TURVA-AUTOMAATIOPIIRIN LASKENTAAN VAIKUTTAVIA TEKIJÖITÄ

ASAF-teemakokous 15.12.2004 Uudenmaan tsp, Helsinki Timo Malm: TURVA-AUTOMAATIOPIIRIN LASKENTAAN VAIKUTTAVIA TEKIJÖITÄ TURVA-AUTOMAATIOPIIRIN LASKENTAAN VAIKUTTAVIA TEKIJÖITÄ Käsitteitä Toimintatodennäköisyys - eheystasot Vikaantuminen ja vaarallisten vikojen taajuudet Vertailututkimus: laskentamenetelmiä ja lähtötietoja Laskennan epävarmuustekijöitä Datapankkeja 2 1

TURVALLISUUS LUOTETTAVUUS (SFS-EN 954-1) Koneen turvallisuus on koneen kyky suorittaa toimintonsa (myös asennus jne.) käyttöohjeiden erittelemissä käyttöoloissa ilman, että se aiheuttaa vammaa tai haittaa terveydelle. Luotettavuus on koneen, osan tai varusteen kyky suorittaa vaadittu toiminto virheettömästi tietyissä olosuhteissa tietyn ajan. 3 Toimintatodennäköisyyden kasvu on yhä tärkeämpää koska järjestelmien osien määrän kasvaessa luotettavuuden, käytettävyyden ja usein myös turvallisuuden merkitys kasvaa Enemmän komponentteja Yhä monimutkaisempia järjestelmiä Yhä laajempia järjestelmiä Enemmän osien välisiä yhteyksiä Vian todennäköisyys kasvaa Vian vaikutus laajenee yhä useampiin yhteydessä oleviin laitteisiin Luotettavuuden merkitys kasvaa Luotettavuuden osoittaminen yhä monimutkaisempaa Vaikutus: TURVALLISUUS KÄYTETTÄVYYS YLLÄPITO 4 2

Vikataajuus Eheystasot ja todennäköisyys aikayksikössä Turvallisuuden eheystaso (SIL) Vaarallisten vikojen todennäköisyys tuntia kohden SIL 4 10-9 10-8 SIL 3 10-8 10-7 SIL 2 10-7 10-6 SIL 1 10-6 10-5 5 Vikataajuus käyttöönottovaihe vakiovikataajuus käyttö laatuongelmat Kasvava ikä korroosio katkokset/oikosulut parametrimuutokset loppukäyttö kuluminen Vikataajuus vakio - eksponentiaalinen jakauma R(t)= e -λt Luotettavuusfunktio t=0 R(0)=1, t= R( )=0 λ=1/mttf Vikataajuuden ja MTTF:n yhteys kun λ on vakio 6 3

VAARALLISEN (HW) VIAN TODENNÄKÖISYYS/TAAJUUS VAIKUTTAVAT TEKIJÄT satunnainen vika vian paljastumisen todennäköisyys testausväli Kanava diagnostiikka Kanava yhteisvika 1oo2 turvallisen tilan saavuttamiseen kuluva aika 7 β-factor - Yhteisviat KANAVA 1 - vaaralliset HW-viat KANAVA 2 - vaaralliset HW-viat Yhteisviat Yksi vika vaikuttaa molempiin kanaviin. 8 4

