Năm kỹ thuật độ tin cậy để phân tích khả năng chịu lỗi trong công nghiệp

Vì sao khả năng chịu lỗi đòi hỏi nhiều hơn phần cứng dự phòng

Mọi hệ thống công nghiệp cuối cùng đều sẽ gặp sự cố. Cảm biến bị trôi, bộ nguồn xuống cấp, các liên kết truyền thông trở nên không ổn định và các linh kiện cơ khí bị mài mòn do chịu tải lặp lại. Vì vậy, mục đích của kỹ thuật chịu lỗi không phải là tạo ra thiết bị không bao giờ hỏng. Mục đích là bảo đảm các sự cố có thể dự đoán không lập tức trở thành những hỏng hóc hệ thống mất kiểm soát.

Một hệ thống chịu lỗi có thể tiếp tục cung cấp chức năng chấp nhận được sau khi một hoặc nhiều linh kiện không còn khả dụng. Trong một số ứng dụng, hệ thống phải duy trì toàn bộ sản lượng. Trong các ứng dụng khác, công suất giảm vẫn có thể chấp nhận được cho đến khi việc bảo trì khôi phục kênh bị lỗi. Thay vào đó, các hệ thống trọng yếu về an toàn có thể chuyển sang trạng thái an toàn được kiểm soát khi việc tiếp tục vận hành sẽ tạo ra rủi ro không thể chấp nhận.

Các linh kiện dự phòng thường là một phần của chiến lược này, nhưng chỉ nhân đôi linh kiện không chứng minh được khả năng chịu lỗi. Hai bộ điều khiển vẫn có thể phụ thuộc vào một nguồn điện, một bộ chuyển mạch mạng hoặc một cấu hình phần mềm duy nhất. Hai bộ truyền tín hiệu có thể dùng chung một đường dẫn áp suất và cùng hỏng do một chỗ tắc. Vì vậy, phân tích độ tin cậy phải xem xét toàn bộ kiến trúc, bao gồm cả những mối phụ thuộc không dễ nhận thấy trong danh sách thiết bị.

Năm phương pháp đặc biệt hữu ích cho công việc này. Phân tích cây lỗi xem xét cách các tổ hợp lỗi có thể tạo ra một sự kiện đỉnh được xác định trước. Phân tích dạng thức và tác động của lỗi nghiên cứu cách từng linh kiện có thể hỏng và những hỏng hóc đó ảnh hưởng đến toàn hệ thống như thế nào. Mô phỏng Monte Carlo khảo sát sự không chắc chắn trong nhiều kịch bản vận hành và hỏng hóc có thể xảy ra, trong khi Phân tích nguyên nhân gốc điều tra lý do một sự kiện thực tế đã xảy ra. Mô hình Markov mô tả cách các hệ thống có thể sửa chữa chuyển đổi theo thời gian giữa các trạng thái bình thường, suy giảm, hỏng và được khôi phục.

Hình 1. Các hệ thống công nghiệp không thể tránh mọi sự cố, nhưng kỹ thuật độ tin cậy có phương pháp có thể ngăn nhiều sự cố trở thành hỏng hóc hoàn toàn.

Độ tin cậy, Tính sẵn sàng, Tính an toàn và Khả năng bảo trì không giống nhau

Thuật ngữ về độ tin cậy thường được sử dụng không chặt chẽ, điều này có thể gây nhầm lẫn trong các cuộc rà soát thiết kế. Độ tin cậy mô tả xác suất thiết bị thực hiện chức năng yêu cầu trong một khoảng thời gian xác định. Tính sẵn sàng mô tả việc thiết bị có sẵn sàng khi quy trình cần đến hay không. Một hệ thống đôi khi có thể bị lỗi nhưng vẫn duy trì tính sẵn sàng cao khi việc sửa chữa được thực hiện nhanh chóng và phụ tùng thay thế luôn có sẵn.

Tính khả năng bảo trì mô tả mức độ hiệu quả mà một hệ thống bị lỗi có thể được chẩn đoán và khôi phục. Tính an toàn mô tả việc các lỗi có nằm trong giới hạn rủi ro chấp nhận được đối với nhân sự, môi trường và thiết bị hay không. Các đặc tính này tác động lẫn nhau, nhưng việc cải thiện một đặc tính không tự động cải thiện tất cả các đặc tính còn lại. Việc tắt máy để bảo vệ có thể làm giảm khả năng sẵn sàng sản xuất, đồng thời cải thiện đáng kể mức độ an toàn của nhà máy.

Khả năng chịu lỗi bao quát các lĩnh vực này. Khả năng đó phụ thuộc vào tính dư thừa, chẩn đoán, cô lập, khả năng sửa chữa và sự suy giảm có kiểm soát. Khả năng đó cũng phụ thuộc vào việc xác định rõ chức năng cần thiết. Kỹ sư không thể xác định một hệ thống có chịu lỗi hay không cho đến khi biết hiệu suất nào phải được duy trì sau mỗi lỗi có thể xảy ra.

Ví dụ, một hệ thống bảo vệ máy nén có thể cần duy trì khả năng ngắt khẩn cấp sau khi một cảm biến bị hỏng. Một hệ thống điều khiển quy trình có thể chỉ cần duy trì hoạt động ổn định trong khi một bộ điều khiển được thay thế. Một sơ đồ bảo vệ nguồn điện có thể yêu cầu các kênh độc lập để một lỗi chung không thể vô hiệu hóa cả hệ thống bảo vệ chính và dự phòng. Các kỹ thuật độ tin cậy giúp kỹ sư chuyển những yêu cầu này thành các thiết kế có thể kiểm thử.

Lựa chọn phương pháp dựa trên câu hỏi kỹ thuật

Năm kỹ thuật độ tin cậy giải quyết các khía cạnh khác nhau của cùng một vấn đề. FTA bắt đầu từ một sự kiện không mong muốn của hệ thống và truy ngược về những hỏng hóc có thể gây ra sự kiện đó. FMEA bắt đầu từ các bộ phận hoặc chức năng và tiến tới các hậu quả của từng dạng hỏng. Mô phỏng Monte Carlo nghiên cứu ảnh hưởng của sự không chắc chắn bằng cách lặp lại mô hình hệ thống trong nhiều điều kiện được tạo ngẫu nhiên.

RCA thường bắt đầu sau một sự cố thực tế, sử dụng bằng chứng để phân biệt các triệu chứng có thể quan sát với những nguyên nhân kỹ thuật và tổ chức tiềm ẩn. Mô hình Markov tập trung vào các trạng thái của hệ thống và tốc độ hệ thống chuyển đổi giữa các trạng thái đó. Phương pháp này đặc biệt hữu ích khi việc sửa chữa, vận hành dự phòng, hiệu suất suy giảm và phạm vi bao phủ của chẩn đoán ảnh hưởng đáng kể đến độ sẵn sàng.

Lựa chọn đúng phụ thuộc vào câu hỏi cần giải đáp. Một nhóm đang điều tra cách thức xảy ra mất hoàn toàn khả năng làm mát thường sẽ bắt đầu bằng FTA. Nhóm thiết kế rà soát mọi khả năng hỏng của máy phát, bộ điều khiển và van sẽ thu được nhiều lợi ích hơn từ FMEA. Một người quản lý tài sản so sánh các khoảng thời gian bảo trì chưa chắc chắn có thể sử dụng mô phỏng Monte Carlo, trong khi kỹ sư độ tin cậy tính toán độ sẵn sàng dài hạn cho một cặp bộ điều khiển dự phòng có thể ưu tiên mô hình Markov.

Các phương pháp này bổ trợ cho nhau thay vì có thể thay thế lẫn nhau. FMEA có thể xác định các dạng hỏng, sau đó trở thành những sự kiện cơ bản trong một cây lỗi. Các phát hiện từ RCA có thể điều chỉnh những giả định hỏng hóc thiếu thực tế trong mô hình Markov. Mô phỏng Monte Carlo có thể kiểm tra mức độ ảnh hưởng của các xác suất không chắc chắn đến những kết luận rút ra từ FTA hoặc việc lập kế hoạch bảo trì.

Phân tích cây lỗi bắt đầu từ hậu quả

Phân tích cây lỗi là một phương pháp suy diễn, bắt đầu từ một sự kiện không mong muốn được xác định rõ ràng. Sự kiện này được gọi là sự kiện đỉnh. Các ví dụ phù hợp gồm mất toàn bộ nước cấp cho lò hơi, hỏng chức năng ngắt tuabin, mất hoàn toàn liên lạc với bộ điều khiển hoặc áp suất trong lò phản ứng tăng không kiểm soát. Định nghĩa phải đủ cụ thể để hỗ trợ việc phân tích có ý nghĩa.

Một sự kiện đỉnh chỉ được mô tả là “hệ thống hỏng” thường quá mơ hồ. Mô tả đó không xác định chức năng nào bị hỏng, tình trạng hỏng kéo dài bao lâu hoặc trạng thái vận hành nào được áp dụng. Một cách định nghĩa tốt hơn có thể là “mất toàn bộ dòng nước làm mát trong hơn sáu mươi giây trong quá trình sản xuất bình thường”. Cách diễn đạt này tạo ra một ranh giới rõ ràng cho quá trình phân tích.

Sau khi xác định sự kiện đỉnh, nhóm nhận diện các điều kiện trực tiếp có thể gây ra sự kiện đó. Các điều kiện này được phân rã thành những sự kiện ở cấp thấp hơn cho đến khi phân tích đạt đến các hỏng hóc của bộ phận cơ bản, nhiễu loạn bên ngoài hoặc hành động của con người. Các cổng logic liên kết các sự kiện và mô tả cách chúng kết hợp với nhau. Cổng OR cho biết bất kỳ sự kiện nào được liệt kê cũng có thể gây ra sự kiện ở cấp cao hơn, trong khi cổng AND yêu cầu nhiều sự kiện xảy ra đồng thời.

Cây hoàn chỉnh cung cấp biểu diễn trực quan về logic hỏng hóc. Cây cho phép các chuyên gia về điện, cơ khí, thiết bị đo lường, quy trình, bảo trì và an toàn cùng xem xét một hệ thống từ một góc nhìn chung. Mô hình dùng chung này là một trong những thế mạnh thực tiễn lớn nhất của FTA. Nó giúp các giả định tiềm ẩn dễ được chất vấn hơn trước khi chúng được tích hợp vào thiết kế.

