Сертификат SIL: что подтверждает документ и как определить нужный уровень

Сертификат SIL подтверждает результаты оценки функциональной безопасности оборудования, программного обеспечения, подсистемы или системы в установленной области применения. Документ не означает, что изделие автоматически подходит для любой системы с таким же уровнем SIL. Проектировщик должен проверить функцию безопасности, конфигурацию, версию изделия, ограничения применения и требования конкретного проекта.

Коротко о главном

• SIL расшифровывается как Safety Integrity Level. На русском языке термин обычно передают как «уровень полноты безопасности».
• Шкала включает SIL 1, SIL 2, SIL 3 и SIL 4. Требуемый уровень определяют по результатам анализа риска, а не выбирают по принципу «чем выше, тем лучше».
• SIL относится прежде всего к функции безопасности. Уровень не присваивают компании, услуге или производственной площадке в целом.
• IEC 61508 задает базовые принципы. Эта серия стандартов регулирует функциональную безопасность электрических, электронных и программируемых электронных систем, связанных с безопасностью.
• Название документа недостаточно. Проверка сертификата SIL охватывает объект оценки, стандарт, модель, аппаратную ревизию, версию программного обеспечения, область действия и ограничения.
• Сертификат на компонент не подтверждает всю систему. Проектировщик отдельно оценивает архитектуру, взаимодействие элементов, диагностику, испытания и техническое обслуживание.

Что такое SIL и что обычно называют сертификатом SIL

Функциональная безопасность означает способность системы корректно выполнить предусмотренное действие при возникновении опасной ситуации или при обнаружении отказа. Речь идет не об общей прочности, электрической безопасности либо качестве изготовления, а о работе конкретной функции, предназначенной для перевода процесса или машины в безопасное состояние.

Функция безопасности описывает, какое событие должна обнаружить система, что она обязана сделать в ответ и при каких условиях результат считают успешным. Например, приборная система безопасности может обнаружить недопустимое состояние технологического процесса, обработать сигнал в логическом решателе и передать команду исполнительному механизму. Работоспособность каждого элемента важна, но итог оценивают для всей функции.

Safety Integrity Level характеризует требуемую полноту безопасности этой функции. Уровень связывают с необходимым снижением риска, вероятностью опасного отказа, режимом работы и другими параметрами, установленными применимым стандартом. Для обоснования учитывают случайные аппаратные отказы и систематические отказы, вызванные ошибками требований, проектирования, разработки программного обеспечения, настройки, эксплуатации или управления изменениями.

Что скрывается за формулировкой «сертификат SIL»? Единого универсального документа с одинаковым содержанием для всех объектов нет. Поставщик может предъявить сертификат на компонент, документ на программное обеспечение, отчет независимой оценки, заключение по функциональной безопасности либо подтверждение соответствия определенной версии изделия требованиям выбранного стандарта.

Название документа само по себе не дает ответа о применимости. Решающее значение имеют объект оценки и область применения сертификата. Документ может относиться только к отдельной функции устройства, определенной конфигурации, конкретной аппаратной ревизии, версии встроенного программного обеспечения или условиям эксплуатации, перечисленным в приложении.

Сертификат, отчет и декларация изготовителя

Сертификат обычно отражает итог оценки, проведенной в рамках процедуры конкретного органа. Отчет содержит более подробные выводы, исходные допущения, результаты анализа и ограничения. Декларация изготовителя выражает позицию самого производителя и не равна независимой оценке, если третья сторона не проверяла заявленные характеристики.

Заказчику нужно выяснить не только название документа, но и состав доказательной базы. В нее могут входить отчеты об испытаниях, расчеты надежности, руководство по безопасности, сведения о диагностике, оценка архитектурных ограничений и документы по жизненному циклу безопасности. Краткий сертификат без приложений часто не позволяет принять инженерное решение.

