软件质量属性.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,*,1,质量属性,Quality Attribute,2,主要内容,一、质量属性场景,二、理解质量属性,三、实现质量属性的战术,四、设计架构,质量属性的定义,A quality attribute(QA)is a measurable or testable property of a system that is used to indicate how well the system satisfies the needs of its stakeholders.,质量属性是一个系统的可测量或可测试的属性，它被用来描述系统满足利益相关者需求的程度,本章任务,怎样描述质量属性,怎样达成质量属性,怎样应用质量属性（在架构决策时）,3,系统的架构、功能和质量属性,软件开发时人们往往关注功能,实情：导致软件系统修改的主因不是功能，而是系统难以维护、扩展、被黑客破坏等。,系统的功能不能决定系统的架构,质量是系统的属性，而功能是系统的目标,4,5,构架和质量属性之间的关系,质量属性不完全依赖于设计、实现和部署,易用性涉及构架和非构架两方面的问题,系统能否为用户提供取消操作？,这一类属于构架层次的问题,什么样的布局最直观,?,什么样的字体最清晰,?,这属于详细设计的部分，不属于构架设计。,可修改性：,划分功能的方式这属于架构层次的问题,模块中的编码技巧,非架构层次问题,系统性能：,组件间通讯数量、分配给每个组件的功能、资源共享的方式，等，这些都属于架构层次的问题,实现某功能采用的算法、如何编码这些算法，等，都会影响系统性能，但属于非构架层次的问题。,6,构架和质量属性之间的关系,构架不能独自实现质量属性,构架为质量属性的实现打下了基础，但不关注实现细节的话，这个基础就失去了意义。,复杂系统中，不能孤立地实现质量属性,例如，为了可靠性，增加冗余处理器和进程，保证不会因单点故障使系统崩溃。但这样对安全性不利，系统会有更多的地方可能会遭到入侵,质量属性的来源：,3,类需求,1.Functional requirements,These requirements are satisfied by including an appropriate set of responsibilities within the design.,2.Quality attribute requirements,These requirements are satisfied by the structures and behaviors of the architecture.,3.Constraints,：,a design decision thats already been made.,satisfied by accepting the design decision and reconciling it with other affected design decisions.,7,8,描述质量属性需求的,6,个部分,刺激,stimulus,是到达系统的事件,event,刺激源,stimulus source,生成刺激的实体（计算机、人,-,可信或不可信）,响应,response,刺激到达后采取的反应,响应度量,response measure,对响应效果进行度量,环境,:,刺激发生时的各种条件,制品：,可能是系统，或系统的一部分,核心,9,用如下方式描述质量属性场景,刺激源,刺激,环境,响应,响应度量,制品,质量属性的一般场景,10,11,可用性场景的一个例子,外部系统,未曾预料的消息,正常操作,进程,通知操作员继续操作,没有停机,12,可修改性场景的一个例子,开发人员,希望改变用户界面,设计时,代码,修改不产生副作用,3,小时内,一、质量属性场景,13,14,我们通常考虑如下质量属性,系统质量属性,可用性,Availability,可修改性,性能,安全性,可测试性,易用性,其他如商业属性（上市时间）、概念属性等，在本课程中不讨论,15,可用性,Availability,Availability refers to,the ability of a system to mask or repair faults such that the cumulative,service outage,period does not exceed a required value over a specified time,interval,可用性，通常关注如下方面：,系统故障发生的频度、出现故障时会发生什么情况（会出人命吗）、允许系统非正常运行多久、如何防止故障发生、发生故障时通知给哪里，等,区分故障,failure,错误,error,过错、责任,fault,故,障产生的原因即过错责任,Fault,和,failure,之间的状态，称之为,error,如果不进行纠正，错误会变成故障,用户可以观察到故障、但看不到错误,16,可用性,Availability,通常，将可用性定义为,平均正常工作时间,（,MTBF,）,平均正常工作时间,(,MTBF),+,平均修复时间,(MTTR),不计算正常停机时间,where