Заобикаляне на входовете за безопасност на Triconex и HIMA без нарушаване на SIL интегритета

Аварийният байпас не е удобен пряк път, а строго контролиранo отклонение от сертифицираните граници на безопасност. Макар IEC 61511 да изисква нормалното непрекъснато производство никога да не зависи от деактивирана защита, непрекъснатите производствени инсталации - включително етиленови пиролизни инсталации, влакове за втечняване на LNG и офшорни платформи - често се сблъскват със ситуации, в които работещ сензор трябва да бъде изолиран. Трансмитерът за диференциално налягане може да се отклони по време на горещо присъединяване, превключвателят за високо ниво може да не издържи проверката на функционирането, а оптичният скенер за пламък може да деградира по средата на производствената кампания. В тези случаи обектите се нуждаят от структурирана философия за байпас, а не от импровизиран бутон за байпас.

По същество полевите инженери трябва да разграничават два режима на работа в архитектури SIL3:

• Блокиране: Напълно прекъсва физическия сигнален път към логиката за задействане. Triconex го определя като Permissive to Bypass, докато HIMA го обозначава като Bypass Inhibit.
• Заместваща стойност: Въвежда предварително зададена фиксирана числова заместваща стойност в логическия решаващ модул. Triconex го обозначава като Forced Input, а HIMA използва термина Bypass Substitute.

Изборът на неправилен режим може да замрази работещ трансмитер на остаряла безопасна стойност, прикривайки реално отклонение в процеса и създавайки катастрофални слепи зони.

Защо структуриран байпас е разрешен съгласно IEC 61511 при работещи инсталации?

Инженерите често обсъждат дали временните замествания компрометират сертифицираните стандарти за безопасност. IEC 61511 изрично допуска байпаси по време на определени оперативни фази: стартиране на инсталацията, проверка на функционирането и онлайн поддръжка на приборите. Стандартът строго забранява единствено третирането на временния байпас като постоянен оперативен обходен вариант.

Всеки временен байпас временно понижава коефициента на намаляване на риска (RRF) на тази инструментална функция за безопасност (SIF). Без дисциплинирани компенсиращи мерки оперативните екипи рискуват да експлоатират технологичен блок без наблюдение, като същевременно приемат, че автоматизираният слой за безопасност е напълно бдителен.

Как регистърът за байпас MISER на Triconex управлява гласуването 2oo3 и PFDavg?

В логически решаващи модули Triconex, работещи с тройно модулно резервиране (TMR) и гласуване две от три (2oo3), всеки входен канал съдържа 16-битова дума за състоянието на байпаса:

• Бит 0: Флаг за глобално разрешаване на байпаса.
• Бит 1: Селектор на режима (блокиране срещу заместваща стойност).
• Битове 2–15: Идентификатор на кода на причината за MOC на обекта.

Въвеждането на правилния код на причината за MOC е задължително за одитите за съответствие. Важно е, че байпасирането на вход на аналогова карта - например на аналоговия входен модул Invensys Triconex 3720 - не изключва канала от вътрешната диагностика. Вместо това логиката за гласуване преминава от 2oo3 към конфигурация 1oo2 през останалите два канала.

При работа в режим 1oo2 средната вероятност за отказ при необходимост ($PFD_{avg}$) незабавно се увеличава. Непрекъснатото диагностично анкетиране чрез специализиран мрежов хардуер, като високоскоростния комуникационен модул Invensys Triconex 4354, гарантира, че всеки втори хардуерен отказ ще бъде сигнализиран незабавно, което изисква възстановяване на контура в рамките на текущата смяна.

Как контролерите за безопасност HIMA налагат таймери за изтичане и HART диагностика?

Системите за безопасност HIMA - включително контролера, свързан с безопасността HIMA HIMatrix F35 и модулните I/O устройства като модула HIMA F3 DIO 20/8 01 - използват таблица за байпас, специфична за всеки канал. Всеки запис в таблицата свързва физическия адрес на канала с идентификатора на операторската карта, документирано основание и твърдо ограничение на времето.

