【工程师博客】硬件可靠性指标 - PFH和PFD

作者:Tom-M

本博客继续讨论上一个博客中的需求模式话题,特别是低需求和高需求模式。

先介绍基础知识:

PFH = 每小时危险故障概率(IEC 62061加了一个很有用的“d”,如PFHd,提醒我们这仅适用于危险故障)
PFDavg= 平均需求故障概率(它与风险降低因数RRF相对)
PFH和PFD代表根据SIL的随机硬件故障方面的硬件可靠性指标。IEC 61508-1:2010的表1、2提出了实际要求

图1 - PFH和PFDavg之间的关联

需要记住的重点是,这两个指标都只关注危险故障,这些故障将阻止系统维护安全或实现安全状态。通过诊断检测到的危险故障实际上是安全的,不包括在指标范围内。

上一篇博客中提到,划分低需求模式和高需求模式的指标是一年一次的需求率,可以看出,如果以一年10,000小时而不是8,760小时计算,PFH和PFDavg的需求率是相同的,即一年一次。

看表格,如果您有SIL 3高需求安全功能,则PFH需要< 1e-7/h (100 FIT)。这可以使用FMEA(失效模式和效果分析)或FTA(故障树分析)确定。对于低需求,SIL 3安全功能所需故障的平均概率应小于0.001。

使用IEC 61508-6:2010的近似值,上述结果导致一个有趣的反常现象,即当需求率从1.01/年改为0.99/年时,可靠性要求似乎增加了10倍。这没有多大意义,因为需求率在下降。

举例说明,假设您有一个使用寿命为20年的单通道系统,并且没有验证测试(验证测试间隔 = 20年)。进一步假设高需求率为1.01/年(为便于计算用1/年),那么为了满足IEC 61508-1:2010表3的要求,λDU为0.99e-7允许硬件指标要求为SIL 3。

但是,如果需求率降至0.99/年(为便于计算用1/年),降低需求率当然是件好事,那么,我们允许使用低需求规则的SIL级别是多少。根据IEC 61508-6:2010第B.3.2.2.2条,我们得到的PFDavg为9e-3,正好在SIL 2范围的高端,λDU显然需要下降10倍才能在SIL 3范围内。正如我所说,这是令人困惑的,似乎也没有意义。编写这项标准的可敬女士们和先生们是否犯了个错误?恐怕没有,他们没有犯错。

即使使用需求率来计算RRF,显然仍出现这种异常现象,如下所示。这肯定是不对的,原因是什么?

图2 - 需求率超过1/年时所需可靠性明显增加

如ISO 10218-1中所规定的,上述数字假设验证测试间隔为20年。

第一个错误警告是,如果遵循低需求规则,随着需求率进一步上升(进入高需求区域),情况会变得更糟。这表明,以高于0.1/年的高需求率(包括所指出的1.0/年)计算的低需求近似值是非常错误的。

IEC 61508-6:2010第B.3.1条中给出了第二个警告,其中规定:“需求之间的预期间隔至少比验证测试间隔大一个数量级。”但是,您必须非常仔细地阅读标准才能发现这一点。在这种情况下,验证测试间隔为20年,因此近似方程只会在需求率达到每200年一次时才成立!!

因此您如何解释这一点?下面的图有所帮助。

图3 - 低需求系统如何出现故障

看上图,您会估计危险事件的频率遵循下面的红色曲线,且危险事件的频率随着需求率的增加而增加。然而,安全功能介于需求率和危险事件之间,因此危险事件率绝不能超过与需求率无关的安全功能的故障率,并以图上所示的紫色线表示。当您进行计算时,会得到类似于下面的虚线值,其给出了真实的危险事件频率,如果使用这条虚线,关于1/年需求率的异常将消失,且危险事件频率绝不会超过λDU给出的频率。

图4 - 最大危险事件率

在IEC 63161中,上述曲线的方程称为Henley/Kumamoto方程。

虽然在博客中难以处理这个复杂的主题,但下面有一些重要的结论:

高需求模式为给定的λDU提供最大危险事件率
IC供应商以及真正的模块或子系统供应商需要给出一个λDU,并让安全功能设计人员计算PFH和PFD
针对低需求计算RRF/PFD的一个重要原因是确定系统需求所需的SIL
当需求率从1/年下降到1/千年时,所需的RRF和SIL(SC)就会下降 .

点击这里,获取更多工业自动化技术信息