Na análise de sistemas, a redundância é conhecida como a disponibilização de mais de um recurso, normalmente com características semelhantes a outro existente, para a execução de uma mesma tarefa considerada crítica ou prioritária. É usado em sistemas conhecidos como sistemas de segurança e sistemas de sistemas de alta disponibilidade.
Não confundir com segurança perimetral ou segurança operacional"), que está relacionada a intrusões e vulnerabilidades de sistema.
Fracassado
Contenido
Fallo es la interrupción en la función de un sistema, subsistema, parte, dispositivo, componente o elemento que lo forma.
Por su cuantía, un fallo puede ser simple o múltiple.
Por su naturaleza, un fallo puede ser visible o invisible.
• - Un fallo visible implica que la situación ha resultado en un error y este se ha detectado. Un error en un sistema es la representación o manifestación de un fallo cometido en el estado actual o en un estado anterior.
• - Un fallo invisible es un fallo que no da como resultado un error, bien porque no hay error o porque el error no se ha detectado. Un doble fallo, puede dar como resultado una situación correcta, cuando en realidad el sistema es doblemente inseguro. Al tiempo que transcurre entre un fallo y la representación de su error, se denomina latencia del fallo.
Modo degradado
Geralmente, uma falha leva a uma situação chamada modo de operação degradado. Este modo estabelece limitações funcionais, operacionais, técnicas ou de segurança que são estabelecidas em tempo de design.
Sistemas de segurança
Segurança é um conceito muito amplo que inclui tudo o que é necessário para estabelecer uma relação de confiança entre o sistema e o operador.
• - Segurança nas comunicações.
• - Segurança na operação.
Análise de sistemas de emergência
Introdução
Em geral
Na análise de sistemas, a redundância é conhecida como a disponibilização de mais de um recurso, normalmente com características semelhantes a outro existente, para a execução de uma mesma tarefa considerada crítica ou prioritária. É usado em sistemas conhecidos como sistemas de segurança e sistemas de sistemas de alta disponibilidade.
Não confundir com segurança perimetral ou segurança operacional"), que está relacionada a intrusões e vulnerabilidades de sistema.
Fracassado
Contenido
Fallo es la interrupción en la función de un sistema, subsistema, parte, dispositivo, componente o elemento que lo forma.
Por su cuantía, un fallo puede ser simple o múltiple.
Por su naturaleza, un fallo puede ser visible o invisible.
• - Un fallo visible implica que la situación ha resultado en un error y este se ha detectado. Un error en un sistema es la representación o manifestación de un fallo cometido en el estado actual o en un estado anterior.
• - Un fallo invisible es un fallo que no da como resultado un error, bien porque no hay error o porque el error no se ha detectado. Un doble fallo, puede dar como resultado una situación correcta, cuando en realidad el sistema es doblemente inseguro. Al tiempo que transcurre entre un fallo y la representación de su error, se denomina latencia del fallo.
Modo degradado
Geralmente, uma falha leva a uma situação chamada modo de operação degradado. Este modo estabelece limitações funcionais, operacionais, técnicas ou de segurança que são estabelecidas em tempo de design.
Sistemas de segurança
• - Segurança na proteção de dados.
• - Segurança perimetral e controle de acesso.
• - Segurança no armazenamento de dados.
• - Segurança baseada em privilégios e perfis.
• - Segurança de operação em ambientes perigosos.
• - Segurança de uso.
Em geral podemos definir segurança a partir de um conjunto de situações que devem ser evitadas. Para isso, essas situações são definidas e o sistema é analisado matematicamente.
Sistemas de segurança em análise de processos são sistemas nos quais um processo é executado como uma máquina de estados finitos, na qual são definidos os estados permitidos. Os estados possíveis implicam segurança na operação, o que significa saber antecipadamente qual será a situação futura de todos os recursos do sistema. Conhecer antecipadamente todas as variáveis do sistema e seus recursos associados permite uma utilização eficaz e uma operação segura. Além disso, neste modo de operação, o sistema dispõe dos recursos necessários para se movimentar entre os diferentes estados sem interrupções, além daquelas estabelecidas pelas prioridades internas e/ou externas do processo que está sendo executado. Além disso, um sistema de segurança deve prevenir falhas e, no caso de falhas que ocorram, fornecer os meios para garantir que as consequências sejam tão mínimas em termos de danos quanto materialmente possível.
Um sistema de segurança possui a característica que permite que o sistema não cometa erros em caso de falha mesmo quando estiver em modo de operação degradado. Um dos mecanismos utilizados é interromper a operação. Na informática, considera-se que o computador mais seguro é o computador desligado.
Geralmente, os sistemas são protegidos contra uma falha única, mas existem arquiteturas que defendem o sistema contra uma falha dupla.
Os sistemas de segurança são comumente chamados de intrinsecamente seguros, não devendo ser confundidos com sistemas de segurança intrínseca"), uma vez que a segurança é um parâmetro funcional quantificável, como a velocidade, dimensões ou massa de um objeto, fazendo parte de seu projeto e modo de operação.
Integridade
Um sistema é seguro quando é capaz de manter sua integridade em favor da segurança. São estabelecidos critérios quantitativos que avaliam o quão seguro é um sistema através dos Níveis de Integridade de Segurança (SIL; em espanhol, Nível de Integridade de Segurança).
