Lập lịch kiểm tra chứng nhận SIL 3 và quản lý PFDavg cho HIMA HIMatrix và ICS Triplex TMR

Functional Safety, HIMA HIMatrix, ICS Triplex TMR, IEC 61511, IEC 62443, PFDavg, Proof Test, Safety Instrumented System, SIL 3, SIS
Tháng 4 28, 2026

SIL 3 Proof Test Scheduling and PFDavg Management for HIMA HIMatrix and ICS Triplex TMR

Một hướng dẫn thực tiễn theo IEC 61511 về lập lịch kiểm tra chứng minh SIL 3, tính toán PFDavg cho kiến trúc HIMA HIMatrix F60 và ICS Triplex TMR, áp dụng tín dụng kiểm tra chứng minh một phần, và duy trì hồ sơ tuân thủ trong các chu kỳ bảo trì nhà máy nhiều năm.

Yêu cầu SIL 3 và Phạm vi Mục tiêu PFDavg

Bảng 3 của IEC 61511 định nghĩa SIL 3 là phạm vi PFDavg từ 10⁻⁴ đến 10⁻³. Đây là mức yêu cầu cao hơn một bậc so với SIL 2. Đạt được SIL 3 đòi hỏi kiến trúc có độ dư thừa cao hoặc khoảng thời gian kiểm tra chứng minh rất ngắn. HIMA HIMatrix F60 với kiến trúc 1oo2D chỉ đạt SIL 3 khi khoảng thời gian kiểm tra chứng minh không vượt quá 1 năm và độ bao phủ chẩn đoán vượt 99%.

ICS Triplex TMR đạt SIL 3 thông qua cơ chế bỏ phiếu phần cứng 2oo3 với chẩn đoán trực tuyến đầy đủ. Độ bao phủ chẩn đoán của Triplex TMR được đánh giá là 99,7% cho các lỗi nội bộ. Kết hợp với khoảng thời gian kiểm tra chứng minh 2 năm và tỷ lệ lỗi nguy hiểm (λDU) là 1,2×10⁻⁷/h trên mỗi kênh, PFDavg được tính xấp xỉ 5,3×10⁻⁴. Điều này đáp ứng giới hạn trên của SIL 3 là 10⁻³.

Tuy nhiên, PFDavg không phải là giá trị cố định. Nó tăng theo thời gian khi hệ thống già đi. Theo dõi phép tính xác minh SIL hàng năm. Thay thế các thành phần cũ trước khi λDU tăng làm PFDavg vượt quá giới hạn trên của SIL 3.

Tính Toán Khoảng Thời Gian Kiểm Tra Chứng Minh cho Kiến Trúc Hỗn Hợp

Nhiều nhà máy vận hành kết hợp HIMA HIMatrix F60 cho bộ khởi tạo và ICS Triplex TMR cho phần tử cuối cùng. Trong trường hợp này, tính PFDavg cho từng hệ thống con riêng biệt. Sau đó cộng lại. Tổng PFDavg của SIF phải luôn dưới 10⁻³.

Sử dụng công thức Phụ lục K IEC 61511-1 cho kiến trúc 1oo2D:

PFDavg (1oo2D) = (λDU × Ti)² / 3 + λDU × (1 – DC) × Ti / 2

Đối với HIMA HIMatrix F60 với λDU = 3×10⁻⁷/h trên mỗi kênh, Ti = 8.760 giờ (1 năm), và DC = 0,99:

PFDavg = (3×10⁻⁷ × 8.760)² / 3 + 3×10⁻⁷ × 0,01 × 8.760 / 2 = 2,3×10⁻⁶ + 1,3×10⁻⁵ = 1,5×10⁻⁵

Điều này để lại một ngân sách PFDavg lớn cho hệ thống con phần tử cuối ICS Triplex TMR. Tuy nhiên, không bao giờ để một hệ thống con đơn lẻ tiêu thụ hơn 50% tổng ngân sách PFDavg SIL 3. Cách tiếp cận này tạo ra biên độ cho các thay đổi trong tương lai mà không làm mất hiệu lực xác minh SIL.

Tín Dụng Kiểm Tra Chứng Minh Một Phần và Ảnh Hưởng của Độ Bao Phủ Chẩn Đoán

Kiểm tra chứng minh đầy đủ xác minh tất cả các chế độ lỗi nguy hiểm. Kiểm tra chứng minh một phần chỉ xác minh một phần nhỏ. Khoản 16.2.6 của IEC 61511 cho phép tín dụng kiểm tra chứng minh một phần khi tỷ lệ kiểm tra một phần (PTF) được ghi nhận. HIMA SILworx định nghĩa PTF theo quy trình kiểm tra. Kiểm tra chẩn đoán kênh tiêu chuẩn trong quá trình vận hành được tính là PTF = 0,3 đến 0,5, tùy thuộc vào độ bao phủ chế độ lỗi.

