IEC 61511 Gerenciamento de Bypass e Override de Segurança: Guia Prático do HIMA HIMatrix F60 e Triconex T3000

Por que a Gestão de Bypass é um Risco de Conformidade

Todo engenheiro de campo já fez bypass em um sensor durante a manutenção. A verdadeira questão é se esse bypass foi autorizado, registrado e encerrado no prazo. A Cláusula 11.9 da IEC 61511 torna a gestão de bypass um elemento obrigatório do ciclo de vida, não uma prática recomendada opcional. O não cumprimento invalida sua reivindicação SIL e expõe a planta a falhas perigosas não detectadas.

HIMA HIMatrix F60 e Triconex T3000 fornecem mecanismos de inibição em nível de hardware. No entanto, o procedimento em torno desses mecanismos determina se você está em conformidade com a IEC 61511 ou simplesmente fez um bypass sem registro. Um bypass de segurança desativa temporariamente um canal ou função específica. Uma sobreposição de segurança força uma saída a um estado definido independentemente da lógica. Ambos apresentam perfis de risco diferentes e exigem níveis distintos de autorização.

Classificação de Bypass: Três Categorias que Você Deve Separar

A IEC 61511 não define um único tipo de bypass. Você deve classificar cada ação antes de aplicá-la. As três categorias são inibição para manutenção, bypass para teste de prova e sobreposição de emergência:

• Inibição para manutenção: desativa um canal de entrada durante a calibração. Autorizado pelo engenheiro SIS, duração máxima de 4 horas, requer permissão de trabalho.
• Bypass para teste de prova: suspende a lógica de votação para um de dois ou três canais. Autorizado pelo gerente de segurança, não deve exceder o intervalo do teste de prova dividido por três.
• Sobreposição de emergência: força a saída da válvula ESD aberta ou fechada durante uma partida anormal. Autorizado conjuntamente pelo gerente de operações e pelo responsável de segurança, duração máxima de 15 minutos.

No HIMA HIMatrix F60, cada tipo de bypass corresponde a uma classe de variável SILworx diferente. A inibição para manutenção usa um bit de inibição F-DI no programa de segurança. O bypass para teste de prova usa um bloco funcional dedicado TEST_MODE_CH. A sobreposição de emergência usa o bloco FORCE_OUT com um intertravamento de chave física. O módulo HIMatrix F3 DIO fornece os canais físicos de E/S que esses bits de inibição controlam.

No Triconex T3000, o TriStation 1131 oferece uma instrução BYPASS_DI e uma instrução FORCE_DO separada. Ambas exigem um nome de usuário e senha únicos no registro de auditoria do TriStation. O T3000 registra automaticamente cada mudança de estado com carimbo de data/hora com resolução SOE de 1 milissegundo.

Procedimento de Inibição de Hardware no HIMA HIMatrix F60

• Passo 1: Abra o projeto SILworx online. Navegue até o Gerenciador de E/S e confirme que o status do canal está BOM antes de aplicar qualquer inibição.
• Passo 2: Defina a variável INHIBIT_CH para o canal alvo como VERDADEIRO. Verifique se o display de diagnóstico do HIMatrix mostra o estado INHIBIT, e não FALHA.
• Passo 3: Confirme que a lógica de votação ainda opera corretamente nos canais restantes. Para um sensor 2oo3, a lógica deve operar agora no modo 1oo2 durante a inibição. Verifique o bit de saída VOTER_STATUS no módulo HIMatrix F3 DIO.
• Passo 4: Registre o horário de início da inibição, ID do canal, motivo do bypass e nome da pessoa autorizada no sistema de permissão de trabalho. Defina um alarme máximo de 4 horas no sistema DCS ou SCADA usando um temporizador TON com preset T#4H.
• Passo 5: Realize a tarefa de manutenção. Não deixe a sala de controle desassistida durante a inibição.
• Passo 6: Redefina INHIBIT_CH para FALSO. Verifique se o canal retorna ao status BOM. Assine a permissão de trabalho com a leitura do canal e o carimbo de data/hora ao final. Se o canal não retornar ao status BOM após a redefinição, não remova a inibição — investigue a fiação de campo antes de restaurar a votação normal.

