Redundanz als Grundlage von Fehlertoleranz/Fehlerkorrektur

Transkript

1 Redundanz als Grundlage von Fehlertoleranz/Fehlerkorrektur

2 Inhalt 1. Einführung und Begriffsdefinition 2. Übersicht Merkmale und Aktivierungsarten 3. Merkmale 1. Strukturelle Redundanz 2. Funktionelle Redundanz 1. Zusatzfunktion 2. Diversität 3. Informationsredundanz 4. Zeitredundanz 4. Aktivierung 1. Statisch 2. Dynamisch 3. Hybrid Proseminar Fehlertoleranzverfahren 2

3 Begriffsdefinition Redundanz bezeichnet über den Bedarf des Nutzbetriebs hinausgehende zusätzliche Mittel (Komponenten, Funktionen) bei Fehlerfreiheit entbehrliche Mittel (Paritätsbits, Schaltkreise, Programme zur Verwaltung zusätzlicher BMs, auch Ausführungszeit) ungenutzte Mittel, auch wenn sie nicht zur FT beitragend (BCD Code) FT Fähigkeit selbst ist keine Nutzfunktion Unbenutzte Redundanz im weiteren nicht beachtet Proseminar Fehlertoleranzverfahren 3

4 Kein Allheilmittel Proseminar Fehlertoleranzverfahren 4

5 Nutzen und Auswirkungen Nutzen der Redundanztechnik abhängig von dem jeweiligen FT Verfahren der Anzahl der zusätzlichen Mittel Mehr Mittel können, aber müssen nicht die Überlebenswahrscheinlichkeit eines Systems erhöhen: zuverlässige Komponenten höhere Überlebenswahrscheinlichkeit unzuverlässige Komponenten niedrigere Überlebenswahrscheinlichkeit Proseminar Fehlertoleranzverfahren 5

6 Merkmale und Aktivierungsarten Proseminar Fehlertoleranzverfahren 6

7 Merkmale FT besteht meistens aus Kombinationen von redundanten Mitteln Jedes solche Mittel lässt sich nach verschiedenen Merkmalen beschreiben: Struktur, Funktion, Information, Zeit Wichtig: Verschiedene Aspekte eines einzelnen Mittels Benennung nach hervorstehendem Aspekt üblich Jedes redundante Mittel weist alle Merkmale mehr oder weniger auf Proseminar Fehlertoleranzverfahren 7

8 Strukturelle Redundanz I Erweiterung eines Systems um für den Nutzbetrieb entbehrliche Komponenten (gleich oder andersartig) (zusätzliche Rechner in einem Mehrrechnersystem, zusätzliche Kopien von Dateien) Vergrößerung der Komponentenzahl (Rechnercluster, RAID Systeme) Unterscheidung von ursprünglichen und zusätzlichen Komponenten bei Gleichheit aber nicht möglich: Mehrere Exemplare einer Komponente bzw. eines Subsystems Proseminar Fehlertoleranzverfahren 8

9 Strukturelle redundante Hardware i.a. erhebliche Zusatzkosten Hardwareaufwand aus Kostengründen möglichst gering halten meistens in Verbindung mit Maßnahmen zur Leistungssteigerung: Reserven in Mehrrechnersystem selten Verteilung der Auftragslast über alle fehlerfreien Rechner Proseminar Fehlertoleranzverfahren 9

10 Funktionelle Redundanz Erweiterung eines Systems um im Nutzbetrieb entbehrliche Funktionen Redundante Funktionen dienen nur dem Fehlertolerierungsbetrieb: Testfunktionen Rekonfigierungsfunktionen in Mehrrechnersystemen Verwaltung von Ersatzrechnern und prozessen durch das BS Umgehen von fehlerhaften Knoten beim Nachrichtentransfer Proseminar Fehlertoleranzverfahren 10

11 Funktionelle Redundanz II allesamt sogenannte Zusatzfunktionen: Unterscheiden sich in ihrer Spezifikation und Implementierung von Nutzbetriebs Funktionen Erbringung häufig durch FTIs (Erzeugung eines Paritätsbits durch zusätzliche Gatter) Umsetzung redundanter Funktionen meistens, aber nicht zwingend, durch redundante Komponenten strukturelle und funktionelle Redundanz hängen eng zusammen Proseminar Fehlertoleranzverfahren 11

