Procedimiento de Prueba de Bucle de Instrumentos para Sistemas Instrumentados de Seguridad con Clasificación SIL

Por qué las Pruebas de Bucle SIL Difieren de las Verificaciones Estándar de Puesta en Marcha

Una prueba estándar de bucle confirma la continuidad de la señal y la precisión de la escala. Una prueba de bucle SIL hace todo eso y además verifica que la función de seguridad se active en el valor correcto de la variable de proceso, se desactive correctamente después del reinicio y no deje fallas latentes. La cláusula 16.2 de la IEC 61511 requiere registros documentados de los estados "como se encontró" y "como se dejó" para cada bucle clasificado SIL en cada intervalo de prueba de verificación. No documentar los datos "como se encontró" antes del ajuste invalida la prueba de verificación para fines de cumplimiento.

Para sistemas Allen-Bradley ControlLogix 1756-L85E, abra Studio 5000 y localice la Tarea de Seguridad. Confirme que la etiqueta lógica de la función de seguridad coincida con el SRS. Para sistemas Triconex T3000, abra TriStation 1131 y verifique la red lógica que implementa la función protectora. Ambos sistemas requieren un bypass de mantenimiento antes de cualquier intervención física. Confirme el intervalo de prueba de verificación: los bucles SIL 2 normalmente requieren intervalos de prueba de 2 años basados en cálculos de PFDavg. Nunca extienda el intervalo sin una variación documentada aprobada por el ingeniero de seguridad funcional.

Procedimiento de Bypass de Mantenimiento e Inhibición

• Paso 1: En Allen-Bradley ControlLogix, establezca el bit de bypass de seguridad correspondiente usando el mecanismo de Solicitud de Bypass de Seguridad en Studio 5000. No use un force. Las fuerzas en la tarea de seguridad omiten la lógica de detección de prueba de verificación de la CPU de seguridad. El bit de bypass activa una alarma de Bypass de Seguridad Activo en el historiador.
• Paso 2: En Triconex T3000, abra TriStation 1131 y active el Modo de Mantenimiento para el canal bajo prueba. El Modo de Mantenimiento establece la salida del canal en un estado seguro preconfigurado. El LED del panel frontal del módulo afectado en el Tricon CX cambia de verde a ámbar. Registre la hora de inicio en el sistema de permiso de trabajo.
• Paso 3: Verifique que la lógica de votación no active un disparo espurio. Para una función de votación 2oo3, un canal en mantenimiento es aceptable. Para una función 1oo1, debe confirmarse que la activación del elemento final está inhibida a nivel del actuador de la válvula antes de continuar.
• Paso 4: Confirme el bypass con el operador de sala de control. El operador debe reconocer el bypass en la pantalla SCADA e ingresar su ID de usuario. Esto crea una pista de auditoría requerida por la cláusula 11.9 de la IEC 61511.

Prueba de Bucle en Frío: Inyección de Señal y Verificación de Escala

La prueba de bucle en frío utiliza un calibrador de proceso para inyectar señales sin fluido de proceso activo. Para un bucle de transmisor de presión 4–20 mA, inyecte 4.000 mA, 12.000 mA y 20.000 mA en la cabeza terminal del transmisor. Registre el conteo bruto del DCS en cada punto.

Para módulos de entrada analógica Allen-Bradley ControlLogix 1756-IF16, el rango esperado de conteo bruto es 0–32767. A 4 mA, el conteo esperado es 0 ±20 cuentas (0.06% del rango). A 20 mA, el conteo esperado es 32767 ±20 cuentas. Un desplazamiento mayor a 50 cuentas requiere recalibración del módulo usando el Asistente de Calibración de Entrada Analógica de RSLogix 5000.

Para módulos AI Triconex T3000, la resolución de entrada analógica es de 16 bits. A 4 mA, el canal AI lee 0x0000. A 20 mA, el canal lee 0x7FFF. Una desviación mayor a 0x0050 (80 cuentas) en cualquier punto de prueba requiere reemplazo del módulo AI — el T3000 no soporta recalibración de ganancia de canal AI en campo.

• Paso 1: Conecte el calibrador de proceso en paralelo con el cableado del transmisor en la caja de conexiones. Configure el modo fuente a 4.000 mA. Espere 5 segundos para que el DCS actualice. Registre el valor mostrado en el DCS y el conteo bruto.
• Paso 2: Aumente a 12.000 mA (50% del rango). Verifique que la pantalla del DCS muestre 50% ±0.5% del rango de la unidad de ingeniería. Registre los valores "como se encontró".
• Paso 3: Aumente a 20.000 mA (100% del rango). Verifique que el DCS muestre el valor de escala completa ±0.5%. Registre los valores "como se encontró".
• Paso 4: Inyecte 3.600 mA. Verifique que el DCS active una alarma de “Ruptura de Cable Bajo” en menos de 3 segundos. En Allen-Bradley ControlLogix, el umbral de ruptura de cable para AI 4–20 mA es configurable a 3.6 mA en las propiedades del módulo Studio 5000.
• Paso 5: Inyecte 21.000 mA. Verifique que el DCS active una alarma de “Sobre-Rango Alto” en menos de 3 segundos. El umbral de sobre-rango del ControlLogix 1756-IF16 es 21.0 mA. El umbral de sobre-rango del módulo AI Triconex es 20.5 mA por defecto.
• Paso 6: Registre todos los datos "como se encontró" en la hoja de registro de prueba de bucle. Si todos los valores están dentro de los criterios de aceptación, documente como “Como se encontró = Como se dejó.” Si algún valor se desvía, realice el ajuste y vuelva a probar. Documente ambos valores "como se encontró" y "como se dejó" con la firma del ingeniero.

