Severità' e Frequenze dei Guasti d'impianto. Fig. 4 Rappresentazione grafica della Procedura FMECA

Transcript

1 FMECA La metodologia FMECA (Failure Mode, Effects and Criticality Analysis) è quella della Analisi dei Modi di Guasto come codificata dalle Norme CEI 56.1 (IEC 812,1985), MIL-STD 1629-A. Tale metodologia descrive una procedura tabellare che esamina "dal basso in alto", con logica di tipo induttivo, le conseguenze sui Sistemi dei possibili Modi di Guasto dei loro Componenti. Tali conseguenze sono esaminate sia dal punto di vista qualitativo, cioè degli eventi (e della loro gravità) che i vari modi di guasto dei componenti provocano sui sistemi ai vari livelli gerarchici, sia dal punto di vista quantitativo, cioè della frequenza in cui tali eventi si verificano. Si forma così una catena probabilistica Cause-Conseguenze che lega i Modi di Guasto dei Componenti ai Modi Guasto dei Sistemi. In questo modo, diviene nota la probabilità che un certo inconveniente osservato su un sistema sia causato da un modo di guasto di un suo certo componente. Ciò facilita la diagnostica e l isolamento del guasto in sede di manutenzione e consente di valutare il fattore di l ambiguità in sede di previsione di disponibilità.. L analisi è dapprima condotta in modo qualitativo: FMEA (Failure Mode, Effects Analysis); poi si possono introdurre criteri quantitativi come i tassi di guasto dei componenti, le percentuali di tasso di guasto che afferisce a ciascun modo di guasto e la probabilità che, guastatosi un componente di un sistema, ciò determini il guasto del sistema stesso. Una rappresentazione grafica della procedura è mostrata in Fig.4. Fig. 4 Rappresentazione grafica della Procedura FMECA Severità' e Frequenze dei Guasti d'impianto 1

2 Dal punto di vista della severità delle conseguenze, classifica gli Eventi Finali, riguardanti cioè nel caso nostro, l'impianto, secondo quattro categorie di eventi di severità decrescenti -I Catastrofica, cioè la massima prevedibile; generalmente implica anche perdite di vite umane. Nel nostro caso tuttavia, é stato considerato catastrofico l'evento di grave danneggiamento dell'impianto Tale evento, infatti, in mancanza di funzionamento adeguato delle protezioni porta alla distruzione di parti essenziali dell'impianto stesso. Si sono esclusi eventi che coinvolgessero la vita umana, non trattandosi in questa sede di sistemi rilevanti ai fini della sicurezza. -2 Critica, cioè assai grave e che può portare al fallimento della missione. Tenendo conto che la missione nel nostro caso, consiste nel rispetto della disponibilità di obiettivo e che essa viene valutata dal tempo medio in cui l'impianto funziona a piena potenza, è stato qui considerato critico un evento che porti ad un degrado di potenza maggiore o uguale al 25%. cioè alla messa fuori servizio per un tempo assai lungo di una potenza paragonabile alla Turbina a Vapore. -3.Condizione Limite, in genere coincidente con un degrado di funzionamento non incompatibile col raggiungimento della missione. Nel nostro caso, si considera un evento che porti ad un degrado di potenza inferiore al 25% per un tempo limitato, quindi senza danneggiamento del macchinario o al blocco in emergenza del Gruppo. -4. Tollerabile, cioè che non ha alcun effetto pratico ai fini del raggiungimento della missione. In genere coincide con degradi di funzionamento del tutto tollerabili per un tempo indeterminato o che non hanno effetto sulla missione. Dal punto di vista della frequenza, la metodologia FMECA classifica inoltre gli eventi, in 5 categorie E = estremamente remota D = remota -3. -C = Occasionale -4. -B = Ragionevolmente Probabile -5. -A = Frequente Assunzioni pratiche L'associazione delle 5 categorie con soglie di probabilità adeguate è elemento di giudizio dipendente dal problema in esame. Nei casi di rilevanza commerciale, si assume il criterio di dimensionare le 5 soglie corrispondenti alla 5 categorie in funzione dell'mtbf stimato dell'impianto e al tempo di missione medio T concordato in specifica. Essendo MTBFO, T dell ordine dei due, tre mesi (T= ore), si assumono in genere i seguenti valori: Prob(E) < 10-4 ; ciò corrisponde all'assunzione che: MTBFimp MTBF MTBF T com p imp

