Safety integrity level ou nível de integridade de segurança é definido como um nível relativo de redução de risco fornecido por uma função de segurança ou para especificar um nível alvo de redução de risco. Em termos simples, SIL é uma medida de desempenho necessária para uma safety instrumented function (SIF) ou função instrumentada de segurança (tradução direta).
Os requisitos para um determinado SIL não são consistentes entre todos os padrões de segurança funcional. Nos padrões de segurança funcional baseados no padrão IEC 61508, quatro SILs são definidos, sendo SIL 4 o mais confiável e SIL 1 o mínimo. O SIL aplicável é determinado com base em uma série de fatores quantitativos em combinação com fatores qualitativos, como processo de desenvolvimento e gerenciamento do ciclo de vida de segurança.
As certificações mais utilizadas na ferrovia internacional ultimamente são “SIL 3” e “SIL 4”, os dois últimos níveis mais seguros da escala desta certificação.
A atribuição de SIL é um exercício de análise de risco em que o risco associado a um perigo específico, que se destina a ser protegido por um SIF, é calculado sem o efeito benéfico de redução de risco do SIF. Esse risco não mitigado é então comparado com uma meta de risco tolerável. A diferença entre o risco não mitigado e o risco tolerável, se o risco não mitigado for maior do que o tolerável, deve ser tratada por meio da redução de risco do SIF. Esta quantidade de redução de risco necessária está correlacionada com a meta do SIL. Em essência, cada ordem de magnitude de redução de risco exigida se correlaciona com um aumento em um dos números SIL exigidos.
Existem vários métodos usados para atribuir um SIL. Normalmente são usados em combinação e podem incluir:
- Matrizes de risco;
- Gráficos de risco;
- Análise de camadas de proteção ou Layers of protection analysis (LOPA).
Dos métodos apresentados acima, LOPA é de longe o mais comumente usado por grandes instalações industriais.
A atribuição pode ser testada usando abordagens pragmáticas e de controlabilidade, aplicando a orientação sobre atribuição de SIL publicada pelo HSE do Reino Unido. Os processos de atribuição de SIL que usam a orientação de HSE para ratificar atribuições desenvolvidas a partir de Matrizes de Risco foram certificados para atender a IEC EN 61508.
Existem vários problemas inerentes ao uso de níveis de integridade de segurança. Estes podem ser resumidos da seguinte forma:
- Fraca harmonização de definição entre os diferentes organismos de normalização que utilizam SIL;
- Métricas orientadas ao processo para derivação de SIL;
- Estimativa de SIL com base em estimativas de confiabilidade;
- Complexidade do sistema, particularmente em sistemas de software, tornando a estimativa de SIL difícil ou impossível.
Isso leva a declarações errôneas como, “Este sistema é um sistema SIL N porque o processo adotado durante seu desenvolvimento foi o processo padrão para o desenvolvimento de um sistema SIL N”, ou uso do conceito SIL fora do contexto, como, ” Este é um trocador de calor SIL 3 “ou” Este software é SIL 2 “. De acordo com a IEC 61508, o conceito SIL deve estar relacionado à taxa de falha perigosa de um sistema, não apenas sua taxa de falha ou a taxa de falha de uma parte do componente, como o software. A definição dos modos de falha perigosos pela análise de segurança é intrínseca à determinação adequada da taxa de falha.
SIL é apenas para controles elétricos e os números SIL não estão relacionados à numeração associada às categorias em EN 954-1.
O padrão IEC 61508, da International Electrotechnical Commission (IEC), define o SIL usando requisitos agrupados em duas grandes categorias: integridade de segurança de hardware e integridade de segurança sistemática. Um dispositivo ou sistema deve atender aos requisitos de ambas as categorias para atingir um determinado SIL.
Os requisitos SIL para integridade de segurança de hardware são baseados em uma análise probabilística do dispositivo. Para atingir um determinado SIL, o dispositivo deve cumprir as metas de probabilidade máxima de falha perigosa e uma fração mínima de falha segura. O conceito de ‘falha perigosa’ deve ser rigorosamente definido para o sistema em questão, normalmente na forma de restrições de requisitos cuja integridade é verificada ao longo do desenvolvimento do sistema. Os alvos reais necessários variam de acordo com a probabilidade de uma demanda, a complexidade do (s) dispositivo (s) e os tipos de redundância usados.
PFD (probabilidade de falha perigosa sob demanda) – (probability of dangerous failure on demand) e RRF (fator de redução de risco) – (risk reduction factor) de operação de baixa demanda para diferentes SILs conforme definido na IEC EN 61508 são os seguintes:
Para operação contínua, eles mudam para o seguinte. (Probabilidade de falha perigosa por hora):
Os perigos de um sistema de controle devem ser identificados e analisados por meio da análise de risco. A mitigação desses riscos continua até que sua contribuição geral para o perigo seja considerada aceitável. O nível tolerável desses riscos é especificado como um requisito de segurança na forma de uma ‘probabilidade de falha perigosa’ alvo em um determinado período de tempo, declarada como um SIL discreto.
Os esquemas de certificação são usados para estabelecer se um dispositivo atende a um determinado SIL. Os requisitos desses esquemas podem ser atendidos pelo estabelecimento de um processo de desenvolvimento rigoroso ou pelo estabelecimento de que o dispositivo tem histórico operacional suficiente para argumentar que seu uso foi comprovado.
Dispositivos elétricos e eletrônicos podem ser certificados para uso em aplicações de segurança funcional de acordo com a IEC 61508, fornecendo aos desenvolvedores de aplicativos as evidências necessárias para demonstrar que a aplicação incluindo o dispositivo também é compatível. IEC 61511 é uma adaptação específica de aplicação da IEC 61508 para o setor de indústria de processo. Esta norma é utilizada nas indústrias petroquímica e química perigosa, entre outras.
Normas de segurança:
Os seguintes padrões usam SIL como uma medida de confiabilidade e / ou redução de risco.
- ANSI / ISA S84 (Segurança funcional de sistemas instrumentados de segurança para o setor da indústria de processo);
- IEC 61508 (segurança funcional de sistemas relacionados à segurança elétrica/eletrônica/eletrônica programável);
- IEC 61511 (sistemas instrumentados de segurança para o setor da indústria de processo);
- IEC 61513 (indústria nuclear);
- IEC 62061 (segurança de máquinas);
- EN 50128 (aplicativos ferroviários – software para controle e proteção ferroviária);
- EN 50129 (aplicações ferroviárias – sistemas eletrônicos relacionados à segurança para sinalização);
- EN 50657 (aplicações ferroviárias – software a bordo do material rodante);
- EN 50402 (sistemas fixos de detecção de gás);
- ISO 26262 (indústria automotiva);
- MISRA, vários (diretrizes para análise de segurança, modelagem e programação em aplicações automotivas);
- Padrão de defesa 00-56 Edição 2 – consequência do acidente.
O uso de um SIL em normas de segurança específicas pode aplicar sequências de números ou definições diferentes daquelas da IEC EN 61508.
