SIL i praktiken i processindustrin

Transkript

1 1 Magnus Karlsson, Senior Riskanalytiker, Division Miljö, COWI AB Tel: Mobil: E-post: 1 Deepwater Horizon en komplex och sammanhängande serie av mekaniska fel, mänskliga beslut, teknik, operationellt genomförande och personalgruppers samspel 2

2 2 Innehåll Arbetsgång Riskanalys SIL bedömning SRS-rapport Erfarenheter 3 Arbetsgång Riskanalysen identifierar behov av barriärer, bl.a. SIF SIL-bestämning fastställer krav på SIF, ev. med hänsyn till andra barriärer SRS-rapporten sammanställs när analysfasen är klar och innan vi går in i realiseringsfasen SRS är ett överlämningsdokument som förslagsvis ägs av processdesign 4

3 3 Identifiera behov av SIF Befintliga anläggningar: Befintliga processförreglingar (trippmatriser, cause & effect diagram) Uppdatera riskanalys Ny riskanalys Nya anläggningar: Ny riskanalys 5 Flödesschema 6

4 4 Principen för en riskanalys Planering Definiera systemet Identifiera riskkällorna i systemet och orsaker till att dessa frigörs Uppskatta sannolikheterna för skadehändelser Uppskatta konsekvenser av skadehändelser Värdera risker Kan riskerna accepteras? nej Åtgärda systemet 7 ja Operera systemet Vanliga riskanalysmetoder i processindustrin Grovanalys, PHA Hazop What If För identifiering av möjliga händelser och orsaker Felträd Händelseträd Händelseträd Konsekvensanalyser För uppskattning/bestämning av frekvenser av en given händelse För uppskattning/bestämning av konsekvenser av en given händelse 8

5 5 Hazop Avvikelser från ett normaltillstånd (flöde, nivå, tryck, temperatur, sammansättning) Orsak? Konsekvens? Befintliga barriärer? Rekommendation? Är mycket lämplig för tekniska system, framför allt komplicerade Mindre bra på system med manuella operationer, kräver modifikation 9 Exempel på Hazop protokoll 10

6 6 What If analys Görs genom att systematiskt gå genom en process eller arbetsmoment och samtidigt ifrågasätta funktionen: Hos systemets komponenter Människorna som hanterar systemet Vad händer om: Nivågivaren felar? Pumpen stoppar? Styrsystemet inte öppnar ventilen? Operatören glömmer starta omröraren? Operatören inte observerar larmet? Är mycket lämplig för tekniska system, men kräver mer kunskap och erfarenhet av det som studeras Mycket bra på system med manuella operationer 11 Exempel på What If protokoll 12

7 7 Arbetsgång SIL bedömning Definiera toleranskriterium "Regler" för hur vi ska fastställa konsekvensnivåer "Regler" för hur vi ska bedöma anropsfrekvenser "Regler" för riskreduktion av andra oberoende barriärer Information från riskanalysen: Händelse och scenariobeskrivning, inklusive konsekvens Konsekvensekvensklassificering Orsaker Möjlighet att bestämma/uppskatta möjlig anropsfrekvens av aktuell säkerhetsfunktion Befintliga barriärer som sänker konsekvens eller frekvens Kontrollera oberoende 13 Barriärer - Faktorer Barriärer är något som förhindrar att en inledande händelse tillåts inträffa och eskalera vidare i systemet Förebyggande avhjälpande - tekniska organisaroriska mekaniska elektriska passiva aktiva Krav på barriärer: oberoende av felet den skyddar mot av andra barriärer verifierbar Faktorer är något som påverkar händelseutvecklingen, t.ex.: Närvaro av människor vid en fara? Möjlighet att "fly" faran? Antändning? Finns det tändkällor? Vad är det som sprids? (gas-vätska) Tidig sen antändning? Väderförhållande som vindriktning, temperatur, nederbörd? Grad av inneslutning, explosion eller gasmolnsbrand 14

8 8 Metodiker SIL bedömning Kalibrerad riskgraf C1 C2 C3 F1 F2 F1 P1 P2 P1 P2 W3 W2 W1 a a a 2 1 a C4 F Matrismetoder, kvalitativt toleranskriterium i en riskmatris b 4 3 LOPA (Layer of Protection Analysis), kvantitativt rikskriterium; flera dödsfall, < en gång på dödsfall, < en gång år, allvarlig personskada < en gång på år, lindrig personskada, < en gång på 100 år Kombinationer 15 Överfyllnad av cistern? Krav på överfyllnadsskydd? 16

9 9 Riskgraf C1 C2 C3 C4 F1 F2 F1 F2 P1 P2 P1 P2 F: Närvarofaktor P: Möjlighet att undvika faran W: Sannolikhetsfaktor Begreppen SIL a, SIL 0? W3 W2 W1 a a a 2 1 a b 4 3 Cat C4 C3 C2 C1 Health & Safety Multiple fatalities (> 1) 1 fatality or permanent total disability Major injury. Permanent partial disability. Impact on work (irreversible damage, can't continue to work in plant) Minor injury. Few days lost work or restricted work, LTI. (reversible damage) Environment Massive effect Long term damage or resource to restore Major effect Severe damage. Major cost to rectify Localised effect Limited toxic discharge Minor effect Temporary damage to environment 17 Matrismetoder Frekvensklass 1 > 1år 3 4 X X 2 1 gång per 1 till 10 år X 3 1 gång per 10 till 100 år gång per 100 till 1000 år < 1000 år 1 Övergående lindriga obehag 2 Enstaka skadade, varaktiga obehag 3 Enstaka svårt skadade Enstaka dödsfall, flera svårt skadade 5 Enstaka dödsfall 18 Konsekvensklass

