CN112214350B - 一种分布式多模冗余容错系统软件表决方法 - Google Patents

Abstract

一种分布式多模冗余容错系统软件表决方法，包括：1)在N模冗余程序中插入若干个同步点和表决点；2)表决器程序独立运行，为N模冗余任务提供同步和表决服务；3)表决器对每个冗余任务分别维护1个“超时错误”标记和1个“数据错误”标记，且初始时这些标记均为无故障；4)N模冗余任务同步操作中，表决器向冗余任务反馈同步完成报文；5)N模冗余任务表决操作中，表决器进行结果表决，并向冗余任务反馈表决完成报文或表决失败报文。优点是：既可适用于云计算环境下的任务容错，也可用于分布式系统的任务容错；消除了对处理器锁步机制的依赖性，降低了对容错系统的硬件设计要求。

Description

一种分布式多模冗余容错系统软件表决方法

技术领域

本发明涉及计算机技术领域，具体地说是一种分布式多模冗余容错系统软件表决方法。

背景技术

容错计算系统是一种高可靠的计算机系统，在部分硬件或软件资源发生故障的情况下，仍然能够持续地执行计算并输出正确结果，在金融、工业控制、国防装备等领域存在广泛应用。多模冗余系统是容错计算系统的重要实现方式，其使用多个冗余单元模块同时处理相同的数据，然后将处理后的结果输出给表决器，由表决器按照“少数服从多数”的原则进行结果表决和输出。

以三模冗余(Triple Modular Redundance，TMR)容错系统为例，当3个模块的输出相同时，表决器随机选择一个输出；当有两个模块输出相同而另一个模块输出不同时，表决器从相同的两个模块中选择一个输出；当3个模块输出都不同时，表决器产生报警，因此TMR系统可以屏蔽一个模块错误。三模一备(TMR+1)容错系统在TMR系统的基础上增加了一个备份节点，正常情况下由三个模块进行表决输出，当其中一个模块出现错误时，添加备份节点以构成新的TMR系统，因此TMR+1系统可以屏蔽两个模块错误。

无论是TMR还是TMR+1系统，表决过程都是容错计算中至关重要的环节。表决器的实现可以分为硬件和软件两种模式。在硬件表决方式中，由硬件表决逻辑对多个计算模块的输出结果进行比较和输出，该方式具有较高的性能，但是需要在处理器锁步(lockstep)机制的配合下才能正常工作，因此对容错系统的硬件设计提出了较高的要求；此外，采用硬件逻辑进行结果表决时，其灵活性和扩展性也受到了较大的限制，较难满足云计算系统和分布式计算系统在故障诊断、隔离、修复场景下的表决器重构需求，同时也较难满足对表决数据规模的扩展需求。而在软件表决方式中，虽然其具有较高的灵活性，但由于缺少处理器之间的锁步机制，软件表决器较难处理多个计算模块之间的同步问题，处理不善易造成较大的表决延时。

发明内容

本发明提供一种分布式多模冗余容错系统软件表决方法，目的是针对当前云计算系统和分布式系统中的任务级容错需求，至少克服上述一种技术缺陷，消除表决器对处理器锁步机制的依赖以降低容错系统对硬件模块的设计要求，同时实现表决器在灵活性、扩展性和实时性方面的均衡优化。

为了实现上述发明目的，本发明提供了如下技术方案：

一种分布式多模冗余容错系统软件表决方法，包括如下步骤：

1)在N模冗余程序中插入若干个同步点和表决点；

2)表决器程序独立运行，通过特定格式的网络报文通信为N模冗余任务提供同步和表决服务；

3)表决器对每个冗余任务分别维护1个“超时错误”标记和1个“数据错误”标记，且初始时这些标记均为无故障；

4)在N模冗余任务同步操作中，表决器根据其所维护的“超时错误”标记以及当前接收同步请求报文的超时情况，向冗余任务反馈同步完成报文；

5)在N模冗余任务表决操作中，表决器根据其所维护的“超时错误”标记、“数据错误”标记以及当前接收表决请求报文的超时情况，按照“少数服从多数的原则”进行结果表决，并向冗余任务反馈表决完成报文或表决失败报文。

