DCS Interlockها و Permissiveهای حیاتی که هر مهندس باید بداند

مقدمه:

چرا واحدی که همه‌چیزش «نرمال» به نظر می‌رسد، با یک آلارم ساده به سرعت تریپ می‌کند و چند ساعت تولید از دست می‌رود؟

اگر در شیفت‌های حساس نیروگاه یا پالایشگاه کار کرده باشید، می‌دانید ۱ دقیقه «بی‌تصمیمی» در برابر یک اینترلاک یا پرمیسیو مبهم، گاهی از یک خطای مکانیکی سنگین‌تر تمام می‌شود.

مسئله شایع این است: منطق‌های DCS و SIS سال‌هاست نوشته شده‌اند، نفرات جدید تغییر کرده‌اند، اسناد به‌روزرسانی نشده و کسی دقیق نمی‌داند «کدام سیگنال با چه فلسفه‌ای» اجازه راه‌اندازی، ادامه کار یا تریپ را می‌دهد.

این مقاله دقیقا برای همین نوشته شده: یک نقشه راه عملی برای شناخت DCS Interlockها و Permissiveهای حیاتی که هر مهندس نیروگاه (برق، ابزار دقیق، مکانیک و تعمیرات) باید بداند؛ با مثال‌های واقعی، اشتباهات پرتکرار و چک‌لیست‌هایی که فردا صبح روی پست کار می‌کند. نه تئوری دانشگاهی، نه شعار؛ تجربه میدانی در نیروگاه‌های گازی، بخاری و سیکل ترکیبی ایران.

تعریف عملیاتی: تفاوت Permissive، Interlock، Limit و Trip در DCS

ابتدا زبان مشترک را دقیق کنیم. تفاوت در واژه‌ها، تفاوت در تصمیم لحظه‌ای است.

• Permissive (پرمیسیو): مجموعه شرایطی که «اجازه» انجام یک عمل را می‌دهد. مثلا اجازه استارت توربین گاز وقتی فشار روغن، دمای یاتاقان، وضعیت فایرینگ و سوخت در محدوده تعریف‌شده باشند. نبود یک پرمیسیو یعنی عمل شروع نمی‌شود؛ اما لزوما تریپ هم رخ نمی‌دهد.
• Interlock (اینترلاک): ارتباط منطقیِ اجباری بین وضعیت‌ها برای ایمن‌سازی. می‌تواند پیشگیرانه (Preventive) یا واکنشی (Protective) باشد. مثال: اگر درِ محفظه احتراق باز است، فرمان فایرینگ Enable نمی‌شود. یا اگر سطح درام پایین-پایین شد، Feedwater Valve Auto باز شود و در صورت عدم بازیابی، Trip Boiler فعال شود.
• Limit/Protection (حفاظت حدی): مرزی که عبور از آن، اقدام خودکار تعریف‌شده دارد. گاهی بدون توقف (Derate/Runback)، گاهی با توقف. مثال: افزایش ویبره از حد هشدار به حد قطع، فرمان Trip توربین را می‌دهد.
• Trip (تریپ): توقف ایمن و سریع. اغلب لاتچ می‌شود و نیاز به Reset آگاهانه دارد. Tripها باید کم، مشخص و اثربخش باشند.

در عمل، پرمیسیوها «راه‌اندازی را محافظت» می‌کنند؛ اینترلاک‌ها «حین کار از خروج از محدوده ایمن جلوگیری» می‌کنند؛ و Tripها «وقتی دیر شد، ایمن متوقف می‌کنند».

• Hardwired vs. Soft: برخی اینترلاک‌ها سخت‌سیم (رله‌ای/سیمی) هستند، مخصوصا در مدارهای حیاتی (SIS/ESD). برخی در نرم‌افزار DCS اجرا می‌شوند. تعیین جایگاه تابع ریسک (SIL)، استاندارد و فلسفه تریپ است.
• Latched vs. Unlatched: بسیاری از Tripها لاتچ می‌شوند تا اپراتور علت را بررسی کند. برخی Interlock/Limitها آن‌لاتچ هستند و با بازگشت شرایط، خودبه‌خود آزاد می‌شوند.

