摘 要： 在驗證嵌入式實時系統(tǒng)可生存性的過程中，為了避免實驗驗證和數(shù)學模型假設中存在的錯誤，保證所建模型的準確性，對所建模型的每個組件進行了可生存性分析，從而減小了模型的復雜度，進一步提出了模型故障概率函數(shù)，并結合馬爾科夫鏈模型的特點建立了驗證嵌入式實時系統(tǒng)可生存性模型。該模型能夠根據(jù)嵌入式實時系統(tǒng)故障概率密度分布函數(shù)，逐個修復或排除高發(fā)生率的故障，從而達到增強嵌入式實時系統(tǒng)可生存性的要求。
關鍵詞： 嵌入式實時系統(tǒng)；可生存性；故障概率；馬爾科夫鏈
嵌入式實時系統(tǒng)的可生存性[1]是指以計算機技術為基礎的嵌入式系統(tǒng)在遭受網(wǎng)絡攻擊、意外事故或重大災難等事件時，系統(tǒng)仍然能夠在規(guī)定的時間約束內(nèi)完成其基本任務能力，以及外部或內(nèi)部、同步或異步時間做出響應的能力。由于近年來，嵌入式實時系統(tǒng)在航空、通信和國防等高科技尖端領域的廣泛應用，使得研究嵌入式實時系統(tǒng)在發(fā)生故障和意外災難等情況下的可生存能力變得尤為重要。
目前，研究系統(tǒng)可生存性的主要成果有：Barlow和Proschan[2]以及Siewiorek和Swarz[3]在數(shù)學理論的基礎上，詳細討論了系統(tǒng)在相應耗損和維護策略下的使用壽命分布(如故障率分布)，并以最小的假設建立了計算機系統(tǒng)的可生存性模型；參考文獻[4]中SHIN K G等建立了一個關于計算機系統(tǒng)錯誤檢測處理的分析模型，通過該模型檢測系統(tǒng)的可生存性能力；林闖[5]從可信網(wǎng)絡概念的角度分析了網(wǎng)絡安全性、網(wǎng)絡可生存性和網(wǎng)絡可控性之間的相互關系；參考文獻[6]提出了利用多樣化分布式動態(tài)備份技術和主動漂移機制構建系統(tǒng)的可生存性模型；王慧強[7]提出了開展面向關鍵任務的分布式信息系統(tǒng)可生存性研究，建立了基于PST的分布式信息系統(tǒng)可生存性模型；參考文獻[8-9]介紹了關于網(wǎng)絡信息系統(tǒng)的可生存性設計的兩種主要思路：一是從設計階段開始就引入可生存性需求，將可生存性需求作為系統(tǒng)設計的先決條件，貫穿于系統(tǒng)開發(fā)設計的整個生命周期，最后形成全新的具有可生存能力的系統(tǒng)；二是在原有系統(tǒng)基礎上，加入可生存性增強技術(如入侵檢測、故障隔離、冗余和自適應等技術)，提高和增強某種系統(tǒng)的可生存性。
1 馬爾科夫鏈模型的應用
通過對模型故障率的分析，可以將系統(tǒng)模型表示成如圖1所示的馬爾科夫鏈的形式，其中狀態(tài)表示可用處理器的個數(shù)。圖中所示的系統(tǒng)在t時刻處在狀態(tài)i(假設嵌入式
因此不需要區(qū)分狀態(tài)1或0，可以將狀態(tài)1和狀態(tài)0定義為故障狀態(tài)，計算t時刻進入此狀態(tài)的概率。
單個組件故障對整個系統(tǒng)可生存性造成的沖擊與嵌入式實時系統(tǒng)的結構有關。關于給定組件發(fā)生故障的保險范圍是系統(tǒng)能從該故障中成功恢復的概率，現(xiàn)結合嵌入式實時系統(tǒng)使用硬件冗余，建立嵌入式實時系統(tǒng)可生存性模型。
2 系統(tǒng)三元組故障表決
考慮一個嵌入式實時系統(tǒng)，將其處理器配置成多個三元組，即N=3的NMR群。當一個三元組中的一個處理器發(fā)現(xiàn)故障時，就將它從活動狀態(tài)移除并用備份代替它。表決過程的另一作用是檢測故障。表決每?子個單位時間發(fā)生一次，被表決過程發(fā)現(xiàn)的故障處理器將立即被備份替換。假設只發(fā)生持久性故障，處理器故障根據(jù)速率為?姿的泊松過程相互獨立。有兩個基于故障延遲時間的是或不是指數(shù)分布的情況。
目前的系統(tǒng)建模，都假設故障延遲時間是0，即在發(fā)生故障的瞬間就產(chǎn)生錯誤。但實際情況并不如此，直到故障實行，故障才會產(chǎn)生錯誤。潛在故障的問題是此類故障不產(chǎn)生錯誤，所以對系統(tǒng)來說是無形的。當一個單元被檢測到故障，此單元就會被隔離出系統(tǒng)。如果不能及時檢測，可能導致潛在故障單元在嵌入式實時系統(tǒng)中積累起來。
設故障延遲時間滿足均值為1/?滋的指數(shù)分布。假設備件無限，那么三元組不會因為沒有替換硬件而產(chǎn)生故障。只有在至少兩個處理器在同一表決期間內(nèi)同時發(fā)生錯誤的情況下，三元組才會發(fā)生故障。圖2展示了這樣的一個時間序列。
