WWW.DISSERS.RU

БЕСПЛАТНАЯ ЭЛЕКТРОННАЯ БИБЛИОТЕКА

   Добро пожаловать!

Pages:     || 2 | 3 |
-- [ Страница 1 ] --

/ / Г. Н. Черкесов НАДЕЖНОСТЬ АППАРАТНО-ПРОГРАММНЫХ КОМПЛЕКСОВ Рекомендовано Министерством образования Российской Федерации в качестве учебного пособия по дисциплине «Надежность, эргономика и качество»

для студентов высших учебных заведений, обучающихся по направлению подготовки дипломированных специалистов 654600 «Информатика и вычислительная техника» и направлению подготовки бакалавров и магистров 552800 «Информатика и вычислительная техника» 300.piter.com Издательская программа 300 лучших учебников для высшей школы в честь 300-летия Санкт-Петербурга осуществляется при поддержке Министерства образования РФ Москва • Санкт-Петербург • Нижний Новгород • Воронеж Ростов-на-Дону • Екатеринбург • Самара • Новосибирск Киев • Харьков • Минск 2005 ББК 32.973-04я7 УДК Рецензенты:

Кафедра «Системный анализ и управление» СПбГПУ А. М., доктор технических наук, профессор, заслуженный деятель науки и техники РФ Черкесов Г. Н.

Надежность аппаратно-программных комплексов. Учебное пособие. — СПб.:

Питер, 2005. — 479 с: ил.

ISBN В учебном пособии дается систематическое изложение аналитических методов оценки надежности аппаратно-программных комплексов и практических методов обеспечения надеж ности. Данная книга является усовершенствованным вариантом учебного пособия Г. Н. Черкесова «Основы теории надежности АСУ», которое было опубликовано в году и прошло много летнюю апробацию в учебном процессе СПбГТУ и других вузов.

Рекомендовано Министерством образования Российской Федерации в качестве учебного пособия по дисциплине «Надежность, эргономика и качество» для студентов высших учебных заведений, обучающихся по направлению подготовки дипломированных специалистов «Информатика и вычислительная техника» и направлению подготовки бакалавров и магистров 552800 «Информатика и вычислительная техника».

ББК 32.973-04я УДК 681.3(075) Все права защищены. Никакая часть данной книги не может быть воспроизведена в какой бы то ни было форме без письменного разрешения владельцев авторских прав.

Информация, содержащаяся в данной книге, получена из источников, рассматриваемых издательством как надежные. Тем не менее, имея в виду возможные человеческие или технические ошибки, издательство не может гарантировать абсолютную точность и полноту приводимых сведений и не несет ответственности за возможные ошибки, связанные с использованием книги.

© ЗАО Издательский дом «Питер», Предисловие Одной из центральных проблем при проектировании, производстве и эксплуата ции автоматизированных систем обработки информации управления (АСОИУ) является проблема обеспечения надежности. Как и многие другие технические системы, АСОИУ имеют в своем составе сложные комплексы технических средств.

Поэтому многие вопросы теории и практики надежности АСОИУ могут рассмат риваться как общетехнические. Вместе с тем специфика АСОИУ требует в ряде случаев особого подхода и специальных методов анализа и повышения надежности.

К особенностям АСОИУ следует отнести прежде всего то, что они являются сложными техническими комплексами и оснащаются разнообразными программ ными средствами, образующими функциональное (ФПО) и системное (СПО) программное обеспечение. Программное обеспечение (ПО) является наиболее развитой по структуре и функциональным связям составной частью аппаратно программных комплексов (АПК) АСОИУ. Дефекты ПО могут проявляться слу чайным образом в случайные моменты времени и иметь последствия, аналогич ные последствиям, вызванным отказом техники, а именно: потерю отдельных функций или задержку их выполнения, искажение информации или управляю щих воздействий. Более того, при сложном взаимодействии технических и про граммных средств часто трудно идентифицировать первоисточник нарушения правильного функционирования АПК. Поэтому важно не только обеспечить вы сокую надежность ПО, но и учесть ее при оценке надежности АСОИУ в целом.

Особенностью АСОИУ является также то, что не все отказы ее элементов являются явно и могут быть обнаружены визуально, как это напри мер, при отказах двигателей или генераторов тока. Чтобы обнаруживать отказы в АСОИУ, создают специальные средства контроля и диагностирования (СКД).

От их характеристик зависят доля своевременно и достоверно обнаруживаемых отказов и, как следствие, уровень надежности и его количественные оценки. Вопро сы контроля и диагностирования являются предметом рассмотрения самостоя тельной учебной дисциплины и здесь подробно не излагаются. Но элементарные сведения из этой дисциплины активно используются.

При изложении вопросов повышения надежности учитывается современная тенденция проектирования АСОИ, состоящая в компоновке сложных систем из Предисловие агрегированных средств вычислительной и информационной техники, серийно изготавливаемых промышленностью. Принимается во внимание также подтвер жденный практикой проектирования факт, состоящий в том, что многие систе мы не могут эффективно функционировать без включения в них специализиро ванной аппаратуры. Поэтому значительное место в книге занимает изложение методов повышения надежности отдельных приборов и устройств, входящих в состав АСОИУ.

Особое внимание уделено изложению общих принципов и методик анализа на дежности систем, а также общих свойств основных методов ее повышения. По скольку для повышения надежности АСОИУ используются различные методы резервирования, подробно излагаются методы и технические приемы не только традиционного структурного, но и других видов резервирования: функциональ ного, информационного, временного, алгоритмического. Схемотехнические вопро сы реализации методов повышения надежности имеют здесь подчиненное значе ние, так как они подробно изучаются в других учебных дисциплинах.

Для понимания приводимых в книге результатов анализа и оценки надежности читателю необходимы знания по математике в объеме стандартного курса техни ческого вуза, в том числе по комбинаторике, операционному исчислению, инте гральным преобразованиям, теории вероятности и математической статистике, теории случайных процессов, а также элементарные сведения из специальных разделов теории и техники АСОИУ.

Введение Автоматизированные системы обработки информации и управления представ ляют собой совокупность технических средств, алгоритмов управления, методов и средств информационного и программного обеспечения, объединенных для выполнения функций управления. Технические средства включают в себя слож ные комплексы измерительной, вычислительной техники, средств связи, автома тики, отображения, регистрации и архивирования информации, исполнительных механизмов, вспомогательной и обеспечивающей аппаратуры.

Для того чтобы технические средства воспроизводили алгоритмы функциони рования так, как это было предусмотрено разработчиками при проектировании, аппаратура должна быть достаточно надежной, приспособленной к своевремен ному обнаружению и устранению отказов. От насколько в АСОИУ удалось исключить отказы или уменьшить их количество и вероятность появления, устранить или уменьшить их влияние на процесс управления, зависит не только качество, но и безопасность управления. Система управления принимает уча стие в предунреждении и устранении аварийных ситуаций в объекте управления и сама не должна провоцировать негативные процессы в автоматизированном технологическом комплексе (АТК), состоящем из двух тесно взаимодействую щих составных частей: объекта управления и системы управления. Поэтому за дача обеспечения высокой надежности становится одной из ключевых задач тео рии и практики проектирования, производства и эксплуатации АСОИУ.

Современная теория надежности занимается в основном вопросами надежности техники, за более чем 50-летнюю историю своего развития она накопила боль шое количество полезных, проверенных на практике результатов. Казалось бы, это может служить залогом успешного и беспроблемного решения задачи обес печения надежности АСОИУ. Однако это не так. В последние десятилетия про блема повышения надежности не только не ослабела, но, напротив, значительно обострилась. Это связано с действием ряда объективных причин, обусловленных бурным техническим прогрессом в новой области техники — информатике и вы числительной технике. Одна из причин — непрерывный рост сложности аппа ратуры, который значительно опережает рост качества элементной базы, хотя последний, по абсолютным оценкам, тоже настолько велик, что производит боль шое впечатление при сравнении с некоторыми другими областями техники.

Введение Второй причиной можно считать значительное расширение диапазона условий эксплуатации техники. В зависимости от назначения она работает в условиях высокой или низкой температуры окружающей среды, при повышенном или по ниженном давлении, высокой или низкой влажности, при больших механических нагрузках вибрационного и ударного типов, в условиях действия повышенной радиации, агрессивных сред, негативных биологических факторов.

Безусловно, не все отказы аппаратуры являются неизбежными, каждый из них имеет свою причину или группу причин. Если причины известны, на них можно воздействовать с целью предупреждения отказа. Однако сведения о процессах, происходящих в аппаратуре, не всегда оказываются достаточными. Чтобы такие сведения получить, систематизировать и учесть при проектировании и произ водстве, необходимы немалое время и немалые средства, которыми создатели систем часто не располагают. Многие системы стареют морально раньше, чем физически. Поэтому зачастую инженеры вместо совершенствования уже создан ных систем разрабатывают новые. Исходя из опыта предыдущей работы они ис ключают одни ошибки, но вместо них появляются другие, вызываемые разли чием систем и условий их эксплуатации. По меткому выражению Д. Ллойда и М. [1.1], эволюционный процесс накопления знаний входит в конфликт с революционной атмосферой проектирования.

Ненадежность техники оборачивается большими экономическими потерями. Так, по данным национального симпозиума США по вопросам надежности, стоимость эксплуатации многих систем превышает их покупную стоимость в 1,5-2 раза за один год работы 10-12 раз за весь период жизни. Однако это еще не все нега тивные последствия. Ненадежность вызывает недоверие к технике и, как следст вие, снижение ее технической эффективности.

Проблема надежности систем управления приобретает особое значение из-за большой значимости выполняемых ими функций и высокой цены отказа. Даже при довольно редких отказах ущерб, вызванный отключением системы управле ния или ее неправильным срабатыванием, может превысить выгоду, получаемую в периоды ее работоспособного состояния. Например, ущерб, вызванный отка-' зом аппаратуры управления производственным процессом в химической, метал лургической промышленности или в энергетике может в сотни раз превысить стоимость самой аппаратуры управления. Отказ релейной защиты (стоимость несколько сотен долларов) энергосистемы северо-восточной части США вы звал перебои в энергоснабжении ряда штатов и принес 300 млн. долларов убыт ков. В некоторых случаях отказ системы управления может вызвать серьезные экологические последствия и даже гибель людей.

Говоря о другой составной части АСОИУ — программном обеспечении, сле дует отметить, что оно также заметно влияет на надежность системы. Без пра вильно и эффективно работающего программного комплекса (ПК) АСОИУ пре вращаются просто в дорогую груду металла. Нарушение работоспособности ПК часто приводит к не менее тяжелым последствиям, чем отказы техники, но найти причину нарушения бывает крайне тяжело. Неправильная работа программ мо жет провоцировать отказы технических устройств, устанавливая для них более тяжелые условия функционирования, поэтому вопросам обеспечения и поддер Введение 1 жания надежности ПК всегда уделялось внимание. Однако методы оценки надежности ПК стали разрабатываться совсем недавно. До сих пор тео рия надежности не имеет методик расчета надежности ПО, исследованных столь же тщательно, как методики для оценки надежности технических средств. Вместе с тем отдельные результаты таких исследований вызывают определенное дове рие разработчиков ПК и вполне могут быть использованы в проектной практике.

Некоторые их этих результатов приведены и в книге.

Наконец, следует отметить, что теория надежности — это общетехническая дис циплина, имеющая собственный предмет исследования, собственные методы и свою область применения. Поэтому многие излагаемые далее результаты име ют более широкое применение, чем область АСОИУ. Что касается специальных разделов теории надежности, ориентированных на использование при проекти ровании АСОИУ, то они также могут быть полезны опытному читателю, рабо тающему в других областях техники, в той части, которая содержит изложение методик и подходов к построению моделей надежности и использованию для этого современного математического аппарата. Книга содержит большое количе ство примеров, иллюстрирующих методы и методики расчета надежности, об щие результаты анализа надежности, свойства методов обеспечения надежности.

Перечень литературы и ссылки на источники по всем разделам дают читателю возможность продолжить свое образование по узким вопросам теории надежно сти, самостоятельно изучая техническую литературу монографического характера.

Автор надеется, что такое построение книги будет способствовать активному усвоению читателем материала, поможет ему развить критический взгляд на достоинства и недостатки излагаемых здесь моделей надежности, подготовиться к самостоятельной деятельности в области обеспечения надежности аппаратно программных комплексов.

От издательства Ваши замечания, предложения и вопросы отправляйте но адресу электронной почты (издательство «Питер», компьютерная редакция).

Мы будем рады узнать ваше мнение!

Подробную информацию о наших книгах вы найдете на веб-сайте издательства http://www.piter.com.

Глава Основные понятия 1.1. Надежность Надежность является фундаментальным понятием теории надежности, с помо щью которого определяются другие понятия. Надежность есть свойство объекта сохранять во времени в установленных пределах значения всех параметров, ха рактеризующих его способность выполнять требуемые функции в заданных ре жимах и условиях применения, технического обслуживания, хранения и транс портирования Остановимся на некоторых особенностях этого понятия.

Во-первых, как следует из определения, надежность есть внутреннее свойство объекта, заложенное в него при изготовлении и проявляющееся во время экс плуатации. Для количественной оценки надежности, как и любого другого свой ства объекта, необходима та или иная мера, являющаяся ее характеристикой.

Надежность нельзя свести ни к одной ее характеристике.

Вторая особенность надежности состоит в том, что она проявляется во времени.

Если нет наблюдения за объектом во времени, то нельзя сделать никаких заклю чений о его надежности. Этим она существенно отличается от таких свойств объ екта, как дефектность, точность и пр. Дефектность можно установить специаль ными измерениями в течение сравнительно небольшого времени, определяемого количеством измеряемых параметров и временем каждого измерения и состав ляющего несколько минут или часов [6]. Для того чтобы составить представле ние о надежности, необходимы наблюдения за группой объектов в течение тысяч или десятков тысяч часов. Можно сказать также, что дефектность и точность от ражают начальное значение качества объекта, а надежность отражает устойчи вость начального качества во времени.

Третья особенность надежности заключается в том, что она по-разному проявля ется при различных условиях эксплуатации и различных режимах применения объекта. При изменении режимов и условий эксплуатации изменяются и харак теристики надежности. Нельзя оценить надежность объекта, не уточнив условия его эксплуатации и режимов применения.

1 8 Глава 1. Основные понятия При определении понятия «надежность» для обозначения обладателя этого свой ства и предмета анализа используется понятие «объект». В технической литерату ре по надежности для этих же целей часто используют также понятие «изделие».

Однако эти понятия не являются синонимами и поэтому требуют пояснения.

Объект (технический объект) — это предмет определенного целевого назначения, рассматриваемый на этапах выработки требований, проектирования, производст ва и эксплуатации. Объектами, в частности, могут быть технические комплексы, программные комплексы, установки, устройства, машины, аппараты, приборы, агрегаты, отдельные детали и пр.

Изделие — это промышленная продукция. В Единой системе конструкторской документации изделием называют любой предмет или набор предметов, подле жащих изготовлению на производстве. К техническим объектам относятся не любые промышленные изделия, а только такие, каждый экземпляр которых в про цессе эксплуатации (применения по назначению) не подвергается постепенному расходованию. У данных изделий с течением времени расходуется только техни ческий ресурс. С этой точки зрения не является объектом банка смазочного ма териала, хотя, несомненно, она является изделием. Это не значит, что понятие «изделие» нельзя употреблять при анализе надежности. Далее под изделием бу дем понимать любую единицу промышленной продукции, количество которой может исчисляться в штуках или экземплярах. К объектам относятся также со вокупности (комплексы, системы) изделий, совместно выполняющие определен ные функции или задачи, даже если они не связаны между собой конструктивно (например, линии радиосвязи, системы энергетики и др.).

