HIMA Safety PLC и Yokogawa CENTUM: реализация логики голосования 1oo2 и 2oo3 в SIS

Что такое логика голосования в системах безопасности?

Логика голосования определяет, как датчики и исполнительные элементы реагируют, когда измерения расходятся. В архитектуре 1oo2 (один из двух) любой из двух датчиков может инициировать отключение. В архитектуре 2oo3 (два из трех) перед инициированием отключения должны совпасть показания как минимум двух из трех датчиков.

Контроллер безопасности HIMA Prizm и DCS Yokogawa CENTUM часто применяются совместно на электростанциях с комбинированным циклом и в установках термообработки сырья на нефтеперерабатывающих заводах. HIMA отвечает за уровень SIS. Yokogawa CENTUM управляет уровнем BPCS и предоставляет операторский интерфейс через интеграцию ProSafe-RS. Модуль ЦПУ HIMA F8640 — проверенная аппаратная платформа для высокодоступных архитектур SIS.

Требования IEC 61511 к архитектурам голосования

Стандарт IEC 61511 определяет архитектурные ограничения для функций безопасности (SIF). Аппаратная отказоустойчивость (HFT) каждого канала должна соответствовать целевому уровню SIL. Для SIL 2 значение HFT = 1 требует минимум 2 каналов (1oo2). Для SIL 3 значение HFT = 2 требует минимум 3 каналов (2oo3) или двух подсистем 1oo2, соединенных параллельно.

Кроме того, PFD (вероятность отказа при востребовании) должна рассчитываться для полного контура голосования. Это включает преобразователи, обработку в Safety PLC и исполнительные элементы. Упрощенная формула PFD для голосования 1oo2:

PFD₁oo₂ = 2 × λ_DU² × TI² / 3 + λ_DU × MTTR

Где λ_DU — интенсивность опасных необнаруженных отказов, TI — интервал функциональной проверки (обычно 1 год), а MTTR — среднее время восстановления.

Пошаговая настройка голосования 2oo3 на Safety PLC HIMA

Ниже приведена практическая процедура настройки отключения по давлению 2oo3 на контроллере HIMA Prizm, подключенном к трем преобразователям давления по протоколу HART:

• Шаг 1 — Назначьте каналы преобразователей. Подключите три преобразователя 4–20 мА HART к модулям аналоговых входов HIMA (например, HIQUAD 4AI). Назначьте адреса каналов PT-101-A, PT-101-B, PT-101-C в HIMA Engineering Studio.
• Шаг 2 — Настройте блок голосования. Вставьте функциональный блок голосования 2oo3 в логику Safety PLC. Задайте входные теги PT-101-A, PT-101-B, PT-101-C. Установите уставку отключения 150 psi. Установите тип голосования «2oo3 MAJORITY».
• Шаг 3 — Настройте связь HART. Включите протокол HART для каждого канала аналогового входа. Настройте первичную переменную (PV) для измерения давления в psi. Установите период обновления 100 мс для быстрого отклика контура безопасности.
• Шаг 4 — Запрограммируйте выход отключения. Направьте выход блока голосования на модуль дискретных выходов, управляющий электромагнитным клапаном EBV. Выход должен обесточиваться (отключение), если давление, определенное голосованием, превышает 150 psi более 500 мс (время подавления дребезга). Модуль дискретных выходов (DO) Yokogawa ADV559-P01 подходит для подключения исполнительного элемента со стороны CENTUM в гибридных архитектурах SIS-BPCS.
• Шаг 5 — Интегрируйте систему с Yokogawa CENTUM. Используйте интерфейс Modbus TCP для передачи статуса отключения по голосованию на операторскую станцию Yokogawa CENTUM. Убедитесь, что аварийный сигнал SIS отображается на графическом экране CENTUM в течение 1 секунды после возникновения условия отключения. Дублированный блок управления полевыми устройствами Yokogawa CENTUM VP AFV10D-S41201 обеспечивает резервную основу FCU для надежной работы шлюза Modbus TCP.

Распространенные ошибки при проектировании голосования SIS (ISA-84 / IEC 61511)

Опыт эксплуатации по стандартам ISA-84 и IEC 61511 выявляет несколько регулярно повторяющихся ошибок проектирования. Во-первых, использование датчиков одного производителя во всех трех каналах голосования создает отказ по общей причине. Если в прошивке датчика есть ошибка, все три канала выйдут из строя одновременно. Поэтому для обеспечения разнообразия следует использовать датчики двух разных производителей.

Во-вторых, прокладка всех трех кабелей датчиков в одном кабелепроводе приводит к отказу по общей моде. Повреждение этого кабелепровода из-за пролива или пожара нарушит резервирование. Прокладывайте кабели на отдельных кабельных лотках с физическим разделением не менее 300 мм.

В-третьих, отказ от ежегодных функциональных проверок делает расчет PFD недействительным. Если интервал функциональной проверки (TI) увеличен с 1 года до 3 лет без перерасчета PFD, система может больше не соответствовать целевому уровню SIL.

Отказ по общей причине в архитектурах 2oo3

Отказ по общей причине (CCF) является основной уязвимостью архитектур голосования. CCF возникает, когда одно событие одновременно нарушает работу нескольких каналов. Типичными инициаторами CCF являются температура, влажность, вибрация и электромагнитные помехи.

Для снижения риска CCF применяйте следующие практические меры. Во-первых, устанавливайте датчики в отдельных корпусах или физически разнесенных местах на технологическом аппарате. Во-вторых, используйте отдельные источники питания для каждого канала аналогового входа. Модуль источника питания переменного тока Yokogawa SPW481 поддерживает выделенное распределение питания по каналам в шкафах ввода-вывода CENTUM. В-третьих, проводите ежегодные аудиты разнообразия. Убедитесь, что в трех датчиках используются разные версии прошивки или разные аппаратные ревизии.

При правильном проектировании системы 2oo3 ее PFD остается ниже 0,001 (SIL 3) даже с учетом коэффициента CCF 5%. Без мер по снижению CCF эффективный PFD может ухудшиться в 3 раза, что создает риск несоответствия SIL.

Заключение и рекомендации по действиям

Логика голосования в Safety PLC HIMA, интегрированном с Yokogawa CENTUM, обеспечивает надежную защиту критически важных технологических установок с сертификацией SIL. Однако надежность архитектуры определяется ее самым слабым элементом. Отказ по общей причине, прокладка кабелей и дисциплина проведения функциональных проверок — три области, в которых эксплуатационные команды чаще всего допускают недостатки.

Рекомендация: Запланируйте в этом квартале проверку логики голосования совместно с инженерной командой системы безопасности (SIS). Убедитесь, что все каналы датчиков 2oo3 физически разнесены и подключены к отдельным источникам питания. Если какой-либо канал использует общий кабелепровод или общую силовую шину, внесите соответствующий пункт в перечень замечаний до следующего капитального ремонта.