Bilgiseller / Risk analizi yöntemleri
Emniyet fonksiyonlarında oylama: 1oo2, 2oo3 ve bozulmuş çalışma durumu
Oylayıcı doğruluk tablosunu okuyun, tehlikeli ve gereksiz tetikleme ölçütlerini türetin; bir kanal yokken hangi mantığın kaldığını belirleyin.
Bu sayfada
Mimari etiketi bir oylama kuralını anlatır; tek başına bütün emniyet iddiasını oluşturmaz. Bu örnek ikili doğruluk tablolarıyla başlar, talep olan ve olmayan koşulları ayırır, ardından onaylı bozulmuş durum için iki farklı olasılığı inceler. Bir kanalın çıkarılmasının kalan korumayı neden kendiliğinden belirlemediğini gösterir.
Oyun ne anlama geldiğini tanımlayın
Her kanal çıkışı açma talebi için bir, açma oyu yokken sıfır olsun. kooN oylayıcı, N kanalın en az k tanesi açma oyu verdiğinde harekete geçer. Bu kabul açık yazılmalıdır: saha sinyali emniyet için enerjili veya enerjisiz olabilir; elektriksel bit burada kullanılan mantıksal oyla kendiliğinden aynı değildir. Sinyal yönü ile mantıksal anlamı karıştırmak tabloyu ters yorumlatabilir.
Modelde proses koşulu önceden gerçek talep veya talep yok biçiminde sınıflandırılır. Oylayıcı kusursuz ve anlıktır. Sensörler bu koşul altında bağımsız, aynı dağılımlı ikili sonuçlar verir. Haberleşme, mantık donanımı ve son elemanlar sayısal ölçütten dışlanmıştır. Bu sınırlar, bütün emniyet fonksiyonunun aynı başarısızlık olasılığına sahip olduğunu iddia etmeden matematiğin yalnız oylamayı incelemesini sağlar.
İki kanallı doğruluk tablosunu okuyun
Tablo olası bütün mantıksal oy çiftlerini listeler. 1oo2 için iki kanaldan herhangi biri yeterlidir; 2oo2 için ikisi de oy vermelidir. Fark karışık satırlarda ortaya çıkar. Bu nedenle yalnız uyum, inceleyene hangi tasarımın daha emniyetli olduğunu söyleyemez: doğru karar, gerçek talep bulunup bulunmadığına ve gerekli emniyet fonksiyonuna bağlıdır; aynı mantık iki hata türünü farklı etkiler.
| A | B | 1oo2 | 2oo2 |
|---|---|---|---|
| 0 | 0 | 0 | 0 |
| 0 | 1 | 1 | 0 |
| 1 | 0 | 1 | 0 |
| 1 | 1 | 1 | 1 |
Gerçek talepte karışık satır, bir kanalın oy veremediği anlamına gelir. 1oo2 oylayıcı yine harekete geçer; 2oo2 geçmez. Talep yokken aynı karışık satır bir yanlış oyu gösterir: 1oo2 gereksiz harekete geçerken 2oo2 geçmez. Bitler değişmemiştir; emniyet açısından yorumları, değerlendirildikleri fiziksel koşula göre değişir. Başarı, doğru fiziksel koşula göre tanımlanmalıdır.
Üç kanallı çoğunluk tablosunu okuyun
2oo3 oylayıcı en az iki açma oyu gerektirir. Birlerin çoğunlukta olduğu her birleşimi kabul eder; sıfırların çoğunlukta olduğu her birleşimi reddeder. Böylece gerçek talepte bir eksik oya dayanır ve talep yokken bir yanlış oyu reddeder. Bu ifade oylayıcının oyları doğru aldığı varsayımına dayanır; sinyalin doğru taşınması veya son eylemin gerçekleşmesi tablodan çıkmaz.
| A | B | C | 2oo3 |
|---|---|---|---|
| 0 | 0 | 0 | 0 |
| 0 | 0 | 1 | 0 |
| 0 | 1 | 0 | 0 |
| 0 | 1 | 1 | 1 |
| 1 | 0 | 0 | 0 |
| 1 | 0 | 1 | 1 |
| 1 | 1 | 0 | 1 |
| 1 | 1 | 1 | 1 |
HSE, sensör oylamasını donanım hata toleransı önlemi olarak açıklar ve destek elemanlarını emniyetle ilgili sınıra dahil eder. Çoğunluk tablosu bu sınır içindeki mantık tanımından ibarettir. Ortak sensör girdisi, kayıp besleme, arızalı oylayıcı veya başarısız son eleman, soyut tablo tümüyle doğru olsa bile işlevi kaybettirebilir; bu yolların ayrıca temsil edilmesi gerekir.
