Проблеми забезпечення безпеки електронного 6 страница

Процедуру постанализа трасс удобно представить как состоящую из двух этапов – предварительной и финальной обработки. На каждом из этих этапов решается своя задача. Задача первого этапа состоит в обнаружении в анализируемой трассе элементарных аномальных событий. На втором этапе на основе анализа обнаруженных событий решается несколько задач:

– уточнение условий эксперимента;

– выбор эталона временной диаграммы, соответствующей этим условиям;

– сопоставление реальной и эталонной временных диаграмм с выделением аномальных событий;

– установление первопричин обнаруженных аномалий.

Условия эксперимента могут быть уточнены, если на анализируемом временном интервале произошли некоторые характерные события: перезапуск процессора, грубая синхронизация, подключение или отключение систем интегрированной НС и т.п. Любое из этих событий порождает временную диаграмму, которая предсказуема, но существенно отличается от номинальной, а, значит, для ее проверки должен быть использован соответствующий эталон. При сопоставлении реальной временной диаграммы с эталонной не может быть точного совпадения, поэтому для анализа может быть выбран нечеткий подход, реализованный на языке нечетких продукционных правил. Применение подхода в общем случае порождает набор нечетких фактов об аномальных событиях.

Решение задачи второго этапа – поиска первопричины обнаруженной аномалии может осуществляться на языке нечетких рассуждений. Причем с каждой аномалией сопоставляется своя цепочка нечеткого логического вывода.

Возможны и другие подходы к мониторингу временной диаграммы и, в частности, с помощью сторожевого таймера. В этом случае сторожевой таймер, настроенный, например, на интервал несколько больший периода низкочастотного потока, запускается процессором в начале каждого периода и в случае пропуска хотя бы одного акта запуска включает сигнализацию об отказе. Возможны и другие приемы мониторинга временной диаграммы, которые, будучи полезными при обнаружении отказов, оказываются мало эффективными при их поиске.

Вопросы

1. Назначение и достоверность средств диагностирования.

2. Модели безынерционных устройств.

3. Динамические модели.

4. Смешанные модели.

5. Иерархический подход к проектированию и организации средств диагностирования

1. Организация диагностирования. Безусловные и условные диагностические эксперименты
2. Диагностические экспертные системы
3. Структура средств диагностирования навигационной системы

5. Методы тестового диагностирования

До сих пор предполагалось, что средства, реализующие тестовые проверки, уже заданы и необходимо лишь их организовать в рамках некоторого диагностического эксперимента. Теперь рассмотрим вопрос о синтезе этих проверок. Надо сказать, что известно достаточно много методов как тестового, так и функционального диагностирования, практическая значимость которых очень различна. Не задаваясь целью охватить весь этот обширный материал, ограничимся обсуждением основных идей, а не конкретных детальных алгоритмов.

Суть любого алгоритма построения тестовой проверки, обнаруживающей некоторый фиксированный отказ очень проста. Необходимо по описанию диагностируемого устройства найти такую входную последовательность, в ответ на которую это устройство при наличии отказа выдает реакцию, отличную от номинальной. Однако поиск тестовой последовательности в общем случае может оказаться достаточно сложным. Далее обсуждаются лишь некоторые известные в этой области предложения. Причем каждый из приводимых алгоритмов построения тестовых СД нацелен лишь на обнаружение отказа, а не на его поиск. Предполагается, что задача поиска отказа всегда может быть решена, например, средствами его обнаружения при соблюдении принципа раскрутки диагностического ядра (подраздел 4.4).

5.1. Тестовое диагностирование безынерционных преобразователей

Поясним правила построения тестовой проверки для безынерционных преобразователей [17]. При этом, очевидно, что простейшим является случай, когда входы и выходы элемента, с которым соотносится рассматриваемый отказ, доступны. Тогда проверкой является пара «входное воздействие – эталонное значение выхода». Причем входное воздействие таково, что реакция устройства при отсутствии и наличии отказа различна. Такое воздействие обычно называют тестовым. Для простоты рассмотрим логический элемент типа «конъюнкция» с двумя входами (рис.4.4), выход которого, как известно, принимает значение единица только, когда значения обоих входов также равны единице. Предположим, что в этом логическом элементе имеет место отказ, состоящий в замыкании его выхода на «землю», т.е. логическое значение выхода тождественно равно нулю. Тогда, очевидно, что проверкой в этом случае является вход-выходная последовательность [(x1=1, x2=1); y =1].

