sis-cause-effect-matrices-logic
Матрица причинно-следственных связей (Cause & Effect, C&E) — контракт между технологом и системой ПАЗ: каждая строка матрицы связывает инициирующее событие (превышение давления в колонне выше 2,5 МПа) с исполнительным действием (закрытие отсечного клапана ESV-101, останов печи). Ошибка в одной ячейке C&E либо блокирует аварийную защиту, либо рождает ложные остановы установки стоимостью миллионы рублей в час. Рассматриваются структура матриц, программирование логики, временные задержки и аудит. Подробнее на Metal-Asia. Ключевые направления: Гуанчжоу, Шанхай, Алматы.
Техническое описание и специфика применения на НПЗ
Матрица C&E — табличное представление логики SIF: столбцы — причины (Causes: аналоговые тревоги HH/LL, дискретные сигналы, ручные кнопки останова), строки — следствия (Effects: закрытие ESV, сброс на факел, останов компрессора), пересечения — активные связи с указанием голосования (1oo1, 1oo2, 2oo3) и временных задержек. Для крупной установки НПЗ матрица содержит 100–600 причин и 50–200 следствий. Программирование в SIS-контроллере выполняется либо прямой трансляцией матрицы (табличные компиляторы Triconex, HIMA ELOP II), либо в FBD/LAD с последующей обратной генерацией матрицы для верификации. Требование МЭК 61511 — двунаправленная трассируемость: любая строка кода отображается в ячейку матрицы и наоборот.
Временные задержки применяются трёх типов: задержка срабатывания (on-delay 2–10 с для подавления переходных выбросов давления при пуске насоса), задержка возврата (off-delay для удержания сброса на факел 5–30 с), фильтры обработки входов (усреднение 3–5 выборок скана). Любая задержка вычитается из времени технологической безопасности (PST) и утверждается технологом в проекте SIF.
Международный технологический ландшафт и анализ брендов
Американские бренды. Triconex: TriStation 1131 — нативные таблицы C&E с компиляцией в TMR-логику, эмуляция матрицы до загрузки; Honeywell Safety Builder — конфигуратор Safety Manager с матричным представлением FLD (Functional Logic Diagrams). Emerson DeltaV SIS — конфигурирование функциональных блоками SIF с автогенерацией документации.
Европейские бренды. HIMA SILworX / ELOP II Factory: матричное программирование H51q/HIMax, встроенная верификация против проектной C&E, печать протоколов для аудита. Siemens SIMATIC Safety Matrix — надстройка над PCS 7/S7-F: причины и следствия связываются таблично, компиляция в F-блоки с автоматическим контролем целостности. ABB — Control Builder Safe для High Integrity.
Китайские бренды. Consen TSxPlus: среда Safety Designer с матричным вводом; HollySys LKS — C&E-редактор для SIS-проектов; обе платформы сертифицированы TÜV SIL3 и документируют матрицу на русском языке для проектов СНГ.
Архитектура интеграции, интерфейсы и шлюзы
Логика C&E исполняется целиком внутри SIS-контроллера: входы — от модулей AI/DI с голосованием, выходы — модули DO на соленоиды и пускатели; межконтроллерные связи (останов печи по сигналу от соседнего узла ПАЗ) — через сертифицированные безопасные сети (Triconex Peer-to-Peer, HIMA safeethernet, ProSafe-SLS) с контролем целостности кадров. Передача состояния SIF в DCS для отображения — только чтение (Modbus read-only, OPC UA read), запись из DCS в SIS запрещена архитектурно. Ручные кнопки аварийного останова — аппаратные, в отдельных шлейфах с line monitoring, включены в матрицу как причины с высшим приоритетом. Все события срабатывания фиксируются в SOE с разрешением 1 мс для послеварийного разбора.
Нормативная база и требования к импортозамещению в РФ/СНГ
Разработка и верификация C&E — этапы жизненного цикла по ГОСТ Р МЭК 61511: матрица утверждается после HAZOP/LOPA, изменения — через процедуру MOC с повторной верификацией PFDavg. Доказательное тестирование каждой строки матрицы — с интервалом proof test 6–12 месяцев, протоколы хранятся для Ростехнадзора. Импортозамещение сред программирования — реестр российского ПО; контроллеры — реестр ГИСП Минпромторга по ПП РФ № 719. Исполнение инженерных станций под Astra Linux / РЕД ОС; аудит изменений логики и защита доступа — приказы ФСТЭК № 235/№ 239 (объекты КИИ): двухфакторное подтверждение загрузки в SIS, журналирование всех правок C&E.
Инженерные проблемы, риски эксплуатации и методы их решения
Ложный останов от переходного выброса давления. Проблема: пуск параллельного насоса даёт выброс 0,3 с выше уставки HH, строка C&E срабатывает, установка останавливается. Субъект — технолог установки. Локация — насосная подачи сырья. Решение: on-delay 2–5 с, согласованная с PST (время безопасности 45 с), фильтрация входа усреднением, верификация на динамической модели.
Расхождение бумажной матрицы и кода контроллера. Проблема: инженер внёс правку прямо в FBD, минуя матрицу; при аудите обнаружено 12 ячеек вне документации. Субъект — инженер по функциональной безопасности. Локация — установка каталитического риформинга. Решение: компиляция только из матричного редактора, запрет ручного редактирования скомпилированных блоков, регулярный reverse-аудит (генерация матрицы из кода и сравнение).
Каскадные остановы через межконтроллерные связи. Проблема: останов печи по C&E узла А вызывает падение расхода топливного газа, что срабатывает как причина в узле Б — лавинный останов завода. Субъект — главный технолог НПЗ. Локация — связка печей F-101/F-102. Решение: явное моделирование каскадов в матрице, задержки на вторичных причинах 10–30 с, приоритизация первичных остановов, тестирование сценариев на FAT.
Неучтённое состояние «пуск» в матрице. Проблема: при пуске установки датчики проходят через зоны уставок, C&E блокирует запуск; персонал байпасирует защиты «до выхода на режим», забывая снять байпасы. Субъект — старший оператор. Локация — пуск после капремонта. Решение: режимные разделы матрицы (пуск/работа) с автоматическим снятием временных байпасов по условию выхода на режим, индикация активных байпасов, лимит их времени.
Ошибка переноса C&E при импортозамещении. Проблема: миграция матрицы с Triconex на Consen TSxPlus: различие в семантике голосования 2oo3 по тревоге качества сигнала меняет поведение строки. Субъект — инженер-наладчик ПАЗ. Локация — проект замены SIS. Решение: формальная табличная верификация всех ячеек, SAT с полным перебором комбинаций входов, параллельная обкатка на стенде с записью SOE обеих систем.
