1 IEC 61508 OLF-070 Tor Onshus Teknisk kybernetikk Norges teknisk naturvitenskaplige universitet, NTNU tlf: 73594388 fax: 73594399 Tor.Onshus@itk.ntnu.no http://www.itk.ntnu.no/ansatte/onshus_tor Bakgrunn http://www.ptil.no/ 2 PTIL krever i Styringsforskriften 5 at: barrierens funksjon skal alltid ivaretas krav til ytelse av barrierene skal gis det skal være kjent om barrierene er svekket det skal kompensere for svekkede barrierer Alle unntatt innretningsforskriften gjelder også for gamle installasjoner 1
3 Teknisk sikkerhet Sikker tilstand -Hva er det? -For hvem? 4 Stopp Tog Prosess Maskin Fortsett som før (varsle operatør) Fly Eksoterm reaktor Dykkerskip Bil 2
FEILMODI -hva er effekten av feilen 5 Farlig svikt/feilfunksjon Systemet er ikke i stand til å utføre den operasjonen det får beskjed om Trip/Utilsiktet operasjon Systemet utfører en operasjon det ikke har fått beskjed om å utføre Mange utilsiktede nedstengninger virker negativt på sikkerheten Feilmodi i IEC 61508 6 Dangerous Undetected Self-Test Dangerous Detected Fail-Safe design Operating Philosophy Safe Undetected Safe Self-Test Detected & Operating Philosophy 3
SIL Optimalisering Løsning B 7 Løsning A Minimum LCC 8 HVA ER ÅRSAKEN TIL FEIL FEIL 50% 50% Fysiske Systematiske Naturlig Elding Ytre Påkjenning Design Menneskelig Aktivitet 4
Systematiske feil 9 Feil plassering av BG detektorer Ufullstendige test prosedyrer Menneskelige feil under testing forlatt utkoblet feil kalibrering Feil i programvare (som ikke finnes ved testing) 10 Naturlig Elding Tiltak mot Feil Bedre utstyr og Redundans Ytre påkjenning og Menneskelig Aktivitet Isolere systemet Vedlikehold & Opplæring Funksjonelle feil Bedre design, organisasjon, ledelse, kvalitetssikring 5
11 Risikoanalyse Trenger for beregning Konsekvens av farlig hendelse Sannsynlighet for farlig hendelse Frekvens Eksponeringstid Mulighet for å unngå Summere over hele anlegget Optimalisere løsning Bevise at det er godt nok Risiko med sikkerhetsfunksjon 12 Risiko = Konsekvens x Frekvens Frekvens = Behovsrate x Sannsynlighet for svikt i sikkerhetsfunksjon EKSEMPEL Gasslekasje pga. overtrykk Overtrykk en gang pr. år SIS svikt hver 10. gang RESULTAT Gasslekkasje pga. overtrykk en gang hvert 10. år 6
Risikoreduksjon 13 14 SIKKERHETSSYSTEM WD A/D D/A CPU D/A A/D Kjent verdi på inngang Kontinuerlig CPU test Egen Watchdog Pulstest av utgang Test av feltkabling Selvtestende feltutstyr 7
Konstruksjonsregler Sikkerhetssystemer uavhengig og i tillegg til andre systemer PTIL, API, IEC 61508 del 1 (kap 7.5.2.6 b) ikke bli negativt påvirket av feil i andre systemer Prosessikring i to uavhengige funksjoner (PTIL/API RP 14C = ISO 10418) Primær sikring (instrumentering) Sekundær sikring (mekanisk) 15 Når har vi uavhengighet 16 Sikkerhet Når feil i en enhet ikke gjør at den andre svikter til en farlig feil kan gi nedstengning Regularitet Når feil i en enhet ikke gjør at den andre svikter til trip gir ikke utilsiktet nedstengning 8
17 Instrumentell Sikring Bruke instrumenter og logikk for å erstatte direktevirkende beskyttelse HIPPS - High Integrity Pressure Protection System KRAV Minst like bra som den konvensjonelle design det erstatter 18 IEC 61508 & 61511 9
