التحضير لتدقيق السلامة الوظيفية IEC 61511: بناء حزمة أدلة قابلة للدفاع لأنظمة السلامة المؤتمتة Invensys Triconex

ما يبحث عنه المدققون فعليًا

تدقيق السلامة الوظيفية وفقًا لمعيار IEC 61511 ليس مجرد مراجعة وثائق — بل هو تحليل للفجوات بين مواصفات متطلبات السلامة (SRS) والنظام كما تم بناؤه وصيانته. يفحص المدققون ثلاثة أشياء أولاً: اكتمال حالة السلامة، سلامة سجلات اختبار الإثبات، وصحة ادعاء مستوى سلامة الوظيفة (SIL). بالنسبة لتركيب Invensys Triconex T3000 أو Tricon CX، يجب أن يثبت حزمة الأدلة أن نظام السلامة المراقب (SIS) قد تم تصميمه وتركيبه وصيانته وفقًا لمواصفات متطلبات السلامة. يمكن أن تؤدي الفجوات في أي من هذه المجالات إلى تخفيض مستوى SIL الفعلي من SIL 2 إلى SIL 1 — أو، في الحالات الشديدة، إبطال حالة السلامة بالكامل.

أولاً، جمع وثيقة SRS كاملة تشمل جميع أوصاف وظائف السلامة المراقبة (SIF)، أهداف SIL، ومعدلات الطلب على العملية. ثانيًا، تأكد من أن جميع تكوينات مشروع TriStation 1131 تطابق SRS — من حيث الهيكلية، منطق التصويت، منطق التجاوز، وتغطية التشخيص. ثالثًا، تحقق من أن سجلات اختبار الإثبات موقعة ومؤرخة وتحتوي على أوقات الاستجابة كما وجدت — وليس فقط مربعات اختيار النجاح/الفشل.

إعادة حساب PFDavg والتحقق من SIL

احتمالية الفشل عند الطلب (المتوسط) — PFDavg — تقيس موثوقية نظام السلامة المراقب خلال فترة اختبار الإثبات. يتطلب SIL 2 أن يكون PFDavg بين 1×10⁻³ و1×10⁻². تحقق هيكلية Triconex T3000 TMR مع منطق التصويت 2oo3 قيم PFDavg منخفضة بسبب تغطية التشخيص العالية (DC ≥ 99%) والتكرار الكامن. ومع ذلك، تفترض تقارير FMEDA الخاصة بـ Triconex فترات اختبار إثبات وظروف تشغيل محددة.

أعد حساب PFDavg لكل SIF باستخدام الصيغة المبسطة لنظام فرعي 1oo1: PFDavg = λDU × Ti / 2، حيث λDU هو معدل الفشل الخطير غير المكتشف وTi هو فترة اختبار الإثبات بالساعات. بالنسبة لـ Triconex T3000 مع λDU = 2.3×10⁻⁷ لكل ساعة (من FMEDA Triconex الإصدار 4) وTi = 8760 ساعة (اختبار سنوي): PFDavg = 2.3×10⁻⁷ × 8760 / 2 = 1.0×10⁻³. هذا يقع بالضبط عند الحد الأدنى لـ SIL 2 — دون وجود هامش. تقليل Ti إلى 4380 ساعة (اختبار نصف سنوي) يخفض PFDavg إلى 5.0×10⁻⁴، مما يضع SIF بشكل مريح ضمن نطاق SIL 2.

العنصر النهائي (صمام ESD أو جهاز الإيقاف) غالبًا ما يهيمن على PFDavg الخاص بـ SIF، وليس محلل المنطق Triconex. صمام ملف لولبي نموذجي مع λDU = 5×10⁻⁷ لكل ساعة وTi = 8760 ساعة يساهم بـ PFDavg = 2.2×10⁻³ — وهو وحده يكفي لاستهلاك ميزانية SIL 2. يقلل اختبار الحركة الجزئية (PST) بفواصل 3 أشهر هذا المساهمة إلى 5.5×10⁻⁴ ويستعيد هامش PFDavg ذي معنى.

معالجة فجوات سجلات اختبار الإثبات

أكثر النتائج شيوعًا في تدقيق تركيبات Triconex هي سجلات اختبار الإثبات غير المكتملة. يتطلب البند 16.2.5 من IEC 61511 أن تتضمن سجلات اختبار الإثبات: تاريخ الاختبار، هوية الفني، طريقة الاختبار، الحالة كما وجدت، نتيجة الاختبار، والحالة كما تركت. السجلات التي تحتوي فقط على توقيع وتصنيف "نجاح" غير متوافقة.

• الخطوة 1: تدقيق كل سجل اختبار إثبات لكل SIF من فترة اختبار الإثبات الأخيرة. أنشئ مصفوفة فجوات: رقم SIF، تاريخ الاختبار، الحقول المفقودة، الفني المسؤول.
• الخطوة 2: للسجلات التي تفتقد وقت الاستجابة كما وجد، اتصل بالفني الأصلي واطلب إعلانًا قانونيًا بالقيمة المقاسة من الذاكرة — إذا كانت موثقة في مكان آخر (دفتر ميداني، نظام المعايرة). أرفق الإعلان بالسجل الأصلي.
• الخطوة 3: للسجلات التي لا تحتوي على بيانات كما وجدت على الإطلاق، وثق الفجوة رسميًا كعدم مطابقة في نظام إدارة السلامة. عيّن إجراء تصحيحي لإجراء اختبار إثبات غير مجدول في نافذة الصيانة المتاحة التالية لتأسيس خط أساس جديد كما وجد.
• الخطوة 4: نفذ قالب اختبار إثبات منظم في نظام إدارة الصيانة المحوسب (CMMS) مثل SAP PM أو ما شابه. يجب أن يفرض القالب الحقول الإلزامية — وقت الاستجابة بالميلي ثانية، تأكيد حركة العنصر النهائي، ولقطة تشخيصية من Triconex TriStation قبل وبعد الاختبار. قفل السجل بحيث لا يمكن اختيار "نجاح" دون إدخال وقت استجابة رقمي.

