第三講定義必要的可靠性

第三講定義必要的可靠性第1頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月2內(nèi)容錯(cuò)誤,缺陷和失效如何定義必要的可靠性失效嚴(yán)重等級(jí)失效強(qiáng)度目標(biāo)特殊情形第2頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月31.錯(cuò)誤

–

缺陷

–

失效(1)錯(cuò)誤(error)指的是人的行為導(dǎo)致軟件包含某一缺陷(fault).缺陷(fault,bug)是導(dǎo)致程序失效或者某一個(gè)外部錯(cuò)誤的原因(e.g.,anincorrectstate,incorrecttiming).在這三個(gè)因素中只有失效(failure)是可以觀察到的.錯(cuò)誤cause缺陷cause失效第3頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月41.錯(cuò)誤

–

缺陷

–

失效(2)失效是面向用戶的缺陷是面向開(kāi)發(fā)者的失效依附于對(duì)系統(tǒng)的操作，因此是一個(gè)動(dòng)態(tài)概念失效是與項(xiàng)目緊密相關(guān)的，必須考慮客戶的需求第4頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月52.如何定義必要的可靠性對(duì)產(chǎn)品的定義帶有失效嚴(yán)重等級(jí)“failureseverityclasses(FSC)”的失效.對(duì)所有相關(guān)的系統(tǒng)選擇共同的度量標(biāo)準(zhǔn).對(duì)每一個(gè)待測(cè)試的系統(tǒng)設(shè)置失效強(qiáng)度目標(biāo)“failureintensityobjective(FIO)”.確定開(kāi)發(fā)的系統(tǒng)的失效強(qiáng)度目標(biāo).確定滿足軟件失效強(qiáng)度目標(biāo)的工程策略.第5頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月62.1定義帶有嚴(yán)重等級(jí)的失效從反面的角度定義了系統(tǒng)必須不能夠做什么該定義依據(jù)項(xiàng)目特征而定，并且對(duì)于整個(gè)項(xiàng)目而言是一個(gè)統(tǒng)一的標(biāo)準(zhǔn)第6頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月72.2對(duì)相關(guān)的系統(tǒng)選擇共同的度量標(biāo)準(zhǔn)比如執(zhí)行的指令條數(shù)作為一個(gè)度量單位但是，時(shí)間是通用的度量單位注意：日歷時(shí)間和執(zhí)行時(shí)間的區(qū)別（硬件一般用日歷時(shí)間，而軟件最好用執(zhí)行時(shí)間）第7頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月82.3為待測(cè)試的系統(tǒng)建立系統(tǒng)失效強(qiáng)度目標(biāo)涉及到整體系統(tǒng)，產(chǎn)品和它的變種，采購(gòu)的組件等對(duì)整個(gè)系統(tǒng)或者獨(dú)立的產(chǎn)品而言，失效強(qiáng)度目標(biāo)的定義依據(jù)用戶的期待，競(jìng)爭(zhēng)產(chǎn)品的特性失效強(qiáng)度，開(kāi)發(fā)成本，開(kāi)發(fā)時(shí)間之間的平衡第8頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月92.4確定開(kāi)發(fā)的系統(tǒng)的失效強(qiáng)度目標(biāo)確定開(kāi)發(fā)的軟件的失效強(qiáng)度目標(biāo):確定對(duì)采用的組件的期待失效強(qiáng)度.對(duì)開(kāi)發(fā)的組件計(jì)算軟件失效強(qiáng)度.第9頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月102.5確定滿足軟件失效強(qiáng)度目標(biāo)的工程策略可靠性策略和及時(shí)、經(jīng)濟(jì)地提高滿足目標(biāo)的可能性之間的平衡4項(xiàng)主要的策略:缺陷預(yù)防（Faultprevention）缺陷消除（Faultremoval）缺陷容錯(cuò)（Faulttolerance）缺陷（失效）預(yù)測(cè)（Fault/failureforecasting）第10頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月113.失效嚴(yán)重等級(jí)失效對(duì)系統(tǒng)的影響各不相同某一失效嚴(yán)重等級(jí)(FSC)指的是依據(jù)某一失效分類準(zhǔn)則，一組對(duì)用戶具有相同的單位失效影響的失效集合共同的分類準(zhǔn)則:成本，系統(tǒng)能力，對(duì)人的生命的影響，對(duì)環(huán)境的影響失效嚴(yán)重性與它的復(fù)雜性是不同的嚴(yán)重性可以隨著失效時(shí)間的變化而變化失效嚴(yán)重等級(jí)的影響分布很廣,因此不可能很準(zhǔn)確地估計(jì)影響,通常會(huì)劃分為等級(jí)一般分為四個(gè)等級(jí)第11頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月12FSC:公共分類公共的分類準(zhǔn)則:Cost失效的成本可以根據(jù)運(yùn)行成本，修復(fù)成本，業(yè)務(wù)的損失，業(yè)務(wù)中斷等來(lái)定義.基于成本的嚴(yán)重等級(jí)可以多達(dá)十級(jí).一般采用四級(jí)就夠了.適用于商務(wù)領(lǐng)域使用的系統(tǒng)SeverityclassDefinition($)1>100,000210,000–100,00031,000–10,0004<1,000第12頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月13FSC:公共分類公共的分類準(zhǔn)則:系統(tǒng)功能可能包含因素如數(shù)據(jù)丟失，停機(jī)，可恢復(fù)性等.例子:1電話交換系統(tǒng)不能處理呼叫,2需要等待很長(zhǎng)時(shí)間的撥號(hào)音,3象呼叫轉(zhuǎn)移這類增強(qiáng)服務(wù)功能不能使用,時(shí)序有點(diǎn)亂的振鈴音SeverityclassDefinition1Basicserviceinterruption2Basicservicedegradation3Inconvenience,correctionnotdeferrable4Minortolerableeffects,correctiondeferrable第13頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月14FSC:公共分類公共的分類準(zhǔn)則:環(huán)境可能包含的因素如對(duì)環(huán)境的危害，野生動(dòng)物的消失等.可以應(yīng)用于核，化學(xué)工業(yè)等.SeverityclassDefinition1Severeandunrecoverabledamagetoenvironmentand/orwildlife2Severebutpartiallyrecoverabledamagetoenvironment3Minordamagetoenvironmentorwildlife4Minorbutrecoverabledeficiencies第14頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月15FSC:公共分類公共的分類準(zhǔn)則:人的生命可能包含的因素如對(duì)人類或者環(huán)境的危害，人類生命的失去等.適用于航空，汽車，核，醫(yī)療，軍事等領(lǐng)域等.

