Raven varnostne integritete (SIL)
Če želite zagotoviti, da sistem v primeru nesreče ne bo postal nevaren za ljudi in okolje, ga morate sistematično načrtovati za funkcionalno varnost. Predvsem v kemični industriji so zato specifikacije SIL ključno merilo za projektiranje obratov.
SIL je kratica za Safety Integrity Level (raven varnostne integritete). SIL je mednarodna metrika, ki se uporablja za razvrščanje funkcionalne varnosti sistema. Obstajajo štiri stopnje, od SIL1 do SIL4, ki zahteva najstrožje ukrepe pri največjem tveganju. Konkretno to pomeni, da iz verjetnosti odpovedi sestavnih delov določite točno oceno tveganja , sprejmete ukrepe za zmanjšanje preostalih tveganj , izberete ustrezne naprave in na koncu zagotovite pravilno skladnost s funkcijami SIL v ponavljajočih se preizkusih.
Varnostni standardi SIL
Klasifikacija SIL temelji na dveh mednarodnih standardih: IEC 61508 in IEC 61511.
Osnovni standard je IEC 61508 ("Funkcionalna varnost električnih/elektronskih/programirljivih elektronskih sistemov"). Opisuje oceno tveganja in ukrepe za načrtovanje ustreznih varnostnih funkcij. Zato vsebuje tudi zahteve za posamezne sestavne dele varnostnega tokokroga. Ti vključujejo senzorje, kot so merilniki tlaka, temperature in nivoja polnjenja, ali ocenjevalne in izhodne enote ter avtomatizirane armature.
IEC 61511 ("Funkcionalna varnost – Varnostno-tehnični sistemi za procesno industrijo") velja posebej za procesno avtomatizacijo. Tam gre predvsem za aplikacije z majhnim povpraševanjem in nižjimi zahtevami, ki so v praksi pravilo. V standardu IEC 61511 med drugim najdete merila za izbiro senzorjev in aktuatorjev, na primer glede zanesljivosti delovanja.
Postopek SIL v štirih korakih
Kot ustanovitelj ali lastnik sistema, ki lahko ogrozi zaposlene, prebivalce ali okolje, morate poskrbeti, da bo tveganje čim manjše. Standardi IEC 61508 in 61511 za to predpisujejo štiri bistvene korake:
1. Opredelitev in ocena tveganja: najprej določite ustrezne verjetnosti odpovedi vseh sestavnih delov, od senzorja do nadzornega sistema in aktuatorja – v celotni življenjski dobi sistema.
2. Opredelitev in izvajanje ukrepov: opredelite in uvedite ustrezne ukrepe za zmanjšanje preostalega tveganja.
3. Uporaba ustrezne opreme: predpogoj za uspešno preizkušanje vezja SIL vašega sistema so komponente in sklopi, ki so primerni za ustrezno raven in po potrebi certificirani .
4. Redni pregledi: upravljavec v določenih časovnih presledkih preverja pravilno izpolnjevanje varnostnih funkcij.
1. Opredelitev in ocena tveganja
Kakšna potencialna nevarnost izhaja iz mojega sistema? To je vprašanje, ki si ga mora zastaviti vsak inženir procesnega sistema v kemični industriji. Graf tveganja, ki združuje štiri opredeljene parametre v drevo odločanja v skladu z IEC 61508 in 61511, pomaga odgovoriti na ta vprašanja:
1. Obseg škode (S): kako hude so predvidljive posledice?
2. Verjetnost zadrževanja (F): kako pogosto in kako dolgo se osebe zadržujejo na nevarnem območju?
3. Preprečevanje nevarnosti / preventiva (P): ali lahko preprečim ali omejim dogodek?
4. Verjetnost nastanka (W): kako pogosto naj pričakujem incident?
Izkušnje iz prakse kažejo, da so tveganja, pomembna za varnost, običajno skrita v podrobnostih in se pogosto pokažejo šele med delovanjem. S sistematično analizo lahko takšne šibke točke odkrijete že v fazi načrtovanja. Podpiramo vas pri ocenjevanju tveganja v skladu s smernicami in vam pokažemo, kaj lahko Festo stori za funkcionalno varnost v vašem primeru – bodisi s celovitimi sistemskimi rešitvami, premišljenimi koncepti avtomatizacije ali s posameznimi komponentami. Že v tej fazi se lahko posvetujete z nami.
2. Določitev ukrepov in izvajanje
Sistematična ocena tveganja v vašem obratu pokaže tudi, kateri dejavniki povečujejo zahteve SIL. Nekatere od njih, na primer lokacija proizvodnje, so samoumevne. Drugi so nastavitveni vijaki, ki jih je mogoče obračati.
Najprej je smiselno preveriti verjetnost odpovedi. Zlasti s komponentami, odpornimi proti napakam, in redundantno zasnovanimi sistemi lahko znatno povečate razpoložljivost in zanesljivost. Odvisno od procesa je smiselno imeti celo rešitve, pri katerih je mogoče posamezne komponente preveriti in zamenjati med delovanjem.