12 Diversität Reine Replikation schützt nicht vor Entwurfsfehlern (fehlerhafte Problemanalyse, Übervereinfachung, Grenzfälle) Tolerierung durch verschiedene Implementierungen einer Funktion Darstellung f n als diversitäres Exemplar oder Variante einer Funktion f Modellierung meist durch Komponentenexemplare K n Proseminar Fehlertoleranzverfahren 12

13 Diversität II Hilft auch gegen Betriebsfehler, v.a. störungsbedingte Fehler, Bedienungs und Wartungsfehler: Diversitäre Exemplare reagieren unterschiedlich auf gleiche Fehlerauswirkungen In ihrer Gesamtheit bleibt eine diversitäre Komponente somit häufiger fehlerfrei Gleichzeitige Datenspeicherung auf Halbleiterspeichern (ROM, RAM, Flash) und Magnetplattenspeichern (Festplatten): Elektromagnetische Störungen beschränken sich eher auf erstere, mechanische Stöße eher auf letzere Proseminar Fehlertoleranzverfahren 13

14 Diversität III höhere Zuverlässigkeit nur bis zu einer gewissen Grenze, abhängig von Schwierigkeit des zu lösenden Problems Anzahl der Entwurfs Varianten Anzahl der Varianten nicht einfach vorhersehbar: Erfordert Statistische Fehleranalyse oder Feststellung im Betrieb Spezifikation muss Entwurfsspielraum erlauben: zu wenig keine Diversität möglich zu viel missverständliche Aufgabenstellung Proseminar Fehlertoleranzverfahren 14

15 Umsetzung von Diversität Annahme: Verschiedene Entwickler begehen eher unwahrscheinlich die gleichen Fehler Implementierung aller Varianten durch separate Teams verhindert die Verbreitung von Denkfehler Nachteile: schwer quantifizierbarer Nutzen vs. hohe Kosten missverständliche oder fehlerhafte Spezifikationen führen oft zu gleichen Entwurfsfehlern Proseminar Fehlertoleranzverfahren 15

16 Umsetzung von Diversität II Unabhängiger Entwurf Unterbindung der Kommunikation zwischen getrennten Teams freie Wahl der Programmiersprache, Bibliotheken, usw. Nachteil: kann zufälligerweise zu ähnlichen/gleichen Fehlern führen Gegensätzlicher Entwurf Gemeinsame Besprechung durch alle Teams Zuweisung einzelner Entwurfsvarianten an jeweils ein Team bessere Nutzung des Entwurfsspielraums Ausschluss eines zufällig gleichen Entwurfs Nachteil: Fehlentscheidungen bereits bei der Vorbesprechung Proseminar Fehlertoleranzverfahren 16

17 Umsetzung von Diversität III Typische Projektphasen: Phase Vorgegebenes Objekt Tätigkeit 1 Problem Problemanalyse 2 Pflichtenheft Formalisierung 3 Spezifikation Implementierung 4 Module Test 5 Funktionsfähiges System Installation 6 Angewandtes System Betrieb/Wartung Objekt der Phase a ist Spezifikation für mehrere Varianten des Objekts der Phase a + 1 Aufspaltung in mehrere Varianten in jeder Phase möglich Zusammenführung in ein einziges Objekt in einer Phase b > a Proseminar Fehlertoleranzverfahren 17

18 Umsetzung von Diversität IV Direkte Erzeugung von Objekten verschiedener nachfolgender Phasen: Erstellung einer Spezifikation ausgehend vom Pflichtenheft durch Team A direkte Implementierung durch Team B Überprüfung der Korrektheit der Implementierung bzgl. der Spezifikation durch formale Verifikation: bei Erfolg: Spezifikations oder Implementierungsfehler unwahrscheinlich bei Misserfolg: Wiederholung oder Abbruch aus Aufwandsgründen Vorteile: zur Laufzeit nur eine Variante im Betrieb (keine aufwändige Auswahl eines korrekten Ergebnisses zur Laufzeit) hoßes Maß an Diversität da gegensätzlicher Entwurf Proseminar Fehlertoleranzverfahren 18

19 Anwendungsbeispiele von Diversität b = 3: UND Verknüpfung drei verschiedener Spezifikationen, wenn möglich bei Widersprüchen minimale Anzahl verknüpfbarer Spezifikationen auswählen b = 4 und b = 5: Verwendung von Testdaten zur Bestimmung einer fehlerfreien Variante Mit Kenntnis der Korrektheit einer Antwort: Aussondern fehlerhafter Varianten Ohne Kenntnis: Mehrheitsentscheidung durch relative Mehrheit Vorteil: Kann automatisiert werden, da keine Überprüfung notwendig b = 6: Auswahl des korrekten Ergebnisses mehrerer Varianten zur Laufzeit Proseminar Fehlertoleranzverfahren 19

