Die rasant ansteigenden Produktionsvolumina von elektrifizierten Fahrzeugen stellen für die jeweiligen Hersteller ein ungemein hohes Risiko dar, da neu industrialisierte Antriebstopologien innerhalb kürzester Zeit in großvolumigen Prozessketten gefertigt werden müssen. Neben der notwendigen produzierten Quantität muss jedoch auch die ausgelieferte Qualität höchsten Ansprüchen genügen. Im Gegensatz zu konventionellen Antrieben kann hierfür nicht auf jahrzehntelange Erfahrungsschätze von möglichen Fehlerfällen im Produktionssystem zurückgegriffen werden. Daher befasst sich diese Arbeit mit der Entwicklung einer körperschallbasierten Prüfmethodik am Bandende (End-of-Line, EOL) zur Identifikation und Benennung von fehlerhaften Antriebseinheiten. Durch die hochintegrierte Bauweise ergibt sich eine hohe Anzahl an kompetierenden Anregungsmechanismen, welche traditionellen Analysen keine eindeutige Fehlerzuordnung erlaubt. Zum Verständnis der gesamten Prüfkette werden die einzelnen Komponenten (Sensorik, Drehzahlprofile, Verarbeitung der Rohdaten, etc.) beleuchtet und ein taktzeittaugliches Prüfprofil vorgestellt. Hierauf basierend werden Sensitivitäten hinsichtlich toleranzbehafteter Merkmale wie Lagersitzpositionen oder Unwuchten bestimmt und Fehlermechanismen von Grund auf hergeleitet. Die resultierende Überbestimmung von praktisch jeder Maschinenordnung wird mithilfe der in dieser Arbeit entwickelten reduzierten Differenzkoinzidenz-Metrik (RDKM) signifikant reduziert. Die erarbeiteten Analysatoren werden zu einem allgemeinen Fehlerkatalog zusammengefasst und auf Validität mittels realer Fehlerfälle erfolgreich überprüft. Die RDKM-Methodik wird mittels Grenzmusteraufbauten auf die Separationseigenschaft gegenüber einer normalen Serienstreuung untersucht und allgemein anwendbare Grenzwerte hergeleitet. Abschließend befasst sich diese Arbeit mit der Produktionsskalierbarkeit durch weitere End-of-Line-Prüfstände und mit der notwendigen Adaptionsfähigkeit aufgrund von Chargenwechseln oder Produktanpassungen über Zeit.:1 Einleitung 11 2 Stand der Technik 15 2.1 Körperschall-Anregungsmechanismen 15 2.1.1 Exzentrizitätsanregungen 15 2.1.2 Getriebeanregungen 16 2.1.3 Magnetfeldanregungen 17 2.1.4 Wälzlageranregungen 20 2.2 Fehleridentifikationsverfahren 22 2.2.1 Maschinenüberwachung 22 2.2.2 EOL-Prüfstände 24 2.2.3 Unterschiede zwischen End-of-Line und Maschinenüberwachung 26 2.3 EOL-Körperschallprüfung bei Antriebsaggregaten 27 2.4 Messreplikation 27 2.5 Mathematische Methoden 28 3 Zielsetzung 33 4 Beschreibung der Prüflingstopologie und Prüfstände 37 4.1 Elektrische Antriebstopologie 37 4.2 Beschreibung der Prüfstände 38 4.2.1 Inline Prüfstand (IL) 38 4.2.2 End-of-Line Prüfstand (EOL) 40 5 Messkonzeption und Sensorik 43 5.1 Sensorik 43 5.1.1 Beschreibung taktiler Sensorik 43 5.1.2 Bewertung relevanter Restriktionen 45 5.2 Drehzahlprofil 46 5.2.1 Evaluation notwendiger Drehzahlgradienten 46 5.2.2 Nichtlineare Drehzahländerungen 50 5.3 Vorverarbeitung der Rohdaten 50 5.4 Wahl der Fourierparameter 51 5.4.1 Einfluss Fensterung 52 5.4.2 Mittelung der Messwerte 53 5.5 Resultierende Messgenauigkeiten 55 6 Körperschallanregungsmechanismen 57 6.1 Identifikation von Normanregungen 57 6.1.1 Dominante Pegel 57 6.1.2 Normalisierung über Box-Cox Transformation 57 6.1.3 Evaluation 58 6.2 Sensitivitätsanalyse 61 6.2.1 Vorgehen 61 6.2.2 Zusammenfassung von Sensitivitäten 66 6.3 Vervollständigung theoretischer Anregungen 66 6.3.1 Lagerhochharmonische Anregung 66 6.3.2 Asymmetrische Seitenbänder 69 6.4 Bestimmungsgrad von Ordnungen 72 7 Fehleridentifikation 77 7.1 Ansatz und Methodik 77 7.1.1 Motivation 77 7.1.2 Mathematische Beschreibung des Ansatzes 78 7.1.3 Erweiterung um IL-Prüfstandsinformationen 81 7.2 Auswirkung auf Bestimmtheitsgrad 81 7.3 Fehlerkatalogisierung 82 7.3.1 Instanzierung von Fehlern 82 7.3.2 Fehlerlokalisation 85 7.4 Evaluation 86 7.4.1 Exemplarische Evaluation 86 7.4.2 Statistische Evaluation 89 8 Fehlerdetektion 93 8.1 Grenzfindung 93 8.1.1 Allgemeine Grenze 93 8.1.2 Spezifische Grenzen 94 8.1.3 Spezifierte allgemeine Prüfgrenzen 98 9 Skalierbarkeit der Prüfmethodik 101 9.1 Kapazitätsskalierbarkeit 101 9.1.1 Direkter Grenzübertrag 101 9.1.2 Statistischer Grenzübertrag 102 9.1.3 Evaluation der Übertragsmethodiken 104 9.2 Zeitskalierbarkeit 105 10 Zusammenfassung und Ausblick 109 10.1 Zusammenfassung 109 10.2 Ausblick 110

