Berechnungen zur Funktionalen Sicherheit
Größen, Formeln und Methoden

7 Unzuverlässigkeit von komplexen Funktionen

Die Unzuverlässigkeit ist die wesentliche Größe für Sicherheitsfunktionen, die über eine ganz bestimmte Zeit hinweg funktionieren sollen, und die während dieser Zeit nicht oder nur in begrenztem Umfang gewartet und instandgesetzt werden können.

Nur wenige Systeme und deren Sicherheitsfunktionen fallen in diese Kategorie, etwa bemannte Raumfahrtmissionen. Hier ist nicht die Häufigkeit von Ausfällen, also Unfälle pro Stunde oder Unfälle pro Kilometer gefragt, sondern die Wahrscheinlichkeit, dass die Mission erfolgreich ist, also alle RaumfahrerInnen wieder gesund zur Erde zurückkehren (daher auch der gelegentlich verwendete Begriff „Mission Time“ anstelle von System-Lebenszeit oder Einsatzzeit). Die Mission ist fest vorgegeben, ein einfaches Erreichen eines sicheren Zustands ist nicht möglich (auch wenn es für gewisse Notfälle Abbruch-Szenarien geben mag). Abnutzungsbedingte Ausfälle während der Mission sind nicht anzunehmen. Alle Komponenten werden vor jeder Mission intensiv überprüft, so dass sie wie neu sind. Ab dem Start können die meisten sicherheitsrelevanten Komponenten nicht repariert werden. Das heißt nicht, dass es keine Diagnose geben kann, diese dient dann allerdings nur dazu, eine Komponente abzuschalten, um weiteren Schaden zu verhindern (sofern dies möglich ist) oder um auf eine Ersatz-Komponente umzuschalten (sofern vorhanden).

Da nur wenige Sicherheitsingenieure jemals die Unzuverlässigkeit solcher Systeme berechnen müssen, ist dieses Kapitel recht kurz gehalten.

Selbstverständlich ist die Unzuverlässigkeit nicht nur im Rahmen der Sicherheit relevant (dort wie gesagt eher selten). Auch die Frage „Wie wahrscheinlich ist, dass ein neues Auto innerhalb der ersten 5 Jahre unplanmäßig in die Werkstatt muss?“ ist eine Frage nach der Unzuverlässigkeit. Sie lässt sich allerdings leicht ohne Fehlerbäume oder Markov-Modelle beantworten, da es üblicherweise keine Redundanzen gibt, und daher direkt die Formeln (24) und (8) angewandt werden können, also

$$\begin{array}{}\text{(71)}& F(T)=1-{\mathrm{e}}^{-\underset{0}{\overset{T}{\int }}\sum _{i=1}^n{h}_i(t)dt}=1-{\mathrm{e}}^{-\sum _{i=1}^n\underset{0}{\overset{T}{\int }}{h}_i(t)dt}=1-\prod _{i=1}^n{\mathrm{e}}^{-\underset{0}{\overset{T}{\int }}{h}_i(t)dt}\end{array}$$

Diese Formel kann selbst im Falle komplizierter zeitabhängiger Ausfallraten $h_i(t)$ leicht mithilfe einer Tabellenkalkulation berechnet werden.

7.1 Berechnung mit Fehlerbäumen

Fehlerbäume können gut zur Berechnung der Unzuverlässigkeit komplexer Systeme verwendet werden. Dabei gibt es zwei Möglichkeiten der Berechnung:

• 1. Direkt über die Unzuverlässigkeiten $F(T)$ der Basis-Ereignisse, mit denselben mathematischen Methoden für die Nichtverfügbarkeit in Abschnitt 5 gezeigt. Bei Berechnung über Minimalschnitte wird also zunächst die Unzuverlässigkeit jedes Minimalschnitts berechnet gemäß

  $$

  $$\begin{array}{}\text{(72)}& F_{\mathrm{MCS}}(T)=\prod _{i=1}^m{F}_i(T)\end{array}$$

  und anschließend die System-Unzuverlässigkeit mittels der Formel von Esary-Proschan:

  $$

  $$\begin{array}{}\text{(73)}& F_{\mathrm{sys}}(T)⪅1-\prod _{j=1}^n(1-F_{\mathrm{MCS},i}(T))\end{array}$$

  Noch schneller und genauer ist die Verwendung von BDDs.

  Diese Methode ist sehr schnell, funktioniert aber nur, wenn keine Verknüpfungen mit Nichtverfügbarkeiten oder sonstigen Wahrscheinlichkeiten, die keine Unzuverlässigkeiten sind (wie etwa die Wahrscheinlichkeit, dass eine externe Randbedingung erfüllt ist), stattfinden. Insbesondere darf der Fehlerbaum also keine Bedingungen oder INHIBIT-Gatter enthalten. Sobald ein Basis-Ereignis eine Nichtverfügbarkeit oder sonstige Bedingung beschreibt, wird diese Methode zu optimistische Ergebnisse liefern ²³.

• 2. Über die im vorherigen Abschnitt 6 gezeigte Berechnung der Ausfallrate $h(t)$ (transiente Berechnung) und Anwenden der Formel (8).

  $$

  $$F_{\mathrm{sys}}(T)=1-{\mathrm{e}}^{-\underset{0}{\overset{T}{\int }}{h}_{\mathrm{sys}}(t)dt}$$

  Die Methode ist wesentlich langsamer, da die Berechnung der Ausfallrate $h(t)$ schon aufwändiger ist, und diese auch noch für viele Zeitpunkte erfolgen muss. Sie liefert jedoch auch dann korrekte Ergebnisse, wenn der Fehlerbaum Basis-Ereignisse enthält, die Nichtverfügbarkeiten oder sonstige Bedingungen beschreiben. Dies sollte zwar bei Sicherheitsfunktionen, für die wirklich die Unzuverlässigkeit relevant ist, die Ausnahme sein, kann aber gelegentlich vorkommen.

7.2 Berechnung mit Markov Modellen

Die System-Unzuverlässigkeit kann auch mittels Markov-Modellen berechnet werden. Die Berechnung muss nun grundsätzlich durch Integration des Differenzialgleichungssystems erfolgen (transiente Berechnung), da ja nie ein stationärer Zustand angenommen wird. Die System-Unzuverlässigkeit zu einem bestimmten Zeitpunkt ist durch die Summe der Aufenthaltswahrscheinlichkeiten in den Ausfallzuständen zu diesem Zeitpunkt gegeben.

Wenn wie in Beispiel 7.1 Ausfallverteilungen mit nicht-konstanten Ausfallraten verwendet werden, sind die Transitionsraten zeitabhängig. Das macht die Integration erheblich aufwändiger, da nun die zur Integration von steifen Differenzialgleichungssystemen benötigte Jakobi-Matrix bei jedem Zeitschritt mindestens einmal invertiert werden muss.