Conteúdo útil | Processo de implementação e verificação da função de instrumentação de segurança SIF

Thread Content

SIF yunrun.com.cn/news/1713.html Autor: Jiang Ronghuai, Siemens (China) Co., Ltd. Este artigo descreve, com base nas normas internacionais de segurança IEC61508, IEC61511 e ANAI/ISA-84.00.01 (IEC61511 Mod), os métodos de projeto para a implementação de funções de segurança por meio de sistemas de instrumentação de segurança (SIS) no ciclo de vida da segurança na indústria de processos. Também são abordados a avaliação e seleção de dispositivos de segurança funcional, a implementação do SIL e a verificação das funções de segurança. A fase de análise é uma etapa importante no ciclo de vida de segurança da IEC61511. De acordo com os requisitos relacionados às funções de instrumentação de segurança (SIF) estabelecidos nas normas de segurança, é essencial projetar adequadamente o sistema de instrumentação de segurança (SlS), selecionar os equipamentos de segurança adequados e, por meio de técnicas de diagnóstico e teste, verificar e confirmar as funções de instrumentação de segurança. Tudo isso faz parte das atividades cruciais na fase de análise. Este artigo, com base nos requisitos de padrões e normas de segurança, apresentará principalmente o processo de implementação e verificação das funções dos instrumentos de segurança. 1. Processo de implementação da função de instrumentação de segurança (SlF) O projeto da função de instrumentação de segurança (SlF) do sistema de instrumentação de segurança (SIS) deve ser realizado de acordo com as especificações de requisitos de instrumentação de segurança (SRS). Como documento importante relacionado ao ciclo de vida da segurança, conforme estabelecido na IEC61511, o SRS contém uma lista completa de todos os requisitos para o projeto das funções de instrumentação de segurança (SIF). Ele inclui, principalmente, o seguinte: ① Perigos e suas consequências ； ②Probabilidade de eventos perigosos ； ③PID correspondente ； ④Parâmetros de medição do processo e pontos de disparo ； ⑤Requisitos de resposta dos dispositivos principais e auxiliares ； ⑥A relação entre a medição do processo e a saída, incluindo lógica, funcionalidades algorítmicas e permissividades – definidas para todos os modos de operação, como condução normal, condições normais, situações anormais, parada de emergência, etc ； ⑦Nível de integridade de segurança necessário ； ⑧Período de teste do objetivo ； ⑨Taxa máxima permitida de estacionamento ； ⑩Requisito de tempo máximo de resposta do SIF ； Requisitos para iniciar o SIF manualmente ； ⑪Requisitos de reinitialização do SIF (reinitialização manual ou automática) ； ⑫Resposta do SIF para diagnóstico de falhas (parada automática, apenas alerta ou outro) ； ⑬Requisitos da interface do motor térmico – Exibição e entrada de variáveis ； ⑭Requisitos de capacidade de manutenção em bypass ； ⑮Tempo médio de recuperação após o disparo, estimativa do tempo de funcionamento ； ⑯Condições ambientais para operação normal e situações de emergência. Além do tubo interno mencionado acima, também devem ser adicionados elementos correspondentes, de acordo com as diferentes aplicações e os requisitos específicos de cada setor. Após confirmar os objetivos de projeto do SIF no SRS, deve-se realizar a seleção dos equipamentos, a avaliação das necessidades de redundância, o estudo das técnicas de teste do SIF, bem como os cálculos de confirmação do SIF. O processo de projeto simplificado do SIF é mostrado na Figura 1. http://yunrun.com.cn/upload/201801/10/201801102357046978.png Figura 1: Processo resumido de projeto do SIF. Na fase de projeto, são realizados cálculos estatísticos para verificar se o design atende ao nível SIL exigido. Verifique se os cálculos seguem as especificações da IEC61508 ou da ANSI/ISA 84.00.01. Os métodos de cálculo mais comuns incluem árvores de falhas, modelos de Markov, entre outros. 