Vibrationssensor-Alarm für ＨＯＭＥ ｓｅｃｕｒｉｔｙ

Funktionsprüfungen sind ein integraler Bestandteil der Aufrechterhaltung der Sicherheitsintegrität unserer sicherheitsgerichteten Systeme (SIS) und sicherheitsrelevanten Systeme (z. B. kritische Alarme, Brand- und Gasanlagen, instrumentierte Verriegelungssysteme usw.). Eine Funktionsprüfung ist eine periodische Prüfung zur Erkennung gefährlicher Ausfälle, zur Überprüfung sicherheitsrelevanter Funktionen (z. B. Rücksetzung, Umgehungen, Alarme, Diagnose, manuelle Abschaltung usw.) und zur Sicherstellung, dass das System den internen und externen Standards entspricht. Die Ergebnisse der Funktionsprüfungen dienen zudem als Indikator für die Effektivität des Programms zur Sicherstellung der mechanischen Integrität der SIS und die Zuverlässigkeit des Systems im praktischen Einsatz.

Die Prüfverfahren umfassen alle Schritte von der Einholung von Genehmigungen, der Benachrichtigung und der Außerbetriebnahme des Systems für die Prüfung bis hin zur Sicherstellung einer umfassenden Prüfung, der Dokumentation der Prüfung und ihrer Ergebnisse, der Wiederinbetriebnahme des Systems und der Auswertung der aktuellen und der vorherigen Prüfergebnisse.

ANSI/ISA/IEC 61511-1, Abschnitt 16, behandelt die Funktionsprüfung von SIS-Systemen. Der ISA-Fachbericht TR84.00.03 – „Mechanische Integrität von sicherheitsgerichteten Systemen (SIS)“ – behandelt ebenfalls Funktionsprüfungen und wird derzeit überarbeitet; eine neue Version wird in Kürze erwartet. Der ISA-Fachbericht TR96.05.02 – „In-situ-Funktionsprüfung von automatisierten Ventilen“ – befindet sich derzeit in der Entwicklung.

Der britische HSE-Bericht CRR 428/2002 – „Grundsätze für die Funktionsprüfung von sicherheitsgerichteten Systemen in der chemischen Industrie“ liefert Informationen über Funktionsprüfungen und darüber, was Unternehmen in Großbritannien tun.

Ein Prüfverfahren basiert auf der Analyse der bekannten gefährlichen Ausfallarten jeder Komponente im Auslösepfad der sicherheitsgerichteten Funktion (SIF), der SIF-Funktionalität als System und der Frage, wie (und ob) auf die gefährlichen Ausfallarten geprüft werden soll. Die Verfahrensentwicklung sollte bereits in der SIF-Designphase mit der Systemauslegung, der Komponentenauswahl und der Festlegung von Zeitpunkt und Art der Prüfprüfung beginnen. Die Prüfschwierigkeiten von SIS-Instrumenten variieren und müssen bei der Auslegung, dem Betrieb und der Wartung der SIF berücksichtigt werden. Beispielsweise sind Blendenmessgeräte und Druckmessumformer einfacher zu prüfen als Coriolis-Massenstrommesser, magnetisch-induktive Durchflussmesser oder Radar-Füllstandssensoren. Auch die Anwendung und die Ventilkonstruktion beeinflussen die Vollständigkeit der Ventilprüfung, um sicherzustellen, dass gefährliche und beginnende Ausfälle aufgrund von Verschleiß, Verstopfung oder zeitabhängigen Fehlern nicht innerhalb des gewählten Prüfintervalls zu einem kritischen Ausfall führen.

Die Prüfverfahren werden zwar üblicherweise in der SIF-Entwicklungsphase erstellt, sollten aber auch von der technischen SIS-Beauftragten am Standort, dem Betriebsteam und den durchführenden Instrumententechnikern geprüft werden. Zusätzlich ist eine Gefährdungsbeurteilung (JSA) erforderlich. Es ist wichtig, die Zustimmung des Werks zu den durchzuführenden Tests, deren Zeitpunkt sowie deren physikalischer und sicherheitstechnischer Machbarkeit zu erhalten. Beispielsweise ist es sinnlos, Teilhubtests vorzuschreiben, wenn das Betriebsteam diese nicht durchführt. Es wird außerdem empfohlen, die Prüfverfahren von einem unabhängigen Fachexperten (SME) prüfen zu lassen. Die typischen Tests für einen vollständigen Funktionsnachweis sind in Abbildung 1 dargestellt.

