Integración de Triconex y HIMA SIS: Procedimientos de prueba de verificación que realmente funcionan en el campo

Por qué la prueba de verificación es innegociable para SIL 2 y SIL 3

La tasa de fallos peligrosos no detectados (λDU) es lo que las pruebas de verificación están diseñadas para abordar. Los controladores Triconex utilizan una arquitectura de votación 2 de 3 (2oo3). Los sistemas HIMA comúnmente usan estructuras cuádruples redundantes. Ambas arquitecturas comparten una vulnerabilidad: un canal fallido no activa el sistema inmediatamente. Espera silenciosamente hasta que un segundo canal falle bajo demanda del proceso.

La norma IEC 61511 exige intervalos de prueba de verificación que mantengan la probabilidad objetivo de fallo bajo demanda (PFD). Para un lazo SIL 3 con PFDavg de 1.0E-3, el intervalo de prueba de verificación (PTI) debe ser ≤6 meses usando un factor de cobertura diagnóstica (DC) del 99%. Las plataformas Triconex con diagnósticos estándar típicamente alcanzan DC ≥95%. La serie HIMatrix de HIMA puede alcanzar DC hasta 98% con ciclos extendidos de auto-prueba.

• PFDavg = λDU × MTBF/2 (simplificado para arquitecturas 1oo2)
• Para 2oo3: PFDavg = 3(λDU × PTI)² / 2
• Objetivo SIL 3: PFDavg debe mantenerse por debajo de 1.0E-3

Procedimiento paso a paso para la prueba de verificación en sistemas Triconex Trident / TMRX

El Módulo del Sistema Tolerante a Fallos Críticos de Seguridad Invensys Triconex 9300 y el Módulo SIS Triconex 9100 son las plataformas principales para los procedimientos de prueba de verificación TMR descritos a continuación.

• Paso 1 — Verificar el estado del sistema antes de la prueba. Revise los LEDs del procesador principal Triconex. Verde = saludable. Ámbar = degradado pero operativo. Rojo = fallo activo. Registre el historial de alarmas mediante el software TriStation 1131 (se recomienda versión 5.0 o superior). Exporte el registro de eventos a un archivo .tsd con marca de tiempo para revisión offline.
• Paso 2 — Aislar la función de seguridad sin activar una parada del proceso. Ponga la válvula asociada en modo manual a través del HMI. Verifique que el indicador de posición de la válvula se lea correctamente en el módulo I/O Triconex. Confirme que el canal de entrada analógica (AI) lea dentro de 4.00–20.00 mA para un transmisor de presión estándar. El Módulo de Entrada Digital Triconex 3503E debe verificarse para el estado correcto del canal en esta etapa.
• Paso 3 — Inyectar una señal de demanda simulada. Use un comunicador HART (Emerson 475 o similar) para inyectar 4.00 mA (0% variable de proceso) y verifique que la salida digital (DO) permanezca desenergizada. Luego inyecte 20.00 mA (100% PV) y confirme que la DO se energice dentro del tiempo de disparo configurado. El tiempo típico de disparo para un controlador Trident es de 25–50 ms incluyendo el escaneo I/O. Verifique la respuesta del Módulo de Salida Digital Triconex 3601E en este paso.
• Paso 4 — Medir la respuesta del elemento final. Para una válvula con actuador neumático, cronometre el recorrido desde 0% hasta 100%. Registre el resultado. Compare con la línea base del FAT (Prueba de Aceptación en Fábrica). Cualquier desviación >5% respecto a la línea base requiere investigación antes de restaurar el servicio.

Prueba de verificación HIMA HIMatrix: diferencias críticas con Triconex

Los sistemas HIMA usan una filosofía de votación diferente. Los módulos F-IO HIMatrix soportan intercambio en caliente y aislamiento de canal en línea sin afectar la función de seguridad. Esto es una ventaja operativa significativa sobre configuraciones Triconex más antiguas.

La secuencia de prueba de verificación para HIMA sigue la misma estructura lógica pero difiere en las herramientas. Los ingenieros usan la herramienta de ingeniería HIMA Planar4 o F-System. El aislamiento de canal utiliza el fusible incorporado y la función de desactivación por software (código de función 8000 en la lógica F-LAD). No confíe en la remoción física del cableado durante una prueba de verificación en vivo.

• Prueba funcional: verificar que cada función de seguridad se active en su punto de ajuste ± tolerancia
• Inspección visual: revisar el apriete de terminales (torque 0.5–0.8 Nm para terminales enchufables Phoenix Contact ST 4)
• Documentación: completar el registro de prueba de verificación según formato IEC 61511-2, firmar y fechar

Fallas comunes en pruebas de verificación y cómo manejarlas

• Falla 1 — El canal DO no se energiza durante la prueba. Esto típicamente indica un fusible fundido en el módulo DO. Triconex usa bloques terminales con fusibles externos. Verifique con un multímetro en modo prueba de diodos. El fusible de reemplazo debe coincidir con el voltaje nominal (250 V CA) y corriente (2 A retardo). Usar un tipo de fusible incorrecto crea un riesgo oculto.
• Falla 2 — La entrada analógica muestra lectura fuera de rango (típicamente >21.0 mA). Esto indica un problema en la fuente de alimentación del lazo o un transmisor defectuoso. Mida el voltaje del lazo en el extremo del transmisor. Para un transmisor de 2 hilos, el voltaje mínimo de trabajo es 10.5 V CC a 20 mA. Si la alimentación está por debajo, el transmisor no puede mantener la señal 4–20 mA.
• Falla 3 — El tiempo de carrera de la válvula excede la especificación. Causas comunes incluyen caída de presión de aire por debajo de 4.5 bar (65 psi), vástago de válvula atascado o sellos del actuador desgastados. Para válvulas críticas, realice una inspección completa del actuador cada 5 años o 25,000 ciclos, lo que ocurra primero.

Conclusión y recomendaciones de acción

La prueba de verificación no es opcional. Es el único mecanismo que detecta fallos peligrosos no detectados en arquitecturas SIS redundantes. Las plataformas Triconex y HIMA son altamente confiables, pero requieren procedimientos disciplinados de prueba de verificación para mantener sus certificaciones SIL. Los ingenieros deben documentar cada prueba, cada desviación y cada acción correctiva.

Programe su próxima prueba de verificación dentro de 6 meses para lazos SIL 3. Revise el historial de alarmas Triconex antes de comenzar. Prepare un calibrador de lazo calibrado (Fluke 707 o equivalente) y un comunicador HART. Nunca omita la medición del tiempo de carrera de la válvula. El umbral de desviación del 5% no es arbitrario — es el límite entre una función de seguridad funcional y una potencialmente fallida. El Módulo de Comunicación de Alta Velocidad Triconex 4354 soporta exportación de datos en tiempo real para registro de pruebas y gestión de archivos de verificación SIL.

Autor: Wang Lei es un ingeniero de automatización industrial con más de 10 años de experiencia en PLC, DCS y sistemas de control.