Hình 2. Cây lỗi thực hiện phân tích ngược từ một sự kiện đỉnh đã xác định và nhận diện các tổ hợp hỏng hóc ở cấp thấp hơn có thể gây ra sự kiện đó.

Phát triển cây lỗi từng bước

Nhiệm vụ thực tiễn đầu tiên là xác lập ranh giới hệ thống. Các kỹ sư phải quyết định thiết bị, tiện ích, phần mềm, người vận hành và dịch vụ bên ngoài nào thuộc phạm vi phân tích. Một nghiên cứu về hệ thống làm mát có thể bao gồm bơm, van, phân phối điện, thiết bị đo lường và logic điều khiển. Nghiên cứu cũng có thể cần bao gồm nguồn nước, điều kiện môi trường và phản ứng của người vận hành khi các yếu tố này có thể ảnh hưởng đến sự kiện đỉnh.

Sau đó, nhóm xác định các nguyên nhân trực tiếp. Việc mất hoàn toàn khả năng làm mát có thể xảy ra do tất cả các bơm không còn khả dụng, đường ống góp cấp chung bị tắc hoặc các van cách ly đóng sai. Mỗi nguyên nhân trực tiếp lại được phân rã. Tình trạng bơm không khả dụng có thể do hỏng động cơ, kẹt ổ trục, mất nguồn hút, hỏng bộ điều khiển hoặc mất nguồn điện.

Quy trình tiếp tục cho đến khi việc phân rã thêm không còn cải thiện quyết định. Các sự kiện ở cấp thấp nhất được xem là sự kiện cơ bản và có thể được gán xác suất hoặc tốc độ hỏng hóc. Sau đó, cấu trúc logic có thể được đánh giá định tính hoặc định lượng. Ngay cả khi không có dữ liệu số chính xác, cây vẫn có thể chỉ ra các điểm hỏng đơn lẻ và những mối phụ thuộc chung không lường trước.

FTA định lượng kết hợp các xác suất sự kiện theo cấu trúc cổng. Phép tính có thể có vẻ đơn giản, nhưng các giả định về tính độc lập cần được xem xét cẩn thận. Hai sự kiện dùng chung nguồn điện, môi trường, hoạt động bảo trì hoặc lỗi phần mềm thì không hoàn toàn độc lập. Việc bỏ qua các mối quan hệ này có thể khiến một thiết kế dự phòng có vẻ an toàn hơn đáng kể so với thực tế.

Các tập cắt tối thiểu cho thấy những tổ hợp nguy hiểm nhất

Tập cắt là một tổ hợp các sự kiện cơ bản tạo ra sự kiện đỉnh. Tập cắt tối thiểu không chứa sự kiện không cần thiết nào, nghĩa là việc loại bỏ bất kỳ sự kiện nào cũng sẽ ngăn sự kiện đỉnh xảy ra. Những tổ hợp này giúp các kỹ sư xác định các đường dẫn hỏng hóc ngắn nhất và quan trọng nhất. Chúng đặc biệt có giá trị khi một cây sự cố lớn chứa hàng trăm sự kiện.

Một tập cắt tối thiểu gồm một sự kiện cho thấy một hỏng hóc đơn lẻ có thể trực tiếp gây ra sự kiện đỉnh. Những phát hiện như vậy thường cần được thiết kế xem xét ngay lập tức. Nhóm có thể bổ sung dự phòng, cải thiện khả năng cô lập, cung cấp nguồn điện riêng hoặc bổ sung một lớp bảo vệ khác. Các tập cắt gồm hai và ba sự kiện thường thể hiện những hỏng hóc bên trong các kiến trúc dự phòng.

Không phải mọi tập cắt ngắn đều có cùng mức rủi ro. Một tổ hợp gồm hai sự kiện xảy ra thường xuyên có thể đáng kể hơn một sự kiện bên ngoài đơn lẻ cực kỳ hiếm. Thời gian phát hiện và sửa chữa cũng ảnh hưởng đến mức độ quan trọng. Một hỏng hóc tiềm ẩn không được phát hiện trong nhiều tháng tạo ra thời gian phơi nhiễm lớn hơn nhiều so với một sự cố được phát hiện và sửa chữa ngay lập tức.

Phần mềm FTA có thể xếp hạng các tập cắt theo mức đóng góp được tính toán. Tuy nhiên, các kỹ sư vẫn nên xem xét ý nghĩa thực tế đằng sau những con số. Một xác suất nhỏ về mặt toán học có thể dựa trên các giả định yếu hoặc dữ liệu chung chung không phản ánh đúng hệ thống lắp đặt thực tế. Phán đoán kỹ thuật vẫn cần thiết trong suốt quá trình phân tích.

Ví dụ: Tính dự phòng nước cấp lò hơi không thực sự độc lập

Hãy xem xét một nhà máy điện vận hành hai bơm nước cấp lò hơi. Mỗi bơm đều có thể duy trì lưu lượng tối thiểu yêu cầu, nên hệ thống có vẻ có khả năng chịu được sự cố hỏng một bơm. Việc đếm thiết bị đơn giản cho thấy hệ thống có dự phòng đầy đủ. Tuy nhiên, cây sự cố có thể cho thấy một thực tế khác khi tính đến các phụ thuộc dùng chung.

Cả hai động cơ bơm có thể nhận điện từ cùng một thanh cái điện. Cả hai bơm có thể hút từ một ống góp hút, phụ thuộc vào cùng một hệ thống điều khiển hoặc nhận lệnh từ cùng một phép đo mức. Do đó, một sự cố thanh cái, ống góp hút bị tắc hoặc tín hiệu chung không chính xác có thể khiến cả hai bơm ngừng hoạt động cùng lúc. Tính dự phòng biểu kiến của hai bơm sẽ không bảo vệ được trước các sự cố chung này.

Phân tích có thể dẫn đến một số cải tiến thiết thực. Các nguồn cấp điện riêng biệt có thể giảm nguy cơ mất điện chung. Các phép đo mức đa dạng có thể giảm sự phụ thuộc vào một công nghệ bộ truyền duy nhất. Các tuyến điều khiển độc lập, thao tác thủ công được cải thiện và việc giám sát đường hút tốt hơn có thể củng cố kiến trúc mà không nhất thiết phải bổ sung thêm một máy bơm hoàn chỉnh.

Ví dụ này cho thấy vì sao FTA hữu ích hơn việc chỉ đếm số thiết bị dự phòng. Phương pháp này đánh giá liệu các thiết bị có duy trì tính độc lập trong điều kiện vận hành thực tế hay không. Nó cũng xác định nơi sự phức tạp bổ sung mang lại khả năng bảo vệ thực sự và nơi nó chỉ tạo ra vẻ ngoài được bảo vệ.

Phân tích cây sự cố hoạt động hiệu quả ở đâu—and không hiệu quả ở đâu

FTA đặc biệt hiệu quả đối với các chức năng an toàn, hệ thống bảo vệ, hệ thống phân phối điện, mạng truyền thông và các ứng dụng khác có một sự kiện không mong muốn được xác định rõ ràng. Cấu trúc trực quan của nó hỗ trợ việc đánh giá thiết kế và các cuộc thảo luận với cơ quan quản lý. FTA có thể được sử dụng theo định tính để phát hiện điểm yếu hoặc theo định lượng để ước tính xác suất xảy ra sự kiện đỉnh.

Phương pháp này trở nên kém hiệu quả hơn khi sự kiện đỉnh được xác định không rõ ràng. Việc duy trì cũng có thể trở nên khó khăn khi cây mở rộng qua hàng nghìn sự kiện. Các trình tự động, hoạt động bảo trì và trạng thái vận hành thay đổi có thể đòi hỏi các cổng chuyên dụng hoặc những kỹ thuật lập mô hình bổ sung. Cây sự cố tĩnh không tự nhiên mô tả được mọi mối quan hệ phụ thuộc thời gian.

Các hành động của con người cũng cần được xem xét cẩn thận. Xác suất phản ứng của người vận hành phụ thuộc vào chất lượng cảnh báo, thiết kế quy trình, đào tạo, khối lượng công việc, thời gian sẵn có và các điều kiện của giao diện. Việc gán một xác suất lỗi con người chung chung có thể che giấu những khác biệt này. Các phân tích quan trọng nên có sự tham gia của chuyên gia về yếu tố con người khi hành động của người vận hành đóng vai trò then chốt đối với kết quả.

Do đó, FTA phát huy hiệu quả nhất khi được sử dụng như một phần của chương trình độ tin cậy rộng hơn. FMEA có thể cung cấp các dạng hỏng chi tiết của từng bộ phận, trong khi các phương pháp Markov hoặc Monte Carlo có thể xử lý việc sửa chữa, trình tự diễn biến và tính bất định. Không nên xem bất kỳ cây sự cố đơn lẻ nào là sự mô tả đầy đủ mọi hành vi của hệ thống.

Phân tích dạng hỏng và ảnh hưởng bắt đầu từ bộ phận

Phân tích dạng hỏng và ảnh hưởng (FMEA) sử dụng phương pháp quy nạp. Thay vì bắt đầu từ một sự kiện đỉnh, nhóm bắt đầu với một hạng mục, chức năng hoặc bước trong quy trình. Sau đó, nhóm đặt câu hỏi hạng mục đó có thể hỏng như thế nào và mỗi dạng hỏng sẽ ảnh hưởng ra sao, cả tại chỗ lẫn trên toàn hệ thống. Hướng tiếp cận này khiến FMEA đặc biệt hữu ích trong quá trình thiết kế và đánh giá thiết bị.

Một bộ truyền áp suất có thể hỏng theo nhiều cách khác nhau. Tín hiệu đầu ra có thể lệch cao, lệch thấp, bị cố định ở một giá trị, trở nên không ổn định hoặc biến mất hoàn toàn. Mỗi dạng hỏng gây ra một hậu quả vận hành khác nhau. Giá trị đọc cao có thể gây dừng hệ thống không cần thiết, trong khi giá trị đọc thấp có thể che giấu tình trạng áp suất nguy hiểm.

FMEA buộc nhóm phải mô tả những khác biệt này thay vì chỉ ghi nhận “hư hỏng bộ truyền tín hiệu”. Phân tích cũng xem xét các biện pháp kiểm soát phòng ngừa và phát hiện hiện có. Phân tích có thể xác định các cơ chế chẩn đoán, logic so sánh, kiểm tra xác nhận, cảnh báo, mạch nối tắt tạm thời hoặc kiểm tra của người vận hành giúp giảm hậu quả. Khả năng phát hiện yếu thường trở nên quan trọng không kém dạng hư hỏng ban đầu.

