Prueba de Verificación SIL 2 de Protección contra Sobrepresión: HIMA HIMatrix F35 y Woodward ProTech TPS

Por qué las pruebas de verificación de sobrepresión en SIF fallan en las auditorías

La protección contra sobrepresión es la Función Instrumentada de Seguridad (SIF) más común en plantas de proceso. Sin embargo, genera la mayoría de los hallazgos en auditorías. Los ingenieros prueban el transmisor de presión pero omiten la verificación del relé de salida del solucionador lógico. Registran el tiempo de recorrido de la prueba parcial (PST) pero no la fuerza de apertura. Completa la prueba en 45 minutos pero dejan tres elementos sin documentar. Los auditores rechazan el registro por estar incompleto.

Este artículo cubre la prueba completa para una configuración de transmisores de presión dos de tres (2oo3) que alimentan un solucionador lógico HIMA HIMatrix F35, con una comparación del sistema de protección contra sobrevelocidad Woodward ProTech TPS. Ambos sistemas apuntan a SIL 2 con PFDavg entre 1×10⁻³ y 1×10⁻².

Primero, confirme la suposición de Cobertura de Prueba de Verificación (PTC) usada en el cálculo SIL original. La mayoría de los cálculos SIL asumen 90% de PTC para una prueba completa. Una prueba parcial (solo PST, sin recorrido completo de válvula) logra solo 50–60% de PTC. Una suposición de 90% PTC con un PTC real del 60% reduce una función SIL 2 a SIL 1 — una violación de cumplimiento con implicaciones legales.

Procedimiento de prueba de verificación del solucionador lógico HIMA HIMatrix F35

El HIMatrix F35 utiliza una arquitectura TMR (Triple Modular Redundante) de entradas/salidas. Cada canal AI lee de forma independiente y vota internamente. La prueba verifica las tres rutas de señal, no solo un canal. El módulo analógico F3 AIO 8/4 01 maneja las entradas del transmisor de presión.

• Paso 1: Active el Modo de Prueba de Verificación HIMatrix SILworx desde la estación de ingeniería SILworx (versión 6.4 o superior). Navegue a Sistema → Seguridad → Gestor de Pruebas de Verificación. Configure el ID SIF para la función de sobrepresión objetivo.
• Paso 2: Inyecte una señal de prueba de 4.00 mA (representando 0% del rango = 0 barg) en cada terminal de entrada AI usando un calibrador de bucle Fluke 707. Verifique que HIMatrix lea 0.0 barg ±0.2% en los tres canales mediante el Monitor en Línea SILworx.
• Paso 3: Aumente la señal inyectada a 20.0 mA (100% del rango = presión a escala completa). Verifique que HIMatrix lea la presión a escala completa ±0.2% en los tres canales.
• Paso 4: Inyecte una señal de disparo a 21.0 mA (105% del rango — simulando alta-alta del transmisor). Confirme que la lógica HIMatrix produzca una orden de salida de seguridad (SO) en menos de 200 ms según el requisito SRS.
• Paso 5: Verifique la salida del canal DO en el solenoide de la válvula ESD. Mida el voltaje en el terminal del solenoide: confirme 0 VDC dentro de 250 ms tras la activación de SO. Registre la marca de tiempo del registro de eventos SILworx.
• Paso 6: Pruebe la autodiagnosis de HIMatrix. Fuerce la falla de un canal AI desconectando la entrada del canal 1. Verifique que HIMatrix active la alarma "Falla de Diagnóstico Canal 1" pero NO dispare la SIF (votación 2oo3 degradada a 1oo2 — comportamiento correcto). Reconecte y verifique que el canal 1 se restaure.
• Paso 7: Pruebe la función de bypass. Active el bypass de mantenimiento mediante el Gestor de Bypass SILworx. Verifique que HIMatrix active la alarma "SIF en Bypass" al DCS vía el registro de retención Modbus TCP 40010 bit 3. El bypass se cancela automáticamente tras 8 horas (configurable vía P_BYPASS_TIMEOUT).

Registre todas las marcas de tiempo, valores medidos y resultados de aprobación/rechazo en el formulario de Registro de Prueba de Verificación. La cláusula 16.2.5 de IEC 61511 requiere: fecha de prueba, identidad del probador, método de prueba, tiempo de respuesta medido, comparación con el requisito SRS y firma. El módulo F3 DIO 16/8 01 maneja los canales de salida digital que accionan los solenoides de la válvula ESD.

Prueba parcial de recorrido y verificación de recorrido completo de la válvula ESD

La válvula ESD es el elemento con mayor probabilidad de falla en una SIF de sobrepresión. Las fugas en el asiento de la válvula y la falla del resorte del actuador son indetectables sin una prueba física de recorrido. La prueba parcial de recorrido (PST) detecta entre 50 y 70% de fallas peligrosas no detectadas. La prueba de recorrido completo (FST) detecta más del 90%.

Configure el recorrido PST al 15% del recorrido total para una válvula normalmente abierta y a prueba de fallos. Un recorrido menor al 10% no detecta fallas por vástago pegajoso. Un recorrido mayor al 20% puede causar perturbaciones en un proceso en operación.

