7.2 Standardtechniken der Diagnose Test/Checks. Tests. Verlässliche Systeme. 7. Kapitel Diagnose. Prof. Matthias Werner

Transkript

1 Verlässliche Systeme Wintersemester 26/27 Verlässliche Systeme 7. Kapitel Diagnose Prof. Matthias Werner Professur Betriebssysteme 7. Einführung 7. Einführung Diagnose ist ein Standardansatz beim Entwurf verlässlicher Systeme Einsatz: Fehlerdiagnose zur Fehlerbehebung Fehlerdiagnose zum Fehlerabschottung (Verhinderung von Fehlerpropagierung) Abschottung (Containment) kann in horizontalen oder vertikalen Schichten erfolgen: Acceptance Test Operating System, Languages and Application Acceptance Test System Hardware Acceptance Test Register-T ransfer Level Dependability Rings Network Memories Processor Diagnostic and Maintenance Processor (s) (Hardcore) Acceptance Test Logic Level Test Rings WS 26/7 M. Werner 2 / 4 osg.informatik.tu-chemnitz.de Tests 7. Einführung Diagnose hat mehrere Aspekte Erkennung, dass ein Fehler vorliegt Fehlererkennung (fault detection) Lokalisierung des Fehlers Fehlererkennung wird mit Hilfe von Tests/Checks durchgeführt Bewertungskriterium für einen Test ist die Abdeckung siehe 3.2 Achtung Im Fall dass ein Test einen Fehler anzeigt, muss dies nicht bedeuten, dass der Testkandidat fehlerhaft ist. Es kann auch der Tester sein! Mehr im Abschnitt zu Systemdiagnose Test/Checks Standard checks Replikationsschecks Timingchecks Reversalchecks Codierungschecks Plausibilitätschecks Strukturchecks Diagnosechecks Algorithmische Checks Kategorien sind nicht orthogonal und einzelne Methoden nicht immer klar zuzuordnen WS 26/7 M. Werner 3 / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 4 / 4 osg.informatik.tu-chemnitz.de

2 Replikationschecks Alles wird mehrmals gemacht Gründlich, aber teuer Varianten Identische Replikation Verschiedene Designsifferent designs Wiederholte Ausführung Vergleich mit Standardausführung Diagnosechecks INPUT C C2 COMPARATOR OUTPUT Timing Checks Überprüfung, ob Zeitbedingungen eingehalten werden Varianten Extra Zeitüberwachungseinheit (Watchdog) Passive gegenseitige Überwachung Aktive gegenseitige Überwachung Beispiel Tandem-Computer: I am alive im Sekundentakt, Are you okay? zweisekündlich BUS BUS2 P P2.... P6 WS 26/7 M. Werner 5 / 4 osg.informatik.tu-chemnitz.de Reversalchecks WS 26/7 M. Werner 6 / 4 osg.informatik.tu-chemnitz.de Coding Checks Ausgaben hängen (in der Regel) deterministisch von Eingaben ab Berechnung der Eingaben aus erhaltenen Ausgaben Vergleich gegen Eingabe Beispiele Wiedereinlesen nach Schreiben Mathematische Funktionen, wie ( x) 2 =! x A A =! I Redundante Datendarstellung Beispiele: Paritätsbit gerade/ungerade Berger-Code Anzahlen von (oder seltener ) Checksumme Addition von Elementen eines Blocks Hamming-Code Vergrößerung der Hamming-Distanz Cyclic Redundancy Check Ausnutzung des Lemma von Bézout (Restwerttheorem) Mehr im nächsten Abschnitt zu Speicher... WS 26/7 M. Werner 7 / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 8 / 4 osg.informatik.tu-chemnitz.de

