Отказобезопасность

[Михайло]

Jackson,

[+]

вы должны были читать мои посты про отличие отказобезопасности от отказоустойчивости.
Отказоустойчивость - это когда сигнал надежно принимает значение 0 (False), когда это требуется, и значение 1 (True), когда это требуется. А отказобезопасность - это когда сигнал надежно принимает значение 0 (False), когда это требуется, без требований к значению 1 (True). То есть отказобезопасность - это про надежное отключение. У вас при отказе гарантированно отключится механизм (безотказно пройдет команда отключения в системе), но не факт, что механизм включится.

Например, Буран-Энергия был отказоустойчивым. А все нынешние промышленные устройства, как правило, fail-safe, т.е. отказобезопасны.

[Jackson]

Так вот и давайте найдём нормированное определение "отказобезопасность.

Лично я в этом вижу полный бардак. Я нашёл ГОСТ Р 56079-2014 - он про авиационную технику. ГОСТ 33358-2015 - он про железнодорожную технику. И ещё парочку ГОСТов, также сильно отраслевых. И везде одно и то же:

Отказобезопасность — свойство технической системы при отказе некоторых её составных частей переходить в режим работы, не представляющий опасности для людей, окружающей среды или имущества.

Как это решается в ПЛК - мне не совсем понятно, потому что эти вещи обеспечиваются программно и зависят от тех.процесса, автор алгоритма и программы это должен предусмотреть, а не железо. Поэтому и непонятно, каким боком оно относится к железу.

А отказоустойчивость — свойство технической системы сохранять свою работоспособность после отказа одной или нескольких её составных частей. Это нормированное ГОСТовское определение, много где встречается. Это никакого отношения не имеет к состоянию сигналов и к их надёжному приведению в состояние "0". Сигналы должны быть такие, чтобы функционирование объекта продолжалось, "0" или "1" - это как по алгоритму положено.

Если это свойство, у буржуев называемое "fail safe feature", подтверждается какими-то сертификатами или где-то в явном виде заявляется, то его определение должно быть зафиксировано. Но оно не зафиксировано нигде в наших нормах, и встречается масса разных вариантов, хоть и близких по смыслу, но всё же разных.

Вот это меня и удивило: железу приписывается совершенно не относящееся к нему свойство, да ещё и совершенно неопределённое с вольной трактовкой. Просто слово красивое и многозначительное, а за ним ничего не стоит.

Может я чего-то не знаю, подскажите если всё-таки есть где-то всеобъемлющее и четкое нормированное определение, буду только рад. На то и форум чтобы общаться и что-то узнавать.

И разве что-то мне запрещает всему этому удивиться? Все всё на свете не знают, тут на форуме постоянно кто-то что-то новое узнаёт. удивляясь при этом точно также. Что тут такого?

вы должны были читать мои посты про отличие отказобезопасности от отказоустойчивости.

Разве должен? Мог вообще-то и пропустить, нет обязанности лично мне изучать лично Ваши посты (как и лично Вам изучать лично мои). И, как видите, Ваши определения совершенно не бьются с тем что встречается повсеместно, погуглите сами. И я больше склонен пока что считать верными как раз те что встречаются, даже по правилам русского языка так выходит. Отказоустойчивость = устойчивость к отказам = способность функционировать даже при наличии отказов. Отказобезопасность = безопасность при отказах = при отказе увести объект в безопасное состояние ибо safety first, какой при этом на выходе или входе сигнал должен быть - не нормировано, он должен быть таким чтобы результирующее техническое состояние было безопасным. возможно безопасным при этом будет как раз продолжение функционирования объекта. Могу даже пример привести: был завод газоперерабатывающий, был контроллер отвечающий а бесперебойное электроснабжение, а самым опасным там была потеря питания потому что через 5-10 минут ползавода взорвётся и разнесёт всё в радиусе километра до состояния выжженной пустыни. Так и говорил персонал: "если питания нет дольше минуты - о заводе можно не беспокоиться, а беспокоиться уже нужно о том как побыстрее слинять и чем дальше тем лучше. Отсюда следует что отказобезопасность обеспечивается отказоустойчивостью, а сигналы на входе и выходе контроллера при этом должны быть такие чтобы управление электроснабжением происходило штатно или аварийно, но происходило, даже если контроллер сдох или провода где-то порвались. А не строго в "0" должны сигналы приходить.

