Affidabilità, fidatezza e sicurezza dei sistemi

Affidabilità, fidatezza e sicurezza dei sistemi

In questo corso studieremo i dati di affidabilità di un sistema e la fidatezza (dependability) con cui possono essere presi. Ci concentreremo sui parametri RAMS (= Reliability, Availability, Maintainability, Safety): questi sono tutti legati fra di loro e sono importanti da studiare perché descrivono qualsiasi sistema esistente (sia hardware che software) e perché servono per garantire al cliente la vita utile del prodotto attraverso l’analisi dei parametri di guasto (es: MTTF, MTBF, MTBR..). Vedremo anche l’affidabilità di sistema, cioè di un sistema complesso (= un qualunque sistema che ha più componenti al suo interno, anche di diversa natura). Si studieranno anche le banche dati che ci permetteranno di andare a calcolare i parametri di guasto. Approfondiremo il concetto di rischio per vedere come funziona il processo di gestione del rischio e quali sono le analisi. Faremo infine le analisi di sicurezza ovvero delle tecniche che servono per garantire la sicurezza di un impianto quando un componente fallisce e come queste vengono progettate (alto livello).

Per parlare di tutti questi argomenti si farà spesso riferimento alle norme (IEC) che sono importanti perché sono un riferimento fondamentale per le metodologie da usare quando si va risolvere problemi.

Concetti di affidabilità, disponibilità e guasto

Lo studio dei parametri RAMS è importante perché serve a garantire un DESIGN FOR RELIABILITY (DFR) che si concretizza quindi in:

• Riduzione dei tempi di miglioramento del prodotto, perché permette di agire sul problema in fase di ricerca e sviluppo/prototipazione; l’importante è che non venga fuori un difetto quando il prodotto è già sulla linea di produzione
• Comparazione di più soluzioni possibili, eseguendo analisi costi/benefici
• Validazione delle scelte di progetto
• Raggiungimento dei target di affidabilità, cioè rispettare la vita utile del prodotto dichiarata
• Garanzia di disponibilità e sicurezza

Il DFR è applicabile per qualsiasi tipologia di sistema e il processo si suddivide in vari step:

• STEP 1: conoscere i parametri di affidabilità
• STEP 2: si selezionano le parti del sistema in base alla funzione che devono realizzare e individuare i componenti che possono fare derating, cioè l’eventuale sottoutilizzo rispetto alle condizioni di funzionamento nominale di un componente per aumentarne la vita utile.
• STEP 3: uso di tecniche di progettazione appropriate. Quindi semplificare il più possibile, evidenziare le ridondanze (che aumentano l’affidabilità, ma aumentano i costi) ed implementare eventuali tecniche di protezione dai rischi.
• STEP 4: Design per minimizzare gli effetti dell’ambiente esterno (quando si pensa un prodotto è importantissimo pensare anche alla sua interazione con l’ambiente e con chi lo usa). Quindi si dovrà calcolare l’affidabilità dell’essere umano (non banale) e dei fattori di software (sempre presenti in un sistema complesso) spesso provenienti dal campo (ad esempio i bug delle applicazioni quando vanno ad interfacciarsi con i sistemi operativi dei dispositivi in cui sono installate).
• STEP 5: Manutenzione predittiva per evitare guasti.
• STEP 6: Ognuno di questi step si conclude con una revisione di ciò che è stato prodotto.

Alla fine di tutto ci chiediamo se gli obiettivi di affidabilità sono stati raggiunti e se la risposta è positiva si procede alla fase di prototipazione e poi produzione, se è negativa si ripetono ciclicamente gli step finché non si raggiunge il prodotto ideale. Prodotto ideale = non esiste, si tende a quello ma non è raggiungibile. Gli obiettivi di affidabilità si stabiliscono a partire dalla MISSION PROFILE, ovvero prima è necessario comprendere quale sarà la funzione che il mio sistema andrà a compiere. In base a questo, si definisce il ciclo di vita del sistema e quindi si capisce quale sarà la durata dei componenti a cui devo puntare. Ad esempio, la garanzia: l’azienda mi garantisce che il dispositivo deve funzionare bene 2 anni; in più si ha la garanzia aggiuntiva che per l’azienda è un guadagno e basta perché è convinta che il proprio prodotto non si romperà nemmeno nell’ulteriore periodo.

