【論文摘要】在分布式多層應(yīng)用系統(tǒng)中，把應(yīng)用程序服務(wù)器分布在兩臺或更多的計(jì)算機(jī)中執(zhí)行，根據(jù)負(fù)載平衡的原理，客戶端應(yīng)用程序連接到其中一臺計(jì)算機(jī)的應(yīng)用程序服務(wù)器要求服務(wù)。如果客戶端應(yīng)用程序當(dāng)前連接的應(yīng)用程序服務(wù)器計(jì)算機(jī)發(fā)生故障而無法繼續(xù)執(zhí)行，在Agent的幫助下，他可以動態(tài)連接到其他機(jī)器中的應(yīng)用程序服務(wù)器繼續(xù)要求新的應(yīng)用程序服務(wù)器為其提供服務(wù)。如果運(yùn)行應(yīng)用服務(wù)器的所有機(jī)器都發(fā)生故障，仍可以在客戶端保存更新的資料，待應(yīng)用程序服務(wù)器的機(jī)器恢復(fù)功能后，再自動把原先保存的資料更新回遠(yuǎn)程數(shù)據(jù)庫服務(wù)器中，使得分布式多層應(yīng)用系統(tǒng)的容錯性能得到極大的提高。

1系統(tǒng)介紹
過去開發(fā)軟件時，沒有考慮充分實(shí)現(xiàn)系統(tǒng)的容錯功能，有些軟件雖然有簡單的容錯功能，但是以犧牲系統(tǒng)的效率為代價。當(dāng)前，由于一些計(jì)算機(jī)硬件存在缺陷，且計(jì)算機(jī)病毒的蔓延以及其他諸如停電、自然災(zāi)害等原因，導(dǎo)致計(jì)算機(jī)系統(tǒng)陷于癱瘓是非常普遍的現(xiàn)象。在分布式多層體系結(jié)構(gòu)中，應(yīng)用服務(wù)器的穩(wěn)定對整個系統(tǒng)的穩(wěn)定起著至關(guān)重要的作用，應(yīng)用程序服務(wù)器發(fā)生故障，所有的客戶端都會癱瘓，而應(yīng)用服務(wù)器端發(fā)生故障是普遍的現(xiàn)象。當(dāng)客戶端應(yīng)用程序正在請求執(zhí)行一些重要任務(wù)時，決不希望因?yàn)閼?yīng)用程序服務(wù)器的故障而造成整個多層應(yīng)用系統(tǒng)無法工作（在其他的很多系統(tǒng)中，因?yàn)閼?yīng)用程序服務(wù)器無法工作從而導(dǎo)致整個系統(tǒng)癱瘓是不足為奇的），鑒于此，在軟件開發(fā)中，采用了多級容錯技術(shù)防止災(zāi)難的發(fā)生。在分布式多層應(yīng)用系統(tǒng)中，應(yīng)用程序服務(wù)器運(yùn)行在多臺計(jì)算機(jī)上，如果正在執(zhí)行任務(wù)的應(yīng)用程序服務(wù)器所在的機(jī)器發(fā)生故障而無法繼續(xù)執(zhí)行時，客戶端應(yīng)用程序探測到錯誤后，轉(zhuǎn)而自動連接到其他計(jì)算機(jī)中的應(yīng)用程序服務(wù)器繼續(xù)要求新的服務(wù)器為其提供服務(wù)。如果運(yùn)行應(yīng)用程序服務(wù)器的所有計(jì)算機(jī)都發(fā)生故障，系統(tǒng)可以把數(shù)據(jù)暫時保存在客戶端計(jì)算機(jī)中，保證客戶端當(dāng)前操作過的資料不會丟失，等到有應(yīng)用服務(wù)器恢復(fù)功能時，客戶端計(jì)算機(jī)再通過他自動把資料傳回遠(yuǎn)程數(shù)據(jù)庫服務(wù)器中，這樣，分布式多層應(yīng)用系統(tǒng)就具有極高的容錯性和穩(wěn)定性。
開發(fā)工具應(yīng)用程序服務(wù)器和客戶端采用Borland公司的Delphi 7.0開發(fā)；數(shù)據(jù)庫采用微軟的數(shù)據(jù)庫SQL Server 2000。
