Отказоустойчивость - Fault tolerance

Отказоустойчивость это свойство, которое позволяет система для продолжения нормальной работы в случае отказа (или одной или нескольких неисправностей в пределах) некоторых из его компонентов. Если ее рабочее качество вообще снижается, это снижение пропорционально серьезности сбоя по сравнению с наивно спроектированной системой, в которой даже небольшой отказ может вызвать полный отказ. Отказоустойчивость особенно востребована в высокая доступность или же жизненно важные системы. Способность поддерживать функциональность при выходе из строя частей системы называется изящная деградация.[1]

А отказоустойчивый дизайн позволяет системе продолжить предполагаемую работу, возможно, на более низком уровне, вместо того, чтобы полностью выйти из строя, когда какая-то часть системы терпит неудачу.[2] Этот термин чаще всего используется для описания Компьютерные системы предназначены для продолжения более или менее полноценной работы с, возможно, сокращением пропускная способность или увеличение время отклика в случае частичного отказа. То есть система в целом не останавливается из-за проблем либо в аппаратное обеспечение или программного обеспечения. Примером в другой области является автомобиль, спроектированный таким образом, что он будет продолжать управлять автомобилем, если одна из шин будет проколота, или конструкция, которая способна сохранить свою целостность при наличии повреждений, вызванных такими причинами, как усталость, коррозия, производственные дефекты или удары.

В рамках индивидуальный системы, отказоустойчивость может быть достигнута путем прогнозирования исключительных условий и построения системы, которая справляется с ними, и, в целом, стремясь к самостабилизация так что система приближается к безошибочному состоянию. Однако, если последствия отказа системы катастрофичны или если стоимость обеспечения ее достаточной надежности очень высока, лучшим решением может быть использование некоторой формы дублирования. В любом случае, если последствия отказа системы настолько катастрофичны, система должна иметь возможность использовать возврат, чтобы вернуться в безопасный режим. Это похоже на восстановление с откатом, но может выполняться человеком, если в цикле присутствуют люди.

История

Первый известный отказоустойчивый компьютер был SAPO, построен в 1951 г. в г. Чехословакия к Антонин Свобода.[3]:155 Его базовая конструкция была магнитные барабаны подключены через реле, с методом голосования ошибка памяти обнаружение (тройное модульное резервирование ). Несколько других машин были разработаны в этом направлении, в основном для использования в военных целях. В конце концов, они разделились на три отдельные категории: машины, которые прослужат долгое время без какого-либо обслуживания, например, те, которые используются на НАСА космические зонды и спутники; компьютеры, которые были очень надежными, но требовали постоянного мониторинга, например, те, которые используются для мониторинга и управления атомная электростанция или же суперколлайдер эксперименты; и, наконец, компьютеры с большим объемом времени выполнения, которые будут интенсивно использоваться, например, многие суперкомпьютеры, используемые страховые компании для них вероятность мониторинг.

Большая часть разработок так называемых вычислений LLNM (Long Life, No Maintenance) была выполнена НАСА в 1960-х годах.[4] в рамках подготовки к Проект Аполлон и другие аспекты исследования. Первая машина НАСА попала в космическая обсерватория, а их вторая попытка, компьютер JSTAR, использовалась в Вояджер. У этого компьютера была резервная копия массивов памяти для использования методов восстановления памяти, поэтому он назывался компьютером JPL Self-Testing-And-Repairing. Он может обнаруживать собственные ошибки и исправлять их или при необходимости вызывать избыточные модули. Компьютер все еще работает сегодня[когда? ].

Сверхнадежные компьютеры были пионерами в основном самолет производители,[3]:210 атомная энергия компаний и железнодорожная промышленность в США. Им нужны были компьютеры с огромным временем безотказной работы, которые изящно потерпеть неудачу Достаточно наличия неисправности, чтобы обеспечить непрерывную работу, полагаясь на тот факт, что выходные данные компьютера будут постоянно контролироваться людьми для обнаружения неисправностей. И снова IBM разработала первый компьютер такого типа для НАСА для руководства Сатурн V ракеты, но позже BNSF, Unisys, и General Electric построил свои собственные.[3]:223

В 1970-х годах в этой области было проделано много работы.[5][6][7] Например, F14 CADC имел встроенная самопроверка и избыточность.[8]