3 Plausibilitätschecks Nutzung des gesunden Menschenverstands Ausnutzung von Wissen über das interne Design und Strukturen Beispiele: Bereichschecks (z.b. α < 36, Arrayindex im vorgegeben Bereich) Konsistenzüberprüfungen (z.b. Wurde jede Eingabe verarbeitet?) Typenchecks (Ist Ergebnis Integer?) Strukturchecks Überprüfung der Konsistenz von Datenstrukturen oder Systemstrukturen Beispiele Anzahl der Elemente Redundante Pointer LIST HEAD FIRST LAST NEXT DATA. NEXT DATA Liste der PnP-Geräte WS 26/7 M. Werner 9 / 4 osg.informatik.tu-chemnitz.de Diagnosechecks WS 26/7 M. Werner / 4 osg.informatik.tu-chemnitz.de Algorithmische Checks Überprüfung, ob für eine bekannte Menge von Eingaben die korrekten Ausgaben erfolgen Typischer Einsatz in Hardwaretestprogrammen (z.b. Power-on self-test, POST) Beispiele: Speichertests (später noch diskutiert) Exceptiontests Belastungstests Überprüfen, ob Invarianten eines Algorithmus unberührt bleiben Beispiele: Sortierung: Anzahl der Einträge, Checksumme Checksumme bei Matrizenmultiplikation x 3 4 = WS 26/7 M. Werner / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 2 / 4 osg.informatik.tu-chemnitz.de

4 Motivation Speicher kommt in Rechner in großen Mengen vor Ein einzelner Ein-Bit-Fehler kann zu Systemausfall führen Situation verschlimmert sich mit wachsender Kapazität und sinkender Strukturgröße Effiziente Tests notwendig Typische Ansätze: Codes und Checksummen (die ja auch einen Code darstellen) Zwei Anwendungsmethoden von Tests: offline (Produktions- oder Startzeit) oder online Designkriterien Abdeckung (Coverage) Gesamtabdeckung Abdeckung bezgl. gegebener Feherarten Overhead Hardware (zusätzliche Schaltungen, zusätzlicher Speicher) Software Laufzeit (Overhead für Kodierung und Dekodierung) # Checkbits Anwendungsfall Erkennung Lokalisierung Korrektur WS 26/7 M. Werner 3 / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 4 / 4 osg.informatik.tu-chemnitz.de Beispiel: Zweidimensionale Parität BERGER-Code n bits/word Row Parity Register Parity Error? No k words No Yes No Anzahl von wird Datenwort hinzugefügt k Informationsbits benötigen log 2 k + Checkbits % coverage for single errors Coverage calculation tricky for double and other errors Column Parity Register Overall parity check bit Low overhead Parity Error? No No Yes No No Erkennt alle -Bit-Fehler, alle 2- und 3-Bit-Fehler in k Worten, sowie viele weitere Lokalisiert alle -Bit-Fehler in k Worten WS 26/7 M. Werner 5 / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 6 / 4 osg.informatik.tu-chemnitz.de

5 HAMMING-Codes Fehlererkennung und -korrektur Beispiel: (n, k) = (7, 4) 7 Bits inklusive 3 Checkbits Hammingdistanz zwischen zwei Codeworten: Anzahl der Unterschiede zwischen korrespondierenden Bitstellen H d (, ) = 3 Hammingdistanz eines Codes: minimale Hammingdistanz zweier (unterschiedlicher) Codewörter dieses Codes Eine Distanz H d erlaubt, bis zu H d Bitfehler zu entdecken oder bis zu H d 2 Bitfehler zu korrigieren Typisch: H d = 3 Konstruktion von HAMMING-Codes Konstruktion nach R.W. HAMMING, 95 Jede j. Stelle, j = 2 i mit i =,..., k ist ein Checkbit (Paritätsbit) c i. Die übrigen Bits sind Datenbits d l mit l =,..., m Beispiel für (7, 4): d 4, d 3, d 2, c 3, d, c 2, c = h 7, h 6, h 5, h 4, h 3, h 2, h Jedes Checkbit bildet eine Parität über eine Anzahl Bits Bildungsregel: c j = h 2 j wird für alle Bits mit (i mod 2 j ) 2 j genutzt (i bezieht sich auf h i ) Beispiel für (7, 4): Parität von h, h 3, h 5, h 7 c = d d 2 d 4 Parität von h 2, h 3, h 6, h 7 c 2 = d d 3 d 4 Parität von h 4, h 5, h 6, h 7 c 3 = d 2 d 3 d 4 WS 26/7 M. Werner 7 / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 8 / 4 osg.informatik.tu-chemnitz.de Beispiel (7,4)-HAMMING-Codes Beispiel für einen (7, 4)- Hamming-Code Keine zwei Codewörter (dritten Spalte) haben eine Hamming- Distanz kleiner 3 Wert binär Hamming Generatormatrix HAMMING-Code ist ein linearer Code er kann mit einer Generatormatrix erzeugt werden, so dass h = c G (Multiplikation ist Modulo 2) Beispiel für (7,4)-Code: G = Beispiel: M = 3, c = (), h = d G = () WS 26/7 M. Werner 9 / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 2 / 4 osg.informatik.tu-chemnitz.de