Anforderungen an den Funktionsnachweistest Abbildung 1: Eine Spezifikation für den Funktionsnachweistest einer sicherheitsgerichteten Funktion (SIF) und ihres sicherheitsgerichteten Systems (SIS) sollte die Schritte von der Testvorbereitung und den Testverfahren bis hin zu Benachrichtigungen und Dokumentation in der Reihenfolge ihrer Durchführung genau beschreiben oder darauf verweisen.

Abbildung 1: Eine vollständige Funktionsprüfungsspezifikation für eine sicherheitsgerichtete Funktion (SIF) und ihr sicherheitsgerichtetes System (SIS) sollte die Schritte von der Testvorbereitung und den Testverfahren bis hin zu Benachrichtigungen und Dokumentation in der richtigen Reihenfolge beschreiben oder darauf verweisen.

Die Funktionsprüfung ist eine geplante Wartungsmaßnahme, die von qualifiziertem Personal durchgeführt werden sollte, das in der SIS-Prüfung, dem Prüfverfahren und den zu prüfenden SIS-Regelkreisen geschult ist. Vor der ersten Funktionsprüfung sollte das Verfahren gemeinsam erläutert und anschließend der zuständigen SIS-Fachkraft vor Ort eine Rückmeldung zur Verbesserung oder Korrektur gegeben werden.

Es gibt zwei primäre Ausfallarten (sicher oder gefährlich), die in vier Unterarten unterteilt sind: gefährlich unentdeckt, gefährlich erkannt (durch Diagnoseverfahren), sicher unentdeckt und sicher erkannt. Die Begriffe „gefährlich“ und „gefährlich unentdeckt“ werden in diesem Artikel synonym verwendet.

Bei SIF-Prüftests liegt unser Hauptaugenmerk auf gefährlichen, unentdeckten Fehlermodi. Falls jedoch Benutzerdiagnosen gefährliche Fehler erkennen, sollten diese ebenfalls geprüft werden. Im Gegensatz zu Benutzerdiagnosen lassen sich interne Gerätediagnosen in der Regel nicht vom Benutzer auf ihre Funktionsfähigkeit überprüfen, was die Prüfstrategie beeinflussen kann. Werden Diagnosen in die SIL-Berechnungen einbezogen, sollten die Diagnosealarme (z. B. Bereichsüberschreitungsalarme) im Rahmen des Prüftests geprüft werden.

Fehlermodi lassen sich weiter unterteilen in solche, die im Rahmen eines Funktionstests geprüft werden, solche, die nicht geprüft werden, und beginnende oder zeitabhängige Fehler. Einige gefährliche Fehlermodi werden aus verschiedenen Gründen nicht direkt geprüft (z. B. Schwierigkeiten, technische oder betriebliche Entscheidungen, Unwissenheit, Inkompetenz, systematische Fehler durch Unterlassung oder falsche Begehung, geringe Eintrittswahrscheinlichkeit usw.). Werden bekannte Fehlermodi nicht geprüft, sind entsprechende Maßnahmen im Gerätedesign, im Testverfahren, im regelmäßigen Geräteaustausch oder in der Überholung sowie indirekte Tests erforderlich, um die Auswirkungen der fehlenden Prüfung auf die Systemintegrität zu minimieren.

