Ващенко Г.В., Добронец Б.С. Надежность информационных систем

Подождите немного. Документ загружается.

Надежность информационных систем 21

Таблица 1.1

Классификация объектов по последствиям отказа

Последствия отказа Допустимая ве-

роятность без-

отказной рабо-

ты

Примеры

Катастрофические:

аварии, катастрофы, невыполнение

ответственного задания

p(t) → 1,0 Летательные аппараты, подъ-

емно-транспортные машины,

военная техника, химическое и

медицинское оборудование.

Экономический ущерб:

повышенные простои, работа на по-

ниженных режимах или с ухудшен-

ными показателями.

p(t) > 0,9

(при значитель-

ном ущербе

p(t) > 0,99)

Технологическое оборудование,

сельскохозяйственные и быто-

вые машины.

Без серьезных последствий

(ремонтные затраты в пределах нор-

мы)

p(t) < 0,9 Отдельные узлы и элементы

оборудования.

Например, в пассажирском самолете может отказать шасси, может сни-

зиться коэффициент полезного действия двигателя, может сломаться пасса-

жирское кресло. В первом случае последствия могут быть катастрофически-

ми, во втором возможен экономический ущерб, в третьем серьезных послед-

ствий практически не будет и, хотя в каждом из этих случаев допустимая

вероятность безотказной работы должна быть разной, в целом самолет по

последствиям отказов должен быть отнесен к первому классу.

При классификации объектов по долговечности оценивается их способ-

ность сохранять в течение определенного времени или наработки значения

основных параметров, перечень которых зависит от категории и назначе-

ния объекта (табл. 1.2). Потеря или снижение основных показателей объекта

определяет его ресурс до капитального ремонта или списания (т. е. долговеч-

ность) и затраты на восстановление работоспособности.

1.4. Классификация отказов

Отказы объектов могут классифицироваться по многим признакам, на-

пример по условиям возникновения, внешним проявлениям, способам обна-

ружения.

При анализе надежности конкретного объекта классификация его отка-

зов позволяет выявить причины отказов, а значит, найти пути повышения

надежности.

Следует отметить, что в общей массе отказов ЭВМ преобладают сбои,

т. е. самоустраняющиеся отказы. Хотя сбои и рассматриваются как само-

22 Общие положения теории надежности

устраняющиеся отказы, для устранения их влияния на вычислительный про-

цесс, как правило, требуется принятие специальных мер (введение дополни-

тельных программ устранения последствий сбоев, дополнительной аппара-

туры, вмешательства оператора). Это обусловлено тем, что во время сбоев

может быть искажена часть данных, хранимых в памяти ЭВМ.

Более подробно остановимся на внезапных и постепенных отказах.

Внезапному отказу может не предшествовать постепенное накопление

повреждений, он возникает внезапно. Причинами внезапных отказов элек-

тронной аппаратуры обычно являются скрытые дефекты их производства.

В процессе эксплуатации могут создаться условия (пиковые нагрузки, тряс-

ка, вибрация, температурный скачок, помехи), при которых скрытый дефект

приводит к отказу элемента.

Постепенный отказ возникает в результате постепенного накопления по-

вреждений, главным образом вследствие износа и старения материалов.

В следствие разной природы происхождения внезапные и постепенные

отказы подчиняются различным закономерностям, поэтому должны быть

различны и способы борьбы с ними. Для уменьшения числа внезапных отка-

зов используется тренировка систем в условиях, близких к условиям эксплуа-

тации, с целью выявления скрытых дефектов производства, а также введение

защиты от помех, перегрузок, вибрации и т.п. Уменьшению числа постепен-

ных отказов способствует своевременная замена блоков, выработавших свой

технический ресурс.

Отказы в ИС целесообразно подразделять на аппаратные и программ-

ные.

Аппаратным отказом принято считать событие, при котором изделие

утрачивает работоспособность, и для его восстановления требуется проведе-

ние ремонта аппаратуры или замена отказавшего изделия на работоспособ-

ное.

Программным отказом считается событие, при котором объект утрачи-

вает работоспособность по причине несовершенства программы (несовершен-

ство алгоритма решения задачи, отсутствие программной защиты от сбоев,

отсутствие программного контроля за состоянием изделия и т. д.). Программ-

ный отказ устраняется путем исправления программы.

