Яковлев А.В. Надежность информационных систем

Подождите немного. Документ загружается.

вания, операторов ЭВМ, исходных данных, в линиях связи при передаче данных,

при хранении информации на машинных носителях, сбоев в работе аппаратуры.

Ошибки проектирования. К ним относят ошибки в документации, аппаратуре

или программном обеспечении, которые не были обнаружены в процессе проек-

тирования и опытной эксплуатации системы, но проявились в процессе работы.

В математическом обеспечении ИС можно выделить следующие типы оши-

бок: программные, алгоритмические и системные.

Программные ошибки – ошибки, порождаемые неправильным использовани-

ем команд, операторов, адресации и т.п. Их количество зависит от квалификации

программистов и степени автоматизации проектирования программ. Алгоритми-

ческие ошибки возникают из-за неадекватности модели реальному процессу, не-

правильного выбора численного метода решения задачи. Системные ошибки яв-

ляются следствием неправильного взаимодействия алгоритмов друг с другом при

функционировании системы в целом.

Ошибки операторов возникают в работе системы из-за неправильных дейст-

вий обслуживающего персонала, а также вследствие плохой организации техни-

ческой эксплуатации. Поэтому важно правильно предусмотреть роль человека в

системе, учитывая его возможности по физическим, психическим и другим видам

нагрузок.

Ошибки исходных данных возникают в ИС, в которых большое количество

исходной информации подготавливается вручную. Например, при обработке эко-

номической информации наиболее характерными являются ошибки из-за непра-

вильного заполнения исходной документации и при вводе данных с исходных до-

кументов в ЭВМ.

Ошибки в линиях связи. Линии связи, предназначенные для передачи инфор-

мации, являются в настоящее время неотъемлемой компонентой большого числа

ИС. Средняя вероятность ошибки q для большинства линий связи составляет 10

-3

– 10

-5

Ошибки, порождаемые неисправностями логических и специальных элемен-

тов. Для их вычисления необходимо знать вероятности возникновения ошибок

(неисправностей) в отдельных элементах. В инженерной практике, как правило,

предполагают, что поток неисправностей в работе элементов является пуассонов-

ским с параметром λ, причем значение λ состоит из двух составляющих, т.е.

λ=λ

+λ

сб

, где λ

– интенсивность отказов элемента, λ

сб

– интенсивность сбоев.

Значения λ

, λ

сб

определяют на основании испытаний аппаратуры на надежность

или с помощью статистических данных, полученных при эксплуатации. При от-

сутствии статистических данных по интенсивностям возникновения сбоев для

приближенных расчетов можно полагать, что λ

сб

на порядок больше, чем интен-

сивность отказа.

Суммарный поток рассмотренных ошибок определяет возможность соблю-

дения временного регламента решения задач в ИС и достоверность информации,

получаемой при решении. Выдачу системой недостоверных результатов почти во

всех случаях следует рассматривать как отказ в ее работе. Поэтому понятие

«ошибка» в ряде случаев целесообразно рассматривать как явление искажения

информации, поддающееся с определенной вероятностью обнаружению и регист-

рации.

Для обнаружения ошибок в работе информационных систем широко исполь-

зуют различные методы контроля, позволяющие зафиксировать наиболее типич-

ные ошибки. Поэтому необходимо знание причин и характеристик возникающих

ошибок для правильного выбора метода контроля. Сбои, зафиксированные систе-

мой контроля, устраняют, и тем самым не допускается их распространение на вы-

ход системы. При обнаружении систематической ошибки требуется локализовать

и устранить причину ошибки.

Средства контроля ИС подразделяются на аппаратные, программные и

смешанные. Они характеризуются тремя основными параметрами: полнотой (глу-

биной) контроля, временем обнаружения ошибки и сложностью.

Полнота контроля оценивается как доля отказов, обнаруживаемых в резуль-

тате контроля, от общего их количества:

∑

∈

α ,

где

- множество элементов, подлежащих контролю;

- множество всех

элементов системы;

- число элементов i-го типа;

- интенсивность отказов

элементов i-го типа.

