건조 정보|안전 계장 기능 SIF 구현 및 검증 프로세스

Thread Content

SIF yunrun.com.cn/news/1713.html 작가：Jiang Ronghuai, Siemens (China) Co., Ltd. 이 기사에서는 국제 안전 표준 IEC61508, IEC61511 및 ANAI/ISA-84.00.01(IEC61511 Mod)을 결합하여 공정 산업 안전 수명 주기에서 안전 계장 시스템(SIS)을 통해 안전 계장 기능(SIF)을 구현하는 설계 방법, 기능 안전 장비의 평가 및 선택, SIL 구현 및 안전 기능 검증을 소개합니다. 분석 단계는 IEC61511 안전 수명주기에서 중요한 단계입니다. 안전 요구 사항 사양의 SIF(Safety Instrumented Function) 요구 사항에 따라 SLS(Safety Instrumented System)의 합리적인 설계, 적절한 기능 안전 장비의 선택, 진단 및 테스트 기술을 기반으로 한 안전 계측 기능의 검증 및 확인이 분석 단계에서 중요한 연결 고리입니다.이 글에서는 주로 안전 표준 및 규제 요구 사항을 기반으로 하는 안전 계측기 기능의 구현 및 검증 프로세스를 소개합니다. 1. 안전 계장 기능(SIF) 구현 프로세스 안전 계장 시스템(SIS)의 안전 계장 기능(SIF) 설계는 안전 계장 요구 사항 사양(SRS)에 따라 완료되어야 합니다.IEC61511의 안전 수명주기에 대한 중요한 문서인 SRS에는 주로 다음 내용을 포함하여 모든 안전 계측 기능(SIF)의 설계에 대한 완전한 요구 사항 세부 정보가 포함되어 있습니다.： ①위험과 그 결과； ②위험한 사건의 확률； ③해당 PID； ④프로세스 측정 매개변수 및 트립 포인트； ⑤1차 및 2차 장비에 대한 대응 요구사항； ⑥논리, 알고리즘 기능 및 허용 가능성을 포함한 프로세스 측정과 출력 간의 관계 - 시작, 정상, 비정상, 비상 정지 등과 같은 모든 작동 모드에 정의됩니다.； ⑦필요한 안전 무결성 수준； ⑧타겟 테스트 주기； ⑨최대 주차 금지 요금 허용； ⑩SIF의 최대 응답 시간 요구 사항；SIF를 수동으로 시작하기 위한 요구 사항； ⑪SIF 재설정 요구 사항(잠금 또는 자동 재설정)； ⑫결함 진단을 위한 SIF 응답(자동 종료, 경보만 또는 기타)； ⑬열 엔진 인터페이스 요구 사항 - 가변 디스플레이 및 입력； ⑭우회 유지 관리 기능 요구 사항； ⑮트립 후 평균 회복, 예상 운전 시간； ⑯정상 작동 및 비상 상황에 대한 환경 조건. 위의 내부 실린더 외에도 다양한 산업 분야의 다양한 응용 분야 및 요구 사항에 따라 해당 내용을 추가해야 합니다. SRS에서 SIF 설계 목표를 확인한 후 장비 선택, 이중화 요구 사항 확인, SIF 테스트 기술 및 SIF 확인 계산을 수행해야 합니다.SIF의 간략한 설계 프로세스는 그림 1에 나와 있습니다. http://yunrun.com.cn/upload/201801/10/201801102357046978.png 그림 1 SIF의 간략한 설계 프로세스 설계 단계에서는 설계가 필수 SIL 수준을 충족하는지 확인하기 위해 통계 계산이 사용됩니다.검증 계산은 IEC61508 또는 ANSI/ISA 84.00.01의 규정을 준수합니다. 일반적으로 사용되는 계산 방법에는 단층나무, 마르코프 모델 등이 있습니다. 2. 안전 계기 기능 장비의 선택 안전 계기 기능에 사용되는 장비의 성능은 안전 기능 요구 사항을 완전히 충족해야 합니다. 공정에 적합한 재료를 선택하고 환경 조건을 충족하는 것 외에도 기기의 기능적 안전성을 평가하는 것도 필요합니다.