IEC OLF-070. Teknisk kybernetikk Norges teknisk naturvitenskaplige universitet, NTNU. Bakgrunn

Transkript

1 1 IEC OLF-070 Tor Onshus Teknisk kybernetikk Norges teknisk naturvitenskaplige universitet, NTNU tlf: fax: Bakgrunn 2 PTIL krever i Styringsforskriften 5 at: barrierens funksjon skal alltid ivaretas krav til ytelse av barrierene skal gis det skal være kjent om barrierene er svekket det skal kompensere for svekkede barrierer Alle unntatt innretningsforskriften gjelder også for gamle installasjoner 1

2 3 Teknisk sikkerhet Sikker tilstand -Hva er det? -For hvem? 4 Stopp Tog Prosess Maskin Fortsett som før (varsle operatør) Fly Eksoterm reaktor Dykkerskip Bil Konstruksjon NE/NDE 2

3 FEILMODI -hva er effekten av feilen 5 Farlig svikt/feilfunksjon Systemet er ikke i stand til å utføre den operasjonen det får beskjed om Trip/Utilsiktet operasjon Systemet utfører en operasjon det ikke har fått beskjed om å utføre Mange utilsiktede nedstengninger virker negativt på sikkerheten Feilmodi i IEC Dangerous Undetected Self-Test Dangerous Detected Fail-Safe design Operating Philosophy Safe Undetected Safe Self-Test Detected & Operating Philosophy 3

4 Detektert? 7 Tidsnok til å hindre at ulykken skjer tilbakemelding på aksjon hjelper ikke Noen må få vite om feilen og gjøre noe YA 710, Alarmhåndtering Detekteres av systemet/komponenten selv uten at den blir aktivert SIL Optimalisering Løsning B 8 Løsning A Minimum LCC 4

5 9 HVA ER ÅRSAKEN TIL FEIL FEIL 50% 50% Fysiske Systematiske Naturlig Elding Ytre Påkjenning Design Menneskelig Aktivitet Systematiske feil 10 Feil plassering av BG detektorer Ufullstendige test prosedyrer Menneskelige feil under testing forlatt utkoblet feil kalibrering Feil i programvare (som ikke finnes ved testing) 5

6 11 Tiltak mot Feil Naturlig Elding Bedre utstyr og Redundans Ytre påkjenning og Menneskelig Aktivitet Isolere systemet Vedlikehold & Opplæring Funksjonelle feil Bedre design, organisasjon, ledelse, kvalitetssikring 12 Risikoanalyse Trenger for beregning Konsekvens av farlig hendelse Sannsynlighet for farlig hendelse Frekvens Eksponeringstid Mulighet for å unngå Summere over hele anlegget Optimalisere løsning Bevise at det er godt nok 6

7 Risiko med sikkerhetsfunksjon 13 Risiko = Konsekvens x Frekvens Frekvens = Behovsrate x Sannsynlighet for svikt i sikkerhetsfunksjon EKSEMPEL Gasslekasje pga. overtrykk Overtrykk en gang pr. år SIS svikt hver 10. gang RESULTAT Gasslekkasje pga. overtrykk en gang hvert 10. år Risikoreduksjon 14 7

8 15 SIKKERHETSSYSTEM WD A/D D/A CPU D/A A/D Kjent verdi på inngang Kontinuerlig CPU test Egen Watchdog Pulstest av utgang Test av feltkabling Selvtestende feltutstyr Konstruksjonsregler Sikkerhetssystemer uavhengig og i tillegg til andre systemer PTIL, API, IEC del 1 (kap b) ikke bli negativt påvirket av feil i andre systemer Prosessikring i to uavhengige funksjoner (PTIL/API RP 14C = ISO 10418) Primær sikring (instrumentering) Sekundær sikring (mekanisk) 16 8

9 Når har vi uavhengighet 17 Sikkerhet Når feil i en enhet ikke gjør at den andre svikter til en farlig feil kan gi nedstengning Regularitet Når feil i en enhet ikke gjør at den andre svikter til trip gir ikke utilsiktet nedstengning 18 Instrumentell Sikring Bruke instrumenter og logikk for å erstatte direktevirkende beskyttelse HIPPS - High Integrity Pressure Protection System KRAV Minst like bra som den konvensjonelle design det erstatter 9

