IEC 61511 Управление обходом и переопределением безопасности: Практическое руководство по HIMA HIMatrix F60 и Triconex T3000

Почему управление обходом является риском с точки зрения соответствия требованиям

Каждый полевой инженер хотя бы раз обходил датчик во время технического обслуживания. Вопрос в том, был ли этот обход разрешён, зафиксирован и закрыт вовремя. Пункт 11.9 стандарта IEC 61511 делает управление обходами обязательным элементом жизненного цикла, а не опциональной лучшей практикой. Несоблюдение этого требования аннулирует ваше заявление о SIL и подвергает завод риску незамеченных опасных отказов.

HIMA HIMatrix F60 и Triconex T3000 обеспечивают аппаратные механизмы блокировки обхода. Однако процедура, связанная с этими механизмами, определяет, соответствуете ли вы IEC 61511 или просто сделали обход без следа. Безопасный обход временно отключает конкретный канал или функцию. Безопасное принудительное управление (override) заставляет выход работать в заданном состоянии независимо от логики. Оба варианта имеют разные профили риска и требуют разных уровней авторизации.

Классификация обходов: три категории, которые необходимо разделять

IEC 61511 не определяет один тип обхода. Каждое действие необходимо классифицировать перед применением. Три категории — это блокировка для обслуживания, обход для тестирования и аварийное принудительное управление:

• Блокировка для обслуживания: отключает один входной канал во время калибровки. Разрешается инженером SIS, максимальная продолжительность 4 часа, требуется разрешение на работу.
• Обход для тестирования: приостанавливает логику голосования для одного из двух или трёх каналов. Разрешается менеджером по безопасности, не должен превышать интервал тестирования, делённый на три.
• Аварийное принудительное управление: заставляет выход клапана ESD открыться или закрыться во время аномального запуска. Совместно разрешается менеджером по эксплуатации и специалистом по безопасности, максимальная продолжительность 15 минут.

На HIMA HIMatrix F60 каждый тип обхода соответствует разному классу переменных SILworx. Блокировка для обслуживания использует бит F-DI inhibit в программе безопасности. Обход для тестирования использует специальный функциональный блок TEST_MODE_CH. Аварийное принудительное управление использует блок FORCE_OUT с аппаратным замком ключа. Модуль HIMatrix F3 DIO обеспечивает физические входы/выходы, которыми управляют эти биты блокировки.

На Triconex T3000 TriStation 1131 предоставляет инструкции BYPASS_DI и отдельную FORCE_DO. Обе требуют уникального имени пользователя и пароля в журнале аудита TriStation. T3000 автоматически ставит отметку времени на каждое изменение состояния с разрешением SOE 1 миллисекунда.

Процедура аппаратной блокировки на HIMA HIMatrix F60

• Шаг 1: Откройте проект SILworx онлайн. Перейдите в I/O Manager и убедитесь, что статус канала GOOD перед применением блокировки.
• Шаг 2: Установите переменную INHIBIT_CH для целевого канала в TRUE. Проверьте, что диагностический дисплей HIMatrix показывает состояние INHIBIT, а не FAULT.
• Шаг 3: Подтвердите, что логика голосования корректно работает на оставшихся каналах. Для датчика 2oo3 логика должна работать в режиме 1oo2 во время блокировки. Проверьте бит выхода VOTER_STATUS на модуле HIMatrix F3 DIO.
• Шаг 4: Запишите время начала блокировки, ID канала, причину обхода и имя уполномоченного лица в систему разрешений на работу. Установите максимальную 4-часовую сигнализацию в системе DCS или SCADA с помощью таймера TON с предустановкой T#4H.
• Шаг 5: Выполните техническое обслуживание. Не оставляйте диспетчерскую без присмотра во время блокировки.
• Шаг 6: Сбросьте INHIBIT_CH в FALSE. Убедитесь, что канал возвращается в статус GOOD. Подпишите разрешение на работу с показаниями канала и отметкой времени после выполнения. Если канал не возвращается в статус GOOD после сброса, не снимайте блокировку — проверьте проводку на объекте перед восстановлением нормальной логики голосования.