Время обнаружения ошибки (время контроля) определяется как интервал

времени от момента возникновения ошибки до момента ее обнаружения.

Сложность средств контроля характеризуется массой, размерами, стоимо-

стью, потребляемой энергией, памятью и другими параметрами аппаратных

средств.

По характеру контроль в ИС подразделяется на оперативный и тестовый.

Оперативный контроль осуществляется в ходе решения задач и позволяет в

процессе их решения немедленно обнаруживать ошибку. Однако оперативный

контроль в принципе является неполным, поскольку выполняется на случайных,

не приспособленных для целей контроля задачах.

Тестовый контроль осуществляется в специально отведенные промежутки

времени на основе решения специальных, тестовых задач. Он основан на тестах,

обеспечивающих контроль всех элементов системы (аппаратуры, команд про-

граммы) за короткое время. Недостаток тестового контроля - затраты дополни-

тельного процессорного времени.

По способу организации различают контроль прямой, обратный и смешан-

ный.

При прямом контроле основной вычислительный процесс О с исходными

данными х и результатами у сопровождается параллельным вычислительным

процессом П (рис. 5.1, а). В случае безошибочной работы системы результаты

процессов О и П должны совпадать, что определяется устройством сравнения БС.

Если результаты отличаются, то БС выдает сигнал об ошибке. Если процессы О и

П осуществляются по одной и той же программе, то приведенная схема позволяет

выявить только сбои и отказы аппаратуры. В случае, когда информация обраба-

тывается по различным, но функционально эквивалентным программам, прямой

контроль позволяет, кроме того, выявлять и ошибки в программах.

БС

Сигнал

контроля

а)

х у

БС

Сигнал

контроля

б)

Рис. 5.1. Схемы организации контроля.

Недостаток прямого контроля - большие затраты аппаратных средств. Они

могут быть снижены, если параллельный процесс П будет упрощен за счет сни-

жения точности: можно предположить, что большинство ошибок приведет к

сильному отклонению результата О от правильного значения, такому, которое пе-

рекроет погрешность результата процесса П и ошибка будет обнаружена по рас-

хождению между результатами процессов О и П.

При обратном контроле (рис. 5.1, б) параллельный процесс П с исходным

данными у и результатами х осуществляет обратное преобразование результата

контролируемого процесса О. Сопоставление обратного решения с исходными

данными позволяет обнаружить ошибку.

Недостаток обратного контроля, кроме ограниченности класса решаемых за-

дач, заключается и в том, что время, необходимое на получение контролируемого

решения, будет не меньше суммарного времени выполнения процессов О и П.

По объекту контроля различают контроль аппаратуры (АЛУ, функцио-

нальные преобразователи, память, управление, ввод-вывод), программного обес-

печения и работы операторов.

4.2 МЕТОДЫ АППАРАТУРНОГО КОНТРОЛЯ

При аппаратурном контроле в состав узла или устройства вводится избыточ-

ная (контрольная) аппаратура, которая функционирует одновременно с основной.

Сигналы, возникающие в процессе работы основной и контрольной аппаратуры,

по определенным законам сравниваются между собой. В результате этого сопос-

тавления вырабатывается информация о правильности функционирования кон-

тролируемого узла или устройства.

Контроль дублированием. Контроль дублированием является наиболее про-

стым способом аппаратного контроля. Суть метода состоит в том, что два одина-

ковых операционных устройства A и B работают синхронно при одинаковых ис-

ходных данных (рис. 5.2). В случае возникновения ошибки в одном из них, ре-

зультаты на выходах A и B будут различаться, что фиксируется устройством срав-

нения.

Рис. 5.2. Схема контроля

дублированием.

х у

БС

Сигнал

контроля

Полнота контроля дублированием приближается к единице. Необнаружение

ошибки может произойти по двум причинам: а) если в устройствах А и В одно-

временно возникнут одинаковые ошибки; б) если откажет устройство сравнения.

