Яковлев А.В. Надежность информационных систем

Подождите немного. Документ загружается.

4.4 ТЕСТОВЫЙ КОНТРОЛЬ

Принцип работы тестового контроля состоит в том, что на вход контроли-

руемого устройства подают специально подобранную совокупность входных воз-

действий и наблюдают реакцию на выходе. Сравнивая полученную реакцию с

эталонной, судят о правильности функционирования устройства.

Тестовый контроль обеспечивает проверку пребывания устройств ЭВМ в ра-

ботоспособном состоянии на момент контроля. В отличие от алгоритмического и

программно-логического, он не может быть использован для проверки состояния

устройств в процессе выполнения ими основной задачи, но может применяться

периодически в процессе функционирования ЭВМ между решениями основных

задач.

На практике строят такие тесты, которые обнаруживают не все, а только за-

ранее определенные отказы. Задача этих тестов состоит в проверке работоспособ-

ности устройства в целом с достаточно большой глубиной. Жестких требований

на время их выполнения не накладывается, поэтому данные тесты, как правило,

достаточно объемны.

Тестовый контроль устройств ЭВМ осуществляется при помощи специаль-

ных тест-программ, составленных из отдельных блоков. Все блоки построены по

единому принципу: вначале осуществляется подача на вход устройства входного

слова, затем происходит сравнение выходного слова с эталоном. Если они совпа-

ли, переходят к выполнению следующего блока, если не совпали, то автоматиче-

ская проверка прекращается.

Различают два вида проверок:

1). На постоянных словах, когда входные слова и эталоны подбираются за-

благовременно и в процессе контроля не меняются. Тест-программы, использую-

щие постоянные слова, обладают малым временем выполнения и обеспечивают

максимальный охват проверяемых элементов, однако они занимают большой объ-

ем памяти и их построение требует больших затрат времени.

2). На переменных словах, когда входные слова формируются по случайному

закону, а сравнение с эталоном осуществляется косвенным образом. Тест-

программы, использующие переменные слова, создают более тяжелые режимы в

работе устройств и , следовательно, позволяют произвести проверки с большей

глубиной.

Проверка на постоянных словах производится со специально подобранными

словами, при работе с которыми все отказы проявляются в виде искажений зара-

нее известных выходных слов.

Например, для контроля цепей сумматора обратных кодов целесообразно

выбрать следующие исходные операнды: a=1111...11, b=0000...01; c=0101...01,

d=1010...10 и выполнить операции a+b, b+a, c+d, d+c.

Первые две операции обеспечивают срабатывание всех цепей переноса и ре-

зультат при этом должен быть 0000...01. В двух последних операциях цепи пере-

носа не участвуют и результат должен быть равен 1111...11. Если в ходе контроля

указанные результаты не получены, то либо сигнал переноса в одном из разрядов

отсутствует, либо где-то возникает ложный сигнал переноса.

Проверка на переменных словах производится следующим образом. При по-

мощи генератора случайных слов формируются несколько случайных операндов

a, b, c, d, над которыми производятся либо две одинаковые операции и результаты

сравниваются, либо две взаимно-обратные операции и результаты сравниваются с

нулем, например:

ε<×−×

abba

, ε<−

Затем формируются новые случайные операнды и вновь производятся те же

операции. После многократного повторения данного участка тест-программы пе-

реходят к следующему участку. При достаточно большом количестве повторений

каждого участка получают весьма высокую вероятность обнаружения отказа в

аппаратуре.

5 ПРИНЦИПЫ ПОСТРОЕНИЯ ОТКАЗОУСТОЙЧИВЫХ ИC

5.1 ОСНОВНЫЕ ЗАДАЧИ СОЗДАНИЯ ОТКАЗОУСТОЙЧИВЫХ СИС-

ТЕМ

При создании новых систем для обработки информации перед разработчика-

ми стоят две основные задачи: а) достижение высокой производительности; б)

обеспечение высокой надежности.

