Sigurnosni PLC isključuje sustav bez razloga: projektiranje SIS-a otpornog na kvarove zajedničkog uzroka

Zašto redundantni sigurnosni PLC neočekivano aktivira isključenje kada nijedna pojedinačna komponenta nije otkazala?

Kada sigurnosni instrumentirani sustav (SIS) neočekivano aktivira isključenje i zaustavi proizvodnju, operateri i tehničari često krive greške u softverskoj logici. Međutim, osnovni uzrok često se nalazi u zajedničkoj fizičkoj infrastrukturi. Iako trostruka modularna redundancija (TMR) učinkovito prevladava slučajne hardverske kvarove, ona ne pruža nikakvu zaštitu od jedne ranjivosti koja istodobno onemogući sve redundantne kanale. Taj je fenomen poznat kao kvar zajedničkog uzroka (CCF).

Od ključne je važnosti razlikovati slučajne kvarove od događaja zajedničkog uzroka. Slučajni kvar onesposobljava jedan kanal, što interna logika glasanja 2oo3 neprimjetno maskira. Nasuprot tome, događaj zajedničkog uzroka istodobno utječe na sve kanale preko zajedničke slabe točke - čime hardverska redundancija postaje beskorisna. Kako biste održali integritet funkcionalne sigurnosti prema normi IEC 61511, CCF tretirajte kao temeljno pitanje projektiranja sustava, a ne kao izolirani popravak tijekom održavanja.

Koji uobičajeni osnovni uzroci istodobno onemogućuju redundantne sigurnosne kanale?

Čak i u arhitekturama visoke pouzdanosti koje koriste sigurnosne nosače poput Invensys Triconex 3720 analognog ulaznog modula ili Invensys Triconex 4118 analognog izlaznog modula, zajedničke ranjivosti mogu ugroziti cijele sigurnosne petlje:

• Zajednički impulsni vodovi i primarni elementi: Dva odašiljača koja dijele jedan procesni priključak ili su montirana na istu prigušnicu/Annubar dat će jednaka pogrešna očitanja ako se taj priključak začepi.
• Zajednički dovod instrumentnog zraka: Oslanjanje na jedan regulator zraka ili razdjelni vod za napajanje redundantnih završnih upravljačkih elemenata znači da će začepljenje dovoda zraka blokirati oba ventila u zatečenom položaju.
• Zajedničke kabelske police i EMI: Polaganje visokonaponskih energetskih kabela i osjetljivih sigurnosnih signala od 4–20 mA u istoj polici izlaže sve sigurnosne kanale elektromagnetskim udarima istodobno.
• Pad napona u petlji: Duga kabelska vodila koja snižavaju napon na priključnicama ispod minimalnih 10–12 VDC za dvovodne odašiljače uzrokuju istodobno ispadanje svih odašiljača na toj grani.
• Povezanost softverskih funkcijskih blokova: Mapiranje dviju redundantnih oznaka unutar istog logičkog funkcijskog bloka ili ljestvičaste grane uvodi algoritamske ranjivosti koje istodobno uzrokuju kvar oba kanala.
• Zajednički postupci održavanja: Kalibracija ili ispiranje jednog odašiljača na zajedničkom razvodniku može nenamjerno poremetiti njegov redundantni par tijekom rada postrojenja.

Kako raznolikost tehnologija i fizičko razdvajanje štite SIS od kvarova BPCS-a?

Arhitektonska neovisnost ima smisla samo kada je poduprta fizičkom raznolikošću. Gdje god industrijski proces to dopušta, koristite različite tehnologije mjerenja - primjerice, kombinirajte radarski odašiljač razine s vođenim valom i odašiljač diferencijalnog tlaka umjesto ugradnje dviju jednakih DP ćelija.

