容错软件设计.ppt

Possible Failure Scenario What if the software components produce doublet or triplet IAW responses? P1 P2 P3 Doublet triplet IAW faults Adjudication Algorithm Adjudication by Voting A “voter” compares results from two or more functionally equivalent software components and decides which of the answers provided by those components is correct. Various versions of voting algorithm: Majority voting 2-of-N voting Consensus voting 技术 恢复块 N-版本编码version programming Consensus recovery block Acceptance voting N self-checking programming 恢复块 (RB) 采用软件模块的多个版本和接受测试. 第一个模块的输出进行接受性测试，如果失败，后向状态恢复后第二个模块被执行. N-版本编码 并行执行N个独立的已开发的功能相等的模块. 通过投票进行裁决. 投票者接受了所有N个输出并从中选择正确的一个. NVP的优点: 没有服务中断. 一致同意恢复块 NVP和RB的复合. 如果NVP失败，系统转向使用相同的块RB. NVP RB input failure System failure Correct output Correct output success 接受性投票 与NVP一样，所有的版本并行执行. 每一个模块的输出进行接受性测试. 如果接受性测试通过，输出到投票器. N 自检查编码 在N自检查编码 (NSCP)中, N模块成对执行. 成对的输出将进行比较. * 上海理工大学计算机与电气学院 上海理工大学计算机与电气学院 第四讲 容错软件系统 Fault Tolerant Software Systems: Techniques 材料来源：http://www.enel.ucalgary.ca/~far/Lectures/SENG521/04b/ 内容提要 什么是容错 容错计算系统能够在出现一定限度的失效的情况下，依旧能够提供所需要的服务. 这些失效的发生是由于系统的组件或者系统设计中存在缺陷所导致的. 构造大型的计算系统是一个复杂的任务; 要使系统具有容错能力就更复杂，除非采用合适的系统构造概念. 问题… 传统的硬件系统的容错方法建立在对物理组件失效模式的影响的深入了解的基础上. 传统的硬件容错方法一般不足以处理设计上的缺陷. 因此，绝大多数硬件的容错方法不能运用到软件上，因为软件中绝大多数的缺陷都是设计缺陷. 历史 … 防御性编程Defensive programming: 采用一些特殊的方法，来尽量消除由于残留的bug带来的损害，如防止攻击. 双重软件技术Dual software technique: 对相同的软件实现两个不同的版本并同时执行它们，当发现它们的输出不同时，将触发一个警告. 容错过程的各个阶段（1） Phase 1: 错误检测 对于一个需要容忍的缺陷，我们首先需要能够检测到它。因此容错技术的第一步就是要观察到失效的发生。. Phase 2: 危害估计 有必要估计系统状态受损害或者毁灭的范围. 如果发生缺陷（失效）与检测到原因（错误）的时间之间存在很大的延迟，那么对系统状态造成的危害将要大得多 容错过程的各个阶段（2） Phase 3: 错误恢复 必须使用错误恢复技术来返回到正常的没有错误的系统状态. 两种恢复技术. 后向恢复技术（Backward recovery technique）： 放弃当前（被破坏的）状态，而返回到早期的状态。因此，我们需要采用一定的方法来记录和恢复系统的状态. 前向恢复技术（Forward recovery technique）： involves使用当前的（被破坏的）状态来构造一个没有错误的状态. 容错过程的各个阶段（3） Phase 4: 缺陷处理 继续服务 一旦采用了恢复步骤，如果没有立即出现缺陷，就需要保证对系统的正常操作继续进行. 缺陷处理的第一步就是对缺陷进行定位. 接着就是修复缺陷，或者对余下的系统进行重新配置以避免缺陷. 恢复块机制 某一恢复块结构的句法: ensureacceptance testby P0 else-