1、网络系统中通常包括服务器、工作站、打印机、集线器、交换机、路由器、软件及数据等多种设备和资源，对这些设备和资源进行管理就是网络操作系统的基本任务，随着不停机系统的普及，网络操作系统逐步增加了容错的处理措施及对容错软件的管理。这些措施和软件包括UPS电源监控保护、热修复、写后读校验、磁盘镜像、磁盘双工、双机热备份、群集和事务跟踪等。不同的网络操作系统容错措施及所支持的容错软件不同，如Novell Netware基本上不支持群集技术，而Unix和Windows NT群集技术在支持服务器数量上不同，Unix所支持的服务器数量多，而且技术成熟。另一方面，Unix抵御病毒的能力最强，Novell Net
2、ware最弱。随着网络系统越连越大，特别是不停机系统的逐步增多，应用软件容错要求越来越高。如Xbase系列的Dbase和Foxbase没有考虑事务处理能力，Foxpro开始有所考虑，但还不完善，所以Foxbase在网络系统上运行的效果很差。Foxpro已有所改善，Visual Foxpro在大部分功能上逐步向大型数据库靠拢。各种应用软件对容错的适应性不同。Sybase和Oracle等大型数据库几乎都不支持自动热备份，但支持共享磁盘的群集来提高系统的容错性；Oracle能比较充分的发挥群集技术的优势，在系统中做到任务均衡，Sybase则做不到任务均衡。,计算机网络可靠性研究现状,网络是一个图，它
3、是否可靠当然在于它是否能够连通,网络拓扑可靠性,节点和链路都存在故障概率,数学家、理论家,网络可靠性研究初期，计算机通信技术刚刚开始，通信媒介质量较差，站点交换设备的性能比较低，网络的管理水平也没有跟上，网络经常处在断路状态，客户更关心计算机网络的站点之间能否通信。因此需要借助图论解决系统可靠性预计。,网络怎么这么慢？电影都看不了,网络拓扑可靠性的局限,随着计算机网络应用的发展，网络的应用环境恶化，拥塞崩溃成为网络应用中的一个突出的故障模式。,网络用户,网络性能评价,网络能不能用当然与性能相关,性能测量,计算机网络科学家,随着现代信息技术的发展，电子产品的可靠性得到了迅速的提高，电子产品的连续
4、无故障工作时间由原来的几百小时延长到30到40年，通信信道的质量也得到了提高，带宽拓宽，信道的传输误码率达到了109数量级。此时计算机网络站点之间能否通信已不再是网络可靠性研究的重点，人们更关心现在的计算机网络完成功能的能力，即用完成性来衡量计算机网络的性能。,网络性能评价的局限性,如何设计一个健壮的网络,？,？,以网络性能（如网络延迟、吞吐量等）为主要研究内容的计算机网络性能评价由于没有考虑网络故障对性能造成的影响而往往高估网络性能。因此，离开以网络故障为主要内容的可靠性指标而单纯的进行网络性能评价和仅仅考虑网络是否连通而不考虑网络的性能指标均不能全面的评价一个网络是否真实可用。综合考虑容错
5、计算机网络存在故障的条件下网络的性能问题，成为容错计算机网络系统综合可用性研究的主要内容。,工程师,关键节点,网络可靠性评价方法比较,从目前的研究情况看来，对计算机网络可用性的定义大体可以分为以下5种：定义1：在人为或自然的破坏作用下，网络在规定的条件下和规定的时间内的生存能力。定义2：在人为或自然的破坏作用下，网络在特定环境下和规定时间内，充分完成规定的通信功能的能力。环境、时间和充分完成功能是这一定义的三要素。定义3：当传输和交换发生故障时网络可以维持正常业务的程度。定义4：网络由源点到终点能够成功地传输所需信息地概率。定义5：在给定时间间隔，设备能在给定条件下执行要求功能地概率。,迫切解
