安全仪表系统设计与SIL的计算方法

1、安全仪表系统设计与SIL的计算方法左信朱春丽中国石油大学（北京）自动化研究所2008年11月？北京？自控中心站培训第1章 安全仪表系统设计概述121.1安全性与可用性1.1.1安全仪表系统的安全性1.1.2安全仪表系统的可用性1.1.3安全性与可用性之间的关系1.2安全仪表系统的设计目标1.3安全仪表系统的设计原则1.3.1基本原则1.3.2逻辑设计原则1.3.3回路配置原则1.4完整的安全仪表回路设计1.5安全仪表系统的设计步骤第2章安全度等级SIL的计算方法2.1系统结构介绍2.1.1 1oo1 结构2.1.2 1002 结构2.1.3 2002 结构2.1.4 2003 结构2.1.5

2、1002D 结构2.2 SIL的可靠性框图计算方法2.2.1 1001结构的可靠性框图2.2.2 1002结构的可靠性框图102.2.3 2002结构的可靠性框图102.2.4 2003结构的可靠性框图112.2.5 1002D结构的可靠性框图112.2.6术语列表122.3 SIL的马尔可夫模型计算方法132.3.1 1001结构的马尔可夫模型13第1章安全仪表系统设计概述2.3.3 2oo2结构的马尔可夫模型162.3.4 2oo3结构的马尔可夫模型182.3.5 1oo1D结构的马尔可夫模型202.3.6 1002D结构的马尔可夫模型202.3.7术语列表222.4 SIL的故障树分析计

3、算方法242.4.1 1oo1结构的PFD故障树242.4.2 1oo2结构的PFD故障树242.4.3 2oo2结构的PFD故障树252.4.4 2oo3结构的PFD故障树252.4.5 2oo4结构的PFD故障树262.4.6 1oo1D 结构的PFD故障树262.4.7 1oo2D 结构的PFD故障树272.4.8 2oo2D 结构的PFD故障树272.4.9 2oo4D 结构的PFD故障树2828292.4.10术语列表第3章计算实例1.1安全性与可用性1.1.1安全仪表系统的安全性安全仪表系统的安全性是指任何潜在危险发生时，安全仪表系统保证使过程 处于安全状态的能力。不同安全仪表系统

4、的安全性是不一样的， 安全仪表系统自 身的故障无法使过程处于安全状态的概率越低， 则其安全性越高。安全仪表系统 自身的故障有两种类型。（1）安全故障当此类故障发生时，不管过程有无危险，系统均使过程处于安全状态。此 类故障称为安全故障。对于按故障安全原则（正常时励磁、闭合）设计的系统而言，回路上的任何断路故障是安全故障。（2）危险故障回路上任何可断开触点的短当此类故障存在时，系统即丧失使过程处于安全状态的能力。此类故障称 为危险故障。对于按故障安全原则设计的系统而言， 路故障均是危险故障。换言之，一个系统内发生危险故障的概率越低，则其安全性越高。1.1.2安全仪表系统的可用性安全仪表系统的可用性

5、是指系统在冗余配置的条件下，当某一个系统发生故 障时，冗余系统在保证安全功能的条件下，仍能保证生产过程不中断的能力。与可用性比较接近的一个概念是系统的容错能力。一个系统具有高可用性或 高容错能力不能以降低安全性作为代价，丧失安全性的可用性是没有意义的。严 格地讲，可用性应满足以下几个条件。（1）系统是冗余的；（2）系统产生故障时， 不丧失其预先定义的功能；（3）系统产生故障时，不影响正常的工艺过程。1.1.3安全性与可用性之间的关系从某种意义上说，安全性与可用性是矛盾的两个方面。某些措施会提高安全 性，但会导致可用性的下降，反之亦然。例如，冗余系统采用二取二逻辑，则可 用性提高，安全性下降；若

