Einführung in die Funktionssicherheit des Sicherheitsinstrumentensystems (SIS)

Thread Content

Dieser Beitrag wurde zuletzt von live859 am 08.11.2019 um 09:19 bearbeitet. Einführung in die Funktionssicherheit von Sicherheitssteuerungssystemen – I. Einleitung: In der vom Staatsamt für Arbeitssicherheit veröffentlichten Verordnung „Anshan Zongguan San 116“ werden konkrete Anforderungen an die Bewertung von Sicherheitssteuerungssystemen (SIS) gestellt. Dazu gehört eine weitere Stärkung der Verwaltung dieser Systeme über ihren gesamten Lebenszyklus, eine beschleunigte Regulierung bei der Implementierung solcher Systeme in neuen Projekten sowie eine aktive Förderung der Bewertung bereits vorhandener Sicherheitssteuerungssysteme. Außerdem: Bis Ende 2019 müssen bei den in Betrieb befindlichen Anlagen die Bewertung sowie die Verbesserung des Sicherheitsinstrumentierungssystems abgeschlossen werden. Bei alten Anlagen sowie bei neu errichteten Anlagen wird ohne ein entsprechendes Sicherheitsinstrumentierungssystem sowie ohne eine SIL-Einstufung keine neue „Genehmigung für sicheres Arbeiten“ erteilt. In Zukunft werden die Arbeiten im Zusammenhang mit Sicherheitsinstrumentierungssystemen immer zahlreicher und wichtiger. Aus diesem Grund wird in diesem Artikel das Wissen über die Funktionssicherheit solcher Systeme erläutert. In Standards wie IEC61508, IEC61511 und ISA84 wird der gesamte Lebenszyklus von Sicherheitsinstrumentierungssystemen ausführlich beschrieben. Es handelt sich dabei um einen strukturierten Prozess – die Aktivitäten in den verschiedenen Phasen stehen nicht isoliert voneinander da, sondern bilden vielmehr ein zusammenhängendes System mit bestimmten logischen Beziehungen und einer festgelegten Reihenfolge. Der Sicherheitslebenszyklus des Sicherheitssystem SIS ist in 3 Phasen unterteilt: die Analysephase, die Implementierungsphase und die Betriebsphase. In der Analysephase wird das Risiko gesteuert, wobei die Hauptaufgaben in der Analyse von Schäden und Risiken sowie in der Bestimmung von Maßnahmen zur Risikominderung liegen. In der Implementierungsphase müssen Technologien, Struktur sowie Testintervalle des SIS-Systems berücksichtigt werden. Zudem muss die Verfügbarkeit und Sicherheit des Systems bewertet werden, um die Leistungsanforderungen des Systems zu erfüllen. Schließlich muss in der Betriebsphase vor dem Start eine Sicherheitsüberprüfung durchgeführt werden. Die Ingenieure müssen sicherstellen, dass das System alle Sicherheitsanforderungen erfüllt und dass alle SIF-Schaltkreise den Anforderungen des SIL-Niveaus entsprechen. Außerdem sind bei jeder Wartung und Änderung des Systems detaillierte Dokumentationen erforderlich. Im Lebenszyklus des Sicherheitsinstrumentierungssystems findet in der Anfangsphase die Identifizierung von Gefahren statt. Dabei wird in der Regel die HAZOP-Analyse oder Methoden wie WHAT-IF verwendet, um hypothetische Unfallszenarien mit hohem Risiko zu ermitteln. Anschließend werden diese risikoreichen Szenarien weiterhin halbquantitativ analysiert. Hierbei wird in der Regel die Schutzschichtanalyse (LOPA) eingesetzt, um festzustellen, ob Sicherheitsinstrumentierungsfunktionen erforderlich sind. Gleichzeitig werden auch die SIL-Anforderungen für die jeweiligen SIF-Schaltkreise festgelegt. Anschließend werden in den Sicherheitsanforderungsspezifikationen (SRS) die technischen Anforderungen an die Sicherheitssystemfunktionen SIF festgelegt, einschließlich des SIL-Niveaus, der Testintervalle, der Zuverlässigkeitsanforderungen sowie