Trillingssensoralarm voor ＨＯＭＥ ｓｅｃｕｒｉｔｙ

Proefdraaien is een essentieel onderdeel van het waarborgen van de veiligheidsintegriteit van onze veiligheidsinstrumentatiesystemen (SIS) en aanverwante systemen (bijv. kritieke alarmen, brand- en gasdetectiesystemen, instrumentele vergrendelingssystemen, enz.). Een proefdraai is een periodieke test om gevaarlijke storingen op te sporen, de veiligheidsfunctionaliteit te testen (bijv. resetten, bypasses, alarmen, diagnostiek, handmatige uitschakeling, enz.) en ervoor te zorgen dat het systeem voldoet aan de bedrijfs- en externe normen. De resultaten van de proefdraaien zijn tevens een maatstaf voor de effectiviteit van het programma voor mechanische integriteit van het SIS en de betrouwbaarheid van het systeem in de praktijk.

De procedures voor de proefneming omvatten alle teststappen, van het verkrijgen van vergunningen, het doen van meldingen en het buiten bedrijf stellen van het systeem voor testen, tot het garanderen van een grondige test, het documenteren van de proefneming en de resultaten ervan, het weer in bedrijf stellen van het systeem en het evalueren van de huidige testresultaten en de resultaten van eerdere proefnemingen.

ANSI/ISA/IEC 61511-1, clausule 16, behandelt de beproeving van SIS-systemen. Het ISA-technisch rapport TR84.00.03 – “Mechanical Integrity of Safety Instrumented Systems (SIS)” – behandelt de beproeving en wordt momenteel herzien; een nieuwe versie wordt binnenkort verwacht. Het ISA-technisch rapport TR96.05.02 – “In-situ Proof Testing of Automated Valves” is momenteel in ontwikkeling.

Het Britse HSE-rapport CRR 428/2002 – “Principes voor het testen van veiligheidsinstrumentatiesystemen in de chemische industrie” geeft informatie over het uitvoeren van dergelijke testen en wat bedrijven in het Verenigd Koninkrijk doen.

Een testprocedure is gebaseerd op een analyse van de bekende gevaarlijke storingsmodi voor elk van de componenten in het uitschakelpad van de veiligheidsinstrumentatiefunctie (SIF), de SIF-functionaliteit als systeem en hoe (en of) de gevaarlijke storingsmodus getest moet worden. De ontwikkeling van de procedure moet beginnen in de SIF-ontwerpfase met het systeemontwerp, de selectie van componenten en de bepaling van wanneer en hoe de test moet worden uitgevoerd. SIS-instrumenten hebben verschillende moeilijkheidsgraden voor testprocedures waarmee rekening moet worden gehouden bij het ontwerp, de werking en het onderhoud van de SIF. Zo zijn bijvoorbeeld orifice-meters en druktransmitters gemakkelijker te testen dan Coriolis-massastroommeters, magneetmeters of radarniveausensoren. De toepassing en het klepontwerp kunnen ook van invloed zijn op de volledigheid van de kleptest om ervoor te zorgen dat gevaarlijke en beginnende storingen als gevolg van degradatie, verstopping of tijdsafhankelijke storingen niet leiden tot een kritieke storing binnen het geselecteerde testinterval.

Hoewel de procedures voor de beproevingstests doorgaans tijdens de SIF-engineeringfase worden ontwikkeld, moeten ze ook worden beoordeeld door de SIS Technical Authority van de locatie, de operationele afdeling en de instrumentatietechnici die de tests zullen uitvoeren. Er moet ook een taakveiligheidsanalyse (JSA) worden uitgevoerd. Het is belangrijk om de fabriek te overtuigen van welke tests wanneer zullen worden uitgevoerd, en of deze fysiek en qua veiligheid haalbaar zijn. Het heeft bijvoorbeeld geen zin om gedeeltelijke-slagtests te specificeren als de operationele afdeling daar niet mee instemt. Het is ook aan te raden de procedures voor de beproevingstests te laten beoordelen door een onafhankelijke expert. De typische tests die nodig zijn voor een volledige functionele beproevingstest worden weergegeven in Figuur 1.

Eisen voor een volledige functionele test Figuur 1: Een specificatie voor een volledige functionele test voor een veiligheidsinstrumentatiefunctie (SIF) en het bijbehorende veiligheidsinstrumentatiesysteem (SIS) moet de stappen in volgorde beschrijven of ernaar verwijzen, van testvoorbereidingen en testprocedures tot meldingen en documentatie.

