Расчет уровней целостности ПФД и безопасности: практический подход к проектированию безопасности процессов

Понимание вероятности отказа по требованию (PFD) и уровня целостности безопасности в процессе

В сложном мире проектирования безопасности процессов понимание и точное вычисление вероятности отказа по требованию (PFD) и уровней целостности безопасности (SIL) представляет собой фундаментальную компетенцию для инженеров, специалистов по безопасности и руководителей предприятий. Эти критические показатели служат основой для проектирования, внедрения и поддержания систем безопасности, которые защищают персонал, оборудование и окружающую среду от потенциально катастрофических опасностей процесса. Поскольку промышленные процессы становятся все более сложными и нормативные требования более строгими, способность правильно оценивать и количественно оценивать производительность системы безопасности никогда не была более важной.

Взаимосвязь между ПФД и СИЛ обеспечивает количественную основу для оценки того, насколько надежно будет выполняться функция безопасности при вызове во время опасного события. Этот систематический подход к проектированию безопасности позволяет организациям принимать обоснованные решения о мерах по снижению риска, эффективно распределять ресурсы и демонстрировать соответствие международным стандартам, таким как МЭК 61508 и МЭК 61511. Овладев этими концепциями и их практическим применением, специалисты по безопасности могут значительно повысить защитные слои в своих объектах, оптимизируя как показатели безопасности, так и операционную эффективность.

Какова вероятность отказа по требованию (PFD)?

Вероятность отказа по требованию (PFD) представляет собой количественную меру вероятности того, что функция, оснащенная инструментами безопасности (SIF), не сможет выполнить свое предполагаемое защитное действие, когда возникает требование процесса. В отличие от непрерывно работающих систем, где сбои сразу очевидны, системы, оснащенные инструментами безопасности, обычно остаются в состоянии покоя до возникновения опасного состояния. Эта спящая природа создает уникальную проблему: система безопасности, возможно, уже потерпела неудачу, не зная, только чтобы быть обнаруженной, когда это необходимо больше всего во время фактической чрезвычайной ситуации процесса.

Метрика PFD решает эту проблему путем количественной оценки вероятности того, что функция безопасности находится в неисправном состоянии в любой случайной точке времени. Этот подход, основанный на вероятности, признает, что системы безопасности могут испытывать скрытые сбои - сбои, которые происходят между периодическими интервалами тестирования и остаются незамеченными до следующего теста на доказательство или до тех пор, пока система не будет призвана действовать. Понимание PFD имеет важное значение, поскольку оно напрямую коррелирует с возможностью снижения риска функции, используемой для обеспечения безопасности, и определяет, соответствует ли система требуемому уровню целостности безопасности.

Значение среднего PFD

При обсуждении ПФД в практических приложениях инженеры обычно ссылаются на ПФД_авг (средний ПФД), который представляет собой среднюю вероятность отказа за весь интервал испытаний между тестами на доказательство. Это среднее значение более значимо, чем мгновенный ПФД, поскольку оно учитывает тот факт, что вероятность отказа увеличивается с течением времени по мере того, как система работает без тестирования. Сразу после успешного теста на доказательство ПФД находится в самой низкой точке, затем постепенно увеличивается до тех пор, пока следующий тест не выявит и не исправит любые скрытые сбои.

Расчет PFD_avg обеспечивает реалистичную оценку производительности системы безопасности на протяжении всего ее жизненного цикла. Эта метрика становится основой для классификации SIL и позволяет проводить значимые сравнения между различными архитектурами системы безопасности и выборами компонентов. Для систем с низким спросом — тех, которые, как ожидается, будут вызываться менее одного раза в год — PFD_avg служит основным показателем производительности для определения соответствия требованиям безопасности.

Опасные неудачи vs. безопасные неудачи

Критическое различие в расчетах ПФД включает понимание разницы между опасными отказами и безопасными отказами. Опасные сбои - это те, которые препятствуют тому, чтобы функция безопасности реагировала на требование, оставляя процесс незащищенным. Эти сбои непосредственно влияют на ПФД, поскольку они ставят под угрозу способность системы безопасности выполнять свою защитную функцию. Примеры включают отказ передатчика давления таким образом, чтобы он не обнаруживал высокое давление, или выход из строя клапана отключения в открытом положении, когда он должен быть близок к изоляции опасности.

Безопасные сбои, наоборот, заставляют функцию безопасности спотыкаться без необходимости или сразу же проявляться, что приводит к безопасному состоянию или ложному путешествию. В то время как безопасные сбои влияют на доступность установки и эффективность производства, они не способствуют расчетам ПФД, потому что они не ставят под угрозу защитные возможности функции безопасности. Современная конструкция системы безопасности стремится максимизировать долю безопасных сбоев посредством тщательного выбора компонентов и архитектуры системы, тем самым снижая ПФД при управлении ложными скоростями поездки до приемлемых уровней.

Основные компоненты расчета ПФД

Для точного расчета ПФД требуется понимание нескольких ключевых параметров, влияющих на надежность системы безопасности. Эти параметры работают вместе, чтобы определить общую вероятность того, что функция безопасности будет недоступна при необходимости. Каждый компонент расчета отражает реальные факторы, влияющие на производительность системы, от присущей надежности отдельных устройств до эффективности стратегий тестирования и обслуживания.

Коэффициент отказов (λ) и его компоненты

Частота отказов, обозначаемая греческой буквой лямбда (λ), представляет частоту, с которой компонент или система выходят из строя с течением времени, обычно выражающуюся в отказах в час или отказах в год. Для систем с приборным обеспечением безопасности общая частота отказов подразделяется на несколько категорий, которые отражают различные режимы отказа и их влияние на безопасность и доступность. Наиболее важное различие отделяет опасные отказы (λ _]D ) от безопасных отказов (λ _S ), поскольку только опасные отказы способствуют вычислениям PFD.

Опасные сбои далее классифицируются на основе обнаруживаемости. Опасные обнаруженные сбои (λ _]DD ) — это те, которые диагностические функции системы могут идентифицировать, позволяя быстро восстанавливать до возникновения требования процесса. Опасные необнаруженные сбои (λ _]DU ) остаются скрытыми до тех пор, пока не будут выявлены путем периодического тестирования доказательств или пока функция безопасности не будет призвана действовать. Опасная частота необнаруженных сбоев является основным драйвером PFD, поскольку эти сбои представляют скрытые уязвимости, которые ставят под угрозу доступность системы безопасности.

