Em processos industriais, algumas falhas podem levar pressão, temperatura, nível, vazão ou composição para fora dos limites considerados seguros. Quando as consequências potenciais envolvem pessoas, meio ambiente, equipamentos ou continuidade operacional, o sistema normal de controle pode não fornecer sozinho toda a redução de risco necessária.
É nesse contexto que se aplica o Sistema Instrumentado de Segurança, em inglês safety instrumented system (SIS). O SIS executa uma ou mais Funções Instrumentadas de Segurança, em inglês safety instrumented functions (SIFs), projetadas para levar o processo a um estado seguro ou mantê-lo nessa condição quando critérios previamente definidos são atendidos.
A implementação de um SIS não se resume à instalação de transmissores, controladores e válvulas certificados. Ela exige análise de perigos e riscos, especificação dos requisitos de segurança, definição da arquitetura, verificação do desempenho, validação, testes periódicos, manutenção, gestão de mudanças e controle durante todo o ciclo de vida da segurança funcional.
O que é um Sistema Instrumentado de Segurança (SIS)?
Um Sistema Instrumentado de Segurança (SIS) é um sistema formado por sensores, solucionador lógico e elementos finais, destinado a executar uma ou mais SIFs. O SIS monitora condições relevantes para a segurança e, quando a lógica de atuação é satisfeita, comanda uma resposta previamente especificada.
Essa resposta pode incluir:
- interromper a alimentação de um fluido perigoso;
- isolar uma seção da instalação;
- desligar um equipamento ou uma unidade de processo;
- abrir uma rota de desvio ou despressurização, quando prevista no projeto;
- impedir uma partida ou uma sequência operacional em condição insegura.
O SIS integra uma estratégia mais ampla de redução de riscos. Ele não substitui projeto inerentemente seguro, controles básicos, alarmes com resposta do operador, dispositivos mecânicos de proteção, contenção, procedimentos operacionais ou planos de emergência. Cada medida deve ser avaliada como parte das camadas de proteção da instalação.
Como funciona um Sistema Instrumentado de Segurança?
O funcionamento de uma SIF pode ser entendido como uma cadeia de detecção, decisão e atuação:
- Os sensores medem a variável associada ao cenário perigoso, como pressão, temperatura, nível, vazão ou concentração.
- O solucionador lógico recebe os sinais, executa a lógica especificada e determina se as condições de disparo foram atendidas.
- Os elementos finais executam a ação física necessária para alcançar ou manter o estado seguro, por exemplo fechando uma válvula, interrompendo uma alimentação ou desligando um equipamento.
A ação correta depende da especificação de cada função. Em uma aplicação, o estado seguro pode exigir uma válvula fechada; em outra, uma válvula aberta; em determinadas situações, pode ser necessária uma sequência coordenada de ações. Por isso, “falha fechada” ou “falha aberta” não são escolhas universais: devem resultar da análise de riscos e da Especificação dos Requisitos de Segurança, em inglês Safety Requirements Specification (SRS).
Quais são os componentes de um SIS?
Embora a arquitetura varie conforme o processo e o risco, uma SIF inclui três grupos funcionais principais.
Sensores
Detectam as condições do processo utilizadas pela função de segurança. A arquitetura pode utilizar um ou mais instrumentos e, quando necessário, lógicas de votação como 1oo2, 2oo3 ou outras configurações definidas pela análise de disponibilidade, tolerância a falhas e risco de disparos espúrios.
Solucionador lógico
Processa os sinais de entrada por meio de uma lógica de segurança independente e comanda a resposta requerida. A seleção e a programação devem atender aos requisitos da SIF, às restrições de aplicação e às práticas de segurança funcional.
Elementos finais
Executam a mudança física no processo. Um conjunto de elemento final pode incluir válvula, atuador, válvula solenoide, acessórios pneumáticos e dispositivos de monitoramento. Em muitas SIFs, o desempenho do elemento final tem peso significativo na probabilidade de falha sob demanda, tornando essenciais o dimensionamento, o tempo de resposta, a posição de segurança, a capacidade de atuação e o plano de testes.
Qual é a diferença entre SIS, SIF e SIL?
Os três termos estão relacionados, mas não são equivalentes:
- Sistema Instrumentado de Segurança (SIS): conjunto que implementa uma ou mais funções instrumentadas de segurança.
- Função Instrumentada de Segurança (SIF): função específica criada para responder a um cenário perigoso definido, com sensores, lógica e elementos finais próprios ou compartilhados conforme a arquitetura.
- Nível de Integridade de Segurança (SIL): nível discreto associado ao desempenho requerido de uma SIF para alcançar a redução de risco necessária.