Figuur 1: Een volledige specificatie voor een functionele bewijstest voor een veiligheidsinstrumentatiefunctie (SIF) en het bijbehorende veiligheidsinstrumentatiesysteem (SIS) moet de stappen in volgorde beschrijven of ernaar verwijzen, van testvoorbereidingen en testprocedures tot meldingen en documentatie.

Proefdraaien is een geplande onderhoudsactie die moet worden uitgevoerd door bevoegd personeel dat is opgeleid in SIS-testen, de proefdraaiprocedure en de SIS-circuits die ze gaan testen. Voorafgaand aan de eerste proefdraai moet de procedure worden doorgenomen en na afloop moet er feedback worden gegeven aan de SIS-technisch verantwoordelijke op locatie voor eventuele verbeteringen of correcties.

Er zijn twee primaire faalmodi (veilig of gevaarlijk), die verder zijn onderverdeeld in vier modi: gevaarlijk onopgemerkt, gevaarlijk gedetecteerd (door middel van diagnostiek), veilig onopgemerkt en veilig gedetecteerd. De termen gevaarlijk en gevaarlijk onopgemerkt worden in dit artikel door elkaar gebruikt.

Bij SIF-prooftesten zijn we primair geïnteresseerd in gevaarlijke, niet-gedetecteerde foutmodi, maar als er gebruikersdiagnostiek is die gevaarlijke fouten detecteert, moet deze diagnostiek ook worden getest. Merk op dat, in tegenstelling tot gebruikersdiagnostiek, interne apparaatdiagnostiek doorgaans niet door de gebruiker als functioneel kan worden gevalideerd, en dit kan de prooftestfilosofie beïnvloeden. Wanneer diagnostiek wordt meegenomen in de SIL-berekeningen, moeten de diagnostische alarmen (bijvoorbeeld alarmen voor waarden buiten het bereik) als onderdeel van de prooftest worden getest.

Storingsmodi kunnen verder worden onderverdeeld in modi die tijdens een beproeving worden getest, modi die niet worden getest en beginnende storingen of tijdsafhankelijke storingen. Sommige gevaarlijke storingsmodi worden om verschillende redenen mogelijk niet direct getest (bijvoorbeeld moeilijkheid, technische of operationele beslissing, onwetendheid, incompetentie, nalatigheid of opzettelijke systematische fouten, lage waarschijnlijkheid van optreden, enz.). Als er bekende storingsmodi zijn die niet worden getest, moet hiervoor compensatie worden geboden in het ontwerp van het apparaat, de testprocedure, periodieke vervanging of revisie van het apparaat en/of inferentiële testen om het effect van het niet testen op de SIF-integriteit te minimaliseren.

Een beginnende storing is een verslechterende toestand of conditie waarbij redelijkerwijs een kritieke, gevaarlijke storing te verwachten is als er niet tijdig corrigerende maatregelen worden genomen. Ze worden doorgaans gedetecteerd door de prestaties te vergelijken met recente of initiële benchmarktests (bijvoorbeeld klepsignalen of reactietijden van kleppen) of door inspectie (bijvoorbeeld een verstopte procespoort). Beginnende storingen zijn vaak tijdsafhankelijk: hoe langer het apparaat of de assemblage in gebruik is, hoe meer de toestand verslechtert; omstandigheden die een willekeurige storing bevorderen, worden waarschijnlijker, zoals verstopping van procespoorten of ophoping van sensormateriaal in de loop der tijd, het einde van de levensduur, enzovoort. Daarom geldt: hoe langer het interval tussen de testbeurten, hoe groter de kans op een beginnende of tijdsafhankelijke storing. Eventuele beveiligingen tegen beginnende storingen moeten ook worden getest (bijvoorbeeld het doorspoelen van poorten, warmtegeleiding).

Er moeten procedures worden opgesteld om gevaarlijke (niet-opgemerkte) storingen op te sporen en te testen. Technieken zoals FMEA (Failure Mode and Effect Analysis) of FMEDA (Failure Mode, Effect and Diagnostic Analysis) kunnen helpen bij het identificeren van gevaarlijke, niet-opgemerkte storingen en waar de testdekking verbeterd moet worden.

