Handboek · hoofdstuk 46Betrouwbaarheid en risico

Een stilstaande ventilator kan voor één proef alleen opbrengstverlies betekenen, voor een andere ruimte een luchtgevaar. Begin daarom met functie, systeemgrens, bedrijfsmodus en ongewenst gevolg. Beschrijf oorzaak, faalwijze en effect apart: kabelbreuk is een oorzaak, ontbrekende meting een faalwijze, verkeerde warmtevraag een mogelijk systeemeffect.

Een storing hoeft niet direct gevaar te veroorzaken als detectie, begrenzing of onafhankelijke beveiliging werkt. Omgekeerd kan een plausibel fout getal gevaarlijker zijn dan een duidelijke lege cel. Analyseer ook onderhoud, opstart, netwerkverlies en stroomherstel. Een functioneel diagram laat afhankelijkheden zien die een lijst losse componenten mist.

Een Failure Mode and Effects Analysis bespreekt per functie plausibele faalwijzen, oorzaken, lokale en systeemeffecten, detectie, bestaande beheersing en aanvullende actie. Leg eigenaar, bewijs en resterende onzekerheid vast. Het register verandert wanneer ontwerp of proefkennis verandert.

Werk niet alleen met ‘kapot’. Een sensor kan open, kortgesloten, bevroren, verschoven, vertraagd of verkeerd geijkt zijn. Software kan een oude toestand of foutieve eenheid leveren; een actuator kan vast uit én vast aan falen. De primaire NASA GSFC-HDBK-8004 beschrijft FMECA als een levende risicoanalyse. Deze les gebruikt een beperkte stations-FMEA, geen certificeringsrapport.

Teams kunnen ernst S, voorkomen O en detectiemoeilijkheid D met een ordinale schaal rangschikken. Een RPN=S×O×D helpt bespreking, maar de schaalstappen zijn geen echte vermenigvuldigbare fysische kansen. Verschillende combinaties kunnen hetzelfde getal krijgen met heel andere gevolgen.

Een zeer ernstige faalwijze blijft aandacht vragen bij een lage geschatte voorkomen-score. Scores moeten een gedefinieerde context hebben en worden niet omgezet naar FIT of faalkans. Prioriteer ook op hazard, onzekerheid en ontbrekende beheersing. Sluit acties pas na verificatie; een ingeplande maatregel is nog geen gerealiseerde risicoreductie.

Fault Tree Analysis vraagt welke combinatie van gebeurtenissen een precies omschreven ongewenst gevolg veroorzaakt. Een OF-poort vraagt ten minste één oorzaak; een EN-poort alle verbonden oorzaken. De logica hangt van de fysieke functie af. Definieer ook tijdvenster en bedrijfsmodus.

De figuur gebruikt T=(A OF B) EN C: een onveilig verwarmingsverzoek of kortgesloten SSR wordt pas onbegrensde verwarming als ook het onafhankelijke seriepad faalt. Dit veronderstelt dat het seriepad bij vraag werkelijk warmte kan afschakelen. Een minimale snijverzameling is een kleinste set basisevents die T veroorzaakt: hier {A,C} en {B,C}.

R(t) is de kans dat de functie tot t zonder falen werkt. De hazard h(t) is de onmiddellijke faalintensiteit gegeven overleven tot t. Voor een constante λ geldt $dR/dt=-\lambda R$ en R(0)=1. Oplossen geeft $R(t)={\mathrm{e}}^{-\lambda t}$. λ heeft bijvoorbeeld eenheid h⁻¹ als t in uren wordt gebruikt.

De exponentiële verdeling heeft gemiddelde 1/λ voor tijd tot falen. Bij een herstelbaar constant-rateproces correspondeert dit met MTBF; bij een niet-herstelbare populatie spreek je van MTTF. Geen van beide zegt dat elk exemplaar precies die tijd meegaat. De populatie, omgeving en faaldefinitie horen bij het getal.

Als alle onderdelen nodig zijn en hun falen onafhankelijk is, geldt $R_s={\prod }_i{R}_i$. Bij exponentiële modellen wordt $R_s={\mathrm{e}}^{-t{\sum }_i{\lambda }_i}$. Meer vereiste serieonderdelen verlagen zo de missiebetrouwbaarheid, ook wanneer elk onderdeel goed is.

Dit is functionele serie, niet alleen elektrische serie. Controller, sensor, voeding en uitvoerpad kunnen samen een functie vormen. Een extra diagnosefunctie mag in werkelijkheid de bestaande functie niet onverwacht blokkeren. Leg vast welk deel noodzakelijk is en wat bij diens uitval nog bruikbaar blijft.

Als minstens één van n onafhankelijke paden voldoende is, is de totale faalkans het product van alle padfaalkansen. Daarom $R_p=1-{\prod }_i(1-R_i)$. Voor twee gelijke paden is dit $1-(1-R{)}^2$.

Actieve redundantie verschilt van standby: omschakelen kan falen en reserveonderdelen kunnen verborgen defect zijn. Voeg detectie, schakelpad, voeding en onderhoud toe aan het model. Twee probes die verschillende toestanden meten zijn geen uitwisselbare redundante meting. Ook dezelfde firmware, ADC-referentie of montage kan onafhankelijkheid breken.

Een systeem kan gedurende een jaar meerdere keren falen en snel herstellen. Beschikbaarheid vraagt het aandeel tijd bruikbaar, niet de kans op geen enkele storing. In een eenvoudige stationaire afwisseling van bedrijf en uitval geldt $A=\mathrm{MTBF}/(\mathrm{MTBF}+\mathrm{MDT})$, met MDT de gemiddelde totale uitvaltijd.

MDT omvat detectie, wachten, onderdelen, reparatie en herstart. MTTR kan alleen de reparatietijd aanduiden en is dan kleiner. Bij MTBF=50000 h en MDT=2 h volgt A=0,999960. Dat hoge aandeel maakt een zeldzaam ernstig incident niet aanvaardbaar. Ontwerp herstelbaar gedrag én beheerste gevolgen.

Een populatie kan vroeg verhoogde intensiteit hebben door fabricage- of montageproblemen, daarna een ongeveer constant gebied en later slijtage. De badkuipcurve vat dat mogelijke patroon samen. Andere producten hebben een andere vorm; softwarebugs slijten bijvoorbeeld niet zoals lagers.

Een constant-rate-MTBF uit de middenfase is niet vanzelf toepasbaar op een oud onderdeel of nieuwe montage. Koppel onderhoud aan mechanismen en proefkennis. Burn-in kan bepaalde vroege defecten vinden, maar bewijst niet dat alle latere hazards beheerst zijn. Primair: NIST badkuipcurve en exponentieel model, geraadpleegd 30-09-2026.

Alles uitschakelen is geen universeel veilige toestand. Verwarming uit kan oververhitting voorkomen maar vorstschade vergroten. Ventilatie uit kan een luchtprobleem verergeren. Kies per hazard, modus en tijdschaal welke lokale reactie risico beheerst, met voldoende voeding en detectie.

Voor een kortgesloten heater-SSR moet het onafhankelijke seriepad fysisch energie kunnen onderbreken. Een software-uitcommando aan dezelfde SSR helpt dan niet. Voor netwerkverlies behoudt de lokale klimaatlus een geteste beperkte modus. Een watchdog helpt alleen als reset en opstartuitgangen aantoonbaar passend zijn. De concrete beveiliging vraagt componentselectie en toepasselijke productnormen; lescode is geen gecertificeerde noodstop.