1.2. Работоспособность. Отказ.

Неисправность. Восстановление Одно из основных требований теории надежности — это необходимость устано вить принадлежность всех возможных состояний объекта к одному из двух про тивоположных классов: работоспособные и неработоспособные. Работоспособным называют такое состояние объекта, при котором значения всех параметров, харак теризующих способность выполнять заданные функции, соответствуют требова ниям нормативно-технической и/или конструкторской (проектной) документа ции. Неработоспособным будет такое состояние, при котором значение хотя бы одного из параметров не соответствует требованиям документации. У боль шинства технических объектов не существует четкой границы между этими классами состояний. Однако в теории надежности промежуточные состояния не рассматриваются. Чтобы оценить надежность, надо сделать эту границу четкой в рамках рассматриваемой модели надежности. Это весьма непростая задача, и решается она путем обсуждения с участием компетентных лиц со стороны раз работчика и заказчика (пользователя) объекта.

Однако далеко не всегда задача разбиения всех состояний по принципу «всё или ничего» может быть успешно решена. Тогда вводятся несколько уровней работо способности и понятия полной и частичной работоспособности. Для многофунк 1.2. Работоспособность. Отказ. Неисправность. Восстановление циональных систем возможна ситуация, когда при выполнении каждой функции удается разделить все состояния на работоспособные и неработоспособные, но возможны состояния, при которых одни функции выполняются, а другие — нет.

Тогда уровни работоспособности выделяют по способности выполнять все функ ции, группу функций, определенные функции. Для оценки надежности таких объектов могут применяться векторные показатели. Если же это неудобно, при меняют свертку векторного показателя в скалярный, трактующийся как показа тель эффективности.

С переходом из работоспособного состояния в неработоспособное и обратно связаны особые события в процессе функционирования объекта, называемые, соответственно, отказом и восстановлением. Отказ — это событие, состоящее в нарушении работоспособного состояния объекта. Восстановление — это собы тие, заключающееся в переходе объекта из неработоспособного состояния в ра ботоспособное в результате устранения отказа путем перестройки (реконфигу рации) структуры, ремонта или замены отказавших частей. Этим же термином обозначают и процесс перевода объекта из неработоспособного состояния в ботоспособное.

Всякий отказ связан с нарушениями требований документации. Но не всякое на рушение требований приводит к отказу. Оно приводит к событию, называемому неисправностью, к возникновению неисправного состояния. Поэтому можно раз личать неисправности, не приводящие к отказам, и неисправности или их соче тания, вызывающие отказ.

Отказы можно классифицировать по различным признакам [2], [5]. По скорости изменения параметров до возникновения отказа различают внезапные и посте пенные отказы. Внезапный отказ — это отказ, характеризующийся скачкообраз ным изменением значений одного или нескольких параметров объекта. Посте пенный отказ — это отказ, возникающий в результате постепенного изменения значений одного или нескольких параметров объекта. Такое деление весьма условно, так как большинство параметров изменяется с конечной скоростью, поэтому четкой границы между этими классами не существует. К постепенным отказы относят в тех случаях, когда изменения параметров легко прослежива ются, позволяя своевременно предпринять меры по предупреждению перехода объекта в неработоспособное состояние.

По характеру устранения различают устойчивый, самоустраняющийся и переме жающийся отказы. Устойчивый отказ всегда требует проведения мероприятий по восстановлению работоспособности объекта. Самоустраняющийся отказ, или сбой, устраняется в результате естественного возвращения объекта в работоспособ ное состояние без участия или при незначительном вмешательстве оператора, причем время устранения отказа мало или близко к нулю. Перемежающийся от каз — это многократно возникающий самоустраняющийся отказ одного и того же характера. Как правило, для его устранения требуется вмешательство оператора.

По характеру проявления различают явные (латентные) отказы.

Явный отказ обнаруживается визуально или штатными методами и средствами контроля и диагностирования при подготовке объекта к применению или в про цессе его применения по назначению. Скрытый отказ выявляется при проведении 20 Глава 1. Основные понятия технического обслуживания или специальными методами диагностирования.

Задержка в обнаружении скрытого отказа может привести к неправильному сра батыванию алгоритмов, некорректной обработке информации, выработке оши бочных управляющих воздействий и другим неблагоприятным последствиям.

При наличии нескольких уровней работоспособности различают полный и час тичные отказы. Переход на уровень частичной работоспособности называют час тичным отказом. Полная потеря работоспособности возникает при полном отказе.

В многофункциональной системе полный отказ при выполнении одной из функ ционально самостоятельных операций может означать только частичный отказ для системы в целом, если потеряна одна или часть функций, а остальные могут В некоторых устройствах и элементах возможны отказы двух типов. В резисто рах, полупроводниковых диодах, транзисторах, реле и ряде других элементов могут возникать отказы типа обрыв и типа короткое замыкание. В первом случае падает до нуля проводимость, а во втором — сопротивление в любых или в опре деленном направлении. В устройствах, назначение которых состоит в формиро вании определенного сигнала в ответ на определенные сочетания сигналов на входах, например в логических элементах, дискретных датчиках, устройствах контроля и диагностирования, регуляторах, также возможны отказы двух типов:

отсутствие сигнала, когда он должен быть сформирован, и появление сигнала, когда его не должно быть (ложный сигнал).

По первопричине возникновения различают конструктивный, производственный и эксплуатационный отказы. Конструктивный отказ возникает по причине, свя занной с несовершенством или нарушением установленных правил и/или норм проектирования и конструирования. Производственный отказ связан с несовер шенством или нарушением технологического процесса изготовления или ремон та (на ремонтном предприятии), а эксплуатационный отказ — с нарушением правил и/или условий эксплуатации, при возникновении непредусмотренных внешних воздействий или воздействий высокой интенсивности.

1.3. Безотказность.

Ремонтопригодность.

Сохраняемость. Долговечность Надежность как комплексное свойство включает в себя единичные свойства:

безотказность, ремонтопригодность, сохраняемость, долговечность. Нельзя сво дить надежность ни к одному из этих свойств. Только их совокупность правиль но раскрывает содержание понятия «надежность».

Безотказность — это свойство объекта непрерывно сохранять работоспособное состояние в течение некоторого времени или наработки. Наработка — это про должительность или объем работы объекта. Наработка может измеряться в еди ницах времени или объема выполненной работы (длины, площади, массы, числа срабатываний и пр.), например: для автомобилей наработка может измеряться 1.3. Безотказность. Ремонтопригодность. Сохраняемость. Долговечность километражем пробега, для реле — количеством переключений на некотором временном интервале. Если наработка измеряется в единицах времени, то в слу чае непрерывного применения объекта она может совпадать с календарным вре менем. Наработку, в течение которой объект, снимаемый с эксплуатации после первого же отказа, сохраняет работоспособность, называют наработкой до перво го отказа. Если наработка совпадает с календарным временем, она называется временем до первого отказа, или временем безотказной работы. Для других объ ектов наряду с наработкой до первого отказа может рассматриваться наработка между соседними отказами.

Ремонтопригодность — это свойство объекта, заключающееся в приспособленности к поддержанию и восстановлению работоспособного состояния путем техническо го обслуживания и ремонта. Ремонтопригодное изделие должно иметь соответ ствующую конструкцию, быть приспособленным к контролю работоспособности по всем основным параметрам, демонтажу отказавшего и монтажу работоспособ ного оборудования.

Близким к ремонтопригодности понятием является восстанавливаемость. Вос станавливаемость зависит только от приспособленности аппаратуры к пре дупреждению, обнаружению и устранению отказов, но и от подготовленности обслуживающего персонала, от организационно-технических мероприятий по обслуживанию и снабжению изделия необходимыми запасными частями, от внешних условий функционирования. Ремонтопригодное изделие становится восстанавливаемым, если при его применении допускаются вынужденные пере рывы в работе всего изделия или его составных частей, имеются необходимая контрольно-измерительная аппаратура, запасные части и обслуживающий пер сонал соответствующей квалификации. Из сказанного следует, что не каждое ре монтопригодное изделие является восстанавливаемым. Более того, одно и то же изделие в различных ситуациях может быть либо восстанавливаемым, либо С другой стороны, не каждое восстанавливаемое изделие ремонтопригодно. Примером может служить изделие, в котором отказ возникает вследствие резкого ухудшения условий функционирования. Его работоспособ ность восстанавливается без вмешательства персонала сразу же после возвра щения к нормальным условиям функционирования. Работоспособность может восстанавливаться и путем реконфигурации технических и программных средств без проведения ремонта или замены отказавшего модуля.

Время, затрачиваемое на восстановление работоспособности объекта, называют временем восстановления. Оно состоит из времени обнаружения отказа, времени локализации, времени устранения отказа путем ремонта или замены неис правной части на запасную, времени наладки и предпусковой проверки работо способности. Время устранения отказа, кроме времени собственно ремонта или замены, включает в себя время доставки отказавшего модуля или прибора с места эксплуатации до ремонтной базы и обратно и время ожидания (в случае ремон та) либо время доставки запасной части со склада к месту эксплуатации (в слу чае замены).

Совокупность ремонтного персонала, контрольно-измерительной аппаратуры, средств технической диагностики и наладки, запасного имущества и принадлеж ностей (ЗИП), испытательного и вспомогательного оборудования, необходимых 22 Глава 1. Основные понятия для восстановления работоспособности, называют ремонтным органом. Часть ремонтного органа, необходимая для восстановления работоспособности одного модуля или блока, называют ремонтной бригадой, или восстанавливающим (об служивающим) прибором. Последний термин заимствован из теории массового обслуживания, используемой для решения задач оценки надежности. Таким об разом, для характеристики ремонтного органа необходимо знать не только про изводительность бригад, но и их количество.

Сохраняемость — это свойство объекта сохранять в заданных пределах значения параметров, характеризующих способность объекта выполнять требуемые функ ции в течение и после хранения и/или транспортирования. Сохраняемость ха рактеризует поведение объекта в условиях, весьма существенно отличающихся от условий эксплуатации. Прежде всего во время хранения и транспортирования объект находится в выключенном состоянии. Кроме того, есть различия в тем пературе окружающей среды, влажности, других климатических условиях, ме ханических нагрузках.

Долговечность — это свойство объекта сохранять работоспособное состояние до наступления предельного состояния при установленной системе технического об служивания и ремонта. Предельное состояние — это такое состояние объекта, при котором его дальнейшая эксплуатация недопустима или нецелесообразна либо восстановление работоспособного состояния невозможно или нецелесооб разно. Предельное состояние возникает вследствие старения, износа или сущест венного снижения эффективности применения объекта. В технической докумен тации обычно указывают, какое состояние объекта следует считать предельным.

Система и элемент В технической литературе по теории надежности термины «элемент» и «систе ма» употребляют в узком и широком смыслах [9]. Элементом в узком смысле на зывают изделие, выпускаемое серийно промышленностью и имеющее самостоя тельное конструктивное оформление. Элемент в узком смысле — это резистор, интегральная микросхема, реле, тумблер и т. д. Под системой в узком смысле по нимают совокупность взаимодействующих элементов в узком смысле с опреде ленными связями между ними, предназначенных для выполнения общей задачи.

Система в узком смысле — это компьютер, вычислительная сеть, автопилот, электростанция и пр. В зависимости от конструктивного исполнения и функ ционального назначения системы могут подразделяться на модули, блоки, при боры, агрегаты, устройства.

Элементом в широком смысле, или структурным элементом, называют любой объ ект, внутренняя структура которого на данном этапе анализа надежности не учиты вается. В расчетах надежности такой элемент рассматривается как единое и недели мое целое. В технической кибернетике есть термин, близкий по смыслу к термину «структурный элемент», а именно — «черный ящик». При построении моделей структурный элемент иногда называют еще элементом расчета надежности.

1.5. Критерии и показатели надежности Системой в широком смысле называют совокупность элементов в широком смыс ле, соединенных между собой тем или иным способом. В зависимости от этапа анализа надежности и степени его детальности один и тот же объект может рассматриваться и как элемент, и как система. Употребление термина «элемент» (в широком смысле) по отношению к техническому изделию вовсе не означает, что оно простое и содержит небольшое количество элементов в узком смысле.

Элементом в широком смысле может быть не только резистор, диод, микро схема, но и логическая плата, системный блок компьютера, компьютер в целом, вычислительный комплекс. С другой стороны, система в широком смысле не обязательно должна содержать большое количество аппаратуры. Она может со стоять из нескольких или даже одного элемента в узком смысле. Так, резистор может рассматриваться как система, состоящая из подложки, изолирующего слоя, напыления, выводов и пр. В дальнейшем термины «элемент» и «система» в основном будут употребляться в широком смысле, за исключением особо ого вариваемых случаев.

По степени сложности системы можно подразделять на простые и сложные.

Отличительные особенности сложной системы таковы: любое количество эле ментов, сложный характер связей между ними, многообразие выполняемых функций, наличие элементов самоорганизации, сложность поведения при из меняющихся внешних воздействиях, обусловленная наличием обратных связей, участием оперативного персонала в функционировании системы. В зависимости от факторов, учитываемых при классификации, различают сложные, функционально сложные, сложные и другие разновидности слож ных систем.

Автоматизированные системы обработки информации и управления относят ся, как правило, к сложным системам, хотя многие их подсистемы являются простыми системами. АСОИУ являются многофункциональными системами, могут функционировать с пониженным качеством, имеют несколько уровней работоспособности, сложную структуру, элементы адаптивности и самоорга низации.

1.5. Критерии и показатели надежности Надежность недостаточно определить на качественном уровне (высокая, низкая, приемлемая и т. п.) — необходимо уметь оценивать ее количественно и срав нивать различные изделия по их надежности. С этой целью вводятся критерии и показатели надежности. Показатель надежности — это количественная характе ристика одного или нескольких единичных свойств, определяющих надежность объекта. Различают единичные и комплексные показатели надежности. К еди ничным относят показатели безотказности, ремонтопригодности, долговечности, сохраняемости. Комплексные показатели характеризуют несколько единичных свойств, например безотказность и ремонтопригодность.

24 Глава Основные понятия В настоящее время в теории надежности используют вероятностные показатели [3], [4], Каждый объект характеризуется вектором единичных и комплекс ных показателей. Поскольку при сравнении один из вариантов может быть луч ше альтернативного варианта по одному показателю и хуже по другому, среди показателей выбирают тот, который в конкретных условиях применения наи лучшим образом отражает свойство надежности, и придают ему функцию крите рия надежности. Как правило, именно этот показатель нормируется в техниче ском задании на разработку и в технической документации. Можно утверждать и обратное: нормируемый показатель надежности используют в качестве крите рия надежности. Не следует думать, что эти понятия совпадают полностью, так как нормироваться может один показатель, а при сравнении вариантов исполь зоваться другой.

Необходимо отличать критерий надежности от критерия отказа и критерия пре дельного состояния. Критерий — это признак или совокупность признаков неработоспособного состояния объекта, установленные в нормативно-технической и/или конструкторской документации. Соответственно, критерий предельного состояния — это признак или совокупность признаков предельного состояния.

Выбор и обоснование номенклатуры показателей надежности происходит с уче том назначения изделия и условий его эксплуатации [8]. Поэтому прежде чем рассматривать конкретный перечень показателей надежности, полезно класси фицировать объекты по указанным признакам. По назначению изделия подраз деляют на два класса: изделия конкретного назначения (ИКН), имеющие только один вариант применения по назначению (примеры: принтер, канал измерения концентрации вещества, детектор радиационного контроля и пр.), и изделия об щего назначения (ИОН), которые имеют несколько вариантов применения или функция которых универсальна (например, источник электропитания, компью тер, магистраль системы связи или внутреннего интерфейса и пр.).