Strukturni varnostni ukrepi, kot so sistemi za razbremenitev tlaka, so v vsakem posameznem primeru odvisni od specifične proizvodnje. Načeloma je mogoče razmisliti o tem, kako je mogoče postopke oblikovati tako, da so čim manj tvegani. Sem so vključeni tudi strukturni ukrepi in previdnostni ukrepi, kot so odzračevanje, zaščita pred prekomernim polnjenjem (na primer pri rezervoarjih s kislino) ali betonski plašč (v primeru nevarnosti eksplozije).
Prav tako je priporočljivo izbrati opremo in sestavne dele, ki so se izkazali pri delovanju ter zagotavljajo dolgo in zanesljivo stabilno delovanje sistema. Sem spadajo tudi materiali, odporni proti temperaturi, občutljivi na kisline in zaščiteni pred korozijo. Poleg tega smo razvili standardne rešitve za skoraj vse posamezne procese, ki so se izkazali v kemični in elektrokemični industriji: od ventilskega otoka z integriranim izklopom do zelo varnega krmiljenja 2oo3.
3. Primerne naprave
Iz opredelitve ravni varnostne celovitosti izhaja tudi, da mora zasnova vezja SIL dosegati to raven v vseh posameznih delih. To pomeni: kot inženir potrebujete naprave in komponente z zahtevano primernostjo SIL. Za to so potrebna dokazila:
- Izjava proizvajalca: do stopnje SIL2 proizvajalci sami ocenijo svoje naprave. Pri razvrstitvi SIL1 tehnično oceno opravi neodvisna oseba, pri razvrstitvi SIL2 pa neodvisni oddelek.
- Certifikat: od stopnje SIL 3 mora vsako napravo, ki jo uporabljate v varnostnem krogu, certificirati neodvisna institucija v skladu z IEC 61508. V Nemčiji sta to na primer TÜV ali Exida.
Vse certifikate SIL in izjave proizvajalca za naše izdelke lahko najdete tako, da vnesete vrsto izdelka ali številko dela v zgornje iskanje in na strani s podrobnostmi o izdelku pod "Prenosi in mediji".
4. Redni pregledi
Varnostne funkcije vašega sistema je treba preverjati v rednih časovnih presledkih. To zahtevajo že zakonski predpisi iz Uredbe o industrijski varnosti ali predpisi o preprečevanju nesreč; pod določenimi pogoji veljajo tudi lokalne zakonske zahteve. Glavni namen ponovnega preizkusa SIL je preprečiti telesne poškodbe, materialno škodo in okoljsko škodo, poleg tega pa služi tudi zanesljivosti sistema, saj preprečuje nenačrtovane zastoje, in nenazadnje pravni varnosti inženirjev: v primeru škode lahko ti preizkusi dokažejo, da za okvaro ni kriva oprema ali napake pri načrtovanju.
Intervale med pregledi določi upravljavec. Ocena tveganja se med drugim izvede na podlagi varnostnih parametrov posameznih komponent SIL. Pri načrtovanju so zato trajne rešitve, ki jih je po potrebi mogoče zamenjati brez prekinitve delovanja, izrazita prednost. Z veseljem vam bomo dali časovna priporočila za naše izdelke.
SIL-FAQ: vprašanja in odgovori
Kaj pomenijo kratice v certifikatu SIL?
V podatkovnih listih izdelkov, certifikatih in modelnih izračunih za funkcionalno varnost se uporabljajo številne karakteristične številke in izrazi. Tu so najpomembnejši za izračun SIL:
- λ (stopnja odpovedi ), tu veljajo naslednje dodelitve: S za skupno stopnjo varnih odpovedi, SD za stopnjo varnih prepoznavnih odpovedi, SU za stopnjo varnih nezaznavnih odpovedi, D za skupno stopnjo nevarnih odpovedi, DD za stopnjo nevarnih zaznavnih odpovedi in DU za stopnjo nevarnih nezaznavnih odpovedi.
- Vrste naprav: A je okrajšava za napravo, pri kateri sta bila odpoved vseh uporabljenih sestavnih delov in obnašanje napake dovolj natančno določena, npr. z dokazanim delovanjem. Naprava tipa B pa pomeni, da odpoved vsaj enega uporabljenega sestavnega dela in obnašanje v primeru napake nista dovolj natančno določena.
- HFT (Hardware Failure Tolerance): zmožnost nadaljnjega izvajanja zahtevane funkcije v primeru napak in odstopanj. Pri HFT0 lahko ena sama napaka povzroči izgubo varnostne funkcije (na primer pri povezavah 1oo1). Pri HFT1 pride do izgube varnosti le, če se hkrati pojavita vsaj dve napaki (na primer pri povezavah 1oo2). Pri HFT2 bi se morale hkrati pojaviti vsaj tri napake (na primer pri povezavah 1oo3).
