Среднее время до опасного отказа

Среднее время до опасного отказа (англ. Mean Time to Dangerous Failure, MTTFD) — это показатель надёжности системы, оборудования или компонента, определяющий среднее время наработки до возникновения отказа, который может привести к опасной ситуации для людей, окружающей среды или имущества. Данный термин широко применяется в области функциональной безопасности, в частности, при проектировании и оценке систем управления, связанных с безопасностью (Safety Instrumented Systems, SIS), а также в машиностроении, химической, нефтегазовой и атомной промышленности. MTTFD является ключевым параметром для определения уровня полноты безопасности (Safety Integrity Level, SIL) согласно международным стандартам, таким как IEC 61508 и IEC 62061.

История и развитие понятия

Понятие «среднее время до опасного отказа» возникло в середине XX века в связи с развитием теории надёжности и систем автоматизации. Первоначально инженеры использовали общий показатель среднего времени наработки на отказ (Mean Time Between Failures, MTBF), который учитывал все типы отказов без разделения на опасные и безопасные. Однако в 1970-х годах, после ряда крупных аварий на промышленных объектах (например, взрыв на химическом заводе в Фликсборо, Великобритания, 1974 год), стало очевидно, что для систем безопасности необходимо различать отказы, ведущие к потере функции защиты, и отказы, которые не влияют на безопасность или приводят к ложным срабатываниям.

В 1990-х годах Международная электротехническая комиссия (IEC) разработала стандарт IEC 61508 «Функциональная безопасность электрических, электронных, программируемых электронных систем, связанных с безопасностью», который ввёл формальное определение MTTFD. Впоследствии этот показатель был адаптирован в отраслевых стандартах, таких как IEC 61511 (нефтегазовая и химическая промышленность), IEC 62061 (машиностроение) и ГОСТ Р МЭК 61508 (Россия). В Российской Федерации требования к MTTFD регулируются также национальными стандартами, например, ГОСТ Р 53195.1-2008 «Безопасность функциональная связанных с безопасностью систем».

Определение и математическая основа

Среднее время до опасного отказа — это математическое ожидание времени работы системы до наступления отказа, классифицированного как опасный. В отличие от MTBF, который учитывает все отказы, MTTFD фокусируется только на тех событиях, которые могут непосредственно угрожать безопасности.

Математически MTTFD вычисляется как интеграл функции надёжности для опасных отказов:

\[ MTTFD = \int_{0}^{\infty} R_d(t) \, dt \]

где \( R_d(t) \) — вероятность отсутствия опасного отказа за время \( t \). На практике для упрощения расчётов часто используется экспоненциальная модель распределения времени до отказа, при которой MTTFD обратно пропорционален интенсивности опасных отказов \( \lambda_d \):

\[ MTTFD = \frac{1}{\lambda_d} \]

Однако для сложных систем с резервированием и диагностикой применяются более сложные модели, учитывающие общие причины отказов, периоды тестирования и восстановления.

Классификация отказов

В рамках анализа функциональной безопасности все отказы делятся на два основных типа:

• Опасный отказ (Dangerous Failure, D) — отказ, который приводит к потере способности системы выполнять функцию безопасности. Например, отказ датчика давления, из-за которого система аварийной остановки не срабатывает при превышении давления.
• Безопасный отказ (Safe Failure, S) — отказ, который не влияет на функцию безопасности или приводит к ложному срабатыванию (например, отказ клапана, вызывающий его закрытие без реальной угрозы).

Опасные отказы, в свою очередь, подразделяются на:

• Обнаруживаемые опасные отказы (Dangerous Detected, DD) — выявляются встроенной диагностикой системы.
• Необнаруживаемые опасные отказы (Dangerous Undetected, DU) — не выявляются диагностикой и могут оставаться скрытыми до момента, когда система потребуется для работы.

Именно DU-отказы представляют наибольшую угрозу, так как они снижают фактическую надёжность системы без внешних признаков. MTTFD в первую очередь учитывает DU-отказы, так как DD-отказы обычно приводят к немедленному переводу системы в безопасное состояние.

