Wie führt ein Instrumentenbauer die SIL-Berechnung für ein SIS-System durch?

Thread Content

Die SIL-Bewertung ist ein Prozess zur quantitativen Bewertung der gesamten Sicherheitsfähigkeit eines fertiggestellten SIF-Schaltkreises, um zu überprüfen, ob die erforderlichen Anforderungen erfüllt werden. In diesem Artikel teilt Changhui Instruments die Methoden mit, die von Messgerätefachleuten bei der SIL-Bewertung angewandt werden. SIL-Prüfung: yunrun.com.cn/product/2846.html Mit der Veröffentlichung des Dokuments Nr. 116 der Abteilung für Aufsicht und Management der Generalverwaltung für Sicherheitsaufsicht wurde ab 2016 das Sicherheitssystem SIS zur Standardausstattung für in Betrieb befindliche Anlagen sowie neue Projekte, die zu den „zwei Schlüsselbereichen und einer wichtigen Anlage“ gehören. Die politischen Änderungen führten zu einer Flut an Informationen über HAZOP/SIL- und SIS-Systeme sowie zu einer Fülle von Begriffen, die verwirrend sind und es schwierig machen, den Überblick zu behalten. Ziel dieses Artikels ist es, keine Umwege zu machen und möglichst in einfachen Worten den Instrumenteningenieuren, die mit SIL, SIS und SIF nicht vertraut sind, aber bereits etwas davon gehört haben, eine klare Erklärung dafür zu geben, was eine SIL-Berechnung eigentlich ist. Kurz gesagt, die SIL-Bewertung ist ein Prozess zur quantitativen Bewertung der Gesamtsicherheit der realisierten Sicherheitsinstrumentierungsfunktionen (SIF), um zu überprüfen, ob die erforderlichen Anforderungen erfüllt werden. In der HAZOP-Analyse spielen Prozessingenieure eine wichtigere Rolle als Instrumenteningenieure. Sie sind die treibende Kraft bei der Ideengenerierung und müssen mögliche Risiken identifizieren sowie Lösungen vorschlagen. Sobald die Analyse abgeschlossen ist und die SIL-Einstufung festgelegt wurde, tritt die Phase der SIL-Verifizierung ein. Zu diesem Zeitpunkt sind die SIF-Schaltkreise bereits weitgehend festgelegt – dann übernehmen die Instrumenteningenieure die Führung. Der SIF-Schaltkreis setzt sich ebenfalls aus einer „Erkennungseinheit – Steuereinheit – Ausführungseinheit“ zusammen, wie im folgenden Bild dargestellt: http://yunrun.com.cn/upload/201912/21/201912210123149990.png Allerdings wurde das System von einem DCS-Steuersystem auf ein sicherheitsrelevantes Messsystem mit SIL-Zertifizierung, nämlich ein SIS, umgestellt. Instrumenteningenieure, die mit Steuerkreisen vertraut sind, werden schnell erkennen, welche Gemeinsamkeiten die SIF-Kreise mit den Steuerkreisen haben. Niemand kennt die Komponenten in den einzelnen Einheiten der SIF-Kreise besser als sie – daher eignen sie sich am besten dazu, die SIL-Fähigkeiten dieser Komponenten zu bestimmen. Wenn Ihre Unterstützung bei der Durchführung von SIL-Prüfungen erforderlich ist – welche Vorbereitungen müssen Sie als Instrumenteningenieur treffen? Egal, ob man die Überprüfungsrechnungen selbst durchführt oder sie an Dritte auslagert, sind einige der im folgenden Diagramm dargestellten grundlegenden Schritte unvermeidlich. Erster Schritt: Lesen des Einstufungsberichts. Frage 1: Zunächst muss man verstehen, worum es bei der SIL-Berechnung geht Zweck der Überprüfung ist es, die SIL-Klasse jedes Schaltkreises sowie die erforderliche durchschnittliche Ausfallwahrscheinlichkeit (PFD) zu ermitteln, um festzustellen, ob sie den Anforderungen entsprechen. Falls dies nicht der Fall ist, muss die Auswahl und Konzeption des Sicherheitsinstrumentierungssystems