1. Kết quả đạt ở lần thử cuối chưa mô tả cả khoảng vận hành
Hàng rào an toàn có thể cần thực hiện chức năng chỉ khi một yêu cầu xuất hiện. Một lỗi nguy hiểm chưa được phát hiện có thể tồn tại giữa hai lần kiểm tra, dù lần kiểm tra trước đã đạt. Vì vậy, câu hỏi phân tích là khả năng không thực hiện được chức năng tại thời điểm có yêu cầu, cùng điều kiện và thời gian mà kết quả đó đại diện.
Tài liệu HSE về hệ thống điều khiển liên hệ độ sẵn sàng với khả năng thực hiện chức năng khi được yêu cầu và nhấn mạnh vai trò của phát hiện lỗi, thử nghiệm, bảo trì và khôi phục hệ thống sau thử.[1] Bài này xây dựng ví dụ xác suất cho một kênh đơn giản. Nó không xác lập cấp SIL, chu kỳ thử được chấp thuận hoặc quy trình thao tác thiết bị.
2. Mô hình một dạng hỏng ẩn và phép thử hoàn hảo
Giả định kênh bắt đầu ở trạng thái tốt; lỗi nguy hiểm chưa phát hiện có tốc độ không đổi λ_DU; lỗi tồn tại cho đến lần thử kế tiếp. Phép thử phát hiện mọi lỗi đang xét và khôi phục ngay kênh về trạng thái tốt. Chưa tính thời gian thử, thời gian sửa chữa, lỗi chung, lỗi hệ thống hay ảnh hưởng của điều kiện quá trình.
Trong mô hình mũ, xác suất lỗi đã xuất hiện tại thời điểm t sau lần khôi phục là q(t) = 1 − exp(−λ_DU t). Nếu yêu cầu độc lập với trạng thái thiết bị và có khả năng xuất hiện đều theo thời gian trong khoảng thử T, xác suất không sẵn sàng trung bình là trung bình thời gian của q(t):
PFD_avg = (1/T) ∫ từ 0 đến T [1 − exp(−λ_DU t)] dt
PFD_avg = 1 − [1 − exp(−λ_DU T)]/(λ_DU T)
Khi λ_DU T nhỏ: PFD_avg ≈ λ_DU T/2
Tích λ_DU T phải không thứ nguyên. Nếu λ_DU có đơn vị h⁻¹ thì T phải dùng giờ. PFD_avg là xác suất không thực hiện được chức năng theo giả thiết nêu trên, không phải tốc độ sự cố của toàn nhà máy.
3. Giá trị ở cuối khoảng khác giá trị trung bình
Chọn λ_DU = 2 × 10⁻⁶ h⁻¹ và T = 4.000 h, hoàn toàn là số giả định. Khi đó λ_DU T = 0,008. Xác suất hỏng tại cuối khoảng và xác suất trung bình là:
q(T) = 1 − exp(−0,008) = 0,00796809
PFD_avg = 1 − [1 − exp(−0,008)]/0,008
PFD_avg = 0,00398935
Xấp xỉ tuyến tính = 0,00400000
Giá trị cuối khoảng gần gấp đôi trung bình vì trong mô hình này lỗi tích lũy dần từ trạng thái tốt. Lấy tỷ lệ hỏng quan sát ở cuối khoảng rồi gọi trực tiếp đó là PFD trung bình sẽ làm lẫn hai đại lượng.
Xấp xỉ λ_DU T/2 cao hơn giá trị chính xác khoảng 0,2668% trong ví dụ. Đây là sai khác tương đối của phép xấp xỉ, không phải độ không chắc chắn của λ_DU. Dữ liệu tốc độ hỏng có thể kém chắc chắn hơn nhiều so với sai số do bỏ các số hạng bậc cao.
4. Đổi khoảng thử trong cùng mô hình
Giữ λ_DU, giảm T xuống 2.000 h cho PFD_avg = 0,00199734; tăng T lên 8.000 h cho 0,00795750. Các kết quả gần tỷ lệ với T khi λ_DU T còn nhỏ. Quan hệ này chỉ đúng cho các giả thiết đã dùng, không bao gồm chi phí, rủi ro phát sinh trong thử hoặc các dạng lỗi mà phép thử không nhận diện được.
