สัญญาณเตือนเซ็นเซอร์การสั่นสะเทือนสำหรับ ＨＯＭＥ ｓｅｃｕｒｉｔｙ

การทดสอบความทนทานเป็นส่วนสำคัญในการบำรุงรักษาความปลอดภัยของระบบเครื่องมือวัดความปลอดภัย (SIS) และระบบที่เกี่ยวข้องกับความปลอดภัย (เช่น สัญญาณเตือนภัยวิกฤต ระบบดับเพลิงและแก๊ส ระบบล็อกการทำงาน ฯลฯ) การทดสอบความทนทานเป็นการทดสอบเป็นระยะเพื่อตรวจจับความล้มเหลวที่เป็นอันตราย ทดสอบการทำงานที่เกี่ยวข้องกับความปลอดภัย (เช่น การรีเซ็ต การบายพาส สัญญาณเตือนภัย การวินิจฉัย การปิดระบบด้วยตนเอง ฯลฯ) และเพื่อให้แน่ใจว่าระบบเป็นไปตามมาตรฐานของบริษัทและมาตรฐานภายนอก ผลลัพธ์ของการทดสอบความทนทานยังเป็นการวัดประสิทธิภาพของโปรแกรมความสมบูรณ์ทางกลของ SIS และความน่าเชื่อถือของระบบในภาคสนามอีกด้วย

ขั้นตอนการทดสอบพิสูจน์ครอบคลุมขั้นตอนการทดสอบตั้งแต่การขออนุญาต การแจ้งให้ทราบ และการนำระบบออกจากบริการเพื่อทำการทดสอบ ไปจนถึงการตรวจสอบให้แน่ใจว่าได้ทำการทดสอบอย่างครอบคลุม การบันทึกการทดสอบพิสูจน์และผลลัพธ์ การนำระบบกลับมาใช้งาน และการประเมินผลการทดสอบปัจจุบันและผลการทดสอบพิสูจน์ครั้งก่อนๆ

มาตรฐาน ANSI/ISA/IEC 61511-1 ข้อ 16 ครอบคลุมการทดสอบความแข็งแรงของระบบเครื่องมือวัดความปลอดภัย (SIS) รายงานทางเทคนิค ISA TR84.00.03 – “ความสมบูรณ์ทางกลของระบบเครื่องมือวัดความปลอดภัย (SIS)” ครอบคลุมการทดสอบความแข็งแรง และกำลังอยู่ระหว่างการแก้ไข โดยคาดว่าจะออกเวอร์ชันใหม่ในเร็วๆ นี้ รายงานทางเทคนิค ISA TR96.05.02 – “การทดสอบความแข็งแรงของวาล์วอัตโนมัติในสถานที่จริง” กำลังอยู่ระหว่างการพัฒนา

รายงาน CRR 428/2002 ของ UK HSE – “หลักการสำหรับการทดสอบความปลอดภัยของระบบเครื่องมือวัดในอุตสาหกรรมเคมี” ให้ข้อมูลเกี่ยวกับการทดสอบความปลอดภัยและสิ่งที่บริษัทต่างๆ ในสหราชอาณาจักรกำลังดำเนินการอยู่

ขั้นตอนการทดสอบการพิสูจน์ความทนทานนั้นอิงจากการวิเคราะห์โหมดความล้มเหลวที่เป็นอันตรายที่ทราบแล้วสำหรับแต่ละส่วนประกอบในเส้นทางการทำงานของฟังก์ชันเครื่องมือวัดความปลอดภัย (SIF) ฟังก์ชันการทำงานของ SIF ในฐานะระบบ และวิธีการ (และหากจำเป็นต้อง) ทดสอบโหมดความล้มเหลวที่เป็นอันตราย การพัฒนาขั้นตอนควรเริ่มต้นในขั้นตอนการออกแบบ SIF ด้วยการออกแบบระบบ การเลือกส่วนประกอบ และการกำหนดเวลาและวิธีการทดสอบการพิสูจน์ความทนทาน เครื่องมือ SIS มีระดับความยากในการทดสอบการพิสูจน์ความทนทานที่แตกต่างกัน ซึ่งต้องนำมาพิจารณาในการออกแบบ การใช้งาน และการบำรุงรักษา SIF ตัวอย่างเช่น เครื่องวัดการไหลแบบรูเปิดและเครื่องส่งสัญญาณความดันนั้นทดสอบได้ง่ายกว่าเครื่องวัดการไหลแบบมวลโคริโอลิส เครื่องวัดการไหลแบบแม่เหล็ก หรือเซ็นเซอร์วัดระดับเรดาร์แบบผ่านอากาศ การใช้งานและการออกแบบวาล์วยังอาจส่งผลต่อความครอบคลุมของการทดสอบการพิสูจน์ความทนทานของวาล์วเพื่อให้แน่ใจว่าความล้มเหลวที่เป็นอันตรายและที่กำลังจะเกิดขึ้นเนื่องจากการเสื่อมสภาพ การอุดตัน หรือความล้มเหลวที่ขึ้นอยู่กับเวลาจะไม่นำไปสู่ความล้มเหลวที่สำคัญภายในช่วงเวลาการทดสอบที่เลือก

แม้ว่าโดยทั่วไปแล้วขั้นตอนการทดสอบการพิสูจน์ความสามารถจะถูกพัฒนาขึ้นในระหว่างขั้นตอนการออกแบบทางวิศวกรรมของ SIF แต่ก็ควรได้รับการตรวจสอบโดยผู้มีอำนาจทางเทคนิคของ SIS ประจำไซต์งาน ฝ่ายปฏิบัติการ และช่างเทคนิคเครื่องมือวัดที่จะทำการทดสอบด้วย ควรมีการวิเคราะห์ความปลอดภัยในการทำงาน (JSA) ด้วย สิ่งสำคัญคือต้องได้รับการสนับสนุนจากโรงงานเกี่ยวกับว่าจะทำการทดสอบอะไรบ้างและเมื่อใด รวมถึงความเป็นไปได้ทางกายภาพและความปลอดภัย ตัวอย่างเช่น การระบุการทดสอบการเคลื่อนที่บางส่วนจะไม่มีประโยชน์หากกลุ่มปฏิบัติการไม่เห็นด้วยที่จะดำเนินการ นอกจากนี้ยังแนะนำให้ผู้เชี่ยวชาญเฉพาะด้าน (SME) ที่เป็นอิสระตรวจสอบขั้นตอนการทดสอบการพิสูจน์ความสามารถด้วย การทดสอบทั่วไปที่จำเป็นสำหรับการทดสอบการพิสูจน์ความสามารถแบบเต็มรูปแบบแสดงไว้ในรูปที่ 1

