故障切换系统和方法.pdf

本发明的一个方面提供了一种用于故障切换的系统，它包括至少一个客户机，选择性地可连接到经由网络连接的至少两个互连的服务器之一。在常规状态下，当被连接到客户机时，服务器中的一个被指定为主服务器，并且当未连接到客户机时，服务器中的剩余服务器被指定为备用服务器。所述至少一个客户机被配置为向主服务器发送消息。该服务器被配置为使用至少一个服务来处理该消息，该服务在每一个服务器中都是相同的。该服务不知道与该服务相关的服务器是作为主服务器还是备用服务器工作。该服务器还被配置为保持一个库或者类似物，该库指明了该服务器是主服务器还是备用服务器。每个服务器中的服务对与其相关的库进行外部调用。主服务器中的库被配置为完成外部调用，并且向主服务器中的服务返回外部调用的结果，并且向备用服务器中的服务转发外部调用的结果。当被第二服务器中的服务要求这样做时，第二服务器中的库不进行外部调用，而是简单地向第二服务器中的服务转发从主服务器接收到的外部调用的结果。

1、  一种用于故障切换的系统，包括：
至少一个客户机，选择性地可连接到经由网络连接的至少两个互连的服务器之一；当被连接到所述客户机时，所述服务器中的一个被指定为主服务器，并且当未连接到所述客户机时，所述服务器中的剩余服务器被指定为备用服务器；所述至少一个客户机被配置为向所述主服务器发送消息；
所述服务器中的每一个被配置为经由处理不同类型的所述消息的多个服务来处理全部的所述消息；所述服务中的每一个被配置为访问和/或更新由所述服务器基于处理所述消息的结果而保持的共享资源；
所述服务器中的每一个都保持与所述服务相关的库；
当由所述主服务器保持时，所述库被配置为通过下述步骤响应来自与所述消息相关的服务的请求：
i)执行对外部资源的至少一个外部调用；
ii)基于来自与所述消息相关的服务的请求来对每个消息确定顺序；
iii)返回所述外部调用和的所述顺序的结果给所述消息相关的所述服务，
iv)在由所述服务器共享的高速缓存中存储所述外部调用和所述顺序的结果；
并且所述主服务器和所述备用服务器被连接，这样：
i)在所述主服务器接收的来自所述至少一个客户机的消息；以及
ii)所述外部调用在高速缓存中存储的结果；
被镜像到所述备用服务器；
当由所述备用服务器保持时，所述库被配置为通过：
i)使用从所述主服务器镜像来的所述被高速缓存存储的结果的内容来返回所述外部调用的结果；
来响应来自与所述消息相关的服务的请求；
所述备用服务器以与所述主服务器相同的顺序，使用所述高速缓存来处理所述消息，这样在所述主服务器和所述备用服务器中存储的所述共享资源是基本上相同的，并且如果所述主服务器发生故障，备用服务器变成被指定为所述主服务器并且以基本透明的方式代表所述客户机来继续处理附加消息。

2、  根据权利要求1所述的系统，其特征在于，所述高速缓存被保持在易失性存储器中。

3、  根据权利要求1所述的系统，其特征在于，所述系统是电子交易系统中的一部分，并且所述服务是交易引擎的一部分；所述系统包括两个附加客户机，每个都向所述主服务器提交两个附加消息；所述附加消息中的每一个被以与所述消息基本相同的方式被处理。

4、  根据权利要求3所述的系统，其特征在于，所述消息中的一个代表买入指令和接收到的所述两个附加消息，该附加消息在不同的但是几乎相同的时间被接收到，所述两个附加消息都代表符合所述买入指令的条件的卖出指令；这样如果主服务器发生故障，备用服务器继续处理所述消息，这样所述卖出指令中的较早的一个与所述买入指令匹配。

