LOPA és SIL a folyamatiparban

≈ 17 perc olvasás · 3333 szó

Egy jeges úton négy dolog véd meg: a jó gumi, az ABS, a biztonsági öv és a légzsák. Ha bármelyik hiányzik, a többi még megfoghat, csak vékonyabb lesz a védelem. Egy vegyi üzemben ugyanez a kérdés, nagyobb tétben: hány tényleg független dolog áll a hiba és a robbanás között?

A LOPA félkvantitatív kockázatelemzés: megszámolja, hány független védelmi réteg áll a veszély és a baleset között, és elég-e a kockázatcsökkentés. A LOPA (Layers of Protection Analysis, védelmi réteg elemzés) a kiváltó esemény gyakoriságát megszorozza a rétegek igénykori hibavalószínűségével (PFD), és az eredményt a tűrhető eseménygyakorisághoz méri. A SIL (biztonsági integritási szint) a folytatás: megmondja, milyen megbízhatóságú műszerezett biztonsági funkció (SIF) kell a maradék kockázat lefedésére.

1. ábra — a HAZOP-tól a SIF-ig vezető döntési lánc.

Kinek szól?

Ez a cikk azoknak szól, akik a védelmi rétegekkel együtt élnek, vagy döntenek róluk: üzemvezető · technológus · folyamatirányítási és műszerész mérnök · HSE / folyamatbiztonsági szakértő · megbízhatósági mérnök · műszakvezető.

Tanulási célok

A cikk elolvasása után képes leszel:

elmagyarázni, mi a LOPA és mi a SIL, és melyik mire ad választ;
eldönteni egy rétegről, kaphat-e IPL-kreditet a négy szabványos követelmény alapján;
elvégezni egy LOPA-szorzást kiváltóesemény-gyakoriságból és PFD-értékekből;
megmondani, mikor nem kreditelhető a kezelői beavatkozás, és miért a folyamatbiztonsági idő dönt;
kiolvasni egy SIL-táblából a szükséges PFD-t és RRF-et, és felismerni, mikor kell kvantitatív módszerre váltani.

A lényeg

LOPA: a kiváltó esemény gyakoriságát megszorozzuk a független védelmi rétegek (IPL) PFD-jével, és összevetjük a tűrhető gyakorisággal. Ha a szorzat túl nagy, hiányzik kockázatcsökkentés.
IPL csak az a réteg, amely a szabvány négy követelményét teljesíti: független, specifikus, megbízható (számszerűsíthető PFD/RRF) és auditálható.
SIL: a hiányt pótló SIF megbízhatósági követelménye PFD-ben és RRF-ben (IEC 61508 / 61511). Nem berendezés-, hanem funkció-tulajdonság: a teljes hurokra vonatkozik.
Tapasztalati korlát: egy alarm plusz kezelői beavatkozás legfeljebb RRF 10 kreditet ér, és csak legalább 10 perces beavatkozási idővel.
A kreditelt rétegek értéke a tényleges rendelkezésre álláson múlik: a bypasselt, lejárt tesztű vagy megosztott érzékelőjű réteg csak papíron létezik.

Miért számít? (a tét)

Egy üzem veszélye nem attól lesz elviselhető, hogy „vannak biztonsági rendszerek“, hanem attól, hogy megszámolható, mekkora kockázatcsökkentést adnak. A LOPA ezt teszi számszerűvé, és emiatt bukik ki belőle a kellemetlen kérdés: hány rétegről hittük, hogy független, holott egyetlen távadón lóg?

A tét azért nagy, mert a rétegek csendben tűnnek el. Egy kiszakaszolás kiveszi a reteszt a szolgálatból, egy elmaradt trip-teszt miatt senki nem tudja, old-e még a szelep, egy MOC nélkül elcsúsztatott alarm-határérték pedig érvényteleníti az elemzést. A papíron ötrétegű védelem így lesz kétrétegű.

