Процедура тестирования петель приборов для систем безопасности с SIL-рейтингом

Почему тесты SIL-контуров отличаются от стандартных проверок ввода в эксплуатацию

Стандартный тест контура подтверждает непрерывность сигнала и точность масштабирования. Тест SIL-контура выполняет всё это, а также проверяет, что функция безопасности активируется при правильном значении переменной процесса, корректно деактивируется после сброса и не оставляет скрытых неисправностей. Пункт 16.2 стандарта IEC 61511 требует документированного отчёта о состоянии «как найдено» и «как оставлено» для каждого SIL-оценённого контура на каждом интервале проверки. Отсутствие документации состояния «как найдено» до регулировки аннулирует проверку с точки зрения соответствия.

Для систем Allen-Bradley ControlLogix 1756-L85E откройте Studio 5000 и найдите Safety Task. Подтвердите, что тег логики функции безопасности соответствует SRS. Для систем Triconex T3000 откройте TriStation 1131 и проверьте логическую сеть, реализующую защитную функцию. Обе системы требуют обхода обслуживания перед любым физическим вмешательством. Подтвердите интервал проверки — контуры SIL 2 обычно требуют интервал проверки 2 года на основе расчётов PFDavg. Никогда не продлевайте интервал без документированного отклонения, одобренного инженером по функциональной безопасности.

Процедура обхода обслуживания и блокировки

• Шаг 1: В Allen-Bradley ControlLogix установите соответствующий бит обхода безопасности с помощью механизма Safety Bypass Request в Studio 5000. Не используйте принудительное включение. Принудительные действия в задаче безопасности обходят логику обнаружения проверки процессора безопасности. Бит обхода вызывает сигнал тревоги Safety Bypass Active в системе хранения данных.
• Шаг 2: В Triconex T3000 откройте TriStation 1131 и активируйте Режим обслуживания для канала, проходящего тест. Режим обслуживания устанавливает выход канала в заранее настроенное безопасное состояние. Светодиод на передней панели Tricon CX для соответствующего модуля меняет цвет с зелёного на янтарный. Зафиксируйте время начала в системе разрешения на работу.
• Шаг 3: Убедитесь, что логика голосования не вызывает ложного срабатывания. Для функции голосования 2 из 3 (2oo3) допустимо, чтобы один канал находился в обслуживании. Для функции 1 из 1 (1oo1) необходимо подтвердить блокировку активации конечного элемента на уровне исполнительного механизма клапана перед продолжением.
• Шаг 4: Подтвердите обход с оператором диспетчерской. Оператор должен подтвердить обход на панели SCADA и ввести свой идентификатор пользователя. Это создаёт аудиторский след, требуемый пунктом 11.9 IEC 61511.

Холодный тест контура: проверка инъекции сигнала и масштабирования

Холодное тестирование контура использует калибратор процесса для подачи сигналов без живой рабочей среды. Для контура датчика давления 4–20 мА подайте 4.000 мА, 12.000 мА и 20.000 мА на клеммную головку передатчика. Запишите необработанные значения DCS на каждом уровне.

Для аналоговых входных модулей Allen-Bradley ControlLogix 1756-IF16 ожидаемый диапазон необработанных значений — 0–32767. При 4 мА ожидаемое значение — 0 ±20 отсчётов (0,06% диапазона). При 20 мА — 32767 ±20 отсчётов. Смещение более 50 отсчётов требует перекалибровки модуля с помощью мастера калибровки аналоговых входов RSLogix 5000.

Для Triconex T3000 TRICON AI модулей разрешение аналогового входа 16-битное. При 4 мА канал AI показывает 0x0000. При 20 мА — 0x7FFF. Отклонение более 0x0050 (80 отсчётов) на любом тестовом уровне требует замены AI модуля — T3000 не поддерживает полевую перекалибровку усиления AI канала.

• Шаг 1: Подключите калибратор процесса параллельно проводке передатчика в распределительной коробке. Установите режим источника на 4.000 мА. Подождите 5 секунд для обновления DCS. Запишите отображаемое значение и необработанное значение DCS.
• Шаг 2: Увеличьте до 12.000 мА (50% диапазона). Проверьте, что отображение DCS составляет 50% ±0,5% от диапазона инженерных единиц. Запишите значения «как найдено».
• Шаг 3: Увеличьте до 20.000 мА (100% диапазона). Проверьте, что DCS показывает значение полного масштаба ±0,5%. Запишите значения «как найдено».
• Шаг 4: Введите 3.600 мА. Проверьте, что DCS поднимает сигнал тревоги «Обрыв провода низкого уровня» в течение 3 секунд. В Allen-Bradley ControlLogix порог обрыва провода для аналогового входа 4–20 мА настраивается на 3,6 мА в свойствах модуля Studio 5000.
• Шаг 5: Введите 21.000 мА. Проверьте, что DCS поднимает сигнал тревоги «Перегрузка по верхнему пределу» в течение 3 секунд. Порог перегрузки ControlLogix 1756-IF16 — 21,0 мА. Порог перегрузки модуля Triconex AI по умолчанию — 20,5 мА.
• Шаг 6: Запишите все данные «как найдено» в протокол теста контура. Если все значения соответствуют критериям приёмки, задокументируйте как «Как найдено = Как оставлено». Если есть отклонения, выполните регулировку и повторный тест. Задокументируйте оба значения — «как найдено» и «как оставлено» с подписью инженера.

