Проблеми забезпечення безпеки електронного 5 страница

Осуществление иерархического подхода на практике, например, в отношении распределенной системы (РС) происходит следующем образом. Сначала на множестве компонент системы, куда входит и сама система, посредством шкалы математических моделей индуцируется шкала уровней сложности, содержащая, например, четыре уровня (рис. 4.16а). Представителями уровней сложности являются: безынерционный (комбинационный) преобразователь информации (БП); динамическое устройство (ИУ) (средства автоматики); мультирежимная система (мультирежимное средство автоматики, контроллер или ЭВМ), работающая по последовательному алгоритму; распределенная система, реализующая параллельный алгоритм. В результате с компонентой i-го уровня сопоставляется математическая модель i-го уровня, представляющая собой объединение подмоделей (i - 1)-го уровня. Класс моделей отказов, диагностируемых на i-ом уровне, определяется как нарушение информационных связей между подмоделями (i - 1)-го уровня. Класс отказов самого нижнего уровня – уровня безынерционных преобразователей – определяется, например, как константные нарушения связей между их элементами. Для каждого i-го уровня синтезируются уровневые СД (рис. 4.16б), ориентированные на выделенный уровневый класс отказов. При синтезе используется процедурная математическая модель i-го уровня, отражающая класс отказов. В результате с объектом диагностирования сопоставляются многоуровневые СД, в которых уровневые средства взаимно дополняют друг друга по диагностирующей способности.

Безусловно, описанный вариант подхода является идеализированным. В связи с этим его вряд ли можно представить реализованным на практике именно в таком виде. Его скорее следует рассматривать как некоторый предел, к которому можно стремиться. Обсудим возможные отклонения от идеального варианта.

Прежде всего, отметим, что идеализированный подход предполагает доступность входов и выходов объекта диагностирования на каждом уровне для организации процедур диагностирования. Так, например, если мы разрабатываем тестовые СД для некоторого динамического устройства, то мы должны иметь возможность независимо от состояния других устройств системы подавать на его входы необходимые тестовые сигналы и при этом анализировать выходы данного устройства. Это не всегда возможно обеспечить, а значит, устройство придется проверять в составе системы с учетом накладываемых ею ограничений (об этих проблемах мы поговорим позже в разделе 5). Чаще всего данная проблема возникает для безынерционных преобразователей, которые, как правило, диагностируются в составе соответствующих динамических устройств. Описанное выше, к сожалению, нельзя назвать безобидным явлением, поскольку оно может существенно увеличивать затраты на диагностирование, выражающиеся, например, в длине используемых тестов. Во избежание этого разработчик системы нередко идет даже на некоторое усложнение аппаратуры и, в частности, на расширение вектора наблюдаемых выходов.

Процедура проверки информационных связей может оказаться как достаточно сложной, как, например, при проверке системы обмена с централизованным управлением (подраздел 5.4), так и достаточно простой, когда она сводится к проверке линий связи (соединительных проводов). Попутно отметим неизбежную и неразрешимую неопределенность, возникающую при поиске отказов в проверяемых связях. Действительно, даже в случае полного успеха, когда диагностический эксперимент совершенно точно указывает на отказавшую связь, зачастую остается неясным, с каким конструктивным элементом этот отказ соотнести (выходные цепи передающего устройства, входные цепи принимающего устройства или непосредственно провода связи).

4.4. Организация диагностирования. Безусловные и условные диагностические эксперименты

Прежде всего, отметим, что выше описанный иерархический подход обычно составляет основу не только проектирования средств диагностирования, но и основу их организации. При этом уровневые средства диагностирования формируют заключение о техническом состоянии на основе собственной информации и информации от средств диагностирования предшествующих уровней.

При обсуждении организации диагностирования часто используют понятия «диагностического эксперимента» и «проверки» (элементарной проверки). Надо сказать, что эти понятия носят относительный характер, как, например, понятия «система» и «элемент».

