CLP de segurança HIMA e Yokogawa CENTUM: Implementação de lógica de votação 1oo2 e 2oo3 em SIS
O que é a lógica de votação em sistemas instrumentados de segurança?
A lógica de votação determina como os sensores e os elementos finais respondem quando as medições divergem. Em uma arquitetura 1oo2 (um de dois), qualquer um dos dois sensores pode iniciar um desligamento. Em uma arquitetura 2oo3 (dois de três), pelo menos dois dos três sensores devem concordar antes de iniciar um desligamento.
O controlador de segurança HIMA Prizm e o DCS Yokogawa CENTUM são frequentemente implantados em conjunto em usinas de ciclo combinado e unidades de tratamento de aquecedores de refinarias. A HIMA gerencia a camada SIS. O Yokogawa CENTUM gerencia a camada BPCS e fornece a interface do operador por meio da integração ProSafe-RS. O módulo de CPU HIMA F8640 é uma plataforma de hardware comprovada para essas arquiteturas SIS de alta disponibilidade.
Requisitos da IEC 61511 para arquiteturas de votação
A IEC 61511 define restrições arquitetônicas para Funções Instrumentadas de Segurança (SIFs). A tolerância a falhas de hardware (HFT) de cada canal deve corresponder ao SIL-alvo. Para SIL 2, HFT = 1 exige no mínimo 2 canais (1oo2). Para SIL 3, HFT = 2 exige no mínimo 3 canais (2oo3) ou dois subsistemas 1oo2 em paralelo.
Além disso, a PFD (probabilidade de falha sob demanda) deve ser calculada para o circuito completo de votação. Isso inclui os transmissores, o processamento pelo CLP de segurança e os elementos finais. A fórmula simplificada da PFD para votação 1oo2 é:
PFD₁oo₂ = 2 × λ_DU² × TI² / 3 + λ_DU × MTTR
Onde λ_DU é a taxa de falhas perigosas não detectadas, TI é o intervalo entre testes de prova (normalmente 1 ano) e MTTR é o tempo médio de restauração.
Passo a passo: configuração da votação 2oo3 no CLP de segurança HIMA
Veja o procedimento prático para configurar um desligamento por pressão 2oo3 em um controlador HIMA Prizm conectado a três transmissores de pressão por meio do protocolo HART:
- Etapa 1 — Atribua os canais dos transmissores. Conecte três transmissores HART de 4-20 mA aos módulos de entrada analógica da HIMA (por exemplo, HIQUAD 4AI). Atribua os endereços de canal PT-101-A, PT-101-B e PT-101-C no HIMA Engineering Studio.
- Etapa 2 — Configure o bloco de votação. Insira um bloco de função de votação 2oo3 na lógica do CLP de segurança. Defina as tags de entrada como PT-101-A, PT-101-B e PT-101-C. Defina o ponto de ajuste do desligamento como 150 psi. Defina o tipo de votação como "2oo3 MAJORITY".
- Etapa 3 — Configure a comunicação HART. Habilite o protocolo HART em cada canal de entrada analógica. Configure a variável primária (PV) para pressão em psi. Defina a taxa de atualização como 100 ms para obter uma resposta rápida no circuito de segurança.
- Etapa 4 — Programe a saída de desligamento. Encaminhe a saída do bloco de votação para o módulo de saída digital que aciona a válvula solenoide EBV. A saída deve ser desenergizada (desligamento) quando a pressão votada exceder 150 psi por mais de 500 ms (tempo de debounce). O módulo de saída digital (DO) Yokogawa ADV559-P01 é adequado para a fiação do elemento final no lado CENTUM de arquiteturas híbridas SIS-BPCS.
- Etapa 5 — Integre com o Yokogawa CENTUM. Use a interface Modbus TCP para transmitir o status do desligamento votado à estação do operador Yokogawa CENTUM. Confirme que o alarme SIS aparece no gráfico do CENTUM em até 1 segundo após a condição de desligamento. A Unidade de Controle de Campo Duplexada Yokogawa CENTUM VP AFV10D-S41201 fornece a estrutura FCU redundante para uma operação confiável do gateway Modbus TCP.
Erros comuns no projeto de votação SIS (ISA-84 / IEC 61511)
A experiência de campo com ISA-84 e IEC 61511 revela vários erros recorrentes de projeto. Primeiro, usar sensores do mesmo fabricante em todos os três canais de votação cria uma falha de causa comum. Se o firmware do sensor tiver um erro, os três canais falharão simultaneamente. Portanto, use sensores de dois fabricantes diferentes para atender aos requisitos de diversidade.
Segundo, passar os três cabos dos sensores pelo mesmo eletroduto introduz uma falha de modo comum. Derramamentos ou danos causados por incêndio nesse eletroduto eliminam a redundância. Passe os cabos por bandejas separadas, com separação física de pelo menos 300 mm.
Terceiro, não realizar testes de prova anuais invalida o cálculo da PFD. Se o intervalo entre testes de prova (TI) for estendido de 1 ano para 3 anos sem recalcular a PFD, o sistema poderá deixar de atender ao SIL-alvo.
Falha de causa comum em arquiteturas 2oo3
A falha de causa comum (CCF) é a principal fragilidade das arquiteturas de votação. A CCF ocorre quando um único evento degrada simultaneamente vários canais. Temperatura, umidade, vibração e interferência eletromagnética são iniciadores típicos de CCF.
Para reduzir a CCF, siga estas práticas de campo. Primeiro, instale os sensores em invólucros separados ou em locais fisicamente separados no vaso de processo. Segundo, use fontes de alimentação separadas para cada canal de entrada analógica. O módulo de fonte de alimentação CA Yokogawa SPW481 oferece distribuição de energia dedicada por canal nos gabinetes de E/S do CENTUM. Terceiro, realize auditorias anuais de diversidade. Confirme que os três sensores usam versões de firmware diferentes ou revisões de hardware diferentes.
Quando um sistema 2oo3 é projetado corretamente, sua PFD permanece abaixo de 0,001 (SIL 3), mesmo com um fator de CCF de 5% incluído. Sem a mitigação de CCF, a PFD efetiva pode se degradar por um fator de 3, colocando em risco a conformidade com o SIL.
Conclusão e recomendações de ação
A lógica de votação em um CLP de segurança HIMA integrado ao Yokogawa CENTUM oferece proteção robusta e certificada para SIL em unidades de processo críticas. No entanto, a arquitetura é tão forte quanto seu detalhe de projeto mais fraco. Falhas de causa comum, roteamento de cabos e disciplina nos testes de prova são as três áreas em que as equipes de campo mais frequentemente falham.
Recomendação de ação: Agende uma revisão da lógica de votação com sua equipe de engenharia de Sistemas Instrumentados de Segurança (SIS) ainda neste trimestre. Verifique se todos os canais de sensores 2oo3 estão fisicamente separados e conectados a fontes de alimentação separadas. Se algum canal compartilhar um eletroduto ou barramento de alimentação, registre uma pendência antes da próxima parada de manutenção.
