Ochrona przeciwwybuchowa i SIL dotyczą dwóch zupełnie różnych poziomów kwestii bezpieczeństwa: ochrona przeciwwybuchowa polega na zapewnieniu, że „urządzenie nie stanie się źródłem zapłonu”, natomiast SIL dotyczy tego, czy „funkcja bezpieczeństwa może działać niezawodnie”. Przyrząd może posiadać certyfikat ochrony przeciwwybuchowej, ale w ogóle nie mieć oceny SIL, lub może mieć zdolność SIL, ale nie wymagać certyfikacji ochrony przeciwwybuchowej – każdy z nich odpowiada na zupełnie inne problemy związane z ryzykiem.
I. Jaki problem rozwiązuje certyfikacja ochrony przeciwwybuchowej?
Podstawową definicją certyfikacji ochrony przeciwwybuchowej jest potwierdzenie, że sprzęt elektryczny używany w atmosferze wybuchowej nie spowoduje zapalenia otaczającego go palnego gazu lub pyłu w wyniku iskier, łuków lub wysokich temperatur wytwarzanych przez samo urządzenie. Logicznym punktem wyjścia jest „obecność mieszaniny łatwopalnej i wybuchowej”, a punktem końcowym jest „urządzenie zostało zaprojektowane w taki sposób, aby nie mogło stać się źródłem zapłonu”.
Wymagania dotyczące ochrony przeciwwybuchowej należy określić w oparciu o zamierzone zastosowanie i warunki instalacji. Po pierwsze, należy wyjaśnić klasyfikację obszaru niebezpiecznego: czy jest to strefa 0, strefa 1 czy strefa 2 oraz czy jest to środowisko gazowe, czy pyłowe; po drugie, należy potwierdzić grupę gazu i klasę temperaturową gazu docelowego. Różne rodzaje zabezpieczeń przeciwwybuchowych – takie jak iskrobezpieczeństwo (Ex ia), obudowa ognioszczelna (Ex d) i zwiększone bezpieczeństwo (Ex e) – są odpowiednie dla różnych obszarów i warunków pracy. Przy wyborze nie można po prostu zwrócić uwagi na to, „czy istnieje ochrona przeciwwybuchowa”, ale należy zwrócić uwagę na to, „jaki rodzaj ochrony przeciwwybuchowej jest odpowiedni dla tego obszaru”.
Co jeszcze wymaga uwagi poza certyfikacją ochrony przeciwwybuchowej? Nie można tylko patrzeć, „czy istnieje certyfikat ochrony przeciwwybuchowej”, ale trzeba także sprawdzić, czy certyfikat obejmuje docelowy model produktu, docelowe warunki pracy, klasyfikację obszaru niebezpiecznego i grupę gazów/pyłów. Certyfikat ochrony przeciwwybuchowej jest zazwyczaj powiązany z konkretnym modelem produktu oraz konkretnym zakresem temperatur i parametrami elektrycznymi. Jeśli rzeczywiste warunki pracy wykraczają poza zakres certyfikacji, produktu nie można używać zgodnie z tą certyfikacją. Dodatkowo certyfikacja ochrony przeciwwybuchowej dotyczy „niezapłonu” – nie gwarantuje dokładności pomiaru, ani nie gwarantuje szybkiego alarmowania w przypadku wystąpienia nadciśnienia – to już sprawa innego systemu.
II. Co to jest dostęp do rynku międzynarodowego?
Dostęp do rynku międzynarodowego, mówiąc najprościej, oznacza, że aby produkt mógł wejść na rynek określonego kraju lub regionu, musi spełniać obowiązkowe wymagania lokalnych przepisów i norm. Szczególnie widoczne są pod tym względem produkty przeciwwybuchowe, gdyż w krajach na całym świecie nadzór nad bezpieczeństwem w miejscach niebezpiecznych jest obowiązkowy.
Typowe praktyki stosowane w różnych krajach można podzielić na trzy typy. Typ konwersji bezpośredniej odnosi się do niektórych krajów lub regionów akceptujących raporty z testów lub certyfikaty wydane przez jednostki certyfikujące drugiej strony na mocy umów o wzajemnym uznawaniu, bez konieczności powtarzania testów. Rodzaj certyfikacji audytu odnosi się do kraju importującego wymagającego niezależnego przeglądu i certyfikacji przez jednostkę certyfikującą uznawaną przez ten kraj; nawet jeśli kraj eksportujący posiada już certyfikat, nadal należy przestrzegać lokalnego procesu. Typ wymagań dodatkowych opiera się na przyjęciu wspólnych standardów międzynarodowych z jednoczesnym nałożeniem specjalnych, zróżnicowanych wymagań danego kraju, takich jak określone poziomy napięcia, język etykiet lub style oznakowania. Celem systemu IECEx jest właśnie promowanie międzynarodowego wzajemnego uznawania „jednej normy, jednego certyfikatu, jednego znaku”, zmniejszając obciążenie związane z powtarzalną certyfikacją. Rzeczywistość jest jednak taka, że ze względu na nadzór nad bezpieczeństwem kraje nadal zachowują dużą liczbę lokalnych wymagań.
III. Definicja i klasyfikacja SIL
SIL=Poziom integralności bezpieczeństwa, który pochodzi z systemu standardów bezpieczeństwa funkcjonalnego (IEC 61508 i związana z nim norma dotycząca zastosowań przemysłowych IEC 61511). SIL definiuje stopień pewności, że przyrządowy system bezpieczeństwa pomyślnie wykona funkcję bezpieczeństwa, gdy wymagane będzie podjęcie działania.
Ile poziomów ma SIL? W sumie istnieją cztery poziomy, przy czym SIL 4 jest najwyższym, a SIL 1 najniższym. Im wyższy poziom, tym mniejsze musi być prawdopodobieństwo awarii funkcji bezpieczeństwa. W przypadku trybu niskiego zapotrzebowania (tj. nie więcej niż jedna akcja rocznie) SIL 1 odpowiada średniemu prawdopodobieństwu awarii od 10⁻² do 10⁻¹, SIL 2 to 10⁻³ do 10⁻², SIL 3 to 10⁻⁴ do 10⁻³, a SIL 4 to 10⁻⁵ do 10⁻⁴. Najbardziej powszechnymi wymaganiami w przemyśle procesowym są SIL 2 i SIL 3, a SIL 4 jest ogólnie kojarzony z zastosowaniami wymagającymi najwyższego poziomu nienaruszalności bezpieczeństwa.
Które aplikacje wymagają SIL?
To, które zastosowania wymagają SIL, zasadniczo nie zależy od rodzaju instrumentu, ale od wyniku oceny ryzyka. To nie jest tak, że „aprzetwornik ciśnieniawymaga SIL”, ale raczej, że „określona funkcja bezpieczeństwa została oceniona jako wymagająca SIL, a przyrządy uczestniczące w tej funkcji muszą być odpowiednie dla wymaganego SIL”. Sedno oceny jest następujące: w przypadku awarii tej funkcji bezpieczeństwa, jak poważne są konsekwencje, jak wysoka jest częstotliwość występowania i czy można jej szybko uniknąć za pomocą innych warstw zabezpieczeń. W przemyśle przetwórczym najbardziej typowe zastosowania SIL skupiają się w scenariuszach takich jak ochrona przed nadciśnieniem, blokady wysokiego/niskiego poziomu, wyłączanie awaryjne, zarządzanie spalaniem i monitorowanie gazów toksycznych/palnych. Na przykład awaria zabezpieczenia reaktora przed nadmiernym ciśnieniem może doprowadzić do pęknięcia zbiornika lub nawet eksplozji, awaria blokady wysokiego poziomu zbiornika może spowodować przepełnienie zbiornika i pożar, awaria systemu awaryjnego wyłączania może spowodować, że odchylenia w procesie nie zostaną z czasem skorygowane. Zwykle wymagany jest poziom SIL 2 lub nawet SIL 3.
Inną kategorią zastosowań wymagających SIL jest monitorowanie i blokowanie gazów toksycznych, systemy ochrony ciśnieniowej o wysokiej integralności itp. Chociaż niekoniecznie wiążą się one bezpośrednio z eksplozjami, konsekwencje awarii są równie poważne. Należy szczególnie podkreślić, że SIL jest przypisany do całej funkcji przyrządów bezpieczeństwa, a nie do pojedynczego przyrządu. Przetwornik może „obsługiwać aplikacje SIL 2”, ale to, czy cała pętla rzeczywiście osiągnie poziom SIL 2, nadal zależy od sterownika logicznego, zaworów uruchamiających, architektury pętli, zasięgu diagnostyki i odstępów między testami. I odwrotnie, nie wszystkie przyrządy w obszarach niebezpiecznych wymagają SIL: przeciwwybuchowegoprzetwornik ciśnieniaużywany wyłącznie do lokalnego wyświetlania lub zwykłej kontroli procesu, nie wymaga oceny SIL, jeśli nie uczestniczy w żadnej funkcji przyrządowej związanej z bezpieczeństwem; wymaga jedynie certyfikatu ochrony przeciwwybuchowej. Dlatego też pytanie „które aplikacje wymagają SIL” ostatecznie powraca do oceny ryzyka: czy w przypadku awarii tej funkcji konsekwencje są na tyle poważne, że w celu zmniejszenia ryzyka należy zastosować przyrządowy system bezpieczeństwa? Jeżeli tak, wymagany jest SIL; jeżeli wystarczy konwencjonalny system sterowania lub inne poziomy ochrony, nie jest to wymagane.
IV. Poziomy SIL i prawdopodobieństwo wystąpienia niebezpiecznej awarii
PFDavg: Średnie prawdopodobieństwo niebezpiecznej awarii w trybie niskiego zapotrzebowania – im mniejsza wartość, tym mniejsze prawdopodobieństwo awarii i większe możliwości bezpieczeństwa.
PFH: Prawdopodobieństwo niebezpiecznej awarii na godzinę – stosowane w trybie dużego zapotrzebowania/ciągłym.
V. Związek między ochroną przeciwwybuchową a SIL
Związek między ochroną przeciwwybuchową a SIL można podsumować w jednym zdaniu: odpowiadają one na różne pytania i nie mogą się wzajemnie zastępować. Ochrona przeciwwybuchowa odpowiada na pytanie „czy urządzenie spowoduje zapalenie otaczającego środowiska”, natomiast SIL odpowiada na pytanie „czy funkcja bezpieczeństwa może działać niezawodnie w razie potrzeby”.
Przetwornik używany w obszarze niebezpiecznym musi zazwyczaj spełniać jednocześnie dwa poziomy wymagań: musi posiadać odpowiedni typ ochrony przeciwwybuchowej, aby dostosować się do stopnia zagrożenia obszaru instalacji; a jeśli uczestniczy w oprzyrządowanej funkcji bezpieczeństwa, musi także posiadać odpowiednią zdolność SIL. Jednakże te dwa certyfikaty są oceniane niezależnie. Certyfikacja ochrony przeciwwybuchowej koncentruje się na obudowie, ograniczeniu energii obwodu i temperaturze powierzchni; Certyfikacja SIL koncentruje się na prawdopodobieństwie niebezpiecznej awarii, zasięgu diagnostycznym, architekturze odporności na awarie sprzętu i zarządzaniu cyklem życia bezpieczeństwa.
I odwrotnie, powszechnym nieporozumieniem jest to, że „posiadanie certyfikatu SIL oznacza, że ochrona przeciwwybuchowa nie jest potrzebna” lub „posiadanie certyfikatu ochrony przeciwwybuchowej oznacza, że można go używać w pętli bezpieczeństwa”. Obydwa te pomysły są błędne. Certyfikacja SIL nie ocenia ryzyka zapłonu, a certyfikacja ochrony przeciwwybuchowej nie ocenia niezawodności funkcji bezpieczeństwa. Przyrząd rzeczywiście odpowiedni do pętli bezpieczeństwa w obszarze niebezpiecznym musi posiadać zarówno ważny certyfikat ochrony przeciwwybuchowej, jak i raport z oceny SIL, a mający zastosowanie zakres obu musi obejmować rzeczywiste warunki pracy.
