Расчет вероятности ложного срабатывания и опасного отказа

[hugo]

Коллеги, добрый день!

Изучаю тут книжку интересную - "Справочник инженера по АСУ ТП: Проектирование и разработка" (Ю.Н. Федоров)
Вот в самом начале уже появился вопрос - по оценке вероятностей ложных и опасных отказов контура. Причем тут мое мнение разошлось с мнением авторитетного (как я думаю) человека-автора. Вывод: я чего-то не понимаю
Суть:
имеется простейший контур

Т1 - некий датчик
V1 - вентиль, срабатывающий по сигналу от Т1

....далее буду упрощать по сравнению с книгой, дабы не напрягать лишний раз и так напряженный мозг инженера
Примем следующие обозначения:
ST1 - вероятность ложного срабатывания датчика Т1
SV1 - вероятность ложного срабатывания вентиля V1
DT1 - вероятность опасного отказа датчика Т1
DV1 - вероятность опасного отказа вентиля V1

Так вот. В данном случае (схема 1) все понятно:
- вероятность ложного срабатывания всей системы:
S=ST1+SV1 ложно сработает датчик (при этом открыв вентиль) или ложно сработает (откроется) вентиль

- вероятность опасного отказа всей системы:
D=DT1+DV1 в нужный момент откажет датчик (при этом не открыв вентиль) или откажет вентиль


Далее автор приводит схему с дублированными датчиками и похожими расчетами. Тут у меня с ним мнения сходятся :)
Далее - интереснее.

Схема с дублированным вентилем:

Так вот тут автор утверждает следующее:
Вероятность ложного срабатывания всей системы:
S=ST1+SV1+SV2 т.е. ложно сработает датчик (открыв оба вентиля) или ложно сработает первый вентиль или ложно сработает второй вентиль
вероятность опасного отказа всей системы:
D=DT1+DV1*DV2 т.е. откажет датчик или (откажет первый вентиль и откажет второй вентиль)

(специально выделяю и/или, т.к. все это сводится к булевой логике)

Вот это его утверждение никак у меня в голове не укладывается.
Ведь вся система ложно сработает, если ложно откроются оба вентиля одновременно, т.е.
S=ST1+SV1*SV2

А опасный отказ - в случае, когда вентиль 1 или вентиль 2 откажут (а не оба вместе, как утверждает автор), т.е.
D=DT1+DV1+DV2



Ну явно в моей гипотезе ошибка, только все никак не могу понять где?! Подскажите, где я неправ?
*написал много, надеюсь, не слишком утомительно и доходчиво. Пытался все попроще и покороче

[Ryzhij]

ИМХО причина Вашего непонимания в том, что Фёдоров рассматривает в книге V1 как ОТСЕЧНОЙ клапан.
Т.е. клапан, который должен ЗАКРЫТЬСЯ в аварийной ситуации, в то время как Вы трактуете об ОТКРЫТИИ клапана (или клапанной сборки) в случае аварии.

[hugo]

ах тыж блин)))))

[hugo]

с такой логикой все работает


целый день голову ломаю. Спасибо, внимательный человек!

[Ka3ax]

ИМХО причина Вашего непонимания в том, что Фёдоров рассматривает в книге V1 как ОТСЕЧНОЙ клапан.
Т.е. клапан, который должен ЗАКРЫТЬСЯ в аварийной ситуации, в то время как Вы трактуете об ОТКРЫТИИ клапана (или клапанной сборки) в случае аварии.

я продолжу, так как сей момент не ясен.
правильно, отсечной и он закрывается. Два последовательно, или один или другой. то умножение быть должно.
Надежность аварийного срабатывания увеличивается, а не снижается. Вероятность ложного срабатывания увеличивается.
При паралельном, сложение, надежность аварийного срабатывания снижается.
а вот если бы редукционный клапан был, то наоборот.

мне думается, что перепутаны формулы к задачам последовательного и паралельного включения.

ps
пока сочинял, понял вышесказанную идею Ryzhij.
Он имеет ввиду не клапан, не механику, а соленоид, пневмопривод и так далее.
Но в таком случае нельзя употреблять термин клапан. Нужно уточнять. Так как суммарная надежность складывается из
механической и элекстрической составляющей.
Уточните, поправьте, подскажите, пожалуйста

[Ryzhij]

Он имеет ввиду не клапан, не механику, а соленоид, пневмопривод и так далее.

И да, и нет.
Да, потому что надёжность срабатывания клапана, действительно, складывается из характеристик надёжности всех устройств в контуре управления им.
Но обычно используют уже конечную величину надёжности для контура управления.

