Análisis de Capa de Protección:

Presentación del tema: "Análisis de Capa de Protección:"— Transcripción de la presentación:

1 Análisis de Capa de Protección:
Visión General Perspectiva Histórica Un Nuevo Concepto para Sistemas de Control Relacionados a Seguridad LOPA, SIS, SIL ¿En dónde cabe LOPA?

2 Perspectiva Histórica
Estándares/Prácticas emergentes empiezan a obtener momentum IEC / 61511 Automatización de Proceso Seguro CCPS (1993) ISA SP (1997) ahora SPA 4 Análisis de Capas de Protección CCPS (2001) Guía publicada Verá parte de la historia de aplicar el programa de Instrumento Crítico. Mientras que el programa ha sido útil, nunca logró una consistencia en donde riesgos similares se trataran de la misma forma. Hubo variaciones. Por ejemplo: Instalaciones similares no siempre tenían la misma lista de instrumentos críticos similares El diseño del sistema de seguridad y programación no siempre estuvo suficientemente protegido. No ‘cerramos el aro’ en el sistema al asegurar que los sistemas de instrumentos identificados como ‘críticos’ fueran probados a los mismos procedimientos. El estándar internacional toma un acercamiento de ‘Ciclo de Vida’ que incluye valoración de riesgos, programa de control y diseño de hardware del sistema así como pruebas y mantenimiento. Al aparecer los estándares internacionales, las organizaciones como el Centro para Seguridad de Proceso Químico (CCPS) estudiaron métodos simplificados para tratar con la sección de la regulación sobre la valoración de riesgo. Históricamente, esta parte fue realizada a través de la descripción de escenario y una ‘Gráfica de Riesgo’ o tablas de selección. Nuestro nuevo acercamiento utiliza un Análisis de Capa de Protección (LOPA) que permite se consideren que todas las Capas de Protección independientes relevantes para el proceso.. Durante esta consideración, se vuelve claro si se necesita un Sistema Instrumentado de Seguridad. LOPA también ofrece los requisitos básicos para cualquier SIS necesario. Queremos que pruebe el libro de trabajo LOPA, que lo compare con cualquier sistema que ya esté utilizando y que nos dé retroalimentación.

3 Un Nuevo Concepto... Combinar Capas de Protección tradicionales con Sistemas Instrumentados de Seguridad en una nueva herramienta de análisis para determinar los requisitos de Nivel de Integridad de Seguridad para sistemas de Instrumentos Relacionados a la Seguridad Incorporar a la metodología “Los Criterios de Tolerancia LOPA” o “Factores Objetivos” que cumplan con la tolerancia de riesgo objetivo. Las mayores innovaciones en este nuevo acercamiento son: El establecimiento de ‘Factores Objetivo’ que se relacionan a la frecuencia tolerable que queremos lograr para escenarios de eventos de diferente gravedad. Entre más serio sea el evento, menor será la frecuencia objetivo. El análisis de Capas de Protección (LOPA) con una herramienta de hoja de cálculo que construye el desempeño de cada capa de protección independiente (IPL) hasta lograr el ‘Criterio de Tolerancia de Riesgo’. Reglas sobre la aplicación de principios, diseño y requisitos de independencia para cada capa de protección.

4 …Que Trata Estos Temas... ¿He definido mis criterios u objetivo de tolerancia de riesgo? ¿Mi sistema asegura que mis criterios se cumplen? ¿Necesito un Sistema Instrumentado de Seguridad? ¿Existen Alternativas? Intervalos de Prueba Redundancia Confiabilidad/ Apagados Falsos Programación del Software Consistencia Global y Estándares de la Industria Requisitos Internos para la gestión de riesgos Autoridad Competente/Requisitos de Regulador IEC y otras guías establece lo que se espera y dan ejemplos. Gráficas de Riesgo, árboles de fallas, Matrices y LOPA se mencionan. Cuando se utiliza el acercamiento LOPA con cada evento iniciador para cada escenario: Indicará si es necesaria una protección adicional (ej., SIS) o si las capas de protección existentes (incluyendo sistemas de instrumentos existentes) ofrecen suficiente protección. Promueven una consideración de posibles alternativas de protección. Las reglas LOPA le ofrecerán asistencia sobre diseño: La información para decidir si una Capa de Protección es verdaderamente independiente Diseño de hardware y software y requisitos de gestión Redundancia necesaria para satisfacer SIL así como tomar en cuenta intervalos de prueba factibles y disponibilidad del proceso. Intervalos de prueba Requisitos de prueba Registro y Disciplina de Operación Algunas, pero no todas las reglas se indican en este curso.