der Eingangs- und Ausgangsdaten. Nachdem die SRS-Kriterien festgelegt wurden, besteht der nächste Schritt darin, die SIL-Überprüfung des SIF-Schaltkreises durchzuführen. Gemäß den Anforderungen der Spezifikationen für Sicherheitsanforderungen (SRS) werden die Daten zu Ausfällen der Geräte im SIF-Schaltkreis sowie die architektonischen Beschränkungen erfasst, um das erreichte SIL-Niveau des SIF-Schaltkreises zu berechnen. Zuletzt kommt die Betriebsphase, in der regelmäßige Wartungen, Online-Tests sowie Offline-Prüfungen erforderlich sind, um die Leistung des Systems zu gewährleisten. Zweitens: Sicherheitsinstrumentiertes System (Safety Instrumented System) Das Sicherheitsinstrumentierte System (SIS) ist ein System, das aus Sensoren, Logikgeräten sowie Steuerelementen besteht. Es dient dazu, das Gerät in einem sicheren Zustand zu halten, wenn die Prozessbedingungen abweichen. Zu den Funktionen des Sicherheitsinstrumentierungssystems gehören: 1. Die Überwachung des Zustands des Produktionsprozesses, um festzustellen, ob im Laufe des Prozesses potenziell gefährliche Bedingungen entstehen. 2. Wenn gefährliche Bedingungen auftreten, werden automatisch die vorgesehenen Sicherheitsfunktionen (SIF) aktiviert, um das Auftreten von Gefahren zu verhindern. Mit anderen Worten: Sobald das Sicherheitssystem seine üblichen Sicherheitsfunktionen ausführt, kommt es zu keinen gefährlichen Ereignissen. 3, Verringerung der Auswirkungen von Gefahrenereignissen, d.h. die Risiken werden durch die Minderung von Verlusten oder durch die Verringerung der Folgen gesenkt. In einigen Fällen dient das Sicherheitsinstrumentensystem dazu, die Funktionen eines Sicherheitsinstruments zu erfüllen – mit dem Ziel, Risiken zu verringern oder die Wahrscheinlichkeit des Auftretens potenzieller Gefahren zu senken. In anderen Fällen dient die Erfüllung der Sicherheitsfunktionen dazu, die Folgen bereits eingetretenen Gefahren zu verringern. In wieder anderen Fällen handelt es sich um eine Kombination beider Ansätze. Die SIF, also die Sicherheitsfunktionen, zeigen an, ob das Sicherheitssystem seine Sicherheitsaufgaben effektiv erfüllen kann. Jede Sicherheitsfunktion ist auf bestimmte Szenarien von Risiken ausgerichtet. In den Sicherheitsinstrumentenfunktionen unterscheiden sich die entscheidenden Aktionen je nachdem, welche gefährlichen Unfallszenarien betrachtet werden. In einem realen System ist ein tiefgehendes Verständnis verschiedener Aspekte wie Steuerung, Ausrüstung und Prozessabläufe erforderlich, um die Sicherheitsinstrumentierungsfunktionen SIF richtig zu entwerfen. Das Sicherheitsinstrumentensystem SIS umfasst mehrere Sicherheitsinstrumentenfunktionen SIF. Ein Sensor oder ein Aktuator kann zu mehreren SIFs (Sicherheitsinstrumentenfunktionsschleifen) gehören. Wenn beispielsweise die vom Sensor S-1 überwachten Werte den festgelegten Grenzwerten überschreiten, kann dies dazu führen, dass das Endaktor Nr. 6 in Aktion tritt. Gleichzeitig kann der S-2-Sensor auch das Endaktuator Nr. 6 in Bewegung setzen. Die SIL-Ebene, die zu verschiedenen SIFs gehört, kann unterschiedlich sein, da das Risiko der jeweiligen hypothetischen Unfallscenarien für jeden SIF-Zyklus nicht gleich ist. Gleichzeitig kann bei einem SIF-Schaltkreis in zwei Unfallszenarien die erforderliche SIL-Klasse unterschiedlich sein. Man kann nicht behaupten, dass das gesamte SIS-System der SIL-1-Klasse angehört. Die Unterschiede zwischen dem Sicherheitsinstrumentierungssystem (SIS) und dem grundlegenden Prozesssteuerungssystem (BPCS) verwirren viele Anfänger. Schließlich scheinen die beiden Systeme in ihrer logischen Struktur doch sehr ähnlich zu sein – warum wird dann eine Unterscheidung gemacht? Nun sprechen wir über ihre Unterschiede. 