MTBF refers to the mean time between failures and,MTTR,refers to the,mean time,to repair.,=,Hazard analysis,：,is a technique that attempts to catalog the hazards that can occur during the operation of a system.,Catastrophic,灾难性,This,kind of failure may cause a crash.This failure represents the loss of,critical function,required to safely fly and land aircraft.,Hazardous,有危险,This,kind of failure has a large negative impact on safety or performance,or reduces,the ability of the crew to operate the aircraft due to physical distress or a,higher workload,or causes serious or fatal injuries among the passengers.,Major,显著,This,kind of failure is significant,but has a lesser impact than a Hazardous failure(,for example,leads to passenger discomfort rather than injuries)or significantly increases,crew workload,to the point where safety is affected.,Minor,不显著,This,kind of failure is noticeable,but has a lesser impact than a Major failure(,for example,causing passenger inconvenience or a routine flight plan change).,No effect,无影响,This,kind of failure has no impact on safety,aircraft operation,or crew workload.,17,A simple fault tree,18,Availability General Scenario,19,可用性的战术,20,Detect Faults,错误检测,-1,Ping/echo,节点间的异步“请求,/,回应”信息。检测可达性和往返延迟,Monitor,一,个用来监视系统其他部分的,组,件,Heartbeat,监,测者和被监测者之间交换的周期性信息,Time,stamp,Sanity,checking,健,全性检查,某项操作或输出的合理性,Condition,monitoring,Voting,(,TMR),Replication:,防止硬件错误，但避免不了逻辑错误,Functional,redundancy,功能性冗余,防,止设计或实施时的错误,接,收相同的输入，要给出相同的输出。但其内部实现要用不同的方法,Detect Faults,错误检测,-2,Analytic redundancy,不仅限于组件的私有部分的多样性，而且在输入和输出方面也实现多样性。,Exception detection,System exceptions,：被,0,除、总线地址失效等,Parameter fence,：防止对象的参数被覆盖,Parameter typing,参数限制,timeout,22,Recover from Faults,Active redundancy(hot,spare,热备份,),Passive redundancy(warm,spare,暖备,份,),Spare(cold,spare,冷备份,),Exception,handling,Rollback,Software,upgrade,Retry,Ignore faulty,behavior,Degradation,Reconfiguration,Shadow,State,resynchronization,Escalating,restart,逐步重启,Non-stop forwarding(NSF,),直通,23,Prevent Faults,Removal from service,Transactions,事务,Atomic,Consistent,Isolated,and