Stanisław Trzcionka Bezpieczeństwo funkcjonalne urządzeń w przestrzeniach zagrożonych wybuchem Equipment s functional safety in explosive atmospheres Streszczenie W niniejszym artykule dokonano rozeznania sposobów oceny poziomów bezpieczeństwa procesów technologicznych, stosowanych w różnych dyrektywach Unii Europejskiej i normach formułujących wymagania w tym obszarze oraz zachodzących między nimi relacji. Zakres pracy został ograniczony do urządzeń elektrycznych podlegających wymaganiom Dyrektywy ATEX [1], przeznaczonych do pracy w przestrzeniach zagrożonych wybuchem gazów, par cieczy palnych i pyłów. Podjęto próby analizy wymagań dotyczących poziomów nienaruszalności bezpieczeństwa funkcjonalnego urządzeń elektrycznych/ elektronicznych/elektrycznych programowalnych (E/E/EP), pod kątem możliwości ich aplikacji w poszczególnych rodzajach budowy przeciwwybuchowej. Abstract Paper presents several methods of evaluating safety levels used in different UE directives and standards formulate requirements in this area, relations between them have been considered. The scope of work was narrowed to electrical devices subjected to requirements of ATEX [1] directive - equipment intended for use in areas endangered with explosion of flammable gases vapours. Attempts were made to analyse requirements considering levels of functional safety integrity of electrical/electronic/electronically programmable devices (E/E/EP), in the light of capability of applying those in different types of explosionproof construction. 1. WPROWADZENIE Problematyka bezpieczeństwa i ochrony zdrowia w krajach Unii Europejskiej jest regulowana aktami prawnymi na poziomie dyrektyw. Są one wiążące dla państw członkowskich, które są zobowiązane do dokonania ich wdrożenia w całości do prawa krajowego w określonym terminie po ich opublikowaniu w Dzienniku Urzędowym UE. W przestrzeniach zagrożonych wybuchem gazów, par cieczy palnych i pyłów, wymagania dotyczące bezpieczeństwa i ochrony zdrowia w miejscu pracy regulują dyrektywy: ATEX 100 [1] i ATEX 137. Stosowane w tym środowisku przemysłowym urządzenia i maszyny, podlegają również dezyderatom dyrektywy maszynowej [3]. Powyższe akty prawne definiują m.in. zagrożenia i minimalne środki oraz sposoby ochrony. Wymagany poziom ochrony jest zapewniany przez spełnienie wymagań norm zharmonizowanych. Poziom bezpieczeństwa procesu technologicznego jest jednym z jego istotnych parametrów. Wzrastające możliwości funkcjonalne elektrycznych, elektronicznych, niejednokrotnie programowalnych układów sterowania czy monitorowania zagrożeń powodują, że są one wykorzystywane do coraz trudniejszych zadań w zakresie bezpieczeństwa ludzi i mienia. Powstaje pytanie, jaki jest poziom niezawodności takich układów lub urządzeń, w szczególności, jaki jest poziom niezawodności wykonania przez nie funkcji związanych z bezpieczeństwem? Funkcja urządzenia związana z bezpieczeństwem może być realizowana dwojako, przez rozwiązania, które: a) spełniając swoje zadania nie będą, podczas normalnego działania i w warunkach uszkodzeń, powodowały zagrożeń, b) podnoszą poziom bezpieczeństwa procesu, monitorując i reagując na zagrożenia. 2. WYMAGANIA DOTYCZĄCE POZIO- MÓW BEZPIECZEŃSTWA 2.1. Wymagania bezpieczeństwa funkcjonalnego według PN-EN 61508 Problematyką bezpieczeństwa funkcjonalnego elektronicznych systemów (E/E/PES) związanych Artykuł został opracowany w ramach Programu Wieloletniego V.B.16, koordynowanego przez Centralny Instytut Ochrony Pracy pt.: Opracowanie metody przypisania poziomu nienaruszalności bezpieczeństwa SIL dla typowych, związanych z bezpieczeństwem elektrycznych systemów sterowania maszynami i urządzeniami w górnictwie węgla kamiennego.
