Modelle. VL PLT2, SS 2012 Professur für Prozessleittechnik

Transkript

1 Verfügbarkeit und Markov- Modelle VL PLT2, SS 202 Professur für Prozessleittechnik Prof. Leon Urbas, Dipl.-Ing. A. Krause

2 Übersicht Grundlagen zur Verfügbarkeit und zu Markov-Modellen Berechnung des PFD eines heterogenen oo2-systems Generisch erzeugte Markov-Modelle für PFD avg Folie 2

3 Wozu brauche ich Markov- Modelle?

4 Leistungskatalog des TÜV Nord Optimierung von Strukturen sicherheitsgerichteter h it i ht t Systeme mittels Markov-Analysen Erstellung von Markov-ModellenModellen Bestimmung von sicherheitsrelevanten Parametern der IEC 6508 und IEC 65 wie PFD avg, HFT, CCF, SSF, su, du, dd, sd Folie 4

5 Markov-Analysen Zustandsraumanalyse Modellierung von Ausfallwahrscheinlichkeiten und Wahrscheinlichkeiten von Zustandsänderungen sowie Ausfallraten und Reparaturraten Quantitatives Analyseverfahren Grafisches Modell zur Darstellung von Zuständen (fehlerfrei, eingeschränkt arbeitend, ausgefallen) Annahme: System ist nur vom aktuellen Zustand und der Zeit abhängig Folie 5

6 Markov-Modell () VektorPbeschreibt die Aufenthalts- wahrscheinlichkeit h hk it in einem Zustand i t P P T P.. Übergangsmatrix M beschreibt b die Übergangs-wahrscheinlichkeit von Zustand i nach Zustand j a.... an a M.... a ij.. a n.... a nn 2 P i Folie 6

7 Markov-Modell (2) Vektor dp/dt beschreibt die Änderung der Aufenthaltswahrscheinlichkeit h h li hk it in einem Zustand i T Pt P P 2.. P i Folgende Gleichung ergibt sich: P t M P Hinweis: VDI Markoff Zustandsänderungsmodelle mit endlich vielen Zuständen (über Perinorm erhältlich) t Folie 7

8 IEC 6508 Diese internationale Norm beschreibt einen allgemeinen Lösungsweg für alle Tätigkeiten it während des Sicherheitslebenszyklusses für Systeme, die aus elektrischen und/oder elektronischen und/oder programmierbaren elektronischen Elementen bestehen und die eingesetzt werden, um Sicherheitsfunktionen auszuführen. [] Folie 8

9 IEC 65 Diese internationale Norm behandelt die Anwendung sicherheitstechnischer h it t h i h Systeme in der Prozessindustrie. Sie fordert außerdem die Durchführung einer Gefährdungs- und Risikoanalyse, um daraus die Spezifikation sicherheitstechnischer Systeme ableiten zu können. [ ] Das sicherheitstechnische System umfasst dabei alle zur Ausführung der sicherheitstechnsichen h it t h i h Funktion erforderlichen Komponenten und Teilsysteme vom Sensor bis zum Aktor. [2] Folie 9

10 Beziehung zw. IEC 6508 und IEC 65 [2] Folie 0

11 PFD und PFD avg [] Probability of dangerous Failure on Demand PFD Sicherheitsbezogene Nichtverfügbarkeit eines Systems die festgelegte Sicherheitsfunktion auszuführen, wenn eine Anforderung erfolgt PFD avg Mittlere Nichtverfügbarkeit eines Systems die festgelegte t Sicherheitsfunktion h it auszuführen, wenn eine Anforderung erfolgt Folie

12 Ausfallraten Su, Du, Dd und Sd [] Ausfallrate (en: failure rate) Zuverlässigkeitsparameter t einer Einheit unter der Voraussetzung, dass sie noch nicht ausgefallen ist Bedeutung der Indizes: S = safe = ungefährlich D = dangerous = gefahrbringend d = detected = erkannt u = undetected t d = unerkannt Folie 2

13 Gefahrbringender Ausfall [] Ausfall einer Einheit, die Anteil an der Ausführung der Sicherheitsfunktion h it hat, der verhindert, dass eine Sicherheitsfunktion bei Anforderung ausgeführt wird, so dass die EUC in einen gefährlichen oder möglicherweise gefährlichen Zustand gebracht wird die Wahrscheinlichkeit h hk it vermindert, die Sicherheitsfunktion bei Anforderung ordnungsgemäß auszuführen EUC = Equipment under Control Folie 3

