图1 双机容错系统结构模型
A机和B机各有独自的外围控制逻辑和外设，这样不会引起系统资源的竞争，增加整体系统的稳定性。当然，这样是以花费更多的硬件设施为代价的。比较器及不一致检测用专门设计的仲裁检测电路来实现，其根据A机与B机周期向其发送的自检测信号来判断A机系统和B机系统运行的状况。
双机系统的运行状态如下：
① 如果A机与B机均正常运行，则将计算机A作为主系统，计算机B作为备份使用，A机的运行结果作为系统输出，A机运行到检测点，向B机发送日志，B机更新日志列表。
② 如果A机正常而B机故障，亦将A机的运行结果作为系统输出，同时将B机的运行故障状态报告给A机，并向B机进行复位控制操作。
③ 如果A机故障，B机正常，则进行开关切换操作，B机进行系统备份任务重调度，B机运行结果作为系统输出，并向A机进行复位控制操作，在检测点更新A机日志，保持需要备份的任务状态一致。
2 软件设计与实现
图2所示模型结合嵌入式实时系统的体系结构，采用层次结构和模块结构相结合，无缝整合了计算机硬件、操作系统、应用软件级的软件容错设计。在整体上采用分层的结构模型，克服了软、硬件分离和脱节的问题，提高系统的灵活性和可移植性。模型的每一层均可以看作是一个相对独立的系统。在每一层中按照系统功能，划分不同的功能模块。
图2 双机容错系统软件体系结构
该系统采用对称结构，为支持容错处理，每个节点从下到上分为3个主要部分，即MCFT(Multiprocessor CommunicatiON for Fault Tolerance)、RTOS系统级容错组件、任务级动态冗余组件。
2.1 多机容错通信模块MCFT
在操作系统与硬件之间加入MCFT层，MCFT作为BSP(Board Support Package)的一部分，作为硬件平台的抽象层，为操作系统提供统一的界面，提高系统的可移植性。有容错需求的任务，通过MCFT所提供的功能传递日志，保持主系统和备份系统的关键任务的状态和数据一致。MCFT屏蔽了底层通信的具体实现细节，使系统的实现与连接介质无关。
MPFT管理着一些数据包，并且在各个节点之间发送和接收这些数据包，数据包的结构如下：
2.3 任务级动态冗余
在实时多任务系统中，采用另一种软件冗余方法——任务级动态冗余。任务级动态冗余方法是实时系统中瞬间故障的恢复方法之一。
在实时多任务的环境下，充分利用操作系统提供的功能，对各个基本任务建立后备任务作为冗余，并对后备任务进行容错调度，从而起到类似于重试或卷回恢复的作用。利用检查点技术和传递日志法保持主系统和备份系统的状态的一致性，实现错误恢复，有较高的性价比。
根据应用程序，结合实时性要求，采用以下的措施：
① 把应用程序分解成多个任务，任务以过程的形式出现，各个任务进入运行的顺序是从1到?n，并在每个任务的最后设置检查点，传递日志。
② 根据应用程序的要求事先给各个任务安排优先级，使得任务可以根据要求及时占有处理器，实现实时处理。
③ 为各基本任务准备一个后备任务存放在内存中，平时后备任务不建立，不占有系统资源，仅在需要时才激活使用，后备任务的优先级比相应的优先级要高。马上建立就抢占执行，是某种意义上的重试或程序卷回。
④ 为实现恢复功能的后备任务,可以和原有任务完全一样，也可以是替换算法。
下面的算法能为各个任务产生容错调度，从而实现任务冗余：
