Что такое соленоидный клапан с рейтингом SIL? (Объяснение уровней SIL в промышленных системах безопасности)

Соленоидный клапан с рейтингом SIL — это распространённая в закупочной документации формулировка для клапана, подтверждённого доказательствами функциональной безопасности и предназначенного для применения в защитной инструментированной функции (SIF). Технически клапан сам по себе не определяет уровень SIL завершённой цепи. IEC определяет SIL как свойство функции безопасности, поэтому достигнутый уровень зависит от всей установленной функции и мер управления её жизненным циклом (IEC, 2022).

Это различие меняет вопрос для закупки. Не спрашивайте только: «Этот клапан имеет SIL 2 или SIL 3?» Уточняйте, какая полная конфигурация клапана была оценена, какую функцию безопасности она выполняет, для каких данных об отказах действуют ограничения и какой вклад она вносит в расчёт от датчика до конечного элемента.

Основные выводы

• IEC определяет 4 уровня SIL, но SIL относится не к клапану как таковому, а к функции безопасности.
• PFDavg или PFH, архитектурные ограничения, систематическую способность и полный охват сертификата нужно проверять вместе.
• Proof test выявляет охваченные скрытые отказы, но не исправляет неверное безопасное состояние или архитектуру системы.

Самая полезная интерпретация опирается на доказательства: соленоидный клапан, обозначенный как «SIL capable», может быть пригоден для функции до указанного уровня при документированных условиях. Это не универсальное обещание, что каждая цепь с этим клапаном обеспечит такое же снижение риска.

Что на самом деле означает «соленоидный клапан с рейтингом SIL»?

IEC 61508 определяет 4 уровня полноты безопасности (SIL 1–SIL 4) и указывает, что SIL является свойством функции безопасности (IEC, 2022). Поэтому сертификат клапана поддерживает системный расчёт, но не заменяет расчёт, правила интеграции, проверку, обслуживание или управление изменениями.

Производители используют несколько похожих формулировок, которые имеют разные последствия:

Формулировка поставщика	Практическая трактовка	Что должен проверить покупатель
SIL capable	Оценённое изделие может применяться до указанного уровня SIL при определённых ограничениях	полная модель, функция цепи, систематическая способность, архитектура и руководство по безопасности
Пригоден для применения в SIF SIL 2 или SIL 3	Изделие предоставляет данные и ограничения для SIF с целевым уровнем	завершённая SIF по-прежнему соответствует требованиям PFDavg/PFH, архитектуры и систематической способности
Сертифицирован по IEC 61508	Сертификат распространяется на определённую область изделия и оценённую способность	орган выдачи, редакция сертификата, охваченные варианты и действительность руководства по безопасности
Подтверждён предыдущим использованием или обоснованием	Вместо сертификата изделия используется доказательство пригодности в применении	сопоставимые условия эксплуатации, рабочая среда, история отказов, контроль изменений и документированное обоснование

Точная формулировка в сертификате имеет значение. Например, Emerson указывает ASCO Series 327 как «SIL capable», а Bürkert заявляет, что указанные моностабильные функции Type 6519 могут достичь SIL 2 в зависимости от архитектуры системы безопасности (Emerson ASCO Series 327, 2026; Bürkert Type 6519, 2026). Ни одна из этих формулировок не означает, что каждая установка автоматически достигнет этого уровня.

Какое место занимает соленоидный клапан внутри SIF?

SIF в технологической отрасли обычно состоит из 3 функциональных блоков: датчиков, решающего устройства логики и конечных элементов. IEC 61511 указывает, что SIS включает все устройства, необходимые для реализации каждой SIF от датчиков до конечных элементов (IEC 61511-1, 2016). Соленоидный клапан обычно является лишь одной частью цепочки конечного элемента.

