ЖУРНАЛ «СТА» №2/2008

92 СТА 2/2008 www.cta.ru (7) Зная плотность распределения (7), можно найти среднюю наработку до первого отказа Т ср , которая по определению яв ляется математическим ожиданием случайной величины длительности безотказной работы t , то есть (8) Интегрирование в (8) выполняется по частям. Наработка на отказ T ср является основным параметром, который указывается в эксплуатационной документации на электронные средства промышленной автоматизации. По скольку при t = T ср из (5) получается P ( T ср) = 1/ e = 0,37, то наработку на отказ можно интерпретировать следующим об разом: если в системе автоматизации имеется 100 модулей ввода вывода, то через время T ср после начала эксплуатации останется в среднем 37 работоспособных и 63 отказавших модуля. Иногда наработку на отказ неправильно интерпре тируют как время, в течение которого устройство почти на верняка будет работоспособно, и только после истечения этого времени наступит отказ. При анализе надёжности систем, связанных с безопасно стью, вместо вероятности отказа используется понятие « ве роятность отказа при наличии запроса » [2], то есть вероят ность отказа при наличии необходимости быть в состоянии готовности. Например, если рассматривается система охра ны нефтебазы, то нужно учитывать вероятность отказа сис темы во время попытки проникновения нарушителей на ба зу, а не в то время, когда их нет. Отсюда следует вывод, что с точки зрения надёжности охраны нужно рассматривать ве роятность несрабатывания датчика охранной сигнализации в интервале времени, в течение которого может появиться нарушитель, и не нужно учитывать вероятность ложного срабатывания системы, поскольку она не влияет на выпол нение функции охраны. Классическая же теория надёжности учитывает оба вида отказов. В системах, связанных с безопасностью, наработка до от каза рассматривается отдельно для опасных и безопасных от казов. Безопасным считается отказ, не вызывающий опас ную ситуацию на объекте. Рассмотрим, например, систему аварийного отключения, в которой исчезновение питания приводит к обесточиванию обмотки реле, и поэтому реле от ключает нагрузку, переводя её тем самым в безопасное со стояние. В такой системе отказ источника питания обмотки реле является безопасным отказом и поэтому не учитывается при расчёте вероятности отказа при наличии запроса. Одна ко отказ такого же источника питания в системе автоматиче ского пожаротушения, когда необходимо, наоборот, подать напряжение на насосы, рассматривается как опасный отказ. Поэтому средняя вероятность отказа при наличии запроса в двух рассмотренных системах будет различной, несмотря на применение блока питания с одним и тем же значением на работки до отказа. Учёт обычной наработки до отказа при проектировании систем безопасности может привести к неоправданно зани женным показателям надёжности и невозможности дости жения требуемого уровня безопасности. Фактические значения наработки до отказа систем с резер вированием оказываются гораздо ниже расчётных. Это связа но с существованием так называемых отказов по общей при чине (ООП), которые происходят одновременно у основного ср 0 0 1 ( ) . t Т tf t dt te dt ∞ ∞ −λ = =λ = λ ∫ ∫ ( ) . t f t e −λ = λ элемента и резервного и которые составляют основную долю отказов в системах автоматизации. Предположим, например, что резервированная система находится в помещении, кото рое оказалось затопленным водой или охваченным пожаром. Отказ основного элемента и резерва при этом наступит одно временно. Другим примером может быть одновременный об рыв основного и резервного кабеля в результате земляных ра бот. Третьим примером может быть применение двух кон троллеров с процессорами из одной и той же партии, которая была изготовлена с применением просроченной паяльной пасты. Следующим примером может быть применение двух датчиков давления одной и той же конструкции, от одного и того же производителя, которые окислились и разгерметизи ровались одновременно. Электромагнитный импульс мол нии или импульс в сети электропитания может явиться при чиной отказа основного и резервного оборудования одновре менно. Во всех приведённых примерах существует сильная корреляция между случайными величинами, вызывающими отказ основного и резервного элемента. Для уменьшения коэффициента корреляции (снижения влияния общих причин отказов) нужно по возможности вы бирать элементы системы от разных производителей, выпол ненные на разных физических принципах, с применением различных материалов, различных технологических процес сов и с разным программным обеспечением. Основное и ре зервное оборудование, включая кабели, датчики и исполни тельные механизмы, желательно разносить территориально, а монтаж основной и резервной системы должны выполнять разные люди, чтобы исключить появление одинаковых оши бок монтажа и одинаково ошибочную интерпретацию руко водства по эксплуатации монтируемого изделия. Общие факторы, влияющие на всю систему, учитываются в моделях отказа как последовательно включённое звено со своей наработкой на отказ. Р ЕЗЕРВИРОВАНИЕ ПЛК И УСТРОЙСТВ ВВОДА ВЫВОДА Несмотря на существование большого разнообразия ме тодов резервирования, в промышленной автоматизации по лучили распространение только два из них: «горячее» резер вирование замещением (hot standby) и метод голосования (2oo3 — 2 out of 3 voting, 1oo2 voting и др.). Реже использует ся «тёплый» резерв (warm standby). Целью резервирования может быть обеспечение безотказ ности или обеспечение безопасности. Методы резервирова ния, используемые для достижения этих двух целей, сущест венно различаются. Основное различие состоит в том, что для обеспечения безопасности достаточно снизить вероятность только опасных отказов, в то время как для обеспечения без отказности требуется обеспечить работоспособность системы при всевозможных отказах. Поэтому системы, связанные с безопасностью, получаются проще, чем отказоустойчивые системы, при условии одинаковой наработки до отказа. Общие принципы резервирования В основе метода резервирования лежит очевидная идея за мены отказавшего элемента исправным, находящимся в ре зерве. Однако реализация этой идеи часто становится доста точно сложной, если необходимо обеспечить минимальное время перехода на резерв и минимальную стоимость обору дования при заданной вероятности безотказной работы в те чение определённого времени (наработки). В ЗАПИСНУЮ КНИЖК У ИНЖЕ Н Е РА