Ващенко Г.В., Добронец Б.С. Надежность информационных систем

Подождите немного. Документ загружается.

Надежность информационных систем 51

дефектах и ошибках проектирования и эксплуатации, которые оказывают

наибольшее влияние на надежность функционирования ИС.

Различия между ожидаемыми и полученными результатами функцио-

нирования программ могут быть следствием ошибок не только в созданных

программах и данных, но и системных ошибок в первичных требованиях спе-

цификаций, явившихся исходной базой при создании ИС. Тем самым прояв-

ляется объективная реальность, заключающаяся в невозможности абсолют-

ной корректности и полноты исходных для проектирования спецификаций

сложных ИС. На практике в процессе разработки ИС исходные требования

уточняются и детализируются по согласованию между заказчиком и разра-

ботчиком. Базой таких уточнений являются неформализованные представ-

ления и знания специалистов, а также результаты промежуточных этапов

проектирования. Однако установить ошибочность исходных данных и спе-

цификаций еще труднее, чем обнаружить ошибки в созданных программах

и данных, так как принципиально отсутствуют формализованные данные,

которые можно использовать как эталонные, и их заменяют неформализо-

ванные представления заказчиков и разработчиков.

Степень влияния всех внутренних дестабилизирующих факторов, а так-

же некоторых внешних уроз на надежность ИС определяется в наибольшей

степени качеством технологий проектирования, разработки, сопровожде-

ния и документирования ИС и их основных компонент. При ограниченных

ресурсах на разработку ИС для достижения заданных требований по надеж-

ности необходимо управление обеспечением качества в течение всего цикла

создания программ и данных. Такое управление предполагает высокую дис-

циплину и проектировочную культуру всего коллектива специалистов, ис-

пользование им методик, типовых нормативных документов и средств авто-

матизации разработки. Кроме того, обеспечение качества ИС предполагает

формализацию и сертификацию технологии их разработки, а также выделе-

ние в специальный процесс поэтапное измерение и анализ текущего качества

создаваемых и применяемых компонент. Попытки создания сложных, распре-

деленных ИС на базе мультипроцессорных ЭВМ и концепции клиент-сервер

без использования эффективных технологий и средств автоматизации проек-

тирования, связаны с высоким риском полного провала проектов вследствие

трудностей обеспечения необходимой надежности функционирования таких

систем.

Методы обеспечения надежности программных средств

В современных автоматизированных технологиях создания и развития

сложных ИС с позиции обеспечения их необходимой и заданной надежности

можно выделить методы и средства, позволяющие:

52 Факторы, влияющие на надежность

создавать программные модули и функциональные компоненты высоко-

го, гарантированного качества;

предотвращать дефекты проектирования за счет эффективных техноло-

гий и средств автоматизации обеспечения всего жизненного цикла комплек-

сов программ и баз данных;

обнаруживать и устранять различные дефекты и ошибки проектирова-

ния, разработки и сопровождения программ путем систематического тести-

рования на всех этапах жизненного цикла ИС;

удостоверять достигнутые качество и надежность функционирования ИС

в процессе их испытаний и сертификации перед передачей в регулярную экс-

плуатацию;

оперативно выявлять последствия дефектов программ и данных и вос-

станавливать нормальное, надежное функционирование комплексов программ.

Комплексное, скоординированное применение этих методов и средств в

процессе создания ИС позволяет исключать некоторые виды угроз или зна-

чительно ослаблять их влияние. Тем самым уровень достигаемой надежности

ИС становится предсказуемым и управляемым, непосредственно зависящим

от ресурсов, выделяемых на его достижение, а главное, от качества и эффек-

тивности технологии, используемой на всех этапах жизненного цикла ИС.