В целом, первые усилия по созданию отказоустойчивых конструкций были сосредоточены в основном на внутренней диагностике, когда неисправность указала на то, что что-то вышло из строя, и рабочий мог ее заменить. У SAPO, например, был метод, с помощью которого неисправные барабаны памяти издавали шум перед тем, как выйти из строя.[9] Более поздние усилия показали, что для полной эффективности система должна быть самовосстанавливающейся и диагностируемой - изолировать неисправность, а затем реализовывать резервное копирование с одновременным предупреждением о необходимости ремонта. Это известно как избыточность N-модели, когда сбои вызывают автоматические отказоустойчивые системы и предупреждают оператора, и это все еще наиболее распространенная форма отказоустойчивой конструкции первого уровня, используемая сегодня.

Голосование было еще одним начальным методом, как обсуждалось выше, когда несколько резервных резервных копий работали постоянно и проверяли результаты друг друга, в результате, если, например, четыре компонента сообщили ответ 5, а один компонент сообщил ответ 6, остальные четыре "проголосовал бы", что пятый компонент неисправен, и вывести его из эксплуатации. Это называется большинством голосов M из N.

Исторически сложилось так, что движение всегда заключалось в том, чтобы двигаться дальше от N-модели и больше к M из N из-за того, что сложность систем и трудность обеспечения переходного состояния от отрицательного отказа к положительному отказу не нарушали работу. .

Тандем и Stratus были одними из первых компаний, специализирующихся на разработке отказоустойчивых компьютерных систем для онлайн-обработка транзакций..

Терминология

Пример изящной деградации дизайна в изображении с прозрачностью. Каждое из двух верхних изображений является результатом просмотра составного изображения в средстве просмотра, которое распознает прозрачность. Два нижних изображения - результат в средстве просмотра без поддержки прозрачности. Поскольку маска прозрачности (центр внизу) отбрасывается, остается только наложение (центр вверху); изображение слева было разработано для изящного ухудшения, поэтому оно по-прежнему имеет смысл без информации о прозрачности.

Система с высокой отказоустойчивостью может продолжать работать на том же уровне производительности, даже если один или несколько компонентов вышли из строя. Например, здание с резервным электрическим генератором будет обеспечивать такое же напряжение для настенных розеток даже в случае сбоя электросети.

Система, предназначенная для отказоустойчивый, или отказоустойчивый, или изящно потерпеть неудачу, независимо от того, работает ли он на пониженном уровне или полностью выходит из строя, делает это таким образом, чтобы защитить людей, имущество или данные от травм, повреждений, вторжения или разглашения. На компьютерах программа может отказать, выполнив изящный выход (в отличие от неконтролируемого сбоя), чтобы предотвратить повреждение данных после возникновения ошибки. Аналогичное различие проводится между «неудачными» и «плохо проваливается ".

Безотказно - это противоположная стратегия, которая может использоваться в системах оружия, предназначенных для поражения или поражения целей, даже если часть системы повреждена или разрушена.

Система, созданная для того, чтобы изящная деградация, или в мягкий провал (используется в вычислениях, аналогично «отказоустойчивому»[10]) работает с пониженным уровнем производительности после отказа некоторых компонентов. Например, в здании может работать освещение на пониженных уровнях, а лифты - на пониженной скорости в случае отказа электросети, вместо того, чтобы полностью укрывать людей в темноте или продолжать работать на полную мощность. При вычислении пример постепенной деградации заключается в том, что если для потоковой передачи онлайн-видео доступна недостаточная пропускная способность сети, вместо версии с высоким разрешением может передаваться потоковая версия с более низким разрешением. Прогрессивное улучшение является примером в вычислительной технике, где веб-страницы доступны в базовом функциональном формате для старых браузеров с маленьким экраном или с ограниченными возможностями, но в расширенной версии для браузеров, способных обрабатывать дополнительные технологии или имеющих большой дисплей.

В отказоустойчивые компьютерные системы, программы, которые считаются крепкий предназначены для продолжения работы, несмотря на ошибку, исключение или недопустимый ввод, вместо полного сбоя. Хрупкость программного обеспечения противоположность надежности. Устойчивые сети продолжать передавать данные, несмотря на отказ некоторых ссылок или узлов; устойчивые здания и инфраструктура также ожидается, что они предотвратят полный отказ в таких ситуациях, как землетрясения, наводнения или столкновения.