Os mecanismos mais comuns para manter um nível SIL são o mecanismo de falha segura. Este mecanismo consiste no facto de em caso de falha o sistema passar para um modo seguro, conhecido e estável, de forma a não afectar a segurança dos sistemas de ordem superior e, em última instância, a segurança no funcionamento.
Mantêm o nível de segurança dentro de margens que são convencionalmente aceites como toleráveis.
Retornar
Se uma máquina de processo lógico estiver em modo de falha protegido, ela terá os recursos necessários para mudar de estado para um estado seguro. Falhas protegidas são alterações no processo ou arquitetura do sistema que oferecem caminhos de volta de um estado inseguro para um estado seguro. Essas modificações na função normal proporcionam integridade à falha do sistema.
Se uma máquina de estado estiver em uma falha desprotegida, ela não terá recursos para modificar a situação.
A tarefa de retornar a um estado seguro é chamada de reparo e consiste em substituir os elementos defeituosos por outros funcionalmente corretos.
Dependendo de como a substituição é realizada, pode ser:
• - Substituição a quente, caso não seja necessário interromper o serviço.
• - Substituição a frio caso seja necessário desligar a máquina ou uma de suas partes para a intervenção.
Redundância
Las redundancias son el empleo de recursos adicionales a los estrictamente necesarios.
Linguística
Redundâncias linguísticas e repetições resultam em ênfase. Este recurso é eficaz na transmissão de ordens ou instruções entre pessoas.
Teste
Uma verificação é uma verificação de um estado em relação a um estado teórico, modelo ou informação de referência.
As verificações são ferramentas de mitigação de riscos em processos de segurança de qualquer natureza, entendendo risco como a incerteza de que um evento negativo pode ocorrer no âmbito espaço-temporal. A análise de risco avalia as possíveis ameaças a um sistema, a criticidade das consequências e os mecanismos necessários para reduzir ou eliminar esses riscos.
A verificação é um mecanismo natural de segurança e qualidade que consiste na utilização de recursos para verificar a ausência de desvios em um processo ou função em relação à função considerada normal no referido sistema.
A verificação sequencial consiste em utilizar o recurso de tempo para realizar novamente uma tarefa, a fim de verificar se os resultados são os mesmos.
Ao fazer um cálculo matemático extenso, podemos fazê-lo novamente para ter certeza de que o fizemos corretamente. A certeza em termos matemáticos é a probabilidade estatística de que cada uma das operações tenha sido executada corretamente. Trata-se de um mecanismo de autoverificação em que a probabilidade de cometer o mesmo erro em diferentes iterações é considerada zero para uma pessoa com experiência na tarefa.
Na engenharia ferroviária, a verificação sequencial é uma tarefa implícita de segurança, fazendo parte do vocabulário habitual dos sistemas de Comando e Sinalização. O intertravamento controla os pontos através das interfaces Comando e Verificação, nas quais cada ordem de movimentação possui uma verificação associada.
Nas operações espaciais utiliza-se a dupla verificação, que consiste em realizar uma ação, verificando se ela foi feita corretamente duas vezes.
Na aviação civil é utilizado o cross-checking, que consiste em dois tripulantes de cabine verificarem simultaneamente se o seu colega executou corretamente a tarefa correspondente à instrução de segurança transmitida pelo comandante.
Na redundância lógica, os recursos de controle são utilizados para executar tarefas e implementar verificações lógicas que resultam na confirmação completa de que a tarefa foi executada corretamente. Na engenharia ferroviária são utilizadas redundâncias lógicas conhecidas como 2 de 2 e 2 de 3, nas quais dois sistemas trabalhando simultaneamente em paralelo devem oferecer leituras, informações e decisões idênticas para movimentos a serem autorizados.
Redundância Física
A redundância física envolve reservar mais recursos do que o necessário para executar uma tarefa. Isso é chamado de design tolerante a falhas. Esse design evita que a falha de um nó ou link cause uma falha de serviço.
Mecanismos de redundância são usados para resolver situações de:.
• - próprias falhas. Quando o sistema que projetamos apresenta falhas ou danos.
• - falhas de terceiros. As medidas a tomar quando a falha é causada por terceiros, como fornecedores.
Em ambos os casos, são elaborados os chamados Planos de Contingência, que preveem as situações mais desfavoráveis para aplicar os mecanismos de mitigação necessários com base na segurança, disponibilidade e funcionalidade em modo degradado exigidas.
• - redundância em série paralela.
Como resultado, diferentes mecanismos foram criados para proteger topologias massivamente utilizadas, como a rede em árvore. Esta configuração permite atingir um grande número de usuários com poucos níveis hierárquicos. Esses projetos isolam grupos inteiros em caso de falha de um dos nós ou links.
Uma melhoria na disponibilidade para configuração em árvore é o emprego de links redundantes de modo que uma única falha mantenha a funcionalidade. Esta funcionalidade se aplica a ligações de energia, comunicações, proteções e transporte. As redes de telecomunicações são organizadas em torno de configurações em malha com links redundantes. As redes de energia criam malhas para a distribuição segura do abastecimento. A existência de ligações redundantes implica necessariamente a existência de elementos que gerem essas ligações.
• - links sem redundância.
• - links redundantes.
A configuração em anel é um modelo de projeto que mostra um arranjo tal que aparentemente gera um loop infinito dentro de um processo.
Nestes sistemas os links são modificados em tempo real de acordo com as condições de contorno.
Os loops são eliminados, sendo o anel um dispositivo mnemônico teórico.
A configuração em anel é um modelo arquitetônico dinâmico no qual é estabelecida uma árvore com ramos dinamicamente variáveis.
