Triconex- und HIMA-Sicherheitseingänge umgehen, ohne die SIL-Integrität zu beeinträchtigen

Ein Sicherheits-Bypass ist keine praktische Abkürzung, sondern eine streng kontrollierte Abweichung von einer zertifizierten Sicherheitshülle. Während IEC 61511 vorschreibt, dass die normale kontinuierliche Produktion niemals von einer außer Kraft gesetzten Abschaltung abhängen darf, stoßen kontinuierlich arbeitende Prozessanlagen - darunter Ethylencracker, LNG-Verflüssigungszüge und Offshore-Plattformen - häufig auf Situationen, in denen ein aktiver Sensor isoliert werden muss. Ein Differenzdrucktransmitter kann während eines Hot Taps driften, ein Hochstandschalter kann seine Prüfung nicht bestehen oder ein optischer Flammenscanner kann mitten in einer Kampagne an Leistung verlieren. In diesen Szenarien benötigen Anlagen eine strukturierte Bypass-Philosophie statt einer Ad-hoc-Bypass-Taste.

Grundsätzlich müssen Außendienstingenieure bei SIL3-Architekturen zwischen zwei Betriebsarten unterscheiden:

• Inhibit: Trennt den physischen Signalweg vollständig von der Abschaltlogik. Triconex definiert dies als Permissive to Bypass, während HIMA es als Bypass Inhibit bezeichnet.
• Override: Speist einen vorgegebenen, festen numerischen Ersatzwert in den Logiksolver ein. Triconex bezeichnet dies als Forced Input, und HIMA nennt es Bypass Substitute.

Die Auswahl des falschen Modus kann einen aktiven Transmitter auf einem veralteten sicheren Messwert einfrieren, eine echte Prozessabweichung verschleiern und katastrophale Blindstellen erzeugen.

Warum ist ein strukturierter Bypass gemäß IEC 61511 in laufenden Anlagen zulässig?

Ingenieure diskutieren häufig darüber, ob temporäre Übersteuerungen zertifizierte Sicherheitsstandards beeinträchtigen. IEC 61511 berücksichtigt Bypässe ausdrücklich während definierter Betriebsphasen: Anlagenanlauf, wiederkehrende Prüfung und Online-Instandhaltung von Instrumenten. Was die Norm strikt verbietet, ist die Behandlung eines temporären Bypasses als dauerhafte betriebliche Umgehungslösung.

Jeder temporäre Bypass verringert vorübergehend den Risikominderungsfaktor (RRF) dieser sicherheitsgerichteten Funktion (SIF). Ohne disziplinierte kompensierende Maßnahmen riskieren Betriebsteams, eine Anlageneinheit blind zu betreiben, während sie davon ausgehen, dass die automatisierte Sicherheitsebene vollständig aktiv ist.

Wie verwaltet das Triconex MISER Bypass Register die 2oo3-Abstimmung und PFDavg?

In Triconex-Logiksolver-Systemen mit dreifacher modularer Redundanz (TMR) und Zwei-aus-drei-Abstimmung (2oo3) verfügt jeder Eingangskanal über ein 16-Bit-Bypass-Statuswort:

• Bit 0: Globales Bypass-Freigabeflag.
• Bit 1: Modusauswahl (Inhibit vs. Override).
• Bits 2–15: Kennung des standortspezifischen MOC-Begründungscodes.

Das Schreiben des korrekten MOC-Begründungscodes ist für Compliance-Audits zwingend erforderlich. Entscheidend ist, dass das Umgehen eines Eingangs auf einer Analogkarte - beispielsweise auf dem Invensys Triconex 3720 Analog Input Module - den Kanal nicht von der internen Diagnose trennt. Stattdessen verschlechtert sich die Abstimmungslogik von 2oo3 auf eine 1oo2-Anordnung über die beiden verbleibenden Kanäle.

Im 1oo2-Betrieb steigt die mittlere Wahrscheinlichkeit eines Ausfalls bei Anforderung ($PFD_{avg}$) sofort an. Kontinuierliche Diagnoseabfragen über dedizierte Netzwerkhardware wie das Invensys Triconex 4354 High-Speed Communication Module stellen sicher, dass jeder zweite Hardwarefehler sofort gemeldet wird, sodass die Schleife innerhalb der laufenden Schicht wiederhergestellt werden muss.

Wie erzwingen HIMA-Sicherheitssteuerungen Ablauf-Timer und HART-Diagnosen?

HIMA-Sicherheitssysteme - einschließlich des HIMA HIMatrix F35 Safety-Related Controller und modularer I/O-Einheiten wie des HIMA F3 DIO 20/8 01 Module - verwenden eine kanalspezifische Bypass-Tabelle. Jeder Tabelleneintrag verknüpft die physische Kanaladresse mit einer Bediener-Ausweis-ID, einer dokumentierten Begründung und einer festen Zeitüberschreitung.

