Vad ska ingå i Safety Requirement Specification (SRS)?

Transkript

1 Vad ska ingå i Safety Requirement Specification (SRS)? SIL i praktiken i processrelaterade applikationer SIEMENS, Stenungsbaden, 14 mars 2012 Automations- & säkerhetsingenjör M. Sc. E. E. pidab ab tel: hemsida:

2 Safety Requirement Specification (SRS) IEC : specifikation som innehåller alla krav på de säkerhetskritiska instrumentfunktioner som måste utföras av ett säkerhetskritiskt instrumentsystem specification that contains all the requirements of the safety instrumented functions that have to be performed by the safety instrumented system

3 IEC Safety Lifecycle Concept Overall scope definition Hazard and risk analysis Overall safety requirements 5 Safety requirements allocation SRS SRS 6 Overall operation and maintenance planning Overall planning 7 Overall safety validation planning 8 Overall installation & commissioning planning 9 Safety-related systems: E/E/PES Realisation (see E/E/PES safety lifecycle) Safety-related systems: other technology Realisation External risk reduction facilities Realisation 12 Overall installation and commissioning 13 Overall safety validation Back to appropriate overall safety lifecycle phase 14 Overall operation, maintenance and repair 15 Overall Modification and Retrofit 16 Decommissioning or disposal IEC Figure 2

4 Styrsystemsberoende olycksorsaker Styrsystemsberoende olycksorsaker enligt en studie utförd av HSE (Health and Safety Executive) i Storbritannien, publicerad % 44% 15% 6% 14% Specifikationer & Underlag Installation & Drifttagning Ändringar efter drifttagning Konstruktion & Konfigurering Drift & Underhåll

5 Det är viktigt att upprätta en SRS! IEC : Att sammanställa en säkerhetskravspecifikation för ett SIS är en av de viktigaste aktiviteterna under systemets hela livscykel (safety lifecycle). Det är med hjälp av denna specifikation som man som användare definierar hur de säkerhetskritiska instrumentfunktionerna (SIF) ska konstrueras och integreras i ett SIS.

6 SRS-dokumentet som konstruktionsunderlag Hazard and risk analysis Overall safety requirements Safety requirements allocation SRS SRS 6 Overall operation and maintenance planning Overall planning 7 Overall safety validation planning 8 Overall installation & commissioning planning 9 Safety-related systems: E/E/PES Realisation (see E/E/PES safety lifecycle) Safety-related systems: other technology Realisation External risk reduction facilities Realisation 12 Overall installation and commissioning 13 Overall safety validation Back to appropriate overall safety lifecycle phase 14 Overall operation, maintenance and repair 15 Overall Modification and Retrofit 16 Decommissioning or disposal

7 SRS-dokumentet som planeringsunderlag Hazard and risk analysis Overall safety requirements Safety requirements allocation SRS SRS 6 Overall operation and maintenance planning Overall planning 7 Overall safety validation planning 8 Overall installation & commissioning planning 9 Safety-related systems: E/E/PES Realisation (see E/E/PES safety lifecycle) Safety-related systems: other technology Realisation External risk reduction facilities Realisation 12 Overall installation and commissioning 13 Overall safety validation Back to appropriate overall safety lifecycle phase 14 Overall operation, maintenance and repair 15 Overall Modification and Retrofit 16 Decommissioning or disposal

8 SRS-dokumentets användning Kravspecifikationen är ett mycket viktigt dokument som behövs för att bibehålla integriteten hos det säkerhetskritiska instrumentsystemet (SIS) under hela dess livslängd. SRS-dokumentet/dokumenten är underlag till: Specifikationer & förfrågningar Hårdvarurealisering (konstruktion) Mjukvarurealisering (SRS för applikationsmjukvara) Installations- och testinstruktioner Validering Driftsinstruktioner och systembeskrivningar Funktionsprovs- och underhållsinstruktioner Ändringar och modifieringar

9 Typer av SRS-krav Säkerhetskritiska funktionskrav Specificerar vad som krävs för att processen ska hamna eller förbli i ett definierat säkert tillstånd (safe state). Säkerhetskritiska integritetskrav Specificerar med hjälp av SIL den tillförlitlighet som krävs för att tillräcklig riskreduktion ska uppnås. Övriga krav Specificerar de krav som inte (direkt) har med säkerheten att göra.

