IEC 61511 Güvenlik Baypas ve Geçersiz Kılma Yönetimi: HIMA HIMatrix F60 ve Triconex T3000 Pratik Kılavuz

Bypass Yönetiminin Uyumluluk Riski Olmasının Nedenleri

Her saha mühendisi bakım sırasında bir sensörü bypass etmiştir. Asıl soru, bu bypass işleminin yetkilendirilip yetkilendirilmediği, kaydedilip kaydedilmediği ve zamanında kapatılıp kapatılmadığıdır. IEC 61511 Madde 11.9, bypass yönetimini isteğe bağlı bir en iyi uygulama değil, zorunlu bir yaşam döngüsü unsuru haline getirir. Uyumsuzluk, SIL iddianızı geçersiz kılar ve tesisi tespit edilemeyen tehlikeli arızalara maruz bırakır.

HIMA HIMatrix F60 ve Triconex T3000 her ikisi de donanım seviyesinde engelleme mekanizmaları sağlar. Ancak, bu mekanizmaların çevresindeki prosedür, IEC 61511 uyumlu olup olmadığınızı ya da sadece iz bırakmadan bypass yapıldığını belirler. Bir güvenlik bypass’ı belirli bir kanal veya fonksiyonu geçici olarak devre dışı bırakır. Bir güvenlik override’ı ise mantıktan bağımsız olarak bir çıkışı tanımlı bir duruma zorlar. Her ikisi farklı risk profillerine sahiptir ve farklı yetkilendirme seviyeleri gerektirir.

Bypass Sınıflandırması: Ayırmanız Gereken Üç Kategori

IEC 61511 tek bir bypass türü tanımlamaz. Her işlemi uygulamadan önce sınıflandırmanız gerekir. Üç kategori şunlardır: bakım engelleme, test bypass’ı ve acil durum override’ı:

• Bakım engelleme: kalibrasyon sırasında bir giriş kanalını devre dışı bırakır. SIS mühendisi tarafından yetkilendirilir, maksimum süre 4 saattir, çalışma izni gerektirir.
• Test bypass’ı: iki veya üç kanaldan birinin oy mantığını askıya alır. Güvenlik yöneticisi tarafından yetkilendirilir, test aralığının üçte birini aşmamalıdır.
• Acil durum override’ı: anormal başlatma sırasında bir ESD vana çıkışını açık veya kapalı duruma zorlar. Operasyon yöneticisi ve güvenlik görevlisi tarafından ortak yetkilendirilir, maksimum süre 15 dakikadır.

HIMA HIMatrix F60 üzerinde her bypass türü farklı bir SILworx değişken sınıfına karşılık gelir. Bakım engelleme, güvenlik programında bir F-DI inhibit biti kullanır. Test bypass’ı özel bir TEST_MODE_CH fonksiyon bloğu kullanır. Acil durum override’ı, donanımlı anahtar kilitli FORCE_OUT bloğunu kullanır. HIMatrix F3 DIO modülü, bu inhibit bitlerinin kontrol ettiği fiziksel G/Ç kanallarını sağlar.

Triconex T3000 üzerinde TriStation 1131, BYPASS_DI ve ayrı bir FORCE_DO komutu sağlar. Her ikisi de TriStation denetim günlüğünde benzersiz kullanıcı adı ve şifre gerektirir. T3000, her durum değişikliğini 1 milisaniye SOE çözünürlüğü ile otomatik olarak zaman damgalı olarak kaydeder.

HIMA HIMatrix F60 Donanım Engelleme Prosedürü

• Adım 1: SILworx projesini çevrimiçi açın. I/O Yöneticisine gidin ve herhangi bir engelleme uygulamadan önce kanal durumunun İYİ olduğunu doğrulayın.
• Adım 2: Hedef kanal için INHIBIT_CH değişkenini DOĞRU olarak ayarlayın. HIMatrix tanılama ekranının ARIZA değil ENGELLEME durumunu gösterdiğini doğrulayın.
• Adım 3: Oy mantığının kalan kanallarda doğru çalışmaya devam ettiğini onaylayın. 2oo3 sensör için, engelleme sırasında mantık artık 1oo2 modunda çalışmalıdır. HIMatrix F3 DIO modülündeki VOTER_STATUS çıkış bitini kontrol edin.
• Adım 4: Engelleme başlangıç zamanı, kanal kimliği, bypass nedeni ve yetkili kişi adını çalışma izni sistemine kaydedin. DCS veya SCADA sisteminde T#4H ön ayarlı bir TON zamanlayıcı kullanarak maksimum 4 saatlik alarm kurun.
• Adım 5: Bakım görevini gerçekleştirin. Engelleme sırasında kontrol odasını terk etmeyin.
• Adım 6: INHIBIT_CH’yi YANLIŞ olarak sıfırlayın. Kanalın İYİ durumuna döndüğünü doğrulayın. Çalışma iznini, bırakılan kanal okuması ve zaman damgası ile imzalayın. Kanal sıfırlamadan sonra İYİ durumuna dönmezse, engellemeyi kaldırmayın — normal oylamayı geri getirmeden önce saha kablolamasını araştırın.

