Introdução à segurança funcional dos sistemas de instrumentação de segurança (SIS)

Thread Content

Este tópico foi editado pela última vez por live859 em 08/11/2019, às 09:19. Introdução à segurança dos sistemas de instrumentação de segurança – I. Introdução: O documento “Anjian Zongguan San 116”, emitido pela Administração Geral de Supervisão de Segurança, estabelece requisitos específicos para a avaliação dos sistemas de instrumentação de segurança (SIS). Esses requisitos incluem o aprimoramento da gestão do ciclo de vida desses sistemas, a padronização mais rápida da gestão desses sistemas em novos projetos, desde a fase inicial, além da promoção ativa da avaliação dos sistemas de instrumentação de segurança já em uso. Além disso: os equipamentos em uso devem ter sua avaliação e aprimoramento do sistema de instrumentação de segurança concluídos até o final de 2019. Os equipamentos antigos, bem como os projetos recém-construídos, que não possuam sistema de instrumentação de segurança ou cujo nível SIL não tenha sido definido, não receberão nova licença de segurança no trabalho. No futuro, haverá cada vez mais trabalhos relacionados aos sistemas de instrumentação de segurança, e eles se tornarão cada vez mais importantes. Com base nisso, este artigo apresentará informações sobre a segurança funcional dos sistemas de instrumentação de segurança. Padrões como IEC61508, IEC61511 e ISA84 descrevem em detalhes o ciclo de vida completo dos sistemas de instrumentação de segurança. Trata-se de um processo estruturado, no qual as atividades de cada fase não existem de forma isolada; na verdade, é um sistema integrado, com relações lógicas e uma sequência definidas entre suas partes. O ciclo de vida de segurança do sistema de instrumentação de segurança SIS é dividido em 3 fases: a fase de análise, a fase de implementação e a fase de operação. Na fase de análise, o gerenciamento de riscos consiste principalmente na análise dos perigos e riscos, bem como na identificação das medidas para reduzi-los. Na fase de implementação, é necessário considerar a tecnologia utilizada pelo sistema SIS, sua estrutura e os períodos de teste, além de avaliar a disponibilidade e a segurança do sistema, a fim de atender aos requisitos de desempenho dele. Por fim, na fase de operação, é necessário realizar uma verificação de segurança antes do início do funcionamento. Os engenheiros devem verificar se o sistema atende a todos os requisitos de segurança, e se todos os circuitos SIF cumprem as exigências relativas ao nível SIL. Além disso, toda manutenção e modificação no sistema exigem registros documentais detalhados. No ciclo de vida do sistema de instrumentação de segurança, na fase inicial é realizada a identificação de perigos, geralmente por meio da metodologia de análise HAZOP ou de métodos como o WHAT-IF, com o objetivo de identificar cenários de acidentes potencialmente perigosos. Em seguida, esses cenários de alto risco são analisados de forma semiquantitativa, utilizando geralmente a metodologia de análise de camadas de proteção (LOPA), a fim de determinar se é necessário contar com funções de instrumentação de segurança (SIF). Além disso, são definidos os requisitos relacionados ao nível SIL dos circuitos SIF. Em seguida, devem ser definidos, no documento de especificações de requisitos de segurança (SRS), os requisitos técnicos para as funções de instrumentação de segurança SIF, incluindo o nível SIL, o intervalo de teste, os requisitos de confiabilidade, bem como as entradas e saídas. Após determinar o nível SRS, o próximo passo é realizar a verificação SIL do circuito SIF. De acordo com as especificações de requisitos de segurança (SRS), devem ser coletados dados sobre falhas dos dispositivos relacionados ao circuito SIF, bem como as restrições arquitetônicas, a fim de calcular o nível SIL alcançado pelo circuito SIF. Por fim, há a fase de operação, que exige manutenção periódica, testes online e verificações offline para garantir o desempenho do sistema. II. Sistema Instrumentado de Segurança (Safety Instrumented System) O Sistema Instrumentado de Segurança (SIS) é um sistema composto por sensores, operadores lógicos e componentes de controle. Seu objetivo é manter o equipamento em estado seguro quando as condições de processo se desviam dos padrões estabelecidos. As funções do sistema de instrumentação de segurança incluem, 1, monitorar o estado do processo de produção, a fim de identificar se existem condições potencialmente perigosas durante esse processo. 