Informacje techniczne

Bezpieczeństwo funkcjonalne: pomiar temperatury związany z
bezpieczeństwem zgodnie z normą IEC 61508
Karta katalogowa WIKA IN 00.19

Wprowadzenie
W określonych warunkach termometry elektryczne mogąbyć stosowane w systemie związanym z bezpieczeństwem
zgodnie z normą IEC 61508. W ocenie systemu związanegoz bezpieczeństwem należy uwzględnić zarówno wersję
termometru elektrycznego jako termometru rezystancyjnego
lub termopary, jak i parametry techniczne stosowanegoprzetwornika temperatury.
Niniejsza informacja techniczna opisuje podstawowe
zagadnienia bezpieczeństwa funkcjonalnego zgodnie
z normą IEC 61508 i zawiera wskazówki dotyczące
określania punktu pomiaru temperatury związanego z
bezpieczeństwem.

Konieczność redukcji stopnia zagrożenia
Wraz z rosnącymi oczekiwaniami społeczeństwa w zakresie
bezpieczeństwa eksploatacji urządzeń technicznychnastępowała stopniowa redukcja zagrożeń wywoływanych
przez systemy techniczne. Sporządzono dyrektywy inormy wspierające użytkowników w eksploatacji urządzeń
z zachowaniem najwyższego stopnia bezpieczeństwa.
Podstawą tego są analizy wypadków i oceny ryzyka. Celem
jest redukcja zagrożeń wywoływanych przez systemy
techniczne do akceptowalnego stopnia zgodnie z aspektami
społecznymi poprzez podjęcie odpowiednich środków
bezpieczeństwa.
Aby zapobiec zagrożeniu wywołanego przez awarię
urządzenia, wprowadzono systemy elektryczne/
elektroniczne/programowalne elektroniczne (systemy E/E/
PE). Całokształt funkcji bezpieczeństwa odpowiedzialnychza utrzymanie stanu bezpieczeństwa urządzenia jest
nazywany przyrządowym systemem bezpieczeństwa (SIS)
lub systemem związanym z bezpieczeństwem.

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Przykładem takiego systemu bezpieczeństwa jest systemmonitorowania temperatury, który w razie przekroczenia
temperatur granicznych niezawodnie odłącza zasilanie
elektryczne urządzenia, doprowadzając je do bezpiecznego
stanu i zapobiegając wystąpieniu niebezpiecznego
zdarzenia.

Strona 1 z 13

Architektura systemu związanego z bezpieczeństwem
System elektryczny/elektroniczny/programowalnyelektroniczny składa się głównie z sensorów, kontrolerów
i aktuatorów. W takim przypadku cyfra jeden odnosi się
do architektury jednokanałowej systemu bezpieczeństwa
(system 1oo1). Architektura opisuje charakterystyczną
konfigurację sprzętu i oprogramowania w systemie.
System 1oo1 oznacza, że system składa się z jednego
kanału, który musi pracować niezawodnie w celu realizacji
funkcji bezpieczeństwa (1 out of 1). W systemach
bezpieczeństwa o architekturze wielokanałowej funkcja
bezpieczeństwa realizowana jest przez redundancję sprzętu i
oprogramowania (patrz “Systemy redundantne”).

Przykład architektury jednokanałowej dla przyrządowego systemu bezpieczeństwa
Podsystem sensorów

Termometr elektryczny z
przetwornikiem temperatury

Podsystem logiczny
Programowalny sterownik
logiczny

Podsystem aktuatorów
zawór

Zakres odpowiedzialności instalatora systemu/użytkownika urządzenia

Termometr elektryczny z przetwornikiem temperatury modelu
T32.1S (wersja montażu głowicowego) i T32.3S (wersja
montażu szynowego) może być stosowany jako element
zintegrowanego systemu bezpieczeństwa przez operatorów.

Przetwornik temperatury, model T32.xS

Strona 2 z 13

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Podstawa prawna
Seria norm IEC 61508 “Bezpieczeństwo funkcjonalne
elektrycznych/elektronicznych/programowalnychelektronicznych systemów związanych z bezpieczeństwem”
jest uznawana za podstawową normą bezpieczeństwa.
Opisuje ona środki podejmowane w celu zapobiegania i
eliminowania awarii urządzeń i instalacji oraz może być
stosowana niezależnie od sektora przemysłu.

Certyfikacja przetwornika temperatury modelu T32.xS
dopuszcza go do pracy w kombinacji z termometrem
elektrycznym. W instrukcji bezpieczeństwa przetwornika
temperatury modelu T32.xS” podane są związane z
bezpieczeństwem wartości parametrów przetwornika
temperatury, podłączonych czujników temperatury i całego
zespołu.

Norma IEC 61508 powinna być stosowana szczególnie, jeżeliNa potrzeby przeprowadzenia oceny podsystem sensorów
jest podzielony na “termometr elektryczny (czujnik
temperatury)” i “przetwornik temperatury”. Czujniki
temperatury są sklasyfikowane jako komponenty typu A(komponent podstawowy), a przetwornik temperatury jako
komponenty typu B (komponent złożony).

