非侵入式容错软件模型及实现

４２４２　２０１０，３１（１９）　计算机工程与设计ＣｏｍｐｕｔｅｒＥｎｇｉｎｅｅｒｉｎｇ　ａｎｄＤｅｓｉｇｎ　・软件与算法・　非侵入式容错软件模型及实现　

胡　平，　王忠群，　王　勇　（安ｍ＿ｖ－程科技学院计算机科学与工程系，安徽芜湖２４１０００）　

摘要：为消除或降低容错软件开发人员对非业务逻辑的关注度要求，提升系统的可维护性，提出了一种支持容错逻辑动　态织入的非侵入式容错软件模型。通过在设计阶段将容错逻辑抽取成为若干独立可管理的容错切面，并在运行时将其动态　织入软件系统中以保证软件服务质量。分析了声明式容错策略，探讨了以软件冗余副本为容错机制的容错切面建模和编织　方法。最后基于此模型扩展了一个Ｊ２ＥＥ常规应用，使之具有容错能力。测试结果表明，该模型能有效提升容错软件的开发　效率和可维护性。　关键词：容错软件；侵入性；面向切面设计；声明式策略；动态织入；副本　中图法分类号：ＴＰ３１１．５　文献标识码：Ａ　文章编号：１０００—７０２４（２０１０）１９—４２４２．０５　

