A Triconex és a HIMA biztonsági bemenetek megkerülése a SIL-integritás megsértése nélkül

A biztonsági áthidalás nem kényelmes kerülőút, hanem a tanúsított biztonsági határértékektől való szigorúan ellenőrzött eltérés. Bár az IEC 61511 előírja, hogy a normál folyamatos termelés soha nem függhet egy kiiktatott leoldástól, a folyamatos üzemű technológiai létesítményekben - beleértve az etilénkrakkolókat, az LNG-cseppfolyósító sorokat és az offshore platformokat - gyakran adódnak olyan helyzetek, amikor egy aktív érzékelőt le kell választani. Egy differenciálnyomás-távadó elállítódhat forró megcsapolás közben, egy magas szintkapcsoló megbukhat a működési próbán, vagy egy optikai lángérzékelő romolhat egy gyártási kampány közben. Ilyen esetekben az üzemeknek strukturált áthidalási filozófiára van szükségük egy eseti áthidalógomb helyett.

Alapvetően a terepi mérnököknek két üzemmódot kell megkülönböztetniük a SIL3-architektúrákban:

• Inhibit: Teljesen megszakítja a fizikai jelutat a leoldási logika felé. A Triconex ezt Permissive to Bypass néven határozza meg, míg a HIMA elnevezése Bypass Inhibit.
• Override: Egy előre meghatározott, rögzített numerikus helyettesítő értéket táplál be a logikai végrehajtóba. A Triconex ezt Forced Input néven jelöli, a HIMA pedig Bypass Substitute néven hivatkozik rá.

A nem megfelelő üzemmód kiválasztása egy aktív távadót egy elavult, biztonságos értéken rögzíthet, elrejtheti a tényleges technológiai eltérést, és katasztrofális vakfoltokat hozhat létre.

Miért engedélyezett strukturált áthidalás az IEC 61511 szerint működő üzemekben?

A mérnökök gyakran vitatják, hogy az ideiglenes felülbírálások veszélyeztetik-e a tanúsított biztonsági szabványokat. Az IEC 61511 kifejezetten lehetővé teszi az áthidalást meghatározott üzemeltetési szakaszokban: az üzem indításakor, a működési próbák során és a működés közbeni műszerkarbantartás idején. A szabvány szigorúan tiltja, hogy az ideiglenes áthidalást állandó üzemeltetési kerülőmegoldásként kezeljék.

Minden ideiglenes áthidalás átmenetileg csökkenti az adott biztonsági műszeres funkció (SIF) kockázatcsökkentési tényezőjét (RRF). Fegyelmezett kompenzáló intézkedések nélkül az üzemeltető csapatok fennálló automatizált biztonsági réteg teljes éberségét feltételezve vakon működtethetnek egy technológiai egységet.

Hogyan kezeli a Triconex MISER áthidalási regisztere a 2oo3-szavazást és a PFDavg értékét?

A Triple Modular Redundancy (TMR) és két a háromból (2oo3) szavazással működő Triconex logikai végrehajtókban minden bemeneti csatorna egy 16 bites Bypass Status Word értéket tartalmaz:

• Bit 0: Globális áthidalásengedélyezési jelző.
• Bit 1: Üzemmódválasztó (Inhibit vagy Override).
• 2-15. bitek: Az üzem MOC-okra vonatkozó indokláskódjának azonosítója.

A megfelelő MOC-indokláskód beírása kötelező a megfelelőségi auditokhoz. Fontos, hogy egy analóg kártyán - például az Invensys Triconex 3720 Analog Input Module egységen - lévő bemenet áthidalása nem választja le a csatornát a belső diagnosztikáról. Ehelyett a szavazási logika 2oo3-ról 1oo2-es elrendezésre vált a fennmaradó két csatornán.

1oo2-es működés esetén a veszélyes meghibásodás igény esetén fennálló átlagos valószínűsége ($PFD_{avg}$) azonnal megnő. A dedikált hálózati hardveren, például az Invensys Triconex 4354 High-Speed Communication Module egységen keresztül végzett folyamatos diagnosztikai lekérdezés biztosítja, hogy minden második hardverhiba azonnal jelzést kapjon, és a hurkot az aktuális műszak alatt helyre kell állítani.

Hogyan érvényesítik a HIMA biztonsági vezérlők a lejárati időzítőket és a HART-diagnosztikát?

A HIMA biztonsági rendszerei - beleértve a HIMA HIMatrix F35 Safety-Related Controller vezérlőt és az olyan moduláris I/O-egységeket, mint a HIMA F3 DIO 20/8 01 Module - csatornaspecifikus áthidalási táblázatot használnak. Minden táblabejegyzés a fizikai csatorna címét egy kezelői azonosítóhoz, dokumentált indokláshoz és kötelező időkorláthoz rendeli.

