U moet een SIL-verificatie afronden. Het certificaat van de leverancier geeft één faalkans, een generiek handboek een tweede en het onderhoudssysteem een derde. Voordat u kiest, moet u weten wat IEC 61511 van de data eist en welke bron daaraan kan voldoen. Dat is de vraag achter IEC 61511 prior use faaldata. Ze komt steeds terug, omdat de norm een toets stelt en geen database aanwijst.
Wat IEC 61511 eist van betrouwbaarheidsdata
IEC 61511-1:2016 is de tweede editie. De IEC-webstore vermeldt februari 2016 als publicatiedatum en 2029 als stability date. De relevante eis staat in clause 11.9.3. Volgens de samenvatting van I&E Systems moet de data geloofwaardig, traceerbaar, gedocumenteerd en onderbouwd zijn. Ze moet bovendien gebaseerd zijn op veldervaring met vergelijkbare apparaten in een vergelijkbare bedrijfsomgeving.
Dezelfde bron merkt op dat NOTE 1 data uit algemene databases met veldervaring toestaat. Generieke data is dus niet uitgesloten. Ze moet wel dezelfde toets doorstaan als elke andere bron.
De norm wijst geen goedgekeurde bron aan. Een gids over databronnen stelt dat noch IEC 61511 noch IEC 61508 een specifieke bron voorschrijft, en dat elke bron die de toets doorstaat bruikbaar is. De keuze, en het bewijs erachter, ligt bij u.
Twee clauses, twee vragen
Engineers halen "prior use" en "betrouwbaarheidsdata" vaak door elkaar. Het zijn aparte eisen. Prior use volgens clause 11.5.3 hoort bij systematische integriteit. Het gaat dan om bewijs dat een apparaat geschikt is voor het SIS. De eis dat betrouwbaarheidsdata geloofwaardig en traceerbaar is, geldt altijd, ongeacht langs welke route u het apparaat hebt gekozen.
De eis voor betrouwbaarheidsdata weegt ook door in de architectuur. De editie van 2016 verlaagde de eisen voor hardware fault tolerance en legde de nadruk op geloofwaardige faalkansdata. Commentaar op deze editie stelt dat de norm het betrouwbaarheidsniveau van 90% van IEC 61508 Route 2H niet letterlijk eist. Wel vraagt hij een gelijkwaardige onderbouwing van het vertrouwen in de data. Meerdere bronnen noemen voor prior use-data een betrouwbaarheidsniveau van 70%. Is uw data te optimistisch, dan rusten de versoepelingen in uw architectuur op zwak bewijs.
IEC 61511 prior use faaldata beoordelen per bron
Kenexis noemt in een webinar over generieke faaldata de gebruikelijke bronnen voor faalkansen van componenten:
- FMEDA-data van de leverancier
- field returns van de leverancier
- veldgegevens uit operationele installaties
- brancheddata van groepen bedrijven
- generieke data, samengesteld uit industriebronnen
Elke bron heeft een andere zwakte ten opzichte van de vier toetsen.
Leveranciersdata en certificaten
Een certificaat of FMEDA-rapport is zo geloofwaardig als zijn afleiding. exida beschrijft gepubliceerde faalkansen die te mooi lijken om waar te zijn. Vaak is moeilijk na te gaan hoe de faalkans is geschat, hoe falen is gedefinieerd en welke aannames zijn gemaakt. In een ander artikel haalt exida een certificaat aan met 3,06 FIT voor een scotch yoke-actuator. Dat komt neer op ongeveer één gevaarlijke storing per 37.000 jaar. Het advies is om zo'n waarde om te rekenen naar een mean time to failure en op plausibiliteit te toetsen.
Ook field returns van leveranciers hebben hun grenzen. exida, zelf een dataleverancier met een commercieel belang, stelt dat garantiedata geen bruikbare basis is voor realistische faalkansen in de veiligheidsverificatie. Zie dat als één standpunt en toets het aan uw eigen situatie. Pas dezelfde discipline toe op elk getal dat zonder definitie van falen binnenkomt.
Generieke databases
Generieke bronnen bieden breedte. Ze verschillen ook sterk in ouderdom, reikwijdte en definities van faalwijzen. Een tabel in een exida-paper over veldfaaldata vergelijkt bronnen voor drukzenders. De waarden lopen van 6,56E-05 (CCPS, 1989) tot 3,57E-07 (een studie van een fabrikant). Dat is een spreiding van ongeveer een factor 180. Hetzelfde paper merkt op dat een product uit 1990 waarschijnlijk met een andere faalkans faalt dan een vergelijkbaar modern product.