Система с высоким прозрачность отказа будет предупреждать пользователей о том, что произошел сбой компонента, даже если он продолжает работать с полной производительностью, чтобы можно было устранить отказ или предвидеть неизбежный полный отказ. Точно так же безотказный Компонент предназначен для создания отчетов в первой точке отказа, а не для того, чтобы позволить компонентам нижестоящего уровня выходить из строя и затем создавать отчеты. Это упрощает диагностику основной проблемы и может предотвратить неправильную работу в неисправном состоянии.

Состояние одиночной неисправности

А состояние одиночной неисправности это ситуация, когда можно защита против опасность неисправен. Если одно состояние отказа неизбежно приводит к другому состоянию отдельного отказа, два отказа рассматриваются как одно состояние одиночного отказа.[11] Источник предлагает следующий пример:

А состояние одиночной неисправности это состояние, когда одно средство защиты от опасности в оборудовании неисправно или присутствует одно внешнее ненормальное состояние, например короткое замыкание между токоведущими частями и рабочей частью.[12]

Резервирование

Основная статья: Резервирование (инжиниринг)

Избыточность - это предоставление функциональных возможностей, которые не нужны в безотказной среде.[13]Он может состоять из компонентов резервного копирования, которые автоматически «включаются» при выходе из строя одного из компонентов. Например, большие грузовые автомобили могут потерять шину без каких-либо серьезных последствий. У них много шин, и ни одна из них не является критичной (за исключением передних шин, которые используются для управления, но обычно несут меньшую нагрузку каждая и в целом, чем остальные четыре - 16, поэтому вероятность выхода из строя ниже. Идея включения избыточности для повышения надежности системы была впервые предложена Джон фон Нейман в 1950-е гг.[14]

Возможны два вида резервирования:[15] резервирование пространства и резервирование времени. Резервирование пространства обеспечивает дополнительные компоненты, функции или элементы данных, которые не нужны для безотказной работы. Резервирование пространства далее подразделяется на избыточность оборудования, программного обеспечения и информации в зависимости от типа избыточных ресурсов, добавленных в систему. При избыточности времени вычисление или передача данных повторяются, и результат сравнивается с сохраненной копией предыдущего результата. Текущая терминология для этого вида тестирования называется «Тестирование на отказоустойчивость при эксплуатации» или сокращенно ISFTT.

Критерии

Обеспечение отказоустойчивой конструкции для каждого компонента обычно не вариант. Связанное резервирование влечет за собой ряд штрафов: увеличение веса, размера, энергопотребления, стоимости, а также времени на проектирование, проверку и тестирование. Следовательно, необходимо изучить ряд вариантов, чтобы определить, какие компоненты должны быть отказоустойчивыми:[16]

  • Насколько важен компонент? В автомобиле радио не критично, поэтому этому компоненту меньше требуется отказоустойчивость.
  • Насколько вероятно, что компонент выйдет из строя? Некоторые компоненты, такие как приводной вал в автомобиле, вряд ли выйдут из строя, поэтому отказоустойчивость не требуется.
  • Насколько дорого обходится отказоустойчивый компонент? Например, требование резервного автомобильного двигателя было бы слишком дорогим как с экономической точки зрения, так и с точки зрения веса и места, чтобы его можно было рассматривать.

Примером компонента, прошедшего все тесты, является удерживающая система автомобиля. Хотя мы обычно не думаем о начальный удерживающая система пассажира, это сила тяжести. Если автомобиль опрокидывается или подвергается сильным перегрузкам, этот основной метод удержания пассажиров может не сработать. Сдерживание пассажиров во время такой аварии абсолютно необходимо для безопасности, поэтому мы прошли первое испытание. Раньше аварии с выбросом пассажира были довольно распространены ремни безопасности, так что проходим второй тест. Стоимость избыточного метода удерживания, такого как ремни безопасности, довольно низкая как с экономической точки зрения, так и с точки зрения веса и места, поэтому мы прошли третий тест. Поэтому установка ремней безопасности на все автомобили - отличная идея. Другие "дополнительные удерживающие системы", такие как подушки безопасности, стоят дороже и поэтому проходят этот тест с меньшим отрывом.