6、决的关键性问题,网络可靠性评价指标混乱基于拓扑连通方法不考虑网络设备故障网络业务性能在网络可靠性分析中考虑不足极少考虑网络协议的影响尚未形成网络综合可用性体系结构,网络可用性评价指标体系,基于网络拓扑连通和基于网络性能的分析方法始终是迥然不同的两条研究途径，尽管各个领域的专家学者均发现计算机网络可靠性研究非常重要，但仁者见仁智者见智的研究结果是造成了计算机网络可靠性研究概念混乱、评价指标繁杂，往往使人感觉到无所适从，因此迫切需要建立计算机网络可用性的统一理论和分析方法体系。,网络设备故障分析,在面向可靠性理论的网络可靠性分析中，通常忽略对网络设备可靠性分析，而简单的将网络设备的可靠度定义为一个
7、常值或认为绝对可靠 在实际的网络可靠性分析中，一方面在使用中现有的可靠性分析方法往往很难预先估计出关键设备的可靠度，另一方面却发现尽管计算机网络设备目前可靠性很高，但网络的关键性设备（如数据交换设备）中软硬件故障共同作用的结果常常不仅影响设备硬件也影响系统软件的正常运行。虽然许多文献对于这种软硬件相关系统的可靠性进行过分析，但是同时考虑软硬件故障相关性的研究并不多。由于容错计算机网络系统中大量使用硬件冗余和软件容错技术，使得对于设备的可靠性分析更加的困难。,网络业务性能对网络可用性影响,网络可靠性分析中通常假定网络的故障主要由网络设备软硬件的失效造成，因而在计算网络的可靠度时将设备失效概率定义
8、为常值。但是实际上，在计算机网络中的数据交换设备（如路由器、交换机等）存在两种主要的故障模式：固有故障和拥塞故障。设备的固有故障主要由设备软硬件本身的失效模式决定，不随网络业务量等因素的影响。设备的拥塞故障产生的主要原因在于：设备的缓冲区有限，而注入到设备中的网络的业务流量超出了设备的处理能力，因而造成了设备的阻塞，使设备处于不可用状态。,局域网可用性分析,结构特殊协议特殊,仅仅分析局域网的结构可靠性和协议的效率均无法反映出局域网的真实可用度。根据可用度的定义，可用度应该是在规定的时间内完成规定任务的能力。局域网的任务是实现信息的传输，因此局域网中除了存在主机软硬件故障外，信道的信息拥塞、传输
9、时延过长也是其关键故障模式，这突出的表现为：当一台主机有数据收发时，在局域网内并不能实现数据的实时传输。对于网络的用户来讲，过大的网络延迟时间往往令人难以忍受，甚至导致传输任务失败。因此，在分析局域网可用性时，应当考虑基于用户的可用度模型。,计算机网络体系结构,广域网,局域网,经济性能、响应速度,网络吞吐量,网络拓扑连通性,MTBF、MTTF,传输的差错率,计算机网络可靠性体系结构,物质基础,结构保证,性能可用,网络设备层,网络设备包括交换设备和传输设备硬件容错分服务器端容错、网络连接端容错；服务器端的容错包括镜像磁盘存储技术、廉价冗余磁盘阵列（RAID）、双服务器及群集技术；连接端设备主要包
10、括网卡、通信电缆、集线器、交换器和路由器等。通常采用的容错办法：一是选择本身具有一些容错功能的设备，二是在设计系统时，采用备用设备。,网络拓扑层,根据网络的路由选择规则，网络总是在可用的路由集中选取一条最短路由作为输出路由；源节点s到目的节点d间的路由集,网络业务层,网络的通讯业务性能（网络吞吐量S、数据传输延迟时间D等），这是用户和管理者最关心的问题，也是体现网络可用性能的一个重要因素。计算机网络业务性能不仅与网络的配置（网络的拓扑结构G（V,E）、路由、通信介质容量C）和流入网络的信息流f有关，也与网络设备的可靠性（、）有关。,网络可用性分析模型,N（G,C,f,S,T）其中：G=G（V,
