Eludere una funzione di sicurezza senza violare la norma IEC 61511: guida pratica per Triconex e HIMA

I sistemi strumentati di sicurezza (SIS) esistono per ridurre il rischio operativo a un livello accettabile. Tuttavia, durante l'avviamento, la manutenzione ordinaria e i test di prova programmati, i circuiti di sicurezza non possono sempre funzionare secondo i parametri standard. Quando si esclude o si bypassa un interblocco, il rischio dell'impianto aumenta naturalmente. Se gestito correttamente secondo una rigorosa disciplina ingegneristica, un bypass temporaneo previene gli interventi intempestivi mantenendo al contempo protetti vite umane e beni.

La norma IEC 61511 stabilisce limiti precisi per il bypass delle funzioni strumentate di sicurezza (SIF). Questa guida pratica traduce tali rigorose clausole in azioni ingegneristiche concrete per gli ingegneri che lavorano con le architetture di sicurezza Schneider Electric / Invensys Triconex e HIMA.

Perché il bypass di una funzione di sicurezza è consentito dalla IEC 61511?

Gli ingegneri si chiedono spesso se il bypass di una funzione strumentata di sicurezza violi gli standard di integrità della sicurezza. La risposta breve è no, purché sia conforme alla clausola 16 della IEC 61511. La manutenzione, la calibrazione e i test di prova richiedono inevitabilmente l'isolamento di un sensore o di un attuatore senza arrestare un'intera linea di processo.

Tuttavia, un bypass non monitorato o non registrato è molto più pericoloso dell'assenza totale di protezione, perché gli operatori presumono che la protezione sia attiva quando invece è esclusa. I team operativi perdono rapidamente traccia dei circuiti bypassati durante i cambi turno. Per questo motivo, la disciplina procedurale e il monitoraggio automatizzato sono molto più importanti dell'ingegnosità improvvisata sul campo.

Qual è la differenza fondamentale tra un inibitore e un override?

Nel gergo industriale, termini come esclusione, forzatura, silenziamento, disabilitazione e bypass sono spesso usati come sinonimi. Tuttavia, nel percorso del segnale, un inibitore e un override si comportano in modo molto diverso:

• Inibitore: interrompe completamente il segnale in ingresso o in uscita dalla logica di sicurezza. La logica a valle perde un valore deterministico e spesso passa a uno stato indefinito o flottante, che può causare un comportamento imprevedibile della logica di voto.
• Override: interrompe il segnale attivo, ma lo sostituisce immediatamente con un valore ingegneristico definito e costante. La logica di sicurezza continua a valutare un numero preciso e deterministico.

Per i circuiti critici per la sicurezza, preferire sempre un override software a un inibitore non controllato per mantenere deterministico il voto. Inoltre, non scollegare mai il cablaggio di campo per ottenere un bypass. I collegamenti fisici di campo devono rimanere intatti affinché le schede di ingresso, come il modulo di ingresso analogico a terminazione singola Inv​​ensys Triconex 3720, possano continuare a eseguire la diagnostica della linea, rilevare i guasti di circuito aperto e generare allarmi per sensori fuori intervallo.

Come si implementano i controlli della clausola 16 della IEC 61511 su Triconex e HIMA?

La clausola 16 disciplina rigorosamente la manutenzione e il funzionamento dei SIS durante la prosecuzione dell'esercizio del processo. Come si soddisfano questi requisiti nelle architetture DCS e SIS di campo? È necessario rispettare quattro requisiti fondamentali:

• Autorizzazione formale: assicurarsi che ogni richiesta di bypass sia esaminata mediante una gestione delle modifiche (MOC) o approvata da un responsabile autorizzato della sicurezza funzionale.
• Timeout rigidi: non lasciare mai un bypass senza scadenza. Associare ogni override a un timer automatico di scadenza, normalmente limitato a un singolo turno operativo.
• Misure compensative: quando una SIF viene esclusa, adottare misure alternative di riduzione del rischio, come l'osservazione manuale dedicata sul campo o interblocchi secondari temporanei.
• Mappatura della logica hardware: su un sistema Triconex, associare ogni bypass a blocchi funzionali dedicati e protetti dai tag all'interno di TriStation. Quando si lavora con controller di sicurezza come il controller correlato alla sicurezza HIMA HIMatrix F35 o il modulo HIMA F3 DIO 20/8 01, assegnare gli override a zone operatore protette, messe in sicurezza tramite interruttore a chiave o password basate sui ruoli.