Đối với ICS Triplex TMR, tự kiểm tra trực tuyến bao phủ khoảng 85% các chế độ lỗi nguy hiểm. Điều này có nghĩa là kiểm tra chứng minh hàng năm chỉ cần xử lý 15% còn lại. Điều này giảm thời gian kiểm tra chứng minh từ 8 giờ xuống khoảng 1,5 giờ cho mỗi SIF. Áp dụng tín dụng này trong công cụ xác minh SIL bằng cách nhập PTF = 0,85 cho đóng góp chẩn đoán trực tuyến và PTF = 0,15 cho phần bổ sung kiểm tra chứng minh thủ công.

Hơn nữa, tín dụng độ bao phủ chẩn đoán cần có bằng chứng. HIMA HIMatrix SILworx ghi lại kết quả kiểm tra chẩn đoán trong nhật ký sự kiện nội bộ. Xuất nhật ký này hàng tháng và lưu trữ trong hệ thống CMMS. Trạng thái chẩn đoán bộ điều khiển ICS Triplex có thể truy cập qua thanh ghi Modbus TCP 41001 (bản đồ bit, 16 loại lỗi). Ghi lại thanh ghi này hàng ngày qua OPC DA historian. Dữ liệu lưu trữ này là bằng chứng tài liệu kiểm tra chứng minh theo Khoản 16.2.5 IEC 61511 trong các cuộc kiểm toán.

Tài Liệu Hồ Sơ Kiểm Tra Chứng Minh Năm Bước

Khoản 16.3 IEC 61511 yêu cầu hồ sơ kiểm tra chứng minh phải bao gồm các trường dữ liệu cụ thể. Thiếu trường sẽ làm mất hiệu lực tín dụng kiểm tra. Thực hiện quy trình tài liệu này cho mỗi kiểm tra chứng minh SIL 3 SIF:

Bước 1: Ghi lại trạng thái ban đầu trước khi can thiệp kiểm tra. Đối với mỗi kênh HIMA HIMatrix F60, ghi lại trạng thái đèn LED (xanh/ vàng/ đỏ) và byte tóm tắt chẩn đoán SILworx. Đối với mỗi đầu ra ICS Triplex TMR, ghi lại trạng thái rơ le và giá trị thanh ghi Modbus 41001.
Bước 2: Thực hiện chuỗi kiểm tra theo quy trình kiểm tra chứng minh đã phê duyệt. Ghi lại thời gian từng bước với đồng hồ được đồng bộ. Sử dụng tham chiếu NTP của nhà máy (stratum 1) cho tất cả dấu thời gian. Không sử dụng thời gian cục bộ máy tính — sai lệch đồng hồ vượt quá độ phân giải 1 giây cần thiết để xác minh thời gian phản hồi SIF.
Bước 3: Ghi lại thời gian phản hồi đo được từ lúc tiêm tín hiệu đầu vào đến kích hoạt phần tử cuối. So sánh với yêu cầu thời gian phản hồi SIF trong đặc tả yêu cầu an toàn (SRS). Sai số chấp nhận được là ±10% thời gian phản hồi yêu cầu.
Bước 4: Ghi lại trạng thái sau khi hoàn thành kiểm tra. Xác nhận cả hệ thống HIMA và ICS Triplex đã được khôi phục về chế độ vận hành bình thường. Kiểm tra SILworx không hiển thị lỗi chẩn đoán bị khóa. Xác nhận thanh ghi Modbus 41001 của Triplex TMR đọc 0x0000 (không có lỗi hoạt động).
Bước 5: Cập nhật phép tính xác minh SIL với ngày kiểm tra chứng minh mới. Tính lại PFDavg cho khoảng thời gian kiểm tra tiếp theo. Nếu PFDavg tiếp cận trong vòng 20% giới hạn trên của SIL 3, đánh dấu SIF để kiểm tra lại sớm hoặc xem xét kiến trúc. Lưu trữ hồ sơ kiểm tra hoàn chỉnh trong CMMS với chữ ký điện tử theo yêu cầu toàn vẹn hồ sơ IEC 62443-2-1.

Kết Luận và Khuyến Nghị Hành Động

Tuân thủ SIL 3 cho hệ thống HIMA HIMatrix và ICS Triplex TMR phụ thuộc vào việc lập lịch kiểm tra chứng minh nghiêm ngặt và theo dõi PFDavg chính xác. Tính PFDavg cho từng hệ thống con riêng biệt. Giữ đóng góp của từng hệ thống con dưới 50% tổng ngân sách SIL 3. Áp dụng tín dụng kiểm tra chứng minh một phần chỉ khi có bằng chứng độ bao phủ chẩn đoán được lưu trữ trong CMMS. Ghi lại mọi trạng thái ban đầu và trạng thái sau kiểm tra với dấu thời gian đồng bộ NTP. Cập nhật xác minh SIL hàng năm. Đánh dấu bất kỳ SIF nào có PFDavg tiếp cận 80% giới hạn trên SIL 3. Những thực hành này bảo vệ tính toàn vẹn SIL 3 trong suốt vòng đời nhà máy.

Tác giả: Chen Hao là kỹ sư tự động hóa công nghiệp với hơn 10 năm kinh nghiệm về PLC, DCS và hệ thống điều khiển.