Aktuální vydání

celé číslo

12

2021

Automatizace v chemickém a petrochemickém průmyslu

Průtokoměry a regulační ventily

celé číslo

Ověřování funkční způsobilosti bezpečnostních hladinoměrů

Techniky částečného ověřování funkční způsobilosti hladinoměrů činných v bezpečnostních přístrojových systémech zabraňují poklesu úrovně funkční bezpečnosti během provozního života přístrojů při značné úspoře času a peněz.

 
K zabránění vzniku nebo alespoň zmírnění průběhu a důsledků nebezpečných událostí a tím k zajištění bezpečnosti lidí, zamezení škod na zařízení a ochraně životního prostředí se v průmyslu používají bezpečnostní přístrojové systémy (Safety Instrumented System – SIS). Při projektování SIS je třeba přihlížet k nákladům provázejícím jejich použití a k požadavkům kladeným při udržování požadované úrovně funkční bezpečnosti technologického zařízení po celou dobu jeho provozního života.
 
Hladinoměrné přístroje, hladinové spínače (obr. 1) i spojitě měřící snímače polohy (výšky) hladiny mají v závislosti na své spolehlivosti, atestacích a osvědčeních vlastních danému typu přístroje certifikát určité úrovně integrity bezpečnosti (Safety Integrity Level – SIL). Rozlišují se čtyři úrovně, od SIL 1 (malé riziko), přes SIL 2 a SIL 3 až po SIL 4 (velmi velké riziko). Jednou z důležitých bezpečnostních funkcí hladinoměrných přístrojů je schopnost detekovat hrozbu přeplnění nádrže nebo nádoby. Při selhání hladinoměru může nádrž přetéct a do okolního prostředí se mohou dostat nebezpečné kapaliny.
 

Metody k ověřování funkční způsobilosti

Důležitou součástí validace bezpečnostní funkce hladinoměru je požadavek na pravidelné ověřování jeho funkční způsobilosti. Toto ověření potvrzuje celistvost hladinoměrné části bezpečnostního obvodu a zajišťuje, že střední pravděpodobnost selhání při vyžádání bezpečnostní funkce (ukazatel average Probability of Failure on Demand – PFDavg) se nachází v přijatelných mezích. Bez ověření funkční způsobilosti hodnota ukazatele PFD časem vzroste tak, že přístroj již dále nebude mít úroveň SIL odpovídající požadavkům na daný bezpečnostní přístrojový systém. Existují dvě úrovně ověření funkční způsobilosti, a to ověření úplné a ověření částečné. Úplné ověření vrací aktuální hodnotu ukazatele PFDavg zpět nebo velmi blízko k původní jmenovité hodnotě PFDavg stanovené pro daný přístroj v okamžiku jeho expedice z výroby. Částečné ověření vrací přístroji aktuální hodnotu PFDavg představující určitou část původní jmenovité hodnoty tohoto ukazatele.
 

Úplné ověření (full proof test)

Úplné ověření funkční způsobilosti bezpečnostního hladinoměru lze provést dvěma způsoby. První spočívá v uvedení hladiny v nádobě na úroveň, při které se aktivuje ověřovaný hladinoměr, kteroužto funkční zkouškou se ověří, zda přístroj ještě stále funguje. Riziko vlastní tomuto přístupu spočívá v tom, že jde-li o přístroj hlásící za účelem ochrany nádoby před přeplněním dosažení kritické (Critical-High – C-H) nebo havarijní (High-High – H-H) výšky hladiny a tento se při zkoušce neaktivuje, pravděpodobně dojde k přeplnění nádoby.
 
Z uvedeného důvodu organizace API (American Petroleum Institute) ve svých doporučených postupech prevence přeplnění pozemních skladovacích nádrží (API 2350) ověřování hladinoměrů cestou nastavování polohy hladiny na nebezpečnou úroveň zakazuje. Směrnice API 2350-2012 současně doporučuje použít při navrhování nových systémů ochrany nádob před přeplněním metodický postup podle normy IEC 61511.
 