10 SRS / Uppdelning SRS Uppdelning Krav Funktion Integritet Övrigt Allmän specifikation (Gäller hela SIS) Hårvara (allmänt) Mjukvara (allmänt) Infrastruktur (allmänt) Miljökrav (allmänt) Min. system SIL (PES) Min. livslängd (PES) Min. testintervall (PES) Infrastruktur (Separation) Tillgänglighet PLC Signalutbyte DCS HMI krav Funktionsspecifik specifikation (För varje SIF) Säkert läge (Safe state) Utlösande parameter Maximal svarstid Återställning Förbikoppling (Override) Sensordel Krav/Beskr. Manöverdel Krav/Beskr. Krävd SIL Anropsfrekvens Min. testintervall (PTI) Tillgänglighet Åtgärder i DCS Larm Indikeringar Felmeddelanden

11 Innehåll i den allmänna delen, (SIS) Lista över alla säkerhetsfunktioner (SIF) som ska ingå i systemet (SIS) En lista över aktuella driftstillstånd i anläggningen och vilka säkerhetsfunktioner (SIF) som ska vara aktiva i respektive driftstillstånd En parameterlista med TAG-nr, mätområden och gränsvärden Alla speciella krav knutna till start och återstart av systemet (SIS) Krav på åtgärder för att uppnå eller bibehålla ett säkert läge då fel detekteras i systemet (SIS) Allmänna miljökrav: Temperatur, Damm, Fuktighet, EMC, Vibrationer etc.

12 Innehåll i den funktionsspecifika delen, (SIF) Beskrivning av funktionen (SIF) och processavsnittets säkra läge Vad ska lösa ut funktionen och vad ska funktionen göra (C/E) Funktionsspecifika tidskrav, förbikopplingskrav och återställningskrav Hur ofta förväntas funktionen behövas och hur ofta kan den provas Integritetskravet (SIL) och krav på tillgänglighet (MTTFs) Specifika konstruktionskrav för sensordelen och manöverdelen Specifika krav på testbarhet, feldiagnostik och HMI

13 Exempel SIF: Högt reaktortryck RÅVARA A XV-122 FV-120 XM 001 FT 120 FFC 120 FT 110 FC 110 LC 100 XV-112 RÅVARA B FV-110 LT 100 PV-102 AVGASER R-044 PC 102 PT 102 PSV TV-101 ÅNGA XV-142 TT 101A TC 101 TY 101 TT 101B TT 101C XV-132 FT 130 FC 130 FV-130 PRODUKT

14 SRS / 1. Allmän funktionsbeskrivning Hur ska funktionen namnges (SIF-tag)? SIF Vilken farlig händelse ska funktionen ge skydd emot? Högt tryck i reaktor 044 Vilken funktionstyp? (Hur ska funktionen arbeta?) Förebyggande vid behov (Preventive on demand) Vilket säkert läge (safe state) har definierats för funktionen? Avstängd värmetillförsel till reaktor 044 och omrörning i reaktor 044

15 Förebyggande & begränsande barriärer Förebyggande barriärer Farlig händelse Begränsande barriärer Avvikelse Topphändelse (Konsekvens) Preventive barriers Hazardous event Mitigative barriers

16 Funktionstyper Säkerhetskritiska instrumentfunktioner (SIFs) kan antingen: vara förebyggande (preventive), genom att minska sannolikheten för att en farlig händelse ska inträffa. eller vara begränsande (mitigative), genom att minska konsekvenserna av den farliga händelsen om den inträffar. Förebyggande säkerhetsfunktioner kan antingen: aktiveras vid behov (demand mode) eller arbeta kontinuerligt som en reglerfunktion (continuous mode) Begränsande säkerhetsfunktioner aktiveras alltid vid behov (demand mode)

17 Vilken barriär tillhör funktionen? KONSEKVENSBEGRÄNSANDE BARRIÄRER FÖREBYGGANDE BARRIÄRER PROCESSTYRNING (BPCS) PROCESSDESIGN

18 Funktionstyper forts. I SS-EN indelas de säkerhetskritiska instrumentfunktionerna i 3 st. kategorier : 1. Förebyggande säkerhetsfunktioner som träder i funktion vid behov. Dessa funktioner är absolut vanligast i processindustrin. 2. Begränsande säkerhetsfunktionen som träder i funktion vid behov. Sådana funktioner finns i vissa anläggningar, oftast för att begränsa konsekvenserna av bränder och gasutsläpp (Fire & Gas). 3. Förebyggande säkerhetsreglerfunktioner som arbetar kontinuerligt. IEC ger möjlighet till säkra reglerfunktioner, men de är mycket ovanligt att de används och man tar bara till dessa i nödfall då man av något skäl inte kan införa funktioner som anropas vid behov enligt 1. Dessa funktioner kräver SIL-certifierad hård- och mjukvara för reglering!

