APLICAÇÃO DO MÉTODO DOS DIAGRAMAS ESPIRAIS NO AUXÍLIO PARA A RESOLUÇÃO DE ÁRVORES DE FALHAS VIA OBDD

Transcrição

1 APLICAÇÃO DO MÉTODO DOS DIAGRAMAS ESPIRAIS NO AUXÍLIO PARA A RESOLUÇÃO DE ÁRVORES DE FALHAS VIA OBDD Pedro Igor Carvalho Moreira UFPE, Av. Acadêmico Hélio Ramos, s/n, Cidade Universitária, Recife-PE, Cep: , pedroigor@click21.com.br Paulo Renato Alves Firmino UFPE, Av. Acadêmico Hélio Ramos, s/n, Cidade Universitária, Recife-PE, Cep: , praf62@yahoo.com Enrique López Droguett UFPE, Av. Acadêmico Hélio Ramos, s/n, Cidade Universitária, Recife-PE, Cep: , ealopez@ufpe.br Rohgi Toshio Meneses Chikushi UFPE, Av. Prof. Luiz Freire, s/n, Cidade Universitária, Recife-PE, Cep: , rohgi_toshio@yahoo.com.br Resumo Com a crescente utilização de árvores de falhas para fazer inferência sobre as medidas de confiabilidade, fez-se necessário o aperfeiçoameno dos métodos utilizados, visto que cresce também o nível de detalhamento dos sistemas, e portanto, temos maiores árvores de falhas que precisam ser solucionadas em tempos relativamente menores com capacidades computacionais limitadas. Devido à versatilidade da representação gráfica de sistemas por tais estruturas lógicas é que devemos dispor de um amplo instrumental metodológico que busque tratar cada tipo de situação independentemente do grau de parentesco entre os eventos. O método dos diagramas espirais se apresenta como uma ferramenta robusta capaz de mostrar suas potencialidades ao solucionar uma árvore de falhas específica de um sistema real. Palavras-chave: Resolução de Árvores de Falhas, Aplicação de Diagramas de Decisão Binária Ordenados (OBDD), Aplicação do Método dos Diagramas Espirais. Abstract With the growing use of fault trees to make inference about the reliability measures, new methods became necessary, because the level of details of the systems also grows, and therefore, we have larger fault trees that they need to be solved in relatively smaller times with limited computational capacities. Due to the versatility of the graphical representation of systems for such logical structures that we should use an ample methodological instrument able to solve each type of situation, independently, of the degree of relationship among the events. The spiral diagrams method presents itself as a robust tool capable to show its potentialities solving a specific fault tree of a real system. Keywords: Resolution of Fault Trees, Application of Ordered Binary Decision Diagrams (OBDD), Application of the Spiral Diagrams Method. 1. Introdução Neste artigo exemplificamos o método dos diagramas espirais na resolução de árvores de falha apresentado no artigo Firmino et al(2004). Para tanto vamos analisar um sistema de controle, monitoramento e aquisição de dados a distância (SCADA) para a indústria petrolífera segundo o relatório de Kelvin et al.(2000). Iremos obter as possíveis combinações de eventos que levam à falha do sistema real que será apresentado, aplicando o método Top-down assim como todo o ferramental desenvolvido para a conversão das árvores de falhas para os diagramas de decisão binária ordenados (OBDD) utilizando o método do diagrama espiral.. Devido ao sistema não apresentar problemas de