2. Escolha dos equipamentos para funções de instrumentação de segurança. Os equipamentos utilizados para funções de instrumentação de segurança devem ter desempenho que atenda plenamente aos requisitos de segurança. Além de ser necessário escolher materiais adequados ao processo em questão e que se adaptem às condições ambientais, também é preciso avaliar a segurança funcional desses equipamentos. Todos os ajustes e alterações de design devem ser registrados por escrito, como parte dos documentos do projeto. A ANSI/ISA-84.00.01 exige que os dispositivos utilizados em SIS sejam certificados com o nível SIL necessário, de acordo com as normas IEC61508, ou que sejam utilizados de maneira adequada com base no princípio do uso prévio (ANSI/ISA-84.00.01, Parte 1, Seção 11.5.3). O uso anterior não é definido em detalhes nas normas. Geralmente, considera-se que uma determinada versão de um instrumento possui um histórico de uso bem-sucedido (sem falhas perigosas) nos registros da empresa do usuário ao longo de vários anos; nesse caso, esse instrumento também pode ser utilizado para funções de instrumentação de segurança, sem a necessidade de certificação de segurança. O Uso Prévio (Prior Use) exige que, no uso em campo pelo usuário, todos os falhas e modos de falha ocorridos sejam devidamente registrados. Os registros devem incluir as versões de hardware e software do instrumento. As alterações na versão do design podem tornar inválidos os dados de uso anterior (Prior use). Muitos usuários solicitam que os fabricantes de instrumentos forneçam assistência em relação ao uso prévio. Geralmente, os fabricantes encarregam empresas ou instituições terceirizadas de realizar avaliações do nível de uso prévio. Essas avaliações são feitas por especialistas dessas empresas ou instituições terceirizadas (como TüV, FM ou E*da). Normalmente, os fabricantes pedem que duas ou mais empresas de avaliação trabalhem juntas para realizar a avaliação. 3. Métodos de avaliação da segurança funcional dos produtos ① Avaliação FMEDA A avaliação FMEDA de um instrumento consiste na aplicação do método FMEDA (Failure Modes, Effects, and Diagnostics) para realizar uma análise do hardware do instrumento, com o objetivo de identificar suas falhas e modos de falha. O FMEDA é uma extensão do FMEA tradicional; os engenheiros de segurança podem utilizar os dados obtidos por meio da análise FMEDA para realizar cálculos estatísticos e verificações das funções dos instrumentos de segurança (SIF). Na análise FMEDA, são incluídos o ciclo de vida útil dos instrumentos e os métodos eficazes de teste de validação (Proof test). A taxa de cobertura dos testes de validação é utilizada no cálculo real de PFH/PFD/PFDavg. Deve-se notar que a análise FMEDA não pode ser considerada uma condição suficiente para a escolha de um produto. ②Avaliação de Uso Prévio (Prior Use): O objetivo inicial da avaliação de uso prévio é verificar se o design do produto possui defeitos, por meio da coleta de dados sobre falhas que ocorrem na aplicação real do produto. Embora alguns fabricantes geralmente ajudem os usuários a obter dados e informações sobre o uso anterior de um determinado dispositivo, outros fabricantes podem fornecer avaliações dos registros de falhas do dispositivo, realizadas por empresas ou instituições de avaliação terceirizadas. No entanto, a avaliação do uso anterior deve ser de responsabilidade do usuário final. Os dados de falhas devem incluir falhas de hardware e de software. A avaliação deve abranger o processo de coleta desses dados, bem como o processo de modificação das versões do produto. O fabricante deve fornecer informações detalhadas sobre o processo de coleta de dados, a fim de garantir sua qualidade. Os métodos de obtenção dos dados, a completude dos relatórios e a racionalidade da análise devem ser rigorosamente examinados. É importante notar que a taxa de falhas, calculada a partir dos dados de registro de falhas no local, deve ser comparada com os dados obtidos por meio da análise FMEDA. Se esse valor for suficientemente baixo em relação aos dados do FMEDA, isso prova que o design do produto não possui defeitos significativos. Além disso, considerando a integridade dos dados, a taxa de falhas registrada nos relatórios de falhas em campo não pode ser utilizada nos cálculos de verificação do SIL. ③Uma avaliação completa de acordo com a IEC61508 inclui o FMEDA, o uso prévio (Prior Use), bem como medidas de prevenção e controle de falhas no desenvolvimento do hardware