A biztonsági PLC tévesen leold: olyan SIS tervezése, amely ellenáll a közös okú meghibásodásnak
Miért kapcsol le váratlanul egy redundáns biztonsági PLC, ha egyetlen komponens sem hibásodott meg?
Amikor egy biztonsági műszeres rendszer (SIS) váratlanul lekapcsol és leállítja a termelést, a kezelők és a technikusok gyakran szoftveres logikai hibákra gyanakodnak. A kiváltó ok azonban sokszor a közös fizikai infrastruktúrában rejlik. Míg a hármas moduláris redundancia (TMR) hatékonyan kezeli a véletlenszerű hardverhibákat, semmilyen védelmet nem nyújt egyetlen olyan sérülékenység ellen, amely egyszerre minden redundáns csatornát működésképtelenné tesz. Ezt a jelenséget közös okú meghibásodásnak (CCF) nevezik.
Fontos megkülönböztetni a véletlenszerű hibákat a közös okú eseményektől. A véletlenszerű hiba egyetlen csatornát tilt le, amit a belső 2oo3 szavazási logika zökkenőmentesen elfed. Ezzel szemben a közös okú esemény egy közös gyenge ponton keresztül egyszerre érinti az összes csatornát, így a hardveres redundancia használhatatlanná válik. Az IEC 61511 szabvány szerinti funkcionális biztonsági integritás fenntartása érdekében a CCF-et alapvető rendszertervezési kérdésként, ne pedig elszigetelt karbantartási javításként kezelje.
Mely gyakori kiváltó okok teszik egyszerre működésképtelenné a redundáns biztonsági csatornákat?
Még a nagy megbízhatóságú architektúrákban is, amelyek olyan biztonsági rackeket használnak, mint az Invensys Triconex 3720 Analog Input Module vagy az Invensys Triconex 4118 Analog Output Module, a közös sérülékenységek az egész biztonsági hurkot veszélyeztethetik:
- Közös impulzusvezetékek és primer elemek: Ha két távadó egyetlen technológiai csatlakozáson osztozik, vagy ugyanarra a fojtóelemre/annubarra van felszerelve, a csatlakozás eltömődése esetén mindkettő azonos hibás értékeket ad.
- Közös műszerlevegő-ellátás: Ha a redundáns végrehajtó elemeket egyetlen levegőszabályozó vagy gyűjtővezeték látja el, a levegőellátás elzáródása mindkét szelepet a helyén rögzíti.
- Közös kábelcsatornák és EMI: A nagyfeszültségű tápkábelek és az érzékeny, 4–20 mA-es biztonsági jelek azonos kábelcsatornában történő vezetése egyszerre teszi ki az összes biztonsági csatornát elektromágneses zavarimpulzusoknak.
- Hurokfeszültség-esés: A hosszú kábelezés a kapocsfeszültséget a kétvezetékes távadók 10–12 VDC-s minimális értéke alá csökkentheti, aminek következtében az adott ágon lévő összes távadó egyszerre esik ki.
- Szoftveres funkcióblokk-kapcsolás: Két redundáns tag leképezése ugyanabban a logikai funkcióblokkban vagy létradiagram-sorban olyan algoritmikus sérülékenységet hoz létre, amely mindkét csatornát egyszerre hibásítja meg.
- Közös karbantartási eljárások: Egyetlen távadó kalibrálása vagy átöblítése közös manifoldon véletlenül megzavarhatja annak redundáns párját is az üzem működése közben.
Hogyan védi a technológiai sokféleség és a fizikai elkülönítés az SIS-t a BPCS hibáitól?
Az architekturális függetlenség csak akkor jelent valódi védelmet, ha fizikai sokféleséggel is megerősítik. Ahol az ipari folyamat lehetővé teszi, alkalmazzon eltérő mérési technológiákat, például kombináljon vezetett mikrohullámú radaros szinttávadót differenciálnyomás-távadóval ahelyett, hogy két azonos DP-cellát telepítene.
