Bezpieczeństwo funkcjonalne urządzeń w przestrzeniach

Transkrypt

Trzcionka St. Bezpieczeństwo funkcjonalne urządzeń w przestrzeaniach zagrożonych wybuchem.
Bezpieczeństwo przeciwwybuchowe – wybrane zagadnienia. Praca zbiorowa. Główny Instytut Górnictwa, Katowice 2013, (s. 117 - 129)
Stanisław Trzcionka
Bezpieczeństwo funkcjonalne urządzeń
w przestrzeniach zagrożonych wybuchem
Equipment’s functional safety in explosive atmospheres
Streszczenie
W niniejszym artykule dokonano rozeznania sposobów oceny poziomów bezpieczeństwa procesów technologicznych, stosowanych w różnych dyrektywach Unii Europejskiej i normach formułujących wymagania w tym obszarze
oraz zachodzących między nimi relacji. Zakres pracy został ograniczony do urządzeń elektrycznych podlegających
wymaganiom Dyrektywy ATEX [1], przeznaczonych do pracy w przestrzeniach zagrożonych wybuchem gazów, par
cieczy palnych i pyłów. Podjęto próby analizy wymagań dotyczących poziomów nienaruszalności bezpieczeństwa
funkcjonalnego urządzeń elektrycznych/ elektronicznych/elektrycznych programowalnych (E/E/EP), pod kątem
możliwości ich aplikacji w poszczególnych rodzajach budowy przeciwwybuchowej.
Abstract
Paper presents several methods of evaluating safety levels used in different UE directives and standards formulate
requirements in this area, relations between them have been considered. The scope of work was narrowed to electrical devices subjected to requirements of ATEX [1] directive - equipment intended for use in areas endangered with
explosion of flammable gases vapours. Attempts were made to analyse requirements considering levels of functional
safety integrity of electrical/electronic/electronically programmable devices (E/E/EP), in the light of capability of
applying those in different types of explosionproof construction.
————————————
1.
WPROWADZENIE
Problematyka bezpieczeństwa i ochrony zdrowia w
krajach Unii Europejskiej jest regulowana aktami prawnymi na poziomie dyrektyw. Są one wiążące dla państw
członkowskich, które są zobowiązane do dokonania ich
wdrożenia w całości do prawa krajowego
w określonym terminie po ich opublikowaniu w
Dzienniku Urzędowym UE.
W przestrzeniach zagrożonych wybuchem gazów, par
cieczy palnych i pyłów, wymagania dotyczące bezpieczeństwa i ochrony zdrowia w miejscu pracy regulują
dyrektywy: ATEX 100 [1] i ATEX 137. Stosowane
w tym środowisku przemysłowym urządzenia i maszyny, podlegają również dezyderatom dyrektywy maszynowej [3].
Powyższe akty prawne definiują m.in. zagrożenia i minimalne środki oraz sposoby ochrony. Wymagany poziom ochrony jest zapewniany przez spełnienie wymagań norm zharmonizowanych.
Poziom bezpieczeństwa procesu technologicznego jest
jednym z jego istotnych parametrów. Wzrastające
możliwości funkcjonalne elektrycznych, elektronicznych, niejednokrotnie programowalnych układów
sterowania czy monitorowania zagrożeń powodują, że
są one wykorzystywane do coraz trudniejszych zadań
w zakresie bezpieczeństwa ludzi i mienia. Powstaje
pytanie, jaki jest poziom niezawodności takich układów lub urządzeń, w szczególności, jaki jest poziom
niezawodności wykonania przez nie funkcji związanych z bezpieczeństwem?
Funkcja urządzenia związana z bezpieczeństwem może
być realizowana dwojako, przez rozwiązania, które:
a) spełniając swoje zadania nie będą, podczas normalnego działania i w warunkach uszkodzeń, powodowały zagrożeń,
b) podnoszą poziom bezpieczeństwa procesu, monitorując i reagując na zagrożenia.
2.
WYMAGANIA DOTYCZĄCE POZIOMÓW BEZPIECZEŃSTWA
2.1.
Wymagania bezpieczeństwa funkcjonalnego
według PN-EN 61508
Problematyką bezpieczeństwa funkcjonalnego
elektrycznych/elektronicznych/programowalnych
elektronicznych systemów (E/E/PES) związanych
Sympozjum naukowo-techniczne
„Bezpieczeństwo techniczne w przestrzeniach zagrożonych wybuchem.” EpsilonX 2013
Główny Instytut Górnictwa, Katowice
Artykuł został opracowany w ramach Programu Wieloletniego V.B.16, koordynowanego przez Centralny Instytut Ochrony Pracy pt.: „Opracowanie metody
przypisania poziomu nienaruszalności bezpieczeństwa SIL dla typowych, związanych z bezpieczeństwem elektrycznych systemów sterowania maszynami i
urządzeniami w górnictwie węgla kamiennego”.