По возможности восстановления работоспособности после отказа в период при менения по назначению различают и восстанавли ваемые (ВО) объекты. Объект относят к группе ВО, если восстановление преду смотрено документацией и технически возможно непосредственно на месте его эксплуатации. К группе НВО объект относят тогда, когда текущий ремонт тех нически невозможен или экономически нецелесообразен. При этом один и тот же объект в одних условиях может быть восстанавливаемым, а в других невос Так, для легкового автомобиля при значительном удалении от сервисных центров это зависит от умения водителя устранять отказы и неис правности, от наличия запасных частей, от временных ограничений при поездке, от ограничений по условиям гарантийных обязательств и пр.

В зависимости от режима применения изделия подразделяют на три класса: одно кратного применения (ОКРП), непрерывного длительного применения (НПДП), многократного циклического применения (МКЦП).

В зависимости от возможности и необходимости технического обслуживания (выполнения профилактических работ и контроля технического состояния) из делия подразделяют на обслуживаемые (ОБ) и необслуживаемые 1.5. Критерии и показатели надежности 1.5.1. Невосстанавливаемые изделия Показатели безотказности. Основной изучаемой случайной величиной для невос станавливаемых изделий является наработка до первого отказа Если наработ ка измеряется в единицах времени, то она совпадает с календарным временем для изделий, работающих в режимах ОКРП и и с суммарной длительно стью выполненных циклов — для работающих в Если отказ мо жет обесценивать часть наработки, то в наработку до отказа включают только ту ее часть, которая не обесценена отказом. Вероятностные характеристики нара ботки являются показателями безотказности Их особенность состоит в том, что они определяются по результатам наблюдений за некоторым множеством экземпляров однотипных изделий, но используются в качестве показателя надеж ности каждого конкретного изделия. Поэтому в дальнейшем кроме вероятностного приводится и статистическое определение, которое можно использовать как один из способов статистической оценки искомой вероятностной характеристики.

Вероятность безотказной работы P(t). Вероятностью безотказной работы назы вают вероятность того, что изделие будет работоспособно в течение заданной на работки при заданных условиях эксплуатации:

(1.1) По статистическим данным об отказах вероятность безотказной работы опреде ляют по формуле (1.2) где N(0) — число изделий в начале наблюдения;

n(t) — число отказавших за вре мя t изделий. В начальный момент времени Р(0) = 1, если при включении отказы невозможны, и 0 < Р(0) < 1, если при включении изделие может отказать. При увеличении времени вероятность P(t) монотонно уменьшается и для любых технических изделий асимптотически приближается к нулю.

Вероятность отказа есть вероятность того, что при заданных условиях экс плуатации в течение заданной наработки произойдет хотя бы один отказ, то есть = (1.3) Отказ и безотказная работа — противоположные события. Поэтому = (1.4) Из (1.2) и (1.4) следует, что = (1.5) Согласно (1.3), функцию Q(t) можно трактовать как функцию распределения случайной величины Дифференциал функции называется элементом вероятности и представля ет собой вероятность того, что отказ произойдет в бесконечно малой окрестности = P(t

a(t) = n(t, где At) = n(t + At/2) - n(t - At/2) — число отказавших изделий в интервале -At/2, t + At/2).

Интенсивность отказов плотность распределения наработки до первого отказа при условии, что отказавшее изделие до рассматриваемого момента вре мени работало безотказно. Согласно вероятностному определению, ( X(t) = a(t)/ P(t) = P(t) = (1.8) V о J По статистическому определению, интенсивность отказов есть отношение числа отказавших в единицу времени изделий к среднему числу работоспособных на рассматриваемом отрезке времени изделий:

X(t) n(t, где = -(n(t + At / 2) + n(t - At / 2)) / Поскольку существует однознач ная связь между функциями a(t) и X(t), достаточно задать лишь одну из них, чтобы по формулам связи найти все остальные, то есть в смысле полноты сведений о надежности изделия эти функции эквивалентны. Они определяются по статистическим данным о количестве отказов невосстанавливаемых изделий.

Если же до начала интересующего нас интервала времени изделие уже прора ботало в течение времени т, то для оценки надежности необходимо вводить условные показатели при условии, что изделие уже некоторое время проработа ло безотказно. Рассмотрим некоторые из этих параметров, считая, что одна из функций — P(t), a(t) или X(t) — известна.

Вероятность безотказной работы Р(х, t), Вероятность безотказной работы в ин тервале (т, т + t) определяется как вероятность того, что отказа не будет в интер вале т + t, при условии, что его не было в течение времени т:

P(x, t) >x + > т) = P(x + t)/ =, (1.9) V где P(t) — функция (1.1). Прочие показатели надежности определяются по формулам t) = 1 - t) = \ t) = t) = t) a(x + (1.10) at at X(x, t) = — t) t) = X(x + t).

at dt 1.5. Критерии и показатели надежности Средняя наработка до первого отказа есть математическое ожидание наработки до первого отказа Используя определение элемента вероятности (1.6), можно записать:

(1.11) о Если функция дифференцируема при всех t > 0, то из и (1.7) получим:

о Заменяя в на интегрируя по частям и учитывая свойства функции имеем (1.12) о Отсюда следует, что средняя наработка до первого отказа равна площади под кривой на всей полуоси (0, со).

По результатам наблюдения за работой до отказа всех изделий можно со ставить следующую статистическую оценку средней наработки до первого отказа:

где — наработка до отказа i-го изделия.

Средняя остаточная наработка до отказа (т) есть математическое ожидание случайной величины - т при условии, что > т. Используя функции (1.9) и (1.10), составим выражение для средней остаточной наработки до первого отказа:

(1.13) При т (1.9), (1.10) и (1.13) совпадают с (1.1), (1.4), (1.7), (1.8) и (1.11).

Показатели долговечности. При определении показателей долговечности вводят ся следующие случайные величины: ресурс — суммарная наработка изделия от начала эксплуатации до перехода в предельное состояние, установленное в тех нической документации;

срок службы — календарная продолжительность службы изделия от начала его эксплуатации до перехода в предельное состояние.

Различают средний, гамма-процентный и назначенный ресурсы (срок службы).

Средний и гамма-процентный ресурсы (срок службы) — это, соответственно, математическое ожидание случайной величины и квантиль по уровню вероятности у, выраженному в процентах. Назначенный ресурс (срок службы) — это суммарная наработка (календарная продолжительность), по достижении кото рой эксплуатация изделия прекращается независимо от его технического состоя ния. Остаточный ресурс (срок службы — это суммарная наработка (календарная продолжительность) от момента контроля технического состояния до перехода в предельное состояние. Аналогично вводится понятие остаточного 28 Глава Основные понятия срока хранения Для случайных величин и используются те же характеристики, что и для и Показатели сохраняемости. Для оценки сохраняемости рассматривают характе ристики случайной величины — срока сохраняемости, определяемой как кален дарная продолжительность хранения и/или транспортирования изделия, в течение которой сохраняются в заданных пределах значения параметров, характеризую щих способность изделия выполнять заданные функции. В качестве показателей сохраняемости используют средний и гамма-процентный сроки сохраняемости.

1.5.2. Восстанавливаемые изделия Типовая диаграмма функционирования состоит из чередующихся интерва лов безотказной работы и восстановления. Эксплуатация изделия продолжается до тех пор, пока ремонт не становится нецелесообразным или пока оно не будет снято с эксплуатации по достижении назначенного срока службы или назна ченного ресурса. Для оценки надежности таких изделий недостаточно рассмат ривать характеристики наработки до первого отказа — нужно знать также ха рактеристики процесса функционирования после первого отказа. С этой целью в теории надежности изучаются характеристики следующих случайных величин:

наработки между отказами времени восстановления после г'-го отказа наработки до г'-го отказа полного времени до г'-го восстановления Г,,,-, числа отказов до получения наработки t числа моментов восстановления за вре мя t суммарной наработки в интервале (0, t) суммарного времени восстановления в интервале длительностью t Характеристики этих случайных величин как раз и являются показателями на дежности восстанавливаемых изделий. При формулировке определений будем использовать следующие обозначения: = < t) — распределение нара ботки до г'-го отказа, = < t) — распределение времени до г'-го восстанов ления, = = п) — вероятность возникновения п отказов до получения наработки t, = = п) — вероятность возникновения п моментов вос становления за время t. Рассмотрим теперь показатели надежности.

Показатели ремонтопригодности. К ним относятся вероятность восстановления за время t = < t), вероятность = > t) того, что восстановле ние не закончится за время плотность распределения времени восстановления /„(О интенсивность восстановления среднее время восстановления Вероятностное и статистическое определения среднего времени восстановления соответствуют формулам 0 = где п — число отказов, — длительность г'-го восстановления.

Среднее число отказов H(t) до наработки t есть математическое ожидание случай ной величины Используя введенные ранее обозначения, можем записать:

учитывая, что события < и эквивалентны, получаем соотно шение = = и) = > > = (1.14) Из (1.14) имеем + (1.15) Из (1.15) следует, что дифференциал функции dH(t) есть вероятность того, что в бесконечно малой окрестности точки t произойдет отказ изделия, причем не обязательно впервые. Статистическую оценку среднего числа отказов получают следующим образом. Пусть в начальный момент времени поставлено на экс плуатацию iV(0) изделий. После отказа изделие ремонтируется или заменяется новым, и так происходит до тех пор, пока на каждом рабочем месте не будет достигнута наработка t. Если суммарное число отказов всех N(0) изделий равно n(t), то среднее число отказов H(t) (1.16) По форме правая часть (1.16) совпадает с (1.5). Однако и H(t)~ совершен но различные функции, так как в (1.5) рассматриваются невосстанавливаемые изделия, а в (1.16) — восстанавливаемые. В первом случае число работоспособ ных изделий уменьшается со временем, а во втором случае оно неизменно и рав но N(0). Поэтому при прочих равных условиях n(t) в (1.16) обычно больше, чем в (1.5), за счет повторных отказов изделий.

Среднее число моментов восстановления на интервале времени (0, t) есть математическое ожидание случайной величины Согласно определению, = (1.17) п=\ = Дифференциал функции есть вероятность того, что в бесконечно малой окрестности точки t работоспособность изделия восстановится, причем не обяза тельно впервые.

Параметр (интенсивность) потока отказов Согласно вероятностному оп ределению, at Если учесть формулу (1.15), то можно записать = где /„(С) — плотность распределения наработки до отказа. Согласно статисти ческому определению, параметр потока отказов есть среднее число отказов восста навливаемого изделия в единицу времени. Определяется этот параметр по формуле = (1.20) где п (t, At) = n(t + At / 2) - n(t - At / 2);

n(t) — число отказов до наработки t.

30, Глава Основные понятия Параметр потока восстановлений есть среднее число моментов восста новления в единицу времени. Формулы для из формул для после замены в них числа отказов на число моментов восстановления. Так, из (1.18)—(1.20) имеем Средняя наработка на отказ Согласно вероятностному определению, для пе риода от наработки т до наработки х + t средняя наработка на отказ определяется по формуле Если учесть (1.16), то можно определить среднюю наработку на отказ по стати стическим данным:

(т, t) = / (п(х + п(х)) = t / (т + В частности, при т = 0 имеем t) = t/H(t).

Стационарное значение средней наработки на отказ / H(t)) = / (1.21) Если наблюдение за изделием проводится не до наработки t, а в течение вре мени t, то статистическая оценка средней наработки на отказ получается из вы ражения где п — число отказов за время — наработка от момента последнего восста новления до момента t.

Показатели надежности V(t), и являются комплексными, так как за висят от показателей безотказности и ремонтопригодности. Остальные показате ли — единичные. Рассмотрим теперь другие комплексные показатели надежно сти восстанавливаемых изделий.

Нестационарный коэффициент готовности есть вероятность того, что изде лие окажется в работоспособном состоянии в момент времени t в периоде при менения по назначению. Используя статистические данные, можно оценить не стационарный коэффициент готовности с помощью соотношения = (1.22) где — число работоспособных в момент времени t изделий из общего числа изделий iV(0).

Коэффициент готовности (стационарный коэффициент готовности) Если проанализировать зависимость нестационарного коэффициента готовности от времени, то можно заметить, что он изменяется от 1 при t = 0 до некоторого 1.5. Критерии и показатели надежности постоянного значения, называемого стационарным коэффициентом готовности, или просто коэффициентом готовности. Поскольку коэффициент готовности не зависит от времени, то его определяют как вероятность того, что изделие окажет ся в работоспособном состоянии в произвольный момент времени, за исключе нием планируемых периодов, в течение которых применение изделия по назна чению не предусматривается. Стационарный период эксплуатации, когда становится достаточно близким к своему предельному значению наступает по истечении некоторого промежутка времени, называемого переходным перио дом. Строго математически переходный период длится бесконечно долго, так как функция приближается к только асимптотически, а поэтому = (t). (1.23) Из (1.22) и (1.23) следует, что для коэффициента готовности может быть ис пользована статистическая оценка = / N(0) = N / N(0), где N — число работоспособных изделий из общего количества N(0) в произ вольный момент времени стационарного периода эксплуатации.

В режиме МКЦП коэффициент готовности имеет также следующую трактов ку — это вероятность успешного выполнения одного цикла работ очень малой длительности по заявке, поступившей в момент t или в произвольный момент времени. Если заявка может появиться в случайный момент переходного перио да (0, t), то используют среднее значение коэффициента готовности = о Статистическую оценку этой характеристики находят по формуле (О);

1= где и — суммарная наработка и суммарное время восстановления изделия в интервале (0, N — число испытываемых изделий;

n(t) — сум марное число отказов за время t. Очевидно, что при монотонно убывающей функции среднее значение коэффициента готовности > Кроме того, выполняется соотношение t) = (1.24) где — средняя наработка на отказ;

— среднее время восстановления.

Для оценки надежности изделий, работающих в режиме МКЦП с длительностью одного цикла t, используют комплексный показатель — коэффициент оператив ной готовности в двух вариантах.

Нестационарный коэффициент готовности t) есть вероят ность того, что изделие окажется в работоспособном состоянии в момент т пе риода применения по назначению и будет работать безотказно еще в течение 32 Глава Основные понятия заданного интервала времени (заданной наработки) t. С увеличением х зависи мость от момента поступления заявки на выполнение работ уменьшается и функ ция Дх, t) асимптотически приближается к величине называемой ста ционарным коэффициентом оперативной готовности, или просто коэффициентом оперативной Коэффициент оперативной готовности есть вероятность того, что изделие окажется работоспособным в произвольный момент времени, и начиная с этого момента будет работоспособным еще в течение заданного времени (заданной на работки). Связь между показателями надежности выражается формулами К,, t) = x);

= = 0);

(1.25) ДО, Вероятность от вероятности безотказной работы определен ной по формуле (1.1), так как в режиме к моменту прихода заявки изде лие некоторое время было работоспособным. Поэтому где — остаточное время безотказной работы.

Следующие два показателя надежности используют тогда, когда в изделии могут возникать скрытые отказы, то есть когда система контроля и диагностирования (СКД) не идеальна и не обеспечивает мгновенное и достоверное обнаружение отказов.

Коэффициент контролируемой готовности есть вероятность того, что, со гласно показаниям СКД, изделие работоспособно в произвольный момент вре мени периода применения по назначению. С помощью средних значений интер валов можно найти по формуле где — средняя наработка на отказ;

— среднее время восстановления;

— среднее время пребывания в состоянии скрытого отказа. При тех же условиях коэффициент готовности Отсюда следует, что > Вероятность безотказного применения есть вероятность того, что до нара ботки t скрытый отказ не появится при условии, что его не было в начальный момент времени. Из определения следует формула связи Сравнивая (1.26) и (1.25), получим:

(1.27;

Список литературы Очевидно, что < Равенство имеет место только при = 0.

