Zuverlässigkeit und Verfügbarkeit

Die zunehmende Komplexität technischer Systeme rückt die Frage nach deren Funktionssicherheit immer mehr in den Vordergrund. Die Funktionssicherheit eines Systems schließt insbesondere auch die Systemzuverlässigkeit ein. Diese betrifft die Empfindlichkeit des Systems gegen den Ausfall oder das fehlerhafte Funktionieren von einem oder mehreren Teilsystemen oder Systemfunktionen. Dies ist vor allem dort von Bedeutung, wo der Verlust der Funktionssicherheit eine Gefahr fair das System selber oder seine Umgebung darstellt, oder dort, wo ein Systemausfall oder ein ungenügendes, fehlerhaftes Funktionieren des Systems schwerwiegende wirtschaftliche Folgen nach sich zieht.

Im einleitenden Kapitel wurden des öfteren Netzwerke als wichtige logische Systemstrukturen erwähnt. Man denke etwa an ein Kommunikationsnetz, an ein Computernetz oder an ein Verkehrsnetz. In einem solchen Fall stellt das Netzwerk gerade auch die logische Systembeschreibung für die Zuverlässigkeitsanalyse dar. Es zeigt sich, daß Netzwerke grundlegende Strukturen für die Untersuchung der Zuverlässigkeit komplexer Systeme sind. Aus diesem Grund werden in diesem Kapitel die wichtigsten Grundbegriffe aus der Theorie der Graphen zusammengestellt. Darüber hinaus wird die Darstellung von Netzwerken oder Graphen auf dem Computer betrachtet und eine grundlegende Klasse von Graphenalgorithmen eingeführt.

Das Ziel dieses Kapitels besteht darin, Grundlagen für möglichst wirkungsvolle Algorithmen für die Berechnung der Bogen-Zusammenhänge C^e(v_i, v_j), der Knoten-Zusammenhänge C^v(v_i, v_j), der Kohäsion C^e(G) und des Zusammenhangs C^v(G) von Graphen G zu entwickeln. Für die Definition dieser Begriffe und ihre Bedeutung im Zusammenhang mit der Verletzlichkeit oder der Zuverlässigkeit von Netzwerken wird auf den früheren Abschnitt 2.1. verwiesen.

Das Thema dieses Kapitels ist die konkrete Berechnung der Kohäsion C^e(G) von ungerichteten Graphen G = (V, E). Diese Größe ist gemäß ihrer Definition (2.1.2) das Minimum aller Bogen-Zusammenhänge C^e(v_i, v_j) aller Knotenpaare v_i und v_j des Graphen G. Es scheint demnach auf den ersten Blick, als ob |V|(|V| − 1)/2 Bogen-Zusammenhänge zu berechnen sind, um die Kohäsion zu bestimmen. Eine genauere Betrachtung der Situation zeigt aber rasch, daß enge Beziehungen zwischen den Bogen-Zusammenhängen oder eigentlich genauer gesagt, unter den maximalen Flüssen zwischen verschiedenen Knotenpaaren in einem Graphen G bestehen. Diese haben zur Folge, daß es genügt, |V| − 1-Bogen-Zusammenhänge zu berechnen, um die Kohäsion bestimmen zu können.

Nachdem im letzten Kapitel das Problem der konkreten Berechnung der Kohäsion C^e(G) eines Graphen G betrachtet wurde, ist dieses Kapitel der konkreten Berechnung des Zusammenhangs C^v(G) eines Graphen und den Problemen, die sich in diesem Kontext stellen, gewidmet. Es wird sich allerdings zeigen, daß es in diesem Problemkomplex weniger einfache und elegante Ergebnisse gibt als bei den Bogen-Zusammenhängen und der damit verbundenen Kohäsion. Das Problem des Knoten-Zusammenhangs eines Graphen ist daher komplexer und dorniger als das Problem des Bogen-Zusammenhangs. Dennoch, ganz ohne Beziehungen untereinander sind auch die Knoten-Zusammenhänge eines Graphen nicht, und diese Beziehungen können die Bestimmung des Zusammenhangs vereinfachen.

