Prezentace se nahrává, počkejte prosím

Prezentace se nahrává, počkejte prosím

Bezpečnost a spolehlivost systémů Doc. Ing. Mirko Novák, DrSc Doc. Ing. Zdeněk Votruba, CSc Ing. Václav Šebesta, DrSc.

Podobné prezentace


Prezentace na téma: "Bezpečnost a spolehlivost systémů Doc. Ing. Mirko Novák, DrSc Doc. Ing. Zdeněk Votruba, CSc Ing. Václav Šebesta, DrSc."— Transkript prezentace:

1 Bezpečnost a spolehlivost systémů Doc. Ing. Mirko Novák, DrSc Doc. Ing. Zdeněk Votruba, CSc Ing. Václav Šebesta, DrSc

2 Společná Laboratoř spolehlivosti systémů Laboratoř aplikované informatiky Katedra řídící techniky a telematiky ČVUT v Praze, Fakulta dopravní Konviktská 20, Praha 1, tel /416 (fax), 417 (sekr.), 418, 413 (lab.) Ústav informatiky AV ČR Pod vodárenskou věží 2, Praha 8 tel , , (fax)

3 Doc. Ing. Mirko Novák, DrSc Doc. Ing. Zdeněk Votruba, CSc Ing. Václav Šebesta, DrSc Společná Laboratoř spolehlivosti systémů ČVUT v Praze, Fakulta dopravní Konviktská 20, Praha 1- Staré město, tel /416,417,418, 413, 235 fax: , / Ústav informatiky AV ČR Pod vodárenskou věží 2, Praha 8 - Kobylisy, tel , fax: ,

4 Učební texty pro posluchače 3. a vyšších ročníků Fakulty dopravní ČVUT, studijní směr Inženýrská informatika Praha, 2001

5 BSS 1 Obsah: I. Úvod I.1. Základní definice I.2. Hlavní složky problematiky bezpečnosti a spolehlivosti systémů I.3. Celkové zaměření přednášek o bezpečnosti a spolehlivosti I.4. Související granty a projekty I.5. Základní, zejména knižní literatura

6 BSS 2 II. Základy teorie spolehlivosti a bezpečnosti soustav II.6. Základní pojmy II.7. Hlavní složky problematiky bezpečnosti a spolehlivosti systémů

7 BSS 3 II.8. Celkové zaměření prací o zvýšení bezpečnosti a spolehlivosti systémů pomocí predikční diagnostiky II.9. Základy teorie tolerancí parametrů soustav

8 BSS 4 II.10. Čáry života soustav II.11. Citlivost parametrů soustav

9 BSS 4 III. Analýza spolehlivosti technických soustav III.12. Základní poznatky fyziky degradací III.13. Modely degradací prvků

10 BSS 5 III. 14. Metodika zkoušek

11 BSS 6 III. 15. Sběr a zpracování dat z provozu

12 BSS 7 III. 16. Vedení datových bází prvků, funkčních bloků, subsystémů

13 BSS 8 III. 17. Vlastní analýza

14 BSS 9 III. 18. Otázka nezávislosti

15 BSS 10 III. 19. Charakteristika metody podle MIL - HDBK-217

16 BSS 11 IV. Základy predikční diagnostiky

17 BSS 12 V. Respektování lidského faktoru v bezpečnosti a spolehlivosti funkce soustav

18 BSS 13 VI. Optimalizace soustav vzhledem ke spolehlivosti a bezpečnosti

19 BSS 14 VII. Normy a předpisy pro bezpečnost a spolehlivost soustav

20 BSS 15 VII. 20 Seznam norem, které se zabývají zajišťováním systémů jakosti

21 BSS 16 VII. 21 Seznam prvků zabezpečení systémů jakosti podle ISO 9001 VII. 22. Popis jednotlivých požadavků na systém jakosti podle normy ČSN EN ISO 9001

22 BSS 17 VII. Řízení dokumentů a údajů

23 VII. Literatura BSS 18

24 BSS 19 Tento text vznikl v souvislosti s řešením: - projektu MŠMT č. VS "Signály, procesy a faktory spolehlivosti v náročných systémech, zejména dopravních”, - výzkumného záměru MŠMT č a - grantu MŠMT ME 478 „Neuroinformatika“.

25 BSS 20 Předmluva Lidstvo se v celé své historii potýká s problémem spolehlivosti systémů, se kterými zachází. Jde přitom stále o totéž - aby tyto systémy fungovaly co nejdéle a to bez závad nebo alespoň s co nejmenším počtem závad. K tomuto požadavku, který má zásadní charakter, se pochopitelně přidružují požadavky další: aby takové systémy plnily požadované funkce co nejlépe, tj. aby se blížily so nejvíce našim představám, aby byly co nejlevnější, spotřebovávaly co nejméně energie, měly co nejmenší hmotnost, zabíraly co nejméně prostoru atd.

26 BSS 22 Požadavek na dostatečně velkou a často až na maximální možnou spolehlivost systémů (a tím i jejich bezpečnost) námi užívaných má přitom zcela zásadní význam a to nejen z hlediska ekonomického, ale i ekologického a bezpečnostního.

27 BSS 23 Celosvětové prognózy, zpracované zejména Římským klubem (viz např. [ME-S 72/1, ME-S 95/1] a především [WE-R 96/1]) totiž ukazují, že tento požadavek je zcela nezbytnou součástí těch opatření, které musí v co nejkratší době lidstvo velmi intenzivně provádět, má-li mít vůbec naději na dlouhodobější přežití.

28 BSS 24 Systémy, o nichž se v této souvislosti jednalo a jedná, mohou mít přitom velice různorodý charakter. Mohou to být systémy:  technické,  organizační,  společenské,  obchodní,  medicínské,  vojenské,  bezpečnostní (ochranné),  informační a mnohé jiné.

29 BSS 25 Konečně i na živé organizmy a ovšem i na člověka samého lze z tohoto hlediska spolehlivosti nazírat jako na systém. Otázka přežití nebo dostatečně dlouhé životnosti je důležitou dílčí otázkou funkční spolehlivosti uvažovaného systému.

30 BSS 27 Proto není naprosto žádným přeháněním, označíme-li problematiku dosažení dostatečné spolehlivosti funkce systémů jako jednu ze základních podmínek pro veškerý život. V těchto textech budeme mít na zřeteli především systémy umělé, zejména technické, ovšem s vědomím, že mnohé zde uvedené metodické nástroje a postupy mají význam a uplatnění mnohem obecnější.

31 BSS 28 Na problematiku spolehlivosti umělých systémů lze nazírat z následujících čtyř hlavních zorných úhlů:  z hlediska návrhu a konstrukce uvažovaného systému tak, aby kromě svých základních požadovaných funkcí vykazoval též co největší provozní spolehlivost a životnost;  z hlediska analýzy spolehlivosti jistého již existujícího systému;  z hledisek spolehlivosti interakce mezi umělými, člověkem vytvořenými systémy a lidskými operátory (řidiči, piloty, dispečery a pod.), resp. lidskými uživateli; z hlediska doporučení a norem pro zajištění a zaručení (garantování) spolehlivé funkce systémů.

32 BSS 29 Spolehlivost a dostatečně dlouhá životnost člověkem vytvářených systémů byla v minulosti zajišťována velmi různými způsoby. Za nejvýznamnější lze považovat následující čtyři:

33 BSS 29

34 BSS 30 Mezi nejstarší způsob zajišťování spolehlivosti systémů patří dostatečně robustní uspořádání celého systému a použití co nejkvalitnějších součástí pro jeho realizaci. To je cesta sice dobře osvědčená (užívá ji ve svých konstrukcích nejen člověk, ale již velmi dlouho příroda), avšak současně je velmi nákladná.

35 BSS 29 Podobně je tomu i při zálohování celého systému nebo alespoň jeho nejkritičtějších částí. Ty můžeme určit buď na základě zkušenosti, nebo je můžeme nalézt aparátem teorie citlivostí. Zálohování je často vícenásobné, tj. pro dosažení dostatečné spolehlivosti je celý systém, nebo jeho kritické části realizovány vícekrát. Operačně je pak nasazen buď jen jeden systém a ostatní jeho jednotlivé realizace jsou připraveny v záloze k co nejrychlejšímu použití v případě potřeby, nebo tam, kde je nebezpečí z prodlení při jejich uvádění do chodu jsou nasazeny paralelně, a to i za cenu velkých pořizovacích a provozních nákladů (to je technologie tzv. "horkých" záloh 1) ).

36 BSS 31 Extrémem vícenásobného "horkého" zálohování je skupinové nasazení velkého počtu identických či téměř identických systémů, kdy poměrně vysoká pravděpodobnost selhání jednotlivého dílčího systému (a tedy jeho malá funkční spolehlivost a krátká doba života) je kompenzována početností paralelně působících systémů. Opačný pojem “studených“ záloh zahrnuje představu záloh, které nejsou trvale udržovány ve stavu funkční způsobilosti a které se aktivují až v případě aktuální potřeby.

37 BSS 32 Stojí za povšimnutí, že tuto technologii zvyšování výsledné spolehlivosti individuelně ne dosti spolehlivých systémů používá příroda ve velkém, nesmírně dlouho a velmi úspěšně. Člověk ji v tomto směru napodobuje též již velmi dlouho, jak snahou o zachování rodu vysokou porodností v podmínkách velké úmrtnosti, tak masovým nasazením jednotlivců, jednotek i techniky ve válkách. Tato technologie zvyšování spolehlivosti je však velmi nehospodárná a ekonomicky náročná.

38 BSS 33 Podstatně efektivnější jsou přístupy, založené na modifikování struktury uvažovaného systému tak, aby se jeho spolehlivost žádoucím způsobem zvýšila. Jednou z možností je provést tyto modifikace tak, aby citlivost dominantních systémových funkcí na změny hodnot parametrů systému byla co nejmenší, alespoň v nejkritičtějších místech systému. I pro tuto technologii zvyšování spolehlivosti lze nalézt analogii v přírodě.

39 BSS 34 Další možností pro zvýšení spolehlivosti systému je uplatnění metod tzv. predikční diagnostiky. Při tomto přístupu se snažíme předpovědět, kdy se může trajektorie tzv. čáry života (t), uvažované soustavy přiblížit výrazněji hranicím jejích oblastí přijatelnosti R A (tj. těch oblastí v prostoru parametrů soustavy, v nichž se nalézají všechny funkčně vyhovující, tedy přijatelné její realizace). Podle toho, jak probíhá tzv. čára života (t), resp. předpověď jejího průběhu v blízkosti hranic oblasti přijatelnosti, je pak možno navrhnout proces včasné korekce parametrů soustavy tak, aby její funkční schopnosti zůstaly zachovány, nebo - pokud taková korekce za chodu není možná, aby proces její opravy proběhl optimálním způsobem. Pro tento způsob zvyšování spolehlivosti systému zatím přírodní analogie není známa.

40 BSS 36 Protože žádný z těchto přístupů není univerzální a každý mé své přednosti a nedostatky, v praxi se často kombinují. Pak záleží značně na volbě posloupnosti jejích aplikace i na míře jejich uplatnění.

41 BSS 37 Než se započneme soustavněji zabývat jednotlivými v předmluvě uvedenými přístupy, bude účelné si vyjasnit odpovědi na některé základní otázky. Ty je možno formulovat např. takto: - Co rozumíme slovem systém (soustava)? - Co je to vlastně spolehlivost funkce systémů (soustav)? - Co je to vlastně bezpečnost systémů (soustav), resp. bezpečnost jejich funkcí?

42 BSS 38 Především je třeba uvést, jak zde budeme chápat pojem soustava, systém (podotkněme, že nebudeme činit rozdílů mezi pojmy soustava a systém; prvému termínu budu dávat přednost z jazykových důvodů - má český původ, avšak v adjektivních interpretacích zní lépe termín systémová (např. funkce)).

43 BSS 39 Soustavou (systémem) budeme rozumět jakékoliv organizované uskupení fyzických, chemických, biologických, společenských či informačních celků, součástí, prvků, schopné plnit jistou jednu či více účelných funkcí. (Toto ovšem není definice, ale spíše charakteristika tohoto pojmu –podrobněji viz např. Vlček J.: Systémové inženýrství, ČVUT, Praha, 1999).

44 BSS 40 Soustavou ve smyslu uvedeném jsou tedy nejen mnohá zařízení a uskupení technická, ale též obchodní, ekonomická, vojenská a j. V tomto pojetí lze uvažovat zejména: soustavy (systémy) technické - strojní, stavební, elektrotechnické, elektronické, informační, zbrojní, soustavy (systémy) dopravní a spojové, soustavy (systémy chemické), soustavy (systémy) společenské, soustavy (systémy) politické, soustavy (systémy) organizační, soustavy (systémy) ekonomické, soustavy (systémy) obchodní, soustavy (systémy) biologické, zejména živé organizmy, soustavy životního prostředí.

45 BSS 41 Tyto soustavy (až na poslední) jsou vesměs vytvořeny člověkem, až dosud ovšem kromě živých organizmů, kam zatím tvůrčí činnost lidí nedosáhla a kde lze nanejvýše hovořit o cíleném modifikování organizmů existujících. U všech těchto soustav můžeme více či méně přesně specifikovat jisté jejich účelné funkce. Pro ně budeme v dalším používat název systémové funkce.

46 BSS 42 Na okraji této charakteristiky pak stojí soustavy (systémy) přírodní, existující bez vůle člověka. I u nich lze ovšem hovořit o funkční spolehlivosti a bezpečnosti, specifikování jejich systémových funkcí však může být poměrně obtížnou záležitostí, často vyžadující rozsáhlé a náročné analýzy.

47 BSS 44 V tomto souboru prací se budeme zabývat především soustavami technickými. Nesmírně zajímavá problematika spolehlivosti a životnosti soustav přírodních se vymyká možnostem tohoto předmětu, i když s ní očividně bezprostředně souvisí.

48 BSS 45 Styčnou oblastí je bezesporu interakce člověk-stroj, resp. operátor-umělý systém. Jak stále více potvrzují výzkumy v oblasti bezpečnosti a spolehlivosti systémů i nyní již velmi rozsáhlé praktické zkušenosti, stává se tato oblast stále více kritickou (velká část selhání současných umělých systémů, zejména dopravních má příčinu v chybách obsluhy, tj. v selhání lidského činitele). To je do jisté míry přirozený důsledek letité snahy o zvýšení spolehlivosti umělých systémů samých. V tomto směru bylo v řadě oblastí docíleno značných úspěchů. Bylo by možno dokonce tvrdit, že spolehlivost lidského činitele nedosahuje spolehlivosti současných systémů umělých. Tomu by nasvědčovaly mnohé statistiky poruch, selhání a havárií, kdy velmi častou příčinou bylo zjištěno selhání, nebo alespoň fatální chyba obsluhy. Navíc se zdá, že počet takových případů se postupně zvyšuje.

49 BSS 46 Cest, jak se dostat z této obtížné situace, je však několik. Vycházejí přitom vesměs z respektování těchto skutečností: a) Velmi výkonné a v souvislosti s tím často i velmi složité současné umělé systémy kladou většinou zvýšené nároky na jejich obsluhu. Jen velmi málo systémů je navrhováno tak, aby kromě na dosažení příznivých výkonových a ekonomických parametrů byl brán zřetel též na to, že je bude obsluhovat člověk.

50 BSS 47 b) Ačkoliv člověk sám jako soustava se vyznačuje neobyčejnou funkční spolehlivostí, jako obsluha umělého systému, kterému musí v daném čase (někdy velmi krátkém) dát pro správné reagování na nenadále vzniklou situaci adekvátní pokyn, dosti často selhává.

51 BSS 48 Příčinu lze spatřovat nejen - v nedostatečném výcviku obsluh (to je v současné době kritické zejména u našich vojenských letců), ale též - v jejich nesprávném výběru (např. alkoholici s řidičským průkazem), i - v neúměrných nárocích obsluhy moderních systémů na obsluhu (extrémem jsou nejen požadavky na piloty současných špičkových bojových letadel, ale i na kosmonauty, obsluhy velínů jaderných elektráren, jednotek intenzivní lékařské péče a pod).

52 BSS 49 c) Protože jen velmi málo umělých systémů se obejde zcela bez lidské obsluhy (pokud ano, pak jsou to vesměs velmi jednoduché či jednoúčelové umělé systémy), je třeba problematiku interakce operátor-systém (člověk-stroj) soustavně rozvíjet. Podobně se umělé systémy neobejdou bez lidské obsluhy. Všechny systémy pak pracují kvůli lidem, v lidském prostředí.

53 BSS 50 Vedle optimalizace návrhu umělého systému tak, aby jeho obsluha byla i v kritických situacích co nejjednodušší, zasluhují pozornost i metody a postupy predikční diagnostiky schopností operátorů a metody soustavného testování úrovně jejich pozornosti a schopnosti soustředěně obsluhovat svěřený systém (i za extrémních podmínek).

54 BSS 29 I.1. Základní definice

55 BSS 29 Pojmy spolehlivosti a bezpečnosti jsou klíčovými pro správnou funkci (resp. životaschopnost) všech reálně fungujících soustav. Protože jsou velmi často interpretovány různě a mnohdy se značnou významovou volností, pokusíme se je zde uvést pokud možno v jednoznačné podobě tak, aby jejich interpretace odpovídala v současné době rozvíjenému pojetí obecné teorie spolehlivosti a bezpečnosti funkce soustav.

56 BSS 29 Spolehlivost funkce soustav (systémů) je míra pravděpodobnosti, že po jistou dobu či v jistém rozpětí jiných na systém působících nezávisle proměnných se jejich systémové funkce nebudou odchylovat od požadovaných hodnot více než o dovolené odchylky. (D1)

57 BSS 29 Na rozdíl od předchozí, poměrně jednoznačné (a dnes již více-méně všeobecně akceptované a užívané) definice spolehlivosti systémů je pojem bezpečnosti vykládán dosud velmi často dosti rozličně. Zde se nemůžeme hlouběji zabývat rešerší v tomto směru, pro naše účely však postačí, vezmeme-li v úvahu existenci dvou následujících přístupů k tomuto pojmu.

58 BSS 29 První vychází v podstatě z pohledu na uvažovaný systém (především umělý) jako takový a nerespektuje jeho nezbytnou interakci s uživatelem ani s operátorem.

59 BSS 29 Bezpečnost funkce soustav (systémů) budeme chápat jako míru jejich odolnosti jejich funkce (resp. souboru jejich systémových funkcí) vůči rušivým zásahům. (D2)

60 BSS 29 Do souboru těchto zásahů musíme ovšem počítat též zásahy způsobené nejen nezávislými vlivy, ale též ty, které jsou způsobeny neadekvátní obsluhou či vyplývají ze zlé vůle.

61 BSS 29 Druhý přístup k pojmu bezpečnosti zahrnuje na rozdíl od předchozího vliv uvažované soustavy na lidského činitele Pak lze říci, že:

62 BSS 29 Bezpečnost funkce soustav (systémů) budeme chápat jako míru pravděpodobnosti, že ani činností těchto soustav, ani selháním jejich funkcí nedojde ke škodám a úhoně lidské společnosti a jejího životního prostředí, resp. určité skupiny lidí. (D3)

63 BSS 29 Bezpečnost funkce jisté soustavy lze tedy měřit jako pravděpodobnost, že i při působení rušivých vlivů či zásahů bude tato fungovat spolehlivě. Pojem spolehlivosti je v podstatě obecnější než pojem bezpečnosti, není s ním však totožný.