• - Topologia em anel. Conceito.
• - Topologia em anel. Modo principal de trabalho.
• - Topologia em anel. Evento de falha.
• - Topologia em anel. Modo de operação degradado.
A imagem Operação de topologia em anel no modo principal mostra os nós trabalhando no modo normal em um sistema com alocação de link dinâmico.
Em caso de falha, ocorre um reordenamento dos nós com base em links alternativos ou de reserva, ficando a falha em um link inativo aguardando solução. O modo degradado geralmente implica um desequilíbrio de cargas e uma redução na confiabilidade do sistema trabalhando neste modo, uma vez que carece de proteção para um segundo evento de falha.
Sistemas de emergência
Los sistemas de emergencia son una parte vital de los sistemas de seguridad. Son sistemas adicionales pensados para mantenerse a la escucha y actuar solo en condiciones específicas de riesgo declarado.
Por su función permiten tres tareas principalmente.
parada de emergência
A redundância geralmente funciona a favor da operação. Porém, muitos sistemas funcionam para interromper a operação em caso de perigo, quando há dados verificáveis de que a operação resultaria em danos.
Sua função é parar um sistema que esteja com defeito para evitar maiores danos. Esses sistemas garantem a parada dos processos independente das condições de falha.
Os sistemas de emergência utilizam recursos externos ao sistema que protegem, para agir de forma independente, executando tarefas como frenagem, corte de fluidos, interrupção de fornecimento e negação de acesso. A parada pode ser automática ou manual. O sistema pode substituir decisões humanas quando a decisão depende de inúmeras variáveis ao mesmo tempo e deve ser tomada em curtos períodos de tempo. São ferramentas de proteção contra uma falha iminente e são utilizadas em situações perigosas.
Termostatos de emergência são comuns em vasos de pressão instrumentados. Eles são regulados para operar acima da temperatura de um termostato normal de funcionamento. Esta função é uma função de proteção em série, de forma que qualquer uma das intervenções interrompe o fluido, o que evita que um contato gere uma situação insegura.
As ações de emergência são manifestações de um risco declarado, portanto, após a intervenção, o sistema geralmente requer rearmamento, pois a ação do sistema de emergência implica que os sistemas operacionais não atenderam à confiabilidade exigida.
Freio de emergência em ferrovias, freio de emergência e descida em elevadores, frenagem de emergência em veículos, parada de emergência em escadas rolantes, parada de emergência em linhas de produção automáticas. Geralmente todos os sistemas com um movimento associado possuem um mecanismo de parada de emergência.
ignorar
Geralmente estabelecem rotas alternativas em caso de falha dos sistemas principais. Geralmente desabilitam as funções do sistema principal para poder executar funções de forma manual ou semiautomática, mas direcionadas a partir de um controle manual. O termo substituição também é usado.
Evacuação
Eles permitem que as tarefas de evacuação sejam implementadas em um estado seguro após uma falha. Abertura de portas, liberação de fechamentos eletromagnéticos, operação de motores por mecanismos manuais, botes salva-vidas em barcos, saídas de emergência.
Testes funcionais
Os sistemas redundantes possuem uma série de testes funcionais chamados comissionamento. Esses testes verificam se o sistema principal retira recursos da reserva corretamente, nos intervalos estimados, voltando ao normal quando a falha for restaurada. Esses testes verificam todos os estados e intervalos possíveis de todas as variáveis.
Os testes funcionais são por vezes repetidos sistematicamente, para verificar se os sistemas mantêm a sua funcionalidade, especificamente no
sistemas de emergência cujo correto funcionamento é verificado nos protocolos e simulacros realizados de acordo com os planos de emergência.
Resiliência
A resiliência é uma característica de um sistema funcionalmente ativo, pela qual o próprio sistema possui recursos suficientes para se recuperar de falhas, retornando de uma reserva ativa em modo degradado para um sistema principal sem intervenção externa. Dada a natureza extensa da palavra sistema, ela pode ser aplicada a um material "Resiliência (engenharia)"), no que é conhecido como comportamento elástico, a uma pessoa "Resiliência (psicologia)") como a capacidade de superar adversidades, a uma organização como a capacidade de se recuperar após situações desfavoráveis, ou ao meio ambiente
. Num sistema, a resiliência implica que o próprio sistema possua mecanismos de autoconfiguração e autoverificação para restaurar o serviço sem intervenção.
Redundância como fonte de falhas
Existem redundâncias que podem ser a fonte de falhas do sistema.
Fonte primária
A duplicação de informações envolve o uso de um recurso escasso, como armazenamento ou memória, para manter as informações necessárias para um processo.
Os sistemas de qualidade estabelecem que as informações dentro do processo devem ter fontes primárias, para que haja uma única origem da informação. Esta pré-condição permite economia de espaço, revisões periódicas, melhorias e uma atualização da árvore, onde uma revisão na fonte atualiza todo o conteúdo.
Um exemplo de Fonte Primária é a Integridade Referencial utilizada em árvores de dados do tipo SQL, onde um conjunto de dados é acessível graças a uma combinação de referências ou chaves organizadas em uma árvore e onde a chave primária permite o acesso a todas as informações do conjunto de dados. Uma chave secundária permite acesso apenas a parte do conjunto de dados. A inexistência de duas chaves iguais, sejam elas primárias, secundárias ou n-árias, é responsabilidade e tarefa original do projetista em primeira instância e do mecanismo de banco de dados durante a operação.