Применение в оценке уровней полноты безопасности

MTTFD является одним из трёх основных параметров, используемых для определения уровня полноты безопасности (SIL) наряду с коэффициентом охвата диагностики (Diagnostic Coverage, DC) и устойчивостью к отказам аппаратных средств (Hardware Fault Tolerance, HFT). В стандарте IEC 61508 установлены следующие диапазоны MTTFD для каждого SIL:

Для SIL 4, который применяется в критически важных системах (например, в атомной энергетике), требуется MTTFD не менее 1000 лет, что достигается за счёт многократного резервирования и высокой диагностики. В России требования к SIL для различных отраслей устанавливаются профильными нормативными документами, например, для нефтегазового сектора — ГОСТ Р 58392-2019.

Факторы, влияющие на MTTFD

На величину MTTFD влияют следующие факторы:

• Конструкция компонентов — качество материалов, степень интеграции, наличие резервирования.
• Диагностические возможности — чем выше коэффициент охвата диагностики (DC), тем больше DU-отказов переводится в DD, что увеличивает MTTFD.
• Периодичность тестирования — регулярные функциональные проверки позволяют выявлять скрытые DU-отказы и сокращать время их существования.
• Условия эксплуатации — температура, вибрация, агрессивные среды, уровень радиации.
• Человеческий фактор — ошибки при монтаже, настройке или обслуживании могут снижать MTTFD.

Методы расчёта

Для расчёта MTTFD используются несколько подходов:

• Анализ видов, последствий и критичности отказов (FMEA/FMECA) — качественный метод, позволяющий идентифицировать опасные отказы и оценить их интенсивность.
• Дерево отказов (Fault Tree Analysis, FTA) — количественный метод, моделирующий логические комбинации событий, приводящих к опасному отказу.
• Марковские модели — применяются для систем с резервированием и периодическим тестированием, позволяют учитывать временные зависимости.
• Метод блок-схем надёжности (Reliability Block Diagrams, RBD) — используется для систем с последовательно-параллельным соединением элементов.

В России для расчётов MTTFD часто применяют методики, изложенные в ГОСТ Р 51901.14-2010 «Менеджмент риска. Структурная схема надёжности и булевы методы» и ГОСТ Р 27.301-2011 «Надёжность в технике. Расчёт надёжности. Основные положения».

Критика и ограничения

Несмотря на широкое распространение, показатель MTTFD имеет ряд ограничений:

• Экспоненциальное допущение — модель предполагает постоянную интенсивность отказов, что не всегда соответствует реальности (например, для механических компонентов с износом).
• Игнорирование систематических отказов — MTTFD учитывает только случайные аппаратные отказы, но не ошибки проектирования или программного обеспечения.
• Сложность верификации — для сложных систем с резервированием расчёт MTTFD требует точных данных о диагностике и тестировании, которые не всегда доступны.
• Культурные различия — в некоторых отраслях (например, в авиации) предпочитают использовать другие показатели, такие как вероятность отказа по требованию (Probability of Failure on Demand, PFD).

В Российской Федерации при оценке функциональной безопасности также учитывают национальные особенности, в частности, требования к обязательной сертификации средств измерений и систем управления, что может влиять на методики расчёта MTTFD.

Интересные факты

• В стандарте IEC 61508 MTTFD для SIL 3 составляет от 100 до 1000 лет, что означает, что система должна работать без опасного отказа в среднем не менее века. На практике это достигается резервированием и регулярным тестированием.
• Понятие MTTFD тесно связано с вероятностью отказа по требованию (PFD): чем выше MTTFD, тем ниже PFD при прочих равных условиях.
• В атомной энергетике России для реакторов типа ВВЭР требования к MTTFD систем безопасности могут превышать 10 000 лет, что обеспечивается многократным резервированием (до четырёх каналов).

Источники

• IEC 61508:2010 «Functional safety of electrical/electronic/programmable electronic safety-related systems».
• IEC 62061:2021 «Safety of machinery — Functional safety of safety-related control systems».
• ГОСТ Р МЭК 61508-1-2012 «Функциональная безопасность электрических, электронных, программируемых электронных систем, связанных с безопасностью».
• ГОСТ Р 53195.1-2008 «Безопасность функциональная связанных с безопасностью систем».
• ГОСТ Р 27.301-2011 «Надёжность в технике. Расчёт надёжности. Основные положения».
• Smith, D. J. (2017). Reliability, Maintainability and Risk: Practical Methods for Engineers. Butterworth-Heinemann.