19 SRS / 2. Hur ska funktionen lösas ut (Causes)? I vilket/vilka drifttillstånd ska funktionen vara aktiverad? Då reaktorn är i drift Vilken storhet och vilket gränsvärde ska lösa ut funktionen? Hysteres? Funktionen ska lösas ut då trycket överskrider 12,5 bar g Funktionen ska kunna återställas när trycket underskrider 12,0 bar g Ska man kunna lösa ut funktionen manuellt? Ja, från lokal "nödstoppsknapp" vid reaktorn och från HMI

20 SRS / 3. Vad ska funktionen utföra (Effects)? Vad ska funktionen utföra primärt (för att processen ska hamna eller förbli i det definierade säkra läget)? 1. Stänga av tillförseln av ånga till reaktor R-044 och 2. Stänga av omröraren i reaktor R-044 (2oo2) Vad ska funktionen utföra sekundärt (av driftsskäl som inte har med det säkra läget att göra)? 1. Stänga av tillförseln av råvara A till reaktor R Stänga av tillförseln av råvara B till reaktor R Stänga ångreglerventilen TV Öppna avgasreglerventilen PV-102

21 SRS / 4. Tidskrav Ska (får) den automatiska utlösningen fördröjas (filtreras)? Nej Hur lång tid får det maximalt ta tills "säkert läge" är uppnått? 10 sekunder Ska någon manöver utföras fördröjt eller sekventiellt? Nej Behöver någon manöver "rampas" eller "bromsas"? Ångan ska stängas så långsamt så att "tryckslag" undviks.

22 SRS / 5. Förbikoppling Ska funktionen kunna förbikopplas och i så fall varför? Nej Vilka villkor finns för att få förbikoppla? N/A Hur och varifrån ska funktionen förbikopplas? N/A Hur och varifrån ska förbikoppling återställas? N/A

23 SRS / 6. Återställning Hur ska funktionen återställas? Manuellt (av operatör) Varifrån ska funktionen återställas? Från arbetsplats (HMI) i kontrollrum Finns det villkor för återställning? Ångreglerventil TV-101 ska vara bekräftat fullt stängd Avgasventil PV-102 ska vara bekräftat fullt öppen

24 SRS / 7. Behovs- & testfrekvens Vilka "behovskällor" (avvikelser) har identifierats? Fel (högt) flödesförhållande råvara A/B 1 gång / 10 år Fel (stängd) avgasreglerventil 1 gång / 40 år För låg koncentration av råvara B 1 gång / 100 år Hög reaktortemp. & farligt fel SIF (SIL 1) 1 gång / 200 år Hur ofta beräknas funktionen behövas (demand rate)? 0,14 gånger / år (~ 1 gång / 7 år) Hur ofta kan/ska funktionsprov utföras (proof test interval)? Kan provas årligen. Funktionsprov vart 3:e år är önskvärt.

25 Behovskategorier enligt SS-EN Lågt behov (Low demand mode of operation): Då demand rate 1 / år och proof test intervall 0,5 / demand rate PFD avg verifieras med Tabell 3 (Demand Mode of Operation) 2. Högt behov (High demand mode of operation): Då demand rate: > 1 / år eller proof test intervall > 0,5 / demand rate PFH verifieras med Tabell 4 (Continuous Mode of Operation) 3. Kontinuerligt behov (Continuous demand mode of operation): Då en farlig situation direkt uppstår som följd av ett farligt funktionsfel PFH verifieras med Tabell 4 (Continuous Mode of Operation)

26 Behovskategorin i vårt fall Vilket behovs gäller i vårt fall? Behovsfrekvensen 1 / år : 0,14 / år 1 / år OK! Testintervallet PTI 0,5 / 0,14 1 år 3,5 år OK! Lågt behov gäller alltså så länge PTI är kortare än 3,5 år

27 SRS / 8. Integritet & tillgänglighet Vilket SIL-tal ska funktionen klara (verifieras till)? SIL 2 Vilken metod har använts för SIL-bestämning? Riskgraf Vilken behovskategori gäller för SIL-verifieringen? Låg behovsfrekvens (SS-EN : Low demand mode of operation) Hur ofta får funktionen trippa falskt (max. spurious trip rate)? 1 gång på 20 år