Tabela 1. Poziomy nienaruszalności bezpieczeństwa według PN-EN 61508
Poziom nienaruszalności bezpieczeństwa
Prawdopodobieństwo defektu funkcji na rzadkie
przywołanie
Prawdopodobieństwo defektu funkcji
na godzinę lub przywołanie ciągłe
4
od ≥ 10-5 do < 10-4
od ≥ 10-9 do < 10-8
3
od ≥ 10-4 do < 10-3
od ≥ 10-8 do < 10-7
2
od ≥ 10-3 do < 10-2
od ≥ 10-7 do < 10-6
1
od ≥ 10-2 do < 10-1
od ≥ 10-6 do < 10-5
SIL
z bezpieczeństwem jest przedmiotem pakietu
norm PN-EN 61508 [18–22]. Określają one wymagania dotyczące bezpieczeństwa funkcjonalnego
rozwiązań konstrukcyjnych i oprogramowania,
które powinno spełniać urządzenie, aby mogło
pełnić funkcje związane z bezpieczeństwem oraz
ogólne zalecenia dotyczące metodyki badań. W
normach PN-EN 61508 zawarto filozofię odchodzącą od jakościowej analizy ryzyka i proponuje się
szacowanie go z wykorzystaniem metod obliczeniowych. Obejmują one oczywiście różne rodzaje
zagrożeń, nie tylko wybuchowe. Dają podstawy do
opracowania wymagań dotyczących poszczególnych grup urządzeń (normy sektorowe). Umożliwiają również określenie ogólnych wymagań dotyczących bezpieczeństwa funkcjonalnego dla urządzeń i systemów, dla których nie opracowano
norm sektorowych. Wprowadzają one nowe pojęcia, z których podstawowymi są:
•
Bezpieczeństwo funkcjonalne
Część bezpieczeństwa całkowitego odnosząca się do
wyposażenia będącego pod kontrolą (EUC) i systemu
sterowania (SRECS), która zależy od prawidłowego
działania systemów E/E/PE związanych z bezpieczeństwem, systemów związanych z bezpieczeństwem wykonanych w innych technikach i zewnętrznych środków do zmniejszania ryzyka,
•
Funkcja bezpieczeństwa (ang. Safety Related Control
Function, SRCF)
•
Poziom nienaruszalności bezpieczeństwa (ang.
Safety Integrity Level, SIL)
Poziom dyskretny (jeden z czterech możliwych) do
wyszczególnienia wymagań nienaruszalności bezpieczeństwa funkcji bezpieczeństwa, które mają być alokowane
w systemach
E/E/PE
związanych
z bezpieczeństwem, przy czym poziom nienaruszalności bezpieczeństwa 4 jest poziomem najwyższym, a
poziom nienaruszalności bezpieczeństwa 1 jest poziomem najniższym
•
Tolerancja defektów sprzętu (ang. Hardware Fault
Tolerance, HFT),
Zdolność jednostki funkcjonalnej do kontynuowania
wypełniania wymaganej funkcji w obecności defektów
lub błędów.
Dane urządzenie może mieć więcej niż jedną funkcję
bezpieczeństwa, funkcje te mogą mieć różne poziomy
nienaruszalności. Ponadto wykonanie funkcji bezpieczeństwa niekoniecznie musi być związane z pojawieniem się zagrożenia, ale np. z brakiem możliwości
ochrony związanym z zanikiem zasilania.
Ogólną koncepcję redukcji ryzyka z zastosowaniem
systemów E/E/PE przedstawia rysunek 1.
Koncepcja opiera się na:
•
•
•
określeniu ryzyka początkowego Rnp,
określeniu ryzyka tolerowanego Rt,
określeniu koniecznej redukcji ryzyka ΔR,
Funkcja, która ma być zaimplementowana przez system
E/E/PE związany z bezpieczeństwem, system związany z bezpieczeństwem wykonany w innej technice lub
zewnętrzne urządzenie do zmniejszenia ryzyka, której
przeznaczeniem jest osiągnięcie lub utrzymanie stanu
bezpiecznego EUC, w odniesieniu do konkretnego
zagrażającego zdarzenia,
Ryzyko (Rnp) = Fnp × C
Konsekwencje
zdarzenia zagrażającego
gdzie Rt = Ft × C
C
Ryzyko
EUC
Częstość zdarzenia zagrażającego
Ryzyko < Rt
Związany z bezpieczeństwem system zabezpieczeń, wymagany do
osiągnięcia koniecznego zmniejszenia ryzyka
Docelowe
ryzyko tolerowalne
Fnp
Konieczne zmniejszenie ryzyka
Nienaruszalność bezpieczeństwa
systemu zabezpieczeń wymaganego
do osiągnięcia koniecznego zmniejszenia ryzyka
•
określenie prawdopodobieństwa niewypełnienia
Rys. 1. Przypisanie nienaruszalności bezpieczeństwa systemu zabezpieczeń związanego z bezpieczeństwem [21]
gdzie:
C
– konsekwencje zdarzenia zagrażającego,
Fp
– częstość ryzyka po zastosowaniu sposobów zabezpieczeń,
PFDavg
– średnie prawdopodobieństwo nie wypełnienia na żądanie funkcji przez system zabezpieczeń związany z bezpieczeństwem,
które jest miarą utraty nienaruszalności
bezpieczeństwa systemu funkcjonującego w
rodzaju pracy na rzadkie przywołanie,
Ft
Fnp
•
•
– częstości ryzyka związana z ryzykiem tolerowalnym,
na żądanie funkcji systemu zabezpieczeń związanego z bezpieczeństwem (PFDavg), aby uzyskać
konieczne zmniejszenie ryzyka (UR). Dla stałych
konsekwencji w konkretnej opisanej sytuacji
PFDavg ≤ Ft/Fnp = UR;
dla PFDavg = Ft/Fnp, poziom nienaruszalności bezpieczeństwa można wyznaczyć z tabeli 1.
przydział koniecznej redukcji ryzyka do systemu
automatyki zabezpieczeniowej, systemów zabezpieczeń opartych na innych technikach oraz środków zewnętrznej redukcji ryzyka.
Poziomy SIL określają dopuszczalne prawdopodobieństwa tzw. uszkodzenia niebezpiecznego, to
znaczy takiego, które uniemożliwi urządzeniu wykonanie jego funkcji związanej z bezpieczeństwem.
Poziomy SIL określa się oddzielnie dla funkcji na
tzw. rzadkie przywołanie (nie częściej niż raz
– częstość przywołań systemu zabezpieczeń
związanego z bezpieczeństwem.