e software do produto. Além disso, também envolve uma análise detalhada dos testes do produto, das modificações realizadas, dos documentos do usuário e do processo de fabricação. Os registros de dados de falhas no contexto do Uso Prioritário muitas vezes não conseguem refletir todos os dados relacionados a falhas, especialmente as falhas do sistema (System errors), como por exemplo, falhas de software. Algumas falhas de software podem ser resolvidas por meio da “reinicialização” do software ou da troca da fonte de alimentação, sem a necessidade de “substituição” do mesmo. Por isso, as falhas de software não podem ser totalmente refletidas nos relatórios de reparo e substituição enviados pelos usuários ao fabricante. A avaliação completa conforme a IEC61508 garante a confiabilidade dos dados relacionados a erros do sistema. A IEC61508 define diversas técnicas de hardware e software para evitar e controlar falhas no sistema, com o objetivo de reduzir os erros do sistema. Especialmente na certificação IEC65108 dos produtos, é especificado claramente o nível de segurança aplicável ao produto, como SIL2 ou SIL3. A Tabela 1 resume de forma resumida os princípios de avaliação adotados pelas diferentes técnicas de avaliação. http://yunrun.com.cn/upload/201801/11/201801110015260026.png *Depende da instituição de avaliação; nem todas as empresas terceirizadas oferecem esse serviço. 4. Projeto de estrutura redundante Além da seleção adequada dos equipamentos, é possível atingir o nível de segurança desejado por meio do projeto redundante dos subsistemas. A Tabela 2 apresenta a relação entre a margem mínima de falha de hardware (HFT) dos dispositivos de campo e os níveis SIF, conforme especificado pela ANSI/ISA-84.00.01. http://yunrun.com.cn/upload/201801/11/201801110020418111.png A Tabela 2 mostra claramente que é possível obter um nível SIL mais alto aumentando a margem de segurança contra falhas de hardware. Por exemplo, para os subsistemas de entrada que exigem um nível SIL2, o projeto deve prever o uso de dois transmissores ； Para o subsistema de entrada SIL3, é necessário utilizar 3 transmissores. Se a seleção do produto for baseada no critério de Uso Previo (Prior Use), e cumprir as seguintes condições restritivas. Então, sob as mesmas condições de HFT, é possível elevar um nível SIL: ① O equipamento permite apenas ajustes de parâmetros relacionados ao processo (por exemplo, faixa de medição, limites superior ou inferior) ； ②O ajuste dos parâmetros relacionados ao processo dispõe de meios de proteção (como senhas, etc.) ； ③O requisito de nível SIL da SIF é menor que 4. De acordo com as condições estabelecidas, um transmissor com uso anterior também pode atender aos requisitos do SIL 2; além disso, é possível utilizar um transmissor que tenha sido certificado para o nível SIL 2. Para o subsistema de processador lógico (Logic Solver), geralmente devem ser utilizados produtos certificados segundo a norma IEC51508. O nível SIL do produto certificado deve ser igual ou superior ao nível SIL exigido no SIF. A Tabela 3 apresenta os requisitos estabelecidos pela IEC61508 em relação à relação entre o nível SIL dos processadores lógicos da categoria B e a margem de falha do hardware (HFT). http://yunrun.com.cn/upload/201801/11/201801110026400460.png A partir da Tabela 3, pode-se concluir que, se o valor de SFF for suficientemente alto, é possível alcançar um nível de segurança elevado sem a necessidade de aumentar o valor de HFT. Por exemplo, quando SFF > 99%, mesmo com HFT = 0 (estrutura de único canal), ainda é possível atingir o nível SIL 3. 