Рассмотрим аварийное отключение, которое должно закрыть технологический клапан при превышении давления над точкой срабатывания:

1. Передатчик обнаруживает состояние процесса.
2. Решающее устройство логики безопасности оценивает сигнал отключения.
3. Выходная цепь изменяет питание, подаваемое на соленоид.
4. Соленоид перенаправляет или стравливает инструментальный воздух.
5. Пневматический исполнительный механизм перемещается.
6. Технологический клапан достигает заданного безопасного положения.
7. При необходимости обратная связь по положению подтверждает результат.

Граница конечного элемента может также включать проводку, клеммы, источники питания, фильтры пилотного воздуха, шланги, бустеры, устройства быстрого выхлопа, глушители и механические соединения. Засорённый выхлоп, низкое пилотное давление, неверная функция золотника или заклинивший исполнительный механизм могут сделать отключение неэффективным, даже если катушка соленоидного клапана работает правильно.

О стандартном поведении портов и катушки читайте в отдельном руководстве о том, как пневматические соленоидные клапаны управляют сжатым воздухом. Анализ функциональной безопасности начинается после понимания этой базовой работы.

Целевые показатели отказов для SIL 1, SIL 2, SIL 3 и SIL 4

Каждый из 4 диапазонов SIL охватывает один порядок величины целевого показателя отказов. Для функций безопасности с низкой частотой требования IEC 61508 использует PFDavg, а для функций с высокой частотой требования или непрерывных функций — PFH в час. Следующие диапазоны относятся ко всей функции безопасности, а не сами по себе к обычному клапану (IEC, 2022; руководство ABB по безопасности SIL, 2025).

SIL	PFDavg при низкой частоте требований	Примерный диапазон коэффициента снижения риска	PFH при высокой частоте требований или непрерывной работе
SIL 1	не менее 10⁻² и менее 10⁻¹	свыше 10, до 100	не менее 10⁻⁶ и менее 10⁻⁵ в час
SIL 2	не менее 10⁻³ и менее 10⁻²	свыше 100, до 1 000	не менее 10⁻⁷ и менее 10⁻⁶ в час
SIL 3	не менее 10⁻⁴ и менее 10⁻³	свыше 1 000, до 10 000	не менее 10⁻⁸ и менее 10⁻⁷ в час
SIL 4	не менее 10⁻⁵ и менее 10⁻⁴	свыше 10 000, до 100 000	не менее 10⁻⁹ и менее 10⁻⁸ в час

Это не отраслевые ярлыки, а целевые диапазоны. Химическое предприятие не получает SIL 2 автоматически, как и энергетическая установка не получает SIL 3 автоматически. Анализ опасностей и оценка риска определяют требуемую функцию безопасности и снижение риска. Затем проект должен показать, что завершённая функция соответствует этому требованию.

Не выделяйте весь бюджет PFDavg соленоиду. Датчики, решающее устройство логики и каждый элемент пути отключения вносят вклад в суммарное значение. Проектный расчёт должен указывать метод распределения, показатели отказов, интервалы испытаний, допущения по ремонту, диагностическое покрытие, допущения по общей причине и срок службы.

Четыре проверки доказательств пригодности клапана

SIF требует большего, чем прохождение одного числового теста. Актуальное руководство exida определяет для проекта по IEC 61511 3 требования: PFDavg или PFH, архитектурные ограничения и систематическая способность; пригодность для конкретного применения — дополнительная инженерная проверка (exida, 2025). Одного соответствия расчёту PFDavg недостаточно.

1. Какие данные о случайных отказах оборудования применимы?

Запросите показатели опасных обнаруженных и опасных необнаруженных отказов, при необходимости данные о безопасных отказах, допущения по диагностике, полезный срок службы и источник данных. Уточните, получены ли значения из FMEDA, анализа возвратов с мест эксплуатации, доказательств предыдущего использования или другого документированного метода.

PFDavg зависит не только от показателя отказов в заголовке. Результат могут изменить интервал proof test, охват proof test, диагностика, время ремонта, архитектура голосования и допущения по общей причине. Используйте условия из руководства по безопасности, а не копируйте число со страницы маркетингового описания.

