Por qué los intervalos de calibración en los transmisores SIS se convierten en un problema de costes y riesgos

Una planta típica establece un intervalo de calibración para cada transmisor de presión en el sistema instrumentado de seguridad (SIS) al arrancar. Años después, esa cifra sigue en el sistema de mantenimiento y nadie recuerda de dónde salió. Cada calibración implica un bypass o forzado, un permiso, aislamiento y acceso a un dispositivo que puede estar en un área clasificada. Cada visita también expone al técnico a cierto riesgo, deja la protección reducida durante un tiempo y conlleva una posibilidad real de dejar el lazo en un estado incorrecto.

Ampliar los intervalos a ciegas no es la solución. La deriva es una de las formas en que un transmisor de seguridad falla peligrosamente sin avisar a nadie. Si se amplía el intervalo sin pruebas, la probabilidad de fallo en demanda (PFD) que asumió el diseño puede dejar de ser cierta silenciosamente.

La salida es tratar el intervalo de calibración como una hipótesis, algo que los datos as-found confirman o desmienten. Esos mismos datos también tienen que cuadrar con el intervalo de la prueba de comprobación utilizado en la verificación SIL.

Contexto de normas y requisitos

Tres documentos enmarcan la discusión:

  • IEC 61511 cubre la seguridad funcional para sistemas instrumentados de seguridad en el sector de la industria de procesos. Atribuye al propietario/operador la responsabilidad de definir los procedimientos e intervalos de las pruebas de comprobación, verificar que el SIS cumple con la integridad requerida y gestionar los cambios en esas suposiciones. También espera que el usuario justifique el equipo para una aplicación determinada, incluso mediante experiencia operativa documentada (uso previo).
  • IEC 61508 es la norma genérica de seguridad funcional para sistemas eléctricos, electrónicos y electrónicos programables relacionados con la seguridad. Sustenta el FMEDA del fabricante y el manual de seguridad que acompaña a un transmisor certificado.
  • ISA-TR84.00.02 es el informe técnico sobre técnicas de verificación SIL. Proporciona las ecuaciones simplificadas que se utilizan habitualmente para relacionar las tasas de fallo, el intervalo de la prueba de comprobación y la PFD.

En la práctica, dos documentos rigen cualquier cambio. El primero es el manual de seguridad del transmisor, que indica la tasa de fallos peligrosos no detectados y las suposiciones que la sustentan. El segundo es el cálculo de verificación SIL para el lazo, que fija el intervalo de la prueba de comprobación y la cobertura de la prueba de comprobación en la que se basó el diseño.

La calibración no es lo mismo que una prueba de comprobación

La gente confunde estos dos conceptos constantemente, y la confusión conduce a malas decisiones en ambas direcciones.

  • Calibración compara la salida del transmisor con una referencia trazable en todo el rango y la ajusta si es necesario. Cuantifica la deriva, que es un mecanismo de fallo.
  • Prueba de comprobación es una prueba periódica diseñada para revelar fallos peligrosos no detectados en toda la función de detección. Eso es más que el sensor. Cubre las líneas de impulso y el manifold, la conexión a proceso, la ruta de la señal de salida, la respuesta de la entrada del resolvedor lógico e, idealmente, la acción del elemento final.

Una calibración por sí sola rara vez ofrece una cobertura total de la prueba de comprobación. Una línea de impulso taponada o una válvula de raíz cerrada no aparecerán si el calibrador está conectado aguas abajo de ellas. Por otro lado, una prueba de comprobación bien diseñada que aplique presión a través de la conexión a proceso puede detectar tanto la deriva como la obstrucción.

La relación simplificada para un elemento único (1oo1) es:

PFDavg ≈ λDU × TI / 2

donde λDU es la tasa de fallos peligrosos no detectados y TI es el intervalo de la prueba de comprobación. Con una cobertura de prueba de comprobación C imperfecta, un refinamiento común es:

PFDavg ≈ C × λDU × TI / 2 + (1 − C) × λDU × LT / 2

donde LT es la vida útil o el intervalo hasta una prueba más completa o sustitución. Se derivan dos consecuencias:

  • Si la calibración es la prueba de comprobación, alargarla eleva la PFDavg en proporción directa. La extensión debe encajar dentro del margen que ya tiene la verificación SIL.
  • Si la cobertura es deficiente, el término (1 − C) se paga durante toda la vida útil. Una mejor cobertura suele valer más que un intervalo más corto.

