Интегральные уровни безопасности в соответствии со стандартами МЭК 61508 и 61511 и анализ их связи с техническим обслуживанием

На текущий момент в России нет единой нормативной базы, регламентирующей требования по выбору технических средств для построения систем безопасности промышленных объектов. Существуют лишь далеко не всегда увязанные между собой нормативные документы контрольно-надзорных и сертификационных органов, отраслевые документы и корпоративные стандарты крупных компаний.

Все перечисленные нормативные документы, как правило, ориентированы на обеспечение конкретных задач, в них отсутствуют единая терминология и комплексный подход к задаче обеспечения безопасности промышленных объектов. Поэтому в последнее время разработчики корпоративных документов, регламентирующих проектные работы, вносят в требования по выбору оборудования обязательное соответствие средств автоматизации, используемых в системах, связанных с обеспечением безопасности производственных процессов, европейским стандартам МЭК 61508 и 61511 [1, 2].

Эти стандарты в настоящее время широко используются в странах Европейского Союза и в ряде в других стран для регламентации требований к оценке уровня потенциальной опасности объектов и оценке соответствия электрического, электронного, программируемого электронного оборудования систем обеспечения безопасности уровню опасности объекта.

Зона действия этих стандартов подошла уже к границам России. Вступление республик Балтии в Евросоюз, начавшийся процесс гармонизации национальных стандартов Украины, Казахстана и других стран СНГ обуславливает интерес к данным стандартам у российских системных интеграторов и собственников опасных промышленных объектов.

В этой связи настоящая статья, подготовленная автором на основе опыта компании GM International в разработке и производстве оборудования для АСУ ТП и систем противоаварийной защиты взрывоопасных производств нефтяной и нефтехимической отраслей, может быть полезной для специалистов, занимающихся системами обеспечения безопасности объектов в перерабатывающих отраслях промышленности.

Безопасность и допустимый риск

Безопасность определяется как «свобода от неприемлемых рисков». При этом под риском понимается комбинация вероятности возникновения ущерба и тяжести этого ущерба. Опасность – это потенциальный источник ущерба. Допустимым считается риск, приемлемый в данных обстоятельствах, с учётом существующих в настоящее время социальных ценностей (рис. 1).

Все эти понятия подробно описаны в части 4 стандарта МЭК 61508.

Средняя вероятность отказа на запрос выполнения функции безопасности

Первым параметром, определяющим интегральный уровень безопасности SIL (Safety Integrity Level), является средняя вероятность отказа на запрос выполнения функции безопасности PFDavg (Probability of Failure on Demand).

Фактор снижения риска RRF (Risk Reduction Factor), представляющий собой отношение частоты инцидентов без принятия мер защиты и допустимой частоты инцидентов, является величиной, обратной PFDavg:

RRF = Частота инцидентов без принятия мер защиты / Допустимая частота инцидентов = 1 / PFDavg. 

Это означает, что если, например, количество инцидентов в год без принятия мер защиты равно 10, а допустимое количество инцидентов равно 1 в 100 лет, то RRF должен быть равен 1000 и, со-ответственно, PFDavg равна 0,001 в год. Это значение согласно стандарту МЭК 61508 соответствует уровню SIL 2. С учётом того, что в году приблизительно 10 000 часов (8760), это означает, что неготовность инструментальной функции безопасности SIF (Safety Instru-mented Function) равна примерно 10 часам в год, то есть в течение в среднем 10 часов в год невозможно будет обеспечивать перевод контролируемого технологического процесса в безопасное состояние при возникновении такой необходимости. Если это время слишком велико и неготовность SIF должна быть снижена, например, до 1 часа в год, её интегральный уровень безопасности должен быть более высоким, например SIL 3.

Среднее время наработки на отказ и интенсивность отказов

MTTF (Mean Time To Failure) – среднее время наработки на отказ – является показателем среднего времени успешной работы устройства (системы) до наступления отказа любого вида. Этот показатель может интерпретироваться и как срок службы устройства, если оно не подлежит восстановлению или ремонту.

Характеристикой ремонтопригодных устройств является среднее время их восстановления MTTR (Mean Time To Repair).

Среднее время между двумя последовательными отказами MTBF (Mean Time Between Failures) обычно выражается в годах.

Между данными показателями су-ществуют следующие соотношения (рис. 2):

• MTBF = MTTF + MTTR;

• MTTF = MTBF – MTTR.

