Overzicht risicografen - KHLim
Overzicht risicografen - KHLim
Overzicht risicografen - KHLim
Create successful ePaper yourself
Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.
Risicograaf voor SIL en PL<br />
1. NORMEN VOOR MACHINES....................................................................................................................... 2<br />
2. OPMERKINGEN.............................................................................................................................................. 3<br />
3. PROBLEEMSTELLING ................................................................................................................................. 3<br />
3.1 RISICOBEOORDELING VAN MACHINES EN PROCESINSTALLATIES ................................................................... 4<br />
3.2 RISICOREDUCERENDE MAATREGELEN ........................................................................................................... 4<br />
3.4 SPECIFIEKE NORMEN VOOR HET ONTWERP VAN AUTOMATISCHE SYSTEMEN MET EEN VEILIGHEIDSFUNCTIE.5<br />
3.5 DEFINITIE VAN AUTOMATISCHE VEILIGHEIDSFUNCTIE EN AUTOMATISCH ..................................................... 6<br />
VEILIGHEIDSSYSTEEM......................................................................................................................................... 6<br />
3.6 RISICOBEOORDELING EN CLASSIFICATIE VAN EEN SIF .................................................................................. 7<br />
4 HET EFFECT VAN FOUTEN TIJDENS HET ONTWERPPROCES VAN SIFS...................................... 7<br />
5 RISICOBEOORDELING VAN EEN MACHINE.......................................................................................... 8<br />
5.1 DE INVLOED VAN EEN MACHINE OP VEILIGHEID ............................................................................................ 8<br />
5.2 DE INVLOED VAN EEN PROCESINSTALLATIE OP VEILIGHEID .......................................................................... 9<br />
5.3 VERSCHIL IN RISICOGRAFEN VOOR DE BEOORDELING VAN HET................................................................... 10<br />
VEILIGHEIDSRISICO VAN MACHINES EN PROCESINSTALLATIES .......................................................................... 10<br />
6 HET BEPALEN VAN HET SAFETY INTEGRITY- OF PERFORMANCE LEVEL ............................. 10<br />
MET BEHULP VAN EEN RISICOGRAAF ................................................................................................................. 10<br />
6.1 HET TOEPASSEN VAN EEN RISICOGRAAF VOOR MACHINES........................................................................... 11<br />
6.1.1 De keuze van de risicograaf ............................................................................................................... 11<br />
6.1.2 Bepaling van het effect, de ernst van de gevolgen voor de gezondheid.............................................. 13<br />
6.1.3 Bepaling van de kans op schade met een bepaalde ernst ................................................................... 13<br />
BIJLAGE A ......................................................................................................................................................... 16
1. Normen voor machines<br />
Hoeveel normen bestaan er eigenlijk voor machines? En wat voor typen normen zijn er?<br />
Er bestaan om precies te zijn 728 normen voor machines, waarvan zo’n 150 geharmoniseerde<br />
EN normen. Dit zijn normen die invulling geven aan de fundamentele veiligheidseisen uit de<br />
Europese Richtlijnen. Ze zijn herkenbaar aan de letters ‘EN’ in de naam, bijvoorbeeld NEN-<br />
EN-IEC 60204. Het gebruik van een geharmoniseerde norm leidt tot het vermoeden van<br />
overeenstemming met de overeenkomstige Europese richtlijn. Elke geharmoniseerde norm is<br />
gepubliceerd in het Official Journal van de de Europese Unie.<br />
In grote lijnen kunnen de normen voor machines in drie categorieën worden ingedeeld, Type<br />
A, Type B en Type C. In de top van de pyramide zitten de zeer generieke basis<br />
veiligheidsnormen volgens Type A, zoals de bekende EN 1050 (risicobeoordeling). In het<br />
midden van de pyramide zitten de wat minder algemene Type B-normen, zogeheten Safety<br />
Group Standards, zoals EN 954-1, EN 60204-1 en EN 574. (B1 -> normen i.v.m.<br />
veiligheidsaspecten bv veiligheidsafstanden, B2-> normen i.v.m. veiligheidsvoorzieningen bv<br />
noodstop) In de basis van de pyramide bevinden zich de specifieke Type C-normen, de<br />
Machine Safety-normen. Deze normen geven voor concrete machines zeer specifieke<br />
bepalingen en bieden in het algemeen de beste ingang om aan de Europese regels te voldoen<br />
ISO algemene normen (International Organization for Standardisation)<br />
IEC enkel voor elektrisch<br />
CEN europese normen<br />
Wijziging van normen<br />
EN 1050 -> EN 14121 Risicoanalyse A-norm<br />
