Testy sprawdzające stanowią integralną część utrzymania integralności bezpieczeństwa naszych przyrządowych systemów bezpieczeństwa (SIS) i systemów związanych z bezpieczeństwem (np. alarmów krytycznych, systemów przeciwpożarowych i gazowych, przyrządowych systemów blokad itp.). Test sprawdzający to okresowy test mający na celu wykrycie niebezpiecznych awarii, sprawdzenie funkcjonalności związanej z bezpieczeństwem (np. resetowanie, obejścia, alarmy, diagnostyka, ręczne wyłączenie itp.) i upewnienie się, że system spełnia standardy firmowe i zewnętrzne. Wyniki testów sprawdzających są także miarą skuteczności programu integralności mechanicznej SIS i niezawodności systemu w terenie.
Procedury testów sprawdzających obejmują etapy testów, od uzyskania pozwoleń, zgłoszeń i wycofania systemu z eksploatacji w celu przeprowadzenia testów, po zapewnienie kompleksowych testów, udokumentowanie testu sprawdzającego i jego wyników, ponowne uruchomienie systemu oraz ocenę bieżących wyników testów i poprzedniego dowodu wyniki testów.
ANSI/ISA/IEC 61511-1, rozdział 16, dotyczy testów sprawdzających SIS. Raport techniczny ISA TR84.00.03 – „Integralność mechaniczna oprzyrządowanych systemów bezpieczeństwa (SIS)” obejmuje testy sprawdzające i jest obecnie w trakcie przeglądu, a nowa wersja ma się wkrótce ukazać. Raport techniczny ISA TR96.05.02 – „Testowanie zaworów automatycznych na miejscu” jest obecnie w fazie opracowywania.
Brytyjski raport HSE CRR 428/2002 – „Zasady testów sprawdzających przyrządowych systemów bezpieczeństwa w przemyśle chemicznym” zawiera informacje na temat testów sprawdzających i działań firm w Wielkiej Brytanii.
Procedura testu sprawdzającego opiera się na analizie znanych trybów niebezpiecznych awarii dla każdego komponentu ścieżki wyzwalania przyrządowej funkcji bezpieczeństwa (SIF), funkcjonalności SIF jako systemu oraz tego, jak (i czy) testować pod kątem niebezpiecznej awarii tryb. Opracowanie procedury powinno rozpocząć się w fazie projektowania SIF, od projektu systemu, wyboru komponentów i określenia, kiedy i jak przeprowadzić test sprawdzający. Instrumenty SIS charakteryzują się różnym stopniem trudności w testowaniu dowodowym, co należy uwzględnić przy projektowaniu, działaniu i konserwacji SIF. Na przykład mierniki kryzowe i przetworniki ciśnienia są łatwiejsze do testowania niż przepływomierze masowe Coriolisa, mierniki magnetyczne lub radarowe czujniki poziomu w powietrzu. Zastosowanie i konstrukcja zaworu mogą również wpływać na kompleksowość testu szczelności zaworu, aby zapewnić, że niebezpieczne i początkowe awarie spowodowane degradacją, zatykaniem lub awariami zależnymi od czasu nie doprowadzą do awarii krytycznej w wybranym interwale testowym.
Chociaż procedury testów sprawdzających są zwykle opracowywane na etapie inżynierii SIF, powinny one zostać również poddane przeglądowi przez władze techniczne SIS, dział operacyjny i techników przyrządów, którzy będą przeprowadzać testowanie. Należy również przeprowadzić analizę bezpieczeństwa pracy (JSA). Ważne jest, aby uzyskać zgodę zakładu na to, jakie testy zostaną przeprowadzone i kiedy oraz ich wykonalność pod względem fizycznym i związanym z bezpieczeństwem. Na przykład nie ma sensu określać testów częściowego skoku, gdy grupa operacyjna nie zgodzi się na to. Zaleca się również, aby procedury testów sprawdzających zostały sprawdzone przez niezależnego eksperta merytorycznego (MŚP). Typowe testy wymagane do pełnego testu funkcjonalności przedstawiono na rysunku 1.
