Omitir las entradas de seguridad de Triconex y HIMA sin comprometer la integridad SIL

Un bypass de seguridad no es un atajo conveniente; es una desviación estrictamente controlada del entorno de seguridad certificado. Aunque la norma IEC 61511 dicta que la producción continua normal nunca debe depender de un disparo anulado, las plantas de procesos continuos, incluidos los crackers de etileno, las plantas de licuefacción de GNL y las plataformas marinas, se encuentran con frecuencia en situaciones en las que es necesario aislar un sensor en servicio. Un transmisor de presión diferencial puede desviarse durante una conexión en caliente, un interruptor de nivel alto puede fallar su prueba de comprobación o un escáner óptico de llama puede degradarse a mitad de campaña. En estos escenarios, las instalaciones necesitan una filosofía de bypass estructurada en lugar de un botón de bypass improvisado.

Fundamentalmente, los ingenieros de campo deben distinguir entre dos modos de operación en arquitecturas SIL3:

• Inhibición: Desconecta por completo la ruta física de la señal de la lógica de disparo. Triconex lo define como Permissive to Bypass, mientras que HIMA lo denomina Bypass Inhibit.
• Anulación: Inyecta en el solucionador lógico un valor numérico sustituto, fijo y predeterminado. Triconex lo designa como Forced Input, y HIMA se refiere a ello como Bypass Substitute.

Seleccionar el modo incorrecto puede congelar un transmisor en servicio en una lectura segura obsoleta, ocultando una desviación real del proceso y creando puntos ciegos catastróficos.

¿Por qué se permite un bypass estructurado según la norma IEC 61511 en plantas en funcionamiento?

Los ingenieros suelen debatir si las anulaciones temporales comprometen las normas de seguridad certificadas. La norma IEC 61511 contempla explícitamente los bypasses durante fases operativas definidas: arranque de la planta, pruebas de comprobación y mantenimiento de instrumentos en línea. Lo que la norma prohíbe estrictamente es tratar un bypass temporal como una solución operativa permanente.

Cada bypass temporal degrada temporalmente el factor de reducción de riesgo (RRF) de esa Función Instrumentada de Seguridad (SIF). Sin medidas compensatorias disciplinadas, los equipos operativos se arriesgan a hacer funcionar una unidad de proceso a ciegas mientras suponen que la capa de seguridad automatizada permanece plenamente vigilante.

¿Cómo gestiona el registro de bypass MISER de Triconex la votación 2oo3 y el PFDavg?

En los solucionadores lógicos Triconex que funcionan con redundancia modular triple (TMR) y votación de dos de tres (2oo3), cada canal de entrada contiene una palabra de estado de bypass de 16 bits:

• Bit 0: Indicador de habilitación de bypass global.
• Bit 1: Selector de modo (Inhibición frente a Anulación).
• Bits 2–15: Identificador del código de motivo de MOC de la instalación.

Es obligatorio escribir el código de motivo de MOC correcto para cumplir las auditorías. Es fundamental señalar que anular una entrada en una tarjeta analógica, como el módulo de entrada analógica de extremo único Inv​​ensys Triconex 3720, no desconecta el canal de los diagnósticos internos. En su lugar, la lógica de votación pasa de 2oo3 a una configuración 1oo2 entre los dos canales restantes.

En operación 1oo2, el promedio de la probabilidad de fallo bajo demanda ($PFD_{avg}$) aumenta de inmediato. La consulta diagnóstica continua mediante hardware de red específico, como el módulo de comunicación de alta velocidad Inv​​ensys Triconex 4354, garantiza que cualquier segundo fallo de hardware se señale al instante, lo que exige restaurar el lazo durante el turno activo.

¿Cómo aplican los controladores de seguridad HIMA los temporizadores de expiración y los diagnósticos HART?

Los sistemas de seguridad HIMA, incluido el controlador relacionado con la seguridad HIMA HIMatrix F35 y las unidades de E/S modulares, como el módulo HIMA F3 DIO 20/8 01, utilizan una tabla de bypass específica para cada canal. Cada entrada de la tabla vincula la dirección del canal físico con el identificador de credencial del operador, la justificación documentada y un tiempo de espera máximo.

