Test dowodowy ochrony przed nadciśnieniem SIL 2: HIMA HIMatrix F35 i Woodward ProTech TPS

Dlaczego testy dowodowe zabezpieczeń przed nadciśnieniem SIF nie przechodzą audytów

Zabezpieczenie przed nadciśnieniem jest najczęstszą Funkcją Instrumentalną Bezpieczeństwa (SIF) w zakładach procesowych. Jednak generuje najwięcej ustaleń audytowych. Inżynierowie testują przetwornik ciśnienia, ale pomijają weryfikację przekaźnika wyjściowego logiki sterującej. Rejestrują czas ruchu PST, ale nie siłę otwarcia. Wykonują test w 45 minut, ale pozostawiają trzy elementy bez dokumentacji. Audytorzy odrzucają zapis jako niekompletny.

Ten artykuł omawia pełny test dowodowy dla układu dwóch z trzech (2oo3) przetworników ciśnienia podłączonych do logicznego sterownika HIMA HIMatrix F35, z porównaniem do systemu zabezpieczenia przed nadmierną prędkością Woodward ProTech TPS. Oba systemy celują w SIL 2 z PFDavg między 1×10⁻³ a 1×10⁻².

Najpierw potwierdź założenie Pokrycia Testu Dowodowego (PTC) użyte w oryginalnym obliczeniu SIL. Większość obliczeń SIL zakłada 90% PTC dla pełnego testu dowodowego. Test częściowy (tylko PST, bez pełnego ruchu zaworu) osiąga tylko 50–60% PTC. Założenie 90% PTC przy faktycznym 60% PTC przesuwa funkcję SIL 2 do SIL 1 — co jest naruszeniem zgodności z konsekwencjami prawnymi.

Procedura testu dowodowego logicznego sterownika HIMA HIMatrix F35

HIMatrix F35 wykorzystuje architekturę I/O TMR (potrójnej modularnej redundancji). Każdy kanał AI odczytuje niezależnie i głosuje wewnętrznie. Test dowodowy weryfikuje wszystkie trzy ścieżki sygnału, nie tylko jeden kanał. Moduł analogowy F3 AIO 8/4 01 obsługuje wejścia przetwornika ciśnienia.

• Krok 1: Włącz tryb testu dowodowego HIMatrix SILworx za pomocą stacji inżynierskiej SILworx (wersja 6.4 lub nowsza). Przejdź do System → Safety → Proof Test Manager. Ustaw ID SIF dla docelowej funkcji zabezpieczenia przed nadciśnieniem.
• Krok 2: Wstrzyknij sygnał testowy 4,00 mA (reprezentujący 0% zakresu = 0 barg) na każdym zacisku wejściowym kanału AI za pomocą kalibratora pętli Fluke 707. Zweryfikuj, że HIMatrix odczytuje 0,0 barg ±0,2% na wszystkich trzech kanałach przez SILworx Online Monitor.
• Krok 3: Zwiększ wstrzyknięty sygnał do 20,0 mA (100% zakresu = ciśnienie pełnej skali). Zweryfikuj, że HIMatrix odczytuje pełną skalę ±0,2% na wszystkich trzech kanałach.
• Krok 4: Wstrzyknij sygnał trip na 21,0 mA (105% zakresu — symulując wysokie-wysokie przetwornika). Potwierdź, że logika HIMatrix generuje polecenie wyjścia bezpieczeństwa (SO) w ciągu 200 ms zgodnie z wymaganiami SRS.
• Krok 5: Zweryfikuj wyjście kanału DO na elektromagnesie zaworu ESD. Zmierz napięcie na zacisku elektromagnesu: potwierdź 0 VDC w ciągu 250 ms od aktywacji SO. Zaloguj znacznik czasu z dziennika zdarzeń SILworx.
• Krok 6: Przetestuj autodiagnostykę HIMatrix. Wymuś awarię pojedynczego kanału AI (odłącz wejście kanału 1). Zweryfikuj, że HIMatrix zgłasza alarm "Channel 1 Diagnostics Fault", ale NIE wyzwala SIF (2oo3 zdegradowane do 1oo2 głosowania — prawidłowe zachowanie). Podłącz ponownie i potwierdź przywrócenie kanału 1.
• Krok 7: Przetestuj funkcję obejścia. Aktywuj obejście konserwacyjne przez SILworx Bypass Manager. Zweryfikuj, że HIMatrix zgłasza alarm "SIF Bypassed" do DCS przez rejestr Modbus TCP 40010 bit 3. Obejście automatycznie się anuluje po 8 godzinach (konfigurowalne przez P_BYPASS_TIMEOUT).

