IEC Innhold. Tor Onshus. Hovedpunktene i IEC Prosessikkerhet Programvareutvikling Oppfølging i drift Maskinsikkerhet

Transkript

1 1 IEC Tor Onshus Teknisk kybernetikk Norges teknisk naturvitenskaplige universitet, NTNU tlf: mob: Innhold 2 Hovedpunktene i IEC Prosessikkerhet Programvareutvikling Oppfølging i drift Maskinsikkerhet 1

2 Hovedpunktene i IEC PFD Sannsynlighet for svikt ved behov HFT/SFF Krav til sikkerhetsredundans QA Tiltak mot systematiske feil Krav til arbeidsprosessen Livsløp IEC (2010-versjonen) 1 Concept 2 3 Overall Scope Definition Hazard & Risk Analysis Overall Safety Requirements Safety Requirements Allocation 6 Overall 7 Overall 8 Operation & Maintenance Planning Overall Planning Validation Planning Overall Installation & Commissioning Planning 9 System Safety Requirements Specification 10 Safety-related Systems Realization 11 Other Risk Reduction Measures Specification and Realization 12 Overall Installation & Commissioning 13 Overall Safety Validation Back to appropriate Overall Safety Lifecycle phase 14 Overall Operation & Maintenance 15 Overall Modification & Retrofit 16 Decommissioning 2

3 5 Prosessikkerhet Sjelden bruk for funksjonen Demand mode Prosessen 6 Hva skal vi beskytte? Trykktanken mot overtrykk Hva er farlig? Overtrykk For mye inn For lite ut Generert i tanken Trykktank EUC Hazid 3

4 Risikovurdering 7 Hvor ofte har vi tilløp til høyt trykk Ti ganger pr. døgn Hvor ofte klarer ikke reguleringssytemet og operatøren å håndtere dette? En gang i året Demand Rate Sikkerhetsfunksjoner 8 Mekanisk overtrykkssikring PSV-Pressure Safety Valve Instrumentert sikkerhetsfunksjon Trykktransmitter Sikkerhetssystem Ventil Other technology SIS 4

5 Prosess med sikkerhetsfunksjoner 9 Hvor god skal beskyttelsen være? 10 Trykk over testtrykk (15 barg) Sjeldnere enn 10-5 ganger pr år 10-5 = 1/ Sjeldnere enn hvert år. Acceptance Criteria 5

6 11 SIL-Safety Integrity Level SAFETY INTEGRITY LEVEL DEMAND MODE OF OPERATION (Probability of Failure to perform its design function on Demand) > = 10-5 to < 10-4 > = 10-4 to < 10-3 > = 10-3 to < 10-2 > = 10-2 to < 10-1 CONTINUOUS/HIGH DEMAND MODE OF OPERATION (Probability of a dangerous Failure per Hour) > = 10-9 to < 10-8 > = 10-8 to < 10-7 > = 10-7 to < 10-6 > = 10-6 to < 10-5 Når kontinuerlig/ofte behov? behov oftere enn en gang pr. år eller behov oftere enn to ganger pr. testintervall SIL-Safety Integrity Level 12 SIL PFD Svikt sjeldnere enn < PFD / < PFD / < PFD / < PFD /

7 13 PFD-Probability of Failure on Demand PFD DU 2 - tid mellom funksjonsprøving [timer] 1 år = 8760 timer DU -farlig udetekterte feil [feil/time] Risikoreduksjon 14 Safety Requirement Allocation 7

8 Krav PSV: PFD < 10-3 Klare kg/time Åpner ved trykk over 10 barg SIS: SIL 2 Lukke ventilen på 5 sekunder Reagerer ved trykk over 8 barg Funksjonstest en gang pr. år 15 SRS- Safety Requirement Specification Stopp Tog Prosess Maskin Sikker tilstand -Hva er det? -For hvem? Fortsett som før (varsle operatør) Fly Eksoterm reaktor Dykkerskip Bil 16 Konstruksjon NE/NDE 8

9 Feilmodi i IEC Dangerous Undetected Self-Test Dangerous Detected Alarm YA Fail-Safe design Operating Philosophy Safe Undetected Safe Self-Test Detected & Operating Philosophy Krav til systemstruktur(a type) 18 Safe failure fraction Hardware fault tolerance < 60 % SIL1 SIL2 SIL3 60 % - 90 % SIL2 SIL3 SIL4 90 % - 99 % SIL3 SIL4 SIL4 > 99 % SIL3 SIL4 SIL4 A type - Mekaniske komponenter B type - Med programvare 9

10 Krav til systemstruktur (B type) Safe failure fraction Hardware fault tolerance < 60 % not allowed SIL1 SIL2 60 % - 90 % SIL1 SIL2 SIL3 90 % - 99 % SIL2 SIL3 SIL4 > 99 % SIL3 SIL4 SIL4 19 SFF = Andel sikre feil HFT = Antall redundante enheter (1oo2=2oo3=1, 1oo3=2) ( SFF TOT TOT DD DU DU SU DD 100% SD ) 100% SU SD Beregning av PFD 20 Definer funksjonen Definer sikker tilstand Identifiser funksjonens fysiske elementer og evt. hjelpesystemer Del opp funksjonen i TYPE A/B. Samle feildata (Konservative!!) 10

