Poziom nienaruszalności bezpieczeństwa SIL

Moda czy konieczność?

Janusz Samuła (UDT)

Urząd Dozoru Technicznego nie może w dzisiejszych czasach ograniczać swojej roli do oceny bezpieczeństwa pojedynczych urządzeń. Nie tylko urządzenia techniczne są ze sobą sprzężone, tworzą zespoły i instalacje, ale również stosowane systemy
sterowania są coraz bardziej złożone, a poprzez swoją skomplikowaną strukturę bardziej narażone na trudne do wcześniejszego wykrycia potencjalne uszkodzenia. Coraz większym wyzwaniem dla UDT stają się instalacje przemysłowe, których awarie
mogą pociągać za sobą poważne, nawet katastrofalne konsekwencje.

Rozwój techniki i technologii wymusił przedefiniowanie roli UDT, poszerzenie zadań o konieczność kompleksowego zapewnienia bezpieczeństwa publicznego, zagwarantowania prawidłowego stanu technicznego urządzeń, bezpiecznej pracy instalacji, także w kontekście ochrony środowiska. Oczekiwaniem wobec inspektorów w czasach wcale nie odległych było zapewnienie, że bezpieczne i niezawodne jest urządzenie, obecnie istotne dla nas jest potwierdzenie, że bezpieczna i niezawodna jest instalacja przemysłowa.

Pokazany powyżej kierunek rozwoju wymusił, aby przyjąć obiektywne kryteria niezawodności. Pomocnym narzędziem stał się rachunek prawdopodobieństwa. Prawdopodobieństwo uszkodzenia elementu instalacji mówi nam zarówno, jaką mamy szansę uniknąć tego uszkodzenia, jak i pozwala przewidywać czas bezawaryjnej eksploatacji. Opracowane normy z serii PN-EN 61508 definiują cztery poziomy tzw. nienaruszalności bezpieczeństwa SIL, mówiące o prawdopodobieństwie uszkodzenia elementu instalacji. 

Najbardziej niezawodnemu elementowi przypisuje się prawdopodobieństwo uszkodzenia z przedziału <10-9, 10-8) na godzinę, dla pracy ciągłej i poziom SIL 4, najniższy klasyfikowany poziom nienaruszalności bezpieczeństwa to SIL 1 – prawdopodobieństwo
uszkodzenia z przedziału <10-6, 10-5) na godzinę dla pracy ciągłej1. Prawdopodobieństwo uszkodzenia nie jest jedynym kryterium przypisania poziomu SIL – dla uproszczenia tematu dodajmy, że innymi czynnikami decydującymi o możliwości przypisania poziomu SIL są takie parametry jak udział uszkodzeń bezpiecznych, tolerancja defektów sprzętu (im większy poziom SIL, tym więcej defektów musi być tolerowanych, tj. niepowodujących uszkodzenia – w praktyce oznacza to konieczność stosowania redundancji). To jednak nie wszystkie warunki – konieczne jest posiadanie systemu zarządzania bezpieczeństwem funkcjonalnym.

Sytuację wytwórców, którzy chcą certyfikować wyrób pod kątem jego niezawodności, utrudnia fakt, że różne normy definiują w inny sposób parametry odzwierciedlające poziom niezawodności (np. PN-EN ISO 13849 określa tzw. poziom zapewnienia bezpieczeństwa PL – z ang. performance level). Jest jednak znana metodyka porównywania obu parametrów: PL i SIL.

Czy im wyższy poziom SIL, tym lepsze urządzenie, system czy linia produkcyjna?

Przypominam sobie dyskusję, która technologia budowy samochodów jest lepsza – rosyjska czy amerykańska. Tym zabawniejszą, że toczyła się w jednym z krajów Afryki i dotyczyła samochodów osobowych. Odpowiedź była zaskakująca – rosyjska technologia okazała się w tym przypadku lepsza, gdyż samochody amerykańskie wymagają specjalizowanego serwisu, który nie jest dostępny w okolicach pustynnych. Naprawa amerykańskiego samochodu pod gołym niebem podczas burzy piaskowej nie rokuje sukcesu, rosyjski samochód po usunięciu usterki ma szansę pojechać dalej.

Wniosek jest taki – ocena zależy od okoliczności i sytuacji, dopiero wtedy możemy oceniać, czy wyrób o wysokim poziomie SIL jest lepszy od tego o niższym bądź niespełniającego wymagań dla SIL 1. Jest jeszcze jeden problem, który jest często źle stawiany przez przedsiębiorców, zwłaszcza tych o większym kapitale. Jest oczekiwanie aby wszystkie elementy systemu (linii produkcyjnej) były najbardziej niezawodne, czyli spełniały najwyższy możliwy poziom SIL. Tylko czy jedyną i właściwą metodą zabezpieczenia jest zapewnienie wysokiego poziomu nienaruszalności bezpieczeństwa? Jako przykład można podać bezpieczeństwo lotów – czy dostarczenie spadochronu każdemu pasażerowi samolotu zapewnia jego bezpieczeństwo w razie awarii? Dobrze wiemy, że nie. Wniosek jest prosty – wysoki poziom nienaruszalności bezpieczeństwa należy stosować tam, gdzie jest to właściwe. Ale kto pomoże dokonać takiej oceny dla złożonej instalacji przemysłowej?

Usługi UDT

Urząd Dozoru Technicznego od lat zajmuje się oceną bezpieczeństwa instalacji przemysłowych. Duże doświadczenie wynikające ze współpracy z „największymi graczami” na rynku firm przemysłowych pozwala prawidłowo oceniać bezpieczeństwo i niezawodność instalacji, jej elementów i podsystemów. Do tego celu UDT wykorzystuje takie narzędzia jak metoda HAZOP2 i jej odmiana C-HAZOP, stanowiąca analizę systemów sterowania, analiza warstw zabezpieczeń LOPA3 czy graf ryzyka.

Metoda HAZOP pozwala określić przy użyciu słów kluczowych (np. „zbyt duże ciśnienie”) jakie konsekwencje mogą nastąpić w przypadku odchyleń parametrów produkcji, przykładowo wywołane uszkodzeniem. Analizowane są konsekwencje dla człowieka, środowiska i mienia (konsekwencje ekonomiczne). Formułowane są scenariusze, które mogą się wydarzyć i następuje analiza, czy ryzyko (będące iloczynem prawdopodobieństwa i konsekwencji – wyrażonych wartościami liczbowymi) jest akceptowalne dla właściciela instalacji. Należy podkreślić, że ryzyko akceptowalne jest parametrem definiowanym przez właściciela instalacji poprzez tworzenie tzw. macierzy (matrycy) ryzyka (rys. 1.).

Co jest akceptowane przez jednego wytwórcę, nie musi być akceptowane przez innego – wręcz temat ten może budzić grozę. W lotnictwie cywilnym przyjmuje się, że jest pewne prawdopodobieństwo katastrofy lotniczej, a straty poniesione wycenia się traktując ekwiwalent pieniężny życia ludzkiego w wysokości 2 mln dolarów4. Jeśli inwestycja w bezpieczeństwo znacznie przewyższa straty materialne, takiej inwestycji się nie podejmuje. 

Inny przykład – konstruktorzy metra w Kopenhadze zakładali, że prawdopodobieństwo zagrożenia życia pasażera metra ma być 20 razy mniejsze niż statystyczne prawdopodobieństwo śmierci w ciągu roku kilkunastoletniego chłopca (założone docelowe prawdopodobieństwo akceptowalne wynosiło 10-5 na osobę na rok). Jakieś założenia trzeba przyjąć, choć nie jest miłe, że dopuszczamy możliwość urazów czy nawet śmierci.

Po określeniu scenariuszy w trakcie analizy HAZOP, zwłaszcza tych katastroficznych, należy przeanalizować, jaką metodą poprawić bezpieczeństwo instalacji. Tu z pomocą przychodzi analiza warstw zabezpieczeń LOPA. Jeśli poziom ryzyka związanego z pracą danego podsystemu jest zbyt duży (nieakceptowalny), mamy dwie drogi do poprawy sytuacji: albo zmniejszymy prawdopodobieństwo awarii (i tu wchodzimy w zakres zagadnień SIL – musimy zastosować
obwód o wyższym poziomie SIL), albo zbudujemy dodatkową tzw. warstwę zabezpieczeń (te dwie drogi pokazane są na tle macierzy ryzyka – rys. 2). Możemy zastosować obie te metody jednocześnie. O ile zwiększenie niezawodności układu jest proste do pojęcia (stosujemy bardziej niezawodne elementy), o tyle dodanie dodatkowej warstwy zabezpieczeń wymaga krótkiego komentarza.

Możemy przykładowo mieć obszar, w którym przebywanie człowieka stwarza dla niego duże zagrożenie. Tak modernizujemy tę część linii produkcyjnej, aby obecność człowieka nie była potrzebna. Jest to dodatkowa warstwa zabezpieczeń. Można też tworzyć dodatkowe bariery fizyczne stanowiące warstwę zabezpieczeń, np. wytrzymałe ściany zabezpieczające przed skutkiem wybuchu.

