Appunti System reliability, dependability and safety (parte 1, in italiano)

A"idabilità, fidatezza e sicurezza dei sistemi

Per studiare i dati di a+idabilità di un sistema ci possiamo concentrare sui parametri RAMS,

Reliability, Availability, Maintanability, Safety, questi sono legati fra loro e sono importanti da

studiare poiché descrivono qualsiasi sistema, e perché servono per garantire al cliente la vita

utile del prodotto attraverso l’analisi dei parametri di guasto.

Design for Reliability (DfR)

Lo studio dei parametri RAMS è importante perché serve a garantire un Design for Reliability

(DfR) che si concretizza quindi in:

- Riduzione dei tempi di miglioramento del prodotto, perché permette di agire sul

problema in fase di ricerca e sviluppo/prototipazione; l’importante è che non venga

fuori un difetto quando il prodotto è già sulla linea di produzione.

- Comparazione di più soluzioni possibili, eseguendo analisi costi/benefici.

- Validazione delle scelte di progetto.

- Raggiungimento dei target di a+idabilità, cioè rispettare la vita utile del prodotto

dichiarata.

- Garanzia di disponibilità di sicurezza.

Il DfR si suddivide nei seguenti step:

Step 1 conoscere i parametri di a+idabilità

à

Step 2 usare correttamente i componenti adeguati. si relazionano le parti del sistema in

à

base alla funzione che devo realizzare e si individuano i componenti su cui posso fare

derating, cioè l’eventuale sottoutilizzo rispetto alle condizioni di funzionamento nominale di

un componente per aumentarne la vita utile.

Step 3 usare di tecniche di progettazione appropriate.

à

- Semplificazione del progetto: semplificare dove possibile; avere più componenti

significa avere una maggiore probabilità di guasto; quindi, più possibilità che il sistema

fallisca.

- Ridondanza: in contrasto con la semplificazione, consiste nell’utilizzare componenti

ridondanti, cioè più componenti del necessario. Ad esempio, mettendo più

componenti con la stessa funzione in parallelo, se uno si guasta, il sistema non si

ferma perché rimangono gli altri.

- Tecniche di protezione: utilizzo dell’analisi del rischio, attraverso la valutazione del

rischio si individuano i componenti più deboli.

Step 4 progettare per minimizzare gli e+etti dell’ambiente esterno, quando si pensa un

à

prodotto è importantissimo pensare anche alla sua interazione con l’ambiente e con chi lo

uso. Quindi si dovrà calcolare l’a+idabilità dell’essere umano (non banale) e dei fattori di

software (sempre presenti in un sistema complesso) spesso provenienti dal campo, ad

esempio i bug delle applicazioni quando vanno ad interfacciarsi con i sistemi operativi dei

dispositivi in cui sono installate.

I fattori esterni possono essere, ad esempio, temperatura, rumore, vibrazioni, umidità. È

necessario considerare questi aspetti già in fase di progettazione.

- Ambientali: bisogna considerare anche il campo di applicazione; in condizioni diversi

si hanno diversi tipi di sollecitazioni (ad esempio meccaniche o termiche), quindi

diversi tipi di guasto.

- Fattori umani: dove c’è interazione uomo-macchina possono verificarsi errori umani.

Step 5 evitare i guasti attraverso una manutenzione programmata.

à

Perché la manutenzione è importante? Per evitare perdite di disponibilità e di tempo. È

necessario pianificare una manutenzione periodica (preventiva) per evitare guasti. In

alternativa si può intervenire con la riparazione dopo il guasto, ma in questo caso si perde

tempo, cioè il sistema si ferma, questo tipo di manutenzione va evitato.

Step 6 ognuno di questi step si conclude con una revisione di ciò che è stato prodotto.

à Alla fine di tutto ci chiediamo se gli obiettivi di

a+idabilità sono stati raggiunti e se la risposta

è positiva si procede alla fase di

prototipazione e poi produzione, se è negativa

si ripetono ciclicamente gli step finché non si

raggiunge il prodotto ideale.

Il prodotto ideale non esiste, si tende a quello

ma è irraggiungibile.

Gli obiettivi di a+idabilità si stabiliscono a

partire dalla mission profile, ovvero prima è

necessario comprendere quale sarà la

funzione che il mio sistema andrà a compiere.

