Ващенко Г.В., Добронец Б.С. Надежность информационных систем

Подождите немного. Документ загружается.

Надежность информационных систем 181

Рис. 11.1. Способы резервирования

Активным резервированием называется такое, при котором отказавший

основной элемент заменяется резервным. При активном резервировании раз-

личают:

• нагруженный резерв, когда основные и резервные элементы находятся

в одинаковых рабочих условиях;

• облегченный резерв, когда резервные элементы находятся в облегчен-

ных рабочих условиях и включаются в рабочий режим после отказа основного

работающего элемента;

• ненагруженный резерв, когда резервные элементы не нагружены и

включаются в рабочий режим после отказа основного рабочего элемента.

Пассивным резервированием называется такое, при котором отказ одно-

го или нескольких основных элементов не влияет на работу ТУ. Элементы

соединяются постоянно, и перестроения схемы, как при активном резервиро-

вании, не происходит. При пассивном резервировании различают:

• резервирование с неизменной нагрузкой, когда при отказе одного или

нескольких элементов не меняется нагрузка на элементах, оставшихся рабо-

тоспособными;

• резервирование с перераспределением нагрузки, когда при отказе хотя

бы одного увеличивается нагрузка на элементы, оставшиеся исправными;

• резервирование по нагрузке, когда при отказе хотя бы одного элемен-

та интенсивность отказов элементов уменьшается за счет того, что нагруз-

ка, которую должен был нести один отказавший элемент, воспринимается

несколькими элементами.

Активное и пассивное резервирование может быть осуществлено путем

применения различных видов резервных схем. Структурные схемы некото-

182 Методы повышения надежности

Рис. 11.2. Структурные схемы резервирования: а — общее пассивное резер-

вирование; б — автономное общее резервирование; в — раздельное пассивное

резервирование; г — активное общее резервирование (1, n — основной и резерв-

ный элементы), П — переключатель; д — скользящее резервирование

рых видов резервирования изображены на рис. 11.1.

В зависимости от схемы включения резервных элементов различают об-

щее резервирование и раздельное резервирование. При общем резервировании

минимальная функциональная структура системы резервируется полностью.

Общее резервирование может выполняться так, что резервные элементы объ-

единены с основной системой общими входными или выходными устройства-

ми.

Автономное общее резервирование предполагает несколько идентичных,

полностью независимых систем, предназначенных для выполнения одной и

той же функции. В этом случае каждая из взаимно резервирующих автоном-

ных систем имеет свой вход и выход, а иногда и независимые источники пита-

ния. Частным видом автономного резервирования является функциональное

резервирование. При функциональном резервировании основная и резервиру-

ющая системы работают на разных физических принципах. Резервирующую

систему обычно еще называют аварийной.

Раздельное резервирование состоит в резервировании системы по ее участ-

кам или элементам.

Надежность информационных систем 183

Рис. 11.3. Структурная схема общего пассивного резервирования

Резервирование может быть с целой и дробной кратностью М. При

целой кратности M является целым числом, а при дробной — это несокра-

щаемая дробь. К резервированию с дробной кратностью, в частности, мож-

но отнести скользящее резервирование, при котором используется небольшое

число резервных элементов, способных подключаться взамен любого из от-

казавших основных элементов.

При резервировании с избирательной схемой происходит сравнение на

выходе нескольких параллельно работающих устройств. В этом случае во

внешнюю цепь выдается сигнал, имеющийся на выходе большинства устройств.

Эффективность способов резервирования характеризуется величиной:

R =

Q(t)

(t)

где Q(t) — вероятность отказа основной структуры ТУ, Q

(t) — вероятность

отказа резервированной системы.

Общее резервирование

Общее резервирование (рис. 11.3) применяется для повышения надежно-

сти работы отдельных простейших схем или участков схем, состоящих, как

правило, из однотипных элементов.

К таким системам, прежде всего, относятся электрические схемы.

