CN103186451B - 一种具有故障预测能力的时序属性监控方法 - Google Patents

Abstract

本发明公开了一种具有故障预测能力的时序属性监控方法，其步骤为：(1)插装；在编译目标程序时实现，根据修改的编译规则向受控程序中插入代码，并生成相应的信息处理单元；插装的任务是基于相应的编译机制，通过编写的监控脚本自动产生插装数据和事件识别器，并根据实现系统控制的模型，在代码实现的适当位置自动插入额外的事件执行条件代码，生成相应的调节器；(2)预测监控器的产生；采用LTL到Büchi自动机的构造方法，生成监控器；(3)运行时部分模型产生；(4)调控动作产生；(5)调控动作的执行。本发明具有原理简单、适用范围广、易实现和推广、可靠性好等优点。

Description

一种具有故障预测能力的时序属性监控方法

技术领域

本发明主要涉及到计算机系统领域，特指一种对软硬件系统运行过程必须满足的时序属性进行监控和防范的方法。

背景技术

随着计算系统变得越来越复杂，人们逐渐认识到监控的重要性，是指对计算过程（例如进程）中所关心的动态信息进行抽取。早期监控方法主要基于跟踪和采样技术，并用于调试、优化、状态报告、重配置等用途；后来人们认为传统监控技术已经不适于监控具有多处理器、分布式特征的复杂系统，并提出了基于历史数据以及包括数据收集、数据分析和结果显示等步骤的监控过程。复杂系统的运行时监控在航空航天等安全关键领域非常受重视，因为它是故障检测、隔离与恢复（FaultDetection,IsolationandRecovery,FDIR）以及故障诊断（FaultDiagnosis）的基础。例如，美国航空航天局（NASA）对其深空网络（DeepSpaceNetwork）建立了监控系统，由基于信标的多任务异常分析（Beacon-basedExceptionAnalysisforMulti-Missions）系统和空间飞行器健康推理引擎（SpacecraftHealthInferenceEngine）两部分组成，后者基于前者输出的信息进行推断；欧洲宇航局（ESA）对其关键软件的FDIR框架和监控技术进行了研究，并在Smart-I、Rosetta等多个卫星中进行试验。

监控可以针对系统和软件中的不同侧面，这与应用背景、需求以及用户的关注点相关，并已出现许多相关研究工作。例如，采用不变式或断言对软件运行过程中的变量值、输入/输出或系统状态进行监控；对网络中出现的恶意攻击和非法访问进行监控；以形式规约中提取的事件表达式作为基础对系统的实时性进行监控；基于混成建模对飞行器的健康和性能情况进行监控；通过软件运行时监控技术对无线网络中的能耗进行监测；在面向服务的体系结构中，通过软件封装技术对Web服务的性能进行监控；等等。

为了更准确地对复杂时序属性进行监控，以形式化方法为基础的运行时验证（RuntimeVerification）得到广泛重视，近年来取得了一定进展，已被认为是运行时监控的重要研究领域。运行时验证的目标是检测一个系统的实际运行是否违背给定的属性，该属性一般用某种时序逻辑（TemporalLogic）公式描述，并以此为基础生成相应的监控器。因此，在运行时验证中，监控器可以更加具体的定义为“读取有穷运行路径并给出相应结论的装置”。

线性时序逻辑（LinearTemporalLogic,LTL）作为一种广泛用于描述反应式系统属性的形式规约，在运行时监控中被给予较多关注和研究。为了增强监控属性对实时等特征的表达能力，还出现了对PLTL、ITL等时序逻辑乃至混成属性（HybridProperty）进行运行时验证的研究。多数情况下，运行时验证中监控器的构造借助了为时序逻辑公式生成等价自动机的过程，例如为一个LTL公式构造监控器可以该公式对应的Büchi自动机为基础。但由于LTL等时序逻辑的语义是以无穷路径为基础的，而运行时验证所得到的软件运行路径只能是有穷序列，因此往往需要在构造监控器时把时序逻辑的语义改造为以有穷路径为基础。美国NASA定义了有穷序列监控逻辑（MonitoringLogic）对程序的预期行为进行规约，它包含了时序逻辑、实时逻辑、区间逻辑的主要特征，生成的监控器在软件运行时自动判定是否违背预期行为，并在火星探险漫游者的规划软件PLASMA中应用。

