安全計装システム（SIS）の機能安全について

Thread Content

この投稿は、2019年11月8日09:19にlive859によって最終的に編集されました。安全計装システムの機能安全について――1.はじめに：**国家安全監督管理総局が発表した「安監総管三116号」の文書では、安全計装システム（SIS）の評価に関して具体的な要求が示されています。それには、安全計装システムのライフサイクル全体にわたる管理をさらに強化し、新規プロジェクトにおける安全計装システムの管理を早期に適正化すること、そして既存の安全計装システムの評価作業を積極的に推進することが含まれます。また、稼働中の装置については2019年末までに安全計装システムの評価および改善作業を完了させる必要があり、旧式の装置や新規プロジェクトで安全計装システムが設置されていない、またはSIL評価が行われていない場合は、新たな「安全生産許可証」は発行されない。今後、安全計装システムに関する業務はますます増え、重要性も高まっていく。このことを踏まえ、本稿では安全計装システムの機能安全に関する知識について解説する。 IEC61508、IEC61511、ISA84などの規格では、安全計装システムの全体的なライフサイクルについて詳細に記述されており、それは構造化されたプロセスである。各段階の活動は孤立して存在するのではなく、実際には相互に一定の論理的関係と順序を持つ完全な体系である。安全計装システムSISの安全ライフサイクルは、分析段階、実装段階、運用段階の3つの段階に分かれています。 分析段階におけるリスク管理では、主な作業は危害とリスクの分析、およびリスク低減の確認です。 実装段階では、SISシステムで採用される技術や構造、テスト間隔のサイクルなどを考慮し、システムの可用性と安全性を評価して、システムの性能要件を満たす必要がある。 最後に運用段階では、起動前の安全監視を行い、エンジニアはシステムがすべての安全要件を満たしているか、すべてのSIFループがSILレベルの要件を満たしているかなどを確認しなければなりません。また、システムのメンテナンスや修正を行うたびに、詳細な文書記録が必要です。 安全計装システムのライフサイクルでは、初期段階で危険の特定が行われ、一般的にHAZOP分析やWHAT-IFなどの手法を用いてリスクの高い仮想的な事故シナリオを特定します。その後、これらリスクの高いシナリオに対して半定量的な分析がさらに行われ、ここでは通常保護層分析（LOPA）が用いられ、安全計装機能SIFが必要かどうかを判断し、同時にSIF回路のSILレベルの要件も明確にされます。次に、安全要求仕様書（SRS）において、SILレベル、テスト間隔、信頼性要求、入力出力などを含む、安全計装機能SIFの技術的要求事項を記述します。SRSが決定されたら、次の作業はSIF回路に対するSIL検証を行うことです。安全要求仕様書（SRS）の要件に基づき、SIF回路に関連する機器の故障データやアーキテクチャ上の制約を収集し、SIF回路が達成しているSILレベルを算出します。最後に運用段階で、定期的なメンテナンスやオンラインテスト、オフライン検査などを行い、システムのパフォーマンスを確保する必要があります。 二、安全計装システム（Safety Instrumented System） 安全計装システム（SIS）は、センサー、論理演算装置、および最終制御要素から構成されるシステムである。プロセス条件が逸脱した際に、装置を安全な状態に保つことを目的とする。安全計装システムの機能には、1. 製造工程の状態を監視し、製造工程内で何らかの潜在的な危険な状況が生じていないかを判断することが含まれます。2、危険な状況が発生した際には、定められた安全計装機能（SIF）を自動的に作動させ、危険事象の発生を防ぐ。言い換えれば、安全計装システムが通常の安全計装機能を実行すれば、危険な事象は発生しない。3、危険な事象がもたらす影響を軽減すること、つまり損失や影響の結果を減らすことによってリスクを低減する方法です。場合によっては、安全計装システムが安全計装機能を実現する目的は、リスクを低減すること、あるいは潜在的な危険が発生する確率を減らすことです。他の状況では、その安全計装機能を実現する目的は、既に発生した危険事象の影響を軽減することであり、また別の状況では、これら二つの要素が組み合わさっている。SIF、すなわち安全計装機能とは、安全計装システムがその安全機能を効果的に遂行できるかどうかを示すものであり、各安全計装機能は特定のリスク事故の状況に対して保護を提供する。安全計装機能においては、検討される危険事故のシナリオが異なれば、その重要な動作も異なってくる。実際のシステムにおいては、制御、機器、プロセスなど多方面にわたる深い理解が必要であり、それによって初めて安全計装機能SIFを正しく設計することができる。安全計装システムSISには、複数の安全計装機能SIFが含まれています。 1つのセンサーやアクチュエータは、複数のSIF（安全計装機能ループ）に属している可能性があります。例えば、S-1センサーが監視するパラメータが設定値を超えると、6番の最終アクチュエータが動作します。同時に、S-2センサーによっても6番の最終アクチュエータを動作させることができる。異なるSIFに対応するSILレベルは異なることがあります。これは、各SIF回路に対応する仮想事故シナリオのリスクが同じではないためです。同時に、1つのSIFループが2つの事故シナリオにおいて要求されるSILレベルも異なる場合がある。SISシステム全体をSIL-1レベルと言うことはできない。安全計装システム（SIS）と基本プロセス制御システム（BPCS）の違いについて、多くの初心者が疑問に思っている。