모든 설계 조정 및 변경 사항은 프로젝트 기록의 일부로 문서화되어야 합니다. ANSI/ISA-84.00.01에서는 SIS에 사용되는 장비가 IEC61508에 따라 필요한 SIL 레벨 인증을 획득하거나 사전 사용 원칙(ANSI/ISA-84.00.01 Partl, 섹션 11.5.3)에 따라 합리적으로 사용해야 한다고 요구합니다. 사전 사용(Prior use)은 규격에 구체적으로 정의되어 있지 않습니다. 일반적으로 특정 기기의 특정 버전은 사용자 회사의 다년간 사용 문서에 성공적인 적용(위험한 실패 없음) 기록이 있는 것으로 간주되며, 해당 기기는 안전 인증 없이 안전 기기 기능에 사용될 수도 있습니다. 사전 사용에는 사용자가 현장에서 사용하는 동안 모든 현장 오류 및 오류 모드에 대한 완전한 기록이 필요하며 기록에는 장비의 하드웨어 및 소프트웨어 버전이 포함되어야 합니다.디자인의 버전 변경으로 인해 이전 사용 데이터가 무효화될 수 있습니다. 많은 사용자는 장비 제조업체가 사전 사용(사전 사용) 지원을 제공하도록 요구합니다. 제조업체는 종종 제3자 회사나 기관에 다양한 수준의 사전 사용(최상 사용) 평가를 수행하도록 위탁합니다. 평가는 제3자 회사 또는 기관(예: TüV, FM 또는 E)에서 수행됩니다.*da) 평가를 완료하기 위해 전문가, 일반적으로 제조업체는 두 개 이상의 평가 회사가 평가를 완료하기 위해 협력하도록 요구합니다. 3. 제품 기능 안전성 평가 방법 ① FMEDA 평가 기기의 FMEDA 평가란 FMEDA(Failure Modes Effects and Diagnostic)를 적용하여 기기의 하드웨어 분석을 실시하여 기기의 고장률과 고장 모드를 확인하는 것을 말합니다.FMEDA는 기존 FMEA의 확장입니다. 안전 엔지니어는 FMEDA 기술을 사용하여 얻은 데이터를 분석하여 통계 계산 및 SIF(안전 계측 기능) 검증 계산을 수행할 수 있습니다. FMEDA 분석에는 기기의 수명주기와 효과적인 검증 테스트 방법이 포함됩니다. 검증 테스트 범위는 실제 PFH/PFD/PFDavg 계산에 사용됩니다.FMEDA 분석은 제품 선택을 위한 충분 조건이 아니라는 점에 유의해야 합니다. ②사전 사용(Prior Use) 평가 사전 사용(Pre Use) 평가의 원래 목적은 실제 현장 적용 시 고장 데이터를 획득하여 제품 설계에 결함이 있는지 확인하는 것입니다.일부 제조업체는 일반적으로 사용자가 특정 장치의 사전 사용에 대한 데이터 및 정보를 제공하도록 돕고 일부 제조업체는 제3자 평가 회사 또는 기관에서 제공하는 특정 장치의 현장 고장 기록 평가를 제공할 수도 있지만 사전 사용에 대한 평가는 최종 사용자의 책임입니다. 고장 데이터에는 하드웨어 고장과 소프트웨어 고장이 포함되어야 하며, 평가에는 고장 데이터 수집 프로세스 및 제품 버전 수정 프로세스가 포함되어야 합니다. 제조업체는 데이터 품질을 보장하기 위해 충분히 상세한 데이터 수집 프로세스를 제공해야 합니다.데이터 획득 방식, 보고의 완전성 및 분석의 합리성을 비판적으로 면밀히 조사해야 합니다. 현장 고장기록 데이터로부터 계산된 고장률은 FMEDA 분석을 통해 얻은 데이터와 비교되어야 한다는 점에 유의해야 한다. FMEDA 데이터보다 충분히 낮으면 제품 설계에 큰 결함이 없음을 증명합니다.또한 데이터 무결성을 고려하여 현장 고장 기록의 고장률을 SIL 검증 계산에 사용할 수 없습니다. ③IEC61508에 따른 완전한 평가 완전한 IEC61508 평가에는 FMEDA, Prior Usc, 제품 하드웨어 및 소프트웨어 개발의 결함 방지 및 결함 제어 수단은 물론 제품 테스트, 수정, 사용자 문서 및 제조 프로세스의 세부 분석이 포함됩니다. 이전 사용 시 오류 데이터 기록은 모든 오류 데이터, 특히 소프트웨어 오류와 같은 시스템 오류(시스템 오류)를 반영하지 못하는 경우가 많습니다.