EN 418 -> EN ISO 3850 Noodstop<br />
EN 954 -> EN ISO 13849 PL (Performance level) B-norm<br />
-> IEC 61508 SIL (Safety Integrity Level)<br />
61511 en 62061<br />
EN 292 -1 -> EN ISO 12100 machineveiligheid (bv hekken)<br />
-2 (-1 en -2)
2. Opmerkingen<br />
De belangrijkste conclusies en aanbevelingen bij het bepalen van het SIL of PL:<br />
- Het aanpassen van het ontwerp heeft de voorkeur boven het toepassen van een<br />
instrumentele beveiliging. Beter een veilig ontworpen installatie dan beveiligd door<br />
aanvullende instrumentele maatregelen. Dit is een aandachtspunt in de ontwerpfase van<br />
machines en installaties.<br />
- Zorg voor acceptatie van het SIL of PL resultaat door klanten te betrekken bij de uitvoering<br />
van een SIL of PL bepaling.<br />
- Een volledige rapportage met een goede onderbouwing van de SIL en PL bepalingen is<br />
essentieel.<br />
3. Probleemstelling<br />
Vanuit de diverse wetgeving wordt de eis gesteld om risico’s te inventariseren, evalueren en<br />
risicobeperkende maatregelen te nemen. Dat geldt ook voor de risico’s bij het toepassen van<br />
arbeidsmiddelen als machines en procesinstallaties.<br />
Figuur 1 laat een model zien van een risicoreductieproces voor arbeidsmiddelen, bestaande<br />
uit een risicobeoordeling en het nemen van risicoreducerende maatregelen.<br />
Figuur 1 Ontwerpproces risicoreducerende maatregelen
3.1 Risicobeoordeling van machines en procesinstallaties<br />
Voor het uitvoeren van een risicobeoordeling van machines of procesinstallaties worden<br />
diverse tools toegepast. Voorbeelden van dergelijke tools zijn:<br />
• HAZOP – Hazard & Operability Study (procesinstallaties)<br />
• FME(C)A – Failure Mode and Effects (and Criticality) Analysis (machines)<br />
• What-If analyse<br />
• NEN1050<br />
• Checklist machinerichtlijn<br />
Bij het uitvoeren van een risicobeoordeling is het noodzakelijk om rekening te houden met de<br />
veiligheid van de machine/installatie gedurende alle fasen van zijn levensduur, inclusief<br />
fabricage, transport, installatie en ontmantelen. Dat geldt ook voor de diverse gebruiksstadia,<br />
zoals: opstart, schoonmaken, onderhoud, storingzoeken, en dergelijke.<br />
Het besluit om een specifieke risicoreducerende maatregel te nemen is een resultaat<br />
van de risicobeoordeling.<br />
3.2 Risicoreducerende maatregelen<br />
Het nemen van risicoreducerende maatregelen kan, op basis van effectiviteit, in twee<br />
mogelijkheden worden ingedeeld:<br />
• inherent veilige maatregelen – preventieve maatregelen, voorkomen van het gevaar<br />
• beschermende maatregelen – beheersing van het risico en controleren van de effecten<br />
Bij inherent veilige maatregelen worden de gevaren weggenomen of de risico’s afdoende<br />
verkleind door het wijzigen van het ontwerp, zonder gebruik te maken van beschermende<br />
maatregelen. Anders gezegd: de machine of installatie wordt dusdanig gewijzigd dat het<br />
gevaar niet meer bestaat of het risico tot een acceptabel niveau is teruggedrongen. Extra<br />
beschermende maatregelen kunnen bij falen of bij aanspreken het proces verstoren. Of er<br />
ontstaat en risicovolle situatie door falende veiligheidsmaatregelen. Hierdoor hebben<br />
inherent veilige maatregelen de eerste keus. Een voorbeeld: de druk in een drukvat kan bij<br />
een verstoring van het proces dusdanig oplopen dat het drukvat openbarst. Als<br />
beschermende maatregel zouden beveiligingen kunnen worden toegepast om de druk te<br />
bewaken, te regelen of eventueel af te blazen. Als inherente beveiliging kan de ontwerpdruk<br />
van het vat dusdanig worden gekozen dat deze te allen tijde bestand is tegen de maximaal<br />
voorkomende procesdruk. Een andere inherent veilige oplossing kan wellicht gevonden<br />
worden in een andere procesvoering (mogelijk zelfs gebruik van andere grondstoffen of<br />
fysische waarden), zodat de procesdruk niet kan oplopen tot boven de ontwerpdruk van het<br />
vat. Inherent veilige maatregelen hebben vaak principiële ontwerpwijzigingen tot gevolg.<br />
Het is daarom van belang om in een vroegtijdig ontwerpstadium van procesinstallatie of<br />
machine een risicobeoordeling uit te voeren. Het is niet uitzonderlijk om in de ontwerpfase op<br />
meerdere momenten een risicobeoordeling uit te voeren.<br />
beschermende maatregelen:<br />
• Beheersing van de risico’s<br />
1. Proces/machine regelingen en beveiligingen (bijvoorbeeld procesregelingen en<br />
automatische systemen met een veiligheidsfunctie)<br />
• Controleren van de effecten<br />
2. Beperken van het risico (bijvoorbeeld noodstop en drukaflaatsysteem)<br />
3. Repressieve maatregelen (blussysteem, noodplan)
3.4 Specifieke normen voor het ontwerp van automatische<br />
systemen met een veiligheidsfunctie<br />
Voor het ontwerpen van automatische beveiligingssystemen zijn normen ontwikkeld<br />
vanuit de IEC en de ISO, als aangegeven in onderstaand overzicht:<br />