Почему так важен показатель MTBF? Потому что обратная ему величина λ = 1/MTBF – это интенсивность отказов компонента или устройства:

MTBF = 1/λ;

Интенсивность отказов = λ = Количество отказов в единицу времени / Количество компонентов, подверженных отказу. 

Интенсивности отказов различных категорий

Общая интенсивность отказов λ_tot делится на две основные категории: интенсивность безопасных отказов λ_s и интенсивность опасных отказов λ_d.

λ_tot =λ_s +λ_d.

Опасными являются отказы, которые приводят к потере функциональной безопасности системы и/или к потере её безопасного состояния. Применительно к системам, в нормальном режиме находящимся во включённом состоянии (например, системам противоаварийной защиты), безопасными считаются отказы, которые приводят к ошибочному отключению выхода и останову контролируемого технологического процесса (ложное срабатывание). Опасными отказами, наоборот, является отказы, препятствующие отключению выхода и останову процесса при возникновении аварийной ситуации.

В каждой из указанных категорий отказы, в свою очередь, подразделяются на детектируемые (λ_sd, λ_dd) и недетектируемые (λ_su, λ_du) онлайновой диагностикой:

λ_s = λ_sd + λ_su;

λ_d = λ_dd + λ_du;

λ_tot = λ_sd + λ_su + λ_dd +λ_du. 

Величина, обратная λ_s, – это MTBFs, или среднее время (в годах) между возможными ложными остановами. В свою очередь, величина, обратная λ_d, – это MTBFd, среднее время (в годах) между возможными опасными отказами.

Рассмотрим, как определяются интенсивности отказов различных категорий.

Эта работа обычно выполняется на этапе проектирования конкретных устройств.

Для этой цели проводится анализ видов отказов и диагностики (Failure Mode Effect and Diagnostic Analysis – FMEDA). Для пояснения принципов FMEDA обратимся к диаграмме, представленной на рис. 3.

Датчик-преобразователь давления с токовым выходом 4...20 мА тестируется для определения значений λ_sd, λ_su, λ_dd, λ_du. Предположим, приемлемый диапазон допуска определён равным 0,8 мА (5% от рабочего диапазона).

На датчик подаётся питание и устанавливается выходной сигнал 12 мА. Один за другим по очереди моделируются отказы различных видов (короткое замыкание, обрыв, девиация и т.д.) для каждого электронного и механического компонента датчика. Например, если это резистор 1 кОм, сопротивление его устанавливается равным 0, 500, 2000 Ом, а затем он размыкается. Происходящие при этом изменения выходного тока фиксируются. Если диапазон изменений менее 0,8 мА, отказ классифицируется как безопасный недетектируемый (su). Если сигнал выходит за пределы допуска, но находится в диапазоне 4...20 мА, отказ классифицируется как опасный недетектируемый (du). Если же сигнал ниже 4 мА или выше 20 мА, отказ может быть безопасным или опасным в зависимости от условий применения данного датчика, но в любом случае он будет классифицироваться как детектируемый.

Такое тестирование и анализ выполняются для каждого компонента, затем полученные результаты суммируются для получения общих зна-чений интенсивностей отказов λ_sd, λ_su, λ_dd, λ_du.

Необходимо отметить, что для определения неготовности системы безопасности (PFDavg) в основном имеет значение интенсивность опасных недетектируемых отказов (du). Это означает, что чем она ниже, тем более высокий интегральный уровень безопасности SIL может быть достигнут для данного устройства.

Доля безопасных отказов (SFF)

Вторым параметром, определяющим интегральный уровень безопасности, является доля безопасных отказов SFF (Safety Failure Fraction).

В соответствии со стандартом МЭК 61508 компоненты или подсистемы от-носятся к типу А или В (см. табл. 1 и табл. 2):

• компоненты типа А – это простые устройства, поведение и виды отказов которых хорошо известны;

• компоненты типа В – это комплексные компоненты с потенциально неизвестными видами отказов, например микропроцессоры, специализированные процессоры и т.п.

Фактически в табл. 1 и 2 представлены ограничения на использование простых и резервированных архитектур в системах с различными уровня-ми SIL.

Значение SFF определяется по формуле:

SFF = ( ∑λ_dd + ∑λ_sd + ∑λ_su ) / ( ∑λ_dd + ∑λ_du + ∑λ_sd + ∑λ_su ) = 1 – ∑λ_du  / ( ∑λ_dd + ∑λ_du + ∑λ_sd + ∑λ_su ) . 

