Les tests de preuve font partie intégrante du maintien de l'intégrité de sécurité de nos systèmes instrumentés de sécurité (SIS) et de nos systèmes liés à la sécurité (par exemple, alarmes critiques, systèmes d'incendie et de gaz, systèmes de verrouillage instrumentés, etc.). Un test périodique est un test périodique visant à détecter les pannes dangereuses, à tester les fonctionnalités liées à la sécurité (par exemple, réinitialisation, contournements, alarmes, diagnostics, arrêt manuel, etc.) et à garantir que le système répond aux normes de l'entreprise et externes. Les résultats des tests de validation constituent également une mesure de l'efficacité du programme d'intégrité mécanique du SIS et de la fiabilité sur le terrain du système.
Les procédures de test de preuve couvrent les étapes de test depuis l'acquisition des permis, l'envoi de notifications et la mise hors service du système pour les tests jusqu'à la garantie de tests complets, la documentation du test de preuve et de ses résultats, la remise en service du système et l'évaluation des résultats des tests actuels et des preuves précédentes. résultats de test.
ANSI/ISA/IEC 61511-1, article 16, couvre les tests de validation SIS. Le rapport technique ISA TR84.00.03 – « Intégrité mécanique des systèmes instrumentés de sécurité (SIS) » couvre les tests de preuve et est actuellement en cours de révision avec une nouvelle version attendue prochainement. Le rapport technique ISA TR96.05.02 – « Tests de preuve in situ des vannes automatisées » est actuellement en cours d'élaboration.
Le rapport HSE britannique CRR 428/2002 – « Principes pour les tests de preuve des systèmes instrumentés de sécurité dans l'industrie chimique » fournit des informations sur les tests de preuve et sur ce que font les entreprises au Royaume-Uni.
Une procédure de test de preuve est basée sur une analyse des modes de défaillance dangereuse connus pour chacun des composants du chemin de déclenchement de la fonction instrumentée de sécurité (SIF), de la fonctionnalité SIF en tant que système et de la manière (et si) de tester la défaillance dangereuse. mode. Le développement des procédures doit commencer dès la phase de conception du SIF avec la conception du système, la sélection des composants et la détermination du moment et de la manière de procéder aux tests. Les instruments SIS présentent différents degrés de difficulté en matière de tests de validation qui doivent être pris en compte lors de la conception, du fonctionnement et de la maintenance du SIF. Par exemple, les compteurs à orifice et les transmetteurs de pression sont plus faciles à tester que les débitmètres massiques Coriolis, les compteurs magnétiques ou les capteurs de niveau radar aéroportés. L'application et la conception de la vanne peuvent également affecter l'exhaustivité du test d'étanchéité de la vanne afin de garantir que les défaillances dangereuses et naissantes dues à une dégradation, un colmatage ou des défaillances dépendant du temps n'entraînent pas de défaillance critique au cours de l'intervalle de test sélectionné.
Bien que les procédures de tests périodiques soient généralement élaborées au cours de la phase d'ingénierie du SIF, elles doivent également être examinées par le responsable technique du SIS du site, les opérations et les techniciens des instruments qui effectueront les tests. Une analyse de la sécurité du travail (JSA) doit également être effectuée. Il est important d'obtenir l'adhésion de l'usine sur les tests qui seront effectués et à quel moment, ainsi que sur leur faisabilité physique et en matière de sécurité. Par exemple, il ne sert à rien de prescrire un essai de course partielle lorsque le groupe des opérations n'accepte pas de le faire. Il est également recommandé que les procédures de test de preuve soient examinées par un expert en la matière (SME) indépendant. Les tests typiques requis pour un test fonctionnel complet sont illustrés dans la figure 1.
Exigences relatives aux tests fonctionnels complets Figure 1 : Une spécification de test fonctionnel complet pour une fonction instrumentée de sécurité (SIF) et son système instrumenté de sécurité (SIS) doit préciser ou faire référence aux étapes dans l'ordre depuis les préparations de test et les procédures de test jusqu'aux notifications et à la documentation. .
Figure 1 : Une spécification complète de test de validation de fonction pour une fonction instrumentée de sécurité (SIF) et son système instrumenté de sécurité (SIS) doit préciser ou faire référence aux étapes dans l'ordre depuis les préparations de test et les procédures de test jusqu'aux notifications et à la documentation.
