ITTO930833A1 - Generazione automatica di un'analisi ad albero dei guasti funzionale di un sistema a partire da una sua descrizione in analisi strutturata. - Google Patents

Description

DESCRIZIONE dell?invenzione industriale dal titolo: "Generazione automatica di un?analisi ad albero dei guasti funzionale di un sistema a partire da una sua descrizione in analisi strutturata"

DESCRIZIONE

Campo dell'invenzione

La presente invenzione fa riferimento in generale ai procedimenti, o metodologie, per l?analisi di sistemi e pi? specificamente fa riferimento ai procedimenti per l'analisi di sistemi elettronici complessi atti ad individuare errori di progettazione latenti, hardware e/o software, che potrebbero causare malfunzionamenti nei sistemi stessi.

L'invenzione nasce dall'esigenza di utilizzare uno strumento di analisi di sistemi dedicato all?an?lisi di affidabilit? e sicurezza quale l?analisi ad albero dei guasti, o Fault Tree Analysis, d?ora in poi abbreviata F.T.A., in connessione con le metodologie di analisi funzionale strutturata, o Structured Analysis, di Yourdon -DeMarco, d?ora in poi abbreviata S.A., durante le fasi preliminari della progettazione di sistemi elettronici, in particolare sistemi di controllo a microprocessore, per apparecchiature destinate all?impiego veicolare.

Mediante uno strumento di questo tipo ? possibile individuare, durante le varie fasi della progettazione, difetti e criticit? del sistema in fase di progetto e quindi modificare il sistema stesso al fine di eliminare i difetti cos? individuati. Lo strumento rende quindi possibile progettare,validare e realizzare sistemi complessi aventi un elevato grado di affidabilit? riducendo nel contempo i costi e la durata delle fasi di progettazione e sviluppo. Descrizione della tecnica nota

Ne consegue la necessit? primaria di analizzare le due metodologie indicate, individuarne le rispettive potenzialit? e quindi determinare come queste possano interagire al fine di offrire una progettazione pi? accurata, realizzata mediante il supporto di analisi affidabi listiche. Nel seguito verranno sinteticamente illustrate,per una migliore comprensione, tali metodologie.

Analisi strutturata (S.A.)

Tale metodologia viene attualmente utilizzata dal progettista per definire, a partire dalle specifiche, un modello funzionale del sistema da realizzare che permetta di valutare l'operabilit? del sistema stesso e ne evidenzi le principali funzionalit?. Il modello viene realizzato mediante una descrizione funzionale gerarchica utilizzando una sintassi grafica definita da Yourdon - DeMarco, si veda "Structured Analysis and System Specification? di Tom DeMarco, Prentice-Hal1 Ine., 1979, che evidenzia il flusso dei dati (Data Flow Diagram) all?interno del sistema.

Il sistema in oggetto viene decomposto funzionalmente fino ad identificare delle funzioni elementari o nuclei elementari di elaborazione che trasformano i flussi di dati in ingresso in flussi di dati in uscita. La descrizione comportamentale delle funzioni elementari avviene attraverso l?utilizzo di pseudocodice oppure attraverso linguaggi formali di programmazione.

La modellazione del comportamento dinamico del sistema, ovvero l?evoluzione del sistema attraverso degli stati definiti a fronte di eventi, 3i ottiene utilizzando l'estensione alla metodologia prodotta da Vard - Mellor, si veda "Structured Development for Real-Time Systems? di Paul Ward, Stephen Mellor, Prentice-Hal 1 Ine. 1985, che prevede l'introduzione di flussi di controllo (o eventi del sistema) e di processi di controllo che vengono descritti attraverso delle macchine a stati (State Transition Diagram) .

L?analisi viene effettuata ad un livello completamente astratto, prescindendo dalla successiva partizione che definir? quali funzioni debbano essere assolte mediante procedure software e quali mediante componentistica hardware. Questa analisi preliminare consente quindi lo studio del sistema nei diversi stati di funzionamento, onde verificare la completezza del progetto, ma non d? alcuna indicazione sul comportamento del sistema in caso di deterioramento e tantomeno evidenzia la criticit? delle diverse funzioni che lo costituiscono ai fini del corretto funzionamento dell?apparato.

L?Analisi Strutturata realizza quindi lo studio di un sistema nell'ipotesi che tutte le funzioni elementari descritte al suo interno vengano assolte in modo corretto e che le informazioni fornite al sistema dall'esterno siano esatte.

Il modello prevede una scomposizione del sistema in funzioni (graficamente rappresentate come bolle) ciascuna ulteriormente scomponibile in funzioni pi? elementari fino ad un livello di discretizzazione tale da permettere una caratterizzazione comportamentale di ciascuna funzione mediante un dato linguaggio. La caratterizzazione delle funzioni prevede unicamente il loro comportamento nominale, e prescinde da possibili errori, guasti od altre anomalie di funzionamento.

A ciascun livello, le funzioni vengono collegate mediante i dati che queste si scambiano ed i rispettivi controlli, utilizzando la logica delle macchine a stati.

Analisi dell'albero dei guasti (F.T.A.)

La F.T.A. ? tra le metodologie affidabi1istiche pi? diffusamente utilizzate nell?analisi di sistemi. La sua modalit? di applicazione si riferisce tipicamente ad un sistema formato da sottosistemi e componenti fisici identificati, interagenti fra loro per dare luogo al sistema complessivo.

I concetti su cui si ba3a questa metodologia sono per? sufficientemente generali da consentirne l?applicazione anche a sistemi concepiti come "funzioni complessive? costituite da "funzioni elementari?, invece che a sistemi costituiti da componenti fisici. Quindi tale metodologia ? utilizzabile anche in fase di definizione concettuale del sistema una volta che siano state identificate le funzioni elementari componenti il sistema ovvero ne sia stata compiuta l'analisi funzionale.