2. Какое архитектурное ограничение действует?

Аппаратная отказоустойчивость (HFT) показывает, сколько отказов оборудования можно выдержать до потери функции безопасности. Доля безопасных отказов (SFF) используется в одном из путей архитектурной оценки. Ни один из этих показателей сам по себе не является оценкой надёжности, а значение SFF не может превышать 100%.

Добавление второго соленоида автоматически не создаёт SIL 3. Схема 1oo2 может снизить вероятность опасного отказа для действия отключения, но способна увеличить ложные срабатывания и превратить общий пилотный воздух, питание, выхлоп или загрязнение в пути отказа по общей причине. Схема 2oo2 ведёт себя иначе. Требования безопасности должны определить предполагаемое голосование и реакцию на отказ.

3. Какая систематическая способность подтверждена?

Систематическая способность охватывает контроль проектирования, спецификации, производства, при наличии программного обеспечения, документации и жизненного цикла — то, что расчёты случайных отказов могут не выявить. Проверьте систематическую способность в сертификате, редакцию изделия, ограничения и утверждённый процесс изменений.

4. Подходит ли клапан для фактических условий эксплуатации?

Данные функциональной безопасности не отменяют ограничений по давлению, температуре, рабочей среде, расходу, электрическому режиму, степени защиты, опасной зоне или материалам. Клапан с подтверждённой способностью не сохраняет исходные допущения за данными об отказах, если используется вне оценённых условий эксплуатации.

Быстрее всего сертификат проверяется по 4 направлениям: полный код заказа, полная функция безопасности, полный рабочий диапазон и полные допущения по обслуживанию. Брошюра семейства, совпадающая только по бренду и названию серии, оставляет слишком много неопределённости для записи о проекте SIF.

Как функция клапана и состояние без питания влияют на безопасность?

Bürkert Type 6519 включает функции распределения 3/2, 5/2 и 5/3, однако заявление SIL 2 ограничено указанными моностабильными схемными функциями C, D и H и зависит от архитектуры (Bürkert Type 6519, 2026). Поэтому только число портов или монтажная схема NAMUR не могут определить безопасное состояние процесса.

Начните с требуемого результата процесса:

• Должен ли технологический клапан закрыться, открыться, удержать положение или стравить давление?
• Что должно произойти при потере электропитания?
• Что должно произойти при потере инструментального воздуха?
• Могут ли запертое давление, забитый глушитель или движение бустера помешать перемещению?
• Есть ли возврат пружиной и перемещает ли он технологический клапан в требуемом направлении?
• Должна ли система обнаруживать невозможность перемещения или только выполнение команды?

Отключение при отсутствии питания распространено, поскольку потеря энергии запускает безопасное действие, но оно не является универсально более безопасным. Для другой опасности отключение при наличии питания может быть обоснованным. Решение должно быть отражено в спецификации требований безопасности вместе со временем отклика, пределом утечки, конечным положением, поведением сброса и требованиями диагностики.

Нормально закрытый клапан 3/2 при снятии питания может стравить исполнительный механизм с возвратом пружиной. Моностабильный клапан 5/2 может привести двухсторонний исполнительный механизм в заданное положение. Центральное положение 5/3 может блокировать, стравливать или подавать давление на порты; эти варианты создают совершенно разное поведение при отказе. Руководство по соленоидным клапанам стандарта NAMUR объясняет механическое сопряжение и границы схемной функции.

Можно ли использовать обычный соленоидный клапан в защитной инструментированной функции?

Согласно актуальному руководству exida, для подтверждения пригодности оборудования по IEC 61511 существуют 2 признанных пути: использовать сертифицированное по IEC 61508 устройство с необходимой способностью или обосновать предыдущее использование (exida, 2025). Несертифицированный клапан не запрещён автоматически, но неподтверждённая привычность к нему или частые испытания не являются доказательством предыдущего использования.

