Data integrity and availability is assured by preventing a node of a distributed, clustered system from accessing shared data in the case of a failure of the node or communication links with the node. The node is prevented from accessing the shared data in the presence of such a failure by ensuring that such a failure is detected in less time than a secondary node would allow user I/O activities to commence after reconfiguration. The prompt detection of failure is assured by periodically determining which configuration of the current cluster each node believes itself to be a member of Each node maintains a sequence number which identifies the current configuration of the cluster. Periodically, each node exchanges its sequence number with all other nodes of the cluster. If a particular node detects that it believes itself to be a member of a preceding configuration to that to which another node belongs, the node determines that the cluster has been reconfigured since the node last performed a reconfiguration. Therefore, the node must no longer be a member of the cluster. The node then refrains from accessing shared data. In addition, if a node suspects a failure in the cluster, the node broadcasts a reconfigure message to all other nodes of the cluster through a public network. Since the messages are sent through a public network, failure of the private communications links between the nodes does not prevent receipt of the reconfigure messages.

Datenintegrität und Verwendbarkeit wird versichert, indem man einen Nullpunkt eines, gesammelten Verbundsystems am Zugänglich machen der geteilten Daten im Fall von einem Ausfall des Nullpunktes oder der Kommunikationsverbindungen mit dem Nullpunkt verhindert. Der Nullpunkt wird am Zugänglich machen der geteilten Daten in Anwesenheit solch eines Ausfalls verhindert, indem man sicherstellt, daß solch ein Ausfall in weniger Zeit ermittelt ist, als ein Sekundärnullpunkt Tätigkeiten des Benutzers I/O nach Neukonfiguration würde beginnen lassen. Die sofortige Abfragung des Ausfalls wird versichert, indem man regelmäßig feststellt, welcher Konfiguration des gegenwärtigen Blockes jeder Nullpunkt glaubt, daß selbst zu sein ein Mitglied jedes Nullpunktes eine Folgenummer beibehält, welches die gegenwärtige Konfiguration des Blockes kennzeichnet. Regelmäßig tauscht jeder Nullpunkt seine Folgenummer mit allen weiteren Nullpunkten des Blockes aus. Wenn ein bestimmter Nullpunkt ermittelt, daß er sich glaubt, um ein Mitglied einer vorhergehenden Konfiguration zu dem zu sein, dem ein anderer Nullpunkt gehört, stellt der Nullpunkt fest, daß der Block rekonfiguriert worden ist, seit der Nullpunkt zuletzt eine Neukonfiguration durchführte. Folglich muß der Nullpunkt ein Mitglied des Blockes nicht mehr sein. Der Nullpunkt nimmt dann das Zugänglich machen der geteilten Daten. Zusätzlich wenn ein Nullpunkt einen Ausfall im Block vermutet, überträgt der Nullpunkt eine Rekonfigurierung Anzeige zu allen weiteren Nullpunkten des Blockes durch ein allgemeines Netz. Da die Anzeigen durch ein allgemeines Netz gesendet werden, verhindert Ausfall der privaten Kommunikationsverbindungen zwischen den Nullpunkten nicht den Empfang der Rekonfigurierung Anzeigen.