Рассмотрим вероятность безотказной работы системы с общим m − 1-

кратным резервированием, причем резервируемая система имеет n

элемен-

тов. Структурная схема надежности при общем резервировании имеет вид,

представленный на рис. 11.3.

При общем резервировании каждая резервирующая система имеет по-

следовательное соединение элементов в структурной схеме надежности. В

184 Методы повышения надежности

силу этого в каждой последовательной j-й (j = 1, .., m ) подсистеме вероят-

ность безотказной работы будет определяться на основании выражения:

(t) =

i=1

(t).

Резервирующие цепочки, состоящие из последовательно соединенных элемен-

тов, составляют параллельную структурную схему надежности.

Поэтому вероятность безотказной работы P

системы с общим резерви-

рованием определяется выражением:

= 1 − Q

= 1 −

j=1

(t) = 1 −

j=1

(1 − p

(t)).

Для случая, когда все элементы равнонадежны, т. е.

= p(t),

последнее выражение приобретает вид

= 1 − (1 − p(t)

)

Для показательного закона распределения времени наработки на отказ в пе-

риод нормальной эксплуатации и одинакового времени работы t всех элемен-

тов системы последнее выражение примет вид

= 1 −

j=1

(1 − e

−t

i=1

или, в случае равнонадежных элементов, получится:

= 1 − (1 − e

−nλt

)

где λ — интенсивность отказа одного элемента.

Среднее время безотказной работы системы с равнонадежными элемен-

тами определяется выражением

∞

(t)dt =

∞

1 − (1 − e

−λ

)

dt = 1/λ

(1 + 1/2 + 1/3 + ... + 1/m),

где λ

= nλ представляет собой суммарную интенсивность отказов любой из

параллельных подсистем при общем резервировании.

Интенсивность отказов такой системы определяется следующим обра-

зом:

= −

(t)

Для значений λ

t < 0, 1 можно воспользоваться упрощенными форму-

лами при определении вероятности безотказной работы и интенсивности от-

казов с общим резервированием:

≈ 1 − (λ

≈ mλ

m−1

Надежность информационных систем 185

11.2. Повышение надежности функционирования

программных средств за счет избыточности

Избыточность ресурсов для обеспечения надежности программ-

ных средств

В ИС реального времени для обеспечения высокой надежности их функ-

ционирования необходимо максимально быстро обнаруживать искажения,

возможно точно классифицировать тип уже имеющихся и возможных послед-

ствий дефектов, а также проводить мероприятия, обеспечивающие быстрое

восстановление нормального функционирования ИС. Неизбежность ошибок

в сложных ИС, искажений исходных данных и аппаратных сбоев приводит

к необходимости регулярной автоматической проверки процесса исполнения

программ и сохранности данных. В процессе проектирования недостаточно

создать корректные программы, выдающие верные результаты при идеаль-

ных исходных данных и абсолютном отсутствии любых возмущений. Требует-

ся разрабатывать надежные программы, устойчивые к различным негатив-

ным возмущениям и способные сохранять достаточное качество результатов

в реальных условиях функционирования. В любых ситуациях прежде всего

должны исключаться катастрофические последствия и длительные отказы

или в максимальной степени смягчаться их влияние на результаты, выдава-

емые пользователю.

Так как причины искажений и снижения достоверности результирующих

данных априорно не предсказуемы и не всегда контролируемы при каждом

их конкретном проявлении, то при анализе методов защиты исполнения про-

грамм от возмущений и оперативном восстановлении их приходится рассмат-

ривать как случайные. Это соответствует тому, что ИС в процессе функци-

онирования находятся под воздействием шумов-возмущений различных ти-

пов и происхождения. Естественно, для снижения их влияния на результаты

следует применять фильтры, позволяющие обнаруживать искажения, селек-

тировать, устранять или уменьшать их вредные последствия. Разнообразие

видов искажений приводит к необходимости построения системы фильтров,

каждый из которых способен селектировать некоторые виды искажений. При

этом не обязательно сразу устанавливать причины искажений, главная задача

сводится к максимально быстрому восстановлению нормального функцио-

нирования и ограничению последствий проявления дефектов. Чтобы обеспе-

чить высокую надежность функционирования ИС, необходимы вычислитель-

ные ресурсы для максимально быстрого обнаружения проявления дефектов,

возможно точной классификации типа уже имеющихся и возможных послед-

ствий искажений, а также для автоматизированных мероприятий, обеспечи-

186 Методы повышения надежности

вающих быстрое восстановление нормального функционирования ИС.