Equilibrando redundâncias
O balanceamento de redundância é um mecanismo que permite que um sistema como um todo desempenhe melhor sua função.
Se Fn é a confiabilidade do enésimo sistema de uma cadeia e FT é a confiabilidade total. FT=F1*F2*F3*f4.
Utilizando sistemas com redundância desequilibrada, o sistema sempre apresenta menor confiabilidade do que o sistema com menor confiabilidade.
Esta condição implica que o fortalecimento de um segmento de uma cadeia não é eficiente quando existem segmentos mais fracos.
Ao utilizar recursos para melhorar sistemas menos confiáveis, o sistema ganha confiabilidade geral.
Segurança é um conceito muito amplo que inclui tudo o que é necessário para estabelecer uma relação de confiança entre o sistema e o operador.
• - Segurança nas comunicações.
• - Segurança na operação.
• - Segurança na proteção de dados.
• - Segurança perimetral e controle de acesso.
• - Segurança no armazenamento de dados.
• - Segurança baseada em privilégios e perfis.
• - Segurança de operação em ambientes perigosos.
• - Segurança de uso.
Em geral podemos definir segurança a partir de um conjunto de situações que devem ser evitadas. Para isso, essas situações são definidas e o sistema é analisado matematicamente.
Sistemas de segurança em análise de processos são sistemas nos quais um processo é executado como uma máquina de estados finitos, na qual são definidos os estados permitidos. Os estados possíveis implicam segurança na operação, o que significa saber antecipadamente qual será a situação futura de todos os recursos do sistema. Conhecer antecipadamente todas as variáveis do sistema e seus recursos associados permite uma utilização eficaz e uma operação segura. Além disso, neste modo de operação, o sistema dispõe dos recursos necessários para se movimentar entre os diferentes estados sem interrupções, além daquelas estabelecidas pelas prioridades internas e/ou externas do processo que está sendo executado. Além disso, um sistema de segurança deve prevenir falhas e, no caso de falhas que ocorram, fornecer os meios para garantir que as consequências sejam tão mínimas em termos de danos quanto materialmente possível.
Um sistema de segurança possui a característica que permite que o sistema não cometa erros em caso de falha mesmo quando estiver em modo de operação degradado. Um dos mecanismos utilizados é interromper a operação. Na informática, considera-se que o computador mais seguro é o computador desligado.
Geralmente, os sistemas são protegidos contra uma falha única, mas existem arquiteturas que defendem o sistema contra uma falha dupla.
Os sistemas de segurança são comumente chamados de intrinsecamente seguros, não devendo ser confundidos com sistemas de segurança intrínseca"), uma vez que a segurança é um parâmetro funcional quantificável, como a velocidade, dimensões ou massa de um objeto, fazendo parte de seu projeto e modo de operação.
Integridade
Um sistema é seguro quando é capaz de manter sua integridade em favor da segurança. São estabelecidos critérios quantitativos que avaliam o quão seguro é um sistema através dos Níveis de Integridade de Segurança (SIL; em espanhol, Nível de Integridade de Segurança).
Os mecanismos mais comuns para manter um nível SIL são o mecanismo de falha segura. Este mecanismo consiste no facto de em caso de falha o sistema passar para um modo seguro, conhecido e estável, de forma a não afectar a segurança dos sistemas de ordem superior e, em última instância, a segurança no funcionamento.
Mantêm o nível de segurança dentro de margens que são convencionalmente aceites como toleráveis.
Retornar
Se uma máquina de processo lógico estiver em modo de falha protegido, ela terá os recursos necessários para mudar de estado para um estado seguro. Falhas protegidas são alterações no processo ou arquitetura do sistema que oferecem caminhos de volta de um estado inseguro para um estado seguro. Essas modificações na função normal proporcionam integridade à falha do sistema.
Se uma máquina de estado estiver em uma falha desprotegida, ela não terá recursos para modificar a situação.
A tarefa de retornar a um estado seguro é chamada de reparo e consiste em substituir os elementos defeituosos por outros funcionalmente corretos.
Dependendo de como a substituição é realizada, pode ser:
• - Substituição a quente, caso não seja necessário interromper o serviço.
• - Substituição a frio caso seja necessário desligar a máquina ou uma de suas partes para a intervenção.
Redundância
Las redundancias son el empleo de recursos adicionales a los estrictamente necesarios.
Linguística
Redundâncias linguísticas e repetições resultam em ênfase. Este recurso é eficaz na transmissão de ordens ou instruções entre pessoas.
Teste
Uma verificação é uma verificação de um estado em relação a um estado teórico, modelo ou informação de referência.
As verificações são ferramentas de mitigação de riscos em processos de segurança de qualquer natureza, entendendo risco como a incerteza de que um evento negativo pode ocorrer no âmbito espaço-temporal. A análise de risco avalia as possíveis ameaças a um sistema, a criticidade das consequências e os mecanismos necessários para reduzir ou eliminar esses riscos.
A verificação é um mecanismo natural de segurança e qualidade que consiste na utilização de recursos para verificar a ausência de desvios em um processo ou função em relação à função considerada normal no referido sistema.
A verificação sequencial consiste em utilizar o recurso de tempo para realizar novamente uma tarefa, a fim de verificar se os resultados são os mesmos.