10 19 IEC & IEC konsekvenser av SIL 20 Arbeidsmetodikk kvalitetssikring Sviktsannsynlighet (PFD) Testing i drift Krav til systemstruktur Andel sikre feil (SFF) Antall redundante enheter (HFT) 10

11 Sektor spesifikke standarder 21 Sikkerhetsfunksjon inkluderer 22 Instrumentert Instrument/detektor Elektronisk/programerbart system med Operatørgrensesnitt Aktuatorer (ventiler/elektriske brytere) Andre teknologier er typisk PSV'er Ekstern risikoreduksjon er manuell utløsing av ESD systemet eller planlagt vedlikehold av systemet. 11

12 Livsløp Concept 2 3 Overall Scope Definition Hazard & Risk Analysis Overall Safety Requirements Safety Requirements Allocation 6 Overall 7 Overall 8 Operation & Maintenance Planning Overall Planning Validation Planning Overall Installation & Commissioning Planning 9 System Safety Requirements Specification 10 Safety-related Systems Realization 11 Other Risk Reduction Measures Specification and Realization 12 Overall Installation & Commissioning 13 Overall Safety Validation Back to appropriate Overall Safety Lifecycle phase 14 Overall Operation & Maintenance 15 Overall Modification & Retrofit 16 Decommissioning Nødvendig risikoreduksjon 24 12

13 25 SIL-Safety Integrity Level SAFETY INTEGRITY LEVEL DEMAND MODE OF OPERATION (Probability of Failure to perform its design function on Demand) > = 10-5 to < 10-4 > = 10-4 to < 10-3 > = 10-3 to < 10-2 > = 10-2 to < 10-1 CONTINUOUS/HIGH DEMAND MODE OF OPERATION (Probability of a dangerous Failure per Hour) > = 10-9 to < 10-8 > = 10-8 to < 10-7 > = 10-7 to < 10-6 > = 10-6 to < 10-5 Når kontinuerlig/ofte behov? behov oftere enn en gang pr. år eller behov oftere enn to ganger pr. testintervall 26 PFD-Probability of Failure on Demand PFD DU 2 τ - tid mellom funksjonsprøving [timer] 1 år = 8760 timer λ DU -farlig udetekterte feil [feil/time] 13

14 Summering av PFD? 27 To komponenter med PFD 1 og PFD 2 PFD = PFD 1 +PFD 2?? Fullstendig beregning (suksess): 1-PFD=(1-PFD 1 )(1-PFD 2 )= 1-PFD 2 -PFD 1 +PFD 1 *PFD 2 1-PFD 1 -PFD 2 Dvs: PFD PFD 1 + PFD 2 Antall svikt Badekarskurven 28 Konstant feilintensitet Tid 14

15 Datakilder? OLF 070 PDS Datahåndbok, SINTEF 2010 Excida Datahåndbøker Risikonivået på Norsk sokkel, RNNP Bedriftsinterne data Offshore Reliability Data, OREDA 29 β-modellen 30 Må anta avhengighet (β ) PFD 2 DU PFD komponent Bare ved uavhengighet (PFD 10-3 ) 2 PFD PFD 15

16 Når gjør vi hva? 31 Multiplisere PFD Når to funksjoner er helt uavhengige av hverandre Summere PFD For å få med alt som må virke for å utføre funksjonen Systematiske feil 32 Ikke kvantifisert i IEC tiltak mot systematiske feil PSF/TIF i PDS modellen (Pålitelighet av Datamaskinbaserte Sikkerhetssystemer) CSU DU TIF 2 16

17 Periodisk fuksjonstesting 33 Så god som ny etter testing CSU Eksponensial fordeling Rekkeutvikling TIF-Test Independent Failures 0 TIF t PFD og CSU 34 Safety unavailability concepts PFD-Probability og Failure on Demand NCU2 NCU1 CSU1 PFD (used in IEC) CSU-Critical Safety Unavailability CSU (used in PDS) TIF NC = Non Critical Systemet eller operatør vet om feilen 1-reparasjon 2-testing 17