Hình 3. FMEA đánh giá từng dạng hư hỏng, ảnh hưởng, mức độ nghiêm trọng và các biện pháp kiểm soát hiện có để phòng ngừa hoặc phát hiện chúng.

Bảng tính FMEA hiệu quả cần bao gồm những gì

Một bảng tính FMEA hữu ích bắt đầu bằng hạng mục và chức năng bắt buộc của hạng mục đó. Dạng hư hỏng mô tả cách chức năng có thể bị mất, suy giảm hoặc thực hiện không đúng. Ảnh hưởng cục bộ mô tả điều xảy ra ở cấp linh kiện, trong khi ảnh hưởng cấp hệ thống mô tả hậu quả rộng hơn đối với vận hành hoặc an toàn. Nguyên nhân và cơ chế được ghi nhận riêng với ảnh hưởng.

Bảng tính cũng ghi nhận các biện pháp kiểm soát hiện có. Biện pháp kiểm soát phòng ngừa làm giảm xác suất xảy ra hư hỏng. Biện pháp kiểm soát phát hiện nhận biết hư hỏng trước khi nó gây ra hậu quả không thể chấp nhận. Ví dụ bao gồm tự chẩn đoán, so sánh giữa các tín hiệu dự phòng, ngưỡng cảnh báo, kiểm tra xác nhận, kiểm tra và bảo trì dự đoán.

Nhiều tổ chức chấm điểm mức độ nghiêm trọng, tần suất xảy ra và khả năng phát hiện. Các giá trị này đôi khi được nhân với nhau để tạo ra Chỉ số ưu tiên rủi ro. Chỉ số này có thể hỗ trợ việc sắp xếp ưu tiên, nhưng không bao giờ được thay thế đánh giá kỹ thuật. Những tổ hợp khác nhau có thể tạo ra cùng một điểm số, dù hậu quả của chúng về bản chất hoàn toàn khác nhau.

Một hư hỏng thảm khốc hiếm gặp có thể cần được chú ý nhiều hơn một bất tiện nhỏ xảy ra thường xuyên, ngay cả khi điểm số tính toán của chúng có vẻ tương đương. Vì vậy, mức độ nghiêm trọng cần được xem xét độc lập. Các nhóm cũng nên ưu tiên những hành động loại bỏ cơ chế hư hỏng hoặc giảm hậu quả, thay vì chỉ dựa vào các cuộc kiểm tra bổ sung.

Ví dụ: Các đầu vào PLC dự phòng với một điểm yếu dùng chung

Hãy xem xét hai kênh đầu vào số giám sát một công tắc hiện trường dừng khẩn cấp. Kiến trúc này có vẻ dư thừa vì hai đầu vào PLC nhận cùng một tín hiệu. FMEA kiểm tra xem toàn bộ đường truyền tín hiệu có thực sự độc lập hay không. Phân tích xem xét tiếp điểm hiện trường, hệ thống dây dẫn, nguồn cấp đầu vào, các cụm đầu nối, mô-đun, logic và cơ chế chẩn đoán.

Các dạng hư hỏng có thể xảy ra bao gồm hở mạch, ngắn mạch, tiếp điểm bị hàn dính, kênh bị kẹt ở mức cao, kênh bị kẹt ở mức thấp hoặc mất nguồn cấp đầu vào dùng chung. Phân tích cũng xem xét liệu có phát hiện được sự không nhất quán giữa các kênh hay không. Nếu cả hai kênh dùng chung một tiếp điểm hiện trường và một cáp, nhiều hư hỏng có khả năng xảy ra sẽ ảnh hưởng đồng thời đến cả hai kênh.

Việc xem xét có thể cho thấy các mô-đun đầu vào được nhân đôi chỉ mang lại mức bảo vệ bổ sung hạn chế. Có thể cần các tiếp điểm riêng biệt, các mạch trường được giám sát, các đường cấp nguồn độc lập hoặc các nguyên lý cảm biến đa dạng. Quy trình kiểm tra chức năng cũng phải xác minh toàn bộ chuỗi tín hiệu thay vì chỉ kiểm tra mô-đun PLC.

Đối với các kiến trúc bảo vệ, kỹ sư cũng có thể xem xét các mô-đun an toàn công nghiệp phù hợp, được thiết kế để cung cấp độ bao phủ chẩn đoán, tính dự phòng và đặc tính vận hành khi hỏng có kiểm soát. Tuy nhiên, việc lựa chọn phần cứng vẫn phải tuân theo toàn bộ vòng đời an toàn và không thể thay thế cho việc phân tích cụ thể theo ứng dụng.

FMEA Thiết kế và FMEA Quy trình Xử lý các Rủi ro Khác nhau

FMEA thiết kế nghiên cứu sản phẩm hoặc hệ thống đã được thiết kế kỹ thuật. Phương pháp này xem xét liệu kiến trúc, linh kiện, vật liệu và các chức năng điều khiển được lựa chọn có thể hoạt động như dự kiến hay không. Phương pháp thường được áp dụng trong giai đoạn phát triển ý tưởng, thiết kế chi tiết và thay đổi thiết kế. Phương pháp có giá trị nhất trước khi thiết kế trở nên tốn kém để sửa đổi.

FMEA quy trình nghiên cứu các hoạt động sản xuất, lắp ráp, lắp đặt, chạy thử hoặc bảo trì. Một tủ điện có thể có thiết kế điện chính xác, nhưng quy trình lắp đặt vẫn có thể gây ra các đầu nối lỏng, đấu ngược cực, định mức cầu chì không phù hợp hoặc nhận dạng dây sai. Hoạt động bảo trì có thể đưa vào firmware không đúng, linh kiện thay thế không phù hợp, vô hiệu hóa cảnh báo hoặc để các mạch nối tắt ở trạng thái hoạt động.

Hai dạng FMEA này nên hỗ trợ lẫn nhau. Các biện pháp kiểm soát thiết kế có thể giảm độ nhạy với điều kiện lắp đặt, trong khi các biện pháp kiểm soát quy trình có thể ngăn ngừa những lỗi thực hiện mà thiết kế không thể loại bỏ. Chỉ xem xét thiết kế thiết bị sẽ bỏ sót nhiều rủi ro trong toàn bộ vòng đời. Chỉ xem xét quy trình công việc có thể che giấu những điểm yếu vốn có trong kiến trúc ban đầu.

Đối với các hệ thống tự động hóa quan trọng, cả hai phân tích nên được cập nhật sau những sửa đổi đáng kể. Việc thay thế bộ điều khiển, chuyển đổi mạng, nâng cấp phần mềm hoặc thay đổi quy trình kiểm tra chức năng có thể tạo ra các dạng hỏng hóc mới. Không nên để các bảng tính lịch sử bị đóng băng trong khi nhà máy liên tục thay đổi xung quanh chúng.

FMECA Bổ sung Đánh giá Mức độ Nghiêm trọng Chính thức hơn

Phân tích dạng, ảnh hưởng và mức độ nghiêm trọng của hỏng hóc mở rộng cấu trúc FMEA bằng cách bổ sung các phép tính mức độ nghiêm trọng chính thức. Phương pháp này có thể sử dụng tỷ lệ hỏng hóc của linh kiện, mức độ phơi nhiễm trong vận hành, các giai đoạn nhiệm vụ, các cấp độ nghiêm trọng và xác suất có điều kiện. Phương pháp hữu ích khi một hệ thống lớn có nhiều dạng hỏng hóc và cần phân bổ nguồn lực kỹ thuật cho những yếu tố đóng góp đáng kể nhất.

Các phép tính mức độ nghiêm trọng phụ thuộc rất nhiều vào chất lượng dữ liệu. Các cơ sở dữ liệu về tỷ lệ hỏng hóc chung cung cấp điểm khởi đầu, nhưng có thể không phản ánh đúng điều kiện lắp đặt thực tế. Nhiệt độ, rung động, nhiễm bẩn, ứng suất điện, chất lượng bảo trì và chu kỳ làm việc đều ảnh hưởng đến hiệu suất thực tế. Khi có đủ lịch sử vận hành, nên dùng bằng chứng cụ thể của nhà máy thay cho các giả định chung.

Phân tích cũng cần phân biệt giữa các hỏng hóc được phát hiện ngay lập tức và các hỏng hóc vẫn còn tiềm ẩn. Một hỏng hóc tiềm ẩn trong hệ thống dự phòng có thể không ảnh hưởng đến sản xuất cho đến khi một linh kiện khác hỏng hoặc phát sinh nhu cầu vận hành. Thời gian tiềm ẩn kéo dài có thể khiến một hỏng hóc tương đối ít xảy ra trở nên rất quan trọng. Vì vậy, cần đưa các khoảng thời gian phát hiện và mức độ hiệu quả của thử nghiệm chứng minh vào phân tích.

FMECA hữu ích nhất khi các kết quả của nó dẫn đến hành động về thiết kế hoặc bảo trì. Một bảng xếp hạng phức tạp sẽ có rất ít giá trị nếu không ảnh hưởng đến kiến trúc hệ thống, phụ tùng thay thế, hoạt động chẩn đoán, thử nghiệm hoặc quy trình vận hành. Mục đích vẫn là giảm thiểu rủi ro một cách thiết thực, chứ không phải tính toán chỉ vì bản thân việc tính toán.

FMEA Phát huy hiệu quả ở đâu—và có thể gây hiểu lầm ở đâu

FMEA cung cấp một quy trình xem xét có hệ thống theo từng linh kiện. Phương pháp này tương đối dễ giải thích và hỗ trợ sự tham gia của nhân sự kỹ thuật, vận hành, bảo trì, chất lượng và an toàn. Danh mục hành động tạo ra có thể được liên kết trực tiếp với các thay đổi thiết kế, hoạt động kiểm tra, chẩn đoán và cải tiến bảo trì.

Phương pháp này có thể trở nên lặp đi lặp lại khi áp dụng cho các hệ thống rất lớn. Các nhóm có thể dành quá nhiều thời gian để lập hồ sơ cho những dạng hỏng hóc ít giá trị trong khi bỏ qua các tương tác trong hệ thống. FMEA truyền thống cũng có xu hướng xem xét từng hỏng hóc một. Các hỏng hóc đồng thời và những sự kiện phụ thuộc vào trình tự có thể không được thể hiện rõ ràng.

