Management der Funktionalen Sicherheit im Turbomaschinenbau

Transkript

1 Management der Funktionalen Sicherheit im Turbomaschinenbau Arbeit des VDMA-AK Funktionale Sicherheit Turbomaschinen Christoph Graser Siemens AG Energy Sector, Mülheim an der Ruhr VDE-Tagung IEC (VDE 0803), Darmstadt, 1./2. Dezember 2009

2 Die Inhalte dieses Vortrages basieren auf den im VDMA-Arbeitskreis Funktionale Sicherheit Turbomaschinen von den Experten aller beteiligten Untenehmen gemeinsam erzielten Ergebnissen Alle Bilder sind Siemens-Werkbilder, sofern nicht anders angegeben

3 Welche Turbomaschinen werden betrachtet? Gas- und Dampfturbinen für den Antrieb von Generatoren Turbogeneratoren für die Stromerzeugung Gas- und Dampfturbinen für industrielle Anwendungen, z.b. Antrieb von Pumpen, Verdichtern, etc. Verdichter für industrielle Anwendungen Page 3 Nov-09 Christoph Graser

4 Risikobeurteilung bei Turbomaschinen Was ist zu beachten? Turbomaschinen sind praktisch immer Bestandteil komplexer Anlagen besitzen zahlreiche Schnittstellen zu anderen Systemen haben teilweise Wechselwirkungen mit nicht unmittelbar angrenzenden Teilprozessen oder Anlagenteilen Kondensat- und Speisewasserpumpen Speisewassertank Turbosatz mit Hilfseinrichtungen Speisewasservorwärmer Kondensator mit Hilfseinr. Es ist ein sehr breites Spektrum an Gefährdungen zu betrachten (mechanisch, thermisch, elektrisch, stoffbedingt, etc.) Gefährdungsbereiche umfassen u.u. große Anlagenteile, evtl. sogar angrenzende öffentliche Bereiche Steuerungstechnische Schutzfunktionen sind häufig Bestandteil eines Bündels von Maßnahmen zur Abwehr, bzw. Minimierung einer bestimmten Gefährdung Page 4 Nov-09 Christoph Graser

5 Turbomaschinen Maschinen für die Prozessindustrie Gehören Turbomaschinen zur Prozessindustrie? oder zum Maschinensektor? Quelle:Wikipedia Page 5 Nov-09 Christoph Graser

6 VDMA-AK Funktionale Sicherheit bei Turbomaschinen Wer ist beteiligt? Hersteller von Turbomaschinen aus dem deutschsprachigen Raum: Siemens AG, Energy Sector Alstom Power Systems GmbH MAN Turbo AG Atlas Copco ENERGAS Ca. 40 Expertinnen und Experten aus allen relevanten Fachdisziplinen Leitung: Bernhard Wüst, Alstom Power Systems GmbH Struktur Leitungsteam 4 Produktteams (Gasturbine, Dampfturbine, Generator, Verdichter) Verfahrensteam Redaktionskreis Page 6 Nov-09 Christoph Graser

7 VDMA-AK Funktionale Sicherheit bei Turbomaschinen - Motivation Es besteht kein Anlass, den im Turbomaschinenbau heute realisierten Standard in Frage zu stellen Methodik der Funktionalen Sicherheit glt allgemein als Stand der Technik, für Turbomaschinen gibt es jedoch keine praktikable Umsetzung Die Funktionale Sicherheit wird allgemein als geeigneter Weg zur Erfüllung wesentlicher Sicherheits- und Gesundheitsschutzanforderungen aus Europäischen Richtlinien (z.b. Maschinenrichtlinie angesehen Die Einhaltung der Normenreihen IEC und IEC wird zunehmend weltweit vertraglich gefordert Die Anwendbarkeit der vorhandenen Normen zur Funktionalen Sicherheit auf Turbomaschinen muss geklärt werden Page 7 Nov-09 Christoph Graser

