Introducción a la seguridad funcional del sistema de instrumentación de seguridad (SIS)

Thread Content

Este mensaje fue editado por última vez por live859 el 8 de noviembre de 2019, a las 09:19. Introducción a la seguridad funcional de los sistemas de instrumentación de seguridad: I. Introducción: El documento “Anjian Zongguan San 116”, emitido por la Administración General de Supervisión de Seguridad, establece requisitos específicos para la evaluación de los sistemas de instrumentación de seguridad (SIS). Estos requisitos incluyen el fortalecimiento de la gestión de dichos sistemas durante todo su ciclo de vida, la aceleración de la regulación de la implementación de estos sistemas en nuevos proyectos desde sus inicios, y la promoción activa de la evaluación de los sistemas de instrumentación de seguridad ya en uso. Además: los dispositivos en servicio deben completar la evaluación y mejora de sus sistemas de instrumentación de seguridad antes de finales de 2019. A los dispositivos antiguos y a los proyectos recién construidos que no cuenten con sistemas de instrumentación de seguridad ni tengan una clasificación SIL, no se les otorgará un nuevo «Permiso de Seguridad en la Producción». En el futuro, habrá cada vez más trabajos relacionados con los sistemas de instrumentación de seguridad, y su importancia seguirá aumentando. Por ello, en este artículo se presentarán los conocimientos sobre la seguridad funcional de dichos sistemas. Las normas IEC61508, IEC61511, ISA84, entre otras, describen en detalle el ciclo de vida completo de los sistemas de instrumentación de seguridad. Se trata de un proceso estructurado, donde las actividades en cada etapa no son aisladas entre sí; de hecho, constituyen un sistema integral, con relaciones lógicas y una secuencia definidas entre sus componentes. El ciclo de vida de seguridad del sistema de instrumentación de seguridad SIS se divide en 3 fases: la fase de análisis, la fase de implementación y la fase de operación. En la fase de análisis, la gestión de los riesgos consiste principalmente en el análisis de los peligros y riesgos, así como en la determinación de las medidas para reducirlos. En la fase de implementación, es necesario considerar la tecnología utilizada en el sistema SIS, su estructura y los períodos de prueba, además de evaluar la disponibilidad y seguridad del sistema para cumplir con sus requisitos de rendimiento. Finalmente, en la fase de operación, es necesario realizar un monitoreo de seguridad antes del inicio del funcionamiento. Los ingenieros deben asegurarse de que el sistema cumpla con todos los requisitos de seguridad, y de que todos los circuitos SIF cumplan con los requisitos establecidos para su nivel SIL. Además, se requiere un registro documental detallado para cada mantenimiento y modificación del sistema. En el ciclo de vida del sistema de instrumentación de seguridad, en la fase inicial se realiza la identificación de los peligros. Para ello, generalmente se emplea el método de análisis HAZOP, o métodos como WHAT-IF, con el fin de identificar escenarios de accidentes potencialmente riesgosos. Luego, se procede a un análisis semicuantitativo de estos escenarios de alto riesgo. En este proceso, se utiliza habitualmente el método de análisis de capas de protección (LOPA), para determinar si es necesario contar con funciones de instrumentación de seguridad (SIF). Al mismo tiempo, se establecen los requisitos relacionados con el nivel SIL de los circuitos SIF. A continuación, se establecen en las especificaciones de requisitos de seguridad (SRS) los requisitos técnicos para las funciones de instrumentación de seguridad SIF, incluyendo el nivel SIL, los intervalos de prueba, los requisitos de fiabilidad, las entradas y salidas, entre otros. Una vez determinado el nivel SRS, el siguiente paso es realizar la verificación SIL del circuito SIF. De acuerdo con los requisitos especificados en la hoja de especificaciones de requisitos de seguridad (SRS), se deben recopilar los datos sobre fallos de los dispositivos relacionados con el circuito SIF, así como las restricciones arquitectónicas, para poder calcular el nivel SIL que ha alcanzado dicho circuito. Por último, está la fase de operación, que requiere mantenimiento periódico, pruebas en línea y pruebas fuera de línea para garantizar el rendimiento del sistema. II. Sistema de instrumentación de seguridad (Safety Instrumented System). El Sistema de Instrumentación de Seguridad (SIS) es un sistema compuesto por sensores, operadores lógicos y componentes de control. Su función es mantener el equipo en un estado seguro cuando las condiciones del proceso se desvían de lo normal. Las funciones del sistema de instrumentación de seguridad incluyen, 1, monitorear el estado del proceso de producción y determinar si existen condiciones potencialmente peligrosas durante dicho proceso. 