Ključne informacije

  • SIL 2 programiranje mora biti u skladu sa IEC 61508/61511 standardima, zahtevajući dokumentovanu analizu opasnosti, procenu rizika i specifikacije arhitekturnog dizajna pre razvoja koda.
  • Implementirajte dual-channel redundansu sa minimalnom 90% pokrivenosti dijagnostike kako biste detektovali greške i prebacili sisteme u bezbedna stanja u okviru tolerancija zahtevane razine integriteta sigurnosti.
  • Dizajnirajte failsafe logiku koja podrazumevano ide u bezbedna stanja nakon bilo kakve detektovane greške i uspostavite harmonograme proof testiranja kako biste verifikovali efektivnost sigurnosne funkcije i detektovali sistematske greške.
  • Izaberite dokazane programske jezike (strukturirani tekst, ladder logika) i sertifikovane sigurnosne PLC platforme umesto opšte-namenske sisteme kako bi ispunili SIL 2 arhitekturna ograničenja.
  • Dokumentujte sve odluke kritične za sigurnost, održavajte kontrolu verzije sigurnosnog koda i sprovedite nezavisnu validaciju od strane treće strane kako biste osigurali usklađenost i omogućili budućnost održavanja SIL 2 sistema.

Bezbednosni sistem koji skoro funkcioniše je gori od odsustva bezbednosnog sistema. U SIL 2 aplikacijama — upravljanje gorivom, zaustavljanje u slučaju nužde, zaštita rotirajućih mašina — latentna greška u logici vašeg bezbednosnog PLC-a može ostati nevidljiva mesecima, a zatim otkazati u tačno pogrešnom trenutku. Posledice nisu gubitak radnog vremena. To su povrede, smrtni slučajevi i regulatorna gašenja.

IEC 61508 i IEC 61511 postoje upravo da bi se zatvorila ta praznina između sistema koji izgleda bezbedno i onog koji je dokazivo bezbedno. Ali usklađenost nije vežba sa kućicama za označavanje. Zahteva sistematsku analizu grešaka, potvrđene intervale proba, strogu disciplinu životnog ciklusa softvera i IEC 61511 se koristi za bezbednosne sisteme industrijskih procesa. Standardi su zahtevni po dizajnu — i napravo trebalo bi da budu.

Ovaj članak razlaže osnovne inženjerske zahteve za implementaciju SIL 2 bezbednosnog PLC-a: kako strukturirati arhitekturu vaše bezbednosne funkcije, šta IEC 61508 zaista zahteva od vašeg softvera, gde većina projekata ne uspe njihovu funkcionalnu bezbednosnu procenu, i kako izgleda ispravna implementacija u praksi.

Zahtevi SIL 2 i IEC 61508/61511 standardi

Nivo sigurnosne integracije 2 zahteva verovatnoću opasne greške na zahtev (PFD) u opsegu od 10-3 do 10-2, što znači da vaša sigurnosna funkcija mora otkazati opasno ne više od jednom u svakih 100 do 1.000 zahteva. IEC 61508 postavlja osnovni okvir za električne, elektronske i programabilne elektronske sigurnosne sisteme, dok se IEC 61511 primenjuje specifično na primene u procesnoj industriji — standardi prema kojem će biti validovane vaše instrumentovane zaštitne funkcije u čeličani ili sistemu hemijskog doziranja.

Na SIL 2 nivou, standard nameće konkretna ograničenja arhitekture. Radite u okviru zahteva za toleranciju hardverskih grešaka (HFT) koji obično zahtevaju arhitekturu glasanja 1oo2 ili 2oo3 za senzore i finalne elemente, zavisno od sigurne frakcije otkazа (SFF) vaših izabranih komponenti. Arhitektura sa jednim kanalom bez redundanse jednostavno ne može postići SIL 2 sertifikaciju za većinu procesnih aplikacija — ovo je čvrsta granica, a ne preferencija pri projektovanju.

