этого он присоединился к венчурной фирме Kleiner & Perkins и разработал там бизнес-план для Tandem. Трейбиг собрал основную команду инженеров, переманив их из подразделения HP 3000: Майка Грина, Джима Кацмана, Дэйва Макки и Джека Лустауну. Их бизнес-план предусматривал создание сверхнадежных систем, которые никогда не выходили бы из строя и не теряли бы или повреждали данные. Эти системы должны были быть модульными, с новой архитектурой, защищенной от всех "единичных точек отказа", при этом лишь незначительно превосходя по стоимости обычные системы, не обладающие отказоустойчивостью. Они должны были быть дешевле и обеспечивать более высокую пропускную способность, чем некоторые существующие специализированные, усиленные системы, использующие резервирование, но обычно требующие "горячих резервных копий". Каждый инженер был уверен, что сможет быстро реализовать свою часть этого сложного нового проекта, но сомневался в возможности успешной реализации других компонентов. Части аппаратного и программного обеспечения, которые не требовали изменений, в основном базировались на постепенных улучшениях знакомых аппаратных и программных решений HP 3000. Многие последующие инженеры и программисты также пришли из HP. Штаб-квартира Tandem в Купертино, Калифорния, находилась в квартале мили от офисов HP. Первоначальные венчурные инвестиции в Tandem Computers поступили от Тома Перкинса, который ранее был генеральным директором подразделения HP 3000. Бизнес-план включал в себя детальные идеи по созданию уникальной корпоративной культуры, отражающей ценности Трейбига. Проектирование первоначального оборудования Tandem/16 было завершено в 1975 году, а первая система была поставлена в Citibank в мае 1976 года. Компания демонстрировала непрерывный экспоненциальный рост вплоть до 1983 года. Журнал Inc. признал Tandem самой быстрорастущей публичной компанией в Америке. К 1996 году Tandem стала компанией с оборотом в 2,3 миллиарда долларов, в которой работало около 8000 человек по всему миру.

Tandem Computers was founded in 1974 by James Treybig. Treybig first saw the market need for fault tolerance in OLTP (online transaction processing) systems while running a marketing team for Hewlett Packard 's HP 3000 computer division, but HP was not interested in developing for this niche. He then joined the venture capital firm Kleiner & Perkins and developed the Tandem business plan there. Treybig pulled together a core engineering team hired away from the HP 3000 division: Mike Green, Jim Katzman, Dave Mackie and Jack Loustaunou. Their business plan called for ultra reliable systems that never had outages and never lost or corrupted data. These were modular in a new way that was safe from all "single point failures", yet would be only marginally more expensive than conventional non fault tolerant systems. They would be less expensive and support more throughput than some existing ad hoc toughened systems that used redundant but usually required "hot spares". Each engineer was confident they could quickly pull off their own part of this complex new design, but doubted that others' areas could be worked out. The parts of the hardware and software design that did not have to be different were largely based on incremental improvements to the familiar hardware and software designs of the HP 3000. Many subsequent engineers and programmers also came from HP. Tandem headquarters in Cupertino, California, were a quarter mile away from the HP offices. Initial venture capital investment in Tandem Computers came from Tom Perkins, who was formerly a general manager of the HP 3000 division. The business plan included detailed ideas for building a unique corporate culture reflecting Treybig's values. The design of the initial Tandem/16 hardware was completed in 1975 and the first system shipped to Citibank in May 1976. The company enjoyed uninterrupted exponential growth up through 1983. Inc. magazine ranked Tandem as the fastest growing public company in America. By 1996, Tandem was a $2.3 billion company employing approximately 8,000 people worldwide.

Тандемные стальные машины без остановки (TNS)

За более чем 40 лет основная линейка продуктов NonStop компании Tandem росла и развивалась, сохраняя обратную совместимость, начиная с первой отказоустойчивой системы T/16. За это время в ее модульной архитектуре верхнего уровня и архитектуре набора команд программирования было внесено три существенных изменения. В рамках каждой серии проводились несколько крупных переработок по мере развития элементной базы. В то время как типичные системы того времени, включая крупные мейнфреймы, имели среднее время наработки на отказ (MTBF) порядка нескольких дней, система NonStop была спроектирована для работы в 100 раз дольше между отказами, обеспечивая время безотказной работы, измеряемое годами. При этом NonStop разрабатывался как конкурентоспособное по цене решение: простая система с двумя процессорами стоила чуть более чем в два раза дороже, чем сопоставимый однопроцессорный мейнфрейм, в отличие от четырех и более раз по сравнению с другими отказоустойчивыми решениями.

Не останавливайтесь.