28 SRS / 9. Krav på sensordel Finns det speciella krav på placering eller på anslutning? Nej Finns risk för igensättning eller beläggning etc.? Trycksensor med membran. Inga impulsledningar! Finns behov av hjälpsystem/utrustning för sensorns funktion? Nej Finns särskilda krav för att skydda sensordelen mot någon onormal händelse eller miljö (jordskalv, dränkning, brand)? Nej

29 SRS / 10. Krav på manöverdel Behöver någon manöver arbetsströmkopplas och varför? Nej Är tillgängligheten på manövermedia (el, luft) kritisk? Nej Behöver någon ventil klara "tight shut-off"? Nej Behöver något manöverdon skyddas mot en större olycka (brand) och i så fall under hur lång tid? Nej

30 SRS / 11. Testbarhet & felhantering Finns det några särskilda krav för att möjliggöra eller underlätta funktionsprov? Nej Vad ska ett detekterat fel i sensordelen medföra? Larm och tripp efter 8 h Vad ska ett detekterat fel i manöverdelen medföra? Larm

31 SRS / 12. HMI-krav Ska det larma då funktionen lösts ut? Ja Ska det genereras ett "förlarm" så att operatör kan "parera"? Ja, då trycket överskrider 12,0 bar g Ska uppnått "säkert läge" indikeras i HMI och i så fall hur? Ja, med texten Reaktor Stopp i reaktorns grafikbild.

32

33 IEC Safety Lifecycle Concept Overall scope definition Hazard and risk analysis Overall safety requirements 5 Safety requirements allocation SRS SRS 6 Overall operation and maintenance planning Overall planning 7 Overall safety validation planning 8 Overall installation & commissioning planning 9 Safety-related systems: E/E/PES Realisation (see E/E/PES safety lifecycle) Safety-related systems: other technology Realisation External risk reduction facilities Realisation 12 Overall installation and commissioning 13 Overall safety validation Back to appropriate overall safety lifecycle phase 14 Overall operation, maintenance and repair 15 Overall Modification and Retrofit 16 Decommissioning or disposal IEC Figure 2

34 SRS för applikationsmjukvaran IEC : En säkerhetskravspecifikation (ett konfigureringsunderlag) för applikationsmjukvaran ska sättas samman. IEC : Indata till specifikationen av säkerhetskrav på applikationsmjukvaran för ett SIS ska omfatta: De i SRS specificerade säkerhetskraven för funktionerna (SIFs) De krav som beror på den valda SIS arkitekturen Övriga krav enligt säkerhetsplanen

35 Mjukvaru-SRS Analysfas Realiseringsfas SRS Systemdesign: PES Mjukvaru-SRS (Logikbeskrivning) Grund- konstruktion SIL-verifiering Detalj- konstruktion: Hårdvara Detalj- konstruktion: Applikations- programvara TIDSLINJE

36 Krav för "rätt" konfigurering IEC : Kravspecifikationen ska vara tillräckligt detaljerad för att den erfordrade säkerhetsintegriteten ska erhållas vid design och konfigurering och funktionssäkerheten kan kontrolleras mot den. Följande ska bl.a. övervägas: Funktionalitets Kapacitets- och tidskrav Process- och operatörsinterface Alla relevanta driftstillstånd enligt SRS Övervakning av sensorer och ställdon Åtgärder vid detektion av givarfel, kortslutning och avbrott etc Mjukvara för diagnostik och för funktionsprov

37 Krav för "rätt" val av utrustning (PES) IEC : Kravspecifikationen ska lämna information så att rätt typ av utrustning kan väljas. Följande ska bl.a. övervägas: Funktionalitet som gör det möjligt att uppnå eller bibehålla "säkert läge" Funktionalitet för detektion, signalering och åtgärdande av fel i säkerhetssystemets delar. Funktionalitet för funktionsprov av säkerhetskritiska instrumentfunktioner Funktionalitet som stöder säkra modifieringar av systemet Interface (mjukvarublock) till icke säkerhetskritiska funktioner Kapacitets- och tidsprestanda Certifierat SIL-tal för all felsäker mjukvarufunktionalitet

38 Mjukvaruverifiering (V-modellen) SIS Safety Requirements Specification Validation SIS Safety Validation Application Software Safety Requirements Specification Verification PES Application software Integration testing Application Software Architecture design Application software development Verification Application software testing Application module development Verification Application module testing Code development & testing FVL only (IEC ) IEC Figure 12