Intervalos de Calibração e Gestão de Drift para Transmissores de Pressão em Sistemas Instrumentados de Segurança

Por que os intervalos de calibração em transmissores SIS tornam-se um problema de custo e risco

Uma planta típica define um intervalo de calibração para cada transmissor de pressão no sistema instrumentado de segurança (SIS) no comissionamento. Anos depois, esse número ainda está no sistema de manutenção, e ninguém se lembra de onde veio. Cada calibração significa um bypass ou override, uma permissão, isolamento e acesso a um dispositivo que pode estar em uma área classificada. Cada visita também expõe o técnico a algum risco, deixa a proteção reduzida por um tempo e carrega uma chance real de deixar a malha no estado incorreto.

Alongar os intervalos cegamente não é a solução. O drift é uma das formas pelas quais um transmissor de segurança falha perigosamente sem avisar ninguém. Estenda o intervalo sem evidências e a probabilidade de falha sob demanda (PFD) que o projeto assumiu pode silenciosamente deixar de ser verdadeira.

A saída é tratar o intervalo de calibração como uma hipótese, algo que os dados as-found confirmam ou derrubam. Esses mesmos dados também precisam estar em conformidade com o intervalo de teste de prova usado na verificação SIL.

Contexto de normas e requisitos

Três documentos enquadram a discussão:

• O IEC 61511 abrange a segurança funcional para sistemas instrumentados de segurança no setor da indústria de processos. Ele atribui a responsabilidade ao proprietário/operador de definir procedimentos e intervalos de teste de prova, verificar se o SIS atende à integridade exigida e gerenciar mudanças nessas premissas. Também espera que o usuário justifique o equipamento para uma determinada aplicação, inclusive por meio de experiência operacional documentada (uso prévio).
• O IEC 61508 é a norma genérica de segurança funcional para sistemas elétricos, eletrônicos e eletrônicos programáveis relacionados à segurança. Ele fundamenta o FMEDA do fabricante e o manual de segurança que acompanha um transmissor certificado.
• O ISA-TR84.00.02 é o relatório técnico sobre técnicas de verificação SIL. Ele fornece as equações simplificadas que as pessoas realmente usam para relacionar taxas de falha, intervalo de teste de prova e PFD.

Na prática, dois documentos regem qualquer mudança. O primeiro é o manual de segurança do transmissor, que fornece a taxa de falha perigosa não detectada e as premissas por trás dela. O segundo é o cálculo de verificação SIL para a malha, que fixa o intervalo de teste de prova e a cobertura de teste de prova em que o projeto se baseou.

Calibração não é o mesmo que um teste de prova

As pessoas confundem esses dois o tempo todo, e a confusão leva a decisões ruins em ambas as direções.

• Calibração compara a saída do transmissor com uma referência rastreável em toda a faixa e a ajusta, se necessário. Ela quantifica o drift, que é um mecanismo de falha.
• Teste de prova é um teste periódico projetado para revelar falhas perigosas não detectadas em toda a função de detecção. Isso é mais do que o sensor. Abrange linhas de impulso e manifold, conexão de processo, caminho do sinal de saída, a resposta da entrada do resolvedor lógico e, idealmente, a ação do elemento final.

Uma calibração sozinha raramente oferece cobertura total de teste de prova. Uma linha de impulso entupida ou uma válvula de raiz fechada não aparecerão se o calibrador estiver conectado downstream dela. Por outro lado, um teste de prova bem projetado que aplica pressão através da conexão de processo pode detectar tanto o drift quanto o bloqueio.

A relação simplificada para um único elemento (1oo1) é:

PFDavg ≈ λDU × TI / 2

onde λDU é a taxa de falha perigosa não detectada e TI é o intervalo de teste de prova. Com uma cobertura de teste de prova C imperfeita, um refinamento comum é:

PFDavg ≈ C × λDU × TI / 2 + (1 − C) × λDU × LT / 2

onde LT é a vida útil ou o intervalo para um teste mais completo ou substituição. Duas consequências seguem:

• Se a calibração for o teste de prova, alongá-la aumenta a PFDavg em proporção direta. A extensão deve caber dentro da margem que a verificação SIL já possui.
• Se a cobertura for baixa, o termo (1 − C) é pago ao longo de toda a vida útil. Uma cobertura melhor geralmente vale mais do que um intervalo mais curto.

