Пет техники за надеждност при анализ на устойчивостта на промишлените системи към откази

Защо отказоустойчивостта изисква повече от резервирано хардуерно оборудване

Всяка индустриална система в крайна сметка ще претърпи неизправности. Сензорите се разкалибрират, захранващите устройства се влошават, комуникационните връзки стават нестабилни, а механичните компоненти се износват при многократно натоварване. Следователно целта на отказоустойчивото проектиране не е да създаде оборудване, което никога не може да откаже. Целта му е да гарантира, че предвидимите неизправности няма незабавно да се превърнат в неконтролирани откази на системата.

Отказоустойчива система може да продължи да изпълнява приемлива функция, след като един или повече компоненти станат недостъпни. В някои приложения системата трябва да поддържа пълно производство. В други е приемлив намален капацитет, докато техническото обслужване възстанови отказалия канал. Вместо това системите, критични за безопасността, могат да преминат в контролирано безопасно състояние, когато продължаването на работата би създало неприемлив риск.

Резервираните компоненти често са част от тази стратегия, но само дублирането не доказва отказоустойчивост. Два контролера все пак могат да зависят от едно захранване, един мрежов комутатор или една софтуерна конфигурация. Два предавателя могат да използват общ импулсен тръбопровод и да откажат поради едно и също запушване. Затова анализът на надеждността трябва да обхваща цялата архитектура, включително зависимостите, които не се виждат непосредствено в списъка на оборудването.

Пет метода са особено полезни за тази работа. Анализът на дървото на отказите изследва как комбинации от откази могат да доведат до определено върхово събитие. Анализът на видовете и последствията от отказите проучва как могат да откажат отделни компоненти и как тези откази влияят на системата като цяло. Симулацията по метода Монте Карло изследва неопределеността при множество възможни сценарии на работа и откази, докато анализът на първопричината изследва защо е възникнало действително събитие. Марковите модели описват как ремонтопригодните системи преминават във времето между изправно, деградирало, отказало и възстановено състояние.

Фигура 1. Индустриалните системи не могат да избегнат всяка неизправност, но дисциплинираната инженерна дейност по надеждността може да предотврати превръщането на много неизправности в пълни откази.

Надеждността, готовността, безопасността и поддържаемостта не са едно и също

Терминологията за надеждност често се използва неточно, което може да предизвика объркване по време на прегледи на проектите. Надеждността описва вероятността оборудването да изпълнява необходимата си функция за определен период. Готовността описва дали оборудването е готово, когато процесът има нужда от него. Системата може понякога да отказва, но въпреки това да поддържа висока готовност, когато ремонтите се извършват бързо и резервните части са незабавно достъпни.

Поддържаемостта описва доколко ефективно повредена система може да бъде диагностицирана и възстановена. Безопасността описва дали отказите остават в приемливите граници на риска за персонала, околната среда и оборудването. Тези свойства си влияят взаимно, но подобряването на едно от тях не подобрява автоматично всички останали. Защитното изключване може да намали производствената готовност, като същевременно значително подобри безопасността на инсталацията.

Отказоустойчивостта обхваща всички тези области. Тя зависи от резервираността, диагностиката, изолирането, възможността за ремонт и контролираното влошаване на работата. Тя зависи и от ясното определяне на изискваната функция. Инженерите не могат да определят дали една система е отказоустойчива, преди да знаят каква производителност трябва да се запази след всеки достоверен отказ.

Например системата за защита на компресор може да трябва да запази възможността за аварийно изключване след отказ на един сензор. Система за управление на процес може да трябва само да поддържа стабилна работа, докато един контролер бъде заменен. Схема за защита на електрозахранването може да изисква независими канали, така че една обща повреда да не може да изключи едновременно основната и резервната защита. Техниките за надеждност помагат на инженерите да превърнат тези изисквания в конструкции, подлежащи на изпитване.

Избор на метод според инженерния въпрос

Петте техники за надеждност разглеждат различни части от един и същ проблем. FTA започва с нежелано събитие в системата и се движи назад към отказите, които могат да го причинят. FMEA започва с компонентите или функциите и проследява напред последиците от всеки режим на отказ. Симулацията по метода Монте Карло изследва ефекта на несигурността, като повтаря модела на системата при множество случайно генерирани условия.

RCA обикновено започва след реален инцидент, като използва доказателства, за да разграничи видимите симптоми от основните технически и организационни причини. Моделирането по метода на Марков се съсредоточава върху състоянията на системата и скоростите, с които системата преминава между тях. То е особено полезно, когато ремонтът, работата в режим на готовност, влошената производителност и диагностичното покритие оказват силно влияние върху готовността.

Правилният избор зависи от поставения въпрос. Екип, който проучва как може да възникне пълна загуба на охлаждането, обикновено ще започне с FTA. Проектантски екип, който разглежда всеки възможен отказ на предавател, контролер и клапан, ще извлече по-голяма полза от FMEA. Мениджър на активи, който сравнява несигурни интервали за техническо обслужване, може да използва симулация по метода Монте Карло, докато инженер по надеждността, изчисляващ дългосрочната готовност на двойка резервирани контролери, може да предпочете модел на Марков.

Тези методи се допълват, а не са взаимозаменяеми. FMEA може да идентифицира режими на отказ, които по-късно се превръщат в базови събития в дърво на отказите. Констатациите от RCA могат да коригират нереалистични допускания за откази в модел на Марков. Симулацията по метода Монте Карло може да провери как несигурните вероятности влияят върху заключенията от FTA или върху планирането на техническото обслужване.

Анализът на дървото на отказите започва с последицата

Анализът на дървото на отказите е дедуктивен метод, който започва с едно ясно дефинирано нежелано събитие. Това събитие се нарича върхово събитие. Подходящи примери са загуба на цялата захранваща вода към котела, отказ на функцията за аварийно изключване на турбина, пълна загуба на комуникацията с контролера или неконтролирано повишаване на налягането в реактор. Определението трябва да е достатъчно конкретно, за да позволи съдържателен анализ.

Основно събитие, описано само като „отказ на системата“, обикновено е твърде неясно. То не определя коя функция е отказала, колко дълго е продължил отказът или кое експлоатационно състояние е било в сила. По-добро определение би било „загуба на целия дебит на охлаждащата вода за повече от шестдесет секунди по време на нормално производство“. Тази формулировка осигурява ясна граница за анализа.

След като основното събитие бъде дефинирано, екипът идентифицира непосредствените условия, които могат да го предизвикат. Тези условия се разлагат на събития от по-ниско ниво, докато анализът достигне до базови откази на компоненти, външни въздействия или човешки действия. Логически порти свързват събитията и описват как те се комбинират. Портите ИЛИ показват, че всяко от изброените събития може да предизвика събитието от по-високо ниво, докато портите И изискват няколко събития да настъпят едновременно.

Завършеното дърво предоставя визуално представяне на логиката на отказите. То позволява на специалистите по електрически системи, механика, измервателни уреди, процеси, поддръжка и безопасност да преглеждат една и съща система от обща гледна точка. Този споделен модел е едно от най-големите практически предимства на анализа на дървото на отказите. Той улеснява оспорването на скритите допускания, преди те да се вградят в проекта.

