Teste de Verificação de Proteção contra Sobrepressão SIL 2: HIMA HIMatrix F35 e Woodward ProTech TPS

Por que os Testes de Prova de Sobrepressão em SIF Falham nas Auditorias

A proteção contra sobrepressão é a Função Instrumentada de Segurança (SIF) mais comum em plantas de processo. No entanto, ela gera o maior número de não conformidades em auditorias. Os engenheiros testam o transmissor de pressão, mas pulam a verificação do relé de saída do solucionador lógico. Registram o tempo de deslocamento do PST, mas não a força de abertura. Concluem o teste em 45 minutos, mas deixam três itens sem documentação. Os auditores rejeitam o registro por estar incompleto.

Este artigo aborda o teste de prova completo para um arranjo de transmissor de pressão dois de três (2oo3) alimentando um solucionador lógico HIMA HIMatrix F35, com uma comparação do sistema de proteção contra sobrerrotação Woodward ProTech TPS. Ambos os sistemas têm como alvo SIL 2 com PFDavg entre 1×10⁻³ e 1×10⁻².

Primeiro, confirme a suposição de Cobertura do Teste de Prova (PTC) usada no cálculo original do SIL. A maioria dos cálculos SIL assume 90% de PTC para um teste de prova completo. Um teste parcial (apenas PST, sem curso total da válvula) alcança apenas 50–60% de PTC. Uma suposição de 90% de PTC com 60% de PTC real desloca uma função SIL 2 para SIL 1 — uma violação de conformidade com implicações legais.

Procedimento de Teste de Prova do Solucionador Lógico HIMA HIMatrix F35

O HIMatrix F35 utiliza uma arquitetura TMR (Triple Modular Redundant) de E/S. Cada canal AI lê independentemente e vota internamente. O teste de prova verifica todos os três caminhos de sinal, não apenas um canal. O módulo analógico de E/S F3 AIO 8/4 01 gerencia as entradas do transmissor de pressão.

• Passo 1: Ative o Modo de Teste de Prova HIMatrix SILworx via a estação de engenharia SILworx (versão 6.4 ou superior). Navegue até Sistema → Segurança → Gerenciador de Teste de Prova. Defina o ID da SIF para a função de sobrepressão alvo.
• Passo 2: Injete um sinal de teste de 4,00 mA (representando 0% da faixa = 0 barg) em cada terminal de entrada do canal AI usando um calibrador de loop Fluke 707. Verifique se o HIMatrix lê 0,0 barg ±0,2% em todos os três canais via Monitor Online SILworx.
• Passo 3: Aumente o sinal injetado para 20,0 mA (100% da faixa = pressão em escala total). Verifique se o HIMatrix lê a pressão em escala total ±0,2% em todos os três canais.
• Passo 4: Injete um sinal de disparo em 21,0 mA (105% da faixa — simulando transmissor high-high). Confirme que a lógica HIMatrix produz um comando de acionamento de Saída de Segurança (SO) dentro de 200 ms conforme requisito do SRS.
• Passo 5: Verifique a saída do canal DO no solenóide da válvula ESD. Meça a tensão no terminal do solenóide: confirme 0 VCC dentro de 250 ms da ativação do SO. Registre o carimbo de data/hora no log de eventos SILworx.
• Passo 6: Teste a autodiagnóstico do HIMatrix. Force a falha de um único canal AI (desconecte a entrada do canal 1). Verifique se o HIMatrix gera um alarme "Falha de Diagnóstico do Canal 1" mas NÃO dispara a SIF (votação 2oo3 degradada para 1oo2 — comportamento correto). Reconecte e verifique se o canal 1 é restaurado.
• Passo 7: Teste a função de bypass. Ative o bypass de manutenção via Gerenciador de Bypass SILworx. Verifique se o HIMatrix gera o alarme "SIF Bypassed" para o DCS via registrador de retenção Modbus TCP 40010 bit 3. O bypass cancela automaticamente após 8 horas (configurável via P_BYPASS_TIMEOUT).

Registre todos os carimbos de data/hora, valores medidos e resultados de aprovação/reprovação no formulário de Registro do Teste de Prova. A cláusula 16.2.5 da IEC 61511 exige: data do teste, identidade do testador, método de teste, tempo de resposta medido, comparação com o requisito do SRS e assinatura. O módulo F3 DIO 16/8 01 gerencia os canais de saída digital que acionam os solenóides das válvulas ESD.

Teste de Curso Parcial da Válvula ESD e Verificação do Curso Total

A válvula ESD é o elemento com maior propensão a falhas em uma SIF de sobrepressão. Vazamento no assento da válvula e falha da mola do atuador são indetectáveis sem um teste físico de curso. O Teste de Curso Parcial (PST) detecta 50–70% das falhas perigosas não detectadas. O Teste de Curso Total (FST) detecta mais de 90%.

Configure o deslocamento do PST para 15% do curso total para uma válvula fail-safe normalmente aberta. Deslocamento abaixo de 10% perde falhas de haste presa. Deslocamento acima de 20% pode causar perturbação no processo em operação.

