IEC 61511 Управление на безопасен байпас и превключване: Практическо ръководство за HIMA HIMatrix F60 и Triconex T3000

Защо управлението на обходите е риск за съответствието

Всеки полеви инженер е заобикалял сензор по време на поддръжка. Истинският въпрос е дали този обход е бил разрешен, регистриран и затворен навреме. IEC 61511 Клауза 11.9 прави управлението на обходите задължителен елемент от жизнения цикъл, а не опционална добра практика. Неспазването на това изискване обезсилва вашето SIL твърдение и излага съоръжението на неоткрити опасни повреди.

HIMA HIMatrix F60 и Triconex T3000 и двата предлагат хардуерни механизми за инхибиране. Въпреки това, процедурата около тези механизми определя дали сте в съответствие с IEC 61511 или просто сте направили обход без следа. Безопасният обход временно деактивира конкретен канал или функция. Безопасното презаписване (override) принуждава изхода да бъде в определено състояние независимо от логиката. И двата носят различни рискови профили и изискват различни нива на разрешение.

Класификация на обходите: Три категории, които трябва да разграничите

IEC 61511 не дефинира единен тип обход. Трябва да класифицирате всяко действие преди да го приложите. Трите категории са инхибиране за поддръжка, обход при доказателствен тест и аварийно презаписване:

• Инхибиране за поддръжка: деактивира един входен канал по време на калибрация. Разрешено от инженер по SIS, максимална продължителност 4 часа, изисква разрешително за работа.
• Обход при доказателствен тест: спира логиката на гласуване за един от два или три канала. Разрешено от мениджъра по безопасност, не трябва да надвишава интервала на доказателствения тест, разделен на три.
• Аварийно презаписване: принуждава изхода на ESD клапан да бъде отворен или затворен по време на необичаен старт. Разрешено съвместно от мениджъра на операциите и служителя по безопасност, максимална продължителност 15 минути.

На HIMA HIMatrix F60 всеки тип обход съответства на различен клас променливи в SILworx. Инхибирането за поддръжка използва F-DI инхибиращ бит в програмата за безопасност. Обходът при доказателствен тест използва специален функционален блок TEST_MODE_CH. Аварийното презаписване използва блока FORCE_OUT с хардуерно заключване с ключ. HIMatrix F3 DIO модулът осигурява физическите входно-изходни канали, които тези инхибиращи битове контролират.

На Triconex T3000 TriStation 1131 предоставя инструкция BYPASS_DI и отделна инструкция FORCE_DO. И двете изискват уникално потребителско име и парола в одитния журнал на TriStation. T3000 автоматично отбелязва всяка промяна на състоянието с времева маркировка с резолюция 1 милисекунда SOE.

Процедура за хардуерно инхибиране на HIMA HIMatrix F60

• Стъпка 1: Отворете SILworx проекта онлайн. Отидете в I/O Manager и потвърдете, че статусът на канала е GOOD преди да приложите инхибиране.
• Стъпка 2: Задайте променливата INHIBIT_CH за целевия канал на TRUE. Проверете дали диагностичният дисплей на HIMatrix показва състояние INHIBIT, а не FAULT.
• Стъпка 3: Потвърдете, че логиката на гласуване все още работи правилно на останалите канали. За 2oo3 сензор логиката трябва да работи в режим 1oo2 по време на инхибиране. Проверете изходния бит VOTER_STATUS на HIMatrix F3 DIO модула.
• Стъпка 4: Запишете началното време на инхибиране, ID на канала, причина за обхода и името на упълномощеното лице в системата за разрешителни за работа. Задайте аларма с максимална продължителност 4 часа в DCS или SCADA системата, използвайки TON таймер с предварително зададено T#4H.
• Стъпка 5: Извършете поддръжката. Не напускайте операторската зала по време на инхибиране.
• Стъпка 6: Нулирайте INHIBIT_CH на FALSE. Проверете дали каналът се връща в статус GOOD. Подпишете разрешителното за работа с отчет за състоянието на канала и времева маркировка. Ако каналът не се върне в GOOD статус след нулиране, не премахвайте инхибирането — разследвайте полевото окабеляване преди да възстановите нормалното гласуване.