SeverityclassDefinition1Possiblelossofhumanlife2Severedamagetohumanimmunesystemorenvironment3Minordamagetohumanimmunesystemorenvironment4Minorbutrecoverabledeficiencies第15頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月16如何定義FSC基于經(jīng)驗(yàn).列出項(xiàng)目中所有作為失效嚴(yán)重性的因素將列表縮小為最為關(guān)鍵和/或可度量的因素某些因素可能比較難以度量，例如對(duì)公司形象的影響.第16頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月174失效強(qiáng)度目標(biāo)失效強(qiáng)度依據(jù)每時(shí)間單元的失效數(shù)來(lái)定義,通常采用自然單元來(lái)度量,例如每100小時(shí)的運(yùn)行有3個(gè)警告alarms.每1000個(gè)打印工作有5個(gè)失效等.系統(tǒng)的失效強(qiáng)度是所有系統(tǒng)組件的失效強(qiáng)度的總和.第17頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月18如何設(shè)置FIO（1）主要是基于經(jīng)驗(yàn)而定.依據(jù)各項(xiàng)目而定.取決于對(duì)各種質(zhì)量屬性(開(kāi)發(fā)時(shí)間和開(kāi)發(fā)成本)，功能和技術(shù)的權(quán)衡.第18頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月19失效強(qiáng)度目標(biāo)與實(shí)現(xiàn)系統(tǒng)的技術(shù)之間的關(guān)系新技術(shù)，或者功能很難的系統(tǒng)，可靠性目標(biāo)應(yīng)該適當(dāng)設(shè)置低一些標(biāo)準(zhǔn)化的，普遍使用的系統(tǒng)，可靠性目標(biāo)可以設(shè)得高一些失效強(qiáng)度目標(biāo)與發(fā)布日期之間的關(guān)系LogarithmicPoissonBasic1ExecutionTime第19頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月20失效強(qiáng)度目標(biāo)與成本優(yōu)化costTotalOperationSystemTestFailureIntensity-startofsystemtest如果這些成本都可以表示成

