Confiabilidad

Confiabilidad del Software 1 Luis Eduardo Leyva del Foyo
Confiabilidad y
Tolerancia a Defectos
Confiabilidad. Deterioros Medios y
Atributos
Prevencin y Tolerancia de Defectos
Tolerancia a Defectos en Software
Programacin de N-Versiones
Redundancia Dinmica del Software
El esquema de Bloque de Recuperacin

Objetivos

Conocer el concepto de confiabilidad, sus deterioros,
medios y atributos. Comprender las tcnicas para el
Logro de la confiabilidad mediante el software, en
especial los aspectos referentes a la Tolerancia a
defectos.
Bibliografa:
Real-Time Systems and Programming
Languages. A. Burns y A. Wellings, Addison
Wesley, 1997.
Confiabilidad (Dependability)

Confiabilidad: propiedad de un sistema que permite
que se justifique la confianza en el servicio que ofrece.

Conceptos asociados a la confiabilidad

Defectos (faults)
Errores(Errors)
Deterioros
Circunstancias
que provocan o
resultan de la
falta de
confiabilidad.
Fallas (failures)
Evitacin de
defectos
Tolerancia a
Defectos
C
o
n
s
-
t
r
u
c
c
i
n
Eliminacin
de Defectos
Medios
Mtodos,
herramientas y
soluciones
requeridas para
entregar un
servicio
confiable.
Prediccin
de Defectos
V
a
l
i
d
a
-
c
i
n
Disponibilidad
Fiabilidad
Seguridad
Confidencialidad
Integridad
C
O
N
F
I
A
B
I
L
I
D
A
D
Atributos
Modos y
medidas por las
cuales se puede
estimar la
calidad de un
servicio
confiable.
Mantenibilidad
Atributos de la Confiabilidad
Existen muchos tipos de aplicaciones cada una de las
cuales requiere de un nfasis particular en diferentes
aspectos de la confiabilidad. La confiabilidad se
expresa mediante diferentes atributos o propiedades:

Disponibilidad (Availability): medida en la
cual el sistema est listo para ser usado.
Fiabilidad (Reliability): medida en la cual el
sistema suministra su servicio de forma
continua.
Seguridad (Safety) medida en la cual un
sistema evita consecuencias catastrficas
sobre su entorno.
Confidencialidad ()
Integridad:
Mantenibilidad (): mediada en la cual el
sistema est apto para reparaciones y
modificaciones.
Se pueden obtener atributos adicionales derivados:

Proteccin (security): integridad + disponibilidad
+ confidencialidad.

Seguridad y Fiabilidad

Seguridad (Safety): ausencia de situaciones que
puedan causar muertes, heridas, enfermedades o daos
en los equipos y en el medio ambiente.

o La mayora de los sistemas que tienen algn
elemento de riesgo asociado a su uso son inseguros
(unsafe).

o Un accidente (mishap) es un suceso imprevisto
que puede producir daos inadmisibles

Fiabilidad (reliability) una medida del xito con el
cual un sistema se ajusta a alguna especificacin
autorizada de su comportamiento.

Seguridad y fiabilidad pueden estar en conflicto.
La seguridad es la probabilidad de que no se
produzcan situaciones que puedan conducir a
accidentes, independientemente de que se cumpla o
no la especificacin
Deterioros de la Confiabilidad

Existen tres factores de deterioro (impairments) de
la confiabilidad:

Fracaso o Falla (failure): es un comportamiento
inaceptable del sistema que no cumple con su
especificacin.
Error: estado interno del sistema que difiere de uno
vlido y que es susceptible de conducir a un fallo
Defecto (fault): Condicin que provoca el error.

