Hur allokera riskerna till SIL? Annie Svensson Manager / Senior Consultant Scandpower AB 2011-05-25
Bakgrund? Civilingenjör inom Risk Management and Safety Engineering från Lunds Tekniska Högskola (LTH) Arbetat på Scandpower i dryga 5 år Tillförlitlighet / SIL / IEC 61508 inom process, transport och oljeindustri Riskgraf, LOPA, SRS, SAR Certifierad TÜV Functional Safety engineer
Principer för riskreduktion Vad är risken? Vilka riskreducerande åtgärder finns? Vad är acceptabel risk? RISK Oönskad händelse Faktisk riskreduktion Krävd riskreduktion Tolerabel risk (ALARP) Riskreduktion från andra åtgärder Riskreduktion från SIS Riskreduktion från andra säkerhetssystem (PSV, etc) Total riskreduktion Riskreduktion från design, driftprocedurer, etc.
Safety Integrity Levels (SIL) SIL 4 SIL 3 SIL 2 SIL 1
Metoder för att bestämma SIL-nivå Riskmatris Riskgrafanalys Layer of Protection Analysis (LOPA) Felträdsanalys SIS = Safety Instrumented System
Riskgrafanalys Riskgrafanalys finns beskriven i: Annex E i Part 5 i IEC 61508 (Ver. 2) Annex E i Part 3 i IEC 61511 (Ver. 1) Kan användas för att bestämma lämplig SIL-nivå för ett system (säkerhet, miljö och egendom) Relativt snabb metod Kan ge konservativa resultat
Riskgrafanalys Analys av varje instrumenterad säkerhetsfunktion om mer än en funktion är kopplad till en initiator (sensor), analysera en funktion i taget. Anta att alla övriga funktioner är i full drift. Risken, utan instrumenterad säkerhetsfunktion, baseras på utvärdering av 4 parametrar Frekvens för behov av SIS (W) Konsekvens (C) Närvaro av personal (F)* Sannolikhet för att undvika faran (P) * Notera att F-parametern enbart används vid bestämning av Säkerhet, ej för Miljö eller Egendom.
Riskgrafanalys
Riskgrafanalys - parametrar W: Frekvens för behov av SIS W1: Mycket låg frekvens; bara några få händelser förväntas att inträffa, mindre än 0,1 per år W2: Låg frekvens; få händelser förväntas inträffa, mellan 0.1 och 1 per år W3: Relativt hög frekvens; händelser förväntas inträffa regelbundet, mellan 1 och 10 per år. Kommentar: Syftet med W-parametern är att bestämma hur ofta den oönskade händelsen inträffar, utan effekt av det instrumenterade säkerhetssystemet, men med eventuella externa riskreducerande åtgärder. Alla felorsaker som kan leda till en oönskad händelse måste ges en frekvens
Riskgrafanalys - parametrar C: konsekvens Skalan går mellan CA och CD Bestäm antal personer (N) som kan vara utsatta för händelsen Bestäm sårbarheten (V) Beräkna konsekvensen: C = N x V, välj därefter konsekvensparameter (C) F: frekvens för närvaro av personer FA: sällan till mer regelbunden närvaro i farozonen. Närvaro i genomsnitt mindre än 0.1 av tiden FB: Regelbunden till permanent närvaro i farozonen Kommentar til C och F: Klassificeringen ovan tar hänsyn till skada på människor. För skador på miljö och/eller egendeom måste andra klassificeringar användas
Riskgrafanalys - parametrar P: möjlighet för att undgå konsekvens av händelsen PA: möjligt under vissa omständigheter PB: nästan omöjligt Kommentar: PA-parameteren skall bara användas om Alarm: Det finns alarm på plats för att varsla en operatör om att SIS felat Hindra: Det finns oberoende system på plats för att hindra en oönskad händelse från att inträffa eller för att säkert utrymma personnal. Tidsförloppet: Tiden från att operatör blir varse att en oönskad händelse inträffat överstiger 1 timme eller är tillräcklig för att ta till nödvändiga åtgärder.
