用于在分布式實(shí)時(shí)系統(tǒng)形成軟件故障包容單元的方法和設(shè)備的制作方法
【專利摘要】本發(fā)明涉及用于限制在分布式實(shí)時(shí)系統(tǒng)中軟件錯(cuò)誤的影響的方法，其中同時(shí)執(zhí)行多個(gè)分布式應(yīng)用程式系統(tǒng)，其中各應(yīng)用程式系統(tǒng)形成被封裝的軟件故障包容單元(SWFCU)，其中軟件故障包容單元包含分布式應(yīng)用程式系統(tǒng)的軟件，所述軟件在一個(gè)或多個(gè)虛擬電腦節(jié)點(diǎn)和一個(gè)或多個(gè)專用電腦節(jié)點(diǎn)執(zhí)行，并通過一個(gè)或多個(gè)被封裝的虛擬通信系統(tǒng)交換訊息，其中通信系統(tǒng)包括通信控制器、切換單元和實(shí)體連接，其中某軟件故障包容單元的軟件錯(cuò)誤的直接影響保持限于該軟件故障包容單元。
【專利說明】用于在分布式實(shí)時(shí)系統(tǒng)形成軟件故障包容單元的方法和設(shè) 備

【技術(shù)領(lǐng)域】
[0001] 本發(fā)明涉及用于在同時(shí)執(zhí)行多個(gè)分布式應(yīng)用程式系統(tǒng)的分布式實(shí)時(shí)系統(tǒng)中限制 軟件錯(cuò)誤的影響的方法。
[0002] 本發(fā)明亦涉及用于實(shí)行這樣的方法的用于實(shí)體電腦節(jié)點(diǎn)的通信控制器。
[0003] 本發(fā)明額外地涉及用于實(shí)行這樣的方法的用于個(gè)人電腦的通信控制器。
[0004] 本發(fā)明屬于電腦工程領(lǐng)域，其描述了新穎的方法和其輔助硬件，如可在分布式實(shí) 時(shí)電腦系統(tǒng)軟件故障包容單元（SWFCU)內(nèi)形成的輔助硬件，從而限制任何發(fā)生的軟件錯(cuò)誤 的后果到清楚劃定的區(qū)域。

【背景技術(shù)】
[0005] 在很多實(shí)時(shí)應(yīng)用程式中，需執(zhí)行不同重要性的工作。在聯(lián)合電腦體系結(jié)構(gòu)中，這些 工作各在分布式硬件系統(tǒng)上進(jìn)行，其帶有專用電腦節(jié)點(diǎn)和專用通信系統(tǒng)，從而使低重要性 類別的系統(tǒng)的錯(cuò)誤不能影響較高重要性類別的系統(tǒng)。此解決做法使用大量電腦、高的通信 用布線支出，因此導(dǎo)致高成本。
[0006] 從性能來看，更高的集成密度所達(dá)致電腦硬件日益上升的效率使能夠集成很多不 同重要性的應(yīng)用程式系統(tǒng)到單一高效分布式電腦系統(tǒng)。然而，只有當(dāng)分布式應(yīng)用程式系統(tǒng) 的應(yīng)用程式軟件可由系統(tǒng)體系結(jié)構(gòu)和認(rèn)證系統(tǒng)軟件封裝，使得能確保在應(yīng)用程式系統(tǒng)中的 任何軟件錯(cuò)誤無論在時(shí)間上或數(shù)值上均無法影響另一應(yīng)用程式系統(tǒng)的功能，這才是可行 的。


【發(fā)明內(nèi)容】

[0007] 本發(fā)明的目的是公開用于在分布式電腦系統(tǒng)內(nèi)提供分布式應(yīng)用程式系統(tǒng)的空間 和時(shí)間上封裝的新方法，使一些不同重要性的分布式應(yīng)用程式系統(tǒng)能集成于單一分布式電 腦系統(tǒng)上。
[0008] 此目的以引言中所述的那類方法來實(shí)現(xiàn)，其中根據(jù)本發(fā)明，各應(yīng)用程式系統(tǒng)形成 被封裝的軟件故障包容單元（SWF⑶)，其中軟件故障包容單元包含分布式應(yīng)用程式系統(tǒng)的 軟件，所述軟件在一個(gè)或多個(gè)虛擬電腦節(jié)點(diǎn)和一個(gè)或多個(gè)專用電腦節(jié)點(diǎn)執(zhí)行，并通過一個(gè) 或多個(gè)被封裝的虛擬通信系統(tǒng)交換訊息，其中通信系統(tǒng)包括通信控制器、切換單元和實(shí)體 連接，其中某軟件故障包容單元的軟件錯(cuò)誤的直接影響保持限于該軟件故障包容單元。