Недостатком контроля дублированием является большое количество необхо-

димой аппаратуры, а также то, что сравнение сигналов на выходе устройств по-

зволяет обнаруживать ошибку не сразу, а только при появлении ошибочных ре-

зультатов на выходе. Контроль дублированием применяется иногда для контроля

самых ответственных и труднопроверяемых узлов и устройств ЭВМ, например,

АЛУ.

Контроль по модулю. Наиболее широко в цифровых ЭВМ применяется кон-

троль по модулю. Он относится к неполному контролю, основанному на группи-

ровании чисел в классы эквивалентности. Если в случае возникновения ошибки

число переходит в другой класс эквивалентности, то такая ошибка обнаруживает-

ся простыми средствами. В противоположном случае ошибка не обнаруживается.

В один и тот же класс эквивалентности входят числа, сравнимые по модулю. В

случае, когда числа А

и А

имеют одинаковые остатки r

, то говорят, что А

сравнимы по модулю q и записывают это условие следующим образом:

qAA

mod

≡

или

qAA

mod

≡

Например, числа 6 и 11 сравнимы по модулю 5, так как 6 mod 5=1 и 11 mod

5=1.

Пусть некоторое целое положительное число представлено в виде

rqaA

+⋅=

где

rqa

- также целые положительные числа. Тогда число q называется

модулем, число a - целая часть отношения A/q, r

- остаток A по модулю q, т.е. ос-

таток от деления (вычет) A на модуль q:

+= .

Остаток r

для различных чисел может принимать значения 0, 1, 2, ..., q-1.

Таким образом, каждому целому числу А можно поставить в соответствие остаток

, полученный в результате деления A на модуль q. Это соответствие записывает-

ся в виде:

qrA

mod

≡

и читается: число А сравнимо с остатком r

по модулю q.

С каждым остатком по модулю q сравнимо некоторое множество чисел. Все

они называются сравнимыми между собой по модулю q и составляют класс чисел,

сравнимых по модулю q.

Таким образом, разбив все кодовые слова на классы, можно параллельно с ос-

новной операцией в контролируемом устройстве выполнять в контролирующем

устройстве аналогичную операцию над их остатками. Результаты, полученные в

этих устройствах, будут принадлежать к одному классу.

М П1

П2

БС

Рис. 5.3 Схема устройства хранения или

передачи чисел с контролем по модулю

Контроль хранения или передачи числа. Пусть число А передается по каналу

связи или записывается на магнитный носитель М. Тогда при помощи преобразо-

вателя П2 образуется остаток r

, который передается дополнительным каналом

связи (или записывается в дополнительное запоминающее устройство М

). Про-

пускная способность дополнительного канала (или объем памяти дополнительно-

го ЗУ) при этом значительно меньше тех же характеристик основного канала или

ЗУ, т.к. разрядность остатка

намного меньше разрядности числа А. Принятое

(или считанное) число А

, которое, возможно, содержит искажения, подвергается

также преобразованию П1 с образованием остатка r

, который затем сравнивает-

ся с остаток r

. При несовпадении формируется соответствующий сигнал контро-

ля.

Числовой контроль арифметических операций. В основе числового кон-

троля по модулю лежат следующие две теоремы:

1. Сумма чисел

),1(

niA

сравнима по модулю q с суммой остатков r

дан-

ных чисел:

∑∑

≡

qrA

mod .

2. Произведение чисел

),1(

niA

сравнимо по модулю q с произведением

остатков этих чисел:

qrA

ПП

mod

11 ==

≡ .

Контроль сложения чисел (рис. 5.4.) производится на основании теоремы 1.

Кроме суммы A

, которая после сложения чисел А

и А

в сумматоре S1, воз-

можно, содержит ошибку, преобразователями П1 и П2 образуются остатки сла-

гаемых r

и r

. После их суммирования в сумматоре S2 небольшой разрядности

получается остаток суммы остатков r

, который сравнивается с остатком r

П1

П2

П3

БС

Рис. 5.4. Схема устройства сложения с

контролем по модулю.

Контроль умножения чисел (рис. 5.5) производится аналогично контролю

сложения, но с использованием теоремы 2. В приведенной схеме P1 - основное

множительное устройство, Р2 - вспомогательное множительное устройство не-

большое разрядности.

