Safety Manual. Trasmettitore di pressione di processo IPT-1* 4 20 ma/hart. Trasmettitore di pressione di processo IPT-1*

Transcript

1 Safety Manual Trasmettitore di pressione di processo IPT-1* 4 20 ma/hart Trasmettitore di pressione di processo IPT-1*

2 Sommario Sommario 1 Sicurezza funzionale 1.1 Informazioni generali Progettazione Parametrizzazione apparecchi Messa in servizio Comportamento durante il funzionamento e in caso d'avaria Test periodico di funzionamento Caratteristiche tecniche di sicurezza Appendice 2

3 1 Sicurezza funzionale Area di validità Campo d'impiego Conformità SIL Abbreviazioni, significati Principali norme 1.1 Informazioni generali Questo manuale di sicurezza vale per sistemi di misura costituiti dal trasduttore di pressione IPT-1* nell'esecuzione 4 20 ma/hart: IPT-10 Vers. 2.0/3.0 IPT-11 Vers. 3.0/4.0 Nota: IPT-1* vers. 3.0 fino a max bar Versioni hardware e software valide: Numero di serie dell'elettronica > Software del sensore da Rev Il sistema di misura esegue la misura di pressione di processo e/o di livello su gas, vapori e liquidi che soddisfano le esigenze della sicurezza tecnica. Grazie all'efficienza operativa questo è possbile in un'architettura monocanale (1oo1D) fino a SIL2 ed in un'architettura a più canali diversificata ridondante fino a SIL3. E' escluso l'impiego del sistema di misura in un'architettura a più canali, ridondante omogenea. La dichiarazione di conformità SIL può essere scaricata dal nostro sito Internet. SIL Safety Integrity Level HFT Hardware Fault Tolerance SFF Safe Failure Fraction PFD avg Average Probability of dangerous Failure on Demand PFH Probability of a dangerous Failure per Hour FMEDA Failure Mode, Effects and Diagnostics Analysis λ sd Rate for safe detected failure λ su Rate for safe undetected failure λ dd Rate for dangerous detected failure λ du Rate for dangerous undetected failure DC S Diagnostic Coverage of safe failures; DC S = λ sd /(λ sd +λ su ) DC D Diagnostic Coverage of dangerous failures; DC D = λ dd /(λ dd +λ du ) FIT Failure In Time (1 FIT = 1 failure/10 9 h) MTBF Mean Time Between Failure MTTF Mean Time To Failure MTTR Mean Time To Repair Ulteriori abbreviazioni e significati sono elencati nella IEC IEC

4 Functional safety of electrical/electronic/programmable electronic safety-related systems IEC Functional safety - safety instrumented systems for the process industry sector - Part 1: Framework, definitions, system, hardware and software requirements Esigenze di sicurezza Valore limite di guasto per una funzione di sicurezza, determinato dalla classe SIL (IEC , 7.6.2) Livello d'integrità di sicurezza Funzione con esigenza limitata SIL PFD avg PFH Funzione con esigenza elevata < < < < < < < < 10-5 Integrità di sicurezza dell'hardware per sistemi parziali relativi alla sicurezza di tipo B (IEC , 7.4.3) Quota di guasti non pericolosi Tolleranza agli errori dell'hardware SFF HFT = 0 HFT = 1 (0) < 60 % non autorizzato SIL1 HFT = 2 SIL2 60 % < 90 % SIL1 SIL2 SIL3 90 % < 99 % SIL2 SIL3 (SIL4) 99 % SIL3 (SIL4) (SIL4) Comprovata efficienza operativa Funzione di sicurezza Secondo IEC , capitolo la tolleranza ai guasti HFTdi sistemi parziali di comprovata effcienza può essere ridotta di uno, se si rispettano le seguenti condizioni: L'efficienza dell'apparecchio é comprovata Sull'apparecchio possono essere modificati solo parametri rilevanti per il processo (ad esempio campo di misura, uscita in corrente in caso di avaria ) La modifica di questi parametri rilevanti per il processo è protetta (ad es. password, ) Funzione di sicurezza richiesta inferiore a SIL4 La valutazione del sistema di modifica costituisce un elemento di prova dell'efficienza operativa. 1.2 Progettazione Il sistema di misura produce sulla sua uscita in corrente un segnale corrispondente alla pressione di processo ovvero al livello tra 3,8 ma e 20,5 ma. Questo segnale analogico perviene ad un'unità di elaborazione collegata a valle per controllare le seguenti condizioni: 4