Kroki niezbędne do uzyskania określonego poziomu
nienaruszalności bezpieczeństwa dla sytuacji, w której
całkowite konieczne zmniejszenie ryzyka jest uzyskiwane przez pojedynczy system zabezpieczeń związany
z bezpieczeństwem, który musi zmniejszać częstość
zagrożenia co najmniej z Fnp do Ft, są następujące:
Kategoryzacja za pomocą SIL bierze pod uwagę:
•
•
•
•
określenie częstościowego składnika ryzyka EUC,
bez dodawania jakichkolwiek sposobów zabezpieczających (Fnp);
określenie konsekwencji C, bez dodawania jakichkolwiek sposobów zabezpieczających;
określenie, przy użyciu zawartych w normach
tablic, czy dla częstości Fnp i konsekwencji C osiągnięty zostanie poziom ryzyka tolerowalnego Ft;
w roku) i częste przywołanie (np. co godzinę lub w
sposób ciągły). Poziomy te podano w tabeli 1.
•
Niezawodność funkcji bezpieczeństwa w ujęciu
ilościowym. Wskaźnik uszkodzenia niebezpiecznego funkcji bezpieczeństwa musi być mniejszy od
tego, który prowadzi do nieakceptowanego poziomu zagrożenia.
Niezawodność w ujęciu ilościowym. Techniki
użyte w projekcie, serwisie itp. podczas całego cyklu życia urządzenia lub systemu musi zapewniać,
Tabela 2. Tolerancja defektu modułów złożonych zgodnie z EN 61508-2
Udział uszkodzenia
Minimalna tolerancja defektu sprzętu
(na rzadkie przywołanie)
bezpiecznego
< 60%
60% do 90%
90% do 99%
≥ 99%
0
SIL1
SIL2
SIL3
SIL3
1
SIL2
SIL3
SIL4
SIL4
2
SIL3
SIL4
SIL4
SIL4
Tabela 3. Tolerancja defektu modułów złożonych zgodnie z EN 61508-2
Udział uszkodzenia
Minimalna tolerancja defektu sprzętu
bezpiecznego
(na częste przywołanie)
0
1
2
< 60%
nieosiągalny
SIL1
SIL2
SIL1
SIL2
SIL3
60% do 90%
90% do 99%
SIL2
SIL3
SIL4
SIL3
SIL4
SIL4
≥ 99%
•
ze współczynnik uszkodzeń systematycznych będzie mniejszy niż współczynnik przypadkowych
uszkodzeń sprzętowych.
Ograniczenia architekturowe bazujące na tolerancji defektu i charakterystykach uszkodzeń bezpiecznych. Powoduje to ograniczenia możliwego
do osiągnięcia, w danym rozwiązaniu poziomu
SIL. Zależności te przedstawiono w tabelach 2 i 3.
Powstaje pytanie, czy tak wysokie poziom nienaruszalności bezpieczeństwa jest racjonalny? Przyjęte prawdopodobieństwo uszkodzenia niebezpiecznego na godzinę dla SIL1 oznacza, że funkcja bezpieczeństwa może
nie zostać wykonana raz na 11,4 lat, a każdy wyższy
poziom podnosi tę wartość o rząd. Biorąc pod uwagę,
że ta kategoryzacja jest stosowana tam, gdzie od poziomu zabezpieczenia zależy życie wielu osób (systemy
bezpieczeństwa elektrowni atomowych, układy sterowania samolotów, szybkiej kolei itp.) tak wysokie poziomy nienaruszalności bezpieczeństwa są uzasadnione.
Oczywiście nie mogą one zostać osiągnięte poprzez
odpowiednio przygotowany projekt i staranne wykonanie urządzenia. Producent jest zobowiązany do przekazania użytkownikowi wszelkich informacji niezbędnych
do utrzymania osiągniętego poziomu SIL, dotyczących
częstotliwości serwisu, wymian podzespołów itp. i
rygory te muszą być przestrzegane przez cały czas eksploatacji (cykl życia) urządzenia.
2.2. Wymagania dotyczące bezpieczeństwa maszyn według Dyrektywy 95/16/WE,
z późniejszymi zmianami
Zharmonizowana z dyrektywą maszynową norma PNEN 954-1 wprowadzała, bazujące na jakościowo definiowanej tolerancji defektu uszkodzenia, kategorie
urządzeń i systemów jako B, 1, 2, 3. Takie podejście
sprawdzało się przy ocenie urządzeń prostych, nieposiadających oprogramowania, w których stan po wystąpieniu uszkodzenia jest łatwy do określenia.
Tabela 4. Poziomy PL i ich powiązanie z poziomami SIL
PL
a
b
c
d
e
Średnie prawdopodobieństwo
uszkodzenia niebezpiecznego
nas godzinę
≥ 10-5 do < 10-4
≥ 3 × 10-6 do < 10-5
≥ 10-6 do < 3 × 10-6
≥ 10-7 do < 10-6
≥ 10-8 do < 10-7
SIL
brak powiązania
1
1
2
3
Tabela 5. Poziomy zabezpieczenia według Dyrektywy ATEX
Urządzenie
Grupa
Kategoria
Poziom zabezpieczenia
M1
bardzo wysoki
M2
wysoki
1
bardzo wysoki
2
wysoki
3
normalny
I
II
Po nowelizacji dyrektywy w roku 2006 [3] opracowano
normę PN-EN 13849-1 [6], która kategoryzuje urządzenia i systemy według poziomów PL (ang. performance
level), bazując na tolerancji uszkodzenia. Zestawienie
poziomów PL i ich powiązanie z poziomami SIL
przedstawia tabela 4.
2.3. Kategorie bezpieczeństwa według dyrektywy
ATEX
Załącznik I dyrektywy ATEX [1] wprowadza pojęcia
grupy i kategorii. Urządzenia grupy I są przeznaczone
do stosowania w podziemiach kopalń, gdzie zagrożenie
wybuchem powoduje metan. Urządzenia grupy II są
przeznaczone do stosowania w innych miejscach zagrożonych występowaniem atmosfer wybuchowych.
