SIL Verificatie in de praktijk

Transcriptie

1 SIL Verificatie in de praktijk Herman Jansen Safety Solutions Consultants 6 november 2008 Herman Jansen Senior Safety Consultant (TNO) SSC BV -TÜV gecertificeerd voor Functional Safety - Leiding geven aan HAZOP studies - Leiding geven aan SIL classificatie studies - Leiding geven aan LOPA en FMEA studies - Uitvoeren van SIL verificatie studies - Leiden van HAZOP/SIL workshops SIL docent HVK opleiding Utrecht 1

2 Doel van beveiligen De tijger in de kooi houden 1 april 2003, Melamine fabriek 2 3doden 2

3 Mei 2007 Opgave Arbeidsinspectie Aantal machine-ongevallen in 2002 en 2003: 797 Referentie: Adequaat beveiligen 1. Weet wat de gevaren zijn. 2. Bepaal het risico. 3. Maak onderscheid tussen regelen en beveiligen (meerdere Independent Protection Layers). 4. Ga na of voldoende en juist beveiligd is. 5. Verifieer de betrouwbaarheid van de beveiligingen. 6. Implementeer onderhouds- en testprogramma. 7. Borg middels een Veiligheid Beheers Systeem. 3

4 Weet wat de gevaren zijn Bijv. door uitvoeren Hazard and Operability (HAZOP) studie. Bepaal het risico Combinatie van Ernst van de gevolgen en de waarschijnlijkheid van voorkomen 4

5 Risicograaf (procesindustrie) C1 (minor injury) Frequency of occurrence W3 (>1x/year) W2 W1 (<1x/10year) a - - Start C2 (Injured) C3 (several killed) P1(can escape) F1 P2 (can not escape) P1 F2 P2 F1 (< few hours/day) 1 a a 2 1 a SIL niveau s SIL 4 geeft het hoogste risico i weer F2 ( > few hours/day) C4 (many killed) na 4 3 LOPA : Faalfrequentie reductie door barrières Bijvoorbeeld SIL beveiliging IPL 1 IPL 2 IPL 3 Gevolgen treden op Initiating Event Impact Event success failure Frequentie Veilige situatie success Ongewenst maar acceptabel success Ongewenst maar acceptabel failure Gevolgen treden op failure Met acceptabele frequentie IPL: Independent Protection Layer 5

6 Risico matrix machineveiligheid Letsel waarschijnlijkheid parameters gebaseerd op IEC 62061, Annex A Weegfactoren Score Blootstelllings >10min <eens/5 jr >eens/5 jr >eens/ jr >eens/2wk >eens/da frequentie < 10min g.. <eens/ jr >eens/ jr >eens/2wk >eens/dag >eens/uur Menselijk gedrag ervaren erv&str, onervaren, geen stress o-erv&g-str. stress Machinegedrag voorspel- niet baar voorspelbaar Afwendbaarheid meestal soms onmogelijk CL score: Letsel ernst(se) Cl=4-5 Cl=6-8 Cl=9-11 Cl= waarschijnlijkheid laag mogelijk hoog Zeer hoog 1 Bezoek Eerste Hulp - - SIL a SIL 1 2 Bezoek arts - SIL a SIL 1 SIL 2 3 Verlies vinger SIL a SIL 1 SIL 2 SIL 3 4 Verlies oog of arm SIL 1 SIL 2 SIL 3 Not Accept. Overzicht SIL 2 beveiliging Ontwerpen van de beveiliging Gevaarsidentificatie (bv HAZOP) Risicobepaling (SIL classificatie) Press. Sensors Logic Solver SIL 2 certified Transfer Pump Inlet Valve b.v. SIL 2 scenario SIL verificatie 6

7 Normen IEC Uitgave 2001 Nucleaire industrie IEC Nog niet uitgegeven gg Power drive systems IEC IEC Uitgave 2005 Uitgave 2000 IEC Uitgave 2003 Machineveiligheid Alternatief: ISO Proces industrie NEN-EN-IEC / 61511/ Functionele veiligheid (veiligheid is afhankelijk van correct functioneren van functies in beveiligingssysteem). Integriteit beveiliging baseren op hoogte van risico. Integriteit uitdrukken als Safety Integrity Level (SIL 1-4). Alle life-cycle fasen (specificatie ontwerp - installatie ingebruikneming bedrijf onderhoud wijzigingen na ingebruikname). Management activiteiten waarborgen (bijv. planning, bekwaamheid van personeel). Integriteit dient geverifieerd te worden. 7

8 Onderscheid tussen regelen en beveiligen Mitigation COMMUNITY EMERGENCY RESPONSE Emergency broadcasting PLANT EMERGENCY RESPONSE Evacuation procedures MITIGATION Mechanical mitigation system Safety instrumented control systems Safety instrumented mitigation systems Operator supervision PREVENTION Mechanical protection system Process alarms with operator corrective action Safety instrumented control systems Safety instrumented prevention systems CONTROL and MONITORING Basic process control systems Monitoring systems (process alarms) Operator supervision PROCESS Layers of Protection Onderscheid tussen regelen en beveiligen Process installation ti Control system PREVENTION CONTROL PROCESS Safeguarding system In de machinesector worden de regeling en de beveiliging vaak gecombineerd. 8