일부 소프트웨어 오류는 소프트웨어 "리셋" 또는 전원 공급 장치 전환을 통해 해결될 수 있으며 "교체"가 필요하지 않습니다. 따라서 사용자가 제조업체에 제공하는 수리 및 교체 보고서에는 소프트웨어 결함이 완전히 반영될 수 없습니다. 완전한 IEC61508 평가는 시스템 오류 데이터의 신뢰성을 보장합니다.IEC61508은 시스템 오류(System error)를 줄이기 위해 오류 방지 및 오류 제어를 위한 다양한 하드웨어 및 소프트웨어 기술을 정의합니다. 특히 제품의 IEC65108 인증에는 SIL2, SIL3 등 해당 제품의 적용 가능한 안전 수준이 명시됩니다. 표 1은 다양한 평가 기법에 사용되는 평가 원칙을 간략하게 요약한 것입니다. http://yunrun.com.cn/upload/201801/11/201801110015260026.png *평가 기관에 따라 모든 제3자 기관이 이를 제공하는 것은 아닙니다. 4. 적절한 장비 선택 외에도 이중 구조 설계는 하위 시스템 이중 설계를 통해 필요한 최고 수준의 안전을 충족할 수도 있습니다.표 2는 ANSI/ISA-84.00.01에서 제공하는 현장 장비의 최소 하드웨어 오류 마진(HFT)과 SIF 수준 간의 대응 관계입니다. http://yunrun.com.cn/upload/201801/11/201801110020418111.png 표 2는 하드웨어 오류 허용 범위를 늘리면 더 높은 SIL 수준을 얻을 수 있음을 명확하게 보여줍니다. 예를 들어 SIL2 레벨이 필요한 SIF의 입력 하위 시스템의 경우 설계에 두 개의 송신기가 필요합니다.；SIL3의 입력 하위 시스템에는 3개의 송신기가 필요합니다. 제품 선택이 사전 사용 기준에 기초하고 다음 제한 사항을 충족하는 경우.그런 다음 동일한 HFT에서 그에 따라 SIL 수준을 1씩 늘릴 수 있습니다.： ①장치는 프로세스 관련 매개변수 조정(예: 측정 테스트 범위, 상한 또는 하한 실패 방향)만 허용합니다.； ②프로세스 관련 매개변수 조정에는 보호 수단(예: 비밀번호 등)이 있습니다.； ③SIF의 SIL 수준 요구 사항은 4 미만입니다. 위 내용은 특정 제한 사항에 따라 사전 사용 송신기도 SIL 2 요구 사항을 충족하거나 SIL 2 인증을 획득한 송신기를 사용할 수 있음을 보여줍니다. 로직 프로세서(Logic Solver) 서브시스템의 경우 일반적으로 IEC51508 인증 제품을 사용해야 하며, 인증된 SIL 레벨은 SIF에서 요구하는 SIL 레벨 이상이어야 합니다.표 3은 IEC61508에서 제공하는 클래스 B 관련 논리 프로세서의 SIL 수준과 하드웨어 오류 마진(HFT) 간의 관계 요구 사항을 보여줍니다. http://yunrun.com.cn/upload/201801/11/201801110026400460.png 표 3에서 SFF 값이 충분히 높으면 HFT를 높이지 않고도 더 높은 안전 수준을 얻을 수 있다는 결론을 내릴 수 있습니다. 예를 들어 SFF>99%인 경우 HFT=0(단일 채널 구조)도 SIL 레벨 3에 도달할 수 있습니다. 5. SIF 테스트 기술 및 방법 IEC61508은 SIF 기능을 수행하는 장비에 대해 3가지 작동 모드를 정의합니다(표 4).：연속 수요 운전 모드(Continuous Demand), 고수요 운전 모드(High Demand), 저수요 운전 모드(Low Demand)는 세 가지 운전 모드를 갖는 장비에 대한 시험 기술과 서로 다른 관계를 갖는다. ①지속적 수요 운전 모드(Continuous Demand)：DI≤ATI, DI≤PTI이므로 수동 검증 테스트나 자동 진단 테스트 기술은 단일 채널 시스템(loo1)에 영향을 미치지 않으며 테스트 기술은 이중화 시스템에만 관련됩니다. ②수요가 많은 작동 모드(High Demand)：DI>ATI, DI≤PTI이므로 자동 진단 테스트 기술은 단일 채널 시스템(1ool)에도 영향을 미치는 반면 수동 검증 테스트는 영향을 미치지 않습니다. ③저수요 모드(낮은 수요)：DI>ATI, DI>PTI이므로 수동 검증 테스트와 자동 진단 테스트 기술은 단일 채널 시스템(1ool)이라도 시스템에 영향을 미칩니다. 