10 10 Överfyllnad av cistern? 19 LOPA Scenario Konsekvens Initierande händelser: Frekvens (antal per år): Barriärer (RRF): Faktorer (RRF): Nivåmätn. med larm Krav på LS-HH för att möta kriterium 20 Överfyllnad av kärl A Överfyllnad som leder till svår bestående personskada (t.ex. förlorad syn, bestående ärrbildning) Allvarlig personskada El- eller mek fel på pump Handventil stängd Strömavbrott Luftavbrott Fel på nivåmätning Fel på reglerventil 0,17 0,33 0,19 0,06 0,02 0, Invallning Personlig skyddsutr Låg närvaro 7,14 7,14 7,14 7,14 7,14 7,14 Möjlighet att fly Riskreducerad frekvens (antal per år) Riskreducerad total frekvens (antal per år) 2,59*10 3 5,19*10 3 2,94*10 3 9,72*10 4 3,33*10 3 8,64*10 4 1,59*10-2, en gång på 63 år Allvarlig personskada < 1gång på 1000 år < 0,001 per år 1,59*10-2 /RRF < 0,001 -> RRF > 16 -> SIL 1

11 11 Kombination Scenario Konsekvens Initierande händelser: Frekvens (antal per år): Barriärer (RRF): Faktorer (RRF): Nivåmätn. med larm Riskreducerad total frekvens (antal per år) 21 Krav på LS-HH för att möta kriterium Överfyllnad av kärl A Överfyllnad som leder till svår bestående personskada (t.ex. förlorad syn, bestående ärrbildning), Allvarlig personskada -> konsekvensklass 3 El- eller Handventiavbrotbrott Ström- Luftav- Fel på Fel på mek fel på nivå- regler- pump stängd mätning ventil 0,1 0,1 0,2 0,2 0,025 0, Invallning Personlig skyddsutr. Låg närvaro Möjlighet att fly Riskreducerad frekvens (antal per år) 1*10-3 1*10-3 2*10-3 2*10-3 2,5*10-3 5*10-4 9*10-3 en gång på 111 år -> Frekvensklass 4 Konsekvensklass 3, Frekvensklass 4. Kravet är SIL 1 RRF > 10 Matrismetoder Frekvensklass 1 > 1år 3 4 X X 2 1 gång per 1 till 10 år X 3 1 gång per 10 till 100 år gång per 100 till 1000 år < 1000 år 1 Övergående lindriga obehag 2 Enstaka skadade, varaktiga obehag x 3 Enstaka svårt skadade Enstaka dödsfall, flera svårt skadade 5 Enstaka dödsfall 22 Konsekvensklass

12 12 : Vem sammanställer Samarbete mellan dem som kan och förstår den aktuella processen och de krav man måste ställa för att processen skall vara säker: Processingenjören (ansvarig) Riskingenjören Instrumentingenjören Tar in hjälp av andra kompetenser om så krävs 23 Underlag till SIL bestämningsrapport Många detaljuppgifter som är lämpliga att sammanställa vid SIL-bestämningen 24

13 13 Detaljerad beskrivning SIS En per fabrik SIF En per loop 25 Gemensamma säkerhetskrav för SIS 26

14 14 Gemensamma säkerhetskrav för SIS 27 Gemensamma säkerhetskrav för SIS 28

15 15 Gemensamma säkerhetskrav för SIS 29 Gemensamma säkerhetskrav för SIS 30

16 16 Gemensamma säkerhetskrav för SIS 31 Krav på SIF 32

17 17 Krav på SIF 33 Krav på SIF 34

18 18 Krav på SIF 35 "Erfarenheter - problem svårigheter" Processindustrin, uteslutande "low demand", SS-EN (61508) Ok med staket som fallskydd Behöver inte ett kontinuerligt fallskydd Brist på kriterier Brist på relevanta data (frekvenser), övervärderar Barriärers oberoende av anropsorsak och varandra SEPARATION mellan styrning och skydd 36

19 19 " Erfarenheter - problem svårigheter " Olika metoder kan ge varierande SIL krav Missar även att arkitekturkrav (feltålighet), test/underhållbarhet kan påverka ditt slutliga krav. Många processanläggningar har en driftcykel på 6 år (T/A). Kan inte stoppa för test. Testfrekvens är minimum ½ förväntade anropsfrekvensen. Uppföljning. Stämmer de antaganden vi baserat våra analyser på? Styrsystemet (BPCS-lagret) utnyttjas för mycket, RRF > 10 SRS-rapporten blir ett "as built" dokument i stället för underlag till konstruktionen Otydlighet; Analysen ger SIL 1, konstruktören vill vara säker SIL 2, i verifikationen tar man i ytterligare SIL 3 37