Systèmes

Répartis
 9

Le domaine d'utilisation
• Le domaine d'utilisation du système est particulièrement dangereux et met en jeu des
vies humaines avec des coûts liés aux pannes qui peuvent être immenses.
– Domaine des transports
• Conduite automatique de trains.
• Systèmes de contrôle en avionique.
– Domaine de la production d'énergie
• Conduite de centrales nucléaires.
• Conduite de barrages.
 10

Moyens
• Plusieurs moyens sont généralement combinés pour mettre en œuvre la sûreté de
fonctionnement d’un système :
– la prévention des fautes(fault prevention) consiste à empêcher
l’occurrence des fautes ;
– la tolérance aux fautes(fault tolerance) consiste à délivrer un service correct en
dépit de l’ocurrence de fautes ;
– l’élimination des fautes(fault removal) consiste à réduire le nombre et la
sévérité des fautes dans le but de les éliminer du système ;
– prévision des fautes(fault forecasting) consiste à estimer le nombre de
fautes courantes et futures ainsi que leurs conséquences.
 11

Moyens
La prévention des fautes(fault prevention)

• L'ensemble des techniques de conception, de fabrication qui permettent de produire

des composants informatiques de très bonne qualité (très fiable).
• Le composant ne doit pas tomber en panne
– bonne protection physique
– bonne fabrication
– techniques de génie logiciel, de preuves, de tests => pas d'erreurs.
– Contrôle qualité
– Méthodes de conception,
– Programmation structurée,
– Protection contre les radiations,
– Firewalls,...
 12

Moyens
La tolérance aux fautes ("Fault tolerance")

• L'ensemble des techniques de conception, de fabrication des architectures qui

continuent de fonctionner même en présence de la panne de l'un de leurs
composants.
• L'ensemble de l'architecture considérée comme un tout continue de rendre le service
attendu
• Détection des erreurs
• Recouvrement des erreurs
– rollback
– rollforward
• Gestion des fautes:
– Diagnostic,
– Isolation
– Reconfiguration
– Ré-initialisation
 13

Moyens
l’élimination des fautes(fault removal)

• Validation,
• Vérification
– statique,
– dynamique,
– Y compris les mécanismes de tolérance!
– ==>Injection de fautes
• Maintenance
– Corrective
– Préventive
 14

Moyens
prévision des fautes(fault forecasting)

• Évaluation du comportement du système

• Qualitatif
– Identifier, classifier, analyser les pannes possibles
• Quantitatif
– Déterminer la probabilité avec laquelle le système satisfait aux attributs de
dépendabilité.
 15

Attributs
• La fiabilité
– Probabilité pour qu'un système soit continûment en fonctionnement sur une
période donnée (entre 0 et t).
• La disponibilité
– Probabilité pour qu'un système soit en fonctionnement à un instant t donné.
• La maintenabilité
– Probabilité pour qu'un système en panne à l'instant 0 soit réparé à l'instant t.
• La Sûreté:
– Probabilité pour qu'un système soit continûment en fonctionnement non
catastrophique sur une période donnée (entre 0 et t).
• Confidentialité:
– Ne pas dévoiler des informations sans autorisation
• Intégrité:
– Absence d'altérations incorrectes de l'état du système
 16
Techniques permettant d’atteindre la tolérance
aux fautes

• La tolérance aux fautes est mise en œuvre par la combinaison de deux techniques.
– Le traitement de la faute(fault treatment) qui vise à éviter qu’une faute
survenue ne se reproduise.
• prévoir des composants multiples, pour réduire la probabilité qu’une faute
conduise à une défaillance, réaliser des traitements multiples (par exemple :
réaliser la même opération par des algorithmes différents pour tenter d’éviter
les fautes de conception).

– Le traitement d’erreur(error processing) qui vise à éliminer une erreur avant

qu’elle ne produise une défaillance.
• détecter l’existence d’un état incorrect (erreur), remplacer l’état incorrect par
un état correct (conforme aux spécifications).
 17

Traitement de faute
• L’objectif du traitement de faute vise à éviter qu’une faute ne se reproduise.

• On procède au diagnostic de faute(fault diagnosis) qui vise à identifier la faute,

puis, on procède à la passivation(fault passivation) de la faute qui consiste
généralement à neutraliser les composants fautifs en les excluant du système.