IEC 61508 -konsekvenser av SIL 19 Arbeidsmetodikk kvalitetssikring Sviktsannsynlighet (PFD) Testing i drift Krav til systemstruktur Andel sikre feil (SFF) Antall redundante enheter (HFT) Sektor spesifikke standarder 20 10
Sikkerhetsfunksjon inkluderer Instrumentert Instrument/detektor Elektronisk/programerbart system med Operatørgrensesnitt Aktuatorer (ventiler/elektriske brytere) Andre teknologier er typisk PSV'er Ekstern risikoreduksjon er manuell utløsing av ESD systemet eller planlagt vedlikehold av systemet. 21 NFA Livsløp 2010 1 Concept 2 3 Overall Scope Definition Hazard & Risk Analysis 22 4 5 Overall Safety Requirements Safety Requirements Allocation 6 Overall 7 Overall 8 Operation & Maintenance Planning Overall Planning Validation Planning 9 System Safety Requirements Specification Overall Installation & 10 Safety-related Systems Commissioning Planning Realization 11 Other Risk Reduction Measures Specification and Realization 12 Overall Installation & Commissioning 13 Overall Safety Validation Back to appropriate Overall Safety Lifecycle phase 14 Overall Operation & Maintenance 15 Overall Modification & Retrofit 16 Decommissioning SIL-GL I 11
NFA Nødvendig risikoreduksjon 23 SIL-GL I 24 SIL-Safety Integrity Level SAFETY INTEGRITY LEVEL 4 3 2 1 DEMAND MODE OF OPERATION (Probability of Failure to perform its design function on Demand) > = 10-5 to < 10-4 > = 10-4 to < 10-3 > = 10-3 to < 10-2 > = 10-2 to < 10-1 CONTINUOUS/HIGH DEMAND MODE OF OPERATION (Probability of a dangerous Failure per Hour) > = 10-9 to < 10-8 > = 10-8 to < 10-7 > = 10-7 to < 10-6 > = 10-6 to < 10-5 Når kontinuerlig/ofte behov? behov oftere enn en gang pr. år eller behov oftere enn to ganger pr. testintervall 12
25 PFD-Probability of Failure on Demand PFD DU 2 τ - tid mellom funksjonsprøving [timer] 1 år = 8760 timer λ DU -farlig udetekterte feil [feil/time] Antall svikt Badekarskurven 26 Konstant feilintensitet Tid 13
β-modellen 27 Må anta avhengighet (β 0.01-0.1) PFD 2 2 PFD PFD DU PFD komponent I ikke bare uavhengighet (PFD 10-3 ) Systematiske feil 28 Ikke kvantifisert i IEC tiltak mot systematiske feil PSF/TIF i PDS modellen (Pålitelighet av Datamaskinbaserte Sikkerhetssystemer) CSU DU TIF 2 14
Periodisk fuksjonstesting 29 Så god som ny etter testing CSU Eksponensial fordeling Rekkeutvikling TIF-Test Independent Failures 0 TIF t PFD og CSU 30 Safety unavailability concepts PFD-Probability og Failure on Demand NCU2 NCU1 CSU1 PFD (used in IEC) CSU-Critical Safety Unavailability CSU (used in PDS) TIF NC = Non Critical Systemet eller operatør vet om feilen 1-reparasjon 2-testing 15
Når gjør vi hva? 31 Multiplisere PFD Når to funksjoner er helt uavhengige av hverandre Summere PFD For å få med alt som må virke for å utføre funksjonen Summering av PFD? 32 To komponenter med PFD 1 og PFD 2 PFD = PFD 1 +PFD 2?? Fullstendig beregning (suksess): 1-PFD=(1-PFD 1 )(1-PFD 2 )= 1-PFD 2 -PFD 1 +PFD 1 *PFD 2 1-PFD 1 -PFD 2 Dvs: PFD PFD 1 + PFD 2 16
Forenklinger (1oo2 votering) 33 PFD 1 e D t CE Dt CE ( D t CE ) 2 D t CE t CE DU T1 DD MTTR MTTR 2 D D t GE DU D T1 MTTR 3 DD D MTTR 2 t CE t GE D DD MTTR DU T 1 PFD 2(1 D ) DD (1 ) DU 2 MTTR + 1oo2 Votering + + 34 A A B Pådragsorgan - B Sikker tilstand er av - Sikker tilstand er på God sikkerhet Dårlig regularitet HFT = 1 17
