Proseminar Fehlertoleranzverfahren WS 06/07

Transkript

1 Proseminar Fehlertoleranzverfahren WS 06/07 Redundanz als Grundlage von Fehlertoleranz/Fehlerkorrektur Philipp Reichart 1/11

2 Einführung und Begriffsdefinition Redundanz als Grundlage jeglicher Verfahren zur Fehlertoleranz und Fehlerkorrektur bezeichnet zusätzliche Mittel, die über den eigentlichen Bedarf des Nutzbetriebs hinausgehen. Je nach Art der Redundanz können dies zusätzliche Komponenten, Funktionen oder abstraktere Mittel wie Zeit, Entwürfe und Spezifikationen sein. Solche bei Fehlerfreiheit entbehrliche Mittel findet sich beispielsweise in Form von Paritätsbits, zusätzlichen Schaltkreisen, in Programmen zur Verwaltung zusätzlicher Betriebsmittel und eben auch in Form längerer Ausführungszeit. Zu beachten ist hierbei, dass die Fehlertoleranzfähigkeit eines Systems an sich keine Nutzfunktion darstellt. Ungenutzte Mittel, die nicht zur Fehlertoleranz beitragen, zählen zwar auch zum Begriff der Redundanz, werden hier aber nicht weiter betrachtet. Der Vollständigkeit halber sei als Beispiel für ungenutzte Redundanz der BCD-Code erwähnt, der in RAM-Bausteinen Verwendung findet und dort weniger Bits auf den Speicherelementen nutzt, als theoretisch möglich wäre; die verbleibenden Bits liegen brach, werden nicht zur Fehlertoleranz genutzt. Nutzen und Auswirkungen Redundanz ist bei weitem kein Allheilmittel, ihr Nutzen hängt vor allem von der Anzahl der zusätzlichen Mittel und dem jeweiligen Fehlertoleranzverfahren ab. Mehr Mittel bedeuten aber nicht zwangsläufig eine Verbesserung der Überlebenswahrscheinlichkeit eines Systems. Diese hängt vor allem von der Zuverlässigkeit der einzelnen Komponenten ab, wobei zuverlässigere Komponenten die Überlebenswahrscheinlichkeit des Gesamtsystems im allgemeinen erhöhen, unzuverlässigere sie dagegen senken. Abb. 1 zeigt exemplarisch an einem redundanten System mit dreifacher Komponentenzahl aber unzuverlässigen Komponenten, dass Redundanz hier nur bis zu einem gewissen Zeitpunkt T eine Verbesserung der Überlebenswahrscheinlichkeit erbringt. Danach Übersteigen die Ausfallwahrscheinlichkeiten der einzelnen Komponenten die Fähigkeiten der Redundanz und das nicht redundante System übernimmt. 2/11

3 Abb 1: Überlebenswahrscheinlichkeit eines redundanten und eines nicht redundanten Systems über Zeit bei unzuverlässigen Komponenten Merkmale und Aktivierungsarten Fehlertoleranz besteht meistens aus einer Kombination mehrerer redundanter Mittel, die durch die vier Merkmale Struktur, Funktion, Information und Zeit beschrieben werden können. Diese Merkmale sind in mehr oder weniger starken Ausprägungen in allen redundanten Mitteln vorhandenen. Zur Bennenung der Mittel beschränkt man sich jedoch auf den jeweils hervorstehenden Aspekt der Redundanz. Strukturelle Redundanz Bei der Strukturellen Redundanz wir das System um für den Nutzbetrieb entbehrliche Komponenten erweitert. Zum Beispiel können in einem Mehrrechnersystem zusätzliche Rechner ergänzt oder Dateien in mehrfachen Kopien vorgehalten werden. Weitere typische Beispiele, bei denen durch eine Vergrößerung der Komponentenzahl Redundanz strukturell erbracht wird, sind Rechnercluster und RAID-Systeme. Teilweise kann auf grund absoluter Gleichheit zwischen ursprünglichen und zusätzlichen Komponenten nicht unterschieden werden, man spricht dann von mehreren Exemplaren einer Komponente, bzw. auf höheren Ebenen von Exemplaren eines Subsystems. Häufig ist strukturelle Redundanz in Hardware anzutreffen, wo sie sehr effektiv umgesetzt werden kann. Dennoch entstehen hier erhebliche Zusatzkosten, und so wird versucht den Hardwareaufwand möglichst gering zu halten oder zumindest die Mehrkosten durch eine Leistungssteigerung abzufangen. Somit gibt es in Mehrrechnersystemen selten ungenutzte 3/11

