Tolerância a Faltas. Índice. Terminologia. Replicação Passiva e activa Modelo Transaccional Transacções distribuídas

Transcrição

1 Tolerância a Faltas Índice Terminologia Falta, erro, falha Fiabilidade, disponibilidade Replicação Passiva e activa Modelo Transaccional Transacções distribuídas

2 Sistema Computacional Sistema computacional: Formado por um conjunto de componentes internas Contém um estado interno Está sujeito a um conjunto de entradas, ou estímulos externos Tem um determinado comportamento Produz resultados em função das entradas e do seu estado interno Comportamento: Especificado Observado Serviço cumprido Serviço interrompido Sistema Computacional Subsistemas Estímulos Saídas Sistema Um sistema tem uma especificação funcional do seu comportamento que define em função de determinadas entradas e do seu estado quais as saídas.

3 Falha, Falta, Erro Falta (fault): acontecimento que altera o padrão normal de funcionamento de uma dada componente do sistema Erro (error): transição do sistema, provocada por uma falta, para um estado interno incorrecto Estado interno inadmissível Estado interno admissível mas não o especificado para estas entradas Falha (failure): um sistema falha quando se desvia da sua especificação de funcionamento Num determinado estado, o resultado produzido por uma dada entrada não corresponde ao esperado Falta->Erro->Falha Exemplo: Falha: o computador não arranca Erro: o processador não funciona Falta: cabo de alimentação desligado Falha: desvio do comportamento especificado Erro: Uma falha ocorre devido a um erro Falta: A causa de um erro é uma falta Falta Erro Falha Falta Erro Falha

4 Erros Latentes e Efectivos Latência de um erro tempo que decorre entre a ocorrência de um erro e da falha correspondente. Erro Latente: ainda não causou falha Efectivo: quando causa a falha Exemplo de Sequência Falta -> Erro -> Falha Falta: engano de um programador ao definir a lógica de uma instrução Erro: instrução errada Erro fica latente até esta instrução ser executada Falha: execução da instrução errada O erro torna-se efectivo e o programa falha

5 Exemplo de tratamento do erro Falta: funcionamento incorrecto de uma posição de memória, em que um bit fica sempre com o valor 1 Não dá origem a erro se Esta posição de memória não for utilizada Se não for escrito um 0 naquele bit Erro: escrita de um octeto com o bit a 0 Erro processado (ex: bits de paridade com correcção) => Serviço continua a ser prestado de acordo com a especificação Falta foi tolerada Erro não processado => Erro fica latente até esta posição de memória ser lida Falha: leitura de um valor incorrecto da posição de memória O erro torna-se efectivo e o sistema de memória falha, não funciona de acordo com o especificado Modelo de base da Tolerância a Faltas Falta Erro latente Activação Processamento do erro Erro Efectivo Continuação do serviço Falha Impossibilidade de fornecer o Serviço

6 Tipos de Faltas Causa Física: fenómenos eléctricos, mecânicos, Humana Acidental: concepção, operação, Intencional: ataque premeditado (consideradas no capítulo de segurança) Origem Interna: componentes internos, programa, Externa: temperatura, falta de energia, Classificação das Faltas Duração Permanentes: mantêm-se enquanto não forem reparadas (ex: cabo de alimentação desligado) Fáceis de detectar Difíceis de reparar Temporárias: ocorrem apenas durante um determinado período, geralmente por influência externa Difíceis de reproduzir, detectar Fáceis de reparar Faltas transientes: ficam reparadas imediatamente após terem ocorrido (ex.: perda de mensagem)

7 Modelo de Faltas No modelo de faltas é necessário identificar quais as expectáveis e em seguida decidir: quais as faltas que vão ser recuperadas quais as que não vão ser toleradas. A relação entre as faltas que têm possibilidade de ser recuperadas e o conjunto de faltas previsíveis define uma taxa de cobertura As faltas que originam erros sem possibilidade de tratamento dão origem a catástrofes Modelo de Faltas No tipo de faltas que é vulgar não considerar no subconjunto a recuperar temos: faltas densas - resultam da acumulação de faltas, não permitindo o seu tratamento porque são superiores à redundância do sistema ou à sua capacidade de manutenção; faltas bizantinas faltas que fogem ao padrão de comportamento especificado para a componente, por exemplo, um nó da rede que envia mensagens correctas a um interlocutor e erradas a outro.