Defecto
("fault")
Propagacin
Fracaso o Falla
("failure")
Cumplimiento con el servicio especificado
Error
Error
Error
Incumplimiento con el servicio
Deteccin
del fallo
Reporte
Correccin
Reparacin
Cadena (Fundamental) de Fallas

Los sistemas estn constituidos por componentes que
son sistemas en si mismos: una falla en un sistema
conducir a un defecto en otro y ste al error y as:

Propagacin
Fracaso o Falla
("failure")
Error
Error
Defecto
("fault")
Error
Incumplimiento
con el servicio
Fracaso o Falla
("failure")
Error
Defecto
("fault")

Un defecto puede ser una falla de un subsistema o
componente del sistema, o una equivocacin o error en
la programacin (programming mistake).
Tipos de Defectos (faults)

o Defectos Transitorios (Transient faults): inician
en un instante de tiempo particular, permanecen por
algn perodo de tiempo y luego desaparecen solos:

o componentes de hardware con reaccin adversa
a alguna interferencia externa, tal como los
campos elctricos o la radioactividad;
o muchos defectos en sistemas de comunicacin.

o Defectos Permanente (Permanent faults): se
inician en instante de tiempo especfico y
permanecen hasta tanto son reparados:

o rotura de un conductor
o errores de diseo del software (bugs).

o Defectos Intermitentes (Intermitent faults): son
defectos transitorios que ocurren de vez en cuando:

o componente de hardware sensible al calor; este
trabaja por un tiempo, deja de trabajar, se enfra
y luego comienza a trabajar nuevamente.

Los sistemas confiables, tienen que prevenir que
todos estos tipos de defectos provoquen un
comportamiento errneo del sistema (o sea, la falla)
Modos de Fallas

Modo de Falla
Arbitrario
(Falla no controlada)
Dominio de Tiempo Dominio de Valor
Antes Omision Despus
Constante de
Error
Valor de
Error
Falla Silenciosa Falla de paro Falla Controlada
Medios de la Confiabilidad

Los Medios son los mtodos y tcnicas que permiten:
a. Proveer la capacidad de entregar un servicio
sobre el que se pueda depositar confianza
b. Que se alcance la confianza en esa capacidad

o Usados en el proceso de construccin de software
con el propsito de adquirir la confiabilidad:

Evitacin de Defectos (Fault avoidance): para
evitar o prevenir la introduccin y ocurrencia de
defectos.

Tolerancia a Defectos (Fault Tolerante): para
suministrar servicios que cumplan con su
especificacin a pesar de la existencia de defectos.

o Contribuyen a la validacin del software luego de
ser desarrollado con el propsito de asegurar la
confiabilidad:

Eliminacin de Defectos (Fault Removal):
detectar la presencia de defectos y eliminarlos.

Prediccin de Defectos/fallos (Fault/failure
forecasting) para estimar la presencia de defectos
y la ocurrencia y consecuencia de los fallos.

La Evitacin y la Eliminacin son tcnicas de
Prevencin de Defectos (Fault Prevention).
Prevencin y Tolerancia de los Defectos

Etapa Tcnica
1ra Etapa
Construccin
Evitacin de Defectos
A pesar de las tcnicas de evitacin
de defectos, stos estarn presentes
una vez construido el sistema.
Defectos

2da Etapa
Pruebas
Eliminacin de Defectos
La prevencin trata de evitar que se
introduzcan defectos en el sistema
antes de que entre en operacin
P
r
e
v
e
n
c
i
n
d
e
D
e
f
e
c
t
o
s
A pesar de las tcnicas de prevencin
(evitacin y eliminacin) de defectos.
Una vez en operacin inevitablemente
estarn presentes defectos de software o
de hardware en el sistema.
Defectos

3ra Etapa
Operacin
Tolerancia a Defectos
Busca conseguir que el sistema contine
funcionando en presencia de defectos.
Objetivo
Desarrollar sistemas con
modos de fallo bien definidos
Evitacin de Defectos (fault Avoidance)

La evitacin (o evasin) de defectos intenta limitar la
introduccin de componentes potencialmente
imperfectos durante la construccin del sistema.

Hardware:
Uso de componentes ms confiables dentro de las
restricciones de costo y desempeo determinadas.
Tcnicas refinadas y cuidadosas para interconectar
componentes y ensamblar subsistemas;
Empaquetar el hardware para apantallar las formas
de interferencia esperadas.

