Introduccion A La Seguridad Funcional de Procesos

2/3/2014
1
Nota sobre derechos de Autor Febrero 2014 Siemens Industry Inc.
Seguridad Funcional de Procesos
Introduccin
Luis M.F. Garcia - CFSE
Bienvenida
Instructor
Luis M. F. Garca G.
CFSE Certificado No 080415 004
TV/SD Certificado No TP 10010106
BE Met.& Mat. Science Liverpool University, UK
Ing. Mec. Rosario - Argentina
PI Inc. Safety System Senior Consultant
Safety Instrumented Systems Specialist con 17 aos de
experiencia
ISA Miembro e Instructor No 31999499, ganador del Premio de
excelencia en documentacin en el 2009
Instructor de Seguridad Funcional de procesos
Varios artculos ensayos y trabajos sobre seguridad Funcional
de procesos, publicados en Amrica y Europa
Chartered Engineer
Miembro del CFSE Advisory Board
Chair (Director) del grupo de Tank Farmen ISA Safety and
Security Division
2/3/2014
2
Presentaci n de todos los parti cipantes
Compaeros de Clase
Nombre, compaa y posicin
Carrera/experiencia
Que le gustara llevarse de este curso?
Agenda Primera Parte
1. Definicin de un SIS y sus Funciones de
Seguridad
2. Capas de Proteccin
3. Riesgo y Gerencia de Riesgo
4. Requerimientos Funcionales de una Funcin
Instrumentada de Seguridad
Nota Importante; Los valores y tablas mostrados en esta
presentacin son ejemplos sobre-simplificados para un mejor
entendimiento de los principios que gobiernan los estndares
y NO representan ningn ejemplo real. Por tanto NO deben ser
utilizados como referencia.
2/3/2014
3
Qu es un SPE SIS?... Qu hace?
Consideremos primero un Sistema Bsico de Control de proceso
TP
SBCP
Luego un Sistema de Paradas de Emergencia
TP
SIS
Separacin
Fallas Paran La planta
Sistema Durmiente
PT
BPCS
PT
ESD
Hay tres elementos bsicos en un Sistema de paradas de Emergencia (SPE)
Sistema Instrumentado de Seguridad (SIS)
Sistema Electrnico Programable
Sensores
Elementos Finales de Control
}
Define SIL Define SIL
3 Elementos 3 Elementos
SIL Nivel Integral de Seguridad
(Safety Integrity Level)
SIL Nivel Integral de Seguridad
(Safety Integrity Level)
Definicin Bsica de Funcin
Instrumentada de Seguridad
(Safety Instrumented Function SIF)
2/3/2014
4
TP
SBCP
TP
SIS
Tener mltiples Capas de Proteccin
Seguro Mecnico
Alto Nivel
Nivel de Proceso
Bajo Nivel
TP
SBCP
TP
SPE
Accin del SIS
Alarma Alto Nivel
2/3/2014
5
Punto de
Disparo
Seguro Mecnico
Alto Nivel
Alarma Alto Nivel
Operador
Toma Accin
Nivel de Proceso
Accin del SIS
Bajo Nivel
Nivel Normal
TP
SBCP
TP
SPE
Est
explotando la
planta,
o es otro
simulacro?
TP
SBCP
TP
SPE
Defensa en Profundidad Concepto Militar
2/3/2014
6
Cules son los chances de todas las capas sistemas fallen a la vez?
Los Chances de que dos eventos INDEPENDIENTES ocurran a la vez es el
producto de las probabilidades de ocurrencia de cada uno
P (A & B) =P(A) x P(B)
Como probabi l i dad es un numero
menor que uno, el producto de
ambas probabil idades es menor
Si P(A) =0.1 y P(B) =0.2
P(A y B) =0.1 x 0.2 =0.02
Sin Separacin Hay Dependencia No se puede multiplicar
Accin SPE
Para Reducir el Riesgo a un Nivel Aceptable
R.
Proceso
Riesgo inherente
al Proceso
Nivel Riesgo
Aceptable Nivel Proceso
Nivel Alarmas
TP
SBCP
TP
SPE
Otros
P
(A y B y )
= P
(A)
x P
(B)
x
2/3/2014
7
Cuanto puedo reducir riesgo?
Respuesta a Emergencia en la Comunidad
Respuesta a Emergencia en Planta
Proteccin Fsica (Diques)
Proteccin Fsica (Sistemas de alivio)
SIS
Alarmas, intervencin del operador
SBCP
Proceso
Capas
Interiores
Capas
Exteriores
Todo Proceso envuelve Riesgo
Riesgo es una medida de la probabilidad de ocurrencia y la
severidad del efecto adverso; o sea: Que tan frecuentemente puede
pasar, y cuales son las consecuencias si pasa?
Corporaciones y Gobiernos determinan ...
Niveles de Riesgo Aceptables
Cuntas capas necesi to? ..
2/3/2014
8
Debemos definir ..
Reactor T2
Como evalu Riesgo?
Riesgo
Estimado
Criterio
Politicas
Si
PROCEDE
Nivel
Aceptable de
Riesgo
Medidas para
Mitigar/Reducir
Riesgo
NO
Frecuencia Consecuencia
Peligro
Cuntas
capas
necesito?
2/3/2014
9
Riesgo Despreciable
Alto Riesgo
Conceptos Fundamentales de IEC 61508, IEC 61511 y S84
Necesitamos un SIS ..?
Alto Riesgo
Riesgo Inaceptable
Riesgo Despreciable
2/3/2014
10
Riesgo Aceptable
Riesgo Inaceptable
Alto Riesgo
Riesgo Despreciable
Riesgo Inaceptable
Riesgo Tolerable
Alto Riesgo
Riesgo Despreciable
Riesgo Aceptable
2/3/2014
11
Poniendo Riesgo en Perpectiva
