Esta dissertação de mestrado tem como objetivo avaliar a integração de políticas de tolerância a falhas em uma arquitetura de Web Services com múltiplos módulos. A arquitetura utilizada é denominada WSARCH, e foi desenvolvida para o estudo das relações e interoperabilidade entre serviçcos. Os mecanismos de tolerência a falhas foram integrados aos módulos da arquitetura, testados, comparados e avaliados. A avaliação de desempenho mostrou que os mecanismos de tolerância a falhas introduzidos foram eficientes e apresentaram resultados adequados. As técnicas de reputação utilizadas na seleção de serviço atuaram satisfatoriamente e foram consideradas um importante avanço nos mecanismos da arquitetura / This master\'s thesis aims to evaluate the integration of fault tolerance mechanisms in a Web Services architecture with multiple modules. The architecture used is named WSARCH and was developed for the study of interactions and interoperability of services. WSARCH is an architecture conceived to receive tests and experiments involving concepts of Web Services. The fault tolerance tools were integrated in the architecture, tested, evaluated and comparated. The performance evaluation showed that the fault tolerance mechanisms introduced were ecient and presented appropriate results. The reputation techniques utilized in service selection operated successfully and were considered an important advance in the mechanisms of the architecture

Wireless Sensor Networks (WSN) are distributed sensing network systems composed of tiny networked devices. These systems are employed to develop applications for sensing and acting on the environment. Each network device, or node, is equipped with sensors and sometimes actuators as well. WSNs typically have limited power, processing, and storage capability, and are also subject to faults, especially when deployed in harsh environments. Given WSNs limitations, application developers often design fault-tolerance mechanisms. Although developers implement some fault-tolerance mechanisms in hardware, most are implemented in software. Indeed, WSN application development mostly occurs at a low level, close to the operating system, which forces developers to focus away from application logic and dive into WSNs technical background. Some have proposed high-level programming solutions, such as macroprogramming languages and frameworks; however, few deal with fault-tolerance. This dissertation aims to incorporate fault-tolerance features into Srijan, an open-source WSN macroprogramming framework based on a mixed declarative-imperative language called Abstract Task Graph (ATaG). We augment Srijans framework to support code generation for dealing with devices that crash or report meaningless values. We present our feature implementation here, along with an evaluation of the tool, demonstrating that it is possible to provide a macroprogramming framework with appropriate support for developing fault-tolerant WSN applications. / Redes de Sensores Sem Fio (RSSF) são sistemas distribuídos em rede para sensoreamento, compostos de pequenos dispositivos conectados entre si. Esses sistemas são utilizados para construir aplicações que medem e atuam no meio físico. Cada dispositivo da rede, chamado de nó, é equipado com sensores, e algumas vezes, atuadores. Os nós também comumente possuem limitações em termos de suprimento de energia e capacidade de armazenamento e processamento. Em adição à essas limitações, redes de sensores sem fio também estão sujeitas à diversos tipos de falhas, especialmente quando são implantadas em ambientes de condições naturais extremas, como florestas e plantações. Por essas razões, desenvolvedores de aplicações para redes de sensores sem fio necessitam utilizar mecanismos de tolerância a falhas. Alguns dos mecanismos de tolerância a falhas são implementados em hardware, porém são mais comumente deixados para implementação em software. Além disso, a maior parte do desenvolvimento de aplicações para RSSF é feita em baixo nível de abstração, perto do sistema operacional. Desse modo, além de terem que concentrar-se na lógica da aplicação em baixo nível, os desenvolvedores ainda têm que implementar os mecanismos de tolerância a falhas junto à aplicação, pela falta de bibliotecas ou componentes genéricos para esse fim. Técnicas de programação em alto nível para RSSF já foram propostas na forma de linguagens e arcabouços de macroprogramação. No entanto, uma minoria lida com aspectos de tolerância a falhas. O objetivo desse trabalho é incorporar funcionalidades para tolerância a falhas ao Srijan, um arcabouço de macroprogramação para redes de sensores sem fio. Srijan possui código aberto e é baseado em uma linguagem mista declarativa-imperativa chamada Abstract Task Graph (ATaG). Evoluímos o arcabouço para dar suporte à geração automática de código lidando com quedas de nós da rede e falhas que resultam em dados incorretos de sensores. Nesta dissertação, apresentamos a nossa implementação de tais funcionalidades, juntamente com a avaliação conduzida sobre a ferramenta. Mostramos que é possível prover um arcabouço de macroprogramação com suporte apropriado ao desenvolvimento de aplicações para RSSF que necessitam tolerância a falhas.

