1 Couche de protection Analyse: Vue d'ensemble –Perspective historique –Un nouveau concept pour les systèmes de contrôle de la sécurité connexes –LOPA, SIS, SIL –D'où vient LOPA s'adapter?

2 Perspective historique Normes et pratiques émergentes de commencer à récolter de l'élan –IEC 61508/61511 –Automatisation du processus CCPS Safe (1993) –ISA SP (1997) maintenant SPA 4 –Couches CCPS de l'analyse de protection (2001) d'orientation publié

3 Un nouveau concept... Combinez traditionnelle Couches de protection avec Systèmes instrumentés de sécurité dans un nouvel outil d'analyse pour déterminer Safety Integrity Level exigences pour les systèmes de sécurité de l'instrument connexes Intégrer «Critères de tolérance Lopa» ou «facteurs cibles" qui répond à la tolérance au risque cible dans la méthodologie

4...Qui aborde ces questions... Ai-je défini mes critères de tolérance au risque ou cibles? Mon système de m'assurer que mes critères sont respectés? Dois-je besoin d'un système instrumenté de sécurité? Y at-il Alternatives? Intervalles d'essai Redondance Fiabilité / Arrêts faux Logiciel de programmation Les normes mondiales de cohérence et de l'Industrie Exigences internes pour la gestion des risques Autorité compétente / Régulateur Exigences

5... Tout en le gardant simple = 4 ou 0.1x0.01x0.07 = 0,00007 Mathématique complexe termes & Systèmes Simple Outils

6 Application LOPA - la compatibilité avec... le «noeud papillon»

7 Qu'est-ce que tout cela signifie?

8 Termes courants et acronymes, nous serons à l'aide Instrumenté de sécurité Fonction (SIF) - L'action complète le SIS a été conçu pour effectuer à partir de détection à l'élément de contrôle final Couche de protection Analyse (LOPA) - Un processus d'évaluation de l'efficacité des couches de protection indépendants à réduire la probabilité ou (éventuellement) la gravité d'un événement indésirable pour répondre aux besoins organisationnels. BPCS Fonction de protection - Toute action, initiée par l'instrumentation, un BPCS, défaillance de l'équipement ou de la réponse humaine, qui est destiné à atteindre ou maintenir un état de sécurité du processus en ce qui concerne un événement spécifique dangereux. Cela comprend tous les non instrumenté "fonctions instrumentées de sécurité" identifiés dans LOPA Sécurité Fonction connexes du système de protection - L'action complet qui le système de protection de sécurité (PRS) est conçu pour effectuer de la détection à l'élément de contrôle final

9 Facteur cible LOPA (TF) = nombre entier de la fréquence des événements «tolérés» (par exemple 1 événement en ans TF = 5) Lancement de l'événement entier = Facteur de fréquence événement déclencheur (par exemple l'absence de fréquence de 1 pour 10 ans, IEF = 1) IPL = couche indépendante de la protection Facteur de crédit IPL entier = de probabilité de défaillance à la demande (PFD de 0,01 donne cf 2)

10 C'est un processus d'analyse simple 1Utiliser Layer OfProtection Unenalyse pour déterminer si Sé curit é Jenstrumented Système sont nécessaires et si oui, le besoin Sé curit é JeINTÉGRITÉ LES NIVEAUX 1 - 3) 2Adresse souhaitée Reliability LES NIVEAUX (tolérance aux pannes) et SIL pour déterminer capteur nécessaire, solveur logique, et la configuration élément final et les intervalles de tests nécessaires

11 D'intervention d'urgence des végétaux Protection physique EX. Dispositifs de secours Système instrumenté de sécurité des mesures préventives Les alarmes critiques et intervention de l'opérateur Basic Process Control System, D'exploitation de discipline / Supervision Plant Design Intégrité D'intervention d'urgence communautaire La LOPA "oignon" Comment ça marche?