Фигура 2. Дървото на отказите работи назад от дефинирано основно събитие и идентифицира комбинациите от откази на по-ниско ниво, които могат да го предизвикат.

Разработване на дърво на отказите стъпка по стъпка

Първата практическа задача е да се определи границата на системата. Инженерите трябва да решат кои съоръжения, комунални услуги, софтуер, оператори и външни услуги попадат в обхвата на анализа. Проучването на охладителна система може да включва помпи, клапани, електроразпределение, измервателни уреди и логика за управление. Може също да се наложи да включва водоизточника, условията на околната среда и реакцията на оператора, когато тези фактори могат да повлияят на основното събитие.

След това екипът идентифицира непосредствените причини. Пълна загуба на охлаждане може да настъпи, защото всички помпи стават недостъпни, защото общият захранващ колектор се запушва или защото изолиращите клапани се затварят неправилно. Всяка непосредствена причина се разлага допълнително. Недостъпността на помпата може да е резултат от повреда на двигателя, блокиране на лагер, загуба на засмукване, повреда на контролера или загуба на електрозахранване.

Процесът продължава, докато по-нататъшното разлагане не престане да подобрява решението. Събитията на най-ниско ниво се разглеждат като базови събития и за тях могат да се зададат вероятности или честоти на отказ. След това логическата структура може да бъде оценена качествено или количествено. Дори когато няма точни числови данни, дървото все пак може да разкрие единични точки на отказ и неочаквани общи зависимости.

Количественият FTA комбинира вероятностите на събитията според структурата на логическите врати. Изчислението може да изглежда просто, но допусканията за независимост изискват внимателен преглед. Две събития, които споделят един и същ източник на захранване, околна среда, дейност по техническо обслужване или софтуерен дефект, не са напълно независими. Пренебрегването на тези зависимости може да създаде впечатление, че резервирана конструкция е значително по-безопасна, отколкото е в действителност.

Минималните сечения показват най-опасните комбинации

Минималното сечение е комбинация от базови събития, която води до върховото събитие. Минималното сечение не съдържа ненужно събитие, което означава, че премахването на което и да е събитие би предотвратило настъпването на върховото събитие. Тези комбинации помагат на инженерите да идентифицират най-кратките и най-важни пътища към отказ. Те са особено ценни, когато голямото дърво на отказите съдържа стотици събития.

Едноелементно минимално сечение показва, че един отказ може пряко да причини върховото събитие. Такива констатации обикновено заслужават незабавно внимание при проектирането. Екипът може да добави резервираност, да подобри изолирането, да осигури отделно електрозахранване или да въведе допълнителен защитен слой. Минималните сечения от две и три събития често представляват откази в резервирани архитектури.

Не всяко кратко минимално сечение носи еднакъв риск. Комбинация от две събития, свързани с чести откази, може да е по-значима от едно изключително рядко външно събитие. Времето за откриване и ремонт също влияе върху значимостта. Скрит отказ, който остава неоткрит в продължение на месеци, създава много по-голяма продължителност на излагане на риск от повреда, открита и отстранена незабавно.

Софтуерът за FTA може да подреди минималните сечения според изчисления им принос. Инженерите обаче трябва да разгледат и физическия смисъл зад числата. Математически малка вероятност може да се основава на слаби допускания или общи данни, които не отразяват реалната инсталация. Инженерната преценка остава необходима през целия анализ.

Пример: резервираност на помпите за захранваща вода на котела, която не е действително независима

Да разгледаме електроцентрала, в която работят две помпи за захранваща вода на котела. Всяка от помпите може да поддържа минимално необходимия дебит, така че системата изглежда способна да понесе отказ на една помпа. Простото преброяване на оборудването предполага пълна резервираност. Дървото на отказите може да разкрие различна реалност, когато се включат общите зависимости.

И двата помпени двигателя могат да се захранват от една и съща електрическа шина. Двете помпи могат да засмукват от един смукателен колектор, да зависят от една и съща система за управление или да получават команди от едно измерване на нивото. Следователно единична повреда на шината, блокиран смукателен колектор или неправилен общ сигнал може да изведе и двете помпи от експлоатация едновременно. Привидната резервираност с две помпи не би осигурила защита срещу тези общи откази.

Анализът може да доведе до няколко практически подобрения. Отделните електрозахранвания могат да намалят вероятността от обща загуба на захранване. Разнообразните измервания на нивото могат да намалят зависимостта от една технология на предавателите. Независимите пътища за управление, подобреното ръчно управление и по-доброто наблюдение на засмукването могат да укрепят архитектурата, без непременно да се добавя още една цялостна помпа.

Този пример показва защо FTA е по-полезен от простото преброяване на резервираните устройства. Той оценява дали устройствата остават независими при реални експлоатационни условия. Освен това идентифицира къде допълнителната сложност осигурява реална защита и къде само създава видимост за защита.

Къде анализът на дървото на отказите работи добре — и къде не

FTA е особено ефективен за функции за безопасност, защитни системи, електроразпределение, комуникационни мрежи и други приложения с ясно дефинирано нежелано събитие. Визуалната му структура подпомага прегледите на проекта и регулаторните обсъждания. Може да се използва качествено за откриване на слабости или количествено за оценяване на вероятността за настъпване на основното събитие.

Методът става по-малко ефективен, когато основното събитие е дефинирано неточно. Поддръжката му може да стане трудна и когато дървото се разшири до хиляди събития. Динамичните последователности, поведението при техническо обслужване и променящите се работни състояния могат да изискват специализирани логически елементи или допълнителни техники за моделиране. Статичното дърво на отказите не описва естествено всяка зависимост, изменяща се във времето.

Човешките действия също изискват внимателно разглеждане. Вероятността за реакция на оператор зависи от качеството на алармите, проектирането на процедурите, обучението, натоварването, наличното време и условията на интерфейса. Присвояването на една обща вероятност за човешка грешка може да прикрие тези различия. При сериозни анализи трябва да се привличат специалисти по човешкия фактор, когато действието на оператора е от решаващо значение за резултата.

Следователно FTA е най-ефективен, когато се използва като част от по-широка програма за надеждност. FMEA може да предостави подробни данни за видовете откази на компонентите, докато методите на Марков или Монте Карло могат да обхванат ремонта, последователността и неопределеността. Нито едно дърво не бива да се приема като пълно представяне на всяко поведение на системата.

Анализът на видовете и последствията от отказите започва с компонента

Анализът на видовете и последствията от отказите използва индуктивен подход. Вместо да започва с основно събитие, екипът започва с елемент, функция или стъпка от процеса. След това разглежда как този елемент може да откаже и какво въздействие би имал всеки отказ локално и в рамките на системата. Тази посока прави FMEA особено полезен при проектиране и преглед на оборудването.

Датчикът за налягане може да се повреди по няколко различни начина. Изходният му сигнал може да се отклони нагоре или надолу, да замръзне на една стойност, да стане нестабилен или да изчезне напълно. Всеки режим води до различни експлоатационни последици. Високо показание може да причини ненужно изключване, докато ниско показание може да прикрие опасно налягане.

FMEA принуждава екипа да опише тези разлики, вместо да записва само „отказ на трансмитера“. Той също така разглежда съществуващите средства за предотвратяване и откриване. Анализът може да идентифицира диагностика, логика за сравнение, функционални изпитвания, аларми, байпаси или проверки от оператор, които намаляват последствията. Слабата откриваемост често се оказва също толкова важна, колкото и първоначалният режим на отказ.