Bei der Zuverlässigkeitsbetrachtung von Graphen G = (V, E) kann man von sehr unterschiedlichen Voraussetzungen ausgehen. Man kann z. B. annehmen, daß nur Bögen ausfallen können, aber keine Knoten oder umgekehrt, daß nur Knoten, aber keine Bögen ausfallen können. Man kann auch annehmen, daß Knoten und Bögen ausfallen können. Unter diesen Annahmen kann man sich sodann für unterschiedliche Aspekte der Verletzlichkeit von Graphen interessieren. Einige davon sind in den vorangehenden Kapiteln bereits eingehend betrachtet worden. So kann man sich für die Verbindung zwischen zwei bestimmten Knoten s und t interessieren, oder man kann Wert auf Verbindungen zwischen allen Knotenpaaren des Graphen legen. Allgemeiner kann man eine Teilmenge K ⊆ V von Knoten ins Auge fassen werden und verlangen, daß alle Knoten von K untereinander verbunden sind. Die beiden vorangehenden Fälle sind dann Sonderfälle dieses allgemeinen Falls (|K| = 2 bzw. K = V).

Die rein deterministische Betrachtungsweise und Modellierung der Verletzlichkeit komplexer Systeme, wie sie im ersten Teil des Buches insbesondere bei Netzwerken dargestellt worden ist, kann nicht immer als völlig adäquate und umfassende Analyse der Zuverlässigkeit betrachtet werden. In den meisten Fällen sind die Kräfte, Einflüsse oder Ereignisse, die zum Ausfall von Elementen eines Systems und damit eventuell zum Ausfall des Systems selber führen können, keineswegs von systematischer Art und nicht völlig voraussehbar, sondern viel eher zufälliger Natur. In dieser Situation treten wahrscheinlichkeitstheoretische Betrachtungen zur Intaktheit oder Funktionsfähigkeit von Systemen in den Vordergrund.

Alle Rechenverfahren, die im Abschnitt 7.1 eingeführt wurden, erfordern einen Rechenaufwand, der exponentiell von der Größe des zu berechnenden Systems (z. B. seiner Anzahl Elemente) abhängt. Das schränkt die Größe der Systeme, die mit diesen allgemeinen Verfahren mit vernünftigem Aufwand berechnet werden können, sehr stark ein. Aus diesem Grunde ist man darauf angewiesen, wenn immer möglich, die spezielle Struktur eines Systems auszunützen, um das System zu vereinfachen oder zu zerlegen, damit Probleme einer Größe entstehen, die noch mit vertretbarem Aufwand berechnet werden können. Die Zuverlässigkeitsberechnung komplexerer Systeme kann also keineswegs durch blindes und vertrauensvolles Anwenden irgendeiner der allgemeinen Berechnungsmethoden durchgeführt werden. Es ist vielmehr jeder einzelne Fall sorgfältig zu analysieren und die seiner Problemstruktur angemessene Kombination von Verfahren und Methoden herbeizuziehen.