Nadalje, sigurnosni kontroleri moraju ostati strogo odvojeni od osnovnog sustava upravljanja procesom (BPCS). BPCS i SIS držite u odvojenim ormarima s namjenskim napajanjem, izoliranim uzemljivačkim sabirnicama i odvojenim kabelskim kanalima. Namjenski sigurnosni kontroleri - poput HIMA HIMatrix F35 sigurnosno povezanog kontrolera ili HIMA F3 DIO 20/8 01 HIMatrix digitalnog modula - omogućuju namjensko determinističko izvršavanje i odvojene inženjerske alate. Pri komunikaciji s nadzornim DCS slojevima putem Invensys Triconex 4354 komunikacijskog modula velike brzine održavajte vatrozidne granice samo za čitanje i nikada ne kopirajte i ne lijepite neprovjerenu upravljačku logiku preko sigurnosnih barijera.

Što je beta faktor prema normi IEC 61511 i kako utječe na provjeru SIL-a?

Proračuni razine integriteta sigurnosti (SIL) moraju matematički uzeti u obzir osjetljivost na zajednički uzrok pomoću beta faktora (β), koji je prema normama IEC 61508 i IEC 61511 definiran kao udio ukupne stope kvarova koji se može pripisati zajedničkom uzroku. Iako referentni projekti često pretpostavljaju beta faktor između 1 % i 5 %, ta konzervativna procjena pretpostavlja strogo fizičko razdvajanje i inženjersku disciplinu.

Neprovođenje fizičkog razdvajanja lako može utrostručiti stvarni beta faktor, što ozbiljno pogoršava izračunatu vjerojatnost otkaza na zahtjev (PFDavg) i poništava vašu certifikaciju SIL 2 ili SIL 3. Uvijek izračunajte i dokumentirajte opravdani β-faktor u specifikaciji sigurnosnih zahtjeva (SRS) te ga ponovno procijenite nakon svake izmjene ožičenja ili rasporeda.

Kako bi inženjeri trebali provesti terensku provjeru radi potvrde neovisnosti sigurnosne petlje?

Kako biste potvrdili da su vaše sigurnosne instrumentirane funkcije (SIF) doista neovisne, provedite sljedeći redoslijed terenske provjere:

• 1. korak (pregled impulsnih vodova): Fizički pratite mjerne vodove do procesnog priključka; uklonite sve zajedničke procesne priključke ili razvodnike između redundantnih parova.
• 2. korak (provjera razdvajanja kabela): Pregledajte rasporede kabela i terenske kabelske police kako biste osigurali da je ožičenje sigurnosnih instrumenata odvojeno od energetskih vodova i ožičenja BPCS-a.
• 3. korak (mjerenje napona na priključnicama): Izmjerite napon na priključnicama pri maksimalnoj potrošnji struje kako biste osigurali da zadovoljava minimalne radne pragove odašiljača.
• 4. korak (pregled aplikacijske logike): Revidirajte sigurnosne logičke programe redak po redak i osigurajte da redundantni ulazi ne prolaze kroz zajedničke računske blokove ili međusobno ovisne ljestvičaste grane.
• 5. korak (dokumentacija beta faktora u SRS-u): Provjerite je li pretpostavljeni β-faktor ispravno obrazložen i arhiviran u formalnoj dokumentaciji SRS-a.
• 6. korak (ispitivanje djelomičnog hoda): Provedite ispitivanja djelomičnog hoda (PST) na završnim zapornim ventilima kako biste utvrdili referentna vremena hoda ventila i uklonili mehaničko zapinjanje.

Sažetak: Koje su ključne smjernice za uklanjanje kvarova zajedničkog uzroka?

Kvar zajedničkog uzroka pretvara trostruko redundantni sigurnosni sustav u skupu pojedinačnu točku kvara. Stvarna zaštita zahtijeva aktivno prepoznavanje zajedničkih fizičkih ovisnosti, uvođenje tehnološke raznolikosti u senzore i izvršne elemente te opravdavanje SIL ciljeva provjerenim izračunima beta faktora. Ovaj tjedan odvojite vrijeme za provjeru jedne kritične sigurnosne petlje u svom postrojenju - vaša je sigurnosna barijera snažna samo onoliko koliko i zajednička ranjivost koju otkrijete.

Autor: Deng Weiguang industrijski je inženjer automatizacije s više od 10 godina iskustva u PLC, DCS i upravljačkim sustavima.