2oo3 glasanje koje sprečava lažna isključenja u Triconex i HIMA sigurnosnim petljama
Jedan neispravan transmiter ne mora nužno da izazove isključivanje kompresora, ali nijedan sistem glasanja ne garantuje takav ishod. Odgovarajući dizajn uspostavlja ravnotežu između smanjenja rizika, raspoloživosti, dijagnostike i kvarova sa zajedničkim uzrokom.
Zašto koristiti glasanje u sigurnosnoj instrumentisanoj funkciji?
Sigurnosna instrumentisana funkcija mora da reaguje kada proces dostigne opasno stanje, a da istovremeno izbegne nepotrebna isključenja tokom normalnog rada. Glasanje redundantnih senzora može pomoći u uspostavljanju te ravnoteže. Izbor treba da bude zasnovan na analizi opasnosti i SIL verifikaciji, a ne na praktičnom pravilu. Procenite verovatnoću otkaza na zahtev (PFDavg), učestalost lažnih isključenja, kvarove sa zajedničkim uzrokom, testiranje dokaza i pretpostavke o popravkama za kompletnu funkciju, uključujući senzore, logički solver i krajnje elemente.
Šta znače 1oo1, 1oo2, 2oo2 i 2oo3?
Oznaka znači da m od n kanala mora da zahteva isključenje. Konfiguracija 1oo1 ima jedan kanal. Konfiguracija 1oo2 izaziva isključenje kada bilo koji od dva kanala to zahteva; to može poboljšati detekciju opasnog stanja, ali može povećati broj nepotrebnih isključenja. Konfiguracija 2oo2 zahteva oba kanala, čime se smanjuje broj nekih nepotrebnih isključenja, ali se potencijalno povećava verovatnoća da isključenje izostane ako jedan kanal opasno otkaže. Konfiguracija 2oo3 izaziva isključenje kada najmanje dva od tri kanala glasaju za njega. Može tolerisati određene kvarove jednog kanala, ali performanse zavise od režima otkaza, dijagnostike i nezavisnosti.
Ne pretpostavljajte da će neispravan senzor automatski biti otkriven niti da će stvarni zahtev uvek biti registrovan. Utvrdite kako solver postupa sa nevažećim, zaglavljenim signalima i signalima van opsega, i definišite ponašanje u degradiranom režimu.
Da li je glasanje senzora 2oo3 isto što i TMR arhitektura kontrolera?
Ne. Glasanje 2oo3 između tri senzora na terenu i trostruko modularno redundantno procesiranje unutar logičkog solvera odnose se na različite delove sigurnosne funkcije. Sistem Triconex može koristiti redundantnu arhitekturu; proizvodi kao što su Triconex 8310 power module i Triconex 3708E input module primeri su povezane opreme, ali nisu dokaz da određena petlja postiže dati SIL. HIMA platforme se takođe razlikuju po modelima; HIMA HIMatrix F35 safety-related controller ne treba opisivati kao da ima istu internu arhitekturu kao svaka druga HIMA platforma.
Proverite tačan priručnik za bezbednost hardvera, sertifikovanu konfiguraciju, dijagnostičku pokrivenost i dokumentaciju životnog ciklusa bezbednosti pre nego što definišete platformu ili logiku glasanja. SIL 3 je postignuti rezultat verifikovane kompletne sigurnosne funkcije, a ne svojstvo koje se dobija samo zato što postoje tri procesora.
Šta može da onesposobi tri kanala koji deluju nezavisno?
Kvarovi sa zajedničkim uzrokom mogu istovremeno uticati na više senzora: zajednički impulsni vodovi, napajanje, izloženost uticajima okoline, greške kalibracije ili trase kablova. Pregledajte procesni priključak i instalaciju, kao i električno razdvajanje. Gde je to prikladno, koristite odvojene priključke i trase i procenite raznovrsnost, ali se uverite da svako merenje koje učestvuje u glasanju zaista detektuje istu procesnu opasnost; različita merenja ne treba kombinovati samo radi stvaranja raznovrsnosti.
Kako inženjeri treba da testiraju i održavaju petlju 2oo3?
Konfigurišite alarme za neslaganje kanala i obradu kvarova u skladu sa specifikacijom zahteva za bezbednost. Podesite tolerancije na osnovu procesa i tačnosti instrumenta, a ne prema generičkom procentu opsega. Testirajte svaki kanal i krajnji element u intervalu korišćenom u SIL proračunu, upravljajte premošćavanjima prema odobrenoj proceduri i evidentirajte svako isključenje i svaki događaj u degradiranom režimu. Potvrdite pretpostavke o sigurnom stanju i isključenju pri gubitku energije za stvarni krajnji element, umesto da pretpostavite da svaki gubitak napajanja daje željeni ishod.
Odakle treba početi pregled?
Počnite od sigurnosne funkcije sa velikim uticajem i njene odobrene studije opasnosti. Uporedite njenu konfiguraciju senzora, logiku, dijagnostiku, premošćavanja i zapise o testiranju dokaza sa specifikacijom zahteva za bezbednost i verifikovanim proračunom PFDavg. Zatim koristite istoriju isključenja da pronađete slabe kanale i odredite prioritete za korektivne mere, bez slabljenja zaštite.
Autor: Li Weiming je inženjer industrijske automatizacije sa više od 10 godina iskustva u PLC, DCS i upravljačkim sistemima.
