CONCEPTE PROBABILISTICE DE BAZA ALE SECURITATII SISTEMELOR

CONCEPTE PROBABILISTICE DE BAZA ALE SECURITATII SISTEMELOR

1.1. Conceptele de pericol si risc

In general, pericolul este definit ca o vatamare potentiala a oamenilor, bunurilor sau mediului. Aceasta notiune are un pronuntat caracter de generalitate si corespunde unei situatii bine determinate si descriptibile, denumita situatie periculoasa a sistemului.

Riscul este concretizarea unui eveniment nedorit (E) asociat perceptiei unei situatii periculoase definite prin cuplul (p,g) unde :

p este probabilitatea de producere a evenimentului E

g reprezinta gravitatea consecintelor rezultate in urma producerii evenimentului E (exprimata in termeni de pierderi umane, materiale sau economice)

Mai concret, riscul poate fi considerat ca o masura a pericolului determinat de producerea evenimentului nedorit E.

Nota :

Celor doua componente p si g ale riscului care pot fi estimate in mod obiectiv cu mai mica sau mai mare precizie, este necesar, in numeroase cazuri, sa li se adauge o a treia componenta cu caracter global, ce corespunde perceptiei individuale sau colective asociata situatiei periculoase si a evenimentului nedorit pe care aceasta il poate genera.

Aceasta componenta este de natura subiectiva, ceea ce denota faptul ca referitor la o situatie periculoasa identificata, doua persoane pot avea rezultate diferite de evaluare asupra riscului asociat si in consecinta, acestia vor adopta fara indoiala decizii diferite.

Activitatea de cercetare in domeniul riscului industrial a permis luarea in considerare a ierarhizarii riscurilor asociate unui eveniment dat, aceasta dovedindu-se a fi fara rezultat, avand in vedere teoria ansamblurilor potrivit careia nu exista relatie de ordine in R² (cuplurile de numere reale (P₁, g₁) si (P₂, g₂), teoretic nu se pot compara).

In practica, gravitatea este componenta majora sau principala care ghideaza demersul analitic permitand ierarhizarea riscurilor fara a recurge la consideratii de ordin probabilistic.

Securitatea sistemelor

Starea de securitate a unui sistem este definita ca reprezentand absenta circumstantelor care pot favoriza perturbarea functionarii sistemului.

Plecand de la aplicarea acestui concept asupra configuratiei preliminare a sistemului, se pot identifica evenimentele care se produc din cauze de natura tehnica (defectari combinate /sau nu/ cu erori umane) si factori de risc externi ce pot induce stari de insecuritate.

Dupa caz, metodele probabilistice si statistice permit evaluarea probabilitatii de producere a evenimentelor nedorite prin analiza si tratarea lor sub forma de scenarii.

Tehnicile de analiza si de evaluare a securitatii sistemelor au drept scop furnizarea factorilor de decizie, a elementelor necesare adoptarii masurilor adecvate, pornind de la ansamblul informatiilor cunoscute si interpretate prin analize de securitate si sinteze.

Adoptarea unei decizii rationale, implica din punct de vedere teoretic, aplicarea unei abordari riguroase, rezultata din teoria generala a deciziilor sau din teoria probabilitate-utilitate, bazate pe compararea functiilor statistice de decizie ale lui Abraham Wald si teoriile neo-bayeziene.

In acest context, se apreciaza ca statistica decizionala regrupeaza un set de metode care permit adoptarea deciziilor corecte in conditii de incertitudine.

Securitatea absoluta si riscul acceptabil

Din punct de vedere teoretic securitatea absoluta (sau totala) a unei activitati corespunde starii imposibile de producere a unui eveniment nedorit indiferent de momentul considerat si de starea sistemului in raport cu tipul defectarilor, erorile umane si influenta negativa a factorilor de risc asupra acestuia.

Conceperea unui sistem necesita deci cunoasterea "perfecta si exhaustiva" a elementelor sistemului si a tuturor starilor sale posibile in toate fazele de existenta precum si a conditiilor de mediu exterior acestuia.

O astfel de ipoteza, nu este rationala din motive legate de nivelul cunostintelor stiintifice si tehnice, si in special din motive ce au in vedere limitele imaginatiei umane, si conduce la unul din principiile de baza ale securitatii sistemelor:"SECURITATEA ABSOLUTA ESTE UN MIT".

In consecinta, notiunea primara utilizata este cea de "obiectiv de securitate" relativa la un nivel de risc acceptabil in raport cu eforturi realiste de ordin financiar si tehnic.