Будем называть диагностическим экспериментом совокупность проверок, в результате которых формируется заключение о техническом состоянии объекта.

Причиной выделения определенной части диагностического эксперимента в элементарную проверку может послужить различие в типе используемых СД, локализованность применения СД в рамках некоторого временного интервала или в рамках некоторого конструктивного или функционального узла и т.п.

Можно выделить два основных подхода к организации диагностического эксперимента – безусловный и условный.

Безусловные алгоритмы технического диагностирования (таблица функций неисправностей)

В этом случае при каждом запуске диагностического эксперимента используются все элементарные проверки, и решение о техническом состоянии объекта принимается по результатам всех этих проверок. При использовании безусловного диагностического эксперимента удобно применять для его описания таблицу, которую обычно называют таблицей функций неисправности (табл. 4.1).

Таблица 4.1.

Проверки	Отказы
e0	e1	…	eN
			…
			…
…
			…

С каждой строкой этой таблицы соотнесена одна из проверок, а с каждым столбцом – один из отказов системы, а точнее, одно из технических состояний системы. Причем первый столбец соотнесен с работоспособным состоянием системы. В клетку (i,j) помещается реакция на i-ую проверку для системы, находящейся в j-ом техническом состоянии. Ясно, что, если j-ый столбец отличается от первого столбца, соответствующего работоспособной системе, то j-ый отказ обнаруживается в данном диагностическом эксперименте, в противном случае – нет. Если j-ый столбец отличается от всех других столбцов, то j-ый отказ диагностируется в данном диагностическом эксперименте. Если j-ый и k-ый столбцы совпадают, то это означает, что соответствующие отказы неразличимы или, как говорят, эквивалентны в рамках данного диагностического эксперимента. Пользуясь этим правилом, можно все множество отказов разбить на классы эквивалентных.

При разработке диагностического эксперимента стараются по возможности оптимизировать результат. Например, ставят целью построить эксперимент, содержащий минимальное число проверок. Возможен и другой подход, если проверки характеризуются, например, разной стоимостью реализации, можно формировать эксперимент с минимальной стоимостью.

Условные алгоритмы технического диагностирования (теория вопросников)

В этом случае последовательность и перечень используемых проверок может уточняться на каждом шаге в зависимости от полученных к этому шагу результатов.

При использовании условного диагностического эксперимента удобно применять для его описания граф (рис. 4.17), который обычно называют диагностическим деревом или деревом решений.

Вершины в этом графе сопоставляются с проверками, а ребра отмечаются получаемыми на эти проверки реакциями и определяют порядок диагностического эксперимента. При построении условного эксперимента также можно ставить вопрос о его оптимизации.

Принцип раскрутки диагностического ядра. Сосредоточенное и распределенное диагностическое ядро

Очень часто условный эксперимент организуется по принципу «раскрутки диагностического ядра». При этом диагностический эксперимент разбивается на последовательные шаги. На каждом шаге в аппаратуре выделяются две части, играющие роли средств и объекта диагностирования для данного шага. При положительном исходе проверки на последующем шаге при необходимости объект включается в состав средств и т.д. На первом шаге роль средств диагностирования выполняет так называемое диагностическое ядро, т.е. незначительная часть аппаратуры, в отношении которой делается предположение об априорной работоспособности. Данное предположение может подкрепляться резервированием этой аппаратуры.

Таблица 4.2.

Отказавшая система	Проверки
1à2	3à4	2à3	4à1
	-
			-
		-
				-

При организации диагностирования распределенных систем, состоящих из набора локальных систем, возможны варианты, называемые сосредоточенным и распределенным диагностическим ядром. В первом случае (рис. 4.18а) одна и та же локальная система, чья аппаратура принята за ядро, используется для диагностирования всех остальных локальных систем. Как вариант может быть использована раскрутка ядра, когда локальная система ядра используется на первом шаге для проверки ядра второй системы. Далее процесс диагностирования может распараллеливаться (рис.4.17 б), когда первая система проверяет ядро третьей, а вторая – ядро четвертой и т.д. Во втором случае процесс диагностирования сразу распадается на параллельные ветви (рис. 4.18 в). Например, первая система проверяет вторую, а третья – четвертую, после чего вторая проверяет третью, а четвертая – первую. Из таблицы 4.2, где приведены результаты проверок такого эксперимента (0 – принято решение о работоспособности, 1 – принято решение о неработоспособности, «-» - может быть принято любое решение) видно, что при отказе любой из систем принимается правильное решение.