Ejemplo: numero de fatalidades (frecuencia)
Fumar 20 / dia 5000x10
-6
per year
Accidente de Automvil 150x10
-6
per year
Accidente en la va 100x10
-6
per year
Accidente en el Trabaj o 10x10
-6
per year
Que le cai ga un Rayo enci ma 0.1x10
-6
per year
Que lo Muerda una Culebra 0.1x10
-6
per year
Que se cai ga su avi n 0.02x10
-6
per year
Riesgo Tolerable
Conceptos Fundamentales de IEC 61508
Alto Riesgo
Riesgo Despreciable
Riesgo Aceptable
Riesgo Inaceptable
2/3/2014
12
B ebidasL aCorua
Por qu usas
cinturn de
seguridad si
fumas 40
cigarros al da?
Qu
Manoooolo?
Pepe!
Qu ???
FIS
Risk.
Proceso
Riesgo
Inherente
Nivel de
Riesgo
Aceptable
SBCP
Alarmas
Independiente
La peor solucin?
Cual debe ser l a contri bucin de l a FIS?
Riesgo
Reducido
FIS
2/3/2014
13
Dos Mtodos:
1. Mtodos Cualitativos
(Basado en cl culos anteri ores y/o experi enci a)
A. Matriz de riesgo de 3D
B. Grafico de Riesgo
2. Mtodos Cuantitativos o Cuasi-cuantitativos
1. LOPA (Layer Of Protection Analysis)
I. Implcito
II. Explcito
En otras pal abras Cuanto Riesgo necesitamos disminuir?
.. O Que rendimiento o desempeo se necesi ta?
Cual debe ser l a contri bucin de l a FIS?
Cual debe ser la contribucin de la FIS?
Anlisis Cualitativo
2/3/2014
14
Riesgo Inaceptable
Riesgo Tolerable
Alto Riesgo
Riesgo Despreciable
Riesgo Aceptable
Despreciable
Menor
Serio
Severo
Catastrfico
Improbable
Remota Ocasional Probable Frecuente
Baja Moderada Alta
C
o
n
s
e
c
u
e
n
c
i
a
Frecuencia
E
x
t
e
n
s
o
M
o
d
e
r
a
d
o
M
e
n
o
r
Alto
Alto
Alto
Alto Alto Alto
Bajo
Bajo
Bajo
Bajo
Bajo Bajo Bajo
Moderado Moderado
Moderado Moderado
Moderado
Moderado
Moderado Moderado
Alto
Moderado
Moderado
Moderado
Cual debe ser la contribucin de l a FIS? Anli si s Cuali tativos
Matriz de Ri esgo en 2D
Despreciable
Menor
Serio
Severo
Catastrfico
Improbable
Remota Ocasional Probable Frecuente
Baja Moderada Alta
C
o
n
s
e
c
u
e
n
c
i
a
Frecuencia
E
x
t
e
n
s
o
M
o
d
e
r
a
d
o
M
e
n
o
r
Alto
Alto
Alto
Alto Alto Alto
Bajo
Bajo
Bajo
Bajo
Bajo Bajo Bajo
Moderado Moderado
Moderado Moderado
Moderado
Moderado
Moderado Moderado
Alto
Moderado
Moderado
Moderado
A
B
Mitigacin
C D E
Proteccin: Disminucin de probabilidades
A B Capa de Mitigacin
B E Capas de Proteccin
2/3/2014
15
Se basa en el hecho de que toda capa de seguridad
funcional, para tener crdito debe de ser:
1. Especifi ca
Debe estar bien defi nida
2. Independiente
De otras capas de protecci n
3. Confiable
Debe reducir el ri esgo al menos en un orden de
magni tud
4. Auditable
Evaluabl e con respecto a su rendi miento
1 1
1
0
0
2 2
2
1
1 3
2
2
3
1 1
3
2
2
S
e
v
e
r
i
d
a
d
Probabilidad
Cantidad y/o
Efectividad de
Capas Adicionales
Matriz de Riesgo en 2D 3D
2/3/2014
16
El Grafi co Alemn de Riesgo
W3 W2 W1
Ca
Cb
Cc
Cd
Fa
Fb
Fa
Fb
Pa
Pb
Pa
Pa
Pa
Pb
Pb
Pb
a
1
2
3
4
b
a
a 1
1 2
2
3
3 4
Fb
Fa
Consecuencias
Ca Heridas menores
Cb Heridas serias, una muerte
Cc Varias muertes
Cd Muchas muertes
Frecuencia y Exposicin
Fa De rara a frecuente
Fb De frecuente a continua
Posibilidad de Evitar
Pa Algunas veces posible
Pb Casi imposible
Probabilidad de Ocurrencia
W1 Muy bajas
W2 Baja
W3 Relativamente alta
a =No hay requerimientos
b =Una sola FIS no es suficiente
Niveles Integrales de Seguridad
Anlisis Cuantitativo
Cual debe ser la contribucin de la FIS?
2/3/2014
17
Que tan seguido?
Qu tan grave?
}
HAZOP y estimacin de Ri esgo
Pel igro por Pel igro
Pongamos mas sensores Tres?
Pongmosle una
vlvula de alivio aqu.
Les parece?
I si el sensor se congela?
Pasa 1 en 100 por ao!
Otra vlvula mas?
Estamos complicando
mucho el diseo.
Ok, pero
Y las
vlvulas?
Hablemos del medio
ambiente. Amigos; La
planta est en el desierto!
Cules son entonces
las consecuencias?
No exageren que
cuesta mucha plata!
Y si el operador tiene
mucha presin y no
reacciona a tiempo?
Cual debe ser la contribucin de l a FIS? Anli si s Cuanti tativos
1 HAZOP: Analizamos el riesgo inherente 1 HAZOP: Analizamos el riesgo inherente
Algunas veces no hay ALTERNATIVA
Regulaciones ambientales
OSHA 1910.119
EPA 40CFR Parte 68
NFPA 85 y/o NFPA 86
Regulaciones Europeas
Otras veces es una decisin corporativa
(Gerencia de Riesgo)
Identifica Peligros
Seguridad de los Empleados
Seguridad de La Comunidad
Responsabilidad Legal
Prdidas Materiales
Imagen de La Empresa
2 - Polticas: Definimos ..Cuanto riesgo puedo tolerar? 2 - Polticas: Definimos ..Cuanto riesgo puedo tolerar?