Лично я ведь могу так делать? Норматива по этой части ведь пока не обнаружено. Или давайте приходить к общему знаменателю.

По итогу пока много красивых слов в источнике вижу, и вижу что за ними мало что стоит. Как на заборе много чего написано, но за ним только дрова и свалка.

[Михайло]

Отказобезопасность - это отказоустойчивость подсистемы безопасности (отключения), можно и так выразиться.

[Jackson]

можно и так выразиться.

А можно и ещё 25ю способами выразиться. Кто как выразится - тот так и понимать будет. Ну и зачем этот бардак?

[rwg]

Я нашёл ГОСТ Р 56079-2014 - он про авиационную технику. ГОСТ 33358-2015 - он про железнодорожную технику. И ещё парочку ГОСТов, также сильно отраслевых. И везде одно и то же:

В молодости у меня был случай общения с профессором от геофизики, единолично и самостоятельно написавшим и узаконившим ГОСТ по контролю за работой буровой установки. По содержанию что-то типа ТЗ на разработку системы мониторинга. Как специалист по бурению он был весьма уважаемый среди своих коллег человек, но в приборостроении и метрологии он был не силён, многие его гостовские желания не совпадали с действительностью ни по терминологии, ни по реально достижимым характеристикам приборов.

[kirillio]

Так вот и давайте найдём нормированное определение "отказобезопасность.

Раздел 3.6, ГОСТ Р МЭК 61508-4-2012

PS Есть еще 27ая группа гостов, на этот счет. Но я её обходил стороной - мой мозг боится туда читать :)

[Jackson]

В молодости у меня был случай общения с профессором от геофизики, единолично и самостоятельно написавшим и узаконившим ГОСТ по контролю за работой буровой установки. По содержанию что-то типа ТЗ на разработку системы мониторинга. Как специалист по бурению он был весьма уважаемый среди своих коллег человек, но в приборостроении и метрологии он был не силён, многие его гостовские желания не совпадали с действительностью ни по терминологии, ни по реально достижимым характеристикам приборов.

Такое случается, но руководствоваться надо всё -таки нормированными определениями, а за их отсутствием - толковыми словарями. Я так считаю. Иначе бардак. Многополярность мнений в точных науках опасна.

Отправлено спустя 5 минут 26 секунд:
kirillio, а можно прямо вот пальцем ткнуть? Отказоустойчивость там, и безопасность. Отказобезопасности не вижу.

Раздел 3.6, ГОСТ Р МЭК 61508-4-2012

[kirillio]

Отказобезопасности не вижу.

Пардон, не уточнил, а следовало бы, т.к. в данном раскладе имеет место быть логическая двухходовка:
1. Логично, что Отказо-безопасность - это способность системы сохранять безопасность при отказе отдельных компонентов или сбоях в подсистемах.
2. О том, что же подразумевается под "безопасностью при отказе" прописано в термине безопасный отказ

Раздел 3.6, ГОСТ Р МЭК 61508-4-2012,
п.3.6.8 безопасный отказ (safe failure): Отказ элемента и/или подсистемы, и/или системы, играю­щий определенную роль в реализации функции безопасности, который:
а) приводит к ложному выполнению функции безопасности, переводящей УО (или его часть) в безопасное состояние или поддерживающей безопасное состояние, или
в) увеличивает вероятность ложного выполнения функции безопасности, переводящей УО (или его часть) в безопасное состояние или поддерживающей безопасное состояние.