6、采用二取一逻辑，则相反。采用故障安全原则设计的 系统安全性高，采用非故障安全原则设计的系统可用性好。安全性与可用性是衡量一个安全仪表系统的重要指标，无论是安全性低、还是可用性低，都会使损失的概率提高。因此，在设计安全仪表系统时，要兼顾安 全性和可用性。安全性是前提，可用性必须服从安全性；可用性是基础，没有高 可用性的安全性是不现实的。1.2安全仪表系统的设计目标安全仪表系统设计的目标，首先是要满足装置的安全度等级要求， 衡量标准 在于它能否达到要求平均故障概率 PFDaverage即要求下的设备失效的可能性。为了达到装置的安全度等级，系统必须具有高的安全性。但是，系统的安全性越高，必然使设备停

7、车次数越多，维修时间延长，降低了系统的可用性。而在石化 等行业的现实应用当中，设备停车可能造成重大的经济损失， 这就要求系统既具 有高安全性，又具有高可用性。安全仪表系统的设计并不是安全性越高越好， 要 寻求的是一种最优配置，即在达到安全度等级的前提下，合理配置经济实用的系 统。因此，在设计安全仪表系统时，首先要进行风险分析，确定必要的风险降低指标;然后确定SIL等级并进行风险分配，以确定安全仪表系统应承担的风险降 低指标;最后，综合考虑系统的安全性与可用性，对系统的结构进行合理配置。1.3安全仪表系统的设计原则1.3.1基本原则SIL设计的基本原则之一，是应根据E/E/PES安全要求规范进行

8、设计。分析确 定SIL的方法，确定的SIL就是E/E/PES设计时要求实现的安全完整性目标。SIL设计的基本原则之二，是采取一切必要的技术与措施保证要求的安全完 整性。为了实现安全完整性，必须同时满足 E/E/PES的随机安全完整性要求与系 统安全完整性要求，因为随机失效主要是硬件的随机失效。因此，分析时，随机 安全完整性就简化为硬件安全完整性。故障检测会影响系统的行为，因此，它与 硬件以及系统的安全完整性都相关。132逻辑设计原则 可靠性原则整个系统的可靠性R0 ( t)是由组成系统的各单元可靠性(R1 ( t) , R2 ( t),R3 ( t)K)的乘积,即R0 ( t) = R1 (

9、t) R2 ( t) R3 ( t) K任何一个环节可靠性的下降都会导致整个系统可靠性的下降。人们通常对于 逻辑控制系统的可靠性十分重视，往往忽视检测元件和执行元件的可靠性，使得整 套安全仪表系统可靠性低，达不到降低受控设备风险的要求。可靠性决定系统的 安全性。 可用性原则可用性不影响系统的安全性，但系统的可用性低可能会导致装置或工厂无法进行正常的生产。可用性常用下面公式表示。A = M TB F/ ( M TB F + M T TR)式中 A可用度；MTBF平均故障间隔时间；MTTR平均修复时间。而对于安全仪表系统对工艺过程的认知过程，还应当重视系统的可用性，正 确地判断过程事故，尽量减少装

10、置的非正常停工，减少开、停工造成的经济损失。 故障安全原则当安全仪表系统的元件、设备、环节或能源发生故障或失效时，系统设计应 当使工艺过程能够趋向安全运行或安全状态。这就是系统设计的故障安全型原 则。能否实现“故障安全”取决于工艺过程及安全仪表系统的设置。 过程适应原则安全仪表系统的设置必须根据工艺过程的运行规律，为工艺过程在正常运行和非正常运行时服务。正常时安全仪表系统不能影响过程运行，在工艺过程发生 危险情况时安全仪表系统要发挥作用，保证工艺装置的安全。这就是系统设计的 过程适应原则。133回路配置原则为保证系统的安全性和可靠性，以下 2个原则在回路配置时应当加以注意。独立设置原则用于SI

11、S和BPCS（基本过程控制系统）的信号检测应各自采用检测元件。在SIL3级时，BPCS的控制阀不能用作SIS仅有的最终元件；在SIL1级与2级时可 以使用，但要做安全性检查。中间环节最少原则一个回路中仪表越多可靠性越差，典型情况是本安回路的应用。在石化装置 中，防爆区域在0区的情况很少。因此可尽量采用隔爆型仪表，减少由于安全栅 而产生的故障源，减少误停车。1.4完整的安全仪表回路设计在系统设计选型时，很容易只要求控制器部分的安全性， 忽略了现场仪表的 安全要求，实际上安全仪表系统包括了传感单元、逻辑控制单元和最终执行单元, 其故障失效率的计算方法如下:P FDsys = PFDs + PFDl