2 redundância é que foram adicionadas certas dificuldades ao sistema real para que possamos melhor exemplificar os métodos de resolução. O sistema real possui o seguinte diagrama de blocos: 9 Atuador 11 8 SCADA Link comum 2 Servidor Link comum 1 RTU 1 Sensor Válvula de segurança RTU 2 Sensor Sistema de vazamento Figura 1 Diagrama de blocos de um sistema SCADA simples para a indústria petrolífera. Para maiores detalhes ver Kelvin et al.(2000) páginas Depois da apresentação do problema iremos aplicar o método Top-down para obtermos os cortes que levam à falha do sistema. Depois de aplicado o método Top-down vamos apresentar o método espiral de modo a obtermos o OBDD da árvore de falhas. Apesar deste trabalho não visar demonstrar a superioridade da representação em diagramas de decisão binário ordenados, iremos demontrar como obter alguns cortes que levam a falha no OBDD para exemplificar um dos meios de solução. Para maiores detalhes sobre a natureza do método e suas deduções ver Firmino et al.(2004). 2. Apresentação do Problema O modelo da árvore de falhas serve a diversas finalidades importantes, primeiramente, a árvore de falhas fornece uma estrutura lógica para a análise da falha e enfatiza as causas dentro dos cenários onde foram modelados. A árvore de falhas é baseada na teoria booleana em conjunto com a matemática combinatória e a teoria da probabilidade. A árvore de falhas mostra como os eventos se combinam para causar o evento topo (ou fim) e define ao mesmo tempo, como a probabilidade do evento topo é calculada em função das probabilidades dos eventos básicos. Assim, como dito na seção anterior, para o um sistema de aquisição de dados para controle da prospecção de óleo e gás natural, foi escolhido como o evento topo da árvore de falhas o vazamanto de óleo de um sistema que não é afetado pela ação da válvula de bloqueio, adaptado de Kelvin et al. (2000). O diagrama da árvore de falhas para este sistema seria: G1 Falha ao fechar a válvula de segurança na presença de um vazamento de óleo; G2 Falha ao detectar um vazamento de óleo; Falha ao detectar o estado de uma válvula de segurança aberta; Falha da válvula de segurança ao fechar. Os eventos básicos relevantes, nesta análise, são apresentados a seguir: Falha do usuário; Falha do sensor de detecção. Os eventos apresentados são os eventos capazes de produzir redundâncias, e portanto, erros nos resultados. Os demais eventos que compõem a árvore mostram-se como falhas de softwares ou hardwares específicos do sistema e fogem ao escopo desse artigo pormenorizá-los, levando em conta 1702

3 que o método apresentado é extensível a qualquer árvore de falhas coerente de um sistema real segundo os testes dedutivos realizados, ver Firmino et al.(2004). Vazamento G1 G0 G2 G4 G5 q5 G6 G7 q9 0 G8 G9 7 Figura 2 Árvore de falhas modificada do sistema de monitoramento de prospecção de óleo e gás natural. 3. Aplicação do Método Top-down O método Top-down é o mais conhecido dos métodos de resolução de árvores de falha. Devido ao seu caráter intuitivo, o método se presta muito bem para a resolução de árvores de falhas pequenas, mas torna-se inviável para árvores de falhas grandes onde o número de permutações cresce fatorialmente. Podemos dizer que este método utiliza a força bruta para a resolução, pois todo o procedimento é composto de rotinas simples que são repetidas um grande número de vezes. Para o nosso problema temos a discretização abaixo dos cortes-mínimos segundo o método Top-down: G1*G2** Para G1 igual a: ++**(+) E G2 igual a: +q5+q9*0* E, finalmente, igual a: +*(+*7) Tal combinação resulta na seguinte expressão: (++**(+))*( +q5+q9*0*)*( +*(+*7))* Expandindo essa expressão de modo a obtermos os termos redundantes, observamos que existem cortes que não são mínimos e cortes que podem ser simplificados. Obtivemos 36 cortes, sendo que desses, 12 cortes foram excluídos por serem não-mínimos, veja Tabela 1: Nº do corte Equação booleana do corte Não-mínimo 1 *** 2 **** 3 ****7* X 4 *q5** 1703

4 5 *q5*** 6 *q5***7* X 7 *q9*0*** 8 *q9*0**** 9 *q9*0****7* X 10 *** 11 **** 12 ****7* X 13 *q5** 14 *q5*** 15 *q5***7* X 16 *q9*0*** 17 *q9*0**** 18 *q9*0****7* X 19 ***** 20 ****** 21 ******7* X 22 ***q5** 23 ***q5*** 24 ***q5***7* X 25 ***q9*0*** 26 ***q9*0**** 27 ***q9*0****7* X 28 ***** 29 ****** 30 ******7* X 31 ***q5** 32 ***q5*** 33 ***q5***7* X 34 ***q9*0*** 35 ***q9*0**** 36 ***q9*0****7* X Tabela 1 Cortes obtidos da árvores de falhas relativa ao sistema apresentado. Obtem-se a seguinte expressão com 24 cortes. Depois de ainda 4 simplificações de álgebra booleana: ***+****+*q5**+*q5***+*q9*0***+ *q9*0****+***+****+*q5**+*q5*** +*q9*0***+*q9*0****+*****+****q 12**+***q5**+***q5***+***q9*0**+ 1***q9*0***+*****+******+** 4*q5**+***q5***+***q9*0**+***q9*0* ** Devido ao excesso de operações algébricas, este método é considerado pouco eficiente no que se refere ao tratamento de redundâncias e simplificações booleanas, o que dá espaço à aplicação do método dos diagramas espirais. Este método é uma solução gráfica otimizada que reduz a possibilidade de erro e minimiza o tempo computacional ou de manipulação combinatória. 4. Aplicação do Método dos Diagramas Espirais 4.1 Ordenação da árvore pelo critério dos tamanhos de grupos 1704

