SIL (Safety Integrity Level) показує, наскільки надійно система протиаварійного захисту виконує свою функцію, наприклад аварійне закриття засувки. Рівень визначають за стандартами IEC 61508 та IEC 61511 через середню імовірність відмови на вимогу: для SIL-2 вона лежить у межах від 0,001 до 0,01, для SIL-3 від 0,0001 до 0,001. Привод має не «рівень SIL», а придатність до функції певного рівня.
На практиці це зручно показати на серії AB австрійського виробника SCHIEBEL, яку в Україні офіційно постачає ТОВ «ЗАВОД «АРМА». Київська компанія працює з нафтогазовими та атомними об’єктами і супроводжує поставку від підбору до пусконалагодження. Приводи серії AB відповідають рівню SIL-2, а з механічною функцією аварійного захисту досягають SIL-3.
Чотири рівні SIL у цифрах
| Рівень | Імовірність відмови на вимогу (PFDavg) | Зниження ризику, разів | Де зустрічається |
|---|---|---|---|
| SIL 1 | від 0,01 до 0,1 | 10-100 | Контури з помірними наслідками відмови |
| SIL 2 | від 0,001 до 0,01 | 100-1000 | Типовий рівень для ПАЗ у нафтогазі та хімії |
| SIL 3 | від 0,0001 до 0,001 | 1000-10 000 | Функції з тяжкими наслідками: викид токсичного середовища, пожежа, вибух |
| SIL 4 | від 0,00001 до 0,0001 | 10 000-100 000 | У процесній промисловості практично не застосовують |
Значення наведено для режиму з низькою частотою вимог: засувка ПАЗ місяцями стоїть відкритою і має закритися один раз, коли щось пішло не так. Для функцій, що спрацьовують частіше ніж раз на рік, межі інші.
Чому SIL стосується функції, а не приводу
Функція безпеки складається з ланцюжка: датчик тиску чи рівня, логічний контролер, виконавчий механізм з арматурою. Імовірність відмови всієї функції приблизно дорівнює сумі імовірностей відмов її ланок. Якщо поставити привод, придатний до SIL-3, на засувку без підтвердженої надійності та з’єднати його з контролером загальнопромислового класу, функції рівня SIL-3 не вийде.
Тому в документації на привод дивляться на три групи параметрів:
- systematic capability (SC), тобто до якого рівня виробник підтверджує процеси розробки й виготовлення;
- апаратна відмовостійкість (HFT) і частка безпечних відмов (SFF), які обмежують максимальний рівень для однієї одиниці обладнання;
- інтенсивність небезпечних невиявлених відмов, з якої проєктувальник рахує PFDavg усієї функції.
Звідки береться SIL-3: механічний Failsafe
Слабке місце електроприводу у функції безпеки очевидне: без живлення він не рухається. Рішення полягає в накопичувачі енергії всередині приводу. У серії AB аварійний хід активується механічно, роз’єднанням пружини, тому працює навіть при повному знеструмленні. Саме ця конфігурація відповідає SIL-3. У компактній серії CM механічну пружину можна додати до приводу будь-якого розміру, від CM 03 до CM 12; якщо пружина працює паралельно з двигуном, аварійний хід прискорюється до 10 разів.
Що вимагати від постачальника
- Сертифікат незалежного органу за IEC 61508 для конкретного виконання, а не для серії загалом.
- Інтенсивності відмов, SFF і HFT для розрахунку функції.
- Рекомендований інтервал перевірочного тестування.
- Налаштування, за яких рівень зберігається.
Для обладнання у вибухонебезпечних зонах до цього пакета додаються документи на вибухозахист. В Україні це відповідність Технічному регламенту, затвердженому постановою КМУ № 1055 від 28.12.2016.
Часті запитання
Чи можна поставити привод, придатний до SIL-3, у функцію SIL-2?
Так, і це поширена практика. Привод з вищою придатністю дає запас у розрахунку PFDavg, що дозволяє подовжити інтервал перевірочного тестування або використати менш надійні датчики. Навпаки не працює: привод, придатний до SIL-2, у функцію SIL-3 без резервування не ставлять.
Хто визначає, який SIL потрібен?
Рівень визначає замовник на етапі аналізу ризиків, зазвичай за методиками HAZOP і LOPA. Постачальник приводу рівень не призначає, він лише підтверджує, до якого рівня придатне його обладнання. Якщо в опитувальному листі вимоги до SIL немає, варто уточнити, чи проводився аналіз ризиків.
Як часто треба перевіряти привод у функції безпеки?
Інтервал задає проєктувальник функції, спираючись на дані виробника; типові значення від одного року до кількох років. Перевірка має імітувати реальну вимогу: зникнення живлення або команду ПАЗ і повний хід арматури. Результати фіксують у журналі, бо без них заявлений рівень формально не підтверджено.
SIL і вибухозахист означають одне й те саме?
Ні. Вибухозахист гарантує, що привод сам не стане джерелом займання в зоні Ex. SIL описує, наскільки надійно привод виконає свою функцію в аварійній ситуації. На нафтогазових і хімічних об’єктах часто потрібні обидві, і підтверджують їх різні документи.
Коротко
- SIL показує надійність функції безпеки, а не окремого пристрою.
- SIL-2 означає імовірність відмови на вимогу 0,001-0,01, SIL-3 означає 0,0001-0,001.
- Для SIL-3 привод потребує аварійного ходу без живлення, зазвичай на пружині.
- Серія AB SCHIEBEL відповідає SIL-2, а з механічним Failsafe SIL-3.
- Від постачальника вимагайте сертифікат і дані для розрахунку.