ISA-18.2 và IEC 62682: vòng đời quản lý alarm, hợp lý hóa, lũ alarm và chỉ số KPI

Một khung, hai tài liệu

ANSI/ISA-18.2, Management of Alarm Systems for the Process Industries (quản lý hệ thống alarm cho ngành công nghiệp quá trình), ra đời lần đầu năm 2009. IEC lấy nó làm nền cho IEC 62682 năm 2014, sau đó ISA phát hành bản thứ hai là ANSI/ISA-18.2-2016. IEC 62682 bản 2.0 ra ngày 08/12/2022. Phạm vi áp dụng gồm các alarm hiển thị cho người vận hành từ hệ điều khiển quá trình cơ bản (BPCS), bảng annunciator, hệ thống trọn gói (packaged system) và hệ thống an toàn (SIS), cho quá trình liên tục, theo mẻ (batch) và rời rạc.

Khi IEC 62682 mới ra, exida đã liệt kê những điểm khác so với bản ISA 2009. Nhiều khuyến nghị được nâng thành yêu cầu, và chức năng tạm gác alarm (shelving) trở thành chức năng bắt buộc nhà cung cấp hệ điều khiển phải có. Các giá trị deadband khuyến nghị, trạng thái chốt (latching) trong sơ đồ trạng thái và một số chỉ số hiệu năng bị bỏ ra. Vòng đời giữ nguyên.

Trang ISA-18 của ISA còn liệt kê các báo cáo kỹ thuật (technical report) cho từng giai đoạn, trong đó có TR18.2.1 (triết lý alarm), TR18.2.2 (nhận diện và hợp lý hóa), TR18.2.4 (phương pháp alarm cải tiến và nâng cao), TR18.2.5 (giám sát, đánh giá và audit), TR18.2.7 (hệ thống trọn gói) và TR18.2.8 (thông báo không phải alarm).

Bài này đi sâu riêng vào quản lý alarm. Để xem ISA-18.2 kết hợp với tiêu chuẩn HMI ISA-101 thế nào khi thay SCADA, đọc bài Nâng cấp SCADA theo ISA-101 và ISA-18.2; cách alarm hiện trên màn hình có trong bài ISA-101 là gì.

Thế nào là một alarm

Tiêu chuẩn định nghĩa alarm là tín hiệu âm thanh và/hoặc hình ảnh báo cho người vận hành biết thiết bị hỏng, quá trình lệch hoặc có điều kiện bất thường cần phản ứng. Sách trắng về hợp lý hóa của Rockwell cụ thể hóa định nghĩa này thành bốn phép thử:

• điều kiện là bất thường và cần người vận hành hành động;
• bỏ qua thì có hậu quả thật;
• người vận hành còn đủ thời gian để hành động;
• alarm là duy nhất và chỉ đúng nguyên nhân gốc.

Bốn phép thử này mở rộng ba điều kiện hay dùng làm quy tắc nhanh — có bất thường, người vận hành phải hành động, còn đủ thời gian — bằng cách thêm yêu cầu alarm phải là duy nhất. Tín hiệu trượt một phép thử thì không phải alarm. Ghi lại lý do, và giữ nó dưới dạng sự kiện (event) hoặc thông báo (notification) nếu vẫn còn hữu ích. Theo sách trắng của Rockwell, alarm ứng viên lấy từ các đợt nhận diện mối nguy và LOPA, điều tra sự cố, khuyến nghị của bên cấp bản quyền công nghệ (licensor) và cơ sở dữ liệu alarm hiện có.

Vòng đời, từng giai đoạn

Hệ mới bắt đầu từ triết lý. Hệ đang chạy thường bắt đầu từ giám sát và đánh giá, và audit là điểm bắt đầu thứ ba.

Siemens mô tả các giai đoạn sau là việc làm liên tục, không phải dự án làm một lần. Giám sát so hiệu năng với các KPI và tìm bad actor để sửa. Mọi thay đổi được xem xét và duyệt trước khi thực hiện, và cơ sở dữ liệu alarm gốc được cập nhật. Audit định kỳ so cách vận hành với triết lý, và triết lý được sửa theo kết quả audit. Rockwell bổ sung rằng audit có thể chỉ ra chỗ cần cải tiến ở bất kỳ giai đoạn nào.

Lớp alarm (alarm class) gom các alarm có đặc điểm giống nhau. Rockwell lưu ý ISA-18.2 không bắt buộc lớp cụ thể nào, và gợi ý các nhóm như môi trường, an toàn quá trình và chẩn đoán; một alarm có thể thuộc nhiều lớp. Siemens ghi nhận alarm an toàn đến từ hệ thống an toàn (SIS) thường được xếp vào nhóm alarm được quản lý chặt (highly managed alarm).