■■ funkcja bezpieczeństwa jest zintegrowana w systemie

E/E/PE■■ awaria przyrządowego systemu bezpieczeństwa

doprowadzi do zagrożenia ludzi i środowiska■■ nie istnieje właściwa norma odnosząca się do konstrukcji

systemów bezpieczeństwa

Norma IEC 61508 stanowi aktualny stan techniki w zakresie
projektowania systemów bezpieczeństwa. Konstrukcja
systemów bezpieczeństwa musi bezwzględnie spełniać
wymagania najlepszej dostępnej technologii i tym samym
postanowienia normy IEC 61508.

Podsystem sensorów składający się z przetwornika
temperatury i czujnika temperatury

Projektantów, wykonawców i użytkowników obowiązują
też normy dotyczące określonych zastosowań. Jest to na
przykład norma IEC 61511 “Bezpieczeństwo funkcjonalne Przyrządowe systemy bezpieczeństwa do sektora przemysłu
procesowego” dla przemysłu procesowego i norma EN
62061 “Bezpieczeństwo maszyn -- Bezpieczeństwo
funkcjonalne elektrycznych, elektronicznych i elektronicznych
programowalnych systemów sterowania związanych z
bezpieczeństwem” dla budowy maszyn.
Termometr elektryczny może być stosowany w
przyrządowym systemie bezpieczeństwa zgodnie z normą
IEC 61508, jeżeli termometr jest używany w połączeniu zprzetwornikiem temperatury certyfikowanym dla zastosowań
związanych z bezpieczeństwem. Przetwornik temperatury
WIKA modelu T32.xS zaprojektowano zgodnie z normą IEC
61508 do stosowania w przemyśle procesowym i uzyskał
certyfikat TÜV Rheinland dla tego zastosowania.

Termopara lub termometr
rezystancyjny

Przetwornik temperatury
modelu T32.xS

Termometr elektryczny bez przetwornika temperatury - na
przykład termometr rezystancyjny lub termopara - nie spełnia
wymagań normy IEC 61508, jeżeli (na przykład) rezystor
pomiarowy jest zwykłym elementem elektrycznym, który nie
posiada funkcji samodiagnostyki ani nie wykrywa błędów.
W przypadku termometrów elektrycznych bez przetwornika
temperatury zgodnego z normą IEC 61508 mogą być
podane tylko wskaźniki awaryjności. Wynika to z faktu, że
od przyrządu analizującego użytkownika zależy, jakie typy
awarii mogą być bezpiecznie wykrywane w termometrze
elektrycznym.

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Strona 3 z 13

Ocena systemów związanych z bezpieczeństwem
Prawdopodobieństwo wykonania funkcji bezpieczeństwa
na żądanie (tzn. gdy wystąpi błąd systemu) określa poziom
nienaruszalności bezpieczeństwa. Aby uzyskać miarodajne
wymagania dotyczące nienaruszalności bezpieczeństwa,
wprowadzono cztery poziomy nienaruszalności
bezpieczeństwa (SIL). W przypadku poziomu SIL 4
prawdopodobieństwo wykonania funkcji bezpieczeństwa
jest najwyższe, to znaczy, że zapewniona jest maksymalna
redukcja potencjalnego ryzyka.

SIL1
nisko

SIL2

SIL3

Nienaruszalność
bezpieczeństwa
Nienaruszalność
bezpieczeństwa

SIL4
wysokoPoziomy nienaruszalności bezpieczeństwa
Termin “SIL” (ang. safety integrity level) jest zatem ważnym
parametrem systemu bezpieczeństwa, jednakże jest
on często stosowany jako synonim “bezpieczeństwa
funkcjonalnego”.

Poziom nienaruszalności bezpieczeństwa odnosi się
zawsze do całego systemu bezpieczeństwa. Określony
element nie posiada poziomu SIL, jednakże może nadawać
się do zastosowań SIL. Na przykład sam przetwornik
temperatury modelu T32.xS nie tworzy systemu związanegoz bezpieczeństwem. Użytkownik jest odpowiedzialnyza określenie i zachowanie wymaganego poziomu
nienaruszalności bezpieczeństwa zarówno dla całegosystemu bezpieczeństwa, jak i jego poszczególnychelementów!
Jako producent termometrów elektrycznych WIKA wspieraużytkowników w spełnieniu tych wymogów. Z jednej strony
poprzez zaświadczenie spełnienia wymogów normy
IEC 61508 przy projektowaniu modelu T32.xS. Z drugiej
strony użytkownik może uzyskać stosowne dane dotyczące
bezpieczeństwa, wymagane do zaprojektowania urządzenia ioceny funkcji bezpieczeństwa.