5、  根据权利要求4所述的系统，其特征在于，所述外部资源是操作系统时间戳和市场反馈。

6、  根据权利要求1所述的系统，其特征在于，所述外部资源是操作系统时间戳。

7、  一种用于故障切换的系统，包括：
至少一个客户机，选择性地可连接到经由网络连接的至少两个互连的服务器之一；当被连接到所述客户机时，所述服务器中的一个被指定为主服务器，并且当未连接到所述客户机时，所述服务器中的剩余服务器被指定为备用服务器；所述至少一个客户机被配置为向所述主服务器发送消息；
所述服务器被配置为代表所述客户机使用多线程来处理所述消息，并且保持与处理所述消息所使用的每个所述线程都可以访问共享资源；
所述主服务器被配置为通过进行与所述消息中的一个或多个相关的对外部资源的至少一个外部功能调用来处理所述消息；
所述主服务器被配置为向所述备用服务器镜像下述内容：
i)所述消息；
ii)与所述消息相关的所述外部功能调用的结果；以及
iii)用于处理所述消息的顺序；
所述备用服务器被配置为使用根据所述顺序从所述主服务器接收到的所述镜像的外部功能调用结果来处理所述消息，这样在借助所述服务器中的每一个来处理所述消息时，所述主服务器和所述备用服务器中存储的所述共享资源是基本相同的。

8、  一种用于故障切换的系统，包括：
至少一个客户机，选择性地可连接到经由网络连接的至少两个互连的服务器之一；当被连接到所述客户机时，所述服务器中的一个被指定为主服务器，并且当未连接到所述客户机时，所述服务器中的剩余服务器被指定为备用服务器；所述至少一个客户机被配置为向所述主服务器发送消息；
所述服务器被配置为使用至少一个服务来处理所述消息，所述服务在每一个所述服务器中都是相同的，并且不知道与所述服务相关的服务器是作为主服务器还是备用服务器工作；
所述服务器还被配置为保持一个库，该库指明了该服务器是主服务器还是备用服务器；
每个服务器中的所述服务被配置为经由与其相关的所述库来进行至少一个外部调用；
所述主服务器中的所述库被配置为完成所述外部调用，并且向所述主服务器中的所述服务返回所述外部调用的结果，并且向所述备用服务器中的所述服务转发所述外部调用的结果。

9、  根据权利要求8所述的系统，其特征在于，所述库被实现为一组或多组相异的可用代码。

10、  根据权利要求8所述的系统，其特征在于，所述服务器每个都被配置为保持共享资源，其中所述服务可以存储处理所述消息的结果。

11、  根据权利要求10所述的系统，其特征在于，所述共享资源被保持在相关服务器的随机访问存储器中。

12、  根据权利要求8所述的系统，其特征在于，所述外部调用是对时间戳的请求。

13、  根据权利要求8所述的系统，其特征在于，所述系统是电子交易系统中的一部分，消息是买卖证券的指令，并且所述外部调用是对所述证券的价值的市场反馈报价的请求。

14、  根据权利要求8所述的系统，其特征在于，所述至少一个服务包括下达指令服务、指令取消服务、指令改变服务、指令匹配服务、进入之前执行的交易的服务或者进入交叉交易的服务中的一个。

15、  根据权利要求10所述的系统，其特征在于，所述主服务器中的所述服务被配置为仅在所述备用服务器确认了所述外部调用的所述结果已经被成功地转发给所述备用服务器时，才向所述客户机确认已经处理了所述消息。

16、  根据权利要求10所述的系统，其特征在于，所述主服务器中的所述服务被配置为不管所述备用服务器是否确认了所述外部调用的所述结果已经被成功地转发给所述备用服务器，都向所述客户机确认已经处理了所述消息。

17、  根据权利要求16所述的系统，其特征在于，如果在预定时间段中，备用服务器没有确认所述外部调用的所述结果已经被成功地转发给所述备用服务器，则所述主服务器将认为所述备用服务器出现了故障。

18、  一种用于系统中的故障切换的方法，包括：
至少一个客户机，选择性地可连接到经由网络连接的至少两个互连的服务器之一；当被连接到所述客户机时，所述服务器中的一个被指定为主服务器，并且当未连接到所述客户机时，所述服务器中的剩余服务器被指定为备用服务器；所述至少一个客户机被配置为向所述主服务器发送消息，所述方法包括：
将所述服务器配置为使用至少一个服务来处理所述消息，所述服务在每一个所述服务器中都是相同的，并且不知道与所述服务相关的服务器是作为主服务器还是备用服务器工作；
将所述服务器配置为保持一个库，该库指明了该服务器是主服务器还是备用服务器；
将所述服务配置为经由与其相关的所述库来进行外部调用；和
将所述主服务器中的所述库配置为完成所述外部调用，并且向所述主服务器中的所述服务返回所述外部调用的结果，并且向所述备用服务器中的所述服务转发所述外部调用的结果。