erneut vorgenommen werden (man kann dazu den Artikel „Schritte zur Auswahl eines SIS-Systems (Sicherheitssteuerungssystem)“ auf Baidu lesen). Wenn die Anforderungen erfüllt sind, gilt die Überprüfung als erfolgreich. Daher müssen die Ergebnisse jedes Schaltkreises im Prüfbericht mit der Bewertung jedes Schaltkreises verglichen werden. Die durchschnittliche Ausfallwahrscheinlichkeit (PFD) ist in den Standards definiert; vereinfacht ausgedrückt, repräsentiert sie die Wahrscheinlichkeit eines Ausfalls des jeweiligen Instruments/Kreises. Natürlich gilt: Je niedriger die Wahrscheinlichkeit, desto unwahrscheinlicher sind Probleme – und somit ist auch das SIL-Niveau höher. Es besteht kein Zweifel daran, dass SIL2 eine höhere Sicherheit als SIL1 bedeutet – die entsprechende durchschnittliche Ausfallwahrscheinlichkeit (PFD) ist dabei geringer. Dies im Hinterkopf zu behalten, wird bei der späteren Prüfung der SIL-Zertifizierungsberichte sehr hilfreich sein. Ein guter Start ist die Hälfte des Erfolgs – ein perfekter SIL-Einstufungsbericht ist zweifellos der erste Schritt zum Erfolg. Frage 2: Was bedeutet „perfekt“ in einem perfekten SIL-Bewertungsbericht? Der SIL-Einstufungsbericht sollte die folgenden Inhalte enthalten: eine vollständige Beschreibung der SIF-Schaltungen sowie deren Struktur ； Die SIL-Einstufung und die durchschnittliche Ausfallwahrscheinlichkeit (PFDavg) für jeden SIF-Schaltkreis. Als perfektes Beispiel: Im Waschbereich der SIF16-Desulfurisierungsanlage: Die drei Temperaturen TAHH2102A/B/C (2oo3) führen dazu, dass die Unterstützungs-Lüfter K132 abgeschaltet werden oder dass MOV0203 (1oo2) ausgeschaltet wird” ； Die Bezeichnungen der Messsignale sind klar definiert, ebenso wie die Beziehungen zwischen den Signalen (2oo3). Die auszuführenden Aktionen sind ebenfalls klar definiert – genauso wie ihre Bezeichnungen. Auch die Beziehungen zwischen den auszuführenden Aktionen sind klar definiert (1oo2) ； Die PFD-Werte und die SIL-Klassen sind ebenfalls klar definiert. http://yunrun.com.cn/upload/201912/21/201912210135090380.png Doch nicht alle Beschreibungen der SIF-Schleifen können so klar sein. Hier ein weniger perfektes Beispiel: „Bei niedrigem Pegel im Essigspeicher T43201A wird die Schleuse XV-43202A durch das Interlocksystem geschlossen“ – warum fehlt hier die Signallage des Pegels? Dies tritt meistens auf, weil in der Klassifizierungsphase die P&ID noch nicht finalisiert war, oder es sich um ein neu hinzuzufügendes Signal handelt, für das zu diesem Zeitpunkt noch keine Bezeichnung bekannt war. In diesem Fall kann man nur auf die Instrumenteningenieure vertrauen, damit diese die entsprechenden Bezeichnungen finden und so den Schaltkreis vervollständigen können. Unvollkommene Beschreibungen sind eine Herausforderung, der Instrumenteningenieure häufig gegenüberstehen, wobei die größte Prüfung darin besteht, festzustellen, dass die SIF-Beschreibungen im SIL-Einstufungsbericht nicht mit den vorhandenen Schaltplänen der Sicherheitsschaltungen übereinstimmen. Fühlt man sich in diesem Moment als Instrumenteningenieur nicht sofort panisch und ängstlich? Erstens muss festgestellt werden, ob der vorliegende Bewertungsbericht bereits vor der Entwicklung des Interlocks erstellt wurde. Es muss außerdem geprüft werden, ob spätere Änderungen zu Veränderungen in den Interlock-Schaltkreisen geführt haben. Falls dem so ist, ist es die vernünftigste Entscheidung, den SIL-Bewertungsbericht