- High Demand: način delovanja z visoko stopnjo zahteve ali neprekinjeno zahtevo po varnostnem sistemu. Deluje neprekinjeno ali se zahteva pogosteje kot enkrat na leto.
- Low Demand: način delovanja z nizko stopnjo zahteve po varnostnem sistemu. Ne sme se sprožiti več kot enkrat na leto.
- MTBF (Mean Time Between Failure): povprečni čas med dvema zaporednima okvarama.
- PFD (Probability of Failure on Demand): verjetnost odpovedi varnostne funkcije pri nizki stopnji zahteve (< 10 zahtev/leto) = Low Demand.
- PFH (Probability of Failure per Hour): verjetnost odpovedi varnostne funkcije pri stalni uporabi (> 10 zahtev/leto) = High Demand.
- SFF (Safe Failure Fraction): delež varnih napak v skupnem številu napak.
Kaj obsega varnostni sistem?
Vezje SIL je praviloma sestavljeno iz treh segmentov:
- Senzorika (na primer merilniki tlaka, temperature in nivoja polnjenja)
- Enota za vrednotenje in izhodna enota (na primer varnostni PLC)
- avtomatizirana armatura, sestavljena iz magnetnega ventila, pogona in armature.
Kako se PFD/PFH porazdelita med podsisteme?
Porazdelitev verjetnosti odpovedi med podsistemi varnostne funkcije je za enokanalne sisteme naslednja – največjo težo ima stopnja odpovedi SD aktuatorjev.
Kje so vrednosti za izračun SIL?
Vse verjetnosti odpovedi, ki jih potrebujete za izračun SIL, najdete v proizvajalčevih izjavah ali certifikatih (označene z modro). Na podlagi tega izračunajte skupno verjetnost odpovedi (vrednosti, označene s sivo) glede na SIL.
Kdaj so potrebna potrdila?
Višja ko je zahtevana stopnja varnosti sistema, višje so zahteve standarda glede neodvisnosti organa, ki ocenjuje funkcionalno varnost. V skladu z IEC 61511 so izjave proizvajalca do SIL2 popolnoma zadostne. Od stopnje SIL3 je potreben certifikat neodvisne organizacije, kot sta TÜV ali Exida.
Raven varnostne integritete – ocenjevalni organ
SIL 1 – samostojna oseba
SIL 2 – neodvisni oddelek
SIL 3 – neodvisna organizacija
SIL 4 – neodvisna organizacija
Kje so certifikati SIL?
Certifikate SIL in izjave proizvajalca SIL za izdelke Festo lahko najdete na strani s podrobnostmi o izdelku v razdelku "Prenosi in mediji", kategorija "Certifikati".
Kako lahko redundantno upravljam aktuatorje?
Katere rešitve za redundanco SIL ponuja Festo?
Festo vam lahko ponudi ustrezno redundantno krmiljenje za vsako varnostno zahtevo:
Redundantni blok NAMUR (1oo2, 2oo2): Blok NAMUR omogoča namestitev dveh magnetnih ventilov s priključno shemo NAMUR, ki sta redundantno povezana prek vmesnika NAMUR. Bloki so na voljo v varni funkciji (1oo2) ali s povečano razpoložljivostjo (2oo2). Prek vmesnika lahko blok namestite neposredno na zasučne pogone. Možna je tudi ločena namestitev s pripadajočimi cevovodi.
Redundantni linijski ventili (1oo2, 2oo2): Festo v teh kompaktnih sistemih uporablja preizkušeno tehnologijo ventilov VOFD. Ventil je redundantno ožičen in zagotavlja redundantno varnostno funkcijo (1oo2) ali večjo razpoložljivost (2oo2) za avtomatizirane armature. S premazom Ematal dobite ventil, ki izpolnjuje najvišje varnostne standarde v procesni tehniki in je odporen proti najtežjim okoljskim pogojem.
Kombinirani ventilski blok (2oo3): sistem 2oo3 združuje obe tehnologiji in tako zagotavlja največjo varnost in razpoložljivost. Ta ventilski blok je linijska različica, ki je vgrajena v sistem po ceveh. Vgrajeni standardni ventili so določeni prek vmesnika NAMUR v skladu z VDI/VDE 3845 in nameščeni na blok. To pomeni: blok se namesti enkrat, le ventili se zamenjajo prek vmesnika v skladu z načrtom življenjske dobe / varnostnega življenjskega cikla. Poleg tega lahko s tem sistemom obidete funkcije štirih ventilov, tako da lahko vzdrževanje opravljate med delovanjem. Prikazovalniki tlaka, nameščeni neposredno na bloku, z enim samim pogledom zanesljivo sporočajo, ali je na ventilu prisoten tlak.
Kdo bi moral to vedeti?
Preden se odločite za Festo, pridobite mnenja strokovnjakov. Naše predloge rešitev in primere uporabe lahko enostavno posredujete: s to povezavo.