برنامه‌ریزی آزمون اثبات SIL 3 و مدیریت PFDavg برای HIMA HIMatrix و ICS Triplex TMR

راهنمای عملی IEC 61511 برای برنامه‌ریزی آزمون‌های اثبات SIL 3، محاسبه PFDavg برای معماری‌های HIMA HIMatrix F60 و ICS Triplex TMR، اعمال اعتبار آزمون اثبات جزئی و نگهداری سوابق انطباق در طول چرخه‌های چندساله تعمیرات اساسی کارخانه.

الزامات SIL 3 و بازه هدف PFDavg

جدول ۳ استاندارد IEC 61511، SIL 3 را به عنوان بازه PFDavg بین ۱۰⁻⁴ تا ۱۰⁻³ تعریف می‌کند. این یک مرتبه سخت‌گیرانه‌تر از SIL 2 است. دستیابی به SIL 3 نیازمند معماری بسیار افزونه یا فاصله زمانی آزمون اثبات بسیار کوتاه است. HIMA HIMatrix F60 با معماری 1oo2D تنها زمانی SIL 3 را محقق می‌کند که فاصله آزمون اثبات برابر یا کمتر از ۱ سال باشد و پوشش تشخیصی بیش از ۹۹٪ باشد.

ICS Triplex TMR با رأی‌گیری سخت‌افزاری 2oo3 و تشخیص آنلاین کامل، SIL 3 را محقق می‌کند. پوشش تشخیصی Triplex TMR برای خطاهای داخلی ۹۹.۷٪ ارزیابی شده است. با فاصله آزمون اثبات ۲ سال و نرخ خرابی خطرناک (λDU) برابر با ۱.۲×۱۰⁻⁷ در ساعت به ازای هر کانال، PFDavg تقریباً برابر با ۵.۳×۱۰⁻⁴ محاسبه می‌شود که محدود بالایی SIL 3 یعنی ۱۰⁻³ را برآورده می‌کند.

با این حال، PFDavg مقدار ثابتی نیست و با گذشت زمان و پیر شدن سیستم افزایش می‌یابد. محاسبه تأیید SIL را سالانه پایش کنید. قطعات فرسوده را قبل از آنکه افزایش λDU باعث عبور PFDavg از حد بالایی SIL 3 شود، تعویض کنید.

محاسبه فاصله آزمون اثبات برای معماری‌های ترکیبی

بسیاری از کارخانه‌ها ترکیبی از HIMA HIMatrix F60 برای آغازگرها و ICS Triplex TMR برای عنصر نهایی را اجرا می‌کنند. در این حالت، PFDavg هر زیرسیستم را جداگانه محاسبه کنید و سپس جمع بزنید. مجموع PFDavg کل SIF باید زیر ۱۰⁻³ باقی بماند.

از فرمول پیوست K استاندارد IEC 61511-1 برای معماری 1oo2D استفاده کنید:

PFDavg (1oo2D) = (λDU × Ti)² / 3 + λDU × (1 – DC) × Ti / 2

برای HIMA HIMatrix F60 با λDU = ۳×۱۰⁻⁷ در ساعت به ازای هر کانال، Ti = ۸۷۶۰ ساعت (۱ سال) و DC = ۰.۹۹:

PFDavg = (3×10⁻⁷ × 8,760)² / 3 + 3×10⁻⁷ × 0.01 × 8,760 / 2 = 2.3×10⁻⁶ + 1.3×10⁻⁵ = 1.5×10⁻⁵

این مقدار بودجه زیادی از PFDavg را برای زیرسیستم عنصر نهایی ICS Triplex TMR باقی می‌گذارد. با این حال، هرگز اجازه ندهید هیچ زیرسیستم منفردی بیش از ۵۰٪ از کل بودجه PFDavg SIL 3 را مصرف کند. این رویکرد حاشیه‌ای برای تغییرات آینده فراهم می‌کند بدون اینکه تأیید SIL را نامعتبر کند.

اعتبار آزمون اثبات جزئی و تأثیر پوشش تشخیصی

آزمون اثبات کامل همه حالت‌های خرابی خطرناک را تأیید می‌کند. آزمون اثبات جزئی تنها بخشی از آن‌ها را بررسی می‌کند. بند ۱۶.۲.۶ استاندارد IEC 61511 اجازه می‌دهد اعتبار آزمون اثبات جزئی زمانی داده شود که کسر آزمون جزئی (PTF) مستند شده باشد. نرم‌افزار HIMA SILworx PTF را بر اساس روش آزمون تعریف می‌کند. بررسی تشخیص کانال استاندارد در حین عملیات به عنوان PTF = ۰.۳ تا ۰.۵ در نظر گرفته می‌شود که بستگی به پوشش حالت‌های خرابی دارد.

برای ICS Triplex TMR، خودآزمایی آنلاین تقریباً ۸۵٪ از حالت‌های خرابی خطرناک را پوشش می‌دهد. این بدان معناست که آزمون اثبات سالانه تنها باید ۱۵٪ باقی‌مانده را بررسی کند. این مدت زمان آزمون اثبات را از ۸ ساعت به حدود ۱.۵ ساعت به ازای هر SIF کاهش می‌دهد. این اعتبار را در ابزار تأیید SIL با وارد کردن PTF = ۰.۸۵ برای سهم تشخیص آنلاین و PTF = ۰.۱۵ برای مکمل آزمون اثبات دستی اعمال کنید.

