Corso di Progettazione di Impianti e della Sicurezza Industriale: Fault Tree Analysis (FTA) I/E e Safety Instrumented System (SIS)

Transcript

1 Corso di Progettazione di Impianti e della Sicurezza Industriale: Fault Tree Analysis (FTA) I/E e Safety Instrumented System (SIS)

2 Negli impianti a rischio di incidente rilevante, al fine di prevenire l accadimento dei Top Event precedentemente individuati mediante FMEA o Hazop, si adottano sistemi di sicurezza il cui compito è quello di intervenire al verificarsi di eventi anomali. Sono eventi anomali gli eventi di guasto dei componenti o le eventuali deviazioni dei parametri di processo (temperatura, pressione, portata, etc..) rispetto alle normali condizioni operative. Ad esempio, sono strumenti di sicurezza pressure safety valve (PSV) emergency block valve (EBV) operatore Safety Instrumented System (SIS) etc.. Safety Instrumented System (SIS) 2

3 Safety Instrumented System (SIS) I SIS sono layer di protezione, indipendenti ed automatici, designati ad intervenire su domanda al verificarsi di deviazioni di processo potenzialmente pericolose in quanto in grado di condurre ad eventi indesiderati. Figura 1. Classica struttura di un SIS Nel caso di corretto funzionamento, i SIS agiscono, riducendola, sulla probabilità di accadimento dell evento indesiderato (misure preventive). I SIS sono comunemente chiamati blocchi. 3

4 Safety Instrumented System (SIS) Il sistema controllato mediante un SIS è definito come Equipment Under Control (EUC). Un SIS espleta una o più funzioni strumentate di sicurezza (safety instrumented function - SIF) ciascuna finalizzata a raggiungere o mantenere l EUC in uno stato di sicurezza (safe state). Figura 2. Esempio di utilizzo di un SIS 4

5 Safety Instrumented System (SIS): normativa di riferimento IEC Functional safety of electrical/electronic/programmable electronic safetyrelated systems IEC Functional safety-safety instrumented systems for the process industry sector Figura 3. Riferimenti normativi 5

6 Safety Instrumented System (SIS): normativa di riferimento IEC Functional safety of electrical/electronic/programmable electronic (E/E/PE) safety-related systems IEC Functional safety-safety instrumented systems for the process industry sector Interessa i produttori e i fornitori dei componenti dei SIS Si applica a tutti i sistemi di sicurezza in cui almeno uno dei componenti incorpori dispositivi elettrici, elettronici o elettronici programmabili (E/E/PE). Introduce il concetto di livelli di integrità della sicurezza (safety integrity level SIL) 6

7 Safety Instrumented System (SIS): normativa di riferimento IEC Functional safety of electrical/electronic/programmable electronic (E/E/PE) safety-related systems IEC Functional safety-safety instrumented systems for the process industry sector Interessa i titolari, progettisti, integratori e utenti dei SIS Sviluppata come implementazione dello standard IEC per gli impianti di processo, fornisce gli obiettivi e i requisiti per specificare, progettare, installare, operare e mantenere i SIS 7

8 Le IEC definiscono Safety Integrity Level (SIL) Safety Integrity la average probability of a safety instrumented system satisfactorily performing the required safety instrumented functions under all the stated conditions within a stated period of time Safety Integrity Level (SIL) come discrete level (one out of four) for specifying the safety integrity requirements of the safety instrumented functions to be allocated to the safety instrumented systems Le norme propongono quattro livelli di SIL (da 1 a 4) a ciascuno dei quali è associato il range di probabilità media che un SIS (più correttamente una SIF!) non si attivi qualora ne venga richiesto l intervento, ossia non esegua correttamente la funzione di sicurezza per cui è preposto nell'intervallo di tempo richiesto. Tale probabilità media di mancato intervento su domanda è definita Probability of Failure on Demand (PFD). 8

