Développer des systèmes sûrs à partir de composants COTS non sûrs: mythe ou réalité?

Transcription

1 Atelier Composants commerciaux pour l informatique embarquée CNES, Toulouse 12 juin 2002 Développer des systèmes sûrs à partir de composants COTS non sûrs: mythe ou réalité? Jean Arlat et Jean-Charles Fabre {arlat, fabre}@laas.fr Toulouse - France

2 Développement axé sur l utilisation de composants (logiciels)! Intégration de composants préalablement développés (commerciaux ou non) OTS = soit COTS soit OSS! Motivations et avantages " productivité et délai de réalisation " prise en compte des avancées technologiques " compatibilité avec les standards industriels " «qualité» (composants largement diffusés)! Applications à fortes exigences en sûreté de fonctionnement?

3 Sûreté de fonctionnement des systèmes d exploitation «COTS» 15 «COTS» OSs [Koopman & DeVale (FTCS-29)] AIX FreeBSD HP-UX B.9.05 HP-UX B Irix 5.3 Irix 6.2 Linux Abort % Silent % Restart % Catastrophic LynxOS NetBSD OSF OSF QNX 4.22 QNX SunOS 4.13 SunOS 5.5 0% 0 10% 20% 30% 30 40% 50% Normalized failure rate (%) Paramètres invalides dans les appels système au niveau API POSIX

4 Environnement prototype de caractérisation et de wrapping (empaquetage) Détection Propagation Défaillances Traces d exécution Microkernel Assessment by Fault injection AnaLysis Design Aid Arlat et al (IEEE ToC - Fév. 2002) Modèles fonctionnels Assertions exécutables Wrappers Mise en œuvre réflexive MAFALDA

5 Architecture de MAFALDA Rack de machines cibles - Intel Pentium Machine pilote - Sun SPARCstation 20 (Solaris 2.5.1)

6 Architecture de MAFALDA W1 PARAMETER INJECTOR W2 remote access EXPERIMENT CONTROLLER Campaign File Descriptor Application Level MICROKERNEL INJECTOR Microkernel Level Rack de machines cibles - Intel Pentium Log File Experiment Results Workload File Descriptors #1 #2 #3 #4 Machine pilote - Sun SPARCstation 20 (Solaris 2.5.1)

7 Architecture de MAFALDA W1 PARAMETER INJECTOR W2 remote access EXPERIMENT CONTROLLER Campaign File Descriptor Application Level MICROKERNEL INJECTOR Microkernel Level Log File Experiment Results Workload File Descriptors #1 #2 #3 #4 Rack de machines cibles - Intel Pentium Machine pilote - Sun SPARCstation 20 (Solaris 2.5.1)

8 Comportement en présence de fautes Corruption application! Défaillance application (valeur & ordre exécution)! Blocage application API Erreur Application / middleware Micronoyau Propagation Corruption Interne Erreur µkci Propagation! Détection interne " Statut d erreur " Exceptions! Blocage noyau µkcj

9 ! Micronoyaux cibles Cas d études " Chorus ClassiX (code source disponible) " LynxOS r (code source non-disponible)! Composants fonctionnels " SYN : synchronisation (par semaphores) " MEM : gestion mémoire " SCH : ordonnancement (type FIFO preemptif) " COM : gestion de la communication (locale and distante)! Types d injection de fautes " Injection dans les segments de code et de données des composants " Injection dans les paramètres des appels système! Examples de résultats expérimentaux " Distribution des erreurs " Propagation des erreurs " Latence des exceptions " Comparaison entre les µnoyaux cibles

10 Regroupement des données DEFAILLANCE 9% Expériences non significatives 28.5% NO OBS. 28,5% ERROR STATUS 3,0% APPFAIL 9,0% APPHANG 6,0% SYSHANG 1,4% 3010 Exp. KDB 13,9% BLOCAGE 21.3% EXCEPTION 38,1% DETECTION 41.1%

11 Distribution des erreurs (segment de code) Non sign. 28.5% DEFAILLANCE 9% 3010 exp. BLOCAGE 21.3% DEFAILLANCE 2.4% BLOCAGE Non sign. 7% 33% 2924 exp. DETECTION 41.1% SYNCHRONISATION Non sign. 31.3% DEFAILLANCE 3.6% 2970 exp. BLOCAGE 10.3% MEMOIRE DETECTION 57.7% COMMUNICATION DETECTION 55%

