Disciplina de bypass en Triconex y HIMA: forzar frente a anular en sistemas de seguridad
Forzar y anular pueden cambiar la respuesta de un sistema instrumentado de seguridad (SIS) mientras se prueba o repara el equipo. Ninguna de las dos opciones es un atajo hacia una operación segura. Los requisitos de seguridad aprobados, la evaluación de riesgos y el procedimiento de bypass del sitio deben regir la elección.
¿Por qué es importante la distinción?
Por lo general, un forzado sustituye un valor en un controlador o entorno de ingeniería; un override de aplicación es un bypass diseñado deliberadamente en la lógica. El comportamiento exacto varía según la plataforma, la versión y la configuración. Cualquiera de los dos puede reducir la disponibilidad de una función de seguridad. Antes de comenzar el trabajo, evalúe el efecto sobre la votación, los diagnósticos, los elementos finales y la reducción de riesgos requerida, y defina medidas compensatorias.
¿Qué puede salir mal con un forzado?
Una entrada forzada puede ocultar el valor de campo a parte de la lógica o de los diagnósticos posteriores. En una función votada, el efecto depende del valor que se fuerce, del manejo de fallos y de la lógica implementada; un canal forzado no convierte universalmente 2oo3 en 1oo3. Compruebe la aplicación real y el cálculo de seguridad antes de cambiar un canal. Las herramientas asociadas con los sistemas Triconex, como TriStation 1131, deben ser utilizadas únicamente por personal autorizado y conforme al procedimiento del sistema instalado. Un módulo de entrada analógica Triconex 3720 es un ejemplo de hardware cuyo estado y mapeo de canal deben comprobarse con la documentación del proyecto.
¿Un override diseñado automáticamente es seguro y auditable?
No. Un override puede incluir permisos, límites de tiempo, anunciación y controles para el operador cuando estos se han diseñado y probado. No crea automáticamente un registro de auditoría en el historiador ni una alarma visible para el operador. HIMA ELOP II es un entorno de ingeniería representado por la página del producto ELOP II; la presencia y el comportamiento de un override dependen de la aplicación real. Un controlador relacionado con la seguridad HIMA HIMatrix F35 también requiere su propia configuración aprobada y su manual de seguridad. Prefiera una función de mantenimiento diseñada y validada cuando el caso de seguridad lo requiera, pero no considere el forzado una alternativa automática simplemente porque no exista un override.
¿Qué debe contener un registro de autorización de bypass?
Identifique la función de seguridad y la etiqueta afectadas, el motivo, la persona responsable, los aprobadores, la hora de inicio, la duración autorizada, las condiciones del proceso, la protección compensatoria y el plan de restauración y pruebas. Revise si la planta puede seguir operando con una protección reducida. Exija una verificación independiente cuando el procedimiento del sitio lo requiera y mantenga visible para operaciones el estado actual del bypass mediante un medio probado.
¿Cómo debe llegar el estado del bypass a los operadores?
Utilice la interfaz SIS-DCS instalada y verifique que el estado específico de forzado u override esté mapeado, genere alarmas, tenga marca de tiempo y se registre según lo requiera el diseño del sitio. Una estación de trabajo de ingeniería por sí sola no sustituye una visibilidad operativa fiable. No suponga que TriStation exporta por sí mismo todos los bypass mediante OPC o Modbus, ni que todos los overrides de HIMA se mapean automáticamente a indicadores del sistema. Pruebe la indicación en un entorno de aceptación controlado antes de confiar en ella.
¿Cómo debe eliminarse el bypass?
Realice el seguimiento de los bypass activos con la frecuencia especificada por la evaluación de riesgos del sitio. Cuando el trabajo haya terminado y operaciones autorice la restauración, elimine el bypass, verifique la señal de campo y la función de seguridad mediante el método de prueba aprobado, confirme que la indicación del DCS vuelva a la normalidad y cierre el registro. No prometa la restauración en el mismo turno si la reparación aprobada y los controles de riesgo requieren una duración diferente; escale los bypass vencidos.
Para obtener más información: InstrumentationTools.com, “Force Versus Override – Safety System Signals”. Verifique los manuales instalados de Triconex o HIMA y la documentación del ciclo de vida de seguridad IEC 61511 del sitio antes de realizar cualquier trabajo en vivo.
Autor: Chen Weiming es ingeniero de automatización industrial con más de 10 años de experiencia en PLC, DCS y sistemas de control.
