Műszerhurk tesztelési eljárás SIL-minősítésű biztonsági műszerelt rendszerekhez

Miért különböznek a SIL hurktesztjei a szabványos üzembe helyezési ellenőrzésektől

Egy szabványos hurkteszt megerősíti a jel folytonosságát és a skálázás pontosságát. Egy SIL hurkteszt mindezt elvégzi, továbbá ellenőrzi, hogy a biztonsági funkció a megfelelő folyamatváltozó értéknél aktiválódik, a visszaállítás után helyesen deaktiválódik, és nem hagy hátra rejtett hibákat. Az IEC 61511 16.2 pontja előírja, hogy minden SIL minősítésű huroknál dokumentált „as-found” és „as-left” feljegyzések készüljenek minden bizonyító teszt intervallumánál. Az „as-found” adatok dokumentálásának elmulasztása az igazolási teszt érvénytelenségét eredményezi a megfelelőség szempontjából.

Az Allen-Bradley ControlLogix 1756-L85E rendszerek esetén nyissa meg a Studio 5000-et, és keresse meg a Safety Task-ot. Erősítse meg, hogy a biztonsági funkció logikai címkéje megfelel az SRS-nek. A Triconex T3000 rendszerek esetén nyissa meg a TriStation 1131-et, és ellenőrizze a védelmi funkciót megvalósító logikai hálózatot. Mindkét rendszerhez karbantartási áthidalás szükséges bármilyen fizikai beavatkozás előtt. Erősítse meg a bizonyító teszt intervallumát — a SIL 2 hurkok általában 2 éves bizonyító teszt intervallumot igényelnek a PFDavg számítások alapján. Soha ne hosszabbítsa meg az intervallumot dokumentált eltérés nélkül, amelyet a funkcionális biztonsági mérnök jóváhagyott.

Karbantartási áthidalás és tiltás eljárás

• 1. lépés: Az Allen-Bradley ControlLogix rendszerben állítsa be a megfelelő biztonsági áthidaló bitet a Studio 5000 Safety Bypass Request mechanizmusával. Ne használjon force-ot. A Safety Task force-ok megkerülik a biztonsági CPU bizonyító teszt érzékelő logikáját. Az áthidaló bit aktivál egy Safety Bypass Active riasztást a történetíróban.
• 2. lépés: A Triconex T3000 rendszerben nyissa meg a TriStation 1131-et, és aktiválja a Karbantartási módot a tesztelendő csatornán. A Karbantartási mód a csatorna kimenetét előre konfigurált biztonságos állapotra állítja. A Tricon CX előlapi LED-je az érintett modulnál zöldről borostyán színűre vált. Jegyezze fel a kezdési időpontot a munkavégzési engedély rendszerben.
• 3. lépés: Ellenőrizze, hogy a szavazó logika nem aktivál-e téves leállítást. Egy 2oo3 szavazó funkciónál egy csatorna karbantartás alatt elfogadható. Egy 1oo1 funkciónál a végső elem aktiválásának tiltását a szelepmozgató szintjén kell megerősíteni, mielőtt továbbhaladna.
• 4. lépés: Erősítse meg az áthidalást a vezérlőtermi kezelővel. A kezelőnek el kell ismernie az áthidalást a SCADA kezelőfelületen, és be kell írnia a felhasználói azonosítóját. Ez audit nyomvonalat hoz létre, amelyet az IEC 61511 11.9 pontja megkövetel.

Hideg hurkteszt: jelbefecskendezés és skálázás ellenőrzése

A hideg hurkteszt során folyamatkalibrátort használnak jelek befecskendezésére élő folyamatfolyadék nélkül. Egy 4–20 mA nyomásadó huroknál fecskendezzen be 4,000 mA, 12,000 mA és 20,000 mA értékeket az adó terminálfejénél. Jegyezze fel a DCS nyers számlálását minden ponton.

Az Allen-Bradley ControlLogix 1756-IF16 analóg bemeneti modulok esetén a várt nyers számlálási tartomány 0–32767. 4 mA-nál a várt számlálás 0 ±20 számlálás (a tartomány 0,06%-a). 20 mA-nál a várt számlálás 32767 ±20 számlálás. 50 számlálásnál nagyobb eltérés esetén a modult újra kell kalibrálni az RSLogix 5000 Analog Input Calibration Wizard segítségével.