12、 + P FDfe式中：P FDsys E/E/PE安全相关系统的安全功能在要求时的平均失效概率PFDs 传感器子系统要求的平均失效概率PFDl 逻辑子系统要求的平均失效概率PFDfe 最终元件子系统要求的平均失效概率子系统结构图1.5安全仪表系统的设计步骤按照安全生命周期的内容，一套完整的SIS的设计主要包含以下步骤：(1)(2)执行过程系统危险分析和风险评价。过程系统初步设计，包括系统定义、系统描述和总体目标确认。论证采用非安全控制保护方案能否防止识别出的危险或降低风险。判断是否需要设计安全控制系统SIS，如果需要则转第（5）步，否则按常规控制系统设计。依据IEC61508确定对象的安全度

13、等级 SIL。(6)确定安全要求技术规范SRS。(7)完成SIS初步设计并检验是否符合SRS。(8)完成SIS详细设计。(9)SIS组装、授权、预开车及可行性试验。(10)(11)SIS正式投用,操作、维护及定期进行功能测试。在建立操作和维护规程的基础上，完成预开车安全评价。(12)当原工艺流程被改造或在生产实践中发现安全控制系统不完善时，判断安全控制系统是否停用或改进。(13)如果需要改进，则转至第（2）步进入新的过程安全生命周期设计。完整的SIS设计的步骤第2章安全度等级SIL的计算方法SIS系统设计完成之后，其可靠性和安全性的评价标准就是要求时失效概率PFD。其SIL等级应该通过计算 P

14、FDavg来确定。2.1系统结构介绍2.1.1 1oo1 结构这种结构包括一个单通道。在这种结构中当产生一次要求时，任何危险失效 就会导致一个安全功能失效。ChannelVDiagnostics <1oo1物理结构图2.1.2 1oo2 结构此结构由两个并联的通道组成，无论哪一个通道都能处理安全功能。 因此如 果两个通道都存在危险失效，则在要求时某个安全功能失效。假设任何诊断测试 仅报告发现故障，但并不改变任何输出状态或输出表决。1oo2物理结构图2.1.3 2oo2 结构此结构由并联的两个通道构成，因此，在发生安全功能之前两个通道都要求 功能。假设任何诊断测试仅报告发现故障，并不改变任

15、何输出状态或输出表决。2oo2物理结构图2.1.4 2oo3 结构此结构由3个并联通道构成，其输出信号具有多数表决安排，这样，如果仅 其中一个通道的输出与其他两个通道的输出状态不同时， 输出状态不会因此而改 变。假设任何诊断测试只报告发现故障，不改变任何输出状态或者输出表决。2oo3物理结构图2.1.5 1oo2D 结构此结构中由并联的两个通道构成，正常工作期间，在发生安全功能前，两个 通道都要求安全功能。此外，如果任一通道中诊断测试检测到一个故障， 则将采用输出表决，因此整个输出状态则按照另一通道给出的输出状态。如果诊断测试 在两个通道中同时检测到故障，或者检测到两个通道间存在的差异时， 输

16、出则转 为安全状态。为了检测两个通道间的差异，通过一种与另一通道无关的方法，无 论其中哪个通道都能确定另一通道的状态。SIS系统设计完成之后，其可靠性和安全性的评价标准就是要求时失效概率PFD。其SIL等级应该通过计算 PFDavg来确定。2.2 SIL的可靠性框图计算方法2.2.1 1oo1结构的可靠性框图tEC1oo1可靠性框图通道的等效平均停止工作时间表示如下:tcEb血MTTR)八2丿Ad已被检测和未被检测到的危险失效率如下：人 DU = (1-DC)；dD = DC2 2此结构在要求时的平均失效概率为：PFD G = ()'-DU 十'"DD )tcE222