W przypadku sytuacji, gdy chcemy zmniejszyć prawdopodobieństwo awarii, tj. przykładowo podwyższyć poziom SIL, mamy też wybór: zdecydować się albo na zakup podzespołu lepszego pod względem niezawodności (wyższy poziom nienaruszalności bezpieczeństwa SIL), albo na zakup np. dwóch podzespołów o niższym poziomie niezawodności (niższy koszt), a obniżenie prawdopodobieństwa awarii uzyskać dzięki redundancji. Tu z pomocą przychodzi analiza
LCCA (Life-Cycle Cost Analysis), która umożliwia wyliczenie NPV5 dla danego fragmentu instalacji, co daje obraz kosztów przy uwzględnieniu m.in. inflacji (stóp procentowych kredytów) dla określonego czasu życia instalacji.

Należy wspomnieć także o metodzie zwanej grafem ryzyka. Jest to metoda oceny, czy dany element instalacji zapewnia dostateczny poziom nienaruszalności bezpieczeństwa, tak aby ryzyko uszkodzenia znalazło się na matrycy ryzyka w obszarze akceptowalnym. Metodę grafu ryzyka stosujemy głównie do obwodów zabezpieczających (np. układów ESD6 w instalacji), które mają wyłączyć instalację w momencie wykrycia zagrożenia.

Analizy ryzyka wykonywane są przez zespół, w którego skład wchodzą pracownicy przedsiębiorstwa, znający historię instalacji, mający o niej głęboką wiedzę, również wiedzę o awariach w trakcie eksploatacji. Najczęściej najpierw wykonywany jest HAZOP, a dla zidentyfikowanych newralgicznych punktów instalacji metodą LOPA dobiera się właściwą metodę albo poprawy niezawodności układu, albo implementacji dodatkowej warstwy zabezpieczeń. UDT, przeprowadzając analizy, nie narzuca metody, którą należy zastosować, aby obniżyć ryzyko zdarzenia awaryjnego, ale podaje rekomendację. Po przeprowadzeniu modernizacji instalacji zalecany jest audit potwierdzający, że modernizacja w celu poprawy bezpieczeństwa została wykonana prawidłowo. Tryb postępowania przedstawiony jest na rys. 3.

Analiza SIL coraz bardziej powszechna

Jeszcze kilka lat temu nikt by się nie odważył zastąpić mechanicznych urządzeń zabezpieczających urządzeniami elektroniczymi. W dźwigach osobowych, zwanych potocznie windami, ogranicznik prędkości zawsze był urządzeniem w pełni mechanicznym. Ostatnie lata rozwoju technologii pokazały, że urządzenia elektroniczne, przy zachowaniu dostatecznie wymagających warunków produkcji, mogą osiągać poziomy niezawodności niczym nieustępujące urządzeniom
mechanicznym. Konsekwencją tego rozwoju było sukcesywne pojawianie się wymagań technicznych dopuszczających układy elektroniczne w urządzeniach zabezpieczających.

Zapoznając się z dyrektywami oraz normami zharmonizowanymi do tych dyrektyw, można zauważyć pewną prawidłowość. Nowe wydania norm zharmonizowanych zawierają odniesienia do poziomów SIL – inaczej mówiąc, nabieramy zaufania do urządzeń zabezpieczających elektronicznych i zaczynają one wypierać proste zabezpieczenia mechaniczne.

Do norm, które odnoszą się do poziomów nienaruszalności bezpieczeństwa należą, m.in. normy zharmonizowane z dyrektywą dźwigową PN-EN 81-20, maszynową PN-EN ISO 13849, ATEX PN-EN 15233, z dyrektywą w sprawie interoperacyjności systemu kolei – PN-EN 50129. Należy przypuszczać, że coraz więcej norm zharmonizowanych z poszczególnymi dyrektywami będzie miało związek z określaniem poziomu nienaruszalności bezpieczeństwa SIL. Urząd Dozoru Technicznego, widząc coraz większą wagę, jaką przykłada się do oceny bezpieczeństwa funkcjonalnego, oferuje szereg wymienionych powyżej usług analizy ryzyka, kończących się rekomendacjami dla przedsiębiorców w zakresie zapewnienia akceptowalnego poziomu ryzyka.

Jednocześnie, wychodząc naprzeciw oczekiwaniom, UDT zaangażował się w certyfikację poziomów SIL dla wyrobów oraz certyfikację osób zajmujących się bezpieczeństwem funkcjonalnym. Ostatnio, widząc próby powiązania poziomów nienaruszalności bezpieczeństwa z zagrożeniami związanymi z cyberatakami, UDT poszerzył swoją ofertę o wykonywanie usług auditu w zakresie cyberbezpieczeństwa oraz badania podatności elementów instalacji na cyberatak.

Janusz Samuła Dyrektor Departamentu Innowacji i Rozwoju, UDT