Introductie in de SIL classificatie

Transcriptie

1 Walter Stoops Application Consultant Introductie in de SIL classificatie

2 Agenda - Wat betekenen al die termen? - Wat is SIL classificatie? - Wat zijn de belangrijkste standaarden? - Hoe bepaalt u wat aanvaardbare risico s zijn? - SIL en EX? mei

3 IEC 65 Part Proces besturing Walter Stoops 7/0/04 3

4 IEC/EN 6508 Part 5 00 Annex C Tolerabel risico - ALARP. Definitie Elk risico moet teruggebracht worden voor zover dat redelijkerwijs praktisch uitvoerbaar is of tot een niveau welk is As Low As Reasonable Practible. Algemeen geaccepteerde waarden: upper limit x 0-4 deaths per year lower limit x 0-6 deaths per year Intolerable region The ALARP or tolerability region (Risk is undertaken only if a benefit is desired) Broadly acceptable region (No need for detailed working to demonstrate ALARP) Negligible risk Risk cannot be justified except in extraordinary circumstances Tolerable only if further risk reduction is impracticable or if its cost is grossly disproportionate to the improvement gained As the risk is reduced, the less, proportionately, it is necessary to spend to reduce it further to satisfy ALARP. The concept of diminishing proportion is shown by the triangle. It is necessary to maintain assurance that risk remains at this level Walter Stoops 7/0/04 4

5 IEC/EN 6508 Part 5 00 Annex C Tolerabel risico - ALARP Table C. Risk classification of accidents Frequency Consequence Catastrophic Critical Marginal Negligible Frequent I I I II Probable I I II III Occasional I II III III Remote II III III IV Improbable III III IV IV Incredible IV IV IV IV NOTE The actual population with risk classes I, II, III and IV will be sector dependent and will also depend upon what the actual frequencies are for frequent; probable etc. Therefore, this table should be seen as an example of how such a table could be populated, rather than as a specification for future use. NOTE Determination of the safety integrity level from the frequencies in this table is outlined in annex C. Walter Stoops 7/0/04 5

6 Terminologie Walter Stoops 7/0/04 6

7 Wat is SIL? SIL Safety Integrity Level (volgens NEN/IEC/EN 6508) is een beschrijving van de integriteit van een veiligheidsgerelateerde functie. (Webster's) Integriteit:. An unreduced or unbroken completeness or totality. Een onverminderde of ongebroken volledigheid of een totaliteit. Electrical Engineering typical:. The continued function of an integrated circuit in the intended manner. Het blijven werken van een geïntegreerde schakeling op de voorbestemde manier. mei 7

8 Wat is SIS/SIF? Een SIS (Safety Instrumented System) bestaat uit een of meer Safety Instrumented Functions (SIF), elk met een eigen SIL classe. Opmerking: Verschillende ingangen kunnen gekoppeld zijn aan meer dan een uitgang. EXIDA mei 8

9 Functionele veiligheid Hoe bereiken wij functionele veiligheid? Scope van IEC 6508 Management en technische maatregelen zijn noodzakelijk om een gegeven niveau van veiligheid te behalen. Deze veiligheid wordt uitgedrukt als Safety Integrity Level (SIL) Management moet voorzien SOP s, onderhoudschema s, training, uitrusting personeel en geschikte instrumentatie (zoals sensors, logic solvers en actuators). Dit heeft betrekking op slechts een klein deel van de instrumentatie! mei 9

10 Aanpak mei 0

11 IEC/EN 6508 Nederland: BRZO - Besluit Risico s Zware Ongevallen 999 genoemd naar SEVESO II na Italiaans incident te Seveso, 976 BEVI - Besluit Externe veiligheid 004 België Welzijnswetgeving, 4 aug 996 Kon. Besluit 7 mrt 998 Samenwerkingsverband 9 dec 996 genaamd SEVESO II IEC/EN 6508 Is een Nederlandse norm: NEN/IEC/EN 6508 Part gepubliceerd Part 7 gepubliceerd IEC/EN 606 Machinebuilding IEC/EN 6304 Medical Devices IEC/EN 65 Processtechnolgy IEC/EN 653 Nuclear technology EN 954- Reference to IEC/EN 6508, resp. IEC/EN 606 User s directive ISA 84.0 American standard on Functional Safety Instrumented Systems for Process Industry mei

