SIL Nedir? Güvenlik Bütünlük Seviyesi ve SIL 1-4

SIL nedir?

SIL (Safety Integrity Level, güvenlik bütünlük seviyesi), bir güvenlik fonksiyonundan beklenen risk azaltma düzeyini gösteren ölçüdür. IEC 61508 standardı dört seviye tanımlar: SIL 1 en düşük, SIL 4 en yüksek seviyedir. Her seviye, güvenlik fonksiyonunun tehlikeli biçimde arızalanma olasılığı için bir hedef aralığa karşılık gelir. Seviye bir arttıkça hedef arıza olasılığı aralığı on kat küçülür.

Proses tesislerinden bir örnek, bir tankın ya da kolonun taşmasını önleyen koruma fonksiyonudur. Bu tür fonksiyonları güvenlik enstrümanlı sistemler (SIS, Safety Instrumented System) yerine getirir. Bir SIS tipik olarak tehlikeli durumu algılayan sensörlerden ve mantık fonksiyonlarından, prosesi güvenli duruma getiren vana gibi son elemanlardan oluşur. SIL bu zincirin birlikte yerine getirdiği fonksiyona aittir: tek bir transmitterin ya da vananın kendi başına bir SIL’i yoktur.

SIL hangi standartlarda tanımlanır?

Temel standart IEC 61508’dir. Tam adı “Functional safety of electrical/electronic/programmable electronic safety-related systems”, yani elektrik, elektronik ve programlanabilir elektronik güvenlikle ilgili sistemlerin fonksiyonel güvenliğidir (functional safety). IEC bu standardı temel güvenlik yayını (basic safety publication) olarak sınıflandırır; amaçlarından biri, sektöre özel standartların geliştirilmesine zemin olmaktır. Türk Standardları Enstitüsü (TSE) standardı TS EN 61508 numarasıyla ve “fonksiyonel emniyet” terimiyle anar.

IEC 61508’e dayanan sektör standartları arasında proses endüstrisi için IEC 61511, makineler için IEC 62061 ve nükleer santraller için IEC 61513 vardır. Proses tesislerinde asıl başvuru IEC 61511’dir. Adı “Functional safety - Safety instrumented systems for the process industry sector” (proses endüstrisi sektörü için güvenlik enstrümanlı sistemler) olan standardın 1. bölümü, IEC 61508:2010’un proses sektörü uygulaması olarak geliştirilmiştir. Bu bölüm SIS’in şartnamesi, tasarımı, kurulumu, işletmesi ve bakımı için gereklilikleri verir. 3. bölüm (IEC 61511-3) ise gerekli SIL’in belirlenmesi için kılavuzdur. İş sağlığı ve güvenliği kurumu HSE (Health and Safety Executive), BS EN 61511’i proses endüstrisinde fonksiyonel güvenlik yönetiminin referans standardı olarak kabul eder.

SIL seviyeleri nelerdir?

IEC 61508’de SIL hedefi, güvenlik fonksiyonunun çalışma moduna göre iki farklı ölçütle verilir:

• Düşük talep modu (low demand mode): Fonksiyondan çalışma talebi yılda en çok bir kez gelir. Ölçüt, talep anında ortalama tehlikeli arıza olasılığıdır (PFDavg, average Probability of dangerous Failure on Demand).
• Yüksek talep modu ve sürekli mod (high demand / continuous mode): Talep yılda birden sık gelir ya da fonksiyon normal işletmenin parçası olarak sürekli çalışır. Ölçüt, saat başına ortalama tehlikeli arıza sıklığıdır (PFH).

IEC’nin örneklerine göre kimya tesislerindeki koruma sistemleri yalnız gerektiğinde devreye giren fonksiyonlardır; fırınlardaki brülör kontrolü ise sürekli çalışan bir fonksiyondur. Hedef aralıklar aşağıdadır; her aralıkta alt sınır dahil, üst sınır hariçtir. Risk azaltma faktörü (RRF, Risk Reduction Factor), PFDavg’nin tersidir.