Эти задачи противоречивы, и в каждом конкретном случае необходимо при-

нимать компромиссное решение. Путь решения первой задачи – повышение бы-

стродействия отдельных элементов ИС и максимальное распараллеливание про-

цесса обработки данных. При решении второй задачи возможны два основных

подхода:

1. Предотвращение отказов системы реализуется путем повышения техноло-

гического уровня изготовления компонентов ИС, минимизации ошибок разработ-

чиков, программистов, операторов. Улучшению надежностных характеристик от-

дельных подсистем способствует входной контроль, повышение степени интегра-

ции элементов, эффективные методы рассеивания тепловой энергии. Однако дан-

ный подход наталкивается на естественные ограничения технического и экономи-

ческого характера.

2. Создание отказоустойчивых систем. При этом допускается возникновение

отказов, но используются эффективные методы устранения их последствий.

Отказоустойчивость – свойство архитектуры ИС, обеспечивающее выпол-

нение заданных функций в случаях, когда в аппаратных и программных средствах

системы возникают отказы.

По способу реализации отказоустойчивость подразделяется на активную и

пассивную.

Активная отказоустойчивость базируется на отдельно выделенных процес-

сах обнаружения отказа, локализации отказа и реконфигурации системы. Отказы

обнаруживаются средствами контроля, локализуются при помощи средств диаг-

ностики и устраняются автоматической реконфигурацией системы. Последняя за-

ключается в перестройке структуры системы таким образом, чтобы ее отказавшие

компоненты были устранены от участия в работе.

Пассивная отказоустойчивость заключается в способности системы не по-

терять свои функциональные свойства в случае отказа отдельных элементов. В

таких случаях говорят, что отказ маскируется системой. Пассивная отказоустой-

чивость связана с увеличением количества аппаратуры в несколько раз; она при-

меняется обычно тогда, когда недопустимы даже кратковременные перерывы в

работе ИС, а также для обеспечения отказоустойчивости важнейших блоков или

устройств системы.

Применение активной отказоустойчивости характеризуется более эконом-

ным расходом аппаратных средств, однако связано с некоторыми потерями вре-

мени при восстановлении работы системы после отказа (иногда возможны потери

некоторой части данных). Активная отказоустойчивость реализуема только в

многопроцессорных системах. В то же время применение пассивной отказоустой-

чивости гарантирует практически бесперебойную работу ИС и сохранение всей

информации. Эти обстоятельства определяют области применения активной и

пассивной отказоустойчивости.

Введение отказоустойчивости является одним из способов повышения на-

дежности ИС. Вопрос о построении и применении отказоустойчивых систем воз-

никает тогда, когда другие пути повышения надежности не обеспечивают требуе-

мого ее уровня по техническим или экономическим причинам.

Отказоустойчивость системы обеспечивается введением избыточности, т.е.

созданием определенных запасов или резервов. В отказоустойчивых ИС может

быть использована избыточность параметрическая, временная, алгоритмическая и

структурная.

Параметрическая избыточность выражается в облегчении режимов работы

элементов и узлов аппаратуры с целью повышения их надежности. Однако для

правильно спроектированной системы эксплуатационные и другие параметры вы-

браны близкими к оптимальным, поэтому существенного увеличения надежности

за счет параметрической избыточности, достигнуто быть не может.

Временная избыточность заключается в наличии дополнительного времени

для решения задачи, с тем, чтобы в случае возникновения сбоев можно было ис-

правлять их путем повторной обработки данных. Временная избыточность созда-

ет предпосылки для реализации ресурсов по повышению отказоустойчивости,

имеющихся в данной системе (реконфигурация, повторение вычислений), по-

скольку для этого требуется дополнительное время.

Алгоритмическая избыточность заключается в применении таких алгорит-

мов, которые обеспечивают удовлетворительные результаты в случае наличия или

возникновения ошибок в процессе обработки информации. Алгоритмическая из-

быточность предполагает наличие временной избыточности и является средством

ее реализации. Например, свойствами избыточных алгоритмов обладают итера-

ционные алгоритмы, обеспечивающие сходимость при больших случайных от-

клонениях промежуточных результатов.

Структурная избыточность является наиболее эффективным видом избы-

точности. Она выражается в наличии дополнительных элементов, узлов, уст-

ройств в структуре системы, предназначенных для автоматической замены отка-

завших компонентов.

Структура пассивно отказоустойчивых систем основана либо на мажоритар-

ном принципе, либо на резервировании с контролем. Количество резервной и до-

полнительной аппаратуры в таких системах превышает количество основной ап-

паратуры.

