Voting 2oo3 yang Menghentikan Trip Palsu pada Loop Keselamatan Triconex dan HIMA

Satu transmitter yang rusak tidak selalu mengharuskan kompresor dimatikan, tetapi tidak ada pengaturan voting yang menjamin hasil tersebut. Desain yang tepat menyeimbangkan pengurangan risiko, ketersediaan, diagnostik, dan kegagalan penyebab umum.

Mengapa menggunakan voting dalam fungsi instrumentasi keselamatan?

Fungsi instrumentasi keselamatan harus bertindak ketika proses mencapai kondisi berbahaya, sekaligus menghindari trip yang tidak perlu selama operasi normal. Voting sensor redundan dapat membantu menyeimbangkan tujuan tersebut. Pilihannya harus didasarkan pada analisis bahaya dan verifikasi SIL, bukan aturan praktis. Evaluasi probabilitas kegagalan saat dibutuhkan (PFDavg), laju trip palsu, kegagalan penyebab umum, pengujian proof, dan asumsi perbaikan untuk fungsi lengkap, termasuk sensor, logic solver, dan elemen akhir.

Apa arti 1oo1, 1oo2, 2oo2, dan 2oo3?

Notasi tersebut berarti m dari n kanal harus meminta trip. Konfigurasi 1oo1 memiliki satu kanal. Konfigurasi 1oo2 melakukan trip ketika salah satu dari dua kanal memintanya; ini dapat meningkatkan deteksi kondisi berbahaya, tetapi juga dapat meningkatkan trip yang tidak diinginkan. Konfigurasi 2oo2 memerlukan kedua kanal, sehingga mengurangi beberapa trip yang tidak diinginkan, tetapi berpotensi membuat trip terlewat lebih mungkin terjadi jika salah satu kanal mengalami kegagalan berbahaya. Konfigurasi 2oo3 melakukan trip ketika setidaknya dua dari tiga kanal memberikan suara untuk itu. Konfigurasi ini dapat menoleransi gangguan tertentu pada satu kanal, tetapi kinerjanya bergantung pada mode kegagalan, diagnostik, dan independensi.

Jangan menganggap sensor yang gagal otomatis terdeteksi atau permintaan trip yang nyata akan selalu tertangkap. Tentukan tindakan solver terhadap sinyal yang tidak valid, macet, dan berada di luar rentang, lalu tentukan perilaku dalam mode terdegradasi.

Apakah voting sensor 2oo3 sama dengan arsitektur pengontrol TMR?

Tidak. Tiga sensor lapangan yang menggunakan voting 2oo3 dan pemrosesan triple-modular-redundant di dalam logic solver menangani bagian yang berbeda dari fungsi keselamatan. Sistem Triconex dapat menggunakan arsitektur redundan; produk seperti modul daya Triconex 8310 dan modul input Triconex 3708E merupakan contoh perangkat keras terkait, bukan bukti bahwa suatu loop tertentu mencapai SIL tertentu. Platform HIMA juga berbeda-beda menurut model; pengontrol terkait keselamatan HIMA HIMatrix F35 tidak boleh disebut memiliki arsitektur internal yang sama dengan semua platform HIMA lainnya.

Periksa manual keselamatan perangkat keras yang tepat, konfigurasi tersertifikasi, cakupan diagnostik, dan dokumentasi siklus hidup keselamatan sebelum menentukan platform atau logika voting. SIL 3 adalah hasil yang dicapai melalui verifikasi fungsi keselamatan lengkap, bukan sifat yang diberikan hanya karena adanya tiga prosesor.

Apa yang dapat menggagalkan tiga kanal yang tampak independen?

Gangguan penyebab umum dapat memengaruhi beberapa sensor sekaligus: jalur impuls bersama, catu daya, paparan lingkungan, kesalahan kalibrasi, atau rute kabel. Tinjau koneksi proses dan instalasi, selain pemisahan kelistrikan. Jika sesuai, pisahkan titik pengambilan dan rute kabel serta evaluasi diversitas, tetapi pastikan setiap pengukuran yang digunakan dalam voting benar-benar mendeteksi bahaya proses yang sama; pengukuran yang berbeda tidak boleh digabungkan hanya untuk menciptakan diversitas.

Bagaimana teknisi harus menguji dan memelihara loop 2oo3?

Konfigurasikan alarm ketidaksesuaian kanal dan penanganan gangguan sesuai dengan spesifikasi persyaratan keselamatan. Tetapkan toleransi berdasarkan proses dan akurasi instrumen, bukan persentase rentang ukur yang bersifat umum. Lakukan pengujian proof pada setiap kanal dan elemen akhir dengan interval yang digunakan dalam perhitungan SIL, kelola bypass berdasarkan prosedur yang disetujui, dan catat setiap trip serta kejadian mode terdegradasi. Pastikan asumsi kondisi aman dan de-energize-to-trip untuk elemen akhir yang sebenarnya, bukan menganggap setiap kehilangan daya menghasilkan hasil yang diinginkan.

Dari mana peninjauan harus dimulai?

Mulailah dengan fungsi keselamatan yang berdampak besar dan studi bahaya yang telah disetujui. Bandingkan susunan sensor, logika, diagnostik, bypass, dan catatan pengujian proof dengan spesifikasi persyaratan keselamatan serta perhitungan PFDavg yang telah diverifikasi. Kemudian gunakan riwayat trip untuk menemukan kanal yang lemah dan memprioritaskan perbaikan tanpa mengurangi perlindungan.

Penulis: Li Weiming adalah teknisi otomasi industri dengan pengalaman lebih dari 10 tahun dalam PLC, DCS, dan sistem kontrol.