5 A ordenação da árvore recém obtida do usuário de um sistema ou de um profissional no campo, geralmente não estará construída coerentemente segundo um critério específico. O método dos diagramas espirais necessita de uma ordenação própria segundo um tamanho dos grupos. O tamanho dos grupos, na verdade, constitui-se de dois tipos: tamanho tipo OU e tamanho tipo E. O tamanho do grupo correspondente ao seu tipo é definido como a soma do número de eventos básicos e subsistemas (filhos) que a porta possui, adicionado ao tamanho do mesmo tipo dos subsistemas que compõem esta porta. O tamanho do tipo contrário será apenas a soma dos tamanhos dos subsistemas que compõem esta porta. No caso de nos depararmos com tamanhos iguais, existe uma hierarquia dentro dos tamanhos. O tamanho do tipo OU é dominante com relação ao tamanho do tipo E. Assim sendo, caso tenhamos um tamanho E elevado comparado com outro subsistema, isso não será relevante se o tamanho OU for diferente entre os subsistemas. Para maiores detalhes ver Firmino et al.(2004). No exemplo apresentado, o evento topo possui quatro filhos sendo que três desses filhos são portas lógicas. A ordenação é crescente com relação aos tamanhos. Portanto, vamos identificar os tamanhos de cada subsistema. O tamanho OU de G1 será o número de filhos, que é três, adicionado ao tamanho OU do seu subsistema G4. G4 tem um tamanho E de três, adicionado ao tamanho E do subsistema G7. G7, que é uma porta OU, só possui eventos básicos em sua prole e, portanto, possui tamanho OU igual a dois e tamanho E igual a zero. O subsistema G4 possui, portanto, tamanho E igual a três e tamanho OU igual a dois. G1 por sua vez, possui tamanho OU igual cinco e tamanho E igual três. O subsistema G2 possui três filhos, dois eventos básicos e um subsistema. Seu tamanho OU será então três adicionado ao tamanho OU do subsistema G5. O subsistema G5 só possui eventos básicos em sua prole e, portanto, seu tamanho E é três e seu tamanho OU é zero. Com isso temos que o tamanho E de G2 é três e o tamanho OU é três. O próximo filho seguindo a ordem da esquerda para direita é o evento que por definição dos eventos básicos possui tamanhos E e OU iguais a zero. O próximo filho é que possui dois filhos e portanto, terá tamanho OU igual a dois adicionado ao tamanho OU do seu subsistema G6. G6 possui dois filhos sendo que um é o subsistema G8 que é um OU e também possui um subsistema, G9. O tamanho E de G9 é dois e o tamanho OU é zero. Subindo uma geração, o tamanho E de G8 é dois e o tamanho OU é dois. O tamanho E de G6 é quatro é o tamanho OU é dois. Devemos agora reorganizar a disposição dos eventos e portas de modo crescente com os tamanhos de cada subsistema, lembrando que os eventos básicos possuem tamanhos E e OU iguais a zero. A organização da árvore é mostrada na figura abaixo: 1705

6 Vazamento G0 OU=12 E=14 G2 OU=3 OU=4 E=4 G1 OU=5 q5 G5 OU=0 G6 E=4 G4 q9 0 G8 G7 E=0 G9 OU=0 7 Figura 3 Reorganização da árvore de falhas pelo critério dos tamanhos de cada subsistema. 4.2 Determinação e Simplificação de Redundâncias Na árvore mostrada na figura 2, podemos perceber que existem alguns eventos que se repetem na representação gráfica do sistema. Esses eventos repetidos podem gerar cortes não-mínimos se sua comunicação se dá por uma porta E, estes serão chamados eventos redundantes e são passíveis de simplificação de acordo com a álgebra booleana (ver Bryant [1992]). Os eventos que se repetem são e e cada um deve ser tratado particularmente. O evento original é aquele que é filho da porta lógica e o evento original é o filho da porta lógica G5. A hierarquia do tratamento dos eventos redundantes segue a seguinte ordem: a) Redundância de geração 0 ou trivial; b) Redundância de geração I; c) Redundância de geração II; d) Redundância de geração III; e) Redundâcia de geração elevada. O tratamento se inicia seguindo a ordem acima a partir da menor geração das redundâncias em cada caso. Isso significa que quanto mais acima estiver um dos eventos redundantes, maior brevidade exigirá seu tratamento dentro de cada tipo de redundância. Em nosso sistema, não identificamos redundâncias triviais, partindo para o tratamento de redundâncias de geração I, onde identificamos o evento original dentro das características necessárias. Este evento e sua redundância tem um parentesco do tipo onde apenas o evento original pertence à primeira geração do topo da ocorrência da redundância (ver definições em Firmino et al.[2004]). Tal parentesco nos leva a uma simplificação diretamente na prole do pai do evento original que se encontra na primeira geração. O método dos diagramas espirais nos diz que, caso os pais da redundância do tipo descrito acima compartilharem da mesma tipologia lógica, apenas o evento redundante será eliminado. No entanto, se as portas lógicas forem diferentes, a porta lógica da redundância mais abaixo será eliminada. Para o subsistema obteremos depois da simplificação: 1706

