分布式操作系统4

1、第四章分布式系统中的进程和处理机4.1 线程一、线程简介在系统要求更高的吞吐量、更高的性能，并在同一地址空间，共享同一缓冲区，创建两个服务进程不可能达到目的，从而需要新的机制线程像微小进程，按照顺序执行，有自己的程序计数器和堆栈。当一个线程被阻塞时，运行同一进程中的另一线程。所有线程共享全局变量，能够存取每个虚拟地址，线程之间没有保护，每个线程能够读写其他线程的堆栈，甚至清除另一线程的堆栈：线程是同一任务的一部分且紧密合作计算机计算机进程线程程序计数器A）三个进程，每个进程有一个线程B）一个进程有三个线程线程的状态运行线程占有CPU，处于激活状态阻塞等待其他线程的某个事件触发后才能唤醒并能够运

2、行的线程就绪等候CPU服务的线程结束结束为线程退出，但还没有被父进程回收二、线程的用途派遣者/工作者模型从系统邮箱内读出输入请求，检查请求，选择一个空闲的工作者线程处理当工作者线程被唤醒后，检查任何一个线程可访问的共享块缓冲区是否可以满足，若不满足，则给磁盘发出消息，要求所需的数据块，等待磁盘操作完成调用调度程序，开始另一线程邮 箱共享块Cache工作者线程派遣者线程文件服务器进程工作请求达到构造服务器的方法n线程特点：并行，阻塞系统调用n单线程进程服务器的主循环是接收一个请求，检查请求，在下一个请求到来前完成请求，当等待磁盘操作时，服务是空闲的且不处理另一请求特点：不并行，阻塞系统调用n有限

3、状态机当请求到来后，有唯一的一个线程检查它，如果缓冲区能满足，进行运行，否则，向磁盘发送一条消息，但并不阻塞服务线程，而将当前请求的状态记录在一张表中，然后处理下一条消息。下条消息如果是请求新工作则激活它，若是磁盘对上次操作的回答，则从表中取出相关信息并处理特点：并行，非阻塞系统调用2. 团队模型所有线程都是平等的，每个都获得和处理自己的请求，但由于缺少派遣者，请求到来线程不能处理，可以通过维护一个作业队列，挂起的作业保存在作业队列中使用这种组织结构，线程在查看系统邮箱前应先查看作业队列邮 箱工作者线程文件服务器进程工作请求达到管道线模型第一个线程产生一些数据传给下一个线程处理。数据持续从一个

4、线程传到另一个线程，经过的每一个线程都进行处理。邮 箱工作者线程文件服务器进程工作请求达到多线程的优点：n多客户端有用一个客户端将一个文件复制到多个服务器n与RPC或通信无关并行处理程序编写比较容易n可以在同一地址空间的不同CPU中并行运行三、线程包的设计问题线程包：与线程相关的用户可得的原语集线程管理：静态多线程程序编写或编译时就要决定选择多少线程，每个线程分配一个固定的堆栈简单但不灵活动态多线程线程在运行过程中动态地创建和回收线程结束的两种方式完成时自动退出被外界终止：如文件服务器进程线程共享存储器的操作打开互斥体如果一个或多个线程由于互斥体被锁住而阻塞，则只能打开其中的一个，其余的继续等

5、待锁住互斥体如果一个互斥体处于打开状态，它将仅仅用一个原子操作锁住互斥体。试锁尝试锁住互斥体，如果互斥体是打开状态，则试锁将返回成功的状态标志码，否则，返回失败的状态码但不阻塞线程条件变量互斥体用于短期加锁，以监视进入临界区；条件变量是用于长时间等待直到资源可用线程的代码通常由多个过程构成，局部变量和参数不会产生任何麻烦，但相对于线程的全局变量而不是相对于整个程序的全局变量会产生麻烦解决办法禁止使用全局变量给每个线程分配它自己的私有全局变量引入新的库过程来创建、设置和读取这些线程全局变量四、实现一个线程包在用户空间中实现线程特点：n用户级的线程包能够在不支持线程的操作系统中实现n线程切换比使用

