Гласуване 2oo3, което предотвратява фалшиви изключвания в системите за безопасност Triconex и HIMA
Един дефектирал предавател не е задължително да доведе до изключване на компресора, но никоя схема за гласуване не гарантира този резултат. Правилният дизайн балансира намаляването на риска, наличността, диагностиката и отказите с обща причина.
Защо се използва гласуване във функция за безопасност?
Функцията за безопасност трябва да се задейства, когато процесът достигне опасно състояние, като същевременно избягва ненужни изключвания при нормална работа. Гласуването между резервирани сензори може да помогне за балансирането на тези цели. Изборът трябва да произтича от анализа на опасностите и проверката на SIL, а не от практическо правило. Оценете средната вероятност за отказ при потребност (PFDavg), честотата на неправомерните изключвания, отказите с обща причина, изпитванията за доказване и предположенията за ремонта на цялата функция, включително сензорите, логическия решаващ елемент и крайните елементи.
Какво означават 1oo1, 1oo2, 2oo2 и 2oo3?
Обозначението означава, че m от n канала трябва да поискат изключване. Схемата 1oo1 има един канал. При схема 1oo2 изключването се задейства, когато някой от двата канала го поиска; това може да подобри откриването на опасно състояние, но да увеличи нежеланите изключвания. Схемата 2oo2 изисква и двата канала, което намалява някои нежелани изключвания, но потенциално увеличава вероятността за пропуснато изключване, ако един канал откаже по опасен начин. Схемата 2oo3 задейства изключване, когато поне два от трите канала гласуват за него. Тя може да понесе определени единични откази на канал, но ефективността зависи от режимите на отказ, диагностиката и независимостта.
Не приемайте, че повреден сензор се открива автоматично или че реалната потребност винаги ще бъде уловена. Определете как решаващият елемент обработва невалидни, блокирали и сигнали извън обхвата и задайте поведението в деградиран режим.
Еднакви ли са гласуването на сензори 2oo3 и архитектурата на TMR контролер?
Не. Гласуването 2oo3 на три полеви сензора и тримодулната резервирана обработка вътре в логическия решаващ елемент засягат различни части на функцията за безопасност. Система Triconex може да използва резервирана архитектура; продукти като захранващия модул Triconex 8310 и входния модул Triconex 3708E са примери за свързан хардуер, но не доказват, че конкретен контур постига даден SIL. Платформите HIMA също се различават според модела; контролерът HIMA HIMatrix F35, свързан с безопасността не трябва да се описва като притежаващ същата вътрешна архитектура като всяка друга платформа HIMA.
Проверете точното ръководство за хардуерна безопасност, сертифицираната конфигурация, диагностичното покритие и документацията за жизнения цикъл на безопасността, преди да специфицирате платформа или логика за гласуване. SIL 3 е постигнат резултат от проверена цялостна функция за безопасност, а не свойство, предоставено само от три процесора.
Какво може да обезсили три привидно независими канала?
Отказите с обща причина могат да засегнат едновременно няколко сензора: общи импулсни линии, захранване, въздействие на околната среда, грешки при калибриране или общи кабелни трасета. Прегледайте технологичното свързване и монтажа, както и електрическото разделяне. Когато е уместно, използвайте отделни точки за отбор и трасета и оценете разнообразието, но се уверете, че всяко измерване, включено в гласуването, действително открива същата технологична опасност; различни измервания не трябва да се комбинират само за да се създаде разнообразие.
Как инженерите трябва да изпитват и поддържат контур 2oo3?
Конфигурирайте алармите за несъответствие между каналите и обработката на отказите в съответствие със спецификацията на изискванията за безопасност. Задайте допуските въз основа на процеса и точността на уредите, а не на общ процент от диапазона. Изпитвайте за доказване всеки канал и крайния елемент на интервала, използван в изчислението на SIL, управлявайте байпасите съгласно одобрена процедура и записвайте всяко изключване и всяко събитие в деградиран режим. Потвърдете безопасното състояние и предположенията за изключване при отпадане на енергията за конкретния краен елемент, вместо да приемате, че всяка загуба на захранване води до предвидения резултат.
Откъде трябва да започне прегледът?
Започнете с функция за безопасност с голямо въздействие и нейното одобрено изследване на опасностите. Сравнете схемата на сензорите, логиката, диагностиката, байпасите и записите от изпитванията за доказване със спецификацията на изискванията за безопасност и провереното изчисление на PFDavg. След това използвайте историята на изключванията, за да откриете слабите канали и да приоритизирате корекциите, без да отслабвате защитата.
Автор: Ли Вейминг е инженер по индустриална автоматизация с над 10 години опит в PLC, DCS и системи за управление.
