Bypass degli ingressi di sicurezza Triconex e HIMA senza compromettere l'integrità SIL

Un bypass di sicurezza non è una scorciatoia comoda; è una deviazione rigorosamente controllata da un inviluppo di sicurezza certificato. Sebbene la norma IEC 61511 stabilisca che la produzione continua normale non debba mai dipendere da un trip disabilitato, gli impianti di processo continui, inclusi i cracker di etilene, i treni di liquefazione del GNL e le piattaforme offshore, si trovano spesso in situazioni in cui un sensore in servizio deve essere isolato. Un trasmettitore di pressione differenziale può presentare deriva durante un hot tap, un interruttore di alto livello può non superare il proof test oppure uno scanner ottico di fiamma può degradarsi durante una campagna operativa. In questi scenari, gli impianti necessitano di una filosofia di bypass strutturata anziché di un pulsante di bypass improvvisato.

Fondamentalmente, gli ingegneri di campo devono distinguere tra due modalità operative nelle architetture SIL3:

• Inibizione: interrompe completamente il percorso del segnale fisico verso la logica di trip. Triconex la definisce Permissive to Bypass, mentre HIMA la denomina Bypass Inhibit.
• Sostituzione: inserisce nella logica un valore numerico sostitutivo fisso e predeterminato. Triconex la designa come Forced Input, mentre HIMA la definisce Bypass Substitute.

La selezione della modalità errata può congelare un trasmettitore in servizio su una vecchia lettura sicura, mascherando una reale deviazione del processo e creando punti ciechi catastrofici.

Perché un bypass strutturato è consentito dalla norma IEC 61511 negli impianti in esercizio?

Gli ingegneri discutono spesso se gli override temporanei compromettano gli standard di sicurezza certificati. La norma IEC 61511 prevede esplicitamente i bypass durante fasi operative definite: avviamento dell'impianto, proof test e manutenzione online degli strumenti. Ciò che la norma vieta rigorosamente è trattare un bypass temporaneo come soluzione operativa permanente.

Ogni bypass temporaneo riduce temporaneamente il fattore di riduzione del rischio (RRF) di quella Safety Instrumented Function (SIF). Senza misure compensative disciplinate, i team operativi rischiano di far funzionare un'unità di processo alla cieca, presumendo che lo strato di sicurezza automatizzato sia pienamente vigile.

Come gestisce il registro bypass MISER di Triconex la votazione 2oo3 e il PFDavg?

Nei logic solver Triconex che operano con ridondanza modulare tripla (TMR) e votazione due su tre (2oo3), ogni canale di ingresso contiene una Bypass Status Word a 16 bit:

• Bit 0: flag di abilitazione globale del bypass.
• Bit 1: selettore della modalità (Inhibit o Override).
• Bit 2–15: identificativo del codice motivo MOC dell'impianto.

La scrittura del codice motivo MOC corretto è obbligatoria per gli audit di conformità. È fondamentale notare che il bypass di un ingresso su una scheda analogica, come il Modulo di ingresso analogico singolo Invensys Triconex 3720, non scollega il canale dalla diagnostica interna. La logica di votazione passa invece da 2oo3 a una configurazione 1oo2 sui due canali rimanenti.

In modalità 1oo2, la probabilità media di guasto su richiesta ($PFD_{avg}$) aumenta immediatamente. Il polling diagnostico continuo tramite hardware di rete dedicato, come il Modulo di comunicazione ad alta velocità Invensys Triconex 4354, garantisce che qualsiasi secondo guasto hardware venga segnalato immediatamente, richiedendo il ripristino del loop entro il turno in corso.

Come fanno i controllori di sicurezza HIMA a imporre i timer di scadenza e la diagnostica HART?

I sistemi di sicurezza HIMA, incluso il Controllore relativo alla sicurezza HIMA HIMatrix F35 e le unità I/O modulari come il Modulo HIMA F3 DIO 20/8 01, utilizzano una tabella di bypass specifica per canale. Ogni voce della tabella associa l'indirizzo del canale fisico all'ID del badge dell'operatore, alla motivazione documentata e a un timeout rigido.