Обсудим вопрос о примерном составе диагностического ядра, например, некоторой интегрированной навигационной системы (рис. 4.19). Эта система, кроме нескольких навигационных систем, содержит в своем составе цифровой вычислительный комплекс для комплексной обработки информации (ЦВК КО), прибор связи с потребителями и автоматизированное рабочее место штурмана (АРМШ). Все системы обмениваются информацией через магистральный канал обмена. Прежде всего, отметим, что принцип раскрутки диагностического ядра обычно используется в отношении средств ТД. При этом он определяет последовательность применения имеющихся средств диагностирования. Однако его можно использовать и в отношении средств ФД для определения правил анализа имеющейся диагностической информацией. Рассмотрим первый случай как наиболее распространенный, причем сначала лишь в отношении одной из систем интегрированной НС. При этом важно понимать, что обычно достаточными для целей диагностирования средствами визуализации в виде монитора в интегрированной НС располагает лишь АРМШ. В общем случае любую локальную НС можно представить как состоящую из двух подсистем – измерительной и вычислительной. Эти подсистемы упрощенно представлены на рис. 4.20, где ЦП – центральный процессор, АМ – адаптер магистралей, МО – модуль обмена через магистральный канал интегрированной НС. В современных системах при реализации средств диагностирования и тем более при реализации средств ТД центральную роль играет вычислительная подсистема. При этом средства ТД оформляются как некоторые программы, которые хранятся во флэш-памяти и исполняются процессором после их загрузки в ОЗУ. Отсюда сразу становится ясно, что в диагностическое ядро войдут используемые на первом шаге раскрутки части флэш-памяти, ЦП и ОЗУ. Обычно программу первого шага стараются сделать, как можно, меньше, использовав в ней команды процессора, базовые для следующего шага раскрутки. Таковыми могут быть, например, команды сложения, условного перехода и пересылки. Для того чтобы у оператора интегрированной НС появилась уверенность в работоспособности ядра, результаты его самотестирования могут выводиться на монитор. Если так поступить для каждой системы интегрированной НС, то в состав ядра системы войдет также и модуль обмена. На рис. 4.20 все модули системы, участвующие в диагностическом ядре, отмечены кружком. Если процедуру раскрутки осуществлять независимо во всех системах интегрированной НС, то при N системах будем иметь N «слабых» мест (диагностических ядер). Если после проверки диагностического ядра одной из систем произвести с его использованием проверку остальных диагностических ядер, то «слабое» место будет одно, что является предпочтительным.

4.5. Диагностические экспертные системы

Задача диагностирования современных информационно-управляющих систем достаточно сложна. Причем трудности возникают как при формировании контрольно-диагностической информации, так и при ее анализе. Трудности анализа сопряжены с многочисленностью влияющих на получаемую информацию факторов, сложностью организации вычислительного процесса, наличием целого ряда источников неопределенности в поведении этого процесса. Все это делает целесообразным применение сложных процедур анализа, эвристических приемов, нечетких рассуждений. Кроме того, следует отметить, что, несмотря на то, что в области технической диагностики за несколько последних десятилетий накоплен немалый багаж научных знаний, приходится констатировать, что целый ряд вопросов остается мало изученным. Чаще всего эти пробелы ощущаются при диагностировании сложных технических систем, и тогда решение задачи диагностирования оказывается по силам лишь высококвалифицированным экспертам, располагающим обширным опытом по обслуживанию конкретных систем. В настоящее время нередко на практике стараются заменить экспертов специальными программами, аккумулирующими их знания. Такие программы называются экспертными системами (ЭС), которые представляют собой один из видов систем искусственного интеллекта. ЭС используются не только в диагностических приложениях, но и во многих других прикладных областях (как технических, так и нетехнических), где необходимо принимать те или иные решения. Причем это могут быть как решения, принимаемые в реальном времени, например, при выборе маршрута для транспортного средства или при ведении воздушного боя, так и решения, принимаемые, например, при проектировании некоторой системы или узла. Очень часто ЭС оказывается в позиции консультанта по отношению к лицу, принимающему решение.

