Ma trận cause & effect và thử nghiệm SIS: từ ma trận tới logic, FAT, SAT, bypass, proof test, quản lý thay đổi

Ma trận cause & effect (C&E, ma trận nhân quả) là bảng cho kỹ sư công nghệ, người lập trình và nhóm thử nghiệm cùng biết: điều kiện nào của nhà máy phải kích hoạt hành động an toàn nào. Trong hệ an toàn công cụ (SIS), ma trận là căn cứ để viết logic và cũng là danh sách để thử logic đó: thử tại xưởng, thử tại hiện trường, và thử lại sau mỗi lần thay đổi. Bài này đi theo ma trận C&E qua một dự án. Nguồn là sổ tay an toàn AADvance và Trusted của Rockwell, tài liệu IEC và hướng dẫn công khai của Cơ quan An toàn và Sức khỏe Anh (HSE). SIL là gì và một chức năng an toàn đạt SIL ra sao: xem SIL là gì.

Ma trận cause & effect là gì

IEC 62881:2018 là tiêu chuẩn quốc tế về ma trận cause & effect. Theo phần tóm tắt công khai, ma trận là một dạng trình bày đơn giản để các bộ môn kỹ thuật trao đổi thông tin với nhau, trong dự án cũng như khi bảo trì; nội dung tối thiểu của nó lấy từ tài liệu thiết kế như P&ID. Ma trận C&E có thể ghi lại cách thiết bị nhà máy phản ứng khi có sự cố, nên ma trận là căn cứ để kiểm tra an toàn (safety verification). Đây không phải biểu đồ xương cá (Ishikawa) dùng trong quản lý chất lượng.

Trong ví dụ ở Hình 1, mỗi hàng là một nguyên nhân (cause), mỗi cột là một tác động (effect). Nguyên nhân là điều kiện SIS phát hiện được, ví dụ transmitter áp suất vượt setpoint trip, báo khí đã được xác nhận, hay nút dừng khẩn tại hiện trường. Tác động là việc SIS làm: đóng van shutdown, dừng bơm, phát alarm. Dấu ở chỗ một hàng cắt một cột nghĩa là nguyên nhân đó kéo theo tác động đó. Đọc theo hàng sẽ biết một trip làm những gì; đọc theo cột sẽ biết mọi thứ có thể đóng một van.

Trong bài ICSS là gì, ma trận C&E cho ESD và cho hệ cháy khí (F&G) nằm trong danh sách đầu vào chủ đầu tư cần đưa ra, bên cạnh bản đặc tả yêu cầu an toàn (SRS). Các ma trận này cần có số hiệu và được quản lý phiên bản. IEC 61511-1:2016 đặt yêu cầu cho SIS trong công nghiệp quá trình, từ đặc tả tới vận hành và bảo trì; HSE tóm tắt vòng đời đó từ đánh giá mối nguy và rủi ro tới thẩm định (validation), thử định kỳ (proof test) và quản lý sửa đổi.

Từ ma trận tới logic SIS

IEC 62881 không bao gồm một bước: chuyển các quan hệ trong ma trận thành chương trình cho PLC hoặc DCS, dạng khối chức năng hay code nguồn. Tiêu chuẩn cũng không quy định cách hiện thực logic phức tạp hay logic tuần tự trên một nền tảng điều khiển cụ thể. Bước đó là việc kỹ thuật của đơn vị tích hợp. Mỗi nguyên nhân thành một điều kiện đầu vào trong chương trình, mỗi tác động thành một lệnh đầu ra, mỗi dấu thành một đường logic nối hai bên. Nhờ vậy, chương trình hoàn chỉnh truy ngược được về ma trận, từng ô một. Ma trận được đọc cùng với SRS và các tài liệu thiết kế khác.

Sổ tay AADvance yêu cầu kiểm tra (verification) chương trình bằng cách kết hợp rà soát, mô phỏng và thử (ICSTT-RM446S, tr. 26). Sổ tay Trusted khuyến nghị thử mô phỏng từng khối phần mềm, sau đó ghép chương trình với phần cứng hệ thống và thử tích hợp (ICSTT-RM459K, tr. 24).

Thử theo ma trận: FAT, SAT và thẩm định

IEC 62381:2024 (ấn bản 3.0) là tiêu chuẩn IEC về các bước nghiệm thu hệ tự động hóa trong công nghiệp quá trình. Theo phần tóm tắt công khai, tiêu chuẩn đưa ra yêu cầu và danh mục kiểm tra (checklist) cho nghiệm thu tại xưởng (FAT), thử tích hợp tại xưởng (FIT, không bắt buộc), nghiệm thu tại hiện trường (SAT) và thử tích hợp tại hiện trường (SIT). Các bước thử chứng minh hệ thống đáp ứng đặc tả, và chủ đầu tư, bên mua, nhà cung cấp dùng tiêu chuẩn để thống nhất phạm vi và ai chịu trách nhiệm việc gì; phụ lục có checklist để soạn quy trình thử cho từng dự án. FAT khác SAT ở đâu: xem bài tự động hóa công nghiệp và bảng thuật ngữ.