Еще одним прекрасным и долгосрочным примером применения этого принципа на практике является тормозная система: хотя сами тормозные механизмы имеют решающее значение, они не особенно подвержены внезапному (а не прогрессирующему) отказу и в любом случае обязательно дублируются, чтобы позволить равномерное и сбалансированное приложение тормозного усилия ко всем колесам. Также было бы непомерно дорого удваивать основные компоненты, и они добавляли бы значительный вес. Однако такие же важные системы для приведения в действие тормозов под управлением водителя по своей сути менее надежны, обычно с использованием троса (может ржаветь, растягиваться, заклинивать, ломаться) или гидравлической жидкости (может протекать, закипать и образовывать пузыри, поглощать воду и, таким образом, терять эффективность. ). Таким образом, в большинстве современных автомобилей гидравлический тормозной контур ножного тормоза разделен по диагонали, чтобы дать две меньшие точки отказа, потеря либо только уменьшения тормозной мощности на 50%, но не вызывающего такой опасный дисбаланс тормозной силы, как прямой передний-задний или лево-правый разделены, и в случае полного выхода из строя гидравлического контура (относительно очень редкое явление) существует отказоустойчивый стояночный тормоз с тросовым приводом, который приводит в действие относительно слабые задние тормоза, но все же может привести автомобиль к безопасной остановке. в сочетании с торможением трансмиссией / двигателем, если требования к нему соответствуют нормальному транспортному потоку. Совокупное маловероятное сочетание полного отказа ножного тормоза с необходимостью резкого торможения в аварийной ситуации, скорее всего, приведет к столкновению, но все же на более низкой скорости, чем было бы в противном случае.

По сравнению с рабочим тормозом, приводимым в действие ножной педалью, стояночный тормоз сам по себе является менее важным элементом, и, если он не используется в качестве единовременного дублирования ножного тормоза, не вызовет непосредственной опасности, если обнаружится, что он нефункционален на месте. момент подачи заявки. Следовательно, в нем нет резервирования как такового (и он обычно использует более дешевую, более легкую, но менее износостойкую систему срабатывания троса), и, если это происходит на холме, может быть достаточно использовать ножной тормоз, чтобы на мгновение удержать автомобиль в неподвижном состоянии. , прежде чем уехать, чтобы найти ровный участок дороги, на котором нужно остановиться. В качестве альтернативы, на пологих уклонах трансмиссия может быть переключена на парковочную, реверсивную или первую передачу, а блокировка трансмиссии / сжатие двигателя используется для удержания ее в неподвижном состоянии, так как им нет необходимости включать изощренность, чтобы сначала остановить ее. .

На мотоциклах аналогичный уровень отказоустойчивости обеспечивается более простыми методами; во-первых, передняя и задняя тормозные системы полностью разделены, независимо от метода их активации (тросовой, стержневой или гидравлической), что позволяет одной полностью выйти из строя, не затрагивая другую. Во-вторых, задний тормоз относительно силен по сравнению со своим автомобильным собратом, даже если он является мощным диском на спортивных моделях, хотя обычно передняя система предназначена для обеспечения подавляющего большинства тормозного усилия; поскольку общий вес транспортного средства более центральный, задняя шина, как правило, больше и более цепкая, и гонщик может откинуться назад, чтобы приложить к ней больший вес, что позволяет приложить большее тормозное усилие до того, как колесо заблокируется. На более дешевых, более медленных машинах утилитарного класса, даже если переднее колесо должно использовать гидравлический диск для дополнительного тормозного усилия и упрощения упаковки, заднее колесо обычно будет примитивным, несколько неэффективным, но исключительно надежным барабаном с приводом от штанг благодаря легкости. соединения педали с колесом таким образом и, что более важно, почти невозможности катастрофического отказа, даже если остальная часть машины, как и многие недорогие велосипеды после первых нескольких лет использования, находится на грани отказа коллапс из-за запущенного обслуживания.

