Technologia / Poradnik techniczny
Czujniki redundantne: głosowanie, zgodność i wspólne przyczyny
Kilka pomiarów może dostarczyć więcej informacji niż jeden, ale sama liczba czujników nie przesądza o wiarygodności sprzężenia zwrotnego. Głosowanie może przy określonych założeniach eliminować pojedynczą rozbieżność, podczas gdy wspólne usterki lub błędy systematyczne wpływają na każdy kanał. Zgodność i poprawność pozostają różnymi właściwościami.
Większość może być zgodna co do tej samej błędnej informacji.
Zanim zinterpretujesz redundancję jako odporność na uszkodzenia, poznaj reprezentowaną wielkość, założenia dotyczące niezależności i regułę decyzyjną.
01 / Porównywalne kanały
Redundancja wymaga przekazywania tej samej zamierzonej informacji.
Trzy wartości stanowią porównywalne obserwacje tylko wtedy, gdy odnoszą się do tej samej wielkości, granicy i podstawy czasowej.
Trzy wartości stanowią porównywalne obserwacje tylko wtedy, gdy odnoszą się do tej samej wielkości fizycznej, granicy układu i podstawy czasowej. Kąt silnika, kierunek ustawienia gondoli i orientacja zadana nie są trzema niezależnymi pomiarami tej samej fizycznej wielkości wyjściowej.
Kanały z opóźnieniem lub różnie filtrowane mogą podczas zmian dawać rozbieżne wskazania, mimo że żaden element nie jest uszkodzony. Poradnik dotyczący filtrowania. wyjaśnia ten efekt. Przed zastosowaniem reguły głosowania należy ustalić wiarygodność i znaczenie sygnału.
02 / Zasada decyzyjna
Głosowanie większościowe dla sygnałów binarnych i mediana sygnałów analogowych to różne metody.
Binarna reguła „dwa z trzech” przyjmuje stan zgłoszony przez co najmniej dwa kanały spełniające wymagania.
Binarna reguła „dwa z trzech” przyjmuje stan zgłoszony przez co najmniej dwa uprawnione kanały. Mediana analogowa wybiera wartość środkową w uporządkowanym zbiorze. Każda z nich jest określoną regułą matematyczną; żadna nie wskazuje automatycznie, który czujnik jest fizycznie poprawny.
Hipotetyczne odczyty skalarne: Wartości 40, 41 i 80 jednostek mają medianę 41 jednostek. Mediana ogranicza wpływ jednej wartości skrajnej w tym zbiorze. Bez wartości odniesienia lub uzasadnionych założeń dotyczących kanałów obliczenie nie może dowieść, że wartość 80 jest błędna ani że 41 jest równe wartości wielkości fizycznej.
03 / Niezależny model
Liczbowo określona korzyść z głosowania zależy od założeń.
Rozważ wymyślony model binarny, w którym każdy z trzech kanałów niezależnie zgłasza błędny stan z prawdopodobieństwem q = 0.10 dla jednej obserwacji.
Rozważ wymyślony model binarny, w którym każdy z trzech kanałów niezależnie wskazuje błędny stan z prawdopodobieństwem q = 0.10 dla jednej obserwacji. Wynik większościowy jest błędny, gdy błędne są dokładnie dwa lub wszystkie trzy wskazania: 3q²(1−q) + q³ = 0.028.
Wynik 2.8% dotyczy tego modelu niezależnych błędów o jednakowym prawdopodobieństwie. Nie jest to intensywność awarii na godzinę, wynik MARSTON ani deklaracja bezpieczeństwa systemu. Zmienia się, jeśli kanały mają wspólne przyczyny błędów, różne prawdopodobieństwa lub nie obserwują tego samego stanu.
04 / Wspólne przyczyny
Wspólne zależności mogą unieważnić model oparty na niezależności.
Wspólne zasilanie, środowisko, wpływ mocowania, błąd przetwarzania lub powielone obciążenie błędem kalibracji mogą oddziaływać jednocześnie na kilka kanałów.
Wspólne zasilanie, środowisko, wpływ mocowania, błąd przetwarzania lub powielony błąd systematyczny kalibracji mogą jednocześnie oddziaływać na kilka kanałów. Dodatkowe kanały nie usuwają zależności wspólnej dla wszystkich. Prawdopodobieństwa wystąpienia kilku błędów nie uzyskuje się wówczas przez mnożenie prawdopodobieństw zdarzeń niezależnych.
Projekt dokumentu NASA dotyczącego zarządzania uszkodzeniami podkreśla, że mechanizm tolerancji obejmuje określone klasy uszkodzeń, a nie każdą awarię. Korzyść z głosowania należy rozumieć w tym zakresie. Niejednorodne kanały mogą zmieniać zależności, ale także wprowadzać różne wielkości lub charakterystyki odpowiedzi.
05 / Granica diagnostyczna
Rozbieżność wskazań i lokalizacja uszkodzenia nie są tym samym.
Rozbieżność można wykryć bez jednoznacznego ustalenia jej przyczyny.