系統(tǒng)結(jié)構(gòu)在分布式多層應(yīng)用系統(tǒng)中，公共邏輯分發(fā)到應(yīng)用服務(wù)器上，分散的客戶端可以從異地遠(yuǎn)程調(diào)用，客戶端不能直接連接數(shù)據(jù)庫，只能通過應(yīng)用程序服務(wù)器與數(shù)據(jù)庫連接，數(shù)據(jù)連接邏輯獨(dú)立出來，做成公共邏輯放在應(yīng)用程序服務(wù)器上，可以充分實(shí)現(xiàn)系統(tǒng)的容錯功能。系統(tǒng)的結(jié)構(gòu)如所示。

該體系結(jié)構(gòu)包括3部分：
客戶端對應(yīng)于表示層，他存放在各科室的計(jì)算機(jī)上，用于實(shí)現(xiàn)用戶的接口。
應(yīng)用程序服務(wù)器對應(yīng)于功能層，為各客戶端提供公共數(shù)據(jù)服務(wù)，他存放在所有客戶端可訪問的幾臺中心計(jì)算機(jī)上，本文采用的是Delphi中的MIDAS應(yīng)用程序服務(wù)器。
遠(yuǎn)程數(shù)據(jù)庫服務(wù)器用來存儲客戶端的數(shù)據(jù)資料及其公共資料和運(yùn)行Ora cle 8i數(shù)據(jù)庫管理系統(tǒng)。
2系統(tǒng)設(shè)計(jì)
2.1基本原理
Agent(在本系統(tǒng)中采用了一個中介組件TSimple Object Broker)的功能就是負(fù)責(zé)維護(hù)運(yùn)行應(yīng)用程序服務(wù)器機(jī)器的目錄和實(shí)現(xiàn)負(fù)載平衡。
(1)當(dāng)正在運(yùn)行應(yīng)用服務(wù)器的機(jī)器發(fā)生故障時，Agent把這臺機(jī)器從目錄中刪除，當(dāng)故障機(jī)器恢復(fù)功能時，又把他的加進(jìn)目錄。
(2)當(dāng)有許多的客戶端應(yīng)用程序需要連接應(yīng)用程序服務(wù)器時，Agent能夠分配不同的客戶端應(yīng)用程序連接到不同機(jī)器之中，以便平均每一臺應(yīng)用服務(wù)器的負(fù)荷。
操縱數(shù)據(jù)庫信息的邏輯是處在AppServer上， AppServer與數(shù)據(jù)庫交互，從而使不同的客戶端應(yīng)用程序能夠共享數(shù)據(jù)，這樣，可以使客戶端應(yīng)用程序很“瘦”，因?yàn)閺?fù)雜的業(yè)務(wù)邏輯全放在了應(yīng)用服務(wù)器上?？蛻舳瞬荒苤苯硬倏v數(shù)據(jù)庫，只能通過應(yīng)用服務(wù)器這個中介，通過應(yīng)用程序服務(wù)器，客戶端只能操縱規(guī)定范圍的數(shù)據(jù)，這樣可以有效地防止非法用戶操作破壞數(shù)據(jù)。當(dāng)客戶端要運(yùn)行應(yīng)用程序時，首先必須激活任意一臺AppServer，再通過App Server連接遠(yuǎn)程的數(shù)據(jù)庫(必須是數(shù)據(jù)庫授權(quán)的用戶)，才能訪問數(shù)據(jù)庫中的數(shù)據(jù)，這樣保證了數(shù)據(jù)的安全。如果只把應(yīng)用服務(wù)器運(yùn)行在一臺計(jì)算機(jī)上，那么該系統(tǒng)不能達(dá)到容錯的效果，系統(tǒng)要求至少要2臺計(jì)算機(jī)加載應(yīng)用程序服務(wù)器，如果有多臺計(jì)算機(jī)，可以把同樣的AppServer分發(fā)到每一臺計(jì)算機(jī)上，這樣就能限度地實(shí)現(xiàn)系統(tǒng)的穩(wěn)定和容錯。
2.2方法和實(shí)現(xiàn)