5 Superamento di un valore di pressione predefinito Abbandonare un valore di pressione predefinito Essere al di sotto di un valore di pressione predefinito Al raggiungimento del punto d'intervento impostato sull'unità di elaborazione viene emesso un segnale. Condizione sicura La condizione di sicurezza è dipendente dal modo operativo: Condizione sicura Corrente d'uscita nella condizione sicura Corrente di disturbo "fail low" Sorveglianza del valore superiore di pressione Superamento verso l'alto del punto d'intervento > Punto d'intervento (- 1 %) < 3,6 ma < 3,6 ma Sorveglianza del valore inferiore di pressione Superamento verso il basso del punto d'intervento < Punto d'intervento (+1 %) Corrente di disturbo "fail > 21,5 ma > 21,5 ma high" La tolleranza di corrente ±1 % si riferisce all'intero campo di misura pari di 16 ma. Descrizione dell'errore Configurazione dell'unità di elaborazione Funzione con esigenza limitata Si verifica un guasto non pericoloso (safe failure) quando il sistema di misura commuta sulla condizione di sicurezza definita o sul modo avaria senza che venga richiesto dal processo. Se il sistema interno di diagnostica riconosce un errore, il sistema di misura salta nel modo disturbo. Esiste un pericoloso guasto non identificato (dangerous undetected failure), quando il sistema di misura, durante una esigenza del processo, non commuta nè sulla condizione di sicurezza definita, nè sul modo avaria. Se il sistema di misura fornisce correnti in uscita di "fail low" o "fail high", si deve dedurre che sia presente un'avaria. L'unità d'elaborazione deve perciò interpretare queste correnti come disturbi e fornire un'adeguata segnalazione. Se non è questo il caso, allora le relative quote degli indici di guasto devono essere assegnate ai guasti pericolosi. In questo modo i valori numerici contenuti nel capitolo "Caratteristiche tecniche di sicurezza" possono peggiorare. L'unità di elaborazione deve corrispondere al SIL-Level della catena di misura. Se l'esigenza non supera una volta all'anno, allora il sistema di misura può essere impiegato come sistema parziale rilevante per la sicurezza nel modo operativo "low demand mode" (IEC , ). Se il rapporto fra gli indici interni di diagnostica del sistema di misura e il tipo d'esigenza supera il valore 100, potete usare il sistema di 5

6 misura come se si trattasse di una funzione di sicurezza nel modo operativo a esigenza limitata (IEC , ). Il parametro associato é il valore PFD avg (average Probability of dangerous Failure on Demand). Il valore dipende dall'intervallo di prova T Proof fra i test di funzionamento della funzione di sicurezza. Valore numerico vedi capitolo"caratteristiche tecniche di sicurezza ". Funzione con esigenza elevata Presupposti Informazioni generali e limitazioni Tool di servizio Se la "Funzione con esigenza limitata" non si applica, allora il sistema di misura deve essere impiegato come sistema parziale rilevante per la sicurezza nel modo operativo "high demand mode" (IEC , ). La durata di tolleranza agli errori dell'intero sistema deve essere superiore alla durata della reazione e/o dei test di diagnostica di tutti i componenti della catena di misura di sicurezza. Il parametro associato é il valore PFH (indice di guasto). Valore numerico vedi capitolo"caratteristiche tecniche di sicurezza ". Durante l'esecuzione della FMEDA (Failure Mode, Effects and Diagnostics Anlyses) sono stati stabiliti i seguenti presupposti: Gli indici di guasto sono costanti, non si tiene conto dell'usura delle parti meccaniche Non si tiene conto degli indici di guasto di alimentazioni in corrente esterne Non si tiene conto di errori multipli La temperatura ambiente media durante il funzionamento é pari a 40 C (104 F) Le condizioni ambientali corrispondono ad un ambiente industriale medio La durata dei componenti é di ca anni (IEC , , Nota 3) Il tempo di riparazione (sostituzione del sistema di misura) dopo un guasto non pericoloso ammonta a otto ore (MTTR = 8 h) L'unità di elaborazione può interpretare avarie "fail low"e "fail high" come disturbo ed emettere un'apposita segnalazione di disturbo. L'intervallo di campionatura di un'unità di controllo e d'elaborazione é di massimo un'ora, per poter reagire a pericolosi errori riconoscibili. Interfacce di comunicazione presenti (ad es. HART, I²C-Bus) non sono usate per l'inoltro di informazioni rilevanti per la sicurezza Il sistema di misura deve essere essere usato in modo appropriato, tenendo conto della pressione, temperatura, densità e delle caratteristiche chimiche del prodotto. Rispettate i limiti specifici dell'applicazione e non superate le specifiche delle istruzioni d'uso. 1.3 Parametrizzazione apparecchi Poiché le condizioni dell'impianto influiscono sulla sicurezza del sistema di misura, i parametri dell'apparecchio devono corrispondere alle esigenze operative. 6