Construindo a justificativa: da especificação aos dados de campo

Comece pelos dados de estabilidade do fabricante

Nem a recomendação geral de um regulador nem o hábito dizem como um transmissor específico em um serviço específico se comportará. A especificação de estabilidade fornece uma primeira estimativa, assim como o método de cálculo da Fuji Electric. Ela define o intervalo a partir da precisão necessária e do desvio (drift) que o dispositivo está especificado para apresentar ao longo do tempo.

Valide com seus próprios dados as-found

Os valores de especificação descrevem uma população sob condições de referência. O seu serviço adiciona vibração, ciclos de temperatura, eventos de sobrepressão, incrustação do processo e efeitos do fluido de selagem. Após dois a três ciclos de calibração, analise o desvio real as-found para cada sensor e decida se o intervalo se sustenta.

O que você analisa importa mais do que quantos ciclos você tem:

• Erro as-found no zero e no span, registrado antes de qualquer ajuste. Ajuste primeiro e você terá destruído a evidência.
• Direção e consistência. A dispersão aleatória dentro da incerteza do calibrador conta uma história diferente de um movimento constante em uma única direção.
• Agrupamento. Transmissores do mesmo modelo, faixa, serviço e montagem podem ser agrupados, mas apenas se se comportarem estatisticamente da mesma forma. Um separador de gás úmido e um coletor de gás combustível seco são populações diferentes.
• Incerteza do padrão de calibração. Se a referência e o procedimento não conseguirem resolver o desvio que você está tentando captar, os dados não podem sustentar uma extensão.

Comparando abordagens de definição de intervalo

Exemplo prático ilustrativo: taxa de desvio a partir de uma especificação declarada

Os valores de especificação abaixo vêm do método Fuji Electric. O cenário em torno deles é ilustrativo, não um caso real de planta.

Declarado: um transmissor com um limite superior de faixa (URL) de 320 mbar, e um desvio máximo declarado de ±0.32 mbar ao longo de 10 anos.

1. Desvio como fração do URL: 0.32 mbar ÷ 320 mbar = 0.001, que é 0.1 % do URL ao longo de 10 anos.
2. Taxa de desvio anual: 0.32 mbar ÷ 10 anos = 0.032 mbar por ano.
3. Taxa de desvio mensal: 0.032 mbar/ano ÷ 12 meses/ano = 0.00267 mbar por mês.

Isso pressupõe que o desvio se acumula linearmente, o que é uma simplificação. O valor de 0.032 mbar por ano é um envelope de especificação, não uma previsão para o seu dispositivo.

Leitura ilustrativa do resultado. O valor anual é muito pequeno. Antes que os dados de campo possam justificar uma extensão, a referência e o procedimento de calibração devem resolver diferenças desta magnitude. Se a incerteza do calibrador e a resolução da leitura forem maiores do que o desvio esperado entre duas visitas, os resultados as-found mostrarão principalmente ruído. Nesse caso, os dados não podem sustentar um intervalo mais longo, nem podem provar que o desvio está ausente.

Lógica de decisão. Suponha que o registro as-found, ao longo do intervalo inicial de 12 meses e dos dois a três ciclos seguintes, permaneça dentro da tolerância definida da malha. Suponha que não haja uma direção consistente e que a referência tenha sido boa o suficiente para ver o movimento real. Isso apoia uma extensão gradual. Se qualquer resultado as-found estiver fora da tolerância, ou se uma tendência estiver indo em direção a ela, mantenha ou encurte o intervalo e investigue. A tolerância em si deve vir dos requisitos de segurança da malha e da verificação de SIL, não da declaração de precisão do fabricante.

