Inglês
Chinês
Espanhol
Russo
Francês
Alemão
Indonésio
Tailandês
Vietnamita
Árabe
Italiano
Turco
Polonês
Japonês
Sistemas instrumentados de segurança e SIL: significado para instrumentos de nível
Um transmissor pode ter capacidade SIL certificada, mas a sua compra não estabelece a integridade alcançada por uma função de segurança completa. Uma SIF de nível inclui deteção, lógica, elemento final e os serviços auxiliares necessários. Verifique o âmbito do certificado e o manual de segurança e, em seguida, verifique a função completa face aos seus requisitos de segurança.
O vocabulário, em termos simples
Um sistema instrumentado de segurança implementa uma ou mais funções de segurança concebidas para atingir ou manter um estado seguro definido. A sua independência face ao sistema básico de controlo do processo tem de satisfazer o projeto e a avaliação de risco aplicáveis. Pode utilizar diagnósticos durante a monitorização contínua; ainda assim, podem subsistir falhas perigosas latentes até ocorrer uma solicitação ou um ensaio de prova.
Uma função instrumentada de segurança (SIF) é uma ação protetora específica: "se o nível do tanque atingir o limite alto-alto, fechar a válvula de entrada". Um SIS pode implementar uma ou mais SIF.
O SIL exigido resulta da avaliação de perigos e riscos, não do catálogo do instrumento. Nas aplicações de processo, a IEC 61511 abrange SIL 1–3; a IEC 61508 também define SIL 4. As funções de baixa solicitação utilizam a probabilidade média de falha sob solicitação (PFDavg); as funções de alta solicitação ou contínuas utilizam outra métrica de frequência de falhas. Não transfira uma alegação de probabilidade em baixa solicitação para outro modo de operação.
| Termo | Significado | Origem da confusão |
|---|---|---|
| SIS | Todo o sistema de segurança | Não é o mesmo que o sistema de controlo |
| SIF | Uma ação protetora | Uma malha, não um instrumento |
| SIL | Fiabilidade da SIF | Aplica-se à malha, não ao dispositivo |
| BPCS | Sistema de controlo normal | Não é um sistema de segurança |
Por que um transmissor, por si só, não pode ser "SIL 2"
Verifique o desempenho quantitativo, as restrições de arquitetura e a integridade sistemática de toda a SIF. O certificado de um dispositivo especifica capacidade sob condições declaradas, que podem incluir arquitetura, diagnósticos, cobertura dos ensaios de prova, modo de operação e vida útil. Uma arquitetura sem redundância não está automaticamente excluída de SIL 2; são as restrições aplicáveis e o desempenho verificado que decidem.
Escolha a arquitetura e as condições de ensaio a partir da especificação dos requisitos de segurança. A redundância e a votação podem ser necessárias, mas também introduzem questões de causa comum e manutenção. Documente os dados de falhas, as utilidades de apoio, os pressupostos de reparação, o tempo de resposta e a cobertura dos ensaios de prova, em vez de tratar a redundância, por si só, como meio de alcançar um SIL.
Como se constitui uma malha de proteção contra sobreenchimento
O exemplo clássico é a proteção contra sobreenchimento de um tanque de armazenamento. Um projeto consistente separa a medição da proteção:
Sensor independente. Um interruptor dedicado de nível alto-alto, ou um segundo transmissor, separado do transmissor de nível do BPCS, para que uma falha da medição não provoque também a falha da proteção.
Unidade lógica de segurança. Um PLC de segurança ou uma unidade lógica de relés certificada que funciona separadamente do PLC de controlo, recebe o sinal de disparo e comanda o elemento final.
Elemento final. A válvula de corte da entrada, com atuador e posicionador especificados para que a malha alcance o SIL pretendido.
A independência é essencial: o instrumento de nível utilizado para operar o tanque e o utilizado para o proteger não devem ser o mesmo, porque o modo de falha contra o qual se pretende proteger é precisamente uma falha dessa medição.
Ensaios de prova e a sua importância
Os ensaios de prova procuram falhas perigosas não reveladas pelos diagnósticos. O procedimento documentado tem de cobrir as falhas do sensor, da ligação ao processo, da lógica e do elemento final abrangidas pela alegação, com critérios de aprovação e condições controladas de inibição temporária. Determine o intervalo e a cobertura a partir do cálculo de segurança verificado e dos manuais de segurança; nem um ensaio anual nem uma saída forçada, por si só, demonstram automaticamente a integridade exigida.
Perguntas dos engenheiros
P1. Qual é a diferença entre SIL 1 e SIL 2 numa malha de nível?
Aproximadamente uma ordem de grandeza na probabilidade de falha sob solicitação exigida, o que normalmente implica melhores diagnósticos dos dispositivos, intervalos mais curtos entre ensaios de prova e, por vezes, redundância. É uma propriedade da malha, não do dispositivo.
P2. Posso utilizar o transmissor de controlo também para a função de segurança?
Só se a análise de perigos aceitar o modo de falha partilhado, o que normalmente não deveria acontecer na proteção contra sobreenchimento. O projeto habitual utiliza um dispositivo alto-alto independente.
P3. O que significa "capaz de SIL 2" numa ficha técnica?
É uma alegação de capacidade condicionada, cujo âmbito tem de ser estabelecido pelo certificado exato e pelo manual de segurança. Verifique as versões de equipamento e software, os dados de falhas, a capacidade sistemática, a arquitetura e os pressupostos de ensaio antes de utilizar o dispositivo numa SIF. Essa alegação não certifica a instalação concluída.
P4. Preciso de um PLC de segurança?
Para um único disparo simples, pode bastar uma unidade lógica de relés certificada. A escolha depende do número de funções, da votação e dos diagnósticos exigidos.
Guias técnicos relacionados
- Transmissor de nível por radar à prova de explosão: ler o certificado, não o folheto
- Manutenção de transmissores de nível por radar: o que fazer e o que é desnecessário
Discuta a sua aplicação de medição com a METRAVON
