olje og gassvirksomheten:

Transkript

1 1 Instrumenterte sikkerhetssystemer i olje og gassvirksomheten: Oppfølging av pålitelighet i driftsfasen Mary Ann Lundteigen

2 2 Formål med forelesningen Besvare: Hvordan måle pålitelighet i driftsfasen? Hva kan man gjøre dersom påliteligheten ikke er som forventet? [] Hvorfor? Fordi dette er viktig for å ha kontroll med risikoen derfor også myndighetskrav! Innledende del: Kort repetisjon på hva instrumenterte sikkerhetssystemer () er og hvordan pålitelighet måles [] Beskrivelse av krav [] til oppfølging av pålitelighet i driftsfasen: Myndighetskrav i standardene IEC og IEC Muligens blir det tid til et eksempel til slutt 2

3 3 Målgruppe Masterstudenter t t i 4. og 5. årstrinn, med et basiskurs i systempålitelighet tilsvarende TPK Forelesningen kan, for eksempel, inngå som et bidrag i TPK 4515, RAMS fordypningsmodul i risiko og pålitelighet 3

4 4 Instrumentertsikkerhetssystem sikkerhetssystem () : Et system som er: basert på (blant annet) elektrisk, elektronisk, eller programmerbar elektronisk teknologi og som utfører instrumenterte sikkerhetsfunksjoner (SIF). 4

5 5 Noen eksempler på Olje og gassrelaterte: Nødavstengningssystem (ESD/NAS) Brann- og gassdeteksjonssystem (F&G/B&G) Prosessnedstengningssystem (PSD/PAS) High Integrity Pressure Protection System (HIPPS) Andre sektorer: Signalsystem for tog framføring Automatisk sikker lastindikator for kran Airbag og ABS bremser i bil Noen opereres sjelden ( low demand ) ), mens andre opereres ofte og noen ganger kontinuerlig ( High demand/continuous ). 5

6 6 Noen eksempler på Olje og gassrelaterte: Nødavstengningssystem (ESD/NAS) Brann- og gassdeteksjonssystem (F&G/B&G) Prosessnedstengningssystem (PSD/PAS) High Integrity Pressure Protection System (HIPPS) Andre sektorer: Signalsystem for tog framføring Automatisk sikker lastindikator for kran Airbag og ABS bremser i bil Noen opereres sjelden ( low demand ) ), mens andre opereres ofte og noen ganger kontinuerlig ( High demand/continuous ). 6

7 7 Mål for pålitelighet low demand Bekymring: Uoppdagede farlige feil ( DU feil ) Tilstand 1? Demand? 0 Tid mellom funksjonstest Tid mellom funksjonstest Tid 7

8 8 Mål for pålitelighet low demand Bekymring: Uoppdagede farlige feil ( DU feil ) Tilstand 1? 0 Tid mellom funksjonstest Tid Pålitelighetsmål (Gjennomsnittelig) Probability of failure on demand (PFD) PFD avg Tid 8

9 9 PFD når vi regner på det Se også Rausand og Høyland, kapittel 10 9

10 10 PFD når vi regner på det En del faktorer påvirkes primært av beslutninger tatt i design. Feilratene er ukjente størrelser som vi får mer kunnskap k om i driftsfasen. Vår primære beslutnings -parameter for å oppnå ønsket pålitelighet er testintervallet. 10

11 11 Hvilken pålitelighet (PFD) snakker vi om? Risikoanalyse Spesifikasjon av Nødvendig pålitelighet (PFD ) Generiske data/ dt/ ekspertvurdering Design og bygging av Forventet pålitelighet (PFD des ) Nei OK? Er PFD des PFD? Ja Erfaringdata/ Oppfølging av i drift Erfart pålitelighet reelle hendelser (PFD op ) OK? 11

12 12 Oppfølgingav pålitelighet i drift Myndigheter gir overordnede krav: I Ptil s regelverk sies det blant annet: Innretningsforskriften 7: Ytelseskrav til sikkerhetsfunksjoner skal etableres Styringsforskriften 18/Aktivitetsforskriften 44: Data må samles inn og brukes for å vurdere ytelsen Ptil refererer til IEC og OLF 070 (retningslinje for bruk av IEC og IEC 61511) NB: Ptil s regelverk finner dere på 12

13 13 IEC ICstandarder for IEC og IEC er to sentrale standarder i prosessindustrien: IEC 61508: I hovedsak kfor nytt utstyr tt IEC 61511: Sammenstilling av utstyr som er velprøvd eller sertifisert i hht. IEC Til bruk ki prosessindustrien. i OLF 070: Norsk retningslinje (på engelsk) for bruk av disse to IEC standardene d (Kan lastes ned fra under HMS & dif) drift) IEC standardene skiller mellom fire pålitelighetsnivå (SIL 1 til SIL 4) For å oppnå et bestemt SIL nivå, stilles flere krav, deriblant krav til PFD NB: IEC standarder kan lastes ned via NTNU bibliotek. OLF 070 kan lastes ned fra 13