Данные о коэффициенте отказов обычно поступают из нескольких источников, включая спецификации производителя, отраслевые базы данных, такие как OREDA (Offshore Reliability Data) или SERH (Safety Equipment Reliability Handbook), и опыт работы на предприятии. Стандарт IEC 61508 содержит руководство по приемлемым источникам данных и требует, чтобы данные о коэффициенте отказов были актуальны для фактических условий эксплуатации и применения. Факторы окружающей среды, уровни рабочего напряжения и качество обслуживания влияют на фактические показатели отказов и должны учитываться при выборе соответствующих значений для расчетов.

Диагностический охват (DC)

Диагностический охват представляет собой долю опасных сбоев, которые могут быть обнаружены автоматизированными диагностическими функциями, встроенными в систему приборов безопасности. Современные системы безопасности включают в себя обширные возможности самотестирования, которые непрерывно контролируют здоровье компонентов и целостность системы, обнаруживая многие потенциальные сбои, прежде чем они могут поставить под угрозу эффективность безопасности. Диагностический охват выражается в процентах или десятичных долях, причем более высокие значения указывают на более комплексные диагностические возможности.

Стандарт IEC 61508 определяет конкретные диапазоны диагностического покрытия: низкий (менее 60%), средний (60% - менее 90%), высокий (90% - менее 99%) и очень высокий (99% или более). Для достижения высокого диагностического покрытия требуются сложные методы мониторинга, такие как тестирование на частичный ход клапанов, непрерывное сравнение избыточных показаний датчиков, часовые таймеры для логических решателей и комплексный мониторинг связи. Диагностическое покрытие напрямую влияет на ПФД, определяя, какая доля общей опасной частоты отказа остается незамеченной (λ _{] DU} = λ _D × (1 - DC)).

Для расчета диагностического покрытия требуется подробный анализ каждого режима отказа и способности системы его обнаруживать. Для сложных систем с несколькими компонентами общий диагностический охват представляет собой средневзвешенное значение, основанное на частоте отказов и индивидуальных диагностических возможностях каждого элемента. Производители обычно предоставляют спецификации диагностического покрытия для своих устройств, но они должны быть проверены, чтобы обеспечить их применение к конкретному приложению и конфигурации, которая реализуется.

Интервал проверки доказательств (TI)

Интервал проверки на соответствие требованиям представляет собой промежуток времени между комплексными функциональными испытаниями, которые проверяют, может ли функция, используемая для обеспечения безопасности, выполнять свое предполагаемое защитное действие. Во время испытания на соответствие требованиям безопасности система тщательно проверяется и проверяется для выявления любых опасных необнаруженных сбоев, которые накопились после предыдущего испытания. Интервал проверки на соответствие требованиям непосредственно влияет на ПФД, поскольку более длинные интервалы позволяют накапливать больше времени для скрытых сбоев, увеличивая среднюю вероятность того, что система находится в неисправном состоянии.

Выбор соответствующего интервала испытаний на проверку предполагает балансирование нескольких конкурирующих факторов. Более короткие интервалы снижают ПФД и повышают эффективность безопасности, но увеличивают затраты на тестирование, прерывания производства и вероятность человеческой ошибки во время проведения испытаний. Более длинные интервалы минимизируют эксплуатационные сбои, но приводят к более высоким значениям ПФД и могут не соответствовать требуемым целям SIL. Промышленная практика обычно устанавливает интервалы испытаний на проверку в диапазоне от шести месяцев до нескольких лет, в зависимости от требуемого SIL, архитектуры системы и возможностей диагностического покрытия.

Связь между интервалом доказывания и ПФД является приблизительно линейной для простых систем, с ПФД_{, пропорциональным продукту опасной необнаруженной частоты отказов и половины интервала тестирования. Эта взаимосвязь объясняет, почему тестирование на доказательство является таким мощным инструментом для управления ПФД — сокращение интервала тестирования на половину примерно вдвое вклада ПФД от необнаруженных отказов. Однако это преимущество должно быть взвешено с практическими ограничениями и затратами, связанными с частым тестированием.}

Доказательство покрытия теста (PTC)

Покрытие доказательственного испытания количественно определяет эффективность процедуры проверки на выявление опасных сбоев. Не все тесты на доказательство являются одинаково тщательными - некоторые могут только проверять базовую функциональность, в то время как другие всесторонне изучают все режимы отказа. Покрытие проверки на доказательство выражается в процентах, представляющих долю опасных необнаруженных сбоев, которые успешно идентифицирует процедура проверки на доказательство. Покрытие проверки на доказательство 90% означает, что процедура проверки будет обнаруживать 90% потенциальных опасных сбоев, в то время как 10% могут оставаться скрытыми даже после тестирования.

Для достижения высокого уровня покрытия для испытаний на доказательство требуются подробные процедуры испытаний, которые систематически выполняют все аспекты функции безопасности в условиях, которые тесно имитируют фактические требования процесса. Для типичной функции, основанной на приборах безопасности, это включает в себя тестирование датчиков по всему их диапазону, проверку обработки логических решений и логики голосования, подтверждение возможности перемещения и герметизации конечных элементов и проверку всех интерфейсов и путей связи. Частичное тестирование на ход клапанов, проверка калибровки датчиков и измерения времени отклика - все это способствует всестороннему охвату испытаний на доказательство.

Влияние покрытия доказательного испытания на расчеты ПФД является значительным, но часто упускается из виду. Если охват доказательного испытания составляет менее 100%, некоторые опасные сбои не будут обнаружены даже во время тестирования, эффективно создавая популяцию сбоев, которые накапливаются в течение нескольких испытательных интервалов. Эти постоянные необнаруженные сбои вносят дополнительный термин в расчет ПФД, который увеличивается с квадратом испытательного интервала, что делает покрытие доказательного испытания все более важным для систем с более длинными испытательными интервалами.

Методы расчета PFD и формулы

Для определения ПФД существует несколько методов расчета, начиная от упрощенных формул, подходящих для базовых архитектур, до сложных аналитических моделей и численного моделирования сложных систем. Соответствующий метод зависит от архитектуры системы, требуемого уровня точности и сложности рассматриваемых режимов отказа. Понимание этих различных подходов позволяет инженерам выбрать наиболее подходящую технику расчета для их конкретного применения.

Упрощенная формула PFD для одноканальных систем

Для простейшего случая одноканальной приборной функции безопасности, работающей в режиме низкого спроса со 100% покрытием теста на доказательство, средняя ПФД может быть аппроксимирована с использованием простой формулы. Этот упрощенный подход предполагает, что опасные необнаруженные сбои накапливаются линейно в течение интервала теста на доказательство и что система восстанавливается до нового состояния после каждого успешного теста на доказательство. Основная формула:

PFD_avg = (λ_DU × TI) / 2

Где λ _DU — опасная необнаруженная частота отказов, а TI — интервал проверки. Разделение на два отражает эффект усреднения — в начале интервала испытания PFD по существу равен нулю (при условии успешного теста доказательства), и он линейно увеличивается до λ_DU × TI в конце интервала, делая среднее значение половиной максимума.

Эта упрощенная формула обеспечивает разумную точность для систем с низкими скоростями отказа и относительно короткими интервалами испытаний, где вероятность отказа остается небольшой на протяжении всего интервала. Однако она становится менее точной по мере увеличения значений ПФД выше примерно 0,1, по мере того как линейное приближение ломается и становятся значимыми термины более высокого порядка. Для более точных результатов, особенно для приложений SIL 1 и SIL 2, где значения ПФД приближаются к этим пределам, следует использовать более сложные методы расчета.

Формула PFD, включающая все факторы

Более полный расчет ПФД включает дополнительные факторы, включая опасные обнаруженные сбои, среднее время ремонта и несовершенное покрытие проверки доказательств. Полной формулой для одноканальной системы становится:

PFD_avg = (λ_DU × TI) / 2 + (λ_DD × MTTR) + (λ_DU × (1 — PTC) × TI²) / (2 × TI)

Первый термин представляет собой вклад опасных незамеченных сбоев, идентичных упрощенной формуле. Второй термин объясняет опасные обнаруженные сбои, где MTTR (среднее время ремонта) представляет собой среднее время, когда система остается в неисправном состоянии после опасного обнаруженного сбоя, но до его ремонта. Этот термин обычно невелик, потому что обнаруженные сбои вызывают тревоги, которые вызывают быстрый ремонт, но он становится значительным для систем с высокой опасной частотой обнаружения сбоев или медленным временем отклика на ремонт.

Третий термин касается несовершенного покрытия теста на доказательство, что учитывает опасные сбои, которые остаются незамеченными даже после тестирования на доказательство. Этот термин растет с квадратом интервала тестирования, что делает его все более важным для систем с длинными интервалами тестирования или низким покрытием теста на доказательство. Когда покрытие теста на доказательство составляет 100%, этот термин исчезает, сводя формулу только к первым двум терминам.

Расчеты PFD для избыточных архитектур

Избыточные архитектуры значительно усложняют вычисления PFD, поскольку функция безопасности выходит из строя только при возникновении конкретной комбинации отказов компонентов.Обычные избыточные конфигурации включают в себя 1oo2 (один-из-двух), 2oo3 (два-из-трех) и 2oo4 (два-из-четыре) механизмы голосования, где обозначение указывает, сколько каналов должно согласиться на поездку для активации функции безопасности. Эти архитектуры обеспечивают повышенную надежность по сравнению с одноканальными системами, но требуют более сложного математического анализа.

Для архитектуры 1oo2 (где любой канал может сбить функцию безопасности) система выходит из строя только тогда, когда оба канала испытывают опасные сбои одновременно. Расчет PFD должен учитывать вероятность случайных сбоев, которая обычно намного ниже, чем для одного канала.Приближенная формула для системы 1oo2 с идентичными каналами:

PFD_avg ≈ [λ_DU × TI]² / 3 + λ_DD × MTTR × [λ_DU × TI

Эта формула показывает, что ПФД для системы 1oo2 пропорциональна квадрату одноканальной ПФД, что приводит к резкому повышению производительности безопасности, однако эта архитектура увеличивает вероятность ложных поездок, поскольку безопасный отказ в любом канале может вызвать ненужное отключение.

Для архитектуры 2oo3 (где два из трех каналов должны согласиться на поездку) система обеспечивает как повышенную надежность, так и снижение ложных скоростей поездки по сравнению с более простыми архитектурами. Расчет PFD становится более сложным, требующим рассмотрения нескольких комбинаций отказов. Специализированные программные инструменты обычно используются для точных расчетов PFD сложных избыточных архитектур, поскольку ручные вычисления становятся склонными к ошибкам и трудоемкими.

Причины сбоев и бета-фактор

Сбои в работе с общими причинами представляют собой критическое соображение в расчетах избыточных систем ПФД. Это сбои, которые влияют на несколько каналов одновременно из-за общей первопричины, такие как условия окружающей среды, ошибки проектирования, ошибки технического обслуживания или внешние события. Сбои в работе с общими причинами подрывают предположение о независимости, которое делает избыточность эффективной, потенциально вызывая отказ нескольких каналов вместе и компрометируя функцию безопасности, несмотря на избыточную архитектуру.

Модель бета-фактора (β) обеспечивает упрощенный подход к учету сбоев общей причины в расчетах PFD. Бета-фактор представляет собой долю общих сбоев, которые влияют на все каналы одновременно. Например, бета-фактор 0,1 означает, что 10% сбоев являются сбоями общей причины, влияющими на все каналы, в то время как 90% являются независимыми сбоями, влияющими только на одиночные каналы. Бета-фактор включен в расчеты PFD путем разделения частоты сбоев на независимые и общие компоненты причины:

λ_{независимый} = λ × (1 — β)

λ_{общая причина} = λ × β

Типичные значения бета-фактора варьируются от 0,01 до 0,10 в зависимости от степени разнообразия и разделения между избыточными каналами. Более низкие бета-факторы достигаются благодаря тщательной практике проектирования, включая физическое разделение, различные технологии, разных производителей, отдельные источники питания и независимые процедуры обслуживания. Стандарт IEC 61508 предоставляет руководство по выбору бета-фактора на основе мер, реализованных для уменьшения сбоев общей причины.

