НАДЕЖНОСТЬ АППАРАТНОГО ОБЕСПЕЧЕНИЯ КОМПЬЮТЕРНЫХ СИСТЕМ

01.2 Предмет и содержание курса (пояснения и дополнения к п. 01.1). Ничто на Земле не вечно. Всё стареет, портится, ломается, отказывает. ПО – не исключение. Отказы и сбои ПО – это одна из проблем при его эксплуатации. Ранее считалось, что ПО не стареет. Однако, возможно, проблемами старения ПО занимались намного меньше, чем его тестированием, поэтому и сложилось мнение, что ПО не стареет. По крайней мере, операционная система компьютера не только стареет морально, но и со временем, и в зависимости от вариантов своего использования, а также засорения реестра, теряет работоспособность и нуждается в переустановке. По данным журнала «Компьютерра» исследовательский центр Microsoft собрал при помощи утилиты Windows Error Reporting отчёты об ошибках с 1-го миллиона устройств. Рассматривались сбои в дисковой подсистеме, ошибки ЦП и ОЗУ. В эту выборку попали ноутбуки и компьютеры разных производителей и годов выпуска, работающие на штатных, повышенных и пониженных частотах. Вся совокупность отчётов учитывала только случаи критических сбоев. Анализ показал, что большинство сбоев было повторяющимися и взаимосвязанными. Частота ошибок ЦП напрямую коррелировала с числом выполненных им циклов. При общем времени работы 120 часов средняя вероятность сбоя ЦП составила 1:330, а по мере увеличения до 720 часов возрасла до 1:190. Устройства, работающие на пониженных частотах, предсказуемо оказались более надёжны, чем работающие на повышенных или даже штатных. При разнице в частотах более 5 процентов вероятность сбоев ЦП и ОЗУ отличалась на 25–45 процентов.

Ноутбуки в целом (рис. 01.1а) продемонстрировали более высокую надёжность, чем настольные компьютеры (рис. 01.б): случаи аппаратных проблем во всех подсистемах у них регистрировались в 1,5-2 (рис. 01.1в и рис. 01.1г) раза реже.

Показатель MTTF (mean time to fail – время средней наработки на отказ) оказался бесполезным для персональных компьютеров. Он, по заключению исследовательского центра Microsoft (мнение спорное) имеет смысл только при возможности дублировать критические узлы системы и перераспределять нагрузку, чего как раз лишён домашний пользователь. Анализ показал, что после возникновения первого сбоя значение MTTF падает на два порядка – с 6,5 лет до 13,5 дней. Почему? Ответят те, кто займётся курсом НПО более глубоко. За ответ полагается учёная степень не ниже доктора наук.

Повышением качества и надёжности ПО занято много специалистов, и с ростом сложности ПО число таких специалистов будет продолжать расти. В этих условиях актуальной становится задача повышения надёжности ПО, сокращения затрат на реализацию мероприятий по повышению надёжности. Эта задача и является предметом и основным содержанием курса.

а) б)

в) г)

Рисунок 01.1 – Сравнение числа случаев отказа ноутбуков и настольных компьютеров

При эксплуатации ПО большое внимание уделяется его высокой надежности функционирования, так как выполнение этого требования является не только одной из важных предпосылок обеспечения научно-технического прогресса, но и важнейшей экономической проблемой. Действительно, отказы и сбои ПО ведут к простоям техники, а это резко повышает себестоимость вычислительных услуг.

При превышении некоторого предельно допустимого значения показателей надёжности ПО становится неконкурентоспособным на рынке услуг, и производитель таких низкокачественных услуг в условиях рыночной экономики должен непременно разориться.

01.2 Основные понятия и определения. Все материальные объекты, которые окружают нас, будем именовать техническими объектами. Примеры технических объектов – СВТ, ЭВМ, программа для ЭВМ на каком-либо носителе информации, человек-оператор для ЭВМ, вычислительная система (ВС), составленная из перечисленных объектов в различных комбинациях. Примертехнического объекта:компьютерная программа (рис. 01.2).

