Triconex un HIMA drošības ieeju apiešana, neapdraudot SIL integritāti

Drošības apiešana nav ērts īsceļš; tā ir stingri kontrolēta novirze no sertificētas drošības robežas. Lai gan IEC 61511 nosaka, ka normāla nepārtraukta ražošana nekad nedrīkst būt atkarīga no deaktivizētas aizsardzības funkcijas, nepārtrauktas darbības procesu iekārtas, tostarp etilēna krekinga iekārtas, SDG sašķidrināšanas līnijas un jūras platformas, bieži saskaras ar situācijām, kurās aktīvs sensors ir jāizolē. Diferenciālā spiediena raidītājs karstā pieslēguma laikā var novirzīties, augsta līmeņa slēdzis var neizturēt darbības pārbaudi, vai optiskais liesmas skeneris kampaņas vidū var nolietoties. Šādās situācijās iekārtām ir vajadzīga strukturēta apiešanas filozofija, nevis ad hoc apiešanas poga.

Būtībā lauka inženieriem SIL3 arhitektūrās jānošķir divi darbības režīmi:

• Bloķēšana: Pilnībā pārtrauc fiziskā signāla ceļu uz aizsardzības loģiku. Triconex to definē kā Permissive to Bypass, savukārt HIMA to apzīmē kā Bypass Inhibit.
• Aizstāšana: Loģikas risinātājā ievada iepriekš noteiktu, fiksētu skaitlisku aizstājējvērtību. Triconex to apzīmē kā Forced Input, bet HIMA sauc par Bypass Substitute.

Nepareiza režīma izvēle var iesaldēt aktīva raidītāja rādījumu novecojušā drošā vērtībā, maskējot reālu procesa novirzi un radot katastrofālus aklos punktus.

Kāpēc saskaņā ar IEC 61511 darbojošās iekārtās ir atļauta strukturēta apiešana?

Inženieri bieži diskutē par to, vai pagaidu aizstāšana apdraud sertificētus drošības standartus. IEC 61511 skaidri pieļauj apiešanu noteiktās darbības fāzēs: iekārtas palaišanas, darbības pārbaudes un instrumentu apkopes laikā tiešsaistē. Standarts stingri aizliedz pagaidu apiešanu izmantot kā pastāvīgu darbības risinājumu.

Katrs pagaidu apiešanas gadījums īslaicīgi samazina šīs drošības instrumentētās funkcijas (SIF) riska samazināšanas koeficientu (RRF). Bez disciplinētiem kompensējošiem pasākumiem ekspluatācijas komandas riskē darbināt procesa iekārtu faktiski akli, vienlaikus pieņemot, ka automatizētais drošības slānis pilnībā uzrauga procesu.

Kā Triconex MISER apiešanas reģistrs pārvalda 2oo3 balsošanu un PFDavg?

Triconex loģikas risinātājos, kas darbojas ar trīskāršo modulāro redundanci (TMR) un divu no trim (2oo3) balsošanu, katram ievades kanālam ir 16 bitu Bypass Status Word:

• Bits 0: Globālais apiešanas iespējošanas karodziņš.
• Bits 1: Režīma selektors (bloķēšana vai aizstāšana).
• Biti 2–15: Iekārtas MOC iemesla koda identifikators.

Pareiza MOC iemesla koda ierakstīšana ir obligāta atbilstības auditiem. Būtiski, ka ievades apiešana analogajā kartē, piemēram, Invensys Triconex 3720 Analog Input Module, neatvieno kanālu no iekšējās diagnostikas. Tā vietā balsošanas loģika atlikušajos divos kanālos degradējas no 2oo3 uz 1oo2 konfigurāciju.

Darbojoties 1oo2 režīmā, vidējā atteices varbūtība pēc pieprasījuma ($PFD_{avg}$) nekavējoties palielinās. Nepārtraukta diagnostikas aptauja, ko nodrošina specializēta tīkla aparatūra, piemēram, Invensys Triconex 4354 High-Speed Communication Module, nodrošina, ka jebkura otra aparatūras kļūme tiek nekavējoties konstatēta, un prasa atjaunot kontūru aktīvās maiņas laikā.

Kā HIMA drošības kontrolieri nodrošina noildzes taimerus un HART diagnostiku?

HIMA drošības sistēmas, tostarp HIMA HIMatrix F35 Safety-Related Controller un modulārās I/O vienības, piemēram, HIMA F3 DIO 20/8 01 Module, izmanto kanālam specifisku apiešanas tabulu. Katrs tabulas ieraksts sasaista fiziskā kanāla adresi ar operatora identifikācijas kartes ID, dokumentētu pamatojumu un stingru noildzes laiku.

