[发明专利]用于地理热冗余的方法和系统

说明书

本发明公开用于地理热冗余的方法和系统。该方法包括：由第一主计算机向第二从计算机传输第一输入数据项以及用于应用程序的第n个执行周期的第一执行上下文，该应用程序的第一和第二副本分别在第一和第二计算机上执行；执行第一副本，在第n个周期结束时更新第一执行上下文，并且将其传输给第二计算机；恢复用于第n个周期的第一输入数据项和第一执行上下文，作为用于第n个周期的第二输入数据项和第二执行上下文；在用于第n个周期的第二执行上下文中，对第n个周期的第二输入数据项执行第二副本，并且在第n个周期结束时更新第二执行上下文；以及通过将第n个周期结束时的第一和第二执行上下文进行比较，来检查和验证一致性。

【技术领域】

本发明涉及用于热冗余(hot redundancy)的方法和系统。

【背景技术】

为了提供某一功能，信息系统包括安全计算机，该安全计算机以循环方式执行适当的应用程序。

安全计算机是本质安全的计算机。例如，安全计算机基于2oo2(“二取二”)架构，该架构包括优选相对于彼此多样化的两个计算单元。这两个单元以为了始终接收相同输入的方式彼此并行布置。两个计算单元的输出路由到硬件或软件二者之一的评估单元(或表决器)，该评估单元仅在来自两个计算单元的输出彼此相同时才递送输出。否则，评估单元生成限制性安全输出。这样，以某一置信级保证安全计算机的输出。

其他架构为本领域技术人员所知，然而，可以看出，能够满足特定于铁路部门的安全性和可用性要求的架构是基于常规架构2oo2、2oo3或编码单处理器的。要注意的是，2oo2或2oo3复合架构的优点在于可操作地实施常规IT/计算部件(“商用成品部件”COTS)的可能性。

由信息系统提供的功能的总体可用率的提高通过计算手段的集聚来获得，这些计算手段以使得一个手段可以立即接替另一个发生故障手段的方式并行运行。

例如在专利文献EP 1764694 B1中提出了计算手段的称为热冗余的这种冗余，该专利文献公开了一种系统，该系统包括第一主安全计算机和复制第一主安全计算机的第二从安全计算机。各台计算机执行同一应用程序的副本。为了检查和验证两台计算机的/之间的一致性以及系统的标称运行，比较在两台安全计算机执行应用程序的各个周期中生成的输出。对应用程序各个副本的执行一致性的该验证是基于以下内容的存在：硬件控制装置、计算机之间的双向同步链路(用于严格同步主计算机和从计算机)以及用于处理两台计算机的输出的硬件装置。

为了确信由各台计算机生成的输出数据项的比较与基于/根据同一批输入数据项在同一应用程序执行周期的过程中计算出的数据相关/集中于此，必须对两台安全计算机进行完美的同步。

由此，专利文献EP 1764694 B1中提出的系统包括一种手段，该手段用于通过两台安全计算机之间的双向同步链路进行同步和通信，从而使得这些安全计算机能够保持严格同步。

为了不引入失真，该链路必须高效且专用。它通常是电缆线路、数据总线或专用通信网络。这些限制强加该同步链路的长度较短的要求，这意味着两台安全计算机(主计算机和从计算机)彼此靠近放置。

由于存在该同步链路且有时存在用于评估一致性/仲裁的评估装置，因此两台安全计算机位于同一地理位置。

然而，这种系统不提供克服共模故障的手段。例如，如果第一安全计算机所位于的房间中的火灾将导致该第一计算机停止运行，则存在也导致第二计算机停止运行的风险。然后，该第二计算机将不能在为发生故障的主计算机提供冗余方面发挥作用，并且信息系统所提供的功能将不再可用。

因此，需要一种地理热冗余，该冗余允许冗余计算机被分开一物理距离，以便避免共同故障模式。这样，在第一主计算机发生故障的情况下，第二从计算机不会先验地受影响，并且在注意到第一计算机发生故障后，能够接替控制并确保系统功能可用性的连续性。