Уровни SIL 1, SIL 2, SIL 3 и SIL 4: в чем разница

Уровни SIL выражают разные степени требуемой полноты безопасности. Повышение уровня означает более строгие требования к снижению риска, архитектуре, надежности, верификации, управлению систематическими отказами и доказательствам соответствия. Это не рейтинг качества изделия и не универсальная шкала, по которой следует всегда выбирать максимальное значение.

SIL нельзя выбирать «на всякий случай». Завышенный уровень усложняет проектирование, верификацию, эксплуатационные процедуры и управление изменениями, но сам по себе не исправляет ошибочно определенную функцию или неверную архитектуру. Анализ риска должен показать, какое снижение риска требуется и какая функция его обеспечивает.

Уровень не присваивают предприятию или услуге. Формулировка «компания имеет SIL 3» не описывает объект оценки и потому не подтверждает функциональную безопасность. Корректная запись должна позволять понять, какое изделие, подсистема, программное обеспечение или функция оценивались, по какому стандарту и в каких границах.

Один компонент может применяться в нескольких проектных решениях, однако условия будут различаться. Допустимость зависит от архитектуры, режима работы, диагностических мер, интервалов проверок, характера отказов и иных ограничений, зафиксированных в технической документации. Именно поэтому маркировки SIL 2 или SIL 3 на первой странице недостаточно.

Чем подтвержденный SIL отличается от SIL capability

SIL capability характеризует способность изделия или процесса разработки соответствовать определенным систематическим требованиям при соблюдении установленных условий. Такая формулировка не всегда означает, что устройство само по себе обеспечивает заявленный уровень полноты безопасности в любой системе. Для конкретной функции отдельно проверяют случайные аппаратные отказы, архитектуру и совместную работу всех элементов.

Допустим, в сертификате контроллера указана способность применения до определенного уровня SIL. Это не подтверждает уровень всей системы противоаварийной защиты. В контур также входят входные устройства, логика приложения, линии связи, исполнительный механизм, диагностические процедуры и действия персонала. Каждый элемент влияет на итоговый результат.

Какой объект может проходить оценку функциональной безопасности

Компоненты и устройства

Оценку проводят для датчиков, преобразователей, контроллеров безопасности, реле безопасности, модулей ввода и вывода, приводов, клапанов и других элементов контура. Документ должен идентифицировать изготовителя, модель, модификацию, аппаратную ревизию и выполняемую функцию, если эти сведения влияют на выводы оценки.

Для компонента проверяют заявленные характеристики отказов, диагностические возможности, реакцию на обнаруженную неисправность, архитектурные ограничения и требования к применению. Производитель также готовит инструкции, позволяющие проектировщику корректно использовать устройство в функции безопасности. Такие сведения часто приводят в руководстве по безопасности или приложении к отчету.

Сертификат на компонент не снимает с проектировщика обязанность проверить его совместимость с остальной системой. Даже подтвержденный датчик нельзя рассматривать отдельно от логического решателя, исполнительного механизма, схемы подключения, питания и процедур периодических испытаний.

Программное обеспечение

Программное обеспечение оценивают с учетом процессов разработки, структуры требований, методов верификации, тестирования, прослеживаемости и контроля конфигурации. Особое значение имеет точная версия. Изменение алгоритма, библиотеки, компилятора, параметров сборки или логики приложения способно повлиять на ранее сделанные выводы.

Документ на программируемую электронику должен позволять сопоставить оцененную версию с фактически поставленной. Если в сертификате или приложении нет идентификатора версии, заказчику придется запросить отчет, письмо органа оценки либо иной документ, который подтверждает связь между поставляемым программным обеспечением и оцененным объектом.

Одной записи о SIL недостаточно и для прикладной логики. Сертифицированная платформа контроллера не подтверждает автоматически корректность программы, разработанной для конкретного технологического процесса. Требования к логике, верификации и валидации определяют применимый стандарт и принятый жизненный цикл безопасности.