Обычно, когда говорят об ЭС, то подразумевают не просто программу, написанную по алгоритму эксперта, но и реализованную особым образом, а именно, в соответствии с так называемой технологией экспертных систем. Прежде чем пояснить, что подразумевается под этой технологией, позволим себе небольшой экскурс в историю программирования. Исторически первым в программировании появился подход, при котором данные и алгоритм их обработки составляют единое целое. На следующем историческом этапе, когда возникла необходимость создания программ для обработки больших массивов данных, данные были отделены от алгоритма, и родилась технология баз данных. В этом случае программа состоит из двух частей – базы данных и системы управления базой данных. База данных – это переменная часть программы, а система управления – постоянная.

Похожим образом появилась на свет и технология ЭС. Она нацелена на обеспечение возможности легкого перепрограммирования (без помощи со стороны профессиональных программистов) ЭС на новое алгоритмическое содержание. Такая возможность представляется очень важной ввиду непостоянства применяемых алгоритмов. Это происходит из-за того, что обычно изменчива даже позиция конкретного эксперта в отношении им же предложенного эвристического алгоритма, а тем более, подчас затруднительно найти даже двух экспертов, чьи бы позиции по одному и тому же вопросу совпадали. В связи с этим программа ЭС разрабатывается как состоящая из двух частей, первая из которых на протяжении всего периода эксплуатации ЭС остается постоянной – это так называемая машина логического вывода, а вторая – носитель знаний экспертов (база знаний) может по желанию пользователя легко изменяться. Для обеспечения легкости модификаций базы знаний ее разработка требует предварительного выбора языка описания знаний или, как принято говорить, модели представления знаний. Возможные варианты моделей описаны в приложении 2. Машина логического вывода разрабатывается как обычная программа, и ее назначение состоит в интерпретации знаний, а именно, в преобразовании знаний записанных на языке использованной модели в алгоритм решения рассматриваемой задачи.

К настоящему моменту для ЭС сложилась определенная архитектура (рис. 4.21), которую составляют следующие компоненты: база знаний (БЗ), рабочая память, машина логического вывода (МЛВ), компонента объяснения результата и интерфейс с пользователем.

База знаний - это совокупность отдельных элементов знаний, которые представляют собой формализованное описание объектов проблемной области, их взаимосвязей, действий над объектами и, возможно, неопределенностей, с которыми эти действия осуществляются.

Формализация описания осуществляется с помощью различных (методов) представления знаний. В качестве моделей представления знаний чаще всего используются либо продукционные правила, либо фреймы, либо семантические сети, либо объектно-ориентированная модель, либо их комбинация. На рис. 4.22 иллюстрируется возможность представления любого алгоритма (а) набором продукционных правил и универсальным алгоритмом логического вывода (б).

Как уже говорилось, машина логического вывода преобразует отдельные элементы знаний в алгоритм эксперта посредством механизма логического вывода.

Рабочая память – предназначена для хранения исходных и промежуточных данных решаемой в текущий момент задачи.

Через интерфейс пользователь вводит знания в ЭС и получает от нее необходимую информацию. В ЭС может быть предусмотрена функция объяснения результата.