Временная избыточность состоит в использовании некоторой части про-

изводительности ЭВМ для контроля исполнения программ и восстановле-

ния (рестарта) вычислительного процесса. Для этого при проектировании

ИС должен предусматриваться запас производительности, который будет за-

тем использоваться на контроль и оперативное повышение надежности функ-

ционирования. Величина временной избыточности зависит от требований к

надежности функционирования систем обработки информации и находится

в пределах от 5–10 % производительности однопроцессорной ЭВМ до трех-

четырехкратного дублирования производительности отдельной машины в ма-

жоритарных вычислительных комплексах Временная избыточность или ре-

зерв времени используется на контроль и обнаружение искажений, на их диа-

гностику и выработку решений по восстановлению вычислительного процес-

са или информации, а также на реализацию операций восстановления. При

функционировании программ в реальном времени величина резерва време-

ни для контроля и восстановления вычислительного процесса и информации

обычно не устанавливается заранее. Для диагностики искажений и операций

восстановления требуется в общем случае относительно небольшой интервал

времени, который выделяется либо за счет резерва, либо за счет сокраще-

ния времени или кратковременного прекращения решения функциональных

задач.

Информационная избыточность состоит в дублировании накопленных

исходных и промежуточных данных, обрабатываемых программами. Избы-

точность используется для сохранения достоверности данных, которые в наи-

большей степени влияют на нормальное функционирование ИС и требуют

значительного времени для восстановления. Такие данные обычно характе-

ризуют некоторые интегральные сведения о внешнем управляемом процессе,

и в случае их разрушения может прерваться процесс обработки информа-

ции внешних объектов, отражающийся на надежности ИС. Для этого их за-

щищают двух-трехкратным дублированием с соответствующей дисциплиной

контроля сохранности и периодическим обновлением. В некоторых случаях

информационная избыточность позволяет не только обнаружить искажение

данных, но и устранить в них ошибку. Для менее важных данных инфор-

мационная избыточность используется в виде помехозащитных кодов, поз-

воляющих только обнаружить искажение. Многие данные в ЭВМ могут не

иметь информационной избыточности и не защищаться, вследствие их ча-

стого обновления или слабого влияния возможных искажений на надежность

решения основных функциональных задач.

Программная избыточность используется для контроля и обеспечения

Надежность информационных систем 187

достоверности наиболее важных решений по обработке инфрормации. Она

заключается в сопоставлении результатов обработки одинаковых исходных

данных программами, различающимися используемыми алгоритмами, и в ис-

ключении искажений при несовпадении результатов. Программная избыточ-

ность необходима также для реализации программ автоматического контроля

и восстановления данных с использованием информационной избыточности и

для функционирования всех средств обеспечения надежности, использующих

временную избыточность.

Имеются психологические трудности введения всех видов избыточности

для обеспечения надежности и автоматического восстановления программ.

Традиционный “оптимизм” создателей программ относительно возможности

собственных ошибок и внешних возмущений приводит к массовому прене-

брежению методами программной защиты или к значительному их недоис-

пользованию. Иногда этому способствует ограниченность ресурсов ЭВМ и

необходимость решить определенную группу функциональных задач с высо-

ким качеством в пределах имеющихся ресурсов, что затрудняет выделение

памяти и производительности на повышение надежности.