Durable,Predictive model,Exception prevention,Increase competence set,扩充能力集合,is the set of states in which it is“competent”to operate.,24,A Design Checklist for,Availability-1,25,A Design Checklist for Availability-,226,A Design Checklist for Availability-,3,27,A Design Checklist for Availability-,4,28,互操作性,Interoperability,Interoperability is about the degree to which two or more systems can usefully exchange meaningful information via interfaces in a particular context.,29,互操作性一般场景,30,一个互操作性示例,31,互操作性战术,32,Checklist to Support the Design and Analysis Process for Interoperability,33,Checklist to Support the Design and Analysis Process for Interoperability-2,34,Checklist to Support the Design and Analysis Process for Interoperability-3,35,36,可修改性,Modifiability,什么可以改变？,系统的任何部分：功能、平台、环境、质量、容量,何时修改、由谁来修改？,修改的代价,可修改性一般场景,37,可修改性场景的一个例子,38,可修改性战术,39,40,性能,Performance,：,An ounce of performance is worth pounds of promises.,性能最相关的即：时间,Sample concrete performance,scenario,一,个具体的性能属性场景,41,性能属性的战术,42,A Design Checklist for Performance,43,44,A Design Checklist for Performance-2,A Design Checklist for Performance-3,46,安全性,Security,：,衡量系统在向合法用户提供服务的同时，阻止非授权使用的,能力,confidentiality,integrity,and availability(CIA,),Confidentiality is the property that data or services are protected,from unauthorized access,Integrity is the property that data or services are not subject to,unauthorized manipulation,Availability is the property that the system will be available for legitimate use,.,Authentication verifies the identities of the parties to a transaction and checks,if they,are truly who they claim to,be,Nonrepudiation guarantees that the sender of a message cannot later deny,having sent,the message,and that the recipient cannot deny having received the,message,Authorization grants a user the privileges to perform a task,安全性一般场景,1,47,安全性一般场景,2,48,一个安全性场景实例,49,安全性战术,50,安全性设计清单,1,51,安全性设计清单,2,52,安全性设计清单,3,53,54,可测试性,testability,：,Testing leads to failure,and failure leads to understanding,通过测试揭示软件缺陷的容易程度,在开发设计良好的系统成本中，至少有,30-50%,用在了测试上。,测试由各种开发人员、测试人员、验证人员、用户进行。