Рассмотрим более сложные примеры. На рис.5.1 представлены два примера аналогового (а) и цифрового (б) функциональных преобразователей, реализующих в определенном смысле похожие функции. Это сделано специально для демонстрации близости идей диагностирования аналоговых и цифровых объектов. Каждый из преобразователей представляет собой комбинацию сумматоров и умножителя (аналоговых или цифровых). Иллюстрируемую идею можно обозначить как идею чувствительного пути. Суть ее состоит в подборе таких тестовых воздействий, при которых возникает чувствительный к рассматриваемому отказу путь от места его
возникновения до выхода. Пусть рассматривается отказ выхода сумматора, выделенного цветом. Модель отказа - формирование постоянного значения напряжения на выходе. Такие отказы называют константными. Чувствительный путь формируется поэлементно от входа к выходу . Сначала надо подобрать такой вход на анализируемом сумматоре, чтобы в точке расположения отказа сформировался сигнал, отличный от значения, формируемого при отказе. Поскольку уровень отказа заранее неизвестен, в точке отказа последовательно во времени формируют два различных значения. Этот факт обозначается символом D. При этом на другом входе сумматора значение сигнала сохраняется постоянным. В результате при работоспособном состоянии сумматора его выход будет изменять свое значение вслед за изменением входа . Поскольку выход сумматора непосредственно не наблюдается, необходимо, чтобы его поведение передавалось на выход преобразователя. Это обеспечивается тем же приемом – сохранением значения входа умножителя, несвязанного с первым сумматором.

Если рассматривать отказ умножителя, то действия при построении тестовой проверки будут несколько иными. Сначала должны быть определены тестовые значения входов умножителя, а затем эти значения должны быть пересчитаны на вход преобразователя.

Аналогичным образом поступаем и в случае цифрового преобразователя (рис. 5.1 б) с той лишь разницей, что фиксируемые на входах значения не произвольны, а для входа логического сумматора значение равно нулю, а для входа логического умножителя оно равно единице.

5.2. Тестовое диагностирование динамических устройств

5.2.1. Тестовое диагностирование дискретных устройств. Общий подход

Ситуация существенным образом осложняется, если объект представляет собой динамическую систему. В том случае он имеет следующую структуру (рис. 4.7), включающую два безынерционных функциональных преобразователя и , а также инерционный блок (интеграторы, задержки, триггеры). Если попытаться следовать букве иерархического подхода, то средства диагностирования для динамического устройства нужно было бы представить как состоящие из двух частей: теста для безынерционных преобразователей и теста для связей между ними, реализуемых через инерционные элементы. Однако реализовать на практике такое предложение, как правило, будет затруднительно, т.к. входные векторы этих преобразователей имеют в своем составе не только независимые входы , на которых можно формировать любые входные сигналы, но также сигналы обратных связей, значения которых определяются внутренним состоянием объекта . В результате процесс формирования требуемых тестовых наборов на входе безынерционных преобразователей превращается в многошаговую процедуру (рис. 5.2), порождающую определенную тестовую последовательность. Начальный отрезок этой последовательности устанавливает объект из начального состояния в тестовое состояние . В этом состоянии на вход объекта подается входной сигнал , а затем полученная реакция устройства в виде его состояния транслируется на выход объекта путем организации соответствующего чувствительного пути. В результате значение выхода объекта будет зависеть от результатов проверки . Проверка связей между безынерционными преобразователями через инерционные элементы составляет второй этап диагностирования, который обычно выполняется попутно с первым.

Пусть тест для безынерционных преобразователей устройства известен и задан двумя множествами для φ – и для δ – , где каждый тестовый входной вектор из множеств и состоит из подвектора внешних входов и подвектора внутреннего состояния, т.е. и требует для своей реализации процедур установки и трансляции. Тогда тестовая входная последовательность для устройства имеет следующую структуру

.

где последний элемент последовательности предназначен для проверки элементов задержки, которая по существу тривиальна и обычно выполняется попутно с проверкой преобразователей.

Нетрудно видеть, что описанная процедура построения теста достаточно сложна, особенно если учесть, что установку и трансляцию придется осуществлять в условиях присутствия отказа. Нетрудно, по-видимому, догадаться, что стремление построить «честный» тест на этом пути приведет нас к весьма продолжительным, а возможно, и недопустимо продолжительным с точки зрения практики проверкам. Конечно, в этом случае будет правильным потребовать от разработчика устройства предусмотреть возможность его установки, если не в любое тестовое, то хотя бы в одно начальное состояние.

5.2.2. Тестовое диагностирование линейных дискретных устройств. Структурный подход

Проблема существенно упрощается в случае линейных устройств, поэтому проиллюстрируем описанные идеи на примере тестового диагностирования устройства из этого класса [15]:

(5.1)

где элементы векторов и матриц принимают значения из множества {0, 1}, т.е. устройство является линейным в поле вычетов по модулю 2 (операция сложения – исключающее ИЛИ).