4 Reserven, vielmehr wird die Auftragslast über alle fehlerfreien Rechner verteilt, um die zur Verfügung stehende Hardware möglichst voll auszunutzen. Funktionelle Redundanz Erweitert man ein System um zusätzliche Funktionen, so spricht man von funktioneller Redundanz. Solche redundanten Funktionen dienen ausschließlich dem Fehlertolerierungsbetrieb, erbringen also keine Nutzfunktionen. Als Beispiele nennen lassen sich Testfunktionen, die Ergebnisse von Nutzfunktionen überprüfen, Rekonfigurierungsfunktionen in Mehrrechnersystemen, die den Datenfluss des Nutzbetriebs um fehlerhaft gewordene Rechner herumleiten oder die Verwaltung von Ersatzrechnern und -prozessen durch das Betriebssystem. Allesamt sind dies sogenannte Zusatzfunktionen, da sie sich in ihrer Spezifikation und Implementierung grundlegend von Funktionen des Nutzbetriebs unterscheiden. Erbracht werden solche redundanten Funktionen häufig durch Fehlertoleranzinstanzen, wie im Fall einer Funkion, die Paritätsbits erzeugt. Die Umsetzung von Zusatzfunktionen erfolgt oft aber nicht zwingend durch redundante Komponenten; es besteht also meist ein enger Zusammenhang zwischen funktioneller und struktureller Redundanz. Diversität Wegen ihrer weiten Verbreitung soll eine Art der funktionellen Redundanz hier besondere Erwähnung finden. Reine Replikation bietet keinen Schutz vor Entwurfsfehlern, wie Mängeln bei der Problemanalyse, Übervereinfachung von Sachverhalten oder dem schlichten Ignorieren von Grenzfällen. Solche Fehler lassen sich durch Diversität tolerieren, dem mehrfachen Entwurf und der verschiedenen Implementierung einer Nutzfuntkion. Solche diversitären Exemplare oder Varianten einer Funktion f werden dargestellt als f n und meistens durch Komponentenexemplare K n dargestellt. Abb 2: Ein Komponentenexemplar mit drei Varianten einer Funktion f als Modellierung der Diversität Zudem erlaubt Diversität die Tolerierung von Betriebsfehlern, hier vor allem störungsbedingten 4/11