Требования

Основные характеристики отказоустойчивости требуют:

  1. Нет единая точка отказа - Если в системе произойдет сбой, она должна продолжать работать без перебоев в процессе ремонта.
  2. Локализация отказов к неисправному компоненту - когда происходит сбой, система должна быть способна изолировать отказ от проблемного компонента. Это требует добавления специальных механизмов обнаружения отказов, которые существуют только с целью изоляции отказов. Восстановление после отказа требует классификации отказа или отказавшего компонента. В Национальный институт стандартов и технологий (NIST) классифицирует неисправности на основе местоположения, причины, продолжительности и следствия.[куда? ][требуется разъяснение ]
  3. Сдерживание отказов для предотвращения распространения отказа - некоторые механизмы отказа могут вызвать отказ системы, распространяя отказ на остальную систему. Примером такого отказа является "мошеннический передатчик", который может заблокировать законную связь в системе и вызвать общий отказ системы. Межсетевые экраны или другие механизмы, изолирующие несанкционированный передатчик или отказавший компонент для защиты системы.
  4. Наличие режимы возврата[требуется разъяснение ]

Кроме того, отказоустойчивые системы характеризуются как плановыми отключениями обслуживания, так и незапланированными отключениями обслуживания. Обычно они измеряются на уровне приложения, а не только на уровне оборудования. Показатель заслуги называется доступность и выражается в процентах. Например, пять девяток Система статистически обеспечит доступность 99,999%.

Отказоустойчивые системы обычно основаны на концепции избыточности.

Методы отказоустойчивости

Исследование видов допусков, необходимых для критических систем, требует большой междисциплинарной работы. Чем сложнее система, тем более тщательно должны быть рассмотрены и подготовлены все возможные взаимодействия. Учитывая важность систем высокой стоимости на транспорте, коммунальные службы и вооруженные силы, круг тем, затрагивающих исследования, очень широк: он может включать такие очевидные предметы, как программное моделирование и надежность, или аппаратный дизайн, к тайным элементам, таким как стохастический модели теория графов, формальная или исключающая логика, параллельная обработка, удаленный передача данных, и больше.[17]

Репликация

Запасные компоненты обращаются к первой фундаментальной характеристике отказоустойчивости тремя способами:

  • Репликация: Предоставление нескольких идентичных экземпляров одной и той же системы или подсистемы, направление задач или запросов всем им в параллельно, и выбирая правильный результат на основе кворум;
  • Резервирование: Предоставление нескольких идентичных экземпляров одной и той же системы и переключение на один из оставшихся экземпляров в случае сбоя (аварийное переключение );
  • Разнообразие: обеспечение нескольких разные реализации одной и той же спецификации и использование их как реплицированных систем для устранения ошибок в конкретной реализации.

Все реализации RAID, избыточный массив независимых дисков, кроме RAID 0, являются примерами отказоустойчивого устройство хранения который использует избыточность данных.

А шаг Отказоустойчивая машина использует реплицированные элементы, работающие параллельно. В любой момент все репликации каждого элемента должны быть в одном и том же состоянии. Одинаковые входы предоставляются каждому репликация, и ожидаются такие же результаты. Выходы репликаций сравниваются с помощью схемы голосования. Машину с двумя копиями каждого элемента называют двойное модульное резервирование (DMR). Тогда схема голосования может обнаруживать только несоответствие, а восстановление зависит от других методов. Машина с тремя копиями каждого элемента называется тройное модульное резервирование (ПМР). Схема голосования может определить, какая репликация является ошибочной, когда наблюдается голос «два к одному». В этом случае схема голосования может выдать правильный результат и отбросить ошибочную версию. После этого предполагается, что внутреннее состояние ошибочной репликации отличается от состояния двух других, и схема голосования может переключиться в режим DMR. Эта модель может быть применена к любому большему количеству репликаций.

Локстеп отказоустойчивые машины проще всего сделать полностью синхронный, причем каждый вентиль каждой репликации совершает один и тот же переход состояния на одном фронте тактового сигнала, а тактовые импульсы репликации точно совпадают по фазе. Тем не менее, без этого требования можно создавать системы с замком.

Синхронизация репликаций требует, чтобы их внутренние сохраненные состояния были одинаковыми. Их можно запустить из фиксированного начального состояния, например из состояния сброса. В качестве альтернативы внутреннее состояние одной реплики может быть скопировано на другую реплику.

Одним из вариантов DMR является пара-и-запасной. Два реплицированных элемента работают синхронно как пара со схемой голосования, которая обнаруживает любое несоответствие между их операциями и выводит сигнал, указывающий на наличие ошибки. Другая пара работает точно так же. Последняя схема выбирает выход пары, который не объявляет об ошибке. Пара-и-запасная требует четырех реплик, а не трех из TMR, но уже используется в коммерческих целях.

