Система SIS обеспечивает автоматический перевод технологического процесса в безопасное состояние при возникновении аварийных ситуаций, предотвращая аварии и защищая персонал и оборудование. SIS — это система, автоматически обеспечивающая безопасность процесса при отклонении параметров от нормы. Схема 1oo2 обычно повышает чувствительность к опасному отказу, но может увеличить вероятность ложного отключения.
данные обновлены 2026-10-21 ·
1. Что такое SIS и функциональная безопасность
SIS — независимый слой защиты, который обнаруживает опасное отклонение и переводит процесс в безопасное состояние. Она не заменяет обычную систему управления: та ведёт процесс в нормальном режиме, а SIS действует по заданной функции безопасности. Границы системы задают от датчика до конечного элемента, включая логический решатель, питание, диагностику и связь с оператором.
Проектирование начинают с опасных сценариев и требуемого действия, а не с выбора контроллера. Для каждой функции описывают условие запуска, безопасное состояние, время реакции, возможность тестирования и последствия отказа. Независимость от обычного управления оценивают на уровне сигналов, питания, программной логики и исполнительных устройств.
Текущая страница в тематической подборке.
Смежная тема кластера «Аналоговые сигналы и токовые петли».
Смежная тема кластера «Аналоговые сигналы и токовые петли».
Смежная тема кластера «Измерение давления».
Смежная тема кластера «Основы и архитектура КИПиА».
Смежная тема кластера «Основы и архитектура КИПиА».
Смежная тема кластера «Основы и архитектура КИПиА».
Смежная тема кластера «Измерение давления».
Смежная тема кластера «Разность давлений и гидростатические измерения».
2. Устройство и принцип работы
Работа SIS начинается с анализа опасностей и определения функции, затем выбирают архитектуру датчиков, логического решателя и клапанов. После монтажа проверяют прохождение сигнала, решение логики и фактическое действие конечного элемента. Тестирование перед вводом в эксплуатацию должно показывать не только смену состояния на экране, но и выполнение безопасного действия.
В эксплуатации контролируют диагностические сообщения, готовность каналов и результаты proof-test. При изменении технологической схемы пересматривают причинно-следственные связи, уставки и время реакции. Отказ обычной системы управления не должен автоматически отменять функцию безопасности, если проектом предусмотрена независимая SIS.
- Шаг 1Проведение анализа рисков HAZOP для выявления опасных ситуаций.
- Шаг 2Определение требуемого уровня SIL для каждой функции безопасности.
- Шаг 3Разработка архитектуры системы с учетом PFD и диагностики.
- Шаг 4Проектирование и монтаж датчиков, логических решателей и клапанов.
- Шаг 5Тестирование системы на работоспособность перед вводом в эксплуатацию.
3. Ключевые параметры
К параметрам SIS относят требуемый уровень безопасности, вероятность отказа при запросе, время реакции и рабочие условия оборудования. Эти характеристики связывают с конкретной функцией, датчиками, логическим решателем и конечными элементами. Давление котла и другие технологические пределы нельзя переносить между функциями без проверки опасного сценария.
Требуемый SIL определяют по анализу риска, а достигнутый уровень подтверждают архитектурой, диагностикой, тестированием и данными компонентов. Проверяют также общие причины отказа, питание, независимость каналов и возможность выполнить proof-test. Маркировки оборудования недостаточно, если вся цепочка не выдерживает требуемое время реакции и безопасное действие.
| Параметр | Значение | Единица | Источник |
|---|---|---|---|
| Требуемый уровень безопасности SIL 2 | 2 SIL | SIL | ГОСТ Р МЭК 61508-4 |
| Вероятность отказа на запрос | 0.001 PFD | PFD | ГОСТ Р МЭК 61508-2 |
| Максимальное время реакции контура | 2 с | с | инженерная практика; сверить по паспорту |
| Диапазон рабочих давлений котла | 1.5 бар | бар | инженерная практика; сверить по паспорту |
4. Схема работы
В схеме SIS датчики передают признаки опасного отклонения логическому решателю. Решатель сравнивает их с условиями функции и выдаёт команду конечным элементам: например, закрыть клапан или остановить подачу. Сигналы диагностики и обратное состояние позволяют понять, выполнено ли действие. Обычный контур регулирования находится рядом, но не должен подменять защитную цепь.
Проверку проводят по причинно-следственной матрице: создают допустимое тестовое условие, наблюдают решение и подтверждают физический результат. Затем проверяют восстановление и запись события. Если команда сформирована, но процесс не перешёл в безопасное состояние, ищут неисправность питания, клапана, привода или связи между элементами.
5. Виды и разновидности
Архитектуры SIS различают по количеству измерительных каналов, способу голосования, диагностике и степени независимости. Простая схема легче для обслуживания, а резервирование может повысить доступность, но добавляет связи и общие причины отказа. Выбор делают по опасной функции и требуемому уровню, а не по сложности оборудования.