6 Paritätsmatrix Überprüfung von HAMMING-Codes Die Paritätsmatrix P gibt eine Matrizenform für die Paritätsbildung. Beispiel für (7,4)-Code: P = Jede Spalte von P entspricht einer der Paritäten laut der Code-Bildungsregel Anmerkung: G P = (wiederum: Multiplikation modulo 2) Ein empfangenes Codewort h wird überprüft durch Multiplikation modulo 2 mit der Paritäts-Matritze Den entstehenden Vektor S nennt man Syndrom h P = S Ist das Syndrom ein Null-Vektor, so ist die Übertragung fehlerlos (wenn die Fehlerannahme zutrifft) Bei einem Einzelfehler enthält das Syndrom die fehlerhaften Bitstelle WS 26/7 M. Werner 2 / 4 osg.informatik.tu-chemnitz.de Fehlerfreier Fall Beispiel : kein Fehler d =, h = H(d) = S = h P = ( ) = ( ) WS 26/7 M. Werner 22 / 4 osg.informatik.tu-chemnitz.de Fehlerfall Beispiel 2: Fehler d =, h = H(d) = S = h P = ( ) = ( ) The syndrom equals ( ) meaning that the fault is at position 5 of h (counted from right) WS 26/7 M. Werner 23 / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 24 / 4 osg.informatik.tu-chemnitz.de

7 Parity and Complement Parität kann üblicherweise nur Fehler feststellen, nicht korrigieren Mit einem algorithmischen Trick geht es doch Idee: Schreiben des Komplements auf die gleiche Adresse zum Fehler zu korrigieren Fehlermodell: max. Bit stuck-at-x Beispiel: st write Originaldatum st read Paritätsfehler D D Datenkomplement 2 nd write Datenkomplement 2 nd read Paritätsfehler D D Komplement (korrigiertes Datum) Systemdiagnose Bei der Systemdiagnose (system-level diagnosis oder einfach system diagnosis) wird versucht, durch gegenseitiges Überprüfen von Verarbeitungseinheiten festzustellen, wer korrekt und wer fehlerhaft ist. Es existiere ein Test (Knoten A testet Knoten B) der eine Aussage korrekt oder fehlerhaft zurückgibt Ziel: Als defekt erkannt Knoten sollen nicht mehr verwendet werden Problem: Falschaussagen defekter Knoten über andere Knoten Fragestellungen (Wann) kann eine Lösung existieren? (Charakterisierung) Wie sieht die Lösung aus? WS 26/7 M. Werner 25 / 4 osg.informatik.tu-chemnitz.de t-diagnostizierbarkeit und Syndrom WS 26/7 M. Werner 26 / 4 osg.informatik.tu-chemnitz.de PMC-Modell Ein System heißt t-diagnostizierbar, wenn für jede beliebige Verteilung von bis zu t Fehlern im System jeder dieser Fehler erkannt und lokalisiert werden kann Annahme: Es gibt einen externen Beobachter, der die Ergebnisse der Tests einsammeln und bewerten kann Die Menge der Ergebnisse wird Syndrom genannt Ein System ist genau dann t-diagnostizierbar, wenn es zu jeder Fehlerverteilung mit bis zu t Fehlern unterscheidbare Syndrome gibt Anmerkung: In Systemen, die mit Zeit arbeiten, werden auch andere Formelzeichen benutzt, z.b. f-diagnostizierbarkeit PMC-Modell von PREPARATA, METZE und CHIEN, 967 Folgende Annahmen über Testausgänge gelten: Tester Testkandidat Testausgang korrekt korrekt korrekt korrekt fehlerhaft fehlerhaft fehlerhaft korrekt unbestimmt fehlerhaft fehlerhaft unbestimmt Zur Vereinfachung sei ein Testausgang korrekt mit bezeichnet und ein Testausgang fehlerhaft mit WS 26/7 M. Werner 27 / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 28 / 4 osg.informatik.tu-chemnitz.de