A detecção de falhas em uma plataforma distribuída é um componente essencial para uma grande quantidade de estratégias de tolerância a falhas, como a restauração do estado das aplicações distribuídas através de checkpointing e message logging. Porém, esta detecção frequentemente depende da comunicação confiável entre os nós de processamento e os módulos de detecção de falhas. Em grades computacionais hierárquicas com limitações de conectividade, a comunicação direta entre nós e módulos de detecção é muitas vezes impossível. Outro fator que dificulta a detecção de falhas em grades computacionais é a localização geograficamente esparsa entre as instituições e os recursos computacionais disponíveis na grade e a consequente utilização de redes de longa distância para os conectar. Esta dissertação apresenta uma arquitetura para a detecção de falhas em plataformas distribuídas otimizada para o funcionamento em grades computacionais hierárquicas, levando suas limitações e requisitos em consideração. A arquitetura, denominada GFDA (Grid Fault Detection Architecture), é estruturada em módulos de detecção das falhas que afetam nós computacionais disponibilizados na grade, módulos de detecção de falhas das aplicações distribuídas, e módulos de coleção, processamento e encaminhamento das notificações de falha e recuperação emitidas pelos módulos de detecção. Detalhes da implementação e da verificação do funcionamento correto da arquitetura são apresentados, bem como resultados obtidos através da execução de componentes da arquitetura em um cluster de computadores simulado através de máquinas virtuais. São propostas técnicas para a otimização da qualidade de serviço de detecção de falhas. Os resultados obtidos com a utilização destas técnicas são comparados com resultados obtidos com abordagens tradicionais. Observa-se que as técnicas implementadas na arquitetura GFDA para o processamento de notificações de falha e recuperação e a introdução de redundância nas mensagens trocadas entre os módulos de detecção de falhas traz resultados positivos em condições adversas de conectividade. Conclui-se que a arquitetura GFDA contribui para o estabelecimento de uma solução viável para a detecção de falhas em uma grade computacional hierárquica em que há restrições de conectividade entre os nós computacionais. / In distributed platforms, fault detection is an essential requirement to a wide range of fault tolerance techniques, such as restoring the state of distributed applications with checkpointing and message logging. However, fault detection often depends on reliable communication between the processing nodes and detection fault modules. Direct communication between the nodes and detection modules is often impossible in hierarchical grid computing platforms. The physical distance between the institutions and resources available on the grid, and thus the requirement of long distance networks connecting them, is another factor that makes direct fault detection in computer grids a challenge. This thesis presents a fault detection architecture for distributed platforms, optimized for usage in hierarchical grids and thus taking into account its restrictions and requirements. The architecture, named GFDA (Grid Fault Detection Architecture), is structured as fault detection modules for faults that affect the computing nodes available on the grid, detection modules for faults that affect the distributed applications, and modules that perform the collection, processing and forwarding of the fault and recovery notifications generated by the detection modules. This thesis presents implementation details, an evaluation of the correctness of the designed architecture, and results obtained through the deployment of parts of the architecture in a simulated cluster that uses virtual machines to simulate computing nodes. Techniques to optimize the quality of the detection fault service are proposed. The results obtained through the usage of such techniques are compared to the results obtained through traditional approaches. Positive results were extracted even under adverse connectivity conditions by using techniques such as the processing of fault and recovery notifications and the introduction of redundant information in the messages exchanged between the detection modules. It is concluded that the GFDA architecture contributes to the establishment of a viable solution for fault detection in a hierarchical grid computing platform that presents connectivity restrictions between the nodes.

O trabalho apresenta uma comparação entre protocolos de comunicação tolerantes a falha, TTP/C e Flexray, utilizando um simulador de tempo real, propondo modelar uma aplicação brake-by-wire tolerante a falhas que gere uma intensa troca de dados validando a comparação. O presente trabalho toma como base um modelo de um sistema de freio antitravamento (ABS - Antilock Brake System) para uma única roda, de Michaels e Quinn (1997), estendendo tal trabalho ao desenvolvimento de uma aplicação brake-by-wire, composta basicamente de 5 nós, sendo um controlador central e 4 nós locais apara as rodas do veículo. Após uma breve descrição introdutória sobre os conceitos básicos necessários para entender o projeto, a aplicação brake-by-wire será apresentada. Posteriormente serão apresentados conceitos de funcionamento da aplicação, tolerância a falha, controle de frenagem, entre outros. A modelagem e simulação do sistema foi realizada na ferramenta computacional TrueTime baseada no Matlab/Simulink, utilizando kernels de tempo real. A simulação demonstra os diferentes comportamentos da aplicação quando protocolos TTP/C e Flexray variam em largura de banda e taxa de utilização do barramento. Foi inserido um nó de interferência na rede, visando verificar o comportamento de tais protocolos com um trafego mais intenso na rede. Os resultados obtidos com a simulação de tempo real demonstram que o protocolo TTP/C apresentou um comportamento mais estável e seguro para tal aplicação considerada de tempo real crítico.

