Messa in servizio del Sistema di Gestione del Bruciatore SIS: Procedure sul campo per HIMA HIMatrix F60 e Triconex Tricon CX

Architettura BMS e Confini delle Funzioni di Sicurezza

Un sistema di gestione del bruciatore controlla l’ammissione del combustibile, la sequenza di accensione, la verifica della fiamma e lo spegnimento di emergenza per apparecchiature a combustione. NFPA 85 e IEC 61511 si applicano entrambi quando il BMS include funzioni strumentate di sicurezza. L’architettura tipica prevede un PLC di Sicurezza — sia HIMA HIMatrix F60 o Triconex Tricon CX — come risolutore logico del Sistema Strumentato di Sicurezza. Il BPCS gestisce la gestione dei setpoint e il controllo del rapporto aria-combustibile su un controller separato. I due sistemi scambiano dati tramite Modbus TCP ma mantengono una separazione fisica rigida a livello di I/O.

Il HIMA HIMatrix F60 è un controller compatto TMR capace di SIL 3 che supporta fino a 96 ingressi digitali e 48 uscite digitali nella configurazione base. Il Triconex Tricon CX esegue la Ridondanza Modulare Tripla con votazione 2oo3 a livello di modulo I/O, fornendo tolleranza ai guasti hardware SIL 3. Per un BMS classificato SIL 2, entrambe le piattaforme offrono un’integrità hardware adeguata — i vincoli critici derivano dalla progettazione software e dall’intervallo di test di verifica.

Logica di Votazione 2oo3 del Rilevatore di Fiamma UV

La rilevazione della fiamma utilizza tre rilevatori UV disposti in configurazione di votazione 2oo3. Questa architettura richiede almeno due rilevatori per confermare la presenza della fiamma prima che il risolutore logico consenta la continuazione dell’ammissione del combustibile. Sul HIMA HIMatrix F60, configurare il blocco di votazione in SILworx come blocco funzione FB_Vote_2oo3. Impostare il Discrepancy Timeout a 3 secondi — se un rilevatore è in disaccordo con gli altri due per più di 3 secondi, l’HIMatrix genera un Allarme di Discrepanza al DCS.

Sul Triconex Tricon CX, implementare la stessa logica usando il testo strutturato IEC 61131-3 di TriStation. Aggiungere un timer di ritardo ON di 500 ms su ogni ingresso del rilevatore per rifiutare interferenze UV transitorie causate dalle scintille dell’accenditore. Questo previene falsi segnali di fiamma verificata durante la sequenza di accensione.

• Passo 1: Collegare tutti e tre i rilevatori UV a canali di ingresso digitale separati del HIMatrix F60 — non condividere mai un ritorno comune con il circuito dell’accenditore.
• Passo 2: Verificare l’uscita di autodiagnosi di ogni rilevatore. Un Fireye 45UV5 funzionante emette un segnale di autodiagnosi a 24 VDC ogni 10 secondi. Mappare questo su un canale DI dedicato e configurare un watchdog di 30 secondi in TriStation — la perdita del segnale di autodiagnosi per 30 secondi attiva un allarme di guasto del rilevatore UV.
• Passo 3: Eseguire un test luce-buio per ogni rilevatore singolarmente. Bloccare il percorso di vista UV con una scheda oscurante. Verificare che l’ingresso del rilevatore associato scenda a 0 VDC entro 1 secondo. Confermare che la votazione 2oo3 non dichiari FLAME_PROVEN con un solo rilevatore attivo.

Timer della Sequenza di Purge: Requisiti NFPA 85

NFPA 85 richiede che un involucro di combustione venga purgato con almeno quattro ricambi d’aria prima di ogni tentativo di accensione. La portata di purge deve essere almeno il 25% del flusso d’aria massimo di progetto. Calcolare il tempo di purge richiesto con questa formula:

T_purge = (4 × V_involucro) / Q_flusso_aria

Per un involucro di combustione di 120 m³ con un ventilatore a tiraggio forzato che eroga 18 m³/min al 25% della posizione della valvola a farfalla: T_purge = (4 × 120) / 18 = 26,7 minuti. Arrotondare a 27 minuti e programmare questo come preset minimo del timer di purge nel blocco funzione della sequenza di purge di HIMatrix SILworx. Il timer deve essere un timer di sicurezza, non resettabile — se il flusso d’aria scende sotto la soglia del 25% durante il periodo di purge, il timer si resetta a zero.

Sul Triconex Tricon CX, implementare il timer di purge in TriStation usando un blocco TON (Timer On Delay) con preset di 1620 secondi (27 minuti). Interbloccare l’ingresso di abilitazione del timer con l’interruttore di verifica del flusso d’aria — un interruttore di pressione differenziale impostato a 0,5 kPa attraverso la valvola a farfalla prova la portata richiesta. Verificare che il tempo di risposta sia inferiore a 2 secondi per soddisfare i requisiti della Sezione 8.3.4 di NFPA 85.

