Динамическое обновление ПО - Dynamic software updating

В Информатика, динамическое обновление программного обеспечения (DSU) - это область исследований, относящаяся к модернизация программы во время их работы. DSU в настоящее время широко не используется в промышленности. Однако исследователи разработали широкий спектр систем и методов для реализации DSU. Эти системы обычно тестируются на реальных программах.

Современные операционные системы и языки программирования обычно не разрабатываются с учетом DSU. Таким образом, реализации DSU обычно либо используют существующие инструменты, либо реализуют специальные компиляторы. Эти компиляторы сохраняют семантику исходной программы, но используют либо исходный код, либо объектный код для создания динамически обновляемой программы. Исследователи сравнивают варианты программ с поддержкой DSU с исходной программой, чтобы оценить безопасность и производительность.

Вступление

Любую запущенную программу можно представить кортеж , куда текущее состояние программы и это текущий программный код. Системы динамического обновления программного обеспечения трансформируют работающую программу к новой версии . Для этого состояние необходимо преобразовать в представление ожидает. Это требует государственный трансформатор функция. Таким образом, DSU преобразует программу к . Считается обновление действительный тогда и только тогда, когда запущенная программа сводится к точечному набору который доступен с начальной точки новой версии программы, .[1]

Место в программе, где происходит динамическое обновление, называется точка обновления. Существующие реализации DSU сильно различаются по обработке точек обновления. В некоторых системах, например UpStare и ПОЛЮС, обновление может произойти в любой момент во время выполнения. Женьшень Компилятор попытается определить подходящие места для точек обновления, но также может использовать точки обновления, указанные программистом. Кицунэ и Экиден требуют, чтобы разработчики вручную указывали и называли все точки обновления.

Системы обновления различаются по типам поддерживаемых ими изменений программы. Например, Ksplice поддерживает только изменения кода в функциях и не поддерживает изменения представления состояния. Это потому, что Ksplice в первую очередь нацелен на изменения безопасности, а не на общие обновления. В отличие, Экиден может обновить программу до любой другой программы, которая может быть выполнена, даже если она написана на другом языке программирования. Системные дизайнеры могут получить ценные гарантии производительности или безопасности, ограничив объем обновлений. Например, любой обновить проверку безопасности ограничивает объем обновлений обновлениями, которые проходят эту проверку безопасности. Механизм, используемый для преобразования кода и состояния, влияет на то, какие виды обновлений будет поддерживать система.

Системы DSU как инструменты также можно оценить по простоте использования и понятности для разработчиков. Многие системы DSU, такие как Женьшень, требуют программ для прохождения различных статических анализов. Хотя эти анализы подтверждают свойства программ, которые являются ценными для DSU, они по своей природе сложны и трудны для понимания. Системы DSU, которые не используют статический анализ, могут потребовать использования специализированного компилятора. Некоторые системы DSU не требуют ни статического анализа, ни специальных компиляторов.

Программы, которые обновляются системой DSU, называются целевые программы. Академические публикации систем DSU обычно включают несколько целевых программ в качестве тематических исследований. vsftpd, OpenSSH, PostgreSQL, Tor, Apache, GNU Zebra, memcached, и Redis все являются объектами динамического обновления для различных систем. Поскольку мало программ написано с учетом поддержки динамического обновления, модернизация существующих программ является ценным средством оценки системы DSU для практического использования.

Связанные поля

Пространство проблем, устраняемое динамическим обновлением, можно рассматривать как пересечение нескольких других. Примеры включают контрольно-пропускной пункт, динамическое связывание, и упорство. Например, база данных, которая должна быть обратно совместимый с предыдущими версиями своего формата файла на диске, должен выполнять тот же тип преобразования состояния, который ожидается от системы динамического обновления. Точно так же программа, имеющая подключаемую архитектуру, должна иметь возможность загружать и выполнять новый код во время выполнения.