19、  一种计算机可读介质，该介质存储了经由网络连接的至少两个互连的服务器中的一个上可以执行的程序指令，所述服务器选择性地可连接到至少一个客户机；当被连接到所述客户机时，所述服务器中的一个被指定为主服务器，并且当未连接到所述客户机时，所述服务器中的剩余服务器被指定为备份服务器；所述至少一个客户机被配置为向所述主服务器发送消息，所述程序指令包括：
用于将所述服务器配置为使用至少一个服务来处理所述消息的指令，所述服务在每一个所述服务器中都是相同的，并且不知道与所述服务相关的服务器是作为主服务器还是备用服务器工作；
用于将所述服务器配置为保持一个库的指令，该库指明了该服务器是主服务器还是备用服务器；
用于将所述服务配置为对与其相关的所述库来进行外部调用的指令；和
用于将所述主服务器中的所述库配置为完成所述外部调用、并且向所述主服务器中的所述服务返回所述外部调用的结果、并且向所述备用服务器中的所述服务转发所述外部调用的结果的指令。

故障切换系统和方法
技术领域
本发明涉及计算机和网络体系结构，并且更具体地涉及故障切换系统和方法。
背景技术
社会越来越依靠计算机和网络来进行交互和开展业务。为了获得关键系统中要求的高级别可用性，应当将由软件和硬件缺陷引起的计划外停机降低到最小。
金融服务行业是要求高可用性系统的行业中的一个实例。实际上，当今金融行业中的大量数据处理活动都是由计算机系统支持的。最有趣的是所谓的“实时”和“接近实时”在线交易处理(OLTP)应用，该应用通常在很长的时段中以高速度且低延迟地处理大量商业交易。这些应用通常显示出下述特性：(1)复杂和高速度数据处理，(2)可靠的非易失性数据存储，和(3)高级别可用性，即在基本不受干扰的基础上支持服务的能力。但是在实施时，由于它们对系统行为的互相矛盾的影响，现有的系统倾向于在这些性能要求之间折衷，不存在如同后面将详细描述的、能同时完全满足全部三个特性的方案。
首先，复杂数据处理指的是以及时的方式执行大量计算、数据库检索/更新等的能力。这可以通过并行处理实现，其中在同一物理机器上或分布式网络上同时执行多个工作单元。在一些系统中，每个交易的结果是基于之前完成的交易的结果。由于竞态条件、操作系统调度任务或者各种网络延迟，这样的系统的并行方面天生就是非确定性的，既不能预测消息和线程执行的顺序，也不能简单地通过将输入消息的副本传递给复制系统来并行地处理该消息和线程执行。非确定性系统具有非恒定的输出，因此它们不是在两个不同计算机器上并行运行的、虽然其本意是在出现故障时用一个代替另一个。
其次，可靠的非易失性数据存储指的是甚至在系统的一些软件或者硬件组件经历意料之外的故障时，持久地存储数据的能力。这通常是通过在存取或者修改共享数据时，使用原子性、一致性、隔离性和持久性(“ACID”)交易实现的。一个单元的工作一完成，ACID交易就可以保证数据的完整性和持久性。每个提交的ACID交易被写入非易失性计算机存储器(硬盘)，该存储器协助确保数据持久性，但是这样很耗费性能，通常拖慢了整个系统。
第三，高可用性系统尝试确保给定计算机系统的可用性百分比尽可能接近100％的时间。可以通过使用冗余软件和/或硬件实现这样的可用性，当检测到组件故障时，冗余软件和/或硬件接管功能。为了取得成功，故障切换不仅复制数据，还复制处理状态。如同本领域的技术人员所理解的，在非确定性系统(即同样一组事件的计算处理根据这些事件的处理顺序可以获得多于一个结果的系统)中状态复制尤其具有挑战性。
高可用性软件应用通常被配置在冗余环境中，从而减少和/或消除故障的单一点，该点通常与基础硬件相关。已知的两个常规方法是热故障切换和温故障切换。热故障切换指的是同时在多个系统中处理同一输入，本质上是在这些系统中的出现一个故障时提供完全冗余。温故障切换指的是在备份系统中复制应用的状态(即数据)，而不在备份系统中处理该数据，但是具有可以在主系统出现故障时处理加载的数据并且待机的应用。被很多人不视为一种高可用性的冷故障切换指的是简单地唤醒备份系统和将备份系统准备用于承担主系统的处理责任。