12 Aanpak. Maak een plan van aanpak.. Beschouw het proces 3. Beschouw de installatie 4. Beschouw het personeel 5. Leg het geheel vast in een document 6. Risico Analyse mei

13 IEC/EN 6508 Part 5 IEC 65-3 Annex D Risico analyse Already occured Never occured C A X W 3 W W a Starting point for risk reduction estimation C B F F A B P P A P B A X X 3 a --- a Generalized arrangement (in practical implementations the arrangement is specific to the applications to be covered by the risk graph) C C C D F F F F A B A B P P P P P B A B A B X 4 X 5 X b C = Consequence risk parameter F = Frequency and exposure time risk parameter P = Possibility of failing to avoid hazard risk parameter W = Probability of the unwanted occurrence --- = No safety requirements a = No special safety requirements b = A single E/E/PES is not sufficient,, 3, 4 = Safety integrity level Walter Stoops 7/0/04 3

14 Veronderstellingen. Faalkans is constant, slijtage van mechanismen niet inclusief. Verbreiding van fouten is niet relevant 3. Foutgedrag alle componenten is bekend 4. Reparatietijd na een veilig falen is 8 uur (MTTR) 5. Gemiddelde temperatuur over een langere termijn is 40 C 6. Stress niveaus zijn gemiddelde voor een industriële omgeving 7. Alle modules werking in low demand of operation Berekeningen worden gemaakt in jaren i.p.v. uren, voor high demand operation mei 4

15 Voorbeeld Event < 0,0/yr mei 5

16 Fault Tree Analysis - FTA Event < 0,0/yr mei 0

17 Performance evaluatie Component Fault Consequence Dangerous Safe Failure rate failure failure Fluid No fluid No brake yes in 5 year: /5x8760 action =,3E - 05 Fluid altered No or bad yes in 5 year: /5x8760 brake action =,3E - 05 Seals Worn Fluid leak yes in yea r: /x8760 = 5,7E - 05 Piping Break on No brake yes in 0 year: /0x8760 demand action =,E - 05 Pads Asymmetrical Brake away yes in 5 year: /5x8760 action =,3E - 05 Pads Worn No or bad yes in year: /x8760 brake action = 5,7E - 05 Sl S = 5,7E-05 Sl D =,4E-04 Totaal,4E - 04 Totaal 5,7E - 05 mei 3

18 Performance evaluatie Architectuur Safe Failure Fraction SFF Fracties van fouten die het veligheidssysteem niet in en gevaarlijke situatie brengen Hardware fault tolerance HFT Het vermogen van een instrument c.q. module om de vereiste functionaliteit te behouden ook al zijn er fouten SFF= Sl S / (Sl S + Sl D ). SFF= 5,7E-05 / (5,7E-05 +,3E-05 +,3E-05 +,E-05 +,3E-05) SFF= 0,4 or 4% De Hardware Fault Tolerance is 0 mei 4

19 RESEARCH REPORT 09: Proposal for requirements for low complexity safety related systems- HSE published in 00 Performance evaluatie Table Hardware safety integrity: architectural constraints on type A safety-related subsystems NOTE Safe failure fraction Hardware fault tolerance (see note ) 0 < 60 % SIL SIL SIL3 60 % - < 90 % SIL SIL3 SIL4 90 % - < 99 % SIL3 SIL4 SIL4 > 99 % SIL3 SIL4 SIL4 See to for details on interpreting this table. NOTE A hardware fault tolerance of N means that N+ faults could cause a loss of the safety function. NOTE 3 See annex C for details of how to calculate safe failure fraction. Het remsysteem komt overeen met de vereisten van SIL mei 5