Для изделий, допускающих в процессе эксплуатации плановое техническое об служивание, вводится еще один показатель — коэффициент технического исполь зования.

Коэффициент технического использования есть отношение математического ожидания суммарного времени пребывания изделия в работоспособном состоя нии за некоторый период эксплуатации к математическому ожиданию суммар ного времени пребывания изделия в работоспособном состоянии и простоев, обусловленных техническим обслуживанием и ремонтом за тот же период:

Статистической оценкой при наблюдении за N изделиями являются отно шения = + г,, Г, где — суммарные значения фактической наработки, времени вос становления и времени технического обслуживания экземпляра изделия.

Список литературы 1. Ллойд Д., Липов М. Надежность. — М.: Сов. радио, 1964. — 686 с.

2. ГОСТ 27.002-89. Надежность в технике. Основные понятия. Термины и оп ределения. — М.: Изд-во стандартов, 1989. — 36 с.

3. ГОСТ 27.003-83. Надежность в технике. Выбор и нормирование показателей надежности. — М.: Изд-во стандартов, 1983. — 18 с.

4. ГОСТ 23146-78. Система технического обслуживания и ремонта техники.

Выбор и задание показателей ремонтопригодности. Общие требования. — М.: Изд-во стандартов, 1978. — 10 с.

5. Надежность систем энергетики: Сборник рекомендуемых терминов. — М.: Нау ка, 1980. - 42 с.

6. ГОСТ 15467-79. Управление качеством продукции. Основные понятия. Тер мины и определения. — М.: Изд-во стандартов. — 26 с.

7. Надежность в технике. Выбор основных показателей надежности: Методиче ские рекомендации МР 69-82 / ВНИИНМАШ. - М., 1982. - 12 с.

8. Надежность и эффективность в технике: Справ.: В 10 т. Т. 1. Методология.

Организация. Терминология / Под ред. А. И. Рембезы. — М.: Машинострое ние, 1986. - 224 с.

9. Черкесов Г. Н. Основы теории надежности АСУ: Учеб. пособие / ЛПИ. — Л., 1975. - 220 с. - Гл. 1.

2 34 Глава Основные понятия Вопросы для самоконтроля 1. Дайте определение понятия надежности. Назовите три особенности этого по нятия.

2. Перечислите единичные свойства надежности и их определения.

3. Дайте понятия отказа и сбоя. Какие разновидности отказов и сбоев существуют?

4. Что такое элемент и система? В чем состоит диалектика взаимосвязи этих по нятий?

5. Перечислите режимы применения и технического обслуживания изделий.

6. Назовите единичные и комплексные показатели надежности. В чем состоит их взаимосвязь? Дайте вероятностные и статистические определения показа телей надежности.

Глава Оценка надежности АПК с учетом характеристик программного и информационного обеспечения 10.1. Постановка задачи При оценке надежности АПК исходят из того, что надежность «мягкого обору дования» (математического, программного и информационного обеспечения) не является самостоятельным свойством, так как может проявиться только в про цессе его функционирования в составе АПК. Поэтому правильным является подход, при котором надежность «мягкого оборудования» оценивается по степе ни влияния на комплексные показатели надежности системы, имеющей в своем составе техническое (ТО), математическое (МО), программное (ПО) и инфор мационное (ИО) обеспечение. Это важно еще и потому, что отказы технического (ТК) и программного (ПК) комплексов являются, вообще говоря, взаимозави симыми событиями. Взаимозависимость может возникать по многим причинам, в том числе из-за влияния режимов применения, влияния отказов друг на друга.

Вместе с тем с целью декомпозиции задачи возможно получение отдельных оценок показателей надежности для ТК и ПК с последующим их объединением по схеме независимых событий. Игнорирование взаимозависимости отказов приводит к оценке снизу для показателей надежности АПК. И это надо иметь в виду, чтобы контролировать уровень возникающей при этом методической погрешности. Как объект анализа и как часть АПК программное обеспечение имеет следующие особенности:

• ПО не подвержено износу, и в нем практически отсутствуют ошибки произ водства;

• если обнаруженные в процессе отладки и опытной эксплуатации дефекты устраняются, а новые не вносятся, то интенсивность отказов ПК уменьшает ся, то есть он является «молодеющей» системой;

• надежность программ в значительной степени зависит от используемой входной информации, так как от значения входного набора зависит траектория испол нения программы;

если при этом ИО само содержит дефекты, то программа выдаст неправильный результат даже при отсутствии программных ошибок;

• если при возникновении ошибок дефекты не диагностировать устранять, то ошибки ПО будут носить систематический характер;

• надежность ПО зависит от области применения;

при расширении или изме нении области применения показатели надежности могут существенно изме няться без изменения самого ПО.

Исходная информация о надежности технических устройств — структурных эле ментов системы — может быть получена путем обработки статистических данных о результатах эксплуатации некоторого количества однотипных образцов таких устройств. Возможности использования такого пути для программного изделия ограничены, так как копии программного изделия идентичны и вместе с тиражи рованием изделия тиражируются и дефекты — проектные ошибки. Вместе с тем есть другая возможность использования предыдущего опыта. Характеристики числа допущенных проектных ошибок являются довольно устойчивым показа телем качества работы сложившегося коллектива программистов и используе мых ими средств САПР ПО. Если регистрировать сведения о проектных ошиб ках во всех ранее разработанных проектах, то после соответствующей обработки можно получить заслуживающие доверия исходные данные для оценки надеж ности ПО в новом проекте. Если же такие данные отсутствуют, то используют более общие сведения о процессе проектирования ПО или данные о результатах отладки ПО разрабатываемого проекта. Чтобы по этим данным оценить показа тели надежности, разрабатывают соответствующие модели надежности в зависи мости от этапа жизненного цикла программы.

На ранних стадиях проектирования используют описание алгоритмов по входам и выходам (описание «черного ящика») или структуру алгоритма как совокупность структурных элементов и описание каждого структурного элемента по входам и выходам (описание «белого ящика»). Когда разработаны тексты программ, мож но использовать параметры программ: словарь языка программирования, коли чество операций, операндов, используемых подпрограмм, локальных меток и пр.

В процессе отладки и эксплуатации, когда появляются статистические данные об обнаруженных дефектах, исходное число дефектов как одну из важных харак теристик качества программирования можно оценить с помощью методов мате матической статистики.

Далее в данной главе модели надежности и методы оценки показателей надеж ности ПК разделены на две группы:

• модели и методы проектной оценки надежности, основанные на исходных дан ных, которые можно получить до начала отладки и эксплуатации программ;

• модели и методы статистической оценки надежности, основанные на резуль татах отладки и опытной или нормальной эксплуатации ПК.

10.2. Общая схема проектной оценки надежности программного комплекса В качестве исходных данных используются структурная схема функционального программного обеспечения (ФПО) по каждой функционально самостоятельной операции (ФСО), а также описание входов и выходов каждого структурного элемента, межмодульных и внешних связей комплекса алгоритмов и программ.

Типовая структура ФПО имеет в своем составе ФПО верхнего (ФПО ВУ) и ниж него (ФПО НУ) уровней. В свою очередь типовая структура ФПО НУ включа ет в себя совокупность алгоритмов обработки данных, совокупность секций вво да и вывода, соединяющих АПК с объектом управления 10.1).

Типовая структура ФПО нижнего уровня Каждый алгоритм может быть разбит на секции (модули) определенного разме ра в соответствии с рекомендациями технологии программирования. На ранних этапах проектирования в условиях значительной неопределенности к структур ным характеристикам добавляют еще уровень используемых языков программи рования [1], [2]. На более поздних этапах проектирования, когда разработаны тексты программ, могут быть использованы параметры программных модулей.

Методика проектной оценки и прогнозирования надежности с учетом планируе мых результатов отладки содержит несколько этапов.

10.2.1. Расчет исходного числа дефектов При расчете исходного числа дефектов (ИЧД) сначала рассчитывают ожидаемое ИЧД в секциях алгоритмов и секциях ввода и вывода одной из следующих формул:

/);

(10.1) (10.2) где — число входов и выходов в г'-й секции;

/ — уровень языка про граммирования;

— число различных операций и операндов;

— всего операций и операндов в г'-й секции. Формула (10.1) используется на ранних ста диях проектирования, когда еще нет текстов программ, формула (10.2) — после программирования секций на принятом языке программирования.

Суммарное количество дефектов в отдельных алгоритмах и совокупности алго ритмов и секций ввода и вывода находят по следующим формулам:

гле — количество секций в алгоритме R — количество алгоритмов;

— множество секций ввода и вывода;

— количество межсекционных связей в алгоритме;

— количество связей между алгоритмами, межсекционных связей ввода и вывода.

В АСОИУ часто применяют группы однотипных датчиков и исполнительных механизмов, для управления которыми используют копии программных секций ввода и вывода. Тогда в (10.5) включают только один экземпляр секции, но все межсекционные связи.

Если при выполнении ФСО используют одну или несколько баз данных (БД), содержащих постоянные и условно-постоянные данные, вносимые на этапе про ектирования, то рассчитывают суммарное количество дефектов по всем БД:

где — количество дефектов подготовки данных, дефектов данных вследствие сбоев аппаратуры, дефектов после неумышленных ошибок вследст вие несанкционированного доступа к данным;

— общий объем и объем, ис пользуемый при выполнении данной ФСО в i-й БД;

— уровень языка;

— ин тенсивность сбоев;

— время функционирования БД при выполнении ФСО;

— характеристики структуры данных.

Наконец рассчитывают исходное число дефектов по всему ФПО и ИО при вы полнении данной ФСО в виде суммы:

10.2.2. Расчет остаточного числа дефектов после автономной отладки После разработки алгоритмов и программных модулей (секций) проводят авто номную отладку (АО). Остаточное число дефектов (ОЧД) оценивают с помо щью модели АО, позволяющей установить зависимость где — исходное число дефектов в секции;

— размерность входного век тора;

— длительность отладки;

— коэффициент эффективности отладки.

Расчет по формуле (10.8) может дать дробное число и трактуется как математи ческое ожидание случайного числа дефектов.

Разработка секций является в основном результатом индивидуального творчества программиста, но проводится в некоторой среде САПР ПО с помощью инструмен тальных средств. Поэтому эффективность АО зависит также и от возможностей и ха рактеристик САПР ПО. Эта зависимость учитывается при оценке коэффициента После коррекции числа дефектов в секциях по результатам АО проводят пе рерасчет числа дефектов в укрупненных составных частях с помощью формул (10.3)—(10.7).

10.2.3. Расчет остаточного числа дефектов после комплексной отладки Комплексная отладка (КО) предусматривает статическую отладку отдельных ал горитмов, совокупности алгоритмов и секций ввода/вывода, всех средств ФПО и ИО, используемых при выполнении конкретной ФСО, а затем динамическую В этой процедуре можно выделить три этапа:

1. Отладка путем имитации реальных алгоритмов в инструментальной среде САПР ПО при имитации окружающей среды, в том числе объекта управления.

Этот этап является, по существу, отладкой математического обеспечения.

2. Отладка реальных алгоритмов при имитации окружающей среды. Этап по зволяет провести статическую отладку и в ограниченной степени — динами ческую отладку.

3. Отладка реальных алгоритмов, сопряженных с реальным объектом управле ния. Этап позволяет провести в полном объеме динамическую отладку.

Модели КО разрабатывают применительно к этапам 1 и призваны оценить еще на стадии разработки программ эффективность отладки и остаточное число дефектов (ОЧД) после КО в укрупненных составных частях ФПО и ИО с помо щью зависимостей типа где — размерности входного вектора;

— длительности отладки;

— коэффициенты эффективности отладки. Перерасчет остаточного числа дефектов для ФПО и ИО проводится по формуле (10.7).

10.2.4. Оценка вероятности проявления дефекта при однократном выполнении ФСО Дефекты, не обнаруженные при автономной и комплексной отладках, не являются случайными событиями, так как, в отличие от дефектов производства аппаратуры, они не развиваются во времени, а программное изделие не подвержено процессу физического старения. Дефекты программ могут проявляться только при работе АПК и только на вполне определенных значениях наборов входных переменных или их последовательностей и при вполне определенных состояниях системы, отраженных в условно-постоянной информации. Сочетаний входных наборов и состояний очень много, а появление определенных сочетаний трудно пред сказуемо. Поэтому появление именно таких из них, при которых дефект прояв ляется и превращается в ошибку, становится уже случайным событием, а момент появления — случайной вели чиной. К их анализу можно применять вероят ностные методы. Если известно распределение дефектов по полю программ и данных, то можно найти вероятность проявления дефектов при однократном выполнении ФСО в режиме МКЦП:

(10.9) где — остаточное число дефектов в алгоритмах и базах данных;

— распределения дефектов по полю программ и данных;

— распределения входных наборов и запросов по полю данных при однократном выполнении ФСО;

В — вектор параметров ПО;

т количество входных наборов, поступаю щих в сист ему при однократном выполнении ФСО;

v объем фрагмента дан ных, используемых при однократном выполнении ФСО.

В режиме НПДП в качестве цикла однократного выполнения ФСО может быть принят фрагмент определенной длительности, в котором начинается и завер шается обработка информации. Например, при выполнении функции сбора, обработки и отображения информации от пассивных датчиков в качестве фраг мента можно выбрать цикл полного опроса датчиков, анализа данных и коррек тировки БД.

Оценка вероятности проявления дефектов при многократном выполнении ФСО Вероятность проявления остаточных дефектов при М прогонах программ зависит от вероятности и степени независимости различных прогонов. Если прогоны осуществляются на одних и тех же входных наборах, то зависимость максимальна, и тогда Если же прогоны независимы, то (10.10) Все остальные случаи находятся между этими двумя крайними. Очевидно, что в сложном ПК даже при большом числе дефектов вероятность их проявления может быть очень мала, поскольку велико множество возможных сочетаний зна чений входных векторов и внутренних состояний программ. Верно и обратное:

длительное безошибочное функционирование ПК вовсе не гарантирует того, что в нем нет дефектов, которые могут проявиться в самый неблагоприятный мо мент, несмотря на самую тщательную отладку. Об этом свидетельствует и прак тика эксплуатации больших ПК, например в информационно-вычислительных системах космических аппаратов.

10.2.6. Оценка характеристик потоков инициирующих событий Инициирующим является любой сигнал, требующий выполнения в полном объ еме или частично одной из ФСО. Основным источником инициирующих собы тий (ИС) является объект управления, в котором изменение состояния может сопровождаться формированием индикатора ИС. К другим источникам ИС от носятся оперативный персонал, отказы технических средств, смежные системы.

Суммарный поток ИС характеризуется интенсивностью, зависящей в общем случае от времени функционирования.

10.2.7. Оценка показателей надежности системы с учетом случайного потока инициирующих событий В режиме МКЦП в качестве показателей надежности могут использоваться ве роятность безотказной работы, коэффициент готовности, коэффициент опера тивной готовности. Для безотказной работы системы требуется успешное вы полнение всех циклов, инициированных в течение установленного календарного времени. Поскольку число ИС является случайной величиной, модель надеж ности учитывает интенсивность потока ИС и вероятность проявления дефектов при однократном выполнении ФСО:

(10.11) Коэффициент готовности Кг. с определяется средним значением интервала меж ду соседними проявлениями дефектов и средним временем устранения обнару женного дефекта. Коэффициент оперативной готовности зависит от коэф фициента готовности и вероятности успешного однократного выполнения ФСО и вычисляется по формуле 10.3. Факторные модели При проектной оценке надежности факторные модели являются вспомогательны ми, предназначенными для вычисления параметров, необходимых при форми ровании модели надежности и определения вида зависимостей (10.9)—(10.11).