Les tests de preuve sont une action de maintenance planifiée qui doit être effectuée par un personnel compétent formé aux tests SIS, à la procédure de preuve et aux boucles SIS qu'ils vont tester. Il devrait y avoir une revue pas à pas de la procédure avant d'effectuer le test de vérification initial, et un retour d'informations au responsable technique du SIS du site par la suite pour des améliorations ou des corrections.
Il existe deux modes de défaillance principaux (sûr ou dangereux), qui sont subdivisés en quatre modes : dangereux non détecté, dangereux détecté (par diagnostic), sûr non détecté et sûr détecté. Les termes de défaillance dangereuse et dangereuse non détectée sont utilisés de manière interchangeable dans cet article.
Dans les tests de preuve SIF, nous nous intéressons principalement aux modes de défaillance dangereux non détectés, mais s'il existe des diagnostics utilisateur qui détectent des défaillances dangereuses, ces diagnostics doivent être testés. Notez que contrairement aux diagnostics utilisateur, les diagnostics internes de l'appareil ne peuvent généralement pas être validés comme étant fonctionnels par l'utilisateur, ce qui peut influencer la philosophie des tests de validation. Lorsque le crédit pour les diagnostics est pris en compte dans les calculs SIL, les alarmes de diagnostic (par exemple les alarmes hors plage) doivent être testées dans le cadre du test de validation.
Les modes de défaillance peuvent être divisés en ceux testés lors d'un test de preuve, ceux non testés et les défaillances naissantes ou les défaillances dépendant du temps. Certains modes de défaillance dangereux peuvent ne pas être directement testés pour diverses raisons (par exemple difficulté, décision technique ou opérationnelle, ignorance, incompétence, omission ou commission d'erreurs systématiques, faible probabilité d'occurrence, etc.). S'il existe des modes de défaillance connus qui ne seront pas testés, une compensation doit être effectuée dans la conception du dispositif, la procédure de test, le remplacement ou la reconstruction périodique du dispositif, et/ou des tests d'inférence doivent être effectués pour minimiser l'effet sur l'intégrité du SIF de l'absence de test.
Une défaillance naissante est un état ou une condition dégradante telle qu'une défaillance critique et dangereuse peut raisonnablement se produire si des mesures correctives ne sont pas prises en temps opportun. Ils sont généralement détectés par comparaison des performances avec des tests de référence récents ou initiaux (par exemple, signatures de vannes ou temps de réponse des vannes) ou par inspection (par exemple, un port de processus bouché). Les défaillances naissantes dépendent généralement du temps : plus le dispositif ou l'ensemble est en service longtemps, plus il se dégrade ; les conditions qui facilitent une défaillance aléatoire deviennent plus probables, le colmatage des ports de processus ou l'accumulation de capteurs au fil du temps, la durée de vie utile est écoulée, etc. Par conséquent, plus l'intervalle de test de vérification est long, plus une défaillance naissante ou dépendante du temps est probable. Toutes les protections contre les défaillances naissantes doivent également être testées (purge des ports, traçage thermique, etc.).
Les procédures doivent être écrites pour tester les défaillances dangereuses (non détectées). Les techniques d'analyse des modes de défaillance et de leurs effets (FMEA) ou d'analyse des modes de défaillance, de leurs effets et de leur diagnostic (FMEDA) peuvent aider à identifier les défaillances dangereuses non détectées et les domaines dans lesquels la couverture des tests de preuve doit être améliorée.
De nombreuses procédures de test de preuve sont basées sur une expérience écrite et des modèles de procédures existantes. Les nouvelles procédures et les SIF plus complexes nécessitent une approche plus technique utilisant FMEA/FMEDA pour analyser les défaillances dangereuses, déterminer comment la procédure de test testera ou non ces défaillances et la couverture des tests. Un schéma fonctionnel d'analyse des modes de défaillance au niveau macro pour un capteur est présenté dans la figure 2. L'AMDEC ne doit généralement être effectuée qu'une seule fois pour un type particulier d'appareil et réutilisée pour des appareils similaires en tenant compte de leurs capacités de service de processus, d'installation et de test sur site. .