64 BSS 29 Do pojmu bezpečnosti musíme ovšem zahrnout i míru odolnosti soustavy vůči vnějším, ať již neúmyslným či zlovolným rušivým zásahům. Z tohoto úhlu pohledu se proto problematika bezpečnosti soustav potkává s problematikou zabezpečení a ochrany soustav proti záměrným poškozením a kriminálním zásahům.

65 BSS 29 Bez dostatečné spolehlivosti funkce jakéhokoliv umělého systému nelze proto hovořit o jeho bezpečnosti - pokud by tomu tak nebylo, tj. pokud by spolehlivost uvažovaného systému nebyla dostatečná, bylo by nutno požadavky přenést na lidského činitele.

66 BSS 29 Spolehlivost jeho výkonu pak ovšem může být značně omezena, neboť příslušný výkon který může být reprezentován jedinci, majícími sice projev jejich přirozených informačních systémů (resp. inteligenci) většinou na mnohem vyšší úrovni, než můžeme vůbec dosáhnout u systémů umělých, avšak jejichž spolehlivost správné funkce je mnohem nižší (nejen vlivy únavy, poklesu pozornosti, mikrospánky a chybná rozhodnutí, ale též lajdáctví či zlá vůle). Hyperbolizování požadavků na bezpečnost podle definice D3 bez adekvátního zdůraznění požadavků na spolehlivost pak může vést ke značným problémům.

67 Jako příklad mohou být uváděny třeba některé konvenční drážní zabezpečovací systémy, u nichž je za projev bezpečnosti požadováno, aby při případné poruše takový zabezpečovací systém uvedl zabezpečovanou soustavu do klidového stavu).

68 Za jistých okolností je tedy nutno se v souvislosti s pojmem bezpečnosti soustav chápané podle definice D3 zabývat též do jisté míry obrácenou otázkou, tj. do jaké míry jejich činnost ohrožuje funkce jiných soustav, v jejich okolní působících. Je zřejmé, že do této kategorie problémů patří i ty, které souvisejí s negativními dopady funkce technických soustav na životní prostředí. Tato kategorie problémů se ovšem týká dopravních systémů velmi silně.

69 Problematika bezpečnosti systémů má ovšem v této širší souvislosti nejen technické, ale též společenské, sociální a právní aspekty. Zejména poslední z nich bývají často dosti opomíjeny přes jejich očividný mimořádný význam.

70 Takové širší pojetí problematiky bezpečnosti a spolehlivosti je ovšem zvláště důležité jak u systémů společenských, ekonomických, finančních, obchodních, ale též u většiny systémů technických, zejména pak u systémů dopravních (bezpečnost dopravních prostředků vůči porušování dopravních pravidel a předpisů, bezpečnost dopravních systémů před teroristickými zásahy a před pirátstvím, bezpečnost dopravních systémů před hospodářskou kriminalitou - aktuální je zejména bezpečnost před krádežemi na železnici, povinné zavádění zabezpečovacích a ochranných systémů, bezpečnostní a spolehlivostní předpisy a normy a pod).

71 I. 2 Hlavní složky problematiky bezpečnosti a spolehlivosti systémů

72 Problematika bezpečnosti a spolehlivosti funkce systémů je velmi komplexní a zasahuje do celé řady vědních, technických a společensko právních oborů. Pokusíme se zde uvést alespoň ty, které jsou nejvýznamnější pro řešení otázek bezpečnosti a spolehlivosti funkce systémů technických. Jsou to:

73  obecná teorie systémů,  teorie a metody analýzy citlivostí systémů,  teorie tolerancí parametrů systémů,  metody predikce číselných, zejména časových řad,  diagnostické metody,  progresivní informační technologie, zejména technologie umělých neuronových sítí,

74  teorie oprav a restitucí funkce systémů,  zabezpečovací a bezpečnostní zařízení a systémy,  teorie a metody interakce člověka a stroje,  právní hlediska,  sociální hlediska,  bezpečnostní normy, předpisy a nařízení.

75 Tento výčet zajisté není úplný - je ještě celá řada oborů a odvětví, které se do problematiky bezpečnosti a spolehlivosti systémů více či méně promítají. Uvedené patří však k nejzávažnějším. Proto jim věnujeme převážnou část naší pozornosti. Tu rozdělíme přibližně takto:

76 1. obecné teorii systémů, 2. teorii a metodám analýzy citlivostí systémů, a 3. teorii tolerancí parametrů systémů věnujeme asi 30 % z celkové kapacity, 4. metodám predikce číselných, zejména časových řad věnujeme asi 10 % z celkové kapacity, 5. diagnostickým metodám věnujeme asi 20 % z celkové kapacity, 6. progresivním informačním technologiím, zejména technologii umělých neuronových sítí věnujeme asi 10 % z celkové kapacity,

77 7. teorii oprav a restitucí funkce systémů věnujeme asi 10 % z celkové kapacity, 8. zabezpečovacím a bezpečnostním zařízením a systémům, 9. právním hlediskům, 10. sociálním hlediskům, 11. bezpečnostním normám, předpisům a nařízením věnujeme asi 15 % z celkové kapacity.

78 II. Základy teorie spolehlivosti a bezpečnosti soustav

79 Teorie spolehlivosti a bezpečnosti soustav představuje základní metodický nástroj k řešení závažných problémů, spojených s provozem a užíváním jakýchkoliv soustav, umělých i přirozených. Přesto, že jí bylo v odborné literatuře věnováno až dosud poměrně hodně pozornosti, netvoří ještě ani zdaleka uzavřenou disciplinu a zvláště v poslední době se poměrně dynamicky vyvíjí. Nelze proto ji prezentovat v ucelené podobě. V každém případě však zahrnuje několik významných složek, kterým zde postupně věnujeme pozornost. Jsou to zejména:

80 - - teorie tolerancí parametrů soustav, - - teorie čar života, - - teorie citlivostí, - - metody analýzy spolehlivosti, - metody predikční diagnostiky.

81 II. 6 Základní pojmy

82 Uvažujme jistou soustav S specifikovanou její strukturou St, hodnotami parametrů X = {x i }, i=1...N a hodnotami nezávisle proměnných P = {p j }, j=1...J, tedy S..(St,X,P)

83 Tato soustava vykazuje jisté systémové funkce F = {F k }, k=1...K,

84 Za normálního (nominálního) stavu soustavy S se aktuální hodnoty jejích systémových funkcí F blíží hodnotám F o (hodnotám nominálním), F --- F o. 2)

85 ) To platí pro tzv. dobře navržené soustavy (well designed systems). Jejich opakem mohou být soustavy chybně (špatně) navržené (ill designed), kde zřejmě neplatí F--- F o.

86 Protože však většina parametrů soustavy je závislá na hodnotách nezávisle proměnných a kromě toho vždy je tzv. absolutní nezávisle proměnnou p t = t, kde t je čas, mění se s hodnotami nezávisle proměnných (a především s časem t) též hodnoty příslušných systémových funkcí F.

87 Zajímají nás tedy závislosti x i (p j ), resp. x i (t) a jejich průmět do závislostí F (p j ), resp. F (t). Znalost závislostí x i (p j ), resp. x i (t) lze přitom považovat za primární informaci o uvažovaném systému, poznání závislosti F (p j ), resp. F (t) je pak z ní odvozeno.

88 Získání poznatků o závislostech x i (p j ), resp. x i (t) může být poměrně pracnou a náročnou záležitostí

89 Znamená to obvykle provést značně rozsáhlá soustavná měření a vyhodnocování a - jedná- li se o záležitosti závislostí na čase, též měření dlouhodobá. Ta obvykle vyústí ve získání jistého počtu číselných, především časových řad, po jejichž zpracování a rafinaci (téměř každá pro praktické účely získaná řada je zatížena nepřesnostmi, chybami, neurčitostmi a chybějícími členy) je teprve možno přistoupit ke konstrukci závislostí x i (p j ), resp. x i (t) a to buď vhodným matematickým modelem, nebo modelem, představovaným vhodně naučenou umělou neuronovou sítí nebo v některých případech i grafem.

90 Pomocí takovýchto znalostí závislostí x i (p j ), resp. x i (t) lze pak přikročit ke konstrukci trajektorie X (P), resp. X(t), kterou v N-rozměrném prostoru parametrů uvažovaného systému opisuje vektor X při změně nezávisle proměnných. Tuto trajektorii označíme symbolem (P), resp. (t). Její příklad je pro N = 2 naznačen na obr. 2.

91

92

93 Za jistých podmínek může trajektorie (t) protnout hranice tzv. oblasti přijatelnosti R A, tj. hranice mezi dobrými a nevhodnými stavy uvažované soustavy. Ta je definována jako geometrické místo všech bodů v prostoru {X}, tj. X e R A, (1) pro které je Delta F – F 0 - F, (2) kde Delta F je dovolená odchylka aktuálních hodnot systémových funkcí F od jejich požadované (nominální) hodnoty F 0.

94 Není-li mezi nezávisle proměnnými čas t, může mít tato trajektorie zcela či do jisté míry uzavřený tvar, protože hodnoty nezávisle proměnné mohou probíhat i reverzibilně, t.j. zpět proti původnímu vývoji nezávisle proměnné (např. stoupání a klesání teploty atp.).

95 Pokud však je v souboru nezávisle proměnných zahrnut též čas t (a to je v praxi velmi častý případ), nemůže u uzavřených soustav setrvat trajektorie Psi (t) trvale (tj. pro všechna t, včetně t rostoucí nade všechny meze) uvnitř oblasti přijatelnosti R A.

96 U vztahu (2) je přitom znaménko " - " třeba chápat obecně jako vzdálenost v K-rozměrném prostoru funkcí F, měřenou ve vhodné metrice. Jednoduchý algebraický význam má zde toto znaménko pouze tehdy, je-li K = 1 a má-li funkce F charakter skaláru.

97 Výše uvedené tvrzení, jehož důkaz není zatím znám, je možno též vyjádřit jako tzv. teorém [T1] o nezbytné funkční smrti každého systému :

98 Pro dostatečně velké t vybočí vždy trajektorie (čára) života Psi (t) jakékoliv uzavřené soustavy posléze nenávratně z mezí oblasti přijatelnosti R A. [T1]

99 Jiná situace však může nastat, připustíme-li, že uvažovanou soustavu je možno považovat za otevřenou, tj. že do ní jsme schopni zvenku přivádět informace a energii. Pak, alespoň potud, pokud vyšetřovanou soustavu jsme schopni vhodně zásobovat potřebnými informacemi a energií, lze uvažovat o tom, že alespoň po dobu, po kterou můžeme takové zásobování zajistit, jsme schopni čáru života takové soustavy udržet uvnitř oblasti přijatelnosti.

100 Lze tedy vyslovit teorém T2 o prodloužení doby života otevřené soustavy:

101 Pokud jsme schopni jisté otevřené soustavě dodávat vhodné informace a energii, je možno prodloužit dobu jejího života. [T2]

102 Je však zřejmé. že i takové prodlužování doby života má své meze. Platí tedy teorém T3 o omezení prodlužování doby života soustavy informacemi a energií do ní přiváděnou:

103 U každé reálné soustavy je možno prodloužení doby života přiváděním vhodných informací a energie zvnějšku provádět pouze po jistou omezenou dobu. [T3]

104 Obraťme nyní pozornost k odchylkám parametrů soustav od jejich požadovaných, nominálních hodnot. Především musíme rozlišit tyto dva hlavní druhy odchylek parametrů (poruch): tzv. poruchy pasivní, u nichž odchylka jistého parametru soustavy má vliv pouze na funkční schopnosti uvažované soustavy samé, tzv. poruchy aktivní, kde odchylka jistého parametru soustavy S 1 vede k ovlivnění chování jedné či více soustav jiných.

105 Aktivní poruchy mohou být zvláště nebezpečné, protože mohou vést k lavinovým reakcím a k degradaci spolehlivosti celé řady navzájem spolupracujících soustav (např. lavinové vzniky rozsáhlých dopravních kongescí, lavinový rozpad energetických soustav, rozpad burzovních systémů a pod.). V teorii jejich vzniku a chování se uplatňuje zejména metoda katastrof, prezentovaná poprvé francouzským matematikem R. Thomem (viz [TH-M 69, 71,75] a též [NO-K87/1]).

106 Ten se zabýval matematickými modely situací, za nichž může dojít ke skokové změně charakteru funkce různých soustav, resp. též k degradaci jejich spolehlivosti. Ukázal, že ačkoliv existuje nepřeberné množství modelů takových reálných situací, je možno vystačit při jejich modelování se sedmi typy základních modelů (tzv. elementárních katastrof 3) ), na jejichž kombinaci je možno všechny ostatní převést.

107 Skoková degradace spolehlivosti jedné soustavy se může za jistých okolností přenést na jiné soustavy, s uvažovanou soustavou spolupracující a výsledkem může být celkový lavinový rozpad. Takové děje jsou sice poměrně řídké, nicméně k nim dochází a následky bývají mimořádně těžké (známé jsou např. dva velké rozpady energetické soustav - tzv. blackout - na východním pobřeží USA v šedesátých létech, které ve velmi krátké době zasáhly oblasti v nichž žilo několik desítek milionů lidí - od kanadských hranic až po Pensylvánii). Pro analýzu nebezpečí lavinových rozpadů je důležitý kromě katastrofických modelů též rozbor vzájemných citlivostí parametrů a funkcí jednotlivých spolupracujících soustav. O základech metodiky analýzy citlivostí se zmíníme v dalším.

108 Pro dopravní soustavy je v této souvislosti významná jejich interakce s jinými soustavami, zejména energetickými (viz též [BO-E 97/1, ŠT-Ý 97/1, ŠT-Ý 97/1]), při čemž na rozdíl od běžného uvažování je třeba u energetických soustav brát v úvahu nejen kvantitativní, ale též kvalitativní hlediska (např. u elektro-energetických soustav jde nejen o zabezpečení dodávek potřebného množství energie, ale též o množství pohotového výkonu, o dodržení úrovně napětí, kmitočtu, fáze a pod.).

109 3) Zde je dlužno podotknout, že Thom použil slovo katastrofa pro vyjádření náhlého přechodu z jednoho stavu soustavy do stavu jiného; přitom po překročení jistých mezí ve změnách parametrů soustavy je tento přechod již neodvratný. V tomto pojetí tedy nemusí katastrofický přechod ještě znamenat neštěstí, i když toto slovo je s ním o našem celkovém povědomí spojeno. V souvislosti se změnami spolehlivosti soustav však je katastrofický přechod většinou jevem silně nežádoucím.

110 Odchylky jednotlivých parametrů x i uvažované soustavy se mění se změnami nezávisle proměnných p j. Výsledkem je pohyb vektoru parametrů X v N rozměrném prostoru {X}. Jeho charakter závisí jak na způsobu změn nezávisle proměnných (obecně mohou tyto změny probíhat velmi různě, pouze u času p = t předpokládáme spojitý, hladký, rovnoměrný a nevratný nárůst času), tak na způsobech uplatnění jednotlivých parametrů v příslušných funkčních závislostech F k (X).

111 U soustav, realizovaných či vyskytujících se ve větším množství nás však zajímá též hustota pravděpodobnosti  (X) odchylek  X skutečných hodnot jednotlivých parametrů X od jejich hodnot nominálních X 0.

112 Z matematického hlediska můžeme vektor parametrů X chápat jako vektor reálných čísel, neboť pokud některý prvek soustavy vyžaduje komplexní reprezentaci, můžeme příslušné reálné a imaginární části příslušných parametrů uvažovat odděleně.

113 Uvažujme nyní soustavu S, sestávající se z N 1 diskrétních součástek s, = 1,...N 1, z nichž každá je charakterizována jistým počtem m reálných parametrů x i. Vektor parametrů X pak lze psát ve tvaru X = {x 11,x 12,...,x 1m1 ; x 21,x 22,...,x 2m2,;...;x N11,x N12,...,x N1mN1 }.

114 Celkový počet parametrů x i takovou soustavu reprezentující je pak N = Suma m pro = 1 až N 1.

115 Mezi hodnotami jednotlivých součástek s nechť se nevyskytují korelace, tzn. jejich realizace (výroba) probíhá navzájem nezávisle.

116 Předpokládejme dále, že při výrobě jedné a téže součástky se všech m parametrů x i jí charakterizujících odchyluje od svých nominálních hodnot x i0 stejným způsobem (tento předpoklad bývá dobře splněn u součástek, u nichž je pro výrobu použita jedna a táž technologie - např.u některých mechanických součástek vyráběných z jednoho kusu materiálu; tam, kde se při výrobě téže součástky používají technologie různé je jeho splnění problematičtější).

117 Pak mohou být hustoty pravděpodobnosti (x i ) stejné vždy pro m parametrů téže součástky. N parametrů N 1 součástek je tedy navzájem korelováno ve skupinách.

118 V N rozměrném prostoru se hodnoty parametrů X, charakterizující uvažovaný objem výroby vyskytují v jisté jeho části R E, kterou nazýváme oblast odchylek. Jestliže jsou v praxi se vyskytující hodnoty parametrů x i nějakým způsobem omezeny na intervaly, tvoří oblast odchylek hyper-kvádr. Ten má N 1 podstav R E, ležících v nadrovinách {x  }, kde - 1,...,N 1 a  - 1,..., m . Tyto podstavy závisejí co do tvaru na příslušné hustotě pravděpodobnosti.

119 II. 9 Základy teorie tolerancí parametrů soustav

120 Předmětem veškerých našich dalších úvah jsou umělé, zejména technické systémy (soustavy – oba tyto termíny budeme používat jako synonima), jejichž vnější vlastnosti můžeme vyjádřit souborem jistých, tzv. systémových funkcí.

121 Tyto funkce vyjadřují vztahy mezi vybranými stavovými proměnnými soustavy a závisejí na jedné či na několika nezávisle proměnných (zejména vždy na čase) a na jednom či více parametrech, určujících stav, dimenze, uspořádání a vzájemné působení prvků uvažované soustavy. Zde se nebudeme zabývat tím, jakým způsobem lze vyjádřit systémové funkce na základě hodnot nezávisle proměnných a na velikosti parametrů soustavy a budeme předpokládat, že vždy známe způsob, jak provést základní analýzu činnosti uvažované soustavy a že máme k dispozici potřebné nástroje k provedení takové analýzy. Lze ukázat, že u celé řady prakticky významných soustav je tento předpoklad splněn s přijatelnou přesností.

122 Uvažujme nyní jistý systém S, pro jehož nominální návrh použijeme označení S 0 a který je v prostoru systémových parametrů {X} reprezentován vektorem X 0. Předpokládejme, že analýzujeme podmínky opakované, sériové nebo až hromadné 6) výroby takového systému, a že ten je realizován celkem v M kusech ) Mezi pojmy opakované, sériové a hromadné výroby budeme činit především kvantitativní rozdíl.