7 Sono qui ammessi come strumenti ausiliari: Tastierino di taratura con display Il DTM idoneo al IPT-1* DTM accoppiato ad un software di servizio conforme allo standard FDT/DTM, per es. PACTware Avviso: Fate attenzione ad utilizzare il DTM WIKA IPT 04/2006 o una versione più recente. Preparazione del punto di misura Comportamento in caso di disturbo Attenuazione del segnale d'uscita Modi operativi non ammessi Possibilità di verifica Accesso interdetto Nel software di servizio, alla voce di menu "Impostazione di base" si deve selezionare il parametro "Sensore secondo SIL". Se si utilizza il tastierino di taratura con display, nella voce di menu "Service" si deve attivare il parametro "SIL". La parametrizzazione della corrente di disturbo influisce sulle caratteristiche tecniche di sicurezza. Per applicazioni rilevanti per la sicurezza sono quindi ammesse solo le seguenti correnti di disturbo: fail low = < 3,6 ma (valore default) fail high = 22 ma L'attenuazione del segnale d'uscita deve essere adeguata alla durata di sicurezza di processo Non sono ammessi la trasmissione del segnale HART e il modo operativo HART-Multidrop Controlli da eseguire per verificare l'efficacia dei parametri impostati: Dopo il collegamento dell'apparecchio, terminata la fase d'avviamento, il segnale d'uscita salta sulla corrente di disturbo impostata Nel modo operativo "Simulazione" la corrente del segnale può essere simulata indipendentemente dalla pressione o dal livello attuali. Per proteggere i parametri impostati da modifiche involontarie o non autorizzate, bloccate la possibilità d'accesso. Attivare la password di protezione nel software di servizio Attivare il PIN sul tastierino di taratura con display Non é ammesso l'accesso col programmatore portatile HART o con strumenti analoghi. Per impedire una calibrazione involontaria o non autorizzata, potete per esempio sigillare il coperchio della custodia. Avvertimento: Dopo il ripristino dei valori mediante un reset, é necessario controllare o impostare nuovamente i parametri. 1.4 Messa in servizio Montaggio e installazione Attenersi alle istruzioni di montaggio e installazione delle -Istruzioni d'uso-. 7

8 Durante la messa in servizio, controllate la funzione di sicurezza in base ad un primo riempimento. Funzionamento e avaria Motivazione ed esecuzione 1.5 Comportamento durante il funzionamento e in caso d'avaria Gli elementi di impostazione ovvero i parametri dell'apparecchio non possono essere modificati durante il funzionamento. In caso di cambiamenti durante il funzionamento é necessario rispettare le funzioni di sicurezza Le segnalazioni di disturbo fornite durante il funzionamento sono descritte nelle -Istruzioni d'uso-. Se si riscontrano errori o segnalazioni di avaria l'intero sistema di misura deve essere messo fuori servizio ed il processo mantenuto nella condizione di sicurezza ricorrendo ad altri provvedimenti. L'elettronica si può sostituire facilmente seguendo le istruzioni d'uso. Rispettate le indicazioni per la parametrizzazione e la messa in servizio. Se in base ad una constatazione d'errore sostituite l'intero sensore o l'elettronica, dovete informare il costruttore, descrivendo anche il tipo d'errore. 1.6 Test periodico di funzionamento Il test periodico di funzionamento consente di controllare la funzione di sicurezza per identificare pericolose anomalie non riconoscibili. Per tale ragione il corretto funzionamento del sistema di misura va verificato a intervalli adeguati. Spetta al gestore scegliere il tipo di test. Gli intervalli dipendono dal valore PFD avg secondo la tabella e il diagramma nel paragrafo "Caratteristiche tecniche di sicurezza". In caso di esigenza elevata non è previsto nella IEC alcun test periodico di funzionamento. Il corretto funzionamento è qui provato dall'utilizzo frequente del sistema di misura. Tuttavia, nelle architetture a due canali ha senso verificare l'effetto della ridondanza effettuando test periodici di funzionamento ad intervalli opportuni. La prova deve dimostrare il perfetto funzionamento della funzione di sicurezza in correlazione con tutti i componenti asserviti. Questa garanzia si ottiene facendo salire il livello del prodotto fino alla soglia d'intervento durante una operazione di carico. Nell'impossibilità di riempire il serbatoio fino alla soglia d'intervento, occorre ottenere l'intervento del sistema di misura con un'adeguata simulazione del livello e dell'effetto fisico di misura. I metodi e i procedimenti usati durante i test devono essere elencati, specificando il loro grado d'idoneità. Documentare le prove. Se il test di funzionamento ha un esito negativo, mettete fuori servizio l'intero sistema di misura e mantenete il processo nella condizione di sicurezza, ricorrendo ad altri sistemi di protezione. In un'architettura a più canali, questo vale separatamente per ciascun canale. 8