Druhý způsob úplného ověření hladinoměru spočívá v demontáži přístroje z pracovní (provozní, skladové) nádoby a ověření jeho funkční způsobilosti při použití náhradní nádoby obsahující dané provozní médium – tzv. kbelíková zkouška (obr. 2). Při úvahách o této metodě je třeba přihlédnout k následujícím důležitým skutečnostem. Zaprvé může být nutné odstavit z provozu sledovanou nádobu, což může znamenat přerušení celého výrobního procesu. K provedení zkoušky budou muset určití pracovníci odvést jisté množství práce a v souvislosti s vystavením pracovníků působení provozních médií nebo provozního prostřední vůbec se mohou objevit problémy v oblasti bezpečnosti práce. Musí být také k dispozici dané provozní médium v pomocné nádobě.
 
Je důležité si uvědomit, že uvedeným způsobem nelze ověřit úplně všechny typy hladinových spínačů. Některé principy, např. kapacitní, využívají jako referenci vnitřní geometrii nádoby. Přístroj demontovaný z nádoby se ocitne v podmínkách neodpovídajících skutečnému stavu v provozu, a tudíž takto provedené ověření nebude platné.
 

Částečné ověření (partial proof test)

Jinou metodu než úplné ověření představuje tzv. in-situ partial proof testing, tedy částečné ověřování funkční způsobilosti bezpečnostního hladinoměru na místě jeho použití v provozu, kde je s hladinovým spínačem nebo převodníkem hladiny „cvičeno“ tak, aby se prokázalo, že nemá žádné vnitřní závady a že řádně plní veškeré požadované funkce. Důležité je, že při částečném ověřování funkční způsobilosti zůstává hladinoměr nainstalován a ověření se provádí bez aktivního ovlivňování polohy hladiny v nádobě.
 
Uvedené tři způsoby ověřování funkční způsobilosti hladinoměrů jsou představeny na obr. 3.
 
Částečné ověření funkční způsobilosti se používá k validaci integrity a spolehlivosti senzorové části bezpečnostního přístrojového systému. Tímto ověřením je detekována pravděpodobnost možných selhání. Jako takové nevrací ukazatel PFD zcela, tj. na jmenovitou hodnotu platnou pro nový přístroj. K úplnému obnovení důvěry v přístroj, tj. vrácení jeho PFD na jmenovitou (výchozí) hodnotu, je po uplynutí určité doby třeba provést úplné ověření funkční způsobilosti přístroje (obr. 4). Při vhodném použití částečného ověření funkční způsobilosti lze časové intervaly mezi jednotlivými úplnými ověřeními přístroje oprávněně prodloužit.
 

Čtyři kategorie poruch

V oboru bezpečnostních přístrojových systémů se rozlišují celkem čtyři kategorie poruch přístrojů (zařízení) – poruchy bez vlivu na funkční bezpečnost, které mohou být detekované nebo nedetekované, a poruchy ovlivňující funkční bezpečnost, opět detekované nebo nedetekované.
 
Detekovaná bezpečná porucha (Safe Detected Failure; četnost výskytu λsd) je porucha, která není nebezpečná, je ovšem detekována systémem pro sledování poruch elektroniky. Příkladem může být zkrat na výstupu 4 až 20 mA, v jehož důsledku proud překročí hodnotu 20 mA, což spustí výstražné hlášení dosažení kritické úrovně hladiny.
 
Nedetekovaná bezpečná porucha (Safe Undetected Failure; λsu) je porucha, která není nebezpečná a není detekována systémem pro sledování poruch elektroniky. Příkladem je porucha způsobující výstupní proud 8 mA rovný proudu, který iniciuje vznik výstražného hlášení.
 
Detekovaná nebezpečná porucha (Dangerous Detected Failure; λdd) je porucha, která je nebezpečná, ale je detekována systémem pro sledování poruch elektroniky; např. prasklá membrána v převodníku tlaku. Prasklá membrána nemusí sama o sobě nutně znamenat neplatné naměřené hodnoty, autodiagnostika v převodníku nicméně detekuje poruchu a vydá výstražné hlášení.
 
Nedetekovaná nebezpečná porucha (Dangerous Undetected Failure; λdu) je porucha, která je nebezpečná a není detekována systémem pro sledování poruch elektroniky přístroje. Například „zamrznutí“ proudového signálu někde mezi 4 a 20 mA, takže není dostupná žádná funkce, ani výstražná nebo bezpečnostní.
 
