Test-Betriebssysteme

Netzwerkbasierte Dienste wie replizierte Datenbanken, verteilte Dateisysteme oder Blockchains sind grundlegende Bausteine heutiger IT-Infrastrukturen und müssen daher in der Lage sein, ein breites Spektrum an Problemszenarien zu bewältigen, das von Hardware-Ausfällen über Software-Fehlverhalten bis hin zu Angriffen reicht. Zwar existieren bereits diverse fehler- und einbruchstolerante Protokolle zur Replikation von Zustandsmaschinen, allerdings ist es alles andere als trivial diese auf Basis ihrer komplexen und oftmals unvollständigen Spezifikationen zu implementieren. Dies führt zumeist zu einer Anfälligkeit von Systemen gegenüber korrelierten Fehlern oder Angriffen, beispielsweise immer dann, wenn zur Reduzierung von Entwicklungs- und Wartungskosten bei allen Replikaten eines Systems dieselbe Implementierung zum Einsatz kommt.

Ziel des Mirador-Projekts ist es, diese Lücke zwischen Theorie und Praxis verschwinden zu lassen, und zwar mit Hilfe einer neuen Herangehensweise zur Spezifizierung und Implementierung zuverlässiger Systeme: Mikroreplikation. Anders als traditionelle Systeme umfassen mikroreplizierte Architekturen keine komplexen Replikate, sondern bestehen stattdessen aus lose gekoppelten Mikroreplikatgruppen, die jeweils ausschließlich für einen bestimmten Protokollschritt verantwortlich sind. Der daraus folgende geringe Funktionsumfang jedes einzelnen Mikroreplikats macht es dabei deutlich einfacher, die Vollständigkeit und Korrektheit von sowohl Spezifikationen als auch Implementierungen zu beurteilen. Da Mikroreplikate darüber hinaus über einen einheitlichen inneren Aufbau verfügen, erleichtern sie zudem eine Diversifizierung auf Replikats-, Kommunikations- sowie Authentifizierungsebene.

Ausgehend von diesem grundlegenden Konzept erforscht das Mirador-Projekt die Verwendung von Mikroreplikation als zentrales Instrument für den Bau zuverlässiger Systeme und untersucht ihre Flexibilität durch Entwicklung mikroreplizierter Architekturen für unterschiedliche Fehlermodelle (Ausfälle und byzantinische Fehler). Hierbei liegt der Fokus vor allem auf zwei Problemfeldern: Zum einen soll die Widerstandsfähigkeit mikroreplizierter Systeme gestärkt werden, indem man sie in die Lage versetzt, sich zur Laufzeit selbst zu heilen. Dies erfordert unter anderem Mechanismen zur Wiederherstellung bzw. nachträglichen Integration von Mikroreplikaten. Zum anderen soll eine hohe Performanz und Effizienz mikroreplizierter Systeme sowie den auf ihnen laufenden Anwendungen erreicht werden. Neben neuen Techniken zur Aufwandsreduzierung unter Zuhilfenahme optimistischer Ansätze umfasst dies auch die Auslagerung von Vorverarbeitungsschritten auf vorgeschaltete Mikroreplikatgruppen. Für die Evaluierung der entwickelten Konzepte, Protokolle und Mechanismen wird im Rahmen des Projekts eine mikroreplizierte Plattform aufgebaut, welche die Durchführung von Experimenten in diversen Konfigurationen und mit einer Vielfalt von Anwendungen ermöglicht.

Energiebeschränkte Echtzeitsysteme, wie beispielsweise implantierbare Medizingeräte, sind heutzutage allgegenwärtig. Diese Systeme erfordern von ihrer Software die Erfüllung der beiden Eigenschaften von sicherer und zugleich energieeffizienter Ausführung von Aufgaben der Software. In Hinblick auf funktionale Sicherheit müssen diese Systeme ihre Aufgaben innerhalb von Laufzeit- und Energieschranken ausführen, da das Überschreiten von Terminen und Energiebudgets zu lebensgefährlichen Konsequenzen führen kann. Statische Programmanalysewerkzeuge ermöglichen hierfür automatisiert das Worst-Case-Verhalten des Systems zu bestimmen, um letztendlich den sicheren Betrieb mit gegebenen Zeit- und Energieressourcen zu garantieren. Jedoch sind existierende statische Analysen nicht in der Lage, das Problem zu adressieren eines ressourceneffizienten Betriebs unter Beibehaltung der Eigenschaft von sicherer Ausführung. Weiterhin ist eine manuelle Maßschneiderung für das Effizienzproblem unpraktikabel durch die große Anzahl an Energiesparmechanismen in modernen Hardwareplattformen. Um dem Betriebssystem zur Laufzeit eine optimale Nutzung der Ressourcen zu ermöglichen bei sicherem Ablauf der Aufgaben, wäre eine ganzheitliche Sicht auf Aufgaben, ihre Ressourcenbeschränkungen und Energiesparmechanismen erforderlich, was vom aktuellen Stand der Forschung nicht erreicht wird.

Das Forschungsprojekt Watwa bietet einen Ansatz für ganzheitliche Optimalitätsanalysen und Maßschneiderung von Systemen mit Worst-Case-Beschränkungen. Das Grundkonzept umfasst die automatisierte Generierung von funktional gleichwertigen Varianten der Aufgaben unter Ausnutzung vorhandener Energiesparmechanismen der Hardwareplattform. Die dadurch erreichte anwendungsgewahre Maßschneiderung erlaubt das gezielte Ein-/Ausschalten unbenutzter Leistungsverbraucher. Eine anschließende Worst-Case-Analyse bewertet das unterschiedliche zeitliche und energetische Verhalten der Varianten hinsichtlich des Ressourcenbedarfs. Schlussendlich ermöglicht es Watwa durch die Kombination aus Variantengenerierung und Analyse erstmals Hinweise auf optimale Systemabläufe vollständig automatisch zu finden. Optimalität meint hier die möglichst effiziente Ressourcennutzung bei garantierter Einhaltung aller Termine und Energiebudgets. Um analytisch bestimmte Hinweise zur Laufzeit auszunutzen, beinhaltet Watwa die Entwicklung eines Betriebssystems und einer Ablaufplanung, die auf veränderte Umweltbedingungen reagieren und einen effizienten, aber gleichzeitig sicheren Betrieb ermöglichen. Zusammengefasst zielt das Forschungsprojekt auf die Beantwortung folgender zwei Fragen ab: (1) Wie können statische Analysen unter Ausnutzung moderner Energiesparmechanismen Varianten mit optimalem Ressourcenbedarf und sicheren Schranken des Bedarfs erzeugen? (2) Wie können Betriebssysteme statisch bestimmte Hinweise auf mögliche Abläufe und Gerätenutzungen verwenden, um einen effizienten Betrieb unter Sicherheitsgarantien zu ermöglichen?