123 Předpokládejme dále, že návrh systému S 0 byl proveden dobře, takže platí X 0  R A, kde R A je množina všech bodů v prostoru {X}, kde platí vztah (9). Tato množina tvoří jistou část prostoru {X}, kterou budeme nazývat oblast přijatelnosti (region of acceptability). Je zřejmé, že kdyby pro všechny uvažované realizace M systému S ležely body X m, m = 1,2,3,…M jejich počáteční stav 7) charakterizující uvnitř R A, docílili bychom dokonalou výrobu se 100 % ní a priorní výtěžností, tj. s nulovým podílem výrobních zmetků. Bohužel, v praxi dochází k takové situaci jen zcela výjimečně.

124 Téměř vždy musíme počítat s tím, že vektory X m, charakteritující parametry skutečných realizací se jistým způsobem odchylují od X 0 a že platí X m = X 0 X m,……………….(10) kde X m jsou tzv. dovolené odchylky skutečných hodnot parametrů X m od jejich požadované nominální hodnoty X 0. Interval dovolených odchylek X m ovšem nemusí být souměrný vzhledem k nominálním hodnotám X 0m, nicméně v dalším bez újmy na obecnosti následujících úvah budeme uvažovat především takové situace, kdy platí vztah (10).

125 Množina všech v úvahu přicházejících hodnot vektoru X pak vyplní jistou část prostoru {X}, kterou budeme označovat jako oblast odchylek R E. Na obr. 3 je tato oblast naznačena pro N=2. Hodnoty vektoru X odpovídající jednotlivým realizacím uvažované soustavy jsou v prostoru {X} rozloženy s hustotou pravděpodobnosti (X).

126

127 Při vlastním návrhu příslušného systému hledáme obvykle jednak vhodnou topologickou strukturu systému, jednak polohu tzv. nominálního vektoru X 0 tak, aby bylo co nejlépe splněno některé optimalizační kriterium. Tím může být: a) dosažení co nejvyšší výrobní výtěžnosti, tj. snaha, aby Y  1, b) dosažení co nejnižší výrobní ceny, c) dosažení co nejvyšší provozní spolehlivosti, resp. co nejdelší délky života uvažovaného systému.

128 Ve všech případech k tomu pochopitelně přistupuje základní požadavek, aby uvažovaný systém vykazoval požadované funkční vlastnosti, tj. aby F  F O. Jednotlivá tato kriteria ovšem nejsou nezávislá a obvykle se uplatňují kombinovaně.

129 V dalším výkladu se nejprve zmíníme o kriteriu maximální výrobní výtěžnosti. Pak si všimneme otázek souvisejících s minimalizací výrobní ceny. Otázkami návrhu systému vzhledem k životnosti se budeme zabývat později.

130 Všimněme si nyní blíže problematiky návrhu řešení systému vzhledem ke kritériu maximální výrobní výtěžnosti. Na obr. 4 je naznačena jedna z možných situací. Oblast dovolených odchylek R E1 zde očividně přesahuje vně oblasti R A tak, že dochází k výrobě zmetků a výrobní výtěžnosti Y < 1 (a to bez ohledu na to, jaké je rozložení hustoty pravděpodobnosti výskytu hodnot vektoru parametrů X uvnitř oblasti R E1.

131 Všimněme si nyní blíže problematiky návrhu řešení systému vzhledem ke kritériu maximální výrobní výtěžnosti. Na obr. 4 je naznačena jedna z možných situací. Oblast dovolených odchylek R E1 zde očividně přesahuje vně oblasti R A tak, že dochází k výrobě zmetků a výrobní výtěžnosti Y < 1 (a to bez ohledu na to, jaké je rozložení hustoty pravděpodobnosti výskytu hodnot vektoru parametrů X uvnitř oblasti R E1.

132

133 Nejsme-li s takovou situací spokojeni, můžeme např. odpovídajícím způsobem zmenšit rozměry oblasti R E1, tak, až se právě vejde dovnitř oblasti R A. To je na obr. 4 naznačeno příkladem oblasti R E2. Současně zde ovšem vidíme, že taková snaha může vést k potřebě modifikovat původní polohu nominálního návrhu, zde např. z polohy X 01 do polohy X 02.

134 Jak jsme již naznačili, ne vždy nám jde jen o to, abychom vyráběli pokud možno beze zmetků, tj. bez výrobního odpadu. Velmi často je hlavním optimalizačním kriteriem výrobní cena, a to ať již vztažená k ceně jednotlivého výrobku, nebo k celému výrobnímu objemu.

135 Pro výrobní cenu C v jednoho výrobku platí C v = C 0 + C T, kde C 0 je cena výrobních operací, které nejsou ovlivněny požadavky na přesnost výroby použitých součástek a C T je cena všech v daném výrobku použitých součástek, které na přesnosti výroby (tj. na výrobních tolerancích) závisí.

136 Je-li těchto součástí N, platí C T = C Ti, i= 1…N, kde C Ti je na výrobních tolerancích závislá cena i-té součástky.

137 Předpokládejme, že tato součástka je reprezentována jedním parametrem x i. Pak dlouholetá zkušenost z téměř všech oblastí výroby ukazuje, že hodnota C Ti je nepřímo úměrná tolerancím  i, se kterými je zapotřebí požadovanou hodnotu x i0 parametru x i realizovat. Exaktní vyšetření závislostí C Ti a tolerancí  i je většinou značně problematické, pro většinu technických aplikací však postačí přibližný hyperbolický vztah

138 C Ti = a i + b i /  i -ci, kde a i, b i a c i jsou empiricky určené konstanty.

139 Dlužno podotknout, že podobné hyperbolické závislosti mezi cenou a tolerancemi platí i v případech, kdy cena se se změnou přesnosti výroby mění stupňovitě. Určení hodnot uvedených konstant je však v praxi dosti pracné a výrobci součástek je udávají jen velmi zřídka. Pro optimalizaci návrhu systému vzhledem k jeho výrobní ceně je však jejich znalost podstatná.

140 Do celkové ceny výroby je třeba zahrnout ještě další složky, a to cenu dodatečného doladění výrobků c Di, které v primární výrobě nesplnily dané funkční požadavky a cenu na likvidaci neopravitelných výrobních zmetků c Zi. Je-li M P celkový počet vyrobených požadované funkce schopných kusů, M D počet kusů, které po primární výrobě vyžadují ještě doladění a M Z počet neopravitelných zmetků, které je nutno likvidovat, pak pro celkovou cenu výroby platí C = M P C V + M D C D + M Z C Z.

141 Ať již budeme výrobu optimalizovat vzhledem k ceně C V či k ceně C, může se stát, že v příslušných výrazech převáží vliv komponenty C T natolik, že závislost výrobní výtěžnosti a ceny nabude charakter, naznačený na obr.5.

142 Obr.5: Závislost mezi výrobní výtěžností a cenou.

143 Vidíme, že v takovém případě cena, odpovídající 100% ní výrobní výtěžnosti není minimální a že cenově může být optimální vyrábět s jistou optimální výtěžností Y opt nižší než 100%, tedy vyrábět jisté definované % zmetků. Důvod k tomuto zdánlivému paradoxu je nasnadě: nárůst ceny odpovídající užším tolerancím, které by bylo třeba pro dosažení 100% ní výrobní výtěžnosti je větší, než cena jistého % zmetků.

144 Výpočet parametrů takto cenově optimalizované výroby je sice poměrně pracný, avšak, zejména při velkých výrobních sériích vede k značným ekonomickým přínosům.

145 II. 10 Čáry života soustav

146 Nyní se pokusíme vzít do úvahy dynamiku života systému (soustavy), spojenou se změnami hodnot nezávisle proměnných. Zde však jeden ze zásadních rozdílů tkví v tom, jaký je fyzikální význam těchto nezávisle proměnných. U takových nezávisle proměnných, jako je vnější teplota prostředí, v němž uvažovaná soustava působí, vlhkost tohoto prostředí, úroveň radiace v něm působící apod. lze připustit, že za jistých okolností mohou být jejich změny vratné.

147 Má-li však nezávisle proměnná význam času, jsou její změny vždy nevratné. U všech reálně existujících systémů (soustav) se pohybujeme po časové ose nezávisle proměnných vždy jen jedním směrem, dopředu, dosud nikdy zpět.

148 Případy časového vývoje vlastností soustav, tedy jejich života, jsou však pro praxi nejdůležitější a proto jim zde věnuji prvořadou pozornost. Uvažujme soustavu, jejíž funkční vlastnosti jsou charakterizovány souborem systémových funkci F(X,t), resp. F{X(t)}, či přesněji F{X(t),t}.

149 Druhý uvedený výraz je realističtější než první, neboť z celé oblasti našeho poznání nevíme o žádném parametru jakékoliv soustavy, který by byl dokonale invariantní vůči času. S časem se tedy mění nejen hodnota systémových funkcí nad N-rozměrným prostorem parametrů X, ale též poloha vektoru X v tomto prostoru.

150 Jestliže pak známe závislosti x i (t) pro i=1 až N, nebo dovedeme-li je alespoň přijatelně aproximovat, jsme schopni v prostoru X vyšetřit průběh trajektorie bodu X(t) (vrcholu vektoru X parametrů uvažované soustavy), alespoň pro jistý úsek času.

151 Jestliže v témže prostoru X známe hranice oblasti přijatelnosti R A či alespoň jejich přijatelnou aproximaci, jsme schopni usoudit, zda: a) Výchozí bod X 0, odpovídající počátku uvažovaného časového intervalu t = t 0 (ten obvykle klademe do počátku vzniku uvažované soustavy, resp. do počátku jejího používání), leží uvnitř či vně příslušné oblasti přijatelnosti R A. V prvním případě se jedná o tzv. dobře navrženou soustavu (well-designed), v druhém o soustavu navrženou špatně (ill- designed).

152 b) Příslušnost ani k prvé, ani k druhé z obou těchto zmíněných kategorií soustav však nemusí ještě nic říkat o další použitelnosti uvažované soustavy. V průběhu času může totiž čára života uvažované soustavy jednou či vícekrát přejít hranice oblastí přijatelnosti a soustava sama přitom přestane či naopak opět počne být použitelná. To ovšem nic nemění na tom, že nakonec, tj. pro dostatečně velké t vybočí u každé soustavy čára života posléze nenávratně z hranic příslušné oblasti přijatelnosti.

153 Tak dojde k úplné, konečné funkční smrti takové soustavy. Dočasná vybočení čáry života mimo hranice oblasti přijatelnosti můžeme tedy považovat za jakési dočasné, dílčí smrti či spíše odstranitelná selhání příslušné soustavy.

154 c) Návrat čáry života dovnitř oblasti přijatelnosti může nastat jak po jejím dočasném vybočení z jejich hranic, tak i v případě, že již výchozí bod X 0 se nalézal mimo R A. Může k tomu dojít sice samovolným vývojem (např. u některých soustav v procesu jejich zabíhání či zahořování), ve velké části případů však tomuto opravnému, restitučnímu procesu napomáháme úmyslnou změnou, korekcí vhodných parametrů x i.

155 d) Podle charakteru takové korekce můžeme rozlišit dva základní její druhy: Korekce mělké, kdy se spokojíme s tím, že se pod X vrátil pouze nedaleko dovnitř oblasti přijatelnosti, do nevelké vzdálenosti od jejích hranic. Při opakovaném používání soustavy se pak může stát, že po nedlouhé době dojde k opětovnému vybočení z hranic, soustavy přestane být použitelná a celý děj se může opakovat. Bohužel lze ukázat (i když zatím nikoliv dokázat), že takové mělké korekce není možno úspěšně opakovat bez omezení a že u každé soustavy dojde nakonec k vyčerpání možností, poskytovaných korigovatelnými parametry.

156  Korekce hluboké, u nichž se snažíme při korekci parametrů bod X posunout po jeho vybočení z mezí oblasti přijatelnosti dostatečně hluboko dovnitř R A tak, aby trvalo co nejdéle, než dojde k jeho opětovnému vybočení.

157 Obě filozofie korekcí mají svá opodstatnění. Mělké či lehké korekce odpovídají levným opravám, které je ovšem nutno častěji opakovat. Hluboké korekce pak odpovídají velkým, zevrubným, až generálním opravám, které jsou ovšem většinou značně nákladné. Zatím co u mělkých korekcí postačí obvykle určit vhodný jeden či několik málo korekčních parametrů a charakterizovat zásadní směr korekce, u hlubokých korekcí se obvykle jedná o souběh změn hodnot více parametrů a též o větší jejich změny.

158 posunout v procesu korekcí bod Xdo oblasti jakéhosi středu trval co nejdéle. Žádoucí přitom je posunout v procesu korekcí bod X buď do oblasti jakéhosi středu oblasti přijatelnosti či do takové její části, odkud by jeho pohyb k hranicím v průběhu dalšího používání soustavy po korekci trval co nejdéle.

159 centrování návrhu (design centering) V prvním případě jde o podobný proces, jako při tzv. centrování návrhu (design centering) při optimalizované syntéze soustav co do tolerancí, výrobní výtěžnosti či výrobní ceny. Z analýzy oblastí přijatelnosti je ovšem známo, že pojem jejich středu má opodstatnění pouze v těch případech, kdy je jejich tvar převážně symetrický. U oblastí přijatelnosti, které jsou značně nesymetrické a nepravidelné svůj smysl ztrácí.

160 hluboké korekci musíme znát průběh pole čar života Chceme-li bod X při hluboké korekci soustavy umístit tak, aby se funkční život soustavy takovou korekcí co nejvíce prodloužil (abychom ji co nejvíce "omladili"), musíme znát průběh pole čar života (trajektorií bodů X) uvnitř oblasti R A nebo alespoň jejich povšechný charakter v její dostatečné části. Při korekci se pak snažíme měnit vhodné parametry x i soustavy tak, abychom se pohybovali proti směru vhodných čar života tak dlouho, až se dostatečně přiblížíme opačné straně hranic (viz obr. 6).

161 Obr.6: Ke korekcím čar života

162 Může se ovšem stát, že proces takto prováděných korekcí by trval poměrně dlouho, a že ekonomičtější bude, zvolit pro průběh korekci jinou, z časových či ekonomických hledisek optimálnější umělou korekční trajektorii.

163 Taková situace je schematicky naznačena na obr. 7. Zde ovšem musíme vzít v úvahu, že optimalizace průběhu korekční trajektorie, prováděná se zřetelem k minimálním cenovým nárokům, nebo k minimalizaci doby, po kterou musí být uvažovaná soustava vyřazena z provozu, nebo k jisté kombinaci obou těchto hledisek může být poměrně velmi složitou záležitostí, zejména jedná-li se o soustavu s vyšším počtem N parametrů x i.

164 Obr.7: Příklad optimální umělé korekční trajektorie.

165 Pak je na místě před zahájením vlastních optimalizačních prací provést ekonomickou rozvahu, do jaké míry případný efekt ve snížení nákladů na korekci, resp. v snížení prostojů dočasně funkčně nezpůsobilé soustavy převýší náklady na potřebné optimalizační rozbory.

166 Totéž se ovšem týká i všech snah o zvýšení spolehlivosti a provozní životnosti systémů vůbec, ať je jich již dosahováno jakoukoliv spolehlivostní technologií, predikční diagnostiku nevyjímaje. Každé zvyšování spolehlivosti a provozní životnosti si vyžaduje určité náklady a je jen otázkou střízlivé ekonomické kalkulace, zda v tom či onom případě má reálný smysl.

167 kladná odpověď na tuto otázku je a priori jasná Pochopitelně však též existuje řada případů, kdy kladná odpověď na tuto otázku je a priori jasná a kdy spolehlivost uvažovaného systému je třeba zvyšovat všemi dostupnými prostředky bez ohledu na cenu (např. systémy zabezpečující chod životně důležitých energetických či informačních zdrojů).

168 Z uvedeného je též zřejmé, že metody predikční diagnostiky nalézají značné uplatnění také jednak při navrhování procesu oprav a preventivních testů provozní způsobilosti různých zařízení, jednak zajišťování trvalého chodu některých důležitých soustav.

169 Zcela specifický význam pak mají v některých medicínských aplikacích, jako např. v onkologii, dopravním lékařství a při prevenci poklesů, resp. výpadků pozornosti operátorů (řidičů, pilotů či dispečerů) důležitých systémů. O této problematice, týkající se spolehlivosti interakce lidského činitele a umělého systému se blíže zmíníme později.

170 Obraťme nyní pozornost znovu k závislostem X(t), které určují průběh čar života. Až dosud jsme sice měli na zřeteli skutečnost, že u jakéhokoliv nám známého fyzicky reálného parametru jakéhokoliv systému je vždy jeho hodnota závislá na čase t, a že tedy každý koncový bod X vektoru parametrů opisuje v prostoru {X} jistou trajektorii, která nakonec vždy musí bohužel opustit příslušnou oblast přijatelnosti R A, nicméně jsme zatím neprovedli bližší diskusi charakteru závislostí X(t).

171

172

173

174

175

176 Na hodnoty parametrů X kteréhokoliv systému, které jsou vždy funkcemi souboru příslušných nezávisle proměnných (alespoň času t) mohou působit tyto hlavní skupiny vlivů: a) vlivy degradačního charakteru, nazývané často stárnutí, b) vlivy vnějšího prostředí, c) vlivy náhodné.

177 Při hlubší rozvaze je zřejmé, že první a druhá skupina může do jisté míry splývat.

178 Stárnutím rozumíme důsledek postupně probíhajících odchylek hodnot vektoru X od jeho výchozí polohy, způsobených vnějšími vlivy uplatňujícími se s nevratným průběhem času. Lze je v souladu s definicí používanou v gerontologii (viz např. [AU-D 99/1]) chápat jako rychlost, s jakou vzrůstá pravděpodobnost smrti se zvyšujícím se věkem uvažovaného systému. Jestliže tedy u jistého systému bude LT pravděpodobnost, že tento systém dožije doby života L T, bude mírou stárnutí (aging) derivace

179 Zamyslíme-li se nad možnými příčinami takových změn, dojdeme k tomu, že je vždy způsobuje vnější prostředí, jehož působení se ovšem s časem mění. Nikdy nemáme k dispozici takový parametr systému, který by byl od působení vnějšího prostředí dokonale izolován. Stárnutí je tedy možno v podstatě ztotožnit s neodstranitelným působením vnějších vlivů, probíhajících v čase. Některé z nich ovšem mohou někdy působit v jistém časovém údobí intenzivněji a pak jejich působení vystoupí do popředí nad ostatní tak, že je charakterizujeme jako zvláštní skupinu.

180 predikovat. V četných případech jsme schopni jak stárnutí, tak vlivy vnějšího prostředí vyjádřit jako funkce času (i když třeba jen přibližně) a pak další vývoj jejich působení s větší či menší přesností předpovídat, predikovat.

181 Náhodné vlivy jsou v podstatě také vždy projevem působení vnějšího prostředí, neřídí se však žádnou zřejmější zákonitostí. Téměř vždy jsou to vlivy nežádoucí, způsobené nehodami. Jejich působení je proto náhlé, neočekávané a predikovat umíme nanejvýše hodnotu pravděpodobnosti, že k nim může dojít. V průběhu trajektorie čar života se působení takových náhodných vlivů projeví náhlým zlomem, resp. skokem hodnot některých parametrů uvažovaného systému. Příklad takto neočekávanou nehodou ovlivněných čar života je naznačen na obr. 8.

