🔧 Почему приборная система безопасности (ПСБ) в эксплуатации “живет своей жизнью”?

Проведены HAZOP, LOPA, установлен требуемый SIL и выполнены расчёты. Интервал контрольной проверки определён. РФБ (safety manual) датчиков, ПЛК и исполнительных механизмов изучены, сертификаты — в наличии.
А через год эксплуатации:
· появляются частые ложные срабатывания,
· защиты выводятся в bypass,
· выявляются случаи несрабатывания функций безопасности по запросу,
· интервалы контрольных проверок сдвигаются,
· параметры процесса меняются.

📌 Вопрос: сохраняется ли соответствие SIL, подтверждённое перед вводом в эксплуатацию?
Соответствие SIL контура ПСБ определяется при конкретных допущениях (интервал контрольной проверки, охват диагностикой, условия среды, конфигурация HW/SW, архитектура и др.). Если эти допущения нарушаются — расчёт уже не отражает реальность.

1️⃣ Bypass — это не просто временная мера. Каждый обход функции безопасности увеличивает риск при отсутствии адекватных компенсационных мер.
2️⃣ Интервал контрольной проверки (proof test) — не «рекомендация». Увеличение интервала напрямую влияет на значение PFDavg.
3️⃣ Несрабатывание функции безопасности по запросу. Частая причина — необнаруженные опасные отказы (DU), которые остаются скрытыми до момента запроса на выполнение функции безопасности (в т.ч. из-за недостаточной эффективности контрольных проверок, т.к. 100%-я эффективность таких проверок зачастую - идеализация).
4️⃣ Частые ложные срабатывания. Часто это индикатор проблем в настройке, диагностике, прикладной программе или архитектуре. Некоторые аппаратные архитектуры резервирования повышают отказоустойчивость, но увеличивают вероятность ложных срабатываний.
5️⃣ Конфигурация системы. На практике часто встречается требование «возможности on-line изменений» в программе без останова системы. Но для safety-логики это существенно повышает риск несрабатывания функции безопасности и/или ложных срабатываний. Любые изменения конфигурации (HW/SW) должны проходить через процедуру управления изменениями, анализ влияния на ФБ и, в соответствии с результатами анализа влияния, необходимую верификацию и/или валидацию. Исключения — только заранее регламентированные случаи (например, режим деградации, описанный в РФБ, при соблюдении определённых условий и ограниченного времени).

🎯 Итог: функциональная безопасность должна обеспечиваться во время эксплуатации. Соответствие SIL может быть рассчитано на бумаге, но поддерживается оно только в реальной работе системы.

❓Какие факторы, на ваш взгляд, чаще всего приводят к расхождению между расчётным SIL и фактической эксплуатацией ПСБ?