Ein beginnender Ausfall ist ein sich verschlechternder Zustand, bei dem ohne rechtzeitige Gegenmaßnahmen mit hoher Wahrscheinlichkeit ein kritischer, gefährlicher Ausfall eintreten wird. Er wird typischerweise durch einen Leistungsvergleich mit kürzlich durchgeführten oder ersten Referenzprüfungen (z. B. Ventilkennlinien oder Ventilansprechzeiten) oder durch Inspektion (z. B. eine verstopfte Prozessöffnung) erkannt. Beginnende Ausfälle sind häufig zeitabhängig: Je länger das Gerät oder die Baugruppe in Betrieb ist, desto stärker verschlechtert sich ihr Zustand; Bedingungen, die einen zufälligen Ausfall begünstigen, werden wahrscheinlicher, z. B. Verstopfungen der Prozessöffnung oder Ablagerungen in Sensoren im Laufe der Zeit, Erreichen der Nutzungsdauer usw. Daher steigt mit zunehmendem Prüfintervall die Wahrscheinlichkeit eines beginnenden oder zeitabhängigen Ausfalls. Auch alle Schutzmechanismen gegen beginnende Ausfälle müssen geprüft werden (z. B. Spülung der Öffnungen, Begleitheizung usw.).

Es müssen Verfahren zur Überprüfung auf gefährliche (unentdeckte) Fehler erstellt werden. Fehlermöglichkeits- und Einflussanalyse (FMEA) oder Fehlermöglichkeits-, Einfluss- und Diagnoseanalyse (FMEDA) können dabei helfen, gefährliche, unentdeckte Fehler zu identifizieren und Bereiche aufzudecken, in denen die Überprüfungsabdeckung verbessert werden muss.

Viele Prüfverfahren basieren auf Erfahrungswerten und Vorlagen aus bestehenden Verfahren. Neue Verfahren und komplexere SIFs erfordern einen stärker ingenieurtechnischen Ansatz mit FMEA/FMEDA, um gefährliche Fehler zu analysieren, festzulegen, wie das Prüfverfahren diese Fehler erfasst oder nicht, und den Umfang der Prüfungen zu bestimmen. Ein Blockdiagramm der Fehlermöglichkeits- und Einflussanalyse (FMEA) auf Makroebene für einen Sensor ist in Abbildung 2 dargestellt. Die FMEA muss in der Regel nur einmal für einen bestimmten Gerätetyp durchgeführt und anschließend für ähnliche Geräte unter Berücksichtigung ihrer Prozess-, Installations- und Testmöglichkeiten vor Ort wiederverwendet werden.

Makroebene Fehleranalyse Abbildung 2: Dieses Blockdiagramm der Makroebene-Fehlermodusanalyse für einen Sensor und einen Drucktransmitter (PT) zeigt die Hauptfunktionen, die typischerweise in mehrere Mikro-Fehleranalysen unterteilt werden, um die potenziellen Fehler, die in den Funktionstests behandelt werden sollen, vollständig zu definieren.

Abbildung 2: Dieses Blockdiagramm zur Fehlermodusanalyse auf Makroebene für einen Sensor und einen Drucktransmitter (PT) zeigt die Hauptfunktionen, die typischerweise in mehrere Mikro-Fehleranalysen unterteilt werden, um die potenziellen Fehler, die in den Funktionstests behandelt werden sollen, vollständig zu definieren.

Der Anteil der bekannten, gefährlichen und unentdeckten Fehler, die einer Überprüfung unterzogen werden, wird als Prüfabdeckung (Proof Test Coverage, PTC) bezeichnet. Die PTC wird häufig in SIL-Berechnungen verwendet, um den Mangel an umfassenden Tests des Sicherheitsfunktionselements (SIF) zu kompensieren. Viele glauben fälschlicherweise, dass sie ein zuverlässiges SIF entwickelt haben, nur weil sie die mangelnde Prüfabdeckung in ihrer SIL-Berechnung berücksichtigt haben. Fakt ist jedoch: Selbst wenn Ihre Prüfabdeckung 75 % beträgt und Sie diesen Wert in Ihre SIL-Berechnung einbeziehen und die ohnehin getesteten Aspekte häufiger prüfen, können statistisch gesehen immer noch 25 % der gefährlichen Fehler auftreten. Ich möchte sicherlich nicht zu diesen 25 % gehören.

Die FMEDA-Zulassungsberichte und Sicherheitshandbücher für Geräte enthalten in der Regel ein Mindestprüfverfahren und einen Mindestprüfumfang. Diese bieten lediglich Richtlinien und decken nicht alle für ein umfassendes Prüfverfahren erforderlichen Testschritte ab. Zur Analyse gefährlicher Ausfälle werden auch andere Arten der Fehleranalyse eingesetzt, wie z. B. die Fehlerbaumanalyse und die zustandsorientierte Instandhaltung.