5 …Mientras que se Mantiene Simple
Términos y Sistemas Matemáticos Complejos Herramientas Simples Todo el tema es complejo. Algunas definiciones importantes : PFD = Probabilidad de Falla en Demanda. λDU = Frecuencia de Falla Peligrosa no Detectada λDD = Frecuencia de Falla Peligrosa Detectada MTTR = Tiempo Promedio para Reparación Existen cálculos elegantes disponibles del análisis de árbol de fallas y modelos de sistema instrumentado de seguridad, con índices de falla de equipo para diferentes condiciones y ambientes e intervalos de prueba influenciando los índices de demanda y redundancia. Sería poco razonable esperar que todos tengan los datos para dominar y utilizar estas técnicas. Hemos llevado toda la matemática a la forma más sencilla posible. Esto permite una aplicación fácil, rápida y consistente. Queda claro que habrá casos en donde los cálculos completos podrías ser benéficos, pero estos deben ser la excepción. = 4 o 0.1x0.01x0.07=

6 Aplicar LOPA- compatibilidad con … el ‘corbatín’
Este es el ‘corbatín’ favorecido por el Health and Safety Executive

7 ¿Qué Significa Todo Esto??
Factores Crédito IPL LOPA SIL IPL Factores Objetivo LOPA SIF SRPS SIP SIS El tema de Sistemas Instrumentados de Seguridad está lleno de Acrónimos y jerga técnica. Aquí presentamos la mayoría de los acrónimos: Sistema de Control de Proceso Básico (BPCS) – Una combinación de Sensores, Resolvedores Lógicos y elementos Finales que regulan de forma automática el proceso dentro de límites normales de producción. Sistemas Instrumentados de Seguridad (SIS) – Una combinación de Sensor, Resolvedor Lógico y Elementos Finales que detecta una condición fuera de los límites (anormal) y la lleva a una condición segura sin intervención humana (realiza la funcionalidad de seguridad requerida). Nivel de Integridad de Seguridad (SIL) – Una medición de los requisitos de integridad para el Sistema Instrumentado de Seguridad Nivel de Confiabilidadl (RL) - Una medida del requisito de confianza para evitar pasos en falso. Programa de Integridad de Seguridad (SIP) - El programa de seguridad para el resolvedor lógico. Resolvedor Lógico- El elememnto de BPCS o SIS que implementa una o más funciones lógicas. Probabilidad de Falla en Demanda (PFD) - La probabilidad de que un sistema fallará al realizar una función especificada a demanda. Capa Independiente de Protección (IPL) - Una capa de protección que evitará que un escenario no seguro progrese sin importar el evento iniciador o el desempeño de otra capa independiente de protección Análisis de Capas de Protección (LOPA) - Un proceso para evaluar la efectiviad de Capas Independientes de Protección al reducir la probabilidad o gravedad de un evento no deseado para cumplir con las necesidades organizacionales. Función Instrumentada de Seguridad (SIF) – La acción completa que el SIS está diseñado a realizar desde sensibilización al elemento final de control. Factores de Evento Iniciador PFD BPCS RL Modificador Condicional

8 Términos Comunes y Acrónimos que Utilizaremos
Análisis de Capa de Protección (LOPA) - Un proceso para evaluar la efectividad de las Capas Independientes de Protección reduciendo la probabilidad o (posiblemente) severidad de un evento indeseable para cumplir con las necesiades organizacionales. Función Protectora BPCS – Cualquier acción, iniciada por Instrumentación, un BPCS, falla de equipo o respuesta humana, que se pretende para lograr o mantener un estado seguro del proceeso en relación a un evento peligroso específico. Esto incluye todas las “Funciones Instrumentadas de Seguridad” no instrumentadas identificadas en LOPA. Función Instrumentada de Seguridad (SIF) – La acción completa que el SIS está diseñado a realizar sintiendo el elemento de control final Función de Sistema de Protección Relacionado con la Seguridad – La acción completa que el Sistema de Protección Relacionado a Seguridad (SRPS) está diseñado a realizar de sentir hasta el elemento de control final

9 Factor Objetivo LOPA (TF) = número de frecuencia de evento ‘tolerado’ (ej. 1 evento en años TF = 5) Factor de Evento Iniciador = número de frecuencia de evento iniciador (ej. Frecuencia de falla 1 por 10 años, IEF = 1) IPL = Capa Independiente de Protección Factor Crédito IPL = número de Probabilidad de Falla en demanda (PFD de 0.01 da c.f. de 2)

