Планирование тестирования SIL 3 и управление PFDavg для HIMA HIMatrix и ICS Triplex TMR

Практическое руководство IEC 61511 по планированию проверочных испытаний SIL 3, расчету PFDavg для архитектур HIMA HIMatrix F60 и ICS Triplex TMR, применению кредита частичных проверочных испытаний и ведению записей о соответствии в течение многолетних циклов остановок завода.

Требования SIL 3 и целевой диапазон PFDavg

Таблица 3 IEC 61511 определяет SIL 3 как диапазон PFDavg от 10⁻⁴ до 10⁻³. Это на порядок более строгий уровень, чем SIL 2. Для достижения SIL 3 требуется либо высокоизбыточная архитектура, либо очень короткий интервал проверочных испытаний. HIMA HIMatrix F60 с архитектурой 1oo2D достигает SIL 3 только при интервале проверочных испытаний не более 1 года и диагностическом покрытии свыше 99%.

ICS Triplex TMR достигает SIL 3 благодаря аппаратному голосованию 2oo3 с полной онлайн-диагностикой. Диагностическое покрытие Triplex TMR оценивается в 99,7% для внутренних отказов. В сочетании с двухлетним интервалом проверочных испытаний и опасной частотой отказов (λDU) 1,2×10⁻⁷/ч на канал, PFDavg рассчитывается примерно как 5,3×10⁻⁴. Это соответствует верхнему пределу SIL 3 в 10⁻³.

Однако PFDavg не является фиксированным значением. Оно увеличивается со временем по мере старения системы. Проводите ежегодный мониторинг расчета верификации SIL. Заменяйте устаревающие компоненты до того, как рост λDU приведет к превышению верхней границы PFDavg для SIL 3.

Расчет интервала проверочных испытаний для смешанных архитектур

Многие заводы используют комбинацию HIMA HIMatrix F60 для инициаторов и ICS Triplex TMR для исполнительных элементов. В этом случае рассчитывайте PFDavg для каждой подсистемы отдельно, затем суммируйте. Общий PFDavg SIF должен оставаться ниже 10⁻³.

Используйте формулу из приложения K IEC 61511-1 для архитектуры 1oo2D:

PFDavg (1oo2D) = (λDU × Ti)² / 3 + λDU × (1 – DC) × Ti / 2

Для HIMA HIMatrix F60 с λDU = 3×10⁻⁷/ч на канал, Ti = 8 760 ч (1 год) и DC = 0,99:

PFDavg = (3×10⁻⁷ × 8 760)² / 3 + 3×10⁻⁷ × 0,01 × 8 760 / 2 = 2,3×10⁻⁶ + 1,3×10⁻⁵ = 1,5×10⁻⁵

Это оставляет большой запас PFDavg для подсистемы исполнительных элементов ICS Triplex TMR. Однако не допускайте, чтобы какая-либо отдельная подсистема потребляла более 50% общего бюджета PFDavg для SIL 3. Такой подход обеспечивает запас для будущих изменений без нарушения верификации SIL.

Кредит частичных проверочных испытаний и влияние диагностического покрытия

Полное проверочное испытание проверяет все опасные режимы отказа. Частичное проверочное испытание проверяет только их часть. Пункт 16.2.6 IEC 61511 допускает кредит частичных проверочных испытаний при документированном коэффициенте частичного теста (PTF). HIMA SILworx определяет PTF для каждой процедуры тестирования. Стандартная проверка диагностики канала во время работы соответствует PTF = 0,3–0,5 в зависимости от покрытия режимов отказа.

Для ICS Triplex TMR онлайн самотестирование покрывает примерно 85% опасных режимов отказа. Это означает, что ежегодное проверочное испытание должно охватывать только оставшиеся 15%. Это сокращает продолжительность проверочного испытания с 8 часов до примерно 1,5 часов на SIF. Применяйте этот кредит в инструменте верификации SIL, вводя PTF = 0,85 для вклада онлайн-диагностики и PTF = 0,15 для дополнения ручного проверочного испытания.

Кроме того, кредит диагностического покрытия требует подтверждающих данных. HIMA HIMatrix SILworx записывает результаты диагностических тестов во внутренний журнал событий. Экспортируйте этот журнал ежемесячно и архивируйте в системе CMMS. Диагностический статус контроллера ICS Triplex доступен через регистр Modbus TCP 41001 (битовая карта, 16 категорий отказов). Записывайте этот регистр ежедневно через OPC DA историк. Эти архивные данные служат доказательством документации проверочных испытаний согласно пункту 16.2.5 IEC 61511 при аудитах.

Пятишаговая документация записей проверочных испытаний

Пункт 16.3 IEC 61511 требует, чтобы записи проверочных испытаний включали определённые поля данных. Отсутствие полей аннулирует кредит испытания. Следуйте этой процедуре документации для каждого проверочного испытания SIL 3 SIF:

• Шаг 1: Запишите исходное состояние до начала теста. Для каждого канала HIMA HIMatrix F60 отметьте состояние светодиодов (зелёный/янтарный/красный) и диагностический сводный байт SILworx. Для каждого выхода ICS Triplex TMR отметьте состояние реле и значение регистра Modbus 41001.
• Шаг 2: Выполните последовательность теста согласно утверждённой процедуре проверочного испытания. Запишите время каждого шага с синхронизированным часами. Используйте эталон NTP завода (stratum 1) для всех отметок времени. Не используйте локальное время ПК — дрейф часов превышает разрешение 1 с, необходимое для проверки времени отклика SIF.
• Шаг 3: Запишите измеренное время отклика от подачи входного сигнала до активации исполнительного элемента. Сравните с требованием по времени отклика SIF в спецификации требований безопасности (SRS). Допустимое отклонение ±10% от требуемого времени отклика.
• Шаг 4: Запишите состояние после завершения теста. Подтвердите восстановление нормального режима работы систем HIMA и ICS Triplex. Убедитесь, что SILworx не показывает зафиксированных диагностических ошибок. Подтвердите, что регистр Modbus 41001 Triplex TMR равен 0x0000 (отсутствие активных ошибок).
• Шаг 5: Обновите расчет верификации SIL с новой датой проверочного испытания. Пересчитайте PFDavg для следующего интервала проверочных испытаний. Если PFDavg приближается к 20% от верхнего предела SIL 3, отметьте SIF для досрочного повторного тестирования или пересмотра архитектуры. Архивируйте завершённую запись теста в CMMS с электронной подписью согласно требованиям целостности записей IEC 62443-2-1.

Заключение и рекомендации к действию

Соответствие SIL 3 для систем HIMA HIMatrix и ICS Triplex TMR зависит от строгого планирования проверочных испытаний и точного отслеживания PFDavg. Рассчитывайте PFDavg для каждой подсистемы отдельно. Поддерживайте вклад каждой подсистемы ниже 50% от общего бюджета SIL 3. Применяйте кредит частичных проверочных испытаний только при наличии подтверждающих данных диагностического покрытия, архивируемых в CMMS. Документируйте каждое исходное и конечное состояние с отметками времени, синхронизированными по NTP. Обновляйте верификацию SIL ежегодно. Отмечайте любые SIF, где PFDavg приближается к 80% от верхнего предела SIL 3. Эти практики обеспечивают сохранение целостности SIL 3 на протяжении всего жизненного цикла завода.

Автор: Чен Хао — инженер по промышленной автоматизации с более чем 10-летним опытом работы с ПЛК, ДСК и системами управления.