[0009] 因此，如在分布式電腦體系結(jié)構(gòu)提供一些應(yīng)用程式系統(tǒng)，區(qū)分以下類型的電腦 節(jié)點(diǎn)為有利的：實(shí)體電腦節(jié)點(diǎn)為帶有中央處理機(jī)、存儲(chǔ)和通信接口的電腦，例如個(gè)人電 腦。共用電腦節(jié)點(diǎn)為在其上提供一些應(yīng)用程式系統(tǒng)的實(shí)體電腦節(jié)點(diǎn)，例如通過管理程序 (hypervisor)或相應(yīng)的如由標(biāo)準(zhǔn)ARINC 653 [6]所限定的分區(qū)操作系統(tǒng)裝有一些虛擬機(jī)的 個(gè)人電腦。管理程序在空間上和時(shí)間上把每個(gè)虛擬機(jī)相對(duì)于其它虛擬機(jī)封裝。虛擬電腦節(jié) 點(diǎn)為共用電腦節(jié)點(diǎn)的虛擬機(jī)的其中之一，包括相關(guān)的通信控制器，其封裝虛擬機(jī)的訊息。專 用電腦節(jié)點(diǎn)為實(shí)體電腦節(jié)點(diǎn)（包括通信控制器），其只提供單一應(yīng)用程式系統(tǒng)。
[0010] 實(shí)體通信系統(tǒng)容許實(shí)體電腦節(jié)點(diǎn)的通信控制器之間的訊息傳輸。實(shí)體通信系統(tǒng)包 括安裝在電腦中的通信控制器、實(shí)體線路和切換單元。一些分區(qū)，即虛擬通信系統(tǒng)，可通過 時(shí)間控制被布置于實(shí)體通信系統(tǒng)上。分區(qū)在發(fā)送訊息時(shí)處于活躍狀態(tài)。因此，當(dāng)一些分區(qū) 在指定的時(shí)間間隔內(nèi)為活躍，實(shí)體通信系統(tǒng)控制把哪個(gè)訊息在哪個(gè)時(shí)間經(jīng)實(shí)體線路發(fā)送到 哪個(gè)分區(qū)。
[0011] 當(dāng)對(duì)于某分區(qū)的通信行為的時(shí)間保證不能被同時(shí)活躍的其他分區(qū)的行為所影響 時(shí)，分區(qū)為被封裝的。當(dāng)實(shí)體通信系統(tǒng)為時(shí)間控制通信系統(tǒng)時(shí)，則存在著被封裝的分區(qū)。由 于用于數(shù)據(jù)傳輸?shù)闹芷谛詴r(shí)段和因而的帶寬在時(shí)間控制通信系統(tǒng)中被預(yù)先指定給個(gè)別參 與者的，布置于實(shí)體通信系統(tǒng)上的分區(qū)的相互時(shí)間影響被排除。
[0012] 訊息以預(yù)先限定的方式被指定所謂的虛擬連結(jié)，其中虛擬連結(jié)〈標(biāo)識(shí)〉指定虛擬 連結(jié)的名稱。虛擬連結(jié)有單一個(gè)預(yù)先限定的發(fā)送器和預(yù)先限定的一組接收器。訊息可以時(shí) 間觸發(fā)或限制速率的方式或按照盡力而為的原則被發(fā)送。時(shí)間觸發(fā)意指訊息在同步時(shí)間的 基礎(chǔ)上于預(yù)先限定時(shí)刻發(fā)送。限制速率意指在一個(gè)虛擬連結(jié)的兩個(gè)訊息之間遵守預(yù)先限定 的最小間隔。盡力而為意指不能保證訊息的發(fā)送[4]。
