ГОСТ Р МЭК 61508-6-2012
одного большего порядка при наблюдении за одной явной причиной, которая не могла
быть определена во время анализа безопасности, то, следовательно, вероятность
множественных отказов уменьшается с увеличением порядка CCF. Поэтому, если
модель/3-фактораявляетсяреалистичнойдлядвойногоотказаинемного
пессимистичной для тройного, то для четырехкратного отказа и дальше она становится
уж слишком консервативной. Рассмотрим типичный пример инструментальной системы
безопасности, которая закрывает п скважин (например, п » 150) на нефтяном
месторождении, когда происходит блокировка выхода. Конечно, 2, 3 или 4 скважины
могут не закрыться из-за неявного CCF, но не п, как было смоделировано по /3-фактору
(иначе CCF будет явным и должны анализироваться отдельные отказы). Другой
типичный пример возникает при работе с несколькими слоями безопасности в одно и то
же время. Рассмотрение, например, возможных CCF между датчиками двух слоев
безопасности может означать рассмотрение CCF между шестью датчиками (т.е. тремя
датчиками на каждый слой).
Чтобы справиться с этой трудностью, было предложено несколько моделей [4], но
большинство из них требуют достаточно много параметров надежности (например,
множественные греческие буквы или a-модели), что становятся нереальными. Среди
них биномиальная интенсивность отказов (шоковая модель), введенная в 1977 году
Весели (Vesely) и улучшенная в 1986 Этвудом (Atwood), предусматривает более
прагматичное решение [4, 6]. Идея в том, что когда происходит CCF, это похоже на удар
по связанным компонентам. Этот удар может быть летальным (т.е. такое же влияние, как
и в модели /3-фактора) или нелетальным, и в этом случае есть только определенная
вероятность, что данный компонент откажет из-за удара. Тогда вероятность того, что из-
за удара будет получено к отказов, распределена биномиально.
Данной модели требуется, чтобы были определены только три параметра:
- ш интенсивность летальных ударов;
- р интенсивность нелетальных ударов;
- уусловнаявероятностьотказауказанногокомпонента,получившего
нелетальный удар.
На рисунке D.2 приведен пример реализации данного метода при использовании
дерева отказов.
125