متطلبات توثيق إدارة التجاوز

إدارة التجاوز هي متطلب حاسم في البند 11.9.4 من IEC 61511. في كل مرة يتم فيها وضع SIF من Triconex T3000 في وضع التجاوز، يزداد الخطر المتبقي — وتصبح وظيفة السلامة غير متاحة. يجب أن يسجل سجل التجاوز: سبب التجاوز، سلطة الموافقة، وقت البدء، وقت الانتهاء المخطط، والتدابير التعويضية المنفذة خلال فترة التجاوز.

في TriStation 1131، يتم تنفيذ شروط التجاوز عبر متغيرات INHIBIT أو BYPASS في برنامج التحكم. يجب أن يرتبط كل متغير INHIBIT بمفتاح مادي أو علامة تفويض على مستوى SCADA. قم بتكوين برنامج TriStation لكتابة حدث تجاوز في سجل SOE (تسلسل الأحداث) كلما تغيرت حالة متغير INHIBIT. يوفر الطابع الزمني لـ SOE أثر تدقيق مطلوب بموجب IEC 61511.

يجب أن تحدد SRS الحد الأقصى لمدة التجاوز المسموح بها لكل SIF بناءً على معدل الطلب على العملية. بالنسبة لـ SIF الذي يحمي من خطر بمعدل طلب عملية 0.1 في السنة، عادةً ما تكون مدة التجاوز القصوى بدون تدابير تعويضية 72 ساعة. سيقارن المدققون سجل التجاوز في CMMS مع سجل SOE — تشير التباينات بينهما إلى أن عملية التحكم في التجاوز لا تعمل كما هو مقصود وتمثل فشلًا منهجيًا في القدرة بموجب البند 5 من IEC 61511.

قائمة التحقق من التحقق من التكوين قبل التدقيق

• صدّر تقرير تكوين مشروع TriStation 1131 وقارن جميع نقاط تعيين فصل SIF مع SRS. أي انحراف يتطلب سجل إدارة التغيير (MOC) مؤرخًا قبل تنفيذ التغيير.
• تحقق من أن إصدار البرنامج الثابت لـ Triconex T3000 يطابق الإصدار المؤهل في حالة السلامة. تتطلب تحديثات البرنامج الثابت لـ Triconex إعادة التحقق بموجب البند 11.8.5 من IEC 61511 إذا أثرت التحديثات على الوظائف المتعلقة بالسلامة.
• أكد أن جميع فترات اختبار التشخيص ضمن القيم المحددة في SRS. دورة اختبار ذاتي لوحدة T3000 الافتراضية هي ساعة واحدة — تحقق من عدم تغييرها إلى فترة أطول لتقليل تكرار إنذار SCADA DIAG_FAIL.
• تحقق من تزامن تاريخ ووقت Triconex T3000 مع خادم NTP الخاص بالمصنع. الطوابع الزمنية غير المتزامنة في SOE هي عدم مطابقة شائع في التدقيق يثير الشكوك حول تسلسل جميع أحداث السلامة التاريخية.
• راجع سجل التغييرات في TriStation لأي تعديلات تكوين تمت بدون سجل MOC مرتبط. التغييرات غير المصرح بها تمثل عدم مطابقة كبيرة بموجب البند 5.2.4 من IEC 61511 (إدارة السلامة الوظيفية).

الخاتمة ونصائح العمل

التحضير لتركيب Invensys Triconex لتدقيق السلامة الوظيفية وفقًا لـ IEC 61511 يتطلب تجميع الأدلة بشكل منهجي، وليس توليد الوثائق في اللحظة الأخيرة. أعد حساب PFDavg لكل SIF باستخدام فترات اختبار الإثبات الفعلية وبيانات FMEDA كما تم تركيبها — لا تعتمد على جداول SIL المنشورة دون تحقق. تدقيق سجلات اختبار الإثبات للعثور على أوقات استجابة كما وجدت المفقودة ومعالجة الفجوات رسميًا. تحقق من سجلات إدارة التجاوز في كل من CMMS وسجل SOE الخاص بـ Triconex — تشير التباينات إلى فشل منهجي في العملية.

أكمل قائمة التحقق من التكوين قبل 30 يومًا من التدقيق لإتاحة الوقت لتوثيق MOC لأي انحرافات مكتشفة. استعن بمهندس سلامة وظيفية كفء لمراجعة حزمة الأدلة قبل وصول المدقق. اكتشاف فجوة SIL 2 أثناء التدقيق أكثر تكلفة — من حيث الوقت والمال ومخاطر العملية — من اكتشافها أثناء المراجعة الداخلية.

المؤلف: فانغ هاوران مهندس أتمتة صناعية لديه أكثر من 10 سنوات خبرة في أنظمة PLC وDCS وأنظمة التحكم.