這里以2臺計(jì)算機(jī)分別運(yùn)行應(yīng)用程序服務(wù)器（AppServer1和AppServer2）為例說明系統(tǒng)如何工作（多于兩臺計(jì)算機(jī)的情形是完全一樣的）。若只有一個客戶端，他可以連接應(yīng)用服務(wù)器1或應(yīng)用服務(wù)器2，當(dāng)客戶端有2個以上時，根據(jù)負(fù)載平衡的原理，服務(wù)器1和 服務(wù)器2一定會同時工作?，F(xiàn)在，假定只有一個客戶端連接到應(yīng)用服務(wù)器1進(jìn)行數(shù)據(jù)錄入（多個客戶端的道理是一樣的），如果在客戶端調(diào)用ApplyUpdate方法保存數(shù)據(jù)的那一瞬間，應(yīng)用程序服務(wù)器1突然故障了，這會導(dǎo)致ApplyUpdates方法執(zhí)行失敗，而且操作系統(tǒng)的COM/DCO M執(zhí)行時期函數(shù)庫將回傳一個錯誤，客戶端應(yīng)用程序必須能夠處理這個錯誤，否則，客戶端應(yīng)用程序更新的數(shù)據(jù)可能會丟失。如果此時有另外一個應(yīng)用程序服務(wù)器激活并且向Agent注冊，或者在Agent中已經(jīng)有其他的應(yīng)用程序服務(wù)器存在的話，那么客戶端應(yīng)用程序就可以使用這些額外的應(yīng)用程序服務(wù)器來處理更新的數(shù)據(jù)。問題是怎樣讓Agent分派另外一個提供相同服務(wù)的應(yīng)用程序服務(wù)器給客戶端應(yīng)用程序呢？假設(shè)恰好此時在網(wǎng)絡(luò)中有另外一臺機(jī)器正在運(yùn)行應(yīng)用程序服務(wù)器2，AppServer2向Agent注冊。此情況如所示。

的情形發(fā)生后，客戶端應(yīng)用程序可以遵照的步驟和Agent通訊。首先當(dāng)客戶端應(yīng)用程序察覺AppServer1已經(jīng)故障后，可以立刻調(diào)用Agent的SetConnectedStatus(false)通知Agen t AppServer1發(fā)生了故障無法繼續(xù)使用，然后調(diào)用Agent的GetComputerForProgID要求Agent搜尋另外一臺提供相同服務(wù)的AppServer給客戶端應(yīng)用程序。

當(dāng)Agent接受到要求后，他會在他維護(hù)的AppServer目錄中搜尋一臺提供相同服務(wù)而且可以工作的應(yīng)用程序服務(wù)器回傳給客戶端應(yīng)用程序。如所示。

當(dāng)客戶端應(yīng)用程序再次從Agent接收到其提供的應(yīng)用程序服務(wù)器后，就可以調(diào)用這個新的應(yīng) 用程序服務(wù)器的ApplyUpdates方法要求他更新數(shù)據(jù)。此時的更新數(shù)據(jù)一定與故障時的數(shù)據(jù)一樣。在Delphi 的MIDAS 3.0中，客戶端應(yīng)用程序維護(hù)了一個Delta屬性，這 是一個很特別的屬性，他的值就是客戶端更新的數(shù)據(jù)，他獨(dú)立于任何應(yīng)用程序服務(wù)器之外?？蛻舳藨?yīng)用程序的更新數(shù)據(jù)都存儲在客戶端數(shù)據(jù)集（TClientDataSet）的Delta屬 性之中。當(dāng)客戶端應(yīng)用程序調(diào)用客戶端數(shù)據(jù)集（TClientDataSet）的ApplyUpdates方法更新 數(shù)據(jù)時，把TClientDataSet的Delta值傳遞給應(yīng)用程序服務(wù)器的數(shù)據(jù)提供者（TDataSetProv ider）的ApplyUpdats方法。因此一個客戶端應(yīng)用程序的Delta值可以傳遞給任何提供相同服 務(wù)的應(yīng)用程序服務(wù)器，只要這個應(yīng)用程序服務(wù)器和原先的應(yīng)用程序服務(wù)器提供相同的服務(wù)，而且都有一個TDataSetProvider組件連接到要更新的數(shù)據(jù)表即可。
