Rx: Treating bugs as allergies a safe method to survive software failures. DIKU, Datalogisk Institut, Københavns Universitet 04/01/2006

Transkript

1 Rx: Treating bugs as allergies a safe method to survive software failures DIKU, Datalogisk Institut, Københavns Universitet 04/01/2006 Præsentation af Jacob Munk-Stander & Lauge Wulff

2 Rx Grund-ide: Hvis der opstår en fejl -> Ændrer miljøet som fejlen opstår i, og genudfører den fejlede del.

3 At ændre miljøet: Ændringer i miljøet der kan afhjælpe fejl: Hukommelesesfejl Timing-fejl Skadelige forespørgsler

4 Rx arkitektur

5 Sensorer Sensorer opdager fejl i systemet, sender info til Control unit. To typer sensorer, en der bl.a. finder div-by-zero, access violations, og en der finder buffer overflow, dangling pointer fejl før de sker. I Rx er der kun implementeret den første(!), måske dækker deres access violations over buffer overflow og dangling pointer fejl.

6 Checkpoint & Rollback enhed Løbende Checkpoint + snapshot af programmet til hukommelse (for bedre performance) Filhåndtering: Versionering: Ny version hver gang der bliver skrevet. Versionsnummer huskes ved checkpoint. Flere Checkpoints muligt, kan skrives til disk for at frigive hukommelse. Antal Checkpoints begrænses: Bevarer kun checkpoints så langt tilbage som det tager for en programgenstart. 2- competitive. (Timeout)

7 Environment wrappers Memory wrapper: (det. fejl) Ændrer brug af malloc, free etc. Understøtter følgende ændringer til hukommelsesallokering: o Forsinker genanvendelse af tidligere brugt hukommelse (dangling pointer, double free) o Ekstra padding på enderne af buffers. (forhindrer dataødelæggelse ved bufferoverflow) o Allokering i øde dele af hukommelsen (forhindrer dataødelæggelse ved ekstrem bufferoverflow) o Initialisering af allokerede områder (løser uinitialiseret læsning). Alle overholder de almene krav til hukommelsesallokering. -> Sikker at anvende

8 Message wrapper (samtidigheds fejl - non-det. fejl) Bytte om på rækkefølgen af beskeder Kan ændre pakkestørrelsen på beskeder. Proces schedulering (samtidigheds fejl - non-det. fejl) Prioritet hæves. -> En proces får en større time-slice og derved afbrydes den måske ikke et kritisk sted.

9 Brugerforespørgsler smides væk (Sidste udvej) Ignorer forespørgsler som giver fejl. Binær søgning finder de forespørgsler der giver fejl. Gemmer en signatur af den fejl-givende forespørgsel, og kan derved sortere lignende forespørgsler fra.

10 Proxy mellem klient og server Skal kende protokollen mellem klient og serverprogram (http, MySQL msg prot, CVS msg prot). Ved fejl ændres miljøet (MessageWrapper rækkefølge og pakkestørrelser), dernæst afspilles beskeder til server fra checkpoint. Reqests fra klient gemmes indtil server har overlevet de fejlende requests.

11 Response gemmes ikke i proxy, da client HAR modtaget den og ikke kan ændres, men der huskes om response er sendt. Ved fejl -> Hvis der tidligere er svaret, svar ikke. Hvis et response er for stort, sendes delvist response til client og MD5 huskes i proxy. Ved evt. fejl tjekkes om nyt partielt response har samme MD5 ellers droppes hele forbindelsen.

12 Control unit Koordineerer enhederne i Rx Opbygger en fejl-tabel over fejlsymptomer (exeptions) og løsninger på fejlene. Herudfra fastsættes hvilke miljøvariable der skal pilles ved. Hvis fejlen ikke findes i fejl-tabellen -> de billigste miljøændringer først: Padding før Zero-filling. Sidst: request-dropping. Leverer fejl-logs til udviklere

13 Performance: Rx klarer alle ovenstående fejl hurtigt, og uden brugeren opdager det.

14 Performance: Squid genstart og Rx Rx ~ samme som baseline. Restart: 5 sek. Hul og ekstra høj svartid efter opstart pgra kø.

15 Performance: - bug requests Med genstart falder throughput og svartid stiger grundet lang opstartstid og requests i kø. Rx holder konstant samme værdi, da den genkender og ignorerer ondsindede requests.

16 Performance: Recovery time for efterfølgende fejl - Fejltabel Fejl-tabellens indflydelse ses. Squid: msg reorder, delay free + msg reorder, padding + msg reorder. MySQL: msg reorder løser i første forsøg

17 Rx - fordele Kan håndtere mange typer softwarefejl, både deterministiske og nondeterministiske. Konsistente svar -> Sikker løsning. Kræver få eller ingen ændringer i appl. kildekode Hurtig fejlhåndtering ( ms) Informerer om fejl. Ikke til brugeren, men til programmøren.

18 Rx - ulemper Hvis fejlen først kan opdages efter at checkpoints er slettet, kan der kun genstartes. Memory leaks Kan (endnu) ikke anvendes på et Multi-tier miljø (fx webserver med bagvedliggende database). Her skal alle applikationer koordineres fra Rx.