SIL là gì: mức toàn vẹn an toàn của một chức năng an toàn (SIF), dải SIL 1 đến SIL 4, PFD và proof test

Mức toàn vẹn an toàn (Safety Integrity Level, SIL) cho biết một chức năng an toàn phải giảm rủi ro của quá trình với độ tin cậy đến mức nào. IEC định nghĩa bốn mức, từ SIL 1 đến SIL 4, trong đó SIL 4 đòi hỏi giảm rủi ro nhiều nhất. SIL thuộc về cả một chức năng an toàn công cụ (SIF), từ cảm biến qua bộ điều khiển an toàn (logic solver) tới van. Vì vậy, chỉ một bộ điều khiển an toàn có chứng nhận thì chưa làm cho chức năng đó đạt SIL 3. Hệ an toàn công cụ (SIS) nằm ở đâu trong hệ tự động hóa của nhà máy: xem ICSS là gì.

1. Có chức năng an toàn trước, rồi mới tới SIL

Tài liệu tổng quan IEC 61508 của IEC đặt hai câu hỏi cho mỗi chức năng an toàn. Phân tích mối nguy (hazard analysis) trả lời chức năng phải làm gì để ngăn sự cố nguy hiểm hoặc hạn chế hậu quả. Đánh giá rủi ro (risk assessment) trả lời chức năng phải thực hiện thành công với xác suất bao nhiêu, đó là độ toàn vẹn an toàn (safety integrity). Ví dụ của chính IEC: để bình áp lực không bị vỡ, một van phải mở trong vòng 2 giây khi áp suất trong bình lên tới 2,6 bar, và chức năng này phải đạt SIL 2.

Trong nhà máy quá trình, các chức năng này chạy trong SIS. NIST SP 800-82r3 mô tả SIS gồm một hay nhiều SIF. Mỗi SIF thường có cảm biến, bộ điều khiển an toàn và thiết bị cuối (final control element), có nhiệm vụ đưa quá trình về trạng thái an toàn khi vượt ngưỡng đã đặt. Sổ tay an toàn Logix SIS của Rockwell định nghĩa SIL là mức giảm rủi ro tương đối mà một chức năng an toàn mang lại.

Tài liệu tổng quan của IEC ghi thẳng: SIL là thuộc tính của một chức năng an toàn. Một tài liệu ứng dụng (application technique) của Rockwell cho một trip áp suất ở chế độ low demand cho thấy cách làm thực tế. Xác suất hỏng khi có yêu cầu (PFD) được tính cho từng phần: transmitter áp suất, module input, bộ điều khiển, module output, van điện từ và van cùng bộ truyền động. Các kết quả đó được dùng để tính SIL của cả chức năng. HSE (cơ quan an toàn lao động Anh) cũng nói như vậy về SIL ghi trên sản phẩm. SIL mà hãng công bố và được chứng nhận cho từng hệ con (subsystem) giúp ích khi kiểm tra kiến trúc, nhưng vẫn phải xác nhận cả chức năng đạt SIL yêu cầu.

2. SIL 1 đến SIL 4: các dải có nghĩa gì

Mỗi mức SIL có một chỉ tiêu hỏng hóc định lượng. Tài liệu tổng quan của IEC trình bày bốn mức theo dải giảm rủi ro:

Ví dụ tính toán của IEC nhấn mạnh: chức năng an toàn làm sự cố xảy ra ít lần hơn, còn mức nghiêm trọng của hậu quả thì giữ nguyên.

Chỉ tiêu đo bằng gì tùy vào việc chức năng phải tác động thường xuyên đến đâu. Hướng dẫn của HSE chia hai chế độ. Ở chế độ low demand, chức năng chỉ thỉnh thoảng phải tác động, không quá một lần mỗi năm. Ở chế độ high demand hoặc continuous, chức năng tác động thường xuyên hơn hoặc liên tục. Với low demand, chỉ tiêu là xác suất hỏng khi có yêu cầu (PFD); với high demand và continuous, chỉ tiêu là tần suất hỏng mỗi giờ. Sổ tay Rockwell dùng PFH, tần suất trung bình của hỏng hóc nguy hiểm mỗi giờ. Bài này không đưa số PFD hay PFH của sản phẩm nào. Với AADvance, Rockwell công bố số liệu PFDavg và PFH trong một tài liệu riêng là ICSTT-RM449; các số đó dùng khi kiểm chứng (verification) một chức năng cụ thể.