14 Ungefährlicher Ausfall [] Ausfall einer Einheit, die Anteil an der Ausführung der Sicherheitsfunktion h it hat, der zur Fehlauslösung der Sicherheitsfunktion führt, die EUC in einen sicheren Zustand zu bringen oder den sicheren Zustand aufrechtzuerhalten die Wahrscheinlichkeit der Fehlauslösung der Sicherheitsfunktion h it erhöht, die EUC in einen sicheren Zustand zu bringen oder den sicheren Zustand aufrechtzuerhalten Folie 4

15 Ausfall infolge gemeinsamer Ursache (CCF) [] CCF = Common Cause Failure Ausfall, der das Ergebnis eines oder mehrerer Ereignisse ist, die gleichzeitige Ausfälle von zwei oder mehr getrennten Kanälen in einem mehrkanaligen System verursachen und zu einem Systemausfall führen Folie 5

16 HFT und SFF [] Hardware Fault Tolerance Eine Hardwarefehlertoleranz von N bedeutet, dass N+ die minimale Anzahl von Fehlern ist, die zu einem Verlust der Sicherheitsfunktion führen kann Safe Failure Fraction SFF S S Dd Du Dd wenn konstant Folie 6

17 Berechnung des PFD eines heterogenen oo2-systems [3]

18 Diversität [] Ungleichartige Mittel zur Ausführung einer Funktionalität Diversität kann durch unterschiedliche physikalische Methoden oder unterschiedliche Lösungen für die gleiche Aufgabenstellung erreicht werden Folie 8

19 Heterogenes oo2-system Zuverlässigkeits- blockdiagramm Komponente Zustandsdiagramm 00 Beide Komponenten funktionieren 0 Erste Komponente ausgefallen 0 Zweite Komponenten ausgefallen Beide Komponenten ausgefallen 0 Komponente Grün System funktioniert Rot System ausgefallen Folie 9

20 Herleitung PFD oo2 in Anlehnung an die EN 6508 [3]. Ermittlung der mittleren Systemausfalldauer bei erkannten bzw. unerkannten Fehlern 2. Berechnung der relativen Systemausfalldauern (Bezug auf Zeitintervall zwischen WdhPrüfungen) 3. Berechnung der Wahrscheinlichkeiten für Systemausfall 4. Multiplikation der rel. Ausfalldauern (2.) mit WS für Systemausfälle (3.) 5. Addition der Teilergebnisse für erkannten/unerkannten Fehler 6. Berücksichtigung von Fehlern mit gemeinsamer Ursache Folie 20

21 Bei erkannten Fehlern (/3) Schritt : Mittlere Systemausfalldauer MTTR Ein erkannter Fehler wird sofort repariert Schritt 2: Relative Systemausfalldauer T T MTTR T wobei T t das Zeitintervall für die Wiederholungsprüfung ist Schritt 3: Wahrscheinlichkeit für einen Systemausfall Ausfall von Kanal aufgrund erkanntem Fehler während Kanal 2 nicht verfügbar und umgekehrt T P erk T PFD T PFD DD K 2 DD2 K Folie 2

22 Bei erkannten Fehlern (2/3) Schritt 4: Anteil an der gesamten PFD PFD PFD erk erk P erk DD MTTR T T PFD K2 DD2 T PFD K DD PFDK 2 DD2 PFDK MTTR MTTR T Folie 22

23 Bei erkannten Fehlern (3/3) Fortsetzung Schritt 4: T Mit PFDK DU MTTR DD MTTR 2 T und PFDK 2 DU2 MTTR DD2 MTTR 2 T PFDerk ( DU DD2 DU2 DD) MTTR MTTR 2 DD DD2 MTTR 2 2 Folie 23

24 Bei unerkannten Fehlern (/3) Schritt : Mittlere Systemausfalldauer T MTTR 3 Schritt 2: Relative Systemausfalldauer T MTTR 3 T Schritt 3: Wahrscheinlichkeit eines Systemausfalls P T PFD unerk T PFD DU K 2 DU 2 K Folie 24

25 Bei unerkannten Fehlern (2/3) Schritt 4: Anteil an der gesamten PFD PFD PFD unerk unerk P unerk DU T 3 T MTTR T PFD K2 DU2 T PFD K T 3 MTTR T Folie 25

26 Bei unerkannten Fehlern (3/3) Fortsetzung Schritt 4: T Mit PFDK DU MTTR DD MTTR 2 T und PFDK 2 DU2 MTTR DD2 MTTR 2 T T PFDunerk 2 DD DD2 MTTR MTTR 2 3 T ( DU DD2 DU2 DD) MTTR MTTR 3 Folie 26

27 Gesamtergebnis PFD oo2 Schritt 5: MTTR MTTR T PFD PFD PFD unerk erk oo ) ( 2 MTTR MTTR MTTR DD DD DD DU DD DU 2 2 ) ( MTTR T MTTR T DU DU DD DD MTTR MTTR T DD DU DD DU 3 ) ( Folie 27 PLT 2