Wymagania wobec systemu bezpieczeństwa
W celu określenia punktu pomiarowego temperatury
dostosowanego do systemu związanego z bezpieczeństwemnależy uwzględnić poniższe aspekty:■■ Bezpieczny stan urządzenia i funkcja bezpieczeństwa
każdego elementu muszą być określone przezużytkownika urządzenia.
■■ Wymagany poziom nienaruszalności bezpieczeństwa
musi zdefiniować użytkownik systemu bezpieczeństwa
poprzez ocenę ryzyka, np. w formie wykresów ryzyka.
■■ Należy dokładnie zdefiniować warunki pracy termometru(medium procesowe, wpływy otoczenia) w celu
optymalnego określenia punktu pomiaru temperatury wewspółpracy z firmą WIKA.
■■ Należy przestrzegać instrukcji podanych w dokumentacji
WIKA stosowanego termometru.
■■ Sprawdzić, czy części zwilżane są odpowiednie dla
medium pomiarowego.
Podstawowym warunkiem optymalnego bezpieczeństwa w
punkcie pomiaru temperatury jest prawidłowa konstrukcja
termometru elektrycznego odpowiadająca wymaganiom
procesowym. Kolejnym krokiem jest dobór dostosowanego
do systemów bezpieczeństwa przetwornika temperatury,
który wykryje możliwie jak najwięcej typów błędów
termometru elektrycznego i samego przetwornika.

Strona 4 z 13

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Określenie maksymalnie możliwego poziomu nienaruszalności bezpieczeństwa na
przykładzie przetwornika temperatury modelu T32.xS
Aby określić poziom nienaruszalności bezpieczeństwa
systemu związanego z bezpieczeństwem, należy
zdefiniować wymagania dotyczące zarówno nienaruszalności
bezpieczeństwa systemu, jak nienaruszalności
bezpieczeństwa sprzętu.

Nienaruszalność bezpieczeństwa systemu

Nienaruszalność bezpieczeństwa sprzętu

Aby spełnić wymagania dotyczące nienaruszalności
bezpieczeństwa systemu, należy uwzględnić awarie
systemowe. Awarie systemowe to błędy konstrukcyjne,
produkcyjne lub operacyjne. Aby je ograniczyć, norma IEC
61508 określa środki bezpieczeństwa podejmowane przez
cały cykl życia produktu (systemu technicznego). Cykl życia
systemu bezpieczeństwa rozpoczyna się od zaprojektowania,a kończy się wraz z wycofaniem z eksploatacji. W
ramach systemu zarządzania bezpieczeństwem podczas
projektowania modelu T32.xS wyeliminowano awarie
systemowe poprzez walidację i weryfikację, a także dzięki
zastosowaniu procedur projektowych i dokumentacyjnych.
Dlatego też oprogramowanie modelu T32.xS spełnia nawet
kryteria poziomu nienaruszalności bezpieczeństwa SIL 3.

Błędy losowe
Aby ocenić nienaruszalność bezpieczeństwa sprzętu,należy uwzględnić błędy losowe. Są one wywoływane
przez przypadkowe zmiany w zachowaniu komponentów,
np. obwód otwarty (rozwarcie), obwód zamknięty (zwarcie)
lub przypadkowa zmiana wartości kondensatora w
obwodzie elektrycznym. Błędów losowych nie można
uniknąć. Oszacować można jedynie prawdopodobieństwo
wystąpienia takich błędów. Wskaźnik awaryjności jest
podawany w jednostce FIT (ang. Failures in Time).
Określa się go jako:Łączna liczba wszystkich awarii w przedziale czasowymwzględem stałego wskaźnika awaryjności jest nazywana
podstawowym wskaźnikiem awaryjności λB. Podstawowywskaźnik awaryjności składa się z błędów szkodliwych
λD = niebezpiecznych oraz błędów nieszkodliwych λS =bezpiecznych, które wpływają na funkcję bezpieczeństwa.
W zależności od tego, czy błąd zostanie na przykład wykryty
przez funkcję diagnostyczną układu elektronicznego w
systemie bezpieczeństwa, czy też pozostanie niewykryty,błędy szkodliwe i nieszkodliwe dzielą się na dalsze kategorie.
Podział wskaźników awaryjności

λSU =bezpieczne,
niewykrywalne

λDD =niebezpieczne,
wykrywalne

λSD =bezpieczne, wykrywalne

λDU =niebezpieczne, niewykrywalne

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Strona 5 z 13

Typy awarii w termometrze elektrycznym
W termometrze elektrycznym mogą wystąpić następujące
awarie:■■ Obwód otwarty (rozwarcie) - obwód pomiarowy jest
przerwany■■ Obwód zamknięty (zwarcie) - dwa kable połączeniowe
zostają przypadkowo połączone ze sobą■■ Dryf spowodowany zmianami w materiale rezystora bądźdryf w napięciu termoelektrycznym■■ Zmiana w rezystancji przewodu, np. wskutek wahań
temperaturyZależnie od funkcji detekcji błędów stosowanegoprzetwornika temperatury należy określić typ awarii (λSD, λSU,
λDD, λDU) dla różnych błędów w termometrze elektrycznym.
Tabela 1: Detekcja błędów w przetworniku temperatury modelu T32.xS
Możliwe awarie w
termometrach elektrycznych

Termometr rezystancyjny, Termometr rezystancyjny, Termometr rezystancyjny, Termopołączenie 2-przewodowe połączenie 3-przewodowe połączenie 4-przewodowe para

Obwód otwarty (rozwarcie)
λDD
Obwód zamknięty (zwarcie)
λDD
Dryf
λDU
Zmiana w rezystancji przewodu λDU

λDD
λDD
λDU
λDD 1)

λDD
λDD
λDU
λDD

λDD
λDU
λDU
λDD

1) Zmiana rezystancji w połączeniu 3-przewodowym może być jedynie wykryta z uwzględnieniem faktu, że przewody połączeniowe między rezystorem pomiarowym i przetwornikiem mają tęsamą długość i przekrój.