Lo scopo del DFR è quello di ridurre i costi migliorando la qualità del prodotto.NB: l’affidabilità varia col tempo: è importante specificare il tempo perché lo stesso valore a due diversi istanti temporali ha due significati diversi. L’affidabilità è anche legata alla qualità ed implicitamente alla soddisfazione del cliente.

Termini e definizioni

Sono numerosi perché derivano direttamente dalle norme che sono estremamente precise e dettagliate. Affidabilità e disponibilità sono prestazioni della qualità; definiamo allora la qualità:

DEF. Qualità (ISO 9000) = grado in cui un insieme di caratteristiche intrinseche soddisfa i requisiti. In queste caratteristiche intrinseche ci sono anche i parametri RAMS, oltre a quelle fisiche, funzionali e temporali (RAMS).

Nel suo ciclo di vita ogni prodotto (inteso come servizio, sistema, impianto cioè non solo quello che si produce in una fabbrica) deve avere le seguenti caratteristiche:

• Possedere la capacità tecnica per fare ciò che è richiesto l’entità è caratterizzata da certe prestazioni. Queste prestazioni impongono anche dei limiti all’uso dell’entità, per cui bisogna stabilire chiaramente quale è il suo ambito di impiego.
• Mantenere nel tempo la propria capacità tecnica una serie di parametri RAMS sono in funzione del tempo e ciò ci porta al concetto di affidabilità. Deve essere mantenuta buona almeno per il periodo di durata della garanzia (e anche oltre, se l’applicazione è critica).
• Poter essere utilizzata nel momento in cui è richiesta la sua funzione. Si introduce il concetto di ripristino e, quindi, di manutenibilità e di disponibilità.

Le caratteristiche sono poi tradotte in PRESTAZIONI MISURABILI [ IEC 50 (191) ]:

• Conformità = rispondenza dei parametri funzionali (prestazioni) ai valori prestabiliti (specifiche).
• Affidabilità = attitudine di un’entità a svolgere la funzione richiesta in condizioni date (l’ambiente per cui è stata definita, si tratta di un range) per un dato intervallo di tempo. Ovviamente non è possibile garantire affidabilità 100% per n anni: ciascun produttore mette in conto che una certa percentuale di prodotti uscirà non conforme e per questo motivo si mette in atto il controllo qualità.
• Manutenibilità = attitudine di un’entità ad essere mantenuta o riportata in uno stato nel quale può svolgere la funzione richiesta. Entra in gioco la possibilità di riparare un oggetto quindi in fase di progettazione è necessario pensare anche a come possa essere riparato un oggetto, non solo come costruirlo. Più un componente è critico più è importante disegnarlo scalabile, così che possa essere sostituito un componente in modo semplice e veloce; questa importanza aumenta anche con la dimensione dell’entità perché più componenti si hanno più sarà facile che alcuni si rompano e meno sarà possibile trasportarla dal tecnico (si devono poter fare riparazioni in loco).
• Disponibilità = attitudine di un’entità ad essere in grado di svolgere la funzione richiesta, in determinate condizioni, supponendo che siano assicurati i mezzi esterni eventualmente necessari. È un’estensione del concetto di affidabilità che la lega alla manutenibilità: i mezzi esterni rendono il sistema disponibile anche quando si presenta un guasto.
• Sicurezza (Safety) = assenza di rischi inaccettabili. Si misura con un parametro chiamato Safety Integrity Level (SIL) che ha delle sfumature a seconda dell’ambito di applicazione. La Safety non è la Security: la prima è la protezione da eventi indesiderati che avvengono in maniera casuale, la seconda invece è la protezione da eventi dannosi volontari (es: attacco hacker).

DEF. Rischio = è la combinazione di due elementi cioè la probabilità di accadimento di un certo evento e la gravità del danno che comporta il verificarsi di questo evento.

DEF. Guasto = quando cessa l’attitudine del dispositivo (prodotto) ad eseguire la funzione richiesta. È in qualche modo oggettivo: non si accende/spegne.

