sis-controllers-sil3-quad-architecture

Контроллер системы противоаварийной автоматической защиты (ПАЗ/SIS) — последний технический барьер перед выбросом углеводородов на НПЗ: его отказ по требованию (failure on demand) означает, что аварийный останов установки каталитического крекинга или риформинга не произойдёт. Рассматриваются архитектуры SIL2/SIL3 по ГОСТ Р МЭК 61508/61511, троированная (2oo3, TMR) и квадрированная (Quad 2oo4) логика, линейки вендоров и требования импортозамещения. Подробнее на Metal-Asia. Ключевые направления: Гуанчжоу, Шанхай, Алматы.

Техническое описание и специфика применения на НПЗ

По МЭК 61511 система ПАЗ реализует функции SIF (Safety Instrumented Function) с уровнями полноты безопасности SIL1–SIL4; для НПЗ типичны SIL2 (PFDavg 10⁻³–10⁻²) и SIL3 (PFDavg 10⁻⁴–10⁻³) в режиме низкой частоты запросов. SIS физически и логически отделена от базовой DCS: отдельные контроллеры, ввод-вывод, сети и питание. Архитектуры процессорной части:

• 2oo3 (TMR) — три независимых канала исполнения, выход формируется мажоритарным голосованием; одиночный отказ канала маскируется без прерывания функции (отказоустойчивость) и без ложного срабатывания (безопасность); аппаратное голосование за пределами CPU.
• Quad 2oo4 — четыре процессорных модуля в двух парах: каждая пара 1oo2 с диагностическим самоконтролем, пары голосуют 2oo2 по безопасности и 1oo2 по доступности; де-факто комбинация, применяемая в HIMA HIMax/H51q (QMR — Quadruple Modular Redundant).
• 1oo2D (D — диагностика) — два CPU с глубокой диагностикой, при несогласии — переход в безопасное состояние (Yokogawa ProSafe-RS, Honeywell Safety Manager); дешевле TMR, требует DC ≥ 90 %.

Время реакции SIS-контроллера (скан логики + голосование) для НПЗ — 50–300 мс, что укладывается в время технологической безопасности (Process Safety Time) минутного порядка; для антипомпажной защиты — отдельные быстрые контроллеры.

Международный технологический ландшафт и анализ брендов

Американские бренды. Triconex (Schneider Electric, исторически американская школа): Tricon CX — эталон TMR, три процессора MP3009, аппаратное голосование, сертификация TÜV до SIL3, время скана до 30 мс. Honeywell Safety Manager — архитектура 1oo2D (QPP-002 процессоры), интеграция с Experion на уровне HMI. Emerson DeltaV SIS — логические решатели LS SIS с электронной маршализацией (SIS CHARMs), сертификация до SIL3, физическое отделение от BPCS при общей инженерной среде.

Европейские бренды. HIMA: H51q/HIMax — QMR-архитектура (2oo4), сертификация до SIL3/SIL4 (для специальных применений), собственная среда SILworX/ELOP II; эталон для факельных систем и HIPPS. Siemens: SIMATIC S7-400FH/F-CPU с библиотекой Distributed Safety, сертификация до SIL3. ABB: контроллеры High Integrity (PM867) для 800xA HI.

Китайские бренды. Consen TSxPlus — троированная система безопасности (TMR), сертифицирована TÜV до SIL3, активно внедряется на НПЗ и ТАНЕКО-проектах; HollySys LKS — SIS-платформа с TÜV SIL3; Supcon TCS-900 — SIS для ECS-экосистемы.

Российские бренды. Специализированные ПАЗ-контроллеры с сертификацией SIL3 по МЭК 61508 ограничены; применяются платформы «КРУГ-2000» в резервированных конфигурациях с внешней оценкой SIF и аппаратные релейные схемы для малых узлов.