Distributed Ledger Technologies (DLTs), oft auch als Blockchains bezeichnet, ermöglichen die Realisierung zuverlässiger und angriffsresilienter Dienste ohne zentrale Infrastruktur. Die verbreiteten "Proof-of-Work"-Mechanismen für DLTs leiden jedoch unter hohen Latenzen von Operationen und enormen Energiekosten. Byzantinisch fehlertolerante (BFT) Einigungsalgorithmen stellen eine potentiell bessere Alternative zu Proof-of-Work dar. Jedoch bringen aktuelle BFT-Protokolle auch Herausforderungen mit sich, die ihre praktische Verwendung in Produktivsystemen noch einschränken. Dieses Forschungsvorhaben adressiert diese Herausforderungen, indem es (1) die Skalierbarkeit von BFT-Protokollen verbessert, ohne ihre Resilienz einzuschränken, (2) durch Modellierung die zu erwartende Performanz und das zeitliche Verhalten der Protokolle auch unter Angriffen und in Abhängigkeit der Rahmenparameter des Protokolls vorhersehbarer macht, sowie (3) den Entwurfsprozesses von validen, automatisiert prüfbaren BFT-Systemen von Spezifikation bis hin zum Einsatz in einer Blockchain-Infrastruktur unterstützt. Beim Thema Skalierbarkeit geht es darum, praxistaugliche Lösungen zu finden, die auch Herausforderungen wie Wiederanlauf nach größeren Ausfällen oder Upgrades sowie Rekonfigurationen zur Laufzeit berücksichtigen. Auch möchten wir eine resiliente Kommunikationsschicht konzipieren, die die Wahl einer geeigneten Kommunikationstopologie vom eigentlichen BFT-Einigungsalgorithmus entkoppelt und somit dessen Komplexität reduziert. Dies soll durch die Verwendung von vertrauenswürdigen Hardwarekomponenten unterstützt werden. Anknüpfend wollen wir an der Kombination dieser Konzepte mit kryptographischen Primitiven forschen, um die Skalierbarkeit weiter zu verbessern. Mit Hilfe von systematischen Modellierungstechniken möchten wir die Effizienz von skalierbaren, komplexen BFT-Protokollen (beispielsweise hinsichtlich Durchsatz und Latenz von Operationen) schon vor einem Deployment analysieren können, wenn man die Systemgröße, Rechenleistung von Knoten und grundlegende Eigenschaften der Kommunikationsverbindungen kennt. Auch möchten wir an robusten Gegenmaßnahmen forschen, die in groß-skalierbaren Blockchain-Systemen helfen, gezielte Angriffe abzuwehren. Das dritte Ziel ist es, die systematische und valide Umsetzung in ein praktisches System zu unterstützen, gegliedert in einem konstruktiven, modularen Ansatz, bei dem ein validierbares BFT-Protokoll aus kleineren, validierbaren Bausteinen komponiert wird, die Inkorporation automatisierter Testverfahren auf Grundlage eines heuristischen Algorithmus, der den komplexen Suchraum von Fehlverhalten in BFT-Systemen beherrschbarer macht und ein Werkzeug für automatisiertes Deployment mit einhergehendem Benchmarking und Stress-Testing in einem groß-skalierten DLT-System.

Das Konzept von Distributed Ledger Systemen (Blockchain) ist eine grundlegend neue Basistechnologie, welche in der öffentlichen Wahrnehmung derzeit verstärkt im Fokus steht und welche erhöhtes Potential zur Lösung von Problemstellungen in einer Vielzahl von Anwendungsbereichen verspricht.

Daneben wandelt sich die Luftverkehrslandschaft absehbar mit einer massiven Zunahme an Luftverkehrsteilnehmern und weiteren Luftverkehrsarten wie autonomen Kleinstsystemen. Des Weiteren besteht ein Bedarf bei der Digitalisierung in administrativen und operativen Bereichen des Luftverkehrs, welcher sich dabei in eine globale Digitalisierungsstrategie einordnet. Im Luftverkehr sollte dabei der Erhalt des hohen Sicherheitsstandards bzw. sogar eine Erhöhung dessen ein übergeordnetes Ziel bleiben.

Im Rahmen des vorliegenden Projektes soll die Anwendbarkeit der Basistechnologie der Distributed Ledger Technologie für die Luftfahrt untersucht werden, die nutzbaren Potentiale für die Luftfahrt identifiziert werden und zur Anwendung gebracht werden.

Zur Maximierung des Vorhabenerfolges in dem Projekt wird folgendes Vorgehen angestrebt: Zunächst werden in einer divergenten Explorationsphase parallel Anforderungen und Potentiale in der Luftfahrt erarbeitet und zugleich die Basistechnologie Blockchain technisch analysiert und in den luftfahrtbezogenen Kontext gebracht. Anschließend werden Konzepte zur Anwendung der Blockchaintechnologie in zwei Anwendungsbereichen entwickelt. Diese decken eine repräsentative Bandbreite an Einsatzbereichen in der Luftfahrt ab und bieten zugleich ein hervorgehobenes Nutzungspotential. Zum einen wird ein Konzept entwickelt, welches eine lückenlose, revisionssichere und vertrauenswürdige digitale Dokumentation aller Bauteile eines Flugzeuges über den gesamten Lebenszyklus eines Luftfahrzeuges zwischen allen Beteiligten auf Basis der Distributed Ledger Technologie ermöglicht. Dies verspricht Vorteile in Bezug auf Reduzierung des Verwaltungsaufwandes, Nachhaltigkeit und Vertrauenssteigerung und repräsentiert einen administrativen Anwendungsfall. Zum anderen wird ein Konzept eines dezentralen Flugdatenschreibers entwickelt, um im Hinblick auf neue Luftraumstrukturen und -Teilnehmer Freigaben und Zustandsdaten von Fluggeräten für die Analyse von potenziellen Fehlerfällen sicher zu dokumentieren. Die Blockchaintechnologie erlaubt es dabei, die Aufzeichnung von Flugzustandsdaten dezentral verteilt durch mehrere Luftverkehrsteilnehmer und Bodenstationen vorzunehmen, wodurch eine hohe Verfügbarkeit der Aufzeichnung erreicht wird. Gleichzeitig werden Manipulationen der Daten durch einzelne Teilnehmer ausgeschlossen und der Zugang zu den Aufzeichnungen ist auch nach einer möglichen Zerstörung des UAVs gegeben. Dieses Konzept wird anschließend prototypisch implementiert und dient so dem Nachweis der praktischen Applikabilität der Blockchaintechnologie in dem vorgesehenen Anwendungskontext. Ergebnisse werden der Fachöffentlichkeit und der europäischen Industrie zugänglich gemacht, so dass dieses Projekt direkt den Technologievorsprung des Luftfahrtstandorts sichert und eine Anschlussverwendung in Folgeprojekten mit Industriepartnern ermöglicht.

Das Vorhaben wird in Kooperation der Technischen Universität Braunschweig und der Friedrich-Alexander-Universität Erlangen-Nürnberg durchgeführt. Durch die Beteiligung des Instituts für Flugführung (IFF, TUBS) sowie des Lehrstuhl Informatik 16 für Systemsoftware (I16, FAU) können interdisziplinär die benötigten Kompetenzen im Bereich der Informationstechnologie und Luftfahrt eingebracht werden und der Verbund bildet damit ein Alleinstellungsmerkmal und vorteilhafte Voraussetzungen zur Erreichung der Projektziele.