17、 1oo2结构的可靠性框图九uCommon failuret£c逝竝aoo1oo2可靠性框图系统等效停止工作时间表示如下:tGE =(Ti+MTTR+他 MTTRAd 13丿此结构在要求时的平均失效概率为:PFDg =2(1-P7qu(1 -P7qu+(1 - Bddd+/sdIcEtGE +扎ddMTTR +叽u 仔 +MTTR J2.2.3 2oo2结构的可靠性框图眶匚 32.-2i)002oo2可靠性框图此结构在要求时的平均失效概率为:PF Dg = 2'd t CE224 2oo3结构的可靠性框图2oo3可靠性框图此结构在要求时的平均失效概率为:PFDg =6(1-斥

18、 Add +(1-P %du 介cEtGE + PddMTTR +阳沁仃1/2 + MTTR )2.2.5 1oo2D结构的可靠性框图每个通道中被检测的安全失效率如下:G =h/2DCt'cE = b-Du /(T1 /2 +MTTR )+仏dd +兀d MTTR /®du + ©d +祗d )t'GE = Bdu /(T1/3+MTTR )+GddMTTR I/Gdu "pd Usd )1oo2D可靠性框图此结构在要求时的平均失效概率为：P FDg=2(1-映 U + (1-映 U +(1-P D 治。+ NsD )tcE'tGE'

19、;+pD 兀ddMTTR +PkDU(T1/2 + MTTR )226术语列表缩略语及符号术语（单位）Ti检验测试时间间隔（h）T2要求之间的时间间隔MTTR平均恢复时间（h）DC诊断覆盖率（在公式中以一个分数或者百分比表示）P具有共冋原因的、没有被检测到的失效分数（在公式中用一个分数或者百分比表示）Pd具有共冋原因的、已被诊断测试检测到的失效分数（在公式中用一个分数或者百分比表示）（假设P =2x Pd ）z子系统中一个通道的失效率（每小时）扎D子系统中通道的危险失效率（每小时），等于0.5几（假设50%的危险失效和50%的安全失效）- 扎DD检测到的子系统中通道每小时的危险失效率（它是在子

20、系统通道中所 有检测到的危险失效率的总和）几DU未检测到的子系统中通道每小时的危险失效率（它是在子系统通道中 所有未检测到的危险失效率的总和）兀SD子系统中被检测到的通道每小时的安全失效率（它是在子系统通道中所有检测到的安全失效率的总和）tCE1001、1002、2002、1002D、2oo3结构中通道的等效平均停止工作时间（h）（它是子系统通道中所有部件的组合关闭时间）tGE1002、2003结构中表决组的等效平均停止工作时间（h）（它是表决组中所有部件的组合关闭时间）t'cE1002D结构中通道的等效平均停止工作时间（h）（它是子系统通道中所有部件的组合关闭时间）tGE1002D结

21、构中表决组的等效平均停止工作时间（h）（它是表决组中所有部件的组合关闭时间）PFDg表决通道组在要求时的平均失效概率（如果传感器、逻辑或最终元件子系统仅由一个表决组构成，则PFDg分别等于PFDs、PFDl或PFDfe)2.3 SIL的马尔可夫模型计算方法2.3.1 1oo1结构的马尔可夫模型在1oo1的马尔可夫模型中，状态0表示没有失效。从这个状态，控制器可 达其他3个状态，状态1表示安全失效状态，控制器发生失效，其输出非使能（失 电或开路）。状态2表示检测到的危险失效状态，输出使能而发生失效，但是失 效被自诊断检测出可立即进行修复。 状态3表示发生了危险失效，但失效没能被自诊断发现。1oo

22、1结构马尔可夫模型-SD 丄、SU A + A1 4I SD01oo1结构的状态转移矩阵P为11 - S +汕）巴I 0 计算MTTFS的马尔可夫状态转移图如下图所示.厂、捫fSU*©1oo1结构马尔可夫模型 MTTFS相应的Q'矩阵为因为N=l-Q 丁1，故N =1小 _ SD , . SUA + A因为MTTFS是给定起始状态矩阵N行元素的和，故1MTTFS =SD+ A232 1oo2结构的马尔可夫模型系统存在3个能够执行安全功能的状态。在状态 0。两个通道都正常运行。在状态1和2, 一个通道发生危险使得输出短路（使能）。系统能够继续正常运 行是因为另一个通道仍然能够使