Р1

П3

П1

БС

Р2

П2

Рис. 5.5. Схема устройства умножения с

контролем по модулю.

Схема устройства деления чисел с контролем по модулю функционирует на

основании теоремы 1 и изображена на рис. 5.6. В этой схеме div - делительное

устройство, Р - вспомогательное множительное устройство небольшой разрядно-

сти.

div

Р БС

Рис. 5.6. Схема устройства деления с

контролем по модулю.

Кодовый контроль по модулю отличается от числового контроля по модулю

тем, что при этом контроле осуществляются операции с вычетами от суммы цифр

двоичного слова без учета их «веса», т.е. без учета того, к какому разряду принад-

лежат эти цифры.

Пусть, например, по каналу передается слово

.22...22

aaaaA

++++=

−

Перед тем как послать это слово в канал, определяется сумма

∑

и в слу-

чае необходимости дополняется дополнительным разрядом так, чтобы вычет, т.е.

остаток от деления на модуль q, был равен вполне определенному числу. Вычет

числа, получаемый на выходе канала, контролируется. В случае расхождения с

ожидаемым результатом фиксируется отказ в выполнении задачи передачи ин-

формации.

Обычно используются модуль q=2 и вычет, равный либо 1 (при проверке на

нечетность), либо 0 (при проверке на четность). При таком контроле обнаружива-

ется невыполнение функции передачи данных, если имели место ошибки, т.е. за-

пись 1 вместо 0 и наоборот в одном, трех, пяти, семи, т.е. в нечетном числе разря-

дов. Для обнаружения ошибки в большем числе случаев необходимо увеличение

значения модуля, а, следовательно, усложнение контрольной аппаратуры.

4.3 ПРОГРАММНО-ЛОГИЧЕСКИЕ МЕТОДЫ КОНТРОЛЯ

Необходимость программного контроля обусловлена недостатками сущест-

вующих аппаратных методов контроля: недостаточными полнотой охвата и глу-

биной контроля всех устройств, большими затратами оборудования и, как следст-

вие, большой стоимостью. Кроме того, для ряда устройств и блоков ЭВМ в прин-

ципе трудно реализовать аппаратурный контроль.

Наибольший интерес представляют методы программного контроля, позво-

ляющие контролировать вычислительный процесс, т.е. правильность решения за-

дачи с помощью ЭВМ.

На первых этапах развития методов программного контроля широко приме-

нялся метод двойного-тройного счета. Однако он требовал для своей реализации

больших затрат машинного времени, что снижало производительность ВС более

чем в два раза. Поэтому возникла необходимость в разработке и практическом

внедрении более экономичных и совершенных методов контроля, которая приве-

ла к созданию алгоритмических и логических методов программного контроля

процессов решения задач на ЭВМ.

Алгоритмическим контролем называются специальные программные методы

проверки правильности реализации с помощью ЭВМ алгоритмов обработки ин-

формации и управления. Под реализацией алгоритмов понимается как процесс

вычислений, так и преобразование потока информации в требуемую форму для

последующей обработки или передачи потребителю.

Алгоритмический контроль предназначен для обнаружения и исправления

случайных сбоев, возникающих в процессе обработки информации в ИС. Он яв-

ляется частным случаем контроля методом двойного счета, но более экономич-

ным с точки зрения затрат машинного времени. При этом виде контроля задача

решается дважды: один раз по усеченному (упрощенному) алгоритму, а второй

раз - по основному. Полученные результаты сравниваются между собой по фор-

муле

iiyi

XXX

∆≤−

где х

- результаты решения задачи по основному алгоритму в i-м цикле

вычислений; х

- то же, но по усеченному алгоритму;

∆

- величина невязки, в

пределах которой расхождения между х

и х

в i-м цикле считаются допустимы-

ми.

В случае вычисления х

и х

по одному алгоритму (при двойном счете) срав-

нение результатов ведется на абсолютное равенство (

∆

=0).