Подсистема или система

Оценка подсистемы охватывает взаимодействие входных устройств, логического решателя, исполнительных элементов, каналов связи и средств диагностики. Специалисты анализируют архитектуру, независимость каналов, реакции на отказ, общие причины отказов, условия окружающей среды, техническое обслуживание и процедуры испытаний.

Система безопасности работает не только за счет характеристик оборудования. На результат влияют правильность спецификации, монтаж, программирование, ввод в эксплуатацию, контроль обходов и блокировок, управление доступом, периодические проверки и изменения после запуска. Эти процессы входят в safety lifecycle, то есть жизненный цикл безопасности.

Функция безопасности в конкретном проекте

На проектном уровне определяют опасное событие, безопасное состояние, входной сигнал, требуемое действие и допустимую реакцию системы. Затем требования распределяют между техническими средствами и организационными мерами. Итоговая оценка показывает, способна ли выбранная архитектура обеспечить требуемое снижение риска при заданных условиях.

Именно функция безопасности служит связующим звеном между анализом риска и техническим решением. Сертификаты отдельных устройств входят в доказательную базу, но не заменяют расчет и проверку функции. Для ESD-системы или SIS-системы проектировщик учитывает весь путь сигнала от обнаружения опасности до перевода процесса в безопасное состояние.

Какие стандарты применяются для оценки функциональной безопасности

Применимый стандарт выбирают по типу объекта, отрасли и назначению системы. Нельзя собрать IEC 61508, IEC 61511, IEC 62061 и ISO 13849-1 в единый обязательный перечень для любого проекта. Каждый документ решает свою задачу, а область его применения должна соответствовать оцениваемой функции.

IEC 61508 как базовая серия стандартов

IEC 61508 «Functional safety of electrical/electronic/programmable electronic safety-related systems» устанавливает базовый подход к функциональной безопасности электрических, электронных и программируемых электронных систем, связанных с безопасностью. Серия вводит концепцию уровней полноты безопасности и охватывает требования к аппаратным средствам, программному обеспечению и процессам жизненного цикла.

Стандарт используют как основу для оценки компонентов и систем общего применения, а также для разработки отраслевых требований. Он рассматривает как случайные аппаратные отказы, так и систематические причины, связанные с требованиями, проектированием, реализацией, испытаниями, эксплуатацией и изменениями.

IEC 61511 для процессных производств

IEC 61511 «Functional safety. Safety instrumented systems for the process industry sector» относится к приборным системам безопасности в процессных отраслях. Его применяют при проектировании и эксплуатации SIS-систем в нефтегазовой, химической, нефтехимической и других технологических сферах, если объект и функция входят в область стандарта.

Здесь в центре внимания находится функция приборной безопасности в конкретном процессе. Требования охватывают спецификацию, проектирование, интеграцию, валидацию, эксплуатацию, техническое обслуживание и внесение изменений. Сертификат контроллера по IEC 61508 может использоваться в проекте по IEC 61511, однако не заменяет проектную оценку всей функции.

IEC 62061 и безопасность машин

IEC 62061 «Safety of machinery. Functional safety of safety-related control systems» применяется к системам управления машин, связанным с безопасностью. Он подходит для оценки таких функций, как аварийный останов, контроль защитных ограждений, безопасное ограничение движения и другие действия, снижающие риск при эксплуатации машины.

Выбор стандарта зависит от состава системы управления и принятой методики проектирования. Помимо IEC 62061, в сфере машин используют ISO 13849-1 «Safety of machinery. Safety-related parts of control systems». Этот стандарт оперирует уровнями Performance Level.

В России статус международного сертификата, документа по российскому национальному стандарту и обязательного документа о соответствии нужно рассматривать раздельно. Международная SIL-сертификация не заменяет сертификат или декларацию, если продукция подпадает под обязательные требования технических регламентов Евразийского экономического союза. Обратное также верно: обязательный документ о соответствии не подтверждает функциональную безопасность по IEC 61508, если такая оценка не входила в процедуру.

