Eksplosjonsbeskyttelse og SIL tar for seg to helt forskjellige nivåer av sikkerhetsproblemer: eksplosjonsbeskyttelse handler om å sikre at «enheten ikke kan bli en tennkilde», mens SIL handler om hvorvidt «sikkerhetsfunksjonen kan fungere pålitelig». Et instrument kan ha eksplosjonsbeskyttelsessertifisering, men ingen SIL-vurdering i det hele tatt, eller det kan ha SIL-evne, men krever ikke eksplosjonsbeskyttelsessertifisering - de reagerer hver på helt forskjellige risikoproblemer.
I. Hvilket problem løser eksplosjonsbeskyttelsessertifiseringen?
Kjernedefinisjonen av eksplosjonsbeskyttelsessertifisering er å bekrefte at når elektrisk utstyr brukes i en eksplosiv atmosfære, vil det ikke antenne den omgivende brennbare gassen eller støvet på grunn av gnister, lysbuer eller høye temperaturer som genereres av selve utstyret. Dets logiske utgangspunkt er «tilstedeværelsen av en brennbar og eksplosiv blanding», og endepunktet er «utstyret er utformet slik at det ikke kan bli en antennelseskilde».
Eksplosjonsbeskyttelseskrav bør bestemmes basert på tiltenkt bruk og installasjonsforhold. Først må klassifiseringen av det farlige området avklares: om det er sone 0, sone 1 eller sone 2, og om det er et gassmiljø eller et støvmiljø; for det andre må gassgruppen og temperaturklassen til målgassen bekreftes. Ulike typer eksplosjonsbeskyttelse - som egensikkerhet (Ex ia), flammesikker kapsling (Ex d) og økt sikkerhet (Ex e) - er egnet for forskjellige områder og driftsforhold. Ved valg kan man ikke bare se på «om det finnes eksplosjonsvern», men må se på «hvilken type eksplosjonsvern som passer for dette området».
Hva annet trenger oppmerksomhet utover eksplosjonsbeskyttelsessertifisering? Man kan ikke bare se på «om det finnes et eksplosjonsvernsertifikat», men må også sjekke om sertifikatet dekker målproduktmodellen, måldriftsforhold, klassifisering av farlig område og gass/støvgruppe. Et eksplosjonsvernsertifikat er typisk bundet til en spesifikk produktmodell og spesifikt temperaturområde og elektriske parametere. Hvis de faktiske driftsforholdene faller utenfor sertifiseringens omfang, kan produktet ikke brukes i samsvar med denne sertifiseringen. I tillegg er eksplosjonsvernsertifiseringen opptatt av å "ikke tenne" - det garanterer ikke målenøyaktighet, og garanterer heller ikke tidsriktige alarmer ved overtrykk - det er en sak for et annet system.
II. Hva er internasjonal markedstilgang?
Internasjonal markedstilgang, enkelt sagt, betyr at for at et produkt skal komme inn på markedet i et bestemt land eller region, må det oppfylle de obligatoriske kravene i lokale forskrifter og standarder. Eksplosjonssikre produkter er spesielt fremtredende i denne forbindelse, fordi sikkerhetstilsyn på farlige steder er obligatorisk i land rundt om i verden.
Den typiske praksisen i forskjellige land kan oppsummeres i tre typer. Den direkte konverteringstypen refererer til at enkelte land eller regioner godtar testrapporter eller sertifikater utstedt av den andre partens sertifiseringsorganer gjennom gjensidig anerkjennelsesavtaler, uten behov for gjentatt testing. Revisjonssertifiseringstypen refererer til importlandet som krever en uavhengig gjennomgang og sertifisering av et sertifiseringsorgan anerkjent av det landet; selv om eksportlandet allerede har sertifisering, må den lokale prosessen fortsatt følges. Tilleggskravtypen er basert på å akseptere internasjonale felles standarder samtidig som den overlapper landets spesielle differensielle krav, for eksempel spesifikke spenningsnivåer, etikettspråk eller merkestiler. Målet med IECEx-systemet er nettopp å fremme internasjonal gjensidig anerkjennelse av «én standard, ett sertifikat, ett merke», noe som reduserer byrden med gjentatt sertifisering. Men realiteten er at av hensyn til sikkerhetstilsyn beholder landene fortsatt et stort antall lokaliserte krav.
III. Definisjon og klassifisering av SIL
SIL=Safety Integrity Level, som kommer fra det funksjonelle sikkerhetsstandardsystemet (IEC 61508 og dets prosessindustriapplikasjonsstandard IEC 61511). SIL definerer graden av tillit til at et sikkerhetsinstrumentert system vil kunne utføre en sikkerhetsfunksjon når handling er nødvendig.
Hvor mange nivåer har SIL? Det er fire nivåer totalt, hvor SIL 4 er det høyeste og SIL 1 det laveste. Jo høyere nivå, desto lavere må sannsynligheten for feil i sikkerhetsfunksjonen være. For low-demand-modus (dvs. ikke mer enn én handling per år), tilsvarer SIL 1 en gjennomsnittlig sannsynlighet for feil på 10⁻² til 10⁻¹, SIL 2 er 10⁻³ til 10⁻², SIL 3 er 10⁻⁴ til 10⁻⁻⁵1 SIL⁻³ er, og 1 SIL 3 er 10⁻⁴. De vanligste kravene i prosessindustrien er SIL 2 og SIL 3, og SIL 4 er generelt forbundet med applikasjoner som krever det høyeste nivået av sikkerhetsintegritet.
Hvilke applikasjoner krever SIL?
Hvilke applikasjoner som krever SIL avgjøres i hovedsak ikke av type instrument, men av resultatet av risikovurderingen. Det er ikke at "atrykktransmitterkrever SIL," men snarere at "en viss sikkerhetsfunksjon vurderes å kreve SIL, og instrumentene som deltar i den funksjonen må være egnet for den nødvendige SIL." Kjernen i dommen er: når denne sikkerhetsfunksjonen svikter, hvor alvorlige er konsekvensene, hvor høy er frekvensen av forekomsten, og kan den raskt unngås av andre prosessbeskyttelsesscenarioer i de mest typiske SIL-scenarioene. som overtrykksbeskyttelse, høy-/lavnivålåser, nødavstengning, forbrenningsstyring og overvåking av giftig/brennbar gass. For eksempel kan svikt i reaktorens overtrykksbeskyttelse føre til brudd på lagringstanken på høyt nivå, og brann kan føre til svikt i kjelens forbrenningsprosess gå ukorrigert i tide. Fellestrekket for disse scenariene er at når sikkerhetsfunksjonen svikter, kan konsekvensene omfatte eksplosjoner, branner, dødsfall, skader eller store miljøskader, så SIL 2 eller til og med SIL 3 er vanligvis nødvendig.
En annen kategori av applikasjoner som krever SIL er overvåking og sammenlåsing av giftig gass, høyintegrerte trykkbeskyttelsessystemer osv. Selv om de ikke nødvendigvis direkte involverer eksplosjoner, er konsekvensene av feil like alvorlige. Det skal spesielt understrekes at SIL er tilordnet hele den sikkerhetsinstrumenterte funksjonen, ikke knyttet til et enkelt instrument. En sender kan "støtte SIL 2-applikasjoner", men om hele sløyfen virkelig oppnår SIL 2 avhenger fortsatt av logikkkontrolleren, aktiveringsventiler, sløyfearkitektur, diagnostisk dekning og testintervaller. Motsatt krever ikke alle instrumenter i eksplosjonsfarlige områder SIL: en eksplosjonssikkertrykktransmitterbrukes kun til lokal visning eller ordinær prosesskontroll krever ikke SIL-vurdering hvis den ikke deltar i noen sikkerhetsinstrumentert funksjon; den trenger bare eksplosjonsbeskyttelsessertifisering. Derfor, "hvilke applikasjoner krever SIL" kommer til slutt tilbake til risikovurdering: etter at denne funksjonen svikter, er konsekvensene alvorlige nok til at et sikkerhetsinstrumentert system må brukes for å redusere risikoen? I så fall kreves SIL; hvis det konvensjonelle kontrollsystemet eller andre beskyttelseslag er tilstrekkelig, er det ikke nødvendig.
IV. SIL-nivåer og sannsynlighet for farlig svikt
PFDavg: Gjennomsnittlig sannsynlighet for farlig feil i lav etterspørselsmodus - jo mindre verdi, jo lavere er sannsynligheten for feil og jo sterkere sikkerhetsevne.
PFH: Sannsynlighet for farlig svikt per time - brukt i høy etterspørsel/kontinuerlig modus.
V. Forholdet mellom eksplosjonsbeskyttelse og SIL
Forholdet mellom eksplosjonsvern og SIL kan oppsummeres i én setning: de svarer på forskjellige spørsmål og kan ikke erstatte hverandre. Eksplosjonsbeskyttelse svarer «vil enheten antenne det omgivende miljøet», mens SIL svarer «kan sikkerhetsfunksjonen fungere pålitelig når det trengs».
En sender som brukes i et eksplosjonsfarlig område må vanligvis oppfylle to kravnivåer samtidig: den må ha en passende eksplosjonsbeskyttelsestype for å tilpasse seg farevurderingen til installasjonsområdet; og hvis den deltar i en sikkerhetsinstrumentert funksjon, må den også ha tilsvarende SIL-kapasitet. Disse to sertifiseringene vurderes imidlertid uavhengig av hverandre. Eksplosjonsbeskyttelsessertifisering fokuserer på kabinettet, kretsens energibegrensning og overflatetemperatur; SIL-sertifisering fokuserer på sannsynligheten for farlig feil, diagnostisk dekning, maskinvarefeiltoleransearkitektur og styring av sikkerhetslivssyklus.
Omvendt er en vanlig misforståelse at "å ha SIL-sertifisering betyr at eksplosjonsbeskyttelse ikke er nødvendig," eller "å ha et eksplosjonsvernsertifikat betyr at det kan brukes i en sikkerhetssløyfe." Begge disse ideene er feil. SIL-sertifisering vurderer ikke antennelsesrisiko, og eksplosjonsvernsertifisering vurderer ikke påliteligheten til sikkerhetsfunksjoner. Et instrument som virkelig er egnet for en sikkerhetssløyfe i et eksplosjonsfarlig område, må ha både et gyldig eksplosjonsvernsertifikat og en SIL-vurderingsrapport, og det gjeldende omfanget av begge må dekke de faktiske driftsforholdene.
