Uruchamianie Systemu Zarządzania Palnikami SIS: Procedury Polowe HIMA HIMatrix F60 i Triconex Tricon CX

Architektura BMS i granice funkcji bezpieczeństwa

System zarządzania palnikiem kontroluje dopływ paliwa, sekwencję zapłonu, potwierdzenie płomienia oraz awaryjne wyłączenie urządzeń grzewczych. Normy NFPA 85 i IEC 61511 mają zastosowanie, gdy BMS zawiera funkcje instrumentacji bezpieczeństwa. Typowa architektura umieszcza Sterownik PLC bezpieczeństwa — albo HIMA HIMatrix F60, albo Triconex Tricon CX — jako rozwiązanie logiczne Systemu Instrumentacji Bezpieczeństwa. BPCS zarządza nastawami i kontrolą stosunku powietrze-paliwo na oddzielnym sterowniku. Oba systemy wymieniają dane przez Modbus TCP, ale zachowują fizyczne, twarde rozdzielenie na poziomie wejść/wyjść.

HIMA HIMatrix F60 to kompaktowy sterownik TMR zdolny do SIL 3, obsługujący do 96 wejść cyfrowych i 48 wyjść cyfrowych w konfiguracji bazowej. Triconex Tricon CX realizuje potrójną redundancję modułową (TMR) z głosowaniem 2oo3 na poziomie modułów I/O, zapewniając sprzętową tolerancję błędów SIL 3. Dla BMS ocenianego na SIL 2, każda z platform zapewnia odpowiednią integralność sprzętową — krytyczne ograniczenia wynikają z projektowania oprogramowania i interwału testów dowodowych.

Logika głosowania 2oo3 detektora płomienia UV

Wykrywanie płomienia wykorzystuje trzy detektory UV ułożone w konfiguracji głosowania 2oo3. Ta architektura wymaga potwierdzenia obecności płomienia przez co najmniej dwa detektory, zanim rozwiązanie logiczne zezwoli na dalszy dopływ paliwa. Na HIMA HIMatrix F60 skonfiguruj blok głosowania w SILworx jako blok funkcyjny FB_Vote_2oo3. Ustaw limit czasu rozbieżności na 3 sekundy — jeśli jeden detektor nie zgadza się z pozostałymi dwoma przez ponad 3 sekundy, HIMatrix generuje alarm rozbieżności do DCS.

Na Triconex Tricon CX zaimplementuj tę samą logikę używając języka Structured Text IEC 61131-3 w TriStation. Dodaj 500 ms opóźnienie włączenia na każdym wejściu detektora, aby odfiltrować przejściowe zakłócenia UV od iskier zapłonowych. Zapobiega to fałszywym sygnałom potwierdzenia płomienia podczas sekwencji zapłonu.

• Krok 1: Podłącz wszystkie trzy detektory UV do oddzielnych kanałów wejść cyfrowych HIMatrix F60 — nigdy nie dziel wspólnego powrotu z obwodem zapłonowym.
• Krok 2: Zweryfikuj sygnał autodiagnostyki każdego detektora. Sprawny Fireye 45UV5 generuje sygnał autodiagnostyki 24 V DC co 10 sekund. Przypisz go do dedykowanego kanału DI i skonfiguruj 30-sekundowy watchdog w TriStation — utrata sygnału autodiagnostyki przez 30 sekund wywołuje alarm uszkodzenia detektora UV.
• Krok 3: Wykonaj test światło-ciemność dla każdego detektora osobno. Zablokuj ścieżkę widzenia UV kartą zasłaniającą. Sprawdź, czy sygnał wejściowy detektora spada do 0 V DC w ciągu 1 sekundy. Potwierdź, że głosowanie 2oo3 nie potwierdza FLAME_PROVEN przy aktywności tylko jednego detektora.

Timer sekwencji płukania: wymagania NFPA 85

NFPA 85 wymaga, aby komora spalania była przepłukiwana co najmniej czterema wymianami powietrza przed każdą próbą zapłonu. Przepływ powietrza podczas płukania musi wynosić co najmniej 25% maksymalnego projektowego przepływu powietrza. Oblicz czas płukania według wzoru:

T_płukania = (4 × V_komory) / Q_przepływu

Dla komory spalania o objętości 120 m³ z wentylatorem wymuszonym dostarczającym 18 m³/min przy 25% położeniu przepustnicy: T_płukania = (4 × 120) / 18 = 26,7 minuty. Zaokrąglij do 27 minut i zaprogramuj jako minimalny czas płukania w bloku funkcyjnym sekwencji płukania HIMatrix SILworx. Timer musi być certyfikowanym, niezerowalnym timerem bezpieczeństwa — jeśli przepływ spadnie poniżej 25% podczas płukania, timer resetuje się do zera.

Na Triconex Tricon CX zaimplementuj timer płukania w TriStation używając bloku TON (Timer On Delay) z nastawą 1620 sekund (27 minut). Połącz wejście włączające timera z przełącznikiem potwierdzającym przepływ powietrza — jest to przełącznik różnicy ciśnień ustawiony na 0,5 kPa na przepustnicy powietrza. Zweryfikuj czas reakcji poniżej 2 sekund, aby spełnić wymagania NFPA 85, sekcja 8.3.4.