2. ábra — a védelmi rétegek hagyma-modellje: minden réteg egy-egy esély a baleset megállítására.

Mi a LOPA és mi a SIL?

Mindkettő kockázatelemzési módszer, amely a folyamatban rejlő veszélyek elemzésének (PHA) eszköztárába illeszkedik a HAZID, a HAZOP, az FMEA, az FTA és az ETA mellé. A sorrend nem véletlen: a HAZOP feltárja a veszély-forgatókönyveket, a LOPA pedig ezekre kvantifikálja, elegendő-e a kockázatcsökkentés.

LOPA: az eseményfa-elemzés (ETA) kiterjesztése, amely a kiváltó eseményt és a védelmi rétegeket veszi számba, hogy a kiváltó eseményből ne lehessen baleset. A rétegek többnyire eszközök, de a kezelői beavatkozás is lehet réteg, ha elég idő áll rendelkezésre a reagálásra.
SIL: félkvantitatív módszer annak eldöntésére, hogy kell-e SIF védelmi rétegként, és ha igen, milyen igénykori hibavalószínűséget (PFD) kell garantálnia. A SIL-meghatározás a biztonsági életciklus elemzési fázisának része.

A SIL-elemzés az Egyesült Államokban indult a gépiparban. 1996-ban jelent meg az ANSI/ISA-84.01 szabvány, Európában ennek párjaként az IEC 61508, amelyet a folyamatiparra az IEC 61511 szab testre. Seveso-besorolású üzemben mindez a súlyos balesetek megelőzésének műszaki gerince.

Hogyan dönti el a LOPA, hogy kell-e SIF?

Egyetlen szorzással. Ha a kiváltó esemény gyakorisága és a rétegek PFD-je szorzatként a tűrhető határ alatt marad, nincs teendő; ha fölötte, hiányzik egy réteg, és ezt kell SIF-fel pótolni. A részletek a szorzás elemeiben laknak.

1) A réteglánc kvantifikálása

Minden réteg egy vagy több nagyságrendnyi csökkentést ad: a 0,1-es PFD tízszeres (RRF 10), a 0,01-es százszoros (RRF 100) kockázatcsökkentést jelent.

Tankönyvi példa egy kemence robbanóképes atmoszférája: három réteg véd, a BPCS/SDCD szabályozás, egy SIF és a kezelői beavatkozás:

robbanóképes atmoszféra képződése: f = 1 × 10⁻¹/év
BPCS/SDCD hiba: PFD = 1 × 10⁻¹
SIF hiba: PFD = 1 × 10⁻²
kezelői beavatkozás hibája: PFD = 1 × 10⁻¹

f(kemencerobbanás) = 10⁻¹ × 10⁻¹ × 10⁻² × 10⁻¹ = 1 × 10⁻⁵/év

Ezt a kockázati mátrix sávjaihoz mérjük: 0,1/év fölött magas, 0,1–0,01 közepes, 0,01–0,001 alacsony, 0,001–0,0001 nagyon alacsony, 0,0001/év alatt elenyésző. Az 1 × 10⁻⁵/év tehát az elenyésző sávba esik.

A kiváltó esemény gyakoriságát nem találgatni kell: a projektek szabálykészletet rögzítenek. Tipikus értékek:

Kiváltó esemény	Gyakoriság (1/év)
BPCS/DCS hurokhiba (távadó, szabályozó, szelep)	0,1
Szabályozó (regulator) hiba	0,1
Leállítószelep téves zárása vagy nyitása	0,04
Biztonsági szelep téves teljes nyitása	0,01
Hőcserélő csőszivárgása	0,01
Egyszeres szivattyú-tömszelence szivárgása	0,1
Centrifugálszivattyú trip	0,4
Általános kezelői hiba	0,1
Hűtővíz-kiesés	0,1

A LOPA lehet statikus (állandó PFD-vel számoló) vagy időfüggő; utóbbi azzal számol, hogy egy réteg megbízhatósága a tesztek között romlik, így a tesztintervallum is racionalizálható.