20 Anwendungsbeispiele von Diversität II Proseminar Fehlertoleranzverfahren 20

21 Informationsredundanz Zusätzliche Information neben der Nutzinformation gestattet Erkennung, ggf. auch Lokalisierung und Behandlung von Fehlern bei der Speicherung und Übertragung weniger geeignet bei der Verarbeitung, weil dort sehr aufwändig (ALU des Prozessors) erfordert funktionelle Redundanz zur Erzeugung sowie strukturelle Redundanz zur Realisierung des Erzeugers (Verschiedene Merkmale der Redundanz eines Gesamtsystems) Fehlfunktions Annahme: k Binärstellen Ausfall (analog zu Fehlerbereichen aus der strukturbezogenen Begrenzung) Proseminar Fehlertoleranzverfahren 21

22 Beispiele zur Informationsredundanz Erkennung von 1 Bit Fehler durch Paritätsbits Summe aller Bits modulo N; gerade, dann 0, sonst 1 anhängen (Even Parity, bei Odd Parity anders herum) Formaleres Vorgehen bei mehreren fehlerbehafteten Bits: Verwendung von Codes und Mindesthammingdistanz (bekannt aus Info I und II) Hammingdistanz: Anzahl der Bits, in denen sich zwei Binärwörter unterscheiden Mindesthammingdistanz: Minimum der Hammingdistanzen aus einer Menge an Codewörtern Proseminar Fehlertoleranzverfahren 22

23 Beispiele zur Informationsredundanz II Zur Fehlererkennung: d k + 1 Verfälschung von bis zu k Bits erzeugt kein anderes gültiges Codewort Zur Fehlerkorrektur: d 2 k + 1 Verfälschung von bis zu k Bits belässt den Abstand zum ursprünglichen Codewort immer noch kleiner als zu anderen gültigen Codewörtern Proseminar Fehlertoleranzverfahren 23

24 Beispiele zur Informationsredundanz III Viele zusätzliche Binärstellen für kleine Codes, bei höherer Gesamtstellenanzahl sinkt der Anteil aber. {00000, 00111, 11100, 11011} und d = 3 Nutzinformation auch durch nur 2 Bits darstellbar, scheinbar hoher Redundanzaufwand von 3 zusätzlichen Bits. Bei 32 Nutzbits und gewünschter Fehlerkorrektur braucht man insgesamt nur noch 38 Bits Proseminar Fehlertoleranzverfahren 24

25 Beispiele zur Informationsredundanz IV Nicht beschränkt auf Codierung Doppelt verkettete Listen beschleunigen nicht nur die Suche, sondern bieten auch Informationsredundanz: Informationsredundanz wohl effizientestes FTV, solange sich Fehler auf eine bestimmte Anzahl von Binärstellen oder Teilinformationen beschränken Proseminar Fehlertoleranzverfahren 25

26 Zeitredundanz Über den Zeitbedarf des Normalbetriebs hinausgehende zusätzliche Zeit nahezu jede Art von Fehlertolerierungsbetrieb benötigt Zeit kein absoluter Zeitwert, sondern Höchstdauer Zeitaufwand abhängig vom Verfahren: Bruchteile bis Vielfache des Normalbetriebs Wiederholungsbetrieb typischerweise sehr langwierig (Rekonstruierung von Platten in RAID Systemen) meist Angabe der Gesamtausführungsdauer (auch Reaktionszeit, Antwortzeit) bis zur Ausgabe eines fehlerfreien Ergebnisses Proseminar Fehlertoleranzverfahren 26

27 Aktivierung Definiert den Benutzungszeitpunkt redundanter Mittel zu unterstützende Funktionen des Nutzbetriebs sind solche, die durch redundante Mittel fehlertolerant erbracht werden sollen Statisch (funktionsbeteiligte Redundanz) Während des gesamten Einsatzzeitraums vorhanden ständiger Beitrag zu den zu unterstützenden Funktionen Dynamisch (Reserveredundanz) Aktivierung erst im Ausnahmebetrieb Unterscheidung in Primär und Ersatz /Sekundär /Reservekomponenten dementsprechend auch Primär bzw. Ersatzsysteme Hybrid Dynamische Veränderung (Rekonfigurierung) an sich statischer redundanter Mittel Proseminar Fehlertoleranzverfahren 27