23、输出开路（非使能）。因为状态1的危险失效被 检测到，所以能够进行在线修复，状态 1会以修复率巴返回到状态0。状态3, 4,和5是系统的失效状态。在状态3,系统发生安全失效。在状态4,系统发生 检测到的危险失效。在状态5,系统发生未检测到的危险失效。共因失效会导致 系统由状态0直接到达状态4或状态5。假设维修过程会检查并修复系统的所有失效， 状态4通过维修会回到状态0。否则，状态4必须拆分为两个状态：一个是两个通道都发生检测到的危险失效, 另一个是一个通道发生检测到的危险失效、一个通道发生未检测到的危险失效。前者通过维修回到状态0,后者通过维修回到状态2。1oo2结构马尔可夫模型1oo2结构的状

24、态转移矩阵P为1-z2疔DN2严、SC , " SN人+2九-DDC A.DUC A巴1-Z0-S A-D A0001-Z-S A-DD A-DU A001 - SD00巴0001 4。0000001P =表示矩阵元素所在行除该元素外其他元素之和。其中5：相应的Q'矩阵为Q'=11 -送A1 匕+汀IZD2 兀 DDN1-2 -A202 扎 DUN012： - A3-SDC其中+ XSuc +2aDN +2 汁UN=ZS1oo2结构马尔可夫模型MTTFS233 2oo2结构的马尔可夫模型在状态0、1和2系统能够成功运行。状态3,系统发色和能够了安全失效, 输出开路。状

25、态4和5,系统发生检测到和未检测到的危险失效。这个马尔可夫 模型与1002结构的马尔可夫模型比较可以看出在安全与危险失效上两者具有部 分对称性。2oo2结构马尔可夫模型2oo2结构的状态转移矩阵P为(1-Z2鬥2严-SC A-DDC , C - DDN人+2人.DUC人+ 2人巴1-Z0-S A-D A0001-Z-S A-DD Aadu001 - SD00巴0001七0000001P =表示矩阵元素所在行除该元素外其他元素之和。DUN其中5：相应的Q'矩阵为Q'=-送A1 匕+汀IZD2宀1-2 -A202严012： - A3-SC其中=ZS2oo2结构马尔可夫模型MTTFS

26、234 2oo3结构的马尔可夫模型3个通道的4种系统初始状态时全部3个通道的运行状态均为正常状态。模式的失效会导致系统离开初始状态。 另外，共因失效也需要考虑。对于两个通 道存在3种组合方式：AB、AC和BC,表示3组共因失效。在状态1, 一个通道出现检测到的安全失效。在状态 2, 一个通道出现未检测到的安全失效。在状 态1和状态2,系统降级为1oo2结构。在状态3,表明一个通道出现检测到的危 险失效。在状态4, 一个通道出现未检测到的危险失效。在状态 3和状态4,系 统降级为2002结构。在1、2、3、4各状态，系统尚未失效。在状态1和2系统仍处于运行状态，正常通道再次出现安全失效将使系统安

27、全失效，而正常通道出现危险失效将使系统又降一级。在状态3和4,系统运行在2oo2配置。当出现正常通道的危险失效，系统将会危险失效，而正常通道出 现安全失效也将使系统又降一级。假设系统修理时所有的故障单元会被修复，因 此，所有的修复将使系统回到状态 0。PsDFS3扎SDN-.SDN2 ASUN3兀OKDDNDDN-.DUNDUN.SUN-D-DU/u2oo3结构马尔可夫模型-SCAr DD-.SDN2人3）Sdc 卡;Suc2；严SUNAFDD10SUNDDNFDU11SDNDDNSUNDUNSDNDUN6rSDC卍D十2严NDUCDUn2oo2结构的状态转移矩阵1 -z 巴 0%0比% 比0

28、4sd%0c - SDN3人-z003）严01-2000003）严001-Z0c - DUN3人0001-Z00000000003产3严3）严C - DDN2九c DUN2人00严+2严DDCA-DUC A002）严2严-SC 丄 c - SN 人十2人-DDC A-DUC A2）严02）严0SC A-DC , c- DN人+2人00c - SDN2人0C - SUN2九SC A-DDC 丄 a- DDN人+2人r DUC , c-【人+2人i-S02）严0S A-D A001-200S A-DDA-DUA001-20-S AD A00001-Z-S A-DDA-DUADUN11-Z0001-

