SIL in der Praxis (GER)

FSM in der Praxis
SIL in der Praxis
Landshut, 15. Oktober 2013
Johann Ströbl

Planstatus/ 2TÜV SÜD Industrie Service GmbH
Inhaltsverzeichnis
n FSM
n Lifecycle Haltepunkte
n Validierung Inbetriebnahme
n Betrieb und Instandhaltung
n Sicherheitsbauteile ohne Eignungsnachweis
n Dokumentation
Inhaltsverzeichnis

Sicherheitslebenszyklus
Entstehung des
Sicherheits-
lebenszyklus
Sicherheits-
Management
Technische
Anforderung
Qualifikation
Personal
+
+Fehlerursachen
Außerbetriebnahme
Änderung nach
Inbetriebnahme
Betrieb &
Wartung
Installation &
Inbetriebnahme
Planung &
Implementierung
Spezifikation
Sicherheits-
Lebenszyklus

Inhaltsverzeichnis
Sicherheitsmanagement

Inhalt
1 Ziel / Zweck 3
2 Begriffe und Abkürzungen 4
3 Geltungsbereich 4
4 Organisation im Sicherheitslebenszyklus 4
4.1 Sicherheitsplan (safety lifecycle) 5
4.2 Delegation der Verantwortung 5
4.2.1 Planungsteam 5
4.2.2 Beurteilungsteam 5
4.3 Risikobetrachtung 5
4.3.1 Betrachtung der Risiken im Rahmen der HAZOP 5
4.3.2 Zuordnung des Geltungsbereich der jeweiligen NORM 5
4.3.3 Einstufung der Sicherheitstechnischen Systeme (SIS) 6
4.4 Erstellung des Lastenheft 6
4.5 Erstellen des Pflichtenheft 6
4.6 Implementierung der Software 7
4.7 Verifizierung der Software 7
Managementsystem der funktionalen Sicherheit

• 4.8 Montage und Inbetriebnahme
• 4.9 Validierung
• 4.10 Betrieb und Instandhaltung
• 4.11 Ausserbetriebnahme
• 5 Änderungsmanagement
• 6 Prüfungen im Sicherheitslebenszyklus
• 6.1 Zweck:
• 6.2 Durchzuführende Prüfungen
• 6.2.1 Prüfung des Lastenheft
• 6.2.2 Prüfung des Pflichtenheft
• 6.2.3 Verifizierung der Software
• 6.2.4 Überprüfung der ordnungsgemäßen Durchführung von
Montage und IBN
• 6.2.5 Validierung

Sicherheitslebenszyklus
Manage-
ment und
Be-
urteilung
der
funktio-
nalen
Sicher-
heit und
Audits
VerifikationAufbau und
Planung
des Sicher-
heits-
Lebens-
zyklus
Gefährdungs- und Risiko-Beurteilung
Quelle: DIN EN 61511Quelle: DIN EN 61511--11 -- Bild 8Bild 8
1
Zuordnung der Sicherheitsfunktionen zu
Schutzebene
2
Spezifikation der Sicherheits-
anforderungen an das SIS3
Entwurf und Planung anderer
Maßnahmen zur Risikoreduzierung
9
Entwurf und Planung des SIS
4
Montage, Inbetriebnahme und Validierung
Betrieb und Instandhaltung
Änderung
Außerbetriebsetzung
8
7
6
5
1110
Stufe 5
Stufe 3
Stufe 4
Stufe
1
Stufe 2

Inhaltsverzeichnis
Wartung und Instandhaltung

Prüfungen im LifeCycle
Prüfung des Lastenheftes
Haltepunkte nach
DIN EN 61511 Bild 8
durch das
Beurteilungsteam
Prüfung des Pflichtenheftes
Verifizierung der Software
Validierung vor Inbetriebnahme
Prüfung während des Betriebes
Prüfung nach Änderungen

Prüfung nach
Pflichtenheft und
Softwareerstellung
Prüfungen von Zeichnungen und
Berechnungen
Überprüfung der Auslegung der Schutzkreise anhand von
R+I Schemata, Datenblättern, Stromlaufplänen,
Funktionsplänen etc.
- richtige Komponentenauswahl, Druck, Temperatur,
Medium
- Nachvollziehbarkeit der SIL Berechnungen
- Eignung für die Umgebungsbedingungen