F的函數(shù)，那么就可以通過(guò)優(yōu)化算法得到最低成本對(duì)應(yīng)的失效強(qiáng)度目標(biāo)第20頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月21如何設(shè)置FIO（2）如果對(duì)幾個(gè)因素之間的關(guān)系不清楚，那么可以參考以下典型的FIOFailureImpactTypicalFIO(λ)TimebetweenfailuresMorethan1,000,000,000$cost1per1,000,000,000hours114,000yearsMorethan1,000,000$cost1per1,000,000hours114yearsAround1,000$cost1per1,000hours6weeksAround100$cost1per100hours100hAround10$cost1per10hours10hAround1$cost1perhour1hMTTB(平均失效間隔時(shí)間MeanTimeBetweenFailures))第21頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月通常不直接為特定的用戶指定失效強(qiáng)度目標(biāo)，可以為重要的操作組指定失效強(qiáng)度目標(biāo)，這些操作組通常與特定的用戶有關(guān)系。如對(duì)于PBX，對(duì)于呼叫處理模塊和系統(tǒng)管理模塊可能有不同的目標(biāo)，并且可能采用不同的度量單元，如前者每千次呼叫的失效數(shù)，后者用每千個(gè)工作小時(shí)的失效數(shù)但是必須限定操作組的數(shù)量，以避免出現(xiàn)樣本少的問(wèn)題當(dāng)不同的用戶對(duì)于相同的操作組有不同的失效強(qiáng)度目標(biāo)時(shí)，選最小值22第22頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月23例子：對(duì)于電話轉(zhuǎn)接器，它是一個(gè)新的產(chǎn)品?？蛻魧?duì)電話網(wǎng)絡(luò)的容忍的失效率為低于1/10，000呼叫，對(duì)呼叫轉(zhuǎn)發(fā)容忍的失效率為低于2/10,000呼叫因此，對(duì)整個(gè)系統(tǒng)失效強(qiáng)度目標(biāo)為2/10,000呼叫對(duì)電話轉(zhuǎn)接器，失效強(qiáng)度目標(biāo)為1/10,000呼叫第23頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月24如何設(shè)置FIO（3）如果對(duì)某一類別的失效（如失效嚴(yán)重等級(jí)為1的失效）設(shè)置了失效強(qiáng)度目標(biāo)，那么需要將它轉(zhuǎn)換成整體的失效轉(zhuǎn)換的方法為該目標(biāo)乘以該類別失效占的比例如嚴(yán)重等級(jí)為1的失效強(qiáng)度目標(biāo)為每1000小時(shí)1個(gè)失效,并且所有失效中10%是嚴(yán)重等級(jí)為1的失效,則總的失效強(qiáng)度目標(biāo)為每1000小時(shí)10個(gè)失效該方法可能會(huì)遇到“小樣本”問(wèn)題，因此不夠準(zhǔn)確第24頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月25如何設(shè)置FIO（4）依據(jù)可靠性確定FIO