11 PFD Komponent TOT DU % SFF A/B Merknad 24V forsyning A Overvåkes, gir sikker feil Trykktransmitter 1,3 0, B 4-20mA Barriere A Gir bare sikre feil AI kort CPU 20 0, B Fra sertifikat DO kort Pilot 3,2 0, A Fjørretur til blø av Ventil 5, A Fjørretur til lukket 32 4, , PFD DU Tiltak 22 To trykktransmittere 1oo2 votert Bruke ventilbevegelser som test Nedstengninger, en gang pr. år Opp og nedkjøringer, 4 ganger pr. år Montere endebrytere og overvåking Antar funksjonstest 4 ganger pr. år for ventil timer 11

12 PFD-modifisert 23 Komponent TOT DU % SFF A/B Merknad 24V forsyning A Overvåkes, gir sikker feil Trykktransmitter B 1oo2, β=0.02 Barriere A Gir bare sikre feil AI kort CPU B Fra sertifikat DO kort Pilot A Fjørretur, overvåket Ventil A Fjørretur, overvåket OK! 24 Programvare 12

13 Krav til programvare 25 Feil i programvare = systematiske feil Standarden har anbefalinger om metoder for å minske antall systematiske feil i HW og SW Antar max SIL-nivå Programmering, validering og modifisering av SW må planlegges på forhånd. V-modellen eller tilsvarende må benyttes 26 IEC Appendix A-B 13

14 27 Programvare i IEC Følgende er utviklet etter IEC61508 Maskinvare Operativsystem og basisprogramvare Funksjonsblokker Applikasjonen kan da utvikles etter Kapittel 12 osv. 14

15 Hvilken IEC standard 29 IEC Hva kan sertifiseres Standard Applikasjon 61508/11 Arbeidsmetodikk Operativsystem Versjon (og endringshåndtering) Drivere osv Versjon (og endringshåndtering) Maskinvare Utstyr og konfigurasjon Det er ingen krav til sertifisering i IEC 30 Verifikasjon & Validering Verifikasjon (Getting the system right) Oppfyller løsningen kravene? Sjekke leveranse mot spesifikasjon Validering (Getting the right system) Passer løsningen til oppgaven? Sjekke løsning mot behov og myndighetskrav 15

16 Functional Safety Assessment (FSA) -Uavhengig 3.parts verifikasjon 31 Uavhengig gjennomgang verifikasjon og validering Hva sjekkes Er kravene i standarden oppfylt Er arbeidsmetodikken tilfredsstillende V&V av sentrale dokumenter 32 Drift og Vedlikehold Opprettholde SIL 16

17 Testing & drift -for å opprettholde SIL 33 Teste funksjonen med gitt frekvens også redundante enheter Omfang og kvalitet som antatt i beregninger Følge opp hendelser behov for funksjonen svikt av funksjon eller deler av funksjon Kontroll med utkoblinger Funksjonstesting 34 17

18 Erfaringsdata 35 Beregne feilrater DU N Operasjonstid N = Antall ganger komponenten ikke virket funnet ved funksjonstest funnet ved aktivering av sikkerhetsfunksjon M = Total antall operasjoner av komponenten (test + aktivering) N PFD 2 M DU SU DD SD Er det bra nok? 36 Hvis behovsraten høyere enn antatt i design Må vi ha lavere PFD? Kan vi redusere antallet behov? Hvis feilraten er høyere enn antatt i design Må vi teste oftere? Kan vi endre noe for å redusere feilraten? Finnes det bedre utstyr? 18

19 37 Maskinsikkerhet Ofte bruk for funksjonen Continuous/high demand 38 SIL-Safety Integrity Level SAFETY INTEGRITY LEVEL DEMAND MODE OF OPERATION (Probability of Failure to perform its design function on Demand) > = 10-5 to < 10-4 > = 10-4 to < 10-3 > = 10-3 to < 10-2 > = 10-2 to < 10-1 CONTINUOUS/HIGH DEMAND MODE OF OPERATION (Probability of a dangerous Failure per Hour) > = 10-9 to < 10-8 > = 10-8 to < 10-7 > = 10-7 to < 10-6 > = 10-6 to < 10-5 Når kontinuerlig/ofte behov? behov oftere enn en gang pr. år eller behov oftere enn to ganger pr. testintervall 19

20 39 PFH-Probability of Failure per Hour PFH D D -farlig feil [feil/time] Feildata basert på testing (ISO Annex C) 40 Antall operasjoner før 10% av komponentene har feilet farlig, B 10d Antall forventede operasjoner per time, n op PFH 0.1 n B 10d op d 20

21 Eksempel 41 Feil når: nærhetsdetektor eller kontaktor feiler Typiske tallverdier (ISO Tabell C.1) 42 PFH = = timer (SIL 4, PL e) Ett år = 8760 timer Hva skjer hvis komponenten brukes 10x så ofte? 21

22 43 PFD Få behov per år Ulykke hvis samtidig: Behov for funksjon Funksjon svikter PFH Mange behov per år Ulykke hvis: Funksjonen svikter R CDRPFD R CPFH R - Risiko C - Konsekvens DR- Behovsrate Feildata 44 Konstante Oppgir midlere tid til feil (Integrerte kretser, transistorer, dioder, kondensatorer, motstander, spoler osv) λ, MTTF=1/λ Avhengig av hvor ofte de brukes Oppgir midlere antall operasjoner før feil (Mekanisk, elektromekanisk, bevegelige deler) B10 22

23 PFD i stedet for PFH -ved high demand 45 Kan vise at det er konservativt hvis: behovet er oftere enn to ganger per test det samme som definisjon av high demand Ikke bruk feildata basert på benktesting i PFD IEC Sannsynlighet for svikt ved behov PFD, PFH Nødvendig redundans SFF, HFT, A/B-type Tiltak mot systematiske feil Utviklingsmetodikk for programvare V&V, FSA 23