Gerçek talepte tehlikeli başarısızlığı türetin
Her kanalın gerçek talepte oy verememe olasılığı q = 0,02 olsun. 1oo2 için ikisi de başarısız olmalıdır; q² = 0,0004 elde edilir. 2oo2 için kanallardan birinin başarısızlığı yeterlidir: 1 − (1 − q)² = 2q − q² = 0,0396. Olasılıklar aynı tanımlı kanal topluluğu ve talep koşullarıyla ilgilidir; farklı veri kümelerini karşılaştırmaz.
2oo3 için tam iki başarısız kanal ile üçünün de başarısızlığını sayın: 3q²(1 − q) + q³ = 3q² − 2q³ = 0,001184. 1oo1 referansının tehlikeli başarısızlık olasılığı 0,02’dir. Karşılaştırma koşullu Boole ölçütüdür; ortalama kanıtlama testi hesabı değildir. Test aralığı, onarım süresi, tanılama kapsamı veya arıza hızı dönüşümü varsayılmamıştır; bunlar ayrı model gerektirir.
Talep yokken yanlış tetiklemeyi hesaplayın
Şimdi her kanalın belirli bir talep-yok gözleminde yanlış açma oyu verme olasılığı s = 0,01 olsun. 1oo2 yanlış tetikleme olasılığı 1 − (1 − s)² = 0,0199’dur. 2oo2 değeri s² = 0,0001 olur. 2oo3 için aynı çoğunluk sayımı 3s²(1 − s) + s³ = 0,000298 verir. 1oo1 referansı 0,01’dir.
Bunlar tanımlı gözlem anındaki olasılıklardır; saat başına gereksiz açma hızları değildir. Duruş süresine veya yıllık açma sayısına dönüşüm; zamansal model, devamlılık ve sıfırlama kuralları ile onarım davranışı gerektirir. Ayrıca q ile s farklı fiziksel durumlara koşulludur; toplamlarının bir olması gerekmez. İkisi de hatalı kanal çıkışını anlatsa bile birbirinin yerine kullanılamaz; paydaları ve gözlem koşulları farklıdır.
Gerçekte kalan bozulmuş mantığı belirleyin
Normal çoğunluk düzeninin bir kanalının kullanılamadığını varsayın. Onaylı tasarım, kalan kanallar üzerinde bozulmuş 1oo2 kuralı tanımlayabilir; farklı onaylı tasarım 2oo2 tanımlayabilir. Bunlar emniyet gereksinimlerinden ve doğrulanmış uygulamadan belirlenmesi gereken alternatiflerdir; bu yazıdan seçilecek ayarlar değildir. Kanal adının çıkarılması karışık oy satırlarının sonucunu belirlemez; kalan eşik ayrıca tanımlanmalıdır.
İlk alternatifte bağımsız ölçütler tehlikeli başarısızlık için 0,0004, yanlış tetikleme için 0,0199’dur. İkincide 0,0396 ve 0,0001 olur. Bu karşıt sonuçlar, yalnız “bir kanal kullanılamıyor” diyen kaydın neden eksik olduğunu açıklar. Analiz etkin kanalların kimliğini, oylama eşiğini, tanılamanın işlenişini, son eylemi ve bu duruma hangi koşullarda izin verildiğini korumalıdır; belirsiz mimari adıyla yetinmemelidir.
Bozulmuş işletmeyi yönetilen durum olarak ele alın
HSE/OMAR denetim kılavuzu, koruma devre dışı bırakmalarının yönetimini ve değerlendirmesini ele alır. Bu bağlam burada köprüleme yetkisi vermez. Analistin mevcut onaylı bozulmuş durum tanımına, risk değerlendirmesine ve uygulanan mantığın ona uyduğunun kanıtına ihtiyacı vardır. Bunlar eksikse kalan mimari, en elverişli etiket varsayılmak yerine çözümlenmemiş olarak tutulur; çalışma izni çıkarılamaz.