Construyendo la justificación: de la especificación a los datos de campo

Comience con los datos de estabilidad del fabricante

Ni la recomendación general de un regulador ni la costumbre le indican cómo se comportará un transmisor en particular en un servicio específico. La especificación de estabilidad le da una primera estimación, al igual que el método de cálculo de Fuji Electric. Establece el intervalo a partir de la precisión que necesita y la deriva que se especifica que el dispositivo mostrará con el tiempo.

Valide con sus propios datos as-found

Los valores de especificación describen una población bajo condiciones de referencia. Su servicio añade vibración, ciclos de temperatura, eventos de sobrepresión, ensuciamiento del proceso y efectos del fluido de sello. Después de dos o tres ciclos de calibración, analice la deriva real as-found para cada sensor y decida si el intervalo se mantiene.

Lo que analiza importa más que cuántos ciclos tiene:

  • Error as-found en cero y en span, registrado antes de cualquier ajuste. Si ajusta primero, habrá destruido la evidencia.
  • Dirección y consistencia. La dispersión aleatoria dentro de la incertidumbre del calibrador cuenta una historia diferente a la de un movimiento constante en una dirección.
  • Agrupación. Los transmisores del mismo modelo, rango, servicio y montaje pueden agruparse, pero solo si se comportan estadísticamente igual. Un separador de gas húmedo y un colector de gas combustible seco son poblaciones diferentes.
  • Incertidumbre del patrón de calibración. Si la referencia y el procedimiento no pueden resolver la deriva que intenta captar, los datos no pueden sustentar una extensión.

Comparación de enfoques para establecer intervalos

Enfoque Base Fortaleza Debilidad
Intervalo fijo para todos los dispositivos Práctica heredada o regla del sitio Simple de programar Sin vínculo con las suposiciones de SIL o el comportamiento real
Cálculo basado en especificaciones Estabilidad del fabricante y precisión requerida Punto de partida defendible, rápido Ignora las condiciones de servicio
Basado en datos, por dispositivo o grupo Historial as-found y tendencia Refleja la deriva real; permite extender o acortar Requiere registros disciplinados y una tolerancia definida
Basado en datos más comparación en línea Como el anterior, más monitoreo de desviación entre transmisores redundantes o contra una medición relacionada Detecta la deriva entre pruebas Crédito en PFD solo si está validado y documentado

Ejemplo práctico ilustrativo: tasa de deriva a partir de una especificación declarada

Los valores de especificación a continuación provienen del método Fuji Electric. El escenario que los rodea es ilustrativo, no un caso real de planta.

Declarado: un transmisor con un límite superior de rango (URL) de 320 mbar, y una deriva máxima declarada de ±0.32 mbar en 10 años.

  1. Deriva como fracción del URL: 0.32 mbar ÷ 320 mbar = 0.001, que es el 0.1 % del URL en 10 años.
  2. Tasa de deriva anual: 0.32 mbar ÷ 10 años = 0.032 mbar por año.
  3. Tasa de deriva mensual: 0.032 mbar/año ÷ 12 meses/año = 0.00267 mbar por mes.

Esto supone que la deriva se acumula linealmente, lo cual es una simplificación. La cifra de 0.032 mbar por año es una envolvente de especificación, no una predicción para su dispositivo.

Lectura ilustrativa del resultado. La cifra anual es muy pequeña. Antes de que los datos de campo puedan justificar una extensión, la referencia y el procedimiento de calibración deben resolver diferencias de este tamaño. Si la incertidumbre del calibrador y la resolución de la lectura son mayores que la deriva que esperaría entre dos visitas, los resultados as-found mostrarán principalmente ruido. En ese caso, los datos no pueden sustentar un intervalo más largo, y tampoco pueden probar que la deriva esté ausente.

Lógica de decisión. Suponga que el registro as-found, a lo largo del intervalo inicial de 12 meses y los siguientes dos o tres ciclos, se mantiene dentro de la tolerancia definida del lazo. Suponga que no hay una dirección constante y que la referencia fue lo suficientemente buena para ver el movimiento real. Eso respalda una extensión gradual. Si algún resultado as-found queda fuera de la tolerancia, o una tendencia se dirige hacia ella, mantenga o acorte el intervalo e investigue. La tolerancia en sí debe provenir de los requisitos de seguridad del lazo y la verificación SIL, no de la declaración de precisión del fabricante.

