74.

Обеспечение надежности технических компонентов информационных систем чаще всего реализуется аппаратным и программным способами.

В первом случае ИВС использует аппаратную избыточность:

• все операции выполняются параллельно на одинаковых компонентах сис­темы, а затем результаты их работы сравниваются, что позволяет выявить ошибки;

• в случае выхода из строя какого-либо компонента его резервные аналоги про­должают работу без остановки, а отказавший компонент заменяется на рабо­тоспособным.

Программный способ предусматривает:

• последовательное во времени выполнение одних и тех же информационных процессов и дублирование данных;

• автоматическое восстановление отказавших операционных систем, приложе­ний и искаженных данных.

На сегодняшний день разработано много конкретных практических способов по­вышения надежности информационных систем.

Для обеспечения надежности технических средств чаще всего производится:

• резервирование (дублирование) технических средств (компьютеров и их ком­понентов, сегментов сетей и т. д.);

• использование стандартных протоколов работы устройств ИВС;

• применение специализированных технических средств защиты информации.

Для обеспечения надежности функционирования программного комплекса ИВС требуется:

• тщательное тестирование программ, опытное исполнение программы с целью обнаружения в ней ошибок (обязательное условие эффективного тестиро­вания — по крайней мере один раз выполнить все разветвления программы в каждом из возможных направлений);

• использование стандартных протоколов, интерфейсов, библиотек процедур, лицензионных программных продуктов;

• использование структурных методов для обеспечения надежной работы про­граммных комплексов (иерархическое построение программ, разбиение про­грамм на сравнительно независимые модули и т. д.);

• изоляция параллельно работающих процессов, в результате чего ошибки в ра­боте одной программы не влияют на работу операционной системы и других программ.

Обеспечение надежности баз данных

Несколько специфичны вопросы обеспечения целостности базы данных в ИВС. К надежности базы данных (БД) предъявляются особо жесткие требования, по­скольку информация, хранимая в них, используется обычно многократно.

Под целостностью базы данных понимается такое ее состояние, когда имеет ме­сто полное и точное сохранение всех введенных в БД данных и отношений меж­ду ними, иными словами, если не произошло случайной или несанкционирован­ной модификации, разрушения или искажения этих данных или их структуры.

Для сведения к минимуму потерь от случайных искажений данных необходимо иметь возможность своевременно обнаруживать и устранять возникающие ошибки на этапах хранения, обновления и реорганизации базы данных. Это требует большого набора вспомогательных программ обслуживания баз данных, возмож­но, даже автономных по отношению к системе управления базой данных.

В частности, к ним относятся программы:

• ведения системного журнала, подробно фиксирующего каждую операцию (транзакцию) над базой данных;

• эффективного контроля достоверности;

• репликации для получения копии базы данных (или ее частей) с целью по­следующего их восстановления при искажении;

• восстановления для возврата базы данных в первоначальное состояние при обнаружении искажения данных (используют копии базы данных и массивы изменений, формируемые в журнале).

Для надежной работы базы данных ИВС осуществляются:

• непрерывное администрирование базы данных ИВС;

• регистрация в журнале БД каждого имевшего место доступа к базе данных и выполненных изменений. Системный журнал изменений содержит хроно­логическую последовательность записей всей информации об изменениях, вносимых в базу данных. В частности, в этот журнал заносятся:

- текст запроса на изменение БД («журнал заявок»), содержащий описание транзакции, терминала и пользователя, время, текст исходного сообщения, тип и адрес изменения данных;

- копии файлов БД до внесения в нее изменений («до-журнал»);

- копии файлов БД после внесения в нее изменений («после-журнал»).

• использование средств СУБД для санкционированного доступа и защиты данных (формирование подсхем базы данных как подмножества структуры базы данных);

• создание страховых (резервных) копий базы данных, «зеркалирование» дис­ков;

• ведение четко регламентированной системы документооборота и форм доку­ментов, разрешенных к использованию;

• _{криптографирование базы данных;}

• формирование групп пользователей и задание для них профилей работы и при­вилегий доступа к ресурсам БД.