8 Scope und Ziele des VDMA-AK Funktionale Sicherheit Auswahl der Sicherheitsfunktion Festlegung der Anforderungen an die Sicherheitsfunktion Bestimmung erforderlicher SIL/PL-Werte Spezifikation (Scope des AK) Zielsetzungen: Entwicklung einer Interpretation zur Umsetzung der normativen Ziele zur funktionalen Sicherheit im Turbomaschinenbau Gemeinsames Verständnis hinsichtlich bestehnder Gefährdungen und daraus resultierender Anforderungen Exemplarische Festlegung von SIL/PL-Werten für einschlägige Schutzsysteme Darlegung der Ergebnisse in einem Positionspapier Entwurf, Identifikation SRP/CS Bestimmung der SIL/PL-Werte Kategorie MTTF d DC CCF Design Keine Harmonisierung konstruktiver Lösungen nein erf. SIL/PL erreicht? ja Validierung Verifizierung und Validierung firmeninterner Prozess Page 8 Nov-09 Christoph Graser

9 Arbeitsergebnisse Anwendung der Normen Die Normenreihe IEC bildet die Umgebungen, in denen Turbomaschinen eingesetzt werden, am ehesten ab trägt der Architektur der Schutzfunktionen am besten Rechnung schließt Anlagen zur konventionellen Stromerzeugung explizit in ihren Geltungsbereich mit ein Die Normen IEC und ISO behandeln im wesentlichen nur Schutzfunktionen mit hohen Anforderungsraten oder kontinulierlicher Anforderung. Für Turbomaschinen ist jedoch eine niedrige Anforderungsrate kennzeichnend Die Ermittlung der Anforderungen an Einzelkomponenten erfolgt auf Basis einer kombinierten Anwendung der IEC (Teile 1 und 2) und IEC Die Norm ISO Bietet einen relativ einfachen Ansatz zur Bestimmung von Sicherheits-Integritätsniveaus schafft eine gewisse Verbindung zwischen mechanischen und steuerungstechnischen Schutzfunktionen ermöglicht unter bestimmten Randbedingungen die Umrechnung von SIL-Werten auf PL-Werte Fazit: Keine der Normen deckt den für Turbomaschinen erforderlichen Betrachtungsumfang voll ab. Page 9 Nov-09 Christoph Graser

10 Bestimmung der Sicherheits-Integritätsniveaus Verfahren Basis: unternehmensinterne Arbeiten zur Entwicklung geeigneter Verfahren bereits vor Beginn der Aktivitäten beim VDMA Grundsätze: Jede Risikobetrachtung bezieht sich auf ein definiertes Bezugsereignis (z.b.: Schaufelabriss in der Turbine. Mehrere Personen werden durch umherfliegende Teile tödlich getroffen) Zu jedem Bezugsereignis wird eine tolerierbare Unfallrate L R festgelegt. Durch die Schutzfunktion muss eine Unfallrate kleiner oder gleich der tolerierbaren Unfallrate realisiert werden. Die Risikoanalyse ermittelt die Eintrittswahrscheinlichkeit für das Bezugsereignis ohne Schutzmaßnahmen (U R ) Die erforderliche Risikoreduktion durch eine Schutzmaßnahme ist damit U R /L R Vorgehensweise: Kalibrierung des in IEC beschriebenen Risikographen auf Basis dieser Grundsätze Abgleich mit firmeneigenen Verfahren. Deren Verwendung muss weiterhin möglich sein, um die Individualität firmenspezifischer technischer Lösungen zu gewährleisten Page 10 Nov-09 Christoph Graser