Горячий тест контура: проверка активации функции безопасности

Горячее тестирование контура подтверждает, что функция безопасности активируется при правильной уставке переменной процесса. Этот тест проверяет полный контур SIS от датчика через логический контроллер до конечного элемента. Горячие тесты требуют живых рабочих условий или имитации процесса с использованием сертифицированного источника давления.

Сначала подтвердите, что конечный элемент (обычно ESD-клапан) находится в безопасном состоянии перед началом. Используйте индикатор положения исполнительного механизма для подтверждения. Не продолжайте, если обратная связь по положению клапана отличается от управляющего сигнала более чем на 5% хода.

Во-вторых, медленно увеличивайте подаваемый сигнал к уставке срабатывания функции безопасности. Для срабатывания высокого высокого давления, установленного на 95 бар, подавайте эквивалентный сигнал мА поэтапно: 18 мА (90%), 18,8 мА (94%), 19,0 мА (95%). Запишите точное значение мА, при котором активируется функция безопасности Triconex T3000 или Allen-Bradley ControlLogix. Точка активации должна находиться в пределах ±1% от уставки, указанной в SRS.

В-третьих, проверьте последовательность сброса. После активации уменьшите сигнал ниже порога сброса. Подтвердите, что функция безопасности не сбрасывается автоматически без явного действия оператора. Архитектура с фиксацией сброса обязательна для функций SIL 2 согласно пункту 11.6.4 IEC 61511. Самосбрасывающийся контур SIL 2 не проходит проверку, независимо от точности уставки.

Наконец, проверьте время отклика. Время отклика контура SIS от изменения входного сигнала датчика до полного хода конечного элемента не должно превышать указанное в SRS время безопасности процесса (PST). Используйте секундомер или регистратор SOE DCS с разрешением 1 мс. Время отклика цифрового выходного модуля Triconex TMR составляет 30 мс, плюс время сканирования задачи безопасности Allen-Bradley ControlLogix — 10 мс, оставляя 1960 мс на ход клапана при применении PST в 2 секунды.

Требования к документации и аудиту IEC 61511

Каждая проверка SIL генерирует три обязательных документа: Протокол теста контура (LTR), Сертификат проверки (PTC) и обновлённую Оценку функциональной безопасности (FSA). LTR фиксирует значения «как найдено» и «как оставлено», серийные номера тестового оборудования с сертификатами калибровки, имя тестировщика и подпись свидетеля. PTC подтверждает, что функция безопасности соответствовала всем критериям приёмки или документирует несоответствия с планами корректирующих действий. Обновление FSA пересчитывает PFDavg с учётом фактического покрытия проверки.

Распространённые недостатки аудита включают: отсутствие записей «как найдено» (тестировщик отрегулировал до записи), использование оборудования с просроченными сертификатами калибровки (максимум 12 месяцев), отсутствие подписи свидетеля для функций SIL 2 и выше, и непересчёт PFDavg после теста. Каждое из этих нарушений считается серьёзным несоответствием по критериям аудита TÜV Rheinland по функциональной безопасности.

Перед началом любой проверки SIL используйте контрольный список. Подтвердите: действительность калибровки оборудования, одобрение MOC, выдано разрешение на обход, подтверждены уставки SRS, проверен предыдущий LTR на известные недостатки. Пять минут предварительной проверки предотвращают часы исправления после аудита.

Заключение и рекомендации к действию

Тесты SIL-контуров приборов — это не формальность. Это основной механизм обнаружения скрытых неисправностей, накопившихся с момента последней проверки. Следуйте шестишаговой последовательности холодного теста для проверки масштабирования и обнаружения обрыва провода. Используйте горячий тест для подтверждения активации функции безопасности на уставке SRS с допуском ±1%. Проверьте поведение с фиксацией сброса и время отклика в соответствии с бюджетом времени безопасности процесса.

В Allen-Bradley ControlLogix используйте биты обхода безопасности, никогда не применяйте принудительные действия. В Triconex T3000 используйте Режим обслуживания с отметкой времени в системе разрешения на работу. Фиксируйте данные «как найдено» до любых регулировок. Выпускайте Сертификаты проверки с подписью инженера и документацией, соответствующей TÜV. Пересчитывайте PFDavg после каждого цикла проверки. Систематическое, документированное тестирование SIL-контуров — инженерная основа безопасности людей и технологического оборудования.

Автор: Ван Цзямин — инженер по промышленной автоматизации с более чем 10-летним опытом работы с ПЛК, DCS и системами управления.