Надежность ИС

Названные свойства относятся к так называемым единичным показателям надёжности, объединённым в комплексное понятие собственно надёжности. Рассмотрим эти и другие показатели, характеризующие надёжную работу ТУ, относящихся к неремонтируемым, так как эти показатели носят ключевой характер в теории надёжности.

2.2.Простейший поток отказов

Втеории надёжности различают понятия "система" и "элемент". Элемент – составная часть сложного ТУ, которая при

расчёте и исследовании надёжности не подлежит расчленению. Система – совокупность совместно действующих элементов, предназначенная для выполнения определённых заданных функций. Тогда отказ системы может наступить при отказе одного элемента этой системы. В теории надёжности, наряду с другими, рассматривают простейший поток отказов, который соответствует простейшему потоку случайных событий.

Простейший поток обладает следующими свойствами:

−стационарность,

−ординарность,

−отсутствие последовательности.

Стационарность определяется тем, что вероятность появления того или иного числа отказов на некотором временном интервале эксплуатации t зависит только от длины этого интервала, но не зависит от положения этого интервала на оси времени. Иными словами, предполагается, что отказы распределены на оси времени в процессе эксплуатации с одинаковой средней плотностью λ.

Ординарность определяется тем, что вероятность возникновения двух или более отказов системы в некоторый момент времени t пренебрежимо мала по сравнению с вероятностью одного отказа. Это означает практически, что одновременно в системе отказа более двух элементов быть не может.

Отсутствие последствия определяется тем, что наступление отказа в момент t не зависит от того, сколько отказов и в какие моменты времени они возникали до момента t. Поскольку простейший поток отказов соответствует простейшему потоку событий, то он подчиняется закону Пуассона.

Если случайная величина ξ в простейшем потоке событий за время τ – некоторое целое положительное значение K, то эта величина распределена по закону Пуассона:

p (ξ = K ) = a K e−a . K !

Статистический смысл параметра a заключается в том, что a – это среднее число событий, наступающих в простейшем потоке за время τ:

a = λτ .

С точки зрения надёжности случайная величинам ξ представляет собой число отказов ТУ, а число p (x = K )

представляет собой вероятность появления ровно K отказов ТУ за время t. Представляет интерес вероятность отсутствия отказов или вероятность работы ТУ без отказов в течение времени t:

p (ξ = 0) = a 0 e−a = e−a = e−λτ. 0!

Тогда вероятность противоположного события, заключающегося в том, что за время t произойдет хотя бы один отказ, будет равна

p (x ³ 1) = 1 - p (x = 0) = 1- e−λτ.

Особенность закона Пуассона заключается в том, что математическое ожидание и дисперсия равны между собой и равны величине a:

Mξ = Dξ = a.

2.3. Вероятность безотказной работы и вероятность отказов

Надёжность как качественная характеристика всегда принималась во внимание при решении различных вопросов эксплуатации и технического обслуживания. Количественное определение надёжности появилось с возникновением теории надёжности. Математической платформой теории надёжности являются теория вероятностей и математическая статистика. Действительно, отказы в ТУ происходят случайным образом в неожиданные моменты времени. Это характерно даже для множества однотипных устройств, изготовленных на одном предприятии и поставленных на эксплуатацию в одно и то же время. Несмотря на единый проект, одинаковость технологии производства – каждый из них имеет индивидуальную способность сохранять свои первоначальные качества. Первоначально кажется, что никакой закономерности в появлении отказов нет. Тем не менее, такая закономерность существует. Проявляется она тогда, когда ведётся наблюдение не за одним,

аза многими ТУ, находящимися в эксплуатации.

Вкачестве основной количественной меры надёжности ТУ, характеризующей закономерность появления отказов во времени, принята вероятность безотказной работы.

Используя величину вероятности безотказной работы p(t), можно оценить среднее количество элементов или устройств ИС (например, сети, ЭВМ или её периферии) n(t), которые могут отказать за интервал времени Dt при известной наработке t:

n (t ) = Np (t ) - Np (t + Dt ) ,

где N – число исправных элементов ИС в начале её эксплуатации.