Tabela 1. Poziomy nienaruszalności bezpieczeństwa według PN-EN 61508 Poziom nienaruszalności bezpieczeństwa SIL Prawdopodobieństwo defektu funkcji na rzadkie przywołanie Prawdopodobieństwo defektu funkcji na godzinę lub przywołanie ciągłe 4 od 10-5 do < 10-4 od 10-9 do < 10-8 3 od 10-4 do < 10-3 od 10-8 do < 10-7 2 od 10-3 do < 10-2 od 10-7 do < 10-6 1 od 10-2 do < 10-1 od 10-6 do < 10-5 z bezpieczeństwem jest przedmiotem pakietu norm PN-EN 61508 [18 22]. Określają one wymagania dotyczące bezpieczeństwa funkcjonalnego rozwiązań konstrukcyjnych i oprogramowania, które powinno spełniać urządzenie, aby mogło pełnić funkcje związane z bezpieczeństwem oraz ogólne zalecenia dotyczące metodyki badań. W normach PN-EN 61508 zawarto filozofię odchodzącą od jakościowej analizy ryzyka i proponuje się szacowanie go z wykorzystaniem metod obliczeniowych. Obejmują one oczywiście różne rodzaje zagrożeń, nie tylko wybuchowe. Dają podstawy do opracowania wymagań dotyczących poszczególnych grup urządzeń (normy sektorowe). Umożliwiają również określenie ogólnych wymagań dotyczących bezpieczeństwa funkcjonalnego dla urządzeń i systemów, dla których nie opracowano norm sektorowych. Wprowadzają one nowe pojęcia, z których podstawowymi są: Bezpieczeństwo funkcjonalne Część bezpieczeństwa całkowitego odnosząca się do wyposażenia będącego pod kontrolą (EUC) i systemu sterowania (SRECS), która zależy od prawidłowego działania systemów E/E/PE związanych z bezpieczeństwem, systemów związanych z bezpieczeństwem wykonanych w innych technikach i zewnętrznych środków do zmniejszania ryzyka, Funkcja bezpieczeństwa (ang. Safety Related Control Function, SRCF) Poziom nienaruszalności bezpieczeństwa (ang. Safety Integrity Level, SIL) Poziom dyskretny (jeden z czterech możliwych) do wyszczególnienia wymagań nienaruszalności bezpieczeństwa funkcji bezpieczeństwa, które mają być alokowane w systemach E/E/PE związanych z bezpieczeństwem, przy czym poziom nienaruszalności bezpieczeństwa 4 jest poziomem najwyższym, a poziom nienaruszalności bezpieczeństwa 1 jest poziomem najniższym Tolerancja defektów sprzętu (ang. Hardware Fault Tolerance, HFT), Zdolność jednostki funkcjonalnej do kontynuowania wypełniania wymaganej funkcji w obecności defektów lub błędów. Dane urządzenie może mieć więcej niż jedną funkcję bezpieczeństwa, funkcje te mogą mieć różne poziomy nienaruszalności. Ponadto wykonanie funkcji bezpieczeństwa niekoniecznie musi być związane z pojawieniem się zagrożenia, ale np. z brakiem możliwości ochrony związanym z zanikiem zasilania. Ogólną koncepcję redukcji ryzyka z zastosowaniem systemów E/E/PE przedstawia rysunek 1. Koncepcja opiera się na: określeniu ryzyka początkowego R np, określeniu ryzyka tolerowanego R t, określeniu koniecznej redukcji ryzyka ΔR, Funkcja, która ma być zaimplementowana przez system E/E/PE związany z bezpieczeństwem, system związany z bezpieczeństwem wykonany w innej technice lub zewnętrzne urządzenie do zmniejszenia ryzyka, której przeznaczeniem jest osiągnięcie lub utrzymanie stanu bezpiecznego EUC, w odniesieniu do konkretnego zagrażającego zdarzenia,
Konsekwencje zdarzenia zagrażającego Częstość zdarzenia zagrażającego C F np Ryzyko EUC Ryzyko (R np ) = F np C Ryzyko < R t gdzie R t = F t C Związany z bezpieczeństwem system zabezpieczeń, wymagany do osiągnięcia koniecznego zmniejszenia ryzyka Konieczne zmniejszenie ryzyka Docelowe ryzyko tolerowalne gdzie: C F p PFD avg F t F np konsekwencje zdarzenia zagrażającego, częstość ryzyka po zastosowaniu sposobów zabezpieczeń, średnie prawdopodobieństwo nie wypełnienia na żądanie funkcji przez system zabezpieczeń związany z bezpieczeństwem, które jest miarą utraty nienaruszalności bezpieczeństwa systemu funkcjonującego w rodzaju pracy na rzadkie przywołanie, częstości ryzyka związana z ryzykiem tolerowalnym, częstość przywołań systemu zabezpieczeń związanego z bezpieczeństwem. Kroki niezbędne do uzyskania określonego poziomu nienaruszalności bezpieczeństwa dla sytuacji, w której całkowite konieczne zmniejszenie ryzyka jest uzyskiwane przez pojedynczy system zabezpieczeń związany z bezpieczeństwem, który musi zmniejszać częstość zagrożenia co najmniej z F np do F t, są następujące: określenie częstościowego składnika ryzyka EUC, bez dodawania jakichkolwiek sposobów zabezpieczających (F np ); określenie konsekwencji C, bez dodawania jakichkolwiek sposobów zabezpieczających; określenie, przy użyciu zawartych w normach tablic, czy dla częstości F np i konsekwencji C osiągnięty zostanie poziom ryzyka tolerowalnego F t ; Nienaruszalność