HIMA Safety PLC dan Yokogawa CENTUM: Menerapkan Logika Voting 1oo2 dan 2oo3 dalam SIS
Apa Itu Logika Voting dalam Sistem Instrumen Keselamatan?
Logika voting menentukan cara sensor dan elemen akhir merespons ketika hasil pengukuran berbeda. Dalam arsitektur 1oo2 (satu dari dua), salah satu dari dua sensor dapat memicu trip. Dalam arsitektur 2oo3 (dua dari tiga), setidaknya dua dari tiga sensor harus memberikan hasil yang sama sebelum memicu trip.
Kontroler keselamatan HIMA Prizm dan DCS Yokogawa CENTUM sering digunakan bersama di pembangkit listrik siklus gabungan dan unit pengolahan heater kilang. HIMA menangani lapisan SIS. Yokogawa CENTUM mengelola lapisan BPCS dan menyediakan antarmuka operator melalui integrasi ProSafe-RS. Modul CPU HIMA F8640 adalah platform perangkat keras yang telah terbukti untuk arsitektur SIS dengan ketersediaan tinggi ini.
Persyaratan IEC 61511 untuk Arsitektur Voting
IEC 61511 menetapkan batasan arsitektur untuk Safety Instrumented Functions (SIF). Toleransi kesalahan perangkat keras (HFT) setiap kanal harus sesuai dengan SIL target. Untuk SIL 2, HFT = 1 memerlukan minimal 2 kanal (1oo2). Untuk SIL 3, HFT = 2 memerlukan minimal 3 kanal (2oo3) atau dua subsistem 1oo2 yang dipasang paralel.
Selain itu, PFD (probabilitas kegagalan saat diperlukan) harus dihitung untuk seluruh loop voting. Perhitungan ini mencakup transmitter, pemrosesan Safety PLC, dan elemen akhir. Rumus PFD sederhana untuk voting 1oo2 adalah:
PFD₁oo₂ = 2 × λ_DU² × TI² / 3 + λ_DU × MTTR
λ_DU adalah laju kegagalan berbahaya yang tidak terdeteksi, TI adalah interval uji pembuktian (biasanya 1 tahun), dan MTTR adalah waktu rata-rata untuk memulihkan sistem.
Langkah demi Langkah: Mengonfigurasi Voting 2oo3 pada Safety PLC HIMA
Berikut prosedur praktis untuk mengonfigurasi trip tekanan 2oo3 pada kontroler HIMA Prizm yang terhubung ke tiga transmitter tekanan melalui protokol HART:
- Langkah 1 — Tetapkan kanal transmitter. Hubungkan tiga transmitter HART 4-20 mA ke modul input analog HIMA (misalnya, HIQUAD 4AI). Tetapkan alamat kanal PT-101-A, PT-101-B, PT-101-C di HIMA Engineering Studio.
- Langkah 2 — Konfigurasikan blok voting. Masukkan blok fungsi voting 2oo3 ke dalam logika Safety PLC. Tetapkan tag input ke PT-101-A, PT-101-B, PT-101-C. Tetapkan setpoint trip ke 150 psi. Tetapkan jenis voting ke "2oo3 MAJORITY".
- Langkah 3 — Konfigurasikan komunikasi HART. Aktifkan protokol HART pada setiap kanal input analog. Konfigurasikan variabel primer (PV) untuk tekanan dalam psi. Tetapkan laju pembaruan ke 100 ms untuk respons cepat pada loop keselamatan.
- Langkah 4 — Program output trip. Arahkan output blok voting ke modul output digital yang mengendalikan katup solenoid EBV. Output harus tidak diberi energi (trip) ketika tekanan hasil voting melebihi 150 psi selama lebih dari 500 ms (waktu debounce). Modul Output Digital (DO) Yokogawa ADV559-P01 sesuai untuk pengkabelan elemen akhir pada sisi CENTUM dalam arsitektur SIS-BPCS hibrida.
