Системный анализ аварийных комбинаций событий при управлении человеко-машинными системами

Глава 3. Математические модели

ка. . . , 2005]. Выходными данными марковской модели являются вероятности пребывания системы в заданном наборе состояний. Условием для использования модели является обладание процесса наступления рассматриваемых событий марковским свойством, допустимость которого апробирована на практике, поэтому использование марковских процессов для анализа безопасности рекомендовано в ряде технических регламентов, в частности в «Руководстве и методах реализации оценки безопасности бортовых систем и оборудования гражданских самолетов ARP-4761».

Для случая переменных значений lj(t), i = 1;k отметим, что при решении задачи рассматриваемый отрезок времени [tн, tк] функционирования системы разбивается на части таким образом, что на каждой из них значения lj(t), i = 1;k рассматриваются как постоянные, что дает возможность применения гомогенной марковской модели. Эти интенсивности определяются на основе экспериментальных данных, в том числе с использованием модели фазовых диаграмм. Количество уравнений в системах Колмогорова – Чепмена зависит от количества и мощности минимальных сечений. Ниже будут получены оценки для этих величин.

3.3.Свойства минимальных сечений

ипутей успешного функционирования

Далее в качестве исследуемых причинно-следственных структур рассматриваются деревья отказов (неисправностей) [ГОСТ 27.31-95 (МЭК 812-1985). Надежность в технике. Анализ видов, последствий и критичности отказов. Основные положения, 1997]. Для рассматриваемых деревьев множество Wпр из (3.1) состоит из дизъюнкции и конъюнкции, множество Wсл – из тождественной операции.

Каждая вершина e дерева связана с определенным событием и значение e(t) этой вершины в момент t равно 1, если соответствующее событие происходит, и 0 – в противном случае. Корневое событие соответствует некоторой аварии из множества A = fA1, . . . , Ang.

Дереву T с концевыми вершинами e1, . . . , ek соответствует булева функция fT (e1(t), . . . , ek(t)), принимающая значение 1, если корневое событие происходит, и 0 – иначе. Эта функция будет задействована для анализа минимальных сечений, используемых для представления аварийных комбинаций событий, и минимальных ПУФ, используемых для представления воздействия по предупреждению их развития.

41

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

Подмножество E0 множества E = fe1(t), . . . , ek(t)} концевых вершин дерева T называется его сечением, если при реализации всех событий из E0 корневое событие T реализуется гарантированно (независимо от реализации остальных событий из E). Сечение называется минимальным, если никакое его собственное подмножество не является сечением T . Множество минимальных сечений обозначим через N(T ).

Подмножество E00 множества концевых вершин дерева T называется путем успешного функционирования (ПУФ), если при нереализации всех событий из E00 корневое событие T гарантированно не реализуется. ПУФ называется минимальным, если никакое его собственное подмножество не является ПУФ. Множество минимальных ПУФ обозначим через M(T ).

Физический смысл минимальных ПУФ заключается в том, что предупреждение событий, входящих в них, позволяет разрушать цепочки причинно-следственных связей, приводящие к реализации минимальных сечений, а значит, к авариям.

Обозначим через deg(e) множество вершин, входящих в вершину e дерева T , List(T ) – множество концевых вершин дерева, T (e) – поддерево T с корнем в вершине e, и пусть T 0 – инвертированное дерево, т. е. дерево которое получается из T взаимной заменой операторов дизъюнкции и конъюнкции и заменой всех событий дерева T на противоположные.

Утверждение 3.1. Множество минимальных ПУФ T совпадает с множеством минимальных сечений дерева T 0, множество минимальных ПУФ дерева T 0 совпадает с множеством минимальных сечений T .

Доказательство. Как следует из принципа двойственности [Яблонский, 1986], булева функция fT 0 , которую реализует дерево T 0, является двойственной к булевой функции fT , реализуемой деревом T : fT 0 = fT .

ek(t)) = 0, и обратно. Таким образом, множество минимальных ПУФ дерева T совпадет с множеством минимальных сечений дерева T 0, и обратно, что и требовалось доказать.