软件监控根据其运行方式一般分为离线监控（OfflineMonitoring）和在线监控（OnlineMonitoring）两种类型。离线监控指一个或一组运行路径被记录下来，然后被传送给监控器进行分析和判断。对于很多资源有限的系统，常常采用离线方式。例如，针对空间飞行器的存储器、带宽等资源限制，美国NASA研究了如何从传送回地球的、只记录软件部分执行信息的日志中有效恢复整个程序执行路径，以供进一步监控分析，并在火星探测器中验证了其有效性。在线监控则指监控器和目标系统并发执行，目标系统每步执行信息都能被监控器获悉，并及时对系统运行情况进行判断。由此可见，在线监控是一种递进式（Incremental）、更有效的监控方式，能尽快发现可能存在的问题。但是很明显，在线监控需要占用的更多的资源，有可能影响目标系统的性能和效率。在线监控又可以进一步分为被动在线（PassiveOnline）监控和主动在线（ActiveOnline）监控两类，前者仅对当前的执行情况进行监控，而后者与一个激励产生器之间存在反馈环，可以通过产生某些激励来预测以后可能发生的故障，并调整系统后续的运行使其回到正确方向。上面提到的运行时验证，其监控器由于是一种自动机的形式，可以记录当前状态，因此能够以在线监控的方式工作，但依然属于被动在线监控。可以看到，主动监控是更加理想的监控方式，由于其概念出现还不久，具体的技术成果仍不多见。

发明内容

本发明要解决的技术问题就在于：针对现有技术存在的技术问题，本发明提供一种原理简单、适用范围广、易实现和推广、可靠性好的具有故障预测能力的时序属性监控方法。

为解决上述技术问题，本发明采用以下技术方案：

一种具有故障预测能力的时序属性监控方法，其步骤为：

（1）插装；在编译目标程序时实现，根据修改的编译规则向受控程序中插入代码，并生成相应的信息处理单元；插装的任务是基于相应的编译机制，通过编写的监控脚本自动产生插装数据和事件识别器，并根据实现系统控制的模型，在代码实现的适当位置自动插入额外的事件执行条件代码，生成相应的调节器；

（2）预测监控器的产生；采用LTL到Büchi自动机的构造方法，生成监控器；

（3）运行时部分模型产生；

（4）调控动作产生；

（5）调控动作的执行。

作为本发明的进一步改进：

所述步骤（1）的具体执行步骤为：

1.1、编写监测插装所需的监控脚本，采用PEDL和MEDL语言定义属性规约，前者主要描述原子事件和条件是如何由目标程序中的方法和变量抽象而成，后者则主要是描述原子事件和条件如何组成复合事件和条件；

1.2、编译得到一个事件识别器和一个.out文件，该文件包含了关于系统插装所需要的信息，它以Jtrek工具包可识别的方式被存储；Jtrek是一种开源的基于java字节码的比较成熟的插装工具包；

1.3、把模型中的与迁移事件相关的插装信息以Jtrek可识别的方式手工定义在另一个.out文件中；

1.4、插装组件以受控程序为目标，以.out文件为输入，完成代码插装，调节器的生成需要用到事件识别器。

所述步骤（2）的具体执行步骤为：

2.1、针对被监控的时序性质构造两个Büchi自动机和

2.2、构造有穷状态机，把上面构造的两个Büchi自动机转换为两个确定有穷自动机和

2.3、将得到的两个有穷自动机作笛卡尔乘积，得到有穷状态机；

2.4、将自动机最小化，则得到了针对性质的监控器

所述步骤（3）中给定系统模型G以及与之相对应的Büchi自动机G_A,假定s₀是G_A的初始状态，运行时部分模型产生的具体过程为：

3.1、通过宽度优先遍历，产生N+1步运行时部分模型

3.2、每当接收到一个事件e，得到相应的后续状态s′₀＝Λ(s₀，e）；

3.3、在模型树中确定从状态s′₀可达的状态集合F′，

3.4、通过在模型G中搜索状态集合F′中每个状态的后继状态，从而形成新的部分模型

3.5、当运行时部分模型产生以后，假定其终结状态为F_l,那么返回集合(Ψ(s)|s∈F₁}。

所述步骤（4）中假定是起源于状态q的运行时部分模型，F＝{f₁，...，f_n}是终止状态集合，判断的标准为，对于当前的有穷执行序列：

4.1、如果，对步骤（3）得到的集合中的每一元素Ψ(f_i)，预测监控器判定结果均为真，那么不需要产生控制动作，并且如果系统未来N+1步执行与状态序列Ψ(f_i)一致，则监控过程可以安全终止；