Чтобы увеличить значение SFF, суммарное значение ∑λ_du должно быть как можно меньше.

Расчёт PFDavg

Для систем с архитектурой 1oo1 формула расчёта PFDavg имеет вид: 

PFDavg(TI) = λ_dd × RT + λ_du × TI/2, где

RT – время восстановления в часах (обычно 8 часов);

TI – интервал времени между функциональными проверочными тестами (1–5–10 лет), обозначаемый также Tproof;

λ_dd – интенсивность опасных детектируемых отказов;

λ_du – интенсивность опасных недетектируемых отказов.

Для TI = 1 год = 8760 ч и RT = 8 ч: 

PFDavg = λ_dd × 8 + λ_du × 8760/2. 

Поскольку слагаемое (λ_dd × 8) существенно меньше, чем (λ_du × 4380), формулу можно упростить: 

PFDavg = λ_du × TI/2 = λ_du × 8760/2.

Интегральные уровни безопасности

В табл. 3 приведены значения PFDavg для двух режимов: низкой и высокой интенсивности запросов.

Режим низкой интенсивности запросов – режим, когда частота запросов на выполнение функции безопасности не превышает одного запроса в год и не более чем в два раза превышает частоту проведения проверочных тестов.

Режим высокой интенсивности запросов – режим, когда частота запросов на выполнение функции безопасности больше одного запроса в год и больше чем в два раза частоты проведения проверочных тестов.

Частота проведения проверочных тестов показывает, как часто производится функциональное тестирование системы безопасности, чтобы гарантировать её полную работоспособность.

Хотя непрерывный режим кажется более жёстким, следует помнить, что значения вероятностей для него приведены исходя из количества отказов в час. Для режима низкой интенсивности запросов приведённые значения соответствуют временному интервалу, равному примерно одному году. Учитывая, что в году примерно 10 000 часов (точно 8760), значения PFDavg для этих двух режимов примерно одинаковые.

Необходимо также отметить, что поскольку фактор снижения риска RRF является величиной, обратной PFDavg, для оценки уровней SIL вместо PFDavg проще использовать RRF, так как целые положительные значения более наглядны для понимания.

Замечания по поводу уровней SIL

1. Приведённые в табл. 3 значения относятся к функции безопасности SIF в целом, а не к отдельным её компонентам.

2. Разница между соседними уровнями SIL равна одному порядку (10).

3. Такая же разница в один порядок (10) существует между минимальными и максимальными значениями для каждого уровня SIL. Например, RRF = 120 соответствует SIL 2 и RRF = 980 тоже соответствует SIL 2, но между ними существует большая разница, поэтому данные значения несопоставимы, несмотря на то что они оба относятся к уровню SIL 2.

4. Зачастую думают, что уровень SIL (1–2–3–4), определённый для инструментальной функции безопасности SIF, будет таким всегда. Это заблуждение, поскольку интегральный уровень безопасности SIL зависит от значения вероятности PFD, которое увеличивается со временем. Уровень SIL остаётся неизменным только в течение определённого периода времени Tproof – это временной интервал между проведением проверочных диагностических тестов системы безопасности, обычно он составляет 1, 3, 5, 10, 15 лет (для удобства представления параметр Tproof обозначен в формулах как TI).

5. На рис. 4 показаны PFD и PFDavg для системы с архитектурой 1oo1 и Tproof, равным 1 году. PFD – вероятность отказа на запрос выполнения функции безопасности без учёта проведения диагностических тестов с целью выявления недетектируемых отказов, а PFDavg – усреднённая вероятность отказа на запрос выполнения функции безопасности с учётом выполнения диагностических тестов.
   
   Существуют специальные процедуры проведения проверочных тестов с целью определения для каждого устройства интенсивности опасных недетектируемых отказов Σλdu, которые не выявляются обычными онлайновыми диагностическими тестами. Если не выполнять такие периодические тесты, значение PFD функции безопасности SIF перейдёт из заданного уровня SIL в более низкий уровень, например из SIL 3 в SIL 2, SIL 1, SIL 0.

6. Уровень SIL, который соответствует межтестовому интервалу 1 год, существенно отличается от уровня, соответствующего интервалу 10 лет, хотя оба уровня относятся к одной и той же функции безопасности.

7. Для повышения уровня SIL конкретной SIF существуют два способа: снижение межтестового интервала Tproof и использование резервирования компонентов, кроме того, возможно комбинирование обоих этих способов.

