يُعدّ PESSRAL تطبيقًا مُختصرًا لمعيار IEC 61508 المُدمج في معيار EN 81، حيث يُغفل الحسابات الأساسية، وتحليلات المخاطر الرسمية، ومتطلبات القدرات المنهجية، وفترات اختبار التحقق، مما يُتيح تصميمات أمان للمصاعد غير آمنة رياضيًا. من خلال فرض قناتين دون تحديد نطاق التردد الآمن (SFF)، أو تعريف الطلب، أو تخفيف أسباب الأعطال المشتركة، يُمكن لمعيار EN 81-20/50 فرض بنى زائدة ولكنها مترابطة تُضخّم حالات الفشل الناتجة عن أسباب مشتركة. يغيب التشخيص المطلوب، وحسابات معدل الفشل، واستراتيجيات الاختبار المُخصصة، مما قد يؤدي إلى تراكم نقاط ضعف المكونات والأعطال غير المكتشفة. على الرغم من عدم الإبلاغ عن أي حوادث كبيرة حتى الآن، إلا أن غياب التحليل والحساب والاختبار الإلزامي يعني عدم إمكانية ضمان السلامة. هناك حاجة إلى مراجعة سريعة لمعيار EN 81-20 لاستعادة البنية الأساسية للسلامة وفقًا لمعيار IEC.
تداعيات أمان مهمة في تطبيقات المعايير الأوروبية
تم تقديم هذه الورقة في 
مدريد 2016 ، المؤتمر الدولي لتقنيات النقل العمودي ، ونشر لأول مرة في كتاب IAEE تكنولوجيا المصاعد 21، الذي حرره A. Lustig. إنها إعادة طبع بإذن من الرابطة الدولية لمهندسي المصاعد (موقع الكتروني: www.elevcon.com).
صناعة المصاعد قديمة جدًا في مجال السلامة الكهربائية / الإلكترونية / الإلكترونية القابلة للبرمجة (E / E / PE): لقد استخدمت سلسلة الأمان الكهربائية لأكثر من 30 عامًا. ومع ذلك ، منذ تعديل EN 81-1 / 2 A1: 2005 ، يسمح المعيار باستخدام الإلكترونيات القابلة للبرمجة لأنظمة الأمان (PESS). أيضًا ، عندما قررت لجنة الكود تنفيذ مجموعة فرعية من المعيار الرائد (IEC 61508) في EN 81 لتقليل الصعوبة وزيادة سرعة التنفيذ ، ولدت الأنظمة الإلكترونية القابلة للبرمجة في التطبيقات المتعلقة بالسلامة للمصاعد (PESSRAL). ومع ذلك ، نظرًا لقطف الكرز وتخطي الأساسيات ، فإن الرمز القديم وحتى الأحدث (EN 81-20 / 50) يجعل من الممكن إنشاء أنظمة غير آمنة. أين المخاطر المحتملة؟
نورم الرائدة
تتكون IEC 61508 نفسها من سبع قطع مختلفة بإجمالي يزيد عن 500 صفحة. يصف المسار الكامل الذي يجب اتباعه عند إنشاء جهاز أمان E / E / PE. يحتوي على حسابات وافتراضات واستراتيجيات تصميم وتحليلات للمخاطر وأوصاف لنظم الجودة. ينتج عنه مستوى سلامة السلامة (SIL) ، وهو رقم حسابي يعبر عن سلامة النظام. كل هذه الوثائق ضرورية لتنتهي في نظام آمن. في المقابل ، تستخدم EN 81-20 / 50 11 صفحة وتدعي أنها حزمة كاملة.
القدرة المنهجية
تم وصف تدفق العملية بالكامل لصنع PESS في جزء منفصل من المعيار 61508-1. من خلال طريقة واضحة للعمل وإدارة المشروع ، نحاول تقليل حالات الفشل المنهجية في النظام. هناك مطالب واضحة ، وهذا يؤدي إلى قيمة القدرة المنهجية (SC). التقنيات التي يمكن استخدامها هي ، على سبيل المثال ، إدارة المشروع ، والتوثيق ، والتصميم المهيكل ، والنمذجة ، وكذلك SC ، حيث أن هذه التقنيات غير مطلوبة أو موصوفة في EN 81-20. يمكن أن تحتوي المشاريع بدون إدارة مناسبة على أخطاء كبيرة ، ومن الصعب اكتشافها.