14 14 IEC ICstandarder for Safety integrity: Average probability that a satisfactorily performing the required SIFs under all stated conditions within a stated period of time (IEC ). PFD (kvantitativt) t) SIL4 [10-5, 10-4 ] SIL3 [10-4, 10-3 ] til hardware arkitektur for å unngå sofware fail Unngå og håndtere systematiske feil SIL2 [10-3, 10-2 ] SIL 1 [10-2, 10-1 ] 14

15 15 til oppfølging av pålitelighet l (PFD) IEC Ved idriftssettelse: ift tt Testintervall skal være basert på PFD beregninger ogvalgtslikatsilkraveter at kravet er oppfylt I driftsfasen skal det jevnlig vurderes om: Feilratene for farlige (uoppdagede) feil ( DU feil ) er slik de var antatt i design Testintervall må justeres bakgrunn av driftserfaring: Feil registrert ved test Feil registrert under drift og ved reelle hendelser Referanser: OLF 070 (kap 10.8) og IEC 61511(kap og 16.3) 15

16 16 Operasjon/drift OK? 16

17 17 Operasjon/drift OK? Viktig å kunne si noe om den erfarte PFD i forhold til forventet PFD (fra design) PFD op PFD des? Det kan vi - hvis vi kan si noe om den erfarte feilraten i forhold til den antatte feilraten. 17

18 18 Antagelser Påvirkes Antas uendret Beslutnings parameter Antas uendret Under disse antagelsene vil PFD op PFD des dersom: λ op. τ op λ des. τ des op= Operasjonell (driftsfasen), des = design 18

19 19 Hovedtrinn Er PFD op PFD des? Hva må vi gjøre å oppnå PFD op PFD des? Supplerende informasjon i SINTEF rapport (åpen) A

20 20 Feilrater kan ikke måles eller observeres direkte, de må estimeres! Indikator: Antall feil x 1 registrert i perioden t Mål (i samme periode): x x x des x 0 ˆ x op ˆ op op des des 20

21 21 x 1 des x 0 x x ˆ x op ˆ 3 op op des des 21

22 22 Detaljert forklaring for 1 des x 0 Antar at antall feil X(t) i en periode t (målt fra driftsstart) kan modelleres som en Poisson prosess med rate λ des Dette betyr at: x 0 =E(X(t)) = λ. des t Kommentar: Perioden t løper her fra tidspunktet systemet ble idriftssatt. Se også Rausand og Høyland, kapittel

23 23 Detaljert forklaring for 2 x 1 ˆop Alternativ 1: Kan også her anta at antall feil x 1 i samme periode opptrer som en Poisson prosess. ˆop x 1 t Men, hvis vi har få hendelser des (<2) vil alternativ 1 ha stor = 2 usikkerhet. cons des Alternativ 2: og = des Bayesiansk tilnærming. Feil På bakgrunn av ny informasjon: raten Λ er gammafordelt med parametre og ˆ x1 op, t Se også Rausand og Høyland, kapittel 13.2 og

24 24 Detaljert forklaring for 3 ˆ op op des des Tre trinn: 1. Beregn først et foreløpig nytt testintervall (τ op *): * des des op ˆ op 2. Bruk deretter følgende regler for nytt (endelig) testintervall τ op : Velg blant forhåndsdefinerte intervaller Tillat aldri mer en dobling eller halvering (på en gang) Dobling og halvering tillates hvis tilleggskriterier er oppfylt 3. Før endelig beslutning tas, må ei sjekkliste gjennomgås 24

25 25 Visualisering Antagelse: 12 måneder des * op des * op Ved dobling eller halvering: Anbefalt å ta med i vurderingen 90% konfidensintervall (event. credibility interval ) for den erfarte feilraten. Confidence credibility interval: Se Rausand og Høyland kap. 11.4, 13.5 og

26 26 Sjekkliste Stolikke på beregninger alene, også andre vurderinger kan være styrende: Kvalitet, relevans og konfidens (tillit) til innsamlede data Kvalitet på funksjonstester (blir virkelig alle feil avdekket?) Type feil? Er det for eksempel mange feil som har samme årsak? Ved forslag til å øke testintervallet: Praktiske hensyn dersom testintervallet endres (er det andre grunner til å beholde testintervallet for eksempel driftshensyn)? Har leverandøren anbefalinger som gjør at foreslått endring bør revurderes? Er det noen sekundære (følge ) effekter som en bør tenke på dersom testintervallet økes eller reduseres (økt slitasje, mer sannsynlig for gjengroing, osv.) Hvor ofte har man erfart demands? 26

