Capítulo 32 — Infraestrutura crítica e segurança setorial: confiabilidade | Engenharia Segurança de infraestrutura crítica e setores

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 32 publicada. Mapa, exemplo, EX063.

flowchart TD
  N0["32.1 Medidas"]
  N1["32.2 Redundância reparável"]
  N2["32.3 Falhas induzidas"]
  N3["32.5 Atividade prática: Laboratório 12"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX063"]

Desenho lógico

flowchart LR
  N0["32.1 Medidas"]
  N1["32.2 Redundância reparável"]
  N2["32.3 Falhas induzidas"]
  N3["32.5 Atividade prática: Laboratório 12"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX063"]

[32.1 Medidas]
    |
    v
[32.2 Redundância reparável]
    |
    v
[32.3 Falhas induzidas]
    |
    v
[32.5 Atividade prática: Laboratório 12]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX063]

Objetivos de aprendizagem e conexão

Ao fim deste capítulo você será capaz de (1) usar medidas de confiabilidade — taxa de falhas, MTBF, MTTR, disponibilidade; (2) calcular a disponibilidade de sistemas em série, em paralelo e redundantes reparáveis com modelos de Markov; (3) mostrar como a capacidade de reparo e as causas comuns mudam os benefícios da redundância; e (4) ligar a engenharia de confiabilidade à segurança, em que as falhas podem ser induzidas. Ele se apoia no Capítulo 7 e prepara os capítulos 33 e 41.

32.1 Medidas

Para um componente com taxa de falhas constante $\lambda$ (falhas por hora), o tempo médio entre falhas é $1/\lambda$. Com tempo médio de reparo $1/\mu$, a disponibilidade em regime permanente é $A = \mu/(\lambda+\mu) = \text{MTBF}/(\text{MTBF}+\text{MTTR})$. Taxas de falhas constantes servem para o período de vida útil dos eletrônicos; as falhas do início da vida e as de desgaste precisam de outras distribuições (Weibull). Componentes em série (todos necessários) têm taxas que se somam: $\lambda_s = \sum\lambda_i$. Componentes em paralelo (basta qualquer um) só falham juntos. Na PS4, a taxa de falhas de cada bomba, de uma a cada duas mil horas, e seu tempo de reparo de 24 horas dão a disponibilidade de uma bomba usada no Laboratório 12.

32.2 Redundância reparável

As fórmulas simples para sistemas em paralelo pressupõem unidades independentes, cada uma reparada de forma independente. Locais reais muitas vezes têm uma única equipe de reparo, então, quando as duas unidades estão paradas, uma espera. Uma cadeia de Markov de tempo contínuo modela isso: estados 0, 1 e 2 unidades com falha; transições à taxa $2\lambda$ de 0 para 1, $\lambda$ de 1 para 2, e $\mu$ de volta a partir de 1 e de 2, com uma equipe. Resolver as equações de equilíbrio dá as probabilidades em regime permanente; a indisponibilidade é a probabilidade do estado 2. A PS4 tem exatamente essa restrição: duas bombas, uma equipe de reparo. O modelo de Markov do Laboratório 12 captura a espera.

32.3 Falhas induzidas

Os modelos de confiabilidade pressupõem que as falhas chegam aleatoriamente. Um adversário escolhe quando. Se um atacante consegue desativar uma bomba remotamente e esperar que a outra falhe — ou desativar as duas —, os números de Markov deixam de descrever o risco. A engenharia de confiabilidade continua importando para a segurança: ela informa a linha de base que o atacante precisa superar, a capacidade de reparo que determina a velocidade de recuperação e os estoques de reserva que tornam real a reserva fria. Os requisitos de segurança visam então fazer com que falhas induzidas exijam comprometimentos independentes (o condicionamento do Capítulo 23).

32.4 Exemplo resolvido: bombas principal/reserva da PS4 (sintético)

Cada bomba da PS4 tem taxa de falhas de 1 a cada 2.000 h e tempo médio de reparo de 24 h, com uma equipe. O Laboratório 12 dá uma disponibilidade de uma bomba de 0.98814 (cerca de 104 h paradas por ano). O par 1-de-2 com uma equipe tem disponibilidade de 0.999719 — as duas bombas paradas cerca de 148 minutos por ano. A fórmula ingênua $1-(1-A)^2$ dá 0.999859, metade da indisponibilidade real, porque ignora que a segunda falha pode ocorrer enquanto a única equipe está ocupada. Para a cadeia de controle do conjunto de bombas — bomba, partida e RTU em série, com MTBFs de 2.000, 5.000 e 10.000 h —, o MTBF da série é de 1.250 h: a cadeia é menos confiável do que seu elemento mais fraco.