• Paso 1: Confirme que el proceso puede tolerar un cierre del 15% de la válvula. Coordine con operaciones. Emita un permiso para la prueba.
• Paso 2: Inicie la PST desde la pantalla del DCS. Registre la hora de inicio en el registro de eventos SILworx.
• Paso 3: Monitoree la retroalimentación del recorrido de la válvula (4–20 mA desde el posicionador). Verifique que se alcance el 15% de recorrido en menos de 5 segundos. La válvula debe regresar al 100% abierta en menos de 10 segundos tras completar la PST.
• Paso 4: Registre la presión de suministro en el actuador durante la PST (mínimo 5.5 barg para actuador con retorno por resorte). Valores por debajo de 5.0 barg indican drenaje del acumulador o deriva del regulador de suministro.
• Paso 5: Para la FST (solo en ventana de paro), desenergice completamente el solenoide de disparo. Verifique el cierre total en menos de 3 segundos según el requisito SRS. Mida la fuga en el asiento usando el método de caída de presión aguas arriba. Una fuga superior al 0.1% del flujo nominal Cv falla la prueba.

Verifique la resistencia de la bobina del solenoide en cada prueba de verificación. Una bobina estándar de 24 VDC debe medir entre 30 y 70 ohmios a 20°C. Valores fuera de este rango indican degradación de la bobina. Reemplace las bobinas de solenoide cada 10 años o antes, independientemente de los resultados eléctricos.

Comparación Woodward ProTech TPS: Sobrevelocidad como análogo de sobrepresión

Woodward ProTech TPS (Triple Interruptor de Proximidad) protege turbinas de gas contra eventos de sobrevelocidad. La arquitectura es similar a la SIF de sobrepresión: tres sensores alimentan un relé con votación 2oo3. El sistema Woodward 8200-205 Protección Electrónica Dos de Tres para Sobrevelocidad implementa la misma lógica de votación.

El ProTech TPS acepta sensores de proximidad magnética (MPU) con salida nominal de 0.5–50 Vrms en todo el rango de velocidad. Configure el punto de disparo de sobrevelocidad al 110% de la velocidad nominal. El punto de disparo se almacena en EEPROM no volátil. Documente el valor del punto de disparo y la versión del firmware en el registro de prueba de verificación.

• Inyecte una señal simulada de velocidad desde un Probador de Velocidad Woodward ProTech en cada entrada MPU. Aumente la frecuencia al equivalente del 110% de la velocidad nominal (por ejemplo, 1200 Hz para una máquina de 3000 RPM con rueda de 24 dientes).
• Verifique que la salida del relé caiga en menos de 50 ms (especificación de tiempo de respuesta).
• Pruebe los tres canales MPU independientemente. Verifique la lógica 2oo3: un canal por encima del punto de disparo produce alarma pero no disparo. Dos canales por encima producen disparo.
• Registre el estado del contacto del relé (el contacto NC se abre al disparo) con un multímetro digital durante la prueba.

La vida útil del contacto de salida del relé ProTech TPS está clasificada en 100,000 operaciones. Verifique el contador de operaciones (Menú → Diagnósticos → Conteo de Relé). Reemplace los módulos de relé proactivamente a las 80,000 operaciones. Una falla de relé en un sistema 2oo3 degrada la votación a 1oo2 y cambia significativamente el PFDavg.

Recalculo de PFDavg y documentación para auditoría

Después de cada prueba de verificación, actualice el cálculo de PFDavg. Este paso es obligatorio según la cláusula 16.2.5 de IEC 61511 pero es el más frecuentemente omitido en campo.

Use la fórmula simplificada IEC 61511 para una configuración de sensores 2oo3:

PFDavg (2oo3) = λDU² × Ti²

Donde λDU = tasa de fallas peligrosas no detectadas por hora (por ejemplo, 5×10⁻⁸ /hr para un transmisor de presión Rosemount 3051) y Ti = intervalo de prueba de verificación en horas. Para un intervalo de 12 meses (8,760 horas): PFDavg = (5×10⁻⁸)² × (8760)² = 1.9×10⁻⁷. Sume el PFDavg del solucionador lógico HIMatrix F35 (aproximadamente 3×10⁻⁵) y el PFDavg de la válvula ESD (aproximadamente 1×10⁻³ para válvula con prueba de recorrido completo). PFDavg total de la SIF ≈ 1.03×10⁻³ — límite inferior de SIL 2.

Si alguna prueba de verificación revela una cobertura menor al 90%, o si la PST de la válvula falla y se pospone la FST, recalcule con el factor de cobertura reducido. Un PFDavg superior a 1×10⁻² requiere acción correctiva inmediata y notificación a la autoridad de seguridad de procesos.

Compile el paquete completo de prueba de verificación: número de revisión del procedimiento, registros de calibración as-found y as-left para cada transmisor, exportación del registro de eventos SILworx (PDF), registros de PST y FST de válvula, hoja de recálculo de PFDavg y firmas de los probadores. Conserve los registros durante la vida útil de la SIF más un mínimo de 5 años.

Conclusión y recomendaciones de acción

Las pruebas de verificación de sobrepresión SIL 2 fallan auditorías por dos razones: cobertura incompleta de todos los elementos SIF y falta de recálculo de PFDavg tras la prueba. Una calibración del transmisor sin verificación de la salida del solucionador lógico no es una prueba de verificación — es una calibración. Use el Gestor de Pruebas de Verificación HIMatrix SILworx para aplicar una secuencia estructurada y generar un informe automático.

Para la válvula ESD, nunca acepte solo la PST como sustituto de la prueba completa. Programe la FST en cada paro planificado — una fuga en el asiento de válvula superior al 0.1% del flujo nominal Cv es un hallazgo crítico que la PST no detecta. Para la protección contra sobrevelocidad ProTech TPS, monitoree el conteo de operaciones del contacto del relé y reemplace a las 80,000 operaciones. Mantenga el PFDavg total de la SIF por debajo de 5×10⁻³ para conservar un margen de seguridad del 100% dentro de los límites SIL 2. Documente todo — el equipo auditor solicita primero los registros y luego el hardware.