Universität Paderborn Informatik AG Schäfer Gefahrenanalyse mittels HAZOP anhand eines Beispiels Seminar im WS 03/04: Analyse, Entwurf und Implementierung zuverlässiger Software Betreuer: Dr. Holger Giese Verfasser: Albert Schlagbauer 3198800 Brückenstraße 6a 59449 Soest 1
Inhaltsverzeichnis: 1. Abstract... 3 2. Einleitung... 3 3. Vorstellung der HAZOP-Methode... 4 3.1 Initialisierung und Planung... 5 3.2 Durchführung der Meetings und follow-up work... 6 3.3 Einsatz in der Softwareentwicklung... 7 4. Beispielhafte Anwendung der HAZOP-Studie... 8 4.1 Initialisierung und Planung... 8 4.2 Durchführung der Meetings und follow-up work... 9 5. Kritische Bewertung... 10 6. Anlage... 12 7. Literaturverzeichnis... 13 2
1. Abstrakt In dieser Ausarbeitung soll eine Einführung in die Hazard and Operability Study zur Fehleranalyse erfolgen. Die HAZOP-Studie wird kurz gegenüber anderen Methoden wie Fehlerbaumanalyse, Ausfalleffekt und Bedeutungs-Analyse abgegrenzt. Das Schema der HAZOP- Studie wird am Beispiel eines Kühlsystems im Rahmen des Herstellungsprozesses von Salpetersäure in kompakter Form vorgestellt. 2. Einleitung Wegen der Komplexität moderner chemischer Anlagen ist es notwendig, mögliche Risiken und Gefahren für die Sicherheit schon vor Anlaufen der Produktion aufzudecken. Als Hazards werden mögliche kritische Abweichungen von den Plänen zum Produktionsablauf bezeichnet. Hazards sind also Gefahren, die eine tatsächliche oder potenzielle Bedrohung darstellen. Daher entwickelte die ICI in den 60iger Jahren u.a. HAZOP ( Hazard and Operability Study ) zur systematischen Identifizierung von Fehlern und produktivitätsmindernden Betriebsstörungen. (operability problems) [EHSC, o.j.]. Diese Technik ist heute universell einsetzbar für Anlagen aller Art, die kontinuierlich oder diskontinuierlich produzieren. Als weitere Verfahren, die in der Gefahrenanalyse zum Einsatz kommen, sind z.b. die Ausfalleffektund Bedeutungs-Analyse (FMEA), die Ereignisbaumanalyse (ETA) oder die Fehlerbaumanalyse (FTA) zu nennen. Die Verfahren kann man in drei Gruppen einteilen: induktive Verfahren wie FMEA, bei denen die Ursachen für das Versagen, aber nicht die resultierenden Konsequenzen bekannt sind, deduktive Verfahren wie FTA, bei denen die Konsequenzen, aber nicht die Ursachen bekannt sind und explorative Verfahren, bei denen weder Ursachen noch Folgen der Abweichungen bekannt sind, wie HAZOP. Die fehlenden Informationen sollen durch den Einsatz der Methoden ermittelt werden. Weiterhin kann eine Unterscheidung in Vorwärts-Suche (Bottom-Up) und Rückwärts-Suche (Top-Down) vorgenommen werden. Vorwärts bedeutet, dass man von einem kritischen Fehler ausgeht und versucht, die Konsequenzen herauszufinden (FMEA). Bei der Rückwärts-Suche geht man von gefährlichen Konsequenzen aus und versucht die Ursachen zu bestimmen (FTA). Auch Software kann mittels dieser Verfahren untersucht werden. 3