8 Diagnostizierbarkeit im PMC-Modell Diagnostizierbarkeit im PMC-Modell (Forts.) Unter der Bedingung, dass sich keine zwei Knoten jeweils gegenseitig testen, gilt Theorem 7. Ein System ist dann t-diagostizierbar, wenn n 2t + Jeder Knoten wird wenigstens von t anderen Knoten getestet Allgemeiner Fall: Theorem 7.2 Ein System G(V, E) ist genau dann t-diagostizierbar, wenn n 2t + v V : Γ (v) t p N, p < t, X V, X = n 2t + p Γ(X) > p Γ(Z): Menge der von den Knoten aus Z getesteten Knoten, Γ (Z): Menge der Tester von Knoten aus Z WS 26/7 M. Werner 29 / 4 osg.informatik.tu-chemnitz.de Beweis von Theorem 7. WS 26/7 M. Werner 3 / 4 osg.informatik.tu-chemnitz.de Beweis von Theorem 7. (Forts.) Notwendigkeit. Um die Notwendigkeit zu beweisen, reicht jeweils ein Gegenbeispiel Notwendigkeit von n 2t + : Notwendigkeit von Γ (v) t: Hinlänglichkeit. Annahme des Gegenteils: S sei System mit n 2t + (A.) Γ (v) t (A.2) S sei nicht t-diagnostizierbar, es gibt zwei unterschiedliche Fehlermengen F und F 2, die zum gleichen Syndrom S führen Wenn F und F 2 ununterscheidbar sein sollen, darf kein Element, das nur in F oder F 2 enthalten ist, von einem Element getestet werden, das in V \(F F 2 ) (also immer fehlerfrei) ist WS 26/7 M. Werner 3 / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 32 / 4 osg.informatik.tu-chemnitz.de

9 Beweis von Theorem 7. (Forts.) Beweis von Theorem 7. (Forts.) Notationen: F Z Y Y = F F 2 (Menge der immer fehlerhaften Elemente) Z = F Y, (Menge der nur in F fehlerhaften Elemente) Z 2 = F 2 Y (Menge der nur in F 2 fehlerhaften Elemente) X sei die Menge der in beiden Fällen korrekten Elemente, X = V (F F 2 ) Sei E(A, B) = {(v, v 2 ) V v A, v 2 B, v 2 Γ(v )}, also Tests von Elementen von B aus der Menge A X Z Z 2 E(A, B) ist die Anzahl von Test, die Elemente aus A an Elementen aus B durchführen F 2 WS 26/7 M. Werner 33 / 4 osg.informatik.tu-chemnitz.de Beweis von Theorem 7. (Forts.) Wieviel Tests kann kann es innerhalb einer Menge A von Elementen geben, wenn sich nie zwei Elemente gegenseitig testen Sektgläserproblem? Ein Element kann maximal A andere testen, das nächste noch A 2, etc. Lemma 7. Wenn sich keine zwei Elemente gegenseitig testen, gilt für jede Menge A: E(A, A) A ( A ) 2 WS 26/7 M. Werner 34 / 4 osg.informatik.tu-chemnitz.de Beweis von Theorem 7. (Forts.) Betrachten Tests von Elementen aus Z (laut (A.2)): Z t E(Z, Z ) + E(Z 2, Z ) + E(Y, Z ) Analog Tests von Elementen aus Z 2 : E(Z, Z ) + E(Z 2, Z ) + Y Z () Z 2 t E(Z 2, Z 2 ) + E(Z, Z 2 ) + E(Y, Z 2 ) E(Z 2, Z 2 ) + E(Z, Z 2 ) + Y Z 2 (2) E(A, B) E(B, A) A B wenn A B = (Lemma 7.a) WS 26/7 M. Werner 35 / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 36 / 4 osg.informatik.tu-chemnitz.de