2) Mi számít IPL-nek?

Egy védelmi réteg akkor kap kreditet, ha az IEC 61511-3 F9 melléklete szerinti négy követelményt egyszerre teljesíti:

Független (Independence): legyen független a kiváltó októl és a többi rétegtől; egy réteg tetszőleges hibája nem okozhatja egy másik réteg hibáját.
Specifikus (Specificity): észlelje, előzze meg az adott veszélyes eseményt, vagy csökkentse a következményét.
Megbízható (Dependability): a kockázatcsökkentő képessége legyen ismert és számszerűsíthető (RRF vagy PFD). Enélkül nincs mit beszorozni, tehát nincs kredit sem.
Auditálható (Auditability): legyen tesztelhető, validálható, karbantartható.

Két mnemonik segít az üzemi ítéletalkotásban. A réteg legyen hatékony („3 Enough’s“: Big, Fast, Strong Enough), és legyen azonosítható („3 D’s“): észlelje (Detect) a kezdeti eseményt, döntsön (Decide) a beavatkozásról, és kerülje el (Deflect) a nem kívánt következményt.

Egy szokásos IPL-besorolás és a hozzá rendelt kockázatcsökkentési faktorok:

Független védelmi réteg (IPL)	RRF	SIL-megfelelés
Biztonsági (nyomáshatároló) szelep, hasadótárcsa	100	mechanikai
SIF, kettő a háromból (2oo3) kiszavazás, független fail-safe PLC-ben	100	SIL 2
SIF, egy az egyből (1oo1), független fail-safe PLC-ben	10	SIL 1
BPCS/DCS független műszerezése (a kiváltó októl elkülönülve)	5	–
Kritikus alarm plusz időben végrehajtott beavatkozás	max. 10	–
Egyszeres visszacsapó szelep	5	–
Kettős, diverz visszacsapó szelep	50	–
Kármentő gát (dike), tűzállósítás (fireproofing)	100	következménycsökkentő

3) A kezelői beavatkozás mint réteg

A kezelői beavatkozás akkor és csak akkor IPL, ha az alarm időben jelez, és a kezelőnek elég ideje van diagnosztizálni és cselekedni. Ezt méri a folyamatbiztonsági idő (Process Safety Time, PST): az esemény kezdete és a veszélyes esemény bekövetkezése közötti időtartam.

3. ábra — a PST-be a teljes kezelői reagálási időnek és a folyamat holtidejének is bele kell férnie.

A feltételek szigorúak. A rendelkezésre álló beavatkozási idő nem lehet kevesebb 10 percnél, a kezelő legyen dokumentáltan kiképezve, és álljon rendelkezésre írott alarmkezelési utasítás. Ökölszabály: egy kezelő = egy biztonsági beavatkozás / 10 perc. A kreditelhető reakcióidő a projekt-szabálykészletekben jellemzően 2 perc kritikus alarmnál és 10 perc egyéb alarmnál. A PFD az idő és a stressz függvénye (átlagos képzettségű kezelő, felismert esemény):

Rendelkezésre álló beavatkozási idő	Körülmény	PFD
10 perc < t < 40 perc	stressz alatt	1 – 0,5
10 perc < t < 40 perc	stresszmentes	0,5 – 0,1
40 perc < t < 24 óra	stresszmentes	0,1 – 0,05
t > 24 óra	stresszmentes	0,05 – 0,01

Az alarmrendszer és a hozzá kapcsolódó kezelői beavatkozás számításba vett RRF-je nem lehet több 10-nél (a PFD nem lehet kisebb 0,1-nél), még racionalizált alarm esetén sem. Ha a forgatókönyv többet kíván, a rendszert az IEC 61508/61511 szerint kell megtervezni, vagy külön SIF-et kell beépíteni a SIS-be.