Veel testprocedures zijn gebaseerd op ervaring en sjablonen van bestaande procedures. Nieuwe procedures en complexere SIF's vereisen een meer technische aanpak met behulp van FMEA/FMEDA om gevaarlijke storingen te analyseren, te bepalen hoe de testprocedure deze storingen wel of niet zal detecteren en de dekking van de tests te bepalen. Een macro-niveau blokdiagram voor een sensor met een foutenanalyse is weergegeven in Figuur 2. De FMEA hoeft doorgaans slechts eenmaal te worden uitgevoerd voor een bepaald type apparaat en kan vervolgens worden hergebruikt voor vergelijkbare apparaten, rekening houdend met hun procesomstandigheden, installatie en testmogelijkheden op locatie.

Foutanalyse op macroniveau Figuur 2: Dit blokschema voor foutanalyse op macroniveau voor een sensor en druktransmitter (PT) toont de belangrijkste functies die doorgaans worden onderverdeeld in meerdere microfoutanalyses om de potentiële storingen die in de functietests moeten worden aangepakt, volledig in kaart te brengen.

Figuur 2: Dit macro-niveau blokdiagram voor faalmodusanalyse van een sensor en druktransmitter (PT) toont de belangrijkste functies die doorgaans worden onderverdeeld in meerdere micro-faalanalyses om de potentiële storingen die in de functietests moeten worden aangepakt, volledig in kaart te brengen.

Het percentage van de bekende, gevaarlijke, niet-gedetecteerde defecten dat daadwerkelijk getest wordt, wordt de testdekking (PTC) genoemd. PTC wordt vaak gebruikt in SIL-berekeningen om te "compenseren" voor het feit dat de SIF niet volledig getest wordt. Mensen denken ten onrechte dat ze een betrouwbare SIF hebben ontworpen omdat ze rekening hebben gehouden met de gebrekkige testdekking in hun SIL-berekening. De realiteit is echter dat als je testdekking 75% is en je dat percentage meeneemt in je SIL-berekening en de onderdelen die je toch al test vaker test, statistisch gezien nog steeds 25% van de gevaarlijke defecten kan voorkomen. Ik wil absoluut niet bij die 25% horen.

De FMEDA-goedkeuringsrapporten en veiligheidshandleidingen voor apparaten bevatten doorgaans een minimale testprocedure en testdekking. Deze bieden slechts richtlijnen en niet alle teststappen die nodig zijn voor een uitgebreide testprocedure. Andere vormen van foutenanalyse, zoals foutenboomanalyse en betrouwbaarheidsgericht onderhoud, worden ook gebruikt om gevaarlijke storingen op te sporen.

Proefnemingen kunnen worden onderverdeeld in volledige functionele (end-to-end) of gedeeltelijke functionele testen (Figuur 3). Gedeeltelijke functionele testen worden vaak uitgevoerd wanneer de componenten van het SIF verschillende testintervallen hebben in de SIL-berekeningen die niet overeenkomen met geplande shutdowns of revisies. Het is belangrijk dat de procedures voor gedeeltelijke functionele proefnemingen elkaar overlappen, zodat ze samen alle veiligheidsfunctionaliteit van het SIF testen. Ook bij gedeeltelijke functionele testen wordt nog steeds aanbevolen dat het SIF een initiële end-to-end proefneming ondergaat, en daaropvolgende testen tijdens revisies.

Deeltests moeten samen alle functionaliteiten van een volledige functionele bewijstest (boven) dekken. Figuur 3: De gecombineerde deeltests (onder) moeten alle functionaliteiten van een volledige functionele bewijstest (boven) omvatten.

Figuur 3: De gecombineerde gedeeltelijke bewijstests (onderaan) moeten alle functionaliteiten van een volledige functionele bewijstest (bovenaan) omvatten.

Een gedeeltelijke test controleert slechts een percentage van de mogelijke storingen van een apparaat. Een veelvoorkomend voorbeeld is de gedeeltelijke slagtest van een klep, waarbij de klep een klein beetje (10-20%) wordt bewogen om te controleren of deze niet vastzit. Deze test heeft een lagere dekkingsgraad dan de primaire test.