Zapisz wszystkie znaczniki czasu, zmierzone wartości i wyniki zaliczenia/niezaliczenia w formularzu zapisu testu dowodowego. IEC 61511 Klauzula 16.2.5 wymaga: daty testu, tożsamości testera, metody testu, zmierzonego czasu reakcji, porównania z wymaganiem SRS oraz podpisu. Moduł F3 DIO 16/8 01 obsługuje kanały wyjściowe cyfrowe sterujące elektromagnesami zaworów ESD.

Częściowy test ruchu zaworu ESD i weryfikacja pełnego ruchu

Zawór ESD jest najbardziej podatnym na awarie elementem w SIF zabezpieczenia przed nadciśnieniem. Nieszczelność siedziska zaworu i awaria sprężyny siłownika są niewykrywalne bez fizycznego testu ruchu. Test częściowego ruchu (PST) wykrywa 50–70% niebezpiecznych, niewykrytych awarii. Test pełnego ruchu (FST) wykrywa ponad 90%.

Ustaw ruch PST na 15% pełnego ruchu dla zaworu normalnie otwartego z zabezpieczeniem awaryjnym. Ruch poniżej 10% pomija awarie z przyklejonym trzpieniem. Ruch powyżej 20% grozi zakłóceniem procesu w działającym procesie.

• Krok 1: Potwierdź, że proces toleruje 15% zamknięcie zaworu. Skonsultuj z operacjami. Wydaj pozwolenie na test.
• Krok 2: Rozpocznij PST z panelu DCS. Zaloguj czas rozpoczęcia w dzienniku zdarzeń SILworx.
• Krok 3: Monitoruj sprzężenie zwrotne ruchu zaworu (4–20 mA z pozycjonera). Zweryfikuj osiągnięcie 15% ruchu w ciągu 5 sekund. Zawór musi wrócić do 100% otwarcia w ciągu 10 sekund po zakończeniu PST.
• Krok 4: Zapisz ciśnienie zasilania PST przy siłowniku (minimum 5,5 barg dla siłownika ze sprężyną powrotną). Wartości poniżej 5,0 barg wskazują na opróżnianie akumulatora lub dryft regulatora zasilania.
• Krok 5: Dla FST (tylko podczas okna wyłączenia), całkowicie odłącz elektromagnes tripu. Zweryfikuj pełne zamknięcie w ciągu 3 sekund zgodnie z wymaganiem SRS. Zmierz nieszczelność siedziska metodą spadku ciśnienia upstream. Nieszczelność powyżej 0,1% przepływu nominalnego Cv oznacza niezaliczenie testu.

Sprawdzaj rezystancję cewki zaworu elektromagnetycznego przy każdym teście dowodowym. Standardowa cewka 24 VDC ma rezystancję 30–70 omów przy 20°C. Wartości poza tym zakresem wskazują na degradację cewki. Wymieniaj cewki elektromagnesów co 10 lat lub wcześniej, niezależnie od wyników testów elektrycznych.

Porównanie Woodward ProTech TPS: nadprędkość jako analog zabezpieczenia przed nadciśnieniem

Woodward ProTech TPS (potrójny przełącznik zbliżeniowy) chroni turbiny gazowe przed zdarzeniami nadprędkości. Architektura odzwierciedla SIF zabezpieczenia przed nadciśnieniem: trzy czujniki zasilają przekaźnik głosujący 2oo3. System Woodward 8200-205 Two-Out-Of-Three Overspeed Protection implementuje identyczną logikę głosowania.

ProTech TPS akceptuje magnetyczne czujniki zbliżeniowe (MPU) z nominalnym wyjściem 0,5–50 Vrms w całym zakresie prędkości. Ustaw punkt wyzwalania nadprędkości na 110% prędkości znamionowej. Punkt wyzwalania jest zapisywany w nieulotnej pamięci EEPROM. Udokumentuj wartość punktu i wersję oprogramowania w zapisie testu dowodowego.