Для обеспечения целостности баз данных могут устанавливаться специальные режимы использования файлов базы данных:

• монопольный — запрещающий обращения к БД от всех программ, кроме од­ной, вносящей изменения и считывающей информацию из полей базы дан­ных;

• защищенный — вносить изменения в БД вправе лишь одна программа, а ос­тальные программы могут только считывать информацию;

• разделенный — все программы могут и изменять, и читать базу данных, но если одна из них начала работать с БД, остальные ждут окончания этой работы.

Резервирование и восстановление баз данных при аварийных завершениях про­граммы (отказ системы, повреждение носителя) выполняются также по несколь­ким стратегиям. В частности, резервирование файлов базы данных может вы­полняться:

• в одном поколении (создание точных копий — дублей файлов БД);

• в разных поколениях (хранятся дубли нескольких временных поколений фай­лов: «дед», «отец», «сын» и т. д., а также ведется системный журнал измене­ний);

• ^{смешанное резервирование, использующее совместно две первые стратегии.}

Наилучшие результаты обеспечивает смешанное резервирование с системным журналом и контрольными точками отката (рестарта).

Контрольные точки (точки рестарта, точки отката) — место повторного запуска программы при аварийном ее завершении. В контрольных точках обычно выпол­няются: внесение изменений в БД (в том числе всех изменений, ожидающих сво­ей очереди, — неоперативные файлы), разблокирование всех файлов, на обра­щение к которым был наложен запрет, запись информации о контрольной точке в системный журнал. Использование массивов RAID (Redundant Array of Inexpensive Disks — избыточ­ный массив недорогих дисков) существенно уменьшает риск простоя системы из-за отказов накопителей на магнитных дисках, которые являются одним из наименее надежных компонентов современных компьютеров. В качестве наиболее эффективных мер комплексного обеспечения надежности ИВС можно назвать кластеризацию компьютеров и использование отказоустой­чивых компьютеров.

Кластеризация компьютеров

Кластер — это несколько компьютеров (узлов кластера), соединенных комму­никационными каналами и разделяющих общие ресурсы. Кластер имеет общую файловую систему и пользователем воспринимается как единый компонент. На­дежность работы кластера обеспечивается программами, регулирующими ско­ординированное использование общекластерных ресурсов, обмен информацией между узлами кластера и осуществляющими взаимный контроль работоспособ­ности этих узлов. Отличительной особенностью кластера является то, что каж­дый его работающий компьютер может взять на себя дополнительную нагрузку отказавшего узла. Кластерные системы разрабатываются многими известными фирмами (IBM, Hewlett-Packard, DEC и т. д.). Все известные кластерные реше­ния обеспечивают высокую готовность системы (коэффициент готовности до 0,999 — high availability), возможность наращивания производительности за счет установки нового оборудования или замены устаревшего.

Кластерные системы используют специальные программы, осуществляющие оп­тимальное распределение ресурсов и удобное администрирование, в частности:

• программы, выполняющие обнаружение и корректировку системных сбоев;

• программы, обеспечивающие непротиворечивость доступа приложений с раз­ных компьютеров к общим ресурсам;

• утилиты гибкого конфигурирования файловых систем, конфигурирования и мониторинга состояния кластера;

• программные модули управления дисковыми томами и т. д. В случае возникновения отказа кластерная система выполняет:

• идентификацию отказа;

• формирование нового кластера;

• запуск сценариев (контрольных программ);

• тестирование файловой системы;

• запуск базы данных и ее восстановление;

• перезапуск программ-приложений.

Например, компания IBM разработала кластерную систему для четырех или пяти компьютеров IBM RISC System/6000, реализующую следующие стратегии:

• один компьютер находится в постоянной готовности и подстраховывает три других работающих компьютера;

• работают четыре компьютера, а пятый, дополнительный компьютер подстра­ховывает остальные;

• работают четыре компьютера, и в случае отказа одного из них нагрузка пере­распределяется между тремя работоспособными;

• четыре компьютера работают одновременно с одними и теми же общими дан­ными (отказоустойчивый вариант кластера).