Funktionsprüfungen lassen sich in vollständige (End-to-End-) und partielle Funktionsprüfungen unterteilen (Abbildung 3). Partielle Funktionsprüfungen werden üblicherweise durchgeführt, wenn die Komponenten der Sicherheitsinfrastruktur (SIF) in den SIL-Berechnungen unterschiedliche Testintervalle aufweisen, die nicht mit geplanten Stillständen oder Wartungsarbeiten übereinstimmen. Es ist wichtig, dass sich die Verfahren der partiellen Funktionsprüfungen überschneiden, sodass sie gemeinsam die gesamte Sicherheitsfunktionalität der SIF prüfen. Auch bei partiellen Funktionsprüfungen wird empfohlen, die SIF zunächst einer vollständigen Funktionsprüfung zu unterziehen und weitere Prüfungen während der Wartungsarbeiten durchzuführen.

Teilweise Beweistests sollten sich zu Abbildung 3 addieren: Die kombinierten teilweisen Beweistests (unten) sollten alle Funktionalitäten eines vollständigen funktionalen Beweistests (oben) abdecken.

Abbildung 3: Die kombinierten Teilbeweistests (unten) sollten alle Funktionalitäten eines vollständigen Funktionsbeweistests (oben) abdecken.

Ein Teillasttest prüft nur einen Teil der Ausfallmöglichkeiten eines Geräts. Ein gängiges Beispiel ist die Teillastprüfung eines Ventils, bei der das Ventil nur geringfügig (10–20 %) bewegt wird, um zu überprüfen, ob es nicht klemmt. Dieser Test deckt weniger Bereiche ab als der Hauptlasttest.

Die Komplexität von Prüfverfahren kann je nach Komplexität des Prüfsystems und der Prüfphilosophie des Unternehmens variieren. Einige Unternehmen erstellen detaillierte, schrittweise Prüfverfahren, während andere eher kurze Verfahren verwenden. Um den Umfang des Prüfverfahrens zu reduzieren und die Konsistenz der Prüfungen zu gewährleisten, werden mitunter Verweise auf andere Verfahren, wie z. B. eine Standardkalibrierung, herangezogen. Ein gutes Prüfverfahren sollte ausreichend detailliert sein, um sicherzustellen, dass alle Prüfungen ordnungsgemäß durchgeführt und dokumentiert werden, aber nicht so detailliert, dass die Techniker Schritte auslassen möchten. Die Paraphierung des abgeschlossenen Prüfschritts durch den für die Durchführung verantwortlichen Techniker trägt zur korrekten Durchführung der Prüfung bei. Die Freigabe des abgeschlossenen Prüfverfahrens durch den Geräteverantwortlichen und die Betriebsleitung unterstreicht ebenfalls die Wichtigkeit und gewährleistet einen ordnungsgemäß durchgeführten Prüfvorgang.

Das Feedback der Techniker sollte stets eingeholt werden, um das Verfahren zu verbessern. Der Erfolg eines Prüfverfahrens hängt maßgeblich von den Technikern ab, daher ist eine enge Zusammenarbeit dringend zu empfehlen.

Die meisten Funktionsprüfungen werden üblicherweise offline während einer Stillstands- oder Revisionsphase durchgeführt. In einigen Fällen kann eine Online-Funktionsprüfung erforderlich sein, um die SIL-Berechnungen oder andere Anforderungen zu erfüllen. Online-Prüfungen erfordern Planung und Abstimmung mit dem Betrieb, um einen sicheren Ablauf ohne Prozessunterbrechungen und Fehlauslösungen zu gewährleisten. Eine einzige Fehlauslösung kann alle Sicherheitsvorkehrungen zunichtemachen. Steht die Sicherheitsfunktion (SIF) während einer solchen Prüfung nicht vollständig zur Verfügung, um ihre Sicherheitsaufgaben zu erfüllen, schreibt Abschnitt 11.8.5 der Norm 61511-1 vor: „Kompensationsmaßnahmen, die einen weiterhin sicheren Betrieb gewährleisten, sind gemäß Abschnitt 11.3 zu treffen, wenn die Sicherheitsfunktion (SIS) im Bypass-Modus (Reparatur oder Prüfung) betrieben wird.“ Ein Verfahren zum Umgang mit anormalen Situationen sollte die Funktionsprüfung begleiten, um deren ordnungsgemäße Durchführung sicherzustellen.