Với SIS, ma trận C&E giúp lập danh sách thử rất gọn. Mỗi ô có dấu là một nguyên nhân cần mô phỏng và một tác động cần quan sát; đầu ra nào chạy mà không có dấu cũng là một lỗi phải ghi. Cùng một danh sách dùng được ở FAT, trước khi lắp đặt, và dùng lại ở SAT, khi hệ thống đã lắp tại nhà máy.

Sau đó cả hai sổ tay đều yêu cầu thẩm định hệ thống đã tích hợp so với bản đặc tả yêu cầu an toàn. Sổ tay AADvance nói thêm rằng thẩm định phải xác nhận các yêu cầu về thời gian an toàn của quá trình (process safety time) được đáp ứng (ICSTT-RM446S, tr. 27). Sổ tay Trusted nói thẩm định phải cho thấy từng yêu cầu an toàn chức năng đã được thực hiện ở đúng mức toàn vẹn an toàn yêu cầu, và yêu cầu lưu hồ sơ suốt quá trình chạy thử (ICSTT-RM459K, tr. 26). Hướng dẫn của HSE về đánh giá báo cáo an toàn COMAH liệt kê biên bản thử, chạy thử và thẩm định, như biên bản FAT, trong số bằng chứng HSE cần xem.

Bypass, override và forcing

Thiết bị hiện trường phải bảo trì trong khi nhà máy vẫn chạy, nên SIS cần một cách có kiểm soát để một đầu vào không làm trip nhà máy. Sổ tay AADvance yêu cầu kế hoạch vận hành và bảo trì nêu rõ các override dùng khi bảo trì cảm biến, van và động cơ (ICSTT-RM446S, tr. 28). Sổ tay Trusted nói bảo trì cảm biến, van và động cơ có lúc cần override, và override phải làm theo hướng dẫn trong sổ tay (ICSTT-RM459K, tr. 26).

Sổ tay Trusted đặc biệt khuyến cáo không dùng chức năng forcing I/O để bảo trì thiết bị hiện trường, vì forcing chỉ dành cho việc thử chương trình (ICSTT-RM459K, tr. 27). Khi tháo một module không có slot đối (partner) hay smart slot, tức là cấu hình fail-safe, cũng cần tín hiệu override hoặc bypass trong suốt thời gian module được tháo ra, để hệ không tự kích hoạt phản ứng an toàn ngoài ý muốn (tr. 27–28).

Hướng dẫn về hệ điều khiển của HSE đưa việc quản lý override vào quy trình vận hành: cấp phép, bảo mật, ghi chép, theo dõi và xem xét lại các override, cùng yêu cầu về reset. Cũng trang đó nói trip không nên tự reset nếu chưa có lý do xác đáng, và hệ bảo vệ nên hiển thị là đã có yêu cầu tác động chức năng an toàn. Ai được phép đặt bypass vào SIS cũng là chuyện an ninh mạng, nhưng mức an ninh (security level) của IEC 62443 là một thang đo khác hẳn SIL.

Proof test sau khi chạy thử

Chẩn đoán nội bộ không thấy được hết. Theo sổ tay Trusted, trong đa số cấu hình, chẩn đoán của hệ thống không kiểm tra được một số phần: các phần tử thụ động cuối cùng trong một số loại module I/O, các FTA nối với cảm biến, bản thân van và động cơ, và dây hiện trường. Sổ tay yêu cầu thử bảo trì theo kế hoạch để lỗi không tích tụ, với khoảng thời gian tối đa giữa hai lần thử được định ra trong thiết kế, trước khi lắp đặt. Sổ tay đặc biệt khuyến cáo khoảng này dưới 12 tháng, và Phụ lục F của sổ tay nêu các cách làm proof test (ICSTT-RM459K, tr. 27).

Sổ tay AADvance yêu cầu kế hoạch vận hành và bảo trì có quy trình hiệu chuẩn lại cảm biến, van và động cơ. Kế hoạch cũng phải có quy trình thử hệ thống định kỳ và khoảng thời gian tối đa giữa các lần thử (ICSTT-RM446S, tr. 28). Bộ điều khiển chạy xong một chu kỳ tự kiểm tra sau mỗi 24 giờ (tr. 41). Đó là chẩn đoán nội bộ, không phải proof test cả mạch vòng từ cảm biến tới van.

