软件可靠性与系统容错

01基本概念

定义的四要素

软件可靠性与硬件可靠性的四个区别

1. 复杂性: 软件比硬件复杂得多,导致软件可靠性比硬件可靠性问题严重。
2. 物理退化: 硬件可靠性问题主要由于物理退化所致;软件不存在物理退化,一个正确的软件任何时刻均可靠;然而,一个正确的硬件元器件或系统,则可能在某个时刻失效。
3. 唯一性: 软件是唯一的,软件复制不改变软件本身;而任何两个硬件不可能绝对相同。(这是为什么概率方法在硬件可靠性领域取得巨大成功,而在软件可靠性领域不令人满意的原因)
4. 版本更新较快: 硬件更新周期通常较慢,定型一般就不会更改;软件产品通常受需求变更、缺陷修复的需要,造成版本更新较快,给可靠性评估带来较大难度。

02定量描述与指标

规定时间的三种概念

• 自然时间(日历时间): 人们日常计时用的年、月、周、日等自然流逝的时间段。
• 运行时间: 软件从启动开始,到运行的累计时间。
• 执行时间(CPU 时间): 软件实际占用 CPU 执行的时间。

常用可靠性指标

03影响可靠性的五大因素

构建可靠性模型前,需要分析影响因素。首先考虑主要因素:缺陷的引入、发现和清除。

• 缺陷的引入取决于软件产品的特性和软件的开发过程特性。
• 缺陷的发现依靠用户对软件的操作方式、运行环境等(即运行剖面)。
• 缺陷的清除依赖于失效的发现和修复活动及可靠性方面的投入。

从技术角度看的五大影响因素

04广义 vs 狭义可靠性测试

软件可靠性问题已被越来越多的软件工程专家所重视。可靠性问题的重要性体现在五个方面:

1. 软件失效可能造成灾难性的后果(如 Fortran 程序少逗号致美宇宙飞行失败)。
2. 软件的失效在整个计算机系统失效中的比例较高(某机构统计 80% 与软件有关)。
3. 相比硬件可靠性技术,软件可靠性技术很不成熟。FTA、FMEA 等在硬件领域比较成熟,但在软件领域尚未定型。
4. 与硬件元器件成本急剧下降形成鲜明对比的是,软件费用呈有增无减的势头。
5. 计算机技术日益广泛应用,系统对软件的依赖性越来越强。

广义与狭义的区别

可靠性测试目的(三方面)

1. 发现软件系统在需求、设计、编码、测试和实施等方面的各种缺陷。
2. 为软件的使用和维护提供可靠性数据。
3. 确认软件是否达到可靠性的定量要求。

05软件可靠性建模(10 大类模型)

Musa Okumoto 的模型属性分类

• 时间域: 自然/日历时间 vs 执行(CPU)时间
• 失效数类: 无限时间内发生的失效数是有限的还是无限的
• 失效数分布: 泊松分布型 vs 二项分布型
• 有限类: 用时间表示的失效强度的函数形式
• 无限类: 用经验期望失效数表示的失效强度的函数形式

06软件可靠性管理(六阶段)

软件工程各个阶段可能进行的主要软件可靠性活动:

• 1. 需求分析阶段
  确定可靠性目标 → 分析可能影响可靠性的因素 → 确定可靠性的验收标准 → 制定可靠性管理框架 → 制定可靠性文档编写规范 → 制订可靠性活动初步计划 → 确定可靠性数据收集规范
• 2. 概要设计阶段
  确定可靠性度量 → 制定详细的可靠性验收方案 → 可靠性设计 → 收集可靠性数据 → 调整可靠性活动计划 → 明确后续阶段的可靠性活动的详细计划 → 编制可靠性文档
• 3. 详细设计阶段
  可靠性设计 → 可靠性预测(确定可靠性度量估计值)→ 调整可靠性活动计划 → 收集可靠性数据 → 明确后续阶段计划 → 编制可靠性文档
• 4. 编码阶段
  可靠性测试(含于单元测试)→ 排错 → 调整可靠性活动计划 → 收集可靠性数据 → 明确后续阶段计划 → 编制可靠性文档
• 5. 测试阶段
  可靠性测试(含于集成测试、系统测试)→ 排错 → 可靠性建模 → 可靠性评价 → 调整可靠性活动计划 → 收集可靠性数据 → 明确后续计划 → 编制可靠性文档
• 6. 实施阶段
  可靠性测试(含于验收测试)→ 排错 → 收集可靠性数据 → 调整可靠性模型 → 可靠性评价 → 编制可靠性文档

07★ 可靠性设计技术(核心重点)