In tal caso per? non si possono disporre dei dati numerici (tassi di guasto) relativi alle funzioni elementari, e quindi non ? possibile compiere una analisi quantitativa dell'affidabilit? bens? ci si limita ad una analisi qualitativa che ? comunque utile per l?identificazione delle criticit? nella struttura funzionale.

Verranno analizzate ora le principali caratteristiche della F.T.A. senza peraltro entrare nella descrizione dettagliata della metodologia, si veda al riguardo "System Reliability Evaluation and Predictivity Engineering" di A. Pages, M. Gondrand, North Oxford Academic.

La F.T.A. adotta un approccio di tipo sintetico e permette di tenere presente pi? di un guasto alla volta, ma in modo indipendentemente dalla loro sequenza. Ci? che concerne la sinteticit? piuttosto che l'esaustivit? pu? essere considerato un vantaggio dal punto di vista dell?applicabilit? ma uno svantaggio dal punto di vista della completezza dei risultati: va quindi valutato a seconda delle finalit? dell'applicazione.

Un'ulteriore limitazione nella modellazione con la F.T.A. ? l?impossibilit? di rappresentare fenomeni di sequenzialit?, priorit?, parallelismo tra eventi; elementi dinamici che possono avere in realt? un notevole impatto sulle possibili conseguenze. L'unico modo di analizzare tali fenomeni attraverso la F.T.A. ? la generazione di un albero di guasto per ciascuno stato di evoluzione dinamica del sistema.

Ci? comporta un notevole sforzo di modellazione a meno di disporre di strumenti automatici di supporto nella costruzione degli alberi di guasto. Inoltre la F.T.A. consente di valutare il sistema in relazione ad un solo evento indesiderato alla volta, il quale deve essere precedentemente identificato e definito.

Scopi e sintesi della presente invenzione

Lo scopo della presente invenzione ? quello di realizzare uno strumento integrato ossia un procedimento, o metodologia, di analisi affidabi1istica e modellazione di sistemi complessi che permetta di risolvere in modo soddisfacente le limitazioni degli strumenti, descritti in precedenza, secondo la tecnica nota.

Secondo la presente invenzione, tale scopo viene raggiunto grazie ad un procedimento avente le caratteristiche indicate nelle rivendicazioni che seguono la presente descrizione, che prevede l?integrazione, secondo modalit? che verranno descritte nel seguito, delle due metodologie, S.A. ed F.T.A., secondo la tecnica nota, sopra indicate.

Obiettivi e vantaggi dell?integrazione

Dalla descrizione dei due strumenti metodologici emergono immediatamente due aspetti che giustificano pienamente una loro integrazione:

I) la S.A. non permette l'analisi affidabilistica del sistema e l?individuazione delle funzioni critiche a cui si deve dedicare particolare attenzione durante la progettazione del sistema, tale analisi pu? invece essere realizzata mediante la F.T.A.;

II) sia la S.A. che la F.T.A. richiedono un modello funzionale del sistema allo studio per realizzare la loro parte di analisi, pertanto l?integrazione dei due strumenti consente il riutilizzo delle informazioni necessarie ad entrambi gli ambienti evitando la realizzazione di due modelli separati che causerebbe maggiori costi ed il rischio di lavorare su modelli privi di coerenza .

L'integrazione tra la S.A. e la F.T.A. permette invece di effettuare, durante le fasi preliminari della progettazione in cui la caratterizzazione del sistema ? molto astratta, un'analisi di affidabilit? del sistema,evidenziando cos? le funzioni pi? critiche e le minime combinazioni di funzioni non assolte che degradano le funzionalit? del sistema complessivo (i cosiddetti "minimal cut sets", o insiemi minimi di taglio, ricavabili dall?albero di guasto funzionale ).

L'individuazione delle funzioni critiche e degli insiemi minimi di taglio consente cos? di orientare in modo pi? proficuo le fasi successive della progettazione prestando particolare cura alle funzioni rilevatesi essenziali per il sistema o addirittura riorganizzandone la struttura per ottenere insiemi minimi di taglio di ordine superiore.

Il valore aggiunto principale dell?integrazione consiste per? nel minimizzare notevolmente gli sforzi di modellazione del sistema mediante l?utilizzo di una sintassi unica sia per gli aspetti funzionali che per quelli affidabilistici. Tale semplificazione facilita lo sviluppo di un progetto in quanto consente una pi? chiara definizione dei problemi evitando la dispersione e la ridondanza delle inf orinazioni , e quindi permette di abbreviare notevolmente i tempi di analisi e progetto dei sistemi. Inoltre una sintassi unica favorisce lo sviluppo di strumenti automatici computerizzati per il supporto alla progettazione dei sistemi producendo un ulteriore beneficio sulla semplicit? e sui tempi di applicazione della metodologia di progetto.

Questa riduzione dei tempi nelle fasi di progetto dei sistemi elettronici, pur mantenendo una completa e approfondita analisi funzionale e affidabi listica, rappresenta un notevole vantaggio industriale .

L?Analisi Strutturata,come gi? detto,permette una rappresentazione gerarchica del sistema in esame, tale rappresentazione permette all'analista di sviluppare per passi successivi il modello funzionale esplodendo ogni volta ciascuna funzione in un livello successivo di maggiore dettaglio. Si ritiene che sia particolarmente vantaggiosa l?applicabilit? della metodologia F.T.A. a diversi livelli di astrazione del modello, permettendo di volta in volta la scelta del livello di dettaglio (livello della rappresentazione gerarchica) a cui effettuare 1?analisi.