1.2.- Introducerea probabilitatilor in securitatea

sistemelor

1.2.1.- Utilizarea probabilitatilor in cazul

securitatii sistemelor

Generalitati

Evaluarea formala a unei probabilitati pe a porneste de la cunoasterea completa a multimii fundamentale W si identificarea tuturor evenimentelor ce constituie familia de evenimente a.

Procesul de identificare este considerabil simplificat atunci cand multimea W cuprinde un numar finit de valori sau prin descrierea globala a multimii fundamentale, in cazul unui numar nedefinit de valori.

In domeniul securitatii sistemelor, multimea W corespunde integralitatii starilor de functionare, de nefunctionare si de disfunctie, carora le sunt asociate consecintele corespunzatoare in toate fazele de existenta ale sistemului.

Pentru sistemele complexe sau care vor functiona in medii incomplet cunoscute, stabilirea tuturor componentelor W_S devine imposibila, ca si pentru ansamblu de combinatii de cauze complexe, datorate unor disfunctii de natura interna sau externa. In asemenea situatii, se recurge frecvent la impartirea a priori a multimii a_S in clase de stari ale sistemului S, dupa un model de tipul celui de mai jos

disfunctie cu consecinte nula

disfunctie cu consecinte minore

disfunctie cu consecinte semnificative

disfunctie cu consecinte grave

disfunctie cu consecinte critice

disfunctie cu consecinte catastrofale.

Nota :

Scara de gravitate a consecintelor este definita de la caz la caz in functie de activitatile vizate.

Domenii de cunoastere / necunoastere[1],

Zone de certitudine / incertitudine

In raport cu functionarea unui sistem, se pot defini:

Un domeniu de cunoastere in care este posibila descrierea precisa a tuturor starilor sale de functionare si a disfunctiilor, precum si a consecintelor previzibile asupra mediului extern al sistemului.

Un domeniu de necunoastere sau de ignoranta cu referire la starile de functionare a sistemului sau la mediul sau inconjurator.

Daca in domeniul de cunoastere este posibila o evaluare, cu un anumit grad de precizie, a probabilitatii de producere a unui eveniment si a consecintelor sale, estimarea probabilitatii de producere a unui eveniment insuficient sau complet nedefinit, din punct de vedere calitativ, este cvasimposibila. Cu alte cuvinte, este absurda incercarea de a determina probabilitatea . necunoasterii.

Domeniul de cunoastere poate fi structurat in doua zone complementare:

zona de incertitudine

zona de certitudine

Zona de incertitudine corespunde cunoasterii calitative a starilor sistemului, asociata unei cunoasteri aleatoare a fiecarei stari intr-o situatie concreta data.

Incertitudinea poate fi asociata impreciziei existente privind una din starile sistemului, utilizand o anumita densitate de probabilitate, a carei cunoastere permite caracterizarea abaterilor fata de o valoare medie.

Zona de certitudine corespunde cunoasterii deterministe a tuturor starilor sistemului si consecintelor acestora. In general, aceste cunostinte sunt de doua tipuri :

cunostinte teoretice care se exprima prin legile fizice reproductibile si validate experimental. Acest tip de certitudine este cunoscut sub denumirea de determinism teoretic

cunostintele statistice medii exprimate prin valori statistice rezultate din observatii. Acest "determinism statistic" nu este verificat decat ca medie si nu se poate aplica individual fiecarui element observat.

In practica, la adoptarea deciziilor se tine seama de cele doua zone ale domeniului de cunoastere.

Principiul de certitudine practica

In terminologia Teoriei deciziilor, decizia reprezinta o alegere care comporta un anumit nivel de risc, avand la baza mai multe variante de actiune posibile.

Adoptarea deciziei implica aplicarea Principiului certitudinii practice , care se refera la modul de interpretare a evenimentelor considerate ca fiind cvasiimposibile, si se enunta astfel:

"Daca probabilitatea de producere a unui eveniment oarecare E, intr-o experienta data, este suficient de mica, se poate considera ca daca experienta este efectuata o singura data evenimentul E nu se poate produce".

Nota :

Aceasta definitie se adapteaza, in acelasi mod, probabilitatilor apropiate de 1 corespunzatoare evenimentelor aproape sigure.

Imposibilitatea demonstrarii pe cale matematica a acestui principiu este evidenta, insa el este confirmat de experienta cotidiana, care permite formalizarea experientei personale (subiective).

De fapt, plecand de la asemenea consideratii sunt adoptate marea majoritate a deciziilor cotidiene, ignorandu-se, de obicei, evenimente cu probabilitati apropiate de 0 considerate a priori ca fiind imposibile sau de probabilitati a priori invecinate cu 1.