[0013] 在分區(qū)中，訊息可從一個(gè)或多個(gè)虛擬連結(jié)被發(fā)送。根據(jù)其訊息通信的類別，我們提 及的是時(shí)間觸發(fā)分區(qū)、限制速率分區(qū)，或盡力而為分區(qū)。此外，按照多個(gè)原則發(fā)送訊息的分 區(qū)為可能的；這樣的分區(qū)稱為混合分區(qū)。在下文中，通信系統(tǒng)內(nèi)被識(shí)別的通信信道將被命名 為：虛擬連結(jié)〈標(biāo)識(shí)〉，其中〈標(biāo)識(shí)〉指定虛擬連結(jié)的名稱。在分區(qū)內(nèi)的一些虛擬連結(jié)可為 同時(shí)活躍。
[0014] 被提供作為時(shí)間控制通信系統(tǒng)和在其中一個(gè)或多個(gè)限制速率分區(qū)和/或盡力而 為分區(qū)和/或混合分區(qū)為活躍的實(shí)體通信系統(tǒng)沒有指定時(shí)段給限制速率/盡力而為/混合 分區(qū)的各個(gè)別訊息，而僅是指定時(shí)段給對(duì)應(yīng)的分區(qū)的所有訊息的總計(jì)。因而確保不同分區(qū) 的訊息在時(shí)間上不能受影響。
[0015] 在電腦可靠性的領(lǐng)域中，故障包容單元（F⑶）一詞有關(guān)鍵的重要性[4，136頁]。 故障包容單元被理解為意指封裝的子系統(tǒng)總體，其中該總體的一個(gè)子系統(tǒng)產(chǎn)生錯(cuò)誤的直接 影響被限于該指定總體。應(yīng)用程式系統(tǒng)形成這樣的總體，其可包括以下的子系統(tǒng)：（i)在一 個(gè)或多個(gè)虛擬電腦節(jié)點(diǎn)上運(yùn)行的軟件，（ii)在一個(gè)或多個(gè)專用電腦節(jié)點(diǎn)上運(yùn)行的軟件，以 及（iii) 一個(gè)或多個(gè)封裝的虛擬通信系統(tǒng)，其執(zhí)行應(yīng)用程式系統(tǒng)的虛擬和專用電腦節(jié)點(diǎn)之 間的訊息傳輸。本文中，軟件故障包容單兀（SWFCU) -詞代表分布式應(yīng)用程式系統(tǒng)的軟件 的封裝的總體，其在一個(gè)或多個(gè)虛擬電腦節(jié)點(diǎn)和一個(gè)或多個(gè)專用電腦節(jié)點(diǎn)上執(zhí)行的，而此 詞用于指此總體的軟件錯(cuò)誤的直接影響被封裝的情況。軟件故障包容單元的錯(cuò)誤的直接后 果因而限于此軟件故障包容單元，而無論在數(shù)值或時(shí)間方面均不能影響在分布式實(shí)時(shí)系統(tǒng) 中提供的另一個(gè)軟件故障包容單元。如在集成分布式實(shí)時(shí)系統(tǒng)內(nèi)的各應(yīng)用程式系統(tǒng)形成專 用分布式軟件故障包容單元，應(yīng)用程式系統(tǒng)中的軟件錯(cuò)誤對(duì)應(yīng)用程式系統(tǒng)的相互影響因而 可被排除在外。
[0016] 本發(fā)明公開了用于形成分布于分布式實(shí)時(shí)系統(tǒng)內(nèi)的軟件故障包容單兀（SWFCU) 的創(chuàng)新方法。其建議在分布式實(shí)時(shí)系統(tǒng)上提供的各應(yīng)用程式系統(tǒng)形成自己的軟件故障包容 單元。因而確保軟件故障包容單元內(nèi)的軟件錯(cuò)誤不能影響其他軟件故障包容單元的正確功 能。
[0017] 根據(jù)本發(fā)明的方法的進(jìn)一步有利實(shí)施例在從屬權(quán)利要求被描述。作為例子，如虛 擬電腦節(jié)點(diǎn)包含虛擬機(jī)（VM)，其在電腦上受管理程序管理，和包含通信控制器的專門指定 給虛擬機(jī)的封裝部分，這是有利的。
[0018] 如通信控制器把在存儲(chǔ)區(qū)域空間上封裝的原始數(shù)據(jù)轉(zhuǎn)換為被指定的時(shí)間上封裝 的訊息，并把輸入的時(shí)間上封裝的訊息的內(nèi)容放置在指定給該訊息的空間上封裝的存儲(chǔ)區(qū) 域，這亦可為有利的。
[0019] 此外，虛擬連結(jié)標(biāo)識(shí)可用于產(chǎn)生時(shí)間上封裝的訊息和被指定的通信控制器的封裝 分區(qū)之間的指定作業(yè)。