К факторным относят модели распределения исходного числа дефектов по полю программ и данных, модели эффективности автономной и комплексной отладки, модели режимов применения, характеризующие потоки входных наборов дан ных, модели потоков инициирующих событий.

10.3.1. Модели распределения числа дефектов в алгоритмах и базах данных На ранних стадиях проектирования в качестве исходных данных при оценке чис ла дефектов используют количество входов и выходов в структурной единице ПО и уровень языка программирования. По этим данным рассчитывают потен циальный объем программы [2]:

(10.12) где — суммарное количество независимых входов и выходов. Зависимость (10.1) имеет вид (10.13) Здесь — удельный объем программы, равный среднему объему программы, приходящемуся на один дефект;

/ — уровень языка. Для естественного языка и близких к нему объектно-ориентированных языков программирования /= 2,16, для языка типа ассемблера / = 0,88.

По разработанным текстам программ можно найти параметры программ, и тогда исходное число дефектов находят по формуле (10.14) где V — наблюдаемый объем программы;

А — теоретическая длина программы;

п — словарь языка;

— число операций;

— число операндов;

— количество используемых словарных конструкций;

п — количество подпрограмм, — количество массивов переменных;

— количество локальных меток;

— ко личество констант;

= 3000. Формулу (10.14) используют и для расчета ИЧД в базах данных. В этом случае V — объем в байтах, = 17 850.

10.3.2. Модели распределения дефектов в базах данных При отсутствии специальных знаний о возможном распределении дефектов в ба зах данных естественной является модель равномерного распределения числа дефектов п по полю данных объемом Если для выполнения конкретной ФСО используется только часть этого объема, а именно данные объема V < то в объ ёме V оказывается случайное число дефектов, задаваемое некоторым распреде лением. При построении распределения можно использовать дискретную или непрерывную модели. Если база данных структурирована и в ней выделены структурные единицы (кластеры, теги и др.) примерно одинакового v, при чем МНОГО больше, чем п, то с высокой вероятностью в каждой структурной единице будет не более одного дефекта. Тогда число дефектов в объеме V имеет гипергеометрическое распределение (10.15) Если база данных не структурирована, то используется биномиальная модель (10.16) Эта модель допускает наличие в одном фрагменте данных объема v более одного дефекта. При больших и малых v распределения (10.15) и (10.16) близки друг к другу.

10.3.3. Модели эффективности отладки Для прогнозирования момента обнаружения (проявления) дефекта можно ис пользовать экспоненциальную, вейбулловскую или степенную модели. Тогда за висимости можно трактовать как функции распределения времени обнаружения дефекта. Однако они не учитывают параметр, как исходное число дефектов. Используя главную идею моделей (3.41)—(3.43) о не линейной зависимости числа обнаруженных дефектов от времени отладки, мож но рассчитывать ОЧД с помощью формул (10.17) (10.18) (10.19) где — параметры моделей. Значения параметров определяют на основании опыта отладки других программных изделий и уточняют по результатам отладки после обнаружения первого и второго дефектов в данном программном изделии.

Рассмотрим еще одну модель отладки ПО, основанную на понятии конгруэнт ного множества Пусть имеется комбинационная логическая структура со входным вектором и выходным вектором В комбинационной схеме каждому набору X соответствует определенный набор Y, не зависящий от внутреннего состояния системы при правильной ее работе. Обна ружение дефекта происходит по несовпадению фактического значения вектора Y с правильным значением. Назовем конгруэнтным множеством подмножество множества Е значений вектора X, обладающее следующим свойством: предъяв ление любого значения из способно обнаружить дефект определенного типа.

Логическим индикатором является минимальная дизъюнктивная нормаль ная форма, содержащая все элементарные конъюнкции логических переменных без отрицания. Число называют рангом Например, логический индикатор первого ранга имеет вид Размером называют количе ство конституент единицы в совершенной дизъюнктивной нормальной форме (СДНФ) логической функции, соответствующей одной тестовой комбинации.

Так, для количество конституент единицы равно Элементарной конъюнкции соответствует СДНФ, содержащая конституент единицы.

В общем случае r-го ранга имеет размер а относительный размер равен Количество такого размера равно Для полного тестирования r-го ранга надо предъявить входных наборов.

Предъявляя входные наборы сериями по входных наборов = так что в каждой серии набор содержит ровно т единиц, проводим тестирование одновременно нескольких После серии с номером т полностью проверен ными оказываются ранга и частично проверенными — ранга т.

Если в r-го ранга есть хотя бы один дефект, то после завершения серии условная вероятность обнаружения равна (10.20) Если известно распределение вероятностей дефекта {р,., = по конгруэнт ным множествам, то после завершения серии шагов отладки безусловная ве роятность обнаружения дефекта (10.21) Общая длина тестовой последовательности (10.22) Вероятность необнаружения дефекта после завершения серии (10.23) Здесь имеет смысл вероятности того, что после -й серии отладочных набо ров дефект в r-го ранга не проявится. Вероятность проявления дефекта по сле -й серии равна Согласно другой трактовке, есть безусловная вероятность того, что в после отладки останется дефект, а — вероятность отсутствия дефекта после отладки.

Пусть теперь я тестовая серия длиной выполнена не полностью, а прове рен результат только по / наборам. Представим (10.20) в виде (10.24) Тогда вероятность проявления дефекта в r-го ранга при неполной серии После ( 1) полных и т-й неполной серии условная вероятность проявления дефекта в r-го ранга Безусловная вероятность проявления дефекта Вероятность того, что дефект не будет обнаружен после неполной серии, Вероятность Р) можно трактовать как математическое ожидание количест ва обнаруженных дефектов при наличии в программе не более одного дефекта.

Если в ней есть дефектов, то математическое ожидание числа обнаруженных дефектов после т-й серии +... + р).

Среднее остаточное количество дефектов = p) = (10.25) При неполной т-й серии = /, P). (10.26) Вероятность того, что после серии в программе не останется ни одного дефекта ( P)> • Вероятность является гарантированной нижней оценкой вероятности безот казной работы.

Правило завершения отладки может быть составлено либо путем нормирования длительности отладки, либо путем нормирования коэффициента эффективности отладки. В первом случае отладка завершается по достижении длиной тестовой последовательности нормативного значения Исходя из этого рассчитывают коэффициент эффективности отладки по одной из следующих формул:

= /, р);

p);

Во втором случае отладка завершается по выполнении одного из следующих не равенств:

/, L Если в (10.28) принято первое правило, то нормируется остаточное число дефек тов. Из уравнения находят сначала т и /, а затем L. Если принято второе прави ло, то нормируется вероятность полного отсутствия дефектов. Второе требова ние более жесткое и требует знания исходного числа дефектов N. Оба правила дают одинаковые длительности отладки, если = Пример 10.1. Пусть на вход программы комбинационного типа подается набор данных из пяти бинарных переменных. Известно, что после ожидаемое число дефектов равно 2 и они распределены равномерно. Не обходимо оценить эффективность отладки после серии отладочных наборов (т = 1...5) и найти гарантированную нижнюю оценку вероятности безотказной работы программы для = 6, 16, 26 и 31.

Решение. Результаты расчетов по формуле (10.20) приведены в табл. 10.1.

Таблица Условная вероятность обнаружения дефекта в r-го ранга Таблица 10.1. Условная вероятность обнаружения дефекта в ранга т = 2 т = 3 т = 4 т = т — 0 777 = 1 т = 2 = 3 m = 4 = т 1 0,5 1 0,5 1 1 1 1 2 0,25 0, 2 0,25 0,75 1 1 1 3 0,125 0,50 0,875 1 1 3 0,125 0,50 0,875 1 1 4 0,0625 0,3125 0,6875 0,9325 1 4 0,0625 0,6875 0,9325 1 5 0,03125 0,1875 0,5000 0,8175 0,96875 5 0,03125 0,1875 0,5000 0,8175 0,96875 Из данных, приведенных в табл. видно, что труднее всего обнаруживаются дефекты в более высокого ранга. При длительности теста, составляющей 50% от длительности полного теста = 2, L = 16), в первых двух дефекты обнару живаются гарантированно, а в 5-го ранга лишь с вероятностью 0,5. Расчет безусловной вероятности обнаружения дефекта, которая является показателем эффективности отладки, проводится по формуле (10.21). Результаты расчетов приведены в первой строке табл. 10.2.

Таблица 10.2. Безусловная вероятность обнаружения дефекта Таблица 10.2. Безусловная вероятность обнаружения дефекта Модель (3) Модель P) т = т=\ т 2 т Ъ т А т = т = 1 т 2 т = 3 т = 4 т = 0,194 0,55 0,813 0,950 0,994 0,55 0,813 0,950 0,994 Экспонента 0,125 0,55 0,881 0,969 0,984 0, Экспонента 0,125 0,55 0,881 0,969 0,984 0, Степенная 0,290 0,781 0,929 0,989 Степенная 0,290 0,781 0,929 0,989 Средняя 0,207 0,55 0,831 0,949 0,986 0, Средняя 0,207 0,55 0,831 0,949 0, Эффективность отладки достигает значения 0,95 при длительности отладки, достигающей значения 81,25% от длительности полного теста. Зависимость ве роятности от L, как и в моделях (10.17)—(10.19), нелинейная. Для сравнения в табл. 10.2 приведены результаты расчетов для экспоненциальной и степенной моделей. Для определения параметров а и т используется точка L = 6:

1 - ехр(-6а / 32) = / = Отсюда а = 4,26, т = 2,8. Из табл. 10.2 видно, что почти всюду экспоненциальная и степенная модели дают двустороннюю оценку значения, полученного по моде ли Поэтому среднее арифметическое этих значений довольно близко к зна чениям модели Максимальное относительное отклонение (при т = 2) не превышает 10%.

Среднее остаточное число дефектов, рассчитанное по формуле уменьша ется более чем вдвое уже при коэффициенте полноты тестирования К„ = = 6/32 = 0,19 и в 20 раз при К„ = 0,8 (табл. 10.3).

Таблица 10.3. Среднее остаточное число дефектов Таблица 10.3. Среднее остаточное число дефектов Модель Модель 1 = 2 т = 3 т = А 1 = 2 т = 3 т = А 0,9 0,375 0,100 0, 0,9 0,375 0,100 0, Средняя 0,9 0,278 0,102 0, Средняя 0,9 0,278 0,102 0, Нижняя гарантированная оценка вероятности безотказной работы, рассчитанная по формуле (10.27), составляет 0,66 при т = 2 и 0,9 при т = 3.

Для баз данных можно рассмотреть две стратегии отладки.

1. Отладка всего объема проводится автономно и независимо от ФСО. Если на каждом шаге тестирования проверяется объем v, а исходное число дефектов известно, то количество дефектов в объеме v имеет биномиальное распре деление с параметрами и q = При отладке происходит «просеивание» дефектов с вероятностью, равной коэффициенту эффективности отладки а.

Значение а оценивается по статистическим данным предыдущих опытов от ладки. Остаточное число дефектов определяют по формуле = = 1 - а.

Если отладка разделена на автономную и комплексную, то остаточное число дефектов после автономной и комплексной о тладки р = (10.29) 2. Отладка проводится только в той части V общего объема которая исполь зуется при выполнении конкретной ФСО. Дефекты обнаруживаются в про цессе многократного выполнения ФСО на тестовых задачах или в процессе эксплуатации. Эффективность отладки для этой стратегии будет рассмотрена далее (см. 10.4).

10.3.4. Модели потоков инициирующих событий Запуск ФСО в режиме МКЦП происходит либо по расписанию, либо при появ лении случайных событий определенного типа. Первый способ возникает при опросе пассивных дискретных датчиков (ДД), при появлении регулярных сигналов от смежных систем или команд от оперативного персонала. Случайные иниции рующие события (ИС) возникают по сигналам инициативных ДД, логических схем сравнения показаний аналоговых датчиков (АД) с уставками. Инициирую щим событием является любое изменение состояния ДД, достижение аналого вым параметром уровня уставки, изменение состояния любого исполнительного механизма (самопроизвольное или по командам дистанционного управления).

В реальных условиях потоки инициирующих событий определяются динамикой изменения физико-химических и технологических процессов в объекте управле ния, надежностью средств автоматики, контроля и управления, стратегией дис танционного автоматизированного управления.

Потоки С первого типа, получаемые на регулярной основе, близки по своим характеристикам к стационарным рекуррентным потокам с постоянной интенсив ностью. Потоки ИС второго типа близки к стационарным пуассоновским потокам.

Потоки обоих типов являются суммами некоторого количества независимых с потоков. Поэтому интенсивность суммарного потока находят как сум му интенсивностей слагаемых потоков:

= Л, + + + где Л, — интенсивность потока ИС, обусловленного изменениями технологиче ских процессов в объекте управления;

— интенсивность суммарного потока отказов технических средств управления;

— интенсивность потока заявок от подсистемы дистанционного управления;

интенсивность потока регуляр ных 10.4. Проектная оценка надежности программного комплекса при выполнении ФСО Если программы не используются, то они и не отказывают. Если же они вос требованы и в них есть дефекты, то проявление дефекта зависит от случая, со стоящего в том, что на вход поступит как раз тот набор значений переменных, при котором дефект проявляется и превращается в ошибку. В этом смысле ошибки носят случайный характер, и можно говорить о вероятности проявления дефекта.

10.4.1 проявления дефекта при однократном выполнении ФСО При построении модели вероятности проявления дефекта при однократном вы полнении ФСО принимают следующие допущения:

Во входном векторе можно выделить подвектор переменных, которые можно считать независимыми. В этом смысле не все бинарные сигналы или значе ния аналоговых переменных, поступающие в систему управления от дис кретных или аналоговых датчиков, можно считать независимыми. Например, сигналы от мажорированных датчиков функционально зависимы, и при без отказной работе техники они должны быть одинаковыми.

2. Среди значений входного набора переменных не все комбинации фактически могут появляться на входе программы. Поэтому в множестве значений выде ляют область допустимых значений.

3. В режиме МКЦП за один цикл выполняется один прогон программы и в те чение одного прогона обнаруживается не более одного дефекта.