De complexiteit van de testprocedures kan variëren, afhankelijk van de complexiteit van het SIF (System Integration Framework) en de testfilosofie van het bedrijf. Sommige bedrijven schrijven gedetailleerde, stapsgewijze testprocedures, terwijl andere relatief beknopte procedures hanteren. Verwijzingen naar andere procedures, zoals een standaardkalibratie, worden soms gebruikt om de testprocedure korter te maken en consistentie in de testen te waarborgen. Een goede testprocedure moet voldoende details bevatten om ervoor te zorgen dat alle testen correct worden uitgevoerd en gedocumenteerd, maar niet zoveel details dat technici stappen willen overslaan. Het laten paraferen van de voltooide teststap door de technicus die verantwoordelijk is voor de uitvoering ervan, kan ervoor zorgen dat de test correct wordt uitgevoerd. Het aftekenen van de voltooide test door de instrumentbeheerder en de operationele vertegenwoordigers benadrukt eveneens het belang van een correct uitgevoerde test.

Feedback van technici moet altijd worden gevraagd om de procedure te verbeteren. Het succes van een beproevingsprocedure hangt grotendeels af van de technicus, dus een gezamenlijke aanpak is ten zeerste aan te bevelen.

De meeste beproevingen worden doorgaans offline uitgevoerd tijdens een stilstand of revisie. In sommige gevallen kan het nodig zijn om beproevingen online uit te voeren terwijl de machine in bedrijf is, om te voldoen aan de SIL-berekeningen of andere vereisten. Online testen vereist planning en coördinatie met de operationele afdeling om ervoor te zorgen dat de beproeving veilig kan worden uitgevoerd, zonder verstoring van het proces en zonder een valse uitschakeling te veroorzaken. Eén valse uitschakeling kan al je lofbetuigingen tenietdoen. Tijdens dit type test, wanneer de SIF niet volledig beschikbaar is om zijn veiligheidstaak uit te voeren, stelt 61511-1, clausule 11.8.5 dat "compenserende maatregelen die een continue veilige werking garanderen, moeten worden getroffen in overeenstemming met 11.3 wanneer de SIS in bypass-modus is (reparatie of testen)." Een procedure voor het beheer van abnormale situaties moet de beproevingsprocedure vergezellen om ervoor te zorgen dat dit correct gebeurt.

Een SIF is doorgaans opgedeeld in drie hoofdonderdelen: sensoren, logische oplossers en eindelementen. Er zijn meestal ook hulpapparaten die aan elk van deze drie onderdelen kunnen worden gekoppeld (bijv. IS-barrières, trip-versterkers, tussenrelais, solenoïden, enz.) die eveneens getest moeten worden. Kritische aspecten van het testen van elk van deze technologieën zijn te vinden in de zijbalk "Testen van sensoren, logische oplossers en eindelementen" (hieronder).

Sommige dingen zijn gemakkelijker te testen dan andere. Veel moderne en een aantal oudere technologieën voor debiet- en niveaumeting vallen in de moeilijkere categorie. Voorbeelden hiervan zijn Coriolis-debietmeters, vortexmeters, magneetmeters, radarapparatuur voor luchtmetingen, ultrasone niveaumeters en procesomschakelaars, om er maar een paar te noemen. Gelukkig beschikken veel van deze technologieën tegenwoordig over verbeterde diagnostische mogelijkheden, waardoor betere tests mogelijk zijn.

De moeilijkheid om een ​​dergelijk apparaat in de praktijk te testen, moet worden meegenomen in het ontwerp van de SIF. Het is voor de engineeringafdeling gemakkelijk om SIF-apparaten te selecteren zonder serieus te overwegen wat er nodig is om het apparaat te testen, aangezien zij niet degenen zullen zijn die de tests uitvoeren. Dit geldt ook voor gedeeltelijke-slagtests, een veelgebruikte methode om de gemiddelde faalkans van een SIF op aanvraag (PFDavg) te verbeteren, maar later wil de operationele afdeling van de fabriek dit vaak niet meer doen. Zorg er daarom altijd voor dat de fabriek toezicht houdt op het ontwerp van de SIF's met betrekking tot de testprocedures.

De proefdraai moet een inspectie van de SIF-installatie omvatten en, indien nodig, reparaties uitvoeren om te voldoen aan 61511-1, clausule 16.3.2. Er moet een eindinspectie plaatsvinden om te controleren of alles correct is aangesloten en of de SIF op de juiste manier weer in bedrijf is genomen.