Durum tanımı giriş, süre, geri yükleme ve eşzamanlı kullanılamazlık varsayımlarını da gerektirir. Özellikle kanal kaybının nedeni prosesi de etkiliyorsa, o durumdaki talep olasılığı normal işletmeden farklı olabilir. Durumda bulunma payı ancak koşullu talep maruziyeti ve koruma davranışı tutarlı temsil edildiğinde risk modelini ağırlıklandırabilir. Normal kipin nominal hesabı bu eksik olguları kapsamaz; zaman payı talep payıyla otomatik eşitlenemez.
Bağımlılıkları ve son eylemi yeniden ekleyin
Koşullu bağımsızlık ölçüt varsayımıdır; birkaç sensöre sahip olmanın sonucu değildir. Ortak impuls yolu, çevresel maruziyet, ortak bakım hatası veya sistematik arıza oyları ilişkili kılabilir. Bu koşullarda marjinal kanal olasılığından q² hesaplamak ortak başarısızlığı ciddi biçimde düşük gösterebilir. Alışkanlıkla bağımsızlık uygulamak yerine açık ortak olaylar veya gerekçelendirilmiş ortak dağılım kullanın; korelasyonun fiziksel kaynağını görünür tutun.
Son aktüatör ve mantık çözücü, sensör yedekliliğinden yararlanmayan arıza yolları ekleyebilir. Ortak son eleman gerekli eylemi gerçekleştiremiyorsa doğru çoğunluk oyu yetersizdir. Sensör, iletim, oylayıcı, çıkış ve proses tepkisi sınırlarını ayrı tutun; ardından bağımlılıklarıyla birleştirin. Ortak arızayı hem kanal verisinin içinde hem ayrı olay olarak saymaktan kaçının; veri sınırı modeldeki sınırla eşleşmelidir.
Tanımı bütün birleşimlerle doğrulayın
Küçük ikili oylayıcı için bütün birleşimleri tek tek saymak kolay ve bağımsız denetlenebilirdir. Tüm girdi birleşimlerini üretin, tanımlı koşulda olasılıklarını hesaplayın, doğruluk tablosunu uygulayın ve yanlış çıkış olasılıklarını toplayın. Girdi kütlelerinin bire toplandığını denetleyin. Bu yaklaşım, polinomu beklenen cevap olarak testin içine taşımadan polinom hesabını doğrular; ayrı hata yakalama yolu oluşturur.
Gerçek tanım uygulanırken doğrulamayı statik satırların ötesine genişletin: eski veya geçersiz sinyaller, zaman farkları, kilitleme, sıfırlama, tanılama ve durum geçişleri önemli olabilir. Doğru soyut oy, proses emniyet süresi açısından yine geç ulaşabilir. Bu davranışlar kendi gereklerini ve testlerini gerektirir; makale sahada müdahale, ayar sırası veya bir kanalı etkisizleştirme talimatı sağlamaz.
İki hata ölçüsünü ve kesin sınırı raporlayın
HSE, işlevsel emniyeti gerekli fonksiyon ve yaşam döngüsü üzerinden çerçeveler. Bu nedenle işlev, talep varsayımları ve destek kanıtı olmadan mimari adı raporlamak temel bağlamı eksik bırakır. Sayısal sonuçların hiçbiri SIL belgelemez veya seçilen mimarinin tesis gereklerini karşıladığını göstermez. Rastgele hata aritmetiği sistematik yeterliliği ya da yaşam döngüsü uygunluğunu kanıtlamaz; iddiaların sınırı korunmalıdır.
İki doğruluk tablosunu, tehlikeli başarısızlık ve talep-yok ölçütlerini, onaylı bozulmuş kural referansını ve dışlanan arıza yollarını birlikte saklayın. Kullanışlı sonuç koşulludur: oylama hangi birleşimlerin önemli olduğunu değiştirir; bozulmuş işletme de mantığı yalnız kendi tanımı ölçüsünde değiştirir. İnceleyen kişi her girdi satırının çıktısını ve o çıktının hangi fiziksel koşullarda doğru olduğunu yeniden kurabilmelidir.