9 Safety Integrity Level (SIL) Tabella 1. Classi di SIL a) Low demand mode significa che la frequenza richiesta di intervento su domanda del SIS è a 1 -anno b) High demand mode significa che la frequenza richiesta di intervento su domanda del SIS è a 1 -anno Più alto è il valore del SIL, più alta è la riduzione del rischio ottenuta. Dunque, all'aumentare della gravità del rischio deve necessariamente aumentare l'affidabilità del SIS, ossia il suo SIL. 9

10 Guasti di un SIS I modi di guasto dei componenti di un SIS possono essere: Dangerous all failures that cause the SIS to fail to respond to a process demand are categorized as Dangerous (ANSI ISA-TR ). Safe all failures that cause the SIS to shutdown the process without a process demand present are categorized as Safe (spurious trip) (ANSI ISA- TR ). Per i componenti di un SIS dotati di sistemi di autodiagnosi (diagnostic test), i guasti dangerous e safe possono essere: Detected (D) se il guasto è rilevato durante le operazioni di diagnostic test ovvero durante il normale funzionamento del processo. Undetected (U) in caso contrario. 10

11 PFD dei componenti di un SIS sottoposti a periodic testing Un SIS ed i suoi componenti operano su domanda, ossia entrano in funzione solo qualora ne viene richiesto l intervento. Di conseguenza, il guasto di componenti che operano su domanda è rilevato quando ne viene richiesto l intervento durante il testing periodico durante le operazioni di diagnostic test (per i componenti del SIS dotati di autodiagnosi) 11

12 Calcolo della PFD di un SIS Le norme suggeriscono tre metodi per la valutazione della PFD di un SIS (installato): 1. Equazioni semplificate 2. Fault Tree Analysis 3. Markov models dove PFD Ai è la PFD avg dell attuatore A i PFD Si è la PFD avg del sensore S i PFD Li è la PFD avg del logic solver L i Equazioni semplificate PFD SIS PFD S PFD L PFD A (4) i i i i i i 12

13 Fault Tree Analysis Nell ipotesi che un SIS implementi più SIF, si sviluppa un albero dei guasti per ciascuna SIF Per ciascuna SIF analizzata, il Top Event del relativo albero dei guasti è l evento mancato intervento SIF Sensore PLC Attuatore Figura 4. Reliability block diagram della SIF analizzata 13

14 Fault Tree Analysis Figura 5. Albero dei guasti per il calcolo della probabilità di mancato intervento della SIF analizzata PTOP1 P( EVENT 1 EVENT 2 EVENT 3) 14

15 FTA negli impianti a RIR: analisi Initiator-Enabler Tipicamente, negli impianti a rischio di incidente rilevante i Basic Event possono essere distinti in due categorie: Iniziatori (initiator) eventi relativi alle anomalie di processo ritenuti possibili cause di Top Event Abilitanti (enabler) eventi relativi mancato intervento delle protezioni Initiator Sono caratterizzati attraverso la frequenza di accadimento ω Enabler Sono caratterizzati attraverso l indisponibilità Q o la PFD Figura. 6 Albero dei guasti dell'evento "Esplosione" 15

16 FTA negli impianti a RIR: analisi Initiator-Enabler Assume importanza l ordine con cui gli eventi si verificano Figura. 7 Albero dei guasti 16

17 FTA negli impianti a RIR: analisi Initiator-Enabler Minimal cut-set A-B-C-D Q Q Q Q Q Q Q Q Q Q Q Q Top cut A B C D B A C D C A B D D A B C In realtà, l unica sequenza consentita è della frequenza è: A B C D Q Q Q Top cut A B C D, per cui l espressione corretta 17

18 FTA negli impianti a RIR: analisi Initiator-Enabler Q EXPLOSION FIRE PROTECTION SYSTEM Initiator Sono caratterizzati attraverso la frequenza di accadimento ω Enabler Sono caratterizzati attraverso l indisponibilità Q o la PFD Figura. 6 Albero dei guasti dell'evento "Esplosione" 18