Kalibrering av riskgraf Helt kvalitativa metoder kan ge problem med: inkonsekventa bedömningar Vad är relativt hög frekvens? Hur många är flera omkomna? Hur många skadade/omkomna är katastrof? visa att riskreduktionen ger en tolerabel risk Metoden kan göras semikvantitativ och kräver därmed kalibrering kräver ett riskacceptanskriterium utförs med en enkel beräkning
Layer of Protection Analysis (LOPA) LOPA finns beskriven i: Annex F i Part 5 i IEC 61508 (Ver. 2) Annex F i Part 3 i IEC 61511 (Ver. 1) Kan användas för att bestämma lämplig SIL-nivå för ett system (säkerhet, miljö och egendom) Kräver definierade acceptanskriterier och sannolikhet för fel på olika barriärer Mer detaljerad än Riskgraf Tidskrävande
Layer of Protection Analysis (LOPA) Utgår från oberoende skyddsbarriärer så kallade Independent Protection Layers (IPLs) Barriärer (IPL:er) kan vara: Aktiva respektive passiva Tekniska lösningar respektive procedurer. Finns två typer av barriärer (IPL:er) Preventiva: reducerar sannolikheten för en oönskad händelse (Tryckavsäkring) Reaktiva: hindrar konsekvensen av en händelse från att eskalera (Branddetektion)
Layer of Protection Analysis (LOPA) HANDTERING AV KRISSITUATION Utrymningsplan REAKTIVA BARRIÄRER Brand/gasdetktion, sprinkler FYSISKA BARRIÄRER Avstånd, placering FÖRMILDRANDE Säkerhetsventiler, sprängbläck FÖREBYGGANDE Alarm, Instrumenterade säkerhetssystem KONTROLL Kontrollsystem,driftbestämmelser, operatör PROCESS DESIGN Inneboende säkerhet
Layer of Protection Analysis (LOPA) LOPA identifierar den riskreduktion som krävs av ett instrumenterat säkerhetssystem för att anläggningen som helhet ska ha en tolerabel risk. Uttrycks i form av en Probability of Failure on Demand (PFD) som kan jämföras med SIL-klasserna enligt IEC 61508
LOPA - Exempel Initating causes are eventus/year Independent Protective Layers (IPL) Impact Event Overfill of tank Overfill of tank Initiating Causes Pump failure Level Control failure Event Frequency 2.0 0.1 Process Control 0.1 - Independent alarm 0.5 0.5 Protective Clothing 0.1 0.1 Restricted Access 0.5 0.5 Intermediate Event 5E-3 2.5E-3 Frequency Total Mitigated Event 7.5E-3 Frequency Tolerable Event 1E-4 Frequency Required SIS risk 1E-4 / 7.5E-3 = 1.33E-2 (SIL 1) reduction
Riskgraf jämfört med LOPA Minimuminformation och förberedelser Riskgraf och LOPA Definition av Equipment Under Control (EUC) och kontrollsystemet Beskrivning av den oönskade händelse som ställer krav på funktionen Beskrivning av frekvensen (demand rate) och konsekvensen av händelsen Beskrivning av andra säkerhetsfunktioner/system som kan finnas tillgängliga Driftsbetingelser (kontinuerlig drift, uppstart, nedstängning) LOPA: Fastlagna acceptanskriterier relaterat till konsekvenser för : Säkerhet Miljö Kommersiella kostnader / Skada på egendom LOPA kräver mer förarbete
Riskgraf jämfört med LOPA Riskgraf Fastställande av instrumenterade säkerhetsfunktioner Grov ranking av konsekvens och sannolikhet för att händelsen inträffar Svårt att ta hänsyn till flera andra barriärer (säkerhetssystem) Går snabbare än LOPA Generellt kommer Riskgraf ge högre SIL-krav än LOPA. LOPA Fastställande av instrumenterade säkerhetsfunktioner Fastställande av risk / oönskad händelse Värdera konsekvens i kategorier och ge varje orsak en sannoliket för att den felar Kan enkelt ta hänsyn till flera andra barriärer (säkerhetssystem) Kräver mer tid och resurser än Riskgraf Generellt kommer LOPA ge lägre SILkrav än Riskgraf. Riskgraf ger besparingar i design, men LOPA ger besparingar under drift
Kombinera Riskgraf och LOPA Riskgraf fastställer SIL 1 Om SIL 2 LOPA LOPA är mindre konservativ SIL 1 Detta resulterar i SIS med SIL 1
For more information, please contact: Annie Svensson Manager / Senior Consultant Scandpower AB T +46 (0)730 317 381 E asv@scandpower.com W www.scandpower.com w www.lr.org