Explosionsschutz und SIL befassen sich mit zwei völlig unterschiedlichen Sicherheitsebenen: Beim Explosionsschutz geht es darum sicherzustellen, dass „das Gerät nicht zur Zündquelle werden kann“, während es bei SIL darum geht, ob „die Sicherheitsfunktion zuverlässig arbeiten kann“. Ein Instrument verfügt möglicherweise über eine Explosionsschutzzertifizierung, aber überhaupt über keine SIL-Einstufung, oder es verfügt möglicherweise über SIL-Fähigkeit, erfordert aber keine Explosionsschutzzertifizierung – beide reagieren auf völlig unterschiedliche Risikoprobleme.
I. Welches Problem löst die Explosionsschutzzertifizierung?
Die Kerndefinition der Explosionsschutzzertifizierung besteht darin, zu bestätigen, dass elektrische Geräte, die in einer explosionsfähigen Atmosphäre verwendet werden, das umgebende brennbare Gas oder den Staub nicht aufgrund von Funken, Lichtbögen oder hohen Temperaturen, die vom Gerät selbst erzeugt werden, entzünden. Ihr logischer Ausgangspunkt ist „das Vorhandensein eines brennbaren und explosiven Gemisches“ und ihr Endpunkt ist „das Gerät ist so konstruiert, dass es nicht zu einer Zündquelle werden kann“.
Die Anforderungen an den Explosionsschutz sollten auf der Grundlage der vorgesehenen Anwendung und der Installationsbedingungen ermittelt werden. Zunächst muss die Klassifizierung des Gefahrenbereichs geklärt werden: ob es sich um Zone 0, Zone 1 oder Zone 2 handelt und ob es sich um eine Gasumgebung oder eine Staubumgebung handelt; Zweitens müssen die Gasgruppe und die Temperaturklasse des Zielgases bestätigt werden. Verschiedene Explosionsschutzarten wie Eigensicherheit (Ex ia), druckfeste Kapselung (Ex d) und erhöhte Sicherheit (Ex e) sind für unterschiedliche Bereiche und Betriebsbedingungen geeignet. Bei der Auswahl darf nicht einfach darauf geachtet werden, „ob es einen Explosionsschutz gibt“, sondern es muss darauf geachtet werden, „welcher Explosionsschutz für diesen Bereich geeignet ist“.
Was muss neben der Explosionsschutzzertifizierung noch beachtet werden? Man kann nicht nur darauf achten, „ob ein Explosionsschutzzertifikat vorliegt“, sondern muss auch prüfen, ob das Zertifikat das Zielproduktmodell, die Zielbetriebsbedingungen, die Gefahrenbereichsklassifizierung und die Gas-/Staubgruppe abdeckt. Ein Explosionsschutzzertifikat ist in der Regel an ein bestimmtes Produktmodell sowie einen bestimmten Temperaturbereich und elektrische Parameter gebunden. Wenn die tatsächlichen Betriebsbedingungen außerhalb des Geltungsbereichs der Zertifizierung liegen, darf das Produkt nicht gemäß dieser Zertifizierung verwendet werden. Darüber hinaus geht es bei der Explosionsschutzzertifizierung um das „Nichtzünden“ – sie garantiert weder die Messgenauigkeit noch eine rechtzeitige Alarmierung bei Überdruck – das ist eine Sache eines anderen Systems.
II. Was ist internationaler Marktzugang?
Vereinfacht ausgedrückt bedeutet internationaler Marktzugang, dass ein Produkt, damit es auf den Markt eines bestimmten Landes oder einer bestimmten Region gelangt, die zwingenden Anforderungen lokaler Vorschriften und Standards erfüllen muss. Besonders hervorzuheben sind in diesem Zusammenhang explosionsgeschützte Produkte, da in allen Ländern der Welt eine Sicherheitsüberwachung in explosionsgefährdeten Bereichen vorgeschrieben ist.
Die typischen Praktiken verschiedener Länder lassen sich in drei Typen zusammenfassen. Der direkte Konvertierungstyp bezieht sich darauf, dass bestimmte Länder oder Regionen Prüfberichte oder Zertifikate akzeptieren, die von den Zertifizierungsstellen der anderen Partei im Rahmen gegenseitiger Anerkennungsvereinbarungen ausgestellt wurden, ohne dass wiederholte Tests erforderlich sind. Der Audit-Zertifizierungstyp bezieht sich auf das Einfuhrland, das eine unabhängige Überprüfung und Zertifizierung durch eine von diesem Land anerkannte Zertifizierungsstelle verlangt; Auch wenn das Exportland bereits über eine Zertifizierung verfügt, muss der lokale Prozess dennoch befolgt werden. Der Typ der zusätzlichen Anforderungen basiert auf der Akzeptanz internationaler gemeinsamer Standards und überlagert gleichzeitig die speziellen unterschiedlichen Anforderungen des Landes, wie z. B. bestimmte Spannungspegel, Etikettensprache oder Markierungsstile. Das Ziel des IECEx-Systems besteht genau darin, die internationale gegenseitige Anerkennung von „einem Standard, einem Zertifikat, einem Zeichen“ zu fördern und so die Belastung durch wiederholte Zertifizierungen zu verringern. Die Realität ist jedoch, dass die Länder aus Rücksicht auf die Sicherheitsüberwachung immer noch eine große Anzahl lokaler Anforderungen beibehalten.
III. Definition und Klassifizierung von SIL
SIL=Safety Integrity Level, das aus dem Standardsystem für funktionale Sicherheit (IEC 61508 und dessen Anwendungsnorm für die Prozessindustrie IEC 61511) stammt. SIL definiert den Grad der Sicherheit, dass ein sicherheitstechnisches System eine Sicherheitsfunktion erfolgreich ausführt, wenn eine Aktion erforderlich ist.
Wie viele Stufen hat SIL? Insgesamt gibt es vier Stufen, wobei SIL 4 die höchste und SIL 1 die niedrigste ist. Je höher die Stufe, desto geringer muss die Wahrscheinlichkeit eines Ausfalls der Sicherheitsfunktion sein. Für den Low-Demand-Modus (d. h. nicht mehr als eine Aktion pro Jahr) entspricht SIL 1 einer durchschnittlichen Ausfallwahrscheinlichkeit von 10⁻² bis 10⁻¹, SIL 2 beträgt 10⁻³ bis 10⁻², SIL 3 beträgt 10⁻⁴ bis 10⁻³ und SIL 4 beträgt 10⁻⁵ bis 10⁻⁴. Die häufigsten Anforderungen in der Prozessindustrie sind SIL 2 und SIL 3, und SIL 4 wird im Allgemeinen mit Anwendungen in Verbindung gebracht, die ein Höchstmaß an Sicherheitsintegrität erfordern.
Welche Anwendungen erfordern SIL?
Welche Anwendungen SIL erfordern, wird im Wesentlichen nicht durch den Gerätetyp bestimmt, sondern durch das Ergebnis der Risikobewertung. Es ist nicht so, dass „aDrucktransmitter„erfordert SIL“, sondern dass „eine bestimmte Sicherheitsfunktion als SIL-pflichtig eingestuft wird und die an dieser Funktion beteiligten Instrumente für die erforderliche SIL geeignet sein müssen.“ Der Kern der Beurteilung lautet: Wie schwerwiegend sind die Folgen, wenn diese Sicherheitsfunktion ausfällt, wie hoch ist die Häufigkeit des Auftretens und kann sie durch andere Schutzschichten umgehend vermieden werden? In der Prozessindustrie konzentrieren sich die typischsten SIL-Anwendungen auf Szenarien wie Überdruckschutz, Verriegelungen bei hohem/niedrigem Füllstand, Notabschaltung, Verbrennungsmanagement und toxische/brennbare Stoffe Ein Ausfall des Reaktorüberdruckschutzes kann zum Beispiel zum Bersten des Behälters oder sogar zu einer Explosion führen; ein Ausfall des Kesselverbrennungssystems kann dazu führen, dass Prozessabweichungen nicht rechtzeitig behoben werden, wenn die Sicherheitsfunktion ausfällt, oder dass es zu schweren Umweltschäden kommen kann 3 ist normalerweise erforderlich.
Eine weitere Kategorie von Anwendungen, die SIL erfordern, sind die Überwachung und Verriegelung giftiger Gase, hochintegrierte Druckschutzsysteme usw. Obwohl sie nicht unbedingt direkt mit Explosionen einhergehen, sind die Folgen eines Ausfalls ebenso schwerwiegend. Besonders hervorzuheben ist, dass SIL der gesamten sicherheitstechnischen Funktion zugeordnet ist und nicht einem einzelnen Gerät zugeordnet ist. Ein Sender kann „SIL 2-Anwendungen unterstützen“, aber ob der gesamte Regelkreis wirklich SIL 2 erreicht, hängt immer noch von der Logiksteuerung, den Betätigungsventilen, der Regelkreisarchitektur, der Diagnoseabdeckung und den Testintervallen ab. Umgekehrt erfordern nicht alle Instrumente in explosionsgefährdeten Bereichen SIL: ExplosionsschutzDrucktransmitterWird nur für die lokale Anzeige oder normale Prozesssteuerung verwendet und erfordert keine SIL-Bewertung, wenn es nicht an einer sicherheitstechnischen Funktion beteiligt ist. Es ist lediglich eine Explosionsschutzzertifizierung erforderlich. Daher kommt es bei der Frage, welche Anwendungen SIL erfordern, letztendlich auf die Risikobewertung an: Sind die Folgen nach dem Ausfall dieser Funktion schwerwiegend genug, dass ein sicherheitstechnisches System zur Risikominderung eingesetzt werden muss? Wenn ja, ist SIL erforderlich; Wenn das herkömmliche Steuerungssystem oder andere Schutzschichten ausreichen, ist dies nicht erforderlich.
IV. SIL-Level und Wahrscheinlichkeit eines gefährlichen Ausfalls
PFDavg: Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls im Niedrigbedarfsmodus – je kleiner der Wert, desto geringer die Ausfallwahrscheinlichkeit und desto stärker die Sicherheitsfähigkeit.
PFH: Wahrscheinlichkeit eines gefährlichen Ausfalls pro Stunde – verwendet im Hochleistungs-/Dauermodus.
V. Zusammenhang zwischen Explosionsschutz und SIL
Der Zusammenhang zwischen Explosionsschutz und SIL lässt sich in einem Satz zusammenfassen: Sie beantworten unterschiedliche Fragen und können sich nicht gegenseitig ersetzen. Der Explosionsschutz antwortet: „Wird das Gerät die Umgebung entzünden?“, während SIL antwortet: „Kann die Sicherheitsfunktion bei Bedarf zuverlässig funktionieren?“
Ein Messumformer, der in einem explosionsgefährdeten Bereich eingesetzt wird, muss typischerweise zwei Anforderungen gleichzeitig erfüllen: Er muss über einen geeigneten Explosionsschutztyp verfügen, um sich an die Gefahreneinstufung des Installationsbereichs anzupassen; und wenn es an einer sicherheitstechnischen Funktion beteiligt ist, muss es auch über die entsprechende SIL-Fähigkeit verfügen. Diese beiden Zertifizierungen werden jedoch unabhängig voneinander bewertet. Die Explosionsschutzzertifizierung konzentriert sich auf das Gehäuse, die Energiebegrenzung des Stromkreises und die Oberflächentemperatur. Die SIL-Zertifizierung konzentriert sich auf die Wahrscheinlichkeit eines gefährlichen Ausfalls, die Diagnoseabdeckung, die Hardware-Fehlertoleranzarchitektur und das Sicherheitslebenszyklusmanagement.
Umgekehrt besteht ein häufiges Missverständnis darin, dass „eine SIL-Zertifizierung bedeutet, dass kein Explosionsschutz erforderlich ist“ oder „ein Explosionsschutzzertifikat bedeutet, dass es in einem Sicherheitskreislauf eingesetzt werden kann“. Beide Vorstellungen sind falsch. Die SIL-Zertifizierung bewertet nicht das Zündrisiko und die Explosionsschutzzertifizierung bewertet nicht die Zuverlässigkeit von Sicherheitsfunktionen. Ein Gerät, das wirklich für einen Sicherheitskreis in einem explosionsgefährdeten Bereich geeignet ist, muss sowohl über ein gültiges Explosionsschutzzertifikat als auch über einen SIL-Bewertungsbericht verfügen, und der anwendbare Geltungsbereich beider muss die tatsächlichen Betriebsbedingungen abdecken.