DEF. Conformità = rispondenza dei parametri funzionali di un prodotto ai valori prestabiliti (specifiche). Questa rispondenza non è binaria, ma rientra in un range; questo range deve essere definito in fase di progettazione, quando vado anche a testare un componente per capire se rientra nei limiti di specifica. I valori non sono mai precisi su quello nominale, ma oscillano: queste oscillazioni sono accettabili in un range di tolleranza (legato ad un’incertezza di misura). Anche nel “Non Accettabile” i pezzi non sono tutti uguali, prima di attivare al guasto catastrofico si ha un “fuori specifica” che serve proprio a prevenire la rottura del componente non si definisce mai una regione di accettabilità troppo stringente per evitare di arrivare troppo velocemente al guasto catastrofico (è un margine di sicurezza).

DEF. Valore nominale = valore obiettivo della caratteristica di un prodotto rispetto al quale sono ammesse deviazioni nei limiti di un determinato intervallo di tolleranza.

DEF. Tolleranza = differenza tra limite superiore (USL) e quello inferiore (LSL). Nell’immagine si vede che quando si considera l’incertezza della misura ne deriva un intervallo di ambiguità tra la conformità o meno del pezzo. Questo si può trattare con un’accettabilità più stringente o più lasca e questo è deciso con un accordo fra le parti. Ovviamente l’accettabilità stringente ha un costo maggiore si deve valutare per quali componenti vale la pena sostenere questo costo, di solito si fa per quelli Safety Critical.

DEF. Tempo al guasto = la durata di tempo complessiva del tempo di funzionamento di un’entità dal momento in cui viene messa in uno stato di disponibilità fino al guasto, oppure dal momento in cui avviene il ripristino fino all’apparizione del guasto successivo.

DEF. Tempo medio al guasto (MTTF) = valore atteso del tempo al guasto, espresso in ore. In questo tempo non si prevede la riparazione del dispositivo.

SOLO SE IL DISPOSITIVO È RIPARABILE, parlo di:

DEF. Tempo operativo tra guasti = durata di tempo complessiva del tempo di funzionamento (tempo operativo) tra due guasti consecutivi di un’entità riparata.

DEF. Tempo operativo medio tra guasti (MTBF) = valore atteso del tempo operativo tra due guasti, espresso in ore.

DEF. Tempo al ripristino = intervallo di tempo durante il quale l’entità è in uno stato di indisponibilità a causa di un guasto.

DEF. Tempo medio al ripristino (MTTR) = valore atteso del tempo al ripristino. NB: MTTR sta per Mean Time To Recovery ma anche per Mean Time To Repair e sono due tempi diversi: il primo è il ripristino complessivo, da quando il dispositivo ha presentato un guasto fino a quando il dispositivo è nuovamente operativo, dentro si ha il secondo con cui si intende solo il tempo di riparazione effettivo; nel ripristino quindi si ha in più il tempo di individuazione del guasto e di approvvigionamento delle scorte è un tempo più lungo, il dispositivo perde in disponibilità.

Tutto questo insieme di caratteristiche che descrivono i parametri RAMS rientrano sotto il termine di FIDATEZZA:

DEF. Fidatezza (IEC 60300-1) = attitudine a erogare le prestazioni come e quando richiesto. In questa frase si riassume tutti i concetti visti finora: lega l’affidabilità e la disponibilità. La fidatezza comprende la disponibilità, l’affidabilità, la manutenibilità e il supporto di manutenzione e, in alcuni casi, altre caratteristiche quali la durabilità, la sicurezza e la protezione. Io voglio che il mio sistema eroghi le prestazioni nel tempo, ma voglio che le esegua anche quando voglio, quindi concetto legato alla disponibilità, la fidatezza riassume tutto questo.

Se si parla di “Dependability” allora si parla anche di:

• Impedimenti nell’esecuzione della funzione. Il fault è l’avaria quindi un guasto a un componente, un errore è lo stato non corretto di un sistema (un sistema formato da più parti prevede che il sistema assuma più stati, non è un banale on-off ma magari sono previsti stati intermedi errati che si possono risolvere con un riavvio). Il Timer Watchdog è un metodo tramite il quale il sistema viene riavviato senza che l’utente se ne accorga. Le threats sono avvenimenti che non garantiscono la fidatezza;
• I mezzi per validare la fidatezza: fault prevention (quello che prima si era chiamati de-rating) cioè invece che correggere si tende a non arrivare mai ai valori limiti di specifica, ogni componente (meccanico o elettrico) ha range di funzionamento e chiaramente si cerca di non stare mai sui limiti ma si sovradimensiona così da rientrare nelle bande di tolleranza, questo, vedremo, permette di allungarne la vita. La fault tolerance sono sistemi che consentono di fornire il servizio anche in caso di guasto, si ottiene tramite la ridondanza nella progettazione, ma non si può ridondare su tutto a causa degli ingombri dell’oggetto finale. Le parti più critiche vengono fuori con analisi dei parametri RAMS e sono quelli con il MTTF più bassi o il tasso di guasto più elevato, meglio allora concentrarsi su quei componenti ma di nuovo si va incontro a problemi di ingombro, miniaturizzazione di elettronica, peso dei materiali ecc. Eventualmente si ha anche la parte di Fault Forecasting ovvero le previsioni dei guasti e si possono usare metodi di reti neurali o IA, tramite l’analisi dello stato di salute si può capire quanto rimane della vita utile del componente (ma sono metodi molto complessi). Per esempio, le batterie al Litio, quanto rimane a esse di vita utile dopo N cicli di carica-scarica? In questo modo non aspetti il guasto ma lo anticipi.
• Attributi: è l’ultima voce, gli attributi è la terminologia vista finora quindi Affidabilità (sistema pronto ad essere usato), Disponibilità, Safety, e infine la Security.

La struttura della norma IEC/CT56 è: Ci sono le norme di processo, ovvero qualcosa di più dettagliato, le norme di supporto vanno a dettagliare alcune attività. Nella parte finale delle norme ci sono i riferimenti bibliografici e noti che le norme si citano a vicenda. Tramite le norme inferiori sei in grado di applicare in maniera dettagliata, quelle di supporto aiutano ad applicare quelle di livello superiore. Nell’immagine si vedono le attività della fidatezza e anche il ciclo di vita di un qualsiasi prodotto. Vediamo che c’è un’interazione continua tra le attività progettuali e quelle di fidatezza (come viene definito un qualunque sistema): quindi l’ideazione (ricerca di sviluppo), l’attività di fidatezza corrispondente sta nel definire dei requisiti RAMS e la creazione di un piano di fidatezza per l’intero ciclo di vita del dispositivo (ogni dispositivo si pensa per il suo intero ciclo di vita). In questo modo si ha uno scambio continuo tra i requisiti e il vedere se sono compatibili col costo. Si scende poi di livello: lo sviluppo e le scelte progettuali che si collega alla creazione di prototipi e quindi si iniziano a fare analisi e previsione di fidatezza e affidabilità, l’assegnazione degli obiettivi di fidatezza ai vari sottosistemi (individuo i componenti più critici) e poi si assegnano le risorse ed i tempi: nei componenti tecnici ed elettronici la parte più critica è l’alimentazione, perché senza di quella non funziona nulla è quello su cui è sicuramente importante investire, anche con la ridondanza delle sorgenti alimentanti). Si va quindi poi alla realizzazione e all’analisi dei dati prestazionali, anche con verifiche sperimentali, non solo sulla carta: importantissimi sono in questa fase i dati da campo, i feedback perché permettono il miglioramento continuo (sia di prodotti che di servizi). Questo miglioramento porta all’aggiornamento continuo ciclo di vita infinito fino alla dismissione, da trattare ugualmente attentamente con i parametri RAMS. Il ciclo di vita del prodotto termina solo al momento della dismissione, fino a quello l’interazione è ciclica. Alla fine, si fa una sintesi dei dati di campo e questi si archiviano per usi futuri entrano a far parte del know-how aziendale, rappresentano la base per i miglioramenti futuri.

NB: gli esempi nelle norme, tipo quello alla slide 27, non sono mai molto esaustivi. In questa immagine si vede un’altra caratteristica, la SUPPORTABILITY, anche conosciuta come Integrated Logistic Support (ILS) che è il processo di gestione e tecnico con cui le considerazioni di supporto logistico sono integrate nel design lungo tutto il ciclo di vita del prodotto. L’ILS garantisce che tutti gli elementi del supporto logistico sono pianificati, acquisiti, testati e procurati in tempo e in maniera efficiente dal punto di vista dei costi così che il sistema duri di più nel tempo e richieda meno supporto, riducendo anche i costi nel tempo.