Hệ thống chấm điểm cũng tạo ra một rủi ro khác. Các nhóm có thể điều chỉnh mức xếp hạng để đạt được mức ưu tiên mong muốn hoặc coi con số cuối cùng là khách quan hơn so với nhận định làm cơ sở cho nó. Điểm thấp không chứng minh rằng một dạng hỏng hóc là có thể chấp nhận. Các sự kiện có mức độ nghiêm trọng cao, các hỏng hóc do nguyên nhân chung và các yêu cầu pháp quy cần được xem xét riêng.

Chất lượng của FMEA phụ thuộc vào những người thực hiện. Một bảng tính do một kỹ sư thiết kế lập có thể bỏ sót những thực tế tại hiện trường mà người vận hành và kỹ thuật viên biết rõ. Các nghiên cứu chặt chẽ kết hợp kiến thức thiết kế với lịch sử bảo trì thực tế và kinh nghiệm vận hành.

Mô phỏng Monte Carlo Biến sự không chắc chắn thành một phân phối

Các phép tính độ tin cậy công nghiệp thường liên quan đến những đầu vào không chắc chắn. Tuổi thọ linh kiện thay đổi, thời gian sửa chữa biến động, việc giao phụ tùng thay thế khó dự đoán, và ứng suất môi trường ảnh hưởng đến đặc tính hỏng hóc. Một giá trị trung bình duy nhất không phải lúc nào cũng thể hiện được những biến động này. Mô phỏng Monte Carlo giải quyết vấn đề này thông qua việc lấy mẫu ngẫu nhiên lặp lại.

Kỹ sư trước tiên xây dựng mô hình hệ thống và gán các phân phối xác suất cho những biến không chắc chắn. Sau đó, mô phỏng tạo ra nhiều tổ hợp khả dĩ. Một lần chạy có thể giả định rằng máy bơm hỏng sau 8.000 giờ và được sửa chữa trong vòng bốn giờ. Một lần chạy khác có thể cho thấy sự cố xảy ra muộn hơn nhưng thời gian sửa chữa kéo dài hơn nhiều vì phụ tùng thay thế cần thiết không có sẵn.

Sau hàng nghìn hoặc hàng triệu lần chạy, các kết quả sẽ tạo thành một phân phối. Mô hình có thể ước tính thời gian ngừng hoạt động dự kiến, tổn thất sản lượng, độ khả dụng của hệ thống, xác suất hoàn thành nhiệm vụ, nhu cầu phụ tùng dự phòng hoặc chi phí bảo trì. Mô hình cũng có thể cho thấy xác suất của những kết quả cực đoan vốn sẽ bị che khuất nếu chỉ thể hiện bằng một giá trị trung bình duy nhất.

Hình 4. Mô phỏng Monte Carlo đánh giá nhiều kịch bản hỏng hóc và sửa chữa được tạo ngẫu nhiên để ước tính phạm vi các kết quả có thể xảy ra.

Xây dựng mô hình độ tin cậy Monte Carlo đáng tin cậy

Chất lượng của mô phỏng phụ thuộc vào mô hình hệ thống. Mô hình phải thể hiện các linh kiện, quy tắc vận hành, phân phối hỏng hóc, hành vi sửa chữa, các mối phụ thuộc, logic dự phòng và nguồn lực bảo trì. Mô hình cũng có thể bao gồm thời tiết, nhu cầu sản xuất, chậm trễ hậu cần và phản ứng của con người khi những yếu tố đó ảnh hưởng đến hiệu suất hệ thống.

Mỗi lần chạy mô phỏng sẽ theo dõi hệ thống theo thời gian. Các linh kiện hỏng theo các phân phối được lấy mẫu, việc sửa chữa bắt đầu khi có sẵn nguồn lực, và mô hình ghi nhận hệ thống còn hoạt động, bị suy giảm hay không khả dụng. Việc lặp lại quy trình này tạo ra các ước tính cho nhiều thước đo hiệu suất khác nhau.

Việc thẩm định là thiết yếu. Nhóm nên so sánh mô hình với các phép tính đơn giản hóa, những trường hợp vận hành đã biết và kết quả lịch sử của nhà máy. Kết quả bất ngờ cần được điều tra thay vì chấp nhận chỉ vì chúng xuất phát từ phần mềm. Một mô phỏng trông ấn tượng vẫn có thể sai nếu logic nền tảng chưa đầy đủ.

Phân tích độ nhạy giúp xác định những giả định nào chi phối kết quả. Nếu thời gian sửa chữa có ảnh hưởng lớn hơn nhiều so với tỷ lệ hỏng hóc, ban quản lý có thể thu được nhiều lợi ích hơn từ việc cải thiện khả năng sẵn có của phụ tùng dự phòng và tốc độ chẩn đoán. Nếu xác suất nguyên nhân chung chi phối, việc bổ sung thêm nhiều linh kiện giống hệt nhau có thể mang lại rất ít lợi ích.

Lựa chọn các phân phối xác suất phù hợp với cơ chế hỏng hóc

Phân phối mũ giả định tỷ lệ hỏng hóc không đổi. Phân phối này có thể phù hợp với một số linh kiện điện tử trong thời gian hoạt động hữu ích. Phân phối Weibull linh hoạt hơn và có thể biểu diễn hỏng hóc giai đoạn đầu, hỏng hóc ngẫu nhiên hoặc hiện tượng hao mòn. Phân phối lognormal thường hữu ích cho thời gian sửa chữa và các quy trình chịu ảnh hưởng của nhiều yếu tố nhân lên.

Việc lựa chọn nên phản ánh cơ chế vật lý thay vì sự thuận tiện của phần mềm. Hỏng ổ trục do hao mòn không diễn ra theo cùng quy luật với lỗi truyền thông ngẫu nhiên. Việc sử dụng cùng một tỷ lệ hỏng hóc không đổi cho cả hai có thể làm sai lệch các dự báo dài hạn. Các kỹ sư độ tin cậy nên xem xét lịch sử vận hành và cơ chế hỏng hóc trước khi chọn phân phối.

Dữ liệu lịch sử thường cần được làm sạch. Hệ thống bảo trì có thể nhầm lẫn giữa việc thay thế theo kế hoạch và sự cố chức năng. Ngày xảy ra sự cố có thể được nhập là ngày mở lệnh công việc thay vì ngày lỗi thực sự xảy ra. Tên tài sản, số giờ vận hành và mã lỗi cũng có thể không nhất quán giữa các cơ sở.

Dữ liệu hạn chế không cản trở việc phân tích, nhưng cần thể hiện rõ mức độ không chắc chắn. Nhận định của chuyên gia, thông tin từ nhà cung cấp và cơ sở dữ liệu ngành có thể hỗ trợ các ước tính ban đầu. Mô hình nên kiểm tra một khoảng giá trị thực tế thay vì trình bày một giả định không chắc chắn như một sự thật chính xác.

Ví dụ: Độ sẵn sàng của Trạm có Ba Máy nén khí

Hãy xem xét một trạm có ba máy nén khí. Cần hai máy để đạt sản lượng tối đa, trong khi máy thứ ba cung cấp công suất dự phòng. Mỗi máy có số giờ vận hành, lịch sử bảo trì và hiệu suất làm mát khác nhau. Chỉ có thể thực hiện một lần sửa chữa lớn tại một thời điểm vì trạm chỉ có một đội bảo trì chuyên trách.

Vòng bi dự phòng cần vài ngày để giao đến, và sự cố hệ thống làm mát xảy ra thường xuyên hơn khi nhiệt độ môi trường cao. Những tương tác này khó được biểu diễn bằng một phương trình độ sẵn sàng đơn giản. Mô hình Monte Carlo có thể lấy mẫu các sự cố máy nén, thời gian sửa chữa, các giai đoạn thời tiết, khả năng sẵn sàng của kỹ thuật viên và độ trễ logistics.

Kết quả có thể cho thấy mức độ sẵn sàng ở toàn công suất, vận hành với công suất giảm và tình trạng trạm ngừng hoạt động hoàn toàn. Ban quản lý có thể so sánh các phương án đầu tư. Dự trữ thêm vòng bi có thể giảm thời gian ngừng máy cực đoan hiệu quả hơn so với việc bổ sung một kỹ thuật viên bảo trì đa năng khác. Cải thiện độ tin cậy của hệ thống làm mát có thể mang lại giá trị lớn hơn việc thay thế một máy nén vốn vẫn hoạt động tốt.

Mô hình cũng có thể kiểm tra các khoảng thời gian bảo trì. Khoảng thời gian bảo trì phòng ngừa ngắn hơn có thể giảm số lần hỏng hóc nhưng làm tăng thời gian dừng máy theo kế hoạch và các lỗi do bảo trì gây ra. Mô phỏng cho phép đánh giá cả hai tác động trong cùng một mô hình vận hành.

Mô phỏng Monte Carlo Hoạt động Hiệu quả ở Đâu—and Thất bại ở Đâu

Các phương pháp Monte Carlo rất hữu ích khi nhiều biến không chắc chắn tương tác với nhau. Chúng có thể mô phỏng hoạt động logistics phức tạp, hàng đợi sửa chữa, ảnh hưởng của thời tiết, nhu cầu sản xuất và các quyết định bảo trì. Phân phối kết quả cung cấp nhiều thông tin hơn một giá trị trung bình duy nhất. Phương pháp này cũng hỗ trợ việc ra quyết định dựa trên rủi ro bằng cách cho thấy xác suất xảy ra các kết quả nghiêm trọng nhưng không thường xuyên.

Điểm yếu chính là độ tin cậy của mô hình. Một mô phỏng phức tạp có thể tạo ra sự tự tin giả tạo vì kết quả của nó có vẻ chính xác về mặt số học. Chương trình chỉ tính toán các hệ quả của những giả định do nhà phân tích nhập vào. Các mối phụ thuộc bị bỏ sót hoặc các phân phối không thực tế có thể tạo ra kết quả sai lệch.

Mô phỏng cũng đòi hỏi đủ số lần chạy để đạt được các ước tính ổn định. Xác suất của các sự kiện hiếm có thể đòi hỏi các kỹ thuật lấy mẫu chuyên biệt, vì mô phỏng ngẫu nhiên thông thường sẽ cần một số lần chạy lớn đến mức không thực tế. Cần báo cáo các khoảng tin cậy để người dùng hiểu được độ không chắc chắn về mặt thống kê.