Вероятность проявления дефекта оценивают в такой последовательности. По формуле (10.25) или (10.26) находят остаточное количество дефектов после автономной отладки для всех структурных единиц ФПО, а затем суммарное ко личество дефектов. К нему добавляют исходное число дефектов межсекционных и внешних связей рассчитанное по формулам (10.12) и (10.13), посколь ку С не участвуют в автономной отладке:

АО, (О Если размерность входного вектора ФСО равна п, а длина тестовой последова тельности, согласно (10.22), равна то по формуле (10.24) находят распреде ление вероятностей г = + а по формуле (10.25) при N = — оста точное число дефектов ФПО после комплексной отладки Заметим, что есть безусловная вероятность того, что дефект окажется в r-го ранга, а в осталось непроверенных комбинаций. Это число рассчитывают но формуле i При равномерном распределении вероятность того, что дефект проявится при предъявлении конкретной комбинации из равна = Вероятность проявления одного дефекта при предъявлении одного входного набора, 1)= (10.30) /• где — вероятность того, что предъявленный входной набор принадлежит под множеству непроверенных комбинаций r-го ранга. При равномерном рас пределении предъявляемых наборов r = m+\...n. (10.31) Подставляя (10.31) в (10.30), получим:

1)= 1)= (10.32) Если остаточное число дефектов равно а при однократном выполнении ФСО предъявляется входных наборов, то вероятность проявления хотя бы одного дефекта 1). (10.33) Рассмотрим теперь модель проявления дефектов в базах данных. Пусть до проведе ния отладки ожидаемое число дефектов = в базе данных объемом рассчиты вается по формуле (10.13), а при выполнении ФСО используется часть БД объе мом V. Тогда при равномерном распределении вероятностей каждого дефекта по полю число дефектов в объеме V имеет биномиальное распределение с парамет рами п и q = 1 - р = Вероятность того, что в объеме хотя бы один дефект, равна 1 - Если во время однократного выполнения ФСО запрашивается фрагмент объемом v и находящийся в нем дефект гарантированно обнаруживается, то вероятность проявления дефекта при однократном выполнении ФСО до отладки i-(i-v V При отладке только в объеме дефекты подвергаются «просеиванию» только в этом объеме. Их количество имеет биномиальное распределение с парамет рами и q = Если = re,, то отладка уменьшает среднее число дефектов до ге2 = где 1 - р — эффективность отладки. Вероятность проявления дефекта после отладки есть вероятность наличия в объеме v хотя бы одного дефекта при условии, что в объеме V есть дефекты Поскольку — случайная величина, имеющая биномиальной распределение с параметрами и = постольку безусловная вероятность Если прогон программы осуществляется после автономной отладки, то если же после комплексной отладки, то р = 10.4.2. Вероятность проявления дефекта при многократном выполнении ФСО Если при многократном прогоне программы на вход поступают независимые на боры значений переменных, то вероятность проявления дефектов = Дефект в БД не проявится при прогоне, если он не находится в объ еме (с вероятностью р = 1 - или находится в объеме V, но не окажется в выбранных фрагментах объ ема v (с вероятностью ). Если всего в объеме находится п дефектов, то условная вероятность проявления дефектов при М-кратном выполнении ФСО до начала отладки v, V, = (10.35) После отладки с параметром разрежения условная вероятность проявления де фектов v, V, n = (10.36) = Безусловные вероятности проявления дефектов = p) = (10.37) Отсюда следует, что при увеличении М вероятность проявления дефектов асим птотически стремится к величине 1 - р„.

10.4.3. Вероятность безотказной работы ПК в режиме МКЦП при случайном потоке инициирующих событий При простейшем потоке С с параметром Л вероятность безотказной работы на ходят как безусловную вероятность того, что все циклы выполнения ФСО в ин тервале (0, t) будут безошибочными:

о Подставляя сюда выражение для из (10.37), получим:

fi(0=I(pfl(^°',*))J#g-p(Po+goAM)" о Ml Если мало, то можно использовать приближенное выражение Тогда = k))). (10.39) Если использовать схему независимых событий, то можно получить нижнюю оценку вероятности безотказной работы системы как произведение вероятностей безотказной работы ФПО и ИО:

+ (10.40) Отсюда следует, что интенсивность отказов и средняя наработка на отказ ПК равны = = 10.41) Т k) k)) ~ ' Приближенную формулу для можно использовать только при малых 10.4.4. Учет процедур парирования ошибок Процедура парирования ошибок обеспечивает разрежение потока отказов, не до пуская перехода обнаруженного дефекта в программах или данных в отказ сис темы. Зная структуру потока ошибок по типам парируемых ошибок = получим интенсивности разреженных потоков ошибок:

Подставляя и в (10.39) вместо и находим:

= где — вероятность того, что будет обнаружен дефект типа.

10.5. Пример проектной оценки надежности программного комплекса 10.5.1. Краткое описание аппаратно программного комплекса Аппаратно-программный комплекс предназначен для выполнения трех основных функций:

• автоматического управления (АУ) без участия ФПО верхнего уровня систе мы управления;

• дистанционного управления (ДУ) исполнительными механизмами (ИМ) и ре жимами работы подсистем нижнего уровня с помощью ФПО верхнего уровня;

• отображения на мониторах верхнего уровня параметров (ОП), измеряемых на объекте управления, и параметров, отражающих состояние средств са мой системы управления, а также регистрации и архивирования информации в базах данных.

АПК построена как двухканальная система с нагруженным дублированием ФПО нижнего (НУ) и верхнего (ВУ) уровней и баз данных (рис. 10.2).

Информация в АПК поступает из системы сбора данных (ССД) от измеритель ных каналов, содержащих дискретные (ДД) и аналоговые (АД) датчики. Управ ляющие воздействия поступают из АПК в систему вывода данных (СВД), содер жащую некоторое количество ИМ. ССД и СВД не входят в рассматриваемую систему и являются буфером между АПК и объектом управления. Подсистема АПК верхнего уровня обменивается информацией со смежными системами.

На нижнем уровне структурными единицами ФПО НУ являются алгоритмы А1...А8, секции ввода (СВв) и вывода (СВыв) данных. Секции ввода данных мо гут принимать информацию от ССД или ФПО ВУ. Секции вывода данных вы полняют функции контроллеров для управления ИМ и для передачи служебной информации в адрес ФПО ВУ и ФПО НУ. База данных используется не только для выполнения указанных функций, поэтому объем данных БД превышает объ ем, необходимый для выполнения функций АУ, ДУ и ОП.

составлен по материалам реального проекта.

Рис. 10.2. Структурная схема ФПО и ИО АПК 10.5.2. Оценка исходного числа дефектов Надежность ПК оценивается на стадии проектирования, когда известны струк тура ФПО и описание каждой структурной единицы по входам и выходам. По этому для оценки ИЧД используются формулы (10.12) и (10.13). Чтобы оценить влияние структурирования на ожидаемое число дефектов, каждый алгоритм раз бивается на секции, размеры которых определяются требованиями технологии программирования, принятой в САПР ПО, и соображениями повышения эф фективности работы отдельного программиста с учетом рекомендаций психоло гии программирования и соображений удобства дальнейшей отладки. Исходные данные для расчетов и результаты расчетов ИЧД по секциям и алгоритмам при ведены в табл. 10.4.

продолжение Таблица ЛОЛ (продолжение) Наименование Исходные данные Входы 1 2 1 2 1 1 Секция А23 2 12 4 53,3 15, 0,439 0, Секция А24 6 9 8 38,1 33, 0,223 0, Секция А25 5 4 9 38,1 24, 0,223 0, Алгоритм A3 17 13 30 21 160,0 104, 3,95 1, Алгоритм А4ц 9 15 8 69, 0,745 0, Алгоритм А4с 12 8 22 12 - 0,714 0, Секции 4 11 48,1 24, 0,357 0, Алгоритм А5ц - - 19 19 92,2 92, 1,313 1, Алгоритм А5с 20 20 32 32 - 0,681 0, Секции А51...А54 5 5 8 8 33,22 33, 1,170 0, Алгоритм - - 28 20 147,2 98, 3,344 1, Алгоритм 28 20 48 32 - 1,754 0, Секции 7 5 12 8 53,3 33, 0,439 0, Алгоритм А7 20 20 21 21 104,0 104, 1, Алгоритм А8 12 8 24 20 122,2 98, 2,305 1, А1...А8ц - - 202 160 - 26, А1...А8с 141 273 - 16,05 10, Примечание. 1 — учитываются все обрабатываемые входы;

2 — учитываются все независимые входы;

— алгоритм без разбиения на секции;

— алгоритм с разбиением на секции.

Расчеты проведены для двух вариантов исходных данных. В первом варианте учтены все обрабатываемые входы и все ветвящиеся выходы. Во втором вариан те учтены только независимые входы и выходы. Расчеты показывают, что раз биение алгоритмов на секции приводит к увеличению суммарного количества входов и выходов: в первом варианте на 35%, а по отдельным алгоритмам до 70%;

во втором варианте на 29%, а по отдельным алгоритмам до 60%. Однако суммарное количество дефектов при разбиении на секции сократилось: на 40% в варианте 1 и на 30% в варианте 2. Разбиение на секции отдельных алгоритмов не всегда приводит к снижению ИЧД. Так произошло для А1 в варианте 1 и для А4 в варианте 2. Однако разбиение все-таки проводят по другим причинам.

Например, разбиение А1 полезно для облегчения автономной отладки. В этом случае при разбиении на две секции для полной отладки надо просмотреть 27 + 29 = 640 комбинаций значений бинарных входов, а без разбиения — = комбинаций, то есть в 3,2 раза больше. Варианты 1 и 2 могут рассматриваться как крайние для получения двусторонней оценки ИЧД, так как при функцио зависимых входах и выходах независимыми остаются операции адреса ции, при программировании которых также могут возникать ошибки. Именно поэтому может быть использовано среднее арифметическое оценок.

В качестве секций ввода в состав ФПО НУ входят модули сравнения результа тов измерения аналоговых параметров с уставками с последующей индикацией нарушения уставки. В качестве секций вывода используют два типа контролле ров, БУ1 и для управления ИМ двух различных типов. Исходные данные о секциях ввода и вывода и результаты расчетов ИЧД приведены в табл. 10.5.

Таблица Исходное число дефектов в секциях и вывода Таблица 10.5. Исходное число дефектов в секциях и вывода Наименование Наименование ИЧД 4 16 0, 4 0, БУ1 42 БУ1 42 БУ2 28 БУ2 28 147 3, Совокупность секций ввода и вывода сравнима по количеству дефектов со мно жеством алгоритмов.

10.5.3. Оценка числа дефектов ФПО по подсистемам до автономной отладки Для выполнения отдельной ФСО привлекают некоторое подмножество струк турных единиц ФПО, образующих подсистему. В нее включают также совокуп ность межсекционных и внешних связей структурных единиц подсистемы. Све дения о составе подсистем приведены в табл. 10.6.

Таблица 10.6. Состав подсистем ФПО Таблица 10.6. Состав подсистем ФПО ФСО Количество модулей Количество связей Количество модулей Количество связей А1...А8 СВв БУ1 БУ А1...А8 СВв БУ1 БУ2 ВС АУ 1 54 20 2 15 АУ 1 54 20 2 15 ДУ 1 0 20 2 15 1 0 20 2 15 1 54 0 0 15 ОП 1 54 0 0 15 В структуре ФПО (см. табл. 10.2) предусмотрено два канала обработки. Однако в них используют идентичные копии алгоритмов, модулей и БУ2, секций ввода. Поэтому количество дефектов от появления копий в параллельных кана лах не возрастает, лишь увеличивается вдвое количество связей. В каждом кана ле используется несколько секций БУ1 и в виде идентичных копий, поэто му в расчете ИЧД представлен только один экземпляр каждой секции. В составе секций ввода в основном только адресные операции. Поскольку они различны для различных копий, в расчетах ИЧД присутствуют все экземпляры СВв. Ре зультаты расчетов для одного и двух каналов представлены в табл. 10.7.

Таблица Исходное число дефектов в подсистемах до автономной отладки А1... А8 Связи Вариант 1 Вариант В1 В2 п 17 п= 11 Ка- Ка- Ка- Ка- Ка- Ка нал 1 2 нал 1 нал 2 нал 1 пал АУ 16,1 10,34 8,9 3,34 1,21 2,42 32,9 25,96 27, 2, 16,1 10,34 8,9 3,34 6,44 12,87 34,72 41,16 29,01 35, 16,1 10,34 0 0 2,42 4,85 20,63 23,06 14,92 17, 2, Все 16,1 10,34 8,9 3,34 20,14 40,54 49,61 43, 2, Примечание. Здесь п — число входов;

В1 — вариант 1;

В2 — вариант 2.

Из данных, приведенных в табл. 10.7, видно, что наибольшее количество дефек тов ожидается в подсистеме дистанционного управления и возникать они будут в основном из-за большего количества внешних связей. Наименьшее количество дефектов — в подсистеме ОП, в которую не входят секции ввода и вывода. Коли чество дефектов во всем ФПО примерно на 20% превышает ожидаемое число де фектов в наиболее сложной подсистеме.

При оценке ИЧД в базе данных используются следующие исходные данные:

• общий объем БД = 6 Мбайт;

• объем данных, используемых при выполнении ФСО: V = 0,55 Мбайт для всех ФСО, V = 0,5 Мбайт для ОП и ДУ, V = 0,25 Мбайт для подсистемы АУ;

• уровень языка программирования / = 0,88.

Согласно (10.13), ожидаемое число дефектов по всей БД = 352, в подсистемах ДУ и ОП = 29, в подсистеме АУ = 14,5.

10.5.4. Оценка остаточного числа дефектов после автономной отладки Автономная отладка проводится по секциям. Функционирование секций прове ряется путем предъявления входных наборов сериями, соответствующими кон груэнтным множествам от-го ранга, начиная с = 1. Для расчета использу ется формула (10.25) или (10.26). Как следует из табл. 10.4, при т = 9 полностью проверяются секции А12, А23, А24, А42, А51...А54, А61...А64. Для А21, А22, A3, А7 и А8 число входов более 9. Поэтому эти секции и алгоритмы прове ряются лишь частично. При т = 10 полностью проверяется также секция А22.

Результаты расчетов ОЧД приведены в табл. 10.8.

Таблица 10.8. Среднее остаточное число дефектов в секциях после АО А21 А22 A3 А7 А8 А1...А8 БУ1 БУ 9 0,0023 0,00007 0,199 0,1965 0,005 0,424 0,4495 0, 10 0,0065 0 0,087 0,113 0,00007 0,207 0,196 0, При расчете ОЧД в секциях БУ1 и учитываем, что в них число входов п = и п = соответственно. Результаты расчетов приведены в табл. 10.9.

Таблица Таблица 10.9. Результаты автономной отладки [вариант Результаты автономной отладки (вариант 1) 1) ПС m Среднее остаточное число дефектов m Среднее остаточное число дефектов БУ Алгоритм БУ БД МВС Всего Алгоритм БД Всего Ка- Ка- Ка- Ка- Ка- Ка Ка- Ка- Ка- Ка- Ка- Ка нал 1 пал 2 нал 1 нал 2 нал 1 нал нал пал 2 нал 1 нал 2 нал 1 нал АУ 9 0,424 0,452 0,73 2,42 2,82 4,03 0, АУ 9 0,424 0,452 0,73 1,21 2,42 2,82 4,03 0,911 0, АУ 10 0,207 0,196 0,73 1,21 2,34 3,55 0,926 0, АУ 10 0,207 0,196 0,73 1,21 2,42 2,34 3,55 0,926 0, ДУ 9 0,424 0,452 1,45 6,44 12,87 8,77 15,23 0,747 0, 9 0.424 0,452 1,45 6,44 12,87 8,77 15,23 0,747 0, ДУ 10 0,207 0,196 1,45 6,44 12,87 8,29 14,65 0,761 0, 10 0,207 0,196 1,45 6,44 12,87 8,29 14,65 0,761 0, ОП 9 0,424 0 1,45 2,42 4,85 4,30 6,72 0,792 0, 9 0,424 0 1,45 2,42 4,85 4,30 6,72 0,792 0, ОП 10 0,207 0 1,45 2,42 4,85 4,08 6,51 0,802 0, 10 0,207 0 1,45 2,42 4,85 4,08 6,51 0,802 0, Все 9 0,424 0,452 1,60 10,07 20,14 12,55 22,62 0,690 0, 9 0,424 0,452 1,60 10,07 20,14 12,55 22,62 0, 10 0,207 0,196 1,60 10,07 20,14 12,08 22,14 0,702 0, 10 0,207 0,196 1,60 10,07 20,14 12,08 22,14 0,702 0, ПРИМЕЧАНИЕ Здесь МВС — и внешние связи;

эффективно сти Расчет ОЧД в МВС проведен для п = 18, 36 и 24 (подсистемы АУ, ДУ и ОП со ответственно). При расчете ОЧД в БД по формуле (10.29) коэффициент полно ты проверки принят равным 0,95. Значения взяты из 10.5.3.