- Langkah 5 — Integrasikan dengan Yokogawa CENTUM. Gunakan antarmuka Modbus TCP untuk meneruskan status trip hasil voting ke stasiun operator Yokogawa CENTUM. Pastikan alarm SIS muncul pada grafik CENTUM dalam waktu 1 detik setelah kondisi trip terjadi. Duplexed Field Control Unit Yokogawa CENTUM VP AFV10D-S41201 menyediakan backbone FCU redundan untuk pengoperasian gateway Modbus TCP yang andal.
Kesalahan Umum dalam Desain Voting SIS (ISA-84 / IEC 61511)
Pengalaman lapangan berdasarkan ISA-84 dan IEC 61511 mengungkap beberapa kesalahan desain yang berulang. Pertama, menggunakan sensor dari produsen yang sama pada ketiga kanal voting dapat menimbulkan kegagalan penyebab umum. Jika firmware sensor memiliki bug, ketiga kanal dapat gagal secara bersamaan. Oleh karena itu, gunakan sensor dari dua produsen berbeda untuk memenuhi persyaratan keberagaman.
Kedua, merutekan ketiga kabel sensor melalui konduit yang sama dapat menimbulkan kegagalan mode umum. Percikan api atau kerusakan akibat kebakaran pada konduit tersebut dapat menghilangkan redundansi. Rutekan kabel pada tray kabel terpisah dengan jarak fisik minimal 300 mm.
Ketiga, tidak melakukan uji pembuktian tahunan akan merusak perhitungan PFD. Jika interval uji pembuktian (TI) diperpanjang dari 1 tahun menjadi 3 tahun tanpa menghitung ulang PFD, sistem mungkin tidak lagi memenuhi SIL target.
Kegagalan Penyebab Umum pada Arsitektur 2oo3
Common Cause Failure (CCF) adalah kelemahan utama arsitektur voting. CCF terjadi ketika satu kejadian secara bersamaan menurunkan kinerja beberapa kanal. Suhu, kelembapan, getaran, dan interferensi elektromagnetik merupakan pemicu CCF yang umum.
Untuk mengurangi CCF, ikuti praktik lapangan berikut. Pertama, pasang sensor dalam enclosure terpisah atau di lokasi yang terpisah secara fisik pada bejana proses. Kedua, gunakan catu daya terpisah untuk setiap kanal input analog. Modul Catu Daya AC Yokogawa SPW481 mendukung distribusi daya khusus per kanal pada kabinet I/O CENTUM. Ketiga, lakukan audit keberagaman setiap tahun. Pastikan ketiga sensor menggunakan versi firmware yang berbeda atau revisi perangkat keras yang berbeda.
Jika sistem 2oo3 dirancang dengan benar, PFD-nya tetap di bawah 0.001 (SIL 3), bahkan setelah faktor CCF sebesar 5% diperhitungkan. Tanpa mitigasi CCF, PFD efektif dapat memburuk hingga tiga kali lipat sehingga berisiko tidak memenuhi SIL.
Kesimpulan dan Saran Tindakan
Logika voting pada Safety PLC HIMA yang terintegrasi dengan Yokogawa CENTUM menyediakan perlindungan yang tangguh dan tersertifikasi SIL untuk unit proses kritis. Namun, kekuatan arsitektur ini hanya setara dengan detail desainnya yang paling lemah. Kegagalan penyebab umum, perutean kabel, dan disiplin uji pembuktian adalah tiga area yang paling sering diabaikan oleh tim lapangan.
Saran tindakan: Jadwalkan peninjauan logika voting bersama tim engineering Safety Instrumented System (SIS) Anda pada kuartal ini. Pastikan semua kanal sensor 2oo3 terpisah secara fisik dan menggunakan catu daya terpisah. Jika ada kanal yang berbagi konduit atau rel daya, masukkan temuan tersebut ke dalam daftar pekerjaan sebelum turnaround berikutnya.