zu aktualisieren. Wie bereits erwähnt, hängt die SIL-Überprüfung vollständig von den in dem SIL-Bewertungsbericht festgelegten SIF-Schaltkreisen sowie der SIL-Einstufung ab. Auf dieser Grundlage werden die Ergebnisse der Berechnungen beurteilt. Wenn der Bewertungsbericht nicht mit der Realität übereinstimmt, dann ist eine SIL-Überprüfung sinnlos ； Falls der Bewertungsbericht bereits die neueste Version ist, muss hier ein Begriff geklärt werden: Der SIF-Schaltkreis ist nicht identisch mit dem Interlockschaltkreis. Es gibt zwar Gemeinsamkeiten zwischen ihnen, doch der SIF-Schaltkreis konzentriert sich ausschließlich auf die Aktionen zur Sicherheitsabsicherung. Solche Aktionen, die zwar notwendig sind, aber keine Sicherheitsfunktionen haben, werden nicht im SIF-Schaltkreis berücksichtigt. Sie können hingegen im Interlockschaltkreis vorkommen. Siehen Sie sich den Vergleich im untenstehenden Bild an – haben Sie nun eine Erleuchtung? http://yunrun.com.cn/upload/201912/21/201912210146548908.png Angesichts von perfekten oder unvollkommenen Berichten ist es eine unvermeidliche Aufgabe für den Vor-Ort-Instrumenteningenieur, diese Berichte zu verstehen, ihre Zuverlässigkeit und Nutzbarkeit zu beurteilen. Durch den Vergleich der Berichte sowie das Eingeben der Modelle jeder Komponente im SIF-Schaltkreis beginnt der Instrumenteningenieur mit dem ersten Schritt zur Unterstützung der SIL-Überprüfung. Zweiter Schritt: Datensammlung. Die Datensammlung klingt einfach, ist aber in der Praxis schwierig. In den Instrumentenlisten, den Unterlagen des Herstellers, den Prozessdiagrammen sowie in den verschiedenen Spezifikationen finden sich zahlreiche Informationen. Welche davon sind unbedingt notwendig und welche kann man überspringen? Eigentlich gibt es keinen Grund, sich darüber Sorgen zu machen. Wenn man eine Dritte Partei beauftragt, die Überprüfungen durchzuführen, wird diese Partei klar angeben, welche Informationen benötigt werden – man muss diese dann einfach entsprechend sammeln. Im Großen und Ganzen sind die Modell- und Spezifikationsangaben der Hersteller grundlegende Anforderungen. Ebenso müssen der Prüfintervall sowie die Nutzungsdauer angegeben werden – außerdem ist die durchschnittliche Reparaturzeit bei Störungen notwendig. All das sind Parameter, die bei den Berechnungen berücksichtigt werden müssen. Ein Sicherheitsintegritätssteuerungssystem SIS ist kein System, das nach seiner Einrichtung fertig ist; seine Zuverlässigkeit muss durch regelmäßige Wartung und Tests gewährleistet werden. Die Bewertung der Wartungsfähigkeit ist daher bei den Berechnungen unerlässlich. Wenn die Ingenieure für die Wartung der Geräte vor Ort in ihrer täglichen Arbeit besonders auf die Zeitabstände zwischen Fehlern sowie auf die Dauer der Reparaturen achten und diese Daten an den Hersteller weiterleiten, dann bilden sie nach Jahrzehnten wertvolle Daten zur Nutzung der Geräte vor Ort. Was die Instrumenteningenieure angeht, die vorhaben, die Überprüfungsrechnungen selbst durchzuführen – sie sind bereits auf dem Niveau von Kampfflugzeugen und wissen daher selbst, was sie benötigen. Dritter Schritt: Organisation der Zertifikate. Es handelt sich natürlich um SIL-Zertifikate. Der Hauptzweck der Organisation dieser Zertifikate besteht darin, dem Prüfungsunternehmen Daten über die Nichtverfügbarkeit der Zertifikate zur Verfügung zu stellen. Hier stellt sich die Frage: Da die Prüfungssoftware bereits über eine eigene Datenbank verfügt, warum ist es dann noch notwendig, Daten über die Nichtverfügbarkeit der Zertifikate zu sammeln? Diese Frage kann in der Berechnungsphase ausführlich erklärt werden. 