تحليلات المخاطر
بالنسبة لبرامج السلامة ، يتم استخدام SIL لقياس السلامة. إنه رقم رياضي يعبر عن سلامة النظام. على سبيل المثال: SIL 3 لديه فرصة متوسطة للفشل بين 10-9 و 10-8 أو 10-5 إلى 10-4 ساعة ، حسب السعر المطلوب. عادة ، يجب عليك إجراء تحليلات للمخاطر من أجل تحديد معدل SIL المطلوب. لقد أجرى EN 81-1 / 2 + A3 و EN 81-20 / 50 بالفعل تحليل المخاطر هذا فيه وطلب تصنيفات SIL. بهذه الطريقة ، لا توجد حاجة لتحليل المخاطر ، مما يخلق التوحيد في أنظمة المنافسين. ومع ذلك ، فإن تحليل المخاطر يعطي نظرة ثاقبة للمشروع ويؤثر على التصميم. هذا إلزامي في إجراء IEC 61508 ، ولكن ليس في EN 81-1 / 2 و EN 81-20.
الحساب هو الأساس النظري ؛ إنه يعطي نظرة ثاقبة على أضعف نقاط النظام ويثبت أن النظام آمن بما فيه الكفاية.
الطلب
لذا ، يتوفر مستوى SIL ، لكن ليس من الواضح بالمعيار ما إذا كنا نعمل في ارتفاع أو انخفاض الطلب. ومع ذلك ، فإن الفرق في معدل الطلب بينهما هو بالضبط عامل 10.000 فشل / ساعة. يتم شرح انخفاض الطلب في المواصفة IEC 61508-4 على أنه "حيث يتم تنفيذ وظيفة السلامة عند الطلب فقط ، من أجل نقل المعدات الخاضعة للتحكم (EUC) إلى حالة آمنة محددة ، وحيث لا يزيد تكرار الطلبات عن واحد لكل عام." بالنسبة للمصعد ، لا نستخدم حاكم السرعة الزائدة أكثر من مرة في السنة ، فهل هو إذن انخفاض الطلب؟ من الضروري معرفة ذلك ، لأنه يعطي فرقًا في الأمان المحسوب بمعامل 10.000. ليس من السهل تعيينها في المعيار. ومع ذلك ، تنص المواصفة IEC-62061 على أن الآلات ستلبي طلبًا مرتفعًا. تتبع معظم المنظمات المعتمدة هذا الدليل الإرشادي. لسوء الحظ ، لم يتم تعيينه بوضوح في EN 81-20.
كسر الفشل الآمن
عند بناء نظام SIL 3 ، فإن الجداول ذات الصلة في EN 81-1 / 2 + A3 و EN 81-50 تنص على نظام مزدوج القناة. الفكرة الرئيسية لهذا هي "عندما تفشل إحدى القنوات ، فإن القناة الأخرى ستضع النظام في حالة آمنة." IEC 61508 لها نفس المبادئ ، ولكن هناك بعض التناقضات الرئيسية. تصف المواصفة القياسية IEC 61508 نموذج كسر الفشل الآمن (SFF): جزء الفشل الآمن والخطير. بالنسبة للمكونات التي لا يمكن توقع وضع الفشل فيها (مثل وحدات المعالجة المركزية والأنظمة المعقدة الأخرى) ، يتم تعيين المتطلبات أعلى. هنا ، تعمل برامج التشخيص أيضًا على زيادة SFF. نظرًا لحقيقة أن EN 81-20 / 50 يتطلب نظامًا ثنائي القناة لـ SIL 3 ، فإنه يستبعد استخدام نظام قناة واحدة آمن تمامًا (SFF = 100٪) ويجعل من الممكن إنشاء نظام غير آمن من الفشل ( SFF <90٪) نظام. إذا كان كل خطأ محتمل في قناة خطيرًا بشكل مباشر (SFF = 0٪) ، وإذا ظل الخطأ غير مكتشف ، فإن الخطأ الثاني يتسبب في نظام غير آمن. بهذه الطريقة ، يمكن أن تكون حلول PESSRAL أقل أمانًا من تحليلات شجرة الأخطاء الموجودة في EN 81-20.