Ao fazer um cálculo matemático extenso, podemos fazê-lo novamente para ter certeza de que o fizemos corretamente. A certeza em termos matemáticos é a probabilidade estatística de que cada uma das operações tenha sido executada corretamente. Trata-se de um mecanismo de autoverificação em que a probabilidade de cometer o mesmo erro em diferentes iterações é considerada zero para uma pessoa com experiência na tarefa.
Na engenharia ferroviária, a verificação sequencial é uma tarefa implícita de segurança, fazendo parte do vocabulário habitual dos sistemas de Comando e Sinalização. O intertravamento controla os pontos através das interfaces Comando e Verificação, nas quais cada ordem de movimentação possui uma verificação associada.
Nas operações espaciais utiliza-se a dupla verificação, que consiste em realizar uma ação, verificando se ela foi feita corretamente duas vezes.
Na aviação civil é utilizado o cross-checking, que consiste em dois tripulantes de cabine verificarem simultaneamente se o seu colega executou corretamente a tarefa correspondente à instrução de segurança transmitida pelo comandante.
Na redundância lógica, os recursos de controle são utilizados para executar tarefas e implementar verificações lógicas que resultam na confirmação completa de que a tarefa foi executada corretamente. Na engenharia ferroviária são utilizadas redundâncias lógicas conhecidas como 2 de 2 e 2 de 3, nas quais dois sistemas trabalhando simultaneamente em paralelo devem oferecer leituras, informações e decisões idênticas para movimentos a serem autorizados.
Redundância Física
A redundância física envolve reservar mais recursos do que o necessário para executar uma tarefa. Isso é chamado de design tolerante a falhas. Esse design evita que a falha de um nó ou link cause uma falha de serviço.
Mecanismos de redundância são usados para resolver situações de:.
• - próprias falhas. Quando o sistema que projetamos apresenta falhas ou danos.
• - falhas de terceiros. As medidas a tomar quando a falha é causada por terceiros, como fornecedores.
Em ambos os casos, são elaborados os chamados Planos de Contingência, que preveem as situações mais desfavoráveis para aplicar os mecanismos de mitigação necessários com base na segurança, disponibilidade e funcionalidade em modo degradado exigidas.
• - redundância em série paralela.
Como resultado, diferentes mecanismos foram criados para proteger topologias massivamente utilizadas, como a rede em árvore. Esta configuração permite atingir um grande número de usuários com poucos níveis hierárquicos. Esses projetos isolam grupos inteiros em caso de falha de um dos nós ou links.
Uma melhoria na disponibilidade para configuração em árvore é o emprego de links redundantes de modo que uma única falha mantenha a funcionalidade. Esta funcionalidade se aplica a ligações de energia, comunicações, proteções e transporte. As redes de telecomunicações são organizadas em torno de configurações em malha com links redundantes. As redes de energia criam malhas para a distribuição segura do abastecimento. A existência de ligações redundantes implica necessariamente a existência de elementos que gerem essas ligações.
• - links sem redundância.
• - links redundantes.
A configuração em anel é um modelo de projeto que mostra um arranjo tal que aparentemente gera um loop infinito dentro de um processo.
Nestes sistemas os links são modificados em tempo real de acordo com as condições de contorno.
Os loops são eliminados, sendo o anel um dispositivo mnemônico teórico.
A configuração em anel é um modelo arquitetônico dinâmico no qual é estabelecida uma árvore com ramos dinamicamente variáveis.
• - Topologia em anel. Conceito.
• - Topologia em anel. Modo principal de trabalho.
• - Topologia em anel. Evento de falha.
• - Topologia em anel. Modo de operação degradado.
A imagem Operação de topologia em anel no modo principal mostra os nós trabalhando no modo normal em um sistema com alocação de link dinâmico.
Em caso de falha, ocorre um reordenamento dos nós com base em links alternativos ou de reserva, ficando a falha em um link inativo aguardando solução. O modo degradado geralmente implica um desequilíbrio de cargas e uma redução na confiabilidade do sistema trabalhando neste modo, uma vez que carece de proteção para um segundo evento de falha.
Sistemas de emergência
Los sistemas de emergencia son una parte vital de los sistemas de seguridad. Son sistemas adicionales pensados para mantenerse a la escucha y actuar solo en condiciones específicas de riesgo declarado.
Por su función permiten tres tareas principalmente.
parada de emergência
A redundância geralmente funciona a favor da operação. Porém, muitos sistemas funcionam para interromper a operação em caso de perigo, quando há dados verificáveis de que a operação resultaria em danos.
Sua função é parar um sistema que esteja com defeito para evitar maiores danos. Esses sistemas garantem a parada dos processos independente das condições de falha.
Os sistemas de emergência utilizam recursos externos ao sistema que protegem, para agir de forma independente, executando tarefas como frenagem, corte de fluidos, interrupção de fornecimento e negação de acesso. A parada pode ser automática ou manual. O sistema pode substituir decisões humanas quando a decisão depende de inúmeras variáveis ao mesmo tempo e deve ser tomada em curtos períodos de tempo. São ferramentas de proteção contra uma falha iminente e são utilizadas em situações perigosas.
Termostatos de emergência são comuns em vasos de pressão instrumentados. Eles são regulados para operar acima da temperatura de um termostato normal de funcionamento. Esta função é uma função de proteção em série, de forma que qualquer uma das intervenções interrompe o fluido, o que evita que um contato gere uma situação insegura.
As ações de emergência são manifestações de um risco declarado, portanto, após a intervenção, o sistema geralmente requer rearmamento, pois a ação do sistema de emergência implica que os sistemas operacionais não atenderam à confiabilidade exigida.