在热故障切换中，应用的两个实例同时运行在两个不同的硬件设备上，处理同一输入的副本。如果它们中的一个经历严重的故障时，附加的同步系统可以确保另一个将继续支持工作负载。在温故障切换配置中，这些系统中的被指定为主要的一个运行该应用；在出现故障时，被指定为备份的、处于待机状态等待的第二系统将“苏醒”，接管和恢复功能。
现有技术的热故障切换方式至少具有两个缺点。首先，附加软件必须运行从而确保两个系统同步。在不确定性系统的情况下，该同步努力可能导致不能接受的(或者不希望的)性能降低和必须保证事件到达的顺序完全一致的复杂性。同样，在这样的应用中使用的现有并行系统通常允许多个线程同时执行，因此它们天生就是非确定性的。同样带有服务器和地理上分散的客户机的系统也是非确定性的，其中各种网络延迟以无法预测的顺序向服务器发送消息。
温故障切换可以被用于克服热故障切换的某些问题。通过将系统数据复制到冗余备份系统，并且随后在第二系统恢复应用功能，温故障切换可以成为实现非确定性系统的故障切换的另一种方式。该方式的缺点在于将数据恢复为一致状态、随后将应用带到功能状态，并且最后，将应用恢复到它从处理中离开的位置这一过程所需要的时间。该过程通常花费几小时，需要人工干涉并且不能完全恢复进行中的交易。
很多专利试图解决前述问题中的至少一部分。第5,305,200号美国专利所提出的方案本质上是用于顾客/经销商与经纪人(准备买卖未上市证券的经纪人)之间议价贸易场景中通信的反拒认(non-repudiation)机制。提供冗余从而确保在出现故障时反拒认机制能够工作。它没有解决非确定性环境中的在线交易应用的故障切换。简单地说，在经历了网络故障后，第5,305,200号美国专利被用于向下述疑问提供毫不含糊的答案：“是否发送了指令？”
第5,381,545号美国专利提出了用于备份已存储的数据(在数据库中)同时还对这些数据进行更新的技术。第5,987,432号美国专利提供了用于为区域分布而安装全世界金融市场数据的可容错的市场数据自动收录机系统。这是一个确定性的环境，并且解决方案集中在向消费者提供不受干扰的单向数据流。第6,154,847号美国专利提供了通过将传统非易失性存储器上的交易日志与易失性存储器中的交易列表合并来回滚交易的改进方法。第6,199,055号美国专利提供了一种在系统和便携式处理器之间经由不安全的通信连接进行分布式交易的方法。第6,199,055号美国专利研究的是用于确保与远程设备完整交易的认证，以及在出现故障时重启远程设备。总体而言，前述这些专利都没有解决在非确定性环境中的在线交易应用的故障切换。
第6,202,149号美国专利提供了用于自动地重分配任务从而减少计算机停机影响的方法和装置。该装置包括至少一个由一个或多个计算系统组成的冗余群组，所述计算系统本身就是由一个或多个计算分区组成的。分区包括数据库模型的副本，数据库模型在每个计算系统部分被复制。冗余群组监视计算系统和计算系统分区的状况，并且根据监视到的计算系统的状况向计算系统分配任务。第6,202,149号美国专利的一个问题是它没有教导在备份系统接管处理交易的责任时，如何恢复工作流，反而采用了效率很差的和/或缓慢的复制整个数据库的方式。进一步，这样的复制可以引起丢失处理中的重要交易信息，特别是在主系统或者连接主系统和备份系统的网络上出现故障时，从而导致了主系统和备份系统之间的状态不一致。整体而言，第6,202,149号美国专利缺少在在线交易处理或类似处理中需要的特定特性，并且由其缺少故障切换非确定性系统所需要的特性。
第6,308,287号美国专利提出了一种方法，其探测组件交易的故障，将其收回，可靠地存储故障指示器以便在系统故障后可以恢复，并且随后使得进一步交易可以使用该故障指示器。它没有解决在非确定性环境中交易应用的故障切换。第6,574,750号美国专利提出了分布式复制对象的系统，其中对象是非确定性的。它提出了一种在出现已复制的对象的故障时，确保一致性并且限制回滚的方法。描述了一种方法，其中对象接收呼入的客户机请求并且将请求ID与对象的副本之前处理的全部请求的日志进行比较。如果找到了相匹配的，随后向客户机返回相关的响应。但是该方法单独不能解决现有的各种问题。
