Disciplina dei bypass Triconex e HIMA: forzatura versus override nei sistemi di sicurezza

La forzatura e l'override possono entrambi modificare il modo in cui un sistema strumentato di sicurezza (SIS) risponde durante il collaudo o la riparazione delle apparecchiature. Nessuno dei due è una scorciatoia per ottenere un funzionamento sicuro. La scelta deve essere disciplinata dai requisiti di sicurezza approvati, dalla valutazione dei rischi e dalla procedura di bypass del sito.

Perché è importante distinguere?

Una forzatura sostituisce in genere un valore in un controller o in un ambiente di ingegneria; un override applicativo è un bypass progettato deliberatamente nella logica. Il comportamento esatto varia in base alla piattaforma, alla versione e alla configurazione. Entrambi possono ridurre la disponibilità di una funzione di sicurezza. Prima di iniziare i lavori, valutare l'effetto sulla votazione, sulla diagnostica, sugli elementi finali e sulla riduzione del rischio richiesta, quindi definire misure compensative.

Cosa può andare storto con una forzatura?

Un ingresso forzato può nascondere il valore di campo ad alcune logiche o diagnostiche a valle. In una funzione votata, l'effetto dipende dal valore forzato, dalla gestione dei guasti e dalla logica implementata; un canale forzato non trasforma universalmente una configurazione 2oo3 in 1oo3. Verificare l'applicazione effettiva e il calcolo di sicurezza prima di modificare un canale. Gli strumenti associati ai sistemi Triconex, come TriStation 1131, devono essere utilizzati esclusivamente da personale autorizzato secondo la procedura del sistema installato. Un modulo di ingresso analogico Triconex 3720 è un esempio di hardware il cui stato e la cui mappatura dei canali devono essere verificati rispetto alla documentazione del progetto.

Un override progettato è automaticamente sicuro e verificabile?

No. Un override può includere permissivi, limiti di tempo, segnalazioni e comandi per l'operatore quando questi sono stati progettati e collaudati. Non crea automaticamente uno storico di audit né un allarme visibile all'operatore. HIMA ELOP II è un ambiente di ingegneria rappresentato dalla scheda del prodotto ELOP II; la presenza e il comportamento di un override dipendono dall'applicazione effettiva. Anche un controller di sicurezza HIMA HIMatrix F35 richiede una propria configurazione approvata e un manuale di sicurezza. Preferire una funzione di manutenzione progettata e validata quando il caso di sicurezza lo richiede, ma non considerare una forzatura come soluzione di ripiego automatica solo perché non esiste un override.

Cosa deve contenere un registro di autorizzazione del bypass?

Identificare la funzione di sicurezza e il tag interessati, il motivo, la persona responsabile, gli approvatori, l'ora di inizio, la durata autorizzata, le condizioni di processo, la protezione compensativa e il piano di ripristino e collaudo. Verificare se l'impianto può continuare a funzionare con una protezione ridotta. Richiedere una verifica indipendente quando previsto dalla procedura del sito e mantenere lo stato corrente del bypass visibile agli operatori tramite un mezzo collaudato.

Come deve essere comunicato agli operatori lo stato del bypass?

Utilizzare l'interfaccia SIS-DCS installata e verificare che lo specifico stato di forzatura o override sia mappato, soggetto ad allarme, corredato di marca temporale e registrato come richiesto dal progetto del sito. Una sola workstation di ingegneria non sostituisce una visibilità operativa affidabile. Non presumere che TriStation esporti ogni bypass tramite OPC o Modbus, né che tutti gli override HIMA siano mappati automaticamente nei flag di sistema. Collaudare l'indicazione in un ambiente di accettazione controllato prima di farvi affidamento.

Come deve essere rimosso il bypass?

Monitorare i bypass attivi con la frequenza specificata dalla valutazione dei rischi del sito. Quando i lavori sono completati e le operazioni autorizzano il ripristino, rimuovere il bypass, verificare il segnale di campo e la funzione di sicurezza utilizzando il metodo di collaudo approvato, confermare che l'indicazione DCS sia tornata alla normalità e chiudere il registro. Non promettere il ripristino nello stesso turno se la riparazione approvata e i controlli del rischio richiedono una durata diversa; invece, portare all'attenzione i bypass scaduti.

Per approfondire: InstrumentationTools.com, “Force Versus Override – Safety System Signals.” Verificare i manuali Triconex o HIMA installati e la documentazione del ciclo di vita della sicurezza IEC 61511 del sito prima di qualsiasi intervento in esercizio.

Autore: Chen Weiming è un ingegnere dell'automazione industriale con oltre 10 anni di esperienza in PLC, DCS e sistemi di controllo.