Omijanie wejść bezpieczeństwa Triconex i HIMA bez naruszania integralności SIL

Obejście zabezpieczenia nie jest wygodnym skrótem; stanowi ściśle kontrolowane odstępstwo od certyfikowanego zakresu bezpieczeństwa. Chociaż norma IEC 61511 stanowi, że normalna ciągła produkcja nigdy nie może zależeć od wyłączonego wyzwolenia, zakłady pracujące w trybie ciągłym - w tym krakery etylenowe, instalacje skraplania LNG i platformy offshore - często napotykają sytuacje, w których działający czujnik musi zostać odizolowany. Przetwornik różnicy ciśnień może dryfować podczas wykonywania przyłącza pod ciśnieniem, wyłącznik wysokiego poziomu może nie przejść testu sprawdzającego, a optyczny skaner płomienia może ulec degradacji w trakcie kampanii produkcyjnej. W takich sytuacjach zakłady potrzebują ustrukturyzowanej filozofii obejść, a nie doraźnego przycisku obejścia.

Zasadniczo inżynierowie obiektowi muszą rozróżniać dwa tryby pracy w architekturach SIL3:

• Blokada: Całkowicie odcina fizyczną ścieżkę sygnału od logiki wyzwalającej. Firma Triconex określa to jako Zezwolenie na obejście, natomiast firma HIMA nazywa to Blokadą obejścia.
• Wymuszenie: Wprowadza do solvera logiki wcześniej ustaloną, stałą wartość zastępczą. Firma Triconex określa to jako Wymuszone wejście, a firma HIMA używa terminu Zastąpienie obejścia.

Wybór niewłaściwego trybu może zamrozić działający przetwornik na nieaktualnym, bezpiecznym odczycie, maskując rzeczywiste odchylenie procesu i tworząc katastrofalne ślepe strefy.

Dlaczego ustrukturyzowane obejście jest dozwolone przez IEC 61511 w pracujących zakładach?

Inżynierowie często debatują nad tym, czy tymczasowe wymuszenia naruszają certyfikowane normy bezpieczeństwa. Norma IEC 61511 wyraźnie dopuszcza obejścia podczas określonych faz eksploatacji: rozruchu zakładu, testów sprawdzających i konserwacji przyrządów online. Norma kategorycznie zabrania natomiast traktowania tymczasowego obejścia jako stałego sposobu obchodzenia wymagań eksploatacyjnych.

Każde tymczasowe obejście tymczasowo obniża współczynnik redukcji ryzyka (RRF) tej funkcji bezpieczeństwa oprzyrządowania (SIF). Bez zdyscyplinowanych środków kompensacyjnych zespoły operacyjne ryzykują prowadzenie instalacji bez pełnej widoczności, zakładając jednocześnie, że zautomatyzowana warstwa bezpieczeństwa pozostaje w pełni czujna.

Jak rejestr obejść Triconex MISER zarządza głosowaniem 2oo3 i PFDavg?

W solverach logiki Triconex pracujących z potrójną redundancją modułową (TMR) i głosowaniem dwóch z trzech (2oo3) każdy kanał wejściowy zawiera 16-bitowe słowo statusu obejścia:

• Bit 0: Flaga globalnego zezwolenia na obejście.
• Bit 1: Selektor trybu (blokada lub wymuszenie).
• Bity 2–15: Identyfikator kodu przyczyny MOC obowiązującego w zakładzie.

Wprowadzenie prawidłowego kodu przyczyny MOC jest obowiązkowe na potrzeby audytów zgodności. Co istotne, obejście wejścia na karcie analogowej - takiej jak moduł wejść analogowych Inv​​ensys Triconex 3720, jednostronny - nie odłącza kanału od wewnętrznej diagnostyki. Zamiast tego logika głosowania przechodzi z układu 2oo3 na układ 1oo2 obejmujący dwa pozostałe kanały.

W trybie 1oo2 średnie prawdopodobieństwo niewykonania funkcji na żądanie ($PFD_{avg}$) natychmiast wzrasta. Ciągłe odpytywanie diagnostyczne za pośrednictwem dedykowanego sprzętu sieciowego, takiego jak moduł komunikacji dużej prędkości Inv​​ensys Triconex 4354, zapewnia natychmiastowe zgłoszenie każdej drugiej usterki sprzętowej, co wymaga przywrócenia pętli w trakcie trwającej zmiany.

Jak sterowniki bezpieczeństwa HIMA wymuszają liczniki czasu wygaśnięcia i diagnostykę HART?

Systemy bezpieczeństwa HIMA - w tym sterownik związany z bezpieczeństwem HIMA HIMatrix F35 oraz modułowe jednostki I/O, takie jak moduł HIMA F3 DIO 20/8 01 - wykorzystują tabelę obejść przypisaną do kanałów. Każdy wpis tabeli wiąże adres kanału fizycznego z identyfikatorem karty operatora, udokumentowanym uzasadnieniem i sztywnym limitem czasu.

