Bỏ qua các đầu vào an toàn Triconex và HIMA mà không làm tổn hại đến tính toàn vẹn SIL

Việc bypass hệ thống an toàn không phải là một lối tắt tiện lợi; đó là một sai lệch được kiểm soát nghiêm ngặt khỏi phạm vi an toàn đã được chứng nhận. Mặc dù IEC 61511 quy định rằng hoạt động sản xuất liên tục bình thường không bao giờ được phụ thuộc vào một mạch trip bị vô hiệu hóa, các nhà máy quy trình liên tục - bao gồm các phân xưởng cracking ethylene, dây chuyền hóa lỏng LNG và giàn khoan ngoài khơi - thường gặp những tình huống cần cô lập một cảm biến đang hoạt động. Một bộ truyền áp suất chênh lệch có thể bị trôi tín hiệu trong quá trình hot tap, một công tắc mức cao có thể không đạt kiểm tra proof, hoặc một bộ quét ngọn lửa quang học có thể suy giảm giữa chiến dịch vận hành. Trong những tình huống này, các cơ sở cần một triết lý bypass có cấu trúc thay vì một nút bypass tùy tiện.

Về cơ bản, các kỹ sư hiện trường phải phân biệt hai chế độ vận hành trong các kiến trúc SIL3:

• Inhibit: Hoàn toàn ngắt đường tín hiệu vật lý khỏi logic trip. Triconex định nghĩa đây là Permissive to Bypass, trong khi HIMA gọi là Bypass Inhibit.
• Override: Đưa một giá trị thay thế số cố định đã định trước vào bộ giải logic. Triconex chỉ định đây là Forced Input, còn HIMA gọi là Bypass Substitute.

Việc chọn sai chế độ có thể giữ cố định một bộ truyền đang hoạt động ở giá trị an toàn cũ, che giấu một diễn biến bất thường thực sự của quy trình và tạo ra những điểm mù thảm khốc.

Tại sao bypass có cấu trúc được cho phép theo IEC 61511 tại các nhà máy đang vận hành?

Các kỹ sư thường tranh luận liệu việc override tạm thời có làm ảnh hưởng đến các tiêu chuẩn an toàn đã được chứng nhận hay không. IEC 61511 cho phép rõ ràng việc bypass trong các giai đoạn vận hành xác định: khởi động nhà máy, kiểm tra proof và bảo trì thiết bị trực tuyến. Điều mà tiêu chuẩn nghiêm cấm là sử dụng bypass tạm thời như một giải pháp vận hành lâu dài.

Mỗi bypass tạm thời đều làm suy giảm tạm thời hệ số giảm rủi ro (RRF) của Chức năng Thiết bị An toàn (SIF) đó. Nếu không có các biện pháp bù trừ có kỷ luật, đội vận hành có nguy cơ vận hành một phân xưởng trong trạng thái mù trong khi vẫn cho rằng lớp an toàn tự động đang hoàn toàn cảnh giác.

Thanh ghi Bypass MISER của Triconex quản lý bỏ phiếu 2oo3 và PFDavg như thế nào?

Trong các bộ giải logic Triconex vận hành với dự phòng mô-đun ba nhánh (TMR) và cơ chế bỏ phiếu hai-trên-ba (2oo3), mỗi kênh đầu vào có một Bypass Status Word 16 bit:

• Bit 0: Cờ cho phép bypass toàn cục.
• Bit 1: Bộ chọn chế độ (Inhibit hoặc Override).
• Bits 2–15: Mã nhận dạng lý do MOC của cơ sở.

Việc ghi đúng mã lý do MOC là bắt buộc để phục vụ các cuộc đánh giá tuân thủ. Điều quan trọng là việc bypass một đầu vào trên thẻ analog - chẳng hạn Invensys Triconex 3720 Analog Input Module - không ngắt kênh khỏi các chức năng chẩn đoán nội bộ. Thay vào đó, logic bỏ phiếu chuyển từ 2oo3 sang cấu hình 1oo2 trên hai kênh còn lại.

Trong chế độ 1oo2, xác suất trung bình hỏng khi có yêu cầu tác động ($PFD_{avg}$) tăng ngay lập tức. Việc thăm dò chẩn đoán liên tục thông qua phần cứng mạng chuyên dụng như Invensys Triconex 4354 High-Speed Communication Module bảo đảm mọi lỗi phần cứng thứ hai đều được cảnh báo ngay lập tức, yêu cầu khôi phục vòng lặp trong ca đang hoạt động.

Bộ điều khiển an toàn HIMA áp dụng bộ hẹn giờ hết hạn và chẩn đoán HART như thế nào?

Các hệ thống an toàn HIMA - bao gồm HIMA HIMatrix F35 Safety-Related Controller và các mô-đun I/O dạng mô-đun như HIMA F3 DIO 20/8 01 Module - sử dụng một bảng bypass theo từng kênh. Mỗi mục trong bảng liên kết địa chỉ kênh vật lý với ID thẻ nhân viên vận hành, lý do được ghi nhận và thời gian chờ hết hạn cố định.