Freio de emergência em ferrovias, freio de emergência e descida em elevadores, frenagem de emergência em veículos, parada de emergência em escadas rolantes, parada de emergência em linhas de produção automáticas. Geralmente todos os sistemas com um movimento associado possuem um mecanismo de parada de emergência.
ignorar
Geralmente estabelecem rotas alternativas em caso de falha dos sistemas principais. Geralmente desabilitam as funções do sistema principal para poder executar funções de forma manual ou semiautomática, mas direcionadas a partir de um controle manual. O termo substituição também é usado.
Evacuação
Eles permitem que as tarefas de evacuação sejam implementadas em um estado seguro após uma falha. Abertura de portas, liberação de fechamentos eletromagnéticos, operação de motores por mecanismos manuais, botes salva-vidas em barcos, saídas de emergência.
Testes funcionais
Os sistemas redundantes possuem uma série de testes funcionais chamados comissionamento. Esses testes verificam se o sistema principal retira recursos da reserva corretamente, nos intervalos estimados, voltando ao normal quando a falha for restaurada. Esses testes verificam todos os estados e intervalos possíveis de todas as variáveis.
Os testes funcionais são por vezes repetidos sistematicamente, para verificar se os sistemas mantêm a sua funcionalidade, especificamente no
sistemas de emergência cujo correto funcionamento é verificado nos protocolos e simulacros realizados de acordo com os planos de emergência.
Resiliência
A resiliência é uma característica de um sistema funcionalmente ativo, pela qual o próprio sistema possui recursos suficientes para se recuperar de falhas, retornando de uma reserva ativa em modo degradado para um sistema principal sem intervenção externa. Dada a natureza extensa da palavra sistema, ela pode ser aplicada a um material "Resiliência (engenharia)"), no que é conhecido como comportamento elástico, a uma pessoa "Resiliência (psicologia)") como a capacidade de superar adversidades, a uma organização como a capacidade de se recuperar após situações desfavoráveis, ou ao meio ambiente
. Num sistema, a resiliência implica que o próprio sistema possua mecanismos de autoconfiguração e autoverificação para restaurar o serviço sem intervenção.
Redundância como fonte de falhas
Existem redundâncias que podem ser a fonte de falhas do sistema.
Fonte primária
A duplicação de informações envolve o uso de um recurso escasso, como armazenamento ou memória, para manter as informações necessárias para um processo.
Os sistemas de qualidade estabelecem que as informações dentro do processo devem ter fontes primárias, para que haja uma única origem da informação. Esta pré-condição permite economia de espaço, revisões periódicas, melhorias e uma atualização da árvore, onde uma revisão na fonte atualiza todo o conteúdo.
Um exemplo de Fonte Primária é a Integridade Referencial utilizada em árvores de dados do tipo SQL, onde um conjunto de dados é acessível graças a uma combinação de referências ou chaves organizadas em uma árvore e onde a chave primária permite o acesso a todas as informações do conjunto de dados. Uma chave secundária permite acesso apenas a parte do conjunto de dados. A inexistência de duas chaves iguais, sejam elas primárias, secundárias ou n-árias, é responsabilidade e tarefa original do projetista em primeira instância e do mecanismo de banco de dados durante a operação.
Equilibrando redundâncias
O balanceamento de redundância é um mecanismo que permite que um sistema como um todo desempenhe melhor sua função.
Se Fn é a confiabilidade do enésimo sistema de uma cadeia e FT é a confiabilidade total. FT=F1*F2*F3*f4.
Utilizando sistemas com redundância desequilibrada, o sistema sempre apresenta menor confiabilidade do que o sistema com menor confiabilidade.
Esta condição implica que o fortalecimento de um segmento de uma cadeia não é eficiente quando existem segmentos mais fracos.
Ao utilizar recursos para melhorar sistemas menos confiáveis, o sistema ganha confiabilidade geral.
A configuração online de um sistema não implica necessariamente na topologia de barramento. São implementados anéis chamados planos nos quais os componentes do anel possuem as ligações fornecidas pelo anel, dentro de uma determinada distribuição linear geográfica ou organizacional.
• - Barramento redundante. Tolerância a falhas de link. Sem tolerância à falha do nó.
• - Anel linear. Tolerância a falhas simples.
Existem sistemas que não possuem uma configuração dinâmica de links, como anéis de rede terrestre, onde as conexões são enterradas e fixas.
Esses sistemas podem funcionar simultaneamente ou sequencialmente.
Dependendo do funcionamento do sistema redundante, podem ser:
• - Da reserva ativa. Se o funcionamento do sistema secundário não implicar o início da reserva.
• - Da reserva inativa. Se o dispositivo estiver desligado e precisar ser iniciado. Essa configuração é comumente chamada de Hot-Standby devido ao relacionamento entre o sistema primário e o sistema de backup.
• - Poupar. Se o sistema de reservas estiver armazenado. O processo correto de reabastecimento no caso de peças de reposição minimiza o MTTR ou tempo médio para reparo.
Dependendo da coordenação espaço-temporal, podem ser:.
Essa proteção estabelece critérios para mitigar falhas de terceiros, como falha na fonte de alimentação. Possui um ponto de recebimento com n alternativas de abastecimento.
Nesta redundância, o sistema alternativo é geralmente:
• - parado.
• - ativo em outras funções. Essa funcionalidade é chamada de reserva de capacidade.
Dependendo da sua origem, a reserva de capacidade pode ser:
• - capacidade interna.