Software: Los componentes de software son mucho
ms complejos que los componentes de hardware. En
general es imposible escribir programas sin defectos.
Sin embargo, es posible mejorar la calidad del
software mediante:

Especificacin de requerimientos formal o rigurosa;
Empleo de metodologas de diseo probadas;
Empleo de lenguajes con facilidades para
abstraccin de datos y modularidad;
Uso de entornos de ingeniera de software que
ayuden a manipular los componentes de software y
por tanto manejar la complejidad.
Eliminacin de Defectos (Fault Removal).
La eliminacin de defectos comprende los
procedimientos para encontrar y eliminar las causas de
los errores. Por ejemplo:

Revisiones de diseo (design reviews)
Verificacin de programas (program verification)
Inspeccin de cdigo (code inspections)
Pruebas del sistema (system testing)

En general se hace nfasis en las pruebas del sistema.
Estas son necesarias, pero tienen problemas:

o En general. nunca pueden ser exhaustivas;
o Slo sirven para mostrar que hay errores, no que
no hay.
o A menudo es imposible reproducir las condiciones
reales: la mayora de las pruebas se hacen con el
sistema en modo de simulacin y es difcil
garantizar que la simulacin sea exacta.
o Los errores de especificacin no se detectan: los
errores introducidos en la etapa de requerimientos
pueden no manifestarse hasta tanto el sistema se
ponga en operacin.

A pesar de todas las tcnicas de prueba y verificacin,
los componentes de hardware fallarn.
Tolerancia a Defectos (Fault Tolerance)

Dada las limitaciones inherentes del mtodo de
prevencin de defectos, los diseadores tienen que
considerar el empleo de tolerancia a defectos.

Un sistema puede suministrar varios niveles de
tolerancia a defectos:

o Tolerancia a defectos completa (fail
operacional) el sistema contina operando en
presencia de errores, aunque por un perodo
limitado, con ninguna prdida significativa de
funcionalidad o desempeo.

o Degradacin aceptable (graceful degradation)
o falla suave (fail soft) el sistema contina
operando en presencia de errores, aceptando una
degradacin parcial de su funcionalidad o
desempeo durante la recuperacin o reparacin.

o Parada segura (fail safe o fail stop) el
sistema mantienen su integridad aunque acepta un
paro temporal y en estado seguro de su operacin.

El grado de tolerancia necesario en el sistema
depende de la aplicacin
Redundancia

La tolerancia de fallos se basa en la redundancia. Se
utilizan componentes adicionales (que no hubiesen
sido necesarios en un sistema perfecto) para:

detectar los fallos y
recuperar el comportamiento correcto.

A esto con frecuencia se le conoce como redundancia
protectora (protective redundancy)

Se pretende minimizar la redundancia a la vez que se
maximiza la fiabilidad que se le provee al sistema,
sujeto a restricciones de costo y tamao del sistema.

Advertencia: Debe tenerse cuidado ya que:

Los componentes adicionales aumentan
inevitablemente la complejidad del sistema

Ello puede introducir fallos adicionales dando
como consecuencia sistemas menos fiables.

Es recomendable separar los componentes
tolerantes a defectos del resto del sistema

Redundancia (Hardware Tolerante a Defectos)

Redundancia esttica:
Los componentes redundantes dentro del sistema estn
siempre activos y se usan para enmascarar el efectos
de los defectos (las fallas). Por ejemlo:

Redundancia Modular Triple o TMR (Triple
Modular Redundancy). Se puede extender a N.

o 3 subcomponentes idnticos y circuitos de
votacin por mayora. Si uno difiere de los otros
dos la salida del diferente se enmascara.
o Supone que los defectos no se deben a aspectos
comunes (tales como errores de diseo) sino a
aspectos transitorios o debido al deterioro.

Redundancia dinmica:
Se suministra redundancia dentro del componente slo
para la deteccin del error. La redundancia para la
recuperacin del error se suministra mediante otros
componentes externos que se activan slo cuando se
detecta un error. Ejemplos:

Sumas de comprobacin en las comunicaciones
bits de paridad en las memorias
Redundancia (Software Tolerante de Defectos)

La tolerancia a defectos del Software es el conjunto de
tcnicas para detectar y corregir equivocaciones o
errores del diseo.