Im Abschnitt 7.1 wurden Faktorisierungsmethoden auf der Grundlage der Formel der totalen Wahrscheinlichkeit eingeführt. Die pivotale Zerlegung (7.1.24) und die Verallgemeinerung (7.1.26) davon, gestatten es, von einem Problem P(E) für ein monotones System zu zwei oder mehr analogen Problemen, aber für kleinere monotone Systeme überzugehen. Damit ist für Rechenzwecke noch nicht allzuviel gewonnen, es sei denn, die neuen Probleme werden besonders einfach. Das kann z. B. heißen, daß die neuen Probleme Serie- oder Parallel-Zerlegungen oder Serie- und Parallel-Moduln besitzen, die weitgehende Problem-Zerlegungen oder -Reduktionen erlauben (siehe Abschnitt 8.1). Eventuell sind die neuen Probleme sogar s-p-reduzibe1. Oder, falls es sich um Netzwerkprobleme handelt, können sie vielleicht mit Polygon-zu-Ketten-Reduktionen wesentlich vereinfacht werden. Bei der Verwendung von Faktorisierungsmethoden für Rechenzwecke macht es somit keinen Sinn, die Elemente, über die faktorisiert wird, blind und unbedacht auszuwählen. Vielmehr geht es vor allem darum, diese Elemente so zu wählen, daß möglichst einfache und effizient berechenbare neue Probleme aus der Faktorisierung entstehen. Das ist in vielen Fällen möglich, und dann kann der Faktorisierungsansatz rechentechnisch sehr wirkungsvoll sein.

Im Abschnitt 7.1 wurde gezeigt, daß für die Anwendung der Überdeckungs-methode bzw. des Inklusions-Exklusions-Verfahrens die Kenntnis aller minimaler Verbindungen — oder dual, aller minimaler Trennungen — eines monotonen Systems notwendig ist. Auch gewisse Zer1egungsansätze gehen davon aus, daß alle minimalen Verbindungen bekannt sind; siehe dazu das nachfolgende Kapitel. Schließ-lich ist die Kenntnis aller minimaler Verbindungen und minimaler Trennungen nützlich für die Berechnung gewisser einfacher Schranken oder Abschätzungen der System-Zuverlässigkeit; dazu wird auf Kapitel 12 verwiesen. Aber auch für eine rein deterministische Beurteilung der System-Zuverlässigkeit oder Verletzlichkeit ist eine Liste aller minimaler Verbindungen und aller minimaler Trennungen von Interesse. Sie zeigen, welche minimalen Konfigurationen von Elementen das Funktionieren des Systems noch ermöglichen bzw. welche minimalen Konfigurationen von Elementen bereits zum System-Ausfall führen. Letzteres gibt bereits ein weit vollständigeres Bild der Verletzlichkeit eines Systems, als nur die Kenntnis der minimalen Trennung kleinster Mächtigkeit, die in den Kapiteln 3 bis 5 im Vordergrund stand.

Zerlegungsverfahren wurden im Abschnitt 7.1 eingeführt. Es wird eine Zerlegung des Ereignisses, daß ein System funktioniert, in disjunkte Ereignisse gesucht. Kann man die Wahrscheinlichkeiten dieser Ereignisse einfach berechnen, dann ergibt sich die Wahrscheinlichkeit, daß das System funktioniert einfach als Summe der Wahrscheinlichkeiten der Ereignisse der Zerlegung. Alle Zustände des Systems, für die das System intakt ist, bilden bereits eine solche Zerlegung, siehe (7.1.3). Man ist aber daran interessiert, Zerlegungen zu finden, die viel weniger Ereignisse enthalten als diese triviale Zerlegung. Es gibt grundsätzlich zwei Ansätze, um solche Zerlegungen zu konstruieren. Beim einen Ansatz geht man von den minimalen Verbindungen oder den minimalen Trennungen eines monotonen Systems aus. Die entsprechenden Ereignisse bilden eine Überdeckung des gesuchten Ereignisses, vergleiche dazu den Abschnitt 7.1. Man versucht dann, daraus eine Zerlegung zu bilden. Im zweiten Ansatz erzeugt man eine Zerlegung direkt aus der Problemstellung, ohne zuerst die minimalen Verbindungen oder minimalen Trennungen zu erzeugen.