+ 2oo2 Votering + + 35 A B A Pådragsorgan - Pådragsorgan Sikker tilstand er av - B Sikker tilstand er på God regularitet Dårlig sikkerhet HFT = 0 Krav til systemstruktur(a type) 36 Safe failure fraction Hardware fault tolerance 0 1 2 < 60 % SIL1 SIL2 SIL3 60 % - 90 % SIL2 SIL3 SIL4 90 % - 99 % SIL3 SIL4 SIL4 > 99 % SIL3 SIL4 SIL4 A type - Mekaniske komponenter B type - Med programvare 18
Krav til systemstruktur (B type) Safe failure fraction Hardware fault tolerance 0 1 2 < 60 % not allowed SIL1 SIL2 60 % - 90 % SIL1 SIL2 SIL3 90 % - 99 % SIL2 SIL3 SIL4 > 99 % SIL3 SIL4 SIL4 37 SFF = Andel sikre feil HFT = Antall redundante enheter (1oo2=2oo3=1, 1oo3=2) SFF ( DD DU SU DD ( SD ) 100 TOT SU DU TOT SD ) 100 NFA 38 Dokumentasjon SRS Sikkerhetsmanual SAR SIL-GL I 19
NFA Hva er SRS? 39 Spesifikasjon som inneholder alle krav til funksjonen som skal utføres av det sikkerhetsrelaterte systemet. funksjonskrav ytelseskrav OLF 070 Appendiks E SIL-GL I 40 SRS (forts) beskrivelse av alle sikkerhetsfunksjonene (sløyfene) i SIS for å oppnå riktig sikkerhetsnivå (SIL) definisjon av sikker prosesstilstand for hver sløyfe krav til testintervall krav til nedstengningstid for prosessen 20
NFA 41 Sikkerhetsmanual (61508-3, App D) -All nødvendig sikkerhetsinformasjon for enhetene Funksjonsspesifikasjon Antagelser og begrensninger Feilrater for alle feilmodi HFT A/B type Test intervall For intern selvtest Nødvendig test og vedlikehold SIL-GL I NFA SAR Safety Analysis Report 42 Vise at kravene for funksjonen er oppfylt Arbeidsmetodikk Sviktsannsynlighet Krav til systemstruktur OLF 070, Appediks E SIL-GL I 21
NFA 43 Arbeidsmetodikk SIL-GL I 44 Verifikasjon & Validering Verifikasjon (Getting the system right) Oppfyller løsningen kravene? Sjekke leveranse mot spesifikasjon Validering (Getting the right system) Passer løsningen til oppgaven? Sjekke løsning mot behov og myndighetskrav 22
Functional Safety Assessment(FSA) -3.parts verifikasjon 45 Uavhengig gjennomgang verifikasjon og validering Vurdering skal resultere i akseptert akseptert med kommentarer uakseptabelt Sikkerhetsledelse 46 Klart personlig ansvar Tiltak for å oppnå nødvendig sikkerhet Sørge for nødvendig kompetanse Kvalitetssikring Programvarekvalitet 23
Testing & drift -for å opprettholde SIL 47 Teste funksjonen med gitt frekvens også redundante enheter Omfang og kvalitet som antatt i beregninger Følge opp hendelser behov for funksjonen svikt av funksjon eller deler av funksjon Kontroll med utkoblinger Funksjonstesting 48 24
Erfaringsdata 49 Beregne feilrater N PFD 2 M DU N Operasjonstid DU SU DD SD N = Antall ganger komponenten ikke virket funnet ved funksjonstest funnet ved aktivering av sikkerhetsfunksjon M = Total antall operasjoner av komponenten (test + aktivering) 50 Hvorfor OLF-070? 25
Hvordan måle ytelse av SIS? 51 IEC 61508 internasjonalt akseptert Konstruksjon Spesifikasjon Kontrakt Ytelses standard PTIL anbefaler bruk av IEC 61508 Ytelses krav med minimum SIL Erfaring ved bruk av IEC 61508 52 Vanskelig i utviklingsprosjekter Svært mye arbeide Varierende SIL for samme funksjon og risiko Metode (risiko graph/matrise, PFD verdier) Personer/organisasjoner/erfaring Bevarer ikke gode løsninger Hvordan identifiserer vi nødvendige funksjoner? 26
