Intervalli di calibrazione e gestione del drift per i trasmettitori di pressione nei sistemi strumentati di sicurezza

Perché gli intervalli di calibrazione sui trasmettitori SIS diventano un problema di costi e rischi

Un tipico impianto stabilisce un intervallo di calibrazione per ogni trasmettitore di pressione nel sistema strumentato di sicurezza (SIS) all'avviamento. Anni dopo, quel numero è ancora nel sistema di manutenzione e nessuno ricorda da dove provenga. Ogni calibrazione comporta un bypass o un override, un permesso, l'isolamento e l'accesso a un dispositivo che può trovarsi in un'area classificata. Ogni visita espone inoltre il tecnico a rischi, riduce temporaneamente la protezione e comporta la reale possibilità di lasciare il loop in uno stato errato.

Prolungare gli intervalli ciecamente non è una soluzione. Il drift è uno dei modi in cui un trasmettitore di sicurezza si guasta pericolosamente senza segnalarlo. Estendendo l'intervallo senza prove, la probabilità di guasto su richiesta (PFD) ipotizzata dal progetto potrebbe silenziosamente cessare di essere valida.

La via d'uscita consiste nel trattare l'intervallo di calibrazione come un'ipotesi, qualcosa che i dati as-found confermano o smentiscono. Questi stessi dati devono anche quadrare con l'intervallo del proof-test utilizzato nella verifica SIL.

Contesto normativo e requisiti

Tre documenti inquadrano la discussione:

• IEC 61511 riguarda la sicurezza funzionale per i sistemi strumentati di sicurezza nel settore dell'industria di processo. Attribuisce al proprietario/operatore la responsabilità di definire le procedure e gli intervalli dei proof-test, verificare che il SIS soddisfi l'integrità richiesta e gestire le modifiche a tali ipotesi. Prevede inoltre che l'utente giustifichi l'apparecchiatura per una determinata applicazione, anche attraverso l'esperienza operativa documentata (uso pregresso).
• IEC 61508 è lo standard generico sulla sicurezza funzionale per i sistemi elettrici, elettronici ed elettronici programmabili correlati alla sicurezza. È alla base della FMEDA del produttore e del manuale di sicurezza fornito con un trasmettitore certificato.
• ISA-TR84.00.02 è il rapporto tecnico sulle tecniche di verifica SIL. Fornisce le equazioni semplificate che vengono effettivamente utilizzate per mettere in relazione i tassi di guasto, l'intervallo del proof-test e la PFD.

In pratica, due documenti regolano qualsiasi modifica. Il primo è il manuale di sicurezza del trasmettitore, che indica il tasso di guasti pericolosi non rilevati e le ipotesi sottostanti. Il secondo è il calcolo della verifica SIL per il loop, che fissa l'intervallo del proof-test e la copertura del proof-test su cui si è basato il progetto.

La calibrazione non è la stessa cosa di un proof-test

Spesso si confondono questi due concetti e la confusione porta a decisioni sbagliate in entrambe le direzioni.

• Calibrazione confronta l'uscita del trasmettitore con un riferimento tracciabile lungo tutto il range e la regola se necessario. Quantifica il drift, che è un meccanismo di guasto.
• Proof-test è un test periodico progettato per rivelare guasti pericolosi non rilevati nell'intera funzione di rilevamento. È più del semplice sensore. Copre le linee di impulso e il manifold, l'attacco al processo, il percorso del segnale di uscita, la risposta dell'ingresso del logic solver e, idealmente, l'azione dell'elemento finale.

Una calibrazione da sola raramente fornisce una copertura completa del proof-test. Una linea di impulso ostruita o una valvola di radice chiusa non risulteranno se il calibratore è collegato a valle di esse. D'altra parte, un proof-test ben progettato che applichi pressione attraverso l'attacco al processo può rilevare sia il drift che l'ostruzione.

La relazione semplificata per un singolo elemento (1oo1) è:

PFDavg ≈ λDU × TI / 2

dove λDU è il tasso di guasti pericolosi non rilevati e TI è l'intervallo del proof-test. Con una copertura del proof-test C imperfetta, un affinamento comune è:

PFDavg ≈ C × λDU × TI / 2 + (1 − C) × λDU × LT / 2

dove LT è la vita utile o l'intervallo fino a un test più completo o alla sostituzione. Ne conseguono due conseguenze:

• Se la calibrazione è il proof-test, allungarla aumenta la PFDavg in proporzione diretta. L'estensione deve rientrare nel margine già presente nella verifica SIL.
• Se la copertura è scarsa, il termine (1 − C) viene pagato per l'intera vita utile. Una migliore copertura vale spesso più di un intervallo più breve.