Validation of programmable control systems - VAPOCO Hankkeessa mukana: Timo Malm, Maarit Kivipuro, Helge Palmen, Risto Tuominen, Marita Hietikko, Jacques Hérard (SP), Jan Tegehall (SP) 9 htkk, v. 2001 2002; päärahoittaja Työsuojelurahasto SP (Ruotsi), KCI, Bronto Skylift, Metso Minerals, Sandvik Tamrock, STM Koneautomaation ohjelmoitavien ohjausjärjestelmien validointi- eli kelpuutusmenetelmiä kuvattiin ja arvioitiin 28 kpl. Kvantitatiivisen analyysimenetelmän soveltaminen kuormituksen valvontalaitteeseen ja menetelmän käytöstä tehdyt havainnot. Validointiprosessin kehittäminen IEC 61508 standardia ja IEC 62061 standardiluonnosta seuraten. 9 Rakennetaan vikapuut Eri lähteiden vertailu - vikapuita kuormituksenvalvontalaitteelle Listataan komponentit ja Niiden vaaralliset viat Lasketaan vikataajuudet MIL-HBK 217 F Lasketaan vikataajuudet SN 29500 Lasketaan vikataajuudet KOTEL Poimitaan vikataajuudet pren 954-1 Poimitaan vikataajuudet draft IEC 62061 Poimitaan vikojen osuudet RAC dokumentista Poimitaan vikojen osuudet daft IEC 62061 MTTF laskettiin Cara-ohjelmalla Vikapuut laskettiin MTTF kaavoilla Vikapuut laskettiin pitämällä luotettavuusfunktion avulla Lasketaan aika kun luotettavuus=0,5 10 5

TWO-STEP CONTROL Unexpected start-up Vikapuu pysäytysfunktiolle Safety relay failure (energised) is not detected Component failure: C11 (open) R16 (open) R17 (open) C23 (short) N2 (all) R23 (open) V18 (short) CPU input (low) Safety relay (S1) is energised Component failure: S1 (energised) RH relay (S2) is energised Component failure: S2 (energised) RL relay is energised (S3) Component failure: S3 (energised) The relay failure (energised) is not detected Component failure: CPU (input low) open circuit 11 Vikataajuuksia yksittäisille komponenteille Component Type Proportion of dangerous failures Proportion... IEC 62061 Kotel SN 29500 MIL-HBK 217F EN 954-1 Draft IEC 62061 C11 CAPACITOR 47N 0,059 0,4 1,64E+08 4,44E+09 4,42E+08 2,28E+04 3,00E+05 275VAC 20% R15 R16 RESISTOR 3K32 1 % 0,375 0,8 1,00E+11 1,05E+11 3,67E+09 5,00E+09 2,00E+05 100 PPM 200 V 1206 R17 -"- 0,375 0,8 1,00E+11 1,05E+11 3,67E+09 5,00E+09 2,00E+05 C23 CER CAPACITOR 20 % 0,3 0,4 1,64E+08 3,50E+10 4,31E+08 2,28E+04 3,00E+05 500 V X7R 1206 N2 SMD PC357NT/TLP 1 1 4,35E+08 4,51E+09 5,16E+07 1,48E+04 6,00E+05 124 OPTOISOLATOR R23 RESISTOR 1K00 1 % 0,375 0,8 1,00E+11 1,05E+11 6,87E+09 5,00E+09 2,00E+05 100 PPM 50 V 0603 V18 SMD BSR19A NPN 160 0,48 0,25 2,00E+09 1,23E+10 3,64E+08 6,00E+08 6,00E+04 V 300 ma SOT-23 CPU input Motorola MC68HC912DG128A 0,279 0,2 6,71E+07 7,33E+08 7,60E+06 1,48E+04 3,00E+05 S2 15 A RELE SPDT 12 0,1 0,25 6,25E+08 2,51E+08 7,66E+07 1,26E+04 4,00E+05 VDC S3 -"- 0,1 0,25 6,25E+08 2,51E+08 7,66E+07 1,26E+04 4,00E+05 S1 15 A RELE SPDT 48 0,1 0,25 6,25E+08 2,51E+08 8,31E+07 1,26E+04 4,00E+05 VDC CPU input Motorola MC68HC912DG128A 0,279 0,2 6,71E+07 7,33E+08 7,60E+06 1,48E+04 3,00E+05 12 6

Vikapuuanalyysi Huipputapahtuman todennäköisyys lasketaan boolean algebran funktioilla. Tässä esimerkissä käytetty AND ja OR -funktioita 13 OR-portti Luotettavuusfunktio OR-portille: R(t) tot =R 1 (t)*r 2 (t)*...r n (t) = e -λ1t * e -λ2 t *... * e -λnt = e -(λ1+λ2+...+λn)*t Vikataajuus OR-portille: λ total =λ 1 +λ 2 +...+λ n 14 7