bezpieczeństwa systemu zabezpieczeń wymaganego do osiągnięcia koniecznego zmniejszenia ryzyka określenie prawdopodobieństwa niewypełnienia Rys. 1. Przypisanie nienaruszalności bezpieczeństwa systemu zabezpieczeń związanego z bezpieczeństwem [21] na żądanie funkcji systemu zabezpieczeń związanego z bezpieczeństwem (PFD avg ), aby uzyskać konieczne zmniejszenie ryzyka ( R). Dla stałych konsekwencji w konkretnej opisanej sytuacji PFD avg F t /F np = R; dla PFD avg = F t /F np, poziom nienaruszalności bezpieczeństwa można wyznaczyć z tabeli 1. przydział koniecznej redukcji ryzyka do systemu automatyki zabezpieczeniowej, systemów zabezpieczeń opartych na innych technikach oraz środków zewnętrznej redukcji ryzyka. Poziomy SIL określają dopuszczalne prawdopodobieństwa tzw. uszkodzenia niebezpiecznego, to znaczy takiego, które uniemożliwi urządzeniu wykonanie jego funkcji związanej z bezpieczeństwem. Poziomy SIL określa się oddzielnie dla funkcji na tzw. rzadkie przywołanie (nie częściej niż raz w roku) i częste przywołanie (np. co godzinę lub w sposób ciągły). Poziomy te podano w tabeli 1. Kategoryzacja za pomocą SIL bierze pod uwagę: Niezawodność funkcji bezpieczeństwa w ujęciu ilościowym. Wskaźnik uszkodzenia niebezpiecznego funkcji bezpieczeństwa musi być mniejszy od tego, który prowadzi do nieakceptowanego poziomu zagrożenia. Niezawodność w ujęciu ilościowym. Techniki użyte w projekcie, serwisie itp. podczas całego cyklu życia urządzenia lub systemu musi zapewniać,
Tabela 2. Tolerancja defektu modułów złożonych zgodnie z EN 61508-2 Udział uszkodzenia Minimalna tolerancja defektu sprzętu (na rzadkie przywołanie) bezpiecznego 0 1 2 < 60% SIL1 SIL2 SIL3 60% do 90% SIL2 SIL3 SIL4 90% do 99% SIL3 SIL4 SIL4 99% SIL3 SIL4 SIL4 Tabela 3. Tolerancja defektu modułów złożonych zgodnie z EN 61508-2 Udział uszkodzenia bezpiecznego Minimalna tolerancja defektu sprzętu (na częste przywołanie) 0 1 2 < 60% nieosiągalny SIL1 SIL2 SIL1 SIL2 SIL3 60% do 90% 90% do 99% SIL2 SIL3 SIL4 99% SIL3 SIL4 SIL4 ze współczynnik uszkodzeń systematycznych będzie mniejszy niż współczynnik przypadkowych uszkodzeń sprzętowych. Ograniczenia architekturowe bazujące na tolerancji defektu i charakterystykach uszkodzeń bezpiecznych. Powoduje to ograniczenia możliwego do osiągnięcia, w danym rozwiązaniu poziomu SIL. Zależności te przedstawiono w tabelach 2 i 3. Powstaje pytanie, czy tak wysokie poziom nienaruszalności bezpieczeństwa jest racjonalny? Przyjęte prawdopodobieństwo uszkodzenia niebezpiecznego na godzinę dla SIL1 oznacza, że funkcja bezpieczeństwa może nie zostać wykonana raz na 11,4 lat, a każdy wyższy poziom podnosi tę wartość o rząd. Biorąc pod uwagę, że ta kategoryzacja jest stosowana tam, gdzie od poziomu zabezpieczenia zależy życie wielu osób (systemy bezpieczeństwa elektrowni atomowych, układy sterowania samolotów, szybkiej kolei itp.) tak wysokie poziomy nienaruszalności bezpieczeństwa są uzasadnione. Oczywiście nie mogą one zostać osiągnięte poprzez odpowiednio przygotowany projekt i staranne wykonanie urządzenia. Producent jest zobowiązany do przekazania użytkownikowi wszelkich informacji niezbędnych do utrzymania osiągniętego poziomu SIL, dotyczących częstotliwości serwisu, wymian podzespołów itp. i rygory te muszą być przestrzegane przez cały czas eksploatacji (cykl życia) urządzenia. 2.2. Wymagania dotyczące bezpieczeństwa maszyn według Dyrektywy 95/16/WE, z późniejszymi zmianami Zharmonizowana z dyrektywą maszynową norma PN- EN 954-1 wprowadzała, bazujące na jakościowo definiowanej tolerancji defektu uszkodzenia, kategorie urządzeń i systemów jako B, 1, 2, 3. Takie podejście sprawdzało się przy ocenie urządzeń prostych, nieposiadających oprogramowania, w których stan po wystąpieniu uszkodzenia jest łatwy do określenia. Tabela 4. Poziomy PL i ich powiązanie z poziomami SIL PL Średnie prawdopodobieństwo SIL uszkodzenia niebezpiecznego nas godzinę a 10-5 do < 10-4 brak powiązania b 3 10-6 do < 10-5 1 c 10-6 do < 3 10-6 1 d 10-7 do < 10-6 2 e 10-8 do < 10-7 3