12 Propagation des erreurs (segment de code) 63.3 % COM 84,2% AF Défaillance Appl. 0% EXC Exception 15,8% ES Statut d erreur (30/3010) SYN 36.7 % MEM 100%AF 0% EXC 0% ES SYN COM 32,5%AF 61,3%EXC 6,2% ES 55,8 % 8,9% AF 77,2%EXC 13,9%ES SYN 57.7 % COM 100%AF 0% EXC 0% ES 43.3 % (26/2970) 44,2 % MEM (181/2924) MEM 100%AF 0% EXC 0% ES

13 Latence des exceptions (segment de code) % # EXceptions % 60% 40% 20% Dist. Cumulée microsecondes 0% >10

14 Chorus vs. LynxOS Kernel code % Appli. Failure Appli. Hang Kernel Hang Exception Error Status No Obs

15 Définition de Wrappers! Sémantique des composants P : (I, Ci) (Co, O, S)! Modélisation du comportement Paramètres d entrée I Context In Ci Context Out Co Parmètres de sortie O S Statut d erreur! Types de prédicats " Complexité des composants cibles " Niveau d abstraction requis pour obtenir un modèle réaliste

16 Exemple: Wrapper de Synchronisation Semaphore s: Sémaphore - integer s.val - process queue s.queue Main operations: Opérations : - Init: I(s) - Get: P(s) - Release:V(s) Let #P(s) and #V(s) be the total number of calls to the P(s) and et V(s): Soit et les nombres d appels respectifs à s.val = init_value - #P(s) + #V(s) Let #Suspended(s) the le nb. number de threads of threads dans in s.queue: Soit #Suspended(s) = max(0, -s.val) Initial value: init_value Val. Initiale : Wrapper µk comp. SYN P(s) V(s) Accordingly, the predicate can be defined as: Le prédicat peut ainsi être défini par : [s.val = init_value - #P(s) + #V(s)] [#Suspended(s) = max(0, -s.val) ]

17 Impact du Wrapping Composant standard Wrapper SYN Wrappers SYN & SCH Composant synchronisation SYN APPFAIL (%) Application Failure (%) Composant ordonnancement SCH 25% 20% 15% 10% 5% 0% 5% Comp. standard 2% Appl. Failure 15% 4% Application Hang Wrapper SCH 3% 1% Kernel Hang 23% 7% Total

18 Vers une technologie d empaquetage pour la SdF des systèmes temps réels à base de micronoyaux Specification (temporal logic) Formula+Actions FA1 Formula+Actions FA2... Formula+Actions FAn COMPILATION The wrappers are executed concurrently on a virtual machine Wrappers WFA1 WFA2... WFAn Runtime checker Error signal The model is a set of formulas in temporal logic including actions Automatic generation of the wrappers code Observation (data, ticks, events) The TSC must deliver data items, clock ticks and events to the wrappers TSC Target Software Component Control (actions) Fault Tolerance Detection Recovery Caracterization Synchronization Injection Observation

19 MAFALDA-RT Limitation de l intrusion temporelle Détection Propagation Défaillances (en valeur & en temps) Traces d exécution Caractéristiques temporelles du noyau (temps de basculement) Analyse du séquencement des événements observés Microkernel Assessment by Fault injection AnaLysis Design Aid for Real-Time systems Spécification formelle en logique temporelle Compilation Vérificateur en ligne Mécanismes d empaquetage détection recouvrement Mise en œuvre réflexive Analyse explicite du surcoût temporel

20 Conclusions et perspectives! Niveau d assimilation préconisé:! Composants COTS logiciels cibles : OSs, Middleware (CORBA), Black Box MetaIF. Wrapper! Solutions architecturales: > Couches de wrappers réflexifs! Benchmarking > Projet IST DBench (Dependability Benchmarking) > IFIP WG 10.4 SIG on Dependability Benchmarking COTS MW Wrapper COTS OS [ [ Impact sur le processus de qualification voire de certification. M IF M IF IF