Ein SIF (Security Integrated Function) ist typischerweise in drei Hauptteile unterteilt: Sensoren, Logikbausteine ​​und Endelemente. Zusätzlich gibt es in der Regel Hilfsgeräte, die jedem dieser drei Teile zugeordnet werden können (z. B. IS-Barrieren, Auslöseverstärker, Zwischenrelais, Magnetventile usw.), welche ebenfalls geprüft werden müssen. Wichtige Aspekte der Prüfprüfung dieser Technologien finden Sie im Infokasten „Prüfung von Sensoren, Logikbausteinen und Endelementen“ (unten).

Manche Dinge lassen sich leichter prüfen als andere. Viele moderne und einige ältere Durchfluss- und Füllstandsmessgeräte gehören zu den schwierigeren Messmethoden. Dazu zählen unter anderem Coriolis-Durchflussmesser, Wirbelzähler, magnetische Durchflussmesser, Luftradar, Ultraschall-Füllstandsmessgeräte und Prozessschalter für den Einsatz vor Ort. Glücklicherweise verfügen viele dieser Geräte mittlerweile über verbesserte Diagnosefunktionen, die präzisere Prüfungen ermöglichen.

Die Schwierigkeit, solche Geräte im Feld zu testen, muss bei der Entwicklung von SIFs berücksichtigt werden. Es ist leicht für die Entwicklungsabteilung, SIF-Geräte auszuwählen, ohne die erforderlichen Tests ausreichend zu prüfen, da sie diese nicht selbst durchführen wird. Dies gilt auch für Teilhubtests, die zwar häufig zur Verbesserung der durchschnittlichen Ausfallwahrscheinlichkeit (PFDavg) von SIFs eingesetzt werden, aber später im Werk oft nicht mehr durchgeführt werden sollen. Daher sollte die Entwicklung von SIFs hinsichtlich der Tests stets von der Betriebsleitung überwacht werden.

Die Funktionsprüfung sollte eine Inspektion der SIF-Installation und gegebenenfalls Reparaturen umfassen, um die Anforderungen von 61511-1, Abschnitt 16.3.2, zu erfüllen. Es sollte eine abschließende Inspektion erfolgen, um sicherzustellen, dass alles ordnungsgemäß funktioniert, und eine doppelte Überprüfung, ob die SIF ordnungsgemäß wieder in Betrieb genommen wurde.

Die Erstellung und Implementierung eines geeigneten Testverfahrens ist ein wichtiger Schritt, um die Integrität der Sicherheitsanlage über ihre gesamte Lebensdauer sicherzustellen. Das Testverfahren sollte ausreichend detailliert sein, um die konsistente und sichere Durchführung und Dokumentation der erforderlichen Tests zu gewährleisten. Gefährliche Ausfälle, die nicht durch Funktionsprüfungen erfasst wurden, müssen kompensiert werden, um die Sicherheitsintegrität der Anlage über ihre gesamte Lebensdauer hinweg angemessen zu erhalten.

Die Erstellung eines aussagekräftigen Prüfverfahrens erfordert eine logische Herangehensweise an die technische Analyse potenziell gefährlicher Ausfälle, die Auswahl der geeigneten Prüfmethoden und die Formulierung der Prüfschritte, die im Rahmen der Prüfkapazitäten des Werks realisierbar sind. Dabei ist es wichtig, die Zustimmung aller Werksebenen für die Prüfung zu gewinnen und die Techniker in der Durchführung und Dokumentation der Prüfung sowie im Verständnis ihrer Bedeutung zu schulen. Verfassen Sie die Anweisungen so, als wären Sie selbst der Prüftechniker, der die Arbeit durchführen muss, und bedenken Sie, dass Menschenleben von der korrekten Durchführung der Prüfung abhängen – denn das tun sie.