A Triconex T3000 TRICON AI modulok analóg bemeneti felbontása 16 bites. 4 mA-nál az AI csatorna 0x0000 értéket olvas. 20 mA-nál a csatorna 0x7FFF értéket olvas. Bármely tesztpontnál 0x0050 (80 számlálás) feletti eltérés AI modul cserét igényel — a T3000 nem támogatja az AI csatorna erősítésének terepi újrakalibrálását.

• 1. lépés: Csatlakoztassa a folyamatkalibrátort párhuzamosan az adó vezetékezésével a csatlakozó doboznál. Állítsa a forrás módot 4,000 mA-re. Várjon 5 másodpercet a DCS frissítésére. Jegyezze fel a DCS kijelző értékét és a nyers számlálást.
• 2. lépés: Növelje 12,000 mA-re (a tartomány 50%-a). Ellenőrizze, hogy a DCS kijelző az egység tartományának 50% ±0,5%-át mutatja. Jegyezze fel az „as-found” értékeket.
• 3. lépés: Növelje 20,000 mA-re (a tartomány 100%-a). Ellenőrizze, hogy a DCS a teljes skálát ±0,5%-on belül mutatja. Jegyezze fel az „as-found” értékeket.
• 4. lépés: Fecskendezzen be 3,600 mA-t. Ellenőrizze, hogy a DCS 3 másodpercen belül „Low Wire Break” riasztást ad-e. Az Allen-Bradley ControlLogix rendszerben a 4–20 mA AI vezeték szakadás küszöbértéke konfigurálható 3,6 mA-re a Studio 5000 modul tulajdonságai között.
• 5. lépés: Fecskendezzen be 21,000 mA-t. Ellenőrizze, hogy a DCS 3 másodpercen belül „High Over-Range” riasztást ad-e. A ControlLogix 1756-IF16 túltartomány küszöbértéke 21,0 mA. A Triconex AI modul alapértelmezett túltartomány küszöbe 20,5 mA.
• 6. lépés: Jegyezze fel az összes „as-found” adatot a hurkteszt feljegyző lapon. Ha minden érték megfelel az elfogadási kritériumoknak, dokumentálja „As-Found = As-Left” megjegyzéssel. Ha bármely érték eltér, végezzen beállítást és ismételje meg a tesztet. Dokumentálja mind az „as-found”, mind az „as-left” értékeket mérnöki aláírással.

Meleg hurkteszt: biztonsági funkció aktiválásának ellenőrzése

A meleg hurkteszt megerősíti, hogy a biztonsági funkció a megfelelő folyamatváltozó beállított értéknél aktiválódik. Ez a teszt a teljes SIS hurkot megmozgatja az érzékelőtől a logikai megoldón át a végső elemig. A meleg tesztek élő folyamatfeltételeket vagy tanúsított nyomásforrással szimulált folyamatfeltételeket igényelnek.

Először erősítse meg, hogy a végső elem (általában ESD szelep) biztonságos állapotban van a teszt megkezdése előtt. Használja a mozgató pozíció visszacsatoló jelzőjét az ellenőrzéshez. Ne folytassa, ha a szelep pozíció visszacsatolása több mint 5%-kal eltér a vezérlő jelzettől.

Másodszor, lassan növelje a befecskendezett jelet a biztonsági funkció leállítási beállítási pontja felé. Egy 95 barg-os magas-magas nyomás leállítási pont esetén lépésenként fecskendezze be az ekvivalens mA jeleket: 18 mA (90%), 18,8 mA (94%), 19,0 mA (95%). Jegyezze fel a pontos mA értéket, amelynél a Triconex T3000 vagy Allen-Bradley ControlLogix biztonsági funkció aktiválódik. Az aktiválási pontnak az SRS-ben megadott beállított érték ±1%-án belül kell lennie.

