Was muss ein Betreiber bei der Anlagensicherheit mit Industriearmaturen beachten?

Transkript

1 Products Solutions Services Was muss ein Betreiber bei der Anlagensicherheit mit Industriearmaturen beachten? Anlagensicherheit durch Funktionale Sicherheit - SIL Safety Integrity Level Folie 1

2 Inhalt / Einführung Was heißt Funktionale Sicherheit? Anwendungsbereich Risikominderung / Risikoreduzierung Wichtige Kennzahlen Risikomanagement Risikograf Begriffe Wo finde ich die notwendigen Informationen? Anlagensicherheit Folie 2

3 Ursprung der Funktionalen Sicherheit Chemieunfall in Seveso, Italien 1976: Hochgiftiges Dioxin mit katastrophalen Folgen für Mensch, Tierwelt und Natur ist ausgetreten. Ursache: Unkontrollierte Reaktion führte zur Überhitzung Automatische Kühlsysteme und Warnanlagen waren nicht vorhanden Das Unglück löste Normenbestrebungen für die funktionale Sicherheit aus. Folie 3

4 Störfallverordnung 12. BImSchV (Auszug) 3 Allgemeine Betreiberpflichten (1) Der Betreiber hat die nach Art und Ausmaß der möglichen Gefahren erforderliche Vorkehrungen zu treffen, um Störfälle zu verhindern; (4) Die Beschaffenheit und der Betrieb der Anlagen des Betriebsbereiches müssen dem Stand der Sicherheitstechnik entsprechen. 4 Anforderungen zur Verhinderung von Störfällen Der Betreiber hat 2. den Betriebsbereich mit ausreichenden Warn, Alarm- und Sicherheitseinrichtungen auszurüsten, 3. die Anlagen des Betriebsbereichs mit zuverlässigen Messeinrichtungen und Steuer- oder Regeleinrichtungen auszustatten, die soweit dies sicherheitstechnisch geboten ist, jeweils mehrfach vorhanden, verschiedenartig und voneinander unabhängig sind, 5 Anforderung zur Begrenzung von Störfallauswirkungen (1) Der Betreiber hat 2. die Anlage des Betriebsbereiches mit der erforderlichen sicherheitstechnischen Einrichtungen auszurüsten sowie die erforderlichen technischen und organisatorischen Schutzvorkehrungen zu treffen. Folie 4

5 Anwendungsbereich E/E/PE-Systeme = Elektrische / Elektronische / Programmierbare Elektronische Sicherheits-Systeme Verfahrenstechnik Prozessindustrie (Elektronik) Maschinensicherheit (Elektronik Mechanik) Feuerungstechnik Sonstige Arbeitsbereiche DIN EN DIN EN VDI/VDE 2180 SIL 1-4 Low demand mode 1 1 Anforderung pro Jahr pro Jahr PFD-Werte DIN EN DIN EN SIL 1-3 PL a e Hight demand mode 1 Anforderung pro Stunde PFH-Werte... DIN EN VDE 0116 EN 746 Aufzüge Bahntechnik Signalanlagen Kerntechnik Wer rastet, der rostet Wer viel arbeitet, ermüdet Wer Fehler vermeidet, macht keine Fehler SIL = Safety Integrity Level PL = Performance Level Folie 5

6 Einige Begriffe SIL (Safety Integrity Level) Maß der Risikoreduzierung SFF (Safe Failure Fraction) Anteil der ungefährlichen Ausfälle bezogen auf die Summe aller Ausfälle in Prozent PFD avg ( Probability of dangerous on demand) mittlere Wahrscheinlichkeit eines gefährlichen Ausfalls der Sicherheitsfunktion bei Anforderung zugrunde gelegt ist ein Anforderungsintervall von einem Jahr Anwendung bei low demand PFH (Probability of dangerous Failure per Hour) mittlere Wahrscheinlichkeit eines gefährlichen Ausfalls der Sicherheitsfunktion pro Stunde Anwendung bei hight demand bzw. continuos mode HFT (Hardware Fault Tolerance) Hardware Fehlertoleranz: N+1 Fehler führen zum Verlust der Sicherheitsfunktion Ti (Prüfintervall)... Folie 6