Owing to the need for the satisfaction of attributes such as safety, maintainability, and reliability in modern critical engineering devices, the design of automatic feedback control systems has increasingly demanding fault-tolerant methods. In particular, if the system states cannot directly be measured by the available suite of sensors, a fault-tolerant state estimation method turns out to be of paramount importance for achieving fault tolerance. In this context, the present thesis formulates a fault-tolerant state estimation (FTSE) problem consisting of a joint state and fault estimation of linear systems subject to additive faults. The system is described by a discrete-time linear Gaussian state-space model, where the fault appears as unknown inputs affecting both the state and measurement equations. The sequence of fault inputs is assumed to be parameterizable by three fault parameters: the fault magnitude, the fault instant, and the fault mode index. Moreover, these parameters are treated as unknown realizations of random variables (RV) that are defined so as to account for prior knowledge about possible faults. For tackling the above FTSE problem, the present work introduces a fault-tolerant two-stage (FTTS) filtering approach, from which three different FTTS filters are derived by considering three plausible alternative characterizations of the fault magnitude RV. On the basis of computational simulations, one of the FTTS filters is illustrated on a fault-tolerant model predictive control (MPC) scheme for satellite attitude control.

Este trabalho apresenta os resultados da avaliação experimental da cobertura e latência dos mecanismos de detecção de erros implementados no computador de bordo do Satélite de Sensoriamento Remoto (SSR), desenvolvido pelo Instituto Nacional de Pesquisas Espaciais (INPE). A avaliação foi obtida usando a ferramenta de injeção de falhas físicas RIFLE, sendo adaptado ao computador do SSR através de um novo Módulo de Adaptação. A injeção de falhas consiste na emulação de falhas de curta duração (um ciclo de memória) nos pinos do processador. Dois conjuntos de experiências foram realizados: o primeiro conjunto de falhas foi injetado com uma distribuição aleatória ao longo do código do programa e o segundo ao longo do tempo de execução. Além dos mecanismos de detecção de erros originalmente implementados, foi proposto e avaliado um novo mecanismo de detecção de erros. Este novo mecanismo foi implementado exclusivamente por software. Em função da distribuição de falhas, foi obtida uma cobertura de 16,1% a 56,4%, apresentando uma baixa latência. Uma análise do impacto das falhas no sistema também é apresentado. Esta análise mostrou que 41,3% a 83,4% das falhas não apresentaram nenhum impacto macroscópico no comportamento do sistema e os erros causados por essas falhas foram "overwritten" ou descartados em conseqüência da execução normal do programa. Uma pequena percentagem de falhas (9,1% a 6,2%) causou erro no resultado produzido. Assumindo que todas as falhas detectadas podem ser recuperadas pelos mecanismos de recuperação (não desenvolvidos até o momento), acredita-se que o sistema possa tolerar de 93,8% a 99,9% das falhas transitórias.

Um reparo estrutural, feito de uma chapa de reforço unida mecanicamente a um revestimento, pode degradar a vida em fadiga e o comportamento da tolerância a dano de um elemento estrutural típico de uma aeronave. Essa degradação está diretamente relacionada às concentações de tensões introduzidas pelas cargas dos rebites. Uma série de configurações de reparos rebitados típicos são apresentadas, analisadas e comparadas a respeito a sua fadiga e a características de tolerância a dano. As cargas nos rebites são determinadas numericamente utilizando-se um programa de computador baseado no Método dos Elementos de Contorno Dual. Curvas S-N com qualidade de furo aberto são utilizadas para estimar as vidas em fadiga. Cálculos de resistência residual são realizados para a situação de dano múltiplo oriundos da fileira crítica de furos. Resultados são comparados de maneira que a melhor configuração possa ser selecionada.

