Приборные системы безопасности и SIL: значение терминов для уровнемеров

Приборные системы безопасности и SIL: значение терминов для уровнемеров

Преобразователь может иметь сертифицированную пригодность для SIL, но его покупка не определяет достигнутую полноту безопасности всей функции. Функция уровня SIF включает измерение, логику, конечный элемент и необходимые вспомогательные системы. Проверьте область действия сертификата и руководство по безопасности, затем подтвердите соответствие всей функции её требованиям безопасности.

Термины простыми словами

Приборная система безопасности реализует одну или несколько функций, предназначенных для достижения или поддержания заданного безопасного состояния. Её независимость от базовой системы управления процессом должна соответствовать применимому проекту и оценке риска. При непрерывном контроле она может использовать диагностику; скрытые опасные отказы всё же могут оставаться до запроса на срабатывание или проверочного испытания.

Приборная функция безопасности (SIF) — конкретное защитное действие: «если уровень в резервуаре достигнет предельно высокого значения, закрыть входной клапан». Система SIS может реализовать одну или несколько функций SIF.

Требуемый SIL определяется анализом опасностей и риска, а не каталогом приборов. В технологических применениях IEC 61511 рассматривает SIL 1–3; IEC 61508 также определяет SIL 4. Для функций с низкой частотой запросов используют среднюю вероятность отказа при запросе (PFDavg); для функций с высокой частотой запросов или непрерывным действием — другой показатель частоты отказов. Нельзя переносить заявление о вероятности для редких запросов на другой режим работы.

Почему один преобразователь сам по себе не обеспечивает «SIL 2»

Проверьте количественные показатели всей SIF, архитектурные ограничения и систематическую полноту безопасности. Сертификат прибора задаёт пригодность при определённых условиях, включая архитектуру, диагностику, охват проверочными испытаниями, режим работы и полезный срок службы. Архитектура без резервирования не исключается автоматически из SIL 2; решение определяют применимые ограничения и подтверждённые показатели.

Выбирайте архитектуру и порядок испытаний по спецификации требований безопасности. Могут понадобиться резервирование и логика голосования, но они также требуют учёта отказов по общей причине и обслуживания. Документируйте данные об отказах, вспомогательные ресурсы, допущения о ремонте, время реакции и охват испытаниями, не считая одно резервирование способом достижения SIL.

Как строится контур защиты от переполнения

Классический пример — защита резервуара хранения от переполнения. Обоснованный проект разделяет измерение и защиту:

Независимый датчик. Отдельный сигнализатор предельно высокого уровня или второй преобразователь, независимый от уровнемера BPCS, чтобы отказ измерения не вызывал одновременно отказ защиты.

Логическое решающее устройство. Контроллер безопасности PLC или сертифицированное релейное логическое устройство, отдельное от управляющего PLC, принимает сигнал отключения и подаёт команду конечному элементу.

Конечный элемент. Входной отсечной клапан с приводом и позиционером, выбранными так, чтобы контур достигал требуемого SIL.

Суть именно в независимости: управление резервуаром и его защита не должны опираться на один и тот же уровнемер, поскольку предотвращаемая ситуация как раз связана с отказом этого измерения.

Проверочные испытания и их значение

Проверочные испытания выявляют опасные отказы, не обнаруженные диагностикой. Документированная процедура должна охватывать заявленные виды отказов датчика, технологического подключения, логики и конечного элемента, содержать критерии успешности и контролируемый порядок обхода защиты. Определяйте периодичность и охват по подтверждённому расчёту безопасности и руководствам; ни ежегодное испытание, ни одно принудительное задание выхода автоматически не доказывают требуемую полноту безопасности.

Вопросы инженеров

Вопрос 1. Чем SIL 1 отличается от SIL 2 для контура уровня?

Примерно на порядок по требуемой вероятности отказа при запросе, что обычно означает лучшую диагностику приборов, более короткие интервалы проверочных испытаний и иногда резервирование. Это свойство контура, а не отдельного прибора.

Вопрос 2. Можно ли использовать управляющий преобразователь и для функции безопасности?

Только если анализ опасностей допускает общий вид отказа; для защиты от переполнения обычно он не должен допускаться. Типовой проект предусматривает независимый прибор предельно высокого уровня.

Вопрос 3. Что означает «пригоден для SIL 2» в спецификации?

Это заявление о пригодности при определённых условиях, область которого устанавливают по конкретному сертификату и руководству по безопасности. До применения в SIF проверьте версии аппаратной и программной части, данные об отказах, систематическую пригодность, архитектуру и допущения об испытаниях. Оно не сертифицирует законченную установку.

Вопрос 4. Нужен ли PLC безопасности?

Для одного простого защитного отключения может быть достаточно сертифицированного релейного логического устройства. Выбор зависит от количества функций, логики голосования и требуемой диагностики.

Другие технические руководства

• Взрывозащищённый радарный уровнемер: изучайте сертификат, а не только буклет
• Техническое обслуживание радарного уровнемера: что делать и на что не тратить время

Обсудите свою задачу измерения с METRAVON

Технические источники

• HSE: жизненный цикл функциональной безопасности