Il procedimento integrato secondo la presente invenzione permette facilmente la scelta del livello di analisi e pu? inoltre far intravedere ulteriori sviluppi nell'applicazione del procedimento, non solo a livello astratto-funzionale, ma anche nelle fasi esecutive della progettazione per le quali ? gi? stata effettuata una ripartizione hardware/ software e sono stati identificati i componenti fisici del sistema,

A questo livello l?analisi affidabi1istica consente anche la determinazionequantitativa dell?affidabilit? del sistema e quindi, in base ad essa, l'ottimizzazione del progetto. Anche in questocaso vi ? il vantaggio di poter mantenere lo stesso tipo di sintassi di modellazione dei sistemi, semplificando il lavoro di apprendimento dei progettisti e riducendo l?impatto dell?introduzione aziendale della metodologia.

Descrizione particolareggiata dell'invenzione Ulteriori vantaggi e caratteristiche della presente invenzione risulteranno evidenti dalla seguente dettagliata descrizione, effettuata con l?ausilio degli annessi disegni, forniti a titolo di esempio non limitativo, in cui:

la figura 1 ? un diagramma schematico di contesto di un sistema di climatizzazione modellato mediante la metodologia secondo la presente invenzione ,

la figura 2 ? una prima espansione gerarchica del sistema di climatizzazione di figura 1,

la figura 3 ? una seconda espansione sulla funzione "Gestione-miscelazione? di figura 2,

la figura 4 ? un diagramma a stati schematico per il controllo del sistema,

le tabelle 1A, 1B e 2A, 2B rapporesentano modelli utilizzati per le funzioni del sistema di climatizzazione,

le figure 5A, 5B e 5C sono una rappresentazione schematica di un albero dei guasti generato secondo la presente invenzione in base al modello,

la tabella 3 rappresenta schematicamente un insieme di taglio minimo con indici di indisponibilit?, e

la tabella 4 rappresenta schematicamente alcune criticit? degli eventi primari (modi di guasto delle funzioni) .

Tuttavia prima di cominciare la descrizione dettagliata della metodologia secondo la presente invenzione verranno qui di seguito approfonditi alcuni aspetti delle due metodologie secondo, la tecnica nota (S.A. ed F.T.A.) per permettere una migliore comprensione dell'integrazione che conduce alla presente invenzione.

Informazione disponibile a richiesta

Prima di entrare nel merito dell'integrazione tra le due metodologie ci si sofferma ancora sulle loro caratteristiche al fine di individuare, in modo dettagliato, l'informazione che esse gestiscono e quindi risalire al contenuto informativo comune utilizzato da entrambe. Questo permetter? di evidenziare la conoscenza disponibile in ambiente S.A. che potr? essere utilizzata dalla F.T.A., onde evitare una duplice definizione, minimizzare le possibilit? di errore e mantenere la coerenza tra i due modelli.

S.A.

La metodologia S.A., come gi? indicato, utilizza un modello funzionale gerarchico del sistema in esame. Ciascun livello della gerarchia ? caratterizzato da una struttura topplogica che collega tra loro le. diverse funzioni descritte (tipicamente rappresentate graficamente come bolle,vedere figure 1 a 4). Ne deriva quindi che per ciascun livello l?ambiente dispone dell?informazione relativa alle bolle in esso contenute ed alle connessioni realizzate tra le diverse bolle.

Ciascuna connessione ?'caratterizzata da una rappresentaz ione grafica che agevola la leggibilit? della rappresentazione e da un identificativo che permette di accedere al tipo di informazione trasferita dalla connessione stessa (segnali o controlli). I segnali possono essere di tipo continuo oppure discreto; i controlli sono discreti ed in generale non presentano un ordine (es.

[aperto |chiuso]).

Alle bolle contenute ai livelli gerarchici pi? profondi, per ciascun ramo,viene inoltre associato il modello comportamentale scritto dall'analista in un dato linguaggio formale o attraverso pseudocodice, a partire dalle specifiche di progetto.

Alcune bolle particolari, presenti ai diversi livelli, realizzano il ruolo di controllore, trasmettono cio? alle bolle adiacenti dei segnali per il loro controllo. La descrizione della dinamica del controllo avviene attraverso una schematizzazione a parte (State Transition Diagram) in cui si riportano i possibili stati del sistema e le possibili transizioni tra essi, a ciascuna transizione ? anche associato l'evento o il comando che induce la transizione .

F .T.A.

L'analisi affidabilistica F.T.A., deve essere compiuta a partire da una descrizione fisica del sistema. Normalmente tale descrizione viene fornita su un modello piatto del sistema. Ovvero, il modello ? costituito da un insieme di oggetti (i componenti) collegati da un certo numero di connessioni fisiche (linee elettriche, idrauliche, pneumatiche, ecc.).

Nell 'utilizzo qui previsto la F.T.A. viene applicata a livello funzionale, ovvero i componenti fisici sono le funzioni elementari e le connessioni fisiche sono il flusso di informazioni; senza per? alterare la natura dell'analisi. La sola informazione globale ? rappresentata dalla struttura topologica che indica come i diversi componenti sono collegati tra di loro e con i sistemi periferici.

Ciascun componente rappresenta un "oggetto", caratterizzato da un set di attributi che ne descrivono le propriet? quali il suo comportamento, i suoi modi di guasto, i parametri affidabilistici e di progetto, e tutte le informazioni che possono rendersi necessarie per l'analisi da effettuare.

Ai fini della costruzione degli alberi di guasto e della loro analisi, le informazioni necessarie risultano essere:

la struttura topologica del sistema;

la lista dei componenti che lo costituiscono e per ciascuno di essi:

il nome;

la lista dei modi di guasto;

la lista dei parametri affidabilistici (rateo di guasto, rateo di riparabilit?, intervallo di test, indisponibilit? su domanda) per ciascun modo di guasto (opzionali per l?analisi qualitativa); il modello logico di comportamento nominale e degradato;

lo stato del componente assunto per l'analisi in corso.

Gli attributi citati sono quelli che risultano indispensabili per un?analisi aff idabilistica quantitativa, ci? non esclude che l?analista possa aggiungere altri attributi che permettano di arricchire la rappresentazione.

