Priprema za IEC 61511 reviziju funkcionalne bezbednosti: Izgradnja opravdanog paketa dokaza za Invensys Triconex sigurnosne instrumentovane sisteme

Šta revizori zapravo traže

Funkcionalna bezbednosna revizija prema IEC 61511 nije samo pregled dokumenata — to je analiza razlika između vaše specifikacije bezbednosnih zahteva (SRS) i sistema kako je izgrađen i održavan. Revizori prvo ispituju tri stvari: potpunost bezbednosnog slučaja, integritet zapisa o dokaznim testovima i validnost tvrdnje o SIL nivou. Za instalaciju Invensys Triconex T3000 ili Tricon CX, paket dokaza mora pokazati da je SIS dizajniran, instaliran i održavan u skladu sa SRS-om. Nedostaci u bilo kojoj od ovih oblasti mogu sniziti efektivni SIL sa SIL 2 na SIL 1 — ili, u ozbiljnim slučajevima, potpuno poništiti bezbednosni slučaj.

Prvo, sastavite kompletan SRS dokument uključujući sve opise bezbednosnih instrumentisanih funkcija (SIF), SIL ciljeve i stope zahteva procesa. Drugo, potvrdite da sve konfiguracije TriStation 1131 projekta odgovaraju SRS-u — arhitektura, logika glasanja, logika zaobilaženja i dijagnostički pokrivenost. Treće, proverite da li su zapisi o dokaznim testovima potpisani, datirani i da sadrže vreme odziva kako je pronađeno — ne samo potvrdu prolaza/neuspeha.

Preračunavanje PFDavg i verifikacija SIL-a

Verovatnoća kvara na zahtev (prosečna) — PFDavg — kvantifikuje pouzdanost SIS-a tokom intervala dokaznog testa. SIL 2 zahteva PFDavg između 1×10⁻³ i 1×10⁻². Triconex T3000 TMR arhitektura sa 2oo3 logikom glasanja postiže niske vrednosti PFDavg zahvaljujući visokom dijagnostičkom pokrivenju (DC ≥ 99%) i ugrađenoj redundanciji. Međutim, objavljeni PFDavg iz Triconex FMEDA izveštaja pretpostavlja specifične intervale dokaznih testova i uslove rada.

Preračunajte PFDavg za svaki SIF koristeći pojednostavljenu formulu za 1oo1 podsistem: PFDavg = λDU × Ti / 2, gde je λDU stopa opasnih neotkrivenih kvarova, a Ti interval dokaznog testa u satima. Za Triconex T3000 sa λDU = 2.3×10⁻⁷ po satu (iz Triconex FMEDA Rev 4) i Ti = 8760 sati (godišnji test): PFDavg = 2.3×10⁻⁷ × 8760 / 2 = 1.0×10⁻³. Ovo je tačno na donjoj granici SIL 2 — bez margine. Smanjenjem Ti na 4380 sati (polugodišnji test) PFDavg se smanjuje na 5.0×10⁻⁴, što SIF smešta udobno u SIL 2 opseg.

Završni element (ESD ventil ili uređaj za zaustavljanje) često dominira SIF PFDavg, a ne Triconex logički procesor. Tipičan solenoidni ventil sa λDU = 5×10⁻⁷ po satu i Ti = 8760 sati doprinosi PFDavg = 2.2×10⁻³ — što samo po sebi troši SIL 2 budžet. Delimično testiranje hoda (PST) na intervalima od 3 meseca smanjuje ovaj doprinos na 5.5×10⁻⁴ i vraća značajnu marginu PFDavg.

Ispravljanje nedostataka u zapisima dokaznih testova

Najčešći nalaz revizije na Triconex instalacijama su nepotpuni zapisi dokaznih testova. IEC 61511 član 16.2.5 zahteva da zapisi dokaznih testova sadrže: datum testa, identitet tehničara, metodu testa, stanje kako je pronađeno, rezultat testa i stanje nakon testa. Zapisi koji sadrže samo potpis i oznaku „PROLAZ“ nisu u skladu.

• Korak 1: Revizirajte svaki zapis dokaznog testa za svaki SIF iz poslednjeg intervala dokaznog testa. Napravite matricu nedostataka: broj SIF-a, datum testa, nedostajuća polja, odgovorni tehničar.
• Korak 2: Za zapise kojima nedostaje vreme odziva kako je pronađeno, kontaktirajte originalnog tehničara i zatražite zvaničnu izjavu o izmerenoj vrednosti iz sećanja — ako je dokumentovano negde drugde (terenski dnevnik, kalibracioni sistem). Priložite izjavu uz originalni zapis.
• Korak 3: Za zapise bez ikakvih podataka o stanju kako je pronađeno, formalno dokumentujte nedostatak kao neusaglašenost u sistemu upravljanja bezbednošću. Dodelite korektivnu akciju za izvođenje vanrednog dokaznog testa u sledećem dostupnom terminu održavanja kako biste uspostavili novu osnovu stanja.
• Korak 4: Implementirajte strukturirani obrazac za dokazne testove u CMMS (SAP PM ili slično). Obrazac mora zahtevati obavezna polja — vreme odziva u milisekundama, potvrdu putanje završnog elementa i Triconex TriStation dijagnostički snimak pre i posle testa. Zaključajte zapis tako da se oznaka PROLAZ ne može izabrati bez unosa numeričkog vremena odziva.