2/3/2014
18
Personal Equipo
Extensiva
Una o mas
Fatalidades
Al menos cinco
veces mayor a las
consecuencias
severas
10
-5
Severa
Mltiples heridos de
hospital
Hasta US$ 1,000,000
en perdida de
produccin y daos
a equipos en el rea
o hasta US$
5,000,000 fuera del
rea si no se tomas
acciones mitigantes
10
-4
Menor
Heridos leves o
efectos reversibles
sobre la salud
Hasta US$ 50,000 en
perdida de
produccin y daos
a equipos
10
-3
Definicin
Consecuencia Frecuencia Tolerable
2 - Polticas: Definimos ..Cuanto riesgo puedo tolerar? 2 - Polticas: Definimos ..Cuanto riesgo puedo tolerar?
3 - LOPA: Definimos cual es el riesgo Reducido 3 - LOPA: Definimos cual es el riesgo Reducido
Evento Ini ci al
Capa de
Protecci n #1
Capa de
Protecci n #2
Capa de
Proteccin #3
Capa de
Protecci n #4
Resul tado
Prdida de Agua
Refrigerante en Reactor
Operador
Responde
Sobre diseo en
el Reactor
Vlvula de Alivio
Inhibidor de
Flama
Fuego/Explosin
PFD Frecuencia
PFD 0.3 3.00E-04
PFD 0.07
PFD 0.1
0.9
0.143 Por Ao
No hay Evento
Ejemplo: Reactor que pierde refri geracin, produce un aumento de
temperatura que genera pel igro de expl osin. El proceso se protege con
entrenamiento al operador, sobredi mensionado del contenedor, vlvula de
al ivi o e i nhibi dores de l lama. Un acci dente en 3.300 por ao. Es esto
sufi ci ente si el evento ha si do cl asi fi cado como extensivo?
Anli si s de Capas De Protecci n ACDP o LOPA
2/3/2014
19
Riesgo
Nivel Inherente
0.143 / Ao
Nivel Aceptable
10
-5
/ Ao
Respuesta
del Operador
Reducido a
3 x 10
-4
Sobre diseo
Vlvula de
Alivio
Inhibidor de
Flama
Rendimiento requerido de esta FIS:
SIF
10
-5
/ 3 x 10
-4
= 3 x 10
-2
Proceso
Riesgo Tolerable ( ) Riesgo Inherente (f) x PFD todas las capas
4 GAP/LOPA: Se calcula el rendimiento requerido 4 GAP/LOPA: Se calcula el rendimiento requerido
En algunos casos, las compaas prefieren
manejar los datos de niveles de riesgo en
forma mas conservadora.
Esto ocurre porque;
1. No todo el mundo entiende Riesgo
2. A la empresa le preocupan las demandas
y litigios
Solucin realizar el anlisis en privado e
incluirlo en tablas de diseo llamadas Tablas
de LOPA Intrnsecas
Que..?
Ud acepta riesgos?
2/3/2014
20
Severo SIL 1 SIL 2 SIL 3 Redisee Redisee
Serio SIL 1 SIL 2 SIL 3 Redisee
Marginal SIL 1 SIL 2
Use capa
NO-SIS
Menor
100,000 10,000 1,000 100 10
Chance de ocurrencia del evento en Aos
Mtodo cuasi-cuantitativo Anlisis de capas de proteccin (LOPA - Implcito)
Final de la Primera Parte
Tomemos un
descanso Si?
2/3/2014
21
Agenda Segunda Parte
1. Rendimiento de un sistema Durmiente
2. Probabilidad de Falla en Demanda Promedio
3. Concepto SIL (Nivel Integral de Seguridad Funcional)
4. Redundancia Vs Diagnstico
5. Confiabilidad
6. Estndares y el ciclo de vida de seguridad
funcional
Rendimiento de un si stema durmiente
Ya que entendemos porque se necesita separacin
TP
SBCP
Cmo se puede medir el rendimiento de un sistema durmiente?
TP
SIS
Separacin
Sistema Durmiente
2/3/2014
22
Durmiente no significa que no hace nada!
TP
SBCP
Solo acta si es necesario Como los guardias del palacio de
Buckingham. Parecen maniquies inmoviles. Como saber estan vivos?
TP
SIS
Separacin
Sistema Durmiente
Usamos clculos probabilsticos
(FRR) =1 / PFD
PFD
PFS
PFD +PFS +Disponibilidad =1
Disponibilidad: Probabilidad de estar sano y disponible
PFD: Probabilidad de fallar en demanda o peligrosamente
No permite que el sistema proteja
PFS: Probabilidad de fallar en forma segura
Disparos en falso
Disponibilidad
2/3/2014
23
El problema es que todos estos parmetros cambian con el tiempo
P(t)
ti me
Disponibilidad
PFS
PFD
Gran problema con fallas ocultas
No es un problema con disparos en falso
1. Tenemos por tanto:
1. Probabilidades de fallas peligrosas ocultas (PFD), las cuales
aumentan con el tiempo y que solo pueden ser detectadas con
inspecciones.
2. Necesitamos:
1. Crear niveles discretos de rendimiento basados en dichas
probabilidades
PFD
Pro
= 1/T x
0
Ti
PFD(t) t
Donde : Ti es el ti empo entre inspecci ones
Probabilidad de falla en demanda promedio
2/3/2014
24
Safety Integrity Levels (Criterio Cuantitativo de Cumplimiento)
1000 to 10000
SIL
Probabilidad de Falla
en Demanda
promedio (PFD
Pro
)
(En modo demanda)
Factor de Reduccin
de Riesgo (FRR)
SIL 3 0.001 - 0.0001
SIL 2 0.01 - 0.001 100 to 1000
SIL 1 0.1 - 0.01 10 to 100
SIL 4 0.0001 - 0.00001 10000 to 100000
M
e
j
o
r

