RECENTI SVILUPPI METODOLOGICI NELL ANALISI DEGLI ALBERI DI GUASTO

Transcript

1 RECENTI SVILUPPI METODOLOGICI NELL ANALISI DEGLI ALBERI DI GUASTO S. Contini Commissione Europea, Centro Comune Rierhe Istituto dei Sistemi dell Informatia e della Siurezza TP 650, Ispra, Varese SOMMARIO La presente memoria desrive gli sviluppi metodologii piu` reenti nell analisi logia e proailistia degli aleri di guasto. Viene presentato un nuovo approio per la manipolazione di una funzione ooleana rappresentata sotto forma di grafo ailio direzionato. L analisi proailistia eseguita sul grafo onsente di ottenere i valori esatti di indisponiilita`, frequenze di guasto e riparazione del sistema, oltre gli indii di importanza proailistia dei omponenti. I risultati dell appliazione del software ASTRA-FTA ad aluni aleri di sistemi reali mostrano la maggiore effiienza del nuovo approio rispetto ai preedenti. 1. INTRODUZIONE La metodologia dell Alero dei Guasti (Fault Tree) trova ampio impiego nell analisi di affidailita` e disponiilita` di sistemi omplessi. Proposta agli inizi degli anni 60, essa ha avuto uno sviluppo notevole in ampo nuleare, in partiolare a partire dalla puliazione, nel 1969, della teoria proailistia (KIneti Tree Theory, KITT) [ 1 ]. Questa teoria, arrihita negli anni 70, onsente di alolare upper ounds per l indisponiilita`, la frequenza di guasto, il numero medio di guasti e gli indii di importanza dei omponenti. L appliazione della KITT rihiede la onosenza dei modi di guasto minimi del sistema (Minimal Cut Sets, MCS), ossia delle ominazioni minime di omponenti il ui guasto implia il guasto del sistema. Sono stati pertanto messi a punto numerosi metodi per la determinazione degli MCS, asati su diversi approi: manipolazione di ut sets on riduzione dell alero di tipo Top-down, Bottom-up e Irida, pattern reognition ed altri. Il prolema della determinazione degli MCS e` alquanto omplesso, asti pensare he un alero on qualhe deina di porte logihe e di eventi primari puo` ontenere anhe deine di migliaia di MCS. Diverse tenihe sono state messe a punto per ridurre i tempi di alolo, tra ui le piu` importanti sono la modularizzazione (l alero viene somposto in tanti sottoaleri indipendenti) e le tenihe di taglio (al fine di limitare il alolo al sottoinsieme di MCS proailistiamente e/o strutturalmente piu` signifiativi). Il fatto di limitare il alolo ai soli MCS signifiativi implia la neessita` di stimare auratamente l errore di tronamento Pe (prolema di notevole omplessita`). Il ontriuto del CCR-Ispra a queste rierhe e testimoniato dallo sviluppo della serie di programmi SALP [ 2, 3 ] asati sull approio Bottom-up e ISPRA-FTA [ 4, 5 ] asato su un approio irido (Topdown + Bottom-up), appositamente sviluppato per ottenere una stima aurata di Pe. Un reente approio all analisi degli aleri di guasto, he puo` essere onsiderato di gran lunga piu` effiiente dei preedenti, si asa sulla manipolazione di funzioni ooleane rappresentate sotto forma di grafi ailii direzionati, denominati Binary Deision Diagrams (BDD). Conettualmente, la rappresentazione in termini di BDD di una funzione ooleana si ottiene manipolando un alero inario generato dall appliazione del teorema di espansione di Shannon rispetto a tutte le variaili. I ammini dalla radie ai vertii terminali del grafo rappresentano i modi di guasto del sistema; essi sono disgiunti e di onseguenza risulta possiile alolare esattamente le grandezze proailistihe di interesse. Il grafo puo` essere ulteriormente manipolato fino ad ottenere un nuovo grafo ontenente tutti e soli gli MCS. I onfronti effettuati fra algoritmi asati su BDD e sulla manipolazione di ut set, hanno mostrato l elevata effiienza dei primi rispetto ai seondi. Aleri analizzati in passato solo mediante l appliazione di tenihe semi automatihe o evitando la stima di Pe, sono stati analizzati on l approio BDD in pohi seondi senza introdurre aluna approssimazione. A titolo di esempio, l alero del sistema desritto in [ 6 ], ontenente ira 1, MCS e non analizzaile on i metodi tradizionali, e stato analizzato on ASTRA-FTA, sviluppato presso CCR-ISIS, in ira un seondo su PC 486 a 200 Mhz. La presente memoria desrive gli aspetti piu` importanti dei metodi di analisi logia e proailistia asati sull approio BDD e la dimostrazione dell effiienza di tale approio mediante l appliazione del programma di alolo ASTRA-FTAad aluni aleri omplessi di sistemi reali. 1

