Системный анализ аварийных комбинаций событий при управлении человеко-машинными системами

Глава 4. Задача управления предотвращением аварийных комбинаций событий

Задачу нахождения вероятности комбинации событий e1, . . . , em представим как задачу нахождения вероятности комбинации двух событий e1, e2. Вероятности событий e1 и e2 можно определить по отдельности как вероятности комбинаций событий e1, . . . , em0 и em0+1, . . . , em путем решения систем уравнений Колмогорова – Чепмена из 2m0 и 2m m0 уравнений соответственно, а вероятность комбинации событий e1, e2 – путем решения четырех аналогичных уравнений. Общее количество решаемых уравнений, таким образом, будет равно 2m0 + 2m m0 + 4, что при росте m существенно меньше 2m. Кроме того, при небольших значениях m0 соответствующие системы дифференциальных уравнений Колмогорова – Чепмена решаются аналитически.

Ограничением описанного подхода является то, что после решения систем уравнений Колмогорова – Чепмена для комбинаций событий e1, e2 необходимо установить частоты их возникновения и парирования

ввиде постоянных величин l1, l2; 1, 2, а также начальные условия для решения системы. Сделать это можно используя эвристические соображения, связанные с начальными условиями для исходной системы

и поведением найденных вероятностей Pe1 (t), Pe2 (t). Например, если эти вероятности достаточно мало меняются, полагать их постоянными.

Выделение подграфа событий. В классических деревьях отказов обычно не учитывается, что по причине особенностей предметной области к аварии могут приводить не все m! комбинаций событий e1,

. . . , em, а только комбинации, где эти события следуют в определенном порядке. Графы событий и системы Колмогорова – Чепмена, которые по ним строятся, также симметричны в этом смысле и рассматривают все возможные порядки событий в комбинации. Вычисляемая

врезультате решения этих систем вероятность конечного события без учета порядка в этом случае больше вероятности отдельных комбинаций в определенных порядках. Поэтому если вычисляемые вероятности меньше заданного e, то и вероятности комбинаций в определенных порядках также попадают под это условие. Однако в ряде случаев порядок наступления событий в аварийной комбинации более важен, например если комбинация является аварийной лишь тогда, когда сначала выходит из строя противопожарное средство, а уже затем происходит возгорание, а не наоборот. Для таких случаев требуются подходы, позволяющие определять вероятность наступления событий именно в заданном порядке или в одном из заданных порядков. Предлагается вариант такого подхода, когда при заданном порядке e1, . . . , em из графа событий выделяется только один путь, соответствующий заданной последовательности развития событий и уравнения Колмогорова – Чепмена строятся

51

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

только для вероятностей событий P0(t), Pe1 (t), Pe1;e2 (t), . . . , Pe1;e2;:::;em (t) соответственно, в количестве m + 1. Это количество существенно мень-

ше, чем 2m, что дополнительно упрощает систему. Ограничение данного подхода заключается в том, что требуется определить условия для выполнения эвристик, касающихся вероятностей возникновения событий e1, . . . , em в порядках, отличных от заданного. В частности, в качестве условия для реализации предлагаемой эвристики будем рассматривать обстоятельства, когда каждое из событий e1, . . . , em 1 может парироваться только до наступления следующего.

При соблюдении условий, допускающих применение изложенных выше методов агрегирования событий и учета их последовательности, эти методы могут комбинироваться необходимое число раз и существенно снижать сложность вычисления вероятностей комбинаций событий также в случаях, когда их порядок задан в виде нескольких вариантов.

4.3. Метод улучшения управляющих воздействий для предотвращения аварийных комбинаций событий

Предлагаемый метод основан на последовательном «улучшении» вектора частоты восстановления отказов для нахождения варианта, соответствующего требованиям задачи. Метод предназначен для применения в случае, когда при текущем наборе = ( 1, . . . , k) интенсивностей парирования событий e1, . . . , ek условие (4.1) (или условие (4.6), что будем подразумевать и далее) не выполняется и вероятности аварийных комбинаций событий A1, . . . , Ap превышают заданное e. В этом случае предлагаемые действия будут направлены на изменение текущих значений 1, . . . , k таким образом, чтобы указанные условия выполнялись. Поскольку количество возможных значений вектора конечно, решение задачи или его отсутствие можно установить перебором. Уменьшение перебора достигается за счет эвристик, перед описанием которых введем следующее определение.

Вектор 0 = ( 01, . . . , 0p, p+1, . . . , k) называется улучшенным по отношению к текущему вектору интенсивностей восстановлений , если 0 получается из изменением подвектора ( 1, . . . , p) таким образом, что для 0 выполняются условия (4.3)–(4.5) и для аварийных комбинаций событий A1, . . . , Ap – условие (4.1).