سبب مشترك
بسبب عدم إجراء تحليل للمخاطر والطلب على قناتين لـ SIL 3 ، تحدث صعوبة جديدة. من خلال المطالبة بقناتين دون مزيد من المواصفات ، يصبح من الممكن بناء قناتين متطابقتين. تعرض هذه القنوات المتطابقة خطر الفشل في نفس الوقت بسبب نفس الخطأ (سبب شائع). الأخطاء النموذجية هي جهد إمداد طفيف إلى منخفض جدًا أو أخطاء في التصميم داخل وحدة المعالجة المركزية أو درجة الحرارة. عند العمل مع قنوات متعددة ، فإن أخطاء السبب المشترك هي الجزء الأكبر من الإجمالي.
يمكنك مقارنتها بإلقاء النرد. إذا كنت ستخسر برمي واحدة ، فإن فرصتك في الخسارة هي بالضبط واحد من كل ستة. لتقليل فرصة الخسارة ، يمكنك إضافة نرد آخر. الآن ، أنت بحاجة إلى اثنين لتخسر اللعبة. عند حساب فرصة الخسارة نستخدم: 1/6 * 1/6 = 1/36.
الآن ، نقدم خطأ السبب المشترك في هذا "النظام" ، وهو خطأ يؤثر على كلتا القناتين (حجر النرد). نظرًا لحقيقة أن الرقم "6" ممثل على الجانب الآخر من القالب ، ولطلاء ست نقاط ، نحتاج إلى طلاء أكثر قليلاً. يعني المزيد من الطلاء أيضًا وزنًا أكبر ، ويعطي جانبان متعاكسان في قالب نرد دائمًا إجمالي سبعة. بسبب هذا التصميم الخاطئ ، فإن فرصة رمي واحدة أكبر من فرصة رمي أرقام أخرى. فرصة التوليفة المزدوجة أكبر أيضًا من فرصة التوليفة المزدوجة الأخرى. إذا كانت لدي فرصة أكبر بنسبة 5٪ لإلقاء اثنين ، فإن النظام يكون أقل أمانًا بنسبة 5٪ من 1/36: نحتاج إلى إضافة 1/120 إلى 1/36.
بالنسبة لهذا النظام ، يكون التأثير ضئيلًا نسبيًا. ومع ذلك ، فإن فرصة خطأ قناة PESS أصغر بكثير: على سبيل المثال ، 10-9. عند إجراء نفس العمليات الحسابية ، يحتوي النظام ثنائي القناة على 10-9 * 10^ -9 = 10^ -18 فرصة للفشل. الآن ، نضيف السبب المشترك 5٪: 5 * 10-11. يمكننا أن نرى بوضوح أن جزء السبب المشترك أكبر بكثير من أخطاء القناة الواحدة. إذا كانت لدينا فرص فشل أقل في القنوات ، فسيصبح السبب المشترك أكثر أهمية ويكون الجزء المهيمن في حسابات الأمان ، فضلاً عن الأمان الحقيقي. EN 81 لا يعالج هذه المشكلة ؛ لم يتم وصف أو حساب أي تقنيات لتجنب السبب المشترك.
تقنيات التشخيص
يختار الكرز EN 81-20 عددًا من التقنيات ويذكرها على أنها إلزامية. ليست هناك حاجة لحساب بعد الآن. (تنص المواصفة EN 81-50 على أن المواصفة IEC 61508-6 ، التي تشرح الحسابات ، ليست ضرورية للفهم.) تقدم المواصفة القياسية IEC 61508 عددًا كبيرًا من الخيارات ؛ يمكن اختيار أنسب تقنية للنظام. يمكن أن يحدث أن يتم طلب تقنيات غير ملائمة تمامًا ، حيث تكون التقنيات الأخرى أكثر فائدة. على سبيل المثال: لا توجد طلبات لأجهزة الاستشعار في معيار الرفع ، ولكن عندما نستخدم جهازًا منطقيًا معقدًا قابل للبرمجة (CLPD) ، لا تزال هناك طلبات لفحص ذاكرة الوصول العشوائي والمراقبة ؛ هذا ليس صحيحًا ، وفقًا لـ IEC 61508. هنا ، لا يمكننا التحقق مما إذا كانت تشخيصاتنا جيدة بما يكفي. عادةً ما يكون للتغطية التشخيصية (DC) تأثير مباشر على جزء الفشل الآمن (SFF) ، وهكذا دواليك ، حساب أمان النظام بالكامل.