由于應(yīng)用服務(wù)器1和客戶端應(yīng)用程序之間會維護(hù)一些內(nèi)部的信息，但是應(yīng)用服務(wù)器2沒有和客戶端維護(hù)這些信息，那么，客戶端應(yīng)用程序如何能夠讓應(yīng)用程序服務(wù)器2更新數(shù)據(jù)呢？即使客戶端應(yīng)用程序和應(yīng)用程序服務(wù)器1中Delphi會維護(hù)一個Cursor信息，但這個信息只是為了讓應(yīng)用程序服務(wù)器知道客戶端應(yīng)用程序下需要的數(shù)據(jù)封包是哪一個。但是這個Cu rsor信息和更新數(shù)據(jù)沒有關(guān)系，數(shù)據(jù)提供者（TDataSetProvider）完全根據(jù)客戶端應(yīng)用程序傳遞來的Delta值作為更新數(shù)據(jù)的依據(jù)，所以，即使應(yīng)用程序服務(wù)器1故障了，只要客戶 端應(yīng)用程序仍然保存了Delta值，那么客戶端應(yīng)用程序就能通過其他的應(yīng)用程序服務(wù)器為他更新數(shù)據(jù)。在MIDAS 3.0中，不論是在客戶端應(yīng)用程序存取數(shù)據(jù)還是更新數(shù)據(jù)都使用無狀態(tài)的觀念來處理數(shù)據(jù)，因此，我們建立的是無狀態(tài)對象，在這種情形下TDataSetProvider不會為客戶端應(yīng)用程序維護(hù)Cursor信息，更新數(shù)據(jù)同樣存在問題。

假設(shè)一段時間后，AppServer1又恢復(fù)了功能，他可以通知Agent把他的狀態(tài)恢復(fù)成可提供服務(wù)的AppServer，當(dāng)Agent接收到且AppServer1又可以提供服務(wù)的消息后，就把他加入到目錄中，Agent內(nèi)部維護(hù)的應(yīng)用服務(wù)器目錄就恢復(fù)成原始的狀態(tài),如所示。此時，Agent內(nèi)部的應(yīng)用服務(wù)器目錄中能提供服務(wù)的應(yīng)用服務(wù)器有AppServer1和AppServer2。
前面已經(jīng)討論了至少一臺應(yīng)用程序服務(wù)器處于良好狀態(tài)的情況。現(xiàn)在，壞的情況出現(xiàn)了，即當(dāng)AppServer1故障后，客戶端應(yīng)用程序欲通過AppServer2更新數(shù)據(jù)時，AppServe r2也故障了，所以，客戶端應(yīng)用程序只好再執(zhí)行SetConnectedStantus(false)方法要求Agent再為他搜尋另外一臺能夠提供相同服務(wù)的應(yīng)用程序服務(wù)器。但是此時所有的應(yīng)用程序服務(wù)器都發(fā)生故障，所以Agent無法再找到任何能夠提供服務(wù)的應(yīng)用程序服務(wù)器，那么客戶端應(yīng)用程序更新的數(shù)據(jù)怎么辦呢？這個時候是不是用戶只好關(guān)閉客戶端應(yīng)用程序，讓更新的數(shù)據(jù)白白丟失，等到有應(yīng)用程序服務(wù)器恢復(fù)運(yùn)作時再重新錄入要更新的數(shù)據(jù)呢？