7 G6 E=4 G8 OU=4 E=4 G6 OU=0 (a) G9 OU=0 (b) 7 Figura 4 Subsistema antes (a) e depois (b) da simplificação. Vale ressaltar que devido à eliminação do subsistema G9, ao subsistema G8 restou apenas um filho, o que não é coerente com a teoria das árvores de falhas e, portanto, houve uma segunda operação de caráter residual que retirou o subsistema G8 e alocou o evento na prole de G6. Na árvore de falhas do sistema descrito acima, identificamos a não existência de redundâncias de geração II, que se caracteriza pela redução de Faunet (ver Bryant [1992]). Partiremos agora para a resolução da segunda redundância que é do tipo redundância de geração III. Este caso recai sobre um problema mais complexo devido ao tipo singular de parentesco e se caracteriza pelo fato do parente em comum dos eventos redundantes se encontrar três gerações acima e este por ser unicamente uma porta lógica E, pois se o topo da redundância for um OU não existe necessidade de aplicação de um método de eliminação de redundâncias dado que neste caso os eventos redundantes se encontram em cortes distintos. O método dos diagramas espirais utiliza uma metodologia própria para a resolução do tipo de redundâncias de geração III e elevada, chamado de método espiral de eliminação de cortes nãomínimos (MEEC). Primeiramente devemos reconhecer os filhos do parente em comum mais acima que possuem as redundâncias, neste caso são eles: G1 e G2. Como as gerações das redundâncias são iguais, é indiferente qual subsistema será expandido. Porém é aconselhável expandir o grupo com menos filhos, no caso, G2. Expansão esta, que nada mais é que uma discretização das possíveis permutações que podem ocorrer nesse subsistema. Duas portas lógicas E são criadas em G2, uma receberá o filho que contém a redundância e a outra os demais filhos conectados por uma porta do tipo lógico de G2. As portas lógicas criadas receberão ainda uma cópia completa do subsistema G1, como podemos observar na figura abaixo: 1707

8 Vazamento ou=2 e=2 G2 G6 ou=0 e=2 G5 q5 q9 0 G1 ou=5 e=3 G4 ou=2 e=3 G7 ou=2 e=0 Figura 5 2º passo na aplicação do MEEC. Vale ressaltar que apesar do aspecto paradoxal que possa parecer o aumento no número de eventos e uma repetição de eventos, essas medidas não são sem propósito, pois com esta ordenação e simplificação estamos otimizando os procedimentos de cálculo para diminuir o tempo e o esforço computacionais. Na segunda etapa iremos utilizar o mesmo raciocínio descrito anteriormente para o tipo de redundância onde apenas o evento original pertence à primeira geração do topo da ocorrência da redundância (redundância de geração I). Neste caso, entretanto, com uma particularidade, só há simplificação no grupo onde os eventos se repetem, devido ao fato dos eventos se encontrarem na terceira geração do topo da redundância, diferentemente do caso de geração elevada, onde existe simplificação no grupo onde os eventos se repetem e o seu contrário nos grupos recém expandidos. Para resolução de redundâncias de geração elevada aplica-se o mesmo método para resolução de redundâncias de geração III com uma diferença. Para o caso onde as redundâncias são de uma geração acima da terceira (geração elevada) com relação ao seu topo, procede-se de maneira similar à simplificação de redundância de geração I, isto é, caso os pais da redundância do tipo descrito compartilharem da mesma tipologia lógica, apenas o evento redundante será eliminado e nos demais grupos a porta lógica da redundância é eliminada. No entanto se as portas lógicas forem diferentes, a porta lógica da redundância mais abaixo será eliminada e nos demais grupos apenas o evento redundante é eliminado. Neste momento podemos observar que o evento redundante original não se encontra mais em comunicação com outros eventos semelhantes através de portas E, o que nos informa que estamos prontos para entrar realmente no procedimento espiral. No entanto, antes precisamos reorganizar a 1708