Когда сертификат SIL действительно нужен

Требование заказчика или тендерной документации

Фраза «требуется SIL 2» оставляет слишком много вопросов. До подбора оборудования следует запросить точный объект подтверждения, применимый стандарт, требуемую функцию, допустимый вид документа, требования к органу оценки, язык материалов и содержание области действия. Иначе поставщик может представить формально похожий документ, который не относится к проектной конфигурации.

Тендерный отдел также должен проверить, допускается ли отчет независимой оценки вместо сертификата и нужны ли приложения с ограничениями. Иногда основная техническая информация содержится не на первой странице, а в руководстве по безопасности, оценочном отчете или перечне сертифицированных моделей.

Поставка оборудования для опасного или технологически сложного объекта

Для оборудования, включенного в систему противоаварийной защиты, документ по функциональной безопасности может стать частью проектной доказательной базы. Он помогает подтвердить характеристики компонента и условия его применения, но не заменяет анализ риска, проектирование, испытания системы и процедуры эксплуатации.

Федеральный закон «О промышленной безопасности опасных производственных объектов» регулирует обязанности в области промышленной безопасности на опасных производственных объектах. Он не устанавливает универсальное правило получать сертификат SIL на каждое изделие. Ростехнадзор осуществляет государственный надзор в пределах своей компетенции, но не выступает органом, который выдает универсальные сертификаты SIL.

Разработка новой системы безопасности

Для новой системы оценку лучше связывать со всем жизненным циклом безопасности, начиная со спецификации требований. Попытка получить документ только после завершения разработки затрудняет подтверждение решений, если команда не обеспечила прослеживаемость требований, документирование архитектуры, верификацию и управление конфигурацией.

На ранних стадиях определяют границы системы, функции безопасности, целевые уровни и критерии приемки. Затем доказательства собирают по мере проектирования, разработки программного обеспечения и испытаний. Такой порядок позволяет обнаружить противоречия до ввода оборудования в эксплуатацию.

Модернизация действующей системы

Замена контроллера, датчика или исполнительного механизма меняет характеристики контура. Обновление программного обеспечения, корректировка логики защиты, изменение интервалов испытаний либо условий эксплуатации также способны повлиять на ранее подтвержденный результат. После модернизации требуется анализ влияния изменений.

А что произойдет, если сертификат сохранился, но версия изделия изменилась? Сам документ останется на руках у владельца, однако использовать его как доказательство применимости новой версии без сопоставления нельзя. Нужно запросить подтверждение охвата модификации и проверить актуальные приложения.

Как проходит оценка и оформление документов по SIL

Процедура зависит от объекта, стандарта, глубины независимой оценки и вида итогового документа. Фиксированный сценарий для всех изделий отсутствует, но рабочая последовательность обычно включает следующие этапы.

1. Определение объекта и границ оценки. Заявитель описывает изделие, программное обеспечение, подсистему, систему или функцию, указывает конфигурацию и предполагаемое применение.
2. Выбор применимого стандарта. Специалисты сопоставляют объект с областью IEC 61508, IEC 61511, IEC 62061, ISO 13849-1 либо другого документа, предусмотренного проектом.
3. Анализ функции и риска. Команда устанавливает опасные события, требуемое снижение риска и целевой уровень полноты безопасности.
4. Сбор технической документации. В комплект входят характеристики аппаратных средств, версии программного обеспечения, схемы, расчеты, планы испытаний и документы жизненного цикла.
5. Проверка аппаратной части и архитектуры. Оценка охватывает характеристики отказов, диагностические меры, отказоустойчивость, общие причины отказов и предусмотренные реакции системы.
6. Оценка программного обеспечения и процессов. Специалисты изучают требования, разработку, верификацию, валидацию, контроль конфигурации и порядок управления изменениями.
7. Анализ испытаний и ограничений. Проверяющая сторона сопоставляет доказательства с требованиями стандарта и фиксирует условия, при которых выводы сохраняют силу.
8. Подготовка итогового документа. В зависимости от выбранной процедуры орган оформляет сертификат, отчет, заключение или иной документ с точной идентификацией объекта.
9. Контроль изменений. Владелец документа проверяет его применимость после модернизации изделия, обновления ПО, изменения конфигурации или условий эксплуатации.

