Appunti System reliability, dependability and safety (parte 2, in italiano)

Warm

Warm → gli elementi ridondanti sono sottoposti a un carico ridotto finché uno degli elementi in funzione non si guasta:

• È presente una condivisione del carico (load sharing)
• Il tasso di guasto nello stato di riserva è inferiore rispetto a quello in funzionamento

L’affidabilità del sistema è data da:

E anche:

MTTF: ()

Confronto di diverse configurazioni

L’unità in standby presenta un’affidabilità più elevata rispetto alle altre configurazioni, perché ovviamente hanno degrado minore. La ridondanza attiva rimane utile quando non posso distinguere i funzionamenti tra main unit e quella ridondata, ad esempio questo accade nei motori degli aerei.

Struttura a ponte

È una struttura con un elemento centrale che collega gli altri e fa diventare la struttura non più né a parallelo né in serie.

Si considera per semplicità il caso in cui il flusso di informazioni sia monodirezionale, da sinistra a destra, ma volendo si può ipotizzare anche bidirezionale.

Esistono 4 metodi di risoluzione, che portano tutti alla stessa soluzione ma servono ad affrontare il problema da diversi punti di vista, in base anche alle informazioni che si hanno a disposizione:

• Metodo dello spazio degli eventi
• Metodo dei tagli
• Metodo delle unioni
• Metodo della probabilità condizionata (scomposizione)

Metodo dello spazio degli eventi

Prevede l’analisi della probabilità che gli elementi che compongono la struttura a ponte siano funzionanti; tipicamente si considerano gli eventi mutuamente esclusivi (disgiunti), quindi si elimina la possibilità di probabilità condizionate.

Per e considero un certo evento, caratterizzato dal fatto o meno che i 5 elementi che compongono il ponte siano funzionanti.

Ipotesi: se gli eventi sono mutuamente esclusivi o disgiunti:

' 1(N ) = ( ∪ ∪ ⋯ ∪ ) = ' $ % 1'2$ 1= ( ) + ( ) + ⋯ + ( ) = Q ( )$ % 1 ''2$

Lo spazio degli eventi è indicato nella tabella. Si hanno 2⁵=32 eventi, combinando il fatto che A, B, C, D, E possano essere funzionanti o meno ho la possibilità che l’intero sistema possa essere considerato funzionante.

Il sistema si considera funzionante quando l’informazione riesce a passare dall’ingresso all’uscita. Il primo caso in cui è funzionante è il caso che ha C e D funzionanti e A, B, E3 guasti: l’informazione va su D, poi su C e poi esce.

Costruendo la tabella si considerano le varie configurazioni e capire in quali casi il sistema è funzionante. L’affidabilità di sistema è data dalla sommatoria degli eventi che corrispondono ad un funzionamento, quelli che non danno un sistema funzionante non danno contributo.

Ad esempio, la probabilità di un certo evento sarà data dal fatto che A, B, E non sono funzionanti, quindi dalla loro inaffidabilità, e dall’affidabilità di quelli funzionanti; se inoltre considero tutti i e 5 gli elementi uguali posso semplificare la formula:

Ovviamente tutte le affidabilità sono calcolate ad un certo istante di tempo.

Questa formula si può scrivere diversa per ogni evento che porta alla configurazione a ponte funzionante. Considerando tutti gli elementi identici, l’affidabilità di sistema è data dalla somma di tutti:

Stesso discorso si può fare considerando l’inaffidabilità: si calcola facendo la sommatoria degli eventi segnati, cioè quelli che danno un sistema non funzionante.

' = 1 − / /

La criticità di questo metodo, quindi, è fare la tabella che dà le configurazioni funzionanti. 0 rappresenta un elemento in stato di guasto, 1 rappresenta un elemento che funziona correttamente. Combinando questi stati è possibile ottenere le diverse configurazioni.

Per valutare l’affidabilità del sistema, essa è data dalla somma di tutti i 15 eventi in cui il sistema è funzionante. Quando gli elementi C e D funzionano, la trasmissione del segnale/dati è possibile, anche considerando gli altri elementi. Considerando tutti questi eventi come indipendenti, è possibile ottenere il risultato come somma di tutti questi eventi. L’espressione di questa affidabilità è data da una configurazione in serie.