11、E）为计算机网络的拓扑结构图；C表示链路的容量集；f表示链路上的稳定数据流量集；表示网络设备的故障率集；表示网络设备的维修率集；S表示源节点的集合；D表示信宿节点的集合。,网络设备层,故障树中描述的容错网络服务器系统的各个部件之间的故障相互独立，因此在故障树中没能反映出系统的软件和硬件故障之间的相互影响。事实上，网络的服务器系统是典型的故障相关性设备，服务器硬件在运行过程中的临时故障如处理器过热或系统盘存储的溢出，将有可能导致软件运行的异常，在极端的情况之下，甚至可能导致死机等故障模式。在这种情况下，对服务器的用户来讲，将是服务器的不可用状态。但是由服务器的故障树中，根本无法反映出这种故障机理
12、，因此，由故障树分析得到的服务器系统的可用度并不准确。,基于Petri网的可靠性建模,定义：一个三元组PN是一个Petri网，当且仅当：（1）（网非空）；（2）（二元性）；（3）（流关系仅在于和的元素之间）（4）（没有孤立元素）；,可修系统模型,注：,故障率：/h维修率：/h,串联系统GSPN可用性模型,注：,/h,/h,/h,/h,/h,/h,并联系统GSPN可用性模型,注：,/h,/h,/h,/h,/h,/h,表决系统GSPN可用性模型,注：,/h,/h,/h,/h,/h,/h,容错服务器系统GSPN模型,基本处理单元可用性模型冗余服务器子系统可用性模型冗余数据磁盘子系统可用性模型,硬件G
13、SPN模型,软件GSPN模型,故障相关性模型,基本处理单元硬件GSPN模型,基本处理单元软件GSPN模型,基本处理单元GSPN模型,软件模型,故障相关性模型,硬件模型,单元故障停机,清除软件标记,基本处理单元模型有效状态,注：标识1为单元软、硬件均处于完好状态的概率；标识2中单元的硬件处于完好的状态，而单元的软件发生异常，在此状态之后系统将对软件将完成自检测；标识3表示单元的硬件处于完好的状态，而单元软件发生故障，此时需要重新启动计算机；标识4中，单元的软件发生的异常将不影响系统的正常运行，单元软件经过一定的时间将恢复正常；标识5表示单元的硬件发生了临时故障，而软件运行良好，在此状态下，单元的
14、硬件的临时故障可能传递到软件中，导致软件运行的异常，另一种可能为硬件的临时故障尚未传递到软件即恢复正常；标识6表示单元硬件完成了维修，等待重启计算机的状态；标识7表示单元的硬件发生故障，单元需要进行维修。,单元硬件故障率对可用度影响,结论：随着单元硬件的故障率的降低，单元的可用度不断升高。同时软件的故障概率（即单元处于标识3的概率）不断降低，最终稳定在一个常值。这表明，在硬件的故障率较高时，软件的故障同时受自身故障和硬件故障的影响。随着硬件故障率的降低，硬件的临时故障传播到软件的概率也降低，软件的故障主要由软件自身故障率造成。,软件故障率对单元可用度影响,结论：随着软件故障率的降低，软件的故障
15、发生概率降低，系统的可用度不断提高。,基本处理单元简化GSPN模型,，,当 时，对于第一组数据经过等效处理，得基本单元的维修率为,，故障率为,冗余服务器子系统GSPN模型,故障（,维率（,通过仿真得服务器的可用度为0.946912,冗余服务器子系统GSPN模型,共享磁盘子系统GSPN模型,注：y1.up表示共享数据盘1处于完好状态；y1.dn表示共享数据盘1发生故障状态；y2.up表示共享数据盘2处于完好状态；y2.dn表示共享数据盘2处于故障状态；G2.up表示共享磁盘系统处于完好状态；G2.dn表示共享磁盘系统处于故障状态。,容错服务器系统GSPN模型,注：T.up表示系统处于正常工作状态
