Votazione 2oo3 che blocca gli interventi intempestivi nei circuiti di sicurezza Triconex e HIMA
Un singolo trasmettitore guasto non deve necessariamente imporre l'arresto di un compressore, ma nessuna configurazione di voto garantisce questo risultato. La progettazione corretta bilancia riduzione del rischio, disponibilità, diagnostica e guasti per cause comuni.
Perché usare il voto in una funzione strumentata di sicurezza?
Una funzione strumentata di sicurezza deve intervenire quando il processo raggiunge una condizione pericolosa, evitando al contempo arresti non necessari durante il normale funzionamento. Il voto ridondante dei sensori può contribuire a bilanciare questi obiettivi. La scelta deve basarsi sull'analisi dei pericoli e sulla verifica SIL, non su una regola empirica. Valutare la probabilità media di guasto su richiesta (PFDavg), il tasso di interventi intempestivi, i guasti per cause comuni, i test di verifica e le ipotesi di riparazione per l'intera funzione, inclusi sensori, risolutore logico ed elementi finali.
Che cosa significano 1oo1, 1oo2, 2oo2 e 2oo3?
La notazione indica che m canali su n devono richiedere un intervento. Una configurazione 1oo1 ha un solo canale. Una configurazione 1oo2 attiva l'intervento quando uno qualsiasi dei due canali lo richiede; ciò può migliorare il rilevamento di una condizione pericolosa, ma può aumentare gli interventi intempestivi. Una configurazione 2oo2 richiede entrambi i canali, riducendo alcuni interventi intempestivi, ma aumentando potenzialmente la probabilità di mancato intervento se un canale presenta un guasto pericoloso. Una configurazione 2oo3 attiva l'intervento quando almeno due dei tre canali votano a favore. Può tollerare determinati guasti a canale singolo, ma le prestazioni dipendono dalle modalità di guasto, dalla diagnostica e dall'indipendenza.
Non presumere che un sensore guasto venga rilevato automaticamente o che una richiesta reale venga sempre intercettata. Determinare come il risolutore gestisce i segnali non validi, bloccati e fuori intervallo e specificare il comportamento in modalità degradata.
Il voto 2oo3 dei sensori è uguale all'architettura di un controllore TMR?
No. Tre sensori di campo con voto 2oo3 e l'elaborazione ridondante modulare tripla all'interno di un risolutore logico riguardano parti diverse della funzione di sicurezza. Un sistema Triconex può utilizzare un'architettura ridondante; prodotti come il modulo di alimentazione Triconex 8310 e il modulo di ingresso Triconex 3708E sono esempi di hardware correlato, ma non dimostrano che un circuito specifico raggiunga un determinato SIL. Anche le piattaforme HIMA variano a seconda del modello; il controllore HIMA HIMatrix F35 correlato alla sicurezza non deve essere descritto come dotato della stessa architettura interna di ogni altra piattaforma HIMA.
Verificare l'esatto manuale di sicurezza dell'hardware, la configurazione certificata, la copertura diagnostica e la documentazione del ciclo di vita della sicurezza prima di specificare una piattaforma o una logica di voto. SIL 3 è il risultato raggiunto da una funzione di sicurezza completa e verificata, non una proprietà conferita dalla sola presenza di tre processori.
Che cosa può compromettere tre canali apparentemente indipendenti?
I guasti per cause comuni possono interessare contemporaneamente più sensori: linee di impulso condivise, alimentazione, esposizione ambientale, errori di calibrazione o percorsi dei cavi. Esaminare il collegamento al processo e l'installazione, oltre alla separazione elettrica. Ove appropriato, separare le prese e i percorsi dei cavi e valutare la diversità, assicurandosi però che ogni misura sottoposta a voto rilevi realmente lo stesso pericolo di processo; non si devono combinare misure diverse solo per creare diversità.
Come devono testare e mantenere gli ingegneri un circuito 2oo3?
Configurare gli allarmi di discordanza tra canali e la gestione dei guasti in conformità alle specifiche dei requisiti di sicurezza. Impostare le tolleranze in base al processo e alla precisione dello strumento, non in base a una percentuale generica dell'intervallo. Eseguire il test di verifica su ciascun canale e sull'elemento finale all'intervallo utilizzato nel calcolo SIL, gestire i bypass secondo una procedura approvata e registrare ogni intervento e ogni evento in modalità degradata. Confermare le ipotesi relative allo stato sicuro e all'intervento tramite diseccitazione per l'elemento finale effettivo, invece di presumere che ogni perdita di alimentazione produca l'esito previsto.
Da dove dovrebbe iniziare la revisione?
Iniziare da una funzione di sicurezza ad alto impatto e dal relativo studio dei pericoli approvato. Confrontare la configurazione dei sensori, la logica, la diagnostica, i bypass e i registri dei test di verifica con le specifiche dei requisiti di sicurezza e con il calcolo PFDavg verificato. Utilizzare quindi la cronologia degli interventi per individuare i canali deboli e dare priorità alle correzioni senza indebolire la protezione.
Autore: Li Weiming è un ingegnere dell'automazione industriale con oltre 10 anni di esperienza in PLC, DCS e sistemi di controllo.