Предотвращение ошибок создания ИС беспечивается применением со-

временных технологий и систем автоматизированного проектирования, объ-

единенных понятиями CASE, и языков четвертого поколения (4GL). CASE-

технологии представляют собой высокопроизводительные, ресурсосберегаю-

щие технологии создания комплексов программ высокого качества и надеж-

ности, имеют целью сокращение общих затрат на проектирование, реализа-

цию, сопровождение и развитие таких систем. Такие технологии позволяют

исключать или значительно снижать уровень системных, алгоритмических и

программных ошибок в ИС, передаваемых на эксплуатацию. Кроме того, они

эффективны при модификации и сопровождении ИС, а также при изменении

конфигурации внешней среды. Повышение уровня автоматизации проекти-

рования, применение методов и средств CASE-технологий — один из самых

эффективных современных путей повышения надежности ИС.

При создании ИС высокой сложности важная проблема состоит в пра-

вильном системотехническом и информационно-технологическом проекте,

обеспечивающем потребности конечного пользователя, высокие потребитель-

ские свойства и надежность ИС. CASE-средства предназначены для реализа-

ции больших и средних критических и ответственных проектов коллективами

разработчиков и обычно базируются на охватывающих все этапы жизненного

цикла этих систем, на конкретных методологиях коллективной разработки и

Надежность информационных систем 53

сопровождения ИС. Интегрированные CASE-средства служат для извлече-

ния и формализации знаний заказчика на этапе проведения обследования,

анализа и подготовки технического задания, а также для проектирования

концептуальной и логической структур комплексов программ и баз данных.

Одновременно благодаря высокому качеству проработки и документирова-

ния такого проекта создается основа для снижения трудоемкости отладки, те-

стирования, испытаний, а также сопровождения и развития прикладных ИС.

Совместное применение современных CASE-технологий и языков четвертого

поколения способно снизить трудоемкость разработки сложных программ-

ных средств в несколько раз и сократить длительность их проектирования с

2–3 лет до нескольких месяцев.

Базовым принципом современных методов и технологий создания при-

кладных программных средств является многократное использование отра-

ботанных технических решений на различных аппаратных и операционных

платформах. В настоящее время по некоторым оценкам только 10–15 % при-

кладных программ создается вновь, в то время как основная часть программ-

ных средств переносится с других проектов или платформ, комплексиру-

ется и собирается из готовых, испытанных, повторно используемых компо-

нент гарантированного качества. Организация, внедряющая у себя CASE-

технологию, должна осуществить определенные затраты на внедрение со-

ответствующей методологии и средств, а также на обучение разработчиков.

Результатом внедрения CASE-средств является значительное сокращение за-

трат на проектирование прикладной системы, высокое качество проекта и

надежность комплекса программ.

Языки четвертого поколения — 4GL — предназначены для быстрой раз-

работки проектов в определенной проблемной области. Они дают высокую

производительность и достаточную гибкость при создании прикладных си-

стем в тех проблемных областях (в одной или в нескольких), на которые

ориентирован язык. Языки 4GL разных видов имеют общую цель — ускоре-

ние разработок, повышение их надежности и снижение требований к уровню

квалификации разработчика. Они обеспечивают поддержку различных стан-

дартов и интерфейсов пользователя, что также способствует повышению ка-

чества и надежности ИС.

Предотвращению дефектов в сложных, распределенных ИС способству-

ет развитие и применение концепции и стандартов открытых систем. При

этом следует учитывать, что их использование сопряжено с некоторыми про-

тиворечивыми тенденциями в номенклатуре и величинах угроз, отражаю-

щихся на надежности ИС. Стандартизация интерфейсов между внешними и

внутренними компонентами ИС и возможность массового переноса программ

54 Факторы, влияющие на надежность

и данных на различные аппаратные и операционные платформы способству-

ют распространению дефектов и невыявленных ошибок, остающихся в пе-

реносимых компонентах. Усложнение взаимодействия программ и данных в

распределенных ИС также приводит к возрастанию вероятности проявления

угроз и снижению надежности. Однако переносимые компоненты, как прави-

ло, тщательнее тестируются и испытываются, поэтому имеют более высокое

качество чем те, которые созданы без ориентации на переносимость. Стандар-

тизация и глубокий формализованный контроль интерфейсов и протоколов

взаимодействия компонент ИС позволяют создавать сложные, распределен-

ные комплексы программ высокой надежности. Строгое соблюдение и кон-

троль соответствия стандартам открытых систем является высокоэффектив-

ным методом предотвращения ряда классов дефектов и ошибок и повышения

надежности ИС.