5 Fehlern, Bedienungs- und Wartungsfehler, da diversitäre Exemplare auf die gleichen fehlerhaften Einwirkungen unterschiedlich reagieren und somit eine Komponente in ihrer Gesamtheit wahrscheinlicher fehlerfrei bleibt, da andere Varianten möglicherweise nicht von den Fehleinwirkungen beeinträchtigt werden. Ein Beispiel dafür wäre die gleichzeitige Speicherung von Daten auf Halbleiterspeichern (ROM, RAM, Flash) und Magnetplattenspeichern (Festplatten): Elektromagnetische Störungen beschränken sich eher auf erstere, mechanische Stöße eher auf letzere. Insgesamt hat der Datenspeicher somit eine höhere Überlebenswahrscheinlichkeit als ein solcher, der nur eine Art der Speicherung verwendet. Diversität kann nur bis zu einer gewissen Grenze eine Steigerung der Zuverlässigkeit erbringen, die vor allem von der Schwierigkeit des zu lösenden Problems und der Anzahl der Entwurfsvarianten abhängt. Für sehr komplexe Probleme gibt es teils nur wenige, teils nur überproportional schwierige Lösungsansätze, so dass die Menge an verschiedenen Entwürfen schon alleine durch den vertretbaren Aufwand beschränkt sein kann. Wie hoch die maximale Anzahl von Varianten ist, lässt sich nur statistisch, manchmal sogar nur im laufenden Betrieb feststellen. Im Zusammenhang mit der Anzahl an Entwurfsmöglichkeiten ist auch der durch die Spezifikation gegebene Entwurfsspielraum relevant: Eine sehr strikte Spezifikation, die kaum Raum für verschiedene Entwürfe lässt, verhindert Diversität ebenso wie eine sehr grobe, ungenaue Spezifikation zu viel Spielraum gewährt und damit Missverständnisse der Aufgabenstellung provoziert. Umsetzen lässt sich Diversität beispielsweise auf grund der Annahme, dass verschiedene Entwickler eher unwahrscheinlich den gleichen Fehler begehen. Man lässt also alle Varianten einer diversitären Funktion durch separate Teams implementieren und verhindert somit die Verbreitung von Denkfehlern zwischen den Teams, den Entwürfen und somit den Implementierungen. Nachteile sind hierbei aber der schwer quantifizierbare Nutzen, der gegen hohe Mehrkosten steht, sowie die Gefahr, dass sich durch missverständliche oder fehlerhafte Spezifikationen oft auch die gleichen Entwurfsfehler entwickeln. Unterscheiden kann man bei diesem Ansatz wiederum zwischen unabhängigem und gegensätzlicher Entwurf. Bei ersterem unterbindet man jegliche Kommunikation zwischen den einzelnen Teams und lässt ihnen freie Wahl bei der Programmiersprache, Bibliotheken, Compiler, usw. Dadurch riskiert man aber, dass durch Zufall gleiche Entwürfe und somit auch gleiche Fehler entstehen können. Dem entgegenzuwirken versucht der gegensätzliche Entwurf, der mit einer gemeinsamen Besprechung des Problems durch alle Teams beginnt. Den einzelnen Teams werden dabei spezifische Entwurfsvarianten zugewiesen, was den Vorteil einer besseren Nutzung des Entwurfsspielraums und den Ausschluss zufällig gleicher Entwürfe bietet. Allerdings können sich bereits bei der gemeinsamen Vorbesprechung Fehlentscheidungen einschleichen, die dann alle Teams gleichsam betreffen. Betrachtet man die typischen Phasen eines Projektes, lassen sich vielfältige Ansatzpunkte für Diversität finden. Hierzu muss man das Objekt einer Phase a als Spezifikation für mehrere Varianten des Objekts der Phase a + 1 ansehen. Diese Aufspaltung in mehrere Varianten ist in 5/11

6 jeder Phase möglich, ebenso die Zusammenführung in ein einziges Objekt in einer Phase b > a. Phase Vorgegebenes Objekt Tätigkeit 1 Problem Problemanalyse 2 Pflichtenheft Formalisierung 3 Spezifikation Implementierung 4 Module Test 5 Funktionsfähiges System Installation 6 Angewandtes System Betrieb/Wartung Abb 3: Typische Projektphasen Ein sehr aufwändiger, wenn auch bei Gelingen höchste Fehlerfreiheit versprechender Ansatz ist die direkte Erzeugung von Objekten verschiedenener Phasen. So erstellt ein Team ausgehend vom Pflichtenheft eine Spezifikation, während ein zweites Team direkt eine Implementierung fertigt. Im Anschluss wird versucht, die Korrektheit der Implementierung bezüglich der Spezifikation durch formale Verifikation nachzuweisen. Schlägt dies fehl, kann die Verifikation nach Bearbeitung von Spezifikation und/oder Implementierung wiederholt werden, bis der Aufwand nicht mehr vertretbar ist. Gelingt die Verifikation, hat man ein Programm, dass zu einem hohen Grad frei von Spezifikations- und Implementierungsfehlern ist, da hier starke Diversität in Form gegensätzlichen Entwurfs eingeflossen ist. Dies hat den Vorteil, dass zur Laufzeit nur eine Variante im Betrieb sein muss; die meistens sehr aufwändige Auswahl eines korrekten Ergebnisses zur Laufzeit aus mehreren Varianten entfällt somit. Verschiedene Kombinationen der Aufspaltung und Zusammenführung in den Phasen a und b erlauben eine Vielzahl von diversitären Umsetzungen: Findet die Zusammenführung in der Phase 3 statt, handelt es sich um eine UND-Verknüpfung mehrer Spezifikationen in eine einzige, die idealerweise alle Vorteile ineinander vereint. Sollten sich dabei Wiedersprüche ergeben, nimmt man stattdessen die minimale Anzahl widerspruchsfrei verknüpfbarer Spezifikationen. In den Phasen 4 und 5 kann man Testdaten zur Bestimmung einer fehlerfreien Variante verwenden; hat man dabei Kenntnis von der Korrektheit einer Antwort, kann man fehlerhafte Varianten einfach aussondern. Fehlt einem die Möglichkeit zur Überprüfung von Ergebnissen, können mehrere Varianten in einem Mehrheitsentscheid gegeneinander antreten und die relative Mehrheit der Ergebnisse entscheiden lassen, was zudem den Vorteil hat, nahezu vollständig automatisiert werden zu können. Auch möglich ist eine Zusammenführung in Phase 6, also im laufenden Betrieb, was aber auf grund des damit meist verbundenen hohen Aufwands nur in wenigen Fällen vertretbar ist. 6/11