10 Es un Proceso de Análisis Simple
Utilizar el Análisis de Capa de Protección (LOPA) para determinar si el Sistema Instrumentado de Segrudad se requiere y si es así, la necesidad de Niveles de Integridad de Seguridad (1-3) Tratar los Niveles de Confiabilidad (Tolerancia de Falla) deseados y los SILs para determinar el sensor necesario, resolvedor lógico y configuración de elemento final y los intervalos de prueba necesarios El uso de LOPA indicará si un SIS es necesario, y si es así, qué Función Instrumentada de Seguridad y que Nivel de Integridad de Seguridad necesita lograr. Niveles de confiabilidad necesarios por operaciones de planta y los intervalos de prueba factibles para varias configuraciones de diseño permitirán elegir la arquitectura para el hardware mientras se satisfacen las necesidades SIL: Grados de redundancia Lógica de arbitración de redundancia (relacionada a la función de apagado) Ejemplo: un sistema con sensores duales puede tener: a) “1 de 2” lógica (viajes del sistema si cualquier sensor da una señal al punto de inicio del viaje), o b) “2 de 2” (viajes del sistema después de que ambos sensores dan una señal a su punto de inicio del viaje) Nota: a) generalmente ofrecerá más viajes falsos que b)

11 ¿Cómo Funciona? La “Cebolla” LOPA
Respuesta de Emergencia de la Planta Protección Física, ej., Dispositivos de Alivio Acción Preventiva del Sistema Instrumentado de Seguridad Alarmas Críticas e Intervención del Operador Sistema de Control de Proceso Básico.Disciplina de Operación / Supervisión Integridad del Diseño de Planta Respuesta de emergencia de la comunidad LOPA funciona al permitir un análisis de cada una de las Capas de Protección Independiente relevantes que ‘rodean’ a la operación de manufactura, por ejemplo un reactor en donde hemos teorizado que un escenario peligroso puede ser posible.

12 La “Cebolla” LOPA Integridad del Diseño de Planta
La primera capa de protección es el diseño de proceso que hemos adoptado. En la mayoría de los casos ya se ha realizado un diseño Inherentemente más Seguro.

13 La “Cebolla” LOPA Sistema de Control de Proceso Básico.Disciplina de Operación / Supervisión Integridad del Diseño de Planta La siguiente Capa de Protección independiente es el Control de Proceso Básico, muestra la información y procedimientos de operación utilizados por los operadores.

14 La “Cebolla” LOPA Alarmas Críticas e Intervención del Operador
Sistema de Control de Proceso Básico.Disciplina de Operación / Supervisión Integridad del Diseño de Planta La siguiente Capa de Protección se ofrece por las alarmas críticas para el operador y la intervención que se requiere que haga. Esta capa puede no ser independiente del Control de Proceso Básico, ya que las alarmas se pueden derivar de los mismos sensores. Existen reglas para esto. Necesita determinar la independencia.

15 La “Cebolla” LOPA Acción Preventiva del Sistema Instrumentado de Seguridad Alarmas Críticas e Intervención del Operador Sistema de Control de Proceso Básico.Disciplina de Operación / Supervisión Integridad del Diseño de Planta SIS son independientes de la IPL que ofrece una acción automática. Una parte importante es la especificación de la SIF y el SIL. Ej. Una desviación de alto peso dispara una válvula de bloqueo o detiene una bomba. De nuevo, necesita guías sobre la calificación del sistema como ‘independiente’.

16 La “Cebolla” LOPA Protección Física, ej., Dispositivos de Alivio
Acción Preventiva del Sistema Instrumentado de Seguridad action Alarmas Críticas e Intervención del Operador tion Sistema de Control de Proceso Básico.Disciplina de Operación / Supervisión Integridad del Diseño de Planta La respuesta de Emergencia de la Planta ofrece únicamente cierta mitigación.

17 La “Cebolla” LOPA Respuesta de Emergencia de la Planta
Protección Física, ej., Dispositivos de Alivio Acción Preventiva del Sistema Instrumentado de Seguridad Alarmas Críticas e Intervención del Operador Sistema de Control de Proceso Básico.Disciplina de Operación / Supervisión on Integridad del Diseño de Planta La respuesta de Emergencia de la Planta ofrece únicamente cierta mitigación.

18 La “Cebolla” LOPA Respuesta de emergencia de la comunidad
Respuesta de Emergencia de la Planta Protección Física, ej., Dispositivos de Alivio Acción Preventiva del Sistema Instrumentado de Seguridad Alarmas Críticas e Intervención del Operador Sistema de Control de Proceso Básico.Disciplina de Operación / Supervisión Integridad del Diseño de Planta Respuesta de emergencia de la comunidad Por último, tenemos la Respuesta de Emergencia de la Comunidad. Aunque es importante, es difícil imaginar como juega un papel significativo en un LOPA.