Analyse des défaillances au niveau macro Figure 2 : Ce schéma fonctionnel d'analyse des modes de défaillance au niveau macro pour un capteur et un transmetteur de pression (PT) montre les principales fonctions qui seront généralement décomposées en plusieurs analyses de micro-défaillances pour définir pleinement les défaillances potentielles à résoudre. dans les tests de fonctionnement.
Figure 2 : Ce schéma fonctionnel d'analyse des modes de défaillance au niveau macro pour un capteur et un transmetteur de pression (PT) montre les principales fonctions qui seront généralement décomposées en plusieurs analyses de micro-défaillances afin de définir pleinement les défaillances potentielles à traiter dans les tests de fonctionnement.
Le pourcentage de défaillances connues, dangereuses et non détectées qui font l'objet d'un test de preuve est appelé couverture du test de preuve (PTC). Le PTC est couramment utilisé dans les calculs SIL pour « compenser » l’échec d’un test plus complet du SIF. Les gens croient à tort que parce qu’ils ont pris en compte le manque de couverture des tests dans leur calcul SIL, ils ont conçu un SIF fiable. Le simple fait est que si votre couverture de test est de 75 %, et si vous tenez compte de ce chiffre dans votre calcul SIL et testez les éléments que vous testez déjà plus souvent, 25 % des défaillances dangereuses peuvent toujours se produire statistiquement. Je ne veux certainement pas faire partie de ces 25 %.
Les rapports d'approbation FMEDA et les manuels de sécurité des appareils fournissent généralement une procédure de test de preuve minimale et une couverture de test de preuve. Ceux-ci ne fournissent que des conseils, et non toutes les étapes de test requises pour une procédure de test de preuve complète. D'autres types d'analyse des défaillances, tels que l'analyse des arbres de défaillances et la maintenance centrée sur la fiabilité, sont également utilisés pour analyser les défaillances dangereuses.
Les tests de preuve peuvent être divisés en tests fonctionnels complets (de bout en bout) ou fonctionnels partiels (Figure 3). Des tests fonctionnels partiels sont généralement effectués lorsque les composants du SIF ont des intervalles de test différents dans les calculs SIL qui ne correspondent pas aux arrêts ou aux redressements planifiés. Il est important que les procédures de tests fonctionnels partiels se chevauchent de manière à tester ensemble toutes les fonctionnalités de sécurité du SIF. Avec des tests fonctionnels partiels, il est toujours recommandé que le SIF effectue un test de preuve initial de bout en bout, puis des tests ultérieurs pendant les délais d'exécution.
Les tests de preuve partiels doivent s'additionner. Figure 3 : Les tests de preuve partiels combinés (en bas) doivent couvrir toutes les fonctionnalités d'un test de preuve fonctionnel complet (en haut).
Figure 3 : Les tests de preuve partiels combinés (en bas) doivent couvrir toutes les fonctionnalités d'un test de preuve fonctionnel complet (en haut).
Un test de preuve partiel ne teste qu'un pourcentage des modes de défaillance d'un appareil. Un exemple courant est le test de vanne à course partielle, où la vanne est légèrement déplacée (10 à 20 %) pour vérifier qu'elle n'est pas bloquée. Celui-ci a une couverture de test de preuve inférieure à celle du test de preuve à l'intervalle de test principal.
Les procédures de test de preuve peuvent varier en complexité en fonction de la complexité du SIF et de la philosophie de la procédure de test de l'entreprise. Certaines entreprises rédigent des procédures de test détaillées étape par étape, tandis que d'autres ont des procédures assez brèves. Des références à d'autres procédures, telles qu'un étalonnage standard, sont parfois utilisées pour réduire la taille de la procédure de test périodique et pour garantir la cohérence des tests. Une bonne procédure de test de validation doit fournir suffisamment de détails pour garantir que tous les tests sont correctement effectués et documentés, mais pas trop de détails pour inciter les techniciens à vouloir sauter des étapes. Demander au technicien responsable de l'exécution de l'étape de test de parapher l'étape de test terminée peut contribuer à garantir que le test sera effectué correctement. L'approbation du test de preuve terminé par le superviseur des instruments et les représentants des opérations soulignera également l'importance et garantira un test de preuve correctement complété.