معماری اطمینان: DCS، SIS/ESD و فلسفه Trip در نیروگاه

قرار دادن هر حفاظت در لایه درست، نصف کار مهندسی ایمنی است. استانداردهای IEC 61511/61508 برای حلقه‌های ایمنی فرایندی، و دستورالعمل‌های OEM و NFPA (برای بویلرها) چارچوب می‌دهند. خلاصه عملی:

• DCS: لایه کنترل و مانیتورینگ اصلی. پرمیسیوها، اینترلاک‌های عملیاتی غیرحیاتی، Runbackها، آلارم‌ها و توالی راه‌اندازی معمولا در DCS پیاده می‌شوند.
• OEM Controller (توربین گاز/بخار): حفاظت‌های اختصاصی ماشین. بسیاری از Tripهای سرعت، دما، ارتعاش، لوجیک‌های استارت/اسپین، پرج و فایرینگ داخل کنترلر اصلی OEM اجرا می‌شوند.
• SIS/ESD: برای SIFهای سطح ایمنی مشخص (SIL)، مثل قطع سوخت در آتش، فشار بالای بویلر، یا شعله‌خاموشی. سیگنال‌ها اغلب با معماری رای‌گیری 2oo3 یا 1oo2D و سخت‌سیم به ولوهای قطع اضطراری می‌روند.

به‌جای بحث تئوری، یک نگاشت ساده از «کجا چه چیزی را بگذاریم» را ببینید. این جدول راهنمای تصمیم‌گیری است و جایگزین مطالعه فلسفه تریپ (Trip Philosophy) هر سایت نیست.

نکته: بسیاری از تریپ‌های ناخواسته از «تداخل لایه‌ها» ناشی می‌شود؛ مثلا Trip شعله هم‌زمان در DCS و SIS تعریف شده ولی فلسفه Reset/Latched متفاوت است. یکی آزاد می‌شود، دیگری نه؛ اپراتور گیج می‌شود. یک ماتریس Cause & Effect واحد و مصوب بنویسید و منطق‌ها را هم‌راستا کنید.

پرمیسیوها و اینترلاک‌های حیاتی به تفکیک تجهیزات (نیروگاه گازی، بخاری، سیکل ترکیبی)

مقادیر زیر نمونه‌های عملی رایج‌اند. اعداد دقیق تابع OEM، استاندارد پروژه و شرایط سایت است. هدف، شفاف‌سازی «ماهیت سیگنال» و جایگاه آن است، نه دیکته کردن عدد.

توربین گاز (GT)

• پرمیسیوهای استارت:
  • فشار L.O. بالاتر از حداقل (مثلا > 1.5 تا 2.5 بار قبل از کراکینگ). سنسور Redundant و Alarm Healthy.
  • دمای روغن در محدوده (مثلا 25–50°C). دمای خیلی پایین، استارت آهسته/Preheat.
  • سیستم آتش‌نشانی در وضعیت عادی، هیچ آلارم Active نباشد.
  • فشار سوخت گاز/مایع در محدوده Start، ولوهای قطع اضطراری در وضعیت بسته و تست نشتی موفق.
  • ژنراتور Breaker باز، سیستم تحریک آماده، حفاظت ژنراتور Reset.
  • هوا/هوای ورودی و فیلترها در محدوده افت فشار قابل قبول (سناریوی طوفان گردوغبار ایران را جدی بگیرید).
• Interlockهای حین استارت/راه‌اندازی:
  • پرج کامل مسیر احتراق با تایمر معتبر قبل از ادیشن سوخت. وضعیت دمپر/باي‌پس HRSG تایید شده.
  • پروتکشن سرعت Overspeed مستقل و تست سلامت قبل از فایرینگ.
  • حداقل فشار آب سیل یا اینرت‌گاز (در برخی OEMها) برای ولوهای سوخت.
• Tripهای حیاتی:
  • Overspeed (سخت‌افزاری و نرم‌افزاری). رای‌گیری مستقل.
  • از دست رفتن شعله در فایرینگ/شتاب‌گیری.
  • فشار L.O. پایین-پایین با تاخیر کوتاه (Delay ضد نویز).
  • ویبره بیرینگ High-High با تاخیر و رای‌گیری مناسب.

HRSG/بویلر

• پرمیسیوهای فایرینگ/ایگنیشن:
  • پرج مطابق NFPA: تایید جریان/حجم هوا/گاز، دمپرها در وضعیت باز مشخص، تایمر پرج کامل.
  • درام‌لول در محدوده Safe (معمولا نزدیک سطح نرمال). LLL و HHH Interlock شوند.
  • Fuel Gas Pressure در محدوده و ولوهای ESD تست‌شده (Seat Tightness Test).
  • Flame Scanner Healthy، Purge Air Ok، دسترسی/بازبودن درهای دسترسی ممنوع (Limit Switches).
• Interlockهای حیاتی:
  • عدم اجازه سوخت در صورت عدم تایید Purge Complete.
  • Interlock حداقل جریان BFW برای حفاظت از Economizer در GT Runback/Trip.
  • بازبودن Stack Damper در شرایط طبیعی (در HRSGهای خاص). هماهنگی با Bypass Stack در Combined Cycle.
• Tripها:
  • Flame Failure با رای‌گیری (2oo3 ترجیحی در Burnerهای چندگانه).
  • Drum Level High-High/Low-Low (سخت‌سیم به قطع سوخت).
  • Drum Pressure High-High (SIS).

