И. Соммервилл - Инженерия программного обеспечения (1133538), страница 89
Текст из файла (страница 89)
Упрощенно, если в системе присутствуют компоненты А и В с вероятностями отказа Р„и Р„то вероятность отказа системы Р,будет такова: Р, Р„+ Р,. При возрастании числа зависимых компонентов вероятность отказа системы также возрастает. Если в системе очень много критических компонентов, то каждый компонент в отдельности должен быть очень надежным для того, чтобы вероятность Р, была низкой.
Для увеличения надежности компоненты могут дублироваться (см, главу 18). Тогда группа одинаковых компонентов, дублирующих друг друга, будет работать корректно так долго, пока хотя бы один компонент будет работать правильно. Это означает.
что, если вероятность отказа отдельного компонента равна Р„и все отказы независимы, вероятность отка. заР, этой гРУппы компонентов бУдет Рз = Р" ° Безотказность системы можно определить как нефункциональное требование, которое численно выражается через показатели, обсуждаемые в следующем разделе. Для вы. полнения нефункциональных требований безотказности необходимо дополнительно задать функциональные требования к системе, определяющие способы исключения систем. ных сбоев. Примеры таких требований следующие. 1. Установление определенного диапазона для всех величин, вводимых оператором, н системный контроль всех вводимых величин для проверки, попали ли они в этот диапазон.
2. Во время процесса инициализации система должна проверить все диски на наличие сбойных блоков. 3. Для реализации подсистемы управления остановом системы следует привлекать Х-вариантное программирование (специальный метод обеспечения отказоустойчивости ПО). 4. Система должна быть реализована в безопасном подмножестве языка Ас(а и прове рена с использованием статического анализа (см. главу 19).
Не существует простых правил, которые можно использовать для получения функцио. нальных требований безотказности. Органиэации — разработчики критических систем обычно имеют определенные знания о возможных требованиях безотказности и о том, как эти требования влияют иа фактическую безотказность системы.
34б Часть 1У. Критические системы 17.1.1. Показатели безотказности таблица 17.1. Показатели безотказности Показатель Объяснение Вероятность отказа в работе системы. Значение вероятности от- каза 0,001 означает, что сбой произойдет один раз на тысячу слу. чаев нормальной работы системы Значение частоты отказа 2/100 означает, что на каждые 100 единиц времени работы системы могут произойти два отказа. Этот показатель иногда называют интенсивностью отказов Вероятность отказа Частота отказа Среднее время безот- казной работы Это среднее время между двумя последовательными сбоями. Зна- чение 500 этого показателя означает, что сбой может ожидаться каждые 500 единиц времени Вероятность готовности системы к использованию. Значение работоспособности 0,998 означает, что на каждые 1000 единиц времени система будет готова к работе в 998 случаях Работоспособность Приведем для каждого показателя безотказности типы систем, к которым они могуг применяться.
1. Вероятность ппгкпзп. Наиболес подходит для систем, время функционирования которых или заранее не определсгю, или велико, причеи отказ в системе может иметь ссрьсзныс последствия. Примерами могут служить специальные защитные систс" лгы, в частности контроля па химическом производстве или аварийной остановки в энергосистемах. 2. Чпсгпоэп пи~зппп. Подходит для систем, от которых требуется регулярная длительная безотказная работа. Этот показатель можно использовать в требованиях, предъявляемых к банковской системе, обрабатывающей счета клиентов, илн к системс бронирования мест в гостинице. Первоначально показатели безотказности были разработаны для аппаратных компо. ментов.
Отказ отдельных аппаратных компонентов неизбежен из-за физических факторов: механический износ, электрический нагрев и т.д. Компоненты имеют определенный срок службы, поэтому наиболее широко используемым показателем безотказности оборудования является среднее время его безотказной работы. При отказе аппаратного компонента (особенно, если отказы часты) важным показателем является среднее время восста. новления, показывающее время его ремонта или замены. Из-за различной природы сбоев программного обеспечения и оборудования показатели надежности аппаратных средств не всегда приемлемы для описания требований бсзот. казности программного обеспечения. Сбои в работе программных компонентов — это явления скорее случайные, чем постоянные.
Обычно они проявляются только при определенных входных воздействиях. Если данные не повреждены, система чаще всего может продолжать работать, даже когда произошел сбой. В табл. 17.1 приведены показатели, которые используются для определения безотказ. ности и работоспособности программного обеспечения. Выбор показателей зависит от типа системы ПО и области ее применения. 17. Спецификация критических систем $47 $. Сумдгке влемя безотказной Рабоиас Может использоваться в системах, которые обрабатывают большие объемы данных, при этом времл между отказами должно быть больше среднего времени обработки транзакций.
Примеры систем, где этот пока. эатель может использоваться: текстовый редактор и автоматизированные системы проектирования. 4. Работоспособность Должен использоваться в системах, предназначенных для лепре. рывной работы. Примеры таких систем: телефонные комм>таторы и системы сигнализации на железной дороге. Существует три вида числовых показателей, которые можно использовать при оценке безотказности системы. 1. Число сбоев системы для заданного периода работы. Используется для вычисления вероятности отказа 2. Время (или количество транзакций) между сбоями системы. Используется для вычисления частоты отказа и среднего времени безотказной работы. 3.
Время ремонта или время на воссгановление работоспособности системы после сбоя. Используется длл измерения работоспособности. Рдиницы измерения, которые могут использоваться при измерении этих числовых по. казателей, — календарное время, время работьг процессора или, может быть, некоторая дискретная единица типа числа транзакций. В системах, которые тратят много времени на ожидание ответа на запрос, например телефонные коммугаторные системы, в качестве единицы времени должно быть использовано время работы процессора. Основной единицей измерения безотказности систем является календарное время. Календарное время является наиболее подходящей единицей измерения времени в системах, действующих непрерывно. Примером мокнут служить системы аварийной сигнализации, системы текущего контроля н другие типы управляющих систем. Системы, которые оперируют транзакциями, например банкоматы и системы резервирования авиабилетов, имеют различные нагрузки при функционировании в течение дия.
В этих случаях единицей измерения является число транзакций; тогда частота отказа будет равна числу сбойных транзакций, отнесенных к общему количеству обработанных транзакций. 17.1.2. Нефункциональные требования безотказности Во многих системных спецификациях требования безотказности тщательно не выпи. саны. Часто требования безотказности субъективны и неизмеряемы. Например, утверждение "программное обеспечение должно быть безотказным при нормальных условиях эксплуатации" бессмысленно. Квазиколнчественные утверждения "программное обеспечение должно иметь не более К сбоев на 1000 строк программного кода" бесполезны. Невозможно измерить число сбоев на 1000 строк кода, так как нельзя сказать, когда зти сбои будут обнаружены.
Эти утверхсдения ничего не говорят о поведении системы в процессе работы. Типы отказов, происходящие в системах, а также их послсдствил, эависяэ от природы этих отказов. При разработке требований безотказности необходимо идентифицировать различные типы отказов и определить, как опн должны обрабатываться. Типы системных отказов приведены в табл. 17.2. 348 '%яств 1У. Критические системы Таблица 17.2. Классификация отказов Отказы Случайные Описание Происходят только при определенных входных данных или сигналах Перманентные Самовосстанавливаемые Происходлт при всех входных данных (сигналах) Система после таких отказов может восстановиться без вмешательсгваоператора Необходимо вмешательство оператора для устранения тако. го отказа системы Несамовосстанавливаемые Не разрушаюп1ие Разрушающие Отказ не разрушает систему или данные Отказ разрушает систему или данные 1.
Для каждой подсистемы необходимо определить возможные системные отказы и проанализировать их последствия. 2. Затем необходимо отнести отказы к соответствующему классу. В качестве отправной точки можно использовать типы отказов, приведенные в табл. 17.2. Я. Для каждого класса отказов необходимо определить требования к безотказности, используя соответствующие показатели, причем для различных классов можно ис. пользовать разные показатели. 4. Формулируются функциональные требования безотказности таким образом, чтобы уменьшить вероятносп критических отказов.
В качестве примера специфицирования требований безотказности рассмотрим требованил к безотказности банкоматов, объединенных в сеть. Примем во внимание, что каждый банкомат испольэуетсл приблизительно ЯОО раз в день. Срок службы оборудования — восемь лет, программное обеспечение обычно модифицируется каждые два года. Следовательно, до выпуска новой версии программного обеспечения, каждый банкомат обработает приблизи. телыю 200 тыс.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