16、；T.dn表示系统处于故障状态。,系统GSPN模型有效状态,注：标识1表示所有设备均处于完好状态，此时系统处于正常工作状态。标识2和标识3表示系统中某台处理器的基本处理单元发生故障，但由于系统的冗余配置，此时系统仍处于正常工作状态。标识4表示两台服务器的基本处理单元同时发生了故障，此时系统处于故障状态。,取数据磁盘的故障率为,，维修率为,。系统的稳态可用度为0.999836。,网络设备可用性分析结论,故障相关性设备的可靠度不能通过软、硬件可靠度串联模型来求解。GSPN可靠性模型可方便的描述设备的故障相关性。在软硬件故障相关性系统中，当硬件的故障率较高时，软件的故障同时受自身故障和硬件故障的影响
17、。根据对容错服务器系统的可用性分析，可以发现系统可用性的薄弱环节。通过合理的设置系统中部件的故障率和维修率，可以提高系统的综合可用性。本节采用的方法可广泛的应用于软硬件故障相关的容错网络设备的可用性分析中。,网络拥塞故障模式分析,网络拥塞是一种持续过载的网络状态，此时用户对网络资源（包括链路带宽、存储空间和处理器处理能力等）的需求超过了其固有的容量。就Internet体系结构而言，拥塞的发生是其固有的属性。因为在事先没有任何协商和请求许可机制的资源共享网络中，几个业务流同时到达节点，并期望经过同一个输出端口转发的可能性是存在的。显然，不是所有的分组都可以同时接受处理，必须有一个服务顺序，中间节
18、点中的缓存为等候服务的分组提供一定保护。然而，此状况具有一定的持续性，当缓存空间被耗尽时，节点只有丢弃分组。表面上，增大缓存总可以防止由于拥塞引起的分组丢弃，但随着缓存的增加，端到端的时延也相应增大，因为分组的持续时间（lifetime）是有限的，超时的分组同样需要重传。因此，过大的缓存空间倒可能妨碍拥塞的恢复，因为有些分组白白浪费了网络的可用带宽。,拥塞导致的直接结果是分组丢失率提高，端到端时延加大，甚至有可能使整个系统发生崩溃。当网络处于拥塞崩溃状态时，微小的负载增量都将使网络的有效吞吐量急剧下降，同时网络延迟上升，从而使得网络的可用度急剧下降。图刻画了网络负载与吞吐量之间的关系：当负载较
19、小时，吞吐量与负载之间呈线性关系；当到达膝点之后，随着负载的增加，网络的吞吐量逐渐变小；当负载越过崖点之后，吞吐量却急剧下降。通常将膝点附近称为拥塞避免区间，膝点和崖点之间是拥塞恢复区间而崖点之外是拥塞崩溃区间。保证网络的可用性就应当尽量避免网络的中间节点运行在拥塞崩溃区。,网络业务流特性,从上世纪70年代初，研究者对于通信网络（如电话网络）中的通信量进行了观测。观测结果表明：可以利用泊松分布的随机过程来对通信流量进行建模。该模型具有马尔可夫特性，是一种短程相关的数学模型。,在1989年至1992年Bellcore实验室测量的网络流量的数据表明网络流量在不同的时间尺度下具有自相似的特性。这就是
20、说，网络的业务流量在大时间尺度（分钟、小时）和小尺度上（秒、毫秒）直观看上去似乎是一样的。,基于排队论的网络拥塞机理,网络的业务流分组以速率f到达节点队列，等待转发。节点转发分组的平均时间（即节点的平均服务时间）为Ts。为了刻画节点的拥塞失效过程，定义节点的容量为N。当到达节点缓冲区等待转发的分组数量超过节点的容量时，后续到达的分组将被丢弃，此时节点发生拥塞故障。,模型的四个因素：（1）网络业务流的到达 业务流分组的到达方式通常是一个一个到达，也可能是成批到达。分组的到达总是有一定规律的，即到达过程或到达时间间隔符合一定的分布，称到达分布。分组的到达或到达时间的间隔通常假定为相互独立的且遵从同