Подобные методы иногда также используются с целью динамическое устранение мертвого кода удалить условно мертвых или же недостижимый код при загрузке или во время выполнения и рекомбинируйте оставшийся код, чтобы минимизировать объем памяти или повысить скорость.[2][3]

История

Самым ранним предшественником динамического обновления программного обеспечения является резервные системы. В среде с резервированием существуют запасные системы, готовые взять на себя управление активными вычислениями в случае отказа основной системы. Эти системы содержат главную машину и горячий запас. Горячий резерв будет периодически засеиваться пропускной пункт первичной системы. В случае выхода из строя горячий резерв возьмет на себя управление, а основная машина станет новым горячим резервом. Этот шаблон можно обобщить на обновление. В случае обновления активируется «горячий» резерв, обновляется основная система, а затем обновленная система возобновляет управление.

Самая ранняя настоящая система динамического обновления программного обеспечения - это ДИМОС (DyNamic Пндифференциация Sсистема).[4] Представленная в 1983 году в докторской диссертации Инсупа Ли, DYMOS представляла собой полностью интегрированную систему, которая имела доступ к интерактивному пользовательскому интерфейсу, компилятору и среде выполнения для Modula вариант и исходный код. Это позволило DYMOS проверить обновления на соответствие существующей программе.

Выполнение

Системы DSU должны загружать новый код в работающую программу и преобразовывать существующее состояние в формат, понятный для нового кода. Поскольку многие мотивирующие варианты использования DSU критичны по времени (например, развертывание исправления безопасности в действующей и уязвимой системе), системы DSU должны обеспечивать адекватную обновить доступность. Некоторые системы DSU также пытаются обеспечить безопасность обновлений перед их применением.

Нет единого канонического решения любой из этих проблем. Как правило, система DSU, которая хорошо работает в одной проблемной области, делает это в ущерб другим. Например, эмпирическое тестирование динамических обновлений показывает, что увеличение количества точек обновления приводит к увеличению количества небезопасных обновлений.[5]

Преобразование кода

Большинство систем DSU используют подпрограммы как единица кода для обновлений; однако более новые системы DSU реализуют обновления всей программы.[6][7]

Если целевая программа реализуется в виртуальная машина языка виртуальная машина может использовать существующую инфраструктуру для загрузки нового кода, поскольку современные виртуальные машины поддерживают загрузку среды выполнения для других вариантов использования, помимо DSU (в основном отладка ). В HotSpot JVM поддерживает загрузку кода времени выполнения и нацеливание на системы DSU Java (язык программирования) может использовать эту функцию.

На родных языках, таких как C или же C ++, Системы DSU могут использовать специализированные компиляторы, которые вставляют косвенные ссылки в программу. Во время обновления это косвенное указание обновляется, чтобы указать на самую новую версию. Если система DSU не использует компилятор для статической вставки этих косвенных ссылок, она вставляет их во время выполнения с помощью двоичная перезапись. Двоичная перезапись - это процесс записи низкоуровневого кода в образ памяти работающей собственной программы для перенаправления функций. Хотя для этого не требуется статический анализ программы, он сильно зависит от платформы.

Экиден и Кицунэ загрузить новый программный код, запустив совершенно новую программу, либо через fork-exec или же динамическая загрузка. Затем существующее состояние программы переносится в новое пространство программы.[6][7]

Государственная трансформация

Во время обновления состояние программы должно быть преобразовано из исходного представления в представление новой версии. Это называется государственная трансформация. Функция, преобразующая объект состояния или группу объектов, называется функция трансформатора или же государственный трансформатор.

Системы DSU могут либо попытаться синтезировать функции преобразователя, либо потребовать, чтобы разработчик предоставил их вручную. Некоторые системы смешивают эти подходы, предполагая одни элементы преобразователей, но требуя участия разработчика в других.

Эти функции преобразования могут применяться к состоянию программы либо лениво, когда осуществляется доступ к каждой части состояния старой версии, либо с нетерпением, преобразуя все состояние во время обновления. Ленивое преобразование гарантирует, что обновление будет завершено за постоянное время, но также вызывает постоянные накладные расходы при доступе к объекту. Стремительное преобразование требует дополнительных затрат во время обновления, требуя от системы останови мир пока все трансформаторы бегут. Однако активное преобразование позволяет компиляторам полностью оптимизировать доступ к состоянию, избегая накладных расходов на установившееся состояние, связанных с отложенным преобразованием.