1. Erste Erfahrungsregel: Finden Sie das SIL-Zertifikat für das entsprechende Instrument. Das SIL-Zertifikat enthält viele Informationen, wie das SIL-Niveau, mögliche Hardwareanforderungen (HFT), die Typen (A/B), die Ausfallwerte (Lambda λ) usw. Das Zertifikat ist der Nachweis dafür, dass die Sicherheitsfunktionen dieses Instruments funktionieren. Derzeit gibt es eine Überflutung an SIL-Zertifikaten aus verschiedenen Quellen. Unter all diesen Zertifikaten – echten und gefälschten – ist die Glaubwürdigkeit der Daten ein echtes Problem (es wird empfohlen, den Artikel „Changhui Instruments: Exklusive Erklärungen zur Ermittlung der Echtheit von SIL-Zertifikaten“ auf Baidu zu lesen). Das ist jedoch ein anderes Thema. Aber mit einem SIL-Zertifikat hat man für die Überprüfung bereits alles, was benötigt wird. Beim Prüfen des SIL-Zertifikats muss unbedingt überprüft werden, ob es eine zweite Seite gibt oder ob darin Daten zur Gültigkeitsdauer enthalten sind. Unerfahrene Messtechniker fallen oft in folgende Falle: Die Täuschung, dass es sich um ein zertifiziertes Gerät handelt, obwohl das Zertifikat nicht für das verwendete Modell gilt. Man muss also gut aufpassen! ； Die Falle des Gewichtsmanipulierens: Das Zertifikat ist zwar das richtige, hilft aber bei der Überprüfung überhaupt nicht, denn das Zertifikat hat nur eine Seite – auf dieser Seite werden zwar die SIL-Ebene angegeben, doch keine Informationen zur Gültigkeitsdauer. In solchen Fällen muss der Messtechniker alles daransetzen, weitere Informationen von dem Hersteller zu erhalten – möglicherweise finden sich diese auf der zweiten Seite des Zertifikats, oder in dem mit dem Zertifikat versehenen Bericht (bei Herstellern, die keinen Bericht liefern, gratuliere: Mit an Sicherheit grenzender Wahrscheinlichkeit handelt es sich um eine betrügerische Zertifizierungsstelle). Die Informationen könnten auch im Sicherheitshandbuch zu finden sein. 2. Zweite Erfahrung: Was tun, wenn das erforderliche Zertifikat nicht vorgelegt werden kann? In den folgenden Dateien könnte die gewünschte Ausfallrate auftreten. ◆Sicherheitshandbuch ◆ Konformitätszertifikat – Diese beiden Arten von Unterlagen werden in der Regel vom Hersteller selbst bereitgestellt. 3. Dritte Erfahrung: Wenn die oben genannten Erfahrungen nicht anwendbar sind, stellt die Verwendung allgemeiner Daten eine Option dar. In diesem Fall muss ein spezialisierter Prüfer unter Berücksichtigung der Software- und Datenbankbedingungen entscheiden. Doch in solchen Fällen wird die Bedeutung der Ingenieure für Messgeräte besonders deutlich – nur auf der Grundlage der von diesen Ingenieuren bereitgestellten Informationen über Art und Spezifikationen der Messgeräte kann ein Dritter die geeigneten Daten auswählen. http://yunrun.com.cn/upload/201912/21/201912210150544114.png Zertifikat e*da In dem obigen Bild sind in den roten Rahmen markierte Informationen enthalten, darunter: Modell: Elektromagnetventil der Serie 8314 ； Hersteller: ASCO ； Typ: Klasse A ； SIL-Klasse: Ohne Redundanz SIL2, bei Redundanz 1 SIL3, Pfad 2H ； Ungültige Daten: Hast du λSD/SU/DD/DU alle einzeln gefunden? Nachdem die Angaben für die oben genannten SIF-Schleifen sowie die Bearbeitung der Zertifikate abgeschlossen sind, kann endlich die