Из (3.1) следует, что M(T ) определяется теми же алгоритмами [Диллон, Сингх, 1984], которые используются для определения N(T ), если применять эти алгоритмы к инвертированному дереву T 0.

Механизмы предотвращения аварийных комбинаций событий с использованием минимальных ПУФ основываются на определенных в нижеследующих утверждениях отношениях между этими путями и минимальными сечениями.

42

Глава 3. Математические модели

Утверждение 3.2. Каждый ПУФ дерева T пересекается с каждым его сечением, а множества M(T ) и N(T ) не пересекаются (для деревьев, у которых найдется хотя бы одна вершина e, для которой deg(e)).

Доказательство. В самом деле, если некоторый ПУФ не пересекается с некоторым сечением, то не исключены одновременная реализация всех событий этого сечения и нереализация всех событий ПУФ. Однако из первого следует, что корневое событие происходит, а из второго – что не происходит, противоречие.

Докажем второе утверждение теоремы. В самом деле, предположим противное: пусть E0 является и минимальным сечением и ПУФ для дерева T . Тогда, согласно (3.1), E0 – минимальное сечение одновременно для T и T 0. Рассмотрим два случая, и пусть в первом случае корневая вершина дерева T , обозначим её через e, связана с дизъюнкцией. Тогда по определению дизъюнкции для реализации e необходимо и достаточно реализации одной из вершин множества deg(e). Это означает, что реализация E0 как минимального сечения должна гарантированно приводить к реализации по крайней мере одной из вершин множества deg(e).

Далее, если элементы E0 являются концевыми вершинами более чем одного из поддеревьев, входящих в вершины из deg(e), то сечение E0 не будет минимальным, так как на реализацию корневой вершины поддерева могут влиять только его концевые вершины и мы могли бы оставить в качестве сечения любое из собственных подмножеств E0, входящих в множество концевых вершин какого-либо из поддеревьев, входящих в вершины из deg(e). Поэтому все вершины E0 входят ровно в одно из поддеревьев, входящих в вершины из deg(e).

С другой стороны, в инвертированном дереве T 0 вершина e связана с конъюнкцией и для реализации e необходимо и достаточно реализации всех вершин из deg(e). Это означает, что реализация E0 как минимального сечения, теперь уже для дерева T 0, должна гарантированно приводить к реализации всех вершин множества deg(e), из чего следует, что вершины из E0 должны по крайне мере присутствовать во всех поддеревьях, входящих в вершины из deg(e). В совокупности с выводом, который был сделан в предыдущем абзаце, это означает, что в вершины из deg(e) входит только одно поддерево и в корневую вершину T входит только одна вершина. Если в эту вершину входит более одного поддерева, то для него можно провести аналогичное рассуждение и т. д. Второй случай, когда корневая вершина e связана с конъюнкцией, рассматривается симметрично. Утверждение доказано.

43

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

Замечание 1. В случае вырожденного дерева, у которого во все вершины, кроме концевой, входит по одной вершине, единственный минимальный ПУФ совпадает с единственным минимальным сечением.

Замечание 2. Минимальные ПУФ и минимальные сечения дерева не совпадают, однако могут включаться друг в друга как подмножества. Например, если в дереве T с концевыми вершинами fe1, . . . , ekg все операторы – дизъюнкторы, то единственным минимальным ПУФ будет множество fe1, . . . , ekg, которое включает все минимальные сечения fe1g, . . . , fekg. Если же все операторы в дереве T – конъюнкторы, то множество fe1, . . . , ekg будет единственным минимальным сечением, которое содержит все минимальные ПУФ, а именно – fe1g, . . . , fekg.

Как следует из доказанного выше, обеспечение реализации любого минимального ПУФ позволяет предотвратить все аварийные комбинации событий, вызванные реализацией минимальных сечений.