Wskaźniki awaryjności termopar i termometrów
rezystancyjnych podane są w literaturze dla różnych
zastosowań i konfiguracji. Wskaźniki awaryjności odnoszą
się do “najgorszego przypadku” awarii termometru isłużą jako wytyczne do projektowania przyrządowych
systemów bezpieczeństwa. Wskaźniki awaryjności
należy stosować z uwzględnieniem warunków pracy iprzewodu połączeniowego między punktem pomiarowym iprzetwornikiem. Różnią się one w zależności od wymagań
dotyczących wibracji występujących w miejscu eksploatacji(niskie obciążenie/wysokie obciążenie) i typu połączeniamiędzy punktem pomiarowym i przetwornikiem temperatury(bezpośrednio sprzężone/przewód przedłużeniowy) (patrz"Definicje i skróty").
Tabela 2: Wskaźniki awaryjności termopar bez przetwornika temperatury 2)
Typ błędu
Obwód otwarty (rozwarcie)
Obwód zamknięty (zwarcie)
Dryf

Bezpośrednio sprzężone

Niskie obciążenie

95 FIT
4 FIT
1 FIT

Wysokie obciążenie

1900 FIT
80 FIT
20 FIT

Przewód przedłużeniowy

Niskie obciążenie

900 FIT
50 FIT
50 FIT

Wysokie obciążenie

18000 FIT
1000 FIT
1000 FIT

2) Podane wskaźniki awaryjności opierają się na obliczeniach firmy WIKA z wykorzystaniem kluczowych danych z bazy exida.com L.L.C.
(patrz strona 12 “Literatura i źródła”, “Exida”)

Strona 6 z 13

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Tabela 3: Wskaźniki awaryjności termometrów rezystancyjnych o połączeniu 4-przewodowym bez przetwornika temperatury 2)
Typ błędu

Bezpośrednio sprzężone
Niskie obciążenie

Obwód otwarty (rozwarcie) 42 FIT
Obwód zamknięty (zwarcie) 3 FIT
Dryf
6 FIT

Wysokie obciążenie
830 FIT
50 FIT
120 FIT

Przewód przedłużeniowy
Niskie obciążenie
410 FIT
20 FIT
70 FIT

Wysokie obciążenie
8200 FIT
400 FIT
1400 FIT

Tabela 4: Wskaźniki awaryjności termometrów rezystancyjnych o połączeniu 2-przewodowym lub 3-przewodowym bez
przetwornika temperatury 2)
Typ błędu

Bezpośrednio sprzężone
Niskie obciążenie

Obwód otwarty (rozwarcie) 38 FIT
Obwód zamknięty (zwarcie) 1 FIT
Dryf
9 FIT

Wysokie obciążenie
758 FIT
29 FIT
173 FIT

Przewód przedłużeniowy
Niskie obciążenie
371 FIT
10 FIT
95 FIT

Wysokie obciążenie
7410 FIT
190 FIT1900 FIT

2) Podane wskaźniki awaryjności opierają się na obliczeniach firmy WIKA z wykorzystaniem kluczowych danych z bazy exida.com L.L.C. (patrz strona 12 “Literatura i źródła”, “Exida”)

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Strona 7 z 13

Ograniczenie poziomu nienaruszalności bezpieczeństwa elementu
Maksymalnie możliwy poziom SIL elementu systemu bezpieczeństwa jest ograniczony następującymi czynnikami:■■ Proporcja bezpiecznych awarii sprzętu (udział awarii

bezpiecznych, ang. Safe Failure Fraction, SFF)■■ Tolerancja błędów sprzętu (ang. Hardware Fault

Tolerance, HFT)
Tolerancja błędów sprzętu stanowi miarę stopnia
redundancji systemu bezpieczeństwa. Tolerancja błędów
sprzętu N, N+1 oznacza minimalną liczbę błędów
mogących prowadzić do utraty funkcji bezpieczeństwa.
Przyrządowy system bezpieczeństwa o architekturze
jednokanałowej ma tolerancję błędów sprzętu 0.

■■ Złożoność komponentów (komponenty typu A i B)

- Komponenty typu A to komponenty podstawowe,
których awaryjność jest w pełni określona i których
usterki są wykryte. Komponenty typu A to na przykład
rezystancyjne czujniki temperatury i termopary.
- W przypadku złożonych komponentów typu B
awaryjność co najmniej jednego komponentu nie jestokreślona bądź nie jest w pełni określona. Komponentem
typu B jest na przykład obwód elektroniczny
zawierający mikroprocesor. Przetwornik temperatury
T32.xS jest określony jako komponent typu B (patrz
tabela 5).

