Güvenlik bütünlük seviyesi analizi, değerlendirilmesi ve belirlenmesi
Safety integrity level analysis, assessment and determination
Yazar: TUĞÇE ESENDURAN
Danışman: PROF. DR. SALMAN KURTULAN
İstanbul Teknik Üniversitesi / Fen Bilimleri Enstitüsü / Kontrol ve Otomasyon Mühendisliği Ana Bilim Dalı / Kontrol ve Otomasyon Mühendisliği Bilim Dalı
Derece: Yüksek Lisans, 2018
Konu: Matematik = Mathematics ; Mühendislik Bilimleri = Engineering Sciences

Özet:
Gelişen teknoloji ile hayatımızın her alanında yer alan modern teknik sistemlerin ve güvenlik kritiği olan süreçlerin kontrolünün durmadan artan karmaşıklıkta yapılara dönüşmesinin pek çok nedeni mevcuttur. Bu nedenlerin başında sistemlerin daha az alan kaplaması adına gittikçe küçültülmesine karşın daha çeşitli gereksinimleri yerine getirmesi beklentisidir. Bir diğer neden şirketlerin içinde bulunduğu rekabet ortamında avantajlı duruma geçmek için sistemlerin teknik verimliliğini arttırırken sistem güvenliğini de üst düzeyde sağlamaları gerekliliğidir.
Bir sistemin hata, arıza ve risk durumlarının önceden tespit edilip önlem alınması ya da mümkünse engellenmesi, güvenlik gerekliliklerinin yanı sıra, hem sonradan ortaya çıkacak kötü sonuçları telafi etmek hem de hata oluştuktan sonra neden olacağı daha büyük maddi kayıpların önüne geçmek için gereklidir. Gerçek hayatta ve uygulamalarda bir sistemin bütün hata durumlarından arındırılması tam olarak mümkün ve gerçekçi olmadığı için bir sistemin güvenlik, güvenirlik ve risk kavramlarının sonunda ulaşılan değerler önceden belirlenmiş aralıklarla ifade edilir.
Sistemlere ait güvenlik fonksiyonlarının hata/arıza durumunda işlevlerini belirlenen seviyelerde yerine getirip getirmediğinin bir ölçüsü olarak uluslararası standartlarda kabul gören güvenlik bütünlük seviyeleri olarak ifade edilen SIL değerleri tanımlanmıştır. Güvenlik bütünlük seviyeleri her bir sistem bileşeni için belirli standartlara bağlı olup, bu standartlar IEC, ISO, CENELEC, DIN gibi çeşitli ulusal ve uluslararası kuruluşlar tarafından hazırlanıp kabul görmüştür. Bu standartlar Uluslararası düzeyde en önemlileri olan IEC elektrik ve elektronik konular ile ilgilenirken, ISO mekanik alanında standartları hazırlar. Avrupa kuruluşu olan CENELEC tarafından elektrik elektronik mühendisliği ile ilgili EN standartları hazırlanır. Alman standardizasyon enstitüsü olan DIN ulusal standartları hazırlar. Bu kuruluşlar işbirliği içinde çalışmasının sonucunda EN IEC, EN ISO standartları ortaya çıkar. Bu çalışmada elektrik/elektronik/programlanabilir elektronik sistemlerin fonksiyonel Güvenliği standardı olarak tanımlanan IEC 61508 standardı temel alınarak devam edilecektir.
IEC standartları bir sisteme ait güvenlik derecesini güvenlik bütünlük seviyesi olarak ifade edilen SIL derecesi ile tanımlanır. IEC 61508 içinde dört ayrı seviye olarak ifade edilen SIL seviyeleri belirlenirken sisteme ya da cihaza özgü olasılık değerleri kullanılıp, belirli bir zaman aralığında sistemin hatasız çalışmasının olasılık ölçüsü olan PFD değerini verir.
