Appunti System reliability, dependability and safety (parte 1, in italiano)

Affidabilità, fidatezza e sicurezza dei sistemi

Per studiare i dati di affidabilità di un sistema ci possiamo concentrare sui parametri RAMS, Reliability, Availability, Maintainability, Safety, questi sono legati fra loro e sono importanti da studiare poiché descrivono qualsiasi sistema, e perché servono per garantire al cliente la vita utile del prodotto attraverso l’analisi dei parametri di guasto.

Design for Reliability (DfR)

Lo studio dei parametri RAMS è importante perché serve a garantire un Design for Reliability (DfR) che si concretizza quindi in:

• Riduzione dei tempi di miglioramento del prodotto, perché permette di agire sul problema in fase di ricerca e sviluppo/prototipazione; l’importante è che non venga fuori un difetto quando il prodotto è già sulla linea di produzione.
• Comparazione di più soluzioni possibili, eseguendo analisi costi/benefici.
• Validazione delle scelte di progetto.
• Raggiungimento dei target di affidabilità, cioè rispettare la vita utile del prodotto dichiarata.
• Garanzia di disponibilità di sicurezza.

Step del DfR

Il DfR si suddivide nei seguenti step:

Step 1: conoscere i parametri di affidabilità.

Step 2: usare correttamente i componenti adeguati. Si relazionano le parti del sistema in base alla funzione che devo realizzare e si individuano i componenti su cui posso fare derating, cioè l’eventuale sottoutilizzo rispetto alle condizioni di funzionamento nominale di un componente per aumentarne la vita utile.

Step 3: usare tecniche di progettazione appropriate.

• Semplificazione del progetto: semplificare dove possibile; avere più componenti significa avere una maggiore probabilità di guasto; quindi, più possibilità che il sistema fallisca.
• Ridondanza: in contrasto con la semplificazione, consiste nell’utilizzare componenti ridondanti, cioè più componenti del necessario. Ad esempio, mettendo più componenti con la stessa funzione in parallelo, se uno si guasta, il sistema non si ferma perché rimangono gli altri.
• Tecniche di protezione: utilizzo dell’analisi del rischio, attraverso la valutazione del rischio si individuano i componenti più deboli.

Step 4: progettare per minimizzare gli effetti dell’ambiente esterno, quando si pensa un prodotto è importantissimo pensare anche alla sua interazione con l’ambiente e con chi lo usa. Quindi si dovrà calcolare l’affidabilità dell’essere umano (non banale) e dei fattori di software (sempre presenti in un sistema complesso) spesso provenienti dal campo, ad esempio i bug delle applicazioni quando vanno ad interfacciarsi con i sistemi operativi dei dispositivi in cui sono installate.

I fattori esterni possono essere, ad esempio, temperatura, rumore, vibrazioni, umidità. È necessario considerare questi aspetti già in fase di progettazione.

• Ambientali: bisogna considerare anche il campo di applicazione; in condizioni diverse si hanno diversi tipi di sollecitazioni (ad esempio meccaniche o termiche), quindi diversi tipi di guasto.
• Fattori umani: dove c’è interazione uomo-macchina possono verificarsi errori umani.

Step 5: evitare i guasti attraverso una manutenzione programmata.

Perché la manutenzione è importante? Per evitare perdite di disponibilità e di tempo. È necessario pianificare una manutenzione periodica (preventiva) per evitare guasti. In alternativa si può intervenire con la riparazione dopo il guasto, ma in questo caso si perde tempo, cioè il sistema si ferma, questo tipo di manutenzione va evitato.

Step 6: ognuno di questi step si conclude con una revisione di ciò che è stato prodotto. Alla fine di tutto ci chiediamo se gli obiettivi di affidabilità sono stati raggiunti e se la risposta è positiva si procede alla fase di prototipazione e poi produzione, se è negativa si ripetono ciclicamente gli step finché non si raggiunge il prodotto ideale.

Il prodotto ideale non esiste, si tende a quello ma è irraggiungibile.