Per quanto riguarda lo stato del componente, va ricordato che la metodologia degli alberi di guasto ?, come gi? detto in precedenza, di tipo statico ossia permette l'analisi del sistema in un particolare stato di funzionamento (o fase operazionale) oppure durante la transizione tra due stati successivi, ma non ? in grado di studiarne la dinamica di comportamento. Per tale motivo, prima di effettuare la costruzione dell'albero dei guasti, ? necessario fissare lo stato di tutti i componenti al fine di determinare in modo univoco lo stato del sistema complessivo .

Dalle indicazioni riportate emergono le caratteristiche essenziali che differenziano le due metodologie.?

la S.A. utilizza un modello gerarchico mentre la F.T.A. lavora con un modello piatto;

la S.A. effettua un'analisi anche del comportamento dinamico del sistema mentre la F.T.A. effettua l'analisi per una particolare configurazione del sistema;

la S.A.analizza esclusivamente il comportamento nominale del sistema (in assenza di guasti o errori) mentre la F.T.A. analizza esclusivamente il comportamento degradato del sistema (in presenza di guasti o errori).

Nonostante tali differenze, esse presentano anche diverse caratteristiche comuni:

entrambe rappresentano il modello funzionale topologico del sistema ottenuto mediante un certo numero di oggetti (bolle o componenti) interconnessi da flussi;

entrambe le metodologie pr?vedono un modello di comportamento nominale del sistema. A questo proposito va notato che la S.A. descrive un modello funzionale quantitativo, espresso cio? mediante descrizione algoritmica delle funzioni elementari e definizione della tipologie dei dati, mentre nella F.T.A. ? necessario un modello logico qualitativo, descritto da linguaggi logici a regole e sostenuto da tipologie di dati discretizzati;

La presenza di informazioni comuni giustifica pienamente l'integrazione in oggetto.

La soluzione integrata

Il procedimento, o metodologia, integrato secondo la presente invenzione in sostanza permette l'analisi affidabi1istica del sistema modellato in S.A. mediante l'utilizzo della tecnica F.T.A.. La realizzazione di tale analisi richiede essenzialmente quattro fasi (si veda la Tabella delle Fasi, riportata qui di seguito), la prima dedicata alla analisi funzionale del sistema (attraverso la S.A.), la seconda relativa al trasferimento del modello in ambito F.T.A., la terza per definire gli scenari dinamici per i quali l?affidabilit? del sistema deve essere studiata ed infine la quarta ed ultima per effettuare l'analisi affidabi1istica secondo la F.T.A. propriamente detta.

Le prime tre fasi possono essere effettuate un'unica volta per ciascun sistema da analizzare, queste realizzano un modello e pi? scenari che possono poi essere utilizzati ripetutamente per effettuare le diverse analisi di affidabilit? richieste per lo studio del sistema al variare dell?evento principale, o evento top,dello scenario per il quale si realizza l'analisi e cos? via. Eventualmente si pu? ripetere anche la terza fase qualora si vogliano studiare scenari nuovi non previsti durante la preparazione del modello. Nel seguito si entrer? nel merito delle diverse fasi, indicando le singole attivit? che queste prevedono.

Tabella delle Fasi

Fase 1. - Realizzazione del modello funzionale in S.A.

Fa3e 2. - Realizzazione di un modello affidabilistico necessario per la F.T.A.

F2.1. - Discretizzazione delle deviazioni dei segnali e dei controlli

F2.2. - Traduzione dei modelli di comportamento nominale delle funzioni

F2.3. - Trasferimento della rappresentazione gerarchica del sistema

F2.4. - Introduzione dei modi di -guasto e relativi modelli di comportamento Fase 3. - Definizione degli scenari di analisi Fase 4. - Definizione dell'analisi affidabilistica

F4.1 - Scelta del livello di dettaglio (profondit? nella gerarchia)

F4.2 - Definizione dell?evento top F4.3 - Scelta dello stato del sistema F4.4 - Costruzione dell'albero dei guasti F4 .5 - Analisi dell'albero dei guasti Fase 1:Realizzazione del modello funzionale in S.A.

Deve essere compiuta seguendo la metodologia S.A. (si vedano i gi? citati testi di DeMarco e di Ward-Mellor) per la modellazione delle funzionalit?, del flusso di dati e della dinamica del sistema. Fase 2: Realizzazione del modello affidabilistico In pratica ? la fase di conversione del modello secondo la S.A. nel modello secondo la F.T.A. ed ? suddivisa in quattro sottofasi.

F2 .1 La fase di modellazione prevede innanzi tutto la scelta relativa alla discretizzazione delle variabili (segnali o controlli) gestite dal sistema, ed in particolare la discretizzazione delle loro deviazioni rispetto ai valori assunti nominalmente per una data configurazione (stato) del sistema. Tale discretizzazione permette lo studio del comportamento deteriorato del sistema a seguito di funzioni non assolte o deviazione nei segnali provenienti dall'ambiente esterno. Ad esempio il dato "temperatura? di tipo intero limitato nel range da [-30,+120] nella S.A., viene discretizzato su due valori di deviazione [high, low] con il seguente significato: high, identifica una deviazione,dovuta ad un guasto, del segnale "temperatura? verso valori pi? elevati di quello nominale (in dipendenza del particolare stato in cui si trova il sistema); viceversa low, identifica deviazioni verso valori inferiori a quello nominale.

F2 .2 La discretizzazione risulta necessaria per il passo successivo che prevede la traduzione dei modelli di comportamento nominale quantitativi in modelli di comportamento nominale qualitativi, adatti per l'analisi affidabilistica.Questi modelli servono per comprendere come le funzioni elementari corrette propagano, nella loro trasformazione di dati, una deviazione presente sui dati in ingresso. Ad esempio per una funzione con due ingressi A e B e una uscita C definita come C = A/B, una deviazione high sul segnale A, provoca una deviazione high anche sul segnale C; mentre la stessa deviazione high sul segnale B, provoca una deviazione low su C; viceversa capita con deviazioni low. Tale traduzione deve essere effettuata per ciascuna funzione presente ai livelli del modello gerarchico S.A. per i quali si intende realizzare la costruzione dell?albero di guasto.