4.2、如果存在Ψ(f_i)，预测监控器能够判定结果为假，那么状态f_i将被记录以便基于系统模型产生相应的调控动作；

4.3、否则，不做任何操作。

所述步骤（5）的具体执行步骤为：

5.1、在系统执行过程中的任意时刻，记录集合采用基于Hash表的控制执行方式；在这种方法中，状态序列Ψ(u)的Hash值以及相应的调控动作被存储起来；

5.2、当观察到一个新的状态，系统递增的计算新的Hash值，并与Hash表中的项做比较；如果命中某个表项，那么与那个表项关联的调控动作被使能；同时在观察到一个后续新状态后，又钝化被使能的调控动作。

与现有技术相比，本发明的优点在于：

1.本发明能够将未来可能的运行序列与已观测到的运行序列组合起来进行监控，进而能够提前发现潜在故障，并采取措施以避免故障的实际发生，以保证系统正常运行。

2.本发明以线性时序逻辑的预测语义研究为基础，提出一种新的基于自动机理论的预测监控器构造技术。它可以有效减少最终的预测监控器规模、控制构造过程的复杂度，同时针对监控器的运行时开销进行了相应的优化。

3.本发明从前瞻和调节系统行为的需要出发，引入了相应的系统模型的概念，定义了模型的验证语言、控制语言和N步动态部分模型。

4.本发明是基于前瞻的控制理论，以及相应的实现框架，形成一个被监控系统运行以及监控、前瞻、验证及调节构成的闭环回路。

附图说明

图1是本发明的流程示意图。

具体实施方式

以下将结合说明书附图和具体实施例对本发明做进一步详细说明。

本发明的具有故障预测能力的时序属性监控方法，主要包括两个阶段：（1）静态阶段，也就是在目标程序执行之前。在这个阶段，根据属性规约和系统模型抽象，自动产生运行时验证器，同时确定被观测命题、被观测实体及受控事件、受控实体。（2）运行时阶段，即在目标程序执行过程之中。在这个阶段中，系统运行时信息被收集，同时前瞻未来可能行为并检查属性规约是否被满足。如果检测到规约背离，那么相应的调控动作被自动产生并在适当时刻被使能。

如图1所示，本发明在具体应用实例中的详细步骤如下。

1、插装；

插装主要在编译目标程序时实现，根据修改的编译规则向受控程序中插入代码，并生成相应的信息处理单元。

插装的主要任务是完成监测插装。基于相应的编译机制，通过编写的监控脚本自动产生插装数据和事件识别器。监控脚本中显式描述：如何基于系统实现中的被监测实体，定义属性规约涉及的事件和命题。插装数据被用来在系统实现的特定位置植入相应的代码以便在系统运行时提取必要的系统状态信息；事件识别器接收获取的系统状态信息，同时产生相应的高层事件和命题。监测插装从程序运行过程中提取被监测实体的底层状态信息，并映射到属性规约涉及的高层事件。

插装的另一任务是完成控制插装。根据实现系统控制的模型，编译时在代码实现的适当位置自动插入额外的事件执行条件代码，并生成相应的调节器。底层信息对应可能是类的域、方法或者一般函数调用等被监测实体，高层受控事件则对应系统模型。在系统模型中，对给定系统的有穷执行，事件有相应的执行条件。对应于该执行条件，插桩动作产生另外的一些插装数据，调节器则把调节动作封装为相应的方法，并为每个方法关联一个标记。一旦调节器接收到对调节动作的调用，那么它就执行相应的动作，实现对执行条件的控制。

插装的执行步骤是：

1.1、编写监测插装所需的监控脚本，采用PEDL和MEDL语言定义属性规约，前者主要描述原子事件和条件是如何由目标程序中的方法和变量抽象而成，后者则主要是描述原子事件和条件如何组成复合事件和条件。