,对设计、代码、整个系统进行测试,可测试性的通用场景,55,一个可测试性的实例,56,可测试性的战术,57,可测试性的设计策略清单,-1,58,可测试性的设计策略清单,-2,59,可测试性的设计策略清单,-3,60,61,易用性,Usability,：,it takes a genius to make something simple.,对用户来说，完成某个期望任务的容易程度和系统所提供的用户支持的种类。,许多易用性问题属于质量属性,系统构建完成后，最难添加的特性，往往属于架构内容关于什么是架构方面的内容、什么不是，往往基于对问题的表面分析；深入分析会发现：到处都有应该在架构方面考虑的问题。,易用性一般场景,62,一个易用性场景实例,63,易用性战术,64,易用性设计策略,65,易用性设计策略,-2,其他质量属性,Variability,可变性,特殊的可修改性,It refers to the ability of a system and its supporting artifacts such as requirements,test plans,and configuration specifications to support the production of a set of variants that differ from each other in a preplanned fashion.,用于软件产品线的维护,Portability,易于做改变，用于另外一种平台,其他质量属性,Development,Distributability,支持分布式软件开发,Scalability,horizontal,scalability,adding more resources to logical units,vertical scalability,adding more resources to a physical,unit,Deployability,可部署性,Mobility,deals with the problems of movement and affordances of a,platform(,大小、显示器类型、输入设备类型、带宽、电池等,),68,其他质量属性,Monitorability,deals with the ability of the operations staff to monitor the system while it is executing.,Safety,Software safety is about the softwares ability to avoid entering states that cause or lead to damage,injury,or loss of life to actors in the softwares environment,and to recover and limit the damage when it does enter into bad states,69,ISO/IEC FCD 25010 product quality standard,70,71,三、实现质量属性的战术,如果不顾及所有的质量属性，每一个好的质量属性都是有害的,72,可用性战术,刺激,响应,战术,返回,73,错误检测,命令,/,响应：,ping/echo,一个组件发送,ping,，期望在预期时间内收到被审查组件的相应,心跳：,heartbeat,组件定期发送消息（心跳），如果另一个组件没有收到，则通知纠错组件。,心跳同时还可以传输数据,异常：,exceptions,异常处理的程序,前二者运行在不同进程上，异常处理通常在同一进程上,看图,74,错误恢复,检测和修复,表决,冗余处理器的每个进程都有相同的输入，它们计算并发送给表决者一个输出值。（如果检测到某个错误，就停止该处理器）,表决规则可以是,“,多数规则,”,或,“,首选组件,”,等,注意多样性问题,冗余组件运行不同算法,主动冗余（热重启）,所有冗余组件都以并行的方式对事件做出反应（仅用其一）,发生错误，就切换到某一个组件,利用可靠传输协议，将传递给任何一个冗余组件的消息，都传递给其他所有组件,被动冗余（暖重启,/,多重冗余）,由一个组件负责对事件作出相应，并通知其他组件更新状态,出错后，在继续提供服务之前，确保备用状态是最新的,可以经常切换,“,主组件,”,，保持新状态,备件,替换各种的出现故障的组件,定期对备件进行备份、设定检查点，出错后重新初始化。,恢复时间可能稍长,看图,75,错误恢复,重新引入,影子,Shadow,以前出现故障的物体，在恢复之前，模仿工作组件的内容,状态再同步,组件重新提供服务之前，需要更新其状态,检查点,/,回滚,使用上一个一致的检查点，,看图,76,错误预防,从服务中删除,执行某些活动，防止预期可能发生的错误,重启，防止内存泄露,事务,将一些有序的步骤绑定为事务，以备需要,进程监视器,利用监视进程检查进程中存在的错误，监视进程可以删除没有在运行的进程。