Triconex- und HIMA-SIS-Integration: Nachweisprüfverfahren, die im Feld tatsächlich funktionieren

Warum Proof-Tests für SIL 2 und SIL 3 unverzichtbar sind

Die gefährliche, unentdeckte Ausfallrate (λDU) ist das Problem, das Proof-Tests adressieren sollen. Triconex-Steuerungen verwenden eine 2-von-3 (2oo3) Voting-Architektur. HIMA-Systeme nutzen häufig vierfach redundante Strukturen. Beide Architekturen haben eine gemeinsame Schwachstelle: Ein ausgefallener Kanal löst das System nicht sofort aus. Er wartet still, bis ein zweiter Kanal bei Prozessanforderung ausfällt.

Die IEC 61511 schreibt Proof-Test-Intervalle vor, die die Zielwahrscheinlichkeit eines Ausfalls bei Anforderung (PFD) einhalten. Für eine SIL 3-Schleife mit einem durchschnittlichen PFD (PFDavg) von 1,0E-3 darf das Proof-Test-Intervall (PTI) bei einem Diagnosedeckungsfaktor (DC) von 99 % höchstens 6 Monate betragen. Triconex-Plattformen mit Standarddiagnose erreichen typischerweise DC ≥95 %. Die HIMatrix-Serie von HIMA kann mit erweiterten Selbsttestzyklen DC bis zu 98 % erreichen.

• PFDavg = λDU × MTBF/2 (vereinfacht für 1oo2-Architekturen)
• Für 2oo3: PFDavg = 3(λDU × PTI)² / 2
• Ziel SIL 3: PFDavg muss unter 1,0E-3 bleiben

Schritt-für-Schritt-Proof-Test-Verfahren für Triconex Trident / TMRX Systeme

Das Invensys Triconex 9300 Safety Critical Fault Tolerant System Module und das Triconex 9100 SIS Modul sind die Kernplattformen für die unten beschriebenen TMR-Proof-Test-Verfahren.

• Schritt 1 — Systemstatus vor dem Test überprüfen. Prüfen Sie die LEDs des Triconex-Hauptprozessors. Grün = gesund. Gelb = verschlechtert, aber betriebsbereit. Rot = Fehler aktiv. Protokollieren Sie das Alarmhistorienprotokoll über die TriStation 1131 Software (Version 5.0 oder höher empfohlen). Exportieren Sie das Ereignisprotokoll in eine mit Zeitstempel versehene .tsd-Datei zur Offline-Überprüfung.
• Schritt 2 — Sicherheitsfunktion isolieren, ohne einen Prozess-Trip auszulösen. Stellen Sie das zugehörige Ventil über das HMI auf manuell. Überprüfen Sie, ob die Ventilpositionsanzeige im Triconex I/O-Modul korrekt angezeigt wird. Bestätigen Sie, dass der analoge Eingang (AI) Kanal für einen Standard-Drucktransmitter im Bereich von 4,00–20,00 mA liegt. Das Triconex 3503E Digital Input Module sollte in diesem Schritt auf korrekten Kanalstatus geprüft werden.
• Schritt 3 — Simuliertes Anforderungssignal einspeisen. Verwenden Sie einen HART-Kommunikator (Emerson 475 oder ähnlich), um 4,00 mA (0 % Prozessvariable) einzuspeisen und zu prüfen, dass der digitale Ausgang (DO) nicht anzieht. Dann 20,00 mA (100 % PV) einspeisen und bestätigen, dass der DO innerhalb der konfigurierten Auslösezeit anzieht. Die typische Auslösezeit für einen Trident-Controller beträgt 25–50 ms inklusive I/O-Scan. Überprüfen Sie die Reaktion des Triconex 3601E Digital Output Module in diesem Schritt.
• Schritt 4 — Reaktion des Endglieds messen. Bei einem pneumatischen Stellventil messen Sie die Zeit für den Hub von 0 % auf 100 %. Protokollieren Sie das Ergebnis. Vergleichen Sie es mit dem FAT (Factory Acceptance Test) Referenzwert. Jede Abweichung von mehr als 5 % vom Referenzwert erfordert eine Untersuchung, bevor der Betrieb wieder aufgenommen wird.

