Proof test interval berekenen vanuit de PFDavg

Open het proof test-schema van een gemiddelde installatie en vraag waar elk interval vandaan komt. Bij veel safety instrumented functions (SIF's) is het antwoord een veiligheidshandleiding van de leverancier, een licensorpakket of een projectsjabloon. Een berekening tegen het eigen doel van de installatie ontbreekt dan. Dit artikel laat zien hoe u een proof test interval berekent, waar het misgaat en wat u moet vastleggen om het interval later te kunnen verdedigen.

Waarom overgenomen intervallen een probleem zijn

Een recent artikel van iFluids over proof test intervallen volgens IEC 61511 stelt dat intervallen vaak worden overgenomen. Ze komen dan uit een standaardwaarde van de leverancier, een aanbeveling van de licensor of een SRS-sjabloon, in plaats van uit een berekening tegen de eigen PFDavg-doelstelling van de installatie. Het artikel is geschreven vanuit het perspectief van olie en gas in bepaalde regio's. Toch zal het patroon veel engineers elders bekend voorkomen.

De norm wijst een andere kant op. Een overzicht van de geschiedenis van de clausule wijst erop dat IEC 61511:2016 de frequentie van de proof tests voor een SIF laat bepalen door een PFDavg- of PFH-berekening. Die berekening geldt voor het SIS zoals het in zijn bedrijfsomgeving is geïnstalleerd. Een standaardinterval is dus hooguit een uitgangspunt. Het is geen resultaat.

Er is ook een gevolg voor wijzigingsbeheer. Een gids van iFluids over SIL-verificatie stelt dat de verificatie opnieuw moet worden bekeken zodra veldapparatuur, logic solvers of testintervallen wijzigen. Als u niet kunt zeggen waar het interval vandaan komt, kunt u ook niet zeggen of het nog geldt.

Proof test interval berekenen: de basisrelatie

Voor een SIF met low demand gaat het eenvoudigste model ervan uit dat een gevaarlijke niet-gedetecteerde storing gemiddeld de helft van het proof test interval aanwezig is. Voor één kanaal (1oo1) met een perfecte test is PFDavg gelijk aan λDU × TI / 2. Hierbij is λDU de gevaarlijke niet-gedetecteerde faalfrequentie uit de FMEDA van het toestel en TI het testinterval. De relatie is lineair, dus een half zo lang interval halveert grofweg de PFDavg van één component.

Herschreven wordt het maximale interval T_max = 2 × PFDavg-doel / λDU. De stappen zijn:

Neem het PFDavg-doel van de SIF uit de safety requirements specification (SRS).
Verdeel dat doel in budgetten voor de subsystemen sensor, logic solver en eindelement.
Neem voor elk subsystem λDU uit een bron die u kunt verantwoorden, zoals een gecertificeerde FMEDA of uw eigen veldgegevens.
Bereken per subsysteem het maximale interval. Kies dan een praktisch interval dat gelijk is aan of korter dan het kortste resultaat.

Twee kanttekeningen. Ten eerste hoort het doel bij de hele SIF, dus één transmitter krijgt niet het volledige budget. Ten tweede vragen redundante architecturen andere vergelijkingen. Bij 1oo2 bevat de PFDavg zowel een term voor onafhankelijke storingen als een term voor common cause. De lineaire regel hierboven is daarop dus niet van toepassing.

De valkuil: proof test coverage en mission time

De formule hierboven gaat ervan uit dat de proof test alle gevaarlijke niet-gedetecteerde storingen vindt. Ze gaat er ook van uit dat het toestel daarna weer in as-new-toestand verkeert. Rausand en Lundteigen noemen dit niet realistisch, al is het soms realistisch genoeg. Storingen die de test niet kan aantonen, kunnen tijdens de hele levensduur van het systeem verborgen blijven. Dat verandert pas bij een demand of wanneer het toestel wordt vervangen.

Een veelgebruikte benadering voegt voor die storingen een tweede term toe. Zoals de exida-notitie over mission time het weergeeft: PFDavg ≈ (PTC × λD × PTI)/2 + ((1 − PTC) × λD × MT)/2. Hierbij is PTC de proof test coverage en MT de mission time.

