[發明專利]故障切換系統和方法

在審

• 申請號: 201310234533.1
• 申請日: 2007-02-19
• 公開（公告）號: CN103593267A
• 公開（公告）日: 2014-02-19
• 發明（設計）人: 丘多爾·莫洛森;格利高利·A.·阿倫;維克多·帕夫烈科;本遜·詩杰·林
• 申請（專利權）人: 多倫多證券交易所
• 主分類號: G06F11/20
• 分類號: G06F11/20;G06Q40/04
• 代理公司: 北京卓恒知識產權代理事務所(特殊普通合伙) 11394
• 代理人: 景全斌;唐曙暉

本申請為國際申請日為2007年2月19日、申請號為200780035109.7、發明名稱為“故障切換系統和方法”的專利申請的分案申請。

技術領域

本發明涉及計算機和網絡體系結構，并且更具體地涉及故障切換系統和方法。

背景技術

社會越來越依靠計算機和網絡來進行交互和開展業務。為了獲得關鍵系統中要求的高級別可用性，應當將由軟件和硬件缺陷引起的計劃外停機降低到最小。

金融服務行業是要求高可用性系統的行業中的一個實例。實際上，當今金融行業中的大量數據處理活動都是由計算機系統支持的。最有趣的是所謂的“實時”和“接近實時”在線交易處理（OLTP）應用，該應用通常在很長的時段中以高速度且低延遲地處理大量商業交易。這些應用通常顯示出下述特性：（1）復雜和高速度數據處理，（2）可靠的非易失性數據存儲，和（3）高級別可用性，即在基本不受干擾的基礎上支持服務的能力。但是在實施時，由于它們對系統行為的互相矛盾的影響，現有的系統傾向于在這些性能要求之間折衷，不存在如同后面將詳細描述的、能同時完全滿足全部三個特性的方案。

首先，復雜數據處理指的是以及時的方式執行大量計算、數據庫檢索/更新等的能力。這可以通過并行處理實現，其中在同一物理機器上或分布式網絡上同時執行多個工作單元。在一些系統中，每個交易的結果是基于之前完成的交易的結果。由于競態條件、操作系統調度任務或者各種網絡延遲，這樣的系統的并行方面天生就是非確定性的，既不能預測消息和線程執行的順序，也不能簡單地通過將輸入消息的副本傳遞給復制系統來并行地處理該消息和線程執行。非確定性系統具有非恒定的輸出，因此它們不是在兩個不同計算機器上并行運行的、雖然其本意是在出現故障時用一個代替另一個。

其次，可靠的非易失性數據存儲指的是甚至在系統的一些軟件或者硬件組件經歷意料之外的故障時，持久地存儲數據的能力。這通常是通過在存取或者修改共享數據時，使用原子性、一致性、隔離性和持久性（“ACID”）交易實現的。一個單元的工作一完成，ACID交易就可以保證數據的完整性和持久性。每個提交的ACID交易被寫入非易失性計算機存儲器（硬盤），該存儲器協助確保數據持久性，但是這樣很耗費性能，通常拖慢了整個系統。

第三，高可用性系統嘗試確保給定計算機系統的可用性百分比盡可能接近100%的時間。可以通過使用冗余軟件和/或硬件實現這樣的可用性，當檢測到組件故障時，冗余軟件和/或硬件接管功能。為了取得成功，故障切換不僅復制數據，還復制處理狀態。如同本領域的技術人員所理解的，在非確定性系統（即同樣一組事件的計算處理根據這些事件的處理順序可以獲得多于一個結果的系統）中狀態復制尤其具有挑戰性。

高可用性軟件應用通常被配置在冗余環境中，從而減少和/或消除故障的單一點，該點通常與基礎硬件相關。已知的兩個常規方法是熱故障切換和溫故障切換。熱故障切換指的是同時在多個系統中處理同一輸入，本質上是在這些系統中的出現一個故障時提供完全冗余。溫故障切換指的是在備份系統中復制應用的狀態(即數據)，而不在備份系統中處理該數據，但是具有可以在主系統出現故障時處理加載的數據并且待機的應用。被很多人不視為一種高可用性的冷故障切換指的是簡單地喚醒備份系統和將備份系統準備用于承擔主系統的處理責任。

在熱故障切換中，應用的兩個實例同時運行在兩個不同的硬件設備上，處理同一輸入的副本。如果它們中的一個經歷嚴重的故障時，附加的同步系統可以確保另一個將繼續支持工作負載。在溫故障切換配置中，這些系統中的被指定為主要的一個運行該應用；在出現故障時，被指定為備份的、處于待機狀態等待的第二系統將“蘇醒”，接管和恢復功能。

現有技術的熱故障切換方式至少具有兩個缺點。首先，附加軟件必須運行從而確保兩個系統同步。在不確定性系統的情況下，該同步努力可能導致不能接受的（或者不希望的）性能降低和必須保證事件到達的順序完全一致的復雜性。同樣，在這樣的應用中使用的現有并行系統通常允許多個線程同時執行，因此它們天生就是非確定性的。同樣帶有服務器和地理上分散的客戶機的系統也是非確定性的，其中各種網絡延遲以無法預測的順序向服務器發送消息。

溫故障切換可以被用于克服熱故障切換的某些問題。通過將系統數據復制到冗余備份系統，并且隨后在第二系統恢復應用功能，溫故障切換可以成為實現非確定性系統的故障切換的另一種方式。該方式的缺點在于將數據恢復為一致狀態、隨后將應用帶到功能狀態，并且最后，將應用恢復到它從處理中離開的位置這一過程所需要的時間。該過程通常花費幾小時，需要人工干涉并且不能完全恢復進行中的交易。