一個三元組只有在至少兩個處理器在同一表決期內(nèi)出現(xiàn)錯誤時才會發(fā)生故障。因此要注意每個表決瞬間的嵌入式實時系統(tǒng)狀態(tài)。
首先構造一個可以捕獲每個表決瞬間系統(tǒng)狀態(tài)的馬爾科夫鏈，這條鏈可將表決瞬間的系統(tǒng)狀態(tài)由上一表決瞬間的系統(tǒng)狀態(tài)的函數(shù)給出，是一個離散的“內(nèi)嵌于表決期的不完全馬爾科夫鏈”。用二元組(x，y)來定義系統(tǒng)的狀態(tài)，其中x是三元組中無故障處理器個數(shù)，y是三元組中存在潛在故障的處理器個數(shù)(即一個已經(jīng)發(fā)生故障卻沒有產(chǎn)生錯誤的處理器)，因為三元組中處理器總數(shù)是3個，則產(chǎn)生錯誤的處理器個數(shù)就是3-x-y。三元組發(fā)生故障的概率可用狀態(tài)的函數(shù)形式表達如下：
3 系統(tǒng)各組件狀態(tài)的確立
表決期可分成兩段，第一段執(zhí)行所有重新配置的操作，可忽略執(zhí)行時間；第二段運行應用程序，執(zhí)行時間為τ，如圖3所示。
將兩段的狀態(tài)轉移概率合并可得到整個表決期的狀態(tài)轉移概率P=P1×P2，該狀態(tài)轉移矩陣顯示了嵌入式實時系統(tǒng)每個組件的故障概率狀態(tài)，從而可以推出整體系統(tǒng)的可生存性。
根據(jù)上述實驗結果可以看到，本文所提出的嵌入式實時系統(tǒng)可生存性建模方法能夠正確地反應出可生存性的關鍵屬性；系統(tǒng)可生存性不僅與其所受攻擊的嚴重性、攻擊強度有關，還與系統(tǒng)對攻擊的抵抗、檢測及恢復等可生存性能密切相關?？缮嫘允且粋€整體性的綜合評估值，反應了系統(tǒng)的整體性能。
本文對嵌入式實時系統(tǒng)的可生存性方法中實驗驗證法和建立數(shù)學模型法進行了分析，并提出了所存在的問題，對嵌入式實時系統(tǒng)可生存性模型進行了改進。所建立的模型能夠通過分析模型的復雜度確立故障發(fā)生概率，因此，根據(jù)概率的大小，系統(tǒng)會自動移除概率大的故障，從而保證系統(tǒng)的可生存性。
參考文獻
[1] ELLISON R J，F(xiàn)ISHER D A，LINGER R C，et al．Survivable network system：an emerging discipline[EB/OL]．(2007-11-20)[2013-08-30]．http：//www．cert．org/research/97tr013.pdf.
[2] BARLOW R E，PROSCHAN F.Mathematical theory of reliability[M].Siam：Society for Industrial and Applied，1996.
[3] SIEWIOREK D P，SWARZ R S.Reliable computer systems：design and evaluation[M].Massachusetts：AK Peters,1998.
[4] SHIN K G，LEE Y H.Error detection process-model,design and its impact on computer performance[J].IEEE Transaction，1984，C-33(6)：529-540.
[5] 林闖，彭雪海.可信網(wǎng)絡研究[J].計算機學報，2005，28(5)：751-758.
[6] 黃遵國，盧錫城，胡華平.生存能力技術及其實現(xiàn)案例研究[J].通信學報，2004，25(7)：137-145.
[7] Wang H Q，Liu D X.A holistic approach to survivable distributed information system for critical applications[C].In：The Proc.of ISPA'2005，Nanjing，2005：713-724.
[8] 張樂君，國林，王巍，等．網(wǎng)絡系統(tǒng)可生存性評估與增強技術研究概述[J]．計算機科學，2007，34(8)：30-33.
[9] Ma Qingkai，Xiao Liangliang，YEN I L，et al.An adaptive multiparty protocol for seccure data protection[C].Makoto T. Proc.of the Paralleland Distributed Systems.Los Alamitos： IEEE Computer Society，2005：43-49．