Sekwencja zaworu podwójnego blokowania i upuszczania (DBB)

Dostawa paliwa wykorzystuje układ podwójnego blokowania i upuszczania (DBB) — dwa normalnie zamknięte zawory bezpieczeństwa (SSOV) połączone szeregowo z normalnie otwartym zaworem odpowietrzającym pomiędzy nimi. NFPA 85 wymaga, aby każdy SSOV zamknął się w ciągu 1 sekundy od otrzymania sygnału wyłączenia. Na HIMA HIMatrix F60 sekwencjonuj zawory DBB według następującej logiki:

• Krok 1: Przy awarii BMS jednocześnie odłącz zasilanie kanałów wyjściowych cyfrowych SSOV1 (blok upstream) i SSOV2 (blok downstream) przez moduł wyjść bezpieczeństwa HIMatrix F3 DIO. Oba otrzymują polecenie odłączenia w jednym cyklu skanowania HIMatrix — zwykle 10 ms.
• Krok 2: Po 200 ms opóźnieniu załącz zawór odpowietrzający (normalnie otwarty, podczas pracy zamknięty sygnałem 24 V DC). Odłączenie sygnału na wyjściu DO zaworu pozwala mu się otworzyć i przepłukać przestrzeń między zaworami.
• Krok 3: Uruchom 2-sekundowy timer potwierdzenia zamknięcia zaworu. HIMatrix odczytuje przełączniki krańcowe SSOV. Potwierdź zamknięcie w ciągu 2 sekund. Jeśli którykolwiek przełącznik krańcowy nie potwierdzi zamknięcia, wygeneruj alarm awarii zaworu i zablokuj ponowne uruchomienie.
• Krok 4: W implementacji Triconex Tricon CX użyj maszyny stanów w TriStation z pięcioma stanami: IDLE, PURGING, IGNITING, RUNNING, TRIPPED. Każda zmiana stanu jest sterowana zestawem warunków logicznych. Ta struktura ułatwia weryfikację macierzy przyczynowo-skutkowej IEC 61511 podczas przeglądu dokumentacji bezpieczeństwa.

Test dowodowy SIL 2 i ponowne obliczenie PFDavg

IEC 61511, punkt 16.2.5 wymaga dokumentowanych testów dowodowych w odstępach wynikających z docelowego PFDavg dla SIL 2. Dla funkcji zamknięcia paliwa BMS na poziomie SIL 2, PFDavg musi być poniżej 10⁻² (1%). Typowy interwał testu dowodowego dla zaworu ESD z niebezpieczną, niewykrytą awarią (λDU) 2,5 × 10⁻⁶ /h oblicza się jako:

PFDavg = λDU × Ti / 2

Aby utrzymać PFDavg = 0,005 (50% limitu SIL 2): Ti = (2 × 0,005) / (2,5 × 10⁻⁶) = 4000 godzin ≈ 6 miesięcy.

Test częściowego ruchu (PST) częściowo uruchamia zawór ESD bez pełnego zatrzymania procesu. Na HIMatrix F60 skonfiguruj funkcję PST używając bloku biblioteki SILworx PST. Ustaw limit ruchu PST na 15% skoku zaworu — wystarczające do wykrycia przyklejania się uszczelki i mechanicznych zacięć bez przerywania przepływu. Czas reakcji PST przekraczający 8 sekund wskazuje na degradację siłownika — zaplanuj pełny test skoku podczas następnego przeglądu konserwacyjnego.

Po każdym teście PST przelicz PFDavg. Dokumentuj każdy wynik PST w dzienniku diagnostycznym HIMatrix i przenoś dane do systemu zarządzania dokumentacją bezpieczeństwa. IEC 61511 wymaga, aby dokumentacja była dostępna przez cały cykl życia systemu — zwykle 25 lat dla urządzeń grzewczych.

Podsumowanie i zalecenia

Uruchomienie BMS to nie jest zadanie do odhaczenia. Każdy parametr — wartość timera płukania, limit czasu rozbieżności UV, czas reakcji zaworu, limit ruchu PST — ma bezpośredni związek z wymaganiami bezpieczeństwa w NFPA 85 lub IEC 61511. Skorzystaj z wbudowanego trybu symulacji HIMA SILworx, aby zweryfikować logikę sekwencji płukania przed pierwszym zapłonem. W projektach Triconex Tricon CX używaj edytora maszyny stanów TriStation i powiąż każdy warunek przejścia z numerem linii w macierzy przyczynowo-skutkowej.

Po uruchomieniu wykonaj pierwszy pełny test skoku zaworu ESD w ciągu 30 dni, aby ustalić bazowy czas reakcji. Ustaw harmonogram PST co 6 miesięcy oraz pełnego testu dowodowego co 12 miesięcy jako stałe zlecenia pracy. Te praktyki utrzymują PFDavg BMS w granicach SIL 2 i potwierdzają zgodność z IEC 61511 podczas każdej kontroli bezpieczeństwa.

Autor: Liu Yang jest inżynierem automatyki przemysłowej z ponad 10-letnim doświadczeniem w systemach PLC, DCS i sterowania.