In base a questo, si definisce il ciclo di vita del

sistema e quindi si capisce quale sarà la

durata dei componenti a cui devo puntare. Ad

esempio, la garanzia: l’azienda mi garantisce

che il dispositivo deve funzionare bene 2 anni.

Costo della progettazione per

l’aAidabilità

Questo rappresenta il costo della non

a+idabilità. Se si individuano problemi

nella fase di progettazione, è meglio ed è

meno costoso rispetto a trovarli nelle fasi

successive.

ridurre i costi migliorando la qualità

à

Esempi

Il 99.4% è un buon valore? È un valore alto o basso di a+idabilità?

- Manca un’informazione fondamentale, cioè il tempo. L’a+idabilità non è un valore

() = 99,4%.

fisso, ma è una funzione del tempo

- Quindi dipende da t se il valore di a+idabilità è alto o basso. L’a+idabilità deve essere

valutata in uno specifico intervallo di tempo.

- Il tempo dipende dal caso specifico, l’intervallo temporale considerato varia in base al

contesto.

Un altro aspetto importante da considerare è il ciclo di vita. Un aereo, ad esempio, ha una vita

molto più lunga rispetto a un’auto, e questo deve essere preso in considerazione.

Termini e definizioni

Qualità

Qualità: grado in cui un insieme di caratteristiche intrinseche soddisfa i requisiti.

Caratteristica (feature), è un elemento distintivo di un’entità, le caratteristiche possono

essere fisiche (meccaniche, elettriche, etc.), funzionali o temporali.

In queste caratteristiche intrinseche ci sono anche i parametri RAMS, che sono di tipo

temporali.

Nel suo ciclo di vita ogni prodotto (inteso come servizio, sistema, impianto) deve avere le

seguenti caratteristiche:

- Possedere la capacità tecnica di svolgere ciò che è richiesto l’entità è caratterizzata

à

da determinate prestazioni.

- Mantenere nel tempo la propria capacità tecnica (in uno specifico intervallo

temporale) la capacità tecnica vincolata al tempo introduce il concetto di

à

a+idabilità.

- Essere disponibile all’uso quando la sua funzione è richiesta si introduce il concetto

à

di ripristino e quindi di manutenibilità e disponibilità.

Le caratteristiche sono poi tradotte in prestazioni misurabili:

- Conformità: rispondenza dei parametri funzionali (prestazioni) ai valori prestabiliti

(specifiche). La conformità è definita e misurabile attraverso parametri deterministici:

valore nominale e tolleranza, numero di difetti etc.

- AAidabilità: attitudine di un’entità a svolgere la funzione richiesta in condizioni date

(l’ambiente per cui è stata definita, si tratta di un range) per un dato intervallo di tempo.

È definita tramite modelli matematici (legge fondamentale dell’a+idabilità) ed è

misurabile/stimabile attraverso parametri statistici (MTTF, MTBF, etc.). Ovviamente non

è possibile garantire a+idabilità 100% per n anni: ciascun produttore mette in conto

che una certa percentuale di prodotti uscirà non conforme e per questo motivo si

mette in atto il controllo qualità.

- Manutenibilità: attitudine di un’entità ad essere manutenuta o riportata in uno stato

nel quale può svolgere la funzione richiesta. Entra in gioco la possibilità di riparare un

oggetto quindi in fase di progettazione è necessario pensare anche a come possa

essere riportato un oggetto, non solo come costruirlo. Più un componente è critico più

è importante disegnarlo scalabile, così che possa essere sostituito un componente in

modo semplice e veloce; questa importanza aumenta anche con la dimensione

dell’entità perché più componenti si hanno più sarà facile che alcuni si rompano e

meno sarà possibile trasportarla dal tecnico (si devono poter fare riparazioni in loco). È

definita tramite modelli matematici ed è misurabile/stimabile attraverso parametri

statistici (MTTR, MDT, etc.).

- Disponibilità: attitudine di un’entità ad essere in grado di svolgere la funzione

richiesta, in determinate condizioni, supponendo che siano assicurati i mezzi sterni

eventualmente necessari. È un’estensione del concetto di a+idabilità che la lega alla

manutenibilità: i mezzi esterni rendono il sistema disponibile anche quando si

presenta un guasto. È definita tramite modelli matematici ed è misurabile/stimabile

attraverso la combinazione di parametri statistici (MTTF, MTBF, MTTR).