第6,575,750号美国专利的另一个问题是采用了同步调用链，这对于高性能在线交易处理(“OLTP”)应用是不合适的。对于同步调用，客户机在继续之前需要等待回答或者超时提示。被调用的物体依次将变成另一个对象的客户机，传播同步调用链。结果可以是大范围的同步操作，堵塞了客户机处理，并且需要在源头客户机配置很长的暂停时间。
发明内容
本发明的一个方面提供了一种用于故障切换的系统，它包括至少一个客户机，选择性地可连接到经由网络连接的至少两个互连的服务器中的一个。在常规状态下，当被连接到客户机时，服务器中的一个被指定为主服务器，并且当未连接到客户机时，服务器中的剩余服务器被指定为备用服务器。该至少一个客户机被配置为向主服务器发送消息。服务器被配置为使用至少一个服务来处理该消息，该服务在每一个服务器中都是相同的。该服务不知道与该服务相关的服务器是作为主服务器还是备用服务器工作。该服务器还被配置为保持一个执行多种任务的库或者可用代码的其他相异(distinct)一个或多个组，包括指明该服务器是主服务器还是备用服务器。每个服务器中的服务对与其相关的库进行外部调用。主服务器中的库被配置为完成外部调用，并且向主服务器中的服务返回外部调用的结果并且向备用服务器中的服务转发外部调用的结果。当被第二服务器中的服务要求这样做时，第二服务器中的库不进行外部调用，而是简单地向第二服务器中的服务转发从主服务器接收到的外部调用的结果。
该库被实现为一组或多组相异的可用代码。
该服务器中的每个都可以被配置为保持共享资源，服务可以在其中存储处理消息的结果。共享资源可以并且例如为了性能的原因，优选地被保持在相关服务器的随机访问存储器中。但是不需要在随机访问存储器中保持共享资源。
外部调用可以是(作为非限制性的实施例列表)对时间戳的请求、调用在同一服务器上提供的另一个服务、或者调用单独的机器上物理提供的另一个服务。
系统可以是电子交易系统中的一部分，并且消息因此可以是买入或者卖出证券的指令。这样，外部调用可以是对证券的价格的市场反馈报价(market feed quote)的请求。在系统是电子交易系统时，至少一个服务包括下达指令服务、指令取消服务、指令改变服务、指令匹配服务、进入之前执行的交易的服务或者进入交叉买卖交易(cross trade)的服务中的一个。
主服务器中的服务可以被配置为仅在备用服务器确认了外部调用的结果已经被成功地转发给备用服务器时，才向所述客户机确认已经处理了消息。
主服务器中的服务可以被配置为不管所述备用服务器是否确认了外部调用的结果已经被成功地转发给备用服务器，都向客户机确认已经处理了消息。如果在预定时间段中，备用服务器没有确认外部调用的结果已经被成功地转发给备用服务器，则主服务器将认为备用服务器出现了故障。
本发明的另一个方面提供了一种用于系统中的故障切换的方法，包括：
至少一个客户机，选择性地可连接到经由网络连接的至少两个互连的服务器；当被连接到客户机时，服务器中的一个被指定为主服务器，并且当未连接到客户机时，服务器中的剩余服务器被指定为备用服务器；该至少一个客户机被配置为向主服务器发送消息，所述方法包括：
将服务器配置为使用至少一个服务来处理消息，服务在每一个服务器中都是相同的，并且不知道与服务相关的服务器是作为主服务器还是备用服务器工作；
将服务器配置为保持一个库，该库指明了该服务器是主服务器还是备用服务器；
将服务配置为对与其相关的库来进行外部调用；和
将主服务器中的库配置为完成外部调用，并且向主服务器中的服务返回外部调用的结果并且向备用服务器中的服务转发外部调用的结果。
本发明的另一个方面提供了一种计算机可读介质，该介质存储了经由网络连接的至少两个互连的服务器中的一个上可以执行的程序指令，服务器选择性地可连接到至少一个客户机。当被连接到客户机时，服务器中的一个被指定为主服务器，在这种情况下，当未连接到所述客户机时，服务器中的剩余服务器被指定为备用服务器。该至少一个客户机被配置为向主服务器发送消息。该程序指令包括：