Sequenza della Valvola Double Block-and-Bleed

L’alimentazione del combustibile utilizza una configurazione double block-and-bleed (DBB) — due valvole di sicurezza normalmente chiuse (SSOV) in serie con una valvola di sfiato normalmente aperta tra di esse. NFPA 85 richiede che ogni SSOV si chiuda entro 1 secondo dal ricevimento del segnale di spegnimento. Sul HIMA HIMatrix F60, sequenziare le valvole DBB usando questa logica:

• Passo 1: In caso di blocco BMS, disattivare simultaneamente i canali di uscita digitale SSOV1 (blocco a monte) e SSOV2 (blocco a valle) tramite il modulo di uscita di sicurezza HIMatrix F3 DIO. Entrambi ricevono il comando di disattivazione entro un ciclo di scansione HIMatrix — tipicamente 10 ms.
• Passo 2: Dopo un ritardo di 200 ms, attivare la valvola di sfiato (normalmente aperta, mantenuta chiusa durante il funzionamento da un segnale a 24 VDC). Disattivando il canale DO della valvola di sfiato, questa si apre e purga lo spazio tra le valvole.
• Passo 3: Avviare un timer di conferma chiusura valvola di 2 secondi. L’HIMatrix legge gli interruttori di fine corsa SSOV. Confermare la posizione chiusa entro 2 secondi. Se uno degli interruttori di fine corsa SSOV non conferma la chiusura, generare un allarme di guasto valvola e impedire il riavvio.
• Passo 4: Per l’implementazione su Triconex Tricon CX, utilizzare una Macchina a Stati in TriStation con cinque stati: IDLE, PURGING, IGNITING, RUNNING, TRIPPED. Ogni transizione di stato è controllata da un insieme di condizioni Booleane. Questa struttura rende semplice la verifica della matrice causa-effetto IEC 61511 durante la revisione del caso di sicurezza.

Test di Verifica SIL 2 e Ricalcolo PFDavg

La clausola 16.2.5 di IEC 61511 richiede test di verifica documentati a intervalli derivati dall’obiettivo PFDavg per SIL 2. Per una funzione di chiusura combustibile BMS a SIL 2, il PFDavg deve rimanere sotto 10⁻² (1%). Un intervallo tipico di test di verifica per una valvola ESD con tasso di guasto pericoloso non rilevato (λDU) di 2,5 × 10⁻⁶ /h si calcola come:

PFDavg = λDU × Ti / 2

Per mantenere PFDavg = 0,005 (50% del limite SIL 2): Ti = (2 × 0,005) / (2,5 × 10⁻⁶) = 4000 ore ≈ 6 mesi.

Il Partial Stroke Test (PST) esercita parzialmente la valvola ESD senza un arresto completo del processo. Sul HIMatrix F60, configurare una funzione PST usando il blocco libreria PST di SILworx. Impostare il limite di corsa PST al 15% della corsa della valvola — sufficiente per rilevare stiction della sede e inceppamenti meccanici senza interrompere il flusso di processo. Un tempo di risposta PST superiore a 8 secondi indica degrado dell’attuatore — programmare un test a corsa completa durante la prossima finestra di manutenzione.

Ricalcolare il PFDavg dopo ogni evento PST. Documentare ogni risultato PST nel registro diagnostico HIMatrix e trasferire i dati al sistema di gestione del caso di sicurezza. IEC 61511 richiede che questa documentazione rimanga recuperabile per l’intero ciclo di vita del sistema — tipicamente 25 anni per apparecchiature a combustione.

Conclusione e Consigli Operativi

La messa in servizio del BMS non è un esercizio da spuntare. Ogni parametro — valore del timer di purge, timeout di discrepanza UV, tempo di risposta valvola, limite di corsa PST — ha un collegamento diretto a un requisito di sicurezza in NFPA 85 o IEC 61511. Usare la modalità simulazione integrata di HIMA SILworx per pre-verificare la logica della sequenza di purge prima del primo avvio. Nei progetti Triconex Tricon CX, utilizzare l’editor Macchina a Stati di TriStation e collegare ogni condizione di transizione al numero di riga della matrice causa-effetto.

Dopo la messa in servizio, eseguire il primo test a corsa completa della valvola ESD entro 30 giorni per stabilire un tempo di risposta di riferimento. Impostare un programma PST ogni 6 mesi e un programma di test completo ogni 12 mesi come ordini di lavoro permanenti. Queste discipline mantengono il PFDavg del BMS entro il limite SIL 2 e dimostrano la conformità a IEC 61511 durante ogni audit di sicurezza.

Autore: Liu Yang è un ingegnere di automazione industriale con oltre 10 anni di esperienza in PLC, DCS e sistemi di controllo.