Фигура 3. FMEA оценява отделните режими на отказ, техните ефекти, тежестта им и наличните средства за предотвратяването или откриването им.

Какво трябва да съдържа един ефективен FMEA работен лист

Полезният FMEA работен лист започва с елемента и изискваната му функция. Режимът на отказ описва как функцията може да бъде загубена, влошена или изпълнена неправилно. Локалният ефект описва какво се случва на ниво компонент, докато системният ефект описва по-широкото оперативно или свързано с безопасността последствие. Причините и механизмите се записват отделно от ефектите.

Работният лист документира и съществуващите средства за контрол. Превантивните средства за контрол намаляват вероятността от възникване на отказа. Средствата за контрол чрез откриване установяват отказа, преди той да доведе до неприемливи последствия. Примери са самодиагностика, сравнение между резервирани сигнали, алармени граници, функционални изпитвания, инспекции и прогнозна поддръжка.

Много организации определят оценки за тежест, честота на възникване и откриваемост. Понякога тези стойности се умножават, за да се получи число за приоритет на риска. Числото може да подпомогне приоритизирането, но никога не трябва да заменя техническата преценка. Различни комбинации могат да дадат една и съща оценка, дори когато последствията от тях са фундаментално различни.

Рядък катастрофален отказ може да заслужава повече внимание от често срещано незначително неудобство, дори когато изчислените им оценки изглеждат сходни. Поради това тежестта трябва да се преглежда независимо. Екипите също трябва да отдават приоритет на действията, които премахват механизма на отказа или намаляват последствията, вместо да разчитат единствено на допълнителни проверки.

Пример: Резервирани PLC входове със споделена слабост

Разгледайте два цифрови входни канала, които наблюдават един авариен полеви превключвател. Архитектурата изглежда резервирана, тъй като два PLC входа получават сигнала. FMEA анализът проверява дали целият сигнален път действително е независим. Той обхваща полевия контакт, окабеляването, захранването на входа, клемните сглобки, модулите, логиката и диагностичното поведение.

Възможните режими на отказ включват прекъсната верига, късо съединение, заварен контакт, канал, заседнал във високо логическо състояние, канал, заседнал в ниско логическо състояние, или загуба на общото захранване на входа. Анализът също така проверява дали несъответствието между каналите се открива. Ако и двата канала използват общ полеви контакт и един общ кабел, много правдоподобни откази засягат двата канала едновременно.

Прегледът може да покаже, че дублираните входни модули осигуряват ограничена допълнителна защита. Може да са необходими отделни контакти, наблюдавани полеви вериги, независими захранващи пътища или различни принципи на измерване. Процедурата за изпитване с цел доказване трябва също да проверява цялата сигнална верига, а не само PLC модула.

При защитни архитектури инженерите могат също да оценят подходящи модули за индустриална безопасност, проектирани за диагностично покритие, резервираност и контролирано поведение при отказ. Изборът на хардуер все пак трябва да следва целия жизнен цикъл на безопасността и не може да замени анализа, специфичен за конкретното приложение.

FMEA на конструкцията и FMEA на процеса разглеждат различни рискове

FMEA на конструкцията разглежда проектирания продукт или система. Той изследва дали избраните архитектура, компоненти, материали и функции за управление могат да работят по предназначение. Методът обикновено се прилага при разработването на концепцията, детайлното проектиране и промените в конструкцията. Той е най-ценен, преди конструкцията да стане скъпа за промяна.

FMEA на процеса разглежда производствените, монтажните, инсталационните, пусковите или дейностите по поддръжката. Един шкаф може да има правилна електрическа конструкция, но процесът на инсталиране все пак да доведе до разхлабени клеми, обърнат поляритет, неправилни номинали на предпазителите или неправилно идентифицирани проводници. Дейностите по поддръжката могат да доведат до инсталиране на неподходящ фърмуер, неподходящи резервни части, деактивирани аларми или оставени активни байпаси.

Тези две форми на FMEA трябва да се допълват. Проектните мерки за управление могат да намалят чувствителността към условията на инсталация, докато мерките за управление на процеса могат да предотвратят грешки при изпълнението, които проектът не може да отстрани. Прегледът само на конструкцията на оборудването оставя много рискове по време на жизнения цикъл без внимание. Прегледът само на работния процес може да скрие слабости, заложени в първоначалната архитектура.

При критични системи за автоматизация и двата анализа трябва да се актуализират след съществени изменения. Подмяната на контролер, миграцията на мрежата, обновяването на софтуера или промяната в процедурата за изпитване с цел доказване могат да въведат нови видове откази. Историческите работни листове не бива да остават замразени, докато инсталацията се развива.

FMECA добавя по-формална оценка на критичността

Анализът на видовете, последствията и критичността на отказите разширява структурата на FMEA, като добавя формални изчисления на критичността. Методът може да използва честоти на отказите на компонентите, експозиция по време на работа, фази на мисията, категории на тежестта и условни вероятности. Той е полезен, когато една голяма система съдържа множество видове откази и инженерните ресурси трябва да бъдат насочени към най-съществените фактори.

Изчисленията на критичността зависят в значителна степен от качеството на данните. Базите данни с общи честоти на отказите предоставят отправна точка, но може да не отразяват реалната инсталация. Температурата, вибрациите, замърсяването, електрическото натоварване, качеството на поддръжката и работният цикъл влияят върху действителната производителност. Данните от конкретната инсталация трябва да заменят общите допускания, когато е налична достатъчно дълга експлоатационна история.

Анализът трябва също да разграничава отказите, откривани незабавно, от отказите, които остават скрити. Скрит отказ на резервен компонент в режим на готовност може да не повлияе на производството, докато друг компонент не откаже или не възникне необходимост от задействане. Продължителното скрито излагане на риск може да направи един сравнително рядък отказ изключително важен. Затова трябва да бъдат включени интервалите между проверките и ефективността на изпитванията за доказване на изправността.

FMECA е най-полезна, когато резултатите ѝ водят до действия по проектирането или поддръжката. Сложна таблица за класиране има малка стойност, ако не влияе върху архитектурата, резервните части, диагностиката, изпитванията или оперативните процедури. Целта остава практическото намаляване на риска, а не изчислението само по себе си.

Къде FMEA работи добре — и къде може да подведе

FMEA осигурява дисциплиниран преглед на компонентите един по един. Тя е сравнително лесна за обяснение и насърчава участието на специалисти по инженеринг, експлоатация, поддръжка, качество и безопасност. Полученият регистър на действията може да бъде пряко свързан с конструктивни промени, инспекции, диагностика и подобрения в поддръжката.

Методът може да стане повтарящ се, когато се прилага към много големи системи. Екипите могат да отделят прекомерно време за документиране на маловажни видове откази, като същевременно пропускат взаимодействията в системата. Традиционната FMEA също така обикновено разглежда по един отказ наведнъж. Множество едновременни откази и събития, зависещи от последователността, може да не се проявят ясно.

