Budapesti Műszaki és Gazdaságtudományi Egyetem Méréstechnika és Információs Rendszerek Tanszék Kvalitatív hibaterjedési analízis Autonóm és hibatűrő információs.

Az előadások a következő témára: "Budapesti Műszaki és Gazdaságtudományi Egyetem Méréstechnika és Információs Rendszerek Tanszék Kvalitatív hibaterjedési analízis Autonóm és hibatűrő információs."— Előadás másolata:

1 Budapesti Műszaki és Gazdaságtudományi Egyetem Méréstechnika és Információs Rendszerek Tanszék Kvalitatív hibaterjedési analízis Autonóm és hibatűrő információs rendszerek Kocsis Imre ikocsis@mit.bme.hu 2013.10.14.

2 Hibaterjedés  Függőségek o erőforráshasználat o adatcsere  Hibaterjedés: o erőforrás-állapot o adat o … vagy hiánya

3 Hibaterjedés függő komponensek között (Laprie et al.: Basic Concepts of and Taxonomy of Dep. And Secure Computing, 2004) Eltérés a hibamentes rendszer viselkedéséhez képest Eltérés a hibamentes rendszer viselkedéséhez képest EPA: az eltérés data flow- szerű terjedését vizsgáljuk Belső és külső hibákra is

4 Önálló komponensek: hibaautomata Inputs and outputs: behavior v 0, v 0, v 3, v 2, v 0, … reference v 1, v 0, v 4, v 2, v 0, … actual E 1, E 0, E 2, E 0, E 0, …  Kapcsolatok: protokoll- automata saját abc-vel  Kompozit-automata: referencia + egy adott mutáció  Adathiba: referenciarendszer viselkedésétől eltérés  Ill. hipotézise  Klasszifikáció: „mérnöki tapasztalat”  A végeredmény egy errorokat olvasó és író automata! ( / mutáció)

5 Pontosítsunk.

6 Követelménymodellezés

7 LTL & CTL

8 LTL

9 Kompozit modellek  „Referencia” és „valódi” (actual) komponens  Valódi komponens: o Lehet mutáció (jobbra lent épp nem az) o A bemenetek eltérhetnek a „referencia-futástól”  Ötlet: hasonlítsuk össze a kettőt!

10 Kompozit modell Kompozit modell, mint error-automata: bemeneti és kimeneti változókon predikátumok

11 11 Példa: Cruise Control

12 12 {OK, OMISSION, VALUEERR} …,s s3,s s2,s s1,s s0 Példa: Cruise Control

13 13 {OK, OMISSION, VALUEERR} …,s s3,s s2,s s1,s s0 …,s k3,s k2,s k1,s k0 {OK, OMISSION, VALUEERR} Példa: Cruise Control

14 14 …,s sp3,s sp2,s sp1,s sp0 {OK, OMISSION, ERRACTIVE, VALUEERR} Példa: Cruise Control

15 Temporális absztrakció a hibaautomatán  Rendszerfutás: hibák sorozatai a kapcsolatokon o „no error” error  Lehetséges hiba-futások halmazának particionálása: szindrómák o Időbeli absztrakció o Példa: vegyük a legsúlyosabbat (  „súlyossági” reláció!)  Végeredmény: „táblázat” (reláció) a bemeneti/kimeneti szindrómákon (+ belső hibamód)  „Overabstraction”: kútfőből építkezve a táblázat akár „hamis” sorokat is tartalmazhat… E 1, E 0, E 2, E 2, E 0, … S5S5

16 Miért? Dinamikus vizsgálatok korlátai  Állapottér-kezelés problémái o precíz modellezés o kompozit rendszerek o lásd modellellenőrzés (Formális módszerek)  Modellezési problémák o "fekete doboz" rendszerek  Sebesség - valósidejű diagnosztika?

17 Hibaterjedés statikus leírása  Informálisan: dinamika elhagyása  Állapot-absztrakció o komponensek belső hibamódja  Absztrakció az adatfolyamon o térbeli: kvalitatív hibamódok o időbeli: hiba-futás klasszifikálása o mellékhatás: ütemezés, szinkronitás elvesztése

18 Elemtípus-szintű hibaterjedés statikus leírása  Reláció o bemeneti szindróma-változók o kimeneti szindróma-változók o (belső) hibaállapot  Topológia o dinamikus struktúrák modellezése?  Valódi pesszimista túlabsztrahálás o „pessimistic overabstraction” o szemantika

