Configuração do HIMA Sigma S6: criando uma lógica de segurança SIL 3 do zero

Visão geral da arquitetura do HIMA Sigma S6

O HIMA Sigma S6 é um controlador de segurança modular projetado para aplicações de segurança de processos de alta disponibilidade. O sistema utiliza uma arquitetura de votação 2oo3 (dois de três) para entradas críticas e uma arquitetura 1oo2D (um de dois com diagnósticos) para funções de segurança padrão. O chassi S6 suporta até 16 módulos de E/S por rack e se comunica via PROFIsafe pela infraestrutura PROFINET padrão.

Neste guia, configuramos um HIMA S6 para um sistema de gerenciamento de queimadores (BMS) em uma planta de turbina a gás de 40 MW. O BMS deve atingir SIL 2 conforme a IEC 61511. O exemplo também aborda a integração de transmissores HART por meio do módulo de entrada analógica HIMA HI 645.

Engenharia do HMI Brenview: configuração do projeto

Primeiro, inicie o Brenview HMI versão 6.0 e crie um novo projeto de BMS. Selecione o HIMA S6 como controlador de destino. Defina a estrutura das zonas de segurança. O HIMA S6 organiza a lógica em Blocos de Função (FBs). Os blocos comuns incluem F-Shutdown, F-Motor, F-Valve e F-Analog.

Em seguida, atribua os endereços físicos de E/S. Cada módulo de E/S tem um endereço exclusivo de rack e slot. O módulo de entrada digital HI 621 ocupa os slots 01–04. O módulo de saída analógica HI 641 ocupa os slots 11–14. Mapeie cada nome de tag para seu endereço físico na tabela de atribuição de E/S.

Programação da lógica F-Shutdown no HIMA Sigma S6

O bloco de função F-Shutdown é o núcleo de qualquer programa de segurança HIMA. Primeiro, configure as entradas de disparo. Em um BMS de turbina a gás, o bloco F-Shutdown monitora falha de chama, vibração excessiva, baixa pressão do óleo e sobrevelocidade. Cada entrada é um sinal votado 2oo3 proveniente de transmissores redundantes.

Em seguida, configure a resposta de desligamento. Defina o bloco F-Shutdown para energização para disparo (ETT). Isso significa que a válvula é mantida aberta por uma bobina energizada de 24 V CC. Em um disparo de segurança, a bobina é desenergizada e a válvula de combustível fecha. Esse projeto à prova de falhas garante que uma perda de energia acione um estado seguro, o que é exigido para aplicações SIL 3.

Etapa 1: Arraste o FB F-Shutdown da biblioteca do Brenview para a área de desenho do gráfico de funções.

Etapa 2: Clique duas vezes no FB e configure a estrutura de votação: 2oo3 para disparos críticos, 1oo2D para disparos não críticos.

Etapa 3: Defina o intervalo do teste de prova como 8760 horas (anual), conforme a SRS para a classificação SIL 2.

Etapa 4: Conecte as entradas digitais do módulo HI 621 aos terminais IN1, IN2 e IN3 do F-Shutdown.

Etapa 5: Conecte o terminal OUT do F-Shutdown ao canal de saída analógica HI 641 que controla o posicionador da válvula de combustível.

Etapa 6: Baixe o programa de segurança compilado para o controlador S6 e execute um teste de simulação forçada.

Comunicação PROFIsafe com o controlador ABB AC 800M

O HIMA S6 pode se comunicar com o DCS da planta por meio do PROFIsafe. Neste exemplo, o S6 troca comandos de disparo com um ABB AC 800M por meio de um backplane PROFINET. Primeiro, configure os parâmetros do F-Host HIMA no catálogo de hardware do Brenview. Defina o F-Address do PROFIsafe para corresponder ao endereço do módulo de segurança do ABB AC 800M. Em seguida, defina as áreas de troca de dados do consumidor e do produtor. O S6 envia uma palavra de status de segurança de 16 bits ao DCS, e o DCS envia uma palavra de comando de disparo de 16 bits ao S6.

Além disso, configure o conjunto de F-Parameters no assistente PROFIsafe do Brenview. Os principais parâmetros incluem F_Source_Add (endereço do HIMA S6), F_Dest_Add (endereço do ABB AC 800M), F_WD_Time (tempo limite do watchdog, normalmente 100 ms) e F_DataRate (250 kbps para PROFIsafe V2). Um tempo limite do watchdog aciona um estado seguro no controlador HIMA, que é o comportamento esperado em um cenário de perda de comunicação.

Validação SIL 3 e documentação do teste de prova

Após concluir a configuração, os engenheiros devem realizar um teste completo de validação funcional conforme os requisitos da IEC 61511. Primeiro, execute um teste de injeção de falha de canal único. Force cada canal de entrada para um estado de falha e verifique se a saída votada 2oo3 segue a lógica de disparo esperada. Registre o tempo de resposta ao disparo. O HIMA Sigma S6 alcança um tempo de resposta ao disparo inferior a 50 ms para entradas digitais.

Em seguida, realize uma verificação de calibração de ponta a ponta nos canais dos transmissores HART. Use um comunicador HART para injetar um sinal de 4 mA e de 20 mA. Verifique se o módulo HIMA HI 645 correspondente lê 0% e 100% das unidades de engenharia. Terceiro, documente todos os resultados da validação no Relatório de Validação de Segurança (SVR). O SVR deve incluir a data do teste, o nome do engenheiro de testes, os certificados de calibração dos equipamentos de teste e os critérios de aprovação/reprovação de cada caso de teste.

Conclusão e recomendações de ações

O HIMA Sigma S6 oferece uma plataforma robusta, capaz de SIL 3, para aplicações de segurança de processos. O software de configuração Brenview simplifica a programação da lógica F-Shutdown e a atribuição de E/S. Os engenheiros devem sempre seguir os requisitos do ciclo de vida da IEC 61511 durante as fases de FAT e SAT. Para projetos greenfield, considere o HIMA S6 com HMI Brenview integrado para reduzir a complexidade das interfaces e melhorar a visibilidade dos diagnósticos do sistema em toda a planta.

Autor: Li Ming é engenheiro sênior de sistemas de controle, com 10 anos de experiência em sistemas instrumentados de segurança, sistemas de gerenciamento de queimadores e sistemas de proteção de turbinas para geração de energia e instalações de petróleo e gás na China e no Oriente Médio.