Определение наилучших ПУФ для подмножества N(T ). Рассмотрим случай, когда требуется предотвратить реализацию не всех минимальных сечений, а некоторого их подмножества N N(T ). В этом случае целесообразно не расходовать ресурсы на реализацию воздействия по полным ПУФ, а брать только те их части, которые позволяют парировать развитие аварий по минимальным сечениям именно из множества N. Каждую такую часть ПУФ назовем «ПУФ для N», а понятие минимального ПУФ для N определим аналогично ПУФ.

Обозначим через [N] объединение всех минимальных сечений, входящих в множество N N(T ). Исходя из рассмотренных свойств минимальных сечений и ПУФ установлено, что для любого ПУФ E0 и множества N N(T ) пересечение E00 множества E0 и [N] дает ПУФ для N, и обратно: если некоторое множество вершин E00 – ПУФ для N, то E00 является подмножеством некоторого ПУФ.

На основании доказанных утверждений сформулируем алгоритм определения всех минимальных ПУФ для заданного подмножества N N(T ). Введем следующее определение.

Пусть E00 – ПУФ для N, тогда событие e из множества E00 назовем уникальным, если найдется минимальное сечение из N, пересекающееся с E00 только по e, и неуникальным в противном случае. Иначе назовем событие e неуникальным. Содержательно неуникальность означает, что любое сечение из N либо не содержит e, либо пересекается с E00 также еще и по некоторому другому событию. Поэтому если событие e неуникально, то множество E00 ne будет пересекаться со всеми сечениями из N, т. е. будет тоже являться ПУФ для N, но при этом иметь меньше элементов. При этом, однако, ответ на вопрос, какой ПУФ для N более

44

Глава 3. Математические модели

предпочтителен – E00 или E00 ne, – будет зависеть от соотношения затрат на управляющие воздействия по предупреждению различных событий, входящих в них. Таким образом, общий принцип для разработки алгоритмов определения наилучших ПУФ для подмножества N(T ) состоит

вследующем:

–выбрать доступные ПУФ для дерева T ;

–определить пересечения их с множеством [N];

–для каждого пересечения E00 определить неуникальные элементы и сравнить затраты на парирование или предупреждение событий

с использованием E00 как ПУФ для N и с использованием в этом качестве E00 за вычетом неуникальных элементов;

–выбрать из полученного конечного множества альтернатив варианты с наименьшими затратами.

Информация о мощности множества ПУФ, которое предлагается рассматривать в таких алгоритмах, может быть получена из сформулированных и доказанных ниже утверждений.

Оценки количества минимальных сечений и кратчайших путей успешного функционирования [Богомолов, 2019]. Поскольку используемые и предлагаемые алгоритмы основываются на определенном переборе минимальных сечений и кратчайших ПУФ в деревьях отказов, для определения эффективности процедур и ранжирования решаемых задач требуются оценки количества минимальных сечений и путей.

Обозначим через Or(T ) множество вершин дерева T , связанных

соператором дизъюнкции, And(T ) – множество вершин, связанных

соператором конъюнкции, T (e) – поддерево T с корнем e.

Лемма 3.1. Если для некоторой вершины e все операторы в T (e) являются дизъюнкциями, то любое минимальное сечение дерева T содержит ровно одну или ноль вершин из множества List(T (e)).

Доказательство. Пусть E0 – минимальное сечение дерева T , e – вершина T , удовлетворяющая условиям теоремы. Требуется доказать, что E0 не может содержать 2 вершины из List(T (e)). Предположим противное: пусть в E0 есть e1 и e2 – различные вершины из List(T (e)). Тогда, поскольку все операторы в T (e) – дизъюнкции, а значит, для реализации корневой вершины e будет достаточно реализации e2, а на реализацию вершин из T nT (e) значение вершины e1 не влияет, множество E0ne1 также будет сечением. Это противоречит минимальности сечения E0, что и требовалось доказать.

Лемма 3.2. Если для вершины e дерева T все операторы в T (e) – конъюнкции, то любое минимальное сечение T содержит все вершины List(T (e)) либо не содержит ни одной из них.