Нет, потому что Ryzhij имел ввиду, что для расчёта вероятности отказа ОТСЕКАЮЩЕЙ сборки (т.е. вероятности НЕЗАКРЫТИЯ ОБОИХ клапанов) формулы в книге приведены верно.
Правда-правда!

[Ka3ax]

Нет, потому что Ryzhij имел ввиду, что для расчёта вероятности отказа ОТСЕКАЮЩЕЙ сборки (т.е. вероятности НЕЗАКРЫТИЯ ОБОИХ

не вкурю, если последовательно, надежность выполнения режима отсечки выше, тем более если конечная величина надежности используется. покурю книгу еще, но чисто логически,- отсечка последовательно, наполнение или редукция паралельно-, повышают
надежность выполнения предписанной функции.
если совместная конечная величина берется, то здесь отказ соленоида(пневмопривода и так далее) прямого характера ведет в первом случае к закрытию, если не заклинило механику (но две ошибки паралельно редко бывают, но на моем веку встречал и не раз в газовом оборудовании), во втором всегда худший вариант, тоесть заклинило.
скорей всего не правильно представляю конструкцию клапана.
но все одно, если у него имеется открытое состояние, но при неисправности он может в этом положении и остаться.
ну покажите мне другую ветку логичного рассуждения, иначе схожу с ума, как и автор темы

[Ryzhij]

Вы совершенно правы в своих выводах о надёжности.
А вот рассуждения о конструкции самого клапана (НО или НЗ) и его привода (СО или СЗ) тут совершенно излишни, хотя должны учитываться при оценке пассивной безопасности системы.
Ю.Н.Фёдоров рассматривает узлы с идентичной суммарной (по контуру управления) надёжностью, и показывает каким образом следует строить надёжные системы.
Но следует постоянно помнить о том, что надёжность всегда оценивается не вообще, а лишь по заранее выбранному критерию.
В приведённых примерах оценка производится по критерию опасного отказа, но относительность и ограниченность самого понятия опасный отказ Ю.Н.Фёдоров оговаривает в самом начале своей книги.
==============
примечания:
НО - нормально открытый;
НЗ - нормально закрытый;
СО - сигнал открывает, например: ВО - воздух открывает;
СЗ - сигнал закрывает, например: ВЗ - воздух закрывает.

[Ka3ax]

FOOBO.JPG

судя по книге, мое логика не расходится с понитем опасный отказ.
опасный отказ для отсечного клапана это не закрытие. PLC идеальный и вовремя снимает напряжение с соленоида.
вот если бы с фальшивое срабатывание, читай закрытие, тогда бы сложение.
не вижу, за что зацепиться, что бы на вашу волну переключиться.
что то уже ущербным себя чувствую.
я по программам SISTEMA и PASKAL посмотрел , они по моей логике работают. Но опять же я по своей логике
цепи описываю.

Отправлено спустя 20 минут 39 секунд:
повидимому процесс познания остановился, книгу купить нет возможности, а
в наличии только такого качества

FOOBO2.JPG

[Ryzhij]

А мне кажется, что мы с Вами как раз на одной волне )))
и одинаково понимаем логику "опасного отказа".

Однако у Ю.Н.Фёдорова есть справедливое замечание про то, что ложный аварийный останов крупнотоннажного опасного производства вряд ли можно считать "безопасным". Именно этот нюанс теперь учитывают новые российские федеральные правила взрывобезопасности химических и нефтехимических производств, когда вводят обязательность расчёта СПАЗ и на ложное срабатывание.

[rwg]

Для того, чтобы рассчитать вероятность отказа системы, нужно знать вероятности отказов входящих в неё элементов. Для радиодеталей я видел такую информацию в книге Дружинина 1968 :) года издания. А где брать более свежую информацию, применительно к датчикам и исполнительным устройствам?

[Ryzhij]

А где брать более свежую информацию, применительно к датчикам и исполнительным устройствам?

Запрашивать соответствующий сертификат у производителя.

[ava]

путается

А где брать более свежую информацию, применительно к датчикам и исполнительным устройствам?

В международным базах данных, типа ODERA и др подобных. Но РФ не гармонизировала эти базы данных. Есть в Инете.... старые издания...но для нас и они будут откровениями

Отправлено спустя 3 минуты 16 секунд:

повидимому процесс познания остановился, книгу купить нет возможности, а
в наличии только такого качества

Лучше всего приобрести книги справочники по АСУ, СКАДА, ПАЗ, УУН бывшей ТНК БП... там есть все

Отправлено спустя 19 минут 58 секунд:

Ну явно в моей гипотезе ошибка, только все никак не могу понять где?! Подскажите, где я неправ?