Ključni zahtevi IEC 61508 koji direktno utiču na PLC programiranje na SIL 2 nivou obuhvataju:

  • Potpunu nezavisnost između sistema za instrumentovanu zaštitu (SIS) i osnovnog sistema upravljanja procesom (BPCS) — deljeni hardver ili softver između ovih slojeva predstavlja neusaglašenost
  • Mogućnost sveobuhvatnog pristupa (SC) od SC 3 za softverske i hardverske komponente korišćene u sigurnosnoj funkciji
  • Intervale ispitnog dokazа dokumentovane i uključene u PFD proračune, obično godišnje za SIL 2 procesne aplikacije
  • Dijagnostičku pokrivenost (DC) od najmanje 90% za SIL 2 hardver, koja diktira zahtev za internim tajmerima nadzora, logikom poređenja između kanala i rutinama onlajn samotestiranja u okviru programa sigurnosnog PLC-a

Praktičan savet: pri izboru platforme sigurnosnog PLC-a — kao što su Siemens S7-1500F ili Allen-Bradley GuardLogix — proverite da li tvrđenje SIL proizvođača koje je sertifikovano od strane TÜV-a pokriva specifičnu verziju firmvera koju raspodeljujete. SIL sertifikati su specifični za verziju firmvera, a nekontrolisana ažuriranja firmvera tokom projekta mogu uništiti vaš ceo slučaj sigurnosti.

Arhitektura dvokanalne redundancije i pokrivanja dijagnostike

Postizanje SIL 2 zahteva hardversku toleranciju grešaka (HFT) od najmanje 1 za podsisteme tipa B, što znači da jedna hardverska greška ne sme dovesti do gubitka sigurnosne funkcije. U praksi, to nameće arhitekturu 1oo2 (jedan-od-dva) ili 2oo3 (dva-od-tri) glasanja, gde je svaki kanal nezavisno sposoban da izvršava sigurnosnu funkciju i de-energizuje završni element.

Tipična SIL 2 implementacija u kolu havarijskog zaustavljanja čelične fabrike koristi dva nezavisna sigurnosna PLC-a — na primer, par Siemens S7-1500F ili redundantnu konfiguraciju Allen-Bradley GuardLogix — gde svaki CPU čita svoj dedicirani kanal za unos sa terenskog uređaja. Davači pritiska, prekidači položaja i sigurnosne prostirke povezani su na odvojene I/O module na odvojenim backplanes. Logika poređenja između kanala izvršava se pri svakom ciklusu skeniranja, a bilo koja odstupanja veća od konfigurabilnog prozora tolerancije (tipično 20–50 ms za procesne aplikacije) pokreće dijagnostički alarm i inicijalizuje prelazak u bezbedan stav.

Pokrivanje dijagnostike (DC) je jednako kritično. IEC 61508 predviđa DC od 60–99% za SIL 2 podsisteme. Postizanje ovoga zahteva aktivnu dijagnostiku: onlajn samodijagnostiku izlaznih drajvera, watchdog tajmere sa prinudnim prebacivanjem, detekciju kratkog spoja na DO kanalima i poređenje vrednosti redundantnih senzora. Pasivne konfiguracije ožičenja bez dijagnostike će tipično postići samo DC < 60%, što je nedovoljno bez obzira na arhitekturu redundancije.

  • Koristite PROFISAFE ili CIP Safety protokole za svu sigurnosnom I/O komunikaciju — standardni Profibus ili EtherNet/IP ne nude inherentnu detekciju grešaka adekvatnu za funkcionalnu sigurnost
  • Fizički i logički odvojite sigurnosne i standardne I/O; ko-locirani standardni izlazi na sigurnosnoj stalež unose rizike od zajedničke greške
  • Eksplicitno dokumentujte intervale dokaza — SIL 2 sistemi tipično zahtevaju testiranje dokaza svakih 1–3 godine, a ovaj interval direktno utiče na PFDavg kalkulaciju

Praktičan savет: Tokom FAT-a, ubacite namerne greške jednog kanala — prekidite A-kanal ulaza dok B-kanal ostaje aktivan — i proverite da se sigurnosna funkcija održava i da dijagnostički log ispravno vremenski označava grešku. Mnogi SIL 2 kvarovi na terenu potiču od nepotpune validacije dijagnostike pri puštanju u pogon, a ne od hardverskih defekta.

