1 Risk identification Risk analysis
To hovedoppgaver: Risk identification Identifikasjon av hasarder (hva kan gå galt?) Årsaksanalyse (hvordan kan dette skje)? Årsaksanalyse er en naturlig del av en topdown fremgangsmåte. Sentral metode for årsaksanalyse: Feiltreanalyse (FTA). 2
Feiltreanalyse (FTA) 3 Utviklet i Bell Telephone Laboratories i 1962. I dag den mest brukte analysemetoden i risikoanalyse og pålitelighetsanalyse. Størst suksess innen romfartsindustri og kjernekraftverk. Grafisk metode som starter med en hendelse direkte relatert til en identifisert hasard som topphendelse og som så forsøker å beskrive/illustrere de mulige årsaker til at topphendelsen inntreffer ( bakover i tid). Logiske diagrammer Statisk bilde. Basis for både kvalitativ og kvantitative analyser Kan anvendes i både design og drift fase
Konstruksjon av feiltreet 4 Deduktiv metode: Arbeider oss nedover. Finner årsakene? Knytter sammen årsaker med logiske porter (AND og OR). Feilkategorier: Primary fault: Komponent feiler i et miljø og under betingelser den er designet for. Secondary fault: Komponent feiler under betingelser den ikke var designet for. Command fault: Komponent utfører sin funksjon som tenkt, men under feil omstendigheter (feil kommando).
FTA - Basisnotasjon 5 OR-gate: The output occurs if at least one of the inputs occur AND-gate: The output occurs if all of the inputs occur Basic event: A basic event, taken as inpu, requires no further development Intermediate event: A fault event resulting from other events. Undeveloped event: A fault event not fully traced to it source. It is taken as input but its causes may be unknown. Transfer-in: An input from another tree. Transfer-out: Appears in the place of the top event and indicates that this point forms the input to another tree.
FTA - Eksempel Loss of heating OR-gate Loss of fuel supply AND-gate 3. Loss of electricity 6 1. Loss of solid fuel 2. Loss of liquid fuel
FTA - resultat Gir en liste over mulige kombinasjoner av årsaker (årsakskjeder) som gir en uønsket hendelse. Minimale kuttmengder En kuttmengde i et feiltre er en mengde av basishendelser som ved å inntreffe sikrer at TOPPhendelsen inntreffer. En kuttmengde sies å være minimal hvis den ikke kan reduseres Finner sannsynligheten for at den uønskede hendelsen vil inntreffe i løpet av en bestemt tidsperiode 7
FTA Fordeler og begrensninger 8 Kan gjennomføres av en analytiker (vanligvis en gruppe på 2-4 personer). Analysearbeidet krever: Grundig kjennskap til systemets virkemåte. Kjennskap til feilmodene i systemet og feilmodenes effekt på systemet -> FMEA. Gir klar og oversiktlig bilde av hvilke kombinasjoner av feil og andre hendelser som kan lede til en bestemt uønsket hendelse. Feiltreet er grafisk og enkelt å formidle. Brukes gjerne til å kople sammen resultater fra hasardidentifikasjon som er gjort på flere detaljnivåer Men, gir kun et statisk bilde av feilkombinasjonene. Håndterer ikke avhengige feil (common cause failures).
FTA - Bemerkninger 9 Illustrerer godt effekten av barrierer/manglende barrierer Kritikalitet av enkelthendelser blir tydelig Kan knytte sammen effekten av forskjellige typer hendelser Menneskelige feil, maskinfeil,... Kan bli store og komplekse, og er ikke nødvendigvis enkle å konstruere Finnes verktøy for effektiv tegning, og det er foreslått forskjellige måter å generere dem manuelt på Ikke så godt egnet til å analysere/modellere dynamiske fenomener, dvs. fenomener hvor tidsforløpet er viktig
Risk Analysis To hovedaktiviteter: Konsekvensanalyse (analysere, evaluere og dokumentere konsekvensene til uønskede hendelser). Anslå sannsynligheten for uønskede hendelser. Sentral metode for konsekvensanalyse: Hendelsestreanalyse (ETA) 10
Hendelsestreanalyse (ETA) 11 Tar utgangspunkt i hendelser som kan påvirke systemet og kartlegger de mulige videre hendelsesforløp for å bestemme deres mulige konsekvenser. Disse hendelsene inkluderer både hendelser assosiert med forventet operasjon av systemet og feiltilstander. Ser fremover i tid. Fokus på barrierer, dvs. spesielle egenskaper et system har til å stoppe en potensielt farlig utvikling.
