Evolutions des modules booléens de GRIF pour l'IEC 61508

Evolutions des modules booléens de GRIF pour l'IEC 61508 Cyrille Folleau (SATODEV) Bordeaux 26/11/2010 - IMdR GTR 22 Recherche Méthodologique

Sommaire • Norme IEC61508 • Indicateurs et objectifs • Calculs : Route 1H VS Route 2H • Module SIL • Saisie d’architectures simplifiée • Calculs précis et automatisés PFD/PFH … • Module Tree • Fonctionnalité classique d’un logiciel d’AdD • Calcul PFD/PFH : temps passé dans les zones • Gestion des incertitudes IMdR GTR 22 Recherche Méthodologique

IEC 61508 • Nouvelles exigences sur les systèmes de sécurité (ici des systèmes E/E/PE) • Distinction entre différents type de demande : • Mode sollicitation faible : la fonction de sécurité n’est réalisée que sur sollicitation, afin de faire passer système protégé dans un état de sécurité spécifié, et la fréquence des sollicitations n’est pas supérieure à une par an. • Mode sollicitation élevée / ou continue : idem plus d’un fois par an ou de manière continue IMdR GTR 22 Recherche Méthodologique

IEC 61508 • « Nouveaux » indicateurs • Mode faible sollicitation : PFDAvg = Probabilité moyenne de défaillance dangereuse. • Mode sollicitation élevée/continue : PFH = Fréquence moyenne de défaillance dangereuse (h-1) . • Des objectifs à atteindre en fonction du système à « sécuriser » IMdR GTR 22 Recherche Méthodologique

IEC 61508-2Diagramme d’application Does Probability of failure of safety fonction meets target ? IMdR GTR 22 Recherche Méthodologique

IEC 61508Route 1H • Critiques : • SIL obtenus par des calculs approchés et ne fournissant que des moyennes • Assemblage de moyennes (comme des LEGO) • SFF : Safe Failure Fraction qui incite à introduire des pannes sûres sans forcement diminuer les pannes dangereuses. IMdR GTR 22 Recherche Méthodologique

IEC 61508Route 2H • Utilisation de calculs éprouvés dans la sureté de fonctionnement : • PFD => Indisponibilité • PFH => Intensité inconditionnelle de défaillance • Valeurs en fonction du temps • Possibilité de prendre en compte les incertitudes IMdR GTR 22 Recherche Méthodologique

IEC 61508Route 1H VS Route 2H • Différence Calcul Simpliste et Calcul BDD sur un 1oo2 Test 10000 h et Lambda 2.10-5 GRIF LEGO PFDAvg Composant : 9.17 10-2 = SIL 1 PFDAvg system : 8.41 10-3 = SIL 2 PFDAvg system : 1.11 10-2 = SIL 1 IMdR GTR 22 Recherche Méthodologique

IEC 61508Route 1H VS Route 2H • Différence sur un système plus complexe 1oo2D (Source Thèse Farès Innal) Lambda 5.10-5 SFF de 60% Beta de 2% Sur 1 an Route 1H: 1.5 10-3 Route 2H (Markov): 3.19 10-3 = SIL 1 TOTAL R&M a décidé de ne plus utiliser les logiciels utilisant les formules de la route 1H Création d’un module SIL s’appuyant sur GRIF et le moteur BDD ALBIZIA IMdR GTR 22 Recherche Méthodologique

Module SILPour l’utilisateur non fiabiliste • Modélisation de boucle instrumentée de sécurité • Saisie intuitive de l’architecture IMdR GTR 22 Recherche Méthodologique

Module SIL • Gestion des différents mode de défaillance • Nombreux paramètres pour éviter les approximations Lois tests périodiques Lois GLM IMdR GTR 22 Recherche Méthodologique

Module SIL • Calculs : génération de formules booléennes et traitement avec le moteur BDD Albizia comme le module arbre de défaillance • Calculs exacts • Calculs à chaque instant • Calculs de moyenne • Calculs de temps passé dans les zones IMdR GTR 22 Recherche Méthodologique

