Tolerância a Faltas. 8/28/2003 José Alves Marques. Sistema Computacional

Transcrição

1 Tolerância a Faltas Sistema Computacional Sistema computacional: Formado por um conjunto de componentes internas Contém um estado interno Está sujeito a um conjunto de entradas, ou estímulos externos Tem um determinado comportamento Produz resultados em função das entradas e do seu estado interno Comportamento: Especificado Observado Serviço cumprido Serviço interrompido

2 Sistema Computacional Subsistemas Estímulos Saídas Sistema Um sistema tem uma especificação funcional do seu comportamento que define em função de determinadas entradas e do seu estado quais as saídas. Sistema Computacional Subsistemas Estímulos Saídas Sistema Sistema determinístico se as saídas e o estado seguinte forem uma função (determinística) dos estímulos e do estado actual

3 Falta, Erro, Falha Falta (fault): acontecimento que altera o padrão normal de funcionamento de uma dada componente do sistema Erro (error): transição do sistema, provocada por uma falta, para um estado interno incorrecto Estado interno inadmissível Estado interno admissível mas não o especificado para estas entradas Falha (failure): um sistema falha quando se desvia da sua especificação de funcionamento Num determinado estado, o resultado produzido por uma dada entrada não corresponde ao esperado Falta->Erro->Falha Exemplo: Falta: cabo de alimentação desligado Erro: o processador (e restantes componentes) não funcionam Falha: o computador não arranca Falha: desvio do comportamento especificado Erro: Uma falha ocorre devido a um erro Falta: A causa de um erro é uma falta Falta Erro Falha Falta Erro Falha

4 Exemplo de Falta: o primeiro bug Erros Latentes e Efectivos Latência de um erro tempo que decorre entre a ocorrência de um erro e da falha correspondente. Erro Latente: ainda não causou falha Efectivo: quando causa a falha

5 Exemplo: bug software Falta: engano de um programador ao definir a lógica de uma instrução Erro: instrução errada Erro fica latente até esta instrução ser executada Falha: execução da instrução errada O erro torna-se efectivo e o programa falha Exemplo: bit de memória defeituoso Falta: funcionamento incorrecto de uma posição de memória, em que um bit fica sempre com o valor 1 Não dá origem a erro se Esta posição de memória não for utilizada Se não for escrito um 0 naquele bit Erro: escrita de um octeto com o bit a 0 Erro processado (ex: bits de paridade com correcção) => Serviço continua a ser prestado de acordo com a especificação Falta foi tolerada Erro não processado => Erro fica latente até esta posição de memória ser lida Falha: leitura de um valor incorrecto da posição de memória O erro torna-se efectivo e o sistema de memória falha, não funciona de acordo com o especificado

6 Tipos de Faltas Causa Física: fenómenos eléctricos, mecânicos, Humana Acidental: concepção, operação, Intencional: ataque premeditado (consideradas no capítulo de segurança) Estudo (2003) sobre falhas em serviços na Internet: Erros humanos (operação) são a principal causa de faltas. Origem Interna: componentes internos, programa, Externa: temperatura, falta de energia, Classificação das Faltas Duração Permanentes: mantêm-se enquanto não forem reparadas (ex: cabo de alimentação desligado) Fáceis de detectar Difíceis de reparar Temporárias: ocorrem apenas durante um determinado período, geralmente por influência externa Difíceis de reproduzir, detectar Fáceis de reparar Faltas transientes: ficam reparadas imediatamente após terem ocorrido (ex.: perda de mensagem)

7 Classificação das Faltas Determinismo Determinísticas: Dependem apenas da sequência de inputs Repetindo essa sequência, reproduzimos a falta Não-Determinísticas ( Heisenbugs ): Dependem de outros factores (e.g., escalonamento de threads, leituras do relógio, ordem de entrega de mensagens) Difíceis de reproduzir, depurar Modelo de Faltas No modelo de faltas é necessário identificar quais as expectáveis e em seguida decidir: quais as faltas que vão ser toleradas quais as que não vão ser toleradas. A relação entre as faltas que têm possibilidade de ser recuperadas e o conjunto de faltas previsíveis define uma taxa de cobertura Falta densa: acumulação de tantas faltas toleráveis que deixa de ser tolerável As faltas que originam erros sem possibilidade de tratamento dão origem a catástrofes

8 Modelo de Faltas num Sistema Distribuído Num sistema distribuído o modelo de faltas é muito mais complexo que num sistema centralizado. Várias componentes do sistema podem falhar: Falhas na comunicação Falhas nos nós Processadores/Sistema Processos servidores ou clientes Meios de Armazenamento Persistente Modelo de Faltas num Sistema Distribuído Comunicação Faltas mais prováveis Falta temporária ou transiente Protocolos de transporte com tratamento de erros - TCP RPC com semânticas - pelo-menos-uma-vez, no máximouma-vez Falta permanente Impossível de recuperar sem redundância física redes malhadas, cablagens duplas