Nếu phép thử làm thiết bị tạm không sẵn sàng hoặc có thể để lại một trạng thái cấu hình sai, tăng số lần thử không thể được đánh giá chỉ bằng số hạng λ_DU T/2. Cần đặt mọi khoảng không sẵn sàng lên cùng trục thời gian và xác định chức năng còn được bảo đảm bằng phương án nào trong từng khoảng.
5. Độ bao phủ thử không phải tỷ lệ lần thử đạt
exida giải thích độ bao phủ proof test bằng phần tốc độ lỗi nguy hiểm chưa được chẩn đoán tự động mà phép thử có khả năng phát hiện; đây là đại lượng theo các dạng lỗi và tác động của chúng.[2] Nó khác tỷ lệ hồ sơ có kết quả đạt và cũng khác độ bao phủ chẩn đoán tự động.
Giả định tổng λ_DU = 2 × 10⁻⁶ h⁻¹ được chia thành hai nhóm dạng lỗi không chồng lặp. Phép thử từng phần phát hiện và khôi phục nhóm chiếm c = 0,80, thực hiện mỗi 1.000 h. Nhóm còn lại chỉ được phát hiện, khôi phục trong thử đầy đủ mỗi 8.000 h. Thử đầy đủ cũng khôi phục nhóm thứ nhất; các mốc thử được bố trí đồng bộ.
Với các xác suất nhỏ, bỏ số hạng tích của hai nhóm, trung bình gần đúng là tổng trung bình từng nhóm:
PFD_avg ≈ λ_DU [c T_partial/2 + (1 − c) T_full/2]
PFD_avg ≈ 2 × 10⁻⁶ [0,80 × 1.000/2 + 0,20 × 8.000/2]
PFD_avg ≈ 0,002400
Nếu không có thử từng phần, xấp xỉ tương ứng là 0,008000. Phần giảm trong mô hình là 70%. Tuy nhiên, nhóm không được phát hiện bởi thử từng phần vẫn đóng góp 0,001600, tức hai phần ba kết quả mới. Rút ngắn khoảng thử từng phần mãi không loại bỏ được phần này.
Nghiên cứu của Brissaud, Barros và Bérenguer phân biệt thử từng phần chỉ phát hiện một số lỗi với thử đầy đủ và khôi phục về trạng thái như mới; bài nghiên cứu xét cả cách phân bố thời điểm thử.[3] Ví dụ ở đây dùng mô hình hai nhóm tự xây dựng, không sao chép bộ số hay kết quả tối ưu hóa của nghiên cứu đó.
6. Suy ngược tốc độ hỏng từ dữ liệu cuối khoảng
Giả định có 500 quan sát độc lập của các kênh đồng nhất, mỗi quan sát bắt đầu ngay sau khôi phục và kéo dài đúng 4.000 h. Mọi lỗi thuộc nhóm đang xét đều được phép thử cuối khoảng phát hiện. Nếu bốn quan sát phát hiện lỗi, ước lượng tỷ lệ hỏng cuối khoảng là q_hat = 4/500 = 0,008.
λ_hat = −ln(1 − q_hat)/T
λ_hat = −ln(0,992)/4.000 = 2,00804 × 10⁻⁶ h⁻¹
PFD_avg_hat = 0,00400535
Tỷ lệ đạt 99,2% chỉ mô tả kết quả cuối khoảng của tập quan sát theo các điều kiện này. Nó không đồng nghĩa độ sẵn sàng trung bình bằng 99,2%. Công thức suy ngược cũng không phù hợp nếu các lần thử có độ bao phủ khác nhau, khoảng cách khác nhau hoặc chỉ những thiết bị nghi ngờ mới được đưa vào mẫu.
Nhiều lần thử lặp trên cùng một thiết bị có thể có phụ thuộc do môi trường hoặc dạng lỗi chung. Khi đó 500 dòng dữ liệu không đương nhiên tương đương 500 quan sát độc lập. Nhật ký phải giữ mã thiết bị và lịch sử khôi phục để kiểm tra giả thiết này.