Las buenas prácticas establecen limitar el temporizador de expiración del bypass a ocho horas o a la duración del turno actual. El firmware de HIMA genera una alerta automática cuando un bypass alcanza el 75 % de su vida útil permitida.

Igualmente fundamental es verificar la telemetría de diagnóstico HART: cuando un lazo analógico se coloca en bypass, el comando HART 03 (leer variables dinámicas y entrada analógica) debe marcar la variable de proceso con BAD Quality. Si el DCS recibe un bit de calidad «Good» mientras el disparo del SIS está anulado, los operadores pueden confiar por error en una lectura fantasma.

¿Cuál es el protocolo de campo para un bypass conforme a auditoría?

Para ejecutar un bypass preparado para auditoría sin comprometer la integridad de seguridad de la planta, siga estas directrices operativas esenciales:

• Interrogar primero los diagnósticos de campo: Conecte un comunicador de campo para examinar la variable primaria (PV), la palabra de estado del dispositivo y la salida bruta en miliamperios antes de modificar la lógica.
• Obtener la autorización de Gestión del Cambio (MOC): Documente la etiqueta exacta de la SIF, la clasificación SIL, la duración prevista y la evaluación de riesgos antes de solicitar acceso a la estación de trabajo.
• Establecer medidas compensatorias: Asigne un operador de campo específico para realizar una supervisión manual cada hora y mantenga contacto directo por radio bidireccional con la consola de control.
• Habilitar solo desde estaciones de trabajo de ingeniería: Tanto Triconex como HIMA prohíben estrictamente iniciar anulaciones de seguridad desde cajas de conexiones de campo o terminales de marshalling.
• Validar la anunciación del disparo: Confirme en el historiador de alarmas que la SIF afectada aparece como MAINTENANCE o BYPASSED.
• Realizar comprobaciones del transmisor en banco y restaurarlo a tiempo: Vuelva a verificar el cero y el span con los registros de calibración certificados, restaure el canal de entrada, asegúrese de que los módulos de salida, como el módulo de salida digital Inv​​ensys 3601T Triconex, vuelvan al funcionamiento normal y cierre formalmente el registro de MOC.

¿Qué firmas de fallo HART nunca deben ocultarse?

Ciertos diagnósticos de instrumentos indican una pérdida total de la capacidad de detección y nunca deben ocultarse mediante una anulación. Rechace inmediatamente las solicitudes de bypass si la telemetría del dispositivo señala:

• OUT_OF_CALIBRATION o HARDWARE_FAILURE
• CONFIG_CORRUPT en la memoria no volátil
• Códigos de estado del transductor que indiquen OPEN_TRANSDUCER o SHORTED_TRANSDUCER

Anular estas señales específicas deja al solucionador lógico ciego ante un sensor completamente averiado. Por el contrario, las advertencias transitorias menores, como PV_TRAVELLED_TOO_FAST o las alertas temporales de LOW_POWER, pueden gestionarse durante breves ventanas de mantenimiento supervisadas.

¿Cómo pueden las plantas evitar la degradación prolongada del SIL por lazos anulados?

Mantener la integridad de la seguridad funcional requiere una vigilancia administrativa y automatizada continua. Realice un seguimiento mensual de la duración de los bypasses por SIF como KPI principal: si un solo lazo de seguridad supera una hora acumulada de bypass en un mes, investigue y corrija las causas raíz en lugar de prolongar continuamente las anulaciones.

Archive todos los registros de auditoría trimestralmente, realice revisiones durante el relevo de turno comparándolas con el registro de bypasses activos y lleve a cabo anualmente capacitaciones basadas en escenarios sobre las consolas Triconex y HIMA para mantener una sólida disciplina de ingeniería.

Sobre el autor: Weifeng Han es ingeniero de automatización industrial con más de 10 años de experiencia práctica en PLC, DCS, sistemas de seguridad SIL3 e ingeniería de seguridad funcional.