用于将服务器配置为使用至少一个服务来处理消息的指令，服务在每一个服务器中都是相同的，并且不知道与服务相关的服务器是作为主服务器还是备用服务器工作；
用于将服务器配置为保持一个库的指令，该库指明了该服务器是主服务器还是备用服务器；
用于将服务配置为对于其相关的库来进行外部调用的指令；和
用于将主服务器中的库配置为完成外部调用的指令，并且向主服务器中的服务返回外部调用的结果并且向备用服务器中的服务转发外部调用的结果。
附图说明
现在将以举例的方式参照附图来描述本发明，其中：
图1是根据本发明的一个实施例用于故障切换的系统的示意图；
图2是图1中的系统工作在常规状态下并且包括在该系统的服务器上执行的各种软件元件的示例性细节的示意图；
图3是表示在常规状态下操作根据本发明的一个实施例的用于故障切换的系统的方法的流程图；
图4示出了执行图3中的方法过程中的图2中的系统；
图5示出了执行图3中的方法过程中的图2中的系统；
图6示出了执行图3中的方法过程中的图2中的系统；
图7示出了执行图3中的方法过程中的图2中的系统；
图8示出了执行图3中的方法过程中的图2中的系统；
图9示出了执行图3中的方法过程中的图2中的系统；
图10示出了执行图3中的方法过程中的图2中的系统；
图11示出了执行图3中的方法过程中的图2中的系统；
图12示出了执行图3中的方法过程中的图2中的系统；
图13示出了执行图3中的方法过程中的图2中的系统；
图14示出了执行图3中的方法过程中的图2中的系统；
图15是表示根据本发明的另一个实施例的用于故障切换的方法的流程图；
图16示出了根据本发明的另一个实施例的、服务器中的一个在仅有主服务器的状态下工作的图2中的系统；
图17示出了根据本发明的另一个实施例的、服务器中的其他服务器在仅有主服务器的状态下工作的图16中的系统；
图18是示出了根据本发明的另一个实施例的用于操作服务器中的一个服务器在仅有-主服务器的状态下工作的方法的流程图；并且
图19是示出了根据本发明的另一个实施例的从常规状态向工作在仅有主服务器的状态下的备用服务器进行故障切换的方法的流程图。
具体实施方式
现在参照图1，由50整体指示用于故障切换的系统。系统50包括多个远程客户机54-1和54-2(此处一般指代“客户机54”和统称指代“客户机组54”。该术语用于附图中的其它元件)。客户机组54与网络58连接。网络58可以是任何类型的计算网络，例如因特网、局域网、广域网或者上述网络的组合。接下来，网络58连接到第一服务器62-1和第二服务器62-2。因此，如同后面将详细描述的，客户机组54中的每一个都可以经由网络58与服务器62-2和服务器62-2通信。
客户机组54中的每一个都属于将使用它们的相关客户机54向服务器62-2提交请求的个人和/或实体。为了方便，这样的个人或实体在此被称为交易者T，交易者T-1使用客户机54-1，并且交易者T-2使用客户机54-2。每个客户机54通常是计算设备，例如具有键盘和鼠标(或其他输入设备)的个人计算机、显示器(或其他输出设备)以及连接了键盘、鼠标和显示器并且容纳了一个或多个中央处理单元、易失性存储器(即随机访问存储器)、非易失性存储器(即硬盘设备)和允许客户机54在网络58上通信的网络接口的桌面模块。但是应当理解，客户机54可以是任何类型的计算设备，例如个人数字助理、手机、手提电脑、邮件寻呼设备等。
服务器62可以是能接受和处理来自客户机54的消息的任何类型的计算设备，例如来自加利福尼亚州帕罗奥多的太阳微系统公司的太阳火V480，它运行UNIX操作系统并且具有四个中央处理单元，每个单元在大约900MHZ的频率工作，并且具有大约四十亿字节的随机访问存储器和非易失性存储器设备例如硬盘驱动器。适合服务器62的另一种类型的计算设备是来自科罗拉多州来福兰德市南塔夫脱800号惠普公司的HP ProLiant BL25P。但是，应当强调的是这些特定服务器都仅仅是示意性的，用于服务器62-1和62-2的大量其它类型的计算环境也在本发明的范围之内。由服务器62-1接收和处理的消息的类型并没有具体限制，但是在本实施例中，服务器62-1运行在线交易系统，并且因此可以处理的消息包括对可以在线交易的证券的买入、卖出和取消等请求。更具体地，服务器62-1可以保持中央匹配引擎(未示出)，其中彼此对照并且对照指令的中央知识库来执行请求从而处理证券的交易。