2.4.Интенсивность отказов

Стечением времени ТУ становятся менее надёжными и в процессе эксплуатации отказывают. Если весь период

эксплуатации разделить на равные промежутки времени Dti (i = 1, k ), то в любой из этих промежутков отказывают Dni

однотипных объектов. Числовой характеристикой, которая путём учёта отказавших однотипных объектов позволила бы определить уровень надежности этих объектов в любой момент времени, является интенсивность отказов. Она определяется количеством отказов Dni в интервале Dti, отнесённых к исправно действующим однотипным ТУ в данном интервале:

l*i = Dni ,

Ni Dti

где Ni – среднее число исправно действующих ТУ в интервале Dti. Индекс i представляет собой указатель интервала, для которого рассчитывается интенсивность отказа.

Обычно из условия задачи известны количество m отказавших ТУ, Dni и величина интервала времени Dti. Величина Ni по своей сути представляет собой математическое ожидание числа безотказно проработавших ТУ в течение i-го интервала времени. Наиболее очевидной статистической оценкой этой величины могло бы стать среднее арифметическое

Переходя от дискретного времени Dt к непрерывному (Dt ® 0) , получим:

Введём понятие плотности вероятности отказа в однотипных ТУ. Если в знаменателе выражения для *i величину Ni заменить на N, получим:

l(t)

t

Рис. 2.2. Кривая интенсивности отказов

Отсюда следует, что

f (t ) = λ(t ) p (t ) .

Интенсивность отказов имеет характерные изменения в процессе эксплуатации (рис. 2.2). Характерными являются 3 участка, получившие название периодов приработки (I), нормальной эксплуатации (II) и период износа и старения (III). В первом периоде проявляются конструктивно производственные недостатки, во II периоде отказы происходят в основном изза нарушений или изменений условий эксплуатации.

ВIII периоде отказы определяются причинами, скрытыми в самом названии этого периода.

2.5.СРЕДНЕЕ ВРЕМЯ БЕЗОТКАЗНОЙ РАБОТЫ

Часто в качестве характеристики надёжности используют среднее время безотказной работы. Обозначим эту величину буквой T. Тогда некоторое количество из множества однотипных ТУ, находящихся в эксплуатации, проработает безотказно какое-то время t ³ T, причём каждый из ТУ – своё, остальные же откажут раньше, чем наступит время T. Отсюда время T можно рассматривать как математическое ожидание отрезков времени безотказной работы этих однотипных ТУ.

В соответствии с определением получается:

∞

T = ∫tf (t )dt.

0

Здесь f (t) – плотность вероятности времени отказов однотипных ТУ. Статистическим аналогом среднего времени безотказной работы является среднее статистическое время безотказной работы:

n

∑t j

T* = j =1 ,

n

где tj – время появления отказа j-го ТУ; n – количество отказов в различные j-е моменты времени.

2.6. Аналитические зависимости между основными показателями надёжности

Вероятность отказов q (t ) определяется выражением

q (t ) = p (t0 < t ).

где tсл i – срок службы i-го ТУ; tсл – плотность распределения срока службы;

–средний срок службы до списания tср. сл. сп – это средний срок службы от начала эксплуатации ТУ до его списания;

–гамма-процентный срок службы – это срок службы, в течение которого объект не достигает предельного состояния с заданной вероятностью:

Кроме срока службы, долговечность ТУ характеризуется его ресурсом. Ресурсом называется наработка ТУ от начала эксплуатации или же её возобновления после ремонта до наступления предельного состояния. В отличие от определения понятия "срок службы", понятие "ресурс" оперирует не календарной продолжительностью, а общей

tпс

Н А Р А Б О Т К А

Рис. 2.3. Календарный срок службы и наработка ТУ:

ПР – профилактика; tпс – время наступления предельного состояния

боткой ТУ. Эта наработка в общем случае является величиной случайной. Поэтому, наряду с понятиями назначенного ресурса, долговечность оценивают средним ресурсом, гамма-процентным ресурсом и другими видами ресурсов.

Назначенный ресурс Rн – это суммарная наработка ТУ, при достижении которой эксплуатация должна быть прекращена независимо

от его состояния. Средний ресурс Rср – математическое ожидание ресурса.

∞

Rср = ∫ rf (r ) dt,

0

где r – ресурс некоторого ТУ; f (r) – плотность вероятности величины r.