45

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

Доказательство. Здесь требуется доказать, что если хотя бы одна вершина из List(T (e)) принадлежит E0, то List(T (e)) включается в E0, если вершина e реализуется всегда, когда реализуется E0. В силу структуры T (e) реализация e эквивалентна реализации всех вершин T (e), поэтому из реализации E0 будет следовать реализация List(T (e)). Так как вершины дерева концевые, это возможно только если List(T (e)) включается в E0.

Если же существует набор значений вершин E, в котором реализуется E0, но не реализуется e, то среди вершин List(T (e)) нет вершин из E0, поскольку при реализации вершины минимального сечения все вершины, находящиеся на пути от этой вершины в корню (в том числе и вершина e), должны реализовываться. Что и требовалось доказать.

Замечание. Из лемм 3.1 и 3.2 могут быть извлечены не только свойства минимальных сечений, но и ПУФ, для чего следует рассмотреть инвертированное дерево T 0 и применить эти леммы к нему.

Перейдем теперь к формулировке и доказательству оценок для количества минимальных сечений и ПУФ в зависимости от конструкции дерева отказов. Доказываемые ниже теоремы также позволяют оценить количество минимальных сечений и ПУФ, включающих заданную вершину. Такая оценка требует существенно меньше вычислительных затрат, чем получение числа минимальных сечений перечислением.

Теорема 3.1. Справедливо неравенство

jN(T )j 6 Õ jdeg(e)j:

e2Or(T )

Доказательство. Индукцией по числу jOr(T )j дизъюнкторов в дереве. В случае jOr(T )j = 1 нужно показать, что количество минимальных сечений не превосходит jdeg(e)j, где e – вершина, связанная с дизъюнктором. Вершины, входящие в e, являются корнями для jdeg(e)j поддеревьев, каждое из которых не содержит дизъюнкторов. Поэтому, согласно лемме 3.2, все листья каждого такого поддерева либо входят в каждое минимальное сечение T одновременно, либо в это минимальное сечение не входит ни одно из них. В дереве T nT (e) все концевые вершины T также входят в любое минимальное сечение только одновременно по той же причине. Учитывая, что дизъюнкторы, кроме связанного с e, в дереве T отсутствуют по условию, каждое минимальное сечение дерева T состоит из всех концевых вершин T nT (e) и всех концевых вершин ровно одного из jdeg(e)j поддеревьев, корни которых входят в e. Отсюда следует, что число минимальных сечений дерева T равно jdeg(e)j и базис индукции доказан.

46

Глава 3. Математические модели

Пусть теперь неравенство доказано для всех деревьев, в которых jOr(T )j 6 m и дано дерево T с m + 1 дизъюнктором. Из всех вершин T , связанных с дизъюнкторами, выберем такую вершину e, у которой высота поддерева T (e) наименьшая и при этом d не является концевой. Из выбора следует, что в собственных поддеревьях T (e) дизъюнкторов нет.

Рассмотрим дерево Te , получающееся из T заменой T (e) на одну вершину e. В дереве Te все вершины имеют столько же входящих, как и в T , кроме вершины e, которая становится концевой. Число дизъюнкторов в Te равно m, поэтому, согласно предположению, индукции jN(Te )j 6 Õjdeg(c)j. Умножая это неравенство на jdeg(e)j (deg(e) здесь

c2Or(T )nfeg

и далее по-прежнему имеется в виду – в дереве T ) и учитывая, что jdeg(e)jÕjdeg(c)j = Õjdeg(c)j, получаем

c2Or(T )nfeg c2Or(T )

Оценим теперь величину jN(T )j через значение jN(Te )j. Разобьем для этого множество N(Te ) на 2 множества – множество сечений, содержащих вершину e (обозначим это множество через N1(Te )), и множество сечений, не содержащих e, которое обозначим через N0(Te ). Заметим, что каждому элементу множества N1(Te ) можно поставить в соответствие jdeg(e)j минимальных сечений дерева T , которые получаются заменой в этом сечении вершины e на концевые вершины одного из jdeg(e)j поддеревьев, вершины которых входят в e в дереве T . Кроме того, каждое сечение из N0(Te ) есть минимальное сечение T . Отсюда,

учитывая jN(Te )j = jN1(Te )j + +jN0(Te )j, jdeg(e)j >0, имеем jN(T )j =

= jdeg(e)jjN1(Te )j+jN(Te )j jN1(Te )j 6 jdeg(e)j(jN1(Te )j+jN(Te )j

jN1(Te )j) = jdeg(e)jjN(Te )j 6 Õjdeg(c)j; согласно (3.3). Что и требо-

c2Or(T )

валось для завершения шага индукции.