λ失效強(qiáng)度

R可靠性

t自然單元(time,etc.)λ=0.001對(duì)于8個(gè)自然單元，可靠性約為0.992.第25頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月26該方法的假設(shè)是系統(tǒng)的失效率是一個(gè)常數(shù)（軟件系統(tǒng)是穩(wěn)定的，即沒(méi)有對(duì)它進(jìn)行修改），如果系統(tǒng)的失效率變化（例如，測(cè)試過(guò)程中），那么形式將有所不同，但是當(dāng)測(cè)試停止后，滿足該特點(diǎn)第26頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月27如何設(shè)置FIO（4）依據(jù)系統(tǒng)可用性（A）設(shè)置FIO:第27頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月28Downtimeperfailure為從失效中恢復(fù)的時(shí)間，不包括確定和消除錯(cuò)誤的時(shí)間例子如果產(chǎn)品的可用性必須為99%，停機(jī)時(shí)間為6min,則FIO約為0.1每小時(shí).第28頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月29開(kāi)發(fā)產(chǎn)品的FIO確定采購(gòu)系統(tǒng)的失效強(qiáng)度運(yùn)行數(shù)據(jù)供應(yīng)商的保證專家的經(jīng)驗(yàn)將所有的組件的失效強(qiáng)度相加得到系統(tǒng)的期待的采購(gòu)件失效強(qiáng)度將系統(tǒng)的失效強(qiáng)度目標(biāo)減去上述值得到開(kāi)發(fā)產(chǎn)品的FIO。第29頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月30計(jì)算開(kāi)發(fā)組件的FIO例子:系統(tǒng)失效強(qiáng)度目標(biāo) =100failure/1,000,000transactions硬件的失效強(qiáng)度 =0.1failure/hourOS失效foraloadof100,000transactions =0.4failure/hour因此，要開(kāi)發(fā)的軟件的FIO =95failure/1,000,000transactions第30頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月31注意點(diǎn)如果開(kāi)發(fā)軟件的失效強(qiáng)度目標(biāo)與采購(gòu)組件的失效強(qiáng)度目標(biāo)之間差別很大，可以考慮讓它們能夠適當(dāng)平衡如果開(kāi)發(fā)軟件的失效強(qiáng)度目標(biāo)難以實(shí)現(xiàn)，可以調(diào)整系統(tǒng)的失效強(qiáng)度目標(biāo)，或者調(diào)整采購(gòu)組件的失效強(qiáng)度第31頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月32聯(lián)合可靠性（1）如果組件的失效相互獨(dú)立，系統(tǒng)的可靠性可以通過(guò)各個(gè)組件的可靠性計(jì)算得到.對(duì)于AND關(guān)系:組件的可靠性(Rk)必須以相同的單位來(lái)表達(dá)QpnumberofcomponentsRkcomponentreliability第32頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月33聯(lián)合可靠性（2）運(yùn)用可靠性和失效強(qiáng)度的關(guān)系:我們可以得到:也就是說(shuō)，整個(gè)系統(tǒng)的失效強(qiáng)度是各個(gè)部件的失效強(qiáng)度之和第33頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月34對(duì)于OR的關(guān)系如果AND-OR關(guān)系，需要具體分析某一軟件的多個(gè)拷貝布置成OR的形式，并不服從上述公式，因?yàn)樗鼈冇邢嗤哪Ｊ健Ｈ绻嗤墓δ?，有不同的公司開(kāi)發(fā)，步驟成OR的形式，被稱為N-版本開(kāi)發(fā)。第34頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月355實(shí)現(xiàn)FIO的策略為了實(shí)現(xiàn)要開(kāi)發(fā)的軟件的軟件失效強(qiáng)度目標(biāo)，需要采取相應(yīng)的策略（strategies）.3個(gè)主要的策略:缺陷預(yù)防（Faultprevention）缺陷消除（Faultremoval）缺陷容錯(cuò)（Faulttolerance）第35頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月365.1缺陷預(yù)防通過(guò)一定的措施避免缺陷的發(fā)生.活動(dòng):需求審查設(shè)計(jì)審查Clearcode建立標(biāo)準(zhǔn)(ISO9000-3,etc.)采用帶有內(nèi)部檢查機(jī)制的CASE工具有效性:采取預(yù)防活動(dòng)后遺留的缺陷的數(shù)量.第36頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月375.2缺陷消除對(duì)缺陷的存在通過(guò)驗(yàn)證和確認(rèn)進(jìn)行檢測(cè)，然后進(jìn)行消除.活動(dòng):代碼審查測(cè)試有效性:經(jīng)過(guò)代碼審查失效強(qiáng)度的下降.測(cè)試前和測(cè)試后失效強(qiáng)度比.第37頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月385.3缺陷容錯(cuò)通過(guò)提供冗余（redundancy）,使得即使在缺陷發(fā)生的情況下，服務(wù)依舊能夠滿足要求.