Een uitgewerkt voorbeeld

De getallen hieronder zijn illustratief en geen gegevens van een echt toestel. Neem een eindelement met een λDU van 4 × 10⁻⁷ per uur en een PFDavg-budget van 2 × 10⁻³.

Met een perfecte test is T_max = 2 × 2 × 10⁻³ / 4 × 10⁻⁷ = 10.000 uur, ongeveer 13,7 maanden. Een interval van 12 maanden geeft een PFDavg van ongeveer 1,75 × 10⁻³.
Neem nu 90% coverage en een mission time van 20 jaar (175.200 uur). Het geteste deel levert ongeveer 1,6 × 10⁻³ op. De niet-geteste 10% levert ongeveer 3,5 × 10⁻³ op. Samen is dat ruwweg 5 × 10⁻³, ruim boven het budget.

De tweede term hangt helemaal niet af van het testinterval. Vaker testen lost dit dus niet op. De hefbomen zijn een betere coverage (een andere testmethode), een kortere mission time met geplande vervanging, een beter toestel of een andere architectuur. Exida beschrijft ook een geval waarin het proof test interval van een eindgebruiker vastlag op een turnaround. De mission time moest daar sterk worden verkort om dat te compenseren.

Achter dit alles zit de nuttige levensduur (useful life). IEC 61508-2 stelt dat voorbij de nuttige levensduur van een toestel de meeste probabilistische rekenresultaten zinloos zijn. Een vuistregel van FunctionalSafetyEngineer.com zegt dat per toestel het proof test interval korter moet zijn dan de mission time, en de mission time korter dan de nuttige levensduur.

Wat de gedocumenteerde basis moet bevatten

Een auditor moet het interval kunnen herleiden zonder dat de technicus het hoeft uit te leggen. Een redelijk dossier per SIF bevat:

Het PFDavg-doel uit de SRS en het budget per subsysteem.
De gebruikte λDU-waarden, met hun bron (FMEDA, safety manual of plantgegevens) en eventuele correcties voor de bedrijfsomgeving.
De architectuur, de common-cause-factor en de vergelijkingen of de toolversie die zijn gebruikt.
De proof test coverage die per toestel wordt geclaimd, en de stap in de testprocedure die dat onderbouwt.
De aangenomen mission time en het vervangings- of revisieplan dat daarbij hoort.
Het resulterende interval, de marge ten opzichte van het doel en de goedkeuring.

Het dossier moet ook na de inbedrijfstelling blijven leven. Volgens de documentatiegids van iFluids moeten proof testrapporten de herziening van de procedure tonen, het resultaat per geteste component, elke bevinding van gedegradeerde werking en de corrigerende actie. Dezelfde gids merkt op dat de verificatie opnieuw moet worden onderzocht als resultaten stelselmatig verminderde prestaties tonen. Ook stelt ze dat een structureel gemiste aangenomen testcoverage de PFDavg-berekening ongeldig maakt. Elke wijziging van een proof test interval hoort via management of change (MOC) te lopen.

Belangrijkste punten

Een overgenomen interval is een aanname. Bereken het tegen het eigen PFDavg-doel van de SIF en documenteer het resultaat.
Voor een 1oo1-kanaal met een perfecte test geldt T_max = 2 × PFDavg-budget / λDU. Redundante architecturen vragen hun eigen vergelijkingen.
Onvolledige proof test coverage voegt een term toe die afhangt van de mission time en niet van het interval. Controleer die eerst, voordat u het schema aanscherpt.
Leg de bron van de faalfrequentie, de coverage-claim, de mission time en de goedkeuring vast. Herzie ze wanneer toestellen, testmethoden of veldresultaten veranderen.
Behandel intervalwijzigingen als MOC-dossiers en voer de verificatie opnieuw uit.

Hoe nu verder

Heeft uw team intervallen die het niet kan herleiden? Kies dan één SIF en bouw de berekening opnieuw op vanuit het SRS-doel. De opleiding FS Engineer SIS behandelt hoe u IEC 61511 toepast over de hele veiligheidslifecycle, inclusief het bewijsmateriaal dat veiligheidsfuncties onderbouwt. Voor de mensen die de tests uitvoeren is er FS Technician SIS. Die opleiding behandelt het testen en herstellen van een SIS zonder de ontworpen integriteit te verlagen. De data vindt u in de opleidingskalender.