ЭС функционирует следующим образом. Пользователь ставит перед ЭС задачу, вводя в ЭС все необходимые исходные данные. ЭС запускает механизм логического вывода, трактуя поставленную задачу как некоторую цель вывода и анализируя все возможные решения и события. При этом вывод строится на основе знаний из БЗ и данных об анализируемом объекте. Вывод прекращается при достижении цели, т.е. получении какой-либо рекомендации.

В случае диагностической ЭС цель вывода – вид отказа (например, или ), присутствующего в системе, а исходные факты, с которыми оперирует ЭС – значения наблюдаемых параметров системы (например, p и q). В простейшем случае при использовании детерминированных продукционных правил эта связь записывается так:

1. Если , то .

2. Если , то .

Рассмотрим более сложный пример, в котором используются нечеткие продукционные правила. Пусть отказ – параметрический, т.е. он состоит в отклонении некоторого параметра Θ диагностируемой системы от своего номинального значения на величину . Пусть одно средство диагностирования указывает на принадлежность значения параметра к нечеткому множеству значений, близких к , а другое – на принадлежность значения параметра к нечеткому множеству значений, близких к . Функции принадлежности для этих нечетких множеств представлены на рис. 4.23.

1. Если номер средства диагностирования равен 1, то Θ близко к .

2. Если номер средства диагностирования равен 2, то Θ близко к .

Пусть наша уверенность в результатах диагностирования используемых средств разная и равна соответственно 0,4 и 0,8. Тогда в соответствии с правилами нечеткого логического вывода Мамдани (Приложение 3) получаем оценку параметра Θ* (рис. 4.24).

Таким образом, оценка параметра принимает промежуточное значение между и .

4.6. Структура средств диагностирования навигационной системы

Структура средств диагностирования, используемых в отношении любой информационно-управляющей системы, в том числе и навигационной, определяется особенностями объекта, на котором она используется, а также этапом жизненного цикла системы [2]. Так, например, если объект или, по крайней мере, сама система необслуживаемые, то и средства диагностирования могут быть только встроенными, когда они являются неотъемлемой частью диагностируемой системой. Если система обслуживаема, то дополнительно к встроенным могут быть использованы внешние средства диагностирования, подключаемые к системе в случае необходимости (рис. 4.25). К их помощи всегда прибегают на этапе изготовления системы, когда в диагностируемой системе могут присутствовать отказы, вызванные ошибками проектирования, диагностирование которых может оказаться существенно более трудным, нежели, например, возникающих в процессе функционирования системы аппаратурных отказов. Также уместны внешние средства и при ремонте системы.

Еще одна особенность НС должна быть обязательно отмечена при обсуждении структуры ее средств диагностирования. Она заключается в том, что НС относится к так называемым системам реального времени, т.е. к таким информационно-управляющим системам, темп работы (темп обработки информации или выработки управляющих сигналов) которых должен быть адекватен темпу измеряемых или управляемых процессов. В случае навигационной системы частота выработки навигационных параметров должна быть адекватна скорости перемещения объекта, в управлении которым она принимает участие. Эта особенность НС влечет за собой определенную организацию вычислений, при которой процессы съема информации с датчиков, обработки информации и выдачи ее потребителям происходят с определенным периодом. Причем в общем случае для разной информации эти периоды различны. На рис.4.26 приведен простейший пример решения с периодом T₀ трех равноприоритетных задач. Здесь прямоугольниками отмечены временные интервалы, на которых решаются задачи обработки информации (Обр.), обмена с внешней средой (Обм.) и диагностирования (Д). На рис. 4.27 приведен более сложный случай, когда исполняется набор разноприоритетных задач в одной из систем НС. Причем задачи одинакового приоритета объединены в потоки (ВЧП – высокочастотный поток, НЧП – низкочастотный поток, ФП – фоновый поток). С каждым потоком соотнесена своя временная диаграмма, где прямоугольниками отмечены временные интервалы, занятые решением задач данного потока. Здесь период НЧП равен T₀, а периоды ВЧП отмечены вертикальными штриховыми линиями. При этом самым высоким приоритетом обладает ВЧП, далее следует НЧП, и самым низким приоритетом обладает ФП. Поток более низкого приоритета запускается после окончания потока с более высоким приоритетом.