Отказоустойчивые компьютеры

Все большее распространение находят однопроцессорные или многопроцессор­ные компьютеры (чаще всего серверы) с отказоустойчивыми аппаратными ком­понентами. В отличие от кластерных отказоустойчивые системы (fault tolerant) упор делают на аппаратное обеспечение надежности и гарантируют не просто со­кращение времени простоя (увеличение коэффициента готовности), а вообще предотвращение и исключение возможности появления таких простоев. В основу архитектуры отказоустойчивых систем заложено дублирование, в том числе и многократное, технических компонентов.В отказоустойчивых компьютерах любая команда выполняется одновременно на всех дублированных компонентах, и результаты выполнения команд сравнива­ются. Окончательное решение принимается по принципу мажорирования (по большинству одинаковых результатов). Каждый из продублированных компо­нентов продолжает работу и в случае отказа одного из его дублей таким образом, что система не замечает этого отказа и на ее функционировании это не отражает­ся. Но отказавший компонент идентифицируется и замещается в режиме «горя­чей замены», то есть без отключения системы.

72. Критерии надежности информационных систем

Анализ функционирования информационных систем позволяет утверждать, что критериями их надежности могут быть те же критерии, которые в теории надежности применяются для анализа надежности невосстанавливаемых и восстанавливаемых технических систем. Отличие состоит лишь в их физическом смысле. Основными из них являются:

• P(t) — вероятность безотказной работы;

• T_l - среднее время безотказной работы;

• K_г(t) —функция готовности;

• К_г —коэффициент готовности;

• Т— наработка на отказ.

Дадим определение этим критериям.

Вероятностью безотказной работы информационной системы будем называть вероятность того, что ни одной из заявок не будет отказано в об­служивании в течение времени t. Вероятность безотказной работы является функцией, убывающей во времени и имеющей следующие свойства: P(0)=1, Р(∞) = 0. Вероятность безотказной работы есть интервальная характеристика надежности информационной системы.

Средним временем безотказной работы называется математическое ожидание времени до отказа. Эта характеристика является интегральной. Ее применение целесообразно в тех случаях, когда информационная система длительного функционирования без перерывов в работе.

Информационную систему следует рассматривать, как систему с восстановлением. Действительно, при возникновении отказа в обслуживании заявки система не прекращает функционирование. Спустя время, равное времени обслуживания одной заявки, она будет готова обслуживать очередную заявку.

Функцией готовности информационной системы называется вероятность того, что в произвольный момент времени t информационная система готова принять заявку на обслуживание. Функция готовности может иметь вид показанный на рис. 12.1.Коэффициент готовности является предельным значением функции готов­ности и определяется выражением:

K_г = limK_г(t).

t->∞

0 t

Рис. 12.1. Функция готовности информационной системы

Наработкой на отказ Т называется математическое ожидание времени между отказами системы.

Ни один из рассмотренных показателей не может в полной мере характеризо­вать надежность функционирования информационной системы. Только сово­купность этих критериев позволит оценить надежность системы массового обслуживания.

Методы анализа надежности информационных систем

Весь объем информации, хранящейся в системе, можно представить как со­вокупность п независимых, отличных по содержанию частей. Тогда функ­ционирование информационной системы, в смысле ее надежности, можно описать в виде последовательного (основного) соединения элементов. Источников информации может быть несколько (например, несколько компьютеров с базами данных). Тогда для потребителя информации такая система является структурно резервированной. При этом резерв может быть постоянный (если системы работают одновременно) или замещением (если резервная" система подключается только при отказе основной).

Информационная система является, как правило, восстанавливаемой. Однако ее надежность иногда полезно оценивать до первого отказа.

Заявки на обслуживание— это потребители информации. При этом время между заявками есть величина случайная, аналогично времени между отказами технической системы. Будем считать, что поток заявок на обслуживание является простейшим.

Время обслуживания заявки зависит от множества факторов: объема необходимой информации, квалификации обслуживающего органа и т. п. Это время также является величиной случайной. Будем считать, что время обслуживания заявки имеет экспоненциальное распределение вероятностей.

Из сказанного ранее видно, что с точки зрения надежности функционирование информационной системы аналогично технической. А это дает нам право утверждать, что методы анализа надежности, разработанные в теории надежности технических систем пригодны также для анализа надежности информационных систем.

Относительная избыточность, или просто избыточност