Tecniche per il progetto di sistemi elettronici tolleranti ai guasti (Calcolo del Rischio)

Transcript

1 Tecniche per il progetto di sistemi elettronici tolleranti ai guasti (Calcolo del Rischio) Maurizio Rebaudengo, Matteo Sonza Reorda Politecnico di Torino Dipartimento di Automatica e Informatica Sommario Rischio Misure del rischio Approccio induttivo: FMA/FMCA TA Approccio deduttivo: FTA 2 Rischio nella società moderna Il rischio non è un problema nuovo La maggior parte degli incidenti più seri dell ultimo secolo è avvenuta negli ultimi 20 anni: Bhopal (India): morti, feriti Incidenti nucleari a Three Miles Island e Chernobyl Apollo 13, Shuttle Challenger, Ariane 5 La nuova tecnologia crea un mondo più rischioso? Nel passato il rischio era legato alle catastrofi naturali (inondazioni, uragani, terremoti, siccità, ecc.) In una società tecnologicamente avanzata sistemi vitali sono controllati dall interazione uomo-macchina. 3 4 Pericolo (hazard) Insieme di condizioni (stato del sistema) che, in determinate circostanze ambientali, possono portare ad un incidente. Rischio (risk) Frequenza e criticità di un evento indesiderato. 5 6 M. Rebaudengo, M. Sonza Reorda, M. Violante 1

2 Pericolo vs. Rischio All inizio del XX secolo la rottura di un motore di un aeroplano comportava le stesse tragiche conseguenze di oggi (stesso pericolo) La probabilità che tale evento si verifichi è molto più bassa oggi (rischio molto minore). Danno Sicurezza (morte, ferimenti, malattie) Ambiente (contaminazione) Costo (perdita economica) Programmazione (perdita di una missione, ritardo in un progetto). 7 8 spressione matematica del rischio Rischio = Frequenza * Criticità frequenza Curva del rischio [danno/tempo] = [vento/tempo] * [danno/evento] Rischio non accettabile Rischio accettabile criticità 9 10 Classi di criticità dei malfunzionamenti I malfunzionamenti che alterano il comportamento di un sistema sono raggruppati in classi di criticità in funzione delle conseguenze che possono causare a: il sistema stesso (che potrebbe essere distrutto) l ambiente che lo circonda (ad esempio l utente). Valutazione qualitativa dell effetto dei guasti La definizione delle classi di criticità può essere basata su una valutazione qualitativa M. Rebaudengo, M. Sonza Reorda, M. Violante 2

3 Valutazione qualitativa dell effetto dei guasti (II) Valutazione qualitativa dell effetto dei guasti (III) Ad esempio lo standard DO-178B per l areonautica civile definisce 5 classi di malfunzionamenti: Catastrofico: porta alla perdita di vite umane Pericoloso: porta ad un numero ridotto di perdite e/o al ferimento serio di passeggeri e membri dell equipaggio Significativo: porta al ferimento di passeggeri e dei membri dell equipaggio e riduce l efficienza dell equipaggio Minore: porta al turbamento dei passeggeri ed ad un ridotto incremenento del carico di lavoro dell equipaggio La scelta della classe di criticità in cui inserire un malfunzionamento dipende da vari parametri Lo stesso tipo di malfunzionamento può essere considerato in modo diverso a seconda dell applicazione Ad esempio, l interruzione dell unico motore di un aeroplano civile è considerato un evento catastrofico in quanto causa la morte dei passeggeri e dell equipaggio militare è considerato un evento significativo in quanto il pilota può essere espulso con paracadute. Senza effetti Valutazione qualitativa dell effetto dei guasti (IV) Lo stesso tipo di malfunzionamento può essere considerato in modo diverso a seconda della fase operativa in cui avviene Ad esempio la rottura di un motore quando l aereo è parcheggiato è considerato un evento minore. Classi di rischio Si definiscono diverse classi di rischio in funzione del dominio dei valori di probabilità che tale evento si verifichi: Probabile: probabilità > 10-5 /h Raro: 10-7 /h < probabilità < 10-5 /h stremamente raro: 10-9 /h <probabilità <10-7 /h stremamente improbabile: probabilità < 10-9 /h Classi di sicurezza Curva del rischio Ad ogni classe di criticità viene associato un tasso di rischio accettabile che viene imposto nelle specifiche di sicurezza nei progetti industriali. Ad esempio lo standard DO-178B per l areonautica civile definisce i seguenti tassi di rischio per classe di criticità: evento minore: deve essere probabile evento significativo: deve essere raro evento pericoloso: deve essere estremamente raro evento catastrofico: deve essere estremamente improbabile. 17 frequenza minore significativo pericoloso catastrofico criticità 18 M. Rebaudengo, M. Sonza Reorda, M. Violante 3