Luotettavuusfunktio AND-portille R(t) tot =1-(1-R 1 (t))*(1-r 2 (t))*...(1-r n (t))) AND-portti Vikataajuus AND-portille: Aikariippuvainen funktio, voidaan laskea tietylle aikavälille. Aikariippuvuus johtuu siitä, että ajan kuluessa todennäköisyys portin toisen tulon toteutumisesta kasvaa. Täydellisen tarkastuksen jälkeen voidaan ajanlasku aloittaa alusta, koska molemmat kanavat on todettu tarkastuksessa ehjiksi. Kuinka valita aikaväli? MTTF= 0 R(t)dt ΜΤΤF total =1/λ 1 +1/λ 2 +...+1/λ n -(1/( λ 1 + λ 2 )+1/( λ 1 +λ n )+...+ 1/( λ n-1 +λ n ))+...+(-1) n- 1 /(Σλ n ) Tai simuloidaan prosessia ja lasketaan keskimääräinen aika ensimmäisen vian synnylle Tai käytetään sopivaa luotettavuusarvoa ja lasketaan sitä vastaava aika Tai yksinkertaistetaan kaavoja tai käytetään tarkempia kaavoja? 15 Vikapuiden tulokset Lähteellä, mistävikataajuudet otetaan on merkittävä vaikutus tuloksiin. Laskentamenetelmillä on jonkun verran vaikutusta tuloksiin. Tavallisesti vikapuun yksinkertaistamisella on vain vähän vaikutusta tuloksiin Erilaiset tulokset eivät välttämättä johdu virheistä vaan erilaisista alkuoletuksista ja siten tuloksetkin pätevät eri olosuhteissa. Kotel SN 29500 MIL-HBK 217F Draft 62061 IEC pren 954-1 MTTF calc. 7,29E+09 4,30E+09 9,52E+08 2,46E+06 1,57E+05 Surviving prob. 0,5 5,68E+09 3,67E+09 7,34E+08 2,06E+06 1,27E+05 Cara MTTF 5,73E+09 3,21E+09 7,32E+08 1,91E+06 1,22E+05 Simplified FT 7,29E+09 2,93E+09 9,52E+08 1,87E+06 1,46E+05 MTTFall failure 7,31E+08 9,81E+08 9,55E+07 5,68E+05 2,19E+04 16 8

Luotettavuusfunktio vikapuulle Reliability MIL-HBK 217 1,2 1 merkittävin osa kuvaajasta 0,8 Reliability factor 0,6 0,4 0,2 0 0,00E+00 5,00E+08 1,00E+09 1,50E+09 2,00E+09 2,50E+09 Time (h) 17 Weibull jakauma kolmelle eri laitteelle, joilla on sama MTTF Epäilemättä Data 3 kuvaa luotettavinta laitetta, vaikka MTTF onkin kaikilla laitteilla sama. 18 9