ข้อกำหนดการทดสอบพิสูจน์การทำงานอย่างเต็มรูปแบบ รูปที่ 1: ข้อกำหนดการทดสอบพิสูจน์การทำงานอย่างเต็มรูปแบบสำหรับฟังก์ชันเครื่องมือวัดความปลอดภัย (SIF) และระบบเครื่องมือวัดความปลอดภัย (SIS) ควรระบุหรืออ้างอิงถึงขั้นตอนตามลำดับ ตั้งแต่การเตรียมการทดสอบและขั้นตอนการทดสอบ ไปจนถึงการแจ้งเตือนและเอกสารประกอบ

รูปที่ 1: ข้อกำหนดการทดสอบพิสูจน์การทำงานแบบเต็มรูปแบบสำหรับฟังก์ชันเครื่องมือวัดความปลอดภัย (SIF) และระบบเครื่องมือวัดความปลอดภัย (SIS) ควรระบุหรืออ้างอิงถึงขั้นตอนตามลำดับ ตั้งแต่การเตรียมการทดสอบและขั้นตอนการทดสอบ ไปจนถึงการแจ้งเตือนและเอกสารประกอบ

การทดสอบพิสูจน์ความถูกต้องเป็นการบำรุงรักษาตามแผนที่ควรดำเนินการโดยบุคลากรที่มีความสามารถซึ่งได้รับการฝึกอบรมเกี่ยวกับการทดสอบ SIS ขั้นตอนการทดสอบพิสูจน์ความถูกต้อง และวงจร SIS ที่จะทำการทดสอบ ควรมีการทบทวนขั้นตอนก่อนดำเนินการทดสอบพิสูจน์ความถูกต้องครั้งแรก และส่งข้อเสนอแนะไปยังผู้มีอำนาจทางเทคนิค SIS ของไซต์งานหลังจากนั้นเพื่อการปรับปรุงหรือแก้ไข

มีโหมดความล้มเหลวหลักสองโหมด (ปลอดภัยหรืออันตราย) ซึ่งแบ่งย่อยออกเป็นสี่โหมด ได้แก่ อันตรายแต่ตรวจไม่พบ อันตรายแต่ตรวจพบ (โดยการวินิจฉัย) ปลอดภัยแต่ตรวจไม่พบ และปลอดภัยแต่ตรวจพบ ในบทความนี้ คำว่า อันตรายและอันตรายแต่ตรวจไม่พบ จะใช้แทนกันได้

ในการทดสอบการพิสูจน์ SIF เราสนใจโหมดความล้มเหลวที่เป็นอันตรายซึ่งตรวจไม่พบเป็นหลัก แต่หากมีเครื่องมือวินิจฉัยของผู้ใช้ที่ตรวจพบความล้มเหลวที่เป็นอันตราย เครื่องมือวินิจฉัยเหล่านั้นควรได้รับการทดสอบการพิสูจน์ด้วย โปรดทราบว่า ต่างจากเครื่องมือวินิจฉัยของผู้ใช้ เครื่องมือวินิจฉัยภายในอุปกรณ์โดยทั่วไปไม่สามารถตรวจสอบว่าใช้งานได้โดยผู้ใช้ และสิ่งนี้อาจส่งผลต่อปรัชญาการทดสอบการพิสูจน์ เมื่อมีการนำค่าเครื่องมือวินิจฉัยมาใช้ในการคำนวณ SIL สัญญาณเตือนการวินิจฉัย (เช่น สัญญาณเตือนนอกช่วง) ควรได้รับการทดสอบเป็นส่วนหนึ่งของการทดสอบการพิสูจน์ด้วย

ลักษณะความล้มเหลวสามารถแบ่งย่อยได้อีกเป็นลักษณะที่ทดสอบระหว่างการทดสอบความแข็งแรง ลักษณะที่ไม่ได้ทดสอบ และความล้มเหลวที่กำลังจะเกิดขึ้นหรือความล้มเหลวที่ขึ้นอยู่กับเวลา ลักษณะความล้มเหลวที่เป็นอันตรายบางอย่างอาจไม่ได้ถูกทดสอบโดยตรงด้วยเหตุผลต่างๆ (เช่น ความยากลำบาก การตัดสินใจทางวิศวกรรมหรือการปฏิบัติงาน ความไม่รู้ ความไม่ชำนาญ การละเลยหรือการกระทำผิดพลาดอย่างเป็นระบบ ความน่าจะเป็นที่จะเกิดขึ้นต่ำ เป็นต้น) หากมีลักษณะความล้มเหลวที่ทราบแล้วแต่จะไม่ถูกทดสอบ ควรมีการชดเชยในด้านการออกแบบอุปกรณ์ ขั้นตอนการทดสอบ การเปลี่ยนหรือซ่อมแซมอุปกรณ์เป็นระยะ และ/หรือควรทำการทดสอบแบบอนุมานเพื่อลดผลกระทบต่อความสมบูรณ์ของ SIF จากการไม่ทดสอบให้น้อยที่สุด