[0020] 在時(shí)間控制通信系統(tǒng)中為混合分區(qū)的所有訊息（時(shí)間觸發(fā)、限制速率、盡力而為） 的總計(jì)提供時(shí)段為有利的。
[0021] 如不同的軟件故障包容單元只經(jīng)由訊息進(jìn)行通信亦為有利的。
[0022] 在這里，如切換單元輔助多路傳送通信，使得軟件故障包容單元之間交換的訊息 可由獨(dú)立監(jiān)察部件監(jiān)察，這是有利的。
[0023] 上述的目的亦以用于執(zhí)行上述方法的實(shí)體電腦節(jié)點(diǎn)的通信控制器實(shí)現(xiàn)，其中通信 控制器把在虛擬機(jī)的存儲(chǔ)區(qū)域空間上封裝的原始數(shù)據(jù)轉(zhuǎn)換為被指定的時(shí)間上封裝的訊息， 并把在時(shí)間控制訊息內(nèi)抵達(dá)的數(shù)據(jù)存儲(chǔ)于被指定的虛擬機(jī)的空間上封裝的存儲(chǔ)區(qū)域內(nèi)。
[0024] 上述的目的亦以用于執(zhí)行上述方法的個(gè)人電腦的通信控制器實(shí)現(xiàn)，其中通信控制 器采用PCI接口標(biāo)準(zhǔn)，而在時(shí)間控制訊息內(nèi)抵達(dá)的數(shù)據(jù)被存儲(chǔ)于被指定的虛擬機(jī)的空間上 封裝的存儲(chǔ)區(qū)域內(nèi)。
[0025] 上述的目的亦以用于執(zhí)行上述方法的個(gè)人電腦的通信控制器實(shí)現(xiàn)，其中替代地或 作為上述通信控制器的發(fā)展，該通信控制器采用時(shí)間觸發(fā)以太網(wǎng)標(biāo)準(zhǔn)。

【專利附圖】

【附圖說明】
[0026] 本發(fā)明將基于例子的以下附圖作說明，其中
[0027] 圖1顯示實(shí)體電腦節(jié)點(diǎn)，在其上提供了三個(gè)虛擬電腦節(jié)點(diǎn)，以及
[0028] 圖2顯示軟件故障包容單元，其包括兩個(gè)虛擬電腦節(jié)點(diǎn)、虛擬通信系統(tǒng)和兩個(gè)專 用電腦節(jié)點(diǎn)。

【具體實(shí)施方式】
[0029] 以下的具體例子涉及根據(jù)本發(fā)明的的方法的很多可能的實(shí)現(xiàn)方式之一。
[0030] 圖1顯示實(shí)體電腦節(jié)點(diǎn)，在其上提供了三個(gè)虛擬機(jī)101、102、103。虛擬機(jī)101的專 用存儲(chǔ)區(qū)域111可由虛擬機(jī)101和通信控制器120處理。該專用存儲(chǔ)區(qū)域111為實(shí)體通信 信道130上提供的虛擬通信信道的端點(diǎn)。一些時(shí)間上封裝的虛擬通信信道可通過時(shí)間控制 布置于實(shí)體通信信道130之上。通信控制器120把存儲(chǔ)區(qū)域111內(nèi)提供的空間上封裝的數(shù) 據(jù)復(fù)制成時(shí)間上被指定的封裝訊息（反之亦然）。通信控制器120提供三個(gè)封裝分區(qū)111、 112、113,其中由管理程序管理的三個(gè)虛擬機(jī)（VM)101、102、103各只被指定相應(yīng)的分區(qū)。
[0031] 被指定給虛擬機(jī)101、102、103的存儲(chǔ)區(qū)域111、112、113形成這些虛擬通信系統(tǒng)的 端點(diǎn)。系統(tǒng)啟動(dòng)前，虛擬機(jī)101、102、103和實(shí)體通信控制器120的參數(shù)通過認(rèn)證系統(tǒng)軟件 (ZSW)設(shè)定，使得虛擬機(jī)的軟件沒有得到對(duì)其他虛擬機(jī)的存儲(chǔ)區(qū)域的任何訪問權(quán)限，而沿實(shí) 體通信信道130傳送的時(shí)間控制訊息被指定給虛擬機(jī)101、102、103相應(yīng)的存儲(chǔ)區(qū)域111、 112、113。