F2 .3 La modellazione prosegue con il trasferimento dell?informazione topologica contenuta nel modello S.A. in una analoga utilizzabile dalla F.T.A.. Ovvero attraverso una trasformazione della rappresentazione gerarchica strutturata del sistema in una rappresentazione piatta dove tutte le connessioni tra i componenti vengono esplicitate e propagate. Tale trasformazione non deve necessariamente produrre un modello topologico piatto rappresentabile graficamente, in quanto ci? porterebbe notevoli problemi di sbrogliatura delle connessioni. ? sufficiente l'informazione, anche tabellare, delle connessioni logiche tra tutte le funzioni.

F2.4 L'ultima attivit? richiesta ? la definizione dei modi di guasto per ciascuna funzione. La definizione dei modi di guasto pu? essere data attraverso regole ?IF - THEN" che esprimano il valore di deviazione dei dati in uscita in relazione ai diversi modi di guasto possibili della funzione, ai valori dei dati in ingresso e allo stato del sistema. Con questa informazione si identificano le deviazioni dei segnali in uscita della funzione a fronte dei possibili modi di guasto interni alla funzione stessa, supponendo corretti i dati in ingresso. Tale operazione deve essere realizzata per tutte le funzioni che appartengono ai livelli del modello gerarchico che verranno analizzati in fase di costruzione automatica dell?albero di guasto, inoltre possono essere introdotti gli eventuali parametri aff idabi1istici (ratei di guasto, indisponibilit? su domanda, intervalli di test e ratei di riparazione) utili per una analisi affidabilistica quantitativa.

Fase 3: Definizione degli scenari di analisi

La terza fase richiesta per l?analisi del sistema ? la definizione degli scenari di studio intesi come successioni di stati del sistema per le quali si desidera effettuare l?analisi affidabilistica. Va infatti ricordato che per l?analisi di affidabilit? mediante alberi di guasto deve essere definito un ben preciso stato di funzionamento del sistema e che per ottenere un?analisi affidabilistica completa ? necessario studiare tutti gli stati attraversati dal sistema durante il suo funzionamento. Nella F.T.A tradizionale la selezione dello stato del sistema viene compiuta implicitamente da chi realizza l'analisi, avendo esso in mente un particolare modo di funzionamento. In un?ottica di integrazione delle metodologie si pu? invece pensare di riutilizzare l'informazione disponibile nella S.A. che prevede la definizione di diagrammi di transizione degli stati per la modellazione dell'evoluzione dinamica del sistema. Utilizzando tali modelli ? infatti possibile individuare automaticamente i diversi stati di funzionamento assunti dal sistema, e quindi individuare lo scenario comportamentale dell'evoluzione corretta del sistema riducendo notevolmente l'impegno dell?analista. Fase 4: L'analisi affidabi1istica

Quest'ultima fase realizza l'analisi affidabilistica vera e propria. Si compone di 5 sottofasi pi? elementari che prevedono:

F4.1 La definizione del livello di dettaglio a cui effettuare l'analisi. tale ooerazione Dermette all'analista di scegliere per ciascun ramo della rappresentazione crerarchica il livello che si intende considerare per la costruzione dell'albero di quasto. Ci? ? utile per permettere all?analista una maqqiore flessibilit? di analisi ed approfondire l?affidabilit? la dove siano qi? state identificate delle funzioni critiche per la sicurezza.

F4.2 La definizione dell?evento top che si intende studiare mediante l?albero di quasto. Essa avviene tramite la specificazione della deviazione di un dato, tipicamente di un dato in uscita del sistema. F4.3 La definizione dello stato del sistema. Ci? significa l?identificazione di tutti i valori dei seqnaii di controllo interni al sistema relativi alio specifico stato che si desidera analizzare. Lo stato scelto deve essere tra quelli identificati nella Fase 3.

F4.4 Costruzione dell'albero dei guasti. Dopo aver effettuato tutte le precedenti fasi, tutte le informazioni necessarie per la costruzione dell'albero risultano formalizzate e facilmente accessibili. La costruzione dell?albero risulta pertanto molto semplificata e facilmente implementabile attraverso procedure automatiche supportate da elaboratore.

F4 .5 L'ultima fase della metodologia descritta ? l?analisi dell'albero costruito. Questa si svolge nel modo tradizionale secondo la metodologia F.T.A. (si veda il gi? citato testo di Pages e Gondrand) e consente sia l?analisi qualitativa con il calcolo dei minimal cut set e dell?indice di criticit? dei componenti, che l?analisi quantitativa con il calcolo dell'indisponibilit? dell'evento top e della probabilit? associata a ciascun cut set. Le prime tre operazioni citate possono essere svolte nell'ordine dettato dal tipo di analisi che si intende effettuare, a seconda che si desideri analizzare lo stesso evento top per pi? configurazioni del sistema oppure 3i intenda verificare come il livello di dettaglio dell'analisi incida sul risultato o ancora che si desideri esaurire l'analisi per una stessa configurazione del sistema analizzando eventi*top differenti.

La progettazione di sistemi elettronici ? ormai, anche a livello industriale, assistita da alcune metodologie di progetto supportate da strumenti automatici (CAE/CASE, Computer Aided Engineering, Computer Aided Software Engineering). La tendenza evolutiva di tali strumenti e metodologie porta verso una maggiore accuratezza dello sforzo progettativo nelle fasi alte dello sviluppo. Ovvero l'investimento in termini di mezzi e risorse nella realizzazione di sistemi elettronici si sposta dalla fase implementativa a quella del progetto funzionale.

