実用情報｜安全計装機能SIFの実現と検証プロセス

Thread Content

SIF yunrun.com.cn/news/1713.html 著者：姜荣怀、シーメンス（中国）有限公司 本稿では、国際安全規格であるIEC61508、IEC61511、およびANAI/ISA-84.00.01（IEC61511 Mod）を踏まえ、プロセス産業における安全ライフサイクルにおいて、安全計装システム（SIS）を用いて安全計装機能（SIF）を実現するための設計手法、機能安全機器の評価と選定、SILの実現、そして安全機能の検証について解説している。 分析段階は、IEC61511の安全ライフサイクルにおける重要な段階であり、安全要件規格に定められた安全計装機能（SIF）の要求に基づき、安全計装システム（SIS）を適切に設計し、適切な機能安全機器を選定し、診断・試験技術に基づいて安全計装機能の検証と確認を行うことが、分析段階における極めて重要な要素となります。本稿では、安全基準および規格の要求事項を踏まえ、安全計装機能の実現と検証プロセスについて主に解説する。 1. 安全計装機能(SlF)の実現プロセス 安全計装システム(SIS)の安全計装機能(SlF)の設計は、安全計装要求規格(SRS)に基づいて行われる。IEC61511における安全ライフサイクルの重要な文書として、SRSにはすべての安全計装機能（SIF）の設計に関する完全な要求事項が記載されており、主に以下の内容を含みます：①危険性及びその結果； ②危険事象の確率； ③対応するPID； ④プロセス測定パラメータおよび遮断点； ⑤主要機器と補助機器の応答要件； ⑥プロセスの測定と出力の関係、論理、アルゴリズムの機能、および許容性――運転、通常、異常、緊急停止など、あらゆる動作モードにおける定義； ⑦必要な安全完全性レベル； ⑧目標テストサイクル； ⑨許容される最高無停車率； ⑩SIFの最大応答時間要件；SIFを手動で起動するための要件； ⑪SIFリセット要求（ロックまたは自動リセット）； ⑫故障診断のSIF応答（自動停止、警報のみ、その他）； ⑬熱機インターフェース要件－変数表示と入力； ⑭バイパス保守能力要件； ⑮トリップ後の平均復旧時間、運転開始までの見積もり； ⑯通常の運転および緊急時の環境条件。 上記の内筒に加えて、異なる用途や業界のさまざまな要求に応じて、適切な内容を追加する必要がある。 SRSにおけるSIFの設計目標を確認した後、機器の選定、冗長性要件の確認、SIFテスト技術、およびSIFの確認計算などを行うべきである。SIFの簡易な設計プロセスは図1に示されている。 http://yunrun.com.cn/upload/201801/10/201801102357046978.png 図1 SIFの簡易的な設計プロセス 設計段階では、統計的計算によって、その設計が要求されるSILレベルを満たしているかどうかを確認する。計算がIEC61508またはANSI/ISA 84.00.01の規定に準拠しているかを検証するため、フォールトツリーやマルコフモデルなどの一般的な計算手法が用いられます。 2、安全計装機能用機器の選定 安全計装機能に使用される機器は、その性能が安全機能の要求を完全に満たしていなければならず、プロセスに適した材質や環境条件を満たすだけでなく、計器の機能的安全性についても評価が求められる。すべての設計上の調整や変更は、文書としてプロジェクト記録の一部として保存されなければならない。 ANSI/ISA-84.00.01では、SISで使用される機器は、IEC61508に基づいて所定のSILレベルの認証を取得するか、あるいは事前使用（Prior use）の原則（ANSI/ISA-84.00.01 Part 1、Section 11.5.3）に従って適切に使用されなければならないと規定されている。 標準では事前使用（Prior use）について詳細な定義はなく、一般的に、ある計器のあるバージョンがユーザー企業の長年にわたる使用記録において、危険な故障がなく正常に使用されてきた実績がある場合、その計器も安全認証を受けることなく安全計装機能として使用できると考えられている。 事前使用（Prior Use）では、ユーザーの現場での使用において、あらゆる現場での故障や故障モードについて完全な記録が求められ、その記録には計測器のハードウェアおよびソフトウェアのバージョンも含まれなければならない。設計上のバージョン変更により、事前使用(Prior use)データが無効になる可能性があります。 多くのユーザーが計測器メーカーに対し、事前使用(Prior use)に関する支援を求めており、メーカーはしばしば第三者の企業や機関に、さまざまなレベルの事前使用(Prior use)評価を委託します。この評価はTüV、FM、E*daといった第三者の企業や機関の専門家によって行われ、通常、メーカーは2社以上の評価会社に協力してもらって評価を実施します。 3、製品の機能安全評価手法 ①FMEDA評価 機器のFMEDA評価とは、FMEDA（Failure Modes Effects and Diagnostic）を用いて機器のハードウェアを分析し、その故障率や故障モードを特定することを指す。