Ouderdom en reikwijdte tellen mee. Een gids over databronnen beschrijft de CCPS-richtlijnen als statische tabellen uit 1989 en NPRD als getelde veldgegevens voor generieke onderdeeltypen. Kenexis stelt dat het opbouwen van generieke data expert judgement vraagt. Dat gebeurt door te putten uit het ISA technical report, CCPS, OREDA en NPRD en door te corrigeren voor relevantie voor de industrie en voor de faalwijze. Gebruikt u een samengestelde generieke set, dan vertrouwt u op die inschatting. U moet kunnen uitleggen waarom de set past bij uw toepassing.
Plantdata
Uw eigen registraties komen het dichtst bij "vergelijkbare apparaten in een vergelijkbare omgeving". De hierboven genoemde gids beschrijft prior use onder clause 11.5.3 als het pad aan de kant van de installatie. U onderbouwt dan op uw eigen apparaat, in uw eigen toepassing. Ruwe onderhoudsgegevens zijn zonder bewerking echter zelden goed genoeg. U hebt de geïnstalleerde populaties nodig, de bedrijfsuren en een consistente definitie van gevaarlijke storing. Ook hebt u resultaten van proof tests nodig die echte storingen onderscheiden van "found as left".
Richtlijn 070 van de Norwegian Offshore Federation somt punten op die u moet nagaan om te bepalen of veldervaringsdata geschikt is voor PFD-berekeningen. Ze merkt ook op dat de operationele ervaring die nodig is voor geloofwaardige statistiek doorgaans veel groter is dan bij het andere prior use-bewijs.
Een verdedigbare onderbouwing, stap voor stap
Welke bron u ook kiest, de onderbouwing moet dezelfde vragen in dezelfde volgorde beantwoorden:
- Definieer het apparaat en de faalwijzen. Merk, model, versie en wat voor deze SIF als gevaarlijke storing telt.
- Benoem de bron en de afleiding. Documenteer de versie, de populatie achter het getal en hoe storingen zijn geteld.
- Toon vergelijkbaarheid aan. Vergelijk procesmedium, temperatuur, trillingen, belastingscyclus en het onderhouds- en proof test-regime.
- Controleer de plausibiliteit. Vergelijk met minstens één onafhankelijke bron en onderzoek elk groot verschil.
- Leg de basis voor het vertrouwen vast. Noteer hoe de data voldoet aan het vertrouwensniveau dat de norm verwacht en hoe u met onzekerheid bent omgegaan.
- Leg de aanleiding voor herziening vast. Bepaal welk operationeel bewijs, zoals gefaalde proof tests of demands, u aanzet om het getal opnieuw te bekijken.
Een Bayesiaanse aanpak kan helpen als de populatie in de installatie klein is. Een paper over hiërarchische Bayesiaanse methoden betoogt dat generieke SIL-databases op zichzelf niet volledig aan de bedoeling van IEC 61511 voldoen. Het stelt voor ze te combineren met plantdata, zodat het resultaat echte veldervaring weerspiegelt.
Waar teams de mist ingaan
- Een gunstig getal gebruiken zonder context. Een solenoïdeklep van 5 FIT is een veelvoorkomend voorbeeld. Gandy van exida stelt dat zo'n getal de toets op geloofwaardig, traceerbaar, gedocumenteerd en onderbouwd niet doorstaat en een te optimistische PFDavg oplevert.
- Het certificaat als onderbouwing beschouwen. Een certificaat is bewijs, maar niet de onderbouwing zelf.
- De cirkel nooit sluiten. Storingen die bij proof tests worden gevonden, moeten terugvloeien in de aangenomen faalkans.
Belangrijkste punten
- Clause 11.9.3 stelt de toets voor betrouwbaarheidsdata. Prior use volgens clause 11.5.3 is een aparte eis. Beide moet u aantonen.
- Geen enkele bron is vooraf goedgekeurd. Leveranciersdata, generieke data en plantdata moeten elk worden onderbouwd voor uw apparaat en uw toepassing.
- Zie een ongewoon lage faalkans als reden om te vragen hoe het getal is afgeleid.
- Documenteer de definities van de faalwijzen, de bron, het vergelijkbaarheidsargument en de basis voor het vertrouwen.
- Laat resultaten van proof tests en demands gedurende de lifecycle terugvloeien in de data.
Leer de methode in een opleiding
De opleiding FS Engineer SIS behandelt hoe u IEC 61511 toepast over de veiligheidslifecycle van het SIS. Daarbij hoort ook het bewijs dat nodig is om veiligheidsfuncties te onderbouwen. Wilt u de onderbouwing van data samen met een instructeur uitwerken? Bekijk dan de opleidingskalender voor de komende data.
