Yes / Fault Tree Analysis (FTA) is a well-established and well-understood technique, widely used for dependability evaluation of a wide range of systems. Although many extensions of fault trees have been proposed, they suffer from a variety of shortcomings. In particular, even where software tool support exists, these analyses require a lot of manual effort. Over the past two decades, research has focused on simplifying dependability analysis by looking at how we can synthesise dependability information from system models automatically. This has led to the field of model-based dependability analysis (MBDA). Different tools and techniques have been developed as part of MBDA to automate the generation of dependability analysis artefacts such as fault trees. Firstly, this paper reviews the standard fault tree with its limitations. Secondly, different extensions of standard fault trees are reviewed. Thirdly, this paper reviews a number of prominent MBDA techniques where fault trees are used as a means for system dependability analysis and provides an insight into their working mechanism, applicability, strengths and challenges. Finally, the future outlook for MBDA is outlined, which includes the prospect of developing expert and intelligent systems for dependability analysis of complex open systems under the conditions of uncertainty.

Järnvägen är en förutsättning för att hantera klimatkrisen och sträva mot ökad hållbarhet då utsläppen från järnvägstransporter är låg i relation till andra transportslag. Trafikverket ska bidra till det genom att arbeta för att järnvägen har en säkerhetsnivå som är ekonomiskthållbar för samhället. Det innebär att resenärer och godstransportörer ska välja järnvägframför andra transportslag genom att det skapas rätt balans mellan säkerhet, punktlighet och kostnad. För att uppnå det arbetar aktörer inom järnvägen integrerat med driftsäkerhet ochsäkerhet. För att i ökad omfattning även beakta hållbarhet ur ett miljöperspektiv är cirkulariteten väg framåt. Spårväxlar är en kritisk del i järnvägsinfrastrukturen då de har en viktig funktion samtidigt som de är säkerhetskritiska, dyra att installera och underhålla samt ligger i topp när det gäller trafikstörningar. För att hushålla med statens resurser tillämpar Trafikverket byte av komponenter i spårväxlar för att förlänga tiden mellan byte av hela spårväxlar. För att hushålla bättre med resurserna och samtidigt öka hållbarheten är det intressant att återanvända utbytta spårväxelkomponenter istället för att endast återvinna deras material. Nuvarande arbetssätt saknar dock systematisk återanvändning av annat än bristkomponenter, vilket kräver utveckling.Syftet med detta examensarbete är att utforska en cirkulär modell för hantering avåteranvända komponenter inom järnvägsunderhåll. Genom driftsäkerhetsanalyser identifieras kritiska spårväxelkomponenter för att utforma ett effektivt och ändamålsenligt underhåll för ökad cirklaritet. Arbetet fokuserar på att identifiera kritiska komponenter och geografiska platser i anläggningen samt undersöka arbetssätt för återanvändning av spårväxlar och dess komponenter för ökad cirkularitet. Frågeställningen är ”Hur kan en cirkulär modell utformas och tillämpas för att effektivt återanvända spårväxlar och dess komponenter inom järnvägsunderhåll?”Arbetet är en kombinerad litteratur- och fallstudie med en abduktiv ansats. Fallstudien omfattar Trafikverket samt spårväxlar på Malmbanan och Haparandabanan. Kvalitativa data har samlats in via, intervjuer och dokumentstudier. Kvantitativa data har samlats in via databasstudier. Kvalitativa data har analyserats utifrån material från litteraturstudien samt tematisk analys, medan driftsäkerhetsanalys i Excel och Minitab har tillämpats förkvantitativa data. Resultatet visar att utifrån antal fel och trafikstörningar är växeltungor och korsningar de mest kritiska spårväxelkomponenterna. Det finns dock även andra kritiska komponenter beroende på bandel, besiktningsklass och årstid. Sverige har tidigare haft växelrevisionsverkstäder där komponenter återanvändes, vilket fortfarande praktiseras i Storbritannien. Järnvägsanläggningen inspekteras före ombyggnadsprojekt och spårväxlar transporteras till centrallager för vidare inspektion av komponenter. Spårväxelkomponenter är eftertraktade och återanvänds vid komponentbyten i anläggningen, men även hela renoverades pårväxlar. En gemensam framgångsfaktor för ökad cirkularitet anges vara ansvarstagande,effektiv lagerhantering, god kommunikation mellan aktörerna i processen samt hög kompetens. / The railway system is essential for addressing the climate crisis and promoting sustainability,as railway emissions are relatively low compared to other modes of transport. Trafikverket,the Swedish Transport Administration, aims to ensure that the railway maintains a safety level that is economically sustainable for society, encouraging passengers and freight carriers tochoose rail by balancing safety, punctuality, and cost. Stakeholders in the railway sector work integratively with operational reliability and safety, and circularity is a viable path forward for environmental sustainability.Railway switches are a critical part of the infrastructure due to their important function,safety-critical nature, high costs, and their leading role in causing traffic disruptions.Trafikverket replaces components in railway switches to extend the intervals