Grupy wewnętrznie są dzielone na kategorie. W grupie
I podział na kategorie zależy od tego, czy dane urządzenie może pracować w obecności wybuchowych
stężeń metanu, czy powinno zostać wyłączone. Typowymi przykładami urządzeń kategorii M1 są czujniki
gazometryczne. W grupie II podział na kategorie zależy
od tego, gdzie urządzenie ma być użytkowane oraz od
tego czy atmosfera wybuchowa jest obecna stale, czy
prawdopodobne jest jej wystąpienie w krótszym lub
dłuższym okresie. Zestawienie poziomów zabezpieczenia przedstawia tabela 5.
Jeżeli urządzenie ma być zakwalifikowane do kategorii
1 to powinno:
•
•
posiadać dwa niezależne środki zabezpieczenia
(rodzaje budowy przeciwwybuchowej), np. zasilanie iskrobezpieczne i osłonę ognioszczelną,
być zabezpieczone w przypadku 2 niezależnych
uszkodzeń.
Warunki pracy
Urządzenie może pracować w warunkach występowania
atmosfery wybuchowej metanu
(podziemia i powierzchnia kopalń)
Urządzenie wyłączane w czasie występowania mieszaniny
wybuchowej metanu
Urządzenie może pracować w strefach:
0, 1, 2 (G) lub 20, 21, 22, (D)
1, 2 (G) lub 21, 22, (D)
2 (G) lub 22, (D)
Urządzenie kategorii 2 powinno mieć zabezpieczenie
wystarczające w czasie normalnej pracy oraz często
występujących zakłóceń lub uszkodzeń.
Urządzenia kategorii 3 powinno mieć zabezpieczenie
wystarczające podczas normalnej pracy.
Jeżeli urządzenie zawiera kilka potencjalnych źródeł
zapłonu, to należy rozpatrzeć każde z nich.
2.4.
Podsumowanie wymagań norm PN-EN
13849-1 i PN-EN 61508 stosowanych do urządzeń
objętych dyrektywą ATEX
Normy PN-EN 61508 dają ogólne spojrzenie na nienaruszalność bezpieczeństwa i obejmują wszystkie typy
urządzeń E/E/EP pełniące funkcje bezpieczeństwa.
Normy te określają liczbowo poziom nienaruszalności,
z uwzględnieniem tolerancji uszkodzenia jako górnego
ograniczenia SIL. Norma PN-EN 13849-1 bazuje tylko
na tolerancji uszkodzenia, przy czym ta kwalifikacja nie
jest w pełni zgodna z kategoriami dyrektywy ATEX.
Podjęto próby integracji wymagań SIL i tolerancji
uszkodzenia przedstawionej w dyrektywie ATEX.
Pierwszą taką próbę był projekt SAFEC [4] realizowany
przez wszystkie jednostki badawcze ówczesnej Unii
Europejskiej (lata od 1999 do 2000), działające w obszarze dyrektywy. Wyniki tego projektu zalecają stosowanie poziomów nienaruszalności bezpieczeństwa
według PN-EN 61508-1 w urządzeniach bezpieczeństwa stosowanych w przestrzeniach zagrożonych wybuchem gazów, par cieczy palnych i pyłów. Przez urządzenia (elementy, systemy) bezpieczeństwa rozumie się
urządzenia, które są wymagane lub przyczyniają się do
bezpiecznego funkcjonowania urządzeń zabezpieczanych (EUC) w przestrzeniach zagrożonych wybuchem.
Urządzenie bezpieczeństwa wprowadza zabezpieczenie
przeciwwybuchowe przez realizację funkcji bezpieczeń-
stwa. Może składać się z jednego lub kilku elementów,
które tworzą przyrządowy system bezpieczeństwa
(SIS). Urządzenie to może być zamontowane wewnątrz
urządzenia zabezpieczanego (EUC) jako jego element
lub zainstalowane oddzielnie (poza strefą) i uważane za
urządzenie towarzyszące. W obydwu przypadkach
urządzenie bezpieczeństwa musi spełniać wymagania
budowy przeciwwybuchowej.
Na bazie analiz zawartych w raporcie [4] powstały
normy sektorowe, określające wymagania dotyczące
poziomu nienaruszalności bezpieczeństwa urządzeń
pracujących w przestrzeniach zagrożonych wybuchem,
dotyczące urządzeń bezpieczeństwa [8] i systemów
ochronnych [7].
Każde urządzenie przeznaczone do pracy w przestrzeniach zagrożonych musi cechować się jakimś rodzajem
budowy przeciwwybuchowej, która istotnie ogranicza
prawdopodobieństwo, że stanie się ono – tak w warunkach normalnego działania, jak w przewidywalnych
stanach awaryjnych – źródłem inicjału wybuchu.
Oczywiście urządzenie powinno również wykonywać
działania, do których zostało zaprojektowane. Rolą
konstruktora jest pogodzenie tych dwóch, niejednokrotnie sprzecznych funkcji. Metodyka oceny nienaruszalności bezpieczeństwa jest znacznie późniejsza od
metodyki oceny różnych rodzajów budowy przeciwwybuchowej. Dlatego obecnie urządzenie przewidziane do
pracy w przestrzeniach zagrożonych wybuchem musi
spełniać wymagania właściwych norm zharmonizowanych. Normy te explicite określają szczegóły dotyczące
konstrukcji urządzeń, wymagania dla użytych w nich
elementów odpowiedzialnych za bezpieczeństwo przeciwwybuchowe i podają metodykę badań. Norma dotycząca budowy iskrobezpiecznej [15] na przykład określa
m.in. jakie elementy odpowiadają za iskrobezpieczeństwo, które elementy można uznać za nieuszkadzalne
(po spełnieniu zdefiniowanych warunków) itp. W niektórych rodzajach budowy przeciwwybuchowej (szczególnie iskrobezpiecznej) elementy elektryczne zabezpieczające przed zagrożeniem wybuchem można rozpatrywać jako elementy bezpieczeństwa i analizować ich
poziom nienaruszalności z zastosowaniem metod obliczeniowych proponowanych w normie [22]. Łatwo
można obliczyć na przykład SIL równoległego zespołu
ochronnego jeżeli znany jest jego schemat i użyte podzespoły. Oczywiście problem analizy i obliczeń komplikuje się wraz ze wzrostem stopnia złożoności rozwiązania elementu bezpieczeństwa.
bezpieczeństwa. Oczywiście normy dotyczące danego
rodzaju budowy przeciwwybuchowej stawiają im jakościowe wymagania techniczne, wynikające z badań
przeprowadzonych przez różne stacje badawcze w
przeszłości.