Заметим, что улучшенный вектор не обязательно является решением задачи, так как, увеличивая одни интенсивности в подвекторе

52

Глава 4. Задача управления предотвращением аварийных комбинаций событий

( 1, . . . , p), мы из-за ограничений ресурсов (4.3)–(4.5), возможно, вынуждены были снизить другие интенсивности в , что вызовет увеличение вероятностей остальных аварий Ap+1, . . . , Ak. Это приводит

кэвристикам 1–3:

1.Если существует улучшенный вектор

0 = ( 01;:::; 0p; p+1;:::; k) и 0i i; i = 1;:::; p;

то полагать = 0.

Физический смысл этой эвристики: если имеющиеся ресурсы позволяют увеличить интенсивности восстановления отказов, приводящих к ситуациям A1, . . . , Ap, чтобы для этих ситуаций стало выполняться условие (4.1), то условие (4.1) будет выполняться и для остальных ситуаций Ap+1, . . . , Ak, как оно выполнялось для них уже при исходном векторе , а увеличение интенсивности восстановления отказов не может увеличить вероятность аварии (монотонная модель).

2. Если существует улучшенный 0 = ( 01, . . . , 0p, p+1, . . . , k) такой, что для i = 1, . . . , p, при которых 0i < i, отказ ei не входит в минимальные сечения, вызывающие ситуации Ap+1, . . . , Ak, то решение найдено и = 0.

Физический смысл эвристики 2: если по эвристике 1 решение не получается и некоторые интенсивности восстановления всегда нужно уменьшать, чтобы добиться выполнения (4.1) для A1, . . . , Ap, то можно попытаться уменьшать интенсивности восстановления только тех отказов, которые в построенной модели не влияют на вероятности остальных аварий Ap+1, . . . , Ak, и таким образом найти решение.

3. Если есть улучшенный вектор 0 = ( 01, . . . , 0p, p+1, . . . , k) такой, что для i = 1, . . . , p, при которых 0i < i и отказ ei входит в минимальные сечения, вызывающие ситуации из некоторого подмножества множества {Ap+1, . . . , Akg, для всех ситуаций из данного подмножества выполняется (4.1), то решение найдено и полагать = 0.

Смысл эвристики 3: если по эвристике 2 решение не находится и уменьшаемые интенсивности восстановления влияют на вероятности Ap+1, . . . , Ak, то возможны случаи, когда это влияние не очень существенно, так что условия (4.7) могут выполняться для ситуаций Ap+1,

. . . , Ak в улучшенном векторе, что позволит определить его как решение задачи.

Предложенные эвристики позволяют снизить количество численных экспериментов с системами дифференциальных уравнений Колмогорова – Чепмена, которые потребуется решить для определения .

53

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

4.4. Метод решения задачи управления предотвращением аварийных комбинаций событий

В предлагаемом методе решения задачи предотвращения аварийных комбинаций событий в ЧМС используется комплекс математических моделей и их свойств, полученных в третьей главе монографии [Богомолов, 2017; Богомолов с соавт., 2018; Новожилов с соавт., 2017].

Основной идеей использования ПУФ для решения задачи управления предотвращением аварийных комбинаций событий является определение аварийных комбинаций, вероятности которых в текущей ситуации превышают допустимые значения e, определение ПУФ E0 для этих комбинаций и нахождение таких интенсивностей 1, . . . , k парирования событий e1, . . . , ek, что

где e – заданное достаточно малое число из (4.1).

В силу несовместимости реализации минимальных сечений и ПУФ условие (4.6) предполагается эквивалентным условию (4.1). Эта замена, с одной стороны, позволяет рассматривать в случае каждого отдельно взятого ПУФ только одну систему дифференциальных уравнений Колмогорова – Чепмена. С другой стороны, множество ПУФ доставляет совокупность вариантов, каждый из которых потенциально может быть использован для решения задачи и нахождения необходимых значений. Выбор конкретного варианта ПУФ связан с условием (4.2), а также граничными условиями (4.3)–(4.4) и ограничениями задачи (4.5).

При выборе ПУФ следует учитывать, что ни один ПУФ не пересекается одновременно со всеми остальными ПУФ и ни один ПУФ дерева T не совпадает ни с одним минимальным сечением дерева T , если дерево нетривиально (это было доказано в главе 3, утверждение 3.2). Выбор ПУФ для решения задачи упрощается также за счет использования операции сокращения числа элементов ПУФ на основании теоремы 3.1.