Nota :

Acest tip de cvasicertitudini si cvasiimposibilitati de producere a unui eveniment in baza experientei, trebuie utilizat cu precautie in analizele de securitate. Intr-adevar, "durata reala sau practica de observatie" poate fi cu mai multe ordine de marime mai mica decat cea care ar fi necesara pentru a observa evenimentul nedorit luat in consideratie in obiectivul de securitate. Rezulta ca un astfel de eveniment nu trebuie sa fie a priori exclus din analiza, daca singura justificare este ca el nu a fost niciodata observat, dat fiind faptul ca proximitatea temporala a unui eveniment nu este reflectata de probabilitatea sa de producere.

Principiul de certitudine practica decurge din legea numerelor mari, care intareste afirmatia potrivit careia "atunci cand intr-o experienta numarul de incercari creste indefinit, frecventa de observare a unui eveniment considerat ca rezultat posibil, tinde spre o limita care este egala cu probabilitatea sa de producere." In raport cu principiul de certitudine practica, aceasta probabilitate este invecinata cu 0 sau 1.

Observatii :

Numarul mare de observatii efectuate asupra unui eveniment dat reprezinta factorul determinant ce asigura gradul de incredere in rezultatele ce decurg din adoptarea deciziilor.

Principiul maximizarii entropiei permite selectarea dintr-un ansamblu de observatii referitoare la functionarea unui sistem a tuturor informatiilor utilizabile, in mod eficient, in vederea orientarii deciziei.

Mai precis, reglementarile legislative si procedurile existente au ca scop eliminarea factorilor aleatori din conceptia, implementarea si exploatarea unui sistem. Altfel spus, respectarea reglementarilor si normelor permite stabilirea unor conexiuni intre actiunile intreprinse si consecintele deterministe apartinand zonei de certitudine, permitand astfel aplicarea principiului de certitudine practica.

Devine evident faptul ca, securitatea unui sistem complex - sau cel putin buna sa functionare - nu poate fi garantata decat in zona de certitudine, zona ale carei limite au fost fixate doar prin luarea in considerare a castigului de experienta , adica prin erorile observate anterior si corectate ulterior.

In sfarsit, pentru a completa conceptul de baza al securitatii sistemelor, unei probabilitati foarte mici i se poate asocia conceptul "de eveniment rar" pe care G. MORLAT il defineste dupa cum urmeaza :

"Un eveniment rar, in sensul securitatii sistemelor, este un eveniment care poate induce consecinte grave, si caruia, prin deciziile adoptate, trebuie sa i se aloce o probabilitate foarte scazuta".

Notiunea de hazard

S-a evitat, in consideratiile anterioare, in mod deliberat, termenul de "hazard" care ar putea fi considerat, in general, ca reprezentand ansamblul format din toate informatiile care nu sunt cunoscute din punct de vedere al securitatii, acestea putand fi asociate cu:

absenta cunoasterii asupra naturii insasi a unui pericol

absenta cunostintelor privind mecanismul si momentul materializarii unui scenariu de accidentare, chiar in conditiile cunoasterii sursei de pericol

Se poate aprecia ca, domeniul acoperit de notiunea de hazard regrupeaza domeniul de necunoastere cu zona de incertitudine a domeniului de cunoastere.

Prin urmare, daca introducerea limbajului probabilistic in securitatea sistemelor reprezinta o incercare de a controla gradul de incertitudine printr-o tehnica de ierarhizare a posibilitatilor de producere a scenariilor de accidentare, aceasta tehnica este aplicabila doar elementelor descrise complet, deci cunoscute. Se exclude astfel, aspectul de ignorare a hazardului, ceea ce justifica absenta cuvantului hazard din terminologia uzuala a securitatii sistemelor, in pofida faptului ca el contine implicit, atat notiunea de risc cat si cea de pericol.

1.2.2.- Diferite definitii ale probabilitatilor

Conform autorilor, probabilitatile pot lua sensuri diferite precum masurarea numerica, frecventa sau verosimilitatea.

Masura numerica

Masurarea numerica se bazeaza pe numararea obiectelor particulare continute intr-un ansamblu de obiecte observate si raportarea lor la un ansamblu de referinta.

Fiecare din proportiile obtinute poate fi considerata -a priori- ca o probabilitate, deoarece fiecare va verifica axiomele de baza. De exemplu, numararea a k elemente cu defecte dintr-o serie de n elemente fabricate va permite determinarea raportului k/n corespunzator seriei observate.

Masuratorii numerice ii corespunde -in general- subdomeniul statisticii descriptive, sau mai precis, al statisticii exploratorii, recurgerea la aceasta exprimare facilitand detalierea modului de functionare al unui sistem, permitand totodata punerea in valoare a informatiilor dobandite in decursul exploatarii.