Si hanno sia prodotti delle affidabilità degli elementi funzionanti (C e D) sia prodotti delle inaffidabilità degli elementi che non funzionano (gli altri tre). La formula generale è quella riportata sotto, considerando tutti gli elementi identici e con lo stesso tasso di guasto.

Metodo delle unioni

Definizione di unione: insieme minimo di elementi del sistema che, quando funzionano, assicurano il funzionamento del sistema stesso.

Considerazioni:

• Gli elementi dell’unione sono tutti connessi in serie
• Le unioni sono funzionalmente connesse in parallelo
• Il numero di elementi che costituiscono un’unione individua l’ordine dell’unione
• In un sistema posso individuare più unioni, percorsi che uniscono l’ingresso con l’uscita
• Il sistema funziona quando si verifica almeno un’unione.

Sapendo che l’unione è data dal numero minimo di elementi funzionanti perché la configurazione funzioni, individuo le unioni della configurazione a ponte.

• U1: D e C
• U2: A, B, C
• U3: A, E

Semplificando sempre assumendo il tasso di guasto costante ed indipendente per tutti i componenti, ottengo che l’affidabilità è il prodotto dell’affidabilità dei singoli componenti:

Ricorda: tutta la probabilità è una combinazione!

Sto considerando il numero minimo di elementi che devono funzionare, ma devo considerare l’unione degli eventi. Si osserva che ogni unione è composta da elementi in serie, ma ogni unione è collegata in parallelo rispetto alle altre.

Se B è bidirezionale: abbiamo un’ulteriore unione che può garantire il funzionamento della struttura. In questo caso si ha un aumento dell’affidabilità rispetto al caso unidirezionale, l’aumento è dovuto al collegamento in parallelo.

Metodo dei tagli

Definizione di taglio: insieme di elementi del sistema che, quando falliscono, generano l’avaria del sistema stesso.

Considerazioni:

• Se tutti gli elementi del taglio generano l’avaria significa che questi sono collegati in parallelo.
• I tagli sono funzionalmente connessi in serie.
• Il numero di elementi che costituiscono il taglio individua l’ordine del taglio.
• Un sistema può avere più tagli.
• Se anche solo un evento di taglio si verifica, il sistema non funziona: il metodo dei tagli si basa sull’inaffidabilità di sistema, perché si ragiona sulla possibilità di guasto.

Elementi collegati in parallelo; cut-set collegati in serie. I cut-set in una struttura a ponte sono 4.

È un metodo piuttosto grafico: sapendo che gli elementi di taglio determinano il non funzionamento di tutto il sistema, guardando la configurazione si individuano i tagli possibili.

• T1: A e D (perché sono gli unici due ingressi del sistema)
• T2: A e C (esiste solo nella condizione in cui B è monodirezionale, perché altrimenti si potrebbe fare D-B-E)
• T3: C ed E (perché sono le uniche uscite del sistema)
• T4: B, D, E (non permette l’attraversamento della configurazione)

L’inaffidabilità di sistema è l’unione di tutti e quattro i tagli, considerando per ogni taglio le probabilità combinate.

Se considero i guasti indipendenti, si può semplificare qualcosa; considerando anche gli elementi identici, ogni taglio diventa il prodotto dell’inaffidabilità perciò alla fine ottengo:

(t = istante di tempo fissato)

Metodo della scomposizione

Si basa sul teorema della probabilità totale, e quindi sulle probabilità condizionate.

Consideriamo X l’elemento critico, l’affidabilità di sistema che corrisponde quindi all’affidabilità che il sistema funzioni, e l’inaffidabilità sono date da:

La probabilità S|B, cioè che il sistema sia funzionante quando B è funzionante, mi permette di rimuovere l’elemento B dallo schema RBD, perché so già come si comporta, è funzionante, lo disegno come un tratto, e di ottenere quindi due serie di due paralleli.

|V

Analogamente, la probabilità , cioè che il sistema funzioni dato B non funzionante, è come se fosse un circuito aperto, che mi dà il parallelo di due serie.

Si chiama metodo della scomposizione perché mi scompone la configurazione a ponte in due configurazioni equivalenti, a seconda che X funzioni o meno.