Первой системой была Tandem/16 или T/16, позже переименованная в NonStop I. Машина состояла из двух–16 процессоров, организованных в виде отказоустойчивого компьютерного кластера, размещенного в одной стойке. Каждый процессор имел свою собственную, выделенную память, свой собственный процессор ввода-вывода, свою собственную выделенную шину ввода-вывода для подключения к контроллерам ввода-вывода и двойные соединения со всеми остальными процессорами через специальную межпроцессорную шину под названием Dynabus. Каждый дисковый или сетевой контроллер был дублирован и имел двойные соединения как с процессорами, так и с устройствами. Каждый диск был зеркалирован, с отдельными соединениями к двум независимым дисковым контроллерам. В случае выхода диска из строя его данные оставались доступными из его зеркальной копии. В случае отказа процессора, контроллера или шины диск оставался доступным через альтернативный процессор, контроллер и/или шину. Каждый дисковый или сетевой контроллер был подключен к двум независимым процессорам. Блоки питания подключались только к одной стороне пары процессоров, контроллеров или шин, чтобы система продолжала работать без потери соединений в случае отказа одного блока питания. Тщательная и сложная компоновка деталей и соединений в крупных клиентских конфигурациях была задокументирована в диаграмме Макки, названной в честь ведущего продавца Дэвида Макки, который разработал эту нотацию. Ни одна из этих дублированных частей не использовалась в качестве "горячих запасных"; все они увеличивали пропускную способность системы во время нормальной работы. Помимо успешного восстановления после отказавших компонентов, T/16 также был разработан для обнаружения как можно большего числа видов прерывистых сбоев как можно быстрее. Это быстрое обнаружение называется "fail fast". Цель состояла в том, чтобы обнаружить и изолировать поврежденные данные до того, как они будут навсегда записаны в базы данных и другие дисковые файлы. В T/16 обнаружение ошибок осуществлялось с помощью дополнительных специализированных схем, которые незначительно увеличивали общую стоимость конструкции; основные компоненты не дублировались только для обнаружения ошибок. Процессор T/16 был разработан компанией самостоятельно. На него оказал большое влияние миникомпьютер HP 3000. Оба были микропрограммируемыми, 16-битными, стековыми машинами с сегментированной 16-битной виртуальной адресацией. Оба предназначались для программирования исключительно на языках высокого уровня, без использования ассемблера. Оба изначально были реализованы с использованием стандартных TTL-чипов с низкой плотностью, каждый из которых содержал 4-битный срез 16-битного АЛУ. Оба имели небольшое количество регистров данных верхнего уровня стека, 16 бит, а также несколько дополнительных адресных регистров для доступа к стеку памяти. Оба использовали кодирование Хаффмана для смещений адресов операндов, чтобы уместить большое разнообразие режимов адресации и размеров смещений в 16-битный формат инструкции с очень хорошей плотностью кода. Оба в значительной степени полагались на пулы косвенных адресов для преодоления короткого формата инструкций. Оба поддерживали более крупные 32- и 64-битные операнды посредством нескольких циклов АЛУ и операции со строками в памяти. Оба использовали порядок байтов "big endian" для адресации длинных и коротких операндов памяти. Все эти функции были вдохновлены стековыми машинами Burroughs B5500 и B6800. Набор инструкций T/16 изменил несколько особенностей конструкции HP 3000. T/16 поддерживал страничную виртуальную память с самого начала. Серия HP 3000 добавила страничную организацию памяти только в поколении PA RISC, через 10 лет (хотя MPE V имела форму страничной организации памяти через прошивку APL в 1978 году). Tandem добавил поддержку 32-битной адресации во второй машине; HP 3000 не имел ее до поколения PA RISC. Страничная организация памяти и длинные адреса были критически важны для поддержки сложного системного программного обеспечения и больших приложений. T/16 по-новому обрабатывал регистры верхнего уровня стека; компилятор, а не микрокод, отвечал за определение того, когда полные регистры должны быть вытеснены в стек памяти, а когда пустые регистры должны быть заполнены из стека памяти. В HP 3000 это решение требовало дополнительных микрокодовых циклов в каждой инструкции. HP 3000 поддерживал COBOL с несколькими инструкциями для непосредственного вычисления на строках BCD (двоично-десятичного кода) произвольной длины. T/16 упростил это до отдельных инструкций для преобразования между строками BCD и 64-битными двоичными целыми числами. В T/16 каждый процессор состоял из двух плат с TTL-логикой и SRAM и работал со скоростью около 0,7 MIPS. В любой момент времени он мог получить доступ только к четырем сегментам виртуальной памяти (Системные данные, Системный код, Пользовательские данные, Пользовательский код), каждый из которых был ограничен размером 128 КБ. 16-битные адресные пространства уже были малы для крупных приложений на момент выпуска. Первая версия T/16 имела только один язык программирования – Transaction Application Language (TAL). Это был эффективный, зависимый от машины язык системного программирования (для операционных систем, компиляторов и т. д.), но также мог использоваться для непереносимых приложений. Он был получен из System Programming Language (SPL) HP 3000. Оба имели семантику, аналогичную C, но синтаксис, основанный на ALGOL от Burroughs. В последующих версиях была добавлена поддержка Cobol74, Basic, Fortran, Java, C, C++ и MUMPS. Операционная система серии Tandem NonStop была собственной и значительно отличалась от Unix или MPE от HP 3000. Первоначально она называлась T/TOS (Tandem Transactional Operating System), но вскоре была переименована в Guardian за ее способность защищать все данные от аппаратных и программных сбоев. В отличие от всех других коммерческих операционных систем, Guardian был основан на передаче сообщений как на основном способе взаимодействия всех процессов, без общей памяти, независимо от того, где выполнялись процессы. Этот подход легко масштабировался до нескольких компьютерных кластеров и помогал изолировать поврежденные данные до их распространения. Все процессы файловой системы и все процессы транзакционных приложений были структурированы как пары процессов "главный/подчиненный", работающие на отдельных процессорах. Подчиненный процесс периодически создавал снимки состояния памяти главного процесса и перехватывал рабочую нагрузку, если и когда главный процесс сталкивался с проблемами. Это позволяло приложению выживать при сбоях в любом процессоре или связанных с ним устройствах, без потери данных. Это также позволяло восстановиться после некоторых прерывистых программных сбоев. Между сбоями мониторинг со стороны подчиненного процесса добавлял некоторую задержку, но она была намного меньше, чем 100% дублирование в других системных конструкциях. Некоторые крупные ранние приложения были непосредственно закодированы в этом стиле контрольных точек, но большинство из них вместо этого использовали различные программные слои Tandem, которые скрывали детали этого в полупереносимом виде.