Gli obiettivi di affidabilità si stabiliscono a partire dalla mission profile, ovvero prima è necessario comprendere quale sarà la funzione che il mio sistema andrà a compiere. In base a questo, si definisce il ciclo di vita del sistema e quindi si capisce quale sarà la durata dei componenti a cui devo puntare. Ad esempio, la garanzia: l’azienda mi garantisce che il dispositivo deve funzionare bene 2 anni.

Costo della progettazione per l’affidabilità

Questo rappresenta il costo della non affidabilità. Se si individuano problemi nella fase di progettazione, è meglio ed è meno costoso rispetto a trovarli nelle fasi successive.

Ridurre i costi migliorando la qualità.

Esempi

Il 99.4% è un buon valore? È un valore alto o basso di affidabilità?

• Manca un’informazione fondamentale, cioè il tempo. L’affidabilità non è un valore fisso, ma è una funzione del tempo () = 99,4%.
• Quindi dipende da t se il valore di affidabilità è alto o basso. L’affidabilità deve essere valutata in uno specifico intervallo di tempo.
• Il tempo dipende dal caso specifico, l’intervallo temporale considerato varia in base al contesto.

Un altro aspetto importante da considerare è il ciclo di vita. Un aereo, ad esempio, ha una vita molto più lunga rispetto a un’auto, e questo deve essere preso in considerazione.

Termini e definizioni

Qualità

Qualità: grado in cui un insieme di caratteristiche intrinseche soddisfa i requisiti.

Caratteristica (feature), è un elemento distintivo di un’entità, le caratteristiche possono essere fisiche (meccaniche, elettriche, etc.), funzionali o temporali.

In queste caratteristiche intrinseche ci sono anche i parametri RAMS, che sono di tipo temporali.

Nel suo ciclo di vita ogni prodotto (inteso come servizio, sistema, impianto) deve avere le seguenti caratteristiche:

• Possedere la capacità tecnica di svolgere ciò che è richiesto: l’entità è caratterizzata da determinate prestazioni.
• Mantenere nel tempo la propria capacità tecnica (in uno specifico intervallo temporale): la capacità tecnica vincolata al tempo introduce il concetto di affidabilità.
• Essere disponibile all’uso quando la sua funzione è richiesta: si introduce il concetto di ripristino e quindi di manutenibilità e disponibilità.

Le caratteristiche sono poi tradotte in prestazioni misurabili:

• Conformità: rispondenza dei parametri funzionali (prestazioni) ai valori prestabiliti (specifiche). La conformità è definita e misurabile attraverso parametri deterministici: valore nominale e tolleranza, numero di difetti etc.
• Affidabilità: attitudine di un’entità a svolgere la funzione richiesta in condizioni date (l’ambiente per cui è stata definita, si tratta di un range) per un dato intervallo di tempo. È definita tramite modelli matematici (legge fondamentale dell’affidabilità) ed è misurabile/stimabile attraverso parametri statistici (MTTF, MTBF, etc.). Ovviamente non è possibile garantire affidabilità 100% per n anni: ciascun produttore mette in conto che una certa percentuale di prodotti uscirà non conforme e per questo motivo si mette in atto il controllo qualità.
• Manutenibilità: attitudine di un’entità ad essere manutenuta o riportata in uno stato nel quale può svolgere la funzione richiesta. Entra in gioco la possibilità di riparare un oggetto quindi in fase di progettazione è necessario pensare anche a come possa essere riportato un oggetto, non solo come costruirlo. Più un componente è critico più è importante disegnarlo scalabile, così che possa essere sostituito un componente in modo semplice e veloce; questa importanza aumenta anche con la dimensione dell’entità perché più componenti si hanno più sarà facile che alcuni si rompano e meno sarà possibile trasportarla dal tecnico (si devono poter fare riparazioni in loco). È definita tramite modelli matematici ed è misurabile/stimabile attraverso parametri statistici (MTTR, MDT, etc.).
• Disponibilità: attitudine di un’entità ad essere in grado di svolgere la funzione richiesta, in determinate condizioni, supponendo che siano assicurati i mezzi esterni eventualmente necessari. È un’estensione del concetto di affidabilità che la lega alla manutenibilità: i mezzi esterni rendono il sistema disponibile anche quando si presenta un guasto. È definita tramite modelli matematici ed è misurabile/stimabile attraverso la combinazione di parametri statistici (MTTF, MTBF, MTTR).
• Sicurezza: assenza di rischi inaccettabili. Si misura con un parametro chiamato Safety Integrity Level (SIL) che ha delle sfumature a seconda dell’ambito di applicazione. Safety e security: sono due cose diverse, la prima è la protezione da eventi indesiderati che avvengono in maniera casuale, la seconda invece è la protezione da eventi dannosi volontari (es: attacco hacker).