Prueba de Bucle en Caliente: Verificación de Activación de la Función de Seguridad

La prueba de bucle en caliente confirma que la función de seguridad se activa en el punto de ajuste correcto de la variable de proceso. Esta prueba ejercita el bucle completo del SIS desde el sensor, pasando por el solucionador lógico, hasta el elemento final. Las pruebas en caliente requieren condiciones de proceso en vivo o condiciones simuladas usando una fuente de presión certificada.

Primero, confirme que el elemento final (típicamente una válvula ESD) esté en estado seguro antes de comenzar. Use el indicador de retroalimentación de posición del actuador para confirmar. No continúe si la retroalimentación de posición de la válvula difiere de la señal de comando en más del 5% del recorrido.

Segundo, aumente lentamente la señal inyectada hacia el punto de disparo de la función de seguridad. Para un disparo de presión alta-alta ajustado a 95 barg, inyecte la señal equivalente en mA paso a paso: 18 mA (90%), 18.8 mA (94%), 19.0 mA (95%). Registre el mA exacto en que la función de seguridad del Triconex T3000 o Allen-Bradley ControlLogix se activa. El punto de activación debe estar dentro de ±1% del punto de ajuste especificado en el SRS.

Tercero, verifique la secuencia de reinicio. Después de la activación, reduzca la señal por debajo del umbral de reinicio. Confirme que la función de seguridad no se reinicie automáticamente sin una acción explícita de reinicio por parte del operador. La arquitectura de reinicio con enclavamiento es obligatoria para funciones SIL 2 según la cláusula 11.6.4 de la IEC 61511. Un bucle SIL 2 que se reinicia automáticamente falla la prueba de verificación independientemente de la precisión del punto de ajuste.

Finalmente, verifique el tiempo de respuesta. El tiempo de respuesta del bucle SIS desde el cambio en la entrada del sensor hasta el recorrido completo del elemento final no debe exceder el Tiempo de Seguridad de Proceso (PST) especificado en el SRS. Use un cronómetro o el registrador SOE del DCS con resolución de 1 ms. El tiempo de respuesta del módulo de salida digital Triconex TMR de 30 ms más el tiempo de escaneo de la tarea de seguridad de Allen-Bradley ControlLogix de 10 ms deja 1960 ms de presupuesto para el recorrido de la válvula en una aplicación con PST de 2 segundos.

Requisitos de Documentación y Auditoría IEC 61511

Cada prueba de verificación SIL genera tres documentos obligatorios: el Registro de Prueba de Bucle (LTR), el Certificado de Prueba de Verificación (PTC) y la actualización de la Evaluación de Seguridad Funcional (FSA). El LTR captura los valores "como se encontró" y "como se dejó", números de serie del equipo de prueba con certificados de calibración, nombre del probador y firma del testigo. El PTC confirma que la función de seguridad cumplió todos los criterios de aceptación o documenta no conformidades con planes de acción correctiva. La actualización del FSA recalcula el PFDavg usando la cobertura real de la prueba de verificación lograda.

Deficiencias comunes en auditorías incluyen: registros "como se encontró" faltantes (probador ajustó antes de registrar), uso de equipo de prueba con certificados de calibración vencidos (intervalo máximo de 12 meses), ausencia de firma de testigo para funciones SIL 2 y superiores, y no recalcular PFDavg después de la prueba. Cada uno de estos es una No Conformidad Mayor según los criterios de auditoría de seguridad funcional de TÜV Rheinland.

Implemente una lista de verificación previa a la prueba antes de iniciar cualquier prueba de verificación SIL. Confirme: calibración válida del equipo de prueba, MOC aprobado, permiso de bypass emitido, puntos de ajuste del SRS confirmados, LTR previo revisado para deficiencias conocidas. Cinco minutos de verificación previa evitan horas de remediación en auditorías.

Conclusión y Recomendaciones de Acción

Las pruebas de bucle de instrumentos SIL no son una formalidad. Son el mecanismo principal para detectar fallas latentes acumuladas desde la última prueba de verificación. Siga la secuencia de seis pasos de la prueba de bucle en frío para verificar la escala y la detección de ruptura de cable. Use la prueba de bucle en caliente para confirmar la activación de la función de seguridad en el punto de ajuste del SRS con una tolerancia de ±1%. Verifique el comportamiento de reinicio con enclavamiento y el tiempo de respuesta contra el presupuesto de Tiempo de Seguridad de Proceso.

En Allen-Bradley ControlLogix, use bits de bypass de seguridad, nunca forces. En Triconex T3000, use el Modo de Mantenimiento con entrada de permiso de trabajo con sello de tiempo. Capture datos "como se encontró" antes de cualquier ajuste. Emita Certificados de Prueba de Verificación con firma de ingeniero y documentación conforme a TÜV. Recalcule PFDavg después de cada ciclo de prueba de verificación. Las pruebas sistemáticas y documentadas de bucle SIL son la base de ingeniería que mantiene seguros tanto a las personas como a los activos del proceso.

Autor: Wang Jiaming es un ingeniero de automatización industrial con más de 10 años de experiencia en PLC, DCS y sistemas de control.