4 Matrice qualitativa del rischio Sommario FRQUNZA 5 Almost Certain 4 Likely 3 Moderate 2 Unlikely 1 Rare CRITICITÀ Insignificant Minor Moderate H H M H H L M H L L M L L M 4 Major H M 5 Catastrophic H xtreme Risk High Risk Moderate Risk Low Risk Rischio Misure del rischio Approccio induttivo: FMA/FMCA TA Approccio deduttivo: FTA Metodi di calcolo del rischio Hanno lo scopo di identificare tutte le possibili cause di pericolo derivanti dal funzionamento e dall utilizzo del sistema al fine di rimuoverle o predisporre opportune contromisure. Approccio qualitativo samina le relazioni tra guasti, errori e malfunzionamenti, attraverso i seguenti possibili metodi: approccio induttivo approccio deduttivo Approccio qualitativo (II) Sommario Induttivo: Causa Deduttivo: Conseguenza Conseguenza Causa Pericolo Misure del pericolo Approccio induttivo: FMA/FMCA TA Approccio deduttivo: FTA M. Rebaudengo, M. Sonza Reorda, M. Violante 4

5 Approccio induttivo Analizza l effetto di guasti ed errori ed i potenziali malfunzionamenti conseguenti. Metodo induttivo Utilizza modelli strutturali o comportamentali del sistema Molto usati in campo aerospaziale, nucleare, chimico, automobilistico Applicabile in una fase avanzata di progettazione Sommario Pericolo Misure del pericolo Approccio induttivo: FMA/FMCA TA Approccio deduttivo: FTA Failure Modes and ffect Analysis Identificare i possibili modi di guasto, le loro cause, gli effetti e le possibili azioni risolutive FMA: principio La corretta identificazione dei guasti permette di studiare soluzioni che aumentano globalmente l affidabilità del sistema. FMA: risultati Lista dei possibili modi di guasto e delle cause Individuazione di guasti che possono compromettere il funzionamento del sistema Indicazione delle procedure di controllo in condizioni di guasto Informazione sulla gestione del sistema M. Rebaudengo, M. Sonza Reorda, M. Violante 5

6 Failure Mode, ffect and Criticality Analysis Contiene anche la stima della criticità del guasto Viene eseguita nel caso di blocchi che risultano particolarmente critici (ad es. modi di guasto che possono indurre il ferimento dell operatore) Standard di riferimento: US-MIL-STD-1629A ( Procedure for performing a Failure Mode, ffects and Criticality Analysis ) IC-812 ( Procedure for Failure Mode, ffects and Criticality Analysis ). FMA/FMCA: Tipi FMA di progetto: Viene fatta durante il progetto del sistema FMA di processo: Analisi del sistema reale FMA/FMCA: RPN Analisi sistematica dei modi ed effetti di guasto basata sul calcolo di un indice RPN (Risk Priority Number) basato su 3 indicatori (gravità, frequenza, rintracciabilità) Tale analisi deve essere aggiornata in modo continuo, riflettendo le modifiche del progetto e del processo. FMA/FMCA Fase preliminare Analisi qualitativa Analisi quantitativa FMA/FMCA: Fase preliminare Suddivisione del sistema in elementi Costruzione di un diagramma della struttura funzionale del sistema Definizione di ogni elemento Descrizione della sua funzione e delle sue prestazioni. FMA/FMCA: Fase preliminare (II) Si possono seguire differenti approcci: Hardware: Vengono elencati i componenti hardware del sistema. Normalmente utilizzato in un approccio bottom-up Funzionale: Considera la funzione di ogni parte del sistema Utilizzata quando si dispone di una descrizione del sistema, ma non è stato ancora determinato in modo univoco l hardware che lo realizza M. Rebaudengo, M. Sonza Reorda, M. Violante 6