Гамма-процентный ресурс Rγ – наработка, в течение которой ТУ не достигает предельного состояния с заданной вероятностью γ процентов.

Гарантийный ресурс Rг является понятием юридическим. Этот ресурс определяет, когда предприятие-изготовитель принимает претензии по качеству выпущенных изделий. Гарантийный ресурс совпадает с периодом приработки.

Вопросы для самоконтроля

1.Какие показатели относятся к составляющим надёжности?

2.Какой поток случайных событий называется простейшим?

3.Свойства простейшего потока и их характеристики.

4.Вероятность безотказной работы.

5.Определение вероятности безотказной работы на некотором интервале времени.

6.Что такое вероятность отказов?

7.Что такое интенсивность отказов?

8.Плотность вероятности отказов.

9.Характерные участки кривой интенсивности отказов невосстанавливаемых технических устройств.

10.Как определяется среднее время безотказной работы?

11.Основные расчётные соотношения между показателями надёжности для случая, когда t << T.

3. НАДЁЖНОСТЬ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ

Решение любой задачи, выполнение любой функции, возложенной на ЭВМ, работающей в сети или локально, возможно при взаимодействии аппаратных и программных средств. Поэтому при анализе надёжности выполнения ЭВМ заданных функций следует рассматривать единый комплекс аппаратных и программных средств [4].

По аналогии с терминами, принятыми для обозначения показателей надёжности ТУ, под надёжностью программного обеспечения (ПО) понимается свойство этого обеспечения выполнять заданные функции, сохраняя свои характеристики в установленных пределах при определённых условиях эксплуатации.

Надёжность ПО определяется его безотказностью и восстанавливаемостью.

Безотказность ПО – это свойство сохранять работоспособность при использовании его для обработки информации в ИС. Безотказностью программного обеспечения оценивается вероятность его работы без отказов при определённых условиях внешней среды в течение заданного периода наблюдения.

Вприведённом определении под отказом ПО понимается недопустимое отклонение характеристик функционирования этого обеспечения от предъявляемых требований. Определённые условия внешней среды – это совокупность входных данных и состояние самой ИС. Заданный период наблюдения соответствует времени, необходимому для выполнения на ЭВМ решаемой задачи.

Безотказность ПО может характеризоваться средним временем возникновения отказов при функционировании программы. При этом предполагается, что аппаратные средства ЭВМ находятся в исправном состоянии. С точки зрения надёжности, принципиальное отличие ПО от аппаратных средств состоит в том, что программы не изнашиваются и их выход из строя из-за поломки невозможен. Следовательно, характеристики функционирования ПО зависят только от его качества, предопределяемого процессом разработки. Это означает, что безотказность ПО определяется его корректностью и зависит от наличия в нём ошибок, внесённых на этапе его создания. Кроме того, проявление ошибок ПО связано ещё и с тем, что в некоторые моменты времени на обработку могут поступать ранее не встречавшиеся совокупности данных, которые программа не в состоянии корректно обработать. Поэтому входные данные в определённой мере влияют на функционирование ПО.

Вряде случаев говорят об устойчивости функционирования ПО. Под этим термином понимается способность ПО ограничивать последствия собственных ошибок и неблагоприятных воздействий внешней среды или противостоять им. Устойчивость ПО обычно обеспечивается с помощью введения различных форм избыточности, позволяющих иметь дублирующие модули программ, альтернативные программы для одних и тех же задач, осуществлять контроль за процессом исполнения программ.

3.1.СРАВНИТЕЛЬНЫЕ ХАРАКТЕРИСТИКИ ПРОГРАММНЫХ И АППАРАТНЫХ ОТКАЗОВ

Программные отказы изделия и аппаратные отказы имеют много общего, но во многом существенно различаются. Общее между ними:

а) невыполнение объектом заданных функций; б) времена до отказов и времена устранения отказов носят случайный характер;

в) методы обработки статистических данных об отказах одинаковы, а потому статистические оценки показателей надёжности аппаратной и программной, полученные по результатам испытаний и эксплуатации, могут быть одинаковыми по своему названию: средняя наработка объекта на программный отказ, интенсивность программных отказов объекта и т.д.

Возможны и объединённые (комплексные) оценки: средняя наработка объекта на программный и аппаратный отказ и т.п.