프로세스 산업 분야의 경우 SIF는 대부분 저수요 운전 모드(Low Demand)입니다.이는 독립적인 보호층이 적절하게 설계된 경우 특히 그렇습니다. 6. Safety Instrumented Function(SIF) 검증 표 5는 IEC61508에 규정된 저수요 동작 모드(Low Demand)에서 SIL 레벨과 요구되는 평균 고장 확률 PFDavg 사이의 관계입니다. http://yunrun.com.cn/upload/201801/11/201801110040425427.png 저수요 작동 모드에 대한 SIF 검증에는 다음이 포함되어야 합니다.：검증 테스트 절차 정의；검증 진단 범위를 추정하여 검증 테스트 프로그램의 효율성을 결정합니다.특히 SIF의 최종 설계가 SRS의 설계 요구 사항을 충족하는지 확인하려면 IEC61508 또는 ANSI/ISA 84.00.01의 요구 사항에 따라 SIF 설계에 대해 SIL 수준 검증 계산을 수행해야 합니다.계산 방법으로는 Fault Trees 분석, Markov Models 등이 있으며 검증 보고서는 파일 형식으로 발행됩니다. 다음은 SIL2 및 SIL3 루프 시스템의 일반적인 설계 및 검증 계산 결과를 예시와 함께 간략하게 소개합니다. 실시예 1：일반적인 SIL2 루프의 구조는 그림 2에 나와 있습니다. http://yunrun.com.cn/upload/201801/11/201801110110451177.png SIL2 루프 구성 및 검증 계산 결과는 표 6에 나와 있습니다. http://yunrun.com.cn/upload/201801/11/201801110130406676.png 설명하다：위의 예에서 센서 하위 장치는 1개의 TüV 인증 SIL2 안전 트랜스미터를 사용합니다. 이전 사용 송신기 1개, 송신기 2개(1oo2) 또는 송신기 3개(2oo3)를 선택할 수도 있습니다.；최종 구성요소 서브유닛은 PST 기능이 있는 DVC 차단 밸브 또는 솔레노이드 밸브(1oo2)가 장착된 2개의 차단 밸브를 사용합니다.；그러나 최종 검증 계산 결과는 SIL2 수준을 충족합니다. 실시예 2：일반적인 SIL3 루프 구조는 그림 3에 나와 있습니다. http://yunrun.com.cn/upload/201801/11/201801110105193150.png SIL3 루프 구성 및 검증 계산 결과는 표 7에 나와 있습니다. http://yunrun.com.cn/upload/201801/11/201801110126380590.png 설명하다：위의 예에서 센서 하위 장치는 TüV 인증 SIL2 안전 트랜스미터 2개를 사용하고, 최종 구성 요소 하위 장치는 PST 기능이 있는 DVC 차단 밸브 2개를 사용합니다. 센서 하위 장치에서 이전 사용 송신기 2개 또는 송신기 3개(2oo3)를 선택할 수도 있습니다.그러나 최종 검증 계산 결과는 SIL3 수준을 충족합니다. 안전 계장 시스템과 안전 계장 기능의 선택과 설계는 공정 산업 안전 수명 주기에서 중요한 부분입니다.효과적으로 위험을 줄이고 사람, 재산, 환경의 안전을 보장하기 위해서는 분석 단계부터 구현 및 운영 단계까지 안전 수명주기의 모든 단계가 중요합니다.최종 사용자, 엔지니어링 회사 및 설계 기관은 관련 국제 표준 및 사양 설계 요구 사항을 참조하고 안전 계측 시스템을 사용함으로써 위험을 효과적으로 줄이고 개인 안전, 재산 안전 및 환경 안전을 보장할 수 있습니다.