7 Abb 4: Anwendungsbeipsiel von Diversität: Aufspaltung in Phase 3 in mehrere Module, Zusammenführung in Phase 6 durch Auswahl zur Laufzeit Informationsredundanz Unter Informationsredundanz versteht man zusätzliche Information neben der Nutzinformation, die der Erkennung und gegebenenfalls Lokalisierung bis hin zur Behandlung von Fehlern bei der Speicherung und Übertragung von Daten dient. Bei der Datenverarbeitung in der ALU eines Prozessors ist sie jedoch wegen des hohen Aufwands weniger geeignet. Informationsredundanz baut auf funktionelle Redundanz zur Erzeugung der zusätzlichen Information und wiederum auf strukturelle Redundanz zur Realisierung dieses Erzeugers. Analog zu den Fehlerbereichen aus der strukturbezogenen Begrenzung, geht man als Fehlfunktions-Annahme meist von einem k- Binärstellenausfall aus, also dem Auftreten von Fehlern in lediglich einer gewissen Anzahl von Bits. Während sich 1-Bit-Fehler noch durch Paritätsbits erkennen lassen, muss man bei potentiell mehreren fehlerbehafteten Bits auf formalere Werkzeuge zurückgreifen: Hier kommen Codes und die Mindesthammingdistanz zum Einsatz. Die Hammingdistanz gibt die Anzahl der Bits an, in denen sich zwei Binärwörter unterscheiden, die Mindesthammingdistanz ist nun die kleinste 7/11

8 Hammingdistanz aus einer Menge an Binärwörtern. Will man lediglich Fehler erkennen, reicht es Codes mit einer Mindesthammingdistanz von d k + 1 zu verwenden, da durch die Verfälschung von bis zu k Bits kein anderes gültiges Codewort erzeugt werden kann. Zur Korrektur von bis zu k Bitfehlern benötigt man eine Mindesthammingdistanz von d 2 k + 1; nur so ist garantiert, dass bei bis zu k fehlerhaften Bits die Hammingdistanz zum ursprünglichen Codewort immer noch kleiner als zu allen anderen gültigen Codewörtern ist. Abb 5: Vier Codewörter und alle fehlerhaften Wörter, die durch Fehlerkorrektur noch auf das ursprüngliche Codewort zurückgeführt werden können Nimmt man als Beispiel den Code {00000, 00111, 11100, 11011} und d = 3, erhält man eine sehr hohe Anzahl zusätzlicher Bitstellen, da die reinen Nutzinformation auch mit 2 Bits darstellbar wären, kann aber nach Abb. 5 alle Bitfehler, die bis zu 3 Bits verfälschen, erfolgreich korrigieren. Mit steigender Gesamtstellenanzahl sinkt der relative Anteil der zusätzlichen Binärstellen deutlich, bei 32 Nutzbits braucht man somit ingesamt nur 38 Bits für eine umfassende Fehlerkorrekturfähigkeit. Informationsredundanz beschränkt sich aber nicht nur auf Codierung, sondern findet sich beispielsweise auch in einer doppelt verketten Liste wieder. Hier ermöglichen die mehrfachen Referenzen zwischen Listenelementen nicht nur performante Suchfunktionen sondern auch das Erkennen und Korrigieren von Fehlern in der Verkettung. 8/11