Les commentaires des techniciens doivent toujours être sollicités pour aider à améliorer la procédure. Le succès d’une procédure de test de preuve repose en grande partie entre les mains du technicien, c’est pourquoi un effort de collaboration est fortement recommandé.
La plupart des tests de validation sont généralement effectués hors ligne lors d'un arrêt ou d'un redressement. Dans certains cas, des tests de validation peuvent être nécessaires en ligne pendant l'exécution pour satisfaire aux calculs SIL ou à d'autres exigences. Les tests en ligne nécessitent une planification et une coordination avec les opérations pour permettre que le test périodique soit effectué en toute sécurité, sans perturber le processus et sans provoquer de déclenchement intempestif. Il suffit d’un seul faux voyage pour épuiser tous vos attaboys. Au cours de ce type d'essai, lorsque le SIF n'est pas entièrement disponible pour accomplir sa tâche de sécurité, la norme 61511-1, clause 11.8.5, stipule que « des mesures compensatoires garantissant un fonctionnement sûr et continu doivent être prévues conformément à 11.3 lorsque le SIS est en contournement (réparation ou test). Une procédure de gestion de situation anormale doit accompagner la procédure de test de vérification pour garantir que celle-ci est correctement effectuée.
Un SIF est généralement divisé en trois parties principales : les capteurs, les solveurs logiques et les éléments finaux. Il existe également généralement des dispositifs auxiliaires qui peuvent être associés à chacune de ces trois parties (par exemple, barrières IS, amplificateurs de déclenchement, relais interposés, solénoïdes, etc.) qui doivent également être testés. Les aspects critiques du test de validation de chacune de ces technologies peuvent être trouvés dans la barre latérale « Test des capteurs, des solveurs logiques et des éléments finaux » (ci-dessous).
Certaines choses sont plus faciles à tester que d’autres. De nombreuses technologies modernes et quelques technologies plus anciennes en matière de débit et de niveau appartiennent à la catégorie la plus difficile. Il s'agit notamment des débitmètres Coriolis, des compteurs vortex, des compteurs magnétiques, des radars aériens, des niveaux à ultrasons et des commutateurs de processus in situ, pour n'en nommer que quelques-uns. Heureusement, bon nombre d’entre eux disposent désormais de diagnostics améliorés qui permettent d’améliorer les tests.
La difficulté de tester un tel dispositif sur le terrain doit être prise en compte dans la conception du SIF. Il est facile pour les ingénieurs de sélectionner des appareils SIF sans réfléchir sérieusement à ce qui serait nécessaire pour tester l'appareil, car ce ne sont pas eux qui les testeront. Cela est également vrai pour les tests de course partielle, qui sont un moyen courant d'améliorer une probabilité moyenne de défaillance à la demande (PFDavg) du SIF, mais plus tard, les opérations de l'usine ne veulent pas le faire, et bien souvent, elles ne le font pas. Assurer toujours la supervision en usine de l’ingénierie des SIF en ce qui concerne les tests de validation.
Le test de preuve doit inclure une inspection de l'installation du SIF et une réparation si nécessaire pour répondre à la norme 61511-1, clause 16.3.2. Il devrait y avoir une inspection finale pour s'assurer que tout est bien fermé, et une double vérification que le SIF a été correctement remis en service.
La rédaction et la mise en œuvre d’une bonne procédure de test sont une étape importante pour garantir l’intégrité du SIF tout au long de sa durée de vie. La procédure de test doit fournir suffisamment de détails pour garantir que les tests requis sont effectués et documentés de manière cohérente et sûre. Les défaillances dangereuses non testées par des tests de vérification doivent être compensées pour garantir que l'intégrité de sécurité du SIF est correctement maintenue tout au long de sa durée de vie.
La rédaction d'une bonne procédure de test de preuve nécessite une approche logique de l'analyse technique des défaillances dangereuses potentielles, la sélection des moyens et la rédaction des étapes de test de preuve qui correspondent aux capacités de test de l'usine. En cours de route, obtenez l'adhésion de l'usine à tous les niveaux pour les tests, formez les techniciens pour effectuer et documenter le test de validation et comprenez l'importance du test. Écrivez des instructions comme si vous étiez le technicien d'instruments qui devra effectuer le travail, et que la vie dépend de la réussite des tests, car c'est le cas.