1. Die beiden Systeme erfüllen unterschiedliche Funktionen. Ein grundlegendes Prozesssteuerungssystem ist ein System zur Steuerung von herkömmlichen Produktionsprozessen. Laut Statistiken sind mehr als 95 % der Steuerungssysteme in der Industrie von dieser Art. Daraus geht hervor, dass das BPCS die grundlegenden Funktionen der Produktionssteuerung übernimmt, um die Anforderungen an einen reibungslosen Ablauf des Produktionsprozesses zu erfüllen. SIS überwacht den Zustand des Produktionsprozesses, erkennt gefährliche Bedingungen und verhindert so das Auftreten von Unfällen. 2. Beide haben unterschiedliche Betriebszustände: SIS ist passiv und im Ruhezustand, während BPCS aktiv und dynamisch ist. Es dient dazu, die Anforderungen der Produktion zu erfüllen, weshalb es in einem dynamischen Betrieb sein muss, um einen kontinuierlichen und stabilen Ablauf des Produktionsprozesses zu gewährleisten. 3. Bei Ausfällen weisen die beiden Systeme unterschiedliche Verhaltensweisen auf. Die meisten Ausfälle des BPCS sind offensichtlich – beispielsweise wird im Produktionsprozess, wenn nicht die gewünschten Schaltzustände erreicht werden, die normale Produktion beeinträchtigt. Dadurch zeigen sich die Störungen. Da das SIS-System den größten Teil der Zeit im Ruhezustand ist, ist es schwierig zu erkennen, ob es zu Ausfällen oder versteckten Problemen gekommen ist. Daher benötigt das SIS-System ein Selbstdiagnose-Testsystem sowie periodische Offline- und Online-Tests. In der IEC 61508 wird SIL als die Möglichkeit definiert, dass ein sicherheitsrelevanter System unter bestimmten Bedingungen und über einen bestimmten Zeitraum seine vorgesehenen Sicherheitsfunktionen ausführt. Ziel der Auswahl des Sicherheitsintegritätsniveaus ist es, das Risiko durch Verringerung der Wahrscheinlichkeit seines Auftretens auf ein akzeptables Niveau zu senken. In der IEC61508-Norm unterscheiden sich die SIL-Ebenen, die in den „hochanforderungsbehafteten Betriebsmodi“ und den „niedriganforderungsbehafteten Betriebsmodi“ definiert sind. Der Modus mit geringen Anforderungen bezeichnet einen Betriebsmodus, bei dem die Anforderungen an das Sicherheitsinstrumentierungssystem darin bestehen, dass die Funktionstests höchstens einmal im Jahr durchgeführt werden müssen – oder höchstens zweimal so oft. SIL-Sicherheitsintegritätsgrad – vereinfacht ausgedrückt, ist SIL eine Maßzahl für die Sicherheit und Zuverlässigkeit. Jede SIL-Klasse steht für eine bestimmte Größenordnung der Risikoreduzierung. Beispielsweise führt eine SIL-1-Sicherheitsfunktion dazu, dass die Häufigkeit von Unfällen um eine Größenordnung abnimmt. Bei SIL-2 wird die Häufigkeit von Risiken um zwei Größenordnungen verringert. Die britische Behörde für Gesundheit und Sicherheit HSE untersuchte 34 Unfälle, die direkt durch Ausfälle der Steuerungs- und Sicherheitssysteme verursacht wurden. Die Ergebnisse zeigten, dass 44 Prozent der Unfälle auf fehlerhafte Sicherheitsvorschriften zurückzuführen waren. Die zweite Hauptursache für Unfälle sind Änderungen nach der Inbetriebnahme, die 21% ausmachen. Daher ist die Bedeutung der richtigen Festlegung der Sicherheitsanforderungen offensichtlich. Mit anderen Worten: Das System mag die Funktionen erfüllen, für die es konzipiert wurde, doch diese Funktionen selbst sind möglicherweise nicht korrekt. Von den zuvor