FMEDAは従来のFMEAを拡張して用いるもので、安全エンジニアはFMEDA技術によって分析されたデータを活用して統計計算や安全計装機能（SIF）の検証計算を行うことができます。 FMEDA分析には、計測器の使用ライフサイクルと有効な検証テスト（プルーフテスト）の方法が含まれ、検証テスト（プルーフテスト）のカバレッジは実際のPFH/PFD/PFDavgの計算に用いられる。FMEDA分析は製品選定の十分な条件とはならないことに注意すべきである。 ②事前使用（Prior Use）評価 事前使用（Prior Use）の当初の目的は、現場での実際の使用における故障データを収集することにより、製品の設計に欠陥がないかを検証することでした。一部のメーカーは通常、ユーザーが特定の機器の事前使用に関するデータや情報を得られるよう支援してくれますが、また別のメーカーでは、第三者の評価会社や機関によって行われたその機器の現場での故障記録に基づく評価も提供してくれます。しかし、事前使用に関する評価は最終的にはユーザー自身が行う責任があります。 障害データにはハードウェア障害とソフトウェア障害が含まれるべきであり、評価には障害データの取得プロセスと製品バージョンの修正プロセスが含まれる必要がある。製造業者は、データの品質を保証するために、十分に詳細なデータ取得プロセスを提供しなければならない。データの取得方法、報告の完全性、および分析の妥当性は厳格に審査されるべきである。 注意すべき点は、現場の故障記録データから算出された故障率と、FMEDA分析によって得られたデータを比較することであり、もしFMEDAのデータより十分に低ければ、その製品の設計に重大な欠陥はないと証明される。また、データの完全性を考慮すると、現場の故障記録にある故障率はSILの検証計算には使用できない。 ③IEC61508に従って完全な評価を行う。完全なIEC61508評価には、FMEDA、事前使用（Prior Use）のほか、製品のハードウェアおよびソフトウェア開発における故障回避策や故障制御手段も含まれ、さらに製品のテスト、修正、ユーザーファイル、および製造プロセスの詳細な分析も含まれる。 事前使用（Prior Use）における故障データの記録は、特にソフトウェア障害などのシステム障害（System errors）を含む、すべての故障データを反映していないことが多い。一部のソフトウェアの不具合は、ソフトウェアの「リセット」や電源の切り替えによって解決でき、部品の「交換」は必要とされないため、その不具合はユーザーがメーカーに提出する修理・交換報告書には完全には反映されない。 完全なIEC61508評価により、システムエラーのデータの信頼性が保証されます。IEC61508では、システムエラーを低減するための、エラー回避およびエラー制御に用いられるさまざまなハードウェアおよびソフトウェア技術が定義されており、特に製品のIEC61508認証においては、SIL2やSIL3といった、その製品が適合する安全レベルが明確に示されます。 表1は、さまざまな評価技術が採用する評価原則を簡潔にまとめたものである。 http://yunrun.com.cn/upload/201801/11/201801110015260026.png *評価機関によります。すべての第三者機関が提供しているわけではありません。 4、冗長構造設計 適切な機器の選定に加えて、サブシステムの冗長設計によっても、求められる安全レベルを満たすことができる。表2は、ANSI/ISA-84.00.01で定められている、フィールドデバイスの最小ハードウェア故障余裕度（HFT）とSIF等級との対応関係です。 http://yunrun.com.cn/upload/201801/11/201801110020418111.png 表2は、ハードウェアの信頼性を高めることによってより高いSILレベルを達成できることを明確に示している。例えば、SIFでSIL2レベルが求められる入力サブシステムの場合、設計上では2台のトランスミッタの使用が求められる；SIL3の入力サブシステムについては、3台のトランスミッタを使用することが求められる。 製品の選択が事前使用（Prior Use）基準に基づき、かつ以下の制約条件を満たす場合。同じHFTの下では、SILレベルを1段階向上させることができる：①装置はプロセス関連のパラメータ調整のみを許可する（例えば、測定範囲、上限または下限の故障指示）； ②プロセス関連パラメータの調整には、保護手段（パスワードなど）がある； ③SIFのSIL等級要件は4未満です。 以上の説明から、一定の制約条件下では、事前使用済みの変換器1台でもSIL 2の要求を満たすことができ、またSIL 2認証を取得した変換器1台を使用することも可能である。 ロジックプロセッサ（Logic Solver）サブシステムについては、通常、IEC51508の認証を受けた製品を使用すべきであり、その認定されたSILレベルは、SIFで要求されるSILレベルと同等以上でなければならない。表3は、IEC61508で定められているクラスBの関連論理プロセッサのSILレベルとハードウェア故障余裕度（HFT）との関係要件です。 