1.5. Надежность информационных систем

Способы обеспечения надежности ИС

Надежность информационной системы (ИС) в может рассматриваться

в совокупности надежности ее аппаратного и программного обеспечения. Под

Надежность информационных систем 23

надежностью ИС понимается свойство системы выполнять возложенные на

нее задачи в определенных условиях эксплуатации. При наступлении отка-

за, который может насупить при сбое в работе аппаратной или программ-

ной составляющей, информационная система не может выполнять все преду-

смотренные документацией задачи, т. е. переходит из исправного состояния в

неисправное. Если при наступлении отказа компьютерная система способна

выполнять заданные функции, сохраняя значения основных характеристик

в пределах, установленных технической документацией, то она находится в

работоспособном состоянии.

Таблица 1.2

Классификация отказов

Классификацион-

ный признак

Значение классификационного признака Вид отказа

Характер измене-

ния основных па-

раметров объекта

до момента воз-

никновения отка-

за

Скачкообразное изменение одного или

нескольких параметров

Внезапный отказ

Постепенное изменение одного или

нескольких основных параметров

Постепенный

отказ

Взаимосвязь отка-

зов

Отказ элемента объекта не обусловлен по-

вреждениями или отказами других эле-

ментов объекта

Независимый от-

каз элемента

Отказ элемента объекта обусловлен повре-

ждениями или отказами других элементов

объекта

Зависимый отказ

элемента

Происхождение

отказов

Нарушение установленных правил и (или)

норм конструирования, несовершенство

принятых методов конструирования

Конструкционный

отказ

Нарушение установленного процесса изго-

товления или ремонта объекта, несовер-

шенство технологии

Производственный

отказ

Нарушение установленных правил и (или)

условий эксплуатации объекта

Эксплуатационный

отказ

Устойчивость

неработоспособ-

ного состояния

(характер отказа)

Неработоспособность сохраняется устой-

чиво

Устойчивый отказ

Неработоспособность сохраняется кратко-

временно, после чего работоспособность

самовосстанавливается или восстанавли-

вается оператором без проведения ремонта

Самоустраняю-

щийся отказ

(сбой)

Неработоспособность одного и того же ха-

рактера возникает и самоустраняется мно-

гократно

Перемежающийся

отказ

24 Общие положения теории надежности

С точки зрения обеспечения целостности информации необходимо со-

хранять хотя бы работоспособное состояние ИС. Для решения этой задачи

необходимо обеспечить высокую надежность функционирования алгоритмов,

программ и технических (аппаратных) средств.

Поскольку алгоритмы в ИС реализуются за счет выполнения программ

или аппаратным способом, то надежность алгоритмов отдельно не рассмат-

ривается. В этом случае считается, что надежность ИС обеспечивается на-

дежностью программных и аппаратных средств.

Надежность достигается на этапах:

разработки,

производства,

эксплуатации.

Для программных средств рассматриваются этапы разработки и эксплу-

атации. Этап разработки программных средств является определяющим при

создании надежных информационных систем.

На этом этапе можно выделить основные направления повышения на-

дежности программных средств:

корректная постановка задачи на разработку,

использование прогрессивных технологий программирования,

контроль правильности функционирования.

Корректность постановки задачи достигается в результате совместной

работы специалистов предметной области и высокопрофессиональных прог-

раммистов-алгоритмистов.

В настоящее время для повышения качества программных продуктов

используются современные технологии программирования (например, CASE-

технология). Эти технологии позволяют значительно сократить возможности

внесения субъективных ошибок разработчиков. Они характеризуются высо-

кой автоматизацией процесса программирования, использованием стандарт-

ных программных модулей, тестированием их совместной работы.

Контроль правильности функционирования алгоритмов и программ осу-

ществляется на каждом этапе разработки и завершается комплексным кон-

тролем, охватывающим все решаемые задачи и режимы.

На этапе эксплуатации программные средства дорабатываются, в них

устраняются замеченные ошибки, поддерживается целостность программных

средств и актуальность данных, используемых этими средствами.

Надежность технических средств (ТС) ИС обеспечивается на всех эта-

пах. На этапе разработки выбираются элементная база, технология произ-

водства и структурные решения, обеспечивающие максимально достижимую

надежность ИС в целом.

Надежность информационных систем 25

Велика роль в процессе обеспечения надежности ТС и этапа производ-

ства. Главными условиями выпуска надежной продукции являются высокий

технологический уровень производства и организация эффективного контро-

ля качества выпускаемых ТС.