Thực hành tốt nhất yêu cầu giới hạn thời gian hết hạn bypass ở tám giờ hoặc thời lượng của ca hiện tại. Phần mềm nhúng HIMA tạo cảnh báo tự động khi bypass đạt 75% thời hạn được phép.

Việc xác minh dữ liệu chẩn đoán HART cũng quan trọng không kém: khi một vòng analog được đặt ở chế độ bypass, HART Command 03 (Đọc các biến động và đầu vào analog) phải gắn cờ biến quy trình với BAD Quality. Nếu DCS nhận được bit chất lượng "Good" trong khi trip SIS bị vô hiệu hóa, người vận hành có thể nhầm lẫn và dựa vào một giá trị đo ảo.

Quy trình hiện trường để thực hiện bypass đáp ứng yêu cầu đánh giá là gì?

Để thực hiện một bypass sẵn sàng cho đánh giá mà không làm tổn hại đến tính toàn vẹn an toàn của nhà máy, hãy tuân thủ các hướng dẫn vận hành thiết yếu sau:

• Kiểm tra chẩn đoán hiện trường trước tiên: Kết nối thiết bị giao tiếp hiện trường để kiểm tra biến sơ cấp (PV), từ trạng thái thiết bị và đầu ra miliamp thô trước khi thay đổi logic.
• Bảo đảm phê duyệt Quản lý Thay đổi (MOC): Ghi nhận thẻ SIF chính xác, phân loại SIL, thời lượng mục tiêu và đánh giá rủi ro trước khi yêu cầu quyền truy cập máy trạm.
• Thiết lập các biện pháp bù trừ: Bố trí một nhân viên vận hành hiện trường chuyên trách để giám sát thủ công mỗi giờ và duy trì liên lạc vô tuyến hai chiều trực tiếp với bàn điều khiển.
• Chỉ kích hoạt từ máy trạm kỹ thuật: Cả Triconex và HIMA đều nghiêm cấm khởi tạo override an toàn từ các hộp nối hiện trường hoặc đầu cuối đấu nối.
• Xác nhận hiển thị trip: Xác nhận trên hệ thống lưu lịch sử cảnh báo rằng SIF bị ảnh hưởng được ghi nhận là MAINTENANCE hoặc BYPASSED.
• Thực hiện kiểm tra bộ truyền trên bàn và khôi phục kịp thời: Xác minh lại điểm zero và span theo hồ sơ hiệu chuẩn được chứng nhận, khôi phục kênh đầu vào, bảo đảm các đầu ra chuyển mạch - chẳng hạn Invensys 3601T Triconex Digital Output Module - trở về hoạt động bình thường, và chính thức ký xác nhận trong nhật ký MOC.

Những dấu hiệu lỗi HART nào tuyệt đối không được che giấu?

Một số chẩn đoán thiết bị cho thấy khả năng cảm nhận đã mất hoàn toàn và tuyệt đối không được che giấu bằng override. Hãy lập tức từ chối yêu cầu bypass nếu dữ liệu thiết bị gắn cờ:

• OUT_OF_CALIBRATION hoặc HARDWARE_FAILURE
• CONFIG_CORRUPT trong bộ nhớ không mất dữ liệu
• Mã trạng thái bộ chuyển đổi cho biết OPEN_TRANSDUCER hoặc SHORTED_TRANSDUCER

Việc override các cờ cụ thể này khiến bộ giải logic không nhận biết được một cảm biến đã hỏng hoàn toàn. Ngược lại, các cảnh báo nhất thời nhỏ như PV_TRAVELLED_TOO_FAST hoặc cảnh báo LOW_POWER tạm thời có thể được quản lý trong các khoảng thời gian bảo trì ngắn có giám sát.

Các nhà máy có thể ngăn suy giảm SIL dài hạn do các vòng lặp bị vô hiệu hóa như thế nào?

Việc duy trì tính toàn vẹn an toàn chức năng đòi hỏi sự cảnh giác liên tục cả về hành chính lẫn tự động. Theo dõi thời lượng bypass theo từng SIF như một KPI hằng tháng chính: nếu bất kỳ vòng lặp an toàn nào vượt quá tổng cộng một giờ bypass trong một tháng, hãy điều tra và khắc phục nguyên nhân gốc thay vì liên tục gia hạn override.

Lưu trữ toàn bộ nhật ký đánh giá theo quý, tiến hành xem xét trong quá trình bàn giao ca dựa trên sổ đăng ký bypass đang hoạt động, và tổ chức đào tạo hằng năm dựa trên các kịch bản trên bàn điều khiển Triconex và HIMA để duy trì tính kỷ luật kỹ thuật.

Về tác giả: Weifeng Han là kỹ sư tự động hóa công nghiệp với hơn 10 năm kinh nghiệm thực tế về PLC, DCS, hệ thống an toàn SIL3 và kỹ thuật an toàn chức năng.