03《信息系统安全》第三讲计算机系统的可靠性

SchoolofComputerScience,BUPT《信息系统安全》第三讲信息系统的可靠性《信息系统安全》第三讲信息系统的可靠性2012年3月21日周亚建[e-mail]物理安全研究的问题物理安全研究的问题物理安全又叫实体安全（PhysicalSecurity），是保护计算机设备、设施（网络及通信线路）免遭地震、水灾、火灾、有害气体和其他环境事故（如电磁污染等）破坏的措施和过程。物理安全技术主要针对计算机及网络系统的环境、场地、设备和通信线路等采取的安全技术措施。物理安全体系结构物理安全体系结构线路安全介质安全设备安全电源安全环境安全物理安全物理安全的内涵物理安全的内涵人员安全设备安全电源安全环境安全线路安全狭义物理安全广义物理安全信息系统安全介质安全物理安全的概念物理安全的概念包括环境安全、设备安全和介质安全，主要解决由于设备、设施、介质的硬件条件所引发的信息系统物理安全威胁问题。狭义物理安全-应包含由软件、硬件、操作人员组成的整体信息系统物理安全，即包括系统物理安全。应确保信息系统的保密性、可用性、完整性。广义物理安全计算机系统的可靠性由于计算机系统故障而导致的严重事故，引发的灾难给人类社会留下了难以磨灭的痛苦记忆。WhyReliability?Case1:昀早的系统可靠性研究始于当时的纳粹德国在其V-1火箭的研制上。纳粹德国发射的V-1、V-2火箭的不可靠及美国运往远东的航空无线电设备有60％不能工作，引起了对可靠性问题的认识。1944年纳粹德国用V-2火箭袭击伦敦，有80枚火箭没有起飞就在起飞台上爆炸，还有不少火箭没有达到伦敦就掉进英吉利海峡。当时，美国海军统计，电子设备在规定所有期内仅有30％的时间能有效地工作。在此期间，因可靠性问题损失飞机2100架，是被击落飞机的1.5倍。通过大量现场调查和故障分析，采取了对策，诞生了可靠性这门学科。WhyReliability?Case2:1996年，由于火箭控制系统的故障，致使欧洲航天局耗资67亿美元研制的阿娜5号火箭在点火后37秒即在空中爆炸；Case3:第一次海湾战争中，“爱国者”导弹雷达跟踪系统的故障致使在发射导弹时产生了1/3秒的时间误差，未能拦截到伊拉克的“飞毛腿”导弹，而造成美军28人死亡、98人受伤。WhyReliability?可靠性理论研究经过了几十年的飞速发展，在各个方面都取得了非常多的成果。可靠性理论的应用也已经从军事技术扩展到社会经济生活的许多领域。计算机系统可靠性的定义可靠性理论以产品的寿命特征作为主要研究对象在规定的条件下、在给定的时间内，计算机系统能实施应有功能的能力。寿命通常用一个非负随机变量X来描述产品的寿命。X的分布函数为F(t)=P{Xt}，t0)(0ttdFEX有了寿命分布F(t)，就知道产品的平均寿命平均寿命：MTTFvs.MTBF对不可维修的产品的平均寿命是指从开始投入工作，至产品失效的时间平均值。也称平均失效前时间，记以MTTF（MeanTimeToFailure）。对可维修产品而言，其平均寿命是指两次故障间的时间平均值，称平均故障间隔时间，习惯称平均无故障工作时间MTBF（MeanTimeBetweenFailures）。MTTF实例“东方红一号”卫星设计工作寿命20天（实际工作寿命28天）MTBF实例AL31据说首翻在600小时左右，总寿命1500小时；美国同级别的F100-PW系列和F110-GE系列首翻都在1000小时以上，总寿命更是接近4000小时。后来的F119和昀近的F135、F136更不用说了航空发动机主轴承是航空发动机的关键部件之一，在高速、高温、受力复杂的条件下运转，其质量和性能直接影响到发动机性能、寿命和可靠性。目前国外发达国家航空发动机主轴承的寿命均能达到1万小时以上，完全可以满足大飞机发动机主轴承的寿命需求。