Tài liệu của IEC cũng giải thích vì sao có SIL. Thiết kế an toàn thời đầu tập trung vào hỏng ngẫu nhiên của phần cứng. Với hệ phức tạp, phải chú ý nhiều hơn tới hỏng hệ thống (systematic failure), như đặc tả sai, lỗi phần mềm, lỗi con người, bảo trì và sửa đổi; chính điều này dẫn tới khái niệm SIL. IEC có dẫn một nghiên cứu của HSE trên 34 sự cố liên quan hệ điều khiển. Theo đó, 44 % hỏng hóc bắt nguồn từ khâu đặc tả, và hơn 60 % đã nằm sẵn trong hệ thống trước khi đưa vào vận hành.

3. SIL mục tiêu lấy từ đâu

SIL mục tiêu được đặt trước khi chọn phần cứng. HSE mô tả các bước: nhận diện mối nguy và nguyên nhân có thể gây ra nó, ước lượng khả năng xảy ra, đánh giá rủi ro tổng thể từ khả năng xảy ra và hậu quả, rồi tính mức giảm rủi ro cần có để đưa rủi ro về mức chấp nhận được. Sau đó các chức năng an toàn được phân cho từng hệ: hệ thống đo lường và điều khiển (instrumented system), giải pháp công nghệ khác và biện pháp bên ngoài. IEC bổ sung: SIL được xác định từ mức rủi ro chấp nhận được, có tính tới các biện pháp giảm rủi ro khác.

Phương pháp thì có nhiều. Phần 5 của IEC 61508 có tên "Examples of methods for the determination of safety integrity levels" (các ví dụ về phương pháp xác định mức SIL). HSE nêu cả cách đặt chỉ tiêu hỏng hóc định lượng lẫn cách định tính dựa trên khả năng xảy ra, hậu quả, mức phơi nhiễm và khả năng tránh được mối nguy. Với kho chứa nhiên liệu, nhóm Buncefield Standards Task Group đề xuất dùng phân tích các lớp bảo vệ (LOPA) làm cách thống nhất để đặt SIL. Báo cáo nghiên cứu RR716 của HSE sau đó xem xét các đơn vị vận hành kho đã làm LOPA ra sao. HSE có hướng dẫn riêng cho các cơ sở thuộc diện COMAH. Trong đó, hồ sơ cho thấy SIS bảo vệ mối nguy nào gồm kết quả HAZOP hoặc đánh giá rủi ro khác, và đặc tả yêu cầu an toàn (SRS).

4. Điều gì làm một SIF đạt SIL

• Cả vòng. HSE coi mọi phần tử cần để thực hiện chức năng an toàn, kể cả hệ phụ trợ (utilities), đều thuộc hệ liên quan an toàn. Bộ điều khiển an toàn có chứng nhận không bù được cho một transmitter hay van ngắt không làm đúng phần việc của nó.
• Kiến trúc và khả năng chịu lỗi phần cứng (HFT). HFT bằng n nghĩa là n+1 lỗi có thể làm mất chức năng an toàn. Theo HSE, phần 2 của IEC 61508 đặt ràng buộc kiến trúc: khả năng chịu lỗi và độ phủ chẩn đoán (diagnostic coverage) tối thiểu cho từng phần tử hoặc hệ con. AADvance hỗ trợ các cấu hình 1oo1D, 1oo2D và 2oo3D; khả năng chịu lỗi có được khi lắp module đôi hoặc ba. Theo Rockwell, một tổ chức chứng nhận độc lập đã chứng nhận hệ AADvance và sổ tay an toàn đi kèm đáp ứng yêu cầu SIL 3 của IEC 61508. Mỗi mức SIL cần bao nhiêu module: xem AADvance và Trusted.
• Năng lực chống hỏng hệ thống (systematic capability, SC). Sổ tay an toàn Logix SIS của Rockwell dẫn định nghĩa trong IEC 61508-4: systematic capability là mức tin cậy rằng độ toàn vẹn an toàn trước các hỏng hệ thống (systematic failure) đáp ứng yêu cầu của SIL đã định. Rockwell nêu AADvance đáp ứng yêu cầu systematic capability cho SIL 3 (SC 3). Về phía nhà máy, HSE nêu vòng đời an toàn được quản lý đúng cách, tính độc lập và tính đa dạng là cách chống hỏng hệ thống và hỏng do nguyên nhân chung.
• Proof test (thử định kỳ để tìm lỗi ẩn). HSE lưu ý: khi độ phủ chẩn đoán thấp, độ toàn vẹn phụ thuộc rất lớn vào chu kỳ proof test. HSE cũng yêu cầu có quy trình proof test bằng văn bản để phát hiện các lỗi chưa lộ ra. Sổ tay an toàn AADvance yêu cầu kế hoạch vận hành và bảo trì phải có quy trình thử định kỳ và khoảng cách tối đa giữa hai lần thử. Sổ tay Logix SIS của Rockwell để chu kỳ proof test do từng ứng dụng quyết định.