Безотказные вычисления

Безотказные вычисления это техника, которая позволяет компьютерные программы продолжать выполнение несмотря на ошибки.[18] Техника может применяться в разных контекстах. Во-первых, он может обрабатывать недопустимые чтения из памяти, возвращая программе произведенное значение,[19] который, в свою очередь, использует производимую ценность и игнорирует прежнюю объем памяти ценность, к которой он пытался получить доступ, это большой контраст типичные средства проверки памяти, которые информируют программу об ошибке или прерывают выполнение программы. Во-вторых, его можно применить к исключениям, где некоторые блоки catch записываются или синтезируются для перехвата неожиданных исключений.[20] Более того, бывает, что выполнение модифицируется несколько раз подряд, чтобы предотвратить каскадные сбои.[21]

Такой подход требует производительности: поскольку методика переписывает код для вставки динамических проверок правильности адреса, время выполнения увеличивается от 80% до 500%.[22]

Восстановление пастырства

Пастеринг восстановления - это упрощенный метод, позволяющий программным средствам восстанавливаться после фатальных ошибок, таких как разыменование нулевого указателя и деление на ноль.[23] По сравнению с вычислительной техникой, не обращающей внимания на отказ, восстановление работает непосредственно с двоичным кодом скомпилированной программы и не требует перекомпиляции в программу.

Он использует вовремя двоичная аппаратура рамки Штырь. Он присоединяется к процессу приложения при возникновении ошибки, исправляет выполнение, отслеживает эффекты исправления по мере продолжения выполнения, содержит эффекты исправления в процессе приложения и отключается от процесса после того, как все эффекты исправления сброшены из состояния процесса. Это не мешает нормальному выполнению программы и, следовательно, вызывает незначительные накладные расходы.[23] Для 17 из 18 систематически собираемых реальных ошибок разыменования нуля и деления на ноль реализация прототипа позволяет приложению продолжать выполнение, обеспечивая приемлемый вывод и обслуживание пользователей на входах, вызывающих ошибки.[23]

Автоматический выключатель

Основная статья: Схема проектирования автоматического выключателя

В схема проектирования выключателя это метод предотвращения катастрофических отказов в распределенных системах.

Недостатки

Преимущества отказоустойчивой конструкции очевидны, а многих ее недостатков нет:

  • Помехи при обнаружении неисправности в том же компоненте. Продолжая приведенный выше пример с пассажирским транспортным средством, с любой из отказоустойчивых систем водителю может быть не очевидно, когда шина была проколота. Обычно это выполняется с помощью отдельной «автоматизированной системы обнаружения неисправностей». В случае с шиной монитор давления воздуха обнаруживает потерю давления и уведомляет водителя. Альтернативой является «ручная система обнаружения неисправностей», например, проверка всех шин вручную при каждой остановке.
  • Помехи при обнаружении неисправности в другом компоненте. Другой вариант этой проблемы - отказоустойчивость одного компонента предотвращает обнаружение сбоев в другом компоненте. Например, если компонент B выполняет некоторую операцию на основе выходных данных компонента A, то отказоустойчивость в B может скрыть проблему с A. Если компонент B позже будет изменен (на менее отказоустойчивую конструкцию), система может внезапно выйти из строя, создавая впечатление, что проблема заключается в новом компоненте B. Только после того, как система будет тщательно исследована, станет ясно, что основная проблема на самом деле связана с компонентом A.
  • Снижение приоритета устранения неисправностей. Даже если оператор знает о неисправности, наличие отказоустойчивой системы может снизить важность устранения неисправности. Если сбои не устранены, это в конечном итоге приведет к отказу системы, когда отказоустойчивый компонент выйдет из строя полностью или когда все резервные компоненты также вышли из строя.
  • Сложность теста. Для некоторых критически важных отказоустойчивых систем, таких как ядерный реактор, не существует простого способа проверить работоспособность компонентов резервного копирования. Самый печально известный пример этого: Чернобыль, где операторы протестировали аварийное резервное охлаждение, отключив первичное и вторичное охлаждение. Резервное копирование не удалось, что привело к расплавлению активной зоны и массовому выбросу радиации.
  • Расходы. И отказоустойчивые компоненты, и резервные компоненты имеют тенденцию к увеличению стоимости. Это может быть чисто экономическая стоимость или может включать другие меры, например вес. Пилотируемые космические корабли например, имеют так много дублирующих и отказоустойчивых компонентов, что их вес значительно увеличивается по сравнению с беспилотными системами, которые не требуют такого же уровня безопасности.
  • Низкие компоненты. Отказоустойчивая конструкция может позволить использовать компоненты более низкого качества, которые в противном случае сделали бы систему неработоспособной. Хотя такая практика может снизить рост стоимости, использование нескольких низкокачественных компонентов может снизить надежность системы до уровня, равного или даже хуже, чем у сопоставимой безотказной системы.