2. Cuando se presentan condiciones peligrosas, se activan automáticamente las funciones de instrumentación de seguridad (SIF) establecidas, a fin de prevenir la ocurrencia de incidentes peligrosos. En otras palabras, una vez que el sistema de instrumentación de seguridad cumple con sus funciones normales de seguridad, no se producirán eventos peligrosos. 3. Reducir los efectos de los eventos peligrosos, es decir, disminuir el riesgo mediante la reducción de las pérdidas o de las consecuencias negativas que estos pueden causar. En algunos casos, el objetivo del sistema de instrumentación de seguridad al desempeñar sus funciones es reducir los riesgos, o sea, disminuir la probabilidad de que ocurran peligros potenciales. En otros casos, el objetivo de que las funciones de instrumentación de seguridad funcionen es reducir las consecuencias de los incidentes peligrosos que ya han ocurrido. En otros casos, se trata de una combinación de ambas situaciones. Las funciones de instrumentación de seguridad son la manifestación de si un sistema de instrumentación de seguridad puede cumplir eficazmente con sus funciones de seguridad; cada una de estas funciones está diseñada para proteger contra escenarios específicos de riesgo. En las funciones de instrumentación de seguridad, según los escenarios de accidentes peligrosos que se analicen, las acciones clave también serán diferentes. En los sistemas reales, es necesario contar con un conocimiento profundo de varios aspectos como el control, los equipos y los procesos industriales, para poder diseñar correctamente las funciones de instrumentación de seguridad SIF. El sistema de instrumentación de seguridad SIS incluye varias funciones de instrumentación de seguridad SIF. Un sensor o un actuador puede pertenecer a múltiples SIF (circuitos de funciones de instrumentación de seguridad). Por ejemplo, si los parámetros monitoreados por el sensor S-1 superan los valores establecidos, esto puede hacer que el elemento de actuación número 6 se active. Al mismo tiempo, el sensor S-2 también puede hacer que el elemento de actuación número 6 funcione. Los niveles SIL correspondientes a diferentes SIF pueden ser distintos, ya que el riesgo de los escenarios de accidentes hipotéticos asociados a cada circuito SIF no es el mismo. Al mismo tiempo, en dos escenarios de accidente diferentes, el nivel SIL requerido para un circuito SIF también puede ser distinto. No se puede decir que todo el sistema SIS sea de nivel SIL-1. Las diferencias entre los sistemas de instrumentación de seguridad (SIS) y los sistemas de control de procesos básicos (BPCS) generan confusión en muchos principiantes. A simple vista, desde el punto de vista de su estructura lógica, ambos sistemas parecen ser similares; entonces, ¿por qué es necesario hacer esa distinción? Ahora hablemos de sus diferencias. 1. Las funciones que realizan ambos son diferentes. El sistema de control de procesos básico es aquel que se utiliza para controlar los procesos de producción habituales. Según las estadísticas, más del 95% de los sistemas de control en la industria son sistemas de control de procesos básicos. De esto se puede deducir que el BPCS cumple con las funciones básicas de control de la producción, a fin de satisfacer los requisitos para un funcionamiento adecuado del proceso productivo. El SIS, por su parte, supervisa el estado del proceso de producción, detecta condiciones peligrosas y previene la ocurrencia de accidentes. 2. Ambos tienen estados de funcionamiento diferentes: el SIS es pasivo y está en modo de reposo, mientras que el BPCS es activo y dinámico. Se utiliza para satisfacer las necesidades de producción, por lo que debe operar de manera dinámica, a fin de mantener un proceso de producción continuo y estable. 3. En cuanto a las fallas, los dos sistemas presentan diferentes formas de manifestarse. La mayoría de las fallas en el BPCS son evidentes; por ejemplo, durante el proceso de producción, si no se logra alcanzar un estado de conmutación específico, eso afectará inevitablemente la producción normal, y por lo tanto, la falla se hará visible. Dado que el sistema SIS está en estado de inactividad la mayor parte del tiempo, es difícil detectar si presenta algún fallo o si existen problemas ocultos. Por lo tanto, el sistema SIS necesita un sistema de pruebas de autodiagnóstico, además de pruebas periódicas fuera de línea y en línea. En la IEC61508, la definición de SIL es: la posibilidad de que un sistema relacionado con la seguridad cumpla con las funciones de seguridad que se le han asignado, bajo ciertas condiciones y durante un tiempo determinado. El objetivo de elegir un nivel de integridad de seguridad es reducir el riesgo a un nivel aceptable, disminuyendo así la probabilidad de que se produzcan riesgos. Existen diferencias en los niveles SIL definidos en las normas IEC61508 para el “modo de operación de altas exigencias” y el “modo de operación de bajas exigencias”. El modo de operación de bajas exigencias