O dispositivo tem mais capacidade do que a usada em operação normal.
Esta característica é conseguida através da aplicação de um sobredimensionamento em tempo de projeto que permite esta função. Estes sistemas mantêm a capacidade original de projeto ou um pouco menos, garantindo os movimentos necessários e essenciais para retornar a um nível de segurança superior. É utilizado quando um dos subsistemas está inativo para tarefas de manutenção ou inativo devido a uma falha.
• - capacidade externa.
O sistema depende de sistemas colaterais para executar tarefas que sua funcionalidade danificada ou inativa não permite realizar.
quando um sistema em operação reserva capacidade física, funcional e operacional com recursos e procedimentos pré-atribuídos, para atender a demanda de clientes com requisitos de alta disponibilidade.
As fontes de alimentação das salas de informática de funções críticas são configuradas de forma que falhas em qualquer uma das redes de alimentação não levem à indisponibilidade do sistema, mas sim a existência de fontes alternativas permite a operação em caso de falhas únicas, até mesmo falhas múltiplas. O sistema está a passar de uma rede de elevada disponibilidade e elevada eficiência energética, como a rede eléctrica convencional, para redes mais limitadas e ineficientes, como os geradores a diesel, para manter o serviço.
À medida que as redes de ordem superior voltam ao normal, o sistema muda em sentido inverso até atingir a sua situação inicial. As alterações na rede são transparentes para os subsistemas que compõem o receptor. Esta palavra significa que a operação não é interrompida ou afetada ou modificada, pelo menos não substancialmente, embora analiticamente as alterações estejam associadas aos chamados micro cortes, que são pequenas interrupções do fluido elétrico.[1].
A nível organizacional, ter 2 ou mais fornecedores quando os recursos o permitem, é um mecanismo de proteção contra eventos de indisponibilidade. Os sistemas de qualidade recomendam a realização de determinadas tarefas administrativas em triplicado em relação aos fornecedores, nomeadamente na avaliação de um fornecimento, orçamento, orçamento ou oferta, para ter sempre mais e melhores alternativas nesta função.
Em sistemas com armazenamento de fluidos ou gases, pontos de evacuação redundantes são projetados como alternativa ao bloqueio de uma válvula principal.
Em sistemas de informação com standby ativo, esta configuração é chamada de configuração espelhada. O sistema redundante possui as informações do sistema principal para continuar a função em caso de falha. A eficiência é de 50%, já que são utilizados o dobro de recursos de um sistema básico sem essa proteção.
• - 1+1 com simultaneidade funcional]].
Esses sistemas são chamados de hot standby ou hot standby, pois o dispositivo redundante opera ao mesmo tempo que o sistema principal.
Os sistemas n-de-m têm m dispositivos dos quais n devem funcionar, enquanto m-n podem falhar sequencialmente ou mesmo simultaneamente.
A relação entre n e m é dada pela redundância que é aplicada ao próprio processo.
• - n de m.
O mecanismo de proteção contra redundância mais comum é o RAID Redundant Array of Independent Disks. Matriz redundante de discos independentes. Depende deste sistema que os data centers possam falhar sem perder informação, graças à redundância que consiste em dividir a informação e utilizar um espaço dentro de um disco para alojar informação dos restantes discos, para substituir qualquer um deles em caso de falha.
Este mecanismo é outro tipo de proteção por reserva ativa, que é aplicado em sistemas que funcionam em paralelo de forma colaborativa, ou seja, agregando capacidade ao sistema total.
As unidades de armazenamento massivo são tradicionalmente constituídas por elementos com partes móveis, que são uma das principais causas de falhas, avarias e ações de manutenção corretiva.
Os sistemas de paridade estendida consistem na utilização de dados adicionais que relacionam a informação a si mesma. Desta forma, podemos implementar o resgate de dados perdidos sabendo o quão semelhantes eles eram a partir de referências externas.
A imagem mostra elementos relacionados entre si, com elementos que são adicionados para adicionar mais relacionamentos que permitem a recuperação de dados.
O sistema memoriza posições e relações de tal forma que recuperar dados significa aplicar funções lógicas com a informação que permaneceu intacta.
• - Paridade explicada com cores.
Nas transmissões de dados, adicionar um bit denominado redundância permite saber se a transmissão foi realizada corretamente. Eles são chamados de sistemas de correção de erros.
Timers são sistemas adicionados aos processos para verificar se a operação está dentro das margens estatísticas normais.
São sistemas independentes que funcionam com relógios próprios e formam uma camada de segurança adicional às já existentes. Sistemas como o Watchdog estabelecem o critério de que as funções demoram um certo tempo para desenvolver seu conteúdo.
A configuração online de um sistema não implica necessariamente na topologia de barramento. São implementados anéis chamados planos nos quais os componentes do anel possuem as ligações fornecidas pelo anel, dentro de uma determinada distribuição linear geográfica ou organizacional.
• - Barramento redundante. Tolerância a falhas de link. Sem tolerância à falha do nó.
• - Anel linear. Tolerância a falhas simples.
Existem sistemas que não possuem uma configuração dinâmica de links, como anéis de rede terrestre, onde as conexões são enterradas e fixas.
Esses sistemas podem funcionar simultaneamente ou sequencialmente.
Dependendo do funcionamento do sistema redundante, podem ser:
• - Da reserva ativa. Se o funcionamento do sistema secundário não implicar o início da reserva.