Обоснование предыдущего использования должно быть привязано к применению. Оно должно показывать достаточно похожие условия эксплуатации, рабочие профили, среды, режимы отказа и организационные меры контроля. Также нужны достоверная история работы, отчётность об отказах, контроль конфигурации и доказательства приемлемого контроля соответствующих систематических отказов.

Этот путь усложняется при изменении кодов заказа, непоследовательной регистрации отказов на месте эксплуатации, изменении условий работы или проверке возвращённых изделий только для целей гарантии. Сертификация упрощает пакет доказательств, но даже сертифицированное устройство требует проверки применения и завершённого расчёта SIF.

Поэтому решение о закупке должно отдельно ответить на 3 вопроса:

1. Соответствует ли полный прибор требованиям к систематическим отказам?
2. Поддерживают ли случайные данные оборудования расчёт SIF?
3. Обеспечивает ли установленная архитектура требуемые ограничения и безопасное действие?

Если хотя бы один ответ отсутствует, формулировки «SIL rated» в предложении недостаточно.

Что именно поддерживает proof test?

Приложение ASCO по proof test указывает, что интервал испытания не должен быть больше интервала, использованного в расчёте надёжности SIF. Руководство для конкретного изделия рекомендует ежегодный физический осмотр и задаёт максимальный интервал осмотра 5 лет для документированной схемы (Emerson, 2020). Эти значения не являются универсальными интервалами для каждого клапана.

Proof test ищет опасные необнаруженные отказы, которые не выявляет автоматическая диагностика. Полезная процедура определяет:

• охваченную конфигурацию клапана и функцию безопасности;
• способ обхода SIF или защиты процесса на время испытания;
• отключение электрической энергии и проверки пневматического отклика;
• критерии приёмки для движения исполнительного механизма и технологического клапана;
• проверку загрязнения, коррозии, влаги и засорённых портов;
• охват proof test, использованный в расчёте PFDavg;
• восстановление, снятие обхода и независимую проверку;
• регистрацию отказов и обратную связь в данные надёжности.

Более частые испытания могут сократить время, в течение которого охваченный скрытый отказ остаётся необнаруженным. Они не меняют систематическую способность изделия, не исправляют неверную архитектуру и не доказывают режим отказа, который по процедуре вообще не приводится в действие. Испытание частичного хода может улучшить диагностическое покрытие некоторых отказов перемещения, но не заменяет полную проверку требуемого безопасного действия.

Изменения при обслуживании также важны. Замена катушки, комплекта уплотнений, разъёма, смазки или ручного обхода может вывести узел за пределы оценённой конфигурации. Проводите связанные с безопасностью изменения через процедуру управления изменениями предприятия; храните сертификат, руководство по безопасности и процедуру испытания вместе с записью об установленном активе.

Граница стандартов: IEC 61511, IEC 62061 и ISO 13849

IEC 61511 рассматривает применения SIS в технологической отрасли, а ISO 13849-1:2023 применяется к связанным с безопасностью системам управления машин в режимах высокой частоты требований и непрерывной работы, включая пневматические технологии. ISO прямо исключает работу с низкой частотой требований из области этой редакции (IEC 61511-1, 2016; ISO 13849-1, 2023).

Перед выбором терминов определите границу применения:

Контекст применения	Типичная основная рамка	Типичная формулировка целостности
Останов процесса, отключение горелки, HIPPS или аварийная изоляция	IEC 61511 в рамках IEC 61508	SIL и PFDavg или PFH
Защита машины, предотвращение опасного движения или сброс пневматической энергии	ISO 13849-1 или IEC 62061 в соответствии с применимыми стандартами машин	PL или SIL, обычно критерии высокой частоты требований/непрерывной работы
Взрывоопасная среда	ATEX, IECEx или национальные правила HazLoc	маркировка защиты оборудования, а не целостность функциональной безопасности

IEC 62061 устанавливает требования к проектированию, интеграции и проверке связанных с безопасностью систем управления машин и в своей актуальной области также охватывает неэлектрические технологии (IEC 62061, 2026). Руководство по интеграции предохранительных выхлопных клапанов подробнее рассматривает аспект защиты машины.

Одобрение ATEX или IECEx отвечает на другой вопрос: пригодно ли оборудование для определённой взрывоопасной атмосферы? Оно не доказывает, что клапан выполнит заданную функцию отключения с требуемой целостностью. Руководство по спецификации клапанов для сред ATEX и HazLoc объясняет, как проверять эти маркировки отдельно.

Что должно быть в RFQ на соленоидный клапан SIL?

Полезный RFQ требует большего, чем указание желаемого номера SIL. Поскольку SIF должна соответствовать требованиям PFDavg/PFH, архитектуры и систематической способности, покупателю следует запросить как минимум 10 полей с доказательной информацией до одобрения замены (exida, 2025). Это не позволяет принять сертификат, выданный для широкого семейства изделий, за одобренную установленную конфигурацию.

Поле RFQ	Необходимые сведения
Функция безопасности	открытие, закрытие, стравливание, удержание положения или изоляция; инициатор отключения и безопасное состояние
Стандарт применения	IEC 61511, IEC 62061, ISO 13849 или другой применимый стандарт
Требуемая целостность	целевой SIL или PL и режим требований
Полная конфигурация оборудования	производитель, серия, полный код заказа, редакция и принадлежности
Охват сертификата	орган выдачи, номер сертификата, охваченные модели/варианты и систематическая способность
Данные надёжности	показатели отказов, полезный срок службы, ссылка на FMEDA или отчёт об оценке
Архитектура	1oo1, 1oo2, 2oo2 или другая схема; диагностика и проверки отказов по общей причине
Пневматические условия	давление питания, минимальное пилотное давление, расход, выхлопной путь и качество воздуха
Электрические условия и условия окружающей среды	напряжение, режим работы, температура, степень защиты и требования опасной зоны
Proof test	процедура, интервал, охват, пределы приёмки и проверки восстановления

Запрашивайте не только сертификат, но и актуальное руководство по безопасности. В нём должны быть определены ограничения, поведение при отказах, требования к монтажу, процедуры proof test, допущения по диагностике и конфигурации, которые делают заявленную оценку недействительной.

При сравнении запасных вариантов сначала сопоставляйте допущения, а не размеры. Клапан может совпадать по схеме NAMUR, размеру порта и напряжению катушки, но не пройти проверку безопасности, если путь потока без питания, минимальное пилотное давление, охват сертификата или охват proof test отличаются от одобренной конструкции.

Правило окончательного выбора

До принятия соленоидного клапана в состав SIF 3 проверки должны дать один и тот же результат: полный прибор должен быть пригоден, данные об отказах должны соответствовать расчёту PFDavg или PFH, а установленная архитектура должна обеспечивать указанное безопасное действие. Сертификат может поддержать эти 3 проверки, но не может выполнить их за проектировщика или оператора.

Зафиксируйте доказательства в спецификации требований безопасности, расчёте верификации, перечне оборудования, монтажных чертежах и процедуре proof test. Затем проверьте всё установленное действие при реалистичных условиях питания, воздуха, нагрузки и окружающей среды. Именно это превращает компетентный компонент в часть обоснованной функции безопасности.

FAQ о соленоидном клапане с рейтингом SIL: что должен проверить покупатель?

IEC определяет 4 уровня SIL, но покупатель всё равно должен проверить 3 проектных требования для завершённой SIF: PFDavg или PFH, архитектурные ограничения и систематическую способность. Эти 5 вопросов закрывают наиболее распространённые пробелы между заявлением поставщика «SIL capable» и установленной и проверенной функцией безопасности (IEC, 2022; exida, 2025).

Присваивает ли IEC 61508 уровень SIL непосредственно соленоидному клапану?