8 Modelo de Faltas Falha Silenciosa Simplifica de forma considerável o tratamento dos erros o facto de um sistema detectar a situação de erro e tomar a iniciativa de desencadear uma excepção, não efectuando mais nenhum processamento. Um subsistema que efectue a autodetecção de erros pode dar origem a um sistema de falha silenciosa Pela sua importância na simplificação dos sistemas é muitas vezes assumido que a falta é silenciosa sem que haja real demonstração que é assim. Probabilidades P(A): Probabilidade de A acontecer (P(A) << 1) A, B, C: Acontecimentos independentes, sem memória P(A B) P(A B) = P(A) * P(B) = P(A) + P(B) - P(A)*P(B) P(A) + P(B) Tempo médio até ao acontecimento (Mean Time to Event) MT(A) = 1 / P(A) Tempo médio até um de vários acontecimentos A, B, C MT(G) 1 / [P(A) + P(B) + P(C)] = 1 / [ 1/MT(A) + 1/MT(B) + 1/MT(C) ] Tempo médio num sistema constituído por N sistemas do tipo MT(NG) MT(A) / N

9 Fiabilidade, Disponibilidade Fiabilidade (reliability): mede o tempo médio desde o instante inicial até à próxima falha MTTF (Mean Time To Failure): medida estatística da fiabilidade Este é o critério fundamental se o sistema não for reparável Disponibilidade (availability): mede a relação entre o tempo em que um serviço é fornecido e o tempo decorrido MTTR (Mean Time to Repair): medida estatística da interrupção de serviço Disponibilidade = MTTF / (MTTF + MTTR) Classes de Disponibilidade Tipo Indisponibilidade Disponibilidade Classe (min/ano) Não gerido % 1 Gerido % 2 Bem gerido % 3 Tolerante a faltas % 4 Alta disponibilidade % 5 Muito alta disponibilidade % 6 Ultra disponibilidade % 7 Classe de Disponibilidade = log 10 [1 / (1 - D)] D: Disponibilidade

10 Exemplos de Classes de Disponibilidade Especificações existentes: Classe 5: equipamento de monitorização de reactores nucleares Classe 6: centrais telefónicas Classe 9: computadores de voo Políticas de Tolerância a Faltas Qualquer política de tolerância a faltas baseia-se na existência de um mecanismo redundante que possibilite que a função da componente comprometida seja obtida de outra forma. A redundância pode assumir diversas formas: física ou espacial, com duplicação de componentes; temporal, com repetição da mesma acção; informação com algoritmos que calculam um estado correcto.

11 Políticas de Tolerância a Faltas Recuperação do erro substitui um estado errado por um estado correcto, podendo tornar sem efeito algumas etapas do processamento já efectuado. Esta política implica, detecção do erro, cálculo de um estado anterior ou posterior correcto. Durante o tempo de recuperação o sistema fica indisponível. Políticas de Tolerância a Faltas Compensação do erro baseia-se na possibilidade de, mesmo na presença de um erro numa componente, ser possível calcular um estado correcto a partir de componentes redundantes. A arquitectura do sistema tem de possuir redundância suficiente para ser capaz de computacionalmente definir o estado correcto, apesar de um estado interno errado. Esta abordagem procura limitar ou eliminar o período de recuperação, ou seja, maximizar a disponibilidade do sistema.

12 Faltas nos Sistemas Distribuídos Modelo de Faltas num Sistema Distribuído Num sistema distribuído o modelo de faltas é muito mais complexo que num sistema centralizado. Várias componentes do sistema podem falhar: Falhas na Comunicação Falhas dos Sistemas de Processamento Processadores/Sistema System Failure Processos servidores ou clientes Falhas nos meios de Armazenamento Persistente (Media Failure) Basta considera que MT(NG) MT(A) / N

13 Modelo de Faltas num Sistema Distribuído Comunicação Faltas mais prováveis Falta temporária ou transiente Protocolos de transporte com tratamento de erros - TCP RPC com semânticas - pelo-menos-uma-vez, no máximouma-vez Falta permanente Impossível de recuperar sem redundância física redes malhadas, cablagens duplas Modelo de Faltas num Sistema Distribuído Falta de Paragem do Sistema Não é recuperável de forma simples Engloba todos os aspectos do hardware e software sistema Replicação Passiva Transacções Atómicas Distribuídas Falta dos Discos Falta com uma probabilidade conhecida, diversas soluções têm sido propostas Memória Estável Transacções Atómicas Distribuídas

