Почему интервалы калибровки датчиков SIS становятся проблемой стоимости и рисков

Типичный завод устанавливает один интервал калибровки для каждого датчика давления в системе противоаварийной защиты (SIS) при запуске. Спустя годы это число все еще остается в системе технического обслуживания, и никто не помнит, откуда оно взялось. Каждая калибровка означает байпас или принудительную установку значений, разрешение на работы, изоляцию и доступ к устройству, которое может находиться во взрывоопасной зоне. Каждый визит также подвергает техника определенному риску, на время снижает уровень защиты и несет реальный риск оставить контур в неправильном состоянии.

Слепое увеличение интервалов — не выход. Дрейф — это один из способов, которым защитный датчик опасно отказывает, никого не уведомляя. Продлите интервал без доказательств, и вероятность отказа по требованию (PFD), заложенная в проекте, может незаметно перестать соответствовать действительности.

Выход состоит в том, чтобы рассматривать интервал калибровки как гипотезу, которую фактические данные либо подтверждают, либо опровергают. Эти же данные также должны согласовываться с интервалом контрольных испытаний, используемым при верификации SIL.

Контекст стандартов и требований

Обсуждение определяют три документа:

  • IEC 61511 охватывает функциональную безопасность для систем противоаварийной защиты в перерабатывающей промышленности. Он возлагает на владельца/оператора ответственность за определение процедур и интервалов контрольных испытаний, проверку соответствия SIS требуемой целостности и управление изменениями этих допущений. Он также ожидает от пользователя обоснования применения оборудования, в том числе на основе документированного опыта эксплуатации (предыдущего использования).
  • IEC 61508 — это общий стандарт функциональной безопасности для электрических, электронных и программируемых электронных систем, связанных с безопасностью. Он лежит в основе FMEDA производителя и руководства по безопасности, прилагаемого к сертифицированному датчику.
  • ISA-TR84.00.02 — это технический отчет о методах верификации SIL. В нем приведены упрощенные уравнения, которые люди фактически используют для связи интенсивности отказов, интервала контрольных испытаний и PFD.

На практике любые изменения регулируются двумя документами. Первый — это руководство по безопасности датчика, в котором указана интенсивность опасных необнаруженных отказов и допущения, лежащие в ее основе. Второй — расчет верификации SIL для контура, который фиксирует интервал контрольных испытаний и охват контрольных испытаний, на которые опирался проект.

Калибровка — это не то же самое, что контрольное испытание

Люди постоянно путают эти два понятия, и эта путаница приводит к неверным решениям в обоих направлениях.

  • Калибровка сравнивает выходной сигнал датчика с эталоном во всем диапазоне и корректирует его при необходимости. Она количественно определяет дрейф, который является одним из механизмов отказа.
  • Контрольное испытание — это периодическое испытание, предназначенное для выявления опасных необнаруженных отказов во всей функции измерения. Это больше, чем просто датчик. Оно охватывает импульсные линии и манифольд, технологическое соединение, путь выходного сигнала, реакцию входа логического контроллера и, в идеале, действие исполнительного элемента.

Одна только калибровка редко обеспечивает полный охват контрольного испытания. Засоренная импульсная линия или закрытый коренной клапан не проявятся, если калибратор подключен даунстрим от них. С другой стороны, хорошо спланированное контрольное испытание, при котором давление подается через технологическое соединение, может выявить как дрейф, так и засорение.

Упрощенная зависимость для одного элемента (1oo1):

PFDavg ≈ λDU × TI / 2

где λDU — интенсивность опасных необнаруженных отказов, а TI — интервал контрольных испытаний. При неполном охвате контрольных испытаний C часто используется уточнение:

PFDavg ≈ C × λDU × TI / 2 + (1 − C) × λDU × LT / 2

где LT — срок службы или интервал до более полного испытания или замены. Из этого следуют два последствия:

  • Если калибровка является контрольным испытанием, ее удлинение пропорционально увеличивает PFDavg. Продление должно укладываться в запас, который уже имеется при верификации SIL.
  • Если охват плохой, член (1 − C) учитывается на протяжении всего срока службы. Лучший охват часто ценнее, чем более короткий интервал.

