[發明專利]在運行期間對軟件密集型系統的無縫和安全升級

在審

• 申請號: 201880082918.1
• 申請日: 2018-12-17
• 公開（公告）號: CN111480142A
• 公開（公告）日: 2020-07-31
• 發明（設計）人: L.菲格;J.弗勒利希;S.羅特鮑爾;C.施蒂克于爾根
• 申請（專利權）人: 西門子股份公司
• 主分類號: G06F8/656
• 分類號: G06F8/656;G06F11/27;G06F11/36
• 代理公司: 中國專利代理(香港)有限公司 72001
• 代理人: 陳曉;劉春元

在運行期間對軟件密集型系統的升級。公開的是用于在系統中對服務或微服務進行升級的方法和系統，其中在系統中采用更新版本的服務而無需立即允許服務承擔對系統的最終輸出的控制。

技術和軟件密集型系統向用戶（人類或其他系統）提供服務，并且服務需要在系統的生命周期期間被更新或升級。

在軟件開發中，存在更頻繁地更新和升級系統的、以較短的周期提供服務（也稱為微服務）的較小部分的趨勢。

如果系統由越來越多的單獨地可更新/升級部件組成，則升級數量增大。

對于每次更新/升級，必須驗證它是否可以在現場有結果地使用（被部署用于生產使用）。以下問題是相關的：

難以確定新開發版本的服務（更新/升級）是否足夠好以被接受或比當前服務更好并且應該代替已經實現的服務而被使用。問題在于，實驗室測試可能不能在充分接近現實世界運行條件的情況下執行，或者時間不夠長而不能獲得所需要的信賴度。

關鍵系統太頻繁或在太長時間段內停止運行是不可接受的或太昂貴的。

對于需要安全運行的系統，系統中的任何變化均需要在現場驗證，以確保在其預期的環境中的安全運行。

在執行升級/更新之后，現場可能會發生未預料到的問題，然后逆轉到升級前的狀態（回滾）是合期望的。然而，在許多情況下，這可能不可能以快速且不復雜的方式實現，或者可能涉及系統的附加的停機時間。

以前，上述問題已經通過以下方法被解決：

第一種方法是在升級系統所需要的時間段內使系統停止服務。這種方法導致在升級時間段期間系統的不可用。

第二種方法是依靠輔助系統在升級時間段內提供服務。這種方法是昂貴的，因為必須提供并且維護僅在升級時間段期間使用并且在其他時間不使用的輔助系統。如果在正常運行期間并行使用輔助系統以增大系統可用性，則在升級期間沒有冗余系統可用。

第三種方法涉及安全相關系統。對于安全相關系統，通常通過在開發（實驗室/模擬）環境中進行大量的測試以及通過執行變化影響分析來進行驗證和證實方面，以獲得系統在升級之后仍將安全地提供其服務的信賴度。然而，該方法并不總是提供新服務用于其預期目的的適用性的信賴度，因為開發環境中的測試結果可能不會轉移到運行環境，在運行環境中，在開發環境中不能被模擬的因素（使用/應用場景）可能是相關的。

為了解決在升級/更新之后的可能的問題，進一步的可能性是實現進一步的停機時間，在所述進一步的停機時間期間能夠重建升級之前的狀態。如果在升級期間已經使用輔助系統，則具有以下缺點：在執行回滾期間，需要在比以前計劃的更長的時間內使用輔助系統。

發明內容

公開的是一種計算機實現的方法，其用于對在技術系統（200）上執行的多個服務中的至少一個服務進行升級，該技術系統（200）包括至少一個致動器（210），其中多個服務被適配用以響應于至系統（200）的輸入（202）來提供控制所述至少一個致動器（210）的輸出（209），其中，計算機實現的方法被適配用以：

a. 在系統（200）上部署至少一個更新版本的至少一個服務（211），同時在系統（200）上維護先前版本的服務（204），其中，防止更新版本的至少一個服務（211）控制至少一個致動器（210），并且在技術系統（200）上部署用于測試至少一個更新版本的至少一個服務（211）的性能的測試探針模塊（311b，602），

b. 運行技術系統（200）上的測試探針模塊（311b，602），用以相對于預定標準來測試技術系統（200）上的至少一個更新版本的至少一個服務（211）的性能，

c. 確定至少一個更新版本的至少一個服務（211）的性能符合預定標準，

d. 禁用先前服務（204）對至少一個致動器（210）的控制，以及