Безопасность обновлений

Большинство систем DSU пытаются показать некоторые свойства безопасности для обновлений. Наиболее распространенный вариант проверки безопасности - это безопасность типов, когда обновление считается безопасным, если оно не приводит к появлению какого-либо нового кода, работающего со старым представлением состояния, или наоборот.

Типовая безопасность обычно проверяется путем отображения одного из двух свойств: безопасность активности или же безвредная безопасность. Программа считается активной, если не существует обновленной функции на стек вызовов во время обновления. Это доказывает безопасность, поскольку управление никогда не может вернуться к старому коду, который будет обращаться к новым представлениям данных.

Минусы-Свобода - еще один способ доказать безопасность типа, когда часть кода считается безопасной, если она не обращается к состоянию данного типа способом, который требует знания представления типа. Можно сказать, что этот код не имеет доступа к состоянию конкретно, в то время как он может получить доступ к состоянию абстрактно. Можно доказать или опровергнуть безвредность для всех типов в любом разделе кода, и система DSU Ginseng использует это для подтверждения безопасности типа.[8][9] Если функция доказана без минусов, он может быть обновлен, даже если он находится в стеке, поскольку он не вызовет ошибку типа при доступе к состоянию с использованием старого представления.

Эмпирический анализ безвредность и безопасность активности, выполненная Хайденом и др., показывают, что оба метода допускают наиболее правильные обновления и отклоняют большинство ошибочных обновлений. Однако выбор точек обновления вручную приводит к нулю ошибок обновления и по-прежнему обеспечивает частую доступность обновлений.[5]

Существующие системы

ДИМОС

DYMOS примечателен тем, что это была самая ранняя предложенная система DSU. DYMOS представляет собой полностью интегрированную среду для программ, написанных на производной от Modula, предоставляя системе доступ к интерпретатору команд, исходному коду, компилятору и среде выполнения, аналогично REPL. В DYMOS обновления инициируются пользователем, выполняющим команду в интерактивной среде. Эта команда включает директивы, указывающие, когда может произойти обновление, называемые когда-условия. Информация, доступная DYMOS, позволяет ему обеспечивать безопасность типов обновлений по отношению к работающей целевой программе.[4]

Ksplice, kpatch и kGraft

Смотрите также: Категория: Live patching ядра Linux.

Ksplice это система DSU, нацеленная только на Ядро Linux, став одной из специализированных систем DSU, которые поддерживают ядро операционной системы в качестве целевой программы. Ksplice использует исходный уровень различия для определения изменений между текущей и обновленной версиями ядра Linux, а затем использует двоичную перезапись для вставки изменений в работающее ядро.[10] Ksplice поддерживалось коммерческим предприятием, основанным его первоначальными авторами, Ksplice Inc., которое было приобретено Корпорация Oracle в июле 2011 г.[11] Ksplice используется на коммерческой основе и исключительно в Oracle Linux распределение.[12]

SUSE развитый kGraft как альтернатива с открытым исходным кодом для исправления живого ядра, и Красная шляпа сделал то же самое с kpatch. Оба они позволяют применять изменения на уровне функций к работающему ядру Linux, полагаясь при этом на механизмы оперативного исправления, установленные ftrace. Основное различие между kGraft и kpatch заключается в том, как они обеспечивают согласованность обновленных разделов кода во время выполнения. горячие пятна применяются. kGraft и kpatch были представлены для включения в Основная линия ядра Linux в апреле 2014 г. и мае 2014 г. соответственно,[13][14] а минималистичные основы для живых исправлений были объединены в основную линию ядра Linux в версии ядра 4.0, выпущенной 12 апреля 2015 года.[15]

