Вибухозахист і SIL стосуються двох абсолютно різних рівнів безпеки: захист від вибуху гарантує, що «пристрій не може стати джерелом займання», а SIL — чи може «функція безпеки працювати надійно». Прилад може мати сертифікат вибухозахисту, але взагалі не мати рейтингу SIL, або він може мати можливість SIL, але не потребувати сертифікації вибухозахисту – кожен з них відповідає на абсолютно різні проблеми ризику.
I. Яку проблему вирішує сертифікація вибухозахисту?
Основним визначенням сертифікації вибухозахисту є підтвердження того, що коли електричне обладнання використовується у вибухонебезпечній атмосфері, воно не запалить навколишній горючий газ або пил через іскри, дугу або високу температуру, створювану самим обладнанням. Його логічною початковою точкою є «наявність горючої та вибухонебезпечної суміші», а кінцевою — «обладнання спроектоване таким чином, що воно не може стати джерелом займання».
Вимоги щодо вибухозахисту слід визначати на основі передбачуваного застосування та умов встановлення. По-перше, необхідно уточнити класифікацію небезпечної зони: чи це зона 0, зона 1 або зона 2, і чи є це газове середовище чи запилене середовище; по-друге, група газу та температурний клас цільового газу повинні бути підтверджені. Різні типи вибухозахисту, такі як іскробезпека (Ex ia), вибухозахищений корпус (Ex d) і підвищена безпека (Ex e), підходять для різних областей і умов експлуатації. При виборі не можна дивитися просто на те, «чи є вибухозахист», а потрібно дивитися на те, «який тип вибухозахисту підходить для даної області».
Що ще потребує уваги, крім сертифікації вибухозахисту? Не можна дивитися лише на те, «чи є сертифікат вибухозахисту», але також потрібно перевірити, чи охоплює сертифікат цільову модель продукту, цільові умови експлуатації, класифікацію небезпечної зони та групу газу/пилу. Сертифікат вибухозахисту, як правило, прив’язаний до конкретної моделі виробу та конкретного діапазону температур і електричних параметрів. Якщо фактичні умови експлуатації виходять за рамки сертифікації, виріб не може використовуватися відповідно до цієї сертифікації. Крім того, сертифікація вибухозахисту пов’язана з «відсутністю займання» — вона не гарантує точність вимірювань і не гарантує своєчасні сигнали тривоги у разі надлишкового тиску — це справа іншої системи.
II. Що таке доступ до міжнародного ринку?
Доступ на міжнародний ринок, простіше кажучи, означає, що для виходу продукту на ринок певної країни або регіону він повинен відповідати обов’язковим вимогам місцевих правил і стандартів. У цьому відношенні вибухозахищена продукція є особливо важливою, оскільки нагляд за безпекою у небезпечних місцях є обов’язковим у країнах по всьому світу.
Типову практику різних країн можна узагальнити в три типи. Тип прямого перетворення стосується певних країн або регіонів, які приймають звіти про випробування або сертифікати, видані органами сертифікації іншої сторони за угодами про взаємне визнання, без необхідності повторного тестування. Тип сертифікації аудиту стосується країни-імпортера, що вимагає незалежного огляду та сертифікації органом сертифікації, визнаним цією країною; навіть якщо країна-експортер вже має сертифікацію, все одно необхідно дотримуватися місцевого процесу. Тип додаткових вимог базується на прийнятті загальних міжнародних стандартів із одночасним накладенням спеціальних диференційованих вимог країни, таких як конкретні рівні напруги, мова етикетки або стилі маркування. Метою системи IECEx є саме сприяння міжнародному взаємному визнанню «одного стандарту, одного сертифіката, одного знака», зменшуючи тягар повторної сертифікації. Але реальність полягає в тому, що з огляду на нагляд за безпекою країни все ще зберігають велику кількість локальних вимог.
III. Визначення та класифікація SIL
SIL=Рівень цілісності безпеки, який походить від системи стандартів функціональної безпеки (IEC 61508 і його стандарт промислового застосування IEC 61511). SIL визначає ступінь впевненості в тому, що інструментальна система безпеки успішно виконає функцію безпеки, коли потрібні дії.
Скільки рівнів має SIL? Всього існує чотири рівні, причому SIL 4 є найвищим, а SIL 1 – найнижчим. Чим вищий рівень, тим меншою має бути ймовірність відмови функції безпеки. Для режиму низьких вимог (тобто не більше однієї дії на рік) SIL 1 відповідає середній ймовірності відмови від 10⁻² до 10⁻¹, SIL 2 – від 10⁻³ до 10⁻², SIL 3 – від 10⁻⁴ до 10⁻³, а SIL 4 – від 10⁻⁵ до 10⁻⁴. Найпоширенішими вимогами в переробній промисловості є SIL 2 і SIL 3, а SIL 4, як правило, пов’язаний із застосуваннями, що вимагають найвищого рівня цілісності безпеки.