5. SIL không phải mức an ninh của IEC 62443

Các mức an ninh (security level) SL 1 đến SL 4 của IEC 62443 mô tả kiểu kẻ tấn công mà một zone, conduit hay sản phẩm phải chống được; xem IEC 62443 là gì. SIL mô tả mức giảm rủi ro mà một chức năng an toàn mang lại trước mối nguy của quá trình. Cả hai thang đều có bốn bậc và đều bắt đầu từ một đánh giá rủi ro, nhưng thuộc hai bộ tiêu chuẩn khác nhau và trả lời hai câu hỏi khác nhau. Một chức năng đạt SIL 3 không cho biết gì về mức an ninh của mạng chứa nó. NIST lưu ý: đánh giá an toàn xét thế giới vật lý, còn đánh giá rủi ro an ninh thông tin xét thế giới số; trong OT hai việc này chồng lấn nhau, và gộp chức năng hay mạng của hệ điều khiển với hệ an toàn có thể cho kẻ tấn công vào được cả hai.

6. SIS và BPCS phải độc lập

NIST mô tả SIS thường độc lập với các hệ điều khiển khác, để hệ điều khiển quá trình cơ bản (BPCS) có sự cố cũng không làm hỏng chức năng an toàn. HSE yêu cầu hệ bảo vệ phải đủ độc lập với hệ điều khiển; khi hai bên dùng chung giao tiếp hoặc hệ phụ trợ, phải xác định rõ cách giữ độc lập và xét tới hỏng do nguyên nhân chung. Kiến trúc và các điểm tích hợp: xem bài ICSS và bài DCS.

Những gì TDL kiểm trước

SIL mục tiêu lấy từ đánh giá mối nguy và rủi ro của nhà máy và được ghi trong đặc tả yêu cầu an toàn (SRS); TDL thực hiện và thử nghiệm SIS theo đúng đặc tả đó. Trước khi lập trình, sửa đổi hay thử nghiệm một SIS, chúng tôi kiểm:

• SRS: mỗi SIF có tag, SIL mục tiêu và trạng thái an toàn, và bản revision khớp với bản chúng tôi nhận;
• ma trận cause and effect cho ESD và fire and gas: có đánh số, quản lý revision và khớp với SRS;
• nguyên tắc bypass: input nào được bypass, ai duyệt, bypass hiện trên màn hình vận hành thế nào và gỡ bypass ra sao;
• mỗi SIF có quy trình proof test, với chu kỳ thử mà thiết kế đã giả định;
• với hệ AADvance hoặc Trusted đang chạy: bản sổ tay an toàn đang dùng và kiến trúc module so với SIL mà từng chức năng cần;
• quy trình quản lý thay đổi (management of change) của nhà máy cho logic an toàn, trước khi sửa bất cứ gì.

TDL làm hệ an toàn thế nào

TDL làm hệ an toàn công cụ cho các chức năng SIL 2 và SIL 3 trên AADvance và Trusted, gồm ESD và Fire & Gas; xem hệ ICSS và an toàn và tự động hóa dầu khí. Ở giàn nén khí trung tâm của Vietsovpetro tại mỏ Bạch Hổ (2016), dự án dùng hệ an toàn quá trình AADvance đạt SIL 3 cho các chức năng Fire & Gas; TDL cung cấp vật tư chính và tư vấn kỹ thuật. Tại kho cảng Golden Pass LNG ở Texas (2025), một kỹ sư TDL thử chức năng (functional test) BMS/SIS cho các chức năng an toàn SIL 2 trong lúc chạy thử hệ điều khiển lò hơi phụ. Ma trận cause and effect thành logic SIS ra sao và được thử nghiệm thế nào: xem ma trận cause and effect và thử nghiệm SIS.