С апреля 2015 года продолжается работа по переносу kpatch и kGraft на общее ядро ​​динамического исправления, предоставляемое основной веткой ядра Linux. Однако реализация механизмов согласованности на уровне функций, необходимых для безопасного перехода между исходной и исправленной версиями функций, была отложена из-за того, что стеки вызовов предоставляемые ядром Linux могут быть ненадежными в ситуациях, связанных с код сборки без надлежащего кадры стека; в результате работы по переносу продолжаются по состоянию на сентябрь 2015 г.. В попытке повысить надежность стеков вызовов ядра была проведена специализированная проверка работоспособности. stacktool Утилита пользовательского пространства также была разработана с целью проверки времени компиляции ядра. объектные файлы и обеспечение того, чтобы стек вызовов всегда поддерживался; это также открывает возможность для достижения более надежных стеков вызовов как части ядро ой Сообщения.[16][17]

Женьшень

Женьшень - это система DSU общего назначения. Это единственная система DSU, использующая безвредность техника безопасности, позволяющая обновлять функции, которые находятся в стеке до тех пор, пока они не осуществляют конкретный доступ к обновленным типам.

Женьшень реализуется как компилятор исходного кода написано с использованием C Промежуточный язык рамки в OCaml. Этот компилятор вставляет косвенное указание во все вызовы функций и обращения к типам, позволяя Ginseng лениво преобразовывать состояние за счет наложения постоянных накладных расходов на все выполнение программы.[9] Составитель женьшеня доказывает безвредность свойства всей исходной программы и динамических патчей.

Более поздние версии Ginseng также поддерживают идею безопасности транзакций. Это позволяет разработчикам аннотировать последовательность вызовов функций как логическую единицу, не позволяя обновлениям нарушать семантику программы способами, которые не обнаруживаются ни с помощью безопасности активности, ни с помощью безвредность безопасность. Например, в двух версиях OpenSSH Согласно исследованию авторов Ginseng, важный код проверки пользователя был перемещен между двумя последовательно вызываемыми функциями. Если была выполнена первая версия первой функции, произошло обновление и была выполнена новая версия второй функции, то проверка никогда не была бы выполнена. Отметка этого раздела как транзакции гарантирует, что обновление не помешает выполнению проверки.[18]

UpStare

UpStare - это система DSU, в которой используется уникальный механизм обновления, реконструкция стека. Чтобы обновить программу с помощью UpStare, разработчик указывает соответствие между любыми возможными кадрами стека. UpStare может использовать это отображение для немедленного обновления программы в любой момент, с любым количеством потоков и с любыми функциями, находящимися в стеке.[19]

ПОЛЮС

PoLUS - это система DSU с двоичной перезаписью для C. Он может обновлять неизмененные программы в любой момент их выполнения. Чтобы обновить функции, он переписывает прелюдию к целевой функции для перенаправления на новую функцию, связывая эти перенаправления с несколькими версиями. Это позволяет избежать постоянных накладных расходов в функциях, которые не были обновлены.[20]

Катана

Katana - это исследовательская система, которая обеспечивает ограниченное динамическое обновление (подобно Ksplice и его форкам) для пользовательского режима. ELF двоичные файлы. Модель исправлений Katana работает на уровне объектов ELF и, таким образом, может не зависеть от языка, пока целью компиляции является ELF.

Кицунэ и Экиден

Ekiden и Kitsune - это два варианта единой системы DSU, которая реализует стиль передачи состояния DSU для программ, написанных на C. Вместо того, чтобы обновлять функции в рамках одной программы, Ekiden и Kitsune выполняют обновления для всей программы, передавая необходимое состояние между двумя выполнениями. В то время как Ekiden выполняет это, запустив новую программу, используя UNIX идиома fork-exec, сериализуя состояние целевой программы и передавая его, Kitsune использует динамическое связывание для выполнения передачи состояния "на месте". Кицунэ происходит от кодовой базы Экидена и может считаться более поздней версией Экиден.