r
e
n
d
i
m
i
e
n
t
o

e
n

s
e
g
u
r
i
d
a
d

f
u
n
c
i
o
n
a
l
SIL 4
SIL 3
SIL 2
SIL 1
IEC61508 Modo Demanda
SIL RRF - PFD
PRO
SIL RRF - PFD
PRO
PFDave: 0.0001 0.00001
PFDave: 0.001 0.0001
PFDave: 0.01 0.001
PFDave: 0.1 0.01
Tiempo entre Inspecciones
Tiempo
PFD (t)
Ejemplo;
Simple
PFD
PRO
= t
Para PFD
PRO
< 0.1 e
-t
~ t Tasa de falla constante
Donde = Tasa de Fal l a
2/3/2014
25
IEC61508 Modo Demanda
SIL RRF - PFD
PRO
SIL RRF - PFD
PRO
SIL 4
Tiempo
PFD (t)
SIL 3
SIL 2
SIL 1
Riesgo
Nivel Inherente
0.143 / Ao
Nivel Aceptable
10
-5
/ Ao
Respuesta
del Operador
Reducido a
3 x 10
-4
Sobre diseo
Vlvula de
Alivio
Inhibidor de
Flama
Rendimiento requerido de esta FIS:
SIF
10
-5
/ 3 x 10
-4
= 3 x 10
-2
Proceso
En el ejercicio anteri or, necesitamos una FIS con rendimiento
PFD
Pro
= 3 x 10
-2
FRR = 33.4 SIL1
2/3/2014
26
ENTRADAS CPU SALIDAS
A
B
Arquitectura 1oo2
A
Al inyectar una falla peligrosa
Degrada a 1oo1
Arqui tecturas de Seguri dad Votacin (de los 70s) Vs Diagnostico (Siglo XXI)
A A
B B
C C
Arquitectura 2oo3
Al inyectar una falla peligrosa
Degrada a 2oo2
A A
2/3/2014
27
Lo que realmente se buscaba era:
Mejor disponibilidad que un 2oo3, mejor nivel de seguridad que un 1oo2, pero con
la capacidad de tolerar fallas sin comprometer el nivel de seguridad
Posible gracias al diagnostico Posible gracias al diagnostico
Siempre y cuando el diagnostico
se use para proteger las salidas
La gran D
PFD = PFDD + PFDU + PFDN
Nuevo Concepto:
Disponibilidad, PFDD,
PFDU, PFDN and PFS.
PFDN
PFDD PFS
PFDU
Disponi bilidad
Diagnstico
Inyeccin de
Falla Peligrosa
SISTEMA
Se convi erte en
Arqui tecturas de Seguri dad Votacin (de los 70s) Vs Diagnostico (Si gl o XXI)
2/3/2014
28
Afortunadamente alguien est ayudando!
ISA
AIChE
ASME
CMA
IEC
IEEE
CCPs
DIN
ISA
AIChE
ASME
CMA
IEC
IEEE
CCPs
DIN
Cmo se certifican estos rendimientos?
IEC61508
(W3)
Equivalencias aproximadas entre DIN V 19250 & IEC61508 Equivalencias aproximadas entre DIN V 19250 & IEC61508
DIN V 19250
(W3)
AK1
AK2
AK3
AK4
AK5
AK6
AK7
AK8
SIL1
Sin Requerimientos
Especiales
SIL 2
SIL 3
SIL 4
Quines lo
hacen ?
2/3/2014
29
Debemos defendernos contra abusos estadsticos
Hay tres clases de menti ras; las menti ras,
las grandes menti ras y por ulti mo las
estadsti cas.
Primer Mi ni stro Bri tnico Benj amn Di srae parafraseando a Mark Twai n
Las estadsticas estn basadas en la
prediccin del comportamiento de un
GRUPO, y no de UN UNDIVIDUO
Si esto no se entiende se puede cometer
grandes abusos, con consecuencias
catastrficas
Los estndares 84 combaten tal abuso mediante
tablas que limitan el crdito que se puede
reclamar, basndose en grado de redundancia y
proteccin (Fraccin Falla Segura - FFS)
Ejemplo; Tabla en ANSI/ISA 84.00.01 2004 (Clausula 11.4.3 & 4) Mximo SIL
alcanzable por limitaciones arquitecturales para instrumentos de campo.
SIL Tolerancia a fallas del Hardware (HFT por sus siglas en ingls)
1 0
2 1
3 2
4 Consulte IEC 61508
En una arquitectura XooN, HFT =N X. Ejemplo; HFT para 2oo3 =1; HFT para 1oo3 =2.
Una tabla mas compleja se uti liza para los PES con mucha mas
capaci dad de protecci n por diagnosti co.
2/3/2014
30
Cada Uno de los componentes de la FIS sebe de contribuir
Los componentes: Estn certificados a un SIL o estn probados en uso?
TP
SIS
La FIS Falla si:
Falla el CPU
Falla el Sensor
Falla El conjunto Vlvula-Actuador
FIS
PFDPro
CPU
PFDPro +
SENSOR
PFDPro +
VALVE
PFDPro
Cada Uno de los componentes de la FIS sebe de contribuir
Los componentes: Estn certificados a un SIL o estn probados en uso?
TP
SIS