Удельный вес этапа эксплуатации ТС в решении проблемы обеспечения

надежности КС в последние годы значительно снизился. Для определенных

видов вычислительной техники, таких как персональные ЭВМ, уровень тре-

бований к процессу технической эксплуатации снизился практически до уров-

ня эксплуатации бытовых приборов. Особенностью нынешнего этапа эксплу-

атации средств вычислительной техники является сближение эксплуатации

технических и программных средств (особенно средств общего программного

обеспечения). Тем не менее роль этапа эксплуатации ТС остается достаточ-

но значимой в решении задачи обеспечения надежности КС и прежде всего

надежности сложных компьютерных систем.

Отказоустойчивые ИС

Отказоустойчивость — это свойство ИС сохранять работоспособность

при отказах отдельных устройств, блоков, схем.

Известны три основных подхода к созданию отказоустойчивых систем:

простое резервирование,

помехоустойчивое кодирование информации,

создание адаптивных систем.

Любая отказоустойчивая система обладает избыточностью. Одним из

наиболее простых и действенных путей создания отказоустойчивых систем

является простое резервирование. Простое резервирование основано на ис-

пользовании устройств, блоков, узлов, схем только в качестве резервных.

При отказе основного элемента осуществляется переход на использование ре-

зервного. Резервирование осуществляется на различных уровнях: на уровне

устройств, блоков, узлов и т. д. Резервирование отличается также и глубиной.

Для целей резервирования могут использоваться один резервный элемент и

более. Уровни и глубина резервирования определяют возможности системы

парировать отказы, а также аппаратные затраты. Такие системы должны

иметь несложные аппаратно-программные средства контроля работоспособ-

ности элементов и средства перехода на использование, при необходимости,

резервных элементов. Примером резервирования может служить использо-

вание “зеркальных” накопителей на жестких магнитных дисках. Недостат-

ком простого резервирования является непроизводительное использование

средств, которые применяются только для повышения отказоустойчивости.

Помехоустойчивое кодирование основано на использовании информаци-

онной избыточности. Рабочая информация в КС дополняется определенным

26 Общие положения теории надежности

объемом специальной контрольной информации. Наличие этой контрольной

информации (контрольных двоичных разрядов) позволяет путем выполнения

определенных действий над рабочей и контрольной информацией определять

ошибки и даже исправлять их. Так как ошибки являются следствием отка-

зов средств ИС, то, используя исправляющие коды, можно парировать часть

отказов. Исправляющие возможности кодов для конкретного метода поме-

хоустойчивого кодирования зависят от степени избыточности. Чем больше

используется контрольной информации, тем шире возможности кода по об-

наружению и исправлению ошибок. Ошибки характеризуются кратностью,

т. е. количеством двоичных разрядов, в которых одновременно искажено со-

держимое, Помехоустойчивые коды обладают различными возможностями

по обнаружению и исправлению ошибок различной кратности. Так класси-

ческий код Хемминга обнаруживает и исправляет однократные ошибки, а

двукратные ошибки – только обнаруживает.

Помехоустойчивое кодирование наиболее эффективно при парировании

самоустраняющихся отказов, называемых сбоями. Помехоустойчивое коди-

рование при создании отказоустойчивых систем, как правило, используется

в комплексе с другими подходами повышения отказоустойчивости.

Наиболее совершенными системами, устойчивыми к отказам, являются

адаптивные системы. В них достигается разумный компромисс между уров-

нем избыточности, вводимым для обеспечения устойчивости (толерантности)

системы к отказам, и эффективностью использования таких систем по назна-

чению.

В адаптивных системах реализуется так называемый принцип элегант-

ной деградации. Этот принцип предполагает сохранение работоспособного со-

стояния системы при некотором снижении эффективности функционирова-

ния в случаях отказов ее элементов.