Для обнаружения и устранения ошибок проектирования все этапы раз-

работки и сопровождения ИС должны быть поддержаны методами и сред-

ствами систематического, автоматизированного тестирования. На эта-

пах разработки ИС целесообразно применять различные методы, эталоны

и виды тестирования, каждый из которых ориентирован на обнаружение,

локализацию или диагностику определенных типов дефектов. Непредсказу-

емость конкретных дефектов и ошибок в программах приводит к целесооб-

разности последовательного, методичного анализа возможности проявления

любого типа ошибок и к необходимости их исключения на наиболее ранних

этапах разработки при минимальных затратах. Надежность функциониро-

вания ИС непосредственно зависит от полноты применяющихся комплектов

тестов и адекватности генераторов тестов реальным объектам внешней среды

и условиям будущей эксплуатации.

Тестирование — основной метод измерения качества, определения кор-

ректности и реальной надежности функционирования программ на любых

этапах разработки. Результаты тестирования и измерения показателей каче-

ства должны сравниваться с требованиями технического задания или спе-

цификаций для определения степени соответствия предъявлявшимся требо-

ваниям, полученным разработчиком от заказчика. Такие достаточно полные

эталоны, как совокупность требований технического задания и поэтапная их

декомпозиция в спецификациях, необходимы для тестирования при проме-

жуточных и завершающих испытаниях.

Важная особенность тестирования сложных ИС — необходимость до-

статочно полной их проверки при ограниченной длительности испытаний.

Это определяет целесообразность тщательного планирования тестирования

с учетом всех результатов, полученных на предыдущих этапах разработки.

Надежность информационных систем 55

При планировании основная задача состоит в достижении максимальной до-

стоверности испытаний, определения качества и надежности ИС при ограни-

ченных затратах ресурсов на проведение тестирования.

За ограниченный, относительно короткий, период испытаний трудно про-

вести обширное тестирование, достоверно демонстрирующее достигнутые по-

казатели качества и надежности, и гарантировать выполнение всех техниче-

ских требований к сложномой ИС. Поэтому для обеспечения высокого ка-

чества целесообразно проводить испытания не только завершенного разра-

боткой ИС, но на ряде промежуточных этапов разработки проверять состо-

яние и корректность компонент проекта. Для этого до начала разработки в

процессе формирования технического задания следует формулировать план

и основные положения методики обеспечения качества, поэтапных испыта-

ний компонент и определения характеристик, допустимых для продолжения

разработки на следующем этапе. Одновременно должно происходить поэтап-

ное уточнение технического задания и методики испытаний ИС. В этом слу-

чае испытатели и представители заказчика получают возможность глубокого

ознакомления, поэтапного контроля качества компонент создаваемого ИС и

достаточно полного учета результатов тестирования при последующих испы-

таниях.

Важное значение имеет учет особенностей тестирования сложных про-

грамм, которые отличают этот процесс от традиционного, применяемого для

проверки аппаратуры и других технических систем. С этой позиции основ-

ными особенностями процесса тестирования программ являются:

отсутствие полностью определенного достоверного эталона — програм-

мы, которому должны точно соответствовать все результаты тестирования

проверяемой программы;

высокая сложность комплексов программ и принципиальная невозмож-

ность построения полных комплектов тестовых наборов, достаточных для их

исчерпывающей проверки, в том числе, на надежность функционирования;

относительно невысокая степень формализации критериев качества про-

цесса тестирования и достигаемых при этом корректности и надежности функ-

ционирования объектов испытаний.