Aby obliczyć wartość SFF rezystancyjnych czujników temperatury i termopar podłączonych do przetwornika temperatury T32.
xS, wskaźniki awaryjności czujników temperatury należy podzielić na podkategorie (λS, λDD, λDU), uwzględniając funkcję
diagnostyczną przetwornika. Wartość SFF oblicza się według poniższego wzoru:

Czujniki temperatury określone jako komponenty typu A o architekturze jednokanałowej (HFT = 0) należy stosować w
przyrządowych systemach bezpieczeństwa do poziomu SIL 2, a wartość SFF ≥ 60% jest zachowana zgodnie z tabelą 5. W
przypadku tego samego zastosowania, dla przetwornika temperatury T32.xS jako komponentu typu B wymagana jest wartość
SFF ≥ 90%.

Tabela 5: Maksymalny poziom nienaruszalności bezpieczeństwa komponentu w zależności od tolerancji błędów sprzętu,złożoności komponentów i udziału awarii bezpiecznych
SFF< 60 %
60 … < 90 %90 … < 99 %≥ 99 %

Tolerancja błędów sprzętu
0
Typ A

SIL 1
SIL 2
SIL 3
SIL 3

Typ B

niedozwolone
SIL 1
SIL 2
SIL 3

1
Typ A

SIL 2
SIL 3
SIL 4
SIL 4

Typ B

SIL 1
SIL 2
SIL 3
SIL 4

2
Typ A

SIL 3
SIL 4
SIL 4
SIL 4

Typ B

SIL 2
SIL 3
SIL 4
SIL 4

Tylko jeżeli wartość SFF przetwornika temperatury i czujnika
temperatury odpowiada podanym wartościom granicznym,
elementy te są dozwolone dla przyrządowych systemów
bezpieczeństwa o odpowiednim poziomie SIL. Ponadto
wartość PFD całej funkcji bezpieczeństwa musi spełniać
wymagania z tabeli 6.

Strona 8 z 13

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Ograniczenie poziomu SIL całego systemu bezpieczeństwa
Norma IEC 61508 określa wartości ograniczające poziom nienaruszalności bezpieczeństwa całego systemu
bezpieczeństwa. W zależności od tego, jak często wymagana jest interwencja sytemu bezpieczeństwa, rozróżnia się
dwie wartości charakterystyczne:■■ PFH (prawdopodobieństwo wystąpienia niebezpiecznej

awarii na godzinę)Średnia częstość wystąpienia niebezpiecznej awarii funkcji
bezpieczeństwa w trybie pracy z wysokim lub stałymwskaźnikiem żądania (wysokie żądanie). Tryby te są
szczególnie ważne w budowie maszyn.
■■ PFDavg (prawdopodobieństwo wystąpienia awarii mażądanie)Średnie prawdopodobieństwo wystąpienia niebezpiecznej
awarii na żądanie funkcji bezpieczeństwa w trybie pracy z
niskim wskaźnikiem żądania (niskie żądanie).
Tproof wskazuje interwał powtórnego testowania. Po
upływie tego interwału, na drodze odpowiedniego testu(test kontrolny), system jest doprowadzany do prawie“nowego” stanu w obrębie przewidywanego okresuużytkowania. Za pomocą tego testu można wykryć
też niebezpieczne niewykrywalne błędy. W przypadku
termometru elektrycznego regularna kalibracja zapewniaciągłe utrzymywanie zmierzonej wartości w zakresie
wymaganej dokładności. Dzięki temu wykluczony jest też
niedopuszczalnie wysoki dryf.
Z interwału testów kontrolnych wynoszącego jeden rok(Tproof = 8760 h), dla termometru rezystancyjnego opołączeniu 4-przewodowym i podłączonego przetwornika
temperatury modelu T32.xS wynikają następujące wartości
PFDavg:- Warunki otoczenia: niskie obciążenie
- Połączenie między punktem pomiarowym i przetwornikiem:
bezpośrednio sprzężone
- Wskaźnik awaryjności λDU = 16 FIT 3)

Ze względu na wymaganą wartość PFDavg kombinacja ta jest
odpowiednia dla systemów bezpieczeństwa o podwyższonym
poziomie nienaruszalności bezpieczeństwa SIL 2, jednakże
z powodu architektury jednokanałowej (patrz “Ograniczenie
poziomu nienaruszalności bezpieczeństwa elementu”) i
wartości SFF jest ograniczona do poziomu SIL 2.
Opisany wyżej wzór pochodzi z normy IEC 61508. Zakłada
się, że okres 8 godzin potrzebny do naprawy systemu
jest pomijalnie mały w porównaniu z interwałem testów
kontrolnych wynoszącym 8760 godz.
Wartość PFDavg jest zgodna nieomal liniowo z interwałem
testów kontrolnych Tproof. Im krótszy interwał testów
kontrolnych, tym lepiej osiągalna jest wartość PFDavg.
Podobnie zwiększyć można interwał testów kontrolnych,jeżeli wartość PFDavg całego systemu jest niższa niż
dopuszczalna wartość graniczna. Jeżeli interwał testów
kontrolnych zostanie skrócony do 1/2 roku, wartość PFDavgzmniejszy się o połowę, a przy wydłużeniu do 2 lat, podwoisię.
Im mniejsza wartość PFDavg lub PFH, tym wyższy
jest osiągalny poziom SIL całego systemu. W tabeli 6
charakterystycznym wartościom PFDavg lub PFH przypisany
jest poziom nienaruszalności bezpieczeństwa.