A adoção em larga escala de redes de computadores e gerenciadores de banco de dados contribuiu para o surgimento de sistemas de informação complexos. Atualmente, estes sistemas tornaram-se elementos essenciais na vida das pessoas, dando suporte a processos de negócio e serviços corporativos indispensáveis à sociedade, como automação bancária e telefonia. A utilização de componentes na estruturação destes sistemas promove maior qualidade e flexibilidade ao produto e agiliza o processo de desenvolvimento. Entretanto, para que estes benefícios sejam totalmente observados, é fundamental que os provedores de componentes de prateleira projetem especificações precisas, completas e consistentes. Geralmente, as especificações omitem ou negligenciam o comportamento dos componentes nas situações de falha. Desta forma, a utilização de componentes não confiáveis, cujos comportamentos não podem ser inteiramente previstos, compromete seriamente o projeto de sistemas tolerantes a falhas. Uma estratégia para a especificação de componentes tolerantes a falhas é informar a ocorrência de erros através de exceções e realizar a recuperação dos mesmos por rotinas de tratamento correspondentes. A especificação deve separar claramente o comportamento normal do excepcional, destinado à recuperação do erro. Entretanto, em sistemas concorrentes e distribuídos, a especificação apenas deste tratamento local não é suficiente. Uma exceção pode ser lançada em decorrência de erros sistêmicos (i.e. problemas de rede) que afetam todo o sistema. Assim, determinadas exceções devem ser tratadas em nível arquitetural, envolvendo os demais componentes no tratamento. O modelo conceitual de ações Atômicas Coordenadas (ações CA - Coordinated Atomic actions), bastante aplicado na estruturação de sistemas tolerantes a falhas, define um mecanismo geral para a coordenação do tratamento excepcional dos componentes, que cooperam na execução das atividades e competem por recursos compartilhados. Portanto, o modelo de ações CA oferece uma solução potencialmente viável para a especificação do tratamento de exceções em nível arquitetural. Este trabalho propõe um framework para a especificação do tratamento de exceções em nível arquitetural, baseando-se no modelo de aninhamento de ações CA e utilizando a linguagem orientada a eventos CSP (Communicating Sequential Processes). Sua principal característica é prover um protocolo padronizado para a coordenação do tratamento de exceções, que envolve a cooperação dos componentes do sistema. Além disso, é apresentada uma estratégia para a verificação formal dos sistemas na ferramenta FDR (Failure Divergence Refinement), com base no modelo de refinamento por rastros. / The widespread scale adoption of computer networks and database management systems has contributed to the arising of complex information systems. Nowadays, these systems have become essential aspects in the everyday life, supporting business processes and indispensable enterprise services to society such as banking automation and telephony. The usage of components in structuring of these systems promotes higher quality and flexibility to the product and accelerates the software development process. However, in order to fully observe the benefits it is essential that the suppliers of these COTS (commercial off-the-shelf) design precise, complete and consistent specifications. Generally, the specifications omit or neglect the behavior of these components in exceptional situations. Therefore, the usage of untrustworthy components whose behavior cannot be entirely foreseen seriously compromise the design of fault-tolerant systems. One of the strategies used for the specification of fault-tolerant components is to inform the occurrence of errors through exceptions and make its recovering by the correspondent exception handling routines. The specification should separate clearly the normal behavior from the exceptional one, specially designed for error recovery. However, in concurrent and distributed systems, specification of local exception handling is not enough. An exception could be raised as a result of systemic errors (i.e. network errors) which affect the entire system, thus specific types of exceptions should be treated at an architectural level involving all the other components in this handling activity. The conceptual model of Coordinated Atomic (CA) actions, often applied in the structuring of fault-tolerant systems, defines a general mechanism for coordination of exception handling with components that cooperate while executing activities and compete for shared resources. Therefore, the model of CA actions offers a perfectly viable solution for the specification of exception handling at an architectural level. This work proposes a framework for the specification of exception handling at an architectural level, based on the nesting model of CA actions and using the event-oriented language CSP (Communicating Sequential Processes). Its main characteristic is to provide a standardized protocol for coordination of exception handling that involves the cooperation of system components. Moreover, it is presented a formal strategy for system verification using the FDR (Failure Divergence Refinement) tool, based on the traces refinement model.

