Verificação do nível de integridade de segurança (SIL) – Comparação dos métodos de cálculo do PFD 《Continua》

Thread Content

Resumo: A IEC61511 estipula claramente que, para cada requisito SIF, a probabilidade de falha PFD deve ser igual ou inferior ao valor-alvo de falha especificado nas especificações de requisitos de segurança, e isso precisa ser confirmado por meio de cálculos. O autor utilizou, respectivamente, o método dos diagramas de confiabilidade, o método da árvore de falhas e o método do modelo de Markov (com uso de softwares para cálculos), para verificar o nível de integridade de segurança (SIL) de projetos reais. Foram feitas comparações entre esses três métodos populares de cálculo do SIL. O processo de verificação SIL inclui, principalmente: a formação de uma equipe de verificação (profissionais especializados) ； Preparação de documentos (lista SIF; a tabela deve conter informações sobre os circuitos de instrumentação de segurança e seu nível SIL correspondente, dados sobre os equipamentos de medição utilizados, informações sobre falhas nos equipamentos, bem como o período de inspeção e teste) ； Modelagem de confiabilidade ； Cálculo por software (calcula-se a pontuação de falha de segurança (SFF); em conjunto com a margem de falha do hardware (HFT), determina-se o nível de integridade de segurança das restrições arquiteturais) ； Com base nos dados de falhas e nos modelos de confiabilidade, é possível calcular a probabilidade de falha PFD nas condições exigidas, bem como o período de teste necessário para atender aos requisitos SIL. Além disso, é possível calcular a taxa de paradas não planejadas nos processos críticos, de acordo com as necessidades da empresa ； Relatório de saída (resultados dos cálculos, avaliação de conformidade, período de testes para verificar a conformidade com os requisitos SIL e medidas recomendadas, entre outros). Este artigo discute apenas as vantagens e desvantagens de três métodos diferentes para calcular a probabilidade de falha PFD, quando são necessárias tais cálculos. Exemplo de aplicação: Quando o nível de líquido no equipamento fica muito alto, os válvulas de vapor (FCV-01-681 e EV-010656), bem como a válvula PCV-01-616, são fechadas automaticamente. Isso evita que a alta pressão dentro do equipamento cause acidentes, resultando em ferimentos às pessoas e danos ao equipamento. O processo é mostrado na Figura 1: a estrutura de entrada e saída do circuito SIF de nível de líquido está apresentada na Tabela 1; os dados sobre a taxa de falha do circuito estão na Tabela 2; enquanto os resultados da verificação SIL do circuito estão na Tabela 3. Tabela 1: Entradas e saídas do circuito de intertravamento de nível
Nome do circuito: Circuito de intertravamento de nível
Forma de votação: 2oo3
Unidades de entrada: LT_01-658A/B/C2oo3
Unidade de processamento lógico: PES1oo2D
Unidades de saída: FCV-01-681/EV-01-656, PCV-01-6162oo2
Nota: No conjunto inteiro, o conjunto de válvulas FCV-01-681/EV-01-656 opera em modo 1oo2.