Definizioni

• Elemento (Item): ogni parte, componente, dispositivo, sottosistema, unità funzionale, apparecchiatura o sistema che può essere considerato individualmente.
• Guasto (Failure): cessazione della capacità di un’entità di svolgere la funzione richiesta. Il guasto può essere classificato in base a modalità, causa, effetto e meccanismo.
• Tempo al guasto (TTF – Time to Failure): durata totale del tempo di funzionamento di un’entità, dal momento in cui entra per la prima volta in uno stato disponibile fino al guasto, oppure dal momento in cui viene ripristinata fino al guasto successivo.
• Tempo medio al guasto (MTTF – Mean Time to Failure): valore atteso del tempo al guasto.
• Tempo di funzionamento tra guasti: durata complessiva del tempo operativo tra due guasti consecutivi di un’entità riparabile.
• Tempo medio di funzionamento tra guasti (MTBF – Mean Time Between Failures): valore atteso del tempo di funzionamento tra guasti.
• Tempo di ripristino (Time to Recovery): intervallo di tempo durante il quale l’entità si trova in uno stato non disponibile a causa di un guasto.
• Tempo medio di ripristino (MTTR – Mean Time to Recovery): valore atteso del tempo necessario per il ripristino.

MTTR sta per Mean Time To Recovery ma anche per Mean Time To Repair e sono due tempi diversi: il primo è il ripristino complessivo, da quando il dispositivo ha presentato un guasto fino a quando il dispositivo è nuovamente operativo, dentro si ha il secondo con cui si intende solo il tempo di riparazione effettivo; nel ripristino quindi si ha in più il tempo di individuazione del guasto e di approvvigionamento delle scorte è un tempo più lungo, il dispositivo perde in disponibilità.

Rischio: è la combinazione di due elementi cioè la probabilità di accadimento di un certo evento e la gravità del danno che comporta il verificarsi di questo evento.

Guasto: quando cessa l’attitudine del dispositivo (prodotto) ad eseguire la funzione richiesta. È in qualche modo oggettivo: non si accende/spegne.

Conformità: rispondenza dei parametri funzionali di un prodotto ai valori prestabiliti (specifiche). Questa rispondenza non è binaria, ma rientra in un range; questo range deve essere definito in fase di progettazione, quando vado anche a testare un componente per capire se rientra nei limiti di specifica.

I valori non sono mai precisi su quello nominale, ma oscillano: queste oscillazioni sono accettabili in un range di tolleranza (legato ad un’incertezza di misura). Anche nel “non Accettabile” i pezzi non sono tutti uguali, prima di attivare al guasto catastrofico si ha un fuori specifica” che serve proprio a prevenire la rottura del componente non si definisce mai una regione di accettabilità troppo stringente per evitare di arrivare troppo velocemente al guasto catastrofico (è un margine di sicurezza).

Valore nominale: valore obiettivo della caratteristica di un prodotto rispetto al quale sono ammesse deviazioni nei limiti di un determinato intervallo di tolleranza.

Tolleranza: differenza tra limite superiore (USL) e quello inferiore (LSL).

Nell’immagine si vede che quando si considera l’incertezza della misura ne deriva un intervallo di ambiguità tra la conformità o meno del pezzo. Questo si può trattare con un’accettabilità più stringente o più lasca e questo è deciso con un accordo tra le parti. Ovviamente l’accettabilità stringente ha un costo maggiore si deve valutare per quali componenti vale la pena sostenere questo costo, di solito si fa per quelli Safety Critical.