21、一分布的随机变量。（2）队列的服务规程 队列的服务规程是指分组在队列中排队形式。通常排队系统的服务规程可以分为先来先服务（First Come First Served简称FCFS）、后来先服务（Last Come First Served简称LCFS）、随机选择服务（Random Selecting Service）和优先服务等。在不考虑网络业务分组的服务质量（Quality of Service简称QoS）要求时，一般将网络业务节点的服务规程默认为FCFS。（3）节点服务规律 一般节点对分组是一个一个进行服务的，且对每一个分组的服务时间长短不一。将服务时间看做随机变量，那么它们是相互独立的
22、且遵循同一分布。因此描述服务规律时，采用服务时间的概率分布，即服务分布。（4）队列容量 任何给定节点的缓冲区长度都不可能是无限大。过大的缓冲不仅会造成资源的浪费，甚至可能妨碍拥塞的恢复。,泊松到达业务流条件下节点可用度,当网络的业务流分组的到达服从泊松分布时，可以使用M/M/1/N模型计算节点可用度,当到达节点的业务流量小于f1时，节点的可用度主要由节点软硬件的固有可用度决定，基本保持为常值；当业务流量超过时，节点的可用度急剧下降，此时节点的失效主要是因为节点拥塞所引起的。同时由图可以看出，节点的不同容量对节点可用度的影响主要反映在业务量较高时。并且在较高业务量时，较大的缓冲区容量表示较高的节
23、点可用度。在网络的业务流量较低时，大的缓冲容量会造成资源的浪费。从可靠性工程的角度讲，流量f1值为通过节点的最优流量。节点运行于这一状态时，不仅可以充分的利用网络带宽，而且会最大限度的应用节点的内存资源。,网络流量,状态N的稳态概率,固有可用度,自相似业务流条件下节点可用度,当网络的业务流分组成批到达时，可以使用MX/M/1/N模型计算节点可用度,网络业务具有突发特性条件下，节点发生拥塞故障的概率较M/M/1/N模型中节点故障的概率高的多。这是因为在M/M/1/N中，突发在短时间内发生，从长时间来看，突发被平滑掉了。这种长期的平滑性意味着队列在短时间内建立起来，但在一个较长的时间内被排空。而自
24、相似性反映了业务在所有时间尺度上的统计相似性，突发在所有的时间尺度上发生，它的效果不能被平滑掉。因此要保证相同的节点可用度，自相似业务流条件下节点所需的队列缓冲容量要远大于独立泊松达到的缓冲容量。,基于业务流的网络端端可用度,网络首先是一个图G（V,E），其中V表示网络的节点集，E表示网络的边集。给定，可以将计算机网络的端端可靠度定义为，在节点或边具有相互独立的故障概率的情况下，T中的节点间相互连通的概率。当T=V时，称为网络的全端可靠度。不失一般性，考虑节点对 之间的可靠度。称s为源节点，称t为目标节点。,定义：从指定节点s经过一串弧序可以到达节点t，则称这个弧序列为s到t的一条路。从节点到
25、节点的边序称为一条最小路，当且仅当：它是一条路；最小性：从这个边序列中除去任意一条边后即不是从到的路,网络端端可靠度计算方法,容斥原理方法,设节点对 之间有 条最小路径，使用 表示第i个最小路集上的部件（节点和链路）都是完好的。则 表示 的反事件，即表示第 个最小路集上至少有一个部件故障。,节点对 之间至少有一条最小路径成功的概率（可靠度）：,根据容斥定理有：,根据容斥定理，等式的右边将有 项。当 较大时，该运算所花的时间较长，算法的效率较低。,不交积之和方法,根据布尔代数理论有：,进而有,各并运算的项是互不相交的，即各自相互独立。这样即可简化网络可靠性的运算过程。,在不交积之和方法公式中只有