Уровень целостности безопасности (SIL)

Уровни целостности безопасности обеспечивают стандартизированную основу для классификации функций, основанных на безопасности, на основе их надежности и способности снижения риска. Концепция SIL, установленная стандартами IEC 61508 и IEC 61511, создает общий язык для определения, проектирования и проверки производительности системы безопасности в различных отраслях и приложениях. Категоризируя функции безопасности на дискретные уровни, SIL обеспечивает последовательную связь между заинтересованными сторонами и обеспечивает четкие цели для проектирования и проверки системы.

В рамках SIL признается, что различные риски процесса требуют разных уровней снижения риска и что достижение более высокой надежности сопряжено с повышенными затратами и сложностью. Не каждая функция безопасности требует максимально возможной надежности - требуемая SIL должна определяться посредством систематической оценки риска, которая учитывает серьезность и вероятность потенциальных опасностей. Этот подход, основанный на риске, обеспечивает эффективное распределение ресурсов безопасности, уделяя самое строгое внимание наиболее важным функциям безопасности.

Классификация SIL и диапазоны PFD

Стандарты IEC 61508 и IEC 61511 определяют четыре уровня целостности безопасности для функций безопасности в режиме низкого спроса, при этом SIL 4 представляет собой самый высокий уровень целостности безопасности, а SIL 1 - самый низкий. Каждый SIL соответствует определенному диапазону средних значений PFD, которые количественно определяют надежность функции безопасности. Система классификации SIL использует логарифмические интервалы, причем каждый уровень представляет примерно на порядок улучшение надежности:

• SIL 1: PFD_avg между 10^-1 и 10^-2 (0,1-0,01) — Фактор снижения риска (RRF) от 10 до 100
• SIL 2: PFD_avg между 10^-2 и 10^-3 (0,01-0,001) — Фактор снижения риска от 100 до 1000
• SIL 3: PFD_avg между 10^-3 и 10^-4 (0,001-0,0001) — Фактор снижения риска от 1000 до 10 000
• SIL 4: PFD_avg между 10^-4 и 10^-5 (0,0001-0,000001) — Фактор снижения риска от 10 000 до 100 000

Фактор снижения риска (RRF) представляет собой обратную сторону PFD_avg и указывает, насколько функция безопасности снижает частоту опасного события. Например, функция безопасности SIL 2 с PFD_avg 0,005 обеспечивает RRF 200, то есть уменьшает частоту опасного события в 200 раз по сравнению с отсутствием функции безопасности.

Важно отметить, что применение SIL 4 относительно редко встречается в перерабатывающих отраслях, как правило, зарезервировано для ядерных и аэрокосмических применений, где последствия отказа являются катастрофическими и затрагивают большие популяции. Большинство функций безопасности технологической промышленности попадают в диапазон SIL 1 через SIL 3, причем SIL 2 является наиболее распространенной целью для типичных опасностей процесса.

Определение требуемого SIL с помощью оценки риска

Требуемый SIL для функции, используемой для обеспечения безопасности, определяется посредством систематической оценки риска, которая оценивает тяжесть и вероятность потенциальных опасных событий. Для определения SIL существует несколько методов, включая матрицы рисков, графики рисков, анализ уровня защиты (LOPA) и количественную оценку риска. Каждый метод обеспечивает структурированный подход к оценке рисков процесса и определению соответствующего уровня снижения риска, требуемого от функций, используемых для обеспечения безопасности.

Анализ уровня защиты (LOPA) стал наиболее широко используемым методом определения SIL в технологических отраслях. LOPA - это полуколичественная методика оценки риска, которая идентифицирует инициирующие события, оценивает их частоту, учитывает тяжесть потенциальных последствий и учитывает существующие независимые уровни защиты. Требуемое снижение риска от функции приборов безопасности рассчитывается путем сравнения частоты несмягченных событий с частотой переносимых событий на основе тяжести последствий. Это требуемое снижение риска напрямую переводится на требуемый уровень SIL.

Графики риска, как описано в МЭК 61511, обеспечивают альтернативный качественный подход к определению SIL. Графики риска рассматривают четыре параметра: тяжесть последствий (C), частоту воздействия опасности (F), возможность избежать опасности (P) и вероятность нежелательного возникновения (W). Следуя путям принятия решений через график риска на основе этих параметров, инженеры достигают требуемого уровня SIL. Хотя менее точные, чем LOPA, графики риска обеспечивают быстрый и последовательный метод определения SIL, который особенно полезен на ранних этапах проектирования.

SIL проверка и валидация

После того, как функция, оснащенная инструментами безопасности, была разработана для удовлетворения требуемого SIL, действия проверки и проверки подтверждают, что конструкция фактически достигает целевой надежности. Проверка SIL включает в себя вычисление PFD _avg проектируемой системы и подтверждение того, что она попадает в требуемый диапазон SIL. Этот расчет должен учитывать все компоненты функции безопасности, включая датчики, логические решатели и конечные элементы, а также архитектуру системы, диагностическое покрытие, интервалы испытаний на доказательство и сбои общей причины.

Валидация выходит за рамки численной проверки, чтобы подтвердить, что функция, используемая для обеспечения безопасности, подходит для ее предполагаемого применения и фактически снизит риск, как это предусмотрено. Деятельность по проверке включает в себя пересмотр спецификации требований безопасности, подтверждение того, что все опасные сценарии рассматриваются, проверку того, что функция безопасности отвечает надлежащим образом всем условиям процесса, и обеспечение того, чтобы конструкция системы учитывала все соответствующие режимы отказа и эксплуатационные ограничения. Валидация обычно включает в себя несколько заинтересованных сторон, включая инженеров-технологов, инженеров по безопасности, оперативный персонал и обслуживающий персонал.