Při ověřování funkční způsobilosti nejde o detekované bezpečné, nedetekované bezpečné ani o detekované nebezpečné poruchy bezpečnostního přístroje, resp. jeho komponent. Jde o poruchy, které buď nejsou nebezpečné, nebo je odhalí autodiagnostická sledovací funkce v přístroji. Součet jejich četností výskytu v poměru k souhrnné četnosti výskytu všech možných poruch λtot je tzv. podíl bezpečných poruch (Safe Failure Fraction – SFF), udávaný v procentech (obr. 5). Při ověřování, úplném i částečném, jsou předmětem zájmu výhradně nedetekované nebezpečné poruchy. Operace ověření spočívá v provedení funkční zkoušky přístroje. Znamená to, že iniciací této operace se přístroj ve své činnosti „procvičí“ tím, že jsou vytvořeny podmínky, při kterých má vykonat funkci, k níž je určen.
 
Například při ověřování bodového hladinového spínače chránícího nádobu před přeplněním se nastavují takové podmínky, za kterých správně fungující jednotka poskytne na výstupu výstražný signál dosažení kritické polohy hladiny, tak jak by tomu bylo při skutečné takové události. Sledováním výstupu z jednotky při jejím opakovaném „procvičování“ se poté určí podíl nebezpečných nedetekovaných poruch.
 
Existuje-li v přístroji nebezpečná nedetekovaná porucha, operace ověření funkční způsobilosti ji odhalí. Jestliže nastala nebezpečná nedetekovaná porucha např. ve spínači chránícím nádobu před přeplněním, tento při ověření nevydá očekávaný signál dosažení kritické polohy hladiny, takže výsledek ověření je „neuspěl“. Neúspěšné ověření znamená, že je nutné přístroj podrobněji prověřit a opravit jej nebo vyměnit.
 
Při částečném ověření má zásadní význam ukazatel zvaný stupeň pokrytí (Proof Test Coverage – PTC), informující o tom, jaké procento ze všech možných nebezpečných nedetekovaných poruch příslušná zkouška odhalí. Číselná hodnota ukazatele PTC je určována zkoušením v kombinaci s odhadem a uváděna v procentech.
 
Při úplném ověření funkční způsobilosti je simulována funkce přístroje v podmínkách co možná nejbližších jeho skutečnému provoznímu použití. Například při ochraně před přeplněním při použití hladinového spínače je hladina média v nádobě zvyšována až na úroveň, při které výstup ze snímače přejde ze stavu „normální“ na stav „výstraha“. Takovéto ověření probíhá za podmínek natolik blízkých skutečným, že jeho ukazatel PTC má v praxi hodnotu 100 %. Předností částečného ověření funkční způsobilosti je skutečnost, že je lze často provést in-situ, tzn. bez sejmutí hladinoměru ze sledované nádoby. Tím odpadají náklady a obavy o bezpečnost spojené s demontáží přístroje za účelem jeho úplného ověření.
 
Přitom ovšem nelze pominout růst pravděpodobnosti selhání (PFD) v čase, který může způsobit posuv bezpečnostních charakteristik přístroje mimo pásmo, kdy je garantována požadovaná úroveň SIL. Aby bylo možné takový přístroj dále používat, je třeba včas provést jeho úplné ověření. Například u přístroje s charakteristikami podle obr. 4 je úplné ověření funkční způsobilosti třeba vykonat každé asi tři roky.
 
Pravděpodobnost, že přístroj selže, s časem statisticky roste. Čím déle je přístroj nainstalován v daném zařízení bez toho, že by zafungoval, jak je očekáváno, s tím větší pravděpodobností selže.
 
Jako příklad lze uvést situaci, kdy je nad provozním hladinovým spínačem určeným k zastavení přítoku média do nádoby při dosažení maximální provozní polohy hladiny namontován spínač chránící nádobu před přeplněním signalizací dosažení havarijní (H-H) výšky hladiny. V ideálním případě hladina v nádobě nikdy nestoupne nad úroveň, při níž se zastavuje přítok do nádoby. Spínač H-H, bránící přeplnění, se tedy s médiem v nádrži po léta vůbec nemusí dostat do styku. Čím déle přístroj „zahálí“, tím větší je pravděpodobnost, že při požadavku na činnost selže (tj. hodnota PFD). V důsledku tak dochází k driftu z původní úrovně SIL k úrovni nižší (ze SIL 3 k SIL 2) a k navrácení charakteristik přístroje na původní úroveň SIL je třeba provést úplné ověření jeho funkční způsobilosti.
 