Wymagania dotyczące pełnego testu sprawdzającego funkcjonalność Rysunek 1: Specyfikacja pełnego testu sprawdzającego funkcjonalność dla oprzyrządowanej funkcji bezpieczeństwa (SIF) i jej oprzyrządowanego systemu bezpieczeństwa (SIS) powinna określać lub odnosić się do kolejnych etapów, od przygotowań do testów i procedur testowych po powiadomienia i dokumentację .
Rysunek 1: Specyfikacja pełnego testu funkcjonalnego dla przyrządowej funkcji bezpieczeństwa (SIF) i jej przyrządowego systemu bezpieczeństwa (SIS) powinna określać lub odnosić się do kolejnych etapów, począwszy od przygotowań do testów i procedur testowych, aż do powiadomień i dokumentacji.
Testowanie weryfikacyjne to planowana czynność konserwacyjna, którą powinien wykonywać kompetentny personel przeszkolony w zakresie testowania SIS, procedury sprawdzającej i pętli SIS, które będą testować. Przed wykonaniem wstępnego testu sprawdzającego należy przeprowadzić przegląd procedury, a następnie przekazać informację zwrotną do władz technicznych SIS danej placówki w celu wprowadzenia ulepszeń lub poprawek.
Istnieją dwa podstawowe tryby awarii (bezpieczny lub niebezpieczny), które są podzielone na cztery tryby — niebezpieczny niewykryty, niebezpieczny wykryty (przez diagnostykę), bezpieczny niewykryty i bezpieczny wykryty. Terminy „niebezpieczna” i „niebezpieczna niewykryta awaria” są używane w tym artykule zamiennie.
W testowaniu sprawdzającym SIF interesują nas przede wszystkim niebezpieczne, niewykryte tryby awarii, ale jeśli istnieją narzędzia diagnostyczne użytkownika, które wykrywają niebezpieczne awarie, należy je przetestować. Należy pamiętać, że w przeciwieństwie do diagnostyki użytkownika, diagnostyka wewnętrzna urządzenia zazwyczaj nie może zostać zweryfikowana jako funkcjonalna przez użytkownika, co może mieć wpływ na filozofię testu sprawdzającego. Jeżeli w obliczeniach SIL uwzględniona zostanie diagnostyka, alarmy diagnostyczne (np. alarmy przekroczenia zakresu) powinny zostać przetestowane w ramach testu sprawdzającego.
Tryby awarii można dalej podzielić na te, które są sprawdzane podczas testu sprawdzającego, te, które nie są testowane, oraz awarie początkowe lub awarie zależne od czasu. Niektóre niebezpieczne tryby awarii mogą nie zostać bezpośrednio przetestowane z różnych powodów (np. trudność, decyzja inżynieryjna lub operacyjna, niewiedza, niekompetencja, zaniedbanie lub zlecenie błędów systematycznych, niskie prawdopodobieństwo wystąpienia itp.). Jeżeli znane są tryby awarii, które nie będą testowane, należy dokonać kompensacji w projekcie urządzenia, procedurze testowej, okresowej wymianie lub przebudowie urządzenia i/lub należy przeprowadzić testowanie wnioskowane, aby zminimalizować wpływ braku testów na integralność SIF.
Początkowa awaria to poniżający stan lub warunek, w przypadku którego można zasadnie oczekiwać wystąpienia krytycznej, niebezpiecznej awarii, jeśli działania naprawcze nie zostaną podjęte w odpowiednim czasie. Są one zwykle wykrywane poprzez porównanie wydajności z ostatnimi lub początkowymi testami porównawczymi (np. sygnatury zaworów lub czasy reakcji zaworów) lub poprzez kontrolę (np. zatkany port procesowy). Początkowe awarie są zwykle zależne od czasu — im dłużej urządzenie lub zespół jest używane, tym bardziej ulega degradacji; stają się bardziej prawdopodobne warunki ułatwiające przypadkową awarię, zatykanie portów procesowych lub gromadzenie się czujników w miarę upływu czasu, skończył się okres użytkowania itp. Dlatego im dłuższy jest okres między testami sprawdzającymi, tym większe prawdopodobieństwo wystąpienia awarii początkowej lub zależnej od czasu. Wszelkie zabezpieczenia przed początkowymi awariami również muszą zostać przetestowane (czyszczenie portów, okablowanie grzewcze itp.).
