Le prove di collaudo sono parte integrante del mantenimento dell'integrità di sicurezza dei nostri sistemi strumentati di sicurezza (SIS) e dei sistemi correlati alla sicurezza (ad esempio allarmi critici, sistemi antincendio e di rilevamento gas, sistemi di interblocco strumentati, ecc.). Una prova di collaudo è un test periodico volto a rilevare guasti pericolosi, verificare le funzionalità relative alla sicurezza (ad esempio reset, bypass, allarmi, diagnostica, arresto manuale, ecc.) e garantire che il sistema sia conforme agli standard aziendali ed esterni. I risultati delle prove di collaudo rappresentano anche una misura dell'efficacia del programma di integrità meccanica dei SIS e dell'affidabilità sul campo del sistema.
Le procedure di collaudo comprendono tutte le fasi, dall'ottenimento dei permessi, all'effettuazione delle notifiche e alla messa fuori servizio del sistema per il collaudo, fino alla garanzia di un collaudo completo, alla documentazione del collaudo e dei relativi risultati, al ripristino del servizio del sistema e alla valutazione dei risultati attuali e di quelli dei collaudi precedenti.
La norma ANSI/ISA/IEC 61511-1, Clausola 16, riguarda i test di verifica dei sistemi strumentati di sicurezza (SIS). Il rapporto tecnico ISA TR84.00.03 – “Integrità meccanica dei sistemi strumentati di sicurezza (SIS)” tratta i test di verifica ed è attualmente in fase di revisione; una nuova versione dovrebbe essere pubblicata a breve. Il rapporto tecnico ISA TR96.05.02 – “Test di verifica in situ delle valvole automatizzate” è attualmente in fase di sviluppo.
Il rapporto CRR 428/2002 dell'HSE del Regno Unito, intitolato "Principi per la verifica dei sistemi di sicurezza strumentati nell'industria chimica", fornisce informazioni sulle verifiche e sulle attività svolte dalle aziende nel Regno Unito.
Una procedura di collaudo si basa sull'analisi delle modalità di guasto pericolose note per ciascuno dei componenti nel percorso di intervento della funzione di sicurezza strumentata (SIF), sulla funzionalità della SIF come sistema e su come (e se) testare la modalità di guasto pericolosa. Lo sviluppo della procedura dovrebbe iniziare nella fase di progettazione della SIF con la progettazione del sistema, la selezione dei componenti e la determinazione di quando e come eseguire il collaudo. Gli strumenti SIS presentano diversi gradi di difficoltà di collaudo che devono essere considerati nella progettazione, nell'esercizio e nella manutenzione della SIF. Ad esempio, i misuratori a orifizio e i trasmettitori di pressione sono più facili da testare rispetto ai misuratori di portata massica Coriolis, ai misuratori magnetici o ai sensori di livello radar attraverso l'aria. Anche l'applicazione e la progettazione della valvola possono influenzare la completezza del collaudo della valvola, al fine di garantire che guasti pericolosi e incipienti dovuti a degrado, ostruzione o guasti dipendenti dal tempo non portino a un guasto critico entro l'intervallo di prova selezionato.
Sebbene le procedure di collaudo vengano in genere sviluppate durante la fase di progettazione SIF, dovrebbero essere esaminate anche dall'Autorità Tecnica SIS del sito, dal reparto Operazioni e dai tecnici strumentisti che eseguiranno i test. Dovrebbe essere inoltre effettuata un'analisi della sicurezza del lavoro (JSA). È importante ottenere l'approvazione dell'impianto su quali test verranno eseguiti e quando, nonché sulla loro fattibilità fisica e di sicurezza. Ad esempio, non serve a nulla specificare test a corsa parziale se il gruppo Operazioni non è d'accordo nell'eseguirli. Si raccomanda inoltre che le procedure di collaudo siano esaminate da un esperto in materia (SME) indipendente. I test tipici richiesti per un collaudo di funzionalità completa sono illustrati nella Figura 1.
Requisiti per la prova di funzionamento completo Figura 1: Una specifica per la prova di funzionamento completo di una funzione strumentata di sicurezza (SIF) e del relativo sistema strumentato di sicurezza (SIS) dovrebbe descrivere o fare riferimento alle fasi in sequenza, dalla preparazione e dalle procedure di prova alle notifiche e alla documentazione.