The first system was the Tandem/16 or T/16, later re branded NonStop I. The machine consisted of between two and 16 CPUs, organized as a fault tolerant computer cluster packaged in a single rack. Each CPU had its own private, unshared memory, its own I/O processor, its own private I/O bus to connect to I/O controllers, and dual connections to all the other CPUs over a custom inter CPU backplane bus called Dynabus. Each disk controller or network controller was duplicated and had dual connections to both CPUs and devices. Each disk was mirrored, with separate connections to two independent disk controllers. If a disk failed, its data was still available from its mirrored copy. If a CPU or controller or bus failed, the disk was still reachable through alternative CPU, controller, and/or bus. Each disk or network controller was connected to two independent CPUs. Power supplies were each wired to only one side of some pair of CPUs, controllers, or buses, so that the system would keep running well without loss of connections if one power supply failed. The careful complex arrangement of parts and connections in customers' larger configurations were documented in a Mackie diagram, named after lead salesman David Mackie who invented the notation. None of these duplicated parts were wasted "hot spares"; everything added to system throughput during normal operations. Besides recovering well from failed parts, the T/16 was also designed to detect as many kinds of intermittent failures as possible, as soon as possible. This prompt detection is called "fail fast". The point was to find and isolate corrupted data before it was permanently written into databases and other disk files. In the T/16, error detection was by added custom circuits that added little cost to the total design; no major parts were duplicated just to get error detection. The T/16 CPU was a proprietary design. It was greatly influenced by the HP 3000 minicomputer. They were both microprogrammed, 16 bit, stack based machines with segmented, 16 bit virtual addressing. Both were intended to be programmed exclusively in high level languages, with no use of assembler. Both were initially implemented via standard low density TTL chips, each holding a 4 bit slice of the 16 bit ALU. Both had a small number of top of stack, 16 bit data registers plus some extra address registers for accessing the memory stack. Both used Huffman encoding of operand address offsets, to fit a large variety of address modes and offset sizes into the 16 bit instruction format with very good code density. Both relied heavily on pools of indirect addresses to overcome the short instruction format. Both supported larger 32 and 64 bit operands via multiple ALU cycles, and memory to memory string operations. Both used "big endian" addressing of long versus short memory operands. These features had all been inspired by Burroughs B5500 B6800 mainframe stack machines. The T/16 instruction set changed several features from the HP 3000 design. The T/16 supported paged virtual memory from the beginning. The HP 3000 series did not add paging until the PA RISC generation, 10 years later (although MPE V it had a form of paging via the APL firmware, in 1978). Tandem added support for 32 bit addressing in its second machine; HP 3000 lacked this until its PA RISC generation. Paging and long addresses were critical for supporting complex system software and large applications. The T/16 treated its top of stack registers in a novel way; the compiler, not the microcode, was responsible for deciding when full registers were spilled to the memory stack and when empty registers were re filled from the memory stack. On the HP 3000, this decision took extra microcode cycles in every instruction. The HP 3000 supported COBOL with several instructions for calculating directly on arbitrary length BCD (binary coded decimal) strings of digits. The T/16 simplified this to single instructions for converting between BCD strings and 64 bit binary integers. In the T/16, each CPU consisted of two boards of TTL logic and SRAMs, and ran at about 0.7 MIPS. At any instant, it could access only four virtual memory segments (System Data, System Code, User Data, User Code), each limited to 128 KB in size. The 16 bit address spaces were already small for major applications when it shipped. The first release of T/16 had only a single programming language, Transaction Application Language (TAL). This was an efficient machine dependent systems programming language (for operating systems, compilers, etc.) but could also be used for non portable applications. It was derived from HP 3000's System Programming Language (SPL). Both had semantics similar to C but a syntax based on Burroughs' ALGOL. Subsequent releases added support for Cobol74, Basic, Fortran, Java, C, C++, and MUMPS. The Tandem NonStop series ran a custom operating system which was significantly different from Unix or HP 3000's MPE. It was initially called T/TOS (Tandem Transactional Operating System) but soon named Guardian for its ability to protect all data from machine faults and software faults. In contrast to all other commercial operating systems, Guardian was based on message passing as the basic way for all processes to interact, without shared memory, regardless of where the processes were running. This approach easily scaled to multiple computer clusters and helped isolate corrupted data before it propagated. All file system processes and all transactional application processes were structured as master/slave pairs of processes running in separate CPUs. The slave process periodically took snapshots of the master's memory state, and took over the workload if and when the master process ran into trouble. This allowed the application to survive failures in any CPU or its associated devices, without data loss. It further allowed recovery from some intermittent style software failures. Between failures, the monitoring by the slave process added some performance overhead but this was far less than the 100% duplication in other system designs. Some major early applications were directly coded in this checkpoint style, but most instead used various Tandem software layers which hid the details of this in a semi portable way.