Установочная последовательность и управляемость устройства

Пусть тест для безынерционных преобразователей φ и δ (рис. 4.8) рассматриваемого устройства представлен двумя соответствующими множествами входных векторов для φ – и для δ – . В линейном устройстве преобразователь φ описывается матрицами F и G, а преобразователь δ матрицей H. Как говорилось выше, каждый тестовый входной вектор из множеств и состоит из подвектора внешних входов u и подвектора внутреннего состояния x и требует для своей реализации процедур установки и трансляции.

Рассмотрим процедуру установки устройства в некоторое заданное тестовое состояние . Запишем выражения для состояния системы на протяжении из n тактов:

Используя блочные матрицы, перепишем последнее выражение для финального состояния, в которое переходит устройство под действием установочной последовательности (u(0), u(1),…, u(n-1)):

Введем матрицу, известную как матрица управляемости, и матрицу-столбец входной последовательности u*:

(5.2)

Отсюда в предположении, что , получаем выражение для вычисления установочной последовательности:

. (5.3)

где верхний индекс «+» означает обращение матрицы, если она квадратная, и псевдообращение матрицы, если она прямоугольная [17].

Таким образом, если матрица управляемости неособенна (критерий управляемости), то с использованием выражений (5.3) для любого состояния может быть вычислена установочная последовательность длиной n. В таких случаях говорят, что устройство полностью управляемо. При этом общее определение управляемости звучит следующим образом.

Устройство управляемо, если для каждого момента времени t₀ найдется такой момент времени t₁ () такой, что для любой пары состояний () существует входная последовательность, переводящая систему из в .

Следует иметь в виду, что для конкретного управляемого устройства установочные последовательности могут иметь длину, меньшую n. Это происходит в тех случаях, когда входы устройства непосредственно связаны со входами многих элементов задержки (интеграторов). Причем когда длина установочной последовательности оказывается равной k < n, то говорят о k- управляемости (k – индекс управляемости).

Транслирующая последовательность и наблюдаемость устройства

Теперь рассмотрим процесс трансляции на выход результатов неправильного срабатывания устройства на тестовом наборе. Эти результаты выражены неправильным вектором состояния, поэтому задача сводится к оценки значения этого вектора. Запишем выражения для выхода устройства на протяжении n тактов:

Преобразуем полученные выражения, перенеся в каждом из них слагаемые, содержащие u, в левую часть:

Обозначим вектор левых частей через и введем матрицу наблюдаемости . В результате получаем

. (5.4)

Если матрица неособенная, то

, (5.5)

Таким образом, если матрица неособенная, то состояние всегда может быть определено (критерий наблюдаемости). В случае, когда критерий выполняется, говорят, что система полностью наблюдаема.

Обращаем внимание на тот факт, что для наблюдаемой системы любая входная последовательность длины n является транслирующей.

Также как и при определении установочных последовательностей для конкретного наблюдаемого устройства транслирующие последовательности могут иметь длину, меньшую n. Это происходит в тех случаях, когда выходы устройства непосредственно связаны с выходами многих элементов задержки (интеграторов). Причем когда длина транслирующей последовательности оказывается равной k < n, то говорят о k-наблюдаемости (k – индекс наблюдаемости).

Для того, чтобы проникнуться в физический смысл свойства наблюдаемости, ниже приводятся примеры трех динамических систем четвертого порядка с двухмерным входным вектором, одна из которых наблюдаема, а две ненаблюдаемы.

Пример 5.1. (наблюдаемая система). Проверим наблюдаемость системы, которая характеризуется матрицами:

; ;.

Определим матрицу наблюдаемости:

.

Определитель этой матрицы не равен нулю, т.е. матрица неособенная. Следовательно, система наблюдаема. Структурная схема системы приведена на рис. 5.3 а, где прямоугольники обозначают элементы задержки, кружки – сумматоры; – вектор состояния; – вектор возмущений, z – измерения (скалярный выход).

Пример 5.2. (ненаблюдаемая система). Проверить наблюдаемость системы, которая характеризуется матрицами:

, , .

Определим матрицу наблюдаемости:

.

Определитель этой матрицы равен нулю, т.е. матрица особенная. Следовательно, система ненаблюдаема. Структурная схема системы приведена на рис. 5.3 б. Из ее анализа легко заметить причину ненаблюдаемости системы. Действительно, сигнал с четвертого элемента задержки не участвует в формировании выхода системы, а значит, его состояние не может быть оценено по измерениям.

Пример 5.3. (ненаблюдаемая система). Проверить наблюдаемость системы, которая характеризуется матрицами:

; ; .