• - Da reserva inativa. Se o dispositivo estiver desligado e precisar ser iniciado. Essa configuração é comumente chamada de Hot-Standby devido ao relacionamento entre o sistema primário e o sistema de backup.
• - Poupar. Se o sistema de reservas estiver armazenado. O processo correto de reabastecimento no caso de peças de reposição minimiza o MTTR ou tempo médio para reparo.
Dependendo da coordenação espaço-temporal, podem ser:.
Essa proteção estabelece critérios para mitigar falhas de terceiros, como falha na fonte de alimentação. Possui um ponto de recebimento com n alternativas de abastecimento.
Nesta redundância, o sistema alternativo é geralmente:
• - parado.
• - ativo em outras funções. Essa funcionalidade é chamada de reserva de capacidade.
Dependendo da sua origem, a reserva de capacidade pode ser:
• - capacidade interna.
O dispositivo tem mais capacidade do que a usada em operação normal.
Esta característica é conseguida através da aplicação de um sobredimensionamento em tempo de projeto que permite esta função. Estes sistemas mantêm a capacidade original de projeto ou um pouco menos, garantindo os movimentos necessários e essenciais para retornar a um nível de segurança superior. É utilizado quando um dos subsistemas está inativo para tarefas de manutenção ou inativo devido a uma falha.
• - capacidade externa.
O sistema depende de sistemas colaterais para executar tarefas que sua funcionalidade danificada ou inativa não permite realizar.
quando um sistema em operação reserva capacidade física, funcional e operacional com recursos e procedimentos pré-atribuídos, para atender a demanda de clientes com requisitos de alta disponibilidade.
As fontes de alimentação das salas de informática de funções críticas são configuradas de forma que falhas em qualquer uma das redes de alimentação não levem à indisponibilidade do sistema, mas sim a existência de fontes alternativas permite a operação em caso de falhas únicas, até mesmo falhas múltiplas. O sistema está a passar de uma rede de elevada disponibilidade e elevada eficiência energética, como a rede eléctrica convencional, para redes mais limitadas e ineficientes, como os geradores a diesel, para manter o serviço.
À medida que as redes de ordem superior voltam ao normal, o sistema muda em sentido inverso até atingir a sua situação inicial. As alterações na rede são transparentes para os subsistemas que compõem o receptor. Esta palavra significa que a operação não é interrompida ou afetada ou modificada, pelo menos não substancialmente, embora analiticamente as alterações estejam associadas aos chamados micro cortes, que são pequenas interrupções do fluido elétrico.[1].
A nível organizacional, ter 2 ou mais fornecedores quando os recursos o permitem, é um mecanismo de proteção contra eventos de indisponibilidade. Os sistemas de qualidade recomendam a realização de determinadas tarefas administrativas em triplicado em relação aos fornecedores, nomeadamente na avaliação de um fornecimento, orçamento, orçamento ou oferta, para ter sempre mais e melhores alternativas nesta função.
Em sistemas com armazenamento de fluidos ou gases, pontos de evacuação redundantes são projetados como alternativa ao bloqueio de uma válvula principal.
Em sistemas de informação com standby ativo, esta configuração é chamada de configuração espelhada. O sistema redundante possui as informações do sistema principal para continuar a função em caso de falha. A eficiência é de 50%, já que são utilizados o dobro de recursos de um sistema básico sem essa proteção.
• - 1+1 com simultaneidade funcional]].
Esses sistemas são chamados de hot standby ou hot standby, pois o dispositivo redundante opera ao mesmo tempo que o sistema principal.
Os sistemas n-de-m têm m dispositivos dos quais n devem funcionar, enquanto m-n podem falhar sequencialmente ou mesmo simultaneamente.
A relação entre n e m é dada pela redundância que é aplicada ao próprio processo.
• - n de m.
O mecanismo de proteção contra redundância mais comum é o RAID Redundant Array of Independent Disks. Matriz redundante de discos independentes. Depende deste sistema que os data centers possam falhar sem perder informação, graças à redundância que consiste em dividir a informação e utilizar um espaço dentro de um disco para alojar informação dos restantes discos, para substituir qualquer um deles em caso de falha.
Este mecanismo é outro tipo de proteção por reserva ativa, que é aplicado em sistemas que funcionam em paralelo de forma colaborativa, ou seja, agregando capacidade ao sistema total.
As unidades de armazenamento massivo são tradicionalmente constituídas por elementos com partes móveis, que são uma das principais causas de falhas, avarias e ações de manutenção corretiva.
Os sistemas de paridade estendida consistem na utilização de dados adicionais que relacionam a informação a si mesma. Desta forma, podemos implementar o resgate de dados perdidos sabendo o quão semelhantes eles eram a partir de referências externas.
A imagem mostra elementos relacionados entre si, com elementos que são adicionados para adicionar mais relacionamentos que permitem a recuperação de dados.
O sistema memoriza posições e relações de tal forma que recuperar dados significa aplicar funções lógicas com a informação que permaneceu intacta.
• - Paridade explicada com cores.
Nas transmissões de dados, adicionar um bit denominado redundância permite saber se a transmissão foi realizada corretamente. Eles são chamados de sistemas de correção de erros.
Timers são sistemas adicionados aos processos para verificar se a operação está dentro das margens estatísticas normais.
São sistemas independentes que funcionam com relógios próprios e formam uma camada de segurança adicional às já existentes. Sistemas como o Watchdog estabelecem o critério de que as funções demoram um certo tempo para desenvolver seu conteúdo.