SIL 3

SIL 3 (от англ. Safety Integrity Level 3 — уровень полноты безопасности 3) — это один из четырёх дискретных уровней (SIL 1 — SIL 4), установленных международными стандартами IEC 61508 (функциональная безопасность электрических, электронных, программируемых электронных систем, связанных с безопасностью) и IEC 61511 (функциональная безопасность систем безопасности для перерабатывающей промышленности). SIL 3 характеризует меру снижения риска, которую должна обеспечить система, связанная с безопасностью (E/E/PE SIS), для достижения требуемого уровня безопасности процесса. Достижение SIL 3 означает, что вероятность опасного отказа системы (PFDavg — средняя вероятность отказа при выполнении функции безопасности по запросу) находится в диапазоне от 10⁻³ до 10⁻² (то есть от 0,1 % до 1 %), а частота опасных отказов в час (PFH) — от 10⁻⁷ до 10⁻⁶. SIL 3 является одним из наиболее строгих уровней, применяемых в промышленности, и часто используется для критически важных систем безопасности, таких как системы аварийной остановки, системы защиты от взрыва и системы управления горелками.

История и нормативная база

Концепция уровней полноты безопасности (SIL) была впервые формализована в международном стандарте IEC 61508, первая редакция которого была опубликована в 1998 году. Этот стандарт стал основой для функциональной безопасности во многих отраслях промышленности. В России стандарт IEC 61508 был принят как национальный стандарт ГОСТ Р МЭК 61508 (серия) с 2007 года. Для перерабатывающей промышленности (нефтегазовая, химическая, нефтехимическая) основным стандартом является IEC 61511, который в России действует как ГОСТ Р МЭК 61511. SIL 3 как уровень безопасности был определён в этих стандартах на основе анализа рисков и требований к снижению вероятности опасных событий. В отличие от SIL 4, который применяется крайне редко (например, в атомной энергетике или железнодорожных системах управления движением), SIL 3 является максимальным практически достижимым уровнем для большинства промышленных систем безопасности, поскольку SIL 4 требует чрезвычайно низкой вероятности отказа и часто нереализуем экономически или технически.

Классификация уровней SIL

Уровни SIL определяются на основе количественных показателей надёжности системы, выполняющей функцию безопасности. Основные параметры:

• PFDavg (Probability of Failure on Demand average) — средняя вероятность отказа при выполнении функции безопасности по запросу (для систем, работающих в режиме низкой частоты запросов).
• PFH (Probability of Failure per Hour) — средняя частота опасных отказов в час (для систем, работающих в режиме высокой частоты запросов или непрерывно).

Таблица соответствия уровней SIL и допустимых значений PFDavg/PFH (по IEC 61508):

Таким образом, SIL 3 требует, чтобы вероятность отказа системы по запросу была не более 0,1 % и не менее 0,01 %. Для непрерывного режима частота опасных отказов не должна превышать 10⁻⁷ в час (один отказ за 10 000 часов, то есть примерно за 1,14 года).

Требования к системам, соответствующим SIL 3

Достижение SIL 3 накладывает строгие требования на архитектуру, проектирование, верификацию и эксплуатацию системы безопасности. Основные аспекты:

Архитектурные ограничения

Стандарт IEC 61508 устанавливает минимальные требования к архитектурной избыточности для каждого уровня SIL. Для SIL 3, как правило, требуется:

• Избыточность каналов: система должна иметь как минимум два независимых канала (например, 1oo2 — один из двух, 2oo2 — два из двух, 2oo3 — два из трёх). Одиночный канал (1oo1) не допускается для SIL 3, если только система не является полностью отказоустойчивой по отношению к опасным отказам (что практически невозможно для большинства типовых компонентов).
• Диагностика: требуется высокая степень диагностического охвата (DC — Diagnostic Coverage) — не менее 90 % для опасных отказов. Это означает, что система должна обнаруживать не менее 90 % возможных опасных отказов своих компонентов.
• Отказоустойчивость: система должна выдерживать как минимум один опасный отказ без потери функции безопасности (hardware fault tolerance (HFT) не менее 1 для SIL 3 при использовании типовых компонентов).

Программное обеспечение

Для SIL 3 предъявляются повышенные требования к разработке программного обеспечения, включая:

• Использование формальных методов верификации (например, статический анализ кода, доказательство корректности).
• Обязательное применение структурированного программирования и ограничение на использование сложных конструкций (например, рекурсии, динамического выделения памяти).
• Проведение модульного и интеграционного тестирования с покрытием кода не менее 100 % по ветвям и условиям.
• Наличие полной документации по всем этапам жизненного цикла ПО.

Управление функциональной безопасностью

Организация, разрабатывающая или эксплуатирующая систему SIL 3, должна иметь систему менеджмента функциональной безопасности, соответствующую требованиям IEC 61508. Это включает:

• Назначение ответственного за функциональную безопасность.
• Проведение анализа рисков (HAZOP, LOPA) для определения требуемого уровня SIL.
• Валидацию системы перед вводом в эксплуатацию.
• Периодическое тестирование и техническое обслуживание для поддержания уровня безопасности.

