ในโรงงานปิโตรเคมี โรงไฟฟ้า และโรงงานที่มีวัตถุอันตราย ระบบควบคุมหลัก (BPCS – Basic Process Control System) ไม่เพียงพอที่จะป้องกันอุบัติเหตุร้ายแรง เพราะ BPCS อาจล้มเหลวได้จากหลายสาเหตุ: Sensor Fault, Actuator Stuck, Software Bug, หรือ Power Surge นี่คือเหตุผลที่มาตรฐาน IEC 61508 กำหนดให้ใช้ Safety PLC (Programmable Electronic Safety System) เป็นชั้นป้องกันอิสระ (Independent Protection Layer) ที่แยกขาดจากระบบควบคุมหลัก เพื่อดำเนินการเมื่อ BPCS ไม่สามารถยับยั้งความเสียหายได้ทัน
IEC 61508 และ SIL (Safety Integrity Level)
IEC 61508 คือมาตรฐานสากล “Functional Safety of Electrical/Electronic/Programmable Electronic Safety-related Systems” แบ่ง Safety Integrity ออกเป็น 4 ระดับ (SIL 1 ถึง SIL 4) โดยแต่ละระดับมีค่า PFD (Probability of Failure on Demand) และ RRF (Risk Reduction Factor) ที่กำหนด:
| SIL Level | PFD (Low Demand) | Risk Reduction Factor | ตัวอย่างการใช้งาน |
|---|---|---|---|
| SIL 1 | 10^-2 ถึง 10^-1 | 10 – 100 | Alarm & Interlock ทั่วไป |
| SIL 2 | 10^-3 ถึง 10^-2 | 100 – 1,000 | Burner Management System |
| SIL 3 | 10^-4 ถึง 10^-3 | 1,000 – 10,000 | ESD (Emergency Shutdown) |
| SIL 4 | 10^-5 ถึง 10^-4 | 10,000 – 100,000 | นิวเคลียร์, Offshore Platform |
สถาปัตยกรรม Safety PLC ทำงานอย่างไร?
Safety PLC แตกต่างจาก Standard PLC อย่างสิ้นเชิงในเชิงสถาปัตยกรรม โดยออกแบบให้ “Fail-Safe” เสมอ หมายความว่าถ้าเกิดความผิดพลาดภายใน ระบบจะตัดสินใจไปที่สถานะปลอดภัย (ปิด Valve, หยุด Pump, ตัดไฟ) แทนที่จะทำงานต่อ:
- Dual / Quad Processor Architecture: มี CPU 2-4 ตัวทำงานพร้อมกัน เปรียบเทียบผลทุก Cycle ถ้าผลไม่ตรงกัน ระบบจะ Trip ทันที
- 2oo3 Voting (Two-out-of-Three): ใช้ในงาน SIL 3 ที่ต้องการทั้งความปลอดภัยและความพร้อมใช้งานสูง ถ้า CPU 2 ใน 3 เห็นด้วยกัน ระบบจะดำเนินการ ป้องกัน False Trip จาก CPU เสีย 1 ตัว
- Hardware Watchdog: Timer ฮาร์ดแวร์แยกต่างหาก ถ้า CPU ค้าง Watchdog จะบังคับให้ Output ไปที่ Fail-Safe State ภายในเวลาที่กำหนด
- Self-Diagnostic Coverage > 99%: ตรวจสอบ RAM, ROM, I/O, Communication และ Power Supply ตลอดเวลา โดยไม่กระทบการทำงานหลัก
- Diverse Redundancy: บางระบบใช้ CPU จากทีมออกแบบคนละกลุ่ม (Diverse Design) เพื่อหลีกเลี่ยง Common Cause Failure
ตารางเปรียบเทียบ: Standard PLC vs Safety PLC
| คุณสมบัติ | Standard PLC | Safety PLC |
|---|---|---|
| Certification | ไม่มี | TUV / exida (SIL 2-3) |
| Diagnostic Coverage | 60-90% | > 99% |
| Failure Mode | สุ่ม (อาจ Fail ในทิศทางใดก็ได้) | Fail-Safe เสมอ |
| Hardware Architecture | Single CPU | Dual/Quad CPU + Voting |
| Programming Standard | IEC 61131-3 | IEC 61131-3 + IEC 61508 |