NonStop II

В 1981 году все процессоры T/16 были заменены на NonStop II. Главным отличием от T/16 была поддержка эпизодической 32-битной адресации посредством переключаемого пользователем "расширенного сегмента данных". Это обеспечило развитие программного обеспечения в течение следующих десяти лет и являлось преимуществом по сравнению с T/16 или HP 3000. К сожалению, видимые регистры оставались 16-битными, и это незапланированное расширение набора инструкций требовало выполнения множества инструкций для каждого обращения к памяти, в отличие от большинства 32-битных миникомпьютеров. Все последующие компьютеры TNS страдали от этой неэффективности набора инструкций. Поскольку NonStop II не имел более широких внутренних шин данных, для работы с 32-битными адресами требовались дополнительные шаги микрокода. Процессор NonStop II состоял из трех плат, использовавших чипы и конструкцию, аналогичные T/16. NonStop II также заменил память на ферритовых сердечниках на DRAM-память с резервным питанием от батареи.

Не останавливайтесь на TXP

В 1983 году NonStop TXP CPU стал первой полностью новой реализацией архитектуры набора команд TNS. Он был построен на стандартных микросхемах TTL и программируемых логических матрицах, с четырьмя платами на модуль процессора. В нем впервые в Tandem было применено кэш-память. Он обеспечивал более прямую реализацию 32-битной адресации, но данные все равно передавались через 16-битные сумматоры. Увеличенный объем микрокода позволил существенно сократить количество циклов, необходимых для выполнения одной инструкции, что повысило производительность до 2,0 МИПС. Он использовал ту же систему корпусного исполнения, контроллеры, материнскую плату и шины, что и ранее. Шины Dynabus и ввода-вывода были изначально спроектированы с запасом в T/16, чтобы обеспечить их работоспособность на протяжении нескольких поколений обновлений.

ЛОШКА

До 14 систем TXP и NonStop II теперь можно было объединить посредством FOX – отказоустойчивой оптоволоконной шины большой дальности для соединения кластеров TNS в пределах бизнес-кампуса, образуя кластер кластеров с общей вычислительной мощностью 224 процессоров. Это обеспечивало возможность дальнейшего масштабирования для запуска самых крупных приложений, ранее выполнявшихся на мэйнфреймах. Как и модули CPU внутри компьютеров, Guardian могла переключать целые наборы задач на другие машины в сети. По обычным каналам связи на большие расстояния также можно было создавать глобальные кластеры, состоящие из 4000 процессоров.

Не останавливайтесь .

В 1986 году Tandem представил процессор третьего поколения, NonStop VLX. Он имел 32-битные шины данных, расширенный микрокод, тактовую частоту 12 МГц и пиковую производительность в одну инструкцию за микроцикл. Он был создан из трех плат на основе интегральных схем ECL с логическими элементами (с компоновкой выводов TTL). В нем была обновленная шина Dynabus, скорость которой была увеличена до 20 МБ/с на канал, и 40 МБ/с в сумме. Позже FOX II увеличил физический диаметр кластеров TNS до 4 километров. Первоначальная поддержка баз данных в Tandem была реализована только для иерархических, нереляционных баз данных через файловую систему ENSCRIBE. Эта поддержка была расширена до реляционной базы данных под названием ENCOMPASS. В 1986 году Tandem представила первую отказоустойчивую SQL-базу данных, NonStop SQL. Разработанная полностью собственными силами, NonStop SQL включает в себя ряд функций, основанных на Guardian, для обеспечения целостности данных во всех узлах. NonStop SQL известна своим линейным масштабированием производительности с увеличением количества узлов в системе, в то время как производительность большинства баз данных довольно быстро достигала плато, часто уже после двух процессоров. Позднее, в 1989 году, была выпущена версия, добавившая транзакции, которые могли распределяться между узлами, что оставалось уникальной функцией в течение некоторого времени. NonStop SQL продолжала развиваться, сначала как NonStop SQL/MP, а затем как NonStop SQL/MX, переходя от Tandem к Compaq и HP. Код продолжает использоваться как в решениях HP NonStop SQL/MP, NonStop SQL/MX, так и в проекте Apache Trafodion.

Не останавливайтесь CLX

В 1987 году компания Tandem представила NonStop CLX – недорогую, менее масштабируемую мини-компьютерную систему. Она была предназначена для расширения нижнего сегмента рынка отказоустойчивых систем и для развертывания на периферии крупных сетей Tandem. Первоначальная производительность была сопоставима с TXP; в более поздних версиях она снизилась примерно на 20% по сравнению с VLX. Небольшой корпус системы можно было установить в любом офисе, даже в помещении для копировального оборудования. Центральный процессор CLX представлял собой одну плату, содержащую шесть ASIC CMOS чипов, изготовленных по технологии "компилированного кремния". Чип ядра процессора был дублирован и работал в синхронизированном режиме для максимального обнаружения ошибок. Это не повышало отказоустойчивость, но гарантировало целостность данных, поскольку сравнительный чип обеспечивал совпадение результатов, выдаваемых обоими чипами процессора. Отказоустойчивость обеспечивалась другими процессорами. Основным ограничением данной чиповой технологии был вывод выводов (пинаут). Микрокод, кэш и TLB располагались вне ядра процессора и использовали общую шину и один банк памяти SRAM. В результате CLX требовал не менее двух машинных циклов на выполнение одной инструкции.