Хардуерно презаписване на Triconex T3000: Конфигурация на FORCE_DO

Архитектурата Triconex T3000 TMR осигурява гласуване с три канала на всеки изход. Инструкцията FORCE_DO презаписва това гласуване и управлява физическото реле независимо от логическото състояние. Конфигурирайте FORCE_DO в TriStation по следния начин:

Първо, функционалният блок изисква вход FORCE_ENABLE, управляван от специален хардуерен ключов превключвател. Свържете ключа към свободен цифров вход на TRICON шасито, а не към софтуерна променлива — това предотвратява неоторизирано софтуерно презаписване. Второ, свържете FORCE_DO.OUTPUT към изходната променлива на соленоида на ESD клапана. Задайте FORCE_DO.FORCE_VALUE на необходимото безопасно състояние (TRUE за нормално отворени клапани, FALSE за нормално затворени). Трето, добавете TON таймер с предварително зададено T#15M към входа FORCE_ENABLE. Презаписването автоматично изтича след 15 минути без необходимост от операторска намеса — удовлетворявайки изискването за автоматично изтичане на времето в IEC 61511 Клауза 11.9.4.

T3000 SOE записва всяка активация на FORCE_DO с потребителско име, времева маркировка и състоянието на канала преди и след. Експортирайте тези записи към вашата CMMS в рамките на 24 часа след всяко събитие с презаписване.

Изчисляване на въздействието върху PFDavg при продължителни обходи

Всяка час, през който канал остава инхибиран, увеличава вероятността за повреда при поискване за този цикъл. За SIL 2 цикъл с опасна неоткрита повреда λDU от 1×10⁻⁵ на час и интервал на доказателствен тест Ti от 8 760 часа, базовият PFDavg е 0.0438.

Ако инхибирате един канал от 2oo3 гласуващ за 4 часа, ефективното гласуване се влошава до 1oo2. Пресметнете PFDavg с формулата за 1oo2: PFDavg = 3 × (λDU × Ti/2)². Моментният PFD за влошения гласуващ се повишава до приблизително 1.4×10⁻⁶ за този 4-часов прозорец — оставайки в границите на SIL 2 (PFD 10⁻³ до 10⁻²), което потвърждава, че обходът е приемлив. Ако поддръжката продължи повече от 4 часа, незабавно уведомете мениджъра по безопасност. Обход, по-дълъг от одобрения период, изисква формално въвеждане в Управлението на промените (MOC) и преразглеждане на безопасностния случай преди продължаване.

Петстъпков процес за одитна следа за съответствие с IEC 61511

• Стъпка 1: Поддържайте регистър на обходите в своята CMMS (SAP PM, Maximo или еквивалент). Всяка запис трябва да съдържа таг на цикъла, тип обход, начален час, упълномощено лице и очакван краен час.
• Стъпка 2: Конфигурирайте HIMA HIMatrix SILworx да записва промените в състоянието INHIBIT_CH към OPC DA сървър таг. Конфигурирайте Triconex T3000 SOE да експортира към OSIsoft PI Historian с атрибути на IEC 61511 asset framework.
• Стъпка 3: Задайте SCADA аларма за всеки обход, който надвишава одобрената продължителност с повече от 10 минути. Приоритетът на алармата трябва да бъде ISA-18.2 Приоритет 1 (критичен за безопасността).
• Стъпка 4: След всеки обход, проверете дали възстановеното отчитане на канала е в рамките на ±1% от съседния референтен предавател. Запишете стойностите as-found и as-left в разрешителното за обход.
• Стъпка 5: Месечно генерирайте отчет за честотата на обходите от PI Historian. Цикли с повече от 2 обхода на месец изискват преглед на коренната причина и план за коригиращи действия в рамките на 30 дни. Автоматично съпоставяйте записите за обходи в SCADA с работните поръчки в CMMS чрез дневен скрипт за сверяване, който извлича данни от OPC UA и CMMS REST API.

Заключение и препоръки за действие

Управлението на безопасни обходи и презаписвания пряко влияе върху изчислението на PFDavg, което оправдава вашето SIL 2 твърдение. HIMA HIMatrix F60 предоставя инхибиращи битове на ниво SILworx с автоматична диагностика. Triconex T3000 предлага FORCE_DO с хардуерно заключване с ключ и времеви маркировки в SOE. Никоя от платформите не ви защитава, ако съпътстващата процедура е неформална или липсва.

Започнете с одит на текущия си регистър на обходите. Ако не можете да предоставите пълен списък на всички активни обходи за по-малко от 5 минути, системата ви има пропуск в съответствието. Внедрете описания петстъпков процес за одитна следа преди следващия ви трети преглед по IEC 61511. Цената на несъответствие е пълна ревизия на безопасностния случай — много по-скъпо от правилното изграждане на следата от самото начало.

Автор: Чен Мингджи е инженер по индустриална автоматизация с над 10 години опит в PLC, DCS и системи за управление.