Структура активно отказоустойчивых систем может быть различной. Актив-

ная отказоустойчивость может быть применена в многопроцессорных системах с

общей памятью, общей шиной, кольцевой, иерархической или другой структурой.

Ниже обзорно рассмотрены средства устранения последствий отказов и сбо-

ев, а также основные способы восстановления процесса обработки данных. В об-

щем же случае процесс функционирования отказоустойчивой ИС может быть

представлен схемой, приведенной на рис. 6.1.

Работоспособное состояние системы

Возникновение ошибки

Выявление ошибки

Локализация ошибки

Реконфигурация системы

Восстановление потерянной информации

Восстановление вычислительного процесса

Работоспособное состояние системы

Рис. 6.1. Последовательность состояний ИС.

5.2 СПОСОБЫ И СРЕДСТВА УСТРАНЕНИЯ ПОСЛЕДСТВИЙ ОШИ-

БОК И ОТКАЗОВ В ИС

Как известно, простейшим способом устранения ошибок является повторе-

ние вычислений. Однако он позволяет устранить только ошибки, вызванные

сбоями, и требует значительных затрат машинного времени. Поэтому в практике

используют два основных способа устранения последствий отказов и ошибок в

работе ИС (рис. 6.2):

- маскирование ошибочных действий;

- реконфигурация системы.

Способы и средства устранения последствий отказов и ошибок

Маскирование Реконфигурация

Статическая Динамическая

Корректирующие

коды

Логика с

переплетениями

Схемы с

голосованием

Замещение

Дублирование

Постепенная

«деградация»

Рис. 6.2. Классификация способов и средств устранения последствий

ошибок и отказов.

Суть первого способа состоит в том, что избыточная информация скрывает

действие ошибочной информации за счет особенностей схемных решений и орга-

низации процесса обработки данных. При этом используются средства устране-

ния последствий ошибок – средства маскирования, которые делятся по принципу

действия на следующие группы:

- корректирующие коды (коды Хэмминга, итеративные коды, AN-коды);

- логика с переплетениями;

- схемы с голосованием.

В последнем случае используется нечетное число блоков, выполняющих од-

ни и те же вычислительные операции, и большинством «голосов» определяется

правильный набор выходных данных.

Реконфигурация системы заключается в изменении состава средств обработ-

ки информации или способа их взаимодействия. Реконфигурация производится

после выявления отказа. Этот способ устранения последствий ошибок и отказов

включает:

- статическую реконфигурацию;

- динамическую реконфигурацию.

Статическая реконфигурация системы осуществляется путем отключения

отказавших компонентов. При этом система делится на две части: активную, уча-

ствующую в работе, и пассивную, охватывающую неработоспособные компонен-

ты системы и отключенные в ходе реконфигурации.

Динамическая реконфигурация по принципу проведения делится на следую-

щие виды:

- замещение (поддержка запасом);

- дублирование;

- постепенная деградация системы (снижение функциональных способно-

стей).

5.3 СПОСОБЫ ВОССТАНОВЛЕНИЯ ОТКАЗОУСТОЙЧИВОЙ ИС

После реконфигурации для продолжения нормальной работы системы необхо-

димо ее восстановить. Восстановление системы происходит на двух уровнях (рис.

6.3).

Способы восстановления

Аппаратный уровень Программный уровень

Автоматическое

Ремонт

(восстановле

ние вручную)

Повторение

операции

Возвращение

контрольной

точке

Повторное

выполнение

программы

Рис. 6.3. Классификация способов восстановления ИС.

Аппаратный уровень. Здесь для восстановления отказавших компонентов ИС

используют два способа:

- автоматическое восстановление, реализуемое путем дополнительной ре-

конфигурации системы. При этом предполагается, что в системе имеется ряд за-

пасных блоков, благодаря которым она возвращается в работоспособное состоя-

ние. Производительность системы либо сохраняется, либо несколько снижается;

- ремонт (восстановление вручную). В этом случае отказавший блок выво-

дится из системы, и она либо продолжает работать с меньшей производительно-

стью, либо приостанавливается до возвращения отремонтированного блока в

активную часть ИС.

