Алгоритм Деккера

Дейкстра в [DIJK65] приводит алгоритм для взаимных исключений для двух процессов, предложенный голландским математиком Деккером (Dekker). Следуя Дейкстре, мы разработаем этот алгоритм постадийно. Главное преимущество такого подхода — в демонстрации множества узких мест и возможных ошибок при создании параллельно работающих программ.

Первая попытка

Как упоминалось ранее, любая попытка взаимного исключения должна опираться на некий фундаментальный механизм исключений аппаратного обеспечения. Наиболее общим механизмом может служить ограничение, согласно которому к некоторой ячейке памяти в определенный момент времени может осуществляться только одно обращение. Воспользовавшись этим ограничением, зарезервируем глобальную ячейку памяти, которую назовем turn. Процесс (Р0 или Р1), который намерен выполнить критический раздел, сначала проверяет содержимое ячейки памяти turn. Если значение turn равно номеру процесса, то процесс может войти в критический раздел; в противном случае он должен ждать, постоянно опрашивая значение turn до тех пор, пока оно не позволит процессу войти в критический раздел. Такая процедура известна как пережидание занятости (busy waiting), поскольку процесс вынужден, по сути, не делать ничего полезного до тех пор, пока не получит разрешение на вход в критический раздел. Более того, он постоянно опрашивает значение переменной и тем самым потребляет процессорное время.
После того как процесс, получивший право на вход в критический раздел, выходит из него по завершении работы, он должен обновить значение turn, присвоив ему номер другого процесса.

Говоря формально, имеется глобальная переменная

int turn = 0;

На рис. 5.1,а показана программа для двух процессов. Это решение гарантирует корректную работу взаимоисключения, однако имеет два недостатка. Во-первых, при входе в критический раздел процессы должны строго чередоваться; тем самым скорость работы диктуется более медленным из двух процессов. Если процессу Р0 вход в критический раздел требуется раз в час, а процессору Р1 — 1000 раз в час, то темп работы Р1 будет таким же, как и у процесса Р0. Во-вторых, гораздо более серьезная ситуация возникает в случае сбоя одного из процессов — при этом второй процесс оказывается заблокирован (при этом неважно, происходит ли сбой процесса в критическом разделе или нет).
Описанная конструкция представляет собой сопрограмму (coroutine). Сопрограммы разрабатываются таким образом, чтобы быть способными передавать управление друг другу. Однако хотя эта технология структурирования и весьма полезна для отдельно взятого процесса, для поддержки параллельных вычислений она не подходит.

Рис. 5.1. Попытки взаимных исключений

Вторая попытка

Проблема при первой попытке заключается в том, что в ней хранилось имя процесса, который имел право входа в критический раздел, в то время как в действительности нам требуется информация об обоих процессах. По сути, каждый процесс должен иметь собственный ключ к критическому разделу, так что если даже произойдет сбой одного процесса, второй все равно сможет получить доступ к критическому разделу. Для удовлетворения этого условия определен логический вектор flag, в котором flag[0] соответствует процессу Р0, a flag[l] — процессу P1. Каждый процесс может ознакомиться с флагом другого процесса, но не может его изменить. Когда процессу требуется войти в критический раздел, он периодически проверяет состояние флага другого процесса до тех пор, пока тот не примет значение false, указывающее, что другой процесс покинул критический раздел. Процесс немедленно устанавливает значение своего собственного флага равным true и входит в критический раздел. По выходе из критического раздела процесс сбрасывает свой флаг, присваивая ему значение true.
Теперь разделяемые переменные выглядят следующим образом:

enum boolean { false = 0, true = 1; };
boolean flag[2] = { false, false };

Этот алгоритм показан на рис. 5.1,b. Теперь если произойдет сбой одного из процессов вне критического раздела (включая код установки значения флага), то второй процесс заблокирован не будет. Этот второй процесс в таком случае сможет входить в критический раздел всякий раз, как только это потребуется, поскольку флаг другого процесса всегда будет иметь значение false. Однако если сбой произойдет в критическом разделе (или перед входом в критический раздел, но после установки значения флага равным true), то другой процесс окажется навсегда заблокированным.

Описанное решение, по сути, оказывается еще хуже предложенного ранее, поскольку даже не гарантирует взаимного исключения. Рассмотрим такую последовательность действий:

Р0 выполняет инструкцию while и находит, что значение flag[l] равно false;
P1 выполняет инструкцию while и находит, что значение flag[0] равно false;
Р0 устанавливает значение flag [0] равным true и входит в критический раздел;
Р1 устанавливает значение flag [1] равным true и входит в критический раздел.

Поскольку после этого оба процесса одновременно оказываются в критическом разделе, программа некорректна. Проблема заключается в том, что предложенное решение не является независимым от относительной скорости выполнения процессов.

Третья попытка

Поскольку процесс может изменить свое состояние после того, как другой процесс ознакомится с ним, но до того, как этот другой процесс войдет в критический раздел, вторая попытка также оказалась неудачной. Возможно, нам удастся выправить ситуацию внесением в код небольшого изменения, показанного на рис. 5.1,в.

Как и ранее, если происходит сбой одного процесса в критическом разделе, включая код установки значения флага, то второй процесс окажется заблокированным (и соответственно, если сбой произойдет вне критического раздела, то второй процесс блокирован не будет).

