Integrazione Triconex e HIMA SIS: procedure di test di verifica che funzionano davvero sul campo

Perché il Test di Verifica è Indispensabile per SIL 2 e SIL 3

Il tasso di guasti pericolosi non rilevati (λDU) è ciò che i test di verifica sono progettati per affrontare. I controller Triconex utilizzano un’architettura di voto 2-su-3 (2oo3). I sistemi HIMA comunemente impiegano strutture quad-rideondanti. Entrambe le architetture condividono una vulnerabilità: un canale guasto non fa scattare immediatamente il sistema. Rimane silenzioso fino a quando un secondo canale non guasta sotto richiesta di processo.

La norma IEC 61511 impone intervalli di test di verifica che mantengano la probabilità target di guasto su richiesta (PFD). Per un loop SIL 3 con PFDavg di 1.0E-3, l’intervallo di test di verifica (PTI) deve essere ≤6 mesi utilizzando un fattore di copertura diagnostica (DC) del 99%. Le piattaforme Triconex con diagnostica standard tipicamente raggiungono DC ≥95%. La serie HIMatrix di HIMA può raggiungere DC fino al 98% con cicli di autotest estesi.

• PFDavg = λDU × MTBF/2 (semplificato per architetture 1oo2)
• Per 2oo3: PFDavg = 3(λDU × PTI)² / 2
• Obiettivo SIL 3: PFDavg deve rimanere sotto 1.0E-3

Procedura Passo-Passo per il Test di Verifica dei Sistemi Triconex Trident / TMRX

Il Modulo Sistema Tollerante ai Guasti Critico per la Sicurezza Invensys Triconex 9300 e il Modulo SIS Triconex 9100 sono le piattaforme principali per le procedure di test di verifica TMR descritte di seguito.

• Passo 1 — Verificare lo stato del sistema prima del test. Controllare i LED del processore principale Triconex. Verde = sistema sano. Ambra = degradato ma operativo. Rosso = guasto attivo. Registrare il log storico degli allarmi tramite il software TriStation 1131 (versione 5.0 o successiva consigliata). Esportare il log eventi in un file .tsd con timestamp per revisione offline.
• Passo 2 — Isolare la funzione di sicurezza senza attivare un blocco di processo. Mettere la valvola associata in modalità manuale tramite l’HMI. Verificare che l’indicatore di posizione valvola legga correttamente nel modulo I/O Triconex. Confermare che il canale di ingresso analogico (AI) legga tra 4,00 e 20,00 mA per un trasmettitore di pressione standard. Il Modulo di Ingresso Digitale Triconex 3503E deve essere verificato per lo stato corretto del canale in questa fase.
• Passo 3 — Iniettare un segnale di richiesta simulato. Usare un comunicatore HART (Emerson 475 o simile) per iniettare 4,00 mA (0% variabile di processo) e verificare che l’uscita digitale (DO) rimanga disattivata. Poi iniettare 20,00 mA (100% PV) e confermare che la DO si attivi entro il tempo di intervento configurato. Il tempo tipico di intervento per un controller Trident è 25–50 ms inclusa la scansione I/O. Verificare la risposta del Modulo di Uscita Digitale Triconex 3601E in questo passaggio.
• Passo 4 — Misurare la risposta dell’elemento finale. Per una valvola con attuatore pneumatico, cronometrare la corsa da 0% a 100% di apertura. Registrare il risultato. Confrontare con la baseline del FAT (Factory Acceptance Test). Qualsiasi deviazione >5% dalla baseline richiede un’indagine prima di ripristinare il servizio.

Test di Verifica HIMA HIMatrix: Differenze Critiche rispetto a Triconex

I sistemi HIMA utilizzano una filosofia di voto differente. I moduli F-IO HIMatrix supportano lo hot-swapping e l’isolamento online dei canali senza influire sulla funzione di sicurezza. Questo rappresenta un vantaggio operativo significativo rispetto alle configurazioni Triconex più datate.

La sequenza di test di verifica per HIMA segue la stessa struttura logica ma differisce negli strumenti. Gli ingegneri usano lo strumento di ingegneria HIMA Planar4 o F-System. L’isolamento del canale utilizza il fusibile integrato e la funzione di disabilitazione software (codice funzione 8000 nella logica F-LAD). Non affidarsi alla rimozione fisica del cablaggio durante un test di verifica in linea.

• Test funzionale: verificare che ogni funzione di sicurezza si attivi al suo setpoint ± tolleranza
• Ispezione visiva: controllare la serraggio dei terminali (coppia 0,5–0,8 Nm per terminali plug-in Phoenix Contact ST 4)
• Documentazione: compilare il registro del test di verifica secondo il formato IEC 61511-2, firmare e datare

Guasti Comuni nei Test di Verifica e Come Gestirli

• Guasto 1 — Il canale DO non si attiva durante il test. Questo indica tipicamente un fusibile bruciato sul modulo DO. Triconex utilizza blocchi terminali con fusibili esterni. Verificare con un multimetro in modalità test diodi. Il fusibile di ricambio deve corrispondere alla tensione nominale (250 V AC) e alla corrente (2 A a ritardo). Usare un tipo di fusibile errato crea un pericolo nascosto.
• Guasto 2 — L’ingresso analogico legge fuori range (tipicamente >21,0 mA). Questo indica un problema di alimentazione del loop o un trasmettitore guasto. Misurare la tensione del loop all’estremità del trasmettitore. Per un trasmettitore a 2 fili, la tensione minima di lavoro è 10,5 V DC a 20 mA. Se l’alimentazione è inferiore, il trasmettitore non può mantenere il segnale 4–20 mA.
• Guasto 3 — Il tempo di corsa della valvola supera la specifica. Cause comuni includono caduta di pressione dell’aria sotto 4,5 bar (65 psi), stelo valvola bloccato o guarnizioni dell’attuatore usurate. Per valvole critiche, eseguire un’ispezione completa dell’attuatore ogni 5 anni o 25.000 cicli, qualunque venga prima.

Conclusione e Consigli Operativi

Il test di verifica non è opzionale. È l’unico meccanismo che rileva guasti pericolosi non rilevati nelle architetture SIS ridondanti. Le piattaforme Triconex e HIMA sono entrambe altamente affidabili, ma richiedono procedure disciplinate di test di verifica per mantenere le loro certificazioni SIL. Gli ingegneri devono documentare ogni test, ogni deviazione e ogni azione correttiva.

Programmate il prossimo test di verifica entro 6 mesi per i loop SIL 3. Revisionate la cronologia degli allarmi Triconex prima di iniziare. Preparate un calibratore di loop calibrato (Fluke 707 o equivalente) e un comunicatore HART. Non saltate mai la misurazione del tempo di corsa della valvola. La soglia di deviazione del 5% non è arbitraria — è il confine tra una funzione di sicurezza funzionante e una potenzialmente guasta. Il Modulo di Comunicazione ad Alta Velocità Triconex 4354 supporta l’esportazione dati in tempo reale per la registrazione del test di verifica e la gestione dei file di verifica SIL.

Autore: Wang Lei è un ingegnere di automazione industriale con oltre 10 anni di esperienza in PLC, DCS e sistemi di controllo.