Explosiebeveiliging en SIL richten zich op twee totaal verschillende niveaus van veiligheidsproblemen: bij explosiebeveiliging gaat het erom dat 'het apparaat geen ontstekingsbron kan worden', terwijl SIL gaat over de vraag of 'de veiligheidsfunctie betrouwbaar kan werken'. Een instrument kan een explosiebeveiligingscertificering hebben, maar helemaal geen SIL-classificatie, of het kan wel SIL-mogelijkheden hebben, maar geen explosiebeveiligingscertificering vereisen; ze reageren allemaal op totaal verschillende risicoproblemen.
I. Welk probleem lost de explosiebeveiligingscertificering op?
De kerndefinitie van explosiebeveiligingscertificering is om te bevestigen dat wanneer elektrische apparatuur wordt gebruikt in een explosieve atmosfeer, deze het omringende brandbare gas of stof niet zal ontsteken als gevolg van vonken, bogen of hoge temperaturen die door de apparatuur zelf worden gegenereerd. Het logische uitgangspunt is 'de aanwezigheid van een ontvlambaar en explosief mengsel' en het eindpunt is 'de apparatuur is zo ontworpen dat deze geen ontstekingsbron kan worden'.
Explosieveiligheidseisen moeten worden bepaald op basis van de beoogde toepassing en installatieomstandigheden. Ten eerste moet de classificatie van het gevaarlijke gebied worden verduidelijkt: of het Zone 0, Zone 1 of Zone 2 betreft, en of het een gasomgeving of een stofomgeving betreft; ten tweede moeten de gasgroep en de temperatuurklasse van het doelgas worden bevestigd. Verschillende soorten explosiebeveiliging, zoals intrinsieke veiligheid (Ex ia), drukvaste behuizing (Ex d) en verhoogde veiligheid (Ex e), zijn geschikt voor verschillende gebieden en bedrijfsomstandigheden. Bij de keuze kan niet simpelweg worden gekeken naar ‘of er sprake is van explosiebeveiliging’, maar moet worden gekeken naar ‘welk type explosiebeveiliging geschikt is voor dit gebied’.
Wat heeft naast de explosiebeveiligingscertificering nog meer aandacht nodig? Men kan niet alleen kijken naar "of er een explosieveiligheidscertificaat is", maar moet ook controleren of het certificaat het beoogde productmodel, de beoogde bedrijfsomstandigheden, de classificatie van gevaarlijke gebieden en de gas-/stofgroep dekt. Een explosiebeveiligingscertificaat is doorgaans gebonden aan een specifiek productmodel en een specifiek temperatuurbereik en elektrische parameters. Indien de feitelijke bedrijfsomstandigheden buiten de reikwijdte van de certificering vallen, mag het product niet in overeenstemming met die certificering worden gebruikt. Bovendien gaat het bij de certificering van explosiebeveiliging om het "niet ontsteken" - het garandeert geen meetnauwkeurigheid en garandeert ook geen tijdige alarmering bij overdruk - dat is een zaak voor een ander systeem.
II. Wat is internationale markttoegang?
Internationale markttoegang betekent, simpel gezegd, dat een product, wil het de markt van een bepaald land of een bepaalde regio betreden, moet voldoen aan de verplichte eisen van lokale regelgeving en normen. Explosieveilige producten zijn in dit opzicht bijzonder prominent aanwezig, omdat veiligheidstoezicht op gevaarlijke locaties verplicht is in landen over de hele wereld.
De typische praktijken van verschillende landen kunnen in drie typen worden samengevat. Het type directe conversie verwijst naar bepaalde landen of regio's die testrapporten of certificaten accepteren die zijn uitgegeven door de certificeringsinstanties van de andere partij via overeenkomsten voor wederzijdse erkenning, zonder dat herhaalde tests nodig zijn. Het type auditcertificering verwijst naar het importerende land dat een onafhankelijke beoordeling en certificering vereist door een door dat land erkende certificeringsinstantie; zelfs als het exporterende land al over een certificering beschikt, moet nog steeds het lokale proces worden gevolgd. Het type aanvullende vereisten is gebaseerd op het accepteren van internationale gemeenschappelijke normen, terwijl de speciale differentiële vereisten van het land worden opgelegd, zoals specifieke spanningsniveaus, labeltaal of markeringsstijlen. Het doel van het IECEx-systeem is juist het bevorderen van de internationale wederzijdse erkenning van ‘één norm, één certificaat, één merk’, waardoor de last van herhaalde certificering wordt verminderd. Maar de realiteit is dat landen, uit overwegingen van veiligheidstoezicht, nog steeds een groot aantal lokale eisen handhaven.
III. Definitie en classificatie van SIL
SIL=Safety Integrity Level, afkomstig van het functionele veiligheidsstandaardsysteem (IEC 61508 en de procesindustrietoepassingsstandaard IEC 61511). SIL definieert de mate van vertrouwen dat een veiligheidsinstrumenteel systeem met succes een veiligheidsfunctie zal uitvoeren wanneer actie vereist is.
Hoeveel niveaus heeft SIL? Er zijn in totaal vier niveaus, waarbij SIL 4 het hoogste is en SIL 1 het laagste. Hoe hoger het niveau, hoe lager de kans op uitval van de veiligheidsfunctie moet zijn. Voor de modus met weinig vraag (dwz niet meer dan één actie per jaar) komt SIL 1 overeen met een gemiddelde faalkans van 10⁻² tot 10⁻¹, SIL 2 is 10⁻³ tot 10⁻², SIL 3 is 10⁻⁴ tot 10⁻³ en SIL 4 is 10⁻⁵ tot 10⁻⁴. De meest voorkomende vereisten in de procesindustrie zijn SIL 2 en SIL 3, en SIL 4 wordt over het algemeen geassocieerd met toepassingen die het hoogste niveau van veiligheidsintegriteit vereisen.
Voor welke toepassingen is SIL vereist?
Welke toepassingen SIL vereisen, wordt in essentie niet bepaald door het type instrument, maar door het resultaat van de risicobeoordeling. Het is niet zo dat "eendruk zendervereist SIL", maar eerder dat "een bepaalde veiligheidsfunctie wordt beoordeeld als SIL vereisend, en de instrumenten die aan die functie deelnemen, moeten geschikt zijn voor de vereiste SIL." De kern van het oordeel is: zodra deze veiligheidsfunctie faalt, hoe ernstig zijn de gevolgen, hoe hoog is de frequentie van voorkomen, en kunnen deze onmiddellijk worden vermeden door andere beschermingslagen. In de procesindustrie zijn de meest typische SIL-toepassingen geconcentreerd in scenario's zoals overdrukbeveiliging, hoog/laag niveau-vergrendelingen, noodstop, verbrandingsbeheer en toxische/brandbare stoffen. Het falen van de overdrukbeveiliging van de reactor kan bijvoorbeeld leiden tot het scheuren van een vat of zelfs tot een explosie; het falen van de opslagtank op hoog niveau kan het overlopen van de tank veroorzaken en het falen van het verbrandingsbeheer van de ketel kan leiden tot deflagratie van de oven; en het falen van het noodstopsysteem kan ervoor zorgen dat procesafwijkingen niet tijdig worden gecorrigeerd. Meestal is 3 vereist.
Een andere categorie toepassingen waarvoor SIL nodig is, zijn de bewaking en vergrendeling van toxische gassen, drukbeschermingssystemen met hoge integriteit, enz. Hoewel deze niet noodzakelijkerwijs direct gepaard gaan met explosies, zijn de gevolgen van een storing even ernstig. Er moet vooral worden benadrukt dat SIL wordt toegewezen aan de gehele veiligheidsinstrumentele functie, en niet aan één enkel instrument. Een zender kan "SIL 2-toepassingen ondersteunen", maar of de hele lus daadwerkelijk SIL 2 bereikt, hangt nog steeds af van de logische controller, de aandrijvende kleppen, de lusarchitectuur, de diagnostische dekking en de testintervallen. Omgekeerd vereisen niet alle instrumenten in gevaarlijke gebieden SIL: een explosieveiligedruk zenderalleen gebruikt voor lokale weergave of gewone procescontrole vereist geen SIL-beoordeling als het niet deelneemt aan een veiligheidsinstrumentele functie; het heeft alleen een explosiebeveiligingscertificering nodig. Daarom komt "welke toepassingen SIL vereisen" uiteindelijk terug op risicobeoordeling: nadat deze functie faalt, zijn de gevolgen ernstig genoeg dat een veiligheidsinstrumentarium moet worden gebruikt om het risico te verminderen? Dan is SIL vereist; als het conventionele besturingssysteem of andere beschermingslagen voldoende zijn, is dit niet vereist.
IV. SIL-niveaus en waarschijnlijkheid van gevaarlijke mislukkingen
PFDavg: Gemiddelde waarschijnlijkheid van gevaarlijk falen in de modus met weinig vraag - hoe kleiner de waarde, hoe lager de kans op falen en hoe sterker het veiligheidsvermogen.
PFH: Waarschijnlijkheid van een gevaarlijke storing per uur - gebruikt in de modus met veel vraag/continu.
V. Relatie tussen explosiebeveiliging en SIL
De relatie tussen explosiebeveiliging en SIL kan in één zin worden samengevat: ze beantwoorden verschillende vragen en kunnen elkaar niet vervangen. Explosiebeveiliging antwoordt "zal het apparaat de omgeving in brand steken", terwijl SIL antwoordt "kan de veiligheidsfunctie betrouwbaar werken wanneer dat nodig is."
Een zender die in een gevaarlijke omgeving wordt gebruikt, moet doorgaans tegelijkertijd aan twee eisenniveaus voldoen: hij moet over een geschikt explosiebeveiligingstype beschikken om zich aan te passen aan de gevarenclassificatie van het installatiegebied; en als het deelneemt aan een veiligheidsinstrumentele functie, moet het ook over de overeenkomstige SIL-capaciteit beschikken. Deze twee certificeringen worden echter onafhankelijk beoordeeld. Explosiebeveiligingscertificering richt zich op de behuizing, de energiebeperking van het circuit en de oppervlaktetemperatuur; SIL-certificering richt zich op de waarschijnlijkheid van gevaarlijke storingen, diagnostische dekking, architectuur voor hardwarefouttolerantie en beheer van de veiligheidslevenscyclus.
Omgekeerd is een veel voorkomend misverstand dat ‘het hebben van een SIL-certificering betekent dat explosiebeveiliging niet nodig is’, of dat ‘het hebben van een explosiebeveiligingscertificaat betekent dat het in een veiligheidscircuit kan worden gebruikt’. Beide ideeën zijn verkeerd. SIL-certificering beoordeelt het ontstekingsrisico niet, en explosiebeveiligingscertificering beoordeelt de betrouwbaarheid van veiligheidsfuncties niet. Een instrument dat echt geschikt is voor een veiligheidslus in een gevaarlijke omgeving moet beschikken over zowel een geldig explosiebeveiligingscertificaat als een SIL-beoordelingsrapport, en de toepasselijke reikwijdte van beide moet de feitelijke bedrijfsomstandigheden omvatten.