Адаптивные системы содержат аппаратно-программные средства для ав-

томатического контроля работоспособности элементов системы и осуществ-

ления ее реконфигурации при возникновении отказов элементов. При рекон-

фигурации восстанавливается необходимая информация (при ее утрате), от-

ключается отказавший элемент, осуществляется изменение связей и режимов

работы элементов системы. Простым примером адаптивной КС может слу-

жить ЭВМ, имеющая в своем составе математический и графический сопро-

цессоры, а также оперативную память блочной структуры. Все сопроцессоры

и блоки памяти используются для достижения максимальной производитель-

ности ЭВМ. При отказе какого-либо сопроцессора он логически отключается

от ЭВМ, а его функции выполняет центральный процессор. При этом система

деградирует, так как снижается производительность ЭВМ. Но в то же время

Надежность информационных систем 27

система сохраняет работоспособность и может завершить вычислительный

процесс. При отказе блока оперативной памяти он отключается и емкость

памяти уменьшается. Чтобы избежать потерь информации при отказах про-

цессоров и блоков оперативной памяти, вычислительный процесс возобнов-

ляется либо сначала, либо с последней контрольной точки. Механизм кон-

трольных точек используется обычно при выполнении сложных трудоемких

программ. Он заключается в запоминании всей необходимой информации для

возобновления выполнения программы с определенной точки. Запоминание

осуществляется через определенные интервалы времени.

В адаптивных системах даже внешние устройства не используются толь-

ко как резервные. Информация, необходимая для восстановления данных

с отказавшего ВЗУ, хранится на накопителях, которые используются для

хранения и рабочей информации. Примером таких систем являются RAID-

системы.

Блокировка ошибочных операций

Ошибочные операции или действия могут вызываться отказами аппарат-

ных и программных средств, а также ошибками пользователей и обслужи-

вающего персонала. Некоторые ошибочные действия могут привести к нару-

шениям целостности, доступности и конфиденциальности информации. Оши-

бочная запись в ОП и на ВЗУ, нарушение разграничения памяти при мульти-

программных режимах работы ЭВМ, ошибочная выдача информации в ка-

нал связи, короткие замыкания и обрыв проводников – вот далеко не полный

перечень ошибочных действий, которые представляют реальную угрозу без-

опасности информации в ИС.

Для блокировки ошибочных действий используются технические и аппа-

ратно-программные средства.

Технические средства применяются в основном для предотвращения оши-

бочных действий людей. К таким средствам относятся блокировочные тум-

блеры, защитные экраны и ограждения, предохранители, средства блокиров-

ки записи на магнитные ленты и магнитные дискеты.

Аппаратно-программные средства позволяют, например, блокировать вы-

числительный процесс при нарушениях программами адресных пространств

оперативной памяти с помощью граничных регистров или ключей защиты.

При мультипрограммных режимах работы ЭВМ оперативная память рас-

пределяется между программами. Приведенный механизм позволяет сравни-

вать адреса команд активной программы со страницами разрешенной обла-

сти ОП для этой программы и блокировать обращение при нарушении гра-

ниц. Аппаратно-программные средства используются также для блокирова-

ния выдачи информации в неразрешенные каналы связи, запрета выполнения

28 Общие положения теории надежности

операций, которые доступны только в определенных режимах, например в

режиме работы операционной системы. С помощью аппаратно-программных

средств может быть заблокирована запись в определенные области внешних

запоминающих устройств и некоторые другие операции.

На программном уровне могут устанавливаться атрибуты файлов, в том

числе и атрибут, запрещающий запись в файлы. С помощью программных

средств устанавливается режим обязательного подтверждения выполнения

опасных операций, таких как уничтожение файлов, разметка или формати-

рование ВЗУ и другие.

Оптимизация взаимодействия пользователей и обслуживающе-

го персонала с ИС

Одним из основных направлений защиты информации в ИС от непред-

намеренных угроз являются сокращение числа ошибок пользователей и об-

служивающего персонала, а также минимизация последствий этих ошибок.

Для достижения поставленных необходимы:

научная организация труда,

воспитание и обучение пользователей и персонала,

анализ и совершенствование процессов взаимодействия человека с ИС.

Научная организация труда предполагает:

оборудование рабочих мест,

оптимальный режим труда и отдыха,

дружественный интерфейс (связь, диалог) человека с ИС.

Рабочее место пользователя или специалиста из числа обслуживающего

персонала должно быть оборудовано в соответствии с рекомендациями эрго-

номики. Освещение рабочего места; температурно-влажностный режим; рас-

положение табло, индикаторов, клавиш и тумблеров управления; размеры

и цвет элементов оборудования, помещения; положение пользователя (спе-

циалиста) относительно оборудования; использование защитных средств —

все это должно обеспечивать максимальную производительность человека в

течение рабочего дня. Одновременно сводится к минимуму утомляемость ра-

ботника и отрицательное воздействие на его здоровье неблагоприятных фак-

торов производственного процесса. Для людей, работающих с ИС, основными

неблагоприятными факторами являются: излучения мониторов, шумы элек-

тромеханических устройств, гиподинамия и, как правило, высокие нагрузки

на нервную систему. Вредные воздействия устройств постоянно уменьшают-

ся за счет совершенствования самих устройств и в результате использования

защитных экранов.