Validierung vor
Inbetriebnahme
100 % Prüfung der Schutzeinrichtungen vom Sensor bis zum
Aktor
auf der Basis von
optischen Prüfungen
Funktionsprüfungen
Messungen

Validierung vor
Inbetriebnahme
optische Prüfung
Überprüfung der geforderten Merkmale und Eigenschaften
der gelieferten Ausrüstungsteile und Bauelemente nach
Einbau, wie z.B.
- spannungsfreier Einbau von Komponenten
- korrekte Einbaulage
- geeignete Dichtmaterialien
- Eignung für die Umgebungsbedingungen

Validierung vor
Inbetriebnahme
Funktionsprüfung
Überprüfung der richtigen Funktion der Schutzkreise
- Prüfung so betriebsnah wie möglich durchführen
- Prüfung vom Sensor bis Aktor unter
Berücksichtigung der Auflagen des zur Komponente
gehörenden safety manual

Validierung vor
Inbetriebnahme
Prüfung durch Messungen
Überprüfung der spezifizierten Grenzwerte
z.B.
- Messung der Einbaulänge einer Überfüllsicherung
- Messung der maximalen Umgebungstemperatur am
Flammenwächter
- Überprüfung der Schließzeit einer Absperreinrichtung

Prüfungen während
des Betriebes
Overrides und Brücken sollen nicht
verwendet werden
Die Verwendung von Overrides und Brücken
ist nur in Ausnahmefällen zulässig
Overrides und Brücken beschränken die Funktion des Schutzkreises
oder schalten sie vollständig aus und schließlich hängt Ihre Sicherheit
vom Schutzkreis ab.
Die Verwendung von Overrides und Brücken, wenn sie denn
unabdingbar verwendet benötigt werden, muss streng geordnet, gelenkt
und überwacht werden.

Austausch von
Komponenten eines
Schutzkreises
Der Austausch zertifizierter Komponenten gegen zertifizierte
Komponenten eines anderen Herstellers ist unzulässig selbst wenn Sie
für den gleichen SIL-Level geeignet sind
Selbst der Austausch zertifizierter Komponenten gegen Komponenten
mit unterschiedlicher Versions- oder Modellnummer ist unzulässig.
Wird eine zertifizierte Komponente im SIL-Loop ausgetauscht, muss die
neue Komponente identisch mit der bisherigen sein…
(gleiches Model, gleiche Firmwareversion.)

Austausch von
Komponenten eines
Schutzkreises
Die in einem Schutzkreis erforderliche Zuverlässigkeit der Komponenten ist
u.a. abhängig von den zyklischen Funktionsprüfungen
Die Komponente eines anderen Herstellers kann die gleiche
Zuverlässigkeit aufweisen aber mit UNTERSCHIEDLICHEN
Anforderungen an die zyklischen Funktionsprüfungen
Wird in einem Schutzkreis eine Komponente gegen eine eines anderen
Herstellers ersetzt sind die Anforderungen an Instandhaltung und
Funktionsprüfungen für den gesamten Schutzkreis betroffen. Der gesamte
Schutzkreis muss neu vom Planungsteam überarbeitet werden.

Prüfungen
während des
Betriebes Kontrolle der Schutzeinrichtungen während des Betriebes
(Warte)
Plausibilität der Messwerte
bei Abweichungen Reaktion durch Operator
Beispiel
O2min Alarm bei ausreichender Luftmenge
Kontrolle der CO Werte
Kontrolle des Flammenbildes vor Ort
Entscheidung durch Operator über Reaktionen

Prüfungen
während des
Betriebes Kontrolle der Sensoren und Aktoren bei Rundgängen
Undichtheiten , Geräusche; Beschädigungen
stimmt vor Ort Anzeige mit PLS überein?
Information der Maintenance bei Unregelmäßigkeiten

