Vượt qua chức năng an toàn mà không vi phạm IEC 61511: Cẩm nang thực địa về Triconex và HIMA
Hệ thống thiết bị đo an toàn (SIS) được thiết kế để giảm rủi ro vận hành xuống mức chấp nhận được. Tuy nhiên, trong quá trình khởi động, bảo trì định kỳ và kiểm tra thử theo lịch, các vòng an toàn không phải lúc nào cũng có thể hoạt động theo các thông số tiêu chuẩn. Khi vô hiệu hóa hoặc ghi đè một liên động, rủi ro của nhà máy đương nhiên tăng lên. Khi được quản lý đúng cách theo kỷ luật kỹ thuật nghiêm ngặt, một bypass tạm thời sẽ ngăn các lần dừng nhầm đồng thời bảo vệ tính mạng con người và tài sản.
IEC 61511 đưa ra các ràng buộc chính xác đối với việc bypass các chức năng thiết bị đo an toàn (SIF). Tài liệu hướng dẫn thực địa này chuyển các điều khoản nghiêm ngặt đó thành các hành động kỹ thuật thực tế dành cho kỹ sư làm việc với kiến trúc an toàn Schneider Electric / Invensys Triconex và HIMA.
Tại sao việc bypass một chức năng an toàn lại được IEC 61511 cho phép?
Các kỹ sư thường hỏi liệu bypass một chức năng thiết bị đo an toàn có vi phạm các tiêu chuẩn về tính toàn vẹn an toàn hay không. Câu trả lời ngắn gọn là không, miễn là việc này tuân thủ Điều 16 của IEC 61511. Bảo trì, hiệu chuẩn và kiểm tra thử tất yếu đòi hỏi phải cô lập một cảm biến hoặc cơ cấu chấp hành mà không dừng toàn bộ dây chuyền công nghệ.
Tuy nhiên, một bypass không được giám sát hoặc ghi nhận còn nguy hiểm hơn nhiều so với việc hoàn toàn không có bảo vệ, vì người vận hành cho rằng hệ thống bảo vệ vẫn đang hoạt động trong khi thực tế đã bị vô hiệu hóa. Các đội vận hành nhanh chóng mất dấu những vòng đã được bypass khi chuyển ca. Vì lý do này, kỷ luật quy trình và việc theo dõi tự động quan trọng hơn nhiều so với các biện pháp xử lý tùy tiện tại hiện trường.
Sự khác biệt cơ bản giữa Inhibit và Override là gì?
Trong thuật ngữ ngành, các từ như defeat, force, mute, disable và bypass thường được dùng thay thế cho nhau. Nhưng trên đường truyền tín hiệu, inhibit và override hoạt động rất khác nhau:
- Inhibit: Cắt hoàn toàn tín hiệu đi vào hoặc đi ra khỏi logic an toàn. Logic phía sau mất giá trị xác định và thường chuyển sang trạng thái không xác định hoặc thả nổi, có thể dẫn đến hoạt động không thể dự đoán của logic bỏ phiếu.
- Override: Ngắt tín hiệu đang hoạt động nhưng ngay lập tức thay thế bằng một giá trị kỹ thuật không đổi đã được xác định. Logic an toàn tiếp tục đánh giá một giá trị chính xác, xác định.
Đối với các vòng quan trọng về an toàn, luôn ưu tiên override bằng phần mềm thay cho inhibit không kiểm soát để duy trì việc bỏ phiếu xác định. Ngoài ra, không bao giờ ngắt dây hiện trường để thực hiện bypass. Các kết nối hiện trường vật lý phải được duy trì nguyên vẹn để các card đầu vào - chẳng hạn như Mô-đun đầu vào analog Invensys Triconex 3720 - có thể tiếp tục quét chẩn đoán đường dây, lỗi hở mạch và cảnh báo cảm biến ngoài phạm vi.
Làm thế nào triển khai các biện pháp kiểm soát theo Điều 16 của IEC 61511 trên Triconex và HIMA?
Điều 16 quản lý nghiêm ngặt hoạt động và bảo trì SIS trong khi quy trình vẫn tiếp tục vận hành. Làm thế nào để đáp ứng các yêu cầu này trong kiến trúc DCS và SIS tại hiện trường? Bạn phải đáp ứng bốn yêu cầu nền tảng:
- Phê duyệt chính thức: Đảm bảo mọi yêu cầu bypass đều được thẩm định thông qua quy trình Quản lý thay đổi (MOC) hoặc được người phụ trách an toàn chức năng có thẩm quyền ký duyệt.
- Thời gian chờ bắt buộc: Không bao giờ để bypass không có thời hạn. Gắn mỗi override với bộ hẹn giờ hết hạn tự động, thường giới hạn trong một ca vận hành.
- Biện pháp bù trừ: Khi một SIF bị vô hiệu hóa, hãy triển khai biện pháp giảm rủi ro thay thế - chẳng hạn như bố trí nhân viên quan sát trực tiếp tại hiện trường hoặc sử dụng các liên động phụ tạm thời.