7. Không phát hiện lỗi vẫn có giới hạn suy luận
Nếu không phát hiện lỗi trong 500 quan sát như trên, ước lượng điểm q_hat bằng không. Giới hạn trên một phía 95% của q theo mô hình nhị thức được suy ra từ xác suất cả 500 quan sát không hỏng:
(1 − q_U)^500 = 0,05
q_U = 1 − 0,05^(1/500) = 0,00597355
λ_U = −ln(0,05)/(500 × 4.000) = 1,49787 × 10⁻⁶ h⁻¹
Đưa λ_U vào cùng mô hình cho giới hạn tương ứng của PFD_avg khoảng 0,00298976. Đây là giới hạn thống kê có điều kiện trên mô hình và chất lượng quan sát, không phải cam kết thiết bị thực luôn đạt một mức xác suất nhất định. Nếu phép thử bỏ sót dạng lỗi, dữ liệu không lỗi quan sát không giới hạn được phần bị bỏ sót bằng phép tính này.
8. Nhật ký thời gian giúp tránh cộng trùng
Xét riêng 8.000 h có 12 h thử làm mất chức năng và 18 h bypass do hoạt động khác, trong đó bốn giờ trùng nhau. Thời gian không sẵn sàng do hai nguyên nhân quan sát được là 12 + 18 − 4 = 26 h, tương ứng 0,00325 của tổng thời gian. Cộng 12 và 18 mà không trừ phần trùng sẽ tính hai lần cùng một khoảng.
Phần thời gian đã biết này chưa thể cộng máy móc với PFD hỏng ẩn nếu hai mô hình đang bao phủ cùng thời gian hoặc cùng dạng lỗi. Cần xác định miền thời gian, trạng thái thay thế, kết quả sửa chữa và xác nhận khôi phục trước khi hợp nhất. Giá trị của dữ liệu thử nằm ở khả năng nối một kết quả đạt hoặc không đạt với chức năng, dạng lỗi, khoảng thời gian và hành động khôi phục cụ thể.
Nguồn tham khảo
[1] Control systems — availability, proof testing and maintenance — UK Health and Safety Executive, Technical Measures Document. Truy cập ngày 09/11/2026.
[2] How to Calculate Proof Test Coverage — William Goble, exida, 16/10/2014. Truy cập ngày 09/11/2026.
[3] Probability of Failure of Safety-Critical Systems Subject to Partial Tests — Florent Brissaud, Anne Barros and Christophe Bérenguer, 2010; primary abstract consulted. Truy cập ngày 09/11/2026.
Rà soát nội dung: 09/11/2026.
Hàng rào an toàn có thể cần thực hiện chức năng chỉ khi một yêu cầu xuất hiện. Một lỗi nguy hiểm chưa được phát hiện có thể tồn tại giữa hai lần kiểm tra, dù lần kiểm tra trước đã đạt. Vì vậy, câu hỏi phân tích là khả năng không thực hiện được chức năng tại thời điểm có yêu cầu, cùng điều kiện và thời gian mà kết quả đó đại diện.
Tài liệu HSE về hệ thống điều khiển liên hệ độ sẵn sàng với khả năng thực hiện chức năng khi được yêu cầu và nhấn mạnh vai trò của phát hiện lỗi, thử nghiệm, bảo trì và khôi phục hệ thống sau thử.[1] Bài này xây dựng ví dụ xác suất cho một kênh đơn giản. Nó không xác lập cấp SIL, chu kỳ thử được chấp thuận hoặc quy trình thao tác thiết bị.
2. Mô hình một dạng hỏng ẩn và phép thử hoàn hảo
Giả định kênh bắt đầu ở trạng thái tốt; lỗi nguy hiểm chưa phát hiện có tốc độ không đổi λ_DU; lỗi tồn tại cho đến lần thử kế tiếp. Phép thử phát hiện mọi lỗi đang xét và khôi phục ngay kênh về trạng thái tốt. Chưa tính thời gian thử, thời gian sửa chữa, lỗi chung, lỗi hệ thống hay ảnh hưởng của điều kiện quá trình.
Trong mô hình mũ, xác suất lỗi đã xuất hiện tại thời điểm t sau lần khôi phục là q(t) = 1 − exp(−λ_DU t). Nếu yêu cầu độc lập với trạng thái thiết bị và có khả năng xuất hiện đều theo thời gian trong khoảng thử T, xác suất không sẵn sàng trung bình là trung bình thời gian của q(t):
PFD_avg = (1/T) ∫ từ 0 đến T [1 − exp(−λ_DU t)] dt
PFD_avg = 1 − [1 − exp(−λ_DU T)]/(λ_DU T)
Khi λ_DU T nhỏ: PFD_avg ≈ λ_DU T/2
Tích λ_DU T phải không thứ nguyên. Nếu λ_DU có đơn vị h⁻¹ thì T phải dùng giờ. PFD_avg là xác suất không thực hiện được chức năng theo giả thiết nêu trên, không phải tốc độ sự cố của toàn nhà máy.