Не в том смысле, в котором стандарт присваивает его завершённой функции безопасности. IEC указывает, что SIL является свойством функции безопасности. У соленоидного клапана могут быть оценённые систематическая способность, данные об отказах и архитектурные ограничения; они могут сделать клапан пригодным для применения до указанного уровня SIL. Однако завершённую SIF всё равно необходимо рассчитать и проверить.

Что означает «SIL 3 capable» в паспорте клапана?

Это означает, что оценённый клапан может внести вклад в функцию безопасности SIL 3 при соблюдении полной сертифицированной конфигурации, рабочих ограничений, систематической способности и архитектурных ограничений. Это не означает, что схема 1oo1 автоматически достигает SIL 3 или что весь бюджет PFDavg либо PFH можно отнести к этому клапану.

Можно ли использовать несертифицированный соленоидный клапан в SIF?

Потенциально да, но IEC 61511 требует обоснованного пути подтверждения пригодности. Актуальное руководство exida выделяет 2 пути: сертификация по IEC 61508 или документированное обоснование предыдущего использования. Для предыдущего использования нужны сопоставимые условия, история эксплуатации, записи об отказах и контроль конфигурации. Одной привычности к клапану или частых испытаний недостаточно для выполнения этого требования к доказательствам.

Повышает ли proof test рейтинг SIL клапана?

Нет. Proof test может выявить охваченные опасные необнаруженные отказы и, если документированные интервал и охват используются в расчёте, уменьшить вклад этих отказов в PFDavg. Он не повышает систематическую способность, не отменяет архитектурные ограничения и не проверяет режимы отказа, которые не выполняются по процедуре. Интервал относится к плану надёжности завершённой SIF.

Эквивалентна ли сертификация ATEX или IECEx пригодности для SIL?

Нет. ATEX и IECEx регулируют пригодность оборудования для указанных взрывоопасных атмосфер, а IEC 61508 и IEC 61511 относятся к функциональной безопасности. Клапану могут потребоваться оба набора доказательств, но один не заменяет другой. Отдельно проверяйте маркировку опасной зоны, сертификат функциональной безопасности и проект установленной SIF.

Источники и технические материалы

• IEC. Краткое изложение IEC 61508 и функциональной безопасности. Определение SIL, диапазоны снижения риска, граница функции безопасности и понятия жизненного цикла. Доступ 27 июля 2026 г.
• IEC. IEC 61511-1:2016. Требования к спецификации, проектированию, монтажу, эксплуатации и обслуживанию SIS в технологической отрасли. Доступ 27 июля 2026 г.
• IEC. IEC 62061:2021 с изменениями 2024 и 2026 годов. Рамка для связанных с безопасностью систем управления машин. Доступ 27 июля 2026 г.
• ISO. ISO 13849-1:2023. Связанные с безопасностью системы управления машин, включая пневматические технологии. Доступ 27 июля 2026 г.
• Bürkert. Соленоидный клапан Type 6519. Условное заявление SIL 2 для указанных моностабильных схемных функций. Доступ 27 июля 2026 г.
• Emerson. ASCO Series 327. Классификация способности по IEC 61508 и SIL для конкретного изделия. Доступ 27 июля 2026 г.
• Emerson. Инструкции ASCO по proof test соленоидного клапана. Назначение, интервал и процедура proof test для конкретного изделия. Доступ 27 июля 2026 г.
• exida. Как SIF достигает целевого SIL?. PFDavg/PFH, архитектурные ограничения и систематическая способность. Доступ 27 июля 2026 г.
• exida. Обоснование предыдущего использования. Пригодность оборудования на основании сертификации или доказательств предыдущего использования. Доступ 27 июля 2026 г.
• ABB. Руководство по безопасности EL3000/EL3060 SIL. Ссылки на целевые диапазоны PFDavg и PFH и терминологию целостности безопасности. Доступ 27 июля 2026 г.