Пример расчёта характеристик SIF

В данном примере показан порядок расчёта PFDavg и уровня SIL как для отдельных компонентов SIF, так и для SIF в целом.

Рассчитаем значения MTBF, MTBFs для ложных срабатываний, PFDavg, RRF и возможный уровень SIL для функции безопасности SIF системы, представленной на рис. 5. 

Эта система состоит из датчика-преобразователя Тх, барьера искробезопасности, программируемого логического контроллера (ПЛК) и электромагнитного клапана, который является оконечным исполнительным элементом.

В качестве исходных данных при расчёте использованы значения параметров компонентов системы (MTBF, λ_du, λ_dd, λ_s), которые можно найти в руководствах по безопасности, предоставляемых их производителями.

Исходные и расчётные данные сведены в табл. 4 и табл. 5. Из таблиц видно, что основным критерием определения уровня SIL является PFDavg или фактор снижения риска RRF.

В данном примере заведомо низкие характеристики оконечного исполнительного элемента (клапана) были выбраны для лучшей иллюстрации условий реальных применений, соответствующих промышленному производству.

По поводу расчёта характеристик SIF необходимо сделать ряд замечаний.

1. Различие между табл. 4 (SIL 1 для клапана) и табл. 5 (SIL 2 для клапана) состоит в величине межтестового интервала TI для клапана. В первом случае он равен 1 году, а во втором – 4 месяцам.

2. Выбранный клапан не сертифицирован на соответствие SIL. Стандарт МЭК 61508 допускает его использование и позволяет принять λ_s = λ_d = λ_tot/2. Но поскольку в этом случае он не соответствует даже уровню SIL 1, необходимо проводить онлайновое тестирование клапана с неполным ходом (Partial Stroking Test – PST) при диагностическом покрытии не менее 52% (λ_du /λ_s ×100%), чтобы перевести часть опасных недетектируемых отказов Σ λ_du в детектируемые Σ λ_dd и таким образом обеспечить для клапана, как минимум, уровень SIL 1.

3. В случаях, когда значение PFDavg оконечного элемента такое высокое, как в рассматриваемом примере, другие компоненты системы должны иметь уровни безопасности не ниже SIL 3. Таким образом, компоненты с уровнем SIL 3 используются не только тогда, когда необходимо обеспечить уровень SIL 3 для всей системы, но и в тех случаях, когда для системы требуется уровень SIL 1, а один из её компонентов, имея высокую интенсивность отказов, вносит большой вклад в общую PFDavg. Вклад каждого из компонентов в общую PFDavg системы показан на рис. 6.
   
   

4. Датчик, который имеет высокий RRF (2500), тем не менее, пригоден только для использования в системах с уровнем не выше SIL 2 (компонент типа B с устойчивостью к аппаратным отказам 0 – табл. 2), поскольку его SFF не соответствует применениям с уровнем SIL 3.

5. Что нужно сделать, если необходимый уровень SIL 2 для SIF должен обеспечивать фактор снижения риска RRF примерно равным 900? Возможным решением является использование для клапана архитектуры с резервированием 1оо2. При проведении периодических тестов клапаны по очереди могут включаться в обход и проверяться без остановки процесса. В этом случае межтестовый интервал для клапана может быть сокращён, например, до 4 месяцев. Принимая фактор отказов по общей причине равным 5% и межтестовый интервал TI = 4 месяца, получим RRF системы с уровнем SIL 2, равный 970.

Таким образом, минимальный межтестовый интервал в рассмотренной системе имеет клапан, для других компонентов системы межтестовые интервалы при данном RRF существенно выше (табл. 6).

Влияние эффективности проверочных тестов на PFDavg

Стандарт МЭК 61508 требует, чтобы в результате периодических проверочных тестов устройство восстанавливало характеристики до состояния «нового». Другими словами, эти тесты должны выявлять все опасные недетектируемые отказы, существующие в устройстве. Поскольку на практике это невозможно, эффективность таких тестов варьируется от 99 до 50%.

Для каждого компонента SIF, когда эффективность периодических тестов по выявлению опасных отказов равна 100%, формула для расчёта PFDavg упрощается:

PFDavg=λ_du×TI/2.

Если эффективность не равна 100%, формула имеет вид:

PFDavg=Et×λ_du×TI/2+(1–Et)×λ_du×SL/2, где

Et – эффективность теста по выявлению опасных отказов (например, 90%);

SL – интервал между периодическими проверочными тестами с эффективностью 99–100% или между двумя полными заменами устройства, либо срок жизни системы или устройства, если они никогда полностью не тестируются и не заменяются.