علاوه بر این، اعتبار پوشش تشخیصی نیازمند شواهد است. HIMA HIMatrix SILworx نتایج آزمون تشخیصی را در گزارش رویداد داخلی ثبت می‌کند. این گزارش را ماهانه صادر و در سیستم CMMS آرشیو کنید. وضعیت تشخیص کنترلر ICS Triplex از طریق رجیستر Modbus TCP شماره ۴۱۰۰۱ (نقشه بیت، ۱۶ دسته خطا) در دسترس است. این رجیستر را روزانه از طریق تاریخ‌نگار OPC DA ثبت کنید. این داده‌های آرشیو شده به عنوان شواهد مستندات آزمون اثبات بند ۱۶.۲.۵ استاندارد IEC 61511 در طول ممیزی‌ها استفاده می‌شود.

مستندسازی پنج مرحله‌ای سوابق آزمون اثبات

بند ۱۶.۳ استاندارد IEC 61511 الزامی است که سوابق آزمون اثبات شامل فیلدهای داده خاص باشد. نبود هر فیلد اعتبار آزمون را باطل می‌کند. این روند مستندسازی را برای هر آزمون اثبات SIL 3 SIF دنبال کنید:

• مرحله ۱: وضعیت اولیه را قبل از هر مداخله آزمون ثبت کنید. برای هر کانال HIMA HIMatrix F60، وضعیت LED (سبز/نارنجی/قرمز) و بایت خلاصه تشخیص SILworx را یادداشت کنید. برای هر خروجی ICS Triplex TMR، وضعیت رله و مقدار رجیستر Modbus 41001 را ثبت کنید.
• مرحله ۲: توالی آزمون را طبق روش آزمون اثبات تأیید شده اجرا کنید. زمان هر مرحله را با ساعت همگام‌شده ثبت کنید. از مرجع NTP کارخانه (stratum 1) برای همه زمان‌ها استفاده کنید. از زمان محلی کامپیوتر استفاده نکنید — انحراف ساعت بیش از دقت ۱ ثانیه مورد نیاز برای تأیید زمان پاسخ SIF است.
• مرحله ۳: زمان پاسخ اندازه‌گیری شده از تزریق سیگنال ورودی تا فعال‌سازی عنصر نهایی را ثبت کنید. آن را با نیاز زمان پاسخ SIF در مشخصات الزامات ایمنی (SRS) مقایسه کنید. تلورانس قابل قبول ±۱۰٪ از زمان پاسخ مورد نیاز است.
• مرحله ۴: وضعیت نهایی را پس از اتمام آزمون ثبت کنید. تأیید کنید که هر دو سیستم HIMA و ICS Triplex به حالت عملیاتی عادی بازگردانده شده‌اند. اطمینان حاصل کنید که SILworx هیچ خطای تشخیصی قفل شده‌ای نشان نمی‌دهد. تأیید کنید رجیستر Modbus 41001 در Triplex TMR مقدار 0x0000 (بدون خطای فعال) را می‌خواند.
• مرحله ۵: محاسبه تأیید SIL را با تاریخ جدید آزمون اثبات به‌روزرسانی کنید. PFDavg را برای فاصله آزمون اثبات بعدی مجدداً محاسبه کنید. اگر PFDavg به ۲۰٪ از حد بالایی SIL 3 نزدیک شد، SIF را برای آزمون مجدد زودهنگام یا بازبینی معماری علامت‌گذاری کنید. سوابق آزمون تکمیل شده را با امضای الکترونیکی مطابق با الزامات یکپارچگی سوابق IEC 62443-2-1 در CMMS آرشیو کنید.

نتیجه‌گیری و توصیه‌های عملی

انطباق SIL 3 برای سیستم‌های HIMA HIMatrix و ICS Triplex TMR به برنامه‌ریزی دقیق آزمون اثبات و ردیابی دقیق PFDavg بستگی دارد. PFDavg هر زیرسیستم را جداگانه محاسبه کنید. سهم هر زیرسیستم را زیر ۵۰٪ از کل بودجه SIL 3 نگه دارید. اعتبار آزمون اثبات جزئی را تنها زمانی اعمال کنید که شواهد پوشش تشخیصی در CMMS آرشیو شده باشد. هر وضعیت اولیه و نهایی را با زمان‌های همگام‌شده NTP مستند کنید. تأیید SIL را سالانه به‌روزرسانی کنید. هر SIF که PFDavg آن به ۸۰٪ از حد بالایی SIL 3 نزدیک شد، علامت‌گذاری کنید. این روش‌ها یکپارچگی SIL 3 را در طول کل چرخه عمر کارخانه حفظ می‌کنند.

نویسنده: چن هاو، مهندس اتوماسیون صنعتی با بیش از ۱۰ سال تجربه در PLC، DCS و سیستم‌های کنترل.