In uw SIL-verificatie zit een gevaarlijke faalrate en de PFDavg blijft ruim binnen de doelwaarde. Dan vraagt een assessor of die faalrate een 70% bovengrens van het betrouwbaarheidsinterval is. Het antwoord is minder vanzelfsprekend dan het zou moeten zijn. De eis voor het IEC 61511 betrouwbaarheidsniveau van de faalrate is kort te formuleren. Toch kan het getal dat u opgeeft de PFD-toets doorstaan en deze eis alsnog niet halen.
IEC 61511 betrouwbaarheidsniveau faalrate: wat 70% betekent
Een paper over het actualiseren van SIS-faalrates leest IEC 61511 zo dat faalratedata een betrouwbaarheidsniveau van minstens 70% moet hebben. De auteurs leiden daaruit af dat u voor de faalrate de bovenste 70%-waarde moet kiezen. Concreet: u bent voor 70% zeker dat de werkelijke faalrate, en dus de werkelijke PFD, lager ligt dan de schatting die u hebt gebruikt.
Anders gezegd: het betrouwbaarheidsniveau is de kans dat de werkelijke gemiddelde faalrate kleiner is dan of gelijk is aan de geschatte rate. Er is dus 30% kans dat de werkelijke rate hoger ligt dan uw getal. De eis is een bewust bescheiden marge aan conservatisme. Het is geen garantie.
Het gaat om een bovengrens aan één kant. Kenexis omschrijft het idee als het stellen van grenzen met een bepaalde mate van zekerheid. U beweert niet de frequentie exact te kennen. U zegt dat u er zeker van bent dat ze onder een vermelde waarde ligt.
De formulering staat in IEC 61511-1 Edition 2. PR electronics citeert clause 11.4.9. Volgens die clause moet de betrouwbaarheidsdata voor de berekening van de faalmaat worden bepaald met een statistische bovengrens van het betrouwbaarheidsinterval van minstens 70%. De IEC-webstore vermeldt de geconsolideerde versie als tweede editie (2016) met amendement 1 (2017).
Waarom Route 2H 90% vraagt en IEC 61511 genoegen neemt met 70%
IEC 61508 kent twee manieren om de vereiste hardware fault tolerance te verlagen. De eerste is een hogere diagnostic coverage (Route 1H). De tweede is een hoger betrouwbaarheidsniveau voor de gemeten faalrates, van minstens 90% (Route 2H). Bij 90% is er slechts 10% kans dat de werkelijke gemiddelde faalrate boven de schatting ligt.
IEC 61511 volgt een strategie die aansluit bij Route 2H, maar vraagt slechts een betrouwbaarheidsniveau van 70%. De norm eist ook documentatie die aantoont dat de faalrates geloofwaardig zijn en gebaseerd op praktijkervaring uit een vergelijkbare bedrijfsomgeving. Een deel van wat Route 2H met een hoger percentage afdwingt, vraagt IEC 61511 dus via de kwaliteit van de data. De samenvatting van Generowicz zegt het zo: de norm eist geen 90%, maar wel een gelijkwaardig bewijs van vertrouwen in de data.
Een recent instrumentatieartikel over hardware fault tolerance beschrijft hetzelfde verschil. Het merkt ook op dat faalrates bij 90% betrouwbaarheid doorgaans ongeveer 1,6 keer hoger liggen dan bij 70%. Die verhouding ligt niet vast, zoals de volgende paragraaf laat zien.
Hoe u de 70%-waarde berekent
Als alle storingen van een type apparatuur zijn geregistreerd, kunt u de faalrate voor elk gewenst betrouwbaarheidsniveau schatten met de chi-kwadraatverdeling. De formule is de chi-kwadraatwaarde voor het gekozen betrouwbaarheidsniveau en het aantal vrijheidsgraden, gedeeld door tweemaal de opgebouwde bedrijfstijd.
Voor het bijzondere geval zonder storingen zijn de rates bij benadering 1,2/T bij 70% en 2,3/T bij 90%. Daarbij is T de bedrijfstijd. Honderd apparaatjaren zonder geregistreerde storing geven dus een 70%-grens van ongeveer 0,012 per jaar, en niet nul.
Neem nu een geval met storingen: één gevaarlijke storing in 100 apparaatjaren. De puntschatting is 0,01 per jaar. Uitwerking met de chi-kwadraatformule (eigen berekening, geen geciteerd cijfer) geeft een 70%-bovengrens van ruwweg 0,024 per jaar. De 90%-grens is ongeveer 0,039 per jaar, wat past bij de verhouding van 1,6 hierboven.