Redundancia esttica:
Programacin con N versiones

Redundancia dinmica:
Tiene dos etapas: deteccin y recuperacin del error

Bloques de recuperacin: Proporcionan
recuperacin hacia atrs

Excepciones: Proporcionan recuperacin de error
hacia adelante.
Programacin de N versiones

Diversidad del Diseo
La generacin independiente de N (N>2)
programas funcionalmente equivalentes a partir de
la misma especificacin.
No interaccin entre los grupos de desarrollo

Los programas se ejecutan de forma concurrente con
las mismas entradas y sus resultados son comparados
por un proceso manejador (driver process).

Los resultados (Votos) debieran ser idnticos, de lo
contrario el consenso resultante, suponiendo que
exista, se toma como correcto.

Version 1 Version 2 Version 3
status
votes
votes
votes status
status
Driver
Problema de la Comparacin Consistente
La comparacin de valores reales no es exacta (debido
a la aritmtica de precisin infinita). Se necesitan
tcnicas de votacin inexactas.
Cada versin puede producir un resultado correcto
pero distinto. Ejemplo si X1, X2 y X3 estn cerca de
sus valores de umbral x
o
, e y
0
:
El empleo de x
o
+ < y
o
+ < no resuelve el problema.
Problemas de la Programacin de N versiones

La correcta aplicacin de este mtodo depende de:

o Especificacin inicial.

La mayora de los errores de software tienen su
causa en una especificacin inadecuada.
Un error de especificacin aparece en todas las
versiones.

o Desarrollo independiente.

No debe haber interaccin entre los equipos.
No est claro que distintos programadores
cometan errores independientes.

o Presupuesto suficiente.

El software domina el costo del sistema
Los costes de desarrollo se multiplican.
El mantenimiento es tambin ms costoso.
Se producira un software ms fiable si todos
los recursos destinados a las N versiones se
destinaran a una sola versin?

Se ha utilizado en sistemas de crticos en la aviacin.

Redundancia Dinmica

Con la redundancia dinmica, los componentes
redundantes entran en operacin slo cuando se ha
detectado un error. Esta tcnica posee cuatro fases:

1. Deteccin del Error Los defectos eventualmente
se manifiestan en forma de errores; no se puede
utilizar ningn esquema de tolerancia a defectos
hasta tanto no sea detectado dicho error.

2. Confinamiento (confinement) y Evaluacin
(assessment) de daos Detectado un error, hay
que diagnosticar en cuanto corrompi al sistema; la
demora entre la ocurrencia del defecto y la
manifestacin del error implica que se pudo
dispersar informacin errnea por el sistema.

3. Recuperacin del error es uno de los aspectos
ms importantes de la tolerancia a defectos. Tiene el
propsito de llevar el sistema corrupto a un estado a
partir del cual se pueda continuar su operacin
normal (quizs con una funcionalidad degradada).

4. Tratamiento del defecto y continuacin del
servicio Un error es un sntoma de un defecto;
aunque se pudo haber reparado el dao, para evitar
una recurrencia del error es necesario que se lleve a
cabo alguna forma de mantenimiento.
Deteccin de errores

Por el entorno de ejecucin

hardware (p.ej.. instruccin ilegal)

ncleo o sistema operativo (p.ej. puntero nulo)

Por el software de aplicacin

Duplicacin (redundancia con dos versiones)

Comprobaciones de tiempo

Inversin de funciones (reversal checks)

Cdigos detectores de error

Validacin de estado

Validacin estructural

Validacin de la variacin del estado.

Evaluacin y confinamiento de daos

Hay un retardo entre el instante en que se produce (o
manifiesta) el defecto y el instante en que se detecta el
error. Es necesario evaluar los daos provocados.

La evaluacin de los daos (damage assesment)
est fuertemente relacionada con las precauciones que
se hayan tomado para el confinamiento de los daos.

Es importante confinar los daos causados por un fallo
a una parte limitada del sistema.

El confinamiento de los daos se refiere a las
tcnicas de estructuracin del sistema de forma que se
minimicen los daos provocados por un componente
defectuoso (compartimentos estancos, firewalls)

Tcnicas:
o Descomposicin modular: suministra confinamiento
esttico. Permite que los datos fluyan a travs de
trayectorias bien definidas.
o Acciones atmicas: confinamiento dinmico.
Utilizadas para mover el sistema de un estado
consistente a otro.