Рисунок 01.2 – Компьютерная программа (текст, техническим объектом станет после записи на какой-либо носитель информации)

Надёжность технического объекта по ГОСТ 27.002-89 [1] – свойство его сохранять во времени в установленных пределах значения всех параметров, характеризующих способность выполнять требуемые функции в заданных режимах и условиях применения, технического обслуживания, хранения и транспортирования.

Надежность является комплексным свойством, которое в зависимости от назначения объекта и условий его применения может включать безотказность, ремонтопригодность, сохраняемость и долговечность или сочетание этих свойств (рис. 01.3).

Надежность

безотказность

ремонто-пригодность

сохраняемость

долговечность

Рисунок 01.3 – Надёжность как комплексное свойство

Рассмотрим свойства, составляюшие надёжность:

безотказность – свойство объекта непрерывно сохранять работоспособное состояние в течение некоторого времени или наработки,

ремонтопригодность – свойство объекта, заключающееся в приспособленности к поддержанию и восстановлению работоспособного состояния путём технического обслуживания и ремонта,

сохраняемость – свойство сохранять в заданных пределах значения параметров, характеризующих способность объекта выполнять требуемые функции в течение и после хранения и (или) транспортирования,

долговечность – свойство объекта сохранять работоспособное состояние до наступления предельного состояния при установленной системе технического обслуживания и ремонта.

При этом под работоспособным состоянием объекта понимается состояние объекта, при котором значения всех параметров, характеризующих способность выполнять заданные функции, соответствуют требованиям нормативно-технической и (или) конструкторской (проектной) документации (далее – НТКПД). Противоположное состояние называется неработоспособным. Неработоспособное состояние – это состояние объекта, при котором значение хотя бы одного параметра, характеризующего способность выполнять заданные функции, не соответствует требованиям НТКПД. Для сложных объектов, какими являются КС, возможно деление их неработоспособных состояний. При этом из множества неработоспособных состояний выделяют частично неработоспособные состояния, при которых объект способен частично выполнять требуемые функции.

В силу специфических особенностей ПО свойства сохраняемости и долговечности для него не рассматриваются, поэтому ПО характеризуется только оставшимися двумя свойствами – безотказностью и ремонтопригодностью. Рассмотрим подробнее, что в стандартах понимается под ПО.

Программа (program) – данные, предназначенные для управления конкретными компонентами системы обработки информации в целях реализации определённого алгоритма (ГОСТ 19781-90).

ПС (software) – объект, состоящий из программ, процедур, правил, а также, если предусмотрено, сопутствующих им документации и данных, относящихся к функционированию системы обработки информации (ГОСТ 28806-90).

ПП (software product) – ПС, предназначенный для поставки, передачи, продажи пользователю (ГОСТ 28806-90). Таким образом, в понятие ПО входят ПС и ПП.

Основными факторами ненадёжности ПО являются: 1) отказы аппаратуры, влияющие на отказы и сбои ПО, 2) сбои и отказы программных средств, 3) ошибки оперативного персонала (операторов СВТ) /примеры привести самостоятельно/.

Рассмотрим подробнее п. 2 «ошибки ПС».

Ошибка (в общем случае) — несоответствие между объектом или явлением, принятым за эталон и объектом/явлением, имеющемся (происходящим) на самом деле. Под ошибкой ПО будем понимать нарушение нормального функционирования ПО. Ошибки будем делить на 1) ошибки, скрытые в самой программе; 2) искажение входной информации.

1) Ошибки, скрытые в самой программе – те, которые не всегда удается обнаружить и ликвидировать в процессе отладки и тестирования. Их делят на:

1.1 Ошибки вычислений. Связаны с некорректной записью или программированием математических выражений, а также неверным преобразованием типов переменных, из-за чего получаются неправильные результаты.

Надо: Записали:

1.2 Логические ошибки – ошибки из-за искажения алгоритма решения задачи (неверная передача управления, неверное задание диапазона изменения параметра цикла, неверное условие и другие ошибки).

1.3 Ошибки ввода-вывода – ошибки связаны с неправильным управлением вводом-выводом, формированием выходных записей, определением размера записей и другими неправильно свершенными действиями.

1.4 Ошибки манипулирования данными: неверное определение числа элементов данных; неверные начальные значения, присвоенные данным; неверное указание длины операнда или имени переменной и другие ошибки.

1.5 Ошибки совместимости связаны с отсутствием совместимости разрабатываемого или применяемого ПО с операционной системой или другими прикладными программами.

2) искажение входной информации

Ошибки программных средств – один из основных факторов ненадёжности ПО.

Надёжность ПО компьютерной системы и надёжность её аппаратной части (комплекса технических средств, КТС) имеют как сходства, так и различия.

СХОДСТВА видны из определений:

Надёжность КТС (Безотказность – свойство объекта непрерывно сохранять работоспособное состояние в течение некоторого времени или наработки).

Надёжность ПО – свойство его выполнять заданные функции, сохраняя свои характеристики в установленных пределах при определенных условиях эксплуатации, см. reliability-theory.ru/reliabilityt3.html. Надежность ПО определяется его безотказностью и восстанавливаемостью. Безотказность ПО – это свойство сохранять работоспособность при использовании его для обработки информации.

Надёжность ПС (по ГОСТ 28806-90 [2]) – совокупность свойств, характеризующих способность ПС сохранять заданный уровень пригодности в заданных условиях в течение заданного интервала времени.

Уровень пригодности ПС [2] – степень удовлетворения потребностей, представленная посредством конкретного набора значений характеристик качества ПС.

Это – сходство. Различия: во-первых, по ГОСТ [2] ПС не подвержено износу и старению (но: см. п. 01.2, первый абзац).

Во-вторых, согласно [2] надежность сложных ПС существенным образом отличается от надежности аппаратуры. Носители данных (файлы, сервер и т. п.) обладают высокой надежностью, записи на них могут храниться длительное время без разрушения, поскольку физическому разрушению они не подвергаются.

С точки зрения программирования как прикладной науки надежность – это способность ПС сохранять свои свойства (безотказность, устойчивость и др.), преобразовывать исходные данные в результаты в течение определенного промежутка времени при определенных условиях эксплуатации. Снижение надежности ПС происходит из-за ошибок в требованиях, проектировании и выполнении. Отказы и ошибки зависят от способа производства продукта и появляются в программах при их исполнении на некотором промежутке времени.

Для многих систем (программ и данных) надежность – главная целевая функция реализации. К некоторым типам систем (реального времени, радарные системы, системы безопасности, медицинское оборудование со встроенными программами и др.) предъявляются высокие требования к надежности, такие, как отсутствие ошибок, достоверность, безопасность и др.

Таким образом, оценка надежности ПС зависит от числа оставшихся и не устраненных ошибок в программах. В ходе эксплуатации ПС ошибки обнаруживаются и устраняются. Если при исправлении ошибок не вносятся новые или, по крайней мере, новых ошибок вносится меньше, чем устраняется, то в ходе эксплуатации надежность ПС непрерывно возрастает. Чем интенсивнее проводится эксплуатация, тем интенсивнее выявляются ошибки и быстрее растет надежность системы и соответственно ее качество.

Надежность является функцией от ошибок, оставшихся в ПС после ввода его в эксплуатацию. ПС без ошибок является абсолютно надежным. Но для больших программ абсолютная надежность практически недостижима. Оставшиеся необнаруженные ошибки проявляют себя время от времени при определенных условиях (например, при некоторой совокупности исходных данных) сопровождения и эксплуатации системы.

Для оценки надежности ПС используются такие статистические показатели, как вероятность и время безотказной работы, возможность отказа и частота (интенсивность) отказов. Поскольку в качестве причин отказов рассматриваются только ошибки в программе, которые не могут самоустраниться, то ПС следует относить к классу невосстанавливаемых систем.

При каждом проявлении новой ошибки, как правило, проводится ее локализация и исправление. Строго говоря, набранная до этого статистика об отказах теряет свое значение, так как после внесения изменений программа, по существу, является новой программой в отличие от той, которая до этого испытывалась.

В связи с исправлением ошибок в ПС надежность, т.е. ее отдельные атрибуты, будут все время изменяться, как правило, в сторону улучшения. Следовательно, их оценка будет носить временный и приближенный характер. Поэтому возникает необходимость в использовании новых свойств, адекватных реальному процессу измерения надежности, таких, как зависимость интенсивности обнаруженных ошибок от числа прогонов программы и зависимость отказов от времени функционирования ПС и т.п.

К факторам гарантии надежности относятся:

• риск как совокупность угроз, приводящих к неблагоприятным последствиям и ущербу системы или среды;

• угроза как проявление неустойчивости, нарушающей безопасность системы;

• анализ риска - изучение угрозы или риска, их частота и последствия;

• целостность - способность системы сохранять устойчивость работы и не иметь риска;

Риск преобразует и уменьшает свойства надежности, так как обнаруженные ошибки могут привести к угрозе, если отказы носят частотный характер.

Характеристики функционирования ПО зависят от его качества, определяемого процессом разработки. Это означает, что безотказность ПО определяется его корректностью и зависит от наличия в нем ошибок, внесенных на этапе его создания (недотестированных багов, см темы по тестированию).

Вернёмся к определению из ГОСТ 28806-90:

Надёжность ПС – совокупность свойств, характеризующих способность ПС сохранять заданный уровень пригодности в заданных условиях в течение заданного интервала времени;

и из ГОСТ 27.002-89:

Работоспособное состояние (работоспособность) – это состояние объекта, при котором значения всех параметров, характеризующих способность выполнять заданные функции, соответствуют требованиям НТКПД;

Из сравнения определений надёжности и работоспособности для аппаратуры и ПО следует:

для аппаратуры при безотказном функционировании – в рамках требований НТКПД сохраняются значения всех параметров, характеризующих способность аппаратуры выполнять заданные функции;

для ПО при безотказном функционировании – в заданных условиях сохраняется заданный уровень пригодности ПС: степень удовлетворения потребностей, представленная посредством конкретного набора значений характеристик качества ПС.

Уровень пригодности ПО при этом оценивается качеством ПС как степенью выполнения требований к ПО. Требование (requirement) в программном обеспечении (кратко, более подробно в теме 2) – описание того, какие функции и с соблюдением каких условий должно выполнять приложение в процессе решения полезной для пользователя задачи [3]. Требования являются отправной точкой для определения того, что проектная команда будет проектировать, реализовывать и тестировать [4, 5]. Если в требованиях что-то «не то», то и реализовано будет «не то», т. е. колоссальная работа множества людей будет выполнена впустую.

Спецификация требований ПО (англ. Software Requirements Specification, SRS) – законченное описание поведения программы, которую требуется разработать. SRS включает ряд пользовательских сценариев (англ. use cases), которые описывают все варианты взаимодействия между пользователями и ПО. Пользовательские сценарии являются средством представления функциональных требований. В дополнение к пользовательским сценариям, SRS также содержит нефункциональные требования, которые налагают ограничения на дизайн или реализацию (такие, как требования производительности, стандарты качества или проектные ограничения). Пример (рис. 01.4):

Рисунок 01.4 – К понятию спецификации требований

В стандарте IEEE Std 830–1998 «IEEE Recommended Practice for Software Requirements Specifications» содержится рекомендации к структуре и методам описания программных требований. В частности, рекомендуемая структура SRS следующая: введение (цели, соглашения о терминах, предполагаемая аудитория и последовательность восприятия, масштаб проекта, ссылки на источники), общее описание (видение продукта, функциональность продукта, классы и характеристики пользователей, среда функционирования продукта (операционная среда), рамки, ограничения, правила и стандарты, документация для пользователей, допущения и зависимости), функциональность системы (функциональный блок x (таких блоков может быть несколько), (описание и приоритет, причинно-следственные связи, алгоритмы (движение процессов, workflows)), функциональные требования (требования к внешним интерфейсам, интерфейсы пользователя (UX), программные интерфейсы, интерфейсы оборудования, интерфейсы связи и коммуникации), нефункциональные требования (требования к производительности, требования к сохранности (данных), критерии качества программного обеспечения, требования к безопасности системы), прочие требования

01.3 Введение в надежность аппаратных средств. В п. 01.2 были рассмотрены основные понятия и определения для курса НПО. Все они взяты из стандартов. Рассмотрим вопрос о стандартах подробнее.

01.3.1 Необходимость стандартизации в технике. Зачем инженеру стандарты? Рассуждая об этом, полезно прислушаться к мнению двух известных иностранцев – Жака Сапира (рис. 01.5) и Джозефа Джурана (рис. 01.6).

Sapir: «…Способность к размышлению над определенными идеями связана с выразительной силой языка. Способность к обдумыванию определенных мыслей зависит от знания слов, при помощи которых можно выразить эту мысль. Если вы не знаете слов, то не сможете выразить мысль и, возможно, даже сформулировать её…».

Отсюда следует простое правило: для понимания другими твоих мыслей слова твоего языка должны быть понятными всем, т е СТАНДАРТНЫМИ.

Жак Сапир (фр. Jacques Sapir; 24.03.1954) – французский экономист, директор Высшей школы социальных наук (EHESS), Центра исследований индустриализации (CEMI), член редколлегий ряда французских научно-исследовательских журналов, научный советник нескольких организаций и программ.

Рисунок 01.5 – Жак Сапир Рисунок 01.6 – Джозеф Джуран

Джозеф Джуран: «…Было бы чудесно, если бы все менеджеры и практики могли стандартизовать терминологию, используемую при описании концепций, действий и смысла. Но этот рай недостижим, так как совершенно очевидны препятствия на пути такой стандартизации:

¢ различия в технологии, диалектах и культурной истории разных отраслей промышленности;

¢ быстро меняющиеся составляющие понятия «соответствие назначению»;

¢ сознательные усилия людей в создании и использовании собственной терминологии для обеспечения благоприятных условий для себя и своих организаций...»

Джуран, Джозеф Мозес (англ. Juran, Joseph Moses; род. 24.12.1904, Румыния, в еврейской семье – умер 28.02.2008 в Нью-Йорке) – с 1912 г. в США, работал инженером, менеджером на промышленном предприятии, государственным управляющим, университетским профессором, президентом корпорации, консультантом по проблемам управления, почетный директор основанного им в 1979 г. Juran Institute Inc.; в 1981 г. был награжден японским императором Хирохито орденом Sacred Treasure; один из идейных вождей революции качества; его книга Juran’s Quality Control Handbook (1951) по-прежнему не утратила своего значения.

Итак, отвечая на вопрос «Для чего инженеру стандарты?», заметим, что по Сапиру «словами» для выражения инженерной мысли, понятной другим инженерам, могут быть только стандартизованные термины. Выражая мысли нестандартизованными, понятными только себе, терминами, инженер делает, по Джурану, сознательные усилия в создании и использовании собственной терминологии для обеспечения благоприятных условий для себя и своей организации.

01.3.2 Система стандартов «Надёжность в технике» (ССНТ). В СНГ существует ряд систем стандартов: ЕСКД, ЕСПД и др. Одна из них – система ССНТ. В состав ССНТ входят только основополагающие стандарты по надежности, распространяющиеся на все или большинство видов технических объектов и устанавливающие общие положения, принципы, правила и методы управления их надежностью на всех или отдельных стадиях жизненного цикла объектов. Стандарты ССНТ (СтССНТ) служат основой для включения требований надежности и методов контроля надежности в стандарты, устанавливающие технические требования и методы контроля для групп однородных технических объектов, в технические условия, технические задания, контракты, договоры и другие виды документации.

ССНТ предназначена для осуществления средствами стандартизации единой технической политики в области управления надежностью объектов. СтССНТ служат нормативной базой для регулирования взаимодействия заинтересованных сторон (разработчиков, изготовителей, поставщиков, заказчиков, потребителей) при обеспечении надежности на всех стадиях жизненного цикла объектов. СтССНТ устанавливают организационные, технические, технологические, экономические и другие положения, направленные на обеспечение рационального уровня надежности объектов. СтССНТ регламентируют методы решения типовых задач обеспечения надежности в качестве основы для разработки соответствующих правил и методик, применяемых на стадиях жизненного цикла конкретных объектов.