3. Giá trị ở cuối khoảng khác giá trị trung bình
Chọn λ_DU = 2 × 10⁻⁶ h⁻¹ và T = 4.000 h, hoàn toàn là số giả định. Khi đó λ_DU T = 0,008. Xác suất hỏng tại cuối khoảng và xác suất trung bình là:
q(T) = 1 − exp(−0,008) = 0,00796809
PFD_avg = 1 − [1 − exp(−0,008)]/0,008
PFD_avg = 0,00398935
Xấp xỉ tuyến tính = 0,00400000
Giá trị cuối khoảng gần gấp đôi trung bình vì trong mô hình này lỗi tích lũy dần từ trạng thái tốt. Lấy tỷ lệ hỏng quan sát ở cuối khoảng rồi gọi trực tiếp đó là PFD trung bình sẽ làm lẫn hai đại lượng.
Xấp xỉ λ_DU T/2 cao hơn giá trị chính xác khoảng 0,2668% trong ví dụ. Đây là sai khác tương đối của phép xấp xỉ, không phải độ không chắc chắn của λ_DU. Dữ liệu tốc độ hỏng có thể kém chắc chắn hơn nhiều so với sai số do bỏ các số hạng bậc cao.
4. Đổi khoảng thử trong cùng mô hình
Giữ λ_DU, giảm T xuống 2.000 h cho PFD_avg = 0,00199734; tăng T lên 8.000 h cho 0,00795750. Các kết quả gần tỷ lệ với T khi λ_DU T còn nhỏ. Quan hệ này chỉ đúng cho các giả thiết đã dùng, không bao gồm chi phí, rủi ro phát sinh trong thử hoặc các dạng lỗi mà phép thử không nhận diện được.
Nếu phép thử làm thiết bị tạm không sẵn sàng hoặc có thể để lại một trạng thái cấu hình sai, tăng số lần thử không thể được đánh giá chỉ bằng số hạng λ_DU T/2. Cần đặt mọi khoảng không sẵn sàng lên cùng trục thời gian và xác định chức năng còn được bảo đảm bằng phương án nào trong từng khoảng.
5. Độ bao phủ thử không phải tỷ lệ lần thử đạt
exida giải thích độ bao phủ proof test bằng phần tốc độ lỗi nguy hiểm chưa được chẩn đoán tự động mà phép thử có khả năng phát hiện; đây là đại lượng theo các dạng lỗi và tác động của chúng.[2] Nó khác tỷ lệ hồ sơ có kết quả đạt và cũng khác độ bao phủ chẩn đoán tự động.
Giả định tổng λ_DU = 2 × 10⁻⁶ h⁻¹ được chia thành hai nhóm dạng lỗi không chồng lặp. Phép thử từng phần phát hiện và khôi phục nhóm chiếm c = 0,80, thực hiện mỗi 1.000 h. Nhóm còn lại chỉ được phát hiện, khôi phục trong thử đầy đủ mỗi 8.000 h. Thử đầy đủ cũng khôi phục nhóm thứ nhất; các mốc thử được bố trí đồng bộ.
Với các xác suất nhỏ, bỏ số hạng tích của hai nhóm, trung bình gần đúng là tổng trung bình từng nhóm:
PFD_avg ≈ λ_DU [c T_partial/2 + (1 − c) T_full/2]
PFD_avg ≈ 2 × 10⁻⁶ [0,80 × 1.000/2 + 0,20 × 8.000/2]
PFD_avg ≈ 0,002400
Nếu không có thử từng phần, xấp xỉ tương ứng là 0,008000. Phần giảm trong mô hình là 70%. Tuy nhiên, nhóm không được phát hiện bởi thử từng phần vẫn đóng góp 0,001600, tức hai phần ba kết quả mới. Rút ngắn khoảng thử từng phần mãi không loại bỏ được phần này.
