2oo3-голосование, предотвращающее ложные отключения в системах безопасности Triconex и HIMA
Один неисправный преобразователь не обязательно должен приводить к остановке компрессора, но ни одна схема голосования не гарантирует такой результат. Правильная конструкция обеспечивает баланс между снижением риска, доступностью, диагностикой и отказами по общей причине.
Зачем использовать голосование в функции безопасности?
Функция безопасности должна срабатывать, когда процесс достигает опасного состояния, и при этом избегать ненужных отключений во время нормальной работы. Избыточное голосование датчиков помогает сбалансировать эти цели. Выбор должен основываться на анализе опасностей и проверке SIL, а не на эмпирическом правиле. Оценивайте среднюю вероятность отказа по требованию (PFDavg), частоту ложных отключений, отказы по общей причине, периодичность контрольных испытаний и допущения по ремонту для всей функции, включая датчики, логический решатель и конечные элементы.
Что означают 1oo1, 1oo2, 2oo2 и 2oo3?
Обозначение означает, что для подачи команды на отключение должны проголосовать m из n каналов. Схема 1oo1 имеет один канал. Схема 1oo2 инициирует отключение, когда этого требует любой из двух каналов; это может улучшить обнаружение опасного состояния, но увеличить число ложных отключений. Схема 2oo2 требует этого от обоих каналов, уменьшая некоторые ложные отключения, но потенциально повышая вероятность пропуска отключения при опасном отказе одного канала. Схема 2oo3 инициирует отключение, когда за него голосуют как минимум два из трех каналов. Она может выдерживать определенные отказы одного канала, но результат зависит от режимов отказа, диагностики и независимости.
Не следует считать, что отказавший датчик автоматически обнаруживается или что реальное требование всегда будет зафиксировано. Определите, как решатель обрабатывает недействительные, зафиксированные и выходящие за диапазон сигналы, и задайте поведение в деградированном режиме.
То же ли самое голосование датчиков 2oo3, что и архитектура контроллера TMR?
Нет. Голосование 2oo3 для трех полевых датчиков и троированная модульно-резервированная обработка внутри логического решателя относятся к разным частям функции безопасности. Система Triconex может использовать резервированную архитектуру; такие изделия, как силовой модуль Triconex 8310 и входной модуль Triconex 3708E, являются примерами соответствующего оборудования, но не доказывают, что конкретный контур обеспечивает определенный SIL. Платформы HIMA также различаются в зависимости от модели; контроллер безопасности HIMA HIMatrix F35 не следует описывать как имеющий ту же внутреннюю архитектуру, что и любая другая платформа HIMA.
Перед выбором платформы или логики голосования проверьте точное руководство по функциональной безопасности оборудования, сертифицированную конфигурацию, диагностический охват и документацию по жизненному циклу безопасности. SIL 3 - это достигнутый результат проверки полной функции безопасности, а не свойство, автоматически обеспечиваемое тремя процессорами.
Что может вывести из строя три внешне независимых канала?
Отказы по общей причине могут одновременно повлиять на несколько датчиков: общие импульсные линии, электропитание, воздействие окружающей среды, ошибки калибровки или общие кабельные трассы. Проверяйте технологическое присоединение и монтаж, а также электрическое разделение. При необходимости используйте раздельные точки отбора и трассы и оценивайте разнообразие, но убедитесь, что каждое измерение, участвующее в голосовании, действительно обнаруживает одну и ту же технологическую опасность; разные по сути измерения не следует объединять лишь для создания разнообразия.
Как инженерам следует испытывать и обслуживать контур 2oo3?
Настройте аварийные сигналы расхождения каналов и обработку отказов в соответствии с требованиями к безопасности. Устанавливайте допуски на основе параметров процесса и точности приборов, а не универсального процента диапазона. Проводите контрольные испытания каждого канала и конечного элемента с интервалом, использованным в расчете SIL, управляйте обходами по утвержденной процедуре и регистрируйте каждое отключение и событие в деградированном режиме. Подтвердите допущения о безопасном состоянии и отключении при снятии питания для фактического конечного элемента, а не исходите из того, что любое отключение питания приводит к требуемому результату.
С чего следует начать проверку?
Начните с важной для безопасности функции и утвержденного исследования опасностей. Сопоставьте схему датчиков, логику, диагностику, обходы и записи контрольных испытаний с требованиями к безопасности и подтвержденным расчетом PFDavg. Затем используйте историю отключений, чтобы выявить слабые каналы и расставить приоритеты для исправлений, не ослабляя защиту.
Автор: Ли Вэймин - инженер по промышленной автоматизации с более чем 10-летним опытом работы с ПЛК, DCS и системами управления.