Recuperacin de Error (Error Recovery)

La Recuperacin del Error consiste en transformar un
estado del sistema errneo en uno que pueda continuar
con su operacin normal (quizs con un servicio
degradado).

Existen dos mtodos de recuperacin: Recuperacin
de error por avance o hacia adelante (fordward
error recovery) y Recuperacin de error por
retroceso o hacia atrs (backward error recovery):

Defecto
("fault")
Fracaso
o fallo
("failure")
Error
Error
Incumplimiento con el servicio
Deteccin
del fallo
Reporte
Correccin
Reparacin
recupercin
hacia adelante
("fordward")
Error
recupercin
hacia atrs
("backward")

Recuperacin de Error por Avance

La recuperacin de error hacia delante contina desde
un estado errneo hacindole correcciones selectivas
al estado del sistema.

La forma de hacerla es especfica para cada sistema

Depende de una prediccin correcta de los posibles
fallos y de su situacin

Hay que dejar tambin en un estado seguro el
sistema controlado que pudo quedar en un estado
daino o peligroso debido al error.

Ejemplos

Punteros redundantes en estructuras de datos

Cdigos autocorrectores. Por ejemplo Cdigo
Hamming.

Recuperacin de Error por Retroceso

Consiste en retroceder a un estado anterior correcto y
ejecutar un segmento de programa alternativo. Este
tiene la misma funcionalidad pero usa otro algoritmo.

El punto al que se retrocede se llama punto de
recuperacin (recovery point) y el acto de
establecerlos se denomina checkpointing.
Ventajas:

o No es necesario averiguar la causa ni la situacin del
defecto

o Sirve para recuperarse de defectos imprevistos o no
anticipados incluyendo defectos de diseo (bugs).

Desventaja:

o No puede deshacer los errores que aparecen en el
sistema controlado!

Efecto Domin

La restauracin del estado no es tan simple en
presencia de procesos (o tareas) concurrentes:

Observe que en este ejemplo el efecto domin sucede
si el error lo detecta P
2
. Mientras ms procesos
interacten mayor la posibilidad del efecto domin.

T
i
e
m
p
o
d
e
E
j
e
c
u
c
i
n
R
13
R
12
R
11
R
21
R
22
P
1 P
2
T
e
IPC
1
IPC
2
IPC
3
IPC
4
Tratamiento (reparacin) de defectos y
servicio continuado

Aunque la recuperacin del error lleva al sistema a un
estado libre de error, el error puede recurrir. La fase
final de la tolerancia a defectos la erradicacin de este.

El tratamiento o reparacin automtica del defecto es
difcil y depende del sistema concreto

o Algunos sistemas suponen que todos los defectos
son transitorios; en otros que la recuperacin del
error puede enfrentar defectos recurrentes.

La reparacin del defecto tiene dos etapas:

o Localizacin del defecto

Las tcnicas de deteccin de errores pueden ayudar
a rastrear el sistema hasta el componente defectuoso.

o Reparacin del sistema

Los componentes de hardware se pueden cambiar
Los componentes de software se reparan haciendo
una nueva versin
En algunos casos puede ser necesario reemplazar el
componente defectuoso sin detener el sistema
Bloques de recuperacin

o Es una tcnica de recuperacin inversa integrada en
el lenguaje de programacin

o Un bloque de recuperacin es un bloque tal que

su entrada es un punto de recuperacin
a su salida se efecta una prueba de
aceptacin

sirve para comprobar si el mdulo
primario del bloque termina en un estado
correcto

si la prueba de aceptacin falla,

se restaura el estado inicial en el punto de
recuperacin
se ejecuta un mdulo alternativo del
mismo bloque

si vuelve a fallar, se siguen intentando
alternativas

cuando no quedan ms, el bloque falla y hay
que intentar al recuperacin en un nivel ms
alto
Flujo de Control del Bloque de Recuperacin

Sintaxis para el Bloque de Recuperacin

Posible sintaxis para los bloques de recuperacin:

ensure <condicin de aceptacin>
by
<mdulo primario>
else by
<mdulo alternativo>
else by
<mdulo alternativo>
...
else by
<mdulo alternativo>
else error;
Los Bloques de Recuperacin se pueden anidar

Si todas las alternativas en un bloque de recuperacin
anidado fracasan la prueba de aceptacin, se restaura
el punto de recuperacin del nivel externo y se ejecuta
el mdulo alternativo para dicho bloque externo.

