Les essais de validation font partie intégrante du maintien de l'intégrité de sécurité de nos systèmes instrumentés de sécurité (SIS) et des systèmes connexes (alarmes critiques, systèmes de détection incendie et gaz, systèmes de verrouillage instrumentés, etc.). Un essai de validation est un test périodique visant à détecter les défaillances dangereuses, à tester les fonctionnalités liées à la sécurité (réinitialisation, dérivations, alarmes, diagnostics, arrêt manuel, etc.) et à garantir la conformité du système aux normes internes et externes. Les résultats de ces essais permettent également d'évaluer l'efficacité du programme d'intégrité mécanique des SIS et la fiabilité du système sur le terrain.
Les procédures de test de validation couvrent les étapes de test, depuis l'obtention des permis, la notification et la mise hors service du système pour les tests jusqu'à la garantie de tests complets, la documentation du test de validation et de ses résultats, la remise en service du système et l'évaluation des résultats des tests actuels et des résultats des tests de validation précédents.
La norme ANSI/ISA/IEC 61511-1, article 16, traite des essais de validation des systèmes instrumentés de sécurité (SIS). Le rapport technique ISA TR84.00.03, intitulé « Intégrité mécanique des systèmes instrumentés de sécurité (SIS) », aborde également les essais de validation et fait actuellement l'objet d'une révision ; une nouvelle version sera bientôt disponible. Le rapport technique ISA TR96.05.02, intitulé « Essais de validation in situ des vannes automatisées », est en cours d'élaboration.
Le rapport CRR 428/2002 de la HSE britannique – « Principes pour les essais de validation des systèmes instrumentés de sécurité dans l’industrie chimique » fournit des informations sur les essais de validation et sur ce que font les entreprises au Royaume-Uni.
Une procédure de test de validation repose sur l'analyse des modes de défaillance dangereux connus pour chaque composant du circuit de déclenchement de la fonction instrumentée de sécurité (FIS), sur le fonctionnement de la FIS en tant que système et sur la méthode (et la pertinence) de tester ces modes de défaillance dangereux. L'élaboration de la procédure doit débuter dès la phase de conception de la FIS, avec la conception du système, la sélection des composants et la détermination du moment et de la méthode de test de validation. La difficulté des tests de validation des instruments SIS varie et doit être prise en compte lors de la conception, de l'exploitation et de la maintenance de la FIS. Par exemple, les débitmètres à orifice et les transmetteurs de pression sont plus faciles à tester que les débitmètres massiques Coriolis, les débitmètres magnétiques ou les capteurs de niveau radar à balayage aérien. L'application et la conception de la vanne peuvent également influencer l'exhaustivité du test de validation de la vanne, afin de garantir que les défaillances dangereuses et les défaillances naissantes dues à la dégradation, au colmatage ou aux défaillances dépendantes du temps n'entraînent pas une défaillance critique pendant l'intervalle de test sélectionné.
Bien que les procédures de test de validation soient généralement élaborées lors de la phase d'ingénierie SIF, elles doivent également être examinées par l'autorité technique SIS du site, le service des opérations et les techniciens d'instrumentation chargés des tests. Une analyse des risques professionnels (ARP) doit également être réalisée. Il est essentiel d'obtenir l'adhésion de l'usine quant aux tests à effectuer, à leur calendrier et à leur faisabilité, tant sur le plan physique que sur celui de la sécurité. Par exemple, il est inutile de spécifier des tests de course partielle si le service des opérations refuse de les réaliser. Il est également recommandé que les procédures de test de validation soient examinées par un expert indépendant du domaine. Les tests typiques requis pour un test de validation de fonctionnement complet sont illustrés à la figure 1.
Exigences relatives aux tests de validation de fonctionnement complet Figure 1 : Une spécification de test de validation de fonctionnement complet pour une fonction instrumentée de sécurité (SIF) et son système instrumenté de sécurité (SIS) doit énoncer ou faire référence aux étapes dans l'ordre, des préparatifs et procédures de test aux notifications et à la documentation.