Als Best Practice gilt, den Bypass-Ablauftimer auf acht Stunden oder die Dauer der aktuellen Schicht zu begrenzen. Die HIMA-Firmware erzeugt automatisch eine Warnung, sobald ein Bypass 75 % seiner zulässigen Laufzeit erreicht.

Ebenso wichtig ist die Überprüfung der HART-Diagnosetelemetrie: Wenn eine Analogschleife in den Bypass versetzt wird, muss HART-Befehl 03 (Dynamische Variablen und Analogeingang lesen) die Prozessvariable mit BAD Quality kennzeichnen. Wenn das DCS ein Qualitätsbit mit dem Wert "Good" empfängt, während die SIS-Abschaltung außer Kraft gesetzt ist, könnten sich Bediener irrtümlich auf einen Phantomwert verlassen.

Wie sieht das Feldprotokoll für einen auditkonformen Bypass aus?

Um einen auditfähigen Bypass auszuführen, ohne die Sicherheitsintegrität der Anlage zu gefährden, sind folgende wesentliche Betriebsrichtlinien einzuhalten:

• Zuerst die Felddiagnose abfragen: Einen Feldkommunikator anschließen, um die Primärvariable (PV), das Gerätestatuswort und den Rohstromausgang in Milliampere zu prüfen, bevor die Logik geändert wird.
• Genehmigung des Management of Change (MOC) sichern: Das genaue SIF-Tag, die SIL-Klassifizierung, die Zieldauer und die Risikobewertung dokumentieren, bevor der Zugriff auf die Workstation angefordert wird.
• Kompensierende Maßnahmen festlegen: Einen eigens zugewiesenen Außendienstmitarbeiter für die stündliche manuelle Überwachung abstellen und direkten Funkkontakt in beide Richtungen mit der Leitwarte aufrechterhalten.
• Nur von Engineering-Workstations aus aktivieren: Sowohl Triconex als auch HIMA untersagen strikt, Sicherheitsübersteuerungen von Feldanschlusskästen oder Rangierklemmen aus zu initiieren.
• Abschaltmeldung validieren: Im Alarmhistorian bestätigen, dass die betroffene SIF als MAINTENANCE oder BYPASSED registriert ist.
• Transmitter-Prüfungen und rechtzeitige Wiederherstellung durchführen: Nullpunkt und Messspanne anhand zertifizierter Kalibrieraufzeichnungen erneut überprüfen, den Eingangskanal wiederherstellen, sicherstellen, dass Ausgangsschalter - beispielsweise das Invensys 3601T Triconex Digital Output Module - in den Normalbetrieb zurückkehren, und das MOC-Protokoll formell abzeichnen.

Welche HART-Fehlersignaturen dürfen niemals maskiert werden?

Bestimmte Gerätediagnosen weisen auf einen vollständigen Verlust der Messfähigkeit hin und dürfen niemals durch eine Übersteuerung maskiert werden. Bypass-Anforderungen sind sofort abzulehnen, wenn die Gerätetelemetrie Folgendes meldet:

• OUT_OF_CALIBRATION oder HARDWARE_FAILURE
• CONFIG_CORRUPT im nichtflüchtigen Speicher
• Statuscodes des Messwandlers, die OPEN_TRANSDUCER oder SHORTED_TRANSDUCER anzeigen

Die Übersteuerung dieser spezifischen Flags macht den Logiksolver gegenüber einem vollständig ausgefallenen Sensor blind. Umgekehrt können geringfügige vorübergehende Warnungen wie PV_TRAVELLED_TOO_FAST oder temporäre LOW_POWER-Meldungen während kurzer, beaufsichtigter Wartungsfenster behandelt werden.

Wie können Anlagen eine langfristige SIL-Verschlechterung durch außer Kraft gesetzte Schleifen verhindern?

Die Aufrechterhaltung der funktionalen Sicherheitsintegrität erfordert kontinuierliche administrative und automatisierte Überwachung. Die Bypass-Dauern je SIF als zentrale monatliche KPI erfassen: Überschreitet eine einzelne Sicherheitsschleife in einem Monat insgesamt eine Bypass-Dauer von einer Stunde, müssen die Ursachen untersucht und behoben werden, statt die Übersteuerungen fortlaufend zu verlängern.

Alle Auditprotokolle vierteljährlich archivieren, Schichtübergaben anhand des aktiven Bypass-Registers überprüfen und jährlich szenariobasierte Schulungen an Triconex- und HIMA-Konsolen durchführen, um die technische Disziplin aufrechtzuerhalten.

Über den Autor: Weifeng Han ist Ingenieur für industrielle Automatisierung mit mehr als 10 Jahren praktischer Erfahrung in PLC-, DCS-, SIL3-Sicherheitssystemen und funktionaler Sicherheitstechnik.