Ein Betriebssystem befindet sich zwischen zwei Fronten: Einerseits ("oben") die Maschinenprogramme der Anwendungen mit ihren teils sehr unterschiedlichen funktionalen und nichtfunktionalen Anforderungen und andererseits ("unten") die Rechnerhardware, deren Merkmale und Gerätschaften den Anwendungen idealerweise "ungefiltert" und "geräuschfrei" zur Verfügung gestellt werden sollen. Allerdings kann ein Allzwecksystem in keiner seiner Funktionen so effizient sein wie ein System, das speziell für einen bestimmten Zweck entwickelt wurde und weniger anspruchsvolle Anwendungen dürfen verlangen, dass sie nicht gezwungen werden, für die verbrauchten Ressourcen durch die nicht benötigten Funktionen zu zahlen. So ist es nicht ungewöhnlich, dass große Systeme, einmal in Betrieb genommen, in der Regel häufigen Änderungen unterliegen --- eben gerade auch deshalb, um eine höhere Passgenauigkeit an sich ändernde Anwendungsanforderungen zu erreichen.

Das ideale Betriebssystem bietet genau das, was für die jeweilige Anwendung benötigt wird --- nicht mehr und nicht weniger, aber eben auch in Abhängigkeit von den Merkmalen der Hardwareplattform. Ein solches Ideal ist jedoch, wenn überhaupt, nur für den Einprogrammbetrieb realistisch. Bei Mehrprogrammbetrieb müssten die verschiedenen Anwendungen schon "hinreichend gleiche" funktionale und nichtfunktionale Anforderungsmerkmale aufweisen, um keine der Anwendungen mit den Gemeinkosten (overhead) zu belasten, die die nicht benötigten Funktionen mit sich bringen. Ein Betriebssystem mit diesen Eigenschaften fällt in die Kategorie Spezialsystem (special purpose operating system), es ist zugeschnitten auf die Bedürfnisse von Anwendungen eines bestimmten Typs.

Im Gegensatz dazu steht das Allzwecksystem (general purpose operating system), wo letztlich nur zu hoffen ist, dass eine Anwendung nicht mit zu hohen Gemeinkosten durch die nicht benötigten Funktionen belastet wird. Hier kann immerhin versucht werden, das "Hintergrundrauschen" (background noise) im Betriebssystem bei Bedarf zu minimieren --- idealerweise in diesem Fall mit unterschiedlichem "Rabatt" je nach Programmtyp. Das Betriebssystem müsste dann mit weniger anspruchsvollen Anwendungen nicht nur dynamisch von unnötigem Ballast befreit werden und schrumpfen können, sondern auch in die Lage versetzt werden, bei anspruchsvolleren Anwendungen mit dafür nötigen und zusätzlichen Funktionen wieder anzuwachsen. Spezialisierung eines Betriebssystems in Abhängigkeit vom jeweiligen Anwendungsfall bedeutet letztlich funktionelle Abmagerung und Anreicherung, wozu ein geeigneter Systemsoftwareentwurf zwar wünschenswert ist, sich aber gerade bei Altsoftware (legacy system) oft nicht mehr umsetzen lässt.

Ein Umstand für die Spezialisierung eines Betriebssystems bezieht sich auf explizit "von außen her" initiierte Maßnahmen. Dies betrifft einerseits ausgewählte Systemaufrufe und andererseits Vorgänge wie das Urladen (bootstrap) sowie das Laden von Maschinenprogrammen, Betriebssystemkernmoduln oder von Programmen, die in sandkastenartigen virtuellen Maschinen innerhalb des Betriebssystemkerns zur Ausführung kommen sollen. Diese Form der Spezialisierung ermöglicht ebenfalls die dynamische Generierung von gezielten Schutzmaßnahmen in Folge von besonders vulnerablen Betriebssystemoperationen, wie dem Laden von externen Modulen des Betriebssystemkerns. Der andere ausschlaggebende Umstand für die Spezialisierung eines Betriebssystems bezieht sich auf implizit "von innen heraus" initiierte Maßnahmen. Dies betrifft mögliche Reaktionen eines Betriebssystems auf erst zur Laufzeit wahrnehmbare Änderungen im eigenen Laufzeitverhalten, um daraufhin etwa die Strategien einer Ressourcenverwaltung der jeweiligen Arbeitslast anzupassen und entsprechende Systemsoftware in das bestehende System nahtlos einzupassen.

Projektfokus ist die dynamische Betriebssystemspezialisierung, ausgelöst durch extrinsische und intrinsische Ereignisse. Im Vordergrund stehen Verfahren und Techniken, die (a) unabhängig von einem bestimmten Programmierparadigma oder Hardwareansatz sind und (b) auf bedarfssynchrone (just in time, JIT) Übersetzung von Teilen des Betriebssystem(kern)s basieren, um im bereits laufenden Betrieb bedarfsweise (on demand) zu ladende oder vorausschauend (anticipatory) zu ersetzende Betriebssystemprogramme den jeweiligen Gegebenheiten an den "Betriebssystemfronten" anzupassen. Untersuchungsgegenstand sind bestehende Allzwecksysteme wie etwa Linux.

Der gegenwärtige Trend hin zu schnellem, byteadressierbarem nichtflüchtigem Hauptspeicher (non-volatile memory, NVM) mit Latenzen und einer Schreibfestigkeit näher an SRAM und DRAM als an Flash positioniert NVM als möglichen Ersatz für die etablierten flüchtigen Technologien. Während einerseits die Nichtflüchtigkeit und geringe Leckleistung NVM, neben weiteren vorteilhaften Merkmalen, zum attraktiven Kandidaten für neue Systementwürfe macht, ergeben sich andererseits auch große Herausforderungen insbesondere für die Programmierung solcher Systeme. So bewirken etwa Stromausfälle in Kombination mit NVM zum Schutz des Rechenzustands Kontrollflüsse, die einen sequentiellen Prozess unerwartet in einen nichtsequentiellen Prozess verwandeln können: Ein Programm muss sich mit seinem eigenen Zustand aus früheren unterbrochenen Läufen auseinandersetzen.

Wenn Programme direkt im NVM zur Ausführung kommen können, wird normaler flüchtiger Hauptspeicher (funktional) überflüssig. Flüchtiger Speicher findet sich dann ausschließlich im Cache und in Geräte-/Prozessoregistern ("NVM-pure"). Ein darauf ausgelegtes Betriebssystem kann auf viele, wenn nicht sämtliche, für gewöhnlich sonst zu realisierende Persistenzmaßnahmen verzichten und dadurch sein Maß an Hintergrundrauschen (background noise) verringern. Im Einzelnen betrachtet lassen sich so der Energiebedarf senken, die Rechenleistung erhöhen und Latenzen verringern. Des Weiteren ist durch den Wegfall oder Vereinfachung dieser Persistenzmaßnahmen ein "NVM-pure" Betriebssystem schlanker als sein funktional identischer Zwilling herkömmlicher Bauart. Dies trägt einerseits zur besseren Analysierbarkeit nichtfunktionaler Eigenschaften des Betriebssystems bei und ergibt andererseits eine kleinere Angriffsoberfläche beziehungsweise vertrauenswürdige Rechenbasis.

