Biztonsági funkció megkerülése az IEC 61511 megsértése nélkül: Triconex- és HIMA-útmutató a terepi alkalmazáshoz

A biztonsági műszeres rendszerek (SIS) célja az üzemeltetési kockázat elfogadható szintre csökkentése. Az indítás, a rutinszerű karbantartás és az ütemezett működési próbák során azonban a biztonsági hurkok nem mindig működhetnek szabványos paraméterek mellett. Egy reteszelés kiiktatásakor vagy felülbírálásakor az üzemi kockázat természetesen nő. Megfelelő kezelés és szigorú mérnöki fegyelem mellett az ideiglenes áthidalás megakadályozza a téves leállásokat, miközben védi az emberi életet és a vagyontárgyakat.

Az IEC 61511 pontos korlátokat határoz meg a biztonsági műszeres funkciók (SIF) áthidalására. Ez a gyakorlati útmutató ezeket a szigorú előírásokat gyakorlati mérnöki teendőkké alakítja a Schneider Electric / Invensys Triconex és a HIMA biztonsági architektúráival dolgozó mérnökök számára.

Miért engedélyezhető egyáltalán egy biztonsági funkció áthidalása az IEC 61511 szerint?

A mérnökök gyakran kérdezik, hogy egy biztonsági műszeres funkció áthidalása sérti-e a biztonsági integritási szabványokat. A rövid válasz: nem, feltéve, hogy megfelel az IEC 61511 16. fejezetének. A karbantartás, a kalibrálás és a működési próba elkerülhetetlenül megköveteli egy érzékelő vagy beavatkozó szerv leválasztását anélkül, hogy a teljes technológiai sort le kellene állítani.

Egy felügyelet nélküli vagy nem dokumentált áthidalás azonban sokkal veszélyesebb lehet, mint a védelem teljes hiánya, mivel a kezelők azt feltételezik, hogy a védelem aktív, miközben valójában ki van iktatva. A műszakváltások során az üzemeltető személyzet gyorsan szem elől téveszti az áthidalt hurkokat. Ezért az eljárási fegyelem és az automatizált nyomon követés lényegesen fontosabb az alkalmi helyszíni ötletességnél.

Mi az alapvető különbség a tiltás és a felülbírálás között?

Az ipari szóhasználatban az olyan kifejezéseket, mint a kiiktatás, kényszerítés, némítás, letiltás és áthidalás, gyakran egymás szinonimájaként használják. A jelútban azonban a tiltás és a felülbírálás nagyon eltérően működik:

• Tiltás: Teljesen megszakítja a jelet a biztonsági logikába való belépés előtt vagy abból való kilépéskor. Az utána következő logika elveszít egy determinisztikus értéket, és gyakran nem definiált vagy lebegő állapotba kerül, ami kiszámíthatatlan szavazási logikai működéshez vezethet.
• Felülbírálás: Megszakítja az aktuális jelet, de azonnal egy meghatározott, állandó mérnöki értékkel helyettesíti. A biztonsági logika továbbra is egy pontos, determinisztikus számot értékel.

A biztonságkritikus hurkoknál mindig részesítse előnyben a szoftveres felülbírálást a nem szabályozott tiltással szemben a determinisztikus szavazás fenntartása érdekében. Továbbá soha ne bontsa meg a helyszíni bekötést áthidalás megvalósításához. A fizikai helyszíni csatlakozásoknak sértetlenül kell maradniuk, hogy a bemeneti kártyák - például az Invensys Triconex 3720 egyvégű analóg bemeneti modul - továbbra is ellenőrizhessék a vonali diagnosztikát, a szakadásokat és a tartományon kívüli érzékelőriasztásokat.

Hogyan valósíthatók meg az IEC 61511 16. fejezetének vezérlési követelményei Triconex és HIMA rendszereken?

A 16. fejezet szigorúan szabályozza a SIS karbantartását és működését a folyamat folyamatos üzemelése alatt. Hogyan teljesíthetők ezek a követelmények helyszíni DCS- és SIS-architektúrákban? Négy alapvető követelményt kell teljesíteni:

• Formális engedélyezés: Gondoskodjon róla, hogy minden áthidalási kérelmet változáskezelési (MOC) folyamat keretében vizsgáljanak felül, vagy egy felhatalmazott funkcionális biztonsági vezető hagyjon jóvá.
• Szigorú időkorlátok: Soha ne hagyjon egy áthidalást határozatlan időre érvényben. Minden felülbírálást kössön automatikus lejárati időzítőhöz, amely jellemzően egyetlen üzemeltetési műszakra korlátozódik.
• Kompenzáló intézkedések: Egy SIF kiiktatásakor vezessen be alternatív kockázatcsökkentést - például kijelölt manuális helyszíni megfigyelést vagy ideiglenes másodlagos reteszeléseket.
• Hardverlogikai leképezés: Triconex rendszeren minden áthidalást rendeljen a TriStation dedikált, címkezárolt funkcióblokkjaihoz. Az olyan biztonsági vezérlőkkel végzett munka során, mint a HIMA HIMatrix F35 biztonsági vezérlő vagy a HIMA F3 DIO 20/8 01 modul, a felülbírálásokat kulcsos kapcsolóval vagy szerepköralapú jelszavakkal védett kezelői zónákhoz rendelje.