18 Forenklinger (1oo2 votering) 35 PFD 1 e D t CE Dt CE ( D t CE ) 2 D t CE t CE DU T1 DD MTTR MTTR 2 D D t GE DU D T1 MTTR 3 DD D MTTR 2 t CE t GE D DD MTTR DU T 1 PFD 2(1 D ) DD (1 ) DU 2 MTTR + 1oo2 Votering A A B Pådragsorgan - B Sikker tilstand er av - Sikker tilstand er på God sikkerhet Dårlig regularitet HFT = 1 18

19 + 2oo2 Votering A B A Pådragsorgan - Pådragsorgan Sikker tilstand er av - B Sikker tilstand er på God regularitet Dårlig sikkerhet HFT = 0 Krav til systemstruktur(a type) 38 Safe failure fraction Hardware fault tolerance < 60 % SIL1 SIL2 SIL3 60 % - 90 % SIL2 SIL3 SIL4 90 % - 99 % SIL3 SIL4 SIL4 > 99 % SIL3 SIL4 SIL4 A type - Mekaniske komponenter B type - Med programvare 19

20 Krav til systemstruktur (B type) Safe failure fraction Hardware fault tolerance < 60 % not allowed SIL1 SIL2 60 % - 90 % SIL1 SIL2 SIL3 90 % - 99 % SIL2 SIL3 SIL4 > 99 % SIL3 SIL4 SIL4 39 SFF = Andel sikre feil HFT = Antall redundante enheter (1oo2=2oo3=1, 1oo3=2) SFF ( DD DU SU DD ( SD ) 100 TOT SU DU TOT SD ) Dokumentasjon SRS Sikkerhetsmanual SAR 20

21 Hva er SRS? 41 Spesifikasjon som inneholder alle krav til funksjonen som skal utføres av det sikkerhetsrelaterte systemet. funksjonskrav ytelseskrav OLF 070 Appendiks E 42 SRS (forts) beskrivelse av alle sikkerhetsfunksjonene (sløyfene) i SIS for å oppnå riktig sikkerhetsnivå (SIL) definisjon av sikker prosesstilstand for hver sløyfe krav til testintervall krav til nedstengningstid for prosessen 21

22 43 Sikkerhetsmanual ( , App D) -All nødvendig sikkerhetsinformasjon for enhetene Funksjonsspesifikasjon Antagelser og begrensninger Feilrater for alle feilmodi HFT A/B type Test intervall For intern selvtest Nødvendig test og vedlikehold SAR Safety Analysis Report 44 Vise at kravene for funksjonen er oppfylt Arbeidsmetodikk Sviktsannsynlighet Krav til systemstruktur OLF 070, Appediks E For leverandør/deler av funksjonene 22

23 SIL Compliance 45 Vise at alle kravene til funksjonene er oppfyllt Arbeidsmetodikk Struktur Sannsynlighet for svikt For prosjektet/installasjonen 46 Arbeidsmetodikk 23

24 47 Verifikasjon & Validering Verifikasjon (Getting the system right) Oppfyller løsningen kravene? Sjekke leveranse mot spesifikasjon Validering (Getting the right system) Passer løsningen til oppgaven? Sjekke løsning mot behov og myndighetskrav Functional Safety Assessment(FSA) -3.parts verifikasjon 48 Uavhengig gjennomgang verifikasjon og validering Vurdering skal resultere i akseptert akseptert med kommentarer uakseptabelt 24

25 Sikkerhetsledelse 49 Klart personlig ansvar Tiltak for å oppnå nødvendig sikkerhet Sørge for nødvendig kompetanse Kvalitetssikring Programvarekvalitet Testing & drift -for å opprettholde SIL 50 Teste funksjonen med gitt frekvens også redundante enheter Omfang og kvalitet som antatt i beregninger Følge opp hendelser behov for funksjonen svikt av funksjon eller deler av funksjon Kontroll med utkoblinger 25

26 Funksjonstesting 51 Erfaringsdata 52 Beregne feilrater N PFD 2 M DU N Operasjonstid DU SU DD SD N = Antall ganger komponenten ikke virket funnet ved funksjonstest funnet ved aktivering av sikkerhetsfunksjon M = Total antall operasjoner av komponenten (test + aktivering) 26

27 53 Hvorfor OLF-070? Hvordan måle ytelse av SIS? 54 IEC internasjonalt akseptert Konstruksjon Spesifikasjon Kontrakt Ytelses standard PTIL anbefaler bruk av IEC Ytelses krav med minimum SIL 27