2 2. RAPPRESENTAZIONE E MANIPOLAZIONE DI FUNZIONI BOOLEANE MEDIANTE I BINARY DECISION DIAGRAMS 2.1 Generalita` Una qualsiasi funzione ooleana F (x 1, x 2,..., x n ) puo` essere sritta nel modo seguente: F (x 1, x 2,..., x n ) = (x i F 1 ) ( x i F 0 ) (1) dove: F 1 = F xi = 1 = F (x 1, x 2,.., x i-1, 1, x i+1,..., x n ) F 0 = F xi = 0 = F (x 1, x 2,.., x i-1, 0, x i+1,..., x n ) sono i due residui di F, rappresenta l operatore logio AND, rappresenta l operatore logio OR, e l operatore NOT. La (1) puo` essere grafiamente rappresentata ome alero inario nel modo seguente: v x l(v) r(v) F 1 F 0 dove al nodo v e` assoiata la variaile x, var(v) = x, il disendente sinistro l(v) = F 1 e il disendente destro r(v) = F 0. Ad esempio, il risultato dell appliazione della (1) alla funzione F = (a ( )) ( ) rispetto alle variaili a, e, puo` essere rappresentato grafiamente on l alero riportato in Figura 1, nel quale sono desritte, per maggior hiarezza, le espressioni dei residui ottenuti assegnando i valori 1 (linea ontinua ) e 0 (linea trattegiata) alle variaili. I nodi dell alero ai quali sono assoiate le variaili a,,, sono detti nonterminali e i nodi 0, 1, he rappresentano i valori della funzione F per diverse ominazioni di valori delle variaili, sono detti nodi terminali. ( ) a (a ( )) ( ) ( ) ( ) Figura 1. Rappresentazione sotto forma di alero inario della funzione F =(a ( )) ( ) Nell alero, un generio ammino dal vertie 1 alla radie rappresenta un insieme di valori he soddisfa F. Per esempio, a = 1, = 0, = 1 e` un assegnamento he soddisfa F. Sia S l insieme di tutti i ammini da 1 alla radie, S = {a, a, a }. Un generio elemento di S e` un impliante di F. L insieme dei ut sets M = {a, a, } si ottiene da S eliminando le variaili negate. L alero in Figura 1 puo` essere ridotto appliando le seguenti regole di riduzione: R1: Raggruppamento dei nodi terminali aventi lo stesso valore (0, 1). R2: Raggruppamento di nodi non-terminali; due nodi u e v possono essere raggruppati in un unio nodo se: var(u) = var(v), l(u) = l(v) e r(u) = r(v). 2

3 R3: Eliminazione dei nodi ridondanti; un nodo v e ridondante se l(v) = r(v). L appliazione di queste regole all alero di Figura 1 fornise il grafo riportato in Figura 2, denominato Binary Deision Diagram, BDD. a (a ( )) ( ) 1 0 Figura 2. Grafo risultante dall appliazione delle regole di riduzione all alero inario di Figura Ordinamento delle variaili Il BDD in Figura 2 e stato ottenuto espandendo la funzione F rispetto alle variaili seondo l ordine a, e. Sia < il simolo di ordinamento; x < y signifia he la (1) viene appliata prima a x e poi a y e di onseguenza, nel grafo, x non potra` mai disendere da y. Si puo` dimostrare failmente he amiando l ordinamento delle variaili amia la omplessita del BDD risultante. Ad esempio, nella funzione F = (x 1 y 1 ) (x 2 y 2 ). (x n y n ) adottando l ordinamento x 1 < y 1 < x 2 < y 2.< x n < y n si ottiene un BDD on 2n vertii non terminali, mentre on l ordinamento x 1 < x 2 <. x n < y 1 < y 2 <.< y n il numero di vertii e` pari a 2(2 n - 1) [ 7 ]. L ordinamento delle variaili deve pertanto essere selto on ura in ase al tipo di prolema: un ordinamento non appropriato puo` ridurre notevolmente l effiienza dell approio. La onvenienza di generare grafi BDD ordinati (spesso indiati in letteratura ome OBDD, Ordered Binary Deision Diagrams) e` dovuta al fatto he le operazioni di riduzione e minimizzazione risultano molto effiienti [ 7 ] e he il grafo risultante e` sempre in forma anonia. 