Mantener la integridad SIL al extender

  1. Vuelva a ejecutar la verificación SIL con el nuevo intervalo. Utilice el λDU del manual de seguridad y la cobertura de la prueba de comprobación (proof-test) que realmente pueda demostrar. Si el PFDavg ya no cumple con el objetivo, la extensión no está permitida, independientemente de lo que digan los datos de deriva.
  2. Extienda por etapas. Dé un paso, recopile otro ciclo de datos as-found y luego decida el siguiente.
  3. Trate los resultados as-found fuera de tolerancia como fallos peligrosos potenciales. Regístrelos, encuentre la causa e incorpórelos a la suposición de tasa de fallos. Un patrón en un grupo de dispositivos desafía el argumento de uso previo (prior-use).
  4. Separe la calibración de la prueba de comprobación cuando sea útil. Una prueba de comprobación completa a través de la conexión al proceso puede mantener su propio intervalo mientras se ajusta una verificación de calibración más ligera. Compruebe que las declaraciones de cobertura sigan siendo válidas tras la separación.
  5. Acredite los diagnósticos en línea con cuidado. Las alarmas de desviación entre transmisores redundantes pueden detectar la deriva entre pruebas. Otorgue crédito solo donde la detección esté validada, alarmada y se actúe en consecuencia dentro del tiempo de seguridad del proceso.
  6. Gestione el cambio formalmente. La extensión cambia la documentación del ciclo de vida de seguridad. Actualice el procedimiento de la prueba de comprobación, el sistema de mantenimiento y el informe de verificación conjuntamente.

Precauciones de seguridad para la calibración de campo y pruebas de comprobación

Cualquier trabajo que aísle, ventile o se conecte a un transmisor en servicio de hidrocarburos requiere estos controles:

  • Obtener un bypass de SIS o anulación aprobada con medidas compensatorias documentadas, y confirmar que la condición del proceso lo permite.
  • Aislar el transmisor en las válvulas de raíz o de bloqueo según el permiso, y bloquear (LOTO) los puntos de aislamiento.
  • Despresurizar a través de la ruta de venteo o purga hacia una ubicación segura, como un drenaje cerrado o antorcha, nunca hacia el área de trabajo.
  • Verificar energía cero en el transmisor antes de desconectar cualquier accesorio.
  • Realizar detección de gases durante el venteo y mientras la línea de impulso esté abierta, y aplicar las precauciones de área clasificada. Utilizar calibradores certificados y herramientas adecuadas para la zona.
  • Después de la prueba, restaurar la conexión de proceso, realizar una prueba de fugas, confirmar que la salida sea correcta respecto al proceso y retirar el bypass con una verificación documentada.

Lista de verificación: antes de extender un intervalo

  • Identificar el modelo, rango y servicio del transmisor, y confirmar el intervalo actual y lo que supuso la verificación SIL.
  • Confirmar si la calibración es parte de la prueba de comprobación y qué cobertura brinda para las líneas de impulso y la conexión de proceso.
  • Recopilar datos as-found de cada ciclo, registrados antes del ajuste.
  • Verificar que la referencia y el procedimiento de calibración puedan resolver la deriva esperada entre visitas.
  • Definir la tolerancia as-found a partir del requisito de seguridad del lazo, no de la precisión de la hoja de datos.
  • Observar las tendencias y la dirección de la deriva, no solo los resultados de pasa/falla.
  • Agrupar dispositivos solo donde el modelo, rango y servicio sean similares.
  • Volver a ejecutar el cálculo de PFDavg con el intervalo propuesto y confirmar que cumple con el objetivo.
  • Revisar cualquier evento fuera de tolerancia y su efecto en la suposición de la tasa de fallas.
  • Aprobar mediante la gestión de cambios y actualizar los procedimientos y el programa de mantenimiento.
  • Reevaluar después del primer ciclo extendido.

Conclusión y próximos pasos

Comience con los transmisores que tengan el historial as-found limpio más largo y las condiciones de servicio más consistentes. Confirme que su equipo de referencia puede resolver la deriva que espera y vuelva a ejecutar el cálculo de PFD antes de modificar el cronograma. Donde la evidencia sea escasa, mantenga el intervalo existente y mejore los datos primero. Para la base de trabajo, lea la nota técnica de Emerson y el método de cálculo de Fuji Electric junto con el manual de seguridad del transmisor.