Построение диаграмм состояний и переходов

Рассмотрим теперь принципы построения диаграмм состояний и переходов марковских моделей.

По ГОСТ Р 51 901.15—2005 рекомендуется использовать следующие правила построения диаграмм состояний и переходов:

• • каждое состояние системы представляется вершиной графа с обозначением состояния (символ или число), при этом возможны текстовые комментарии, поясняющие особенности состояний;
• • исходное состояние (состояние при работоспособности всех элементов) рекомендуется размещать в крайнем левом положении диаграммы, состояние полного отказа рекомендуется располагать в крайней правой позиции. Промежуточные состояния рекомендуется располагать так, чтобы переход слева направо отражал отказ, а переход справа налево — восстановление. Заметим, что в ряде случаев удобнее представлять исходное состояние в других позициях, например в крайней верхней, а состояние полного отказа — в крайней нижней позиции диаграммы состояний и переходов;
• • состояния системы, соответствующие одинаковому количеству отказавших элементов, рекомендуется располагать друг под другом;
• • переходы между состояниями системы отражаются соединяющими их линиями со стрелками. Линия со стрелкой справа соответствует отказу, а со стрелкой слева — восстановлению. В случае наличия возможности перехода между двумя состояниями при отказе и восстановлении допускается использование линий в виде двунаправленных стрелок, если это упрощает диаграмму переходов и состояний;
• • на линиях переходов должны быть указаны соответствующие интенсивности переходов (для наглядности представления рекомендуется значение интенсивностей переходов располагать у стрелок).

Для систем, в которых содержатся состояния, как допускающие, так и не допускающие восстановление, линии, отражающие переходы, могут быть как однонаправленными, так и двунаправленными [1].

Заметим, что эти правила представления диаграмм состояний и переходов являются только рекомендуемыми, а из соображений наглядности или иных причин они могут представляться по-другому (в том числе в данном пособии).

Приведем примеры построения диаграмм состояний и переходов.

Вначале рассмотрим простейший случай систем из одного элемента. На рис. 9.2 представлены варианты диаграмм состояний и переходов для системы из одного элемента в зависимости от различных дисциплин обслуживания.

Рис. 9.2. Диаграмма состояний и переходов для системы с одним элементом.

В самом простом случае диаграмма включает два состояния: работоспособное состояние с интенсивностью отказов А. и неработоспособное состояние с интенсивностью восстановлений р (рис. 9.2, а). Стрелка от состояния О к состоянию 1 обозначает появление отказа с вероятностью АД (/) в течение времени At, стрелка от состояния 1 к состоянию 0 — завершение восстановления системы с вероятностью цЛ/ в течение времени At.

Для оценки вероятности безотказности работы R (t) может быть применима диаграмма, изображенная на рис. 9.2,6, в которой состояние 1 является поглощающим. Подобная модель может применяться для систем, не допускающих перерывы в работе, например для встраиваемых вычислительных систем, работающих в контуре управления в реальном масштабе времени, когда нереализуемость управления приводит к отказу объекта управления, после чего актуальность восстановления компьютерной системы теряет смысл.

В более сложной системе с одним элементом можно выделить больше, чем два состояния (работоспособное и неработоспособное), добавив «ухудшенное» состояние (рис. 9.2, в), в котором система все еще выполняет возлагаемые на нее функции, но со снижением качества, например с возрастанием задержек или снижением точности, или увеличением энергопотребления и т. д. Диаграмма по рис. 9.2, в отражает возможность восстановления в состояниях 1 и 2.

Возможна модификация модели, представленная на рис. 9.2, г. в состоянии 1 функция выполняется с ухудшением качества, но ремонт возможен, а в состоянии 2 восстановление невозможно или нецелесообразно.

Диаграмма по рис. 9.2, д может использоваться при анализе надежности встроенного контроллера, в котором допустимо заменить, например, резистор, но нет возможности восстановить отказавшую большую интегральную микросхему (нет запасных элементов или нет технологических возможностей выпаять отказавшую микросхему и на ее место впаять исправную). Отказ резистора вызывает переход в состояние 1, а отказ микросхемы — в состояние 2. Состояние 2 является поглощающим (финальным).

Если для рассмотренного случая ремонт в состоянии 2 все же возможен, но он более сложен и, соответственно, выполняется с меньшей интенсивностью восстановления, то описанный процесс моделируется диаграммой, представленной на рис. 9.2, е.