Muszą zostać napisane procedury sprawdzające, czy nie występują niebezpieczne (niewykryte) awarie. Techniki analizy trybu i skutków awarii (FMEA) lub analizy trybu awarii, skutków i analizy diagnostycznej (FMEDA) mogą pomóc w identyfikacji niebezpiecznych niewykrytych awarii i tam, gdzie należy poprawić zakres testów sprawdzających.
Wiele procedur testów sprawdzających opiera się na pisemnych doświadczeniach i szablonach z istniejących procedur. Nowe procedury i bardziej skomplikowane SIF wymagają bardziej inżynieryjnego podejścia z wykorzystaniem FMEA/FMEDA do analizy pod kątem niebezpiecznych awarii, określenia, w jaki sposób procedura testowa będzie lub nie będzie testować pod kątem tych awarii, a także zakresu testów. Schemat blokowy analizy trybu awarii na poziomie makro dla czujnika pokazano na rysunku 2. FMEA zazwyczaj wystarczy wykonać tylko raz dla określonego typu urządzenia i ponownie wykorzystać dla podobnych urządzeń, biorąc pod uwagę ich możliwości w zakresie obsługi procesu, instalacji i testowania na miejscu .
Analiza awarii na poziomie makro Rysunek 2: Ten schemat blokowy analizy trybu awarii na poziomie makro dla czujnika i przetwornika ciśnienia (PT) przedstawia główne funkcje, które zazwyczaj zostaną podzielone na wiele analiz mikrouszkodzeń, aby w pełni zdefiniować potencjalne awarie, którymi należy się zająć w testach funkcjonalnych.
Rysunek 2: Ten schemat blokowy analizy trybu awarii na poziomie makro dla czujnika i przetwornika ciśnienia (PT) przedstawia główne funkcje, które zazwyczaj zostaną podzielone na wiele analiz mikrouszkodzeń, aby w pełni zdefiniować potencjalne awarie, które należy uwzględnić w testach funkcjonalnych.
Procent znanych, niebezpiecznych i niewykrytych awarii, które są poddawane testowi sprawdzającemu, nazywany jest pokryciem testu sprawdzającego (PTC). PTC jest powszechnie stosowany w obliczeniach SIL w celu „zrekompensowania” braku pełniejszego przetestowania SIF. Ludzie błędnie wierzą, że ponieważ w obliczeniach SIL uwzględnili brak pokrycia testami, zaprojektowali niezawodny SIF. Prosty fakt jest taki, że jeśli pokrycie testami wynosi 75% i jeśli uwzględnisz tę liczbę w obliczeniach SIL i będziesz testować rzeczy, które już testujesz częściej, statystycznie nadal może wystąpić 25% niebezpiecznych awarii. Na pewno nie chcę należeć do tych 25%.
Raporty zatwierdzające FMEDA i instrukcje bezpieczeństwa dla urządzeń zazwyczaj zawierają minimalną procedurę testu sprawdzającego i zakres testu sprawdzającego. Dostarczają one jedynie wskazówek, a nie wszystkich kroków testowych wymaganych w kompleksowej procedurze testu sprawdzającego. Inne rodzaje analizy awarii, takie jak analiza drzewa usterek i konserwacja skoncentrowana na niezawodności, są również wykorzystywane do analizy pod kątem niebezpiecznych awarii.