Для количества минимальных путей успешного функционирования аналогичное утверждение доказывается исходя из того факта, что эти пути являются минимальными сечениями инвертированного дерева T 0. Из теоремы 3.1 получаем как следствие теорему 3.2.

Теорема 3.2. Справедливо следующее неравенство:

jM(T )j 6 Õjdeg(d)j:

d2And(T )

47

Г л а в а 4

ЗАДАЧА УПРАВЛЕНИЯ ПРЕДОТВРАЩЕНИЕМ АВАРИЙНЫХ КОМБИНАЦИЙ

СОБЫТИЙ

4.1. Постановка задачи

Рассмотрим поставленную в главе 2 задачу управления предотвращением аварийных комбинаций событий в конкретизированной постановке, предполагая, что известны интенсивности возникновения событий, участвующих в аварийных комбинациях [Богомолов, 2017; 2018].

Пусть A = fA1, . . . , Ang – множество ситуаций, вызываемых аварийными комбинациями событий на отрезке времени [tн, tк], P(A, t) – вероятность ситуации A 2 A, s(t), x(t) – состояние системы и внешней среды, u(t) – управляющие воздействия на систему в момент t 2[tн, tк], S(t), X(t), U(t) – множества возможных значений s(t), x(t), u(t).

Требуется определить управляющие воздействия u(t1), . . . , u(tk) на

где F(s(t), x(t), u(t), t) – заданная функция затрат некоторого подмножества ресурсов, определяемого ЛПР, и выполняются граничные условия

49

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

где Fн(s(tн), x(tн), u(tн), tн), Fк(s(tк), x(tк), u(tк), tк) – заданные функции, и ограничения

связанные с целями и нормативами функционирования системы, где F1(s(t), x(t), u(t), t), C(t), D(t) – заданные на [tн, tк] функции.

Далее предположим, что содержательный смысл задачи состоит в определении интенсивностей (t) противодействия определенным неблагоприятным событиям из E = fe1, . . . , ekg таким образом, чтобы

вероятности P(A, t) аварий A 2 A в результате аварийных комбинаций событий не превышали заданных допустимых пределов и достигалось условие (4.2), физический смысл которого состоит в рациональном использовании определенных ресурсов. Значения вероятностных характеристик событий и противодействия им берутся из документации конструкторов и опыта эксплуатации. При этом в виду наличия ограничений, связанных с целью функционирования системы (4.3)–(4.4), и ограничений, связанных с ресурсами и нормативами (4.5), полное противодействие всем событиям E = fe1, . . . , ekg, гарантирующее безопасное функционирование системы, на практике неосуществимо. Поэтому требуются методы, позволяющие избирательно парировать неблагоприятные события для уменьшения вероятности развития их аварийных комбинаций.

Далее рассмотрим эвристические подходы, позволяющие учитывать порядок возникновения событий при управлении процессом предотвращения их аварийных комбинаций за счет выделения подграфов и агрегирования событий.

4.2. Учет порядка возникновения и агрегирование событий

Для учета порядка событий и снижения размерности решаемых систем уравнений предлагаются следующие эвристики [Богомолов, 2018].

Агрегирование событий. Пусть требуется найти вероятность реализации событий e1, . . . , em, которые составляют минимальное сечение или ПУФ. Для решения системы Колмогорова – Чепмена необходимы начальные условия, а также интенсивности возникновения l1, . . . , lm и парирования 1, . . . , m рассматриваемых событий. Рассмотрим два события e1, e2, которые получаются объединением событий e1, . . . , em.

50