Failsafe dizajn i primjena dokaznog testiranja

Failsafe dizajn u SIL 2 sistemima nije podrazumevano ponašanje koje nasleđujete od hardvera — to je arhitektonska odluka nametnuta kroz svaki sloj životnog ciklusa sigurnosti. Fundamentalni princip je da bilo koji pojedinačni oblik kvar, bilo prekidana žica, kratko spojeni izlaz ili greška procesora, mora dovesti proces u definisano sigurno stanje bez intervencije operatora.

Na nivou hardvera, SIL 2 obično zahteva 1oo2 (jedan-od-dva) ili 2oo3 arhitekturu glasanja sa pokrivanjem dijagnostike (DC) većim od 90%. Na Siemens S7-300F i S7-1500F platformama, ovo se primenjuje kroz uparene CPU-je koji rade u sinhroniziranom režimu redundancije, sa F-runtime-om koji kontinualno uporedjuje I/O vrednosti sa konfigurabilnim prozorima tolerancije. Allen-Bradley GuardLogix postiže poredivo DC kroz svoj dual-channel sigurnosni zadatak koji se izvršava nezavisno od standardnog zadatka, sa automatskom detekcijom neusklađenosti koja aktivira bezbednu izlaznu naredbu u okviru konfiguriranog vremena reagovanja — obično ispod 10 ms.

Za de-energise-to-trip (DTT) arhitekture, koje su standard za ventile za zaustavljanje u hitnom slučaju i zatitne interfejse motora, izlazni kanali moraju biti povezani kao normalno aktivirani. Gubitak signala — bilo od greške CPU-a, prekidane kabla ili pregorele osigurače — fizički dovodi aktuator u njegovu sigurnu poziciju. Nikada ne povezujte sigurnosne izlaze u normalnu de-energizovanu konfiguraciju osim ako vaša SIL procena eksplicitno to opravdava sa kompenzujućim merama.

Dokazno testiranje je gde mnoge SIL 2 instalacije zakažu operativno. IEC 61511 zahteva dokumentovane procedure dokaznog testiranja koje validiraju kompletnu sigurnosnu instrumentovanu funkciju (SIF), od senzora kroz logički rešavač do konačnog elementa. Parcijalni test hoda na ventilu gašenja ne predstavlja potpuno dokazno testiranje. Vaš interval dokaznog testiranja (PTI) direktno utiče na vašu PFDavg kalkulaciju — ako je vaša SIL 2 petlja dizajnirana za godišnji PTI a testiranje se odloži na 18 meseci, vaša PFDavg se degradira i SIL 2 tvrdnja postaje nevalidna.

  • Dokumentujte procedure dokaznog testiranja u vašoj specifikaciji zahteva sigurnosti (SRS), a ne u odvojenom dokumentu održavanja koji se možda nikada ne poredjuje
  • Zabeležite rezultate dokaznog testiranja, uključujući stanja kako je pronađeno i kako je ostavljeno, direktno u vašom SCADA istorijskom zapisu radi praćenja tokom revizija funkcionalne sigurnosti
  • Koristite samotestiranje dijagnostike programirane u sigurnosnom PLC-u da detektuje greške između intervala dokaznog testiranja — Siemens TIA Portal Safety Advanced nudi ugrađene F-dijagnostičke blokove za ovu svrhu

Ako vam tim treba podrška pri strukturiranju SIL 2 procedura dokaznog testiranja ili primeni failsafe logike na Siemens ili Allen-Bradley platformama, obratite se našem inženjerskom timu na eltekon.rs.

Česti SIL 2 primeni i izazovi iz stvarnog sveta

SIL 2 se nalazi na zahtevnom srednjem nivou — dovoljno kompleksan da zahteva strogu inženjersku disciplinu, ali dovoljno čest da se pojavljuje u širokom spektru teških industrijskih procesa. U regiji Zapadnog Balkana, najčešće susretane SIL 2 primene uključuju sisteme hitnog gašenja (ESD) u stanicama za kompresiju gasa, sisteme upravljanja gorionikom (BMS) u pećima za ponovno zagrevanje čelika, sisteme zaštite visokog integriteta pritiska (HIPPS) u rafinerijama i petrohemijskim instalacijama, i zaštitu od pregiba na velikim rotacionim mašinama kao što su turbine i kompresori.