1.2、编译得到一个事件识别器和一个.out文件，该文件包含了关于系统插装所需要的信息，它以Jtrek工具包可识别的方式被存储。Jtrek是一种开源的基于java字节码的比较成熟的插装工具包。

1.3、把模型中的与迁移事件相关的插装信息以Jtrek可识别的方式手工定义在另一个.out文件中。

1.4、插装组件以受控程序为目标，以.out文件为输入，完成代码插装，调节器的生成需要用到事件识别器。

2、预测监控器的产生；

借鉴经典的LTL到Büchi自动机的构造方法，生成监控器的主要过程如下：

2.1、针对被监控的时序性质构造两个Büchi自动机和

2.2、构造有穷状态机。把上面构造的两个Büchi自动机转换为两个确定有穷自动机（简称DFA）和

2.3、将得到的两个有穷自动机作笛卡尔乘积，得到有穷状态机（简称FSM）

2.4、将自动机最小化，则得到了针对性质的监控器

3、运行时部分模型产生；

给定系统模型G以及与之相对应的Büchi自动机G_A。假定s₀是G_A的初始状态。运行时部分模型产生的具体过程为：

3.1通过宽度优先遍历，产生N+1步运行时部分模型

3.2、每当接收到一个事件e，得到相应的后续状态s′₀＝Λ(s₀，e)。

3.3、在模型树中确定从状态s′₀可达的状态集合F′。

3.4、通过在模型G中搜索状态集合Fr中每个状态的后继状态，从而形成新的部分模型

3.5、当运行时部分模型产生以后，假定其终结状态为F_l，那么返回集合{Ψ(s)|s∈F₁}。该集合中的每个元素都对应于模型树中的一个分支。

4、调控动作产生；

首先，考虑如何在必要时产生相应的调控动作以及在什么时候使能和钝化它们。在监控中，调控动作的动态产生基于预测监控器的仲裁结论。而仲裁结论的产生则不但关注系统的当前执行序列而且考虑系统未来的各种可能执行。假定是起源于状态q的运行时部分模型，F={f₁，...，f_n}是终止状态集合。判断的标准为，对于当前的有穷执行序列：

4.1、如果，对步骤3中得到的集合中的每一元素Ψ(f_i)，预测监控器判定结果均为真，那么不需要产生控制动作，并且如果系统未来N+1步执行与状态序列Ψ(f_i)一致，则监控过程可以安全终止。

4.2、如果存在Ψ(f_i)，预测监控器能够判定结果为假，那么状态f_i将被记录以便基于系统模型产生相应的调控动作。

4.3、否则，不做任何操作。

然后，根据预测监控器的仲裁结论，假定集合为违背性质的终结状态集合，基于集合F′产生调控动作。假设对于自动机中的任意的动作序列u，u和集合F′中的某个状态之间存在迁移关系，已观察到的有穷状态序列π，那么对应于状态序列π.Ψ(u)的调控动作为为了简便起见，调控动作常常也可被记为产生调控动作的目的是，保证如果从现在开始的未来N步系统执行与状态序列Ψ(u)相匹配，那么集合中的任一事件都不允许发生。

5、调控动作的执行；

由于监控器和系统之间是异步运行的，因此它们对于系统的当前状态具有不一致的视图，必须采用特殊的执行机制来帮助系统确定在哪些时刻使能或钝化哪些特定调控动作。如上所述，对于任意的Ψ(u)是一条可能的未来N步执行片段，即状态序列，是相应的调控动作。

5.1、在系统执行过程中的任意时刻，记录集合采用基于Hash表的控制执行方式。在这种方法中，状态序列Ψ(u)的Hash值以及相应的调控动作被存储起来。

5.2、当观察到一个新的状态，系统递增的计算新的Hash值，并与Hash表中的项做比较。如果命中某个表项，那么与那个表项关联的调控动作被使能。同时在观察到一个后续新状态后，又钝化被使能的调控动作。

从而，当被插装系统执行时，相关代码把相关的内部状态信息发送给事件识别器，事件识别器计算在当前状态处为真的命题和事件。从而对应于高层模型中的一个状态，运行时部分模型产生器根据当前状态产生一个新的N+1步部分模型，预测监控器遍历部分模型中的每个分支，检查是否发生性质背离。