توربین بخار (ST)

• پرمیسیوهای استارت/سنکرون:
  • Vacuum کندانسور برقرار (مثلا بهتر از 0.1 bar abs). Air Ejector/Steam Jet آماده.
  • فشار روغن اصلی و کنترل Governor Ok. سیستم Trip & Throttle Valve تست‌شده و بسته بودن تایید.
  • Gland Seal Steam وجود دارد، Drainها باز/بسته مطابق پروسیجر.
  • Align الکتریکی: سنکرون‌اسکوپ سالم، اختلاف ولتاژ/فرکانس/زاویه در محدوده.
• Interlockها:
  • عدم اجازه بازکردن Main Steam Stop در نبود Vacuum کافی.
  • Interlock بازشدن تدریجی Bypass برای گرم‌کردن مسیر قبل از بارگیری.
• Tripها:
  • Overspeed سخت‌افزاری (Mechanical Trip) و الکترونیکی.
  • Vacuum Loss (Hi Backpressure) با زمان‌بندی برای جلوگیری از False Trip در ترنزینت‌ها.
  • Lub Oil Low-Low، Thrust Position High-High، Eccentricity بالا.

تجهیزات جانبی (BOP)

• پمپ‌های BFW/Condensate/CW:
  • پرمیسیو استارت: حداقل سطح تانک مکش، ولوهای ساکشن/دیسچارج باز، NPSH قابل قبول، سیستم سیل/کولینگ Ok.
  • Interlock: حداقل جریان (چرخه بای‌پس/مینیمم‌فلو فعال)، Reverse Rotation/Phase Interlock.
  • Trip: Vibration High-High، Bearing Temp High-High، Seal DP Low-Low (برای پمپ‌های خاص).
• Fuel Gas System:
  • پرمیسیو: Heater در سرویس، Pressure Regulating Station healthy، Gas Analyzer Ok (H2S/BTU در برخی سایت‌ها).
  • Trip: فشار بالا/پایین-پایین، Detected Gas Leak در Enclosure با رای‌گیری مناسب و تهویه اجباری.

چگونه Cause & Effect و Permissive Matrix بسازیم/بخوانیم؟

در بسیاری از سایت‌ها، C&E و لیست پرمیسیوها یا قدیمی‌اند یا با P&ID و منطق واقعی منطبق نیستند. فرایند پیشنهادی:

1. جمع‌آوری اسناد: P&IDهای آخرین Revision، فلسفه تریپ، لیست اینسترومنت، مدارک OEM، منطق‌های DCS/SIS (Function Block/Relay Logic/SAMA).
2. تعریف مرز: تعیین کنید هر سیگنال در کدام لایه است (DCS/OEM/SIS). مسئول Reset و Latched بودن را مشخص کنید.
3. ساخت ماتریس C&E: سطرها = Causes (علت/ورودی)، ستون‌ها = Effects (اقدام/خروجی). وضعیت (Trip/Alarm/Runback/Interlock) و تاخیر/رای‌گیری را بنویسید.
4. پرمیسیو ماتریس: برای هر توالی (مثلا Start GT)، لیست پرمیسیوها و مرجع اندازه‌گیری، اسکیل، واحد، هیسترزیس و Bypass Rule آن را مستند کنید.
5. بازبینی میدانی: تک‌به‌تک ورودی‌ها را با سایت مقایسه کنید؛ نام‌گذاری Tag، واحدها و جهت منطق (NO/NC) را تست کنید.
6. تست یکپارچه: Dry Test در شبیه‌ساز/Offline، سپس Proof Test زنده با Permit و محدودیت تولید تعریف‌شده.