12 Conception de l'usine intégrité La LOPA "oignon"

13 Basic Process Control System, la discipline d'exploitation / supervision Usine Intégrité de la conception La LOPA "oignon"

14 Les alarmes critiques et intervention de l'opérateur Basic Process Control System, D'exploitation de discipline / Supervision Usine Intégrité de la conception La LOPA "oignon"

15 Système instrumenté de sécurité des mesures préventives Les alarmes critiques et intervention de l'opérateur Basic Process Control System, D'exploitation de discipline / Supervision Usine Intégrité de la conception La LOPA "oignon"

16 La LOPA "oignon" Protection physique EX. Dispositifs de secours Système instrumenté de sécurité des mesures préventives Les alarmes critiques et intervention de l'opérateur Basic Process Control System, D'exploitation de discipline / Supervision Plant Design intégrité

17 La LOPA "oignon" Protection physique EX. Dispositifs de secours Système instrumenté de sécurité des mesures préventives Les alarmes critiques et intervention de l'opérateur Basic Process Control System, D'exploitation de discipline / Supervision Plant Design intégrité D'intervention d'urgence des végétaux

18 D'intervention d'urgence des végétaux Protection physique EX. Dispositifs de secours Système instrumenté de sécurité des mesures préventives Les alarmes critiques et intervention de l'opérateur Basic Process Control System, D'exploitation de discipline / Supervision Plant Design intégrité D'intervention d'urgence communautaire La LOPA "oignon"

19 La LOPA "oignon" JeINDÉPEND ANT Protection Layers INTERVENTION D'URGENCE DE LA COMMUNAUTÉ INTERVENTION D'URGENCE DES PLANTES USINE CONCEP TION PROTECTION PHYSIQUE (digues) PROTECTION PHYSIQUE (DISPOSITIFS DE SECOURS) AUTOMATIQUE D'ACTION SIS ou ESD Les alarmes critiques et supervision d'un opérateur, les et les interventions manuelles Contrôles de base, alarmes de process et de la supervision OPÉRATEUR

20 Couche indépendante de la protection (IPL) Une couche de protection qui empêche un scénario à risque de progresser quel que soit l'événement initiateur ou l'exécution d'une autre couche de protection. INDÉPENDANCE Le test est également essentiel

21 Conséquence des déchets dangereux événement Fréquence des déchets dangereux événement Risque Niveau Externe risque réduction installations E / E / PES SRS Autre Technologie SRS Équipement sous le contrôle Risque pour atteindre le niveau de la Sécurité Nécessaire de réduction des risques au minimum Le concept original Ron Bell

22 Concept protection de la couche Clé: Flèche représente la sévérité et la fréquence de l'événement d'impact si LIT plus tard ne sont pas de succès Événement d'impact - Protection de la couche Indipendent - Probabilité de défaillance sur demande - La fréquence, / vous Fréquence Gravité Résultat Safe succès L'impact se produit l'événement Fréquence de l'événement d'impact, Lancement de l'événement Fréquence estimée

23 Qu'est-ce LOPA fait avec l'arbre d'événements Initier la fréquence des événements Critères tolérance au risque (fréq.) VFI du 1er IPL (BPCS) VFI du 2 IPL (Alarmes opérateur +) SIL (1-3) pour le SIS ? Exemple SIS requis. SIL = / (10 -1 * * * ) = Modifier conditionnelle

24 Qu'est-ce LOPA fait avec l'arbre d'événements - alternative - Initier la fréquence des événements Critères tolérance au risque (fréq.) VFI du 1er IPL (BPCS) VFI du 2 IPL (Alarmes opérateur +) SIL (1-3) pour le SIS ? Exemple SIS requis. SIL = = 2 Modifier conditionnelle Concept de combler le fossé de protection