Urządzenie Grupa Kategoria I II M1 M2 Tabela 5. Poziomy zabezpieczenia według Dyrektywy ATEX Poziom zabezpieczenia bardzo wysoki wysoki 1 bardzo wysoki 2 wysoki 3 normalny Warunki pracy Urządzenie może pracować w warunkach występowania atmosfery wybuchowej metanu (podziemia i powierzchnia kopalń) Urządzenie wyłączane w czasie występowania mieszaniny wybuchowej metanu Urządzenie może pracować w strefach: 0, 1, 2 (G) lub 20, 21, 22, (D) Urządzenie może pracować w strefach: 1, 2 (G) lub 21, 22, (D) Urządzenie może pracować w strefach: 2 (G) lub 22, (D) Po nowelizacji dyrektywy w roku 2006 [3] opracowano normę PN-EN 13849-1 [6], która kategoryzuje urządzenia i systemy według poziomów PL (ang. performance level), bazując na tolerancji uszkodzenia. Zestawienie poziomów PL i ich powiązanie z poziomami SIL przedstawia tabela 4. 2.3. Kategorie bezpieczeństwa według dyrektywy ATEX Załącznik I dyrektywy ATEX [1] wprowadza pojęcia grupy i kategorii. Urządzenia grupy I są przeznaczone do stosowania w podziemiach kopalń, gdzie zagrożenie wybuchem powoduje metan. Urządzenia grupy II są przeznaczone do stosowania w innych miejscach zagrożonych występowaniem atmosfer wybuchowych. Grupy wewnętrznie są dzielone na kategorie. W grupie I podział na kategorie zależy od tego, czy dane urządzenie może pracować w obecności wybuchowych stężeń metanu, czy powinno zostać wyłączone. Typowymi przykładami urządzeń kategorii M1 są czujniki gazometryczne. W grupie II podział na kategorie zależy od tego, gdzie urządzenie ma być użytkowane oraz od tego czy atmosfera wybuchowa jest obecna stale, czy prawdopodobne jest jej wystąpienie w krótszym lub dłuższym okresie. Zestawienie poziomów zabezpieczenia przedstawia tabela 5. Jeżeli urządzenie ma być zakwalifikowane do kategorii 1 to powinno: posiadać dwa niezależne środki zabezpieczenia (rodzaje budowy przeciwwybuchowej), np. zasilanie iskrobezpieczne i osłonę ognioszczelną, być zabezpieczone w przypadku 2 niezależnych uszkodzeń. Urządzenie kategorii 2 powinno mieć zabezpieczenie wystarczające w czasie normalnej pracy oraz często występujących zakłóceń lub uszkodzeń. Urządzenia kategorii 3 powinno mieć zabezpieczenie wystarczające podczas normalnej pracy. Jeżeli urządzenie zawiera kilka potencjalnych źródeł zapłonu, to należy rozpatrzeć każde z nich. 2.4. Podsumowanie wymagań norm PN-EN 13849-1 i PN-EN 61508 stosowanych do urządzeń objętych dyrektywą ATEX Normy PN-EN 61508 dają ogólne spojrzenie na nienaruszalność bezpieczeństwa i obejmują wszystkie typy urządzeń E/E/EP pełniące funkcje bezpieczeństwa. Normy te określają liczbowo poziom nienaruszalności, z uwzględnieniem tolerancji uszkodzenia jako górnego ograniczenia SIL. Norma PN-EN 13849-1 bazuje tylko na tolerancji uszkodzenia, przy czym ta kwalifikacja nie jest w pełni zgodna z kategoriami dyrektywy ATEX. Podjęto próby integracji wymagań SIL i tolerancji uszkodzenia przedstawionej w dyrektywie ATEX. Pierwszą taką próbę był projekt SAFEC [4] realizowany przez wszystkie jednostki badawcze ówczesnej Unii Europejskiej (lata od 1999 do 2000), działające w obszarze dyrektywy. Wyniki tego projektu zalecają stosowanie poziomów nienaruszalności bezpieczeństwa według PN-EN 61508-1 w urządzeniach bezpieczeństwa stosowanych w przestrzeniach zagrożonych wybuchem gazów, par cieczy palnych i pyłów. Przez urządzenia (elementy, systemy) bezpieczeństwa rozumie się urządzenia, które są wymagane lub przyczyniają się do bezpiecznego funkcjonowania urządzeń zabezpieczanych (EUC) w przestrzeniach zagrożonych wybuchem. Urządzenie bezpieczeństwa wprowadza zabezpieczenie przeciwwybuchowe przez realizację funkcji bezpieczeń-
stwa. Może składać się z jednego lub kilku elementów, które tworzą przyrządowy system bezpieczeństwa (SIS). Urządzenie to może być zamontowane wewnątrz urządzenia zabezpieczanego (EUC) jako jego element lub zainstalowane oddzielnie (poza strefą) i uważane za urządzenie towarzyszące. W obydwu przypadkach urządzenie bezpieczeństwa musi spełniać wymagania budowy przeciwwybuchowej. Na bazie analiz zawartych w raporcie [4] powstały normy sektorowe, określające wymagania dotyczące poziomu nienaruszalności bezpieczeństwa urządzeń pracujących w przestrzeniach zagrożonych wybuchem, dotyczące urządzeń bezpieczeństwa [8] i systemów ochronnych [7]. Każde urządzenie przeznaczone do pracy w przestrzeniach zagrożonych musi cechować się jakimś rodzajem budowy przeciwwybuchowej, która istotnie ogranicza prawdopodobieństwo, że stanie się ono tak w warunkach normalnego działania, jak w przewidywalnych stanach awaryjnych źródłem inicjału wybuchu. Oczywiście urządzenie powinno również wykonywać działania, do których zostało zaprojektowane. Rolą konstruktora jest pogodzenie tych dwóch, niejednokrotnie sprzecznych funkcji. Metodyka oceny nienaruszalności bezpieczeństwa jest znacznie późniejsza od metodyki oceny różnych rodzajów budowy przeciwwybuchowej. Dlatego obecnie urządzenie przewidziane do pracy w przestrzeniach zagrożonych wybuchem musi spełniać wymagania właściwych norm zharmonizowanych. Normy te explicite określają szczegóły dotyczące konstrukcji urządzeń, wymagania