В ССНТ выделяют [6] следующие основные группы объектов стандартизации, приведенные в столбце 1 табл. 0.1. Состав объектов стандартизации в каждой группе приведен в столбце 2 табл. 0.1.

Таблица 0.1 - Структура и состав объектов стандартизации ССНТ

Приведенные в табл. 0.1 объекты стандартизации не следует рассматривать в качестве наименований действующих или планируемых к разработке стандартов. Состав объектов стандартизации уточняют в процессе разработки ССНТ.

Межгосударственные стандарты, входящие в ССНТ, обозначают по единой схеме, имеющей вид:

Наименование стандартов ССНТ в общем случае включает:

· групповой заголовок «Надежность в технике»;

· заголовок, соответствующий объекту стандартизации из числа установленных настоящим стандартом;

· подзаголовок, определяющий содержание стандарта.

Пример обозначения и наименования стандарта:

01.3.3 Развитие ССНТ в РБ после 2005 года. Получив от СССР стройную систему стандартов ССНТ, независимые государства СНГ после распада СССР попытались её усовершенствовать. Для координации работ по надёжности между странами СНГ был созданмеждународный технический комитет (МТК) 119 «Надёжность в технике», куда вошли почти все страны СНГ. В рамках этого комитета украинской ассоциацией «Надёжность машин и сооружений» были разработаны проекты двух стандартов – [7] и [8]. Проекты были разработаны, во-первых, с ошибками, а во-вторых, стандартизировали только один из возможных вариантов оценки программного обеспечения, не оставляя другим вариантам права на существование. Видимо, поэтому проекты не были внедрены в крупнейшей державе СНГ – России. Однако вслед за разработкой проектов последовало внедрение одноимённых ГОСТов на Украине, в Средней Азии и Закавказье. ГОСТы просуществовали внедрёнными в перечисленных странах 8 лет, после чего в 2005 году были приняты в РБ в качестве государственных стандартов. При этом принятие было осуществлено в нарушение стандарта РБ «Порядок разработки и внедрения стандартов». Нарушение состояло в нежелании внедряющей организации (БелГИСС, Белорусского государственного института стандартизации и сертификации) отправить проекты стандартов на отзыв научной общественности республики и составить затем сводку отзывов.

Отсутствие в течение 10 лет замечаний по содержанию ГОСТов в странах СНГ говорит о слабом использовании этих документов в названных республиках. Однако первая же попытка использовать ГОСТы в учебном процессе привела к обнаружению существенных ошибок в ГОСТах. Поэтому группа студентов БГУИР под руководством их лектора отправила в БелГИСС письмо с перечислением указанных ошибок. Через 8 месяцев после получения студенческого письма БелГИСС направил студентам благодарственное письмо за работу по обнаружению ошибок в ГОСТах на имя ректора БГУИР, признал правомерность «некоторых (студенческих) замечаний» (хотя правомерными были не некоторые, а все замечания студентов, что стало ясным из дальнейшей переписки) и проинформировал, что работу по корректировке ГОСТов поручил разработчику – украинской ассоциации «Надёжность машин и сооружений», сообщив ей об ошибках. Затем БелГИСС внёс предложения изменения в ГОСТы, исправляющие ошибки. На этот раз проекты изменений были отправлены на отзыв научной общественности республики. Отзывов, кроме отзыва БГУИР, не поступило. Таким образом, изменения в ГОСТ были внесены и работа по корректировке ГОСТов завершена.

01.3.4Стандарты и другие нормативные документы по надёжности, не входящие в ССНТ. Надёжность всей техники в целом регламентируется в СтССНТ. Однако отдельные министерства и ведомства могут выпускать собственные нормативные документы для отдельных видов продукции, дополняющие и конкретизирующие ССНТ с учётом специфики этой продукции. Примером таких нормативных документов для сельскохозяйственной техники являются СТБ 1616-2011 и ТКП 282-2010 (02150) (СТО АИСТ2.8-2007) (СТБ – стандарт Беларуси, ТКП – технический кодекс установившейся практики). В ССНТ не входит также множество стандартов по надёжности и тестированию ПО ([2] и ряд других).