Procedura testu pętli przyrządu dla systemów bezpieczeństwa z oceną SIL

Dlaczego testy pętli SIL różnią się od standardowych kontroli uruchomieniowych

Standardowy test pętli potwierdza ciągłość sygnału i dokładność skalowania. Test pętli SIL robi to wszystko, a dodatkowo weryfikuje, czy funkcja bezpieczeństwa aktywuje się przy właściwej wartości zmiennej procesowej, poprawnie dezaktywuje po resecie oraz nie pozostawia ukrytych usterek. IEC 61511 Klauzula 16.2 wymaga udokumentowanych zapisów „as-found” i „as-left” dla każdej pętli ocenianej na SIL przy każdym interwale testu dowodowego. Brak dokumentacji danych „as-found” przed regulacją unieważnia test dowodowy pod kątem zgodności.

Dla systemów Allen-Bradley ControlLogix 1756-L85E otwórz Studio 5000 i zlokalizuj zadanie bezpieczeństwa. Potwierdź, że tag logiki funkcji bezpieczeństwa odpowiada SRS. Dla systemów Triconex T3000 otwórz TriStation 1131 i zweryfikuj sieć logiki implementującą funkcję ochronną. Oba systemy wymagają obejścia konserwacyjnego przed jakąkolwiek fizyczną interwencją. Potwierdź interwał testu dowodowego — pętle SIL 2 zwykle wymagają 2-letnich interwałów testów dowodowych na podstawie obliczeń PFDavg. Nigdy nie wydłużaj interwału bez udokumentowanego odstępstwa zatwierdzonego przez inżyniera bezpieczeństwa funkcjonalnego.

Procedura obejścia konserwacyjnego i blokady

• Krok 1: W Allen-Bradley ControlLogix ustaw odpowiedni bit obejścia bezpieczeństwa za pomocą mechanizmu Safety Bypass Request w Studio 5000. Nie używaj wymuszenia (force). Wymuszenia zadania bezpieczeństwa omijają logikę wykrywania testu dowodowego CPU bezpieczeństwa. Bit obejścia wyzwala alarm Safety Bypass Active w systemie historycznym.
• Krok 2: W Triconex T3000 otwórz TriStation 1131 i aktywuj tryb konserwacji (Maintenance Mode) dla testowanego kanału. Tryb konserwacji ustawia wyjście kanału w wstępnie skonfigurowany stan bezpieczny. Dioda LED na panelu przednim modułu Tricon CX zmienia kolor z zielonego na bursztynowy. Zaloguj czas rozpoczęcia w systemie pozwolenia na pracę.
• Krok 3: Zweryfikuj, że logika głosowania nie wywołuje fałszywego wyłączenia. Dla funkcji głosowania 2oo3 dopuszczalny jest jeden kanał w trybie konserwacji. Dla funkcji 1oo1 należy potwierdzić zablokowanie aktywacji elementu końcowego na poziomie siłownika zaworu przed kontynuacją.
• Krok 4: Potwierdź obejście z operatorem w pomieszczeniu kontrolnym. Operator musi potwierdzić obejście na panelu SCADA i wprowadzić swój identyfikator użytkownika. Tworzy to ścieżkę audytu wymaganą przez IEC 61511 Klauzulę 11.9.

Test zimnej pętli: wstrzyknięcie sygnału i weryfikacja skalowania

Test zimnej pętli wykorzystuje kalibrator procesowy do wstrzykiwania sygnałów bez obecności czynnika procesowego. Dla pętli nadajnika ciśnienia 4–20 mA wstrzyknij 4,000 mA, 12,000 mA i 20,000 mA na zaciskach nadajnika. Zapisz surową wartość licznika DCS dla każdego punktu.

Dla modułów wejść analogowych Allen-Bradley ControlLogix 1756-IF16 oczekiwany zakres surowych wartości to 0–32767. Przy 4 mA oczekiwana wartość to 0 ±20 impulsów (0,06% zakresu). Przy 20 mA oczekiwana wartość to 32767 ±20 impulsów. Przesunięcie większe niż 50 impulsów wymaga ponownej kalibracji modułu za pomocą kreatora kalibracji wejść analogowych RSLogix 5000.