Module SIL • Possibilité d’introduire des décalages entre tests IMdR GTR 22 Recherche Méthodologique

Module SIL • Prise en compte des contraintes architecturales : le SIL atteint est calculé à partir la PFD/PFH et du SIL maximum atteignable par l’architecture • Prise en compte du caractère déterminé des composants (IEC 61508 et/ou 61511), NS/F/S IMdR GTR 22 Recherche Méthodologique

Module SIL • Synthèse IMdR GTR 22 Recherche Méthodologique

Module SILConclusions module SIL • Les dernière moutures de l’IEC 61508 ont permis de rectifier le tir en proposant l’utilisation de méthodes de calculs éprouvées pas les fiabilistes. • GRIF module SIL a été conçu pour répondre aux besoins de calculs sur des boucles instrumentées de sécurité • Ce module permet à des « non fiabilistes » d’obtenir des valeurs plus juste que la simple application de formules. • Démonstration en pratique • Ce module permet d’exporter au format .dag pour traiter des cas plus complexe avec le module Tree (Arbre de défaillance) IMdR GTR 22 Recherche Méthodologique

Module TreeOutil complet pour les Arbres de défaillance • Lorsque les systèmes de sécurité deviennent plus complexes, il incombe aux fiabilistes de réaliser un arbre de défaillance et d’en tirer les informations souhaitées • Problèmes : • Disposer d’outil pour faire les calculs de PFD/PFH et calculer les temps passés dans chaque SIL • Comme indiqué dans la norme, il faut prendre en compte les incertitudes des paramètres d’entrée. • Solution améliorer un outils d’arbre de défaillance existant : GRIF module Tree IMdR GTR 22 Recherche Méthodologique

Module TreeOutil complet pour les Arbres de défaillance Arborescence pour organiser son arbre Tableau de paramètres pouvant être connectés à une base de données Outils de saisie Courbes configurables IMdR GTR 22 Recherche Méthodologique

Module TreeOutil complet pour les Arbres de défaillance • Nombreuses possibilités de calculs IMdR GTR 22 Recherche Méthodologique

Module TreeOutil complet pour les Arbres de défaillance • Récupération des résultats IMdR GTR 22 Recherche Méthodologique

Module TreeOutil complet pour les Arbres de défaillance • Affichage des résultats • Visible sur l’arbre directement • Présentation sous forme de courbe • Directement dans les tableaux de données à droite IMdR GTR 22 Recherche Méthodologique

Module TreeOutil complet pour les Arbres de défaillance • Calcul des temps passés dans les zones Lors des calculs, Albizia vérifie dans quelle zone se situe le point pour fournir le temps passé dans chaque SIL. Les zones spécifiés sont reprises pour l’affichage des courbes. IMdR GTR 22 Recherche Méthodologique

Module TreeOutil complet pour les Arbres de défaillance • Incertitudes • Pour chaque paramètre, possibilité d’utiliser une incertitude suivant les lois : • Uniforme • Normale • LogNormale • Un calcul de Quantiles est effectué et il est possible de choisir le quantile représentant la borne inférieure et supérieure de l’intervalle de confiance IMdR GTR 22 Recherche Méthodologique

Module TreeOutil complet pour les Arbres de défaillance • Incertitudes IMdR GTR 22 Recherche Méthodologique

Module TreeOutil complet pour les Arbres de défaillance • Contraintes architecturales • En plus des PFD/PFH l’IEC 61508/61511 impose une tolérance à un certain nombre de défaillance matériel pour chaque SIL => Calcul de coupe • Contraintes architecturales 61511 prenant en compte le type de composant • Pas traité pour l’instant, peut-être faut-il ajouter la possibilité de faire coupes pondérées. IMdR GTR 22 Recherche Méthodologique

FIN

Evolutions des modules booléens de GRIF pour l'IEC 61508