Costruire la giustificazione: dalle specifiche ai dati di campo

Partire dai dati di stabilità del produttore

Né la raccomandazione generale di un regolatore né l'abitudine indicano come si comporterà un particolare trasmettitore in un servizio specifico. La specifica di stabilità fornisce una prima stima, così come il metodo di calcolo di Fuji Electric. Esso stabilisce l'intervallo in base alla precisione necessaria e alla deriva (drift) che il dispositivo è specificato per mostrare nel tempo.

Validare con i propri dati as-found

I valori delle specifiche descrivono una popolazione in condizioni di riferimento. Il vostro servizio aggiunge vibrazioni, cicli di temperatura, eventi di sovrapressione, fouling di processo ed effetti del fluido di tenuta. Dopo due o tre cicli di calibrazione, analizzate la deriva effettiva as-found per ogni sensore e decidete se l'intervallo è sostenibile.

Ciò che analizzate conta più del numero di cicli effettuati:

• Errore as-found a zero e allo span, registrato prima di qualsiasi regolazione. Regolate prima e avrete distrutto la prova.
• Direzione e coerenza. Una dispersione casuale all'interno dell'incertezza del calibratore racconta una storia diversa rispetto a un movimento costante in una direzione.
• Raggruppamento. I trasmettitori dello stesso modello, range, servizio e montaggio possono essere raggruppati, ma solo se si comportano statisticamente allo stesso modo. Un separatore di gas umido e un collettore di gas combustibile secco sono popolazioni diverse.
• Incertezza dello standard di calibrazione. Se il riferimento e la procedura non possono risolvere la deriva che state cercando di individuare, i dati non possono supportare un'estensione.

Confronto tra gli approcci di impostazione dell'intervallo

Esempio pratico illustrativo: tasso di deriva da una specifica dichiarata

I valori delle specifiche riportati di seguito provengono dal metodo Fuji Electric. Lo scenario è illustrativo, non un caso reale di impianto.

Dichiarato: un trasmettitore con un limite superiore del campo (URL) di 320 mbar e una deriva massima dichiarata di ±0.32 mbar in 10 anni.

1. Deriva come frazione dell'URL: 0.32 mbar ÷ 320 mbar = 0.001, ovvero lo 0.1 % dell'URL in 10 anni.
2. Tasso di deriva annuale: 0.32 mbar ÷ 10 anni = 0.032 mbar all'anno.
3. Tasso di deriva mensile: 0.032 mbar/anno ÷ 12 mesi/anno = 0.00267 mbar al mese.

Questo presuppone che la deriva si accumuli linearmente, il che è una semplificazione. Il valore di 0.032 mbar all'anno è un inviluppo di specifica, non una previsione per il vostro dispositivo.

Lettura illustrativa del risultato. Il dato annuale è molto piccolo. Prima che i dati di campo possano giustificare un'estensione, il riferimento e la procedura di calibrazione devono risolvere differenze di questa entità. Se l'incertezza del calibratore e la risoluzione della lettura sono maggiori della deriva attesa tra due visite, i risultati as-found mostreranno principalmente rumore. In tal caso, i dati non possono supportare un intervallo più lungo, né possono provare l'assenza di deriva.

Logica decisionale. Supponiamo che il record as-found, nell'intervallo iniziale di 12 mesi e nei due o tre cicli successivi, rimanga entro la tolleranza definita del loop. Supponiamo che non vi sia una direzione costante e che il riferimento sia stato sufficientemente buono per vedere il movimento reale. Ciò supporta un'estensione graduale. Se un qualsiasi risultato as-found è fuori tolleranza, o un trend si sta dirigendo verso di essa, mantenete o accorciate l'intervallo e investigate. La tolleranza stessa deve derivare dai requisiti di sicurezza del loop e dalla verifica SIL, non dalla dichiarazione di precisione del produttore.

