La protezione contro le esplosioni e il SIL affrontano due livelli completamente diversi di problemi di sicurezza: la protezione contro le esplosioni mira a garantire che "il dispositivo non possa diventare una fonte di accensione", mentre il SIL riguarda se "la funzione di sicurezza può funzionare in modo affidabile". Uno strumento può avere la certificazione di protezione dalle esplosioni ma non avere alcuna classificazione SIL, oppure può avere la funzionalità SIL ma non richiedere la certificazione di protezione dalle esplosioni: ognuno di essi risponde a problemi di rischio completamente diversi.
I. Quale problema risolve la certificazione di protezione dalle esplosioni?
La definizione principale della certificazione di protezione dalle esplosioni è quella di confermare che, quando le apparecchiature elettriche vengono utilizzate in un'atmosfera esplosiva, non accenderanno il gas combustibile o la polvere circostante a causa di scintille, archi o alte temperature generate dall'apparecchiatura stessa. Il suo punto di partenza logico è "la presenza di una miscela infiammabile ed esplosiva" e il suo punto finale è "l'apparecchiatura è progettata in modo tale da non poter diventare una fonte di accensione".
I requisiti di protezione contro le esplosioni dovrebbero essere determinati in base all'applicazione prevista e alle condizioni di installazione. Innanzitutto va chiarita la classificazione dell’area pericolosa: se si tratta di Zona 0, Zona 1, o Zona 2, e se si tratta di un ambiente con gas o con polveri; in secondo luogo è necessario confermare il gruppo di gas e la classe di temperatura del gas target. Diversi tipi di protezione contro le esplosioni, come la sicurezza intrinseca (Ex ia), la custodia ignifuga (Ex d) e la sicurezza aumentata (Ex e), sono adatti a diverse aree e condizioni operative. Nella scelta non si può semplicemente considerare "se esiste una protezione contro le esplosioni", ma bisogna considerare "quale tipo di protezione contro le esplosioni è adatta per quest'area".
Cos'altro necessita di attenzione oltre alla certificazione di protezione contro le esplosioni? Non si può solo verificare "se esiste un certificato di protezione dalle esplosioni", ma è necessario anche verificare se il certificato copre il modello del prodotto target, le condizioni operative target, la classificazione dell'area pericolosa e il gruppo di gas/polveri. Un certificato di protezione contro le esplosioni è generalmente legato a un modello di prodotto specifico, a un intervallo di temperatura e a parametri elettrici specifici. Se le condizioni operative effettive non rientrano nell'ambito della certificazione, il prodotto non può essere utilizzato in conformità con tale certificazione. Inoltre la certificazione antideflagrante riguarda la “non accensione” – non garantisce la precisione della misura, né garantisce allarmi tempestivi in caso di sovrapressione – che è questione di un altro sistema.
II. Cos’è l’accesso al mercato internazionale?
L'accesso al mercato internazionale, in poche parole, significa che affinché un prodotto possa entrare nel mercato di un determinato paese o regione, deve soddisfare i requisiti obbligatori delle normative e degli standard locali. I prodotti antideflagranti sono particolarmente importanti a questo riguardo, perché la supervisione della sicurezza in aree pericolose è obbligatoria in paesi di tutto il mondo.
Le pratiche tipiche dei diversi paesi possono essere riassunte in tre tipologie. Il tipo di conversione diretta si riferisce a determinati paesi o regioni che accettano rapporti di prova o certificati emessi dagli organismi di certificazione dell'altra parte attraverso accordi di mutuo riconoscimento, senza la necessità di ripetere test. Il tipo di certificazione di audit si riferisce al paese importatore che richiede una revisione e certificazione indipendente da parte di un organismo di certificazione riconosciuto da quel paese; anche se il Paese esportatore dispone già della certificazione, è comunque necessario seguire il processo locale. Il tipo di requisiti aggiuntivi si basa sull'accettazione di standard comuni internazionali sovrapponendo al contempo i requisiti differenziali speciali del paese, come livelli di tensione specifici, linguaggio delle etichette o stili di marcatura. L'obiettivo del sistema IECEx è proprio quello di promuovere il riconoscimento reciproco internazionale di "uno standard, un certificato, un marchio", riducendo l'onere di ripetute certificazioni. Ma la realtà è che, per quanto riguarda la supervisione della sicurezza, i paesi mantengono ancora un gran numero di requisiti localizzati.
III. Definizione e classificazione del SIL
SIL=Livello di integrità della sicurezza, che deriva dal sistema standard di sicurezza funzionale (IEC 61508 e dal relativo standard di applicazione dell'industria di processo IEC 61511). SIL definisce il grado di confidenza con cui un sistema strumentato di sicurezza eseguirà con successo una funzione di sicurezza quando è richiesta un'azione.
Quanti livelli ha il SIL? Esistono quattro livelli in totale, dove SIL 4 è il più alto e SIL 1 il più basso. Più alto è il livello, minore deve essere la probabilità di guasto della funzione di sicurezza. Per la modalità a bassa richiesta (ovvero, non più di un'azione all'anno), SIL 1 corrisponde a una probabilità media di guasto compresa tra 10⁻² e 10⁻¹, SIL 2 tra 10⁻³ e 10⁻², SIL 3 tra 10⁻⁴ e 10⁻³ e SIL 4 tra 10⁻⁵ e 10⁻⁴. I requisiti più comuni nell'industria di processo sono SIL 2 e SIL 3, mentre SIL 4 è generalmente associato ad applicazioni che richiedono i massimi livelli di integrità della sicurezza.