管理程序構(gòu)筑虛擬機(jī)的方法已在[1]中公開。同時(shí)，已提供能正式驗(yàn)證管理程序 的軟件的正確性的方法[2]。通信控制器120到實(shí)體電腦節(jié)點(diǎn)的中央處理機(jī)和/或存儲(chǔ)的 接口可按照PCI標(biāo)準(zhǔn)[3]設(shè)計(jì)。通信控制器120到時(shí)間控制通信系統(tǒng)130的接口可按照時(shí) 間觸發(fā)以太網(wǎng)標(biāo)準(zhǔn)[5]設(shè)計(jì)。
[0032] 圖2顯示分布式實(shí)時(shí)系統(tǒng)，其包括兩個(gè)實(shí)體節(jié)點(diǎn)電腦210、220、切換單元250和四 個(gè)專用節(jié)點(diǎn)電腦230、231、232、233。在此實(shí)時(shí)系統(tǒng)有一些軟件故障包容單元。圖1以粗線 描繪的部分形成這些軟件故障包容單元的其中之一。此選出的軟件故障包容單元包含虛擬 機(jī)211、通信控制器213和置于之間的共用存儲(chǔ)212、通信到切換單元250的通信信道251、 虛擬機(jī)221、通信控制器223和置于之間的共用存儲(chǔ)222,到切換單元250的通信信道252、 以及專用電腦節(jié)點(diǎn)230與傳感器215和專用電腦節(jié)點(diǎn)233與致動(dòng)器216,并包括連接到切換 單元250的相應(yīng)連接256和253。實(shí)體電腦節(jié)點(diǎn)210和220的兩個(gè)管理程序、通信控制器 213和223以及在切換單元250中的通信協(xié)議防止此軟件故障包容單元以外的軟件錯(cuò)誤影 響此軟件故障包容單元的運(yùn)作。時(shí)間觸發(fā)以太網(wǎng)協(xié)議[5]可用于切換單元250,以封裝此軟 件故障包容單元的通信。該協(xié)議協(xié)助確定性時(shí)間控制通信、限制速率通信和盡力而為事件 控制通信。替代地，另一時(shí)間上封裝通信信道的協(xié)議亦可用于切換單元250。
[0033] 在分布式實(shí)時(shí)系統(tǒng)上提供的不同軟件故障包容單元之間的通信要通過訊息執(zhí)行， 其中如這些訊息可由獨(dú)立監(jiān)察器監(jiān)察為有利的。此在切換單元250支援多路傳送通信時(shí)可 實(shí)現(xiàn)。
[0034] 引用文獻(xiàn)：
[0035] [1]US Pat. 4, 949, 254. Shorter. Method to manage concurrent execution of a distributed application program by a host computer and a large plurality of intelligent work stations on an SNA network. Granted August 14,1990
[0036] [2]Klein, G. et al. . (2009). Formal Verification of an OS Kernel. Proc. Of the ACM SIG0PS22nd Symposium on Operating System Principles. ACM Press.
[0037] [3]Peripheral Component Interconnect(PCI)Standard, Wikipedia. Accessed March 3,2012.
[0038] [4]Kopetz,H.Real-Time Systems,Design Principles for Distributed Embedded Applications. Springer publishing house.2011.