Определим матрицу наблюдаемости

.

Определитель этой матрицы также равен нулю, т.е. матрица особенная. Следовательно, система также ненаблюдаема. Структурная схема системы приведена на рис. 5.3 в. Из ее анализа ненаблюдаемость системы следует не с такой очевидностью, как в предыдущем случае, однако ее также можно заметить. Действительно, четвертый и третий элементы задержки, хотя и участвуют в формировании выхода системы, но представлены при этом суммой своих значений. В результате по измерениям невозможно определить, какой вклад в эту сумму вносит каждое из слагаемых, а значит, и невозможно оценить состояние системы.

Последний пример является достаточно значимым с точки зрения практики. Заметим, что в этом примере при различной динамике фрагментов, выходы которых суммируются, система становится наблюдаемой. Действительно, в рассмотренном примере матрицы динамики фрагментов, выходы которых суммируются, одинаковы и равны нулю (состояние третьего и четвертого элементов задержки не зависят от состояний каких-либо элементов задержки). Однако если матрицу динамики в одном из фрагментов изменить, то система становится наблюдаемой. Этот эффект можно заметить при переходе от третьего примера к первому. В первом примере также суммируются выходы третьего и четвертого элементов задержки, но матрица динамики, включающая четвертый элемент задержки равна единице, а не нулю, как это имеет место во фрагменте с третьим элементом задержки. В результате, как уже отмечалось, система из первого примера наблюдаема.

Не будем приводить подобных примеров для обсуждения свойства управляемости, поскольку придем к похожим выводам. Об этом можно уверенно говорить, основываясь на известном принципе двойственности.

Из всего сказанного можно сделать один очень важный вывод: в линейном устройстве задачи установки и трансляции могут решаться в предположении, что система исправна, поскольку любое отклонение от неправильного функционирования будет обнаружено на одном из последующих n тактов.

Пример 5.1. Построить тест, обнаруживающий одиночные константные отказы в линейном двоичном устройстве, которое является 3-наблюдаемым и 3-управляемым и описывается матрицами:

Это устройство является 3-управляемым и 3-наблюдаемым, поскольку как матрица , так и матрица содержат по 7 линейно независимых столбцов. Эти столбцы образуют матрицы

Тест для преобразователей и задан и приведен в таблице 5.1.

Таблица 5.1.

В соответствии с таблицей первый тестовый переход совершается из нулевого состояния, в которое, как предполагается, устройство устанавливается перед началом работы специальным сигналом. Поэтому необходимо установить устройство последовательно в состояния и , подавая в каждом из них на вход устройства соответствующий тестовый входной набор (010, 100, 111). С использование выражения (5.3) вычислим для каждого из трех тестовых состояний одну из возможных установочных последовательностей:

В результате длина итоговой тестовой последовательности равна 16, а сама последовательность имеет вид:

.

Последние три нулевых вектора предназначены для трансляции на выход результатов последнего тестового перехода.

5.2.3. Тестовое диагностирование линейных дискретных устройств. Абстрактный подход

Рассмотрим задачу тестового диагностирования в случае, когда разработчик не может или не хочет при построении теста для устройства в целом воспользоваться (как это было в подразделе 5.2.2) тестом для его безынерционных преобразователей и определяет класс отказов как всевозможные искажения матриц системы. При этом будем предполагать, что система по-прежнему наблюдаема и управляема и что любой отказ из рассматриваемого класса приводит лишь к искажению матриц диагностируемой системы, но не выводит ее из класса линейных.

Обсуждаемый тест будет состоять из двух частей и . Обе части строятся по описанию исправной системы. Рассмотрим первую часть, под воздействием которой система последовательно проходит через n состояний . Пусть эти состояния образуют базис пространства состояний системы. После установки в каждое из этих состояний система находится в свободном движении (вход равен нулю) на протяжении n тактов, т.е. имеет вид:

,

где - установочная последовательность в , - входная последовательность из n нулей. Последовательность существует, т.к. диагностируемая система управляема.

Вторая часть теста содержит m фрагментов (по числу входов), каждый из которых состоит из входного набора и последовательности , т.е. имеет вид:

В свою очередь, вектор состоит из нулевых компонент, кроме одной, равной единице. При этом набор содержит единицу в i-м разряде.

Покажем, что любое неэквивалентное (приводящее к нарушению отображения вход-выход) искажение матриц F, G, H обнаруживается тестом . Предположим противное, что в системе присутствует искажение из рассматриваемого класса отказов, а реакция системы верна.

Воспользовавшись выражением (5.4) при нулевых входных последовательностях, запишем выражения для выходных последовательностей, формируемых из состояний базиса :