Beim HAZOP-Verfahren nimmt ein Expertenteam der Firma die Untersuchung vor. Zum Einsatz kommen Diskussionen und Befragungen bei Gruppentreffen. Es wird die Bedeutung möglicher Abweichungen für das System, die Benutzer und die Umwelt betrachtet. Ursachen und Konsequenzen werden untersucht. Zusammenfassend kann man sagen: Das Hauptaugenmerk liegt auf den möglichen Abweichungen einzelner Teile von ihrer Sollfunktion, wobei Ursachen und Auswirkungen untersucht werden. Ziel der Analyse ist es, gefährliche Varianten zu erkennen und vorbeugend zu verhindern [Bucek o.j]. Im deutschen Sprachraum spricht man vom PAAG-Verfahren. Mit diesem Kürzel sind die Aspekte einer HAZOP-Studie zusammengefasst: 1) Prognose eines möglichen Ereignisses 2) Auffinden der Ursachen 3) Abschätzen der Auswirkungen 4) Gegenmaßnahmen Das Ergebnis der HAZOP-Studie kann entweder die Annahme des Entwurfs (u.u. ergänzt um Sicherheitsauflagen) oder die Forderung nach Veränderung sein. Im ersten Teil des Referates wird die Methode HAZOP beschrieben. Der formale Ablauf der Analyse soll deutlich werden; denn nur durch feste und widerspruchsfreie Regeln wird eine effektive Anwendung garantiert. Im zweiten Teil wird das Verfahren am Beispiel eines Reaktor-Kühlsystems erläutert. 3. Vorstellung der Hazop-Methode Redmill [Redmill 1999] unterteilt die Analyse in vier Phasen: 1) Initialisierung (initiating the study) 2) Planung (planning the study) 3) Durchführung der Teamarbeit (holding the study meetings) 4) Schlussfolgerungen (dealing with follow-up work) M.E. bietet es sich an, nur zwei wesentliche Phasen der Analyse zu unterscheiden, da Initialisierung und Planung miteinander verbunden sind und die Phase follow-up work eigentlich nur die Umsetzung der Meeting-Ergebnisse ist. Die Analyse gliedert sich demnach in zwei Hauptphasen: 1) Initialisierung und Planung der Studie 2) Durchführung der Treffen und follow-up work 4
3.1 Initialisierung und Planung Eine HAZOP-Studie kann durchgeführt werden, sobald ein Vorentwurf der Anlage erstellt ist. Die Analyse kann also bereits sehr früh, schon bei der Systemkonzeption, anfangen; sie ist aber kein Prozess, der nur bei Beginn abläuft und dann abgeschlossen ist, sondern sie wird während des gesamten Entwicklungsprozesses weitergeführt. Die folgende Graphik verdeutlicht dies: Konzeption Anforderungen Design Implement. Test Betrieb Hazard-Analyse Abbildung 1: Wann wird die Hazard-Analyse durchgeführt? [Mohr, S. o.j.] Ein verantwortlicher Manager stellt fest, ob der Einsatz der Studie sinnvoll ist. Er startet sie dann als Study Initiator und benennt den Study Leader, der folgende Aufgaben hat: 1) Auswahl der übrigen Team-Mitglieder 2) Auswahl der sinnvollen Leitwörter (guidewords) 3) Moderation der Treffen der Team-Mitglieder (meetings) 4) Anweisung der nötigen Design-Änderungen 5) Anweisung zur Beendigung der Analyse Zu 1) Als optimal ist eine Gruppengröße von vier bis sieben Mitgliedern anzusehen. Zunächst muss jeweils ein Mitglied aus der Designer- und der Benutzergruppe ausgewählt werden. Die Aufgabe des Designers, normalerweise ein Entwickler des Systems, ist es, das Modell den anderen Team-Mitgliedern vorzustellen und zu erklären. Der Benutzer soll Erfahrungen einbringen über die Umgebungs- und Nutzungssituation des Systems. Optimal für die Studie wäre ein späterer Nutzer des Systems, der schon mit ähnlichen Systemen gearbeitet hat. Zusätzlich muss ein Protokollführer benannt werden, der Computerkenntnisse besitzt und die Sprache beherrscht, in welcher die Studie durchgeführt wird. Der Protokollführer dokumentiert den Verlauf der Meetings und deren Ergebnisse. Experten werden auf Grund spezieller Fähigkeiten ausgewählt, die für das Produkt als wichtig angesehen werden. Wünschenswerte Fähigkeiten sind z.b. genaueres Wissen über mögliche Fehler und deren Folgen sowie Vertrautheit mit ähnlichen Systemen. 5