,看图,77,可修改性战术,返回,刺激,响应,战术,78,局部化变更,维持语义一致性,语义，指的是模块内各责任之间的关系,要确保这些责任能够协调一致地工作，而不过多地依赖其他模块,耦合、内聚的程度是度量一致性的一个指标,同时还应该根据是否支持预期的变更，来判断一致性程度,预期可能的变更,在实践中，往往很难预期所有重要的变更（经验）,泛化该模块,使模块能根据输入计算更广泛的功能,可以把输入看作是为该模块定义了一种语言，对其进行解释,限制可能的选择,实际中可选范围往往很大，可能会影响很多模块,例如，处理器的变更，可以限制使用相同家族的成员,正交,看图,79,防止连锁反应：,一个模块对另一个模块的依赖性，有,8,种,一、语法,数据：由,A,产生并由,B,使用的数据，必须与,B,所假定的数据类型一致,服务：由,A,产生并由,B,使用的服务的特征，必须与,B,所假定的类型一致,二、语义,数据：由,A,产生并由,B,使用的数据的语义，必须与,B,的假定的一致,服务：由,A,产生并由,B,使用的服务的语义，必须与,B,的假定的一致,三、顺序,数据：要使,B,正确运行，必须以一个固定的顺序接收,A,产生的数据,控制：要使,B,正确运行，,A,必须在一定时限内执行,四、,A,的一个接口的身份,A,可有多个接口，要使,B,正确运行，该接口必须与,B,的假定一致,修改,A,会导致修改,B,Intobject,1,交,0,空,0,交,1,空,大头序 小头序,接口,1,输出 接口,2,输出,看图,80,防止连锁反应：,一个模块对另一个模块的依赖性，有,8,种,五、,A,的位置,要使,B,正确运行，,A,运行时的位置必须与,B,的假定一致,例如，,B,假定,A,位于同一处理器的不同进程上,六、,A,提供的服务,/,数据的质量,要使,B,正确运行，,A,提供的服务,/,数据的质量必须与,B,的假定一致,七、,A,的存在性,要使,B,正确运行，,A,必须存在,如果,B,请求,A,的服务，,A,必须存在或能动态地创建,八、,A,的资源行为,要使,B,正确运行，,A,的资源行为必须与,B,的假定一致,修改,A,会导致修改,B,看图,81,防止连锁反应：,PREVENT RIPPLE EFFECTS,信息隐藏,信息隐藏，就是把某个实体的责任分解为更小的部分，并选择使哪些信息成为公有的，哪些私有,目的是使变更被隔离在一个模块内,维持现有接口,语法依赖性容易用这种方法屏蔽变更，但语义、质量、资源等的依赖性，很难通过维持接口来屏蔽,创建抽象接口，与具体实现相分离,添加接口：提供最新的服务或数据,添加适配器：给,A,添加适配器，把,A,包装起来，提供原始,A,的信息,提供一个占位程序,A,：如果变更删除了,A,，就提供一个占位,A,，向,B,提供,A,的签名，而,B,不用修改（如果只需要,A,的签名的话）,限制通信路径,限制与给定模块,A,贡享数据的模块。即减少两类模块的数量，,1,，使用由,A,生产的数据的模块数量。,2,，给,A,提供数据的模块的数量,看图,82,防止连锁反应：,PREVENT RIPPLE EFFECTS,仲裁者的使用：对于非语义型的依赖，可以在,A,、,B,间插入一个仲裁者，管理与该依赖相关的活动。仲裁者是：,数据（语法）：存储库充当数据生产和使用者之间的仲裁者。一些库例子：,某些订阅,-,发布模式，将语法转换为,B,的语法,MVC,和,PAC,模式把一种形式的数据（输入）转换为另一种形式的数据（抽象组件中的格式）,服务,(,语法,),：,桥、调停者、代理和工厂模式都提供了把服务语法从一种形式转换到另一种形式的仲裁者。防止,A,的变化扩散到,B,A,的接口的身份：,可以使用经纪人模式屏蔽一个接口中身份的变化。让经纪人与,A,的新身份进行连接，,B,不变,A,的位置（运行时）,由,A,负责在名称注册服务器中，注册其位置，,B,则检索此位置,A,的资源行为,让一个资源管理器来管理,A,所涉及的资源,A,的存在性,工厂模式可以根据需要创建实例，因此，,B,对,A,的依赖性由该工厂的操作来满足,看图,83,推迟绑定时间：,支持部署时（变更）及非开发人员的修改,运行时注册,即插即用。但需要额外的管理注册的开销,配置文件,在开机启动时，根据其设置参数,多态,允许方法调用的后期绑定,组件更换,允许载入时绑定,遵守已定义的协议,允许各个独立进程在运行时绑定,看图,84,性能战术,返回最近,刺激,响应,战术,85,资源需求,提高计算效率,改进关键算法。用一种资源换取另一种资源,减少计算开销,例如删除一些仲裁者,管理事件速率,降低对环境监视的强度,控制采样频率,限制执行时间,限制队列的大小,86,资源管理,引入并发,不同的线程上处理不同的事件流,维持数据或计算的多个副本（注意一致性）,例：高速缓存。,增加可用资源,提供额外的处理器、内存、速度更快的网络。等。,87,资源仲裁：对竞争的资源进行调度,常见的调度策略,FIFO,：适用于相同优先级,固定优先级调度：可能使低优先级请求等待过多时间。常见优先级策略为：,语义重要性,时限时间：时限短（到期）的请求优先级高,速率单调：对于周期任务，选择周期短的优先级高,动态优先级,轮转,时限优先,静态（脱机）调度,系统执行前，基于被调度任务的时间参数来安排调度,适用具有确定性时间要求的系统，例如空管。