Vì vậy, phương pháp này có giá trị nhất khi logic mô hình, các nguồn dữ liệu và những hạn chế vẫn minh bạch. Các quyết định về độ tin cậy không nên dựa trên một biểu đồ mà các giả định của nó không thể được giải thích cho nhân sự vận hành và kỹ thuật.

Phân tích nguyên nhân gốc rễ bắt đầu sau sự kiện

Phân tích nguyên nhân gốc rễ điều tra lý do xảy ra một sự cố thực tế, vấn đề chất lượng hoặc sự kiện an toàn. Phương pháp này không chỉ dừng ở việc xác định bộ phận bị hư hỏng. Động cơ có thể dừng vì ổ trục bị bó kẹt, nhưng việc thay ổ trục chỉ khôi phục hoạt động. Cuộc điều tra phải xác định vì sao ổ trục lại đạt đến tình trạng đó.

Các nguyên nhân sâu xa có thể bao gồm nhiễm bẩn, bôi trơn không đúng cách, bảo quản kém, hư hỏng trong quá trình lắp đặt, tải quy trình quá mức hoặc bỏ sót việc kiểm tra. Các điều kiện trong tổ chức cũng có thể góp phần gây ra sự cố. Một số nhiệm vụ bảo trì có thể đã bị loại bỏ, phụ tùng thay thế có thể không phù hợp hoặc áp lực sản xuất có thể đã làm chậm công việc khắc phục.

Do đó, RCA phân biệt giữa triệu chứng, nguyên nhân vật lý trực tiếp, các điều kiện góp phần và những điểm yếu nền tảng của hệ thống. Sự phân biệt này ngăn tổ chức coi mọi hoạt động sửa chữa là giải pháp lâu dài. Đồng thời, nó tạo ra bằng chứng có thể giúp cải thiện FMEA, FTA, công tác lập kế hoạch bảo trì và quy trình vận hành trong tương lai.

Hình 5. RCA lần theo sự cố vượt ra ngoài triệu chứng dễ nhận thấy và xác định các điều kiện kỹ thuật, tổ chức đã tạo điều kiện để sự cố xảy ra.

Phải bảo toàn bằng chứng trước khi nhà máy trở lại hoạt động bình thường

Bằng chứng trong công nghiệp có thể nhanh chóng biến mất. Người vận hành có thể đặt lại cảnh báo, kỹ thuật viên có thể thay thế mô-đun và các điều kiện của quy trình có thể thay đổi. Nhật ký bộ điều khiển có thể ghi đè các sự kiện trước đó, trong khi các bộ phận hư hỏng có thể bị loại bỏ trước khi được kiểm tra. Vì vậy, một quy trình RCA bài bản bắt đầu bằng việc bảo toàn bằng chứng.

Nhóm cần thu thập dữ liệu xu hướng từ hệ thống lưu trữ lịch sử, danh sách cảnh báo, nhật ký sự kiện của bộ điều khiển, bản ghi rơle, lệnh công việc, ảnh chụp, các bộ phận hư hỏng, phiên bản phần mềm, tệp cấu hình và ghi nhận của người vận hành. Mỗi mục cần được xác định rõ nguồn và thời điểm. Bằng chứng vật lý phải được kiểm soát cho đến khi cuộc điều tra xác định có cần kiểm tra thêm hay không.

Việc đồng bộ hóa thời gian cần được đặc biệt chú ý. Bộ điều khiển, hệ thống lưu trữ dữ liệu lịch sử, rơle bảo vệ, máy chủ và hệ thống bảo trì có thể ghi nhận các mốc thời gian khác nhau. Điều tra viên phải hiệu chỉnh những khác biệt này trước khi xây dựng trình tự sự kiện. Nếu không, một cảnh báo xảy ra sau đó có thể bị hiểu sai là sự kiện khởi phát.

Cần hoàn tất phỏng vấn người vận hành kịp thời nhưng thận trọng. Họ có thể nhớ trình tự và bối cảnh mà các hệ thống tự động không ghi lại. Lời khai của họ cần được xem là bằng chứng chứ không phải cơ sở để quy trách nhiệm. Mục tiêu là hiểu môi trường vận hành trong đó các quyết định được đưa ra.

Xây dựng dòng thời gian sự kiện trước khi đặt câu hỏi Tại sao

Một dòng thời gian chặt chẽ sẽ tách biệt các sự kiện đã được xác minh khỏi phần diễn giải. Dòng thời gian ghi lại những gì đã xảy ra trước, trong và sau sự cố. Mỗi sự kiện cần được liên kết với một nguồn như giá trị từ hệ thống lưu trữ dữ liệu, bản ghi cảnh báo, hoạt động bảo trì, ảnh chụp hoặc lời khai của nhân chứng. Các khoảng trống và điểm không nhất quán cần được giữ cho dễ nhận thấy.

Cảnh báo đầu tiên hiển thị cho người vận hành không phải lúc nào cũng là sự kiện vật lý đầu tiên. Hàng loạt cảnh báo có thể che lấp điều kiện khởi phát bên dưới hàng trăm thông báo thứ cấp. Dữ liệu trình tự sự kiện có độ phân giải cao có thể cho thấy sự bất ổn về áp suất, nhiễu nguồn điện hoặc mất liên lạc đã bắt đầu sớm hơn. Dòng thời gian giúp phân biệt nguyên nhân với hệ quả.

Khi đã hiểu rõ trình tự sự việc, nhóm có thể sử dụng các công cụ như phương pháp Năm câu hỏi Tại sao, sơ đồ xương cá, phân tích rào chắn, phân tích thay đổi hoặc biểu đồ yếu tố nguyên nhân. Các sự kiện đơn giản có thể được giải thích bằng một chuỗi nguyên nhân ngắn. Những sự cố phức tạp thường liên quan đến nhiều điều kiện kỹ thuật và tổ chức tương tác với nhau.

Việc điều tra không nên dừng lại sau khi tìm được một cách giải thích hợp lý. Cần kiểm tra các giả thuyết thay thế dựa trên bằng chứng. Những giả định chưa được chứng minh cần tiếp tục được xác định là giả định thay vì trình bày như các nguyên nhân đã được xác nhận.

Ví dụ: Các sự cố lặp đi lặp lại của bộ biến tần

Một nhà máy liên tục gặp sự cố với bộ biến tần điều khiển một băng tải. Sau mỗi sự cố, bộ phận bảo trì thay bộ biến tần và hoạt động sản xuất trở lại bình thường. Vài tháng sau, một bộ biến tần khác lại hỏng. Việc thay thế lặp đi lặp lại cho thấy bản thân bộ biến tần có thể không phải là toàn bộ vấn đề.

Nhóm RCA đối chiếu ngày xảy ra hỏng hóc với hồ sơ môi trường và bảo trì. Phần lớn sự cố xảy ra trong các giai đoạn mùa hè nóng. Xu hướng nhiệt độ tủ cho thấy thiết bị đã vận hành trong thời gian dài cao hơn phạm vi khuyến nghị. Kiểm tra cho thấy các bộ lọc bị tắc, luồng khí bị hạn chế và bụi tích tụ nhiều xung quanh đường làm mát.

Lịch sử bảo trì cho thấy việc vệ sinh bộ lọc định kỳ đã bị loại khỏi lịch bảo trì phòng ngừa sau khi mức nhân sự thay đổi. Bộ biến tần là linh kiện bị hỏng, nhưng nhiệt độ tủ quá cao mới là nguyên nhân vật lý trực tiếp. Hệ thống thông gió bị hạn chế và nhiệm vụ bảo trì bị bỏ sót là các nguyên nhân góp phần và nguyên nhân mang tính tổ chức.

Do đó, hành động khắc phục cần vượt ra ngoài việc thay thế thêm một bộ biến tần. Nhà máy có thể khôi phục việc bảo trì bộ lọc, lắp đặt cảnh báo nhiệt độ, cải thiện khả năng làm mát tủ và xem xét lại thiết kế vỏ tủ. Hiệu quả cần được xác minh trong đợt nhiệt độ cao tiếp theo.

Các hành động khắc phục phải gắn liền với các nguyên nhân đã được xác minh

Nhiều báo cáo RCA trở nên yếu trong giai đoạn lập kế hoạch hành động khắc phục. Các nhóm có thể đề xuất đào tạo bổ sung mà không chứng minh được kiến thức là chưa đầy đủ. Họ có thể sửa đổi quy trình trong khi vấn đề thực sự nằm ở thiết kế thiết bị kém. Họ có thể bổ sung các cuộc kiểm tra không thể phát hiện cơ chế hỏng hóc thực tế.

Mỗi hành động nên giải quyết một nguyên nhân hoặc điều kiện góp phần đã được xác minh. Hành động đó cần có người chịu trách nhiệm, ngày hoàn thành và phương pháp xác minh được xác định rõ. Tổ chức nên phân biệt giữa biện pháp ngăn chặn tạm thời, hành động khắc phục và hành động phòng ngừa dài hạn. Khôi phục sản xuất không đồng nghĩa với ngăn sự cố tái diễn.

Hiệu quả phải được xem xét sau khi triển khai. Một hành động đã hoàn tất không tự động có nghĩa là thành công. Nhà máy nên xác nhận liệu xác suất xảy ra sự cố có giảm hay không, biện pháp kiểm soát mới có đang được sử dụng hay không và liệu nó có tạo ra rủi ro khác hay không. Phản hồi này khép lại vòng lặp cải tiến độ tin cậy.

Các cuộc điều tra nghiêm trọng có thể cần đến hoạt động đánh giá độc lập. Những nhóm tham gia chặt chẽ vào sự cố có thể bị ảnh hưởng bởi các giả định trước đó hoặc áp lực từ tổ chức. Việc đánh giá bên ngoài hoặc đánh giá liên chức năng có thể thách thức kết quả phân tích trước khi các kết luận cuối cùng được chấp nhận.

Lỗi con người hiếm khi là nguyên nhân gốc rễ hoàn chỉnh

“Lỗi của người vận hành” và “lỗi bảo trì” thường xuất hiện trong các cuộc điều tra sơ sài. Những nhãn này mô tả ai đã thực hiện hành động cuối cùng nhưng không giải thích vì sao hành động đó dễ xảy ra. Con người làm việc trong phạm vi của giao diện, quy trình, mức nhân sự, yêu cầu sản xuất, hệ thống đào tạo và thiết kế thiết bị. Cuộc điều tra nên xem xét tất cả những điều kiện này.