Het opstellen en implementeren van een goede testprocedure is een belangrijke stap om de integriteit van het SIF gedurende de gehele levensduur te waarborgen. De testprocedure moet voldoende gedetailleerd zijn om te garanderen dat de vereiste tests consistent en veilig worden uitgevoerd en gedocumenteerd. Gevaarlijke defecten die niet door middel van beproevingen zijn getest, moeten worden gecompenseerd om ervoor te zorgen dat de veiligheidsintegriteit van het SIF gedurende de gehele levensduur adequaat wordt gehandhaafd.

Het opstellen van een goede testprocedure vereist een logische aanpak van de technische analyse van potentiële gevaarlijke storingen, het selecteren van de juiste middelen en het beschrijven van de teststappen die binnen de testmogelijkheden van de fabriek vallen. Zorg er gaandeweg voor dat alle medewerkers binnen de fabriek achter de test staan ​​en train de technici in het uitvoeren en documenteren van de test, en in het begrijpen van het belang ervan. Schrijf instructies alsof u zelf de instrumentatietechnicus bent die het werk moet uitvoeren, en alsof er levens van afhangen als de test correct wordt uitgevoerd, want dat is ook zo.

Testing sensors, logic solvers and final elements A SIF is typically divided up into three main parts, sensors, logic solvers and final elements. There also typically are auxiliary devices that can be associated within each of these three parts (e.g. I.S. barriers, trip amps, interposing relays, solenoids, etc.) that must also be tested.Sensor proof tests: The sensor proof test must ensure that the sensor can sense the process variable over its full range and transmit the proper signal to the SIS logic solver for evaluation. While not inclusive, some of the things to consider in creating the sensor portion of the proof test procedure are given in Table 1. Table 1: Sensor proof test considerations Process ports clean/process interface check, significant buildup noted Internal diagnostics check, run extended diagnostics if available  Sensor calibration (5 point) with simulated process input to sensor, verified through to the DCS, drift check Trip point check High/High-High/Low/Low-Low alarms Redundancy, voting degradation  Out of range, deviation, diagnostic alarms Bypass and alarms, restrike User diagnostics Transmitter Fail Safe configuration verified Test associated systems (e.g. purge, heat tracing, etc.) and auxiliary components Physical inspection Complete as-found and as-left documentation Logic solver proof test:  When full-function proof testing is done, the logic solver’s part in accomplishing the SIF’s safety action and related actions (e.g. alarms, reset, bypasses, user diagnostics, redundancies, HMI, etc.) are tested. Partial or piecemeal function proof tests must accomplish all these tests as part of the individual overlapping proof tests. The logic solver manufacturer should have a recommended proof test procedure in the device safety manual. If not and as a minimum, the logic solver power should be cycled, and the logic solver diagnostic registers, status lights, power supply voltages, communication links and redundancy should be checked. These checks should be done prior to the full-function proof test.Don’t make the assumption that the software is good forever and the logic need not be tested after the initial proof test as undocumented, unauthorized and untested software and hardware changes and software updates can creep into systems over time and must be factored into your overall proof test philosophy. The management of change, maintenance, and revision logs should be reviewed to ensure they are up to date and properly maintained, and if capable, the application program should be compared to the latest backup.Care should also be taken to test all the user logic solver auxiliary and diagnostic functions (e.g. watchdogs, communication links, cybersecurity appliances, etc.).Final element proof test: Most final elements are valves, however, rotating equipment motor starters, variable-speed drives and other electrical components such as contactors and circuit breakers are also used as final elements and their failure modes must be analyzed and proof tested.The primary failure modes for valves are being stuck, response time too slow or too fast, and leakage, all of which are affected by the valve’s operating process interface at trip time. While testing the valve at operating conditions is the most desirable case, Operations would generally be opposed to tripping the SIF while the plant is operating. Most SIS valves are typically tested while the plant is down at zero differential pressure, which is the least demanding of operating conditions. The user should be aware of the worst-case operational differential pressure and the valve and process degradation effects, which should be factored into the valve and actuator design and sizing.Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).Ambient temperatures can also affect valve friction loads, so that testing valves in warm weather will generally be the least demanding friction load when compared to cold weather operation. As a result, proof testing of valves at a consistent temperature should be considered to provide consistent data for inferential testing for the determination of valve performance degradation.Valves with smart positioners or a digital valve controller generally have capability to create a valve signature that can be used to monitor degradation in valve performance. A baseline valve signature can be requested as part of your purchase order or you can create one during the initial proof test to serve as a baseline. The valve signature should be done for both opening and closing of the valve. Advanced valve diagnostic should also be used if available. This can help tell you if your valve performance is deteriorating by comparing subsequent proof test valve signatures and diagnostics with your baseline. This type of test can help compensate for not testing the valve at worst case operating pressures.The valve signature during a proof test may also be able to record the response time with time stamps, removing the need for a stopwatch. Increased response time is a sign of valve deterioration and increased friction load to move the valve. While there are no standards regarding changes in valve response time, a negative pattern of changes from proof test to proof test is indicative of the potential loss of the valve’s safety margin and performance. Modern SIS valve proof testing should include a valve signature as a matter of good engineering practice.The valve instrument air supply pressure should be measured during a proof test. While the valve spring for a spring-return valve is what closes the valve, the force or torque involved is determined by how much the valve spring is compressed by the valve supply pressure (per Hooke’s Law, F = kX). If your supply pressure is low, the spring will not compress as much, hence less force will be available to move the valve when needed. While not inclusive, some of the things to consider in creating the valve portion of the proof test procedure are given in Table 2. Table 2: Final element valve assembly considerations Test valve safety action at process operating pressure (best but typically not done), and time the valve’s response time. Verify redundancy Test valve safety action at zero differential pressure and time valve’s response time. Verify redundancy  Run valve signature and diagnostics as part of proof test and compare to baseline and previous test Visually observe valve action (proper action without unusual vibration or noise, etc.). Verify the valve field and position indication on the DCS Fully stroke the valve a minimum of five times during the proof test to help ensure valve reliability. (This is not intended to fix significant degradation effects or incipient failures). Review valve maintenance records to ensure any changes meet the required valve SRS specifications Test diagnostics for energize-to-trip systems Leak test if Tight Shut Off (TSO) is required Verify the command disagree alarm functionality Inspect valve assembly and internals Remove, test and rebuild as necessary Complete as-found and as-left documentation Solenoids Evaluate venting to provide required response time Evaluate solenoid performance by a digital valve controller or smart positioner Verify redundant solenoid performance (e.g. 1oo2, 2oo3) Interposing Relays Verify correct operation, redundancy Device inspection