,88,安全性战术,刺激,响应,战术,89,抵抗攻击,对用户身份进行验证,确保用户或计算机是它所声称的用户或计算机,密码、数字证书,对用户进行授权,经过身份验证的用户，有什么样的访问权限,访问控制,维护数据的机密性,加密数据，,VPN,，,SSL,维护完整性,限制暴露信息,限制访问,防火墙根据消息源或目的端口，来限制访问,北斗,90,检测攻击,将网络通信模式与数据库中的进行对比,检测攻击的,“,传感器,”,将各传感器进行融合,记录日志,分析工具和控制台,91,从攻击中恢复,恢复状态（防守性）,维持重要副本数据,识别攻击者（惩罚性）,维持审计追踪,92,可测试性战术,刺激,响应,战术,93,可测试性战术：,管理输入输出,记录,/,回放：捕获跨接口的信息，将其作为测试专用软件的输入,将接口和实现分离,占位程序可以使得系统剩余部分得到检测,特化访问路线,/,接口,测试工具独立地捕获某些变量值,内部监视,内置监视器,94,易用性战术,刺激,响应,战术,95,易用性战术,运行时,用户主动：撤销,混合主动：提供进展指示器,系统主动：预测与用户相关的某些信息,维持任务的一个模型,维持用户的一个模型,维持系统的一个模型,设计时,将用户接口（可能频繁改变）与应用的其余部分分离开,支持该战术的架构模式：,MVC,、,PAC,。,Seeheim,、,Arch/Slinky,96,Seeheim,简介,Seeheim,模型将软件体系结构分为,4,个部分：核心模块,(Functional Core),，核心应用接口,(Functional Core Adapter),，对话控制器,(Dialogue Contro1ler),，界面构件,(Presentation Component),。,Function Core,对领域应用进行建模。,Functional Core Adapter,为用户界面与核心应用之间建立一个缓冲区，以减少二者之间的耦合。它通过一些交互协议为用户界面与核心应用之间提供同步或者异步的数据交换。,Dialogue Controller,是,Seeheim,模型中的核心部分。它通过界面构件接收来自用户的各种输入请求，通过转换后利用核心应用接口与核心模块进行数据交换，保证多个视图间的一致性，以完成特定的用户任务在,Dialogue Contro11er,中可以嵌套定义,Seeheim,子模型。这样可以从不同粒度上对,GUI,系统进行建模。,Presentation Component,对界面构件的具体交互动作和输入输出进行设计。,97,战术与构架模式（风格）的关系,设计师会选择一个精心设计的模式或模式集合，来实现一个或多个战术,根据战术，创建构架模式和策略,选择了战术之后，设计师的任务才开始,任何设计都使用多个战术,对设计师来说，分析过程包括理解在实现中所应用的战术；明智地选择战术组合来实现系统的目标,例：海战,-,制空：飞机,-,航母,98,四、空中交通管制,:,高可用性设计方案分析,99,高可用性设计案例分析：空中交通管制（,Air Traffic Control,）,ATC,：,对实时性和安全性要求极高,由,FAA,（联邦航空局）管理,客户,从顺利起飞到安全抵达整个过程，飞机都要受,ATC,某个部分的管理：地面控制部分负责管理飞机在机场地面的运动；控制塔台控制飞机在该终端控制区域空间的飞行；该系统有多个中途中心；,我们要讨论的系统叫,ISSS,（,Initial Sector Suite System,）初始区段组系统：对,22,个中途中心的软硬件进行升级。,从,A,港到,B,港的飞行控制示意,101,各中途控制中心管辖,102,ISSS,需求与质量分析,两个最重要的质量属性,极高的可用性：不正常状态只能持续极短时间,高性能：必须在不丢失任何数据的情况下，对大量数据（每中心最大飞机数量,2440,）进行处理。通信网络必须能处理这种负载，软件必须快速带预测性地进行计算,其他重要属性,开放性,能够提交该系统的子集,能够更改功能、处理软硬件的升级,能够与众多外部系统相接并协同工作,必须满足众多涉众的要求，特别是控制人员的需求。,某区段组的控制台，一个中心可以有多个区段,雷达控制员：监视雷达数据，与机组人员联系，保证飞机安全隔离,数据控制员：获取每一架飞机的数据（飞行计划等）,104,ISSS,系统的规模,每个中途中心支持,210,个控制台，每个控制台都有工作站级的,CPU,：,IBM RS/6000,要求每个中心能同时管理,400-2440,架飞机,每个场站需要,16-40,台雷达,一个中途中心可能需要,60-90,个控制位置，每控制位置需要一个或多个控制台,ISSS,系统要求使用,Ada,语言（源代码超过,100,万行）,105,ISSS,系统必须完成如下功能,获取存储在现有,ATC,系统主计算机,(HCS),中的雷达目标数据,转换雷达报告，以供显示，将其广播给所有的控制台。