Mantendo a integridade SIL ao estender

1. Execute novamente a verificação de SIL com o novo intervalo. Use o λDU do manual de segurança e a cobertura do teste de prova (proof-test) que você pode realmente demonstrar. Se o PFDavg não atender mais à meta, a extensão não é permitida, independentemente do que digam os dados de desvio.
2. Estenda em etapas. Dê um passo, colete outro ciclo de dados as-found e, em seguida, decida sobre o próximo.
3. Trate resultados as-found fora de tolerância como potenciais falhas perigosas. Registre-os, encontre a causa e insira-os na premissa da taxa de falha. Um padrão em um grupo de dispositivos desafia o argumento de uso prévio (prior-use).
4. Separe a calibração do teste de prova onde isso ajudar. Um teste de prova completo através da conexão do processo pode permanecer em seu próprio intervalo, enquanto uma verificação de calibração mais leve é ajustada. Verifique se as alegações de cobertura ainda se sustentam após a separação.
5. Credite diagnósticos online com cuidado. Alarmes de desvio entre transmissores redundantes podem captar desvios entre testes. Credite-os apenas onde a detecção for validada, alarmada e sofrer ação dentro do tempo de segurança do processo.
6. Gerencie a mudança formalmente. A extensão altera a documentação do ciclo de vida de segurança. Atualize o procedimento de teste de prova, o sistema de manutenção e o relatório de verificação em conjunto.

Precauções de segurança para calibração de campo e testes de prova

Qualquer trabalho que isole, ventile ou conecte a um transmissor em serviço de hidrocarbonetos necessita destes controles:

• Obter um bypass de SIS ou sobreposição (override) aprovado com medidas compensatórias documentadas e confirmar que a condição do processo o permite.
• Isolar o transmissor nas válvulas de raiz ou de bloqueio conforme a permissão e realizar o bloqueio e etiquetagem (LOTO) dos pontos de isolamento.
• Despressurizar através da rota de ventilação ou dreno para um local seguro, como um dreno fechado ou flare, nunca para a área de trabalho.
• Verificar energia zero no transmissor antes de desconectar qualquer conexão.
• Realizar detecção de gás durante a ventilação e enquanto a linha de impulso estiver aberta, e aplicar as precauções de área clasificada. Use calibradores certificados e ferramentas adequadas para a zona.
• Após o teste, restaurar a conexão de processo, realizar teste de estanqueidade, confirmar se a leitura de saída está correta em relação ao processo e remover o bypass com uma verificação documentada.

Checklist: antes de estender um intervalo

• Identificar o modelo, faixa e serviço do transmissor, e confirmar o intervalo atual e o que foi assumido na verificação de SIL.
• Confirmar se a calibração faz parte do teste de prova e qual cobertura ela oferece para as linhas de impulso e a conexão de processo.
• Coletar dados as-found de cada ciclo, registrados antes do ajuste.
• Verificar se a referência e o procedimento de calibração podem resolver o desvio (drift) esperado entre as visitas.
• Definir a tolerância as-found a partir do requisito de segurança da malha, não da precisão da folha de dados.
• Analisar tendências e a direção do desvio, não apenas os resultados de passa/falha.
• Agrupar dispositivos apenas onde o modelo, faixa e serviço sejam semelhantes.
• Refazer o cálculo de PFDavg com o intervalo proposto e confirmar se ele atende à meta.
• Revisar qualquer evento fora de tolerância e seu efeito na suposição da taxa de falha.
• Aprovar através da gestão de mudanças e atualizar os procedimentos e o cronograma de manutenção.
• Reavaliar após o primeiro ciclo estendido.

Conclusão e próximos passos

Comece com os transmissores que possuem o histórico as-found limpo mais longo e as condições de serviço mais consistentes. Confirme se seu equipamento de referência pode resolver o desvio esperado e refaça o cálculo de PFD antes de alterar o cronograma. Onde as evidências forem escassas, mantenha o intervalo existente e melhore os dados primeiro. Para a base técnica, leia a nota técnica da Emerson e o método de cálculo da Fuji Electric junto com o manual de segurança do transmissor.