10 Beweis von Theorem 7. (Forts.) Addiere ()+(2): ( Z + Z 2 ) t E(Z, Z ) + E(Z 2, Z 2 ) + Bei Beachtung von Lemma 7. und 7.a: + Y ( Z + Z 2 ) + E(Z, Z 2 ) + E(Z 2, Z ) ( Z + Z 2 ) t 2 ( Z ( Z ) + Z 2 ( Z 2 ))+ 2 t Z + 2 Y + Z 2 2 t Z + Y + Z 2 + Y }{{}}{{} = F t = F 2 t + Y ( Z + Z 2 ) + Z Z 2 Beispiel für Diagnosealgorithmus Algorithmus von SULLIVAN (modifiziert). Konstruiere den L-Graph (Disagreement-Graph) Zwischen v und v 2 existiert eine Kante, wenn aus der Annahme v sei korrekt direkt oder indirekt folgt, dass v 2 fehlerhaft ist 2. Finde ein maximales Matching im L-Graph 3. Weise einem Knoten, der nicht im Maching ist, den Zustand korrekt zu und diagnostiziere von diesen Knoten aus das System Widerspruch zu (A.) WS 26/7 M. Werner 37 / 4 osg.informatik.tu-chemnitz.de BGM-Modell WS 26/7 M. Werner 38 / 4 osg.informatik.tu-chemnitz.de Diagnostizierbarkeit im BGM-Modell BGM-Modell von BARSI, GRANDONI und MAESTRINI, 976 Folgende Annahmen über Testausgänge gelten: Tester Testkandidat Testausgang korrekt korrekt korrekt korrekt fehlerhaft fehlerhaft fehlerhaft korrekt unbestimmt fehlerhaft fehlerhaft fehlerhaft Notwendige Bedingung für t-diagnostizierbarkeit im BGM-Modell Theorem 7.3 Ein System S sei im BGM-Modell t-diagnostizierbar. Dann gilt: n t + 2 Es gibt auch eine allgemeine (hinreichende und notwendige) Bedingung zur t-diagnostizierbarkeit, aber die ist etwas komplizierter und wird hier ausgelassen WS 26/7 M. Werner 39 / 4 osg.informatik.tu-chemnitz.de WS 26/7 M. Werner 4 / 4 osg.informatik.tu-chemnitz.de

11 Problemvarianten Es gibt eine Reihe weiterer Variation zum Diagnoseproblem, z.b.: Sequentielle Diagnose: Einzelne Elemente werden als fehlerhaft erkannt und ersetzt; dann wird die Diagnose fortgeführt Alternative Diagnosemodelle Mengendiagnose: Es wird eine Menge X, X > t ermittelt, die alle fehlerhaften Elemente enthält Ergebnispropagierung: Wie müssen die Testergebnisse übertragen werden, wenn sie nicht zentral eingesammelt sondern über die Knoten geroutet werden WS 26/7 M. Werner 4 / 4 osg.informatik.tu-chemnitz.de