Một người vận hành có thể chọn nhầm nút điều khiển vì hai đối tượng trên màn hình trông gần như giống hệt nhau. Một kỹ thuật viên có thể lắp sai linh kiện vì việc nhận diện không nhất quán. Một giám sát viên có thể trì hoãn bảo trì vì tổ chức khen thưởng việc sản xuất liên tục nhưng không bố trí được khoảng thời gian dừng máy thực tế.

Hiểu rõ những điều kiện này không làm mất đi trách nhiệm cá nhân. Điều đó ngăn cùng một hệ thống dẫn dắt người khác mắc phải cùng một sai lầm. Một cuộc điều tra tập trung vào việc quy lỗi có thể đáp ứng yêu cầu trước mắt về trách nhiệm, nhưng lại bỏ mặc điểm yếu cốt lõi.

RCA hiệu quả xem xét cách hệ thống định hình quyết định. Phương pháp này đặt câu hỏi liệu các cảnh báo có dễ hiểu không, quy trình có khả thi không, khối lượng công việc có hợp lý không và các công cụ cần thiết có sẵn không. Những câu hỏi này tạo ra các biện pháp khắc phục hiệu quả hơn so với việc chỉ yêu cầu mọi người cẩn thận hơn.

Phân tích nguyên nhân gốc rễ phát huy hiệu quả ở đâu—và không phát huy hiệu quả ở đâu

RCA chuyển hóa kinh nghiệm vận hành thực tế thành kiến thức phòng ngừa. Phương pháp này có thể phát hiện những điểm yếu trong thiết kế, thiếu sót trong bảo trì, vấn đề về quy trình và áp lực tổ chức mà các nghiên cứu dự báo đã bỏ sót. Những phát hiện này có thể cải thiện các mô hình độ tin cậy và tiêu chuẩn cho các dự án tương lai.

Phương pháp này mang tính phản ứng vì bắt đầu sau khi sự kiện xảy ra. Các ngành có hậu quả nghiêm trọng không thể chỉ dựa vào việc rút kinh nghiệm từ các sự cố. Các phương pháp chủ động như FMEA và FTA vẫn cần thiết. RCA nên bổ trợ cho các phương pháp này bằng cách cập nhật các giả định dựa trên bằng chứng từ hoạt động thực tế.

Các cuộc điều tra cũng có thể trở nên chủ quan. Thiên kiến xác nhận có thể khiến các nhóm thiên về lời giải thích đầu tiên phù hợp với dữ kiện. Bằng chứng thiếu hụt có thể buộc các kết luận vẫn ở trạng thái chưa chắc chắn. Các báo cáo tốt cần phân biệt rõ nguyên nhân đã được xác nhận, yếu tố góp phần, giả thuyết và những câu hỏi chưa được giải đáp.

Giá trị của RCA phụ thuộc vào việc thực hiện đến cùng. Một cuộc điều tra có cơ sở kỹ thuật vững chắc sẽ mang lại rất ít lợi ích nếu các hành động bị trì hoãn, thực hiện không đầy đủ hoặc không bao giờ được xác minh. Vì vậy, cam kết của ban lãnh đạo cũng quan trọng không kém năng lực phân tích.

Mô hình Markov theo dõi hệ thống qua các trạng thái thay đổi

Mô hình hóa Markov biểu diễn một hệ thống thông qua các trạng thái vận hành được xác định. Một hệ thống đơn giản có thể chỉ gồm trạng thái vận hành và trạng thái hỏng. Một hệ thống chịu lỗi thường cần thêm các trạng thái như đầy đủ dự phòng, suy giảm, hỏng, đang sửa chữa hoặc đang chờ linh kiện thay thế. Các chuyển dịch kết nối những trạng thái này.

Tỷ lệ hỏng hóc có thể chuyển hệ thống từ trạng thái vận hành đầy đủ sang trạng thái suy giảm. Một hỏng hóc khác có thể chuyển hệ thống từ trạng thái suy giảm sang trạng thái không khả dụng. Tỷ lệ sửa chữa có thể đưa hệ thống trở lại trạng thái vận hành đầy đủ. Mô hình tính toán xác suất hệ thống ở mỗi trạng thái theo thời gian.

Cấu trúc này đặc biệt hữu ích cho các hệ thống có thể sửa chữa. Nó có thể mô tả khả năng dự phòng, thiết bị chờ, mức độ bao phủ chẩn đoán, phản hồi bảo trì và năng lực sản xuất một phần. Khác với công thức độ tin cậy đơn giản, mô hình cho thấy hệ thống có thể duy trì trạng thái dễ bị tổn thương trong bao lâu sau lần hỏng hóc đầu tiên.

Hình 6. Các mô hình Markov mô tả cách hệ thống chuyển đổi giữa các trạng thái bình thường, suy giảm, hỏng và đã sửa chữa.

Mô hình hai trạng thái cung cấp nguyên lý cơ bản

Mô hình Markov đơn giản nhất gồm một trạng thái vận hành và một trạng thái hỏng. Tỷ lệ hỏng hóc chi phối sự chuyển dịch từ trạng thái vận hành sang trạng thái hỏng. Tỷ lệ sửa chữa chi phối sự chuyển dịch trở lại trạng thái vận hành. Từ các chuyển dịch này, mô hình có thể ước tính độ sẵn sàng trong một khoảng thời gian xác định hoặc trong điều kiện trạng thái ổn định.

Mô hình này hữu ích cho các thiết bị đơn giản có thể sửa chữa, nhưng không mô tả đầy đủ hầu hết các hệ thống tự động hóa dự phòng. Một bộ điều khiển hai kênh có thể tiếp tục vận hành sau khi một kênh bị hỏng. Hệ thống vẫn hoạt động nhưng mất khả năng dự phòng. Khi đó, hệ thống chuyển sang trạng thái suy giảm với mức độ phơi nhiễm cao hơn trước nguy cơ xảy ra hỏng hóc thứ hai.

Việc bổ sung trạng thái suy giảm cho phép mô hình tính toán tần suất và thời gian hệ thống vận hành mà không có đầy đủ khả năng bảo vệ. Tốc độ sửa chữa trở nên cực kỳ quan trọng. Một hệ thống có các linh kiện đáng tin cậy vẫn có thể ở trạng thái suy giảm quá lâu nếu việc chẩn đoán sự cố, giao linh kiện thay thế hoặc phê duyệt bảo trì bị chậm trễ.

Mô hình cũng có thể phân biệt các lỗi đã phát hiện và chưa phát hiện. Lỗi kênh đã phát hiện có thể kích hoạt việc sửa chữa ngay lập tức. Lỗi chưa phát hiện có thể vẫn ẩn cho đến khi xảy ra một nhu cầu hoặc một lỗi khác. Độ bao phủ chẩn đoán làm thay đổi cấu trúc chuyển tiếp và do đó làm thay đổi độ sẵn sàng và rủi ro được tính toán.

Ví dụ: Một cặp bộ điều khiển dự phòng kép

Hãy xem xét hai bộ điều khiển được bố trí thành một cặp dự phòng. Trạng thái một biểu thị cả hai bộ điều khiển đều khỏe mạnh. Trạng thái hai biểu thị một bộ điều khiển bị hỏng trong khi bộ thứ hai vẫn duy trì việc điều khiển. Trạng thái ba biểu thị mất cả hai bộ điều khiển và mất hoàn toàn khả năng điều khiển.

Mô hình bao gồm tỷ lệ hỏng của từng bộ điều khiển và tỷ lệ sửa chữa sau khi phát hiện. Mô hình cũng có thể bao gồm lỗi chuyển mạch, mất nguồn chung và lỗi phần mềm chung. Các chuyển tiếp bổ sung này ngăn việc phân tích giả định tính độc lập hoàn hảo.

Kết quả có thể phân biệt độ sẵn sàng khi dự phòng đầy đủ với độ sẵn sàng chức năng. Hệ thống có thể vẫn đủ khả năng điều khiển quy trình trong phần lớn thời gian của năm, nhưng trải qua một số giờ đáng kể chỉ với một bộ điều khiển khỏe mạnh. Trạng thái suy giảm đó có thể không thể chấp nhận đối với một ứng dụng quan trọng.

Mô hình có thể so sánh các chiến lược cải tiến. Thay thế thiết bị dự phòng nhanh hơn có thể giảm thời gian phơi nhiễm ở trạng thái suy giảm hiệu quả hơn so với việc bổ sung bộ điều khiển thứ ba. Chẩn đoán tốt hơn có thể mang lại lợi ích lớn hơn so với việc giảm nhẹ tỷ lệ hỏng phần cứng. Phân tích Markov giúp định lượng các đánh đổi này.

Thiết bị dự phòng cần nhiều hơn một trạng thái hỏng khi đang hoạt động

Dự phòng ở chế độ chờ tạo ra các hành vi bổ sung. Một máy bơm dự phòng có thể vẫn dừng cho đến khi máy bơm đang vận hành bị hỏng. Thiết bị dự phòng có thể chứa lỗi tiềm ẩn, không khởi động được hoặc gặp vấn đề trong logic chuyển đổi. Các van cách ly cũng có thể không di chuyển đến vị trí yêu cầu.

Một mô hình Markov có thể bao gồm các trạng thái như thiết bị đang hoạt động khỏe mạnh, thiết bị dự phòng không khả dụng, lỗi chuyển đổi, công suất suy giảm và mất hoàn toàn hệ thống. Kiểm tra xác nhận chuyển hệ thống từ trạng thái không xác định khi ở chế độ chờ sang trạng thái đã biết. Khoảng thời gian giữa các lần kiểm tra ảnh hưởng đến thời gian các lỗi tiềm ẩn có thể tồn tại.

Các chính sách bảo trì cũng có thể được đánh giá trong cùng một cấu trúc. Khoảng thời gian kiểm tra ngắn hơn giúp phát hiện các lỗi tiềm ẩn tốt hơn, nhưng làm tăng khối lượng công việc bảo trì và có thể phát sinh thêm lỗi. Mô hình có thể so sánh những tác động đối nghịch này thay vì mặc định rằng kiểm tra thường xuyên hơn luôn tốt hơn.

Phân tích thiết bị dự phòng cũng nên bao gồm công tác hậu cần sửa chữa. Một linh kiện dự phòng bị hỏng có thể không làm gián đoạn sản xuất ngay lập tức, vì vậy việc sửa chữa có thể bị trì hoãn. Sự trì hoãn đó khiến hệ thống không còn được bảo vệ khi thiết bị đang hoạt động hỏng sau đó. Do đó, các ưu tiên vận hành ảnh hưởng đến độ tin cậy không kém gì các đặc tính phần cứng.