Figuur 2 - <strong>Overzicht</strong> normen voor het ontwerp van systemen met een veiligheidsfunctie<br />
Van de IEC komt de norm 61508-1 t/m 7 (Functional safety of electrical /electronic /<br />
programmable electronic safety-related systems) [Norm 7] als basis voor de ontwikkeling en<br />
toepassing van alle elektrische/elektronische systemen (electrical / electronic /<br />
programmable electronic systems) die een veiligheidsfunctie uitvoeren. Deze uitgebreide<br />
norm richt zich ook op de ontwikkelaars van veiligheidsapparatuur en veiligheidssoftware.<br />
Vanuit de 61508 zijn twee, beter hanteerbare, normen afgeleid, t.w.:<br />
• 61511-1 t/m 3 (Functional safety - Safety instrumented systems for the process<br />
industry sector) [Norm 8], specifiek bedoeld voor het ontwerpen van veiligheidssystemen<br />
voor procesinstallaties.<br />
• 62061 (Safety of machinery – Functional safety of safety-related electrical, electronic and<br />
programmable electronic control systems) [Norm 9], specifiek bedoeld voor het ontwerpen<br />
van veiligheidssystemen voor machines. (SRECS)<br />
• Van de ISO komt de norm 13849-1 en 2 (Safety of machinery - Safety-related parts<br />
of control systems) [Norm 4, Norm 5], bedoeld voor het ontwerpen van<br />
veiligheidssystemen voor machines. (SRP/CS)<br />
De norm ISO 13849 heeft een vergelijkbare doelstelling als de norm IEC 62061. De<br />
nieuwere 13849 verwijst ook naar de 61508 / 62061 normen. Een belangrijk verschil in<br />
doelstelling is dat de IEC normen zich richten op elektrische/elektronische systemen terwijl<br />
de 13849 een breder kader heeft waaronder ook pneumatische- en hydraulische systemen.<br />
Verder wijken de toegepaste systematieken uit beide normen van elkaar af.<br />
Tot voor kort werd de norm NEN-EN 954 (Veiligheid van machines - Onderdelen van<br />
besturingssystemen met een veiligheidsfunctie) algemeen toegepast voor het ontwerpen van<br />
een automatische veiligheidsfunctie met een machinetoepassing. De daarin voorkomende<br />
veiligheidscategorieën (B, 1 t/m 4) komen nog veel voor als aanduiding op componenten en
worden in de praktijk nog wel toegepast. Deze norm is inmiddels vervallen en is vervangen<br />
door de NEN-EN-ISO 13849.<br />
3.5 Definitie van automatische veiligheidsfunctie en automatisch<br />
Veiligheidssysteem<br />
Voor het juiste begrip is het van belang om een duidelijke definitie vast te stellen van de<br />
volgende twee begrippen:<br />
• Automatische veiligheidsfunctie<br />
• Automatisch veiligheidssysteem<br />
De automatische veiligheidsfunctie is de functionaliteit die omschrijft hoe een bepaald<br />
vastgesteld risico wordt gereduceerd. De automatische veiligheidsfunctie wordt uitgevoerd<br />
door een automatisch veiligheidsysteem, ofwel de techniek die de functie uitvoert.<br />
In de normen uit de 61508 familie worden er verschillende definities gebruikt voor<br />
vergelijkbare veiligheidsfuncties:<br />
- 61511 Safety Instrumented Function (SIF)<br />
safety function with a specified safety integrity level which is necessary to achieve<br />
functional safety and which can be either a safety instrumented protection function<br />
or a safety instrumented control function.<br />
- 62061 Safety-Related Control Function (SRCF)<br />
control function implemented by a SRECS with a specified integrity level that is<br />
intended to maintain the safe condition of the machine or prevent an immediate<br />
Increase of the risk(s).<br />
Een automatisch veiligheidssysteem kan uit een of meerdere veiligheidsfuncties<br />
bestaan. Ook voor het veiligheidssysteem zijn weer verschillende definities in de 61508<br />
familie normen:<br />
- 61511 Safety Instrumented System (SIS)<br />
instrumented system used to implement one or more safety instrumented functions.<br />
A SIS is composed of any combination of sensor(s), logic solver(s), and final<br />
element(s).<br />
- 62061 Safety-Related Electrical Control System<br />
electrical control system of a machine whose failure can result in an immediate<br />
increase of the risk(s)<br />
De norm 13849 maakt geen specifiek verschil tussen een veiligheidsfunctie en een<br />
veiligheidssysteem en definieert het veiligheidssysteem als volgt:<br />
- 13849 Safety-related part of a control system (SRP/CS)<br />
part of a control system that responds to safety related input signals and generates<br />
safety related output signals
3.6 Risicobeoordeling en classificatie van een SIF<br />
Een belangrijk uitgangspunt bij het ontwerpen van een SIS is de eis die gesteld wordt aan de<br />
kans op falen van een SIF. Aan een SIF wordt een hoge mate van beschikbaarheid gesteld.<br />
Wanneer de beveiliging nodig is moet hij ook werken. Tabel 1 geeft de beschikbaarheideis<br />
aan voor SIFs die werken in de zogenaamde continuous of high demand mode.<br />
Bijvoorbeeld in een SIF met een PL d / SIL 2 classificatie mag tussen de 0 en maximaal<br />
