Inżynieria bezpieczeństwa

Ilustracja NASA przedstawiająca obszary wysokiego ryzyka dla Międzynarodowej Stacji Kosmicznej

Inżynieria bezpieczeństwa to dyscyplina inżynierska, która zapewnia, że ​​zaprojektowane systemy zapewniają akceptowalny poziom bezpieczeństwa . Jest silnie powiązany z inżynierią przemysłową / inżynierią systemów oraz podzbiorem inżynierii bezpieczeństwa systemów . Inżynieria bezpieczeństwa zapewnia, że ​​krytyczny dla życia system zachowuje się zgodnie z potrzebami, nawet w przypadku awarii komponentów.

Techniki analizy

Techniki analityczne można podzielić na dwie kategorie: metody jakościowe i ilościowe . Oba podejścia mają wspólny cel, jakim jest znalezienie zależności przyczynowych między zagrożeniem na poziomie systemu a awariami poszczególnych komponentów. Podejścia jakościowe koncentrują się na pytaniu „Co musi pójść nie tak, aby mogło wystąpić zagrożenie systemowe?”, podczas gdy metody ilościowe mają na celu oszacowanie prawdopodobieństwa, wskaźników i/lub dotkliwości konsekwencji.

Złożoność systemów technicznych, takich jak ulepszenia projektu i materiałów, planowane kontrole, konstrukcja odporna na błędy i redundancja kopii zapasowych, zmniejsza ryzyko i zwiększa koszty. Ryzyko można zmniejszyć do poziomu ALARA (tak niskiego, jak rozsądnie osiągalne) lub ALAPA (tak niskiego, jak praktycznie osiągalne).

Tradycyjnie techniki analizy bezpieczeństwa opierają się wyłącznie na umiejętnościach i wiedzy inżyniera ds. bezpieczeństwa. W ostatniej dekadzie popularne stały się podejścia oparte na modelach, takie jak STPA. W przeciwieństwie do tradycyjnych metod, techniki oparte na modelach próbują wyprowadzić związki między przyczynami i skutkami z pewnego rodzaju modelu systemu.

Tradycyjne metody analizy bezpieczeństwa

Dwie najpowszechniejsze techniki modelowania usterek to analiza trybów i skutków awarii oraz analiza drzewa usterek . Techniki te są po prostu sposobami znajdowania problemów i tworzenia planów radzenia sobie z niepowodzeniami, jak w przypadku probabilistycznej oceny ryzyka . Jednym z najwcześniejszych kompletnych badań wykorzystujących tę technikę w komercyjnej elektrowni jądrowej było WASH-1400 , znane również jako badanie bezpieczeństwa reaktora lub raport Rasmussena.

Tryby awarii i analiza skutków

Główny artykuł: Tryb awarii i analiza skutków

Analiza przyczyn i skutków awarii (FMEA) to oddolna, indukcyjna metoda analityczna, którą można przeprowadzić na poziomie funkcjonalnym lub częściowym. W przypadku funkcjonalnego FMEA tryby awarii są identyfikowane dla każdej funkcji w systemie lub elemencie wyposażenia, zwykle za pomocą funkcjonalnego schematu blokowego . W przypadku analizy FMEA dotyczącej części, tryby awarii są identyfikowane dla każdego elementu części (takiego jak zawór, złącze, rezystor lub dioda). Opisano skutki trybu awarii i przypisano im prawdopodobieństwo na podstawie wskaźnika awarii oraz współczynnik trybów awaryjnych funkcji lub komponentu. Ta kwantyzacja jest trudna dla oprogramowania --- błąd istnieje lub nie, a modele awarii stosowane dla komponentów sprzętowych nie mają zastosowania. Temperatura, wiek i zmienność produkcyjna wpływają na rezystor; nie mają one wpływu na oprogramowanie.

Tryby awarii o identycznych skutkach można łączyć i podsumowywać w Podsumowaniu skutków trybu awarii. W połączeniu z analizą krytyczności FMEA jest znana jako analiza trybu awarii, skutków i krytyczności lub FMECA, wymawiana jako „fuh-MEE-kuh”.