Epävarmuustekijöitä liittyen vikapuiden laskentaan Input data, mitä dataa pitäisi käyttää? Mil-HBK 217F, SN 29500, Kotel, RAC, OREDA, Sintef... Pitääkö käyttöolosuhteet ottaa huomioon? Kuormitus, komponentin laatuluokka, lämpötila, kosteus, kemikaalit... Tarkempia tuloksia saataisiin, jos käytettäisiin tarkempia malleja kuten physics of failure menetelmä. Tarvitaanko tarkkoja malleja? Tarkassa laskennassa vikataajuus pitäisi laskea erikseen kullekin komponentin vikaantumismekanismille. Miten pitäisi laskea vikataajuus koko funktiolle? Eri menetelmillä saadutuja tuloksia voidaan selittää erilaisilla oletuksilla ja yksinkertaistuksilla. Kuvaako laskennan tulokseksi saatu yksittäinen luku (esim. MTTF) vikataajuutta tai vikaväliä riittävän hyvin? Jos luotettavuusfunktio on monimutkainen, voi yksittäinen luku antaa harhaanjohtavan tuloksen. 19 Laskennan epävarmuustekijöitä 1 Komponenttien laatu ei aina ole sama. Tämä voi aiheuttaa eron todellisuuden ja mallin välillä. R(t)dt Y(t) Vikaantumismallit ovat likiarvoja todellisista vioista. Laatuongelmat ilmenevät usein käytön alussa. Joissain tapauksissa on hyvä käyttää laitetta niin pitkään, että laatuongelmia ei tarvitse ottaa huomioon. Pitää arvioida mikä data on sopivin vai pitäisikö käyttää kokemusperäistä dataa. Physics of failure menetelmä antaa tarkan kuvan, jos lähtötiedot ovat tarkkoja. Kuinka laskea vikataajuuksia sähkömekaanisille komponenteille, jotka vikaantuvat lähinnä kytkentäkertojen ja kuorman vuoksi; ei niinkään käyttötuntien. Arvioi sopivin data ja vastaako se käyttöä. Jos käyttö poikkeaa normaalista, kannattaa tämä ottaa huomioon laskennassa. 20 10

Laskennan epävarmuustekijöitä 2 Komponentit kehittyvät jatkuvasti ja kaikki mallit eivät ota tätä huomioon. On parata käyttää uutta dataa laskennassa. On mahdollista käyttää myös kokeellista dataa. Jos käytetään eri lähteistä saatua dataa niin tavallisesti pessimistisin data dominoi laskentatuloksia. % % Vikajakauma data ei ole yleensä tarkkaa. Vikaantumismekanismit eri olosuhteissa vaikuttavat vikaantumismalleihin ja tätä ei vikajakaumadatassa yleensä oteta huomioon. Olisi parasta käyttää samaa lähdettä kaikille komponenteille. Jos tämä ei ole mahdollista, on arvioitava eri lähteiden eroja. Jos vikajakaumaa ei tunneta ja tuloksen halutaan olevan turvallisella puolella, voidaan käyttää arvoa 100%. Joissain harvinaisissa vioissa voidaan epävarmoissa tapauksissa käyttää myös 50%:a. 21 Laskennan epävarmuustekijöitä 3 On vaikea arvioida integroitujen piirien vikajakaumaa, koska niillä voi olla monimutkaisia kriittisiä vikoja (esim. oikosulku tiettyjen liittimien välillä). Jotta arvio olisi turvalliseen suuntaan, on hyvä käyttää yleisen oikosulun arvoa mille tahansa ICpiirin yksittäiselle oikosululle. Samaa periaatetta voidaan soveltaa myös muille vikamuodoille. Järjestelmän ympäristöolosuhteet voivat olla arvaamattomat. Jos olosuhteista ei ole tietoa, on hyvä käyttää pahimman tilanteen arvoja, jotta laskelmat olisivat turvalliseen suuntaan. Piiriarkkitehtuuria ei yleensä oteta huomioon malleissa. Suojaavat komponentit, piirirakenteet ja kunnollinen kotelointi lisäävät usein laitteen elinikää vaikka ne lisäävätkin komponenttien lukumäärää. 22 11