而我国目前航空发动机的主轴承寿命基本在900小时以内。CFM公司56系列发动机可靠性假设C是一个具有N个元器件的数字系统，在一定的条件和环境（如温度、湿度、电压等）下运行，并且随着时间t的推移质量逐步下降。设S(t)为系统C运行至时刻t时能保持正常工作的元器件的总数，F(t)为时刻t时发生故障而失效的元器件的总数。在任何时刻，应该有N=S(t)+F(t)可靠性系统C在时刻t能正常工作的概率R(t)=S(t)/NR(t)称为系统C在时刻t的可靠性函数（简称可靠性）。R(t)是产品在时间[0,t]内不失效的概率可靠性也定义为：产品在规定条件下、在规定时间内，完成规定功能的概率。可靠性系统C在时刻t不能正常工作的概率U(t)称为系统C在时刻t的不可靠性函数（简称不可靠性）。NtFNtStRt)()(1)(1)(U可靠性表示可靠性的另一重要元素是失效函数（也称为失效率）失效率Z(t)表示了系统中元器件失效的速率。dttStFt)()(d)(ZZ(t)的浴缸形曲线（Bathtub-curve）早期失效使用寿命期损耗失效期失效率寿命时间Z(t)随时间的变化而变化，而且呈浴缸形的曲线。Z(t)的浴缸形曲线（Bathtub-curve）早期失效使用寿命期损耗失效期失效率寿命时间第一阶段早期失效期（InfantMortality）器件在开始使用时失效率很高，但随着产品工作时间的增加，失效率迅速降低。这一阶段失效的原因大多是由于设计、原材料和制造过程中的缺陷造成的。为了缩短这一阶段的时间，产品应在投入运行前进行试运转，以便及早发现、修正和排除故障；或通过试验进行筛选，剔除不合格品。Z(t)的浴缸形曲线（Bathtub-curve）早期失效使用寿命期损耗失效期失效率寿命时间第二阶段偶然失效期，也称随机失效期（RandomFailures）这一阶段的特点是失效率较低，且较稳定，往往可近似看作常数，产品可靠性指标所描述的就是这个时期。这一时期是产品的良好使用阶段。由于在这一阶段中，产品失效率近似为一常数，故设Z(t)=λ（常数）由可靠度计算公式得这一式表明设备的可靠性与失效率成指数关系。edtttRtt))(Zexp()(0Z(t)的浴缸形曲线（Bathtub-curve）早期失效使用寿命期损耗失效期失效率寿命时间第三阶段耗损失效期（Wearout）该阶段的失效率随时间的延长而急速增加，主要原因是器件的损失己非常的严重，寿命快到尽头了，可适当的维修或直接更换。R(t)和的关系可靠性不仅是时间t的函数，而且与失效率有着密切的关联。思考题关于可靠性当t=0时，R(0)=？当t=∞时，R(∞)=？不可修产品的可靠性数量指标平均寿命不可维修产品的可靠性指标平均无故障时间（MTTF）系统的可靠性越高，平均无故障时间越长。可维修产品的工作过程正常工作故障时间可维修产品的可靠性指标Availability可维修产品的可靠性数量指标可维修产品的维修性指标可维修产品的可维护性平均维修时间（MTTR，MeanTimeToRepair）来度量，即系统发生故障后维修和重新恢复正常运行平均花费的时间（即设备处于故障状态时间的平均值，或设备修复时间的平均值）。系统的可维护性越好，平均维修时间越短。0)(dtttMTTR其中：(t)是维修时间的概率密度函数。可维修产品的维修性指标：可用性可维修产品的可用性定义为：由此可见，产品的可用性定义为系统保持正常运行时间的百分比。%100MTTRMTBFMTBF它表示设备处于完好状态的概率计算机系统可用性的类型99.9999可用水平每年停机时间容错可用性极高可用性具有故障自动恢复能力的可用性高可用性可用性分类商品可用性1min99.99999.9999.9995min53min8.8h43.8h计算机产业界通常用如“9”的个数来划分计算机系统可用性的类型。