Analiza drzewa błędów

Główny artykuł: Analiza drzewa błędów

Analiza drzewa błędów (FTA) to odgórna, dedukcyjna metoda analityczna. W FTA inicjujące zdarzenia podstawowe, takie jak awarie komponentów, błędy ludzkie i zdarzenia zewnętrzne, są śledzone przez logiczne aż do niepożądanego zdarzenia głównego, takiego jak katastrofa samolotu lub stopienie rdzenia reaktora jądrowego. Celem jest zidentyfikowanie sposobów zmniejszenia prawdopodobieństwa najważniejszych wydarzeń i zweryfikowanie, czy cele bezpieczeństwa zostały osiągnięte.

Diagram drzewa błędów

Drzewa błędów są logiczną odwrotnością drzew sukcesu i można je uzyskać, stosując twierdzenie de Morgana do drzew sukcesu (które są bezpośrednio związane z diagramami blokowymi niezawodności ).

FTA może mieć charakter jakościowy lub ilościowy. Gdy prawdopodobieństwa awarii i zdarzeń są nieznane, jakościowe drzewa błędów mogą być analizowane pod kątem minimalnych zestawów cięć. Na przykład, jeśli jakikolwiek minimalny zestaw odcinający zawiera jedno zdarzenie bazowe, zdarzenie szczytowe może być spowodowane pojedynczą awarią. Ilościowa FTA służy do obliczania najwyższego prawdopodobieństwa zdarzenia i zwykle wymaga oprogramowania komputerowego, takiego jak CAFTA z Electric Power Research Institute lub SAPHIRE z Idaho National Laboratory .

Niektóre gałęzie przemysłu używają zarówno drzew błędów, jak i drzew zdarzeń . Drzewo zdarzeń zaczyna się od niepożądanego inicjatora (utrata krytycznego zasilania, awaria komponentu itp.) i śledzi możliwe dalsze zdarzenia systemowe aż do serii ostatecznych konsekwencji. Gdy rozważane jest każde nowe zdarzenie, do drzewa dodawany jest nowy węzeł z podziałem prawdopodobieństw przyjęcia którejkolwiek z gałęzi. Można wtedy zobaczyć prawdopodobieństwa szeregu „najważniejszych zdarzeń” wynikających ze zdarzenia początkowego.

Przemysł naftowy i gazowy na morzu (API 14C; ISO 10418)

Morski przemysł naftowy i gazowy wykorzystuje jakościową technikę analizy systemów bezpieczeństwa, aby zapewnić ochronę morskich systemów produkcyjnych i platform. Analiza jest wykorzystywana w fazie projektowania do identyfikacji zagrożeń inżynierii procesowej wraz ze środkami ograniczającymi ryzyko. Metodologia jest opisana w zalecanych praktykach 14C Amerykańskiego Instytutu Naftowego Analiza, projektowanie, instalacja i testowanie podstawowych systemów bezpieczeństwa powierzchni dla morskich platform produkcyjnych.

Technika wykorzystuje metody analizy systemowej w celu określenia wymagań bezpieczeństwa w celu ochrony każdego pojedynczego elementu procesu, np. zbiornika, rurociągu lub pompy . Wymogi bezpieczeństwa poszczególnych komponentów są zintegrowane w kompletny system bezpieczeństwa platformy, w tym systemy wychwytywania cieczy i systemy wsparcia awaryjnego, takie jak wykrywanie ognia i gazu.

W pierwszym etapie analizy identyfikowane są poszczególne elementy procesu, do których mogą należeć: rurociągi, kolektory, zbiorniki ciśnieniowe , zbiorniki atmosferyczne, podgrzewacze opalane , elementy ogrzewane spalinami, pompy, sprężarki , rurociągi oraz wymienniki ciepła . Każdy komponent podlega analizie bezpieczeństwa w celu zidentyfikowania niepożądanych zdarzeń (awaria sprzętu, zakłócenia procesu itp.), przed którymi należy zapewnić ochronę. Analiza identyfikuje również wykrywalny stan (np. wysokie ciśnienie ), który służy inicjowaniu działań mających na celu zapobieżenie lub zminimalizowanie skutków niepożądanych zdarzeń. Tabela analizy bezpieczeństwa (SAT) dla zbiorników ciśnieniowych zawiera następujące szczegóły.