Noi vogliamo trovare l’affidabilità di sistema e per farlo si procede così: si dice che il sistema può essere funzionante se B è funzionante o se B non è funzionante. Nel primo caso, B, ottengo la serie di due paralleli quindi il sistema sarà funzionante se funziona almeno per un componente di ciascun parallelo. Nel secondo caso , ottengo il parallelo di due serie e di conseguenza il sistema sarà funzionante se funzionano entrambi i componenti di almeno una serie.

È un metodo molto semplice, intuitivo.

NB: quelli che creo in base al funzionamento del componente sono due diversi RBD dello stesso circuito, che si differenziano in base alle varie fasi di funzionamento, di B in questo caso.

L’affidabilità complessiva è ottenuta con le formule della serie e del parallelo assumendo tasso di guasto uguale e costante e sommando i due contributi:

(|V

Ovviamente S, (S|B) e ) hanno affidabilità diverse: P(S|B) va poi moltiplicato per P(|V P(V l’affidabilità di B, P(B), ed analogamente ) va moltiplicato per l’inaffidabilità di B, ) per dare P(S).

Analisi dei rischi

Idealmente si vorrebbe che qualsiasi sistema funzioni senza troppi intoppi per tutto il tempo che è stato previsto, nella realtà però i guasti si verificano inevitabilmente. Ciascun guasto comporta dei rischi: l’analisi dei rischi si concentra proprio sull’individuazione dei potenziali rischi in un sistema e dei loro potenziali effetti.

Il rischio è la combinazione di due fattori: la probabilità che si verifichi un guasto nel sistema, occorrenza del guasto, e una misura dell’impatto di tale guasto. Non tutti i guasti sono critici.

Un guasto è una situazione in cui il sistema non funziona correttamente. È necessario valutare quale tipo di guasto e quale comportamento si sta considerando in un determinato intervallo di tempo.

Il rischio considera due termini:

Rischio = Occorrenza × Severità (probabilità × impatto)

È importante definire correttamente tutte le condizioni operative in funzione dell’ambiente di esercizio.

La maggior parte degli incidenti più gravi dell’ultimo secolo si è verificata negli ultimi 30 anni:

• Bhopal (India): 15.000 morti, 200.000 feriti
• Incidenti nucleari a Three Mile Island, Chernobyl, Fukushima
• Apollo 13, Shuttle Challenger e Columbia, Ariane 5

Le nuove tecnologie creano un aumento del rischio? Sì. I rischi possono rappresentare sia un problema sia un’opportunità. Per le applicazioni spaziali si preferisce utilizzare tecnologie ben conosciute, in termini di valutazione del rischio, tipologia di guasti, ecc.

La gestione del rischio mira a individuare i rischi potenziali e le loro conseguenze e, se fatta nelle prime fasi di progettazione, si usa per trovare un modo di trattare ciò che emerge; si può eseguire anche nelle fasi successive; quindi, l’analisi dei rischi rappresenta sia uno strumento di prevenzione che di correzione, perché non sempre è possibile avere un’idea sin dall’inizio di tutto quello che potrebbe andare male. Il beneficio di questo tipo di analisi è ottenere sistemi sicuri, e questo si fa applicando le tecniche che vedremo nel dettaglio.

Analisi qualitativa, eseguita nelle fasi iniziali di progettazione:

• Aiuta a identificare i rischi potenziali e le loro possibili conseguenze
• Aiuta a scegliere misure adeguate a gestire i rischi

Benefici dell’analisi del rischio:

• Aiuta a garantire che il sistema sia sicuro
• Permette di introdurre modifiche più facilmente e con minori costi nelle fasi iniziali del progetto
• Consente di ridurre i tempi di progetto diminuendo il numero di imprevisti

Fasi dell’analisi:

• Identificazione dei rischi
• Determinazione delle cause e degli effetti dei rischi
• Determinazione della probabilità che un rischio provochi un incidente
• Scelta dei requisiti procedurali e di progetto per eliminare o controllare i rischi

Le aree soggette all’analisi dei rischi sono praticamente tutte: trasporto, prodotti, industria aerospaziale, settore medicale, sanità, infrastrutture critiche, cibo, progetti, settore economico/finanziario (investimenti).

