L I S. Composants COTS et sûreté de fonctionnement RIS. Jean Arlat. Atelier thématique n 5 Mardi 18 mars 2003 LAAS-CNRS Toulouse. [arlat@laas.

Transcription

1 astrium AIRBUS RIS TECHNICATOME Atelier thématique n 5 Mardi 18 mars 2003 LAAS-CNRS Toulouse Composants COTS et sûreté de fonctionnement Jean Arlat [arlat@laas.fr] L I S EDF Electricité de France technicatome THOMSON-CSF

2 Components and Systems Concerned Components of a computer system Application: Oracle, Flight Control, Middleware: CORBA, DCOM, OLE, Operating System: Unix, Windows, Linux, Microkernel: Chorus, LinxOS, PalmOS, Processor: Pentium, PowerPC, Components: Appl. Appl. Application Application Appl. Appl. Application Middleware No Reuse MW Middleware MW Middleware COTS Executive Executive Executive Executive Executive Hardware Embedded control systems Large-scale distributed systems: Web servers, ground stations, etc. SW development tools (simulators, compilers, etc.)

3 How to Build Dependable Systems from Undependable COTS Components? Level of Confidence sufficient -> Integrate Level of Confidence not sufficient: -> Discard! -> Fault containment mechanisms & service degradation -> Fault containment mechanisms & service continuity [Depending on the degree of redundancy]

4 Related Architectural Solutions Type of COTS Dependability Objectives Hardware Kernel,OS, Middleware Compiler Application Fault containment & service degradation Control by independent functions Partitioning Wrapping Series of protections, watchdog timer, coded processor, safety bag, etc. Possible, but? Insulation or communication by integrity checks Chorus & CORBA wrappers Metacompilation IMA Firewalling filtering,... Fault containment & service continuity (d redundancy) Decorrelation of activity of identical components Diversified components Asynchr. redundant channels (Elektra) B777 Applicable but? 1 compil. options Compilers N/A NVP, RB, NSCP,...

5 Contrôle par fonctions indépendantes Safety Bag: Architecture Elektra (Alcatel Austria) Poste de commande VIO VIO : ControlVideo Controller VIO Commande Surveillance Nœud Votrics Nœud Votrics Interlocking Peripheral Controller A Interlocking Peripheral Controller B Voie Interface de commande (ET) Interface de commande (ET) Interface de commande (ET) Canaux indépendants pour traitement fonctionnel et traitement de contrôle (surveillance) Traitement de contrôle (test d acceptation) : assertions exécutables

6 Objectifs : Étendre la fonctionnalité e.g., interface POSIX sur RTOS COTS Restreindre la fonctionnalité limiter possibilités d invocation à celles validées Filtrer paramètres d entrée et de sortie Empaquetage limiter valeurs aux domaines acceptables Détecter et confiner les erreurs par assertions exécutables efficacité dépend fortement : du degré de formalité de la spécification, et la connaissance que l on en a de l observabilité des opérations internes API* API COTS Empaquetage API* API* Boîte blanche meilleure Observabilité (open source) API COTS Boîte grise interface réflective fournie par fabricant COTS permet l introspection API COTS Empaquetage Empaquetage

7 Wrapping Framework for RT µkernels Formal specifications Formula F1 Formula F2... Formula Fn Temporal Logic compilation Wrappers W1 W2... Wn Runtime checker µkernel functional components Interface Observation Reflection SCHEDULING TIMING SYNCHRONIZATION ETC. Target Software [COTS] Component Chorus µkernel

8 MAFALDA-RT Limitation de l intrusion temporelle Détection Propagation Défaillances (en valeur & en temps) Traces d exécution Caractéristiques temporelles du noyau (temps de basculement) Analyse du séquencement des événements observés Microkernel Assessment by Fault injection AnaLysis Design Aid for Real-Time systems Spécification formelle en logique temporelle Compilation Vérificateur en ligne Mécanismes d empaquetage détection recouvrement Mise en œuvre réflexive Analyse explicite du surcoût temporel

9 Impact of Wrapping Chorus microkernel [Salles et al. 99 (FTCS-29)] Standard component SYN Wrapper SYN & SCH wrappers Synchronisation component: SYN APPFAIL (%) Erroneous results (%) Task Scheduling Component: SCH 25% 20% 15% 10% 5% 0% 5% Standard Comp. 2% Erroneous Results 15% 4% Application Hang SCH wrapper 3% 1% System Hang 23% 7% Total

10 Diversification des composants Pilotes Boeing 777 Bus ARINC 629 Outils et règles Spécification fonctionnelle Équipe prog. Intel Motorola 6840 AMD ACE Actionneurs ACE Programme source ACE Compilateur A Compilateur B Compilateur C Exécutable A Exécutable B Exécutable C ACE Exécutif A Exécutif B Exécutif C Autres équipements Processeur A Exécution A Processeur B Exécution B Processeur C Exécution C Comparaison PFC Gauche PFC Centre Primary Flight Computers PFC Droit Autres équipements Actuator Control Electronics Sorties Erreur COTS Comparaison Erreur

11 Combinaison d approches The GUARDS Generic Architecture Software integrity levels I ESPRIT Project [Powell et al. 99 (IEEE TPDS no.6] Application FT and integrity management COTS OS s 1 2 M Intra-channel multiplicity Inter-channel communication network PU PU PU Inputs and unconsolidated outputs Consolidated outputs Channel C redundancy Output data consolidation COTS (commercial) components The GUARDS Partners: Technicatome (Coordinator) (F), Ansaldo Segnalamento Ferroviario (I), Matra Marconi Space France (F), INTECS Sistemi (I), Siemens Austria (A), LAAS-CNRS (F), Pisa Dependable Computer Center (I), Univ. of York (UK)

12 IF Conclusion Assimilation Level: Black Box Meta Certification of COTS components (OSE RTOS Kernel) COTS components: HW, OS, Middleware, Architectural Solutions: > Layered Reflective Wrappers Benchmarking of COTS components > IFIP WG 10.4 SIG on Dependability Benchmarking [ > IST Project Dependability Benchmarking [ Wrapper COTS MW Wrapper COTS OS. M IF M IF IF Emergence of Open Source Solutions (GT LL)