6、内核陷阱要快n允许每一个进程有自己定制的调度算法n阻塞调用的实现存在问题，非阻塞系统调用将需要修改现存的许多用户程序n线程产生页面错时，内核将阻塞整个进程的执行1.用户级线程中同一进程内部线程的切换的实现存在困难在内核中实现线程特点：调度者行为模拟内核线程的功能，像用户空间内实现的线程包一样有更好的性能和更大的灵活性，特别地，用户线程不必发出特殊的非阻塞系统调用或者事先检查发出某个系统调用是否安全；当一个线程由于系统调用或页面错阻塞时，若其他线程就绪，系统可以运行同一进程呢感中的其他线程特点：通过避免在用户空间和内核空间进行不必要的切换实现高效率五、线程和远程过程调用（RPC）大量的RPC调用

7、是调用与它们在同一机器上的进程可以使一个进程中的线程以一种比普通方法更有效的方法调用同一机器上的另一进程中的线程n当服务器线程S启动时，输出它的接口告诉内核，这个接口定义了哪些过程及其相关参数，当客户线程C启动时，从内核输入该接口，获得用于调用的特殊标志。内核现在知道C以后将调用S，并且创建特殊的数据结构为调用做准备n当一个新消息进入服务器时，内核动态创建一新线程去为此请求服务，并把消息映像到服务器地址空间，然后建立新线程的堆栈来存取该消息特点：线程不会因等待新任务而阻塞，不必保留环境创建新线程比存储一个存在的线程花费少因为不需在服务器线程4.2 系统模型传统系统中只有一个处理机，进程在处理机

8、上运行不会出现怎样利用处理机的问题。而在多处理机中成为一个主要的设计问题分布式系统中的系统模型n工作站模型（Workstation model）n处理机池模型（processor poor model）n混合模型一、工作站模型系统是由分布在建筑物中或校园中并由高速局域网连接起来的工作站构成的工作站类型：无盘工作站价格便宜容易维护无磁盘的风扇产生的噪音对称性和灵活性有盘工作站分页和临时文件分页、临时文件和系统二进制文件分页、临时文件、系统二进制文件和文件缓冲完整的局部文件系统分页和临时文件所有用户文件保存在中央文件服务器中，文件利用磁盘分页和存储临时文件（临时的、不能共享的、并在登陆会话结束后丢

9、弃的文件）分页、临时文件和系统二进制文件在第一种模型的基础上可以保存二进制文件，从而减少网络负担。为了保持各工作站上的文件版本的一致性，需要相关管理乘隙进行跟踪用户程序的版本号分页、临时文件、系统二进制文件和文件缓冲保持长期集中存储，并且可以通过使用文件时把它们保存在本地的方法而减少网络负载，但需保持缓冲一致性完整的局部文件系统每台机器基本上是独立的并与外界进行有限的联系，但共享困难磁盘使用优点缺点无盘成本低，软硬件容易维护，对称灵活网络使用频繁，文件服务器可能成为瓶颈分页，可檫除文件和无盘相比，使网络的负担更轻由于需要大量的磁盘，费用比较高分页、过期文件，二进制文件使网络的负担更轻费用比较高

10、，二进制的更新比较复杂分页、过期文件，二进制文件，缓冲减轻网络和文件服务器的负担费用比较高，存在cache一致性的问题完全本地文件系统几乎没有网络负担，不需要文件服务器失去了透明性工作站模型的缺点：处理机芯片不断下降工作站配备多个CPU将变得经济可行用户大多数时间不使用工作站大多数用户拥有资源但没有利用，少量用户对资源的需要紧张，造成资源的分配不合理二、使用空闲工作站最早尝试使用空闲工作站：Rsh machine command在指定机器上运行指定的命令可以利用空闲工作站但：n用户必须指明机器名称，n用户程序在远程机器的不同于本地机器中的环境上运行n若用户登陆到正在运行的空闲机器上，造成新登陆

11、用户的低性能使用工作站模型的关键问题：1。怎样找出一台空闲机器2。远程进程怎样透明地运行3。若空闲机器的主人回来重新使用它时怎么办怎样找出一台空闲机器定位空闲工作站的方法服务器驱动工作站空闲时，将其名字、网络地址和属性输入到某注册文件工作站空闲时在网络上广播发送消息申明其可用性，但需要所有的机器维护注册文件服务器驱动存在竞争危险远程管理者注册注册表宿主机空闲工作站21435697.8.1。机器空闲注册2。请求空闲工作站 并得到应答3。申请机器4。使注销5。设置环境6。启动进程7。进程运行8。进程退出9。报告始发者客户端驱动申请端广播发送请求说明其需要运行的进程，内存需求等详细信息，工作站接收到