Laskennan epävarmuustekijöitä 4 Vikapuu (tai vastaava) on yksinkertaistettu malli ja tämä voi aiheuttaa virheitä. Varmista, että malli kattaa pahimmat tilanteet. R(t)dt Kaavat, joilla lasketaan koko järjestelmän vikataajuus voivat olla eri laitteille erilaisia. MTTF voi viitata esim. simuloinnin tulokseen tai integraaliin 0:sta äärettömään. Verrattaessa eri järjestelmiä keskenään pitää käyttää samaa laskentamenetelmää. Esim. simulointiprosessissa lukuisia parametrejä pitää ottaa ottaa huomioon ja nämä kaikki vaikuttavat tulokseen. 23 F(x) Y Usein tulosten arvioinnissa hyödynnetään vain yksittäistä luotettavuuslukua. Eri järjestelmien luotettavuusfunktion muodot saattavat kuitenkin poiketa toisistaan merkittävästi ja siksi tulos voi olla harhaanjohtava. Laskennan epävarmuustekijöitä 5 Myös järjestelmien luotettavuusfunktioiden mallia on hyvä tarkastella, jos mallit poikkeavat merkittävästi toisistaan. Osiin jaetun turvallisuusfunktion yhdistämisessä voidaan tehdä virheitä. Funktioilla voi olla keskinäisiä riippuvuuksia. Yhdistettäessä tuloksia pitää varmistaa, että yhdistettävillä osilla ei ole keskinäisiä riippuvuuksia. Riippuvuudet tosin yleensä vaikuttavat turvalliseen suuntaan (heikentää tulosta). Toisaalta on myös mahdollista, että kokonaistulosta etsittäessä jokin osa unohtuu. 24 12

ESIMERKKEJÄ VIKAJAKAUMISTA (1) % Mikroprosessori 16/32 bit 68,8 Open 6,3 Chipout 6,3 Leakage 6,3 Shorted 6,3 Workmanship Mikroprosessori 39,6 Cracked die 23,4 Shorted 14,4 Parameter 6,3 Functional failure 5,4 Current leakage 3,6 Aluminium corrosion Transistori 30,0 Shorted 25,5 Open 15,3 Overstress 11,5 Drift 1,9 Mechanical damage 1,7 Contamination 1,1 Reduced β 3,5 Workmanship + others 25 ESIMERKKEJÄ VIKAJAKAUMISTA (2) % Rele 13 High contact resistance 10,2 Degraded 9,7 Intermittent operation 7,9 Seal failure 7,3 Open 6,3 Short Hydraulic valve 66,3 Leaking 11,3 Stuck closed 10,2 Open 4,7 Out of specification 4,4 Cracked/fractured 3,0 No operation Pump 35,5 Leak 21,3 Worn out 16,8 Out of adjustment 3,4 No operation 26 13

Datapankkeja (tutkimuslaitokset ja yliopistot) European Safety, Reliability and Data Association ESReDA (Ed.): Data for Maintenance. (To be published in 2002) European Safety, Reliability and Data Association EUReDA (Ed.): European Industry Reliability Data Bank Naval Surface Warfare Center NSWC (Ed.): Handbook of Reliability Prediction Procedures for Mechanical Equipment Reliability Analysis Center RAC (Ed.): Electrostatic Discharge Susceptibility Data. Rome, N.Y.: IIT Research Institute, 1995. Reliability Analysis Center RAC (Ed.): Electronic Parts Reliability Data. Rome, N.Y.: IIT Research Institute, 1997. Reliability Analysis Center RAC (Ed.): Failure Mode/Mechanism Distributions. Rome, N.Y.: IIT Research Institute, 1998. Reliability Analysis Center RAC (Ed.): Nonelectronic Parts Reliability Data. Rome, N.Y.: IIT Research Institute, 1997. Reliability Analysis Center RAC (Ed.): Nonoperating Reliability Data. Rome, N.Y.: IIT Research Institute, 1987. U.S. Department of Defense DoD (Ed.): Reliability Prediction of Electronic Equipment. MIl-HDBK-217F-N2: 1995-02 27 Datapankkeja (yritysmaailmasta) Det Norske Veritas DNV (Ed.): Offshore Reliability Data Handbook, 3rd Edition. OREDA-97: 1997 Siemens (Ed.): Failure Rates of Components. SN 29500 Telcordia (formerly known as Bellcore) (Ed.): Reliability Prediction for Electronic Equipment, Issue 1. SR-332: 2001-05 28 14

KIITOKSET MIELENKIINNOSTA Timo Malm VTT Tuotteet ja tuotanto Timo.Malm@vtt.fi, PL 1307 33101 Tampere 29 15