Sisällysluettelo
SIL (Safety Integrity Level, suom. TET = Turvallisuuden eheystaso) on turvallisuuteen liittyvälle sähköiselle ohjausjärjestelmälle kohdennettaville turvallisuuteen liittyville ohjaustoiminnoille turvallisuuden eheyden vaatimusten määrittelemiseksi luotu laskentatapa. Jotta jokin laite tai järjestelmä saisi jonkin SIL-luokituksen, on sen läpäistävä IEC 61508 standardin mukaisesti sekä järjestelmä- että laitteistotestit. Testeissä lasketaan laitteiston ja järjestelmän todennäköisyys vikaantumiselle, eli tehdään vikaantumislaskenta. Turvallisuuden eheystaso määrittelee turvatoiminnon luotettavuuden. Turvallisuuden eheystaso 1 on matalin/heikoin ja eheystaso 4 korkein/paras.
Turvallisuuden eheystaso määritellään toiminnoille, ei järjestelmälle. Jos järjestelmä toteuttaa useampia turvatoimintoja, on turvallisuuden eheystason valittava vaativimman turvatoiminnon mukaisesti. Tämä on huomioitava kun esim. turvalogiikkaa hankittaessa tai ohjausyksikköä suunniteltaessa.
IEC 61508 standardin kehittyminen alkoi mekaanisista ja pneumaattisista ohjauslaitteista, jolloin turvalaitteet olivat ilman toiminnallisuutta olevia mekaanisia varolaitteita. 80-luvulla ruvettiin kehittämään hajautettuja ohjausjärjestelmiä (DCS), jotka pystyivät huolehtimaan kokonaisen teollisuuslaitoksen kaikista ohjaus- ja säätötoiminnoista. Ohjausjärjestelmien ja prosessien kehittyessä ja monimutkaistuessa haluttiin myös toiminnallisuutta sisältäviä turvatoimintoja, eikä vain varolaitteita. Usein varolaitteiden laukeaminen pysäytti koko laitoksen toiminnan ja varolaitteeseen oli tehtävä huolto ennen kuin laitos voitiin taas käynnistää. Näin yleistyivät turvatoiminnot, jotka ohjasivat järjestelmän tai laitoksen turvalliseen tilaan ennen varolaitteiden toimintaa.
Turvatoiminnot oli mahdollista toteuttaa aluksi relekytkennöillä, mutta järjestelmien monimutkaistuessa syntyi tarve lisää toiminnallisuutta sisältäville turvatoiminnoille. Releiden sijaan jouduttiin käyttämään elektroniikkaa sisältäviä laitteita, joissa toimintoja ohjasi ohjelmisto. Turvalaitteiden luotettavuuden varmistamiseksi useat maat ryhtyivät kehittämään 80-luvulla kansallisia käytäntöjä. Syyskuussa 1985 IEC perusti työryhmän, jonka tarkoituksena oli selvittää onko mahdollista kehittää yleinen standardi ohjelmoitavien elektronisten turvallisuuteen liittyvien järjestelmien kehitystyötä varten. Selvityksissä kävi ilmi, että kansainvälinen työ olisi käynnistettävä, jotta saataisiin yhtenäinen menettelytapa turvallisuuteen liittyvien järjestelmien kehitystyö luotua.
Standardien kehitystyön käynnistyttyä syntyi vuonna 1995 luonnos standardista IEC 1508. Tästä ei tosin julkaistu valmista versiota, vaan sitä kehitettiin kokemusten perusteella paremmaksi, jolloin vuosina 1998 ja 2000 julkaistiin standardi IEC 61508. Uusi standardi toi riskiarvioon perustuvan turvallisuuden varmistamisen sekä erilaisia riskitasoja vastaavat turvallisuuden eheyden tasot (SIL, suom. TET).
Vuonna 1996 ISA (Instrument Society of America) sääti standardit luokittelemaan turvajärjestelmiä Yhdysvaltojen prosessiteollisuudessa monien työtapaturmien johdosta. Tästä syntyi standardi ISA S84.01, jonka Safety Integrity Levels (SIL) esitteli. International Electrotechnical Commission (IEC) sääti teollisuusriippumattoman standardin, IEC 61508, joka auttoi määrittelemään turvallisuutta ohjelmoitavissa elektronisissa turvallisuus-järjestelmissä. Näiden standardien kombinaatio on ajanut teollisuuden tavoittelemaan instrumentoinneissa ratkaisuja, jotka parantavat luontaista turvallisuutta teollisuuden prosesseissa. Samalla huomattiin, että optimoituna SIL:lin keskeiset parametrit paransivat luotettavuutta sekä käytettävyysaikaa kyseisille prosesseille. Vuonna 2010 IEC 61508 standardista julkaistiin toinen painos.
Seuraavat standardit käyttävät SIL:liä luotettavuuden mittaukseen ja/tai riskin vähennykseen.
SIL:lillä (Safety Integrity Level) määritellään suhteellinen taso riskinvähennyksessä, jonka turvatoiminto tuottaa tai määrittää tavoitetason riskin vähentämisessä. Yksinkertaistettuna, SIL on turvatoimintojen laskentataso.
Vaatimukset tiettyyn SIL tasoon eivät ole johdonmukaisia kaikkien turvastandardien kanssa. Euroopan Toimintavarmuus standardit, jotka pohjautuvat IEC 61508 standardiin, määrittävät neljä SIL tasoa. SIL 4 on vaativin ja SIL1 kevyin. SIL määritellään perustumaan määrällisiin ja laadullisiin tekijöihin, kuten kehitysprosessiin ja turvallisuuden elinkaaren hallintaan.
