Можаева Ирина Александровна – кандидат технических наук, ведущий специалист исследовательского отдела
26-я линия В.О., д. 15, корп. 2, лит. А, Бизнес-центр «Биржа», Санкт-Петербург, 199106
Irina A. Mozhaeva, Candidate of Engineering, Lead Specialist of the Research Unit
15, korp. 2, lit. A 26-ya Liniya Vasiliyevskogo Ostrova, Birzha Business Centre, 199106, Saint Petersburg
Струков Александр Владимирович – кандидат технических наук, доцент, ведущий специалист исследовательского отдела
26-я линия В.О., д. 15, корп. 2, лит. А, Бизнес-центр «Биржа», Санкт-Петербург, 199106
Alexander V. Strukov, Candidate of Engineering, Associate Professor, Lead Specialist of the Research Unit
15, korp. 2, lit. A 26-ya Liniya Vasiliyevskogo Ostrova, Birzha Business Centre, 199106, Saint Petersburg
Цель. Целью статьи является анализ особенностей использования коммерческих программных пакетов, основанных на моделях деревьев неисправностей (ДН), которые применяются в инженерной практике для расчета надежности систем противоаварийной автоматической защиты (ПАЗ). Стандарты серии МЭК 61508 «Функциональная безопасность» обращают внимание на возможность получения в таких случаях неверных и неконсервативных оценок средней вероятности отказа на запрос выполнения функций безопасности ПАЗ. Основным источником некорректных результатов является применение приближенных и упрощенных формул для определения показателей надежности компонентов контуров ПАЗ, и вычисление показателя средней неготовности системы ПАЗ к выполнению функций безопасности по значениям средней неготовности ее компонентов. Для коррекции результатов моделирования ДН возможно использование поправочных коэффициентов, учитывающих структуру контура ПАЗ, а также применение точных формул стандарта МЭК 61508-6 для расчета средней вероятности отказа на запрос компонентов контура ПАЗ. Кроме того, возможен выбор типа модели отказов по общим причинам (ООП). Методы. Проведен сравнительный анализ влияния составляющих опасных отказов, обнаруживаемых и не обнаруживаемых внутренним диагностированием, на оценку средней вероятности отказа на запрос компонентов контура ПАЗ. Показано, что для менее надежных компонентов эта зависимость существенно влияет на занижение оценки показателя неготовности. Эффективность введения корректирующих коэффициентов, учитывающих архитектуру контура ПАЗ, также зависит от надежности компонентов, и их введение целесообразно для тех компонентов, чей уровень полноты безопасности соответствует диапазону между уровнями 1 и 2. Для проектной оценки показателей функциональной безопасности возможно применение модели бета-фактора отказов по общим причинам, применяемой при проектном расчете функциональной безопасности ПАЗ. Результаты. Анализ упрощенных и приближенных формул для расчета средней неготовности нерезервированных элементов контура ПАЗ показал, что при диагностическом покрытии более 90% использование упрощенных формул приводит к занижению показателя неготовности за счет увеличения влияния опасных обнаруженных отказов на вероятность несрабатывания ПАЗ. При использовании метода анализа ДН для получения консервативной оценки показателя неготовности контура ПАЗ следует использовать корректирующие коэффициенты, значения которых зависят от параметров резервирования каналов ПАЗ. Рассмотрены две модели учета ООП, применяемые при расчетах функциональной безопасности ПАЗ. Показано, что при использовании любой модели ООП показатели надежности системы снижаются. Это снижение определяется величиной бета-фактора и надежностью элементов системы ПАЗ. Заключение. Изложенные в статье материалы показывают ограничения применения упрощенной формулы для оценки средней неготовности нерезервированных элементов ПАЗ в качестве исходных данных для построения ДН. При определении уровня полноты безопасности контура ПАЗ, имеющего в своем составе элементы с низкой надежностью, следует учитывать, что при использовании метода ДН в коммерческих программных пакетах возможно получение завышенных показателей надежности, что нежелательно в задачах анализа функциональной безопасности.
Aim. The paper aims to analyse the specifics of the use of commercial fault tree (FT)-based software suites as part of engineering practice for the purpose of dependability calculation of emergency shutdown systems (ESS). Standards of the IEC 61508 Functional safety series stress that, in such cases, there is a possibility of incorrect and non-conservative estimates of the mean probability of failure on demand of an ESS safety feature. Incorrect results are primarily caused by the use of approximate and simplified formulas for identifying the dependability indicators of ESS circuit components and calculating the ESS mean unavailability for safety function performance based on the mean unavailability values of its components. In order to correct the FT simulation results, correction factors can be used that take into account the ESS circuit structure along with exact formulas per IEC 61508-6 for calculating the mean probability of failure on demand of the ESS circuit components. Additionally, the type of common cause failure (ССF) model can be chosen. Methods. A comparative analysis was performed as regards the effects of components of hazardous failures that may be detected or not detected by internal diagnostics on the assessment of the mean probability of failure on demand of an ESS circuit components. It was shown that in less dependable components this dependence significantly affects the unavailability value. The efficiency of correction coefficients that take into account the ESS circuit architecture also depends on the dependability of components, and their introduction is justified for those components whose safety integrity level is between 1 and 2. Engineering estimation of the functional safety indicators can be done using a beta-factor model of common cause failures that is employed as part of design analysis of ESS functional safety. Results. An analysis of simplified and approximate formulas for calculating the mean unavailability of the non-redundant elements of an ESS circuit has shown that in the case of an over 90-percent diagnostic coverage the use of simplified formulas causes an underestimation of the unavailability indicator caused by the increased effect of detected hazardous failures on the probability of ESS misoperation. If the FT analysis is used for the purpose of deducing a conservative estimate of an ESS circuit unavailability indicator, correction factors should be used, whose values depend on the ESS channels redundancy parameters. Two models of accounting for CCF were examined that are used when calculating ESS functional safety. It was shown that under any ESS model the system’s dependability indicators decrease. This decrease is defined by the value of the beta factor and the dependability of the ESS system elements.Conclusion. The information presented in the paper indicates the limited applicability of the simplified formula for calculating the mean unavailability of non-redundant ESS elements as the input data for FT construction. When identifying the safety integrity level of an ESS circuit that includes elements with a low dependability, it should be taken into consideration that, if a FT is used, commercial software suites may overestimate the dependability, which is undesirable in respect to functional safety analysis.
The authors declare that there are no conflicts of interest present.