Для яких програм потрібен SIL?
Які програми вимагають SIL, по суті, визначається не типом приладу, а результатом оцінки ризику. Це не те, що «адатчик тискувимагає SIL", а скоріше, що "певна функція безпеки оцінюється як така, що потребує SIL, і прилади, які беруть участь у цій функції, повинні відповідати необхідному SIL". Основою судження є: якщо ця функція безпеки виходить з ладу, наскільки серйозними є наслідки, наскільки висока частота виникнення та чи можна цього негайно уникнути за допомогою інших рівнів захисту. У промисловості найбільш типові застосування SIL зосереджені в таких сценаріях, як надлишковий тиск захист, блокування високого/низького рівня, аварійне відключення, контроль надлишкового тиску реактора може призвести до розриву резервуара для зберігання або навіть до вибуху; відмова системи керування горінням може призвести до дефлаграції в процесі. Загальною рисою цих сценаріїв є те, що коли функція безпеки дає збій, наслідки можуть включати вибухи, пожежі, смертельні випадки, травми або серйозні екологічні збитки, тому SIL 2 або навіть SIL 3 зазвичай вимагається.
Ще одна категорія застосувань, які вимагають SIL, – це моніторинг токсичних газів і блокування, системи захисту від високого тиску тощо. Хоча вони не обов’язково безпосередньо передбачають вибухи, наслідки відмови однаково серйозні. Слід особливо підкреслити, що SIL призначається для всієї функції приладів безпеки, а не до окремого приладу. Передавач може «підтримувати додатки SIL 2», але чи справді весь контур досягне SIL 2, все ще залежить від логічного контролера, клапанів керування, архітектури контуру, діагностичного покриття та інтервалів тестування. Навпаки, не для всіх приладів у небезпечних зонах потрібен SIL: вибухозахищенийдатчик тискувикористовується лише для локального відображення або звичайного керування процесом, не потребує оцінки SIL, якщо він не бере участі в будь-якій функції приладів безпеки; йому потрібен тільки сертифікат захисту від вибуху. Таким чином, «які програми вимагають SIL» зрештою повертається до оцінки ризику: після того, як ця функція виходить з ладу, чи наслідки настільки серйозні, що для зменшення ризику потрібно використовувати систему безпеки? Якщо так, потрібен SIL; якщо звичайної системи керування або інших рівнів захисту достатньо, це не потрібно.
IV. Рівні SIL і ймовірність небезпечного збою
PFDavg: середня ймовірність небезпечного збою в режимі низького попиту - чим менше значення, тим нижча ймовірність збою та сильніші можливості безпеки.
PFH: ймовірність небезпечної відмови за годину - використовується в режимі високого попиту/безперервного режиму.
V. Зв'язок між вибухозахистом і SIL
Взаємозв'язок між вибухозахистом і SIL можна підсумувати одним реченням: вони відповідають на різні питання і не можуть замінити один одного. Вибухозахист відповідає «чи запалить пристрій навколишнє середовище», тоді як SIL відповідає «чи може функція безпеки працювати надійно, коли це необхідно».
Передавач, який використовується у небезпечній зоні, як правило, повинен відповідати двом рівням вимог одночасно: він повинен мати відповідний тип захисту від вибуху, щоб адаптуватися до рівня небезпеки в зоні встановлення; і якщо він бере участь у функції приладів безпеки, він також повинен мати відповідні можливості SIL. Однак ці дві сертифікації оцінюються незалежно. Сертифікація вибухозахисту зосереджується на корпусі, обмеженні енергії контуру та температурі поверхні; Сертифікація SIL зосереджена на ймовірності небезпечного збою, охопленні діагностики, архітектурі відмовостійкості обладнання та управлінні життєвим циклом безпеки.
І навпаки, поширене непорозуміння полягає в тому, що «сертифікація SIL означає, що захист від вибуху не потрібен» або «наявність сертифіката захисту від вибуху означає, що його можна використовувати в контурі безпеки». Обидві ці ідеї помилкові. Сертифікація SIL не оцінює ризик займання, а сертифікація захисту від вибуху не оцінює надійність функцій безпеки. Прилад, який справді підходить для контуру безпеки у небезпечній зоні, повинен мати як дійсний сертифікат вибухозахисту, так і звіт про оцінку SIL, і відповідний обсяг обох повинен охоплювати фактичні умови експлуатації.