每个控制台选择自己需要的数据，每控制台都能显示任何方位的数据,处理冲突警告（撞机）或其他计算机发来的数据,提供与,HCS,的接口，用于输入及查询飞行计划,提供网络管理等多方面的监控信息，允许场站管理人员重新配置所安装的系统,提供记录能力，以供事后回放,在控制台提供图形界面。特殊功能（如一定透明性）,当主计算机、主通信网络、主雷达传感器出现故障时，提供后备功能,106,ISSS,的架构解决方案,可用性：一年内停机时间不能超过,5,分钟，这个质量属性决定了整个架构的决策,下面给出一些主要视图，并说明其战术,ISSS,的物理视图,模块分解视图,进程视图,客户机,服务器视图,分层视图,组件,连接器视图,物理视图,108,物理视图,主计算机,HCS,是中途中心的核心,每个中心有两台主计算机，一台负责常规处理，一台在前者出现故障时接管处理。,主计算机负责对监控数据和飞行计划数据处理,通用控制台,Common Consoles,是空管人员的工作站。,1,区段有,1-4,台控制台,本地通信网,LCN,是,ISSS,系统的主要网络。每台主机都通过双,LCN,接口单元（每一个都叫做,LIU-H,）与,LCN,相连,LCN,由,4,个并行的令牌环网组成，以提供冗余能力并平衡总负载,一个把监控数据广播到各个处理器，第,2,个实现处理器间的点到点通信，第,3,个把显示数据从通用控制台发送到数据记录部件备用；第,4,个是备用的,109,物理视图,增强直接访问雷达信道,(EDARC),提供飞机方位的后备信息，并将飞行数据块信息限定显示在控制台上,使用,EDARC,是为了防止主机发送的信息丢失。,EDARC,实质上提供了原始雷达数据、到,ESI,（外部系统接口）处理器的接口,后备通信网（,BCN,）是采用,TCP/IP,协议的以太网,LCN,、,BCN,都有相应的监控控制台,(M&C),测试与培训子系统提供了在不影响正常操作情况下，对新的软硬件测试以及对用户进行培训的功能,中央处理器采用大型机上的处理器。在,ISSS,系统的早期版本中用以提供数据存储和回放的功能,110,模块分解视图,ISSS,的模块被称为计算机软件配置项,(CSCI),。按照美政府软件开发标准定义。每个,CSCI,都围绕一个中心问题展开,显示管理,通用系统服务：提供实用程序,记录、分析、回放：捕捉会话，事后分析,全国空域系统修改：对驻留主机的软件做相应修改,IBM AIX,操作系统,分解视图反映了几个可修改战术,语义一致性：为每个,CSCI,分配定义良好不重叠的责任,抽象通用服务战术：通用系统服务,记录回放战术：,预期变更、泛化模块、维持接口稳定战术：仔细设计软件的接口,111,进程视图,112,进程视图,ISSS,按多处理器环境设计，处理器在逻辑上组成处理器组。成组的目的是要分别运行一个或多个应用程序的副本，容错、可用性。,PAS,：主地址空间,SAS,：备用地址空间,一个主地址空间和,x,相应备用地址空间集合被称为操作单元。操作单元驻留在同一地址处理器组的处理器中,未以这种容错方式实现的,ISSS,的其它部分，则在不同的处理器上独立运行。称为功能组,FG,该视图反应的可用性战术,状态再同步、,shadowing,、主动冗余、从服务中删除,113,进程视图,各应用程序之间按,C/S,模式进行交互,操作单元内,PAS,将状态变化通知给,SAS,SAS,等待超时，或其他标志,PAS,、,SAS,自身失效的消息，以便接替,PAS,。有以下步骤：,某,SAS,提升为新,PAS,PAS,重新设定与本操作单元中各客户机的关系，然后通知各客户机，原操作单元故障,启动某个新,SAS,，替换原来的,PAS,新,SAS,向新,PAS,通告自己的存在，新,PAS,将状态通知给,SAS,，使其保持最新,如果,SAS,内部错误，则在另外的处理器上启动新,SAS,，新,SAS,与,PAS,协调，并接收状态数据,114,进程视图,如果需要添加新操作单元，采用如下步骤,确定必要的输入数据及所在位置,确定哪些操作单元需要用到新操作单元的数据,以一种避免死锁的方式，将新操作单元的通信加入到整个通信拓扑结构中,设计消息，实现所期望的数据流,确定在评审时必须要用的内部状态数据，以及在从,PAS,到,SAS,的更新通信中必须包括的状态数据,将状态数据划分为能够很好地适应网络要求的消息,定义必须用到的消息类型,规划,PAS,失效时的切换,保证切换时的数据一致性,保证各个处理步骤能够在不超过一次,“,心跳,”,的时间内完成,规划与其他操作单元的数据共享和数据锁定协议。,115,客户机,服务器视图：,116,客户机,服务器视图,应用程序以此方式和系统交互，,精心设计了接口，使用简单的消息协议,反映了如下战术,维持接口的稳定性,组件更换,遵守已定义协议,117,软件架构的分层视图,118,保证容错的组件,-,连接器视图,119,容错,PAS/SAS,模式捕获单个应用程序内的错误，并从中恢复。容错层次，则捕获应用程序间交互的错误，并从中恢复。,ISSS,系统提供了多种不同层次的错误检测和恢复机制。每个层次上都能异步地：,检测自身、同级实体和低层实体的错误,处理来自低层的例外情况,