ความล้มเหลวที่กำลังจะเกิดขึ้น คือ สภาวะหรือสภาพที่เสื่อมถอยลง ซึ่งคาดการณ์ได้อย่างสมเหตุสมผลว่าอาจเกิดความล้มเหลวที่ร้ายแรงและเป็นอันตรายได้ หากไม่มีการดำเนินการแก้ไขอย่างทันท่วงที โดยทั่วไปจะตรวจพบได้จากการเปรียบเทียบประสิทธิภาพกับผลการทดสอบมาตรฐานล่าสุดหรือครั้งแรก (เช่น ลักษณะการทำงานของวาล์วหรือเวลาตอบสนองของวาล์ว) หรือจากการตรวจสอบ (เช่น พอร์ตกระบวนการอุดตัน) ความล้มเหลวที่กำลังจะเกิดขึ้นมักขึ้นอยู่กับเวลา ยิ่งอุปกรณ์หรือชุดประกอบใช้งานนานเท่าใด ก็ยิ่งเสื่อมโทรมมากขึ้นเท่านั้น สภาวะที่เอื้อต่อความล้มเหลวแบบสุ่มก็จะเกิดขึ้นได้ง่ายขึ้น เช่น การอุดตันของพอร์ตกระบวนการหรือการสะสมของสิ่งสกปรกในเซ็นเซอร์เมื่อเวลาผ่านไป อายุการใช้งานหมดลง เป็นต้น ดังนั้น ยิ่งช่วงเวลาการทดสอบมาตรฐานนานเท่าใด โอกาสที่จะเกิดความล้มเหลวที่กำลังจะเกิดขึ้นหรือความล้มเหลวที่ขึ้นอยู่กับเวลาก็ยิ่งมากขึ้นเท่านั้น การป้องกันความล้มเหลวที่กำลังจะเกิดขึ้นใดๆ ก็ต้องได้รับการทดสอบมาตรฐานด้วยเช่นกัน (การไล่อากาศออกจากพอร์ต การทำความร้อน ฯลฯ)

ต้องมีการกำหนดขั้นตอนการทดสอบเพื่อตรวจสอบความล้มเหลวที่เป็นอันตราย (ที่ตรวจไม่พบ) เทคนิคการวิเคราะห์โหมดความล้มเหลวและผลกระทบ (FMEA) หรือการวิเคราะห์โหมดความล้มเหลว ผลกระทบ และการวินิจฉัย (FMEDA) สามารถช่วยระบุความล้มเหลวที่เป็นอันตรายที่ตรวจไม่พบ และระบุจุดที่ต้องปรับปรุงความครอบคลุมของการทดสอบเพื่อตรวจสอบให้ดียิ่งขึ้น

ขั้นตอนการทดสอบการพิสูจน์จำนวนมากถูกเขียนขึ้นโดยอาศัยประสบการณ์และแม่แบบจากขั้นตอนที่มีอยู่เดิม ขั้นตอนใหม่และ SIF ที่ซับซ้อนกว่านั้นต้องการวิธีการทางวิศวกรรมมากขึ้น โดยใช้ FMEA/FMEDA เพื่อวิเคราะห์ความล้มเหลวที่เป็นอันตราย กำหนดว่าขั้นตอนการทดสอบจะทดสอบหรือไม่ทดสอบความล้มเหลวเหล่านั้นอย่างไร และขอบเขตของการทดสอบ แผนภาพบล็อกการวิเคราะห์โหมดความล้มเหลวระดับมหภาคสำหรับเซ็นเซอร์แสดงในรูปที่ 2 โดยทั่วไปแล้ว FMEA จำเป็นต้องทำเพียงครั้งเดียวสำหรับอุปกรณ์ประเภทใดประเภทหนึ่ง และนำกลับมาใช้ใหม่สำหรับอุปกรณ์ที่คล้ายกัน โดยคำนึงถึงกระบวนการใช้งาน การติดตั้ง และความสามารถในการทดสอบในสถานที่

การวิเคราะห์ความล้มเหลวระดับมหภาค รูปที่ 2: แผนภาพบล็อกการวิเคราะห์โหมดความล้มเหลวระดับมหภาคสำหรับเซ็นเซอร์และตัวส่งสัญญาณแรงดัน (PT) แสดงฟังก์ชันหลักที่จะถูกแบ่งย่อยออกเป็นการวิเคราะห์ความล้มเหลวระดับจุลภาคหลายรายการ เพื่อกำหนดความล้มเหลวที่อาจเกิดขึ้นซึ่งจะต้องได้รับการแก้ไขในการทดสอบฟังก์ชันอย่างครบถ้วน

รูปที่ 2: แผนภาพบล็อกการวิเคราะห์โหมดความล้มเหลวระดับมหภาคสำหรับเซ็นเซอร์และตัวส่งสัญญาณแรงดัน (PT) แสดงฟังก์ชันหลักที่จะถูกแบ่งย่อยออกเป็นการวิเคราะห์ความล้มเหลวระดับจุลภาคหลายรายการ เพื่อกำหนดความล้มเหลวที่อาจเกิดขึ้นซึ่งจะต้องได้รับการแก้ไขในการทดสอบฟังก์ชันอย่างครบถ้วน

เปอร์เซ็นต์ของความล้มเหลวที่ทราบ เป็นอันตราย และตรวจไม่พบ ที่ได้รับการทดสอบแล้ว เรียกว่า ความครอบคลุมของการทดสอบ (Proof Test Coverage หรือ PTC) PTC มักใช้ในการคำนวณ SIL เพื่อ "ชดเชย" ความล้มเหลวในการทดสอบ SIF อย่างครบถ้วน หลายคนเข้าใจผิดว่า เนื่องจากพวกเขาได้พิจารณาถึงการขาดความครอบคลุมของการทดสอบในการคำนวณ SIL แล้ว พวกเขาจึงได้ออกแบบ SIF ที่น่าเชื่อถือ ความจริงก็คือ หากความครอบคลุมของการทดสอบของคุณคือ 75% และหากคุณนำตัวเลขนั้นมาคำนวณใน SIL และทดสอบสิ่งที่คุณกำลังทดสอบอยู่แล้วบ่อยขึ้น ความล้มเหลวที่เป็นอันตราย 25% ก็ยังสามารถเกิดขึ้นได้ตามสถิติ แน่นอนว่าผมไม่อยากอยู่ใน 25% นั้น