La metodologia qui descritta si colloca in questa fa3e di progetto funzionale di un sistema. In tale fase progettuale ? indispensabile studiare e assestare le logiche funzionali del sistema in questione ma ? altres? importante definire l?architettura affidabi1istica del sistema necessaria a soddisfare i requisiti di sicurezza.

Al momento attuale esistono metodologie per l?analisi degli aspetti funzionali di un sistema (quali la S.A.) e metodologie per l?analisi affidabilistica (quali la F.T.A.). La metodologia qui descritta propone di analizzare congiuntamente i due aspetti partendo da una sintassi comune. I vantaggio evidente che una tale integrazione apporta ? la riduzione delle fasi di modellazione funzionale e affidabilistica del sistema in un unico modello che considera entrambi gli aspetti.

Ci? permette una riduzione complessiva dei tempi di analisi del sistema e mantiene la coerenza tra le analisi dei diversi aspetti. Si pensi, per comprendere l?importanza di questi vantaggi, alle frequenti modifiche della struttura funzionale che avvengono durante la fase di assestamento delle specifiche dovute ad esempio alle interazioni tra cliente e fornitore del sistema.

Inoltre la modellazione di un sistema con un unica sintassi che sia in grado di soddisfare le esigenze di diversi tipi di analisi consente una pi? facile automatizzazione della metodologia attraverso strumenti di calcolo, e permette la crescita di tali strumenti verso un ambiente progettativo unificato in cui il progettista abbia facilmente sottomano, in forma coerente e facilmente aggiornabile, tutti gli aspetti riguardanti lo sviluppo di un nuovo sistema.

Esempio applicativo

Per una migliore comprensione diquanto descritto finora verr? ora fornito, con riferimento anche alle figure 1 a 5C ed alle tabelle 1A a 4, un esempio applicativo della metodologia secondo la presente invenzione per lo studio affidabilistico del sistema di controllo di un sistema di climatizzazione per autoveicoli.

L'esempio non intende.esaurire le possibilit? di impiego della metodologia secondo l?invenzione, bens? illustrare le diverse fasi dell'analisi, i criteri di modellazione dei sistema e dei componenti o funzioni che lo costituiscono e quindi indicare i risultati ottenibili. Per questa raqione non si ? data particolare importanza n? alla completezza del modello n? tantomeno alia correttezza del modello di comportamento delle sinqole funzioni, si sono invece illustrate nel dettaqlio tutte le potenzialit? modellistiche della metodoloqia e qli aqqiornamenti che questa richiede per 1'utilizzo sopra indicato. Modellazione del sistema

L'esempio che si vuole considerare ? un sistema di controllo elettronico per un impianto di climatizzazione di autovetture. Il sistema legge in inqresso i valori di alcuni sensori (temperatura ambiente, temperatura esterna,irraggiamento solare, ecc.} e pilota, in funzione di una determinata strategia di controllo, i diversi dispositivi meccanici e/o elettrici di attuazione (movimentazione delle porte.lle di climatizzazione,ventilatore,compressore, ecc.}.

Realizzazione del modello funzionale in 5.A.

Nelle figure 1, 2, 3 e 4 viene riportata i'Analisi Strutturata del sistema Ciimatizzatore. Si pu? osservare la struttura gerarchica della descrizione funzionale a partire dal diagramma di contesto in fig. 1, scendendo nel dettaglio della descrizione nelle fig. 2 e 3. In fig. 4 ? rappresentato il diagramma a 3tati che descrive il comportamento dinamico del sistema di controllo a fronte dell'evoluzione degli eventi.

Per semplicit? si ? riportata la descrizione riguardante la sola funzionalit? di "Gestione_miscelazione" e si sono trascurate le altre funzionalit? del sistema. La sintassi usata per questa modellazione ? naturalmente quella descritta da Yourdon e DeMarco aumentata con le estensioni dovute a Ward e Mellor.

Realizzazione del modello affidabi1istico

Oltre alla descrizione del modello topologico del sistema {avvenuta nella fase 1) l?analisi affidabi 1istica necessita di una descrizione dei modi di guasto di ciascun componente o funzione descritta, dei parametri affidabilistici , dei modelli di propagazione dei guasti all'interno delle singole funzionalit? e della descrizione dello stato in cui si trova il sistema al momento dell'analisi. Nelle tabelle 1A, 1B e 2A, 2B vengono riportati i modelli utilizzati nell'applicazione pilota del climatizzatore . Di seguito viene descritto il significato di ciascun campo descritto nella tabella .

Per ciascun componente o funzione nella tabella viene riportato:

nome: il nome dell'oggetto, utilizzato per identificare la funzione od il componente nell?ambito del modello;

descrizione: un testo di descrizione della funzione realizzata;

ingressi: l?elenco dei segnali in ingresso al componente od alla funzione, caratterizzati ciascuno da un numero d?ordine, un tipo (segnale/controllo) e dalle possibilideviazioni che il segnale od il controllo pu? assumere in seguito a guasti esterni all?oggetto; uscite: l'elenco dei segnali in uscita dal componente o dalla funzione, caratterizzati ciascuno da un numero d?ordine, un tipo {segnale/controllo) e dalle possibili deviazioni che il segnale od il controllo pu? assumere in seguito a guasti interni all?oggetto; stati di funzionamento: l'elenco dei possibili stati di funzionamento di una funzione o di un componente, selezionabi1imediante gli ingressi di controllo;

stato nominale: uno degli stati indicati al punto precedente in cui la funzione dovrebbe trovarsi in caso di corretto funzionamento del sistema per la fase operazionale in esame {si ricordi che l?albero dei guasti ? una metodologia statica che permette l?analisi di una particolare fase operazionale predefinita o della transizione tra una fase predefinita e la successiva) ;

modello comportamentale: un modello rappresentabile attraverso delle regole di produzione, cio? regole del tipo IF-THEN?, che pone in relazione le deviazioni dei segnali o controlli in ingresso ai componenti con le deviazioni dei segnali o controlli in uscita, in funzione dello stato di funzionamento e del modo di guasto della funzione o del componente;

modelli di guasto: un modello rappresentabile attraverso delle regole logiche del tipo "IF-THEN? che descriva i guasti caratteristici del componente o della funzione in oggetto.