Das Projekt verfolgt einen "NVM-pure" Ansatz. Dabei resultiert ein drohender Stromausfall in einer Unterbrechungsanforderung (power- failure interrupt, PFI), mit der Folge, einen Fixpunkt (checkpoint) des unvermeidbaren volatilen Systemzustands zu erstellen. Zusätzlich werden, um mögliche PFI-Verluste zu tolerieren, sensitive Betriebssystemdatenstrukturen in transaktionaler Weise analog zu Methoden der nichtblockierenden Synchronisation abgesichert. Des Weiteren werden Methoden der statischen Programmanalyse genutzt, um (1) das Betriebssystem von überflüssigen Persistenzmaßnahmen, die sonst nur noch Hintergrundrauschen erzeugen, zu entschlacken, (2) ununterbrechbare Anweisungsfolgen mit zu hohen Unterbrechungslatenzen, die die PFI-basierte Fixpunktsicherung scheitern lassen können, aufzubrechen und (3) die Arbeitsbereiche der dynamischen Analyse des Energiebedarfs zu definieren. Zur Demonstration, dass ein "NVM-pure" Betriebssystem gegenüber seinem funktional gleichen herkömmlichen Zwilling sowohl in zeitlichen als auch energetischen Belangen effizienter operieren kann, laufen die Arbeiten beispielhaft mit Linux.

Subsysteme für virtuellen Speicher (VM) lassen die Unterschiede zwischen Sekundär- und Hauptspeicher verschwimmen, so dass auf flüchtige und nicht-flüchtige Daten gleichermaßen mit denselben CPU-Instruktionen zugegriffen werden kann. Jedes VM-Subsystem versucht, häufig benötigte Daten in schnellem, flüchtigen Hauptspeicher zu halten, um die hohe Zugriffslatenz des Sekundärspeichers zu vermeiden, unabhängig davon, ob die Daten selbst flüchtig sind oder nicht. Das Aufkommen von byte- adressierbarem NVRAM ändert dieses Muster nicht grundlegend, da diese Technologie aufgrund der höheren Zugriffslatenz derzeit weder DRAM als schnellen Hauptspeicher, noch herkömmlichen Sekundärspeicher aufgrund der höheren Kosten und geringeren Kapazität, ersetzen kann. Daher sollten VM-Subsysteme NVRAM- gewahr gemacht und so erweitert werden, dass alle verfügbaren byte- adressierbaren Speichertechnologien gemäß ihrer jeweiligen Stärken eingesetzt werden können. Mit Hilfe einer in der virtuellen Speicherverwaltung des Betriebssystems verankerten Abstraktion lässt sich erreichen, dass bestehende Software ohne weitere Änderung von NVRAM profitieren kann. Dadurch, dass VM- Subsysteme hochkomplexe und fein abgestimmte Softwaresysteme sind, die teils seit Jahrzehnten immer weiter entwickelt werden, folgen wir einem minimal-invasivem Ansatz, um NVRAM-Unterstützung in ein bereits existierendes VM-Subsystem zu integrieren, anstatt eines von Grund auf neu zu entwickeln. NVRAM soll als unmittelbarer DRAM-Ersatz bei Speicherknappheit dienen, um Prozesse mit großem Speicherbedarf auch bei Ressourcenknappheit lauffähig zu halten. Jedoch müssen aufgrund der höheren NVRAM-Zugriffslatenz auch nicht-flüchtige Daten zeitweise im schnellen, aber flüchtigen DRAM oder in Prozessorcaches bewahrt werden. Unser neues VM- Subsystem - wir passen FreeBSD entsprechend an - ermöglicht deshalb die Wanderung von Seiten zwischen DRAM und NVRAM, sofern es die verfügbaren Ressourcen erlauben. Somit wird DRAM gewissermaßen als ein großer, durch Software verwalteter, flüchtiger Cache für NVRAM genutzt. Daraus ergibt sich in der Folge das Problem von möglichem Datenverlust im Falle eines Stromausfalls. Das VM-Subsystem muss daher seine eigenen Metadaten in einem konsistenten und wiederherstellbaren Zustand halten und in einem solchen Fall modifizierte Seiten aus dem DRAM im NVRAM persistieren, um Datenverluste zu vermeiden. Ersteres erfordert einen hochgradig effizienten transaktionalen Mechanismus zur Veränderungen von komplexen und parallel genutzen Datenstrukturen, die für die VM-Metadaten zum Einsatz kommen. Letzteres hingegen bedeutet, dass unter Umständen große Mengen an modifizierten Seiten mit einem eng begrenzten Restenergie- und Zeitfenster gesichert werden müssen.

Innerhalb des sehr weiten Feldes der Resilienz vernetzter Welten konzentriert sich ResPECT auf einen Kernbaustein aller vernetzten Systeme: Sensor- oder Aktor-Knoten in cyber-physischen Systemen. Bis heute wird die Kommunikation als Zusatzfunktionalität eingebetteter Systeme verstanden. Das System an sich wird Störungs-tolerant ausgelegt und kann mit Stromausfällen umgehen oder sogar Hardwareprobleme in gewissem Maße kompensieren. Die Kommunikation jedoch wird in die Konzeption nicht einbezogen, sondern kann die Verlässlichkeit allenfalls nutzen. ResPECT entwickelt daher ein holistisches Betriebssystem- und Kommunikations-Protokoll-Konzept, welches davon ausgeht, dass die Vermittlung von Information (der Erhalt von Steuerdaten für Aktoren oder das Versenden von Sensordaten) die Kernaufgabe fast aller vernetzten Knoten ist. Damit muss diese Aufgabe Teil des Managements des Betriebssystems werden. Grundlage von ResPECT sind zwei Pfeiler: Nicht-flüchtiger Speicher und transaktionaler Betrieb. Nicht-flüchtiger Speicher hat sich in den letzten Jahren zu einem sehr ernst zu nehmenden Element der Speicherhierarchie entwickelt. Selbst eingebettete Plattformen mit ausschließlich nicht-flüchtigem Speicher werden vorstellbar. Netzwerkkommunikation ist, anders als soziale Kommunikation, im Kern transaktional: Daten werden gesammelt und unter Rahmenbedingungen wie Latenz, Fehlertoleranz und Energieverbrauch der Übertragung sowie Alter und damit Wert der zu übertragenden Information vermittelt. Anders als das Betriebssystem unterliegt die Kommunikation jedoch einer Vielzahl äußerer Einflüsse und Störungen. Auch die Dauer einer Störung hat unmittelbaren Einfluss auf z. B. den Erhalt der physischen Verbindung und muss bei Wiederaufnahme berücksichtigt werden. ResPECT wird daher - durch die Zusammenarbeit von Betriebssystem- und Kommunikationsexperten - ein auf Transaktionen basierendes Modell für das Betriebssystem sowie die Kommunikation entwickeln und durch den Einsatz nicht-flüchtiger Speicher dafür Sorge tragen, dass Zustände im Ablauf der Transaktionen zu jedem Zeitpunkt bekannt sind und persistent gespeichert werden. Dieses Beobachten und Speichern muss sehr effizient (sowohl in Bezug auf den Energieverbrauch als auch in Bezug auf die im nicht-flüchtigen Speicher zu speichernden Datenmengen) geschehen und daher als Kernaufgabe des Betriebssystems implementiert werden. Um die Verallgemeinerbarkeit sicher zu stellen und das Modell für viele zukünftige Plattformen nutzbar zu machen, wird sich ResPECT auf IP-Netze fokussieren und Kommunikationsnetze verwenden, welche üblicherweise als WAN, LAN oder PAN (Wide, Local oder Personal Area Network) betrieben werden.