Tabela 2: Dados de taxa de falha do circuito de intertravamento de nível
Nome: λDD, λDU, λSD, λSU
Tipo de estrutura: TIMTTR
Medidor de nível: 6,22E-08; 7,18E-08; 7,97E-08; 1,02E-07; B3 – 8 horas
Barreira de segurança: 3,00E-08; 1,10E-07A – 8 horas
Processador: 1,10E-06; 1,50E-08; 1,30E-06; 6,0E-09B – 4 horas
Fonte de alimentação: 2,25E-06; 2,50E-07B – 4 horas
Placas DI: 1,30E-08; 2,70E-08; 1,30E-08B – 4 horas
Placas DO: 2,00E-08; 1,20E-08B – 4 horas
Atuadores: 5,60E-07; 3,00E-07A – 8 horas
Válvulas esféricas: 15,30E-07A – 8 horas
Válvulas esféricas 2: 27,10E-07A – 8 horas
Válvulas borboleta: 2,75E-06A – 8 horas
Válvulas eletrônicas: 4,57E-09; 1,10E-07A – 8 horas

Explicação do cálculo: Como as referências não fornecem a probabilidade de falha conjunta para vários canais, foi utilizado o valor de referência de 0,1 nos cálculos. Além disso, o método do diagrama de confiabilidade e o método da árvore de falhas não permitem calcular os parâmetros de cobertura dos testes funcionais. Eles também não conseguem lidar com estruturas múltiplas ou estruturas de formato irregular. Portanto, ao realizar os cálculos, assume-se que a cobertura dos testes funcionais seja de 100%. Ao usar esses dois métodos para calcular os módulos de saída, primeiro calcula-se o PFD de cada válvula no modo de votação 1oo1, sem levar em consideração o impacto das falhas causadas por fatores comuns. Tanto o software HAZOPkit quanto o software exSILentia são baseados no método do modelo de Markov; portanto, ambos os softwares foram utilizados diretamente como resultados de verificação desse método. Os resultados obtidos pelo software exSILentia servem como referência para os resultados apresentados nas referências bibliográficas. Como não se sabe quais parâmetros foram utilizados no cálculo, eles são fornecidos apenas como referência. Tabela 3: Resultados dos cálculos do SIL para o circuito de intertravamento do nível de líquido
Nome | Dados PFDavg | Método de análise de confiabilidade | Método da árvore de falhas | Software HAZOPkit | Software exSILentia | Entradas (incluindo medidores de nível e barreiras de segurança) | 1,40E-04 | 1,52E-4 | 2,10E-04 | 2,52E-4 | Controlador lógico (incluindo fonte de alimentação, processador e placas) | 3,04E-03 | 4,00E-3 | 3,99E-03 | 1,97E-04 | Saídas (FCV-01-681/EV-01-656, PCV-01-616) | 1,74E-02 | 1,74E-2 | 1,90E-02 | 1,89E-02 | Circuito SIF | PFDavg | 2,10E-02 | 2,16E-2 | 2,32E-02 | 1,93E-02 | Existem estudos que compararam a precisão dos cálculos obtidos pelo método da árvore de falhas e pelo modelo de Markov, utilizando dados prévios disponíveis no banco de dados OREDA. Esses estudos mostraram que, em sistemas com estrutura simples, os resultados dos dois métodos são bastante precisos e estão em concordância com os dados prévios. O método dos modelos de Markov apresenta melhores resultados nos cálculos de sistemas complexos. Portanto, este artigo não comparará mais a precisão desses três métodos de verificação, mas discutirá apenas seus aspectos funcionais e práticos. Tabela 4: Comparação dos métodos de verificação – Método do diagrama de confiabilidade, Método da árvore de falhas, Método do modelo de Markov. Nível de complexidade dos cálculos: Simples, podendo ser feito manualmente; ou muito alto, exigindo o uso de computador. Relação entre a falha de um único dispositivo e a falha do sistema: Geralmente boa; ou ruim. Necessidade de dados: A quantidade de dados necessários é relativamente pequena, considerando apenas os estados de falha perigosos. A quantidade de dados necessários é também relativamente pequena, mas inclui tanto os estados de falha perigosos quanto os estados de falha seguros. No entanto, isso não é obrigatório. Modelos com múltiplas falhas: Não suportado. Não é possível realizar modelagem dinâmica; uma única modelagem permite obter apenas um indicador de confiabilidade. É possível realizar modelagem dinâmica, sendo que uma única modelagem pode fornecer vários indicadores de confiabilidade. Vários modos de votação podem ser suportados. Estruturas heterogêneas: Não suportado. Cobertura dos testes funcionais: Não suportado. Nível de complexidade computacional: Após a elaboração dos modelos utilizando o método de diagramas de confiabilidade e o método da árvore de falhas, é possível realizar os cálculos diretamente, com base nas fórmulas de PFD, resultando em um esforço computacional reduzido. Já