服务器62-2通常具有与服务器62-1相同的(或者至少基本相同的)计算环境。如同后面将进一步解释的，包括其硬件、操作系统、应用等的计算环境因此被选择为在服务器62-1出现故障时使得服务器62-2可以代替服务器62-1的功能。
系统50还包括与服务器62-1和服务器62-2互连的副本连接78。在当前实施例中，副本连接78本身包括主连接82和故障保护连接86从而在服务器62-1和服务器62-2之间提供更可靠的通信。
在后面的描述中，与主服务器62-1、备用服务器62-2和副本连接78相关的更多细节，和通过扩展可以用于实现服务器62-1和62-2的各种硬件类型将变得更清楚。
在图2中，更详细地示出了服务器62-1和62-2。还要注意的是，在图2中以虚线示出了各种连接，从而表示系统50中的各种元件之间的虚拟连接，这与图1中表示系统50的各种元件之间的物理连接的实线连接不同。因此，图2中示出的这样的连接旨在示出系统50以常规状态工作，由此服务器62-1被指定为主服务器，并且服务器62-2被指定为备用服务器，主服务器62-1服务来自客户机54的请求。将在下面提供关于常规状态的进一步细节和系统50可以工作的其他状态。
仍然参考图2，服务器62-1和服务器62-2每个都包括多个软件元件，该软件元件在它们各自的硬件环境上执行从而服务来自客户机的请求并且提供故障切换功能。
服务器62-1和服务器62-2每个都分别包括故障切换代理90-1和90-2。故障切换代理90彼此通信，并且可以周期性地测试连接78和彼此的完整性。在本实施例中，在常规状态中，故障切换代理90-1将周期性地向故障切换代理90-2发送保持-激活信号(例如“你是否激活？”)，希望故障切换代理90-2周期性地响应(例如“我是”)该信号。假设这样的请求由故障切换代理90-2响应，并且假设主服务器62-1继续常规工作，随后系统50将保持处于图2中示出的常规状态。因此，故障切换代理90-1也可以与服务器62-1中的其他软件元件通信，从而指明常规状态可用。
现在可以知道的是，如同恰当的或者所希望的，故障切换代理90可以操作使用共同组成连接78的主连接82和故障保护连接86。这样，只要主连接82和故障保护连接86之一可以工作，系统50就可以保持常规状态。
服务器62每个都包括一个或多个可以接收和处理来自一个或多个客户机54的各种请求的服务。服务的类型并不具体受限，并且可以包括任何类型的服务、应用或者处理或者类似的服务，这些服务都需要故障切换。在当前单纯的示范性实施例中，系统50是在线交易系统，服务器62中的每一个都包括指令下达服务94和指令取消服务98。如同名字所暗示的，指令下达服务94被配置为从客户机54接收请求以便为特定的证券下达卖出指令或者买入指令。如同名字所暗示的，指令取消服务98被配置为从客户机54接收请求以便为特定证券取消之前使用服务94下达的，但是在特定指令被实际完成之前的卖出或买入指令。对于电子商务领域的技术人员所知晓的可以实现的其他类型的服务包括但是不限于指令匹配、改变指令、进入交易或者进入交叉交易。在本实施例中，服务94和98是多线程的，但这不是必需的。(如同此处使用的，多线程并不是以狭窄含义使用的，而是指代各种类型的并行处理，其中多个消息被同时处理，这进一步加剧了系统的非确定性本质。例如可以使用多个处理或者使用单一处理的执行中的多个线程来实现多线程。)
服务器62每个都包括库102，该库可以由相应的服务94和98分别访问。每个库102包括定续器106和高速缓存110。如同在后面将更详细描述的，定续器106响应来自服务94或98对库102的请求而产生顺序编号。定续器106-2在常规状态是未激活的，并且这样的未激活在图2中是由穿过代表定续器106-2的椭圆的斜线表示的。(在其他元件中使用的斜线用于表示该元件在任何给定特定状态是激活的还是未激活的。)高速缓存110是用于由库102执行的外部功能调用的结果的存储区域。