Tabela analizy bezpieczeństwa (SAT) zbiorniki ciśnieniowe
Niepożądane zdarzenie Przyczyna Wykrywalny nienormalny stan
Nadciśnienie Zablokowane lub ograniczone gniazdko

Dopływ przewyższa odpływ

Przedmuch gazu (od góry)

Awaria kontroli ciśnienia

Rozszerzalność cieplna

Nadmierne wprowadzanie ciepła

 Wysokie ciśnienie
Przelew cieczy Dopływ przewyższa odpływ

Płynny przepływ ślimakowy

Zablokowany lub ograniczony wylot cieczy

Awaria kontroli poziomu

 Wysoki poziom cieczy

Inne niepożądane zdarzenia dla zbiornika ciśnieniowego to podciśnienie, przedmuch gazu, wyciek i nadmierna temperatura wraz z ich powiązanymi przyczynami i wykrywalnymi warunkami.

Oprzyrządowanie poziomu statku

Po zidentyfikowaniu zdarzeń, przyczyn i wykrywalnych warunków w kolejnym etapie metodologii wykorzystywana jest lista kontrolna analizy bezpieczeństwa (SAC) dla każdego składnika. Zawiera listę urządzeń zabezpieczających, które mogą być wymagane, lub czynników, które wykluczają potrzebę takiego urządzenia. Na przykład w przypadku przelania się cieczy ze zbiornika (jak wyżej) NSA identyfikuje:

  • A4.2d – Czujnik wysokiego poziomu (LSH) [ odniesienie okrągłe ]
    • 1. Zainstalowano LSH.
    • 2. Sprzęt za wylotem gazu nie jest pochodnią ani systemem odpowietrzającym i może bezpiecznie poradzić sobie z maksymalnym przenoszeniem cieczy.
    • 3. Funkcja naczynia nie wymaga obsługi oddzielnych faz płynu.
    • 4. Naczynie to mały syfon, z którego płyny są ręcznie spuszczane.
Oprzyrządowanie do pomiaru ciśnienia w zbiorniku

Analiza gwarantuje, że zapewnione są dwa poziomy ochrony w celu złagodzenia każdego niepożądanego zdarzenia. Na przykład w przypadku zbiornika ciśnieniowego poddanego nadciśnieniu podstawową ochroną byłby PSH (przełącznik wysokiego ciśnienia) w celu odcięcia dopływu do zbiornika, a wtórną ochronę zapewniałby ciśnieniowy zawór bezpieczeństwa (PSV) na zbiorniku.

Kolejny etap analizy dotyczy wszystkich urządzeń czujnikowych, zaworów odcinających (ESV), systemów wyzwalających i systemów wsparcia awaryjnego w postaci wykresu oceny funkcji analizy bezpieczeństwa (SAFE).

Wykres oceny funkcji analizy bezpieczeństwa (SAFE). Zamknij zawór wlotowy Zamknij zawór wylotowy Alarm
ESV-1a ESV-1b
Identyfikacja Praca Urządzenie referencja SAC
V-1 separator HP PSZ A4.2a1 X X
LSH A4.2d1 X X
LSL A4.2e1 X X
PSV A4.2c1
itp.
V-2 separator LP itp.

X oznacza, że ​​urządzenie wykrywające po lewej stronie (np. PSH) inicjuje wyłączenie lub działanie ostrzegawcze w prawym górnym rogu (np. zamknięcie ESV).

Wykres BEZPIECZEŃSTWA stanowi podstawę wykresów przyczynowo-skutkowych, które wiążą czujniki z zaworami odcinającymi i wyłączeniami instalacji, co definiuje architekturę funkcjonalną systemu zamykania procesu.

Metodyka określa również testy systemów, które są niezbędne do zapewnienia funkcjonalności systemów ochrony.

API RP 14C zostało opublikowane po raz pierwszy w czerwcu 1974 r. 8. wydanie zostało opublikowane w lutym 2017 r. API RP 14C zostało zaadaptowane jako norma ISO 10418 w 1993 r. zatytułowana Przemysł ropy naftowej i gazu ziemnego — Morskie instalacje produkcyjne — Analiza, projektowanie, instalacja i testowanie podstawowe systemy bezpieczeństwa procesów powierzchniowych. Najnowsza edycja ISO 10418 z 2003 r. jest obecnie (2019 r.) w trakcie rewizji.