Zahtjevi za dokumentaciju upravljanja zaobilaženjem

Upravljanje zaobilaženjem je kritičan zahtev IEC 61511 člana 11.9.4. Svaki put kada se Triconex T3000 SIF stavi u zaobilaženje, rezidualni rizik raste — bezbednosna funkcija nije dostupna. Registar zaobilaženja mora beležiti: razlog zaobilaženja, ovlašćenje za odobrenje, vreme početka, planirano vreme završetka i kompenzacione mere sprovedene tokom perioda zaobilaženja.

U TriStation 1131, uslovi zaobilaženja se implementiraju preko INHIBIT ili BYPASS promenljivih u kontrolnom programu. Svaka INHIBIT promenljiva mora biti povezana sa fizičkim prekidačem sa ključem ili SCADA autorizacionim tagom. Konfigurišite TriStation program da zabeleži događaj zaobilaženja u SOE (sekvenca događaja) zapisnik svaki put kada se promeni stanje INHIBIT promenljive. SOE vremenska oznaka pruža revizijski trag potreban prema IEC 61511.

SRS mora definisati maksimalno dozvoljeno trajanje zaobilaženja za svaki SIF na osnovu stope zahteva procesa. Za SIF koji štiti od opasnosti sa stopom zahteva procesa od 0.1 godišnje, maksimalno trajanje zaobilaženja bez kompenzacionih mera je obično 72 sata. Revizori će uporediti CMMS registar zaobilaženja sa SOE zapisnikom — neslaganja između njih ukazuju da proces kontrole zaobilaženja ne funkcioniše kako je predviđeno i predstavljaju sistemsku grešku u skladu sa IEC 61511 članom 5.

Lista za proveru konfiguracije pre revizije

• Izvezite izveštaj o konfiguraciji TriStation 1131 projekta i uporedite sve SIF pragove za isključenje sa SRS-om. Svako odstupanje zahteva zapis o upravljanju promenama (MOC) datiran pre implementacije promene.
• Proverite da li verzija firmvera Triconex T3000 odgovara verziji kvalifikovanoj u bezbednosnom slučaju. Ažuriranja firmvera Triconex zahtevaju ponovnu validaciju prema IEC 61511 članu 11.8.5 ako ažuriranje utiče na funkcionalnost vezanu za bezbednost.
• Potvrdite da su svi intervali dijagnostičkih testova unutar vrednosti navedenih u SRS-u. T3000 modul podrazumevano ima ciklus samotesta od 1 sat — proverite da li nije produžen da bi se smanjila učestalost alarma SCADA DIAG_FAIL.
• Proverite da li se datum i vreme Triconex T3000 sinhronizuju sa NTP serverom postrojenja. Nesinhronizovane SOE vremenske oznake su česta neusaglašenost u reviziji koja dovodi u pitanje redosled svih istorijskih bezbednosnih događaja.
• Pregledajte dnevnik promena u TriStation za bilo kakve izmene konfiguracije napravljene bez pripadajućeg MOC zapisa. Neovlašćene promene su ozbiljna neusaglašenost prema IEC 61511 članu 5.2.4 (upravljanje funkcionalnom bezbednošću).

Zaključak i saveti za akciju

Priprema Invensys Triconex instalacije za IEC 61511 funkcionalnu bezbednosnu reviziju zahteva sistematsko prikupljanje dokaza, a ne pravljenje dokumenata u poslednjem trenutku. Preračunajte PFDavg za svaki SIF koristeći stvarne intervale dokaznih testova i FMEDA podatke za instalaciju — ne oslanjajte se na objavljene SIL tabele bez provere. Revizirajte zapise dokaznih testova zbog nedostajućih vremena odziva i formalno otklonite nedostatke. Proverite zapise upravljanja zaobilaženjem u CMMS i Triconex SOE zapisniku — neslaganja ukazuju na sistemske greške u procesu.

Popunite listu za proveru konfiguracije 30 dana pre revizije kako biste imali vremena za dokumentovanje MOC-a za otkrivene odstupanja. Angažujte kompetentnog inženjera za funkcionalnu bezbednost da pregleda paket dokaza pre dolaska revizora. Otkrivanje nedostatka SIL 2 tokom revizije je mnogo skuplje — u vremenu, novcu i riziku procesa — nego otkrivanje tokom interne provere.

Autor: Fang Haoran je inženjer industrijske automatizacije sa preko 10 godina iskustva u PLC, DCS i kontrolnim sistemima.