Dla modułów AI Triconex T3000 rozdzielczość wejścia analogowego wynosi 16 bitów. Przy 4 mA kanał AI odczytuje 0x0000. Przy 20 mA kanał odczytuje 0x7FFF. Odchylenie większe niż 0x0050 (80 impulsów) w dowolnym punkcie testowym wymaga wymiany modułu AI — T3000 nie obsługuje kalibracji w terenie wzmocnienia kanału AI.

• Krok 1: Podłącz kalibrator procesowy równolegle do okablowania nadajnika w puszce przyłączeniowej. Ustaw tryb źródła na 4,000 mA. Odczekaj 5 sekund na aktualizację DCS. Zapisz wartość wyświetlaną na DCS i surową wartość licznika.
• Krok 2: Zwiększ do 12,000 mA (50% zakresu). Zweryfikuj, że wyświetlacz DCS pokazuje 50% ±0,5% zakresu jednostek inżynierskich. Zapisz wartości „as-found”.
• Krok 3: Zwiększ do 20,000 mA (100% zakresu). Zweryfikuj, że DCS pokazuje wartość pełnoskalową ±0,5%. Zapisz wartości „as-found”.
• Krok 4: Wstrzyknij 3,600 mA. Zweryfikuj, że DCS wyzwala alarm „Low Wire Break” w ciągu 3 sekund. W Allen-Bradley ControlLogix próg przerwania przewodu dla AI 4–20 mA jest konfigurowalny na 3,6 mA w właściwościach modułu Studio 5000.
• Krok 5: Wstrzyknij 21,000 mA. Zweryfikuj, że DCS wyzwala alarm „High Over-Range” w ciągu 3 sekund. Próg przekroczenia zakresu dla ControlLogix 1756-IF16 to 21,0 mA. Dla modułu AI Triconex domyślny próg to 20,5 mA.
• Krok 6: Zapisz wszystkie dane „as-found” w arkuszu testu pętli. Jeśli wszystkie wartości mieszczą się w kryteriach akceptacji, udokumentuj jako „As-Found = As-Left”. Jeśli któraś wartość odbiega, wykonaj regulację i powtórz test. Udokumentuj zarówno wartości „as-found”, jak i „as-left” z podpisem inżyniera.

Test gorącej pętli: weryfikacja aktywacji funkcji bezpieczeństwa

Test gorącej pętli potwierdza, że funkcja bezpieczeństwa aktywuje się przy właściwym punkcie nastawy zmiennej procesowej. Test ten obejmuje pełną pętlę SIS od czujnika, przez solver logiki, do elementu końcowego. Testy gorące wymagają rzeczywistych warunków procesowych lub symulowanych warunków procesowych z użyciem certyfikowanego źródła ciśnienia.

Po pierwsze, potwierdź, że element końcowy (zwykle zawór ESD) jest w stanie bezpiecznym przed rozpoczęciem testu. Użyj wskaźnika położenia siłownika do potwierdzenia. Nie kontynuuj, jeśli sygnał zwrotny położenia zaworu różni się od sygnału sterującego o więcej niż 5% zakresu ruchu.

Po drugie, powoli zwiększaj wstrzykiwany sygnał w kierunku punktu wyzwalania funkcji bezpieczeństwa. Dla wyzwalania wysokiego ciśnienia ustawionego na 95 barg wstrzykuj sygnał mA krok po kroku: 18 mA (90%), 18,8 mA (94%), 19,0 mA (95%). Zapisz dokładny prąd mA, przy którym funkcja bezpieczeństwa Triconex T3000 lub Allen-Bradley ControlLogix się aktywuje. Punkt aktywacji musi mieścić się w ±1% wartości określonej w SRS.