И тут, применяя всю силу и мощщ русского великаго языка, умному человеку не составит труда "собрать" смысловую конструкцию "отказобезопасности".
Мы конечно можем заделаться занудами-буквоедами и начать казать пальцами в отстутсвие утверждённых формулировок, но в этом случае в результате поимеем пустоту на пустоте, по той причине, что ГОСТ 27.002-2015, к этим нашим докапываниям глух и нем.

[olexsa]

ГОСТ 27.002-2015, к этим нашим докапываниям глух и нем

А ведь в предпредшественнике, ГОСТ 27.002-2009, было определение:
"198 fail safe - отказобезопасность: Свойства изделия, ориентированные на сохранение безопасности в случае отказа".

[Михайло]

А можно и ещё 25ю способами выразиться. Кто как выразится - тот так и понимать будет. Ну и зачем этот бардак?

Я привел определения, которые очень четко демонстрирует разницу между отказоустойчивостью и отказобезопасностью. Очень четко.

Еще раз:
1. Отказоустойчивость - это сохранение способности функционирования при отказе.
2. Отказобезопасность - это сохранение способности переходить в безопасное состояние при отказе.

Отправлено спустя 6 минут 22 секунды:
Ладно, хрен с ними, определениями, но технические решения:
1. Redunancy (резервированные, отказоустойчивые системы)
2. Fail-safe (отказобезопасные системы)
это совершенно разные штуки. В обеих штуках есть резервирование/дублирование, но это абсолютно не одно и то же. В отказобезопасных системах "автоматизировано" извещение о поломке, например... Отказобезопасность - это подвид отказоустойчивости, более простая задача, да, но подход не менее серьезный, так как на кону не какая-то банальная остановка производства, а жизни людей, экологические катастрофы и др.

[kirillio]

1. Redunancy (резервированные, отказоустойчивые системы)
2. Fail-safe (отказобезопасные системы)

Ну да, согласен с Вами, достаточно точно изложено.
Для самопроверки открываем мануал Сименса по резервируемым ПЛК и там вам и протокол "S" (safe), и протокол "R" (redundant).

[Jackson]

Логично, что Отказо-безопасность - это способность системы сохранять безопасность при отказе отдельных компонентов или сбоях в подсистемах.

Да никто ж не спорит, всё логично. С Вашей точки зрения и с моей.

Я привел определения, которые очень четко демонстрирует разницу между отказоустойчивостью и отказобезопасностью. Очень четко.

Верно. И я не спорю с этим. Но вот есть определения, которые привели Вы, есть определения, которые я нашел в интернете и они отличаются, и ещё я попытался найти их в нормативах, но не нашёл совсем.

Вывод: такого свойства не существует? Его производители для своего железа пишут, понимая как хотят? Получается что так. Понятие "отказоустойчивость" существует, оно же действительно Redundancy, И когда это указывается то любой Иван-дурак с печки загуглит что это такое и будет (по крайней мере может) понимать как написано, потому что написано везде одинаково.
Здесь же я вижу в даташите: контроллер отказобезопасный. Окей. Как это понимать применительно исключительно к железу и его системному софту? И ответа нет.

Вопрос: чем руководствоваться? Или надо в даташитах писать "контроллер отказобезопасный по Рыбкину" или "по википедии"? И я ещё могу у себя придумать определение, близкое, но не оно, зато можно будет и мою фамилию в даташиты вписать.

2. О том, что же подразумевается под "безопасностью при отказе" прописано в термине безопасный отказ

Да, но это никак не отвечает на вопрос, что такое "отказобезопасность". Потому что если совершенно логически рассуждать что отказобезопасность - комплекс мер, обеспечивающих безопасность при отказе, то сам по себе ПЛК таким комплексом мер быть ну никак не может, он тупой и сделает только то что ему скажут программисты, и сделать они это могут на любом ПЛК, а не конкретно на этом, даже на том, на котором "отказобезопасный" не написано.