Begrensninger i SIL metoder 53 Kommer fram til forskjellig SIL for samme funksjon Vi mangler risiko uten sikkerhetsfunksjon behovsrate for sikkerhetsfunksjon akseptkriterier Metodene egner seg ikke for ESD/BG Behov på grunn av mange initierende hendelser C&E, vil komme utenfor SIL skalaen OLF 070 54 Ikke risikobasert (pr. installasjon) To kategorier Lokale funksjoner (PSD) Globale funksjoner (ESD og BG) Minimum SIL for utvalgte funksjoner Sikre minimum sikkerhetsnivå Standardisering i industrien Unngå stor tidsforbruk for å finne SIL 27
Lokale sikkerhetsfunksjoner 55 EUC typisk en trykktank Funksjonen definert i ISO 10418 Vanligvis realisert som PSD som primær barriere Mekanisk enhet som sekundær barriere Globale sikkerhetsfunksjoner 56 EUC typisk et område Systemer og Funksjonen gitt av Ptil Suksesskriteriet er viktig Gassdeteksjon Når det er gass i området Når detektoren er eksponert for gass Isolering og trykkavlasting Den totale funksjonen For en enkelt ventil (basisfunksjon) QRA må summer opp basisfunksjoner 28
57 For Globale funksjoner Telle opp over plattformen i QRA Eksempel Antall brønner/stigerør Antall ventiler som må stenge for å isolere et område Plassering og antall for brann&gassdettektorer og deluge Trykkavlasting SIL krav basert på 58 Gode løsninger uttrykt i SIL/PFD Er like på nesten alle installasjoner Hva er nødvendig? SIL 1: Kan svikte hver 10. gang Tilgjengelig pålitelighetsdata Hva er mulig med dagens teknologi? 29
Oljeselskap-Leverandør 59 Hvem gjør hva og hvem tar ansvaret Oljeselskapet har ansvaret Dimensjonering av totalsløyfen hvem setter kravene til deler av funksjonen % PFD Sensor 10 System 20 Pådrag 70 NB! Dette er bare et eksempel og ikke et krav 60 Hva feiler? (antall feil) 70 60 50 Felt System Annet % 40 30 20 10 0 Sikkerhet Trip 30
61 Sensor feil Balansert system En spesiell risiko er ikke dekket System feil Alle funksjoner er utkoblet Kritikalitet Bidrag til total sikkerhet/risikoreduksjon NFA 62 Programvare Applikasjonsprogramvare SIL-GL I 31
NFA Programvarekrav 63 Programvarefeil = systematiske feil Standarden har krav om metoder for å minske antall systematiske feil Planlegging!!!! SIL-GL I NFA Strukturert utvikling og testing 64 SIL-GL I 32
NFA Sjekklister 65 SIL-GL I NFA Programvare SRS = SwRS Input til SwRS skal være: krav til funksjonen krav til arkitekturen krav til kompetanse 66 SIL-GL I 33
NFA SwRS 67 Resultatet skal omtale: funksjonene realisert av applikasjonen kapasitet og tidsrespons utstyr og HMI alle relevante operasjonsmodus monitorering-funksjonalitet og respons på detekterte feil beskrivelse av funksjonestest-funksjonalitet SIL-GL I 68 Oppsummering Erik Korssjøen Kongsberg Simrad 34
KRAV 69 PTIL krever i Styringsforskriften 5 barrierens funksjon skal alltid ivaretas krav til ytelse av barrierene skal gis skal være kjent om barrierene er svekket skal kompensere for svekkede barrierer Det er bare innretningsforskriften som ikke gjelder for gamle installasjoner NFA 2008 IEC 61508 -konsekvenser av SIL 70 Arbeidsmetodikk kvalitetssikring Sviktsannsynlighet (PFD) Testing i drift Krav til systemstruktur Andel sikre feil (SFF) Antall redundante enheter (HFT) SIL-GL kurs I 35