Testing sensors, logic solvers and final elements A SIF is typically divided up into three main parts, sensors, logic solvers and final elements. There also typically are auxiliary devices that can be associated within each of these three parts (e.g. I.S. barriers, trip amps, interposing relays, solenoids, etc.) that must also be tested.Sensor proof tests: The sensor proof test must ensure that the sensor can sense the process variable over its full range and transmit the proper signal to the SIS logic solver for evaluation. While not inclusive, some of the things to consider in creating the sensor portion of the proof test procedure are given in Table 1. Table 1: Sensor proof test considerations Process ports clean/process interface check, significant buildup noted Internal diagnostics check, run extended diagnostics if available  Sensor calibration (5 point) with simulated process input to sensor, verified through to the DCS, drift check Trip point check High/High-High/Low/Low-Low alarms Redundancy, voting degradation  Out of range, deviation, diagnostic alarms Bypass and alarms, restrike User diagnostics Transmitter Fail Safe configuration verified Test associated systems (e.g. purge, heat tracing, etc.) and auxiliary components Physical inspection Complete as-found and as-left documentation Logic solver proof test:  When full-function proof testing is done, the logic solver’s part in accomplishing the SIF’s safety action and related actions (e.g. alarms, reset, bypasses, user diagnostics, redundancies, HMI, etc.) are tested. Partial or piecemeal function proof tests must accomplish all these tests as part of the individual overlapping proof tests. The logic solver manufacturer should have a recommended proof test procedure in the device safety manual. If not and as a minimum, the logic solver power should be cycled, and the logic solver diagnostic registers, status lights, power supply voltages, communication links and redundancy should be checked. These checks should be done prior to the full-function proof test.Don’t make the assumption that the software is good forever and the logic need not be tested after the initial proof test as undocumented, unauthorized and untested software and hardware changes and software updates can creep into systems over time and must be factored into your overall proof test philosophy. The management of change, maintenance, and revision logs should be reviewed to ensure they are up to date and properly maintained, and if capable, the application program should be compared to the latest backup.Care should also be taken to test all the user logic solver auxiliary and diagnostic functions (e.g. watchdogs, communication links, cybersecurity appliances, etc.).Final element proof test: Most final elements are valves, however, rotating equipment motor starters, variable-speed drives and other electrical components such as contactors and circuit breakers are also used as final elements and their failure modes must be analyzed and proof tested.The primary failure modes for valves are being stuck, response time too slow or too fast, and leakage, all of which are affected by the valve’s operating process interface at trip time. While testing the valve at operating conditions is the most desirable case, Operations would generally be opposed to tripping the SIF while the plant is operating. Most SIS valves are typically tested while the plant is down at zero differential pressure, which is the least demanding of operating conditions. The user should be aware of the worst-case operational differential pressure and the valve and process degradation effects, which should be factored into the valve and actuator design and sizing.Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).Ambient temperatures can also affect valve friction loads, so that testing valves in warm weather will generally be the least demanding friction load when compared to cold weather operation. As a result, proof testing of valves at a consistent temperature should be considered to provide consistent data for inferential testing for the determination of valve performance degradation.Valves with smart positioners or a digital valve controller generally have capability to create a valve signature that can be used to monitor degradation in valve performance. A baseline valve signature can be requested as part of your purchase order or you can create one during the initial proof test to serve as a baseline. The valve signature should be done for both opening and closing of the valve. Advanced valve diagnostic should also be used if available. This can help tell you if your valve performance is deteriorating by comparing subsequent proof test valve signatures and diagnostics with your baseline. This type of test can help compensate for not testing the valve at worst case operating pressures.The valve signature during a proof test may also be able to record the response time with time stamps, removing the need for a stopwatch. Increased response time is a sign of valve deterioration and increased friction load to move the valve. While there are no standards regarding changes in valve response time, a negative pattern of changes from proof test to proof test is indicative of the potential loss of the valve’s safety margin and performance. Modern SIS valve proof testing should include a valve signature as a matter of good engineering practice.The valve instrument air supply pressure should be measured during a proof test. While the valve spring for a spring-return valve is what closes the valve, the force or torque involved is determined by how much the valve spring is compressed by the valve supply pressure (per Hooke’s Law, F = kX). If your supply pressure is low, the spring will not compress as much, hence less force will be available to move the valve when needed. While not inclusive, some of the things to consider in creating the valve portion of the proof test procedure are given in Table 2. Table 2: Final element valve assembly considerations Test valve safety action at process operating pressure (best but typically not done), and time the valve’s response time. Verify redundancy Test valve safety action at zero differential pressure and time valve’s response time. Verify redundancy  Run valve signature and diagnostics as part of proof test and compare to baseline and previous test Visually observe valve action (proper action without unusual vibration or noise, etc.). Verify the valve field and position indication on the DCS Fully stroke the valve a minimum of five times during the proof test to help ensure valve reliability. (This is not intended to fix significant degradation effects or incipient failures). Review valve maintenance records to ensure any changes meet the required valve SRS specifications Test diagnostics for energize-to-trip systems Leak test if Tight Shut Off (TSO) is required Verify the command disagree alarm functionality Inspect valve assembly and internals Remove, test and rebuild as necessary Complete as-found and as-left documentation Solenoids Evaluate venting to provide required response time Evaluate solenoid performance by a digital valve controller or smart positioner Verify redundant solenoid performance (e.g. 1oo2, 2oo3) Interposing Relays Verify correct operation, redundancy Device inspection