La FIS Falla si:
FIS
PFDPro
CPU
PFDPro +
SENSOR
PFDPro +
VALVE
PFDPro
Disponibilidad
PFS
PFDVal
PFDCPU
PFDSensor
2/3/2014
31
TP
SBCP
Ya sabemos como medir rendimiento de una FIS
TP
SIS
Separacin
Sistema Durmiente
Como hacemos los equipos mas confiable?
Ejemplo FIS SIL 3:
1. Tres Transmisores votando 2oo3. PDT100A,
PDT100B y PDT100C.
A
I
D
I
D
O
D
O
A
I
A
I
D
I
D
O
D
O
A
I
A
I
2oo3 PT
1oo2 Valves
PDT100A
PDT100B
PDT100C
Seguridad alcanzada con diagnstico
Confiabilidad con Redundancia
2/3/2014
32
Ejemplo FIS SIL 3:
1. Tres Transmisores votando 2oo3. PDT100A,
PDT100B y PDT100C.
2. El disparo debe ocurrir al alcanzar 85%de la
escala.
3. Se necesita hacerle mantenimiento al Transmisor
PDT100A, lo cual envuelve forzar desde el campo
seales (100%de la escala)
A
I
D
I
D
O
D
O
A
I
A
I
D
I
D
O
D
O
A
I
A
I
2oo3 PT
1oo2 Valves
PDT100A
PDT100B
PDT100C
Seguridad alcanzada con Redundancia
Confiabilidad con Diagnstico
Ejemplo FIS SIL 3 :
1. Tres Opciones:
1. Colocar PDT100A en Bypass
2. Forzar una lectura por debajo de 85% en
PDT100A
3. Forzar una lectura por encima de 85% en
PDT100A
Cual elegira?
A
I
D
I
D
O
D
O
A
I
A
I
D
I
D
O
D
O
A
I
A
I
2oo3 PT
1oo2 Valves
PDT100A
PDT100B
PDT100C
2/3/2014
33
Ejemplo FIS SIL 3 :
Para responder debemos analizar la lgica de
votacin 2 de 3 en el procesador lgico o
PES.
A
I
D
I
D
O
D
O
A
I
A
I
D
I
D
O
D
O
A
I
A
I
2oo3 PT
1oo2 Valves
PDT100A
PDT100B
PDT100C
A
C
A
B
B
C
Ejemplo FIS SIL 3 :
1 - Colocar PDT100A en Bypass(Ignorar Valores
de A) Recuerde: Des-energizar para
disparar.
A
I
D
I
D
O
D
O
A
I
A
I
D
I
D
O
D
O
A
I
A
I
2oo3 PT
1oo2 Valves
PDT100A
PDT100B
PDT100C
A
C
A
B
B
C
A Queda una arquitectura 2oo2
B Muy Confiable pero muy
insegura. Si B o C se atascan,
no se puede parar la planta.
2/3/2014
34
Ejemplo FIS SIL 3 :
2 - Forzar una lectura por debajo de 85%en
PDT100A Recuerde: Des-energizar para
disparar.
A
I
D
I
D
O
D
O
A
I
A
I
D
I
D
O
D
O
A
I
A
I
2oo3 PT
1oo2 Valves
PDT100A
PDT100B
PDT100C
A
C B
B
C
B Muy Confiable pero muy
insegura. Si B o C se atascan,
no se puede parar la planta.
A
Ejemplo FIS SIL 3 :
3 - Forzar una lectura por encima de 85%en
PDT100A Recuerde: Des-energizar para
disparar.
A
I
D
I
D
O
D
O
A
I
A
I
D
I
D
O
D
O
A
I
A
I
2oo3 PT
1oo2 Valves
PDT100A
PDT100B
PDT100C
A
C
A
B
B
C
B Muy segura pero poco
confiable. Si B o C se disparan,
la planta se para.
2/3/2014
35
Volviendo a la pregunta del Ejemplo:
1. Tres Opciones:
1. Colocar PDT100A en Bypass
2. Forzar una lectura por debajo de 85% en
PDT100A
3. Forzar una lectura por encima de 85% en
PDT100A
Cual elegira?
A
I
D
I
D
O
D
O
A
I
A
I
D
I
D
O
D
O
A
I
A
I
2oo3 PT
1oo2 Valves
PDT100A
PDT100B
PDT100C
- 1 o 2 Si no importa la seguridad
- 3 Si la planta debe de estar segura en todo momento
Flexible Modular Redundancy
Tolerante a mltiples fallas
X Arqui tectura Fi el dbus permite tol erar vari as fal l as si n
i nterrumpir servi ci o ni comprometer Ni vel Integral de
Seguri dad
X Redundanci a de E/S i ndependi ente de Redundanci a en
l a CPU
Todos los componentes clasificados como SIL 3
X Si n degradaci n
X Seguri dad no depende de Redundanci a
A
I
D
I
D
O
D
O
A
I
A
I
D
I
D
O
D
O
A
I
A
I
2oo3 PT
1oo2 Valves
2/3/2014
36
Pero hay un factor que afecta tanto a la redundancia
para obtener Disponibilidad Segura (SIL), como
para obtener Confiabilidad: (Que no falle en ningn
modo)
Confiabilidad se obtiene:
Evitando Causa Comn
Separacin Fsica
Operacin asincrnica
Fortaleza (Por encima de el esfuerzo comn)
Tolerancia a fallas (Redundancia)
Diagnsticos
Esfuerzos / fortaleza
Ocurrencia