Примеры

Отказоустойчивость оборудования иногда требует, чтобы сломанные части были удалены и заменены новыми, пока система все еще работает (в вычислительной технике, известной как горячая замена ). Такая система, реализованная с одним резервным копированием, известна как одноточечный толерантный и представляет собой подавляющее большинство отказоустойчивых систем. В таких системах среднее время наработки на отказ должен быть достаточно длинным, чтобы операторы успели починить сломанные устройства (среднее время на ремонт ) перед резервным копированием также не удается. Это помогает, если время наработки на отказ как можно больше, но это не требуется специально для отказоустойчивой системы.

Отказоустойчивость особенно успешна в компьютерных приложениях. Тандемные компьютеры построили весь свой бизнес на таких машинах, которые использовали одноточечный допуск для создания своих Без остановки системы с время безотказной работы измеряется годами.

Отказоустойчивый архитектуры могут также включать компьютерное программное обеспечение, например, по процессам репликация.

Форматы данных также могут быть разработаны для постепенного ухудшения качества. HTML например, предназначен для прямая совместимость, позволяя игнорировать новые объекты HTML Веб-браузеры которые не понимают их, не делая документ непригодным для использования.

Связанные термины

Есть разница между отказоустойчивостью и системами, в которых редко возникают проблемы. Например, Western Electric перекладина частота отказов систем составляла два часа за сорок лет, и поэтому отказоустойчивый. Но когда все-таки произошла неисправность, они все равно полностью перестали работать, и поэтому не были отказоустойчивой.