[0039] [5]SAE Standard of TTEthernet. URL:http://standards, sae. org/as6802
[0040] [6]ARINC 653P1-3 Avionics Application Software Standard Interface, Part 1，Required Services : https ://www. arinc. com/cf/store/catalog_detail.cfm ? item-id = 1487,653P2_lAvionics Application Software Standard Interface, Part 2-Extended Services:https://www. arinc. com/cf/store/catalog_detail. cfm ? item- id = 1072
【權(quán)利要求】
1. 用于限制在分布式實(shí)時(shí)系統(tǒng)中軟件錯(cuò)誤的影響的方法，其中同時(shí)執(zhí)行多個(gè)分布式應(yīng) 用程式系統(tǒng)，其特證在于各應(yīng)用程式系統(tǒng)形成被封裝的軟件故障包容單元（SWFCU)，其中軟 件故障包容單元包含分布式應(yīng)用程式系統(tǒng)的軟件，所述軟件在一個(gè)或多個(gè)虛擬電腦節(jié)點(diǎn)和 一個(gè)或多個(gè)專用電腦節(jié)點(diǎn)執(zhí)行，并通過一個(gè)或多個(gè)被封裝的虛擬通信系統(tǒng)交換訊息，其中 通信系統(tǒng)包括通信控制器、切換單元和實(shí)體連接，其中某軟件故障包容單元的軟件錯(cuò)誤的 直接影響保持限于該軟件故障包容單元。
2. 如權(quán)利要求1所述的方法，其特證在于虛擬電腦節(jié)點(diǎn)包含虛擬機(jī)（VM)，其在電腦上 受管理程序管理，和包含通信控制器的專門指定給該虛擬機(jī)的封裝部分。
3. 如權(quán)利要求1或2所述的方法，其特證在于該通信控制器（120)把在存儲(chǔ)區(qū)域（111) 內(nèi)空間上封裝的原始數(shù)據(jù)轉(zhuǎn)換為被指定的時(shí)間上封裝的訊息，并把輸入的時(shí)間上封裝的訊 息的內(nèi)容放置在指定給該訊息的空間上封裝的存儲(chǔ)區(qū)域。
4. 如權(quán)利要求1至3其中之一所述的方法，其特證在于虛擬連結(jié)標(biāo)識(shí)用于產(chǎn)生時(shí)間上 封裝的訊息和被指定的通信控制器的封裝分區(qū)之間的該指定作業(yè)。
5. 如權(quán)利要求1至4其中之一所述的方法，其特證在于在時(shí)間控制通信系統(tǒng)中為混合 分區(qū)的所有訊息（時(shí)間觸發(fā)、限制速率、盡力而為）的總計(jì)提供時(shí)段。
6. 如權(quán)利要求1至5其中之一所述的方法，其特證在于不同的軟件故障包容單元只經(jīng) 由訊息進(jìn)行通信。
7. 如權(quán)利要求6所述的方法，其特證在于該切換單元（250)支援多路傳送通信，使得該 些軟件故障包容單元之間交換的訊息可由獨(dú)立監(jiān)察部件監(jiān)察。
8. 用于執(zhí)行一個(gè)或多個(gè)權(quán)利要求1至7所指定的方法步驟的實(shí)體電腦節(jié)點(diǎn)的通信控制 器，其特征在于該通信控制器把在虛擬機(jī)的存儲(chǔ)區(qū)域空間上封裝的原始數(shù)據(jù)轉(zhuǎn)換為被指定 的時(shí)間上封裝的訊息，并把在時(shí)間控制訊息內(nèi)抵達(dá)的數(shù)據(jù)存儲(chǔ)于被指定的虛擬機(jī)的空間上 封裝的存儲(chǔ)區(qū)域內(nèi)。
9. 用于執(zhí)行一個(gè)或多個(gè)權(quán)利要求1至7所指定的方法步驟的個(gè)人電腦的通信控制器， 其特征在于該通信控制器采用PCI接口標(biāo)準(zhǔn)，而在時(shí)間控制訊息內(nèi)抵達(dá)的數(shù)據(jù)被存儲(chǔ)于被 指定的虛擬機(jī)的空間上封裝的存儲(chǔ)區(qū)域內(nèi)。
10. 用于執(zhí)行一個(gè)或多個(gè)權(quán)利要求1至7所指定的方法步驟的個(gè)人電腦的通信控制器， 其特征在于該通信控制器采用時(shí)間觸發(fā)以太網(wǎng)標(biāo)準(zhǔn)。
11. 實(shí)時(shí)系統(tǒng)，其包含根據(jù)權(quán)利要求8至10其中之一的通信控制器。
【文檔編號(hào)】G06F11/07GK104145248SQ201380012025
【公開日】2014年11月12日 申請(qǐng)日期:2013年3月19日 優(yōu)先權(quán)日:2012年3月20日
【發(fā)明者】斯蒂芬·波萊德納 申請(qǐng)人:Fts電腦技術(shù)有限公司