29、Z000其中送表示矩阵元素所在行除该元素外其他元素之和。235 1oo1D结构的马尔可夫模型状态0代表无效的情况。从状态 0系统可以到达其他两个状态。状态 1代表安全失效，状态2代表未检测到的危险失效。1oo1D的马尔可夫模型与1oo1 相似，不同的是检测到的危险失效将使系统出现安全失效， 造成受控过程的误停车。1001D结构马尔可夫模型1oo1D结构的状态转移矩阵P为11-(P =_ SD 丄.SU 丄 r DDA + A + A1-Psd0-DUA01求解1oo1D结构系统的MTTFS与1oo1的相似，这是因为1oo1D体系结 构仅仅将检测到的危险失效转换为安全失效，它本身并没有容错能力，

30、即1MTTFS =、sDDA + A236 1oo2D结构的马尔可夫模型1oo2D结构的马尔可夫模型共有4个系统成功运行的状态。状态1代表发 生了一个检测到的安全失效或检测到的危险失效。当一个危险失效被检测出时，诊断开关断开，输出非使能，因此，两种失效的结果是相同的。另一个系统成功 状态2代表某一控制器出现了未检测到的危险失效。系统仍然继续正常运行是因 为另一个单元仍能够检测到该失效，使得系统停车。在第三个降级的系统成功状态3，系统某一单元出现未检测到的安全失效后，系统输出仍可由另一正常单元 控制。在状态1，系统降级到1oo1D结构。后续的安全失效或检测到的危险失效 会导致系统发生安全失效；后

31、续的未检测到的危险失效将使系统发生危险失效。 系统在失效状态5时，一个单元发生检测到的失效，另一个单元发生未检测到的 失效。在检测到的失效发出维修请求后， 所有的单元都要进行检验测试，因此从 状态5到状态0存在一个维修的状态转移。在状态2, 一个单元发生在未检测到的危险失效。由于系统仍能正确响应 过程危险，因此仍能正常运行。在这个状态下，任何部件的失效都会导致系统发 生危险失效。例如，一个单元发生未检测到的危险失效，另一个单元发生了检测 到的安全失效。这时第二个单元因为故障也不能对第一个单元的开关进行控制， 所以系统被认为发生危险失效，不会响应过程请求。如果第二个单元发生检测到 的安全失效，则

32、系统转到状态5。在状态3, 个单元发生未检测到的安全失效，系统降级到1001D结构。后续的检测到的安全失效或危险失效都将使系统发生安全失效。而后续的未检测到的危险失效则会使系统发生危险故障一使系统转到状态6,也就是说两个单元 出现未检测到的失效。处于该状态的失效只有在进行周期性功能测试时才会被发 现。1oo2D结构马尔可夫模型1oo2D结构的状态转移矩阵ll -z巴00卩SD巴I 02）严+2；严1 -z000002汕UN01-Z00002kSUN001-Z000SCA-SA,DDC+ A丄-DD + A0+ ）严1-Z00zS其中2表示矩阵元素所在行除该元素外其他元素之和。2.3.7术语列表

33、0-DUA、SD 丄 r DDA + A001-Z0-SU 丄-DUA + A-DUA010缩略语及符号术语（单位）TI检验测试时间间隔（h）Tsd系统启动时间（h）4sd系统启动率4sd=1/ Tsd（ h-1）MTTR平均恢复时间（h）卩。维修率 #0=1/ MTTR （ h-1）cti功能测试覆盖率，取值 01p具有共冋原因的、没有被检测到的失效分数（在公式中用一个分 数或者百分比表示）Pd具有共冋原因的、已被诊断测试检测到的失效分数（在公式中用 一个分数或者百分比表示）（假设P =2X Pd ）-D A危险失效率（h-1）S A安全失效率（h-1）-DD A检测到的危险失效率（h-1）