Két megkötés: a kreditelt alarm nem oszthatja meg az érzékelőjét a szabályozással vagy a SIS-szel (közös rész esetén csak egy védelmi réteg vehető figyelembe), és nem javasolt egy igény-forgatókönyvnél egynél több biztonsági kritikus alarmhoz IPL-kreditet rendelni.

4) SIL: a hiányzó réteg megbízhatósági követelménye

Ha a LOPA hiányt jelez, a SIL-meghatározás megmondja, milyen integritású SIF kell. Minden SIF-hez egy SIL szám tartozik, és a SIL a teljes hurokra vonatkozik (érzékelő, logikai megoldó, végrehajtó elem), nem egyetlen alkatrészre. Definíciója a PFD, illetve annak reciproka, az RRF:

SIL	PFD (igény szerinti üzemmód)	Rendelkezésre állás	RRF = 1/PFD
SILa	10⁻¹ ≤ PFD < 1	–	1 – 10
SIL 1	10⁻² ≤ PFD < 10⁻¹	> 90 – 99%	10 – 100
SIL 2	10⁻³ ≤ PFD < 10⁻²	> 99 – 99,9%	100 – 1 000
SIL 3	10⁻⁴ ≤ PFD < 10⁻³	> 99,9 – 99,99%	1 000 – 10 000
SIL 4	10⁻⁵ ≤ PFD < 10⁻⁴	> 99,99 – 99,999%	10 000 – 100 000

Olvasata: egy SIL 2 SIF igény esetén legfeljebb 1%-os valószínűséggel mond csődöt, azaz legalább 100-szoros kockázatcsökkentést ad.

Minden SIF-re meg kell határozni a működési módot is, mert ez dönti el, melyik táblát kell használni. A kritérium a D · TI szorzat (D = igénygyakoriság 1/év, TI = tesztintervallum év). Ha D · TI < 2, a SIF igény szerinti (low demand) módú: csak a veszély bekövetkezésekor kell működnie, és a veszélyes meghibásodása nem okoz azonnali veszélyt. Ha D · TI > 2, folyamatos vagy nagy igényű (high demand) módú, ilyenkor a SIL-t veszélyes meghibásodási gyakoriságban (hiba/óra) írjuk elő. A különbség gyakorlati: igény szerinti módban a tesztintervallum csökkentése csökkenti a veszélygyakoriságot, folyamatos módban lényegében nem.

5) A SIL meghatározásának négy módszere

Veszélymátrix (hazard matrix): kvalitatív, a gyakoriság és a következmény-súlyosság kombinációjából olvassa ki a SIL-t.
Kockázatgráf (risk graph): paraméterek (következmény, expozíciós idő, elkerülhetőség, igénygyakoriság) mentén vezet a SIL-hez.
Gyakorisági célérték (frequency target): RRF = baleseti gyakoriság / tűrhető gyakoriság, ahol a tűrhető gyakoriság a következmény súlyosságától függ.
Egyéni vagy társadalmi kockázat: kvantitatív, ISO-rizikókontúr, ALARP-régió és F–N görbe alapján.

A SIL-meghatározás nem a SIF-projekt vége, hanem az elemzési fázisa: utána jön a SIS-technológia kiválasztása, a tervezés és a verifikáció.

Folyamatipari kontextus + biztonság

A védelmi réteg fogalma a mindennapi üzemi gyakorlatban így jelenik meg:

ESD (Emergency Shut Down) rendszer: a SIS üzemi megtestesülése. Terepi érzékelők, szelepek, trip-relék és logika, amely Cause & Effect (C&E) mátrix szerint visz biztonságos állapotba: berendezéseket állít le, izolálja a szénhidrogén-leltárt, nyomásmentesít.
Reteszelés előtti (pre-trip) alarm: figyelmezteti a kezelőt, hogy még a SIS trip előtt korrigálhasson; a sikeres reakció csökkenti a tényleges trip iránti igényt.
First-out (első hiba) alarm: közel egyidejű reteszelési feltételeknél azonosítja, melyik lépett be elsőként, így a kiváltó ok diagnosztizálható.
MOS/POS bypass-ok (Maintenance/Process Override Switch): ideiglenes kiszakaszolások, amelyek kiveszik a védelmi réteget a szolgálatból. Nyilvántartás, alarm (legalább műszakonként egyszer) és dokumentálás nélkül a kreditelt IPL csak papíron létezik.