26、 项，每一项都是正符号项。并且，每一概率项的事件的组成很有规律，第 项为：。,分解和因子方法,分解和因子方法是最早的基于网络拓扑结构的分析方法，它的特点是适合各种复杂结构类型的网络。由于对于简单的串/并拓扑结构的网络，其可靠性分析和计算简单，因此，分解和因子方法的中心意图是利用某个边的断路和短路，将复杂的网络变成简单的网络，将非串/并结构的网络变成串并结构的网络。其分解原理为：,是边 完好的条件下的 可靠度，此处将边 短路；是边 故障的情况下的 可靠度，此处将边 断路。表示边 完好的概率,网络业务流条件下端端可用度,曲线1给出了网络的端端可用度随泊松业务流量的变化曲线；曲线2给出了网络端端可用
27、度随自相似业务流量的变化曲线。由图可知，当网络的业务量小于6000 packets/s时，网络的可用度基本保持一个常值，对应于此时的网络故障主要由节点和链路的固有故障造成。当网络的业务量超过6000 packets/s时，网络的可用度急剧下降，此时网络拥塞成为网络的主要故障模式。同时，自相似业务流由于具有突发特性，因此更容易使网络的可用度恶化。在网络的使用过程中，应当对网络的应用任务进行合理的规划，避免网络过载。,源节点缓冲区容量对网络可靠度的影响,节点1缓冲容量对网络可靠度的影响,节点2缓冲容量对网络可靠度的影响,节点t缓冲容量对网络可靠度的影响,源节点和目标节点的容量对网络可用度的影响要远
28、大于节点1、2。这主要是由于计算机网络中路由协议对网络可用性产生的影响。网络的中间节点发生失效后，网络的路由协议能够保证业务分组通过其他正常的路径抵达目的节点。从这个意义上讲，网络的路由协议也是计算机网络的容错措施之一。由此产生的结果是，从可靠性工程的角度讲,s,t节点的重要度要高于网络的内部节点，s,t成为网络中的关键节点（Key node）。因此在网络最初的配置中应当适当增加关键节点计算机的缓存容量，而增大单个内部节点计算机的缓存容量对网络可靠度的提高意义并不是非常的明显。,节点容量对网络可用度的影响,链路可靠度对网络可用度的影响,链路（s,1）可靠度对网络可用度的影响,链路（s,2）可靠
29、度对网络可用度的影响,提高链路的可用度能够提高网络的可用度。但是链路的固有可用度与链路本身的MTBF和制造工艺有关，由此决定了链路的固有可用度不可能无限的提高。当链路的固有可用度达到一定的值，再提高其可用性将意味着其成本的急剧增加。因此，通过提高链路的固有可用度的途径来提高网络可用度的效果将是有限的。,链路容量对网络可用度的影响,链路（s,1）容量对网络可用度的影响,链路（s,2）容量对网络可用度的影响,当网络中的业务量较高时，链路（s,1）的容量的变化对网络的可用度影响较大。这是由于链路（s,1）的优先级要高于链路（s,2）,因此网络的可用度对链路（s,1）容量的变化反应较为敏感。在网络的设计中应保证重要链路拥有合理的容量。,计算机网络综合可用性评价指标,合理的指标评价方法是衡量网络可用性的科学依据，指标体系的建立原则为：（1）综合全面，即考虑的指标必须反映网络可用性各方面的情况；（2）普遍可抽取，所有的指标在不同体制的网络中均存在并可被提取；（3）可量化，指标具备数值型或可通过数学方法被量化分析；（4）可划分，指标概括性高，相互之间关联性小，便于简化分析。,