Są
to
wymagania
wynikające
z doświadczenia i przyjętych założeń. Przy wyznaczaniu
minimalnego prądu zapalającego (MIC) obwodu iskrobezpiecznego przyjęto na przykład prawdopodobieństwo zapalenia p = 10-3 [5], które w normach serii 60079
zostało istotnie obniżone. Jednakże, w przypadku konieczności podniesienia kategorii bezpieczeństwa urządzenie (EUC), aby uzasadnić niezawodność rozwiązania redundancyjnego, należy znać SIL układu, określony przez tolerancje defektów.
Funkcje bezpieczeństwa urządzeń budowy przeciwwybuchowej związane są z utrzymaniem danego rodzaju
zabezpieczenia w warunkach normalnej eksploatacji i w
stanach awarii. Dlatego procedura badania typu urządzenia rozpoczyna się od oceny potencjalnych źródeł
zapłonu
Jest kilka sposobów zapewnienia urządzeniu budowy
przeciwwybuchowej. Ogólne wymagania dla wszystkich
rodzajów określa norma PN-EN 60079-0 [9]. Nie
wszystkie z nich upoważniają do ich zastosowania we
wszystkich przestrzeniach zagrożonych wybuchem.
2.4.1. Zabezpieczenie urządzeń za pomocą osłon ognioszczelnych „d” (PN-EN 60079-1) [10]
Ten rodzaj budowy przeciwwybuchowej dopuszcza
możliwość wybuchu wewnątrz obudowy, ale skutki
tego zdarzania nie mogą się przenieść do atmosfery
zewnętrznej. Czyli obudowa powinna być odporna na
ciśnienie wybuchu, a szczeliny połączeń elementów
obudowy powinny być na tyle długie aby płomień wybuchu nie przeniósł się na zewnątrz. Temperatura zewnętrznych elementów obudowy nie może przekroczyć
dopuszczalnych wartości. Urządzeniami bezpieczeństwa w tym rodzaju budowy przeciwwybuchowej są
elementy blokujące zasilanie lub możliwość otwarcia.
2.4.2
Zabezpieczenie urządzeń za pomocą osłon gazowych z
nadciśnieniem „p” (PN-EN 60079-2) [11]
Istotą zabezpieczenia jest nadciśnienie gazu inertyzującego wewnątrz obudowy urządzenia, uniemożliwiające
wnikanie do jego wnętrza atmosfery zewnętrznej.
Urządzeniami bezpieczeństwa w tym rodzaju budowy
są elementy kontrolujące ciśnienie wewnętrzne, aby nie
dopuścić do nadmiernego nadciśnienia lub wyrównania
się ciśnień wewnątrz i na zewnątrz obudowy.
W większości rodzajów budowy przeciwwybuchowej
2.4.3. Zabezpieczenie urządzeń za pomocą osłony piaskowej
można wyodrębnić elementy lub układy elektryczne,
„q” (PN-EN 60079-5) [12]
które pełnią funkcje związane z bezpieczeństwem przeciwwybuchowym, czyli są urządzeniami (elementami)
Tabela 6. Minimalne wymagania poziomu nienaruszalności bezpieczeństwa
i tolerancji defektu urządzenia bezpieczeństwa
Tolerancja defektu sprzętu EUC
2
1
0
1
0
0
Tolerancja defektu sprzętu (HFT)
–
0
1
–
0
–
Poziom nienaruszalności bezpieczeństwa
–
SIL 1
SIL 2
–
SIL 1
–
Urządzenie bezpieczeństwa
Urządzenie scalone
Grupa I Kategoria
Grupa II, III Kategoria
Ten typ budowy przeciwwybuchowej jest realizowany
przez osłonięcie elementów, które w warunkach awarii
mogą generować iskry elektryczne lub osiągać wysokie
temperatury, warstwą piasku. Urządzeniami bezpieczeństwa w tym przypadku mogą być elementy ograniczające moc dostarczaną do urządzenia.
2.4.4. Zabezpieczenie urządzeń za pomocą osłony olejowej
„o” (PN-EN 60079-6) [13]
Budowa podobna jak punkcie 2.4.3, lecz osłonę stanowi warstwa oleju. Elementami, które pełnią funkcję
bezpieczeństwa są najczęściej czujniki poziomu oleju i
– jeżeli obudowa jest szczelna – czujniki ciśnienia.
2.4.5. Zabezpieczenie urządzeń za pomocą osłony wzmocnionej „e” (PN-EN 60079-7) [14]
M1
M2
-
1
2
3
zapewniają iskrobezpieczeństwo. Są to nieuszkadzalne
rezystory, transformatory, równoległe ograniczniki
napięci, kondensatory blokujące, bezpieczniki itp.
2.4.7. Zabezpieczenie urządzeń za pomocą budowy typu „n”
(PN-EN 60079-15) [16]
Jest to tzw. budowa zwykła, stosowana wyłącznie w
przestrzeniach, w których nie przewiduje się pojawienia
atmosfer wybuchowych, a jeżeli wystąpią, to rzadko
i w ciągu krótkiego przedziału czasu. Elementami bezpieczeństwa w tym przypadku, są bezpieczniki, blokady
mechaniczne lub elektryczne i ograniczniki mocy.