O SIL pertence à função instrumentada de segurança, não à válvula, ao transmissor ou ao controlador isoladamente. Um componente pode possuir dados de confiabilidade, capacidade sistemática ou certificação apropriada para uso em determinadas aplicações, mas isso não transforma o equipamento sozinho em “SIL 2” ou “SIL 3”. O atendimento ao SIL depende da arquitetura completa, dos dados de falha, dos intervalos e da cobertura dos testes, das condições de operação e da gestão do ciclo de vida.
SIL 1, SIL 2, SIL 3 e SIL 4: o que muda?
Quanto maior o SIL requerido, maior é a redução de risco que a SIF precisa fornecer e mais rigorosos se tornam os requisitos de integridade. Na indústria de processos, a definição deve decorrer da tolerabilidade do risco e das demais camadas de proteção, e não da preferência pelo maior número possível.
Também é importante distinguir os modos de demanda. Em funções de baixa demanda, a avaliação costuma utilizar a probabilidade média de falha perigosa sob demanda (PFDavg). Em funções de alta demanda ou operação contínua, utiliza-se uma medida de frequência de falha perigosa por hora. O método aplicável deve ser definido de acordo com o modo de operação da SIF.
Qual é a diferença entre SIS e sistema básico de controle de processo (BPCS)?
O Sistema Básico de Controle de Processo, em inglês Basic Process Control System (BPCS), mantém o processo nas condições normais de produção. Ele regula variáveis, executa sequências e suporta a operação cotidiana.
O SIS possui finalidade de segurança: atua quando um cenário perigoso atende aos critérios especificados para uma SIF. Para que a redução de risco seja creditada adequadamente, a independência entre BPCS, SIS e outras camadas deve ser avaliada. Compartilhar instrumentos, alimentação, comunicação, lógica, infraestrutura ou elementos finais pode introduzir dependências e falhas de causa comum que precisam ser consideradas no projeto.
O que é segurança funcional?
Segurança funcional é a parte da segurança que depende do funcionamento correto dos sistemas e equipamentos que executam respostas de proteção. No setor de processos, o SIS é uma das formas de implementar essa proteção.
A segurança funcional não é garantida apenas pela compra de equipamentos certificados. Ela depende da especificação correta da função, da competência das pessoas envolvidas, da verificação, da validação, dos procedimentos, da qualidade da instalação, dos testes periódicos, da manutenção e da gestão de alterações ao longo da vida útil.
Para que servem as normas IEC 61508 e IEC 61511?
A Comissão Eletrotécnica Internacional (IEC) 61508 estabelece requisitos gerais para sistemas elétricos, eletrônicos e eletrônicos programáveis relacionados à segurança. A IEC 61511 aplica os princípios de segurança funcional especificamente à indústria de processos.
A IEC 61511 abrange a especificação, o projeto, a instalação, a operação e a manutenção do SIS para que ele possa alcançar ou manter um estado seguro do processo. A norma também estrutura o ciclo de vida da segurança e orienta a definição, implementação e gestão das SIFs.
Como determinar o SIL requerido?
O SIL requerido é determinado a partir da análise de perigos e riscos. O processo normalmente inclui:
- Identificação dos perigos, causas, consequências e salvaguardas existentes, por meio de técnicas como Estudo de Perigos e Operabilidade, em inglês Hazard and Operability Study (HAZOP).
- Avaliação do risco e da contribuição das camadas de proteção. A Análise de Camadas de Proteção, em inglês Layer of Protection Analysis (LOPA), pode ser utilizada quando apropriada.
- Definição da redução de risco adicional necessária e especificação da SIF.
- Verificação de que a arquitetura, os dados de confiabilidade, os testes e as condições de aplicação alcançam o desempenho requerido.
Buscar o maior SIL possível não é sinônimo de melhor engenharia. Uma SIF deve fornecer a redução de risco necessária, ser verificável, testável e sustentável durante o ciclo de vida.
O que é a Especificação dos Requisitos de Segurança (SRS)?
A Especificação dos Requisitos de Segurança, em inglês Safety Requirements Specification (SRS), documenta o que cada SIF deve fazer e em quais condições. Entre os conteúdos relevantes estão:
- cenário perigoso e variável monitorada;
- limites e condições de disparo;
- estado seguro do processo;
- ação dos elementos finais;
- tempo máximo de resposta;
- SIL requerido e modo de demanda;
- arquitetura, interfaces e requisitos de independência;
- condições ambientais e de processo;
- requisitos de teste, manutenção, desvio e restauração;
- critérios de validação e registros.
Uma SRS incompleta pode gerar ambiguidades justamente nas etapas em que a função precisa ser projetada, testada e validada.
O que são prova periódica, teste funcional e teste parcial de curso?
Falhas perigosas podem permanecer ocultas durante a operação normal. Por isso, a estratégia de testes é parte do desempenho da SIF.