Ocurrencia de Esfuerzos Ocurrencia de Fortaleza
Programacin
Afecta por igual a ambos modos de fal la
2/3/2014
37
Arqui tectura de un SIS en el si glo XXI
Dos filosofas contrapuestas:
Seguridad se alcanza
con redundancia
Seguridad se alcanza con
diagnostico protector
Confiabilidad
se alcanza con
Diagnstico
Confiabilidad
se alcanza con
redundancia
SIEMENS
En Los 70s: En Los 90s y ms all:
Simatic S7-400F/FH Simatic S7-400F/FH
Flexibilidad gracias a separacin fsica de recursos redundantes
ofrece mayores ventajas debido a la independencia conceptual
de Disponibilidad y Confiabilidad
F por Falla Segura (Fail Safe)
H por alta Disponibilidad (High
Availability)
FH utiliza ambos conceptos
2/3/2014
38
Control Room
Engineering Station Operator Station
s s s s s
Controller
Cabinet
Controller
Cabinet
I/Os
Cabinet
I/Os
Cabinet
Terminals
Cabinet
s
Terminals
Cabinet
Gracias a las comunicaciones cruzadas que son posibles a travs de ProfiSafe
SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS SIEMENS
Arqui tecturas de Seguri dad- Votacin (70s) Vs Diagnostico (2000)
SIEMENS
Controlador
El Mensaje de fondo
2/3/2014
39
SIEMENS
Controlador Redundante
Controlador
El Mensaje de fondo
I/Os
Controlador
SIEMENS
El Mensaje de fondo
2/3/2014
40
I/Os Redundante
Controlador
SIEMENS
I/Os
El Mensaje de fondo
El Mensaje de fondo
SIEMENS SIEMENS
Terminales
Controlador
I/Os Redundante
I/Os
2/3/2014
41
TP
SBCP
Ya sabemos como medir rendimiento de una FIS
TP
SIS
Separacin
Sistema Durmiente
Ya sabemos como hacer los equipos mas confiable
Accidentes y La Legisl aci n
La legislacion es el resultado de experiencia acumulada
Es como si la gente que ha sufrido accidentes, nos estuviera dando consejos para que no
nos pase a nosotros.
No utilice un
encendedor para ver
de noche el nivel de un
tanque de gasolina
es una muy mala idea,
yo lo se!
ACCIDENTE
EXPERIENCIA
Legislacin
EXPERIENCIA
Estndares
Prescri pti vos
Basados en
Rendimiento
Flixborough
Seveso
Pasadena
2/3/2014
42
UK HSE: PES Programmable Electronic
Systems for Use in Safety Related
Applications, 1987
American Institute of Chemical Engineers,
Center for Chemical Process Safety (AIChE,
CCPS): Guidelines for Safe Automation of
Chemical Processes, 1993
International Electrotechnical Commission
(IEC) 61508 - Functional Safety - Safety
Related Systems, 2000
ANSI/ISA 84 2004 (IEC 61511): Functional
safety: Safety Instrumented Systems for the
process industry sector, 2004
Amrica
Europa
Asia
Oceana
Amrica
Europa
Asia
Oceana
Estandard internacional para certificar rendimiento
Es un estndar internacional de
reglas aplicadas en la industria.
Se titula; Seguridad Funcional para
equipos Electricos, Electronicos y
Electronicos Programables y
sistemas relacionados con
Seguridad Funcional.
Tiene dos alcances;
1 - Guia para certificar equipos
2 Guia-complemento de los estndares de aplicacin
2/3/2014
43
Estandares derivados de la IEC61508 (Hijos)
ISO 26262 es una adaptacin de la IEC 61508 para uso automotriz
( Automotive Electric / Electronic Systems)
EN 50128 provee interpretaciones especificas de la IEC 61508
para aplicaciones ferroviarias
IEC 61511 es el estndar que define mejores practicas de
ingeniera de sistemas para hacer los procesos industriales seguros
mediante el uso de instrumentacin.
IEC 61513 provee requerimientos y recomendaciones para la
instrumentacin y el control de plantas nucleares de generacin.
IEC 62061 es la implementacin especifica de la IEC61508 a
maquinaria en automatizacin de fabricas
Alcance de la ANSI/ISA 84