27 27 Eksempel En DU feil har blitt registrert I løpet av tre års drift for 35 blow-down ventiler. Akkumulert driftstid er timer. Feilraten som ble antatt i design er feil/time og et testintervall på 12 måneder ble valgt for å oppfylle SIL kravet. Spørsmål: a) Hvordan samsvarer erfart pålitelighet med forventet? b) Og bør testintervallet endres? Svar på a) - Forventet versus erfart pålitelighet: Antall forventede feil i perioden er feil/time (timer per år) = 2.7 feil Dette betyr at påliteligheten ser ut til å være bedre enn forventet etter 3 år. 27

28 28 Eksempel En DU feil har blitt registrert I løpet av tre års drift for 35 blow-down ventiler. Akkumulert driftstid er timer. Feilraten som ble antatt i design er feil/time og et testintervall på 12 måneder ble valgt for å oppfylle SIL kravet. Spørsmål: a) Hvordan samsvarer erfart pålitelighet med forventet? b) Og bør testintervallet endres? Svar på a) - Forventet versus erfart pålitelighet: Antall forventede DU feil i perioden er feil/time (timer per år) = 2.7 DU feil Dette betyr at påliteligheten ser ut til å være bedre enn forventet etter 3 år. Men er påliteligheten t så god at testintervallet kan endres? -> b) 28

29 29 Eksempel (fortsettelse) Svar på b) Kan testintervallet reduseres? Fordi det er registrert en DU feil, anbefales bayesiansk metode for beregning av erfart feilrate Konservativ feilrate antas 2 ganger design feilrate des 5 = timer 2 2 des des og = des 1 (feil) ˆ 11 6 op feil/time Betyr at Svar: Nytt intervall er 18 mnd op * op mnd 29

30 30 Påliteligheten til instrumenterte sikkerhetssystemer måovervåkesi driftfasen I forelesningen oees er det vist hvordan oda en del av kravene aee til pålitelighet kan følges opp det vil si PFD Den erfarte PFD kan brukes som beslutningstøtte når det gjelder valg av testintervall Også kvalitative vurderinger er nødvendig før endelig beslutning tas 30

31 31 Referanser Referanser Rausand, M. and A. Høyland, System reliability theory: models, statistical methods, and applications. 2004, Hoboken, New Jersey: Wiley Interscience Interscience. Hauge, S. and M.A. Lundteigen, SINTEF A8788 Guidelines for follow up of Safety Instrumented Systems () in the operating phase. 2008, SINTEF: Trondheim. Hauge, S. and M.A. Lundteigen. A new approach for follow up of safety instrumented systems in the oil and gas industry. In Safety, Reliability and Risk Analysis: Theory, Methods and Applications. 2009, CRC Press: London p (Presentert på ESREL konferansen i 2008) Hauge, S., Lundteigen, M.A. and Rausand, M., Updating failure rates and test intervals in the operational phase: A practical implementation ti of IEC and IEC 61508, in Reliability, Risk and Safety Theory and Applications, 2009, CRC Press: London p (Presentert på ESREL konferansen i 2009) Kommentar Kapittel 11, 10, 13 Åpen rapport: og samfunn/sikkerhet/rapporter Reports/ Bøker /CD på NTNU biblioteket, Valgrinda Bøker /CD på NTNU biblioteket, t Valgrinda Vl id OLF 070 Guidelines dl on the application of IEC and IEC in the Appendix F Norwegian petroleum industry, The Norwegian Oil Industry Association, alternativ metode IEC og IEC Tilgjengelig via biblioteket

32 32 Spørsmål?

33 33 Feilrate (ROCOF) Useful life Feilraten antas å være konstant, men vi vet ikke hvilken verdi den har. I design, gjør vi antagelser om denne verdien basert på historiske data og ekspertvurdering. I driftsfasen samler vi inn data for å for finne den sanne verdien. Den sanne verdien vil påvirkes av drift, vedlikehold, og miljøbetingelser. Tid ROCOF: Rate of occurrence of failures 33

34 34 Dobling eller halvinger: Considerdoubling doubling the interval Considerhalving the interval λ DU λ DU 90% confidence (credibility) for λ DU 90% confidence (credibility) for λ DU 0 2 DU DU 2 DU

35 35 To ord om meg selv Utdannet ved NTH, teknisk kybernetikk i 1993 Industrierfaring fra Phillips Petroleum (Nå Conoco Phillips), Nidar og SINTEF Jobbet med jernbane og offshore sikkerhetssystemer Tokdoktorgraden ved NTNU i perioden Ønsker å bidra videre ved NTNU med både industri og forskningserfaring 35

36 36 High demand versus Low demand System Low D High D Nødavstengningssystem (ESD/NAS) x Brann og gassdeteksjonssystem (F&G/B&G) x Prosessnedstengningssystem (PSD/PAS) x (x) High Integrity Pressure Protection System (HIPPS) x Signalsystem for tog framføring x Automatisk sikker lastindikator for kran x x Airbag (bil) x Anti lock braking system(abs) x Isolering brønn (Del av workover control system) x? x? Fokus i dag er på low demand systemer 36