De verhouding wordt kleiner naarmate er meer storingen bijkomen. De verhouding tussen λ90% en λ70% hangt alleen af van het aantal geregistreerde storingen. Bij tien of meer storingen ligt λ90% hooguit ongeveer 20% hoger dan λ70%. De onzekerheidsband wordt met elke geregistreerde storing smaller.
Waarom een opgegeven getal goed kan lijken en toch niet voldoet
Een faalrate kan ruim binnen uw SIL-doelwaarde vallen en toch geen 70% bovengrens zijn. Meestal gebeurt dat op een van deze manieren:
- Het is een puntschatting. Een eenvoudige gemiddelde rate is het aantal geregistreerde storingen gedeeld door de totale bedrijfstijd. Dat is de centrale schatting en geen bovengrens. Bij weinig storingen is het verschil tussen beide groot.
- Er zijn weinig of geen storingen waargenomen. Een laag aantal kan duiden op een korte waarnemingsperiode of een kleine populatie, en niet op een betrouwbaar toestel. Bij één geregistreerde storing beslaat het 90%-betrouwbaarheidsinterval meer dan een ordegrootte.
- De data is niet geloofwaardig voor uw toepassing. Generowicz merkt op dat betrouwbaarheidsniveaus te maken hebben met de spreiding van de data. Een hoog niveau kan met kleine datasets worden geclaimd. Het zegt niets over de vraag of de gemeten rates geldig of toepasbaar zijn.
- Het getal oogt te mooi. Het duty-of-care-artikel van exida verwijst naar de eis van IEC 61511 dat data geloofwaardig, traceerbaar, gedocumenteerd en onderbouwd is. De data moet bovendien gebaseerd zijn op praktijkervaring met vergelijkbare toestellen in een vergelijkbare omgeving. Een zeer laag getal zonder dat bewijs voldoet niet aan die eis, welk percentage er ook aan hangt.
- Storingen zijn niet geregistreerd. De berekening gaat ervan uit dat alle storingen van het apparatuurtype zijn vastgelegd. Als proof tests of onderhoudsregistraties gevaarlijke storingen missen, overschat de data het betrouwbaarheidsniveau.
Wat u in uw SIL-verificatie moet nagaan
- Achterhaal de bron van elke gevaarlijke faalrate. Is het een FMEDA van de fabrikant, een generieke database of uw eigen sitegegevens? Noteer welke statistiek het getal voorstelt.
- Zoek de betrouwbaarheidsbasis op. Geeft de bron een gemiddelde of een puntwaarde? Vraag dan de 70%-bovengrens op, of leid die af uit de storingen en de bedrijfsuren.
- Toets de geloofwaardigheid van het bewijs. Controleer of de toestellen, de toepassing en de bedrijfsomgeving vergelijkbaar zijn, en of de data traceerbaar en gedocumenteerd is.
- Leg vast hoe storingen worden geregistreerd. Generowicz stelt dat de faalrates moeten worden gemeten voor exact hetzelfde type componenten in daadwerkelijk gebruik en in een vergelijkbare omgeving. Dat vraagt om werkende inspectie- en storingsregistratiepraktijken, en niet alleen om een berekening.
- Documenteer de beslissing. Wie de SIL-verificatie later beoordeelt, moet het getal, de onderbouwing en de redenering kunnen terugvinden.
Houd er rekening mee dat IEC 61511-1 ook toestaat om IEC 61508-2 Route 1H of 2H te gebruiken als alternatief voor de eigen tabel voor hardware fault tolerance. Kiest u Route 2H, dan geldt de eis van 90% onverkort.
Key takeaways
- Een 70% bovengrens betekent dat er 70% kans is dat de werkelijke gevaarlijke faalrate op of onder het gebruikte getal ligt. Er blijft 30% kans dat ze hoger ligt.
- IEC 61511 vraagt een 70% bovengrens plus geloofwaardige, traceerbare praktijkdata. IEC 61508 Route 2H vraagt 90%.
- Een PFD die de doelwaarde haalt, bewijst niet dat de invoerrate een bovengrens van het betrouwbaarheidsinterval is. Gemiddelden en puntschattingen zijn dat vaak niet.
- Bij weinig geregistreerde storingen kan het verschil tussen een puntschatting en een 70%-grens groot zijn. Bij tien of meer storingen wordt het aanzienlijk kleiner.
- Documenteer voor elke faalrate in de verificatie de bron, de betrouwbaarheidsbasis en de onderbouwing van de geloofwaardigheid.
De opleiding FS Engineer SIS behandelt hoe u IEC 61511 interpreteert over de veiligheidslifecycle van het SIS heen en welk bewijs nodig is om veiligheidsfuncties te onderbouwen. De registratie van storingen in bedrijf komt vanuit het onderhoud aan bod in FS Technician SIS. De komende data vindt u in de opleidingskalender.
