[发明专利]在运行期间对软件密集型系统的无缝和安全升级

说明书

在运行期间对软件密集型系统的升级。公开的是用于在系统中对服务或微服务进行升级的方法和系统，其中在系统中采用更新版本的服务而无需立即允许服务承担对系统的最终输出的控制。

技术和软件密集型系统向用户（人类或其他系统）提供服务，并且服务需要在系统的生命周期期间被更新或升级。

在软件开发中，存在更频繁地更新和升级系统的、以较短的周期提供服务（也称为微服务）的较小部分的趋势。

如果系统由越来越多的单独地可更新/升级部件组成，则升级数量增大。

对于每次更新/升级，必须验证它是否可以在现场有结果地使用（被部署用于生产使用）。以下问题是相关的：

难以确定新开发版本的服务（更新/升级）是否足够好以被接受或比当前服务更好并且应该代替已经实现的服务而被使用。问题在于，实验室测试可能不能在充分接近现实世界运行条件的情况下执行，或者时间不够长而不能获得所需要的信赖度。

关键系统太频繁或在太长时间段内停止运行是不可接受的或太昂贵的。

对于需要安全运行的系统，系统中的任何变化均需要在现场验证，以确保在其预期的环境中的安全运行。

在执行升级/更新之后，现场可能会发生未预料到的问题，然后逆转到升级前的状态（回滚）是合期望的。然而，在许多情况下，这可能不可能以快速且不复杂的方式实现，或者可能涉及系统的附加的停机时间。

以前，上述问题已经通过以下方法被解决：

第一种方法是在升级系统所需要的时间段内使系统停止服务。这种方法导致在升级时间段期间系统的不可用。

第二种方法是依靠辅助系统在升级时间段内提供服务。这种方法是昂贵的，因为必须提供并且维护仅在升级时间段期间使用并且在其他时间不使用的辅助系统。如果在正常运行期间并行使用辅助系统以增大系统可用性，则在升级期间没有冗余系统可用。

第三种方法涉及安全相关系统。对于安全相关系统，通常通过在开发（实验室/模拟）环境中进行大量的测试以及通过执行变化影响分析来进行验证和证实方面，以获得系统在升级之后仍将安全地提供其服务的信赖度。然而，该方法并不总是提供新服务用于其预期目的的适用性的信赖度，因为开发环境中的测试结果可能不会转移到运行环境，在运行环境中，在开发环境中不能被模拟的因素（使用/应用场景）可能是相关的。

为了解决在升级/更新之后的可能的问题，进一步的可能性是实现进一步的停机时间，在所述进一步的停机时间期间能够重建升级之前的状态。如果在升级期间已经使用辅助系统，则具有以下缺点：在执行回滚期间，需要在比以前计划的更长的时间内使用辅助系统。

发明内容

公开的是一种计算机实现的方法，其用于对在技术系统（200）上执行的多个服务中的至少一个服务进行升级，该技术系统（200）包括至少一个致动器（210），其中多个服务被适配用以响应于至系统（200）的输入（202）来提供控制所述至少一个致动器（210）的输出（209），其中，计算机实现的方法被适配用以：

a. 在系统（200）上部署至少一个更新版本的至少一个服务（211），同时在系统（200）上维护先前版本的服务（204），其中，防止更新版本的至少一个服务（211）控制至少一个致动器（210），并且在技术系统（200）上部署用于测试至少一个更新版本的至少一个服务（211）的性能的测试探针模块（311b，602），

b. 运行技术系统（200）上的测试探针模块（311b，602），用以相对于预定标准来测试技术系统（200）上的至少一个更新版本的至少一个服务（211）的性能，

c. 确定至少一个更新版本的至少一个服务（211）的性能符合预定标准，

d. 禁用先前服务（204）对至少一个致动器（210）的控制，以及