Dobra praktyka nakazuje ograniczenie czasu wygaśnięcia obejścia do ośmiu godzin lub czasu trwania bieżącej zmiany. Oprogramowanie sprzętowe HIMA generuje automatyczne powiadomienie, gdy obejście osiągnie 75% dozwolonego czasu trwania.

Równie istotna jest weryfikacja danych diagnostycznych HART: gdy pętla analogowa zostanie przełączona w tryb obejścia, komenda HART 03 (odczyt zmiennych dynamicznych i wejścia analogowego) musi oznaczyć zmienną procesową jako BAD Quality. Jeśli system DCS otrzyma bit jakości „Good”, gdy wyzwolenie SIS jest wyłączone, operatorzy mogą omyłkowo polegać na pozornym odczycie.

Jaki jest protokół obiektowy dla obejścia zgodnego z wymaganiami audytu?

Aby wykonać obejście gotowe do audytu bez naruszania integralności bezpieczeństwa zakładu, należy przestrzegać następujących podstawowych wytycznych operacyjnych:

• Najpierw przeanalizuj diagnostykę obiektową: Podłącz komunikator obiektowy, aby przed modyfikacją logiki sprawdzić zmienną podstawową (PV), słowo statusu urządzenia i surowy sygnał wyjściowy w miliamperach.
• Uzyskaj formalne upoważnienie do zarządzania zmianą (MOC): Przed zażądaniem dostępu do stacji roboczej udokumentuj dokładny znacznik SIF, klasyfikację SIL, docelowy czas trwania i ocenę ryzyka.
• Ustanów środki kompensacyjne: Przydziel dedykowanego operatora obiektowego do godzinnego monitorowania ręcznego i utrzymuj bezpośrednią dwukierunkową łączność radiową z konsolą sterowania.
• Włączaj wyłącznie ze stacji roboczych inżynierskich: Zarówno firma Triconex, jak i firma HIMA surowo zabraniają inicjowania wymuszeń bezpieczeństwa ze skrzynek przyłączeniowych obiektu lub zacisków krosowych.
• Zweryfikuj sygnalizację wyzwolenia: Potwierdź w archiwizatorze alarmów, że dana SIF jest zarejestrowana jako MAINTENANCE lub BYPASSED.
• Wykonaj kontrolę przetwornika na stanowisku i przywróć go w odpowiednim czasie: Ponownie zweryfikuj zero i zakres względem certyfikowanej dokumentacji kalibracyjnej, przywróć kanał wejściowy, upewnij się, że moduły wyjściowe - takie jak moduł wyjść cyfrowych Inv​​ensys 3601T Triconex - wróciły do normalnej pracy, a następnie formalnie zatwierdź wpis w rejestrze MOC.

Które sygnatury usterek HART nigdy nie mogą być maskowane?

Niektóre wskazania diagnostyczne przyrządu oznaczają całkowitą utratę zdolności pomiarowej i nigdy nie mogą być maskowane za pomocą wymuszenia. Należy natychmiast odrzucić wnioski o obejście, jeśli telemetria urządzenia wskazuje:

• OUT_OF_CALIBRATION lub HARDWARE_FAILURE
• CONFIG_CORRUPT w pamięci nieulotnej
• Kody statusu przetwornika wskazujące OPEN_TRANSDUCER lub SHORTED_TRANSDUCER

Wymuszenie tych konkretnych flag pozbawia solver logiki informacji o całkowicie uszkodzonym czujniku. Z kolei drobne przejściowe ostrzeżenia, takie jak PV_TRAVELLED_TOO_FAST lub tymczasowe alarmy LOW_POWER, mogą być obsługiwane w ramach krótkich, nadzorowanych okien konserwacyjnych.

Jak zakłady mogą zapobiegać długotrwałemu obniżeniu poziomu SIL z powodu wyłączonych pętli?

Utrzymanie integralności bezpieczeństwa funkcjonalnego wymaga ciągłej czujności administracyjnej i automatycznej. Należy śledzić czas trwania obejść dla każdej SIF jako podstawowy miesięczny KPI: jeśli pojedyncza pętla bezpieczeństwa przekroczy łącznie jedną godzinę obejścia w miesiącu, trzeba zbadać przyczyny źródłowe i je usunąć, zamiast stale przedłużać wymuszenia.

Archiwizuj wszystkie dzienniki audytowe co kwartał, przeprowadzaj podczas przekazywania zmiany przeglądy względem aktywnego rejestru obejść i raz w roku organizuj szkolenia scenariuszowe na konsolach Triconex i HIMA, aby utrzymać rygor inżynierski.

O autorze: Weifeng Han jest inżynierem automatyki przemysłowej z ponad 10-letnim praktycznym doświadczeniem w zakresie sterowników PLC, systemów DCS, systemów bezpieczeństwa SIL3 i inżynierii bezpieczeństwa funkcjonalnego.