3 ovvero che il tempo di missione T dell'impianto utilizzi 10-4 parti dell'mtbf del componente che determina l'evento estremamente raro temuto. Con criteri analoghi, sono associati i seguenti valori di probabilità alle altre 4 categorie: Prob(D) = 10-4, Prob(C) = 10-3, Prob(B) = 10-2, Prob(A) = 10-1, In questo modo, ciascun componente, fonte di guasto per l'impianto, può appartenere a 20 possibili categorie di criticità: da A1 a E4. I valori sopra riportati delle probabilità, associati alle frequenze A, B, C, D, E degli eventi, sono associati anche alla Severità degli Effetti finali temuti sull'impianto (END EFFECT). In TABELLA A è riportata la associazione tra - le frequenze di evento e le loro denominazioni convenzionali; - i gradi di severità degli eventi finali (End Effect) e gli eventi stessi, Tale associazione viene utilizzata nella Tabella A, "CRITICALITY MATRIX", dove vengono messe in relazione diretta le severità degli End Effect e le loro frequenze. 3

4 TABELLA A GRUPPO FREQUENZE END EFFECT Denominazion e Valore Probabilità Denominazione Grado Severità A 0,1 Danneggiamento a persone e alle macchine per lungo tempo e una potenza maggiore del 25% B 0,01 Danneggiamento alle macchine per lungo tempo e una potenza minore del 25% C 10-3 Blocco del Gruppo in emergenza D 10-4 Blocco del Gruppo pilotato E <10-4 Degrado Affidabilità. Impianto Coefficienti di Criticità Allo scopo di individuare meglio la criticità dei componenti, cioè il loro peso nel contribuire alla indisponibilità dell'impianto, sono stati considerati i seguenti parametri aggiuntivi: - il Rapporto del Modo di Guasto α, che è la frazione di tasso di guasto afferente ad un modo di guasto - il Coefficiente di Probabilità dell'effetto di Guasto β che rappresenta la probabilità che un sistema si guasti, dato che si è guastato un suo specifico componente. Entrambi i coefficienti contribuiscono alla determinazione dei Numeri di Criticità applicabili sia ai Modi di Guasto dei singoli componenti e sottosistemi, sia agli stessi componenti e sottosistemi. Nel primo caso, il Numero di criticità indica la probabilità che un certo Modo di Guasto determini un evento temuto di prestabilita Severità; nel secondo caso, il Numero di Criticità indica la somma delle probabilità che i diversi Modi di Guasto, provenienti dai componenti o sottosistemi di livello gerarchico più basso, determinino l'evento temuto di prestabilita Severità. Analisi FMECA 4