รายงานการอนุมัติ FMEDA และคู่มือความปลอดภัยสำหรับอุปกรณ์ต่างๆ โดยทั่วไปจะระบุขั้นตอนการทดสอบขั้นต่ำและขอบเขตการทดสอบขั้นต่ำ ซึ่งเป็นเพียงแนวทางเท่านั้น ไม่ได้ระบุขั้นตอนการทดสอบทั้งหมดที่จำเป็นสำหรับขั้นตอนการทดสอบที่ครอบคลุม การวิเคราะห์ความล้มเหลวประเภทอื่นๆ เช่น การวิเคราะห์แผนผังความผิดพลาดและการบำรุงรักษาที่เน้นความน่าเชื่อถือ ก็ถูกนำมาใช้ในการวิเคราะห์ความล้มเหลวที่เป็นอันตรายเช่นกัน

การทดสอบการพิสูจน์สามารถแบ่งออกเป็น การทดสอบการทำงานเต็มรูปแบบ (ตั้งแต่ต้นจนจบ) หรือการทดสอบการทำงานบางส่วน (รูปที่ 3) การทดสอบการทำงานบางส่วนมักทำเมื่อส่วนประกอบของ SIF มีช่วงเวลาการทดสอบที่แตกต่างกันในการคำนวณ SIL ซึ่งไม่สอดคล้องกับการหยุดทำงานหรือการซ่อมบำรุงตามแผน สิ่งสำคัญคือขั้นตอนการทดสอบการพิสูจน์การทำงานบางส่วนต้องทับซ้อนกัน เพื่อให้ครอบคลุมการทดสอบการทำงานด้านความปลอดภัยทั้งหมดของ SIF แม้จะทำการทดสอบการทำงานบางส่วนแล้ว ก็ยังแนะนำให้ SIF มีการทดสอบการพิสูจน์การทำงานเต็มรูปแบบในครั้งแรก และการทดสอบเพิ่มเติมในระหว่างการซ่อมบำรุง

การทดสอบการพิสูจน์บางส่วนควรรวมกันได้ดังแสดงในรูปที่ 3: การทดสอบการพิสูจน์บางส่วนที่รวมกัน (ด้านล่าง) ควรครอบคลุมฟังก์ชันการทำงานทั้งหมดของการทดสอบการพิสูจน์ฟังก์ชันการทำงานแบบเต็มรูปแบบ (ด้านบน)

รูปที่ 3: การทดสอบการพิสูจน์บางส่วนแบบรวม (ด้านล่าง) ควรครอบคลุมฟังก์ชันการทำงานทั้งหมดของการทดสอบการพิสูจน์ฟังก์ชันเต็มรูปแบบ (ด้านบน)

การทดสอบการพิสูจน์แบบบางส่วนจะทดสอบเพียงเปอร์เซ็นต์ของโหมดความล้มเหลวของอุปกรณ์เท่านั้น ตัวอย่างที่พบได้ทั่วไปคือการทดสอบวาล์วแบบช่วงชักบางส่วน ซึ่งวาล์วจะถูกขยับเพียงเล็กน้อย (10-20%) เพื่อตรวจสอบว่าวาล์วไม่ติดขัด การทดสอบแบบนี้มีขอบเขตการครอบคลุมการทดสอบการพิสูจน์ที่ต่ำกว่าการทดสอบการพิสูจน์ในช่วงเวลาการทดสอบหลัก

ขั้นตอนการทดสอบพิสูจน์ความถูกต้องอาจมีความซับซ้อนแตกต่างกันไป ขึ้นอยู่กับความซับซ้อนของ SIF และปรัชญาขั้นตอนการทดสอบของบริษัท บางบริษัทเขียนขั้นตอนการทดสอบอย่างละเอียดทีละขั้นตอน ในขณะที่บางบริษัทมีขั้นตอนที่ค่อนข้างสั้น การอ้างอิงถึงขั้นตอนอื่นๆ เช่น การสอบเทียบมาตรฐาน บางครั้งถูกนำมาใช้เพื่อลดขนาดของขั้นตอนการทดสอบพิสูจน์ความถูกต้องและช่วยให้มั่นใจได้ถึงความสม่ำเสมอในการทดสอบ ขั้นตอนการทดสอบพิสูจน์ความถูกต้องที่ดีควรมีรายละเอียดเพียงพอเพื่อให้แน่ใจว่าการทดสอบทั้งหมดดำเนินการและบันทึกไว้อย่างถูกต้อง แต่ไม่ควรมีรายละเอียดมากเกินไปจนทำให้ช่างเทคนิคต้องการข้ามขั้นตอน การให้ช่างเทคนิคผู้รับผิดชอบในการดำเนินการขั้นตอนการทดสอบลงนามในขั้นตอนการทดสอบที่เสร็จสมบูรณ์จะช่วยให้มั่นใจได้ว่าการทดสอบจะดำเนินการอย่างถูกต้อง การลงนามรับรองการทดสอบพิสูจน์ความถูกต้องที่เสร็จสมบูรณ์โดยหัวหน้างานเครื่องมือและตัวแทนฝ่ายปฏิบัติการจะเน้นย้ำถึงความสำคัญและรับรองว่าการทดสอบพิสูจน์ความถูกต้องเสร็จสมบูรณ์อย่างถูกต้อง

ควรเปิดโอกาสให้ช่างเทคนิคแสดงความคิดเห็นเสมอเพื่อช่วยปรับปรุงขั้นตอนการทำงาน ความสำเร็จของขั้นตอนการทดสอบขึ้นอยู่กับฝีมือของช่างเทคนิคเป็นอย่างมาก ดังนั้นการทำงานร่วมกันจึงเป็นสิ่งสำคัญอย่างยิ่ง

