Ein sicherheitsinstrumentiertes System (SIS) ist ein unabhängiges automatisiertes System aus Sensoren, Logikrechner und Stellgliedern, dessen einzige Aufgabe es ist, einen Prozess in einen sicheren Zustand zu bringen, wenn etwas schiefgeht: die Heizung abschalten, das Ventil schließen, das Abschreckmittel ablassen. Seine Leistungsanforderung wird als Sicherheitsintegritätslevel (SIL) ausgedrückt, und die maßgeblichen Normen für die Prozessindustrie sind IEC 61511 und die übergeordnete IEC 61508.
Das grundlegende Prozessleitsystem steuert die Produktion; das SIS überwacht sie. Unabhängigkeit ist das Kernprinzip: das SIS verwendet eigene Sensoren, einen eigenen Logikrechner und eigene Stellglieder, sodass ein Ausfall, der das Leitsystem fehlführt, nicht gleichzeitig den Schutz außer Sicht setzt. In der Sprache der Schutzschichten ist eine sicherheitsinstrumentierte Funktion (SIF) typischerweise die am höchsten bewertete Schicht in einer LOPA, weshalb ihre Integrität eine Zahl statt eines Adjektivs erhält.
SIL ist ein Bereich der durchschnittlichen Ausfallwahrscheinlichkeit bei Anforderung (PFDavg) für eine Funktion mit geringer Anforderungsrate: SIL 1 bedeutet, dass die Funktion höchstens bei einer von zehn Anforderungen ausfällt, SIL 2 bei einer von hundert, SIL 3 bei einer von tausend.
Jeder Schritt bedeutet eine zehnfache Risikoreduktion und deutlich mehr Engineering: Redundanz, Diagnostik, Proof-Tests und organisatorische Disziplin werden verschärft. Eine SIL-Bewertung gehört zu einer spezifischen Funktion, Schleife für Schleife, nicht zu einer Anlage oder einer Hardwaremarke.
Betrachten Sie eine SIL‑2‑Hochdruckabschaltung, deren Komponenten eine gefährliche unentdeckte Ausfallrate aufweisen, die sich bei einem 24‑monatigen Proof‑Test‑Intervall auf einen PFDavg von etwa 0,02 aufsummieren würde, knapp außerhalb des SIL‑2‑Bereichs.
Wird das Intervall auf 12 Monate halbiert, halbiert sich grob die durchschnittlich akkumulierte Nichtverfügbarkeit, wodurch der PFDavg in die Nähe von 0,01 rückt und wieder in den zulässigen Bereich fällt. Gleiche Hardware, gleiche Verdrahtung, anderer Prüfkalender: das Integritätsniveau lebt buchstäblich im Wartungsplan.
Wird ein Testzyklus versäumt, hört der berechnete Schutz stillschweigend auf zu existieren, ohne dass etwas auf dem Leitsystembildschirm sichtbar wäre.
Die meiste Integrität geht in der dritten Phase verloren, nicht in den ersten beiden: Bypass‑Abschaltungen, die länger bestehen bleiben als eine Schicht, Proof‑Tests, die überfällig verschoben werden, und Reparaturen, bei denen ein zertifiziertes Bauteil gegen irgendetwas vom Lagerregal ausgetauscht wird.
Fabrico ist kein Sicherheitssystem und hat keine Rolle bei der Ausführung von Abschaltungen; SIS‑Design und Verifikation gehören in den Zuständigkeitsbereich der Ingenieure für funktionale Sicherheit.
Was Fabrico verwaltet, ist die operative Disziplin, die die Normen verlangen: Proof‑Tests werden als wiederkehrende Arbeitsaufträge geplant und nachgewiesen, Bypass‑ und Anforderungsereignisse am Asset protokolliert, sicherheitskritische Ersatzteile im Inventar markiert und überfällige Sicherheitsarbeiten sind unmöglich zu übersehen.
Wenn die Prüfung der funktionalen Sicherheit die letzten drei Jahre der Proof‑Test‑Aufzeichnungen verlangt, ist die Antwort ein Export, kein Graben. In der EU entwickelt, mit Datenhaltung in der EU.
Nein. Ein SIS ist durch Unabhängigkeit, zertifiziertes Design und ein verifiziertes Integritätsziel definiert, nicht durch den Ort, an dem die Logik ausgeführt wird. Sicherheitszertifizierte Logikrechner existieren genau deshalb, weil Universalcontroller nicht aus sich heraus das geforderte Ausfallverhalten garantieren können.
Die Risikobewertung: Szenarioanalyse (typischerweise HAZOP plus LOPA) bestimmt, welche Risikoreduktion jede Sicherheitsfunktion liefern muss, und diese Anforderung wird in das SIL‑Ziel übersetzt. Anbieter liefern dann Komponenten, die für dieses Level geeignet sind; „SIL‑3‑Hardware“ zu kaufen ohne die Analyse ist Theater.
Im Intervall, das in der SIL‑Verifikationsberechnung für die jeweilige Funktion angenommen wurde; üblicherweise zwischen sechs Monaten und einigen Jahren. Das Intervall ist ein Auslegungsparameter, keine Vorliebe: seine Verlängerung ohne Neuberechnung verändert die erreichte Integrität.
Möchten Sie sicherheitskritische Tests, die nie durch die Maschen fallen? Buchen Sie eine Fabrico‑Demo, um Proof‑Test‑Planung, Bypass‑Protokollierung und revisionsbereite Asset‑Historie in einem System zu sehen.
Anmeldung
Blog