Frecventa

Frecventa, ca si numarare directa, impune definirea corecta si precisa a multimii fundamentale. Astfel, observarea a 3 evenimente in decursul unui an calendaristic nu se poate traduce direct printr-o probabilitate, daca se considera anul drept scara de timp. Din contra, frecventa de 3 observatii in 365 de zile poate fi considerata ca o probabilitate, daca se considera ziua ca si scara de timp si daca exista certitudinea ca durata de desfasurare evenimentului urmarit este mai mica de 24 h.

Reluand exemplul precedent, rezulta din aceasta perspectiva ca raportul k/n constituie un indicator al proportiei elementelor defecte din intreaga serie fabricata, doar daca procesul tehnologic nu este modificat in timp.

Studiul probabilitatilor in baza notiunii de frecventa constituie obiectul "statisticii inferentiale" care vizeaza deducerea, pornind de la un esantion reprezentativ al proprietatilor populatiei de elemente din care esantionul face parte. Acest domeniu al statisticii permite determinarea parametrilor legilor de probabilitate in baza unui set de observatii si a unor intervale de incredere asociate acestora in raport cu un prag de risc statistic prestabilit.

Verosimilitatea

Verosimilitatea sau probabilitatea subiectiva reprezinta o masura a gradului de incredere care poate fi atribuit unei informatii incerte.

Dezvoltarea teoretica a acestui concept este rezultatul teoriei deciziei aplicata in domeniul de incertitudine.

Aceasta interpretare a notiunii de probabilitate nu decurge din precedentele moduri de definire, deoarece verosimilitatea nu se deduce din observatii directe, cuantificabile, ci din impresia -afectata de subiectivismul inerent - celui care trateaza afirmatia din perspectiva propriei experiente.

Deseori, evenimentele se pot situa in afara oricarui tip de experimentare - verificare-observare din punct de vedere spatio-temporal.

Se poate afirma ca verosimilitatea nu reprezinta intotdeauna o masura directa a producerii evenimentului studiat, chiar daca anumite evenimente care ii sunt asociate sunt masurabile. Tehnici de expertizare incadrate in categoria metodelor DELPHI au fost dezvoltate pentru a ajuta la rezolvarea acestui tip de probleme.

Acestui concept de probabilitate i se asociaza statistica decizionala avand drept finalitate optimizarea deciziei in prezenta incertitudinii -implicit a riscului- pornind de la structura si tratarea datelor de natura subiectiva.

1.3.- Perioada de revenire a unui eveniment

Notiunea de quantila

Prin definitie o quantila x reprezinta o modalitate de realizare/manifestare a unei variabile aleatoare X. Mai precis, o quantila de ordinul p, notata x_p este quantila asociata probabilitatii p, cand aceasta nu este numeric depasita.

Daca F este functia de repartitie la nedepasirea variabilei aleatorii X, atunci avem:

P=Pr(X<x_p ) =F(x_p )

dupa cum este vizualizata in figura 1.1 :

Fig. 1.1.

Reprezentarea grafica a functiei de limitare a variabilei aleatoare

Nota :

Anumiti autori asociaza lui x_p valoarea probabilitatii de depasire p=Pr(X>x_p) .

Observatii :

a.- pentru ca o functie f sa poata fi considerata densitate de probabilitate a unei variabile aleatoare X, trebuie sa fie verificata pe domeniul sau de definitie D, urmatoarea egalitate :

b.- pentru D=, relatia dintre densitatea de probabilitate f si functia de repartitie la nedepasire F se scrie :

deci : F(a)=0 si F(b)=1

1.4. Credibilitatea obiectivelor de securitate

Un obiectiv de securitate poate fi definit prin doi parametri :

definirea unui eveniment nedorit

frecventa sau verosimilitatea asociata evenimentului nedorit

Credibilitatea obiectivului de securitate al unui sistem este direct legata de nivelul de securitate vizat si demonstrat care se poate defini prin

ambitia obiectivului de securitate

increderea in materializarea obiectivului propus cu ajutorul unui ansamblu de sarcini bine identificate si clar descrise in cadrul unui plan de securitate

Desi, teoretic pot fi definite si emise obiective de securitate extrem de ambitioase, totusi, atingerea unui anumit nivel de securitate nu reprezinta o certitudine, el putand fi numai estimat prin utilizarea instrumentelor probabilistice, pornind de la datele disponibile. In consecinta, un nivel de securitate se bazeaza pe increderea dobandita pe parcursul studiilor si actiunilor realizate in timpul proiectarii, fabricarii etc., pe programe actuale sau anterioare. Aceasta ridica problema reala a credibilitatii obiectivelor de securitate demonstrate care corespund -in principal- eficacitatii actiunilor de asigurare a securitatii, validata prin verificarea experimentala la nivelul considerat (activitate, sistem, subsistem etc.). Verificarea experimentala poate sa fie -din punct de vedere material- imposibila, fie inacceptabila, luand in considerare daunele ce pot rezulta. Imposibilitatea materiala poate proveni, atat din numarul considerabil de incercari ce trebuie realizate pentru a se putea observa evenimentul nedorit definit prin obiectivul de securitate cat si din faptul ca evenimentul mentionat poate sa se gaseasca in afara campului de experimentare.

