Programmazione del Test di Verifica SIL 3 e Gestione del PFDavg per HIMA HIMatrix e ICS Triplex TMR

Una guida pratica IEC 61511 per la programmazione dei test di verifica SIL 3, il calcolo del PFDavg per le architetture HIMA HIMatrix F60 e ICS Triplex TMR, l’applicazione del credito per test parziali e la gestione dei registri di conformità durante i cicli di fermata impianto pluriennali.

Requisiti SIL 3 e intervallo target PFDavg

La Tabella 3 della IEC 61511 definisce SIL 3 come un intervallo di PFDavg da 10⁻⁴ a 10⁻³. Questo è un ordine di grandezza più severo rispetto a SIL 2. Raggiungere SIL 3 richiede un’architettura altamente ridondante o un intervallo di test di verifica molto breve. HIMA HIMatrix F60 con architettura 1oo2D raggiunge SIL 3 solo se l’intervallo di test di verifica rimane a 1 anno o meno e la copertura diagnostica supera il 99%.

ICS Triplex TMR raggiunge SIL 3 grazie al voto hardware 2oo3 con diagnostica online completa. La copertura diagnostica del Triplex TMR è valutata al 99,7% per guasti interni. Combinando un intervallo di test di verifica di 2 anni e un tasso di guasti pericolosi (λDU) di 1,2×10⁻⁷/h per canale, il PFDavg si calcola approssimativamente a 5,3×10⁻⁴. Questo soddisfa il limite superiore SIL 3 di 10⁻³.

Tuttavia, il PFDavg non è un valore fisso. Aumenta nel tempo con l’invecchiamento del sistema. Monitorare annualmente il calcolo di verifica SIL. Sostituire i componenti invecchiati prima che l’aumento di λDU porti il PFDavg oltre il limite superiore SIL 3.

Calcolo dell’intervallo di test di verifica per architetture miste

Molti impianti utilizzano una combinazione di HIMA HIMatrix F60 per gli iniziatori e ICS Triplex TMR per l’elemento finale. In questo caso, calcolare il PFDavg per ogni sottosistema separatamente. Poi sommarli. Il PFDavg totale del SIF deve rimanere sotto 10⁻³.

Usare la formula dell’Appendice K della IEC 61511-1 per un’architettura 1oo2D:

PFDavg (1oo2D) = (λDU × Ti)² / 3 + λDU × (1 – DC) × Ti / 2

Per HIMA HIMatrix F60 con λDU = 3×10⁻⁷/h per canale, Ti = 8.760 h (1 anno) e DC = 0,99:

PFDavg = (3×10⁻⁷ × 8.760)² / 3 + 3×10⁻⁷ × 0,01 × 8.760 / 2 = 2,3×10⁻⁶ + 1,3×10⁻⁵ = 1,5×10⁻⁵

Questo lascia un ampio margine di PFDavg per il sottosistema dell’elemento finale ICS Triplex TMR. Tuttavia, non permettere mai che un singolo sottosistema consumi più del 50% del budget totale PFDavg SIL 3. Questo approccio fornisce margine per modifiche future senza invalidare la verifica SIL.

Credito per test parziali e impatto della copertura diagnostica

Un test di verifica completo verifica tutte le modalità di guasto pericolose. Un test parziale ne verifica solo un sottoinsieme. La clausola 16.2.6 della IEC 61511 consente il credito per test parziali quando la frazione di test parziale (PTF) è documentata. HIMA SILworx definisce la PTF per procedura di test. Un controllo diagnostico standard del canale durante il funzionamento conta come PTF = 0,3 a 0,5, a seconda della copertura delle modalità di guasto.

Per ICS Triplex TMR, l’autotest online copre circa l’85% delle modalità di guasto pericolose. Ciò significa che il test di verifica annuale deve coprire solo il restante 15%. Questo riduce la durata del test da 8 ore a circa 1,5 ore per SIF. Applicare questo credito nello strumento di verifica SIL inserendo PTF = 0,85 per il contributo della diagnostica online e PTF = 0,15 per il complemento del test manuale.