Для применения SIL 2 и более высоких стандартов часто требуется независимая проверка и проверка со стороны квалифицированных третьих сторон, особенно в юрисдикциях со строгим надзором со стороны регулирующих органов. Этот независимый обзор обеспечивает дополнительную уверенность в том, что конструкция системы безопасности является надлежащей и что расчеты были выполнены правильно. Уровень независимости и требуемая строгость увеличиваются с уровнем SIL, что отражает более серьезные последствия отказа для функций безопасности с более высокой степенью целостности.

Практические стратегии проектирования для достижения целевого SIL

Проектирование систем, оснащенных приборами безопасности, для достижения конкретных целей SIL требует систематического подхода, который учитывает множество факторов, включая выбор компонентов, архитектуру системы, диагностические возможности и стратегии тестирования. Инженеры имеют множество вариантов проектирования, каждый из которых имеет различные последствия для эффективности безопасности, стоимости, сложности и операционного воздействия. Понимание этих вариантов и их компромиссов позволяет принимать эффективные проектные решения, которые отвечают требованиям безопасности, оптимизируя общую производительность системы.

Выбор компонентов и данные о надежности

Основой любой конструкции приборной системы безопасности является выбор соответствующих компонентов с хорошо задокументированными характеристиками надежности. Сертифицированные по безопасности устройства, соответствующие МЭК 61508, предоставляют данные о частоте отказов, предоставляемые производителем, спецификации диагностического покрытия и процедуры испытаний на соответствие требованиям, которые были проверены посредством строгих процессов тестирования и сертификации. Использование сертифицированных устройств упрощает расчеты PFD и обеспечивает большую уверенность в точности прогнозов надежности.

При выборе компонентов инженеры должны учитывать не только общую частоту отказов, но и распределение между опасными и безопасными отказами, а также диагностическое покрытие, обеспечиваемое встроенными функциями самотестирования. Современные интеллектуальные передатчики, например, включают в себя обширную диагностику, которая непрерывно контролирует здоровье датчиков, функциональность электроники и целостность связи, достигая уровней диагностического покрытия 90% или выше. Аналогичным образом, интеллектуальные позиционеры клапанов обеспечивают непрерывный мониторинг положения клапана, давления подачи воздуха и производительности привода, обнаруживая многие потенциальные сбои, прежде чем они могут поставить под угрозу производительность функции безопасности.

Для приложений, где сертифицированные устройства недоступны или где опыт работы на заводе предполагает разные показатели отказов, чем данные производителя, инженерам может потребоваться разработать пользовательские данные надежности. Это требует тщательного анализа записей о сбоях, учета условий эксплуатации и факторов стресса и применения соответствующих факторов неопределенности для учета ограничений данных. Отраслевые базы данных, такие как OREDA и PDS (Данные надежности для систем с приборами безопасности) предоставляют ценные данные бенчмаркинга для распространенных типов устройств.

Оптимизация архитектуры системы

Архитектура системы — расположение и логика голосования избыточных каналов — представляет собой один из самых мощных инструментов для достижения целевых уровней SIL. Одноканальные (1oo1) архитектуры просты и экономически эффективны, но обычно могут достичь только производительности SIL 1 или низкой производительности SIL 2. Избыточные архитектуры обеспечивают значительно улучшенную надежность, требуя нескольких одновременных отказов до того, как функция безопасности будет скомпрометирована.

Выбор между различными избыточными архитектурами включает в себя балансирование производительности безопасности от ложных тарифов поездок. Архитектура 1oo2 (где любой канал может выполнять функцию безопасности) обеспечивает отличную производительность безопасности, но удваивает ложную скорость поездки по сравнению с одним каналом, потому что безопасный отказ в любом канале вызывает ненужное отключение. Архитектура 2oo3 обеспечивает как улучшенную производительность безопасности, так и снижение ложных поездок по сравнению с 1oo1, что делает ее привлекательным вариантом для критических приложений, где важна безопасность и доступность.

Частичное резервирование, когда излишни только определенные элементы функции безопасности, предлагает экономически эффективный компромисс для многих приложений. Например, в общей конструкции используются избыточные датчики в схеме голосования 2oo3, питающей один логический решатель и конечный элемент. Эта архитектура учитывает типично более высокие показатели отказов полевых датчиков, избегая при этом стоимости и сложности полностью избыточной логики и конечных элементов. Соответствующий уровень и местоположение избыточности должны определяться с помощью расчетов PFD, которые определяют, какие компоненты наиболее значительно способствуют общей недоступности системы.

Максимальное диагностическое покрытие

Диагностический охват напрямую влияет на ПФД, определяя, какая доля опасных сбоев остается незамеченной между доказательными тестами. Современные приборные системы безопасности включают в себя сложные диагностические возможности, которые постоянно контролируют здоровье системы и автоматически обнаруживают многие потенциальные сбои. Максимизация диагностического охвата снижает опасную частоту необнаруженных сбоев (λ _{] DU} ), которая является основным фактором ПФД в большинстве систем.

Эффективные стратегии диагностики включают проверку диапазона для обнаружения сбоев датчиков за пределами нормальных рабочих границ, перекрестное сравнение избыточных измерений для выявления расхождений, тестирование частичного хода клапанов отключения для проверки возможности движения без полного прерывания процесса, таймеры сторожевых собак для обнаружения сбоев обработки логических решателей и комплексный мониторинг связи для выявления проблем в сети. Ключом является реализация диагностики, которая обнаруживает реальные сбои без создания чрезмерных неприятных сигналов тревоги, которые могут привести к усталости тревоги и ненадлежащим ответам оператора.

Достижение высокого диагностического охвата требует тщательного внимания к режимам отказа, которые трудно обнаружить. Например, отказы уплотнения процесса в передатчиках давления, утечка внутреннего клапана сиденья и определенные типы деградации электронных компонентов могут быть не обнаружены с помощью стандартных диагностических методов. Передовые методы диагностики, такие как анализ подписи, мониторинг производительности и алгоритмы прогнозного обслуживания, могут решать некоторые из этих сложных режимов отказа, но могут потребовать дополнительных инструментов или сложных возможностей анализа.