12、消息后经过一段与工作站当前负荷成正比的延迟后返回应答消息，申请端接收到返回应答时，从中挑选一个并启动运行（负载最轻的工作站应答最先返回）远程进程怎样透明地运行程序运行时运行环境必须一致开始运行时需要同样的文件系统、工作目录、条件变量。无盘工作站访问文件服务器；有盘工作站需要将请求返回到宿主机上执行某些系统调用必须返回宿主机读键盘、写屏幕、所有查询机器状态的系统调用都必须在进程真正的机器上运行等与时间有关的系统调用可能因机器时钟不同步而出问题其他复杂问题写临时文件机器主人回来怎么办？n什么也不做简单，不切实际，应该保证机器对于机器主人的响应n杀掉正在进入的进程所有的工作信息会丢失，并且可能造成文

13、件系统的混乱状态n将进程移植到另一台机器上因为搜索和收集待移植的进程相关的内核数据结构比较困难，在实践中很少使用环境必须清理：进程移植所有子进程以及子进程的子进程也需要移植邮箱、网络连接和其他系统范围的数据结构也必须删除，并且制定一些规定，用来忽略相关的消息清理本地临时文件清理缓存信息三、处理机池模型处理机池模型是通过建造处理机池，根据需要动态地分配给用户，用户个人工作站为高性能的图形终端可在固定资金下提供更多的计算能力允许简单的线性增加将计算能力集中在一个处理机池中的最有力根据是排队论：用户随机地请求服务器工作，当服务器忙时，用户排队等待服务，并依次给予服务设每秒从用户来的总输入请求速度为，

14、 为系统处理请求的速度，为了达到稳定处理，必须 。则发出请求和得到完全响应之间平均的时间间隔T与 ， 的关系为：T = 1 / ( )例如：一个文件服务器每秒能处理50次请求，而每秒只接收40次请求，则平均响应时间为 1/10 秒或100ms, 当为0时（没有负载），文件服务器的响应时间为1/50秒。用户用户用户计算机完成工作输入队列用户每秒共产生个请求系统每秒能处理个请求图4-12 一个基本的排队系统假设我们有n个私有多处理机，每个有多个CPU，每个都成为一个请求到达速度为的独立排队系统，并且CPU的处理速度为 ，平均响应时间为T，若将所有的CPU放在一个处理机池中，则对应系统的输入率为 n

15、 ，服务率为 n 。将这个合成系统的平均响应时间记为T1。根据上面公式，可以得到：T1 = 1 / ( n n ) = 1/n 1/ ( ) = 1/n T = T/n结论：用一个是小系统功能n倍的大系统来代替n个独立的小系统的资源可把平均响应时间减少为原来的1/n 原因：通常情况下，只有少数服务器繁忙或过载，大多数空闲，处理机池模型就是减少了这种时间的浪费。排队理论的结论就是根本反对分布式系统的论据之一工作站模型与处理机模型的比较：n处理机模型价格昂贵，成本高平均响应时间要小有利于运行大的仿真程序排队论的假设仅当所有的请求分配在所有的处理机上并行处理时才是正确的对于机器主人回来后的问题处理比

16、较方便适合于需要大规模的计算（大型软件开发、大型模拟、大矩阵的计算等）n工作站模型用户响应时间恒定成本低，易于扩充适合于负荷较小的处理四、混合模型提供每个用户一个私有工作站并附加处理机池为了保证时间，交互式工作在工作站上运行，所有的非交互式进程运行在处理机池中。这种模型具有快速的交互响应、有效的资源利用和简单的设计4.3处理机分配一、分配模型处理器分配：不可迁移当创建新进程时，系统决定为该进程分配处理机，一旦分配完毕，进程将一直在这台处理机上运行，直至结束可迁移可以将已经开始的进程迁移到别的处理机上继续运行处理机分配的目标：CPU利用率最大化平均响应时间最小化/最小化响应率响应率：一台机器上运

17、行一个进程的时间除以这个进程在一个无负载的标准处理机上运行时因该花的时间二、处理机分配算法的设计问题n确定性与启发性算法确定性算法适用于当进程的所有行为都是实现知道的情况，但只有极少数系统的所有信息是预先知道的另一个 是系统的负载是完全不可预测的，工作请求可能每分钟都会发生很大的变化，处理机分配只能使用特别的启发性算法n集中式与分布式算法将所有信息搜集到一个地点便于做出更好的决定，但系统不够健壮，中心机器的负载过重n最优与次优算法最优解的计算代价比次优解的计算代价要大得多n本地与全局算法本地算法：若机器的负载低于某个阀值，就让该进程在这台机器上运行，否则就清除该进程算法简单，达不到最优全局算法