• Wstrzyknij symulowany sygnał prędkości z testera prędkości Woodward ProTech na każde wejście MPU. Zwiększ częstotliwość do 110% odpowiednika prędkości znamionowej (np. 1200 Hz dla maszyny 3000 obr./min z kołem 24-zębowym).
• Zweryfikuj, że wyjście przekaźnika zanika w ciągu 50 ms (specyfikacja czasu reakcji).
• Przetestuj wszystkie trzy kanały MPU niezależnie. Zweryfikuj logikę 2oo3: pojedynczy kanał powyżej punktu wyzwalania generuje alarm, ale nie trip. Dwa kanały powyżej punktu wyzwalania generują trip.
• Zarejestruj stan styków przekaźnika (styk NC otwiera się przy tripie) za pomocą multimetru cyfrowego podczas testu.

Żywotność styków wyjściowych przekaźnika ProTech TPS wynosi 100 000 operacji. Sprawdź licznik operacji (Menu → Diagnostyka → Licznik przekaźnika). Wymieniaj moduły przekaźnikowe proaktywnie po 80 000 operacji. Awaria przekaźnika w systemie 2oo3 degraduje do głosowania 1oo2 i znacząco zmienia PFDavg.

Przeliczenie PFDavg i dokumentacja audytu

Po każdym teście dowodowym zaktualizuj obliczenie PFDavg. Ten krok jest obowiązkowy zgodnie z IEC 61511 Klauzula 16.2.5, ale jest najczęściej pomijany w praktyce.

Użyj uproszczonego wzoru IEC 61511 dla układu 2oo3 czujników:

PFDavg (2oo3) = λDU² × Ti²

Gdzie λDU = wskaźnik niebezpiecznych, niewykrytych awarii na godzinę (np. 5×10⁻⁸ /h dla przetwornika ciśnienia Rosemount 3051), a Ti = interwał testu dowodowego w godzinach. Dla interwału 12 miesięcy (8760 godzin): PFDavg = (5×10⁻⁸)² × (8760)² = 1,9×10⁻⁷. Dodaj PFDavg logicznego sterownika HIMatrix F35 (około 3×10⁻⁵) oraz PFDavg zaworu ESD (około 1×10⁻³ dla zaworu testowanego pełnym ruchem). Całkowite PFDavg SIF ≈ 1,03×10⁻³ — granicznie SIL 2.

Jeśli jakikolwiek test dowodowy wykazuje pokrycie testu poniżej 90%, lub jeśli PST zaworu nie powiodło się, a FST jest odłożone, przelicz z uwzględnieniem zmniejszonego współczynnika pokrycia. PFDavg powyżej 1×10⁻² wymaga natychmiastowych działań korygujących i powiadomienia organu ds. bezpieczeństwa procesowego.

Składuj kompletny pakiet testu dowodowego: numer rewizji procedury testowej, zapisy kalibracji „as-found” i „as-left” dla każdego przetwornika, eksport dziennika zdarzeń SILworx (PDF), zapisy PST i FST zaworu, arkusz przeliczenia PFDavg oraz podpisy testerów. Przechowuj dokumentację przez cały okres życia SIF plus minimum 5 lat.

Wnioski i zalecenia

Testy dowodowe zabezpieczeń przed nadciśnieniem SIL 2 nie przechodzą audytów z dwóch powodów: niepełne pokrycie wszystkich elementów SIF oraz brak przeliczenia PFDavg po teście. Kalibracja przetwornika bez weryfikacji wyjścia logicznego sterownika nie jest testem dowodowym — to kalibracja. Używaj HIMatrix SILworx Proof Test Manager, aby wymusić uporządkowaną sekwencję testów i generować automatyczny raport testu.

Dla zaworu ESD nigdy nie akceptuj samego PST jako zamiennika pełnego testu dowodowego. Zaplanuj FST podczas każdego planowanego wyłączenia — nieszczelność siedziska zaworu powyżej 0,1% przepływu nominalnego Cv to krytyczne ustalenie, którego PST nie wykryje. Dla zabezpieczenia nadprędkości ProTech TPS monitoruj licznik operacji styków przekaźnika i wymieniaj po 80 000 operacji. Utrzymuj całkowite PFDavg SIF poniżej 5×10⁻³, aby zachować 100% margines bezpieczeństwa w granicach SIL 2. Dokumentuj wszystko — zespół audytowy najpierw prosi o zapisy, a dopiero potem o sprzęt.