Rozbieżność można wykryć bez jednoznacznego ustalenia jej przyczyny. Dwa kanały dające zgodne wyniki mogą mieć wspólny błąd systematyczny, podczas gdy trzeci dostarcza lepszej obserwacji. Jeśli jeden kanał stanie się niedostępny, dostępne informacje i problem decyzyjny ponownie się zmienią.
Układ głosujący, komunikacja i wynikający z nich tor sterowania również są elementami systemu. Wiarygodne pojedyncze obserwacje nie przesądzają o niezawodnym wyborze ani zachowaniu elementu wykonawczego. poradnik reagowania na awarie odnosi się do pełnego, funkcjonalnego skutku.
06 / Zakres produktu
Liczba sensorów nie determinuje poziomu bezpieczeństwa.
Koncepcje te nie potwierdzają w przypadku MARSTON redundantnych czujników kierunku ustawienia, układu głosującego, logiki izolacji uszkodzeń ani alternatywnej ścieżki sprzężenia zwrotnego.
Koncepcje te nie potwierdzają w przypadku MARSTON redundantnych czujników kierunku ustawienia, układu głosowania, logiki izolacji usterek ani alternatywnej ścieżki sprzężenia zwrotnego. Idealne obliczenie prawdopodobieństwa nie może zastąpić właściwej oceny bezpieczeństwa funkcjonalnego ani potwierdzić poziomu SIL.
Przykłady nie podają progu głosowania, sposobu obejścia kanału, wstrzykiwania usterek ani procedury wykonywania połączeń elektrycznych. Ich celem jest wyjaśnienie, dlaczego wybraną regułę matematyczną i jej założenia dotyczące niezależności należy odróżniać od wdrożonego systemu sterowania.
Kontynuuj przegląd, korzystając z Sprzężenie zwrotne układu ustawiania gondoli względem wiatru: wartość zadana, pomiar i uchyb w pętli zamkniętej.
Kontynuuj przegląd, korzystając z Fail-Safe i Fail-Operational: koncepcje sterowania turbiną wiatrową.
Kontynuuj przegląd, korzystając z Czujniki wiatru: rozdzielczość, powtarzalność i histereza.
Informacje ogólne: Projekt podręcznika NASA dotyczącego zarządzania uszkodzeniami: terminologia tolerancji na uszkodzenia i reagowania na nie. Źródła wyjaśniają koncepcje branżowe; są odrębne od właściwych dokumentów produktów i projektów MARSTON.
Kluczowe pojęcia i warunki.
Odczytuj każdą wielkość wraz z odniesieniem, jednostkami i podanymi warunkami. Ogólna zależność nie ustala wartości właściwej modelowi.
| Pojęcie / wielkość | Znaczenie / zależność | Warunki / ograniczenia |
|---|---|---|
| Porównywalność kanałów | Wielkość, lokalizacja i reprezentowany czas | Różne sygnały nie muszą stanowić obserwacji redundantnych. |
| Głosowanie binarne | Dwa kwalifikujące się zgodne stany spośród trzech | Zasada decyzyjna różni się od rzeczywistości fizycznej. |
| Mediana | Środkowy odczyt skalarny po uporządkowaniu | Ogranicza wartość skrajną, ale nie diagnozuje jej przyczyny. |
| Prawdopodobieństwo przy założeniu niezależności | 3q²(1−q)+q³ | Zakłada się niezależne błędy binarne o jednakowym rozkładzie. |
| Wspólna przyczyna | Wspólne oddziaływania na kilka kanałów | Mnożenie prawdopodobieństw przy założeniu niezależności może zawodzić. |
Pytania techniczne.
Czy trzy czujniki automatycznie dowodzą prawidłowego sprzężenia zwrotnego?
Nie. Znaczenie mają porównywalność, poprawność i wspólne zależności.
Czy mediana 41 dowodzi, że kanał wskazujący 80 jednostek uległ awarii?
Nie. Same wymyślone odczyty nie pozwalają ustalić rzeczywistego stanu fizycznego.
Czy 2.8% to prawdopodobieństwo awarii produktu?
Nie. Dotyczy to wyłącznie podanego idealnego modelu obserwacji binarnej.
Czy głosowanie eliminuje wspólny błąd systematyczny?
Nie automatycznie. Kilka kanałów może wskazywać tę samą wartość obciążoną błędem systematycznym.
Czy liczba redundantnych elementów określa SIL?
Nie. Poziom bezpieczeństwa wymaga odrębnej, odpowiedniej oceny.
Czy określono tu redundantne czujniki MARSTON?
Nie określono rzeczywistej liczby czujników ani implementacji logiki głosowania.
Zapytanie techniczne
Omów zagadnienie techniczne.
Kilka pomiarów może dostarczyć więcej informacji niż jeden, ale sama liczba czujników nie potwierdza wiarygodności sprzężenia zwrotnego. Podaj model oraz mające zastosowanie informacje eksploatacyjne lub projektowe do dyskusji technicznej.