Системите за оценяване създават още един риск. Екипите могат да коригират оценките, за да постигнат предпочитан приоритет, или да приемат крайното число за по-обективно от залегналата в него преценка. Нисък резултат не доказва, че даден отказ е приемлив. Събитията с висока тежест, отказите с обща причина и регулаторните изисквания трябва да бъдат предмет на отделен преглед.

Качеството на FMEA зависи от хората, които я извършват. Работен лист, изготвен от един проектант, може да пропусне реалностите на терен, познати на операторите и техниците. Задълбочените анализи съчетават проектантските познания с действителната история на поддръжката и експлоатационния опит.

Симулацията по метода Монте Карло превръща неопределеността в разпределение

Изчисленията за промишлена надеждност често включват неопределени входни данни. Експлоатационният живот на компонентите варира, продължителността на ремонта се променя, доставката на резервни части е непредвидима, а въздействието на околната среда влияе върху поведението при отказ. Една средна стойност не винаги може да представи тези вариации. Симулацията по метода Монте Карло решава този проблем чрез многократно случайно извадково генериране.

Инженерът първо изгражда модел на системата и задава вероятностни разпределения за неопределените променливи. След това симулацията генерира множество възможни комбинации. При едно изпълнение може да се приеме, че помпа отказва след 8 000 часа и се ремонтира в рамките на четири часа. При друго може да се получи по-късен отказ, но значително по-дълъг ремонт, тъй като необходимата резервна част не е налична.

След хиляди или милиони изпълнения резултатите образуват разпределение. Моделът може да оцени очаквания престой, загубата на производство, готовността на системата, вероятността за успешно изпълнение на задачата, потребността от резервни части или разходите за техническо обслужване. Той може също да покаже вероятността за екстремни резултати, които биха изчезнали при представяне само с една средна стойност.

Фигура 4. Симулацията по метода Монте Карло оценява множество случайно генерирани сценарии за откази и ремонти, за да определи диапазон от възможни резултати.

Изграждане на надежден модел за надеждност по метода Монте Карло

Качеството на симулацията зависи от модела на системата. Моделът трябва да представя компонентите, правилата за експлоатация, разпределенията на отказите, поведението при ремонт, зависимостите, логиката на резервираните компоненти и ресурсите за техническо обслужване. Той може също да включва метеорологични условия, производствено търсене, логистични забавяния и човешка реакция, когато тези фактори влияят върху работата на системата.

Всяко симулирано изпълнение проследява системата във времето. Компонентите отказват според извадки от зададените разпределения, ремонтите започват, когато ресурсите станат налични, а моделът отчита дали системата остава работоспособна, работи в деградирано състояние или е недостъпна. Повтарянето на процеса дава оценки за различни показатели на ефективността.

Валидирането е от съществено значение. Екипът трябва да сравни модела с опростени изчисления, известни експлоатационни случаи и исторически резултати от предприятието. Неочакваните резултати трябва да бъдат изследвани, а не приемани само защото са получени от софтуер. Впечатляваща визуално симулация все пак може да е грешна, когато основната логика е непълна.

Анализът на чувствителността помага да се определи кои допускания влияят най-силно върху резултата. Ако времето за ремонт има много по-голямо влияние от интензивността на отказите, ръководството може да постигне по-голяма полза чрез подобряване на наличността на резервни части и ускоряване на диагностиката. Ако вероятността за отказ по обща причина доминира, добавянето на повече идентични компоненти може да донесе малка полза.

Избор на вероятностни разпределения, съответстващи на механизма на отказ

Експоненциалното разпределение предполага постоянна интензивност на отказите. То може да е подходящо за някои електронни компоненти по време на полезния им експлоатационен живот. Разпределението на Weibull е по-гъвкаво и може да представя откази в началото на експлоатацията, случайни откази или поведение, свързано с износване. Логнормалните разпределения често са полезни за продължителността на ремонтите и за процеси, повлияни от няколко умножаващи се фактора.

Изборът трябва да отразява физическия механизъм, а не удобството на софтуера. Повреда на лагер вследствие на износване не следва естествено същото поведение като случайна комуникационна грешка. Използването на постоянна интензивност на отказите и за двата случая може да изкриви дългосрочните прогнози. Инженерите по надеждност трябва да анализират експлоатационната история и механизмите на отказ, преди да изберат разпределението.

Историческите данни често изискват почистване. Системите за техническо обслужване могат да объркат планираната подмяна с функционална повреда. Датите на повредите може да са въведени при откриването на работната поръчка, а не при възникването на неизправността. Имената на активите, експлоатационните часове и кодовете за повреди също могат да са несъгласувани между отделните обекти.

Ограничените данни не възпрепятстват анализа, но несигурността трябва да остане видима. Експертната преценка, информацията от доставчици и отрасловите бази данни могат да подпомогнат първоначалните оценки. Моделът трябва да тества реалистичен диапазон, вместо да представя едно несигурно допускане като прецизен факт.

Пример: Наличност на станция с три компресора

Да разгледаме станция с три газови компресора. За пълно производство са необходими два агрегата, а третият осигурява резервен капацитет. Всяка машина има различни експлоатационни часове, история на техническото обслужване и характеристики на охлаждането. Само един основен ремонт може да се извършва едновременно, тъй като станцията разполага с един специализиран екип по техническо обслужване.

Необходими са няколко дни за доставката на резервни лагери, а повредите на охладителната система стават по-чести при високи температури на околната среда. Тези взаимодействия трудно се представят с едно просто уравнение за наличност. Моделът Монте Карло може да извади извадки за повредите на компресорите, продължителността на ремонтите, метеорологичните периоди, наличността на техниците и закъсненията в логистиката.

Резултатите могат да покажат наличност при пълен капацитет, работа с намален капацитет и пълно спиране на станцията. Ръководството може да сравни алтернативни инвестиции. Поддържането на допълнителни лагери на склад може да намали екстремните престои по-ефективно от назначаването на още един техник по общо техническо обслужване. Подобряването на надеждността на охлаждането може да донесе по-голяма стойност от подмяната на иначе изправен компресор.

Моделът може да тества и интервалите за техническо обслужване. По-кратките интервали за профилактика могат да намалят авариите, но да увеличат времето на планираните спирания и грешките, причинени от обслужването. Симулацията позволява и двата ефекта да бъдат оценени в рамките на един и същ оперативен модел.

Кога симулацията Монте Карло работи добре — и кога се проваля

Методите Монте Карло са мощни, когато много несигурни променливи си взаимодействат. Те могат да представят сложна логистика, опашки за ремонт, метеорологични въздействия, производствено търсене и решения за техническо обслужване. Полученото разпределение предоставя повече информация от една-единствена средна стойност. То също така подпомага решенията, основани на риска, като показва вероятността от тежки, но редки последствия.

Основната слабост е достоверността на модела. Сложната симулация може да създаде фалшива увереност, тъй като резултатът ѝ изглежда числено прецизен. Програмата изчислява единствено последствията от въведените от анализатора допускания. Пропуснати зависимости или нереалистични разпределения могат да доведат до подвеждащи резултати.

Симулацията също изисква достатъчно на брой изпълнения за постигане на стабилни оценки. Вероятностите за редки събития може да изискват специализирани техники за извадка, тъй като обикновената случайна симулация би изисквала непрактично голям брой изпълнения. Трябва да се посочват доверителни интервали, за да разбират потребителите статистическата неопределеност.