Cubre especi fi caciones, diseo, instal aci n,
operaci n y Mantenimiento
Especifica requerimi entos pero no quien es
responsabl e de implementarlos
Apli ca a una gran variedad de industrias en el
sector de procesos continuos:
Qumicos, refinacin petrolera, pulpa y papel,
generacin no nuclear etc.
Segn el tipo de industria, pueden haber
requerimi entos adici onales
(ISA-84, Seccin 1)
2/3/2014
44
1959-63 1964-68 1969-73 1974-78 1979-83 1984-88
Peri odo
0
0.2
0.4
0.6
0.8
1
1.2
1.4
1.6
Billones de Dlares
Fuente - Oil & Gas J ournal, Aug. 27, 1990
Prdidas Mundiales por accidentas en la Industria Petrolera
15% Diseo e
Implementacin
6% Instalacin y
comisionado
44% Especificaciones
15% Operacin y
Mantenimiento
20% Cambios despus
de arranque
Worldwide loses due to accidents in the Oil Industry
Fuente; Out Of Control una compilacin de accidentes que
Envolvieron sistemas de control electrnicos
Otros han reportado resultados similares
Donde
debemos
concentrarnos?
2/3/2014
45
15% Diseo e
Implementacin
6% Instalacin y
comisionado
44% Especificaciones
15% Operacin y
Mantenimiento
20% Cambios despus
de arranque
Worldwide loses due to accidents in the Oil Industry
Fuente; Out Of Control una compilacin de accidentes que
Envolvieron sistemas de control electrnicos
Otros han reportado resultados similares
Qu tienen
estas causas en
comn?
Human Factor
Los Estndares fueron escritos para eliminar estos dos factores
1 Evi te errores al escri bir especi fi caciones
Defi na;
1 Qu debe hacer el si stema?
2 Qu tan bien debe hacerl o?
2 Evi te errores Humanos con un ci clo de vi da de seguridad
funcional bien solido
2/3/2014
46
Cicl o de Vida de Seguri dad Funcional ANSI/ISA 84.00.01 - 2004
Anlisis de Riesgo y diseo de capas de Protecci n
Sub-Clusula 8
Asignacin de funciones de Seguridad a SIS u
otros medios de reducir Riesgo
Sub-Clusula 9
Especificaciones de Requerimientos
de Seguridad para el SIS
Sub-Cl usula 10
Diseo y Desarrollo
de un SIS
Sub-Cl usula 11
Diseo y Desarrollo
de otros medios de
reducir Riesgo
Sub-Clusula 9
Instalacin, Puesta en Servicio y Validaci n
Sub-Clusula 14
Operacin y Mantenimiento
Sub-Clusula 15
Modificacin
Sub-Clusula 15.4
Retiro de Servicio
Sub-Clusula 16
Gerencia y
Avalu de
Seguridad
Funcional
Sub-Clusula
5
Estructura y
Planeamient
o del Ciclo
de Vida de
Seguridad
Sub-Clusula
6.2
Verificacin
Sub-Clusula
7, 12.7
Sub-Clusula 8
Sub-Clusula 9
Sub-Cl usula 10
Diseo y Desarrollo
de un SIS
Sub-Cl usula 11
Diseo y Desarrollo
de otros medios de
reducir Riesgo
Sub-Clusula 9
Sub-Clusula 14
Sub-Clusula 15
Modificacin
Sub-Clusula 15.4
Retiro de Servicio
Sub-Clusula 16
Sub-Clusula 8
Sub-Clusula 8
Evaluacin de Peligros y Riesgo
Clusula 8
Asignacin de las funciones de seguridad a capas de
seguridad
Clusula 9
Especificaciones de los requerimientos de
seguridad para cada Funcin de Seguridad
Clusulas 10 y 12
Diseo e ingeniera del
sistema instrumentado
de seguridad
Clusulas 11 y 12
Diseo y desarrollo de
otros mtodos para reducir
riesgo
Clusula 9
Instalacin, puesta en servicio activo y validacin
Clusulas 14 and 15
Operacin y mantenimiento
Clusula 16
Modificacin
Clusula 17
Sacar de servicio activo
Clusula 18
Gerencia y
Avalu de
Seguridad
Funcional
Sub-Clusula
5
Manejo,
evaluacin y
auditoria de la
Seguridad
Funcional
Clusula 5
Planeamient
o del Ciclo
de Vida de
Seguridad
6.2
Seguridad
Ciclo de Vida;
Plan y
estructura
Clusula 6.2 7, 12.7
Verificacin
Clusulas
7, 12.4, y
Sacar de Servicio
12.7
Valide que
lo que se
requera fue,
de hecho
construido
V
e
r
i
f
i
c
a
c
i
n