Testy sprawdzające można podzielić na pełne testy funkcjonalne (end-to-end) i częściowe testy funkcjonalne (rysunek 3). Częściowe testy funkcjonalne są powszechnie wykonywane, gdy komponenty SIF mają różne interwały testowe w obliczeniach SIL, które nie pokrywają się z planowanymi przestojami lub przestojami. Ważne jest, aby procedury częściowego testu funkcjonalnego nakładały się na siebie, tak aby razem testowały całą funkcjonalność bezpieczeństwa SIF. W przypadku częściowych testów funkcjonalnych nadal zaleca się, aby SIF przeprowadził wstępny, kompleksowy test sprawdzający, a następnie kolejne w trakcie napraw.
Częściowe testy sprawdzające powinny się sumować. Rysunek 3: Połączone częściowe testy sprawdzające (na dole) powinny obejmować wszystkie funkcjonalności pełnego funkcjonalnego testu sprawdzającego (na górze).
Rysunek 3: Połączone częściowe testy sprawdzające (na dole) powinny obejmować wszystkie funkcjonalności pełnego funkcjonalnego testu sprawdzającego (na górze).
Częściowy test sprawdzający sprawdza jedynie procent trybów awarii urządzenia. Typowym przykładem jest testowanie zaworu o niepełnym skoku, podczas którego zawór przesuwa się o niewielką wartość (10–20%), aby sprawdzić, czy nie jest zablokowany. Ma to mniejszy zasięg testu sprawdzającego niż test sprawdzający w podstawowym interwale testowym.
Procedury testów sprawdzających mogą różnić się stopniem złożoności w zależności od złożoności SIF i filozofii procedur testowych firmy. Niektóre firmy piszą szczegółowe procedury testowe krok po kroku, podczas gdy inne mają dość krótkie procedury. Odniesienia do innych procedur, takich jak standardowa kalibracja, są czasami używane w celu zmniejszenia rozmiaru procedury testu sprawdzającego i zapewnienia spójności testów. Dobra procedura testu sprawdzającego powinna zapewniać wystarczająco dużo szczegółów, aby zapewnić, że wszystkie testy zostaną prawidłowo przeprowadzone i udokumentowane, ale nie na tyle szczegółowo, aby technicy chcieli pominąć kroki. Zatrudnienie technika odpowiedzialnego za wykonanie etapu testowego do zainicjowania ukończonego etapu testowego może pomóc w zapewnieniu prawidłowego wykonania testu. Podpisanie wypełnionego testu sprawdzającego przez kierownika przyrządu i przedstawicieli operacyjnych również podkreśli znaczenie i zapewni prawidłowo przeprowadzone badanie sprawdzające.
Zawsze należy poprosić technika o opinię, aby pomóc ulepszyć procedurę. Powodzenie procedury testu sprawdzającego leży w dużej mierze w rękach technika, dlatego zdecydowanie zaleca się podjęcie wspólnego wysiłku.
Większość testów sprawdzających jest zwykle wykonywana w trybie off-line podczas przestoju lub przestoju. W niektórych przypadkach może być konieczne przeprowadzenie testów sprawdzających online podczas pracy, aby spełnić obliczenia SIL lub inne wymagania. Testowanie online wymaga planowania i koordynacji z działem operacyjnym, aby umożliwić bezpieczne wykonanie testu sprawdzającego, bez zakłócania procesu i powodowania fałszywych wyłączeń. Wystarczy jedna fałszywa podróż, aby wykorzystać wszystkich swoich attaboyów. Podczas tego typu testu, gdy SIF nie jest w pełni dostępny do wykonania swojego zadania związanego z bezpieczeństwem, w 61511-1, klauzula 11.8.5 stwierdza się, że „Środki kompensujące zapewniające ciągłą bezpieczną pracę należy zapewnić zgodnie z 11.3, gdy SIS jest w trybie obejście (naprawa lub testowanie).” Procedura zarządzania sytuacją nienormalną powinna być połączona z procedurą testu sprawdzającego, aby zapewnić jego prawidłowe wykonanie.
