2oo3-Abstimmung zur Vermeidung von Fehlauslösungen in Triconex- und HIMA-Sicherheitsschleifen
Ein einzelner fehlerhafter Messumformer muss nicht zwangsläufig eine Abschaltung des Kompressors auslösen, aber keine Abstimmungsanordnung garantiert dieses Ergebnis. Die richtige Auslegung schafft ein Gleichgewicht zwischen Risikominderung, Verfügbarkeit, Diagnose und Gleichtaktfehlern.
Warum wird eine Abstimmung in einer sicherheitsgerichteten Funktion verwendet?
Eine sicherheitsgerichtete Funktion muss reagieren, wenn der Prozess einen gefährlichen Zustand erreicht, und gleichzeitig unnötige Abschaltungen im Normalbetrieb vermeiden. Die Abstimmung redundanter Sensoren kann dabei helfen, diese Ziele auszugleichen. Die Wahl gehört in die Gefährdungsanalyse und SIL-Verifizierung, nicht in eine Faustregel. Bewerten Sie die mittlere Wahrscheinlichkeit einer Anforderung zum Ausfall (PFDavg), die Rate Fehlauslösungen, Gleichtaktfehler, Wiederholungsprüfungen und Annahmen zur Reparatur für die vollständige Funktion einschließlich Sensoren, Logiksystem und Endelementen.
Was bedeuten 1oo1, 1oo2, 2oo2 und 2oo3?
Die Notation bedeutet, dass m von n Kanälen eine Abschaltung anfordern müssen. Eine 1oo1-Anordnung hat einen Kanal. Eine 1oo2-Anordnung löst eine Abschaltung aus, sobald einer von zwei Kanälen dies anfordert; dadurch kann die Erkennung eines gefährlichen Zustands verbessert werden, allerdings können Fehlauslösungen zunehmen. Eine 2oo2-Anordnung erfordert beide Kanäle und reduziert einige Fehlauslösungen, kann aber zugleich die Wahrscheinlichkeit erhöhen, dass eine Abschaltung ausbleibt, wenn ein Kanal gefährlich ausfällt. Eine 2oo3-Anordnung löst eine Abschaltung aus, wenn mindestens zwei von drei Kanälen dafür stimmen. Sie kann bestimmte Fehler einzelner Kanäle tolerieren, aber die Leistung hängt von Fehlerarten, Diagnosen und Unabhängigkeit ab.
Gehen Sie nicht davon aus, dass ein ausgefallener Sensor automatisch erkannt wird oder dass eine tatsächliche Anforderung immer erfasst wird. Legen Sie fest, wie das Logiksystem ungültige, festgefahrene und außerhalb des Messbereichs liegende Signale verarbeitet, und spezifizieren Sie das Verhalten im degradierten Betrieb.
Ist eine 2oo3-Sensorabstimmung dasselbe wie eine TMR-Controller-Architektur?
Nein. Drei Feldsensoren mit 2oo3-Abstimmung und dreifach-modulare redundante Verarbeitung innerhalb eines Logiksystems betreffen unterschiedliche Teile der Sicherheitsfunktion. Ein Triconex-System kann eine redundante Architektur verwenden; Produkte wie das Triconex-8310-Stromversorgungsmodul und das Triconex-3708E-Eingangsmodul sind Beispiele für zugehörige Hardware, aber kein Beleg dafür, dass ein bestimmter Regelkreis einen bestimmten SIL erreicht. Auch HIMA-Plattformen unterscheiden sich je nach Modell; der sicherheitsgerichtete HIMA-HIMatrix-F35-Controller sollte nicht so beschrieben werden, als hätte er dieselbe interne Architektur wie jede andere HIMA-Plattform.
Prüfen Sie vor der Spezifikation einer Plattform oder Abstimmungslogik das genaue Hardware-Sicherheitshandbuch, die zertifizierte Konfiguration, die Diagnoseabdeckung und die Dokumentation des Sicherheitslebenszyklus. SIL 3 ist das erzielte Ergebnis einer verifizierten vollständigen Sicherheitsfunktion und keine Eigenschaft, die allein durch drei Prozessoren verliehen wird.
Was kann drei scheinbar unabhängige Kanäle beeinträchtigen?
Gleichtaktfehler können mehrere Sensoren gleichzeitig beeinträchtigen: gemeinsame Impulsleitungen, Stromversorgung, Umwelteinflüsse, Kalibrierfehler oder gemeinsame Kabelführungen. Überprüfen Sie sowohl den Prozessanschluss und die Installation als auch die elektrische Trennung. Verwenden Sie gegebenenfalls getrennte Entnahmestellen und Kabelführungen und bewerten Sie Diversität, stellen Sie jedoch sicher, dass jede abgestimmte Messung tatsächlich dieselbe Prozessgefahr erkennt; unterschiedliche Messgrößen sollten nicht lediglich zur Schaffung von Diversität kombiniert werden.
Wie sollten Ingenieure eine 2oo3-Schleife prüfen und warten?
Konfigurieren Sie Alarme bei Kanalabweichungen und die Fehlerbehandlung gemäß der Spezifikation der Sicherheitsanforderungen. Legen Sie Toleranzen auf Grundlage des Prozesses und der Messgenauigkeit des Instruments fest, nicht anhand eines allgemeinen Prozentsatzes der Messspanne. Führen Sie an jedem Kanal und Endelement in dem Intervall Wiederholungsprüfungen durch, das in der SIL-Berechnung verwendet wird, verwalten Sie Überbrückungen nach einem genehmigten Verfahren und dokumentieren Sie jede Abschaltung sowie jedes Ereignis im degradierten Betrieb. Bestätigen Sie die Annahmen zum sicheren Zustand und zur Abschaltung durch Energieentzug für das tatsächliche Endelement, anstatt davon auszugehen, dass jeder Stromausfall das beabsichtigte Ergebnis bewirkt.
Wo sollte die Überprüfung beginnen?
Beginnen Sie mit einer sicherheitsrelevanten Funktion mit hoher Auswirkung und der dazugehörigen genehmigten Gefährdungsanalyse. Vergleichen Sie deren Sensoranordnung, Logik, Diagnosen, Überbrückungen und Aufzeichnungen der Wiederholungsprüfungen mit der Spezifikation der Sicherheitsanforderungen und der verifizierten PFDavg-Berechnung. Nutzen Sie anschließend die Abschaltungshistorie, um schwache Kanäle zu erkennen und Korrekturen zu priorisieren, ohne den Schutz zu schwächen.
Autor: Li Weiming ist ein Ingenieur für industrielle Automatisierung mit über 10 Jahren Erfahrung in SPS-, DCS- und Leitsystemen.