Срок оценки нельзя определить только по названию уровня SIL. На продолжительность влияют готовность технического файла, сложность объекта, необходимость испытаний, качество исходных расчетов и количество выявленных несоответствий. Если разработчик не вел документы жизненного цикла, часть доказательств придется восстанавливать или формировать заново.

Какие документы обычно нужны для оценки SIL

Состав комплекта меняется в зависимости от объекта. Для готового датчика нужны одни доказательства, для программируемого контроллера другие, а для проектируемой приборной системы безопасности потребуется документация на всю функцию и ее жизненный цикл.

• описание изделия, программного обеспечения, подсистемы, системы или функции безопасности;
• технические условия, паспорт и руководство по эксплуатации, если такие документы предусмотрены для объекта;
• функциональные схемы, электрические схемы и схемы подключения;
• описание архитектуры системы и взаимодействия компонентов;
• перечень используемых аппаратных и программных компонентов;
• сведения о модели, аппаратной ревизии, встроенном ПО и прикладной программе;
• спецификация требований к функциям безопасности;
• результаты анализа риска и распределения требований;
• описание диагностики, обнаружения неисправностей и реакции на отказ;
• расчеты, связанные с надежностью и вероятностью опасного отказа;
• планы, методики и результаты испытаний;
• документы по разработке, верификации, валидации и управлению изменениями;
• описание предполагаемой среды, режимов и условий эксплуатации;
• ранее выданные сертификаты, отчеты и заключения, относящиеся к объекту.

Отсутствие части документов не всегда означает, что оценка невозможна. Сначала нужно определить, какие доказательства требует применимый стандарт и можно ли получить их испытаниями, расчетами или анализом процессов. Однако декларативное описание без проверяемых исходных данных не подтверждает заявленный уровень.

Обязательные документы о соответствии продукции рассматривают отдельно. Перед поставкой полезно установить, подпадает ли оборудование под технические регламенты и требуется ли сертификат, декларация либо обоснованный вывод об отсутствии обязательной процедуры. Подход к таким ситуациям раскрывает материал о том, когда оформляют отказное письмо по сертификации.

Как проверить сертификат SIL перед закупкой или включением в проект

Проверка должна начинаться не с изображения знака SIL, а с идентификации документа. Запросите у поставщика полную копию сертификата, приложения, отчет об оценке и руководство по безопасности, если на эти материалы есть ссылки в основном документе.

1. Сопоставьте изготовителя. Название компании в документе должно относиться к фактическому производителю, а не только к поставщику или владельцу торговой марки.
2. Проверьте модель. Обозначение изделия, модификация и аппаратная ревизия должны совпадать с поставкой и проектной спецификацией.
3. Уточните версию ПО. Для программируемых устройств сравните встроенное и прикладное программное обеспечение с версиями, включенными в область оценки.
4. Прочитайте применимый стандарт. Указание IEC 61508, IEC 61511 или отраслевого стандарта должно соответствовать назначению объекта и требованиям проекта.
5. Разберите формулировку статуса. Установите, подтверждает ли документ SIL, SIL capability, соответствие процессу разработки или только отдельные характеристики.
6. Изучите область применения. Проверьте, какая функция устройства оценивалась, в каких режимах и составе допускается его использование.
7. Найдите ограничения. Обратите внимание на архитектуру, диагностику, условия окружающей среды, питание, монтаж, испытания и техническое обслуживание.
8. Проверьте актуальность. Уточните статус документа у выдавшей его организации и выясните, не отменен ли он, не приостановлен ли и не заменен ли новой редакцией.
9. Запросите сведения об изменениях. Производитель должен сообщить, менялись ли конструкция, комплектующие, программное обеспечение или производственные процессы после оценки.
10. Сопоставьте документ с проектом. Окончательный вывод делают по требованиям функции безопасности, проектной архитектуре и условиям эксплуатации.