Inoltre, il credito per la copertura diagnostica richiede prove. HIMA HIMatrix SILworx registra i risultati dei test diagnostici nel registro eventi interno. Esportare questo registro mensilmente e archiviarlo nel sistema CMMS. Lo stato diagnostico del controller ICS Triplex è disponibile tramite il registro Modbus TCP 41001 (mappato a bit, 16 categorie di guasti). Registrare questo registro quotidianamente tramite lo storico OPC DA. Questi dati archiviati servono come prova documentale del test di verifica ai sensi della clausola 16.2.5 della IEC 61511 durante le verifiche.

Documentazione in cinque fasi del registro del test di verifica

La clausola 16.3 della IEC 61511 richiede che i registri dei test di verifica includano campi dati specifici. La mancanza di campi invalida il credito del test. Seguire questa procedura di documentazione per ogni test di verifica SIL 3 SIF:

• Fase 1: Registrare lo stato “as-found” prima di qualsiasi intervento di test. Per ogni canale HIMA HIMatrix F60, annotare lo stato LED (verde/ambra/rossa) e il byte di sintesi diagnostica SILworx. Per ogni uscita ICS Triplex TMR, annotare lo stato del relè e il valore del registro Modbus 41001.
• Fase 2: Eseguire la sequenza di test secondo la procedura di test di verifica approvata. Registrare l’ora di ogni fase con un orologio sincronizzato. Usare il riferimento NTP dell’impianto (strato 1) per tutti i timestamp. Non usare l’ora locale del PC — la deriva dell’orologio supera la risoluzione di 1 s richiesta per la verifica del tempo di risposta SIF.
• Fase 3: Registrare il tempo di risposta misurato dall’iniezione del segnale di ingresso all’attivazione dell’elemento finale. Confrontare con il requisito di tempo di risposta SIF nella specifica dei requisiti di sicurezza (SRS). La tolleranza accettabile è ±10% del tempo di risposta richiesto.
• Fase 4: Registrare lo stato “as-left” dopo il completamento del test. Confermare che entrambi i sistemi HIMA e ICS Triplex siano ripristinati in modalità operativa normale. Verificare che SILworx non mostri guasti diagnostici bloccati. Confermare che il registro Modbus 41001 del Triplex TMR legga 0x0000 (nessun guasto attivo).
• Fase 5: Aggiornare il calcolo di verifica SIL con la nuova data del test di verifica. Ricalcolare il PFDavg per il prossimo intervallo di test. Se il PFDavg si avvicina al 20% del limite superiore SIL 3, segnalare il SIF per un test anticipato o una revisione dell’architettura. Archiviare il registro di test completato nel CMMS con firma elettronica secondo i requisiti di integrità dei registri IEC 62443-2-1.

Conclusione e consigli operativi

La conformità SIL 3 per i sistemi HIMA HIMatrix e ICS Triplex TMR dipende da una rigorosa programmazione dei test di verifica e da un accurato monitoraggio del PFDavg. Calcolare il PFDavg per ogni sottosistema separatamente. Mantenere i contributi dei singoli sottosistemi sotto il 50% del budget totale SIL 3. Applicare il credito per test parziali solo quando le prove della copertura diagnostica sono archiviate nel CMMS. Documentare ogni stato “as-found” e “as-left” con timestamp sincronizzati NTP. Aggiornare la verifica SIL annualmente. Segnalare ogni SIF in cui il PFDavg si avvicina all’80% del limite superiore SIL 3. Queste pratiche proteggono l’integrità SIL 3 per l’intero ciclo di vita dell’impianto.

Autore: Chen Hao è un ingegnere di automazione industriale con oltre 10 anni di esperienza in PLC, DCS e sistemi di controllo.