5. Técnicas e métodos de teste para SIF: A norma IEC61508 define 3 modos de operação para os dispositivos que executam funções SIF (Tabela 4): modo de operação com demanda contínua (Continuous Demand), modo de operação com alta demanda (High Demand) e modo de operação com baixa demanda (Low Demand). Para cada um desses três modos de operação, a relação com as técnicas de teste é diferente. ①Modo de demanda contínua (Continuous Demand): Como DI ≤ ATI e DI ≤ PTI, tanto os testes de verificação manual quanto as técnicas de diagnóstico automático não afetam o sistema de canal único (loo1). Essas técnicas de teste estão relacionadas apenas aos sistemas redundantes. ②Modo de operação de alta demanda (High Demand): Como DI > ATI e DI ≤ PTI, a tecnologia de teste de diagnóstico automático afeta até mesmo os sistemas de canal único (1ool), enquanto o teste de verificação manual não tem nenhum impacto. ③Modo de baixa demanda (Low Demand): Como DI > ATI e DI > PTI, tanto os testes de verificação manual quanto as técnicas de diagnóstico automático afetam o sistema, mesmo em sistemas de único canal (1ool). No setor da indústria de processos, na maioria dos casos, o SIF corresponde a um modo de operação de baixa demanda (Low Demand). Isso é especialmente verdadeiro quando a camada de proteção independente é projetada corretamente. 6. Verificação da função de instrumentação de segurança (SIF): A Tabela 5 mostra a relação entre o nível SIL e a probabilidade média de falha PFDavg, no modo de operação de baixa demanda estabelecido pela IEC61508. http://yunrun.com.cn/upload/201801/11/201801110040425427.png A verificação SIF para o modo de operação de baixa demanda deve incluir: a definição dos procedimentos de teste de verificação ； Avaliar a cobertura de diagnóstico por meio de previsões permite determinar a eficácia dos procedimentos de teste de validação. Especificamente, deve-se realizar cálculos de verificação do nível SIL para o projeto do SIF, de acordo com os requisitos da IEC61508 ou ANSI/ISA 84.00.01, a fim de confirmar se o projeto final do SIF atende aos requisitos de projeto estabelecidos no SRS. Os métodos de cálculo incluem análise de árvores de falhas (Fault Trees), modelos de Markov (Markov Models), entre outros, e um relatório de verificação é emitido em formato de arquivo. A seguir, são apresentados, de forma resumida por meio de exemplos, os resultados típicos dos cálculos de projeto e verificação dos sistemas de circuito SIL2 e SIL3. Exemplo 1: A estrutura de um circuito típico SIL2 é mostrada na Figura 2. http://yunrun.com.cn/upload/201801/11/201801110110451177.png Os resultados da configuração do circuito SIL2 e dos cálculos de verificação estão apresentados na Tabela 6. http://yunrun.com.cn/upload/201801/11/201801110130406676.png Explicação: No exemplo acima, foi utilizado um transmissor de segurança certificado pela TüV, com nível SIL2, como unidade sensora. Também é possível usar um transmissor do tipo Prior Use, ou então 2 transmissores (configuração 1oo2), ou ainda 3 transmissores (configuração 2oo3) ； Para a unidade subcomponente final, foi escolhida uma válvula de corte DVC com função PST. Também é possível utilizar 2 válvulas de corte equipadas com válvulas eletromagnéticas (1oo2) ； Mas, no final, foi verificado que os resultados dos cálculos estão em conformidade com o nível SIL2. Exemplo 2: A configuração típica de um circuito SIL3 é mostrada na Figura 3. http://yunrun.com.cn/upload/201801/11/201801110105193150.png Os resultados da configuração do circuito SIL3 e dos cálculos de verificação estão apresentados na Tabela 7. http://yunrun.com.cn/upload/201801/11/201801110126380590.png Explicação: No exemplo acima, para a unidade de sensores foram utilizados 2 transmissores seguros com certificação TüV SIL2. Para a unidade de componentes finais, foram utilizadas 2 válvulas de corte DVC com função PST. Também é possível utilizar 2 transmissores do tipo Prior Use na unidade de sensores, ou 3 transmissores no total (2oo3). Mas, no final, foi verificado que os resultados dos cálculos estão em conformidade com o nível SIL3. A seleção e o design dos sistemas de instrumentação de segurança e das funções de instrumentação de segurança são componentes importantes no ciclo de vida da segurança na indústria de processos. Para reduzir efetivamente os riscos e garantir a segurança das pessoas, dos bens e do meio ambiente, cada fase do ciclo de vida da segurança é fundamental, seja na fase de análise, seja nas fases de implementação e operação. Os usuários finais, as empresas de engenharia e os escritórios de projetos só poderão reduzir efetivamente os riscos e garantir a segurança das pessoas, dos bens e do meio ambiente se utilizarem sistemas de instrumentação de segurança de acordo com as normas e padrões internacionais aplicáveis.