20 RESEARCH REPORT 09: Proposal for requirements for low complexity safety related systems- HSE published in 00 Performance evaluatie Faalkans Failure rate l Failure rate λ d =,4E-04 Faalkans van een kanaal in een subsysteem Faalkans van instrument Gemiddelde Probability of Failure on Demand van en veiligheidsfunctie of subsysteem Probability of Failure on Demand avg = l D T/ (als l D << ) T : interval tussen tests Voor een test interval van 0 jaar geldt: =,4E-04 x 0 / = 7E-04 avg = 7E-04 mei 6

21 RESEARCH REPORT 09: Proposal for requirements for low complexity safety related systems- HSE published in 00 Performance evaluatie Table Safety integrity levels: target failure measures for a safety function, allocated to an E/E/PE safety - related system operating in low demand mode of operation Safety integrity Low demand mode of operation level (Average probability of failure to perform its design function on demand) to < to < to < to < 0 - NOTE See notes 3 to 9 below for details on interpreting this table. Het remsystem voldoet aan vereisten voor SIL 3 mei 7

22 Assesments mei 3

23 IEC/EN 6508 Part 6 IEC 65-3 Annex J oo input Sensor Input module STT50 temperature transmitter (Honeywell) T[proof] year avg =,65E-03 SFF = 93,03 % Sensor subsystem KFD-STC4-Ex smart transmitter isolator (Pepperl + Fuchs) T[proof] year avg =,6E-04 SFF = 90 % SYS S I avg =,8E-03 Hardware fault tolerance = 0 mei 33

24 IEC/EN 6508 Part 6 IEC 65-3 Annex J Logic solver HIQuad System (HIMA) T[proof] year avg =,E-05 DC= 99 % mei 34

25 IEC/EN 6508 Part 6 IEC 65-3 Annex J oo output output module Actor KFD-SL-Ex.7 solenoid driver T[proof] year SFF = 95 % avg = 6,03E-05 Output subsystem Valve/actuator T[proof] year λ DU = 3E 06 SFF = 50% avg =,3E-0 SYS S I avg =,3E-0 Hardware fault tolerance = 0 mei 35

26 IEC/EN 6508 Part 6 IEC 65-3 Annex J Loop assessment oo SIL niveau volgt uit: SYS INPUT LS OUTPUT sys =,8E-03 +,E-05 +,3E-0 sys =,5E-0 HFT = 0 SIF overall SIL : SIL Safety integrity level 3 Table Hardware safety 0-4 to integrity: < architectural constraints on type A safety-related - 3 to < 0 - subsystems NOTE NOTE Low demand mode of operation (Average probability of failure to perform its design function on demand) to < to < 0 - See notes 3 to 9 below for details on interpreting this table. Safe failure fraction Hardware fault tolerance (see note ) 0 < 60 % SIL SIL SIL3 60 % - < 90 % SIL SIL3 SIL4 90 % - < 99 % SIL3 SIL4 SIL4 > 99 % SIL3 SIL4 SIL4 See to for details on interpreting this table. NOTE A hardware fault tolerance of N means that N+ faults could cause a loss of the safety function. mei NOTE 3 See annex C for details of how to calculate safe failure fraction. 36

27 37 Loop assessment Simplified formulas Walter Stoops 7/0/ T T T T T T T T T T DU DU oo DU DU oo DU DU oo DU DU oo DU oo DU oo l l l l l l l l l l VDI/VDE 80 IEC 65-3 Annex J

28 Complex (?) Example from IEC 6508 part 6: t t MTTR T G D l DD l DU CE GE Dl DD l DU MTTR t CE l l DU D T l MTTR l DD D MTTR t GE l l DU D T 3 l MTTR l DD D MTTR mei 38

29 Conclusie Transmitter : SIL Isolator : SIL Logic solver : SIL 4 Isolator : SIL Klep : SIL mei 43

30 Conclusie Een SIF heeft zijn eigen SIL classificatie, dus een SIS kan meerder dan een SIL levels in een systeem hebben. mei 44

31 Thank you very much for your attention