Най-добрата практика изисква таймерът за изтичане на байпаса да бъде ограничен до осем часа или до продължителността на текущата смяна. Фърмуерът на HIMA генерира автоматично предупреждение, когато байпасът достигне 75% от разрешения си срок.

Също толкова важно е да се проверява диагностичната телеметрия на HART: когато аналогов контур бъде поставен в байпас, HART команда 03 (четене на динамични променливи и аналогов вход) трябва да маркира технологичната променлива с BAD Quality. Ако DCS получава бит за качество "Good", докато задействането на SIS е деактивирано, операторите могат погрешно да разчитат на фантомна стойност.

Какъв е полевият протокол за байпас, съответстващ на изискванията за одит?

За да изпълните байпас, готов за одит, без да компрометирате нивото на безопасност на инсталацията, следвайте тези основни оперативни указания:

• Първо проверете полевата диагностика: Свържете полеви комуникатор, за да проверите първичната променлива (PV), думата за състоянието на устройството и необработения токов изход в милиампери, преди да променяте логиката.
• Осигурете разрешение за управление на промените (MOC): Документирайте точния таг на SIF, SIL класификацията, целевата продължителност и оценката на риска, преди да поискате достъп до работната станция.
• Установете компенсиращи мерки: Определете специално назначен полеви оператор за ежечасно ръчно наблюдение и поддържайте директна двупосочна радиовръзка с операторския пулт.
• Разрешавайте само от инженерни работни станции: И Triconex, и HIMA строго забраняват инициирането на замествания на функции за безопасност от полеви съединителни кутии или клемни шкафове.
• Проверете сигнализацията на задействането: Потвърдете в архиватора на алармите, че засегнатата SIF е регистрирана като MAINTENANCE или BYPASSED.
• Извършете стендови проверки на трансмитера и своевременно възстановяване: Проверете повторно нулевата точка и обхвата спрямо сертифицираните записи за калибриране, възстановете входния канал, уверете се, че изходните превключватели - като цифровия изходен модул Invensys 3601T Triconex - се връщат към нормална работа, и официално подпишете регистъра за MOC.

Кои HART сигнатури за отказ никога не трябва да бъдат маскирани?

Определени диагностични сигнали от приборите показват пълна загуба на способността за измерване и никога не трябва да бъдат маскирани чрез заместваща стойност. Незабавно отхвърлете заявките за байпас, ако телеметрията на устройството сигнализира:

• OUT_OF_CALIBRATION или HARDWARE_FAILURE
• CONFIG_CORRUPT в енергонезависимата памет
• Кодове за състояние на преобразувателя, указващи OPEN_TRANSDUCER или SHORTED_TRANSDUCER

Замяната на тези конкретни флагове прави логическия решаващ модул сляп за напълно отказалия сензор. За разлика от това, незначителни временни предупреждения като PV_TRAVELLED_TOO_FAST или временни сигнали LOW_POWER могат да бъдат управлявани в рамките на кратки, контролирани прозорци за поддръжка.

Как инсталациите могат да предотвратят дългосрочна деградация на SIL поради деактивирани контури?

Поддържането на функционалната безопасност изисква непрекъсната административна и автоматизирана бдителност. Проследявайте продължителността на байпаса за всяка SIF като основен месечен KPI: ако един защитен контур надхвърли общо един час байпас за месец, разследвайте и отстранете първопричините, вместо постоянно да удължавате заместванията.

Архивирайте всички одитни журнали на тримесечие, провеждайте прегледи при предаване на смените спрямо активния регистър на байпасите и организирайте ежегодно обучение, базирано на сценарии, на пултовете Triconex и HIMA, за да поддържате висока инженерна дисциплина.

За автора: Уейфън Хан е инженер по индустриална автоматизация с над 10 години практически опит в PLC, DCS, системи за безопасност SIL3 и инженеринг на функционалната безопасност.