Dále popsané určité postupy částečného ověřování funkční způsobilosti platí pouze pro přístroje značky Endress+Hauser a jsou uvedeny jako ilustrační příklady. Přestože se různí výrobci přístrojů dodávající produkty s charakteristikami SIL v přístupu k problematice částečného ověřování liší, většina velkých dodavatelů má příslušné postupy vypracované a nabízí je. Ochrana nádrží nebo nádob před přeplněním je obvykle zajišťována při použití hladinových snímačů nebo převodníků polohy hladiny, přičemž u každého z obou typů přístrojů existují specifické možnosti, jak částečně ověřit funkční způsobilost.
 

Ověřování hladinových spínačů

V instalacích kritických z hlediska bezpečnosti jsou k dosažení úrovně funkční bezpečnosti SIL 3 standardně používány dva hladinové spínače v uspořádání 1oo2 (1 out of 2). Ve výpočtech pravděpodobnosti selhání je předpokládáno, že jestliže jeden ze spínačů selže, druhý bude nadále správně fungovat (tzv. homogenní redundance), a podmínky dosažení úrovně SIL 3 jsou tudíž splněny.
 
Alternativní řešení spočívá v instalaci jediného hladinového spínače certifikovaného k použití v úlohách vyžadujících úroveň bezpečnosti SIL 3 (uspořádání 1oo1). Při takovém uspořádání se zmenší potřebný rozsah údržby i četnost nutných úplných ověření spínače. Jediný hladinový spínač v takovém případě využívá k identifikaci provozních problémů vestavěnou autodiagnostiku. Má-li si ovšem po celou dobu svého provozního života udržet charakteristiky spolehlivosti na úrovni SIL 3, musí být periodicky částečně ověřován.
 
Hladinové spínače řady Liquiphant™ FTL8x splňují požadavky na bezpečnostní komponenty pro kategorii SIL 3 díky nepřetržitému vnitřnímu sledování frekvence, s níž kmitá čidlo ve tvaru vidlicové ladičky, a činnosti elektroniky přístroje. Změna vlastní frekvence snímací vidličky je známkou jejího možného poškození, mechanicky nebo korozí. Nepřetržitě jsou také sledovány a kontrolovány činnost modulu elektroniky a piezoelektrického měniče budícího kmitání vidličky a případný zkrat nebo přerušení elektrických vodičů.
 
Ve spínači při každém jeho zapnutí – popř. po stisknutí tlačítka spouštějícího částečné ověření jednotky in-situ – proběhne patřičná zkušební sekvence. Během ní se ve spínači zmenší frekvence signálu budícího piezoelektrický měnič, čímž poklesne frekvence kmitání snímací vidličky. Menší frekvence kmitání vidličky je ve spínači vyhodnocena jako povel ke změně stavu výstupu spínače ovládajícího vhodné akční členy zapojené v řídicí smyčce, např. ventily, čerpadla, blokády atd.
 
Je tudíž ověřen nejen samotný výstupní kontakt, ale celá jednotka a k ní přidružené komponenty automatizačního systému. Uvedený způsob v kombinaci s redundantními vnitřními obvody, vysokým stupněm diagnostického pokrytí a velkým podílem bezpečných poruch (SFF) tak umožňuje v jediném přístroji realizovat hladinový spínač splňující požadavky na bezpečnost na úrovni SIL 3.
 
K připojení hladinového spínače Liquiphant FTL8x je společností Endress+Hauser dodáván také volitelný modul Nivotester™ FTL825 s tlačítkem umožňujícím kdykoliv provést částečné ověření funkční způsobilosti spínače (obr. 6). Modul Nivotester sleduje diagnostické údaje a nepřetržitý signál potvrzující činnost spínače namodulovaný na proudovém signálu 4 až 20 mA, což společnosti Endress+Hauser dovoluje dosáhnout s jedním spínačem úrovně bezpečnosti SIL 3.
 
Diagnostické funkce modulu Nivotester lze také naprogramovat v bezpečnostním programovatelném automatu; nicméně sada tvořená kombinací spínače Liquiphant a modulu Nivotester představuje kompletní nezávislý hladinový spínač s certifikátem úrovně bezpečnosti SIL 3. Diagnostického pokrytí potřebného ke zmenšení pravděpodobnosti selhání při vyžádání bezpečnostní funkce na hodnoty umožňující dosáhnout bezpečnosti na úrovni SIL 3 a udržet ji je zde dosahováno kombinací nepřetržitého sledování provozu spínače s částečným ověřováním jeho funkční způsobilosti in-situ.
 