Из данных, приведенных в табл. 10.9, видно, что автономная отладка существен но сокращает ожидаемое число дефектов в секциях: по всем подсистемам ФПО (А1...А8 и БУ) от 30,45 до 0,88 при т = 9 и до 0,4 при т = 10. В БД число дефектов уменьшается от 32 до 1,6. Эффективность АЛ по таким компонентам ФПО и ИО, как отношение числа устраненных дефектов к исходному числу, составляет 0, при т 9 и 0,97 при т = 10. Однако в целом но всем компонентам эффектив ность существенно меньше: от 0,544 в двухканальной системе при те = 9 до 0, в одноканальной системе при те = 10. Снижение эффективности объясняется тем, что при АО не проверяют МВС. Остаточное количество дефектов колеблется от 12,1 до 22,6. Это довольно много, поэтому необходима комплексная отладка.

Для дальнейших расчетов выбираем вариант с глубиной автономной отладки, соответствующей = 9, по следующим причинам. С ростом т быстро возрастает трудоемкость отладки, измеряемая суммарной длиной тестовой последователь ности. На все секции, проверенные полностью, при т = 9 затрачивается I = входных наборов. Значения длины тестовой последовательности для остальных секций, рассчитанные по формуле (10.21), приведены в табл. 10.10.

В строке 8 указана сумма значений строк 1...5, в строке 9 к ним добавлено число комбинаций для полностью проверенных секций алгоритмов.

Таблица 10.10. Длинатестовой последовательности послеm-й серий Наименование п L = 8 т = 9 т= Секция 14 12 911 14 913 15 Секция А22 10 1013 1023 Алгоритм A3 17 65 536 89 846 109 Алгоритм А7 20 263 950 431 910 616 Алгоритм А8 12 3797 4017 Секция БУ1 17 65 536 89 846 109 Секция БУ2 11 1981 2036 Секции А21...А8 — 347 207 541 709 746 Алгоритмы А1...А8 - 348 774 543 277 748 БУ1, БУ2 - 67 517 91 882 111 А1...А8, БУ2 - 416 291 635 159 859 Для алгоритма А7 переход = 8кт = 9 означает увеличение трудоемкости отладки на 63,6%, а переход = — увеличение на 42,8%. Переход от = = 10 приводит к увеличению L: для A3 и БУ на для всех алгорит мов на 37,8%, по секциям БУ на 21,1%, по ФПО в целом на 35,4%.

Степень снижения остаточного числа дефектов и рост эффективности отладки можно проследить по данным, приводимым в табл. 10.11.

Таблица Зависимость эффективности АО от трудоемкости Зависимость эффективности АО от трудоемкости Таблица 10.11.

т L AL/L ФСО т L AL/L АУ, ДУ 9 635 159 0,876 0,969 ДУ 9 635 159 0,876 0, АУ, ДУ 10 859 890 0,403 0, АУ, 10 859 890 0,403 0, ОП 9 543 277 0,424 0,974 9 543 277 0,424 0, ОП 10 748 277 0,987 0, 10 748 277 0,987 0, Для АУ и увеличение эффективности отладки на 1,7% требует увеличения трудоемкости на 35,4%. Для ОП рост эффективности на 1,3% требует увеличе ния трудоемкости на 37,7%.

10.5.5. Оценка остаточного числа дефектов после комплексной отладки Комплексная отладка проводится по подсистемам в целом и имеет целью функ циональное тестирование и тестирование межсекционных и внешних связей.

Остаточное число дефектов и эффективность отладки прогнозируются с помо щью модели Результаты расчетов вероятности необнаружения дефекта Р) и среднего остаточного числа дефектов по формулам (10.23) и (10.25) для двухканальной системы при те = 8 и 1 / приведены в табл. 10.12. Данные для взяты из табл. 10.9.

Таблица Результаты комплексной отладки Таблица 10. 12. Результаты комплексной отладки ФСО п (3) == 9 т = п = 9 (3) ФПО ФПО АУ 20 0,1843 3,30 4,03 0,608 0,073 0,681 0, АУ 20 0,1843 3,30 4,03 0,608 0,073 0,681 0, ДУ 17 0,0982 13,78 1,45 15,23 1,353 0,145 1,498 0, 17 0,0982 13,78 1,45 1,353 0,145 1,498 0, ОП 20 0,1843 5,27 1,45 6,72 0,971 0,145 1, 20 0,1843 5,27 1,45 6,72 0,971 0,145 1, Все -- - 21,02 1,60 22,62 2,93 3,09 0, Все - 1,60 2,93 3,09 0, Для оценки остаточного числа дефектов в БД принят коэффициент эффектив ности тестирования = 0,9. Трудоемкость КО равна сумме длительностей тес товых последовательностей при отладке подсистем:

L + 950 + 65 536 = i = 0 1 = Полученное значение сравнимо с трудоемкостью автономной отладки = = 635 159).

После КО не полностью проверенными оказались ранга от 9 до 17 для под системы ДУ и ранга от 9 до 20 для АУ и ОП. Проанализируем связь эффектив ности и полноты отладки.

1. Поскольку в пределах наблюдается равномерное распределение вероят ности появления дефекта по различным комбинациям, значения полноты от ладки как доли числа проверенных комбинаций и эффективности отладки как доли обнаруженных дефектов совпадают. Это значит, что между ними есть линейная зависимость.

2. Коэффициент полноты отладки для ранга и для всей логической структуры в соответствии с (10.20) и (10.22) совпадают. Однако при m < < < п коэффициент полноты отладки существенно больше, чем при = п (табл. 10.13), и соответственно больше коэффициента эффективности от ладки. Поскольку при увеличении длины тестовой последовательности од новременно тестируются в определенной степени все это порождает нелинейную зависимость числа обнаруженных дефектов и эффективности отладки от полноты отладки логической структуры.

Таблица 10.13. Коэффициент полноты отладки различных рангов Таблица 10.13. Коэффициент отладки различных рангов 2r 9 512 511 0, 9 512 0, 10 1024 1013 0, 10 1024 1013 0, продолжение Таблица 10.13 (продолжение) 2r Si ll 2048 1981 0, 12 4096 3797 0, 13 8192 7099 0, 14 16 384 12 911 0, 15 32 768 22 819 0, 16 65 536 39 203 0, 17 131 072 65 536 0, 18 262 144 106 762 0, 19 524 288 169 826 0, 20 1 048 576 260 950 0, 3. Сравнивая данные, приведенные в табл. 10.12 и 10.13, видим, что для подсистем АУ и ОП (п = 20) при полноте отладки 0,249 коэффициент эффективности отладки достигает значения 0,83 и лежит между значениями коэффициента эффективности для и 14-го рангов. Для подсистемы ДУ (п = 17) при полноте отладки 0,5 коэффициент эффективности отладки = 0,9 и ле жит между значениями для 12-го и 13-го рангов.

4. Для всей совокупности подсистем полнота отладки + 587 2 228224 ' При этом коэффициент эффективности отладки равен 0,863, зависимость — существенно нелинейная.

При довольно высокой эффективности комплексной отладки и небольшом сред нем остаточном числе дефектов доля непроверенных комбинаций велика. Поэто му при нормальной эксплуатации дефекты могут проявляться в течение очень длительного времени.

10.5.6. Оценка вероятности проявления дефекта при однократном и многократном выполнении ФСО после КО Каждая подсистема ФПО характеризуется следующими показателями: — сред нее остаточное число дефектов после КО;

k — среднее число значений входного вектора, предъявляемых при однократном выполнении ФСО;

— распределе ние вероятностей наличия дефекта различных рангов;

\...п. Исход ные данные для расчета вероятностей дефектов 1) и k) по формулам (10.32) и (10.33) приведены в табл. 10.14, а результаты расчетов — в табл. 10.15.

Таблица 10.14. Распределение вероятностей проявления дефекта х 1) п = 17 = 20 = 9 1 1,15 • 9,77 • 3,62 • 3,13 • 4,17 • 10 5,5 6,32 • 10-" 5,37 • 1,45 • ю-" 1,72 • 10-" 9,16 • 9,24 • 11 1,93 • 1,64 • 4, • ю-5 7,82 • 8,90 • 12 37,38 4,29 • 3,65 • 1, • ю-5 2,93 • 4,95 • 1,07 • 13 68,31 7,85 • 6,67 • 2,22 • • 1,74 • 6,02 • 14 108,53 0,0125 3, • ю-7 2,26 • 3,96 • 2,39 • 15 155,45 0,01786 0,01518 3,17 • 4,51 • 5,7 • 6,85 • 16 205,73 0,02365 0,0201 1,98 7,05 • 4,7 • 1,42 • • ю- 17 256,00 0,02941 0,0250 8,30 • 1,7 • 10-" 2,1 • 18 303,48 - — 6,9 • — 2,1 • 9, — — 19 346,15 0,0338 3,6 • — 20 384,58 — 0,0376 - 9,1 • 3,4 • 9-17 854,65 0,0982 - - - 2,94 • 9-20 1888,9 - 0,1845 - - 4,51 • Таблица Вероятность проявления дефекта однократном ФСО п k АУ 20 10 0,608 4,51 • ю- 17 15 1,353 2,94 • ю- 20 20 0,971 4,51 • ю- Вероятность проявления дефектов при многократном выполнении ФСО рассчи тывают по формуле (10.34) с учетом данных, приведенных в табл. 10.15. Резуль таты расчетов приведены в табл. 10.16.

Таблица Вероятность проявления дефектов при многократном выполнении ФСО М к) АУ 2,74 • 10 • 100 2,76 • 1000 0, • 10 6,21 • 100 6,21 • 1000 0, 10 8,98 • 100 8,98 • 1000 0, Условную и безусловную вероятности проявления дефектов БД однократном и многократном обращении к ней до проведения отладки находят по формулам (10.35) и (10.37), а при обращении после отладки — по формулам (10.36) и (10.37).

Расчеты проводят при следующих исходных данных: = 6 Мбайт, V = 0,5 Мбайт для подсистем ДУ и ОП, V = 0,25 Мбайт для подсистемы АУ, = 1/ = 352, =0,1 Результаты расчетов приведены в табл. 10.17—10.21. До от ладки условная и безусловная вероятности практически совпадают, так как р" = 5 • Из-за одинаковых объемов используемых данных У характеристики подсистем ДУ и ОП совпадают.

Таблица 10.17.Вероятность проявлениядефектов БД до отладки М V) v = 2 v = i v = 8 v= АУ АУ АУ АУ ДУ 1 0,1107 0,1107 0,2093 0,2093 0,3748 0,3748 0,6094 0, 5 0,4389 0,5585 0,6796 0,6855 0,8901 0,8977 0,9843 0, 10 0,6782 0,6848 0,8883 0,8968 0,9877 1 100 0,9997 0,9999 1 1 1 1 1 Таблица Условная вероятность де фектов БД после автономной отладки М v 2 v A = 8 v= АУ АУ АУ АУ 1 0,0113 0,0077 0,0225 0,0152 0,0446 0,0301 0,0881 0, 5 0,0548 0,0374 0,1063 0,0730 0,2005 0,1396 0,3590 0, 10 0,1059 0,0727 0,1990 0,1391 0,3544 0,2551 0,5447 0, 100 0,6405 0,4988 0,8545 0,7214 0,9733 0,8982 0, 1000 0,9998 0,9919 0,9999 0,9999 0,9999 0,9999 0, Таблица Безусловная вероятностьпроявления дефектов БД после автономной отладки М v = v 2 v = 8 v = АУ АУ АУ АУ 1 0,0059 0,0059 0,0117 0,0117 0,0232 0,0232 0,0458 0, 5 0,0285 0,0287 0,0553 0,0562 0,1043 0,1075 0,1867 0, 10 0,0551 0,0560 0,1035 0,1071 0,1843 0,1964 0,2989 0, 100 0,3331 0,3841 0,4444 0,5555 0,5062 0,6916 0,5196 0, 1000 0,5200 0,7638 0,5201 0,7700 0,7700 0,5201 0, Таблица 10.20. Условная вероятность проявления дефектов БД после отладки М v = 2 v= 1 v = 0,5 v = 0, АУ ДУ АУ АУ АУ 1 0,0083 0,0042 0,0041. 0,0022 0,0021 0,0232 0,0010 0, 5 0,0411 0,0220 0,0206 0,0107 0,0115 0,0059 0,0057 0, 10 0,0800 0,0425 0,0411 0,0219 0,0206 0,0107 0,0115 0, 100 0,5465 0,3379 0,1926 0,1020 0,0983 0, 1000 0,9996 0,9830 0,9826 0,8731 0,8695 0,6490 0,6419 0, 10.21. Безусловная вероятность проявления дефектов БД после комплексной отладки М v = 2 1 = 0,5 v = 0, АУ ДУ АУ АУ АУ 1 0,0006 0,0006 2,9 • 2,9 • 1,5 • 1,5 • 7,3 • 7,3 • 10 0,0057 0,0058 2,9 • 0,0030 0,0015 0,0015 0,0008 0, 100 0,0397 0,0473 0,0239 0,0263 0,0133 0,0139 0,0070 0, 1000 0,0707 0,1342 0,0695 0,1192 0,0615 0,0886 0,0454 0, Из данных, приведенных в табл. 10.17, видно, что в начале АО первый де фект уверенно обнаруживается уже после первых 10—15 тестов БД. После АО вероятность проявления дефекта снижается, но остается довольно высокой (см. табл. 10.19). Вероятность того, что после АО в БД не останется ни одного дефекта, оценивается величиной р" = 0,48 при выполнении АУ и р„ = 0,23 при выполнении ДУ или ОП.

После комплексной отладки, то есть в начале эксплуатации, вероятность от каза ИО при однократном выполнении ФСО оказывается существенно больше (см. табл. 10.21), чем вероятность отказа ФПО (см. табл. 10.15), — почти на два порядка. При многократном выполнении ФСО в число обращений М включают только независимые обращения. Фактически могут наблюдаться многократные обращения к одному и тому же фрагменту данных, и тогда вероятность проявле ния дефектов не меняется при увеличении числа обращений. Чтобы учесть этот фактор, введем поправочный коэффициент равный доле независимых обраще ний. Для данной системы принимается 5 = Суммарная вероятность отказа ФПО и ИО при однократном выполнении ФСО после комплексной отладки, рассчитанная по схеме независимых событий, при ведена в табл. 10.22.

Вероятность отказа существенно зависит от объема v, используемого при одно кратном обращении фрагмента БД.

Таблица 10.22. Вероятность отказа ФПО и ИО при однократном выполнении +,25 v = 2 = 0,25 v v АУ 2,74 • 7,57 • ю- 5/96 • ю-5 ю-" 7,90 • 5,93 • 8,76 • 8,18 • 10.5.7. Поток инициирующих событий В систему поступает несколько потоков инициирующих событий Поток технологических событий, инициирующих работу ФПО с участием алгоритмов А1...А8, включает в себя только те события, которые требуют взаимосвязанного управления группой технологических параметров. Средний интервал между со бытиями = 8 ч.

Поток заявок на групповое отображение параметров состоит из заявок, посту пающих в среднем один раз в смену, поэтому = 8 ч.

Поток команд с пультов управления и рабочих мест оператора для прямого дистанционного управления исполнительными механизмами и управления ре жимами работы устройств нижнего уровня имеет средний интервал между со бытиями = 72 ч.