Непрерывный циклон

В 1989 году компания Tandem представила NonStop Cyclone – быструю, но дорогую систему для рынка мейнфреймов. Каждый самопроверяющийся процессор занимал три платы, полностью заполненные горячими микросхемами ECL с элементами gate array, а также платы памяти. Несмотря на микропрограммное управление, процессор был суперскалярным и часто выполнял две инструкции за такт кэша. Это достигалось за счет наличия отдельной подпрограммы микрокода для каждой распространенной пары инструкций. Такая объединенная пара инструкций стека обычно выполняла тот же объем работы, что и одна инструкция обычного 32-битного миникомпьютера. Процессоры Cyclone поставлялись в виде блоков по четыре процессора, а блоки соединялись оптоволоконной версией Dynabus. Как и предыдущие высокопроизводительные машины Tandem, корпуса Cyclone имели угловатый черный дизайн, призванный подчеркнуть прочность и мощность. В рекламных роликах Cyclone напрямую сравнивали со шпионским самолетом Lockheed SR-71 Blackbird, развивающим скорость Mach 3. Название Cyclone должно было отражать его "неудержимую скорость при обработке рабочих нагрузок OLTP". Дата анонса – 17 октября 1989 года. В тот же день регион потрясло землетрясение магнитудой 6,9, вызвавшее обрушение эстакад в Окленде и крупные пожары в Сан-Франциско. Здания Tandem содрогнулись, но никто на месте серьезно не пострадал.

Радуга

В 1980–1983 годах компания Tandem предприняла попытку полностью переработать свой аппаратный и программный комплекс, чтобы обеспечить более надежную основу для своих методов NonStop, чем те, что были унаследованы от HP 3000. Аппаратная часть Rainbow представляла собой 32-разрядную регистровую машину, которая должна была превзойти VAX от Digital Equipment Corporation. Для надежного программирования основным языком программирования был "TPL" – подмножество языка Ada. В то время возможности компиляции Ada в неоптимизированный код были крайне ограничены. Для существующего системного программного обеспечения NonStop, написанного на TAL, не существовало пути миграции. Операционная система, база данных и компиляторы Cobol были полностью переработаны. Клиенты восприняли бы это как совершенно новую, несвязанную линейку продуктов, требующую от них разработки нового программного обеспечения. Разработка программной части этого амбициозного проекта заняла значительно больше времени, чем планировалось. К моменту завершения разработки программного обеспечения аппаратная часть уже устарела и уступала по производительности TXP, поэтому проект Rainbow был закрыт. Все последующие усилия были направлены на обеспечение обратной совместимости и упрощение путей миграции. Разработка передовой платформы разработки клиент-серверных приложений Rainbow под названием "Crystal" продолжалась еще некоторое время, после чего была выделена в отдельный продукт "Ellipse" компании Cooperative Systems Inc.

Динамитный ПК

В 1985 году компания Tandem предприняла попытку занять часть стремительно растущего рынка персональных компьютеров, представив Dynamite PC/workstation на базе MS DOS. Множественные конструктивные недостатки (включая уникальную аппаратную платформу на базе 8086, несовместимую с расширительными платами того времени и обладающую крайне ограниченной совместимостью с ПК, основанными на IBM) свели к тому, что Dynamite фактически превратился в продвинутый терминал. Он был незаметно и оперативно снят с производства.

Совершенство

Операционная система NonStop, основанная на обмене сообщениями, обладала преимуществами в масштабируемости, экстремальной надежности и эффективном использовании дорогостоящих "резервных" ресурсов. Однако многие потенциальные клиенты хотели лишь достаточной надежности в небольшой системе, используя привычную операционную систему Unix и стандартные отраслевые программы. Различные конкуренты Tandem, устойчивые к сбоям, приняли более простую аппаратную конструкцию, ориентированную на память, где восстановление осуществлялось путем переключения между горячими резервными экземплярами. Наиболее успешным конкурентом была Stratus Technologies, чьи машины перепродавала IBM под названием "IBM System/88". В таких системах резервные процессоры не увеличивают пропускную способность системы между отказами, а лишь избыточно выполняют точно ту же самую последовательность данных, что и активный процессор в тот же момент времени, в режиме "синхронного шага". Сбои обнаруживаются по расхождению выходных данных клонированных процессоров. Для обнаружения отказов система должна иметь два физических процессора на каждый логический, активный процессор. Для реализации автоматического восстановления после отказа системе требуется три или четыре физических процессора на каждый логический процессор. Тройная или четверная стоимость такого резервирования оправдана, когда дублируемые компоненты – это массовые однокристальные микропроцессоры. Продукты Tandem для этого рынка начались с линейки Integrity в 1989 году, использующей процессоры MIPS и вариант Unix под названием "NonStop UX". Разработка велась в Остине, штат Техас. В 1991 году Integrity S2 использовала TMR (Triple Modular Redundancy) – тройное модульное резервирование, когда каждый логический процессор использовал три микропроцессора MIPS R2000 для выполнения одной и той же последовательности данных, с голосованием для выявления и исключения неисправного компонента. Их быстрые тактовые частоты нельзя было синхронизировать, как в строгом синхронном шаге, поэтому голосование происходило при каждом прерывании. Некоторые другие версии Integrity использовали 4-кратное резервирование по схеме "пара и резерв". Пары процессоров работали в синхронном шаге для взаимного контроля. При обнаружении расхождений оба процессора помечались как ненадежные, а их нагрузка переносилась на горячую резервную пару процессоров, состояние которых было актуальным. В 1995 году Integrity S4000 впервые использовала ServerNet (сетевую "шинную" структуру) и перешла к совместному использованию периферийных устройств с линейкой NonStop.