11 Der VDMA-Risikograph SIL-Werte Kalibrierung: Eintrittswahrscheinlichkeit W W3 = Einmal/Jahr W2 = < Einmal/Jahr aber Einmal/10 Jahre W1 = Einmal in 10 bis 100 Jahre W0 = Einmal in 100 bis 1000 Jahre W-1 = Einmal in 1000 bis Jahre W-2 = Einmal in bis Jahre Schadensausmaß S Aufenthaltswahrscheinlichkeit F S1 = Geringe Verletzung S2 = Schwere irreversible Verletzung einer oder mehrerer Personen (einschließlich Tod als Grenzfall und Folgeereignis schwerer Verletzung); S3 = Tod einer oder mehrerer Personen (= das höchst mögliche Schadensausmaß im Kraftwerk) (Häufigkeit und Dauer einer Gefährdungsexposition für eine oder mehrere Personen) F1 = 10% der betrachteten Betriebszeit (gilt üblicherweise für Gefährdungen in unmittelbarer Nähe der Turbomaschine) F2 = > 10% der betrachteten Betriebszeit (gilt üblicherweise für einen großen Gefährdungsbereich) Der VDMA-Risikograph kann unmittelbar angewendet werden stellt den aktuellen Stand der Technik für Turbomaschinen dar berücksichtigt keine firmenspezifischen Besonderheiten AV Unvermeidbarkeit unter Beachtung der Verwundbarkeit A = Wahrscheinlichkeit, dass bei Eintritt des Gefährdungsereignisses und besetztem Gefährdungsbereich der Schaden eintritt und eine Person tatsächlich verwundet wird. Page 11 Nov-09 Christoph Graser

12 Praktische Anwendung des Risikographen Beispiel Neuanlage (Gasturbinenanlage) Sicherheitslebenszyklus: Durchführung der Risikobeurteilung, sowie Auslegung des Schutzsystems unter Berücksichtigung des gesamten Lebenszyklus durch den Hersteller Umsetzung der Maßnahmen in den Lebensphasen Betrieb, Modifikation und Außerbetriebnahme im wesntlichen durch den Betreiber Quelle:Vortrag, gehalten von Dr. Wilfried Blotenberg, MAN Turbo AG am auf dem VGB/VDMA-Infotag Funktionale Sicherheit Page 12 Nov-09 Christoph Graser

13 Beispiel Neuanlage Risikoparameter für den Überdrehzahlschutz Risikobewertung Risikoparameter Gefährdung Austreten von Teilen aus der Maschine infolge der Überdrehzahl Bei gleichzeitigem Ausfall oder Störung der Drehzahlregelung: W Lastabwurf (oder vergleichb. Ereignis) und gleichz. Ausfall der Drehzahlregelung. Ein gefahrbringender Ausfall dieser Art ist konservativ etwa alle 10 Jahre anzunehmen W2 Bei starr gekuppelten Abtriebsmaschinen, z.b. Kompressoren, reduziert sich der Wert auf W1 (kein Lastabwurf möglich) Mögliche Ursachen Lastabwurf Hochfahren Inselbetrieb Ausfall Erregerstrom f. Generator etc. S Schwere Personenschäden, evtl. mit Todesfolge durch Austritt von Rotorteilen, Brand, etc. S3 Folgen Bersten des Rotors, bzw. der Kupplung Austritt v. Schaufelbruchstücken oder sonstiger Maschinenteile Heißgas- oder Brennstoffaustritt Brand als Sekundärschaden Schwere Personen- und Sachschäden F A V Im Anfahr- und Normalbetrieb sind nur selten wenige Personen direkt an der Maschine (2 Pers., min je Schicht), jedoch außerhalb des Maschinenhauses ständig ca. 10 Personen (indirekter Gefahrenbereich) F2 Schadeneintritt erfolgt schlagartig. Keine Gefahrenabwehr möglich, aber geringe Wahrscheinlichkeit, getroffen zu werden A V 1 Page 13 Nov-09 Christoph Graser

14 Beispiel Neuanlage (Gasturbine) Gasturbine für Generatorantrieb SIL Page 14 Nov-09 Christoph Graser

15 Beispiel Neuanlage (Gasturbine) Gasturbine für Verdichter- oder Pumpenantrieb SIL Page 15 Nov-09 Christoph Graser

16 Beispiel Neuanlage - Fazit Die Risikoparameter können nur unter Würdigung aller anlagen- und umgebungsspezifischer Parameter zutreffend bestimmt werden Eine Abstimmung mit dem Anlagenbetreiber ist deshalb unabdingbar Quelle: Protokolle einer gemeinsamen Risikobeurteilung im VDMA-AK Funktionale Sicherheit Zum Vergleich: Für den Überdrehzahlschutz an einer großen Dampfturbinenanlage wird SIL 3 gefordert Flammenüberwachung an einer Gasturbine: SIL 1, jedoch mit nachgeschaltetem Dampferzeuger (GuD- Anlage): SIL 2 Page 16 Nov-09 Christoph Graser