Прогресс в области электронной вычислительной техники (ЭВТ) позво-

лил значительно облегчить взаимодействие человека с ЭВМ. Если на заре

Надежность информационных систем 29

ЭВТ с компьютером мог работать только человек с высшим специальным

образованием, то теперь на ПЭВМ работают дети дошкольного возраста.

Дальнейшее развитие интерфейса человека с ИС идет в направлении совер-

шенствования процессов ввода-вывода информации и управления вычисли-

тельным процессом. Речевой ввод информации, автоматический ввод-вывод

видео- и аудиоинформации, работа с графикой, вывод информации на экра-

ны и табло создают новые возможности для общения человека с ИС. Важным

для обеспечения безопасности информации является совершенствование диа-

лога пользователя с ИС. Наличие развитых систем меню, блокировок непра-

вильных действий, механизма напоминаний, справочных систем, систем шаб-

лонов существенно снимает нагрузку на нервную систему, сокращает число

ошибок, повышает работоспособность человека и производительность систе-

мы в целом.

Одним из центральных вопросов обеспечения безопасности информации

в ИС от всех классов угроз (в том числе и от преднамеренных) является во-

прос воспитания и обучения обслуживающего персонала, а также пользова-

телей корпоративных компьютерных систем. В ИС общего назначения работа

с пользователями затруднена и сводится главным образом к контролю над

их деятельностью.

Наряду с воспитанием специалистов большое значение в деле обеспече-

ния надежности функционирования ИС имеет и обучение работников. Обу-

чение может быть организовано на различных уровнях. Прежде всего руко-

водство должно всемерно поощрять стремление работников к самостоятель-

ному обучению. Важной задачей оптимизации взаимодействия человека с ИС

является также анализ этого процесса и его совершенствование. Анализ дол-

жен проводиться на всех жизненных этапах ИС и направляться на выявление

слабых звеньев. Слабые звенья заменяются или совершенствуются как в про-

цессе разработки новых ИС, так и в процессе модернизации существующих.

1.6. Характеристики надежности при внезапных

и постепенных отказах

Показатели надежности — это количественные характеристики одного

или нескольких свойств, определяющих надежность системы. В основе боль-

шинства показателей надежности лежат оценки наработки, т. е. продолжи-

тельности или объема работы, выполненной объектом. По отношению к ЭВМ

и ее элементам обычно в качестве наработки рассматривают только продол-

жительность работы.

Когда система работает с перерывами, учитывается суммарная наработ-

30 Общие положения теории надежности

ка. Если объект эксплуатируется в различных режимах, влияющих на пока-

затели надежности, то наработки могут суммироваться для каждого режима

отдельно.

Показатель надежности, относящийся к одному из свойств, определяю-

щих надежность объекта, называется единичным. Комплексный показатель

надежности относится к нескольким свойствам, определяющим надежность

системы.

При рассмотрении показателей надежности следует различать:

наименование показателя,

формулировку показателя, содержащую указание о способах экспери-

ментального или расчетного определения его численного значения,

численные значения показателя.

Показатели безотказной работы

Вероятность безотказной работы P (t) — вероятность того, что в пре-

делах заданной наработки отказ не возникает (наработка — это продолжи-

тельность или объем работы):

P (t) = P (T ≥ t), (1.1)

где T — случайное время работы объекта до отказа; t — заданная наработка.

Этот показатель обладает следующими свойствами:

P (t) = 1, т. е. до начала работы (t = 0) система являлась безусловно

работоспособной;

P (t) — невозрастающая функция времени;

lim

t→∞

P (t) = 0, т. е. объект не может сохранять свою работоспособ-

ность неограниченно долго.

Вероятность отказа Q(t) — вероятность того, что в пределах заданной

наработки отказ объекта возникает:

Q(t) = 1 − P (t). (1.2)

Она характеризует вероятность того, что случайное время t работы объекта

до отказа меньше заданного времени: T ≥ t. Под T понимается непрерыв-

ная случайная величина, для которой существует плотность распределения

наработки до отказа:

f(t) = F

(t), (1.3)

где F (t) — функция распределения времени до отказа, совпадающая с функ-

цией Q(t):

Q(t) = F (t) =

f(τ)dτ. (1.4)