Turvallisuuden eheystasojen erot voidaan karkeasti selittää periaatteellisella tasolla näin;
Projekteissa on hyvä huomata, että valittu SIL/TET-taso vaikuttaa merkittävästi kustannuksiin.
IEC 61508 määrittää SIL:lin käyttäen vaatimuksia kahdesta laajasta kategoriasta: laiteturvallisuuden oikeellisuus ja järjestelmäturvallisuuden oikeellisuus. Laitteen tai järjestelmän täytyy vastata määrityksiin molemmissa kategorioissa saadakseen jonkin SIL:lin.
SIL-vaatimukset laiteturvallisuudelle perustuu laitteen todennäköisyyspohjaiselle analyysille. Saadakseen tietyn SIL:lin, laitteen täytyy vastata vaatimuksiin maksimaalisesta todennäköisyydestä vaarallisille vikaantumisille ja vähimmäisturvallisuudesta. Vaarallisen vikaantumisen konsepti täytyy olla tinkimättömästi määritelty järjestelmälle, yleensä rajoitusvaatimusten muodossa, joiden oikeellisuus tarkistetaan järjestelmän kehityksen aikana. Itse vaatimukset vaihtelevat riippuen järjestelmän mahdollisesta kysynnästä, laitteen monimutkaisuudesta, ja käytetyistä kahdennustavoista.
PFD (Probability of Failure on Demand) ja RRF (Risk Reduction Factor) vähäisen ja jatkuvan kysynnän käytössä eri SIL:leille löytyvät määriteltyinä IEC 61508 standardista tai tästä.
Yksikanavainen arkkitehtuuri, jossa mikä tahansa vaarallinen vika johtaa häiriöön turvatoiminnossa.
Kaksikanavainen arkkitehtuuri, jossa vain toisen kanavan tarvitsee olla vaikuttuneena ennen kuin turvatoiminto voi tapahtua. Molemmissa kanavissa pitää olla vaarallinen vika ennen kuin turvatoimintoon tulee häiriö.
Kaksikanavainen arkkitehtuuri, jossa molempien kanavien pitää olla vaikuttuneena ennen kuin turvatoiminto voi tapahtua.
Arkkitehtuuri, jossa kaksi rinnan kytkettyä kanavaa. Molempien kanavien toimiessa normaalisti molempien kanavien pitää olla vaikuttuneena ennen kuin turvatoiminto voi tapahtua. Lisäksi, jos diagnostiikkatestit havaitsevat vikaa jommassa kummassa kanavassa, lähdön tila noudattaa viattoman kanavan tilaa.
Jos diagnostiikkatestit havaitsevat vian tai ristiriitaa molemmissa kanavissa jota ei voida sallia, lähtö menee turvalliseen tilaan.
Jotta ristiriita voitaisiin havaita kanavien välillä, jompi kumpi kanava voi määrittää toisen kanavan tilan toisesta kanavasta riippumattomin keinoin.
Arkkitehtuuri, jossa kolme kanavaa on kytketty rinnan enemmistöäänestysmenettelyllä. Ulostulosignaalin tila ei muutu jos vain yksi kanava antaa muista kanavista poikkeavan tuloksen.
IEC 61508 on kansainvälinen teollisuudessa sovellettu standardi. Se on tarkoitettu periaatteelliseksi turvallisuusstandardiksi sovellettavaksi kaikille teollisuuden aloille. IEC 61508 määrittää toiminnallisen turvallisuuden osana kokonaisturvallisuutta.
Standardi kattaa koko turvallisuuden elinkaaren ja alakohtaisten standardien kehittäminen voi vaatia tulkintaa. Standardi on alkuperältään prosessinohjausteollisuudesta.
Turvallisuuden elinkaaressa on 16 vaihetta mitkä voidaan jakaa karkeasti kolmeen ryhmän seuraavasti
Kaikki vaiheet ovat mukana järjestelmän turvatoimintojen toimintalinjoissa
Standardissa on seitsemän osaa:
Keskeistä standardille ovat riskin ja turvallisuuden käsitteet. Riski on taajuuden funktio (tai todennäköisyys) vaaralliselle tapahtumalle ja tapahtuman seurauksien vakavuudelle. Riskiä vähennetään siedettävälle tasolle soveltamalla turvatoimintoja, jotka koostuvat E/E/PES ja/tai muista tekniikoista.
SIL:lin käyttö tuo luonnollisesti paljon ongelmia. Ongelmat voidaan summata seuraavasti:
Näistä ongelmista johtuen voidaan teollisuudessa törmätä virheellisiin lausuntoihin kuten ”Tämän järjestelmän SIL on X, siksi että sen kehityksessä käytettiin prosessia, jota käytettiin järjestelmässä jonka SIL on X” tai SIL-konseptin käyttö väärässä asiayhteydessä kuten ”Tämä on SIL 3 lämmönvaihtojärjestelmä” tai ”Tämä järjestelmä on SIL 2”.
IEC 51608 -standardin mukaan SIL-konsepti täyttyy suhteuttaa järjestelmän vaarallisille vikaantumisasteille, eikä vain vikaantumisasteelle tai tietyn komponentin vikaantumisasteelle, kuten ohjelmiston. Vaarallisten vikatyyppien määritteleminen turvallisuusanalyysissä on olennainen osa vikaantumisasteen asianmukaiseen arviointiin.
Hyötypuoliksi voidaan mainita etenkin se, ettei johtajien tarvitse neljästä SIL:stä ymmärtää kuin perus-asiat, jolloin säästetään johdon tarve uppoutua SIL:lien yksityiskohtiin mahdollistaen kuitenkin puhumisen siitä. Suurimmaksi hyötypuoleksi voidaan kuitenkin laskea työtapaturmien huomattava vähentyminen, mikä on merkki standardien toimivuudesta.