Архитектура интеграции, интерфейсы и шлюзы

Входные цепи SIS: датчики с голосованием 1oo2/2oo3 (датчики давления, уровня), подключение через модули с line monitoring и искробезопасные барьеры; выходные цепи — модули DO с контролем состояния нагрузки, соленоиды отсечных клапанов в конфигурации de-energize to trip (обесточивание = срабатывание). Связь с DCS — только чтение через односторонние шлюзы (Modbus read-only, OPC UA с запретом записи), что исключает влияние BPCS на SIF. Синхронизация времени событий SOE — PTP/NTP с точностью 1 мс для разбора последовательности аварии. Сети SIS — физически отдельные (чёрные/оранжевые кабели по кодировке вендора), без маршрутизации в корпоративную сеть.

Нормативная база и требования к импортозамещению в РФ/СНГ

Базовые стандарты — ГОСТ Р МЭК 61508 (функциональная безопасность) и ГОСТ Р МЭК 61511 (отраслевая реализация для процессной промышленности): жизненный цикл SIS, HAZOP/LOPA для назначения SIL, верификация PFDavg, доказательные тесты (proof test) с интервалом 6–12 месяцев. Сертификация контроллеров — протоколы TÜV/ЭкСВН с подтверждением SC3 (Systematic Capability SIL3). Импортозамещение: SIS-контроллеры включаются в реестр ГИСП Минпромторга по ПП РФ № 719; ПО — в реестр российского ПО, исполнение инженерных станций под Astra Linux / РЕД ОС. Для объектов КИИ — приказы ФСТЭК № 235/№ 239 с оговоркой: сети SIS не маршрутизируются, доступ к логическому решателю — только с локальной инженерной станции с аудитом. Правила Ростехнадзора требуют периодических проверок цепей ПАЗ с протоколированием.

Инженерные проблемы, риски эксплуатации и методы их решения

Отказы по общей причине (CCF) в TMR. Проблема: три канала питаются от одной линии 24 В или охлаждаются одним вентилятором — единая точка отказа сводит на нет троирование, бета-фактор 5–10 %. Субъект — инженер по функциональной безопасности. Локация — шкаф ПАЗ установки гидрокрекинга. Решение: раздельные источники питания с диодной развязкой, разнесённые лотки ввода-вывода, учёт β-фактора в расчёте PFDavg.

Ложное срабатывание при обрыве линии DO. Проблема: обрыв провода к соленоиду воспринимается как команда trip (de-energize to trip срабатывает от обрыва), установка останавливается ложно. Субъект — инженер КИПиА. Локация — эстакада к отсечным клапанам. Решение: line monitoring с различением обрыва и команды, дублирование соленоидов 2oo2, контроль тока покоя шлейфа 5–10 мА.

Деградация диагностического охвата после замены модулей. Проблема: замена модуля ввода на несовместимую ревизию снижает DC с 98 % до 85 %, расчётный SIL3 перестаёт подтверждаться. Субъект — главный метролог. Локация — склад ЗИП и шкафы ПАЗ. Решение: регламент замены только идентичными ревизиями, повторная верификация SIF после любой замены, актуализация отчёта SIL.

Байпасирование SIF без контроля. Проблема: обход (override) датчика давления на время ремонта забывают снять, функция безопасности отключена месяцами. Субъект — оператор установки. Локация — реакторный блок. Решение: ключевые переключатели байпаса с регистрацией, индикация активных байпасов на HMI, регламент периодической ревизии (не более 24 ч без продления), аудит по журналам SOE.

Рассинхронизация версий логики после миграции. Проблема: при импортозамещении логика C&E перенесена с ошибкой в одном переходе, матрица не соответствует утверждённой. Субъект — инженер-наладчик ПАЗ. Локация — новая платформа SIS. Решение: формальная верификация матрицы (табличное сравнение «причина-следствие»), SAT с полным перебором входных комбинаций, независимый функциональный аудит этапа 4 по МЭК 61511.