A prova periódica, em inglês proof test, busca revelar falhas perigosas não detectadas pelos diagnósticos automáticos. O procedimento, o intervalo e a cobertura do teste devem estar coerentes com as premissas utilizadas na verificação do SIL.
Em válvulas de segurança instrumentada, um teste parcial de curso, em inglês partial stroke test (PST), movimenta parte do curso para identificar determinadas falhas sem executar necessariamente a atuação completa. O PST pode aumentar a cobertura diagnóstica e revelar algumas falhas, mas não substitui automaticamente a prova periódica completa. A capacidade de cada método precisa ser definida e documentada para o conjunto instalado.
Por que o elemento final merece atenção especial?
O elemento final transforma a decisão lógica em uma mudança física no processo. Uma válvula pode possuir corpo e internos adequados e, ainda assim, não cumprir a função se o atuador não tiver força suficiente, se a válvula solenoide não comutar, se o suprimento pneumático estiver indisponível ou se o tempo de curso ultrapassar o limite da SRS.
A engenharia deve avaliar o conjunto completo, incluindo:
- forças e torques nas condições de processo e de falha;
- posição segura e sentido de atuação;
- tempo de resposta e capacidade pneumática;
- qualidade, pressão e disponibilidade do ar de instrumento;
- compatibilidade de materiais e temperatura;
- capacidade de bloqueio e classe de estanqueidade;
- diagnósticos, monitoramento de posição e testes;
- acesso para manutenção e restauração segura após a demanda.
Quais aplicações podem utilizar SIS?
A necessidade de um SIS depende do risco, não apenas do segmento industrial. Exemplos de cenários incluem:
- sobrepressão em tubulações, vasos e equipamentos;
- níveis críticos com potencial de transbordamento ou perda de contenção;
- perda de chama, temperatura excessiva ou condição perigosa em sistemas térmicos;
- fluxo reverso capaz de contaminar uma rede de suprimento;
- isolamento de inventário perigoso em uma emergência;
- condições que exijam desligamento de emergência;
- processos com substâncias inflamáveis, tóxicas ou altamente reativas.
Essas funções podem ser encontradas em indústrias químicas, petroquímicas, óleo e gás, refino, geração de energia e outras instalações de processo. A arquitetura correta deve ser desenvolvida para o cenário identificado, considerando as demais camadas de proteção.
SIS, ESD, HIPPS e prevenção de fluxo reverso: como se relacionam?
O desligamento de emergência, em inglês Emergency Shutdown (ESD), pode ser implementado por SIFs destinadas a isolar equipamentos ou interromper etapas do processo diante de uma condição perigosa.
O Sistema de Proteção contra Sobrepressão de Alta Integridade, em inglês High-Integrity Pressure Protection System (HIPPS), é uma aplicação de SIS que busca isolar a fonte de alta pressão antes que o sistema protegido ultrapasse seus limites de projeto. A solução normalmente integra sensores de pressão, solucionador lógico e elementos finais de fechamento rápido; a arquitetura e o SIL dependem da análise do risco e da verificação da função.
Sistemas de prevenção de fluxo reverso também podem ser estruturados como funções instrumentadas quando o retorno de produto representa risco de contaminação, dano ou perda de contenção. Em todos os casos, o valor está na engenharia da função completa, não na soma isolada de componentes.
Falhas de causa comum e independência: por que são críticas?
Uma falha de causa comum pode comprometer simultaneamente componentes que deveriam fornecer redundância. Exemplos incluem uma mesma alimentação, uma linha pneumática comum, exposição ambiental comum, erro de configuração replicado, práticas de instalação inadequadas ou falhas sistemáticas associadas ao mesmo projeto.
Redundância, por si só, não elimina esse risco. A análise deve considerar separação, diversidade quando justificada, independência de utilidades e comunicação, práticas de engenharia e medidas de diagnóstico e teste.
Cibersegurança e SIS
A digitalização e a conectividade ampliam a capacidade de diagnóstico, mas também exigem controles compatíveis com o risco. A proteção deve considerar arquitetura de redes, controle de acesso, gestão de credenciais, alterações autorizadas, registro de eventos, atualizações e resposta a incidentes.
A cibersegurança não substitui a segurança funcional, nem o contrário. As duas disciplinas precisam ser coordenadas sempre que uma ameaça cibernética puder afetar a integridade ou a disponibilidade da função de segurança.
Como funciona o ciclo de vida de segurança?
A segurança funcional deve ser gerenciada desde a identificação inicial dos perigos até o descomissionamento. As etapas incluem:
- análise de perigos e riscos;
- alocação das funções de proteção;
- especificação das SIFs na SRS;
- projeto e engenharia do SIS;
- instalação, comissionamento e validação;
- operação, testes e manutenção;
- gestão de desvios, bypasses e restauração;
- gestão de mudanças;
- reavaliação após alterações relevantes;
- descomissionamento controlado.