between complete replacements. To further improve resource efficiency and sustainability, reusing replaced switch components is beneficial. However, the current practice lacks systematic reuse beyond shortage components.This thesis explores a circular model for handling reused components within railway maintenance. Through dependability analyses, critical switch components are identified to design an effective maintenance strategy that enhances circularity. The work focuses on identifying critical components and geographic locations within the infrastructure and examining methods for reusing switches and their components. The research question is:"How can a circular model be designed and applied to effectively reuse switches and their components within railway maintenance?" This study employs a combined literature review and case study with an abductive approach.The case study encompasses Trafikverket and the railway switches on Malmbanan and Haparandabanan. Qualitative data was collected through interviews and document studies,while quantitative data was gathered through database studies. The qualitative data was analyzed using materials from the literature review and thematic analysis, while quantitative data was analyzed using dependability analysis in Excel and Minitab.The results indicate that, based on the number of faults and traffic disruptions, switch rails andcrossings are the most critical components. Other critical components were identified depending on the specific track section, inspection class, and season. Sweden previously had switch revision workshops where components were reused, a practice still employed in theUK. Key success factors for increasing circularity include accountability, efficient inventory management, good communication between stakeholders, and high competence.

<p>Teza se bavi povećanjem ukupne oslonljivosti modularnog mikrokernel<br />operativnog sistem MINIX 3 kroz povećanje pouzdanosti njegovog<br />mrežnog podsistema. To je postignuto tako što je ovom operativnom<br />sistemu dodata agregacija mrežnih veza, čime je podražana<br />tolerancija na poremećaj komunikacionih linija. Na kraju je data<br />analiza kako dodati deo utiče na ukupne mrežne performanse.</p> / <p>The thesis deals with the way to increase the dependability of the modular<br />microkernel operating system MINIX 3 through the increase of the reliability<br />of its network subsystem. This is achieved by adding link aggregation to this<br />operating system, which added fault tolerance for the communication lines. At<br />the end, the analysis is given of how new module affects the overall network<br />performance.</p>

La recherche de la sûreté de fonctionnement des systèmes complexes impose une démarche de conception rigoureuse. Les travaux de cette thèse s’inscrivent dans le cadre la modélisation formelle des systèmes de contrôle autonomes tolérants aux fautes. Le premier objectif a été de proposer une formalisation d’une architecture générique en couches fonctionnelles qui couvre toutes les activités essentielles du système de contrôle et qui intègre des mécanismes de sécurité. Le second objectif a été de fournir une méthode et des outils pour évaluer qualitativement les exigences de sécurité. Le cadre formel de modélisation et d’évaluation repose sur le formalisme Event-B. La modélisation Event-B proposée tire son originalité d’une prise en compte par raffinements successifs des échanges et des relations entre les couches de l’architecture étudiée. Par ailleurs, les exigences de sécurité sont spécifiées à l’aide d’invariants et de théorèmes. Le respect de ces exigences dépend de propriétés intrinsèques au système décrites sous forme d’axiomes. Les preuves que le principe d’architecture proposé satisfait bien les exigences de sécurité attendue ont été réalisées avec les outils de preuve de la plateforme Rodin. L’ensemble des propriétés fonctionnelles et des propriétés relatives aux mécanismes de tolérance aux fautes, ainsi modélisées en Event-B, renforce la pertinence de la modélisation adoptée pour une analyse de sécurité. Cette approche est par la suite mise en œuvre sur un cas d’étude d’un drone ONERA. / The study of complex system safety requires a rigorous design process. The context of this work is the formal modeling of fault tolerant autonomous control systems. The first objective has been to provide a formal specification of a generic layered architecture that covers all the main activities of control system and implement safety mechanisms. The second objective has been to provide tools and a method to qualitatively assess safety requirements. The formal framework of modeling and assessment relies on Event-B formalism. The proposed Event-B modeling is original because it takes into account exchanges and relations betweenarchitecture layers by means of refinement. Safety requirements are first specified with invariants and theorems. The meeting of these requirements depends on intrinsic properties described with axioms. The proofs that the concept of the proposed architecture meets the specified safety requirements were discharged with the proof tools of the Rodin platform. All the functional properties and the properties relating to fault tolerant mechanisms improve the relevance of the adopted Event-B modeling for safety analysis. Then, this approach isimplemented on a study case of ONERA UAV.