العمليات الحسابية
العمود الفقري لـ IEC 61508 هو الحسابات الأساسية. من خلال النظر في معدلات فشل جميع المكونات في الوقت المناسب (FIT) والتصميم ، يمكن إجراء حساب لفرصة الفشل. يجب أن تكون الأرقام المحسوبة متوافقة مع معدل SIL. ينتهي تحليل أنماط الفشل والتأثيرات على المكونات والتيار المستمر من أجل تحسين SFF في نظام أكثر أمانًا. IEC 61508 لديها مطالب على SFF يجب الوفاء بها.
الحساب هو الأساس النظري ؛ إنه يعطي نظرة ثاقبة على أضعف نقاط النظام ويثبت أن النظام آمن بما فيه الكفاية. هذا الحساب غير مطلوب لـ EN 81 ؛ من خلال تلبية جميع المطالب ، يتم استيفاء المتطلبات. هذه المطالب تصف التقنيات فقط ولكنها لا تعطي أي أرقام. لا يوجد تحقق مما إذا كان النظام "آمنًا بدرجة كافية" ، لذلك من الممكن أن ينتهي الأمر بنظام غير آمن رياضيًا.
على سبيل المثال: يمكن استخدام مرحلتين سيئتين حقًا بالتوازي. عندما يفشلون كل 10 مرات ، سوف يفشل كلاهما في نفس الوقت كل 100 مرة (باستثناء السبب المشترك). لا يزال يفي بـ EN 81-20 (قناة مزدوجة مع التشخيص): يمكن الكشف عن فشل كلا المرحلتين. ومع ذلك ، في هذه المرحلة ، لم يعد من الممكن التصرف بناءً عليها. عندما نحسب معدلات الفشل للنظام باستخدام IEC 61508 ، سنجد بشكل مباشر أن المرحلات ليست جيدة بما يكفي لهذا النظام: قيم FIT ستكون مدمرة بالنسبة لفشل المنتج لكل ساعة. بسبب الحساب ، يتم تصفية المكونات السيئة.
الاختبار
يحتاج كل نظام إلى اختبار بعد التطوير: هناك دائمًا مشكلات غير متوقعة يتم تصفيتها أثناء مرحلة الاختبار. بالطبع ، سيتم اختبار نظام PESSRAL ، ولكن ما هي استراتيجية الاختبار المناسبة؟ ليس لدى معظم الصناعة خبرة عملية في برامج السلامة ، ولا توجد استراتيجيات اختبار إلزامية أو حتى مذكورة في المعيار. طريقة الاختبار الأكثر شيوعًا هي اختبار الصندوق الأسود / الأبيض. هذه الطريقة الأساسية لفحص النظام قابلة للاستخدام لكل من الأنظمة الكهربائية والميكانيكية. عند إنشاء PESS ، يكون النظام عبارة عن صندوق أسود كامل. ومع ذلك ، يمكن أن تطلب المواصفة القياسية IEC 61508 أيضًا إمكانية تتبع المتطلبات والنمذجة الكاملة ومحاكاة البرامج واختبار الأداء. أيضًا ، لا يوجد إجراء اختبار أو إدراك لأخطاء الأسباب الشائعة في قاعدة الرفع.
فاصل اختبار الإثبات
مرة أخرى ، لا يتم النظر في عمر النظام. نظرًا لحقيقة أن الفحص الدوري لأنظمة PESS يكاد يكون مستحيلًا ، يجب تحديد العمر الافتراضي. لا تستطيع التشخيصات في النظام أيضًا اكتشاف كل خطأ محتمل ؛ دائمًا ما يكون DC أصغر من 100٪. عادةً ما يكون لأنظمة PESS "فاصل اختبار إثبات" لاكتشاف الأخطاء التي لم يتم اكتشافها عادةً. EN 81 لا يتطلب هذا. هذا يسمح للنظام ببناء كمية لا نهائية من الأخطاء ويعطي إمكانية أن ينتهي الأمر بخطأ خطير.