Ｍｏｄｅｌ　ａｎｄ　ｒｅａｌｉｚａｔｉｏｎ　ｏｆ　ｎｏｎ—ｉｎｖａｓｉｖｅ　ｆａｕｌｔ　ｔｏｌｅｒａｎｃｅ　ｓｏｆｔｗａｒｅ　ＨＵＰｉｎｇ，ＷＡＮＧＺｈｏｎｇ—ｑｕｎ，ＷＡＮＧＹｏｎｇ　（Ｄｅｐａｒｔｍｅｎｔ　ｏｆ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｅｎｇｉｎｅｅｒｉｎｇ，Ａｎｈｕｉ　Ｕｎｉｖｅｒｓｉｔｙ　Ｔｅｃｈｎｏｌｏｇｙ　ａｎｄ　Ｓｃｉｅｎｃｅ，Ｗｕｈｕ　２４　１　０００，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ｔｏ　ｅｌｉｍｉｎａｔｅ　ｏｒ　ｒｅｄｕｃｅ　ｃｏｎｃｅｒｎ　ｏｆｎｏｎ—ｂｕｓｉｎｅｓｓ　ｌｏｇｉｃ　ｉｎｆｌｉｃｔ　ｏｎ　ｄｅｖｅｌｏｐｅｒｓ　ｏｆｆａｕｌｔ．ｔｏｌｅｒａｎｃｅ　ｓｏｆｔｗａｒｅ．ａｎｄ　ｉｎｃｒｅａｓｅ　ｔｈｅ　ｍａｉｎ．　ｔａｉｎａｂｉｌｉｔｙ　ｏｆ　ｓｙｓｔｅｍ，ａ　ｎｏｎ—ｉｎｖａｓｉｖｅ　ｍｏｄｅｌ　ｉｓ　ｐｒｏｐｏｓｅｄ，ｗｈｉｃｈ　ｓｕｐｐｏｒｔｓ　ｆａｕｌｔ—ｔｏｌｅｒａｎｃｅ　ｌｏｇｉｃ　ｗｅａｖｉｎｇ　ｄｙｎａｍｉｃａｌｌｙ．Ｆａｕｌｔ－ｔｏｌｅｒａｎｃｅ　ｌｏｇｉｃ　ｉｓ　ｅｘｔｒａｃｔｅｄ　ｔｏ　ｉｎｄｅｐｅｎｄｅｎｔ　ａｎｄ　ｍａｎａｇｅａｂｌｅ　ａｓｐｅｃｔｓ　ａｔ　ｄｅｓｉｇｎ　ｓｔａｇｅ，ａｎｄ　ｉｓ　ｗｏｖｅｎ　ｉｎｔｏ　ｔｈｅ　ｓｙｓｔｅｍ　ｔｏ　ｓａｔｉｓｆｙ　ｑｕａｌｉｔｙ　ｏｆｓｅｒｖｉｃｅ　ｏｆｓｏｆｔ—　ｗａｒｅ　ａｔ　ｒｕｎｔｉｍｅ．Ｔｈｅ　ｄｅｃｌａｒａｔｉｏｎ　ｏｆｆａｕｌｔ－ｔｏｌｅｒａｎｃｅ　ｐｏｌｉｃｙ　ｉｓ　ｃｏｎｓｔｒｕｃｔｅｄ，ａｎｄ　ｔｈｅｎ　ｈｏｗ　ｔｏ　ｍｏｄｅｌｉｎｇ　ａｎｄ　ｗｅａｖｅ　ｔｈｅ　ｆａｕｌｔ—ｔｏｌｅｒａｎｃｅ　ａｓｐｅｃｔｓ　ｂｙ　ｕｓｉｎｇ　ｃｏｍｐｏｎｅｎｔ　ｒｅｐｌｉｃａｔｅ　ｉｓ　ｄｉｓｃｕｓｓｅｄ．Ｆｉｎａｌｌｙ，ａ　ｒｅｇｕｌａｒ　Ｊ２ＥＥ　ａｐｐｌｉｃａｔｉｏｎ　ｉｓ　ｅｘｔｅｎｄｅｄ　ｔｏ　ｓａｔｉｓｆｙ　ｔｈｅ　ｃａｐａｂｉｌｉｔｙ　ｏｆ　ｆａｕｌｔ－ｔｏｌｅｒａｎｃｅ　ｂａｓｅｄ　ｏｎ　ｔｈｉｓ　ｍｏｄｅ１．Ｅｘｐｅｒｉｍｅｎｔａｌ　ｒｅｓｕｌｔｓ　ｓｈｏｗ　ｔｈａｔ　ｔｈｅ　ｍｏｄｅｌ　ｐｒｏｍｏｔｅｓ　ｄｅｖｅｌｏｐｍｅｎｔ　ｐｒｏｄｕｃｔｉｖｉｔｙ　ａｎｄ　ｍａｉｎｔａｉｎａｂｉｌｉｔｙ　ｏｆｆａｕｌｔ－ｔｏｌｅｒａｎｃｅ　ｓｏｆｔｗａｒｅ　ｅｆｆｅｃｔｉｖｅｌｙ￣　Ｋｅｙ　ｗｏｒｄｓ：ｆａｕｌｔ・－ｔｏｌｅｒａｎｃｅ　ｓｏｆｔｗａｒｅ；ｉｎｖａｓｉｏｎ；ａｓｐｅｃｔ－－ｏｒｉｅｎｔｅｄ　ｄｅｓｉｇｎ；ｐｏｌｉｃｙ　ｄｅｃｌａｒａｔｉｏｎ；ｄｙｎａｍｉｃ　ｗｅａｖｉｎｇ；ｒｅｐｌｉｃａｔｅ　

