Godkendt er ikke nok – se brandsikring med SIL-briller

Når man arbejder med funktionel sikkerhed, dukker begrebet SIL oftere op. SIL står i specifikationer, kontrakter og tekniske beskrivelser – særligt inden for olie & gas, Pharma, PtX, Datacentre og BESS.

Men SIL er mere end en certificering, der kan sættes på et produkt. SIL – Safety Integrity Level – handler grundlæggende om, hvor pålideligt en sikkerhedsfunktion fungerer, når der virkelig er brug for den.

Det er altså ikke et spørgsmål om, hvor godt et system fungerer under normal drift. Det afgørende er, hvad der sker, når branden opstår, gassen slipper ud eller en anden farlig situation kræver, at sikkerhedsfunktionen reagerer. Fx skal en SIL2-sikkerhedsfunktion kunne fungere ved mindst 99 ud af 100 krav om aktivering.

SIL er ikke en egenskab ved ét produkt

En af de mest udbredte misforståelser er, at man kan købe en ”SIL2-detektor” og dermed have et SIL2-system. Så enkelt er det ikke. SIL gælder for den samlede sikkerhedsfunktion – fra detektoren i felten over panel, kommunikation og logik til fx det output, der udløser en nedlukning eller aktiverer et slukningssystem. Det betyder også, at et SIL3-certificeret panel ikke kan kompensere for en detektor, der kun opfylder SIL1.

Sikkerhedskæden er ikke stærkere end det svageste led.

Der findes fire SIL-niveauer – fra SIL1 til SIL4. Jo højere SIL-niveau, desto lavere sandsynlighed for fejl og desto større krav til blandt andet hardware, software, diagnostik og udviklingsprocesser.

SIL 1 bruges typisk i procesindustri og fabriks- og bygningsautomation; SIL2 bruges typisk som maskinsikkerhed, temperatur- og trykovervågning og sikkerhedsstyring; SIL3 bruges typisk på olie/gas/kemi-platforme, strålebehandlingsmaskiner og elektroniske bremsesystemer; SIL4 bruges typisk inden for kernekraft og togkontrolsystemer.

Hvilket SIL-niveau har du egentlig brug for?

IEC 61508 fastlægger ikke, at en bestemt type anlæg automatisk kræver et bestemt SIL-niveau. I stedet skal niveauet bestemmes ud fra den konkrete risiko. Udgangspunktet er enkelt:

Hvor stor er risikoen uden sikkerhedssystemet – og hvor meget skal risikoen reduceres for at nå et acceptabelt niveau?

Forskellen mellem de to niveauer udgør det såkaldte ”risk reduction gap”. Jo større gab, desto større krav til sikkerhedsfunktionen. Det forklarer også, hvorfor den samme type detektor kan være omfattet af forskellige SIL-krav afhængigt af installationen.

En gasdetektor på et mindre landbaseret anlæg kan fx kræve SIL1, mens den samme detektortype på en offshore-installation med begrænsede flugtveje og høj antændelsesrisiko kan indgå i en SIL2-sikkerhedsfunktion.

Syv trin fra risiko til SIL

Guiden beskriver en struktureret proces i syv trin:

1. Definér omfanget – identificér anlæg, kontrolsystemer og driftsmiljø.
2. Analysér farerne – identificér farlige hændelser og scenarier.
3. Fastlæg acceptabel risiko – bestem det tolerable risikoniveau.
4. Beregn risikoen uden sikkerhedssystemet – fastlæg baseline.
5. Beregn risikogabet – hvor meget skal risikoen reduceres?
6. Fordel sikkerhedsfunktionerne – bestem hvilke funktioner der skal håndteres af sikkerhedsrelaterede E/E/PE-systemer og andre risikoreducerende foranstaltninger.
7. Fastlæg SIL – vælg det nødvendige SIL-niveau ud fra den krævede risikoreduktion.

Det er netop denne tilgang, der sikrer, at SIL-kravet ikke bliver et tilfældigt valg i en teknisk specifikation.

Vi har lavet en omfattende guide til SIL, så har du mod på yderligere information om SIL og risikominimering, skal du bare kontakte os.

www.autronicagroup.com