Mantenere l'integrità SIL durante l'estensione

1. Rieseguire la verifica SIL con il nuovo intervallo. Utilizzate il λDU del manuale di sicurezza e la copertura del proof-test che potete effettivamente dimostrare. Se il PFDavg non soddisfa più il target, l'estensione non è consentita, a prescindere dai dati sulla deriva.
2. Estendere per fasi. Fate un passo, raccogliete un altro ciclo di dati as-found, quindi decidete il successivo.
3. Trattare i risultati as-found fuori tolleranza come potenziali guasti pericolosi. Registrateli, trovatene la causa e inseriteli nell'ipotesi del tasso di guasto. Un pattern su un gruppo di dispositivi mette in discussione l'argomento del "prior-use".
4. Separare la calibrazione dal proof-test dove utile. Un proof-test completo attraverso la connessione al processo può mantenere il proprio intervallo mentre viene regolata una verifica di calibrazione più leggera. Verificate che le dichiarazioni di copertura siano ancora valide dopo la separazione.
5. Accreditare la diagnostica online con cautela. Gli allarmi di deviazione tra trasmettitori ridondanti possono rilevare la deriva tra i test. Accreditateli solo dove il rilevamento è validato, allarmato e gestito entro il tempo di sicurezza del processo.
6. Gestire il cambiamento formalmente. L'estensione modifica la documentazione del ciclo di vita della sicurezza. Aggiornate contemporaneamente la procedura di proof-test, il sistema di manutenzione e il rapporto di verifica.

Precauzioni di sicurezza per la calibrazione in campo e i proof test

Qualsiasi lavoro che isoli, sfiati o si colleghi a un trasmettitore in servizio su idrocarburi richiede questi controlli:

• Ottenere un bypass SIS o un override approvato con misure compensative documentate e confermare che le condizioni del processo lo consentano.
• Isolare il trasmettitore sulle valvole di radice o di blocco come da permesso, e applicare il blocco/etichettatura (LOTO) ai punti di isolamento.
• Depressurizzare attraverso la via di sfiato o di spurgo verso una posizione sicura, come un drenaggio chiuso o una torcia, mai verso l'area di lavoro.
• Verificare l'assenza di energia sul trasmettitore prima di scollegare qualsiasi raccordo.
• Eseguire il rilevamento gas durante lo sfiato e mentre la linea di impulso è aperta, e applicare le precauzioni per area classificata. Utilizzare calibratori certificati e strumenti idonei alla zona.
• Dopo il test, ripristinare la connessione di processo, eseguire il test di tenuta, confermare che l'uscita legga correttamente rispetto al processo e rimuovere il bypass con un controllo documentato.

Checklist: prima di estendere un intervallo

• Identificare il modello, il range e il servizio del trasmettitore, e confermare l'intervallo attuale e quanto ipotizzato dalla verifica SIL.
• Confermare se la calibrazione fa parte del proof test e quale copertura fornisce per le linee di impulso e la connessione di processo.
• Raccogliere i dati as-found di ogni ciclo, registrati prima della regolazione.
• Verificare che il riferimento e la procedura di calibrazione siano in grado di risolvere il drift previsto tra le visite.
• Definire la tolleranza as-found in base al requisito di sicurezza del loop, non in base alla precisione del datasheet.
• Analizzare i trend e la direzione del drift, non solo i risultati passa/fallisce.
• Raggruppare i dispositivi solo se modello, range e servizio sono simili.
• Rieseguire il calcolo della PFDavg con l'intervallo proposto e confermare che soddisfi il target.
• Esaminare ogni evento fuori tolleranza e il suo effetto sull'ipotesi del tasso di guasto.
• Approvare tramite la gestione del cambiamento (MOC) e aggiornare le procedure e il piano di manutenzione.
• Rivalutare dopo il primo ciclo esteso.

Conclusione e prossimi passi

Iniziare con i trasmettitori che hanno la più lunga cronologia as-found pulita e le condizioni di servizio più costanti. Confermare che l'apparecchiatura di riferimento sia in grado di risolvere il drift previsto e rieseguire il calcolo PFD prima di modificare il programma. Dove le prove sono scarse, mantenere l'intervallo esistente e migliorare prima i dati. Per la base operativa, consultare la nota tecnica di Emerson e il metodo di calcolo di Fuji Electric insieme al manuale di sicurezza del trasmettitore.