17 Beispiel Service Modernisierung des Überdrehzahlschutzes einer Dampfturbinenanlage Szenario: Ertüchtigung eines bestehenden elektrohydraulischen Dampfturbinen-Schutzsystems durch ein modernes Leitsystem Ersatz hydraulischer Komponenten durch elektrohydraulischen Schnellschluss- Auslöseblock Verbleibende Komponenten: Ventil/Antrieb Page 17 Nov-09 Christoph Graser

18 Beispiel Service - Anforderungen Der geforderte SIL der Schutzfunktion muss auch nach Modifikationen erhalten bleiben (sofern auch bisher eine SIL-Einstufung vorlag) Der Einfluss der Modifikation auf die funktionale Sicherheit ist zu analysieren und zu dokumentieren Für alle neu gelieferten Baugruppen wurde die SIL3- Fähigkeit bescheinigt Dreikanalige Struktur mit drei Sensoren Überwachung der Sensorsignale in den Monitorbaugruppen Test Generator Modul Page 18 Nov-09 Christoph Graser

19 Beispiel Service - Nachweis der Sicherheitsintegrität Drehzahl- Sensoren Leittechnik SSAB bestehende Komponenten Antrieb/Ventil Lieferumfang neue Komponenten Ausgetauschte Komponenten des Überdrehzahlschutzes sind SIL-fähig Kein SIL-Nachweis des kompletten Schutzkreises Grund: ein sinnvoller Nachweis der SIL-Fähigkeit für die eigentliche Aktorik, also die im System verbliebenen Ventile und deren Antriebe, wegen fehlender Informationen z.b. bezüglich Ausfallwahrscheinlichkeiten, etc. ist nicht möglich Empfehlung: Im Servicefall möglichst Komponenten nach dem Stand der Technik einsetzen, um den für Bestandsanlagen maximal möglichen Sicherheitsstandard zu realisieren Page 19 Nov-09 Christoph Graser

20 Vergleich der Verfahren zur Risikobeurteilung Siemens: Risikomatrix EnergyRisk Alstom: Layer-of-Protection Analysis (LOPA) quantitative Verfahren erlauben eine individuelle Gewichtung der einzelnen Risikoparameter können somit firmenspezifische Besonderheiten berücksichtigen Der VDMA-Risikograph eher qualitatives Verfahren gröbere Abstufung als die quantitativen Verfahren liefert tendenziell konservativere Einschätzungen ist einfach in der Anwendung Der Vergleich der Ergebnisse aller Verfahren zeigt jedoch eine gute Übereinstimmung. Alle Verfahren sind somit für die Anwendung auf Turbomaschinen gut geeignet Page 20 Nov-09 Christoph Graser

21 Zusammenfassung und Ausblick Die Arbeiten im VDMA-AK- Funktionale Sicherheit Turbomaschinen werden mit hoher Intensität betrieben zeigen gute Fortschritte sind aber noch nicht abgeschlossen Was fehlt noch? Es wurden noch nicht alle identifizierten Schutzfunktionen abschließend bewertet Eventuell letzte Modifikationen im Detail am VDMA-Risikographen Positionspapier, welches die Ergebnisse im einzelnen darlegt und erläutert (Ziel: Herausgabe in der 1. Hälfte 2010) aber: die bislang erzielten Ergebnisse haben sich für die beteiligten Unternehmen schon als sehr hilfreich erwiesen. Dies betrifft sowohl die Fachkompetenz, als auch die Routine und Praxiserfahrung zur Anwendung der Methodik der funktionalen Sicherheit Was folgt noch? Fortführung des bereits begonnenen Dialogs mit den Anlagenbetreibern mit dem Ziel, eine allseits anerkannte Anwendungspraxis herbeizuführen Eventuell Einbringung der erzielten Ergebnisse in die nationale und internationale Normungsarbeit Page 21 Nov-09 Christoph Graser

22 Vielen Dank für Ihre Aufmerksamkeit