SIF jest zazwyczaj podzielony na trzy główne części: czujniki, rozwiązania logiczne i elementy końcowe. Istnieją również zazwyczaj urządzenia pomocnicze, które można powiązać z każdą z tych trzech części (np. bariery IS, wzmacniacze wyzwalające, przekaźniki pośredniczące, solenoidy itp.), które również muszą zostać przetestowane. Krytyczne aspekty testowania sprawdzającego każdej z tych technologii można znaleźć na pasku bocznym „Testowanie czujników, rozwiązań logicznych i elementów końcowych” (poniżej).
Niektóre rzeczy łatwiej jest przetestować niż inne. Wiele nowoczesnych i kilka starszych technologii przepływu i poziomu należy do trudniejszej kategorii. Należą do nich przepływomierze Coriolisa, mierniki wirowe, mierniki magnetyczne, radar powietrzny, poziomica ultradźwiękowa i przełączniki procesowe in-situ, żeby wymienić tylko kilka. Na szczęście wiele z nich ma obecnie ulepszoną diagnostykę, która umożliwia ulepszone testowanie.
Projekt SIF musi uwzględniać trudność sprawdzenia takiego urządzenia w terenie. Inżynierom łatwo jest wybrać urządzenia SIF bez poważnego rozważenia, co byłoby wymagane do przetestowania urządzenia, ponieważ nie będą to ludzie je testujący. Odnosi się to również do testowania skoku częściowego, które jest powszechnym sposobem poprawy średniego prawdopodobieństwa awarii SIF na żądanie (PFDavg), ale później zakład operacyjny nie chce tego robić i w wielu przypadkach może nie. Zawsze zapewniaj nadzór nad zakładem nad inżynierią SIF w odniesieniu do testów sprawdzających.
Test sprawdzający powinien obejmować kontrolę instalacji SIF i naprawę, jeśli jest to konieczne, aby spełnić wymagania 61511-1, Punkt 16.3.2. Należy przeprowadzić końcową kontrolę, aby upewnić się, że wszystko jest dopięte na ostatni guzik, a także dwukrotnie sprawdzić, czy SIF został prawidłowo przywrócony do eksploatacji procesowej.
Napisanie i wdrożenie dobrej procedury testowej jest ważnym krokiem w celu zapewnienia integralności SIF przez cały okres jego istnienia. Procedura testowa powinna zapewniać wystarczające szczegóły, aby zapewnić, że wymagane testy są przeprowadzane w sposób spójny i bezpieczny oraz dokumentowane. Niebezpieczne awarie, które nie zostały sprawdzone testami sprawdzającymi, powinny zostać zrekompensowane, aby zapewnić odpowiednie utrzymanie integralności bezpieczeństwa SIF przez cały okres jego użytkowania.
Napisanie dobrej procedury testu sprawdzającego wymaga logicznego podejścia do analizy inżynierskiej potencjalnych niebezpiecznych awarii, wyboru środków i napisania etapów testu sprawdzającego, które mieszczą się w możliwościach testowych zakładu. Po drodze zdobądź poparcie zakładu na wszystkich poziomach testów i przeszkol techników w zakresie wykonywania i dokumentowania testu sprawdzającego, a także zrozumienia znaczenia testu. Pisz instrukcje tak, jakbyś był technikiem przyrządowym, który będzie musiał wykonać tę pracę, i że życie zależy od prawidłowego wykonania testu, ponieważ tak jest.