Целесообразность использования сокращенных ПУФ основывается на том обстоятельстве, что на практике в ряде случаев требуется противодействовать реализации некоторого подмножества аварийных комбинаций событий, которые представляются множеством минимальных сечений N0 N(T ). В этом случае использовать ПУФ полностью не требуется и показано, что для любого множества подмножества N0 множества минимальных сечений справедливы следующие утверждения:

54

Глава 4. Задача управления предотвращением аварийных комбинаций событий

1) если 0 2M(T ), то множество E00 = SB \E0 является ПУФ для пре-

B2N0

дупреждения реализации сечений из N0, B – элементы множества

N0;

2)если E0 – ПУФ для N0, то E0 E0, где E0 – некоторый ПУФ для исходного дерева T .

Таким образом, для заданного подмножества минимальных сечений N0 N(T ) можно получить все варианты ПУФ, которые представляют собой усеченные ПУФ из M(T ). Так как для реализации усеченных вариантов меньше ресурсов, чем для реализации полных ПУФ, приведенные результаты позволяют расширить возможности для решения задачи.

Предлагаемый метод решения задачи состоит из двух этапов. Первый этап. Подготовка математического обеспечения. Данный

этап проводится до начала очередного периода функционирования системы и состоит в построении моделей процессов развития аварийных комбинаций событий и разработке способов решения задач снижения их вероятности. Информацию для осуществления этого получают из предыдущих стадий жизненного цикла. Этап состоит из следующих шагов.

1.1.Определить множество A = fA1, . . . , Apg ситуаций, вызываемых аварийными комбинациями событий. Выделить множества ситуаций Aтех, Aчел, относимых, соответственно, к техническому и человеческому фактору. Такие множества могут быть полны только относительно, что обеспечивается процессами сбора, анализа данных и дополнения моделей при появлении непредвиденных ситуаций, вероятность которых не исключается.

1.2.Определить множество Eтех отказов техники и воздействий внешней среды, влияющих на аварийные ситуации, и множество Eчел событий, влияющих на ситуации с человеческим фактором.

1.3.Определить причинно-следственные связи между событиями

ииз множеств Eтех, Eчел построить множества Dтех, Dчел причинно-след- ственных деревьев, описывающих развитие ситуаций. Деревья из множества Dтех строятся на основе разузловок с добавлением внешних событий, деревья Dчел строятся по результатам экспертного анализа данных об особых состояниях операторов.

1.4.На основе деревьев Dтех, Dчел построить множество деревьев

D = fD1, . . . , Dmg, описывающих развитие аварий A = fA1, . . . , Ang из комбинаций событий множеств Eтех, Eчел. Построить множество минимальных сечений деревьев D.

55

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

1.5.Для каждого события из Eтех и Eчел определить перечни управляющих воздействий Q(e) по парированию этого события, временные интервалы реализации этих воздействий, а также списки лиц, принимающих решения об их реализации, и лиц, осуществляющих эти воздействия. Установить соответствие между режимами осуществления управляющих воздействий Q(e1), . . . , Q(ek) и интенсивностями, с которыми эти воздействия будут обеспечивать парирование событий e1, . . . , ek.

1.6.Установить зависимости вероятностей событий из Eтех и Eчел от интенсивностей парирования (e) и соответствующих парирующих воздействий из определенных выше множеств Q(Eтех) и Q(Eчел) в виде

где s(t), x(t) – состояния системы и среды.

1.7. Определить ограничения интенсивностей воздействий из множеств Q(Eтех) и Q(Eчел), возникающие вследствие ограничений ресурсов

при t 2[tн;tк], где Fi – некоторые функции, i = 1, . . . , kF .

Зависимости и условия (4.7)–(4.8) устанавливаются аналитическими методами с использованием необходимой эмпирической, экспертной

истатистической информации. Эти зависимости могут иметь вид аналитических соотношений, табличных значений или продукций, которые позволят оценить вероятность наступления событий из множеств Eтех

иEчел в зависимости от интенсивности воздействий из Q(Eтех) и Q(Eчел), а также состояний системы и среды. На основании данных об этих ве-

роятностях оцениваются вероятности аварийных комбинаций событий.

1.8.Построить множество D = fD1, . . . , Dm} деревьев развития ситуаций множества A из событий множества E = fe1, . . . , ek}.

1.9.Для каждого дерева отказов Dh 2D;h = 1;:::;m определить множество его минимальных сечений N(Dh) и множество путей успешного функционирования M(Dh).

1.10.Согласовать построенные воздействия с ЛПР.

Второй этап. Управление предотвращением аварийных комбинаций событий. Данный этап осуществляется в процессе функционирования системы. При регистрации неблагоприятных событий определяется вероятность аварийных комбинаций, в которых эти события участвуют. Для тех рассматриваемых комбинаций, вероятность которых превышает допустимый предел, берутся пути успешного функционирования и определяются воздействия, при которых будет выполняться условие

56

Глава 4. Задача управления предотвращением аварийных комбинаций событий

(4.6), которое означает, что вероятности рассматриваемых аварийных комбинаций событий будут снижены до допустимых пределов.

Второй этап решения задачи состоит из следующих шагов.