Поток отказов средств автоматики состоит в основном из отказов 200 дискретных и аналоговых датчиков, имеющих среднюю наработку на отказ 200 тыс. ч, поэто му средний интервал между событиями этого потока = 100 000/200 = 500 ч.

Часть этих отказов (их доля 20%) требует вмешательства оперативного персо нала с участием подсистемы ДУ. Средний интервал между этими событиями = = 2500 ч.

Интенсивность потоков заявок на выполнение ФСО равна сумме интенсивно стей слагаемых потоков Для других подсистем 10.5.8. Вероятность безотказной работы ПК Система в режиме МКЦП работает со случайным интервалами между цикла ми. Для безотказной работы системы необходимо безотказное выполнение всех циклов в течение установленного календарного времени. Расчеты проводятся по формуле (10.38) или по приближенным формулам (10.39) или (10.40). Резуль таты расчетов приведены в табл. 10.23 и 10.24 для времени функционирования t = 1 год = 8760 ч и среднего объема фрагмента данных v = 0,25 Кбайт.

Таблица 10.23. Интенсивность отказов подсистем >д + АУ 0,1254 0, 01254 2,74 • 10 7,3 • 0,3440 0,9150 1, 0,01429 0, 00143 5,96 • 10 7,3 • 0,0852 0,1043 0, 0,2660 0, 0266 8,76 • 10 • ю-5 2,330 1,942 4, Таблица 10.24. Показатели надежности подсистем тыс. ч + О + АУ 2900 1090 794 0,997 0,992 0, 11700 9586 5277 0,9993 0, 429 515 234 0,9798 0, В подсистемах АУ и ДУ определяющим фактором ненадежности ПК является вклад информационного обеспечения. Не увеличивая длительности отладки базы данных, можно уменьшить влияние ИО путем введения средств парирова ния ошибок с вероятностью парирования = 1 - Результаты расчетов по формуле (10.41) при = 1, = 0,1 приведены в табл. 10.25.

Таблица 10.25. Показатели надежности подсистем с учетом парирования ошибок в ИО 1С. Ч ФИО + АУ 2900 10900 2291 0,997 0,992 0, 95860 5277 0,99925 0,99991 0, 429 5150 396 0,9798 0,9983 0, Более высокая вероятность безотказной работы подсистемы ДУ достигнута в основном за счет существенно меньшей интенсивности потока инициирую щих событий. Подсистема имеет худшие показатели, уступая по средней наработке подсистеме АУ более чем в 5 раз. Это допустимо, так как функция отображения параметров не связана непосредственно с управлением техно логическим объектом, и поэтому «цена отказа» здесь меньше, чем в подсисте мах АУ и ДУ.

10.6. Оценка надежности программного комплекса по результатам отладки и нормальной эксплуатации В процессе отладки и опытной или нормальной эксплуатации программного комплекса появляется возможность использовать статистические данные об обнаруженных и исправленных ошибках и уточнить проектные оценки надеж ности. Для этой цели разработаны модели надежности, содержащие параметры, точечные оценки которых получают путем обработки результатов отладки и экс плуатации ПК. Модели отличаются друг от друга допущениями о характере зависимости интенсивности появления ошибок от длительности отладки и экс плуатации. Некоторые модели содержат определенные требования к внутренней структуре программных модулей.

Экспоненциальная модель Шумана [3]-[7].

Модель основана на следующих допущениях:

• общее число команд в программе на машинном языке постоянно;

• в начале испытаний число ошибок равно некоторой постоянной величине и по мере исправления ошибок становится меньше;

в ходе исправлений про граммы новые ошибки не вносятся;

• интенсивность отказов программы пропорциональна числу остаточных ошибок.

О структуре программного модуля сделаны дополнительные допущения:

• модуль содержит только один оператор цикла, в котором есть операторы вво да информации, операторы присваивания и операторы условной передачи управления вперед;

• отсутствуют вложенные циклы, но может быть k параллельных путей, если имеется k - 1 оператор условной передачи управления.

При выполнении этих допущений вероятность безотказной работы находят по формуле (10.42) где — число ошибок в начале отладки;

/ — число машинных команд в модуле;

и — число исправленных и оставшихся ошибок в расчете на одну ко манду;

Т — средняя наработка на отказ;

т — время отладки;

С — коэффициент пропорциональности.

Для оценки и С используют результаты отладки. Пусть из общего числа про гонов системных тестовых программ — число успешных прогонов, п — — чис ло прогонов, прерванных ошибками. Тогда общее время п прогонов, интенсив ность ошибок и наработку на ошибку находят по формулам (10.43) Полагая, найдем:

(10.44) где — время тестирования на одну ошибку. Подставляя сюда (10.42) и ре шая систему уравнений, получим оценки параметров модели:

(10.45) Для вычисления оценок необходимо по результатам отладки знать Некоторое обобщение результатов (10.43)—(10.45) состоит в следующем. Пусть и — время работы системы, соответствующее времени отладки и и — число ошибок, обнаруженных в периодах и Тогда Отсюда. (10.46) Если и — только суммарное время отладки, то Г, = = и фор мула (10.46) совпадает с (10.45).

Если в ходе отладки прогоняется k тестов в интервалах (0, (0,..., (0, где < то для определения оценок максимального правдоподобия используют уравнения [3] (10.47) где число теста, заканчивающихся отказами;

— время, затра ченное на выполнение успешных и безуспешных прогонов теста. При k = (10.47) сводится к предыдущему случаю и решение дает результат (10.46).

Асимптотическое значение дисперсий оценок (для больших значений nj) опреде ляются выражениями где Коэффициент корреляции оценок Асимптотические значения дисперсии и коэффициента корреляции используют ся для определения доверительных интервалов значений и С на основе нор мального распределения.

В работе [9] отмечается, что наиболее адекватной для модели Шумана является экспоненциальная модель изменения количества ошибок при изменении дли тельности отладки где и определяются из эксперимента. Тогда Средняя наработка до отказа возрастает экспоненциально с увеличением дли тельности отладки:

Экспоненциальная модель [10]—[12].

Данная модель является частным случаем модели Шумана. Согласно этой модели, интенсивность появления ошибок пропорциональна числу остаточных ошибок:

где — коэффициент пропорциональности;

— интервал между г'-й и - 1)-й обнаруженными ошибками. Вероятность безотказной работы (10.48) При формула (10.48) совпадает с (10.42). В рабо те [14] показано, что при последовательном наблюдении k ошибок в моменты можно получить оценки максимального правдоподобия для параметров Для этого надо решить систему уравнений (10.49) Асимптотические оценки дисперсии и коэффициента корреляции (при боль ших k) определяются с помощью формул Чтобы получить численные значения этих величин, надо всюду заменить и их оценками.

Геометрическая модель Моранды [13].

Интенсивность появления ошибок принимает форму геометрической прогрессии:

D К — константы;

i — число обнаруженных ошибок. Эту модель рекоменду ется применять в случае небольшой длительности отладки. Другие показатели надежности находят по формулам где п — число полных временных интервалов между ошибками. Модификация геометрической модели предполагает, что в каждом интервале тестирования об наруживается несколько ошибок. Тогда где — накопленное к интервала число ошибок;

т — число полных временных интервалов.

Модель [15], [16].

Эта модель является модификацией экспоненциальной модели Джелинского Моранды. Модель основана на допущении того, что интенсивность обнаруже ния ошибок пропорциональна числу остаточных ошибок и длительности г'-го интервала отладки:

(10.50) то есть с течением времени возрастает линейно. Это соответствует рэлеевскому распределению времени между соседними обнаруженными ошибками. Поэтому модель называют также рэлеевской моделью Шумана или рэлеевской моделью Параметр рэлеевского распределения где п — число полных временных интервалов. Тогда вероятность безотказной ра боты и средняя наработка между обнаруженными ошибками (10.51) Сравнительный анализ моделей [20] показывает, что геометрическая модель Моранды и модель дают устойчиво завышенные оценки числа остаточных ошибок, то есть оценки консервативные или пессимистиче ские. Для крупномасштабных разработок программ или проектов с продолжи тельным периодом отладки наилучший прогноз числа остаточных ошибок дает модель Модель Липова [17] (обобщение моделей и Шика— Волвертона).

Эта модель является смешанной экспоненциально-рэлеевской, то есть содержит в себе допущения и экспоненциальной модели Джелинского-Моранды, и рэлеев ской модели Интенсивность обнаружения ошибок пропорцио нальна числу ошибок, остающихся по истечении (г - 1)-го интервала времени, суммарному времени, уже затраченному на тестирование к началу текущего ин тервала, и среднему времени поиска ошибок в текущем интервале времени:

(10.51) где — интервал времени между г'-й и (г - 1)-й обнаруженными ошибками.

Здесь имеется и еще одно обобщение: допускается возможность возникновения на рассматриваемом интервале более одной ошибки. Причем исправление оши бок производится лишь по истечении интервала времени, на котором они воз никли:

где — число ошибок, возникших интервале. Из (10.51) находим вероят ность безотказной работы и среднее время между отказами:

где — интеграл Лапласа;

— параметры модели.

Параметры модифицированных рэлеевской и смешанной моделей оцениваются с помощью метода максимального правдоподобия. Однако в этом случае функ ция правдоподобия несколько отличается от рассмотренной при выводе уравне ний (10.49), так как теперь наблюдаемой величиной является число ошибок, обнаруживаемых в заданном интервале времени, а не время ожидания каждой ошибки. Предполагается, что обнаруженные на определенном интервале време ни ошибки устраняются перед результирующим прогоном. Тогда уравнения максимального правдоподобия имеют вид (10.52) где С = для модели (10.50) и С = для модели (10.51);

М — общее число временных интервалов. Коэффициенты А и В находят с помощью формул для модели и с помощью формул для смешанной модели. Здесь — продолжительность временного интервала, в котором наблюдается ошибок. Заметим, что при = 1 уравнения (10.52) приобретают вид (10.49), тогда М = К, что соответствует k в (10.49), = г - 1.

Модель [18], [19].

Модель использует так называемую теорию длительности обработки. Надежность оценивается в процессе эксплуатации, в котором выделяют время т реальной ра боты процессора (наработку) и календарное время т' с учетом простоя и ремон та. Для числа отказов (обнаруженных ошибок) выводится формула (10.53) где — наработка между отказами перед началом отладки или эксплуата ции;

— начальное число ошибок;

С — коэффициент пропорциональности.

Из (10.53) находят:

В работе [20] сравниваются экспоненциальная, рэлеевская и смешанная модели.

Сравнение проведено на одинаковых наборах данных для предсказания числа ошибок в проекте, состоящем из 4519 небольших программных задач. Результаты предсказания сравниваются с апостериорными данными. Сравнение проводилось и на крупной управляющей программе, содержащей 249 процедур и 115 000 ин струкций языка JOVIAL. Было выявлено от 2000 до 4000 ошибок на четырех последовательностях наборов данных. По результатам испытаний определены зависимости числа оставшихся ошибок от времени как для эмпирических дан ных, так и для предсказанных по рассмотренным моделям. По результатам ана лиза сделаны следующие выводы:

1. Экспоненциальная и рэлеевская модели дают более точное предсказание чис ла ошибок, чем смешанная модель.

2. Экспоненциальная и рэлеевская модели более пригодны для небольших про грамм или для небольших длительностей отладки.

3. Для больших программ или при длительных испытаниях лучшие результаты дают модификации экспоненциальной и рэлеевской моделей.

4. Геометрическая модель дает удовлетворительные оценки при любой длине программ, но лучше ее использовать для коротких программ и небольшой длительности испытаний.

5. Экспоненциальная и рэлеевская модели завышают число оставшихся ошибок, а смешанная модель занижает эту величину по сравнению с действительным значением.

6. Если для большого числа равных интервалов число ошибок на каждом интер вале меняется в значительных пределах, то экспоненциальная и рэлеевская модели могут оказаться неудовлетворительными.

модель (модель Сукерта) [20].

Модель задается совокупностью соотношений Достоинство этой модели в том, что она содержит дополнительный по сравне нию с экспоненциальной моделью параметр т. Подбирая т и X, можно полу чить лучшее соответствие опытным данным. Значение те-подбирают из диапазона 0 < < 1. Оценки параметров получают с помощью метода моментов. Для пара метра формы значение находят как решение уравнения где — гамма-функция. Для параметра масштаба оценка Модель (степенная модель) [21] Число обнаруженных и исправленных ошибок определяется с помощью степен ной зависимости где М — степень отлаженности программ;

— эмпирические константы.

Отсюда интенсивность отказов (10.54) Величина М выражается в человеко-месяцах испытаний, единицах календарного времени и т. д. Адекватность модели проверена на экспериментальных данных, полученных для систем реального времени и программ на алгоритмическом язы ке FORTRAN. Для грубого предсказания надежности авторы рекомендуют зна чение а = 0,5.

Во всех рассмотренных моделях программа представлена как «черный ящик», без учета ее внутренней структуры. Кроме того, всюду принято допущение, что при исправлении ошибок новые ошибки не вносятся. Следующие две модели рассматривают программы в виде «белого ящика» — с учетом внутренней струк туры. Поэтому они называются структурными.

Структурная модель Нельсона [22], В качестве показателя надежности принимается вероятность Р(п) безотказного выполнения п прогонов программы. Для прогона вероятность отказа пред ставляется в виде где у, — индикатор отказа на i-м наборе данных;

— вероятность появления г'-го набора прогоне. Тогда Если — время прогона, то интенсивность отказов (10.55) Практическое использование формул (10.54) и (10.55) затруднено из-за множе ства входов и большого количества трудно оцениваемых параметров модели. На практике надежность программ оценивается по результатам тестовых испытаний, охватывающих относительно небольшую область пространства исходных данных.

Для упрощенной оценки в [24] предлагается формула где N — число прогонов;

— число обнаруженных при прогоне г'-го теста оши бок;

— индикатор отсутствия ошибок при прогоне г'-го теста.

Для уменьшения размерности задачи множество значений входных наборов разби вают на пересекающиеся подмножества каждому из которых соответствует оп ределенный путь = Если содержит ошибки, топри выполнении теста на Gj будет отказ. Тогда вероятность правильного выполнения одного теста При таком подходе оценка надежности по структурной модели затруднена, так как ошибка в проявляется не при любом наборе из Gj, а только при некоторых.

Кроме того, отсутствует методика оценки по результатам испытаний программ.

Структурная модель роста надежности (модель Иыуду) [25].

Модель является развитием модели Нельсона. В ней делают следующие допущения:

• исходные данные входного набора выбираются случайно в соответствии с рас пределением p., i = • все элементы программ образуют s классов, вероятность правильного испол нения элемента /-го класса равна...

• ошибки в элементах программ независимы.

Вероятность правильного исполнения программы по i-му пути (10.56) где — количество элементов класса в г'-м пути. Безусловная вероятность безотказной работы при однократном исполнении программы в период времени до первой обнаруженной ошибки (10.57) где п — количество путей исполнения программы.

При корректировании программы после обнаружения ошибки учитывается воз можность внесения новой ошибки с помощью коэффициента эффективности корректирования Вместо в (10.56) следует использовать — номер интервала времени между соседними ошибками. При вероятность не меняется, при < 1 вероятность увеличивается, а при > 1, напротив, пада ет. Для интервала вероятность успешного исполнения программы по i-му пути При = q выражение (10.57) можно представить в виде (10.58) Подставляя (10.58) в (10.57), получим:

Pages:     || 2 | 3 |



© 2011 www.dissers.ru - «Бесплатная электронная библиотека»

Материалы этого сайта размещены для ознакомления, все права принадлежат их авторам.
Если Вы не согласны с тем, что Ваш материал размещён на этом сайте, пожалуйста, напишите нам, мы в течении 1-2 рабочих дней удалим его.