Po trzecie, zweryfikuj sekwencję resetu. Po aktywacji obniż sygnał poniżej progu resetu. Potwierdź, że funkcja bezpieczeństwa nie resetuje się automatycznie bez wyraźnej akcji resetu operatora. Architektura z zatrzaskowym resetem jest obowiązkowa dla funkcji SIL 2 zgodnie z IEC 61511 Klauzulą 11.6.4. Pętla SIL 2 z samoczynnym resetem nie przechodzi testu dowodowego niezależnie od dokładności punktu nastawy.

Na koniec zweryfikuj czas reakcji. Czas reakcji pętli SIS od zmiany sygnału wejściowego czujnika do pełnego ruchu elementu końcowego nie może przekroczyć określonego w SRS Czasu Bezpieczeństwa Procesu (PST). Użyj stopera lub rejestratora SOE DCS z rozdzielczością 1 ms. Czas reakcji modułu wyjścia cyfrowego Triconex TMR wynosi 30 ms, a czas skanowania zadania bezpieczeństwa ControlLogix 10 ms, co pozostawia 1960 ms na ruch zaworu w aplikacji z PST 2 sekund.

Wymagania dokumentacyjne i audytowe IEC 61511

Każdy test dowodowy SIL generuje trzy obowiązkowe dokumenty: Arkusz Testu Pętli (LTR), Certyfikat Testu Dowodowego (PTC) oraz zaktualizowaną ocenę bezpieczeństwa funkcjonalnego (FSA). LTR zawiera wartości „as-found” i „as-left”, numery seryjne sprzętu testowego wraz z certyfikatami kalibracji, nazwisko testera oraz podpis świadka. PTC potwierdza, że funkcja bezpieczeństwa spełniła wszystkie kryteria akceptacji lub dokumentuje niezgodności wraz z planami działań korygujących. Aktualizacja FSA przelicza PFDavg na podstawie faktycznego pokrycia testu dowodowego.

Typowe braki w audycie to: brak zapisów „as-found” (tester dokonał regulacji przed zapisem), użycie sprzętu testowego z przeterminowanymi certyfikatami kalibracji (maksymalny interwał 12 miesięcy), brak podpisu świadka dla funkcji SIL 2 i wyższych oraz brak przeliczenia PFDavg po teście. Każdy z tych przypadków stanowi poważną niezgodność według kryteriów audytu TÜV Rheinland dla bezpieczeństwa funkcjonalnego.

Przed rozpoczęciem każdego testu dowodowego SIL stosuj listę kontrolną. Potwierdź: ważność kalibracji sprzętu testowego, zatwierdzenie MOC, wydanie pozwolenia na obejście, potwierdzenie punktów nastawy SRS, przegląd poprzedniego LTR pod kątem znanych defektów. Pięć minut weryfikacji przed testem zapobiega godzinom napraw audytowych.

Podsumowanie i zalecenia

Testy pętli instrumentów SIL to nie formalność. Są podstawowym mechanizmem wykrywania ukrytych usterek nagromadzonych od ostatniego testu dowodowego. Stosuj sześciostopniową sekwencję testu zimnej pętli, aby zweryfikować skalowanie i wykrywanie przerwania przewodu. Użyj testu gorącej pętli, aby potwierdzić aktywację funkcji bezpieczeństwa przy punkcie nastawy SRS z tolerancją ±1%. Zweryfikuj zachowanie zatrzaskowego resetu i czas reakcji względem budżetu Czasu Bezpieczeństwa Procesu.

W Allen-Bradley ControlLogix używaj bitów obejścia bezpieczeństwa, nigdy wymuszeń. W Triconex T3000 stosuj tryb konserwacji z czasowym wpisem pozwolenia na pracę. Zbieraj dane „as-found” przed jakąkolwiek regulacją. Wydawaj Certyfikaty Testu Dowodowego z podpisem inżyniera i dokumentacją zgodną z TÜV. Po każdym cyklu testu dowodowego przeliczaj PFDavg. Systematyczne, udokumentowane testowanie pętli SIL to inżynierska podstawa bezpieczeństwa ludzi i majątku procesowego.

Autor: Wang Jiaming jest inżynierem automatyki przemysłowej z ponad 10-letnim doświadczeniem w PLC, DCS i systemach sterowania.