Zu 2) Für das Team müssen vorher Leitwörter (guidewords) festgelegt werden, die der Leader auswählt. Ein Leitwort beschreibt eine mögliche Abweichung im System von dem normalerweise Erwarteten. Die wichtigsten Leitwörter und ihre Bedeutung sind in nachfolgender Tabelle kurz aufgeführt: GUIDEWORD (Leitwort) NO MORE LESS AS WELL AS PART OF REVERSE OTHER THAN EARLIER/LATER BEFORE/AFTER FASTER/SLOWER Allgemeine Bedeutung Keines der Design-Ziele ist eingetroffen Qualitativer, nicht erwarteter Anstieg eines Parameters Qualitativer nicht erwartete Verringerung eines Parameters Eintritt eines nicht erwarteten Ergebnisses Teilweiser Eintritt des erwarteten Ergebnisses Eintritt des Gegenteils Eintritt einer nicht erwarteten Aktion Nicht erwarteter Zeitpunkt der Aktion Nicht erwartete Einordnung in eine Sequenz Nicht erwartete Veränderung der Geschwindigkeit Tabelle 1: Allgemeine Bedeutung von Leitworten Aus der Verbindung von Leitwort und Prozessvariabler (Parameter) wird erst die Bedeutung erkennbar. GUIDEWORD + PARAMETER = ABWEICHUNG Im Gegensatz zu fest installierten Komponenten gibt es in der Anlage während des Produktionsprozesses variable Größen, wie z.b. Kühlwasserdurchfluss, Säuremenge usw., die wir als Prozessvariable oder auch Parameter bezeichnen wollen. Die Punkte 3, 4 und 5 werden im nächsten Kapitel behandelt. 3.2 Durchführung der Meetings und follow-up work Von den guidewords ausgehend werden die Abweichungen von einzelnen Prozessvariablen untersucht, die Ursachen hinterfragt, die Gefährdungen identifiziert und mögliche Konsequenzen abgeschätzt. Die Analyse wird in einer vom Leader moderierten Diskussion durchgeführt. 6
Die Effektivität des Verfahrens hängt im wesentlichen von 1) der Qualität und Genauigkeit der genutzten Systemkonzeption 2) den technischen Kenntnissen der Team-Mitglieder 3) den Fähigkeiten der Team-Mitglieder potenzielle Abweichungen zu erkennen und das Gefährdungsrisiko bewerten zu können Werden kritische Abweichungen, die nicht akzeptabel sind, entdeckt, ordnet der Leader die Veränderung des Entwurfs an. Die Team-Mitglieder schlagen Maßnahmen vor, wie die Fehlerwahrscheinlichkeit zu verringern ist bzw. deren Auswirkungen zu neutralisieren sind. Es läßt sich eine Hazop-Tabelle mit folgenden Punkten erstellen: Systembestandteil Komponente Prozessvariable Leitwort mögliche Ursachen Folgen mögliche Maßnahmen Systembestandteile eines Reaktor-Kühlsystems sind z.b. der Wasserkreislauf, der Säurekreislauf und die Stromversorgung. Unter Komponenten verstehen wir u.a. Pumpen, Ventile, Rohrleitungen. Die Begriffe Prozessvariable und Leitwort sind bereits erläutert. Bis zum nächsten Meeting werden die Verbesserungsvorschläge umgesetzt. Natürlich müssen die Ergebnisse in schriftlicher Form vorliegen, um den Verantwortlichen die Möglichkeit zu geben, sich kritisch damit auseinanderzusetzen. Es werden sowohl die einzelnen Meetings wie auch die gesamte Studie dokumentiert. Die Dokumentation der gesamten Studie wird HAZOP-File genannt. Sie enthält: 1) eine Kopie der genutzten Darstellung der Systemkonzeption 2) einen vom Leader unterzeichnetnr Beleg, dass das System vollständig auf mögliche Abweichungen untersucht ist 3) eine Kopie aller schriftliche Ausarbeitungen des Teams 4) eine Bestätigung, dass alle vereinbarten Verbesserungen durchgeführt wurden 3.3 Einsatz in der Softwareentwicklung Das HAZOP-Verfahren kann auch problemlos in der Informatik genutzt werden. Es