Giả định Markov Vừa Tạo ra Sự Đơn giản vừa Đặt ra Giới hạn

Mô hình Markov cơ bản giả định rằng hành vi chuyển đổi trong tương lai phụ thuộc vào trạng thái hiện tại thay vì toàn bộ lịch sử. Giả định này đơn giản hóa toán học và thường đòi hỏi các tỷ lệ chuyển đổi không đổi. Một số thiết bị công nghiệp phù hợp khá tốt với phép xấp xỉ này trong một khoảng thời gian giới hạn.

Sự lão hóa và hư hỏng tích lũy có thể vi phạm giả định này. Một ổ trục bị mài mòn nghiêm trọng không có hành vi hỏng hóc trong tương lai giống như một ổ trục mới, ngay cả khi cả hai hiện vẫn đang hoạt động. Có thể dùng các trạng thái suy giảm bổ sung để xấp xỉ sự lão hóa, trong khi có thể cần các mô hình bán Markov hoặc mô hình khác để biểu diễn chính xác hơn.

Sự bùng nổ số lượng trạng thái cũng là một thách thức. Mỗi trạng thái của linh kiện có thể làm tăng gấp nhiều lần số trạng thái hệ thống khả dĩ. Một nhà máy phức tạp có dự phòng có thể nhanh chóng tạo ra hàng nghìn hoặc hàng triệu tổ hợp. Có thể cần giảm mô hình, nhóm các trạng thái hoặc mô phỏng để giữ cho việc phân tích ở mức có thể quản lý được.

Mô hình nên có đủ chi tiết để hỗ trợ quyết định mà không cần biểu diễn mọi biến thiên vật lý. Độ phức tạp quá mức tạo ra các vấn đề về bảo trì và xác nhận. Mô hình quá đơn giản sẽ che giấu những hành vi quan trọng, trong khi mô hình quá chi tiết trở nên không thể giải thích.

Mô hình Markov Hoạt động Tốt ở Đâu—và Không Hoạt động Tốt ở Đâu

Mô hình Markov đặc biệt phù hợp với các hệ thống dự phòng có thể sửa chữa, thiết bị dự phòng, các chế độ vận hành suy giảm và độ bao phủ chẩn đoán. Mô hình hỗ trợ phân tích tính sẵn sàng và cho thấy cách phản ứng bảo trì làm thay đổi mức độ phơi nhiễm của hệ thống. Mô hình đặc biệt hữu ích khi trình tự của các trạng thái hỏng hóc và sửa chữa có ý nghĩa.

Phương pháp này phụ thuộc vào việc xác định đúng các trạng thái và tỷ lệ chuyển đổi. Các giả định về tỷ lệ không đổi có thể không phản ánh sự lão hóa, biến thiên môi trường hoặc chất lượng bảo trì. Các hỏng hóc do nguyên nhân chung phải được biểu diễn một cách rõ ràng thay vì ẩn bên trong tỷ lệ hỏng hóc độc lập của từng linh kiện.

Các kết quả cần được hỗ trợ bằng phân tích độ nhạy. Nhóm cần kiểm tra cách các kết luận thay đổi khi tỷ lệ hỏng hóc, thời gian sửa chữa, độ bao phủ chẩn đoán và các giả định về nguyên nhân chung thay đổi. Một thiết kế chỉ có vẻ chấp nhận được dưới một giả định lạc quan duy nhất thì không vững chắc.

Mô hình Markov là công cụ phân tích chứ không phải bằng chứng thực tế. Việc thử nghiệm, bằng chứng vận hành, FMEA và FTA vẫn cần thiết. Mô hình giúp so sánh các chiến lược, nhưng không thể thay thế việc xác minh kiến trúc thực tế.

Sử dụng Năm Phương pháp như một Hệ thống Độ tin cậy

Năm kỹ thuật này mang lại giá trị lớn nhất khi được kết nối với nhau. FMEA có thể xác định các dạng hỏng hóc chi tiết của linh kiện trong quá trình thiết kế. Sau đó, FTA có thể xác định những tổ hợp nào góp phần gây ra một sự kiện nghiêm trọng trong hệ thống. Mô hình Markov có thể mô tả cách hệ thống hoạt động sau lần hỏng hóc đầu tiên và trong quá trình sửa chữa.

Mô phỏng Monte Carlo có thể kiểm tra các đầu vào không chắc chắn như thời gian sửa chữa, việc giao phụ tùng dự phòng, thời tiết và khối lượng công việc bảo trì. RCA cung cấp bằng chứng sau các sự cố thực tế và có thể làm lộ ra những giả định mà các mô hình ban đầu đã bỏ sót. Khi đó cần cập nhật các mô hình thay vì giữ nguyên chúng như những tài liệu lịch sử.

Giả sử một FTA xem hai sự cố bộ điều khiển là độc lập. Sau đó, một RCA cho thấy cả hai bộ điều khiển đều hỏng sau khi một kỹ thuật viên bảo trì nạp cùng một cấu hình sai. Cây sự cố phải bổ sung một sự kiện bảo trì chung. Các mô hình Markov và Monte Carlo cũng phải đưa mối phụ thuộc mới này vào.

Quy trình phản hồi này tạo nên một chương trình độ tin cậy luôn được cập nhật. Phân tích dự báo định hướng cho thiết kế, bằng chứng vận hành kiểm nghiệm các giả định, còn kết quả điều tra giúp cải thiện thế hệ mô hình tiếp theo. Công tác độ tin cậy trở thành một phần của vòng đời hệ thống thay vì yêu cầu của một dự án chỉ thực hiện một lần.

Sự cố nguyên nhân chung có thể vô hiệu hóa toàn bộ kiến trúc dự phòng

Sự cố nguyên nhân chung ảnh hưởng đến nhiều kênh thông qua một điều kiện nền tảng duy nhất. Nguồn điện, hệ thống làm mát, hạ tầng mạng, phần mềm, tác động môi trường và quy trình bảo trì dùng chung là những ví dụ thường gặp. Các sự cố này đặc biệt nguy hiểm vì có thể vô hiệu hóa khả năng dự phòng vốn có vẻ vững chắc trên giấy tờ.

Phân tách vật lý làm giảm một số nguyên nhân chung. Thiết bị hoặc phần mềm đa dạng có thể giảm các nguyên nhân khác. Việc kiểm tra độc lập có thể giảm lỗi bảo trì và cấu hình. Tuy nhiên, tính đa dạng cũng làm tăng độ phức tạp về đào tạo, phụ tùng dự phòng, thử nghiệm và tích hợp.

Giải pháp phù hợp phụ thuộc vào rủi ro. Việc lắp đặt các công nghệ bộ điều khiển khác nhau có thể giảm sự cố phần mềm chung nhưng tạo ra những thách thức mới về truyền thông và bảo trì. Các bộ nguồn riêng biệt có thể mang lại rất ít lợi ích nếu cả hai vẫn nằm trong cùng một tủ dễ bị ngập. Các phương pháp đánh giá độ tin cậy giúp xác định biện pháp đa dạng hóa nào giải quyết được những cơ chế sự cố có cơ sở.

Các giả định về sự cố nguyên nhân chung phải được thể hiện rõ trong mọi mô hình định lượng. Việc xem các kênh dự phòng là hoàn toàn độc lập hầu như luôn tạo ra kết quả lạc quan. Kinh nghiệm vận hành nhà máy và các phát hiện từ RCA cung cấp bằng chứng có giá trị để ước tính những mối phụ thuộc này.

Độ bao phủ chẩn đoán quyết định thời gian hệ thống vẫn trong trạng thái dễ bị tổn thương

Không thể quản lý hiệu quả một hệ thống dự phòng khi các sự cố vẫn bị che giấu. Độ bao phủ chẩn đoán mô tả tỷ lệ các lỗi liên quan được phát hiện bởi các biện pháp kiểm soát tự động hoặc thủ công. Độ bao phủ cao giúp giảm thời gian hệ thống âm thầm vận hành trong trạng thái suy giảm. Điều này cũng cho phép bảo trì khôi phục khả năng dự phòng trước khi xảy ra sự cố khác.

Các tuyên bố về khả năng chẩn đoán phải được xem xét cẩn thận. Bộ điều khiển có thể phát hiện lỗi bên trong bộ xử lý nhưng không phát hiện được mọi sự cố đấu dây ngoài hiện trường. Mô-đun truyền thông có thể phát hiện mất hoàn toàn đường truyền nhưng không nhận ra việc ánh xạ dữ liệu sai. Bộ nguồn có thể phát cảnh báo sau khi mất hoàn toàn đầu ra nhưng không đưa ra cảnh báo về sự suy giảm dần.

Phép thử xác nhận bao quát các lỗi mà chức năng chẩn đoán liên tục không phát hiện được. Khoảng thời gian giữa các lần thử ảnh hưởng đến thời gian phơi nhiễm. Khoảng thời gian dài hơn cho phép các lỗi tiềm ẩn tồn tại lâu hơn, trong khi khoảng thời gian rất ngắn làm tăng gánh nặng bảo trì và rủi ro do thử nghiệm gây ra. FMEA, phân tích Markov và bằng chứng vận hành có thể hỗ trợ xác định khoảng thời gian cân bằng.

Việc kiểm tra phải bao quát toàn bộ chức năng. Kích hoạt một đầu vào PLC không chứng minh rằng công tắc hiện trường, hệ thống dây dẫn, logic, đầu ra và phần tử cuối cùng đều hoạt động chính xác. Phân tích độ tin cậy nên xác định chính xác những lỗi nào mà mỗi chức năng chẩn đoán hoặc phép thử xác nhận có thể phát hiện.

Thời gian sửa chữa thường quan trọng không kém tỷ lệ hỏng hóc

Các chương trình độ tin cậy thường tập trung vào việc giảm tần suất hỏng hóc của linh kiện. Thời gian sửa chữa cũng có thể quan trọng không kém trong các hệ thống chịu lỗi. Sau khi kênh đầu tiên hỏng, hệ thống có thể vẫn tiếp tục vận hành nhưng trở nên dễ bị tổn thương. Việc sửa chữa kéo dài làm tăng xác suất hỏng hóc thứ hai gây mất hoàn toàn chức năng.

