Тест проверки защиты от избыточного давления SIL 2: HIMA HIMatrix F35 и Woodward ProTech TPS

Почему испытания на избыточное давление SIF не проходят аудит

Защита от избыточного давления — самая распространённая функция безопасности (Safety Instrumented Function, SIF) на технологических установках. Однако именно она вызывает наибольшее количество замечаний при аудите. Инженеры проверяют передатчик давления, но пропускают проверку выходного реле логического контроллера. Они фиксируют время срабатывания PST, но не измеряют усилие открытия. Тест проводят за 45 минут, но три пункта остаются без документации. Аудиторы отклоняют запись как неполную.

В этой статье рассматривается полный испытательный тест для схемы с двумя из трёх (2oo3) передатчиков давления, подключённых к логическому контроллеру HIMA HIMatrix F35, с сравнением системы защиты от превышения скорости Woodward ProTech TPS. Обе системы рассчитаны на SIL 2 с PFDavg в диапазоне от 1×10⁻³ до 1×10⁻².

Сначала подтвердите предположение о покрытии испытания (Proof Test Coverage, PTC), использованное в исходном расчёте SIL. Большинство расчётов SIL предполагают 90% PTC для полного испытания. Частичное испытание (только PST, без полного хода клапана) достигает лишь 50–60% PTC. Предположение о 90% PTC при фактическом 60% снижает функцию SIL 2 до SIL 1 — нарушение требований с юридическими последствиями.

Процедура испытания логического контроллера HIMA HIMatrix F35

HIMatrix F35 использует архитектуру TMR (тройное модульное резервирование) для входов/выходов. Каждый канал аналогового входа (AI) считывает данные независимо и голосует внутри системы. Испытание проверяет все три сигнальных пути, а не только один канал. Аналоговый модуль ввода-вывода F3 AIO 8/4 01 обрабатывает входы передатчиков давления.

• Шаг 1: Включите режим испытания Proof Test в HIMatrix SILworx через инженерную станцию SILworx (версия 6.4 или новее). Перейдите в Система → Безопасность → Менеджер испытаний. Установите ID SIF для целевой функции защиты от избыточного давления.
• Шаг 2: Введите тестовый сигнал 4,00 мА (соответствует 0% диапазона = 0 барг) на каждый вход AI с помощью калибратора Fluke 707. Проверьте, что HIMatrix отображает 0,0 барг ±0,2% на всех трёх каналах через SILworx Online Monitor.
• Шаг 3: Увеличьте сигнал до 20,0 мА (100% диапазона = полное давление). Проверьте, что HIMatrix показывает полное давление с точностью ±0,2% на всех трёх каналах.
• Шаг 4: Введите сигнал срабатывания 21,0 мА (105% диапазона — имитация высокого высокого давления передатчика). Подтвердите, что логика HIMatrix выдаёт команду Safety Output (SO) в течение 200 мс согласно требованиям SRS.
• Шаг 5: Проверьте выходной канал DO на электромагнитном клапане ESD. Измерьте напряжение на клеммах соленоида: подтвердите 0 В постоянного тока в течение 250 мс после активации SO. Запишите отметку времени из журнала событий SILworx.
• Шаг 6: Проверьте самодиагностику HIMatrix. Искусственно вызовите отказ одного канала AI (отключите вход канала 1). Убедитесь, что HIMatrix выдаёт сигнал тревоги «Channel 1 Diagnostics Fault», но НЕ отключает SIF (голосование 2oo3 деградирует до 1oo2 — правильное поведение). Подключите канал 1 обратно и проверьте восстановление.
• Шаг 7: Проверьте функцию обхода. Активируйте обход обслуживания через SILworx Bypass Manager. Убедитесь, что HIMatrix отправляет сигнал тревоги «SIF Bypassed» в DCS через регистр Modbus TCP 40010 бит 3. Обход автоматически отменяется через 8 часов (настраивается параметром P_BYPASS_TIMEOUT).

Запишите все отметки времени, измеренные значения и результаты «пройдено/не пройдено» в форму отчёта Proof Test. Стандарт IEC 61511, пункт 16.2.5, требует: дату теста, личность тестировщика, метод тестирования, измеренное время отклика, сравнение с требованиями SRS и подпись. Цифровой модуль F3 DIO 16/8 01 управляет цифровыми выходами, приводящими в действие соленоиды клапанов ESD.

Частичное испытание хода клапана ESD и проверка полного хода

Клапан ESD — самый уязвимый элемент в SIF защиты от избыточного давления. Протечки седла клапана и отказ пружины привода невозможно обнаружить без физического теста хода. Частичное испытание хода (PST) выявляет 50–70% опасных скрытых отказов. Полное испытание хода (FST) обнаруживает более 90%.

Установите ход PST на 15% от полного хода для нормально открытого клапана с отказом в безопасное положение. Ход менее 10% пропускает заедания штока. Ход более 20% может вызвать нарушение процесса при работе установки.