活動(dòng):設(shè)計(jì)和實(shí)施容錯(cuò)有效性:作為冗余設(shè)計(jì)的結(jié)果，失效強(qiáng)度的下降.第38頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月5.4推薦策略可靠性失效強(qiáng)度范圍(每1000小時(shí)執(zhí)行時(shí)間出現(xiàn)的失效)策略指導(dǎo)原則超可靠<0.1冗錯(cuò),廣泛的需求和設(shè)計(jì)評(píng)審高度可靠0.1-10廣泛的需求和設(shè)計(jì)評(píng)審,可能需要一些冗錯(cuò)商品化10-2000以操作剖面和危機(jī)程度來(lái)指導(dǎo)需求和設(shè)計(jì)評(píng)審原型>2000測(cè)試39第39頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月406特殊情形在某些情況下，我們希望為某些特殊的失效單獨(dú)設(shè)立失效強(qiáng)度目標(biāo)或者，可能設(shè)置或者跟蹤其它目標(biāo)（不同于失效強(qiáng)度）某些項(xiàng)目關(guān)注于安全性，或者極端可靠性第40頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月416.1失效分組一般依據(jù)嚴(yán)重等級(jí)進(jìn)行分組，但是也可以依據(jù)其它方法分組組件操作組（如數(shù)據(jù)輸入，報(bào)表生成等）失效類別（對(duì)用戶有同類的影響，如安全性）工作角色（如數(shù)據(jù)錄入或者客戶服務(wù))可能遇到的一個(gè)問(wèn)題是小樣本問(wèn)題第41頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月426.2分配失效強(qiáng)度目標(biāo)給組件一般而言，我們依據(jù)經(jīng)驗(yàn)或者相關(guān)信息確定組件的失效強(qiáng)度，因?yàn)橥ǔＮ覀儧](méi)有選擇但是在有不同選擇的情況下，或者組件是按“訂單”生產(chǎn)的，我們就可以為組件分配失效強(qiáng)度目標(biāo)例如：我們想要快速開(kāi)發(fā)一個(gè)系統(tǒng)，該系統(tǒng)由硬件，操作系統(tǒng)和應(yīng)用組成，假定系統(tǒng)的目標(biāo)是100個(gè)失效/百萬(wàn)呼叫，選擇的硬件為1失效/百萬(wàn)呼叫，現(xiàn)在我們需要選擇操作系統(tǒng)和應(yīng)用組件第42頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月43如果我們希望在39周內(nèi)開(kāi)發(fā)完顯然，無(wú)法實(shí)現(xiàn)目標(biāo)，那么我們就要選擇適當(dāng)延長(zhǎng)開(kāi)發(fā)時(shí)間失效強(qiáng)度（失效數(shù)/百萬(wàn)呼叫）開(kāi)發(fā)時(shí)間（周）操作系統(tǒng)245442639應(yīng)用9045954210039第43頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月446.3軟件的安全性和極端可靠性軟件安全:避免災(zāi)難(生命損失、受傷、財(cái)產(chǎn)損失)可靠性：在特定的一段時(shí)間內(nèi)，系統(tǒng)無(wú)失效運(yùn)行的可能性因此安全性可以被看作可靠性的一種，所以可靠性的方法都有助于提高安全性，安全領(lǐng)域中的技術(shù)也可運(yùn)用到可靠性第44頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月軟件安全性通常要求災(zāi)難頻率非常低，因此，軟件的安全性通常與超可靠性相關(guān)極端可靠性一般指一萬(wàn)個(gè)運(yùn)行小時(shí)的失效小于一個(gè)極端可靠性一般針對(duì)的是某一操作，而不是整個(gè)系統(tǒng)。如緊急情況下核電站關(guān)閉操作必須是超可靠的，但并不意味著整個(gè)系統(tǒng)是超可靠的45第45頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月軟件與硬件的可靠性的差別，在某些情況下，硬件需要超可靠性，關(guān)鍵軟件功能可能不需要硬件可靠性受年限和磨損影響，一般與日歷時(shí)間有關(guān)而軟件的可靠性一般與執(zhí)行時(shí)間相關(guān)，而執(zhí)行時(shí)間可能只是日歷時(shí)間的一小部分如行星探測(cè)器一般要飛行幾年，在這段時(shí)間內(nèi)，硬件必須要超可靠。但是關(guān)鍵軟件在5年時(shí)間內(nèi)只執(zhí)行10次，每次大約3-5秒，只占用飛行時(shí)間的4*106之一若整個(gè)系統(tǒng)的失效強(qiáng)度目標(biāo)為每小時(shí)10-9失效。則軟件失效為每小時(shí)4*10-346第46頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月47結(jié)論正確理解失效和缺陷概念合理的失效強(qiáng)度目標(biāo)是平衡考慮各種要求的結(jié)果第47頁(yè)，課件共51頁(yè)，創(chuàng)作于2023年2月題目我們要為將來(lái)用來(lái)開(kāi)發(fā)特殊領(lǐng)域軟件產(chǎn)品的對(duì)象庫(kù)建立確認(rèn)標(biāo)準(zhǔn).這些產(chǎn)品必須滿足:失效嚴(yán)重等級(jí)1的失效強(qiáng)度目標(biāo)為每1000執(zhí)行小時(shí)10個(gè)失效.根據(jù)以往經(jīng)驗(yàn),總失效的中的10%是嚴(yán)重等級(jí)1的失效.我們預(yù)期現(xiàn)場(chǎng)出現(xiàn)的失效50%是由對(duì)象不正確的集成引起的,50%的失