Modello del formaggio Parmigiano

L’analisi dei rischi parte dal concetto base del “parmesan cheese” model, presentato dal filosofo J. Rearson nel 1990. C’è un pericolo, se metto una barriera solida non c’è più il pericolo. Se ci fosse ancora pericolo basterebbe mettere altre barriere. Questo non rappresenta la situazione reale, perché esistono molteplici pericoli, e può succedere che alcuni pericoli non vengano calcolati.

Inoltre, queste barriere non sono ideali e possono presentare uno o più guasti.

Nel mondo reale, infatti, si parla invece di modello del formaggio svizzero (Swiss Cheese model). La barriera non è solida, ma ha dei buchi che rappresentano i possibili fallimenti delle procedure, umani, guasti che non sono previsti, anche delle parti ridondate, etc.

Questo modello è molto semplice ma viene usato anche oggi.

Esempio

Modello del formaggio svizzero applicato al COVID → la prima barriera è il distanziamento fisico, ecc.

Se esiste una sola barriera e presenta dei “buchi”, il sistema fallisce. Se ogni barriera ha dei “buchi” ma le barriere sono molte, il sistema non fallisce.

Danno (harm)

Definizione: lesione fisica o danno alla salute delle persone, oppure danno alla proprietà o all’ambiente.

• Sicurezza (morte, lesioni, malattie)
• Ambiente (contaminazione)
• Costi (perdite economiche)
• Tempistiche (perdita di una missione, ritardi di progetto)

Questo richiama ciò che deve essere considerato durante la valutazione del rischio. Non bisogna considerare solo il sistema, ma anche questi tre aspetti: impatto sull’essere umano e, allo stesso tempo, interazione tra uomo, sistema e ambiente in cui il sistema/dispositivo viene utilizzato.

È necessario considerare anche i costi e le tempistiche.

Non si parla più solo di ambiente operativo: l’ambiente è il luogo in cui installiamo il sistema o in cui si verifica l’incidente.

Pericolo (hazard)

Definizione: una fonte di pericolo che può causare danno a un bene.

È una potenziale fonte di danno. Possiamo avere diversi tipi di pericoli:

• Pericoli meccanici (alta pressione, parti in movimento, ecc.)
• Pericoli legati ai materiali
• Pericoli termici
• Pericoli da esposizione a radiazioni
• Pericoli legati ai rumori
• Pericoli ambientali
• Pericoli organizzativi (errori umani)
• Sabotaggio
• Interazione tra pericoli.

La quantità di pericoli da analizzare dipende molto dall’applicazione che si sta considerando. La presenza di robot all’interno di una fabbrica, ad esempio, può rappresentare un problema, perché è necessario evitare determinate interazioni tra esseri umani e macchine, che potrebbero compromettere la sicurezza delle persone.

I pericoli sono potenziali fonti di danno: questo si verifica dipendentemente dall’applicazione analizzata e dall’esistenza o meno di una sequenza di eventi che creano una situazione pericolosa. Ad esempio: se alcune linee di corrente che dovrebbero essere isolate presentano della tensione, se toccate possono provocare diversi danni all’uomo, anche di diversa entità, ma se tutte le linee isolate fossero isolate davvero, nessuno di questi danni si potrebbe verificare.

Situazione pericolosa (hazardous situation)

Per ogni pericolo è necessario considerare la sequenza degli eventi. Quando si parla di rischio, bisogna dedicare molto tempo a questo tipo di valutazione.

Come si vede, non è sufficiente discutere di pericoli in modo generico: è necessario analizzare la sequenza degli eventi. Una situazione pericolosa può essere, ad esempio, la presenza di tensione di linea. Un altro esempio è il contatto con un sistema che presenta un guasto interno, per cui la corrente è presente anche sulla carcassa esterna.

In questo caso il valore di occorrenza (O) è molto basso perché l’evento è poco probabile, ma la severità è molto elevata.

Ricorda che pericolo (hazard) e rischio (risk) sono due concetti diversi:

Rischio = O × S

• Pericolo (Hazard): potenziale fonte di danno. Insieme di condizioni (stato del sistema) che, in determinate circostanze ambientali, possono portare a un incidente.
• Rischio (Risk): combinazione tra la probabilità che si verifichi un danno e la gravità (severità) di tale danno.

Rischio (risk)

Definizione: combinazione della probabilità del verificarsi di un danno e d