se refiere a aquel en el que las frecuencias de operación requeridas para el sistema de instrumentación de seguridad son de una vez al año como máximo, o equivalentes a la mitad de la frecuencia de pruebas de funcionamiento. Nivel de integridad de seguridad SIL: en pocas palabras, el SIL es una medida de la fiabilidad de la seguridad. Cada nivel SIL representa un orden de magnitud en la reducción del riesgo. Por ejemplo, un dispositivo de seguridad de nivel SIL-1 permite reducir la frecuencia de ocurrencia de un accidente en un orden de magnitud, mientras que un dispositivo de nivel SIL-2 reduce esa frecuencia en dos órdenes de magnitud. La agencia británica para la salud y la seguridad, HSE, investigó 34 accidentes causados directamente por fallos en los sistemas de control y seguridad. Los resultados mostraron que el 44% de los accidentes se debió a normas de seguridad inadecuadas. La segunda categoría de causas frecuentes de accidentes son los cambios realizados después de la puesta en marcha, y representan el 21%. Por lo tanto, es evidente la importancia de establecer normas adecuadas para los requisitos de seguridad. En otras palabras, el sistema puede haber cumplido con las funciones para las cuales fue diseñado, pero esas funciones en sí mismas no son correctas. Del 44% de los accidentes causados directamente por fallos en los sistemas de control, como se mencionó anteriormente, el origen está en normas de seguridad inadecuadas. Entonces, ¿cómo se elaboran las normas de seguridad para SIF? Definición en la norma IEC61511: Especificaciones que incluyen todos los requisitos de las funciones de instrumentación de seguridad (SIF). Su objetivo es establecer los requisitos necesarios en la información detallada sobre seguridad de procesos. Antes de redactar las normas de requisitos de seguridad, necesitamos recopilar la siguiente información: 1. Diseño de seguridad del proceso conceptual. 2. Análisis de riesgos y evaluación de peligros, 3. Aplicación de capas de protección en los sistemas de instrumentación no seguros. 4. Determinar el nivel de integridad de seguridad para las funciones de instrumentación de seguridad que son indispensables. Estos contenidos deben ser válidos y completos. Si estos procesos no existen o no están bien definidos, no importa cuánto tiempo se invierta en establecer las normas del sistema; al final, lo que se obtendrán serán normas de seguridad incorrectas. Cuando en las especificaciones de requisitos de seguridad se exige que los circuitos SIF alcancen un nivel de integridad de seguridad SIL-2, ¿cómo deberíamos diseñar la arquitectura del sistema? Si utilizamos sensores de nivel SIL-2, controladores lógicos y elementos de actuación para formar una estructura 1oo1, ¿será posible alcanzar el nivel SIL-2 para los circuitos SIF? La respuesta es que no siempre es posible alcanzar el nivel SIL-2. Esto se debe a que la probabilidad promedio de fallo peligroso del sistema de instrumentación de seguridad, PFD, es aproximadamente igual a la suma de las probabilidades promedio de fallo peligroso de cada uno de los componentes: los sensores, los controladores lógicos y los elementos de ejecución finales. Entonces, se podría considerar utilizar equipos de nivel SIL-3 para implementar los circuitos SIF de nivel SIL-2; sin embargo, el costo en ese caso podría ser mucho más alto. Por lo tanto, pensamos más en utilizar estructuras redundantes para lograrlo. Por ejemplo, 1oo2, 2oo3, etc. Aquí se observa una estructura redundante de 1oo2, 2oo2 y 2oo3. En la estructura 1oo2, siempre que haya al menos un dispositivo en buen estado, el sistema no sufrirá fallos peligrosos, lo que permite reducir significativamente la probabilidad de tales fallos. Pero la probabilidad de fallos de seguridad aumenta, ya que basta con que un solo dispositivo sufra un fallo de seguridad para que el sistema se detenga de forma incorrecta. Si se elige una estructura redundante 2oo2, se requiere que dos dispositivos detecten al mismo tiempo una desviación en los parámetros del proceso; solo así se activará el circuito de funciones de instrumentación de seguridad. De este modo, se reduce significativamente la probabilidad de fallos en la seguridad (disponibilidad), es decir, se disminuye el impacto de las paradas no planificadas. La estructura redundante del 2oo2 reduce significativamente la seguridad del sistema y aumenta la probabilidad de fallos peligrosos. Las estructuras 1oo2 y 2oo2 o bien no cumplen con los requisitos de seguridad, o bien no satisfacen los requisitos de fiabilidad. Por eso, en muchos casos se opta por la estructura redundante 2oo3. Esta estructura redundante tiene en cuenta tanto las fallas relacionadas con la seguridad como las relacionadas con los riesgos, por lo que representa una solución de redundancia relativamente equilibrada. Para más detalles, consulte el video………… – Li Qiang, gerente de productos de Hangzhou Haopeng Technology Co., Ltd