當(dāng)然，如果你的多層應(yīng)用系統(tǒng)是這樣運(yùn)作而用戶也接受的話，那么沒有什么問題。但是，我們的目標(biāo)是讓系統(tǒng)提供更好的容錯能力，即使所有應(yīng)用程序服務(wù)器故障了，客戶端仍然能夠保存已經(jīng)更新的數(shù)據(jù)而不至于丟失，等到應(yīng)用程序服務(wù)器恢復(fù)時再自動把以前要更新的數(shù)據(jù)更新回后臺數(shù)據(jù)中。
當(dāng)客戶端應(yīng)用程序無法通過任何的應(yīng)用程序服務(wù)器更新數(shù)據(jù)時，可以利用客戶數(shù)據(jù)集組件保存客戶端數(shù)據(jù)的功能，把所有數(shù)據(jù)暫時存儲在文件中，Delphi的TClientDataSet提供 了一個SaveToFile方法，當(dāng)調(diào)用這個方法把數(shù)據(jù)保存于臨時文件時，他同時存儲客戶端記錄原始數(shù)據(jù)和更新數(shù)據(jù)并且自動合并原始數(shù)據(jù)和更新數(shù)據(jù)。當(dāng)應(yīng)用程序服務(wù)器恢復(fù)功能時，可以利用客戶數(shù)據(jù)集組件加載臨時文件中的數(shù)據(jù)，Delphi的TClientDataSet提供LoadFromFile方法加載臨時文件中的數(shù)據(jù)到TClientDataSet之中，再調(diào)用Agent的方法(Delphi中就是GetComputerForProgID)和恢復(fù)功能的應(yīng)用程序服務(wù)器通信，再調(diào)用取得的應(yīng)用程序服務(wù)器的App lyUpdates方法更新數(shù)據(jù)回數(shù)據(jù)庫中。這個過程對客戶端來說是透明的，客戶端并不知道上次數(shù)據(jù)沒有成功寫到遠(yuǎn)程數(shù)據(jù)庫中。
3性能評估
由于本系統(tǒng)采用一個智能Agent來管理運(yùn)行應(yīng)用程序服務(wù)器的機(jī)器名目錄，當(dāng)某客戶端連接的應(yīng)用服務(wù)器故障時，由Agent自動分配一臺計(jì)算機(jī)給客戶端，不會浪費(fèi)客戶端的資源，對客戶端來說，這個過程是透明的，又因?yàn)檫@個容錯的過程是由應(yīng)用程序服務(wù)器完成的，不會影響客戶端的效率。如果運(yùn)行應(yīng)用服務(wù)器的計(jì)算機(jī)有多臺，同一時間運(yùn)行應(yīng)用程序服務(wù)器的全部計(jì)算機(jī)崩潰的概率非常小，系統(tǒng)的穩(wěn)定性就越好。不足之處就是比其他系統(tǒng)多占用了計(jì)算機(jī)。但是，對于要求高可靠性的系統(tǒng)來說，這還是一個較合理的選擇。分布式多層系統(tǒng)中，軟件的容錯很難做到。Windows的COM沒有提供容錯機(jī)制。Corba 本身也沒有提供容錯機(jī)制，只是在Corba 3.0中，新增加了2個異步請求模型：回調(diào)模型和查詢模型，可以采用異步通信機(jī)制來實(shí)現(xiàn)部分容錯?；卣{(diào)模型是一種消息觸發(fā)機(jī)制，不會出現(xiàn)忙等待的現(xiàn)象，但由于回調(diào)的消息驅(qū)動本質(zhì)，使得必須采用關(guān)鍵段和同步對象協(xié)調(diào)客戶端，控制非常復(fù)雜，必須很好地使用各種同步和互斥機(jī)制，客戶必須為每個調(diào)用提供一個額外的應(yīng)答處理對象引用。消息服務(wù)的查詢模型采用傳統(tǒng)的控制模塊，由于采用輪詢的方式，會出現(xiàn)“忙等待”，浪費(fèi)處理器等系統(tǒng)資源，客戶端的處理邏輯和容錯邏輯結(jié)合，難以修改和維護(hù)。對于Corba來說，使用Delphi的MIDAS實(shí)現(xiàn)負(fù)載平衡和容錯更方便。
4結(jié)語