Смотрите также

Рекомендации

  1. ^ Адаптивная отказоустойчивость и постепенная деградация, Оскар Гонсалес и др., 1997, Массачусетский университет - Амхерст
  2. ^ Джонсон, Б. В. (1984). "Отказоустойчивые микропроцессорные системы ", IEEE Micro, том 4, № 6, стр. 6–21
  3. ^ а б c Дэниел П. Севиорек; К. Гордон Белл; Аллен Ньюэлл (1982). Компьютерные структуры: принципы и примеры. Макгроу-Хилл. ISBN  0-07-057302-6.
  4. ^ Альгирдас Авижиенис; Джордж К. Гилли; Фрэнсис П. Матур; Дэвид А. Реннельс; Джон А. Рор; Дэвид К. Рубин. «Компьютер STAR (самотестирование и ремонт): исследование теории и практики отказоустойчивого компьютерного дизайна» (PDF).
  5. ^ Рэнделл, Брайан; Lee, P.A .; Трелевен, П. К. (июнь 1978 г.). «Вопросы надежности при проектировании вычислительных систем». Опросы ACM Computing. 10 (2): 123–165. Дои:10.1145/356725.356729. ISSN  0360-0300. S2CID  16909447.
  6. ^ П. Дж. Деннинг (Декабрь 1976 г.). «Отказоустойчивые операционные системы». Опросы ACM Computing. 8 (4): 359–389. Дои:10.1145/356678.356680. ISSN  0360-0300. S2CID  207736773.
  7. ^ Теодор А. Линден (декабрь 1976 г.). «Структуры операционной системы для поддержки безопасности и надежного программного обеспечения». Опросы ACM Computing. 8 (4): 409–445. Дои:10.1145/356678.356682. HDL:2027 / mdp.39015086560037. ISSN  0360-0300. S2CID  16720589.
  8. ^ Рэй Холт."Центральный компьютер данных о воздухе F14A и новейшие технологии LSI в 1968 году".
  9. ^ Отказоустойчивые вычисления в компьютерном дизайне Нилфорошан М.Р. Архив журнала вычислительных наук в колледжах Том 18, выпуск 4 (апрель 2003 г.) Страницы: 213 - 220, ISSN  1937-4771
  10. ^ Столлингс, W (2009): Операционные системы. Внутреннее устройство и принципы дизайна, издание шестое
  11. ^ "Контроль". Grouper.ieee.org. Архивировано из оригинал на 1999-10-08. Получено 2016-04-06.
  12. ^ Баха Аль-Шейх, Саймон Г. Стейси, Основы оборудования для анестезии, интенсивной терапии и периоперационной медицины (2017), стр. 247.
  13. ^ Лапри, Дж. К. (1985). "Надежные вычисления и отказоустойчивость: понятия и терминология ", Труды 15-го Международного симпозиума по отказоустойчивым вычислениям (FTSC-15), стр. 2–11
  14. ^ фон Нейман, J. (1956). "Вероятностная логика и синтез надежных организмов из ненадежных компонентов ", в" Исследованиях автоматов ", под ред. К. Шеннона и Дж. Маккарти, Princeton University Press, стр. 43–98.
  15. ^ Авизенис, А. (1976). "Отказоустойчивые системы ", IEEE Transactions on Computers, vol. 25, No. 12, pp. 1304–1312.
  16. ^ Дуброва, Е. (2013). «Отказоустойчивая конструкция», Springer, 2013 г., ISBN  978-1-4614-2112-2
  17. ^ Оценка надежности некоторых отказоустойчивых компьютерных архитектур. Springer-Verlag. Ноябрь 1980 г. ISBN  978-3-540-10274-8.
  18. ^ Герцберг, Амир; Шульман, Хайя (2012). "Незаметные и честные двухсторонние вычисления на сервере". 2012 Седьмая Международная конференция по доступности, надежности и безопасности. IEEE: 75–84. Дои:10.1109 / ар.2012.28. ISBN  978-1-4673-2244-7. S2CID  6579295.
  19. ^ Риггер, Мануэль; Пекарек, Даниэль; Мёссенбёк, Hanspeter (2018), «Контекстно-зависимые вычисления с учетом сбоев как средство предотвращения переполнения буфера», Сетевая и системная безопасность, Cham: Springer International Publishing, стр. 376–390, arXiv:1806.09026, Дои:10.1007/978-3-030-02744-5_28, ISBN  978-3-030-02743-8, получено 2020-10-07
  20. ^ Чжан, Лонг; Монперрус, Мартин (2019). «TripleAgent: Мониторинг, возмущение и предотвращение отказов для автоматического повышения устойчивости приложений Java». 30-й Международный симпозиум IEEE 2019 по проектированию надежности программного обеспечения (ISSRE). Берлин, Германия: IEEE: 116–127. arXiv:1812.10706. Дои:10.1109 / ISSRE.2019.00021. ISBN  978-1-7281-4982-0. S2CID  57189195.
  21. ^ Дюрье, Томас; Хамади, Юсеф; Юй Чжунсин; Бодри, Бенуа; Монперрус, Мартин (2018). «Исчерпывающее исследование пространства поиска отказоустойчивых вычислений». 11-я Международная конференция по тестированию, верификации и валидации программного обеспечения (ICST), IEEE 2018. С. 139–149. arXiv:1710.09722. Дои:10.1109 / ICST.2018.00023. ISBN  978-1-5386-5012-7. S2CID  4304123.
  22. ^ Керомитис, Ангелос Д. (2007), «Характеристика программных систем самовосстановления», в Городецком, Владимир I .; Котенко Игорь; Скормин, Виктор А. (ред.), Характеристика программных систем самовосстановления, Безопасность компьютерных сетей: Четвертая международная конференция по математическим методам, моделям и архитектурам безопасности компьютерных сетей, Springer, ISBN  978-3-540-73985-2
  23. ^ а б c Длинные, веерные; Сидироглу-Дускос, Стелиос; Ринард, Мартин (2014). «Автоматическое исправление и локализация ошибок во время выполнения с помощью функции восстановления». Материалы 35-й конференции ACM SIGPLAN по разработке и реализации языков программирования. PLDI '14'. Нью-Йорк, Нью-Йорк, США: ACM. С. 227–238. Дои:10.1145/2594291.2594337. ISBN  978-1-4503-2784-8. S2CID  6252501.