Программный уровень. Здесь осуществляется восстановление информации о

состоянии системы, необходимой для продолжения ее работы. В зависимости от

нарушений в работе системы (от количества ошибочной информации) можно вы-

делить следующие способы восстановления:

- повторение операции на различных уровнях (команд или микрокоманд).

Повторное выполнение некоторых операций может дать правильный результат,

если связанная с ними ошибка является случайной или временной (ошибка исче-

зает в процессе восстановления);

- возвращение к контрольной точке. Контрольной точкой называется некото-

рый этап процесса обработки информации, для которого зафиксированы (в запо-

минающем устройстве) промежуточные результаты и информация о состоянии

системы, позволяющая возобновить обработку данных. При обнаружении ошибки

система возвращается к контрольной точке, предшествующей моменту возникно-

вения отказа, и продолжает свою работу, используя данную точку в качестве ис-

ходной;

- повторное выполнение программы. При этом способе восстановления все

незавершенные (до возникновения отказа) программы выполняются с самого на-

чала. Это необходимо, когда в системе разрушено такое количество информации,

что восстановление путем повторного выполнения отдельных операций или уча-

стков программ невозможно. Данный способ применяется в случаях:

а) если последствия отказа успели отразиться на большей части системы;

б) если возможно восстановление только части вычислительных процессов;

в) если продолжение работы системы при использовании других способов

восстановления сопряжено с трудностями и большими затратами времени.

6 ИСПЫТАНИЯ НА НАДЕЖНОСТЬ

6.1 ЗНАЧЕНИЕ И ВИДЫ ИСПЫТАНИЙ НА НАДЕЖНОСТЬ

Испытания на надежность - это определение показателей надежности объ-

екта на основании непрерывного наблюдения за состоянием его работоспособно-

сти в условиях, предписанных методикой испытаний. Испытания на надежность

являются обязательным видом испытаний при изготовлении изделий и при при-

емке их от заводов-изготовителей. Методики проведения таких испытаний регла-

ментируются Государственными и отраслевыми стандартами.

Испытания на надежность могут дать объективную информацию о надежно-

сти объекта с учетом комплексного влияния всех действующих при его работе

факторов. Вместе с тем испытания на надежность обладают и отрицательными

сторонами:

1) они требуют больших затрат времени и средств. Кроме того, в процессе

испытаний расходуется значительная часть ресурса изделия;

2) результаты испытаний на надежность часто обращены в прошлое: об изде-

лиях, которые успешно выдержали испытания, можно сказать, что они до испы-

таний обладали такой-то надежностью и это подтверждено испытаниями.

Чтобы перенести выводы по результатам испытаний на надежность на пери-

од эксплуатации, необходимо выполнение ряда условий. Прежде всего необходи-

ма стабильность технологического процесса изготовления изделий, обеспечи-

вающая устойчивость показателей надежности. Если все изделия, изготавливае-

мые по определенной технической документации, обладают одинаковой надежно-

стью, то для определения показателей надежности большой совокупности изделия

достаточно испытать некоторую выборку изделий из этой генеральной совокуп-

ности. Этот способ применим для изделий массового производства. Для объектов

мелкосерийного и особенно индивидуального производства возникают серьезные

затруднения. Пути их преодоления различны и зависят от конкретных условия

производства и особенностей изделий. К таким путям относятся:

- обеспечение устойчивости показателей надежности объектов на значитель-

ном интервале времени, с тем, чтобы после проведения испытаний на надежность

оставался необходимый интервал времени, на котором сохраняется обнаруженная

при испытаниях надежность изделия;

- сочетание натурных испытаний с расчетом и моделированием.

По целевой направленности испытания на надежность подразделяются на

определительные, контрольные и специальные.

Определительные испытания - испытания, в результате которых определя-

ются количественные показатели надежности, как точечные (средняя наработка

до отказа), так и интервальные (среднеквадратическое отклонение времени рабо-

ты до отказа относительно среднего значения).

Контрольные испытания на надежность - испытания, в результате которых

контролируемые изделия по некоторым признакам и с заданным риском относят-

ся либо к категории годных, либо к категории негодных по уровню своей надеж-

ности. Такими признаками могут быть: отсутствие отказов на заданном интервале

времени; число отказов в случайный момент времени и т.п. По результатам таких

испытаний может быть сделан, к примеру, следующий вывод: изделия с риском

поставщика (т.е. с вероятностью забраковать годные), равным 0,02, и риском за-

казчика-потребителя (т.е. вероятностью принять негодные), равным 0,03, могут

быть отнесены к категории годных. Это менее информативный результат по срав-

нению с определительными испытаниями, но зато он требует меньшего объема

испытаний.