1141 jaar niet meer dan 1x een fout optreden die leidt tot een gevaarlijke situatie. In een<br />
installatie met 1000 SIFs met dezelfde klasse ‘mag’ er jaarlijks dan bij maximaal 9 SIFs een<br />
gevaarlijke situatie ontstaan door niet goed functioneren van de SIF!<br />
Hiermee worden belangrijke eisen gesteld aan het ontwerp van het SIS en de kwaliteit<br />
van de gebruikte componenten.<br />
Zowel de ISO als IEC gerelateerde normen kennen een aantal beschikbaarheidniveaus,<br />
afhankelijk van de norm genaamd:<br />
- ISO 13849 : PL – Performance Level (gebruikt door machinebouwer)<br />
- IEC 61511 / 62061 : SIL – Safety Integrity Level (gebruikt door fabrikanten<br />
veiligheidscomponenten en procesindustrie)<br />
Het is afhankelijk van het risico dat de SIF beveiligt welk PL of SIL niveau moet worden<br />
toegepast. Hoe groter het risico, des te kleiner de kans op falen van de SIF. Middels een<br />
gedetailleerde risicobeoordeling van het te reduceren risico wordt het PL of SIL niveau van<br />
een SIF bepaald. De drie normen stellen elk een eigen systematiek voor het uitvoeren van<br />
een risicobeoordeling voor.<br />
4 Het effect van fouten tijdens het ontwerpproces van SIFs<br />
In het ontwerpproces van SIFs, zoals beschreven in het risicobeoordelingsproces, zijn de<br />
volgende fasen te onderscheiden:<br />
1. Risicoanalyse / Risico evaluatie effect fout groot<br />
2. Risicobeoordeling SIF / bepaling SIL of PL<br />
3. Ontwerp SIF / SIS effect fout kleiner
Tijdens de risicoanalyse (bijvoorbeeld een HAZOP studie (voor procesindustrie)) worden<br />
gevaren geïdentificeerd en risico’s daarvan ingeschat. Bij het in kaart brengen van gevaren<br />
van machines en processen is de kans dat een gevaarscenario over het hoofd wordt gezien<br />
reëel. Hiervan vindt dan ook geen risico-evaluatie plaats en zal geen reducerende maatregel<br />
worden genomen.<br />
Een systematische aanpak met meerdere, ter zake kundige, personen met verschillende<br />
achtergrond kan een nauwkeurige inventarisatie van risico’s opleveren.<br />
Nog meer nauwkeurigheid wordt verkregen door de risicoanalyse te herhalen. Bijvoorbeeld<br />
in verschillende fasen van het ontwerpproces. Minder gestructureerde methoden<br />
zoals bijvoorbeeld een ‘what-if analyse’ of een ‘FMEA’ geven meer kans op het niet<br />
signaleren van risico’s.<br />
De kans op herstel van een ‘vergeten risico’ is in principe alleen mogelijk bij een herhaalde<br />
analyse. Het effect kan zijn dat gevaarlijke situaties onbekend en onbeveiligd blijven,<br />
hetgeen kan leiden tot ernstige ongevallen.<br />
Het bepalen van een SIL of PL niveau vereist een gedegen risicobeoordeling. Een verkeerd<br />
bepaald SIL / PL leidt tot over- of onderbeveiliging. Bij een te hoog SIL / PL zal het SIS<br />
ontwerp een lagere foutgevoeligheid hebben dan de aard van de beveiliging vereist. Vooral<br />
bij complexe SIFs, waarbij bijvoorbeeld gebruik gemaakt wordt van geavanceerde<br />
meetapparatuur of productspecifieke afsluiters kan dit leiden tot hoge extra kosten.<br />
Overbeveiliging (of het gevoel van) is de oorzaak van wantrouwen bij eindgebruikers met<br />
een hoge verantwoordelijkheid voor kostenreductie.<br />
Bij een te laag bepaald SIL / PL zal het SIS ontwerp mogelijk gevoeliger voor fouten zijn dan<br />
de aard van de beveiliging vereist. Dit kan leiden tot situaties waarbij de beveiliging niet<br />
werkt wanneer nodig. Gevaarlijke situaties kunnen ontstaan die niet of te laat worden<br />
opgemerkt.<br />
De kans op correctie van een verkeerd SIL / PL is relatief klein. De risicobeoordeling zal<br />
opnieuw uitgevoerd moeten worden. In de praktijk wordt dat niet gedaan tenzij er aanleiding<br />
voor is. Bijvoorbeeld bij een foutsituatie of incident waarbij de oorzaak onderzocht wordt.<br />
Het ontwerp van een SIF met bijbehorend SIS is een technisch ontwerp proces. De eisen die<br />
aan het SIF zijn gesteld liggen vast in het SIL en PL en de functies zijn bepaald in de<br />
risicobeoordeling. Ontwerpfouten, zoals bijvoorbeeld verkeerde lay-out keuzes of<br />
rekenfouten, kunnen leiden tot een ontwerp dat niet voldoet aan de eisen. Er volgt echter<br />
een validatie van het SIS, waarbij bepaald wordt of het ontworpen SIS voldoet aan de eisen<br />
van de SIF. Hierdoor ontstaat een hoge mate van foutcorrectie.<br />
5 Risicobeoordeling van een machine<br />
5.1 De invloed van een machine op veiligheid<br />
Een definitie van een machine is volgens de machinerichtlijn:<br />
Machine: - een samenstel van onderling verbonden onderdelen of organen waarvan er ten<br />
minste één kan bewegen, alsmede, in voorkomend geval, van aandrijfmechanismen,<br />
bedienings- en vermogensschakelingen enz. die in hun samenhang bestemd zijn voor een<br />
bepaalde toepassing, met name voor de verwerking, de bewerking, de verplaatsing en de<br />
verpakking van een materiaal.
