2oo3-as szavazás a téves lekapcsolások megelőzésére Triconex és HIMA biztonsági hurkokban
Egyetlen hibás távadó miatt nem feltétlenül kell leállítani a kompresszort, de ezt az eredményt semmilyen szavazási elrendezés nem garantálja. A megfelelő kialakítás egyensúlyt teremt a kockázatcsökkentés, a rendelkezésre állás, a diagnosztika és a közös okú meghibásodások között.
Miért alkalmaznak szavazást biztonsági műszeres funkcióban?
A biztonsági műszeres funkciónak akkor kell beavatkoznia, amikor a folyamat veszélyes állapotot ér el, ugyanakkor normál üzem közben el kell kerülni a szükségtelen leállásokat. A redundáns érzékelők szavazása segíthet e célok egyensúlyának megteremtésében. A választást a veszélyelemzésnek és a SIL-ellenőrzésnek kell meghatároznia, nem pedig egy ökölszabálynak. Értékelni kell a működéskiesés valószínűségét igény esetén (PFDavg), a téves leállások gyakoriságát, a közös okú meghibásodást, a működéspróbákat és a javítási feltételezéseket a teljes funkcióra vonatkozóan, beleértve az érzékelőket, a logikai végrehajtót és a végrehajtó elemeket.
Mit jelent az 1oo1, az 1oo2, a 2oo2 és a 2oo3?
A jelölés azt jelenti, hogy az n csatornából m csatornának kell leállítási igényt kiadnia. Az 1oo1 elrendezésben egy csatorna van. Az 1oo2 elrendezés akkor indít leállítást, ha a két csatorna közül bármelyik ezt kéri; ez javíthatja a veszélyes állapot felismerését, de növelheti a téves leállások számát. A 2oo2 elrendezés mindkét csatorna jelzését megköveteli, ami csökkenthet bizonyos téves leállásokat, ugyanakkor növelheti annak lehetőségét, hogy egy csatorna veszélyes meghibásodása esetén elmarad a leállítás. A 2oo3 elrendezés akkor indít leállítást, ha a három csatorna közül legalább kettő erre szavaz. Bizonyos egyszeres csatornahibákat elviselhet, de a teljesítmény a meghibásodási módoktól, a diagnosztikától és a függetlenségtől függ.
Ne feltételezze, hogy a hibás érzékelőt a rendszer automatikusan felismeri, vagy hogy a tényleges igényt mindig érzékeli. Határozza meg, hogyan kezeli a végrehajtó az érvénytelen, beragadt és tartományon kívüli jeleket, és specifikálja a csökkentett üzemmód viselkedését.
Az érzékelők 2oo3-as szavazása azonos a TMR-vezérlőarchitektúrával?
Nem. A 2oo3 szerint szavazó három terepi érzékelő és a logikai végrehajtón belüli hármas moduláris redundáns feldolgozás a biztonsági funkció különböző részeivel foglalkozik. Egy Triconex-rendszer alkalmazhat redundáns architektúrát; a Triconex 8310 tápegységmodul és a Triconex 3708E bemeneti modul például kapcsolódó hardverek, de nem bizonyítják, hogy egy adott hurok elér egy meghatározott SIL-szintet. A HIMA-platformok is modellenként eltérnek; a HIMA HIMatrix F35 biztonsági vezérlőt nem szabad úgy bemutatni, mintha minden más HIMA-platformmal azonos belső architektúrával rendelkezne.
Platform vagy szavazási logika specifikálása előtt ellenőrizze a pontos hardverbiztonsági kézikönyvet, a tanúsított konfigurációt, a diagnosztikai lefedettséget és a biztonsági életciklus dokumentációját. A SIL 3 egy teljes, ellenőrzött biztonsági funkció elért eredménye, nem pedig három processzor által önmagában biztosított tulajdonság.
Mi teheti hatástalanná a három függetlennek tűnő csatornát?
A közös okú hibák egyszerre több érzékelőt is érinthetnek: közös impulzusvezetékek, tápellátás, környezeti hatások, kalibrálási hibák vagy közös kábelnyomvonalak miatt. Vizsgálja felül a folyamatcsatlakozást és a telepítést, valamint az elektromos leválasztást is. Ahol megfelelő, alkalmazzon külön mérési leágazásokat és nyomvonalakat, továbbá értékelje a diverzitást, de győződjön meg arról, hogy minden megszavazott mérés valóban ugyanazt a folyamatveszélyt érzékeli; eltérő méréseket nem szabad pusztán a diverzitás létrehozása érdekében kombinálni.
Hogyan kell a mérnököknek tesztelniük és karbantartaniuk egy 2oo3 hurkot?
Állítsa be a csatornák közötti eltérés riasztásait és a hibakezelést a biztonsági követelményspecifikációval összhangban. A tűréseket a folyamat és a műszer pontossága alapján állítsa be, ne a mérési tartomány általános százaléka szerint. Végezzen működéspróbát minden csatornán és a végrehajtó elemen a SIL-számításban alkalmazott időközönként, a kiiktatásokat jóváhagyott eljárás szerint kezelje, és rögzítsen minden leállást és csökkentett üzemmódban történt eseményt. Erősítse meg a tényleges végrehajtó elem biztonságos állapotára és feszültségmentesítésre történő leállítására vonatkozó feltételezéseket, ahelyett hogy feltételezné: minden tápellátás-kiesés a kívánt eredményt hozza.
Hol érdemes elkezdeni a felülvizsgálatot?
Kezdje egy nagy hatású biztonsági funkcióval és annak jóváhagyott veszélyelemzésével. Hasonlítsa össze az érzékelő-elrendezést, a logikát, a diagnosztikát, a kiiktatásokat és a működéspróba-nyilvántartásokat a biztonsági követelményspecifikációval és az ellenőrzött PFDavg-számítással. Ezután használja a leállási előzményeket a gyenge csatornák azonosítására, és rangsorolja a javításokat a védelem gyengítése nélkül.
Szerző: Li Weiming ipari automatizálási mérnök, aki több mint 10 éves tapasztalattal rendelkezik PLC-, DCS- és vezérlőrendszerek terén.