7 Klassifizierung von PLT-Schutzeinrichtungen Ampelbild nach VDI / VDE 2180 Blatt 1 Aktionsbereich einer: Prozessgröße Vermeidet Personenschaden, Umweltschäden, Sachschäden Vermeidet das Ansprechen von Schutzeinrichtungen Produktionsrelevante Aufgaben Alarmieren, Melden Schalten Produktionsrelevante Aufgaben Messen, Steuern, Regeln nichtbestimmungsgemäßer Betrieb Bestimmungsgemäßer Betrieb unzulässiger Fehlbereich zulässiger Fehlbereich Gutbereich z.b. Überfüllsicherung nach WHG Andere Schutzeinrichtung spricht an PLT-Überwachungseinrichtung spricht an PLT- Betriebseinrichtung PLT-Überwachungseinrichtung PLT- Schutzeinrichtung PLT- Schutzeinrichtung spricht an Sicherheit Gefahr Zeit Folie 7

8 Versagensursachen Deterministischer Ansatz Systematische Fehler Fehlervermeidung Fehler QS-System Sicherheitslebenszyklus Zufällige Fehler Fehlererkennung Fehlerbeherrschung Aufbau / Architektur Probabilistik (Versagenwahrscheinlichkeit) Folie 8

9 Funktional Safety Management nach EN Management und Beurteilung der Funktionalen Sicherheit Aufbau und Planung des Sicherheits- Lebenszyklus Gefährdungs- und Risikobeurteilung Zuordnung der Sicherheitsfunktion zu den Schutzebenen Verifikation Spezifikation der Sicherheits- Anforderungen an das SIS Entwurf und Planung des Sicherheitstechnischen Systems (SIS) Entwurf und Planung anderer Maßnahmen zur Risikominderung Montage, Inbetriebnahme und Validierung Betrieb und Instandhaltung Modifikation Außerbetriebnahme Folie 9

10 Redundanz Je nach Sicherheitsanforderung sind verschiedene MooN-Konfigurationen sinnvoll. Bei einer 1oo2 (one out of two) Konfiguration genügt z.b. eines von zwei Geräten, um die Sicherheitsanforderung auszuführen. Bei einer 2oo3 (two out of three) Konfiguration müssen zwei von drei Geräten korrekt arbeiten. Folie 10

11 Beispiel eines Schutzkreises (einkanaliger Aufbau) Steuerung Sensorik Aktorik Druck Grenzstand Z Folie 11

12 Beispiel eines Schutzkreises Steuerung Aktorik Grenzstand 1oo2 Druck Sensorik Z Folie 12

13 Sicherheitstechnisches System Typisches sicherheitstechnisches System Redundantes System für sicheres Schließen (1) Sensor (2) Steuerung (Sicherheits-SPS) (3) Stellantrieb (4) Armatur (5) Prozessleitsystem Bild: AUMA Redundantes System für sicheres Öffnen Folie 13

14 Risikoreduzierung durch SIL Risikoeinstufung der Anlage: SIL 1 Risikoeinstufung der Anlage SIL 1 Risikostufen SIL 1 SIL 4 SIL 1 SIL 4 Auswahl der Gerätekomponenten nach der Risikoeinstufung der Anlage Dies wird durch den Anlagenbetreiber festgelegt. Durch eine Risikobetrachtung, wird eine Risikoeinstufung vorgenommen. Dieses kann z.b. durch den Risikographen nach verschiedenen Regelwerken vorgenommen werden. Der Safety-Integritätslevel SIL 4 ist die höchste Stufe der Sicherheitsintegrität und der Safety-Integritätslevel SIL 1 die niedrigste. Je höher der Safety Integrity Level der sicherheitsbezogenen Systeme ist, um so geringer ist die Wahrscheinlichkeit, dass sie die geforderten Sicherheitsfunktionen nicht ausführen. Auswahl der Gerätekomponenten: Abhängig von der Anlageneinstufung ist die sicherheitstechnische Geräteauswahl bzw. sicherheitstechnische Installation dieser Komponenten vorzunehmen. Folie 14 14

15 Der erforderliche SIL wird mit Hilfe verschiedener Personen ermittelt. Beurteilung der Anlage (R+I - Schema) Sicherheitskonzept Wer? Verfahrenstechniker Sicherheitsingenieur MSR-/PLT-Planung Betriebsingenieur Sachverständige... Dokumentationspflicht Das Sicherheitskonzept stellt alle sicherheitstechnischen Betrachtungen und die daraus abgeleiteten Maßnahmen dar, die den sicheren Betrieb einer Anlage zum Inhalt haben. Darin eingebunden ist die Mess-, Steuer- und Regelungstechnik (MSR) bzw. PLT-Technik. Folie 15

