Prosedur Pengujian Loop Instrumen untuk Sistem Instrumentasi Keselamatan Bersertifikat SIL

Mengapa Tes Loop SIL Berbeda dari Pemeriksaan Komisioning Standar

Tes loop standar mengonfirmasi kontinuitas sinyal dan akurasi skala. Tes loop SIL melakukan semua itu plus memverifikasi bahwa fungsi keselamatan aktif pada nilai variabel proses yang benar, non-aktif dengan benar setelah reset, dan tidak meninggalkan kesalahan laten. IEC 61511 Klausul 16.2 mengharuskan pencatatan dokumentasi kondisi saat ditemukan (as-found) dan kondisi setelah pengujian (as-left) untuk setiap loop berperingkat SIL pada setiap interval uji bukti. Gagal mendokumentasikan data as-found sebelum penyesuaian membatalkan uji bukti untuk tujuan kepatuhan.

Untuk sistem Allen-Bradley ControlLogix 1756-L85E, buka Studio 5000 dan temukan Tugas Keselamatan. Pastikan tag logika fungsi keselamatan sesuai dengan SRS. Untuk sistem Triconex T3000, buka TriStation 1131 dan verifikasi jaringan logika yang mengimplementasikan fungsi protektif. Kedua sistem memerlukan bypass pemeliharaan sebelum intervensi fisik apa pun. Konfirmasikan interval uji bukti — loop SIL 2 biasanya memerlukan interval uji bukti 2 tahun berdasarkan perhitungan PFDavg. Jangan pernah memperpanjang interval tanpa varian terdokumentasi yang disetujui oleh insinyur keselamatan fungsional.

Prosedur Bypass dan Inhibit Pemeliharaan

• Langkah 1: Di Allen-Bradley ControlLogix, atur bit bypass keselamatan yang sesuai menggunakan mekanisme Permintaan Bypass Keselamatan di Studio 5000. Jangan gunakan force. Force tugas keselamatan melewati logika deteksi uji bukti CPU keselamatan. Bit bypass memicu alarm Bypass Keselamatan Aktif di historian.
• Langkah 2: Di Triconex T3000, buka TriStation 1131 dan aktifkan Mode Pemeliharaan untuk saluran yang diuji. Mode Pemeliharaan mengatur output saluran ke kondisi aman yang telah dikonfigurasi sebelumnya. LED panel depan Tricon CX untuk modul yang terkena berubah dari hijau menjadi kuning. Catat waktu mulai di sistem izin kerja.
• Langkah 3: Verifikasi bahwa logika voting tidak mengaktifkan trip palsu. Untuk fungsi voting 2oo3, satu saluran dalam pemeliharaan dapat diterima. Untuk fungsi 1oo1, aktivasi elemen akhir harus dipastikan terinhibisi pada tingkat aktuator katup sebelum melanjutkan.
• Langkah 4: Konfirmasikan bypass dengan operator ruang kontrol. Operator harus mengakui bypass pada face plate SCADA dan memasukkan ID pengguna mereka. Ini membuat jejak audit yang diwajibkan oleh IEC 61511 Klausul 11.9.

Tes Loop Dingin: Injeksi Sinyal dan Verifikasi Skala

Pengujian loop dingin menggunakan kalibrator proses untuk menyuntikkan sinyal tanpa cairan proses hidup. Untuk loop transmitter tekanan 4–20 mA, suntikkan 4.000 mA, 12.000 mA, dan 20.000 mA di kepala terminal transmitter. Catat hitungan mentah DCS pada setiap titik.

Untuk modul input analog Allen-Bradley ControlLogix 1756-IF16, rentang hitungan mentah yang diharapkan adalah 0–32767. Pada 4 mA, hitungan yang diharapkan adalah 0 ±20 hitungan (0,06% dari rentang). Pada 20 mA, hitungan yang diharapkan adalah 32767 ±20 hitungan. Offset lebih dari 50 hitungan memerlukan kalibrasi ulang modul menggunakan RSLogix 5000 Analog Input Calibration Wizard.

Untuk modul AI Triconex T3000, resolusi input analog adalah 16-bit. Pada 4 mA, saluran AI membaca 0x0000. Pada 20 mA, saluran membaca 0x7FFF. Deviasi lebih dari 0x0050 (80 hitungan) pada titik uji mana pun memerlukan penggantian modul AI — T3000 tidak mendukung kalibrasi ulang gain saluran AI di lapangan.

• Langkah 1: Hubungkan kalibrator proses paralel dengan kabel transmitter di kotak sambungan. Atur mode sumber ke 4.000 mA. Tunggu 5 detik agar DCS memperbarui. Catat nilai tampilan DCS dan hitungan mentah.
• Langkah 2: Tingkatkan ke 12.000 mA (50% dari rentang). Verifikasi tampilan DCS membaca 50% ±0,5% dari rentang satuan teknik. Catat nilai as-found.
• Langkah 3: Tingkatkan ke 20.000 mA (100% dari rentang). Verifikasi DCS membaca nilai skala penuh ±0,5%. Catat nilai as-found.
• Langkah 4: Suntikkan 3.600 mA. Verifikasi bahwa DCS mengeluarkan alarm “Low Wire Break” dalam 3 detik. Di Allen-Bradley ControlLogix, ambang batas putus kabel untuk AI 4–20 mA dapat dikonfigurasi pada 3,6 mA di properti modul Studio 5000.
• Langkah 5: Suntikkan 21.000 mA. Verifikasi bahwa DCS mengeluarkan alarm “High Over-Range” dalam 3 detik. Ambang batas over-range ControlLogix 1756-IF16 adalah 21,0 mA. Ambang batas over-range modul AI Triconex adalah 20,5 mA secara default.
• Langkah 6: Catat semua data as-found dalam lembar rekaman tes loop. Jika semua nilai dalam kriteria penerimaan, dokumentasikan sebagai “As-Found = As-Left.” Jika ada nilai yang menyimpang, lakukan penyesuaian dan uji ulang. Dokumentasikan nilai as-found dan as-left dengan tanda tangan insinyur.