Les conditionneurs alternatifs – continu à absorption sinusoïdale (PFC) pour les applications critiques se distinguent par un haut niveau de performances tel que les THD réduits, un haut rendement et une bonne fiabilité. Leur importance est d’autant plus nécessaire qu’une continuité de service des alimentations est requise même en présence d’une défaillance interne de composant. Deux types de structures associées à leur commande sont réalisés à cet effet, les structures à redondance parallèle et les structure à redondance en série. Elles consistent respectivement en l’ajout d’un bras d’interrupteur dans le cas de la redondance parallèle, qui est une option plus compliquée et en une suppression d’une cellule de commutation dans le deuxième cas. L’étude présentée ici, consiste en premier lieu en une exploration et une évaluation de nouvelles familles de topologies multi-niveaux, caractérisée par un partitionnement cellulaire en série. Ces nouvelles topologies, ainsi que leurs variantes, comportent au moins une redondance structurelle avec des cellules mono-transistor à défaut de commande non critique et symétriques à point-milieu. Elles sont donc génériques pour la mise en parallèle et l’extension en triphasé. Cependant, elles sont pour la plupart peu compétitives à cause des composants qui sont souvent surdimensionnés et donc plus onéreuses, en comparaison avec la structure PFC Double-Boost 5 Niveaux à composants standards 600 V (brevetée par l’INPT – LAPLACE –CNRS en 2008) que nous étudions. Cette dernière constitue le meilleur compromis entre un bon rendement et une maîtrise des contraintes en mode dégradé. Sur le plan théorique nous montrons que le seul calcul de fiabilité basé uniquement sur un critère de premier défaut est inadapté pour décrire ce type de topologie. La prise en compte de la tolérance de panne est nécessaire et permet d'évaluer la fiabilité globale sur une panne effective (i.e. au second défaut). L'adaptation de modèles théoriques de fiabilité à taux de défaillance constant mais prenant en compte, au niveau de leurs paramètres, le report de contrainte en tension et l'augmentation de température qui résulte d'un premier défaut, permet de chiffrer en valeur relative, le gain obtenu sur un temps court. Ce résultat est compatible avec les systèmes embarqués et la maintenance conditionnelle. Un prototype monophasé de PFC double-boost 5 niveaux à commande entièrement numérique et à MLI optimisée reconfigurable en temps réelle a été réalisé afin de valider l’étude. Il permet une adaptation automatique de la topologie de 5 à 4 puis 3 niveaux par exemple. Ce prototype a également servi de test d'endurance aux transistors CoolMos et diodes SiC volontairement détruits dans des conditions d'énergie maîtrisée et reproductibles. D’autres campagnes d'endurance en modes dégradés ont été réalisées en laboratoire sur plusieurs centaines d’heures en utilisant ce même prototype. Nous nous sommes axés sur la détection de défauts internes et le diagnostic (localisation) rapide, d'une part par la surveillance directe et le seuillage des tensions internes (tensions flottantes) et d'autre part, par la détection d’harmoniques (amplitude et phase) en temps réel. Ces deux techniques ont été intégrées numériquement et évaluées sur le prototype, en particulier la seconde qui ne requiert qu'un seul capteur. Enfin, nous proposons une nouvelle variante PFC expérimentée en fin de mémoire, utilisant deux fois moins de transistors et de drivers pour les mêmes performances fréquentielles au prix d'un rendement et d'une répartition des pertes légèrement moins favorable que la structure brevetée. / This work is an exploration and an evaluation of new variants of multi-level AC/DC topologies (PFC) considering their global reliability and availability: electrical safety with an internal failure and post-failure operation. They are based on a non-differential AC and centre tap connection that led to symmetrical arrangement cells in series. These topologies permit an intrinsic active redundancy between cells in a same group and a segregation capability between the two symmetrical groups of cells. More again, they are modular and they can be paralleled and derived to any number of levels. Only single low-voltage (600V) transistor pear cell is used avoiding the short-circuit risk due to an unwanted control signal. Comparisons, taking into account losses, distribution losses, rating and stresses (overvoltage and over-temperature) during the post-operation are presented. Results highlight the proposed 5-level Double-Boost Flying Capacitor topology. This one was patented at the beginning of thesis, as a