Az alarmrendszer maga is csökkenti a rendellenes helyzetek valószínűségét (alarm-áradat, hibás logika ellen), ezért további védelmi réteg, de a fenti korlát rá is érvényes.

A kockázat tűrhetőségét az ALARP (As Low As Reasonably Practicable) elve vezérli: a kockázatot addig kell csökkenteni, amíg a további csökkentés aránytalan ráfordítást nem kívánna. A SIL azt mutatja meg, mekkora SIF-integritás hozza a kockázatot az ALARP-régióba.

Bevezetés a gyakorlatban (roadmap)

A LOPA és a SIL nem önálló vizsgálat, hanem a biztonsági életciklus (Safety Life Cycle) 1. és 2. fázisában végzett munka. Az IEC 61511 szerinti életciklus tizenegy fázisból áll, és minden fázisnak dokumentált be- és kimenettel, nevesített felelősséggel kell dolgoznia.

4. ábra — a biztonsági életciklus fázisai; a LOPA és a SIL az 1–2. fázisban dől el, de a 6–7. fázis tartja életben.

A LOPA-vizsgálat dokumentált eljárásmenete így sűríthető:

Forgatókönyv-választás. A HAZOP eltéréseiből kiválasztjuk a vizsgálandó forgatókönyvet. Egy LOPA egy időben egyetlen forgatókönyvre vonatkozik; célszerűen egy ok + egy következmény.
Súlyosság és tűrhető gyakoriság. Meghatározzuk a következmény súlyosságát emberre, gazdasági hatásra és környezetre, és hozzárendeljük a tűrhető eseménygyakoriságot (TEF).
Kiváltó okok és módosító tényezők. Megbecsüljük a kiváltó esemény gyakoriságát (f), az engedélyező tényezők valószínűségét (P_E) és a következményt módosító tényezőket (P_C); ebből adódik a nem mérsékelt eseménygyakoriság (UEF).
IPL-ek és PFD-jük. Azonosítjuk a rétegeket, mindegyikhez PFD-t rendelünk, és összesítjük az eredő kockázatcsökkentést. Ebből jön a mérsékelt eseménygyakoriság (MEF).
Összevetés és döntés. Az MEF-et a tűrhető határhoz mérjük, és ha kell, SIF-et rendelünk hozzá a szükséges SIL-lel.
Dokumentálás, ellenőrzés, jóváhagyás.

A követelmények a biztonsági követelmény-specifikációba (SRS) kerülnek: funkció, SIL, biztonságos állapot, folyamatbiztonsági idő, tesztintervallum, kezelői interfészek. A SIL-műhely legyen keresztfunkcionális: üzemeltetés, folyamatbiztonság, karbantartás, folyamatirányítás és folyamatmérnök együtt.

Gyakorlati rész / mini-forgatókönyv

Ellenőrizz le egy kreditelt IPL-t holnap. Válassz egy forgatókönyvet a területed LOPA-jából, és menj végig rajta:

Létezik-e fizikailag? Keresd meg a réteget a terepen és a P&ID-n; ha SIF: melyik hurok, milyen kiszavazással?
Szolgálatban van-e? Van-e rá aktív MOS/POS a bypass-regiszterben, mióta, mikor jár le?
Tesztelt-e? Belefér-e az utolsó trip-teszt az SRS-ben előírt tesztintervallumba? Lejárt teszt = elvesztett SIL.
Független-e? Ugyanaz a távadó szolgál szabályozásra és alarmozásra? Akkor a kredit egyik rétegnél érvénytelen.
Van-e mögötte ember és idő? Ha alarm a réteg: van írott alarmkezelési utasítás, ki van képezve a kezelő, és marad-e legalább 10 perce?