o modelo de Markov descreve os estados do sistema por meio de matrizes, e o cálculo envolvido é muito complexo; portanto, é necessário usar um computador para realizar esses cálculos. Reflete a relação entre um dispositivo individual e o sistema: o método dos diagramas de confiabilidade descreve de maneira clara as relações em série e em paralelo dentro do sistema, enquanto o método da árvore de falhas permite visualizar de forma intuitiva a relação lógica entre falhas em um dispositivo individual e falhas no sistema como um todo. Já o método dos modelos de Markov tem um desempenho inferior nesse aspecto. Requisitos de dados: Geralmente, acredita-se que o método dos modelos de Markov exige uma grande quantidade de dados. No entanto, através de cálculos, verificou-se que, se considerarmos apenas a taxa de falha PFD nos requisitos do sistema de cálculo, é possível obter resultados semelhantes utilizando apenas o método dos diagramas de confiabilidade ou o método da árvore de falhas. Modelos de falha múltipla: O método da árvore de falhas se baseia na premissa de que os eventos têm apenas dois estados e que as relações lógicas entre as falhas são definidas, portanto, é difícil descrever eventos com múltiplos estados. Por exemplo, em relação a alguns componentes eletrônicos, eles podem estar em estados normais, de circuito aberto ou de curto-circuito. Já o método dos modelos de Markov é baseado na teoria das probabilidades e oferece uma boa descrição de sistemas polimórficos. Escopo de modelagem: O método do diagrama de confiabilidade e o método da árvore de falhas permitem a determinação de apenas um indicador de confiabilidade por modelo. Além disso, quando a estrutura do modelo muda, é necessário recalcular as fórmulas relacionadas, o que limita sua flexibilidade. Vários modos de votação e estruturas heterogêneas: Durante este processo de verificação, o que mais me causou dificuldades foi o cálculo do módulo de saída (conjunto de válvulas). Nos exemplos, os três tipos de válvulas são diferentes e foram divididos em dois grupos. Como não foi possível encontrar fórmulas adequadas, foi necessário calcular o PFD de cada dispositivo separadamente, e depois utilizar um método probabilístico simples para fazer os cálculos. O método da árvore de falhas pode suportar vários grupos de votação e estruturas heterogêneas, mas a dedução das fórmulas é muito complexa. Cobertura dos testes funcionais: Nesta verificação, assumiu-se que a cobertura dos testes funcionais é de 100%, ou seja, que após cada teste funcional o dispositivo voltaria ao seu estado inicial. Isso obviamente não corresponde à realidade. Durante os testes práticos, a cobertura dos testes de funcionalidade tem grande impacto nos resultados de cálculo, e, desses três métodos de verificação, apenas o método do modelo de Markov consegue realizar essa função. Resumo: Seja pelo método do diagrama de confiabilidade, pelo método da árvore de falhas ou pelo método do modelo de Markov para a verificação do SIL, é necessário se basear em estatísticas sobre a taxa de falha dos equipamentos e componentes. Dados precisos são uma condição essencial para obter resultados precisos na verificação. Para circuitos SIF com estrutura mais simples, os resultados das três metodologias de verificação levaram à mesma conclusão quanto ao nível SIL. Além disso, o método dos diagramas de confiabilidade e o método de falhas oferecem uma boa descrição da relação entre dispositivos individuais e sistemas. Além disso, as fórmulas dos modelos simplificados são, em sua maioria, públicas. Portanto, as empresas podem utilizar essas fórmulas, na fase de projeto e seleção de sistemas SIS, para estimar o limite inferior dos dados de confiabilidade dos dispositivos necessários. O método dos modelos de Markov tornou-se a solução preferida para a verificação de software SIL, devido à sua flexibilidade e precisão. Suas desvantagens, como o alto custo computacional e a baixa intuitividade, também foram superadas nos softwares desenvolvidos com essa técnica. Obs.: Para conhecer os algoritmos específicos dos três métodos de verificação abordados neste artigo, consulte a publicação em https://bbs.hcbbs.com/thread-3123029-1-1.html. Nota: Este artigo foi reproduzido do WeChat Official Account “Haopeng Technology” – “Verificação do Nível de Integridade de Segurança (SIL) – Comparação de métodos de cálculo PFD”