Comprensione delle misure di sicurezza ridondanti

Le raffinerie di petrolio trasformano il petrolio grezzo in prodotti essenziali come benzina, diesel, carburante a getto e mangimi petrolchimici. I processi coinvolti - distillazione, cracking, riforma e trattamento - operano ad alte temperature e pressioni e maneggiano materiali infiammabili, tossici e esplosivi.

La ridondanza nell'ingegneria della sicurezza va oltre la semplice duplicazione delle attrezzature. Si tratta di creare “difesa in profondità”, dove le barriere sono indipendenti, diverse (tecnologie o principi diversi), e fisicamente separate per evitare guasti causali comuni. Ad esempio, un livello primario di protezione potrebbe essere un sistema di controllo del processo che mantiene i parametri operativi entro limiti sicuri.

Il concetto di ridondanza si applica non solo all'hardware ma anche alle procedure, ai percorsi di comunicazione e alle azioni umane. Ad esempio, una procedura operativa critica può essere sostenuta da uno interblocco automatico, e un'orologio da fuoco può essere completato da un sistema di rilevamento automatico. L'obiettivo è quello di ridurre il rischio ad un livello che è così basso come ragionevolmente praticabile (ALARP), come richiesto da regolamenti e standard del settore.

Tipi chiave dei sistemi di sicurezza ridondanti

Una moderna raffineria petrolifera impiega una vasta gamma di sistemi di sicurezza ridondanti, ciascuno progettato per affrontare rischi specifici. La tabella seguente riassume le categorie più critiche, ma le sezioni seguenti dettagliano ogni tipo.

Protezione contro la pressione e la sovrapressione

Se un recipiente, un tubo o un reattore supera la sua pressione di progettazione, può rompersi, rilasciando grandi quantità di materiale infiammabile o tossico. Per evitare questo, le raffinerie installano più valvole di pressione di rilievo (PRVVS) a punti chiave. Queste valvole si aprono a una pressione impostata per sfogare il liquido in eccesso in modo sicuro ad un sistema di flare o a un serbatoio di cattura.

I progetti moderni seguono spesso API Standard 520 e 521, che richiedono che i sistemi di soccorso siano dimensionati per lo scenario peggiore, tra cui l'esposizione al fuoco, l'insufficienza di acqua di raffreddamento o la perdita di potenza.

Sistemi di arresto di emergenza

Un sistema di arresto di emergenza (ESD) è un sistema di sicurezza (SIS) che isola automaticamente le apparecchiature, ferma le pompe, chiude le valvole e deprime il processo a uno stato sicuro quando viene rilevata una condizione pericolosa. I sistemi ESD sono tipicamente separati dal sistema di controllo di processo di base (BPCS) per evitare errori di causa comune.

Oltre all'ESD automatico, le raffinerie hanno stazioni di arresto manuale di emergenza situate in punti strategici, in modo che gli operatori possano avviare un arresto se osservano un rischio in evoluzione.

Rilevamento del fuoco e del gas e soppressione

I sistemi di rilevamento ridondanti combinano più tipi di sensori: rilevatori di fiamma, rilevatori di calore, rilevatori di fumo e rilevatori di gas (per gas infiammabili e tossici) per garantire un allarme precoce. Ad esempio, un rilevatore di fiamma può essere abbinato a un rilevatore di gas in una disposizione di voto per ridurre falsi allarmi mantenendo alta sensibilità.

I sistemi di compressione sono anche strati. I sistemi di schiuma fissi, gli irrigatori del diluvio, i sistemi chimici a secco e le inondazioni di gas inerte sono utilizzati a seconda del pericolo. In aree critiche come le viuzze di pompa o le portanti di carico del prodotto, possono essere installati due sistemi di soppressione indipendenti. Se il sistema primario è disabilitato da un'esplosione iniziale o da un incendio, il sistema secondario può ancora attivare.

Sistemi di alimentazione e utilità di backup

Gli alimentatori ridondanti includono più generatori diesel, alimentatori ininterrotti (UPS) per sistemi di controllo e sicurezza e banche di batterie. Queste fonti di backup sono progettate per funzionare per periodi prolungati e sono regolarmente testate sotto carico. Inoltre, gli strumenti critici e le valvole hanno spesso posizioni "fail-safe" che non sono conformi a uno stato sicuro anche senza alimentazione (ad esempio valvole a molla).