اشتباهات رایج و سناریوهای واقعی از سایت

• اشتباه ۱: نبود هیسترزیس/تاخیر کافی
  • مورد واقعی: در یک نیروگاه سیکل ترکیبی جنوب کشور، سوئیچ DP فیلتر گاز با نویز 0.1 bar چِتِر می‌کرد. پرمیسیو فایرینگ GT مکررا از دست می‌رفت و استارت Abort می‌شد. راه‌حل: افزودن فیلتر زمانی 2 ثانیه‌ای در DCS برای پرمیسیو (نه بر روی Trip واقعی)، تعویض سوئیچ و تنظیم رنج مناسب. بعد از اصلاح، Abortها از ۴ بار در هفته به صفر رسید.
• اشتباه ۲: استفاده از یک ترانسمیتر برای کنترل و Trip
  • مورد واقعی: Drum Level HRSG با یک LT استفاده می‌شد؛ خروج از سرویس کوتاهِ LT برای کالیبراسیون منجر به MFT شد. راه‌حل: جداسازی اندازه‌گیری‌های کنترل و SIF، 2oo3 برای شعله/فشار/سطح‌های حیاتی، و رویه Bypass با زمان محدود و مراقبت اپراتوری.
• اشتباه ۳: Force/Override بی‌ضابطه در DCS
  • مورد واقعی: در راه‌اندازی ST، یکی از مهندسان برای عبور از Interlock Vacuum، بیت پرمیسیو را Force کرد. با بخار گرم و Vacuum ناکافی، اگزوز با بک‌پرشر بالا بالا رفت و شکنندگی پَرِه‌های LP افزایش یافت. خوشبختانه Trip محافظتی عمل کرد. راه‌حل: ممنوعیت Force روی پرمیسیوهای حیاتی، مدیریت Permit to Override با امضاهای چندگانه و ساعت/تاریخ انقضا، و Log خودکار در DCS.
• اشتباه ۴: رای‌گیری نامناسب
  • مورد واقعی: Flame Scannerها در یک HRSG به‌صورت 1oo2 تنظیم شده بودند؛ یک سنسور معیوب مساوی شعله نبودن تلقی و Trip می‌شد. با تغییر به 2oo3 و بهبود نگهداری، نرخ تریپ کاذب به‌شدت کاهش یافت.
• اشتباه ۵: تفاوت واحد/اسکیل
  • مورد واقعی: Setpoint دمای روغن در OEM بر حسب °C و در DCS بر حسب °F وارد شده بود. نتیجه: Start Permissive هرگز کامل نمی‌شد. درس: واحدها را در C&E صراحتا بنویسید؛ Tag Naming استاندارد و یکسان.
• اشتباه ۶: بی‌توجهی به حالت‌های سرد/گرم
  • نکته: پرمیسیوهای استارت در Cold، Warm و Hot باید متفاوت باشند (مثلا الزامات Turning Gear، Oil Temp، Prelube). یک منطق ثابت برای همه حالت‌ها، یا راه‌اندازی را کند می‌کند یا ریسک را بالا می‌برد.

مدیریت Bypass/Override و Proof Test؛ چک‌لیست عملیاتی

Bypass «ابزار» است، نه راه‌حل دائمی. مدیریت ضعیف Bypass در ایران یکی از ریشه‌های تریپ‌های ناخواسته و حوادث است. چارچوب پیشنهادی:

• قانون طلایی: هر Bypass باید مکتوب، زمان‌دار، با مالک مشخص و هدف روشن باشد. رویه Permit to Override با امضای بهره‌برداری، HSE و ابزار دقیق.
• محدودیت زمانی: Bypassهای حیاتی (SIS) حداکثر برای تست/عیب‌یابی کوتاه؛ با برنامه Proof Test جایگزین شود.
• نشانه‌گذاری فیزیکی: تگ قرمز روی ولو/تابلو، و نمایش برجسته در گرافیک DCS (Banner/Alarm).
• Interlock Inhibit vs. Alarm Suppress را تفکیک کنید؛ هر Suppress باید ثبت شود.
• Reset/Latched: پس از رفع علت، Bypass برداشته شود و Reset با چک‌لیست انجام گیرد.

Proof Test موثر (برای SIF/Interlock حیاتی):

1. تعریف محدوده و معیار قبولی (As-Found و As-Left ثبت شود).
2. تست ورودی تا خروجی End-to-End (سنسور تا عملگر)، نه صرفاً شبیه‌سازی نرم‌افزاری.
3. اعمال رای‌گیری واقعی (مثلا 2oo3) در تست‌ها؛ سناریوی Degraded Mode را بررسی کنید.
4. بازبینی زمان‌های Delay، هیسترزیس و Latched بودن Trip.
5. پس از تست، C&E و Permissive Matrix به‌روز شوند؛ مدیریت تغییر (MOC) انجام شود.