18、：在对本地机器是否太忙作出决定前，能够为该进程搜集到其他地方的信息，根据所有的负载情况决定是否在本机上运行该进程代价大n发送者发起与接收者发起算法发送者发起：将一些新进程卸载到其他机器上接收者发起：找到一台愿意给它一些事情做的机器机器判断其负担重发送者寻找空闲机器机器宣告其可用接收者寻找工作做请求帮助机器负担过重机器空闲三、处理机分配算法的实现问题测量负载的方法：根据机器的进程数量作为其负载情况根据运行或就绪状态的进程计数采用CPU忙的时间所占的比例核心程序运行可能造成低CPU的利用率处理额外开销：一个好的算法应该考虑到算法本身所占用的CPU时间、内存的使用以及网络带宽复杂性：软件的复杂性对系

19、统性能、正确性和健壮性的影响：随机选择一台机器；算法1：直接发送算法2：询问机器是否过载算法3：询问K台机器，确定它们的确切负载情况，新进程发送最小负载机器稳定性不同机器异步运行，系统很少平衡四、处理机分配算法举例n图论确定性算法构成系统的进程已知其CPU和内存要求，并知道系统中每对进程之间的平均通信量，若系统的CPU数量小于进程数，则要求将多个进程指派到同一个CPU，算法的思想是使这种指派能够使网络的通信量最小化CPU1CPU2CPU3GEABCDIHF32345381224642313个处理机分配9个进程的两种方法CPU1CPU2CPU3GEABCDIHF3234538122464231一

20、个集中式的算法协调者保存各工作站的使用情况表（每个工作站一个条目），根据使用情况表决定处理机的分配创建进程时，若创建进程的机器认为该进程应到其他的机器上运行，则将请求协调者分配处理机，若有则准许该请求，否则拒绝该请求当一个工作站用户在其他机器上运行进程时，其罚分增加，每秒增加一个固定值，当有被拒绝的请求时，将从使用情况表中减去罚分，当没有等待的请求，处理机也未被使用时，将移去一个值结论：一个等待了很久的、没有使用任何处理机的申请将总会优先于已经占用了许多处理机的事情，从而公平地分配系统资源但中央节点可能在大型系统中成为瓶颈0进程2完成进程1完成进程2分配处理机进程1分配处理机进程2到达进程1到

21、达图4-16 上下算法的操作时间层次式算法对每组K个工作，分配给管理者一个任务，跟踪机器的使用情况，若系统比较大，则将会有更多的管理者，在众多的管理者中设置高层管理者，形成层次关系问题：管理者崩溃避免单个管理者 发送者发起的分布式启发性算法当创建进程时，创建进程的机器将对一个随机选取的机器发送询问，检查该机器的负载是否低于某个阀值，若是则发送进程，否则选择其他机器进行相应的动作，在N次询问后还没有合适的机器，算法将停止，新进程在它的机器上运行接收者发起的分布式启发性算法当一个进程结束时，系统将检查自己是否有足够的工作可做，若不是，将随机向一台机器申请工作，若没有，系统将继续询问其他机器，在连续

22、N此询问都没有申请到工作时，系统暂时停止申请，开始处理系统队列中一个等待的进程，当这个进程结束时，再开始新的申请，若系统无事可做则将进入空闲状态，一定的时间后，从新开始申请。投标算法思想：试图将计算机系统变成小型的经济社会，由买卖双方和需求关系确定的价格组成每个处理机在一个公共可读文件中公布其近似价格，价格根据处理机速度、内存容量、浮点运算能力以及其他特性决定处理机价格新进程通过查询现在有谁在提供它所需要的服务，然后确定一个它可以支付的处理机集。通过计算，将从这个集合中选出一个最好的，根据应用程序的不同，最好的可以指最便宜的、最快的或最高性能价格比的，然后向第一选中的处理机发出出价处理机收集所