以上仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，应视为本发明的保护范围。

Claims (5)

1.一种具有故障预测能力的时序属性监控方法，其特征在于，步骤为：

(1)插装：在编译目标程序时实现，根据修改的编译规则向受控程序中插入代码，并生成相应的信息处理单元；插装的任务是基于相应的编译机制，通过编写的监控脚本自动产生插装数据和事件识别器，并根据实现系统控制的模型，在代码实现的适当位置自动插入额外的事件执行条件代码，生成相应的调节器；

(2)预测监控器的产生：采用LTL到Büchi自动机的构造方法，生成监控器；

(3)运行时部分模型产生；

(4)调控动作产生；

(5)调控动作的执行；

所述步骤(1)的具体执行步骤为：

1.1、编写监测插装所需的监控脚本，采用PEDL和MEDL语言定义属性规约，前者主要描述原子事件和条件是如何由目标程序中的方法和变量抽象而成，后者则主要是描述原子事件和条件如何组成复合事件和条件；

1.2、编译得到一个事件识别器和一个.out文件，该文件包含了关于系统插装所需要的信息，它以Jtrek工具包可识别的方式被存储；Jtrek是一种开源的基于java字节码的比较成熟的插装工具包；

1.3、把模型中的与迁移事件相关的插装信息以Jtrek可识别的方式手工定义在另一个.out文件中；

1.4、插装组件以受控程序为目标，以.out文件为输入，完成代码插装，调节器的生成需要用到事件识别器。

2.根据权利要求1所述的具有故障预测能力的时序属性监控方法，其特征在于，所述步骤(2)的具体执行步骤为：

2.1、针对被监控的时序性质构造两个Büchi自动机和

2.2、构造有穷状态机，把上面构造的两个Büchi自动机转换为两个确定有穷自动机和

2.3、将得到的两个有穷自动机作笛卡尔乘积，得到有穷状态机：

2.4、将有穷状态机最小化，则得到了针对性质的监控器

3.根据权利要求2所述的具有故障预测能力的时序属性监控方法，其特征在于，所述步骤(3)中给定系统模型G以及与之相对应的Büchi自动机G_A，假定s₀是G_A的初始状态，运行时部分模型产生的具体过程为：

3.1、通过宽度优先遍历，产生N+1步运行时部分模型

3.2、每当接收到一个事件e，得到相应的后续状态

3.3、在模型树中确定从状态可达的状态集合F′；

3.4、通过在模型G中搜索状态集合F′中每个状态的后继状态，从而形成新的部分模型

3.5、当运行时部分模型产生以后，假定其终结状态为F₁，那么返回集合{Ψ(s)|s∈F₁}，其中s为部分模型的状态。

4.根据权利要求3所述的具有故障预测能力的时序属性监控方法，其特征在于，所述步骤(4)中假定是起源于状态q的运行时部分模型，F＝{f₁，…，f_n}是终止状态集合，判断的标准为，对于当前的有穷执行序列：

4.1、如果，对步骤(3)得到的集合中的每一元素Ψ(f_i)，预测监控器判定结果均为真，那么不需要产生控制动作，并且如果系统未来N+1步执行与状态序列Ψ(f_i)一致，则监控过程可以安全终止；

4.2、如果存在Ψ(f_i)，预测监控器能够判定结果为假，那么状态fl将被记录以便基于系统模型产生相应的调控动作；

4.3、否则，不做任何操作。

5.根据权利要求4所述的具有故障预测能力的时序属性监控方法，其特征在于，所述步骤(5)的具体执行步骤为：

5.1、在系统执行过程中的任意时刻，记录集合采用基于Hash表的控制执行方式；在这种方法中，状态序列Ψ(u)的Hash值以及相应的调控动作被存储起来；其中，对于任意的Ψ(u)是一条可能的未来N步执行片段，即状态序列，是相应的调控动作；即：假设对于自动机中的任意的动作序列u，u和集合F'中的某个状态之间存在迁移关系，已观察到的有穷状态序列π，那么对应于状态序列π.Ψ(u)的调控动作为

5.2、当观察到一个新的状态，系统递增的计算新的Hash值，并与Hash表中的项做比较；如果命中某个表项，那么与那个表项关联的调控动作被使能；同时在观察到一个后续新状态后，又钝化被使能的调控动作。