- Lập bản đồ logic phần cứng: Trên hệ thống Triconex, ánh xạ từng bypass vào các khối chức năng chuyên dụng được khóa theo tag trong TriStation. Khi làm việc với các bộ điều khiển an toàn như Bộ điều khiển liên quan đến an toàn HIMA HIMatrix F35 hoặc Mô-đun đầu vào/đầu ra số HIMA F3 DIO 20/8 01, hãy gán các override cho những vùng vận hành được bảo vệ bằng công tắc khóa hoặc mật khẩu dựa trên vai trò.
Cả hai nhà cung cấp đều cung cấp nhật ký kiểm tra SOE (Trình tự sự kiện) chống can thiệp, ghi lại ID người dùng, dấu thời gian và trạng thái kênh. Nếu tính năng ghi nhật ký kiểm tra bị tắt, bypass phải được xem là không được phép.
Làm thế nào kỹ sư có thể phát hiện các bypass bị bỏ quên bằng Modbus và HART?
Kinh nghiệm thực tế cho thấy rủi ro lớn nhất trong quản lý SIS là bypass bị bỏ quên. Các bypass bằng phần mềm có thể nằm sâu trong những màn hình phụ suốt nhiều tuần nếu không được đưa ra hiển thị chủ động. Thiết bị đo hiện trường và các bus truyền thông hiện đại cung cấp những cửa sổ chẩn đoán rõ ràng:
- Đọc các thanh ghi coil SIS qua Modbus TCP: Dành riêng các thanh ghi bộ nhớ chẩn đoán cụ thể cho các trạng thái bypass. Bằng cách định tuyến truyền thông SIS qua các mô-đun như Mô-đun truyền thông tốc độ cao Invensys Triconex 4354, các trạm chủ DCS hoặc SCADA có thể liên tục đọc các thanh ghi này và đánh dấu bất kỳ coil nào duy trì ở mức cao quá thời gian cho phép.
- Quét trạng thái thiết bị HART: Truy vấn chức năng chẩn đoán đa điểm HART. Một bộ truyền áp suất hoặc nhiệt độ thông minh được đặt ở chế độ "Dòng điện cố định" hoặc "Chế độ mô phỏng" sẽ ngay lập tức cho thấy một override hiện trường đang hoạt động.
- So sánh đầu vào analog với PV HART: Nếu giá trị đọc từ kênh đầu vào analog lệch đáng kể so với PV HART kỹ thuật số thô, hệ thống chẩn đoán có thể kích hoạt cảnh báo sai lệch ngay lập tức.
- Đưa ma trận cảnh báo vào historian: Tự động ghi lại mọi chuyển trạng thái bypass vào historian của nhà máy để hỗ trợ các cuộc kiểm tra an toàn hằng ngày giữa các ca.
Quy trình đúng để đưa một vòng đã bypass trở lại vận hành là gì?
Khôi phục thường là thời điểm xảy ra sự cố, vì việc gỡ bypass sẽ ngay lập tức kích hoạt lại phần tử tác động dừng cuối cùng đối với một quy trình đang vận hành và có khả năng không ổn định.
- Xác minh rằng các giá trị của bộ truyền hiện trường và các biến quy trình đã trở về nằm trong giới hạn vận hành an toàn tiêu chuẩn.
- Kiểm tra các phần tử điều khiển cuối dạng số - được điều khiển bởi các mô-đun như Mô-đun đầu ra số Invensys 3601T Triconex - để đảm bảo các kênh đầu ra phù hợp với trạng thái vận hành yêu cầu.
- Xóa các chốt chẩn đoán nội bộ và xác nhận các cảnh báo kênh trên trạm kỹ thuật HIMA hoặc màn hình chẩn đoán Triconex.
- Xác nhận tất cả đèn LED chỉ báo bypass phần cứng đã tắt trước khi hoàn tất nhật ký bàn giao chính thức.
Điểm chính dành cho các đội an toàn chức năng tại hiện trường
Bypass là một công cụ vận hành không thể tránh khỏi, nhưng bypass không được quản lý là một mối nguy không thể chấp nhận. Để duy trì sự tuân thủ IEC 61511:
- Phân biệt nghiêm ngặt inhibit và override trong các đặc tả kỹ thuật.
- Đặt mọi override dưới sự kiểm soát của phê duyệt chính thức, biện pháp bù trừ và thời hạn hết hiệu lực bắt buộc.
- Tận dụng các coil Modbus chẩn đoán và dữ liệu đo từ xa HART như một lớp bảo vệ an toàn tự động để phát hiện các override bị bỏ quên.
- Thực thi các quy trình xác minh có chủ đích trong quá trình bàn giao ca và khôi phục vòng.
Về tác giả: Chen Weiming là kỹ sư tự động hóa công nghiệp với hơn 10 năm kinh nghiệm thực tế trong lĩnh vực PLC, DCS và hệ thống thiết bị đo an toàn.
