Уровень полноты безопасности (Safety Integrity Level, SIL) - это не качественная характеристика «надежности» в привычном понимании, а строго количественная мера снижения риска. Для производителя оборудования понимание методологии определения SIL - это фундамент для создания конкурентоспособного продукта, который сможет легально и безопасно применяться на опасных производственных объектах (ОПО). В основе международной практики лежат стандарты IEC 61508 (базовый для разработчиков компонентов) и IEC 61511 (для конечных пользователей в процессной промышленности). В России им соответствуют гармонизированные ГОСТ Р МЭК 61508 и ГОСТ Р МЭК 61511. Алгоритм, который поможет вам, как производителю, понять, как заказчики будут оценивать ваше оборудование и какие требования к нему предъявят.

Шаг 1. Разделение понятий: SIL оборудования и SIL функции

Первое, что должен усвоить инженерный состав: уровень SIL присваивается не конкретному датчику, клапану или контроллеру, а функции безопасности в целом.

Функция безопасности (Safety Function) - это цепочка: Датчик (сенсор) → Логический решатель (контроллер) → Исполнительный механизм (клапан, привод).

Ваше изделие - лишь звено этой цепи. Вы можете произвести клапан с сертификатом SIL 3, но, если заказчик интегрирует его в систему с ненадежным датчиком, итоговый SIL функции будет равен 1 или 2. Однако именно ваш сертификат SIL 3 дает заказчику архитектурный запас для построения высоконадежной системы.

Шаг 2. Откуда берется цифра: методы определения целевого SIL

Производитель не определяет SIL для заказчика, но должен понимать, как заказчик его рассчитывает.

Существует три основных метода, описанных в стандартах:

1. Матрица рисков (Risk Graph). Качественный метод. Оцениваются четыре параметра: тяжесть последствий (от легкой травмы до катастрофы), частота присутствия людей в опасной зоне, вероятность избежания опасности и частота возникновения опасного события. Метод быстрый, но дает консервативный (завышенный) результат.
2. Анализ уровней защиты (LOPA - Layer of Protection Analysis). Полуколичественный метод, наиболее распространенный в нефтегазовой и химической отраслях. Инженер оценивает базовую частоту опасного события и накидывает на нее «слои защиты» (базовая автоматика, сигнализация оператору, предохранительные клапаны). Если после всех слоев риск остается выше допустимого (ALARP - As Low As Reasonably Practicable), на недостающую величину снижения риска назначается приборная система безопасности (SIS) с конкретным SIL.
3. Количественная оценка риска. Построение деревьев отказов и событий. Применяется для уникальных, сверхсложных систем, где важна каждая доля процента вероятности отказа.

Шаг 3. Математика надежности: PFD и PFH

Чтобы ваше оборудование допустили в систему определенного SIL, оно должно соответствовать строгим вероятностным показателям.

Их два:

1. PFD (Probability of Failure on Demand) - средняя вероятность отказа по запросу. Используется для систем с низким режимом обращения (например, защита от превышения давления, которая срабатывает редко - реже раза в год).
2. PFH (Probability of Failure per Hour) - вероятность опасного отказа в час. Используется для систем непрерывного действия (например, управление горелкой).

Для каждого уровня SIL (от 1 до 4) стандарты задают строгие диапазоны этих значений. Например, для SIL 2 в режиме низкого запроса PFD должен находиться в диапазоне от 0,001 до 0,01.

Чтобы достичь нужного PFD, вы управляете тремя переменными:

1. Интенсивность опасных отказов (λ_DU). Достигается качеством элементной базы и культуры производства.
2. Архитектура (резервирование). Переход от схемы 1oo1 (один из одного) к 1oo2 или 2oo3 радикально снижает вероятность отказа системы, построенной на ваших компонентах.
3. Интервал тестирования (TI). Вы должны четко регламентировать в паспорте, как часто заказчик должен проверять ваше оборудование, чтобы оно сохраняло заявленный SIL.

Шаг 4. Архитектурные ограничения и типы устройств

Стандарт IEC 61508 накладывает жесткие ограничения на архитектуру в зависимости от типа вашего устройства:

1. Тип А: Устройства с простой архитектурой и хорошо изученными режимами отказов (например, электромеханическое реле, простой аналоговый датчик). К ним требования мягче.
2. Тип B: Сложные устройства с микроконтроллерами, ПО, программируемой логикой (интеллектуальные датчики, ПЛК). Из-за наличия скрытых отказов и программного обеспечения к ним применяются более строгие архитектурные требования (например, обязательное резервирование для достижения SIL 3).

Также вводится понятие SFF (Safe Failure Fraction) - доля безопасных отказов. Она показывает, какой процент отказов вашего устройства переводит систему в безопасное состояние или обнаруживается диагностикой. Высокий SFF (90-99%) позволяет использовать ваше оборудование в архитектурах с меньшим уровнем резервирования.

Шаг 5. Что производитель должен дать рынку

Чтобы заказчик мог без мучений рассчитать SIL своей системы и включить ваше оборудование в проект, ваш продукт должен обладать следующим пакетом данных (Safety Manual):

1. Сертификат независимой лаборатории. Декларации о соответствии на обычном производстве для систем безопасности недостаточно. Требуется подтверждение от органа по сертификации.
2. Данные по надежности в FIT (Failures In Time). Вы должны предоставить раздельно: интенсивность опасных обнаруженных отказов (λ_DD) и опасных необнаруженных (λ_DU).
3. Значение SFF и тип устройства (А или B).
4. Архитектурные ограничения. Четкое указание, до какого SIL может применяться устройство в конфигурациях 1oo1, 1oo2 и т.д.
5. Рекомендации по тестированию. Заявленный срок службы и максимальный интервал между проверками.

Определение SIL - это всегда баланс между безопасностью и стоимостью. Ваша задача как производителя - предоставить оборудование с прозрачными вероятностными характеристиками, которое позволит конечному пользователю спроектировать систему защиты, соответствующую требованиям законодательства и здравого смысла, не переплачивая за избыточный SIL 3 там, где объективно достаточно SIL 2.

---

• IEC 61508 и IEC 61511: в чем разница
• SIL и требования российских стандартов
• Какие испытания проводят при сертификации SIL
• Как определить уровень SIL системы
• Какие документы нужны для сертификации SIL