Sistemi strumentati di sicurezza e SIL: che cosa significano per gli strumenti di livello

Sistemi strumentati di sicurezza e SIL: che cosa significano per gli strumenti di livello

Un trasmettitore può avere una capacità SIL certificata, ma acquistarlo non dimostra l’integrità raggiunta da una funzione di sicurezza completa. Una SIF di livello comprende rilevamento, logica, elemento finale e servizi di supporto necessari. Verificare campo di validità del certificato e manuale di sicurezza, poi verificare l’intera funzione rispetto ai suoi requisiti di sicurezza.

La terminologia, in parole semplici

Un sistema strumentato di sicurezza attua una o più funzioni di sicurezza progettate per raggiungere o mantenere uno stato sicuro definito. La sua indipendenza dal sistema di controllo di processo di base deve soddisfare il progetto e la valutazione del rischio applicabili. Può usare diagnostica durante il monitoraggio continuo; guasti pericolosi latenti possono comunque persistere fino a una richiesta di intervento o a una prova periodica di verifica.

Una funzione strumentata di sicurezza (SIF) è una specifica azione protettiva: «se il livello del serbatoio raggiunge la soglia altissima, chiudere la valvola di ingresso». Un SIS può attuare una o più SIF.

Il SIL richiesto deriva dalla valutazione dei pericoli e del rischio, non dal catalogo dello strumento. Nelle applicazioni di processo IEC 61511 tratta i SIL 1–3; IEC 61508 definisce anche il SIL 4. Le funzioni a bassa domanda usano la probabilità media di guasto su richiesta (PFDavg); quelle ad alta domanda o continue usano una diversa metrica di frequenza dei guasti. Non trasferire una dichiarazione di probabilità a bassa domanda a un altro modo operativo.

Perché un trasmettitore da solo non può essere «SIL 2»

Verificare prestazioni quantitative, vincoli architetturali e integrità sistematica dell’intera SIF. Il certificato di un dispositivo specifica la capacità a determinate condizioni, che possono comprendere architettura, diagnostica, copertura delle prove periodiche di verifica, modo operativo e vita utile. Un’architettura non ridondante non è automaticamente esclusa dal SIL 2: decidono i vincoli applicabili e le prestazioni verificate.

Scegliere architettura e modalità di prova dalla specifica dei requisiti di sicurezza. Ridondanza e logiche di voto possono essere necessarie, ma introducono anche considerazioni sulle cause comuni e sulla manutenzione. Documentare dati di guasto, servizi ausiliari, ipotesi di riparazione, tempo di risposta e copertura delle prove periodiche, senza presumere che la sola ridondanza permetta di raggiungere un SIL.

Come si realizza un circuito di protezione dal troppo pieno

L’esempio classico è la protezione dal troppo pieno di un serbatoio di stoccaggio. Un progetto credibile separa la misura dalla protezione:

Sensore indipendente. Un interruttore di livello altissimo dedicato, o un secondo trasmettitore, separato dal trasmettitore di livello del BPCS, affinché un guasto della misura non comprometta anche la protezione.

Unità logica. Un PLC di sicurezza o un’unità logica a relè certificata, separati dal PLC di controllo, che ricevono il segnale di intervento e comandano l’elemento finale.

Elemento finale. La valvola di intercettazione dell’ingresso, con attuatore e posizionatore specificati affinché il circuito raggiunga il SIL obiettivo.

Il punto centrale è l’indipendenza: il livello usato per gestire il serbatoio e quello usato per proteggerlo non dovrebbero provenire dallo stesso strumento, perché il modo di guasto da cui ci si protegge è proprio il guasto di quella misura.

Prove periodiche di verifica: perché contano

Le prove periodiche di verifica cercano guasti pericolosi non rilevati dalla diagnostica. La procedura documentata deve coprire i guasti dichiarati di sensore, attacco al processo, logica ed elemento finale, con criteri di accettazione e modalità controllate di esclusione temporanea. Determinare intervallo e copertura dal calcolo di sicurezza verificato e dai manuali di sicurezza; né una prova annuale né la sola forzatura dell’uscita dimostrano automaticamente l’integrità richiesta.

Domande degli ingegneri

D1. Qual è la differenza tra SIL 1 e SIL 2 per un circuito di livello?

Circa un ordine di grandezza nella probabilità di guasto su richiesta prescritta, il che comporta tipicamente diagnostica migliore dei dispositivi, intervalli più stretti tra prove periodiche e talvolta ridondanza. È una proprietà del circuito, non del dispositivo.

D2. Posso usare il trasmettitore di controllo anche per la funzione di sicurezza?

Solo se l’analisi dei pericoli accetta il modo di guasto condiviso, cosa che normalmente non dovrebbe avvenire per la protezione dal troppo pieno. Il progetto abituale usa un dispositivo indipendente di livello altissimo.

D3. Che cosa significa «idoneo per SIL 2» in una scheda tecnica?

È una dichiarazione di capacità soggetta a condizioni, il cui campo di validità va ricavato dal certificato e dal manuale di sicurezza esatti. Verificare versioni hardware e software, dati di guasto, capacità sistematica, architettura e ipotesi di prova prima di usare il dispositivo in una SIF. Non certifica l’installazione completata.

D4. Serve un PLC di sicurezza?

Per un singolo intervento semplice può bastare un’unità logica a relè certificata. La scelta dipende da numero di funzioni, logiche di voto e diagnostica richiesta.

Guide tecniche correlate

• Trasmettitore di livello radar con protezione contro le esplosioni: leggere il certificato, non il depliant
• Manutenzione dei trasmettitori di livello radar: che cosa fare e quali interventi evitare

Discutete la vostra applicazione di misura con METRAVON

Riferimenti tecnici

• HSE: ciclo di vita della sicurezza funzionale