Harmadszor, ellenőrizze a visszaállítási sorrendet. Aktiválás után csökkentse a jelet a visszaállítási küszöbérték alá. Erősítse meg, hogy a biztonsági funkció nem áll vissza automatikusan kezelői visszaállítási művelet nélkül. Az IEC 61511 11.6.4 pontja szerint a SIL 2 funkcióknál kötelező a zárolt visszaállítási architektúra. Az önvisszaálló SIL 2 hurok a beállított pontosságtól függetlenül megbukik a bizonyító teszten.

Végül ellenőrizze a válaszidőt. A SIS hurok válaszideje az érzékelő bemeneti változásától a végső elem teljes elmozdulásáig nem haladhatja meg az SRS-ben megadott Folyamatbiztonsági Időt (PST). Használjon stopperórát vagy DCS SOE rögzítőt 1 ms felbontással. A Triconex TMR digitális kimeneti modul 30 ms válaszideje plusz az Allen-Bradley ControlLogix biztonsági feladatának 10 ms szkennelési ideje 1960 ms időkeretet hagy a szelepmozgató elmozdulására egy 2 másodperces PST alkalmazásban.

IEC 61511 dokumentációs és audit követelmények

Minden SIL bizonyító teszt három kötelező dokumentumot hoz létre: a Hurkteszt Feljegyzést (LTR), a Bizonyító Teszt Tanúsítványt (PTC) és a frissített Funkcionális Biztonsági Értékelést (FSA). Az LTR rögzíti az „as-found” és „as-left” értékeket, a tesztberendezés sorozatszámát kalibrációs tanúsítványokkal, a tesztelő nevét és a tanú aláírását. A PTC megerősíti, hogy a biztonsági funkció megfelelt minden elfogadási kritériumnak, vagy dokumentálja a nem megfeleléseket javítási tervvel. Az FSA frissítés újraszámolja a PFDavg értéket a ténylegesen elért bizonyító teszt lefedettség alapján.

Gyakori audit hiányosságok: hiányzó „as-found” feljegyzések (a tesztelő beállítás előtt módosított), lejárt kalibrációs tanúsítvánnyal rendelkező tesztberendezés használata (maximális 12 hónapos intervallum), tanú aláírásának hiánya SIL 2 és magasabb funkcióknál, valamint a PFDavg újraszámolásának elmulasztása a teszt után. Ezek mindegyike súlyos nem megfelelőség a TÜV Rheinland funkcionális biztonsági audit kritériumai szerint.

Alkalmazzon előzetes ellenőrző listát bármely SIL bizonyító teszt megkezdése előtt. Erősítse meg: a tesztberendezés kalibrációja érvényes, a MOC jóváhagyott, az áthidalási engedély kiadva, az SRS beállított pontok megerősítve, az előző LTR átnézve ismert hiányosságok miatt. Öt perc előzetes ellenőrzés órák audit utólagos javítását előzi meg.

Következtetés és cselekvési javaslat

A SIL műszerhurktesztjei nem formalitások. Ezek az elsődleges mechanizmusok a rejtett hibák felismerésére, amelyek az utolsó bizonyító teszt óta felhalmozódtak. Kövesse a hatlépéses hideg hurkteszt sorrendet a skálázás és a vezeték szakadás érzékelésének ellenőrzésére. Használja a meleg hurktesztet a biztonsági funkció aktiválásának megerősítésére az SRS beállított pontján belül ±1% tűréssel. Ellenőrizze a zárolt visszaállítási viselkedést és a válaszidőt a Folyamatbiztonsági Idő keretén belül.

Az Allen-Bradley ControlLogix rendszerekben használjon biztonsági áthidaló biteket, soha ne használjon force-ot. A Triconex T3000 rendszerekben használja a Karbantartási módot időbélyegzett munkavégzési engedély bejegyzéssel. Rögzítse az „as-found” adatokat bármilyen beállítás előtt. Állítson ki Bizonyító Teszt Tanúsítványokat mérnöki aláírással és TÜV-kompatibilis dokumentációval. Minden bizonyító teszt ciklus után számolja újra a PFDavg értéket. A szisztematikus, dokumentált SIL hurktesztelés az a mérnöki alap, amely mind az emberek, mind a folyamatvagyon biztonságát garantálja.

Szerző: Wang Jiaming, ipari automatizálási mérnök, több mint 10 éves tapasztalattal PLC, DCS és vezérlőrendszerek területén.