Grundlagen der Fehlerinjektion Lehrstuhl 12 Fakultät Informatik. Grundlagen der Fehlerinjektion

Transkript

1 Grundlagen der Fehlerinjektion

2 Gliederung Motivation für Fehlerinjektion Aufbau einer Fehlerinjektionsumgebung FARM Arten der Fehlerinjektion Hardware Software Simulation GOOFI 2/25

3 Warum Fehlerinjektion? Heise News ( ): Curiosity wechselt die Gehirnhälften Fehlertoleranz unerlässlich Wie sicherstellen? Beweis schwer Echte Fehler treten selten auf Kritischen Code finden? Quelle: 3/25

4 Fehleranfälliger Code Fehleranfälligen Code finden? Quelltext/Abhängigkeiten unübersichtlich Lösung u.a.: Fehlerinjektion 4/25

5 Effektivität von Fehlertoleranz-Maßnahmen Wie Effektivität von Fehlertoleranz-Maßnahmen prüfen? Theoretische Beweise Komplex Lösung: Fehlerinjektion als Praxistest Fehler nachstellen Reaktion testen 5/25

6 Gliederung Motivation für Fehlerinjektion Aufbau einer Fehlerinjektionsumgebung FARM Arten der Fehlerinjektion Hardware Software Simulation GOOFI 6/25

7 Fehlerinjektionsumgebung Fehler- Bibliothek Fehlerinjektor Controller Nutzlast- Bibliothek Nutzlastgenerator Fehlerinjektionssystem Datenauswerter Datensammler Monitor Zielsystem 7/25

8 Gliederung Motivation für Fehlerinjektion Aufbau einer Fehlerinjektionsumgebung FARM Arten der Fehlerinjektion Hardware Software Simulation GOOFI 8/25

9 FARM Modell zur formalen Beschreibung von Fehlerinjektionsexperimenten Faults Menge aller zu injizierenden Fehler z.b. Bitflip bei 0000ffff Activations Aktivierungsmuster für das Zielsystem z.b. Start des Programms mit Aufrufparamter xyz Readouts Messergebnisse des Experiments z.b. Segfault Measures Bewertung der Messergebnisse z.b. System würde ausfallen, Fehlertoleranz-Maßnahmen? 9/25

10 Gliederung Motivation für Fehlerinjektion Aufbau einer Fehlerinjektionsumgebung FARM Arten der Fehlerinjektion Hardware Software Simulation GOOFI 10/25

11 Arten der Fehlerinjektion Quelle: Hardware Teuer Genau Software (SWIFI) Weniger genau Durchführbarkeit eingeschränkt Simulation Wie Hardware, aber günstig Quelle: Quelle: 11/25

12 Hardware-Fehlerinjektion (Übersicht) Weitere Untergliederung: Mit Kontakt Active Probes Socket Insertion Ohne Kontakt Elektromagnetisches Feld Schwer-Ion-Strahlung Quelle: Probing-and-calibration-for-accurate-baseband-I-Q-measurements Quelle: Neues_Warnsymbol_fuer_radioaktive_Strahlung.html 12/25

13 Active Probes Quelle: Elektroden am Chip Stromänderung Nur wenige Fehler injizierbar z.b.: Stuck-At Gefahr die Hardware zu beschädigen Beeinträchtigung: minimal Zeitliche Genauigkeit: maximal 13/25

14 Socket Insertion Zwischen Sockel und Chip Komplexere Zusammenschaltungen Mehr injizierbare Fehlermodelle Noch teurer als Active Probes Hardware-Beschädigung nahezu ausgeschlossen Quelle: Beeinträchtigung: minimal Zeitliche Genauigkeit: maximal 14/25

15 Strahlung & EM-Felder Zielgerichtete Induktion durch Strahlung/Felder Equipmentpreise abhängig von Genauigkeit Quelle: Beeinträchtigung: maximal Zeitliche Genauigkeit: niedrig 15/25

16 Software-Fehlerinjektion Manipulation der Software zur Übersetzungszeit zur Laufzeit Keine Anschaffungskosten für Hardware Stattdessen mehr Arbeitskosten Im Vergleich zur Hardware-Fehlerinjektion: Beeinträchtigung des Zielsystem: minimal Zeitliche Genauigkeit des Fehlers: hoch 16/25

17 Software-Fehlerinjektion zur Übersetzungszeit Injektion vor dem Kompilieren Injektion von Programmierfehlern sehr einfach Weitere Fehlermodelle möglich Beispiel: Restliches Zielsystem bleibt unberührt Keine dynamische Injektion von Fehlern zur Laufzeit möglich 17/25

18 Software-Fehlerinjektion zur Laufzeit Veränderung von Variablen/Code zur Laufzeit ausgelöst durch spezielle Exceptions oder Interrupts Viele Fehlermodelle möglich Beispiel: Verschlucken eines IP-Pakets Zeitliche Genauigkeit bei Interrupts schlecht Problematisch: Mehrere Fäden 18/25

19 Fehlerinjektion durch Simulation Ersatz für kostspielige Hardware-Fehlerinjektion Größter Vorteil: Parallelisierbarkeit von Tests Host-Computer 2 Fehler: a,c Fehler- Simulation Bibliothek 3 Host-Computer 1 Fehler: a Fehler- Simulation Bibliothek 1 Fehler: a,b Simulation 2 Fehler: b,c Simulation 4 19/25

20 Fehlerinjektion durch Simulation Teure Hardwarespezialanfertigungen müssen noch nicht existieren Vorteil z.b. bei System-On-Chip Kombination mit Software-Fehlerinjektion möglich Größter Nachteil: Geschwindigkeit Quelle: 20/25

21 Fehlerinjektionsarten - Übersicht Fehlerinjektionsmethode Software Hardware Simulation Laufzeit Erzeugungszeit Mit Kontakt Ohne Kontakt Socket Insertion Active Probes Strahlung Felder 21/25

22 Gliederung Motivation für Fehlerinjektion Aufbau einer Fehlerinjektionsumgebung FARM Arten der Fehlerinjektion Hardware Software Simulation GOOFI 22/25

23 GOOFI Objekt-orientiertes Fehlerinjektionswerkzeug Implementiert in Java Speicherung der Fehler-Menge und Messergebnisse in SQL Software-Fehlerinjektion und Simulation möglich Bedingt auch Hardware-Injektion 23/25

24 GOOFI- Architektur Host-Computer GOOFI Nutzer-Schnittstelle Fehler-Injektions- Algorithmen Zielsystem Frame -work Zielsystem- Schnittstelle Datenbank- Schnittstelle Zielsystem -Simulator Datenbank 24/25

25 Zusammenfassung Wofür Fehlerinjektion? Fehleranfällige Code finden und Fehlertoleranz praktisch nachweisen Seltene echte Fehler nachstellen Aufbau eines Fehlerinjektionsexperiments immer ähnlich Schema auch in Software-Tools wiederzufinden Formale Modelle vorhanden (FARM) Arten von Fehlerinjektion: Hardware, Software, Simulation Unterschiede in Kosten, Aufwand, Equipment Zeitl. Genauigkeit der Injektion, Beeinträchtigung des Zielsystems 25/25

26 Quellen 26/25