2.3 Notazione ite Per la desrizione delle operazioni logihe sui grafi e` onveniente introdurre la notazione ite (if-thenelse). Un ite e` una tripla he rappresenta un nodo v del grafo: ite(var(v), l(v), r(v)) Seondo questa notazione, la (1) si srive ome: ite(x i, F 1, F 0 ). Di seguito sono riportati aluni esempi di semplii funzioni ooleane in notazione ite, failmente riavaili appliando la (1) e le regole di riduzione: F = x ite(x, 1, 0) F = x y ite(x, 1, ite(y, 1, 0)) F = x y ite(x, ite(y, 1, 0), 0) L espressione in notazione ite orrispondente al grafo di Figura 2 e` la seguente: ite(a, ite(, 1, ite(, 1, 0)), ite(, 0, ite(,1 0))) 2.4 Composizione di funzioni La proedura di ostruzione del BDD attraverso l alero inario non e` pratiamente appliaile a funzioni on un numero signifiativo di variaili. E, quindi, essenziale definire regole di omposizione di 3

4 funzioni seondo gli operatori inari dell algera ooleana. Siano F e G due generihe funzioni ooleane; esse possono essere omposte in un unia funzione mediante la seguente relazione: F <op> G = x (F x=1 <op> G x=1 ) + x (F x=0 <op> G x=0 ) (3) dove <op> rappresenta un generio operatore inario (AND, OR, XOR) e x una generia variaile. Piu` speifiatamente, indiando on F = ite(x, F 1, F 0 ) e G = (y, G 1, G 0 ), due funzioni ooleane qualsiasi in notazione ite, possono verifiarsi i seguenti asi: x = y ite(x, F 1, F 0 ) <op> ite(x, G 1, G 0 ) = ite(x, F 1 <op> G 1, F 0 <op> G 0 ) (4) x < y ite(x, F 1, F 0 ) <op> ite(y, G 1, G 0 ) = ite(x, F 1 <op> ite(y, G 1, G 0 ), F 0 <op> ite(y, G 1, G 0 )) (5) Per ompletezza si riporta l operatore omplementazione. Se F = ite(x, F 1, F 0 ), allora F = ite(x, F 0, F 1 ). La omplementazione si ottiene quindi invertendo i puntatori ai due residui. 2.5 Esempio di ostruzione del BDD di una funzione ooleana Come esempio di appliazione della (3) e delle operazioni di riduzione, si mostra di seguito la ostruzione del BDD relativo alla funzione F =(a ( )) ( ). Sia a < < l ordinamento delle variaili. La sequenza di ostruzione del BDD, a partire dalle parentesi piu iterne, e mostrata nella seguenta taella. Espressione ooleana Espressione in notazione ite da alolare Risultato del alolo ite(, 1, 0) Ite(,1,0) ite(, 1, 0) ite(, 0, 1) C ite(, 1, 0) Ite(,1,0) ite(, 0, 1) ite(, 1, 0) ite(, 0, ite(, 1, 0)) a ( ) ite(a, 1, 0) ite(, 0, ite(,1, 0)) ite(a,1, ite(, 0, ite(,1, 0))) ite(, 1, 0) ite(, 1, 0) ite(, 1, ite(, 1, 0)) (a ) ( ) ite(a,1, ite(, 0, ite(,1, 0))) ite(, 1, ite(, 1, 0)) ite(a, ite(, 1, ite(, 1, 0)), ite(, 0, ite(, 1, 0))) Taella 1. Costruzione del BDD della funzione F =(a ( )) ( ) La rappresentazione in notazione ite delle singole variaili e immediata, ome pure quella relativa alla ominazione di funzioni semplii ( ) e ( ). La funzione a ( ) si ottiene appliando la (5) in quanto a <. La funzione alolata nell ultima riga della taella rihiede i passaggi seguenti. Appliando la (5) on x=a, si ottiene: ite(a,1, ite(, 0, ite(,1, 0))) ite(, 1, ite(, 1, 0)) = ite(a,1 ite(, 1, ite(, 1, 0)), ite(, 0, ite(,1, 0)) ite(, 1, ite(, 1, 0))) L analisi del primo residuo fornise: 1 ite(, 1, ite(, 1, 0)) = ite(, 1, ite(, 1, 0)) Per il seondo residuo, appliando la (4) rispetto a : ite(, 0, ite(,1, 0)) ite(, 1, ite(, 1, 0)) = ite(, 0 1, ite(,1, 0) ite(, 1, 0)) Poihe` : 0 1 = 0 e ite(,1, 0) ite(, 1, 0) = ite(,1, 0) si ottiene: ite(, 0, ite(,1, 0)) 4

5 Il risultato finale e` il seguente: ite(a, ite(, 1, ite(, 1, 0)), ite(, 0, ite(, 1, 0))) 3. APPLICAZIONE DEI BDD ALL ANALISI DEGLI ALBERI DI GUASTO L appliazione dell approio BDD all analisi degli aleri di guasto rappresenta il tentativo piu` reente di messa a punto di strumenti di alolo in grado di analizzare aleri molto omplessi, non analizzaili in modo soddisfaente on gli approi tradizionali. Una dimostrazione delle maggiori potenzialita dei BDD rispetto ai metodi asati sulla manipolazione di ut sets (riduzione top-down o ottom-up dell alero) e` fornita in [ 8 ]. Il programma ISPRA-FTA, nella sua versione originale e` stato onfrontato on una versione modifiata nella quale, per la fase di analisi piu` pesante (analisi top-down senza possiilita di utilizzo della tenia di ut-off), si e` fatto uso dello stesso algoritmo top-down asato pero` sull approio BDD. Le prove effettuate su un insieme di aleri di diversa omplessita` hanno mostrato una riduzione dei tempi di alolo fino a due ordini di grandezza per il alolo degli MCS signifiativi (ome prevediile, per aleri meno omplessi, le differenze non sono risultate signifiative). Nel seguito vengono mostrati i metodi utilizzaili per l analisi di aleri di guasto rappresentati da funzioni monotone (fault tree oerenti) e non monotone (fault tree non oerenti). 