PLC an toàn HIMA và Yokogawa CENTUM: Triển khai logic bỏ phiếu 1oo2 và 2oo3 trong SIS
Logic bỏ phiếu trong hệ thống thiết bị đo an toàn là gì?
Logic bỏ phiếu xác định cách các cảm biến và phần tử chấp hành cuối phản ứng khi các phép đo không thống nhất. Trong kiến trúc 1oo2 (một trên hai), bất kỳ cảm biến nào trong hai cảm biến cũng có thể kích hoạt lệnh ngắt. Trong kiến trúc 2oo3 (hai trên ba), ít nhất hai trong ba cảm biến phải đồng thuận trước khi kích hoạt lệnh ngắt.
Bộ điều khiển an toàn HIMA Prizm và DCS Yokogawa CENTUM thường được triển khai cùng nhau trong các nhà máy điện chu trình hỗn hợp và các cụm xử lý gia nhiệt của nhà máy lọc dầu. HIMA đảm nhiệm lớp SIS. Yokogawa CENTUM quản lý lớp BPCS và cung cấp giao diện vận hành thông qua tích hợp ProSafe-RS. Mô-đun CPU HIMA F8640 là nền tảng phần cứng đã được kiểm chứng cho các kiến trúc SIS có độ sẵn sàng cao này.
Yêu cầu của IEC 61511 đối với kiến trúc bỏ phiếu
IEC 61511 quy định các giới hạn kiến trúc đối với các Chức năng Thiết bị đo An toàn (SIF). Khả năng chịu lỗi phần cứng (HFT) của mỗi kênh phải phù hợp với SIL mục tiêu. Đối với SIL 2, HFT = 1 yêu cầu tối thiểu 2 kênh (1oo2). Đối với SIL 3, HFT = 2 yêu cầu tối thiểu 3 kênh (2oo3) hoặc hai phân hệ 1oo2 mắc song song.
Ngoài ra, PFD (xác suất hỏng khi có yêu cầu tác động) phải được tính toán cho toàn bộ vòng bỏ phiếu. Phạm vi này bao gồm các bộ truyền tín hiệu, quá trình xử lý của PLC an toàn và các phần tử chấp hành cuối. Công thức PFD đơn giản hóa cho bỏ phiếu 1oo2 là:
PFD₁oo₂ = 2 × λ_DU² × TI² / 3 + λ_DU × MTTR
Trong đó, λ_DU là tỷ lệ hỏng nguy hiểm không phát hiện, TI là khoảng thời gian kiểm tra xác nhận (thường là 1 năm), còn MTTR là thời gian trung bình để khôi phục.
Từng bước: Cấu hình bỏ phiếu 2oo3 trên PLC an toàn HIMA
Dưới đây là quy trình thực tế để cấu hình chức năng ngắt áp suất 2oo3 trên bộ điều khiển HIMA Prizm kết nối với ba bộ truyền tín hiệu áp suất thông qua giao thức HART:
- Bước 1 — Gán các kênh bộ truyền tín hiệu. Đấu nối ba bộ truyền tín hiệu HART 4-20 mA vào các mô-đun đầu vào tương tự HIMA (ví dụ: HIQUAD 4AI). Gán địa chỉ kênh PT-101-A, PT-101-B, PT-101-C trong HIMA Engineering Studio.
- Bước 2 — Cấu hình khối bỏ phiếu. Chèn một khối chức năng bỏ phiếu 2oo3 vào logic của PLC an toàn. Đặt các thẻ đầu vào thành PT-101-A, PT-101-B, PT-101-C. Đặt điểm đặt ngắt ở mức 150 psi. Đặt kiểu bỏ phiếu là "2oo3 MAJORITY".
- Bước 3 — Cấu hình truyền thông HART. Kích hoạt giao thức HART trên từng kênh đầu vào tương tự. Cấu hình biến chính (PV) cho áp suất theo đơn vị psi. Đặt tốc độ cập nhật là 100 ms để vòng an toàn phản hồi nhanh.
- Bước 4 — Lập trình đầu ra ngắt. Định tuyến đầu ra của khối bỏ phiếu đến mô-đun đầu ra số điều khiển van điện từ EBV. Đầu ra phải chuyển sang trạng thái mất năng lượng (ngắt) khi áp suất theo kết quả bỏ phiếu vượt quá 150 psi trong hơn 500 ms (thời gian chống dội). Mô-đun đầu ra số (DO) Yokogawa ADV559-P01 phù hợp để đấu nối phần tử chấp hành cuối ở phía CENTUM trong các kiến trúc SIS-BPCS lai.