Svaka primena nosi sa sobom svoj skup inženjerskih izazova:

  • Sistemi upravljanja gorionikom: Postizanje potrebne SIL 2 verovatnoće otkazа na zahtev (PFD) — tipično između 10-3 i 10-2 — zahteva pažljiv izbor detektora plamena, arhitekture glasanja UV/IR senzora (obično 2oo3) i precizne intervale proveravanja. Neusklađene frekvencije proveravanja jedan su od vodećih uzroka neuspeha SIL verifikacije tokom revizija funkcionalне bezbednosti.
  • Sistemi hitnog gašenja: Integracija bezbednosnog PLC-a kao što su Siemens S7-300F ili Allen-Bradley GuardLogix u postojeće DCS okruženje uvodi kompleksnosti oko definicije bezbednog stanja, interfejsa hardverskog završnog elementa i upravljanja zaobilaženjem. Loše dokumentovane procedure zaobilaženja rutinski kreiraju praznine u usklađenosti tokom pregleda životnog ciklusa IEC 61511.
  • HIPPS instalacije: Verifikacija vremena odziva ventila i konfiguracija parcijalnog testiranja hoda (PST) su trajni problem. Bez pravilno parametrizovanih rutina PST, brojke dijagnostičkog pokrivanja korišćene u vašem proračunu SIL verifikacije postaju nevažeće.

Konkretan savet koji sprečava značajne preradе: izvedite vašu Specifikaciju bezbednosnih zahteva (SRS) pre nego što odaberete hardver. Inženjerski timovi koji obrnuto redom — prvo odaberu bezbednosni PLC, zatim napišu SRS oko njega — rutinski otkriju arhitekturna ograničenja koja forsiraju skupe redizajne tokom FMEDA ili SIL verifikacione faze. Prvo definišite funkcionalne i zahteve za integritet; neka SRS vodi izbor hardvera.

Zaključak

Implementacija SIL 2 kompatibilnih sigurnosnih PLC sistema nije samo formalna provjera — to je rigorозna inženjerska disciplina koja obuhvata cijeli sigurnosni ciklus. Od početne procjene opasnosti i rizika kroz određivanje SIL-a, izbor hardvera i certificirano logičko programiranje, svaka odluka mora biti pracljiva, dokumentovana i provjerjiva prema zahtjevima IEC 61508 i IEC 61511.

Ključni zaključci iz ovog okvira implementacije su jasni:

  • SIL 2 zahtijeva da se arhitekturna ograničenja (HFT, SFF) i probabilistički ciljevi (PFD, PFH) istovremeno ispune
  • Sigurnosna logika i standardna upravljačka logika moraju ostati fizički i logički odvojene
  • Certificirana okruženja za programiranje, strukturirani funkcijski blokovi i sistematsko testiranje ispravnosti su obavezni
  • Validacija i procjena funkcionalne sigurnosti moraju biti provedene od strane kompetentnog, nezavisnog osoblja
  • Sigurnosni slučaj se ne završava pri puštanju u pogon — zahtijeva aktivno upravljanje tijekom cijelog životnog ciklusa rad

Preskakanje koraka u bilo kojoj fazi ugrožava sigurnost osoblja, integritet procesa i regulatorna polozaja. Ako je pravilno izvedeno, SIL 2 sistem pruža mjerljivu, revidibalnu redukciju rizika.

Za diskusiju o vašim specifičnim zahtjevima, kontaktirajte Eltekon inženjerski tim na eltekon.rs.

Česta pitanja

Koja su ključna razlika između SIL 1, SIL 2 i SIL 3 zahteva za programiranje PLC-a?

SIL 1 zahteva osnovnu arhitekturu sa jednim kanalom sa minimalnom dijagnostikom (0-60% pokrivenosti), dok SIL 2 zahteva dual-channel redundansu sa 60-90% pokrivenosti dijagnostike i sistematskim sigurnosnim pristupom. SIL 3 zahteva dizajn visokog integriteta sa 90-99% pokrivenosti dijagnostike, formalne metode i nezavisnu validaciju, što ga čini znatno kompleksnijim i skupljim od SIL 2 implementacija.

Kako implementirate dual-channel redundansu u sigurnosnom PLC-u za SIL 2 aplikacije?