Не каждый документ по SIL размещают в российском реестре Росаккредитации. Федеральная государственная информационная система Росаккредитации предназначена для документов, оформленных в регулируемых российской системой подтверждения соответствия процедурах. Международный сертификат или отчет по функциональной безопасности может проверяться по базе выдавшего органа и по реквизитам самого документа.

Срок и статус также нельзя определять по общему шаблону. Они зависят от правил процедуры, решений органа, версии изделия и условий поддержания документа. Если у сертификата закончился установленный срок либо изменился статус, порядок действий зависит от вида подтверждения; общий подход описан в материале о том, что делать после окончания срока действия сертификата.

Какие сведения запросить у поставщика

• Полный комплект документов. Одной первой страницы сертификата недостаточно, если ограничения вынесены в приложения или отчет.
• Руководство по безопасности. В нем должны быть указаны допущения, ограничения, диагностические требования и рекомендации по эксплуатации.
• Историю изменений. Она помогает понять, совпадает ли поставляемая версия с объектом, который проходил оценку.
• Подтверждение статуса. Поставщик должен объяснить, где и каким способом проверяется документ.
• Сведения для расчетов. Проектировщику требуются исходные характеристики, позволяющие оценить функцию безопасности в проектной конфигурации.

Как читать документ: пример проектной проверки

Предположим, проектировщик рассматривает контроллер, для которого заявлен SIL 3 capability. Сначала он проверяет модель, аппаратную ревизию и версию встроенного ПО, затем изучает сертифицированные функции и ограничения архитектуры. После этого контроллер включают в расчет вместе с датчиками, линиями связи, исполнительными механизмами и прикладной логикой.

Вывод не должен звучать как «контроллер SIL 3, значит вся система SIL 3». Корректный результат формулируют только после оценки функции, включая диагностику, испытания, независимость каналов, общие причины отказов и обслуживание. Сертификат компонента в этом случае служит исходным доказательством, а не заключением по всей системе.

Частые ошибки при работе с SIL и как их избежать

Ошибка 1. Выбирать оборудование по фразе «нужен минимум SIL 2»

Причина: требование переносят из тендерной строки в спецификацию без анализа функции безопасности. Последствие: изделие с подходящей маркировкой может не соответствовать архитектуре, режиму работы или условиям применения. Корректное действие: запросить обоснование уровня, описание функции и критерии оценки.

Ошибка 2. Считать сертификат компонента подтверждением всей системы

Причина: закупщик воспринимает уровень на контроллере, датчике или клапане как характеристику готового контура. Последствие: без оценки остаются взаимодействие устройств, прикладная логика, монтаж, испытания и обслуживание. Корректное действие: проверять систему в проектной конфигурации и оценивать всю функцию безопасности.

Ошибка 3. Не учитывать версию программного обеспечения

Причина: модель оборудования совпадает, поэтому версию ПО считают несущественной. Последствие: сертификат может относиться к другой реализации алгоритмов или диагностических функций. Корректное действие: сопоставить версии в документе, техническом файле, поставке и проектной документации.

Ошибка 4. Игнорировать ограничения применения

Причина: заказчик читает только уровень SIL на первой странице. Последствие: оборудование используют в неподтвержденной архитектуре, среде или режиме. Корректное действие: изучить приложение, отчет и руководство по безопасности, включая требования к диагностике, испытаниям и техническому обслуживанию.

Ошибка 5. Путать SIL с обязательной государственной сертификацией

Причина: разные процедуры подтверждения соответствия объединяют под общим словом «сертификат». Последствие: компания неверно планирует закупку и не получает документы, которые действительно требуются для обращения продукции. Корректное действие: отдельно анализировать технические регламенты, проектные требования, промышленную безопасность и оценку функциональной безопасности.