25 Outils Feuilles de papier Classeurs Excel En voici quelques exemples:

26 Un classeur LOPA

27 Classeurs Lopa Ou vous pouvez tracer horizontalement Afficher un classeur Excel

28 Définition de scénarios Modificateurs conditionnelles Pro tég ez- ion Ga p Description du scénario Cible tolérée Fréquence de l'événement (Causés par) l'événement déclencheur Initier la fréquence des événement s Ignition (valable uniquement pour les scénarios d'incendie ou d'explosion) Probabil ité de l'exposit ion / Temps à risque Couches d'instruments indépendants doivent avoir des capteurs séparés, solveurs logiques et les éléments terminaux. D'autres systèmes de sécurité de protection connexes La cibl e est 0 ou moi ns Ré f n ° Donnez une description complète de l'issue indésirable Décrire Conséquence du scénario, puis utilisez les menus déroulants dans la ligne bleue Donnez une description complète de l'événement déclencheur Décrire l'événemen t initiatiating Enregistrez la probabilité d'inflammati on. (POI) dans la rangée blanche le cas échéant Justifier la probabil ité d'exposi tion ou de la période à risque dans la ligne blanche Action de contrôle BPCS - décrire la ligne blanche Réponse de l'opérateur pour les alarmes et les procédures écrites - décrire la ligne blanche Instrum enté de sécurité du système 1 Instru menté de sécuri té du systè me 2 Système de décompres sion - scénarios de surpressio n SRPS Débordements Interceptor - conduit à l'incendie possible seul décès Contrôle de niveau échoue Son fonction nement est <10% du temps Perdu fonction BPCS SIL 3 système de déclenc hement de niveau Ét ud e de sé cu rit é Fatality sur le site Défaut BPCS boucle d'instrument POI> 500 kg publié M.I.E. <0,3 mJ 0.1 Probabil ité d'exposi tion Pas de voyage BPCS à l'arrêt en toute sécurité D'alarme est de BPCS - pas indépendant SIS - SIL Rejets provenant du système de secours contre les débordements - explosion ou d'incendie Plus de 1 décès Combinais on de niveau et de la vapeur à défaut ligne fermée Aucun crédit Moins de 10% du temps Ét ud e de sé cu rit é Plus de 1 hors site fatalité Défaut BPCS boucle d'instrumen t POI> 500 kg publié M.I.E. <0,3 mJ 0.1 Probabil ité d'exposi tion Pas de voyage BPCS à l'arrêt en toute sécurité D'alarme est de BPCS - pas indépendant Tuyau échoue fuite importante Opérateur observe - formé et a ESD Limiteur de débit Ét ud e de sé cu rit é Fréquence 1 dans 1000 ans Tuyauterie de fuite <100m 0.1 Probabil ité d'exposi tion Faible événements réponse au stress opérateur reconnu> 10 minutes pour répondre 1 - D'autres systèmes de sécurité de protection connexes (VFI = 0,1)

29 Départ Mettre en place un scénario (EX. Conséquences de HAZOP - détails plus tard) Déterminer la tolérance au risque Critères (Cible) - une fréquence Identifier les causes-conséquences paires D'enregistrement dans le système de votre choix

30 Critères de tolérance des risques

31 Vous pouvez tenir compte des pertes £ si vous le souhaitez Puis tenir compte de tous les événements initiateurs, à leur tour et remplir la documentation de votre US Dupont est la suite de cette approche

32 Exemple Feuille LOPA

33 Taux d'échec par exemple utilisé par mon ancien employeur - l'utilisation vos propres sources de l'industrie, ou les autorités compétentes Étape 2 - Initier des événements - (cause par exemple de HAZOP)

34 Règles de base pour les événements déclencheurs 1Logiciel de contrôle du processus ne devrait pas être un événement déclencheur. Test et simulation doit être en place pour éliminer en tant que source. Gestion du changement doit être assez robuste pour éviter d'endommager le programme d'exploitation. 2 Un IPL ne peut pas être l'événement déclencheur. Les seules exceptions sont pas des éléments de BPCS et alarmes - si elles ne peuvent créer le scénario. 3 événements initiateurs sont des événements isolés, mais peuvent être modifiées par la probabilité d'un modificateur conditionnel en cours (par exemple, une inflammation se produise).

35 Maintenant l'étape 3 - Modificateurs conditionnelles D'autres conditions qui doivent être remplies pour le scénario de se développer pleinement, par exemple –Probabilité d'inflammation –Probabilité de l'exposition Non applicable pour de nombreux scénarios Et lorsque vous êtes sûr - passer aux niveaux de protection indépendants

36 Modificateurs conditionnelles - Règles de base pour la probabilité d'allumage d'habilitation 1 Pour les événements inflammables. Pour d'autres (par exemple une exposition toxique) les événements de la valeur est 0. 2 Entrez une valeur de 1 ou 2 en fonction de l'inflammabilité du produit chimique. E.G. –Crédit = 1 pour l'hydrogène, l'acétylène, EO, PO, de l'éthylène, le butadiène –Crédit = 2 pour les autres hydrocarbures pour des quantités comprises entre 50 et 501 kg 3 Entrez une valeur de 3, si la foudre est la source d'inflammation.