Een eenvoudige definitie van een machine is de volgende:<br />
Een machine is een mechanisme dat een vorm van beweging of energie in een andere vorm<br />
van beweging of energie kan omzetten.<br />
Typische mogelijke machine-eigenschappen die van invloed zijn op het<br />
veiligheidsrisico zijn:<br />
- Draaiende of anders bewegende onderdelen,<br />
- Grote snelheden<br />
- Grote krachten<br />
- Scherpe delen<br />
- Hete delen<br />
Typische machinegevaren zijn:<br />
- Beknellen van ledematen<br />
- Afrukken van ledematen<br />
- Snijden aan machinedelen<br />
- Branden aan hete oppervlakken<br />
- Geraakt worden door wegspringende onderdelen van product of machine<br />
- Elektrocutie<br />
- Brand<br />
Door het continu functioneren van de machine of het machineproces zijn gevaren constant of<br />
met een relatief hoge frequentie aanwezig. Gevaren ontstaan zodra beveiligingsfuncties niet<br />
(meer) aanwezig zijn. In veel gevallen zijn de gevaren bekend en de risico’s voorspelbaar. In<br />
mindere mate is er sprake van het ontstaan van risico’s veroorzaakt door onvoorspelbare<br />
storingen.<br />
Machine SIFs functioneren daarom vooral in een zogenaamde ‘continuous- of high demand<br />
mode of operation’ .<br />
De gevaareffecten hebben vooral betrekking op personen die direct aan de machine werken<br />
of in de directe nabijheid van de machine aanwezig zijn. Machinerisico’s die groepen<br />
personen treffen mogen niet beveiligd worden door een enkele SIF. Reductie van het<br />
groepsrisico door inherente veiligheidsmaatregelen is hier meer op zijn plaats.<br />
Vaak is het gevaareffect een direct gevolg van een handeling van een persoon en treft het<br />
deze persoon zelf.<br />
Door voorkomende bewegingen op hoge snelheden is het beperken van schade bij een<br />
optredend effect minder goed mogelijk. Ontsnappen aan het gevaar is dan alleen mogelijk<br />
door in te grijpen voordat het gevaar werkelijk optreed.<br />
5.2 De invloed van een procesinstallatie op veiligheid<br />
Typische mogelijke proceseigenschappen die van invloed zijn op de veiligheid:<br />
- Verwerking van stoffen met chemische eigenschappen<br />
- Ontstaan van reacties door het bewerken van stoffen<br />
- Giftige dampen<br />
- Explosie<br />
- Brand<br />
Typische procesgevaren zijn:<br />
- Vrijkomen van giftige, bijtende, brandbare stoffen of dampen<br />
- Vergiftiging<br />
- Verstikking<br />
- Verbranding<br />
- Brandgevaar<br />
- Explosiegevaar
Gevaren kunnen ontstaan door (ver)storingen in het proces. Dergelijke gevaren mogen niet<br />
met een grote frequentie of continu aanwezig zijn. Door onbekende of onverwachte<br />
verstoringen in het proces zijn niet alle gevaren voorspelbaar. Proces SIFs functioneren<br />
vooral in een zogenaamde ‘low demand mode of operation’.<br />
De gevaareffecten kunnen betrekking hebben op personen die in de nabijheid van de<br />
installatie aanwezig zijn, maar ook op grote gebieden rond een fabriek (bijvoorbeeld een<br />
gifgaswolk die een heel woongebied bereikt). Externe veiligheid kan dan ook van toepassing<br />
zijn op procesinstallaties.<br />
Mogelijk kan escalatie van het gevaar worden voorkomen door het tijdig ingrijpen in de<br />
procesvoering. Ook kan er voldoende tijd zijn tussen het signaleren van een storing en het<br />
optreden van de gevaarlijke situatie, waardoor ontsnappen aan het gevaar (evacuatie van<br />
groepen) mogelijk is.<br />
5.3 Verschil in <strong>risicografen</strong> voor de beoordeling van het<br />
veiligheidsrisico van machines en procesinstallaties<br />
Het verschil tussen het mogelijk effect van een machine-incident een proces-incident;<br />
samengevat:<br />
Machine: enkel persoon, vooral risico voor beschadiging ledematen<br />
Proces: groepsrisico mogelijk, risico voor aantasting lichaamsfuncties door<br />
bijvoorbeeld vergiftiging, verstikking of verbranding.<br />
Verschillen in mogelijkheid van optreden gevaar:<br />
Machine: continu aanwezig en ontstaat bij wegvallen beveiliging (high demand mode), kleine<br />
kans om te ontsnappen of het effect te beperken.<br />
Proces: heeft een lage frequentie van optreden (soms jaren) en ontstaat na (ver)storing van<br />
het proces (low demand mode), mogelijk voldoende tijd om te ontsnappen aan het effect, de<br />
schade te beperken of zelfs het gevaar te voorkomen.<br />
Door de verschillen tussen machines en procesinstallaties is het noodzakelijk om voor de<br />