Gli attributi citati sono essenziali per la costruzione dell'alber? dei guasti e per l'analisi dello stesso. Come accennato in precedenza si ricorda che i modelli comportamentali introdotti nell'esempio sono puramente indicativi, e quindi non rappresentano effettivamente il comportamento del sistema, ma in ogni caso illustrano il tipo di informazione che l?analista deve fornire per realizzare il modello.

Di seguito si indicano alcune osservazioni relative ai modelli riportati nelle tabelle 1A, 1B.

Le connessioni tra le funzioni sono state suddivise in due principali categorie: i segnali ed i controlli; si ? quindi supposta un?unica possibile deviazione per i controlli (controllo falso) e due deviazioni per i segnali (high e low) che stanno ad indicare lo scostamento assunto rispetto ai valori che si avrebbero qualora tutto l'apparato funzionasse correttamente .

I possibili stati di ciascuna funzione sono stati ottenutimediante combinazione dei valori assunti dagli ingressi di controllo di ciascuna bolla (si veda l?esempio relativo alla funzione Gest-dist).

Nell?esempio si ? assunto in generale un unico modo di guasto per motivi di semplicit?, nonostante ci? non esiste un limite a tal numero; a titolo di esempio si ? supposto che la funzione Calc-tt ammetta due possibili modi di guasto: un errore in eccesso (/errore_+) ed un errore in difetto (/errore_-).

I modelli comportamentali introdotti possono essere classificati in modelli di comportamento nominale e in modelli di comportamento dedicati al componente guasto. I modelli di comportamento nominale mettono in relazione le deviazioni delle variabili di ingresso con le deviazioni delle variabili di uscita come indicato nelle prime tre regole relative alla funzione Gest_di3t, i modelli relativi al comportamento a seguito di guasti presentano sempre dei modi di guasto nell'antecedente della regola e ne indicano le conseguenze in termini di deviazioni delle variabili (segnali o controlli) in uscita alla funzione.

Sempre in riferimento alla modellazione comportamentale si fa notare come sia possibile aumentare il potere descrittivo del modello mediante l'utilizzo di condizioni (c: $DefaultPos ...): tali condizioni indicano il contesto in cui pu? essere applicata la regola a cui tali condizioni sono associate (esempio: la prima regola relativa al comportamento nominale della funzione Calc_tt potr? essere applicata solo qualora lo stato nominale per cui si realizza l?analisi ? "vent" e non potr? essere applicata in altri contesti).

Quanto indicato illustra, anche se in modo molto sintetico, le peculiarit? modellistiche dell?approccio ed indica i dati necessari per effettuare l?analisi di affidabilit? a livello funzionale onde determinare le funzioni critiche per il sistema in esame.

Definizione degli scenari di analisi

Dalla figura 4 sono ricavabili gli stati in cui evolve il sistema, in caso di corretto funzionamento, a seguito di eventi esterni quali l'intervento dell?utente su alcuni tasti o il disinserimento del sistema da chiave. Nell?esempio si ? considerato il funzionamento corretto del sistema unicamente nello stato denominato "acceso? e sono state considerate le deviazioni da questo stato dovute ad alterazioni erronee dei segnali di controllo.

L?analisi affidabi1istica

Il livello di dettaglio scelto per 1'analisi affidabilistica ? stato in questo caso lo stesso livello raggiunto della descrizione in Analisi strutturata .

L'evento top definito nell?analisi ? stato lo studio dell'eccessiva apertura della portella di miscelazione. L'evento top in questione ? stato espresso secondo la sintassi descritta come: valore high sul segnale di uscita della funzione Calc_apm .

La propagazione dell?evento attraverso il sistema, seguendo il modello affidabi1istico descritto, ha permesso la costruzione dell'albero di guasto che ? riportato nelle figure 5A, 5B e 5C. Va osservato che l'albero ? strettamente correlato ai modelli comportamentali associati alle funzioni e pertanto anch'esso ? del tutto indicativo e non rispondente ai requisiti di una reale analisi del sistema climatizzatore.

Sono stati introdotti successivamente dei dati affidabi1istici per gli eventi relativi al contorno del sistema e quindi si ? effettuata anche l'analisi quantitativa dell'affidabilit?.I risultatiottenuti sono riportati nelle tabelle 3 e 4. Nella tabella 3 sono riportati i dati relativi all'albero ed i risultati ottenuti con l'elenco degli insiemi minimi di taglio e l?indisponibilit? degli eventi al tempo di missione fissato pari a 8760 h (1 anno). In totale sono stati ottenuti dieci insiemi minimi di taglio di cui nove di ordine 1 ed uno di ordine 2. Nella tabella 4 si riporta l?elenco degli eventi di guasto primari con l?indice di criticit? calcolato.

Trattandosi di un'analisi ad un livello di rappresentazione del sistema molto astratto (modello funzionale) , la determinazione della criticit? degli eventi primari (modi di guasto delle funzioni) risulta essere l?informazione pi? interessante in quanto individua in modo inequivocabile le funzioni che presentano un ruolo determinante per il corretto funzionamento del sistema.

Da quanto precede risultano quindi evidenti i vantaggi e le potenzialit? del procedimento secondo la presente invenzione per ridurre i tempi ed i costi di progettazione industriale, oggigiorno piuttosto rilevanti, dei sistemi elettronici.

Naturalmente, fermo restando il principio dell?invenzione, i particolari di realizzazione e le forme d?attuazione potranno essere ampiamente variati rispetto a quanto descritto ed illustrato, senza per questo uscire dall'ambito della presente invenzione .