ist anwendbar sowohl für reine Softwareentwicklung wie auch für Hardware-Systeme (Netzwerke, elektromechanische Systeme, elektronische Systeme). Je nach System wird eine unterschiedliche Darstellungsform vom Designer gewählt und die zugehörigen Leitworte haben jeweils eine andere Bedeutung. Zur Veranschaulichung werden z.b. Datenflussdiagramme, State- Charts und Entity-Diagramme genutzt. Datenflussdiagramme z.b. werden für die Veranschaulichung von Software-Strukturen verwendet. Die Prozesse im Diagramm sind durch 7
Kontroll- und Datenflüsse verbunden, die auch als Parameter für die Hazard-Analyse dienen. Einige Leitworte sind für verschiedene Darstellungsformen in den nachfolgenden Tabellen beispielhaft kurz aufgeführt: Parameter Daten- oder Kontrollfluss im Datenflussdiagramm Leitworte No More Less Keine Daten oder Kontroll-Signal Mehr Daten als erwartet passieren die Leitung Weniger Daten als erwartet passieren die Leitung Aktion und deren Zeitpunkt im State- Chart Keine Aktion erfolgt - - Tabelle 2: Beispielhafte Interpretation einiger Leitworte für Datenflussdiagramme und State- Charts Parameter Leitwort Interpretation Beziehung More/Less Part of Other than falsche Kardinalität in der Beziehung benötigte Beziehung ist nicht vorhanden falsche Beziehung zwischen den Objekten wird gezeigt Tabelle 3: Beispielhafte Interpretation einiger Leitworte für Entity-Diagramme 4. Beispielhafte Anwendung der HAZOP-Analyse Anhand eines praktischen Beispiels soll die HAZOP-Studie verdeutlicht werden. Aus Gründen besser Anschaulichkeit wird ein chemischer Produktionsprozess analysiert. Es wird das Kühlsystem für Salpetersäure in einem Reaktor betrachtet. 4.1 Initialisierung und Planung Herr I als zuständiger Produktmanager des Kühlsystems hält eine grundsätzliche genaue Ü- berprüfung des Kühlsystems für nötig, damit mögliche Plannungsfehler nicht zu einem Ausfall der Produktion oder Schlimmerem führen können. Er startet eine HAZOP-Studie und ernennt Herrn L. zum Leader. 8
Dieser wählt die weiteren Team-Members aus, so dass sich folgendes Team ergibt: Study-Initiator Study Leader Designer Experte I Experte II Protokollführer Nachdem er die vorläufige Anzahl der Meetings und die Meetingtermine festgelegt hat, ü- berlegt sich der Study-Leader die benötigten Leitwörter. Folgende Leitwörter erscheinen ihm für die Analyse des Systems als sinnvoll: no, more, less, faster, slower, as then as. 4.2 Durchführung der Meetings und follow-up work Am Anfang des ersten Meetings stellte der Desginer folgendes Modell des Kühlsystems vor (s. Anlage S. 13). Ventil V 1 regelt die ankommende Menge der Säure. Der Zulauf ist solange geöffnet, wie der Druck der Säure geringer ist als der Wasserdruck des Kühlsystems. Die Salpetersäure fließt durch einen Wärmetauscher, der die Wärme auf kaltes Wasser überträgt. Ein Durchflussmesser misst den Wasserdruck. Sinkt dieser unter einen festgelegten Wert, wird der Säurezulauf über ein Ventil V 1 begrenzt. Ein Temperatur-Sensor misst die Temperatur der gekühlten Säure und regelt dementsprechend den Wasserzulauf ins Kühlaggregat über Ventil V 2. Die Stromversorgung sieht folgendermaßen aus: 1) 6,6 kv für die Pumpe 2) 380 V für die Ventilmotoren V 1 und V 2 3) 48 V für den Durchflussmesser und die dazu gehörigen Teile Nicht vorherzusehende Abweichungen können an allen Stellen der Anlage auftreten. In den Meetings muss jedes Teil der Anlage genauestens betrachtet werden. 9