Söz konusu güvenlik olduğunda, akla gelen diğer ifadeler risk ve güvenilirlik olmaktadır. Bir sistemin güvenli olması aynı zamanda güvenilirliğinin yüksek olmasını ve var olan risk ihtimallerinin düşük olmasını gerektirir. Sistemlerin risk ve güvenilirlik durumlarını irdelemek için bileşenlere ait özel değerler eşliğinde nicel ve nitel bir takım analiz yöntemleri mevcuttur. Bu yöntemler sistemleri bekleyen tehlikeleri ve tehlikelerin sonucunda ortaya çıkan risklerin önceden belirlenip önlem alınmasını ya da en alt seviyeye çekilmesini sağlamaktadır.
Bu çalışmanın ilk bölümünde fonksiyonel güvenlik kavramı, temel güvenlik standartlarından olan IEC 61508 standardında belirlenen SIL kavramı ve güvenlikle ilgili sistem yapısı açıklanmıştır.
Çalışmanın ikinci bölümünde risk ve güvenilirlik ile ilgili kavramlar açıklanıp, konu ile ilgili değişkenler verilerek, alt bölümlerde incelenecek olan analiz metotlarına ilişkin ön hazırlık yapılmıştır. İlerleyen alt başlıklarda risk ve güvenilirlik analizleri için literatürde sık yer alan yöntemlerden (Hata Ağacı Analizi, Güvenilirlik Blok Diyagramı ve Markov Modeli) bahsedilmiştir. Yöntemlerin detaylarına inilerek, özelikle güvenilirlik analizinde yapılan hesaplamalar detaylı bir şekilde anlatılmıştır.
Çalışmanın üçüncü bölümünde IEC 61508 standardında yer alan sistem mimari yapılarından 1oo1, 1oo2, 2oo2 ve 2oo3 için güvenilirlik metotlarının uygulamaları anlatılmıştır. Bir sistemin SIL değerini belirlemek için gereken PFDavg değerine ait hesaplamaları yapmak için gereken formüller verilmiştir. Mimari yapıya göre değişen genel hata ağaçları oluşturulmuş ve analiz edilmiştir. Mimari yapıya göre uygulanması değişkenlik gösteren Markov modelleri oluşturulmuş ve sistem güvenilirliğinin bir ifadesi olan MTTF parametresine ait hesaplamalar Markov modelleri üzerinden çıkarımlar yapılarak ayrı ayrı gösterilmiştir.
Çalışmanın son bölümde ise bir sistem bileşeni için katalog değerleri kullanılarak PFDavg değeri hesaplanmıştır. Elde edilen güvenlik bütünlük seviyesinin mimari yapı değiştirilerek iyileştirilebileceği hesaplamalar ile desteklenerek çalışma tamamlanmıştır. Bunun dışında PFDavg hesaplamalarında kullanılan belirli parametreler üzerinde değişiklikler yapılarak bunların güvenlik bütünlük seviyesine olan etkisi gösterilmiştir.

Abstract:
There are many reasons for the increasingly complicated structures of the modern technical systems and the control of safety critical processes that are with the developing technology included in every field of our lives. One of the major reasons for this is the demand to constantly decrease their space requirement, while widening the range of their capabilities.
The competitive market conditions that the producer companies have to withstand is another reason that is pushing them to increase the technical productivity while holding the system safety levels on the highest esteem. Identifying possible failures, malfunctions and risks of a system in advance and taking precautions or if possible preventing them is a necessity not only to redeem the problematic outcomes that may emerge later on but also to prevent any major economic losses. Since it is not realistic or possible to purge a system from all of its failures in practice or in real life, the calculated values of a system's safety, reliability and risk concepts are expressed in predefined intervals.
Safety-related systems contain one or a number of safety functions that can be activated on demand. If a safety function fails for some reason, it can cause dangerous outcomes in the system. In safety-related systems, the safety function may be obtained through different protective systems such as mechanical, pneumatic or programmable electronics. Safety criteria that must be met by systems and processes are specified in international standards.
These safety standards have been prepared and accepted by various national and international organizations such as IEC, ISO, CENELEC, DIN. These standards have been accepted by TSE in our country.