Quali applicazioni richiedono SIL?
Le applicazioni che richiedono il SIL non sono essenzialmente determinate dal tipo di strumento, ma dal risultato della valutazione del rischio. Non è che "atrasmettitore di pressionerichiede SIL", ma piuttosto che "una determinata funzione di sicurezza viene valutata come richiedente SIL e gli strumenti che partecipano a tale funzione devono essere idonei per il SIL richiesto." Il nocciolo del giudizio è: una volta che questa funzione di sicurezza fallisce, quanto gravi sono le conseguenze, quanto è alta la frequenza con cui si verifica e può essere prontamente evitato da altri livelli di protezione. Nell'industria di processo, le applicazioni SIL più tipiche si concentrano in scenari quali protezione da sovrapressione, interblocchi di livello alto/basso, arresto di emergenza, gestione della combustione e monitoraggio di gas tossici/combustibili. Per ad esempio, il guasto della protezione da sovrapressione del reattore può portare alla rottura del recipiente o addirittura all'esplosione; il guasto dell'interblocco di alto livello del serbatoio di stoccaggio può causare traboccamento del serbatoio e incendio; il guasto della gestione della combustione della caldaia può causare la deflagrazione del forno; e il guasto del sistema di arresto di emergenza può consentire che le deviazioni del processo non vengano corrette in tempo.
Un'altra categoria di applicazioni che richiedono SIL è il monitoraggio e l'interblocco di gas tossici, i sistemi di protezione dalla pressione ad alta integrità, ecc. Sebbene non coinvolgano necessariamente direttamente esplosioni, le conseguenze di un guasto sono altrettanto gravi. Va sottolineato in particolare che il SIL è assegnato all'intera funzione strumentale di sicurezza e non ad un singolo strumento. Un trasmettitore può "supportare applicazioni SIL 2", ma il fatto che l'intero loop raggiunga realmente SIL 2 dipende ancora dal controller logico, dalle valvole di attuazione, dall'architettura del loop, dalla copertura diagnostica e dagli intervalli di test. Al contrario, non tutti gli strumenti in aree pericolose richiedono il SIL: un sistema a prova di esplosionetrasmettitore di pressioneutilizzato solo per la visualizzazione locale o il controllo di processo ordinario non richiede la valutazione SIL se non partecipa ad alcuna funzione strumentata di sicurezza; necessita solo della certificazione di protezione contro le esplosioni. Pertanto, "quali applicazioni richiedono SIL" torna in definitiva alla valutazione del rischio: dopo che questa funzione fallisce, le conseguenze sono abbastanza gravi da richiedere l'uso di un sistema strumentato di sicurezza per ridurre il rischio? In tal caso è richiesto il SIL; se il sistema di controllo convenzionale o altri livelli di protezione sono sufficienti, non è necessario.
IV. Livelli SIL e probabilità di guasti pericolosi
PFDavg: probabilità media di guasto pericoloso in modalità a bassa domanda: minore è il valore, minore è la probabilità di guasto e maggiore è la capacità di sicurezza.
PFH: probabilità di guasto pericoloso all'ora - utilizzato in modalità a domanda elevata/continua.
V. Relazione tra protezione contro le esplosioni e SIL
Il rapporto tra protezione contro le esplosioni e SIL può essere riassunto in una frase: rispondono a domande diverse e non possono sostituirsi a vicenda. La protezione contro le esplosioni risponde "il dispositivo accenderà l'ambiente circostante", mentre il SIL risponde "la funzione di sicurezza può funzionare in modo affidabile quando necessario".
Un trasmettitore utilizzato in un'area pericolosa in genere deve soddisfare due livelli di requisiti contemporaneamente: deve avere un tipo di protezione contro le esplosioni adeguato per adattarsi al grado di rischio dell'area di installazione; e se partecipa a una funzione strumentata di sicurezza, deve avere anche la corrispondente capacità SIL. Tuttavia, queste due certificazioni vengono valutate in modo indipendente. La certificazione di protezione dalle esplosioni si concentra sull'involucro, sulla limitazione dell'energia del circuito e sulla temperatura superficiale; La certificazione SIL si concentra sulla probabilità di guasti pericolosi, sulla copertura diagnostica, sull'architettura di tolleranza ai guasti hardware e sulla gestione del ciclo di vita della sicurezza.
Al contrario, un malinteso comune è che "avere la certificazione SIL significa che la protezione contro le esplosioni non è necessaria" o "avere un certificato di protezione contro le esplosioni significa che può essere utilizzato in un circuito di sicurezza". Entrambe queste idee sono sbagliate. La certificazione SIL non valuta il rischio di accensione e la certificazione di protezione contro le esplosioni non valuta l'affidabilità delle funzioni di sicurezza. Uno strumento veramente adatto per un circuito di sicurezza in un'area pericolosa deve possedere sia un certificato di protezione dalle esplosioni valido sia un rapporto di valutazione SIL, e l'ambito applicabile di entrambi deve coprire le condizioni operative effettive.