Tes Loop Panas: Verifikasi Aktivasi Fungsi Keselamatan

Pengujian loop panas mengonfirmasi bahwa fungsi keselamatan aktif pada setpoint variabel proses yang benar. Tes ini menguji seluruh loop SIS dari sensor melalui pemecah logika hingga elemen akhir. Tes panas memerlukan kondisi proses hidup atau kondisi proses simulasi menggunakan sumber tekanan bersertifikat.

Pertama, pastikan elemen akhir (biasanya katup ESD) dalam kondisi aman sebelum memulai. Gunakan indikator umpan balik posisi aktuator untuk konfirmasi. Jangan lanjutkan jika umpan balik posisi katup berbeda lebih dari 5% dari perjalanan dengan sinyal perintah.

Kedua, perlahan tingkatkan sinyal injeksi menuju setpoint trip fungsi keselamatan. Untuk trip tekanan tinggi-tinggi yang disetel pada 95 barg, suntikkan sinyal mA setara secara bertahap: 18 mA (90%), 18,8 mA (94%), 19,0 mA (95%). Catat mA tepat saat fungsi keselamatan Triconex T3000 atau Allen-Bradley ControlLogix aktif. Titik aktivasi harus berada dalam ±1% dari setpoint yang ditentukan SRS.

Ketiga, verifikasi urutan reset. Setelah aktivasi, turunkan sinyal di bawah ambang reset. Pastikan fungsi keselamatan tidak melakukan reset otomatis tanpa tindakan reset eksplisit dari operator. Arsitektur latch-reset wajib untuk fungsi SIL 2 sesuai IEC 61511 Klausul 11.6.4. Loop SIL 2 yang reset sendiri gagal uji bukti terlepas dari akurasi setpoint.

Terakhir, verifikasi waktu respons. Waktu respons loop SIS dari perubahan input sensor hingga elemen akhir mencapai perjalanan penuh tidak boleh melebihi Waktu Keselamatan Proses (PST) yang ditentukan SRS. Gunakan stopwatch atau perekam SOE DCS dengan resolusi 1 ms. Waktu respons modul output digital Triconex TMR sebesar 30 ms ditambah waktu scan tugas keselamatan Allen-Bradley ControlLogix 10 ms menyisakan anggaran 1960 ms untuk perjalanan katup dalam aplikasi PST 2 detik.

Dokumentasi dan Persyaratan Audit IEC 61511

Setiap uji bukti SIL menghasilkan tiga dokumen wajib: Rekaman Tes Loop (LTR), Sertifikat Uji Bukti (PTC), dan pembaruan Penilaian Keselamatan Fungsional (FSA). LTR mencatat nilai as-found dan as-left, nomor seri peralatan uji dengan sertifikat kalibrasi, nama penguji, dan tanda tangan saksi. PTC mengonfirmasi bahwa fungsi keselamatan memenuhi semua kriteria penerimaan atau mendokumentasikan ketidaksesuaian dengan rencana tindakan korektif. Pembaruan FSA menghitung ulang PFDavg menggunakan cakupan uji bukti aktual yang dicapai.

Kekurangan audit umum meliputi: tidak adanya catatan as-found (penguji menyesuaikan sebelum pencatatan), penggunaan peralatan uji dengan sertifikat kalibrasi kedaluwarsa (interval maksimum 12 bulan), tidak ada tanda tangan saksi untuk fungsi SIL 2 ke atas, dan PFDavg tidak dihitung ulang setelah uji. Masing-masing merupakan Ketidaksesuaian Mayor menurut kriteria audit keselamatan fungsional TÜV Rheinland.

Gunakan daftar periksa pra-uji sebelum memulai uji bukti SIL apa pun. Konfirmasikan: kalibrasi peralatan uji valid, MOC disetujui, izin bypass diterbitkan, setpoint SRS dikonfirmasi, LTR sebelumnya ditinjau untuk kekurangan yang diketahui. Verifikasi pra-uji selama lima menit mencegah jam-jam perbaikan audit.

Kesimpulan dan Saran Tindakan

Tes loop instrumen SIL bukan sekadar formalitas. Mereka adalah mekanisme utama untuk mendeteksi kegagalan laten yang terakumulasi sejak uji bukti terakhir. Ikuti urutan enam langkah tes loop dingin untuk memverifikasi skala dan deteksi putus kabel. Gunakan tes loop panas untuk mengonfirmasi aktivasi fungsi keselamatan pada setpoint SRS dalam toleransi ±1%. Verifikasi perilaku latch-reset dan waktu respons terhadap anggaran Waktu Keselamatan Proses.

Di Allen-Bradley ControlLogix, gunakan bit bypass keselamatan, jangan pernah menggunakan force. Di Triconex T3000, gunakan Mode Pemeliharaan dengan entri izin kerja bertanda waktu. Tangkap data as-found sebelum penyesuaian apa pun. Terbitkan Sertifikat Uji Bukti dengan tanda tangan insinyur dan dokumentasi sesuai TÜV. Hitung ulang PFDavg setelah setiap siklus uji bukti. Pengujian loop SIL yang sistematis dan terdokumentasi adalah dasar rekayasa yang menjaga keselamatan orang dan aset proses.

Penulis: Wang Jiaming adalah insinyur otomasi industri dengan pengalaman lebih dari 10 tahun di PLC, DCS, dan sistem kontrol.