Test des capteurs, des solveurs logiques et des éléments finaux Un SIF est généralement divisé en trois parties principales : les capteurs, les solveurs logiques et les éléments finaux. Il existe également généralement des dispositifs auxiliaires qui peuvent être associés à chacune de ces trois parties (par exemple, barrières IS, ampères de déclenchement, relais interposés, solénoïdes, etc.) qui doivent également être testés. Tests de vérification des capteurs : Le test de vérification des capteurs doit garantir que le Le capteur peut détecter la variable du processus sur toute sa plage et transmettre le signal approprié au solveur logique SIS pour évaluation. Bien que cela ne soit pas exhaustif, certains éléments à prendre en compte lors de la création de la partie capteur de la procédure de test de vérification sont indiqués dans le tableau 1. Tableau 1 : Considérations relatives au test de vérification du capteur, vérification du nettoyage des ports de processus/de l'interface de processus, accumulation importante constatée. Vérification des diagnostics internes, exécution étendue. diagnostics si disponibles Étalonnage du capteur (5 points) avec entrée de processus simulée au capteur, vérifié jusqu'au DCS, contrôle de dérive Vérification du point de déclenchement Alarmes haut/haut-haut/bas/bas-bas Redondance, dégradation du vote Hors plage, déviation, diagnostic alarmes Contournement et alarmes, réamorçage Diagnostics utilisateur Configuration de sécurité de l'émetteur vérifiée Test des systèmes associés (par exemple purge, traçage thermique, etc.) et des composants auxiliaires Inspection physique Documentation complète telle que trouvée et telle que laissée Test de preuve du solveur logique : lors de la preuve de toutes les fonctions les tests sont effectués, le rôle du solveur logique dans l'accomplissement de l'action de sécurité du SIF et les actions associées (par exemple alarmes, réinitialisation, contournements, diagnostics utilisateur, redondances, IHM, etc.) sont testés. Les tests fonctionnels partiels ou fragmentaires doivent réaliser tous ces tests dans le cadre des tests individuels qui se chevauchent. Le fabricant du solveur logique doit avoir une procédure de test de preuve recommandée dans le manuel de sécurité de l'appareil. Dans le cas contraire et au minimum, l'alimentation du solveur logique doit être coupée et les registres de diagnostic du solveur logique, les voyants d'état, les tensions d'alimentation, les liaisons de communication et la redondance doivent être vérifiés. Ces vérifications doivent être effectuées avant le test de preuve complet. Ne présumez pas que le logiciel est bon pour toujours et que la logique n'a pas besoin d'être testée après le test de preuve initial en tant que modifications logicielles et matérielles non documentées, non autorisées et non testées. les mises à jour peuvent s'infiltrer dans les systèmes au fil du temps et doivent être prises en compte dans votre philosophie globale de test de preuve. La gestion des journaux de modifications, de maintenance et de révision doit être revue pour garantir qu'ils sont à jour et correctement entretenus, et si possible, le programme d'application doit être comparé à la dernière sauvegarde. Il convient également de tester toute la logique utilisateur. fonctions auxiliaires et de diagnostic du solveur (par exemple chiens de garde, liaisons de communication, appareils de cybersécurité, etc.). Test de preuve des éléments finaux : la plupart des éléments finaux sont des vannes, cependant, des démarreurs de moteur d'équipement rotatif, des entraînements à vitesse variable et d'autres composants électriques tels que des contacteurs et des circuits. les disjoncteurs sont également utilisés comme éléments finaux et leurs modes de défaillance doivent être analysés et testés. Les principaux modes de défaillance des vannes sont le blocage, le temps de réponse trop lent ou trop rapide et les fuites, qui sont tous affectés par l'interface du processus de fonctionnement de la vanne. au moment du voyage. Bien que tester la vanne dans les conditions de fonctionnement soit le cas le plus souhaitable, les opérations seraient généralement opposées au déclenchement du SIF pendant que l'usine est en fonctionnement. La plupart des vannes SIS sont généralement testées lorsque l'usine est en panne à une pression différentielle nulle, ce qui constitue la condition de fonctionnement la moins exigeante. L'utilisateur doit être conscient de la pression différentielle de