Затова методът е най-ценен, когато логиката на модела, източниците на данни и ограниченията остават прозрачни. Решенията за надеждност не трябва да се основават на графика, чиито допускания не могат да бъдат обяснени на оперативния и инженерния персонал.

Анализът на първопричината започва след събитието

Анализът на първопричината изследва защо е възникнала действителна повреда, проблем с качеството или събитие, свързано с безопасността. Той надхвърля идентифицирането на повредения компонент. Двигателят може да спре, защото лагерът е блокирал, но смяната на лагера само възстановява работата. Разследването трябва да определи защо лагерът е достигнал това състояние.

По-дълбоките причини може да включват замърсяване, неправилно смазване, лошо съхранение, повреди при монтажа, прекомерно натоварване на процеса или пропусната инспекция. Организационните условия също могат да допринесат. Задачи по поддръжката може да са били премахнати, резервните части да са били неподходящи или производственият натиск да е забавил коригиращите дейности.

Затова RCA разграничава симптомите, преките физически причини, допринасящите условия и основните слабости на системата. Това разграничение не позволява на организацията да приема всеки ремонт за трайно решение. То също така създава доказателства, които могат да подобрят бъдещи FMEA, FTA, планирането на поддръжката и експлоатационните процедури.

Фигура 5. RCA проследява повредата отвъд видимия симптом и идентифицира техническите и организационните условия, които са позволили тя да възникне.

Доказателствата трябва да бъдат съхранени, преди предприятието да се върне към нормална работа

Промишлените доказателства могат бързо да изчезнат. Операторите може да нулират алармите, техниците да заменят модули, а условията на процеса да се променят. Регистрите на контролера могат да презапишат по-ранни събития, а повредените компоненти могат да бъдат изхвърлени, преди да бъдат изследвани. Затова дисциплинираният процес на RCA започва със съхраняване на доказателствата.

Екипът трябва да събере трендове от архиватора, списъци с аларми, регистри на събитията от контролера, записи от релетата, заявки за работа, снимки, повредени части, версии на софтуера, конфигурационни файлове и наблюдения на операторите. Всеки елемент трябва да бъде идентифициран по източник и време. Физическите доказателства трябва да останат под контролиран режим, докато разследването не определи дали е необходим допълнителен преглед.

Синхронизацията на времето заслужава особено внимание. Контролер, архиватор, защитно реле, сървър и система за поддръжка може да записват различни времеви отпечатъци. Разследващите трябва да коригират тези разлики, преди да изградят последователността на събитията. В противен случай последваща аларма може неправилно да изглежда като първоначалното събитие.

Интервютата с операторите трябва да бъдат проведени своевременно, но внимателно. Хората може да помнят последователност и контекст, които автоматизираните системи не са регистрирали. Техните изявления трябва да се разглеждат като доказателства, а не като повод за обвинения. Целта е да се разбере работната среда, в която са били вземани решенията.

Изграждане на хронологията на събитията, преди да се търси отговорът на въпроса „Защо?“

Добре изготвената хронология отделя потвърдените факти от интерпретацията. Тя записва какво се е случило преди, по време на и след повредата. Всяко събитие трябва да бъде свързано с източник, като стойност от исторически архив, запис на аларма, действие по поддръжката, снимка или свидетелско показание. Пропуските и несъответствията трябва да останат видими.

Първата аларма, показана на оператора, не винаги е първото физическо събитие. Потокът от аларми може да скрие началното условие сред стотици вторични съобщения. Данните с висока разделителна способност за последователността на събитията могат да покажат, че нестабилността на налягането, смущението в захранването или загубата на комуникация са започнали по-рано. Хронологията помага да се разграничи причината от последицата.

След като последователността бъде изяснена, екипът може да използва инструменти като метода „Петте защо“, диаграми „рибена кост“, анализ на бариерите, анализ на промените или диаграми на причинните фактори. Простите събития могат да бъдат обяснени чрез кратка причинно-следствена верига. Сложните инциденти обикновено включват няколко взаимодействащи си технически и организационни условия.

Разследването не трябва да приключва след намирането на едно правдоподобно обяснение. Алтернативните хипотези трябва да бъдат проверени спрямо доказателствата. Неподкрепените предположения трябва да останат обозначени като предположения, а не да бъдат представяни като потвърдени причини.

Пример: Повтарящи се повреди на честотно задвижване

В един завод се наблюдават повтарящи се повреди на честотно задвижване, което управлява един конвейер. След всеки случай поддръжката сменя задвижването и производството се възстановява нормално. Няколко месеца по-късно друго задвижване се поврежда. Повтарящата се смяна подсказва, че самото задвижване може да не е целият проблем.

Екипът за анализ на първопричината сравнява датите на повредите с данните за условията на околната среда и поддръжката. Повечето повреди са възникнали през горещите летни периоди. Тенденциите на температурата в шкафа показват продължителна работа над предпочитания диапазон. При проверката се установяват запушени филтри, ограничен въздушен поток и значително натрупване на прах около пътя на охлаждащия въздух.

Историята на поддръжката показва, че редовното почистване на филтрите е било премахнато от графика за превантивна поддръжка след промяна в числеността на персонала. Задвижването е повреденият компонент, но прекомерната температура в шкафа е пряката физическа причина. Ограничената вентилация и липсващата задача по поддръжката са допринасящи и организационни причини.

Затова коригиращото действие трябва да надхвърля поредната смяна на задвижването. Заводът може да възстанови поддръжката на филтрите, да инсталира аларми за температура, да подобри охлаждането на шкафа и да преразгледа конструкцията на корпуса. Ефективността трябва да бъде проверена през следващия период с високи температури.

Коригиращите действия трябва да бъдат свързани с потвърдените причини

Много доклади за RCA отслабват по време на планирането на коригиращите действия. Екипите могат да препоръчат допълнително обучение, без да докажат, че знанията са били недостатъчни. Могат да преработят процедурите, когато истинският проблем е лошата конструкция на оборудването. Могат да добавят проверки, които не могат да открият действителния механизъм на отказа.

Всяко действие трябва да адресира потвърдена причина или допринасящо условие. То трябва да има отговорник, краен срок за изпълнение и определен метод за проверка. Организацията трябва да разграничава временното ограничаване на последствията, коригиращото действие и дългосрочното превантивно действие. Възстановяването на производството не е същото като предотвратяването на повторна поява.

Ефективността трябва да бъде прегледана след внедряването. Изпълненото действие не е автоматично успешно. Предприятието трябва да потвърди дали вероятността от отказ е намаляла, дали новият контрол се използва и дали не е въвел друг риск. Тази обратна връзка затваря цикъла на подобряване на надеждността.

При сериозни разследвания може да е необходим независим преглед. Екипите, които са били тясно ангажирани със събитието, могат да бъдат повлияни от предишни предположения или организационен натиск. Външен или междуфункционален преглед може да постави анализа под въпрос, преди окончателните заключения да бъдат приети.

Човешката грешка рядко е пълната първопричина

„Грешка на оператора“ и „грешка при поддръжката“ често се срещат в повърхностни разследвания. Тези обозначения описват кой е извършил последното действие, но не обясняват защо действието е станало вероятно. Хората работят в рамките на интерфейси, процедури, нива на персонала, производствени изисквания, системи за обучение и конструкции на оборудването. Разследването трябва да изследва всички тези условия.