То есть "отказобезопасность" - это не про ПЛК. Это про систему в целом. К ПЛК это приписывать можно только для красного словца, не более того.

[kirillio]

комплекс мер, обеспечивающих безопасность при отказе

Вы не находите, что мы перекладываем один и тот же предмет, из руки в руку, по кругу - Михайло, Вы, я? :))

"отказобезопасность" - это не про ПЛК. Это про систему в целом.

Это может быть и про ПЛК, который я привел в качестве примера и практической иллюстрации что конкретно может стоять за размытыми терминами "Redunancy" и "Fail-safe", и про систему вцелом - это зависит от контекста ситуации, что именно мы рассматриваем.

[Jackson]

Вы не находите, что мы перекладываем один и тот же предмет, из руки в руку, по кругу - Михайло, Вы, я? :))

Я не нахожу. иначе я бы не поднял эту тему.

[Sergy6661]

Товарищи, а почему вы сравниваете разные понятия? Redundancy- это резервирование и не оябязательно имеет отношение к безопасности.
FaultSafe- отказобезопасные системы, при любом отказе выполняется алгоритм безопасного останова.
FaultTolerance- отказоустойчивые системы, понятное дело с элементами Redundancy, при отказе срабатывают алгоритмы резервирования и устройство продолжает работу.

[kirillio]

Товарищи, а давайте сперва определим контекст беседы, о чем именно мы толкуем - о системах или о компонентах этих систем? Того глядишь и в трёх соснах найдемся - какие-то виды Redundancy окажутся частью FaultSafe, а какие-то частью FaultTolerance. :)

Sergy6661, могли бы Вы привести здесь ссылочку на документ, откуда почерпнуты Вами данные определения?

[Serex]

Терминология нужна, чтобы понять общие принципы, которые применяются в разработке радиоэлектронных устройств. Но в практике эти же термины применимы только в сравнении конкретных устройств в контексте конкретной задачи под воздействием определённых разрушающих воздействий.

[Sergy6661]

могли бы Вы привести здесь ссылочку на документ, откуда почерпнуты Вами данные определения?

Да вот в том то и дело, что приведенные мною определения есть результат осмысления кучи разных источников информации, многих, кроме вики, ибо вот: "Свойство технической системы при отказе некоторых её составных частей переходить в режим работы, не представляющий опасности для людей, окружающей среды или имущества. Для технических систем повышенной опасности отказобезопасность является частным случаем отказоустойчивости - способности технической системы сохранять свою работоспособность после отказа одной или нескольких её составных частей."
Так вот ненавязчиво смешались люди-кони, мухи-котлеты, при этом я не настаиваю на абсолютной истинности своих утверждений, но я в них верю .

Того глядишь и в трёх соснах найдемся - какие-то виды Redundancy окажутся частью FaultSafe, а какие-то частью FaultTolerance

Да, именно так, делаем вывод, что Redundancy само по себе и может участвовать в чем угодно (пример- запасные ключи от авто на магните под бампером).

[Михайло]

Или надо в даташитах писать "контроллер отказобезопасный по Рыбкину" или "по википедии"?

Пишут допустим так: уровень полноты безопасности SIL3 по IEC 61508 (ГОСТ Р МЭК 61508 / ГОСТ IEC 61508) - эта серия стандартов охватывает программируемые устройства, в т.ч. ПЛК.
Есть еще другая серия стандартов ISO 13849-1 (ГОСТ ISO 13849-1-2014), там подход другой, и он не охватывает программируемые устройства. К 2016 году два подхода хотели объединить, но не вышло, не получилось.

[Jackson]

Пишут допустим так: уровень полноты безопасности SIL3 по IEC 61508 (ГОСТ Р МЭК 61508 / ГОСТ IEC 61508) - эта серия стандартов охватывает программируемые устройства, в т.ч. ПЛК.