چک‌لیست سریع برای مهندس نگهداری/ابزار دقیق:

• آیا هر Tag حیاتی واحد، واحد اندازه‌گیری و اسکیل مشخص و یکسان در همه سامانه‌ها دارد؟
• آیا برای هر Trip حیاتی، Test Function سالانه/فصلی تعریف شده است؟
• آیا Interlock/Permissiveهای استارت GT/ST/HRSG در سه حالت Cold/Warm/Hot تفکیک شده‌اند؟
• آیا فهرست Bypassهای فعال به‌صورت لحظه‌ای دردسترس و امضاشده است؟
• آیا فلسفه Reset/Latched برای هر Trip و مسئولیت آزادسازی مشخص است؟
• آیا C&E آخرین نسخه با P&ID و منطق پیاده‌سازی هم‌خوان است؟ آخرین بازبینی چه زمانی بوده؟

پرسش‌های متداول

فرق Interlock و Permissive در DCS چیست؟
پرمیسیو مجموعه شرایط لازم برای «اجازه انجام یک عمل» (مثل استارت) است؛ نبودش باعث عدم انجام عمل می‌شود. اینترلاک ارتباط منطقی الزام‌آور است که «اجازه خروج از محدوده ایمن را نمی‌دهد» و می‌تواند در حین کار نیز عمل کند. هر دو می‌توانند به Trip منجر شوند، اما Trip یک اقدام توقفیِ لاتچ‌شونده است.

کدام Interlockها باید در SIS/ESD باشند نه در DCS؟
هر حلقه‌ای که ریسک ایمنی/تجهیزاتی بالا دارد و نیازمند استقلال از DCS است (مثل قطع سوخت در Flame Failure، فشار بالای درام، Overpressure)، باید به‌عنوان SIF در SIS پیاده‌سازی شود، طبق ارزیابی SIL و استانداردهای IEC 61511/NFPA. پرمیسیوهای عملیاتی و Interlockهای غیرحیاتی در DCS کافی‌اند.

چطور Bypass Interlock را ایمن مدیریت کنیم؟
فقط با Permit مکتوب، زمان محدود، نمایش برجسته در DCS، مالک مشخص و برنامه بازگشت. Bypass روی سیگنال‌های SIF در سرویس تولید باید آخرین گزینه و با کاهش ریسک‌های جبرانی (Watch، محدودیت بار، افزایش پایش) همراه باشد. بعد از رفع علت، Reset و برداشتن Bypass طبق چک‌لیست انجام شود.

آیا می‌توان برای کاهش تریپ‌های کاذب، تاخیرها را زیاد کرد؟
تا حدی که تحلیل خطر اجازه می‌دهد. تاخیر بیش‌ازحد ممکن است حفاظت را بی‌اثر کند. راه‌حل اصلی: سنسور باکیفیت، رای‌گیری مناسب (2oo3)، هیسترزیس منطقی و فیلترکردن نویز، نه فقط طولانی کردن Delay.

جمع‌بندی

اینترلاک‌ها و پرمیسیوها قلب نامرئی ایمنی و قابلیت دسترس واحد هستند. اگر روشن و به‌روز نباشند، یا زیاده‌رو و اضافی شوند، نتیجه‌اش یا «تریپ‌های کاذب و تولید از دست‌رفته» است یا «حفاظت‌هایی که وقتی باید عمل کنند، دیر می‌رسند». برای مهندسانی که «نیروگاه دیده‌اند»، کار درست یعنی: C&E واحد و مصوب، Permissive Matrix شفاف، لایه‌بندی صحیح بین DCS/OEM/SIS، مدیریت Bypass با انضباط، و Proof Test دوره‌ای با مستندسازی دقیق.

توصیه عملی: همین هفته یک جلسه ۹۰ دقیقه‌ای بگذارید؛ سه Trip حیاتی واحد را با تیم بهره‌برداری، ابزار دقیق و مکانیک روی C&E مرور کنید، واحدها/اسکیل‌ها را چک کنید و فهرست Bypassهای فعال را صفر کنید. این ساده‌ترین کاری است که فردا اثرش را در کاهش آلارم‌ها و استرس شیفت می‌بینید.

اگر نیاز به الگوهای قابل‌استفاده، چک‌لیست‌های آماده یا همفکری روی فلسفه تریپ و بازآرایی منطق DCS دارید، تیم آکادمی نیروگاه می‌تواند کنار شما باشد. سوالی داشتید، برای ما بفرستید؛ با زبان نیروگاه حرف می‌زنیم.