مناقشة
في هذه اللحظة ، فقط كمية صغيرة من المصاعد تعمل مع PESS. بالنسبة لأولئك الذين يعملون ، لا توجد إخفاقات كبيرة حتى الآن. أصبح تطبيق PESS ممكنًا منذ التعديل الأول لـ EN 81-1 / 2 في 2005. لا نعرف عدد التركيبات الموجودة في الميدان اليوم ، لذلك لا يمكننا تحديد سبب عدم وجود أعطال. هناك بعض التفسيرات المحتملة التي يمكن أن تفسر حقيقة عدم تعرضنا لأي حوادث:
- عندما تصنع شيئًا ثوريًا ، يجب أن تكون الشركة متأكدة تمامًا من أنها آمنة. خلاف ذلك ، لن يتم قبول المنتج في السوق من قبل العميل. بالنسبة لـ PESSRAL ، ترغب معظم شركات المصاعد في التأكد تمامًا من أنها لا تزال تعمل بعد عدة سنوات ، لذلك من المحتمل إجراء اختبارات التحمل. هذه طريقة اختبار قوية.
- لا يوجد العديد من أنظمة PESSRAL في العالم: معظم المصاعد لها عمر طويل ، ولا يتم تغيير أدوات التحكم بشكل منتظم. أيضًا ، بدأ تطوير PESSRAL للتو: لا يوجد العديد من أنظمة PESSRAL في السوق. معظمهم لا يزالون قيد التطوير.
- تقوم هيئات إصدار الشهادات الرئيسية أيضًا بإجراء اختبارات على أنظمة PESS. لديهم مطالبهم الخاصة للاختبار أو سيطلبون حسابًا. تريد هيئات التصديق أيضًا أنظمة آمنة ، ويعرف معظمهم كيفية إجراء الاختبارات بشكل صحيح.
- لا توجد إرشادات للإبلاغ عن الأعطال ، ولا يمكننا التأكد من أننا سنسمع عن جميع الحوادث في العالم ، وخاصة التقارير التي تتضمن السبب.
أكبر مشاكل هذه التفسيرات المحتملة هي حقيقة أنها ليست إلزامية: لا توجد متطلبات في وقت الاختبار ، وليس هناك شرط للحصول على خبرة في PESS للهيئات المبلغة. أيضًا ، لا توجد معلومات عالمية حول كوارث المصاعد ذات الصلة بهذا الموضوع.
الطريقة الوحيدة للتحقق من النظام الآن هي الاختبار ، لكن استراتيجيات الاختبار غير موصوفة.
خاتمة
PESSRAL ليس PESS ، وهذا ليس فقط بسبب عدم وجود الكثير من المعلومات الأساسية. لقد انتهى العمود الفقري الرياضي بالكامل ، لذلك لا يمكننا حساب ما إذا كانت فرصة فشل النظام صحيحة. هذا له تأثير كبير على أخطاء السبب المشترك. هذه هي أخطر عيوب نظام القناة المزدوجة. أيضا ، القنوات نفسها يمكن أن تكون مصنوعة من مكونات غير آمنة. الطريقة الوحيدة للتحقق من النظام الآن هي الاختبار ، لكن استراتيجيات الاختبار غير موصوفة. حتى وقت كتابة هذه السطور ، لم تكن هناك حوادث مميتة حتى الآن. ومع ذلك ، لا يمكننا شرح سبب عدم حدوثها أو توقع عدم حدوثها. في النهاية ، من الممكن بناء أنظمة غير آمنة وفقًا لقواعد PESSRAL. في الوقت الحالي ، لا يسعنا إلا أن نأمل أن تظل المصاعد آمنة ؛ للمستقبل ، نحتاج إلى EN 81-20 للتغيير في أسرع وقت ممكن.
المزيد من الفئة
أخبار يومية