Umgehen einer Sicherheitsfunktion ohne Verstoß gegen IEC 61511: Ein Praxisleitfaden für Triconex und HIMA

Sicherheitsgerichtete Systeme (SIS) dienen dazu, das Betriebsrisiko auf ein akzeptables Maß zu reduzieren. Während der Inbetriebnahme, routinemäßiger Wartungsarbeiten und planmäßiger Wiederholungsprüfungen können Sicherheitskreise jedoch nicht immer unter Standardparametern betrieben werden. Wenn Sie eine Verriegelung außer Kraft setzen oder übersteuern, steigt das Anlagenrisiko naturgemäß. Bei ordnungsgemäßer Handhabung unter strenger ingenieurtechnischer Disziplin verhindert ein temporärer Bypass Fehlauslösungen und schützt gleichzeitig Menschenleben und Anlagenwerte.

IEC 61511 legt präzise Leitplanken für die Überbrückung sicherheitsgerichteter Funktionen (SIFs) fest. Dieser Praxisleitfaden überträgt diese strengen Bestimmungen in konkrete technische Maßnahmen für Ingenieure, die mit Sicherheitsarchitekturen von Schneider Electric / Invensys Triconex und HIMA arbeiten.

Warum ist das Überbrücken einer Sicherheitsfunktion gemäß IEC 61511 überhaupt zulässig?

Ingenieure fragen häufig, ob das Überbrücken einer sicherheitsgerichteten Funktion gegen die Standards für Sicherheitsintegrität verstößt. Die kurze Antwort lautet: nein, sofern es IEC 61511, Abschnitt 16, entspricht. Wartung, Kalibrierung und Wiederholungsprüfungen erfordern zwangsläufig die Isolierung eines Sensors oder Stellglieds, ohne eine gesamte Prozessstraße abschalten zu müssen.

Ein nicht überwachter oder nicht protokollierter Bypass ist jedoch weitaus gefährlicher als gar kein Schutz, weil Bediener davon ausgehen, dass der Schutz aktiv ist, obwohl er außer Kraft gesetzt wurde. Betriebsmannschaften verlieren bei Schichtwechseln schnell den Überblick über überbrückte Kreise. Daher sind verfahrensorientierte Disziplin und automatisierte Nachverfolgung wesentlich wichtiger als improvisierte Lösungen vor Ort.

Was ist der grundlegende Unterschied zwischen einer Sperre und einer Übersteuerung?

Im Branchenjargon werden Begriffe wie außer Kraft setzen, forcieren, stummschalten, deaktivieren und überbrücken oft synonym verwendet. Im Signalpfad verhalten sich eine Sperre und eine Übersteuerung jedoch sehr unterschiedlich:

• Sperre: Trennt das Signal vollständig von der Sicherheitslogik oder aus ihr heraus. Die nachgelagerte Logik verliert einen deterministischen Wert und fällt häufig auf einen undefinierten oder schwebenden Zustand zurück, was zu einem unvorhersehbaren Verhalten der Abstimmungslogik führen kann.
• Übersteuerung: Unterbricht das aktuelle Signal, ersetzt es jedoch sofort durch einen definierten, konstanten technischen Wert. Die Sicherheitslogik wertet weiterhin eine exakte, deterministische Zahl aus.

Bei sicherheitskritischen Kreisen sollten Sie immer eine softwarebasierte Übersteuerung einer unkontrollierten Sperre vorziehen, um eine deterministische Abstimmungslogik aufrechtzuerhalten. Trennen Sie außerdem niemals die Feldverdrahtung, um einen Bypass zu realisieren. Physische Feldverbindungen müssen intakt bleiben, damit Eingangskarten - wie das Invensys Triconex 3720 Analog Input Module - weiterhin Leitungsdiagnosen, Unterbrechungsfehler und Sensoralarme außerhalb des Messbereichs erfassen können.

Wie implementiert man die Kontrollen gemäß IEC 61511, Abschnitt 16, bei Triconex und HIMA?

Abschnitt 16 regelt die Wartung und den Betrieb von SIS während des fortgesetzten Prozessbetriebs strikt. Wie lassen sich diese Anforderungen in Feld-DCS- und SIS-Architekturen erfüllen? Sie müssen vier grundlegende Anforderungen erfüllen:

• Formale Genehmigung: Stellen Sie sicher, dass jeder Bypass-Antrag im Rahmen eines Management of Change (MOC) geprüft oder von einem autorisierten Verantwortlichen für funktionale Sicherheit genehmigt wird.
• Feste Zeitüberschreitungen: Lassen Sie einen Bypass niemals unbefristet aktiv. Verknüpfen Sie jede Übersteuerung mit einem automatischen Ablauf-Timer, der typischerweise auf eine einzelne Betriebsschicht begrenzt ist.
• Kompensierende Maßnahmen: Wenn eine SIF außer Kraft gesetzt wird, müssen alternative Maßnahmen zur Risikominderung eingesetzt werden - etwa eine gezielte manuelle Beobachtung vor Ort oder temporäre sekundäre Verriegelungen.
• Abbildung der Hardwarelogik: Ordnen Sie auf einem Triconex-System jeden Bypass dedizierten, tag-gesperrten Funktionsblöcken innerhalb von TriStation zu. Bei der Arbeit mit Sicherheitssteuerungen wie dem HIMA HIMatrix F35 Safety-Related Controller oder dem HIMA F3 DIO 20/8 01 Module weisen Sie Übersteuerungen geschützten Bedienerzonen zu, die durch Schlüsselschalter oder rollenbasierte Passwörter gesichert sind.