Figure 1 : Une spécification de test de validation de fonctionnement complète pour une fonction instrumentée de sécurité (SIF) et son système instrumenté de sécurité (SIS) doit énoncer ou faire référence aux étapes dans l'ordre, des préparatifs et procédures de test aux notifications et à la documentation.
Les essais de validation sont une opération de maintenance planifiée qui doit être réalisée par un personnel compétent, formé aux essais des systèmes instrumentés de sécurité (SIS), à la procédure de validation et aux boucles SIS testées. Une présentation de la procédure doit être effectuée avant l'essai initial, suivie d'un retour d'information à l'autorité technique SIS du site afin d'apporter les améliorations ou corrections nécessaires.
Il existe deux modes de défaillance principaux (sûr ou dangereux), eux-mêmes subdivisés en quatre catégories : dangereux non détecté, dangereux détecté (par diagnostic), sûr non détecté et sûr détecté. Les termes « défaillance dangereuse » et « défaillance dangereuse non détectée » sont utilisés indifféremment dans cet article.
Lors des tests de validation SIF, nous nous intéressons principalement aux modes de défaillance dangereux non détectés. Cependant, si des diagnostics utilisateur permettent de détecter des défaillances dangereuses, ces diagnostics doivent également être testés. Il est important de noter que, contrairement aux diagnostics utilisateur, les diagnostics internes du dispositif ne peuvent généralement pas être validés fonctionnellement par l'utilisateur, ce qui peut influencer la méthodologie des tests de validation. Lorsque les diagnostics sont pris en compte dans les calculs SIL, les alarmes de diagnostic (par exemple, les alarmes de dépassement de plage) doivent être testées dans le cadre des tests de validation.
Les modes de défaillance peuvent être classés en trois catégories : ceux recherchés lors d’un essai de validation, ceux non recherchés et les défaillances naissantes ou dépendantes du temps. Certains modes de défaillance dangereux peuvent ne pas être testés directement pour diverses raisons (difficulté, choix technique ou opérationnel, méconnaissance, incompétence, erreurs systématiques par omission ou commission, faible probabilité d’occurrence, etc.). Si certains modes de défaillance connus ne sont pas recherchés, des mesures compensatoires doivent être prises lors de la conception du dispositif, de la procédure d’essai, du remplacement ou de la remise en état périodique du dispositif, et/ou des essais indirects doivent être réalisés afin de minimiser l’impact de l’absence de tests sur l’intégrité du système.
Une défaillance naissante est un état de dégradation tel qu'une défaillance critique et dangereuse est susceptible de se produire si des mesures correctives ne sont pas prises rapidement. Ces défaillances sont généralement détectées par comparaison des performances avec des tests de référence récents ou initiaux (par exemple, les signatures ou les temps de réponse des vannes) ou par inspection (par exemple, un orifice de process obstrué). Les défaillances naissantes sont souvent liées au temps : plus la durée de service du dispositif ou de l'ensemble est longue, plus sa dégradation s'accentue ; les conditions favorisant une défaillance aléatoire deviennent plus probables (obstruction des orifices de process ou accumulation de dépôts sur les capteurs au fil du temps, fin de la durée de vie utile, etc.). Par conséquent, plus l'intervalle entre les tests de validation est long, plus le risque de défaillance naissante ou liée au temps est élevé. Toute protection contre les défaillances naissantes doit également être testée (purge des orifices, traçage thermique, etc.).
Des procédures doivent être rédigées pour tester la présence de défaillances dangereuses (non détectées). Les techniques d'analyse des modes de défaillance et de leurs effets (AMDE) ou d'analyse des modes de défaillance, de leurs effets et de leur diagnostic (AMDEC) peuvent aider à identifier ces défaillances dangereuses et les domaines où la couverture des tests de validation doit être améliorée.
De nombreuses procédures de test de validation sont rédigées à partir de l'expérience acquise et de modèles issus de procédures existantes. Les nouvelles procédures et les SIF plus complexes exigent une approche plus technique, utilisant l'AMDEC (Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité) pour identifier les défaillances dangereuses, déterminer comment la procédure de test les détectera (ou non) et définir la couverture des tests. Un diagramme de blocs d'analyse des modes de défaillance (AMDEC) de niveau macro pour un capteur est présenté à la figure 2. L'AMDEC n'est généralement nécessaire qu'une seule fois pour un type de dispositif donné et peut être réutilisée pour des dispositifs similaires, en tenant compte de leurs capacités de service, d'installation et de test sur site.