28 Statische Redundanz Statische strukturelle Redundanz Mehrheitsentscheid durch erhöhte Anzahl von Komponenten Exemplaren Statische funktionell Redundanz durch Zusatzfunktionen Erweiterung der Funktion Sende Nachricht um eine Zusatzfunktion, die den Nachrichtentransfer über mehrere verschiedene Wege leitet; Empfänger vergleicht ob beide Nachrichten übereinstimmen und so Fehler erkennen. Statische funktionell Redundanz durch Diversität Mehrheitsentscheid zwischen Varianten einer diversitären Funktion Statische Informationsredundanz Erzeugung des Codeworts über Nutzinformationen vor dem Senden, Prüfung zur Fehlererkennung/ korrektur auf Seite des Empfängers Statische Zeitredundanz Mehrfache Ausführung einer Funktion, bspw. Mittelung von Messwerten um kurzzeitige Peaks zu vermeiden Proseminar Fehlertoleranzverfahren 28

29 Dynamische Redundanz Dynamische strukturelle Redundanz Kopieren von Primärdateien auf Magnetband als Ersatzdateien, die bis zum Fehlerfall nicht les oder schreibbar sind Dynamische funktionelle Redundanz durch Zusatzfunktionen Sender schickt eine Nachricht und wartet auf positive Quittierung vom Empfänger, falls dafür ein Zeitlimit überschritten wird, wird die Nachricht durch eine Zusatzfunktion nochmals übermittelt Dynamische funktionelle Redundanz durch Diversität Von Varianten f 1, f 2 einer Funktion wird f 2 nur dann ausgeführt, wenn der Rückgabewert von f 1 auf einen Fehler schließen lässt Dynamische Informationsredundanz wie bei dynamisch strukturell, aber in Bezug auf die Information in der Datei Dynamische Zeitredundanz Ausnahme und Wiederholungsbetrieb, bspw. zum Kopieren der Inhalte einer Ersatzdatei in die Primärdatei Proseminar Fehlertoleranzverfahren 29

30 Dynamische Redundanz II Erlaubt im Normalbetrieb keine Unterstützung von Nutzfunktionen, aber keine vollkommene Passivität gefordert: Ungenutzte Redundanz Im Normalbetrieb vollkommen passive redundante Mittel Fremdgenutze Redundanz Von den zu unterstützende Funktionen verschiedene Funktionen werden erbracht, (Komprimieren von Logdateien, Leeren von temporären Verzeichnissen) Gegenseitige Redundanz Komponenten stehen sich gegenseitig als Reserve zur Verfügung und übernehmen im Fehlerfall die Funktionen einer anderen Komponente zusätzlich zu den eigenen Proseminar Fehlertoleranzverfahren 30

31 Vorteile gegenseitiger Redundanz Maximale Leistung im Normalbetrieb: alle Komponente tragen zur Erbringung der Funktionen bei Fehler bewirken lediglich eine Leistungsminderung durch Mehrlast auf einzelne Komponenten Keine Festlegung, welche Komponenten primär, Reserve sind Ermöglicht Lastverteilung auf fehlerfreie Komponenten zur Laufzeit (Rechnercluster) Proseminar Fehlertoleranzverfahren 31

32 Ein abschließendes Beispiel Gesamtsystem aus mehreren gleichartigen gegenseitige Redundanz Rechnern Fehlerkorrektur Code im Arbeitsspeicher statische Informationsredundanz jedes Rechners Kommunikation zwischen den Rechner über verschiedene Wege Wiederholung einer Nachricht im Fehlerfall statisch funktionelle Redundanz durch Zusatzfunktion dynamische funktionelle Redundanz über einen anderen Weg Übermittlung von Nachrichten zwischen Prozessen auf mehreren Bussen, Mehrheitsentscheid beim Empfänger Zwei Ersatzprozesse je Anwendungsprozess statische strukturelle Redundanz bei Bussen und Nachrichten, statisch funktionelle Redundanz der Sendefunktion dynamische strukturelle Redundanz Proseminar Fehlertoleranzverfahren 32

33 Vielen Dank für Ihre Aufmerksamkeit Proseminar Fehlertoleranzverfahren 33