- Bước 5 — Tích hợp với Yokogawa CENTUM. Sử dụng giao diện Modbus TCP để truyền trạng thái ngắt theo kết quả bỏ phiếu đến trạm vận hành Yokogawa CENTUM. Xác nhận cảnh báo SIS xuất hiện trên màn hình đồ họa CENTUM trong vòng 1 giây kể từ khi điều kiện ngắt xảy ra. Bộ điều khiển trường dự phòng Yokogawa CENTUM VP AFV10D-S41201 cung cấp nền tảng FCU dự phòng cho hoạt động đáng tin cậy của cổng Modbus TCP.
Các lỗi thường gặp trong thiết kế bỏ phiếu SIS (ISA-84 / IEC 61511)
Kinh nghiệm thực tế theo ISA-84 và IEC 61511 cho thấy một số lỗi thiết kế lặp đi lặp lại. Thứ nhất, sử dụng cảm biến của cùng một nhà sản xuất trên cả ba kênh bỏ phiếu sẽ tạo ra lỗi do nguyên nhân chung. Nếu phần sụn của cảm biến có lỗi, cả ba kênh có thể hỏng đồng thời. Vì vậy, hãy sử dụng cảm biến của hai nhà sản xuất khác nhau để đáp ứng yêu cầu về tính đa dạng.
Thứ hai, đi cả ba cáp cảm biến qua cùng một ống luồn cáp sẽ tạo ra lỗi đồng phương thức. Sự cố tràn hoặc hỏa hoạn làm hư hỏng ống luồn cáp đó sẽ vô hiệu hóa khả năng dự phòng. Hãy đi cáp trên các máng cáp riêng biệt với khoảng cách vật lý tối thiểu 300 mm.
Thứ ba, không thực hiện kiểm tra xác nhận hằng năm sẽ làm mất cơ sở của phép tính PFD. Nếu khoảng thời gian kiểm tra xác nhận (TI) được kéo dài từ 1 năm lên 3 năm mà không tính lại PFD, hệ thống có thể không còn đáp ứng SIL mục tiêu.
Lỗi do nguyên nhân chung trong kiến trúc 2oo3
Lỗi do nguyên nhân chung (CCF) là điểm yếu chính của các kiến trúc bỏ phiếu. CCF xảy ra khi một sự kiện đơn lẻ đồng thời làm suy giảm nhiều kênh. Nhiệt độ, độ ẩm, rung động và nhiễu điện từ là những tác nhân CCF điển hình.
Để giảm CCF, hãy áp dụng các biện pháp thực tế sau. Thứ nhất, lắp đặt cảm biến trong các tủ riêng biệt hoặc tại những vị trí cách ly về mặt vật lý trên thiết bị công nghệ. Thứ hai, sử dụng nguồn điện riêng cho từng kênh đầu vào tương tự. Mô-đun nguồn AC Yokogawa SPW481 hỗ trợ phân phối nguồn riêng cho từng kênh trong các tủ I/O CENTUM. Thứ ba, thực hiện kiểm tra tính đa dạng hằng năm. Xác nhận rằng ba cảm biến sử dụng các phiên bản phần sụn khác nhau hoặc các phiên bản phần cứng khác nhau.
Khi hệ thống 2oo3 được thiết kế đúng cách, PFD của hệ thống vẫn dưới 0,001 (SIL 3), ngay cả khi đã tính đến hệ số CCF 5%. Nếu không giảm thiểu CCF, PFD hiệu dụng có thể tăng gấp 3 lần, dẫn đến nguy cơ không đáp ứng SIL.
Kết luận và khuyến nghị hành động
Logic bỏ phiếu trên PLC an toàn HIMA tích hợp với Yokogawa CENTUM mang lại khả năng bảo vệ mạnh mẽ, được chứng nhận SIL cho các cụm công nghệ quan trọng. Tuy nhiên, độ tin cậy của kiến trúc chỉ bằng chi tiết thiết kế yếu nhất. Lỗi do nguyên nhân chung, việc đi cáp và kỷ luật kiểm tra xác nhận là ba lĩnh vực mà các đội ngũ tại hiện trường thường thiếu sót nhất.
Khuyến nghị hành động: Hãy lên lịch rà soát logic bỏ phiếu với đội ngũ kỹ thuật Hệ thống Thiết bị đo An toàn (SIS) trong quý này. Xác minh rằng tất cả các kênh cảm biến 2oo3 được cách ly về mặt vật lý và sử dụng nguồn điện riêng. Nếu bất kỳ kênh nào dùng chung ống luồn cáp hoặc thanh nguồn, hãy lập hạng mục cần khắc phục trước đợt bảo dưỡng tổng thể tiếp theo.