Ezenfelül a biztonsági vezérlőket szigorúan el kell különíteni az alapfolyamat-irányító rendszertől (BPCS). A BPCS és az SIS külön szekrényekben kapjon helyet, külön táplálással, leválasztott földelő sínekkel és külön kábelnyomvonalakkal. Az olyan dedikált biztonsági vezérlők, mint a HIMA HIMatrix F35 Safety-Related Controller vagy a HIMA F3 DIO 20/8 01 HIMatrix Digital Module, determinisztikus végrehajtást és külön mérnöki eszközláncokat biztosítanak. A felügyeleti DCS-rétegekkel az Invensys Triconex 4354 High-Speed Communication Module segítségével folytatott kommunikáció során tartson fenn csak olvasható tűzfalhatárokat, és soha ne másoljon át ellenőrizetlen vezérlési logikát a biztonsági határvonalakon.
Mi a Beta-tényező az IEC 61511 szabványban, és hogyan befolyásolja a SIL-igazolást?
A biztonsági integritási szint (SIL) számításainak matematikailag figyelembe kell venniük a közös okú meghibásodásokra való hajlamot a Beta-tényező (β) segítségével, amelyet az IEC 61508 és az IEC 61511 a teljes meghibásodási aránynak a közös oknak tulajdonítható hányadaként határoz meg. Míg a referencia-tervek gyakran 1% és 5% közötti β-tényezővel számolnak, ez a konzervatív becslés szigorú fizikai elkülönítést és következetes mérnöki fegyelmet feltételez.
A fizikai elkülönítés elmulasztása könnyen megháromszorozhatja a tényleges béta-tényezőt, ami jelentősen rontja a számított igény szerinti meghibásodási valószínűséget (PFDavg), és érvénytelenítheti a SIL 2 vagy SIL 3 tanúsítást. A védhető β-tényezőt mindig számítsa ki és dokumentálja a biztonsági követelményspecifikációban (SRS), majd minden vezetékezési vagy elrendezési módosítás után értékelje újra.
Hogyan végezzenek a mérnökök helyszíni auditot a biztonsági hurkok függetlenségének ellenőrzésére?
A biztonsági műszeres funkciók (SIF) valódi függetlenségének megerősítéséhez hajtsa végre az alábbi helyszíni auditlépéseket:
- 1. lépés (Impulzusvezetékek vizsgálata): Fizikailag kövesse vissza a mérővezetékeket a technológiai csatlakozásig; szüntessen meg minden közös technológiai csatlakozást vagy manifoldot a redundáns párok között.
- 2. lépés (Kábelelkülönítés ellenőrzése): Vizsgálja át a kábeljegyzékeket és ellenőrizze a helyszíni kábelcsatornákat, hogy a biztonsági műszerkábelezés elkülönüljön a tápkábelektől és a BPCS vezetékezésétől.
- 3. lépés (Kapocsfeszültség mérése): Mérje meg a kapocsfeszültséget maximális áramfelvétel mellett, és győződjön meg arról, hogy eléri a távadó minimális üzemi küszöbértékét.
- 4. lépés (Alkalmazási logika felülvizsgálata): Ellenőrizze soronként a biztonsági logikai programokat, és győződjön meg arról, hogy a redundáns bemenetek nem haladnak át közös számítási blokkokon vagy egymástól függő létradiagram-sorokon.
- 5. lépés (SRS-béta dokumentáció): Ellenőrizze, hogy a feltételezett β-tényező megfelelően indokolt és archivált-e a hivatalos SRS-dokumentációban.
- 6. lépés (Részleges löketvizsgálat): Végezzen részleges löketvizsgálatokat (PST) a végső elzárószelepeken a szelepek mozgási idejének összehasonlítására és a mechanikus megszorulás kizárására.
Összefoglalás: Melyek a legfontosabb tanulságok a közös okú meghibásodások megszüntetéséhez?
A közös okú meghibásodás a hármas redundanciájú biztonsági rendszert költséges egyetlen hibaponttá változtatja. A valódi védelemhez aktívan fel kell tárni a közös fizikai függőségeket, technológiai sokféleséget kell kialakítani az érzékelőkben és a logikai feldolgozókban, valamint ellenőrzött béta-tényező-számításokkal kell alátámasztani a SIL-célokat. Ezen a héten szánjon időt egy kritikus biztonsági hurok auditjára a létesítményében - a biztonsági gát csak annyira erős, mint az a közös sérülékenység, amelyet feltár.
Szerző: Deng Weiguang ipari automatizálási mérnök, aki több mint 10 éves tapasztalattal rendelkezik PLC-, DCS- és irányítástechnikai rendszerek terén.