solution with the best compromise. On the theoretical side, we show that the reliability calculation based only on a "first fault occurrence" criterion is inadequate to really describe this type of topology. The inclusion of fault tolerance capability is needed to evaluate the overall reliability law (i.e. including a second failure). The adaptation of theoretical models with constant failure rate including overvoltage and over-temperature dependencies exhibit an increasing of the reliability over a short time. This property is an advantage for embedded systems with monitoring condition. Local detection and rapid diagnosis of an internal failure were also examined in this work. Two methods are proposed firstly, by a direct flying caps monitoring and secondly, by a realtime and digital synchronous demodulation of the input sampled voltage at the switching frequency (magnitude and phase). Both techniques have been integrated on FPGA and DSP frame and evaluated on a AC230V-7kW DC800V – 31kHz lab. set-up. We put forward the interest of the second method which only uses one input voltage sensor. Finally, we propose in this dissertation a new generic X-level PFC Vienna using, in 5-level version, half transistors and drivers for identical input frequency and levels. At the cost of a slight increase of losses and density losses, this topology appears very attractive for the future. A preliminary lab. set-up and test were also realized and presented at the end of the thesis.

Les systèmes de stockage de l'énergie électrique de forte capacité sont configurés en systèmes matriciels de cellules élémentaires. Les caractéristiques électriques de ces cellules n'évoluent pas toutes de manière identique, diminuant la disponibilité, à court terme par décharge rapide, à long terme en réduisant la durée de vie. Pour améliorer ces performances, des cellules redondantes et des circuits d'équilibrage sont insérés pour assurer une reconfiguration adéquate. Il devrait être possible d'accroître la disponibilité en reconfigurant les connexions internes. Nous comparons deux solutions classiques : série-parallèle (SP) et parallèle-série (PS) avec une nouvelle permettant de redistribuer le courant dans une batterie : le C-3C. Les performances sont évaluées en terme de fiabilité et de disponibilité. Nous proposons également un algorithme de pilotage adapté. La fiabilité est améliorable par redondance. Les cellules supplémentaires seront utilisées pour remplacer des cellules affaiblies. Le système peut également être conçu pour tolérer la défection d'une partie des cellules. Nous démontrons par des diagrammes de fiabilité et des chaînes de Markov que les architectures C-3C et PS présentent le même niveau de fiabilité, supérieur à celui d'une architecture SP. La durabilité des structures peut être améliorée en pilotant la mise en service des ressources disponibles selon différentes stratégies déclinées dans un algorithme de choix fondé sur les États de charge ou les États de Santé. Nous avons modélisé une cellule sous Matlab, en simulant les paramètres de vieillissement et leur évolution dynamique. Ainsi quelle que soit l'architecture, pour peu qu'elle comprenne une part minimale de redondance, une adéquate gestion différentiée des cellules permet une amélioration de la disponibilité de 40%. Par souci de reproductibilité, nous avons également modélisé ces structures par un réseau de Petri coloré, de manière à esquisser l'instrumentation et le dimensionnement de la commande. / High-capacity electrical energy storage system (EESS) are often matrix-organized system with a large number of elementary storage cells. Due to manufactoring tolerances and their individual use, the electrical characteristics of these cells do not evolve in the same way. These imbalances reduce operative dependability, in the short term by contributing to a decrease of the charge-discharge capacity, in the long-term by shortening lifetime. To improve storage performance, redundant cells can be added. It is also possible, in order to increase efficiency of stored energy restitution, to balance electrical characteristics by using energy exchange forced by an adequate configuration. It should therefore be possible to increase long-term operative dependability by reconfiguring internal connections in dynamic mode. Parallel-series (PS) architecture EESS consists of the series association of blocks, made up of several cells connected in parallel. Series-Parallel dual solution (SP) associates strings of cells in parallel. If other architectures are being studied, often requiring several switches per cell to reconfigure the matrix, we propose in