http://yunrun.com.cn/upload/201801/11/201801110026400460.png 表3からわかるように、SFF値が十分に高ければ、HFTを増やすことなく高い安全性を得ることができる。例えば、SFF＞99％の場合、HFT=0（単路構造）でもSIL 3レベルを達成できる。 5、SIFのテスト技術と方法 IEC61508では、SIF機能を実行する機器に対して3つの動作モードが定義されている（表4）：連続要求動作モード（Continuous Demand）、高要求動作モード（High Demand）、低要求動作モード（Low Demand）。これら3つの異なる動作モードを持つ機器において、テスト技術との関係は異なる。 ①連続要求動作モード（Continuous Demand）：DI≤ATI、DI≤PTIであるため、手動検証テストおよび自動診断のテスト技術はいずれもシングルチャネルシステム（loo1）に影響を与えず、テスト技術は冗長システムのみに関連する。 ②高要求動作モード（High Demand）：DI＞ATI、DI≤PTIであるため、自動診断のテスト技術はシングルチャネルシステム（1ool）にも影響を与えますが、手動検証テストでは影響しません。 ③低要求モード（Low Demand）：DI＞ATI、DI＞PTIであるため、手動検証テストおよび自動診断のテスト技術のいずれもがシステムに影響を与えます。単一チャネルシステム（1ool）であっても同様です。 プロセス産業分野においては、ほとんどの場合、SIFは低要求動作モード（Low Demand）となります。特に、独立した保護層を適切に設計した場合には、なおさらそうである。 6、安全計装機能(SIF)の検証 表5は、IEC61508で規定されている低要求動作モード（Low Demand）におけるSILレベルと要求される平均故障確率PFDavgとの関係を示している。 http://yunrun.com.cn/upload/201801/11/201801110040425427.png 低要求動作モード（Low Demand）のSIF検証には、検証テストプログラムの定義が含まれるべきである；診断カバレッジを予測して検証し、検証テストプログラムの有効性を確定する。具体的には、IEC61508またはANSI/ISA 84.00.01の要求事項に基づき、SIFの設計に対してSILレベルの検証計算を行い、最終的なSIF設計がSRSに記載された設計要件を満たしているかを確認する必要がある。計算手法にはフォールトツリー分析やマルコフモデルなどがあり、検証報告書はファイル形式で作成される。 以下では、例を挙げてSIL2およびSIL3のループシステムの典型的な設計と検証計算結果について簡単に紹介する。 例1：典型的なSIL2回路の構成は図2に示されている。 http://yunrun.com.cn/upload/201801/11/201801110110451177.png SIL2回路の配置および検証計算結果は表6に示す。 http://yunrun.com.cn/upload/201801/11/201801110130406676.png 説明：上記の例では、センサーサブユニットとしてTüV認証を受けたSIL2レベルの安全型トランスミッターを1台使用していますが、Prior Useトランスミッターを1台使用することも、2台のトランスミッターを使用する（1oo2構成）ことも、3台のトランスミッターを使用する（2oo3構成）ことも可能です；最終的なコンポーネントのサブユニットとしては、PST機能を備えたDVC切替バルブ1台を使用することもできますし、電磁弁を装備した切替バルブ2台（1oo2）を使用することも可能です；しかし、最終的な検証の結果、計算値はSIL2レベルに適合していることが確認された。 例2：典型的なSIL3回路の構成は図3に示されている。 http://yunrun.com.cn/upload/201801/11/201801110105193150.png SIL3回路の配置および検証計算結果は表7を参照。 http://yunrun.com.cn/upload/201801/11/201801110126380590.png 説明：上記の例では、センサーサブユニットにはTüV認証を受けたSIL2レベルの安全型トランスミッターが2台使用されており、最終的な要素サブユニットにはPST機能を備えたDVC遮断弁が2台使用されています。また、センサーサブユニットにはPrior Useトランスミッターを2台、あるいは3台（2oo3構成）を使用することも可能です。しかし、最終的な検証の結果、計算値はSIL3レベルに適合していることが確認された。 安全計装システムと安全計装機能の選定および設計は、プロセス産業の安全ライフサイクルにおける重要な構成要素です。リスクを効果的に低減し、人命の安全、財産の安全、環境の安全を確保するためには、分析段階であれ、実施・運用段階であれ、安全ライフサイクルの各段階が極めて重要です。最終ユーザー、エンジニアリング会社、設計事務所は、関連する国際規格や基準、設計要件に従って安全計装システムを使用することによってのみ、リスクを効果的に低減し、人命の安全、財産の安全、環境の安全を確保することができる。