步骤2)中，一个表决器对应N个冗余任务，这N个冗余任务执行相同的程序；表决器通过任务的ID区分不同冗余任务；

步骤2)中，网络报文包含报文类型、任务标识、数据长度、待表决数据四个字段；

报文类型的取值包括同步请求、表决请求、操作完成和操作失败四类；

同步请求和表决请求分别用于冗余任务向表决器请求同步和表决服务；操作完成和操作失败分别用于表决器向冗余任务回复该同步/表决操作的结果为成功和失败。

优选地,任务标识用于区分不同的冗余任务；对于TMR容错，任务标识的取指范围为{0,1,2}；对于TMR+1容错，任务标识的取指范围为{0,1,2,3}。

数据长度表明了该报文中所包含的待表决数据的字节长度；报文类型为同步请求的报文，数据长度为0。

待表决数据包含了由各个冗余任务产生的待表决的数据，其数据长度由Length字段指定；报文类型为同步请求的报文，不包含待表决数据。

优选地，步骤4)中N模冗余任务同步的步骤包括：

S1、表决器进行初始化操作，将所有任务的“超时错误”标记设置为未标记状态；

S2、表决器等待接收冗余任务端发送的同步请求报文；

S3、表决器接收到第1个请求报文后，设置接收时间门限并启动内部计时器；

S4、表决器继续等待接收冗余任务端发送的同步请求报文；

S5、若在接收时间门限内，表决器接收到所有未标记为“超时错误”的冗余任务发送的请求报文，则进入步骤S7；若计时器发生超时则进入步骤S6；否则进入步骤S4继续等待接收同步请求报文；

S6、表决器将未接收到其同步请求的冗余任务标记为“超时错误”，在后续同步和表决操作中将不再接收其请求报文，然后进入步骤S7；

S7、表决器对已接收到其同步请求报文的冗余任务回复同步完成报文，完成此次同步操作，然后进入步骤S2等待下一次同步操作。

优选地，步骤5)中N模冗余任务表决的步骤包括

S1、表决器进行初始化操作，将所有任务的“超时错误”标记和“数据错误”标记设置为未标记状态；

S2、表决器等待接收冗余任务端发送的表决请求报文；

S3、表决器接收到第1个请求报文后，设置接收时间门限并启动内部计时器；

S4、表决器继续等待接收冗余任务端发送的表决请求报文；

S5、若在接收时间门限内，表决器接收到所有未标记为“超时错误”的冗余任务发送的请求报文，则进入步骤S7；若计时器发生超时则进入步骤S6；否则进入步骤S4继续等待接收表决请求报文；

S6、表决器将未接收到其表决请求的冗余任务标记为“超时错误”，在后续同步和表决操作中将不再接收其请求报文，然后进入步骤S7；

S7、表决器根据“数据错误”标记对已接收到的待表决数据进行筛选，仅未被标记为“数据错误”的冗余任务所发送的待表决数据为有效数据；

S8、表决器按照“少数服从多数”原则对有效数据进行表决，生成和输出表决结果；

S9、表决器将此次表决结果与接收到的各冗余任务的待表决数据进行对比；若某一冗余任务的待表决数据与表决结果一致，则清除其“数据错误”标记，并向其反馈表决完成报文；若某一冗余任务的待表决数据与表决结果不一致，则设置其“数据错误”标记，并向其反馈表决失败报文；然后进入步骤S2等待下一次表决操作。

本发明的一种分布式多模冗余容错系统软件表决方法，其优点是：

1、采用软件收发网络报文实现同步与表决过程中的数据传输，表决数据规模可扩展并具有较强的通用性和灵活性，既可适用于云计算环境下的任务容错，也可用于分布式系统的任务容错；

2、本发明消除了对处理器锁步机制的依赖性，降低了对容错系统的硬件设计要求；

3、本发明采用“超时错误”标记减少了对故障冗余任务的不必要等待，优化了同步和表决时延；

4、本发明采用“数据错误”标记实现瞬态故障的屏蔽和恢复，待故障任务从故障状态恢复且其“数据错误”标记被清除后可继续正常参与表决。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1为本发明的分布式多模冗余容错系统软件表决架构图；

图2为本发明中N模冗余任务同步操作的流程图；

图3为本发明中N模冗余任务表决操作的流程图。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

本发明一种分布式多模冗余容错系统软件表决方法，包括如下步骤：

1)在N模冗余程序中插入若干个同步点和表决点；

具体地，同步点仅在时间上对N个任务的执行进行同步；表决点除了在时间上同步N个任务之外，还对这N个任务的运算结果进行表决；

2)表决器程序独立运行，通过特定格式的网络报文通信为N模冗余任务提供同步和表决服务；

一个表决器对应N个冗余任务，这N个冗余任务执行相同的程序。

而用于容错表决和同步的通信报文在格式上包含报文类型(Type)、任务标识(ID)、数据长度(Length)、待表决数据(Result)四个字段；

其中，报文类型(Type)的取值包括同步请求(sync)、表决请求(vote)、操作完成(cplt)和操作失败(fail)四类；同步请求(sync)和表决请求(vote)分别用于冗余任务向表决器请求同步和表决服务；操作完成(cplt)和操作失败(fail)分别用于表决器向冗余任务回复该同步/表决操作的结果为成功和失败；