Datele disponibile pentru evaluarile prin tehnici probabilistice se obtin in urma studiilor si actiunilor realizate in decursul proiectarii, realizarii si functionarii unui sistem. Acest fapt ridica problema reala a credibilitatii obiectivelor de securitate.

Chiar daca, in anumite cazuri, evaluarea nivelului de securitate al unui sistem poate fi realizata prin utilizarea legii valorilor extreme, in majoritatea studiilor de securitate se recurge la modelarea scenariilor de producere a accidentelor, a caror credibilitate este caracterizata de:

reprezentativitatea modelelor, determinata in particular de caracterul exhaustiv definit prin numarul de parametri sau de variabile interne si externe ale sistemului precum si de legile ce le guverneaza

credibilitatea datelor rezultata din incertitudinea (si mai global o necunoastere) "naturala" asupra procedurilor de validare si asupra rezultatelor obtinute si interpretarii lor.

Aceasta nu trebuie sa fie comparata cu incertitudinea  asociata afirmatiei, privind imposibilitatea apriori a evenimentului nedorit definit in cadrul obiectivului de securitate.

Daca in primul caz pot fi studiate si propuse masuri adecvate, in al doilea caz, afirmatia un astfel de eveniment sau scenariu nu se poate produce permite mentinerea unei reale stari de insecuritate, cu consecinte potential catastrofale, care ar fi putut sa fie evitate.

Alegerea scenariilor retinute in studiu

Identificarea scenariilor ce pot conduce la un eveniment nedorit depinde de experienta si competenta specialistilor insarcinati cu analiza preliminara a riscurilor pentru sistemul considerat.

Scenariile retinute in aceasta faza pot fi clasificate in una din urmatoarele categorii:

C1 : Scenarii deja observate si interpretate ca realiste

C2 : Scenarii deja observate dar considerate ca nerealiste, tinand cont de masurile adoptate

C3 : Scenarii neobservate practic dar apreciate ca realiste

C4 : Scenarii neobservate si considerate ca nerealiste

Calitatea aprecierii scenariilor intre realiste si nerealiste depinde de extinderea volumului de cunostinte specifice echipei de analisti completata cu cea a factorului de decizie, acesta avand o pondere insemnata datorita rolului sau organizatoric.

Dilema decidentului, in majoritatea cazurilor este urmatoarea:

fie sa respinga scenariul considerat ca putin verosimil pe durata de viata a sistemului, acceptand, in mod mai mult sau mai putin constient, eventualele consecinte. O decizie de acest tip nu modifica conceptia sistemului, dar poate antrena cheltuieli suplimentare in exploatare, putand conduce (in cazuri extreme) la incetarea functionarii sistemului (primul accident cu implicatii mediatice considerate ca inacceptabile)

fie sa accepte luarea in considerare a unui scenariu posibil, dar considerat -a priori- ca putin probabil, in perioada de viata a sistemului. Aceasta decizie poate introduce constrangeri suplimentare, de ordin tehnic, economic sau operational

Se remarca faptul ca, functie de componenta considerata a riscului (probabilitate sau gravitate), decidentul este obligat sa treaca de la o extrema la alta :

luand in considerare doar probabilitatea scazuta, scenariul nu va fi retinut. Este o decizie tipica pe termen scurt.

daca tine seama in primul rand de gravitatea consecintelor, scenariul va fi luat in considerare indiferent de probabilitatea de producere. Decizia este in acest caz pe termen lung.

In domeniul de incertitudine, o regula de decizie privind luarea in considerare a scenariilor consta in a le acorda -a priori- un nivel de verosimilitate pornind de la obiectivul asociat evenimentului nedorit considerat.

Observatii :

Regula mentionata nu poate fi aplicata fara a efectua o evaluare prealabila.

Domeniul de necunoastere nu este acoperit in nici unul din cazurile prezentate, neexistand nici o garantie, indiferent de efortul facut, in ceea ce priveste scenariile identificate si luate in considerare.