dla użytych w nich elementów odpowiedzialnych za bezpieczeństwo przeciwwybuchowe i podają metodykę badań. Norma dotycząca budowy iskrobezpiecznej [15] na przykład określa m.in. jakie elementy odpowiadają za iskrobezpieczeństwo, które elementy można uznać za nieuszkadzalne (po spełnieniu zdefiniowanych warunków) itp. W niektórych rodzajach budowy przeciwwybuchowej (szczególnie iskrobezpiecznej) elementy elektryczne zabezpieczające przed zagrożeniem wybuchem można rozpatrywać jako elementy bezpieczeństwa i analizować ich poziom nienaruszalności z zastosowaniem metod obliczeniowych proponowanych w normie [22]. Łatwo można obliczyć na przykład SIL równoległego zespołu ochronnego jeżeli znany jest jego schemat i użyte podzespoły. Oczywiście problem analizy i obliczeń komplikuje się wraz ze wzrostem stopnia złożoności rozwiązania elementu bezpieczeństwa. W większości rodzajów budowy przeciwwybuchowej można wyodrębnić elementy lub układy elektryczne, które pełnią funkcje związane z bezpieczeństwem przeciwwybuchowym, czyli są urządzeniami (elementami) bezpieczeństwa. Oczywiście normy dotyczące danego rodzaju budowy przeciwwybuchowej stawiają im jakościowe wymagania techniczne, wynikające z badań przeprowadzonych przez różne stacje badawcze w przeszłości. Są to wymagania wynikające z doświadczenia i przyjętych założeń. Przy wyznaczaniu minimalnego prądu zapalającego (MIC) obwodu iskrobezpiecznego przyjęto na przykład prawdopodobieństwo zapalenia p = 10-3 [5], które w normach serii 60079 zostało istotnie obniżone. Jednakże, w przypadku konieczności podniesienia kategorii bezpieczeństwa urządzenie (EUC), aby uzasadnić niezawodność rozwiązania redundancyjnego, należy znać SIL układu, określony przez tolerancje defektów. Funkcje bezpieczeństwa urządzeń budowy przeciwwybuchowej związane są z utrzymaniem danego rodzaju zabezpieczenia w warunkach normalnej eksploatacji i w stanach awarii. Dlatego procedura badania typu urządzenia rozpoczyna się od oceny potencjalnych źródeł zapłonu Jest kilka sposobów zapewnienia urządzeniu budowy przeciwwybuchowej. Ogólne wymagania dla wszystkich rodzajów określa norma PN-EN 60079-0 [9]. Nie wszystkie z nich upoważniają do ich zastosowania we wszystkich przestrzeniach zagrożonych wybuchem. 2.4.1. Zabezpieczenie urządzeń za pomocą osłon ognioszczelnych d (PN-EN 60079-1) [10] Ten rodzaj budowy przeciwwybuchowej dopuszcza możliwość wybuchu wewnątrz obudowy, ale skutki tego zdarzania nie mogą się przenieść do atmosfery zewnętrznej. Czyli obudowa powinna być odporna na ciśnienie wybuchu, a szczeliny połączeń elementów obudowy powinny być na tyle długie aby płomień wybuchu nie przeniósł się na zewnątrz. Temperatura zewnętrznych elementów obudowy nie może przekroczyć dopuszczalnych wartości. Urządzeniami bezpieczeństwa w tym rodzaju budowy przeciwwybuchowej są elementy blokujące zasilanie lub możliwość otwarcia. 2.4.2 Zabezpieczenie urządzeń za pomocą osłon gazowych z nadciśnieniem p (PN-EN 60079-2) [11] Istotą zabezpieczenia jest nadciśnienie gazu inertyzującego wewnątrz obudowy urządzenia, uniemożliwiające wnikanie do jego wnętrza atmosfery zewnętrznej. Urządzeniami bezpieczeństwa w tym rodzaju budowy są elementy kontrolujące ciśnienie wewnętrzne, aby nie dopuścić do nadmiernego nadciśnienia lub wyrównania się ciśnień wewnątrz i na zewnątrz obudowy. 2.4.3. Zabezpieczenie urządzeń za pomocą osłony piaskowej q (PN-EN 60079-5) [12]
Tabela 6. Minimalne wymagania poziomu nienaruszalności bezpieczeństwa i tolerancji defektu urządzenia bezpieczeństwa Tolerancja defektu sprzętu EUC 2 1 0 1 0 0 Urządzenie bezpieczeństwa Tolerancja defektu sprzętu (HFT) 0 1 0 Poziom nienaruszalności bezpieczeństwa SIL 1 SIL 2 SIL 1 Urządzenie scalone Grupa I Kategoria M1 M2 - Grupa II, III Kategoria 1 2 3 Ten typ budowy przeciwwybuchowej jest realizowany przez osłonięcie elementów, które w warunkach awarii mogą generować iskry elektryczne lub osiągać wysokie temperatury, warstwą piasku. Urządzeniami bezpieczeństwa w tym przypadku mogą być elementy ograniczające moc dostarczaną do urządzenia. 2.4.4. Zabezpieczenie urządzeń za pomocą osłony olejowej o (PN-EN 60079-6) [13] Budowa podobna jak punkcie 2.4.3, lecz osłonę stanowi warstwa oleju. Elementami, które pełnią funkcję bezpieczeństwa są najczęściej czujniki poziomu oleju i jeżeli obudowa jest szczelna czujniki ciśnienia. 