23、有出价后，作出决定，通知被选中的和未选中的进程，并开始执行被选中的进程，公共文件中此处理机的价格将被更新为最新价格4.4 分布式系统调度时间片010AC1BD2AC3BD4AC5BD01234567012345处理机时间片两个有联系的作业不协调的运行情况8个处理机、每个分为8个时间片的调度矩阵4.5 容错失效：系统不能达到应达到的技术要求一、组成部件错误暂时性错误发生一次后消失间断性错误错误出现后，自动消失，然后又出现，自动反复永久性错误在错误部件修理好之前一直存在 和构造容错系统的目标是要确保即使在错误发生的情况下，整个系统也能够继续正常运行一个部件在规定的一秒时间内的失效概率为p，则连续k

24、秒正常工作，然后再失效的概率为p(1-p)k 。失效发生的期望值为：ppkpkk/1)1 (11失效发生平均时间二、系统失效nFail-silent 错误失效的处理机只是停止工作，对接下来的输入不作反应也不产生进一步的输出nByzantine 错误出错的处理机继续运行，产生问题的错误答案，并可能和其他出错的处理机一起“恶意”地工作，给人一重正常运行的假象处理Byzantine 错误比Fail-silent 错误更加困难三、同步系统与异步系统同步系统总能在一个已知的限定时间内对一条消息进行响应异步系统无法确定一条消息的响应时间具体为多少四、使用冗余解决容错的办法是使用冗余技术：信息冗余增加额外数

25、据位以使出错的数据完全恢复时间冗余动作执行后，必要时可再次执行物理冗余要使用额外物理部件以使整个系统能容许一些部件的损失或失效冗余处理机的办法：主动复制 所有处理机在所有时间内都是服务器使用主机后备 仅使用一个处理机作为服务器，当其失效时用另一个后备机器来替换两种方法的问题：n需要复制的程度n没有错误时，平均情况和最坏情况的性能1.发生错误时，平均情况和最坏情况下的性能五、使用主动复制方法的容错使用物理冗余来提供容错的技术ABCA1A2A3B1B2B3C1C2C3三模冗余系统需要多少份复制取决于想要达到的容错量K容错：系统可在k个部件出错后仍能够达到系统的设计要求而正常工作Fail-silen

26、t错误，则有k+1个部件可以达到要求Byzantine错误，则需要2k+1个部件才能达到k容错前提条件：所有的请求达到所有服务器的顺序应相同，即原子广播问题六、使用主机后备的容错在任何时刻都有一台服务器完成所有的工作，若主服务器失效，后备的服务器将承担其所有任务特点：在正常工作时，消息只发送给一个服务器，简单，也不存在消息排序问题实际应用中所需机器也少得多在出现Byzantine错误时，产生假象，而恢复一个失效的主机也是复杂和耗时的客户主服务器后备服务器1.请求2.工作6.响应5.确认4.工作3.更新图、写操作简单主备份协议问题：主服务器在响应客户请求前崩溃；没问题，客户超时重发主服务器在更新

27、前崩溃；后备机成为主机，客户再次发送请求，但如处理具有副作用，则会产生问题系统在第四步后在6前崩溃客户请求可能执行三次处理操作主机-后备机的切换：n后备机定期向主机询问状态n后备机取代主机，主机变为后备机n后备机强行停止或重启主机n共享磁盘七、容错系统中的协同一致分布式协同一致算法的目标是使所有无故障处理机对待某些问题的意见达到一致，并在有限的步骤内进行处理存在的问题：n消息传递的可靠性n进程崩溃，是fail-silent 错误还是Byzantine错误1.系统是同步还是异步两军作战问题要求：两对兰色军队同时攻击红色军队，才能取胜，否则失败问题：利用不可靠通道进行通信，在消息传递正常的情况下两

28、进程达成协同一致是不可能的Byzantine将军问题N个蓝军中有m个叛徒，采用可靠通信机制进行通信，要求忠诚将军达成协同一致问题可变化为N个将军交换各自的军队人数图、3个忠诚将军和一个叛变将军的Byzantine将军问题(a) 各个将军通报各自部队的战斗力（1K为单位）(b) 每个将军根据（a）汇编出的向量(c) 每个将军从第二步得到的向量1234有问题的处理器XYZ1 Got(1,2,x,4) 1 Got 2 Got 3 Got2 Got(1,2,y,4) (1,2,y,4) (1,2,x,4) (1,2,x,4)3 Got(1,2,y,4) (a,b,c,d) (e,f,g,h) (1,2