9 Volgorde in beveiligen Inherent beveiligen Mechanisch (breekplaat, veerveiligheid) of Instrumenteel beveiligen Procedurele beveiliging (als het niet anders kan) SFF SIL Verificatie het gaat om de hele loop; PFD DC sensor HWFT SIL LS T Lambda PC SIS Final element DU Type A Prior use PFH Type B Safe failure 9

10 Instrumentele beveiliging sensor Logic Solver Final element SIL= Safety Integrity Level SIF= Safety Instrumented t Function SIS= Safety Instrumented System bestaande uit Sensor(s), Logic Solver+ Final Element(s) Wat is SIL Verificatie? Aantonen dat de beveiliging g voldoet aan de SIL eisen; ; 1. Identificatie van de beveiliging 2. Juiste functie 3. Onafhankelijk van regeling, niet in DCS 4. Architectuur (redundantie) correct 5. Faalkans voldoende laag 10

11 Voorbeeld Hoog niveau beveiliging high level signal gas liquid from Unit 100 XV-01 Separator V1 LT 1 LC 2 liquid from Recovery Unit P-01 CV-02 liquid Beschrijving Gas/vloeistof scheiding in V1. De toevoer vanaf unit 100 is continue. Toevoer vanaf de Recovery Unit is op incidentele basis. HAZOP: Overvullen van V1 is risicovol. SIL classificatie: Overvullen van V1 is een SIL 1 scenario. 11

12 SIL verificatie 1. Identificatie van de beveiliging LT-1 level transmitter I I isolator DCS instr. air XV Juiste Functie? SIL verificatie De toevoer vanaf de Recovery unit wordt niet gestopt. Als de pomp in bedrijf is, dient deze ook te stoppen. 3. Onafhankelijk van de regeling, niet in DCS? Voor regelen én beveiligen is gebruik gemaakt van één transmitter. Niet juist om de logische schakeling in het DCS onder te brengen. 12

13 Verbeterd ontwerp close high level signal gas liquid from Unit 100 XV-01 stop Separator V1 LT 1 LT 2 LC 2 liquid from Recovery Unit P-01 CV-02 liquid LT-1 Verbeterde beveiliging Level transmitter I I Isolator PLC Instr. air XV-01 MCC P-01 13

14 SIL verificatie 4. Architectuur (redundantie) correct? Enkel of redundant uitvoeren? Afhankelijke van: - Toepassing volgens IEC of IEC Type A, Type B dan wel prior use component - Verhouding veilige / gevaarlijke fouten (SFF) -Diagnostic Coverage (detectie gevaarlijke fouten) λ DU Random Hardware failures λ S λ DD Methodiek IEC Safe Failure Fraction HardWare Fault Tolerance type B type A type B type A type B type A < 60% - SIL 1 SIL 1 SIL 2 SIL 2 SIL 3 60%- < 90% SIL 1 SIL 2 SIL 2 SIL 3 SIL 3 SIL 4 90% - < 99% SIL 2 SIL 3 SIL 3 SIL 4 SIL 4 99 % SIL 3 SIL 4 SIL 4 14

15 SIL Methodiek IEC HardWare Fault Tolerance Dominant failure mode is to the safe state Dominant failure mode is not to the safe state Prior use IEC IEC IEC Globale samenvatting Architectuur eisen Minimaal benodigd aantallen voor SIL 1 voor SIL 2 voor SIL 3 Druk Schakelaar Transmitter SIL 2 gecert. Transm Relais Industriële PLC acceptabel niet acceptabel niet acceptabel SIL 3 gecert. PLC acceptabel acceptabel acceptabel Pilot/Solenoid valve Afsluiter /actuator 1 1 a 2 2 a 3 Motorafschakeling

16 SIL verificatie 5. Faalkans voldoende laag? SIL PFD I PLC I PFD SIF = PFD Sens + PFD Is + PFD PLC + PFD klep + PFD pomp PFD=Probability of failure on demand PFD ½ λ DU T/PC T= Proof test interval λ = faalsnelheid PC=Prooftest Coverage factor Faalsnelheden & test gegevens Level transmitter λ DU =6, /h Bron: Sintef Isolator λ -7 DU = 1,5 10 / h Bron: Exida PLC PDF = 5, Bron: TÜV MCC relais λ DU =2, /h Bron: Sintef Solenoid valve λ DU =9, /h Bron: Sintef Afsluiter+ actuator λ DU =2, /h Bron: Exida (default) Prooftest interval T 4 jaar Prooftest coverage factor PC =95% info van plant Inschatting SSC PFD SIF =8,

17 SIL verificatie Overall conclusie De uiteindelijke beveiliging voldoet aan alle integriteiteisen van SIL 1 gebaseerd op een prooftest interval van 4 jaar. Safety Solutions Consultants BV Laan van Westenenk DT Apeldoorn The Netherlands Tel jansen@safety-sc.com Website 17