计算机系统可靠性举例已知世界上第一代电子管计算机ENIAC有20000个电子管，假设每个电子管的失效率为=0.5%/kh（千小时），试求：(1)该计算机的MTTF；(2)若要求计算机的可靠性在95%以上，则之多可以工作多久？计算机系统可靠性举例HMTTFni10001.01200001000110005.0111ietRMTTFt)(HMTTFtRt510005.0)(ln如果每个电子管的失效率确实为0.05%/kh（千小时），则ENIAC在工作5小时之后其可靠性就要下降到95%一下。在这种情况下，这台号称世界上第一代计算机的可靠性十分低下。硬件可靠性计算机系统可靠性计算机系统可靠性的组成计算机系统的可靠性研究基于硬件和软件的可靠性研究软件可靠性计算机系统由硬件和软件组成，它们对整个系统的可靠性呈现完全不同的特性。硬件的可靠性和软件的可靠性也有明显的区别，而且两者发展的水平相距甚远。早期的可靠性概念是专指硬件产品的可靠性。软件可靠性的研究开始于二十世纪七十年代。随着社会生活对软件的依赖越来越强，以及由于软件故障引发的事故带来惨重的损失，使得人们对软件质量尤其是软件可靠性高度重视。硬件系统的可靠性模型目前，描述硬件系统可靠性的模型主要分为两大类：不可修系统的可靠性模型和可修系统的可靠性模型。不可修系统是指：组成系统的各部件失效后，不对失效的部件进行任何的维修。可修系统是由一些部件和一个或多个修理设备组成，修理设备对故障设备进行修理，修复后的部件可继续执行。描述硬件可靠性的模型串联系统模型、并联系统模型、串-并联（并-串联）系统模型、表决系统模型、冷贮备系统模型和热贮备系统模型等硬件系统的可靠性模型：串联系统系统由n个部件串联而成，任一部件失效就引起系统失效。硬件系统的可靠性模型：串联系统系统为不可修的情形假设第i个部件的寿命为Xi，可靠度为Ri(t)=P{Xit}，i=1,2,…,n，第i个部件的失效率为i(t)，X1，X2，…，Xn相互独立。若初始时刻t=0，所有部件都是新的，且同时开始工作。(1)系统的寿命是：X=min{X1，X2，…，Xn}(2)系统的可靠度是：(3)系统的失效率为：(4)系统的平均寿命为niintRtXXXPtR121)(,,,min)(tniinitiduuduu0110)(exp)(expniittRtRt1')()()()(000})(exp{)(dtduudttRMTTFt硬件系统的可靠性模型：串联系统当时德国在V-1火箭研制后期，提出并运用了串联系统理论，得出火箭系统可靠度等于所有元器件、零部件乘积的结论。根据可靠性乘积定律，计算出该火箭的可靠度达0.75。因此，V-1火箭成为第一个运用系统可靠性理论的飞行器。硬件系统的可靠性模型：并联系统系统由n个部件并联而成，只有当这n个部件都失效时系统才失效。硬件系统的可靠性模型：并联系统系统为不可修的情形假设第i个部件的寿命为Xi，可靠度为Ri(t)=P{Xit}，i=1,2,…,n，X1，X2，…，Xn相互独立。若初始时刻t=0，所有部件都是新的，且同时开始工作。硬件系统的可靠性模型：并联系统(1)系统的寿命是：X=max{X1，X2，…，Xn}(2)系统的可靠度是：当，i=1,2,…,n，则tXXXPtRn,,,max)(21nitetRi1]1[1)(etRti)(tXXXPn,,,max121niitR1)](1[1硬件系统的可靠性模型：并联系统(3)系统的平均寿命为：nnnjijiniidttRMTTF2101111)1(11)(硬件系统的可靠性模型：表决系统n中取k的表决系统由n个部件组成，当n个部件中有k个或k个以上部件正常工作时，系统才能正常工作（1≤k≤n）。当失效的部件数大于或等于n-k+1时，系统失效。简记为k/n(G)系统。硬件系统的可靠性模型：表决系统系统为不