risicobeoordeling van de SIFs verschillende <strong>risicografen</strong> toe te passen. Bijlage C en Bijlage<br />
D laten <strong>risicografen</strong> zien die vooral gericht zijn op de specifieke machine risico’s. Bijlage E is<br />
een risicograaf voor procesinstallaties.<br />
6 Het bepalen van het Safety Integrity- of Performance<br />
Level<br />
met behulp van een risicograaf<br />
De <strong>risicografen</strong> uit de normen maken allemaal gebruik van de definitie risico, als functie van<br />
het effect dat een gevaar kan veroorzaken en de kans dat dit effect ook werkelijk optreedt:<br />
Risico = effect van het gevaar x kans van optreden
Middels de risicograaf worden het effect van het gevaar en de kans dat het effect optreedt<br />
bepaald. De resultante bepaalt de vereiste minimum risicoreductiefactor die de SIF moet<br />
realiseren. Weergegeven als het zogenaamde SIL of PL van de SIF. Een groot risico<br />
ernstige gevolgen en een grote kans van optreden), het donkerrode gebied in Figuur 6, mag<br />
niet middels een enkele SIF worden beveiligd. Het ontwerp dan dusdanig wijzigen dat dit<br />
risico niet voor kan komen. Bij een klein risico (lichte gevolgen en een kleine kans van<br />
optreden), het witte/lichtrode gebied, is het wellicht niet nodig om te beveiligen of kan een<br />
SIF worden ontworpen zonder specifieke risicoreductieeisen.<br />
In de praktijk heeft men de meeste moeite met het bepalen van de kans van optreden van<br />
een gevaareffect. Het meest kritisch te bepalen risico wordt daarom gevormd door een<br />
ernstig effect met een kleine kans van optreden. Mogelijk kan een lagere SIL/PL bepaald<br />
worden door de kans lager in te schalen. In dat geval dient de kans van optreden nauwkeurig<br />
te worden bepaald. Een verkeerde bepaling kan nare gevolgen hebben.<br />
6.1 Het toepassen van een risicograaf voor machines<br />
6.1.1 De keuze van de risicograaf<br />
Voor machines kan worden gekozen uit twee normen: IEC 62061 of IEC 13849. Beide<br />
normen hebben een eigen risicograaf (Bijlage C en Bijlage D). Tabel 4 uit de norm 13849-1<br />
geeft de overeenkomst tussen de Performance Levels uit de norm en de Safety Integrity<br />
Levels uit de normenfamilie 61508 weer:
Met deze tabel zijn de resultaten van de risicobeoordeling van beide normen aan elkaar<br />
gekoppeld. De <strong>risicografen</strong> uit beide normen zouden dan tot hetzelfde resultaat moeten<br />
leiden. In Bijlage G is een risicobeoordeling uitgewerkt voor een machine SIF met gebruik<br />
van de risicograaf uit de norm ISO 13849 en vervolgens nogmaals met de risicograaf uit de<br />
norm IEC 62061. De uitkomst is niet gelijk. De PL is c (SIL 1) terwijl de SIL op 2 (PL d)<br />
uitkomt. Dit verschil in uitkomst wordt voornamelijk veroorzaakt door de beperkte<br />
mogelijkheid in de ISO 13849 risicograaf om de kans van voorkomen en het beperken van<br />
het effect te bepalen.<br />
Om verschil te voorkomen is het van belang om één risicograaf te gebruiken,<br />
voor het bepalen van zowel de SIL en de PL van een SIF.<br />
In de figuur is te zien dat bij de PL het zwaartepunt bij het effect ligt. De kansinvloed is veel<br />
beperkter. Dit wordt mede veroorzaakt doordat de PL maar twee effectgradaties kent:<br />
reversible injury en irreversible injury. De effect (injury)-keuze is eenvoudig. De kansbepaling<br />
is beperkt en relatief eenvoudig (zie ook Bijlage C). Het resultaat is een relatief eenvoudig<br />
toe te passen risicograaf. De mogelijkheden om het risico ook afhankelijk te laten zijn van<br />
menselijke invloeden als bijvoorbeeld training, niveau en gedrag zijn te beperkt bij de PL<br />
risicograaf. Het gevolg kan zijn een onacceptabel lage beveiliging voor het gevaar van<br />
reversibele verwonding of een onnodig zware beveiliging bij gevaar voor irreversibele<br />
verwonding.<br />
De SIL risicograaf laat vooral in het veel voorkomende effectgebied van serieuze<br />
verwondingen (Se 2 en 3) een brede range van SIL klassen zien. Dat houdt in dat de
werkelijke SIL mede bepaald wordt door de ‘kans van voorkomen’ parameters. Dat geeft<br />
meer mogelijkheden om een nauwkeurig afgestemd SIL te bepalen. Zowel voor het bepalen<br />
van het PL als het SIL van een machine is het advies te kiezen voor de risicograaf uit de IEC<br />
62061 norm (Bijlage D).<br />
6.1.2 Bepaling van het effect, de ernst van de gevolgen voor de<br />
gezondheid<br />