182

183 náhodné vnější vlivy by vedly ke zvýšení spolehlivosti a prodloužení pravděpodobného dalšího života Takový vývoj průběhu trajektorie čáry života může být sice nežádoucí, nemusí však vždy znamenat bezprostřední ukončení funkce- schopnosti uvažovaného systému. Dokonce teoreticky mohou nastat případy (i když v praxi by to byla dosti vzácná náhoda), kdy takové náhodné vnější vlivy by vedly ke zvýšení spolehlivosti a prodloužení pravděpodobného dalšího života uvažovaného systému (příklad takového hypotetického, avšak principielně možného průběhu je naznačen na obr. 9).

184

185 Ve většině reálných případů však má náhodný vnější vliv negativní a někdy přímo katastrofický důsledek a vede buď k omezení pravděpodobnosti dalšího života, nebo přímo k bezprostřední ztrátě funkce-schopnosti uvažovaného systému, tj. k jeho funkční smrti. Na obr. 10 je naznačena situace, odpovídající takovému případu. Vidíme, že vnější vlivy se v tomto případě projevily skokem vektoru X z polohy uvnitř R A do polohy vně oblasti přijatelnosti.

186

187 11.2. Zálohování Odolnosti proti poruchám lze dosáhnout pouze použitím nadbytečných prostředků, souhrnně nazývaných záloha. Ve stejném významu se někdy používá také výraz redundance (nadbytečnost), i když tento pojem je poněkud obecnější. Jako záloha se většinou označuje jen taková redundance, která byla vytvořena záměrně. Záložní (redundantní) jsou prostředky, jejichž použití by bylo zbytečné, kdyby všechny ostatní části systému pracovaly správně.

188 Abychom získali pokud možno ucelený přehled o používaných formách zálohy, zavedeme nejprve klasifikaci zálohy podle několika důležitých kritérií. Budeme při tom používat zcela obecné pojmy, které budou ít konkrétní význam teprve při popisu jednotlivých systémů.

189 Klasifikace forem zálohy Formy realizace záloh lze třídit několika způsoby. Každý z nich zdůrazňuje jinou vlastnost, takže i získaná rozdělení jsou vhodná pro různé účely. Je třeba připomenout, že použitá kritéria jsou do značné míry nezávislá, takže jich můžeme uplatnit i několik současně. Počet příznaků, který k určitému typu zálohy skutečně připojíme, je pak závislý na tom, jak podrobně chceme zálohu charakterizovat. Postupně si všimneme těchto kritérií pro třídění typů zálohy: použité prostředky, stupně využití zálohy v čase, úroveň využití zálohy, vztah záložního a zálohovaného prvku a funkce zálohy.

190 Použité prostředky Prostředky používané při realizaci zálohy zahrnují tyto systémové zdroje: technické vybavení (hardware), programové vybavení (software),  informace, čas.

191 Tyto prostředky nikdy nelze beze zbytku oddělit, protože použití jednoho obvykle implikuje použití některých dalších. Technické a programové vybavení představuje základní formy zálohy, zatímco nadbytečné informace a nadbytečný čas spotřebovaný během výpočtu jsou důsledkem jejich použití.

192 Nadbytečné technické vybavení, nazývané také obvodová nebo prostorová záloha, představuje bezesporu nejznámější a nejpoužívanější formu zálohování. Do této kategorie patří např. záložní součástky, záložní spoje, záložní obvody a celé funkční bloky. Pro nadbytečné technické vybavení je charakteristický růst nákladů, rozměrů systému, hmotnosti a často i spotřeby energie.

193 Nadbytečné programové vybavení se používá převážně ve spojení s nadbytečným technickým vybavením, i když v technicky nezálohovaných systémech má tento způsob zálohování též své místo. Do této kategorie patří především diagnostické programy, provádějící detekci a lokalizaci poruch, a dále programy řídící zotavení po poruše (zařazování bezporuchových bloků místo poruchových). V systémech bez technické zálohy umožňují nadbytečné programy prostřednictvím kontrolního nebo několikanásobného výpočtu zjistit, nebo dokonce opravit chyby vznikající v systému.

194 Je zřejmé, že tento typ zálohy je spojen s použitím značného množství nadbytečného času.

195 Nadbytečné informace se využívají především v bezpečnostních kódech k průběžné detekci chyb. Jejich použití je spojeno převážně s použitím nadbytečného technického vybavení, i když v některých případech může být těžiště zálohy přeneseno do oblasti času (např. při zabezpečení sériového přenosu).

196 Stupeň využití zálohy v čase Podle toho, do jaké míry jsou záložní prostředky využívány v čase, rozlišujeme obvykle dva typy zálohy, a to statistickou a dynamickou.

197 Statistická záloha pracuje nepřetržitě po celou dobu funkce systému a je trvale připojena na vstupy a výstupy systému. Tento typ zálohy se také nazývá záloha bez přepínání, protože nemá přepínač, který je potenciálním zdrojem nespolehlivosti a vyžaduje složité řízení. Způsob připojení záložního prvku do systému je pak velmi jednoduchý. Statistickou zálohu, jejíž hlavní výhodou je schopnost maskovat poruchu a nepřipustit proniknutí chyby na výstup systému, lze využít na libovolné úrovni od jednotlivých součástek až po celé systémy.

198 Hlavní nevýhodou statické zálohy je velká spotřeba energie (všechny prvky musí být trvale připojeny na napájení) a malá hodnota střední doby bezporuchového provozu, protože všechny prvky jsou trvale zatíženy a opotřebovávají se stejně rychle.

199 Dynamická záloha se naopak začíná využívat teprve tehdy, když je to nutné, tedy po poruše některé jiné části systému. Připojuje se prostřednictvím přepínače, a proto se také nazývá záloha s přepínáním. Dynamickou zálohou se dosahuje větší hodnoty střední doby bezporuchového provozu a menší spotřeby energie než statickou zálohou, protože ji lze částečně nebo zcela odpojit od napájení.

200 Hlavní nevýhodou dynamické zálohy je nebezpečí, že během přepínání ze základního na záložní prvek dojde k dočasnému výpadku signálu na výstupu systému, nebo dokonce že se po nějakou dobu bude na výstupu objevovat chybný signál. Vzhledem k tomu, že přepínač bývá poměrně složitý a navíc vyžaduje složité řízení, používá se dynamická záloha pouze na vyšších systémových úrovních, protože teprve tam lze zaručit, že přepínač bude podstatně jednodušší a spolehlivější, než přepínaný prvek.

201 Úroveň využití zálohy Úroveň, na níž je záloha použita, lze popsat velikostí té části uvažovaného systému, která je zálohována.

202 Úroveň využití zálohy tedy můžeme charakterizovat názvy zálohovaných konstrukčních jednotek, jako jsou např. součástky, montážní uzly, funkční bloky apod. Takové označení úrovní není vždy zcela jednoznačné, protože konstrukční stavebnice používané různými výrobci se často liší. Proto je někdy účelnější charakterizovat úroveň využití zálohy relativně, na základě vztahu velikosti zálohovaného a záložního části systému.

203 Úroveň využití zálohy má vliv na: - cenu a složitost celého systému (čím větší celky zálohujeme, tím větší je nebezpečí, že budou opakovány i části systému, které ve skutečnosti zálohovat nepotřebujeme), - na složitost řízení (čím větší počet prvků zálohujeme, tím složitější je struktura řídícího podsystému) a - na účinnost zálohy, tedy na počet a typ poruch, ze kterých se systém dokáže zotavit.

204 Na zvolené úrovni můžeme zálohu realizovat v podstatě dvěma způsoby. První způsob spočívá v tom, že existující (zálohované) jednotce přidáme jednu nebo několik záložních jednotek schopných převzít její funkci v případě potřeby. Druhý způsob vychází z konstrukčních změn v jednotce, kterou je třeba zálohovat.

205 Rozdíl obou těchto způsobů je ovšem ve skutečnosti jen výsledkem odlišného pohledu na stejný jev, protože konstrukční změna na určité úrovni (např. vybavení paměti samoopravným kódem) může být chápána jako přidání shodných jednotek (paměťových obvodů) na nižší úrovni.

206 Vztah záložních a zálohovaných prvků systému Podle vzájemného vztahu záložních a zálohovanécho prvků systému můžeme zálohy dále členit na konfigurační a funkční.

207 Jako konfigurační (také masivní) zálohy se označují případy, kdy zálohovaný prvek systému i všechny záložní prvky jsou přesně stejného typu. Výhodou takového řešení je koncepční jednoduchost, protože určitý prvek stačí vyrobit nebo nakoupit v několika exemplářích a ty pak začlenit do systému namísto jednoho. Proto se s tímto druhem zálohy setkáváme v praxi velmi často, např. při zdvojování procesorů, přídavných zařízení nebo celých počítačů.

208 Funkční záloha vznikne tak, že k zálohovanému prvku určitého typu přidáme záložní prvek nebo prvky jiného typu. Podmínku použitelnosti takového typu zálohy je schopnost všech použitých prvků vykonávat stejnou nebo alespoň podobnou funkci. Jako příklad můžeme uvést zálohování magnetického disku magnetickou páskovou jednotkou nebo zálohování tiskárny psacím strojem. Tyto příklady ilustrují také to, že konstrukčně odlišné jednotky mají často i různé technické parametry, takže v případě přepnutí na zálohu dochází k degradaci výkonnosti systému.

209 Funkce zálohy Základní úkol, formulovaný jako „zajištění odolnosti proti poruchám“, může záloha plnit (nebo alespoň pomáhat plnit) několika různými způsoby. Podle toho jak složitě má záloha reagovat na poruchu, můžeme specifikovat tyto tři funkce zálohy:  detekce poruchy,  maskování poruchy,  zotavení po poruše.

210 detekce Základním předpokladem správné reakce systému na poruchu je její detekce. Během provozu systému jsme ale obvykle schopni zjistit teprve chybu, která v důsledku poruchy vznikla. K tomu se používají hlavně prostředky průběžné kontroly, k nimž patří bezpečnostní kódy, případně i periodická kontrola, např. hlídacím časovačem. S prostředky pro detekci poruch se setkáváme ve všech systémech odolných proti poruchám bez ohledu na to, jak má systém na poruchu dále reagovat.

211 Maskování poruchy je velmi dokonalý způsob zajištění odolnosti proti poruchám, protože se při něm porucha vůbec nemůže navenek projevit. To znamená, že nedojde k chybě na výstupu a často ani ke zpoždění nebo jiné degradaci funkce. Porucha se obvykle maskuje majoritní funkcí, o níž se podrobněji zmíníme v dalším. V obecném případě lze pro tento účel použít kterýkoliv samoopravný kód

212 Zotavení po poruše je poměrně složitý sled úkonů, o němž jsme se zmínili již dříve. Obvykle vyžaduje použití mnoha různých forem zálohy na několika úrovních, protože systém je třeba vybavit schopností reagovat na velký počet různých typů poruch, které vyvolávají velmi nečekané změny v jeho chování. Klíčovou roli při tom obvykle hraje programové vybavení.

213 Statická záloha Z hlediska vztahu mezi zálohovaným a záložním prvkem převládají při aplikaci statické zálohy dvě varianty: konfigurační záloha (přidání stejného prvku) a konstrukční změny uvnitř prvku. Naproti tomu statická funkční záloha, tzn. současné použití několika prvků s různou strukturou, se v praxi téměř nepoužívá.

214 Typická struktura systému s konfigurační statickou zálohou je znázorněna na obr Pro tento způsob spojení základního prvku se záložním prvkem je charakteristické, že vyhodnocovací člen je velmi jednoduchý, takže prakticky nevnáší so systému žádnou další nespolehlivost. Prvky použité jako záložní jsou stejného typu jako zálohovaný prvek, takže často vzniká symetrické zapojení, v němž nelze jednoznačně rozhodnout, který prvek je zálohovaný a který záložní.

215

216 Prvky použité jako záložní jsou stejného typu jako zálohovaný prvek, takže často vzniká symetrické zapojení, v němž nelze jednoznačně rozhodnout, který prvek je zálohovaný a který záložní. Použití statické konfigurační zálohy si dále ukážeme na příkladech typického zapojení pro dvě úrovně, zjednodušeně nazývané úroveň součástek a úroveň systému. Naproti tomu statickou zálohu realizovanou konstrukčními změnami uvnitř bloku se zde nebudeme zabývat, protože je převážně užívána v bezpečnostním kódování, o kterém se zmíníme později.

217 Úroveň součástek Do použití statické zálohy na úrovni součástek se kdysi vkládaly velké naděje, a proto byla studiu staticky zálohovaných elementárních struktur v šedesátých letech věnována značná pozornost [Pier65]. S postupem času se však ukázalo, že srovnatelných výsledků lze dosáhnout podstatně levněji zálohováním na úrovni systému. Proto se v současné době používá záloha na úrovni součástek jen v omezené míře.

218 Nejznámější metodou zálohování jednotlivých součástek je použití čtveřic prvků (angl. guadded logic.) Základní myšlenku tohoto způsobu realizace obvodů znázorňuje obr a Cílem návrhu je vytvořit takové spojení základních součástek, které by bylo necitlivé k jedné poruše typu t 0 nebo t 1.

219 Obr Náhradní schéma spínacího prvku

220 Na obr je zapojení, které nahrazuje funkci jednoho spínacího kontaktu ovládaného logickou proměnnou a. Chceme-li dosáhnout toho, že zapojení toleruje jednu poruchu t1 (zde trvale sepnuto, tedy „slepený“ kontakt), musíme zařadit dva kontakty do série a ovládat je společnou proměnnou. Naopak, chceme-li tolerovat jednu poruchu t0 (neschopnost kontaktu sepnout), musíme spojit dva spínací kontakty paralelně, takže při poruše jednoho z nich může proud procházet alespoň druhým. Odolnost vůči jedné poruše t0 nebo t1 pak dosáhneme paralelním spojením dvou sériových větví podle obr Můžeme se snadno přesvědčit o tom, že toto spojení je odolné i vůči některým dvojicím poruch.

221 Jednu polovodičovou diodu můžeme zálohovat zapojením podle obr , v němž opět dosáhneme toho, že se funkce výsledného obvodu nezmění (nepřihlížíme-li ke změnám vnitřního odporu) při jedné poruše typu t 0 nebo t 1. Stejným způsobem lze zálohovat tranzistory, kombinační logické členy i klopné obvody. Příklady zapojení jsou uvedeny např. v knize [Pier65]. Zálohování čtveřicemi bylo použito např. v orbitální astronomické observatoři OAO. Tato metoda si však nikdy nezískala oblibu především pro značný růst objemu, ceny a spotřeby energie výsledného systému. Velikost systému totiž vzroste proti nezálohovanému provedení přibližně osmkrát, protože se používá čtyřnásobný počet prvků a každý prvek je přibližně dvakrát složitější (např. logické členy mají dvojnásobný počet vstupů ve srovnání s logickými členy nezálohovaného systému).

222 Obr Statické zálohování diody

223 Systém TMR Na systémové úrovni se statická záloha realizuje nejčastěji formou majoritního (tj. většinového) vyhodnocování výstupů několika stejných prvků. Nejjednodušší variantou je spojení tří prvků označované jako třímodulová redundance nebo též systém TMR (Triple Modular Redundant). Zjednodušené schéma systému TMR je na obr , kde F 1, F 2 a F 3 jsou tři stejné funkční jednotky (moduly), které současně provádějí stejné operace se stejnými vstupními vektory X.

224 Obr Struktura systému TMR

225 Na obr je pro názornost hodnota vstupu X rozvedena z jednoho místa, i když v praxi se často dává přednost použití tří nezávislých vstupů (např. tří čidel, měřících tutéž veličinu).

226 Jednobitové výstupy f modulů F jsou přivedeny na vstup majoritního logického členu M, který na svém výstupu vytváří funkci f = f 1 f 2 +f 2 f 3 +f 1 f 3. Má-li každý modul n výstupů, je třeba použít n tří-vstupových majoritních členů, jejichž výstupy vytvoří n-bitový výstupní vektor. Majoritní funkce dokáže pro každý bit samostatně zamaskovat jednu chybu. Objeví- li se tedy na výstupu jednoho modulu chybné hodnoty a na výstupech zbývajících dvou modulů správné hodnoty, „přehlasují“ dva správné výstupy jeden chybný a na výstupu systému se objeví správný vektor.

227 Jestliže naopak dva nebo dokonce všechny tři moduly vytvoří stejné chybné výstupní vektory, přenesou majoritní členy, které se mechanicky přidávají k většině, na své výstupy chybné hodnoty.

228 Na základě uvedených úvah můžeme odvodit základní vztahy pro výpočet hodnot spolehlivostních ukazatelů systému TMR. Budeme předpokládat, že majoritní člen je schopen maskovat jednu poruchu modulu, takže porucha dvou modulů vede vždy k chybě na výstupu systému. To je určité zjednodušení, protože poruchy modulů se mohou v některých případech navzájem kompenzovat. Zpřísněním požadavků na bezporuchovost systému dostaneme dolní odhad pravděpodobnosti bezporuchového provozu, resp. střední doby bezporuchového provozu, takže reálně dosahované hodnoty budou o něco lepší.

229 Jsou-li splněny uvedené předpoklady, můžeme při výpočtu pravděpodobnosti bezporuchového provozu R TMR (t) systému TMR použít vzorec (2.9) z odstavce 2.1. Má-li každý modul pravděpodobnost bezporuchového provozu R(t),dostáváme (11.2.1)

230 Platí-li pro všechny moduly exponenciální zákon s intenzitou poruch λ, nabývá výraz (11.2.1) tvaru (11.2.2) Průběh funkce R TMR (t) podle vzorce (11.2.2) je zakreslen do obr a to společně s exponenciálou, která popisuje průběh hodnot R(t) pro jeden modul.

231 Obr Průběh R(t) pro systém TMR

232 Vidíme, že pro malé hodnoty t leží křivka R TMR (t) nad exponenciálou, což signalizuje, že důsledkem použití třímodelové redundance je zvýšení pravděpodobnosti bezporuchového provozu na počátku činnosti systému. V okamžiku t = 0,7 T s se však obě křivky protínají a s prodlužující se dobou t klesá R TMR (t) rychleji než R(t). To znamená, že od jistého okamžiku je pravděpodobnost bezporuchového provozu systému TMR nižší než pravděpodobnost bezporuchového provozu jednoho modulu. Jakmile totiž přestane být pravděpodobnost současného výskytu poruch ve dvou modulech zanedbatelně malá, roste nebezpečí poruchy systému, protože samoopravný mechanismus nelze dále používat.

233 Integrací výrazu (11.2.2) můžeme odvodit hodnotu střední doby bezporuchového provozu systému TMR (11.2.3)

234 To znamená, že střední doba bezporuchového provozu systému TMR se rovná pouze 83% hodnoty střední doby bezporuchového provozu jednoho modulu. Z toho můžeme odvodit závěr, že systém TMR je použitelný pouze pro krátkodobé úkoly, během nichž potřebujeme výrazně zvýšit pravděpodobnost bezporuchového provozu. To však platí pouze pro neobnovovaný systém, v němž poruchový modul stále dává na svém výstupu chybné hodnoty. Jak jsme však viděli dříve, můžeme tuto nepříjemnou vlastnost systému TMR odstranit tím, že každý modul, v němž se vyskytne porucha, co nejrychleji opravíme a vrátíme do systému.