19 La “Cebolla” LOPA Capasent Independientes de Protección
RESPUESTA DE EMERGENCIA DE LA COMUNIDAD RESPUESTA DE EMERGENCIA DE LA PLANTA PROTECCIÓN FÍSICA (DIQUES) PROTECCIÓN FÍSICA (DISPOSITIVOSDE ALIVIO) ACCIÓN AUTOMÁTICA SIS O ESD ALARMAS CRÍTICAS, SUPERVISIÓN DEL OPERADOR E INTERVENCIÓN MANUAL CONTROLES BÁSICOS, ALARMAS DE PROCESO Y SUPERVISIÓN DE OPERADORES DISEÑO DE PLANTA Así es como lo muestra el Centro para la Seguridad de Proceso Químico (CCPS).

20 Capa Independiente de Protección (IPL)
INDEPENDENCIA Capa Independiente de Protección (IPL) Una capa de protección que evitará que un escenario poco seguro progrese sin importar el evento iniciador o el desempeño de otra capa de protección. ¿Repitiendo lo obvio? Las pruebas también son esenciales

21 El Concepto Original Ron Bell
Consecuencia de Evento peligroso Instalciones externas de reducción de riesgo Otros SRSs de Tecnología Riesgo de cumplir nivel De Seguridad Nivel de Riesgo E/E/PES SRSs Frecuencia de Evento peligroso Reducción de riesgo mínima necesaria El sistema se muestra en diagrama. Similar al diagrama del corbatín. Equipo bajo Control

22 Concepto de Capa de Protección
Ocurre Evento Impacto Frecuencia de Evento Impacto, ÉXITO Resultado Seguro Evento Iniciador ÉXITO Resultado Seguro Frecuencia Estimada ÉXITO El diagrama ilustra como se acreditan las capas independientes de protección. El sistema está diseñado para responder de forma segura a un evento iniciador o demanda. Si ocurre un evento, existen dos posibilidades en donde la primera IPL siente el evento, puede fallar (esperemos con una baja probabilidad de falla en demanda (PFD)) o puede funcionar exitosamente. La frecuencia de falla peligrosa resultante es el producto de la frecuencia del evento (la demanda) multiplicada por el PFD de la primera capa. Si falla, la siguiente capa de protección necesita funcionar, de nuevo hay 2 posibilidades, falla o éxito. La frecuencia de falla acumulada es el producto de la frecuencia del evento original y los PFDs de las 2 capas de protección. Mientras que cada capa es llamada a funcionar, la frecuencia de falla de todo el sistema se vuelve progresivamente menor. Esperemos lograr el Criterio de Tolerancia de Riesgo. Resultado Seguro Clave: La flecha representa gravedad y frecuencia del Evento Impacto si IPLs posteriores no son exitosas Evento Impacto Frecuencia GRAVEDAD - Capa Independiente de Protección - Probabilidad de Falla en Demanda - frecuencia/año

23 Lo que hace LOPA con el árbol de eventos
Ejemplo Criterio de Tolerancia de Riesgo (frec.) 10-7 Frecuencia del Evento Iniciador 10-1 Modificador Condicional 10-2 PFD de 1er IPL (BPCS) 10-1 PFD de 2do IPL (Alarmas + Operador) 10-1 Así que si imaginamos una operación de descargar un vagón de Óxido Etileno en un almacén en donde un error del operador puede causar que el almacén se desborde o presente sobrepresión, podríamos estimar que un error de operador podría ocurrir una vez cada diez años. La alarma de alto nivel y el viaje de la bomba son partes de las Capas de Protección controladas por BPCS Existe una alarma de alto nivel independiente y un viaje que están conectadas de forma independiente del sistema de control de proceso. Podemos construir una imagen en donde la frecuencia del evento iniciador se multiplica por el PFDs para cada Capa de Protección hasta que tenemos una frecuencia de derrame o sobrepresión cuando todas nuestras Capas de Protección fallen. SIL (1-3) para SIS1 10-? SIS Requerido. SIL = 10-7/(10-1*10-2*10-1*10-1) = 10-2

24 Qué hace LOPA conel árbol de eventos- alternativa -
Ejemplo Criterio de Tolerancia de Riesgo (frec.) 7 Frecuencia del Evento Iniciador 1 Modificador Condicional 2 PFD de 1er IPL (BPCS) 1 PFD de 2do IPL (Alarmas + Operador) 1 Para poder determinar cuando las capas de protección conocidas son suficientes, necesitamos tener un Criterio de Tolerancia de Riesgo u objetivo. (explicado en las siguientes láminas). En el mismo ejemplo, si decidimos que queremos lograr el factor LOPA predeterminado de 7 (1-E-07 frecuencia) necesitamos restar la suma de la frecuencia del evento iniciador y las Capas Independientes de Protección expresadas como su valor exponencial absoluto (ver el lado derecho). La diferencia está en el espacio de protección, su objetivo es cero o menor. En nuestro caso, el análisis revela que después de que se han considerado todas las capas, existe un espacio de 2. Que se puede llenar con un SIS o cualquier otra IPL factible con un PFD de 1e-02- SIL (1-3) para SIS1 ? SIS Requerido. SIL = = 2 Concepto de cerrar el Espacio de Protección