Последовательный характер исполнения программ процессором ЭВМ

приводит к тому, что средства оперативного программного контроля вклю-

чаются после исполнения прикладных и сервисных программ. Поэтому сред-

ства программного контроля обычно не могут обнаруживать непосред-

ственную причину возникновения искажения вычислительного процесса или

данных (первичную ошибку) и фиксируют, как правило, только последствия

первичного искажения (вторичную ошибку). Результаты первичного искаже-

ния в ряде случаев могут развиваться во времени и принимать катастрофиче-

ский характер отказа при увеличении запаздывания в обнаружении и локали-

зации первичной ошибки. Отказ при исполнении программ может проявиться

как следствие:

нарушения кодов записи программ в памяти команд;

стирания или искажения данных в оперативной или долговременной па-

мяти ЭВМ;

нарушения нормального хода вычислительного процесса.

Во всех случаях программные отказы приводят к прекращению выдачи

пользователям информации и управляющих воздействий или к значительно-

му искажению ее содержания и темпа выдачи, соответствующих нарушению

работоспособности программ. Снижение темпа решения задач обработки ин-

формации ведет к ухудшению характеристик функционирования и при неко-

тором темпе работоспособность нарушается, что эквивалентно отказу.

Для обеспечения надежности наличие дефекта следует обнаруживать

188 Методы повышения надежности

при минимальных затратах ресурсов ЭВМ и с минимальным запаздыванием.

Это приводит к использованию иерархических схем контроля, при которых

несколько методов используются последовательно в порядке углубления кон-

троля и увеличения затрат до достоверного выявления наличия и источника

искажения. Программы анализа проявлений дефектов и восстановления вы-

числительного процесса, программ и данных подготавливают и реализуют

необходимые процедуры по ликвидации последствий обнаруженных дефек-

тов. При этом целесообразно акцентировать ресурсы на потенциально наи-

более опасных дефектах и достаточно частых режимах восстановления: при

искажениях программ и данных в памяти ЭВМ, при перегрузках по произ-

водительности и параллельном исполнении программ. С точки зрения по-

строения средств оперативной защиты и распределения ресурсов ЭВМ на

обеспечение надежности функционирования ИС дефекты и ошибки можно

разделить по их последствиям на три типа:

1) приводящие к прекращению выполнения основных функций ИС на

длительное или неопределенное время и соответствующие отказу;

2) кратковременно, но значительно искажающие отдельные результаты

по их смысловому содержанию или величине, которые могут соответствовать

отказу или сбою в зависимости от длительности восстановления;

3) слабо и кратковременно влияющие на результаты, выдаваемые про-

граммами, которые не обнаруживаются или квалифицируются как случай-

ные сбои.

Такое качественное деление искажений предопределяет распределение

ресурсов по защите. Наибольшие ресурсы целесообразно выделять и в мак-

симальной степени следует проводить защиту от искажений информации и

вычислительного процесса первого типа, последствия которых могут прояв-

ляться в следующем виде:

зацикливание, т. е. последовательная повторяющаяся реализация опре-

деленной группы команд, не прекращающаяся без внешнего вмешательства;

останов и прекращение решения функциональных задач — “зависание”;

искажение процессов взаимного прерывания программ, приводящее к

блокировке возможности некоторых типов прерываний;

прекращение или недопустимое снижение темпа решения некоторых за-

дач вследствие перегрузки ЭВМ по пропускной способности;

значительное искажение или потеря накопленной информации о состоя-

нии внешней среды и процессе обработки информации.

Искажения информации и вычислительного процесса второго типа так-

же весьма опасны и для защиты от них следует применять достаточно эф-

фективные меры. Эти искажения могут проявляться в следующем виде:

Надежность информационных систем 189

эпизодический пропуск модуля или функциональной группы программ;

некорректный выход на программы или их части, резко искажающие

результаты;

обработка ложных или сильно искаженных сообщений.

Третий тип искажений характерен, в основном, при расчете квазине-

прерывных величин, вследствие чего возможны небольшие отклонения ре-

зультатов. Эти ошибки в среднем мало искажают общие результаты, однако

отдельные выбросы могут сильно влиять на функционирование ИС и требу-

ется достаточно эффективная защита от редких значительных отклонений

результатов.