HSE giải thích vì sao khoảng thử quan trọng: xác suất hỏng của hệ bảo vệ phụ thuộc rất lớn vào tần suất proof test và vào khả năng của phép thử tìm ra những hỏng hóc mà vận hành bình thường không lộ ra. HSE yêu cầu có sẵn quy trình proof test, với tiêu chí đạt và không đạt. Phép thử phải đi trọn vòng từ đầu tới cuối, kể cả ống lấy mẫu và ống xung (impulse line), và làm ở điều kiện giống lúc trip. Sau khi thử, phải kiểm tra lại khi đưa từng cảm biến vào làm việc trở lại. Hướng dẫn COMAH của HSE yêu cầu nhà máy nêu tần suất proof test và cách xác định tần suất đó.

Thay đổi logic an toàn: quản lý thay đổi

Ma trận C&E và chương trình thay đổi cùng nhau. Sổ tay Trusted nói thay đổi thiết kế phải được quản lý cẩn thận, theo quy trình viết thành văn bản. Người dùng cuối (end user) chịu trách nhiệm về quy trình này, đơn vị tích hợp đưa hướng dẫn (ICSTT-RM459K, tr. 28). Sau khi đã chốt baseline, mọi thay đổi phải đi theo quy trình quản lý thay đổi chính thức; baseline nên đặt ở cuối mỗi bước của vòng đời, và muộn nhất là trước khi có mối nguy tiềm ẩn. Mỗi yêu cầu thay đổi được ghi hồ sơ, được phân tích ảnh hưởng trước khi duyệt, và phần thử gồm thử chính thay đổi đó và thử hồi quy (non-regression) (tr. 29).

Sổ tay AADvance yêu cầu quy trình kiểm soát thay đổi có hồ sơ yêu cầu sửa đổi, phân tích ảnh hưởng của sửa đổi đề xuất và phê duyệt (ICSTT-RM446S, tr. 24). HSE nói thêm: phải ngăn sửa đổi trái phép, và chỉ người có năng lực mới được thiết kế và thực hiện thay đổi. Kiểm tra an toàn sau thay đổi phải xác nhận chức năng an toàn và mức toàn vẹn yêu cầu vẫn giữ được. Hướng dẫn COMAH của HSE yêu cầu quy trình quản lý thay đổi của nhà máy bao gồm cả hệ an toàn công cụ.

Những gì TDL kiểm trước

Đây là cách làm của chính chúng tôi trên một dự án SIS hay một hệ AADvance, Trusted đang chạy, không phải yêu cầu của hãng:

• Mức SIL mục tiêu của từng chức năng an toàn đến từ đánh giá mối nguy và rủi ro của nhà máy và bản đặc tả yêu cầu an toàn. Chúng tôi thực hiện và thử theo mức đó; chúng tôi không tự đặt ra.
• Chúng tôi kiểm phiên bản ma trận C&E có khớp phiên bản SRS và chương trình trong bộ điều khiển không, và liệt kê nguyên nhân hay tác động nào có ở bên này mà không có ở bên kia.
• Chúng tôi đọc triết lý bypass và override trước khi viết logic: đầu vào nào được bypass, ai cho phép, bypass hiện trên màn hình vận hành thế nào, reset ra sao.
• Chúng tôi xin quy trình proof test và khoảng thời gian thử, rồi kiểm xem logic và màn hình có hỗ trợ các bước thử đó không.
• Chúng tôi thống nhất quy trình FAT và SAT với chủ đầu tư hoặc EPC trước khi thử, soạn từ ma trận để ô nào có dấu cũng có một bước thử.
• Trên hệ đang chạy, chúng tôi backup và so chương trình với baseline được duyệt gần nhất trước mọi thay đổi.

TDL tiếp cận thế nào

TDL làm SIS cho các chức năng SIL 2 và SIL 3 trên AADvance và Trusted, gồm cả ESD và Fire & Gas. Dịch vụ ICSS và hệ an toàn của chúng tôi gồm thực hiện ma trận cause & effect và thử nghiệm có chứng kiến (witnessed testing). Gói hệ điều khiển cho nhà thầu EPC cũng gồm thử nghiệm và chạy thử. Tại Trạm phân phối khí Phú Mỹ, chúng tôi lắp đặt và lập trình hệ van chặn đầu vào trên AADvance và ControlLogix, tới chạy thử và bàn giao. Tại Nhà máy Nhiệt điện Thái Bình 2, chúng tôi tư vấn kỹ thuật cho hệ ESD trên Trusted, gồm vận hành và thử tại hiện trường theo tài liệu SAT. Tại Golden Pass LNG ở Texas, một kỹ sư TDL đã thử chức năng BMS/SIS cho các chức năng an toàn SIL 2 trong lúc chạy thử.