Se l'alimentazione primaria dell'aria non riesce, un serbatoio di riserva di emergenza può mantenere l'azione della valvola di controllo per diversi minuti, permettendo al sistema ESD di chiudere in modo sicuro il processo.

Il ruolo della ridondanza nel prevenire i fallimenti catastrofici

La ridondanza si rivolge direttamente a due modalità di guasto fondamentali: guasti a singolo punto e guasti a causa comune. Un guasto a un punto si verifica quando il fallimento di un componente — un sensore, una valvola o un controller — si traduce in una perdita di funzione di sicurezza.

Senza queste misure, il paesaggio di rischio di una raffineria è dominato da eventi di alta sicurezza, a bassa probabilità che possano derivare da un difetto apparentemente minore. Il disastro Deepwater Horizon nel 2010 illustra la conseguenza di una insufficiente ridondanza in un sistema di controllo del povertà (BOP) del sistema di controllo del pod del controllo.

Analogamente, l'esplosione di raffineria del Texas City del 2005, che ha ucciso 15 lavoratori, è stata in parte attribuita alla mancanza di strumentazione di livello ridondante in una torre di scissione rafinata.Gli operatori si sono affidati a un trasmettitore di livello unico che ha dato false letture durante l'avvio.

Lezioni di incidenti maggiori

L'esame di incidenti storici fornisce una prova potente per il motivo per cui le misure di sicurezza ridondanti sono indispensabili.

Exxon Valdez (1989): Mentre in primo luogo un incidente petrolifero, la fuoriuscita ha rivelato debolezze nella pianificazione della supervisione ridondante e della contingenza. La nave non ha un sistema di navigazione di backup completamente indipendente e aveva un solo guardiano in servizio al momento. In un contesto di raffineria, la lezione si applica alla necessità di barriere multiple e indipendenti contro l'errore dell'operatore, come errori di rimozione.
Deepwater Horizon (2010): Lo stack BOP aveva due raggi di taglio ciechi progettati per tagliare il tubo di perforazione e sigillare il pozzo, ma entrambi non sono riusciti a sigillare a causa di problemi con i loro sistemi idraulici e i backup della batteria. Il sistema di scollegamento di emergenza ha anche mancato la ridondanza nei suoi circuiti di attivazione.
L'unità ISOM non ha ricevuto trasmettitori di livello ridondanti e un allarme indipendente di alto livello. L'indicatore di livello è stato letto male durante l'avvio, portando a sovrariempire, sovrappressione e un geyser di idrocarbonio che ha acceso.
BP Grangemouth (2013): Un incendio e un'esplosione si verificarono quando una pompa subì un guasto di tenuta. Il sistema di rilevazione incendio della pianta non riuscì a funzionare correttamente a causa della mancanza di ridondanza nel sistema di di diluvio delle acque di fuoco, la pompa di fuoco principale non fu in grado di funzionare correttamente.

Questi incidenti non sono isolati. Il database della CSB mostra che molti incidenti di raffineria comportano un fallimento a un punto singolo che potrebbe essere stato impedito da un secondo strato indipendente di protezione. Le migliori pratiche sviluppate dopo questi eventi, come l'implementazione della SIS con logica di voto, utilizzando sistemi di controllo e sicurezza separati e l'esecuzione dello strato di analisi della protezione, derivano direttamente dalla necessità di ridondanza.

Standard regolamentari e di settore che governano la ridondanza

Diversi organismi normativi e organizzazioni industriali hanno stabilito norme che il mandato o raccomandano vivamente misure di sicurezza ridondanti nelle raffinerie petrolifere.Il rispetto di tali norme non è solo un requisito legale, ma anche una pietra angolare del funzionamento responsabile.