2.4.8. Zabezpieczenie urządzeń za pomocą hermetyzacji „m”
(PN-EN 60079-18) [17]
Ten rodzaj budowy przeciwwybuchowej od samego
początku związany jest z urządzeniami zabezpieczającymi. W przypadku na przykład maszyn wirnikowych,
wymagane jest stosowanie zabezpieczenia zapewniającego wyłączenie maszyny w przypadku utknięcia w
czasie nie dłuższym niż czas tE.
Jest to rodzaj budowy podobny do opisanych w poprzednich punktach. Osłonę stanowi masa chemoutwardzalna, która izoluje elementy potencjalnie zdolne
do zainicjowania wybuchu od otaczającej atmosfery.
Elementami bezpieczeństwa są podzespoły elektryczne,
które zapewniają ograniczenie mocy dostarczanej do
urządzenia i temperatury jego elementów.
2.4.6. Zabezpieczenie urządzeń za pomocą iskrobezpieczeństwa „i” (PN-EN 60079-11) [15]
2.5. Zmiana kategorii urządzenia przez zastosowanie urządzeń bezpieczeństwa
Jest to rodzaj budowy stosowany w urządzeniach o
najwyższej kategorii bezpieczeństwa. Istotą zabezpieczenia jest ograniczenie mocy dostarczanej i gromadzonej (elementy pojemnościowe i indukcyjne) w urządzeniu do takich wartości, aby w warunkach dopuszczalnych uszkodzeń, ani iskra elektryczna podczas
zwarcia w dowolnym obwodzie urządzenia ani temperatura elementu nie mogła zapalić mieszaniny wybuchowej. Elementami bezpieczeństwa w tym rodzaju
budowy przeciwwybuchowej są te podzespoły, które
Kategoryzacja urządzeń budowy przeciwwybuchowej
bazuje na tolerancji defektów sprzętu. Kategorię urządzenia można podwyższyć, stosując dodatkowe urządzenie bezpieczeństwa. Istotny jest wówczas jego poziom niezawodności. Urządzenie bezpieczeństwa powinno mieć poziom niezawodności zależny od konieczności zmniejszenia zagrożenia zapłonem urządzenia zabezpieczanego. Relacje pomiędzy minimalnymi
wymaganiami
nienaruszalności
bezpieczeństwa
i tolerancją defektu urządzenia bezpieczeństwa przedstawia tablica 6.
•
Jeżeli potencjalne źródło zapłonu urządzenia EUC
może się uaktywnić po wystąpieniu jednego uszkodzenia, ale jest zabezpieczone przez urządzenie bezpieczeństwa o HFT = 0, to jest ono zabezpieczone w
przypadku wystąpienia jednego uszkodzenia. Czyli
wprowadzenie jednego urządzenia bezpieczeństwa,
nawet o zerowej tolerancji defektu, zwiększa odporność
na uszkodzenia układu EUC + urządzenie bezpieczeństwa o 1. To znaczy, że jeżeli EUC jest kategorii 3,
wprowadzenie urządzenia bezpieczeństwa spowoduje,
że EUC będzie spełniało wymagania dotyczące odporności na uszkodzenia odpowiadające kategorii 2. Jeżeli
urządzenie bezpieczeństwa będzie miało HFT = 1 to
EUC jest zabezpieczone w przypadku wystąpienia
dwóch uszkodzeń i spełnia wymagania odporności na
defekty dla kategorii 1. Oczywiście ta zasada musi być
zastosowana do każdego źródła zapłonu w urządzeniu
EUC.
•
3.
PROCEDURA OCENY POZIOMU BEZPIECZEŃSTWA URZĄDZEŃ PRZECIWWYBUCHOWYCH I WSPOMAGAJĄCYCH
BEZPIECZEŃSTWO W PRZESTRZENIACH ZAGROŻONYCH WYBUCHEM
GAZU
Norma PN-EN 61508 zaleca przeprowadzać ocenę
poziomu bezpieczeństwa w następujących etapach:
•
•
•
•
•
dokonanie analizy funkcjonalnej urządzenia lub
systemu,
predykcja współczynnika uszkodzenia,
analiza stanu po uszkodzeniu,
modelowanie różnych stanów urządzenia lub systemu po uszkodzeniu,
ocena poziomu nienaruszalności bezpieczeństwa.
Ponieważ poszczególne grupy urządzeń pełniących te
same funkcje mają różne stopnie złożoności, zaleca się
ich modularyzację i wyznaczanie SIL poszczególnych
modułów, a następnie łączenie modułów (szeregowo
lub równolegle) tak, by mogła zostać zrealizowana
funkcja bezpieczeństwa.
3.1.
Analiza funkcjonalna
Celem analizy funkcjonalnej jest określenie funkcji,
które należy uznać za funkcje bezpieczeństwa. Można
do tego użyć procedur analitycznych, takich jak:
•
analiza schematów elektrycznych (blokowych i
ideowych),
3.2.
procedurę SADT (ang. Structured Analysis and Design Technique),
procedurę SA_RT (ang. Safety Analysis_RT) lub
inne.
Predykcja współczynnika uszkodzenia
Kalkulacja jest prowadzona tylko w stosunku do elementów, od których zależy realizacja danej funkcji bezpieczeństwa. Dane o częstotliwości i charakterze
uszkodzeń elementów elektrycznych lub elektronicznych są dostępne w bazach danych: typu Military
Handbook [23], CNET, OREDA, IEEE Std 352 lub
innych. Korzystne jest, gdy producent urządzenia gromadzi własne dane o średnim czasie między uszkodzeniami elementów, podzespołów czy modułów, które
stosuje w swoich urządzeniach. Te dane mogą być
zbierane przez punkty serwisowe producenta.
3.3.