Figura 1: Una specifica completa per la prova di funzionamento di una funzione strumentata di sicurezza (SIF) e del relativo sistema strumentato di sicurezza (SIS) dovrebbe descrivere o fare riferimento alle fasi in sequenza, dalla preparazione e dalle procedure di prova fino alle notifiche e alla documentazione.
Il collaudo di verifica è un'attività di manutenzione programmata che deve essere eseguita da personale competente e formato sui test SIS, sulla procedura di verifica e sui circuiti SIS che verranno testati. Prima di eseguire il collaudo di verifica iniziale, è necessario effettuare una simulazione della procedura e, successivamente, fornire un feedback al responsabile tecnico SIS del sito per eventuali miglioramenti o correzioni.
Esistono due modalità di guasto principali (sicura o pericolosa), che si suddividono in quattro sottocategorie: pericolosa non rilevata, pericolosa rilevata (tramite diagnostica), sicura non rilevata e sicura rilevata. In questo articolo, i termini "guasto pericoloso" e "guasto pericoloso non rilevato" sono usati in modo intercambiabile.
Nei test di verifica SIF, siamo principalmente interessati alle modalità di guasto pericolose non rilevate, ma se esistono strumenti di diagnostica utente che rilevano guasti pericolosi, anche questi strumenti devono essere sottoposti a test di verifica. Si noti che, a differenza degli strumenti di diagnostica utente, gli strumenti di diagnostica interni al dispositivo in genere non possono essere validati come funzionali dall'utente, e ciò può influenzare la filosofia del test di verifica. Quando si tiene conto degli strumenti di diagnostica nei calcoli SIL, gli allarmi diagnostici (ad esempio, gli allarmi fuori intervallo) devono essere testati come parte del test di verifica.
Le modalità di guasto possono essere ulteriormente suddivise in quelle testate durante un test di verifica, quelle non testate e i guasti incipienti o dipendenti dal tempo. Alcune modalità di guasto pericolose potrebbero non essere testate direttamente per vari motivi (ad esempio, difficoltà, decisioni ingegneristiche o operative, ignoranza, incompetenza, omissioni o errori sistematici, bassa probabilità di accadimento, ecc.). Se sono note modalità di guasto che non verranno testate, è necessario compensare tali modalità nella progettazione del dispositivo, nella procedura di test, nella sostituzione o ricostruzione periodica del dispositivo e/o mediante test inferenziali, al fine di minimizzare l'impatto della mancata esecuzione dei test sull'integrità del SIF.
Un guasto incipiente è uno stato o una condizione di degrado tale per cui è ragionevolmente prevedibile che si verifichi un guasto critico e pericoloso se non vengono intraprese tempestivamente azioni correttive. In genere, i guasti incipienti vengono rilevati confrontando le prestazioni con test di riferimento recenti o iniziali (ad esempio, le caratteristiche delle valvole o i tempi di risposta delle valvole) o tramite ispezione (ad esempio, un orifizio di processo ostruito). I guasti incipienti sono comunemente dipendenti dal tempo: più a lungo il dispositivo o l'assemblaggio è in servizio, più si degrada; aumentano le probabilità che si verifichino guasti casuali, come l'ostruzione dell'orifizio di processo o l'accumulo di residui sui sensori nel tempo, il superamento della vita utile, ecc. Pertanto, maggiore è l'intervallo tra i test di collaudo, maggiore è la probabilità di un guasto incipiente o dipendente dal tempo. Anche le protezioni contro i guasti incipienti devono essere sottoposte a test di collaudo (spurgo dell'orifizio, riscaldamento elettrico, ecc.).
È necessario redigere procedure per testare la presenza di guasti pericolosi (non rilevabili). Le tecniche di analisi delle modalità e degli effetti dei guasti (FMEA) o di analisi delle modalità, degli effetti e della diagnostica dei guasti (FMEDA) possono aiutare a identificare i guasti pericolosi non rilevabili e a individuare le aree in cui è necessario migliorare la copertura dei test di verifica.