Ekiden и Kitsune также примечательны тем, что они реализованы в основном как библиотеки уровня приложения, а не специализированные среды выполнения или компиляторы. Таким образом, чтобы использовать Ekiden или Kitsune, разработчик приложения должен вручную отметить состояние, которое необходимо передать, и вручную выбрать точки в программе, где может произойти обновление. Чтобы упростить этот процесс, Kitsune включает специальный компилятор, реализующий предметно-ориентированный язык для написания преобразователей состояний.[6][7]

Erlang

Erlang поддерживает динамическое обновление программного обеспечения, хотя обычно это называется "загрузка горячего кода ". Erlang не требует гарантий безопасности обновлений, но культура Erlang предполагает, что разработчики пишут в защитном стиле, который будет корректно обрабатывать ошибки типов, возникающие при обновлении.[нужна цитата ]

Pymoult

Pymoult - это платформа для создания прототипов динамического обновления, написанная на Python. Он объединяет многие методы из других систем, позволяя их комбинировать и настраивать. Цель этой платформы - позволить разработчикам выбирать методы обновления, которые они считают более подходящими для своих нужд. Например, можно сочетать ленивое обновление состояния, как в Ginseng, с изменением всего кода приложения, как в Kitsune или Ekiden.[21][22]

Microsoft Visual C ++

Microsoft использует внутреннюю технологию исправления для Microsoft Visual C ++, которая поддерживает исправление отдельных функций C ++ при сохранении функциональной корректности исправлений. В настоящее время известными приложениями является SQL Server в базе данных SQL Azure.[23]