Dependability – fidatezza

La fidatezza è l’attitudine a erogare le prestazioni come e quando richiesto. In questa frase si riassumono tutti i concetti visti finora: lega l’affidabilità e la disponibilità. La fidatezza comprende la disponibilità, l’affidabilità, la manutenibilità e il supporto di manutenzione (RAMS) e, in alcuni casi, altre caratteristiche quali la durabilità, la sicurezza e la protezione. Io voglio che il mio sistema eroghi le prestazioni nel tempo, ma voglio che le esegua anche quando voglio, quindi il concetto legato alla disponibilità, la fidatezza riassume tutto questo.

3 aree principali:

Se si parla di dependability allora si parla anche di:

• Impedimenti nell’esecuzione della funzione. Il fault è l’avaria quindi un guasto a un componente, un errore è lo stato non corretto di un sistema (un sistema formato da più parti prevede che il sistema assuma più stati, non è un banale on-off ma magari sono previsti stati intermedi errati che si possono risolvere con un riavvio). Il Timer Watchdog è un metodo tramite il quale il sistema viene riavviato senza che l’utente se ne accorga.

Gli impedimenti, threats, sono avvenimenti che non garantiscono la fidatezza.

• I mezzi per validare la fidatezza: fault prevention (quello che prima si era chiamato derating) cioè invece che correggere si tende a non arrivare mai ai valori limiti di specifica, ogni componente (meccanico o elettrico) ha range di funzionamento e chiaramente si cerca di non stare mai sui limiti ma si sovradimensiona così da rientrare nelle bande di tolleranza, questo, vedremo, permette di allungarne la vita. La fault tolerance sono sistemi che consentono di fornire il servizio anche in caso di guasto, si ottiene tramite la ridondanza nella progettazione, ma non si può ridondare su tutto a causa degli ingombri dell’oggetto finale. Le parti più critiche vengono fuori con analisi dei parametri RAMS e sono quelli con il MTTF più bassi o il tasso di guasto più elevato, meglio allora concentrarsi su quei componenti ma di nuovo si va incontro a problemi di ingombro, miniaturizzazione di elettronica, peso dei materiali ecc. Eventualmente si ha anche la parte di Fault Forecasting ovvero le previsioni dei guasti e si possono usare metodi di reti neurali o IA, tramite l’analisi dello stato di salute si può capire quanto rimane della vita utile del componente (ma sono metodi molto complessi). Per esempio, le batterie al Litio, quanto rimane a esse di vita utile dopo N cicli di carica-scarica? In questo modo non aspetti il guasto ma lo anticipi.

Struttura della norma IEC/CT56

La struttura della norma IEC/CT56 è:

Ci sono le norme di processo, ovvero qualcosa di più dettagliato, le norme di supporto vanno a dettagliare alcune attività. Nella parte finale delle norme ci sono i riferimenti bibliografici e noti che le norme si citano a vicenda. Tramite le norme inferiori sei in grado di applicare in maniera dettagliata, quelle di supporto aiutano ad applicare quelle di livello superiore.

Nelle immagini si vedono le attività della fidatezza e anche il ciclo di vita di un qualsiasi prodotto.

Vediamo che c’è un’interazione continua tra le attività progettuali e quelle di fidatezza (come viene definito un qualunque sistema): quindi l’ideazione (ricerca di sviluppo), l’attività di fidatezza corrispondente sta nel definire dei requisiti RAMS e la creazione di un piano di fidatezza per l’intero ciclo di vita del dispositivo (ogni dispositivo si pensa per il suo intero ciclo di vita). In questo modo si ha uno scambio continuo tra i requisiti e il vedere se sono compatibili col costo. Si scende poi di livello: lo sviluppo e le scelte progettuali che si collega alla creazione di prototipi e quindi si iniziano a fare analisi e previsione di fidatezza e affidabilità, l’assegnazione degli obiettivi di fidatezza ai vari sottosistemi (individuo i componenti più critici) e poi si assegnano le risorse ed i tempi: nei componenti tecnici ed elettronici la parte più critica è l’alimentazione, perché senza quella non funziona nulla è quello su cui è sicuramente importante investire, anche con la ridondanza delle sorgenti alimentanti. Si va quindi poi alla realizzazione e all’analisi dei dati prestazionali, anche con verifiche sperimentali, non solo sulla carta: importantissimi sono in questa fase i dati da campo, i feedback perché permettono il miglioramento continuo (sia di prodotti che di servizi). Questo miglioramento porta all’