任务标识(ID)用于区分不同的冗余任务；对于TMR容错，ID的取指范围为{0,1,2}；对于TMR+1容错，ID的取指范围为{0,1,2,3}；

数据长度(Length)表明了该报文中所包含的待表决数据的字节长度；报文类型(Type)为同步请求(sync)的报文，数据长度(Length)为0；

待表决数据(Result)包含了由各个冗余任务产生的待表决的数据，其数据长度由Length字段指定；报文类型(Type)为同步请求(sync)的报文，不包含待表决数据(Result)。

在具体实施例中，如有4个冗余任务，即ID＝0/1/2/3；

那么其网络报文通信的特定格式图可如下所示：

N模冗余任务同步操作中：

Type＝vote/sync

ID＝0/1/2/3

Length＝n

Result＝XXX

N模冗余任务表决操作中：

Type＝cplt/fail

ID＝0/1/2/3

Length＝0

3)表决器对每个冗余任务分别维护1个“超时错误”标记和1个“数据错误”标记，且初始时这些标记均为无故障；

4)在N模冗余任务同步操作中，表决器根据其所维护的“超时错误”标记以及当前接收同步请求报文的超时情况，向冗余任务反馈同步完成报文；

根据图2所示：在该步骤中，具体实施可以分为如下细节：

S1、表决器进行初始化操作，将所有任务的“超时错误”标记设置为未标记状态；

S2、表决器等待接收冗余任务端发送的同步请求报文；

S3、表决器接收到第1个请求报文后，设置接收时间门限并启动内部计时器；

S4、表决器继续等待接收冗余任务端发送的同步请求报文；

S5、若在接收时间门限内，表决器接收到所有未标记为“超时错误”的冗余任务发送的请求报文，则进入步骤S7；若计时器发生超时则进入步骤S6；否则进入步骤S4继续等待接收同步请求报文；

S6、表决器将未接收到其同步请求的冗余任务标记为“超时错误”，在后续同步和表决操作中将不再接收其请求报文，然后进入步骤S7；

S7、表决器对已接收到其同步请求报文的冗余任务回复同步完成报文，完成此次同步操作，然后进入步骤S2等待下一次同步操作。

5)在N模冗余任务表决操作中，表决器根据其所维护的“超时错误”标记、“数据错误”标记以及当前接收表决请求报文的超时情况，按照“少数服从多数的原则”进行结果表决，并向冗余任务反馈表决完成报文或表决失败报文。

根据图3所示：在该步骤中，具体实施可以分为如下细节：

S1、表决器进行初始化操作，将所有任务的“超时错误”标记和“数据错误”标记设置为未标记状态；

S2、表决器等待接收冗余任务端发送的表决请求报文；

S3、表决器接收到第1个请求报文后，设置接收时间门限并启动内部计时器；

S4、表决器继续等待接收冗余任务端发送的表决请求报文；

S5、若在接收时间门限内，表决器接收到所有未标记为“超时错误”的冗余任务发送的请求报文，则进入步骤S7；若计时器发生超时则进入步骤S6；否则进入步骤S4继续等待接收表决请求报文；

S6、表决器将未接收到其表决请求的冗余任务标记为“超时错误”，在后续同步和表决操作中将不再接收其请求报文，然后进入步骤S7；

S7、表决器根据“数据错误”标记对已接收到的待表决数据进行筛选，仅未被标记为“数据错误”的冗余任务所发送的待表决数据为有效数据；

S8、表决器按照“少数服从多数”原则对有效数据进行表决，生成和输出表决结果；

S9、表决器将此次表决结果与接收到的各冗余任务的待表决数据进行对比；若某一冗余任务的待表决数据与表决结果一致，则清除其“数据错误”标记，并向其反馈表决完成报文；若某一冗余任务的待表决数据与表决结果不一致，则设置其“数据错误”标记，并向其反馈表决失败报文；然后进入步骤S2等待下一次表决操作。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (9)