It is a fact that software has bugs. These bugs can lead to failures. Especially dependability and security failures are a great threat to software users. This thesis introduces four novel approaches that can be used to automatically harden software at the user's site. Automatic hardening removes bugs from already deployed software. All four approaches are automated, i.e., they require little support from the end-user. However, some support from the software developer is needed for two of these approaches. The presented approaches can be grouped into error toleration and bug removal. The two error toleration approaches are focused primarily on fast detection of security errors. When an error is detected it can be tolerated with well-known existing approaches. The other two approaches are bug removal approaches. They remove dependability bugs from already deployed software. We tested all approaches with existing benchmarks and applications, like the Apache web-server.

It is a fact that software has bugs. These bugs can lead to failures. Especially dependability and security failures are a great threat to software users. This thesis introduces four novel approaches that can be used to automatically harden software at the user's site. Automatic hardening removes bugs from already deployed software. All four approaches are automated, i.e., they require little support from the end-user. However, some support from the software developer is needed for two of these approaches. The presented approaches can be grouped into error toleration and bug removal. The two error toleration approaches are focused primarily on fast detection of security errors. When an error is detected it can be tolerated with well-known existing approaches. The other two approaches are bug removal approaches. They remove dependability bugs from already deployed software. We tested all approaches with existing benchmarks and applications, like the Apache web-server.:1 Introduction 1 1.1 Terminology . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 1.2 Automatic Hardening . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 1.3 Contributions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 1.4 Theses . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 2 Enforcing Dynamic Personalized System Call Models 9 2.1 Related Work . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12 2.2 SwitchBlade Architecture . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 2.3 System Call Model . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17 2.3.1 Personalization . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19 2.3.2 Randomization . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20 2.4 Model Learner . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22 2.4.1 Problem: False Positives . . . . . . . . . . . . . . . . . . . . . . . . 22 2.4.2 Data- ow-Based Learner . . . . . . . . . . . . . . . . . . . . . . . . 26 2.5 Taint Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28 2.5.1 TaintCheck . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28 2.5.2 Escaping Valgrind . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29 2.5.3 Replay of Requests . . . . . . . . . . . . . . . . . . . . . . . . . . . 29 2.6 Model Enforcement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30 2.6.1 Loading the System Call Model . . . . . . . . . . . . . . . . . . . . 31 2.6.2 Checking System Calls . . . . . . . . . . . . . . . . . . . . . . . . . 31 2.7 Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 2.7.1 Synthetic Exploits . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 2.7.2 Apache . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33 2.7.3 Exploits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35 2.7.4 Micro Benchmarks . . . . . . . . . . . . . . . . . . . . . . . . . . . 36 2.7.5 Model Size . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38 2.7.6 Stateful Application . . . . . . . . . . . . . . . . . . . . . . . . . . 39 2.8 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 3 Speculation for Parallelizing Runtime Checks 43 3.1 Approach . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46 3.1.1 Compiler Infrastructure . . . . . . . . . . . . . . . . . . . . . . . . 47 3.1.2 Runtime Support . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49 3.2 Related Work . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50 3.3 Deterministic Replay and Speculation . . . . . . . . . . . . . . . . . . . . . 52 3.3.1 Interface . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53 3.3.2 Implementation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55 3.4 Switching Code Bases . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56 3.4.1 Example . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57 3.4.2 Integration with parexc chkpnt . . . . . . . . . . . . . . . . . . 