Перечисленные типы искажений существенно различаются не только по

величине изменения результатов, но и по длительности проявления их послед-

ствий. В зависимости от степени проявления и причин обнаружения искаже-

ний возможны следующие оперативные меры для ликвидации их послед-

ствий, восстановления информации и сохранения устойчивости процессов

вычислений и управления:

игнорирование обнаруженного искажения вследствие слабого влияния

на весь процесс функционирования и выходные результаты;

исключение сообщения из обработки вследствие его искажения или труд-

ности предстоящего восстановления вычислительного процесса;

повторение функциональной группы программ при тех же исходных дан-

ных или восстановление данных в процессе последующей обработки;

кратковременное прекращение решения задач данной функциональной

группой прикладных программ — пропуск части программ до обновления

исходных данных;

перестройка режима работы или структуры ИС для снижения влияния

перегрузки или в связи с потерей информации о ходе процесса обработки

данных;

переход на резервную ЭВМ с накопленной информацией о ходе процесса

обработки данных или восстановление информации за счет ее дублирования;

восстановление процесса управления или обработки информации с ре-

жима начального пуска всей ИС с оперативным вмешательством обслужива-

ющего персонала.

Последний метод не всегда гарантирует целостность, непрерывность и

надежность процесса взаимодействия ЭВМ с объектами внешней среды, а

при остальных типах оперативной реакции на выявленные дефекты обяза-

тельно проявляются более или менее длительные отклонения от нормально-

го хода процесса обработки информации. Выбор метода оперативного вос-

становления происходит в условиях значительной неопределенности сведе-

190 Методы повышения надежности

ний о характере первичной ошибки и предотказовой ситуации и степени ее

возможного влияния на работоспособность и надежность функционирования

ИС. Восстановление работоспособности желательно производить настолько

быстро, чтобы отказовую ситуацию можно было свести до уровня сбоя. Опе-

ративная индикация отклонений от нормы при функционировании ИС позво-

ляет пользователям контролировать аномалии в процессе обработки данных

и в особых случаях оперативно корректировать реакцию системы защиты на

выявленные искажения.

Наряду с оперативной реакцией на искажения в ИС должно вестись на-

копление информации о всех проявлениях дефектов с тем, чтобы использо-

вать эти данные для локализации первичных источников ошибок и исправле-

ния соответствующих программ, данных или компонент аппаратуры. Подго-

товку, статистическую обработку и накопление данных по проявлениям иска-

жений целесообразно проводить автоматически с выдачей периодически или

по запросу сводных данных на индикацию для подготовки специалистами

решений о корректировке программ или восстановлении аппаратуры.

Оценка влияния оперативного контроля и восстановления на

надежность функционирования ИС

Контроль работоспособности ИС, исправление искажений и восстановле-

ние при отказовых ситуациях сокращают ресурсы времени ЭВМ, доступные

для выполнения основных функций ИС. Это сокращение ресурсов можно

отразить относительным уменьшением времени, используемого на непосред-

ственное решение функциональных задач или коэффициентом относительно-

го простоя ЭВМ. Этот коэффициент характеризует относительные затраты

времени на задачи повышения надежности программ. По мере совершенство-

вания и расширения функций средств помехозащиты программ возрастают

затраты времени ЭВМ на их исполнение, что отражается на снижении эф-

фективности функционирования ИС. Средства оперативной защиты вычис-

лительного процесса, программ и данных, в свою очередь, являются слож-

ными системами и не застрахованы от ошибок, также способных привести к

снижению надежности функционирования ИС.

Приведенные обстоятельства позволяют подчеркнуть различие понятий

корректности и надежности программ. Для корректности программ введе-

ние оперативного контроля и восстановления бесполезно или может быть да-

же вредным, так как возможны дополнительные ошибки в результате взаимо-

действия контрольно-восстановительных и основных функциональных про-

грамм. Однако благодаря средствам контроля могут оперативно выявляться

искажения программ, данных или вычислительного процесса, что позволяет

проводить оперативное востановление и повышать надежность функциони-