Przyrządowe systemy bezpieczeństwa i SIL: znaczenie pojęć dla przyrządów poziomu

Przyrządowe systemy bezpieczeństwa i SIL: znaczenie pojęć dla przyrządów poziomu

Przetwornik może mieć certyfikowaną zdolność do zastosowania na poziomie SIL, ale jego zakup nie potwierdza osiągniętej nienaruszalności całej funkcji bezpieczeństwa. Funkcja SIF poziomu obejmuje pomiar, logikę, element wykonawczy i wymagane układy pomocnicze. Sprawdź zakres certyfikatu i instrukcję bezpieczeństwa, a następnie zweryfikuj całą funkcję względem jej wymagań bezpieczeństwa.

Pojęcia prostymi słowami

Przyrządowy system bezpieczeństwa realizuje co najmniej jedną funkcję zaprojektowaną do osiągnięcia lub utrzymania określonego stanu bezpiecznego. Jego niezależność od podstawowego systemu sterowania procesem musi odpowiadać właściwemu projektowi i ocenie ryzyka. Może używać diagnostyki podczas ciągłego monitorowania; ukryte niebezpieczne awarie mogą jednak pozostawać do żądania zadziałania lub testu sprawdzającego.

Przyrządowa funkcja bezpieczeństwa (SIF) to jedno konkretne działanie ochronne: „jeśli poziom zbiornika osiągnie wartość bardzo wysoką, zamknij zawór wlotowy”. SIS może realizować jedną lub więcej funkcji SIF.

Wymagany SIL wynika z analizy zagrożeń i ryzyka, nie z katalogu przyrządów. W zastosowaniach procesowych IEC 61511 obejmuje SIL 1–3; IEC 61508 określa również SIL 4. Funkcje o rzadkim przywołaniu używają średniego prawdopodobieństwa niezadziałania na żądanie (PFDavg); funkcje o częstym przywołaniu lub działaniu ciągłym używają innej miary częstości awarii. Nie przenoś deklaracji prawdopodobieństwa dla rzadkiego przywołania na inny tryb pracy.

Dlaczego sam przetwornik nie zapewnia „SIL 2”

Zweryfikuj parametry ilościowe całej SIF, ograniczenia architektury i nienaruszalność systematyczną. Certyfikat urządzenia określa zdolność w podanych warunkach, obejmujących np. architekturę, diagnostykę, pokrycie testami, tryb pracy i okres użytkowania. Architektura bez redundancji nie jest automatycznie wykluczona z SIL 2; decydują właściwe ograniczenia i zweryfikowane parametry.

Dobierz architekturę i organizację testów ze specyfikacji wymagań bezpieczeństwa. Redundancja i głosowanie mogą być potrzebne, ale wprowadzają też zagadnienia awarii wspólnej przyczyny i utrzymania. Dokumentuj dane o awariach, media pomocnicze, założenia napraw, czas odpowiedzi i pokrycie testami, zamiast traktować samą redundancję jako drogę do SIL.

Jak buduje się pętlę ochrony przed przepełnieniem

Klasycznym przykładem jest ochrona zbiornika magazynowego przed przepełnieniem. Wiarygodny projekt oddziela pomiar od ochrony:

Niezależny czujnik. Osobny sygnalizator poziomu bardzo wysokiego lub drugi przetwornik, oddzielony od przetwornika poziomu BPCS, aby awaria pomiaru nie powodowała też utraty ochrony.

Układ logiczny. Sterownik bezpieczeństwa PLC lub certyfikowany przekaźnikowy układ logiczny, oddzielny od sterującego PLC, odbiera sygnał wyłączenia i wydaje polecenie elementowi wykonawczemu.

Element wykonawczy. Wlotowy zawór odcinający z napędem i ustawnikiem dobranymi tak, aby pętla osiągnęła docelowy SIL.

Istotą jest niezależność: poziom do sterowania zbiornikiem i poziom do jego ochrony nie powinny pochodzić z tego samego przyrządu, ponieważ chronimy właśnie przed awarią tego pomiaru.

Testy sprawdzające i ich znaczenie

Testy sprawdzające szukają niebezpiecznych awarii niewykrytych przez diagnostykę. Udokumentowana procedura musi obejmować deklarowane awarie czujnika, przyłącza procesowego, logiki i elementu wykonawczego, z kryteriami zaliczenia i kontrolowanymi obejściami. Wyznacz odstęp i pokrycie ze zweryfikowanego obliczenia bezpieczeństwa oraz instrukcji; ani test coroczny, ani samo wymuszenie wyjścia nie dowodzą automatycznie wymaganej nienaruszalności.

Pytania inżynierów

Pytanie 1. Czym różnią się SIL 1 i SIL 2 w pętli poziomu?

W przybliżeniu rzędem wielkości wymaganego prawdopodobieństwa niezadziałania na żądanie, co zwykle oznacza lepszą diagnostykę urządzeń, krótsze odstępy testów i czasem redundancję. To właściwość pętli, nie urządzenia.

Pytanie 2. Czy przetwornik sterowania może też realizować funkcję bezpieczeństwa?

Tylko jeśli analiza zagrożeń akceptuje wspólny tryb awarii, czego przy ochronie przed przepełnieniem zwykle nie powinna dopuszczać. Standardowy projekt używa niezależnego urządzenia poziomu bardzo wysokiego.

Pytanie 3. Co oznacza „zdolny do SIL 2” w karcie katalogowej?

To warunkowa deklaracja zdolności, której zakres należy ustalić z dokładnego certyfikatu i instrukcji bezpieczeństwa. Przed użyciem w SIF sprawdź wersje sprzętu i oprogramowania, dane o awariach, zdolność systematyczną, architekturę i założenia testów. Nie jest to certyfikat ukończonej instalacji.

Pytanie 4. Czy potrzebuję sterownika bezpieczeństwa PLC?

Dla jednego prostego wyłączenia certyfikowany przekaźnikowy układ logiczny może wystarczyć. Wybór zależy od liczby funkcji, głosowania i wymaganej diagnostyki.

Powiązane poradniki techniczne

• Radarowy przetwornik poziomu w wykonaniu przeciwwybuchowym: czytaj certyfikat, nie samą broszurę
• Konserwacja radarowego przetwornika poziomu: co robić, a na co nie tracić czasu

Omów swoje zastosowanie pomiarowe z METRAVON

Źródła techniczne

• HSE: cykl życia bezpieczeństwa funkcjonalnego