软件可靠性设计的定义

三大设计原则

1. 软件可靠性设计是软件设计的一部分,必须在软件的总体设计框架中使用,并且不能与其他设计原则相冲突。
2. 软件可靠性设计在满足提高软件质量要求的前提下,以提高和保障软件可靠性为最终目标。
3. 软件可靠性设计应确定软件的可靠性目标,不能无限扩大化,并且排在功能度、用户需求和开发费用之后考虑。

三大设计技术总览

08★ 容错设计三大技术(核心重点)

① 恢复块设计(Recovery Block)

程序的执行过程可以看成是由一系列操作构成的。恢复块设计就是选择一组操作作为容错设计单元,从而把普通的程序块变成恢复块。被选择用来构造恢复块的程序块可以是模块、过程、子程序和程序段等。

一个恢复块包含有若干个功能相同、设计差异的程序块文本:

• 每一时刻有一个文本处于运行状态;
• 一旦该文本出现故障,则用备份文本加以替换,从而构成"动态冗余"。

② N 版本程序设计

核心是通过设计出多个模块或不同版本,对于相同初始条件和相同输入的操作结果,实行多数表决,防止其中某一软件模块/版本的故障提供错误的服务,以实现软件容错。

③ 冗余设计

改善软件可靠性的一个重要技术。软件冗余与硬件冗余的关键区别:

冗余设计的成本分析:

• 设计开发完成同样功能但实现方法完全不同的两套软件系统,需要的费用可能接近于单个版本软件开发费用的两倍。
• 但采用冗余技术设计软件所增加的额外费用肯定远低于重新设计一个版本软件的费用(因为大多数设计花费如文档、测试以及人力都是有可能复用的)。
• 冗余设计还可能导致软件运行时存储空间、内存消耗以及运行时间有所增加,需要在可靠性要求和额外付出代价之间做出折中。

检错技术(对比容错)

检错技术实现的代价一般低于容错技术和冗余技术,但它有一个明显的缺点:不能自动解决故障,出现故障后如果不进行人工干预,将最终导致软件系统不能正常运行。

采用检错设计技术要着重考虑四个要素:

降低复杂度设计

软件和硬件最大的区别之一就是软件的内部结构比硬件复杂得多。软件复杂度用于定量描述软件的复杂程度,常分为:

• 模块复杂性: 主要包含模块内部数据流向和程序长度两个方面。
• 结构复杂性: 用不同模块之间的关联程度来表示。

其他技术的应用尝试

人们尝试着把硬件可靠性设计中比较成熟的技术,如故障树分析(FTA)、失效模式与效应分析(FMEA)等运用到软件可靠性设计领域。但由于软件与硬件内部性质的巨大差异,这些技术在软件可靠性设计领域的应用效果和范围极其有限。

09★ 系统配置技术(必考重点)

通常在系统配置中可以采用相应的容错技术,通过系统的整体来提供相应的可靠性,主要有双机热备技术和服务器集群技术。

双机热备技术

"心跳"机制

双机热备系统采用"心跳"方法保证主系统与备用系统的联系。所谓"心跳",指的是主从系统之间相互按照一定的时间间隔发送通信信号,表明各自系统当前的运行状态。

一旦"心跳"信号表明主机系统发生故障,或者备用系统无法收到主机系统的"心跳"信号,则系统的高可用性管理软件认为主机系统发生故障,立即将系统资源转移到备用系统上,备用系统替代主机工作,以保证系统正常运行和网络服务不间断。

双机热备的三种工作模式(必考)

服务器集群技术

大多数情况下,集群中所有的计算机拥有一个共同的名称,集群内任一系统上运行的服务可被所有的网络客户使用。

集群的核心特性

• 必须可以协调管理各分离的构件出现的错误和故障,并可透明地向集群中加入构件。
• 一个集群包含多台(至少二台)共享数据存储空间的服务器。其中任何一台服务器运行应用时,应用数据被存储在共享的数据空间内。
• 每台服务器的操作系统和应用程序文件存储在其各自的本地储存空间上。

集群内通信机制

集群内各节点服务器通过一个内部局域网相互通信。

• 当一台节点服务器发生故障时,这台服务器上所运行的应用程序将在另一节点服务器上被自动接管。
• 当一个应用服务发生故障时,应用服务将被重新启动或被另一台服务器接管。
• 当以上的任一故障发生时,客户都将能很快连接到其他应用服务器上。

10软件可靠性测试流程

软件可靠性测试由以下主要活动组成:

1. 可靠性目标的确定
2. 运行剖面的开发
3. 测试用例的设计
4. 测试实施
5. 测试结果的分析

定义软件运行剖面

定义运行剖面首先需要为软件的使用行为建模,建模可以采用马尔可夫链来完成。用马尔可夫链将输入域编码为一个代表用户观点的软件使用的状态集。

开发使用模型的两种分层

• 用户级分层: 依赖于谁或什么能激励系统;考虑各种类型的用户以及他们如何使用系统。
• 用法级分层: 依赖于在测试状态下系统能做什么;要求考虑系统能够提供的所有功能。

定义使用概率的最佳方法

1. 从现有系统收集到的数据(最优,如系统原型、前一版本)
2. 与用户的交谈或对用户进行观察获得的信息
3. 原型使用与测试分析的结果
4. 相关领域专家的意见

在没有任何数据可用的情况下,只能将每个状态现有的弧分配相同的概率,这是最差的一种方法。

可靠性测试用例的组成部分

1. 测试用例标识
2. 被测对象
3. 测试环境及条件
4. 测试输入
5. 操作步骤
6. 预期输出
7. 判断输出结果是否符合标准
8. 测试对象的特殊需求

可靠性测试的特殊用例(重点考虑)

四类可靠性数据

用时间定义的软件可靠性数据可以分为 4 类,这 4 类数据可以互相转化:

1. 失效时间数据: 记录发生一次失效所累积经历的时间。
2. 失效间隔时间数据: 记录本次失效与上一次失效间的间隔时间。
3. 分组时间内的失效数: 记录某个时间区内发生了多少次失效。
4. 分组时间的累积失效数: 记录到某个区间的累积失效数。

11软件可靠性评价

三个核心步骤

1. 选择可靠性模型
2. 收集可靠性数据
3. 可靠性评估和预测

选择可靠性模型的判断维度

没有适用于所有软件系统的"最好"模型。可以从以下几个方面进行比较和选择:

常用的数据分析图形

• 累积失效个数图形
• 单位时间段内的失效数的图形
• 失效间隔时间图形

试探性数据分析技术(EDA)

对失效数据图形进行一定的数字化分析,能发现和揭示出数据中的异常。对可靠性分析有用的信息包括:

• 循环相关
• 短期内失效数的急剧上升
• 失效数集中的时间段

这种分析方法常可以发现因排错引入新的缺陷、数据收集的质量问题及时间域的错误定义等问题。

12系统可靠性模型(划重点教材)

与系统故障模型对应的就是系统的可靠性模型。下面介绍几种常用的模型:

① 时间模型 — Shooman 可靠性增长模型

最著名的时间模型是由 Shooman 提出的可靠性增长模型,基于这样一个假设:

其中:

• τ 为调试时间
• E_r(τ) 为在时刻 τ 软件中剩余的故障数
• E₀ 为 τ = 0 时软件中的故障数
• I 为软件中的指令数
• C 是比例常数

② 故障植入模型(Mills 模型,1972)

故障植入模型是一个面向错误数的数学模型,其目的是以程序的错误数作为衡量可靠性的标准。Mills 1972 年提出的基本假设:

1. 程序中的固有错误数是一个未知的常数。
2. 程序中的人为错误数按均匀分布随机植入。
3. 程序中的固有错误数和人为错误被检测到的概率相同。
4. 检测到的错误立即改正。

Basin 1974 年的两步查错法

考虑到实施植入错误时遇到的困难,Basin 提出了两步查错法:由两个错误检测人员独立对程序进行测试,检测到的错误立即改正。

③ 数据模型(Nelson 模型, 1973)

对于一个预先确定的输入环境,软件的可靠度定义为在 n 次连续运行中软件完成指定任务的概率。

基本方法:

其中 E 为输入集,E_e 为导致软件差错的所有输入的集合。

组合模型(容错系统可靠性最常用方法)

组合模型是计算机容错系统可靠性最常用的方法。一个系统只要满足以下条件,就可以用组合模型来计算其可靠性:

1. 系统只有两种状态:运行状态和失效状态。
2. 系统可以划分成若干个不重叠的部件,每个部件也只有两种状态。
3. 部件的失效是独立的。
4. 系统失效当且仅当系统中的剩余资源不满足系统运行的最低资源要求(系统的状态只依赖于部件的状态)时。
5. 已知每个部件的可靠性(可靠性指可用度或可靠度等概率参数)。

组合模型的基本思想

1. 枚举所有系统状态: 假设系统被划分为 n 个部件,则系统状态是一个 n 维向量,一个具有 n 个部件的系统共有 2ⁿ 个状态。
2. 计算每个系统状态的概率
3. 可靠性计算

13考点速记卡