HIMA HIMatrix Proof-Test: Wesentliche Unterschiede zu Triconex

HIMA-Systeme verwenden eine andere Voting-Philosophie. Die HIMatrix F-IO-Module unterstützen Hot-Swapping und die Online-Kanalisolierung, ohne die Sicherheitsfunktion zu beeinträchtigen. Dies ist ein bedeutender betrieblicher Vorteil gegenüber älteren Triconex-Konfigurationen.

Die Proof-Test-Sequenz bei HIMA folgt der gleichen logischen Struktur, unterscheidet sich jedoch im Werkzeugeinsatz. Ingenieure verwenden das HIMA Planar4 oder F-System Engineering Tool. Die Kanalisolierung erfolgt über die integrierte Sicherung und die Software-Deaktivierungsfunktion (Funktionscode 8000 in der F-LAD-Logik). Verlassen Sie sich bei einem Live-Proof-Test nicht auf das physische Entfernen von Verkabelungen.

• Funktionstest: Überprüfen Sie, ob jede Sicherheitsfunktion bei ihrem Sollwert ± Toleranz aktiviert wird
• Visuelle Inspektion: Prüfen Sie die Klemmstellen auf festen Sitz (Drehmoment 0,5–0,8 Nm für Phoenix Contact ST 4 Steckklemmen)
• Dokumentation: Füllen Sie das Proof-Test-Protokoll gemäß IEC 61511-2 aus, unterschreiben und datieren Sie es

Häufige Proof-Test-Fehler und deren Behandlung

• Fehler 1 — DO-Kanal zieht während des Tests nicht an. Dies weist typischerweise auf eine durchgebrannte Sicherung im DO-Modul hin. Triconex verwendet externe abgesicherte Klemmenblöcke. Prüfen Sie mit einem Multimeter im Diodentestmodus. Die Ersatzsicherung muss der Nennspannung (250 V AC) und dem Nennstrom (2 A träge) entsprechen. Die Verwendung einer falschen Sicherungsart stellt ein verborgenes Risiko dar.
• Fehler 2 — Analoger Eingang liegt außerhalb des Bereichs (typischerweise >21,0 mA). Dies deutet auf ein Problem mit der Schleifenstromversorgung oder einen defekten Transmitter hin. Messen Sie die Schleifenspannung am Transmitterende. Für einen 2-Draht-Transmitter beträgt die Mindestarbeitsspannung 10,5 V DC bei 20 mA. Liegt die Versorgung darunter, kann der Transmitter das 4–20 mA Signal nicht aufrechterhalten.
• Fehler 3 — Ventilhubzeit überschreitet die Spezifikation. Häufige Ursachen sind ein Luftversorgungsdruck unter 4,5 bar (65 psi), klemmender Ventilstamm oder verschlissene Stellglieddichtungen. Für kritische Ventile ist alle 5 Jahre oder nach 25.000 Zyklen eine vollständige Stellgliedinspektion durchzuführen, je nachdem, was zuerst eintritt.

Fazit und Handlungsempfehlung

Proof-Tests sind nicht optional. Sie sind der einzige Mechanismus, der gefährliche, unentdeckte Ausfälle in redundanten SIS-Architekturen erkennt. Die Triconex- und HIMA-Plattformen sind beide sehr zuverlässig, benötigen jedoch disziplinierte Proof-Test-Verfahren, um ihre SIL-Anforderungen zu erfüllen. Ingenieure müssen jeden Test, jede Abweichung und jede Korrekturmaßnahme dokumentieren.

Planen Sie Ihren nächsten Proof-Test innerhalb von 6 Monaten für SIL 3-Schleifen. Prüfen Sie vor Beginn die Triconex-Alarmhistorie. Bereiten Sie einen kalibrierten Schleifenkalibrator (Fluke 707 oder gleichwertig) und einen HART-Kommunikator vor. Überspringen Sie niemals die Messung der Ventilhubzeit. Die 5 %-Abweichungsgrenze ist nicht willkürlich – sie markiert die Grenze zwischen einer funktionierenden und einer potenziell ausgefallenen Sicherheitsfunktion. Das Triconex 4354 High-Speed Communication Module unterstützt den Echtzeit-Datenauszug für Proof-Test-Protokolle und die Verwaltung von SIL-Verifikationsdateien.

Autor: Wang Lei ist ein Industrieautomatisierungsingenieur mit über 10 Jahren Erfahrung in SPS-, DCS- und Steuerungssystemen.