Tandem's message based NonStop operating system had advantages for scaling, extreme reliability, and efficiently using expensive "spare" resources. But many potential customers wanted just good enough reliability in a small system, using a familiar Unix operating system and industry standard programs. Tandem's various fault tolerant competitors all adopted a simpler hardware only memory centric design where all recovery was done by switching between hot spares. The most successful competitor was Stratus Technologies, whose machines were re marketed by IBM as "IBM System/88". In such systems, the spare processors do not contribute to system throughput between failures, but merely redundantly execute exactly the same data thread as the active processor at the same instant, in "lock step". Faults are detected by seeing when the cloned processors' outputs diverged. To detect failures, the system must have two physical processors for each logical, active processor. To also implement automatic failover recovery, the system must have three or four physical processors for each logical processor. The triple or quadruple cost of this sparing is practical when the duplicated parts are commodity single chip microprocessors. Tandem's products for this market began with the Integrity line in 1989, using MIPS processors and a "NonStop UX" variant of Unix. It was developed in Austin, Texas. In 1991, the Integrity S2 used TMR, Triple Modular Redundancy, where each logical CPU used three MIPS R2000 microprocessors to execute the same data thread, with voting to find and lock out a failed part. Their fast clocks could not be synchronized as in strict lock stepping, so voting instead happened at each interrupt. Some other versions of Integrity used 4x "pair and spares" redundancy. Pairs of processors ran in lock step to check each other. When they disagreed, both processors were marked untrusted and their workload was taken over by a hot spare pair of processors whose state was already current. In 1995, the Integrity S4000 was the first to use ServerNet (a networked "bus" structure) and moved toward sharing peripherals with the NonStop line.

Волчья овчарка

В 1995–1997 годах компания Tandem сотрудничала с Microsoft для реализации функций высокой доступности и расширенных конфигураций SQL в кластерах из стандартных машин Windows NT. Этот проект получил название "Wolfpack" и впервые был представлен как Microsoft Cluster Server в 1997 году. Microsoft извлекла значительную выгоду из этого партнерства, в то время как Tandem – нет.

TNS/R NonStop миграция в MIPS

Когда компания Tandem была основана в 1974 году, каждая компьютерная компания должна была самостоятельно проектировать и изготавливать свои центральные процессоры из элементарных схем, используя собственный набор команд и собственные компиляторы и так далее. С каждым годом развития полупроводниковой технологии, в соответствии с законом Мура, всё больше основных схем процессора помещалось в один чип, что позволяло им работать быстрее и значительно дешевле. Однако проектирование этих передовых специализированных чипов, а также строительство заводов для их производства, становилось для компьютерных компаний всё более затратным. Столкнувшись с вызовами быстро меняющегося рынка и производственной среды, Tandem приняла решение о сотрудничестве с MIPS и перешла на использование их чипсетов R3000 и последующих поколений, а также их продвинутого оптимизирующего компилятора. Последующие серверы NonStop Guardian, построенные на архитектуре MIPS, были известны программистам как машины TNS/R, но продавались под различными маркетинговыми названиями.

Циклон/R

В 1991 году компания Tandem выпустила Cyclone/R, также известный как CLX/R. Это была недорогая система среднего класса, основанная на компонентах CLX, но использующая микропроцессоры R3000 вместо гораздо более медленной стековой машины CLX. Чтобы минимизировать время выхода на рынок, эта машина первоначально поставлялась без какого-либо программного обеспечения, работающего в нативном режиме MIPS. Все, включая операционную систему NonStop Kernel (NSK) (преемник Guardian) и базу данных NonStop SQL, было скомпилировано в машинный код стека TNS. Этот объектный код затем преобразовывался в эквивалентные частично оптимизированные последовательности инструкций MIPS во время установки ядра с помощью инструмента под названием Accelerator. Менее важные программы также могли выполняться напрямую без предварительного преобразования, через интерпретатор кода TNS. Эти методы миграции оказались очень успешными и используются до сих пор. Все существующее программное обеспечение было перенесено без дополнительных усилий, производительность была достаточной для машин среднего класса, а программистам не требовалось учитывать различия в инструкциях, даже при отладке на уровне машинного кода. В последующем выпуске машины Cyclone/R были обновлены более быстрой операционной системой NSK, работающей в нативном режиме. Микропроцессоры R3000 и более поздние модели имели лишь стандартный уровень внутренней проверки ошибок, которого было недостаточно для требований Tandem. Поэтому Cyclone/R использовал пары процессоров R3000, работающие в синхронном режиме (lock step), обрабатывая один и тот же поток данных. Это было сделано для обеспечения целостности данных, а не отказоустойчивости – отказоустойчивость обеспечивалась другими механизмами, которые оставались в силе. Использовалась своеобразная вариация синхронного режима. Процессор-верификатор (checker) отставал от основного процессора на один цикл. Это позволяло им совместно использовать единую копию внешних кэшей кода и данных, не создавая чрезмерной нагрузки на системную шину и не снижая тактовую частоту системы. Для успешной работы микропроцессоров в синхронном режиме, чипы должны быть спроектированы таким образом, чтобы быть полностью детерминированными. Любое скрытое внутреннее состояние должно очищаться механизмом сброса чипа. В противном случае, согласованные чипы иногда могли терять синхронизацию без видимой причины и без каких-либо неисправностей, спустя долгое время после перезапуска. Все разработчики чипов согласны с тем, что это хорошие принципы, поскольку они помогают тестировать чипы в процессе производства. Однако, казалось, что во всех новых микропроцессорных чипах были ошибки в этой области, и потребовались месяцы совместной работы между MIPS (сторонним производителем, используемым Tandem) и Tandem, чтобы устранить или обойти последние, едва заметные ошибки.