Никаких вопросов. Всё понятно. Отсылка на стандарт с определениями и критериями. Когда отсылка есть и классы безопасности известны и давно - никаких вопросов.

Ладно, тему во флудилку по идее можно, хотя лично я считаю что от формулировок и букв зависит жизни вообще всё, это основа, допущения тут неприемлемы. Стало быть недостаточное знание русского языка есть корень многих проблем, очень многих. Язык - результат мышления; какой результат - такой и процесс.

В оригинале же было (с чего всё и началось):

У них на сайте забавная формулировка для меня: "Контроллеры .... для отказобезопасных сигналов"

И вот что такое "отказобезопасный сигнал", а главное как именно этот контроллер может быть для него предназначен особо специально - так и остаётся тайной. :) Для меня. Контроль целостности цепей много где есть и так, если он имеется в виду.

[JuliaHR]

Добрый день! По тематике отказобезопасности в интернете достаточно мало информации, чатов, форумов, поэтому увидев пост, сразу решила попробовать обратиться к Вам.
Я менеджер по персоналу в компании, которая занимается расчетом надежности и отказобезопасности в авиационной сфере. С кандидатами ситуация сложная, откликов практически нет и резюме в базах уже все просмотрели. Буду безгранично благодарна, если подскажете, где можно попробовать искать кандидатов (форумы, сообщества и т.д)? Возможно Вы сами из этой сферы и рассматриваете предложения?

[Jackson]

Буду безгранично благодарна, если подскажете, где можно попробовать искать кандидатов (форумы, сообщества и т.д)?

"Это вряд ли" (с) Сухов. Хотя, кандидатов КОГО? Лётчиков? Или расчётчиков безопасности?

Зато я знаю не "где" а "как" их искать.

Я менеджер по персоналу в компании, которая занимается расчетом надежности и отказобезопасности в авиационной сфере.

Безопасность и надёжность везде одинаковая (с точки зрения расчётов). Я в своё время даже вывел формулу времени реакции вахтенного матроса на событие, с учётом множества воздействующих на него (на вахтенного) факторов. :) Формулу, правда забыл конечно, но где-то в конспектах, возможно, пылится ещё.

Так вот, при поиске кандидатов, можно просто попросить людей привести определения терминов: "надёжность", "отказобезопасность", "отказоустойчивость" и попросить объяснить разницу между "отказобезопасностью" и "отказоустойчивостью", а заодно - между "ударопрочностью" и "ударостойкостью". Если Вы и другие неспециалисты сразу поймёте и поверите - можно брать. Определения, само собой, должны быть ГОСТовскими, они нормированы - Вы можете просто в виде шпаргалки их выписать себе.

И, главное, человек должен иметь прямое отношение к авиации и понимать, с чем он имеет дело не по картинкам и учебникам. Например вышедшие на пенсию лётчики и диспетчеры - уж они-то понимают точно, и с математикой у них всё хорошо.

[keysansa]

Могу сказать, как отказобезопасность реализуется на ЖД.
1. Реле первого класса надежности. При любом отказе, при наличии гравитации, реле перейдет в "выключенное" состояние (не всегда безопасное состояние это "0", для светофора безопасное состояние - это "1" на красной лампе светофора.
2. При наличии контроллера применяется либо дублирование и внешнее сравнение (контроллер не способен сам диагностировать свои отказы, а уж тем более программа контроллера), либо троирование и внешний модуль "голосования".

[Jackson]

при наличии гравитации

На железной дороге это, вероятно, ключевое условие.
Зато можно отмазываться: "У Вас реле в безопасное состояние не перешло? Так это у Вас, скорее всего, с гравитацией проблемы. На железной-то дороге всякое бывает...."

[Jackson]

Что известно о надежности на ЖД. У нас вытащили из ГДРовского рефвагона холодильник - промоют радиатор и поставят обратно. Обратите внимание на год выпуска.
А сам вагон 1974 года постройки.