Analyse des défaillances au niveau macro Figure 2 : Ce diagramme de blocs d'analyse des modes de défaillance au niveau macro pour un capteur et un transmetteur de pression (PT) montre les principales fonctions qui seront généralement décomposées en plusieurs analyses de micro-défaillances pour définir pleinement les défaillances potentielles à traiter dans les tests fonctionnels.
Figure 2 : Ce diagramme de blocs d'analyse des modes de défaillance au niveau macro pour un capteur et un transmetteur de pression (PT) montre les principales fonctions qui seront généralement décomposées en plusieurs micro-analyses de défaillance pour définir pleinement les défaillances potentielles à traiter dans les tests fonctionnels.
Le pourcentage de défaillances connues, dangereuses et non détectées qui sont testées est appelé taux de couverture des tests de validation (TCP). Le TCP est couramment utilisé dans les calculs SIL pour « compenser » le manque de tests permettant de tester plus exhaustivement le SIF. On croit à tort qu'en prenant en compte le manque de couverture des tests dans le calcul du SIL, on conçoit un SIF fiable. Or, même avec une couverture de tests de 75 %, et même en intégrant ce chiffre dans le calcul du SIL et en testant plus fréquemment les éléments déjà testés, 25 % de défaillances dangereuses peuvent encore se produire statistiquement. Je ne veux certainement pas faire partie de ces 25 %.
Les rapports d'homologation FMEDA et les manuels de sécurité des dispositifs définissent généralement une procédure de test minimale et un taux de couverture de test. Ces documents ne fournissent que des indications et ne détaillent pas l'ensemble des étapes nécessaires à une procédure de test complète. D'autres types d'analyse de défaillance, comme l'analyse par arbre de défaillance et la maintenance axée sur la fiabilité, sont également utilisés pour détecter les défaillances dangereuses.
Les essais de validation peuvent être divisés en essais fonctionnels complets (de bout en bout) ou partiels (Figure 3). Les essais fonctionnels partiels sont généralement effectués lorsque les intervalles de test des composants de l'installation de sécurité (SIF) dans les calculs SIL ne correspondent pas aux arrêts ou aux redémarrages planifiés. Il est important que les procédures d'essais fonctionnels partiels se chevauchent afin de tester conjointement toutes les fonctionnalités de sécurité de l'installation de sécurité. Même avec des essais fonctionnels partiels, il est recommandé de réaliser un essai de validation de bout en bout initial de l'installation de sécurité, puis des essais ultérieurs lors des redémarrages.
Les tests de preuve partielle doivent s'additionner Figure 3 : Les tests de preuve partielle combinés (en bas) doivent couvrir toutes les fonctionnalités d'un test de preuve fonctionnelle complet (en haut).
Figure 3 : Les tests de preuve partielle combinés (en bas) doivent couvrir toutes les fonctionnalités d'un test de preuve fonctionnelle complet (en haut).
Un test de fonctionnement partiel ne vérifie qu'un pourcentage des modes de défaillance d'un dispositif. Un exemple courant est le test de course partielle d'une vanne, où la vanne est légèrement déplacée (10 à 20 %) pour vérifier qu'elle n'est pas bloquée. Ce type de test offre une couverture inférieure à celle d'un test effectué à l'intervalle de test principal.
La complexité des procédures de test de validation peut varier en fonction de la complexité du SIF et de la philosophie de l'entreprise en matière de procédures de test. Certaines entreprises rédigent des procédures de test détaillées, étape par étape, tandis que d'autres privilégient des procédures plus concises. Des références à d'autres procédures, telles qu'un étalonnage standard, sont parfois utilisées pour alléger la procédure de test de validation et garantir la cohérence des tests. Une bonne procédure de test de validation doit fournir suffisamment de détails pour assurer la bonne réalisation et la documentation de tous les tests, sans toutefois inciter les techniciens à négliger certaines étapes. Faire parapher le test effectué par le technicien responsable de son exécution contribue à garantir sa bonne exécution. La validation du test de validation par le superviseur des instruments et les représentants des opérations souligne également son importance et assure sa bonne réalisation.