Ошибка 6. Выбирать SIL 4 как максимальный и потому предпочтительный уровень

Причина: уровень воспринимают как класс качества. Последствие: требования к проекту завышаются без связи с риском, а ресурсы уходят на процедуру, которая не соответствует исходной задаче. Корректное действие: назначать уровень на основании оценки риска и требуемого снижения риска.

Ошибка 7. Не анализировать изменения после выдачи документа

Причина: сертификат считают бессрочным подтверждением для всех последующих модификаций. Последствие: в проект попадает версия, которую орган не оценивал. Корректное действие: проверять историю изменений, актуальность приложений и решение выдавшей организации о распространении документа на новую конфигурацию.

Практический алгоритм для заказчика: что подготовить до обращения за оценкой

Начинать следует с технической постановки задачи. Запрос «нужен сертификат SIL 2 на оборудование» не позволяет определить стандарт, объект оценки и объем доказательств. Чем точнее описана функция, тем меньше риск получить документ, который заказчик или проектировщик не сможет использовать.

1. Сформулируйте объект оценки. Укажите, идет ли речь о компоненте, устройстве, программном обеспечении, подсистеме, системе или проектной функции безопасности.
2. Опишите опасность. Зафиксируйте событие, которое должна обнаружить система, требуемую реакцию и безопасное состояние процесса либо машины.
3. Соберите требования проекта. Проверьте техническое задание, тендерную документацию, договор и требования эксплуатирующей организации.
4. Определите применимый стандарт. Выбор зависит от отрасли, типа оборудования и назначения функции.
5. Идентифицируйте конфигурацию. Подготовьте модели, аппаратные ревизии, версии встроенного и прикладного ПО, схемы подключения и перечень компонентов.
6. Соберите доказательства. Нужны расчеты, результаты испытаний, документы разработки и сведения об управлении изменениями.
7. Проверьте имеющиеся документы. Сопоставьте их область действия и ограничения с фактическим объектом.
8. Определите требуемый результат. Заказчик должен заранее понимать, нужен ли сертификат, подробный отчет, заключение или комплект документов для проектной оценки.

Основная сложность часто связана не с названием итогового документа, а с неполным описанием объекта, версии ПО и условий применения. Если эти сведения отсутствуют, специалисты не смогут корректно определить границы оценки, а заказчик рискует получить подтверждение, которое не отвечает требованиям проекта.

Что SIL-сертификация не заменяет

Документ по функциональной безопасности решает ограниченную инженерную задачу. Он не подтверждает автоматически выполнение всех обязательных требований к продукции, не заменяет испытания готовой системы и не освобождает изготовителя, проектировщика или эксплуатирующую организацию от обязанностей в пределах их ответственности.

• Анализ риска. Уровень SIL должен следовать из оценки риска и требований к функции безопасности.
• Проектирование системы. Сертифицированные компоненты нужно правильно объединить, настроить и проверить.
• Обязательное подтверждение соответствия. Если оборудование подпадает под технический регламент, применяют установленную для него процедуру.
• Валидацию функции. До ввода в эксплуатацию проверяют, выполняет ли система требования спецификации.
• Техническое обслуживание. Подтвержденные характеристики сохраняют значение только при соблюдении предусмотренных условий эксплуатации и проверок.
• Управление изменениями. Модернизация требует оценки влияния на ранее принятые решения.

FAQ

Главные выводы

• Сертификат SIL имеет практическую ценность только при точной идентификации объекта оценки, конфигурации и версии программного обеспечения.
• Требуемый уровень SIL определяют на основании анализа риска и требований к конкретной функции безопасности.
• Документ на компонент не подтверждает автоматически функциональную безопасность всей системы или проектного контура.
• Перед закупкой нужно изучить область применения, ограничения, приложения, актуальность и соответствие документа проектной конфигурации.

Реестр Гарант помогает определить вид требуемого подтверждения, проверить комплект документов и организовать взаимодействие с профильными органами оценки и испытательными лабораториями. До начала процедуры следует подготовить описание объекта, применимый стандарт, версии оборудования и ПО, функцию безопасности и требования проекта.