Seviye	Düşük talep: PFDavg	Düşük talep: RRF	Yüksek talep / sürekli: PFH (1/saat)
SIL 4	≥ 10⁻⁵ ve < 10⁻⁴	> 10.000 ve ≤ 100.000	≥ 10⁻⁹ ve < 10⁻⁸
SIL 3	≥ 10⁻⁴ ve < 10⁻³	> 1.000 ve ≤ 10.000	≥ 10⁻⁸ ve < 10⁻⁷
SIL 2	≥ 10⁻³ ve < 10⁻²	> 100 ve ≤ 1.000	≥ 10⁻⁷ ve < 10⁻⁶
SIL 1	≥ 10⁻² ve < 10⁻¹	> 10 ve ≤ 100	≥ 10⁻⁶ ve < 10⁻⁵

Örnek: PFDavg değeri 0,005 olan bir fonksiyon SIL 2 aralığındadır ve riski 200 kat azaltır (1 / 0,005 = 200). Düşük talep modunda tehlikeli olayın beklenen sıklığı, talep sıklığı ile PFDavg’nin çarpımıdır. On yılda bir talep gelen (yılda 0,1) ve PFDavg’si 0,01 olan bir fonksiyonda bu sıklık yılda 0,001’dir, yani ortalama bin yılda bir. IEC, bu ilişkinin ancak kontrol edilen ekipman ve kontrol sistemi (birlikte) ile güvenlik sistemi arasında yeterli bağımsızlık varsa geçerli olduğunu belirtir.

SIL neden cihazın değil, güvenlik fonksiyonunun özelliğidir?

IEC’nin tanımına göre SIL, bir sistemin ya da sistemin herhangi bir parçasının değil, güvenlik fonksiyonunun özelliğidir. Belgelendirme kuruluşları da aynı ayrımı yapar: SIL seviyesi ürüne değil, ürünün yerine getirdiği güvenlik fonksiyonuna aittir. Ürün için doğru ifade, güvenlik kılavuzuna uygun kullanıldığında belirli bir SIL yeteneği (SIL capability) taşıdığıdır. Bu yüzden “SIL 3 ısı eşanjörü” ya da “SIL 2 yazılım” gibi ifadeler kavramın yanlış kullanımı sayılır.

Bir fonksiyonun ulaştığı SIL, üç koşulun her birinde hedefi tutturmasına bağlıdır:

1. Sistematik yetenek: Ürünün, tasarım hatalarını önlemeye yönelik süreçlerle geliştirilmiş olması.
2. Mimari kısıtlar: Donanım yapısının yeterliliği; değerlendirmede donanım hata toleransı (HFT, Hardware Fault Tolerance) ve güvenli arıza oranı (SFF, Safe Failure Fraction) gibi değerler incelenir.
3. Rastgele arıza olasılığı: Düşük talep modunda PFDavg, yüksek talep ya da sürekli modda PFH hesabı.

Üç koşuldan en düşük olanı, fonksiyonun tamamının SIL’ini belirler. Bir koşulun güçlü olması, diğerindeki eksikliği kapatmaz.

Gerekli SIL nasıl belirlenir?

Gerekli SIL, tehlike ve risk değerlendirmesinin sonucudur. IEC 61511-3 SIL’in belirlenmesi için bir çerçeve sunar, ancak belirli uygulamalar için hangi SIL’in gerektiğini söylemez; kararı tesisin kendi risk değerlendirmesi verir. Yaygın yöntemler risk matrisi, risk grafiği ve LOPA’dır:

• Risk grafiği (risk graph): Nitel ve kategori tabanlı bir yöntemdir. SIL; sonuç, bölgede bulunma (maruziyet), tehlikeden kaçınma olasılığı ve talep sıklığı parametreleriyle seçilir.
• LOPA (Layer of Protection Analysis, koruma katmanları analizi): Bir neden ile bir sonuç çifti için başlatıcı olayın sıklığını, bağımsız koruma katmanlarını ve sonucu değerlendirir. Her koruma katmanının etkinliği PFD ile ifade edilir ve katmanlar birbirinden bağımsız olmalıdır. LOPA genellikle önceden yapılmış bir HAZOP (Hazard and Operability, tehlike ve işletilebilirlik) çalışmasının sonuçlarını kullanır ve kimya tesisleri gibi büyük endüstriyel tesislerde en yaygın yöntemdir.

Fonksiyonel güvenlik, tehlikeyle başa çıkmanın yollarından yalnız biridir. IEC’ye göre tasarımla sağlanan doğal güvenlik (inherent safety) gibi önlemler önceliklidir. Gereken risk azaltma bir SIL 4 fonksiyonla bile sağlanamıyorsa, basınç tahliye vanası (pressure relief valve) gibi enstrümanlı olmayan önlemlerle başka bir düzen tasarlanmalıdır.

