Triconex és HIMA áthidalási fegyelem: kényszerítés kontra felülbírálás a biztonsági rendszerekben

A force és az override egyaránt megváltoztathatja, hogyan reagál egy biztonsági műszeres rendszer (SIS) a berendezés tesztelése vagy javítása közben. Egyik sem jelent gyors megoldást a biztonságos üzemeltetésre. A választást a jóváhagyott biztonsági követelményeknek, a kockázatértékelésnek és a telephelyi bypass-eljárásnak kell meghatároznia.

Miért fontos ez a megkülönböztetés?

A force jellemzően egy értéket helyettesít egy vezérlőben vagy mérnöki környezetben; az alkalmazásszintű override ezzel szemben a logikába szándékosan beépített áthidalás. A pontos működés platformtól, verziótól és konfigurációtól függően változik. Bármelyik csökkentheti egy biztonsági funkció rendelkezésre állását. A munkálatok megkezdése előtt értékelni kell a szavazási logikára, a diagnosztikára, a végrehajtó elemekre és az előírt kockázatcsökkentésre gyakorolt hatást, valamint meg kell határozni a kompenzáló intézkedéseket.

Mi romolhat el egy force használatakor?

A kényszerített bemenet elrejtheti a terepi értéket bizonyos downstream logikák vagy diagnosztikai funkciók elől. Szavazásos funkció esetén a hatás attól függ, melyik értéket kényszerítik, hogyan történik a hibakezelés, és milyen logikát valósítottak meg; egy kényszerített csatorna nem alakítja át általánosan a 2oo3 rendszert 1oo3 rendszerré. Csatorna módosítása előtt ellenőrizze a tényleges alkalmazást és a biztonsági számítást. A Triconex rendszerekhez kapcsolódó eszközöket, például a TriStation 1131-et, csak felhatalmazott személyzet használhatja a telepített rendszer eljárása szerint. A Triconex 3720 analóg bemeneti modul egy példa olyan hardverre, amelynek csatornaállapotát és leképezését a projektdokumentációval összevetve kell ellenőrizni.

Automatikusan biztonságos és auditálható egy mérnöki override?

Nem. Egy override tartalmazhat engedélyezési feltételeket, időkorlátokat, jelzéseket és kezelői vezérlőket, ha ezeket megtervezték és tesztelték. Ettől azonban nem jön létre automatikusan történeti napló vagy a kezelő számára látható riasztás. A HIMA ELOP II egy mérnöki környezet, amelyet az ELOP II termékadatlap képvisel; az override megléte és működése a tényleges alkalmazástól függ. A HIMA HIMatrix F35 biztonsági célú vezérlőhöz szintén saját, jóváhagyott konfiguráció és biztonsági kézikönyv szükséges. Ha a biztonsági eset ezt írja elő, részesítsen előnyben egy megtervezett és validált karbantartási funkciót, de ne tekintse a force funkciót automatikus tartalékmegoldásnak pusztán azért, mert nincs override.

Mit kell tartalmaznia egy bypass-engedélyezési nyilvántartásnak?

Azonosítsa az érintett biztonsági funkciót és taget, az okot, a felelős személyt, a jóváhagyókat, a kezdési időt, az engedélyezett időtartamot, a folyamatfeltételeket, a kompenzáló védelmet, valamint a visszaállítási és tesztelési tervet. Vizsgálja meg, hogy az üzem folytatható-e csökkentett védelem mellett. Ahol ezt a telephelyi eljárás előírja, követeljen meg független ellenőrzést, és a bypass aktuális állapotát tesztelt módon tegye láthatóvá az üzemeltetők számára.

Hogyan jusson el a bypass állapota a kezelőkhöz?

Használja a telepített SIS-DCS interfészt, és ellenőrizze, hogy az adott force- vagy override-állapot leképezése, riasztása, időbélyegzése és rögzítése megfelel-e a telephelyi kialakítás előírásainak. Egy mérnöki munkaállomás önmagában nem helyettesíti a megbízható üzemeltetési láthatóságot. Ne feltételezze, hogy a TriStation minden bypass-állapotot automatikusan exportál OPC-n vagy Modbuson keresztül, illetve hogy minden HIMA override automatikusan rendszerjelzőkre képeződik le. Mielőtt erre támaszkodna, tesztelje a jelzést ellenőrzött átvételi környezetben.

Hogyan kell eltávolítani a bypass-t?

Kövesse nyomon az aktív bypassokat a telephelyi kockázatértékelésben meghatározott gyakorisággal. A munkálatok befejezése és az üzemeltetés visszaállítási engedélye után távolítsa el a bypass-t, a jóváhagyott tesztelési módszerrel ellenőrizze a terepi jelet és a biztonsági funkciót, győződjön meg arról, hogy a DCS-jelzés visszatér a normál állapotba, majd zárja le a nyilvántartást. Ne ígérjen még ugyanazon műszakban történő visszaállítást, ha a jóváhagyott javítás és a kockázatkezelési intézkedések más időtartamot tesznek szükségessé; a lejárt bypassokat inkább eszkalálja.

További olvasmány: InstrumentationTools.com, „Force Versus Override – Safety System Signals”. Élő munkavégzés előtt ellenőrizze a telepített Triconex- vagy HIMA-kézikönyveket, valamint a telephely IEC 61511 szerinti biztonsági életciklus-dokumentációját.

Szerző: Chen Weiming ipari automatizálási mérnök, több mint 10 éves PLC-, DCS- és vezérlőrendszer-tapasztalattal.