32.5 Atividade prática: Laboratório 12

# Lab 12 - availability of a duplicated pump set with repair (two-state units, one repair crew; offline)
lam, mu = 1 / 2000, 1 / 24     # failures per hour per pump, repairs per hour
A1 = mu / (lam + mu)
# states: 0 = both up, 1 = one down, 2 = both down; one crew repairs one pump at a time
# balance: p1 = (2 lam / mu) p0 ; p2 = (lam / mu) p1
p0 = 1 / (1 + 2 * lam / mu + 2 * (lam / mu) ** 2)
p1 = 2 * lam / mu * p0; p2 = lam / mu * p1
print(f"single pump availability {A1:.6f}  downtime h/yr {8760*(1-A1):.1f}")
print(f"1oo2 availability {1-p2:.8f}  P(both down) {p2:.2e}  downtime min/yr {8760*60*p2:.2f}")
print(f"naive independent 1-(1-A1)^2 = {1-(1-A1)**2:.8f}")
mtbf_series = 1 / (1/2000 + 1/5000 + 1/10000)
print(f"series MTBF pump+starter+RTU: {mtbf_series:.0f} h")

Saída esperada:

single pump availability 0.988142  downtime h/yr 103.9
1oo2 availability 0.99971883  P(both down) 2.81e-04  downtime min/yr 147.78
naive independent 1-(1-A1)^2 = 0.99985939
series MTBF pump+starter+RTU: 1250 h

Uma bomba fica parada cerca de 104 horas por ano. O par com uma equipe fica parado ao mesmo tempo por cerca de 148 minutos por ano, aproximadamente o dobro do que sugere a fórmula ingênua, porque a segunda falha pode chegar enquanto a equipe ainda está reparando a primeira. O valor da série mostra a fraqueza da cadeia de controle: bomba, partida e RTU juntas têm um tempo médio entre falhas de 1.250 horas, menor do que o de qualquer uma delas sozinha. É a capacidade de reparo, e não a qualidade das bombas, que produz a diferença.

32.6 Erros comuns e limites

Fórmulas de reparo independente com uma única equipe.
Taxas de falhas constantes para equipamentos envelhecidos.
Ignorar causas comuns (painel de partida compartilhado, energia compartilhada).
Números de confiabilidade apresentados como proteção contra ataques deliberados.
Valores de MTBF de fornecedores usados sem conhecer suas condições de teste.

Para a PS4, o primeiro erro reduz à metade o tempo de parada previsto, e o terceiro ignora que as duas bombas compartilham um painel de partida e um alimentador. Os valores de MTBF do fornecedor para a RTU devem ser conferidos com os próprios registros de manutenção da LRWA antes de entrarem no dossiê, e nenhum desses números diz nada sobre um atacante que pare as duas bombas deliberadamente.

Exercícios — capítulo 32

EX063 — Duas equipes. Objetivo: modelar a capacidade de reparo. Entradas: Laboratório 12. Passos: modifique o modelo de Markov para duas equipes independentes (taxa de reparo $2\mu$ a partir do estado 2) e calcule a indisponibilidade; compare com uma equipe e com a fórmula ingênua. Evidência esperada: números e conclusão. Rubrica: 3 = o resultado com duas equipes coincide com a fórmula ingênua independente (explique por quê), uma equipe aproximadamente o dobro; 2 = números certos, sem explicação; 1 = não executado; 0 = nada.

EX064 — Decisão sobre reservas. Objetivo: ligar a confiabilidade à logística. Entradas: o tempo de reparo de 24 h pressupõe uma bomba reserva em estoque; sem reserva, o reparo leva 21 dias (504 h). Passos: calcule a indisponibilidade 1oo2 com uma equipe e MTTR de 504 h, e recomende se convém manter uma reserva. Evidência esperada: número e recomendação. Rubrica: 3 = cálculo correto (use a fórmula do laboratório com μ = 1/504), recomendação ligada à consequência para o hospital; 2 = número certo; 1 = taxa errada; 0 = nada.

Síntese do capítulo

A confiabilidade é medida com taxas de falhas, tempos de reparo e disponibilidade; cadeias em série são mais fracas do que seu elo mais fraco; a redundância reparável depende da capacidade de reparo, que as fórmulas simples ignoram. Os adversários induzem falhas no cronograma deles, então a confiabilidade fornece a linha de base e a capacidade de recuperação, enquanto a segurança precisa fazer com que falhas induzidas exijam comprometimentos independentes.