37 Exemples

38 Maintenant Probabilité que quelqu'un sera exposé à un risque sur la base de la période à risque.

39 Probabilité des exemples d'exposition Modificateurs conditionnelles Probabilité de l'exposition Probabilité conditionnelle modificateur Conditionn elle facteur LOPA modificate ur Probabilité de l'exposition a permis de processus et les étapes du processus en activité depuis moins de 5 semaines ouan 1x Probabilité de l'exposition a permis de processus et les étapes du processus en activité depuis moins de 3 jours / an 1x Probabilité que les personnes seront dans le domaine de la conséquence et exposés. (Par exemple rarement visités ou les zones occupées telles que les parcs de stockage à distance). 1x10 -1 ou 1X ou 2

40 Étape 4 LIT Identifier BPCS fonction de protection, Si toute Dressez la liste des alarmes et la réponse de l'opérateur (procédure écrite requise) Enregistrez qualification dispositifs de décompression Document Systems sécurité Autres connexes –Pratiques de gestion –Actions de l'homme –Systèmes de protection de machines

41 Règle générale de l'Indépendance Pour être indépendant, d'une couche de protection est d'éviter un scénario à risque de progresser quel que soit l'événement initiateur ou l'exécution d'une autre couche de protection.

42

43 Règles de base pour BPCS et alarmes Si un BPCS (boucle entière) est un événement déclencheur, pas de crédit est pris pour le BPCS ou IPL alarme à moins qu'ils sont des systèmes complètement séparées. Si BPCS et IPLS d'alarme utiliser le même capteur, vous pouvez prendre le crédit pour un IPL seulement. L'IPL alarme nécessite une action de l'opérateur formellement enregistré et vérifiables pour éviter le scénario. Si une panne de capteur est l'événement déclencheur, BPCS et IPL alarme ne sont pas valides crédits si elles nécessitent la sonde n'a pas la fonction. Si une panne de l'élément final est l'événement déclencheur, BPCS et action de l'opérateur sur IPL alarme ne sont pas valides crédits si elles ont besoin de l'élément défaillant final à la fonction. (Le plus courant pourrait être une soupape de commande. Si un solveur logique BPCS est un événement déclencheur, pas de crédit est pris pour le BPCS ou IPL alarme, à moins que l'IPL d'alarme est un système complètement distinct. Si une alarme est un IPL, l'opérateur doit avoir le temps pour empêcher le scénario. Aucun crédit ne sera prise que si l'opérateur a moins de 10 minutes pour y répondre. Peut-être en mesure de prendre le crédit s'il s'agit d'un cas reconnu dans le plan d'intervention d'urgence. Maximum d'un seul (1) BPCS et un (1) Alarme IPL de crédit sont autorisés pour un cas. Partage de BPCS et des éléments du SIS peut être autorisé lorsqu'il ya des preuves d'une indépendance suffisante. (Voir les règles pour les éléments du SIS partage par les BPCS) Dispositifs de sécurité mécaniques comme excès de vitesse voyages ne sont pas instrumenté IPL. Toutefois, ils peuvent être considérés comme un système de protection de la sécurité indépendants liés en vertu de la sécurité connexe colonne Autres système de protection.

44 Étape 5 - Autres LIT SIS non Dispositifs de secours Les fusées éclairantes Endiguement Autres systèmes de sécurité de protection connexes (PRS - voir plus loin) Puis passer à l'examen systèmes instrumentés de sécurité si vous avez encore des lacunes de protection

45 Règles des dispositifs de décompression 1 Le dispositif de surpression protège ou elle n'existe pas. Un crédit partiel n'est pas autorisé. 2 Si les rejets aux dispositifs de décompression à l'atmosphère créant un danger 2 (pour les personnes, l'environnement ou de l'équipement), aucun crédit n'est autorisé. Si le rejet dans l'atmosphère présente un risque acceptable, de crédit peuvent être prises 3 Si les rejets aux dispositifs de décompression à une fusée, un réservoir, ou un épurateur, le crédit est prise 4 Ce n'est pas un outil pour décider "No Device Protection contre les surpressions nécessaire".