Házi feladat. Írd fel, hány kreditelt réteg maradt életben, és mennyivel nőtt a forgatókönyv eredő gyakorisága.

Mérés / audit (mutatók, képlet ahol van)

A LOPA eredménye egy szám; az audit azt kérdezi, igaz-e még. Az alapképletek:

Eredő baleseti gyakoriság: f(MEF) = f(kiváltó esemény) × P_E × P_C × PFD₁ × PFD₂ × … × PFDₙ ahol P_E az engedélyező, P_C a következményt módosító tényezők valószínűsége. A rétegek nélküli érték az UEF, a csökkentett a MEF; ezt mérjük a TEF-hez.
Kockázatcsökkentési faktor: RRF = 1 / PFD, például PFD = 0,01 esetén RRF = 100, ami a SIL 2 alsó határa.
Folyamatbiztonsági idő feltétele: t(alarm-reakció) + t(folyamat-holtidő) ≤ PST. Ha ez nem teljesül, az alarm nem kreditelhető rétegként.

Követendő audit- és teljesítménymutatók:

Időben elvégzett SIF trip-tesztek aránya (%): a kreditelt SIL csak a tesztintervallum tartásával valós.
Aktív MOS/POS bypass-ok száma és kora: minden bypasszolt SIF egy hiányzó IPL.
Biztonsági kritikus alarmok teljesítménye: nem elnyomható, elegendő PST-tartalék, rendszeres bad-actor és stale alarm review.
IPL-integritás auditja: a kreditelt rétegek léteznek-e, függetlenek-e, teszteltek-e, dokumentáltak-e.

Gyakori hibák

Egy érzékelő, két szerep. Ugyanaz a mérés szolgál szabályozásra és védelemre: közös hibamód keletkezik, és a kredit hamis.
A kezelői beavatkozás túlkreditelése. RRF 10 fölötti érték az alarm plusz ember rétegre nem megengedett; ilyenkor SIF kell.
A PST figyelmen kívül hagyása. Ha a kezelőnek fizikailag nincs ideje cselekedni, az alarm nem réteg, akármilyen „kritikus“ a címkéje.
Láthatatlanul bypasselt SIF. A LOPA papíron rendben, de a kiszakaszolás miatt a réteg nincs szolgálatban; regiszter és napi ellenőrzés nélkül a LOPA fikció.
A SIL berendezés-tulajdonságként való félreértése. Egy SIL 2 minősítésű alkatrész önmagában nem ad SIL 2 funkciót.
MOC nélküli alarm- vagy reteszelésipont-módosítás. A határérték elcsúsztatása a HAZOP/LOPA visszavezetése nélkül érvényteleníti azt.

Mikor NE használd? (a módszer korlátai)

A LOPA gyors és erős, de csak akkor ad helyes eredményt, ha a feltevései állnak:

Helyzet	Miért nem a LOPA a válasz	Mi a helyes válasz
A forgatókönyveket még nem tárták fel	a LOPA meglévőre számol, nem talál újat	hazop, HAZID, What-If
Egyszerre több forgatókönyvet vizsgálnál	egy LOPA egyszerre egyetlen forgatókönyvre érvényes	forgatókönyvenként külön LOPA
A rétegek között közös okú vagy közös módú hiba lehet	a szorzás teljes függetlenséget feltételez	hibafa-elemzés (FTA)
A LOPA SIL 3 eredményt ad	a félkvantitatív becslés bizonytalansága itt már túl nagy	kvantitatív eljárás: bővített LOPA, FTA vagy QRA
A számítás SIL 4 szintű megoldást kívánna	SIL 4 kockázati szintű megoldás nem elfogadható	a kockázatot a forrásnál kell csökkenteni, több eltérő rétegre elosztva

Ökölszabály: a LOPA a rétegek elégségességére ad választ egy már ismert forgatókönyvön. Nem helyettesíti a veszélyfeltárást, és nem visz el nagyon nagy kockázatcsökkentési igényt.