Специальные испытания на надежность - испытания, предназначенные для

исследования некоторых явлений, связанных с оценкой надежности (определение

долговечности, анализ влияния отдельных факторов на показатели надежности и

т.д.).

Чтобы испытания на надежность были менее трудоемкими и менее дорого-

стоящими, применяют специальные приемы:

1) ускорение испытаний путем использования таких режимов, которые при-

водят к ускорению процесса возникновения отказов;

2) прогнозирование отказов по изменению тех или иных параметров объекта;

3) использование предварительной информации о надежности испытуемого

изделия, а также принципа накопления информации, полученной из различных

источников.

6.2 ЗАДАЧИ, ВОЗНИКАЮЩИЕ ПРИ ИСПЫТАНИЯХ НА НАДЕЖ-

НОСТЬ

Ускорение испытаний. Ускоренные испытания – испытания в условиях, ко-

гда используются факторы, ускоряющие процесс возникновения отказов. Такими

факторами могут быть температура, повышенная нагрузка, влажность и т.п. Для

проведения ускоренных испытаний предварительно получают зависимости пока-

зателя надежности от изменения ускоряющего фактора или связь между значе-

ниями показателя надежности, полученными при различных условиях испытаний.

Исключение «анормальных» результатов испытаний. Статистические дан-

ные о надежности элементов, входящих в состав сложной системы, собираются

обычно на разных объектах. Поэтому важно обеспечить однородность статисти-

ческого материала. «Анормальные» результаты испытаний должны исключаться

из статистической совокупности по правилам исключения «анормальных» резуль-

татов измерений. Суть этих правил состоит в следующем:

1) если некоторое измерение х

внушает сомнение в его принадлежности к ге-

неральной совокупности, определяются: а) среднее значение х

ср

и средне-

квадратическое отклонение σ генеральной совокупности без сомнительных

измерений; б) коэффициент k, равный

k = (х

- х

ср

)/ σ,

где ;)1/()(

∑

−−=

cpi

Nxxσ

2) если k больше допустимого значения, указанного в специальной таблице

допустимых значений, то делается вывод о том, что х

не принадлежит к ге-

неральной совокупности.

Приведем извлечение из таблицы значений допустимых k:

Число

измерений

4 6 8 10 12 14 16

Значение k 1,49 1,94 2,22 2,41 2,55 2,66 2,75

Пример 7.1. Определить наличие “анормальных” измерений, если получены

измерения:

1. 0,9986 5. 0,9996 10. 0,9975 14. 0,9993

2. 0,9997 6. 0,9759 11. 0,9997 15. 0,9995

3. 0,9934 7. 0,9986 12. 0,9998 16. 0,9996

4. 0,9991 8. 0,9986 13. 0,9998 17. 0,9992

9. 0,9993

Предварительный анализ состава измерений ставит под сомнение результаты

3, 6, как существенно отличающиеся от остальных.

Произведем обработку основной группы измерений:

.0008,014/)( ;9990,015/

=−===

∑∑

cpiicp

xxxx σ

Определим значение k=7.

Определим по приведенной выше таблице предельно допустимое значение k

для 15 измерений. Оно не превышает 2,75.

Следовательно, полученное значение k для третьего измерения значительно

больше допустимого значения, поэтому результат третьего измерения – «анор-

мальный».

Использование косвенных признаков прогнозирования отказов. Для совре-

менных технических систем все большее значение приобретает предупреждение

отказов, а не их пассивная регистрация. Предупреждать же отказы можно только

тогда, когда возможно прогнозирование их возникновения.

К наиболее распространенным прогнозирующим признакам относятся при-

знаки, косвенным образом информирующие о надежности. Связь их с показате-

лями надежности выражается сложными зависимостями. Если эти зависимости

обнаружены и зафиксированы в виде графика, таблицы или математического вы-

ражения, то нетрудно по изменению косвенного признака определить прогнози-

руемую вероятность возникновения отказа.