Il convient de toujours solliciter l'avis des techniciens afin d'améliorer la procédure. La réussite d'une procédure de test de validation repose en grande partie sur les techniciens ; une collaboration étroite est donc fortement recommandée.
La plupart des essais de validation sont généralement effectués hors ligne lors d'un arrêt technique ou d'une maintenance. Dans certains cas, des essais de validation en ligne peuvent être requis en fonctionnement pour satisfaire aux exigences de calcul du niveau d'intégrité de sécurité (SIL) ou à d'autres exigences. Les essais en ligne nécessitent une planification et une coordination avec les opérations afin de garantir leur bon déroulement en toute sécurité, sans perturbation du processus ni déclenchement intempestif. Un seul déclenchement intempestif peut compromettre la réussite de l'essai. Lors de ce type d'essai, lorsque le système de sécurité intégré (SIS) n'est pas pleinement disponible pour remplir sa fonction de sécurité, la norme 61511-1, article 11.8.5, stipule que « des mesures compensatoires garantissant la continuité du fonctionnement en toute sécurité doivent être mises en œuvre conformément à l'article 11.3 lorsque le SIS est en mode de contournement (réparation ou essai) ». Une procédure de gestion des situations anormales doit accompagner la procédure d'essai de validation afin de garantir sa bonne mise en œuvre.
Un SIF est généralement divisé en trois parties principales : les capteurs, les solveurs logiques et les éléments finaux. Des dispositifs auxiliaires peuvent également être associés à chacune de ces parties (par exemple, des barrières IS, des amplificateurs de déclenchement, des relais d'interposition, des solénoïdes, etc.) et doivent également être testés. Les aspects critiques des tests de validation de chacune de ces technologies sont détaillés dans l'encadré « Test des capteurs, des solveurs logiques et des éléments finaux » (ci-dessous).
Certaines technologies sont plus faciles à tester que d'autres. De nombreuses technologies modernes de mesure de débit et de niveau, ainsi que quelques anciennes, font partie des plus difficiles à tester. On peut citer, entre autres, les débitmètres Coriolis, les débitmètres à vortex, les débitmètres magnétiques, les radars de mesure de niveau à ultrasons et les commutateurs de process in situ. Heureusement, nombre d'entre elles disposent désormais de systèmes de diagnostic améliorés qui permettent des tests plus précis.
La difficulté de réaliser des essais de validation sur le terrain pour un tel dispositif doit être prise en compte lors de la conception du SIF. Il est facile pour les ingénieurs de sélectionner des SIF sans examiner attentivement les exigences des essais de validation, puisqu'ils ne seront pas chargés de les réaliser. Ceci est également vrai pour les essais de course partielle, une méthode courante pour améliorer la probabilité moyenne de défaillance à la demande (PFDavg) d'un SIF, mais que les opérations de l'usine refusent souvent d'appliquer. Il est donc essentiel d'assurer une supervision de l'ingénierie des SIF par l'usine, notamment en ce qui concerne les essais de validation.
Le test de validation doit comprendre une inspection de l'installation du SIF et les réparations nécessaires pour se conformer à la clause 16.3.2 de la norme 61511-1. Une inspection finale doit être effectuée pour s'assurer que tout est correctement remis en place, ainsi qu'une double vérification que le SIF a été correctement remis en service.
La rédaction et la mise en œuvre d'une procédure de test rigoureuse constituent une étape essentielle pour garantir l'intégrité du SIF tout au long de sa durée de vie. Cette procédure doit fournir suffisamment de détails pour assurer la réalisation et la documentation systématiques et sûres des tests requis. Les défaillances dangereuses non détectées par les essais de validation doivent être compensées afin de garantir le maintien de l'intégrité de sécurité du SIF pendant toute sa durée de vie.
