تجاوز مدخلات الأمان في Triconex وHIMA دون الإخلال بسلامة SIL

لا يُعد تجاوز نظام السلامة اختصارًا ملائمًا؛ بل هو انحراف خاضع لرقابة صارمة عن نطاق سلامة معتمد. وبينما تنص IEC 61511 على أن الإنتاج المستمر الطبيعي يجب ألا يعتمد مطلقًا على وظيفة فصل معطّلة، تواجه مصانع العمليات المستمرة - بما فيها وحدات تكسير الإيثيلين، وقطارات تسييل الغاز الطبيعي المسال، والمنصات البحرية - حالات تستلزم عزل مستشعر قيد التشغيل. فقد ينحرف مرسل الضغط التفاضلي أثناء إجراء توصيل حي، أو قد يفشل مفتاح المستوى المرتفع في اختبار إثبات الصلاحية، أو قد يتدهور ماسح اللهب البصري في منتصف الحملة التشغيلية. وفي هذه السيناريوهات، تحتاج المواقع إلى فلسفة تجاوز منظمة بدلًا من زر تجاوز ارتجالي.

بصفة أساسية، يجب على مهندسي الحقل التمييز بين نمطي تشغيل ضمن بنيات SIL3:

• التثبيط: يفصل بالكامل مسار الإشارة المادي عن منطق الفصل. وتعرّفه Triconex باسم السماح بالتجاوز، بينما تسميه HIMA تثبيط التجاوز.
• التجاوز القسري: يحقن قيمة بديلة رقمية ثابتة ومحددة مسبقًا في محلل المنطق. وتسميه Triconex المدخل القسري، بينما تشير إليه HIMA باسم بديل التجاوز.

قد يؤدي اختيار الوضع غير الصحيح إلى تثبيت مرسل قيد التشغيل عند قراءة آمنة قديمة، ما يحجب انحرافًا حقيقيًا في العملية وينشئ نقاط عمياء كارثية.

لماذا يُسمح بالتجاوز المنظم بموجب IEC 61511 في المصانع قيد التشغيل؟

كثيرًا ما يناقش المهندسون ما إذا كانت التجاوزات المؤقتة تقوّض معايير السلامة المعتمدة. وتستوعب IEC 61511 صراحةً التجاوزات أثناء مراحل تشغيلية محددة: بدء تشغيل المصنع، واختبار إثبات الصلاحية، وصيانة الأجهزة أثناء التشغيل. وما تحظره المواصفة حظرًا صارمًا هو التعامل مع التجاوز المؤقت باعتباره حلًا تشغيليًا دائمًا.

يؤدي كل تجاوز مؤقت إلى خفض عامل تقليل المخاطر (RRF) لوظيفة الأجهزة instrumented للسلامة (SIF) مؤقتًا. ومن دون تدابير تعويضية منضبطة، تخاطر فرق التشغيل بتشغيل وحدة عملية وهي عمياء، مع افتراض أن طبقة السلامة الآلية تعمل بكامل يقظتها.

كيف يدير سجل تجاوز MISER من Triconex التصويت 2oo3 وPFDavg؟

في محللات منطق Triconex التي تعمل بالتكرار المعياري الثلاثي (TMR) والتصويت اثنين من ثلاثة (2oo3)، تحمل كل قناة دخل كلمة حالة تجاوز Bypass Status Word بطول 16 بت:

• البت 0: علامة تمكين التجاوز العام.
• البت 1: محدد الوضع (تثبيط مقابل تجاوز قسري).
• البتات 2–15: معرّف رمز سبب إدارة التغيير (MOC) الخاص بالموقع.

تُعد كتابة رمز سبب MOC الصحيح إلزامية لعمليات تدقيق الامتثال. والأهم أن تجاوز دخل في بطاقة تماثلية - مثل وحدة الدخل التماثلي Inv​​ensys Triconex 3720 - لا يفصل القناة عن التشخيصات الداخلية. بل يتدهور منطق التصويت من 2oo3 إلى ترتيب 1oo2 عبر القناتين المتبقيتين.

في حالة التشغيل 1oo2، يزداد متوسط احتمال الفشل عند الطلب ($PFD_{avg}$) فورًا. ويضمن الاستقصاء التشخيصي المستمر عبر أجهزة شبكية مخصصة، مثل وحدة الاتصالات عالية السرعة Inv​​ensys Triconex 4354، الإبلاغ الفوري عن أي عطل ثانٍ في الأجهزة، ما يتطلب استعادة الحلقة خلال الوردية الحالية.

كيف تفرض وحدات التحكم بالسلامة من HIMA مؤقتات الانتهاء وتشخيصات HART؟

تستخدم أنظمة السلامة من HIMA - بما فيها وحدة التحكم المرتبطة بالسلامة HIMA HIMatrix F35 ووحدات الإدخال والإخراج المعيارية مثل وحدة HIMA F3 DIO 20/8 01 - جدول تجاوز خاصًا بكل قناة. ويربط كل إدخال في الجدول عنوان القناة المادية بمعرّف بطاقة المشغل، ومبرر موثق، ومهلة زمنية قصوى.