Analiza stanu po uszkodzeniu
Po zidentyfikowaniu elementów, które biorą udział w
realizacji funkcji bezpieczeństwa, należy określić stan
urządzenia po uszkodzeniu i jego wpływ na bezpieczeństwo. Celem tej analizy jest ustalenie uszkodzeń
niebezpiecznych i ilościowe oszacowanie prawdopodobieństwa zajścia takich zdarzeń.
Służy do tego najczęściej model analityczny nazywany
FMECA (ang. Failure Models Effects and Criticality Analysis). Umożliwia on identyfikację:
•
•
uszkodzeń niebezpiecznych, które prowadzą do
stanu zagrożenia,
możliwych zabiegów serwisowych, które mogą
podnieść poziom nienaruszalności bezpieczeństwa.
Uszkodzenia są grupowane w czterech klasach:
•
•
•
•
wykrywalne uszkodzenia niebezpieczne, które
wpływają na zdolność pełnienia funkcji bezpieczeństwa (λDD),
niewykrywalne uszkodzenia niebezpieczne, które
wpływają na bezpieczeństwo (λDU),
wykrywalne uszkodzenia bezpieczne, które wpływają tylko na czas niedostępności urządzenia, powodowany koniecznością usunięcia usterki (λSD),
niewykrywalne uszkodzenia bezpieczne, które
wpływają tylko na czas niedostępności urządzenia
powodowany koniecznością usunięcia usterki
(λSU).
Uszkodzenia bezpieczne (λS) to takie, które nie powodują obniżenia bezpieczeństwa urządzenia; może ono
nadal pełnić swoje funkcje związane z bezpieczeństwem.
Uszkodzenia niebezpieczne (λDU) to takie, którego
konsekwencje prowadzą do stanu zagrożenia.
3.4. Modelowanie różnych stanów urządzenia lub
systemu po uszkodzeniu
Istniejące systemy można podzielić na trzy typy:
•
•
•
systemy bezpieczne po uszkodzeniu,
systemy z redundancją,
systemy bez redundancji.
4.1.
Normy dotyczące poszczególnych rodzajów
budowy przeciwwybuchowej w wielu punktach stawiają
wymóg obecności elementów bezpieczeństwa, nie precyzując ich niezawodności. Dotyczy to przede wszystkim układów zabezpieczających i pomiarowych wspomagających skuteczność danego rodzaju budowy: zamknięć, blokad, elementów nieuszkadzalnych, układów
pomiaru temperatury itp. Wymagania ograniczają się
najczęściej do określenia poziomu tolerancji uszkodzeń.
W tych przypadkach wskazane jest zastosowanie
uszczegółowionej metodyki oceny przedstawionej w
pakiecie norm PN-EN 61508.
Systemy bezpieczne po uszkodzeniu to systemy, w
których uszkodzenie każdego elementu prowadzi do
stanu bezpiecznego. W takich systemach nie określa się
prawdopodobieństwa uszkodzeń niebezpiecznych
(λDU).
4.2
Filozofia podejścia do zagadnień oceny poziomu nienaruszalności bezpieczeństwa jest znacznie późniejsza niż szczegółowe wymagania norm poszczególnych rodzajów budowy przeciwwybuchowej. Dlatego
obecnie urządzenie przewidziane do pracy w przestrzeniach zagrożonych wybuchem musi spełniać wymagania właściwych norm zharmonizowanych. Ale istnieje
możliwość przełożenia wymagań tych norm na poziom
nienaruszalności bezpieczeństwa.
Systemy bez redundancji są systemami prostymi, w
których w przypadku uszkodzenia może zostać utracona zdolność pełnienia funkcji bezpieczeństwa. Możliwe
do osiągnięcia są zarówno stany bezpieczne jak i niebezpieczne. Obliczanie prawdopodobieństwa uszkodzenia niebezpiecznego sprowadza się do obliczeń
opartych na współczynniku uszkodzenia niebezpiecznego metodą FMACA (λDU).
4.3
Istnieje możliwość aprecjacji kategorii zabezpieczenia urządzenia budowy przeciwwybuchowej poprzez zastosowanie dodatkowych urządzeń bezpieczeństwa. Jednakże, urządzenie takie powinno mieć wyznaczony poziom nienaruszalności bezpieczeństwa SIL i
tolerancję defektów sprzętu. Wyznaczenia tych parametrów można dokonać w oparciu o metodykę podaną
w normach serii PN-EN 61508.
W systemach z redundancją utrata funkcji bezpieczeństwa może nastąpić w wyniku kombinacji uszkodzeń
zależnej od zaimplementowanej logiki działania. Analizuje się je metodą drzewa uszkodzeń lub metodą niezawodności schematu blokowego.
4.4
Właściwa chronologia działań podczas oceny
zagrożenia wybuchowego w zakładach przemysłowych
powinna być następująca:
Różne uszkodzenia i stany działania mogą być modelowane grafami Markova uwzględniającymi aspekty
czasowe, prewencyjne działania serwisowe i testy autodiagnostyczne.
•
Dla tych trzech typów obliczenia prawdopodobieństwa
wystąpienia uszkodzenia niebezpiecznego prowadzi się
w różny sposób.
3.5.
Ocena poziomu nienaruszalności bezpieczeństwa
•
•
•
Różne stany systemu rozpatrywano w punkcie 3.4.
Należy zatem, za pomocą obliczeń matematycznych
porównać osiągnięty poziom z wymaganiami SIL.
Należy obliczyć we wszystkich przypadkach prawdopodobieństwo uszkodzenia niebezpiecznego. Obliczenia prowadzi się dla czasu między kolejnymi autotestami urządzenia lub czasu pomiędzy kolejnymi przeglądami serwisowymi.
4.