В реальных информационных системах может иметь место некоторое запаздывание восстановления после возникновения отказа, что может обусловливаться задержкой обнаружения системой контроля отказа или задержкой вызова ремонтников. Диаграмма состояний п переходов, отражающая задержку начала восстановления, приведена на рис. 9.2, ж.

Приведем примеры построения диаграмм состояний и переходов для систем с двумя элементами.

При рассмотрении элемента в одном из двух состояний, работоспособном (1) либо неработоспособном (0), для системы из двух элементов возможны четыре состояния: (0, 0), (0, 1), (1, 0), (1, 1).

При параллельном соединении элементов (когда для работоспособности систем достаточна работоспособность хотя бы одного элемента) состояния (1,1), (0, 1), (1, 0) являются работоспособными, а состояние ((),()) — неработоспособно. Если элементы соединены последовательно, то система имеет одно работоспособное состояние (1,1), а состояния (0,1), (1,0), (0,0) неработоспособны.

Диаграмма состояний и переходов невосстанавливаемой системы с двумя параллельно соединенными элементами изображена на рис. 9.3, а, а восстанавливаемой системы — на рис. 9.3, б—г. Диаграмма состояний и переходов по рис 9.3, б соответствует случаю двух ремонтников, когда ремонт может быть начат сразу после отказа без организации очереди на восстановление элементов.

Рис. 93. Диаграмма состояний и переходов для системы с двумя элементами

В диаграммах состояний и переходов системы могут быть учтены стратегии технического обслуживания. Если имеется один ремонтник, то возможны различные дисциплины восстановления (стратегия технического обслуживания). Например, возможно в третьем состоянии ремонтировать всегда первый элемент. Введем дополнительные состояния на диаграмме (рис. 9.3, г): состояние 3 — два компонента отказали, первым отказал компонент 1; состояние 4 — два компонента отказали, первым отказал компонент 2. Можно учесть дисциплину технического обслуживания, при которой в состоянии отказа двух элементов продолжается восстановление элемента, отказавшего первым (ремонт которого, соответственно, начат раньше).

Приведем примеры построения диаграмм состояний п переходов для различных дисциплин технического обслуживания. На рис. 9.4, а представлена диаграмма состояний и переходов для случая, если восстановление системы реализуется только после отказа обоих дублированных элементов, при этом система начинает функционировать. После восстановления одного элемента он начинает выполнять требуемые задачи, и при этом возможны отказы. Одновременно с функционированием восстановленного элемента другой элемент системы продолжает восстанавливаться. Если до полного завершения ремонта двух элементов вычислительный процесс не возобновлять, то процесс обслуживания будет представлен диаграммой на рис. 9.4, 6. Если восстановление проводится только до первого работоспособного состояния, после чего активизируется выполнение требуемых функций, а дальнейшее восстановление прекращается, то при приоритете восстановления первого элемента имеем диаграмму, приведенную на рис. 9.4, в. Следует отметить нерациональность в обычных условиях эксплуатации последней дисциплины обслуживания.

На рис. 9.5 представлена диаграмма состояний и переходов для систем, не допускающих перерывы выполнения функциональных задач. Такие требования предъявляются, например, к дублированным вычислительным системам, функционирующим в контуре управления реального масштаба.

Рис. 9.4. Варианты систем с восстановлением после отказа обоих дублированных элементов

Рис. 9.5. Диаграмма состояний и переходов для дублированных систем, не допускающих перерывы выполнения функциональных задач

времени. Состояние 3 является поглощающим, так как для него невозможно управление объектом в реальном времени, что приводит к отказу объекта управления (например, если это транспортное средство), и актуальность восстановления компьютера теряет смысл.

Для систем с дублированием элементов общая причина отказа (например отказ блока электропитания) может быть отображена прямым переходом с интенсивностью от состояния с двумя работоспособными состояниями 0 к состоянию 3 с отказом обоих элементов (рис. 9.6). Если при отказе по общей причине двух элементов их восстановление отличается от восстановления при раздельном отказе элементов, например интенсивность восстановления при отказе по общей причине меньше, то при расчете надежности может использоваться диаграмма по рис. 9.6, 6. Диаграмма по рис. 9.6 может быть использована для анализа надежности дублированного комплекса, когда возможны отказы двух вычислительных машин по общей причине, например из-за скачка напряжения в сети электропитания.

Рис. 9.6. Диаграмма состояний и переходов для системы с общей причиной отказа.