При сравнении вариантов проверяют реакцию на отказ датчика, потерю питания, неисправность логики и заедание конечного элемента. Также оценивают возможность proof-test без вывода процесса из безопасного состояния и порядок возврата после теста. В документации должны быть видны границы SIS и точки, где она зависит от общей инфраструктуры.
| Значение | Источник |
|---|---|
| Схема 1oo1: один датчик, один решатель, один клапан. Низкая надежность. | ГОСТ Р МЭК 61508-2 |
| Схема 1oo2: для действия достаточно одного из двух каналов; применяют два датчика и логику голосования. Высокая надежность. | ГОСТ Р МЭК 61508-2 |
| Схема 2oo3: три датчика, один решатель, один клапан. Баланс надежности и доступности. | ГОСТ Р МЭК 61508-2 |
6. На что влияет и зачем нужно
Регулярные тесты показывают, сохраняет ли SIS способность выполнить защитную функцию после длительной эксплуатации. Их результат оценивают вместе с диагностикой, состоянием конечных элементов и отказами питания. Независимость SIS от АСУ ТП уменьшает риск общей причины отказа, если независимость действительно выдержана в цепях, программной логике и исполнительных устройствах.
При разборе срабатывания отделяют опасное отклонение процесса от отказа канала или ложного сигнала. Архив, результаты proof-test и сведения о ремонте помогают восстановить последовательность события. После изменения оборудования пересматривают требуемый уровень, время реакции, причинно-следственную матрицу и процедуру испытаний.
7. Частые ошибки и на что смотреть
Недопустимо использовать АСУ ТП для выполнения функций безопасности, если проектом не подтверждена требуемая независимость и пригодность. Игнорирование proof-test оставляет скрытые отказы в датчиках, логике и конечных элементах. Неправильный выбор SIL не подтверждает требуемый уровень защиты и должен быть пересмотрен по анализу риска.
При неисправности не обходят защитную логику временной перемычкой и не считают появление команды доказательством срабатывания. Проверяют сигнал, решатель, питание, привод и фактическое состояние клапана. После ремонта повторяют испытание всей функции, фиксируют результат и только затем возвращают систему в эксплуатацию по установленной процедуре.
Частые вопросы
Чем SIS отличается от обычной системы управления?
Обычная система управления поддерживает процесс в рабочем режиме, а SIS выполняет отдельную функцию при опасном отклонении и переводит объект в безопасное состояние. Для SIS задают границы, датчики, логический решатель, конечные элементы, диагностику и порядок тестирования. Независимость оценивают по всей цепочке, а не по отдельному контроллеру.
Как определить требуемый SIL для защитной функции?
Требуемый SIL выводят из анализа опасностей и риска для конкретного сценария, а не выбирают по доступной модели оборудования. Определяют частоту и последствия опасного события, необходимое действие и допустимую вероятность отказа при запросе. Затем проверяют архитектуру, диагностику, тестирование и данные компонентов. Полученный уровень документируют вместе с причинно-следственной связью функции.
Что должен подтверждать proof-test SIS?
Proof-test должен показывать способность всей функции выполнить действие: от изменения сигнала датчика через логический решатель до перехода конечного элемента в безопасное состояние. Отдельно проверяют тревогу, диагностику, питание и возврат после теста. Просмотр сообщения на панели не заменяет физическую проверку клапана или другого исполнительного устройства. Результат сохраняют с условиями и обнаруженными отказами.
Почему защитная система срабатывает без опасного отклонения?
Ложное срабатывание связано с помехой, уходом датчика, неверной уставкой, ошибкой логики, общим питанием или неисправностью конечного элемента. По архиву восстанавливают последовательность: какой сигнал появился, что решил решатель и какое действие выполнено. Затем проверяют калибровку, кабели, диагностику и причинно-следственную матрицу. Увеличивать порог без разбора причины нельзя.
Как сравнить архитектуры SIS по надёжности и доступности?
Сравнивают реакцию на отказ датчика, логического решателя, питания и конечного элемента, а также возможность обнаружить отказ диагностикой. Резервирование может уменьшить влияние одиночной неисправности, но добавляет связи и общие причины. Учитывают независимость от АСУ ТП, доступность proof-test, время реакции и порядок восстановления. Итог проверяют расчётом и подтверждёнными данными компонентов.
Что делать при изменении технологической схемы?
Повторно проверяют опасные сценарии, границы SIS, уставки, время реакции, причинно-следственную матрицу и совместимость конечных элементов. Изменение обычного контура управления не должно незаметно нарушить независимость защитной цепи. После монтажа выполняют проверку сигналов и полное функциональное испытание, обновляют документацию и только затем возвращают систему к штатной эксплуатации.
Не нашли свой вопрос?
Наведите или перейдите к термину, чтобы увидеть короткое определение: