Planowanie testów dowodowych SIL 3 oraz zarządzanie PFDavg dla HIMA HIMatrix i ICS Triplex TMR

Praktyczny przewodnik IEC 61511 dotyczący harmonogramowania testów dowodzących SIL 3, obliczania PFDavg dla architektur HIMA HIMatrix F60 i ICS Triplex TMR, stosowania kredytu częściowego testu dowodzącego oraz utrzymywania dokumentacji zgodności w wieloletnich cyklach remontów zakładu.

Wymagania SIL 3 i docelowy zakres PFDavg

Tabela 3 normy IEC 61511 definiuje SIL 3 jako zakres PFDavg od 10⁻⁴ do 10⁻³. Jest to o rząd wielkości bardziej wymagające niż SIL 2. Osiągnięcie SIL 3 wymaga albo bardzo redundantnej architektury, albo bardzo krótkiego interwału testu dowodzącego. HIMA HIMatrix F60 z architekturą 1oo2D osiąga SIL 3 tylko wtedy, gdy interwał testu dowodzącego wynosi maksymalnie 1 rok, a pokrycie diagnostyczne przekracza 99%.

ICS Triplex TMR osiąga SIL 3 dzięki głosowaniu sprzętowemu 2oo3 z pełną diagnostyką online. Pokrycie diagnostyczne Triplex TMR oceniane jest na 99,7% dla wewnętrznych usterek. W połączeniu z 2-letnim interwałem testu dowodzącego i wskaźnikiem niebezpiecznych awarii (λDU) 1,2×10⁻⁷/h na kanał, PFDavg wynosi około 5,3×10⁻⁴. Spełnia to górną granicę SIL 3 wynoszącą 10⁻³.

Jednak PFDavg nie jest wartością stałą. Wzrasta z upływem czasu wraz ze starzeniem się systemu. Monitoruj obliczenia weryfikacji SIL corocznie. Wymieniaj starzejące się komponenty zanim wzrost λDU spowoduje przekroczenie górnej granicy PFDavg dla SIL 3.

Obliczanie interwału testu dowodzącego dla architektur mieszanych

Wiele zakładów stosuje kombinację HIMA HIMatrix F60 dla inicjatorów i ICS Triplex TMR dla elementu końcowego. W takim przypadku oblicz PFDavg dla każdego podsystemu osobno, a następnie je zsumuj. Całkowity PFDavg SIF musi pozostać poniżej 10⁻³.

Użyj wzoru z załącznika K normy IEC 61511-1 dla architektury 1oo2D:

PFDavg (1oo2D) = (λDU × Ti)² / 3 + λDU × (1 – DC) × Ti / 2

Dla HIMA HIMatrix F60 z λDU = 3×10⁻⁷/h na kanał, Ti = 8 760 h (1 rok) i DC = 0,99:

PFDavg = (3×10⁻⁷ × 8 760)² / 3 + 3×10⁻⁷ × 0,01 × 8 760 / 2 = 2,3×10⁻⁶ + 1,3×10⁻⁵ = 1,5×10⁻⁵

To pozostawia duży budżet PFDavg dla podsystemu elementu końcowego ICS Triplex TMR. Jednak nigdy nie pozwól, aby pojedynczy podsystem zużył więcej niż 50% całkowitego budżetu PFDavg dla SIL 3. Takie podejście zapewnia margines na przyszłe zmiany bez unieważniania weryfikacji SIL.

Kredyt częściowego testu dowodzącego i wpływ pokrycia diagnostycznego

Pełny test dowodzący weryfikuje wszystkie tryby niebezpiecznych awarii. Częściowy test dowodzący weryfikuje tylko ich podzbiór. Klauzula 16.2.6 normy IEC 61511 pozwala na kredyt częściowego testu dowodzącego, gdy udokumentowana jest frakcja testu częściowego (PTF). HIMA SILworx definiuje PTF dla procedury testowej. Standardowa diagnostyka kanału podczas pracy liczy się jako PTF = 0,3 do 0,5, w zależności od pokrycia trybów awarii.

Dla ICS Triplex TMR test online pokrywa około 85% niebezpiecznych trybów awarii. Oznacza to, że coroczny test dowodzący musi objąć tylko pozostałe 15%. Skraca to czas testu z 8 godzin do około 1,5 godziny na SIF. Zastosuj ten kredyt w narzędziu weryfikacji SIL, wpisując PTF = 0,85 dla wkładu diagnostyki online oraz PTF = 0,15 dla uzupełniającego testu manualnego.

Co więcej, kredyt pokrycia diagnostycznego wymaga dowodów. HIMA HIMatrix SILworx rejestruje wyniki testów diagnostycznych w wewnętrznym dzienniku zdarzeń. Eksportuj ten dziennik co miesiąc i archiwizuj go w systemie CMMS. Status diagnostyczny kontrolera ICS Triplex jest dostępny przez rejestr Modbus TCP 41001 (mapowany bitowo, 16 kategorii usterek). Rejestruj ten rejestr codziennie przez OPC DA historian. Te archiwalne dane służą jako dowód dokumentacji testu dowodzącego zgodnie z klauzulą 16.2.5 normy IEC 61511 podczas audytów.

Dokumentacja testu dowodzącego w pięciu krokach

Klauzula 16.3 normy IEC 61511 wymaga, aby zapisy testów dowodzących zawierały określone pola danych. Brakujące pola unieważniają kredyt testu. Postępuj według tej procedury dokumentacyjnej dla każdego testu dowodzącego SIL 3 SIF:

• Krok 1: Zarejestruj stan znaleziony przed rozpoczęciem testu. Dla każdego kanału HIMA HIMatrix F60 zanotuj status diody LED (zielona/żółta/czerwona) oraz bajt podsumowania diagnostyki SILworx. Dla każdego wyjścia ICS Triplex TMR zanotuj stan przekaźnika i wartość rejestru Modbus 41001.
• Krok 2: Wykonaj sekwencję testową zgodnie z zatwierdzoną procedurą testu dowodzącego. Zarejestruj czas każdego kroku za pomocą zsynchronizowanego zegara. Użyj referencji NTP zakładu (stratum 1) dla wszystkich znaczników czasu. Nie używaj lokalnego czasu PC — dryft zegara przekracza rozdzielczość 1 s wymaganą do weryfikacji czasu reakcji SIF.
• Krok 3: Zarejestruj zmierzony czas reakcji od wstrzyknięcia sygnału wejściowego do aktywacji elementu końcowego. Porównaj z wymaganiem czasu reakcji SIF w specyfikacji wymagań bezpieczeństwa (SRS). Akceptowalna tolerancja to ±10% wymaganego czasu reakcji.
• Krok 4: Zarejestruj stan pozostawiony po zakończeniu testu. Potwierdź, że systemy HIMA i ICS Triplex zostały przywrócone do normalnego trybu pracy. Zweryfikuj, że SILworx nie wykazuje zablokowanych usterek diagnostycznych. Potwierdź, że rejestr Modbus Triplex TMR 41001 odczytuje 0x0000 (brak aktywnych usterek).
• Krok 5: Zaktualizuj obliczenia weryfikacji SIL z nową datą testu dowodzącego. Przelicz PFDavg dla następnego interwału testu. Jeśli PFDavg zbliża się do 20% górnej granicy SIL 3, oznacz SIF do wcześniejszego ponownego testu lub przeglądu architektury. Zarchiwizuj ukończony zapis testu w CMMS z podpisem elektronicznym zgodnie z wymaganiami integralności zapisów IEC 62443-2-1.

Podsumowanie i zalecenia

Zgodność SIL 3 dla systemów HIMA HIMatrix i ICS Triplex TMR zależy od rygorystycznego harmonogramowania testów dowodzących i dokładnego śledzenia PFDavg. Obliczaj PFDavg dla każdego podsystemu osobno. Utrzymuj wkład pojedynczych podsystemów poniżej 50% całkowitego budżetu SIL 3. Stosuj kredyt częściowego testu dowodzącego tylko wtedy, gdy dowody pokrycia diagnostycznego są archiwizowane w CMMS. Dokumentuj każdy stan znaleziony i pozostawiony z zsynchronizowanymi znacznikami czasu NTP. Aktualizuj weryfikację SIL corocznie. Oznacz każdy SIF, w którym PFDavg zbliża się do 80% górnej granicy SIL 3. Te praktyki chronią integralność SIL 3 przez cały cykl życia zakładu.

Autor: Chen Hao jest inżynierem automatyki przemysłowej z ponad 10-letnim doświadczeniem w PLC, DCS i systemach sterowania.