De norm kent de volgende gradaties voor het bepalen van de ernst van de gevolgen<br />
voor de gezondheid (Se-Severity factor):<br />
6.1.3 Bepaling van de kans op schade met een bepaalde ernst<br />
De kans dat schade voor de gezondheid met een bepaalde ernst ook daadwerkelijk optreed<br />
is afhankelijk van de volgende drie factoren:<br />
- frequentie en duur van de blootstelling (Fr – frequency)<br />
- mogelijkheid van optreden van een gevaarlijke gebeurtenis (Pr - probability)<br />
- mogelijkheid om de schade te voorkomen of te beperken (Av – avoiding)
Fr - frequentie en duur van de blootstelling<br />
Het inschatten van de frequentie en de duur van de blootstelling kan worden gedaan door<br />
met de volgende aspecten rekening te houden:<br />
- Waarom ben je er - De noodzaak van het verblijf in de gevaarlijke zone (denk niet<br />
alleen aan normale bedrijfsvoering, maar ook aan onderhoud,<br />
reparatie, storing, e.d.).<br />
- Wat doe je er - De aard van de werkzaamheden in de gevaarlijke zone<br />
(bijvoorbeeld toevoegen van materiaal, verwijderen van een afgekeurd<br />
product).<br />
Vervolgens kan de frequentie en de tijdsduur van het scenario worden bepaald en de Frfactor<br />
worden vastgesteld met behulp van onderstaande tabel:<br />
Pr - mogelijkheid van optreden van een gevaarlijke gebeurtenis<br />
De mogelijkheid van optreden van een gevaarlijke gebeurtenis wordt bepaald door:<br />
- De voorspelbaarheid van het gedrag van de machine. Een belangrijke factor hierbij<br />
is de betrouwbaarheid van de componenten, of<br />
- de mogelijk te verwachten menselijke handelingen die kunnen leiden tot een<br />
gevaarlijke situatie.<br />
De Pr-factor kan worden bepaald met onderstaande tabel:
Av - mogelijkheid om de schade te voorkomen of te beperken<br />
De mogelijkheid om de schade te voorkomen of te beperken is afhankelijk van de volgende<br />
factoren:<br />
- Het ontwerp van de machine, waardoor de mogelijkheid ontstaat om gevaar tijdig te<br />
signaleren en te ontwijken.<br />
- Menselijke eigenschappen. Herkent men het gevaar, zodat tijdig ingrijpen mogelijk<br />
is.<br />
Onderstaande tabel geeft de mogelijke Av-factoren weer:
Bijlage A<br />
Lijst met afkortingen<br />
ALARP As low as reasonably practicable; (ALARA - As low as reasonably<br />
achievable)<br />
The ALARP principle recommends that risks be reduced “so far as is<br />
reasonably practicable,” or to a level which is “As Low As Reasonably<br />
Practicable”.<br />
Bevi Besluit Externe Veiligheid Inrichtingen – 2004 (Minister van<br />
Volkshuisvesting, Ruimtelijke Ordening en Milieubeheer).<br />
BRZO Besluit risico’s zware ongevallen - 1999 (Minister van Volkshuisvesting,<br />
Ruimtelijke Ordening en Milieubeheer).<br />
CEN European Committee for Standardization<br />
EN Europese Norm<br />
HSE Health and Safety Executive (Britse veiligheid- en gezondheidsorganisatie<br />
vergelijkbaar met de Arbeidsinspectie)<br />
IEC International Electrotechnical Commission<br />
ISO International Organization for Standardization<br />
NEN Nederlandse Norm<br />
NEN Nederlands Normalisatie Instituut<br />
PL Performance Level<br />
SIL Safety Integrity Level<br />
SIF Safety instrumented function<br />
Safety function with a specified safety integrity level which is necessary to<br />
achieve functional safety and which can be either a safety instrumented<br />
protection function or a safety instrumented control function.<br />
N.B.: Tevens de gekozen afkorting voor automatische veiligheidsfuncties in<br />
dit rapport.<br />
SIS Safety Instrumented System<br />
Instrumented system used to implement one or more safety instrumented<br />
functions. An SIS is composed of any combination of sensor (s), logic<br />
solver (s), and final elements(s).<br />
N.B.: Tevens de gekozen afkorting voor automatische veiligheidssystemen<br />
in dit rapport.<br />
SRCF Safety-Related Control Function<br />
Control function implemented by a SRECS with a specified integrity level<br />
that is intended to maintain the safe condition of the machine or prevent an<br />
immediate increase of the risk(s).<br />
SRECS Safety-Related Electrical Control System<br />
Electrical control system of a machine whose failure can result in an<br />
immediate increase of the risk(s).<br />
SRP/CS Safety-related part of a control system<br />
Part of a control system that responds to safety related input signals and<br />
generates safety related output signals.