Для TI = 1 году и SL = 12 годам формула для PFDavg имеет вид:

PFDavg|_{TI=1, SL=12}=Et×λ_du /2+(1–Et)×λ_du×12/2,

Пример 1

λ_du = 0,01/год;

TI = 1 год;

Et = 90% = 0,9;

SL = 12 лет.

Для новой системы:

PFDavg = 0,01/2 = 0,005;

RRF = 1/PFDavg = 1/0,005 = 200 (SIL 2).

После 1 года:

PFDavg = (0,9 × 0,01/2) + (0,1 × 0,01 × 6) = 0,0105;

RRF = 1/PFDavg = 1/0,0105 = 95 (SIL 1).

Вывод: после года работы (или после каждого межтестового интервала) уровень меняется с SIL 2 на SIL 1.

Пример 2

λ_du = 0,01/год;

TI = 1 год;

Et = 99% = 0,99;

SL = 12 лет.

После 1 года:

PFDavg = (0,99 × 0,01/2) + (0,01 × 0,01 × 6) = 0,0056;

RRF = 1/PFDavg = 1/0,0056 = 178 (SIL 2).

Вывод: после одного года (или после каждого межтестового интервала) уровень SIL 2 остаётся практически неизменным (исходные значения PFDavg и RRF такие же, как в первом примере).

Влияние длительности проверочного теста на PFDavg

Для тестирования системы безопасности в онлайновом режиме (то есть без остановки технологического процесса) часть системы ставится в режим обхода, чтобы исключить какие-либо ложные срабатывания и отключения. Длительность тестирования может оказывать существенное влияние на общие характеристики системы безопасности, так как во время тестирования система не способна перевести процесс в безопасное состояние при возникновении такой необходимости. Длительность тестирования может дополнительно увеличиться, если по результатам теста устройство подлежит замене, и ещё более возрасти, если при этом компоненты, необходимые для замены, отсутствуют и их необходимо заказывать.

На время тестирования симплексная система 1оо1 должна быть отключена от процесса. Её готовность во время тестирования равна нулю. Однако резервированная система при тестировании не должна полностью включаться в обход. В дублированной системе на время теста можно поставить в режим обхода только одну ветвь (или модуль) системы, в результате на это время система превратится из дублированной в простую симплексную. Соответственно, троированная система при таких условиях превратится в дублированную.

Таким образом, упрощённое выражение для расчёта PFDavg

PFDavg=λ_du×TI/2.

должно быть модифицировано с учётом задержки на время тестирования TD:

PFDavg=λ_du×TI/2+TD/TI.

Пример 3

λ_du = 0,002/год;

TI = 1 год;

TD = 8 ч (временной интервал).

PFDavg = 0,001 + 0,0009 = 0,0019;

RRF = 1/0,0019 = 526 (SIL 2).

Вывод: после одного года (или после каждого межтестового интервала) уровень SIL 2 остаётся неизменным.

Пример 4

λ_du = 0,002/год;

TI = 1 год;

TD = 96 часов.

PFDavg = 0,001 + 0,01 = 0,011;

RRF = 1/0,011 = 90 (SIL 1).

Вывод: после года работы (или после каждого межтестового интервала) уровень меняется с SIL 2 на SIL 1.

Конечное выражение

С учётом эффективности и длительности проверочного теста выражение для расчёта PFDavg системы с архитектурой 1oo1 в общем случае имеет следующий вид:

PFDavg=Et×λ_du×TI/2+TD/TI(1–Et)×λ_du×SL/2.

Более подробную информацию по рассмотренным в статье вопросам можно найти в книге [3] и руководстве [4], которые написаны инженерами компании GM International. ●

Литература

1. Стандарт МЭК 61508. Функциональная безопасность электрических, электронных, программируемых электронных систем, связанных с безопасностью.

2. Стандарт МЭК 61511. Системы обеспечения безопасности для перерабатывающих отраслей промышленности.

3. Функциональная безопасность систем, связанных с обеспечением безопасности: руководство по проектированию и обслуживанию. — GM International S.r.l., 2008. — 425 стр.

4. Руководство по функциональной безопасности барьеров GM International серии D1000 в применениях с уровнями SIL 2 и SIL 3 согласно стандартам IEC 61508 и IEC 61511. — GM International S.r.l., 2008. — 72 стр. 

Автор — генеральный директор компании GM International S.r.l. (Италия)