9 árvore de acordo com os tamanhos, como descrito acima. A figura 6 mostra a árvore de falhas que será entregue ao método: Vazamento G0 OU=16 E=16 G2 OU=14 E=11 G6 OU=0 M3 OU=5 E=6 M1 OU=7 E=5 q9 0 M4 OU=5 M2 E=0 G1 OU=5 M5 q5 G4 G7 E=0 G7 E=0 4.3 Método dos Diagramas Espirais Figura 6 3º passo na aplicação do MEEC (reordenação). Como G2 e possuem uma conexão E, começamos a aplicação do algoritmo segundo Firmino et al.(2004). Seguindo-se o algoritmo espiral obtém-se o OBDD (Ordered Binary Decision Diagram) ótimo, isto é, aquele com o menor número de eventos básicos possível. A figura 7 mostra o OBDD obtido, onde se deve comentar que as conexões em traços pontilhados de fato não existem, a ausência de uma conexão do tipo OU as representa. 1709

10 0 q9 Vazamento q5 Figura 7 Diagrama espiral demonstrando as conexões entre os níveis da espiral. Com o diagrama espiral montado fica fácil (ver figuras 7 e 8) fazer a conversão para um OBDD, para tanto basta para isso uma simples rotação no diagrama e uma complementação no terminal que conecta os eventos livres ao terminal da não-falha, como segue na figura abaixo: q5 0 q9 Sem Vazamento Vazamento Figura 8 OBDD representando o sistema com o menor número possível de eventos básicos. 1710

11 Vamos demonstrar como obter alguns cortes no OBDD. Para isso devemos observar que para cada evento existe apenas duas saídas possíveis: uma linha cheia para representar uma conexão E e uma linha pontilhada representando uma conexão OU. Partindo do evento, observamos que ele aponta para para o evento com linha cheia (conexão E). Este por sua vez aponta para que aponta para q5. Guardamos a informação que para chegar ao evento fim,,, e q5 devem se comunicar por uma conexão E. O evento q5 aponta para que por sua vez nos dá dois caminhos para chegar ao evento fim, são eles: ** ou *. Para os caminhos escolhidos as expressões lógicas obtidas são: a) ***q5** correspondente à linha 31 da Tabela 1. b) ) ***q5*** correspondente à linha 32 da Tabela 1. Devemos ressaltar que nesta demonstração quando existe uma quebra de caminho de uma conexão E para uma conexão OU, o evento onde houve a quebra não entra no corte, seguindo pelos próximos conectivos E até encontrar o evento fim, concluindo o corte. 5. Conclusões O método dos diagramas espirais mostra-se mais apropriado quando o número de eventos de uma árvore de falhas cresce suficientemente, pois além de tratar o problema de forma gráfica ou algébrica, ainda produz uma solução otimizada no formato dos diagramas de decisão dinários (BDD), que é um método robusto o suficiente para ser extrapolado a qualquer árvore de falhas desde que esta seja coerente (ver definição de coerência em Firmino et al.[2004]). Isto exige uma maior atenção na construção da árvore e melhores pré-processamentos, que resultarão em menor tempo computacional, menor utilização de memória e uma consequente maior capacidade na computação de eventos durante a resolução. O método Top-Down se presta bem, nesse contexto, como uma ferramenta de auxílio para verificação de resultados em árvores pequenas, as quais, podem ser extendidas utilizando-se das técnicas de recursividade. Vale ressaltar que o método dos diagramas espirais já se encontra implementado em Java, demonstrando a aplicabilidade do método e suas vantagens ao método Topdown na obtenção dos cortes mínimos que levam à falha do sistema. Referências BRYANT, R. E. (1992) - Symbolic Boolean Manipulation with Ordered Binary Decision Diagrams. ACM Computing Surveys. vol. 24, n. 3, p FIRMINO, P. R.; MOREIRA, P. I. & DROGUETT, E. L. (2004) - Diagramas espirais: Método auxiliar para a resolução ótima de árvores de falhas via OBDD. Artigo submetido para este simpósio. KELVIN, T. E. & MILLER, A. & STANEK, E. K. (2000) - Survey of SCADA System Technology and Reliability in the Offshore Oil and Gas Industry. A Final Report to Dept. of the Interior, MMS TA&R Program, Program SOL RP