Смотрите также

Рекомендации

  1. ^ Гупта, Дипак; Джалоте, Панкадж; Баруа, Гаутам (1996). «Формальная основа для изменения версии программного обеспечения в режиме онлайн» (PDF). IEEE Transactions по разработке программного обеспечения. 22 (2): 120–131. Дои:10.1109/32.485222. Архивировано из оригинал (PDF) на 2014-04-07.
  2. ^ Пол, Маттиас Р .; Фринке, Аксель К. (1997-10-13) [впервые опубликовано в 1991 году], FreeKEYB - усовершенствованный драйвер клавиатуры и консоли DOS (Руководство пользователя) (изд. V6.5) [1] (NB. Преемник K3PLUS FreeKEYB представляет собой полностью реконфигурируемый драйвер со многими динамически загружаемыми специальными функциями. Он реализует уникальную форму гранулярной динамическое устранение мертвого кода и переезд методы в время загрузки а также самомодифицирующийся код и реконфигурируемость на время выполнения чтобы минимизировать объем памяти, близкий к каноническая форма в зависимости от оборудования, операционной системы, другой среды и конфигурации драйверов, а также от выбранного набора функций и локали (около шестидесяти переключателей конфигурации с сотнями вариантов для почти неограниченного числа возможных комбинаций). В процессе сборки используется макроассемблер а также набор автоматических инструментов предварительной и последующей обработки, анализирующих временные двоичные файлы для создания зависимостей и преобразование кода метаданные быть встроенным в полученный запускаемый файл рядом с бинарный код и самоотбрасывание, расслабляющий и перемещение погрузчика для динамического (повторного) комбинирования, (избыточной) загрузки, изменения, обновления или выгрузки образа среды выполнения (кода и данных) драйвера по запросу. Сложность скрыта в одном автономном файле, поэтому для пользователя обработка такая же, как и для обычного (полу) монолитного драйвера /TSR.
  3. ^ Пол, Маттиас Р .; Фринке, Аксель К. (16 января 2006 г.), FreeKEYB - расширенный международный драйвер клавиатуры и консоли DOS (Руководство пользователя) (предварительная редакция v7)
  4. ^ а б Ли, Insup (1983). Dymos: система динамической модификации (Докторская диссертация по информатике). Университет Висконсина - Мэдисон. В архиве из оригинала от 16.09.2003.
  5. ^ а б Хайден, Крис; Смит, Эдвард К .; Хардисты, Эрик; Хикс, Майкл; Фостер, Джеффри (2011). «Оценка безопасности динамического обновления программного обеспечения с помощью систематического тестирования» (PDF). IEEE Transactions по разработке программного обеспечения. IEEE (99).[постоянная мертвая ссылка ]
  6. ^ а б c Хайден, Крис; Смит, Эдвард К .; Хикс, Майкл; Фостер, Джеффри (2011). «Перенос состояния для ясного и эффективного обновления среды выполнения» (PDF). Семинары по инженерии данных (ICDEW), 27-я Международная конференция IEEE 2011 г.. IEEE: 179–184.
  7. ^ а б c Хайден, Крис; Смит, Эдвард К .; Денчев, Михаил; Хикс, Майкл; Фостер, Джеффри (2011). «Kitsune: эффективное универсальное динамическое обновление программного обеспечения для C» (PDF). Цитировать журнал требует | журнал = (помощь)
  8. ^ Стойл, Гарет; Хикс, Майкл; Бирман, Гэвин; Сьюэлл, Питер; Neamtiu, Юлиан (2005). «Mutatis mutandis: безопасное и предсказуемое динамическое обновление программного обеспечения» (PDF). Труды конференции ACM по принципам языков программирования.
  9. ^ а б Нямтиу, Юлиан; Хикс, Майкл; Стойл, Гарет; Ориоль, Мануэль (2006). «Практическое динамическое обновление ПО для C» (PDF). Уведомления ACM SIGPLAN. 41 (6): 72–83. CiteSeerX  10.1.1.625.4663. Дои:10.1145/1133255.1133991.
  10. ^ Арнольд, Джефф; Каашук, М. Франс (2009). Ksplice: автоматическое обновление ядра без перезагрузки (PDF). Материалы 4-й Европейской конференции ACM по компьютерным системам. п. 187. Дои:10.1145/1519065.1519085. ISBN  9781605584829.
  11. ^ «Оракул и Ксплице». Получено 2011-07-21.
  12. ^ «Начало работы с Oracle Ksplice». oracle.com. Получено 2014-08-02.
  13. ^ Поимбёф, Джош (01.05.2014). "kpatch: динамическое исправление ядра". LWN.net. Получено 2014-07-23.
  14. ^ Корбет, Джонатан (30 апреля 2014 г.). «Первоначальная подача kGraft». LWN.net. Получено 2014-11-07.
  15. ^ «Ядро Linux 4.0, Раздел 1.2. Исправления в реальном времени». kernelnewbies.org. 2015-04-26. Получено 2015-05-14.
  16. ^ Корбет, Джонатан (30 сентября 2015 г.). "Проверка стека во время компиляции". LWN.net. Получено 2015-10-02.
  17. ^ Поимбёф, Джош (24 сентября 2015 г.). «Документация ядра Linux: Documentation / stack-validation.txt (из патча v13)». LWN.net. Получено 2015-10-02.
  18. ^ Нямтиу, Юлиан; Хикс, Майкл; Фостер, Джеффри; Pratikakis, Polyvios (2008). «Контекстные эффекты для согласованного с версией динамического обновления программного обеспечения и безопасного параллельного программирования». Материалы конференции {ACM} по принципам языков программирования (POPL): 37–58.
  19. ^ Макрис, Кристис; Бацци, Рида А. (2009). «Немедленное многопотоковое динамическое обновление программного обеспечения с использованием реконструкции стека» (PDF). Материалы конференции 2009 г. по Ежегодной технической конференции USENIX.
  20. ^ Чен, Хайбо; Ю, Цзе; Чен, Ронг; Занг, Бинью; Ю, Пен-Чунг (2007). «ПОЛЮС: мощная система оперативного обновления» (PDF). 29-я Международная конференция по программной инженерии: 271–281. Архивировано из оригинал (PDF) на 2012-04-26. Получено 2011-12-18.
  21. ^ Себастьен Мартинес; Фабьен Дагна; Жереми Бюиссон (2013). «Создание прототипов методов DSU с использованием Python». Труды 5-го семинара по актуальным вопросам обновления программного обеспечения (HotSWUp'13).
  22. ^ Мартинес, Себастьен (06.03.2013). "Пимолт". Bitbucket. Получено 2014-11-27.
  23. ^ «Горячее исправление ядра SQL Server в базе данных SQL Azure». TECHCOMMUNITY.MICROSOFT.COM. 2019-09-11. Получено 2019-09-15.

внешняя ссылка