Требуется ли для этой температурной точки датчик для функции безопасности SIL, или достаточно стандартного датчика температуры?
Две вещи, которые часто путают
Слово «SIL» употребляют небрежно, и эта небрежность обходится дорого. На самом деле под ним скрываются две отдельные идеи.
Первая — у функции безопасности есть целевой уровень SIL. SIL изменяется от 1 до 4 и описывает функцию, что-то вроде «закрыть питающий клапан, если эта температура поднимется выше X». Это не свойство какого-либо отдельного устройства. Целевой уровень вытекает из оценки рисков, обычно LOPA или проработки по итогам HAZOP, и записывается в спецификацию требований безопасности. Чтобы достичь этого уровня, вся цепочка должна работать вместе: датчик, преобразователь, логическое устройство, исполнительный элемент.
Вторая идея — устройство может быть пригодным для применения внутри такого контура. Строго говоря, в терминах IEC 61508 не существует «датчика с рейтингом SIL». Что может быть у устройства — это сертификат, подтверждающий, что оно оценено для применения в функциях безопасности SIL, вместе с доказательной базой: данные об интенсивности отказов, такие как показатели SFF и PFD, руководство по безопасности с условиями применения и способ отказа, который предсказуем и сигнализируется, а не происходит незаметно.
Так что вы на самом деле никогда не спрашиваете «является ли этот датчик SIL». Вы спрашиваете, несёт ли контур функцию безопасности с целевым уровнем SIL, и если да, оценено ли и сертифицировано ли это устройство для применения в ней, с документацией, это подтверждающей.
Как понять, попадает ли ваш контур в область применения
Чаще всего вы не определяете это сами. Решение принимается выше и спускается вниз, а ваша задача — правильно прочитать признаки в документах, которые у вас уже есть. На что стоит обратить внимание:
Схема P&ID или матрица «причина–следствие» показывает, что температурная точка запускает блокировку или останов, а не просто индикацию или управляющее действие. Спецификация требований безопасности перечисляет эту точку с указанным рядом целевым уровнем SIL. В техническом описании заполнено поле «функция безопасности» или есть ссылки на IEC 61508 либо 61511. Точка подключена к кроссовому шкафу ПАЗ или ESD, а не к РСУ.
Если температурная точка только индицирует, отображает тренд или находится в обычном контуре регулирующего управления, она почти наверняка не входит в область SIL, и стандартного датчика обычно достаточно. Одна оговорка, которую стоит знать: некоторые EPC-подрядчики и конечные пользователи вводят сплошное требование к устройствам с сертификацией по IEC 61508 на весь проект, даже для точек, не несущих собственного целевого уровня SIL. Поэтому прежде чем исключать точку, проверьте общепроектную спецификацию приборов, а не только отдельную точку.
Что должен обеспечивать датчик, пригодный для функций безопасности
Если точка входит в область применения, покупаемое устройство должно преодолеть более высокую планку, чем «оно работает». Независимо от бренда, датчик, предназначенный для функции безопасности, должен обеспечивать:
- Определённое безопасное состояние, в которое он переходит при обнаружении неисправности
- Блокировку конфигурации, чтобы параметры безопасности нельзя было незаметно изменить после ввода в эксплуатацию
- Диагностику неисправностей, обнаруживающую собственные отказы устройства и сигнализирующую о них по петле
- Руководство по безопасности с указанием условий применения, интервала контрольной проверки и любых ограничений
- Данные об интенсивности отказов (SFF, PFD и подобные) для расчёта контура
- Сертификат оценки на соответствие IEC 61508 для соответствующего уровня SIL
Стоит ясно понимать, почему это важно. Опасный отказ в контуре безопасности — это тихий отказ, когда преобразователь выходит из строя, но продолжает подавать логическому устройству правдоподобное значение. Диагностика, безопасное состояние и предсказуемый ток неисправности — это то, что не даёт этому случиться. На точке безопасности они значат больше, чем ещё один знак после запятой в точности измерения.