Popsanou technikou částečného ověření je u uvedených přístrojů dosahováno 99% pokrytí nebezpečných nedetekovaných poruch. Při periodickém částečném ověřování vždy po roce lze tudíž interval mezi úplnými ověřeními nutnými k udržení bezpečnosti na úrovni SIL 3 prodloužit na dvanáct let (obr. 7).
 
Úspora nákladů, které je dosaženo při úplném ověřování spínače jen vždy jednou za dvanáct let, je značná. Předpokládejme, že zastavit technologický proces, provést úplné ověření hladinového spínače a proces znovu spustit trvá celkem asi deset hodin. Jako konzervativní odhad nákladů uvažme nerealizovanou výrobu v ceně 10 000 dolarů za hodinu odstávky zařízení plus 1 500 dolarů na mzdy a drobný materiál.
 
Při porovnání s přístrojem vyžadujícím úplné ověření každý rok to znamená úsporu 101 500 dolarů za rok, tj. 1 116 500 dolarů za celý dvanáctiletý cyklus. Při vynásobení těchto částek počtem hladinových spínačů v závodě jde o úsporu nesporně významnou.
 

Snímače polohy hladiny

Na rozdíl od hladinových spínačů se snímače polohy hladiny s certifikátem úrovně SIL 3 vyskytují jen zřídka. Radarový snímač hladiny s vedenou vlnou Levelflex™ FMP5x značky Endress+Hauser je např. v jednoduchém provedení přístrojem kategorie SIL 2, v provedení s homogenní redundancí splňuje požadavky v kategorii SIL 3.
 
Stejně jako u hladinových spínačů je i u snímačů polohy hladiny ovšem třeba periodicky ověřovat jejich funkční způsobilost. Metody ověřování se u jednotlivých dodavatelů liší, avšak součástí procedury úplného ověření zůstává sejmutí snímače z nádoby. Jelikož však mnohé snímače polohy hladiny, jako např. radarové hladinoměry s vedenou vlnou a ultrazvukové hladinoměry, pracují ve směru shora dolů, nemusí být operace demontáže a zpětné montáže snímače vždy důvodem k úplnému zastavení technologického procesu.
 
U mnoha snímačů polohy hladiny lze provádět také částečné ověření jejich funkční způsobilosti in-situ. U hladinoměrů řady Levelflex lze toto udělat prostřednictvím programu FieldCare™, softwarového nástroje od společnosti Endress+Hauser podporujícího uživatele při ověřování, kalibraci a údržbě provozních přístrojů.
 
Při patřičném nastavení hodnot parametrů snímače v programu FieldCare™ lze dosáhnout vysoké úrovně bezpečnosti řízených procesů. Uživatel může např. zadat jako bezpečnou výšku hladiny v nádobě 90 % její maximální provozní hodnoty. Dosáhne-li hladina v nádobě právě bezpečné výšky, snímač má signalizovat výstrahu. Jednou z funkcí dostupných v programu FieldCare je možnost simulovat výšku hladiny. Ověření se provede nejprve zadáním simulované výšky hladiny těsně pod bezpečnou hodnotou (např. na hodnotu 89 %); bezpečná poloha hladiny není překročena a signalizovaný stav by měl být „dobrý“.
 
V dalším kroku se nastaví simulovaná výška hladiny něco málo nad bezpečnou hodnotu (na 91 %). Simulovaná poloha hladiny převyšuje bezpečnou hodnotu, a stavový signál by tudíž měl iniciovat vyslání výstražného hlášení. Programu FieldCare umožňuje příslušná zobrazení ukládat jako dokumenty potvrzující úspěšné částečné ověření snímače in-situ. Celé částečné ověření proběhne bez jakékoliv změny fyzické polohy hladiny média či přerušení provozní dostupnosti nádoby, což znamená úsporu času a peněz.
 
Uvedená metoda částečného ověření se vyznačuje 92% pokrytím nedetekovaných nebezpečných poruch, a tudíž vrací hodnotu ukazatele PFD pod práh požadovaný pro přiznání úrovně bezpečnosti SIL 2.
 

Užitečné standardy

V minulosti byly hladinoměry konstruovány na základě ustálených zvyklostí a zkušeností z praxe.
 