Testing sensors, logic solvers and final elements A SIF is typically divided up into three main parts, sensors, logic solvers and final elements. There also typically are auxiliary devices that can be associated within each of these three parts (e.g. I.S. barriers, trip amps, interposing relays, solenoids, etc.) that must also be tested.Sensor proof tests: The sensor proof test must ensure that the sensor can sense the process variable over its full range and transmit the proper signal to the SIS logic solver for evaluation. While not inclusive, some of the things to consider in creating the sensor portion of the proof test procedure are given in Table 1. Table 1: Sensor proof test considerations Process ports clean/process interface check, significant buildup noted Internal diagnostics check, run extended diagnostics if available Sensor calibration (5 point) with simulated process input to sensor, verified through to the DCS, drift check Trip point check High/High-High/Low/Low-Low alarms Redundancy, voting degradation Out of range, deviation, diagnostic alarms Bypass and alarms, restrike User diagnostics Transmitter Fail Safe configuration verified Test associated systems (e.g. purge, heat tracing, etc.) and auxiliary components Physical inspection Complete as-found and as-left documentation Logic solver proof test: When full-function proof testing is done, the logic solver’s part in accomplishing the SIF’s safety action and related actions (e.g. alarms, reset, bypasses, user diagnostics, redundancies, HMI, etc.) are tested. Partial or piecemeal function proof tests must accomplish all these tests as part of the individual overlapping proof tests. The logic solver manufacturer should have a recommended proof test procedure in the device safety manual. If not and as a minimum, the logic solver power should be cycled, and the logic solver diagnostic registers, status lights, power supply voltages, communication links and redundancy should be checked. These checks should be done prior to the full-function proof test.Don’t make the assumption that the software is good forever and the logic need not be tested after the initial proof test as undocumented, unauthorized and untested software and hardware changes and software updates can creep into systems over time and must be factored into your overall proof test philosophy. The management of change, maintenance, and revision logs should be reviewed to ensure they are up to date and properly maintained, and if capable, the application program should be compared to the latest backup.Care should also be taken to test all the user logic solver auxiliary and diagnostic functions (e.g. watchdogs, communication links, cybersecurity appliances, etc.).Final element proof test: Most final elements are valves, however, rotating equipment motor starters, variable-speed drives and other electrical components such as contactors and circuit breakers are also used as final elements and their failure modes must be analyzed and proof tested.The primary failure modes for valves are being stuck, response time too slow or too fast, and leakage, all of which are affected by the valve’s operating process interface at trip time. While testing the valve at operating conditions is the most desirable case, Operations would generally be opposed to tripping the SIF while the plant is operating. Most SIS valves are typically tested while the plant is down at zero differential pressure, which is the least demanding of operating conditions. The user should be aware of the worst-case operational differential pressure and the valve and process degradation effects, which should be factored into the valve and actuator design and sizing.Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).Ambient temperatures can also affect valve friction loads, so that testing valves in warm weather will generally be the least demanding friction load when compared to cold weather operation. As a result, proof testing of valves at a consistent temperature should be considered to provide consistent data for inferential testing for the determination of valve performance degradation.Valves with smart positioners or a digital valve controller generally have capability to create a valve signature that can be used to monitor degradation in valve performance. A baseline valve signature can be requested as part of your purchase order or you can create one during the initial proof test to serve as a baseline. The valve signature should be done for both opening and closing of the valve. Advanced valve diagnostic should also be used if available. This can help tell you if your valve performance is deteriorating by comparing subsequent proof test valve signatures and diagnostics with your baseline. This type of test can help compensate for not testing the valve at worst case operating pressures.The valve signature during a proof test may also be able to record the response time with time stamps, removing the need