this thesis a new architecture, called C3C, satisfying an acceptable level of reliability and distributing current flows. We then compare the classic solutions and the C3C in terms of reliability and the long-term operative dependability and propose a reflection on the possibilities to discrete control aspects to pilot architecture with a suitable control algorithm. The reliability of any structure can be improved by redundancy, with additional cells that will be used either to replace failing cells or temporarily supplemeting the weak ones. The system may also be designed to tolerate the defect of a portion of the cells. We demonstrate by modeling reliability diagrams and Markov chains that the C3C and PS architectures have a much eigher level of reliability than a SP architecture. The sustainability of these structures can also be improved by piloting activating and rest of the available resources according to different strategies in a choice algorithm based on SoC (State of Charge) or SoH (State of Health) of each cell. To do this, we model a cell on Matlab, precisely simulating the aging parameters and their dynamic evolution. It emerges that, whatever the architecture, if it includes a minimal share of redundant cells, an adequate differentiated management of the cells allows an improvement of the long-term operative dependability of nearly 40% on average. In order to study the reconfigurability control of architectures, we propose a model based on Discrete Event Systems through a colored Petri net. Simulation of this model has reinforced the behaviors already identified.

La mise en place d’une politique de maintenance prévisionnelle est un défi majeur dans l’industrie qui tente de réduire le plus possible les frais relatifs à la maintenance. En effet, les systèmes sont de plus en plus complexes et demandent un suivi de plus en plus poussé afin de rester opérationnels et sécurisés. Une maintenance prévisionnelle nécessite d’une part d’évaluer l’état de dégradation des composants du système, et d’autre part de pronostiquer l’apparition future d’une panne. Plus précisément, il s’agit d’estimer le temps restant avant l’arrivée d’une défaillance, aussi appelé Remaining Useful Life ou RUL en anglais. L’estimation d’une RUL constitue un réel enjeu car la pertinence et l’efficacité des actions de maintenance dépendent de la justesse et de la précision des résultats obtenus. Il existe de nombreuses méthodes permettant de réaliser un pronostic de durée de vie résiduelle, chacune avec ses spécificités, ses avantages et ses inconvénients. Les travaux présentés dans ce manuscrit s’intéressent à une méthodologie générale pour estimer la RUL d’un composant. L’objectif est de proposer une méthode applicable à un grand nombre de cas et de situations différentes sans nécessiter de modification majeure. De plus, nous cherchons aussi à traiter plusieurs types d’incertitudes afin d’améliorer la justesse des résultats de pronostic. Au final, la méthodologie développée constitue une aide à la décision pour la planification des opérations de maintenance. La RUL estimée permet de décider de l’instant optimal des interventions nécessaires, et le traitement des incertitudes apporte un niveau de confiance supplémentaire dans les valeurs obtenues. / Predictive maintenance strategies can help reduce the ever-growing maintenance costs, but their implementation represents a major challenge. Indeed, it requires to evaluate the health state of the component of the system and to prognosticate the occurrence of a future failure. This second step consists in estimating the remaining useful life (RUL) of the components, in Other words, the time they will continue functioning properly. This RUL estimation holds a high stake because the precision and accuracy of the results will influence the relevance and effectiveness of the maintenance operations. Many methods have been developed to prognosticate the remaining useful life of a component. Each one has its own particularities, advantages and drawbacks. The present work proposes a general methodology for component RUL estimation. The objective i to develop a method that can be applied to many different cases and situations and does not require big modifications. Moreover, several types of uncertainties are being dealt With in order to improve the accuracy of the prognostic. The proposed methodology can help in the maintenance decision making process. Indeed, it is possible to select the optimal moment for a required intervention thanks to the estimated RUL. Furthermore, dealing With the uncertainties provides additional confidence into the prognostic results.