Оператор може да избере неправилния елемент за управление, защото два обекта на екрана изглеждат почти еднакви. Техник може да монтира неправилната част, защото идентификацията е непоследователна. Ръководител може да отложи поддръжката, защото организацията възнаграждава непрекъснатото производство, без да осигурява реалистичен прозорец за спиране.

Разбирането на тези условия не отменя индивидуалната отговорност. То предотвратява възможността същата система да доведе друг човек до същата грешка. Разследването, съсредоточено върху вината, може да удовлетвори непосредственото изискване за поемане на отговорност, но да остави основната слабост незасегната.

Ефективният RCA изследва как системата е повлияла върху взетото решение. Той проверява дали сигналите са били разбираеми, процедурите — практични, работното натоварване — разумно, и дали необходимите инструменти са били налични. Тези въпроси водят до по-ефективни коригиращи действия от простото инструктиране на хората да бъдат по-внимателни.

Къде анализът на първопричината работи добре — и къде не

RCA превръща реалния оперативен опит в превантивно знание. Той може да разкрие слабости в конструкцията, пропуски в поддръжката, процедурни проблеми и организационен натиск, които прогнозните изследвания са пропуснали. Констатациите му могат да подобрят моделите за надеждност и стандартите за бъдещи проекти.

Методът е реактивен, защото започва след настъпването на събитие. Индустриите с високи последствия не могат да разчитат само на извличането на поуки от откази. Проактивните методи като FMEA и FTA все още са необходими. RCA трябва да ги допълва, като актуализира допусканията с доказателства от реалната експлоатация.

Разследванията също могат да станат субективни. Пристрастието към потвърждение може да накара екипите да предпочетат първото обяснение, което изглежда подходящо. Недостатъчните доказателства могат да принудят екипите да оставят заключенията несигурни. Добрите доклади ясно разграничават потвърдените причини, допринасящите фактори, хипотезите и нерешените въпроси.

Стойността на RCA зависи от последващите действия. Технически силно разследване носи малка полза, когато действията се забавят, отслабват или никога не се проверяват. Затова ангажираността на ръководството е също толкова важна, колкото и аналитичните умения.

Моделите на Марков проследяват системата през променящите се състояния

Моделирането на Марков представя системата чрез определени работни състояния. Една проста система може да съдържа само работно състояние и състояние на отказ. Отказоустойчива система обикновено изисква допълнителни състояния, като напълно резервирано, деградирало, отказало, подлежащо на ремонт или очакващо резервна част. Преходите свързват тези състояния.

Интензивността на отказите може да премести системата от напълно работно в деградирало състояние. Друг отказ може да я премести от деградирало в недостъпно състояние. Интензивността на ремонта може да я върне към пълна работоспособност. Моделът изчислява вероятността системата да се намира във всяко от състоянията във времето.

Тази структура е особено полезна за ремонтируеми системи. Тя може да представя резервираност, резервно оборудване, диагностично покритие, реакция при поддръжка и частичен производствен капацитет. За разлика от простата формула за надеждност, тя показва колко дълго системата може да остане уязвима след първия отказ.

Фигура 6. Моделите на Марков описват как системите преминават между изправно, деградирало, отказало и ремонтирано състояние.

Двусъстояният модел представя основния принцип

Най-простият модел на Марков съдържа едно работно състояние и едно състояние на отказ. Интензивността на отказите управлява прехода от работно към отказало състояние. Интензивността на ремонта управлява прехода обратно към работно състояние. Въз основа на тези преходи моделът може да оцени готовността за определен период или при установени стационарни условия.

Този модел е полезен за просто ремонтируемо оборудване, но не описва напълно повечето резервирани системи за автоматизация. Двуканален контролер може да продължи да работи след отказ на единия канал. Системата остава функционална, но губи резервираността си. Тя вече се намира в деградирало състояние и е по-изложена на риск от втори отказ.

Добавянето на състоянието „деградирало“ позволява на модела да изчисли колко често и колко дълго системата работи без пълна защита. Скоростта на ремонта става изключително важна. Система с надеждни компоненти все пак може да прекарва прекомерно много време в деградирало състояние, ако диагностицирането на повредата, доставката на резервни части или одобрението за поддръжка се забавят.

Моделът може също да разграничава открити и неоткрити повреди. Откритата повреда в канал може да задейства незабавен ремонт. Неоткритата повреда може да остане скрита, докато не възникне потребност или друга повреда. Диагностичното покритие променя структурата на преходите и следователно променя изчислената наличност и риска.

Пример: Двойка контролери с двойно резервиране

Да разгледаме два контролера, подредени като резервирана двойка. Състояние едно представлява изправността и на двата контролера. Състояние две представлява отказ на единия контролер, докато вторият запазва управлението. Състояние три представлява загуба и на двата контролера и пълна недостъпност на управлението.

Моделът включва честотата на отказите на всеки контролер и честотата на ремонта след откриване. Той може също да включва отказ при превключване, обща загуба на захранването и общ софтуерен дефект. Тези допълнителни преходи не позволяват на анализа да приема идеална независимост.

Резултатите могат да разграничат наличността при пълно резервиране от функционалната наличност. Системата може да остане способна да управлява процеса през по-голямата част от годината, като същевременно прекарва значителен брой часове само с един изправен контролер. Това излагане на деградирано състояние може да бъде неприемливо за критично приложение.

Моделът може да сравнява стратегии за подобрение. По-бързата подмяна на резервния компонент може да намали излагането на деградирано състояние по-ефективно от добавянето на трети контролер. По-добрата диагностика може да донесе по-голяма полза от малкото намаляване на честотата на хардуерните повреди. Марковският анализ прави тези компромиси измерими.

Резервното оборудване изисква повече от състояние на активна повреда

Резервирането в режим на готовност въвежда допълнително поведение. Резервна помпа може да остане спряна, докато работещата помпа не се повреди. В резервния блок може да има скрита повреда, той може да не стартира или да възникне проблем в логиката за превключване. Изолиращите клапани също може да не успеят да заемат необходимото положение.

Марковският модел може да включва състояния за изправно активно оборудване, недостъпно резервно оборудване, отказ при превключване, намален капацитет и пълна загуба на системата. Изпитването за доказване премества системата от неизвестно скрито състояние към известно състояние. Интервалът между изпитванията влияе върху продължителността, през която скритите повреди остават възможни.

Политиките за техническо обслужване могат да се оценяват в същата структура. По-кратките интервали между изпитванията подобряват откриването на скрити повреди, но увеличават натоварването по поддръжката и могат да доведат до допълнителни грешки. Моделът може да сравнява тези конкуриращи се ефекти, вместо да приема, че по-честото изпитване винаги е по-добро.

Анализът на резервирането трябва да включва и логистиката по ремонта. Повредата на резервен компонент може да не прекъсне производството незабавно, така че ремонтът да бъде отложен. Това забавяне оставя системата без защита, когато активният блок впоследствие се повреди. Следователно оперативните приоритети влияят върху надеждността също толкова, колкото и характеристиките на хардуера.