29、,y,4)4 Got(1,2,z,4) (1,2,y,4) (1,2,z,4) (i,j,k,l)abc步骤：n每个将军发送可靠消息给其他所有的将军，声明自己的军队人数n将第二步声明的结果收集组成向量形式n每个将军将收集的向量传递给其他每一个将军1.每个将军检查所有新接收向量的每一个元素，若有某个值占多数，则将该值放入结果向量中图、2个忠诚将军和一个叛变将军的Byzantine将军问题没有一个忠诚将军认为元素1，2，3中占多数，无法判断123有问题的处理器XY1 Got(1,2,x) 1 Got 2 Got 3 Got2 Got(1,2,y) (1,2,y) (1,2,x) (1,2,x)3

30、Got(1,2,y) (a,b,c) (e,f,g) (1,2,y)abc结论：n有m个处理机出错的系统中要实现协同一致，只有当有2m+1个正常处理机时才可能，处理机总数为3m+1。只有大于2/3的处理机正常工作时，协同一致才可能。n对一个具有异步式处理机和对传输时延没有限制的分布式系统，由于不可区别特别慢的或失效的处理机，因此，哪怕只有一个处理机失效，协同都是不可能的。4.6 实时分布式系统一、什么是实时系统实时系统同外部世界交互，其中涉及时间，当某个激励出现时，系统必须以一定的方式和在限定的时间内响应，若返回结果正确，但已超时，系统也认为失效。实例：播放音乐要求实时许多涉及外部世界的其他应

31、用，也是实时的实时系统的激励通常是周期的，有时激励是非周期的，激励也可是突发性的在大的周期性系统中，其复杂性表现于存在着多种事件分布式实时系统的构造CCDevCDevCDevCDev传感器执行机构网络根据时限的严格程度和超过限制时间的后果的严重性。通常将实时系统分为：软实时系统可以偶尔错过时限硬实时系统不允许任何一个实时请求超过时限对于实时系统的误解：n是用汇编代码来编写的驱动程序n是快速计算1.告诉的计算机将使实时系统过时无用二、设计问题时钟同步在多计算机情况下，每台机器的时间不一样，保持时间同步是一个关键问题事件触发系统与时间触发系统事件触发系统当许多事件一次性发生时，引起大量的中断，产生

32、时间风暴，可能导致计算机崩溃在低负荷时会更快响应，但在高负载时会更加过载时间触发系统不会存在事件风暴，但对于时间间隔的选取必须非常小心适应于相对静态环境预知性理想情况下，设计时应清楚系统能够满足的所有时限，甚至是最大负载时限。容错性许多实时系统控制着安全关键设备，因此容错是非常普遍的问题，可以采用主动复制，但仅限于不存在有扩展的协议让所有的部分在任何时间，任何事件上都必须进行协同一致。主机后备方法因机器切换时间开销可能会超过时限而很少使用容错实时系统必须能同时处理最大量设备失效和最大量负载的情况可安全停机的fail-safe系统：当出现严重问题时能够强制停止执行语言支持设计专用程序设计语言专用

33、语言应在编译时能计算出每个任务的最大执行时间语言应有表达最小和最大延迟的方法能表示当期待的时间在限定时间内未发生时该做什么的方法提供处理周期性事件的语句Every(25 msec)三、实时通信预知性与确定性是实时系统成功的真正关键在实时系统中实现可预知性，要求处理机之间的通信是预知的，但LAN网络协议（以太网）中未提供传输时间的上限，因此不可能事先给出最大时限令牌环LAN：网络中有K台机器，每台机器在捕获令牌时最多可发送含n个字节的信包，因此可知时间上限，同时也能处理多优先级系统的通信问题TDMA（时分多路）协议，通信以固定大小的祯组织，含n个时隙，每个时隙分给一个处理机进行发送信包广域网实时分布式系统存在信包丢失率相对较高的问题，标准协议处理方法：在传送每一个传输信包时设置一个定时器，若定时器在信包确认消息收到之前走完，就重发信包。这种无限的传输延迟是无法接受的发送者的简单解决办法：总传输信包两次（或多次），若可选择，最好是通过相互独立的连接浪费带宽，但可靠时间触发协议(TTP)TTP应用在MARS实时系统MARS系统的节点包含多个CPU，对外呈现单一的容错，fail-silent型节点，节点间通过两个可靠的和独立的TDMA广播网连接，所有信包在两个网中并行发送。MARS是一个时间触发系统，时钟必须同步所有