Оптимизация интервалов тестовых испытаний

Интервал испытания на доказательство представляет собой ключевой параметр конструкции, который непосредственно влияет на ПФД и может быть скорректирован для достижения целевых уровней ПФР. Уменьшение интервала испытания на доказательство уменьшает ПФД примерно линейно, что делает его мощным инструментом для повышения эффективности безопасности. Однако более частое тестирование увеличивает затраты, прерывания производства и потенциал для человеческой ошибки во время испытательных мероприятий. Оптимальный интервал испытания на доказательство уравновешивает эти конкурирующие факторы, обеспечивая при этом достижение требуемого ПФР.

Для систем с высоким диагностическим покрытием преимущество частого доказательного тестирования уменьшается, поскольку большинство опасных сбоев обнаруживаются автоматически. В этих случаях более длинные интервалы доказывания могут быть приемлемыми без значительного воздействия на ПФД. И наоборот, системы с ограниченными диагностическими возможностями в значительной степени полагаются на доказательное тестирование для выявления скрытых сбоев, что делает более короткие интервалы тестирования более критичными. Расчеты ПФД следует использовать для оценки различных сценариев интервала доказывания и определения оптимальной частоты тестирования для каждой функции безопасности.

Частичное испытание на удар выключающими клапанами стало эффективной стратегией сокращения эффективных интервалов испытаний без полного прерывания процесса. Частичные испытания на удар перемещают клапан на небольшой процент от его полного перемещения, проверяя, что клапан может двигаться и что исполнительный механизм и позиционер функционируют, сохраняя при этом процесс в режиме онлайн. Эти испытания могут проводиться гораздо чаще, чем испытания на полный ход, что значительно снижает вклад PFD от конечных элементов. Однако частичное испытание на удар не проверяет полную возможность закрытия клапана или герметизации, поэтому периодические испытания на полный ход все еще требуются.

Общие проблемы и подводные камни в расчетах ПФР

Несмотря на наличие стандартов, руководящих принципов и средств расчета, расчеты ПФД по-прежнему подвержены ошибкам и недоразумениям, которые могут привести к неправильным классификациям СИЛ и неадекватным характеристикам системы безопасности.Признание этих общих проблем и осуществление соответствующих мер обеспечения качества помогает обеспечить точные и надежные конструкции системы безопасности.

Неполные системные границы

Одна из наиболее распространенных ошибок в расчетах ПФД заключается в невключении всех компонентов, которые являются частью функции, используемой для обеспечения безопасности. Полная функция безопасности распространяется от датчиков процесса, которые обнаруживают опасное состояние, через все элементы кондиционирования и передачи сигналов, через логический решатель, который принимает решение о поездке, через все элементы конечного управления и их исполнительные механизмы, до конечного эффекта процесса, который фактически смягчает опасность. Отказ от любого элемента в этой цепи приводит к оптимистичному расчету ПФД, который недооценивает истинную вероятность отказа.

Вспомогательные компоненты, такие как источники питания, пневматические системы питания, соединительные коробки, барьеры и сети связи, также должны учитываться, если их отказ может помешать работе функции безопасности. Например, потеря подачи воздуха прибора может предотвратить закрытие пневматических клапанов отключения, эффективно отключая функцию безопасности независимо от того, насколько надежными могут быть датчики и логический решатель. Аналогичным образом, сбои питания, перебои в сети связи или неисправности проводки соединительного короба могут поставить под угрозу производительность функции безопасности и должны быть включены в расчеты PFD.

Несоответствующие данные о частоте отказов

Использование данных о частоте отказов, которые не соответствуют фактическим условиям применения, представляет собой еще один значительный источник ошибок в расчетах PFD. Частота отказов существенно варьируется в зависимости от условий окружающей среды, уровня рабочего напряжения, качества обслуживания и конкретных факторов применения. Общие данные о частоте отказов от производителей или отраслевых баз данных могут не точно отражать условия на конкретном заводе или в приложении, что приводит к чрезмерно оптимистичным или излишне консервативным прогнозам надежности.

Экологические факторы, такие как экстремальные температуры, вибрация, коррозионные атмосферы и электрические помехи, могут значительно увеличить частоту отказов по сравнению с доброкачественными условиями. Аналогичным образом, работающие устройства вблизи пределов их конструкции, такие как передатчики давления, работающие вблизи максимальных давлений или управляющие клапаны с высокими падениями давления, увеличивают напряжение и ускоряют механизмы отказа. При применении данных о частоте отказов инженеры должны проверить, что условия источника данных соответствуют фактическому применению или применять соответствующие факторы регулировки для учета различий.

Переоценка диагностического охвата

Производители часто указывают значения диагностического покрытия для своих устройств на основе комплексных возможностей самотестирования, встроенных в оборудование. Однако достижение этих уровней диагностического покрытия на практике требует правильной конфигурации, регулярной проверки правильности функционирования диагностики и надлежащего реагирования на диагностические сигналы.Просто установка устройства с высокой диагностической способностью не обеспечивает автоматически высокий диагностический охват, если диагностика отключена, неправильно сконфигурирована или проигнорирована.

Кроме того, спецификации диагностического покрытия производителя могут не учитывать все режимы отказа, относящиеся к конкретному приложению. Например, интеллектуальный передатчик может иметь отличную диагностику электронных сбоев, но ограниченную способность обнаруживать утечки уплотнения процесса или блокировки импульсных линий. Инженеры должны тщательно анализировать конкретные режимы отказа, охватываемые диагностическими функциями, и учитывать, существуют ли дополнительные режимы отказа, которые не контролируются должным образом. Консервативная инженерная практика часто применяет понижающий фактор к диагностическому покрытию, определенному производителем, для учета этих практических ограничений.

Пренебрежение общими причинами неудач

Сбои в работе по общей причине могут резко снизить эффективность избыточных архитектур, однако иногда они упускаются из виду или неадекватно рассматриваются в расчетах PFD. Использование идентичных компонентов от одного и того же производителя, установленных в одном и том же месте, поддерживаемых одними и теми же процедурами и подвергающихся воздействию одних и тех же условий окружающей среды создает многочисленные возможности для сбоев в работе по общей причине. Ошибки проектирования, ошибки калибровки, ошибки технического обслуживания, экологические события и систематические сбои могут влиять на все избыточные каналы одновременно, подрывая независимость, которая делает избыточность эффективной.