โดยทั่วไป การทดสอบความปลอดภัยส่วนใหญ่มักทำแบบออฟไลน์ระหว่างการหยุดทำงานหรือการซ่อมบำรุง ในบางกรณี อาจจำเป็นต้องทำการทดสอบความปลอดภัยแบบออนไลน์ขณะที่เครื่องจักรทำงานอยู่ เพื่อให้เป็นไปตามการคำนวณ SIL หรือข้อกำหนดอื่นๆ การทดสอบแบบออนไลน์ต้องมีการวางแผนและประสานงานกับฝ่ายปฏิบัติการ เพื่อให้การทดสอบความปลอดภัยดำเนินการได้อย่างปลอดภัย โดยไม่ทำให้กระบวนการหยุดชะงัก และไม่ทำให้เกิดการหยุดทำงานโดยไม่จำเป็น การหยุดทำงานโดยไม่จำเป็นเพียงครั้งเดียวก็อาจทำให้ความปลอดภัยของคุณหมดไปได้ ในระหว่างการทดสอบประเภทนี้ เมื่อ SIF ไม่พร้อมใช้งานอย่างเต็มที่เพื่อปฏิบัติหน้าที่ด้านความปลอดภัย ข้อ 11.8.5 ของ 61511-1 ระบุว่า “ต้องมีมาตรการชดเชยที่รับประกันการทำงานที่ปลอดภัยอย่างต่อเนื่องตามข้อ 11.3 เมื่อ SIS อยู่ในโหมดบายพาส (ซ่อมแซมหรือทดสอบ)” ควรมีขั้นตอนการจัดการสถานการณ์ผิดปกติควบคู่ไปกับขั้นตอนการทดสอบความปลอดภัย เพื่อช่วยให้มั่นใจได้ว่าการดำเนินการนี้เป็นไปอย่างถูกต้อง

โดยทั่วไปแล้ว SIF จะแบ่งออกเป็นสามส่วนหลัก ได้แก่ เซ็นเซอร์ ตัวแก้ปัญหาเชิงตรรกะ และองค์ประกอบสุดท้าย นอกจากนี้ โดยทั่วไปแล้วยังมีอุปกรณ์เสริมที่อาจเกี่ยวข้องกับแต่ละส่วนทั้งสามนี้ (เช่น แผงกั้น IS, แอมป์ทริป, รีเลย์คั่นกลาง, โซลินอยด์ ฯลฯ) ซึ่งต้องได้รับการทดสอบด้วยเช่นกัน ประเด็นสำคัญของการทดสอบความถูกต้องของเทคโนโลยีแต่ละอย่างสามารถพบได้ในแถบด้านข้าง “การทดสอบเซ็นเซอร์ ตัวแก้ปัญหาเชิงตรรกะ และองค์ประกอบสุดท้าย” (ด้านล่าง)

การทดสอบความถูกต้องของบางสิ่งทำได้ง่ายกว่าสิ่งอื่น ๆ เทคโนโลยีการวัดการไหลและระดับที่ทันสมัยหลายอย่างและบางส่วนที่เก่ากว่านั้นอยู่ในประเภทที่ทดสอบได้ยากกว่า ซึ่งรวมถึงเครื่องวัดการไหลแบบโคริโอลิส เครื่องวัดการไหลแบบวน เครื่องวัดสนามแม่เหล็ก เรดาร์แบบวัดผ่านอากาศ เครื่องวัดระดับอัลตราโซนิก และสวิตช์กระบวนการแบบติดตั้งในสถานที่ เป็นต้น โชคดีที่ปัจจุบันเทคโนโลยีเหล่านี้หลายอย่างมีระบบวินิจฉัยที่ได้รับการปรับปรุงแล้ว ทำให้การทดสอบดีขึ้น

ในการออกแบบ SIF ต้องคำนึงถึงความยากลำบากในการทดสอบการใช้งานอุปกรณ์ดังกล่าวในภาคสนาม ฝ่ายวิศวกรรมอาจเลือกใช้อุปกรณ์ SIF โดยไม่ต้องพิจารณาอย่างจริงจังถึงสิ่งที่จำเป็นในการทดสอบการใช้งานอุปกรณ์นั้น เนื่องจากพวกเขาจะไม่ใช่ผู้ทำการทดสอบ เช่นเดียวกับการทดสอบการทำงานเพียงบางส่วน ซึ่งเป็นวิธีทั่วไปในการปรับปรุงค่าความน่าจะเป็นเฉลี่ยของความล้มเหลวเมื่อใช้งาน (PFDavg) ของ SIF แต่ในภายหลังฝ่ายปฏิบัติการของโรงงานอาจไม่ต้องการทำ และหลายครั้งก็อาจจะไม่ทำ จึงควรจัดให้มีการกำกับดูแลจากฝ่ายวิศวกรรมของโรงงานเกี่ยวกับการทดสอบการใช้งาน SIF เสมอ

การทดสอบพิสูจน์ควรรวมถึงการตรวจสอบการติดตั้งและการซ่อมแซม SIF ตามความจำเป็นเพื่อให้เป็นไปตาม 61511-1 ข้อ 16.3.2 ควรมีการตรวจสอบขั้นสุดท้ายเพื่อให้แน่ใจว่าทุกอย่างเรียบร้อยดี และตรวจสอบซ้ำอีกครั้งว่า SIF ได้ถูกนำกลับมาใช้งานในกระบวนการอย่างถูกต้องแล้ว

การเขียนและการนำขั้นตอนการทดสอบที่ดีมาใช้ถือเป็นขั้นตอนสำคัญในการรับประกันความสมบูรณ์ของระบบความปลอดภัยขั้นสูง (SIF) ตลอดอายุการใช้งาน ขั้นตอนการทดสอบควรให้รายละเอียดที่เพียงพอเพื่อให้แน่ใจว่าการทดสอบที่จำเป็นนั้นดำเนินการอย่างสม่ำเสมอและปลอดภัย รวมถึงมีการบันทึกไว้ ความล้มเหลวที่เป็นอันตรายซึ่งไม่ได้รับการทดสอบโดยการทดสอบพิสูจน์ควรได้รับการชดเชยเพื่อให้มั่นใจว่าความปลอดภัยของ SIF ได้รับการรักษาไว้อย่างเพียงพอตลอดอายุการใช้งาน