25 Herramientas Hojas de Trabajo en Papel Hojas de cálculo Excel
Siguen ejemplos: Hojas de trabajo anexadas en el apéndice

26 Una hoja de trabajo LOPA
Se ha desarrollado una hoja de trabajo Excel con todas las tablas requeridas incorporadas por el formador de curso y está disponible. Procedimiento de trabajo: (Las tablas de riesgo se discutirán en las siguientes pantallas). LOPA inicia con la identificación de un escenario peligroso y la cantidad potencial de químicos involucrados resultando en el factor objetivo. El factor se debe insertar en la fila de seguridad (amarilla) o negocio (azul) debajo del escenario. Para cada uno de estos, los eventos iniciadores probables necesita ser definido en una fila separada y su frecuencia colocada en la columna adecuada de la hoja de cálculo. Como el siguiente paso, todas las IPLs necesitan definirse y su función descrita en la columna adecuada. También se debe determinar e insertar el factor de crédito. Si deja vacías las columnas “SIS A” y “SIS B” para el primer pase, encontrará que el espacio de protección resultante se calcula de forma automática en su columna. Cuando el Espacio de Protección se lleva a cero, puede ser como un resultado del desempeño básico de Sistema de Control de Proceso o al especificar uno o más SIS o al agregar una IPL alternativa como PSV y sistema de contención.

27 Hojas de trabajo LOPA O se puede graficar de forma horizontal
Mostrar la hoja de cálculo Excel

28 Modificadores Condicionales Definición del Escenario
Definición del Escenario Modificadores Condicionales Espacio de protección Descripción del escenario Frecuencia de Evento Tolerado Objetivo (causado por) evento iniciador Frecuencia de evento iniciador Ignición (válido para escenarios de incendioo explosión (únicamente) Probabilidad de exposición/tiempo en riesgo Capas independientes de instrumento deben tener sensores separados, resolvedores lógicos y elementos finales. Otros sistemas de protección relacionados con seguridad Objetivo es 0 o menor NoRef. Dar descripción completa de resultado no deseado Describir la consecuencia del escenario, luego utilizar listas en la flecha azul Dar una descripción completa del evento iniciador Describir el evento iniciador Registrar la probabildiad de encendido (POI) en la fila blanca si es relevante Justificar la probabilidad de exposición o tiempo en riesgo en la fila blanca Acción de Control BPCS – describir en la fila blanca Respuesta del operador a alarmas y procedimientos por escrito- describir en la fla blanca Sistema Instrumentado de Seguridad 1 Sistema Instrumentado de Seguridad 2 Escenarios de sobrepresión del sistema de Alivio de Presión SRPS 1 1.0 Derrme de interceptor- lleva a incendio posible fatalidad Falla el control de nivel La operación es <10% del tiempo Función BPCS perdida SIL 3 Sistema de disparo nivel SIL 3 Estudio de seguridad Fatalidad en sitio Falla de Aro de Instrumento BPCS POI > 500kg liberado M.I.E. <0.3 mJ 0.1 Probabildiad de exposición Sin disparo BPCS a apagado seguro Alarma es de BPCS- no independiente SIS - SIL 3 5 1 3 Descargas de derrama del sistema de alivio- explosión o incendio Más de 1 fatalidad Combianción de falla de nivel y línea de vapor cerrada Sin crédito Menos de 10% del tiempo Más de una fatalidad fuera de sitio 2 7 Manguera falla fuga grande Operador observa- formado y ESD Exceso válvula de flujo Frecuencia 1 en 1000 años Fuga de tubería < 100m 0.1 Probabilidad de exposición Baja respuesta de estres del operadorreconocida por evento > 10 minutos para responder 1 – Otros sistemas de protección relacionados con seguridad (PFD=0.1)

29 Comenzar Desarrollar un Escenario (ej., Consecuencias
en HAZOP – detalles después) Determinar los Criterios de Tolerancia de Riesgo (Objetivo) – una frecuencia Identificar pares Causa-Consecuencia Registrar en el sistema de su elección Antes de comenzar la identificación de un escenario e identificar los Factores Objetivo, debemos determinar el Peligro presente- Peligro Químico u otro. Toxicidad, efecto Ambiental, Inflamabilidad, Inestabilidad, Reactividad…

30 Criterios de Tolerancia de Riesgo
Si el escenario descrito está relacionado directamente a la lesión, esta tabla está disponible.