d
e

c
a
d
a

u
n
o

d
e

l
o
s

e
s
t
a
d
o
s

Sub-Clusula 8
Sub-Clusula 9
Sub-Clusula 10
Diseo y Desarrollo
de un SIS
Sub-Clusula 11
Diseo y Desarrollo
de otros medios de
reducir Riesgo
Sub-Clusula 9
Sub-Cl usula 14
Sub-Cl usula 15
Modificacin
Sub-Clusula 15.4
Retiro de Servicio
Sub-Cl usula 16
Gerencia y
Avalu de
Seguridad
Funcional
Sub-Clusula
5
Estructura y
Planeamient
o del Ciclo
de Vida de
Seguridad
Sub-Clusula
6.2
Verificacin
Sub-Clusula
7, 12.7
Sub-Clusula 8
Sub-Clusula 9
Sub-Clusula 10
Diseo y Desarrollo
de un SIS
Sub-Clusula 11
Diseo y Desarrollo
de otros medios de
reducir Riesgo
Sub-Clusula 9
Sub-Cl usula 14
Sub-Cl usula 15
Modificacin
Sub-Clusula 15.4
Retiro de Servicio
Sub-Cl usula 16
Sub-Clusula 8
Sub-Clusula 8
Evaluacin de Peligros y Riesgo
Clusula 8
Asignacin de las funciones de seguridad a capas de
seguridad
Clusula 9
Especificaciones de los requerimientos de
seguridad para cada Funcin de Seguridad
Clusulas 10 y 12
Diseo e ingeniera del
sistema instrumentado
de seguridad
Clusulas 11 y 12
Diseo y desarrollo de
otros mtodos para reducir
riesgo
Clusula 9
Instalacin, puesta en servicio activo y validacin
Clusulas 14 and 15
Operacin y mantenimiento
Clusula 16
Modificacin
Clusula 17
Sacar de servicio activo
Clusula 18
Gerencia y
Avalu de
Seguridad
Funcional
Sub-Clusula
5
Manejo,
evaluacin y
auditoria de la
Seguridad
Funcional
Clusula 5
Planeamient
o del Ciclo
de Vida de
Seguridad
6.2
Seguridad
Ciclo de Vida;
Plan y
estructura
Clusula 6.2 7, 12.7
Verificacin
Clusulas
7, 12.4, y
Sacar de Servicio
12.7
Valide que
lo que se
requera fue,
de hecho
construido
V
e
r
i
f
i
c
a
c
i
n

d
e

c
a
d
a

u
n
o

d
e

l
o
s

e
s
t
a
d
o
s

2/3/2014
47
Workstation Independiente
Estacin de Operacin (OS) Estacin de Ingeniera (ES)
Controlador (AS)
Safety Matrix Editor
Para crear y editar la lgica de la
Matriz en una estacin externa al
ambiente de STEP 7 PCS7.
Safety Matrix Engineering Tool
Para crear, configurar, compilar, cargar
el programa o monitorear la matrizen
lnea, usando STEP 7 PCS7 OS
Safety Matrix Viewerpara operarios
Para control y visualizacin de la Matriz en el
ambiente de PCS 7 OS con diferentes
niveles de control
2/3/2014
48
Que tan buen negoci o es estar seguro? Caso de la vida real
Incidentes en Gasoducto (No contando daos a terceros ni perdidas de produccin):
X 5 accidentes en estaciones en 10 aos para un gasoduct o de 50 estaciones
X Costo promedio por accidente US$ 450,000.00
Costo del Riesgo:
X Costo = 5/50 x 4,500,000/10 = 45,000 US$ por estacin por ao
Un SIS redujo la frecuencia de accidentes en dos
ordenes de magnitud. Esto rebaja el riesgo a
US$ 450por estacin por ao
PV = M (1 (1 + R)
-N
)/ R
Ahorros en 20 aos de operacin:
Si el SIS cuesta US$ 100K
US$ 44,550 son los pagos anuales al banco (M)
4% es la tasa de inters (R)
20 Aos de servicio(N)
}
US$ 408,301 x 50 =
US$ 20,415,050
Un SIS es un sistema independiente, compuesto de sensores, procesadores y
elementos finales de control, con la finalidad de llevar el proceso a un estado
seguro cuando ciertas y predeterminadas condiciones han sido violadas.
Profisafe Profibus DP
Industrial Ethernet
Estacin de Ingeniera Estacin de Operacin
SBCP SIS
P
r
e
s
i
n
VS VCP TP1 TP2
SP
Conclusin
2/3/2014
49
1. Safety Instrumented Systems: An Introduction (EC50C)
2. Safety Instrumented Systems: Design, Analysis & Justification
(EC50) - (EC50SP versin espaol )
3. EC50e Safety Instrumented Systems Web Seminar Series
Seminarios a distancia de 60 minutos c/u (EC50SPe versin
espaol)
4. EC50CT Fundamentals for Process Safety
5. Evaluating Control System Reliability and Safety (ES35)
6. Applying Instrumentation in Hazardous Locations (ES10)
7. Todos estos cursos estn disponibles como entrenamiento en sus
plantas
8. Para mas informacin visite: www.isa.org/training o llame a los
telfonos +1 (919) 549-8411
Cursos y Bibl iografa recomendada
Ahora que usted tiene
tiempo de pensar bien
las cosas, hay alguna
pregunta, asuntos
pendientes, o ejemplos
adicionales que usted
querra cubrir?
Preguntas Fi nales
2/3/2014
50
Gracias por su
atencin!

Introduccion A La Seguridad Funcional de Procesos

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Introduccion A La Seguridad Funcional de Procesos

Uploaded by

Copyright:

Available Formats

2/3/2014

You might also like