การเขียนขั้นตอนการทดสอบการพิสูจน์ที่ดีนั้น จำเป็นต้องใช้แนวทางเชิงตรรกะในการวิเคราะห์ทางวิศวกรรมเกี่ยวกับความล้มเหลวที่เป็นอันตรายที่อาจเกิดขึ้น การเลือกวิธีการ และการเขียนขั้นตอนการทดสอบการพิสูจน์ที่อยู่ในขีดความสามารถในการทดสอบของโรงงาน ในระหว่างนั้น ต้องได้รับการสนับสนุนจากทุกระดับในโรงงานเกี่ยวกับการทดสอบ และฝึกอบรมช่างเทคนิคให้ดำเนินการและบันทึกการทดสอบการพิสูจน์ ตลอดจนเข้าใจถึงความสำคัญของการทดสอบ เขียนคำแนะนำราวกับว่าคุณเป็นช่างเทคนิคเครื่องมือที่ต้องลงมือทำ และชีวิตของผู้คนขึ้นอยู่กับการทดสอบที่ถูกต้อง เพราะมันเป็นเช่นนั้นจริงๆ

Testing sensors, logic solvers and final elements A SIF is typically divided up into three main parts, sensors, logic solvers and final elements. There also typically are auxiliary devices that can be associated within each of these three parts (e.g. I.S. barriers, trip amps, interposing relays, solenoids, etc.) that must also be tested.Sensor proof tests: The sensor proof test must ensure that the sensor can sense the process variable over its full range and transmit the proper signal to the SIS logic solver for evaluation. While not inclusive, some of the things to consider in creating the sensor portion of the proof test procedure are given in Table 1. Table 1: Sensor proof test considerations Process ports clean/process interface check, significant buildup noted Internal diagnostics check, run extended diagnostics if available  Sensor calibration (5 point) with simulated process input to sensor, verified through to the DCS, drift check Trip point check High/High-High/Low/Low-Low alarms Redundancy, voting degradation  Out of range, deviation, diagnostic alarms Bypass and alarms, restrike User diagnostics Transmitter Fail Safe configuration verified Test associated systems (e.g. purge, heat tracing, etc.) and auxiliary components Physical inspection Complete as-found and as-left documentation Logic solver proof test:  When full-function proof testing is done, the logic solver’s part in accomplishing the SIF’s safety action and related actions (e.g. alarms, reset, bypasses, user diagnostics, redundancies, HMI, etc.) are tested. Partial or piecemeal function proof tests must accomplish all these tests as part of the individual overlapping proof tests. The logic solver manufacturer should have a recommended proof test procedure in the device safety manual. If not and as a minimum, the logic solver power should be cycled, and the logic solver diagnostic registers, status lights, power supply voltages, communication links and redundancy should be checked. These checks should be done prior to the full-function proof test.Don’t make the assumption that the software is good forever and the logic need not be tested after the initial proof test as undocumented, unauthorized and untested software and hardware changes and software updates can creep into systems over time and must be factored into your overall proof test philosophy. The management of change, maintenance, and revision logs should be reviewed to ensure they are up to date and properly maintained, and if capable, the application program should be compared to the latest backup.Care should also be taken to test all the user logic solver auxiliary and diagnostic functions (e.g. watchdogs, communication links, cybersecurity appliances, etc.).Final element proof test: Most final elements are valves, however, rotating equipment motor starters, variable-speed drives and other electrical components such as contactors and circuit breakers are also used as final elements and their failure modes must be analyzed and proof tested.The primary failure modes for valves are being stuck, response time too slow or too fast, and leakage, all of which are affected by the valve’s operating process interface at trip time. While testing the valve at operating conditions is the most desirable case, Operations would generally be opposed to tripping the SIF while the plant is operating. Most SIS valves are typically tested while the plant is down at zero differential pressure, which is the least demanding of operating conditions. The user should be aware of the worst-case operational differential pressure and the valve and process degradation effects, which should be factored into the valve and actuator design and sizing.Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).Ambient temperatures can also affect valve friction loads, so that testing valves in warm weather will generally be the least demanding friction load when compared to cold weather operation. As a result, proof testing of valves at a consistent temperature should be considered to provide consistent data for inferential testing for the determination of valve performance degradation.Valves with smart positioners or a digital valve controller generally have capability to create a valve signature that can be used to monitor degradation in valve performance. A baseline valve signature can be requested as part of your purchase order or you can create one during the initial proof test to serve as a baseline. The valve signature should be done for both opening and closing of the valve. Advanced valve diagnostic should also be used if available. This can help tell you if your valve performance is deteriorating by comparing subsequent proof test valve signatures and diagnostics with your baseline. This type of test can help compensate for not testing the valve at worst case operating pressures.The valve signature during a proof test may also be able to record the response time with time stamps, removing the need for a stopwatch. Increased response time is a sign of valve deterioration and increased friction load to move the valve. While there are no standards regarding changes in valve response time, a negative pattern of changes from proof test to proof test is indicative of the potential loss of the valve’s safety margin and performance. Modern SIS valve proof testing should include a valve signature as a matter of good engineering practice.The valve instrument air supply pressure should be measured during a proof test. While the valve spring for a spring-return valve is what closes the valve, the force or torque involved is determined by how much the valve spring is compressed by the valve supply pressure (per Hooke’s Law, F = kX). If your supply pressure is low, the spring will not compress as much, hence less force will be available to move the valve when needed. While not inclusive, some of the things to consider in creating the valve portion of the proof test procedure are given in Table 2. Table 2: Final element valve assembly considerations Test valve safety action at process operating pressure (best but typically not done), and time the valve’s response time. Verify redundancy Test valve safety action at zero differential pressure and time valve’s response time. Verify redundancy  Run valve signature and diagnostics as part of proof test and compare to baseline and previous test Visually observe valve action (proper action without unusual vibration or noise, etc.). Verify the valve field and position indication on the DCS Fully stroke the valve a minimum of five times during the proof test to help ensure valve reliability. (This is not intended to fix significant degradation effects or incipient failures). Review valve maintenance records to ensure any changes meet the required valve SRS specifications Test diagnostics for energize-to-trip systems Leak test if Tight Shut Off (TSO) is required Verify the command disagree alarm functionality Inspect valve assembly and internals Remove, test and rebuild as necessary Complete as-found and as-left documentation Solenoids Evaluate venting to provide required response time Evaluate solenoid performance by a digital valve controller or smart positioner Verify redundant solenoid performance (e.g. 1oo2, 2oo3) Interposing Relays Verify correct operation, redundancy Device inspection