Berechnungsphase beginnen. In dieser Phase kann der Messtechniker entspannt abwarten, falls die Berechnungen von einem beauftragten Dritten durchgeführt werden. Während wir warten, lernen wir etwas über die Software zum Berechnen. Bislang haben die Instrumente von Changhui mit den beiden Softwareprogrammen exSILentia und RiskCloud zu tun gehabt. Die meisten Ingenieure* sind daran gewöhnt, Excel zur Lösung von aufwendigen Berechnungsproblemen zu verwenden, bei denen logische Zusammenhänge berücksichtigt werden müssen. Doch jedes Mal wieder neue logische Zusammenhänge erstellen zu müssen, ist eine ziemlich lästige Angelegenheit. Die Überprüfung der SIF-Schaltungen ist aufwändig und vielfältig – jede Schaltung kann eine andere Struktur haben, es werden unterschiedliche Messgeräte eingesetzt, und jedes Projekt hat wiederum eigene Anforderungen. Zwar gelten für die Berechnungen standardisierte Formeln, doch wie kann man eine flexible Struktur schaffen, die je nach Bedarf angepasst werden kann, während gleichzeitig die Standardformeln zur Anwendung kommen? In solchen Fällen erweist sich Excel als etwas unpraktisch und ineffizient. exSILentia, entwickelt von der Firma E*da, nutzt die umfangreiche Datenbank an Zertifikaten für Messgeräte sowie jahrzehntelange Entwicklungs Erfahrung. Gemäß den Standards IEC-61508/61511 werden dabei Daten zu Ausfällen sowie Bewertungen der Wartungsfähigkeit berücksichtigt. Dadurch wird eine benutzerfreundliche Plattform bereitgestellt, über die Ingenieure SIF-Schaltkreise nach ihren Anforderungen frei konfigurieren können. In Berechnungen zur Überprüfung spielt exSILentia eine unersetzliche Rolle. Für inländische Nutzer ist jedoch das Problem, dass zwar ausländische Produkte funktionieren mögen, bei der praktischen Anwendung immer wieder Probleme auftreten. Bei den zahlreichen örtlichen Petrochemieunternehmen, die auf inländische Messgeräte und Ausrüstungen setzen, fehlt es exSILentia an Unterstützung für diese inländischen Marken. exSILentia verfügt über eine eigene Datenbank, in der die durch sie zertifizierten Sicherheitsinstrumente erfasst sind. Wenn man Geräte mit e*da-Zertifizierung verwendet, genügt es, im Datenbank-System den Hersteller und das Modell auszuwählen – anschließend können die entsprechenden Daten in die Berechnungen einbezogen werden. Das ist sehr praktisch. Zertifikate mit SIL-Zertifizierung von E*da können weiterhin in exSILentia verwendet werden. Allerdings muss der Benutzer die Funktion zur manuellen Eingabe der entsprechenden Zertifikatendaten nutzen. Die Verwendung ist jedoch nur auf diese Berechnung beschränkt. Wenn Zertifikate, die nicht in der Datenbank enthalten sind, in einem zukünftigen Projekt verwendet werden sollen, müssen sie erneut manuell eingegeben werden. **Damit geht der Komfort verloren, den die Datenspeicherung ursprünglich bietet.** Zumal die unrealistisch niedrigen Preise dazu führen, dass man über die mangelnde Verhältnismäßigkeit nachdenken muss. Im Vergleich dazu hat das neuere Produkt RiskCloud (GeLue Software) diese Mängel rechtzeitig ausgeglichen. RiskCloud (GeLue Software) bietet Online-Berechnungen – man kann sich mit einem Konto einloggen, um zu rechnen. Zudem verfügt es über eine umfangreiche Datenbank an Kennzahlen. Der Kundenservice ist schnell erreichbar, und man kann jederzeit technische Unterstützung erhalten. Was den Preis angeht: Es handelt sich dabei um ein inländisches Produkt mit der besten