Das Vorhaben entwickelt ein neuartiges Paradigma, um Prozessmigration in Mehrkern-Echtzeitsystemen zeitlich vorhersagbar zu gestalten. Kern des Ansatzes ist das Konzept der migrationsgewahren Laufzeitumgebung (migration-aware real-time executive), in welcher Migrationsentscheidungen anstatt auf globalen Lastparametern systematisch auf Grundlage von Hinweisen der unter (strikten) Echtzeitbedingungen ablaufenden Maschinenprogramme der Anwendungsebene getroffen werden. Diese sogenannten Migrationshinweise (migration hints) betreffen zeitliche und räumliche Aspekte von Echtzeitprozessen, sie markieren potentielle Migrationspunkte in dem betreffenden nichtsequentiellen (mehrfädigen) Maschinenprogramm. Sie befähigen das Betriebssystem Entscheidungen zu treffen, die sich möglichst günstig auf die Vorhersagbarkeit und Leistungsfähigkeit des Gesamtsystems auswirken. Konkret nimmt das Vorhaben an, dass anwendungsspezifische Hinweise auf zulässige und besonders günstige Programmpunkte für die Migration eine aufwandsarme Möglichkeit darstellen, um bestehende Echtzeitsysteme und Techniken hinsichtlich Antwortzeit und Planbarkeit zu verbessern. Den Untersuchungsgegenstand stellen Mehrkern-Plattformen mit heterogenen Speicherarchitekturen dar. Im Fokus stehen die durch Migration verursachten Verwaltungsgemeinkosten, welche von Speicherort und Umfang der Migrationsdaten abhängig sind. Diese über die Ausführungszeit variierenden Kosten werden werkzeuggestützt durch Methoden der statischen Analyse zur Entwurfszeit ermittelt und zur Identifikation von Migrationspunkten mit gut vorhersagbaren Kosten genutzt. Ausgehend von existierenden Echtzeitbetriebssystemen entwickelt das Vorhaben migrationsgewahre Varianten, welche das Wissen über diese günstigen Migrationspunkte durch speziell angepasste Schnittstellen und automatisch präparierte Anwendungsprogramme in Form von Migrationshinweisen zur Verfügung gestellt bekommen, um somit zur Laufzeit möglichst positive Entscheidungen für das Gesamtsystem treffen zu können.

In vielen Bereichen der Wissenschaft ist Softwareentwicklung heutzutage von zentraler Bedeutung für den Fortschritt. Auf Grund der fachlichen Komplexität wird die Software häufig von den Wissenschaftlern selbst implementiert, wobei der Fokus der Entwicklungen zumeist auf einem unmittelbaren Erkenntnisgewinn (Validierung der Methode oder Anwendung) liegt. Diese kurzfristige Perspektive führt häufig zu Implementierungen, die schwer zu warten, erweitern und bereitzustellen sind. Die mangelnde Softwarequalität und Dokumentation führen häufig jedoch dazu, dass Modifikationen oder Erweiterungen der Software den Fortschritt verzögern. Häufig endet ein derartiger nicht nachhaltiger Entwicklungsprozess damit, dass die Software unbrauchbar wird und neu implementiert werden muss. Darüber hinaus verhindern die Erschwernisse in der Bereitstellung der Software die Verbreitung sowohl im Kontext anderer Projekte als auch der Lehre. In der Summe wird eine weitverbreitete und langfristige Nutzung einschließlich Archivierung und Reproduzierbarkeit verhindert und folglich die Qualität der wissenschaftlichen Forschung behindert. Um diesen Einschränkungen zu begegnen, werden im Rahmen des SURESOFT-Projekts eine auf den Konzepten der kontinuierlichen Integration (CI) beruhende Methodik und Infrastruktur entwickelt und implementiert, deren Ziel es ist, die Verbesserung der Qualität der Forschungssoftware, die Bereitstellung von Software zu erleichtern und langfristige Nachhaltigkeit und Verfügbarkeit zu gewährleisten. Mit Hilfe von CI können Fehler auf Grund von Änderungen frühzeitig erkannt und behoben werden, wovon insbesondere Entwicklungen im agilen Umfeld profitieren, wie man sie häufig in Forschungsprojekten vorfindet. Basierend auf dem zentralen Element der CI wird SURESOFT Prozesse und Werkzeuge bereitstellen, um die Software interessierten Forschenden auf einfache Weise zur Verfügung zu stellen, beispielsweise als gebrauchsfertige Softwarepakete. Dadurch soll die Fachcommunity nicht nur in die Lage versetzt werden, die Software umfassend zu nutzen, sondern auch durch Verfügbarmachung der erforderlichen Entwicklungswerkzeuge selbst Erweiterungen vornehmen können. Darüber hinaus wird SURESOFT die technische Basis der CI nutzen, um eine langfristige Archivierung und Reproduzierbarkeit der Ergebnisse zu ermöglichen. Bei der Archivierung von Software wird häufig nur der Quelltext der Applikation berücksichtigt und Abhängigkeiten zu externen Bibliotheken vernachlässigt, wodurch eine Wiederherstellung aus den Archivdaten erschwert wird. Dementsprechend wird in SURESOFT auch der erforderliche Kontext archiviert werden. Außerdem sollen archivierte Projekte von Zeit zu Zeit erneut validiert werden, um sicherzustellen, dass die Ergebnisse weiterhin reproduziert werden können. Zur Erprobung des vorgeschlagenen Ansatzes werden im Rahmen von SURESOFT vier Forschungssoftwareprojekte der TU Braunschweig die entwickelten Prozesse und Mechanismen anwenden und validieren.

Im Rahmen des SFB/TRR 89 "Invasives Rechnen" erforscht Teilprojekt C1 Systemsoftware für invasiv-parallele Anwendungen. Bereitgestellt werden Methoden, Prinzipien und Abstraktionen zur anwendungsgewahren Erweiterung, Konfigurierung und Anpassung invasiver Rechensysteme durch eine neuartige, hochgradig flexible Betriebssystem-Infrastruktur (OctoPOS). Diese wird zur praktischen Anwendung in ein Unix-Wirtssystem integriert.
Der generelle Fokus liegt auf der Durchsetzung der geforderten Qualitätskriterien gemischter Kritikalität hinsichtlich Zeitverhalten und Energiebedarf durch anwendungsorientierte Ressourcenallokationsstrategien sowie Mechanismen auf iRTSS-Ebene. Dies beinhaltet eine Ausführungszeitanalyse (worst-case execution time, WCET) für das Agentensystem, um die Leistungskorridore der Ressourcenzuweisung für bestimmte Anwendungsfälle zu identifizieren. Der Schwerpunkt liegt auch auf der Kontrolle von Hintergrundrauschen (d.h., indirektem Overhead) von OctoPOS-Funktionen, die einen transparenten Zugriff (virtuellen gemeinsamen Speicher, VSM) auf die verschiedenen Hauptspeichersubsysteme des für das invasive Rechnen definierten PGAS-Modells (partitionierter globaler Adressraum) bereitstellen.