46 Règles pour les dispositifs de sécurité de protection connexes 1 Les systèmes qui ne sont pas les dispositifs de décompression et ne sont pas des systèmes instrumentés sont pris en compte dans cette colonne. 2 digues et diguettes sont pas un IPL pour les cas de sécurité - pas de crédit autorisé, car ils ne peuvent réduire les conséquences (et sont donc déjà prises en compte dans le scénario). Pour une analyse de rentabilisation impliquant un scénario de l'environnement, des digues et diguettes peuvent réduire la fréquence des atteintes à l'environnement - a permis de crédit. 3 Comprend les bâtiments de confinement ou les enceintes, si elle est présente. 4 systèmes non cotées ont besoin de beaucoup de soins et les approbations. Ces règles viennent d'une entreprise - nous aimerions débattre

47 Problèmes techniques Capteurs multiples dans les BPCS aider à tester, mais ne changent pas les niveaux de risque beaucoup plus Capteurs SIS partagées avec les règles nécessaires BPCS -

48 Qu'est-ce LOPA fait avec l'arbre d'événements (re-bouchon) Initier la fréquence des événements Critères tolérance au risque (fréq.) VFI du 1er IPL (BPCS) VFI du 2 IPL (Alarmes opérateur +) SIL (1-3) pour le SIS ? Exemple SIS requis. SIL = / (10 -1 * * * ) = Modifier conditionnelle

49 Récapitulation des nouvelles Conditions Système instrumenté de sécurité (SIS) Une combinaison de capteurs, solveur logique et les éléments terminaux qui détecte un out-of-limite (anormale) l'état et qu'elle apporte à un état sûr sans intervention humaine. Il protège contre les risques spécifiques. Il remplit une fonction de sécurité requis. Il a une fiabilité définie. Il est indépendant de toute autre protection ou des systèmes d'atténuation.

50 Conditions Plus de nouveaux A des critères de fiabilité pour un SIS définir la probabilité du système défaillant de remplir sa fonction à la demande. SécuritéIntégritéNiveaux (SIL) Sécurité Intégrité Niveaux (SIL)

51 BPCS et le SIS sont différents. BPCS maintient la plante dans les paramètres de fonctionnement définis BPCS et SISS peuvent à la fois agir comme LIT Un BPCS est très peu probable de rencontrer> SIL1 VFI ou les exigences de défaut (peut même être empêché que s'ils sont certifiés) Les exigences de certification sont différents Les exigences documentaires sont différents Exigences relatives aux tests sont différents

52 Étape 6 besoins du SIS adresse Liste fonctions instrumentées de sécurité si nécessaire. La SIL de la SIF est la valeur numérique nécessaire pour «combler le fossé de protection".

53 Règles de base pour le SIS 1 entrées SIS sont considérées comme la dernière et seulement si nécessaire pour combler le fossé de protection 2 Un non-zéro, valeur positive dans la colonne de Gap Protection indique un SIS est nécessaire. 3 Le SIL requis du SIS est la valeur qui clôt le manque de protection 4 Une valeur supérieure à 3 SIL ne devrait pas être autorisé. Supplémentaires non-SIS IPL sont nécessaires. - Ou il ya quelque chose de mal avec le processus de 5 Une valeur nulle ou négative dans la colonne de Gap Protection indique un SIS n'est pas nécessaire. 6 A SIS avec une SIL de 2 ou 3 peut être remplacée par une combinaison de faible SIL à condition qu'ils soient indépendants les uns des autres. SIL = SIL SIL 2; SIL = SIL SIL 3 7 Deux (2) SIS IPL est utilisé dans le même cas nécessitent des capteurs séparés, solveur logique et dernier élément. Chemins indépendants par l'entremise du solveur logique SIS doit être utilisée.

54 Nous avons maintenant terminé notre analyse

55 Etape 7 Scénario complètement le document, événement déclencheur, les modificateurs de sursis, LIT. Justifier et répondre aux incertitudes et sensibilités. Documenter les exigences du SIS et les exigences pour les systèmes de sécurité de protection d'autres connexes Assurez-vous que vous communiquez à toutes les exigences pour la conception d'instruments d'une fonction de maintenance