Eignung der
Sensoren,
Steuerungen,
Aktoren
Prozessanschluss Sensor ProzessanschlussSteuerung Aktor
SIS (Safety Instrumented System)
Betreiber
Betreiber
Hersteller, Errichter
Klemmen,
Leitungen
Basisbetrachtungen zur SIL-Umsetzung

Sicherheitsbauteile ohne „SIL“
→ Deterministisches Fehlermodell
Fehlerbaumanalyse
redundanter Aufbau mit hochwertiger Fehleraufdeckung
regelmäßige manuelle Prüfung

Fehlerbaumanalyse
nach EN 50156 bzw.
EN 746-2
Fehlerbaumanalyse für hartverdrahteten Teil

Fehlerbetrachtung
Wirksamkeit des
Schutzsystems durch
Erstfehler
beeinträchtigt? 1)
Wirksamkeit des
Schutzsystems durch
zusätzlichen Zweitfehler
beeinträchtigt? 1)
Selbsttätige
Fehlererkennung
bei Fehlereintritt?
Regelmäßige Prüfung
ausreichend?
Automatische
regelmäßige
Prüfung nötig?
Maßnahme bei
ständiger Beaufsich-
tigung ausreichend?
Signal-
verarbeitung?
Zusätzliche
Sicherheits-
maßnahmen
erforderlich
Durchführung von
zusätzlichen Maß-
nahmen zur selbst-
tätigen Fehler-
erkennung
Änderung des
Meldesignals in
Auslösesignal
Betriebsanweisung:
Regelmäßige Prü-
fung bzw. Fehler-
beseitigung
Abbruch der
Fehlerbetrachtung
1
1
1
Für zusätzliche Maßnahmen muss Fehler-
betrachtung erneut durchgeführt werden
ja nein
ja
ja
ja
ja
ja
nein
nein
nein
nein
nein
Auslösesignal
1) In Abhängigkeit von der geforderten
sicherheitsbezogenen
Anforderungstufe müssen bei der Betrachtung
von Erst- und Zweitfehlern
unterschiedliche Fehlermodelle berücksichtigt
werden
siehe Tabelle 3
Fehlerbaumanalyse für hartverdrahteten Teil
Fehlerbaumanalyse
nach EN50156
1

fehlersichere Steuerung mit analogen Gebern in 1v2 Auswahl
Steuerung
P
4-20mA
P
4-20mA
Zertifiziert für Einsatz
in Schutzkreisen mit
erf. Risikoreduzierung
bis
SIL 3
analoge nicht
fehlersichere Geber
diskrepanzüberwacht
bei Auftreten einer
unterschiedlichen
Signalgabe an beiden
Sensoren wird ein Alarm in
der Messwarte abgesetzt
bzw. muss die Anlage
abgeschaltet werden
Teilsystem Sensorik

fehlersichere Steuerung mit analogen Gebern in 2v3 Auswahl
Steuerung
P
4-20mA
P
4-20mA
P
4-20mA
Zertifiziert für Einsatz
mit Risikoreduzierung
bis
SIL 3
analoge nicht
fehlersichere Geber
diskrepanzüberwacht
bei Auftreten eines
Fehlers an einem Sensor
kann dieser ermittelt
werden. Ein Weiterbetrieb
als 1v2 ist möglich
Teilsystem Sensorik

Fehlerausschlüsse nach EN 50156
Teilsystem Aktorik

Dokumentation Entlastung der Verantwortlichen im Schadensfall nur durch
ausreichende Dokumentation möglich
Lebenslauf des Schutzkreises mit
Einstufungen
Ausführung, Datenblätter der
Einzelkomponenten
rechnerischer bzw. argumentativer Nachweis
für die Eignung des Schutzkreises
durchgeführte Wartungen
Änderungen am Schutzkreis

Vielen Dank für Ihre
Aufmerksamkeit!

SIL in der Praxis (GER)

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Andere mochten auch

Andere mochten auch (20)

Ähnlich wie SIL in der Praxis (GER)

Ähnlich wie SIL in der Praxis (GER) (20)

Mehr von ie-net ingenieursvereniging vzw

Mehr von ie-net ingenieursvereniging vzw (20)

SIL in der Praxis (GER)