3.1 Analisi di funzioni ooleane monotone Un fault tree rionduiile ad una funzione ontenente i soli operatori AND, OR rappresenta una funzione monotona resente. La proedura di analisi di tale tipologia di funzioni seondo l approio BDD, si artiola nelle seguenti fasi: 1. definizione dell ordinamento delle variaili; 2. ostruzione della rappresentazione BDD dell alero dei guasti; 3. riduzione del BDD; 4. eseuzione dell analisi proailistia; 5. determinazione del BDD minimo ontenente tutti gli MCS; 6. estrazione degli MCS signifiativi. La prima fase e` relativa alla definizione dell ordinamento degli eventi primari (l ordinamento seondo il metodo di visita dell alero in ordine differito si e` rivelato soddisfaente). La seonda fase onsiste nella ostruzione del BDD mediante l appliazione della (3) rispetto a tutti gli eventi primari. La fase di riduzione del grafo (appliazione delle regole R1, R2 e R3) viene in realta` eseguita, per motivi di effiienza, durante la ostruzione stessa del grafo. Sull alero ridotto viene eseguita l analisi proailistia. Suessivamente si alola il BDD minimo ontenente i soli MCS e, infine, in ase ai valori di soglia definiti in input, vengono determinati gli MCS. Le prime tre fasi sono gia` state desritte: di seguito vengono revemente desritte le fasi relative all analisi proailistia ed al alolo del BDD minimo. Analisi proailistia appliata al BDD ridotto La quantifiazione del BDD onsente di ottenere i valori esatti dell indisponiilita` del sistema Q S (t) e della frequenza di guasto ω S (t). Sia ite(x, F 1, F 0 ) il generio nodo del grafo. L indisponiilita` si ottiene appliando la seguente formula a tutti i nodi del BDD, partire dai nodi terminali e proedendo verso la radie: Q U (t) = Q X (t) Q 1 (t) + [1 - Q X (t)] Q 0 (t) (6) dove Q X (t), Q 1 (t) e Q 0 (t) sono rispettivamente le indisponiilita di x, F 1 e F 0. Per i nodi terminali 1 e 0: Q 1 (t) = 1 e Q 0 (t) = 0. La frequenza non ondizionata di guasto del sistema, ω S (t), ossia la proailita` he lo stato del sistema definito dal top event si verifihi nell intervallo infinitesimo t,t+dt, si ottiene sempliemente appliando la seguente espressione in orrispondenza di iasun nodo ite(x, F 1, F 0 ): 5

6 ω U (t) = ω X (t) [Q 1 (t) - Q 0 (t)] + ω 1 (t) Q X (t) + [1 - Q X (t)] ω 0 (t) (7) dove ω X (t), ω 1 (t) e ω 0 (t) sono rispettivamente le frequenze di guasto di x, F 1 e F 0. Per i nodi terminali 1 e 0: ω 1 (t) = ω 0 (t) = 0. Il numero aspettato di volte, W S (T), he il top event si verifia nell intervallo di missione 0 - T e dato da: W ( T) = ω ( t) dt S T o S W S (T) e` spesso utilizzato anhe ome limite superiore per l inaffidailita`. Equazioni simili possono essere sritte per la frequenza non ondizionata di riparazione ν S (t), il ui integrale sull intervallo di missione rappresenta il numero aspettato di riparazioni V S (T). E` altresi` possiile alolare gli indii di importanza dei omponenti on algoritmi molto rapidi e di omplessita` paragonaile al alolo di Q S (t) e ω S (t). Questi algoritmi sono in orso di informatizzazione nel modulo ASTRA-SDI per l analisi di ritiita` di sistemi omplessi, eseguiile ontemporaneamente su tutti gli aleri di guasto del sistema. Calolo del BDD minimo Un BDD ridotto ontiene l insieme degli implianti primi. Nell analisi degli aleri di guasto e` molto importante anhe la onosenza degli MCS. Per funzioni monotone e` possiile ottenere un BDD ontenente tutti e soli i ut sets minimi appliando l algoritmo desritto in [ 9 ]. Si onsideri una generia funzione monotona Z = ite(w, F, G). Sia M F l insieme dei ammini di F e M G l insieme dei ammini di G. L insieme dei ammini di Z, indiato on M Z, e` dato da: M Z = w (M F