轮询检测：失效检测器q定时发送查询消息“Are you alive?”，检查被检测对象p的状态，被检测对象p收到查询消息后返回应答消息“I am alive!”，如果失效检测器超过一定时间间隔没有收到应答消息，则认为被检测对象失效。该模式失效检测器从被检测对象中“拉”(pull)失效事件，我们又称之为“拉”模式，其消息交换如图2所示。

两种检测模型各有优劣。pull模型需要失效检测器发送查询消息，并等待被检测对象返回应答，这样导致失效检测时间较长；同时，由于失效检测器发送消息，被检测对象返回消息导致同样的性能需要两倍数量的消息数目。然而，pull模型是一种主动检测方式，可以只在需要的时候才发起检测，而且，使用pull模型可以保证每个检测消息及其延时对检测结果的影响是独立的。
2 主从式失效检测算法
算法基本思想：在主失效检测器中，每个被检测进程周期性地向主失效检测进程发送不同序号的心跳消息，心跳消息的序号总是递增的。主失效检测器对收到的心跳消息的历史纪录作统计、分析，并计算出下一个心跳消息到达的时间上限，如果超过等待时限未收到心跳消息，系统自动启动从失效检测器。从失效检测进程主动发送问询消息给被检测进程，如果收到对被检测进程的应答消息，则认为被检测进程正常，返回主失效检测器；否则认为被检测进程失效。
2.1 主失效检测算法基本思想
主失效检测算法中，采用心跳策略。被检测进程p每间隔ti周期性地向推失效检测器进程q发送消息mpi（i为检测消息的序号）；进程q负责接收消息。进程q收到消息之后，首先将消息mpi的接收消息时间(Tcurrent-f)保存到滑动窗口W中。当进程q超过E(TD)没有收到进程p的发送消息mpi时，即认为该系统资源失效，则启动从失效检测器进行确认。主失效检测器算法主要步骤如下:

2.2 从失效检测算法基本思想
从失效检测器算法现实比较简单，在主失效检测器调用时才启用。算法采用轮询策略，从失效检测器主要由进程q发送查询信息mqi给进程p，p在收到该消息后发回应答消息mai，以表明自己处于正常状态；如果进程q没有收到应答消息mai则认为进程p失效。从失效检测算法主要步骤如下所示：

3 算法性能评估
3.1 服务质量指标
为了准确评价失效检测器的QoS，Chen等人提出了定量的QoS度量体系[7]。用T表示失效检测器认为进程处于正常状态，S表示失效检测器认为进程处于失效状态，S-transition表示失效检测器输出由T变为S，T-transition表示失效检测器的输出S变为T。下面三个基本评价指标分别为：
检测时间(T_D)：这一指标保障失效检测器输出的完整性要求，是指从进程发生失效的时刻到它开始被怀疑的时间，即到发生S-transition之间的时间。这一指标保障失效检测器输出的完整性要求。
错误间隔时间(TMR)：两次发生错误输出之间的时间间隔的度量，即连续两个S-transition之间的时间间隔，描述失效检测的准确度。
错误持续时间(T_M)：检测器修正一次错误怀疑所需要的时间，即从S-transition到下一个T-transition之间的时间间隔，描述失效检测的准确度。
错误率(λ_M)：指失效检测器产生怀疑的比率，是在一次运行中出现的频度就是一个常用的体现失效检测系统准确性的指标。
3.2 计算阈值T_D^U
T_D^U是一个失效检测器与被检测对象之间的服务质量的基本评价指标之一， T_D^U是检测时间的上界，限定了检测速度，保证了失效检测的完整性级别，是一个十分重要的评价指标。
图3介绍了主从式失效检测器的执行过程。进程p定时向进程q发送心跳消息，进程q分别在T₀、T₁、T₂时刻收到前3个心跳消息，并预测下一个心跳消息将在T₃时刻到达。而实际上进程p在T6时刻失效,对于进程q的时钟而言是T₅时刻，则进程q在T3时刻未收到应该到达的心跳消息，开始怀疑进程p。则实际检测时间为：T₃-T₅，即T₃-T₄+η，η为心跳消息的时间延迟。通常T_D^U=△t_i+E(η)，E(η)为平均心跳消息延迟。进程q超过T_D^U时间没有收到进程p的心跳消息，则主动发送问询消息，查看进程p是否失效。如果进程q在发送问询消息后，超过T₇-T₃+T_D^U时间没有收到应答消息，则确认进程p失效。