Vidd haza (kulcsok)

A LOPA egy szorzás, a SIL a hiány pótlása: előbb számold meg a rétegeket, csak utána tervezz SIF-et.
Kredit csak a négy követelményre jár: független, specifikus, megbízható (számszerűsíthető), auditálható.
Egy alarm plusz ember maximum RRF 10, minimum 10 perc. Ha a PST ennél kevesebb, a réteg nem létezik.
A SIL a funkcióé, nem az eszközé: a teljes hurkot kell méretezni és tesztelve fenntartani.
SIL 3-nál válts módszert, SIL 4-et ne tervezz: a SIL 3 kvantitatív ellenőrzést kíván, a SIL 4 megoldás nem elfogadható.
Az audit tárgya nem a dokumentum, hanem a réteg: bypass-regiszter, trip-teszt dátuma, érzékelő-függetlenség.

Önteszt

Egy forgatókönyvben a kiváltó esemény gyakorisága 0,1/év, és két IPL véd: egy független BPCS-műszerezés és egy 1oo1 SIF. Mekkora az eredő gyakoriság, és melyik kockázati sávba esik?
Egy kritikus alarm érzékelője ugyanaz a távadó, amely a szabályozást is ellátja. Kaphat-e IPL-kreditet, és miért?
Mi a teendő, ha a LOPA SIL 3 eredményt ad, és mi akkor, ha SIL 4-et?

Hogyan jelenik meg a digitális gyakorlatban?

A LOPA és a SIL eredménye statikus dokumentum, a kreditelt rétegek állapota viszont műszakonként változik. A digitális leképezés ezért nem az elemzést helyettesíti, hanem a rétegek élő állapotát teszi láthatóvá.

LOPA/SIL-elv	Digitális megvalósítás	Mit ad
Az IPL csak szolgálatban ér valamit	retesz- és override-napló időbélyeggel, nyitott bypass-lista	látszik, melyik kreditelt réteg hiányzik éppen
A SIL a tesztintervallum tartásán múlik	trip-teszt ütemező, esedékesség-riasztás, teszteredmény-nyom	a lejárt teszt nem marad észrevétlen
A kreditelt alarmhoz beavatkozás tartozik	a kritikus alarm és a rá adott beavatkozás rögzítése	igazolható, hogy a réteg működött
Minden retesz- és alarmpont-változás MOC-köteles	jóváhagyási workflow a HAZOP/LOPA visszavezetésével	az elemzés nem avul el észrevétlenül
A kredit auditálhatóságot követel	verziózott HAZOP/LOPA-nyilvántartás, forgatókönyvenként	az auditnyom rekonstruálható

Kapcsolat az OPEREX-hez (műszaknapló)

Az OPEREX műszaknapló a rétegek tényleges rendelkezésre állását teszi auditálhatóvá: tételesen rögzíti a MOS/POS-bypassok be- és kikapcsolását, a kritikus alarmokat és a rájuk adott kezelői beavatkozást, valamint a trip-teszt és ESD-ellenőrzés tényét műszakról műszakra. Így a HSE és a műszakvezetés bizonyítani tudja a feltételezett IPL-ek valós állapotát.