При разработке марковских моделей надежности, по возможности, число состояний диаграммы должно минимизироваться — для этого может использоваться симметричность системы. Например, если в системе имеются два идентичных параллельно соединенных элемента и диаграмма имеет вид, представленный на рис. 9.7, а, то она может быть приведена к виду на рис. 9.7, б, па котором обозначены состояния: 0 — два элемента работоспособны; 1 — один элемент работает, один отказал и восстанавливается; 2 — оба элемента отказали, один из них восстанавливается.

Если в системе имеются два последовательно соединенных элемента, то диаграмма имеет вид, представленный на рис. 9.7, в, на нем обозначены состояния: 0 — два элемента работоспособны; 1 и 2 — отказ системы из-за отказа первого или второго элемента соответственно. При идентичности элементов диаграмма может быть приведена к виду на рис. 9.7, г. На нем со;

Рис. 9.7. Упрощение диаграммы при учете симметрии стояние 0 соответствует работоспособности системы, а состояние 1 — ее отказу.

Рассмотрим в качестве объекта встраиваемый дублированный вычислительный комплекс, работающий в контуре управления в реальном масштабе времени.

Из соображений симметрии при идентичности компьютеров выделим следующие состояния комплекса (рис. 9.8):

• 0 — оба элемента (компьютера) работоспособны;
• 1 — один элемент отказал и осуществляется его восстановление, а второй элемент работоспособен;
• 2 — оба элемента отказали, функциональные задачи не могут быть выполнены в реальном времени, управляемый объект теряет управление, п в результате происходит его отказ, после чего восстановление управляющего дублированного комплекса становится уже неактуальным.

Для рассматриваемого дублированного вычислительного комплекса возможны отказы, приводящие его из полностью работоспособного состояния 1 (рис. 9.8) сразу в состояние 2 (состояние поглощения), в котором восстановление не производится. Такой случай возникает, например, при отказе общего для двух элементов блока электропитания, в результате чего выполнение функциональных задач в реальном времени становится невозможным.

Рис. 9.8. Диаграмма состояний и переходов для системы из двух одинаковых компьютеров с общей причиной отказа.

Рассмотрим дисциплину обслуживания, при которой предусмотрено восстановление системы одним ремонтником с некоторой задержкой после отказа обоих элементов. Вариант модели на рис. 9.9, а соответствует случаю, когда во время восстановления отказов элементов не происходит, т. е. система запускается для выполнения возлагаемых на нее задач после полного ее восстановления, а до этого электропитание от компьютеров отключено и их отказы не предполагаются. Рисунок 9.9, б соответствует случаю, когда элементы сразу после восстановления используются для выполнения требуемых функций и, соответственно, могут отказывать.

Рис. 9.9. Диаграмма состояний и переходов при восстановлении с некоторой задержкой после отказа двух элементов:

X — интенсивность отказов элемента; р — интенсивность восстановления элементов; у — интенсивность перехода из состояния ожидания восстановления после отказа двух элементов (обратная величина среднего времени прихода ремонтника после его вызова) На рис. 9.10 представлена модель, соответствующая дисциплине обслуживания, при которой предусмотрено восстановление системы одним ремонтником с некоторой задержкой после отказа обоих элементов, когда ремонтник после завершения восстановления обоих элементов некоторое время t (соответствующая интенсивность р = 1 /?) наблюдает за системой, и если в это время происходят отказы, то система ремонтируется до исходного состояния работоспособности обоих элементов.

Рис. 9.10. Диаграмма состояний и переходов при восстановлении с некоторой задержкой после отказа двух элементов, когда ремонтник, завершив восстановление системы, некоторое время наблюдает за ее работой:

Р — интенсивность перехода из состояния завершения восстановления двух элементов в исходное состояние после ухода ремонтника На рис. 9.9 и 9.10 обозначены следующие состояния системы:

• 0 — два элемента работоспособны;
• 1 — один элемент работает, один отказал, восстановления не происходит;
• 2 — оба элемента отказали, восстановление не происходит, ожидание начала восстановления (задержка прихода ремонтника после его вызова);
• 3 — оба элемента отказали, начинается восстановление;
• 4 — один элемент восстановлен, второй восстанавливается;
• 5 — оба элемента восстановлены, ремонтник некоторое время готов к обслуживанию системы после отказов.

Переход в состояние 0 из состояния 4 для диаграммы по рис. 9.9 и из состояния 5 для диаграммы по рис. 9.10 соответствует уходу ремонтника, вызов которого происходит с некоторой задержкой после отказа двух элементов системы.