2.4.5. Zabezpieczenie urządzeń za pomocą osłony wzmocnionej e (PN-EN 60079-7) [14] Ten rodzaj budowy przeciwwybuchowej od samego początku związany jest z urządzeniami zabezpieczającymi. W przypadku na przykład maszyn wirnikowych, wymagane jest stosowanie zabezpieczenia zapewniającego wyłączenie maszyny w przypadku utknięcia w czasie nie dłuższym niż czas t E. 2.4.6. Zabezpieczenie urządzeń za pomocą iskrobezpieczeństwa i (PN-EN 60079-11) [15] Jest to rodzaj budowy stosowany w urządzeniach o najwyższej kategorii bezpieczeństwa. Istotą zabezpieczenia jest ograniczenie mocy dostarczanej i gromadzonej (elementy pojemnościowe i indukcyjne) w urządzeniu do takich wartości, aby w warunkach dopuszczalnych uszkodzeń, ani iskra elektryczna podczas zwarcia w dowolnym obwodzie urządzenia ani temperatura elementu nie mogła zapalić mieszaniny wybuchowej. Elementami bezpieczeństwa w tym rodzaju budowy przeciwwybuchowej są te podzespoły, które zapewniają iskrobezpieczeństwo. Są to nieuszkadzalne rezystory, transformatory, równoległe ograniczniki napięci, kondensatory blokujące, bezpieczniki itp. 2.4.7. Zabezpieczenie urządzeń za pomocą budowy typu n (PN-EN 60079-15) [16] Jest to tzw. budowa zwykła, stosowana wyłącznie w przestrzeniach, w których nie przewiduje się pojawienia atmosfer wybuchowych, a jeżeli wystąpią, to rzadko i w ciągu krótkiego przedziału czasu. Elementami bezpieczeństwa w tym przypadku, są bezpieczniki, blokady mechaniczne lub elektryczne i ograniczniki mocy. 2.4.8. Zabezpieczenie urządzeń za pomocą hermetyzacji m (PN-EN 60079-18) [17] Jest to rodzaj budowy podobny do opisanych w poprzednich punktach. Osłonę stanowi masa chemoutwardzalna, która izoluje elementy potencjalnie zdolne do zainicjowania wybuchu od otaczającej atmosfery. Elementami bezpieczeństwa są podzespoły elektryczne, które zapewniają ograniczenie mocy dostarczanej do urządzenia i temperatury jego elementów. 2.5. Zmiana kategorii urządzenia przez zastosowanie urządzeń bezpieczeństwa Kategoryzacja urządzeń budowy przeciwwybuchowej bazuje na tolerancji defektów sprzętu. Kategorię urządzenia można podwyższyć, stosując dodatkowe urządzenie bezpieczeństwa. Istotny jest wówczas jego poziom niezawodności. Urządzenie bezpieczeństwa powinno mieć poziom niezawodności zależny od konieczności zmniejszenia zagrożenia zapłonem urządzenia zabezpieczanego. Relacje pomiędzy minimalnymi wymaganiami nienaruszalności bezpieczeństwa
i tolerancją defektu urządzenia bezpieczeństwa przedstawia tablica 6. Jeżeli potencjalne źródło zapłonu urządzenia EUC może się uaktywnić po wystąpieniu jednego uszkodzenia, ale jest zabezpieczone przez urządzenie bezpieczeństwa o HFT = 0, to jest ono zabezpieczone w przypadku wystąpienia jednego uszkodzenia. Czyli wprowadzenie jednego urządzenia bezpieczeństwa, nawet o zerowej tolerancji defektu, zwiększa odporność na uszkodzenia układu EUC + urządzenie bezpieczeństwa o 1. To znaczy, że jeżeli EUC jest kategorii 3, wprowadzenie urządzenia bezpieczeństwa spowoduje, że EUC będzie spełniało wymagania dotyczące odporności na uszkodzenia odpowiadające kategorii 2. Jeżeli urządzenie bezpieczeństwa będzie miało HFT = 1 to EUC jest zabezpieczone w przypadku wystąpienia dwóch uszkodzeń i spełnia wymagania odporności na defekty dla kategorii 1. Oczywiście ta zasada musi być zastosowana do każdego źródła zapłonu w urządzeniu EUC. 3. PROCEDURA OCENY POZIOMU BEZ- PIECZEŃSTWA URZĄDZEŃ PRZECIW- WYBUCHOWYCH I WSPOMAGAJĄCYCH BEZPIECZEŃSTWO W PRZESTRZE- NIACH ZAGROŻONYCH WYBUCHEM GAZU Norma PN-EN 61508 zaleca przeprowadzać ocenę poziomu bezpieczeństwa w następujących etapach: dokonanie analizy funkcjonalnej urządzenia lub systemu, predykcja współczynnika uszkodzenia, analiza stanu po uszkodzeniu, modelowanie różnych stanów urządzenia lub systemu po uszkodzeniu, ocena poziomu nienaruszalności bezpieczeństwa. Ponieważ poszczególne grupy urządzeń pełniących te same funkcje mają różne stopnie złożoności, zaleca się ich modularyzację i wyznaczanie SIL poszczególnych modułów, a następnie łączenie modułów (szeregowo lub równolegle) tak, by mogła zostać zrealizowana funkcja bezpieczeństwa. 3.1. Analiza funkcjonalna Celem analizy funkcjonalnej jest określenie funkcji, które należy uznać za funkcje bezpieczeństwa. Można do tego użyć procedur analitycznych, takich jak: analiza schematów elektrycznych (blokowych i ideowych), procedurę SADT (ang. Structured Analysis and Design Technique), procedurę SA_RT (ang. Safety Analysis_RT) lub inne. 3.2. Predykcja współczynnika uszkodzenia Kalkulacja jest prowadzona tylko w stosunku do elementów, od których zależy realizacja danej funkcji bezpieczeństwa. Dane o częstotliwości i charakterze uszkodzeń elementów elektrycznych lub elektronicznych są dostępne w bazach danych: typu Military Handbook [23], CNET, OREDA, IEEE Std 352 lub innych. Korzystne jest, gdy producent urządzenia gromadzi własne dane o średnim czasie między uszkodzeniami elementów, podzespołów czy modułów, które stosuje w swoich urządzeniach. Te dane mogą być zbierane przez punkty serwisowe producenta. 