Hợp lý hóa: quyết định và ghi hồ sơ cho từng alarm

Sách trắng của Rockwell chia hợp lý hóa thành chín bước: kiểm tính hợp lệ; xác định hậu quả nếu không xử lý; ghi nguyên nhân, cách xác nhận và hành động khắc phục; ghi thời gian phản ứng; gán ưu tiên; phân lớp; đặt ngưỡng; đặt các thuộc tính khác; và xét có cần xử lý đặc biệt không. Bốn bước đầu là phép thử loại: alarm trượt thì bị bỏ.

• Hậu quả là kết quả trực tiếp, tức thời khi không ai xử lý, không phải một chuỗi hỏng hóc kéo theo.
• Hành động khắc phục phải là việc người vận hành thực sự làm. Bấm acknowledge không tính.
• Thời gian phản ứng tính từ lúc báo alarm tới thời điểm cuối cùng mà hành động còn ngăn được hậu quả. Nếu quá ngắn để người vận hành xác nhận và xử lý, hãy dùng tự động hóa như interlock thay cho alarm.
• Ưu tiên suy ra từ mức nghiêm trọng và thời gian phản ứng, tra trong ma trận của triết lý alarm. Ví dụ của Rockwell chấm mức nghiêm trọng riêng cho con người, môi trường và thiệt hại tài chính, với các nhóm khẩn cấp: trên 30, 15–30, 5–15 và dưới 5 phút. Dùng không quá ba hoặc bốn mức ưu tiên.
• Ngưỡng không nên đặt theo phần trăm thang đo mặc định như 10, 20, 80 và 90 % (Siemens), hay các quy tắc phần trăm thang đo đơn giản khác (Emerson/exida). Chừa đủ thời gian phản ứng; Rockwell gợi ý dùng dữ liệu lịch sử để biết vùng vận hành bình thường kết thúc ở đâu.

Mọi kết quả đưa vào cơ sở dữ liệu alarm gốc (master alarm database): danh sách chính thức các alarm đã hợp lý hóa cùng thuộc tính. Để lập kế hoạch, một bài của Emerson/exida cho biết một nhóm rà soát làm được khoảng 100–200 alarm mỗi ngày.

Trạng thái alarm, shelving và suppression

Bài tóm tắt ISA-18.2-2009 của Siemens liệt kê các trạng thái: bình thường (normal), chưa xác nhận (unacknowledged), đã xác nhận (acknowledged), đã trở về bình thường nhưng chưa xác nhận, chốt (latched, chưa hoặc đã xác nhận), tạm gác (shelved), chặn theo thiết kế (suppressed by design) và đưa ra khỏi vận hành (out of service). IEC 62682 đã bỏ trạng thái chốt khỏi sơ đồ trạng thái. Cũng theo bài tóm tắt này, tín hiệu âm thanh chỉ áp dụng cho alarm chưa xác nhận. OPC UA Part 9 (Alarms and Conditions) cũng mô hình hóa shelving, suppression và out of service. Điều này quan trọng khi SCADA nhận alarm từ hệ khác qua OPC UA.

Lũ alarm, alarm bật/tắt liên tục và alarm tồn đọng

• Lũ alarm (alarm flood). Theo EEMUA 191, lũ bắt đầu khi một khoảng 10 phút có hơn 10 alarm mới. Lũ kết thúc ở khoảng 10 phút đầu tiên có dưới 5 alarm. Nhiều tài liệu chỉ đơn giản đếm các khoảng 10 phút có hơn 10 alarm. VanCamp ghi nhận hệ kém có thể có hơn 250 alarm trong một khoảng 10 phút. Rockwell xếp chặn lũ alarm (alarm flood suppression) và alarm theo trạng thái (state-based alarming) vào các cách xử lý đặc biệt được quyết định khi hợp lý hóa.
• Alarm bật/tắt liên tục (chattering) và alarm thoáng qua (fleeting) vào rồi ra khỏi trạng thái alarm nhiều lần trong thời gian ngắn. Tiêu chí mỗi nơi một khác; theo VanCamp, tiêu chí phổ biến nhất là từ ba lần kích hoạt trở lên trong một phút. Cách xử lý là deadband và delay bật/tắt (on/off delay). Siemens đưa giá trị khởi điểm: lưu lượng 5 % và 15 s, mức 5 % và 60 s, áp suất 2 % và 15 s, nhiệt độ 1 % và 60 s. IEC 62682 cố ý không đưa các giá trị này vào, nên chỉ coi đây là điểm xuất phát.
• Alarm tồn đọng (stale) còn tác động hơn 24 giờ. Siemens ghi nhận ở nhiều phòng điều khiển, hơn một nửa số alarm tồn tại kéo dài (standing) là của động cơ chỉ đơn giản đang dừng. Đây là chỗ alarm theo trạng thái phát huy tác dụng.