senza i ammini non minimi rispetto ai ammini in M G ) M G A partire dal BDD ordinato e ridotto e` possiile riavare un nuovo grafo ontenente solo gli MCS sempliemente eliminando dal ramo sinistro di iasun nodo i ammini non minimi rispetto ai ammini ontenuti nel ramo destro. Sia Z = (w, F, G) on F = (x, F 1, F 0 ) and G = (y, G 1, G 0 ). La minimizzazione si esegue appliando le seguenti regole: 1) se x < y F = ite(x, F 1 \ G, F 0 \ G) 2) se x > y F = ite(x, F 1 \ G 0, F 0 \ G 0 ) 3) se x = y F = ite(x, F 1 \ G 1, F 0 \ G 0 ) dove \ rappresenta l operatore he elimina da F i ammini non minimi rispetto ai ammini ontenuti in G. Ad esempio, sia Z = ite(a, ite(, 1, ite(, 1, 0)), ite(, 1, 0)), dove: F = ite(, 1, ite(, 1, 0)), F 1 = 1, F 0 = ite(, 1, 0) G = ite(, 1, 0), G 1 = 1, G 0 = 0 Ordinamento delle variaili: a < <. Z F a G 1 0 Figura 3. BDD ridotto della funzione Z = a ( ) 6

7 I ut sets ontenuti nel BDD sono: M = {a, a, }. Il grafo in Figura 3 viene visitato seondo l ordine differito,, a. Come si puo` failmente verifiare, dall esame di e non si ottiene aluna modifia del grafo. Si onsideri ora la variaile a. Poihe` <, si applia il aso # 1: ite(x, F 1 \ G, F 0 \ G), on F 1 = 1, F 0 = ite(, 1, 0) e G = ite(, 1, 0). Pertanto, F 1 \ G = 1 e F 0 \ G = 0; di onseguenza F = (, 1, 0). Il grafo risultante, ontenente gli MCS {, a }, e` il seguente: Z = ite(a, ite(,1,0), ite(,1,0)) a Z 1 0 Figura 4. BDD ottenuto minimizzando il grafo in Figura 3 Determinazione degli MCS signifiativi Il alolo degli MCS signifiativi ontenuti nel BDD minimo viene eseguito in ase ai valori di soglia assegnati sull ordine e sulla proailita` degli MCS. L algoritmo realizzato in ASTRA-FTA e` molto effiiente e fa uso di un nuovo ut-off, N max, asato sul numero di MCS (piu` signifiativi) da estrarre. 3.2 Analisi di funzioni non monotone Quanto desritto per le funzioni monotone e` appliaile anhe a funzioni non monotone, ossia a funzioni nelle quali il top event puo` verifiarsi a seguito della riparazione di un omponente. Ovviamente, io` non signifia he il sistema si degradi a seguito di una riparazione, ma sempliemente he non vi sono piu` le ondizioni he verifiano l evento Top [ 10 ]. Le funzioni non monotone sono neessarie per modellizzare: modi di guasto mutualmente eslusivi; sequenze dell alero degli eventi; top-events ondizionati allo stato di funzionamento/guasto di sottosistemi e omponenti. I nuovi operatori logii utilizzati sono pertanto l OR eslusivo (XOR) e la omplementazione (NOT). Per funzioni non-monotone il onetto di MCS deve essere sostituito on quello di impliante primo (Prime Impliant, PI), ossia di una ongiunzione di variaili negate e non negate non ontenuta in nessun altro impliante. E` immediato mostrare he rimuovendo gli eventi negati dall insieme dei PI, e minimizzando il risultato, si ottiene la forma approssimata espressa ome insieme degli MCS. Di onseguenza la quantifiazione proailistia fornise risultati onservativi (infatti la rimozione degli eventi negati equivale ad assumere he la proailita` di funzionamento sia uguale a 1) e, in pratia, l approssimazione introdotta e` aettaile. Ne onsegue he la neessita` di onsiderare eventi negati e` limitata all analisi logia per l identifiazione ed eliminazione delle ominazioni impossiili, nelle quali uno stesso evento e` presente in entrame le forme, negata e non [ 10 ]. I vantaggi dell appliazione di questo approio semplifiato sono notevoli: 7

8 riduzione signifiativa del tempo di alolo; possiilita` di utilizzare la teoria proailistia appliaile a funzioni monotone; piu` hiara interpretazione dei modi di guasto del sistema. L approio semplifiato all analisi di strutture non monotone e` tuttora largamente impiegato nei programmi di analisi di fault trees asati sugli approi tradizionali, ed e` onveniente anhe on l approio BDD per quanto onerne il alolo degli MCS. La rappresentazione di funzioni non monotone mediante BDD segue le stesse regole preedentemente desritte per funzioni monotone. Fissato l ordinamento delle variaili, si ottiene una sola forma ridotta sulla quale