fonctionnement la plus défavorable et des effets de dégradation de la vanne et du processus, qui doivent être pris en compte dans la conception et le dimensionnement de la vanne et de l'actionneur. Généralement, pour compenser l'absence de test dans les conditions de fonctionnement du processus, une pression de sécurité supplémentaire/ Une marge de poussée/couple est ajoutée à l'actionneur de vanne et des tests de performances inférentiels sont effectués à l'aide de tests de base. Des exemples de ces tests inférentiels sont les cas où le temps de réponse de la vanne est chronométré, un positionneur intelligent ou un contrôleur de vanne numérique est utilisé pour enregistrer une courbe ou une signature de pression/position de la vanne, ou des diagnostics avancés sont effectués pendant le test de vérification et comparés aux résultats des tests précédents ou des lignes de base pour détecter la dégradation des performances de la vanne, indiquant un début de défaillance potentiel. De plus, si une fermeture étanche (TSO) est requise, le simple fait de toucher la vanne ne permettra pas de tester les fuites et un test de fuite périodique de la vanne devra être effectué. L'ISA TR96.05.02 est destinée à fournir des conseils sur quatre niveaux différents de test des vannes SIS et leur couverture typique des tests de validation, en fonction de la manière dont le test est instrumenté. Les personnes (en particulier les utilisateurs) sont encouragées à participer à l'élaboration de ce rapport technique (contactez crobinson@isa.org). Les températures ambiantes peuvent également affecter les charges de friction des vannes, de sorte que tester les vannes par temps chaud sera généralement la charge de friction la moins exigeante lorsque par rapport au fonctionnement par temps froid. En conséquence, des tests de validation des vannes à une température constante doivent être envisagés pour fournir des données cohérentes pour les tests inférentiels permettant de déterminer la dégradation des performances des vannes. Les vannes équipées de positionneurs intelligents ou d'un contrôleur de vanne numérique ont généralement la capacité de créer une signature de vanne qui peut être utilisé pour surveiller la dégradation des performances de la vanne. Une signature de vanne de base peut être demandée dans le cadre de votre bon de commande ou vous pouvez en créer une lors du test initial pour servir de référence. La signature de la vanne doit être effectuée à la fois pour l'ouverture et la fermeture de la vanne. Un diagnostic avancé de la valve doit également être utilisé s’il est disponible. Cela peut vous aider à savoir si les performances de votre vanne se détériorent en comparant les signatures et les diagnostics des tests de validation ultérieurs avec votre référence. Ce type de test peut aider à compenser le fait de ne pas tester la vanne aux pires pressions de fonctionnement. La signature de la vanne lors d'un test de vérification peut également permettre d'enregistrer le temps de réponse avec des horodatages, éliminant ainsi le besoin d'un chronomètre. Un temps de réponse accru est un signe de détérioration de la vanne et d'une augmentation de la charge de friction pour déplacer la vanne. Bien qu'il n'existe aucune norme concernant les changements dans le temps de réponse des vannes, une tendance négative des changements d'un test à l'autre indique une perte potentielle de la marge de sécurité et des performances de la vanne. Les tests d'étanchéité des vannes SIS modernes doivent inclure une signature de vanne dans le cadre de bonnes pratiques d'ingénierie. La pression d'alimentation en air de l'instrument de la vanne doit être mesurée lors d'un test d'épreuve. Alors que le ressort de soupape d'une soupape à ressort de rappel est ce qui ferme la soupape, la force ou le couple impliqué est déterminé par la compression du ressort de soupape par la pression d'alimentation de la soupape (selon la loi de Hooke, F = kX). Si votre pression d'alimentation est faible, le ressort ne se comprimera pas autant, donc moins de force sera disponible pour déplacer la vanne en cas de besoin. Bien que cela ne soit pas exhaustif, certains des éléments à prendre en compte lors de la création de la partie vanne de la procédure de test périodique sont indiqués dans le tableau 2. Tableau 2 : Considérations sur l'assemblage de la vanne à élément final Tester l'action de sécurité de la vanne à la pression de fonctionnement du procédé (meilleur mais généralement pas fait), et chronométrer