for a stopwatch. Increased response time is a sign of valve deterioration and increased friction load to move the valve. While there are no standards regarding changes in valve response time, a negative pattern of changes from proof test to proof test is indicative of the potential loss of the valve’s safety margin and performance. Modern SIS valve proof testing should include a valve signature as a matter of good engineering practice.The valve instrument air supply pressure should be measured during a proof test. While the valve spring for a spring-return valve is what closes the valve, the force or torque involved is determined by how much the valve spring is compressed by the valve supply pressure (per Hooke’s Law, F = kX). If your supply pressure is low, the spring will not compress as much, hence less force will be available to move the valve when needed. While not inclusive, some of the things to consider in creating the valve portion of the proof test procedure are given in Table 2. Table 2: Final element valve assembly considerations Test valve safety action at process operating pressure (best but typically not done), and time the valve’s response time. Verify redundancy Test valve safety action at zero differential pressure and time valve’s response time. Verify redundancy Run valve signature and diagnostics as part of proof test and compare to baseline and previous test Visually observe valve action (proper action without unusual vibration or noise, etc.). Verify the valve field and position indication on the DCS Fully stroke the valve a minimum of five times during the proof test to help ensure valve reliability. (This is not intended to fix significant degradation effects or incipient failures). Review valve maintenance records to ensure any changes meet the required valve SRS specifications Test diagnostics for energize-to-trip systems Leak test if Tight Shut Off (TSO) is required Verify the command disagree alarm functionality Inspect valve assembly and internals Remove, test and rebuild as necessary Complete as-found and as-left documentation Solenoids Evaluate venting to provide required response time Evaluate solenoid performance by a digital valve controller or smart positioner Verify redundant solenoid performance (e.g. 1oo2, 2oo3) Interposing Relays Verify correct operation, redundancy Device inspection
SIF jest zazwyczaj podzielony na trzy główne części: czujniki, rozwiązania logiczne i elementy końcowe. Zwykle istnieją również urządzenia pomocnicze, które można powiązać z każdą z tych trzech części (np. bariery IS, wzmacniacze wyzwalające, przekaźniki pośrednie, solenoidy itp.), które również muszą zostać przetestowane.
Testy sprawdzające czujnik: Test sprawdzający czujnik musi zapewniać, że czujnik może wykryć zmienną procesową w pełnym zakresie i przesłać odpowiedni sygnał do modułu logicznego SIS w celu oceny. Chociaż nie są to wszystkie elementy, które należy wziąć pod uwagę podczas tworzenia części dotyczącej czujnika w procedurze testu sprawdzającego, podano w Tabeli 1.
Test sprawdzający rozwiązania logicznego: Po wykonaniu pełnego testu sprawdzającego funkcjonalność, testowana jest rola modułu logicznego w realizacji działań bezpieczeństwa SIF i powiązanych działań (np. alarmy, resetowanie, obejścia, diagnostyka użytkownika, redundancja, HMI itp.). Częściowe lub fragmentaryczne testy sprawdzające działanie muszą wykonać wszystkie te testy w ramach poszczególnych nakładających się testów sprawdzających. Producent solwera logicznego powinien mieć zalecaną procedurę testu sprawdzającego w instrukcji bezpieczeństwa urządzenia. Jeśli nie, należy co najmniej wyłączyć zasilanie modułu logicznego i sprawdzić rejestry diagnostyczne modułu logicznego, lampki stanu, napięcia zasilania, łącza komunikacyjne i redundancję. Kontrole te należy przeprowadzić przed pełnym testem sprawdzającym funkcjonalność.
Nie zakładaj, że oprogramowanie jest dobre na zawsze i że logika nie musi być testowana po wstępnym teście sprawdzającym, ponieważ nieudokumentowane, nieautoryzowane i nieprzetestowane zmiany w oprogramowaniu i sprzęcie oraz aktualizacje oprogramowania mogą z czasem przedostać się do systemów i należy je uwzględnić w ogólnym filozofia testu dowodowego. Należy sprawdzić zarządzanie dziennikami zmian, konserwacji i wersji, aby upewnić się, że są one aktualne i właściwie utrzymywane, a jeśli to możliwe, należy porównać program użytkowy z najnowszą kopią zapasową.
Należy również zadbać o przetestowanie wszystkich funkcji pomocniczych i diagnostycznych modułu rozwiązywania logiki użytkownika (np. watchdogów, łączy komunikacyjnych, urządzeń cyberbezpieczeństwa itp.).
Test sprawdzający element końcowy: Większość elementów końcowych to zawory, jednakże rozruszniki silników urządzeń obrotowych, napędy o zmiennej prędkości i inne elementy elektryczne, takie jak styczniki i wyłączniki, są również używane jako elementy końcowe, a ich tryby awarii muszą zostać przeanalizowane i przetestowane.