puo` essere eseguita l analisi proailistia. Allo sopo oorre distinguere fra le negazioni introdotte durante la ostruzione del BDD (a seguito dell appliazione della (1)) e quelle he desrivono gli stati di funzionamento dei omponenti, introdotti durante la ostruzione del fault tree. Nel seguito le prime sono denominate negazioni logihe e le seonde negazioni fisihe. Aluni metodi di analisi di funzioni non monotone seondo l approio BDD prevedono il alolo di un grafo ontenente tutti gli implianti primi mediante un algoritmo he fa uso di una struttura dati piu` omplessa di quella rihiesta per le funzioni monotone [11]. Il metodo sviluppato per ASTRA-FTA fa uso degli stessi algoritmi e della stessa struttura dati gia` utilizzata per le funzioni monotone, on l aggiunta di alune regole supplementari di espansione e semplifiazione del grafo. Questa selta offre due notevoli vantaggi: i) la possiilita` di utilizzare un solo metodo di gestione della memoria, indipendentemente dal tipo di funzione, ii) di rendere di immediato utilizzo i metodi disponiili per il alolo della frequenza di guasto di implianti primi. La proedura di analisi di funzioni non monotone si artiola nelle seguenti fasi: 1. selta dell ordinamento delle variaili; 2. appliazione del metodo di sostituzione delle variaili agli eventi iformi ; 3. ostruzione della rappresentazione BDD dell alero dei guasti; 4. riduzione del BDD; 5. eseuzione dell analisi proailistia; 6. eliminazione delle variaili negate fisiamente e onseguente riduzione del grafo; 7. determinazione del BDD minimo ontenente tutti gli MCS; 8. estrazione degli MCS signifiativi. Calolo del grafo ridotto Ogni variaile iforme x (variaile he ompare nella funzione in forma affermata e negata) viene sostituita da due variaili: x = x 1 e x = x 0 on ordinamento x 1 < x 0. Data la mutua eslusivita` di x 1 e x 0 : x 1 x 0 = 0 x 1 x 0 = x 1 x 1 x 0 = x 0 x 1 x 0 = 0 La funzione risultante e` monotona e pertanto e` possiile utilizzare gli stessi algoritmi (e, osa anor piu` importante, la stessa struttura dati) definiti per le funzioni monotone. Dopo l espansione della funzione rispetto a x 1 e a x 0, vengono appliate le regole R4 e R5 per l eliminazione rispettivamente dei rami per i quali x 1 x 0 = 0 e x 1 x 0 = 0: R4: ite(x 1, ite(x 0, A, B), C) = ite(x 1, B, C) R5: ite(x 1, A, ite(x 0, B, C)) = ite(x 1, A, ite(x 0, B, 0)) Dove A, B, C rappresentano generihe funzioni ooleane. Si onsideri il seguente esempio di alolo del BDD ridotto per F = ( x y) ( x (x y)). Dopo la trasformazione di variaili: F = (x 1 y 1 ) (x 0 (x 1 y 0 )). 8

9 L ordinamento delle variaili e` quindi il seguente: x 1 < x 0 < y 1 < y 0 Espandendo F rispetto a x 1 si ottiene: F = ite(x 1, A, B), dove A= x 0 y 0 e B = y 1 x 0. Espandendo suessivamente rispetto a x 0: ite(x 1, ite(x 0, 1, C), ite(x 0, D, 0)), on C = y 0 e D = y 1. Appliando infine la regola R4 si ha F = ite(x 1, C, ite(x 0, D, 0)); Poihe` C = ite(y 0, 1, 0) e D = ite(y 1, 1, 0), si ottiene: F = ite(x 1, ite(y 0, 1, 0), ite(x 0, ite(y 1, 1, 0), 0). Analisi proailistia di una funzione non monotona Si onsideri un BDD ridotto ottenuto appliando il metodo preedentemente desritto. Al nodo non terminale x 1 (x in forma affermata) sono rispettivamente assoiati i valori Q x (t), ω x (t), mentre al nodo x 0 (x in forma negata) i valori 1- Q x (t), ν x (t), dove ν x (t) rappresenta la frequenza non ondizionata di riparazione. Per il nodo terminale 1: Q 1 (t) = 1, ω 1 (t) = 0, ν 1 (t) = 0; per il nodo terminale 0: Q 0 (t) = 0, ω 0 (t) = 0, ν 0 (t) = 0.. L indisponiilita` Q S (t) si alola sempliemente appliando la (6), on una variante dovuta alla presenza delle variaili x 0. Dato un generio nodo ite(x, F 1, F 0 ), si possono presentare le seguenti situazioni: x = x 1, F 1 e F 0 qualsiasi Q U (t) = Q X (t) Q 1 (t) + [1 - Q X (t)] Q 0 (t) (8) x = x 1, F 1 qualsiasi e F 0 = ite(x 0, A, B) Q U (t) = Q X (t) Q 1 (t) + Q 0 (t) (9) La (8) si rende neessaria in quanto Pro( x 1 x 0 ) = Pro(x 0 ). Fra i metodi per il alolo di ω S (t), presentati e onfrontati in [12], in ASTRA