Certyfikat bezpieczeństwa

Zazwyczaj wytyczne dotyczące bezpieczeństwa opisują zestaw kroków, dostarczanych dokumentów i kryterium wyjścia, koncentrując się na planowaniu, analizie i projektowaniu, wdrażaniu, weryfikacji i walidacji, zarządzaniu konfiguracją i zapewnianiu jakości w celu opracowania systemu krytycznego dla bezpieczeństwa. Ponadto zazwyczaj formułują oczekiwania dotyczące tworzenia i wykorzystania identyfikowalności w projekcie. Na przykład, w zależności od poziomu krytyczności wymagania, wytyczne Federalnej Administracji Lotnictwa USA DO-178B/C wymagają identyfikowalności z wymaganiami do projektowania oraz od wymagań do kodu źródłowego i wykonywalnego kodu obiektowego dla komponentów oprogramowania systemu. W ten sposób informacje o identyfikowalności wyższej jakości mogą uprościć proces certyfikacji i pomóc w zdobyciu zaufania do dojrzałości stosowanego procesu rozwoju.

Zazwyczaj awaria w certyfikowanych systemach bezpieczeństwa jest akceptowalna [ przez kogo? ] jeśli średnio mniej niż jedno życie na 10 9 godzin ciągłej pracy jest tracone z powodu awarii. {zgodnie z dokumentem FAA AC 25.1309-1A} Większość zachodnich reaktorów jądrowych , sprzętu medycznego i samolotów komercyjnych ma certyfikaty [ przez kogo? ] do tego poziomu. [ Potrzebne źródło ] Koszt w porównaniu do utraty życia został uznany za odpowiedni na tym poziomie (przez FAA dla systemów samolotów zgodnie z federalnymi przepisami lotniczymi ).

Zapobieganie niepowodzeniom

Wykres NASA pokazuje zależność między przeżyciem załogi astronautów a ilością zbędnego sprzętu w ich statku kosmicznym („MM”, moduł misji).

Po zidentyfikowaniu trybu awarii zwykle można go złagodzić, dodając do systemu dodatkowy lub nadmiarowy sprzęt. Na przykład reaktory jądrowe zawierają niebezpieczne promieniowanie , a reakcje jądrowe mogą wytwarzać tyle ciepła , że ​​żadna substancja nie może ich zawierać. Dlatego reaktory mają awaryjne systemy chłodzenia rdzenia, które utrzymują niską temperaturę, ekrany zatrzymujące promieniowanie i skonstruowane bariery (zwykle kilka, zagnieżdżone, zwieńczone budynkiem zabezpieczającym ) , aby zapobiec przypadkowemu wyciekowi. Systemy o krytycznym znaczeniu dla bezpieczeństwa są zwykle wymagane, aby zezwalać na nie pojedyncze zdarzenie lub awaria komponentu skutkująca katastrofalnym trybem awarii.

Większość organizmów biologicznych ma pewną redundancję: wiele narządów, wiele kończyn itp.

Dla dowolnej awarii prawie zawsze można zaprojektować i włączyć do systemu przełączenie awaryjne lub nadmiarowość.

Istnieją dwie kategorie technik zmniejszania prawdopodobieństwa awarii: Techniki unikania błędów zwiększają niezawodność poszczególnych elementów (zwiększony margines projektowy, obniżenie wartości znamionowych itp.). Techniki tolerancji błędów zwiększają niezawodność systemu jako całości (redundancje, bariery itp.).

Bezpieczeństwo i niezawodność

Dalsze informacje: Nieodłączne bezpieczeństwo
Dalsze informacje: Inżynieria niezawodności

Inżynieria bezpieczeństwa i inżynieria niezawodności mają wiele wspólnego, ale bezpieczeństwo to nie niezawodność. Jeśli wyrób medyczny ulegnie awarii, powinien ulec awarii w bezpieczny sposób; chirurg będzie miał do dyspozycji inne alternatywy. Jeśli silnik w samolocie jednosilnikowym ulegnie awarii, nie ma kopii zapasowej. Sieci elektroenergetyczne są projektowane zarówno pod kątem bezpieczeństwa, jak i niezawodności; systemy telefoniczne są projektowane z myślą o niezawodności, która staje się kwestią bezpieczeństwa w przypadku wykonywania połączeń alarmowych (np. US „911”).