Для уменьшения сбоев в работе по общим причинам требуются целенаправленные меры проектирования, включая физическое разделение избыточных каналов, использование различных технологий или производителей, отдельные источники питания и пневматические источники, пошатнувшиеся графики технического обслуживания и независимые процедуры калибровки. Бета-фактор, используемый в расчетах PFD, должен отражать фактические реализованные меры - просто предполагая низкий бета-фактор без поддержки конструктивных особенностей, приводит к оптимистичным прогнозам PFD, которые не отражают реальную производительность. Стандарт IEC 61508 предоставляет подробные контрольные списки для оценки общих причинных мер по предотвращению сбоев и выбора соответствующих бета-факторов.

Программные инструменты для расчетов PFD и SIL

В то время как простые расчеты PFD могут выполняться вручную с использованием электронных таблиц, сложные системы с инструментами безопасности с избыточными архитектурами, несколькими компонентами и сложными диагностическими стратегиями требуют специализированных программных средств. Эти инструменты автоматизируют математическую сложность расчетов PFD, поддерживают библиотеки данных о надежности компонентов и предоставляют возможности документации, которые поддерживают проверку SIL и соответствие нормативным требованиям.

Программное обеспечение для расчета SIL

В обрабатывающей промышленности для расчетов PFD и SIL широко используются несколько коммерческих программных пакетов. Эти инструменты обычно включают обширные библиотеки предварительно сконфигурированных компонентов с сертифицированными производителем данными о надежности, поддержку различных системных архитектур и конфигураций для голосования, а также автоматизированные расчетные движки, которые реализуют формулы, указанные в IEC 61508 и IEC 61511. Популярные пакеты включают exSILentia, SILSafeData и Safety Lifecycle Suite, каждый из которых предлагает различные функции и возможности, подходящие для различных потребностей пользователей.

Основным преимуществом коммерческого программного обеспечения является сочетание точности вычислений, полных библиотек компонентов и возможностей документации. Эти инструменты генерируют подробные отчеты, показывающие все входы вычислений, промежуточные результаты и конечные значения PFD, обеспечивая документацию, необходимую для проверки SIL и соответствия нормативным требованиям. Многие пакеты также включают функции для управления процедурами проверки доказательств, отслеживания модификаций системы безопасности и поддержания документации жизненного цикла безопасности на протяжении всего срока эксплуатации объекта.

При выборе программного обеспечения для расчета SIL организациям следует учитывать такие факторы, как полнота библиотек компонентов, поддержка пользовательских данных компонентов, простота использования, возможности отчетности, интеграция с другими инженерными инструментами, поддержка и обучение поставщиков. Программное обеспечение должно быть проверено для обеспечения точности вычислений, а пользователи должны быть надлежащим образом обучены, чтобы избежать ошибок ввода и неправильной интерпретации результатов. Регулярные обновления программного обеспечения важны для поддержания текущих библиотек компонентов и включения улучшений в методологии расчета.

Расчеты на основе таблиц

Для более простых функций безопасности или организаций с ограниченным бюджетом расчеты PFD на основе электронных таблиц обеспечивают жизнеспособную альтернативу коммерческому программному обеспечению. Электронные таблицы обеспечивают гибкость для пользовательских расчетов, прозрачность в отображении всех формул и предположений и отсутствие затрат на лицензирование. Однако расчеты электронных таблиц требуют больше ручных усилий, более склонны к ошибкам и не имеют обширных библиотек компонентов и автоматизированных функций документации коммерческих инструментов.

Эффективные расчеты на основе электронных таблиц требуют тщательного внимания к обеспечению качества. Все формулы должны быть четко документированы и проверены в соответствии с опубликованными стандартами, входные ячейки должны четко отличаться от расчетных ячеек, а электронные таблицы должны включать проверки на наличие распространенных ошибок, таких как непоследовательные единицы или значения за пределами диапазона. Независимый обзор расчетов электронных таблиц имеет важное значение, особенно для SIL 2 и более высоких приложений, где ошибки расчета могут иметь значительные последствия для безопасности. Процедуры контроля версий и управления изменениями помогают обеспечить, чтобы расчеты электронных таблиц оставались точными и актуальными по мере изменения данных компонентов или конфигураций системы.

Поддержание работоспособности SIL на протяжении всего жизненного цикла безопасности

Достижение требуемого SIL во время первоначального проектирования представляет собой только первый шаг в управлении системой безопасности. Поддержание проектируемого уровня производительности на протяжении всего срока эксплуатации объекта требует постоянного внимания к тестированию, обслуживанию, управлению изменениями и мониторингу производительности. Концепция жизненного цикла безопасности, как определено в IEC 61511, обеспечивает основу для управления системами безопасности с помощью приборов от первоначальной концепции до вывода из эксплуатации.

Процедуры проверки и технического обслуживания

Эффективное тестирование на доказательство имеет решающее значение для поддержания проектируемых уровней ПФД, поскольку оно выявляет и исправляет опасные необнаруженные сбои, которые накапливаются между испытаниями. Процедуры проверки должны быть всеобъемлющими, четко документированными и последовательно выполняемыми для достижения охвата испытания на доказательство, принятого в расчетах ПФД. Процедуры должны точно указывать, как будет проверяться каждый компонент, какие критерии принятия будут использоваться, как процесс будет настроен во время тестирования и какие меры предосторожности необходимы.

Доказательные испытания сопряжены с собственными рисками, включая возможность человеческой ошибки при проведении испытаний, возможность повреждения оборудования в результате испытаний и риски, связанные с процессом вывода из эксплуатации систем безопасности. Эти риски должны тщательно управляться с помощью подробных процедур, надлежащей подготовки, использования соответствующего испытательного оборудования и осуществления компенсирующих мер во время испытаний. Для критических функций безопасности могут быть уместны временные меры по снижению риска, такие как снижение производственных показателей или усиление мониторинга оператора, в то время как системы безопасности не работают для испытаний.

Мероприятия по техническому обслуживанию, помимо доказывания, также влияют на производительность системы безопасности. Профилактическое обслуживание помогает предотвратить сбои до их возникновения, в то время как корректирующее техническое обслуживание восстанавливает неисправные компоненты в обслуживании. Среднее время ремонта (МТП), предполагаемое в расчетах ПФР, должно быть реалистичным и достижимым, требуя адекватного инвентаризации запасных частей, обученного обслуживающего персонала и эффективных процессов управления работой. Расширенные сроки ремонта из-за нехватки деталей или ограничений ресурсов увеличивают время, в течение которого системы безопасности остаются в неисправном состоянии, ухудшая фактическую производительность ПФР ниже запланированных уровней.