Chẩn đoán, phê duyệt, khả năng sẵn sàng của kỹ thuật viên, phụ tùng, giấy phép ra vào và điều kiện sản xuất đều ảnh hưởng đến thời gian khôi phục. Một linh kiện có thể được thay thế trong mười lăm phút sau khi phụ tùng phù hợp được đưa đến tủ. Tuy nhiên, thời gian ngừng hoạt động thực tế vẫn có thể kéo dài nhiều ngày nếu phụ tùng phải được tìm mua từ nước ngoài.

Chẩn đoán được cải thiện có thể giảm thời gian xác định vị trí sự cố. Các mô-đun được tiêu chuẩn hóa và phụ tùng được cấu hình sẵn có thể giảm thời gian thay thế. Tồn kho tại chỗ, quy trình chuyển cấp rõ ràng và hỗ trợ kỹ thuật từ xa có thể giảm chậm trễ hậu cần. Các mô hình Markov và Monte Carlo có thể định lượng giá trị của những cải tiến này.

Khoản đầu tư tốt nhất cho độ tin cậy không phải lúc nào cũng là phần cứng mạnh hơn. Trong một số hệ thống, việc giảm thời gian sửa chữa mang lại mức giảm rủi ro lớn hơn so với một cải thiện nhỏ về tỷ lệ hỏng hóc của linh kiện. Phân tích nên so sánh cả hai phương án.

Áp dụng phân tích độ tin cậy cho các kiến trúc DCS và PLC

Độ tin cậy của hệ thống điều khiển phụ thuộc vào nhiều yếu tố hơn chỉ bộ xử lý trung tâm. Kỹ sư nên xem xét các bộ điều khiển, mô-đun I/O, mạng truyền thông, bộ nguồn, máy chủ, trạm vận hành, đồng bộ hóa thời gian, các giao diện hiện trường và các tiện ích hỗ trợ. Mọi phần tử dùng chung đều có thể trở thành một phụ thuộc chung.

Các bộ điều khiển dự phòng có thể dùng chung một tủ I/O. Các máy chủ dự phòng có thể phụ thuộc vào một bộ chuyển mạch mạng hoặc một hệ thống lưu trữ duy nhất. Mạng I/O từ xa có thể sử dụng các kênh liên lạc riêng nhưng đi qua cùng một tuyến vật lý. Phân tích đầy đủ phải theo dõi chức năng từ thiết bị hiện trường đến tác động điều khiển cuối cùng.

Hành vi bắt buộc sau sự cố phải được xác định rõ ràng. Quy trình có thể tiếp tục với bộ điều khiển còn lại, chuyển sang vận hành thủ công hoặc thực hiện dừng có kiểm soát. Nhân viên bảo trì phải biết cách xác định kênh bị lỗi và khôi phục hệ thống mà không làm ảnh hưởng đến kênh đang hoạt động tốt.

Các tổ chức đang lên kế hoạch nâng cấp hệ thống điều khiển cũng có thể xem xét các thành phần hệ thống điều khiển DCS điển hình được sử dụng trong các kiến trúc tự động hóa quy trình. Việc lựa chọn linh kiện luôn phải dựa trên các yêu cầu về độ tin cậy của toàn bộ ứng dụng, thay vì các tính năng riêng lẻ của sản phẩm.

Mô hình đáng tin cậy phụ thuộc vào dữ liệu bảo trì đáng tin cậy

Phân tích độ tin cậy định lượng chỉ mạnh khi dữ liệu nền tảng đáng tin cậy. Hồ sơ bảo trì nên phân biệt hỏng hóc chức năng, thay thế theo kế hoạch, kiểm tra và sửa đổi. Ngày xảy ra hỏng hóc phải thể hiện thời điểm chức năng bị mất, còn ngày khôi phục phải thể hiện thời điểm hoạt động thực sự khả dụng trở lại.

Danh tính tài sản phải nhất quán trong hệ thống lưu trữ dữ liệu lịch sử, hệ thống bảo trì, bản vẽ và cơ sở dữ liệu phụ tùng. Mã hỏng hóc nên mô tả cơ chế thay vì các triệu chứng mơ hồ. “Đã dừng” mang lại rất ít giá trị phân tích, trong khi “kẹt ổ bi do nhiễm bẩn chất bôi trơn” hỗ trợ việc lập mô hình và phòng ngừa trong tương lai.

Mức độ khai thác trong vận hành cũng phải được tính đến. Không thể so sánh trực tiếp một máy bơm vận hành liên tục với một máy bơm dự phòng chỉ chạy trong thời gian kiểm tra. Nhiệt độ, độ ẩm, nhiễm bẩn, rung động, ứng suất điện và tải quy trình có thể giải thích sự khác biệt giữa các linh kiện vốn giống hệt nhau.

Làm sạch dữ liệu cần được xem là công việc kỹ thuật thay vì khâu chuẩn bị hành chính. Việc phân loại không chính xác có thể làm sai lệch tỷ lệ hỏng hóc, phân bố thời gian sửa chữa và kết luận của mô hình. Các chuyên viên phân tích nên cùng nhân sự bảo trì và vận hành xem xét những kết quả bất thường trước khi chấp nhận chúng.

Quy trình thực tiễn để cải thiện độ tin cậy

Một dự án độ tin cậy nên bắt đầu bằng việc xác định chức năng cần thiết và ranh giới hệ thống. Nhóm phải nêu rõ hiệu suất cần đạt trong điều kiện vận hành bình thường và sau mỗi sự cố có thể xảy ra. Nhóm cũng nên thu thập bản vẽ, tài liệu hướng dẫn, lịch sử bảo trì, quy trình vận hành, hồ sơ cảnh báo và các báo cáo sự cố trước đây.

FMEA sau đó có thể xác định các dạng hỏng hóc ở cấp độ linh kiện và những điểm yếu trong các biện pháp kiểm soát phát hiện. FTA có thể phân tích các sự kiện đỉnh quan trọng và các yếu tố phụ thuộc dùng chung. Mô hình Markov có thể đánh giá các trạng thái suy giảm và khả năng đáp ứng sửa chữa, trong khi mô phỏng Monte Carlo có thể biểu diễn sự không chắc chắn trong hỏng hóc, bảo trì và hậu cần.

Các sự cố trong quá khứ nên được xem xét thông qua RCA. Các phát hiện cần được sử dụng để cập nhật các bản phân tích thiết kế và các giả định định lượng. Hành động nên được ưu tiên theo mức độ hậu quả, xác suất, khả năng phát hiện, mức độ phơi nhiễm, thời gian sửa chữa và chi phí.

Mọi hành động đều cần có người chịu trách nhiệm, ngày hoàn thành và bước kiểm tra hiệu quả. Các bản phân tích cần được cập nhật sau những thay đổi lớn về thiết bị, nâng cấp phần mềm, sửa đổi quy trình hoặc thay đổi chiến lược bảo trì. Độ tin cậy là một lĩnh vực kỹ thuật liên tục, không phải là một báo cáo được hoàn thành một lần rồi lưu trữ.

Những câu hỏi làm lộ rõ các tuyên bố yếu về khả năng chịu lỗi

Một cuộc đánh giá kỹ lưỡng sẽ đặt câu hỏi chức năng nào phải luôn khả dụng và hệ thống có thể chịu được những hư hỏng nào. Cuộc đánh giá cũng xem xét liệu các kênh dự phòng có độc lập về mặt vật lý, điện và logic hay không. Ngoài ra, cần xác định các hư hỏng tiềm ẩn được phát hiện như thế nào và hệ thống có thể duy trì trạng thái suy giảm trong bao lâu trước khi được sửa chữa.

Đội ngũ nên xác định các linh kiện có thời gian cung ứng thay thế dài và xác định liệu một lỗi bảo trì có thể ảnh hưởng đến nhiều kênh hay không. Các yếu tố phụ thuộc về phần mềm và cấu hình cần được chú ý như phần cứng. Người vận hành phải hiểu hệ thống hoạt động như thế nào sau khi xảy ra sự cố và những thao tác thủ công nào vẫn còn khả dụng.

Các giả định về hư hỏng và sửa chữa nên được hỗ trợ bằng bằng chứng từ nhà máy bất cứ khi nào có thể. Các hành động khắc phục nên được xác minh sau khi hoàn tất. Các phép thử chứng minh phải thể hiện đầy đủ chức năng bảo vệ thay vì chỉ phản ánh phản hồi của thiết bị riêng lẻ.

Những câu hỏi này có giá trị hơn một tuyên bố chung chung rằng hệ thống có tính dự phòng. Chúng liên kết khả năng chịu lỗi với kiến trúc thực tế, môi trường vận hành và năng lực bảo trì.

Góc nhìn cuối cùng

Khả năng chịu lỗi là thiết yếu khi không thể chấp nhận thời gian ngừng hoạt động, hành vi không an toàn hoặc mất khả năng điều khiển. Tuy nhiên, chỉ riêng tính dự phòng không tạo nên một hệ thống đáng tin cậy. Các kỹ sư phải hiểu các dạng hư hỏng, các yếu tố phụ thuộc dùng chung, độ bao phủ chẩn đoán, hoạt động trong trạng thái suy giảm, hành vi sửa chữa và các hệ quả vận hành.

Phân tích cây lỗi cho thấy sự kết hợp của các hư hỏng có thể dẫn đến một sự kiện nghiêm trọng như thế nào. FMEA cung cấp việc đánh giá có hệ thống các dạng hư hỏng riêng lẻ và ảnh hưởng của chúng. Mô phỏng Monte Carlo đánh giá các kịch bản không chắc chắn, trong khi RCA biến các sự cố thực tế thành kiến thức phòng ngừa. Mô hình Markov giải thích cách các hệ thống có thể sửa chữa chuyển đổi giữa các trạng thái bình thường, suy giảm, hỏng hóc và được khôi phục.

Mỗi phương pháp đều có những hạn chế, nhưng khi kết hợp, chúng tạo nên một khuôn khổ độ tin cậy vững chắc. Các nghiên cứu thiết kế nên được cập nhật bằng bằng chứng vận hành, và các phát hiện từ sự cố nên góp phần cải thiện các mô hình trong tương lai. Kết quả phải tác động đến kiến trúc, bảo trì, phụ tùng, kiểm thử, đào tạo và quy trình.

Mục tiêu không phải là tạo ra một hệ thống không bao giờ gặp sự cố. Mục tiêu là phát hiện sự cố sớm, hạn chế hậu quả, duy trì chức năng cần thiết và khôi phục đầy đủ khả năng hoạt động một cách có thể dự đoán. Đó là ý nghĩa thực tiễn của khả năng chịu lỗi trong công nghiệp.