每个库102还包括保持系统50当前运行状态的状态寄存器114，并且寄存器持续地与它相关的故障切换代理90通信从而确认系统50当前运转的状态。在图2中，系统50在常规状态下工作，并且因此状态寄存器114-1指明服务器62-1当前被指定为主服务器，而状态寄存器114-2指明服务器62-2当前被指定为备用服务器。但是，如同后面将更详细描述的，系统的状态可以根据系统50中的各种不同组件的工作状态改变。
服务器62中的每一个还包括外部资源代理118，它负责代表服务94和98对外部资源进行外部调用，但是是通过库102进行的。外部资源可以包括在服务94和98之外的但是常驻在每个服务器62上的资源，例如来自操作系统时钟的时间戳(未示出)，和/或在每个服务器62之外的资源，例如在电子交易系统的情况下，为各种证券保持市场价格的最新信息的市场反馈(market feed)(未示出)，该价格是经由指令下达服务94下达的买入指令或者卖出指令的主题。本领域的技术人员将了解，服务94和98对这样的外部资源进行的调用加剧了系统50的非确定性本质。在常规状态，只有外部资源代理118-1是激活的，而外部资源代理118-2是非激活的。外部资源代理118-2的非激活在图2中是由穿过代表外部资源代理118-2的椭圆的斜线表示的。
服务器62中的每一个还保持共享的资源122，该资源保持由服务94和98执行的处理步骤的结果，和/或保持可能需要由服务94和98访问的数据。例如，在本实施例的电子交易系统中，共享的资源122保持指令簿，该指令簿仅仅是由服务94下达的一组指令的记录。因此，指令下达服务94可以例如在共享资源122中创建买入指令的记录。这样的买入指令可能需要由指令取消服务98在迟一点时间访问，从而取消买入指令，并且在共享资源122中这样指明。类似地，买入指令将需要被匹配服务(未示出)访问，该匹配服务还在服务器62上执行从而根据市场规则将买入指令与特定对应的卖出指令相匹配，并且更新该买入指令和卖出指令从而指明实现了匹配并且将完成交易。
服务器62中的每一个都保持复制代理126。在常规状态下，只有复制代理126-2是激活的，而复制代理126-1是未激活的，复制代理126-1的未激活在图2中由穿过代表复制代理126-1的椭圆的斜线表示。如同后续将详细描述的，激活的复制代理126与对应服务器62中的库102通信从而协助从主服务器向备用服务器镜像信息。
现在参考图3，用300整体指示根据本发明另一个实施例的在常规状态中处理请求的方法。为了帮助解释该方法，假设使用图2中示出的常规状态下的系统50运行该方法。进一步，方法300的后续讨论将协助进一步了解系统50和它的不同组件。但是仅仅为了方便，方法300的各种处理步骤在图3中被示出为出现在系统50的特定组件中。不能以受限的含义理解这样的指示。但是应当理解，系统50和/或方法30可以变化，并且不需要如同此处所讨论的那样工作，并且方法300中的步骤不需要以所示出的顺序执行。这样的变化在本发明的范围内。这样的变化还适用于此处讨论的其他方法和系统框图。
首先在步骤310开始，从客户机接收消息。消息的类型并不具体受限，并且通常是用于输入在服务器上执行的一个服务的所期望的类型的补充。当在系统50上执行时，消息因此可以是希望作为指令下达服务94的输入的买入指令或者卖出指令，或者可以是希望用于指令取消服务98的的输入的取消指令。例如，假设由交易者T-1在来自客户机54-1的消息中放入买入指令，并且消息通过网络58发送给指令下达服务94-1，其中根据步骤310，由指令下达服务94-1接收消息。在图4中示出了步骤310的示例性执行，消息M(O₁)被显示为来自客户机54-1，并且在指令下达服务94-1处在服务器62-1被接收。表1示出了指令下达消息M(O₁)的示例性格式。
表I
消息M(O₁)