  • Gestione della sicurezza del processo di OSHA (PSM) 29 CFR 1910.119: Lo standard PSM dell'amministrazione del lavoro e della sicurezza degli Stati Uniti richiede ai datori di lavoro di eseguire analisi dei rischi di processo (PHA) e di implementare le garanzie contro i rischi principali.
  • API Pratiche Raccomandate (ad esempio, API RP 752, API RP 553, API 520/521):[] L'American Petroleum Institute pubblica numerose pratiche raccomandate che specificano i criteri di progettazione e operativi per i sistemi di sicurezza.
  • IEC 61511 / ISA-84: Questo standard internazionale per la sicurezza funzionale dei sistemi strumentali di sicurezza richiede un approccio sistematico per determinare i livelli di integrità della sicurezza (SIL) e implementare architetture ridondanti (ad esempio, 1oo2, 2oo3) per soddisfare la riduzione del rischio di destinazione.
  • Direttiva UE SEVESO III:[ In Europa, le strutture che gestiscono grandi quantità di sostanze pericolose devono avere rapporti di sicurezza che dimostrano più strati di protezione. La ridondanza è un elemento chiave per dimostrare che i principali rischi di incidente sono controllati.

Questi standard sono regolarmente aggiornati in base alle lezioni apprese dagli incidenti. Ad esempio, dopo Deepwater Horizon, API ha creato RP 96 per i requisiti di progettazione e ridondanza delle acque profonde e BOP.

Sfide nell'attuazione delle misure di sicurezza ridondanti

Nonostante i vantaggi chiari, la progettazione, l'installazione e il mantenimento di sistemi di sicurezza ridondanti presenta diverse sfide, la comprensione di questi ostacoli è fondamentale per una efficace attuazione.

Costo e Capitale Spese:[ I sistemi ridondanti aumentano in modo significativo i costi di marcia – sensori aggiuntivi, valvole, risolutori di logica, alimentatori e tubazioni richiedono tutti gli investimenti. Per le raffinerie più vecchie, i sistemi di sicurezza ridondanti possono comportare arresti importanti e modifiche ingegneristiche. Tuttavia, il costo di un singolo incidente importante spesso nani questi investimenti.

Complessità di manutenzione:[ I sistemi ridondanti richiedono una manutenzione più frequente e attenta. Ad esempio, una configurazione 2oo3 significa che tre sensori devono essere calibrati, testati e documentati. Se la manutenzione è scarsa, la ridondanza può degradare, creando un falso senso di sicurezza. Le organizzazioni devono avere programmi di manutenzione robusti e monitorare le prestazioni storiche delle apparecchiature di sicurezza.

False Alarms and Spurious Trips:[ Troppi sensori ridondanti possono portare ad un aumento dei viaggi spuriosi (chiusura non voluta) se la logica di voto non è adeguatamente progettata.

Fattori e Formazione Umani:[[] I sistemi ridondanti devono essere compresi dagli operatori e dal personale di manutenzione. Se gli operatori non si fidano della ridondanza o la sovrascrivano in modo errato, la protezione è persa. La formazione deve coprire il funzionamento dei sistemi ridondanti, come rispondere agli allarmi da più strati, e l'importanza di non disabilitare i sistemi di sicurezza per convenienza.

Rischio comune-perché guasti: Anche con separazione fisica e diversità, alcuni errori di causa comune rimangono difficili da eliminare. Esempi includono bug di software in identici risolutori di logica, errori di progettazione in componenti standard, o problemi organizzativi come procedure inadeguate.

Gestione del ciclo di vita:[] Mentre le raffinerie si evolvono con nuove aggiunte o modifiche di processo, i sistemi di sicurezza ridondanti originali potrebbero essere aggiornati.

Migliori Pratiche per una ridondanza efficace

Per massimizzare i benefici delle misure di sicurezza ridondanti, le raffinerie dovrebbero adottare le seguenti migliori pratiche, tratte dall'esperienza industriale e dalla guida normativa.