235 Dosazením získáme pro systém TMR součinitel zvýšení spolehlivosti (11.2.4) Ve výrazech (11.2.1) až (11.2.4) jsme neuvažovali pravděpodobnost bezporuchového provozu majoritního členu. Je-li tento člen dostatečně jednoduchý ve srovnání s moduly, které zálohujeme, lze jeho poruchovost zanedbat a uvedené výrazy zůstávají v platnosti. Je-li však pravděpodobnost jeho bezporuchového provozu R M (t) příliš malá, je třeba jí vynásobit výrazy pro R TMR (t), protože oba podsystémy jsou v sérii.

236 Dostáváme tak upravený výraz (11.2.5) Je-li výsledná hodnota R TMR (t), kterou tímto způsobem dostaneme, příliš malá, je třeba majoritní člen zálohovat podobně jako moduly F i.

237 Příklad takového zapojení systému TMR se zálohovanými majoritními členy je uveden na obr Obr Zálohování majoritních členů v systému TMR

238 Pro toto zapojení můžeme pak odvodit pravděpodobnost bezporuchového provozu tak, že majoritní člen považujeme za sériově předřazený následujícímu modulu, takže místo pravděpodobnosti bezporuchového provozu R(t) dosadíme do vzorce (11.2.1) součin R(t)R M (t). Pro modul F ‘ i přitom předpokládáme stejnou pravděpodobnost bezporuchového provozu jako pro F i. Tím dostáváme (11.2.6)

239 Tím, že za majoritními členy dostáváme tři signály vzniká nový problém a to: kdy a jak se tyto tři signály nakonec spojí. Lze použít jeden výstupní majoritní člen, nebo řídit třemi signály tři akční členy, které společně ovládají určitý prvek řízení soustavy.

240 Systém NMR Spojení většího počtu stejných modulů, jejichž výstupy jsou vyhodnocovány majoritou, vznikne systém NMR, neboli N- modulová redundance. Je to vlastně zobecnění myšlenky systému TMR na větší počet modulů, a proto i schéma zapojení podle obr se systému TMR velmi podobá. Všechny jednotky opět zpracovávají stejná vstupní data podle stejného programu a jejich výstupy jsou přivedeny do majoritního členu, jehož práh je možno popsat vztahem M = (N + 1)/2.

241 Obr Struktura systému NMR

242 Vzhledem k tomu, že majorita jako logická funkce je definována pouze pro lichý počet argumentů, používá se v systému NMR obvykle liché N. Pro sudé N bychom museli místo majoritního členu použít obecný prahový člen s prahem M vyšším než N/2. Bezporuchový stav systému trvá i v tomto případě tak dlouho, dokud většina (resp. nadprahový počet) modulů pracuje správně. To znamená, že maximální počet poruchových modulů, při němž ještě nastává porucha systému, může být N – M. Sečtením pravděpodobností výskytu stavů, které zahrnuje M až N bezporuchových modulů, získáme výraz pro pravděpodobnost bezporuchového provozu systému NMR.

243 Dostaneme: (11.2.7)

244 Při tom jsme použili stejné zjednodušující předpoklady jako při popisu chování systému TMR, proto po dosazení hodnot N = 3 a M = 2 dostaneme výraz (11.2.1).

245 V oblasti platnosti exponenciálního zákona poruch s parametrem λ lze integrací výrazu (11.2.7) odvodit vztah pro střední dobu bezporuchového provozu systému NMR: (11.2.8)

246 Lze dokázat, že součet na pravé straně je pro M ≥ (N + 1)/2 menší než jedna, takže střední doba bezporuchového provozu neobnovovaného systému NMR je kratší než střední doba bezporuchového provozu jednoho modulu. Průběh hodnot R NMR (t) je pro několik lichých N zakreslen do obr

247 Obr Průběh hodnot R NMR (t)

248 Vidíme, že chování všech systémů NMR se navzájem velmi podobá, takže se opět setkáváme se stejným jevem jako u systémů TMR. Křivka pravděpodobnosti bezporuchového provozu se zpočátku přimyká k vodorovné tečně (tím víc, čím vyšší je N), avšak pak následuje prudký pokles pod hodnotu jednoho modulu, přičemž průsečík všech křivek má souřadnice λt = 0,7 T s a R = 0,5. Konvergence R NMR (t) k nule je tím rychlejší, čím větších hodnot nabývá N. Také pro systém NMR tedy platí to, co bylo uvedeno o systému TMR, a co nakonec platí o všech staticky zálohovaných systémech - pokud nejsou obnovovány, jsou použitelné pouze krátkodobě.

249 Hlavní výhoda jejich použití spočívá v dočasném zvýšení hodnoty pravděpodobnosti bezporuchového provozu a ve schopnosti maskovat chyby N – M modulů.

250 Pro úplnost je třeba připomenout, že systém NMR může být v případě výskytu několika poruch rekonfigurován, čímž se jeho vlastnosti zlepší. Pokud se totiž počet bezporuchových modulů nebezpečně přiblíží prahové hodnotě, je výhodnější odpojit poruchové moduly (případně i některé bezporuchové) a snížit odpovídajícím způsobem práh majority. U systému TMR taková rekonfigurace znamená přepnutí na jeden modul, tedy do tzv. simplexního režimu, kdy se kromě poruchového modulu odpojí i jeden ze zbylých bezporuchových modulů (majoritní člen se pak již samozřejmě nepoužívá). Systém s touto schopností se označuje zkratkou TMR/S.

251 Bezporuchové moduly odpojené spolu s poruchovými při rekonfiguraci systému NMR lze použít jako dynamickou zálohu umožňující nahradit některý z pracujících modulů. Postupnými rekonfiguracemi můžeme dojít až k využití posledního funkce schopného modulu v systému. Vybavíme-li touto schopností systém TMR, dostaneme modifikaci označovanou zkratkou TMR/S/S (tj. TMR se dvěma přechody do simplexního režimu). Pravděpodobnost bezporuchového provozu takového systému je stejná jako pravděpodobnost bezporuchového provozu paralelního systému se stejným počtem modulů, protože k poruše systému dojde teprve při výpadku všech modulů.

252 Je však třeba připomenout, že takovýto systém je velmi složitý, protože kromě majoritního členu musí obsahovat přepínač, řadič a kontrolní obvody sledující správnou činnost jednotlivých modulů bez možnosti porovnání výsledků s ostatními moduly.

253 Dynamická záloha Obecné blokové schéma systému s dynamickou zálohou je znázorněno na obr Od statické zálohy se liší především způsobem propojení záložních prvků se zálohovaným. Vyhodnocovací člen zde tvoří dva přepínače (P 1 a P 2 ) a blok řízení přepínačů.

254 Obr Schéma systému s dynamickou zálohou

255 Kromě přepínače výstupů P 2 je ve schématu na obr použit i přepínač vstupů P 1, který je řízen stejným řídicím signálem. Tento přepínač není vždy nutný a v praxi se často nepoužívá, protože dynamické záložní prvky mohou být odpojeny od napájení, takže pro vstupní signál nepředstavují zátěž.

256 Režimy činnosti dynamické zálohy Vzhledem k tomu, že se dynamická záloha používá teprve po poruše základního prvku, máme možnost rozhodnutí, jaký má být režim její činnost v době, kdy není použita. Rozlišujeme tři základní režimy činnosti dynamické zálohy, a to:  nezatížený,  odlehčený,  zatížený.

257 Kritérium pro zařazení zálohy do jedné z těchto kategorií je obvykle výkon záložního prvku. Je-li záložní prvek v době, kdy není použit, zcela odpojen od napájení, je výkon nulový a záloha se nazývá nezatížená (studená) záloha.

258 Opačný extrém kdy záložní prvek pracuje na plný výkon i v době, kdy se jeho výstupní hodnoty nepoužívají, se nazývá zatížená (horká) záloha.

259 Mezi těmito extrémy leží celá řada případů, kdy je záložní prvek v době, kdy není využit, zapnut na snížený výkon. Taková záloha se nazývá odlehčená (vlažná) záloha.

260 Nezatížený režim nejlépe využívá výhod dynamické zálohy, protože systém jako celek má nejmenší spotřebu energie a opotřebení záložního prvku je minimální. Naproti tomu přenesení funkce ze základního prvku na záložní prvek může být spojeno se značnými komplikacemi, protože záložní prvek je třeba nejdříve inicializovat. Proto se v systémech, kde ztráta času, případně porušení informace při inicializaci záložního prvku představuje kritický problém, dává přednost zatížené záloze, která průběžně pracuje na stejném problému jako základní prvek a může kdykoli převzít jeho funkci. Životnost zatížené zálohy je ovšem mnohem menší a spotřeba energie mnohem větší, než u nezatížené zálohy.

261 Odlehčená záloha se používala především v elektronkových systémech, protože tam v případě přepnutí na nezatížený záložní prvek nastává největší časová ztráta při nažhavování katod. Proto se záložní prvky připínaly pouze na žhavení, avšak nezapínalo se anodové napětí. V takovém režimu bylo opotřebení minimální, a přitom byla elektronka schopna podat plný výkon okamžitě po zapnutí anodového napětí. Možnost provozovat dynamickou zálohu jako odlehčenou lze využít u současné technologie. Některé procesory mají oddělené napájení pro vnitřní paměť a pro zbytek procesoru. Po dobu, kdy procesor nepracuje, stačí napájet jen paměť, čímž klesne příkon pouzdra asi na 5% celkové spotřeby, a přitom má procesor k dispozici údaje, které do něj byly vloženy před přepnutím do odlehčeného režimu.

262 Vzhledem k tomu, že v závislosti na výkonu záložního prvku se mění i intenzita jeho poruch, bývá zvykem používat pro specifikaci režimu dynamické zálohy poměr intenzit poruch označovaný jako součinitel odlehčení ν (11.2.9) kde λ 1 je intenzita poruch záložního prvku a λ je intenzita poruch základního prvku.

263 Pro zatíženou zálohu platí λ 1 = λ a tedy ν = 1. U nezatížené zálohy naopak předpokládáme λ 1 = 0, takže platí i ν = 0. Skutečně nulovou hodnotu intenzity poruch však nemůžeme zaručit ani u součástek uložených ve skladu při optimálních skladovacích podmínkách. Tím spíše je nesplnitelný předpoklad nulové intenzity poruch u součástek, které sice nejsou aktivně připojeny (např. na napájecí napětí), avšak jsou vystaveny téměř stejným výkyvům teploty, vlhkosti, otřesům a dalším rušivým vlivům jako součástky aktivního prvku.

264 Praktické zkušenosti ukazují, že vypnutím napájecího napětí se intenzita poruch polovodičových součástek zmenší až desetkrát, takže pro součinitel odlehčení nezatíženého prvku můžeme předpokládat ν = 0,1. Odlehčená záloha je charakterizována součinitelem odlehčení, jehož hodnota leží mezi nulovou a jedničkou.

265 Průběh křivek pravděpodobnosti bezporuchového provozu pro popsané tři stupně zatížení záložního prvku je vyznačen na obr

266 Obr Průběh R(t) pro různé typy dynamické zálohy

267 Pro zatíženou zálohu dostáváme exponenciálu R z (t) shodnou s exponenciálou základního prvku, takže dojde-li v důsledku poruchy v okamžiku t 1 k přepnutí na záložní prvek, je jeho pravděpodobnost bezporuchového provozu pouze zlomkem původní (jednotkové) hodnoty.

268 Pokud je záloha nezatížená, je do okamžiku přepnutí pravděpodobnost bezporuchového provozu přibližně konstantní R n (t) = 1. Po zapnutí na plný výkon klesá tato pravděpodobnost po exponciále, která je posunutým obrazem exponenciály charakterizující pravděpodobnost bezporuchového provozu zatíženého prvku.

269 Křivka R 0 (t) pravděpodobnosti bezporuchového provozu odlehčeného prvku se skládá ze dvou exponenciál, z nichž první klesá od hodnoty R 0 (t) = 1 poněkud mírněji než exponenciála zatíženého prvku (platí λ 1 < λ). V okamžiku přepnutí na plný výkon začne i křivka tohoto záložního prvku klesat stejně rychle jako křivka základního prvku, avšak od hodnoty, na kterou mezi tím klesla pravděpodobnost bezporuchového provozu. Tuto křivku můžeme interpretovat jako úsek exponenciály prvku, který byl v jakémsi fiktivním okamžiku t 2 přepnut z nezatíženého stavu na plný výkon (na obr vyznačeno zlomem střední křivky).

270 Stupeň zatížení záložních prvků má určující význam pro vlastnosti obecného dynamického zálohovaného systému se zatíženými záložními prvky. Ty jsou shodné s vlastnostmi paralelního systému již dříve popsaného, takže např. jeho střední doba bezporuchového provozu roste s harmonickou řadou.

271 Jestliže naopak záložní prvky ponecháme nezatížené, prodlouží se střední doba bezporuchového provozu systému na n – násobek střední doby jednoho prvku, pokud u záložních prvků předpokládáme nulovou intenzitu poruch. Rozdíl vlastností zatíženého a nezatížené zálohy je graficky znázorněn na obr

272 Obr Rozdíl vlastností zatížené a nezatížené zálohy

273 Je však třeba znovu připomenout, že hodnoty T s získané pro součinitel odlehčení ν = 0 představují pouze horní dosažitelnou mez. Ve skutečnosti proto musíme předpokládat hodnoty T s o něco nižší.

274 Duplexní systém Zdvojení důležitých prvků systému je metodou zálohování, která sama dokáže zajistit poměrně vysoký stupeň odolnosti proti poruchám, a přitom při ní nedochází k příliš velkému růstu nákladů. Proto je duplexní architektura v systémech odolných proti poruchám v současné době nejrozšířenější. Z její jednoduchosti však vyplývají i některé nedostatky, které vymezují oblast její použitelnosti. Duplexní systém vždy používá dynamickou zálohu, protože současné využití výstupů dvou prvků není možné. Nelze tedy dosáhnout maskování chyby a řízená soustava je ohrožená chybou nebo výpadkem řídícího signálu během přepínání na záložní prvek.

275 Pro detekci chyb v základním prvku se používají dvě hlavní metody: pravidelné srovnávání výsledků se záložním prvkem a průběžná kontrola bezpečnostním kódem. Je-li záložní prvek odlehčen nebo nezatížen, lze správnou funkci kontrolovat samozřejmě pouze bezpečnostním kódem, protože žádné kontrolní výsledky nejsou k dispozici. Pokud naopak v duplexním systému používáme zatíženou zálohu (což je nejčastější případ), můžeme volit mezi oběma variantami detekce chyb, případně je kombinovat. Blokové schéma duplexního systému je znázorněno na obr

276 Obr Blokové schéma duplexního systému

277 Vidíme, že se velmi podobá obecnému schématu systému s dynamickou zálohou z obr Blok „řízení přepínače“ může být realizován různými způsoby, které pak mají rozhodující vliv na skutečné zapojení systému. Může to být jednoduchý obvodový komparátor, který ve stanovených intervalech srovnává hodnoty na výstupech dvou procesorů, nebo program, který tyto hodnoty porovnává v paměti jednoho nebo obou procesorů. Při takovém srovnání ale nemůžeme zjistit, který prvek způsobil chybu, takže před nastavením přepínače do vhodné polohy musíme získat ještě další informace (např. diagnostickým testem nebo opakováním operace).

278 Dokonalejší způsob řízení přepínače je založen na průběžné kontrole správnosti funkce obou bloků pomocí bezpečnostních kódů. Výstupy hlídačů těchto kódů pak umožňují okamžitě určit, který výsledek je správný, a podle toho nastavit přepínač. I když je tento způsob detekce chyb konstrukčně náročnější, používá se v duplexních systémech (jako ostatně i ve všech ostatních typech číslicových systémů) ve stále větší míře.

279 Vzhledem k tomu, že záložní jednotka je obvykle zatížena, můžeme pro pravděpodobnost bezporuchového provozu R D (t) duplexního systému použít vzorce: ( ) kde R(t) je pravděpodobnost bezporuchového provozu jednoho bloku. Průběh R D (t) za předpokladu, že R(t) sleduje exponenciální zákon, je na obr

280 Obr Průběh R(t) pro duplexní systém

281 V reálných duplexních systémech obvykle zdvojeny i jiné jednotky než procesory, takže systém obsahuje větší počet přepínačů. Zjednodušené schéma systému, v němž je samostatně zdvojen procesor, řadič a disková paměť, je uvedeno na obr

282 Obr Blokové schéma duplexního výpočetního systému

283 V každém přepínači je zde zahrnut i příslušný řídicí blok. Je zřejmé, že systém je provozuschopný, dokud je od každého typu jednotky v provozu alespoň jeden exemplář, takže pro něj platí sériově paralelní model.

284 Biduplexní systém Pro úlohy vyžadující velkou pravděpodobnost bezporuchového provozu a současně i velkou bezpečnost byl navržen tzv. biduplexní systém, nazývaný též systém se zálohovanými dvojicemi (pair and spare). Jeho principální schéma je uvedeno na obr

285 Obr Blokové schéma biduplexního systému

286 Základem jsou dva duplexní podsystémy, které jsou s řízeným procesem spojeny prostřednictvím přepínače. Všechny čtyři bloky řeší přesně stejnou úlohu se stejnými vstupními daty, avšak přepínač přivádí do řízené soustavy výsledky pouze z jednoho z nich. Ostatní bloky jsou použity jako zatížená dynamická záloha.

287 Srovnávací obvod (komparátor) každého z duplexních podsystémů dává přepínači informace o tom, zda příslušné dva bloky pracují stejně. Pokud zjistí že ne, připojí přepínač automaticky na řízený proces druhý podsystém (samozřejmě pokud jeho komparátor signalizuje shodu). Vzhledem k tomu, že druhá dvojice bloků stále zpracovává stejnou úlohu, lze takové přepnutí provést bez rizika, že dojde k časové ztrátě nebo porušení informací.

288 Vzhledem k tomu, že se pro vlastní řídicí funkci z každé dvojice používá vždy jen jeden blok, je biduplexní systém vlastně jen variantou duplexního systému, v němž je kontrola správnosti funkce obou bloků provedena velmi nákladně, tj. dalším zdvojením.

289 Biduplexní architektura nachází široké uplatnění zejména u výpočetních systémů se zvýšenou odolností proti poruchám určených pro zpracování transakcí a pro dopravní zabezpečovací systémy.

290 Záloha typu „M z N“ Při praktickém využití dynamické zálohy bývá obvyklé, že počet záložních bloků je menší, než počet zálohovaných. Tento způsob zálohování se používá tehdy, je- li pro požadovanou funkci třeba použít M stejných jednotek (např. magnetických disků nebo pásek). K nim se připojí jako dynamická záloha několik jednotek navíc, takže dostaneme celkem N jednotek, z nichž pouze M je v provozu. Proto se tento způsob zálohování zkráceně nazývá M z N nebo též paralelní binomický systém (podle způsobu výpočtu pravděpodobnosti bezporuchového provozu).