โดยทั่วไปแล้ว SIF จะแบ่งออกเป็นสามส่วนหลัก ได้แก่ เซ็นเซอร์ ตัวแก้ปัญหาเชิงตรรกะ และองค์ประกอบสุดท้าย นอกจากนี้ โดยทั่วไปแล้วยังมีอุปกรณ์เสริมที่สามารถเชื่อมโยงอยู่ภายในแต่ละส่วนทั้งสามนี้ (เช่น แผงกั้น IS, แอมป์ทริป, รีเลย์ตัวกลาง, โซลินอยด์ ฯลฯ) ซึ่งต้องได้รับการทดสอบด้วยเช่นกัน

การทดสอบการทำงานของเซ็นเซอร์: การทดสอบการทำงานของเซ็นเซอร์ต้องตรวจสอบให้แน่ใจว่าเซ็นเซอร์สามารถตรวจจับตัวแปรของกระบวนการได้ตลอดช่วงการทำงาน และส่งสัญญาณที่ถูกต้องไปยังตัวแก้ปัญหาตรรกะ SIS เพื่อทำการประเมินผล แม้ว่าจะไม่ครอบคลุมทั้งหมด แต่สิ่งที่ควรพิจารณาในการสร้างส่วนของเซ็นเซอร์ในขั้นตอนการทดสอบการทำงานนั้นแสดงไว้ในตารางที่ 1

การทดสอบการทำงานของตัวแก้ปัญหาตรรกะ: เมื่อทำการทดสอบการทำงานเต็มรูปแบบแล้ว ส่วนของตัวแก้ปัญหาตรรกะในการดำเนินการด้านความปลอดภัยของ SIF และการดำเนินการที่เกี่ยวข้อง (เช่น สัญญาณเตือน การรีเซ็ต การบายพาส การวินิจฉัยผู้ใช้ ระบบสำรอง HMI เป็นต้น) จะถูกทดสอบ การทดสอบการทำงานบางส่วนหรือแบบแยกส่วนจะต้องดำเนินการทดสอบทั้งหมดเหล่านี้เป็นส่วนหนึ่งของการทดสอบการทำงานที่ทับซ้อนกันแต่ละครั้ง ผู้ผลิตตัวแก้ปัญหาตรรกะควรมีขั้นตอนการทดสอบที่แนะนำไว้ในคู่มือความปลอดภัยของอุปกรณ์ หากไม่มี อย่างน้อยที่สุด ควรปิดและเปิดเครื่องแก้ปัญหาตรรกะ และตรวจสอบรีจิสเตอร์การวินิจฉัย ไฟแสดงสถานะ แรงดันไฟฟ้าของแหล่งจ่ายไฟ การเชื่อมต่อการสื่อสาร และระบบสำรองของตัวแก้ปัญหาตรรกะ การตรวจสอบเหล่านี้ควรทำก่อนการทดสอบการทำงานเต็มรูปแบบ

อย่าคิดไปเองว่าซอฟต์แวร์จะดีตลอดไป และไม่จำเป็นต้องทดสอบตรรกะหลังจากทดสอบความถูกต้องเบื้องต้นแล้ว เพราะการเปลี่ยนแปลงซอฟต์แวร์และฮาร์ดแวร์ที่ไม่ได้รับการบันทึก ไม่ได้รับอนุญาต และไม่ได้รับการทดสอบ อาจแทรกซึมเข้ามาในระบบได้เมื่อเวลาผ่านไป และต้องนำมาพิจารณาในหลักการทดสอบความถูกต้องโดยรวมของคุณด้วย ควรตรวจสอบการจัดการการเปลี่ยนแปลง การบำรุงรักษา และบันทึกการแก้ไข เพื่อให้แน่ใจว่าทันสมัยและได้รับการดูแลอย่างเหมาะสม และหากทำได้ ควรเปรียบเทียบโปรแกรมแอปพลิเคชันกับข้อมูลสำรองล่าสุด

ควรระมัดระวังในการทดสอบฟังก์ชันเสริมและฟังก์ชันวินิจฉัยทั้งหมดของตัวแก้ปัญหาตรรกะของผู้ใช้ (เช่น ตัวตรวจสอบการทำงานผิดปกติ การเชื่อมต่อการสื่อสาร อุปกรณ์รักษาความปลอดภัยทางไซเบอร์ เป็นต้น) ด้วย

การทดสอบความทนทานของชิ้นส่วนขั้นสุดท้าย: ชิ้นส่วนขั้นสุดท้ายส่วนใหญ่คือวาล์ว อย่างไรก็ตาม อุปกรณ์หมุนต่างๆ เช่น มอเตอร์สตาร์ทเตอร์ ตัวขับความเร็วแปรผัน และชิ้นส่วนไฟฟ้าอื่นๆ เช่น คอนแทคเตอร์และเบรกเกอร์วงจร ก็ถูกใช้เป็นชิ้นส่วนขั้นสุดท้ายเช่นกัน และต้องวิเคราะห์โหมดความล้มเหลวและทดสอบความทนทานของชิ้นส่วนเหล่านี้ด้วย