16 Risikograph nach EN Eintrittswahrscheinlichkeit Start S 1 S 2 A 1 A 2 G 1 G 2 G 1 G 2 W 3 W 2 W SIL SIL 1 SIL SIL 1 SIL 1 Keine PLT-Schutzeinrichtung (z.b. technische Maßnahmen) Schadenausmaß S1 leichte Verletzung einer Person oder kleinere schädliche Umwelteinflüsse, die z.b. nicht unter die Störfallverordnung fallen. S2 schwere, irreversible Verletzung einer oder mehrerer Personen oder Tod einer Person oder vorübergehende größere schädliche Umwelteinflüsse, z.b. nach Störfallverordnung. S3 Tod mehrerer Personen oder lang andauernde größere schädliche Umwelteinflüsse, z.b. nach Störfallverordnung. S4 katastrophale Auswirkung, sehr viele Tote. S 3 S 4 A 1 A 2 Schadensausmaß Aufenthaltsdauer Gefahrenabwehr SIL 4 SIL 4 PLT-Schutzeinrichtung nicht ausreichend Aufenthaltsdauer A1 selten bis öfter A2 häufig bis dauernd Gefahrenabwehr G1 möglich unter bestimmten Bedingungen G2 kaum möglich Eintrittswahrscheinlichkeit W1 sehr gering W2 gering W3 relativ hoch Folie 16

17 Risikoreduzierung Maß für die Risikoreduzierung SIL 1 SIL 4 Ausfallrate (Fehler) SD = sicher erkannt SU = sicher unerkannt DD = gefährlich erkannt DU = gefährlich unerkannt DU DD SU FMEDA Fehlerart Sicher Gefährlich Erkannt SD DD Unerkannt SU DU PFD = Wahrscheinlichkeit gefahrbringender Ausfälle einer Sicherheitsfunktion im Anforderungsfall (1x im Jahr) Prozessanlagen PFD = ½ DU x Ti SD Maschinensicherheit PFH = DU PFH = Ausfallwahrscheinlichkeit je Stunde für die Sicherheitsfunktion Folie 17

18 Ausfallwahrscheinlichkeit Safety Integrity Level SIL PFD Maximal akzeptierter Ausfall des SIS bis < 10-1 Ein gefährlicher Ausfall in 10 Jahren bis < 10-2 Ein gefährlicher Ausfall in 100 Jahren bis < 10-3 Ein gefährlicher Ausfall in 1000 Jahren bis < 10-4 Ein gefährlicher Ausfall in Jahren PFD: Probability of Failure on Demand (Wahrscheinlichkeit eines gefährlichen Fehlers bei Anforderung) SIS: Safety Instrumented System (Sicherheitstechnisches System) Folie 18

19 Prinzip der SIL-Bewertung SFF < 60% --- SIL 1 60%... 90% SIL 1 90%... 99% SIL 4 > 99% SIL 4 SIL 4 Tabelle für Typ B - Geräte Fehlererkennung SIL 1 HFT = Hardware Failure Tolerance (Architektur/Redundanzen) SFF = Safe Failure Fraction (Anteil sicherer Ausfälle) PFD = Probability of Failure on Demand (Mittlere Ausfallwahrscheinlichkeit) Fehlerbeherrschung PFD SIL 4 Folie 19 Hinweis: Beide Bewertungen werden unabhängig voneinander durchgeführt. Der jeweils kleinere SIL ist maßgebend! 19

20 Funktionsprüfung 0,1 PFD 0,01 0,001 PFDav ½ DU x Ti 0,0001 Funktionsprüfung (Testinterval Ti ) SIL 1 SIL 4 Ti z.b. 1 Jahr Gebrauchsdauer Folie 20

21 Beispiele für Fehler im Aktorsystem und Fehlererkennung (NE 106) Die häufigsten Fehlerbilder an Aktorteilsystemen sind in nachfolgender Tabelle aufgeführt. Längere Prüfabstände stellen besonders die Aktorseite vor eine besondere Herausforderung. Hier ist eine automatische Diagnose wesentlich schwieriger zu realisieren als bei den Sensoren. Durch einen Ventilanlauf-Test (Partial Stroke Test) können viele Fehler bei laufendem Betrieb erkannt werden. Folie 21

22 Der Sicherheitskreis Sensor SIL PFD S Logik SIL PFD L Logikeinheit Aktor SIL PFD A Aktor Sensor Messumformer Folie 22 22