Kosten-Leistungs-Relation. Außerdem gibt es flexible Zahlungsmöglichkeiten – man kann Kurzzeitkonten nutzen und je nach Bedarf bezahlen. RiskCloud (Gelue Software) verwendet ebenfalls die Datenbank von E*da, ist jedoch im Vergleich dazu umfassender. Nicht-E*da-Zertifikate werden aufbewahrt, und es wird Nutzern empfohlen, ihre eigenen Zertifikate in die Datenbank einzugeben. Je mehr Nutzer es gibt und je mehr Projekte genutzt werden, desto mehr SIL-Zertifikatendaten sammeln sich – was für Nutzer von inländischen Messgeräten vorteilhaft ist. Beide Softwarelösungen verwenden den Markow-Modell-Algorithmus. Im Vergleich berücksichtigt exSILentia etwas mehr Parameter. Doch durch die schnellen Versionserweiterungen von RiskCloud (GeLue Software) in den letzten sechs Monaten sind die Parameter von RiskCloud bereits sehr ähnlich denen von exSILentia. Unter denselben Bedingungen sind auch die Berechnungsergebnisse ähnlich. Beide Programme können die Berechnungsergebnisse sowie Berichtstabellen exportieren; der Unterschied ist gering. ◆Exportierte Tabellen und Diagramme der GeLuee-Software: http://yunrun.com.cn/upload/201912/21/201912210155477340.png ◆ Exportierte Tabellen mit den Berechnungsergebnissen: http://yunrun.com.cn/upload/201912/21/201912210159053909.png ◆ Strukturdiagramme der SIF-Schaltungen sowie Diagramme zur Analyse der PFD-Trends: http://yunrun.com.cn/upload/201912/21/201912210208183582.png Nachdem die Software verglichen wurde, sollte nun auch das SIL-Zertifizierungsbericht vorliegen. Wie sollten Instrumenteningenieure in diesem Moment den Bericht prüfen, um festzustellen, ob es sich um einen gültigen Bericht handelt? Erinnern Sie sich noch an die SIL-Einstufungsberichte, die Sie gelesen haben, und an die SIF-Schaltplan-Tabellen, die Sie ausgefüllt haben? In diesem Fall müssen Sie sie herausnehmen, eine nach der anderen öffnen und die detaillierten Berechnungsunterlagen im Prüfbericht vergleichen, um zu überprüfen, ob alle Informationen bezüglich der SIF-Schleifen korrekt eingegeben wurden. Sowohl exSlentia als auch RiskCloud können detaillierte Prüfberechnungen erstellen, in denen alle berechneten Parameter sowie die gewählten Details aufgeführt sind. Neben der Überprüfung, ob der SIF-Schaltkreis die Anforderungen hinsichtlich der Einstufung erfüllt, lassen sich im Berechnungsdokument viele weitere Details finden: 1. Welche geltenden Standards wurden gewählt? 2. Ist die SIF-Schaltungsstruktur richtig eingegeben? 3. Wurden für die Gerätemodelle mit e*da-Zertifikat die richtigen ausgewählt? 4. Wurden die Daten für ungültige Nicht-e*da-Zertifikate korrekt eingegeben? 5. Werden bei Geräten ohne Zertifikat geeignete, standardmäßige Daten verwendet? 6. Stimmt das mit dem tatsächlichen Prüfintervall überein? 7. Wie hoch sind die berechneten durchschnittlichen Ausfallwahrscheinlichkeiten PFD für die einzelnen Komponenten des SIF-Schaltkreises sowie für den gesamten Schaltkreis? ...... Warte mal Eine Vorteil von RiskCloud ist in diesem Zusammenhang, dass die Berechnungsunterlagen auf Chinesisch vorliegen. Man muss sich also keine Sorgen machen, dass es wie bei den überaus komplexen exSILentia-Berichten ist – diese sind nicht ins Chinesische übersetzt und bestehen ausschließlich aus Englisch, wodurch das Verständnis erschwert wird. Du kannst Berichte lesen, Daten sammeln und Zertifikate organisieren. Herzlichen Glückwunsch – du hast bereits die erste Stufe der SIL-Zertifizierung erreicht.