2.1.Снять информацию о возникновении событий из E путем опроса датчиков и восприятия факторов этих событий персоналом системы.

2.2.Если в момент t 2[tн;tк] зарегистрировано множество событий E0(t) = fe1;:::;ek0 g E, то определить множество N(E0;t) всех минимальных сечений, содержащих хотя бы один элемент E0(t):

2.3.Определить вероятности реализации событий из множества

˜( ; ) в случаях, когда эти события дополняют зарегистрированные

N E0 t

события до аварийных комбинаций, для чего произошедшие событиям из E0(t) должны предшествовать событиям из дополнений в соответствии с порядком, определенным в соответствующих аварийных комбинациях. Если таких нет, продолжить наблюдение с интервалом

Dt minli 1, соответствующим наиболее высокой частоте среди со-

i2f1;:::;kg

бытий множества E, вернуться к 2.1. Иначе сформировать множество

ны наступить для реализации аварийных комбинаций, а множество ПУФ M1(E0;t) определяется для устранения последствий событий, которые уже наступили.

2.5.Определить минимальное значение f1 функции из левой части (4.2) для ПУФ из множества M1(E0;t). На этом этапе определяется значение данного функционала в случае, если парировать аварийные комбинации путем устранения уже возникших событий, если таковое возможно в силу имеющихся ограничений и характера последствий.

2.6.Пользуясь методом выбора управляющих воздействий и системами дифференциальных уравнений Колмогорова – Чепмена, для каждого из найденных ПУФ определить воздействия по парированию собы-

условия (4.3)–(4.6). Определить минимальное значение среди найденных вариантов воздействий.

57

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

2.7. Сформировать перечни воздействий по предупреждению ава-

Отметим, что решение рассматриваемой задачи существует не всегда, это зависит от имеющихся ограниченных ресурсов, используемых системой для реакции на события. Уменьшение вероятности аварийной комбинации до наперед заданного предела возможно не всегда. Это во многом зависит от того, были ли применены методы анализа предотвращения аварийных комбинаций событий на среднесрочных и долгосрочных периодах времени.

4.5. Модельные примеры решения задачи

Предотвращение аварийных комбинаций событий в процессе функционирования авиационно-транспортных комплексов. Рассматривается частичное разрушение двухдвигательного воздушного судна по причине пожара в мотогондоле при посадке. Большинство катастроф происходит при посадке или взлете воздушного судна, что объясняется нехваткой времени на парирование неблагоприятных событий в этих промежутках при скоростях порядка сотен километров в час.

Мотогондола – отсек летательного аппарата для монтажа двигателя, выступающий за пределы фюзеляжа или крыла. Мотогондолы относятся к наиболее пожароаварийным подсистемам, ликвидация пожаров в них осложнена тем, что набегающий поток воздуха снижает концентрацию подаваемого огнегасящего состава. Другой неблагоприятный фактор – возможное резкое снижение управляемости воздушного судна.

При этом необходимо отметить, что, в отличие от пожара в кабине пилотов или пожара в салоне самолета, пожар в двигателе не распространяется по воздушному судну, однако способствует разрушению крыла и вытекающим отсюда крайне негативным последствиям.

Перечень ключевых событий, участвующих в процессах возникновения и развития подобных ситуаций, и сведения о причинно-след- ственных связях между этими событиями выделены в табл. 4.1 путем системного анализа нормативной документации и специальной литературы [Глобальный план обеспечения безопасности полетов, 2013; ГОСТ

58

Глава 4. Задача управления предотвращением аварийных комбинаций событий

Р 56079-2014 Изделия авиационной техники. Безопасность полета, надежность, контролепригодность, эксплуатационная и ремонтная технологичность. Номенклатура показателей, 2014; Состояние безопасности полетов в гражданской авиации государств – участников Соглашения о гражданской авиации и об использовании воздушного пространства; Федеральные авиационные правила. Требования к диспетчерам управления воздушным движением и парашютистам-инструкторам; Клюев с соавт., 1996], а также и результатов расследования причин аварийных ситуаций.

На основании изложенной в табл. 4.1 информации и разработанного программного обеспечения «ЕТ-1» для моделирования ситуации пожара в мотогондоле на этапе снижения построен фрагмент дерева отказов Dдвиг.

Определим минимальные сечения дерева Dдвиг, используя разработанный программный комплекс «ЕТ-1». Получено 6 минимальных сечений из 2 событий: {e18, e29}, {e18, e22}, {e18, e21}, {e19, e29}, {e19, e22}, {e19, e21}, а также 30 минимальных сечений из 4 событий.

Каждое из найденных минимальных сечений содержит события, которые могут составить аварийную комбинацию. Воздействия по предот-

Таблица 4.1

События при пожаре в мотогондоле самолета

59

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

60