Tabela 6: Ograniczenie poziomu SIL systemu bezpieczeństwa przez wartości PFDavg i PFH
Poziom nienaruszalności
bezpieczeństwa (SIL)4321Średnie prawdopodobieństwo wystąpienia
niebezpiecznej awarii na żądanie funkcji
bezpieczeństwa (PFDavg)≥ 10-5 do < 10-4
≥ 10-4 do < 10-3
≥ 10-3 do < 10-2
≥ 10-2 do < 10-1Średnia częstość wystąpienia
niebezpiecznej awarii na godzinę (PFH)≥ 10-9 do < 10-8 h-1≥ 10-8 do < 10-7 h-1≥ 10-7 do < 10-6 h-1≥ 10-6 do < 10-5 h-13) patrz strona 12 "Literatura i źródła", instrukcja bezpieczeństwa “Informacje o bezpieczeństwie funkcjonalnym przetwornika temperatury modelu T32.xS”

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Strona 9 z 13

Dla użytkownika systemu ważna jest zawsze wartość
PFDavg całego systemu bezpieczeństwa, a nie wartość
pojedynczego elementu. Przedstawione niżej rozłożenie
wartości PFDavg dla systemu bezpieczeństwa przyjęto jako
podstawę oceny:
Rozkład sensora, kontrolera i aktuatora w całkowitej
wartości PFD systemu SIS

Aktuator
50 %Użytkownik urządzenia może określić różne rozmieszczenie
komponentów.
Jeżeli czujnik wykorzystuje mniej niż 35% maksymalnie
dopuszczalnej wartości PFDavg systemu bezpieczeństwa,
jak w przypadku termometru elektrycznego z przetwornikiem
temperatury modelu T32.xS, to użytkownik może użyćkontrolera i aktuatora o odpowiednio niższych wartościach
PFDavg.

Sensor(termometr
elektryczny)
35 %Systemsterowania
15 %Ograniczenia strukturalne
Charakterystyka strukturalna przyrządowego systemu
bezpieczeństwa może ograniczyć maksymalnie osiągalnypoziom SIL. W architekturze jednokanałowej maksymalnypoziom SIL jest wyznaczony przez najsłabsze łącze. W
przedstawionym systemie bezpieczeństwa podsystemy“sensor” i “logiczny” nadają się do poziomu SIL 2, podczas
gdy podsystem “aktuator” nadaje się tylko do poziomu SIL 1.
Z tego powodu cały system bezpieczeństwa może osiągnąć
maksymalnie tylko poziom SIL 1.
Komponenty systemu związanego z bezpieczeństwem

Podsystem sensorów
SIL 2

Strona 10 z 13

Podsystem logiczny
SIL 2

Podsystem aktuatorów
SIL 1

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Systemy redundantneJeżeli dwa termometry elektryczne z przetwornikiem
temperatury modelu T32.xS są połączone równolegle,należy uwzględnić awarie wywoływane wspólną przyczyną.
Awarie wywoływane wspólną przyczyną mogą wystąpić
na przykład wtedy, gdy warunki otoczenia lub interferencje
elektromagnetyczne oddziaływają jednoczenie na kilka
kanałów. Błędy te wpływają na wszystkie kanały systemu
redundantnego w tym samym czasie.
Schemat blokowy niezawodności: termometr elektryczny w konfiguracji redundantnej
SensorKanał 1

Kanał 2

termometr elektryczny 1(z przetwornikiem temperatury)

termometr elektryczny 2

Awaria wywołana
wspólną przyczyną

(z przetwornikiem temperatury)

Termometry elektryczne z poprzedniej ilustracji reprezentują
w tym przypadku system o architekturze dwukanałowej
(1oo2). Taka struktura jest nazywana systemem MooN.
System MooN (M na N) obejmuje N niezależnych kanałów,
z których M kanałów musi działać niezawodnie, aby całysystem mógł wykonywać funkcję bezpieczeństwa.

Sprawdzone operacyjnie przyrządy polowe o architekturze
dwukanałowej osiągają maksymalny poziom SIL
pojedynczego przyrządu. W przeciwieństwie do przetwornika
temperatury modelu T32.xS błędy systemowe w tych
przyrządach nie są wyeliminowane lub ograniczone w
pierwszej kolejności, np. w fazie projektowania przyrządu.

Wystąpienie awarii wywołanych wspólną przyczyną jest mniej
prawdopodobne, jeżeli dwa termometry elektryczne możliwie
jak najbardziej różnią się od siebie pod względem konstrukcji,
zasady pomiaru i oprogramowania. Dlatego też termometr
rezystancyjny może na przykład być użyty w jednym kanale,a termopara w drugim kanale. W celu przeprowadzenia
pomiarów jedna osłona termometryczna może być użyta w
termometrze rezystancyjnym, a druga w termoparze, albo
pojedynczą osłonę termometryczną można zastosować
w obu przyrządach. W przypadku stosowania pojedynczej
osłony termometrycznej awarie wywołane wspólną przyczyną
są odpowiednio bardziej prawdopodobne. Ponadto wyższe
zróżnicowanie ma miejsce wtedy, gdy stosowane przetworniki
temperatury pochodzą od różnych producentów i różnią się
zarówno swoją konstrukcją, jak i oprogramowaniem.