erwähnten Unfällen, die direkt durch Ausfälle der Steuerungssysteme verursacht wurden, waren 44 Prozent auf unrichtige Sicherheitsvorschriften zurückzuführen. Wie werden also die Sicherheitsvorschriften für SIF festgelegt? Definition nach der IEC61511-Norm: Eine Spezifikation, die alle Anforderungen an sichere Steuerfunktionen (SIF) umfasst. Sein Ziel ist es, die Anforderungen an detaillierte Prozesssicherheitsinformationen festzulegen. Vor der Erstellung der Sicherheitsanforderungsnormen müssen wir die folgenden Informationen sammeln: 1. Konzeption des Prozesssicherheitsdesigns. 2, Gefahrenanalyse und Risikobewertung, 3, Anwendung von Schutzschichten für nicht-sichere Steuerungssysteme. 4. Bestimmen Sie den Sicherheitsintegritätsgrad für die notwendigen Sicherheitsinstrumentenfunktionen. Diese Inhalte müssen gültig und vollständig sein. Wenn diese Prozesse nicht existieren oder unvollständig sind, dann führt jede Anstrengung, Richtlinien für das System zu entwickeln, letztendlich zu falschen Sicherheitsanforderungen. Wenn in den Sicherheitsanforderungsrichtlinien gefordert wird, dass die SIF-Schaltungen ein Sicherheitsintegritätsniveau von SIL-2 erreichen sollen, wie sollten wir dann die Systemarchitektur entwerfen? Kann man mit Sensoren der Klasse SIL-2, Logiksteuerungen sowie Endausführungselementen eine 1oo1-Struktur erstellen, um das SIL-2-Niveau für den SIF-Schaltkreis zu erreichen? Die Antwort ist, dass es nicht unbedingt möglich ist, den SIL-2-Standard zu erreichen. Denn die durchschnittliche Wahrscheinlichkeit für einen fehlerhaften Betrieb des Sicherheitssteuerungssystems, PFD, entspricht in etwa der Summe der durchschnittlichen Wahrscheinlichkeiten für fehlerhaften Betrieb der einzelnen Komponenten – Sensoren, Logikcontroller und Endausführungselemente. Dann könnte man in Erwägung ziehen, SIL-3-Geräte zu verwenden, um SIL-2-SIF-Schaltungen zu realisieren – doch die Kosten wären dabei vermutlich viel höher. Deshalb berücksichtigen wir eher redundante Strukturen zur Umsetzung. Zum Beispiel 1oo2, 2oo3 usw. Hier ist eine redundante Struktur von 1oo2, 2oo2 und 2oo3 zu erkennen. In der Struktur von 1oo2 reicht es aus, wenn nur ein Gerät in Ordnung ist, damit das System nicht ausfällt – dadurch kann die Wahrscheinlichkeit eines fehlerhaften Ausfalls erheblich verringert werden. Doch die Wahrscheinlichkeit eines Sicherheitsversagens steigt, denn bereits ein Versagen eines einzigen Geräts kann dazu führen, dass das System versehentlich abgestellt wird. Wenn man eine redundante Struktur nach dem Prinzip 2oo2 wählt, müssen zwei Geräte gleichzeitig eine Abweichung der Prozessparameter feststellen, damit die Sicherheitsinstrumentierung in Aktion tritt. Dadurch wird die Wahrscheinlichkeit von Sicherheitsstörungen – also der Unverfügbarkeit der Anlage – deutlich verringert. Damit werden auch die Auswirkungen von fehlerhaften Stillständen gemindert. Die redundante Struktur von 2oo2 verringert deutlich die Sicherheit des Systems und erhöht die Wahrscheinlichkeit von fehlerhaften Abläufen. Die 1oo2- und 2oo2-Strukturen erfüllen entweder nicht die Anforderungen an die Sicherheit oder nicht die Anforderungen an die Zuverlässigkeit. Deshalb wählt man in vielen Fällen die redundante 2oo3-Struktur. Diese redundante Struktur berücksichtigt sowohl Sicherheitsfehler als auch gefährliche Fehler – es handelt sich dabei um eine relativ ausgewogene Lösung im Bereich der Redundanz. Weitere Details finden Sie im Video………… – Li Qiang, Produktmanager bei Hangzhou Haopeng Technology Co., Ltd