While IEC, which is one of the most important international standards, concerns itself with electrical and electronic issues; ISO prepares standards for the mechanics field. EN standards regarding electrical and electronic engineering is being prepared by CENELEC, the European organization. DIN, the German Institute of Standards, prepares the national standards. As a result of the co-operation of these organizations, joint standards emerges in the form of EN IEC, EN ISO. This study is based on the IEC 61508 standard. The IEC 61508 standard is regarded as the main standard for providing functional safety in systems built with electrical, electronic and programmable electronic systems. The IEC 61511 standard has been developed specifically for the process industry, based on the IEC 61508 standard.
The IEC 61508 standard defines the safety level of a system in terms of SIL, which is the level of safety integrity. The required SIL grading of a system defines the requirements that a standard system must meet to be a safety system. In IEC 61508, while four different levels of SIL classifications are determined, the system-specific or device-specific probability values are used to calculate the PFD value, which is the probability measure of the system's failure-free operation at a specified time interval and the corresponding SIL value is determined.
When it comes to safety, the first expressions that come to mind are risk and reliability. A system to be safe, the system requires to be high on reliability and low on risk possibilities at the same time. To analyze the risk and reliability of systems, using specific values of the components, quantitative and qualitative analysis methods are available. Risk analysis methods enable systems to anticipate and take precautions against hazards, or to minimize risks to the lowest level possible. When the possible risks in the system are analyzed, the probability of occurrence, consequences and frequency of occurrence are determined to rate them accordingly. If the risk value, which is categorized as unacceptable, tolerable or acceptable risk, falls within the unacceptable range, then it must be reduced to tolerable or acceptable range. Since the reliability of the systems are expressed by the SIL values, in the reliability analysis, the PFD value required to determine the SIL value is calculated by quantitative methods. The failure modes and rates of the products are predetermined and reported by FMDEA analysis in order to make all these calculations and analyzes specified in the standard IEC 61508. These values can be appraised and approved by third parties (such as Exida or TUV) other than the manufacturer.
In the first part of this study, the term functional safety, the term SIL (which is defined in one of the main safety standards, IEC 61508) and the safety related system architecture have been explained.
In the second part of this study, concepts related to risk and reliability are explained and while variables related to the subject are being mentioned, the preliminary preparations are made for the analysis methods to be examined in the sub-sections. The failure analysis method FMEA, risk analysis methods ALARP and risk graph are also introduced briefly in this part. In the following subheadings, the methods (Failure Tree Analysis, Reliability Block Diagram and Markov Model) which are frequently mentioned in the literature for risk and reliability analysis are explained. The steps of these methods, especially the calculations made in reliability analysis are explained in detail.
In the third part of this study, the applications of the reliability methods for the system architecture structures 1oo1, 1oo2, 2oo2 and 2oo3, which are mentioned in IEC 61508 standard, are explained. The formulas needed to calculate the  value which is required to determine the SIL value of a system are given. General failure tree structures varying according to the architectural structure have been created and analyzed. According to the architectural structure, Markov models with varying application are created and calculations of MTTF parameter, which is an expression of system reliability, are shown separately by making deductions from Markov models.
In the last part of the study,  value has been calculated using catalog values for a 1oo1 system created with the actuators. As a result of calculations, SIL level was obtained that differs from the SIL value provided in the catalog. Then, detailed catalog values has been searched to get accurate results. After getting new detailed reference values for the same component, the value of Proof Test Coverage parameter defined as %90. So far, it has been assumed that proof tests is perfect, all the DU faults are revealed by the proof test that means PTC=%100. This is obviously not realistic. However, a proof test with a PTC < 100% is said to be an imperfect proof test or a non-perfect proof test. The lower the PTC, the more imperfect is the proof test. The PTC can therefore be used as a measure of the quality of the proof test. The continuation of section, it has shown that how imperfect proof testing can be included in  calculation formulas. The results have been modified by using formulas for imperfect proof test coverage factor to show its effects on safety integrity level. The study has been completed by demonstrating the safety integrity level (SIL) obtained can be improved by changing the architectural structure from 1oo1 to 1oo2, which is supported by the calculations.