W celu uwzględnienia skutków awarii wywołanych wspólną
przyczyną wymagany jest “współczynnik β” do obliczenia
wartości PFD systemów redundantnych. Współczynnik
β odnosi się do udziału niewykrytych awarii wywołanych
wspólną przyczyną. Zgodnie z normą IEC 61508-6 i przyuwzględnieniu, że okres 8 godz. potrzebny do naprawy
systemu jest pomijalnie mały w porównaniu z interwałem
testów kontrolnych wynoszącym 8760 godz., wartość PFD
dla architektury 1oo2 jest obliczana na podstawie poniższego
uproszczonego wzoru:

Szczególnie przetwornik temperatury WIKA modelu T32.
xS ma tę zaletę, że może być stosowany w systemachhomogenicznie redundantnych do poziomu SIL 3. Oznacza
to, że termometr elektryczny z przetwornikiem temperatury
modelu T32.xS jest połączony równolegle z drugim
termometrem ze strukturalnie identycznym przetwornikiem.
W architekturze jednokanałowej przetwornik nadaje siędo poziomu SIL 2. Ze względu na zgodność kompletnego
projektowania i certyfikacji przetwornika temperatury
modelu T32.xS ze wszystkimi aspektami normy IEC 61508(pełna ocena projektowania), przetwornik nadaje się też
do pracy w homogenicznie redundantnych instalacjach dla
zastosowań SIL 3. Już w fazie projektowania opracowanośrodki zapobiegające błędom z uwzględnieniem pracy
w zastosowaniach SIL 3. Z tego powodu przetwornik
temperatury modelu T32.xS różni się od sprawdzonych
operacyjnie przyrządów, które nadają się zastosowań SIL
tylko na podstawie wcześniejszej eksploatacji.
Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Aby określić współczynnik β, należy zdefiniować najpierwśrodki ograniczające występowanie awarii wywołanych
wspólną przyczyną. W ramach oceny technicznej należy
określić we współpracy z firmą WIKA, w jakim zakresie każdy
podjęty środek redukuje występowanie awarii wywołanych
wspólną przyczyną.

Strona 11 z 13

Podsumowanie zaleceń

Skróty i definicje

Aby zapewnić optymalną konstrukcję punktu pomiaru
temperatury w zastosowaniach związanych z
bezpieczeństwem, należy przestrzegać wymagań opisanych
w rozdziale “Wymagania wobec systemu bezpieczeństwa”.

Skrót

W zastosowaniach związanych z bezpieczeństwem zaleca
się ponadto, aby przetwornik temperatury modelu T32.xS(wersja montażu głowicowego lub szynowego) był stosowany
w kombinacji z termometrem rezystancyjnym w połączeniu
4-przewodowym lub z termoparą. Dzięki zaawansowanym
funkcjom diagnostycznym modelu T32.xS i zaletompołączenia 4-przewodowego zagwarantowany jest wysoki
stopień bezpieczeństwa pomiarów temperatury.
Aby chronić wkład pomiarowy przed medium procesowym
oraz umożliwić szybką i łatwą kalibrację termometru
elektrycznego, należy użyć odpowiednich osłon ochronnych
termometru z wymiennymi wkładami pomiarowymi. Należy
zwrócić szczególną uwagę na właściwą konstrukcję osłony
termometrycznej zgodnie z wymaganiami procesowymi.

Literatura i źródła
1.) IEC 61508:2010:
Bezpieczeństwo funkcjonalne elektrycznych/
elektronicznych/programowalnych elektronicznych
systemów związanych z bezpieczeństwem
Beuth Verlag GmbH, 10772 Berlin

2.) Exida:
Safety Equipment Reliability Handbook - 3rd Edition, 2012,
exida.com L.L.C.

Definicja

Bezpośrednio Przetwornik temperatury jest umieszczonysprzężone
w głowicy przyłączeniowej termometru
elektrycznego (montaż głowicowy).
Pokrycie diagnostyczne (ang. diagnosticDCcoverage)
Przewód
Przetwornik temperatury jest umieszczony
przedłużenio- poza głowicą przyłączeniową termometru
wyelektrycznego i znajduje się na przykład w
szafie oddalonej od punktu pomiarowego(montaż zdalny).
FIT
Awarie w jednostce czasu (ang. failures in
time)
HFT
Hardware Fault Tolerance (tolerancja
błędów sprzętu)Wysokie
Zastosowania z wibracjami (≥ 67%obciążenie
maksymalnej odporności na wibracje
termometru elektrycznego)
NiskieNiskie wibracje (≥ 67% maksymalnejobciążenie
odporności na wibracje termometru
elektrycznego)Średnie prawdopodobieństwo wystąpienia
PFDavgniebezpiecznej awarii na żądanie funkcji
bezpieczeństwa
Średnia częstość wystąpienia
PFH
niebezpiecznej awarii funkcji
bezpieczeństwa
RTD
Termometr rezystancyjny (ang. Resistance
Temperature Detector)
Udział awarii bezpiecznych (ang.
SFF
Safe Failure Fraction, SFF) elementusprzętowego
Przyrządowy system bezpieczeństwa (ang.
SIS
Safety Instrumented System)TC
Termopara (ang. Thermocouple)TR
Termometr rezystancyjny (ang.
Temperature Resistance)3.) WIKA Alexander Wiegand SE & Co. KG:
Instrukcja bezpieczeństwa “Informacje o bezpieczeństwie
funkcjonalnym przetwornika temperatury modelu T32.xS”(od wersji oprogramowania sprzętowego 2.2.3)