V současnosti hladinoměry, spolu s mnoha jinými přístroji, spadají do oboru působnosti normy IEC 61508, která stanovuje systematický přístup k navrhování a ověřování produktů určených pro úlohy spjaté s funkční bezpečností strojů a zařízení a určuje pravidla pro výrobce a dodavatele automatizačních produktů s garantovanou úrovní integrity bezpečnosti SIL. Jde o výsledek iniciativy zejména mezinárodní elektrotechnické komise (International Electrotechnical Commission – IEC), která v rámci úsilí o globální standardizaci definovala v oboru funkční bezpečnosti tzv. bezpečnostní přístrojové systémy (SIS) a sestavila příslušné normy.
 
V úvahu je brán celý životní cyklus bezpečnostních přístrojů počínaje jejich vývojem až po údržbu konečným uživatelem. Přístroje určené k použití v úlohách kategorie SIL 2 jsou certifikovány výrobcem a mohou být ohodnoceny či certifikovány třetí stranou, např. organizací TÜV nebo Exida. Výrobci mohou mít certifikáty shody svých vývojových a výrobních metod s požadavky normy IEC 61508 od třetích stran. Přístroje pro úlohy kategorie SIL 3 jsou zpravidla certifikovány třetími stranami.
 
Norma IEC 61511 (ANSI/ISA 84.00.01 v USA) stanovuje, že životní cyklus bezpečnostních systémů musí být spravován a dokumentován jejich koncovým uživatelem. Výrobci nicméně mohou dodávat produkty s vlastnostmi a funkcemi, které správu a dokumentování zjednodušují a usnadňují, čímž současně snižují náklady na dosažení shody s předpisy.
 
Norma IEC 61511 je přijímána jako osvědčená inženýrská metoda vycházející z platných mezinárodních standardů, která nahrazuje starší a rozličným organizacím poplatné přístupy.
 
Organizace American Petroleum Institute (API) vyvinula normu API 2350, shrnující doporučené postupy v oboru ochrany pozemních skladových nádrží obsahujících ropné produkty před přeplněním. Norma ANSI/ISA 2350-2012 odkazuje na ustanovení normy IEC 61511.
 
Doporučené postupy při skladování nebezpečných hořlavých chemikálií v USA publikuje také organizace NFPA (National Fire Protection Association).
 

Souhrn

Hladinoměry s certifikátem určité úrovně integrity bezpečnosti (SIL) dodává mnoho výrobců. Zkušební postupy, které konečnému uživateli umožňují udržet jmenovitou hodnotu SIL po celou dobu provozního života přístroje, se ale od výrobce k výrobci výrazně liší. Konečnou odpovědnost za to, že k udržení jmenovité hodnoty SIL budou řádně prováděna částečná i úplná ověření funkční způsobilosti jím používaných přístrojů, má konečný uživatel. Při použití vhodného přístroje může být prokazování shody s požadavky výrazně snazší, a tudíž levnější.
Bill Sholette,
Level Product Business Manager,
Craig McIntyre,
Chemical Industry Manager,
Endress+Hauser, Inc. (USA)
 
Z anglického originálu Proof testing level instruments, Endress+Hauser white paper, March 2014; překlad a úprava redakce; publikováno se souhlasem Endress + Hauser Czech s. r. o.
 
Obr. 1. Typický hladinový spínač namontovaný u horního okraje nádrže za účelem detekovat podmínky hrozící přetečením
obsahu nádrže; k úplnému ověření jeho funkční způsobilosti je často nezbytné hladinový spínač z nádrže demontovat
Obr. 2. Při „kbelíkové zkoušce“ se hladinový spínač odmontuje z pracovní nádoby a jeho správná činnost se ověří ponořením čidla
spínače do daného provozního média nalitého v pomocné nádobě
Obr. 3. Způsoby ověřování funkční způsobilosti hladinových spínačů a jejich charakteristiky (číselné údaje uvedené ad in-situ platí pro hladinový spínač Endress+Hauser Liquiphant FTL8x)
Obr. 4. Periodické částečné ověřování funkční způsobilosti hladinového spínače při 90% pokrytí nebezpečných nedetekovaných poruch: k udržení bezpečnosti na úrovni SIL 3 je v tomto případě přístroj třeba úplně (fyzicky) ověřit každé tři roky (Tčo – perioda opakování částečného ověření)
Obr. 5. Podíl bezpečných poruch SFF (Safe Failure Fraction) a zbývající nedetekované nebezpečné poruchy
Obr. 6. Sekvenci částečného ověření hladinového spínače Liquiphant lze spustit stisknutím tlačítka na modulu Nivotester, popř. na samotném spínači