Тестирование сопровождает весь жизненный цикл ИС, и на его основе

формируются, уточняются и детализируются технические требования, спе-

цификации и проект в целом. На начальных этапах проекта процессы разра-

ботки и тестирования часто практически смыкаются, однако целесообразно,

по возможности, их разделять методически, инструментально и по исполня-

ющим специалистам. Для сложных ИС систематическому тестированию их

программ приходится уделять зачастую столько же времени и сил, сколько

56 Факторы, влияющие на надежность

их непосредственной разработке. Недооценка необходимости планомерного

тестирования в процессе разработки проекта приводит к резкому возраста-

нию затрат на выявление и исправление ошибок в процессе эксплуатации, а

также к снижению надежности использования таких ИС. Систематическое,

скоординированное тестирование реализации функций ИС во всем доступном

разнообразии возможных ситуаций и условий внешней среды способствует об-

наружению внутренних дефектов, угрожающих катастрофическими послед-

ствиями для надежности и безопасности ИС.

Модели внешней среды и совокупные наборы тестов по сложности со-

измеримы с тестируемыми объектами и также не гарантированы от ошибок.

В результате в программах и данных всегда остаются дефекты и ошибки,

часть которых выявляется в процессе эксплуатации ИС в реальной среде.

Реальные ограничения допустимой длительности процессов тестирования и

объемов комбинаторики в тестах приводят к некоторому уровню невыявлен-

ных ошибок, часть из которых определяет конечную надежность функциони-

рования ИС. Чем шире тиражируются ИС и чем разнообразнее характеристи-

ки реальной внешней среды, даже в пределах, ограниченных требованиями

документации, тем более вероятны проявления сбоев и отказов, в том чис-

ле катастрофических. Это приводит к необходимости сопровождения всего

тиража ИС, выявления и устранения дефектов, а также последовательного

выпуска очередных, исправленных версий ИС для замены эксплуатируемых.

Для удостоверения качества, надежности и безопасности применения

сложных, критических ИС, используемое в них ПО следует подвергать обяза-

тельной сертификации аттестованными, проблемно-ориентированными ис-

пытательными лабораториями. Такие испытания необходимо проводить, ко-

гда программы управляют сложными процессами или обрабатывают столь

важную информацию, что дефекты в них или недостаточное качество могут

нанести значительный ущерб. Сертификационные испытания должны уста-

навливать соответствие комплексов программ документации и допускать их

к эксплуатации в пределах изменения параметров внешней среды, исследо-

ванных при проведенных проверках. Эти виды испытаний характеризуются

наибольшей строгостью и глубиной проверок и должны проводиться специ-

алистами, независимыми от разработчиков и от заказчиков (пользователей).

Испытания ИС должны опираться на стандарты, формализованные методи-

ки и нормативные документы разных уровней. Множество видов испытаний

целесообразно упорядочивать и проводить поэтапно в процессе разработки

для сокращения затрат на завершающих сертификационных испытаниях.

Сертификация комплексов программ является их испытанием в наибо-

лее жестких условиях тестирования особым коллективом специалистов, име-

Надежность информационных систем 57

ющим право на официальный государственный или ведомственный контроль

функций и качества ИС и гарантирующим их соответствие стандартам и дру-

гим нормативным документам, а также надежность и безопасность примене-

ния. Получение и обобщение результатов испытаний, а также принятие ре-

шения о выдаче сертификата является прерогативой испытательных лабора-

торий. Они должны быть специализированными для проведения испытаний

объектов определенных классов и целенаправленно, систематически работать

по созданию и совершенствованию методик и средств автоматизации испы-

таний ИС конкретного функционального назначения.