Управление изменениями

Изменения в системах, оборудованных средствами безопасности, будь то преднамеренные модификации или, казалось бы, незначительные замены компонентов, могут повлиять на производительность PFD и SIL. Надежное управление процессом изменений гарантирует, что все модификации оцениваются по их воздействию на производительность системы безопасности и что расчеты проверки SIL обновляются, когда это необходимо. Даже незначительные изменения, такие как замена компонента другой моделью или производителем, могут повлиять на частоту отказов, диагностическое покрытие или процедуры испытаний на доказательство, потенциально ставя под угрозу проектируемый уровень SIL.

Изменения в процессе также требуют оценки их воздействия на системы, оборудованные средствами обеспечения безопасности. Изменения в условиях эксплуатации, сырье, темпах производства или химии процессов могут влиять на уровень спроса на функции обеспечения безопасности, изменять последствия опасных событий или вводить новые опасности, требующие дополнительной защиты. Управление процессом изменения должно включать в себя проверку инженерным персоналом по вопросам безопасности, который может оценить, остаются ли существующие системы безопасности адекватными или необходимы ли изменения для поддержания соответствующих уровней риска.

Мониторинг производительности и постоянное улучшение

Отслеживание фактической производительности системы безопасности путем сбора и анализа данных о неисправности, событий спроса и результатов испытаний обеспечивает ценную обратную связь для проверки проектных предположений и выявления возможностей для улучшения. Сравнение фактических показателей отказов с значениями, используемыми в расчетах PFD, помогает проверить, были ли точные прогнозы надежности и оправданы ли корректировки будущих расчетов. Значительные отклонения между прогнозируемыми и фактическими показателями могут указывать на проблемы с выбором компонентов, условиями эксплуатации, методами обслуживания или данными о надежности, используемыми в расчетах.

Показатели эффективности, такие как ложные показатели скорости поездки, опасные показатели отказов, результаты испытаний на доказательство и результаты событий спроса, должны регулярно пересматриваться и корректироваться с течением времени. Увеличение показателей отказов может указывать на старение оборудования, которое требует замены, неадекватные методы обслуживания или изменение условий эксплуатации, которые увеличивают нагрузку на компоненты системы безопасности. И наоборот, более высокая, чем ожидалось, производительность может указывать на возможности для продления интервалов испытаний на доказательство или упрощения системных архитектур при сохранении требуемых уровней SIL.

Инициативы по постоянному улучшению должны быть сосредоточены на устранении повторяющихся режимов отказа, сокращении ложных поездок, которые влияют на доступность установок, и учете уроков, извлеченных из инцидентов и почти промахов. Обмен информацией в отрасли через такие организации, как Международное общество автоматизации (ISA) и Центр безопасности химических процессов, обеспечивает доступ к более широкому опыту и передовой практике, которые могут информировать местные усилия по улучшению.

Отраслевые стандарты и нормативные требования

Расчет и применение ПФР и СИЛ регулируются международными стандартами, которые обеспечивают подробные требования к проектированию, внедрению, эксплуатации и техническому обслуживанию приборных систем безопасности. Понимание этих стандартов и их взаимосвязи с нормативными требованиями имеет важное значение для обеспечения соответствия и достижения эффективной работы системы безопасности.

IEC 61508 и IEC 61511 Стандарты

IEC 61508 служит основополагающим стандартом функциональной безопасности электрических, электронных и программируемых электронных систем, связанных с безопасностью. Этот всеобъемлющий стандарт устанавливает концепцию SIL, определяет методологии расчета PFD и определяет требования к проектированию, проверке и валидации систем безопасности. Хотя IEC 61508 применим во многих отраслях промышленности, он написан на общем уровне, который требует интерпретации для конкретных применений.

МЭК 61511 адаптирует МЭК 61508 специально для технологических отраслей, предоставляя более подробное руководство по внедрению систем безопасности в химической, нефтехимической, нефтегазовой и смежных объектах. МЭК 61511 рассматривает полный жизненный цикл безопасности от опасности и оценки риска посредством проектирования, внедрения, эксплуатации, технического обслуживания и возможного вывода из эксплуатации. Стандарт подчеркивает важность систематических подходов к управлению безопасностью и требует документации на каждом этапе жизненного цикла, чтобы продемонстрировать, что требования безопасности были выполнены.

Оба стандарта признают, что достижение функциональной безопасности требует не только надежного оборудования, но и требует компетентного персонала, эффективных процедур, соответствующих организационных структур и сильной культуры безопасности. Стандарты определяют требования к компетентности персонала, независимой проверке и системам управления, которые поддерживают устойчивые показатели безопасности на протяжении всего жизненного цикла объекта.

Региональные вариации и принятие нормативных актов

Хотя МЭК 61508 и МЭК 61511 обеспечивают международную основу для функциональной безопасности, различные регионы и юрисдикции приняли эти стандарты с различной степенью нормативного обеспечения. В Европе стандарты функциональной безопасности широко признаны и часто упоминаются в нормативных требованиях к управлению безопасностью процессов. Правила COMAH (контроль основных опасностей аварии) в Великобритании и аналогичные директивы в других европейских странах явно требуют демонстрации адекватных мер безопасности, которые обычно включают в себя проектирование системы безопасности на основе SIL.

В Соединенных Штатах стандарт OSHA по управлению безопасностью процессов (PSM) и правила Программы управления рисками EPA (RMP) явно не предписывают подходы на основе SIL, но они требуют систематической оценки систем безопасности и демонстрации адекватной защиты от опасностей процесса. Многие американские объекты добровольно принимают IEC 61511 в качестве признанной и общепринятой надлежащей инженерной практики (RAGAGEP) для проектирования и управления системами безопасности. Отраслевые инициативы, такие как руководящие принципы Центра безопасности химических процессов , настоятельно рекомендуют подходы на основе SIL в качестве лучшей практики.