Обоснование интервалов: от спецификаций до полевых данных

Начните с данных производителя о стабильности

Ни общие рекомендации регулятора, ни привычка не подскажут вам, как поведет себя конкретный датчик в конкретных условиях эксплуатации. Спецификация стабильности дает первую оценку, как и метод расчета Fuji Electric. Она устанавливает интервал, исходя из требуемой точности и дрейфа, указанного для устройства на определенный период времени.

Подтвердите собственными данными «как найдено» (as-found)

Значения в спецификациях описывают совокупность устройств в эталонных условиях. Ваша эксплуатация добавляет вибрацию, температурные циклы, скачки давления, загрязнение процесса и влияние разделительных жидкостей. После двух-трех циклов калибровки проанализируйте фактический дрейф «как найдено» для каждого датчика и решите, выдерживается ли интервал.

То, что вы анализируете, важнее количества циклов:

  • Погрешность «как найдено» в нуле и в диапазоне, зафиксированная до любой регулировки. Отрегулируете сначала — и вы уничтожите доказательства.
  • Направление и последовательность. Случайный разброс в пределах погрешности калибратора говорит совсем о другом, чем устойчивое смещение в одном направлении.
  • Группировка. Датчики одной модели, диапазона, условий эксплуатации и способа монтажа можно объединять, но только если они ведут себя статистически одинаково. Сепаратор влажного газа и коллектор сухого топливного газа — это разные совокупности.
  • Погрешность эталона калибровки. Если эталон и процедура не позволяют зафиксировать дрейф, который вы пытаетесь отследить, данные не могут служить основанием для продления интервала.

Сравнение подходов к установке интервалов

Подход Основание Преимущество Недостаток
Фиксированный интервал для всех устройств Устоявшаяся практика или правила предприятия Простота планирования Нет связи с допущениями SIL или реальным поведением
Расчет на основе спецификаций Стабильность производителя и требуемая точность Обоснованная отправная точка, быстрота Игнорирует условия эксплуатации
На основе данных, по устройствам или группам История «как найдено» и тренд Отражает реальный дрейф; позволяет продлевать или сокращать интервал Требует дисциплинированного ведения записей и определенного допуска
На основе данных плюс онлайн-сравнение То же, что выше, плюс мониторинг отклонений между резервными датчиками или по смежному измерению Обнаруживает дрейф между проверками Учитывается в PFD только при валидации и документировании

Иллюстративный пример: расчет скорости дрейфа по спецификации

Приведенные ниже значения спецификаций взяты из методики Fuji Electric. Сценарий является иллюстративным, а не реальным случаем на заводе.

Дано: датчик с верхним пределом диапазона (URL) 320 mbar и заявленным максимальным дрейфом ±0.32 mbar за 10 лет.

  1. Дрейф как доля от URL: 0.32 mbar ÷ 320 mbar = 0.001, что составляет 0.1 % от URL за 10 лет.
  2. Годовая скорость дрейфа: 0.32 mbar ÷ 10 лет = 0.032 mbar в год.
  3. Ежемесячная скорость дрейфа: 0.032 mbar/год ÷ 12 месяцев/год = 0.00267 mbar в месяц.

Здесь предполагается, что дрейф накапливается линейно, что является упрощением. Значение 0.032 mbar в год — это граница спецификации, а не прогноз для вашего устройства.

Иллюстративная интерпретация результата. Годовой показатель очень мал. Прежде чем полевые данные смогут обосновать продление, эталон и процедура калибровки должны уметь фиксировать различия такого масштаба. Если погрешность калибратора и разрешение показаний больше, чем дрейф, который вы ожидаете между двумя визитами, результаты «как найдено» будут показывать в основном шум. В этом случае данные не могут подтвердить более длительный интервал, но и не могут доказать отсутствие дрейфа.

Логика принятия решения. Предположим, что записи «как найдено» за начальный 12-месячный интервал и последующие два-три цикла остаются в пределах заданного допуска контура. Предположим, что нет постоянного направления дрейфа, а эталон был достаточно точен, чтобы увидеть реальное движение. Это дает основания для поэтапного продления. Если какой-либо результат «как найдено» выходит за пределы допуска или тренд направлен к нему, сохраните или сократите интервал и проведите расследование. Сам допуск должен основываться на требованиях безопасности контура и верификации SIL, а не на заявлении производителя о точности.