Heutzutage werden eine große Vielfalt von Onlinediensten (z.B. Suchmaschinen, Standort-basierte Dienste, Vorschlagdienste) von Milliarden Menschen täglich benutzt.Größter Faktor für den Erfolg dieser Dienste ist die Ergebnispersonalisierung, sprich jedem Nutzer die Ergebnisse liefern, welche mit seinen Interessen korrelieren. Beispielsweise gewichten Suchmaschinen die Ergebnisse einer Suchanfrage unterschiedlich, um Ergebnisse zu präsentieren, die besser zu den Präferenzen des Nutzers passen. Allerdings sind diese Nutzerprofile in der Regel nicht frei von sensiblen Daten. Es ist daher nötig Mechanismen zu entwickeln, die es Nutzern erlauben Onlinedienste sicher zu nutzen ohne befürchten zu müssen, dass ihre Daten die Cloud-Platform verlassen, in derer sie gespeichert und verarbeitet werden.

Das hier vorgestellte PRIMaTE Projekt befasst sich mit diesen Privatsphäre-erhaltenen Onlinediensten. Wir schlagen ein System vor, welches die benötigten Vertrauensannahmen genau spezifiziert und im Gegensatz zum Stand der Technik reduziert während eine höhere Leistung erzielt wird. Unserer Kernbeitrag ist das systematische Zerlegen der Dienste in stark Hardware-gesicherte Komponenten welche nur auf den Teil der Nutzerdaten zugreifen können, der absolut notwendig für ihre Aufgabe sind. Im Falle eines Sicherheitsverstoßes, z. B. falls Angreifer Schwachstellen im Code einer oder auch mehreren Komponenten ausnutzen, sind die Folgen von gestohlenen Daten gering und können genau beschrieben werden. Ein erfolgreicher Angreifer kann somit zwar Teile eines Profils erfahren, aber diese nicht einem Nutzer zuordnen.

PRIMaTE erreicht dieses Ziel durch die Nutzung von neuartigen Technologien zur vertrauenswürdigen Ausführung von Code welche in modernen Prozessoren, wie der 2016 eingeführten Skylake Prozessorgeneration von Intel, vorhanden ist. Vertrauenswürde Ausführung von Code wie sie von Intel Software Guard Extensions (SGX) angeboten wird, ist eine revolutionäre Technologie welche die Art und Weise Code und Daten zu schützen verändern wird. PRIMaTE nutzt vertrauenswürdige Ausführung um neuartige, Privatsphäre-erhaltene Onlinedienste zu entwickeln. Während aktuelle Forschung in diesem Bereich eher darauf setzt ganze Altanwendungen wie Datenbanken in ein einzelnes Trusted Execution Environment (TEE) zu verlagern oder durch ad-hoc Lösungen eine Altanwendung ein zwei Teile - einen geschützten und ungeschützten - aufzuteilen, verfolgt PRIMaTE einen systematischeren und feingranulareren Ansatz. Eine Methodik soll entwickelt werden, die Privatsphäre-erhaltene Onlinedienste in mehrere, miteinander interagierende Komponenten aufteilt, jede implementiert in ihrem eigenen TEE. Dadurch soll jedes TEE auf sowenig Daten wie möglich Zugriff haben um so eine maßgeschneiderte und minimale Codebasis zu erhalten. Während Letzteres es erschwert ein PRIMaTE TEE anzugreifen, werden durch Ersteres die möglicherweise freigelegten Informationen bei einemerfolgreichem Angriff limitiert.

Im Kontext der Gesamtvision der Forschergruppe BATS ist es das Ziel des Teilprojekts ARTE (adaptive run-time environment, TP 2) eine flexible Systemsoftwareunterstützung zu entwickeln. Diese soll es ermöglichen, für die Verhaltensbeobachtungen von Fledermäusen (TP 1) verteilte Datenstromanfragen (TP 3) auf einem heterogenen Sensornetzwerk (TP 4), bestehend aus stationären (TP 5) und mobilen (TP 7) Sensornetzwerkknoten, zu etablieren. Eine besondere Herausforderung stellen hierbei die knappen Ressourcen dar, im speziellen Speicher und Energie, sowie die wechselhafte Konnektivität der nur 2 g schweren mobilen Knoten. In Anbetracht dieser vielfältigen und teilweise konfligierenden Anforderungen soll ARTE in Form einer hochkonfigurierbaren Softwareproduktlinie realisiert werden. Ziel ist es, sowohl die unterschiedlichen funktionalen Anforderungen zwischen mobilen und stationären Knoten zu unterstützen, als auch wichtige nichtfunktionale Eigenschaften, wie niedriger Speicherverbrauch und Energieeffizienz. Entsprechend soll schon bei der Entwicklung von ARTE der Konfigurationsraum werkzeuggestützt und gezielt auf nichtfunktionale Eigenschaften untersucht werden, um gemäß der Anforderungen an das Projekt später im Einsatz eine optimierte Auswahl von Implementierungsartefakten zu bieten. Dabei ist explizit die dynamische Anpassbarkeit von Anwendungs- wie auch von Systemfunktionen zu berücksichtigen. Auf funktionaler Ebene wird ARTE Systemdienste in Gestalt einer Middleware bereitstellen, die Anpassung und Erweiterung zur Laufzeit unterstützt und auf Datenstromverarbeitung zugeschnitten ist, um eine ressourceneffiziente und flexible Ausführung von Datenstromanfragen zu ermöglichen.

Viele Betriebssysteme sind zur übersetzungszeit hochgradig konfigurierbar. Linux 4.2 bietet beispielsweise mehr als 15.000 konfigurierbare Merkmale zur problemgewahren Anpassung, die technisch auf mehreren Ebenen des Generierungsprozesses (Konfigurationssystem, Build-System, C Präprozessor, Linker, ...) umgesetzt werden. Die resultierende Variabilität wird in der Praxis nicht mehr beherrscht und hat im Falle von Linux bereits zu Tausenden von Defekten geführt.

Zweck des Vorhabens ist die Erforschung von skalierbaren Methoden, Techniken und Werkzeugen zur Beherrschung der Variabilität in Betriebssystemen und anderer konfigurierbarer Systemsoftware durch eine ganzheitliche und ebenenübergreifende Erfassung, Darstellung, Bewertung und Beeinflussung von Merkmalsimplementen. Die implizit codierten Variabilitätsinformationen sollen durch entsprechende Werkzeuge aus den verschiedenen Implementierungsebenen extrahiert und in ein gemeinsames Modell integriert werden. Merkmalsimplemente werden in einer domänenspezifischen Sprache als ebenenübergreifende "Merkmalseinfassungen" repräsentiert. Eine Merkmalseinfassung ist vergleichbar mit einem Aspekt (AOP), die sich in ihren Auswirkungen jedoch über mehrere Ebenen des Generierungsprozesses und unterschiedliche Artefakt-Typen (C-Quellcode, Build-Skripte, Linker-Anweisungen, ...) erstreckt.

Ziel des Vorhabens ist die bessere Beherrschbarkeit von Variabilität durch eine variabilitätsgewahre Entwicklung, Analyse, Wartung und Qualitätssicherung von Betriebssystemcode.

Das Teilprojekt untersucht architektonische Belange der Systemsoftware für Bildsysteme und entwickelt eine Infrastruktur zum Aufbau anwendungsgewahrer Systemlösungen dieser Domäne. Im Vordergrund stehen dabei:

1. Die Maßschneiderung und Optimierung der Verschränkung von Anwendungs- und Systemsoftware im Hinblick auf die anwendungspezifischen Interaktionen zwischen Host (Multicore-PC) und Spezialzweckhardware (GPU/DSP).
2. Die Beherrschung der aus diesem Ansatz resultierenden Variabilität in der Systemsoftware.
   