Специалисты — сертификаторы имеют право на расширение условий ис-

пытаний и на создание различных критических и стрессовых ситуаций в

пределах нормативной документации, при которых должно обеспечиваться

заданное качество и надежность решения предписанных задач. Если все ис-

пытания проходят успешно, то на соответствующую версию ИС оформля-

ется специальный документ — сертификат соответствия. Этот документ

официально подтверждает соответствие стандартам, нормативным и эксплу-

атационным документам функций и характеристик испытанных средств, а

также допустимость их применения в определенной области.

Методология принятия решений о допустимости выдачи сертификата на

ИС определяется оценкой степени его соответствия действующим и/или спе-

циально разработанным документам. В исходных нормативных документах

должны быть сосредоточены все функциональные и эксплуатационные ха-

рактеристики ИС, обеспечивающие заказчику и пользователям возможность

корректного применения сертифицированного объекта во всем многообразии

его функций и показателей качества. Выбор и ранжирование показателей

должны производиться с учетом классов ИС, их функционального назна-

чения, режимов эксплуатации, степени критичности и жесткости требова-

ний к результатам функционирования и проявлениям возможных дефектов

и ошибок. При этом могут привлекаться документы предшествующих этапов

испытаний и документы, подтверждающие соблюдение аттестованных техно-

логий при разработке программ на всех этапах. Испытания ИС в конкретных

проблемно-ориентированных системах проводятся по правилам и методикам,

принятым для соответствующих классов критических информационных си-

стем, например авиационных или космических комплексов.

Работы по сертификации объединяются в технологический процесс, на

каждом этапе которого регистрируются документы, отражающие состояние

и качество результатов разработки ИС. В зависимости от характеристик объ-

екта сертификации на ее выполнение выделяются ресурсы различных видов.

В результате сложность программ, а также доступные для сертификации ре-

58 Надежность ПО

сурсы становятся косвенными критериями или факторами, влияющими на

выбор методов испытаний, а также на достигаемое качество и надежность

ИС.

Сертификационные испытания удостоверяют качество и надежность ИС

только в условиях, ограниченных конкретными стандартами и нормативны-

ми документами, с некоторой конечной вероятностью. В реальных условиях

эксплуатации принципиально возможны отклонения характеристик внешней

среды функционирования ИС за пределы, ограниченные сертификатом, и

ситуации, не проверенные при сертификационных испытаниях. Эти обсто-

ятельства способны вызывать катастрофические последствия, угрожающие

надежности функционирования и безопасности применения ИС. Наличие сер-

тификата у ИС для критических систем является необходимым условием их

допуска к эксплуатации. Однако любой сертификат на сложные системы не

может гарантировать абсолютную их надежность применения и всегда оста-

ется некоторый риск возникновения отказовых ситуаций.

Отсутствие гарантии достижения в процессе создания ИС абсолютной

надежности их функционирования за счет использования высоких техноло-

гий, тестирования и сертификации заставляет искать дополнительные ме-

тоды и средства повышения надежности ИС. Для этого разрабатываются

и применяются методы оперативного обнаружения дефектов и искажений

при исполнении программ путем введения в них временной, информацион-

ной и программной избыточности. Эти же виды избыточности используются

для оперативного восстановления искаженных программ и данных и предот-

вращения возможности развития результатов реализации угроз до уровня,

нарушающего надежность функционирования ИС. Основная задача ввода

избыточности состоит в ограничении или исключении возможности аварий-

ных последствий от возмущений, соответствующих отказу системы. Любые

аномалии при исполнении программ необходимо блокировать и по возмож-

ным последствиям сводить до уровня сбоя путем быстрого восстановления.

Вопросы для самоконтроля

1. Что такое “надежность” ТУ.

2. Что такое “эффективность” ТУ.

3. Какое состояние ТУ называется работоспособным.

4. Что такое “отказ”.

5. Дать характеристику отказов ТУ.

6. Факторы, влияющие на надежность информационных систем.

7. Какое влияние оказывает человек на надежность информационных

систем.