Сохранение целостности SIL при продлении интервала

  1. Повторно проведите верификацию SIL с новым интервалом. Используйте λDU из руководства по безопасности и охват контрольных испытаний (proof-test coverage), который вы действительно можете подтвердить. Если PFDavg больше не соответствует целевому значению, продление недопустимо, что бы ни говорили данные о дрейфе.
  2. Продлевайте поэтапно. Сделайте один шаг, соберите данные еще за один цикл «как найдено», затем принимайте решение о следующем шаге.
  3. Рассматривайте результаты «как найдено» вне допуска как потенциально опасные отказы. Фиксируйте их, ищите причину и вносите их в расчет интенсивности отказов. Закономерность в группе устройств ставит под сомнение аргумент о «подтвержденном опыте эксплуатации» (prior-use).
  4. Разделяйте калибровку и контрольные испытания, где это целесообразно. Полное контрольное испытание через технологическое присоединение может оставаться на своем интервале, в то время как более простая проверка калибровки корректируется. Убедитесь, что заявленный охват испытаний остается в силе после разделения.
  5. Осторожно учитывайте онлайн-диагностику. Сигнализация отклонений между резервными датчиками может выявить дрейф между тестами. Учитывайте их только там, где обнаружение валидировано, сигнализируется и на него реагируют в течение времени безопасного технологического процесса.
  6. Формально управляйте изменениями. Продление интервала меняет документацию жизненного цикла безопасности. Одновременно обновите процедуру контрольных испытаний, систему технического обслуживания и отчет о верификации.

Меры безопасности при полевой калибровке и контрольных испытаниях

Любые работы, связанные с изоляцией, дренированием или подключением к трансмиттеру на углеводородной среде, требуют следующих мер контроля:

  • Получите утвержденный байпас SIS или принудительное изменение состояния (override) с задокументированными компенсирующими мерами и подтвердите, что состояние процесса это позволяет.
  • Изолируйте трансмиттер на коренных или отсечных клапанах в соответствии с нарядом-допуском и заблокируйте (LOTO) точки изоляции.
  • Сбросьте давление через дренажную или продувочную линию в безопасное место, например, в закрытый дренаж или на факел, но никогда не в рабочую зону.
  • Убедитесь в отсутствии остаточной энергии на трансмиттере перед отсоединением любых фитингов.
  • Проводите газовый мониторинг во время дренирования и пока импульсная линия открыта, соблюдая меры предосторожности для взрывоопасная зона. Используйте сертифицированные калибраторы и инструменты, подходящие для данной зоны.
  • После испытания восстановите технологическое соединение, проверьте его на герметичность, подтвердите правильность выходных показаний относительно процесса и снимите байпас с документальным подтверждением.

Контрольный список: перед продлением интервала

  • Идентифицируйте модель, диапазон и условия эксплуатации трансмиттера, подтвердите текущий интервал и допущения, принятые при верификации SIL.
  • Подтвердите, является ли калибровка частью контрольного испытания и какой охват она обеспечивает для импульсных линий и технологического соединения.
  • Соберите фактические данные (as-found) по каждому циклу, зафиксированные до проведения регулировки.
  • Убедитесь, что эталон для калибровки и процедура позволяют выявить дрейф, ожидаемый между проверками.
  • Определите допуск для фактических данных (as-found) на основе требований безопасности контура, а не на основе точности из технического паспорта.
  • Изучайте тренды и направление дрейфа, а не только результаты «годен/не годен».
  • Объединяйте устройства в группы только при совпадении модели, диапазона и условий эксплуатации.
  • Повторно рассчитайте PFDavg с предлагаемым интервалом и подтвердите соответствие целевому значению.
  • Проанализируйте любой случай выхода за пределы допуска и его влияние на принятую интенсивность отказов.
  • Утвердите изменения через процедуру управления изменениями (MOC) и обновите регламенты и график обслуживания.
  • Проведите повторную оценку после первого продленного цикла.

Заключение и следующие шаги

Начните с трансмиттеров, имеющих самую длительную историю стабильных фактических данных (as-found) и наиболее постоянные условия эксплуатации. Убедитесь, что ваше эталонное оборудование способно зафиксировать ожидаемый дрейф, и пересчитайте PFD перед изменением графика. Если доказательств недостаточно, сохраните существующий интервал и сначала улучшите сбор данных. Для детальной проработки изучите техническую записку Emerson и метод расчета Fuji Electric вместе с руководством по безопасности трансмиттера.