Bijlage G Vergelijking risicobeoordeling volgens ISO 13849<br />
en IEC 62061<br />
De machine:<br />
In een installatie die een poedermengsel verwerkt tot een granulaat staat een zeefmolen om<br />
poederdeeltjes te verkleinen en te zeven.<br />
De machine wordt bediend door ervaren en getrainde procesoperators. Het gevaar van de<br />
machine is bekend bij de operators.<br />
Gemiddeld 3x per dag gaat het inspectieluik van de zeefmolen open om te controleren of het<br />
product niet aankoekt aan de molen. De controle duurt maximaal enkele minuten.<br />
Binnen een armlengte kan de molen geraakt worden. De molen draait met hoge snelheid in<br />
de zeef rond. Vingers kunnen worden gegrepen met verlies van vingers en zelfs een deel<br />
van de hand.<br />
Beveiliging:<br />
Het inspectieluik is niet beveiligd. Als het geopend wordt draait de zeefmolen door. De<br />
operators hebben de instructie om de zeefmolen eerst af te schakelen alvorens de<br />
molen te inspecteren.<br />
Risicobeoordeling:<br />
Om het luik te kunnen beveiligen met een SIF wordt het PL bepaald met behulp van de<br />
risicograaf uit de norm ISO 13849 (Bijlage C) en vervolgens het SIL bepaald met behulp van<br />
de risicograaf uit de norm IEC 62061 (Bijlage D).<br />
ISO 13849<br />
S Ernst S2 Vingers en deel van de hand / deel arm kan afgerukt<br />
worden – irreversibel<br />
F Frequentie en/of F1 Cyclische handeling met een gemiddelde frequentie.<br />
blootstelling aan<br />
Tijdsduur van handeling is kort. Het is niet nodig om arm<br />
gevaar<br />
in het apparaat te steken.<br />
P Mogelijkheid<br />
voorkomen of<br />
beperken schade<br />
Resultaat PL c<br />
P1 Mogelijkheid<br />
voorkomen of<br />
beperken schade
IEC 62061<br />
Se Ernst 4 Significant irreversibel – mogelijk verlies meerdere vingers<br />
en zelfs deel van de hand, waardoor het gebruik van de<br />
hand gelimiteerd wordt.<br />
Fr Frequentie en duur<br />
scenario<br />
Pr Mogelijkheid van<br />
optreden gevaarlijke<br />
gebeurtenis<br />
Av Mogelijkheid<br />
voorkomen of<br />
beperken van<br />
schade<br />
Cl Waarschijnlijkheidsklasse<br />
7 = Fr + Pr + Av<br />
Resultaat SIL 2<br />
4 3x per werkdag korter dan 10 minuten<br />
2 Rarely - Omdat alleen gekeken moet worden en niet met<br />
de arm in het gat hoeft te worden gewerkt is de kans dat<br />
iemand zijn arm in het gat steekt erg klein. Omdat het niet<br />
ondenkbaar is dat in een reactie men snel iets uit de zeef<br />
grijpt mag hier niet gekozen worden voor ‘niet mogelijk’<br />
maar voor ‘niet te verwachten’.<br />
1 Voorkomen gevaar mogelijk - hand hoeft niet in het gat<br />
gestoken te worden; alleen kijken. Operators zijn getraind<br />
en ervaren. Gevaar is zichtbaar en herkenbaar. Het is<br />
goed mogelijk om het gevaar te voorkomen.<br />
Volgens onderstaande tabel uit de norm ISO 13849 stelt een PL c classificatie lagere<br />
beschikbaarheideisen aan de SIF dan een SIL 2 classificatie.<br />
In dit voorbeeld stelt de beoordeling met de ISO 13849 risicograaf dus lagere eisen<br />
aan de SIF dan de beoordeling met de IEC 62061 risicograaf .<br />
Dit verschil in uitkomst wordt voornamelijk veroorzaakt door de beperkte mogelijkheid<br />
in de ISO 13849 risicograaf om de kans van voorkomen en het beperken van het effect<br />
te bepalen.
links machineveiligheid<br />
http://wiki.edulab.nl/(S(g215skfbgk4sug55tcf42dua))/links%20industrielle%20veiligheid.ashx