B2 adressiert als Brückenprojekt die Reduktion der Interaktionskosten zwischen Anwendungen (Projektbereich C) und Hardware (Projektbereich A) im Hinblick auf nichtfunktionale Eigenschaften. Dies wird zum Beispiel von Teilprojekt C1 bzgl. Latenz und Energieverbrauch gefordert; C4 profitiert von der anwendungsgewahren Optimierung der Systemsoftware in Hinblick auf verschränkte CPU/GPU-Algorithmen. Die in B3 entwickelte domänenspezifische Programmiermethodik nutzt die in B2 entwickelten Systemabstraktionen für die effiziente Verschattung der Heterogenität.

Im Fokus des Teilprojekts liegt die Entwicklung einer problemorientierten Laufzeitexekutive für heterogene Vielkernprozessoren, mit Blickpunkt auf die betriebsmittelgewahre Simultanverarbeitung *(resource-aware multi- processing, RAMP)* von Anwendungen heterogener Bildsysteme. Der dabei entstehende Minimalkern ist zunächst GPU- und RAM-zentrisch ausgelegt.

Die erzielbare Rechenleistung einzelner Prozessoren stößt gegenwärtig an ihre technologischen Grenzen, eine weitere Leistungssteigerung ist nur durch den Einsatz vieler Rechenkerne zu erreichen. Während Prozessorarchitekturen mit bis zu 16 Kernen den aktuellen Stand der Technik bei marktüblichen Produkten markieren, sind vereinzelt schon Systeme mit 100 Rechenkernen erhältlich. Zukünftig sind hier Architekturen mit über tausend Rechenkernen zu erwarten. Zur besseren Skalierbarkeit sind in diese Prozessoren extrem leistungsfähige Kommunikationsnetzwerke integriert (network on chip, NoC), sodass sie de facto die Eigenschaften eines verteilten Systems mit denen eines NUMA-Systems vereinen. Die extrem niedrige Latenz und hohe Bandbreite dieser Netzwerke eröffnet die Möglichkeit, Verfahren der Replikation und Konsistenzerhaltung von der Hardware in Betriebs- und Laufzeitsysteme zu verlagern und so notorischen Problemen wie falscher Mitbenutzung von Speicherzellen (false sharing), dem Flattern von Zwischenspeicherzeilen (cache thrashing) und Engpässen in der Speicherbandbreite flexibel zu begegnen.

Ziel des Vorhabens ist es daher, zunächst einen minimalen, ereignisgetriebenen Konsistenzkern (concistency kernel, COKE) für solche vielkernigen Prozessoren zu entwerfen, der die notwendigen Elementaroperationen für softwarekontrollierte Konsistenzerhaltungsprotokolle für höhere Schichten zur Verfügung stellt. Auf der Basis dieses Kerns werden diverse "Konsistenzmaschinen" entworfen, die verschiedene Speichersemantiken für software- und seitenbasierten gemeinsamen Speicher ermöglichen.

Koordinierungsdienste wie ZooKeeper stellen zentrale Bausteine heutiger Datenzentrumsinfrastrukturen dar, da sie Prozessen verteilter Anwendungen Mechanismen zur Verfügung stellen, um Nachrichten auszutauschen, Anführerwahlen durchzuführen, Rechner- oder Prozessausfälle zu erkennen, oder Konfigurationsdaten auf zuverlässige Art und Weise zu speichern. Aufgrund ihrer hervorgehobenen Rolle als Stabilitätsanker für Client-Anwendungen müssen Koordinierungsdienste hohe Anforderungen hinsichtlich Widerstandsfähigkeit und Performanz erfüllen. Nur so lässt sich garantieren, dass ein Koordinierungsdienst weder zur Schwachstelle noch zum Flaschenhals des Gesamtsystems wird.

Um den Defiziten existierender Systeme entgegen zu wirken, entwickelt das EDC-Projekt Ansätze, die es Koordinierungsdiensten ermöglichen ihren strengen Stabilitäts- und Performanzvorgaben nachzukommen. Neben diversen anderen Aspekten umfasst dies die Toleranz sowohl gutartiger als auch bösartiger Fehler, die Integration von Mechanismen zur dynamischen Erweiterung der Funktionalität mit dem Ziel der Minimierung des Kommunikations- bzw. Synchronisierungsaufwands, und den Entwurf von Systemarchitekturen zur effektiven und effizienten Nutzung von Mehrkernrechnern. Trotz der Konzentration des Projekts auf Koordinierungsdienste ist zu erwarten, dass die entwickelten Konzepte und Techniken auch in anderen Domänen Anwendung finden können, beispielsweise im Kontext von replizierten Datenspeichersystemen.

Eine zentrale Rolle bei der Entwicklung von Echtzeitsystemen spielt die verwendete Echtzeitsystemarchitektur, in der sie nämlich Mechanismen widerspiegelt, um kausale und temporale Abhängigkeiten zwischen verschiedenen, gleichzeitigen Aufgaben eines Echtzeitsystems zu implementieren. Zwei gegensätzliche Pole solcher Architekturen stellen zeit- und ereignisgesteuerte Systeme dar. In ersteren werden Abhängigkeiten bevorzugt auf temporale Mechanismen abgebildet: Aufgabenfragmente werden zeitlich so angeordnet, dass beispielsweise gegenseitiger Ausschluss oder Produzenten-Konsumenten-Abhängigkeiten eingehalten werden. In letzteren werden solche Abhängigkeiten mit Hilfe von Synchronisationskonstrukten wie Semaphore oder Schlossvariablen explizit koordiniert. Die Echtzeitsystemarchitektur beeinflusst also die Entwicklung eines Echtzeitsystems auf Ebene der Anwendung und kann dort als stark querschneidende, nicht-funktionale Eigenschaft aufgefasst werden. Diese Eigenschaft beeinflusst darüber hinaus die Implementierung weiterer wichtiger nicht-funktionaler Eigenschaften von Echtzeitsystemen, etwa Redundanz oder Speicherverbrauch. Basierend auf einer geeigneten Repräsentation der kausalen und temporalen Abhängigkeiten auf der Ebene der Anwendung sollen im Rahmen des beantragen Projekts Mechanismen entwickelt werden, um die Echtzeitsystemarchitektur und damit weitere nicht-funktionale Eigenschaften von Echtzeitsystemen gezielt zu beeinflussen.

Thema des Vorhabens ist die effiziente Nutzung von Kernen homogener oder heterogener massiv-paralleler Prozessoren für Betriebssystemprozesse im Namen von ablaufenden (nichtsequentiellen) Anwendungsprogrammen. Im Vordergrund stehen konstruktive Ansätze zur Vorbeugung, Vermeidung und Verbergung von Latenzen, hervorgerufen beim Zugriff konkurrierender Prozesse auf gemeinsame Betriebsmittel und bei Ausführung von Systemfunktionen. Schwerpunktmäßig untersucht werden optimistische Verfahren der Interprozesssynchronisation im Zusammenspiel mit vorausschauenden Maßnahmen zur Bindung von Kontrollflüssen an dedizierten, freien oder weniger ausgelasteten Kernen des ausführenden Prozessors. Es werden Bindungsoptionen von Betriebssystemfunktionen an Prozessorkerne entwickelt, aspektorientiert programmiert und hinsichtlich Effizienz bewertet. Die von Grund auf durchgeführte Implementierung eines parallelen, nachrichtenversendenden Betriebssystemkerns dient der Bewertung der entwickelten Lösungen am Objekt selbst und liefert darüber hinausgehend auch Vorlagen zur Verbesserung der internen Parallelität und Skalierbarkeit konventioneller Betriebssysteme. Eine Funktionsintegration mit Komponenten eines Linux-Kerns ist daher ebenfalls angestrebt.