9 Modelo de Faltas num Sistema Distribuído Sistema síncrono assume-se a existência de uma latência máxima entre nós da rede (bem conhecida) e um tempo máximo de processamento de cada mensagem Normalmente este modelo pressupõe que não é necessário tratar de retransmissões, o transporte abstrai essa complexidade Sistema assíncrono ambos os pressupostos acima não são válidos Mais realista, e.g., durante uma partição na rede, ou ataque DoS Num sistema assíncrono é impossível a detecção remota de falhas por paragem Pode ser confundida com um aumento na latência Tipos de faltas em Sistemas Distribuídos Faltas de processos (omission failures) faltas por paragem silenciosa (crash) faltas que fazem com que o processo suspenda a sua actividade, deixando de enviar mensagens para a rede, sem pré-aviso. falta por paragem detectável (failstop failures): falta silenciosa em que a paragem de um processo é detectável pelos outros processos (e.g., o próprio processo ou um outro processo ó consegue detectar a falta e notificar os outros nós). Faltas de omissão do canal falta de perda de mensagem: mensagem enviada não chega ao receptor

10 Tipos de faltas em Sistemas Distribuídos Faltas arbitrárias (ou bizantinas) faltas que fogem ao padrão de comportamento especificado para a componente, por exemplo, um nó da rede que envia mensagens correctas a um interlocutor e erradas a outro. (útil para tolerar ataques ou erros de SW) Faltas de temporização Algum dos pressupostos de tempo de um sistema síncrono deixa de ser garantido Não fazem sentido em sistemas assíncronos Tipos de faltas em Sistemas Distribuídos Pela sua importância na simplificação dos sistemas é muitas vezes assumido que a falta é silenciosa sem que haja real demonstração que é assim. No tipo de faltas que é vulgar não considerar no subconjunto a recuperar temos: faltas densas - resultam da acumulação de faltas, não permitindo o seu tratamento porque são superiores à redundância do sistema ou à sua capacidade de manutenção; faltas bizantinas Ao pressupor um modelo de faltas não verificado na realidade, um sistema desenhado para ser tolerante a faltas pode não cumprir a sua especificação

11 Fiabilidade, Disponibilidade Fiabilidade (reliability): mede o tempo médio desde o instante inicial até à próxima falha MTTF (Mean Time To Failure): medida estatística da fiabilidade Este é o critério fundamental se o sistema não for reparável Disponibilidade (availability): mede a relação entre o tempo em que um serviço é fornecido e o tempo decorrido MTTR (Mean Time to Repair): medida estatística da interrupção de serviço Disponibilidade = MTTF / (MTTF + MTTR) Probabilidades P(A): Probabilidade de A (e.g., falta) acontecer numa dada unidade de tempo (P(A) << 1) A, B, C: Acontecimentos independentes, sem memória P(A B) P(A B) = P(A) * P(B) = P(A) + P(B) - P(A)*P(B) P(A) + P(B) Tempo médio até ao acontecimento (Mean Time to Event) MT(A) = 1 / P(A) Tempo médio até um de vários acontecimentos A, B, C MT(G) 1 / [P(A) + P(B) + P(C)] = 1 / [ 1/MT(A) + 1/MT(B) + 1/MT(C) ] Tempo médio num sistema constituído por N sistemas do tipo MT(NG) MT(A) / N

12 Classes de Disponibilidade Tipo Indisponibilidade Disponibilidade Classe (min/ano) Não gerido % 1 Gerido % 2 Bem gerido % 3 Tolerante a faltas % 4 Alta disponibilidade % 5 Muito alta disponibilidade % 6 Ultra disponibilidade % 7 Classe de Disponibilidade = log 10 [1 / (1 - D)] D: Disponibilidade (Também chamado o número de noves de disponibilidade ) Exemplos de Classes de Disponibilidade Especificações existentes: Classe 5: equipamento de monitorização de reactores nucleares Classe 6: centrais telefónicas Classe 9: computadores de voo

13 Políticas de Tolerância a Faltas Qualquer política de tolerância a faltas baseia-se na existência de um mecanismo redundante que possibilite que a função da componente comprometida seja obtida de outra forma. A redundância pode assumir diversas formas: física ou espacial, com duplicação de componentes; temporal, com repetição da mesma acção; informação com algoritmos que calculam um estado correcto. Políticas de Tolerância a Faltas Recuperação do erro substitui um estado errado por um estado correcto, podendo tornar sem efeito algumas etapas do processamento já efectuado. Esta política implica, detecção do erro, cálculo de um estado anterior ou posterior correcto. Durante o tempo de recuperação o sistema fica indisponível.

14 Políticas de Tolerância a Faltas Compensação do erro baseia-se na possibilidade de, mesmo na presença de um erro numa componente, ser possível calcular um estado correcto a partir de componentes redundantes. A arquitectura do sistema tem de possuir redundância suficiente para ser capaz de computacionalmente definir o estado correcto, apesar de um estado interno errado. Esta abordagem procura limitar ou eliminar o período de recuperação, ou seja, maximizar a disponibilidade do sistema. As duas políticas não são mutuamente exclusivas