7 FMA/FMCA: fase preliminare (III) Si consideri un approccio del progetto di gerarchico di tipo bottom-up Livello N+1 Livello N I I M1 M2 M12 O O FMA/FMCA: fase preliminare (IV) La FMA/FMCA considera lo studio degli effetti dei malfunzionamenti partendo dai livelli elementari arrivando fino al livello globale di sistema ed a livello ambientale, indicando le modalità di guasto e le conseguenze che ne derivano FMA/FMCA: analisi qualitativa Definizione ed identificazione di tutti i possibili modi di guasto associati al singolo elemento Descrizione dei sintomi associati ad un dato modo di guasto e del suo effetto locale (livello N+1) Identificazione delle conseguenze di un dato modo di guasto sul livello successivo (N) e sulla funzione che deve essere realizzata dal sistema. FMA/FMCA: analisi quantitativa Stima della probabilità di occorrenza di ogni modo di guasto Valutazione della criticità e ripartizioni in classi di gravità Identificazione delle azioni correttive in grado di eliminare o ridurre l effetto del modo di guasto in questione FMA/FMCA: analisi quantitativa (II) Probabilità di occorrenza di un guasto Per ogni guasto si forniscono i seguenti indici: probabilità di occorrenza (P) gravità (G), impatto del guasto sulla sicurezza e le prestazioni funzionali rilevabilità (R), indice di quanto il difetto può essere individuato nel processo criticità (C), o indice RPN (Risk Priority Number) C = P * G * R. 41 Molto alta: (fattore 10-9) apparizione frequente del difetto ad es. frequenza f>5% levata: (fattore 8-7) numerosi incidenti conosciuti dalla clientela 1%< f <2% Moderata: (fattore 6-5) difetti apparsi occasionalmente su prodotti similari, qualche incidente noto alla clientela 0.2%< f <1% Bassa: (fattore 4-3) molto pochi incidenti noti alla clientela 0.01%< f <0.2% Remota: (fattore 2-1) nessun incidente noto alla clientela f <0.01%. 42 M. Rebaudengo, M. Sonza Reorda, M. Violante 7