Административная сторона тоже становится тяжелее. Изменения конфигурации становятся контролируемыми событиями, конфигурацию SIL нужно регистрировать, а контрольные проверки планируются с интервалами. Ничего из этого не сложно, но это должно быть в плане проекта и при передаче в обслуживание, а не только в заказе на покупку.
Быстрый способ принять решение
Пройдитесь по этому списку и остановитесь на первом ответе, который относит точку к области применения.
Запускает ли температурная точка останов, блокировку или действие ESD? Если нет, стандартного датчика обычно достаточно — с учётом любого общепроектного требования к сертификации. Назначает ли спецификация требований безопасности ей целевой уровень SIL? Если нет, берите стандартный, но сначала подтвердите это с вашим специалистом по безопасности. Если хотя бы один ответ «да», то указывайте датчик, оценённый для применения SIL, с диагностикой неисправностей и руководством по безопасности, и закладывайте в бюджет дополнительный контроль изменений и контрольные проверки, которые с этим приходят.
Ещё одна проверка, на которой людей подводит. Находится ли эта же точка также во взрывоопасной зоне? Если да, то требование SIL накладывается поверх требования Ex, и они не заменяют друг друга. Устройство может быть искробезопасным и при этом не оценённым для функции безопасности, или наоборот. Подтверждайте каждое отдельно, по точному коду модели, которую вы заказываете.
Не уходите в другую крайность
Чрезмерная коррекция встречается так же часто, как и недостаточная спецификация, поэтому об этом стоит сказать прямо. Большинство температурных точек на предприятии не входят в область SIL. Индикация, построение трендов и обычное регулирующее управление не требуют устройства, пригодного для функций безопасности, и заказ такого на каждую точку сжигает бюджет и усложняет режим обслуживания больше, чем нужно. Подбирайте устройство под точку. Используйте устройство с оценкой SIL там, где функция безопасности этого действительно требует, и обычный датчик во всех остальных местах.
Если вы прорабатываете точки, не связанные с безопасностью, наше руководство по выбору датчика температуры HART охватывает обычные критерии — тип датчика, точность, схему подключения, топологию — без надстройки, связанной с безопасностью.
Пример: NCS-TT306H
Чтобы сделать приведённые выше требования конкретными, полезно посмотреть, как их реализует одно из устройств. Датчик температуры HART серии NCS-TT306H предоставляет выделенный режим SIL, соответствующий этому чек-листу. В режим входят с помощью кода доступа; устройство выполняет проверку контрольной суммы и самодиагностику и переходит в режим только при успешном прохождении обеих. После входа конфигурация блокируется, а уровни диагностических сигнализаций переключаются на фиксированный предустановленный набор — это блокировка конфигурации и определённое поведение, которые ищет анализ безопасности. Метка времени конфигурации SIL регистрируется для аудиторского следа.
Серия также предлагает двухканальное горячее резервирование. Стоит точно определить, что оно делает, а что нет: резервирование повышает готовность, поддерживая измерение в работе, чтобы один отказавший датчик не остановил предприятие, когда этого не требовалось. Это не то же самое, что характеристики SIL. Готовность решает проблему ложных срабатываний; функциональная безопасность решает проблему опасных отказов, и характеристики SIL контура всё равно должны оцениваться по всей функции безопасности целиком, а не выводиться из наличия резервного канала.
Устройство имеет маркировку HART, SIL, Ex и CE, поэтому на точке, которая одновременно связана с безопасностью и находится во взрывоопасной зоне, оба требования можно закрыть одной линейкой моделей — хотя, как отмечено выше, каждое требование всё равно подтверждается независимо по коду модели.
Прежде чем финализировать спецификацию
Если вы оцениваете температурный контур, связанный с безопасностью, запросите применимое руководство по безопасности, сертификат IEC 61508 и данные об интенсивности отказов до финализации спецификации и проверьте, что сертифицированный уровень SIL и условия применения соответствуют тому, что требует ваша функция безопасности. Обратитесь в Microcyber за документацией, относящейся к выбранному вами коду модели.