28 Berücksichtigung von CCF Schritt 6: PFD Mit oo2 PFD PFD CCF erk PFD unerk PFD T 2 CCF MTTR D DU DU2 DD DD2 MTTR Folie 28

29 Markov-Modelle für heterogene oo2- Systeme [3] Folie 29

30 Generisch erzeugte Markov- Modelle [4]

31 Generische Erzeugung (/2) Motivation Mit den Formeln nach DIN EN 6508 sind nur homogene Systeme und Standardsysteme mit bis zu 3 Kanälen berechenbar Ansätze zur Erweiterung auf heterogene Systeme wurden in [3] vorgestellt Ansatz Norm verweist auf weitere zulässige Berechnungs- verfahren ua u.a. Fault Tree Analysis und Markovmodelle Markovmodelle eignen sich gut zur Berechnung von PFD Folie 3

32 Generische Erzeugung (2/2) Nachteile des Markovmodells Zusandsraumexplosion Händische Erstellung für große Systeme uneffizient Lösung Genenerische Erzeugung von Markovmodellen basierend auf üblichen Beschreibungs- terminologien Folie 32

33 Fehlertypen SD DD DU ND Safe detected Dangerous detected t d Dangerous undetected Not detectable Folie 33

34 Annahmen (/2) A A2 A3 Präsentierte Werte beziehen sich auf SIF (Safety Integrated Function) -> Sensorik, Logik u. Aktorik Nur ein Fehler pro Kanal, d.h. ein Kanal mit Fehler DU kann nicht zusätzlich einen Fehler DD haben Kanal o.k., wenn keine untergeordnete Komponente ausgefallen ist. Ansonsten entspricht der Zustand des Kanals dem der ausgefallenen Komponente. Folie 34

35 Annahmen (2/2) A4 A5 Wiederholungsprüfung entdeckt und repariert alle Fehler vom Typ SD, DD, DU Alle Kanäle gehen von SD-, DD- und DU-Status nach o.k. über Kanäle mit ND verbleiben in diesem Zustand Fehler können nicht zeitgleich auftreten Außnahme: Common Cause Failure Folie 35

36 Strukturregeln R R2 R3 Sichere Fehler werden automatisch erkannt Reparaturen eines SD-oder DD-Fehlers ziehen einen Funktionstest nach sich, der auch DU-Fehler aufdeckt ND-Fehler sind davon nicht betroffen System geht in sicheren Zustand, wenn mehr als M Kanäle eines MooN-Systems im Zustand SD sind Folie 36

37 Eingabeparameter Kanalausfallraten Reparaturrate M und N aus MooN Fehlerraten werden getrennt nach Ausfallart benötigt, d.h. DD, DU, ND, SD, CC, DD, CC, Zerlegung der Gesamtfehlerrate kann nach folgenden Formeln erfolgen S, D S,, SD DU, CC ND, CC SD, Diagnostic Coverage : Proof Test Coverage : D PTC DU DC λ D λ DD DD DU, λ λ DU λ ND DU ND λ ND DC Folie 37 λ D

38 Markovmodell für oo2-system Nr. Kanal Kanal 2 System 6 Zustände o.k. o.k. Nein 2 DD o.k. Nein 3 DU o.k. Nein 4 ND o.k. Nein 5 o.k. DD Nein 6 DD DD Ja 7 DU DD Ja 8 ND DD Ja Nr. Kanal Kanal 2 System 9 o.k. DU Nein 0 DD DU Ja DU DU Ja 2 ND DU Ja 3 o.k. ND Nein 4 DD ND Ja 5 DU ND Ja 6 ND ND Ja Folie 38

39 Markov-Modell für oo2-system [4] Modell für Wiederholungsprüfung Folie 39

40 Literatur [] DIN EN 6508 (VDE 0803). Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbar elektronischer Systeme, 20. [2] DIN EN 65 (VDE 080). Funktionale Sicherheit - Sicherheitstechnische Systeme für die Prozessindustrie, [3] A. Hildebrandt: Berechnung der Probability of Failure on Demand (PFD) einer heterogenen -aus-2-struktur in Anlehnung an die EN 6508, atp Automatisierungstechnische Praxis, 0/2007, Oldenbourg. [4] T. Gabriel, L. Litz, B. Schrörs: Generische Erzeugung g von Markov- Modellen zur Berechnung sicherheitstechnischer Kenngrößen in PLT- Schutzeinrichtungen, atp Automatisierungstechnische Praxis, 07/2008, Oldenbourg. Folie 40

41 Folie 4