Strona 12 z 13

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Wpływ ponownej oceny przetwornika temperatury modelu T32.xS (od wersji
oprogramowania sprzętowego 2.2.3) na wartości związane z bezpieczeństwem
W ramach ponownej oceny nie dokonano na przetworniku
temperatury żadnych modyfikacji związanych z
bezpieczeństwem. Pokrycie diagnostyczne przetwornika
pozostaje niezmienne. Jedynie nowa procedura
oceny doprowadziła do zmiany wartości związanych z
bezpieczeństwem.
Nowe wydanie normy IEC 61508
Od początkowej oceny przetwornika temperatury modelu
T32.xS podstawowa norma dotycząca bezpieczeństwa
funkcjonalnego IEC 61508 “Bezpieczeństwo funkcjonalne
elektrycznych/elektronicznych/programowalnychelektronicznych systemów związanych z bezpieczeństwem”
została zaktualizowana do wersji IEC 61508:2010. Od wersji
oprogramowania sprzętowego 2.2.3 model T32.xS będzie
oceniany na podstawie tego wydania normy.
Zaktualizowane wskaźniki awaryjności
W tym kontekście metoda analizy diagnostycznej rodzajów
i skutków możliwych awarii FMEDA (ang. Failure Modes,
Effects and Diagnostic Analysis) została powtórzona przyużyciu aktualnych wskaźników awaryjności komponentów.
Obliczenia opierały się na wskaźnikach awaryjności
komponentów zgodnie z normą SN29500. W przypadku
rezystancyjnych czujników temperatury i termoparpodłączonych do przetwornika temperatury zastosowanowskaźniki awaryjności określone przez exida.com LLC.

Wskaźniki awaryjności odnoszące się do zastosowań
Po ponownej ocenie modelu T32.xS określono wskaźniki
awaryjności dla konkretnego zastosowania w zależności
od poziomu wibracji w punkcie montażu termometru
elektrycznego i od podłączenia termometru do przetwornika.
Ponadto obliczono wskaźniki awaryjności “samodzielnego”
przetwornika temperatury dla różnych konfiguracji.
Raczej poprawione wskaźniki awaryjności
Wskaźniki awaryjności przetwornika T32.xS z podłączoną
termoparą lub czujnikiem rezystancyjnym wykazały
tendencję poprawy. Szczególnie w odniesieniu do warunków“niskie obciążenie, bezpośrednio sprzężone” zmniejszyły
się wskaźniki awaryjności dotyczące niebezpiecznych
niewykrywalnych błędów.
Wpływ na wartość PFDavg
Szczególnie w odniesieniu do warunków “niskie obciążenie,
bezpośrednio sprzężone” wartość PFDavg uległa
poprawie. W razie potrzeby pozwala to użytkownikowi
na stosowanie podsystemu logicznego lub podsystemu
aktuatorów o odpowiednio wyższych wartościach PFDavg w
przyrządowym systemie bezpieczeństwa bądź na wydłużenie
interwału testów kontrolnych.

12/2018 PL based on 10/2014 EN

Analiza elementów podsystemu “sensorów”
Wraz z wprowadzeniem terminu “element” do normy
IEC 61508-4:2010 sekcja 3.4.5 połączenie między
przetwornikiem temperatury a termometrem elektrycznym
jako podsystem “sensorów” zostało uwzględnione i ocenione
w następujący sposób:
Element 1
Termometr elektryczny
bez przetwornika(termopara lub termometr
rezystancyjny)

Element 2
Przetwornik temperatury
modelu T32.xS (beztermopary lub termometru
rezystancyjnego)

Typ A / SFF ≥ 60% dla
HFT = 0 i SIL 2

Typ B / SFF ≥ 90% dla
HFT = 0 i SIL 2Odrębne uwzględnienie wpływa na ocenę wartości SFF. Na
przykład wymagana wartość SIL 2 SFF dla termopar lub
termometrów rezystancyjnych spada do 60%.
© 2013 WIKA Alexander Wiegand SE & Co. KG, wszelkie prawa zastrzeżone.
Specyfikacje i wymiary podane w niniejszej karcie przedstawiają stan konstrukcyjny aktualny w momencie wydruku.
Istnieje możliwość wprowadzenia modyfikacji i zmian specyfikacji materiałowej bez wcześniejszego powiadomienia.

Karta katalogowa WIKA IN 00.19 ∙ 10/2014

Strona 13 z 13

WIKA Polska spółka z ograniczoną
odpowiedzialnością sp. k.
ul. Łęgska 29/35
87-800 Włocławek
Tel.
+48 54 23 01 100
Fax+48 54 23 01 101
info@wikapolska.pl
www.wikapolska.pl