La rédaction d'une procédure de test de validation efficace exige une approche logique de l'analyse technique des défaillances potentiellement dangereuses, du choix des moyens et de la description des étapes du test, en veillant à ce qu'elles soient compatibles avec les capacités de test de l'usine. Il est essentiel d'obtenir l'adhésion de tous les niveaux de l'usine au test et de former les techniciens à sa réalisation et à sa documentation, ainsi qu'à la compréhension de son importance. Rédigez les instructions comme si vous étiez vous-même le technicien d'instrumentation qui effectuera le test, en insistant sur le fait que des vies dépendent de sa réussite, car c'est bien le cas.
Testing sensors, logic solvers and final elements A SIF is typically divided up into three main parts, sensors, logic solvers and final elements. There also typically are auxiliary devices that can be associated within each of these three parts (e.g. I.S. barriers, trip amps, interposing relays, solenoids, etc.) that must also be tested.Sensor proof tests: The sensor proof test must ensure that the sensor can sense the process variable over its full range and transmit the proper signal to the SIS logic solver for evaluation. While not inclusive, some of the things to consider in creating the sensor portion of the proof test procedure are given in Table 1. Table 1: Sensor proof test considerations Process ports clean/process interface check, significant buildup noted Internal diagnostics check, run extended diagnostics if available Sensor calibration (5 point) with simulated process input to sensor, verified through to the DCS, drift check Trip point check High/High-High/Low/Low-Low alarms Redundancy, voting degradation Out of range, deviation, diagnostic alarms Bypass and alarms, restrike User diagnostics Transmitter Fail Safe configuration verified Test associated systems (e.g. purge, heat tracing, etc.) and auxiliary components Physical inspection Complete as-found and as-left documentation Logic solver proof test: When full-function proof testing is done, the logic solver’s part in accomplishing the SIF’s safety action and related actions (e.g. alarms, reset, bypasses, user diagnostics, redundancies, HMI, etc.) are tested. Partial or piecemeal function proof tests must accomplish all these tests as part of the individual overlapping proof tests. The logic solver manufacturer should have a recommended proof test procedure in the device safety manual. If not and as a minimum, the logic solver power should be cycled, and the logic solver diagnostic registers, status lights, power supply voltages, communication links and redundancy should be checked. These checks should be done prior to the full-function proof test.Don’t make the assumption that the software is good forever and the logic need not be tested after the initial proof test as undocumented, unauthorized and untested software and hardware changes and software updates can creep into systems over time and must be factored into your overall proof test philosophy. The management of change, maintenance, and revision logs should be reviewed to ensure they are up to date and properly maintained, and if capable, the application program should be compared to the latest backup.Care should also be taken to test all the user logic solver auxiliary and diagnostic functions (e.g. watchdogs, communication links, cybersecurity appliances, etc.).Final element proof test: Most final elements are valves, however, rotating equipment motor starters, variable-speed drives and other electrical components such as contactors and circuit breakers are also used as final elements and their failure modes must be analyzed and proof tested.The primary failure modes for valves are being stuck, response time too slow or too fast, and leakage, all of which are affected by the valve’s operating process interface at trip time. While testing the valve at operating conditions is the most desirable case, Operations would generally be opposed to tripping the SIF while the plant is operating. Most SIS valves are typically tested while the plant is down at zero differential pressure, which is the least demanding of operating conditions. The user should be aware of the worst-case operational differential pressure and the valve and process degradation effects, which should be factored into the valve and actuator design and sizing.Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).Ambient temperatures can also affect valve friction loads, so that testing valves in warm weather will generally be the least demanding friction load when compared to cold weather operation. As a result, proof testing of valves at a consistent temperature should be considered to provide consistent data for inferential testing for the determination of valve performance degradation.Valves with smart positioners or a digital valve controller generally have capability to create a valve signature that can be used to monitor degradation in valve performance. A baseline valve signature can be requested as part of your purchase order or you can create one during the initial proof test to serve as a baseline. The valve signature should be done for both opening and closing of the valve. Advanced valve diagnostic should also