Ein SIF (Sicherheitsintegritätsprüfsystem) ist typischerweise in drei Hauptteile unterteilt: Sensoren, Logikbausteine ​​und Endelemente. Darüber hinaus gibt es üblicherweise Hilfsgeräte, die jedem dieser drei Teile zugeordnet werden können (z. B. IS-Barrieren, Auslöseverstärker, Zwischenrelais, Magnetventile usw.), welche ebenfalls geprüft werden müssen.

Sensorprüfung: Die Sensorprüfung muss sicherstellen, dass der Sensor die Prozessvariable über den gesamten Messbereich erfassen und das korrekte Signal zur Auswertung an den SIS-Logiklöser senden kann. Tabelle 1 enthält einige – nicht vollständige – Aspekte, die bei der Erstellung des Sensorteils der Prüfprozedur zu berücksichtigen sind.

Funktionsprüfung des Logikbausteins: Bei der vollständigen Funktionsprüfung wird die Rolle des Logikbausteins bei der Ausführung der Sicherheitsfunktionen des SIF sowie zugehöriger Funktionen (z. B. Alarme, Reset, Bypass, Benutzerdiagnose, Redundanzen, HMI usw.) geprüft. Teilweise Funktionsprüfungen müssen all diese Tests im Rahmen der einzelnen, sich überschneidenden Prüfungen umfassen. Der Hersteller des Logikbausteins sollte im Gerätehandbuch ein empfohlenes Prüfverfahren bereitstellen. Falls nicht, sollte zumindest die Stromversorgung des Logikbausteins unterbrochen und die Diagnoseregister, Statusanzeigen, Versorgungsspannungen, Kommunikationsverbindungen und Redundanz überprüft werden. Diese Prüfungen sind vor der vollständigen Funktionsprüfung durchzuführen.

Gehen Sie nicht davon aus, dass die Software dauerhaft fehlerfrei ist und die Logik nach dem ersten Proof-Test nicht mehr geprüft werden muss. Undokumentierte, unautorisierte und ungetestete Software- und Hardwareänderungen sowie Software-Updates können sich im Laufe der Zeit in Systeme einschleichen und müssen in Ihre gesamte Proof-Test-Strategie einbezogen werden. Überprüfen Sie regelmäßig die Änderungs-, Wartungs- und Revisionsprotokolle, um sicherzustellen, dass sie aktuell und ordnungsgemäß geführt werden. Falls möglich, vergleichen Sie das Anwendungsprogramm mit dem letzten Backup.

Es sollte außerdem darauf geachtet werden, alle Hilfs- und Diagnosefunktionen des Benutzerlogik-Solvers zu testen (z. B. Überwachungsmechanismen, Kommunikationsverbindungen, Cybersicherheitsgeräte usw.).