- Sicurezza: assenza di rischi inaccettabili. Si misura con un parametro chiamato Safety

Integrity Level (SIL) che ha delle sfumature a seconda dell’ambito di applicazione.

Safety e security: sono due cose diverse, la prima è la protezione da eventi

indesiderati che avvengono in maniera casuale, la seconda invece è la protezione da

eventi dannosi volontari (es: attacco hacker).

Definizioni

- Elemento (Item) ogni parte, componente, dispositivo, sottosistema, unità

à

funzionale, apparecchiatura o sistema che può essere considerato individualmente.

- Guasto (Failure) cessazione della capacità di un’entità di svolgere la funzione

à

richiesta. Il guasto può essere classificato in base a modalità, causa, e+etto e

meccanismo.

- Tempo al guasto (TTF – Time to Failure) durata totale del tempo di funzionamento

à

di un’entità, dal momento in cui entra per la prima volta in uno stato disponibile fino al

guasto, oppure dal momento in cui viene ripristinata fino al guasto successivo.

- Tempo medio al guasto (MTTF – Mean Time to Failure) valore atteso del tempo al

à

guasto.

- Tempo di funzionamento tra guasti durata complessiva del tempo operativo tra

à

due guasti consecutivi di un’entità riparabile.

- Tempo medio di funzionamento tra guasti (MTBF – Mean Time Between Failures) à

valore atteso del tempo di funzionamento tra guasti.

- Tempo di ripristino (Time to Recovery) intervallo di tempo durante il quale l’entità

à

si trova in uno stato non disponibile a causa di un guasto.

- Tempo medio di ripristino (MTTR – Mean Time to Recovery) valore atteso del

à

tempo necessario per il ripristino.

MTTR sta per Mean Time To Recovery ma anche per Mean Time To Repair e sono due tempi

diversi: il primo è il ripristino complessivo, da quando il dispositivo ha presentato un guasto

fino a quando il dispositivo è nuovamente operativo, dentro si ha il secondo con cui si intende

solo il tempo di riparazione e+ettivo; nel ripristino quindi si ha in più il tempo di individuazione

del guasto e di approvvigionamento delle scorte è un tempo più lungo, il dispositivo perde

à

in disponibilità.

Rischio: è la combinazione di due elementi cioè la probabilità di accadimento di un certo

evento e la gravità del danno che comporta l verificarsi di questo evento.

Guasto: quando cessa l’attitudine del dispositivo (prodotto) ad eseguire la funzione richiesta.

È in qualche modo oggettivo: non si accende/spenge.

Conformità: rispondenza dei parametri funzionali di un prodotto ai valori prestabiliti

(specifiche). Questa rispondenza non è binaria, ma rientra in un range; questo range deve

essere definito in fase di progettazione, quando vado anche a testare un componente per

capire se rientra nei limiti di specifica.

I valori non sono mai precisi su quello nominale, ma oscillano: queste oscillazioni sono

accettabili in un range di tolleranza (legato ad un’incertezza di misura). Anche nel “non

Accettabile” i pezzi non sono tutti uguali, prima di attivare al guasto catastrofico si ha un fuori

specifica” che serve proprio a prevenire la rottura del componente non si definisce mai una

à

regione di accettabilità troppo stringente per evitare di arrivare troppo velocemente al guasto

catastrofico (è un margine di sicurezza).

Valore nominale: valore obiettivo della caratteristica di un prodotto rispetto al quale sono

ammesse deviazioni nei limiti di un determinato intervallo di tolleranza

Tolleranza: di+erenza tra limite superiore (USL) e quello inferiore (LSL).

Nell’immagine si vede che quando si considera l’incertezza della misura ne deriva un

intervallo di ambiguità tra la conformità o meno del pezzo. Questo si può trattare con

un’accettabilità più stringente o più lasca e questo è deciso con un accordo tra le parti.

Ovviamente l’accettabilità stringente ha un costo maggiore si deve valutare per quali

à

componenti vale la pena sostenere questo costo, di solito si fa per quelli Safety Critical.