０引　言　当前，对以网格计算、普适计算、自主计算等为代表的新　型计算模式的研究正成为热点，它们都将如何保证软件系统　的容错和自适应能力等问题作为了研究内容，并取得了一些　重要的研究成果。但同时也应注意到，在开发容错软件（或扩　展已有不具有容错能力的系统）时，需要开发人员关注大量用　以实现容错逻辑的代码（即非功能性代码，它们往往与业务无　关，且“横切”了多个功能性模块），致使容错系统具有了侵入　性，增加了系统的开发难度和维护成本。另一方面，在指定不　同容错策略或性能指标时，容错软件中各构件（特别是含有容　错逻辑的构件）的行为可能是完全不同的，而传统的面向对象　分析、设计方法缺乏对容错软件系统在设计阶段的统一描述　机制，降低了容错逻辑的可管理性和复用性。　近年来，一些研究人员开始关注于将ＡＯＰ（ａｓｐｅｃｔ－ｏｒｉｅｎｔｅｄ　ｐｒｏｇｒａｍｍｉｎｇ，面向切面编程）技术用于容错软件的实现以消除　或降低上述侵入性，并已取得了一些重要成果。文献［６］６从消　息被ＯＲＢ拦截和转发的时序的角度来刻画构件副本的交互　行为，并提供了一套用以在设计阶段定义副本切面属性、状　态、操作及织入的基本语义；文献［９］从容错机制的角度，利用　ＡＯＰ技术为软件系统创建增量恢复缓存、时间冗余执行点、控　制流检测等切面来保证节点级的计算可靠性；文献［２】则提出　

一种支持针对不同中间件服务失效定制合适的故障检测和修　复机制，并利用ＡＯＰ技术将容错机制插装到中间件中，使其　具备指定的容错能力。ＡＯＰ技术为容错软件的具体实施提供　了新的解决途径，可有效提升系统的可理解性和可维护性，但　现有的相关研究成果未关注以下几个方面的问题：①在设计　阶段，如何精确描述切面结构及软件副本间的交互行为；②在　保证一定的容错级别和性能指标下，如何定量评价不同模块　的被侵入性程度；③缺乏通用的基于现有平台和技术的编程　级容错模型支持。我们认为，以上问题对于容错软件的具体　实施及评价都是必须要解决的问题。　

收稿日期：２００９—１０—１６；修订日期：２００９．１２．２８。　基金项目：安徽省自然科学基金项目（０７ｏ４ｌ２０５８）；安徽工程科技学院青年科研基金项目（２００６ＹＱ０３４）。　作者简介：胡平（１９７９一），男，湖北武汉人，硕士，讲师，研究方向为容错中间件、分布式计算；　王忠群（１９６５一），男，安徽芜湖人，硕士　教授，研究方向为分布式计算、软件协同与工作流；　王勇（１９７８－－），男，安徽六安人，硕士，讲师，研究方向为分布式计算、智能Ａｇｅｎｔ。　Ｅ・ｍａｉｌ：ＪａｖａＦｏｕｎｄｅｒ＠ｇｍａｉｌ．ｔｏｍ　胡平，王忠群，王勇：非侵入式容错软件模型及实现　２０１０，３　１（１９）４２４３　本文将ＡＯＰ和副本技术引入到容错软件的设计阶段，提　出了一种以软件冗余副本为容错机制的非侵入式容错软件模　型。该模型以声明式容错策略描述软件系统的服务质量和性　能指标，通过面向切面的ＵＭＬ扩展机制，在设计阶段精确刻　画容错切面的结构及副本问的交互行为，并在运行时通过拦　截和代理机制将指定的容错切面动态织入软件系统，最终达　到消除或最大程度降低系统中容错逻辑对业务逻辑的侵入性　的目标。最后，基于此模型扩展了一个Ｊ２ＥＥ实例系统，并对　其相关指标进行了验证和分析。　１非侵入式容错软件模型　１．１模型概述　一般而言，消除或降低侵入性可以分为３步：切面分离、　切面实现和切面编织。对于我们的容错模型而言，切面分离　主要体现在用各种容错指标和服务质量描述的容错策略上；　切面实现是对各种容错逻辑进行编码描述；而切面编织则是　将切面所描述的容错逻辑“添加”到系统所含的业务逻辑之　上，最终使得软件系统具有容错能力。模型如图１所示。　图１　支持容错逻辑动态织入的非侵入式容错软件模型　模型典型的工作场景如下：　（１）服务请求者发出服务请求。一般情况下，该请求者是　请求服务的客户端，也可以是多个软件冗余副本所形成的集　群中的一员。　（２）服务请求由拦截器（Ｒｅｑｕｅｓｔ　Ｉｎｔｅｒｃｅｐｔｏｒ）截获并转发至　代理构件（ＤｙｎａｍｉｃＰｒｏｘｙ）。请求拦截器扮演着分派器的角色，　是容错应用（集群成员）公开给外界的唯一可见接口，其作用在　于：①对所有原本应发送至构件的服务请求进行统一控制和　管理（如初始化、身份验证、权限检查等）；②对请求者／执行者　的依赖关系进行降耦。当服务请求者要求访问构件的业务逻　辑时，为了达到非侵入容错的目的，我们为原有应用的每个构　件设置了代理。代理构件是请求拦截器和原有构件的中介，　并且被织入了用以保证各种性能指标和服务质量的容错逻辑。　首次访问时，代理构件尚未被创建，则：①动态切面编织器（Ｄｙ—　ｎａｍｉｃ　Ａｓｐｅｃｔｓ　Ｗｅａｖｅｒ）装载和解析为应用配置的容错策略（ＦＴ　Ｐｏｌｉｃｙ），后者在较高层次定义了各种服务质量、故障检测／恢复　机制（一般以ＸＭＬ格式描述），如图１中２．１。②依据容错策略，　动态切面编织器在切面管理器（ＡｓｐｅｃｔｓＭａｎａｇｅｒ）中匹配相关的　切面，并将这些切面所含的逻辑织入相应构件，最终创建出代　理构件，如图１中２．２、２．３。　（３）代理构件根据服务请求调用原有构件的业务逻辑。代　理构件并不含其对应的原有构件的业务逻辑代码，而只含转　发代码，业务逻辑的真正执行者仍然是原有构件。在完成业　务逻辑的同时，代理构件也负责完成容错逻辑（如事件通知、　服务质量、状态同步等）和其他非关键逻辑（日志、事务、安全　等），这些逻辑的执行细节对服务请求者来说是完全透明的。　在容错机制方面，模型采用了软件冗余副本的思想，即同　