19 Hibaterjedés statikus analízise  Kihívások o mérnöki modellezés o kvalitatív hibamódok között teljes rendezés? o Szindróma-készletek kompozicionalitása o leképezés matematikai analízisre o analízis-megoldás illesztése nyílt rendszertervezési és rendszermenedzsment eszközökhöz metamodellezés

20 Példa

21 21 Various sensors Speed sensor (km/h) Példa

22 22 Various sensors Cruise control keypad, boolean status message: Active/inactive Increase CC speed value Decrease CC speed value Példa

23 23 Various sensors Accelerator pedal sensor (0-100 integer) Példa

24 24 Various sensors Ignition state sensor (on/off) Példa

25 25 Various sensors Engine sensor: rotation (1/min) and temperature (Celsius) Példa

26 26 Cruise control When CC is active, periodically emits simulated pedal positions to keep the speed set. Példa

27 Engine control Computes necessary fuel valve position. 1.Ignition off: valve = 0 2.Active CC overrides real pedal position if CC >= pedalPosition 3.Engine status influences computation (  protection) Példa

28 28 Various sensors Cruise control Engine control Fuel valve Példa

29 Cruise control Példa

30  Simple existential partitioning of error-runs  Example: simulatedPedalPosition error dictionary o OK, OMISSION, ERRACTIVE, VALUEERR Failure category nameDescription OKNo error in the run OMISSION{OK, OMISSION} ω ERRACTIVE{OK, ERRACTIVE} ω VALUEERR{OK, VALUEERR} ω MIXEDAt least two different errors that are not OK Syndromes

31  Simple existential partitioning of error-runs  Example: simulatedPedalPosition error dictionary o OK, OMISSION, ERRACTIVE, VALUEERR Failure category nameDescription OKNo error in the run OMISSION{OK, OMISSION} ω ERRACTIVE{OK, ERRACTIVE} ω VALUEERR{OK, VALUEERR} ω MIXEDAt least two different errors that are not OK Propagation relation: (speed, keyStatus, simPedalPos) (failure) syndromes Syndromes

32  Simple existential partitioning of error-runs  Example: simulatedPedalPosition error dictionary o OK, OMISSION, ERRACTIVE, VALUEERR Failure category nameDescription OKNo error in the run OMISSION{OK, OMISSION} ω ERRACTIVE{OK, ERRACTIVE} ω VALUEERR{OK, VALUEERR} ω MIXEDAt least two different errors that are not OK Will be omitted for sake of simplicity Syndromes

33 The question to ask: what do we know about the component?  1. Nothing: relation contains all combinations  2. No internal fault modes: for OK inputs OK output  3. Detection of input OMISSIONs o Response?  e.g. fail-silent for input OMISSIONs  4. Contextual knowledge: inputs are fail-silent o No VALUEERR and therefore MIXED Syndrome relations

34 The question to ask: what do we know about the component?  1. Nothing: relation contains all combinations  2. No internal fault modes: for OK inputs OK output  3. Detection of input OMISSIONs o Response?  e.g. fail-silent for input OMISSIONs  4. Contextual knowledge: inputs are fail-silent o No VALUEERR and therefore MIXED First ruleset: assumptions 2. + 3. + 4. Second ruleset: assumptions 2. + 3. Szindróma-relációk

35 Rule IDspeedkeyStatussimSpeedPos CC_1OK CC_2OKOMISSION CC_3OMISSIONOKOMISSION CC_4OMISSION FS szenzor és CC

36 Rule IDspeedkeyStatussimSpeedPos CC_5OKVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_6OMISSIONVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_7VALUEERROKOK, VALUEERR CC_8VALUEERROMISSIONOK, OMISSION, VALUEERR CC_9VALUEERR OK, OMISSION, ERRACTIVE, VALUEERR CC FS a kihagyásra

37 Rule IDspeedkeyStatussimSpeedPos CC_5OKVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_6OMISSIONVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_7VALUEERROKOK, VALUEERR CC_8VALUEERROMISSIONOK, OMISSION, VALUEERR CC_9VALUEERR OK, OMISSION, ERRACTIVE, VALUEERR + rules CC_1 – CC_4 CC FS a kihagyásra

38 38 ERRACTIVE Fixed (hypothesis or monitoring) Analízis-példa

39 39 ERRACTIVE speed = ? keyStatus = ? Analízis-példa

40 40 ERRACTIVE speed = ? keyStatus = ? We simulate Constraint Satisfaction Problem solving by hand Analízis-példa