本文提供了實(shí)現(xiàn)多層應(yīng)用系統(tǒng)容錯的基本原理和實(shí)現(xiàn)方法。并且，已經(jīng)把他應(yīng)用于后勤保障輔助決策系統(tǒng)和倉儲管理中，他的可靠性已經(jīng)經(jīng)過評估。首先，在兩臺計(jì)算機(jī)運(yùn)行應(yīng)用程序服務(wù)器，同時運(yùn)行4個客戶端，根據(jù)負(fù)載平衡的原理，2個應(yīng)用服務(wù)器一定在同時工作，更新數(shù)據(jù)前，把其中一臺計(jì)算機(jī)的應(yīng)用程序服務(wù)器關(guān)閉，所有的客戶端通過另一個應(yīng)用服務(wù)器仍然成功地實(shí)現(xiàn)了數(shù)據(jù)的更新。第二步，更新數(shù)據(jù)前，把所有的應(yīng)用服務(wù)器都關(guān)閉，當(dāng)打開一臺應(yīng)用服務(wù)器后，所有的客戶端把上的更新數(shù)據(jù)成功地更新回數(shù)據(jù)庫中。下一步工作是進(jìn)一步提高系統(tǒng)的可靠性和效率。因?yàn)楫?dāng)客戶端很多時，應(yīng)用服務(wù)器的負(fù)荷很重，應(yīng)用服務(wù)器占用大量的系統(tǒng)資源，可能造成應(yīng)用服務(wù)器的不可使用，從而影響相關(guān)的客戶端。還要進(jìn)一步改善負(fù)載平衡的算法，比如：根據(jù)網(wǎng)路的遠(yuǎn)近，運(yùn)行應(yīng)用服務(wù)器計(jì)算機(jī)硬件的性能選擇相應(yīng)的應(yīng)用服務(wù)器。
在這里要注意的是，Delphi 5.0中的TClientDataSet的SaveToFile方法有一個缺陷，即這個方法會通過應(yīng)用程序服務(wù)器取得數(shù)據(jù)表中的所有數(shù)據(jù)（改進(jìn)后只存儲客戶端已存在的數(shù)據(jù)），若數(shù)據(jù)表中存在著大量的記錄，就會造成大量的數(shù)據(jù)在網(wǎng)絡(luò)上流動，從而使網(wǎng)絡(luò)瞬間發(fā)生堵塞，這樣客戶端可能出現(xiàn)等待現(xiàn)象，降低了客戶端的執(zhí)行效率，若數(shù)據(jù)在廣域網(wǎng)絡(luò)中流動，效率進(jìn)一步降低，還需要進(jìn)一步改進(jìn)這個方法。
參考文獻(xiàn)
［1］Scotts Valley. CA 950663249. Developer′s Guide.
［2］郭長國,周明輝,賈焰,等.基于Corba消息服務(wù)的容錯機(jī)制［J］.計(jì)算機(jī)學(xué)報2002，25(10): 1059-1 064.
［3］韓偉峰.Delphi 6程序設(shè)計(jì)教程［M］.北京：清華大學(xué)出版社,2002
［4］李維.Delphi 5.X分布式多層應(yīng)用系統(tǒng)篇［M］.北京：機(jī)械工業(yè)出版社，2000.
［5］黃超，羅宏宇.Delphi網(wǎng)絡(luò)應(yīng)用開發(fā)技術(shù)與實(shí)例［M］.北京：清華大學(xué)出版社，2002.
［6］Mark Baker.Cluster Computing White Paper［D］，University o f Portsmouth, UK.
［7］Rajkumar Buyya.High Performance Cluster Computing Architect ures and Systems［M］.北京：電子工業(yè)出版社，2001.
陽萬安 曹謝東 馮瀟 李振
［8］COM datasheet http://www.hbjingang.com/datasheet/COM_1118194.html.