Ejemplo: Solucin de Ecuaciones Diferenciales

Los mtodos numricos para encontrara soluciones a
ecuaciones diferenciales pueden ser ms adecuado
para determinados tipos de ecuaciones. Por ejemplo:

o El Mtodo Kutta Explcito es ms rpido pero
inexacto cuando las ecuaciones son stiff.
o El mtodo Kutt Implito es ms costoso pero
puede enfrentar ecuaciones stiff.

Para tratar ambos tipos de ecuaciones se puede
escribir:

ensure rounding_error <= tolerance
by
Explicit_Runge_Kutta;
else by
Implicit_Runge_Kutta;
else error;
La solucin anterior tambin pude tolerar errores de
diseo en el mtodo Kutta Expltio si la prueba de
aceptacin es lo suficientemente flexible.

Prueba de aceptacin (acceptance test)

La prueba de aceptacin suministra el mecanismo de
deteccin de error que posibilita que se explote la
redundancia presente en el sistema.

El diseo de la prueba de aceptacin es fundamental
para el buen funcionamiento del bloque de
recuperacin:

o Hay un compromiso entre una deteccin precisa y
exhaustiva del error y la eficiencia de ejecucin.

o El termino es aceptacin no correccin: se busca
de asegurar que el resultado sea aceptable, no
forzosamente correcto
o Sin embargo, hay que tener mucho cuidado ya que
una prueba de aceptacin defectuosa trae como
consecuencia que queden errores residuales sin
detectar

Bloques de recuperacin vs. N versiones

Programacin de N
versiones
Bloques de
recuperacin

Redundancia
Esttica Dinmica
Diseo
o Algoritmos alternativos
o Proceso manejador
o Algoritmos alternativos
o Prueba de aceptacin
Ejecucin
Mltiples recursos

Puntos de recuperacin

Deteccin de Errores
Votacin Prueba de aceptacin
Ambos mtodos son sensibles a errores en los
requerimientos!

Redundancia Dinmica y Excepciones

Una excepcin es una manifestacin de un cierto
tipo de error

Cuando se produce un error, se eleva (rise) la
excepcin correspondiente en el contexto donde se
ha invocado la actividad errnea

Esto permite manejar la excepcin en este contexto

Se trata de un mecanismo de recuperacin hacia
adelante de errores (no hay vuelta atrs).

Pero se puede utilizar para realizar recuperacin
inversa tambin

Aplicaciones de las excepciones

Tratar situaciones anormales en el sistema
controlado
Tolerar defectos de diseo de software
Facilitar un mecanismo generalizado de deteccin y
correccin de errores
Componente Tolerante a Defectos Idealizado

A continuacin se muestra el componente idealizado a
partir del cual construir sistemas tolerantes a defectos:

Actividad Normal
Actividad Anormal
(Tolerancia a defecto por
manejo de excepciones)
Peticin
Respuesta
Normal
Retorno a operacin
normal
Excepcin
de Fracaso
Peticin
Retorno
Normal
Excepcin Interna
Excepcin
de Interfaz
Excepcin de
Interfaz
Excepcin
de Fracaso

Pueden ocurrir dos tipos de defectos:

o Peticin de servicio ilegal excepcin de interfaz.
o Mal funcionamiento del mismo elemento o de los
componentes requeridos para servir la peticin.
Si no puede tolerarla (por recuperacin de error
hacia atrs o adelante) excepcin de fracaso.
Recuperacin de Error Por Retroceso en C++

Uso de Excepciones para recuperacin hacia atrs:

Opcin 1:
try {
T oldobject = object;
alternate(object);
if ( accept(object) ) {
return;
}
} catch (...) {
object = oldobject;
continue;
}
Opcin 2:
try {
T newobject = alternate(object);
if ( accept(newobject) ) {
object = newobject;
return;
}
} catch (...) {
continue;
}

Confiabilidad

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Confiabilidad

Cargado por

Copyright:

Formatos disponibles

Confiabilidad del Software 1 Luis Eduardo Leyva del Foyo

También podría gustarte