Teilprojekt C1 erforscht Systemsoftware für invasiv-parallele Anwendungen. Bereitgestellt werden Methoden, Prinzipien und Abstraktionen zur anwendungsgewahren Erweiterung, Konfigurierung und Anpassung invasiver Rechensysteme durch eine neuartige, hochgradig flexible Betriebssystem-Infrastruktur. Diese wird zur praktischen Anwendung in ein Unix-Wirtssystem integriert. Untersucht werden (1) neue Entwurfs- und Implementierungsansätze nebenläufigkeitsgewahrer Betriebssysteme, (2) neuartige AOP-ähnliche Methoden für die statische und dynamische (Re-)konfigurierung von Betriebssystemen sowie (3) agentenbasierte Ansätze für die skalierbare und flexible Verwaltung von Ressourcen.

Internetgestützte Dienste nehmen eine immer zentralere Rolle in unserer Gesellschaft ein und lösen zunehmend konventionelle Infrastrukturen ab. Gleichzeitig steigt die Komplexität entsprechender Dienste und der für ihren Betrieb erforderlichen Software. Trotz zahlreicher verbesserter Entwicklungstechniken treten jedoch immer wieder Software-Fehler auf. Zudem lassen sich Schwachstellen aus der Entfernung ausnützen. Im günstigsten Fall führt dies zum sofortigen Dienstausfall, Realität ist jedoch auch die Verbreitung von verfälschten Daten. Ziel des Vorhabens ist die Bereitstellung von Betriebs- und Entwicklungsunterstützung für ressourceneffiziente, einbruchstolerante Dienste. Basis hierfür bildet die Verwendung von Virtualisierungstechnik, die es ermöglicht, mehrere Dienstinstanzen, isoliert durch einen vertrauenswürdigen Hypervisor, parallel auf einem Rechner zu betreiben. Dies spart Ressourcen gegenüber konventioneller Replikation und bietet die Basis für zu erforschende Optimierungen (z.B. deterministische mehrfädige Ausführung). Die entwickelte Systemunterstützung soll am Beispiel einer Web-basierten Mehrschichtarchitektur in Bezug auf Performance und Ressourcenverbrauch im Vergleich zu nicht-replizierten und konventionell replizierten Varianten evaluiert werden. Abschließend soll eine Basisinfrastruktur entstehen, die eine einfache Installation von einbruchstoleranten Diensten ermöglicht und ihren Betrieb, zum Beispiel im Kontext von Cloud Computing, praktikabel gestaltet.

Topic of the project is variability of system software evoked by the non- functional properties of operating-system functions, which emerges from (a) different implementations of the same system function to make an appearance of certain non-functional properties and (b) the using level of those implementations in order to compensate for effects of these properties. Program sequences taking care of a case-dependent compensation of effects at places of their ramification in system software will be described by means of problem-specific fittings using a domain-specific programming language (DSL): a fitting is similar to an aspect (AOP) but can be brought in the system software fine-grained and at extra declared program points. Fusion of implementations and ramification places of selected non-functional properties is done by a tool (fitting compiler) to process fittings in a case-specific manner. This way, architectural concerns of an operating system related to e.g. synchronisation, preemption (of execution threads), and operating mode are going to be treated. Applicability of this approach is validated on the basis of proprietary (CiAO) and non-proprietary (eCos, Linux) developments. In order alleviate risk of wrong decisions in the configuration process, multi-criteria assessment of functional identical but in non-functional terms different operating-system products will be carried out.

Thema des Vorhabens ist die durch nichtfunktionale Eigenschaften von Betriebssystemfunktionen hervorgerufene Variabilität von Systemsoftware: (a) die durch verschiedene Implementierungen derselben Systemfunktion verursachte Variabilität, um gewisse nichtfunktionale Eigenschaften in Erscheinung treten zu lassen, und (b) die auf der ”benutzenden Ebene“ dieser Implementierungen auftretende Variabilität, um die Auswirkungen bestimmter nichtfunktionaler Eigenschaften zu kompensieren. Programmsequenzen zur fallabhängigen Kompensation von Effekten an solchen Auswirkungsstellen in der Systemsoftware werden durch problemspezifisch ausgelegte Fittinge in einer domänenspezifischen Programmiersprache (DSL) beschrieben: Ein Fitting ähnelt einem Aspekt (AOP), er kann jedoch feingranular an beliebige und extra ausgewiesene Programmstellen in die Systemsoftware eingebracht werden. Die Verschmelzung der Implementierungen und Auswirkungsstellen von ausgewählten nichtfunktionalen Eigenschaften nimmt ein Werkzeug (Fittingkompilierer) vor, das fallspezifisch die Fittinge verarbeitet. Behandelt werden so u.a. architektonische Belange eines Betriebssystems zur Synchronisation, Verdrängung (von Ausf¨uhrungssträngen) und Rechnerbetriebsart. Der Ansatz wird an Eigen- (CiAO) und Fremdentwicklungen (eCos, Linux) auf seine Eignung hin validiert. Um das ”Risiko“ von Fehlentscheidungen im Kompositionsprozess zu verringern, wird eine multikriterielle Bewertung von funktional zwar identischen jedoch in nichtfunktionaler Hinsicht verschiedenen Betriebssystemprodukten vorgenommen.

Der I4Copter hat seinen Ursprung im CoSa Projekt, wo er als Demonstrator für echt sicherheitskritische Systemsoftware eingesetzt wird. Stärker als zu Anfang angenommen erwies sich das Projekt während der Entwicklung des Prototypen als Herausforderung, sowohl im Sinne der Systemkomplexität als auch in den Anwendungsmöglichkeiten. So stellt die für die Regelung, Navigation und Kommunikation notwendige Software eine umfassende und anspruchsvolle Anwendung für die zugrunde liegende Systemsoftware dar. Aus diesem Grund hat sich der I4Copter schnell als anschauliche Plattform für die verschiedensten Aspekte der Forschungsaktivitäten im Bereich der Systemsoftware etabliert. Dadurch profitieren auch andere Forschungsprojekte, wie zum Beispiel CiAO, von den Möglichkeiten als Demonstrator und Evaluationsplattform. Neben der Software beinhaltet die Entwicklung eines Quadrokopters eine Reihe von weiteren Herausforderungen anderer Ingenieursdisziplinen wie zum Beispiel der Konstruktions-, Fertigungs- und Regelungstechnik. Dadurch hat sich der I4Copter von einem informatik zu einem echt interdisziplinären Projekt entwickelt und umfasst heute starke Partner aus anderen Bereichen der Forschung. So zeigt sich auch eindrucksvoll der Nutzen und die Notwendigkeit solch interdisziplinärer Projekte für eine praxisnahe Lehre, dies gilt im Besonderen auch für die kombinierter Studiengänge (z.B. Mechatronik oder Computational Engineering)