Вместе с тем отказы программные существенно отличаются от отказов аппаратурных:

а) отказ аппаратный зависит либо от времени, либо от объёма выполненной работы, а отказ программный – от той функции, которую выполняет изделие под управлением программы (точнее, от того, с какой вероятностью программа выйдет на такой участок, который содержит ошибку);

б) обнаружение и устранение аппаратного отказа (заменой отказавшего элемента исправным) не означает, что такой же отказ не повторится при дальнейшей работе изделия, а обнаружение и устранение отказа программного (исправление программы) означает, что такой отказ в дальнейшем не повторится;

в) программный отказ, обнаруживаемый при автономной проверке программы, может переходить в разряд недействующих, если состояние аппаратуры делает её нечувствительной к данному виду программного отказа. Например, если в программе ошибочно не предусмотрена программная защита от аппаратного сбоя, то это программный отказ, но если при этом в аппаратуре не возникает сбоя, то отказ программный становится недействующим;

г) прогнозировать возникновение аппаратных отказов сравнительно легко, а прогнозировать возникновение отдельных программных отказов трудно, а часто и невозможно. Для отдельных программных отказов трудно предвидеть время, когда они становятся действующими, а когда – недействующими;

д) аппаратные отказы целесообразно подразделять на внезапные и постепенные, т.е. отказы, различные по своей физической природе, законам распределения времени до отказа, методам борьбы за снижение их вероятности. Программные отказы нет смысла делить на внезапные и постепенные. Они возникают, как только программа переходит на такой участок, который содержит "ошибку". В то же время они по природе своей не совпадают с внезапными аппаратными отказами. Вероятность их возникновения не связана с продолжительностью работы изделия, а связана с условной вероятностью того, что программа содержит ошибку в данной части программы, и вероятностью того, что изделие будет работать под управлением этой части программы.

3.2. ОСНОВНЫЕ ПРИЧИНЫ ОТКАЗОВ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ Основными причинами, вызывающими нарушения нормального функционирования ПО, являются: ошибки, скрытые в самой программе; искажение входной информации; неверные действия пользователя;

неисправность аппаратных средств ИС, на которой реализуется вычислительный процесс.

Ошибки, скрытые в программе. При разработке сложного ПО возможно возникновение ошибок, которые не всегда удаётся обнаружить и ликвидировать в процессе отладки. В силу этого в программах остается некоторое количество скрытых ошибок. Они являются причиной неверного функционирования этих программ. Среди ошибок подобного рода можно выделить следующие характерные группы.

Ошибки вычислений. Ошибки этой группы связаны с некорректной записью или программированием математических выражений, а также неверным преобразованием типов переменных. Вследствие этого получаются неправильные результаты.

Логические ошибки. Эта группа ошибок является причиной искажения алгоритма решения задачи. К ошибкам подобного рода можно отнести неверную передачу управления, неверное задание диапазона изменения параметра цикла, неверное условие и другие ошибки.

Ошибки ввода-вывода. Эти ошибки связаны с неправильным управлением ввода-вывода, формированием выходных записей, определением размера записей и другими неправильно свершёнными действиями.

Ошибки манипулирования данными. К числу таких ошибок относятся: неверное определение числа элементов данных; неверные начальные значения, присвоенные данным; неверное указание длины операнда или имени переменной и другие ошибки.

Ошибки совместимости связаны с отсутствием совместимости разрабатываемого или применяемого ПО с операционной системой или другими прикладными программами.

Ошибки сопряжений. Группа этих ошибок вызывает неверное взаимодействие ПО с другими программами или подпрограммами, с системными программами, устройствами ЭВМ или входными данными.

Искажение входной информации. Указанная причина вызывает нарушение функционирования ПО, когда входные данные не попадают в допустимую область значения переменных. В этом случае возникает несоответствие между исходной информацией и возможностями программы.

Неверные действия пользователя связаны с неправильной интерпретацией сообщений, с неправильными действиями пользователя при работе в диалоговом режиме. Часто эти ошибки являются следствием некачественной программной документации.

Неисправность аппаратных средств ИС. Эти неисправности оказывают определённое влияние на характеристики надёжности ПО. Появление отказов или сбои в работе аппаратуры приводят к нарушению хода обработки информации и, как следствие, могут искажать как исходные данные, так и саму программу.