28 Erfaring ved bruk av IEC Vanskelig i utviklingsprosjekter Svært mye arbeide Varierende SIL for samme funksjon og risiko Metode (risiko graph/matrise, PFD verdier) Personer/organisasjoner/erfaring Bevarer ikke gode løsninger Hvordan identifiserer vi nødvendige funksjoner? Begrensninger i SIL metoder 56 Kommer fram til forskjellig SIL for samme funksjon Vi mangler risiko uten sikkerhetsfunksjon behovsrate for sikkerhetsfunksjon akseptkriterier Metodene egner seg ikke for ESD/BG Behov på grunn av mange initierende hendelser C&E, vil komme utenfor SIL skalaen 28

29 OLF Ikke risikobasert (pr. installasjon) To kategorier Lokale funksjoner (PSD) Globale funksjoner (ESD og BG) Minimum SIL for utvalgte funksjoner Sikre minimum sikkerhetsnivå Standardisering i industrien Unngå stor tidsforbruk for å finne SIL Lokale sikkerhetsfunksjoner 58 EUC typisk en trykktank Funksjonen definert i ISO Vanligvis realisert som PSD som primær barriere Mekanisk enhet som sekundær barriere 29

30 Globale sikkerhetsfunksjoner EUC typisk et område Systemer og Funksjonen gitt av Ptil Suksesskriteriet er viktig Gassdeteksjon Når det er gass i området Når detektoren er eksponert for gass Isolering og trykkavlasting Den totale funksjonen For en enkelt ventil (basisfunksjon) QRA må summer opp basisfunksjoner 59 For Globale funksjoner 60 Telle opp over plattformen i QRA Eksempel Antall brønner/stigerør Antall ventiler som må stenge for å isolere et område Plassering og antall for brann&gassdettektorer og deluge Trykkavlasting 30

31 SIL krav basert på 61 Gode løsninger uttrykt i SIL/PFD Er like på nesten alle installasjoner Hva er nødvendig? SIL 1: Kan svikte hver 10. gang Tilgjengelig pålitelighetsdata Hva er mulig med dagens teknologi? Oljeselskap-Leverandør 62 Hvem gjør hva og hvem tar ansvaret Oljeselskapet har ansvaret Dimensjonering av totalsløyfen hvem setter kravene til deler av funksjonen % PFD Sensor 10 System 20 Pådrag 70 NB! Dette er bare et eksempel og ikke et krav 31

32 63 Hva feiler? (antall feil) Felt System Annet % Sikkerhet Trip 64 Sensor feil Balansert system En spesiell risiko er ikke dekket System feil Alle funksjoner er utkoblet Kritikalitet Bidrag til total sikkerhet/risikoreduksjon 32

33 65 Programvare Applikasjonsprogramvare Programvarekrav 66 Programvarefeil = systematiske feil Standarden har krav om metoder for å minske antall systematiske feil Planlegging!!!! 33

34 Strukturert utvikling og testing 67 Sjekklister 68 34

35 Programvare i IEC Følgende utviklet etter IEC61508 Maskinvare Operativsystem og basisprogramvare Funksjonsblokker Applikasjonen kan da utvikles etter Kapittel 12 Programvare SRS = SwRS Input til SwRS skal være: krav til funksjonen krav til arkitekturen krav til kompetanse 70 35

36 SwRS 71 Resultatet skal omtale: funksjonene realisert av applikasjonen kapasitet og tidsrespons utstyr og HMI alle relevante operasjonsmodus monitorering-funksjonalitet og respons på detekterte feil beskrivelse av funksjonestest-funksjonalitet 72 Oppsummering Erik Korssjøen Kongsberg Simrad 36

37 KRAV 73 PTIL krever i Styringsforskriften 5 barrierens funksjon skal alltid ivaretas krav til ytelse av barrierene skal gis skal være kjent om barrierene er svekket skal kompensere for svekkede barrierer Det er bare innretningsforskriften som ikke gjelder for gamle installasjoner NFA 2008 IEC konsekvenser av SIL 74 Arbeidsmetodikk kvalitetssikring Sviktsannsynlighet (PFD) Testing i drift Krav til systemstruktur Andel sikre feil (SFF) Antall redundante enheter (HFT) SIL-GL kurs I 37