Sobreposição Física no Triconex T3000: Configuração FORCE_DO

A arquitetura Triconex T3000 TMR oferece votação de três canais em cada saída. Uma instrução FORCE_DO sobrepõe essa votação e aciona o relé físico independentemente do estado lógico. Configure o FORCE_DO no TriStation da seguinte forma:

Primeiro, o bloco funcional requer uma entrada FORCE_ENABLE acionada por uma chave física dedicada. Conecte a chave a uma entrada digital livre no chassi TRICON, não a uma variável de software — isso evita sobreposição não autorizada apenas por software. Segundo, conecte FORCE_DO.OUTPUT à variável de saída do solenóide da válvula ESD. Defina FORCE_DO.FORCE_VALUE para o estado seguro requerido (VERDADEIRO para válvulas normalmente abertas, FALSO para normalmente fechadas). Terceiro, adicione um temporizador TON com preset de T#15M na entrada FORCE_ENABLE. A sobreposição expira automaticamente após 15 minutos sem ação do operador — atendendo ao requisito de tempo limite automático da Cláusula 11.9.4 da IEC 61511.

O SOE do T3000 registra cada ativação do FORCE_DO com nome de usuário, carimbo de data/hora e estado do canal antes e depois. Exporte esses registros para seu CMMS em até 24 horas após qualquer evento de sobreposição.

Cálculo do Impacto no PFDavg Durante Bypasses Prolongados

Cada hora que um canal permanece inibido aumenta a probabilidade de falha sob demanda para esse loop. Para um loop SIL 2 com taxa de falha perigosa não detectada λDU de 1×10⁻⁵ por hora e intervalo de teste de prova Ti de 8.760 horas, o PFDavg base é 0,0438.

Se você inibir um canal de um votador 2oo3 por 4 horas, a votação efetiva se degrada para 1oo2. Recalcule o PFDavg usando a fórmula 1oo2: PFDavg = 3 × (λDU × Ti/2)². O PFD instantâneo para o votador degradado sobe para aproximadamente 1,4×10⁻⁶ durante essa janela de 4 horas — permanecendo dentro dos limites do SIL 2 (PFD 10⁻³ a 10⁻²), confirmando que o bypass é aceitável. Se a manutenção se estender além de 4 horas, informe imediatamente o gerente de segurança. Um bypass mais longo que o permitido requer uma entrada formal de Gestão de Mudança (MOC) e um caso de segurança recalculado antes da continuação.

Processo de Rastreabilidade em Cinco Passos para Conformidade com IEC 61511

• Passo 1: Mantenha um registro de bypass no seu CMMS (SAP PM, Maximo ou equivalente). Cada entrada deve conter a tag do loop, tipo de bypass, horário de início, pessoa autorizada e horário previsto de término.
• Passo 2: Configure o HIMA HIMatrix SILworx para gravar as mudanças de estado INHIBIT_CH em uma tag do servidor OPC DA. Configure o SOE do Triconex T3000 para exportar ao OSIsoft PI Historian com atributos do framework de ativos IEC 61511.
• Passo 3: Defina um alarme SCADA para qualquer bypass que ultrapasse sua duração aprovada em mais de 10 minutos. A prioridade do alarme deve ser ISA-18.2 Prioridade 1 (crítico para segurança).
• Passo 4: Após cada bypass, verifique se a leitura do canal restaurado está dentro de ±1% do transmissor de referência adjacente. Registre os valores encontrados e deixados na permissão de bypass.
• Passo 5: Mensalmente, gere um relatório de frequência de bypass no PI Historian. Loops com mais de 2 bypasses por mês exigem revisão da causa raiz e plano de ação corretiva em até 30 dias. Faça a reconciliação cruzada dos registros de bypass do SCADA com ordens de trabalho do CMMS automaticamente usando um script diário que consulta OPC UA e API REST do CMMS.

Conclusão e Recomendações de Ação

A gestão de bypass e sobreposição de segurança afeta diretamente o cálculo do PFDavg que justifica sua reivindicação SIL 2. O HIMA HIMatrix F60 oferece bits de inibição em nível SILworx com diagnóstico automático. O Triconex T3000 oferece FORCE_DO com intertravamento por chave física e registro SOE com carimbo de data/hora. Nenhuma das plataformas protege você se o procedimento ao redor for informal ou inexistente.

Comece auditando seu registro atual de bypass. Se você não conseguir produzir uma lista completa de todos os bypasses ativos em menos de 5 minutos, seu sistema tem uma lacuna de conformidade. Implemente o processo de rastreabilidade em cinco passos descrito acima antes da sua próxima auditoria de terceiros IEC 61511. O custo de uma não conformidade é uma revisão completa do caso de segurança — muito mais caro do que construir a rastreabilidade corretamente desde o início.

Autor: Chen Mingzhi é engenheiro de automação industrial com mais de 10 anos de experiência em PLC, DCS e sistemas de controle.