Terminológia (HU / EN)

Magyar	Angol / rövidítés
Védelmi réteg elemzés	Layers of Protection Analysis — LOPA
Független védelmi réteg	Independent Protection Layer — IPL
Biztonsági integritási szint	Safety Integrity Level — SIL
Műszerezett biztonsági funkció	Safety Instrumented Function — SIF
Műszerezett biztonsági rendszer	Safety Instrumented System — SIS
Igénykori hibavalószínűség	Probability of Failure on Demand — PFD
Kockázatcsökkentési faktor	Risk Reduction Factor — RRF
Kiváltó esemény	Initiating event
Tűrhető eseménygyakoriság	Tolerable Event Frequency — TEF
Mérsékelt eseménygyakoriság	Mitigated Event Frequency — MEF
Folyamatbiztonsági idő	Process Safety Time — PST
Biztonsági életciklus	Safety Life Cycle — SLC
Biztonsági követelmény-specifikáció	Safety Requirement Specification — SRS
Alap folyamatirányító rendszer	Basic Process Control System — BPCS
Vészleállító rendszer	Emergency Shut Down — ESD
Felülbíráló (kiszakaszoló) kapcsoló	MOS / POS override switch

GYIK

Mi a LOPA és a SIL viszonya, melyik jön előbb?

A LOPA jön előbb. A HAZOP veszély-forgatókönyveire megszámolja a meglévő független rétegeket, és kiszámolja, elég-e a kockázatcsökkentés. Ha nem elég, a SIL-meghatározás mondja meg, milyen SIF-fel kell pótolni a hiányt: a SIL a LOPA hiányjelzésére adott válasz.

A kritikus alarm plusz kezelői beavatkozás számít SIF-nek?

Nem. Az alarm plusz ember lehet védelmi réteg, de legfeljebb RRF 10 kreditet ér, és csak legalább 10 perces, a folyamatbiztonsági időn belüli beavatkozással. A SIF ennél nagyobb integritást ad, automatikusan, az IEC 61508/61511 szerint tervezve.

Mit jelent számszerűen a SIL 2?

A SIF igény esetén legfeljebb 1%-os (PFD 10⁻²…10⁻³) valószínűséggel mond csődöt, azaz 100–1000-szeres kockázatcsökkentést garantál, feltéve, hogy az előírt tesztintervallummal karbantartják és tesztelik.

Miért bukik el a gyakorlatban egy „jó" LOPA?

Mert a kreditelt IPL-ek valós rendelkezésre állása nincs biztosítva: bypasselt SIF, lejárt trip-teszt, megosztott érzékelő vagy MOC nélkül elcsúsztatott alarm-határérték.

SIL 4-re kell-e törekedni a maximális biztonságért?

Nem. A SIL 4 kockázati szintű védelmi megoldás nem elfogadható. Ha a számítás ide vezet, a kockázatot a forrásnál kell csökkenteni, és több, egymástól független, eltérő elvű rétegre elosztani.

Kapcsolódó fogalmak

Következő lépés

Ha ezt megértetted, innen érdemes tovább menned, ebben a sorrendben:

hazop — a veszélyfeltárás, amely a LOPA bemenetét adja.
esd-rendszerek — a SIS üzemi megtestesülése: C&E-mátrix, trip-logika, bypass-kezelés.
alarm-management — a kreditelt alarm réteg fenntartása: racionalizálás, PST-tartalék, bad-actor review.

Hivatkozások / További olvasnivaló

IEC 61508 (MSZ EN 61508) — a funkcionális biztonság alapszabványa.
IEC 61511 (MSZ EN 61511) — funkcionális biztonság a folyamatiparban: a biztonsági életciklus és a SIS-követelmények forrása.
IEC 61511-3, Annex F — a védelmi rétegek négy követelménye és a LOPA alkalmazása.
ANSI/ISA-84.01 (ISA, 1996) — az első SIS-szabvány, az IEC 61508 amerikai előzménye.
CCPS (AIChE): Layer of Protection Analysis: Simplified Process Risk Assessment — a LOPA kézikönyve.
Seveso III irányelv: 2012/18/EU a veszélyes anyagokkal kapcsolatos súlyos balesetek veszélyének kezeléséről.
Eduardo Calixto: Gas and Oil Reliability Engineering. Gulf Professional Publishing, 2016.