PODSUMOWANIE I WNIOSKI
należy dokonać przeglądu zagrożeń wybuchowych,
przyjąć akceptowalny poziom ryzyka wybuchu,
biorąc pod uwagę potencjalne straty i koszty prewencji,
w oparciu o ustalony poziom ryzyka wyznaczyć
SIL ogólnego systemu bezpieczeństwa,
postawić wymagania dotyczące poziomu nienaruszalności bezpieczeństwa wszystkich elementów
wchodzących w skład tego systemu (systemy gazometryczne, elementy wykonawcze, informatyczne systemy archiwizujące, itd.), który powinien być
co najmniej równy poziomowi nienaruszalności
bezpieczeństwa ogólnego systemu.
Literatura
[1]
Dyrektywa Parlamentu Europejskiego i Rady z dnia
23 marca 1994 w sprawie ujednolicenia przepisów
prawnych państw członkowskich, dotyczących urzą-
[2]
[3]
[4]
[5]
[6]
[7]
[8]
[9]
[10]
[11]
[12]
[13]
[14]
dzeń i systemów ochronnych przeznaczonych do
użytku w przestrzeniach zagrożonych wybuchem;
94/9/WE (tekst ujednolicony na podstawie tekstu
oficjalnego). Katowice, Główny Instytut Górnictwa
listopad 1999 r.
Rozporządzenie Ministra Gospodarki, Pracy i Polityki
Społecznej z dnia 28 lipca 2003, w sprawie zasadniczych wymagań dla urządzeń i systemów ochronnych
przeznaczonych do użytku w przestrzeniach zagrożonych wybuchem (DZ. U. Nr 143, poz. 1393) z
późniejszymi zmianami.
Dyrektywa Parlamentu Europejskiego i Rady
2006/42/WE, z dnia 17 maja 2006 r. w sprawie ujednolicenia przepisów dotyczących maszyn, zmieniająca
dyrektywę 95/16/WE. OJ L 157, 26, 9.06.2006.
Determination of safety categories of electrical devices used in potentially explosive atmospheres
(SAFEC). Contract SMT4-CT98-2255, FINAL REPORT
Frączek J. (1995): Aparatura przeciwwybuchowa w
wykonaniu iskrobezpiecznym. Katowice, Śląskie Wydaw. Techniczne.
PN-EN ISO 13849-1:2008/AC:2009. Bezpieczeństwo maszyn – Elementy systemów sterowania związane z bezpieczeństwem – Część 1: Ogólne zasady
projektowania (oryg.).
PN-EN 15233:2009 Metodyka oceny bezpieczeństwa
funkcjonalnego systemów ochronnych do przestrzeni
zagrożonej wybuchem.
PN-EN 50495:2013 Urządzenia zabezpieczające
niezbędne do bezpiecznego działania urządzeń ze
względu na zagrożenia wybuchem.
PN-EN-60079-0:2013 Atmosfery wybuchowe. Część
0: Urządzenia – Podstawowe wymagania (org).
PN-EN 60079-1:2010 Atmosfery wybuchowe.
Część 1. Zabezpieczenie urządzeń za pomocą osłon
ognioszczelnych „d”.
Część 2. Zabezpieczenie urządzeń za pomocą osłon
gazowych „p”.
Część 5. Zabezpieczenie urządzeń za pomocą osłony
piaskowej „q”.
Część 6. Zabezpieczenie urządzeń za pomocą osłony
olejowej „o”.
Część 7. Zabezpieczenie urządzeń za pomocą budowy wzmocnionej „e”.
[15]
[16]
[17]
[18]
[19]
[20]
[21]
[22]
[23]
Część 11. Zabezpieczenie urządzeń za pomocą iskrobezpieczeństwa „i”.
PN-EN 60079:-15:2010 Atmosfery wybuchowe.
Część 15. Zabezpieczenie urządzeń za pomocą budowy typu „n”.
PN-EN 60079-18:2011 Atmosfery wybuchowe
Część 18. Zabezpieczenie urządzeń za pomocą hermetyzacji „m”.
PN-EN 61508-1:2010. Bezpieczeństwo funkcjonalne
elektronicznych systemów związanych z bezpieczeństwem – Część 1: Wymagania ogólne (oryg.).
PN-EN 61508-2:2010. Bezpieczeństwo funkcjonalne
elektronicznych systemów związanych z bezpieczeństwem – Część 2: Wymagania dotyczące elektrycznych/elektronicznych/programowalnych
elektronicznych systemów związanych z bezpieczeństwem (oryg.).
PN-EN 61508-3:2010 Bezpieczeństwo funkcjonalne
elektronicznych systemów związanych z bezpieczeństwem – Część 3: Wymagania dotyczące oprogramowania (oryg.).
elektronicznych systemów związanych z bezpieczeństwem – Część 5: Przykłady metod określania poziomów nienaruszalności bezpieczeństwa (oryg.).
elektronicznych systemów związanych z bezpieczeństwem – Część 6: Wytyczne do stosowania IEC
61508-2 i IEC 61508-3 (oryg.).
Military Handbook. Electronic reliability design handbook. Department of Defense USA; October 1998 +
późniejsze aktualizacje.
Informacje dodatkowe o autorze
dr inż. Stanisław Trzcionka Główny Instytut Górnictwa, Kopalnia Doświadczalna BARBARA.
tel (32) 32 36 562, email: [email protected]
www.kdbex.eu .

Bezpieczeństwo funkcjonalne urządzeń w przestrzeniach

Transkrypt

Podobne dokumenty

DEKLARACJA ZGODNOŚCI

PL Instrukcja obsługi (część dotycząca ochrony Ex) czujnika

Wahadło - surfer THJ-D03

Instrukcja obsługi (Część dotycząca bezpieczeństwa ATEX

(TH EX 800) [PL/ENG] Rozmiar: 885.37 KB

Deklaracja CE

Karta techniczna zestawu treningowego „Surfer - 2

MW 2,2-12 12V 2,2 Ah