14 Arquitecturas Tolerantes a faltas em Sistemas Distribuídos Replicação de Servidores Transacções Atómicas Replicação de Servidores Replicação Passiva - existe um servidor principal com que os clientes interactuam. O segundo servidor está de reserva (backup), de forma a que, quando detecta que o servidor primário falhou, torna-se o primário; Recuperação do erro Replicação Activa - todos os servidores recebem pela mesma ordem os pedidos dos clientes, efectuam a operação, determinam qual o resultado correcto por votação e respondem ao cliente. Compensação do erro

15 Replicação Passiva Cliente Servidor Principal Servidor Secundário Replicação Passiva Técnica de realização de um serviço com tolerância a faltas pela utilização de múltiplos servidores com características de falha independentes Um servidor é designado como primário ou principal Os outros são designados como secundários ou backups Os clientes enviam os pedidos ao servidor primário Se houver uma falha no servidor primário, um dos servidores secundários assume-se como primário

16 Protocolo Simples P1: servidor primário P2: servidor secundário Quando P1 recebe um pedido: Processa-o e actualiza o seu estado interno Envia uma mensagem update a P2 Responde ao cliente, sem esperar pela resposta de P2 P2 actualiza o seu estado quando recebe as mensagens update de P1 P1 envia a P2 mensagens I m alive cada T segundos Se P2 não receber uma mensagem I m alive durante T+δ segundos, torna-se o primário: Avisa os clientes Começa a processar os pedidos Protocolo Simples c P 1 3 s 1 4 Mensagens de Prova de vida 2 s 2 t max

17 Pressupostos A comunicação é fiável (o transporte recupera de faltas temporárias e não há faltas permanentes); pode-se definir um limite para o tempo máximo de transmissão de uma mensagem (tmax) na rede; o protocolo assegura uma ordem FIFO na comunicação; os relógios das máquinas estão sincronizados. Custos Grau de replicação: óptimo Tempo de resposta: 0 Tempo de recuperação: P+2*Tmax (com relógios sincronizados) Custos da Replicação Passiva Grau de replicação: número de servidores usados para implementar o serviço Tempo de resposta (blocking time): tempo máximo entre um pedido e a sua resposta, no período sem falhas Tempo de recuperação (failover time): tempo máximo durante o qual se podem perder pedidos porque o servidor primário falhou Objectivo: assumindo que f componentes podem falhar, minimizar o grau de replicação, tempo de resposta e tempo de recuperação.

18 Tipos de Falhas Falha por paragem detectável (failstop failures): um servidor falha porque pára prematuramente. Até parar, funciona correctamente. Depois de parar, nunca recupera. A paragem de um servidor é detectável pelos outros servidores. Falha por paragem e ligação (crash + link failures): um servidor pode falhar por paragem. Uma ligação falha porque pode perder mensagens, mas não atrasa, duplica ou corrompe mensagens. Tipos de Falhas Falha por omissão de recepção (receive-omission failures): um servidor pode falhar por paragem e porque não recebe algumas mensagens que lhe foram enviadas por uma ligação perfeita. Falhas por omissão de envio (send-omission failures): um servidor pode falhar por paragem e porque não envia algumas mensagens numa ligação perfeita. Falhas por omissão gerais (general-omission failures): um servidor pode exibir falhas por omissão de recepção e omissão de envio. Falhas bizantinas (byzantine failures): um servidor falha porque tem um funcionamento arbitrário.

19 Protocolo Alsberg & Day Usa 2 servidores, tolera uma falta por paragem. Um cliente envia uma mensagem e bloqueia-se à espera da resposta ou de um timeout. Quando um pedido chega ao servidor primário, este: Processa o pedido, envia uma mensagem update ao secundário e bloqueiase à espera da resposta O servidor secundário actualiza o seu estado, responde ao cliente e responde ao primário com ack O primário desbloqueia-se e serve o próximo pedido Quando um pedido chega ao servidor secundário, este: Envia o pedido ao primário O servidor primário actualiza o seu estado, responde ao cliente e responde ao secundário com ack O secundário actualiza o seu estado Protocolo Alsberg & Day As falhas são detectadas pela ausência de confirmações (ack) e com mensagens periódicas I m alive Se o primário falhar, o secundário assume-se como primário Se o secundário falhar, o primário recruta um novo secundário Custos: Grau de replicação: óptimo Tempo de resposta: δ Tempo de recuperação: T+2δ (se usasse relógios sincronizados)