31 Se pueden considerar pérdidas £ si se desea
Considerar todos los eventos iniciadores a cambio y poblar su documentación U.S. Dupont está siguiendo este acercamiento También existe una tabla de Valores Objetivo que se puede aplicar cuando una Interrupción de Negocio, Pérdida de Propiedad o daño Ambiental Cuantificable sean los escenarios de interés. El Valor Objetivo es, en esencia, la frecuencia máxima para el escenario determinada por la Corporación, la Industria y varias Agencias Regulatorias. Por ejemplo, Un Valor Objetivo de 7 es una vez cada 10,000,000 años. De aquí utilizaremos la frecuencia del evento iniciador para el escenario y la confiabilidad de las varias IPLs disponibles para lograr la frecuencia objetivo.

32 Ejemplo de Hoja de Trabajo LOPA
Esta es una ilustración del libro de trabajo LOPA que es un libro de Excel. Nota, hay columnas para: El escenario peligroso de interés Los criterios de tolerancia de riesgo corregidos Los eventos iniciadores que podrían causarlo Modificadores condicionales Capas Independientes de Protección.

33 Paso 2 – Eventos Iniciadores (ej., casua de HAZOP)
Para cada escenario, los eventos iniciadores necesitan definirse. Pueden existir varios eventos iniciadores para un escenario. Cada evento iniciador se debe colocar en una fila separada de la hoja de cálculo y el factor de frecuencia correspondiente se debe colocar en la columna adecuada de la hoja de cálculo. Esta pantalla se ha modificado el 31 marzo 2004 para eliminar cualquier conteo doble posible para Error del Operador. Parece mejor tomar una sola frecuencia para error de operador y luego (si aplica) ajustar por la probabilidad de su error para un <1% o <10% del año. Ejemplo de índices de falla utilizados por el ex-empleador Utilizar las propias, fuentes de la industria o Autoridades competentes

34 Reglas Básicas para Eventos Iniciadores
1 El software de control de proceso no debe ser un evento iniciador. Las pruebas y similación deben estar establecidas para eliminar como fuente. El Cambio de Gestión debe ser lo suficientemente robusto para evitar corromper el programa operador. 2 Un IPL no puede ser un evento iniciador. Las únicas excepciones son elementos fallidos de BPCS y Alarmas- si pueden crear el escenario. 3 Los eventos iniciadores son eventos únicos, pero se pueden modificar por la probabilidad de un Modificador Condicional ocurriendo (ej., una ignición ocurriendo). Las reglas se explican más a fondo en la sección separada del curso relacionada a eventos iniciadores.

35 Paso 3 – Modificadores Condicionales
Otras condiciones que deben ser verdaderas para que el escenario se desarrolle por completo ej. Probabilidad de ignición Probabilidad de exposición No aplicable a muchos escenarios Y cuando esté seguro- avanzar a Capas Independientes de Protección Las reglas para esto se explcian en la sección adecuada del material del curso.

36 Modificadores Condicionales- Reglas Básicas para ignición Permitendo Probabilidad
1 Para eventos inflamables.Para otros (ej., exposición tóxica) eventos el valor es 0. 2 Colocar un valor de 1 ó 2 dependiendo de la inflamabilidad del químico. Ej. Crédito = 1 para hidrógeno, acetileno, EO, PO, etileno, butadieno Crédito = 2 para otros hidrocarbonos para cantidades entre 50 y 501 kg 3 Ingresar un valor de 3 si la rayos son la fuente de ignición.

37 Ejemplos Este es un acercamiento sugerido para la probabilidad de ignición. El ‘libro morado’ NL contiene más.

38 Probabilidad de que alguien estará expuesto a un peligro basados en el tiempo en riesgo.

39 Ejemplos de Probabilidad de Exposición
Modificadores Condicionales Probabilidad de Exposición Probabilidad de Modificador Condicional Factor LOPA del Modificador Condicional Probabilidad de exposición permitió uqe los pasos de proceso en operación por menos de 5 semanas al año 1x10-1 1 Probabilidad de exposición permitió uqe los pasos de proceso en operación por menos de 3 días/año 1x10-2 2 Probabilidad de que las personas estarán en el área de consecuencia y expuestos a ella. (ej., áreas rara vez visitadas u ocupadas como granjas de tanques remotas). 1x10-1 ó 1X10-2 1 ó 2 Probabilidad de exposición se puede valorar de forma lógica y utilizar si aplica.

40 Paso 4 IPLs Identificar la función protectora BPCS, si existe
Enlistar cualquier alarma y respuesta del operador (se requiere procedimiento por escrito) Registrar dispositivos de alivio de presión calificadores Documentar Otros Sistemas Relacionados de Seguridad Prácticas de Gestión Acciones Humanas Sistemas de Protección a la Máquina Hablaremos de IPLs más adelante. Se darán ejemplos en ese momento.