• Passo 1: Confirme que o processo pode tolerar um fechamento de válvula de 15%. Coordene com operações. Emita uma permissão para teste.
• Passo 2: Inicie o PST a partir da faceplate do DCS. Registre o horário de início no log de eventos SILworx.
• Passo 3: Monitore o feedback do deslocamento da válvula (4–20 mA do posicionador). Verifique se o deslocamento de 15% é alcançado em até 5 segundos. A válvula deve retornar a 100% aberta em até 10 segundos após a conclusão do PST.
• Passo 4: Registre a pressão de alimentação do PST no atuador (mínimo 5,5 barg para atuador com retorno por mola). Valores abaixo de 5,0 barg indicam drenagem do acumulador ou desvio do regulador de alimentação.
• Passo 5: Para o FST (somente janela de desligamento), desenergize completamente o solenóide de disparo. Verifique o fechamento total em até 3 segundos conforme requisito do SRS. Meça o vazamento do assento usando o método de taxa de queda de pressão a montante. Vazamento acima de 0,1% do fluxo nominal Cv reprova o teste.

Verifique a resistência da bobina da válvula solenóide em cada teste de prova. Uma bobina padrão de solenóide 24 VCC apresenta resistência entre 30–70 ohms a 20°C. Valores fora dessa faixa indicam degradação da bobina. Substitua as bobinas dos solenóides a cada 10 anos ou antes, independentemente dos resultados do teste elétrico.

Comparação Woodward ProTech TPS: Sobrerrotação como Análogo de Sobrepressão

Woodward ProTech TPS (Interruptor de Proximidade Triplo) protege turbinas a gás contra eventos de sobrerrotação. A arquitetura espelha a SIF de sobrepressão: três sensores alimentam um relé de votação 2oo3. O sistema Woodward 8200-205 Proteção Eletrônica Dois de Três contra Sobrerrotação implementa lógica de votação idêntica.

O ProTech TPS aceita sensores de proximidade magnética (MPU) com saída nominal de 0,5–50 Vrms na faixa de velocidade. Configure o ponto de disparo de sobrerrotação em 110% da velocidade nominal. O ponto de disparo é armazenado em EEPROM não volátil. Documente o valor do ponto de disparo e a versão do firmware no registro do teste de prova.

• Injete um sinal de velocidade simulado de um Testador de Velocidade Woodward ProTech em cada entrada MPU. Aumente a frequência para o equivalente a 110% da velocidade nominal (ex.: 1200 Hz para uma máquina de 3000 RPM com roda de 24 dentes).
• Verifique se a saída do relé cai em até 50 ms (especificação de tempo de resposta).
• Teste os três canais MPU independentemente. Verifique a lógica 2oo3: um canal acima do ponto de disparo gera alarme, mas não disparo. Dois canais acima do ponto de disparo geram disparo.
• Registre o estado do contato do relé (contato NC abre no disparo) com um multímetro digital durante o teste.

A vida útil do contato de saída do relé ProTech TPS é de 100.000 operações. Verifique o contador de operações (Menu → Diagnósticos → Contagem do Relé). Substitua os módulos de relé preventivamente aos 80.000 ciclos. Uma falha de relé em sistema 2oo3 degrada a votação para 1oo2 e altera significativamente o PFDavg.

Recalculo do PFDavg e Documentação da Auditoria

Após cada teste de prova, atualize o cálculo do PFDavg. Esta etapa é obrigatória conforme cláusula 16.2.5 da IEC 61511, mas é a mais frequentemente ignorada no campo.

Use a fórmula simplificada da IEC 61511 para arranjo de sensor 2oo3:

PFDavg (2oo3) = λDU² × Ti²

Onde λDU = taxa de falha perigosa não detectada por hora (ex.: 5×10⁻⁸ /h para transmissor de pressão Rosemount 3051) e Ti = intervalo do teste de prova em horas. Para intervalo de 12 meses (8.760 horas): PFDavg = (5×10⁻⁸)² × (8760)² = 1,9×10⁻⁷. Adicione o PFDavg do solucionador lógico HIMatrix F35 (aproximadamente 3×10⁻⁵) e o PFDavg da válvula ESD (aproximadamente 1×10⁻³ para válvula testada em curso total). PFDavg total da SIF ≈ 1,03×10⁻³ — limite do SIL 2.

Se algum teste de prova revelar cobertura inferior a 90%, ou se o PST da válvula falhar e o FST for adiado, recalcule com o fator de cobertura reduzido. Um PFDavg acima de 1×10⁻² exige ação corretiva imediata e notificação à autoridade de segurança de processo.

Compile o pacote completo do teste de prova: número da revisão do procedimento de teste, registros de calibração as-found e as-left para cada transmissor, exportação do log de eventos SILworx (PDF), registros do PST e FST da válvula, planilha de recálculo do PFDavg e assinaturas dos testadores. Mantenha os registros durante a vida útil da SIF mais no mínimo 5 anos.

Conclusão e Recomendações de Ação

Testes de prova de sobrepressão SIL 2 falham em auditorias por duas razões: cobertura incompleta de todos os elementos da SIF e falta de recálculo do PFDavg após o teste. Uma calibração do transmissor sem verificação da saída do solucionador lógico não é um teste de prova — é uma calibração. Use o Gerenciador de Teste de Prova HIMatrix SILworx para garantir uma sequência estruturada de testes e gerar um relatório automático.

Para a válvula ESD, nunca aceite apenas o PST como substituto do teste de prova completo. Agende o FST em cada parada planejada — vazamento no assento da válvula acima de 0,1% do fluxo nominal Cv é uma não conformidade crítica que o PST não detecta. Para a proteção contra sobrerrotação ProTech TPS, monitore a contagem de operações do contato do relé e substitua aos 80.000 ciclos. Mantenha o PFDavg total da SIF abaixo de 5×10⁻³ para garantir margem de segurança de 100% dentro dos limites do SIL 2. Documente tudo — a equipe de auditoria pede registros primeiro e hardware depois.