  • Condurre un livello di analisi della protezione sufficiente (LOPA): LOPA identifica gli eventi inizianti, gli strati di protezione indipendente (IPL) che possono prevenirli, e la riduzione del rischio richiesta.Questa analisi determina dove è necessario ridondanza e a quale livello SIL.
  • Progetto per l'indipendenza e la diversità:[ Assicurarsi che i componenti ridondanti siano veramente indipendenti—fornimenti di alimentazione separati, posizioni fisiche separate, percorsi di cablaggio separati e sistemi di drenaggio separati.
  • Implement Proven Voting Architectures:[ Per SIS, utilizzare 2ooo3 o 1oo2D (diagnostico) votando per raggiungere alta affidabilità riducendo i viaggi spuri.
  • Integrate Passive and Active Systems:[ La ridondanza dovrebbe includere sia sistemi attivi (sensori, controllori, valvole) che sistemi passivi (ad esempio, ignifughi, pareti di sabbiatura, dighe).
  • Perform Regular Proof Testing:[ I sistemi di sicurezza ridondanti si degradano nel tempo a causa di usura, corrosione e deriva. Il test di prova ad intervalli basati sulla velocità di guasto di destinazione (ad esempio, ogni anno o ogni tre anni) è essenziale per verificare che ogni strato funzioni ancora.
  • Mantenere una forte cultura di sicurezza:[ La ridondanza nell'hardware non può compensare una cultura che ignora i segnali di avvertimento o bypassa i sistemi di sicurezza. Le raffinerie devono incoraggiare la segnalazione di quasi-missili, fornire una formazione adeguata e garantire che la gestione presti la sicurezza sulla produzione.
  • Document and Manage Changes Rigorosamente:[ Qualsiasi modifica del processo o del sistema di sicurezza deve passare attraverso una gestione del processo di cambiamento (MOC) che rivaluta l'adeguatezza degli strati ridondanti.

Tendenze future nella sicurezza e ridondanza della raffineria

L'evoluzione della tecnologia digitale e dell'analisi dei processi sta portando nuovi approcci alla sicurezza ridondante.

Digital Twins and Predictive Analytics: Con la creazione di una replica digitale in tempo reale della raffineria, gli operatori possono simulare scenari di guasto e testare la risposta di sistemi ridondanti senza influire sull'impianto reale.

Reti Sensori Avanzati e Ridistribuzione Wireless:[ I sensori wireless possono fornire misurazioni di backup per parametri critici, indipendenti dal sistema di controllo cablato. Questo aggiunge uno strato di diversità e possono essere installati in impianti esistenti più convenientemente. Tuttavia, la sicurezza informatica e l'alimentazione per reti wireless devono essere affrontati per evitare nuove vulnerabilità.

Sistemi di sicurezza passivi:[] Le innovazioni nei materiali e nel design portano a sistemi di protezione più passivi che non richiedono alcuna attivazione, come valvole di risanamento autoapertura, tetti frangibili su serbatoi di stoccaggio e rivestimenti passivi anti-incendio, che riducono intrinsecamente la dipendenza dalla ridondanza attiva.

Diagnostica automatica e Auto-Testing:[ Modern SIS incorporano la diagnostica online che controlla continuamente la salute dei sensori e degli elementi finali. Se un componente non riesce, il sistema può riconfigurare automaticamente la sua logica di voto (ad esempio, passare da 2o3 a 1oo2) per mantenere la sicurezza durante la manutenzione di avviso.

Interfacce Umano-Macchina migliorate:[] Visualizza che mostrano lo stato di ogni strato ridondante in tempo reale aiutano gli operatori a capire quando una barriera è stata compromessa e prendere un'azione correttiva tempestiva.

Mentre queste tendenze tengono promessa, inoltre, introducono nuove sfide, soprattutto per quanto riguarda la sicurezza informatica, l'integrità dei dati e la complessità della ridondanza basata sul software.

Conclusioni

Le misure di sicurezza ridondanti non sono un lusso o una cassetta di controllo per la conformità alle normative, sono la colonna portante delle operazioni sicure nelle raffinerie petrolifere. La natura pericolosa della raffinazione richiede più strati indipendenti di protezione che possono sopportare errori umani, guasti alle apparecchiature, perdita di energia e eventi estremi imprevisti.

I sistemi di controllo, come OSHA PSM, API standards e IEC 61511, forniscono una solida base, ma la conformità da sola non è sufficiente. Le raffinerie devono coltivare una cultura di miglioramento continuo, test rigorosi e gestione dei rischi proattivi. Le tecnologie emergenti dei gemelli digitali, analisi avanzate e sistemi di sicurezza passiva offrono nuove opportunità per migliorare la ridondanza, ma devono essere integrate con metodi collaudati.