Аппаратное принудительное управление на Triconex T3000: настройка FORCE_DO

Архитектура Triconex T3000 TMR обеспечивает трёхканальное голосование на каждом выходе. Инструкция FORCE_DO переопределяет это голосование и управляет физическим реле независимо от состояния логики. Настройте FORCE_DO в TriStation следующим образом:

Во-первых, функциональный блок требует вход FORCE_ENABLE, управляемый выделенным аппаратным ключевым переключателем. Подключите ключевой переключатель к свободному цифровому входу в шасси TRICON, а не к программной переменной — это предотвращает несанкционированное программное принудительное управление. Во-вторых, подключите FORCE_DO.OUTPUT к выходной переменной соленоида клапана ESD. Установите FORCE_DO.FORCE_VALUE в требуемое безопасное состояние (TRUE для нормально открытых клапанов, FALSE для нормально закрытых). В-третьих, добавьте таймер TON с предустановкой T#15M на вход FORCE_ENABLE. Принудительное управление автоматически истекает через 15 минут без действий оператора — что соответствует требованию автоматического тайм-аута пункта 11.9.4 IEC 61511.

Журналы SOE T3000 фиксируют каждую активацию FORCE_DO с именем пользователя, отметкой времени и состоянием канала до и после. Экспортируйте эти журналы в вашу CMMS в течение 24 часов после любого события принудительного управления.

Расчёт влияния PFDavg при длительных обходах

Каждый час, когда канал остаётся заблокированным, увеличивает вероятность отказа по требованию для этой петли. Для петли SIL 2 с опасной невыявленной частотой отказов λDU 1×10⁻⁵ в час и интервалом тестирования Ti 8 760 часов базовое значение PFDavg равно 0,0438.

Если вы блокируете один канал голосующего 2oo3 на 4 часа, эффективное голосование снижается до 1oo2. Пересчитайте PFDavg по формуле 1oo2: PFDavg = 3 × (λDU × Ti/2)². Мгновенное значение PFD для деградированного голосования возрастает примерно до 1,4×10⁻⁶ за этот 4-часовой период — что остаётся в пределах SIL 2 (PFD от 10⁻³ до 10⁻²), подтверждая приемлемость обхода. Если обслуживание продлевается более чем на 4 часа, немедленно уведомьте менеджера по безопасности. Обход, превышающий одобренное время, требует формального внесения в Управление изменениями (MOC) и пересчёта обоснования безопасности перед продолжением.

Пятишаговый процесс аудита для соответствия IEC 61511

• Шаг 1: Ведите реестр обходов в вашей CMMS (SAP PM, Maximo или аналогичной). Каждая запись должна содержать тег петли, тип обхода, время начала, уполномоченное лицо и ожидаемое время окончания.
• Шаг 2: Настройте HIMA HIMatrix SILworx для записи изменений состояния INHIBIT_CH в тег OPC DA сервера. Настройте Triconex T3000 SOE для экспорта в OSIsoft PI Historian с атрибутами фреймворка активов IEC 61511.
• Шаг 3: Установите сигнализацию SCADA на любой обход, превышающий одобренную продолжительность более чем на 10 минут. Приоритет сигнала должен быть ISA-18.2 Приоритет 1 (критический для безопасности).
• Шаг 4: После каждого обхода проверьте, что восстановленные показания канала находятся в пределах ±1% от соседнего эталонного передатчика. Запишите значения as-found и as-left в разрешении на обход.
• Шаг 5: Ежемесячно формируйте отчёт о частоте обходов из PI Historian. Петли с более чем 2 обходами в месяц требуют анализа коренной причины и плана корректирующих действий в течение 30 дней. Автоматически сверяйте записи обходов SCADA с заказами на работы CMMS с помощью ежедневного скрипта сверки, запрашивающего OPC UA и CMMS REST API.

Заключение и рекомендации к действию

Управление безопасными обходами и принудительным управлением напрямую влияет на расчёт PFDavg, который обосновывает ваш уровень SIL 2. HIMA HIMatrix F60 предоставляет биты блокировки на уровне SILworx с автоматической диагностикой. Triconex T3000 обеспечивает FORCE_DO с аппаратным замком ключа и отметками времени SOE. Ни одна из платформ не защитит вас, если сопутствующая процедура неформальна или отсутствует.

Начните с аудита вашего текущего реестра обходов. Если вы не можете предоставить полный список всех активных обходов за менее чем 5 минут, в вашей системе есть пробел в соответствии. Внедрите описанный выше пятишаговый процесс аудита до следующей проверки IEC 61511 третьей стороной. Стоимость выявления несоответствия — полная пересмотр обоснования безопасности, что гораздо дороже, чем правильно построенный аудит с самого начала.

Автор: Чэнь Минчжи — инженер по промышленной автоматизации с более чем 10-летним опытом работы с ПЛК, DCS и системами управления.