Mindkét gyártó manipulációbiztos SOE (eseménysorrend) naplókat biztosít, amelyek rögzítik a felhasználói azonosítókat, az időbélyegeket és a csatornaállapotokat. Ha az eseménynaplózás le van tiltva, az áthidalást jogosulatlanként kell kezelni.

Hogyan észlelhetik a mérnökök a Modbus és HART használatával a megfeledkezett áthidalásokat?

A helyszíni tapasztalatok azt bizonyítják, hogy a SIS-kezelés legnagyobb egyedi kockázata a megfeledkezett áthidalás. A szoftveres áthidalások hetekig rejtve maradhatnak az almenükben, ha nem jelenítik meg őket aktívan. A modern terepi műszerek és kommunikációs buszok egyértelmű diagnosztikai lehetőségeket biztosítanak:

• SIS-tekercsregiszterek lekérdezése Modbus TCP-n keresztül: Dedikáljon meghatározott diagnosztikai memóri regisztereket az áthidalt állapotok számára. A SIS-kommunikáció olyan modulokon keresztüli továbbításával, mint az Invensys Triconex 4354 nagy sebességű kommunikációs modul, a DCS- vagy SCADA-főállomások folyamatosan lekérdezhetik ezeket a regisztereket, és jelezhetik, ha egy tekercs a megengedett időablakon túl magas szinten marad.
• HART-eszközállapotok vizsgálata: Kérdezze le a HART multidrop diagnosztikáját. A „Rögzített áram” vagy „Szimulációs mód” állapotba helyezett intelligens nyomás- vagy hőmérséklet-távadó azonnal jelzi az aktív helyszíni felülbírálást.
• Analóg bemenetek összevetése a HART PV-értékkel: Ha az analóg bemeneti csatorna mért értéke jelentősen eltér a nyers digitális HART PV-értéktől, a diagnosztikai rendszer azonnal eltérésriasztást válthat ki.
• Riasztási mátrixok továbbítása a történeti adatbázisba: Automatikusan rögzítsen minden áthidalási állapotváltozást az üzem történeti adatbázisában a napi, műszakok közötti biztonsági ellenőrzések támogatásához.

Mi a megfelelő eljárás egy áthidalt hurok üzembe való visszaállításához?

A visszaállítás során gyakran történnek incidensek, mivel az áthidalás megszüntetése azonnal újraélesíti a végső kioldóelemet egy működő, potenciálisan instabil folyamattal szemben.

• Ellenőrizze, hogy a terepi távadóértékek és a technológiai változók visszatértek-e a szabványos biztonságos üzemeltetési határértékeken belülre.
• Vizsgálja meg a digitális végrehajtó elemeket - amelyeket például az Invensys 3601T Triconex digitális kimeneti modul hajt -, hogy a kimeneti csatornák megfelelnek-e a szükséges üzemállapotoknak.
• Törölje a belső diagnosztikai reteszeléseket, és nyugtázza a csatornariasztásokat a HIMA mérnöki állomáson vagy a Triconex diagnosztikai kijelzőjén.
• A formális átadási napló lezárása előtt erősítse meg, hogy minden hardveres áthidalásjelző LED kialudt.

A funkcionális biztonsággal foglalkozó helyszíni csapatok legfontosabb tanulságai

Az áthidalás elkerülhetetlen üzemeltetési eszköz, a nem kezelt áthidalás azonban elfogadhatatlan veszélyforrás. Az IEC 61511 követelményeinek fenntartásához:

• A mérnöki specifikációkban szigorúan különböztesse meg a tiltást és a felülbírálást.
• Minden felülbírálást kössön formális engedélyezéshez, kompenzáló intézkedésekhez és szigorú lejárati időhöz.
• Használja a diagnosztikai Modbus-tekercseket és a HART-telemetriát automatizált biztonsági hálóként a megfeledkezett felülbírálások észleléséhez.
• Vezessen be tudatos ellenőrzési protokollokat a műszakátadások és a hurkok visszaállítása során.

A szerzőről: Chen Weiming ipari automatizálási mérnök, több mint 10 év gyakorlati tapasztalattal a PLC-, DCS- és biztonsági műszeres rendszerek területén.