8 Gravità di un guasto Gravissimo: (fattore 10-9) ha conseguenze sulla sicurezza o sul soddisfacimento di specifiche tecniche Grave: (fattore 8-7) provoca un reclamo del cliente, pur non avendo effetti rilevanti sulla sicurezza o sul soddisfacimento di specifiche tecniche Medio: (fattore 6-4) avvertito dal cliente e provoca fastidio o irritazione Poco rilevante: (fattore 3-2) avvertito dal cliente ma non provoca una reazione negativa Insignificante: (fattore 1) ha effetti trascurabili e potrebbe non essere neppure avvertito dal cliente. 43 Rilevabilità di un guasto Molto improbabile: (fattore 10) probabilità molto bassa di rilevare il guasto. Verifica e controlli non sono in grado di riconoscerne la presenza Molto ridotta: (9-8) probabilità bassa di rilevare il guasto. Verifica e controlli non sempre sono in grado di riconoscerne la presenza Ridotta: (7-5) moderata probabilità di rilevare il guasto. Verifica e controlli hanno una discreta probabilità di riconoscerne la presenza Normale: (4-3) buona probabilità di rilevare il guasto. Verifica e controlli hanno una buona probabilità di riconoscerne la presenza levata: (2-1) ottima probabilità di rilevare il guasto. Verifica e controlli hanno una elevata probabilità di riconoscerne la presenza. 44 Azioni correttive Se si supera una soglia di rischio occorre indicare azioni correttive per ridurre l indice di criticità Ad esempio: Se G 9 e P >1: occorre sempre prevedere azioni correttive Se G<9: Azioni correttive se C>36. Azioni correttive (II) Per ciascuna azione correttiva prevista occorre designare un responsabile ed elaborare un piano previsionale Terminate le azioni correttive viene ricalcolata la criticità dei difetti; se la criticità è ancora superiore al limite massimo ammesso dovranno essere programmate ulteriori azioni correttive Controllo richiesto vs. Rischio FMA/FMCA: Scheda stremo Alto Congelare il processo Interruzione e Rivalutazione Lo standard MIL-STD-1629 definisce una scheda tipo. Medio Realizzare azione correttiva Basso Revisione delle Procedure Piccolo Nessun intervento M. Rebaudengo, M. Sonza Reorda, M. Violante 8

9 FMA/FMCA: Scheda FMA/FMCA: parametri della scheda No. 1 System Level Reference Mission Part Function Name Part No. Position Receive a Controller demand position DC motor Failure Mechanism(s) & Mode Causes(s) of Failure Loose Wear and tear cable connection Incorrect Operator error demand signal Date Sheet Compiled by Approved by ffect(s) Current P G R C of Failure Control Motor fails to move Position controller breakdown in a long-run of Recommended Corrective Action(s) Replace faulty wire Intensive training for operators Action(s) Taken Identificazione: Codice identificativo del componente (univoco) Componente: Nome del componente (univoco) Descrizione: Descrizione sintetica delle funzioni, delle condizioni operative e di eventuali parametri caratteristici Modi di guasto: Vanno indicati tutti i possibili stati di fuori specifica del componente FMA/FMCA: parametri della scheda (II) ffetti Valutare gli effetti di ogni modo di guasto Sistemi di protezione Si indicano i sistemi di protezione esistenti nel sistema e si correlano ai guasti ed agli effetti Interventi Le possibili azioni che devono essere intraprese per migliorare l attuale sistema e portarlo a livelli di affidabilità o di sicurezza desiderati. FMA/FMCA: commento La complessità dell analisi aumenta con la complessità del sistema Spesso è necessario operare delle semplificazioni che rendono la stima imprecisa FMA/FMCA: limiti I modi di guasto non individuati dal progettista non vengono presi in considerazione Non si tengono in conto le interazioni tra guasti multipli Non viene considerato il fattore umano. Sommario Pericolo Misure del Pericolo Approccio induttivo: FMA/FMCA TA Approccio deduttivo: FTA M. Rebaudengo, M. Sonza Reorda, M. Violante 9

10 vent Tree Analysis Metodo di analisi induttiva Determina l effetto sul sistema di malfunzionamenti o eventi indesiderati Basato sulla logica binaria Applicabile a progetti completi o ad impianti esistenti vent Tree Analysis (II) Un TA comincia con un evento iniziatore Le conseguenze di tale evento sono valutate lungo una serie di possibili cammini Ad ogni cammino è assegnata una particolare probabilità di occorrenza TA fornisce la probabilità di occorrenza di tutte le possibili conseguenze originatesi dall evento analizzato vent Tree Analysis (III) TA: sempio Nell albero degli eventi si considerano gli effetti positivi e negativi che i vari sistemi di sicurezza generano in conseguenza di un evento pericoloso iniziatore in modo da poter individuare i possibili scenari e le conseguenze dell evento al variare del modo di comportarsi del sistema. porta Sistema di protezione antincendio Sistema di innaffiamento Sensore allarme Fuoco TA: sempio Sommario Fuoco Allarme riconosciuto? funziona? SI Innaffiatore funzione? 1/1 anno Danno limitato Pericolo Misure del Pericolo Approccio induttivo: Presenza del fuoco Frequenza = 1/anno SI NO SI NO 0.02 NO SI NO /20 anni 1/53 anni Danno esteso gente in fuga Danno limitato gente bagnata FMA/FMCA TA Approccio deduttivo: FTA /90 anni Possibili fatalità Danni estesi M. Rebaudengo, M. Sonza Reorda, M. Violante 10

