HIMA Safety PLC y Yokogawa CENTUM: Implementación de lógica de votación 1oo2 y 2oo3 en SIS

¿Qué es la lógica de votación en los sistemas instrumentados de seguridad?

La lógica de votación determina cómo responden los sensores y los elementos finales cuando las mediciones no coinciden. En una arquitectura 1oo2 (uno de dos), cualquiera de los dos sensores puede iniciar un disparo. En una arquitectura 2oo3 (dos de tres), al menos dos de los tres sensores deben coincidir antes de iniciar un disparo.

El controlador de seguridad HIMA Prizm y el DCS Yokogawa CENTUM se implementan con frecuencia conjuntamente en plantas de generación eléctrica de ciclo combinado y unidades de tratamiento de calentadores de refinería. HIMA gestiona la capa SIS. Yokogawa CENTUM gestiona la capa BPCS y proporciona la interfaz del operador mediante la integración ProSafe-RS. El módulo de CPU HIMA F8640 es una plataforma de hardware probada para estas arquitecturas SIS de alta disponibilidad.

Requisitos de IEC 61511 para arquitecturas de votación

IEC 61511 define restricciones arquitectónicas para las Funciones Instrumentadas de Seguridad (SIF). La tolerancia a fallos de hardware (HFT) de cada canal debe corresponder al SIL objetivo. Para SIL 2, una HFT = 1 requiere un mínimo de 2 canales (1oo2). Para SIL 3, una HFT = 2 requiere un mínimo de 3 canales (2oo3) o dos subsistemas 1oo2 en paralelo.

Además, la PFD (probabilidad de fallo bajo demanda) debe calcularse para el lazo de votación completo. Esto incluye los transmisores, el procesamiento del PLC de seguridad y los elementos finales. La fórmula simplificada de PFD para la votación 1oo2 es:

PFD₁oo₂ = 2 × λ_DU² × TI² / 3 + λ_DU × MTTR

Donde λ_DU es la tasa de fallos peligrosos no detectados, TI es el intervalo de prueba de comprobación (normalmente 1 año) y MTTR es el tiempo medio de restauración.

Paso a paso: configuración de la votación 2oo3 en un PLC de seguridad HIMA

Este es el procedimiento práctico para configurar un disparo por presión 2oo3 en un controlador HIMA Prizm conectado a tres transmisores de presión mediante el protocolo HART:

• Paso 1 — Asignar los canales de los transmisores. Conecte tres transmisores HART de 4-20 mA a los módulos de entradas analógicas HIMA (por ejemplo, HIQUAD 4AI). Asigne las direcciones de canal PT-101-A, PT-101-B y PT-101-C en HIMA Engineering Studio.
• Paso 2 — Configurar el bloque de votación. Inserte un bloque de función de votación 2oo3 en la lógica del PLC de seguridad. Configure las etiquetas de entrada como PT-101-A, PT-101-B y PT-101-C. Establezca el punto de ajuste del disparo en 150 psi. Configure el tipo de votación como "MAYORÍA 2oo3".
• Paso 3 — Configurar la comunicación HART. Habilite el protocolo HART en cada canal de entrada analógica. Configure la variable primaria (PV) para la presión en psi. Establezca la tasa de actualización en 100 ms para obtener una respuesta rápida en el lazo de seguridad.
• Paso 4 — Programar la salida de disparo. Enrute la salida del bloque de votación al módulo de salidas digitales que acciona la válvula solenoide EBV. La salida debe desenergizarse (disparo) cuando la presión votada supere los 150 psi durante más de 500 ms (tiempo antirrebote). El módulo de salida digital (DO) Yokogawa ADV559-P01 es adecuado para el cableado de elementos finales en el lado CENTUM de arquitecturas híbridas SIS-BPCS.
• Paso 5 — Integrar con Yokogawa CENTUM. Utilice la interfaz Modbus TCP para transmitir el estado del disparo votado a la estación del operador Yokogawa CENTUM. Confirme que la alarma SIS aparezca en el gráfico de CENTUM en el plazo de 1 segundo desde la condición de disparo. La unidad de control de campo dúplex Yokogawa CENTUM VP AFV10D-S41201 proporciona la infraestructura redundante de FCU para un funcionamiento fiable de la pasarela Modbus TCP.

Errores comunes en el diseño de votación SIS (ISA-84 / IEC 61511)

La experiencia de campo con ISA-84 e IEC 61511 revela varios errores de diseño recurrentes. En primer lugar, utilizar sensores del mismo fabricante en los tres canales de votación crea un fallo de causa común. Si el firmware del sensor tiene un error, los tres canales fallan simultáneamente. Por lo tanto, utilice sensores de dos fabricantes diferentes para cumplir los requisitos de diversidad.

En segundo lugar, tender los tres cables de los sensores por el mismo conducto introduce un fallo de modo común. Los derrames o los daños por incendio en ese conducto anulan la redundancia. Tienda los cables por bandejas portacables separadas, con una separación física de al menos 300 mm.

En tercer lugar, no realizar pruebas de comprobación anuales invalida el cálculo de PFD. Si el intervalo de prueba de comprobación (TI) se amplía de 1 año a 3 años sin recalcular la PFD, es posible que el sistema ya no cumpla el SIL objetivo.

Fallos de causa común en arquitecturas 2oo3

El fallo de causa común (CCF) es la principal debilidad de las arquitecturas de votación. El CCF se produce cuando un único evento degrada simultáneamente varios canales. La temperatura, la humedad, la vibración y las interferencias electromagnéticas son iniciadores típicos de CCF.

Para reducir el CCF, siga estas prácticas de campo. En primer lugar, instale los sensores en envolventes separadas o en ubicaciones físicamente separadas del recipiente de proceso. En segundo lugar, utilice fuentes de alimentación independientes para cada canal de entrada analógica. El módulo de alimentación de CA Yokogawa SPW481 admite una distribución de alimentación dedicada por canal en los armarios de E/S CENTUM. En tercer lugar, realice auditorías anuales de diversidad. Confirme que los tres sensores utilicen versiones de firmware diferentes o revisiones de hardware distintas.

Cuando un sistema 2oo3 está correctamente diseñado, su PFD se mantiene por debajo de 0.001 (SIL 3), incluso incluyendo un factor de CCF del 5 %. Sin medidas de mitigación del CCF, la PFD efectiva puede degradarse por un factor de 3, lo que pone en riesgo el cumplimiento del SIL.

Conclusión y recomendaciones de actuación

La lógica de votación en un PLC de seguridad HIMA integrado con Yokogawa CENTUM proporciona una protección robusta y certificada conforme a SIL para unidades de proceso críticas. Sin embargo, la arquitectura solo es tan sólida como su detalle de diseño más débil. Los fallos de causa común, el tendido de cables y la disciplina en las pruebas de comprobación son las tres áreas en las que los equipos de campo suelen quedarse más cortos.

Recomendación de actuación: Programe este trimestre una revisión de la lógica de votación con su equipo de ingeniería del Sistema Instrumentado de Seguridad (SIS). Verifique que todos los canales de sensores 2oo3 estén físicamente separados y conectados a fuentes de alimentación independientes. Si algún canal comparte un conducto o una barra de alimentación, incluya una acción pendiente antes de la próxima parada general.