1.一种分布式多模冗余容错系统软件表决方法，其特征在于包括如下步骤：

1)在N模冗余程序中插入若干个同步点和表决点；

2)表决器程序独立运行，通过特定格式的网络报文通信为N模冗余任务提供同步和表决服务；

3)表决器对每个冗余任务分别维护1个“超时错误”标记和1个“数据错误”标记，且初始时这些标记均为无故障；

4)在N模冗余任务同步操作中，表决器根据其所维护的“超时错误”标记以及当前接收同步请求报文的超时情况，向冗余任务反馈同步完成报文；

5)在N模冗余任务表决操作中，表决器根据其所维护的“超时错误”标记、“数据错误”标记以及当前接收表决请求报文的超时情况，按照“少数服从多数的原则”进行结果表决，并向冗余任务反馈表决完成报文或表决失败报文；

步骤5)中N模冗余任务表决的步骤包括：

S1、表决器进行初始化操作，将所有任务的“超时错误”标记和“数据错误”标记设置为未标记状态；

S2、表决器等待接收冗余任务端发送的表决请求报文；

S3、表决器接收到第1个请求报文后，设置接收时间门限并启动内部计时器；

S4、表决器继续等待接收冗余任务端发送的表决请求报文；

S5、若在接收时间门限内，表决器接收到所有未标记为“超时错误”的冗余任务发送的请求报文，则进入步骤S7；若计时器发生超时则进入步骤S6；否则进入步骤S4继续等待接收表决请求报文；

S6、表决器将未接收到其表决请求的冗余任务标记为“超时错误”，在后续同步和表决操作中将不再接收其请求报文，然后进入步骤S7；

S7、表决器根据“数据错误”标记对已接收到的待表决数据进行筛选，仅未被标记为“数据错误”的冗余任务所发送的待表决数据为有效数据；

S8、表决器按照“少数服从多数”原则对有效数据进行表决，生成和输出表决结果；

S9、表决器将此次表决结果与接收到的各冗余任务的待表决数据进行对比；若某一冗余任务的待表决数据与表决结果一致，则清除其“数据错误”标记，并向其反馈表决完成报文；若某一冗余任务的待表决数据与表决结果不一致，则设置其“数据错误”标记，并向其反馈表决失败报文；然后进入步骤S2等待下一次表决操作。

2.如权利要求1所述的一种分布式多模冗余容错系统软件表决方法，其特征在于：步骤2)中，一个表决器对应N个冗余任务，这N个冗余任务执行相同的程序。

3.如权利要求1所述的一种分布式多模冗余容错系统软件表决方法，其特征在于：步骤2)中，表决器通过任务的ID区分不同冗余任务。

4.如权利要求1所述的一种分布式多模冗余容错系统软件表决方法，其特征在于：步骤2)中，网络报文包含报文类型、任务标识、数据长度、待表决数据四个字段。

5.如权利要求4所述的一种分布式多模冗余容错系统软件表决方法，其特征在于：报文类型的取值包括同步请求、表决请求、操作完成和操作失败四类；

同步请求和表决请求分别用于冗余任务向表决器请求同步和表决服务；

操作完成和操作失败分别用于表决器向冗余任务回复该同步/表决操作的结果为成功和失败。

6.如权利要求4所述的一种分布式多模冗余容错系统软件表决方法，其特征在于：任务标识用于区分不同的冗余任务；对于TMR容错，任务标示的取指范围为{0,1,2}；对于TMR+1容错，任务标示的取指范围为{0,1,2,3}。

7.如权利要求4所述的一种分布式多模冗余容错系统软件表决方法，其特征在于：数据长度表明了该报文中所包含的待表决数据的字节长度；报文类型为同步请求的报文，数据长度为0。

8.如权利要求4所述的一种分布式多模冗余容错系统软件表决方法，其特征在于：待表决数据包含了由各个冗余任务产生的待表决的数据，其数据长度由Length字段指定；报文类型为同步请求的报文，不包含待表决数据。

9.如权利要求1所述的一种分布式多模冗余容错系统软件表决方法，其特征在于：步骤4)中N模冗余任务同步的步骤包括：

S1、表决器进行初始化操作，将所有任务的“超时错误”标记设置为未标记状态；

S2、表决器等待接收冗余任务端发送的同步请求报文；

S3、表决器接收到第1个请求报文后，设置接收时间门限并启动内部计时器；

S4、表决器继续等待接收冗余任务端发送的同步请求报文；

S5、若在接收时间门限内，表决器接收到所有未标记为“超时错误”的冗余任务发送的请求报文，则进入步骤S7；若计时器发生超时则进入步骤S6；否则进入步骤S4继续等待接收同步请求报文；

S6、表决器将未接收到其同步请求的冗余任务标记为“超时错误”，在后续同步和表决操作中将不再接收其请求报文，然后进入步骤S7；

S7、表决器对已接收到其同步请求报文的冗余任务回复同步完成报文，完成此次同步操作，然后进入步骤S2等待下一次同步操作。