e` stato appliato quello proposto da Liu-Pan [13], seondo una formulazione ridotta, in quanto en si adatta alla struttura del grafo ottenuto appliando il metodo di amiamento delle variaili. Il metodo Liu-Pan fornise il valore esatto o approssimato di ω S (t) a seonda he la struttura del BDD si riferisa ad una funzione monotona o non monotona. L approssimazione e` omunque piu` he aettaile. Il alolo di ω S (t) viene eseguito appliando le seguenti espressioni a iasun nodo del grafo. Dato un generio nodo ite(x, F 1, F 0 ), si possono presentare le seguenti situazioni: x = x 1, F 1 e F 0 qualsiasi ω U (t) = ω X (t) Q 1 (t) + ω 1 (t) Q X (t) + [1 - Q X (t)] ω 0 (t) - ω X (t) Q 0 (t) (10) x = x 1, F 1 qualsiasi e F 0 = ite(x 0, A, B) ω U (t) = ω X (t) Q 1 (t) + ω 1 (t) Q X (t) + ω 0 (t) (11) x = x 0, F 1 e F 0 qualsiasi ω U (t) = ν X (t)q 1 (t) + ω 1 (t) Q X (t) + [1 - Q X (t)] ω 0 (t) - ν X (t)q 0 (t) (12) Anhe se non desritte per revita`, e` possiile alolare failmente la frequenza di riparazione e la ritiita` dei omponenti on algoritmi di omplessita `pari a quelli visti per il alolo della frequenza di guasto. Calolo degli MCS Il alolo degli MCS si esegue on gli stessi algoritmi visti per le funzioni monotone, ma solo dopo aver eliminato tutte le variaili negate fisiamente (variaili on pedie 0 ) appliando le seguenti regole di semplifiazione: R6: ite(x 1, A, ite(x 0, B, 0)) = ite(x 1, A, B) R7: ite(y, ite(z 0, A, B), C) = ite(y, F, C) R8: ite(y, C, ite(z 0, A, B)) = ite(y, C, F) dove x 1, x 0 rappresentano una variaile iforme, z 0 una variaile monoforme negata, una variaile monoforme affermata e F = A B. Il BDD risultante, opportunamente ridotto, rappresenta una funzione monotona he deve essere sottoposta a minimizzazione prima dell estrazione degli MCS. 9

10 4. IL SOFTWARE ASTRA-FTA PER L ANALISI DEGLI ALBERI DI GUASTO ASTRA-FTA e` un nuovo software in amiente Windows 95 e NT per l analisi di aleri di guasto omplessi asato sull approio BDD [14, 15 ]. Esso e` in grado di analizzare aleri ontenenti gli operatori AND, OR, NOT, XOR, K/N e INH. L effiienza di ASTRA-FTA puo` essere mostrata mediante i risultati ottenuti dall analisi di un erto numero di aleri omplessi. La taella 2 ontiene, per ogni alero onsiderato, il numero di operatori, il numero di eventi primari e il numero totale di MCS. Gli aleri 3 [ 6 ], 5 e 6 [ 9 ] sono in realta` semplifiati nel numero di eventi e gates (sono aleri gia` modularizzati), mentre la logia di guasto e` omplessa; essi presentano aluni livelli di logihe maggioritarie in asata e si riferisono a sistemi di siurezza di impianti nuleari. Fault Tree Numero di Gates Numero di Eventi Numero di MCS , , ~ , > ,677 Taella 2. Caratteristihe degli aleri di guasto di riferimento L appliazione di ASTRA-FTA agli aleri in Taella 1, elaorati su PC 486 a 200 Mhz, ha fornito i risultati mostrati nelle taelle seguenti. Nell ultima olonna della Taella 3 sono riportati i tempi di alolo per la determinazione del valore esatto dell indisponiilita` Q S (t), del grafo minimo ontenente i soli MCS e del valore del primo ound Q S 1 (t) (uguale alla somma delle indisponiilita degli MCS). Fault tree Numero di gates Numero di eventi Numero totale di MCSs Q S (t) Tempo di alolo (se) , , > , > , Taella 3. Risultati dell appliazione del metodo BDD agli aleri di ui alla Taella 2. La determinazione degli MCS viene eseguita appliando la tenia di ut-off. In Taella 4 sono riportati i risultati dell analisi. Un MCS e` onsiderato signifiativo se la sua indisponiilita` P P lim, ossia non minore del valore di soglia stailito dall utente. Fault tree Cut-off P lim Numero di MCS Q 1 S (t) Pe Tempo (se) signifiativi , Taella 4. Risultati dell estrazione degli MCS signifiativi dai grafi minimi Nell attuale versione di ASTRA-FTA, l analisi proailistia viene eseguita sull insieme degli MCS signifiativi, in quanto viene utilizzato lo stesso modulo di alolo di ISPRA-FTA. Dal momento he l analisi proailistia viene eseguita solo su un sottoinsieme di MCS, l informazione sull errore di tronamento diventa importante; esso e` alolato ome somma delle indisponiilita` degli MCS aventi P < P lim : Pe = Q S 1 (t) - Σ Pro (C i ) i dove Ci rappresenta il generio MCS signifiativo. 10

