Для производителя оборудования или системного интегратора путаница между стандартами IEC 61508 и IEC 61511 - это не просто терминологическая ошибка, а прямой риск сорвать сроки сертификации, получить отказ в приемке объекта заказчиком или спроектировать систему, которая не пройдет аудит. Если говорить просто, 61508 - это фундамент и язык, а 61511 - это архитектура здания и правила его эксплуатации. Разберем детально, где проходит граница ответственности.

IEC 61508: Базовый стандарт (Фундамент)

IEC 61508 «Функциональная безопасность электрических, электронных и программируемых электронных систем, связанных с безопасностью» (Functional safety of electrical/electronic/programmable electronic safety-related systems) - это горизонтальный, межотраслевой стандарт. Он не привязан к конкретному технологическому процессу.

Для кого он создан:

Для производителей. Если вы выпускаете датчики давления, интеллектуальные позиционеры, программируемые логические контроллеры (ПЛК) безопасности, драйверы или программное обеспечение - ваш мир начинается и во многом заканчивается на IEC 61508.

Что он регламентирует:

• Жизненный цикл изделия. От анализа требований и проектирования архитектуры до написания кода, верификации, производства и вывода из эксплуатации.
• Уровни полноты безопасности (SIL). Стандарт вводит количественную метрику - от SIL 1 до SIL 4. Для производителя SIL - это характеристика надежности конкретного компонента или подсистемы.
• Методы борьбы с отказами. Требования к аппаратной диагностической охвату (SFF - Safe Failure Fraction), архитектурные ограничения (Hardware Fault Tolerance), управление систематическими отказами (ошибками в коде и конструкции).
• Доказательная база. Производитель обязан предоставить «Safety Case» - пакет документов, доказывающий, что изделие действительно может работать в системе определенного уровня SIL.

Важный нюанс: Вы не можете «сертифицировать компанию по 61508». Сертифицируется конкретное изделие (Hardware и Software) на соответствие определенному уровню SIL.

IEC 61511: Отраслевая адаптация (Процесс)

IEC 61511 «Функциональная безопасность. Распределенные системы безопасности в перерабатывающей промышленности» - это вертикальный стандарт. Он написан специально для химической, нефтехимической, нефтеперерабатывающей промышленности и энергетики.

Для кого он создан:

Для конечных пользователей (заводов, НПЗ, электростанций) и системных интеграторов, которые собирают из отдельных компонентов полнофункциональную систему противоаварийной защиты (SIS - Safety Instrumented System).

Что он регламентирует:

• Процессный подход к безопасности. Стандарт не начинается с микросхем. Он начинается с анализа опасностей процесса (PHA - Process Hazard Analysis).
• Функцию, а не прибор. В 61511 уровень SIL присваивается не клапану или датчику, а функции безопасности в целом (например, «сбросить давление при превышении 10 бар»). Итоговый SIL функции ограничивается самым слабым звеном в цепи: датчик - логический решатель - исполнительный механизм.
• Жизненный цикл системы на объекте. От идентификации сценариев разгерметизации и методов оценки риска (LOPA - Layers of Protection Analysis) до регламентированных испытаний (Proof Tests) и управления изменениями в логике ПЛК.
• Управление обходами (bypass). Строгие правила того, как и на какое время можно отключать контур защиты для обслуживания, чтобы это не привело к катастрофе.

Важный нюанс: Второе издание IEC 61511 (2016 года) ввело жесткие требования к кибербезопасности SIS и документированию времени отклика системы.

Ключевые различия: карта для производителя.

Типичные ошибки при внедрении:

1. «Клапан SIL 3». Некорректная терминология. Бывает клапан, сертифицированный производителем по 61508 для применения в системах до SIL 3. Но в проекте по 61511 клапан сам по себе не имеет SIL; SIL имеет контур, в котором он работает. Заказывать у поставщика «клапан SIL 3» - ошибка, нужно запрашивать «данные для расчета PFD_avg для контура SIL 3».
2. Смешивание SIL и PL. Для станков, конвейеров и прессов первичен стандарт ISO 13849 (уровни Performance Level, PL). Пытаться закрыть риски механического травмирования на производстве требованиями IEC 61511 - методологическая ошибка.
3. Игнорирование управления изменениями. По 61511 любое изменение в логике ПЛК (даже добавление одной задержки таймера) требует переоценки SIL, управления конфигурацией и часто - независимого аудита. По 61508 производитель управляет этим на этапе выпуска новой прошивки.

Если вы производите оборудование:

• Ваш ориентир - IEC 61508. Ваша цель - получить сертификат на «железо» и софт, подтверждающий архитектурные ограничения и значение PFH. Без этого интегратор на НПЗ просто не имеет права заложить ваш прибор в проект системы безопасности.

Если вы проектируете комплексную систему защиты для заказчика (например, автоматику газовой котельной или узел налива):

• Ваш методический стандарт - IEC 61511. Вы будете использовать компоненты, сертифицированные по 61508, но собирать их в архитектуру, рассчитывать общую вероятность отказа (PFD_avg) методами LOPA и нести ответственность за то, что система вовремя перекроет отсекающий клапан при разрыве трубопровода.

Ожидание «SIL 2 по 61511» на чисто механическом риске или требование «полного 61511» для линии розлива, где главная опасность - защемление рук, - признаки того, что техническое задание писали по шаблону из другой отрасли. Заказчику на выходе нужен не «стандарт вообще», а согласованный комплект доказательств безопасности, соответствующий физической природе риска.

---

• IEC 61511 и функциональная безопасность систем
• Какие документы нужны для сертификации SIL
• HFT и аппаратная отказоустойчивость при SIL
• SIL и требования российских стандартов