23 Beispiel Berechnung eines SIS mit einem -Sensor PFD Sensor 1,5 x 10-3 geeignet für PFD Logik (SPS) 1,3 x 10-4 geeignet für PFD Aktor 7,5 x 10-4 geeignet für Beispiel für ein 1oo1 (1 out of 1 System) Sensor PFD S Logik PFD L Aktor PFD A PFD Sys = PFDs + PFD L + PFD A PFD Sys = 1,5x ,3x ,5 x 10-4 PFD Sys = 2,38x 10-3 () Durch die Verwendung dieser Komponenten erreicht die Messkette die PFD für SIL PFD bis < bis < bis < bis < 10-4 Folie 23

24 Beispiel Berechnung eines SIS mit -Komponenten PFD Sensor 6,09 x 10-4 geeignet für PFD Logik (SPS) 1,3 x 10-4 geeignet für PFD Aktor 5,0 x 10-4 geeignet für Beispiel für ein 1oo1 (1 out of 1 System) Sensor PFD S Logik PFD L Aktor PFD A PFD Sys = PFDs + PFD L + PFD A PFD Sys = 6,09 x ,3x ,0 x 10-4 PFD Sys = 1,24 x 10-3 () Durch die Verwendung dieser Komponenten erreicht die Messkette die PFD für Dieses Beispiel zeigt deutlich, dass trotz der Verwendung von SIL3-Komponenten die Messkette die PFD für nicht erreicht. SIL PFD bis < bis < bis < bis < 10-4 Folie 24

25 Beispiel Berechnung eines SIS mit -Komponenten PFD Sensor 6,09 x 10-4 geeignet für PFD Logik (SPS) 1,3 x 10-4 geeignet für PFD Antrieb +Aktor 5,0 x 10-4 geeignet für Beispiel für ein 1oo1 (1 out of 1 System) Sensor PFD S Logik PFD L Antrieb + Aktor PFD A PFD Sys = PFDs + PFD L + PFD A PFD Sys = 3,63 x ,84x ,28 x 10-3 PFD Sys = 1,07 x 10-2 (SIL 1) Durch die Verwendung dieser Komponenten erreicht die Messkette die PFD für SIL 1 Dieses Beispiel zeigt deutlich, dass trotz der Verwendung von SIL2-Komponenten die Messkette die PFD für nicht erreicht. SIL PFD bis < bis < bis < bis < 10-4 Folie 25

26 Zweikanalige Architektur (homogene Redundanz) Sensorteil Auswertung Aktor () Aktor () Nur, wenn Software verwendet wird, die nach entwickelt ist. Hardware Software Folie 26

27 Zweikanalige Architektur (diversitäre Redundanz) Sensorteil Auswertung Aktor () Aktor () Folie 27

28 Architektur (einkanalig / redundant) Aufbau einkanalig Ein einzelnes Gerät Aufbau homogen redundant Zwei gleiche Geräte + Aufbau diversitär redundant Zwei unterschiedliche Geräte (Maßnahme, dass ein systematischer Fehler nicht gleichzeitig auftreten kann) Aufbau diversitär redundant Zwei unterschiedliche Technologien (verschiedene Prinzipien) + + Für den Anwender ist es wichtig für seine Anlage die richtige Instrumentierung auswählen zu können Für bestehende Anlagen brauchen die Anwender verlässliche Zahlen der Betriebsbewährung Folie 28

29 Sicherheitskreis: Das Absperrorgan Logikeinheit Tabelle 6 EN SIL HFT (Architektur) (Absch und ) Spezial requirements (EN 61508) Aktor Sensor HFT 0 Ein Sicherheitskreis mit nur einem Ventil erreicht maximal, Messumformer und das auch nur wenn eine Betriebsbewährung für das Ventil vorliegt Folie 29

30 Was muss der Hersteller berücksichtigen? Angepasste Entwicklungs- und Fertigungsprozesse Bei der Hardware- und Software- Entwicklung sind vom Hersteller Organisatorische Vorgaben zu erfüllen: Konzept Entwicklung Fertigung Betrieb und Wartung SIL- Level SIL 4 SIL 1 Beurteilung durch: Unabhängige Organisation Unabhängige Organisation Unabhängige Abteilung Unabhängige Person Der Hersteller muss die Abläufe gemäß EN organisieren. Folie 30

31 Vielen Dank Karl Heinz Gutmann G-T/Technische Sicherheit Endress+Hauser Messtechnik GmbH+Co.KG Weil am Rhein Folie 31