La best practice impone di limitare il timer di scadenza del bypass a otto ore o alla durata del turno in corso. Il firmware HIMA genera un avviso automatico quando un bypass raggiunge il 75% della durata consentita.

È altrettanto fondamentale verificare la telemetria diagnostica HART: quando un loop analogico viene posto in bypass, HART Command 03 (Read Dynamic Variables and Analog Input) deve indicare la variabile di processo con BAD Quality. Se il DCS riceve un bit di qualità "Good" mentre il trip del SIS è disabilitato, gli operatori potrebbero affidarsi erroneamente a una lettura fantasma.

Qual è il protocollo di campo per un bypass conforme agli audit?

Per eseguire un bypass pronto per l'audit senza compromettere l'integrità della sicurezza dell'impianto, seguire queste linee guida operative essenziali:

• Interrogare prima la diagnostica di campo: collegare un comunicatore di campo per esaminare la variabile primaria (PV), la parola di stato del dispositivo e l'uscita in milliampere grezza prima di modificare la logica.
• Ottenere l'autorizzazione per la gestione delle modifiche (MOC): documentare il tag SIF esatto, la classificazione SIL, la durata prevista e la valutazione del rischio prima di richiedere l'accesso alla workstation.
• Stabilire misure compensative: assegnare un operatore di campo dedicato al monitoraggio manuale orario e mantenere un contatto radio bidirezionale diretto con la console di controllo.
• Abilitare solo dalle workstation di ingegneria: sia Triconex sia HIMA vietano rigorosamente l'avvio degli override di sicurezza da scatole di giunzione di campo o terminali di marshalling.
• Convalidare l'annunciazione del trip: confermare nello storico allarmi che la SIF interessata risulti come MAINTENANCE o BYPASSED.
• Eseguire i controlli al banco del trasmettitore e ripristinare tempestivamente: verificare nuovamente zero e span rispetto ai registri di calibrazione certificati, ripristinare il canale di ingresso, assicurarsi che i moduli di uscita, come il Modulo di uscita digitale Invensys 3601T Triconex, tornino al normale funzionamento e approvare formalmente il registro MOC.

Quali firme di guasto HART non devono mai essere mascherate?

Alcune diagnostiche dello strumento indicano una perdita completa della capacità di rilevamento e non devono mai essere mascherate con un override. Rifiutare immediatamente le richieste di bypass se la telemetria del dispositivo segnala:

• OUT_OF_CALIBRATION o HARDWARE_FAILURE
• CONFIG_CORRUPT nella memoria non volatile
• Codici di stato del trasduttore che indicano OPEN_TRANSDUCER o SHORTED_TRANSDUCER

L'override di questi flag specifici impedisce al logic solver di rilevare un sensore completamente guasto. Al contrario, avvisi transitori minori come PV_TRAVELLED_TOO_FAST o gli avvisi temporanei LOW_POWER possono essere gestiti durante brevi finestre di manutenzione supervisionate.

Come possono gli impianti prevenire il degrado SIL a lungo termine causato dai loop disabilitati?

Il mantenimento dell'integrità della sicurezza funzionale richiede una vigilanza amministrativa e automatizzata continua. Monitorare la durata dei bypass per ogni SIF come KPI mensile principale: se un singolo loop di sicurezza supera un'ora cumulativa di bypass in un mese, indagare e correggere le cause alla radice invece di prolungare continuamente gli override.

Archiviare tutti i registri di audit ogni trimestre, condurre revisioni al cambio turno confrontandole con il registro dei bypass attivi e svolgere ogni anno una formazione basata su scenari sulle console Triconex e HIMA per mantenere elevata la disciplina ingegneristica.

Informazioni sull'autore: Weifeng Han è un ingegnere dell'automazione industriale con oltre 10 anni di esperienza pratica in PLC, DCS, sistemi di sicurezza SIL3 e ingegneria della sicurezza funzionale.