Марковското допускане създава както простота, така и ограничения

Базовият марковски модел приема, че бъдещото поведение на преходите зависи от текущото състояние, а не от цялата предходна история. Това допускане опростява математиката и често изисква постоянни преходни интензитети. Някои промишлени съоръжения отговарят на това приближение с приемлива точност за ограничен период.

Стареенето и натрупаните повреди могат да нарушат това допускане. Силно износен лагер няма същото бъдещо поведение по отношение на отказите като нов лагер, дори когато и двата в момента работят. Допълнителни състояния на деградация могат да апроксимират стареенето, докато за по-точно представяне може да са необходими полумаркови или други модели.

Експлозията на броя на състоянията е друго предизвикателство. Всяко състояние на компонент може да умножи броя на възможните състояния на системата. Сложна резервирана инсталация бързо може да породи хиляди или милиони комбинации. За да остане анализът управляем, може да са необходими редуциране на модела, групиране или симулация.

Моделът трябва да съдържа достатъчно подробности, за да подпомага вземането на решение, без да представя всяка физическа вариация. Прекомерната сложност създава проблеми при поддръжката и валидирането. Прекалено опростеният модел скрива важно поведение, докато прекалено подробният модел става невъзможен за обяснение.

Къде марковското моделиране работи добре — и къде не

Марковското моделиране е особено подходящо за ремонтируеми резервирани системи, резервно оборудване, деградирали режими на работа и диагностично покритие. То подпомага анализа на готовността и показва как реакцията при техническо обслужване променя експозицията на системата. Особено полезно е, когато последователността на състоянията на отказ и ремонт има значение.

Методът зависи от правилното определяне на състоянията и преходните интензитети. Допусканията за постоянни интензитети може да не отразяват стареенето, измененията на околната среда или качеството на техническото обслужване. Отказите с обща причина трябва да бъдат представени изрично, а не скрити в независимите честоти на отказ на компонентите.

Резултатите трябва да бъдат подкрепени с анализ на чувствителността. Екипът трябва да провери как се променят заключенията при вариране на честотите на отказите, времената за ремонт, диагностичното покритие и допусканията за откази с обща причина. Проект, който изглежда приемлив само при едно оптимистично допускане, не е устойчив.

Марковските модели са аналитични инструменти, а не физическо доказателство. Изпитванията, експлоатационните данни, FMEA и FTA остават необходими. Моделът помага при сравняването на стратегии, но не може да замени проверката на реалната архитектура.

Използване на петте метода като единна система за надеждност

Петте метода осигуряват най-голяма стойност, когато са свързани помежду си. FMEA може да идентифицира подробните режими на отказ на компонентите по време на проектирането. След това FTA може да определи кои комбинации допринасят за критично събитие в системата. Марковското моделиране може да опише поведението на системата след първия отказ и по време на ремонта.

Симулацията Монте Карло може да проверява несигурни входни данни, като продължителността на ремонтите, доставката на резервни части, метеорологичните условия и натоварването на поддръжката. RCA предоставя доказателства след реални откази и може да разкрие допускания, пропуснати от първоначалните модели. След това моделите трябва да бъдат актуализирани, а не съхранявани като исторически документи.

Да предположим, че FTA разглежда отказите на два контролера като независими. По-късно RCA показва, че и двата контролера са отказали, след като един техник по поддръжката е заредил една и съща неправилна конфигурация. Дървото на отказите трябва да добави общо събитие, свързано с поддръжката. Моделите на Марков и Монте Карло също трябва да включат новата зависимост.

Този процес на обратна връзка създава действаща програма за надеждност. Прогнозният анализ насочва проектирането, експлоатационните данни проверяват допусканията, а резултатите от разследванията подобряват следващото поколение модели. Работата по надеждността става част от жизнения цикъл на системата, вместо да бъде еднократно изискване на проекта.

Отказите с обща причина могат да обезсилят цялата редундантна архитектура

Отказите с обща причина засягат множество канали чрез едно основно условие. Споделеното захранване, охлаждането, мрежовата инфраструктура, софтуерът, въздействието на околната среда и практиките за поддръжка са често срещани примери. Тези откази са особено опасни, защото могат да обезсилят редундантността, която изглежда надеждна на хартия.

Физическото разделяне намалява някои общи причини. Разнообразното оборудване или софтуерът могат да намалят други. Независимата проверка може да намали грешките при поддръжката и конфигурирането. Разнообразието обаче увеличава и сложността на обучението, резервните части, изпитванията и интеграцията.

Правилното решение зависи от риска. Инсталирането на контролери от различни технологии може да намали риска от общ софтуерен отказ, но да създаде нови предизвикателства за комуникацията и поддръжката. Отделните захранващи блокове може да донесат малка полза, ако и двата се намират в един и същ шкаф, подложен на риск от наводнение. Методите за анализ на надеждността помагат да се определи кои мерки за разнообразие са насочени към правдоподобни механизми на отказ.

Допусканията за откази с обща причина трябва да са видими във всеки количествен модел. Третирането на редундантните канали като напълно независими почти винаги води до оптимистичен резултат. Опитът от експлоатацията и констатациите от RCA предоставят ценни доказателства за оценяване на тези зависимости.

Диагностичното покритие определя колко дълго системата остава уязвима

Редундантната система не може да се управлява ефективно, когато повредите остават скрити. Диагностичното покритие описва дела на съответните повреди, откривани от автоматични или ръчни средства за контрол. Високото покритие намалява времето, през което системата остава незабелязано в деградирано състояние. То също така позволява на поддръжката да възстанови редундантността, преди да възникне друга повреда.

Диагностичните твърдения трябва да се проверяват внимателно. Контролерът може да открива вътрешни повреди на процесора, но не и всяка повреда в полевото окабеляване. Комуникационният модул може да открива пълна загуба на връзката, но да не разпознава неправилно съпоставяне на данните. Захранващият блок може да подаде аларма след пълна загуба на изхода, но да не предупреждава за постепенно влошаване.

Функционалното изпитване обхваща откази, които непрекъснатата диагностика не открива. Интервалът между изпитванията влияе върху продължителността на излагането на риск. По-дългите интервали позволяват на скритите откази да останат неоткрити по-дълго, докато много кратките интервали увеличават натоварването по поддръжката и риска, предизвикан от изпитването. FMEA, анализът на Марков и експлоатационните данни могат да подпомогнат избора на балансиран интервал.

Изпитването трябва да обхваща цялата функция. Активирането на вход на PLC не доказва, че полевият превключвател, окабеляването, логиката, изходът и крайният елемент работят правилно. Анализът на надеждността трябва да определи точно кои откази може да открие всяка диагностична проверка или функционално изпитване.

Времето за ремонт често е също толкова важно, колкото и честотата на отказите

Програмите за надеждност често се съсредоточават върху намаляването на честотата на отказите на компонентите. Времето за ремонт може да бъде също толкова важно при отказоустойчивите системи. След отказа на първия канал системата може да продължи да работи, но да остане уязвима. Дългите забавяния при ремонта увеличават вероятността втори отказ да причини пълна загуба на функцията.

Диагностицирането, одобренията, наличността на техници, резервните части, разрешенията за достъп и производствените условия влияят върху времето за възстановяване. Подмяната на компонент може да отнеме петнадесет минути, след като правилната резервна част бъде доставена до шкафа. Реалният престой все пак може да продължи дни, когато резервната част трябва да бъде набавена от чужбина.