be used if available. This can help tell you if your valve performance is deteriorating by comparing subsequent proof test valve signatures and diagnostics with your baseline. This type of test can help compensate for not testing the valve at worst case operating pressures.The valve signature during a proof test may also be able to record the response time with time stamps, removing the need for a stopwatch. Increased response time is a sign of valve deterioration and increased friction load to move the valve. While there are no standards regarding changes in valve response time, a negative pattern of changes from proof test to proof test is indicative of the potential loss of the valve’s safety margin and performance. Modern SIS valve proof testing should include a valve signature as a matter of good engineering practice.The valve instrument air supply pressure should be measured during a proof test. While the valve spring for a spring-return valve is what closes the valve, the force or torque involved is determined by how much the valve spring is compressed by the valve supply pressure (per Hooke’s Law, F = kX). If your supply pressure is low, the spring will not compress as much, hence less force will be available to move the valve when needed. While not inclusive, some of the things to consider in creating the valve portion of the proof test procedure are given in Table 2. Table 2: Final element valve assembly considerations Test valve safety action at process operating pressure (best but typically not done), and time the valve’s response time. Verify redundancy Test valve safety action at zero differential pressure and time valve’s response time. Verify redundancy Run valve signature and diagnostics as part of proof test and compare to baseline and previous test Visually observe valve action (proper action without unusual vibration or noise, etc.). Verify the valve field and position indication on the DCS Fully stroke the valve a minimum of five times during the proof test to help ensure valve reliability. (This is not intended to fix significant degradation effects or incipient failures). Review valve maintenance records to ensure any changes meet the required valve SRS specifications Test diagnostics for energize-to-trip systems Leak test if Tight Shut Off (TSO) is required Verify the command disagree alarm functionality Inspect valve assembly and internals Remove, test and rebuild as necessary Complete as-found and as-left documentation Solenoids Evaluate venting to provide required response time Evaluate solenoid performance by a digital valve controller or smart positioner Verify redundant solenoid performance (e.g. 1oo2, 2oo3) Interposing Relays Verify correct operation, redundancy Device inspection
Un SIF est généralement divisé en trois parties principales : les capteurs, les solveurs logiques et les éléments finaux. Des dispositifs auxiliaires peuvent également être associés à chacune de ces trois parties (par exemple, des barrières IS, des amplificateurs de déclenchement, des relais d'interposition, des solénoïdes, etc.) et doivent également être testés.
Tests de fiabilité des capteurs : Le test de fiabilité des capteurs doit garantir que le capteur peut mesurer la variable de procédé sur toute sa plage de mesure et transmettre le signal approprié au solveur logique du système instrumenté de sécurité (SIS) pour évaluation. Le tableau 1, sans être exhaustif, présente certains éléments à prendre en compte lors de la conception de la partie du test de fiabilité relative aux capteurs.
Test de fonctionnement du solveur logique : lors d'un test de fonctionnement complet, le rôle du solveur logique dans l'exécution des actions de sécurité du SIF et des actions connexes (alarmes, réinitialisation, dérivations, diagnostics utilisateur, redondances, IHM, etc.) est vérifié. Les tests de fonctionnement partiels ou par étapes doivent impérativement inclure tous ces tests dans le cadre de tests individuels et redondants. Le fabricant du solveur logique doit fournir une procédure de test recommandée dans le manuel de sécurité de l'appareil. À défaut, et a minima, il convient de couper et de remettre hors tension le solveur logique, puis de vérifier ses registres de diagnostic, ses voyants d'état, ses tensions d'alimentation, ses liaisons de communication et sa redondance. Ces vérifications doivent être effectuées avant le test de fonctionnement complet.
Ne présumez pas que le logiciel est fiable indéfiniment et que sa logique n'a pas besoin d'être testée après le test initial. En effet, des modifications logicielles et matérielles non documentées, non autorisées et non testées, ainsi que des mises à jour logicielles, peuvent s'introduire progressivement dans les systèmes et doivent être prises en compte dans votre stratégie globale de test. La gestion des modifications, la maintenance et les journaux de révision doivent être vérifiés afin de garantir leur mise à jour et leur bonne tenue. Si possible, comparez l'application à la dernière sauvegarde.
Il convient également de veiller à tester toutes les fonctions auxiliaires et de diagnostic du solveur de logique utilisateur (par exemple, les chiens de surveillance, les liaisons de communication, les dispositifs de cybersécurité, etc.).