Probabilistyczna ocena ryzyka stworzyła ścisły związek między bezpieczeństwem a niezawodnością. Niezawodność komponentów, ogólnie definiowana jako wskaźnik awaryjności komponentów , oraz prawdopodobieństwo zdarzeń zewnętrznych są wykorzystywane w metodach ilościowej oceny bezpieczeństwa, takich jak FTA. Powiązane metody probabilistyczne są wykorzystywane do określenia średniego czasu między awariami systemu (MTBF) , dostępność systemu lub prawdopodobieństwo powodzenia lub niepowodzenia misji. Analiza niezawodności ma szerszy zakres niż analiza bezpieczeństwa, ponieważ uwzględnia awarie niekrytyczne. Z drugiej strony wyższe wskaźniki awaryjności są uważane za akceptowalne dla systemów niekrytycznych.

Bezpieczeństwa generalnie nie można osiągnąć wyłącznie poprzez niezawodność komponentów. Katastrofalne prawdopodobieństwo awarii wynoszące 10-9 na godzinę odpowiada wskaźnikom awaryjności bardzo prostych elementów, takich jak rezystory lub kondensatory . Złożony system zawierający setki lub tysiące komponentów może być w stanie osiągnąć MTBF na poziomie od 10 000 do 100 000 godzin, co oznacza, że ​​ulegnie awarii przy 10-4 lub 10-5 na godzinę. Jeśli awaria systemu jest katastrofalna, zwykle jedynym praktycznym sposobem na osiągnięcie wskaźnika awaryjności 10-9 na godzinę jest nadmiarowość.

Gdy dodanie sprzętu jest niepraktyczne (zwykle z powodu kosztów), wówczas najtańsza forma projektu jest często „z natury odporna na awarie”. Oznacza to, że należy zmienić projekt systemu, aby tryby jego awarii nie były katastrofalne. Nieodłączne zabezpieczenia przed awarią są powszechne w sprzęcie medycznym, sygnalizacji drogowej i kolejowej, sprzęcie komunikacyjnym i sprzęcie bezpieczeństwa.

Typowym podejściem jest zorganizowanie systemu w taki sposób, aby zwykłe pojedyncze awarie powodowały wyłączenie mechanizmu w bezpieczny sposób (w przypadku elektrowni jądrowych nazywa się to konstrukcją pasywnie bezpieczną , chociaż obejmuje więcej niż zwykłe awarie). Alternatywnie, jeśli system zawiera źródło zagrożenia, takie jak akumulator lub wirnik, możliwe może być usunięcie zagrożenia z systemu, aby jego tryby awarii nie były katastrofalne. Standardowa praktyka bezpieczeństwa systemów Departamentu Obrony Stanów Zjednoczonych (MIL-STD-882) przywiązuje najwyższy priorytet do eliminacji zagrożeń poprzez wybór projektu.

Jednym z najbardziej powszechnych systemów odpornych na awarie jest rurka przelewowa w wannach i zlewozmywakach kuchennych. Jeśli zawór się otworzy, zamiast spowodować przelanie i uszkodzenie, zbiornik przeleje się do przelewu. Innym typowym przykładem jest to, że w windzie linka podtrzymująca samochód utrzymuje otwarte hamulce sprężynowe. Jeśli linka pęknie, hamulce złapią szyny, a kabina windy nie spadnie.

Niektórych systemów nigdy nie można zabezpieczyć przed awariami, ponieważ wymagana jest ciągła dostępność. Na przykład utrata ciągu silnika podczas lotu jest niebezpieczna. W takich sytuacjach stosowane są procedury redundancji, tolerancji błędów lub przywracania (np. wiele niezależnych silników sterowanych i zasilanych paliwem). Powoduje to również, że system jest mniej wrażliwy na błędy przewidywania niezawodności lub niepewność związaną z jakością dla oddzielnych pozycji. Z drugiej strony wykrywanie i korygowanie awarii oraz unikanie awarii o wspólnej przyczynie staje się tutaj coraz ważniejsze dla zapewnienia niezawodności na poziomie systemu.

Zobacz też

Wspomnienia

Notatki

Źródła

Linki zewnętrzne

Pobrane z „ https://en.wikipedia.org/w/index.php?title=Safety_engineering&oldid=1127669385 ”