Molte procedure di collaudo sono scritte sulla base dell'esperienza e di modelli derivati da procedure esistenti. Le nuove procedure e i SIF (Site Infrastructure Facility) più complessi richiedono un approccio più ingegneristico che utilizzi FMEA/FMEDA per analizzare i guasti pericolosi, determinare in che modo la procedura di collaudo li rileverà o meno e definire la copertura dei test. La Figura 2 mostra un diagramma a blocchi di analisi delle modalità di guasto a livello macro per un sensore. In genere, l'FMEA deve essere eseguita una sola volta per un particolare tipo di dispositivo e riutilizzata per dispositivi simili, tenendo conto del processo di assistenza, installazione e capacità di collaudo in loco.
Analisi dei guasti a livello macro Figura 2: Questo diagramma a blocchi per l'analisi delle modalità di guasto a livello macro di un sensore e di un trasmettitore di pressione (PT) mostra le funzioni principali che in genere vengono suddivise in molteplici analisi di guasti a livello micro per definire completamente i potenziali guasti da affrontare nei test funzionali.
Figura 2: Questo diagramma a blocchi di analisi delle modalità di guasto a livello macro per un sensore e un trasmettitore di pressione (PT) mostra le funzioni principali che in genere vengono scomposte in molteplici analisi di guasti a livello micro per definire completamente i potenziali guasti da affrontare nei test funzionali.
La percentuale di guasti noti, pericolosi e non rilevati che vengono testati è chiamata copertura dei test di verifica (PTC). Il PTC viene comunemente utilizzato nei calcoli SIL per "compensare" la mancata esecuzione di test più completi sul SIF. Molti credono erroneamente che, avendo considerato la mancanza di copertura dei test nel calcolo SIL, abbiano progettato un SIF affidabile. In realtà, anche se la copertura dei test è del 75% e si tiene conto di questo dato nel calcolo SIL, testando con maggiore frequenza gli elementi che già vengono testati, statisticamente il 25% dei guasti pericolosi può comunque verificarsi. Di certo non vorrei rientrare in quel 25%.
I rapporti di approvazione FMEDA e i manuali di sicurezza per i dispositivi in genere forniscono una procedura minima di collaudo e la relativa copertura. Questi forniscono solo delle linee guida, non tutti i passaggi di prova necessari per una procedura di collaudo completa. Altri tipi di analisi dei guasti, come l'analisi ad albero dei guasti e la manutenzione centrata sull'affidabilità, vengono utilizzati per analizzare i guasti pericolosi.
I test di verifica possono essere suddivisi in test funzionali completi (end-to-end) o test funzionali parziali (Figura 3). I test funzionali parziali vengono comunemente eseguiti quando i componenti del SIF hanno intervalli di prova diversi nei calcoli SIL che non coincidono con gli arresti o le fermate programmate. È importante che le procedure di test di verifica funzionale parziale si sovrappongano in modo tale da testare insieme tutte le funzionalità di sicurezza del SIF. Anche con i test funzionali parziali, si raccomanda comunque che il SIF venga sottoposto a un test di verifica end-to-end iniziale e a test successivi durante le fermate programmate.
I test di prova parziali dovrebbero sommarsi Figura 3: I test di prova parziali combinati (in basso) dovrebbero coprire tutte le funzionalità di un test di prova funzionale completo (in alto).
Figura 3: I test di prova parziali combinati (in basso) dovrebbero coprire tutte le funzionalità di un test di prova funzionale completo (in alto).
Un test di verifica parziale testa solo una percentuale delle modalità di guasto di un dispositivo. Un esempio comune è il test di corsa parziale di una valvola, in cui la valvola viene spostata di una piccola quantità (10-20%) per verificare che non sia bloccata. Questo tipo di test ha una copertura inferiore rispetto al test di verifica eseguito nell'intervallo di prova primario.