تقضي أفضل الممارسات بتحديد مؤقت انتهاء التجاوز بثماني ساعات أو بمدة الوردية الحالية، أيهما أقصر. وتُنشئ برمجيات HIMA الثابتة تنبيهًا آليًا عند وصول التجاوز إلى 75% من عمره المسموح.

ومن الأهمية نفسها التحقق من بيانات تشخيص HART: فعند وضع حلقة تماثلية في حالة تجاوز، يجب أن يضع أمر HART 03 (قراءة المتغيرات الديناميكية والمدخل التماثلي) علامة جودة سيئة على متغير العملية. وإذا استقبل نظام DCS بت جودة "جيدة" بينما يكون فصل SIS معطّلًا، فقد يعتمد المشغلون بالخطأ على قراءة وهمية.

ما البروتوكول الميداني للتجاوز المتوافق مع متطلبات التدقيق؟

لتنفيذ تجاوز جاهز للتدقيق من دون المساس بسلامة المصنع، اتبع الإرشادات التشغيلية الأساسية التالية:

• افحص تشخيصات الحقل أولًا: صِل جهاز اتصال ميدانيًا لفحص المتغير الأساسي (PV)، وكلمة حالة الجهاز، وخرج الملي أمبير الخام قبل تعديل المنطق.
• أمّن تفويض إدارة التغيير (MOC): وثّق وسم SIF الدقيق، وتصنيف SIL، والمدة المستهدفة، وتقييم المخاطر قبل طلب الوصول إلى محطة العمل.
• أنشئ تدابير تعويضية: عيّن مشغلًا ميدانيًا مخصصًا للمراقبة اليدوية كل ساعة، وحافظ على اتصال لاسلكي مباشر ثنائي الاتجاه مع منصة التحكم.
• فعّل التجاوز من محطات العمل الهندسية فقط: تحظر كل من Triconex وHIMA حظرًا صارمًا بدء تجاوزات السلامة من صناديق التوصيل الميدانية أو أطراف التجميع.
• تحقق من إعلان الفصل: تأكد في سجل الإنذارات من تسجيل SIF المتأثرة بالحالة صيانة أو تم تجاوزها.
• أجرِ فحوصات المنضدة للمرسل واستعد التشغيل في الوقت المناسب: أعد التحقق من الصفر والمدى مقابل سجلات المعايرة المعتمدة، واستعد قناة الدخل، وتأكد من عودة مفاتيح الخرج - مثل وحدة الخرج الرقمي Inv​​ensys 3601T Triconex - إلى التشغيل الطبيعي، ووقّع رسميًا على سجل MOC.

ما توقيعات أعطال HART التي يجب ألا تُحجب مطلقًا؟

تشير بعض تشخيصات الأجهزة إلى فقدان كامل لقدرة الاستشعار، ويجب ألا تُحجب مطلقًا باستخدام تجاوز قسري. ارفض طلبات التجاوز فورًا إذا أشارت بيانات الجهاز إلى:

• OUT_OF_CALIBRATION أو HARDWARE_FAILURE
• CONFIG_CORRUPT في الذاكرة غير المتطايرة
• رموز حالة محول الطاقة التي تشير إلى OPEN_TRANSDUCER أو SHORTED_TRANSDUCER

يؤدي تجاوز هذه العلامات المحددة إلى حجب المستشعر المتعطل بالكامل عن محلل المنطق. وعلى العكس، يمكن إدارة التحذيرات العابرة البسيطة، مثل PV_TRAVELLED_TOO_FAST أو تنبيهات LOW_POWER المؤقتة، ضمن نوافذ صيانة قصيرة وخاضعة للإشراف.

كيف يمكن للمصانع منع تدهور SIL طويل الأمد الناتج عن الحلقات المعطّلة؟

يتطلب الحفاظ على سلامة السلامة الوظيفية يقظة إدارية وآلية مستمرة. تتبّع مدد التجاوز لكل SIF باعتبارها مؤشر أداء رئيسيًا شهريًا: فإذا تجاوزت أي حلقة سلامة ساعة تراكمية واحدة من التجاوز خلال شهر، فابحث في الأسباب الجذرية وعالجها بدلًا من تمديد التجاوزات باستمرار.

أرشف جميع سجلات التدقيق كل ثلاثة أشهر، وأجرِ مراجعات تسليم الورديات بالاستناد إلى سجل التجاوز النشط، ونفّذ تدريبًا سنويًا قائمًا على السيناريوهات على منصات Triconex وHIMA للحفاظ على الانضباط الهندسي.

عن المؤلف: وي فنغ هان مهندس أتمتة صناعية يتمتع بأكثر من 10 سنوات من الخبرة العملية في أنظمة PLC وDCS وأنظمة السلامة SIL3 وهندسة السلامة الوظيفية.