291

292

293

294

295

296

297

298

299

300

301

302

303 Vzorec pro výpočet pravděpodobnosti bezporuchového provozu systému M z N snadno odvodíme na základě výčtu bezporuchových stavů, které mohou v systému nastat. Jsou to postupně stavy s žádným, jedním, dvěma, až maximálně N – M poruchovými prvky. Je- li R(t) pravděpodobnost bezporuchového provozu jednoho prvku, dostaneme sečtením pravděpodobností výskytu všech bezporuchových stavů ( )

304 Na tomto místě musíme upozornit na rozdíl mezi zálohou typu M z N a systémem NMR, který je statický. I když vzorce ( ) a (11.2.7) jsou stejné, je význam hodnot M a N v obou případech různý. V praxi někdy dochází k tomu, že se dynamická záloha vyčerpá dříve, než jsou odstavené prvky opraveny. V takovém případě porucha každého dalšího bloku znamená omezení funkce schopnosti systému, protože není k dispozici požadovaných M bloků. Systém v takovém případě může pracovat dál pouze v některých úlohách, apod.

305 Hybridní záloha Statická záloha umožňuje maskovat chybu, avšak dokáže zaručit pouze malou životnost systému. Dynamická záloha je naopak vhodná tam, kde potřebujeme vytvořit systém s dlouho životností. Její použití je spojeno s rizikem, že chyby způsobené poruchou aktivního prvku, případně přepínáním na záložní prvek, se přenesou do řízené soustavy. Snaha využít ze statické i z dynamické zálohy pouze jejich výhodné vlastnosti a odstranit podstatnou část jejich nevýhod vedla k vytvoření tzv. hybridní zálohy, která je kombinací obou.

306 Odstranění nevýhod je ovšem provedeno za cenu větší složitosti (a tedy menší spolehlivosti) přepínacího prvku.

307 Nejčastěji používaný typ hybridně zálohovaného systému se označuje zkratkou GMR (Genral Modular Redundant). Blokové schéma systému GMR je na obr Základem tohoto systému je staticky zálohovaný podsystém NMR, jehož majoritní člen má nastavenou prahovou hodnotu M. To znamená, že nejméně M z N trvale zatížených modulů musí pracovat správně, aby majoritní člen byl schopen zamaskovat chyby ostatních.

308 Obr Blokové schéma systému GMR

309 Do řízeného procesu jsou v takovém případě předávány jen platné informace. K systému NMR je připojena dynamická záloha tvořená S moduly. Pokud jsou tyto záložní moduly nezatížené, dosahují velké životnosti, takže při jejich připojení na majoritní člen se pravděpodobnost bezporuchového provozu blíží jedné. Tím je zaručena velká životnost systému jako celku.

310 Při poruše některého z modulů v podsystému NMR se poruchový modul odpojí od majoritního členu a na jeho místo se připojí jeden z modulů dynamické zálohy. Toto přepojení může proběhnout během normální funkce systému, aniž by byla ohrožena správnost výstupních informací. Přepojování se však řídí poměrně složitým algoritmem, takže pro řízení přepínače je třeba použít sekvenční obvod nebo programovatelný procesor. To může mít nepříznivý vliv na cenu, případně i na spolehlivost celého systému.

311 Jestliže se vyskytne porucha v S modulech systému GMR, je postupným přepojováním vyčerpána celá dynamická záloha a zbývá prostý systém NMR. Jeho chování v případě výskytu dalších poruch závisí na dokonalosti algoritmu řízení přepínače. Lze sestavit celou řadu různých takových algoritmů, jejichž cílem je zaručit co nejdéle bezporuchových stav systému. Nabízí se např. postupné snižování prahu majority společně s odpojováním dvojic modulů, popsané již dříve.

312 12.2. Analýza a hodnocení spolehlivosti systémů Základní úlohu při predikci spolehlivosti systému je určení hodnot jeho celkových spolehlivostních ukazatelů ze známých hodnot spolehlivostních ukazatelů prvků a ze způsobu jejich spojení. Tato úloha se řeší s využitím spolehlivostních modelů. Existuje velké množství různých spolehlivostních modelů. Účelem této přednášky není podat jejich vyčerpávající přehled, ale seznámit posluchače s jejich nejdůležitějšími typy a dále s metodikou jejich konstrukce a řešení. Podrobněji je probírána teorie a využití markovských modelů, které jsou základem moderních modelovacích technik v oblasti spolehlivosti výpočetních systémů.

313 Vytvoření modelu je vždy spojeno se zjednodušením modelované skutečnosti, protože abstrahuje od vlastností objektu, které nejsou pro sledovaný účel podstatné. Ve spolehlivostních modelech proto zpravidla rozlišujeme pouze stavy systému důležité z hlediska jeho spolehlivosti (provozuschopný nebo porouchaný). V některých případech se dále uvažují stavy se sníženou bezpečností provozu nebo se sníženým výkonem.

314 Modely systémů s nezávislými prvky U mnoha reálných systémů lze předpokládat nezávislost poruch a popřípadě i nezávislou realizaci oprav jednotlivých prvků. V takovém případě jsou doby do poruchy u jednotlivých prvků nezávislé náhodné veličiny.

315 Spolehlivostní modely systémů s nezávislými prvky jsou relativně jednoduché, a proto v případě, kdy máme možnost volby, jim dáme přednost před jinými typy modelů. Po matematické stránce jsou tyto modely založeny na vztazích pro násobení pravděpodobností nezávislých náhodných jevů (tj. pro pravděpodobností bezporuchového provozu R(t) a poruch Q(t) jednotlivých prvků) a na vztazích pro sčítání pravděpodobností vzájemně se vylučujících jevů (tj. možných stavů systému).

316 Dále uvedeme modely využívané zejména pro neobnovované systémy.

317 Sériový model Tento model používáme v případě, kdy porucha kteréhokoliv prvku způsobí poruchu celku a časové intervaly do poruchy jednotlivých prvků jsou navzájem nezávislé náhodné veličiny. Sériový spolehlivostní model systému složeného z prvků A 1 až A n je na obr

318 A1A1 AnAn A3A3 A2A2 Obr Sériový spolehlivostní model

319 Jestliže známe pravděpodobnosti bezporuchového provozu R i (t) pro každý prvek A i, je výsledná pravděpodobnost bezporuchového provozu R(t) dána jejich součinem. (12.2.1)

320 Pro konstantní intenzitu poruch i každého prvku dostaneme (12.2.2) kde je výsledná intenzita poruch systému, získaná jako součet intenzit poruch prvků i (12.2.3)

321 Sériové spojení prvků se zadanými konstantními intenzitami poruch lze tedy nahradit jedním prvkem s celkovou intenzitou poruch získanou součtem intenzit poruch všech prvků.

322 Střední dobu bezporuchového provozu T s (v anglické literatuře je označována zkratkou MTTF – Mean Time To Failure, nebo též MTBF – Mean Time Between Failures) získáme z (12.2.2) integrací. Pro konstantní intenzity poruch i dostaneme (12.2.4)

323 Pro sériové spojení n shodných prvků s konstantní intenzitou poruch p dostaneme střední dobu bezporuchového provozu (12.2.5)

324 Je třeba poznamenat, že skutečná funkční topologie uvažovaného systému, resp. funkční uspořádání jeho funkčních bloků (resp. jejich zapojení) nemusí být vždy jen sériové.

325 Sériový spolehlivostní model se v souvislosti se systémy odolnými proti poruchám velmi často využívá jako model základní. Např. u elektronického výpočetního či řídicího systému je to deska s plošným spojem, osazená integrovanými obvody. Předpokládáme-li, že porucha kterékoliv součástky způsobí poruchu funkce celé desky, je spolehlivostním modelem sériové spojení součástek.

326 Obvykle se přitom předpokládají konstantní intenzity poruch součástek, získané například z údajů výrobce nebo výpočtem podle nějakého poruchového modelu součástky. Na sériovém spolehlivostním modelu je založena též jedna z nejvyužívanějších výpočetních metodik, americká vojenská norma s označením MIL-HDBK-217. Stručný výtah z této normy (verze MIL-HDBK- 217D) si ukážeme později. Získané intenzity poruch součástek je na základě odvozených vlastností sériového modelu možné sečíst a získat tak výslednou konstantní intenzitu poruch, která charakterizuje spolehlivostní chování analýzovaného modulu jako celku.

327 Paralelní model Paralelní model používáme tehdy, dochází-li k poruše systému pouze při poruše všech jeho prvků. Paralelní spolehlivostní model pro n prvků je znázorněn graficky na obr

328 A1A1 AnAn A2A2 Obr Paralelní spolehlivostní model

329 Jestliže známe pravděpodobnost poruchy Q i (t) pro každý prvek A i a jsou-li poruchy prvků nezávislé, můžeme výslednou pravděpodobnost poruchy Q(t) vyjádřit vztahem (12.2.6)

330 Pro pravděpodobnost bezporuchového provozu lze odvodit výraz (12.2.7)

331

332 Použijeme-li n shodných prvků s konstantní intenzitou poruch p, je možné vyjádřit střední dobu bezporuchového provozu jako (12.2.8)

333 Kombinované modely Ve většině reálných situací je však třeba použít modely složitější. U takových modelů může být spolehlivostní model systému s nezávislými prvky vytvořen vhodnou kombinací sériového a paralelního spojení příslušných funkčních bloků. Pravděpodobnost bezporuchového provozu lze pro kombinovaný systém určit postupnou aplikací vzorců (12.2.1) a (12.2.6) nebo (12.2.7). Postup řešení kombinovaného modelu ukážeme na příkladu modelu neobnovovaného systému podle obr

334 A1A1 A2A2 A3A3 Obr Příklad kombinovaného modelu

335 Jsou dány konstantní intenzity poruch 1, 2, 3 a chce určit například střední dobu bezporuchového provozu T s. Nejprve určíme pravděpodobnost poruchy paralelního spojení prvků A 2 a A 3 Q 23 = Q 2 Q 3 = (1 – R 2 ) (1 – R 3 ) = 1 – R 2 – R 3 + R 2 R 3 Dále určíme výsledné R ze sériového spojení R 1 a R 23 R 23 = 1 – Q 23 = R 2 + R 3 – R 2 R 3 R = R 1 R 23 = R 1 R 2 + R 1 R 3 – R 1 R 2 R 3 Po dosazení časových závislostí R i (t) = exp (- i t) dostaneme R(t) = e -(λ 1 + λ 2 )t + e -(λ 1 + λ 3 )t - e -(λ 1 + λ 2 + λ 3 )t

336 Nakonec určíme střední dobu bezporuchového provozu

337 Speciálním případem kombinovaných modelů je sériově-paralelní model (sériové spojení n bloků, z nichž každý obsahuje paralelní spojení m prvků) a paralelně-sériový model (paralelní spojení m větví o n prvcích). Příslušné vzorce pro R a Q lze jednoduše získat z (12.2.1), (12.2.6), (12.2.7).

338 V této souvislosti je třeba připomenout důležitou větu, vztahující se k blokovýmu spolehlivostním schématům, u kterých lze identifikovat vstupní a výstupní brány : Modelovaný systém je schopný provozu, jestliže v uvažované funkční struktuře existuje alespoň jedna funkční cesta pro přenos signálu (informace) mezi vstupními a výstupními branami.

339 Mohou však existovat systémy o takových strukturách, kdy pojem vstupních a výstupních bran nelze uplatnit. Jejich příkladem mohou být systémy schopné autonomní činnosti, jejichž funkční schopnost a tudíž i spolehlivost posuzujeme podle jejich způsobilosti realizovat jistou množinu systémových funkcí F. Do každého takového systému však musíme dodávat jisté informace I a energii E. Schématické naznačení takového systému je uvedeno na obr

340 Realizovaná množina systémových funkcí F Systém S Vstupní informace I Energetické zdroje E Obr Systém s autonomní činností

341 Pak je aplikaci výše uvedené věty třeba vztáhnout na cestu přenosu energie E či informace I mezi odpovídajícími vstupy do uvažovaného systému a jím realizovanou množinou systémových funkcí F.

342 Význam interakce člověka s umělým systémem Všechny umělé systémy, které v současné době lidstvo užívá, jsou v interakci s člověkem. Člověk přitom může hrát roli operátora umělých systémů, jejich uživatele nebo může působit jako představitel jejich okolí. To platilo též v celé dosavadní historii lidstva a zřejmě bude platit po dlouhou dobu i nadále a to nejen pro systémy technické, ale i jiné (např. organizační). Platí to pochopitelně též bez ohledu na určení těchto systémů, ať je již civilní či vojenské.

343 Přísně vzato, konstrukci umělého, na interakci s člověkem zcela nezávislého systému zatím nedovedeme realizovat a je otázkou diskuse mimo rozsah této knihy, zda a kdy to bude možné. Názory v tomto směru mohou být dosti různé. Pro dostatečně široký obzor úvah budeme tedy vycházet z nezbytnosti interakce člověk – umělý (především technický) systém.

344 Neuspokojivá spolehlivost téměř všech systémů, používaných člověkem během celého vývoje lidstva představuje jeden z hlavních problémů lidské civilizace. Příčinou není pouze nízká spolehlivost a krátká doba životnosti umělých systémů samotných, ale velmi často také chyby lidského činitele pracujícího s takovýmto umělým systémem.

345 Zatímco během technického pokroku se spolehlivost umělých systémů velice zvyšovala, takže v současné době pravděpodobnost poruchy vhodně navržených a vyrobených umělých systémů je velice nízká, pravděpodobnost poruch způsobených nesprávným použitím a chybami operátora systému se s rostoucí komplexností a výkonností umělých systémů prudce zvyšuje.

346 Hlavní důvody vedoucí k této neuspokojivé situaci je možno vidět především ve zvyšujících se požadavcích na schopnosti operátorů, úroveň jejich pozornosti a rychlost jejich reakce.

347 Ztráty způsobené chybami a závadami v umělých systémech nadto obvykle odpovídají jejich výkonnosti, významnosti a hodnotě. V moderních transportních systémech (letadlech, rychlovlacích, obřích lodích a nákladních vozech), rozlehlých elektrárnách, důležitých finančních, bezpečnostních a obraných systémech a v neposlední řadě důležitých medicínských systémech ztráty způsobené jakýmkoli porušením jejich funkce mohou dosáhnout katastrofických rozměrů.

348 Protože nás obecně neobyčejně zajímá funkční spolehlivost a bezpečnost zejména dopravních systémů, musíme si položit otázku, jak se do jejich funkční spolehlivosti a bezpečnosti promítá spolehlivost a bezpečnost této interakce. Je pravdou, že v historii vývoje umělých systémů byla období, kdy funkční spolehlivost a bezpečnost dopravních systémů samých byla poměrně nízká a interakce s lidským činitelem působila jako zajištění (vzpomeňme jen na příslovečného muže s červeným praporkem, varujícího chodce před nebezpečím představovaným prvními samohybnými vozidly).

349 Prudký rozvoj technických systémů v posledních desetiletích a vzestup jejich dokonalosti a složitosti však vedl až k současné situaci, kdy působení lidského činitele se obecně jeví být nejslabším článkem řetězu člověk - umělý systém. Zkušenost i statistika ukazují, že jen velmi malé procento nehod a havárií je ve skutečnosti způsobeno ryze technickými příčinami a za naprostá většina z těchto mimořádných událostí má svůj kořen v nedostatečné funkční spolehlivosti lidského činitele.

350 Přitom ovšem musíme vzít v úvahu, že současné technické systémy operují obecně s mnohem většími energiemi, hmotami a ekonomickými hodnotami, než tomu bylo dříve a i když jejich vlastní funkční spolehlivost bývá značně vysoká, selhání jejich operátorů (nebo též chyby jejich uživatelů) mohou mít (a bohužel často též mají) proto mnohem závažnější důsledky. Příkladů je možno uvést velké množství, od nehod na silnicích a železnicích, přes letecké havárie až po katastrofy v silničních tunelech.

351 Proto je již poměrně dlouho problematika spolehlivosti interakce lidského činitele s technickým systémem předmětem soustředěné pozornosti, u nás i v zahraničí. Zejména se to pak týká spolehlivosti funkce řidičů a pilotů dopravních prostředků, kde se důsledky selhání lidského činitele projevují nejmarkantněji. Americké dopravní statistiky uvádějí, že asi 15% nehod na silnicích v USA je způsobeno poklesem pozornosti řidičů a nástupem tzv. mikro-spánků. Lze soudit, že u nás bude platit podobný údaj, i když oficiální statistiky v tomto směru nejsou k dispozici.

352 Přitom lze navíc konstatovat, že zatím co v průběhu historie se spolehlivost technických systémů samých silně zvýšila díky jejich soustavnému zdokonalování, pokud jde o spolehlivost interakce lidského subjektu s nimi, je situace spíše opačná. To však není tím že by se lidský subjekt postupně stával méně funkce schopný a odolný (zde je to díky výchově a výcviku spíše naopak), ale proto, že v interakci s mnohem výkonnějším technickým systémem jsou na něj kladeny nesrovnatelně větší nároky. Rovněž doba, po kterou se interakce lidského subjektu a technickým systémem nepřetržitě uskutečňuje v průměru silně roste.

353 Na rozdíl od umělých systémů, které, pokud je pro ně zajištěna dostatečná dodávka energie a odvod případných odpadních produktů, mohou fungovat nepřetržitě, lidský subjekt může úspěšně interagovat s umělým systémem pouze po omezenou dobu – pak je nezbytný jeho odpočinek nebo vystřídání.

354 Hlavní požadavky na operátora pracujícího s umělým systém lze shrnut do následujících kategorií: a) požadavky na úroveň pozornosti operátora, b) požadavky na rychlost reakce operátora, c) požadavky na správnost rozhodnutí operátora (splnění těchto požadavků lze ověřovat použitím různých diskriminačních testů).

355 Mezi těmito třemi zmíněnými hlavními kategoriemi spolehlivosti interakce "operátor - technický systém", existují samozřejmě určité korelace. Přímá korelace existuje mezi požadavky na úroveň pozornosti a na rychlost reakce. Operátoři s vysokou úrovní pozornosti mají zpravidla také odpovídající rychlost reakce a to jak na nenadálé, tak na očekávané podněty. Na druhé straně se však mohou objevit případy, kdy rychlá, téměř impulsivní reakce nemusí odpovídat vysokému soustředění a pozornosti operátora. Někteří lidé mohou totiž reagovat velice rychle, přestože jejich pozornost může být do jisté míry rozptýlena nezbytností sledovat mnoho různých objektů. To se může stát v některých situacích zejména u řidičů, strojvedoucích i u pilotů.

356 Vysoká úroveň pozornosti vede také ve většině případů velmi pravděpodobně ke správnému rozhodnutí a naopak, jestliže člověk není dostatečně koncentrován, lze předpokládat poměrně nízkou pravděpodobnost jeho správného rozhodnutí. Na druhé straně ovšem v případě velmi rychlé reakce doprovázené nízkou úrovní pozornosti pravděpodobnost nesprávného rozhodnutí vysoce narůstá. Toto je typické obzvláště při silných překvapení, po nichž může u mnohých lidí dojít k přechodu do situací, blížících se panice. Pravděpodobnost nesprávné reakce pak silně vzrůstá.

357 Snížení úrovně pozornosti jednotlivého operátora může mít různé, vnější i vnitřní příčiny. Některé z nich mají obecný charakter, intenzita ostatních pak závisí především na individualitě operátora.

