[논문 리뷰] Average probability of a dangerous failure on demand: Different modelling methods, similar results

Florent Brissaud, Fernando Luíz|arXiv (Cornell University)|2015. 01. 20.

Risk and Safety Analysis인용 수 4

한 줄 요약

이 논문은 안전 중심 시스템에서 요구 시 고장의 평균 확률(PFDavg)을 계산하기 위해 고장 트리 분석, 다단계 마르코프 모델, 스토하스틱 페트리 네트워크, 근사 분석 방정식의 네 가지 다른 모델링 방법을 평가한다. 동일한 사례 연구를 통해 IEC 61508 기준을 준수할 경우 모든 방법이 매우 유사한 PFDavg 결과를 도출함을 보여주며, 이는 방법 선택이 방법론적 고정관념이 아닌 모델링 노력과 시스템 특성과 같은 실용적 고려사항에 따라 이뤄져야 한다는 것을 시사한다.

ABSTRACT

According to the IEC 61508 functional safety standard, it is required to estimate the achieved safety integrity of the system due to random hardware failures. For a safety function operating in a low demand mode, this measure is the average probability of a dangerous failure on demand (PFDavg). In the present paper, four techniques have been applied to various configurations of a case study: fault tree analyses supported by GRIF/Tree, multi-phase Markov models supported by GRIF/Markov, stochastic Petri nets with predicates supported by GRIF/Petri, and approximate equations (developed by DNV and different from those given in IEC 61508) supported by OrbitSIL. It is shown that all these methods yield very similar results for PFDavg, taking the characteristics required by the standard into account. The choice of a method should therefore not be determined by dogmatic assumptions, but should result of a balance between modelling effort and objectives, given the system properties. For this task, a discussion about pros and cons of each method is proposed.

연구 동기 및 목표

• 안전 중심 시스템에서 다양한 모델링 기법을 통해 도출된 PFDavg 추정치의 일관성을 평가하기.
• IEC 61508 기준에 따라 저수요 모드 안전 기능을 위한 다양한 모델링 접근 방식이 유사한 결과를 도출하는지 평가하기.
• 각 방법의 장단점을 비교 분석하여 시스템 특성과 프로젝트 목표에 따라 방법 선택에 도움이 되도록 하기.
• 기준이 올바르게 준수될 경우 방법론적 차이가 PFDavg 결과에 크게 영향을 주지 않는다는 것을 검증하기.

제안 방법

• 고장 트리 분석을 위해 GRIF/Tree 도구를 활용하여 시스템 고장 시나리오를 모델링하기.
• 다단계 마르코프 모델을 GRIF/Markov 도구를 통해 구현하여 시간에 따라 변화하는 고장 행동을 반영하기.
• 예측 조건을 포함한 스토하스틱 페트리 네트워크를 GRIF/Petri 도구를 통해 복잡한 상태 전이를 모델링하기.
• DNV에서 개발한 근사 분석 방정식(IEC 61508의 방정식와 별개)을 OrbitSIL 도구를 사용하여 빠른 PFDavg 추정을 수행하기.
• 모든 방법이 동일한 사례 연구 설정에 적용되어 일관된 비교가 가능하도록 하기.
• 결과는 안전 무결성 수준(SIL) 결정을 위한 IEC 61508 요구사항에 따라 평가하기.

실험 결과

연구 질문

• RQ1 동일한 안전 시스템 구성에 대해 다양한 모델링 방법이 유의미하게 다른 PFDavg 값을 도출하는가?
• RQ2 고장 트리 분석, 마르코프 모델, 스토하스틱 페트리 네트워크 및 근사 방정식은 PFDavg 추정에서 정확도와 노력 측면에서 어떻게 비교되는가?
• RQ3 표준화된 IEC 61508 기준 하에서 방법론적 차이가 최종 PFDavg 결과에 얼마나 큰 영향을 미치는가?
• RQ4 근사 분석 방정식은 마르코프 모델이나 페트리 네트워크와 같은 더 복잡한 모델과 비교해 유사한 결과를 도출할 수 있는가?
• RQ5 실제 PFDavg 계산을 위한 모델링 방법 선택을 가로질 수 있는 요소는 무엇인가?

주요 결과

• 고장 트리 분석, 다단계 마르코프 모델, 스토하스틱 페트리 네트워크, 근사 방정식의 네 가지 모델링 방법 모두 동일한 시스템 구성에 대해 매우 유사한 PFDavg 결과를 도출하였다.
• IEC 61508의 안전 무결성 수준 할당을 위한 요구 정확도 기준과 비교할 때, 방법 간의 PFDavg 값 차이는 무시할 만할 정도로 미미하였다.
• 시스템이 표준 요구사항에 따라 일관되게 모델링된다면, 모델링 방법의 선택이 최종 PFDavg 결과에 크게 영향을 주지 않는다.
• 각 방법은 모델링 노력, 명확성, 확장성 측면에서 고유한 장점이 있으나, 시험 조건 하에서는 정확도 측면에서 어느 한 방법도 항상 다른 방법을 뛰어넘지 못했다.
• 모델링 노력 최소화가 필요하고 충분히 정확한 경우, 간단하거나 빠른 방법(예: 근사 방정식)의 사용을 지지한다.
• 결과적으로, 방법 선택은 방법론적 선호도가 아닌 노력, 시스템 복잡도, 프로젝트 목표 간 실용적 트레이드오���에 기반해야 한다는 점을 검증한다.