Dependability – Fidatezza

La fidatezza è l’attitudine a erogare le prestazioni come e quando richiesto. In questa frase si

riassume tutti i concetti visti finora: lega l’a+idabilità e la disponibilità. La fidatezza

comprende la disponibilità, l’a+idabilità, la manutenibilità e il supporto di manutenzione

(RAMS) e, in alcuni casi, altre caratteristiche quali la durabilità, la sicurezza e la protezione. Io

voglio che il mio sistema eroghi le prestazioni nel tempo, ma voglio che le esegua anche

quando voglio, quindi il concetto legato alla disponibilità, la fidatezza riassume tutto questo.

3 aree principali:

Se si parla di dependability allora si parla anche di:

- Impedimenti nell’esecuzione della funzione. Il fault è l’avaria quindi un guasto a un

componente, un errore è lo stato non corretto di un sistema (un sistema formato da

più parti prevede che il sistema assuma più stati, non è un banale on-o+ ma magari

sono previsti stati intermedi errati che si possono risolvere con un riavvio). Il Timer

Watchdog è un metodo tramite il quale il sistema viene riavviato senza che l’utente se

ne accorga.

Gli impedimenti, threats, sono avvenimenti che non garantiscono la fidatezza.

- I mezzi per validare la fidatezza: fault prevention (quello che prima si era chiamati

derating) cioè invece che correggere si tende a non arrivare mai ai valori limiti di

specifica, ogni componente (meccanico o elettrico) ha range di funzionamento e

chiaramente si cerca di non stare mai sui limiti ma si sovradimensiona così da

rientrare nelle bande di tolleranza, questo, vedremo, permette di allungarne la vita. La

fault tolerance sono sistemi che consentono di fornire il servizio anche in caso di

guasto, si ottiene tramite la ridondanza nella progettazione, ma non si può ridondare

su tutto a causa degli ingombri dell’oggetto finale. Le parti più critiche vengono fuori

con analisi dei parametri RAMS e sono quelli con il MTTF più bassi o il tasso di guasto

più elevato, meglio allora concentrarsi su quei componenti ma di nuovo si va incontro

a problemi di ingombro, miniaturizzazione di elettronica, peso dei materiali ecc.

Eventualmente si ha anche la parte di Fault Forecasting ovvero le previsioni dei guasti

e si possono usare metodi di reti neurali o IA, tramite l’analisi dello stato di salute si

può capire quanto rimane della vita utile del componente (ma sono metodi molto

complessi). Per esempio, le batterie al Litio, quanto rimane a esse di vita utile dopo N

cicli di carica-scarica? In questo modo non aspetti il guasto ma lo anticipi.

La struttura della norma IEC/CT56 è:

Ci sono le norme di processo, ovvero qualcosa di più dettagliato, le norme di supporto vanno

a dettagliare alcune attività. Nella parte finale delle norme ci sono i riferimenti bibliografici e

noti che le norme si citano a vicenda. Tramite le norme inferiori sei in grado di applicare in

maniera dettagliata, quelle di supporto aiutano ad applicare quelle di livello superiore.

Nelle immagini si vedono le attività della fidatezza e anche il ciclo di vita di un qualsiasi

prodotto.

Vediamo che c’è un’interazione continua tra le attività progettuali e quelle di fidatezza (come

viene definito un qualunque sistema): quindi l’ideazione (ricerca di sviluppo), l’attività di

fidatezza corrispondente sta nel definire dei requisiti RAMS e la creazione di un piano di

fidatezza per l’intero ciclo di vita del dispositivo (ogni dispositivo si pensa per il suo intero

ciclo di vita). In questo modo si ha uno scambio continuo tra i requisiti e il vedere se sono

compatibili col costo. Si scende poi di livello: lo sviluppo e le scelte progettuali che si collega

alla creazione di prototipi e quindi si iniziano a fare analisi e previsione di fidatezza e

a+idabilità, l’assegnazione degli obiettivi di fidatezza ai vari sottosistemi (individuo i

componenti più critici) e poi si assegnano le risorse ed i tempi: nei componenti tecnici ed

elettronici la parte più critica è l’alimentazione, perché senza quella non funziona nulla è

à

quello su cui è sicuramente importante investire, anche con la ridondanza delle sorgenti

alimentanti. Si va quindi poi alla realizzazione e all’analisi dei dati prestazionali, anche con

verifiche sperimentali, non solo sulla carta: importantissimi sono in questa fase i dati da

campo, i feedback perché permettono il miglioramento continuo (sia di prodotti che di

servizi). Questo miglioramento porta all&rsqu