358 Mezi všeobecné podmínky, způsobujících snížení pozornosti patří: - extrémně dlouhá délka služby jednotlivých operátorů bez přestávky - psychické a fyzické vyčerpání - monotónní scéna či obraz, jenž operátor musí sledovat dlouhou dobu - nutnost současně sledovat větší počet objektů - extrémní teplota, v které musí operátor pracovat (příliš vysoká nebo nízká) - extrémní vlhkost, v které musí operátor pracovat (příliš vysoká nebo nízká) - extrémní tlak vzduchu - zápach, prašnost atd.

359 Také události, odvádějící mysl a pozornost operátora, od hlavních problémů mohou snížit jeho pozornost. Všechny tyto okolnosti v kombinaci s individuálně působícími faktory a eventuální osobní indispozicí operátora mohou způsobit výrazný pokles jeho pozornosti, který případně může vyústit až do nástupu mikro- spánku.

360 Úroveň pozornosti každého lidského subjektu v průběhu jeho interakce s umělým systémem totiž nevyhnutelně postupně klesá, i když tento pokles nemusí mít vždy nutně monotónní charakter. Interakce lidského subjektu s umělým systémem může mít rozličný charakter co do poměru jeho fyzické a duševní zátěže. U moderních systémů roste výrazně podíl zátěže duševní (např. rozdíl mezi způsobem zatížení strojvedoucího parní a moderní automatizované elektrické lokomotivy), nicméně v mnoha případech (zejména v leteckých systémech) může mít fyzická zátěž velký význam.

361 Obecně se sice uvádí, že po 45 až 90 minutách soustředěné, především mentální činnosti pozornost a soustředění lidského subjektu výrazně poklesne, tato hranice je však silně závislá jak na okolnostech a druhu zátěže, tak na individualitě příslušného subjektu, jeho výchově, výcviku, kondici a vnějších podmínkách.

362 Problematika související se spolehlivostí interakce umělý systém - operátor není dosud přes veškeré snahy uspokojivě vyřešena. To je nutno konstatovat i vzdor skutečnosti, že se zavádějí složité umělé systémy s uměle zvyšovanou redundancí, obsahující vysoce kvalitní konstrukční prvky a pečlivě navržený soubor záloh. Nové technologie s prvky umělé inteligence sice tak snižují pravděpodobnost vzniku poruchy a prodlužují i životnost příslušného zařízení, ale zároveň jsou jejich použitím kladeny také větší nároky na schopnosti operátora a spolehlivost jeho funkce (operátorem zde rozumíme lidský subjekt, který řídí nebo jiným způsobem přímo zasahuje do umělého systému).

363 Pod pojmem umělý systém si ovšem můžeme představit nejen transportní systém, jako je např. automobil (osobní či nákladní, autobus), vlak, loď nebo letadlo, ale i rozsáhlé elektrárenské, bezpečnostní a obranné systémy.

364 Na operátora, který pracuje se složitými a výkonnými systémy, jsou obecně kladeny požadavky, zejména co do:  jeho maximální pozornosti a schopnosti soustředění se na daný úkol,  rychlosti řešení vzniklého problému,  správnost vyřešení vzniklého problému.

365 Tyto tři druby požadavků na lidského činitele, působícího v interakci s umělým systémem spolupůsobí s mnoha vnitřními a vnějšími faktory. Mezi nejvýznamnější patří:  psychický a fyzický stav operátora,  délka jeho pracovní doby,  klimatické podmínky, v nichž pracuje (teplota, vlhkost, hluk, prach apod.),  celková kvalita jeho pracovního prostředí,  monotónnost scény nebo obrazu, který musí sledovat,  jiné vlivy odvádějící nebo narušující jeho pozornost.

366 Jako příklad činnosti operátora lze uvést výkon funkce řidiče motorového vozidla. Během jízdy vozidlem je pozornost řidiče jeho nejdůležitější duševní činností. Neustálé prolínání pozorování okolí i panelu vozidla a ovládacích i kontrolních prvků a provádění různých operací (hlavních a vedlejších úkolů při jízdě) je základní prací řidiče. Pokud se řidič přestane věnovat těmto operacím, může dojít k jeho ohrožení, ohrožení posádky jeho vozidla i ostatních účastníků silničního provozu v jeho okolí. Toto nebezpečí je velmi vážné.

367 Statistiky nehodovosti silničního provozu v ČR uvádějí od r více méně stále narůstající počet nehod – viz Tab

368 Rok Počet úrazů Smrtelné úrazy úmrtí do 24 hod po úrazu

369 Následující graf ukazuje, že až do r trend těchto nehod narůstal. Zda po tomto roce jevící se trend poklesu bude mít trvalejší charakter či zda je to jen dočasný výkyv, nelze nyní ještě soudit

370

371 Statistické odhady prováděné v ČR uvádějí, že finanční ztráta, související s jedním smrtelným úrazem činí asi 36,3 mil Kč. V tom jsou však zahrnuty jen tzv. přímé, primární ztráty. Celkové ztráty, zahrnující i sekundární náklady s úrazem spojené v ČR statisticky zpracovávány dosud nebyly. Metodika zahrnování těchto nákladů není ani v zahraničí jednotná, lze však soudit že mohou činit až trojnásobek nákladů přímých.

372 Zhruba lze tedy uvažovat o celkové ztrátě cca 100 mil Kč na jednoho člověka, usmrceného při dopravní nehodě. V celé ČR se tedy jedná o částku cca 1,2x10 11 Kč ročně.

373 Jako jednu z hlavních příčin nehod uvádějí zmíněné statistiky tzv. „nesprávný způsob jízdy“ řidičů motorových vozidel. To je zajisté poměrně široká formulace. Do této kategorie jsou podle údajů policie ČR z r zahrnuty  nevěnování potřebné pozornosti řízení vozidla - asi 28 %  nedodržení bezpečné vzdálenosti za předchozím vozidlem - asi 23,5 %,  nesprávné otáčení nebo couvání -asi 21,5 %,  jízda po nesprávné straně vozovky – asi 27%.

374 V této statistice (ani v mnoha jiných) se ale neuvádí, co způsobilo, že řidič motorového vozidla nevěnoval potřebnou pozornost řízení vozidla nebo proč jel po nesprávné straně vozovky (v protisměru).

375 Statistiky nám tedy většinou neříkají, zda šlo o náhlou indispozici řidiče, jeho nadměrnou únavu nebo pokles pozornosti monotónní jízdou apod. Přitom ovšem právě únava a monotónní jízda má největší vliv na pokles pozornosti a následnou ospalost.

376 Statistiky z USA však uvádějí odhady, že poklesy pozornosti způsobují 10 až 15 % všech nehod (některé evropské statistiky uvádějí, že tento podíl je až 30 %). I když vezmeme v úvahu nižší odhady, dostaneme pro ČR částku cca 12 miliard Kč ročně jen pro ztráty, vyplývající ze smrtelných úrazů. V tom ovšem nejsou započítány škody z ostatních nehod, kdy došlo pouze ke zraněním resp. jen k hmotným škodám. Velmi hrubý odhad ukazuje na srovnatelnou částku.

377 Typické situace, v nichž jednotliví operátoři umělých systémů působí se ovšem značně liší podle druhu uvažovaného systému a způsobu interakce lidského subjektu s ním. Pokusíme se nyní stručně charakterizovat jednotlivé hlavní kategorie těchto situací pro řidiče pozemních dopravních prostředků:

378 Velmi početnou a významnou skupinu tvoří řidiči osobních automobilů. Většinou se jedná o amatéry z velmi širokého okruhu obyvatelstva, mužů i žen, ve věkovém rozpětí od 18 let (někdy i méně) až do velmi vysokého věku (mnohde i přes 80 let). Jejich fyzická i psychická průprava pro řízení vozidla je velmi různá, někteří jezdí denně a s jistou rutinou, jiní jen občas a bez rutiny. Zvláštní podskupinu tvoří řidiči s tělesným postižením. Ti mají většinou svá vozidla speciálně upravena. Ovládání vozidla za jízdy bývá pro ně přesto náročnější a nutně je více namáhá. Obecně však platí, že řízení vozidla klade na všechny řidiče více méně stejné nároky, co se týče potřebné úrovně pozornosti.

379 I když většina z této skupiny řidičů podniká jen poměrně kratší jízdy, kde se poklesy pozornosti únavou z jízdy nemusí příliš projevovat, mnozí z nich však přesto zůstávají za volantem natolik dlouho, že se faktor únavy a poklesu pozornosti již projevuje. Obecně lze soudit, že se tak děje při všech jízdách, delších než asi 150 km, tedy asi nad 2 hod. soustavné jízdy. Mnozí z této skupiny řidičů však podnikají i jízdy značně delší a s faktorem poklesu pozornosti a nebezpečím mikrospánků se nutně střetávají výrazněji, přičemž ovšem sami velmi často působení tohoto faktoru silně podceňují. Statistiky ukazují, že toto je poměrně významnou skupinou příčin nehod, mnohdy velmi vážných.

380 Také u těch řidičů amatérů, kteří nekonají dlouhé jízdy však hrozí nebezpečí plynoucí z poklesu pozornosti, i když většinou ne až do fáze mikro-spánku. Je to zejména v hustém městském provozu, kdy je jejich soustředění na jízdu rušeno jak rozličnými vnějšími vlivy, tak často i nezřetelným a matoucím dopravním značením a nezřídka i vnitřní nekázní osádky vozidla (rušení komunikací se spolucestujícími, telefonování za jízdy bez hand-free setu, kouření apod.)

381 Tento faktor vnějšího i vnitřního rušení může značně snížit úroveň pozornosti zejména u méně rutinovaných řidičů, zpomalit jejich reakční rychlost na vnější podněty (zejména na okrajích zorného pole) a zvýšit pravděpodobnost nesprávné reakce. Pokud je však známo, soustavnému výzkumu tohoto faktoru, přesto, že by si to velmi zasloužil, nebylo dosud věnováno dostatek pozornosti.

382  Další velmi významnou skupinu tvoří řidiči automobilů – profesionálové. Ty lze rozčlenit do několika podskupin, zejména na: o taxikáře, o řidiče vozidel dopravní obsluhy (zejména zásobování), o řidiče sanitek, vozů policie, hasičů a pohotovostních služeb, o řidiče lokálních nákladních vozidel, o řidiče dálkových kamionů. Každá z těchto podskupin má své specifikum a zaslouží si zvláštní pozornosti.

383 Pokud jde o taxikáře, lze soudit že obecně by se mělo jednat o zkušené profesionály, kteří mají vysokou rutinu v denním silničním provozu, především městském, jsou schopni se orientovat i v poměrně konfúzních situacích a faktorem poklesu pozornosti nebudou příliš ohroženi. Ukazuje se však, že – zejména v našich současných podmínkách – v této podskupině se kromě vysoce profesionálních řidičů mohou vyskytovat i řidiči ne dosti zkušení, kteří, zejména jsou-li poháněni snahou zajistit si vyšší zisk větším počtem uskutečněných jízd, si mnohdy počínají na vozovce dosti bezohledně a mohou být zdrojem nebezpečí pro ostatní zejména nepředvídatelností svých reakcí a nedodržováním pravidel silničního provozu. Dále se však také ukazuje, že i vysoce schopní profesionální taxikáři jsou v hustém městském provozu vystaveni únavě a poklesům pozornosti při delším výkonu služby pravděpodobně mnohem více, než řidiči na běžných meziměstských komunikacích.

384 Rovněž řidiči vozidel dopravní obsluhy působí někdy podobným způsobem, zejména málo ohleduplným parkováním při skládání zboží. Poklesy pozornosti únavou z delších jízd pro ně však nejsou typické. Řidiči sanitek, vozů policie, hasičů a pohotovostních služeb bývají naopak většinou opravdu zkušení, výkon služby je však někdy vede k razantnímu a bezohlednému způsobu jízdy. Podobně jako u předchozí podskupiny, i pro ně poklesy pozornosti únavou z delších jízd pro ně nejsou typické.

385 Řidiči lokálních nákladních vozidel naopak nebývají vždy na potřebné úrovni profesionálů. Relativní odolnost a menší zranitelnost jejich vozidel přitom může vést některé z nich k dosti bezohlednému počínání. Jestliže musí vykonávat delší jízdy, mohou být značně vystaveni působení faktoru poklesu pozornosti únavou z jízdy. Toto nebezpečí ještě zvyšuje často velmi málo komfortní interiér jejich řidičských kabin a v nich panující hluk, vibrace a tepelná nepohoda. Lze soudit, že v některých případech se toto nebezpečí u nich může projevovat již při jízdách na několik málo desítek km.

386 Řidiči lokálních nákladních vozidel naopak nebývají vždy na potřebné úrovni profesionálů. Relativní odolnost a menší zranitelnost jejich vozidel přitom může vést některé z nich k dosti bezohlednému počínání. Jestliže musí vykonávat delší jízdy, mohou být značně vystaveni působení faktoru poklesu pozornosti únavou z jízdy. Toto nebezpečí ještě zvyšuje často velmi málo komfortní interiér jejich řidičských kabin a v nich panující hluk, vibrace a tepelná nepohoda. Lze soudit, že v některých případech se toto nebezpečí u nich může projevovat již při jízdách na několik málo desítek km.

387 Řidiči dálkových kamionů jsou poklesem pozornosti a mikro-spánky ohroženi mimořádně. Většinou mají pracovní směny značně dlouhé, 6 i více hodin a ne vždy dodržují režim nezbytných přestávek. Je známo, že velmi zkušení řidiči dálkových kamionů jsou schopni na jim dobře známých rovných úsecích dálnic upadnout do stavu, kdy řídí jen podvědomě a do jisté míry odpočívají, někdy i se skutečně zavřenými očima. Probudí se pak k plnému vědomí po uplynutí doby, po kterou jedou po příslušném rovném úseku. Potíže nastanou, je-li na vozovce neočekávaná překážka – pak na ni takto relaxující řidič nereaguje či reaguje velmi pozdě.

388 Úroveň pozornosti každého lidského subjektu v průběhu jeho interakce s umělým systémem totiž nevyhnutelně postupně klesá, i když tento pokles nemusí mít vždy nutně monotónní charakter.

389 Dříve než se začneme zevrubněji zabývat problémem jevu, který nazýváme mikro- spánkem, musíme si tento pojem poněkud blíže precizovat a definovat. V dosažitelné literatuře můžeme najít množství zcela různých popisů tohoto stavu člověka. Může např. být charakterizován jako stav organismu, ve kterém jsou oči zavřené a bdělost se blíží nule. Někdo zase může rozumět pod pojmem mikro- spánek stav člověka, při kterém bdělost klesá pod určitý limit (hranici).

390 Existuje několik dalších definic mikro- spánku, které se pohybují mezi těmito dvěma základními pojetími. Pro naše účely použijeme definici následující: Mikro-spánek je takový stav lidského organismu, ve kterém mentální bdělost výrazně snížená a pozornost lidského operátora řídícího libovolný umělý systém na jistý vnější stimul klesá po určitou (maximálně akceptovatelnou) dobu pod daný limit.

391 Dále musíme jednoznačně rozlišit, co rozumíme pod pojmem bdělost a co pod pojmem pozornost: Bdělostí (anglicky „vigilance“) budeme nadále rozumět takový stav mozku, ve kterém je většina jeho mentálních funkcí je prováděna správně a včas a správně. Přitom signály z jeho smyslových receptorů jsou přijímány bez skreslení a bez zpoždění a jsou správně vyhodnocovány.

392 Pozorností (anglicky „attention“) pak rozumíme jistou formu bdělosti, při které je specifikovaná část mentálních funkcí koncentrována na určitý objekt.

393 Rozlišení mezi oběma těmito pojmy je velmi důležité. Bdělost vztahujeme tedy k šíře, případně celkově pojímané mentální funkci mozku, zatím co pojem pozornosti vztahujeme na jistou jeho funkci, případně na skupinu těchto funkcí.

394 Ve stavu bdělosti bude lidský operátor může reagovat na všechny přijímané signály. Ve stavu pozornosti je však operátor obvykle koncentrován pouze na sledovanou skupinu přijímaných signálů, které jsou dominantní pro funkce (činnosti), jež mají být vykonány. Ve stavu pozornosti může tedy být citlivost operátora k ostatním, nedominantním (sekundárním) signálům snížena.

395 V jistém smyslu může tedy být pozornost uvažována jako speciální případ bdělosti. Na druhé straně lze též bdělost interpretovat jako souhrn jednotlivých pozorností.

396 Diskuze hranic mezi oběma těmito pojmy je dosud značně otevřená a je do jisté míry mimo zaměření těchto přednášek. Nicméně lze soudit, že budeme-li se na mozek dívat jako na jistý systém, byť mimořádně složitý, je možno jak na jeho bdělost, tak i pozornost na jednotlivé jím sledované jevy pohlížet jako na jisté druhy citlivostí určitých jeho systémových funkcí na změny některých vstupních signálů (podnětů, stimulů).

397 Obdobně jako pro umělé (technické systémy) je pak možno i zde rozvinout aparát jak diferenciálních tak diferenčních citlivostí, podobně, jak jsme to učinili již dříve.

398 Rozdíl je však v tom, že zatím co mírou citlivostí umělého systému jsou poměrně jednoduché a dosti snadno vyčíslitelné výrazy, takový reprezentativní aparát není k dispozici ani pro bdělost, ani pro pozornosti. Protože jejich hodnoty jsou obvykle určovány na základě experimentů na lidech, jsou jako jejich míry, jak uvidíme dále, užívány v podstatě empirické výrazy, výhodné pro reprezentaci reálné situace (např. řidiče vozidla).

399 Podobně jako v umělém systému platí jisté relace mezi jednotlivými v něm uvažovanými citlivostmi, bude něco analogického platit i pro hodnoty aktuální bdělosti jistého subjektu a aktuální hodnoty jeho jednotlivých pozorností.

400 Pro lineární elektrické obvody byla S.K. Mitrou již koncem šedesátých let minulého století dokázána velmi důležitá věta o tzv. invarianci citlivostí. Je možno se domnívat, že též jistá vážená suma aktuálních pozorností daného subjektu bude do jisté míry invariantní a že jeho celková bdělost jí bude jistým způsobem úměrná.

401 Mikro-spánek, podobně jako spánek vůbec je velmi složitým neurofyziologickým jevem, k jehož úplnému objasnění zbývá ještě mnoho výzkumné práce. Procesy spánku, vědomí a pozornosti jsou silně individuální a ovlivnitelné nejen geneticky, ale též celkovým vývojem jednotlivce, jeho výchovou a výcvikem, fyzickou i psychickou kondicí i působením požité stravy či farmak. Při řešení problematiky detekce, analýzy a predikce mikro-spánků a zejména pak prevence mikro-spánků však je takové hlubší poznání jejich podstaty a mechanizmů nezbytné.

402 Předpokládejme nyní pro jednoduchost, že úroveň pozornosti lidského operátora vztažená k jistému vnějšímu stimulu může být měřena nějakou reálnou mírou L AT (z anglického „Level of Attention“) a vyjádřena odpovídajícím reálným číslem.