Далее проверим гарантированность взаимоисключения, проследив за процессом Р0. После того как процесс Р0 установит flag[0] равным true, P1 не может войти в критический раздел до тех пор, пока туда не войдет и затем не покинет его процесс Р0. Может оказаться так, что процесс Р1 уже находится в критическом разделе в тот момент, когда Р0 устанавливает свой флаг. В этом случае процесс Р0 будет заблокирован инструкцией while до тех пор, пока Р1 не покинет критический раздел. Аналогичные действия происходят при рассмотрении процесса Р1.
Тем самым гарантируется взаимное исключение; однако третья попытка порождает еще одну проблему. Если оба процесса установят значения флагов равными true до того, как один из них выполнит инструкцию while, то каждый из процессов будет считать, что другой находится в критическом разделе, и тем самым осуществится взаимоблокировка.

Четвертая попытка

В третьей попытке установка процессом флага состояния выполнялась без учета информации о состоянии другого процесса. Взаимоблокировка возникала по той причине, что каждый процесс мог добиваться своих прав на вход в критический раздел и отсутствовала возможность отступить назад из имеющегося положения. Можно попытаться исправить ситуацию, делая процессы более "уступчивыми": каждый процесс, устанавливая свой флаг равным true, указывает о своем желании войти в критический раздел, но готов отложить свой вход, уступая другому процессу, как показано на рис. 5.1,г.

Это уже совсем близко к корректному решению, хотя все еще и неверно, Взаимоисключение гарантируется (в чем можно убедиться, применяя те же рассуждения, что и при третьей попытке), однако рассмотрим возможную последовательность событий:

Р0 устанавливает значение flag[0] равным true;
P1 устанавливает значение flag[l] равным true;
Р0 проверяет f lag [ 1 ];
P1 проверяет flag [0];
Р0 устанавливает значение flag[0] равным false;
P1 устанавливает значение flag[l] равным false;
Р1 устанавливает значение flag[0] равным true;
P1 устанавливает значение flag[l] равным true.

Эту последовательность можно продолжать до бесконечности и ни один из процессов до бесконечности так и не сможет войти в критический раздел. Строго говоря, это не взаимоблокировка, так как любое изменение относительной скорости двух процессов разорвет замкнутый круг и позволит одному из процессов войти в критический раздел. Назовем такую ситуацию неустойчивой взаимоблокировкой (livelock). Вспомним, что обычная взаимоблокировка осуществляется, когда несколько процессов желают войти в критический раздел, но ни одному из них это не удается. В случае неустойчивой взаимоблокировки существует приводящая к успеху последовательность действий, но, вместе с тем, возможна и такая (такие), при которой ни один из процессов несможет войти в критический раздел.
Хотя описанный сценарий маловероятен и вряд ли такая последовательность продлится сколь-нибудь долго, тем не менее теоретически такая возможность имеется. Поэтому мы вынуждены отвергнуть как неудачную и четвертую попытку.

Правильное решение

У нас должна быть возможность следить за состоянием обоих процессов, что обеспечивается массивом flag. Но, как показала четвертая попытка, этого недостаточно. Мы должны навязать определенный порядок действий двум процессам, чтобы избежать проблемы "взаимной вежливости", с которой только что столкнулись. С этой целью можно использовать переменную turn из первой попытки. В нашем случае эта переменная указывает, какой из процессов имеет право на вход в критический раздел.

Мы можем описать это решение следующим образом. Когда процесс Р0 намерен войти в критический раздел, он устанавливает свой флаг равным true,-а затем проверяет состояние флага процесса Р1. Если он равен false, Р0 может немедленно входить в критический раздел; в противном случае Р0 обращается к переменной turn. Если turn = 0, это означает, что сейчас — очередь процесса Р0 на вход в критический раздел, и Р0 периодически проверяет состояние флага процесса Р1. Этот процесс, в свою очередь, в некоторый момент времени обнаруживает, что сейчас не его очередь для входа в критический раздел, и устанавливает свой флаг равным false, давая возможность процессу Р0 войти в критический раздел. После того как Р0 выйдет из критического раздела, он установит свой флаг равным false для освобождения критического раздела и присвоит переменной turn значение 1 для передачи прав на вход в критический раздел процессу Р1.

Алгоритм Деккера приведен в листинге 5.2; его доказательство оставляется читателю в качестве упражнения (см. задачу 5.6).

Листинг 5.2. Алгоритм Деккера

boolean flag [2] ;
int turn;
void Р0 ()
{
while(true)
{
flag[0] = true;
while(flag[l])
if (turn == 1)
{
flag[0] = false;
while(turn == 1)
/* Ничего не делать */;
flag[0] = true;
}
/* Критический раздел */;
turn = 1;
flag[0] = false;
/* Остальной код */;
}
}
void P1()
{
while(true)
{
flag[l] = true;
while(flag[0])
if (turn == 0)
{
flag[l] = false;
while(turn == 0)
/* Ничего не делать */;
flag[l] = true;
}
/* Критический раздел */;
turn = 0;
flagfl] = false;
/* Остальной код */;
}
}
void main()
{
flag[0] = false;
flagfl] = false;
turn = 1;
parbegin(PO,PI);