In 1991, Tandem released the Cyclone/R, also known as CLX/R. This was a low cost mid range system based on CLX components, but used R3000 microprocessors instead of the much slower CLX stack machine board. To minimize time to market, this machine was initially shipped without any MIPS native mode software. Everything, including its NonStop Kernel (NSK) operating system (a follow on to Guardian) and NonStop SQL database, was compiled to TNS stack machine code. That object code was then translated to equivalent partially optimized MIPS instruction sequences at kernel install time by a tool called the Accelerator. Less important programs could also be executed directly without pre translation, via a TNS code interpreter. These migration techniques were very successful and are still in use today. Everyone's software was brought over without extra work, the performance was good enough for mid range machines, and programmers could ignore the instruction differences, even when debugging at machine code level. These Cyclone/R machines were updated with a faster native mode NSK operating system in a follow up release. The R3000 and later microprocessors had only a typical amount of internal error checking, insufficient for Tandem's needs. So the Cyclone/R ran pairs of R3000 processors in lock step, running the same data thread. This was for purposes of data integrity, and not fault tolerance – fault tolerance was handled by the other mechanisms still in place. It used a curious variation of lock stepping. The checker processor ran 1 cycle behind the primary processor. This allowed them to share a single copy of external code and data caches without putting excessive pinout load on the system bus and lowering the system clock rate. To successfully run microprocessors in lock step, the chips must be designed to be fully deterministic. Any hidden internal state must be cleared by the chip's reset mechanism. Otherwise, the matched chips will sometimes get out of sync for no visible reason and without any faults, long after the chips are restarted. All chip designers agree that these are good principles because it helps them test chips at manufacturing time. But all new microprocessor chips seemed to have bugs in this area, and required months of shared work between MIPS (the third party manufacturer used by Tandem) and Tandem to eliminate or work around the final subtle bugs.

Серия NonStop Himalaya K

В 1993 году компания Tandem выпустила серию NonStop Himalaya K, оснащенную более быстрым процессором MIPS R4400, операционной системой NSK, работающей в собственном режиме, и полностью расширяемыми компонентами системы Cyclone. Эти системы по-прежнему использовали Dynabus, Dynabus+ и исходную шину ввода-вывода, которые к тому времени уже достигли предела своих возможностей.

Открытые системные услуги

В 1995 году ядро NonStop было расширено POSIX-совместимой средой, подобной Unix, под названием Open System Services. Оригинальная оболочка Guardian и ABI остались в наличии.

NonStop Himalaya S-серия

В 1997 году компания Tandem представила NonStop Himalaya S Series с новой архитектурой системы верхнего уровня, основанной на соединениях ServerNet. ServerNet пришел на смену устаревшим шинам Dynabus, FOX и I/O. Он был значительно быстрее, более универсален и мог быть расширен за пределы двухсторонней резервности благодаря произвольной структуре соединений типа «точка-точка». Компания Tandem разработала ServerNet для собственных нужд, а затем начала продвигать его использование другими производителями; в итоге ServerNet стал отраслевым стандартом InfiniBand. Все машины серии S использовали процессоры MIPS, включая R4400, R10000, R12000 и R14000. Разработка более поздних и быстрых ядер MIPS финансировалась в основном компанией Silicon Graphics Inc. Однако процессор Pentium Pro от Intel превзошел по производительности RISC-архитектуры, а бизнес SGI в области графики сократился. После R10000 существенные инвестиции в новые серверные ядра MIPS для высокопроизводительных серверов прекратились. Поэтому компании Tandem в конечном итоге пришлось перевести свою линейку продуктов NonStop на другую микропроцессорную архитектуру с использованием конкурентоспособных и быстрых чипов.

Приобретение компанией Compaq, попытка миграции на Alpha

Джимми Трейбиг оставался генеральным директором компании, которую он основал, до экономического спада в 1996 году. Следующим генеральным директором стал Роэль Пайпер, который присоединился к компании в 1996 году в качестве президента и генерального директора. Ребрендинг, направленный на позиционирование компании как полноценной платформы Wintel (Windows/Intel), был выполнен внутренней командой по брендингу и креативу под руководством Рональда Мэя, который впоследствии в 1999 году стал соучредителем Форума брендов Кремниевой долины. Эта концепция оказалась успешной, и вскоре после этого компания была приобретена Compaq. Подразделение серверов Compaq, основанное на архитектуре x86, стало одним из первых внешних пользователей межсоединительной технологии ServerNet/Infiniband, разработанной Tandem. В 1997 году Compaq приобрела компанию Tandem Computers и клиентскую базу NonStop, чтобы сбалансировать сильную ориентацию Compaq на бюджетные ПК. В 1998 году Compaq также приобрела значительно более крупную Digital Equipment Corporation и унаследовала ее серверы DEC Alpha RISC с клиентской базой OpenVMS и Tru64 Unix. В то время Tandem находился на середине пути переноса своей линейки продуктов NonStop с микропроцессоров MIPS R12000 на новые микропроцессоры Itanium Merced от Intel. Этот проект был перезапущен с использованием Alpha в качестве новой целевой платформы для согласования NonStop с другими крупными серверными линейками Compaq. Однако в 2001 году Compaq прекратила все инженерные инвестиции в Alpha в пользу микропроцессоров Itanium, до того как были выпущены какие-либо новые продукты NonStop на базе Alpha.