9 Nozioni base Durata d'utilizzo Indici di guasto 1.7 Caratteristiche tecniche di sicurezza Gli indici di guasto dell'elettronica, delle parti meccaniche dell'elemento primario di misura, nonchè dell'attacco di processo sono stati ottenuti mediante un'analisi FMEDA secondo IEC I calcoli si basano sugli indici di guasto dei componenti secondo SN Tutti i valori numerici si riferiscono ad una temperatura ambiente media, durante il funzionamento, di 40 C (104 F). Per una temperatura media più elevata di 60 C (140 F) l'esperienza dice che gli indici di guasto dovrebbero essere moltiplicati con un fattore di 2,5. Un fattore simile vale se ci si aspetta frequenti oscillazioni termiche. I calcoli sono inoltre fondati sulle informazioni riportate nel capitolo "Progettazione". Dopo 8 e fino a 12 anni gli indici di guasto dei componenti elettronici aumentano, per cui i valori PFD e PFH che ne derivano peggiorano (IEC , , nota 3). Le caratteristiche riportate nelle seguenti tabelle valgono per i modi operativi: Protezione di troppo-pieno/sorveglianza del valore superiore della pressione Protezione contro il funzionamento a secco/sorveglianza del valore inferiore della pressione Sorveglianza di un campo di pressione predefinito Tempo di reazione all'errore Caratteristiche specifiche λ sd λ su λ dd λ du 0 FIT 208 FIT 642 FIT 244 FIT DC S 0 % DC D 72 % MTBF = MTTF + MTTR 0,78 x 10 6 h Errore E013 (non c'è alcun valore di misura) Errore E041 (errore hardware) Errore E036 (software del sensore non funzionante) Architettura monocanale (1oo1D) SIL SIL2 HFT 0 Tipo di apparecchio Tipo B < 10 s < 20 s < 1 h SFF 77 % 9

10 PFD avg T Proof = 1 anno T Proof = 2 anni T Proof = 5 anni < 0,107 x 10-2 < 0,214 x 10-2 < 0,533 x 10-2 PFH < 0,244 x 10-6 /h Andamento dipendente dal tempo di PFD avg La sequenza cronologica di PFD avg è quasi lineare al periodo di funzionamento in un lasso di tempo fino a 10 anni. I valori sopraccitati valgono solo per il T proof -interval, dopo il quale si deve effettuare un test periodico di funzionamento. 4 PFD avg T Proof Caratteristiche specifiche Figura 1: Andamento dipendente dal tempo di PFD avg (valori numerici vedi le tabelle qui sopra indicate) 1 PFD avg = 0 2 PFD avg dopo 1 anno 3 PFD avg dopo 5 anni 4 PFD avg dopo 10 anni Architettura a più canali Se il sistema di misura è impiegato in una architettura a più canali, bisognerà calcolare le caratteristiche tecniche di sicurezza della struttura scelta della catena di misura in base agli indici di guasto qui sopra indicati specifici per l'applicazione scelta. E' necessario tenere conto di un idoneo fattore Common Cause. Il sistema di misura può essere usato solo in un'architettura diversamente ridondante! 10

11 2 Appendice 2 Appendice 11

12 Finito di stampare: Le informazioni contenute in questo manuale d'uso rispecchiano le conoscenze disponibili al momento della messa in stampa. WIKA Alexander Wiegand SE & Co. KG Alexander-Wiegand-Straße Klingenberg Germany Phone (+49) 9372/132-0 Fax (+49) IT