| Response Time | 1-10 ms | < 5 ms (กำหนดได้และรับประกัน) |
มาตรฐานที่เกี่ยวข้องในแต่ละอุตสาหกรรม
IEC 61508 เป็นมาตรฐานหลัก (Generic) แต่ละอุตสาหกรรมมีมาตรฐานย่อย (Sector-Specific) ที่อิงจาก IEC 61508:
- IEC 61511: Process Industry (ปิโตรเคมี, น้ำมัน, ก๊าซ) ครอบคลุม SIS (Safety Instrumented System) ตั้งแต่ Sensor, Logic Solver ถึง Final Element
- IEC 62061: Machinery Safety สำหรับเครื่องจักรอุตสาหกรรม ทำงานร่วมกับ ISO 13849
- ISO 13849: Safety of Machinery ใช้ Performance Level (PL a-e) แทน SIL นิยมในงาน Automation และ Robotics
- NFPA 85 / NFPA 86: Boiler & Combustion Safety กำหนด Burner Management System (BMS) ที่ต้องใช้ Safety PLC ระดับ SIL 2-3
[Key Insight] การศึกษาจาก Oil and Gas Producers (OGP) พบว่าอุบัติเหตุในอุตสาหกรรม Process ประมาณ 65% เกิดจากความล้มเหลวของ SIS ที่ไม่ได้รับการทดสอบ (Untested) ไม่ใช่จาก Hardware ที่ไม่ดีพอ นี่คือเหตุผลที่ IEC 61511 กำหนดให้ Proof Testing (ทดสอบฟังก์ชัน Safety) ทุก 6 เดือนถึง 2 ปี ตาม SIL Level
กระบวนการ Safety Lifecycle ตาม IEC 61508 / 61511
Safety PLC ไม่ใช่แค่ซื้อฮาร์ดแวร์แล้วติดตั้ง IEC 61508 กำหนด Functional Safety Lifecycle 16 ขั้นตอน ตั้งแต่ Hazard & Risk Analysis ไปจนถึง Decommissioning ขั้นตอนสำคัญคือ:
- Hazard & Risk Analysis (HAZOP, LOPA): ระบุอันตรายและคำนวณ SIL Target ที่ต้องการ
- SIS Design: เลือก Safety PLC, Sensor, Final Element ที่ผ่าน Certification ตาม SIL Target
- Verification: คำนวณ PFDavg จริงจาก Architecture เพื่อยืนยันว่าตรง SIL Target
- Operation & Maintenance: Proof Testing, Bypass Management, Modification Control
- Audit: ตรวจสอบ Functional Safety Assessment (FSA) ระยะ 1-3
Key Takeaways
- Safety PLC คือชั้นป้องกันอิสระที่แยกจากระบบควบคุมหลัก ทำงานเมื่อ BPCS ล้มเหลว
- SIL 1-4 กำหนด Probability of Failure on Demand ตั้งแต่ 10^-1 ถึง 10^-5
- 2oo3 Voting คือสถาปัตยกรรมที่สมดุลระหว่าง Safety และ Availability
- Diagnostic Coverage > 99% ทำให้ Safety PLC สามารถ Detect Fault ได้เกือบทั้งหมด
- มาตรฐาน IEC 61511 สำหรับ Process, IEC 62061 / ISO 13849 สำหรับ Machinery
- 65% ของอุบัติเหตุ SIS มาจากการไม่ Proof Test ไม่ใช่จาก Hardware ที่ไม่ดี
- Functional Safety Lifecycle 16 ขั้นตอนบังคับใช้ ตั้งแต่ HAZOP ถึง Decommissioning
Honey Corporation ให้คำปรึกษาครบวงจรด้าน Functional Safety ตามมาตรฐาน IEC 61508 / IEC 61511 ตั้งแต่การทำ HAZOP & LOPA Workshop, SIL Determination Study, SIS Design, ไปจนถึง Proof Testing และ Functional Safety Audit ทีมวิศวกรของเรามีใบรับรอง TÜV FS Eng (Functional Safety Engineer) พร้อมดูแลลูกค้าให้มีระบบ Safety ที่ผ่าน Certification และบรรลุเป้าหมาย SIL ตามที่กำหนด