41 Regla General de Independencia
Ser independiente, una capa de protección deberá prevenir que uun escenario poco seguro progrese sin importar el evento iniciador o el desempeño de otra capa de protección.

42 En el siguiente paso todas las Capas de Protección Independiente se definen y su función se describe en la columna adecuada. También se determina e inserta el factor de crédito. La tabla anterior permite ‘créditos’ para cada IPL y se extrae del libro de trabajo LOPA. Para todas las IPLs utilizamos PFD para IPL. Si deja las columnas “SIS A” y “SIS B” vacías para el primer pase, encontrará que el Espacio de protección resultante se calcula en su columna. El Espacio de Protección se debe llevar a cero. Esto se puede realizar poe el desempeño básico de Sistema de Control de Proceso. Puede ser necesario especificar uno o más SISs o agregar una IPL alternativa como PSV y/o sistema de contención. Cunado se muestra que un SIS es necesario, necesitará tener un SIL de 1, 2 ó 3, dependiendo de la integral en la columna de Espacio de Protección de la Hoja de Cálculo.

43 Reglas Básicas para BPCS y Alarmas
Si un BPCS (aro completo) es un Evento Iniciador, no se toma crédito para BPCS o IPLA de alarma amenos que sean sistemas completamente separados. Si BPCS e IPLs de Alarma utilizan el mismo sensor, se debe tomar crédito únicamete para un IPL. La IPL de Alarma requiere una acción formalmente registrada y auditable del operador para prevenir el escenario. Si una falla de sensor es el evento iniciador, BPCS ye IPL de Alarma no son créditos válidos se requieren que el sensor fallido funcione. Si una falla de sensor es el evento iniciador, BPCS ye IPL de Alarma no son créditos válidos se requieren que el sensor fallido funcione. (más común podría ser una válvula de control). Si un resolvedor lógico BPCS es un Evento Iniciador, no se toma crédito para el BPCS o IPL de Alarma, a menos que la IPL con alarma sea un sistema completamente separado . Si una Alarma es una IPL, el operador debe tener tiempo para prevenir el escenario. No se debe tomar crédito si el operador tiene menos de 10 minutos para responder. Puede ser capaz de tomar crédito si este es un caso reconocido en el Plan de Respuesta de Emergencia. Máximo de un crédito (1) BPCS y un crédito (1) Alarma IPL se permiten para el caso. Compartir elementos BPCS y SIS se permite cuando existe evidencia de independencia adecuada . (ver reglas para compartir elementos SIS por el BPCS) Los dispositivos de seguridad mecánica como salidas de sobre-velocidad no son IPLs instrumentadas. Sin embargo pueden calificar como Sistema de Protección Independiente Relacionado a Seguridad bajo los Otros Sistemas Relacionados a Seguridad . Estas son las reglas que son típicas. Ajústelas o ignórelas si SABE lo que está haciendo.

44 Paso 5 – Otras IPLs diferentes SIS
Dispositivos de alivio Llamaradas Contención Otros Sistemas de Protección Relacionados a Seguridad (SRPS – ver después) Podemos considerar estas, pero se necesita tener cuidado para justificar etc. Luego considere los Sistemas Instrumentados de Seguridad Si se siguen teniendo espacios de protección

45 Reglas para Dispositivos de Alivio de Presión
1 El Dispositivo de Alivio de Presión protege o no protege. No se permite dar crédito parcial. 2 Si un Dispositivo de Liberación de Presión se descarga en la atmósfera creando un 2do peligro (a las personas, ambiente o equipo), no se permite dar crédito. Si la liberación a la atmósfera tiene un riesgo aceptable, se puede tomar crédito 3 Si el Dispositivo de Liberación de Presión se descarga en una llamarada, tanque o depurador, se toma crédito 4 Esta no es una herramienta para decidir “No se Necesita Dispositivo de Protección para Sobrepresión”.

46 Reglas para Otros Dispositivos de Protección Relacionados a la Seguridad
1 Sistemas queno son Dispositivos de Alivio de Presión y no son sistemas instrumentados se consideran en esta columna. 2 Los diques y cubetos no son una IPL para casos de seguridad- no se permite crédito ya que solo pueden reducir las consecuencias (y por lo tanto ya se contabilizaron en el escenario). Para un caso de negocio involucrando un escenario ambiental, los diques y cubetospueden reducir la frecuencia de daño ambiental- se permite crédito. 3 Incluye edificios de contención o cercamientos, si están presentes.. 4 Los sistemas no enlistados necesitan mucho cuidado y aprobaciones. Estas reglas vienen de una empresa – tal vez queramos debatir