2. Quando surgem condições perigosas, são executadas automaticamente as funções de instrumentação de segurança (SIF) previstas, a fim de evitar a ocorrência de incidentes perigosos. Em outras palavras, uma vez que o sistema de instrumentação de segurança desempenha suas funções normais, não ocorrem eventos perigosos. 3. Reduzir os impactos dos eventos perigosos, ou seja, diminuir o risco por meio da redução das perdas ou dos efeitos negativos desses eventos. Em alguns casos, o objetivo do sistema de instrumentação de segurança em desempenhar suas funções é reduzir os riscos, ou seja, diminuir a probabilidade de ocorrência de perigos potenciais. Em outras situações, o objetivo de ativar as funções de instrumentação de segurança é reduzir as consequências de eventos perigosos que já ocorreram. Em outros casos, trata-se de uma combinação das duas situações. A funcionalidade de instrumentação de segurança representa a capacidade do sistema de instrumentação de segurança de desempenhar efetivamente suas funções de segurança. Cada função de instrumentação de segurança serve para proteger contra cenários específicos de risco. Nas funções de instrumentação de segurança, os cenários de acidentes perigosos discutidos variam, e, consequentemente, as ações críticas também mudam. Em sistemas reais, é necessário um entendimento aprofundado de vários aspectos, como controle, equipamentos e processos industriais, para que seja possível projetar corretamente as funções de instrumentação de segurança SIF. O sistema de instrumentação de segurança SIS inclui várias funções de instrumentação de segurança SIF. Um sensor ou um atuador pode pertencer a vários SIF (circuitos de função de instrumentação de segurança). Por exemplo, se os parâmetros monitorados pelo sensor S-1 excederem os valores definidos, isso pode fazer com que o atuador número 6 entre em ação. Ao mesmo tempo, o sensor S-2 também pode fazer com que o componente de execução número 6 funcione. Os níveis SIL correspondentes a diferentes SIF podem variar, pois o risco dos cenários de acidentes hipotéticos associados a cada circuito SIF não é o mesmo. Ao mesmo tempo, em dois cenários de acidente, o nível SIL exigido para um circuito SIF também pode ser diferente. Não se pode dizer que todo o sistema SIS seja de nível SIL-1. As diferenças entre os sistemas de instrumentação de segurança (SIS) e os sistemas de controle de processo básico (BPCS) deixam muitos iniciantes confusos. Afinal, em termos de estrutura lógica, os dois sistemas parecem ser semelhantes. Então, por que é necessário fazermos essa distinção? Agora, vamos falar sobre as diferenças entre elas. 1. As funções desempenhadas por ambos são diferentes. O sistema de controle de processos básico é um sistema utilizado para controlar os processos de produção convencionais. Segundo estatísticas, mais de 95% dos sistemas de controle utilizados na indústria são sistemas de controle de processos básicos. Portanto, pode-se concluir que o BPCS desempenha as funções básicas de controle da produção, a fim de atender aos requisitos para uma operação normal do processo produtivo. O SIS, por sua vez, monitora o estado do processo de produção, identifica condições perigosas e previne a ocorrência de acidentes. 2. Os dois possuem estados de funcionamento diferentes: o SIS é passivo e em modo de repouso, enquanto o BPCS é ativo e dinâmico. Ele é utilizado para atender às necessidades de produção, portanto precisa operar de forma dinâmica, a fim de manter um processo de produção contínuo e estável. 3. Quanto às falhas, os dois sistemas apresentam formas diferentes de se comportar. A maioria das falhas no BPCS é evidente; por exemplo, durante o processo de produção, se não for possível atingir um determinado estado de comutação, isso certamente afetará a produção normal. Assim, as falhas se tornam visíveis. Como o sistema SIS fica em estado de suspensão na maior parte do tempo, é difícil perceber se ele está com algum problema ou se existem questões ocultas. Portanto, o sistema SIS precisa de um sistema de teste de autodiagnóstico, além de testes periódicos off-line e on-line. Na IEC61508, a definição de SIL é: a possibilidade de um sistema relacionado à segurança executar as funções de segurança estabelecidas, em determinado período de tempo e sob condições específicas. O objetivo de escolher um nível de integridade de segurança é reduzir a probabilidade de ocorrência de riscos, levando-os a um nível aceitável. Existem diferenças nos níveis SIL definidos pelos “modo de operação de alto requisito” e “modo de operação de baixo requisito” na norma IEC61508. O modo de operação de baixas exigências