Programación de Pruebas de Verificación SIL 3 y Gestión de PFDavg para HIMA HIMatrix e ICS Triplex TMR

Una guía práctica de IEC 61511 para programar pruebas de verificación SIL 3, calcular PFDavg para las arquitecturas HIMA HIMatrix F60 y ICS Triplex TMR, aplicar crédito por prueba parcial y mantener registros de cumplimiento durante ciclos de paradas de planta de varios años.

Requisitos SIL 3 y rango objetivo de PFDavg

La Tabla 3 de IEC 61511 define SIL 3 como un rango de PFDavg de 10⁻⁴ a 10⁻³. Esto es un orden de magnitud más exigente que SIL 2. Alcanzar SIL 3 requiere una arquitectura altamente redundante o un intervalo de prueba muy corto. HIMA HIMatrix F60 con arquitectura 1oo2D logra SIL 3 solo cuando el intervalo de prueba se mantiene en 1 año o menos y la cobertura diagnóstica supera el 99%.

ICS Triplex TMR alcanza SIL 3 mediante su votación hardware 2oo3 con diagnóstico en línea completo. La cobertura diagnóstica de Triplex TMR se califica en 99.7% para fallas internas. Combinado con un intervalo de prueba de 2 años y una tasa de fallas peligrosas (λDU) de 1.2×10⁻⁷/h por canal, el PFDavg se calcula aproximadamente en 5.3×10⁻⁴. Esto satisface el límite superior de SIL 3 de 10⁻³.

Sin embargo, PFDavg no es un valor fijo. Aumenta con el tiempo a medida que el sistema envejece. Monitoree el cálculo de verificación SIL anualmente. Reemplace componentes envejecidos antes de que el aumento de λDU eleve el PFDavg por encima del límite superior de SIL 3.

Cálculo del intervalo de prueba para arquitecturas mixtas

Muchas plantas operan una combinación de HIMA HIMatrix F60 para iniciadores y ICS Triplex TMR para el elemento final. En este caso, calcule PFDavg para cada subsistema por separado. Luego súmelos. El PFDavg total del SIF debe mantenerse por debajo de 10⁻³.

Use la fórmula del Anexo K de IEC 61511-1 para una arquitectura 1oo2D:

PFDavg (1oo2D) = (λDU × Ti)² / 3 + λDU × (1 – DC) × Ti / 2

Para HIMA HIMatrix F60 con λDU = 3×10⁻⁷/h por canal, Ti = 8,760 h (1 año) y DC = 0.99:

PFDavg = (3×10⁻⁷ × 8,760)² / 3 + 3×10⁻⁷ × 0.01 × 8,760 / 2 = 2.3×10⁻⁶ + 1.3×10⁻⁵ = 1.5×10⁻⁵

Esto deja un gran presupuesto de PFDavg para el subsistema del elemento final ICS Triplex TMR. Sin embargo, nunca permita que un solo subsistema consuma más del 50% del presupuesto total de PFDavg para SIL 3. Este enfoque proporciona margen para cambios futuros sin invalidar la verificación SIL.

Crédito por prueba parcial y impacto en la cobertura diagnóstica

Una prueba completa verifica todos los modos de falla peligrosos. Una prueba parcial verifica solo un subconjunto. La cláusula 16.2.6 de IEC 61511 permite crédito por prueba parcial cuando se documenta la fracción de prueba parcial (PTF). HIMA SILworx define PTF por procedimiento de prueba. Una verificación diagnóstica estándar durante la operación cuenta como PTF = 0.3 a 0.5, dependiendo de la cobertura de modos de falla.

Para ICS Triplex TMR, la autoprueba en línea cubre aproximadamente el 85% de los modos de falla peligrosos. Esto significa que la prueba anual solo debe abordar el 15% restante. Esto reduce la duración de la prueba de 8 horas a aproximadamente 1.5 horas por SIF. Aplique este crédito en la herramienta de verificación SIL ingresando PTF = 0.85 para la contribución del diagnóstico en línea y PTF = 0.15 para el complemento de prueba manual.

Además, el crédito por cobertura diagnóstica requiere evidencia. HIMA HIMatrix SILworx registra los resultados de pruebas diagnósticas en el registro interno de eventos. Exporte este registro mensualmente y archívelo en el sistema CMMS. El estado diagnóstico del controlador ICS Triplex está disponible vía registro Modbus TCP 41001 (mapa de bits, 16 categorías de fallas). Registre este registro diariamente mediante el historiador OPC DA. Estos datos archivados sirven como evidencia documental de la prueba según la cláusula 16.2.5 de IEC 61511 durante auditorías.

Documentación de registros de prueba en cinco pasos

La cláusula 16.3 de IEC 61511 requiere que los registros de prueba incluyan campos de datos específicos. La ausencia de campos invalida el crédito de la prueba. Siga este procedimiento de documentación para cada prueba SIL 3 SIF:

• Paso 1: Registre el estado encontrado antes de cualquier intervención de prueba. Para cada canal HIMA HIMatrix F60, anote el estado del LED (verde/ámbar/rojo) y el byte resumen diagnóstico de SILworx. Para cada salida ICS Triplex TMR, anote el estado del relé y el valor del registro Modbus 41001.
• Paso 2: Ejecute la secuencia de prueba según el procedimiento aprobado. Registre la hora de cada paso con un reloj sincronizado. Use la referencia NTP de la planta (estrato 1) para todas las marcas de tiempo. No use la hora local del PC — la deriva del reloj supera la resolución de 1 s requerida para la verificación del tiempo de respuesta del SIF.
• Paso 3: Registre el tiempo de respuesta medido desde la inyección de la señal de entrada hasta la activación del elemento final. Compare con el requisito de tiempo de respuesta del SIF en la especificación de requisitos de seguridad (SRS). La tolerancia aceptable es ±10% del tiempo requerido.
• Paso 4: Registre el estado dejado después de completar la prueba. Confirme que ambos sistemas HIMA e ICS Triplex se restauran al modo operativo normal. Verifique que SILworx no muestre fallas diagnósticas retenidas. Confirme que el registro Modbus 41001 de Triplex TMR lea 0x0000 (sin fallas activas).
• Paso 5: Actualice el cálculo de verificación SIL con la nueva fecha de prueba. Recalcule PFDavg para el próximo intervalo de prueba. Si PFDavg se acerca al 20% del límite superior de SIL 3, marque el SIF para una re-prueba anticipada o revisión de arquitectura. Archive el registro de prueba completado en el CMMS con firma electrónica según los requisitos de integridad de registros IEC 62443-2-1.

Conclusión y recomendaciones

El cumplimiento SIL 3 para los sistemas HIMA HIMatrix e ICS Triplex TMR depende de una programación rigurosa de pruebas y un seguimiento preciso de PFDavg. Calcule PFDavg para cada subsistema por separado. Mantenga las contribuciones individuales por debajo del 50% del presupuesto total SIL 3. Aplique crédito por prueba parcial solo cuando la evidencia de cobertura diagnóstica esté archivada en el CMMS. Documente cada estado encontrado y dejado con marcas de tiempo sincronizadas por NTP. Actualice la verificación SIL anualmente. Marque cualquier SIF cuyo PFDavg se acerque al 80% del límite superior de SIL 3. Estas prácticas protegen la integridad SIL 3 durante todo el ciclo de vida de la planta.

Autor: Chen Hao es un ingeniero de automatización industrial con más de 10 años de experiencia en PLC, DCS y sistemas de control.