Funktionsprüfung der Endelemente: Bei den meisten Endelementen handelt es sich um Ventile. Allerdings werden auch Anlasser für rotierende Maschinenmotoren, Drehzahlumrichter und andere elektrische Komponenten wie Schütze und Leistungsschalter als Endelemente eingesetzt, deren Ausfallarten analysiert und einer Funktionsprüfung unterzogen werden müssen.

Die häufigsten Ausfallursachen von Ventilen sind Blockieren, zu langsame oder zu schnelle Reaktionszeit und Leckage. All diese Faktoren werden durch die Schnittstelle des Ventils zum Betriebsprozess im Auslösezustand beeinflusst. Obwohl die Prüfung des Ventils unter Betriebsbedingungen optimal ist, lehnt der Betrieb in der Regel eine Auslösung des Sicherheitsinformationssystems (SIF) im laufenden Betrieb ab. Die meisten Sicherheitsinformationsventile (SIS-Ventile) werden üblicherweise bei abgeschalteter Anlage und Null-Differenzdruck geprüft, da dies die am wenigsten anspruchsvollen Betriebsbedingungen darstellt. Der Anwender sollte sich des maximalen Betriebsdifferenzdrucks sowie der Auswirkungen auf Ventil und Prozess bewusst sein. Diese Faktoren sollten bei der Auslegung und Dimensionierung von Ventil und Stellantrieb berücksichtigt werden.

Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).

Die Umgebungstemperatur kann die Reibungsbelastung von Ventilen beeinflussen. Daher ist die Belastung bei Ventilprüfungen unter warmen Bedingungen im Vergleich zum Betrieb bei kalten Temperaturen in der Regel geringer. Aus diesem Grund sollte eine Funktionsprüfung der Ventile bei konstanter Temperatur durchgeführt werden, um konsistente Daten für die Auswertung von Leistungsverschlechterungen zu erhalten.

Ventile mit intelligenten Stellungsreglern oder digitaler Ventilsteuerung können in der Regel eine Ventilsignatur erstellen, anhand derer sich die Leistungsverschlechterung des Ventils überwachen lässt. Eine solche Basis-Ventilsignatur kann im Rahmen Ihrer Bestellung angefordert oder während der ersten Funktionsprüfung erstellt werden. Die Ventilsignatur sollte sowohl beim Öffnen als auch beim Schließen des Ventils erfasst werden. Falls verfügbar, sollte zusätzlich eine erweiterte Ventildiagnose genutzt werden. Durch den Vergleich der Ventilsignaturen und Diagnoseergebnisse nachfolgender Funktionsprüfungen mit Ihrer Basis-Ventilsignatur lässt sich feststellen, ob sich die Ventilleistung verschlechtert. Diese Art von Test kann den Nachteil ausgleichen, dass das Ventil nicht unter den maximal zulässigen Betriebsdrücken getestet wurde.

Die Ventilsignatur während einer Funktionsprüfung kann die Ansprechzeit mit Zeitstempeln erfassen, wodurch eine Stoppuhr überflüssig wird. Eine verlängerte Ansprechzeit deutet auf Ventilverschleiß und erhöhte Reibungskräfte beim Betätigen des Ventils hin. Obwohl keine Normen für Änderungen der Ventilansprechzeit existieren, weist ein negativer Trend von Prüfprüfung zu Prüfprüfung auf einen potenziellen Verlust der Sicherheitsreserve und der Leistungsfähigkeit des Ventils hin. Moderne SIS-Ventilprüfprüfungen sollten daher aus Gründen guter Ingenieurpraxis die Erfassung der Ventilsignatur beinhalten.

Der Druckluftversorgungsdruck des Ventils sollte während einer Funktionsprüfung gemessen werden. Die Ventilfeder eines Federrückstellventils schließt das Ventil. Die dabei wirkende Kraft bzw. das Drehmoment hängt davon ab, wie stark die Ventilfeder durch den Versorgungsdruck zusammengedrückt wird (gemäß Hookeschem Gesetz, F = kX). Bei niedrigem Versorgungsdruck wird die Feder weniger stark zusammengedrückt, wodurch weniger Kraft zum Betätigen des Ventils zur Verfügung steht. Tabelle 2 enthält einige – nicht vollständige – Aspekte, die bei der Erstellung des Prüfverfahrens für das Ventil zu berücksichtigen sind.