Следствием появления ошибок в программе является её отказ. Последствия отказов ПО можно разделить на:

–полное прекращение выполнения функций программы;

–кратковременное нарушение хода обработки информации в ИС.

Степень серьёзности последствий отказов ПО оценивается соотношением между временем восстановления программы после отказа и динамическими характеристиками объектов, использующих результаты работы этой программы.

Аварийное завершение работы прикладного ПО легко идентифицируется, так как операционная система выдаёт сообщения, содержащие аварийный код. Характерными причинами появления аварийного завершения являются ошибки при выполнении макрокоманды, неверное использование методов доступа, нарушение защиты памяти, нехватка ресурсов памяти, неверное использование макрокоманды, возникновение программных прерываний, для которых не указан обработчик, и другие причины.

3.3. ОСНОВНЫЕ ПОКАЗАТЕЛИ НАДЁЖНОСТИ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ Если рассматривать отказавшее ПО без учёта его восстановления, а также случайный характер отказов в программах, то

основные показатели надёжности в этом случае не отличаются от тех, которые были рассмотрены в главе 2. При этом характер изменения этих показателей во времени будет зависеть от модели надёжности ПО.

Таким образом, основными показателями надёжности ПО являются:

–вероятность безотказной работы программы p(t), представляющая собой вероятность того, что ошибки программы не проявятся в интервале времени (0, t);

–вероятность отказа программы q(t) или вероятность события отказа ПО до момента времени t;

–интенсивность отказов программы λ(t);

–средняя наработка программы на отказ T, являющаяся математическим ожиданием временного интервала между последовательными отказами.

3.4.МОДЕЛИ НАДЁЖНОСТИ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ

При определении характеристик надёжности ПО учитывается тот факт, что возникающие при работе программ ошибки устраняются, количество ошибок уменьшается и, следовательно, их интенсивность понижается, а наработка на отказ программы увеличивается. В связи с такими предположениями рассматриваются несколько моделей надёжности ПО: модель с дискретно-понижающей частотой появления ошибок, модель с дискретным увеличением наработки на отказ или ошибку ПО, экспоненциальная модель надёжности ПО.

Модель с дискретно-понижающей частотой появления ошибок ПО. В этой модели предполагается, что интенсивность отказов программы λ(t) является постоянной величиной до обнаружения возникшей ошибки и, как следствие – отказа программы и её устранения. После этого значение λ(t) уменьшается и интенсивность отказов снова становится константой. В этой модели предполагается, что между λ(t) и числом оставшихся в программе ошибок существует зависимость:

λ(t) = K(M −i) = λi ,

где M – неизвестное первоначальное число ошибок; i – число обнаруженных ошибок, зависящее от времени t; K – некоторая константа.

Характер изменения интенсивности отказов для этой модели представлен на рис. 3.1. Плотность распределения времени обнаружения i-й ошибки ti определяется соотношением

f (ti ) = λi e−λi ti .

Значения неизвестных параметров K и M могут быть оценены на основании последовательности наблюдения интервалов между моментами обнаружения ошибок.

λ (t)

K

Рис. 3.1. Характер изменения интенсивности отказов программы от времени наработки при модели с дискретнопонижающей частотой появления ошибок

На практике условия рассмотренной модели нередко не соблюдаются, а именно:

–не всегда при устранении ошибки интенсивность отказов уменьшается на одну и ту же величину K, так как разные ошибки имеют различное влияние на ход исполнения программы;

–довольно часто возникают ситуации, при которых устранение одних ошибок приводит к появлению новых;

–не всегда удаётся устранить причину ошибки и программу продолжают использовать, так как при других исходных данных ошибка может себя и не проявить.

Модель с дискретным увеличением времени наработки на отказ. Основным допущением в этой модели является предположение о том, что отказы и ошибки программы в начале эксплуатации возникают часто. По мере отладки программы таких ошибок становится меньше, а время наработки на отказ после ликвидации очередного отказа увеличивается (рис. 3.2).

момент времени t2. Наработка до второй ошибки определяется интервалом t(2) . В соответствии с предположением, этот

необходимое на ликвидацию ошибки, в расчёт не берется. В этом случае для всех случайных моментов времени возникновения ошибки и временных интервалов между соседними ошибками можно записать: