SEM figure 4: (Group D)

Se pueden esbozar un cierto número de consideraciones acerca de las preguntas y problemas que deben ser tenidos en cuenta relacionados con la supervivencia del sistema en los sistemas en red.

1.3.3.1 La Supervivencia requiere del mantenimiento de la Confianza

Un tema abierto es de qué manera determinar la base de confianza y cómo un nodo particular de una red contribuye a la supervivencia de los servicios esenciales del sistema cuando:

• Un nodo cualquiera se puede tornar no confiable • No existe una visión global o un control global

• Los nodos no pueden confiar completamente en sí mismos ni en sus vecinos

Dependiendo de la aplicación, esto puede ser posible mediante el diseño arquitectónico o la acción dinámica dentro sistema destinado a incrementar la fiabilidad, visibilidad y control de los compo- nentes o la responsabilidad de los participantes. No obstante, la única base absoluta del manteni- miento de la confianza es la consistencia en la retroalimentación del comportamiento obtenida a partir de las interacciones con otros nodos, y en forma independiente de la verificación de las ac- ciones indicadas por nodos que no están directamente involucrados con las transacciones.

Un aspecto estrechamente relacionado es la ausencia de una visión y un control global. Si se de- termina la presencia de componentes no fiables en un sistema, puede resultar extremadamente difícil determinar si las funciones críticas han sido comprometidas o no sin contar con una visión y un control global. Si están ausentes la visión y el control global (y en general esto es lo que suce- de) esta condición impide el diseño de efectivas arquitecturas basadas en red con capacidad de supervivencia. En particular, debería ser posible que los nodos particulares generalmente contri- buyan con los objetivos de supervivencia y, al menos, no interfieran con estos objetivos.

Los algoritmos genéticos5_{, por ejemplo, logran estos efectos a través de la acción colectiva de}

los participantes individuales. Sin embargo, estos participantes no pueden medir la efectividad global ni determinar si su contribución es positiva. Este ejemplo sugiere que las soluciones de supervivencia pueden estar presentes entre los algoritmos emergentes que dependen de la conti- nua interacción con sus nodos vecinos, pero que no requieren retroalimentación indicando el progreso y el éxito [Fisher 99].

1.3.3.2 El Análisis de la Supervivencia Basado-en-Protocolo, no en-Topología

Otra implicancia de los sistemas basados en red es que los aspectos importantes de su arquitec- tura desde el punto de vista de la supervivencia se relacionan con las convenciones y reglas de interacción entre sus nodos vecinos, y que la topología de la red es en gran parte irrelevante. Esto es, las arquitecturas de red deben ser especificadas, comparadas, y medidas en términos de sus interacciones y no de la topología de su interconexión.

Como un ejemplo de este tipo de análisis, consideremos que el problema general de la persistencia de los datos de estado correspondientes a un protocolo. ¿Un protocolo debería mantener informa- ción de estado para mejorar la fiabilidad o realizar chequeos de consistencia adicionales? ¿Qué nivel de chequeo debería soportar la infraestructura? J. H. Saltzer y sus colegas han examinado el FTP (File Transfer Protocol) y comparado enfoques que chequean paquetes sólo en los nodos origen y destino (extremo-a-extremo) con protocolos que chequean fiabilidad en cada salto del camino de comunicaciones [Saltzer 84]. La conclusión fue que el chequeo salto-a-salto incremen- ta la complejidad y afecta el desempeño con un reducido incremento en la fiabilidad global. Kenneth P. Birman analiza estos puntos de balance en un contexto más general [Birman 96]. Propiedades tales como fiabilidad y supervivencia pueden ser mejoradas mediante propiedades que soportan tolerancia a falla o garantizan la comunicación. Sin embargo, el costo de una pro- piedad que soporte, digamos, ordenamiento uniforme de eventos, puede resultar miles de veces superior que una propiedad más débil que pueda requerir que la aplicación maneje un compor- tamiento no-uniforme.

Argumentos similares se pueden realizar cuando comparamos arquitecturas stateless o datos no- replicados para atender a un fuerte requerimiento de consistencia a nivel de aplicación. En el caso de arquitecturas stateless y datos no-replicados, el servidor puede volver a arrancar y los clientes tener la responsabilidad de reconectarse. La supervivencia requiere de un análisis para balancear las responsabilidades entre los servidores y los clientes, y entre el monitoreo extremo-

El algoritmo genético es una modelo de máquina de aprendizaje que deriva su comportamiento de una metáfora de los procesos de evolución en la naturaleza. Esto se lleva a cabo mediante la creación dentro de una máquina de una población de individuos, representados por cromosomas (en esencia un conjunto de cadenas de caracteres) , análogos a los cromosomas base-4 que se observan en nuestro ADN. Luego los individuos de la población llevan a cabo un proceso de evolución.

a-extremo realizado por la aplicación y el monitoreo del protocolo provisto por la infraestructu- ra. Para tal estrategia de recuperación, el nivel de aplicación puede ser el nivel apropiado en el cual analizar el comportamiento del estado de la aplicación y del usuario, y seleccionar las ac- ciones de recuperación apropiadas.

1.3.3.3 La Supervivencia es Emergente y Estocástica

Los objetivos de supervivencia son propiedades emergentes deseables para el sistema en su conjunto, pero no necesariamente predominantes en los nodos particulares del sistema. Esta aproximación contrasta con los diseños tradicionales en los cuales las funciones o propiedades especializadas son aseguradas en nodos particulares, y la composición del sistema debe asegurar que estas propiedades y capacidades funcionales sean preservadas en el sistema como un todo. A los fines de la supervivencia, debemos lograr propiedades que abarquen al sistema que gene- ralmente no existen en los nodos particulares. Un sistema con capacidad de supervivencia debe asegurar que las propiedades de supervivencia deseadas emergen de las interacciones entre los componentes durante la construcción de sistemas fiables a partir de componentes poco fiables. La supervivencia es inherentemente estocástica. Si las propiedades de supervivencia son emergen- tes, sólo estarán presentes en un sistema cuando el número de nodos que contribuyen a las mismas es lo suficientemente grande. Si el número u ordenamiento de los nodos cae por debajo de un um- bral crítico, se fracasa en acompañar a la propiedad de supervivencia. Un ejemplo de este tipo de propiedad crítica de supervivencia en la conectividad en las comunicaciones del sistema.

Podemos diseñar la arquitectura del sistema para maximizar el número de caminos entre dos nodos cualesquiera; pero si han sido comprometidos una cantidad suficientes de enlaces como para particionar la red, la comunicación entre nodos arbitrarios ya no será tendrá éxito. En con- secuencia, las propiedades, algoritmos y arquitecturas de supervivencia deberían estar especifi- cados, visualizados y evaluados para determinar la probabilidad de su éxito bajo condiciones dadas de uso y no determinadas como entidades discretas.

1.3.3.4 La Supervivencia requiere de un Componente de Administración

El diseño de un sistema con capacidad de supervivencia también incluye la gestión de operación y administración. Una pobre administración de sistema es la causa frecuente de vulnerabilidades en los sitios administrados en forma centralizada. En los sistemas de red ilimitados, la adminis- tración del sistema debe estar coordinada a través de múltiples sitios. Los procedimientos de administración de sistema existentes generalmente asumen un ambiente confinado y el completo control administrativo sobre los servicios requeridos. La complejidad de una infraestructura y el uso de servicios externos por fuera del control inmediato de la organización requieren de la

expansión de los servicios administrativos y la provisión de una función de monitoreo como parte de la infraestructura.