403 a) minimální přijatelná úroveň L ATmin mentální pozornosti lidského organismu L AT silně závisí na požadavcích, jež je nutno zajistit pro daný systém lidský operátor - umělý systém; b) nežádoucí pokles pozornosti až mikro-spánek může být ohodnocen zejména podle jeho obecné délky t m a jeho intenzity, měřené hloubkou rozdílu aktuální hodnoty pozornosti, oproti minimální její přijatelné hodnotě L ATms min.

404

405

406 Tento předpoklad musí být očividně doplněn respektování několika dalších faktorů, u nichž zejména následující dva lze považovat za podstatné: a) minimální přijatelná úroveň LATmin mentální pozornosti lidského organismu LAT silně závisí na požadavcích, jež je nutno zajistit pro daný systém lidský operátor - umělý systém; b) nežádoucí pokles pozornosti až mikro- spánek může být ohodnocen zejména podle jeho obecné délky tm a jeho intenzity, měřené hloubkou rozdílu aktuální hodnoty pozornosti, oproti minimální její přijatelné hodnotě LATms min.

407 V závislosti na intenzitě poklesu pozornosti LAT mohou zde být rozlišeny následující dva základní stavy: Lehký pokles pozornosti – též zvaný mikrospánek s otevřenýma očima Hluboký pokles pozornosti, též zvaný mikro- spánek se zavřenýma očima. Oba tyto stavy mohou být velmi nebezpečné.

408 V období lehkého poklesu pozornosti, které může trvat poměrně dlouho – mezi časem tLA a časem tms1 – se již začínají projevovat některé negativní důsledky únavy operátora, zejména prodloužení jeho reakční doby a zvýšená pravděpodobnost chybné reakce. V medicínské terminologii se toto období označuje jako stav „relaxace“ (operátor zde počíná podvědomě odpočívat). Rovněž zorný úhel, ve kterém je schopen dobře vnímat sledovanou scénu se zmenšuje. Lze soudit, že jisté změny mohou nastat i v jeho schopnosti reagovat na akustické stimuly.

409 Pokud úroveň pozornosti operátora poklesne až pod hranici LAT min, mluvíme o stavu usínání, tzv. „somnolence“. Zde již operátor není schopen vykonávat spolehlivě funkce kontroly systému mu svěřeného.

410 Po tomto období nastává skutečný mikro- spánek se zavřenýma očima, kdy úroveň pozornosti prudce poklesne až na zbytkovou hodnotu LAT ms min. Operátor zde již nereaguje na běžné podněty a tedy jeho reakční doba RT teoreticky roste nade všechny meze. Možnost jeho kontroly systému je minimální, nicméně, pokud shodou okolností nedojde k havárii, může podvědomě a automaticky vykonávat některé základní kontrolní funkce (např. zkušený řidič dokáže i za tohoto stavu udržet vozidlo na vozovce v přímém směru).

411 Mikro-spánek s otevřenýma očima může trvat značně dlouho a přestože vlastní pozornost operátora je v takovéto situaci stále ještě v rozmezí přijatelné úrovně (jeho skutečné L ATmin < L AT < L ATmin ), může být již tento stav nebezpečný i tím, že tento stav operátora může nenadále zcela změnit ostatní významné parametry (markery) jeho pozornosti a tím silně degradovat jeho schopnost prakticky řídit svěřený umělý systém. Kromě toho, pokud nedojde již v průběhu lehkého mikro-spánku k nehodě, po nějaké době se často lehká forma mikro-spánku mění na mikro-spánek se zavřenýma očima.

412 Tento druh mikro-spánku je částečně podobný normální (běžné) REM fázi skutečného nočního spánku, přestože, na rozdíl od něho trvá pouze velice krátkou dobu (obvykle maximálně sekund). To ovšem při úplném s tím souvisejícím selháním kontroly funkce svěřeného umělého systému může stačit k vzniku havarijní situace. Operátor ve stavu mikro-spánku se zavřenýma očima totiž již nemůže reagovat na jakékoliv stimuly, vyjadřující změny parametrů systému, který až do vzniku mikro- spánku řídil a zejména též na změny jeho okolí.

413 Na obr má naznačený průběh poklesu pozornosti monotónní charakter. To však je velmi silně zjednodušená modelová situace. Ve skutečnosti je tomu tak v laboratoři jen málokdy a v praxi téměř nikdy. Do reálných průběhů poklesů pozornosti operátora v čase zasahují různé další stimuly, které mohou jeho pozornost více-méně náhodně ovlivnit a mnohdy krátkodobě zvýšit. Celý děj pak může mít charakter, jaký je naznačen např. v obr

414

415

416 Úroveň pozornosti lidského operátora, ačkoli je na obr. 1 i 2 vyjádřena skalární hodnotou LAT, reprezentující určitou úroveň pozornosti reálným číslem, musíme však chápat jako značně komplikovaný jev. Pro skutečné vyjádření pozornosti se musí uvažovat velký počet N A T parametrů x i, i=1....NAT, stav lidského mozku, jeho bdělost a možnost přechodu k mikro-spánku charakterizujících.

417 14.3. Základní mechanismy poklesu pozornosti lidského subjektu Pokud je známo, až dosud nejsou mechanizmy pozornosti lidského subjektu, jeho únavy a postupného přechodu do spánku zcela objasněny. Lze soudit, že při procesu pozornosti se v lidském mozku významně uplatňují signálové oscilace, probíhající neustále mezi neurony cortexu (kůra mozková) a thalamem. Tyto výměny signálů probíhají s velmi vysokou paralelitou, jejíž řád lze odhadnout na 10 7 až Thalamo-cortikální signály mají složitý vnitřní synchronismus, který se liší podle úrovně bdělosti a pozornosti

418 Při přechodu do spánku i při něm v tomto synchronismu dochází ke změnám, lze soudit, že při poklesu pozornosti se tento synchronismus zjednodušuje. Thalamo- cortikální oscilace signálů však probíhají neustále, za bdění i ve spánku a to po celou dobu života lidského subjektu. Navenek se projevují složitým elektromagnetickým polem, vyzařovaným z mozku. To se na povrch hlavy promítá jednak elektrickým potenciálem, který je ovšem místně i časově značně proměnný.

419 Zatím co na povrchu svazků axonů, spojujících neurony cortexu s neurony thalamu dosahují po nich se šířící impulsy amplitudy asi 70 mV, na povrch hlavy se elektrické pole jimi vytvořené promítá s útlumem přes 60 dB. Podobně je utlumena průchodem k povrchu hlavy i magnetická složka tohoto pole. Vlastní informace je v jednotlivých thalamo- cortikálních signálových cestách přenášena zřejmě především frekvenční modulací impulsů, šířících se v jednotlivých vláknech. Amplituda impulsů se mění jen málo, významné však jsou korelace mezi signály v jednotlivých cestách.

420 Kromě tohoto zdroje thalamo-cortikálních signálů však zde působí též další mechanizmy vnitřního informačního systému jednotlivých neuronů a to jednak šířením vzruchů podél svazků mikrotubulů tvořících tzv. cytoskelet neuronu (soudí se, že tyto informační cesty mohou pracovat s velmi vysokými kmitočty), jednak poměrně pomalým mechanickým transportem specializovaných biologických nosičů podél axonů. Projevy těchto mechanizmů přenosu informace uvnitř neuronů navenek nebyly však dosud hlouběji zkoumány. Rovněž dosud není známo, jak se v těchto, zřejmě velmi subtilních signálových polích odrážejí celkové stavy mozku, odpovídající jeho pozornosti, resp. jejímu poklesu až mikro-spánku, resp. skutečnému spánku.

421

422 Většina dosavadního úsilí při bádání o bdělosti a spánku se soustředila na analýzu elektrického pole, vyzařovaného na povrch hlavy lidského subjektu. Toto pole má amplitudy signálů několik až několik málo desítek  V a je silně časově i místně proměnné. Je generováno několika desítkami až několika stovkami milionů elementárních generátorů, představovaných jednotlivými thalamo-cortikálními oscilacemi signálů a časové řady, jemu odpovídající je možno považovat za kvazi – periodické a kvazi – stacionární děje, odehrávající se především ve frekvenčním pásmu asi 0,5 až 30 Hz.

423

424 Soubor všech N AT, parametrů x i, reprezentujících pozornost lidského operátora, vytváří vícerozměrný prostor {X} AT. Pozice vektoru pozornosti X AT, v tomto prostoru, reprezentuje kvalitu pozornosti jednotlivého operátora. Pro potřebnou analýzu úrovně pozornosti v prostoru {X} AT mohou být použity metodické nástroje již vyvinuté v oboru tolerancí parametrů systému. Všechny parametry pozornosti závisí na čase t. Ve směru toku času t vektor X AT (t) sleduje jistou N AT -dimenzionální trajektorii Psi AT (t), kterou zde budeme nazývat křivka pozornosti (pro zidealizovaný případ N AT =3 je křivka zobrazena na obr. 14.5).

425

426 Všechny body X AT (t), které odpovídají přijatelné kvalitě pozornosti, vyplňují jistou oblast prostoru {X} AT, zde nazývanou oblastí přijatelné pozornosti R AAT. Tvar a velikost R AAT závisí na individualitě operátora a na jednotlivých požadavcích vzájemného působení člověka a systému. Protože potřebná analýza R AAT a L AT (t) ve vícerozměrném prostoru {X} AT pro N AT > 3 může být velmi pracná, snažíme se toto číslo minimalizovat. Pro účely takové redukce jsou vybírány a analyzovány nejvýznamnější parametry (markery) jednotlivých {X} AT.

427 Určité hodnoty míry vlastností takového zjednodušeného souboru markerů mohou pak být použity pro representaci úrovně pozornosti L AT. Pro typ její časové závislosti, zobrazený na obr. 14.6, může být použita např. absolutní hodnota |L AT |.

428

429 Pro praktickou detekci, analýzu a predikci poklesů pozornosti je však třeba vybrat pouze několik nejvýznamnějších parametrů, které mají všeobecnější charakter. Návrh tohoto výběru je dále naznačen s tím, že jejich plně reprezentativní a kvalitní výběr bude vyžadovat mnohem detailnější analýzu.

430 Předběžně zde budeme uvažovat následující čtyři hlavní markery pozornosti: - dobu poklesu pozornosti pod daný limit, resp. délku mikro-spánku t MS =t ms2 -t ms1 ; - rychlost reakce s r = RT -1 lidského operátora ve stavu poklesu pozornosti, resp. mikro- spánku s otevřenýma očima na neočekávané situace, - nejširší úhel alfa ob v jakém může být pozorována daná scéna při předpokládaném mikro-spánku s otevřenýma očima - pravděpodobnost P cr správné reakce lidského operátora na jistou neočekávanou situaci.

431 Všechny tyto čtyři markery, jenž budeme nazývat primárními markery pozornosti, mohou být měřeny jako reálné hodnoty t MS, s r, ob a P cr, a mohou být považovány za dostatečné pro úvodní popis a klasifikaci úrovně pozornosti. Samozřejmě nejsme schopni nakreslit pro ně čtyř-rozměrný graf odpovídající obr. 14.5, resp Proto se snažíme vyšetřit či a prostoru {X} AT alespoň s přijatelnou přesností aproximovat příslušné dvourozměrné řezy oblastí přijatelné pozornosti R AAT.

432 K tomu lze použít některé metody obecné teorie tolerancí soustav, jež byly popsány dříve, např. metodu řezů. Na základě znalosti takových řezů je pak dalšími metodami, známými z teorie tolerancí, provést aproximaci hranic příslušné oblasti přijatelné pozornosti.

433 Úroveň pozornosti lidského operátora, charakterizovaná v příslušném 4 rozměrném prostoru {X} AT body na příslušné L AT (t) trajektorii, je značně komplexním jevem, ovlivněným četnými nezávisle proměnnými, především časem. Dynamiku vývoje poklesu úrovně pozornosti operátora můžeme charakterizovat průběhem trajektorie L AT (t) v prostoru {X} AT. Body X AT které jsou mimo odpovídající oblast přijatelnosti R AAT odpovídají pak stavům, kdy pozornost operátora poklesla natolik, že její nedostatečná úroveň může způsobit velmi vážné problémy v praxi.

434 To ve skutečnosti netýká pouze problémů dopravních systémů (řízení aut a vlaků, pilotování letadel a navigování lodí), ale také poklesů pozornosti a mikro-spánků operátorů řídících dopravu (obzvláště nebezpečné mohou být mikro-spánky leteckých dispečerů), elektrárny, elektrické sítě, plynové, olejové a vodní distribuční systémy. Všechny takové neočekávané poruchy v řízení zmíněných dopravních systémů, způsobené nedostatečnou spolehlivostí interakce s člověkem mohou být extrémně nebezpečné.

435 Navržené 4 markery pozornosti jsou sice značným zjednodušením skutečné situace, uvažovaný jev však vystihují poměrně dobře. Výše navržené posuzování úrovně pozornosti lidského operátora vybranými čtyřmi markery může být však pro praxi stále ještě příliš složité. Proto pro praktické účely mnohde dáváme přednost skalárnímu vyjádření úrovně pozornosti, např. výrazem

436 L AT = RT -1 P cr /t MS ………..…….(14.1). Zanedbáme-li dobu trvání poklesu pozornosti, resp. mikro-spánku a zorný úhel, dojdeme k dalšímu zjednodušení na L AT = RT -1 P cr …………………….(14.2),

437 případně v krajním přiblížení na L AT = RT -1 ………………..(14.3). Jako jedna z vhodných maximálně zjednodušených měr pozornosti operátora L A se tedy jeví převrácená jeho reakční doby RT (z anglického „Reaction Time“).

438 Hodnota RT je měřena jako časový interval, který uplyne od začátku působení příslušného stimulu (většinou vizuálního či akustického, někdy jejich současnou kombinací, výjimečně i jiného) do ukončení odpovídajícího reakčního pohybu probanda.

439 Detekce aktuálního stavu pozornosti daného subjektu v průběhu jeho služby vyžaduje, aby vhodné metody byly upraveny tak, že budou slučitelné s podmínkami palubní aplikace. To znamená nejen upravit příslušné snímače a detektory tak, aby byly schopny poskytovat potřebná data spolehlivě v průběhu celé služby daného operátora, ale také aby ho nadměrně neobtěžovaly a nebyly tak samy příčinou jeho únavy. Detekce sama musí být pasivní, tzn. že pozornost operátora musí být měřena, aniž to vyžaduje jeho činnost ovládanou vůli. Z toho důvodu nevyhovují systémy tzv. kontaktů mrtvého muže, dosud běžně užívané např. pro strojvedoucí železničních lokomotiv.

440 Hodnotu RT lze sice poměrně dobře přímo měřit v laboratoři, její přímé měření za provozu na palubě či na velínu je prakticky nemožné. Zde je nutno použít vhodné nepřímé metody.

441 Hodnota RT závisí ovšem též na druhu a úrovni stimulu, na příslušného operátora působícího. Dosavadní laboratorní zkušenosti ukazují, že hodnoty RT na akustický podnět jsou poněkud kratší, než hodnoty RT na podněty vizuální. To souvisí s kratší a jednodušší cestou a způsobem zpracování informací, kterou používá lidský mozek pro zpracování akustických signálů ve srovnání s cestou a způsoby zpracování, kterými jsou uskutečňovány vjemy vizuální.

442 Přijatelným kompromisem při výběru zjednodušeného vyjádření úrovně pozornosti, v laboratorních měřeních ještě dosti snadno realizovatelným může být doplnění hodnot RT uvažováním správnosti příslušné reakce probanda. Pak pracujeme se vztahem (14.2). Operátor skutečného systému totiž poměrně často výhody své poměrně rychlé reakce zcela znehodnotit nesprávností svého rozhodnutí, jak na daný podnět reagovat. V laboratoři tuto situaci obvykle simulujeme prezentováním dvou druhů podnětů, např. náhodně se objevující červený či zelený terč ve vizuálním poli probanda nebo nízký a vysoký tón.

443

444

445

446

447 Na palubě dopravního prostředku za provozu použitelnou detekci úrovně pozornosti lidského operátora je možno uskutečnit řadou různých způsobů. Výzkumy posledních let však ukázaly, že: a) jedním z nejúčinnějších prostředků pro detekci, analýzu a predikci očekávaného vývoje stavu bdělosti a pozornosti lidského činitele, operujícího s jakýmkoliv umělým, zejména technickým systémem je rozbor elektomagnetického pole, vyzařovaného celým rozsáhlým souborem nervových drah v mozku, zejména pak drah mezi cortexem a thalamem;

448

449 b) existují i jiné biologické signály, které lze považovat alespoň z části za signifikantní – tj. za tzv. markery pro podobný účel. Mezi ně patří zejména frekvence mžikání očních víček, vibrace rukou na ovládačích systému (volantu, řídicí páce apod.), elektrický odpor a teplota pokožky, výraz obličeje, teplota dechu; c) většinu těchto markerů je však nutno považovat za markery sekundární, podpůrné, protože indikace sledovaného jevu z nich jednak není dostatečně specifická, jednak se mohou projevovat s jistým, někdy i velmi značným (až několika minutovým) zpožděním.

450

451 d) analýzu elektromagnetického pole vyzařovaného mozkem je možno provádět buď na základě jeho magnetické či elektrické složky. Výsledky jsou více-méně rovnocenné, nicméně měření magnetické složky tohoto pole je mnohem obtížnější. Na základě toho se výzkum výše zmíněné problematiky soustředil především na detekci a analýzu tzv. elektroencefalografických signálů (dále jen signály EEG).

452

453 Z celé řady problémů, s nimiž je nutno se vyrovnat při detekci a analýze těchto signálů, prováděné za účelem klasifikace a predikce vývoje stavu pozornosti lidského činitele považujeme za potřebné upozornit zejména na tyto:

454  Měření EEG signálů se sice v medicínské praxi provádí již dlouho, samo je však poměrně obtížné, protože je třeba snímat elektrické potenciály o poměrně velmi malé amplitudě v oblasti velmi nízkých kmitočtů a vyrovnat se přitom s proměnlivým elektrickým odporem mezi pokožkou a elektrodou. Ten se mění s fyzickým a psychickým stavem probanda (měřeného lidského subjektu), s parametry vnějšího prostředí i s časem.  Dále je třeba na hlavě nalézt taková místa, kde je měření dostatečně málo ovlivňováno rušivými signály (v medicínské terminologii tzv. artefakty), produkovanými zejména pohyby obličejových a hlavových svalů i pohyby očí. Lze soudit, že pro účely detekce, analýzy a případné predikce poklesů pozornosti a nástupu mikro-spánků k tomu budou vhodné zejména partie hlavy za ušima. Tam lze též očekávat menší potíže s vlasovou pokrývkou hlavy.

455  Zásadním problémem však zůstává vyřešení techniky snímání tak, aby měření bylo možno konat po dostatečně dlouhou dobu i za provozu v pohybujícím se dopravním prostředku. Podstata tohoto problému není v případných rušivých signálech technického charakteru – dosavadní zkušenosti z měření v jedoucím autě ukázaly, že toto lze poměrně dobře překonat. Rovněž vyvinutá převozná elektronická zařízení se ukázala přijatelně spolehlivá a použitelná. Hlavní část problému tkví v tom, že dosud je nutno používat kontaktních elektrod, jejichž spolehlivá instalace na hlavu pokusné osoby, tzv. probanda je zdlouhavá, pracná a elektrody pochopitelně probanda obtěžují.