图1 双机容错系统结构模型
A机和B机各有独自的外围控制逻辑和外设，这样不会引起系统资源的竞争，增加整体系统的稳定性。当然，这样是以花费更多的硬件设施为代价的。比较器及不一致检测用专门设计的仲裁检测电路来实现，其根据A机与B机周期向其发送的自检测信号来判断A机系统和B机系统运行的状况。
双机系统的运行状态如下：
① 如果A机与B机均正常运行，则将计算机A作为主系统，计算机B作为备份使用，A机的运行结果作为系统输出，A机运行到检测点，向B机发送日志，B机更新日志列表。
② 如果A机正常而B机故障，亦将A机的运行结果作为系统输出，同时将B机的运行故障状态报告给A机，并向B机进行复位控制操作。
③ 如果A机故障，B机正常，则进行开关切换操作，B机进行系统备份任务重调度，B机运行结果作为系统输出，并向A机进行复位控制操作，在检测点更新A机日志，保持需要备份的任务状态一致。 2 软件设计与实现
图2所示模型结合嵌入式实时系统的体系结构，采用层次结构和模块结构相结合，无缝整合了计算机硬件、操作系统、应用软件级的软件容错设计。在整体上采用分层的结构模型，克服了软、硬件分离和脱节的问题，提高系统的灵活性和可移植性。模型的每一层均可以看作是一个相对独立的系统。在每一层中按照系统功能，划分不同的功能模块。
图2 双机容错系统软件体系结构
该系统采用对称结构，为支持容错处理，每个节点从下到上分为3个主要部分，即MCFT(Multiprocessor Communication for Fault Tolerance)、RTOS系统级容错组件、任务级动态冗余组件。
2.1 多机容错通信模块MCFT
在操作系统与硬件之间加入MCFT层，MCFT作为BSP(Board Support Package)的一部分，作为硬件平台的抽象层，为操作系统提供统一的界面，提高系统的可移植性。有容错需求的任务，通过MCFT所提供的功能传递日志，保持主系统和备份系统的关键任务的状态和数据一致。MCFT屏蔽了底层通信的具体实现细节，使系统的实现与连接介质无关。
MPFT管理着一些数据包，并且在各个节点之间发送和接收这些数据包，数据包的结构如下：