3.3. Analiza stanu po uszkodzeniu Po zidentyfikowaniu elementów, które biorą udział w realizacji funkcji bezpieczeństwa, należy określić stan urządzenia po uszkodzeniu i jego wpływ na bezpieczeństwo. Celem tej analizy jest ustalenie uszkodzeń niebezpiecznych i ilościowe oszacowanie prawdopodobieństwa zajścia takich zdarzeń. Służy do tego najczęściej model analityczny nazywany FMECA (ang. Failure Models Effects and Criticality Analysis). Umożliwia on identyfikację: uszkodzeń niebezpiecznych, które prowadzą do stanu zagrożenia, możliwych zabiegów serwisowych, które mogą podnieść poziom nienaruszalności bezpieczeństwa. Uszkodzenia są grupowane w czterech klasach: wykrywalne uszkodzenia niebezpieczne, które wpływają na zdolność pełnienia funkcji bezpieczeństwa (λ DD ), niewykrywalne uszkodzenia niebezpieczne, które wpływają na bezpieczeństwo (λ DU ), wykrywalne uszkodzenia bezpieczne, które wpływają tylko na czas niedostępności urządzenia, powodowany koniecznością usunięcia usterki (λ SD ), niewykrywalne uszkodzenia bezpieczne, które wpływają tylko na czas niedostępności urządzenia powodowany koniecznością usunięcia usterki (λ SU ). Uszkodzenia bezpieczne (λ S ) to takie, które nie powodują obniżenia bezpieczeństwa urządzenia; może ono
nadal pełnić swoje funkcje związane z bezpieczeństwem. Uszkodzenia niebezpieczne (λ DU ) to takie, którego konsekwencje prowadzą do stanu zagrożenia. 3.4. Modelowanie różnych stanów urządzenia lub systemu po uszkodzeniu Istniejące systemy można podzielić na trzy typy: systemy bezpieczne po uszkodzeniu, systemy z redundancją, systemy bez redundancji. Dla tych trzech typów obliczenia prawdopodobieństwa wystąpienia uszkodzenia niebezpiecznego prowadzi się w różny sposób. Systemy bezpieczne po uszkodzeniu to systemy, w których uszkodzenie każdego elementu prowadzi do stanu bezpiecznego. W takich systemach nie określa się prawdopodobieństwa uszkodzeń niebezpiecznych (λ DU ). Systemy bez redundancji są systemami prostymi, w których w przypadku uszkodzenia może zostać utracona zdolność pełnienia funkcji bezpieczeństwa. Możliwe do osiągnięcia są zarówno stany bezpieczne jak i niebezpieczne. Obliczanie prawdopodobieństwa uszkodzenia niebezpiecznego sprowadza się do obliczeń opartych na współczynniku uszkodzenia niebezpiecznego metodą FMACA (λ DU ). W systemach z redundancją utrata funkcji bezpieczeństwa może nastąpić w wyniku kombinacji uszkodzeń zależnej od zaimplementowanej logiki działania. Analizuje się je metodą drzewa uszkodzeń lub metodą niezawodności schematu blokowego. Różne uszkodzenia i stany działania mogą być modelowane grafami Markova uwzględniającymi aspekty czasowe, prewencyjne działania serwisowe i testy autodiagnostyczne. 3.5. Ocena poziomu nienaruszalności bezpieczeństwa Różne stany systemu rozpatrywano w punkcie 3.4. Należy zatem, za pomocą obliczeń matematycznych porównać osiągnięty poziom z wymaganiami SIL. Należy obliczyć we wszystkich przypadkach prawdopodobieństwo uszkodzenia niebezpiecznego. Obliczenia prowadzi się dla czasu między kolejnymi autotestami urządzenia lub czasu pomiędzy kolejnymi przeglądami serwisowymi. 4. PODSUMOWANIE I WNIOSKI 4.1. Normy dotyczące poszczególnych rodzajów budowy przeciwwybuchowej w wielu punktach stawiają wymóg obecności elementów bezpieczeństwa, nie precyzując ich niezawodności. Dotyczy to przede wszystkim układów zabezpieczających i pomiarowych wspomagających skuteczność danego rodzaju budowy: zamknięć, blokad, elementów nieuszkadzalnych, układów pomiaru temperatury itp. Wymagania ograniczają się najczęściej do określenia poziomu tolerancji uszkodzeń. W tych przypadkach wskazane jest zastosowanie uszczegółowionej metodyki oceny przedstawionej w pakiecie norm PN-EN 61508. 4.2 Filozofia podejścia do zagadnień oceny poziomu nienaruszalności bezpieczeństwa jest znacznie późniejsza niż szczegółowe wymagania norm poszczególnych rodzajów budowy przeciwwybuchowej. Dlatego obecnie urządzenie przewidziane do pracy w przestrzeniach zagrożonych wybuchem musi spełniać wymagania właściwych norm zharmonizowanych. Ale istnieje możliwość przełożenia wymagań tych norm na poziom nienaruszalności bezpieczeństwa. 