refere-se a um sistema de instrumentos de segurança cujas exigências de operação não excedem uma vez por ano, ou seja, não mais do que o dobro da frequência de testes de funcionalidade. Nível de integridade de segurança SIL: em termos simples, SIL é uma medida da confiabilidade da segurança. Cada nível SIL representa um fator de redução no risco. Por exemplo, um dispositivo de segurança com nível SIL-1 reduz a frequência de ocorrência de acidentes em um fator, enquanto um dispositivo com nível SIL-2 reduz essa frequência em dois fatores. O órgão britânico de saúde e segurança HSE investigou 34 acidentes causados diretamente por falhas nos sistemas de controle e segurança. Os resultados mostraram que 44% dos acidentes foram decorrentes de normas de segurança inadequadas. A segunda categoria de causas que levam a acidentes são as alterações feitas após a calibração, representando 21%. Portanto, é evidente a importância de garantir que as normas de segurança estejam corretas. Em outras palavras, o sistema pode cumprir as funções para as quais foi projetado, mas essas funções podem não ser adequadas. Dos acidentes causados diretamente por falhas no sistema de controle, mencionados anteriormente, 44% foram decorrentes de normas de segurança inadequadas. Então, como devem ser elaboradas as normas de segurança do SIF? Definição na norma IEC61511: um conjunto de especificações que abrange todos os requisitos das funções instrumentais de segurança (SIF). Seu objetivo é estabelecer os requisitos necessários para as informações detalhadas de segurança dos processos. Antes de elaborar as normas de requisitos de segurança, precisamos coletar as seguintes informações: 1. Projeto de segurança do processo conceitual. 2, Análise de riscos e avaliação de perigos, 3, Aplicação de camadas de proteção em sistemas de instrumentação não seguros. 4. Determinar o nível de integridade de segurança para as funções instrumentais de segurança que são essenciais. Estes conteúdos devem ser válidos e completos. Se esses processos não existirem ou não estiverem bem definidos, não importa quanto tempo seja gasto na elaboração das normas do sistema; no final, as normas de segurança resultantes serão incorretas. Quando as especificações de requisitos de segurança estabelecem que os circuitos SIF devem atingir o nível de integridade de segurança SIL-2, como devemos projetar a arquitetura do sistema? Se utilizarmos sensores SIL-2, controladores lógicos e componentes de execução para formar uma estrutura 1oo1, será possível alcançar o nível SIL-2 para o circuito SIF? A resposta é que não é possível alcançar necessariamente o nível SIL-2. Isso porque a probabilidade média de falha perigosa do sistema de instrumentação de segurança, PFD, é aproximadamente igual à soma das probabilidades médias de falha perigosa de cada um dos componentes, como sensores, controladores lógicos e elementos de execução finais. Portanto, pode-se considerar o uso de equipamentos SIL-3 para implementar os circuitos SIF de nível SIL-2; no entanto, o custo disso provavelmente será muito maior. Portanto, pensamos mais em estruturas redundantes para alcançar isso. Como 1oo2, 2oo3, etc. Aqui pode-se observar uma estrutura redundante de 1oo2, 2oo2 e 2oo3. Na estrutura 1oo2, desde que haja pelo menos um dispositivo funcionando normalmente, o sistema não sofrerá falhas perigosas, o que reduz significativamente a probabilidade de tais falhas. No entanto, a probabilidade de falhas de segurança aumenta, pois basta que um único dispositivo apresente falha de segurança para que o sistema pare de funcionar. Se for escolhida uma estrutura de redundância 2oo2, é necessário que dois dispositivos detectem simultaneamente qualquer desvio nos parâmetros do processo; somente assim o circuito de função de instrumentação de segurança será acionado. Isso reduz significativamente a probabilidade de falhas de segurança (disponibilidade), ou seja, diminui os efeitos de paradas indesejadas. A estrutura redundante do 2oo2 reduziu significativamente a segurança do sistema, aumentando a probabilidade de falhas perigosas. As estruturas 1oo2 e 2oo2 ou não atendem aos requisitos de segurança, ou não atendem aos requisitos de confiabilidade. Por isso, muitas vezes as pessoas optam pela estrutura redundante 2oo3. Essa estrutura redundante leva em consideração tanto as falhas relacionadas à segurança quanto as falhas perigosas, sendo assim uma solução de redundância relativamente equilibrada. Para mais detalhes, assista ao vídeo………… – Li Qiang, gerente de produtos da Hangzhou Haopeng Technology Co., Ltd