一软件所含关键构件的多个副本形成一个集群，每个副本都　是该集群的成员。为了保证集群各成员间的状态一致性，我　们在模型中设置了集群管理器（ＧｒｏｕｐＭａｎａｇｅｒ），其主要负责成　员加入／离开事件通知、消息发送／接收、成员状态的序列化／反　序列化等工作。　１．２声明式容错策略　基于目前主流面向对象编程语言的特点，较好的消除侵　入性的方法是声明式（或配置式）编程，即，让软件系统以某种　非编程的方式表达出自身要达到的各种性能指标或服务质量，　然后在运行时装载和分析这些需求，并将其动态“织入”系统。　容错策略从高层描述了容错系统应能达到的各种服务质量和　性能指标，以及当错误发生和相关指标不能被满足时，系统主　动采取的调整行为和适应机制，如下述的ＸＭＬ文件：　＜？ｘｍｌ　ｖｅｒｓｉｏｎ＝”１．０”ｅｎｃｏｄｉｎｇ＝”ＵＴＦ一８”？＞　＜ｐｏｌｉｃｙ　ｘｍｌｎｓ＝”ｈｔｔｐ：／／ｗｗｗ．ａｕｔｓ．ｅｄｕ．ｃｎ／ＳＥＤＣ／ｓｃｈｅｍａＪｐｏｌｉｃｙ”　ｘｍｌｎｓ：ｔｔ＝－”ｈｔｔｐ：／／ｗｗｗ．ａｕｔｓ．ｅｄｕ．ｃｒｆＳＥＤＣ／ｓｃｈｅｍａ／ｆｌ”　ｘｍｌｎｓ：ｑｏｓ＝”ｈｔｔｐ：／／ｗｗｗ．ａｕｔｓ．ｅｄｕ．ｃｎ／ＳＥＤＣ／ｓｃｈｅｍａ／ｑｏｓ”