Test de validation des éléments finaux : La plupart des éléments finaux sont des vannes, cependant, les démarreurs de moteurs d’équipements rotatifs, les variateurs de vitesse et d’autres composants électriques tels que les contacteurs et les disjoncteurs sont également utilisés comme éléments finaux et leurs modes de défaillance doivent être analysés et testés.
Les principaux modes de défaillance des vannes sont le blocage, un temps de réponse trop lent ou trop rapide et les fuites. Ces défaillances sont toutes influencées par l'interface de fonctionnement de la vanne au moment du déclenchement. Bien que le test de la vanne en conditions de fonctionnement soit idéal, les services d'exploitation s'opposent généralement à un déclenchement du système de sécurité intégré (SSI) pendant le fonctionnement de l'installation. La plupart des vannes SIS sont généralement testées à l'arrêt, à pression différentielle nulle, ce qui représente les conditions de fonctionnement les moins exigeantes. L'utilisateur doit être conscient de la pression différentielle de fonctionnement la plus défavorable et des effets de dégradation de la vanne et du procédé, qui doivent être pris en compte lors de la conception et du dimensionnement de la vanne et de l'actionneur.
Commonly, to compensate for not testing at process operating conditions, additional safety pressure/thrust/torque margin is added to the valve actuator and inferential performance testing is done utilizing baseline testing. Examples of these inferential tests are where the valve response time is timed, a smart positioner or digital valve controller is used to record a valve pressure/position curve or signature, or advance diagnostics are done during the proof test and compared with previous test results or baselines to detect valve performance degradation, indicating a potential incipient failure. Also, if tight shut off (TSO) is a requirement, simply stroking the valve will not test for leakage and a periodic valve leak test will have to be performed. ISA TR96.05.02 is intended to provide guidance on four different levels of testing of SIS valves and their typical proof test coverage, based on how the test is instrumented. People (particularly users) are encouraged to participate in the development of this technical report (contact crobinson@isa.org).
La température ambiante peut également influer sur les frottements des vannes. Ainsi, les essais de vannes par temps chaud présentent généralement les frottements les moins importants par rapport aux essais par temps froid. Par conséquent, il convient d'envisager des essais de fonctionnement à température constante afin d'obtenir des données fiables pour les analyses complémentaires permettant d'évaluer la dégradation des performances des vannes.
Les vannes équipées de positionneurs intelligents ou d'un contrôleur numérique permettent généralement de générer une signature de vanne servant à surveiller la dégradation de leurs performances. Une signature de référence peut être demandée lors de votre commande ou créée lors de l'essai initial. Cette signature doit être enregistrée à l'ouverture et à la fermeture de la vanne. Si disponible, un diagnostic avancé de la vanne est également recommandé. Il permet de détecter une éventuelle détérioration des performances en comparant les signatures et diagnostics des essais suivants avec la signature de référence. Ce type d'essai compense l'absence de tests aux pressions de service les plus défavorables.
Lors d'un test de fonctionnement, la signature de la vanne peut également enregistrer le temps de réponse avec horodatage, évitant ainsi l'utilisation d'un chronomètre. Un allongement du temps de réponse indique une détérioration de la vanne et une augmentation des frottements nécessaires à son fonctionnement. Bien qu'il n'existe pas de normes concernant les variations du temps de réponse des vannes, une diminution progressive d'un test de fonctionnement à l'autre est révélatrice d'une perte potentielle de la marge de sécurité et des performances de la vanne. Par souci de bonnes pratiques d'ingénierie, les tests de fonctionnement modernes des vannes SIS devraient inclure l'enregistrement de leur signature.
La pression d'alimentation en air comprimé de l'instrument de mesure doit être mesurée lors d'un essai de fonctionnement. Dans le cas d'une vanne à rappel par ressort, c'est le ressort qui assure la fermeture de la vanne ; la force ou le couple appliqué dépend de la compression du ressort par la pression d'alimentation (loi de Hooke, F = kX). Si la pression d'alimentation est faible, le ressort se comprimera moins, et la force disponible pour actionner la vanne sera donc réduite. Le tableau 2, non exhaustif, présente certains éléments à prendre en compte lors de la conception de la partie de l'essai de fonctionnement relative à la vanne.
Date de publication : 13 novembre 2019