11 5. CONCLUSIONI E SVILUPPI FUTURI Nella presente memoria sono stati revemente desritti i fondamenti teorii dell approio BDD all analisi di fault trees omplessi. L effiienza di questo approio e` stata mostrata mediante l appliazione del programma ASTRA-FTA ad aluni aleri di sistemi reali. Grazie al nuovo approio sara` possiile sviluppare strumenti di alolo piu` potenti rispetto a quelli asati sugli approi tradizionali. Presso CCR-ISIS e` in orso lo sviluppo di un nuovo modulo ASTRA per il miglioramento delle aratteristihe di affidailita` e disponiilita` di sistemi omplessi asato sull analisi interattiva di ritiita` dei omponenti, appliata ontemporaneamente a tutti gli aleri del sistema rappresentati mediante BDD. Tale modulo puo` essere ovviamente utilizzato anhe per il miglioramento di sistemi, ad esempio nuleari, modellizzati mediante Event Trees e Fault Trees. Le potenzialita` dell approio BDD ne onsentono l appliazione anhe al ontrollo on-line di sistemi omplessi [16]. 6. ELENCO DEI SIMBOLI Q S (t) valore esatto dell indisponiilita` del top event Q 1 S (t) primo ound dell indisponiilita` del top event Q X (t), Q 1 (t), Q 0 (t) indisponiilita` dell evento x, del residuo F 1 e del residuo F 0 ω X (t), ω 1 (t), ω 0 (t) frequenza istantanea non ondizionata di guasto dell evento x, del residuo F 1 e di F 0 ν X (t), ν 1 (t), ν 0 (t) frequenza istantanea non ondizionata di riparazione dell evento x, del residuo F 1 e di F 0 W S (T) numero aspettato di guasti del top event T tempo di missione P lim soglia assoiata alla indisponiilita` degli MCS Pe errore di tronamento 7. BIBLIOGRAFIA [1] W.E. Vesely, Analysis of Fault Trees y Kineti Tree Theory Idaho Nulear Corporation, IN-1330, 1969 [2] M.Astolfi, S.Contini, C.Van den Muyzenerg, G.Volta, Fault Tree Analysis y List Proessing, in Synthesis and Analysis Methods for Safety and Reliaility Studies. edited y G.Apostolakis, G.Garria and G.Volta, Plenum Press, new York and London, 1980 [3] S.Contini, SALP-PC, A Fault Tree Analysis Pakage on Personal Computers. User Manual. CEC-JRC Ispra Estalishment, T.N , 1986 [4] S. Contini, ISPRA-FTA. Interative Software Pakage for Reliaility Analysis. Fault Tree Analysis Tool for Personal Computers, JRC-Ispra, EUR EN, 1992 [5] S. Contini, A New Hyrid Method for Fault Tree Analysis, Reliaility Engineering and System Safety, 49, 1995 [6] L. Caldarola, W. Wihenhauser, The Boolean Algera with Restrited Variales as a Tool for Fault Tree Modularization, KfK 3190 / EUR 7056e, 1981 [7] R.E. Bryant, Graph Based Algorithms for Boolean Funtions Manipulation IEEE Transations on Computers, Vol. C-35, 1986 [8] S. Contini, G. de Cola (1996), A Top Down Approah to Fault Tree Analysis Using Binary Deision Diagrams, European Journal of Automation, Vol. 30, n.8, 1996 [9] A. Rauzy, New Algorithms for Fault Tree Analysis, Reliaility Engin. and Systems Safety, 40, 1993 [10] A. Amendola, C.A. Clarotti, S. Contini, F. Spizzihino, Analysis of Complete Logial Strutures in System Reliaility Assessment, JRC-Ispra, EUR 6886 EN, 1980 [11] J.C Coudert, P. Madre, Metaprime: an Interative Fault Tree Analyser with Binary Deision Diagrams IEEE Transations on Reliaility, Vol. 43, 1994 [12] P. Gianotti, Rassegna dei metodi per la determinazione delle aratteristihe affidailistihe di sistemi non oerenti, CCR-ISIS, TN. I , 1997 [13] J.C. Liu, Z.J. Pan, A new Method to Calulate the Failure Frequeny of Not Coherent Systems, IEEE Transations on Reliaility, Vol.39, N. 3, [14] S.Contini, G. de Cola, M.Wilikens, G. Cojazzi, ASTRA, An Integrated Tool Set for Complex Systems Dependaility Studies, Workshop on Tool Support for Systems Speifiation, Development and Verifiation, Malente, Germany, [15] S.Contini, ASTRA Theoretial Handook, JRC SP-report, in orso di puliazione. [16] S.Contini, M. Wilikens, M. Masera, The Use of RAMS Proailisti Analysis for On-line Maintenane and Deision Support, ESREL 96, Crete, Greee,