• Шаг 1: Подтвердите, что процесс может выдержать закрытие клапана на 15%. Согласуйте с операторами. Оформите разрешение на испытание.
• Шаг 2: Запустите PST с лицевой панели DCS. Запишите время начала в журнале событий SILworx.
• Шаг 3: Контролируйте обратную связь по ходу клапана (4–20 мА от позиционера). Убедитесь, что ход достиг 15% в течение 5 секунд. Клапан должен вернуться в положение 100% открыто в течение 10 секунд после завершения PST.
• Шаг 4: Запишите давление питания PST на приводе (минимум 5,5 барг для пружинного привода). Значения ниже 5,0 барг указывают на утечку аккумулятора или дрейф регулятора питания.
• Шаг 5: Для FST (только при остановке) полностью обесточьте соленоид срабатывания. Подтвердите полное закрытие в течение 3 секунд согласно требованиям SRS. Измерьте протечку седла методом определения скорости падения давления на входе. Протечка выше 0,1% от номинального расхода Cv считается отказом.

Проверяйте сопротивление катушки соленоида при каждом испытании. Стандартная катушка 24 В постоянного тока имеет сопротивление 30–70 Ом при 20°C. Значения вне этого диапазона указывают на деградацию катушки. Заменяйте катушки соленоидов каждые 10 лет или раньше, независимо от результатов электрических тестов.

Сравнение Woodward ProTech TPS: превышение скорости как аналог избыточного давления

Woodward ProTech TPS (тройной датчик приближения) защищает газовые турбины от превышения скорости. Архитектура аналогична SIF защиты от избыточного давления: три датчика подают сигнал на реле с голосованием 2oo3. Система Woodward 8200-205 реализует идентичную логику голосования.

ProTech TPS принимает магнитные датчики приближения (MPU) с номинальным выходом 0,5–50 В переменного тока в диапазоне скоростей. Установите уставку срабатывания превышения скорости на 110% от номинальной. Значение уставки сохраняется в энергонезависимой EEPROM. Задокументируйте значение уставки и версию прошивки в отчёте испытания.

• Вводите имитированный сигнал скорости от тестера Woodward ProTech на каждый вход MPU. Увеличьте частоту до 110% от номинальной скорости (например, 1200 Гц для машины с 3000 об/мин и 24-зубчатым колесом).
• Проверьте, что выход реле отключается в течение 50 мс (техническое требование по времени отклика).
• Проверьте все три канала MPU независимо. Убедитесь в логике 2oo3: один канал выше уставки вызывает тревогу, но не срабатывание; два канала выше уставки вызывают срабатывание.
• Запишите состояние контактов реле (нормально замкнутый контакт открывается при срабатывании) с помощью цифрового мультиметра во время теста.

Ресурс контактов реле ProTech TPS рассчитан на 100 000 операций. Проверьте счётчик операций (Меню → Диагностика → Счётчик реле). Заменяйте реле проактивно при 80 000 операциях. Отказ реле в системе 2oo3 приводит к деградации до 1oo2 и значительному изменению PFDavg.

Пересчёт PFDavg и документация для аудита

После каждого испытания обновляйте расчёт PFDavg. Этот шаг обязателен по IEC 61511 пункт 16.2.5, но чаще всего пропускается на практике.

Используйте упрощённую формулу IEC 61511 для схемы 2oo3:

PFDavg (2oo3) = λDU² × Ti²

где λDU — частота опасных невыявленных отказов в час (например, 5×10⁻⁸ /ч для передатчика Rosemount 3051), Ti — интервал испытаний в часах. Для интервала 12 месяцев (8760 часов): PFDavg = (5×10⁻⁸)² × (8760)² = 1,9×10⁻⁷. Добавьте PFDavg логического контроллера HIMatrix F35 (примерно 3×10⁻⁵) и PFDavg клапана ESD (примерно 1×10⁻³ для клапана с полным ходом). Общий PFDavg SIF ≈ 1,03×10⁻³ — на грани SIL 2.

Если любое испытание показывает покрытие менее 90%, или если PST клапана не пройден и FST отложен, пересчитайте с учётом уменьшенного коэффициента покрытия. PFDavg выше 1×10⁻² требует немедленных корректирующих действий и уведомления органов промышленной безопасности.

Соберите полный пакет документов испытания: номер редакции процедуры, записи калибровки «как найдено» и «как оставлено» для каждого передатчика, экспорт журнала событий SILworx (PDF), записи PST и FST клапана, лист пересчёта PFDavg и подписи тестировщиков. Храните документы в течение всего срока службы SIF плюс минимум 5 лет.

Заключение и рекомендации к действию

Испытания на избыточное давление SIL 2 не проходят аудит по двум причинам: неполное покрытие всех элементов SIF и отсутствие пересчёта PFDavg после теста. Калибровка передатчика без проверки выходного сигнала логического контроллера — это не испытание, а просто калибровка. Используйте HIMatrix SILworx Proof Test Manager для обеспечения структурированной последовательности тестов и автоматической генерации отчёта.

Для клапана ESD никогда не принимайте только PST как замену полного испытания. Планируйте FST при каждой плановой остановке — протечка седла клапана выше 0,1% от номинального расхода Cv — критический дефект, который PST не выявляет. Для защиты от превышения скорости ProTech TPS контролируйте счётчик операций реле и меняйте реле при 80 000 операциях. Поддерживайте общий PFDavg SIF ниже 5×10⁻³ для 100% запаса безопасности в пределах SIL 2. Документируйте всё — аудиторы сначала требуют записи, а уже потом оборудование.