Под усеченным алгоритмом понимают такой алгоритм, который позволяет

рассчитать те же параметры, что и основной алгоритм, но за более короткое время

с использованием специальных логических приемов и с учетом особенностей по-

строения алгоритма.

Логический контроль основан на избыточности исходной, промежуточной и

результирующей информации, используемой при вычислениях. Наличие избы-

точности позволяет в ряде случаев находить определенные контрольные соотно-

шения, при помощи которых можно обнаружить грубые ошибки.

а). Контроль по предельным значениям вычисляемых параметров.

Этот вид контроля состоит в проверке ряда условий, которые определяются

физической сущностью контролируемого параметра или математическими соот-

ношениями.

Например, правильность вычисления значений вероятностей различных со-

бытий контролируется по выполнению соотношения

10 ≤≤ P .

Если вычисляются углы A, B, C треугольника, то правильность их определе-

ния можно проконтролировать по выполнению равенства

0=−++πCBA .

Одним из частных случаев этого метода контроля является контроль скоро-

сти изменения переменных. Он применяется для контроля переменных х

, имею-

щих некоторый физический смысл и являющихся непрерывными функциями

времени. Сущность контроля заключается в том, что определяется скорость изме-

нения переменной

ttxtx

iii

∆

∆+−

≈

)()(

и проверяется условие

maxmin

iii

xxx

≤≤

b). Контрольные соотношения с использованием дополнительных перемен-

ных.

Метод состоит во введении искусственных переменных, которые либо связа-

ны известными соотношениями с основными переменными, либо значения этих

переменных при определенных условиях известны заранее.

Пусть решается алгебраическое уравнение

0...)(

=++++=

−

axaxaxaxP

корни которого

),...,2,1( nkX

Перейдем к новому уравнению

0)()()(

=⋅−=

xPaxxP

, корни которого

обозначим )1,,...,2,1(

nnlX

. Первые n корней вспомогательного уравнения сов-

падают с корнями исходного, а последний (n+1)-й корень равен а. Тогда алгоритм

контроля правильности функционирования программы решения алгебраического

уравнения будет состоять в следующем:

- перейти от исходного уравнения к вспомогательному;

- найти все корни х

вспомогательно уравнения;

- для каждого полученного значения корня осуществить проверку ε<−

Если хотя бы для одного из корней неравенство выполняется, считается, что

уравнение решено верно.

В этом примере в качестве дополнительной переменной выступает заранее

известное значение одного из корней.

Метод находит ограниченное применение, так как в общем случае отыски-

ваются не все корни уравнения.

Данный метод может быть применен для контроля решения некоторых диф-

ференциальных уравнений. Допустим, решается уравнение

+= y

при на-

чальных условиях

)(

yxy

Для контроля введем дополнительную переменную z, продифференцировав

дважды исходное уравнение:

= ; 2

z .

Теперь, решая заданное уравнение, можно на каждом шаге или в контроль-

ных точках находить значение z и проверять условие

ε≤− 2

. Выполнение

неравенства свидетельствует о правильности вычислений.

c). Контроль обратным просчетом.

В данном методе по полученному результату находят исходные данные (ар-

гументы) и сравнивают их с начальными исходными данными. Если они совпа-

дают (с заданной точностью), то полученный результат считается верным.

Например, выполняется контроль правильности работы подпрограммы, вы-

числяющей

. Для этого можно возвести в куб результат и предусмотреть

проверку условия:

ε≤− xy

При выполнении этого условия делается вывод о правильности работы

подпрограммы.

Достоинство этого метода состоит в том, что он обнаруживает ошибки, воз-

никшие как в результате сбоев, так и отказов.

d). Контроль повторным счетом.

Сущность метода заключается в том, что отдельные действия по передаче

данных, переработке информации и т.д. повторяются многократно. Полученные

при этом результаты сравниваются между собой. Правильным считается тот, ко-

торый дает наибольшее количество совпадений.

Контроль повторным счетом позволяет с вероятностью, равной единице, об-

наруживать ошибки, возникающие в результате сбоев, и практически не обнару-

живает ошибок, возникающих в результате отказов аппаратуры.