Chỉ số hiệu năng và nguồn của các con số

Các con số tính cho mỗi vị trí vận hành, đo trên ít nhất 30 ngày (Siemens). Các nguồn không hoàn toàn khớp nhau. Bài tóm tắt ISA-18.2 của Yokogawa xếp khoảng 150 alarm mỗi ngày vào mức rất có thể chấp nhận được (very likely acceptable) và khoảng 300 là mức tối đa còn xử lý được (maximum manageable). VanCamp (2016), dựa trên EEMUA 191, ISA-18.2 và IEC 62682, đặt mục tiêu dưới 288 và ngưỡng phải hành động trên 432. Một bài trước đó của Emerson/exida dùng dưới 300 và trên 600.

Biểu đồ cho thấy vì sao một con số trung bình là không đủ. Chỉ một đợt sự cố đã đẩy trung bình cả ca lên trên 2 / 10 phút, dù phần còn lại của ca rất yên. Biểu đồ cũng cho thấy hai định nghĩa lũ cho ra hai con số khác nhau: có 3 khoảng hơn 10 alarm, nhưng theo quy tắc bắt đầu/kết thúc của EEMUA thì lũ kéo dài 5 khoảng, cho tới khi số alarm xuống dưới 5. Báo cáo cần ghi rõ dùng định nghĩa nào. Hãy báo cáo song song số trung bình, thời gian lũ và các bad actor (alarm "gây rối"). Thường chỉ vài nguồn chiếm phần lớn. Rockwell cho biết bad actor có thể chiếm tới 80 % tải alarm, còn Siemens cho biết tới 80 % số alarm có thể đến từ 10–20 tag.

Áp dụng khi nâng cấp DCS hoặc SCADA

Khi nâng cấp, cấu hình alarm đằng nào cũng phải làm lại, nên đây là lúc áp dụng vòng đời ít tốn kém nhất.

1. Xuất cấu hình alarm cũ — tag, điều kiện, ngưỡng, ưu tiên, trạng thái bật/tắt — ra bảng tính. Đây là bản nháp đầu tiên của cơ sở dữ liệu alarm gốc. Siemens ghi nhận một điểm analog có thể mang sáu alarm trở lên, nhiều cái là mặc định.
2. Lấy ít nhất 30 ngày lịch sử alarm từ nhật ký alarm cũ hoặc historian. Tính mức nền: số alarm mỗi 10 phút cho từng bàn vận hành, thời gian lũ, 10 bad actor đứng đầu, alarm bật/tắt liên tục và tồn đọng.
3. Viết hoặc cập nhật triết lý alarm trước khi cấu hình hệ mới.
4. Hợp lý hóa cùng vận hành, công nghệ và kỹ sư an toàn. Emerson/exida gợi ý lấy các bad actor làm điểm bắt đầu. Xử lý chúng trước giúp đỡ tải nhanh, nhưng mỗi chỗ sửa vẫn phải qua hợp lý hóa, và phần còn lại của danh sách vẫn cần rà.
5. Nạp ngưỡng và ưu tiên từ cơ sở dữ liệu thay vì gõ lại bằng tay. Đối chiếu cấu hình với cơ sở dữ liệu khi FAT.
6. Tính cả các cụm thiết bị trọn gói. IEC 62682 bao gồm alarm từ hệ thống trọn gói, và ISA có riêng một báo cáo kỹ thuật cho chúng (ISA-TR18.2.7). Ở dự án EPC, đưa triết lý alarm vào đặc tả của gói ngay từ giai đoạn thiết kế. Làm tương tự với alarm từ hệ an toàn trong ICSS.
7. Sau khi chạy chính thức, lập lịch báo cáo KPI từ nhật ký alarm hoặc historian. Đưa mọi thay đổi alarm qua quản lý thay đổi, và lên kế hoạch audit định kỳ. Siemens khuyên định kỳ so cấu hình đang chạy với cơ sở dữ liệu alarm gốc để bắt các thay đổi không được phép.

Để xem bức tranh rộng hơn về các lớp của SCADA, đọc bài SCADA là gì.