Im folgenden wird kurz vorgestellt, wie so ein Dialog in einem Treffen zu einer Komponente (aus S 2 : Sicherheits-System) aussehen kann (s. auch markierte Zeile in Tabelle 4, S. 10): Beispieldiskussion: Study-Leader: Was würde beim Ausfall des Durchflussmessers für das Kühlwasser passieren? Designer: Das Ventil V 1 würde auf seinem gegenwärtigen Stand bleiben, und der Säurefluss würde nicht verändert. Experte I: Was würde passieren, wenn der Säurefluss immer gleich bliebe?könnte dann zuviel Säure einfliessen, so dass es zu einer Überhitzung kommt? Designer: Nein, da über den Temperaturfühler (in S 4 ) ein zweites Ventil V 2 gesteuert wird, das den Wasserzufluss so regelt, dass die Säure immer genügend gekühlt wird. Study-Leader: Also handelt es sich hierbei um keine kritische Ausnahme, die extra vermerkt werden sollte? Experte II: Nein In Tabelle 4 (S. 10f) werden übersichtlich mögliche Ausnahmen, die zugehörigen Leitwörter und Prozessvariablen, sowie Konsequenzen aufgeführt: 5. Kritische Bewertung HAZOP ist ein annerkanntes Standardverfahren zu Analyse und Bewertung von Ausnahmen. Es ist im Hinblick auf Human-Resources ein aufwendiges Verfahren. Es muss ein Team gebildet werden, das sich regelmässig trifft und diskutiert. Verbunden ist dies mit hohen Kosten. Gleichzeitig hängt der Erfolg dieses Verfahrens sehr stark vom Fachwissen, sowie den Softskills der Teilnehmer ab. Kann der Designer nicht verständlich erklären, zieht sich das Verfahren in die Länge oder mögliche kritische Abweichungen werden nicht gefunden. Da das Verfahren einer Hazop-Analyse einem festem Schema folgt (s. ), besteht die Gefahr, dass es weniger flexibel als andere Analysemethoden ist. Die HAZOP-Studie nutzt ebenso wie die FMEA-Methode Tabellen als Hilfsmittel zur Analyse. Die Fehlerbaumanalyse bedient sich dagegen der Graphentheorie. Sowohl bei HAZOP als auch bei FMEA erfolgt die Analyse nur auf qualitativer Basis. FTA bietet dagegen die Möglichkeit, das Auftreten von Systemversagen quantitativ mit Hilfe von Wahrscheinlichkeiten zu berechnen. 10
S 2 S 4 S 3 Systembestandteil Komponente Prozessvariable Umwälzpumpe Kühlwasserdurchfluss Temperatur- Sensor S 1 Stromquelle Temperatur der Säure mögliche Maßnahmen Automatisches Umschalten auf doppelte Pumpe im Bypass Wassertank mit natürlichem Gefälle Säure in Ausgleichsbehälter ableiten Automatisches Umschalten auf zweiten parallelen Sensor Durchflussmesser Kühlwasserdurchfluss Leitwort mögliche Ursachen Folgen NO Pumpe defekt Kein Kühlwasser fließt Sicherheitsventil schließt Säurezufluss Stau der Säure im Reaktor Explosion NO NO NO Sensor arbeitet nicht Messeinheit defekt Säuredurchfluss Stromversorgung ausgefallen Temperatur der Säure kann nicht mehr festgestellt werden Kühlwassermenge falsch Gefahr der Überhitzung der Säure (s.o.) Falsche Kühlwassermenge/keine kritische Ausnahme, da V 2 stets mindestens halb offen bleibt Säure staut im Reaktor/Folgen s.o. Notstromversorgung wird automatisch aktiviert/säure wird in Ausgleichsbehälter gepumpt bis V 1 wieder offen S 4 Temperatur- Sensor Temperatur der Säure as well as Messeinheit defekt Keine korrekte Temperaturanzeige Zuleitung falscher Säuremenge Gefahr der Überhitzung (s.o) Gleichzeitiger Betrieb von zwei Sensoren, deren Messwerte ständig verglichen werden Alarm bei Abweichungen Tabelle 4: HAZOP-Tabelle für das Beispiel Reaktor-Kühlung 11
12