Orientador: Prof. Dr. Guiou Kobayashi. / Dissertação (mestrado) - Universidade Federal do ABC, Programa de Pós-graduação em Engenharia de Informação, 2010 / Nos dias de hoje, as redes de comunicação têm se mostrado cada vez mais vitais e importantes, pois provêm conexões locais, regionais e internacionais para voz, dados e vídeo. Num mundo globalizado, elas desempenham um papel importante na economia e nas relações humanas, de tal maneira que a sua indisponibilidade, ainda que por pouco tempo, pode causar uma série de transtornos e inconvenientes. As redes de comunicação são baseadas principalmente em enlaces de fibra ótica, que estão distribuídas geograficamente, enterradas ao longo de rodovias, ferrovias, junto a gasodutos e oleodutos, e por conseqüência, expostas aos mais variados tipos de sinistros que podem acarretar a sua indisponibilidade, como escavações, enchentes, terremotos, falhas humanas, falhas de equipamento, etc. Assim, este trabalho procura discutir e apresentar uma metodologia para modelar e avaliar a confiabilidade das redes óticas, de modo a construir um modelo de confiabilidade que possa ser usado por provedores de serviços para adequar suas operações aos acordos de níveis de serviço estabelecidos com seus clientes. / Nowadays, communication networks have proved increasingly vital and important as they come from local connections, regional and international voice, data and video. In a globalized world, they play an important role in the economy and human relationships, so that its unavailability, even for a short time, can cause a lot of trouble and inconvenience. Communication networks are mainly based on optical fiber links, which are distributed geographically, buried along highways, railways, along with gas and oil pipelines, and consequently exposed to all kinds of accidents which may lead to its unavailability, as excavations, floods, earthquakes, human error, equipment failures, etc. Thus, this paper discusses and presents a methodology to model and evaluate the reliability of optical networks in order to construct a model of reliability that can be used by service providers to tailor their operations to service level agreements established with their customers.

A detecção de falhas em uma plataforma distribuída é um componente essencial para uma grande quantidade de estratégias de tolerância a falhas, como a restauração do estado das aplicações distribuídas através de checkpointing e message logging. Porém, esta detecção frequentemente depende da comunicação confiável entre os nós de processamento e os módulos de detecção de falhas. Em grades computacionais hierárquicas com limitações de conectividade, a comunicação direta entre nós e módulos de detecção é muitas vezes impossível. Outro fator que dificulta a detecção de falhas em grades computacionais é a localização geograficamente esparsa entre as instituições e os recursos computacionais disponíveis na grade e a consequente utilização de redes de longa distância para os conectar. Esta dissertação apresenta uma arquitetura para a detecção de falhas em plataformas distribuídas otimizada para o funcionamento em grades computacionais hierárquicas, levando suas limitações e requisitos em consideração. A arquitetura, denominada GFDA (Grid Fault Detection Architecture), é estruturada em módulos de detecção das falhas que afetam nós computacionais disponibilizados na grade, módulos de detecção de falhas das aplicações distribuídas, e módulos de coleção, processamento e encaminhamento das notificações de falha e recuperação emitidas pelos módulos de detecção. Detalhes da implementação e da verificação do funcionamento correto da arquitetura são apresentados, bem como resultados obtidos através da execução de componentes da arquitetura em um cluster de computadores simulado através de máquinas virtuais. São propostas técnicas para a otimização da qualidade de serviço de detecção de falhas. Os resultados obtidos com a utilização destas técnicas são comparados com resultados obtidos com abordagens tradicionais. Observa-se que as técnicas implementadas na arquitetura GFDA para o processamento de notificações de falha e recuperação e a introdução de redundância nas mensagens trocadas entre os módulos de detecção de falhas traz resultados positivos em condições adversas de conectividade. Conclui-se que a arquitetura GFDA contribui para o estabelecimento de uma solução viável para a detecção de falhas em uma grade computacional hierárquica em que há restrições de conectividade entre os nós computacionais. / In distributed platforms, fault detection is an essential requirement to a wide range of fault tolerance techniques, such as restoring the state of distributed applications with checkpointing and message logging. However, fault detection often depends on reliable communication between the processing nodes and detection fault modules. Direct communication between the nodes and detection modules is often impossible in hierarchical grid computing platforms. The physical distance between the institutions and resources available on the grid, and thus the requirement of long distance networks connecting them, is another factor that makes direct fault detection in computer grids a challenge. This thesis presents a fault detection architecture for distributed platforms, optimized for usage in hierarchical grids and thus taking into account its restrictions and requirements. The architecture, named GFDA (Grid Fault Detection Architecture), is structured as fault detection modules for faults that affect the computing nodes available on the grid, detection modules for faults that affect the distributed applications, and modules that perform the collection, processing and forwarding of the fault and recovery notifications generated by the detection modules. This thesis presents implementation details, an evaluation of the correctness of the designed architecture, and results obtained through the deployment of parts of the architecture in a simulated cluster that uses virtual machines to simulate computing nodes. Techniques to optimize the quality of the detection fault service are proposed. The results obtained through the usage of such techniques are compared to the results obtained through traditional approaches. Positive results were extracted even under adverse connectivity conditions by using techniques such as the processing of fault and recovery notifications and the introduction of redundant information in the messages exchanged between the detection modules. It is concluded that the GFDA architecture contributes to the establishment of a viable solution for fault detection in a hierarchical grid computing platform that presents connectivity restrictions between the nodes.