A documentação e a competência das pessoas envolvidas são essenciais em todas as fases. Uma função validada no início pode perder desempenho se as premissas de teste, manutenção, configuração ou condição operacional deixarem de ser cumpridas.
Soluções SAMSON para segurança funcional
A SAMSON fornece válvulas, atuadores, válvulas solenoides, posicionadores e acessórios aplicáveis a elementos finais de funções instrumentadas de segurança. O portfólio inclui soluções pneumáticas com ação de falha, dispositivos para comando e despressurização de atuadores e recursos de diagnóstico e teste do conjunto instrumentado.
Por meio das empresas do SAMSON GROUP, a organização também desenvolve soluções integradas de segurança, incluindo sistemas de desligamento de emergência, prevenção de fluxo reverso e HIPPS. Sensores e solucionadores lógicos podem ser integrados a partir de fabricantes qualificados, enquanto a engenharia do pacote deve considerar requisitos da SIF, interfaces, arquitetura, documentação, testes de aceitação em fábrica e validação aplicável.
É importante manter a distinção: componentes adequados e dados de segurança são insumos para o projeto, mas o SIL é demonstrado para a função completa. A seleção final precisa considerar a análise de riscos, a SRS, as condições reais do processo e o ciclo de vida.
Leia também: Como funciona a segurança em atuadores elétricos
FAQ sobre Sistema Instrumentado de Segurança
1. Todo processo industrial precisa de SIS?
Não. A necessidade depende dos perigos, das consequências e da redução de risco ainda necessária após considerar as demais camadas de proteção.
2. Uma válvula certificada torna a função SIL 3?
Não. O SIL é propriedade da SIF. A válvula e seus acessórios precisam fornecer dados e desempenho adequados, mas a arquitetura completa, os testes e a gestão do ciclo de vida determinam o atendimento ao requisito.
3. SIS e intertravamento são a mesma coisa?
Nem todo intertravamento é uma SIF. Para ser creditada como função instrumentada de segurança, a função deve ser especificada, projetada, verificada, validada, operada e mantida conforme os requisitos aplicáveis de segurança funcional.
4. O que significa 1oo2 ou 2oo3?
São formas de expressar arquiteturas de votação. Em 1oo2, um de dois canais pode iniciar a ação; em 2oo3, dois de três canais precisam atender ao critério. A escolha depende dos objetivos de segurança, disponibilidade e tolerância a falhas.
5. O teste parcial de curso substitui o proof test?
Não automaticamente. O PST detecta apenas falhas cobertas pelo movimento parcial e pelo método utilizado. A prova periódica precisa revelar as falhas perigosas previstas no plano de teste da função.
6. Alterações no processo exigem reavaliação do SIS?
Alterações capazes de modificar perigos, condições de demanda, tempos de resposta, utilidades, equipamentos, lógica ou premissas de teste devem passar por gestão de mudanças e avaliação do impacto sobre as SIFs.
7. Quem é responsável pela segurança funcional?
A responsabilidade é compartilhada entre as organizações e pessoas que especificam, projetam, integram, operam, mantêm e modificam o SIS. Papéis, competência e autoridade devem ser definidos na gestão da segurança funcional.
8. Como reduzir disparos espúrios sem comprometer a segurança?
A solução depende da causa. Podem ser avaliados qualidade da instrumentação, arquitetura de votação, diagnósticos, instalação, lógica, condições do processo e manutenção. Qualquer alteração precisa preservar a redução de risco requerida.
9. O que deve constar em um proof test?
O procedimento deve definir escopo, preparação, critérios de aceitação, componentes testados, estado inicial e final, restauração, registro de resultados e tratamento das falhas encontradas, de acordo com a SRS e o plano da função.
10. HIPPS substitui sempre uma válvula de segurança?
Não. A aplicação deve resultar da análise de riscos e dos requisitos de projeto. HIPPS e proteção mecânica podem ter papéis diferentes ou complementares conforme o cenário e as normas aplicáveis.
Referências técnicas recomendadas
- IEC 61511-1:2016+A1:2017 – Functional safety: safety instrumented systems for the process industry sector.
- IEC 61511-2:2016 – Guidelines for the application of IEC 61511-1.
- IEC 61508 – Functional safety of electrical/electronic/programmable electronic safety-related systems.
- SAMSON – Competence in Functional Safety: Application notes for safety-instrumented systems (WA 239 EN).
- SAMSON – Competence in Functional Safety: Solenoid valves for safety-instrumented systems (WA 270 EN).