La complessità delle procedure di collaudo può variare in base alla complessità del sistema SIF e alla filosofia aziendale in materia di procedure di collaudo. Alcune aziende redigono procedure di collaudo dettagliate passo passo, mentre altre optano per procedure piuttosto sintetiche. Talvolta, per ridurre la lunghezza della procedura di collaudo e garantire la coerenza dei test, si fa riferimento ad altre procedure, come ad esempio una calibrazione standard. Una buona procedura di collaudo dovrebbe fornire dettagli sufficienti a garantire che tutti i test siano eseguiti e documentati correttamente, ma non così tanti da indurre i tecnici a saltare dei passaggi. Far apporre la propria firma al collaudo completato dal tecnico responsabile dell'esecuzione della fase di collaudo può contribuire a garantire la corretta esecuzione del test. Anche la firma del collaudo completato da parte del responsabile della strumentazione e dei rappresentanti delle operazioni ne sottolinea l'importanza e ne assicura la corretta esecuzione.
È sempre opportuno sollecitare il feedback dei tecnici per contribuire al miglioramento della procedura. Il successo di una procedura di collaudo dipende in larga misura dalle capacità del tecnico, pertanto si raccomanda vivamente una collaborazione.
La maggior parte dei test di verifica viene generalmente eseguita offline durante un arresto o una revisione. In alcuni casi, potrebbe essere necessario eseguire i test di verifica online durante il funzionamento per soddisfare i calcoli SIL o altri requisiti. I test online richiedono pianificazione e coordinamento con le Operazioni per consentire l'esecuzione del test di verifica in sicurezza, senza interruzioni di processo e senza causare arresti anomali. Basta un solo arresto anomalo per compromettere tutti i vantaggi. Durante questo tipo di test, quando il SIF non è completamente disponibile per svolgere il suo compito di sicurezza, la norma 61511-1, Clausola 11.8.5, stabilisce che "Quando il SIS è in bypass (riparazione o test), devono essere previste misure compensative che garantiscano la continuità del funzionamento sicuro, in conformità con la sezione 11.3". Una procedura di gestione delle situazioni anomale dovrebbe accompagnare la procedura di test di verifica per garantire che venga eseguita correttamente.
Un SIF (Sensore di Interfacce) è tipicamente suddiviso in tre parti principali: sensori, risolutori logici ed elementi finali. In genere, all'interno di ciascuna di queste tre parti possono essere associati anche dispositivi ausiliari (ad esempio, barriere IS, amplificatori di intervento, relè di interposizione, solenoidi, ecc.) che devono essere anch'essi testati. Gli aspetti critici del collaudo di ciascuna di queste tecnologie sono descritti nel riquadro "Test di sensori, risolutori logici ed elementi finali" (sotto).
Alcuni sistemi sono più facili da testare rispetto ad altri. Molte tecnologie moderne, e alcune più datate, per la misurazione di portata e livello rientrano nella categoria più complessa. Tra queste, si annoverano i flussimetri Coriolis, i misuratori a vortice, i misuratori magnetici, i radar ad aria, i misuratori di livello a ultrasuoni e gli interruttori di processo in situ, solo per citarne alcuni. Fortunatamente, molti di questi sistemi dispongono ora di sistemi diagnostici avanzati che consentono test più precisi.
La difficoltà di testare un dispositivo di questo tipo sul campo deve essere considerata nella progettazione del SIF. È facile per l'ufficio tecnico selezionare dispositivi SIF senza valutare attentamente cosa sarebbe necessario per testarli, dato che non saranno loro a eseguirli. Questo vale anche per i test a corsa parziale, un metodo comune per migliorare la probabilità media di guasto su richiesta (PFDavg) di un SIF, ma che in seguito il reparto operativo dell'impianto potrebbe non voler eseguire, e spesso non lo farà. È fondamentale garantire sempre la supervisione dell'impianto sull'attività di progettazione dei SIF per quanto riguarda i test di collaudo.
Il test di collaudo dovrebbe includere un'ispezione dell'installazione del SIF e le riparazioni necessarie per soddisfare la clausola 16.3.2 della norma 61511-1. Dovrebbe essere effettuata un'ispezione finale per assicurarsi che tutto sia a posto e una doppia verifica che il SIF sia stato correttamente rimesso in servizio.
La stesura e l'implementazione di una procedura di prova efficace rappresentano un passo fondamentale per garantire l'integrità del SIF (Safety Integrity Framework) per tutta la sua durata. La procedura di prova deve fornire dettagli sufficienti a garantire che i test richiesti vengano eseguiti e documentati in modo coerente e sicuro. I guasti pericolosi non rilevati dai test di verifica devono essere compensati per garantire che l'integrità di sicurezza del SIF sia adeguatamente mantenuta per tutta la sua vita utile.
La stesura di una procedura di collaudo efficace richiede un approccio logico all'analisi ingegneristica dei potenziali guasti pericolosi, alla selezione dei mezzi e alla definizione delle fasi del collaudo che rientrino nelle capacità di collaudo dell'impianto. Durante il processo, è fondamentale ottenere il consenso di tutti i livelli aziendali per il collaudo e formare i tecnici affinché siano in grado di eseguire e documentare il collaudo, comprendendone al contempo l'importanza. Le istruzioni vanno scritte come se foste voi i tecnici strumentisti che dovranno eseguire il lavoro, tenendo presente che la corretta esecuzione del collaudo è una questione di vita o di morte, perché è proprio così.
Testing sensors, logic solvers and final elements A SIF is typically divided up into three main parts, sensors, logic solvers and final elements. There also typically are auxiliary devices that can be associated within each of these three parts (e.g. I.S. barriers, trip amps, interposing relays, solenoids, etc.) that must also be tested.Sensor proof tests: The sensor proof test must ensure that the sensor can sense the process variable over its full range and transmit the proper signal to the SIS logic solver for evaluation. While not inclusive, some of the things to consider in creating the sensor portion of the proof test procedure are given in Table 1. Table 1: Sensor proof test considerations Process ports clean/process interface check, significant buildup noted Internal diagnostics check, run extended diagnostics if available Sensor calibration (5 point) with simulated process input to sensor, verified through to the DCS, drift check Trip point check High/High-High/Low/Low-Low alarms Redundancy, voting degradation Out of range, deviation, diagnostic alarms Bypass and alarms, restrike User diagnostics Transmitter Fail Safe configuration verified Test associated systems (e.g. purge, heat tracing, etc.) and auxiliary components Physical inspection Complete as-found and as-left documentation Logic solver proof test: When full-function proof testing is done, the logic solver’s part in accomplishing the SIF’s safety action and related actions (e.g. alarms, reset, bypasses, user diagnostics, redundancies, HMI, etc.) are tested. Partial or piecemeal function proof tests must accomplish all these tests as part of the individual overlapping proof tests. The logic solver manufacturer should have a recommended proof test procedure in the device safety manual. If not and as a minimum, the logic solver power should be cycled, and the logic solver diagnostic registers, status lights, power supply voltages, communication links and redundancy should be checked. These checks should be done prior to the full-function proof test.Don’t make the assumption that the software is good forever and the logic need not be tested after the initial proof test as undocumented, unauthorized and untested software and hardware changes and software updates can creep into systems over time and must be factored into your overall proof test philosophy. The management of change, maintenance, and revision logs should be reviewed to ensure they are up to date and properly maintained, and if capable, the application program should be compared to the latest backup.Care should also be taken to test all the user logic solver auxiliary and diagnostic functions (e.g. watchdogs, communication links, cybersecurity appliances, etc.).Final element proof test: Most final elements are valves, however, rotating equipment motor starters, variable-speed drives and other electrical components such as contactors and circuit breakers are also used as final elements and their failure modes must be analyzed and proof tested.The primary failure modes for valves are being stuck, response time too slow or too fast, and leakage, all of which are affected by the valve’s operating process interface at trip time. While testing the valve at operating conditions is the most desirable case, Operations would generally be opposed to tripping the SIF while the plant is operating. Most SIS valves are typically tested while the plant is down at zero differential pressure, which is the least demanding of operating conditions. The user should be aware of the worst-case operational differential pressure and the valve and process degradation effects, which should be factored into the valve and actuator design and sizing.Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).Ambient temperatures can also affect valve friction loads, so that testing valves in warm weather will generally be the least demanding friction load when compared to cold weather operation. As a result, proof testing of valves at a consistent temperature should be considered to provide consistent data for inferential testing for the determination of valve performance degradation.Valves with smart positioners or a digital valve controller generally have capability to create a valve signature that can be used to monitor degradation in valve performance. A baseline valve signature can be requested as part of your purchase order or you can create one during the initial proof test to serve as a baseline. The valve signature should be done for both opening and closing of the valve. Advanced valve diagnostic should also be used if available. This can help tell you if your valve performance is deteriorating by comparing subsequent proof test valve signatures and diagnostics with your baseline. This type of test can help compensate for not testing the valve at worst case operating pressures.The valve signature during a proof test may also be able to record the response time with time stamps, removing the need for a stopwatch. Increased response time is a sign of valve deterioration and increased friction load to move the valve. While there are no standards regarding changes in valve response time, a negative pattern of changes from proof test to proof test is indicative of the potential loss of the valve’s safety margin and performance. Modern SIS valve proof testing should include a valve signature as a matter of good engineering practice.The valve instrument air supply pressure should be measured during a proof test. While the valve spring for a spring-return valve is what closes the valve, the force or torque involved is determined by how much the valve spring is compressed by the valve supply pressure (per Hooke’s Law, F = kX). If your supply pressure is low, the spring will not compress as much, hence less force will be available to move the valve when needed. While not inclusive, some of the things to consider in creating the valve portion of the proof test procedure are given in Table 2. Table 2: Final element valve assembly considerations Test valve safety action at process operating pressure (best but typically not done), and time the valve’s response time. Verify redundancy Test valve safety action at zero differential pressure and time valve’s response time. Verify redundancy Run valve signature and diagnostics as part of proof test and compare to baseline and previous test Visually observe valve action (proper action without unusual vibration or noise, etc.). Verify the valve field and position indication on the DCS Fully stroke the valve a minimum of five times during the proof test to help ensure valve reliability. (This is not intended to fix significant degradation effects or incipient failures). Review valve maintenance records to ensure any changes meet the required valve SRS specifications Test diagnostics for energize-to-trip systems Leak test if Tight Shut Off (TSO) is required Verify the command disagree alarm functionality Inspect valve assembly and internals Remove, test and rebuild as necessary Complete as-found and as-left documentation Solenoids Evaluate venting to provide required response time Evaluate solenoid performance by a digital valve controller or smart positioner Verify redundant solenoid performance (e.g. 1oo2, 2oo3) Interposing Relays Verify correct operation, redundancy Device inspection
Un SIF (Sensore di Interfacce di Controllo) è tipicamente suddiviso in tre parti principali: sensori, unità logiche e elementi finali. In genere, all'interno di ciascuna di queste tre parti possono essere associati anche dispositivi ausiliari (ad esempio, barriere IS, amplificatori di intervento, relè di interposizione, solenoidi, ecc.) che devono essere anch'essi testati.
Prove di verifica del sensore: la prova di verifica del sensore deve garantire che il sensore sia in grado di rilevare la variabile di processo su tutto il suo intervallo e di trasmettere il segnale corretto al risolutore logico SIS per la valutazione. Sebbene non esaustiva, la Tabella 1 riporta alcuni degli aspetti da considerare nella creazione della parte relativa al sensore della procedura di prova di verifica.
Test di verifica del risolutore logico: durante il test di verifica completo, viene testato il ruolo del risolutore logico nell'attuazione delle azioni di sicurezza del SIF e delle relative azioni (ad esempio allarmi, reset, bypass, diagnostica utente, ridondanze, HMI, ecc.). I test di verifica parziali o frammentari devono eseguire tutti questi test come parte dei singoli test di verifica sovrapposti. Il produttore del risolutore logico dovrebbe fornire una procedura di test di verifica raccomandata nel manuale di sicurezza del dispositivo. In caso contrario, come minimo, è necessario riavviare l'alimentazione del risolutore logico e verificare i registri diagnostici, le spie di stato, le tensioni di alimentazione, i collegamenti di comunicazione e la ridondanza. Questi controlli devono essere eseguiti prima del test di verifica completo.
Non date per scontato che il software sia valido per sempre e che la logica non debba essere testata dopo il test di verifica iniziale, poiché modifiche non documentate, non autorizzate e non testate a livello software e hardware, nonché aggiornamenti software, possono insinuarsi nei sistemi nel tempo e devono essere presi in considerazione nella vostra filosofia generale di test di verifica. La gestione dei registri delle modifiche, della manutenzione e delle revisioni deve essere esaminata per garantire che siano aggiornati e gestiti correttamente e, se possibile, il programma applicativo deve essere confrontato con l'ultimo backup.