Среди прочих задач в НС решаются также и задачи диагностирования. На рис. 4.26 такая задача указана явно. В этом случае можно говорить, что задача диагностирования решается в реальном времени и силами встроенных средств. Однако всё может быть иначе, если по тем или иным причинам используются внешние средства диагностирования (рис. 4.28). При этом в общем случае информация из НС во внешние средства диагностирования может поступать в двух видах – трассы выявленных аномальных событий от встроенных средств диагностирования для проведения постанализа всей диагностической информации в целом и последовательностей отсчетов параметров НС для процедур диагностирования в реальном времени, но уже в составе внешних средств. Кроме того, допускается, чтобы внешние средства диагностирования осуществляли бы не только пассивный анализ
поступающей от НС информации, но и формировали бы в ее адрес необходимые тестовые воздействия. Для формирования окончательного вывода о техническом состоянии НС по результатам диагностирования с использованием внутренних и внешних средств может быть использована интеллектуальная обработка информации на основе ЭС.

Функциональное диагностирование по последовательности отсчетов параметров может быть реализовано различным образом, например, с использованием так называемых наблюдателей (рис. 4.29). Этот вопрос будет подробно рассмотрен в разделе 6. При этом в зависимости от загруженности процессора диагностической системы ФД может быть реализовано как в режиме реального времени, так и в режиме постанализа. В последнем случае предполагается, что в процессе функционирования НС в реальном времени записывает в некоторый файл реализации важных для ее функционирования параметров. Запись осуществляется в виде отсчетов, оцифрованных метками времени, для последующего исследования в режиме постанализа посредством диагностической системы.

Мониторинг временной диаграммы НС

В силу того, что НС относится к числу систем реального времени при их проектировании большое внимание уделяется вопросам формирования корректной временной диаграммы для вычислительного процесса. Как следствие, возникает задача ее мониторинга, содержанием которого является контроль средствами диагностирования ряда параметров временной диаграммы. К числу параметров, которыми характеризуется временная диаграмма НС, можно отнести перечень и последовательность решаемых задач, длительность и периодичность задач и потоков, временную привязку задач в пределах периода и т.п. При мониторинге любое отклонение этих параметров от номинальных значений считается аномальным событием во временной диаграмме. Эти события могут быть следствием отказов аппаратуры и ошибок проектирования, среди которых:

– ошибки прикладного программного обеспечения, приводящие к существенному увеличению продолжительности исполнения программ или их зацикливанию;

– ошибки в программном обеспечении операционной системы реального времени (ОС РВ);

– ошибки проектирования и, в частности, ошибки планирования вычислительного процесса.

Возможны различные подходы к мониторингу временной диаграммы НС, которые можно разбить на две группы – тестовые и функциональные. В первом случае используются, а во втором случае не используются специальные тестовые воздействия для мониторинга временной диаграммы НС. Подход к решению задачи тестового мониторинга будет рассмотрен достаточно подробно в разделе 5, а сейчас коротко остановимся на вопросах функционального мониторинга.

Функциональный мониторинг временной диаграммы НС.

Рассматриваемый вариант функционального мониторинга временной диаграммы характеризуется применением постанализа результатов.

Предполагается, что при реализации вычислений в каждой из систем НС информация о возникающих событиях (имя события, момент появления события, момент завершения события и др.) накапливается в трассе, записываемой в специально отведенную область памяти этой системы. Базовый принцип формирования контрольной информации состоит в фиксации ее с помощью специальных программных вставок в начале и конце программы (рис. 4.30). В результате получаемая трасса имеет вид таблицы (табл. 4.3). Трассы систем НС передаются по каналу мониторинга во внешние средства диагностирования для постанализа.