Een SIF is doorgaans opgedeeld in drie hoofdonderdelen: sensoren, logische oplossers en eindelementen. Daarnaast zijn er meestal hulpapparaten die binnen elk van deze drie onderdelen kunnen worden geplaatst (bijvoorbeeld IS-barrières, trip-versterkers, tussenrelais, solenoïden, enz.) die ook getest moeten worden.

Sensorbetrouwbaarheidstests: De sensorbetrouwbaarheidstest moet garanderen dat de sensor de procesvariabele over het volledige bereik kan meten en het juiste signaal naar de SIS-logica-oplosser kan verzenden voor evaluatie. Tabel 1 geeft een aantal, hoewel niet volledig, aandachtspunten voor het opstellen van het sensoronderdeel van de betrouwbaarheidstestprocedure.

Controletest van de logische solver: Bij een volledige controletest wordt de rol van de logische solver bij het uitvoeren van de veiligheidsactie van de SIF en gerelateerde acties (bijv. alarmen, reset, bypasses, gebruikersdiagnose, redundantie, HMI, enz.) getest. Gedeeltelijke of stapsgewijze controletests moeten al deze tests uitvoeren als onderdeel van de afzonderlijke, overlappende controletests. De fabrikant van de logische solver zou een aanbevolen controletestprocedure in de veiligheidshandleiding van het apparaat moeten hebben opgenomen. Zo niet, dan moeten minimaal de logische solver worden in- en uitgeschakeld en moeten de diagnostische registers, statuslampjes, voedingsspanningen, communicatieverbindingen en redundantie van de logische solver worden gecontroleerd. Deze controles moeten worden uitgevoerd vóór de volledige controletest.

Ga er niet van uit dat de software voor altijd goed blijft en dat de logica na de eerste test niet meer hoeft te worden gecontroleerd. Ongeautoriseerde en ongeteste software- en hardwarewijzigingen en software-updates kunnen namelijk in de loop der tijd in systemen sluipen en moeten worden meegenomen in uw algehele teststrategie. Het beheer van wijzigingen, onderhoud en revisielogboeken moet worden gecontroleerd om er zeker van te zijn dat ze actueel en correct worden bijgehouden. Indien mogelijk moet het applicatieprogramma worden vergeleken met de meest recente back-up.