9 Abb 6: In einer doppelt verketten Liste können fehlerhafte Verkettungen teilweise erkannt und korrigiert werden. Unter den Fehlertoleranzverfahren ist Informationsredundanz das wohl effizienteste, solange sich Fehler auf eine bestimmte und erwartete Anzahl von Binärstellen oder Teilinformationen beschränken. Zeitredundanz Letztendlich bezeichnet man mit Zeitredundanz das Vorhandensein von zusätzlicher Zeit, die über den Zeitbedarf des Normalbetriebs hinausgeht. Nahezu jede Art von Fehlertolerierungsbetrieb benötigt Zeit, die aber äußerst stark vom jeweiligen Verfahren abhängig ist. Die Spanne reicht hier von Bruchteilen bis zu Vielfachen des Zeitbedarfs des Normalbetriebs, und so gibt man eine Höchstdauer anstatt eines absoluten Zeitwerts an. Als typisches und sehr langwieriges Beispiel sei hier die Rekonstruierung einer Festplatte in einem RAID-System erwähnt. Meist gibt man die Gesamtausführungsdauer, auch Reaktionszeit oder Antwortzeit genannt, eines Systems an, bis dieses ein fehlerfreies Ergebnis liefert. Aktivierung Während die oben erwähnten Merkmale lediglich die verschiedenen Ausprägungen von Redundanz beschreiben, definiert die Aktivierung den Benutzungszeitpunkt eines redundanten Mittels. Im folgenden benötigen wir den Begriff der zu unterstützenden Funktion für Funktionen des Nutzbetriebs, die durch redundante Mittel fehlertolerant erbracht werden sollen. Grob lässt sich bei der Aktivierung zwischen statischer, auch funktionsbeteiligter Redundanz und dynamischer oder auch Reserveredundanz unterscheiden. Erstere ist über den gesamten Einsatzzeitraums vorhanden und arbeitet fortwährend den zu unterstützenden Funktion zu, zweitere wird erst im Ausnahmebetrieb aktiviert und unterscheidet zwischen Primär- und Ersatz- /Sekundär-/Reservekomponenten sowie dementsprechend Primär- und Ersatzsystemen. Als dritte Art gibt es noch hybride Aktivierung, bei der an sich statische redundante Mittel im Rahmen von Rekonfigurierung zur Laufzeit dynamisch verändert werden. Im Folgenden sollen mehrere Kombinationen aus Merkmalen und Aktivierungsarten erläutert werden: Statische strukturelle Redundanz findet man bei einem Mehrheitsentscheid durch eine erhöhte Anzahl von Komponenten-Exemplaren. Zusatzfunktionen stellen statisch funktionelle Redundanz zum Beispiel in Form einer Erweiterung einer Sende Nachricht -Funktion um eine Zusatzfunktion 9/11