47 Asuntos Técnicos Varios sensores en el BPCS ayudan en las pruebas pero
No cambian mucho los niveles de riesgo Los sensores SIS compartidos con BPCS – se necesitan reglas Existen varias preguntas detalle restantes que se pueden contestar únicamente con experiencia a fondo del tema. El crédito BPCS (máx. 1) representa únicamente la instrumentación estándar. Para poder obtener crédito para varios instrumentos deben ser parte de una función SIS (que también asegura qeu cumplirar con la calidad declarada). Bajo ciertas circunstancias es posible compartir los sensores SIS con el BPCS (y guardar un sensor ahí) pero se debe verificar con un experto en tecnología de instrumentos. La separación estructa de control y función de seguridad se requiere para poder obtener IPLs. Existen temas de Gestión de Cambios.

48 Lo que hace LOPA con el árbol de eventos (recapitulación)
Ejemplo Criterios de Tolerancia de Riesgo (frec.) 10-7 Frecuencia de evento iniciador 10-1 Modificador Condicional 10-2 PFD de 1ero IPL (BPCS) 10-1 PFD de 2do IPL (Alarmas + Operador) 10-1 Podríamos necesitar un SIS SIL (1-3) para SIS1 10-? SIS Requerido. SIL = 10-7/(10-1*10-2*10-1*10-1) = 10-2

49 Recapitulación algunos Términos Nuevos
Sistema Instrumentado de Seguridad (SIS) Una combinación de sensores, resolvedor lógico y elementos finales que detecta una condición fuera de límite (anormal) sin intervención humana ¿Qué propiedades tiene SIS? Protégé contra peligros específicos. Realiza una función de seguridad requerida. Tiene una confiabilidad definida. Es independiente de otros sistemas de protección o alivio.

50 Niveles de Integridad de Seguridad (SIL)
Más Términos Nuevos Niveles de Integridad de Seguridad (SIL) Un criterio de confiabilidad para un SIS definiendo la probabilidad del sistema fallando al realizar su función en demanda. Por definición, estos son PFDs y SISs.

51 BPCS y SIS son Diferentes
BPCS mantiene a la planta dentro de los parámetros de operación definidos BPCS y SISs pueden actuar como IPLs Es poco probable que un BPCS cumpla > SIL1 PFD o requisitos de Falla (puede incluso ser evitado a menos que se certifique) Requisitos de certificación son diferentes Requisitos de documentación son diferentes Los requisitos de prueba son diferentes Es importante comprender las diferencias entre BPCS y SIS. IEC ofrece una guía que aplifica esto.

52 Paso 6 tratar las necesidades SIS
Enlistar las Funciones Instrumentadas de Seguridad si se requiere. El SIL del SIF es el valor numérico necesariopara “Cerrar el Espacio de Protección”. Ahora llegamos al SIL o al SIS. (Si se necesita uno o más)

53 Reglas Básicas para SIS
1 Las entradas SIS se consideran al último y únicamente si es necesario cerrar un espacio de protección 2 Un valor positivo, diferente a cero en la columna de Espacio de Protección indica que un SIS es necesario. 3 El SIL requerido del SIS es el valor que cierra el Espacio de Protección 4 Un valor SIL mayor a 3 no se debe permitir. IPLs no Sis adicionales se requieren- o existe algo mal con el proceso 5 Un valor cero o negativo en la columna de Espacio de Protección indica que un SIS no es necesario. 6 Un Sis con un SIL de 2 o 3 se puede reemplazar con una combinación de Sil menores siempre y cuando sean independientes. SIL 1 + SIL 1 = SIL 2 ; SIL 1 + SIL 2 = SIL 3 7 Dos (2) IPLs SIS utilizadas en el mismo caso requieren de sensores separados, resolvedor lógico y elemento final. Se deben utilizar rutas independientes a través del mismo resolvedor lógico. Algunas reglas de SISTEMAS INSTRUMENTADOS DE SEGURIDAD

54 Hemos completado nuestro análisis
Cuando se demuestra que se necesita un SIS, necesitará tener un SIL de 1, 2 ó 3. Dependiendo en la integral en la columna de Espacio de Protección en la hoja de cálculo Cualquier SIS necesario se debe instalar con la configuración correcta…

55 Paso 7 Documentar por completo el escenario, evento iniciador, modificadores condicionales, IPLs. Justificar y tratar incertidumbres y sensibilidades. Documentar los requisitos SIS Y los requisitos para otros Sistemas de Protección Relacionados a Seguridad Asegurar que se comuniquen todos los requisitos al Diseño de Instrumentación y a la función de Mantenimiento Se necesita documentación para cada caso e IPLS. Los ejemplos se ofrecen en el material del curso.