A bevált gyakorlat szerint az áthidalás lejárati időzítőjét legfeljebb nyolc órára vagy az aktuális műszak időtartamára kell korlátozni. A HIMA firmware automatikus riasztást generál, amikor az áthidalás eléri az engedélyezett időtartam 75%-át.

Ugyanilyen fontos a HART-diagnosztikai telemetria ellenőrzése: amikor egy analóg hurkot áthidalnak, a HART 03-as parancsának (dinamikus változók és analóg bemenet olvasása) a technológiai változót BAD Quality minőségűként kell jelölnie. Ha a DCS "Good" minőségi bitet kap, miközben az SIS-leoldás ki van iktatva, a kezelők tévesen egy látszólagos mérési értékre támaszkodhatnak.

Mi a terepi eljárás auditnak megfelelő áthidalás esetén?

Auditálásra kész áthidalás végrehajtásához, a létesítmény biztonsági integritásának veszélyeztetése nélkül, kövesse az alábbi alapvető üzemeltetési irányelveket:

• Először vizsgálja meg a terepi diagnosztikát: Csatlakoztasson terepi kommunikátort az elsődleges változó (PV), az eszközállapot-szó és a nyers milliamperes kimenet vizsgálatához, mielőtt módosítaná a logikát.
• Biztosítsa a változáskezelési (MOC) engedélyezést: A munkaállomás-hozzáférés igénylése előtt dokumentálja a pontos SIF-azonosítót, a SIL-besorolást, a tervezett időtartamot és a kockázatértékelést.
• Alakítson ki kompenzáló intézkedéseket: Jelöljön ki egy terepi kezelőt óránkénti kézi ellenőrzésre, és tartson fenn közvetlen kétirányú rádiókapcsolatot a vezérlőkonzollal.
• Csak mérnöki munkaállomásokról engedélyezze: A Triconex és a HIMA egyaránt szigorúan tiltja a biztonsági felülbírálások kezdeményezését terepi csatlakozódobozokból vagy rendezőkapcsokból.
• Ellenőrizze a leoldás kijelzését: Erősítse meg a riasztási előzményekben, hogy az érintett SIF MAINTENANCE vagy BYPASSED állapotként jelenik meg.
• Végezzen távadópad-próbákat és állítsa helyre időben: Ellenőrizze újra a nullpontot és a mérési tartományt hiteles kalibrálási jegyzőkönyvek alapján, állítsa helyre a bemeneti csatornát, győződjön meg arról, hogy a kimeneti kapcsolók - például az Invensys 3601T Triconex Digital Output Module - visszatérnek a normál működéshez, majd hivatalosan írja alá az MOC-naplót.

Mely HART-hibajelzéseket tilos valaha is elfedni?

Bizonyos műszerdiagnosztikai jelzések a mérési képesség teljes elvesztésére utalnak, és ezeket soha nem szabad felülbírálással elfedni. Azonnal utasítsa el az áthidalási kérelmeket, ha az eszköztelemetria a következőket jelzi:

• OUT_OF_CALIBRATION vagy HARDWARE_FAILURE
• CONFIG_CORRUPT nem felejtő memóriában
• Olyan jelátalakító-állapotkódok, amelyek OPEN_TRANSDUCER vagy SHORTED_TRANSDUCER állapotot jeleznek

E konkrét jelzések felülbírálása elvakítja a logikai végrehajtót egy teljesen meghibásodott érzékelővel szemben. Ezzel szemben az olyan kisebb, átmeneti figyelmeztetések, mint a PV_TRAVELLED_TOO_FAST vagy az ideiglenes LOW_POWER riasztások, rövid, felügyelt karbantartási időablakokban kezelhetők.

Hogyan előzhetik meg az üzemek a kiiktatott hurkok miatti hosszú távú SIL-romlást?

A funkcionális biztonsági integritás fenntartásához folyamatos adminisztratív és automatizált felügyelet szükséges. Kövesse nyomon az áthidalások időtartamát SIF-enként kiemelt havi KPI-ként: ha egyetlen biztonsági hurok áthidalásának összesített időtartama egy hónapban meghaladja az egy órát, vizsgálja ki és szüntesse meg a kiváltó okokat, ahelyett hogy folyamatosan meghosszabbítaná a felülbírálásokat.

Negyedévente archiválja az összes auditnaplót, a műszakátadáskor tekintse át az aktív áthidalási regisztert, és évente tartson forgatókönyv-alapú képzést a Triconex és HIMA konzolokon a mérnöki fegyelem fenntartása érdekében.

A szerzőről: Weifeng Han ipari automatizálási mérnök, több mint 10 év gyakorlati tapasztalattal PLC-, DCS-, SIL3-biztonsági rendszerek és funkcionális biztonság területén.