надо вернуться к исходной точке. Есть два элемента и их вероятности отказа.( Р1 и Р2) Вероятность Отказа одного из двух = Р1 + Р2.. Вероятность Отказа двух сразу= Р1 х Р2..
1. Вероятность отказа сразу двух параллельных датчиков как системы = Р1 х Р2.
2. Вероятность отказа последовательных клапанов как системы = Р3 + Р4.
3. Вероятность отказа контроллера как системы = Р5.

вероятностью отказа 3х последовательных подсистем как единой системы = (Р1 х Р2) + (Р3 + Р4) + Р5.
Что здесь непонятно?????

[Ryzhij]

надо вернуться к исходной точке

Если уж возвращаться к исходной точке, то точкой этой должна быть модель безопасности системы.
Разные модели - разные формулы и разные значения вероятностей отказов элементов модели.
Ибо разные модели имеют разную степень детализации своей структуры.

[ava]

должна быть модель безопасности системы.

теория вероятности это ветвь математики.
Нужна не модель безопасности, а по результатам анализа рисков и определение УПБ (СИЛ) просто составить петлю ПАЗ с заданным УПБ (СИЛ).

[Ryzhij]

теория вероятности это ветвь математики.

Без конкретики теория ничем Вам не поможет.
"- Прибор?
- Сорок!
- Что "сорок"?!
- А что "прибор"?"
Архитектура контроллера ПАЗ по-разному проявляется для расчёта вероятности "опасного отказа", величина которой определяет УПБ (SIL) и для расчёта вероятности "ложного срабатывания".
Для расчёта последней, кстати, даже стандартной методики нет

[keysansa]

А вы вероятность наступления какого события считаете? Что оба клапана закроются, надеюсь?

[ava]

Замечание в руководстве от ВР

Ложные срабатывания

• В случае необходимости в SIF рабочей группе по LOPA следует оценить издержки, связанные с ложными срабатываниями.

• Данная информация потребуется проектной группе по автоматизированной системе защиты (SIS) для определения того, обосновано ли использование дополнительного оборудования для сокращения ложных срабатываний.

• Для получения информации по функциональной спецификации SIS, имеющей отношение к данному вопросу, обращайтесь к Практическому руководству 76.

[keysansa]

Для расчёта последней, кстати, даже стандартной методики нет

У нас же есть состояние "опасный отказ". Оно наступает при некоторых условиях.
Можете пояснить?

[Ryzhij]

Можете пояснить?

В свете того, что мы обсуждаем содержание книги "Федоров Ю.Н. Справочник инженера по АСУТП: Проектирование и разработка. Учебно-практическое пособие. - М.: Инфра-Инженерия, 2008" в целом, и её главы "1.5. Стереотипы резервирования" в частности, Ваш вопрос мне непонятен.
Определение понятия "опасного отказа" дано в стандарте 61508. Там же даны методики расчёта и оценки вероятности опасного отказа для систем разного типа. Ложное срабатывание СПАЗ этим стандартом относится к "безопасному отказу", но методики расчёта (оценки) вероятности ложного срабатывания в стандарте нет.
В обсуждаемой главе автор приводит около шести различных моделей безопасности, для которых производит оценку вероятности как опасного отказа, так и ложного срабатывания.
Вы обсуждаемый материал читали, или пользуетесь только упрощённым в меру понимания изложением топик-стартера?

Отправлено спустя 10 минут 50 секунд:

Замечание в руководстве от ВР
Ложные срабатывания
• В случае необходимости...

Компания "ТНК-BP" де-факто прекратила своё существование ещё до того, как в "Межотраслевых правилах безопасности..." появились требования по оценке вероятности ложного срабатывания СПАЗ.

[keysansa]

Вы обсуждаемый материал читали, или пользуетесь только упрощённым в меру понимания изложением топик-стартера?

Я заканчивал обучение в 2000 году. Данной книги, судя по всему еще не было. Но врядли что-то сильно изменилось ) Кроме реле первого класса надежности )

[Ryzhij]

Я заканчивал обучение в 2000 году.

А я окончил ВУЗ в 1984-м, но читать до сих пор не разучился, поэтому учусь постоянно.
Где-то во втором семестре, когда нас учили пользоваться библиотекой, до нас донесли простую мысль: "Как только инженер перестает следить за новинками литературы по специальности, он проффесионально умирает".
И ведь не соврали!

[keysansa]

И ведь не соврали!

Согласен, я дочитываю прошлую книгу, что вы предложили почитать. Спасибо, хорошая книга по связи. Но нового там мало, кроме англоязычных терминов.
Как дочитаю, начну эту. Надеюсь, что-то новое таки найду.

[ava]

У нас же есть состояние "опасный отказ". Оно наступает при некоторых условиях.
Можете пояснить?