Beide Anbieter stellen manipulationssichere SOE-Audit-Trails (Sequence of Events) bereit, die Benutzer-IDs, Zeitstempel und Kanalzustände protokollieren. Wenn die Protokollierung des Audit-Trails deaktiviert ist, muss der Bypass als nicht autorisiert behandelt werden.

Wie können Ingenieure vergessene Bypässe mithilfe von Modbus und HART erkennen?

Die Praxiserfahrung zeigt, dass das größte Einzelrisiko beim SIS-Management ein vergessener Bypass ist. Softwarebasierte Bypässe können wochenlang in Unterbildschirmen verborgen bleiben, sofern sie nicht aktiv sichtbar gemacht werden. Moderne Feldinstrumentierung und Kommunikationsbusse bieten klare Diagnosemöglichkeiten:

• SIS-Spulenregister über Modbus TCP abfragen: Weisen Sie bestimmten Diagnose-Speicherregistern Zustände überbrückter Funktionen zu. Durch die Weiterleitung der SIS-Kommunikation über Module wie das Invensys Triconex 4354 High-Speed Communication Module können DCS- oder SCADA-Masterstationen diese Register kontinuierlich abfragen und jede Spule melden, die länger als im zulässigen Zeitfenster auf High gehalten wird.
• HART-Gerätestatus prüfen: Fragen Sie die HART-Multidrop-Diagnose ab. Ein intelligenter Druck- oder Temperaturtransmitter im Modus „Fester Strom“ oder „Simulationsmodus“ weist sofort auf eine aktive Übersteuerung im Feld hin.
• Analogeingänge mit dem HART-PV vergleichen: Wenn der Messwert des Analogeingangskanals deutlich vom rohen digitalen HART-PV abweicht, kann Ihr Diagnosesystem sofort einen Abweichungsalarm auslösen.
• Alarmmatrizen des Historian speisen: Protokollieren Sie jeden Zustandswechsel eines Bypasses automatisch im Anlagenhistorian, um tägliche Sicherheitsprüfungen über Schichtgrenzen hinweg zu unterstützen.

Wie sieht das korrekte Verfahren aus, um einen überbrückten Kreis wieder in Betrieb zu nehmen?

Bei der Wiederherstellung kommt es häufig zu Zwischenfällen, weil das Aufheben eines Bypasses das endgültige Auslöseglied sofort wieder gegen einen laufenden, potenziell instabilen Prozess scharf schaltet.

• Vergewissern Sie sich, dass die Werte der Feldtransmitter und die Prozessvariablen wieder deutlich innerhalb der üblichen sicheren Betriebsgrenzen liegen.
• Prüfen Sie digitale Endsteuerungselemente - angesteuert durch Module wie das Invensys 3601T Triconex Digital Output Module -, um sicherzustellen, dass die Ausgangskanäle den erforderlichen Betriebszuständen entsprechen.
• Löschen Sie interne Diagnoseverriegelungen und quittieren Sie Kanalalarme an der HIMA-Engineering-Station oder in der Triconex-Diagnoseanzeige.
• Bestätigen Sie, dass alle LED-Anzeigen für Hardware-Bypässe erloschen sind, bevor Sie das formale Übergabeprotokoll abschließen.

Wichtige Erkenntnisse für Teams im Bereich funktionale Sicherheit

Das Überbrücken ist ein unvermeidbares Betriebsmittel, ein unkontrollierter Bypass jedoch eine nicht akzeptable Gefahr. Um die Einhaltung von IEC 61511 sicherzustellen:

• Unterscheiden Sie in technischen Spezifikationen strikt zwischen Sperre und Übersteuerung.
• Unterstellen Sie jede Übersteuerung einer formalen Genehmigung, kompensierenden Maßnahmen und einer festen Ablaufzeit.
• Nutzen Sie diagnostische Modbus-Spulen und HART-Telemetrie als automatisiertes Sicherheitsnetz, um vergessene Übersteuerungen zu erkennen.
• Setzen Sie bei Schichtübergaben und der Wiederherstellung von Kreisen bewusst durchgeführte Prüfprotokolle durch.

Über den Autor: Chen Weiming ist ein Ingenieur für industrielle Automatisierung mit mehr als 10 Jahren praktischer Erfahrung in den Bereichen SPS, DCS und sicherheitsgerichtete Systeme.