3.3 算法证明
在Web服务组合失效检测中，失效检测器为应用程序提供失效检测等价于◇P类的失效检测器，即失效检测器需达到强完整性和强准确性级别。通过以下分析说明本失效检测器等价于◇P类失效检测器。
(1)强完整性。在任意一次运行中，每一个发生失效的进程最终都会被所有正确的进程永远判定为失效。
证明：假设在一个正确的进程q检测进程p。需要证明：如果p发生失效，那么存在某一时刻对于任一的T>t，失效检测的结果都将判定p失效。在p失效之后，将不会发出任何消息，也就是说，进程q此后将收不到任何消息，因此，E(T_D)将不会发生变化。假设mpi是q在时刻t_last从p收到的最后一个应答消息，则i值将永远一个常数。此后，在任何查询时刻t_current>t_last，都有△T=T_current-f，随着t_current的增长，△T将严格单调递增。因此，对于应用程序A，在任意时刻t_current>t_last查询，都会将p判定为失效进程。
(2)强准确性。在任意一次运行中，在某个时刻t之后，每个正确的进程都不会被错误认为发生失效。
证明：同上面的证明进行同样的假设，需要证明：在某个时刻t之后，应用程序A将不会错误地认为p发生失效。因为此属性具有最终(eventual)性。假设mpi是p发出的第i个消息，发送时刻为ts，进程处理消息时间和消息的传递时间都有上界，分别记为t_p和t_t。因此，对于任意检测消息mpi(j≥i)，其检测时间T_Dt≤t_p+t_t。那么，对于任意的查询时刻t_current>t_s，△T存在一个上界。只要T_D^U>T_Dt，那么，对于任意的查询时刻t_current>t_s+t_p+t_t，A都不会怀疑进程p。
3.4 性能分析
本文对主从式失效检测算法进行了编码方式仿真，实验操作系统为Microsoft Windows XP，配置1.6 GHz和1 GB内存，在Microsoft Visual Studio.NET环境中，使用C#开发了对失效检测算法进行有效性验证的模拟程序。心跳周期△ti设定为1 000 ms，进行了算法准确性测试。
为了测试系统的准确性，与Marin等人提出适应网络状况变化的失效检测方法作比较测试，比较结果如图4所示。从图4可以看出，本失效检测较Marin有较低的误判率，当被检测对象数目超过300时候表现尤其明显，差距也越来越大，原因是这时候系统负载过高，系统错误数提高，误判率就随之上升。

为了适应复杂的网络生态环境，增强了系统的可用性，本文设计了主从式失效检测算法，对相应的主从式失效检测器进行性能测试和分析。新算法减少了失效检测器在网络延时出现的误判情况，进一步适应应用环境，实验证明，在相同情况下，主从式失效检测算法准确性有明显提高,优化了失效检测器的检测服务质量，增强了系统的可用性，为流程执行时业务功能与服务质量的保障提供了一种有效的机制。

参考文献
[1] 付晓东,邹平.一种规则驱动的Web服务组合例外处理方法[J].计算机应用，2007，27(8)：1984-1990.
[2] WANG G J， WANG C Z， CHEN A， et al. Service levelmanagement using qos monitoring， diagnostics， and adaptation for networked enterprise systems[C]//Proceedings of the 9th IEEE International EDOC Enterprise Computing Conference. Washington， DC： IEEE ComputerSociety， 2005：
239-250.
[3] ARDISSONO L， CONSOLE L， GOY A， et al. Enhancing Web services with diagnostic capabilities[C]//Proceedings of the 3 IEEE European Conference on Web Services. Washington： IEEE Computer Society， 2005：182-191.
[4] 徐新卫，周良，丁秋林. Web服务失效处理的反射中间件技术应用与实现[J].系统工程与电子技术，2007，29(8)：1371-1376.
[5] BERTIER M， MARIN O, SENS P. Implementation and Performance Evaluation of an Adaptable Failure Detector[C]. Proc. IEEE Int’l Conf. Dependable Systems and Networks(DSN’2002)， 2002：354-363.
[6] 陈宁江，魏峻，杨波，黄涛.Web应用服务器的适应性失效检测[J].软件学报，2005，16(11)：1929-1938.
[7] CHEN W， TOUEG S， AGUILERA M K. On the Quality of Service of Failure Detectors. IEEE Tran on Computers， 2002，51(5)：561-580.