ลักษณะความล้มเหลวหลักของวาล์ว ได้แก่ การติดขัด เวลาตอบสนองช้าหรือเร็วเกินไป และการรั่วไหล ซึ่งทั้งหมดนี้ได้รับผลกระทบจากส่วนต่อประสานกระบวนการทำงานของวาล์วในขณะที่เกิดการตัดวงจร แม้ว่าการทดสอบวาล์วในสภาวะการทำงานจะเป็นกรณีที่พึงประสงค์ที่สุด แต่โดยทั่วไปแล้วฝ่ายปฏิบัติการจะไม่เห็นด้วยกับการตัดวงจร SIF ในขณะที่โรงงานกำลังทำงานอยู่ โดยทั่วไปแล้ววาล์ว SIS ส่วนใหญ่จะถูกทดสอบในขณะที่โรงงานหยุดทำงานที่ความดันแตกต่างเป็นศูนย์ ซึ่งเป็นสภาวะการทำงานที่ต้องการความทนทานน้อยที่สุด ผู้ใช้ควรตระหนักถึงความดันแตกต่างในการทำงานที่เลวร้ายที่สุด และผลกระทบจากการเสื่อมสภาพของวาล์วและกระบวนการ ซึ่งควรนำมาพิจารณาในการออกแบบและการกำหนดขนาดของวาล์วและตัวขับเคลื่อน

Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).

อุณหภูมิแวดล้อมยังส่งผลต่อแรงเสียดทานของวาล์วด้วย ดังนั้นการทดสอบวาล์วในสภาพอากาศอบอุ่นจึงมักมีแรงเสียดทานน้อยที่สุดเมื่อเทียบกับการใช้งานในสภาพอากาศเย็น ด้วยเหตุนี้ จึงควรพิจารณาการทดสอบความแข็งแรงของวาล์วที่อุณหภูมิคงที่ เพื่อให้ได้ข้อมูลที่สม่ำเสมอสำหรับการทดสอบเชิงอนุมานเพื่อพิจารณาการเสื่อมสภาพของประสิทธิภาพของวาล์ว

วาล์วที่มีตัวกำหนดตำแหน่งอัจฉริยะหรือตัวควบคุมวาล์วดิจิทัลโดยทั่วไปจะมีความสามารถในการสร้างลายเซ็นวาล์วที่สามารถใช้ตรวจสอบการเสื่อมสภาพของประสิทธิภาพวาล์วได้ คุณสามารถขอลายเซ็นวาล์วพื้นฐานได้ในระหว่างการสั่งซื้อ หรือคุณสามารถสร้างลายเซ็นวาล์วพื้นฐานได้ในระหว่างการทดสอบการทำงานครั้งแรกเพื่อใช้เป็นค่าพื้นฐาน ลายเซ็นวาล์วควรทำทั้งในขณะเปิดและปิดวาล์ว ควรใช้การวินิจฉัยวาล์วขั้นสูงหากมีให้บริการ ซึ่งจะช่วยบอกคุณได้ว่าประสิทธิภาพวาล์วของคุณกำลังเสื่อมลงหรือไม่ โดยการเปรียบเทียบลายเซ็นวาล์วและการวินิจฉัยในการทดสอบการทำงานครั้งต่อๆ ไปกับค่าพื้นฐานของคุณ การทดสอบประเภทนี้สามารถช่วยชดเชยการไม่ทดสอบวาล์วที่แรงดันใช้งานที่เลวร้ายที่สุดได้

ในระหว่างการทดสอบความแข็งแรงของวาล์ว อาจมีการบันทึกเวลาตอบสนองพร้อมประทับเวลาไว้ด้วย ซึ่งช่วยลดความจำเป็นในการใช้เครื่องจับเวลา เวลาตอบสนองที่เพิ่มขึ้นเป็นสัญญาณบ่งบอกถึงการเสื่อมสภาพของวาล์วและแรงเสียดทานที่เพิ่มขึ้นในการเคลื่อนที่ของวาล์ว แม้ว่าจะไม่มีมาตรฐานเกี่ยวกับความเปลี่ยนแปลงของเวลาตอบสนองของวาล์ว แต่รูปแบบการเปลี่ยนแปลงในทางลบจากการทดสอบความแข็งแรงครั้งหนึ่งไปยังอีกครั้งหนึ่ง บ่งชี้ถึงความเป็นไปได้ที่จะสูญเสียขอบเขตความปลอดภัยและประสิทธิภาพของวาล์ว การทดสอบความแข็งแรงของวาล์ว SIS ที่ทันสมัยควรมีการบันทึกการทำงานของวาล์ว (valve signature) เพื่อเป็นแนวทางปฏิบัติทางวิศวกรรมที่ดี

ควรวัดแรงดันอากาศที่จ่ายให้กับวาล์วในระหว่างการทดสอบความแข็งแรง ในขณะที่สปริงวาล์วสำหรับวาล์วแบบสปริงคืนตัวเป็นตัวที่ปิดวาล์ว แรงหรือแรงบิดที่เกี่ยวข้องจะถูกกำหนดโดยปริมาณการบีบอัดของสปริงวาล์วโดยแรงดันอากาศที่จ่ายให้กับวาล์ว (ตามกฎของฮุค F = kX) หากแรงดันอากาศที่จ่ายต่ำ สปริงจะไม่ถูกบีบอัดมากนัก ดังนั้นแรงที่จะใช้ในการเคลื่อนวาล์วเมื่อจำเป็นก็จะน้อยลง แม้ว่าจะไม่ครอบคลุมทั้งหมด แต่บางส่วนที่ควรพิจารณาในการสร้างส่วนของวาล์วในขั้นตอนการทดสอบความแข็งแรงนั้นแสดงไว้ในตารางที่ 2