le temps de réponse de la vanne. Vérifier la redondance. Testez l'action de sécurité de la vanne à pression différentielle nulle et le temps de réponse de la vanne temporisée. Vérifier la redondance Exécuter la signature et les diagnostics de la vanne dans le cadre du test de validation et comparer avec la ligne de base et le test précédent. Observer visuellement l'action de la vanne (action correcte sans vibration ou bruit inhabituel, etc.). Vérifiez le champ de la vanne et l'indication de position sur le DCS. Actionnez complètement la vanne au moins cinq fois pendant le test de vérification pour garantir la fiabilité de la vanne. (Ceci n'est pas destiné à corriger les effets de dégradation importants ou les défaillances naissantes). Examiner les dossiers de maintenance des vannes pour s'assurer que tout changement respecte les spécifications SRS de la vanne requises. Testez les diagnostics pour les systèmes à mise sous tension pour déclenchement. Testez les fuites si un arrêt étanche (TSO) est requis. Vérifiez la fonctionnalité d'alarme de désaccord de commande. Inspectez l'ensemble de la vanne et les composants internes. Retirez, testez et reconstruisez. si nécessaire Compléter la documentation telle que trouvée et telle que laissée Solénoïdes Évaluer la ventilation pour fournir le temps de réponse requis Évaluer les performances du solénoïde par un contrôleur de vanne numérique ou un positionneur intelligent Vérifier les performances du solénoïde redondant (par exemple 1oo2, 2oo3) Interposer les relais Vérifier le bon fonctionnement et la redondance Inspection du dispositif
Un SIF est généralement divisé en trois parties principales : les capteurs, les solveurs logiques et les éléments finaux. Il existe également généralement des dispositifs auxiliaires qui peuvent être associés à chacune de ces trois parties (par exemple, barrières IS, amplificateurs de déclenchement, relais interposés, solénoïdes, etc.) qui doivent également être testés.
Tests de test du capteur : le test de test du capteur doit garantir que le capteur peut détecter la variable de processus sur toute sa plage et transmettre le signal approprié au solveur logique SIS pour évaluation. Bien que cela ne soit pas exhaustif, certains des éléments à prendre en compte lors de la création de la partie capteur de la procédure de test de preuve sont indiqués dans le tableau 1.
Test de preuve du solveur logique : lorsque le test de fonctionnalité complet est effectué, le rôle du solveur logique dans l'accomplissement de l'action de sécurité du SIF et des actions associées (par exemple, alarmes, réinitialisation, contournements, diagnostics utilisateur, redondances, IHM, etc.) est testé. Les tests fonctionnels partiels ou fragmentaires doivent réaliser tous ces tests dans le cadre des tests individuels qui se chevauchent. Le fabricant du solveur logique doit avoir une procédure de test de preuve recommandée dans le manuel de sécurité de l'appareil. Dans le cas contraire et au minimum, l'alimentation du solveur logique doit être coupée et les registres de diagnostic du solveur logique, les voyants d'état, les tensions d'alimentation, les liaisons de communication et la redondance doivent être vérifiés. Ces vérifications doivent être effectuées avant le test fonctionnel complet.
Ne présumez pas que le logiciel est bon pour toujours et que la logique n'a pas besoin d'être testée après le test initial, car des modifications logicielles et matérielles et des mises à jour logicielles non documentées, non autorisées et non testées peuvent s'infiltrer dans les systèmes au fil du temps et doivent être prises en compte dans votre stratégie globale. philosophie du test de preuve. La gestion des journaux de modifications, de maintenance et de révision doit être revue pour garantir qu'ils sont à jour et correctement entretenus, et si possible, le programme d'application doit être comparé à la dernière sauvegarde.
Il convient également de veiller à tester toutes les fonctions auxiliaires et de diagnostic du solveur logique utilisateur (par exemple, chiens de garde, liaisons de communication, dispositifs de cybersécurité, etc.).
Test de preuve des éléments finaux : La plupart des éléments finaux sont des vannes, cependant, les démarreurs de moteurs d'équipements rotatifs, les entraînements à vitesse variable et d'autres composants électriques tels que les contacteurs et les disjoncteurs sont également utilisés comme éléments finaux et leurs modes de défaillance doivent être analysés et testés.