Labākā prakse nosaka, ka apiešanas noildzes taimeris jāierobežo līdz astoņām stundām vai pašreizējās maiņas ilgumam. HIMA aparātprogrammatūra automātiski ģenerē brīdinājumu, kad apiešana sasniedz 75% no atļautā darbības laika.

Tikpat būtiski ir pārbaudīt HART diagnostikas telemetriju: kad analogā kontūra tiek ievietota apiešanas režīmā, HART kommandai 03 (dinamisko mainīgo un analogās ievades nolasīšana) procesa mainīgais jāatzīmē ar BAD Quality. Ja DCS saņem kvalitātes bitu "Good", kamēr SIS aizsardzības funkcija ir deaktivizēta, operatori var kļūdaini paļauties uz fiktīvu rādījumu.

Kāds ir laukā izmantojamais protokols auditam atbilstošai apiešanai?

Lai veiktu auditam gatavu apiešanu, neapdraudot iekārtas drošības integritāti, ievērojiet šīs būtiskās darbības vadlīnijas:

• Vispirms pārbaudiet lauka diagnostiku: Pievienojiet lauka komunikatoru, lai pirms loģikas modificēšanas pārbaudītu primāro mainīgo (PV), ierīces statusa vārdu un neapstrādāto miliampēru izvadi.
• Nodrošiniet izmaiņu pārvaldības (MOC) apstiprinājumu: Pirms piekļuves pieprasīšanas darbstacijai dokumentējiet precīzu SIF tagu, SIL klasifikāciju, paredzēto ilgumu un riska novērtējumu.
• Izveidojiet kompensējošus pasākumus: Norīkojiet īpaši šim nolūkam paredzētu lauka operatoru manuālai uzraudzībai reizi stundā un uzturiet tiešu divvirzienu radiosakaru ar vadības pulti.
• Iespējojiet tikai inženierijas darbstacijās: Gan Triconex, gan HIMA stingri aizliedz ierosināt drošības funkciju aizstāšanu no lauka sadales kārbām vai maršalizācijas termināļiem.
• Apstipriniet aizsardzības funkcijas trauksmes indikāciju: Pārliecinieties trauksmju vēsturē, ka ietekmētā SIF ir reģistrēta kā MAINTENANCE vai BYPASSED.
• Veiciet raidītāja pārbaudes uz stenda un savlaicīgi atjaunojiet darbību: Atkārtoti pārbaudiet nulli un diapazonu, salīdzinot ar sertificētiem kalibrēšanas ierakstiem, atjaunojiet ievades kanālu, pārliecinieties, ka izejas slēdži, piemēram, Invensys 3601T Triconex Digital Output Module, atgriežas normālā darbībā, un oficiāli parakstiet MOC žurnālu.

Kuras HART kļūmju pazīmes nekad nedrīkst maskēt?

Noteikta instrumentu diagnostika norāda uz pilnīgu mērīšanas spējas zudumu, un to nekad nedrīkst maskēt ar aizstāšanu. Nekavējoties noraidiet apiešanas pieprasījumus, ja ierīces telemetrija uzrāda:

• OUT_OF_CALIBRATION vai HARDWARE_FAILURE
• CONFIG_CORRUPT nepastāvīgajā atmiņā
• Pārveidotāja statusa kodus, kas norāda uz OPEN_TRANSDUCER vai SHORTED_TRANSDUCER

Šo konkrēto karodziņu aizstāšana padara loģikas risinātāju aklu pret pilnībā bojātu sensoru. Savukārt nelielus īslaicīgus brīdinājumus, piemēram, PV_TRAVELLED_TOO_FAST vai īslaicīgus LOW_POWER brīdinājumus, var pārvaldīt īsos, uzraudzītos apkopes periodos.

Kā iekārtas var novērst ilgtermiņa SIL degradāciju deaktivizētu kontūru dēļ?

Funkcionālās drošības integritātes uzturēšanai nepieciešama nepārtraukta administratīva un automatizēta uzraudzība. Izsekojiet apiešanas ilgumam katrai SIF kā galvenajam mēneša KPI: ja kāda atsevišķa drošības kontūra mēneša laikā kopumā ir bijusi apiešanas režīmā ilgāk par vienu stundu, izpētiet un novērsiet pamatcēloņus, nevis pastāvīgi pagariniet aizstāšanu.

Arhivējiet visus audita žurnālus reizi ceturksnī, maiņu nodošanas laikā pārskatiet aktīvo apiešanas reģistru un reizi gadā veiciet uz scenārijiem balstītas apmācības par Triconex un HIMA konsolēm, lai uzturētu augstu inženierijas disciplīnas līmeni.

Par autoru: Weifeng Han ir rūpnieciskās automatizācijas inženieris ar vairāk nekā 10 gadu praktisko pieredzi PLC, DCS, SIL3 drošības sistēmās un funkcionālās drošības inženierijā.