Podstawowymi rodzajami awarii zaworów są: zablokowanie, czas reakcji zbyt długi lub zbyt szybki oraz wycieki. Na wszystkie te czynniki wpływa interfejs procesu roboczego zaworu w momencie wyłączenia. Chociaż testowanie zaworu w warunkach roboczych jest najbardziej pożądanym przypadkiem, dział operacyjny zasadniczo sprzeciwiałby się wyłączaniu SIF podczas pracy instalacji. Większość zaworów SIS jest zazwyczaj testowana, gdy instalacja jest wyłączona przy zerowej różnicy ciśnień, co stanowi najmniej wymagające warunki pracy. Użytkownik powinien zdawać sobie sprawę z najgorszego przypadku roboczej różnicy ciśnień oraz skutków degradacji zaworu i procesu, które należy uwzględnić przy projektowaniu i doborze zaworu i siłownika.
Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).
Temperatury otoczenia mogą również wpływać na obciążenia cierne zaworów, dlatego testowanie zaworów w ciepłe dni będzie generalnie najmniej wymagającym obciążeniem tarcia w porównaniu z pracą w niskich temperaturach. W rezultacie należy rozważyć przeprowadzenie testów kontrolnych zaworów w stałej temperaturze, aby zapewnić spójne dane do badań wnioskowanych w celu określenia pogorszenia wydajności zaworu.
Zawory z inteligentnymi pozycjonerami lub cyfrowym sterownikiem zaworów zazwyczaj mają możliwość tworzenia sygnatury zaworu, którą można wykorzystać do monitorowania pogorszenia wydajności zaworu. Podpis zaworu bazowego można zażądać w ramach zamówienia zakupu lub można go utworzyć podczas wstępnego testu sprawdzającego, aby służył jako punkt odniesienia. Sygnaturę zaworu należy wykonać zarówno przy otwieraniu, jak i zamykaniu zaworu. Jeśli to możliwe, należy również zastosować zaawansowaną diagnostykę zaworów. Może to pomóc w stwierdzeniu, czy działanie zaworu pogarsza się, porównując kolejne sygnatury i diagnostykę zaworu kontrolnego z wartością bazową. Ten typ testu może pomóc zrekompensować brak testu zaworu przy najgorszym ciśnieniu roboczym.
Sygnatura zaworu podczas testu sprawdzającego może również rejestrować czas reakcji ze znacznikami czasu, eliminując potrzebę stosowania stopera. Wydłużony czas reakcji jest oznaką pogorszenia się stanu zaworu i zwiększonego obciążenia tarcia podczas poruszania zaworem. Chociaż nie ma norm dotyczących zmian czasu reakcji zaworu, negatywny wzorzec zmian od testu sprawdzającego do testu sprawdzającego wskazuje na potencjalną utratę marginesu bezpieczeństwa i wydajności zaworu. Zgodnie z dobrą praktyką inżynierską, nowoczesne testy sprawdzające skuteczność zaworów SIS powinny obejmować sygnaturę zaworu.
Ciśnienie zasilania powietrzem przyrządu zaworu należy zmierzyć podczas testu sprawdzającego. Podczas gdy sprężyna zaworu w przypadku zaworu ze sprężyną powrotną zamyka zawór, siła lub moment obrotowy z nią związany zależy od tego, jak bardzo sprężyna zaworu jest ściskana przez ciśnienie zasilania zaworu (zgodnie z prawem Hooke'a, F = kX). Jeśli ciśnienie zasilania jest niskie, sprężyna nie będzie ściskać się tak bardzo, dlatego w razie potrzeby do poruszania zaworem będzie dostępna mniejsza siła. Chociaż nie obejmują one wszystkich kwestii, które należy wziąć pod uwagę podczas tworzenia części procedury testu sprawdzającego dotyczącej zaworu, podano w Tabeli 2.
Czas publikacji: 13 listopada 2019 r