58 3.4.3 Code Transformations . . . . . . . . . . . . . . . . . . . . . . . . . 59 3.4.4 Stack-local Variables . . . . . . . . . . . . . . . . . . . . . . . . . . 67 3.5 Speculative Variables . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67 3.5.1 Interface . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 68 3.5.2 Deadlock Avoidance . . . . . . . . . . . . . . . . . . . . . . . . . . 69 3.5.3 Storage Back-ends . . . . . . . . . . . . . . . . . . . . . . . . . . . 69 3.6 Parallelized Checkers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69 3.6.1 Out-of-Bounds Checks . . . . . . . . . . . . . . . . . . . . . . . . . 70 3.6.2 Data Flow Integrity Checks . . . . . . . . . . . . . . . . . . . . . . 71 3.6.3 FastAssert Checker . . . . . . . . . . . . . . . . . . . . . . . . . . . 71 3.6.4 Runtime Checking in STM-Based Applications . . . . . . . . . . . . 72 3.7 Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73 3.7.1 Performance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73 3.7.2 Checking Already Parallelized Applications . . . . . . . . . . . . . . 77 3.7.3 ParExC Overhead . . . . . . . . . . . . . . . . . . . . . . . . . . . . 78 3.8 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80 4 Automatically Finding and Patching Bad Error Handling 83 4.1 Related Work . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84 4.2 Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86 4.3 Learning Library-Level Error Return Values from System Call Error Injection 89 4.3.1 Components . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91 4.3.2 E cient Error Injection . . . . . . . . . . . . . . . . . . . . . . . . 91 4.3.3 Obtain OS Error Specification . . . . . . . . . . . . . . . . . . . . . 92 4.4 Finding Bad Error Handling . . . . . . . . . . . . . . . . . . . . . . . . . . 92 4.4.1 Argument Recording . . . . . . . . . . . . . . . . . . . . . . . . . . 93 4.4.2 Systematic Error Injection . . . . . . . . . . . . . . . . . . . . . . . 94 4.4.3 Static Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96 4.5 Fast Error Injection using Virtual Machines . . . . . . . . . . . . . . . . . 99 4.5.1 The fork Approach . . . . . . . . . . . . . . . . . . . . . . . . . . 100 4.5.2 Virtual Machines for Fault Injection . . . . . . . . . . . . . . . . . . 101 4.6 Patching Bad Error Handling . . . . . . . . . . . . . . . . . . . . . . . . . 102 4.6.1 Error Value Mapping . . . . . . . . . . . . . . . . . . . . . . . . . . 103 4.6.2 Preallocation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 105 4.6.3 Patch Generation . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106 4.7 Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108 4.7.1 Measurements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109 4.8 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115 5 Robustness and Security Hardening of COTS Software Libraries 117 5.1 Related Work . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118 5.2 Approach . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119 5.3 Test Values . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122 5.3.1 Ballista Type System . . . . . . . . . . . . . . . . . . . . . . . . . . 123 5.3.2 Meta Types . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124 5.3.3 Feedback . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125 5.3.4 Type Templates . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 126 5.3.5 Type Characteristics . . . . . . . . . . . . . . . . . . . . . . . . . . 128 5.3.6 Reducing the Number of Test Cases . . . . . . . . . . . . . . . . . . 128 5.3.7 Other Sources of Test Values . . . . . . . . . . . . . . . . . . . . . . 130 5.4 Checks . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130 5.4.1 Check Templates . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131 5.4.2 Parameterized Check Templates . . . . . . . . . . . . . . . . . . . . 133 5.5 Protection Hypotheses . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 134 5.5.1 Minimizing the Truth Table . . . . . . . . . . . . . . . . . . . . . . 134 5.5.2 Discussion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135 5.6 Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 136 5.6.1 Coverage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137 5.6.2 Autocannon as Dependability Benchmark . . . . . . . . . . . . . . 138 5.6.3 Protection Hypotheses . . . . . . . . . . . . . . . . . . . . . . . . . 139 5.7 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 140 6 Conclusion 143 6.1 Publications . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144 References 147 List of Figures 159 List of Tables 163 Listings 165