Die vorausgehenden Kapitel und Abschnitte haben gezeigt, daß exakte Berechnungen der System-Zuverlässigkeit sehr aufwendig werden können. Auch kann man nicht immer voraussetzen, daß alle notwendige Information über die Zuverlässigkeit der Elemente eines Systems wirklich vorhanden ist. Aus diesen Gründen besteht ein Interesse an einfachen Rechenverfahren, die schnell möglichst gute Abschätzungen der System-Zuverlässigkeit geben. In diesem und den folgenden beiden Abschnitten werden einfache Schranken für die System-Zuverlässigkeit eingeführt, die auf der Kenntnis der minimalen Verbindungen oder minimalen Trennungen des Systems beruhen.

In diesem dritten Buchteil soll ein weiterer wichtiger Aspekt der Zuverlässigkeitsanalyse von Systemen zusätzlich in die Betrachtung eingeführt werden. Es handelt sich um die Reparatur von ausgefallenen Systemen oder Elementen. Die Reparatur hat das offensichtliche Ziel, die Nutzungsdauer eines Systems zu verlängern. Durch die Instandsetzung eines defekten Systems, kann dieses — eventuell nach einer kürzeren oder längeren Unterbrechung — wieder weiterverwendet werden. Die bei der Anschaffung des Systems getätigte Investition muß nicht abgeschrieben werden. Daneben hat die Reparatur und Wartung aber noch eine weitere, weniger offensichtliche Funktion, mindestens bei Systemen mit Redundanz. Fällt ein Element eines redundanten Systems aus, dann muß deswegen das System selbst noch nicht funktionsunfähig werden. Wird nun das ausgefallene Element durch Reparatur instandgesetzt, bevor der Ausfall weiterer Elemente den Ausfall des Systems bewirkt, dann kann dadurch das System selbst instandgehalten werden, ohne daß ein Systemausfall verzeichnet werden muß. Ein Systemausfall tritt nur dann ein, wenn genügend Elemente so rasch hintereinander ausfallen, daß die Reparatur nicht schnell genug erfolgen kann, um genügend viele Elemente wieder instand zu setzen. Die Reparatur hat hier also auch die Funktion, die ausfallfreie Zeit oder die Intaktzeit eines Systems zu verlängern. Dies ist insbesondere in den Fällen von größter Bedeutung, wo ein Systemausfall hohe Kosten oder eine große Gefährdung von Leben oder Sachwerten mit sich bringt.

Die Beschreibung von reparierbaren Systemen mittels Markoffschen Modellen muß aus praktischen Gründen auf Systeme mit relativ einfacher Struktur beschränkt bleiben, sonst wächst der Zustandsraum sehr rasch über alle Maße an. Damit ist dann weder die Modellierung noch die Berechnung mehr zu bewältigen. In der Tat haben sich die Beispiele im letzten Kapitel auf einfache Serie-, Parallel- oder k-von-n-Systeme beschränkt. Wenn man sich aber auf gewisse, ganz einfache Reparaturorganisationen beschränkt, dann können auch komplexere Systemstrukturen behandelt werden. Dabei kann auch in gewissen Fällen die Voraussetzung von exponential verteilten Lebensdauern und Reparaturzeiten der Elemente eines Systems abgeschwächt werden. Das soll in diesem Kapitel gezeigt werden.

In diesem Kapitel soll eine weitere Klasse von speziellen Markoffschen Modellen, die die Beschreibung relativ komplizierter Reparatur- und Betriebsorganisationen erlaubt, dargestellt werden. Es handelt sich um Modelle, die auf der Vorstellung eines Netzwerkes von Bedienungsstellen, zwischen denen gewisse Elemente zirkulieren, beruhen. In diesem einführenden Abschnitt soll zunächst das Modell allgemein formuliert und die mit ihm verbundenen Ergebnisse abgeleitet werden. Im nächsten Abschnitt werden sodann Anwendungsbeispiele dieses Modellkonzepts im Rahmen der Verfügbarkeitsanalyse von Systemen vorgestellt. Im dritten Abschnitt dieses Kapitels werden schließlich die Algorithmen, die der Berechnung der Modelle dienen, dargestellt.