Опасные и безопасные отказы
Чтобы расчеты надежности имели значение, нужно знать не только частоту отказов
системы, но и то, как система может выйти из строя, т. е. тип отказа.
Типы отказов классифицируются как безопасные или опасные. На рис. показан
газовый трубопровод. Если по трубопроводу подается топливо на электростанцию и
отсекающий клапан выйдет из строя и произведет ложное отключение, подача топлива
будет прервана и это, возможно, приведет к финансовым потерям, но в данном случае
тип отказа (поломка в закрытом состоянии) является безопасным.
Если тот же клапан сломается в открытом состоянии, подача топлива сохранится, но
создастся ситуация повышенного давления. При этом невозможно изолировать
топливо и обезопасить трубопровод. Поэтому данный тип отказа (поломка в открытом
состоянии) рассматривается как опасный.

Отправлено спустя 28 минут 47 секунд:
Опасный отказ компонента в приборной защитной функции мешает этой функции
достичь безопасного состояния, когда это требуется. Частота опасных отказов
обозначается символом: λD. (ЭТО ТО О ЧЕМ ГОВОРИТ ПРИКАЗ РТН 533. Т.Е. ОПАСНЫЙ ОТКАЗ ПЕТЛИ ПАЗ НЕ ТОЛЬКО НЕ ВЫПОЛНИТ СВОЮ ФУНКЦИЮ, А МОЖЕТ СЛУЖИТЬ АКТИВНЫМ ИСТОЧНИКОМ ОПАСНОСТИ, КОТОРАЯ ПРИВЕДЕТ К АВАРИИ. ПОЭТОМУ ПАЗ НУЖНО ПРОЕКТИРОВАТЬ НЕ ТАЛЬКО НА ЗАДАННЫЙ СИЛ, НО И НА ТРЕБОВАНИЕ ИМЕТЬ ПОСЛЕДСТВИЕМ БЕЗОПАСНЫЙ ОТКАЗ В СЛУЧАЕ ОТКАЗА СРАБАТЫВАНИЯ ПЕТЛИ НА АВАРИЙНЫЙ ЗАПРОС)
Безопасный отказ не способен привести автоматизированную систему безопасности в
опасное или нерабочее состояние, однако такой отказ вызывает отключение системы
или активацию приборной защитной функции при отсутствии угроз. Частота
безопасных отказов обозначается символом: λS.
Существуют типы отказов, которые вообще не влияют на функцию безопасности. Они
могут включать функции обслуживания, индикаторы, регистрацию данных и другие
функции, не связанные с безопасностью (non-SR). Интенсивность отказов, не связанных
с безопасностью, обозначается символом: λnon-SR.
Общая интенсивность отказов элемента λ равна сумме интенсивности отказов,
связанных с безопасностью и не связанных с безопасностью. Обычно в расчеты
надежности включается только λD и λS.
λ = λD + λS + λnon-SR

Отправлено спустя 14 минут 50 секунд:
Выявленные и невыявленные отказы

PFD относится к опасным отказам, которые мешают SIS работать, когда это требуется.
Эти типы отказов классифицируются либо как выявленные, т. е. они обнаружены
системой диагностики, либо как невыявленные, т. е. те, которые обнаруживаются
только в ходе ручных контрольных проверок, которые обычно выполняются раз в
год. Рекомендуется, чтобы типы отказов, классифицированные FMECA как опасные
выявленные отказы, обнаруживались в ходе диагностики и проверялись при оценке
средств программного обеспечения. Кроме того, процедуры контрольной проверки
должны гарантировать обнаружение опасных невыявленных типов, чтобы
гарантировать эффективность контрольных проверок

Отправлено спустя 10 минут 31 секунду:
Моделирование ложных отключений системы (λSTR)
Поскольку в большинстве случаев предполагается, что в схеме с резервированием
интенсивность всех безопасных отказов выявлена, вышедшие из строя каналы
подлежат ремонту при условии, что не произойдет аварийного отключения системы.
Поэтому применяется метод, используемый по отношению к опасным выявленным
сбоям, за исключением тех случаев, когда число отказов, требующееся для ложного
отключения, отличается от соответствующего числа, требующегося для опасного
отказа.
Обычно ложные отключения включают только значения частоты безопасных отказов,
но в зависимости от поведения системного отказа после обнаружения дефекта могут
быть включены и опасные выявленные отказы, и тогда интенсивность ложных
отключений будет представлять собой сумму обеих величин.

[keysansa]

Согласен с админом.
Оверквотинг, причем, ответ на вопрос мог бы содержаться во втором абзаце, если бы правильно его скопировали.