41 41 Rule IDspeedkeyStatussimSpeedPos CC_1OK CC_2OKOMISSION CC_3OMISSIONOKOMISSION CC_4OMISSION CC_5OKVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_6OMISSIONVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_7VALUEERROKOK, VALUEERR CC_8VALUEERROMISSIONOK, OMISSION, VALUEERR CC_9VALUEERR OK, OMISSION, ERRACTIVE, VALUEERR Analízis-példa

42 Rule IDspeedkeyStatussimSpeedPos CC_1OK CC_2OKOMISSION CC_3OMISSIONOKOMISSION CC_4OMISSION CC_5OKVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_6OMISSIONVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_7VALUEERROKOK, VALUEERR CC_8VALUEERROMISSIONOK, OMISSION, VALUEERR CC_9VALUEERR OK, OMISSION, ERRACTIVE, VALUEERR Analízis-példa

43 Rule IDspeedkeyStatussimSpeedPos CC_1OK CC_2OKOMISSION CC_3OMISSIONOKOMISSION CC_4OMISSION CC_5OKVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_6OMISSIONVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_7VALUEERROKOK, VALUEERR CC_8VALUEERROMISSIONOK, OMISSION, VALUEERR CC_9VALUEERR OK, OMISSION, ERRACTIVE, VALUEERR {OK, OMISSION, VALUEERR} {VALUEERR} Analízis-példa

44 speedkeyStatussimSpeedPos OK, OMISSION, VALUEERRVALUEERRERRACTIVE 44  Solution:  Conclusion: for a fail-silent cruise control component, we need a fail-silent keypad. Analízis-példa

45 45 simPedalPos = ? VALUEERR OK Analízis-példa

46 46 Rule IDspeedkeyStatussimSpeedPos CC_1OK CC_2OKOMISSION CC_3OMISSIONOKOMISSION CC_4OMISSION CC_5OKVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_6OMISSIONVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_7VALUEERROKOK, VALUEERR CC_8VALUEERROMISSIONOK, OMISSION, VALUEERR CC_9VALUEERR OK, OMISSION, ERRACTIVE, VALUEERR Analízis-példa

47 47 Rule IDspeedkeyStatussimSpeedPos CC_1OK CC_2OKOMISSION CC_3OMISSIONOKOMISSION CC_4OMISSION CC_5OKVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_6OMISSIONVALUEERROK, OMISSION, ERRACTIVE, VALUEERR CC_7VALUEERROKOK, VALUEERR CC_8VALUEERROMISSIONOK, OMISSION, VALUEERR CC_9VALUEERR OK, OMISSION, ERRACTIVE, VALUEERR  Conclusion: cruise control masks speed sensor value errors only sometimes  Actually when it is inactive Analízis-példa

48 48 VALUEERR OK OK, VALUEERR Analízis-példa

49 49 VALUEERR OK OK, VALUEERR OK More involved rules. 1.Normal op.: CC>= pedal  uses CC 2.Safe state: valve = 0 3.Can detect OMISSION, but not CC ERRACTIVE Analízis-példa

50 50 VALUEERR OK OK, VALUEERR OK, ERROPEN, VALUEERR OK Analízis-példa

51 51 VALUEERR OK OK, VALUEERR OK, ERROPEN, VALUEERR OK Note: in practice this is a one-pass operation; the whole system is translated to a single CSP problem Analízis-példa

52 52  Possible system outputs:  OK, ERROPEN, VALUEERR  Conclusion: speed sensor value errors can compromise not only functionality, but system safety. Analízis-példa

53 53 Problem Dependability and security: Mandated by business needs & regulatory compliance Dependability and security: Mandated by business needs & regulatory compliance Controls: technical, management, operational; checked by audits e.g. Risk Assesment of physical faults Threat Service impact HA  only short Cashier outages At most longer service completion Cashier transactionality Maximum business impact IT audit & compliance today Rudimentary Computer Assisted Audit Tools & Techniques (CAATT)  labour-intensive work Complexity and system/service change rate rise Continous auditing? Full coverage instead of sampling? IT audit & compliance today Rudimentary Computer Assisted Audit Tools & Techniques (CAATT)  labour-intensive work Complexity and system/service change rate rise Continous auditing? Full coverage instead of sampling? The example was radically simplified! BPM: rapidly becoming the norm in some sectors CMDBs: mandated by ITIL v3 (and necessity) Idea: automated dependability and security analysis on existing models Idea: automated dependability and security analysis on existing models

54 54 Example Single Fault Outage OK Failover DELAYED STUCK DELAYED