Применение SIL 3

SIL 3 используется в тех отраслях, где отказ системы безопасности может привести к катастрофическим последствиям — гибели людей, значительному ущербу окружающей среде или крупным экономическим потерям. Основные области применения:

Нефтегазовая и химическая промышленность

• Системы аварийной остановки (ESD — Emergency Shutdown): для отключения технологических установок при возникновении аварийной ситуации (например, превышение давления, утечка газа).
• Системы защиты от взрыва: для обнаружения и подавления взрывоопасных концентраций газов и паров.
• Системы управления горелками (BMS — Burner Management System): для безопасного розжига и контроля горения в печах, котлах, факелах.

Энергетика

• Системы защиты турбин: для аварийного останова газовых и паровых турбин при превышении оборотов, вибрации, температуры.
• Системы управления ядерными реакторами: хотя для атомной энергетики часто применяется SIL 4, некоторые подсистемы (например, системы защиты от перегрева) могут быть спроектированы на SIL 3.

Транспорт

• Железнодорожные системы управления движением: SIL 3 применяется для систем сигнализации, блокировки и управления стрелками (например, системы ETCS уровня 2 и 3).
• Авиация: системы управления полётом, системы торможения, системы управления двигателями (в авиации часто используется собственная классификация уровней безопасности, но SIL 3 сопоставим по требованиям с некоторыми уровнями DO-178C).

Металлургия и горная промышленность

• Системы защиты от падения грузов (например, в шахтных подъёмниках).
• Системы контроля загазованности в шахтах.

Примеры реализации

Типичным примером системы SIL 3 является программируемый логический контроллер безопасности (PLC Safety). Такие контроллеры, как правило, имеют дублированную архитектуру (например, 1oo2 или 2oo2) с перекрёстной диагностикой. Производители, такие как Siemens (серия S7-1500F), Rockwell Automation (GuardLogix), Honeywell (Safety Manager), ABB (AC800M HI), выпускают сертифицированные на SIL 3 контроллеры. Для полевых устройств (датчиков, исполнительных механизмов) также требуется сертификация на SIL 3. Например, датчики давления, температуры, расхода, а также клапаны с пневмоприводом и позиционерами могут иметь сертификат SIL 3.

Критика и ограничения

Концепция SIL 3, как и вся система уровней SIL, подвергается критике по нескольким направлениям:

• Сложность и стоимость: достижение SIL 3 требует значительных затрат на проектирование, сертификацию, тестирование и эксплуатацию. Для многих предприятий экономически оправданным является SIL 2, а SIL 3 применяется только в самых критичных случаях.
• Субъективность анализа рисков: определение требуемого уровня SIL основано на оценке рисков, которая может быть субъективной и зависеть от квалификации экспертов. Разные команды могут прийти к разным выводам для одного и того же процесса.
• Недостаточная учёт человеческого фактора: стандарты SIL в основном фокусируются на аппаратных и программных отказах, но не всегда адекватно учитывают ошибки оператора или обслуживающего персонала, которые могут быть причиной аварий.
• Проблема с SIL 4: SIL 4 практически недостижим для большинства промышленных систем из-за чрезвычайно низких требований к вероятности отказа. В результате SIL 3 часто рассматривается как максимальный практически реализуемый уровень, что может приводить к завышению требований для некоторых систем.

Интересные факты

• В России сертификация на SIL 3 проводится аккредитованными органами по сертификации, такими как «Ростест-Москва» или «ВНИИНМАШ», на соответствие требованиям ГОСТ Р МЭК 61508 и ГОСТ Р МЭК 61511.
• Некоторые производители контроллеров безопасности предлагают решения с архитектурой 2oo3 (два из трёх), которая позволяет достичь SIL 3 при сохранении работоспособности после отказа одного канала.
• SIL 3 часто путают с понятием «безопасность» в бытовом смысле, но на самом деле это строго количественная характеристика, не имеющая прямого отношения к субъективной оценке «безопасности» устройства.

Источники

• IEC 61508:2010 — Functional safety of electrical/electronic/programmable electronic safety-related systems.
• IEC 61511:2016 — Functional safety — Safety instrumented systems for the process industry sector.
• ГОСТ Р МЭК 61508-1-2012 — Функциональная безопасность электрических, электронных, программируемых электронных систем, связанных с безопасностью. Часть 1. Общие требования.
• ГОСТ Р МЭК 61511-1-2018 — Функциональная безопасность. Системы безопасности приборные для промышленных процессов. Часть 1. Структура, определения, требования к системе, аппаратным и программным средствам.
• Goble, W. M. (2010). Safety Instrumented Systems Verification: Practical Probabilistic Calculations. ISA.
• Smith, D. J., & Simpson, K. G. L. (2011). Safety Critical Systems Handbook: A Straightforward Guide to Functional Safety, IEC 61508 and Related Standards. Butterworth-Heinemann.