Er moet ook zorgvuldig worden getest welke hulp- en diagnosefuncties de gebruikerslogica-solver gebruikt (bijv. watchdogs, communicatieverbindingen, cybersecurity-apparaten, enz.).

Eindtest van de componenten: De meeste eindcomponenten zijn kleppen, maar ook motorstarters voor roterende apparatuur, frequentieregelaars en andere elektrische componenten zoals contactoren en stroomonderbrekers worden als eindcomponenten gebruikt. De storingsmechanismen hiervan moeten worden geanalyseerd en getest.

De belangrijkste storingen bij kleppen zijn vastlopen, een te trage of te snelle reactietijd en lekkage. Al deze storingen worden beïnvloed door de procesinterface van de klep op het moment van uitschakeling. Hoewel het testen van de klep onder bedrijfsomstandigheden het meest wenselijk is, zal de operationele afdeling er over het algemeen op tegen zijn om de SIF (Storage Insulation Facility) uit te schakelen terwijl de installatie in bedrijf is. De meeste SIS-kleppen (Storage Insulation Facility) worden doorgaans getest wanneer de installatie stilstaat met een drukverschil van nul, wat de minst veeleisende bedrijfsomstandigheden zijn. De gebruiker moet zich bewust zijn van het worst-case drukverschil tijdens bedrijf en de gevolgen daarvan voor de klep en het proces. Hiermee moet rekening worden gehouden bij het ontwerp en de dimensionering van de klep en de actuator.

Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).

De omgevingstemperatuur kan ook de wrijvingsbelasting van kleppen beïnvloeden. Het testen van kleppen bij warm weer zal over het algemeen de minst veeleisende wrijvingsbelasting opleveren in vergelijking met gebruik bij koud weer. Daarom is het raadzaam om kleppen bij een constante temperatuur te testen. Dit levert consistente gegevens op voor inferentiële tests om de prestatievermindering van de klep vast te stellen.

Kleppen met slimme positioneerders of een digitale klepcontroller kunnen doorgaans een klepsignatuur genereren waarmee de prestatievermindering van de klep kan worden gemonitord. Een basisklepsignatuur kan worden aangevraagd als onderdeel van uw bestelling, of u kunt er zelf een genereren tijdens de eerste proefdruk om als referentie te dienen. De klepsignatuur moet worden vastgelegd voor zowel het openen als het sluiten van de klep. Indien beschikbaar, dient ook gebruik te worden gemaakt van geavanceerde klepdiagnostiek. Dit kan helpen om vast te stellen of de prestaties van uw klep verslechteren door de klepsignaturen en diagnostiek van latere proefdrukken te vergelijken met uw basislijn. Dit type test kan compenseren voor het feit dat de klep niet is getest bij de meest ongunstige bedrijfsdrukken.

Tijdens een beproeving kan de klepsignatuur ook de reactietijd met tijdstempels vastleggen, waardoor een stopwatch overbodig wordt. Een langere reactietijd duidt op klepverslechtering en een verhoogde wrijvingsbelasting die nodig is om de klep te bewegen. Hoewel er geen normen zijn met betrekking tot veranderingen in de reactietijd van kleppen, wijst een negatief patroon van veranderingen tussen beproevingen op een mogelijk verlies van de veiligheidsmarge en prestaties van de klep. Moderne beproevingen van SIS-kleppen zouden, als onderdeel van goede technische praktijk, een klepsignatuur moeten omvatten.

De instrumentluchtdruk van de klep moet tijdens een proefdruk worden gemeten. Hoewel de klepveer bij een terugslagklep de klep sluit, wordt de kracht of het koppel bepaald door de mate waarin de klepveer wordt samengedrukt door de toevoerdruk (volgens de wet van Hooke, F = kX). Als de toevoerdruk laag is, zal de veer minder samengedrukt worden, waardoor er minder kracht beschikbaar is om de klep te bewegen wanneer dat nodig is. Tabel 2 geeft een aantal, zij het niet uitputtende, aandachtspunten voor het opstellen van het klepgedeelte van de proefdrukprocedure.