Claims (16)

1. RIVENDICAZIONI 1. Procedimento per effettuare un?analisi di affidabilit? di un sistema elettronico, detto sistema elettronico impieqando una specifica coniiqurazione fisica ed operando in base a specifiche procedure operative, caratterizzato dal fatto che comprende le sequent i fasi: rappresentare detto sistema in modo funzionale mediante una metodoloqia del tipo analisi strutturata , qenera re un modello di analisi affidabi1istica, secondo una metodoloqia del tipo ad albero dei quasti. in base a detta rappresentazione funzionale, effettuare un?analisi affidabi1istica di detto albero dei quasti in vista di rilevare condizioni di uscita critiche di detto sistema, modificare detta specifica confiqurazione fisica e/o dette specifiche procedure operative in vista di eliminare dette condizioni di uscita critiche, dette fasi essendo automatizzate mediante 1'impiego di un elaboratore elettronico.
2. 2. Procedimento secondo la rivendicazione 1, caratterizzato dal fatto che detta fase di rappresentare detto sistema in modo funzionale, secondo detta metodoloqia del tipo analisi strutturata, comprende la fase di rappresentare detta specifica confiqurazione fisica e dette specifiche procedure operative utilizzando una medesima sintassi.
3. 3. Procedimento secondo la rivendicazione 2, caratterizzato dal fatto che detta metodologia del tipo analisi strutturata ? una metodologia del tipo Yourdon-DeMarco e Ward-Mellor.
4. 4. Procedimento secondo una qualsiasi delle rivendicazioni 1 a 3, caratterizzato dal fatto che detta rappresentazione funzionale di detto sistema comprende informazioni scelte nel gruppo costituito da: la struttura topologica di detto sistema, la lista di componenti costituenti detto sistema e per ciascuno di essi: un nome. una lista dei modi di quasto. una lista di parametri affidatilistici per ciascun modo di quasto, un modello logico di comportamento nominale e degradato, io stato del componente assunto per l?analisi in corso.
5. 5. Procedimento secondo la rivendicazione 3 o la rivendicazione 4. caratterizzato dal fatto che detta fase di generare un modello di analisi affidabilistica comprende le fasi di: discreti zzare variabili gestite dal sistema, convertire modelli di comportamento nominale quantitativi di detto sistema in modelli di comportamento nominale qualitativi, trasformare una rappresentazione gerarchica funzionale di detta specifica configurazione fisica di detto sistema in una rappresentazione connettiva esplicita di detta specifica configurazione fisica, generare una pluralit? di modi di guasto per almeno parte di elementi di detta rappresentazione funzionale di detto sistema.
6. 6. Procedimento secondo la rivendicazione 5, caratterizzato dal fatto che detta,fase di effettuare un'analisi aff idabi1istica di detto albero dei guasti comprende la fase di generare una pluralit? di scenari di analisi, ognuno di detti scenari di analisi essendo corrispondente ad un differente stato di detto sistema.
7. 7. Procedimento secondo la rivendicazione 6, caratterizzato dal fatto che detta fase di generare una pluralit? di scenari di analisi viene effettuata in modo automatico in base a diagrammi di transizione di stato facenti parte di detta rappresentazione funzionale di detto sistema.
8. 8. Procedimento secondo la rivendicazione 6 o la rivendicazione 7, caratterizzato dal fatto che detta fase di generare una pluralit? di scenari di analisi comprende la fase di generare uno scenario di analisi per ogni stato di detto sistema.
9. 9. Procedimento secondo una qualsiasi delle rivendicazioni 6 a 8, caratterizzato dal fatto che detta fase di effettuare un?analisi affidabilistica di detto albero dei guasti comprende inoltre le fasi di : definire un livello di dettaglio per detta analisi affidabi1istica, definire una pluralit? di eventi principali da studiare mediante detta analisi affidabi1istica, identificare, per ogni stato del sistema, il valore di tutti i segnali di controllo di detto sistema , costruire almeno un albero dei guasti, analizzare detto almeno un albero dei guasti mediante una metodologia del tipo ad analisi ad albero dei guasti.
10. 10. Procedimento secondo la rivendicazione 9, caratterizzato dal fatto che detta faee di costruire almeno un albero dei guasti comprende la fase di costruire un albero dei guasti per ogni evento principale.
11. 11. Procedimento secondo la rivendicazione 9 o la rivendicazione 10, caratterizzato dal fatto che detta fase di costruire almeno un albero dei guasti comprende la fase di costruire un albero dei guasti per ogni scenario di analisi generato.
12. 12. Procedimento secondo una qualsiasi delle rivendicazioni 9 a 11, caratterizzato dal fatto che detta fase di analizzare detto almeno un albero dei guasti comprende la fase di identificare almeno una funzione critica di detto sistema.
13. 13. Procedimento secondo la rivendicazione 12, caratterizzato dal fatto che detta fase di analizzare detto almeno un albero dei guasti comprende la fase di identificare tutte le funzioni critiche di detto sistema .
14. 14. Procedimento secondo una qualsiasi delle rivendicazioni 9 a 13, caratterizzato dal fatto che detta fase di analizzare detto almeno un albero dei guasti comprende la fase di identificare almeno un insieme minimo di taglio di detto sistema.
15. 15. Procedimento secondo la rivendicazione 14, caratterizzato dal fatto che detta fase di analizzare detto almeno un albero dei guasti comprende la fase di identificare tutti gli insiemi minimi di taglio di detto sistema.
16. 16. Procedimento secondo le rivendicazioni 13 e 15, caratterizzato, dal fatto che detta fase di modificare detta specifica configurazione fisica e/o dette specifiche procedure operative comprende la fase di ridurre dette funzioni critiche ed aumentare detti insiemi minimi di taglio. Il tutto sostanzialmente come descritto ed illustrato e per gli scopi specificati.