HSE’nin özetine göre IEC 61511’deki güvenlik yaşam döngüsünün temel ilkeleri şunlardır:

1. Tehlike ve risk değerlendirmesiyle risk azaltma ihtiyacını belirleyin.
2. Risk azaltmayı SIS’e ya da diğer önlemlere paylaştırın.
3. SIS’in fonksiyonunu, bütünlüğünü ve diğer gerekliliklerini tanımlayın.
4. SIS’i bu güvenlik gereklilikleri şartnamesine göre tasarlayın ve uygulayın.
5. SIS’i kurun, devreye alın ve doğrulayın (validasyon).
6. SIS’i işletin, bakımını yapın ve periyodik testlerini (proof test) yapın.
7. Değişiklikleri yönetin; ömrü bitince sistemi devreden çıkarın.

Sensör ve transmitter seçiminde “SIL uyumlu” ne anlama gelir?

Kataloglardaki “SIL 2’ye uygun” ya da “SIL 3 capable” gibi ifadeler, cihazın tek başına (yedeksiz) kullanıldığında en çok hangi seviyedeki bir güvenlik fonksiyonunda kullanılabileceğini anlatır. Örneğin “SIL 3 capable”, ürünün SIL 3’e kadar bir güvenlik enstrümanlı fonksiyonda (SIF, Safety Instrumented Function) kullanılabileceği anlamına gelir. Bu ifade fonksiyonun SIL 3 olduğunu göstermez; fonksiyonun bütünlüğü yine PFDavg (ya da PFH) hesabı ve mimari kısıtlarla belirlenir.

Bir güvenlik fonksiyonunda kullanılacak basınç transmitteri, seviye sensörü ya da debimetre seçilirken şu belgelere bakılır:

• Sertifika ve test raporu: Ürün performansının kapsamını ve sınırlarını gösterir.
• Güvenlik kılavuzu (safety manual): Cihazın SIL yeteneği, ancak bu kılavuza uygun kullanıldığında geçerlidir.
• FMEDA raporu (Failure Mode Effects and Diagnostic Analysis): Sertifikadaki özet arıza oranı tabloları genellikle hesap için gereken bilginin tamamını içermez. Üreticiden istenen bu rapor, analizde yapılan varsayımları ve periyodik testin arıza yakalama oranını (proof test coverage) verir.

Bir başka nokta, kontrol ile güvenliğin ayrılmasıdır. IEC 61511’e göre arızası hem güvenlik fonksiyonuna talep doğurabilecek hem de aynı fonksiyonu tehlikeli biçimde bozabilecek bir cihaz, toplam riskin kabul edilebilir olduğu analizle gösterilmedikçe hem temel proses kontrol sisteminde (BPCS, Basic Process Control System) hem de SIS’te kullanılmaz. HSE’nin incelediği bir olayda taşma önleme sistemi BPCS’ten bağımsız değildi; BPCS arızalandığında taşma önleme de devre dışı kaldı.

SIL sertifikası nedir?

SIL sertifikası, bir ürünün IEC 61508’e göre değerlendirildiğini ve belirli bir SIL seviyesine kadar güvenlik fonksiyonlarında kullanılmaya uygun olduğunu gösteren belgedir. Değerlendirmeyi bağımsız belgelendirme kuruluşları yapabilir; üreticinin kendi beyanı (öz belgelendirme) da mümkündür.

Ürün değerlendirmesinde tipik olarak şunlar incelenir:

• HFT, PFDavg, PFH ve SFF değerleri,
• ürünün geliştirme dokümantasyonu,
• kurulum ve kullanım talimatları ile güvenlik kılavuzu.

Belgelendirme yalnız ürünü değil, üreticinin fonksiyonel güvenlik yeteneğini de kapsar; bu genellikle fonksiyonel güvenlik yönetim programının ve ürünün tasarım ve yaşam döngüsü faaliyetlerinin incelenmesiyle gösterilir. Gereklilikler sıkı bir geliştirme süreciyle ya da yeterli işletme geçmişiyle (proven in use, kullanımda kanıtlanmış) karşılanabilir. Sertifika genellikle ürün performansının kapsamını ve sınırlarını anlatan bir test raporuyla birlikte verilir. Sertifikalar süreli olabilir: örneğin bir belgelendirme kuruluşu sertifikalarını üç yıl geçerli verir ve bitiş tarihini sertifikaya yazar. Sertifikayı okurken hangi SIL seviyesine kadar, hangi çalışma modunda ve hangi koşullarla geçerli olduğuna bakmak gerekir.