Occorre inoltre prestare attenzione a testare tutte le funzioni ausiliarie e diagnostiche del risolutore logico utente (ad esempio, watchdog, collegamenti di comunicazione, dispositivi di sicurezza informatica, ecc.).
Test di collaudo degli elementi finali: la maggior parte degli elementi finali sono valvole, tuttavia, anche gli avviatori per motori di apparecchiature rotanti, gli azionamenti a velocità variabile e altri componenti elettrici come contattori e interruttori automatici vengono utilizzati come elementi finali e le loro modalità di guasto devono essere analizzate e sottoposte a test di collaudo.
Le principali modalità di guasto delle valvole sono il blocco, tempi di risposta troppo lenti o troppo rapidi e perdite, tutte influenzate dall'interfaccia di processo operativa della valvola al momento dell'intervento. Sebbene testare la valvola in condizioni operative sia la situazione ideale, il reparto Operazioni si opporrebbe generalmente all'intervento del SIF (Sistema di Intercettazione del Flusso) mentre l'impianto è in funzione. La maggior parte delle valvole SIS viene tipicamente testata quando l'impianto è fermo e la pressione differenziale è pari a zero, che rappresenta la condizione operativa meno critica. L'utente deve essere consapevole della pressione differenziale operativa nel caso peggiore e degli effetti del degrado della valvola e del processo, fattori che devono essere considerati nella progettazione e nel dimensionamento della valvola e dell'attuatore.
Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).
Anche la temperatura ambiente può influenzare i carichi di attrito delle valvole, pertanto testare le valvole con temperature elevate comporterà generalmente un carico di attrito meno gravoso rispetto al funzionamento con temperature basse. Di conseguenza, è opportuno considerare di eseguire prove di collaudo delle valvole a una temperatura costante per ottenere dati coerenti da utilizzare per le analisi inferenziali necessarie alla determinazione del degrado delle prestazioni delle valvole.
Le valvole con posizionatori intelligenti o con un controllore digitale sono generalmente in grado di creare una "firma" della valvola che può essere utilizzata per monitorare il degrado delle prestazioni. È possibile richiedere una firma di riferimento della valvola al momento dell'ordine di acquisto oppure crearne una durante il collaudo iniziale. La firma della valvola deve essere registrata sia in apertura che in chiusura. Se disponibile, è opportuno utilizzare anche una diagnostica avanzata della valvola. Questa può aiutare a capire se le prestazioni della valvola si stanno deteriorando, confrontando le firme e le diagnostiche delle successive prove di collaudo con la firma di riferimento. Questo tipo di test può contribuire a compensare la mancata esecuzione del test alle pressioni operative peggiori.
La registrazione della firma della valvola durante una prova di collaudo può includere anche il tempo di risposta con timestamp, eliminando la necessità di un cronometro. Un aumento del tempo di risposta è indice di deterioramento della valvola e di un maggiore carico di attrito necessario per azionarla. Sebbene non esistano standard relativi alle variazioni del tempo di risposta della valvola, un andamento negativo delle variazioni da una prova di collaudo all'altra indica una potenziale perdita del margine di sicurezza e delle prestazioni della valvola. Le moderne prove di collaudo delle valvole SIS dovrebbero includere la registrazione della firma della valvola come buona prassi ingegneristica.
La pressione di alimentazione dell'aria per gli strumenti della valvola deve essere misurata durante una prova di collaudo. Mentre la molla della valvola, nel caso di una valvola a ritorno a molla, è ciò che chiude la valvola, la forza o la coppia coinvolta è determinata da quanto la molla viene compressa dalla pressione di alimentazione della valvola (secondo la legge di Hooke, F = kX). Se la pressione di alimentazione è bassa, la molla non si comprimerà a sufficienza, quindi sarà disponibile meno forza per muovere la valvola quando necessario. La Tabella 2, pur non essendo esaustiva, elenca alcuni degli aspetti da considerare nella creazione della parte relativa alla valvola della procedura di collaudo.
Data di pubblicazione: 13 novembre 2019