Nghiên cứu của Brissaud, Barros và Bérenguer phân biệt thử từng phần chỉ phát hiện một số lỗi với thử đầy đủ và khôi phục về trạng thái như mới; bài nghiên cứu xét cả cách phân bố thời điểm thử.[3] Ví dụ ở đây dùng mô hình hai nhóm tự xây dựng, không sao chép bộ số hay kết quả tối ưu hóa của nghiên cứu đó.
6. Suy ngược tốc độ hỏng từ dữ liệu cuối khoảng
Giả định có 500 quan sát độc lập của các kênh đồng nhất, mỗi quan sát bắt đầu ngay sau khôi phục và kéo dài đúng 4.000 h. Mọi lỗi thuộc nhóm đang xét đều được phép thử cuối khoảng phát hiện. Nếu bốn quan sát phát hiện lỗi, ước lượng tỷ lệ hỏng cuối khoảng là q_hat = 4/500 = 0,008.
λ_hat = −ln(1 − q_hat)/T
λ_hat = −ln(0,992)/4.000 = 2,00804 × 10⁻⁶ h⁻¹
PFD_avg_hat = 0,00400535
Tỷ lệ đạt 99,2% chỉ mô tả kết quả cuối khoảng của tập quan sát theo các điều kiện này. Nó không đồng nghĩa độ sẵn sàng trung bình bằng 99,2%. Công thức suy ngược cũng không phù hợp nếu các lần thử có độ bao phủ khác nhau, khoảng cách khác nhau hoặc chỉ những thiết bị nghi ngờ mới được đưa vào mẫu.
Nhiều lần thử lặp trên cùng một thiết bị có thể có phụ thuộc do môi trường hoặc dạng lỗi chung. Khi đó 500 dòng dữ liệu không đương nhiên tương đương 500 quan sát độc lập. Nhật ký phải giữ mã thiết bị và lịch sử khôi phục để kiểm tra giả thiết này.
7. Không phát hiện lỗi vẫn có giới hạn suy luận
Nếu không phát hiện lỗi trong 500 quan sát như trên, ước lượng điểm q_hat bằng không. Giới hạn trên một phía 95% của q theo mô hình nhị thức được suy ra từ xác suất cả 500 quan sát không hỏng:
(1 − q_U)^500 = 0,05
q_U = 1 − 0,05^(1/500) = 0,00597355
λ_U = −ln(0,05)/(500 × 4.000) = 1,49787 × 10⁻⁶ h⁻¹
Đưa λ_U vào cùng mô hình cho giới hạn tương ứng của PFD_avg khoảng 0,00298976. Đây là giới hạn thống kê có điều kiện trên mô hình và chất lượng quan sát, không phải cam kết thiết bị thực luôn đạt một mức xác suất nhất định. Nếu phép thử bỏ sót dạng lỗi, dữ liệu không lỗi quan sát không giới hạn được phần bị bỏ sót bằng phép tính này.
8. Nhật ký thời gian giúp tránh cộng trùng
Xét riêng 8.000 h có 12 h thử làm mất chức năng và 18 h bypass do hoạt động khác, trong đó bốn giờ trùng nhau. Thời gian không sẵn sàng do hai nguyên nhân quan sát được là 12 + 18 − 4 = 26 h, tương ứng 0,00325 của tổng thời gian. Cộng 12 và 18 mà không trừ phần trùng sẽ tính hai lần cùng một khoảng.
Phần thời gian đã biết này chưa thể cộng máy móc với PFD hỏng ẩn nếu hai mô hình đang bao phủ cùng thời gian hoặc cùng dạng lỗi. Cần xác định miền thời gian, trạng thái thay thế, kết quả sửa chữa và xác nhận khôi phục trước khi hợp nhất. Giá trị của dữ liệu thử nằm ở khả năng nối một kết quả đạt hoặc không đạt với chức năng, dạng lỗi, khoảng thời gian và hành động khôi phục cụ thể.
Nguồn tham khảo
[1] Control systems — availability, proof testing and maintenance — UK Health and Safety Executive, Technical Measures Document. Truy cập ngày 09/11/2026.
[2] How to Calculate Proof Test Coverage — William Goble, exida, 16/10/2014. Truy cập ngày 09/11/2026.
[3] Probability of Failure of Safety-Critical Systems Subject to Partial Tests — Florent Brissaud, Anne Barros and Christophe Bérenguer, 2010; primary abstract consulted. Truy cập ngày 09/11/2026.
Rà soát nội dung: 09/11/2026.