論理構造から見れば両システムは明らかに似ているのに、なぜ区別する必要があるのだろうか？では、それらの違いについて説明しましょう。 1、両者の実行する機能は異なり、基本プロセス制御システムとは通常の生産プロセスを制御するシステムであり、統計によると工業分野における制御システムの95％以上が基本プロセス制御システムである。これにより、BPCSは生産プロセスの正常な運用要件を満たすために、基本的な生産制御機能を実行していることがわかる。SISは生産プロセスの状態を監視し、危険な状況を判断して事故の発生を防ぎます。 2、両者は異なる動作状態を持っており、SISは受動的でスリープ状態にあるのに対し、BPCSは能動的で動的であり、生産ニーズを満たすために使用されるため、動的に稼働し、生産プロセスが継続的かつ安定して進行するようにする必要がある。 3、故障に関しては、2つのシステムで異なる現れ方をする。BPCSの故障のほとんどは明らかなもので、例えば製造工程において特定のスイッチ状態に達しない場合、必ず通常の生産に影響を及ぼし、その結果故障が現れることになります。SISシステムはほとんどの時間がスリープ状態にあるため、故障が発生したか隠れた問題が存在するかを把握することは非常に難しい。そのため、SISシステムには自己診断テストシステムが必要であり、定期的なオフラインテストおよびオンラインテストも求められます。 IEC61508におけるSILの定義は、一定の時間、一定の条件下で、安全関連システムが規定された安全機能を実行する可能性である。安全完全性レベルを選定する目的は、リスクが発生する確率を低減し、リスクを受容可能な水準まで下げることです。IEC61508規格における「高要求動作モード」と「低要求動作モード」で定義されるSILレベルには差異がある。 低要求運用モードとは、安全計装システムに対して求められる運用頻度が年1回以下、または機能テストの頻度の2倍以下であることを指します。 SIL安全完全性レベルとは、簡単に言えば、安全信頼性を測定する指標です。各SILレベルは、リスクがどれだけ低減されるかを示しています。例えば、SIL-1の安全機能装置は事故の発生頻度を1オーダー低下させ、SIL-2はリスクの発生頻度を2オーダー低下させます。 英国の健康安全局HSEは、制御システムや安全システムの故障が直接原因となった34件の事故について調査を行った結果、44％の事故が不適切な安全基準に起因していることがわかった。第2の高頻度な事故原因は、調整後の変更で、21％を占めている。したがって、安全要件規格が正しいかどうかを確認することの重要性は明らかであり、言い換えれば、システムは設計上持つべき機能を果たしているかもしれないが、それらの機能自体が正しいとは限らないのである。 前述の制御システムの故障が直接的な原因となる事故のうち、44％は不適切な安全要求規格に起因している。では、SIFの安全要求規格はどのように策定されるのか？IEC61511規格における定義：安全計装機能（SIF）のすべての要求事項を含む規格。その目的は、詳細なプロセス安全情報に必要とされる要件を定めることです。安全要件規格の作成に先立ち、以下の資料を収集する必要があります。1、コンセプトのプロセス安全設計。2、危険分析とリスク評価、3、非安全計装システムの保護層の適用。4、必須の安全計装機能に対して安全完全性レベルを定める。これらの内容は有効で、完璧でなければなりません。これらのプロセスが存在しないか不完全である場合、システムの規格を策定するのにどれだけ時間を費やしても、最終的に得られるのは不正確な安全要件規格となる。 安全要求規格において、SIF回路がSIL-2の安全完全性レベルを達成することが求められている場合、システムアーキテクチャはどのように設計すべきでしょうか？ SIL-2のセンサー、ロジックコントローラー、最終アクチュエータを用いて1oo1構成とすることで、SIF回路のSIL-2レベルを実現できるでしょうか？ 答えは、必ずしもSIL-2を達成できるとは限らない。なぜなら、安全計装系統全体の平均的な危険故障確率PFDは、センサー、ロジックコントローラ、最終的なアクチュエータといった各要素の平均的な危険故障確率の合計にほぼ等しいからである。 そうすると、SIL-2のSIF回路を実現するためにSIL-3の機器を使用することも考えられますが、その場合コストはかなり高くなる可能性があります。 ですから、私たちは冗長構造を実現することをより重視しています。例えば1oo2、2oo3などです。 ここには1oo2、2oo2、2oo3の冗長構造が見られます。最初の1oo2構造では、装置のうち1つでも正常であれば、システムは危険な故障を起こすことはなく、危険な故障の確率を大幅に低減することができます。しかし、安全機能が故障する確率は高まっている。なぜなら、1台でも装置が安全機能を失えば、システムが誤って停止してしまうからだ。 2002の冗長構造を選択する場合、2台の装置が同時にプロセスパラメータの偏差を検出したと判断して初めて、安全計装機能回路が動作します。これにより、安全上の故障（可用性）の確率が明らかに低下し、つまり誤停止の影響が軽減されます。2002の冗長構造は、システムの安全性を明らかに低下させ、危険な故障の確率を高めている。 1oo2や2oo2の構造は、安全性の要件を満たせないか、信頼性の要件を満たせないかのどちらかなので、多くの場合、2oo3という冗長構造が選ばれます。この冗長構造は、安全上の故障と危険な故障の両方を考慮しており、比較的妥協的な冗長構造案です。 詳細は動画をご覧ください………… – 杭州豪鵬科技有限公司 プロダクトマネージャー 李強