4.3 Istnieje możliwość aprecjacji kategorii zabezpieczenia urządzenia budowy przeciwwybuchowej poprzez zastosowanie dodatkowych urządzeń bezpieczeństwa. Jednakże, urządzenie takie powinno mieć wyznaczony poziom nienaruszalności bezpieczeństwa SIL i tolerancję defektów sprzętu. Wyznaczenia tych parametrów można dokonać w oparciu o metodykę podaną w normach serii PN-EN 61508. 4.4 Właściwa chronologia działań podczas oceny zagrożenia wybuchowego w zakładach przemysłowych powinna być następująca: należy dokonać przeglądu zagrożeń wybuchowych, przyjąć akceptowalny poziom ryzyka wybuchu, biorąc pod uwagę potencjalne straty i koszty prewencji, w oparciu o ustalony poziom ryzyka wyznaczyć SIL ogólnego systemu bezpieczeństwa, postawić wymagania dotyczące poziomu nienaruszalności bezpieczeństwa wszystkich elementów wchodzących w skład tego systemu (systemy gazometryczne, elementy wykonawcze, informatyczne systemy archiwizujące, itd.), który powinien być co najmniej równy poziomowi nienaruszalności bezpieczeństwa ogólnego systemu. Literatura [1] Dyrektywa Parlamentu Europejskiego i Rady z dnia 23 marca 1994 w sprawie ujednolicenia przepisów prawnych państw członkowskich, dotyczących urzą-
dzeń i systemów ochronnych przeznaczonych do użytku w przestrzeniach zagrożonych wybuchem; 94/9/WE (tekst ujednolicony na podstawie tekstu oficjalnego). Katowice, Główny Instytut Górnictwa listopad 1999 r. [2] Rozporządzenie Ministra Gospodarki, Pracy i Polityki Społecznej z dnia 28 lipca 2003, w sprawie zasadniczych wymagań dla urządzeń i systemów ochronnych przeznaczonych do użytku w przestrzeniach zagrożonych wybuchem (DZ. U. Nr 143, poz. 1393) z późniejszymi zmianami. [3] Dyrektywa Parlamentu Europejskiego i Rady 2006/42/WE, z dnia 17 maja 2006 r. w sprawie ujednolicenia przepisów dotyczących maszyn, zmieniająca dyrektywę 95/16/WE. OJ L 157, 26, 9.06.2006. [4] Determination of safety categories of electrical devices used in potentially explosive atmospheres (SAFEC). Contract SMT4-CT98-2255, FINAL RE- PORT [5] Frączek J. (1995): Aparatura przeciwwybuchowa w wykonaniu iskrobezpiecznym. Katowice, Śląskie Wydaw. Techniczne. [6] PN-EN ISO 13849-1:2008/AC:2009. Bezpieczeństwo maszyn Elementy systemów sterowania związane z bezpieczeństwem Część 1: Ogólne zasady projektowania (oryg.). [7] PN-EN 15233:2009 Metodyka oceny bezpieczeństwa funkcjonalnego systemów ochronnych do przestrzeni zagrożonej wybuchem. [8] PN-EN 50495:2013 Urządzenia zabezpieczające niezbędne do bezpiecznego działania urządzeń ze względu na zagrożenia wybuchem. [9] PN-EN-60079-0:2013 Atmosfery wybuchowe. Część 0: Urządzenia Podstawowe wymagania (org). [10] PN-EN 60079-1:2010 Atmosfery wybuchowe. Część 1. Zabezpieczenie urządzeń za pomocą osłon ognioszczelnych d. [11] PN-EN 60079-2:2010 Atmosfery wybuchowe. Część 2. Zabezpieczenie urządzeń za pomocą osłon gazowych p. [12] PN-EN 60079-5:2010 Atmosfery wybuchowe. Część 5. Zabezpieczenie urządzeń za pomocą osłony piaskowej q. [13] PN-EN 60079-6:2010 Atmosfery wybuchowe. Część 6. Zabezpieczenie urządzeń za pomocą osłony olejowej o. [14] PN-EN 60079-7:2010 Atmosfery wybuchowe. Część 7. Zabezpieczenie urządzeń za pomocą budowy wzmocnionej e. [15] PN-EN 60079-11:2012 Atmosfery wybuchowe. Część 11. Zabezpieczenie urządzeń za pomocą iskrobezpieczeństwa i. [16] PN-EN 60079:-15:2010 Atmosfery wybuchowe. Część 15. Zabezpieczenie urządzeń za pomocą budowy typu n. [17] PN-EN 60079-18:2011 Atmosfery wybuchowe Część 18. Zabezpieczenie urządzeń za pomocą hermetyzacji m. [18] PN-EN 61508-1:2010. Bezpieczeństwo funkcjonalne elektronicznych systemów związanych z bezpieczeństwem Część 1: Wymagania ogólne (oryg.). [19] PN-EN 61508-2:2010. Bezpieczeństwo funkcjonalne elektronicznych systemów związanych z bezpieczeństwem Część 2: Wymagania dotyczące elektronicznych systemów związanych z bezpieczeństwem (oryg.). [20] PN-EN 61508-3:2010 Bezpieczeństwo funkcjonalne elektronicznych systemów związanych z bezpieczeństwem Część 3: Wymagania dotyczące oprogramowania (oryg.). [21] PN-EN 61508-5:2010 Bezpieczeństwo funkcjonalne elektronicznych systemów związanych z bezpieczeństwem Część 5: Przykłady metod określania poziomów nienaruszalności bezpieczeństwa (oryg.). [22] PN-EN 61508-6:2010 Bezpieczeństwo funkcjonalne elektronicznych systemów związanych z bezpieczeństwem Część 6: Wytyczne do stosowania IEC 61508-2 i IEC 61508-3 (oryg.). [23] Military Handbook. Electronic reliability design handbook. Department of Defense USA; October 1998 + późniejsze aktualizacje. Informacje dodatkowe o autorze dr inż. Stanisław Trzcionka Główny Instytut Górnictwa, Kopalnia Doświadczalna BARBARA. tel (32) 32 36 562, email: kdxst@gig.katowice.pl www.kdbex.eu.