如果系统不能达到它应达到的技术要求.docVIP

PAGE 18 FILENAME ch42 共 NUMPAGES 20 页 PAGE 18 4.5 容错 如果系统不能达到它应达到的技术要求，就称为失效。有些情况，如超市分布式定货系统，失效可能导致店中罐装豆子没有存货。另如分布式控制航空交通系统，失效会引起巨大的灾难。随着计算机分布式系统在要求严格保证安全任务方面的广泛应用，防止失效的需求相应地越来越大。这部分，我们将分析一些关于系统失效的问题以及如何来避免它们。除此之外，介绍性的知识可在Cristian, 1991; 和Nelson, 1990 中找到。Gantenbein(1992) 已经编辑了关于这个问题的一个参考书目。 4.5.1 组成部件错误 由于一些部件错误会导致计算机系统失效，如处理机、存储器、I/O设备、电缆或者软件等。这种错误是一种故障，可能是由于下列的原因引起的：一个设计差错，一个制造差错，一个编程错误，物理部件的损伤，时间的恶化，环境条件的恶劣（雪降到计算机上），意外的输入，操作员的差错，鼠类动物的啃咬，以及其它一些原因。并不是所有的错误都会（立刻）导致系统失效，但有些会的。 错误通常划分为暂时性、间断性和永久性三种。暂时性错误发生一次后就消失，若重复那个操作，错误就会消失。一只鸟飞经微波传输器所发射的光束，就可能使网络中丢失许多位数据（大鸟更是如此）。如果传输超时并再次尝试传输，这次将可能会正确。 间断性错误出现后，自动消失，然后再出现，如此反复。连接器的连接松动常常会导致此类错误。间断性错误由于难于诊断而危害极大。特别是每当错误诊断器进行工作时，系统却又工作得很正常的情况。 永久性错误会在错误部件修理好之前一直存在。烧毁的芯片，软件错误，磁盘头损害常导致永久性错误 设计和构造容错系统的目标就是要确保：即使在错误发生的情况下，整个系统也能继续正常运行。这种目标与仅仅设计具有高可靠性的各个独立部件，但允许（甚至期待着）当一个部件失效时系统失效的目标大不相同。 错误和失效在各个层次上都可能发生，如晶体管，芯片，电路板，处理机，操作系统，用户程序等。在容错领域中传统的工作大都是统计分析电子部件的错误。简单地讲，如果一个部件在规定的一秒时间内的失效概率为p，那么它连续k秒正常工作，然后再失效的概率为。失效发生的期望值如下公式： 失效发生平均时间= 从k=1开始，利用上面的无限求和公式：,其中 。两边对p微分并乘以-p我们得到： 失效发生平均时间= 例如，如果失效概率是每秒，则失效发生平均时间是秒或者大约11.6天。 4.5.2 系统失效 在重要的分布式系统中，我们常需要使得系统能够在部件（特别是处理机）出错时仍能正常工作，而不仅仅避免发生这种出错。由于分布式系统中部件数量巨大，因此它们中某个部件出错的机会很大，所以系统可靠性显得尤为重要。 下面将讨论处理机错误或崩溃的情况，对此理解了，对进程的错误或崩溃（如由软件错误引起的）也就能很好的理解。存在两种处理机错误分别为： Fail_silent 错误 Byzantine 错误 对第一种错误Fail_silent，失效的处理机只是停止运行，对接下来的输入不作反应也不产生进一步的输出，即宣布它不再工作了，这些也叫作Fail_stop错误。对Byzantine错误，出错的处理机继续运行，产生问题的错误答案，并可能和其它出错的处理机一起“恶意”的工作，给人一种它们都工作正常的假象。未检测出的软件错误常表现为Byzantine错误。显然，处理Byzantine错误比处理Fail_silent 错误更加困难。 4.5.3 同步系统与异步系统 如上所述，部件失效可能是暂时性的，间断性的和永久性的。系统失效可以是Fail_silent 或Byzantine。第三种分类标准是在抽象意义上考虑性能。假设系统中，一个处理机发送消息给另一个处理机，在事先知道的时间T内保证会得到一个回答。若没有得到应答，则表示接收系统已经崩溃。时间T包含了处理消息丢失所需（至多重新发送n次）的时间。 在容错系统研究领域内，若系统工作时具有这样一个特性，即它总能在一个已知的限定时间内对一条消息进行响应，就称之为同步。若无此特性则叫作异步。尽管这个术语与传统的该词表达的意思有冲突，但它在容错领域的研究者中间被广泛使用。 很显然，异步系统要比同步系统更难对付。如果一个处理机发送消息，并知道若在限定时间T内没有回答表示接收者失效，它就能够采取正确的措施。若不知道响应发生时间的上限，那么要判断接受者是否失效也会成为一个问题。 4.5.4 使用冗余 解决容错通常的办法是使用冗余技术。有三类可能：信息冗余，时间冗余和物理冗余。信息冗余就是增加