5 Nella conduzione di uno FMECA, si intendono noti i modi guasto del Sistema e dei Sottosistemi riparabili, nonchè dei Componenti sostituibili. Tutti i modi guasti significativi devono pertanto essere identificati fin dall inizio della fase di progetto. Subito dopo, devono essere identificati gli effetti sugli altri sottosistemi e componenti. Lo FMECA deve segnalare se i requisiti di manutenzione riguardano la linea, l officina o il fornitore presso cui viene eseguita l operazione di manutenzione. Poiché lo FMECA richiede di determinare i Modi di Guasto, gli effetti, le azioni correttive, deve intendersi come una analisi interdisciplinare. L Albero dei Guasti e l Albero degli Eventi. L Albero degli Eventi è un diagramma ad albero che consente sia di rappresentare la sequenza dei possibili eventi (guasto o successo) sia di calcolare le probabilità successive delle combinazioni degli eventi. Fu applicato ampiamente dalla NRC nello studio Reactor Safety Study, negli anni 70, noto come Rapporto Rasmussen. L Albero degli Eventi si presta a studi sulla sicurezza dei sistemi perché serve a rappresentare una sequenza di situazioni, accettabili o non accettabili, che scaturiscono da un evento temuto di partenza, detto appunto evento inizializzatore. Poiché a ciascun evento è associata una probabilità, sono ricavabili le probabilità successive degli eventi conseguenti. L approccio, come si vede, è di tipo induttivo, come nello FMECA, perché parte da un evento ipotizzato all inizio, che può riguardare qualsiasi componente nell Albero del Prodotto. Occorre pertanto una certa conoscenza del sistema esaminato. Il vantaggio è la semplicità della rappresentazione che consente di separare subito gli eventi favorevoli da quelli sfavorevoli, senza dover ricorrere alla rappresentazione di tutte le possibili situazioni e poi al raggruppamento dei casi favorevoli da una parte e di quelli sfavorevoli dall altra, come è stato fatto in Appendice_D nel calcolo della Disponibilità Equivalente. Per dare un ordine di grandezza della semplificazione introdotta, basti pensare che se un sistema è composto da n elementi, il numero di situazioni possibili è 2 n. Tali situazioni vanno poi, come accennato, separate utilizzando per esempio un RBD. L Albero degli Eventi invece, rappresentando le situazioni direttamente, consente partendo da n biforcazioni, (pari a n coppie di situazioni) di rappresentare in modo successivo 2n+1 situazioni possibili già raggruppate. Nei casi pratici, si possono fare ulteriori semplificazioni (Vedi Fig.12(II)) In Fig.App_E(I) è rappresentato, a titolo di esempio, l Albero degli Eventi, preso a prestito dal rapporto Rasmussen, relativo ad un possibile LOCA generato dalla rottura di un tubo di uno scambiatore di calore. Come si vede, in Fig.12(I) vi sono 15 biforcazioni e 31 possibili situazioni, il calcolo della probabilità di ciascuna situazione è fatto successivamente moltiplicando fra loro le probabilità degli eventi generatori. Dette pertanto, Pb, Pc, Pd, Pe le probabilità di guasto rispettivamente del Tubo, dell Impianto Elettrico, dell ECCS, del Sistema di Rimozione dei prodotti di fissione e del Sistema di Contenimento, le relative probabilità di salvezza sono 1-, 1-Pb, 1-Pc, 1-Pd, 1-Pe. Come si vede, la probabilità P1 corrispondente all evento 1, il più alto a destra, di sola rottura del tubo, è pari a: P1 = *(1-Pc1)*(1-Pd1)*(1-Pe1) Se si ammette che siano Pc1, Pd1, Pe1 << 1, P1. Nell analisi riportata in Fig.12(I), si sono supposti gli eventi di guasto indipendenti. In realtà, supponendo un potente terremoto rompa il tubo, metta fuori uso l impianto elettrico e di conseguenza sia l ECCS che l impianto di rimozione dei prodotti di fissione, l albero degli eventi si riduce a quello rappresentato in Fig.12(II). 5

6 a b c d e Rottura tubo Im pianto elettrico ECCS Im p. Rim oz. Prod. fissione 1-Pd 1 Barriera contenimento Pe 1 Pe 1 1-Pb 1-Pc 1 Pc 1 Pd 1 1-Pd 2 Pd 2 Pe 2 Pe 3 Pe 4 Pd 1 Pd 1 Pe 2 Pc 1 Pc 1 Pe 3 Pc 1 Pd 2 Pc 1 Pd 2 Pe 4 Evento in izia tore Ko Pb 1-Pc 2 Pc 2 1-Pd 3 (I) Pd 3 1-Pd 4 Pd 4 Pe 5 Pe 6 Pe 7 Pe 8 Pb Pb Pe 5 Pb Pd 3 Pb Pd 3 Pe 6 Pb Pc 2 Pb Pc 2 Pe 7 Pb Pc 2 Pd 4 Pb Pc 2 Pd 4 Pe 8 1-Pd 1 Pe 1 Pe 1 1-Pc 1 Pd 1 Pe 2 Pd 1 Pd 1 Pe 2 Evento in izia tore 1-Pb Pc 1 1-Pd 2 Pd 2 Pc 1 Pc 1 Pd 2 Pb (II) Pb Figure 1(I) e12 (II) - Albero degli Eventi per analisi di sicurezza di un Reattore Nucleare 6