Приобретение Hewlett-Packard, миграция TNS/E в Itanium

В 2001 году Hewlett Packard также приняла решение отказаться от своих успешных линеек продуктов PA RISC в пользу микропроцессоров Intel Itanium, разработке которых HP способствовала. Вскоре после этого Compaq и HP объявили о плане слияния и консолидации схожих линеек продукции. Это неоднозначное слияние официально состоялось в мае 2002 года. Консолидация была болезненной и разрушила инженерно-ориентированные культуры DEC и "HP Way", однако объединенная компания умела продавать сложные системы предприятиям и получать прибыль, что стало улучшением для сохранившегося подразделения NonStop и его клиентов. В некотором смысле, путь Tandem – от стартапа, вдохновленного HP, до конкурента, вдохновленного HP, а затем до подразделения HP – можно было назвать "возвращением Tandem к истокам", но это определенно был уже не тот HP. Перенос линейки продуктов NonStop на базе NSK с процессоров MIPS на процессоры на базе Itanium был наконец завершен, и она получила название "HP Integrity NonStop Servers". (Этот NSK Integrity NonStop не имел отношения к оригинальной серии "Integrity" от Tandem для Unix.) Поскольку запуск чипов Itanium McKinley с синхронизацией на уровне тактов был невозможен, в машинах Integrity NonStop вместо этого использовались сравнения состояний чипов в более широких временных масштабах, в точках прерываний и в различных точках программной синхронизации между прерываниями. Промежуточные точки синхронизации автоматически активировались при каждой n-й выполненной инструкции ветвления, а также явно вставлялись во все тела длинных циклов всеми компиляторами NonStop. Аппаратная конструкция поддерживала как двойную, так и тройную избыточность, с двумя или тремя физическими микропроцессорами на логический процессор Itanium. Тройная версия продавалась клиентам, которым требовалась максимальная надежность. Этот новый подход к проверке получил название NSAA, NonStop Advanced Architecture. Как и при предыдущем переходе со стековых машин на микропроцессоры MIPS, все клиентское программное обеспечение было перенесено без изменений исходного кода. Исходный код "родного режима", компилируемый непосредственно в машинный код MIPS, был просто перекомпилирован для Itanium. Некоторые старые программы "неродного режима" все еще находились в формате стековой машины TNS. Они были автоматически перенесены на Itanium с использованием методов трансляции объектного кода.

In 2001, Hewlett Packard similarly made the choice to abdicate its successful PA RISC product lines in favor of Intel's Itanium microprocessors that HP helped to design. Shortly thereafter, Compaq and HP announced their plan to merge and consolidate their similar product lines. This contentious merger became official in May 2002. The consolidations were painful and destroyed the DEC and "HP Way" engineer oriented cultures, but the combined company did know how to sell complex systems to enterprises and profit, so it was an improvement for the surviving NonStop division and its customers. In some ways, Tandem's journey from HP inspired start up, to an HP inspired competitor, then to an HP division was "bringing Tandem back to its original roots", but this was definitely not the same HP. The porting of the NSK based NonStop product line from MIPS processors to Itanium based processors was finally completed and was branded as "HP Integrity NonStop Servers". (This NSK Integrity NonStop was unrelated to Tandem's original "Integrity" series for Unix.) Because it was not possible to run Itanium McKinley chips with clock level lock stepping, the Integrity NonStop machines instead used comparisons between chip states at longer time scales, at interrupt points and at various software synchronization points in between interrupts. The intermediate synchronization points were automatically triggered at every n'th taken branch instruction, and were also explicitly inserted into long loop bodies by all NonStop compilers. The machine design supported both dual and triple redundancy, with either two or three physical microprocessors per logical Itanium processor. The triple version was sold to customers needing the utmost reliability. This new checking approach is called NSAA, NonStop Advanced Architecture. As in the earlier migration from stack machines to MIPS microprocessors, all customer software was carried forward without source changes. "Native mode" source code compiled directly to MIPS machine code was simply recompiled for Itanium. Some older "non native" software was still in TNS stack machine form. These were automatically ported onto Itanium via object code translation techniques.

Миграция Itanium на Intel X86

Люди, работающие в Tandem/HP, имеют богатый опыт переноса ядра на новое аппаратное обеспечение. Следующим проектом стал переход с Itanium на архитектуру Intel x86. Он был завершен в 2014 году, когда первые системы поступили в коммерческую продажу. Внедрение отказоустойчивых коммутаторов InfiniBand 4X FDR (Fourteen Data Rate) двойной ширины обеспечило более чем 25-кратное увеличение пропускной способности межсоединений системы для удовлетворения растущих потребностей бизнеса.

Перспективы, прочие

NSK Guardian также послужил основой для операционной системы HP Neoview OS, используемой в системах HP Neoview, разработанных для задач бизнес-аналитики (Business Intelligence) и корпоративных хранилищ данных (Enterprise Data Warehouse). NonStop SQL/MX также стал отправной точкой для Neoview SQL, адаптированного для использования в бизнес-аналитике. Код был портирован и на Linux и лег в основу проекта Apache Trafodion.

Корпоративная культура

Бизнес-план Трейбига включал в себя детальные идеи по формированию корпоративной культуры, отражающей его ценности, такие как оплачиваемые шестинедельные саббатикалы каждые четыре года для всех сотрудников, ежегодный подарок в виде 100 акций компании Tandem всем сотрудникам, еженедельные вечеринки для всех сотрудников, известные как Beer Bust Fridays, и ежемесячный общемировой телекаст в закрытой сети ("Первая пятница") для поддержания сотрудников в курсе событий.