Triconex T3000 Donanımlı Override: FORCE_DO Yapılandırması

Triconex T3000 TMR mimarisi, her çıkışta üç kanallı oylama sağlar. FORCE_DO komutu, bu oylamayı geçersiz kılar ve mantık durumuna bakmaksızın fiziksel röleyi sürer. TriStation’da FORCE_DO şu şekilde yapılandırılır:

İlk olarak, fonksiyon bloğu, özel bir donanım anahtar anahtarı tarafından sürülen bir FORCE_ENABLE girişine ihtiyaç duyar. Anahtar anahtarını TRICON şasisindeki boş bir dijital girişe bağlayın, yazılım değişkenine değil — bu, yetkisiz sadece yazılım tabanlı override’ı engeller. İkinci olarak, FORCE_DO.OUTPUT’u ESD vana solenoid çıkış değişkenine bağlayın. FORCE_DO.FORCE_VALUE’yi gerekli güvenli duruma ayarlayın (normalde açık vanalar için DOĞRU, normalde kapalı vanalar için YANLIŞ). Üçüncü olarak, FORCE_ENABLE girişine T#15M ön ayarlı bir TON zamanlayıcı ekleyin. Override, operatör müdahalesi olmadan 15 dakika sonra otomatik olarak sona erer — IEC 61511 Madde 11.9.4 otomatik zaman aşımı gereksinimini karşılar.

T3000 SOE, her FORCE_DO etkinleştirmesini kullanıcı adı, zaman damgası ve kanal durumu öncesi ve sonrası ile kaydeder. Bu kayıtları herhangi bir override olayından sonraki 24 saat içinde CMMS’inize aktarın.

Uzun Süreli Bypass’larda PFDavg Etki Hesaplaması

Bir kanal engellendiği her saat, o döngü için talep üzerine arıza olasılığını artırır. Tehlikeli tespit edilemeyen arıza oranı λDU saatte 1×10⁻⁵ ve test aralığı Ti 8.760 saat olan bir SIL 2 döngüsü için temel PFDavg 0,0438’dir.

Bir 2oo3 oylayıcının bir kanalını 4 saat engellerseniz, etkili oylama 1oo2’ye düşer. PFDavg’yi 1oo2 formülü ile yeniden hesaplayın: PFDavg = 3 × (λDU × Ti/2)². Bozulmuş oylayıcı için anlık PFD, bu 4 saatlik pencere için yaklaşık 1,4×10⁻⁶’ya yükselir — SIL 2 sınırları içinde kalır (PFD 10⁻³ ile 10⁻² arası), bypass’ın kabul edilebilir olduğunu doğrular. Bakım 4 saati aşarsa, derhal güvenlik yöneticisine bildirin. Onaylanan süreden uzun bypass, devam etmeden önce resmi bir Değişiklik Yönetimi (MOC) kaydı ve yeniden hesaplanmış bir güvenlik durumu gerektirir.

IEC 61511 Uyumluluğu İçin Beş Adımlı Denetim İzleme Süreci

• Adım 1: CMMS’inizde (SAP PM, Maximo veya eşdeğeri) bir bypass kaydı tutun. Her kayıt döngü etiketi, bypass türü, başlangıç zamanı, yetkili kişi ve beklenen bitiş zamanını içermelidir.
• Adım 2: HIMA HIMatrix SILworx’u INHIBIT_CH durum değişikliklerini OPC DA sunucu etiketine yazacak şekilde yapılandırın. Triconex T3000 SOE’yi IEC 61511 varlık çerçevesi özellikleri ile OSIsoft PI Historian’a dışa aktaracak şekilde yapılandırın.
• Adım 3: Onaylanan süresini 10 dakikadan fazla aşan herhangi bir bypass için SCADA alarmı kurun. Alarm önceliği ISA-18.2 Öncelik 1 (güvenlik kritik) olmalıdır.
• Adım 4: Her bypass sonrası, geri yüklenen kanal okumasının bitişik referans vericiye ±%1 içinde olduğunu doğrulayın. Bypass izninde bulunan ve bırakılan değerleri kaydedin.
• Adım 5: Aylık olarak PI Historian’dan bypass sıklığı raporu çalıştırın. Ayda 2’den fazla bypass olan döngüler için 30 gün içinde kök neden incelemesi ve düzeltici eylem planı gereklidir. SCADA bypass kayıtlarını, OPC UA ve CMMS REST API sorgulayan günlük bir mutabakat betiği kullanarak otomatik olarak CMMS iş emirleriyle çapraz kontrol edin.

Sonuç ve Eylem Tavsiyesi

Güvenlik bypass ve override yönetimi, SIL 2 iddianızı gerekçelendiren PFDavg hesaplamasını doğrudan etkiler. HIMA HIMatrix F60, otomatik tanılama ile SILworx seviyesinde inhibit bitleri sağlar. Triconex T3000, donanım anahtar kilitli FORCE_DO ve SOE zaman damgalaması sunar. Ancak, çevresindeki prosedür resmi veya mevcut değilse, hiçbir platform sizi koruyamaz.

Mevcut bypass kaydınızı denetleyerek başlayın. Tüm aktif bypassların tam listesini 5 dakikadan kısa sürede çıkaramıyorsanız, sisteminizde bir uyumluluk açığı vardır. Bir sonraki IEC 61511 üçüncü taraf incelemenizden önce yukarıda açıklanan beş adımlı denetim izleme sürecini uygulayın. Uyumsuzluk bulgusunun maliyeti tam bir güvenlik durumu revizyonudur — izleme sürecini baştan doğru kurmaktan çok daha pahalıdır.

Yazar: Chen Mingzhi, PLC, DCS ve kontrol sistemlerinde 10 yılı aşkın deneyime sahip endüstriyel otomasyon mühendisi.