10 dar, die den Nachrichtentransfer über mehrere verschiedene Wege leitet; der Empfänger vergleicht ob beide Nachrichten übereinstimmen und kann so Fehler erkennen. Für statische funktionelle Redundanz durch Diversität steht ein Mehrheitsentscheid zwischen mehreren Varianten einer diversitären Funktion. Die Erzeugung eines Codeworts über Nutzinformationen vor dem Senden und die Prüfung zur Fehlererkennung/-korrektur auf Seite des Empfängers stellt statische Informationsredundanz dar, die Mittelung von Messwerten zur Vermeidung von kurzzeitigen Peaks als mehrfache Ausführung einer Funktion ist Zeitredundanz. Dynamische strukturelle Redundanz ist beispielsweise das Kopieren von Primärdateien auf Magnetband als Ersatzdateien, die bis zum Fehlerfall nicht les- oder schreibbar sind; dies könnte man auch als dynamische Informationsredundanz werten, wenn man sich auf die Information in der Datei an sich bezieht. Wartet der Sender einer Nachricht auf positive Quittierung vom Empfänger und übermittelt bei Zeitüberschreitung die Nachricht erneut, liegt dynamische funktionelle Redundanz durch Zusatzfunktionen vor. Beispielhaft für dynamische funktionelle Redundanz durch Diversität ist bei Varianten f1, f2 einer Funktion f die ausschließliche Ausführung von f2, wenn der Rückgabewert von f1 auf einen Fehler schließen lässt. Bei Ausnahme- und Wiederholungsbetrieb, bspw. zum Kopieren der Inhalte einer Ersatzdatei in die Primärdatei, handelt es sich um dynamische Zeitredundanz. Während dynamische Redundanz im Normalbetrieb die Unterstützung von Nutzfunktionen nicht gestattet, fordert sie mit nichten vollkommene Passivität von den redundanten Mitteln. Ungenutzte Redundanz sind im Normalbetrieb vollkommen passive Mittel; das simple Brachliegen ist natürlich gestattet. Fremdgenutze Redundanz beschreibt das Erbringen von Funktionalitäten, die nicht der eigentlichen Nutzfunktion des Systems zuzuordnen sind, wie beispielsweise das Komprimieren von Logdateien oder das Aufräumen temporärer Verzeichnisse. Schließlich stellt gegenseitige Redundanz eine sehr vorteilhafte Verwendung von Komponenten dar, die sich untereinander als Reserve zur Verfügung stehen und im Fehlerfall die Funktion einer anderen Komponente zusätzlich zur eigenen Funktion übernehmen. So kann im Normalbetrieb durch das Beitragen aller Komponenten zur Erfüllung der Nutzfunktionen maximale Leistung erzielt werden. Fehler bewirken lediglich eine Leistungsminderung durch die Mehrlast auf einzelne Komponenten, nicht jedoch einen Leistungsausfall. Zudem kann man die Auftragslast zur Laufzeit optimal auf fehlerfreie Komponenten verteilen, da es keine Festlegung auf Primärund Ersatzkomponenten gibt; man denke an Rechnercluster. Ein abschließendes Beispiel Folgendes Rechnersystem baut grundlegend auf redundante Prinzipien auf, um eine möglichst hohe Überlebenswahrscheinlichkeit, Zuverlässigkeit und Verfügbarkeit zu gewährleisten. Das Gesamtsystem besteht aus einem Cluster mehrerer gleichartiger Rechner, die sich in Form gegenseitiger Redundanz die Auftragslast teilen und über mehrere verschiedene Wege miteinander kommunizieren. Dynamisch funktionelle Redundanz wiederholt eine Nachricht im 10/11

11 Fehlerfall auf einem anderen Weg. Auf jedem Rechner sichert statische Informationsredundanz in Form des Fehlerkorrektur-Codes ECC im Arbeitsspeicher die Datenintegrität. Nachrichten zwischen Prozessen werden über verschiedene Bussysteme übermittelt, zusätzlich wendet der Empfänger einen Mehrheitsentscheid an, um die Ausbreitung von Übertragungsfehlern weiter zu senken; hierbei handelt es sich um statische strukturelle Redundanz bei Bussen und Nachrichten und um statisch funktionelle Redundanz der Sendefunktion. Zusätzlich warten zwei Ersatzprozesse je Anwendungsprozess, um im Fehlerfall die Funktion im Sinne dynamisch struktureller Redundanz zu übernehmen. Dieses abschließende Beispiel stellt ein in mehreren Ebenen redundant ausgelegtes System dar, dass viele der hier beschriebenen Merkmale und Aktivierungsarten beinhaltet und die Funktion der Redundanz als Grundlage der Fehlertoleranz und Fehlerkorrektur nochmals verdeutlicht. Literatur Klaus Echtle: Fehlertoleranzverfahren (1990) Springer-Verlag GmbH, ISBN /11