Com o aumento do uso de sistemas elétricos, eletrônicos e programáveis em aplicações de diversos domínios, tais como entretenimento, realização de transações financeiras, distribuição de energia elétrica, controle de processos industriais e sinalização e controle em transporte de passageiros e carga, é essencial que as políticas de manutenção utilizadas sejam capazes de minimizar os custos associados a eventuais falhas que afetem negativamente os serviços providos. Ao longo das últimas décadas, foi sedimentada a tendência de que a adoção de técnicas de manutenção preditiva representa uma das abordagens mais viáveis e promissoras para que falhas de sistemas utilizados em diversas aplicações possam ser detectadas antes de elas efetivamente ocorrerem. Considerando-se que uma parcela significativa dos estudos recentes na área de manutenção preditiva de sistemas apresenta como limitação o custo elevado para se instalar uma infraestrutura específica para realizar a coleta de dados que serão usados para dar suporte à predição das falhas futuras de um sistema, o modelo proposto no presente estudo visa permitir que os índices de dependabilidade e as falhas futuras de sistemas elétricos, eletrônicos e programáveis sejam estimados utilizando-se dados já disponíveis de falhas e manutenções passadas. Para tanto, foram empregadas técnicas como processos estocásticos, filtragem Kalman e modelos de incorporação de dados de histórico preconizados no padrão internacional RIAC-HDBK-217Plus. Como principal conclusão do presente trabalho, é possível ressaltar que foi possível atingir, com o modelo proposto, o objetivo de suporte à manutenção preditiva de sistemas elétricos, eletrônicos e programáveis a partir do uso de dados preexistentes de histórico operacional; no entanto, foram constatadas limitações no grau de utilização prática do modelo em situações nas quais a quantidade dos dados de histórico disponíveis para consulta é pequena. / With the increased use of electrical, electronic and programmable systems in various application fields such as entertainment, financial transactions, power distribution, industrial process control and signaling and control of transportation modes, it is essential for the maintenance policies used in those systems to be able to minimize the costs of any faults that may adversely affect the services provided. Over the past decades, the use of predictive maintenance techniques has shown to be a viable and promising approach to detect faults before they actually occur in systems used in different application fields. Considering that a significant part of the recent scientific research in the area of predictive maintenance usually demands high-cost infrastructure to be installed to support the acquisition of all the data that will be used to calculate the prediction of future faults of a system, the model proposed within this study was designed to allow both dependability levels and future faults of electrical, electronic and programmable systems to be estimated using past faults and maintenance data that may already be available. For this purpose, techniques such as stochastic processes, Kalman filtering and models prescribed within the international standard RIAC-HDBK-217Plus to incorporate history data to dependability calculation were used. As the main conclusion of this study, it is possible to highlight that the main objective of the model proposed, related to its ability to support predictive maintenance of electrical, electronic and programmable systems through the use of pre-existing operating history data, has been reached; nevertheless, limitation of practical use of the model was verified in situations in which not enough operating data is available.