20 Protocolo Tandem Um sistema Tandem é composto por múltiplos nós ligados em rede. Cada um dos nós contém múltiplos processadores e controladores de E/S ligados por buses redundantes. Tolera uma falta por paragem de um servidor e quebra de ligação. Os processos são agrupados em pares de processos. Cada par é implementado por dois processos, um em cada processador. Em cada momento, um processo é o primário e o outro o secundário. Protocolo Tandem Os pedidos são enviados ao primário, que o serve e envia uma mensagem de update ao secundário Se o secundário confirmar a mensagem update, o primário envia a resposta ao cliente Se não for recebida confirmação do secundário ao fim de um período de tempo (1 s), a mensagem update é repetida no outro bus

21 Protocolo Tandem Cada processador envia mensagens alive pediódicas a todos os outros processadores, sobre todos os buses. Se uma mensagem I m alive de um processador não for recebida ao fim de T segundos, ele é considerado em falha. Todos os secundários correspondentes a primários no processador considerado em falha, assumem-se como primários. Custos: Grau de replicação: óptimo Tempo de resposta: 2δ Tempo de recuperação: desconhecido, pois não assume relógios sincronizados HA-NFS Usa dois servidores ligados a um disco duplo porto. Só o primário corrente acede ao disco. Replicação da rede entre clientes e servidores. O disco de duplo porto é utilizado como uma ligação adicional entre os servidores. Falhas no disco são toleradas por replicação do disco. Tolera uma falha por paragem mais uma quebra de ligação. Os clientes enviam os pedidos ao primário, que os serve, actualiza o estado em disco e lhes responde, sem comunicar com o secundário

22 HA-NFS Primário e secundário trocam mensagens I m alive periódicas, que têm que ser confirmadas Se o secundário não receber resposta às mensagens de I m alive, então o primário parou ou a ligação entre eles falhou. O secundário tenta comunicar com o primário pelo disco duplo porto. Se também não conseguir, então assume que o primário falhou e assume-se ele como primário. Custos: Grau de replicação: óptimo Tempo de resposta: óptimo (0) Tempo de recuperação: >= 2δ Especificação da Replicação Passiva Pb1: Existe um predicado Prmys local ao estado de cada servidor s. Em cada instante, existe no máximo um servidor cujo estado satisfaz Prmys. Pb2: Cada cliente i mantém a identidade do servidor Serv. Para fazer um pedido, envia uma mensagem a Serv. Pb3: Se o pedido de um cliente chega a um servidor que não é correntemente o primário, o pedido é ignorado. Pb4: Existem valores fixos de k e tais que o serviço se comporta como um único servidor (k, ) bounded outages, finitely often. Pb5: Um servidor correcto que é actua como primário permanece como primário até que ocorra uma falha no servidor ou numa ligação.

23 Especificação da Replicação Passiva s é o primário no instante t: s satisfaz Prmys no instante t Tempo de recuperação: tempo máximo durante o qual Prmys não é verdade para nenhum s Período de falha de um servidor: ocorre num instante t se um cliente correcto enviar uma mensagem e não receber resposta Servidor (k, ) - bofo (bounded outages, finitely often): todos os períodos de falha podem ser agrupados em no máximo k intervalos de tempo, de duração máxima. Custos Mínimos Modelo de Faltas Grau de Replicação Paragem n > f Paragem e Ligação n > f + 1 Omissão de Recepção n > 3f/2 Omissão de Envio n > f Omissão Geral n > 2f Modelo de Faltas Tempo de Resposta Paragem 0 Paragem e Ligação 0 Omissão de Recepção δ se f=1 e n=2 2δ se f>1 e n <= 2f 0 se n > 2f Omissão de Envio δ se f=1 2δ se f>1 Omissão Geral δ se f=1 2δ se f>1 Modelo de Faltas Tempo de Recuperação Paragem fδ Paragem e Ligação 2fδ Omissão de Recepção 2fδ Omissão de Envio 2fδ Omissão Geral 2fδ