Entrambi i produttori forniscono audit trail SOE (Sequenza degli eventi) a prova di manomissione, che registrano ID utente, marche temporali e stati dei canali. Se la registrazione dell'audit trail è disabilitata, il bypass deve essere considerato non autorizzato.

Come possono gli ingegneri rilevare i bypass dimenticati utilizzando Modbus e HART?

L'esperienza sul campo dimostra che il rischio maggiore nella gestione dei SIS è rappresentato dal bypass dimenticato. I bypass software possono rimanere nascosti in sotto-schermate per settimane se non vengono visualizzati attivamente. La strumentazione moderna di campo e i bus di comunicazione offrono finestre diagnostiche chiare:

• Interrogare i registri coil del SIS tramite Modbus TCP: dedicare registri di memoria diagnostici specifici agli stati di bypass. Instradando la comunicazione SIS attraverso moduli come il modulo di comunicazione ad alta velocità Inv​​ensys Triconex 4354, le stazioni master DCS o SCADA possono interrogare continuamente questi registri e segnalare qualsiasi coil mantenuto alto oltre la finestra temporale consentita.
• Scansionare lo stato dei dispositivi HART: interrogare la diagnostica HART multidrop. Un trasmettitore intelligente di pressione o temperatura impostato su "Corrente fissa" o "Modalità simulazione" rivela immediatamente un override di campo attivo.
• Confrontare gli ingressi analogici con il PV HART: se la lettura del canale di ingresso analogico si discosta significativamente dal PV HART digitale grezzo, il sistema diagnostico può generare immediatamente un allarme di discrepanza.
• Alimentare le matrici degli allarmi dello storico: registrare automaticamente ogni transizione di stato del bypass nello storico dell'impianto per supportare gli audit di sicurezza giornalieri tra i turni.

Qual è la procedura corretta per rimettere in servizio un circuito bypassato?

Il ripristino è spesso il momento in cui si verificano gli incidenti, perché la rimozione di un bypass riattiva istantaneamente l'elemento finale di intervento contro un processo attivo e potenzialmente instabile.

• Verificare che i valori dei trasmettitori di campo e le variabili di processo siano rientrati ampiamente nei limiti operativi sicuri standard.
• Ispezionare gli elementi finali di controllo digitali, comandati da moduli come il modulo di uscita digitale Inv​​ensys 3601T Triconex, per assicurarsi che i canali di uscita corrispondano agli stati operativi richiesti.
• Cancellare i latch diagnostici interni e riconoscere gli allarmi dei canali sulla stazione di engineering HIMA o sul display diagnostico Triconex.
• Confermare che tutti i LED indicatori dei bypass hardware siano spenti prima di completare il registro formale di consegna.

Conclusioni chiave per i team di sicurezza funzionale sul campo

Il bypass è uno strumento operativo inevitabile, ma un bypass non gestito rappresenta un rischio inaccettabile. Per mantenere la conformità alla IEC 61511:

• Distinguere rigorosamente tra inibitore e override nelle specifiche ingegneristiche.
• Vincolare ogni override ad autorizzazione formale, misure compensative e un tempo di scadenza rigido.
• Sfruttare i coil diagnostici Modbus e la telemetria HART come rete di sicurezza automatizzata per individuare gli override dimenticati.
• Applicare protocolli di verifica scrupolosi durante i passaggi di turno e il ripristino dei circuiti.

Informazioni sull'autore: Chen Weiming è un ingegnere dell'automazione industriale con oltre 10 anni di esperienza pratica in PLC, DCS e sistemi strumentati di sicurezza.