11 Approccio deduttivo Consiste nell analizzare i possibili malfunzionamenti e risalire alle loro cause Scopo: identificare le cause dei pericoli, in modo da poter procedere all eliminazione di più cause possibili. Fault Tree Analysis (FTA) Diagramma che rappresenta la relazione tra l evento (malfunzionamento) e le cause che lo potrebbero determinare Permette di valutare la probabilità di accadimento di eventi critici, in modo da poter correggere il progetto, al fine di ridurre i rischi ad essi connessi Costruzione del Fault Tree Passi: Definizione dell evento critico finale (top event) Ricerca delle cause che lo possono determinare, risalendo fino agli eventi primari Valutazione in termini probabilistici dell albero dei guasti. Simboli utilizzati in FTA vento primario (top event) vento intermedio vento base vento base non sviluppato Simboli utilizzati in FTA (II) Cut set m/n AND: evento in uscita se capitano tutti gli eventi in ingresso OR: evento in uscita se capita almeno uno degli eventi in ingresso m/n: evento in uscita se capitano almeno m eventi in ingresso Utilizzando una logica deduttiva si risale dal Top vent fino ad arrivare a tutti gli eventi base che possono causare il malfunzionamento. Minimal cut set: l insieme di eventi base che possono causare il malfunzionamento e non possono essere ridotti di numero M. Rebaudengo, M. Sonza Reorda, M. Violante 11

12 FTA Calcolo delle probabilità Top vent (T) Conseguenza (T) C P(C) = P(A) * P(B) C D Logica deduttiva A B C P(C) = P(A B) = P(A)+P(B)-P(A)*P(B) A B Cause (A, B, C, D) A B Minimal Cut Set: {(A,C,D), (B,C,D)} sempio sempio: calcolo della probabilità Failure P(F) = P(A) + P(D) P(AD) = P(A) + P(B)*P(C) P(A)*P(B)*P(C) A D B C sempio: sensori di livello in un serbatoio Inlet Valve B sempio: FTA Outlet closed Tank overflow AND Inlet open OR Controller X Y Outlet Valve A Inlet valve failed Controller failed Wrong control to inlet valve OR Sensor X fails AND Sensor Y fails M. Rebaudengo, M. Sonza Reorda, M. Violante 12

13 sempio Valutare il Fault Tree relativo all evento di incidente in un incrocio tra una strada principale ed una strada laterale (senza semaforo). Soluzione TOP VNT Macchina nell incrocio P=0.01 AND Incidente all incrocio Macchina proveniente dalla strada laterale non si ferma OR P=0.131 Guidatore della macchina proveniente dalla strada laterale non si ferma Guidatore della macchina proveniente dalla strada laterale non riesce a fermarsi P=0.12 OR P=0.011 OR Troppo veloce Malanno Visione oscurata Strada scivolosa Guasto al freno Ruote Consumate 73 P=0.1 P=0.01 P=0.01 P=0.01 P=0.001 P= Soluzione (II) Probabilità di incidente: P(T) = Se 6000 macchine usano la strada laterale ogni anno, allora si prevede che in quell incrocio vi siano 7 incidenti ogni anno. 75 M. Rebaudengo, M. Sonza Reorda, M. Violante 13