Глава 3

Надежность ПО

На сегодня самая серьезная проблема в области обработки данных —

это проблема программного обеспечения. Внешне она проявляется в посто-

янных жалобах на то, что программное обеспечение, во-первых, дорого и,

во-вторых, ненадежно. Большинство специалистов считает первый из недо-

статков во многом проявлением второго. Поскольку современное программ-

ное обеспечение по самой своей природе ненадежно, его тестирование и об-

служивание требуют существенных расходов. Хотя эта книга посвящена в

основном проблеме надежности программного обеспечения, вопросы его вы-

сокой стоимости также будут затрагиваться в той мере, в какой они связаны

с надежностью.

Интересно отметить, что проблема надежности программного обеспече-

ния (с позиций, весьма близких к современным) рассматривалась еще на заре

применения вычислительных машин:

“Те, кто регулярно программирует для быстродействующих электронных

машин, знают на собственном опыте, что солидная доля подготовительного

этапа работы на ЭВМ уходит на устранение ошибок, сделанных при состав-

лении программы. С помощью здравого смысла и отладочных подпрограмм

большинство ошибок удается найти и исправить достаточно быстро. Одна-

ко некоторые из них настолько неуловимы, что не поддаются обнаружению

удивительно долгое время”.

Это наблюдение было отражено в публикациях уже в начале 1950-х. Это

были первые признания проблемы надежности, т. е. того факта, что тести-

рование требует значительного времени, и даже после его завершения неко-

торые ошибки в программном обеспечении остаются необнаруженными,

Первое, с чем мы сталкиваемся при анализе надежности программного

обеспечения, — это проблема определения, что такое ошибка в программном

обеспечении и что такое надежность программного обеспечения? Важно дого-

вориться о стандартном определении, чтобы избежать таких ситуаций, когда

пользователь утверждает, что обнаружил в системе ошибку, а разработчик

60 Надежность ПО

отвечает: “Нет, система так и была задумана”.

Дело в том, что разные лица по-разному понимают, что такое ошибка в

программном обеспечении. Прежде чем приступить к обсуждению методов

устранения таких ошибок, следует дать определение ошибки. Однако полез-

нее будет сначала проанализировать известные определения и указать на их

слабые места, а не пытаться без всякой подготовки формулировать свое соб-

ственное определение.

3.1. Основные показатели надежности ПО

Свойства надежности изделий изучаются теорией надежности, которая

является системой определенных идей, математических моделей и методов,

направленных на решение проблем предсказания, оценки и оптимизации раз-

личных показателей надежности. Надежность технических систем определя-

ется в основном двумя факторами: надежностью компонент и дефектами

в конструкции, допущенными при проектировании или изготовлении. От-

носительно невысокая физическая надежность компонент, их способность к

разрушению, старению или снижению надежности в процессе эксплуатации

привели к тому, что этот фактор оказался доминирующим для большинства

комплексов аппаратуры. Этому способствовала также невысокая сложность

многих технических систем, вследствие чего дефекты проектирования про-

являлись относительно редко и вуалировались физическими отказами ком-

понент.

Надежность сложных программных средств определяется этими же фак-

торами, однако доминирующими являются дефекты и ошибки проектирова-

ния, так как физическое хранение программ на магнитных носителях ха-

рактеризуется очень высокой надежностью. Программа любой сложности и

назначения при строго фиксированных исходных данных и абсолютно на-

дежной аппаратуре исполняется по однозначно определенному маршруту и

дает на выходе строго определенный результат. Однако случайное изменение

исходных данных и накопленной при обработке информации, а также мно-

жество условных переходов в программе создают огромное число различных

маршрутов исполнения каждого сложного ПС. Источниками ненадежности

являются непроверенные сочетания исходных данных, при которых функци-

онирующее ПС дает неверные результаты или отказы. В результате комплекс

программ не соответствует требованиям функциональной пригодности и ра-

ботоспособности.

При применении понятий надежности к программным средствам сле-

дует учитывать особенности и отличия этих объектов от традиционных