Подобрената диагностика може да съкрати времето за локализиране на повредата. Стандартизираните модули и предварително конфигурираните резервни части могат да съкратят времето за подмяна. Местните складови наличности, ясните процедури за ескалация и дистанционната инженерна поддръжка могат да намалят логистичните забавяния. Моделите на Марков и методите Монте Карло могат да определят количествено стойността на тези подобрения.

Най-добрата инвестиция в надеждност невинаги е по-здравият хардуер. При някои системи съкращаването на времето за ремонт осигурява по-голямо намаляване на риска от малкото подобрение в честотата на отказите на компонентите. Анализът трябва да сравни и двата варианта.

Прилагане на анализа на надеждността към архитектурите на DCS и PLC

Надеждността на системата за управление зависи от повече от централния процесор. Инженерите трябва да прегледат контролерите, модулите за входове/изходи, комуникационните мрежи, захранващите устройства, сървърите, операторските станции, синхронизацията на времето, полевите интерфейси и спомагателните системи. Всеки общ елемент може да се превърне в обща зависимост.

Резервираните контролери могат да използват общ шкаф за входове/изходи. Резервираните сървъри могат да зависят от един мрежов комутатор или една система за съхранение. Мрежите за отдалечени входове/изходи могат да използват отделни комуникационни канали, които преминават по един и същ физически маршрут. Пълният анализ трябва да проследи функцията от полевото устройство до крайното управляващо действие.

Необходимо е ясно да се определи поведението след отказ. Процесът може да продължи под управлението на оставащия контролер, да премине към ръчно управление или да влезе в контролирано изключване. Обслужващият персонал трябва да знае как да идентифицира отказалия канал и да възстанови системата, без да нарушава работата на изправния канал.

Организациите, които планират модернизация на системите за управление, могат също да прегледат типичните компоненти на DCS системи за управление, използвани в архитектурите за автоматизация на процеси. Изборът на компоненти винаги трябва да следва изискванията за надеждност на цялото приложение, а не изолирани характеристики на отделни продукти.

Надеждните модели зависят от надеждни данни за поддръжката

Количественият анализ на надеждността е толкова добър, колкото са добри базовите данни. Записите за поддръжката трябва да разграничават функционален отказ, планирана замяна, инспекция и модификация. Датата на отказа трябва да показва кога е била загубена функцията, а датата на възстановяване трябва да показва кога работоспособността действително е била възстановена.

Идентичностите на активите трябва да останат съгласувани в системата за архивиране на данни, системата за поддръжка, чертежите и базата данни за резервни части. Кодовете за откази трябва да описват механизмите, а не неясни симптоми. „Спрял“ предоставя малко аналитична стойност, докато „блокирал лагер вследствие на замърсяване на смазката“ подпомага бъдещото моделиране и превенция.

Експозицията при експлоатация също трябва да бъде включена. Непрекъснато работеща помпа не може да се сравнява пряко с резервна помпа, която работи само по време на изпитвания. Температурата, влажността, замърсяването, вибрациите, електрическото натоварване и технологичното натоварване могат да обяснят разликите между иначе идентични компоненти.

Почистването на данни трябва да се разглежда като инженерна работа, а не като административна подготовка. Неправилните класификации могат да изкривят честотите на отказите, разпределенията на времето за ремонт и заключенията от моделите. Анализаторите трябва да обсъждат необичайните резултати с персонала по поддръжката и експлоатацията, преди да ги приемат.

Практически работен процес за подобряване на надеждността

Проектът за надеждност трябва да започне с дефиниране на необходимата функция и границите на системата. Екипът трябва да посочи какви характеристики се изискват при нормална експлоатация и след всеки правдоподобен отказ. Трябва да бъдат събрани чертежи, ръководства, история на поддръжката, работни процедури, записи на аларми и предишни доклади за инциденти.

FMEA може да идентифицира видовете откази на ниво компоненти и слабите средства за откриване. FTA може да анализира критични върхови събития и споделени зависимости. Марковското моделиране може да оцени деградирали състояния и реакцията при ремонт, докато методът Монте Карло може да представи неопределеността при откази, поддръжка и логистика.

Историческите инциденти трябва да се анализират чрез RCA. Констатациите трябва да се използват за актуализиране на проектните анализи и количествените допускания. Действията трябва да се приоритизират според последствията, вероятността, откриваемостта, експозицията, времето за ремонт и разходите.

Всяко действие трябва да има отговорно лице, срок за изпълнение и проверка на ефективността. Анализите трябва да се актуализират след съществени промени в оборудването, софтуерни надстройки, модификации на процеса или промени в стратегията за поддръжка. Надеждността е постоянна инженерна дисциплина, а не отчет, изготвен еднократно и прибран.

Въпросите, които разкриват слабите твърдения за отказоустойчивост

Задълбоченият преглед проверява коя функция трябва да остане достъпна и кои откази може да понесе системата. Той проверява дали резервираните канали са физически, електрически и логически независими. Проверява също как се откриват скритите откази и колко дълго системата може да остане в деградирано състояние преди ремонта.

Екипът трябва да идентифицира компонентите с дълги срокове за доставка и да определи дали една грешка при поддръжката може да засегне няколко канала. Софтуерните зависимости и зависимостите в конфигурацията трябва да получават същото внимание като хардуера. Операторите трябва да разбират как се държи системата след отказ и какви ръчни действия остават възможни.

Предположенията относно отказите и ремонтите трябва, когато е възможно, да бъдат подкрепени с данни от производствената площадка. Коригиращите действия трябва да бъдат проверени след изпълнението им. Изпитванията за доказване трябва да демонстрират цялостната защитна функция, а не само реакцията на отделно оборудване.

Тези въпроси са по-ценни от общото твърдение, че системата е резервирана. Те свързват отказоустойчивостта с реалната архитектура, експлоатационната среда и възможностите за поддръжка.

Заключителна гледна точка

Отказоустойчивостта е от съществено значение, когато престой, опасно поведение или загуба на управление не могат да бъдат приети. Само резервирането обаче не създава надеждна система. Инженерите трябва да разбират режимите на отказ, общите зависимости, диагностичното покритие, работата в деградирано състояние, поведението при ремонт и експлоатационните последствия.

Анализът на дървото на отказите показва как комбинации от откази могат да доведат до критично събитие. FMEA осигурява систематичен преглед на отделните режими на отказ и последствията от тях. Симулацията по метода Монте Карло оценява неопределени сценарии, докато RCA превръща реалните откази в превантивни знания. Марковското моделиране обяснява как ремонтируемите системи преминават между нормално, влошено, отказало и възстановено състояние.

Всеки метод има ограничения, но заедно те осигуряват стабилна рамка за надеждност. Проектните анализи трябва да се актуализират с експлоатационни данни, а констатациите от инциденти трябва да подобряват бъдещите модели. Резултатите трябва да влияят върху архитектурата, поддръжката, резервните части, изпитванията, обучението и процедурите.

Целта не е да се създаде система, която никога не претърпява отказ. Целта е отказите да се откриват на ранен етап, последиците от тях да се ограничават, необходимата функция да се запазва и пълната функционалност да се възстановява предвидимо. Това е практическото значение на отказоустойчивостта в индустрията.