ETA - Eksempel Coolant pressure Pressure sensor Alarm relay Siren Operate (0.9) Operate (0.98) Alarm Activ (0.8379) Operate(0.95) Fail (0.02) Fail (0.1) Operate (0.9) Inactiv (0.0931) Inactiv (0.0171) Fail Operate (0.98) Fail (0.1) Operate (0.9) Inactiv (0.0019) Inactiv (0.0441) Fail (0.05) Fail (0.02) Fail (0.1) Operate (0.9) Inactiv (0.0049) Inactiv (0.0009) 12 Fail (0.1) Inactiv (0.0001)
ETA fordeler og begrensninger Kan være vanskelig å velge hvilke hendelser som skal være med og i hvilken rekkefølge. Kan angi tidsaspekter. Kan angi sannsynligheter. Også subjektive sannsynligheter. Kan bli store og uoversiktlige. Men mulig å kutte av (irrelevante) grener. 13
Sammenheng mellom metodene? Top-down FTA HazOp Bottom-up FMEA ETA 14
Klassifisering av hasarder 15 - Vi er utsatt for hasarder mer eller mindre kontinuerlig i hverdagen vår. Assosiert med hver av disse hasardene er det en gitt risiko som bestemmer alvorligheten av en hasard og som gir oss muligheten til å vurdere om dette er en akseptabel risiko eller ikke. Muligheten for å bli slått ned av lynet. Feil på bilbremser. Signalfeil på toglinje. Muligheten for å tråkke på en tegnestift. - Dette er mulige hasarder vi kan være utsatt for, men som vi forholder oss til på svært forskjellige måter. Det er derfor nødvendig å kunne klassifisere hasarder!
Noen nye begreper Hasard: - Hendelse/situasjon som potensielt kan medføre fare på mennesker eller miljø. - Når en hasard resulterer i en uønsket hendelse som forårsaker virkelig fare kaller vi det en ulykke. Ulykke: - Uønsket hendelse, eller sekvens av hendelser, som forårsaker døde eller skadde mennesker, miljømessig eller materiell skade. - Hovedmålet til en hasardanalyse er å identifisere sekvenser av hendelser som kan resultere i ulykker. Nesten-ulykke: - Uønsket hendelse, eller sekvens av hendelser, som under andre omstendigheter ville forårsaket døde eller skadde mennesker, miljømessig eller materiell skade. 16
Klassifisering av hasarder - En hasards alvorlighet (risiko) bestemmes av de ulykker den kan medføre. Risiko er relatert til to faktorer: - De potensielle konsekvensene av ulykken som kan inntreffe. - Frekvens/sannsynlighet for at ulykken skal inntreffe. - Risiko er altså en kombinasjon av frekvensen / sannsynligheten for en spesifikk uønsket hendelse og dens konsekvenser. - Risiko kan både vurderes kvalitativt og kvantitativt. - Ved en kvantitativ vurdering kan nummeriske estimater av både frekvens / sannsynlighet og konsekvens kombineres for å finne et enkelt mål for risiko. Eks: Feil i en spesiell komponent vil sannsynligvis medføre en eksplosjon som kan drepe 100 mennesker. Det er estimert at komponenten vil feile en gang per 10000 år, dvs at sannsynligheten for at komponenten feiler pr år er gitt ved 1/10000 = 0.0001. 17 Risiko = 100 * 0.0001 = 0.01 drepte pr år.
Klassifisering av hasarder 18 - Både alvorlighet av konsekvenser og sannsynlighet / frekvens vil i virkeligheten kunne anta et stort antall mulige verdier (i praksis kontinuerlig). - Det er derfor vanlig å dele opp alvorlighet av konsekvenser og sannsynligheter / frekvenser opp i klasser for å forenkle bruken av standarder og retningslinjer. - Anbefalinger eller krav er da basert på disse klassene i stedet for de nummeriske verdiene av størrelsene. - Klassifiseringene som benyttes vil ofte variere mye mellom industrier og definisjonene som benyttes på klassene vil ofte være nært relatert til de områdene de benyttes.
Konsekvensklassifisering - Luftfart Catastrophic: Umuliggjør sikker flyging og landing. Hazardous: Omfattende reduksjon i safetymargin. Major: Signifikant reduksjon i safetymargin. Minor: Mindre reduksjon i safety-margin. 19 No effect: Påvirker ikke safety.
Konsekvensklassifisering - Military Catastrophic: Flere døde Critical: En død, flere alvorlig skadde. Marginal: En alvorlig skadd, flere lettere skadde. 20 Negligible: Maksimalt en lettere skadd.
Sannsynlighetsklassifisering 21 - Sannsynligheten / frekvensen for en hasard skal inntreffe kan uttrykkes på forskjellige måter, både kvalitativt og kvantitativt. - I kontinuerlige kontrollsystemer vil frekvens / sannsynlighet ofte uttrykkes som antall feil per år eller time. - I systemer som benyttes periodevis (eks. shutdown systemer) vil frekvens /sannsynlighet ofte uttrykkes som antall feil per demand, dvs. antall feil delt på totalt antall ganger systemet er blitt benyttet.
Sannsynlighetsklassifisering - Luftfart Prob. per operating hour Probable Frequent > 10-3 per hour Reasonably probable 10-3 _ 10-5 per hour Improbable Remote 10-5 _ 10-7 per hour Extremely remote 10-7 _ 10-9 per hour 22 Extremely improbable Extremely improbable < 10-9 per hour
Frekvensklassifisering - Military 23 Over systemets levetid! Frequent: Mer eller mindre kontinuerlig. Probable: Ofte Occasional: Flere ganger. Remote: Vil forekomme en eller annen gang. Improbable: Usannsynlig, men kan tenkes å forekomme. Incredible: Ekstremt usannsynlig at hendelsen noen gang vil inntreffe.
Risikoklassifisering Alvorlighet av konsekvenser hvis hasard inntreffer Risikoklassifisering Frekvens/sannsynlighet for hasard 24