Les principaux modes de défaillance des vannes sont le blocage, le temps de réponse trop lent ou trop rapide et les fuites, qui sont tous affectés par l'interface du processus de fonctionnement de la vanne au moment du déclenchement. Bien que tester la vanne dans les conditions de fonctionnement soit le cas le plus souhaitable, les opérations seraient généralement opposées au déclenchement du SIF pendant que l'usine est en fonctionnement. La plupart des vannes SIS sont généralement testées lorsque l'usine est en panne à une pression différentielle nulle, ce qui constitue la condition de fonctionnement la moins exigeante. L'utilisateur doit être conscient de la pression différentielle de fonctionnement la plus défavorable et des effets de dégradation de la vanne et du processus, qui doivent être pris en compte dans la conception et le dimensionnement de la vanne et de l'actionneur.
Généralement, pour compenser l'absence de tests dans les conditions de fonctionnement du procédé, une marge de sécurité supplémentaire en termes de pression/poussée/couple est ajoutée à l'actionneur de vanne et des tests de performances inférentiels sont effectués à l'aide de tests de base. Des exemples de ces tests inférentiels sont les cas où le temps de réponse de la vanne est chronométré, un positionneur intelligent ou un contrôleur de vanne numérique est utilisé pour enregistrer une courbe ou une signature de pression/position de la vanne, ou des diagnostics avancés sont effectués pendant le test de vérification et comparés aux résultats des tests précédents ou des lignes de base pour détecter la dégradation des performances de la vanne, indiquant un début de défaillance potentiel. De plus, si une fermeture étanche (TSO) est requise, le simple fait de toucher la vanne ne permettra pas de tester les fuites et un test de fuite périodique de la vanne devra être effectué. L'ISA TR96.05.02 est destinée à fournir des conseils sur quatre niveaux différents de test des vannes SIS et leur couverture typique des tests de validation, en fonction de la manière dont le test est instrumenté. Les personnes (en particulier les utilisateurs) sont encouragées à participer à l'élaboration de ce rapport technique (contact crobinson@isa.org).
Les températures ambiantes peuvent également affecter les charges de friction des vannes, de sorte que les tests de vannes par temps chaud constitueront généralement la charge de friction la moins exigeante par rapport au fonctionnement par temps froid. Par conséquent, des tests de validation des vannes à une température constante doivent être envisagés pour fournir des données cohérentes pour les tests inférentiels visant à déterminer la dégradation des performances des vannes.
Les vannes équipées de positionneurs intelligents ou d'un contrôleur de vanne numérique ont généralement la capacité de créer une signature de vanne qui peut être utilisée pour surveiller la dégradation des performances de la vanne. Une signature de vanne de base peut être demandée dans le cadre de votre bon de commande ou vous pouvez en créer une lors du test initial pour servir de référence. La signature de la vanne doit être effectuée à la fois pour l'ouverture et la fermeture de la vanne. Un diagnostic avancé de la valve doit également être utilisé s’il est disponible. Cela peut vous aider à savoir si les performances de votre vanne se détériorent en comparant les signatures et les diagnostics des tests de validation ultérieurs avec votre référence. Ce type de test peut aider à compenser le fait de ne pas tester la vanne aux pires pressions de fonctionnement.
La signature de la vanne lors d'un test de vérification peut également permettre d'enregistrer le temps de réponse avec des horodatages, éliminant ainsi le besoin d'un chronomètre. Un temps de réponse accru est un signe de détérioration de la vanne et d'une augmentation de la charge de friction pour déplacer la vanne. Bien qu'il n'existe aucune norme concernant les changements dans le temps de réponse des vannes, une tendance négative des changements d'un test à l'autre indique une perte potentielle de la marge de sécurité et des performances de la vanne. Les tests d'étanchéité des vannes SIS modernes devraient inclure une signature de vanne dans le cadre de bonnes pratiques d'ingénierie.
La pression d'alimentation en air de l'instrument à valve doit être mesurée lors d'un test de vérification. Alors que le ressort de soupape d'une soupape à ressort de rappel est ce qui ferme la soupape, la force ou le couple impliqué est déterminé par la compression du ressort de soupape par la pression d'alimentation de la soupape (selon la loi de Hooke, F = kX). Si votre pression d'alimentation est faible, le ressort ne se comprimera pas autant, donc moins de force sera disponible pour déplacer la vanne en cas de besoin. Bien que cela ne soit pas exhaustif, certains des éléments à prendre en compte lors de la création de la partie vanne de la procédure de test périodique sont indiqués dans le tableau 2.
Heure de publication : 13 novembre 2019