34、DU A未检测到的危险失效率（h-1）-SD A检测到的安全失效率（h-1）SU A未检测到的安全失效率（h-1）SDN A正常检测出安全失效率（h-1）-SUN A正常未检测出安全失效率（h-1）-DDN A正常检测出危险失效率（h-1）；DUN A正常未检测出危险失效率（h-1）SDCA共因检测出安全失效率（h-1）；suc共因未检测出安全失效率（h-1）-DDC共因检测出危险失效率（h-1）-DUC共因未检测出危险失效率（h-1）2.4 SIL的故障树分析计算方法2.4.1 1oo1结构的PFD故障树1oo1DUDD1oo1结构的PFD故障树PFD1oo1 = Add * RT + 沁

35、* TITIPFD''avg1oo10 P-DD* RT +kDu*TI)dTI1=-=入DD * RT +-仏 *TITI22.4.2 1oo2结构的PFD故障树1oo221oo2结构的PFD故障树*TI)PFD1002 ='udUC *TI +/-DDC * RT +(-DDN * RT 中几DUNT* 1 .、.、2I"入DUC * TI + DDC * RT + 仏ddN * RT + 兀DUN * TI ) dTIPFD 厂'avg1 oo2 PFD2oo2 = DUC *TI Uddc * RT +2 几ddn * RT +2 兀dun *

36、TITI1 2 1 2=2-DUC * TI + 兀DDC * RT + (入ddN * RT) + 3 (扎DUN * TI ) + dDN * RT * 扎DUN * TI23243 2oo2结构的PFD故障树TITIJ0 仏DUC *TI +Awc * RT +2kDDN * RT +2Z«dun *TI)dTI PFD avg2oo2 =1寸DUC*TIf*RT+%N*RTf*TI2.4.4 2oo3结构的PFD故障树2oo3亠帚亠I A失效 III B失效11r A&c '失效Q ,Il C失效I室B&C 失效A&B&C 失效DDCU

37、IG失效、失 /B失效、fe失 /A失失 /b失Zb失效' /b失 fc失效( C失效iDN丿 dun i DUN丿" DUN丿 JdDN J2oo3结构的PFD故障树A&B&C失效DUCA失效p FD2oo3 = DUC *TI + 几 ddc * RT +3仏 ddn * RT + 几 dun * TI)= rUC*TI+kDDC*RT+3(GN*RT) +aDUN*TI)柿DDN*RT%UN *TITI2PFD avg2oo3.0 Mmc *TI +Addc * RT +3()ddn * RT +%UN *TI )2dTI245 2oo4结构的PFD故障

38、树2004Lt丰yT X./A失效 /a失效、失效；/b失效、化失效 /c失效、I DDN I DUN I DDN j I DUN | | DDN | i DUN JC失2卫畫宀丄厂人 1 JL 1- JL行失效、/"a失 Xb失失涂厂D失效岚XD失效DDN I I DUN I I DDN I 1 DUN j . DDN I I DUN J' 一丄 viz失效D失效?A&C &D失效A&B&C&D 失效DDC亠卫_I A失效I C I D失效 I(a失效、 AA失效、f C失效、f C失效、/d失效 / D失效V丄JV丄A&B&

39、amp;C&D 失效DUCB&C &D失效II B失效II C失效Je/ B失效；!丨 DUN 1 z、丄厂 C失失 f "D失效失效>'DDN I DUN I ! DDN I1 DUN II丄-DDN 2oo4结构的PFD故障树3PFD2oo4 =hDUC *TI + 局DC * RT +4(kDDN * RT + Adun *TI )PFDavg 2oo 4f /duc *TI +7ddc * RT +4()DDN * RT +DUN * TI)3dTITIf )DUC *TI +)DDC * RT 十ODDN * RT)3 +()DUN *TI)3 +3(打DN * RT)2*( /DUN *TI) +3(打DN * RT)*( ZDUN *TI)2dTITI1=2 >DUC *TI +)DDC * RT +4()DDN * RT)K>dUN *TI)3 +| “DDN * RT)2 * >DUN * TI +7ddN * RT *( ZduN * TI )'2.4.6 1oo1D结构的PFD故障树1oo1DDU1oo1D结构的PFD故障树PFD1oo1D *TIPFDavg1oo1DTI.0 (DuFdTITI1亍 du*ti247 1oo2D结构的PFD故障树PFDioo2D "d