Konfigurujte dva nezavisna sigurnosna kanala koji izvršavaju identičnu logiku sa periodičnom proverom unakrsne-provere koristeći mehanizme glasanja—obično 1oo2d (jedan od dva sa dijagnostikom) arhitekturu. Svaki kanal prati drugi na nespoljnosti i aktivira bezbedno gašenje ako se divergencija otkrije u definisanim dijagnostičkim intervalima, osiguravajući da nijedna greška ne uzrokuje gubitak sigurnosne funkcije.

Koja je obavezna frekvencija i metodologija proof testiranja za SIL 2?

IEC 61508 zahteva proof testiranje u intervalima određenim od strane ciljane MTTR (Srednje vremenske reprezentacije popravke), obično godišnje ili polugodišnje za SIL 2 sisteme, verifikovano kroz dokumentovane procedure i kalibrisanu testnu opremu. Testiranje mora validirati kako izvršavanje sigurnosne funkcije tako i efektivnost pokrivanja dijagnostike, sa rezultatima zabeleženim za revizije usklađenosti i ažuriranja FMEA.

Kako možete postići 60-90% pokrivenost dijagnostike bez uzrokovanja ekscesivnih lažnih alarma?

Implementirajte selektivnu dijagnostiku sa ciljem na komponentama sa visokim stopama kvarenja (ventilske šupljine, drift senzora) dok izbegavate stalne provere na nasleđeno pouzdanim elementima kao što su hardwired interlocks. Koristite prilagodljivo određivanje praga i tehnike vremenske korelacije kako biste razlikovali prave greške od prelaznog šuma, beleženjem dijagnostičkih događaja za analizu trenda bez automatskog gašenja na svakom alarmu.

Koji standardi i sertifikati moraju biti ispunjeni od strane sigurnosnog PLC-a za SIL 2 usklađenost?

Sigurnosni PLC-evi moraju biti u skladu sa IEC 61508 (okvirom funkcionalnoj sigurnosti), IEC 61131-3 (aspektima bezbednosti programskog jezika) i aplikacijom-specifičnim standardima kao što su EN 954-1 (kategorije bezbednosti mašinerije). Sertifikacija od strane tretih strana od TÜV, DEKRA ili ekvivalentnih primetenih tela validira arhitekturu hardvera, robusnost firmvera i kompletnost dokumentacije prema ovim zahtevima.

Kako integrujete nasleđene kontrolne sisteme sa novim SIL 2 sigurnosnim funkcijama?

Izolujte nasleđeni sistem od signala kritičnih za sigurnost kroz hardwired module sigurnosnog releja ili sertifikovane interfejse koji prekidaju sigurnosni lanac ako se pojave neusklađeni ulazi. Implementirajte novu SIL 2-ocenjenu sigurnosnu logiku u paralelnom hardveru sa nezavisnim senzorima i aktuatorima, tretirajući nasleđeni sistem kao ne-sigurnosnu opremu čija greška se ne širi u sertifikovane kanale.

Koja je razlika između failsafe i fail-secure dizajna u sigurnosnim PLC-ima?

Failsafe dizajn podrazumevano ide u siguran stanje (npr. gašenje mašine) nakon bilo kakve detektovane greške, pogodno za aplikacije zaštite mašinerije koje zahtevaju SIL 2 sertifikaciju. Fail-secure održava operativnu kontrolu sa verifikacijom redundanse ali zaključava izmene pri detekciji greške, primenjivo u kontroli pristupa; SIL 2 mašinerija obično zahteva failsafe arhitekturu kako bi ispunila ciljeve redukcije rizika.

Kako formalne metode kao FMEA i FTA poboljšavaju SIL 2 validaciju sigurnosti?

FMEA (Analiza režima greške i efekata) sistematski identifikuje režime kvarenja komponenti i njihove posledice, kvantifikujući stope kvarenja i efektivnost dijagnostike kako bi opravdale tvrdnje o pokrivenosti dijagnostike. FTA (Analiza stabla greške) mapira kombinacije greške potrebne da uzrokuju gubitak sigurnosne funkcije, validujući da dual-channel arhitektura i dijagnostika sprečavaju SIL 2 stope ciljane greške, pružajući branjive dokaze za revizije sertifikacije.