Les études de sûreté de fonctionnement (SdF) sont en général basées sur l’hypothèse d’indépendance des événements de défaillance et de réparation ainsi que sur l’analyse des coupes qui décrivent les sous-ensembles de composants entraînant la défaillance du système. Dans le cas des systèmes dynamiques pour lesquels l’ordre d’occurrence des événements a une incidence directe sur le comportement dysfonctionnel du système, il est important de privilégier l’utilisation de séquences d’événements permettant une évaluation des indicateurs de SdF plus précise que les coupes. Ainsi, nous avons proposé, dans une première partie de nos travaux, un cadre formel permettant la détermination des séquences d’événements qui décrivent l’évolution du système ainsi que leur évaluation quantitative, en recourant à la théorie de langages probabilistes et à la théorie des processus markoviens/semi-markoviens. L'évaluation quantitative des séquences intègrent le calcul de leur probabilité d'occurrence ainsi que leur criticité (coût et longueur des séquences). Pour l’évaluation des séquences décrivant l’évolution des systèmes complexes présentant plusieurs modes de fonctionnement ou de défaillance, une approche modulaire basée sur les opérateurs de composition (choix et concaténation) a été proposée. Celle-ci consiste à calculer la probabilité d'une séquence d'événements globale à partir d'évaluations réalisées localement, mode par mode. Les différentes contributions sont appliquées sur deux cas d'étude de taille et complexité croissante. / Dependability studies are often based on the assumption of events (failures and repairs) independence but also on the analyse of cut-set which describes the subsets of components causing a system failure. In the case of dynamic systems where the events occurrence order has a direct impact on the dysfunctional behaviour, it is important to promote using event sequences instead of cut-sets for dependability assessment. In the first part, a formal framework is proposed. It helps in determining sequences of events that describe the evolution of the system and their assessment, using the theory of probabilistic languages and the theory of Markov/semi-Markov processes. The assessment integrates the calculation of the probability occurrence of the event sequences and their criticality (cost and length). For the assessment of complex systems with multiple operating/failure modes, a modular approach based on composition operators (choice and concatenation) is proposed. Evaluation of the probability of a global sequence of events is performed from local Markov/semi-Markov models for each mode of the system. The different contributions are applied on two case studies with a growing complexity.

A utilização da Internet como um meio de automação de serviços de e-business tem sido adotada como estratégia por empresas em vários ramos da economia, diminuindo custos e propiciando uma melhoria no relacionamento com o cliente. Um requisito não-funcional importante a ser considerado no desenvolvimento de sistemas de software que possibilita esta automação é a disponibilidade. O nível de disponibilidade de um sistema pode ser influenciado pela arquitetura do sistema, e, em particular, pela arquitetura de software, pois as decisões arquitetônicas devem considerar aspectos relacionados à disponibilidade. No método de avaliação de arquitetura ATAM (Architecture Tradeoff Analysis Method Método de Análise de Compromissos de Arquitetura), esse requisito é analisado através da utilização de cenários de disponibilidade. Como a avaliação da disponibilidade é normalmente uma tarefa complexa, requerendo dos analistas a identificação de numerosos itens interdependentes, a geração e, conseqüentemente, a análise de cenários de disponibilidade na maioria das vezes não é uma tarefa trivial. O presente trabalho tem como objetivo elaborar uma técnica de análise de disponibilidade em sistemas de software para a Web, que auxilie a geração sistemática de cenários de disponibilidade requeridos no método ATAM. Para a elaboração da proposta, o trabalho aborda métodos para a elicitação, representação e análise de requisitos não-funcionais em uma determinada arquitetura de software, bem como conceitos e taxonomias relacionadas à dependabilidade. Ao final, a técnica é exercitada em um exemplo simplificado de sistema de software bancário na Web. / The use of Internet for e-business service automation has been adopted as a strategy by organizations in several sectors of the economy, reducing costs and providing a better relationship with the customer. Availability is an important nonfunctional requirement to be considered in the development of software systems offering this type of automation. The level of system availability may be affected by the system architecture, and, especially, by the software architecture, as architectural decisions must take availability-related aspects into account. In the ATAM (Architecture Tradeoff Analysis Method) architecture evaluation method, this requirement is analyzed by means of availability scenarios. As availability evaluation is normally a complex task, requiring analysts to identify several interdependent items, the generation and, consequently, the analysis of availability scenarios is often not a trivial task. This work aims to elaborate an availability technique analysis for web-based software systems, to aid in the systematic generation of availability scenarios required in the ATAM method. To elaborate the proposal, the work covers methods for elicitation, representation and analysis of non-functional requirements in a specific software architecture, as well as concepts and taxonomies related to dependability. In the end, the technique is applied on a simplified example of web banking software system.